校園網(wǎng)絡安全技術與策略畢業(yè)論文

1、abstract use of information technology to peoples lives, ringing all aspects of the work of the convenience and benefits of countless, but the computer information technology and other technologies, like a double-edged sword. when most people practical information technology to improve efficiency, c

2、reate more wealth for the community, while others are doing the opposite use of information technology may do. they hacking of computer systems to steal confidential information, data tampering and break pots, to society is difficult to estimate the tremendous loss. according to statistics, about 20

3、 seconds, a global computer intrusion incidents, internet firewall on the network about 1 / 4 was broken, about 70% of executives report network information disclosure of confidential information received the loss. network security is a matter of national security and sovereignty, social stability,

4、democratic culture, inherit and carry forward the important issue of network security related to computer science, network technology, communication technology, cryptography, information security technology, applied mathematics, number theory, information theory, etc. a variety of science. this pape

5、r analyzes the current existence of network security threats and could face attack, network attack was designed and implemented defensive measures, and research-based strategy is proposed as the core of a secure, protection, detection and response as a means a campus network security system to ensur

6、e the safety of the campus network, a practical solution. for example: a firewall, authentication encryption, anti-virus technology is today commonly used method, this method of in-depth exploration of these various aspects of network security problems, can make the readers understanding of network

7、security technology. keywords: network security, security, network, firewall, intrusion detection, telnet, tcsec, p2dr 摘摘 要要 信息技術的使用給人們生活、工作的方方面面帶來了數(shù)不盡的便捷和好處， 然而計算機信息技術也和其他技術一樣是一把雙刃劍。當大部分人們實用信息技 術提高工作效率，為社會創(chuàng)造更多財富的同時，另外一些人利用信息技術卻做著 相反得事。他們非法入侵他人的計算機系統(tǒng)竊取機密信息、篡改和破壺數(shù)據(jù)，給 社會造成難以估計的巨大損失。據(jù)統(tǒng)計全球約 20 秒鐘就有一次計算機

8、入侵事件 發(fā)生，internet 上的網(wǎng)絡防火墻約 1/4 被突破，約 70%以上的網(wǎng)絡信息主管人員報 告機密信息泄露而收到了損失。網(wǎng)絡安全是一個關系國家安全和主權、社會的穩(wěn) 定、民主文化的繼承和發(fā)揚的重要問題，網(wǎng)絡安全涉及到計算機科學、網(wǎng)絡技術 通信技術、密碼技術、信息安全技術、應用數(shù)學、數(shù)論、信息論等多種科學。 本文主要分析了當前網(wǎng)絡安全存在的威脅和可能面臨的攻擊，設計了并實現(xiàn) 網(wǎng)絡攻擊的防御措施，并以研究成果為依據(jù)提出了一種以安全策略為核心，防護、 檢測和響應為手段的一種校園網(wǎng)安全防范體系來保證校園網(wǎng)絡安全的一個實用的 解決方案。比如：防火墻，認證加密技術，反病毒技術等都是當今常用的方法

9、， 本文的這些方法深入探究各方面的網(wǎng)絡安全問題的解決，可以使讀者對網(wǎng)絡安全 技術的深入了解。 關鍵字關鍵字： 網(wǎng)絡安全，安全防范，校園網(wǎng)，防火墻，入侵檢測， telnet，tcsec，p2dr 目錄目錄 1 概述5 2 網(wǎng)絡安全概述6 2.1 網(wǎng)絡安全發(fā)展與歷史現(xiàn)狀分析.6 2.1.1 因特網(wǎng)的發(fā)展及其安全問題.6 2.1.2 我國網(wǎng)絡安全現(xiàn)狀及發(fā)展趨勢.8 2.2 網(wǎng)絡安全含義.10 2.3 網(wǎng)絡安全屬性.10 2.4 網(wǎng)絡安全機制.11 2.4.1 網(wǎng)絡安全技術機制.11 2.4.2 網(wǎng)絡安全管理機制.12 2.5 網(wǎng)絡安全策略.12 2.5.1 網(wǎng)絡安全策略的分類.12 2.5.2 網(wǎng)絡

10、安全策略的配置.12 2.6 網(wǎng)絡安全發(fā)展趨勢.13 3 網(wǎng)絡安全問題解決對策.14 3.1 計算機安全級別劃分.14 3.1.1 tcsec 簡介.14 3.1.2 gb17859 劃分的特點 .17 3.1.3 安全等級標準模型.17 3.2 防火墻技術.18 3.2.1 防火墻的基本概念和作用.18 3.2.2 防火墻的分類.18 3.2.3 防火墻的工作原理.19 3.3 入侵檢測技術.21 3.3.1 入侵檢測系統(tǒng).21 3.3.2 入侵檢測系分類.22 3.3.3 入侵檢測系.23 3.3.4 代理(agent)技術.23 3.3.5 入侵檢測與防火墻實現(xiàn)聯(lián)動.24 3.4 數(shù)據(jù)加

11、密技術.24 3.4.1 數(shù)據(jù)加密原理.24 3.4.2 對稱密鑰體系.25 3.4.3 非對稱密鑰體系.26 3.4.4 數(shù)據(jù)信封技術.26 3.5 反病毒技術.27 3.5.1 計算機病毒的介紹.27 3.5.2 計算機病毒的組成和分類.27 3.5.3 計算機病毒的監(jiān)測和清除.28 4 網(wǎng)絡安全防范.29 4.1telnet入侵防范.29 4.2 防止 administrator賬號被破解 .30 4.3 防止賬號被暴力破解.30 4.4“木馬” 防范.30 4.4.1“木馬”的概述.30 4.4.2“木馬”的防范措施.31 4.5 網(wǎng)頁惡意代碼及其防范.31 4.5.1 惡意代碼的威脅

12、分類.31 4.5.2 惡意代碼分析.32 4.5.3 惡意代碼的防范措施.33 4.6 嗅探器(sineffer)的防范 .34 4.6.1 嗅探器工作原理.34 4.6.2 嗅探器檢測與防范.34 4.7 數(shù)據(jù)密文防范措施.35 4.8 其他網(wǎng)絡攻擊與防范措施.37 4.8.1 源 ip 地址欺騙攻擊.37 4.8.2 源路由欺騙攻擊.37 4.8.3 拒絕服務器攻擊及預防措施.38 5 校園網(wǎng)絡安全體系.39 5.1 校園網(wǎng)絡安全規(guī)范.39 5.2 校園網(wǎng)絡安全建議.39 5.2.1 校園網(wǎng)絡狀況分析.39 5.2.2 校園網(wǎng)絡安全目標.40 5.3 校園網(wǎng)絡信息安全技術應用.40 5.

