網(wǎng)絡(luò)安全概論

1、第一章網(wǎng)絡(luò)安全概論1.1網(wǎng)絡(luò)安全的概念隨著Internet的發(fā)展，網(wǎng)絡(luò)安全越來(lái)越成為一個(gè)敏感的話題。網(wǎng)絡(luò)安全有很多基 本的概念,我們先來(lái)簡(jiǎn)單的介紹一下。1.1.1網(wǎng)絡(luò)安全威脅目前，計(jì)算機(jī)互聯(lián)網(wǎng)絡(luò)面臨的安全性威脅主要有一下幾個(gè)方面：非授權(quán)訪問(wèn)和破壞（“黑客”攻擊非授權(quán)訪問(wèn):沒(méi)有預(yù)先經(jīng)過(guò)同意，就使用網(wǎng)絡(luò)或計(jì)算機(jī)資源被看作非授權(quán)訪問(wèn)，如 有意避開(kāi)系統(tǒng)訪問(wèn)控制機(jī)制，對(duì)網(wǎng)絡(luò)設(shè)備及資源進(jìn)行非正常使用，或擅自擴(kuò)大權(quán)限，越 權(quán)訪問(wèn)信息。它主要有一下幾種形式:假冒、身份攻擊、非法用戶進(jìn)入網(wǎng)絡(luò)系統(tǒng)進(jìn) 行違法操作、合法用戶以未授權(quán)方式進(jìn)行操作等。操作系統(tǒng)總不免存在這樣那樣的 漏洞,一些人就利用系統(tǒng)的漏洞,進(jìn)行網(wǎng)絡(luò)攻

2、擊，其主要目標(biāo)就是對(duì)系統(tǒng)數(shù)據(jù)的非法訪 問(wèn)和破壞:“黑客”攻擊已有十幾年的歷史，黑客活動(dòng)幾乎覆蓋了所以的操作系統(tǒng)，包括 UNIX、WindowsNTs vm、vms、以及 MVS。我們后面會(huì)對(duì)這一節(jié)的內(nèi)容進(jìn)行詳細(xì)討論。拒絕服務(wù)攻擊（Denial of service attack一種破壞性攻擊，最早的拒絕服務(wù)攻擊是“電子郵件炸彈”，它能使用戶在很短的 時(shí)間內(nèi)受到大量的電子郵件，使用戶系統(tǒng)不能處理正常業(yè)務(wù)，嚴(yán)重時(shí)會(huì)使系統(tǒng)崩潰、 網(wǎng)絡(luò)癱瘓。它不斷對(duì)網(wǎng)絡(luò)服務(wù)系統(tǒng)進(jìn)行干擾，改變其正常的作業(yè)流程,執(zhí)行無(wú)關(guān)程序 使系統(tǒng)響應(yīng)減慢甚至癱瘓,影響正常用戶的使用，甚至使合法用戶被排斥不能進(jìn)入計(jì) 算機(jī)網(wǎng)絡(luò)系統(tǒng)或不能得

3、到相應(yīng)的服務(wù)計(jì)算機(jī)病毒計(jì)算機(jī)病毒程序很容易做到，有著巨大的破壞性，其危害已被人們所認(rèn)識(shí)。單機(jī) 病毒就已經(jīng)讓人們“談毒色變”了，而通過(guò)網(wǎng)絡(luò)傳播的病毒，無(wú)論是在傳播速度、破壞 性，還是在傳播范圍等方面都是單機(jī)病毒不能比擬的。特洛伊木馬特洛伊木馬的名稱(chēng)來(lái)源于古希臘的歷史故事。特洛伊木馬程序一般是由編程人 員編制，它提供了用戶所不希望的功能，這些額外的功能往往是有害的。把預(yù)謀的有 害功能隱藏在公開(kāi)的功能中，以掩蓋其真實(shí)企圖。破壞數(shù)據(jù)完整性指以非法手段竊得對(duì)數(shù)據(jù)的使用權(quán)，刪除、修改、插入或重發(fā)某些重要信息，可 以修改網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù),以及銷(xiāo)毀網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)，替代網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)，重復(fù) 播放某個(gè)分組序列

