計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)復(fù)習(xí)

2011年下學(xué)期

《計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)與應(yīng)用》課程期末復(fù)習(xí)指導(dǎo)

《計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)與應(yīng)用》課程介紹了計(jì)算機(jī)網(wǎng)絡(luò)安全的概念

以及網(wǎng)絡(luò)安全體系結(jié)構(gòu)、數(shù)據(jù)加密技術(shù)、網(wǎng)絡(luò)操作系統(tǒng)安全、數(shù)據(jù)庫

與數(shù)據(jù)安全、PKI技術(shù)、防火墻工作原理及應(yīng)用、計(jì)算機(jī)病毒防治、

入侵檢測系統(tǒng)和無線網(wǎng)絡(luò)安全技術(shù)等。要求學(xué)生掌握的主要內(nèi)容有：

計(jì)算機(jī)網(wǎng)絡(luò)安全的基本概論；數(shù)據(jù)加密技術(shù)；操作系統(tǒng)的安全與訪問

控制；數(shù)據(jù)庫與數(shù)據(jù)安全；PKI技術(shù)；防火墻技術(shù)；計(jì)算機(jī)病毒防治

和入侵檢測技術(shù)等。通過學(xué)習(xí)這些內(nèi)容，為今后開展計(jì)算機(jī)網(wǎng)絡(luò)安全

技術(shù)領(lǐng)域的研究和開發(fā)工作打下良好的基礎(chǔ)。

為了同學(xué)更好地復(fù)習(xí)和掌握這門課程的知識，下面按照教學(xué)大綱

要求，對各章的復(fù)習(xí)要點(diǎn)進(jìn)行歸納總結(jié)，并給出相應(yīng)的練習(xí)題及解答,

供大家復(fù)習(xí)時參考。

第1章緒論

1.什么是網(wǎng)絡(luò)安全

所謂“安全”，字典中的定義是為防范間諜活動或蓄意破壞、犯

罪、攻擊而采取的措施；將安全的一般含義限定在計(jì)算機(jī)網(wǎng)絡(luò)范

疇，網(wǎng)絡(luò)安全就是為防范計(jì)算機(jī)網(wǎng)絡(luò)硬件、軟件、數(shù)據(jù)偶然或蓄

意被破壞、篡改、竊聽、假冒、泄露、非法訪問并保護(hù)網(wǎng)絡(luò)系統(tǒng)

持續(xù)有效工作的措施總和。

2.網(wǎng)絡(luò)安全保護(hù)范圍

網(wǎng)絡(luò)安全與信息安全、計(jì)算機(jī)系統(tǒng)安全和密碼安全密切相關(guān)，但

涉及的保護(hù)范圍不同。信息安全所涉及的保護(hù)范圍包括所有信息資

源；計(jì)算機(jī)系統(tǒng)安全將保護(hù)范圍限定在計(jì)算機(jī)系統(tǒng)硬件、軟件、文件

和數(shù)據(jù)范疇，安全措施通過限制使用計(jì)算機(jī)的物理場所和利用專用軟

件或操作系統(tǒng)來實(shí)現(xiàn)；密碼安全是信息安全、網(wǎng)絡(luò)安全和計(jì)算機(jī)系統(tǒng)

安全的基礎(chǔ)與核心，也是身份認(rèn)證、訪問控制、拒絕否認(rèn)和防止信息

竊取的有效手段。

O

3.網(wǎng)絡(luò)安全目標(biāo)

?網(wǎng)絡(luò)安全的最終目標(biāo)就是通過各種技術(shù)與管理手段實(shí)現(xiàn)網(wǎng)絡(luò)信

息系統(tǒng)的可靠性、保密性、完整性、有效性、可控性和拒絕否

認(rèn)性。

?1)保密性保密性(Confidentiality)是指信息系統(tǒng)

防止信息非法泄露的特性，信息只限于授權(quán)用戶使用。保密性

主要通過信息加密、身份認(rèn)證、訪問控制、安全通信協(xié)議等技

術(shù)實(shí)現(xiàn)。信息加密是防止信息非法泄露的最基本手段。

?2)完整性完整性(Integrity)是指信息未經(jīng)授權(quán)不

能改變的特性。完整性與保密性強(qiáng)調(diào)的側(cè)重點(diǎn)不同，保密性強(qiáng)

調(diào)信息不能非法泄露，而完整性強(qiáng)調(diào)信息在存儲和傳輸過程中

不能被偶然或蓄意修改、刪除、偽造、添加、破壞或丟失，信

息在存儲和傳輸過程中必須保持原樣。

2

?3)有效性有效性(AvailabiIity)是指信息資源容許

授權(quán)用戶按需訪問的特性(信息系統(tǒng)面向用戶服務(wù)的安全特

性)。信息系統(tǒng)只有持續(xù)有效，授權(quán)用戶才能隨時、隨地根據(jù)

自己的需要訪問信息系統(tǒng)提供的服務(wù)。

4、軟件漏洞

?軟件漏洞(Flaw)是指在設(shè)計(jì)與編制軟件時沒有考慮對非正常

輸入進(jìn)行處理或錯誤代碼而造成的安全隱患，也稱為軟件脆弱性

(VulnerabiIity)或軟件隱錯(Bug)。

?5、網(wǎng)絡(luò)系統(tǒng)面臨的威脅

?網(wǎng)絡(luò)系統(tǒng)面臨的威脅主要來自外部的人為影響和自然環(huán)境的影

響，其中包括對網(wǎng)絡(luò)設(shè)備的威脅和對網(wǎng)絡(luò)中信息的威脅。這些威脅主

要表現(xiàn)為：非法授權(quán)訪問、假冒合法用戶、病毒破壞、線路竊聽、黑

客入侵、干擾系統(tǒng)正常運(yùn)行、修改或刪除數(shù)據(jù)等。這些威脅大致可分

為無意威脅和故意威脅兩大類。

1)無意威脅無意威脅是在無預(yù)謀的情況下破壞系統(tǒng)的安全

性、可靠性或信息的完整性等。

2)故意威脅故意威脅實(shí)際上就是“人為攻擊”。由于網(wǎng)絡(luò)

本身存在脆弱性，因此總有某些人或某些組織想方設(shè)法利用網(wǎng)絡(luò)系統(tǒng)