13、3.1 數(shù)據(jù)備份方法.40 5.3.2 防火墻技術.41 5.3.3 入侵檢測技術.42 5.4 校園網(wǎng)絡安全隱患.42 5.5 校園網(wǎng)絡主動和防御體系.43 5.5.1p2dr 模型.43 5.5.2 校園網(wǎng)絡安全防范體系.44 5.5.3 完善安全制度與管理.46 6 結論.47 致謝.48 參考文獻.49 1 1 概述概述 互聯(lián)網(wǎng)的各種安全威脅時刻影響著校園網(wǎng)的運行和管理，加強校園網(wǎng)的安全 管理是當前重要任務。校園網(wǎng)是學校信息系統(tǒng)的核心，必須建立有效的網(wǎng)絡安全 防范體系保證網(wǎng)絡應用的安全。 校園網(wǎng)面臨著一系列的安全問題，受到來自外部和內部的攻擊(如病毒困擾， 非授權訪問等)。目前國內許多

14、高校存在校區(qū)分散的狀況，各校區(qū)間通信的安全 連接還存在問題。但一般的校園網(wǎng)安全方案存在安全手段單一的問題，大多只是 簡單地采用防火墻等有限措施來保護網(wǎng)絡安全。而這些措施往往存在很大的局限 性，它們不能覆蓋實現(xiàn)整個校園網(wǎng)安全的各個層次、各個方位，這樣的網(wǎng)絡系統(tǒng) 就存在很多的安全隱患。比如缺乏強健的認證、授權和訪問控制等，往往使攻擊 者有機可乘；管理員無法了解網(wǎng)絡的漏洞和可能發(fā)生的攻擊。傳統(tǒng)的被動式抵御 方式只能等待入侵者的攻擊，而缺乏主動防范的功能：對于已經(jīng)或正在發(fā)生的攻 擊缺乏有效的追查手段；對從網(wǎng)絡進入的病毒等無法控制等，除此以外大多用戶 安全意識都很淡薄，這些都是我們需要注意和解決的安全問

15、題。 本文以“實事求是”的指導思想為原則，從計算機網(wǎng)絡面臨的各種安全威脅， 系統(tǒng)地介紹網(wǎng)絡安全技術。并針對校園網(wǎng)絡的安全問題進行研究，首先分析了高 校網(wǎng)絡系統(tǒng)安全的隱患，然后從構建安全防御體系和加強安全管理兩方面設計了 校園網(wǎng)絡的安全策略。本次論文研究中，我首先了解了網(wǎng)絡安全問題的主要威脅 因素，并利用網(wǎng)絡安全知識對安全問題進行剖析。其次，通過對網(wǎng)絡技術的研究， 得出校園網(wǎng)也會面臨著安全上的威脅。最后，確立了用 p2dr 模型的思想來建立 校園網(wǎng)的安全防御體系。并得出了構建一套有效的網(wǎng)絡安全防御體系是解決校園 網(wǎng)主要威脅和隱患的必要途徑和措施。 2 2 網(wǎng)絡安全概述網(wǎng)絡安全概述 2.12.1

16、網(wǎng)絡安全發(fā)展與歷史現(xiàn)狀分析網(wǎng)絡安全發(fā)展與歷史現(xiàn)狀分析 2.1.12.1.1 因特網(wǎng)的發(fā)展及其安全問題因特網(wǎng)的發(fā)展及其安全問題 隨著計算機技術的發(fā)展，在計算機上處理業(yè)務已由基于單機的數(shù)學運算、文 件處理，基于簡單連結的內部網(wǎng)絡的內部業(yè)務處理、辦公自動化等發(fā)展到基于企 業(yè)復雜的內部網(wǎng)、企業(yè)外部網(wǎng)、全球互聯(lián)網(wǎng)的企業(yè)級計算機處理系統(tǒng)和世界范圍 內的信息共享和業(yè)務處理。在信息處理能力提高的同時，系統(tǒng)的連結能力也在不 斷的提高。但在連結信息能力、流通能力提高的同時，基于網(wǎng)絡連接的安全問題 也日益突出。 主要表現(xiàn)在以下方面： 1 1網(wǎng)絡的開放帶來的安全問題網(wǎng)絡的開放帶來的安全問題 internet 的開放性

17、以及其他方面因素導致了網(wǎng)絡環(huán)境下的計算機系統(tǒng)存在很 多安全問題。為了解決這些安全問題，各種安全機制、策略、管理和技術被研究 和應用。然而，即使在使用了現(xiàn)有的安全工具和技術的情況下，網(wǎng)絡的安全仍然 存在很大隱患，這些安全隱患主要可以包括為以下幾點： （1 1）安全機制在特定條件下并非萬無一失）安全機制在特定條件下并非萬無一失 比如防火墻，它雖然是一種有效的安全工具，可以隱蔽內部網(wǎng)絡結構，限 制外部網(wǎng)絡到內部網(wǎng)絡的訪問。但是對于內部網(wǎng)絡之間的訪問，防火墻往往是無 能為力的。因此，對于內部網(wǎng)絡到內部網(wǎng)絡之間的入侵行為和內外勾結的入侵行 為，防火墻是很難發(fā)覺和防范的。 （2 2）安全工具的使用受到人為

18、因素的影響）安全工具的使用受到人為因素的影響 一個安全工具能不能實現(xiàn)期望的效果，在很大程度上取決于使用者，包括系 統(tǒng)管理者和普通用戶，不正當?shù)脑O置就會產(chǎn)生不安全因素。例如，windows nt 在進行合理的設置后可以達到 c2 級的安全性，但很少有人能夠對 windows nt 本 身的安全策略進行合理的設置。雖然在這方面，可以通過靜態(tài)掃描工具來檢測系 統(tǒng) 是否進行了合理的設置，但是這些掃描工具基本上也只是基于一種缺省的系統(tǒng)安 全策略進行比較，針對具體的應用環(huán)境和專門的應用需求就很難判斷設置的正確 性。 （3 3）系統(tǒng)的后門是難以考慮的地方）系統(tǒng)的后門是難以考慮的地方 防火墻很難考慮到這類安全

19、問題，多數(shù)情況下，這類入侵行為可以堂而皇之 經(jīng)過防火墻而很難被察覺；比如說，眾所周知的 asp 源碼問題，這個問題在 iis 服務器 4.0 以前一直存在，它是 iis 服務的設計者留下的一個后門，任何人都可 以使用瀏覽器從網(wǎng)絡上方便地調出 asp 程序的源碼，從而可以收集系統(tǒng)信息，進 而對系統(tǒng)進行攻擊。對于這類入侵行為，防火墻是無法發(fā)覺的，因為對于防火墻 來說，該入侵行為的訪問過程和正常的 web 訪問是相似的，唯一區(qū)別是入侵訪 問在請求鏈接中多加了一個后綴。 （4 4）bugbug 難以防范難以防范 甚至連安全工具本身也可能存在安全的漏洞。幾乎每天都有新的 bug 被發(fā) 現(xiàn)和公布出來，程序

