計算機網(wǎng)絡(luò)系統(tǒng)安全保密技術(shù)

保密保護敏感信息的技術(shù)計算機網(wǎng)絡(luò)系統(tǒng)安全保密技術(shù)內(nèi)容摘要計算機絡(luò)系統(tǒng)安全保護的宗旨，是如守衛(wèi)珍寶般守護那些敏感的、秘密的以及重要的信息數(shù)據(jù)，就像保護一只脆弱的蝴蝶，也要確保計算機/絡(luò)資源不受任何侵害。這種保護，如同設(shè)立一道無形的屏障，使得那些閃耀的智慧之珠、秘密的寶藏、以及重要的生活記憶得以完好無損，讓它們在計算機絡(luò)的世界里，悠然自在地飛翔。01實現(xiàn)目標(biāo)防范策略采取措施目錄0302實現(xiàn)目標(biāo)實現(xiàn)目標(biāo)●保密性：信息和資源不能向非授權(quán)的用戶或過程泄漏●完整性：信息和資源保證不被非授權(quán)的用戶或過程修改或利用●可用性：當(dāng)授權(quán)用戶或過程需要時，信息和資源保證能夠被使用采取措施采取措施●鑒別：證實用戶的方法●認(rèn)證：驗證用戶的過程●授權(quán)：依據(jù)用戶的身份，授予其對于絡(luò)/資源訪問權(quán)限的過程●訪問控制：依據(jù)用戶的身份，限制其對絡(luò)/資源訪問權(quán)限的過程●記錄：準(zhǔn)確可靠地確定誰、何時、何地、多久使用絡(luò)/資源的過程●審計：保存記錄下誰、何時、何地、做了什么以及誰、何時、何地被拒絕，因何拒絕●抗否認(rèn)：在一個特定的操作發(fā)生后，能夠證明該行為的能力●加密：確保數(shù)據(jù)保密性的處理過程防范策略防范策略1．物理措施物理安全策略目的是保護計算機系統(tǒng)、絡(luò)服務(wù)器、打印機等硬件實體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗證用戶的身份和使用權(quán)限，防止用戶越權(quán)操作；確保計算機系統(tǒng)有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發(fā)生。抑制和防止電磁泄漏是物理安全策略的一個主要問題。防范策略主要防護措施有兩類：其一是對傳導(dǎo)發(fā)射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導(dǎo)線間的交叉耦合；其二是對輻射的防護，由于設(shè)備中的計算機處理機、顯示器有較強的電磁輻射，如不采用屏蔽或干擾，就會使秘密通過電磁輻射而造成泄露，根據(jù)保密等級，可采用在全室或關(guān)鍵設(shè)備局部使用電磁屏蔽房，選用低輻射設(shè)備或者使用相關(guān)干擾的電磁輻射干擾器，使得難以從被截獲的輻射信號中分析出有效信號。（1）使用低輻射計算機設(shè)備。這是防止計算機輻射泄密的根本措施，這些設(shè)備在設(shè)計和生產(chǎn)時，已對可能產(chǎn)生信息輻射的元器件、集成電路、連接線和CRT等采取了防輻射措施，把設(shè)備的信息輻射抑制到最低限度。（2）屏蔽。根據(jù)輻射量的大小和客觀環(huán)境，對計算機機房或主機內(nèi)部件加以屏蔽，檢測合格后，再開機工作。將計算機和輔助設(shè)備用金周屏蔽籠（法拉第籠）封閉起來，并將全局屏蔽籠接地，能有效地防止計算機和輔助設(shè)備的電磁波輻射。不具備上述條件的，可將計算機輻射信號的區(qū)域控制起來，不許外部人員接近。（3）干擾。防范策略根據(jù)電子對抗原理，采用一定的技術(shù)措施，利用干擾器產(chǎn)生噪聲與計算機設(shè)備產(chǎn)生的信息輻射一起向外輻射。對計算機的輻射信號進行干擾，增加接收還原解讀的難度，保護計算機輻射的秘密信息。主要防護低密級的信息。日前，國家保密標(biāo)準(zhǔn)《電磁干擾器技術(shù)要求和測試方法》已經(jīng)制定完成，不久將發(fā)布。分為兩個等級：一級適用于保護處理機密級以下信息的計算機，二級用于保護處理內(nèi)部敏感信息的計算機和自然警戒距離大干100米處理秘密級信息的計算機。主要的性能測試指標(biāo)：輻射發(fā)射特性測試（發(fā)射強度和對設(shè)備的影響）、傳導(dǎo)發(fā)射（抑制、干擾）測試、視頻信息還原測試、方向性測試、聲光報警測試、重復(fù)性測試。