達(dá)到某種目的。

3

攻擊者對系統(tǒng)的攻擊范圍從隨便瀏覽信息到使用特殊技術(shù)對系

統(tǒng)進(jìn)行攻擊，以便得到有針對性的信息。這些攻擊又可分為被動攻擊

和主動攻擊。被動攻擊是指攻擊者只通過監(jiān)聽網(wǎng)絡(luò)線路上的信息流

獲得信息內(nèi)容，或獲得信息的長度、傳輸頻率等特征，以便進(jìn)行信息

流量分析攻擊。主動攻擊是指攻擊者對傳輸中的信息或存儲的信息

進(jìn)行各種非法處理，有選擇地更改、插入、延遲、刪除或復(fù)制這些信

息。

6、網(wǎng)絡(luò)信息安全框架

網(wǎng)絡(luò)信息安全可看成一個由多個安全單元組成的集合。其中，每

個單元都是一個整體，包含了多個特性。一般來說，人們從3個主要

特性一一安全特性、安全層次和系統(tǒng)單元來理解安全單元。該安全單

元集合可用一個三維安全空間來描述，如圖所示。該三維安全空間反

映了信息系統(tǒng)安全需求和安全結(jié)構(gòu)的共性。

4

網(wǎng)絡(luò)信息安全框架

7、P2DR模型

P2DR模型是一種常用的網(wǎng)絡(luò)安全模型，如圖所示。P2DR模型

包含4個主要部分：安全策略、防護(hù)、檢測和響應(yīng)。防護(hù)、檢測和響

應(yīng)組成了一個所謂的“完整”、“動態(tài)”的安全循環(huán)。

安全策略

P2DR網(wǎng)絡(luò)安全模型

8、實(shí)體安全技術(shù)和訪問控制技術(shù)

1）實(shí)體安全技術(shù)網(wǎng)絡(luò)實(shí)體安全（物理安全）保護(hù)就是指采

取一定措施對網(wǎng)絡(luò)的硬件系統(tǒng)、數(shù)據(jù)和軟件系統(tǒng)等實(shí)體進(jìn)行保護(hù)和對

自然與人為災(zāi)害進(jìn)行防御。

5

2）訪問控制技術(shù)訪問控制就是規(guī)定哪些用戶可訪問網(wǎng)絡(luò)系

統(tǒng)，對要求入網(wǎng)的用戶進(jìn)行身份驗(yàn)證和確認(rèn)，這些用戶能訪問系統(tǒng)的

哪些資源，他們對于這些資源能使用到什么程度等。

第2章數(shù)據(jù)加密技術(shù)

1.密碼學(xué)的發(fā)展

密碼學(xué)的發(fā)展可分為兩個主要階段：第一個階段是傳統(tǒng)密碼學(xué)階

段，即古代密碼學(xué)階段，該階段基本上依靠人工和機(jī)械對信息進(jìn)行加

密、傳輸和破譯；第二階段是計(jì)算機(jī)密碼學(xué)階段，該階段又可細(xì)分為

兩個階段，即使用傳統(tǒng)方法的計(jì)算機(jī)密碼學(xué)階段和使用現(xiàn)代方法的計(jì)

算機(jī)密碼學(xué)階段。在20世紀(jì)70年代，密碼學(xué)的研究出現(xiàn)了兩大成果,

一個是1977年美國國家標(biāo)準(zhǔn)局（NBS）頒布的聯(lián)邦數(shù)據(jù)加密標(biāo)準(zhǔn)

（DES）,另一個是1976年由Diffie和HeiIman提出的公鑰密碼體

制的新概念。

DES將傳統(tǒng)的密碼學(xué)發(fā)展到了一個新的高度，而公鑰密碼體制的

提出被公認(rèn)是實(shí)現(xiàn)現(xiàn)代密碼學(xué)的基石。

2、加解密過程

通用的數(shù)據(jù)加密模型如圖所示。

發(fā)送端接收端

6

從圖可見，加密算法實(shí)際上是要完成其函數(shù)C二F(只解的運(yùn)算。

對于一個確定的加密密鑰Ke,加密過程可看作是只有一個自變量的函

數(shù),記作￡,稱為加密變換。因此加密過程也可記為：俏￡(0

即加密變換作用到明文夕后得到密文C。

3、對稱密鑰密碼和非對稱密鑰密碼

按加密和解密密鑰的類型劃分：加密和解密過程都是在密鑰的

作用下進(jìn)行的。如果加密密鑰和解密密鑰相同或相近，由其中一個很

容易地得出另一個，這樣的系統(tǒng)稱為對稱密鑰密碼系統(tǒng)。在這種系統(tǒng)

中，加密和解密密鑰都需要保密。對稱密鑰密碼系統(tǒng)也稱為單密鑰密

碼系統(tǒng)或傳統(tǒng)密鑰密碼系統(tǒng)。

如果加密密鑰與解密密鑰不同，且由其中一個不容易得到另一個,

則這種密碼系統(tǒng)是非對稱密鑰密碼系統(tǒng)。這兩個不同的密鑰，往往其

中一個是公開的，另一個是保密的。非對稱密鑰密碼系統(tǒng)也稱為雙密

鑰密碼系統(tǒng)或公開密鑰密碼系統(tǒng)。

4、數(shù)據(jù)加密標(biāo)準(zhǔn)DES

DES算法是最具有代表性的分組加密算法。它將明文按64位分組,

輸入的每一組明文在密鑰控制下，也生成64位的密文。DES的整個

體制是公開的，系統(tǒng)的安全性完全依賴于密鑰的保密性。

5、DES的特點(diǎn)及應(yīng)用

7

(1)DES算法的特點(diǎn)：DES算法具有算法容易實(shí)現(xiàn)、速

度快、通用性強(qiáng)等優(yōu)點(diǎn)；但也有密鑰位數(shù)少、保密強(qiáng)度較差和密鑰管

理復(fù)雜等缺點(diǎn)。

(2)DES的主要應(yīng)用，包括：①計(jì)算機(jī)網(wǎng)絡(luò)通信。對計(jì)算機(jī)

網(wǎng)絡(luò)通信中的數(shù)據(jù)提供保護(hù)是DES的一項(xiàng)重要應(yīng)用，但這些保護(hù)的數(shù)