20、設計者在修改已知的 bug 的同時又可能使它產(chǎn)生了新的 bug。系統(tǒng)的 bug 經(jīng)常被黑客利用，而且這種攻擊通常不會產(chǎn)生日志，幾乎無據(jù)可 查。比如說現(xiàn)在很多程序都存在內存溢出的 bug，現(xiàn)有的安全工具對于利用這些 bug 的攻擊幾乎無法防范。 （5 5）黑客的攻擊手段在不斷升級）黑客的攻擊手段在不斷升級 安全工具的更新速度慢，且絕大多數(shù)情況需要人為的參與才能發(fā)現(xiàn)以前未知 的安全問題，這就使得它們對新出現(xiàn)的安全問題總是反應遲鈍。當安全工具剛發(fā) 現(xiàn)并努力更正某方面的安全問題時，其他的安全問題又出現(xiàn)了。因此，黑客總是 可以使用先進的、安全工具不知道的手段進行攻擊。 2 2網(wǎng)絡的安全的防護力脆弱，導致

21、的網(wǎng)絡危機網(wǎng)絡的安全的防護力脆弱，導致的網(wǎng)絡危機 （1 1）warroonwarroon researchresearch 調查調查 根據(jù) warroon research 的調查，1997 年世界排名前一千的公司幾乎都曾被黑 客闖入。 （2 2）fbifbi 統(tǒng)計統(tǒng)計 據(jù)美國 fbi 統(tǒng)計，美國每年因網(wǎng)絡安全造成的損失高達 75 億美元。 （3 3）ernsternst 和和 youngyoung 報告報告 ernst 和 young 報告，由于信息安全被竊或濫用，幾乎 80%的大型企業(yè)遭受損 失。 （4 4）最近一次黑客攻擊）最近一次黑客攻擊 最近一次黑客大規(guī)模的攻擊行動中，雅虎網(wǎng)站的網(wǎng)絡

22、停止運行 3 小時，這令 它損失了幾百萬美金的交易。而據(jù)統(tǒng)計在這整個行動中美國經(jīng)濟共損失了十多億 美金。由于業(yè)界人心惶惶，亞馬遜(a)、aol、雅虎(yahoo)、ebay 的 股價均告下挫，以科技股為主的那斯達克指數(shù)(nasdaq)打破過去連續(xù)三天創(chuàng)下新 高的升勢，下挫了六十三點，杜瓊斯工業(yè)平均指數(shù)周三收市時也跌了二百五十八 點。 3 3網(wǎng)絡安全的主要威脅因素網(wǎng)絡安全的主要威脅因素 （1 1）軟件漏洞）軟件漏洞 每一個操作系統(tǒng)或網(wǎng)絡軟件的出現(xiàn)都不可能是無缺陷和漏洞的。這就使我們 的計算機處于危險的境地，一旦連接入網(wǎng)，將成為眾矢之的。 （2 2）配置不當）配置不當 安全配置不當造成安全漏洞，例

23、如，防火墻軟件的配置不正確，那么它根本 不起作用。對特定的網(wǎng)絡應用程序，當它啟動時，就打開了一系列的安全缺口， 許多與該軟件捆綁在一起的應用軟件也會被啟用。除非用戶禁止該程序或對其進 行正確配置，否則，安全隱患始終存在。 （3 3）安全意識不強）安全意識不強 用戶口令選擇不慎，或將自己的帳號隨意轉借他人或與別人共享等都會對網(wǎng) 絡安全帶來威脅。 （4 4）病毒）病毒 目前數(shù)據(jù)安全的頭號大敵是計算機病毒，它是編制者在計算機程序中插入 的破壞計算機功能或數(shù)據(jù)，影響計算機軟件、硬件的正常運行并且能夠自我復制 的一組計算機指令或程序代碼。計算機病毒具有傳染性、寄生性、隱蔽性、觸發(fā) 性、破壞性等特點。因此

24、，提高對病毒的防范刻不容緩。 （5 5）黑客）黑客 對于計算機數(shù)據(jù)安全構成威脅的另一個方面是來自電腦黑客(backer)。電腦 黑客利用系統(tǒng)中的安全漏洞非法進入他人計算機系統(tǒng)，其危害性非常大。從某種 意義上講，黑客對信息安全的危害甚至比一般的電腦病毒更為嚴重。 2.1.22.1.2 我國網(wǎng)絡安全現(xiàn)狀及發(fā)展趨勢我國網(wǎng)絡安全現(xiàn)狀及發(fā)展趨勢 因特網(wǎng)在我國的迅速普及，我國境內信息系統(tǒng)的攻擊事件也正在呈現(xiàn)快速增 長的勢頭。據(jù)了解，從 1997 年底到現(xiàn)在，我國的政府部門、證券公司、銀行、 isp。icp 等機構的計算機網(wǎng)絡相繼遭到多次攻擊。因此，加強網(wǎng)絡信息安全保障 已成為當前的迫切任務。 目前我國網(wǎng)絡

25、安全的現(xiàn)狀和面臨的威脅主要有： 1 1設備與技術的缺乏設備與技術的缺乏 計算機網(wǎng)絡系統(tǒng)使用的軟、硬件很大一部分是國外產(chǎn)品，我們對引進的信息 技術和設備缺乏保護信息安全所必不可少的有效管理和技術改造。 2 2實際操作差實際操作差 全社會的信息安全意識雖然有所提高，但將其提到實際日程中來的依然很少。 3 3目前關于網(wǎng)絡犯罪的法律、法規(guī)還不健全目前關于網(wǎng)絡犯罪的法律、法規(guī)還不健全 4 4我國信息安全人才培養(yǎng)還不能滿足其需要我國信息安全人才培養(yǎng)還不能滿足其需要 2.1.32.1.3 校園網(wǎng)絡面臨的安全問題校園網(wǎng)絡面臨的安全問題 其它網(wǎng)絡一樣，校園網(wǎng)也會受到相應的威脅，大體可分為對網(wǎng)絡中數(shù)據(jù)信息 的危害

26、和對網(wǎng)絡設備的危害。具體來說包括： 1 1非法授權問題非法授權問題 即對網(wǎng)絡設備及信息資源進行非正常使用或越權使用等。 2 2冒充合法用戶冒充合法用戶 即利用各種假冒或欺騙的手段非法獲得合法用戶的使用權限，以達到占用合 法用戶資源的目的。 3 3破會數(shù)據(jù)的完整性破會數(shù)據(jù)的完整性 即使用非法手段，刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用。 4 4干擾系統(tǒng)運行干擾系統(tǒng)運行 指改變系統(tǒng)的正常運行方法，減慢系統(tǒng)的響應時間等手段。 5 5病毒與惡意的攻擊病毒與惡意的攻擊 即通過網(wǎng)絡傳播病毒或進行惡意攻擊。除此之外，校園網(wǎng)還面對形形色色、 良莠不分的網(wǎng)絡資源，如不進行識別和過濾，那么會造成大量非