防范策略2．環(huán)境保密措施系統(tǒng)中的物理安全保密是指系統(tǒng)的環(huán)境、計算機房、數(shù)據(jù)工作區(qū)、處理區(qū)、數(shù)據(jù)存貯區(qū)、介質(zhì)存放的安全保密措施，以確保系統(tǒng)在對信息的收集、存貯、傳遞、處理和使用過程中，秘密不至泄露。計算機絡(luò)系統(tǒng)安全保密技術(shù)計算機房應(yīng)選不在現(xiàn)代交通工具繁忙和人多擁擠的鬧市、遠離使館或其它外國駐華機構(gòu)的所在地，要便于警衛(wèi)和巡邏，計算機房房最好設(shè)置在電梯或樓梯不能直接進入的場所、應(yīng)與外部人員頻繁出入的場所隔離，機房周圍應(yīng)在有圍墻或柵欄等防止非法進入的設(shè)施，建筑物周圍應(yīng)有足夠照明度的照明設(shè)施，以防夜間非法侵入，外部容易接近的窗口應(yīng)采取防范措施，如使用鋼化玻璃、鐵窗等，無人值守的地方應(yīng)報警設(shè)備，機房內(nèi)部設(shè)計應(yīng)有利于出入控制和分區(qū)控制，計算中心機要部門的外部不應(yīng)設(shè)置標(biāo)明系統(tǒng)及有關(guān)設(shè)備所在位置的標(biāo)志。防范策略3．訪問控制技術(shù)訪問控制是絡(luò)安全防范和保護的主要策略，它的主要任務(wù)是保證絡(luò)資源不被非法使用和非法訪問。訪問控制可以說是保證絡(luò)安全最重要的核心策略之一。下面我們分述各種訪問控制策略。（1）入訪問控制它控制哪些用戶能夠登錄到服務(wù)器并獲取絡(luò)資源，同時也控制準(zhǔn)許用戶入的時間和準(zhǔn)許他們從哪臺工作站入。用戶入訪問控制通常分為三步：用戶名的識別與驗證、用戶口令的識別與驗證、用戶賬號的缺省限制檢查。三道關(guān)卡中只要任何一關(guān)未過，該用戶便不能進入絡(luò)。對絡(luò)用戶的用戶名和口令進行驗證是防止非法訪問的第一道防線。用戶注冊時首先輸入用戶名和口令，服務(wù)器將驗證所輸入的用戶名是否合法。如果驗證合法，才繼續(xù)驗證用戶輸入的口令，否則，用戶將被拒之于絡(luò)之外。用戶口令是用戶入的關(guān)鍵所在，必須經(jīng)過加密。，加密的方法很多，其中最常見的方法有：基于單向函數(shù)的口令加密、基于測試模式的口令加密、基于公鑰加密方案的口令加密、基于平方剩余的口令加密、基于多項式共享的口令加密以及基于數(shù)字簽名方案的口令加密等。經(jīng)過上述方法加密的口令，即使是系統(tǒng)管理員也難以破解它。防范策略用戶還可采用一次性用戶口令，也可用便攜式驗證器（如智能卡）來驗證用戶的身份。用戶名和口令驗證有效之后，再進一步履行用戶賬號的缺省限制檢查。（2）絡(luò)的權(quán)限控制絡(luò)權(quán)限控制是針對絡(luò)非法操作提出的一種安全保護措施。用戶和用戶組被賦予一定的權(quán)限。絡(luò)控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源以及用戶可以執(zhí)行的操作。（3）客戶端安全防護策略首先，應(yīng)該切斷病毒的傳播途徑，盡可能地降低感染病毒的風(fēng)險；其次，用戶最好不要隨便使用來路不明的程序。4．安全的信息傳輸絡(luò)本身就不是一種安全的信息傳輸通道。防范策略絡(luò)上的任何信息都是經(jīng)重重中介站分段傳送至目的地的。由于絡(luò)信息的傳輸并無固定路徑，而是取決于絡(luò)的流量狀況，且通過哪些中介站亦難以查證，因此，任何中介站點均可能攔截、讀取，甚至破壞和篡改封包的信息。所以應(yīng)該利用加密技術(shù)確保安全的信息傳輸。5．絡(luò)服務(wù)器安全策略絡(luò)服務(wù)器的設(shè)立與狀態(tài)的設(shè)定相當(dāng)復(fù)雜，而一臺配置錯誤的服務(wù)器將對絡(luò)安全造成極大的威脅。例如，當(dāng)系統(tǒng)管理員配置絡(luò)服務(wù)器時，若只考慮高層使用者的特權(quán)與方便，而忽略整個系統(tǒng)的安全需要，將造成難以彌補的安全漏洞。