據(jù)一般只限于民用敏感信息，即不在政府確定的保密范圍之內(nèi)的信

息。

②電子資金傳送系統(tǒng)。采用DES的方法加密電子資金傳送系統(tǒng)中的

信息，可準(zhǔn)確、快速地傳送數(shù)據(jù)，并可較好地解決信息安全的問題。

③保護(hù)用戶文件。用戶可自選密鑰，用DES算法對重要文件加密，

防止未授權(quán)用戶竊密。④用戶識別。DES還可用于計(jì)算機(jī)用戶識別

系統(tǒng)中。

6、公鑰體制的概念

與對稱密鑰加密方法不同，公開密鑰密碼系統(tǒng)采用兩個不同的密

鑰來對信息進(jìn)行加密和解密，也稱為“非對稱式加密方法”。

7、公鑰算法的應(yīng)用

使用公開密鑰對文件進(jìn)行加密傳輸?shù)膶?shí)際過程包括如下4個步

驟：

(1)發(fā)送方生成一個加密數(shù)據(jù)的會話密鑰，并用接收方的公開密鑰

對會話密鑰進(jìn)行加密，然后通過網(wǎng)絡(luò)傳輸?shù)浇邮辗健?/p>

(2)發(fā)送方對需要傳輸?shù)奈募脮捗荑€進(jìn)行加密，然后通過網(wǎng)絡(luò)

把加密后的文件傳輸?shù)浇邮辗健?/p>

8

（3）接收方用自己的私鑰對發(fā)送方加過密的會話密鑰進(jìn)行解密后得

到加密文件的會話密鑰。

（4）接受方用會話密鑰對發(fā)送方加過密的文件進(jìn)行解密得到文件的

明文形式。

8、RSA算法

目前，最著名的公開密鑰密碼算法是RSA,它是由美國麻省理工

學(xué)院MIT的3位科學(xué)家Rivest>Shamir和AdIeman于1976年提出的，

故名RSA,并在1978年正式發(fā)表。

假設(shè)用戶A在系統(tǒng)中要進(jìn)行數(shù)據(jù)加密和解密，則可根據(jù)以下步

驟選擇密鑰和進(jìn)行密碼變換。

（1）隨機(jī)地選取兩個不同的大素?cái)?shù)0和q（一般為100位以上

的十進(jìn)制數(shù)）予以保密。

（2）計(jì)算n=p-q,作為A的公開模數(shù)。

（3）計(jì)算Euler函數(shù)：①（〃）=（p-1）,modn

（4）隨機(jī)地選取一個與（p-1）?（q-1）互素的整數(shù)e,作為A

的公開密鑰。

（5）用歐幾里德算法，計(jì)算滿足同余方程

e,d三1（mod①（n））

的解d,作為A用戶的保密密鑰。

（6）任何向A發(fā)送明文的用戶，均可用A的公開密鑰e和公開

模數(shù)n,根據(jù)式

C=Me(modn)

9

計(jì)算出密文c。

(7)用戶A收到C后，可利用自己的保密密鑰d,根據(jù)式

M=Cd(modn)

還原出明文M。

9、通信安全

通信過程中，通過在通信線路上搭線可以竊取(竊聽)傳輸?shù)男?/p>

息，還可以使用相應(yīng)設(shè)施接收線路上輻射的信息，這些都是通信中的

線路安全問題。

10、TCP/IP服務(wù)的脆弱性

基于TCP/IP協(xié)議的服務(wù)很多，常用的有Web服務(wù)、FTP服務(wù)、

電子郵件服務(wù)等;人們不太熟悉的有TFTP服務(wù)、NFS服務(wù)、Finger

服務(wù)等。這些服務(wù)都在不同程度上存在安全缺陷。

(1)電子郵件程序存在漏洞：電子郵件附著的文件中可能帶有

病毒，郵箱經(jīng)常被塞滿，電子郵件炸彈令人煩惱，還有郵件溢出等。

(2)簡單文件傳輸協(xié)議TFTP服務(wù)用于局域網(wǎng)，它沒有任何安全

認(rèn)證，安全性極差，常被人用來竊取密碼文件。

(3)匿名FTP服務(wù)存在一定的安全隱患：有些匿名FTP站點(diǎn)為

用戶提供了一些可寫的區(qū)域，用戶可以上傳一些信息到站點(diǎn)上，因此

可能會浪費(fèi)用戶的磁盤空間、網(wǎng)絡(luò)帶寬等資源，還可能造成“拒絕服

務(wù)”攻擊。

10

(4)Finger服務(wù)可查詢用戶信息，包括網(wǎng)上成員姓名、用戶名、

最近的登錄時間、地點(diǎn)和當(dāng)前登錄的所有用戶名等，這也為入侵者提

供了必要的信息和方便。

11、通信加密

網(wǎng)絡(luò)中的數(shù)據(jù)加密可分為兩個途徑，一種是通過硬件實(shí)現(xiàn)數(shù)據(jù)加

密，一種是通過軟件實(shí)現(xiàn)數(shù)據(jù)加密。通過硬件實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)加密有3

種方式：鏈路加密、節(jié)點(diǎn)加密和端一端加密；軟件數(shù)據(jù)加密就是指使

用前述的加密算法進(jìn)行加密。

(1)鏈路加密鏈路加密(LinkEncryption)是指傳輸數(shù)據(jù)僅

在數(shù)據(jù)鏈路層上進(jìn)行加密。如圖所示。

鏈路加密

(2)節(jié)點(diǎn)加密節(jié)點(diǎn)加密的目的是對源節(jié)點(diǎn)到目的節(jié)點(diǎn)之間的傳

輸鏈路提供加密保護(hù)。節(jié)點(diǎn)加密指每對節(jié)點(diǎn)共用一個密鑰，對相鄰兩

節(jié)點(diǎn)間(包括節(jié)點(diǎn)本身)傳送的數(shù)據(jù)進(jìn)行加密保護(hù)。

(3)端一端加密端點(diǎn)加密的目的是對源端用戶到目的端用戶

的數(shù)據(jù)提供加密保護(hù)。端一端加密(又稱脫線加密或包加密)要求傳

11

送的數(shù)據(jù)從源端到目的端一直保持密文狀態(tài)，數(shù)據(jù)在發(fā)送端被加密,

在接收端解密，中間節(jié)點(diǎn)處不以明文的形式出現(xiàn)。

12、通信加密方式的比較和選擇

①鏈路加密的特點(diǎn)：加密方式比較簡單，實(shí)現(xiàn)也較容易；可防

止報文流量分析的攻擊；一個鏈路被攻破，不影響其他鏈路上的信息;