27、法內容或郵件出 入，占用大量流量資源，造成流量堵塞、上網(wǎng)速度慢等問題。許多校園網(wǎng)是從局 域網(wǎng)發(fā)展來的，由于意識與資金方面的原因，它們在安全方面往往沒有太多的設 置，這就給病毒和黑客提供了生存的空間。因此，校園網(wǎng)的網(wǎng)絡安全需求是全方 位的。 2.22.2 網(wǎng)絡安全含義網(wǎng)絡安全含義 我國網(wǎng)絡安全從其本質來講就是網(wǎng)絡上信息安全，它涉及的領域相當廣泛， 這是因為目前的公用通信網(wǎng)絡中存在著各式各樣的安全漏洞和威脅。廣義上講， 凡是涉及到網(wǎng)絡上信息的保密性、完整性、可用性和可控性的相關技術和理論， 都是網(wǎng)絡安全的研究領域。 網(wǎng)絡安全是指網(wǎng)絡系統(tǒng)的硬件，軟件及數(shù)據(jù)受到保護，不遭受偶然或惡意的 破壞、更改、泄

28、露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡服務不中斷1 1。且在不同環(huán) 境和應用中又不同的解釋。 1.1.運行系統(tǒng)安全運行系統(tǒng)安全 即保證信息處理和傳輸系統(tǒng)的安全，包括計算機系統(tǒng)機房環(huán)境和傳輸環(huán)境的 法律保護、計算機結構設計的安全性考慮、硬件系統(tǒng)的安全運行、計算機操作系 統(tǒng)和應用軟件的安全、數(shù)據(jù)庫系統(tǒng)的安全、電磁信息泄露的防御等。 2.2.網(wǎng)上信息系統(tǒng)的安全網(wǎng)上信息系統(tǒng)的安全 包括用戶口令鑒別、用戶存取權限控制、數(shù)據(jù)存取權限、方式控制、安全審 計、安全問題跟蹤、計算機病毒防治、數(shù)據(jù)加密等。 3.3.網(wǎng)上信息傳輸?shù)陌踩W(wǎng)上信息傳輸?shù)陌踩?即信息傳播后果的安全、包括信息過濾、不良信息過濾等。 4.4.網(wǎng)上信

29、息內容的安全網(wǎng)上信息內容的安全 即我們討論的狹義的“信息安全” ；側重于保護信息的機密性、真實性和完 整性。本質上是保護用戶的利益和隱私。 2.32.3 網(wǎng)絡安全屬性網(wǎng)絡安全屬性 網(wǎng)絡安全具有三個基本的屬性：機密性、完整性、可用性。 1.1.機密性機密性 是指保證信息與信息系統(tǒng)不被非授權者所獲取與使用，主要范措施是密碼技 術。 2.2.完整性完整性 是指保證信息與信息系統(tǒng)可被授權人正常使用，主要防范措施是確保信息與 信息系統(tǒng)處于一個可靠的運行狀態(tài)之下。 3.3.可用性可用性 是指可以供正常被其他網(wǎng)絡使用的相關技術。 以上可以看出：在網(wǎng)絡中，維護信息載體和信息自身的安全都包括了機密性、 完整性、

30、可用性這些重要的屬性。 2.42.4 網(wǎng)絡安全機制網(wǎng)絡安全機制 網(wǎng)絡安全機制是保護網(wǎng)絡信息安全所采用的措施，所有的安全機制都是針對 某些潛在的安全威脅而設計的，可以根據(jù)實際情況單獨或組合使用。如何在有限 的投入下合理地使用安全機制，以便盡可能地降低安全風險，是值得討論的，網(wǎng) 絡信息安全機制應包括：技術機制和管理機制兩方面的內容。 2.4.12.4.1 網(wǎng)絡安全技術機制網(wǎng)絡安全技術機制 網(wǎng)絡安全技術機制包含以下內容： 1 1加密和隱藏加密和隱藏 加密使信息改變，攻擊者無法了解信息的內容從而達到保護；隱藏則是將有 用信息隱藏在其他信息中，使攻擊者無法發(fā)現(xiàn)。 2 2認證和授權認證和授權 網(wǎng)絡設備之間

31、應互認證對方的身份，以保證正確的操作權力賦予和數(shù)據(jù)的存 取控制；同時網(wǎng)絡也必須認證用戶的身份，以授權保證合法的用戶實施正確的操 作。 3 3審計和定位審計和定位 通過對一些重要的事件進行記錄，從而在系統(tǒng)中發(fā)現(xiàn)錯誤或受到攻擊時能定 位錯誤并找到防范失效的原因，作為內部犯罪和事故后調查取證的基礎。 4 4完整性保證完整性保證 利用密碼技術的完整性保護可以很好地對付非法篡改，當信息源的完整性可 以被驗證卻無法模仿時，可提供不可抵賴服務。 5 5權限和存取控制權限和存取控制 針對網(wǎng)絡系統(tǒng)需要定義的各種不同用戶，根據(jù)正確的認證，賦予其適當?shù)牟?作權力，限制其越級操作。 6 6任務填充任務填充 在任務間歇

32、期發(fā)送無用的具有良好模擬性能的隨機數(shù)據(jù)，以增加攻擊者通過 分析通信流量和破譯密碼獲得信息難度。 2.4.22.4.2 網(wǎng)絡安全管理機制網(wǎng)絡安全管理機制 網(wǎng)絡信息安全不僅僅是技術問題，更是一個管理問題，要解決網(wǎng)絡信息安全 問題，必須制定正確的目標策略，設計可行的技術方案，確定合理的資金技術， 采取相應的管理措施和依據(jù)相關法律制度 2.52.5 網(wǎng)絡安全策略網(wǎng)絡安全策略 策略通常是一般性的規(guī)范，只提出相應的重點，而不確切地說明如何達到所 要的結果，因此策略屬于安全技術規(guī)范的最高一級。 2.5.12.5.1 網(wǎng)絡安全策略的分類網(wǎng)絡安全策略的分類 安全策略分為基于身份的安全策略和基于規(guī)則的安全策略種。

33、基于身份的安 全策略是過濾對數(shù)據(jù)或資源的訪問，有兩種執(zhí)行方法：若訪問權限為訪問者所有， 典型的作法為特權標記或特殊授權，即僅為用戶及相應活動進程進行授權；若為 訪問數(shù)據(jù)所有則可以采用訪問控制表（acl） 。這兩種情況中，數(shù)據(jù)項的大小有 很大的變化，數(shù)據(jù)權力命名也可以帶自己的 acl2 2。 基于規(guī)則的安全策略是指建立在特定的，個體化屬性之上的授權準則，授權 通常依賴于敏感性。在一個安全系統(tǒng)中，數(shù)據(jù)或資源應該標注安全標記，而且用 戶活動應該得到相應的安全標記。 2.5.22.5.2 網(wǎng)絡安全策略的配置網(wǎng)絡安全策略的配置 開放式網(wǎng)絡環(huán)境下用戶的合法權益通常受到兩種方式的侵害：主動攻擊和被 動攻擊，