6.操作系統(tǒng)及絡(luò)軟件安全策略大多數(shù)公司高度依賴防火墻作為絡(luò)安全的一道防線。防火墻通常設(shè)置于某一臺作為間連接器的服務(wù)器上，由許多程序組成，主要是用來保護私有絡(luò)系統(tǒng)不受外來者的威脅。防范策略一般而言，操作系統(tǒng)堪稱是任何應(yīng)用的基礎(chǔ)，最常見的WindowsNT或Unix即使通過防火墻與安全傳輸協(xié)議也難以保證100%的安全。7．絡(luò)安全管理在絡(luò)安全中，除了采用上述技術(shù)措施之外，加強絡(luò)的安全管理制定有關(guān)規(guī)章制度，對于確保絡(luò)的安全、可靠運行，將起到十分有效的作用。絡(luò)安全管理包括確定安全管理等級和安全管理范圍、制訂有關(guān)絡(luò)操作使用規(guī)程和人員出入機房管理制度和制定絡(luò)系統(tǒng)的維護制度和應(yīng)急措施等。防范策略（二）用安全防范技術(shù)1、防毒軟件基本上，防毒解決方案的做法有5種：信息服務(wù)器端、文件服務(wù)器端、客戶端防毒軟件、防毒關(guān)以及站上的在線掃毒軟件。2、防火墻“防火墻”是一種形象的說法,它實際上是計算機硬件和軟件的組合,在絡(luò)關(guān)服務(wù)器上運作，在內(nèi)部與公共絡(luò)之間建立起一個安全關(guān)(securitygateway),保護私有絡(luò)資源免遭其他絡(luò)使用者的擅用或侵入。通常，防火墻與路由軟件一起工作，負(fù)責(zé)分析、過濾經(jīng)過此關(guān)的數(shù)據(jù)封包，決定是否將它們轉(zhuǎn)送到目的地。防火墻通常安裝在單獨的計算機上，并與絡(luò)的其余部份分隔開，使訪問者無法直接存取內(nèi)部絡(luò)的資源。在一個沒有防火墻環(huán)境中，絡(luò)安全完全依賴于主機安全，并且在某種意義上所有主機都必須協(xié)同達到一個統(tǒng)一的高安全標(biāo)準(zhǔn)；基于主機的安全伸縮性不好：當(dāng)一個站點上主機的數(shù)量增加時，確定每臺主機處于高安全級別之上，勢必會使性能下降；如果某個絡(luò)軟件的薄弱點被發(fā)現(xiàn)，沒有防火墻保護的站點必須盡可能快地更正每個暴露的系統(tǒng)，這并不現(xiàn)實，特別是在一些不同版本的操作系統(tǒng)正被使用時。防范策略防火墻的局限性防火墻不能防止通向站點的后門。例如，如果一個被防火墻保護的站點允許不受限制的Modem訪問，入侵者就能夠有效地繞過防火墻；防火墻一般不提供對內(nèi)部的保護；防火墻不能防止用戶下載被病毒感染的計算機程序或者將該類程序附在電子郵件上傳輸；防火墻無法防范數(shù)據(jù)驅(qū)動型的攻擊。3、密碼技術(shù)采用密碼技術(shù)對信息加密，是最常用和有效的安全保護手段。防范策略算法（公開的）一個數(shù)學(xué)公式使用加密密鑰將最初的信息轉(zhuǎn)換成為加密的信息，功能強大的算法是很難被破解的。廣泛應(yīng)用的加密技術(shù)主要分為兩類：（1）對稱算法加密其主要特點是加解密雙方在加解密過程中要使用完全相同的密碼，對稱算法中最常用的是DES算法。對稱算法的主要問題是由于加解密雙方要使用相同的密碼，在發(fā)送接收數(shù)據(jù)之前，就必須完成密鑰的分發(fā)。因此，密鑰的分發(fā)成為該加密體系中最薄弱的環(huán)節(jié)。各種基本手段均很難完成這一過程。同時，這一點也使密碼更新的周期加長，給其他人破譯密碼提供了機會。防范策略（2）非對稱算法加密與公鑰體系保護信息傳遞的機密性，是密碼學(xué)的主要方面之一，對信息發(fā)送人的身份驗證與保障數(shù)據(jù)的完整性是現(xiàn)代密碼學(xué)的另一重點。公開密鑰密碼體制對這兩方面的問題都給出了出色的解答。在公鑰體制中，加密密鑰不同于解密密鑰，加密密鑰公之于眾，誰都可以使用；解密密鑰只有解密人自己知道。它們分別稱為公開密鑰(Publickey)和私有密鑰(Privatekey)。在所有公鑰密碼體系中，RSA系統(tǒng)是最著名且使用最多的一種。