一個中間節(jié)點(diǎn)被攻破時，通過該節(jié)點(diǎn)的所有信息將被泄露；加密和維

護(hù)費(fèi)用大，用戶費(fèi)用很難合理分配；鏈路加密只能認(rèn)證節(jié)點(diǎn)，而不面

向用戶，因此鏈路加密不能提供用戶鑒別。

②端一端加密的特點(diǎn)：可提供靈活的保密手段，例如主機(jī)到主

機(jī)、主機(jī)到終端、主機(jī)到進(jìn)程的保護(hù)；加密費(fèi)用低，并能準(zhǔn)確分配；

加密在網(wǎng)絡(luò)應(yīng)用層實(shí)現(xiàn)，可提高網(wǎng)絡(luò)加密功能的靈活性；加密可使用

軟件實(shí)現(xiàn)，使用起來很方便；不能防止信息流量分析攻擊；

③加密方式的選擇：從以上兩種加密方式可知，鏈路加密對用

戶系統(tǒng)比較容易，使用的密鑰較少，而端-端加密比較靈活。因此，

用戶在選擇通信方式時可作如下考慮：在需要保護(hù)的鏈路數(shù)少，且要

求實(shí)時通信，不支持端-端加密的遠(yuǎn)程調(diào)用等通信場合，宜采用端-

端加密方式；在多個網(wǎng)絡(luò)互聯(lián)的環(huán)境中，宜采用端-端加密方式；在

12

需要抵御信息系統(tǒng)流量分析場合，可采用鏈路加密和端-端加密相結(jié)

合的加密方式。

總而言之，與鏈路加密方式相比，端-端加密具有成本低、

保密性強(qiáng)、靈活性好等優(yōu)點(diǎn)，因此應(yīng)用更為廣泛。

第3章網(wǎng)絡(luò)操作系統(tǒng)安全

1.什么是網(wǎng)絡(luò)操作系統(tǒng)

網(wǎng)絡(luò)操作系統(tǒng)NOS(NetworkOperationSystem)是向網(wǎng)絡(luò)計(jì)

算機(jī)提供網(wǎng)絡(luò)通信和網(wǎng)絡(luò)資源共享功能的操作系統(tǒng)。它是負(fù)責(zé)管理整

個網(wǎng)絡(luò)資源和方便網(wǎng)絡(luò)用戶的軟件的集合，是整個網(wǎng)絡(luò)的靈魂。

網(wǎng)絡(luò)操作系統(tǒng)除了具有普通操作系統(tǒng)所具有的進(jìn)程控制與調(diào)

度、信息處理、處理機(jī)管理、存儲器管理和設(shè)備管理等功能外，還提

供了高效而可靠的網(wǎng)絡(luò)通信環(huán)境與多種網(wǎng)絡(luò)服務(wù)，如分布式文件共

享、網(wǎng)絡(luò)打印服務(wù)、數(shù)據(jù)庫服務(wù)、域名解析服務(wù)、Web服務(wù)等。

2、操作系統(tǒng)安全的概念

操作系統(tǒng)安全是指該系統(tǒng)能夠控制外部對系統(tǒng)信息的訪問，即只

有經(jīng)過授權(quán)的用戶或進(jìn)程才能對信息資源進(jìn)行相應(yīng)的讀、寫、創(chuàng)建和

刪除等操作，以保護(hù)合法用戶對授權(quán)資源的正常使用，防止非法入侵

者對系統(tǒng)資源的侵占和破壞。

操作系統(tǒng)安全機(jī)制主要包括隔離控制和訪問控制。

3、訪問控制的概念及含義

13

訪問控制是在身份認(rèn)證的基礎(chǔ)上，根據(jù)用戶身份對得出的資源訪

問請求加以控制，是針對越權(quán)使用資源的現(xiàn)象進(jìn)行防御的措施。訪問

控制具體包括兩個方面含義：

1)指用戶的身份驗(yàn)證即對用戶進(jìn)入系統(tǒng)的控制，最簡單常用

的方法是用戶帳號與口令驗(yàn)證；

2)用戶進(jìn)入系統(tǒng)后根據(jù)用戶的身份對其訪問資源的行為加以

限制，最常用的方法是訪問權(quán)限和資源屬性限制。

4、訪問控制系統(tǒng)中的3個要素

⑴主體是指發(fā)出資源訪問操作請求的主動方，是動作的發(fā)起者。

⑵客體是接受其他實(shí)體訪問的被動方，是在訪問中必須進(jìn)行控制

的資源。

⑶訪問策略就是一套訪問的規(guī)則，用以確定一個主體是否對客體

擁有訪問的能力。它決定了主體與客體之間交互作用可行的操作。

5、訪問控制的類型

訪問控制以其不同的實(shí)現(xiàn)方法可以分為自主訪問控制、強(qiáng)制訪問

控制、基于角色的訪問控制、基于任務(wù)的訪問控制和基于對象的訪問

控制等。

⑴自主訪問控制DAC(DiscretionaryAccessControI)

自主訪問控制是一種最為普遍的訪問控制手段，是指在系統(tǒng)允許經(jīng)過

身份驗(yàn)證和授權(quán)之后，有訪問許可的主體能夠直接或間接地向其他主

體轉(zhuǎn)讓訪問權(quán)。

14

⑵強(qiáng)制訪問控制MAC(MandatoryAccessControI)強(qiáng)

制訪問控制是用戶和客體資源都被賦予了一定的安全級別，用戶不能

改變自身和客體的安全級別，是有管理員才能確定用戶的和用戶組的

訪問權(quán)限。

⑶基于角色的訪問控制RBAC(RoIe-baseAccessControl)

基于角色的訪問控制的基本思想就是要求確定每一個用戶在系統(tǒng)中

所扮演的角色，不同的角色具有不同的訪問權(quán)限，這些權(quán)限由系統(tǒng)管

理員分配給角色。

⑷基于任務(wù)的訪問控制TBAC(task-basedaccesscontrol)