34、主動攻擊包括對用戶信息的竊取，對信息流量的分析。根據(jù)用戶對安全 的需求才可以采用以下的保護： 1 1身份認證身份認證 檢驗用戶的身份是否合法、防止身份冒充、及對用戶實施訪問控制數(shù)據(jù)完整 性鑒別、防止數(shù)據(jù)被偽造、修改和刪除。 2 2信息保密信息保密 防止用戶數(shù)據(jù)被泄、竊取、保護用戶的隱私。 3 3數(shù)字簽名數(shù)字簽名 防止用戶否認對數(shù)據(jù)所做的處理。 4 4訪問控制訪問控制 對用戶的訪問權限進行控制。 5 5不可否認性不可否認性 也稱不可抵賴性，即防止對數(shù)據(jù)操作的否認。 2.5.32.5.3 網(wǎng)絡安全策略的實現(xiàn)流程網(wǎng)絡安全策略的實現(xiàn)流程 安全策略的實現(xiàn)涉及到以下及個主要方面，如圖 2-1 所示 圖 2

35、-1 安全策略實現(xiàn)流程 1 1證書管理證書管理 主要是指公開密銀證書的產(chǎn)生、分配更新和驗證。 2 2密銀管理密銀管理 包括密銀的產(chǎn)生、協(xié)商、交換和更新，目的是為了在通信的終端系統(tǒng)之間建 立實現(xiàn)安全策略所需的共享密銀。 3 3安全協(xié)作安全協(xié)作 是在不同的終端系統(tǒng)之間協(xié)商建立共同采用的安全策略，包括安全策略實施 所在層次、具體采用的認證、加密算法和步驟、如何處理差錯。 4 4安全算法實現(xiàn)安全算法實現(xiàn) 具體算法的實現(xiàn)，如 pes、rsa。 5 5安全策略數(shù)據(jù)庫安全策略數(shù)據(jù)庫 保存與具體建立的安全策略有關的狀態(tài)、變量、指針。 2.62.6 網(wǎng)絡安全發(fā)展趨勢網(wǎng)絡安全發(fā)展趨勢 從總的看來，對等網(wǎng)絡將成為主

36、流，與網(wǎng)格共存。網(wǎng)絡進化的未來綠色網(wǎng) 絡呼喚著新的信息安全保障體系。 國際互聯(lián)網(wǎng)允許自主接入，從而構成一個規(guī)模龐大的，復雜的巨系統(tǒng)，在如 此復雜的環(huán)境下，孤立的技術發(fā)揮的作用有限，必須從整體的和體系的角度，綜 合運用系統(tǒng)論，控制論和信息論等理論，融合各種技術手段，加強自主創(chuàng)新和頂 層設計，協(xié)同解決網(wǎng)絡安全問題。 保證網(wǎng)絡安全還需嚴格的手段，未來網(wǎng)絡安全領域可能發(fā)生三件事，其一是 向更高級別的認證轉移；其二，目前存儲在用戶計算機上的復雜數(shù)據(jù)將“向上移 動” ，由與銀行相似的機構確保它們的安全；第三，是在全世界的國家和地區(qū)建 立與駕照相似的制度，它們在計算機銷售時限制計算機的運算能力，或要求用戶

37、演示在自己的計算機受到攻擊時抵御攻擊的能力3 3。 3 3 網(wǎng)絡安全問題解決對策網(wǎng)絡安全問題解決對策 3.13.1 計算機安全級別劃分計算機安全級別劃分 3.1.13.1.1 tcsectcsec 簡介簡介 1999 年 9 月 13 日國家質量技術監(jiān)督局公布了我國第一部關于計算機信息系 統(tǒng)安全等級劃分的標準“計算機信息系統(tǒng)安全保護等級劃分準則” （gb17859- 1999） 。而國外同標準的是美國國防部在 1985 年 12 月公布的可信計算機系統(tǒng)評 價標準 tcsec(又稱桔皮書)。在 tcsec 劃分了 7 個安全等級：d 級、c1 級、c2 級、b1 級、b2 級、b3 級和 a1

38、級。其中 d 級是沒有安全機制的級別，a1 級是 難以達到的安全級別，如表 3-1 所示 表 3-1 網(wǎng)絡安全等級及安全級別的性能要求 下面對下各個安全級別進行介紹： 1 1d d 類安全等級類安全等級 d 類安全等級只包括 d1 一個級別。d1 的安全等級最低。d1 系統(tǒng)只為文件 和用戶提供安全保護。d1 系統(tǒng)最普通的形式是本地操作系統(tǒng)，或者是一個完全 沒有保護的網(wǎng)絡。 2 2c c 類安全等級類安全等級 該類安全等級能夠提供審慎的保護，并為用戶的行動和責任提供審計能力。 c 類安全等級可劃分為 c1 和 c2 兩類。c1 系統(tǒng)的可信任運算基礎體制（trusted computing bas

39、e 即 tcb）通過將用戶和數(shù)據(jù)分開來達到安全的目的。在 c1 系統(tǒng) 中，所有的用戶以同樣的靈敏度來處理數(shù)據(jù)，即用戶認為 c1 系統(tǒng)中的所有文檔 都具有相同的機密性。c2 系統(tǒng)比 c1 系統(tǒng)加強了可調的審慎控制。在連接事件和 資源隔離來增強這種控制。c2 系統(tǒng)具有 c1 系統(tǒng)中所有的安全性特征。 3 3b b 類安全等級類安全等級 b 類安全等級可分為 b1、b2 和 b3 三類。b 類系統(tǒng)具有強制性保護功能。 強制性保護意味著如果用戶沒有與安全等級相連，系統(tǒng)就不會讓用戶存取對象。 安全級別名 稱說明 d1酌情安全保護對硬件和操作系統(tǒng)幾乎無保護，對信息的訪問 無控制 c1自選安全保護由用戶注冊

40、名和口令的組合來確定用戶對信息 的訪問權限 b1被標簽的安全性保護為強制性訪問控制，不允許文件的擁有者改變 其許可權限 b2結構化保護要求對計算機中所有信息加以標簽，并且對設 備分配單個或多個安全級別 b3安全域保護使用安全硬件的方法來加強域的管理 終端與系統(tǒng)的連接途徑可信任 a核實保護系統(tǒng)不同來源必須有安全措施必須在銷售過程 中實施 b1 系統(tǒng)滿足下列要求：系統(tǒng)對網(wǎng)絡控制下的每個對象都進行靈敏度標記；系統(tǒng)使 用靈敏度標記作為所有強迫訪問控制的基礎；系統(tǒng)在把導入的、非標記的對象放 入系統(tǒng)前標記它們；靈敏度標記必須準確地表示其所聯(lián)系的對象的安全級別；當 系統(tǒng)管理員創(chuàng)建系統(tǒng)或者增加新的通信通道或