4、,改變網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)包的先后次序，使用、攻擊者獲益，以干擾用 戶正常使用。蠕蟲(chóng)（worms蠕蟲(chóng)是一個(gè)或一組程序，它可以從一臺(tái)機(jī)器向另一臺(tái)機(jī)器傳播。它同病毒不一 樣,它不需要修改宿主程序就能傳播?；虬彘T(mén)（trap doors為攻擊者提供“后門(mén)”的一段非法操作系統(tǒng)程序，這一般是指一些內(nèi)部程序人員 為了特殊的目的,在所編制的程序中潛伏代碼或保留漏洞。9.信息泄露或丟失指敏感數(shù)據(jù)在有意或無(wú)意中被泄露出去或丟失，它通常包括:信息在傳輸中丟失 或泄露（如“黑客”利用電磁泄露或搭線竊聽(tīng)等方式截獲機(jī)密信息，或通過(guò)對(duì)信息流 向、流量、通信頻度和長(zhǎng)度拄參數(shù)的分析,推出用戶信息，如口令、賬號(hào)等，信息在存 儲(chǔ)介質(zhì)中丟

5、失或泄露，通過(guò)建立隱蔽隧道等竊取敏感信息等。在所有的操作系統(tǒng)中，由于UNIX系統(tǒng)的核心代碼是公開(kāi)的，這使其成為最受攻 擊的目標(biāo)，攻擊者可以先設(shè)法登錄到一臺(tái)UNIX的主機(jī)上，通過(guò)操作系統(tǒng)的漏洞來(lái)取 得特權(quán)，然后再以此為據(jù)點(diǎn)訪問(wèn)其余主機(jī)，這被稱(chēng)為跳躍”(I sland -hopping。攻擊者 在到達(dá)目的的主機(jī)之前往往會(huì)先經(jīng)過(guò)幾次這種跳躍，這樣，即使被攻擊網(wǎng)絡(luò)發(fā)現(xiàn)了攻 擊者從何處發(fā)起攻擊，管理人員也很難順次找到他們最初據(jù)點(diǎn)，而其它們?cè)诟`取某臺(tái) 主機(jī)的系統(tǒng)特權(quán)后,退出時(shí)刪掉系統(tǒng)日志，用戶只要能登錄到UNIX系統(tǒng)上，就能相對(duì) 容易地成為超級(jí)用戶，所以，如果檢測(cè)系統(tǒng)自身的漏洞，保障網(wǎng)絡(luò)的安全,已成為一個(gè)

6、日 益緊迫的問(wèn)題。網(wǎng)絡(luò)安全策略在網(wǎng)絡(luò)安全中，加強(qiáng)網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度，對(duì)于確保網(wǎng)絡(luò)的安全、 可靠的運(yùn)行，將起到十分有效的作用。安全策略是指在一個(gè)特定的環(huán)境里，為提供一定級(jí)別的安全保護(hù)所必須遵守的 規(guī)則。該安全策略模型包括了建立安全環(huán)境的一個(gè)重要部分，即：威嚴(yán)的法律:安全的基石是社會(huì)法律、法規(guī)與手段，它是建立一套安全管理的標(biāo) 準(zhǔn)和方法。即通過(guò)建立與信息安全相關(guān)的法律、法規(guī)，使不法分子囁于法律,不敢輕 舉妄動(dòng)。先進(jìn)的技術(shù):先進(jìn)的安全技術(shù)是信息安全的根本保障,用戶對(duì)自身面臨的威脅進(jìn) 行風(fēng)險(xiǎn)評(píng)估,根據(jù)安全服務(wù)的種類(lèi)，選擇相應(yīng)的安全機(jī)制,然后集成先進(jìn)的安全技術(shù)。嚴(yán)格的管理:網(wǎng)絡(luò)的安全管理策略

7、包括有確定安全管理等級(jí)和安全管理范圍;制 定有關(guān)網(wǎng)絡(luò)操作使用規(guī)程和人員出入機(jī)房管理制度;制定網(wǎng)絡(luò)系統(tǒng)的維護(hù)制度和應(yīng) 急措施等。各網(wǎng)絡(luò)使用機(jī)構(gòu)、企業(yè)和單位應(yīng)建立相宜的信息安全管理辦法,加強(qiáng)內(nèi) 部管理，建立審計(jì)和跟蹤體系，提高整體信息安全意識(shí)。網(wǎng)絡(luò)安全的五要素安全包括五個(gè)基本要素:機(jī)密性、完整性、可用性、可控性和可審查性。機(jī)密性:確保信息不暴露給未授權(quán)的實(shí)體或進(jìn)程。完整性:只有得到允許的人才能修改數(shù)據(jù)，并且能夠判別除數(shù)據(jù)是否被纂改?？捎眯?得到授權(quán)的實(shí)體在需要時(shí)可訪問(wèn)數(shù)據(jù)，即攻擊者不能占用所有的資源而 阻礙授權(quán)者的工作?？蓪彶樾?對(duì)出現(xiàn)的網(wǎng)絡(luò)安全問(wèn)題提供調(diào)查的依據(jù)和手段。網(wǎng)絡(luò)安全服務(wù)、機(jī)制與技術(shù)安