基于任務(wù)的訪問控制是從應(yīng)用和企業(yè)層角度來解決安全問題，而已往

的訪問控制是從系統(tǒng)的角度出發(fā)。它采用“面向任務(wù)”的觀點(diǎn)，從任

務(wù)的角度來建立安全模型和實(shí)現(xiàn)安全機(jī)制，在任務(wù)處理的過程中提供

動態(tài)實(shí)時的安全管理。

第4章數(shù)據(jù)庫與數(shù)據(jù)安全

1.數(shù)據(jù)庫安全的概念

數(shù)據(jù)庫安全是指為存放數(shù)據(jù)的數(shù)據(jù)庫系統(tǒng)制定、實(shí)施相應(yīng)的安

全保護(hù)措施，以保護(hù)數(shù)據(jù)庫中的數(shù)據(jù)不因偶然或惡意的原因而遭到破

壞、更改和泄露。目前，數(shù)據(jù)庫安全與網(wǎng)絡(luò)安全、操作系統(tǒng)安全及協(xié)

議安全一起構(gòu)成了信息系統(tǒng)安全的4個最主要的研究領(lǐng)域。數(shù)據(jù)庫安

全主要包括系統(tǒng)運(yùn)行安全和系統(tǒng)信息安全兩層含義。

15

1）系統(tǒng)運(yùn)行安全系統(tǒng)運(yùn)行安全包括：法律、政策的保護(hù)，

例如用戶是否有合法權(quán)限、政策是否允許等；物理控制安全，例如機(jī)

房是否加鎖等；硬件運(yùn)行安全；操作系統(tǒng)安全，例如數(shù)據(jù)文件是否受

保護(hù)等；災(zāi)害、故障恢復(fù)；死鎖的避免和解除；防止電磁信息泄漏。

2）系統(tǒng)信息安全系統(tǒng)信息安全包括：用戶口令鑒別；用戶

存取權(quán)限控制；數(shù)據(jù)存取方式控制；審計(jì)跟蹤；數(shù)據(jù)加密。

2、數(shù)據(jù)庫管理系統(tǒng)的缺陷

（1）數(shù)據(jù)庫應(yīng)用程序通常都同操作系統(tǒng)的最高管理員密切相關(guān)。

（2）人們對數(shù)據(jù)庫安全的忽視。

（3）部分?jǐn)?shù)據(jù)庫機(jī)制威脅網(wǎng)絡(luò)低層安全。

（4）安全特性缺陷。

（5）數(shù)據(jù)庫賬號、密碼容易泄漏。

（6）操作系統(tǒng)后門。

（7）木馬的威脅。

3、數(shù)據(jù)庫管理系統(tǒng)受到的威脅

（1）篡改：篡改是指對數(shù)據(jù)庫中的數(shù)據(jù)未經(jīng)授權(quán)地進(jìn)行修改，使其

失去原來的真實(shí)性。篡改是一種人為的主動攻擊，進(jìn)行這種人為攻擊

的原因可能是個人利益驅(qū)動、隱藏證據(jù)、惡作劇或無知。

（2）損壞：損壞的表現(xiàn)為數(shù)據(jù)庫中的數(shù)據(jù)表和整個數(shù)據(jù)庫部分或全

部被刪除、移走或破壞。產(chǎn)生損壞的原因主要有人為破壞、惡作劇和

病毒。

16

（3）竊?。焊`取一般只針對敏感數(shù)據(jù)，被竊取的數(shù)據(jù)可能具有很高

的價值，竊取的手法可能是將數(shù)據(jù)復(fù)制到可移動的介質(zhì)上帶走或把數(shù)

據(jù)打印后取走，竊取數(shù)據(jù)的對象一般是內(nèi)部員工和軍事及工商業(yè)間諜

等。

4、常用數(shù)據(jù)庫加密技術(shù)

通過對數(shù)據(jù)庫存儲加密等方法可實(shí)現(xiàn)數(shù)據(jù)庫中數(shù)據(jù)存儲保密和

完整性要求，使得數(shù)據(jù)庫以密文方式存儲并在密態(tài)方式下工作，確保

了數(shù)據(jù)安全。一般而言，一個行之有效的數(shù)據(jù)庫加密技術(shù)主要有以下

6個方面的功能和特性。

（1）身份認(rèn)證。

（2）通信加密與完整性保護(hù)。

（3）數(shù)據(jù)庫中數(shù)據(jù)存儲的加密與完整性保護(hù)。

（4）數(shù)據(jù)庫加密設(shè)置。

（5）多級密鑰管理模式。

（6）安全備份。系統(tǒng)提供數(shù)據(jù)庫明文備份功能和密鑰備份功

能。

5、Web數(shù)據(jù)庫的概念

數(shù)據(jù)庫是指按照一定的結(jié)構(gòu)和規(guī)則組織起來的相關(guān)數(shù)據(jù)的集合，

是存放數(shù)據(jù)的“倉庫”；據(jù)此即可將網(wǎng)絡(luò)數(shù)據(jù)庫定義為以后臺數(shù)據(jù)庫

為基礎(chǔ)的，加上一定的前臺程序，通過瀏覽器完成數(shù)據(jù)存儲、查詢等

操作的系統(tǒng)。Web數(shù)據(jù)庫的工作流程：首先用戶利用瀏覽器作為輸

入接口，輸入所需要的數(shù)據(jù)，瀏覽器隨后將這些數(shù)據(jù)傳送給網(wǎng)站，而

17

網(wǎng)站再對這些數(shù)據(jù)進(jìn)行處理（例如，將數(shù)據(jù)存入后臺數(shù)據(jù)庫，或者對

后臺數(shù)據(jù)庫進(jìn)行查詢操作等），最后網(wǎng)站將操作結(jié)果傳回給瀏覽器，

通過瀏覽器將結(jié)果告知用戶。

Web與數(shù)據(jù)庫的互聯(lián)，將人、企業(yè)、社會與Internet融為一體。

Web數(shù)據(jù)庫可以實(shí)現(xiàn)方便廉價的資源共享,而數(shù)據(jù)信息是資源的主體,

因而Web數(shù)據(jù)庫技術(shù)自然而然成為互聯(lián)網(wǎng)的核心技術(shù)。

6、Web數(shù)據(jù)庫系統(tǒng)的基本模型

Web數(shù)據(jù)庫的C/S和B/S模式，分別如圖1和圖2所示。

圖1網(wǎng)絡(luò)數(shù)據(jù)庫的C/S模式

18

圖2網(wǎng)絡(luò)數(shù)據(jù)庫的B/S模式

7、C/S與B/S模式的區(qū)別

①硬件環(huán)境不同。Client/Server是建立在局域網(wǎng)基礎(chǔ)上的，

Browser/Server是建立在廣域網(wǎng)基礎(chǔ)上的。

②對安全性要求不同。C/S模式一般面向相對固定的用戶群，對

信息安全的控制能力很強(qiáng)。B/S模式建立在廣域網(wǎng)之上，面向不可知

的用戶群，對安全的控制能力相對比較弱。一般高度機(jī)密的信息系統(tǒng)

