5.1 网络安全概述

5.1 网络安全概述 1、网络安全的含义 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。 网络安全从其本质上来讲主要就是网络上的信息安全，即要保障网络上信息的保密性、完整性、可用性、可控性和真实性。 计算机网络的安全性主要包括网络服务的可用性（Availability）、网络信息的保密性（Confidentiaity）和网络信息的完整性（Integrity）。随着网络应用的深入，网上各种数据会急剧增加，各种各样的安全问题开始困扰网络管理人员。数据安全和设备安全是网络安全保护两个重要内容。 通常，对数据和设备构成安全威胁的因素很多，有的来自企业外部，有的来自企业内部；有的是人为的，有的是自然造成的；有的是恶意的，有的是无意的。其中来自外部和内部人员的恶意攻击和入侵是企业网面临的最大威胁，也是企业网安全策略的最需要解决的问题。 2、网络安全的层次划分 什么样的网络才是一个安全的网络？下面我们从五个方面简单阐述， 2.1 网络的安全性 网络的安全性问题核心在于网络是否得到控制，即是不是任何一个IP地址来源的用户都能够进入网络？如果将整个网络比作一栋办公大楼的话，对于网络层的安全考虑就如同大楼设置守门人一样。守门人会仔细察看每一位来访者，一旦发现危险的来访者，便会将其拒之门外。 通过网络通道对网络系统进行访问的时候，每一个用户都会拥有一个独立的IP地址，这一IP地址能够大致表明用户的来源所在地和来源系统。目标网站通过对来源IP进行分析，便能够初步判断这一IP的数据是否安全，是否会对本网络系统造成危害，以及来自这一IP的用户是否有权使用本网络的数据。一旦发现某些数据来自于不可信任的IP地址，系统便会自动将这些数据挡在系统之外。并且大多数系统能够自动记录曾经危害过的IP地址，使得它们的数据将无法第二次造成伤害。 用于解决网络层安全性问题的产品主要有防火墙产品和VPN（虚拟专用网）。防火墙的主要目的在于判断来源IP，将危险或者未经授权的IP数据拒之系统之外，而只让安全的IP通过。一般来说，公司的内部网络主要雨Internet相连，则应该再二者之间的配置防火墙产品，以防止公司内部数据的外泄。VPN主要解决的是数据传输的安全问题，如果公司各部在地域上跨度较大，使用专网，专线过于昂贵，则可以考虑使用VPN。其目的在于保证公司内部的敏感关键数据能够安全的借助公共网络进行频繁的交换。 2.2 系统的安全性 在系统安全性问题中，主要考虑两个问题：一是病毒对于网络的威胁，二是黑客对于网络的破坏和侵入。 病毒的主要传播途径已由过去的软盘、光盘等储存介质变成了网络，多数病毒不仅能够直接感染给网络上的计算机，而且能将自身在网络上复制，同时，电子邮件，文件传输以及网络页面中的恶意Java 和 ActiveX控件，甚至文档文件都能够携带对网络和系统有破坏作用的病毒。这些病毒在网络上进行传播和破坏的多种途径和手段，使得网络环境中的防病毒工作变得更加复杂，网络防病毒工具必须能够针对网络中各个可能的病毒入口来进行防护。 对于网络黑客而言，他们的主要目的在于窃取数据和非法修改系统，其手段之一是窃取合法用户的口令，再合法身份的掩护下进行非法操作。手段之二是利用网络操作系统的某些合法但不为系统管理员和合法用户所熟知的操作指令，例如再Unix系统的默认安装过程中，会自动安装大多数系统指令。据统计，其中大约有300个指令是大多数合法用户根本不会使用的，但这些指令往往会被黑客所利用。 要弥补这些漏洞，我们就需要使用专用的系统风险评估工具，来帮助系统管理员找出哪些指令是不应该安装的，哪些指令是应该缩小其用户使用权限的。再完成了这些工作后，操作系统自身的安全性问题将在一定程度上得到保障。 2.3 用户的安全性 对于用户的安全性问题，所要考虑的问题是：是否只有那些真正被授权的用户才能够使用系统中的资源和数据呢。 首先要做的是对用户进行分组管理，并且这种分钟管理应该是针对安全性问题而考虑的分钟。也就是说，应该根据不同的安全级别将用户分为若干个等级，每一等级的用户只能访问与其等级相对应的系统资源和数据。其次应该考虑的是强有力的身份认证，其目的是确保用户的密码不会被他人所猜测到。 再大型的应用系统之中，有时会存在多重的登陆系统，用户如需进入最高层的应用，往往需要多次不同的输入不同的密码，如果管理不严多重密码的存在也会造成安全问题上的漏洞。