41、i/o 設備時，管理員必須指定每個 通信通道和 i/o 設備是單級還是多級，并且管理員只能手工改變指定；單級設備 并不保持傳輸信息的靈敏度級別；所有直接面向用戶位置的輸出（無論是虛擬的 還是物理的）都必須產(chǎn)生標記來指示關于輸出對象的靈敏度；系統(tǒng)必須使用用戶 的口令或證明來決定用戶的安全訪問級別；系統(tǒng)必須通過審計來記錄未授權訪問 的企圖。b2 系統(tǒng)必須滿足 b1 系統(tǒng)的所有要求。另外，b2 系統(tǒng)的管理員必須使 用一個明確的、文檔化的安全策略模式作為系統(tǒng)的可信任運算基礎體制。b2 系統(tǒng) 必須滿足下列要求：系統(tǒng)必須立即通知系統(tǒng)中的每一個用戶所有與之相關的網(wǎng)絡 連接的改變；只有用戶能夠在可信任通信路徑

42、中進行初始化通信；可信任運算基 礎體制能夠支持獨立的操作者和管理員。b3 系統(tǒng)必須符合 b2 系統(tǒng)的所有安全需 求。b3 系統(tǒng)具有很強的監(jiān)視委托管理訪問能力和抗干擾能力。b3 系統(tǒng)必須設有 安全管理員。b3 系統(tǒng)應滿足以下要求: （1 1）產(chǎn)生可讀列表）產(chǎn)生可讀列表 b3 必須產(chǎn)生一個可讀的安全列表，每個被命名的對象提供對該對象沒有訪問 權的用戶列表說明。 （2 2）身份驗證）身份驗證 b3 系統(tǒng)在進行任何操作前，要求用戶進行身份驗證。 （3 3）驗證用戶）驗證用戶 b3 系統(tǒng)驗證每個用戶，同時還會發(fā)送一個取消訪問的審計跟蹤消息；設計 者必須正確區(qū)分可信任的通信路徑和其他路徑；可信任的通信基礎

43、體制為每一個 被命名的對象建立安全審計跟蹤；可信任的運算基礎體制支持獨立的安全管理。 4 4a a 類安全等級類安全等級 a 系統(tǒng)的安全級別最高。目前，a 類安全等級只包含 a1 一個安全類別。a1 類與 b3 類相似，對系統(tǒng)的結構和策略不作特別要求。a1 系統(tǒng)的顯著特征是，系 統(tǒng)的設計者必須按照一個正式的設計規(guī)范來分析系統(tǒng)。對系統(tǒng)分析后，設計者必 須運用核對技術來確保系統(tǒng)符合設計規(guī)范。a1 系統(tǒng)必須滿足下列要求：系統(tǒng)管 理員必須從開發(fā)者那里接收到一個安全策略的正式模型;所有的安裝操作都必須 由系統(tǒng)管理員進行；系統(tǒng)管理員進行的每一步安裝操作都必須有正式文檔。 3.1.23.1.2 gb1785

44、9gb17859 劃分的特點劃分的特點 gb17859 把計算機信息安全保護能力劃分為 5 個等級，它們是：系統(tǒng)自我保 護級、系統(tǒng)審計保護級、安全標記保護級、結構化保護級和訪問驗證保護級。這 5 個級別的安全強度從低到高排列讓高一級包括低一級的安全能力，如表 3-2 所 示。 表 3-2 gb17859 的劃分標準 安全能力一級二級三級四級五級 自主訪問控 制 強制訪問控 制 標記 身份鑒別 客體重用 審計 數(shù)據(jù)完整 隱蔽信道分 析 可信路徑 可信恢復 注: “”:新增功能；“”：比上一級功能又所擴展；“”：與上一級功能相同。 3.1.33.1.3 安全等級標準模型安全等級標準模型 計算機信息

45、系統(tǒng)的安全模型主要又訪問監(jiān)控器模型、軍用安全模仿和信息流 模型等三類模型，它們是定義計算機信息系統(tǒng)安全等級劃分標準的依據(jù)。 1 1訪問監(jiān)控模型訪問監(jiān)控模型 是按 tcb 要求設計的，受保護的客體要么允許訪問，要么不允許訪問。 2 2常用安全模型常用安全模型 是一種多級安全模型，即它所控制的信息分為絕密、機密、秘密和無密 4 種 敏感級。 3 3信息流模型信息流模型 是計算機中系統(tǒng)中系統(tǒng)中信息流動路徑，它反映了用戶在計算機系統(tǒng)中的訪 問意圖。信息流分直接的和間接的兩種。 3.23.2 防火墻技術防火墻技術 隨著網(wǎng)絡安全問題日益嚴重，網(wǎng)絡安全技術和產(chǎn)品也被人們逐漸重視起來， 防火墻作為最早出現(xiàn)的網(wǎng)

46、絡安全技術和使用量最大的網(wǎng)絡安全產(chǎn)品，受到用戶和 研發(fā)機構的親睞。 3.2.13.2.1 防火墻的基本概念和作用防火墻的基本概念和作用 防火墻是指設置在不同網(wǎng)絡或網(wǎng)絡安全域之間的一系列部件的組合，它執(zhí)行 預先制定的訪問控制策略，決定了網(wǎng)絡外部與網(wǎng)絡內部的訪問方式。 在網(wǎng)絡中，防火墻實際是一種隔離技術，它所執(zhí)行的隔離措施有： 1 1拒絕未經(jīng)授權的用戶訪問內部網(wǎng)和存取敏感數(shù)據(jù)拒絕未經(jīng)授權的用戶訪問內部網(wǎng)和存取敏感數(shù)據(jù) 2 2允許合法用戶不受妨礙地訪問網(wǎng)絡資源允許合法用戶不受妨礙地訪問網(wǎng)絡資源 （1 1）作為網(wǎng)絡安全的屏障）作為網(wǎng)絡安全的屏障 一個防火墻作為阻塞節(jié)點和控制節(jié)點能極大地提高一個內部網(wǎng)絡

47、的安全性， 并通過過濾不安全的服務而降低風險，只有經(jīng)過精心選擇的應用協(xié)議才能通過防 火墻，所以網(wǎng)絡環(huán)境變得更安全。 （2 2）可以強化網(wǎng)絡安全策略）可以強化網(wǎng)絡安全策略 通過以防火墻為中心的安全方案配置，能將所有的安全軟件配置在防火墻上， 體現(xiàn)集中安全管理更經(jīng)濟。 （3 3）對網(wǎng)絡存取和訪問進行檢測審計）對網(wǎng)絡存取和訪問進行檢測審計 如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并做出日 志記錄，同時也能提供網(wǎng)絡使用情況的統(tǒng)計數(shù)據(jù)，當發(fā)生可疑動作時，防火墻能 進行適當?shù)膱缶?，并提供網(wǎng)絡是否受到監(jiān)測和攻擊的詳細信息。 （4 4）防止內部信息的外泄）防止內部信息的外泄 通過利用防火墻對