采用C/S模式比較適宜，而B/S模式適合發(fā)布部分可公開信息。

③程序架構(gòu)不同。C/S程序更加注重流程，可以對權(quán)限進(jìn)行多層

次校驗(yàn)，對系統(tǒng)運(yùn)行速度可以較少考慮；B/S模式對安全性以及訪問

速度的多重考慮，建立在需要更加優(yōu)化的基礎(chǔ)之上，比C/S模式有更

高的要求。

④軟件重用不同。C/S構(gòu)件的重用性不如在B/S模式下構(gòu)件的重

用性好。

⑤系統(tǒng)維護(hù)開銷不同。系統(tǒng)維護(hù)在軟件生存周期中開銷大，相當(dāng)

重要。C/S程序由于整體性，必須整體考察、處理出現(xiàn)的問題以及系

統(tǒng)升級困難；B/S構(gòu)件組成方面，可以更換個別的構(gòu)件，實(shí)現(xiàn)系統(tǒng)的

無縫升級，將系統(tǒng)維護(hù)開銷減到最小。

⑥處理問題不同。C/S程序可以處理的用戶群固定，并且在相同

區(qū)域，安全性要求高，與操作系統(tǒng)平臺相關(guān)；B/S模式建立在廣域網(wǎng)

上，面向不同的用戶群，地域分散，這是C/S模式無法做到的，與操

作系統(tǒng)平臺的聯(lián)系最少。

⑦用戶接口不同。C/S模式多建立在Windows平臺上，表現(xiàn)方法

有限，對程序員普遍要求較高；B/S模式建立在瀏覽器上，有更加豐

富和生動的表現(xiàn)方式與用戶交流，并且大部分難度比較低，開發(fā)成本

比較低。

⑧信息流不同。C/S程序一般是典型的中央集權(quán)的機(jī)械式處理，

交互性相對比較低；B/S信息流向可變化，有B—B、B-C等信息流

向的變化，更像交易中心。

8、Web數(shù)據(jù)庫訪問技術(shù)

目前基于Web數(shù)據(jù)庫的連接方案主要有兩種類型：服務(wù)器端

和客戶端方案。服務(wù)器端方案實(shí)現(xiàn)技術(shù)有CGI、SAPKASP、PHP、

JSP等；客戶端方案實(shí)現(xiàn)技術(shù)有JDBC(JavaDatabase

Connectivity)、DHTML(DynamicHTML)等。

(1)公共網(wǎng)關(guān)接口(CommonGatewayIinterface,CGI)：

Web服務(wù)器運(yùn)行時外部程序的規(guī)范。按照CGI編寫的程序可以擴(kuò)展

服務(wù)器的功能，完成服務(wù)器本身不能完成的工作，外部程序執(zhí)行

時可以生成HTML文檔，并將文檔返回Web服務(wù)器。CGI程序的常

用語言有Perl、C++、VB、Delphio其缺點(diǎn)是每個CGI程序應(yīng)用是

作為一個獨(dú)立的外部應(yīng)用來運(yùn)行的，與服務(wù)器上其他程序競爭處

20

理器資源，這將導(dǎo)致運(yùn)行速度減慢，同時也不提供狀態(tài)管理功能,

瀏覽器的每次請求都需要一個連接的建立與釋放過程，效率較低。

(2)服務(wù)器端應(yīng)用程序編程接口(ServerAppIication

ProgrammingInterface,SAPI)：與CGI功能相同，也可用于實(shí)

現(xiàn)擴(kuò)展服務(wù)器功能。它實(shí)際上是一組用于完成特定功能的很復(fù)雜

的函數(shù)、消息和結(jié)構(gòu)，包含在一個擴(kuò)展名為DLL的動態(tài)鏈接庫文

件中。與CGI相比，性能上有了很大的提高，但開發(fā)需編程方面

的專門知識。

(3)超文本預(yù)處理器(HypertextPreprocessor,PHP)：

由于其良好的性能及免費(fèi)的特點(diǎn)，成為目前互聯(lián)網(wǎng)中非常流行的

一種應(yīng)用開發(fā)平臺。其優(yōu)點(diǎn)是簡單易學(xué)、跨平臺、有良好數(shù)據(jù)庫

交換能力的開發(fā)語言和良好的安全性。而缺點(diǎn)就是安裝配置復(fù)雜;

缺少企業(yè)級的支持；作為自由軟件，缺乏正規(guī)的商業(yè)支持；無法

實(shí)現(xiàn)商品化的軟件開發(fā)。

(4)ASP(ActivexServerPages)是由微軟創(chuàng)建的Web應(yīng)

用開發(fā)標(biāo)準(zhǔn)。ASP服務(wù)器已經(jīng)包含在IIS服務(wù)器中。ASP服務(wù)器將

Web請求轉(zhuǎn)入解釋器，在解釋器中將所有ASP中的腳本進(jìn)行分析,

然后執(zhí)行，同時可以創(chuàng)建COM對象以完成更多的功能。ASP中的腳

本語言是VbScript。其優(yōu)點(diǎn)是安裝和配置方便，開發(fā)簡單易學(xué)，

開發(fā)工具功能強(qiáng)大；而缺點(diǎn)是ASP使用了組件，因而可能會導(dǎo)致

大量的安全問題，且無法實(shí)現(xiàn)跨平臺移植，只能應(yīng)用于WindowsNT

或Windows系統(tǒng)。

21

第5章PKI技術(shù)

1.口令安全面臨的威脅

口令機(jī)制是一種最簡單、最常用的系統(tǒng)或應(yīng)用程序訪問控制的方

法。盡管目前許多計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)的進(jìn)入或登錄都是采用口令來防