8、全服務(wù):包括控制服務(wù)、數(shù)據(jù)機(jī)密性服務(wù)、數(shù)據(jù)完整性服務(wù)、對(duì)象認(rèn)證服 務(wù)、防抵賴服務(wù)。安全技術(shù):包括防火墻技術(shù)、機(jī)密技術(shù)、鑒別技術(shù)、數(shù)字簽名技術(shù)、審計(jì)監(jiān)控 技術(shù)、病毒防治技術(shù)。在安全的開(kāi)放環(huán)境中，用戶可以使用各種安全應(yīng)用。安全應(yīng)用由一些安全服務(wù) 來(lái)實(shí)現(xiàn)，而安全服務(wù)又是由各種安全機(jī)制或安全技術(shù)來(lái)實(shí)現(xiàn)的，應(yīng)當(dāng)指出，同一安全機(jī) 制有時(shí)也可以用于實(shí)現(xiàn)不同的安全服務(wù)。網(wǎng)絡(luò)安全工作目的安全工作的目的就是為了在安全法律、法規(guī)、政策的支持與指導(dǎo)下，通過(guò)采用 合適的安全技術(shù)與安全管理措施，完成一下任務(wù)：使用訪問(wèn)控制機(jī)制，阻止非授權(quán)用戶進(jìn)入網(wǎng)絡(luò)，即“進(jìn)不來(lái)”,從而保證網(wǎng)絡(luò)系統(tǒng)的 可用性。使用授權(quán)機(jī)制，實(shí)現(xiàn)對(duì)用戶的權(quán)限

9、控制,即不該拿走的“拿不走”，同時(shí)結(jié)合內(nèi) 容審計(jì)機(jī)制,實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)資源及信息的可控性。使用機(jī)密機(jī)制，確保信心不暴露給未授權(quán)的實(shí)體或進(jìn)程，即“看不懂”,從而實(shí)現(xiàn)信 息的保密性,使用數(shù)據(jù)完整性鑒別機(jī)制,保證只有得允許的人才能修改數(shù)據(jù)，而其它人“改不 了”，從而確保信息的完整性。使用審計(jì)、監(jiān)控、防抵賴等安全機(jī)制，使得攻擊者、破壞者、抵賴者“走不脫”， 并進(jìn)一步對(duì)網(wǎng)絡(luò)出現(xiàn)的安全問(wèn)題提供調(diào)查依據(jù)和手段,實(shí)現(xiàn)信息安全的可審查性。網(wǎng)絡(luò)安全體系結(jié)構(gòu)關(guān)于網(wǎng)絡(luò)安全的體系結(jié)構(gòu)的劃分有很多種。我們下面介紹一種比較有代表性的 體系結(jié)構(gòu)劃分1.2.1物理安全物理安全是指用一些裝置和應(yīng)用程序來(lái)保護(hù)計(jì)算機(jī)硬件和存儲(chǔ)介質(zhì)的安全。

10、比 如在計(jì)算機(jī)下面安裝將計(jì)算機(jī)固定在桌子上的安全托盤(pán)、硬盤(pán)震動(dòng)保護(hù)器等，下面 詳細(xì)地談一下物理安全。物理安全非常重要,它負(fù)責(zé)保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地 震、水災(zāi)、火災(zāi)等環(huán)境事故，以及認(rèn)為操作失誤、錯(cuò)誤和各種計(jì)算機(jī)犯罪行為導(dǎo)致 的破壞過(guò)程。它主要包括三個(gè)方面：環(huán)境安全:對(duì)系統(tǒng)所在環(huán)境的安全保護(hù)，如區(qū)域保護(hù)和災(zāi)難保護(hù)。參見(jiàn)國(guó)家標(biāo)準(zhǔn) GB50173-93電子計(jì)算機(jī)機(jī)房設(shè)計(jì)規(guī)范、國(guó)標(biāo)GB2887 -89計(jì)算站場(chǎng)地技術(shù)條 件、GB9361-88計(jì)算站場(chǎng)地安全要求。媒體安全:包括媒體數(shù)據(jù)的安全及媒體本身的安全。顯然,為保證信息網(wǎng)絡(luò)系統(tǒng)的物理安全,除在網(wǎng)絡(luò)規(guī)劃和場(chǎng)地、環(huán)境等要求之外, 還要防

