網絡安全技術(編輯修改稿)

　

【文章內容簡介】 能證明不會被人發現安全漏洞 ， 也不能阻止掌握了這種漏洞的人去利用這些網絡安全問題 。 目前有些軟件采用了這種態度 ， 事實上這些安全性比較低的軟件在攻擊者或網絡安全專家面前 ， 漏洞就很容易被發現 。 對待計算機網絡安全問題的態度 第二種是 比較積極的態度 。 這種態度認為網絡安全問題不應該隱藏 ， 只有不斷地去發現和解決這些安全問題 ， 才能讓計算機網絡系統變得更安全 。這種態度可以 讓用戶知道哪些是安全的 ， 哪些是存在問題的 。 對于存在安全問題的事務應該及時發現 ，并及時進行修補 。 如果一個系統經受住眾多使用者的考驗 ， 那么開發者和使用者就不用擔心嚴重的安全問題了 。 對于計算機網絡安全問題，應該采用比較積極的態度，不斷地學習與研究，及時獲取網絡安全的新技術，修補網絡安全上的漏洞，保障網絡的安全。事實上，很多網絡安全問題是因為網絡管理員沒有及時地彌補安全漏洞而導致的。 網絡信息安全問題的根源 ? 1． 網絡安全事故發生的幾個原因 ? 現有網絡系統和協議還是不健全、不完善、不安全的； ? 思想麻痹，沒有清醒地意識到黑客入侵所會導致的嚴重后果，舍不得投入必要的人力、財力和物力來加強網絡的安全性； ? 沒有采用正確的安全策略和安全機制； ? 缺乏先進的網絡安全技術、工具、手段和產品； ? 缺乏先進的災難恢復措施和備份意識。 ? 2． 局域網（站點）安全事故發生的幾個原因 ? （ 1）網絡系統的流量； ? （ 2）網絡提供的和使用的服務； ? （ 3）網絡與 Inter的連接方式； ? （ 4）網絡的知名度； ? （ 5）網絡對安全事故的準備情況。 網絡信息安全策略 ? （ 1）威嚴的法律：安全的基石是社會法律、法規和手段，即通過建立與信息安全相關的法律、法規，使非法分子懾于法律，不敢輕舉妄動。 ? （ 2）先進的技術：先進的技術是信息安全的根本保障，用戶對自身面臨的威脅進行風險評估，決定其需要的安全服務種類。選擇相應的安全機制，然后集成先進的安全技術。 ? （ 3）嚴格的管理：各網絡使用機構、企業和單位應建立相應的信息安全管理辦法，加強內部管理，建立審計和跟蹤體系，提高整體信息安全意識。 ? 物理安全策略 ? 物理安全策略的目的是保護計算機系統、網絡服務器、打印機等硬件設備和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用權限，防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環境；建立完備的安全管理制度，防止非法進入計算機控制室和各種盜劫、破壞活動的發生。 ? 訪問控制策略 ? （ 1）入網訪問控制； ? （ 2）網絡的權限控制； ? （ 3）目錄級安全控制； ? （ 4）屬性安全控制； ? （ 5）網絡服務器安全控制； ? （ 6）網絡檢測和鎖定控制； ? （ 7）網絡端口和結點的安全控制。 ? 防火墻控制 ? 它是控制進出兩個方向通信的門檻。在網絡邊界上通過建立起來的相應網絡通信監控系統來隔離內部和外部網絡，以阻擋外部網絡的侵入。 ? 信息加密策略 ? 信息加密的目的是保護網內的數據、文件、口令和控制信息，保護網上傳輸的數據。 ? 常用的方法有 鏈路加密、端到端加密和節點加密 三種。 ? 鏈路加密的目的是保護網絡結點之間的鏈路信息安全； ? 端到端加密的目的是對源端用戶到目的端用戶的數據提供保護； ? 節點加密的目的是對源節點到目的節點之間的傳輸鏈路提供保護。 ? 網絡安全管理策略 ? 在網絡安全中，除了采用上述措施之外，加強網絡的安全管理，制定有關規章制度，對于確保網絡的安全、可靠地運行，將起到十分有效的作用。 ? 網絡的安全管理策略包括： ? 確定安全管理的等級和安全管理的范圍； ? 制定有關網絡使用規程和人員出入機房管理制度； ? 制定網絡系統的維護制度和應急措施等。 網絡信息安全 體系結構與模型 ISO/OSI安全體系結構 ? 1982年，開放系統互聯（ OSI）基本模型建立之初，就開始進行 OSI安全體系結構的研究。 1989年 12月 ISO頒布了計算機信息系統互聯標準的第二部分，即 ISO74982標準，并首次確定了開放系統互聯（ OSI）參考模型的安全體系結構。我國將其稱為 GB／ T93872標準，并予以執行。 ISO安全體系結構包括了三部分內容：安全服務、安全機制和安全管理。 ? 安全服務 ISO安全體系結構確定了五大類安全服務： ? 認證 ? 2 、訪問控制 ? 數據保密性 ? 數據完整性 ? 不可否認（抗抵賴）性 （ 1） 認證服務 ? 這種安全服務提供某個實體的身份保證。該服務有兩種類型： ? 