止非法用戶的入侵，然而口令系統(tǒng)卻是非常脆弱的。其安全威脅主要

來自于：

(1)非法用戶利用有問題而缺少保護(hù)的口令進(jìn)行攻擊

(2)屏蔽口令

(3)竊取口令

(4)木馬攻擊

(5)安全意識淡薄

2、身份識別與鑒別的概念

身份識別是指用戶向系統(tǒng)出示自己身份證明的過程；身份鑒別是

系統(tǒng)核查用戶的身份證明的過程，實(shí)質(zhì)上是查明用戶是否具有他所請

求資源的存儲和使用權(quán)。人們通常把這兩項(xiàng)工作統(tǒng)稱為身份鑒別，也

稱為身份認(rèn)證。信息技術(shù)領(lǐng)域的身份鑒別通常是通過將一個證據(jù)與實(shí)

體身份綁定來實(shí)現(xiàn)的。實(shí)體可能是用戶、主機(jī)、應(yīng)用程序甚至進(jìn)程。

證據(jù)與身份之間是一一對應(yīng)的關(guān)系，雙方通信過程中，一方實(shí)體向另

一方提供這個證據(jù)證明自己的身份，另一方通過相應(yīng)的機(jī)制來驗(yàn)證證

據(jù)，以確定該實(shí)體是否與證據(jù)所宣稱的身份一致。

22

3、身份鑒別的任務(wù)

計(jì)算機(jī)系統(tǒng)中的身份鑒別技術(shù)一般涉及兩方面的內(nèi)容，即識別和

驗(yàn)證。識別信息一般是非秘密的，而驗(yàn)證信息必須是秘密的。所謂“識

別”，就是要明確訪問者是誰，即識別訪問者的身份，且必須對系統(tǒng)

中的每個合法用戶都有識別能力。要保證識別的有效性，必須保證任

意兩個不同的用戶都不能具有相同的標(biāo)識符，通過唯一標(biāo)識符ID,

系統(tǒng)可以識別出訪問系統(tǒng)的每一個用戶。所謂“驗(yàn)證”，是指在訪問

者聲明自己的身份（向系統(tǒng)輸入它的標(biāo)識符）后，系統(tǒng)必須對它所聲

明的身份進(jìn)行驗(yàn)證，以防假冒，實(shí)際上就是證實(shí)用戶的身份。驗(yàn)證過

程中用戶必須出具能夠證明他的身份的特殊信息，這個信息是秘密

的，任何其他用戶都不能擁有。只有識別與驗(yàn)證過程都正確后，系統(tǒng)

才會允許用戶訪問系統(tǒng)資源。

4、身份鑒別技術(shù)

身份鑒別技術(shù)包括：口令機(jī)制、智能卡和主體特征鑒別?？诹顧C(jī)

制是用戶和系統(tǒng)相互約定的代碼，智能卡是用戶進(jìn)入系統(tǒng)的硬件認(rèn)證

設(shè)備，主體特征鑒別是利用人體的生物特征（包括：指紋、虹膜、臉

部和掌紋等）進(jìn)行認(rèn)證。

5、身份鑒別的過程

用戶認(rèn)證系統(tǒng)主要是通過數(shù)字認(rèn)證技術(shù)確認(rèn)用戶的身份，從而提

供相應(yīng)的服務(wù)。決定身份真實(shí)性的身份鑒別過程包括如下兩個步驟：

（1）為實(shí)體賦予身份，并綁定身份，決定身份的表現(xiàn)方式

身份的賦予必須由具有更高優(yōu)先權(quán)的實(shí)體進(jìn)行。這些被充分信任的實(shí)

23

體可通過類似于駕照檢查或指紋驗(yàn)證等辦法，來確定實(shí)體的真實(shí)性，

隨后賦予真實(shí)實(shí)體相應(yīng)的身份信息。

（2）通信與鑒別對實(shí)體的訪問請求，必須鑒別其身份。

認(rèn)證的基本模式可分為3類：

①用戶到主機(jī)。

②點(diǎn)對點(diǎn)認(rèn)證。

③第三方的認(rèn)證：由充分信任的第三方提供認(rèn)證信息。

6、基于生理特征的識別技術(shù)

（1）指紋識別

指紋是指手指末梢乳突紋凸起形成的紋線圖案，其穩(wěn)定性、唯

一性早已獲得公認(rèn)。目前指紋識別技術(shù)主要是利用指紋紋線所提供的

細(xì)節(jié)特征（即紋線的起、終點(diǎn)、中斷處、分叉點(diǎn)、匯合點(diǎn)、轉(zhuǎn)折點(diǎn)）

的位置、類型、數(shù)目和方向的比對來鑒別身份。

（2）虹膜識別

虹膜是指位于瞳孔和鞏膜間的環(huán)狀區(qū)域，每個人虹膜上的紋

理、血管、斑點(diǎn)等細(xì)微特征各不相同，且一生中幾乎不發(fā)生變化。

（3）視網(wǎng)膜識別

人體的血管紋路也是具有獨(dú)特性的。人的視網(wǎng)膜上血管的圖樣

可以利用光學(xué)方法透過人眼晶體來測定。

（4）面部識別

面部識別技術(shù)通過對面部特征和它們之間的關(guān)系（眼睛、鼻

子和嘴的位置以及它們之間的相對位置）來進(jìn)行識別。

24

(5)手形識別

手形識別技術(shù)主要是利用手掌、手指及手指各關(guān)節(jié)的長、寬、

厚等三維尺寸和連接特征來進(jìn)行身份鑒別。

(6)紅外溫譜圖

人的身體各個部位都在向外散發(fā)熱量，而每個人的生物特征都

不同，從而導(dǎo)致其發(fā)熱強(qiáng)度不同。

(7)語音識別

語音識別利用說話者發(fā)聲頻率和幅值的不同來辨識身份。

語音識別大體分兩類：一是依賴特定文字識別；另一種是不依

賴特定文字識別，即說話者可隨意說任何詞語，由系統(tǒng)找出說話者發(fā)