48、內部網(wǎng)絡的劃分，可實現(xiàn)內部網(wǎng)重點網(wǎng)段的隔離，從而限 制了局部重點或敏感網(wǎng)絡安全問題對全局網(wǎng)絡造成的影響。 （5 5）協(xié)議的支持）協(xié)議的支持 支持具有因特網(wǎng)服務性的企業(yè)內部網(wǎng)絡技術體系 vpn。 3.2.23.2.2 防火墻的分類防火墻的分類 防火墻的分類有很多種。根據(jù)受保護的對象，可以分為網(wǎng)絡防火墻的單機防 火墻；根據(jù)防火墻主要部分的形態(tài)，可以分為軟件防火墻和硬件防火墻；根據(jù)防 火墻使用的對象，可以分外企業(yè)防火墻和個人防火墻；根據(jù)防火墻檢查數(shù)據(jù)包的 位置，可以分外包過濾、防火墻應用代理防火墻和檢測防火墻。 3.2.33.2.3 防火墻的工作原理防火墻的工作原理 從防火墻的作用可以看出，防火墻必

49、須具備兩個要求：保障內部網(wǎng)安全和保 障內部網(wǎng)和外部網(wǎng)的聯(lián)通。因此在邏輯上防火墻是一個分離器、限制器、分析器 44。有效地監(jiān)控了內部網(wǎng)和外部網(wǎng)的任何活動，保證了內部網(wǎng)絡的安全，其一般 邏輯位置如圖 3-1 所示。 圖 3-1 防火墻的邏輯示意圖 防火墻根據(jù)功能實現(xiàn)在 tcp/ip 網(wǎng)絡模型中的層次，其實現(xiàn)原理可以分為三 類：在網(wǎng)絡層實現(xiàn)防火墻功能為分組過濾技術；在應用層實現(xiàn)防火墻功能為代理 服務技術；在網(wǎng)絡層，ip 層，應用層三層實現(xiàn)防火墻為狀態(tài)檢測技術。 1 1分組過濾技術分組過濾技術 實際上是基于路由器技術，它通常由分組過濾路由器對 ip 分組進行分組選 擇，允許或拒絕特定的 ip 數(shù)據(jù)包，

50、工作于 ip 層。如表 3-3 所示。 表 3-3 分組過濾技術工作特點 輸入數(shù)據(jù)流 過濾一般基于一個 ip 分組的以下各域：第一、源/目的 ip 地址；第二、tcp/udp 源/目 的端口。前者的過濾，即根據(jù)制定的安全規(guī)則，過濾掉具有特定 ip 地址的數(shù)據(jù)分組，從而保 護內部網(wǎng)絡；后者則是為分組過濾提供了更大的靈活性。 2 2代理服務技術代理服務技術 以一個高層的應用網(wǎng)關作為代理服務器，接受外來的應用連接請求，在代理 服務器上進行安全檢查后，再與被保護的應用服務器連接，使外部用戶可以在受 控制的前提下使用內部網(wǎng)絡的服務，如圖 3-2 所示。 客 戶網(wǎng) 關服務器 發(fā)送請 求 轉發(fā)請 求 轉發(fā)請

51、求 請求響應 圖 3-2 代理服務器原理示意 表 3-4 代理服務技術工作特點 輸入數(shù)據(jù) 流 5、應用層 4、tcp 層 3、ip 層 2、數(shù)據(jù)鏈路層 1、物理層 5、應用層 4、tcp 層 3、ip 層層 2、數(shù)據(jù)鏈路層 1、物理層 輸出數(shù)據(jù) 流 輸出數(shù)據(jù)流 輸出數(shù) 據(jù)流 輸入數(shù) 據(jù)流 由于代理服務作用于應用層，它能解釋應用層上的協(xié)議，能夠作復雜和更細 粒度的訪問控制；同時，由于所有進出服務器的客戶請求必須通過代理網(wǎng)關的檢 查，可以作出精細的注冊和審計記錄，并且可以與認證、授權等安全手段方便地 集成，為客戶和服務提供更高層次的安全保護。 3 3狀態(tài)檢測技術狀態(tài)檢測技術 此技術工作在 ip/t

52、cp/應用層，它結合了分組過濾和代理服務技術的特點， 它同分組過濾一樣，在應用層上檢查數(shù)據(jù)包的內容，分析高層的協(xié)議數(shù)據(jù)，查看 內容是否符合網(wǎng)絡安全策略。如表 3-4 所示。 表 3-4 狀態(tài)檢測技術工作情況 3.33.3 入侵檢測技術入侵檢測技術 僅僅依賴防火墻并不能保證足夠的安全，為了解決非法入侵所造成的各種安 全問題，安全廠商提出了建立入侵檢測系統(tǒng)的解決方法。入侵檢測技術是防火墻 技術的有效補充，通過對計算機或計算機系統(tǒng)中的若干關鍵點收集信息并對其進 行分析，從中發(fā)現(xiàn)網(wǎng)絡中或系統(tǒng)中潛在的違反安全策略的行為和被攻擊的跡象。 3.3.13.3.1 入侵檢測系統(tǒng)入侵檢測系統(tǒng) 入侵檢測系統(tǒng)功能構成

53、，包括事件提取、入侵分析、入侵響應和遠程管理 四部分如圖 3-3 所示。 3-3 入侵檢測組成圖 3-3 入侵檢測組成圖 入侵檢測所利用的信息一般來自以下四個方面：系統(tǒng)和網(wǎng)絡日志文件、目錄和文 件中的不期望的改變、程序執(zhí)行中的不期望行為、物理形式的入侵信息。常用的 5、應用層 4、tcp 層 3、ip 層層 2、數(shù)據(jù)鏈路層 1、物理層 分析方法有模式匹配、統(tǒng)計分析、完整性分析。模式匹配是將收集到的信息與已 知的網(wǎng)絡入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進行比較，從而發(fā)現(xiàn)違背安全策略的行為。 統(tǒng)計分析方法首先給系統(tǒng)對象(如用戶、文件、目錄和設備等)創(chuàng)建一個統(tǒng)計描述， 統(tǒng)計正常使用時的一些測量屬性。測量屬性的平