在加密應(yīng)用時，某個用戶總是將一個密鑰公開，讓需發(fā)信的人員將信息用公共密鑰加密后發(fā)給該用戶，信息一旦加密，只有該用戶的私有密鑰才能解密。數(shù)字簽名使用公共密鑰系統(tǒng)可以完成對電文的數(shù)字簽名，以防止對電文的否認(rèn)與抵賴，同時還可以利用數(shù)字簽名來發(fā)現(xiàn)攻擊者對電文的非法篡改，以保護數(shù)據(jù)信息的完整性。上述兩種方法可以結(jié)合使用，從而生成數(shù)字簽名。其他密碼應(yīng)用還包括數(shù)字時間戳、數(shù)字水印和數(shù)字證書等。防范策略一個電子簽名就等于一個在紙上的真實的簽名，是一個與信息相關(guān)聯(lián)的數(shù)字，當(dāng)信息的內(nèi)容發(fā)生改變時，簽名將不再匹配；只有知道私鑰的人才能生成數(shù)字簽名，它被用來確定一個信息或數(shù)據(jù)包是由所要求的發(fā)送者處而來的4、虛擬專有絡(luò)（VPN）相對于專屬于某公司的私有絡(luò)或是租用的專線，VPN是架設(shè)于公眾電信絡(luò)之上的私有信息絡(luò)，其保密方式是使用信道協(xié)議及相關(guān)的安全程序?？紤]在外聯(lián)及廣域的企業(yè)內(nèi)聯(lián)上使用VPN。VPN的使用還牽涉到加密后送出資料，及在另一端收到后解密還原資料等問題，而更高層次的安全包括進一步加密收發(fā)兩端的絡(luò)位置。防范策略5、安全檢測和監(jiān)控監(jiān)測采取預(yù)先主動的方式，對客戶端和絡(luò)的各層進行全面有效的自動安全檢測，以發(fā)現(xiàn)和避免系統(tǒng)遭受攻擊傷害。（1）絡(luò)安全性能檢查系統(tǒng)提供事前的安全掃描能夠發(fā)現(xiàn)系統(tǒng)的安全漏洞，可以做好安全預(yù)防措施。主要通過掃描分析絡(luò)系統(tǒng)，報告系統(tǒng)存在的弱點和漏洞，報告絡(luò)系統(tǒng)相關(guān)信息和對外提供的服務(wù)，建議采用的補救措施，生成分析報告。掃描系統(tǒng)的弱點和漏洞的分類：簡單郵件傳輸協(xié)議，強力攻擊，系統(tǒng)守護進程，遠程過程調(diào)用，絡(luò)文件系統(tǒng)，拒絕服務(wù)，NetBIOS，NT用戶，NT注冊表，NT審計，代理服務(wù)和域名服務(wù)，WEB站點，防火墻和路由器，IP欺騙，文件傳輸協(xié)議。防范策略(2)安全檢測系統(tǒng)是近年出現(xiàn)的新型絡(luò)安全技術(shù)，目的是實時的入侵檢測及采取相應(yīng)的防護手段，如記錄證據(jù)用于跟蹤和恢復(fù)、斷開絡(luò)連接等。絡(luò)入侵檢測和監(jiān)控能夠?qū)Ω秮碜詢?nèi)部絡(luò)的攻擊，其次它能夠阻止hacker的入侵。絡(luò)監(jiān)控，對絡(luò)攻擊入侵行為提供最后一級的安全保護。它提供對企業(yè)絡(luò)通訊活動的監(jiān)控，捕獲和分析整個段傳輸?shù)臄?shù)據(jù)包，檢測和識別可疑的絡(luò)通信活動，并在這種非授權(quán)訪問發(fā)生時進行實時響應(yīng)，阻止對企業(yè)數(shù)據(jù)和資源的非法存取。實時監(jiān)測入侵企圖和對絡(luò)資源的濫用，對可疑的絡(luò)活動執(zhí)行日志記錄、錄制原始數(shù)據(jù)供日后回放或切斷可疑連接等響應(yīng)動作，可做到分布式運行和集中管理，管理人員在中心控制臺集中控制各處監(jiān)控引擎的工作行為，查看各引擎監(jiān)控的安全事件，生成直觀易用的安全事件統(tǒng)計報告。對可疑絡(luò)活動進行分辨的能力，在不影響正常絡(luò)應(yīng)用的情況下有效地制止入侵攻擊行為和非法存取企業(yè)絡(luò)資源。防范策略絡(luò)安全檢測系統(tǒng)可分為兩類：基于主機的入侵檢測系統(tǒng)用于保護關(guān)鍵應(yīng)用的服務(wù)器，實時監(jiān)視可疑的連接、系統(tǒng)日志檢查，非法訪問的闖入等，并且提供對典型應(yīng)用的監(jiān)視如Web服務(wù)器應(yīng)用?；诮j(luò)通過連接絡(luò)捕獲絡(luò)包,并分析其是否具有已知的攻擊模式,以此來判