對等實體認證 ? 這種安全服務由 (N)層提供時， (N+1)層實體可確信對等實體是它所需要的 (N+1)層實體。 ? 數據源認證 ? 在通信的某個環節中，需要確認某個數據是由某個發送者發送的。當這種安全服務由 (N)層提供時，可向 (N+1)層實體證實數據源正是它所需要的對等(N+1)層實體。 （ 2）訪問控制服務 ? 這種安全服務提供的保護，就是對某一些確知身份限制對某些資源（這些資源可能是通過 OSI協議可訪問的 OSI資源或非 OSI資源）的訪問。這種安全服務可用于對某個資源的各類訪問（如通信資源的利用，信息資源的閱讀、書寫或刪除，處理資源的執行等）或用于對某些資源的所有訪問。 （ 3） 數據保密性服務 ? 這種安全服務能夠提供保護，使得信息不泄漏、不暴露給那些未授權就想掌握該信息的實體。 ? 連接保密性：這種安全服務向某個 (N)連接的所有 (N)用戶數據提供保密性。 ? 無連接保密性：這種安全服務向單個無連接 (N)安全數據單元 (SDU)中的所有 (N)用戶數據提供保密性。 ? 選擇字段保密性：這種安全服務向 (N)連接上的 (N)用戶數據內或單個無連接 (N)SDU中的被選字段提供保密性。 ? 業務流保密性：這種安全服務防止通過觀察業務流以得到有用的保密信息。 （ 4） 數據完整性服務 ? 這種安全服務保護數據在存儲和傳輸中的完整性。 ? ① 帶恢復的連接完整性：這種安全服務向某個 (N)連接上的所有 (N)用戶數據保證其完整性。它檢測對某個完整的 SDU序列內任何一個數據遭到的任何篡改、插入、刪除或重放，同時還可以補救恢復。 ? ② 不帶恢復的連接完整性：與帶恢復的連接完整性服務相同，但不能補救恢復。 ? ③ 選擇字段連接完整性：這種安全服務向在某個連接中傳輸的某個 (N)SDU的 (N)用戶數據內的被選字段提供完整性保護，并能確定這些字段是否經過篡改、插入、刪除或重放。 ? ④ 無連接完整性：這種安全服務由（ N）層提供，向提出請求的（ N+1）層實體提供無連接中的數據完整性保證。并能確定收到的 SDU是否經過篡改；另外，還可以對重放情況進行一定程度的檢測。 ? ⑤ 選擇字段無連接完整性：這種安全服務對單個無連接 SDU中的被選字段的保證其完整性，并能確定被選字段是否經過篡改、插入、刪除或重放。 （ 5）不可否認服務（抗抵賴） ? 它主要保護通信系統不會遭到自系統中其它合法用戶的威脅，而不是來自未知攻擊者的威脅。 ? ① 數據源的抗抵賴：向數據接收者提供數據來源的證據，以防止發送者否認發送該數據或其內容的任何企圖。 ? ② 傳遞過程的抗抵賴：向數據發送者提供數據已到目的地的證據，以防止收信者否認接收該數據或其內容的任何事后的企圖。 ? 安全機制 ? ISO安全體系結構定義了八大類安全機制，即： ? 加密 ? 2 、數據簽名機制 ? 3 、訪問控制機制 ? 4 、數據完整性機制 ? 5 、鑒別交換機制 ? 6 、業務填充機制 ? 7 、路由控制機制 ? 8 、公證機制 （ 1）加密機制 加密可向數據或業務流信息提供保密性，并能對其他安全機制起作用或對它們進行補充。加密算法可以是可逆或不可逆的，可逆加密算法有以下兩大類： ? ① 對稱 (單鑰 )加密體制：對于這種加密體制，加密與解密用同一個密鑰； ? ② 非對稱 (公鑰 )加密體制：對于這種加密體制，加密與解密用不同的密鑰，這種加密系統的兩個密鑰有時被稱為“公鑰”和“私鑰”。 （ 2）數字簽名機制 這種安全機制由兩個過程構成： ? 對數據單元簽名過程 ? 這個過程可以利用簽名者私有的（即獨有和保密的）信息 。 ? 驗證簽名的數據單元過程 ? 這個過程則要利用公之于眾的規程和信息，通過它們并不能推出簽名者的私有信息。 （ 3）訪問控制機制 ? ① 這種安全機制可以利用某個實體經鑒別的身份或關于該實體的信息（比如，某個已知實體集里的一員），進行確定并實施實體的訪問權。 ? ② 實現好的訪問控制規則可以建立在下列幾個方式之上。 ? （ a）訪問控制信息庫：它保存著對等實體對資源的訪問權限。 ? （ b）鑒別信息：對這種信息的占有和出示便證明正在訪問的實體已被授權 ? （ c）權力：實體對權力的占有和出示便證明有權訪問由權力規定的實體或資源 ? （ d）安全標記：當與某個實體相關聯時，可用于同意或拒絕訪問，通常根據安全策略而定 ? （ e）訪問時間：可以根據試圖訪問的時間建立規則 ? （ f）訪問路由：可以根據試圖訪問的路由建立規則 ? （ g）訪問持續期：還可以規定某次訪問不可超過一定的持續時間。 ? ③ 訪問控制機制可用于通信連接的任何一端或用在中間的任何位置。 （ 4）數據完整性機制 ? ① 數據完整性機制的兩個方面：