11、止系統(tǒng)信息在空間擴(kuò)散。計(jì)算機(jī)系統(tǒng)通過(guò)電磁輻射使信息被截獲而失密的案 例已經(jīng)很多,在理論和技術(shù)支持下的驗(yàn)證工作也證實(shí)這種截取距離在幾百甚至可達(dá) 千米的復(fù)原顯示，給計(jì)算機(jī)系統(tǒng)信息的保密工作帶來(lái)了極大的危害。為了防止系統(tǒng) 中的信息在空間上擴(kuò)散,通常在物理上采取一定的防護(hù)措施，來(lái)減少或干擾擴(kuò)散出去 的空間信號(hào)。這是重要的政策、軍隊(duì)、金融機(jī)構(gòu)在興建信息中心時(shí)的首要設(shè)置條 件。正常的防范措施主要在三個(gè)方面:對(duì)主機(jī)房及重要信息存儲(chǔ)、收發(fā)部門(mén)進(jìn)行屏蔽處理，即建設(shè)一個(gè)具有高效屏蔽 效能的屏蔽室，用它來(lái)安裝運(yùn)行的主要設(shè)備，以防止磁鼓、磁帶與高輻射設(shè)備等的信 號(hào)外泄，為提高屏蔽室的效能,在屏蔽室與外界的各項(xiàng)聯(lián)系、連

12、接中均要采取相應(yīng)的 隔離措施和設(shè)計(jì)，如信號(hào)線、電話線、空調(diào)、消防控制線、以及通風(fēng)管道、門(mén)的開(kāi) 關(guān)等。對(duì)本地網(wǎng)、局域網(wǎng)傳輸線路傳導(dǎo)輻射的仰止。由于電纜傳輸輻射信息的不可避 免性,現(xiàn)均采用了光纜傳輸?shù)姆绞剑蚨鄶?shù)均在MODEM出來(lái)的設(shè)備用光電轉(zhuǎn)換接口, 用光纜接出屏蔽室外進(jìn)行傳輸。對(duì)終端設(shè)備輻射的措施。終端機(jī),尤其是CRT顯示器，由于上萬(wàn)伏高壓電子流的 作用，輻射有極強(qiáng)的信號(hào)外泄，但又因終端分散使用不宜集中采用屏蔽室的辦法來(lái)防 止，故現(xiàn)在的要求除在訂購(gòu)設(shè)備上盡量選取低輻射產(chǎn)品外，目前主要采取主動(dòng)式的干 擾設(shè)備如干擾機(jī)來(lái)破壞對(duì)應(yīng)信息的竊取,個(gè)別重要的首腦或集中終端也可考慮采用 有窗子的裝飾性屏蔽室，

13、這樣雖降低了部分屏蔽效能，但可大大改善工作環(huán)境,使人感 到在普通機(jī)房?jī)?nèi)一樣工作。網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全主要包括系統(tǒng)（主機(jī)、服務(wù)器安全、網(wǎng)絡(luò)運(yùn)行安全、局域網(wǎng)和子網(wǎng)安 全。內(nèi)外網(wǎng)隔離及訪問(wèn)控制系統(tǒng)在內(nèi)部網(wǎng)與外部網(wǎng)之間，設(shè)置防火墻（包括分組過(guò)濾與應(yīng)用代理實(shí)現(xiàn)內(nèi)外網(wǎng)的隔 離與訪問(wèn)控制是保護(hù)內(nèi)部網(wǎng)安全的最主要、最有效、最經(jīng)濟(jì)的措施之一，防火墻技 術(shù)可以根據(jù)范圍的方式和側(cè)重點(diǎn)的不同分為很多種類(lèi)型，但總體來(lái)講有兩大類(lèi)較為 常見(jiàn):分組過(guò)濾、應(yīng)用代理。（1分組過(guò)濾（packet filtering:作用在網(wǎng)絡(luò)層和傳輸層，它根據(jù)分組包的源地址、目 的個(gè)端口號(hào)、協(xié)議類(lèi)型等標(biāo)志確定是否允許數(shù)據(jù)包通過(guò)。只有滿足過(guò)濾邏輯的數(shù)據(jù) 包才被轉(zhuǎn)發(fā)到相應(yīng)的目的地出口端，其余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄。（2應(yīng)用代理（application proxy:也叫應(yīng)用網(wǎng)關(guān)（application cateway，它作用在應(yīng)用 層,其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流,通過(guò)對(duì)每種應(yīng)用服務(wù)編制專(zhuān)