所以在某些先进的登陆系统中，用户只需要输入一个密码，系统就能自动识别用户的安全级别，从而使用户进入不同的应该层次。这种单一登录体系要比多重登录体系能提供更高的系统安全性。 2.4 应用程序的安全性 在应用程序安全性这一层中，我们需要回答的问题是，是否只有合法的用户才能对特定的数据进行合法的操作？ 这其中涉及两个方面的问题：一是应用程序对暑假的合法权限；二是应用程序对用户的合法权限。例如在公司内部，上级部门的应用程序应能存取下级部门的数据，而下级部门的应用程序一般不应该允许存取上级部门的数据。同级部门的应用程序的存取权限也应该是有所限制，例如同一部门不同业务的应用程序也不该互相访问对方的数据，这一方面是为避免数据的意外损坏，另一方面也是安全方面的考虑。 2.5 数据的安全性 数据的安全性问题所要回答的问题是，机密数据是否还处于机密状态。 在数据的保存过程中，机密的数据即使处于安全的空间，也要对其进行加密处理，以保证万一数据失窃，使偷盗者（如网络黑客）不能读懂其中的内容。这虽然是一种比较被动的安全手段，但往往能收到最好的效果。 3、宽带IP网络面临的安全性威胁 宽带IP网络面临的安全性威胁分为两类：被动攻击和主动攻击。 （1）被动攻击 在被动攻击中，攻击者只是观察和分析某一个协议数据单元PDU，不对数据信息做任何修改。截获信息的攻击属于被动攻击 截获信息是指攻击者在未经用户同意和认可的情况下获得信息或相关数据，即从网络上窃听他人的通信内容。 （2）主动攻击 主动攻击是更改信息和拒绝用户使用资源的攻击，攻击者对某个连接中通过的协议数据单元PDU进行各种处理。这类攻击可分为篡改、伪造、中断和抵赖。 篡改 篡改是指一个合法协议数据单元PDU的某些部分被非法改变、删除，或者协议数据单元PDU被延迟等。 伪造 伪造是指某个实体（人或系统）发出含有其他实体身份信息的数据信息，即假扮成其他实体伪造一些信息在网络上传送。 中断 中断也称为拒绝服务，有意中断他人在网络上的通信，会导致对通信设备的正常使用或管理被无条件地中断。中断可能是对整个网络实施破坏，以达到降低性能、中断服务的目的；也可能是针对某一个特定的目标，使应到达的所有数据包都被阻止。 抵赖 抵赖是发送端不承认发送了信息或接收端不承认收到了信息。 主动攻击可采取适当措施检测出来，而要有效地防止是十分困难的。对付主动攻击需要将数据加密技术与适当的鉴别技术相结合。 另外还有一种特殊的主动攻击就是恶意程序。恶意程序种类繁多，主要有： 计算机蠕虫通过网络的通信功能将自身从一个站点发送到另一个站点并启动运行的程序。 特洛伊木马是一种程序，它执行的功能超出所声称的功能。 逻辑炸弹是一种当运行环境满足某种特定条件时执行其他特殊功能的程序。 4、宽带IP网络安全服务的基本需求 （1）保密性 保密性指信息不泄露给未授权的用户，不被非法利用。 被动攻击中的截获信息（即监听）就是对系统的保密性进行攻击。 采用数据加密技术可以满足保密性的基本需求。 （2）完整性 完整性就是保证信息系统上的数据处于一种完整和未受损的状态，不会因有意或无意的事件而被改变或丢失，即防止信息被未授权的人进行篡改。 主动攻击中的篡改即是对系统的完整性进行破坏。 可采用数据加密、数字签名等技术手段来保护数据的完整性。 （3）可用性 可用性指可被授权者访问并按需求使用的特性，即当需要时授权者总能够存取所需的作息，攻击者不能占用所有的资源而妨碍授权者的使用。网络环境下拒绝服务、破坏网络和有关系统的正常运行等（即主动攻击中的中断）属于对可用性的攻击。 可用性中的按需使用可通过鉴别技术来实现，即每个实体都的确是它们所宣称的那个实体。 (4)可控性 可控性指对信息及信息系统应实施安全监控管理，可以控制授权范围内的信息流向及行为方式，对信息的传播及内容具有控制能力。主动攻击中的伪造即是对系统的可控性进行破坏。 保证可控性的措施有： 系统通过访问控制列表等方法控制谁能够访问系统或网络上的数据，以及如何访问(是只读还是可以修改等)； 通过握手协议和鉴别对网络上的用户进行身份验证； 将用户的所有活动记录下来便于查询审计。 (5)不可否认性 不可否认性指信息的行为人要对自己的信息行为负责，不能抵赖自己曾做出的行为，也不能否认曾经接到对方的信息。主动攻击中的抵赖即是对系统的不可否认性进行破坏。 通常将数字签名和公证技术一同使用来保证不可否认性。