54、均值將被用來與網(wǎng)絡、系統(tǒng)的行 為進行比較。當觀察值超出正常值范圍時，就有可能發(fā)生入侵行為。 3.3.23.3.2 入侵檢測系分類入侵檢測系分類 入侵檢測通過對入侵和攻擊行為的檢測，查出系統(tǒng)的入侵者或合法用戶對系 統(tǒng)資源的濫用和誤用。根據(jù)不同的檢測方法，將入侵檢測分為異常入侵檢測和誤 用人侵檢測。 1 1異常檢測異常檢測 又稱為基于行為的檢測。其基本前提是：假定所有的入侵行為都是異常的。 首先建立系統(tǒng)或用戶的“正常”行為特征輪廓，通過比較當前的系統(tǒng)或用戶的行 為是否偏離正常的行為特征輪廓來判斷是否發(fā)生了入侵。此方法不依賴于是否表 現(xiàn)出具體行為來進行檢測，是一種間接的方法。常用的具體方法有：統(tǒng)計異

55、常檢 測方法、基于特征選擇異常檢測方法、基于貝葉斯推理異常檢測方法、基于貝葉 斯網(wǎng)絡異常檢測方法、基于模式預測異常檢測方法、基于神經(jīng)網(wǎng)絡異常檢測方法、 基于機器學習異常檢測方法、基于數(shù)據(jù)采掘異常檢測方法等。 采用異常檢測的關鍵問題有如下兩個方面： 2 2誤用檢測誤用檢測 （1 1）特征量的選擇）特征量的選擇 在建立系統(tǒng)或用戶的行為特征輪廓的正常模型時，選取的特征量既要能準確 地體現(xiàn)系統(tǒng)或用戶的行為特征，又能使模型最優(yōu)化，即以最少的特征量就能涵蓋 系統(tǒng)或用戶的行為特征。 （2 2）參考閥值的選定）參考閥值的選定 由于異常檢測是以正常的特征輪廓作為比較的參考基準，因此，參考閾值的 選定是非常關鍵的

56、。閾值設定得過大，那漏警率會很高；閾值設定的過小，則虛 警率就會提高。合適的參考閾值的選定是決定這一檢測方法準確率的至關重要的 因素。由此可見，異常檢測技術難點是“正?！毙袨樘卣鬏喞拇_定、特征量的 選取、特征輪廓的更新。由于這幾個因素的制約，異常檢測的虛警率很高，但對 于未知的入侵行為的檢測非常有效。此外，由于需要實時地建立和更新系統(tǒng)或用 戶的特征輪廓，這樣所需的計算量很大，對系統(tǒng)的處理性能要求很高。 3.3.33.3.3 入侵檢測系入侵檢測系 入侵檢測就是通過對系統(tǒng)數(shù)據(jù)的分析、發(fā)現(xiàn)非授權的網(wǎng)絡訪問和攻擊行為， 然后采取報警、切斷入侵線路等對抗措施。為此目的而設計的系統(tǒng)稱為入侵檢測 系統(tǒng)。一

57、個簡單的入侵檢測系統(tǒng)，如圖 3-4 所示。 圖 3-4 簡單的入侵檢測系統(tǒng) 入侵檢測系統(tǒng)的基本任務：通過實時檢測網(wǎng)絡系統(tǒng)狀態(tài)，判斷入侵行為發(fā)生， 并產(chǎn)生報警。從功能實現(xiàn)的角度可以把這個系統(tǒng)劃分為三大模塊：信息收集模塊、 信息處理與通訊模塊、入侵判斷與反應模塊。其中信息收集模塊與特定的環(huán)境， 監(jiān)視的對象有比較密切的關系:信息處理與通訊模塊，是對所收集到的數(shù)據(jù)進行 預處理和分類，然后把處理的結果按照一定的格式傳輸給檢測判斷模塊。最后由 檢測判斷模塊根據(jù)一定的安全策略判斷入侵行為的發(fā)生并采取相應的反擊。隨著 網(wǎng)絡系統(tǒng)結構的復雜化和大型化，系統(tǒng)的弱點或漏洞將趨向于分布式。另外，入 侵行為不再是單一的行

58、為，而是表現(xiàn)出相互協(xié)作入侵的特點。入侵檢測系統(tǒng)要求 可適應性、可訓練性、高效性、容錯性、可擴展性等要求。不同的 ids 之間也需 要共享信息，協(xié)同檢測。 3.3.43.3.4 代理代理(agent)(agent)技術技術 代理(agent)是指能在特定的環(huán)境下無須人工干預和監(jiān)督完成某項工作的實 體。它具有自適應性、智能性和協(xié)作性。代理既能獨立地完成自己的工作，又能 與其它代理協(xié)作共同完成某項任務，且代理能夠接受控制并能感知環(huán)境的變化而 影響環(huán)境。代理分布于系統(tǒng)中的關鍵點及關鍵服務器，包括防火墻、對外提供各 項服務的服務器、內部網(wǎng)關和服務器，完成絕大多數(shù)的入侵檢測和響應任務。代 理可以針對特定的

59、應用環(huán)境進行配置和編程，使得代理占用負載最小。同時，代 理可以與其它代理和中心服務器進行有限的交互，交換數(shù)據(jù)和控制信息。由于代 理是獨立的功能實體，在一個多代理系統(tǒng)中，單個的功能代理能夠增加到系統(tǒng)中 去或從系統(tǒng)中刪除，并且能夠對某個代理進行重配置，而不會影響到系統(tǒng)的其它 部分?？梢钥吹剑谝粋€由多代理組成的入侵檢測系統(tǒng)中，單個代理的失效只會 影響到該代理和與之協(xié)作的部分代理，系統(tǒng)的其它部分仍能正常工作。如果能將 入侵檢測系統(tǒng)的功能合理地分配給各個代理，就能大大減少系統(tǒng)失效的風險。多 代理系統(tǒng)所具有的這些優(yōu)點使之能較好地解決常規(guī)入侵檢測系統(tǒng)的缺陷。 3.3.53.3.5 入侵檢測與防火墻實現(xiàn)聯(lián)動

60、入侵檢測與防火墻實現(xiàn)聯(lián)動 防火墻與入侵檢測這兩種技術具有較強的互補性。目前，實現(xiàn)入侵檢測和防 火墻之間的聯(lián)動有兩種方式可以實現(xiàn)，一種是實現(xiàn)緊密結合，即把入侵檢測系統(tǒng) 嵌入到防火墻中，即入侵檢測系統(tǒng)的數(shù)據(jù)來源不再來源于抓包，而是流經(jīng)防火墻 的數(shù)據(jù)流。所有通過的包不僅要接受防火墻檢測規(guī)則的驗證，還需要經(jīng)過入侵檢 測，判斷是否具有攻擊性，以達到真正的實時阻斷，這實際上是把兩個產(chǎn)品合成 一體。但是，由于入侵檢測系統(tǒng)本身也是一個很龐大的系統(tǒng)，所以無論從實施難 度、合成后的性能等方面都會因此受到很大影響。所以，目前還沒有廠商做到這 一步，仍處于理論研究階段。但是不容否認，各個安全產(chǎn)品的緊密結合是一種趨 勢