音中具有共性的特征進(jìn)行識別。

(8)味紋識別

人的身體是一種味源，人類的氣味雖然會受到飲食、情緒、

環(huán)境、時間等因素的影響和干擾，其成分和含量會發(fā)生一定的變化，

但作為由基因決定的那一部分氣味一一味紋卻始終存在，而且終生不

變，可以作為識別任何一個人的標(biāo)記。

(9)基因DNA識別

脫氧核糖核酸DNA存在于一切有核的動(植)物中，生物的

全部遺傳信息都儲存在DNA分子里。由于不同的人體細(xì)胞中具有不

同的DNA分子結(jié)構(gòu)，且在整個人類范圍內(nèi)具有唯一性和永久性，因此

除了對雙胞胎個體的鑒別可能失去它應(yīng)有的功能外，這種方法具有絕

對的權(quán)威性和準(zhǔn)確性。

25

7、PKI的概念

(1)PKI的定義PKI是一個用公鑰概念與技術(shù)來實(shí)施和提

供安全服務(wù)的普遍適用的安全基礎(chǔ)設(shè)施。PKI是一個為綜合

數(shù)字信息系統(tǒng)提供廣泛需要的加密和數(shù)字簽名服務(wù)的基礎(chǔ)設(shè)施，其主

要職責(zé)是管理密鑰和證書，建立和維護(hù)一個值得信任的網(wǎng)絡(luò)環(huán)境。PKI

能夠?yàn)榭缭礁鞣N領(lǐng)域的廣泛應(yīng)用提供加密和數(shù)字簽名服務(wù)。PKI是

由認(rèn)證機(jī)構(gòu)、策略和技術(shù)標(biāo)準(zhǔn)、必要的法律組成。

8、PKI原理

其基本原理是：由一個密鑰進(jìn)行加密的信息內(nèi)容，只能由與之配

對的另一個密鑰才能進(jìn)行解密。公鑰可以廣泛地發(fā)給與自己有關(guān)的通

信者，私鑰則需要十分安全地存放起來。使用中，甲方可以用乙方的

公鑰對數(shù)據(jù)進(jìn)行加密并傳送給乙方，乙方可以使用自己的私鑰完成解

密。公鑰通過電子證書與其擁有者的姓名、工作單位、郵箱地址等捆

綁在一起，由權(quán)威機(jī)構(gòu)認(rèn)證、發(fā)放和管理。

9、PKI的安全服務(wù)功能

PKI的主要功能是提供身份認(rèn)證、機(jī)密性、完整性和不可否認(rèn)性

服務(wù)。

①身份認(rèn)證。信息的接收者應(yīng)該能夠確認(rèn)信息的來源，使得交易

雙方的身份不能被入侵者假冒或偽裝。

②機(jī)密性。確保一個計(jì)算機(jī)系統(tǒng)中的信息和被傳輸?shù)男畔H能被

授權(quán)讀取的各方得到。

26

③信息的完整性。信息的完整性就是防止非法篡改信息，例如修

改、復(fù)制、插入和刪除等。

④信息的不可否認(rèn)性。不可否認(rèn)用于從技術(shù)上保證實(shí)體對他們行

為的誠實(shí)，即參與交互的雙方都不能事后否認(rèn)自己曾經(jīng)處理過的每筆

業(yè)務(wù)。

10、PKI的目的

從廣義上講，任何提供公鑰加密和數(shù)字簽名服務(wù)的系統(tǒng)，都可叫

做PKI系統(tǒng)，PKI的主要目的是通過自動管理密鑰和證書，能夠?yàn)橛?/p>

戶建立起一個安全的網(wǎng)絡(luò)運(yùn)行環(huán)境，使用戶能夠在多種應(yīng)用環(huán)境下方

便地使用加密和數(shù)字簽名技術(shù)，從而確保網(wǎng)上數(shù)據(jù)的機(jī)密性、完整性、

有效性。

11、PKI的實(shí)體構(gòu)成

從廣義上講，PKI體系是一個集網(wǎng)絡(luò)建設(shè)、軟硬件開發(fā)、信息安

全技術(shù)、策略管理和相關(guān)法律政策為一體的大型的、復(fù)雜的、分布式

的綜合系統(tǒng)。一個典型、完整、有效的PKI系統(tǒng)至少應(yīng)由以下部分組

成：認(rèn)證中心CA、證書庫(CertificateRepository,CR)、應(yīng)用

程序接口(ApplicationProgrammingInterface,API)、密鑰備份

及恢復(fù)系統(tǒng)和證書廢除系統(tǒng)、客戶端證書處理系統(tǒng)。除此之外，一個

PKI系統(tǒng)的運(yùn)行少不了證書的申請者和證書信任方的參與。

12、PKI的系統(tǒng)功能

(1)證書申請和審批

(2)產(chǎn)生、驗(yàn)證和分發(fā)密鑰

27

(3)證書簽發(fā)和下載

(4)簽名和驗(yàn)證

(5)證書的獲取

(6)證書和目錄查詢

(7)證書撤銷

(8)密鑰備份和恢復(fù)

(9)自動密鑰更新

(10)密鑰歷史檔案

(11)交叉認(rèn)證

(12)客戶端軟件

(13)時間戳服務(wù)

第6章防火墻工作原理及應(yīng)用

1.防火墻的基本概念

防火墻通常是指設(shè)置在不同網(wǎng)絡(luò)(例如可信任的內(nèi)部網(wǎng)絡(luò)和不可

信的外部網(wǎng)絡(luò))或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是一種必

不可少的安全增長點(diǎn)，是設(shè)置在被保護(hù)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的一道屏

障，也是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)網(wǎng)絡(luò)

安全策略控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡(luò)的信息流，且本身具有

較強(qiáng)的抗攻擊能力。它是提供信息安全服務(wù)、實(shí)現(xiàn)網(wǎng)絡(luò)和信息安全的

基礎(chǔ)和核心控制設(shè)備，能夠有效地監(jiān)控內(nèi)部網(wǎng)和互聯(lián)網(wǎng)之間的任何活

28

動，防止發(fā)生不可預(yù)測的、潛在破壞性的侵入，從而保證內(nèi)部網(wǎng)絡(luò)的

安全。

內(nèi)部網(wǎng)

網(wǎng)絡(luò)防火墻

2.防火墻的主要功能

防火墻的主要功能就是控制對受保護(hù)網(wǎng)絡(luò)的非法訪問，它通過監(jiān)

視、限制、更改通過網(wǎng)絡(luò)的數(shù)據(jù)流，一方面盡可能屏蔽內(nèi)部網(wǎng)的

拓?fù)浣Y(jié)構(gòu)，另一方面對內(nèi)屏蔽外部危險站點(diǎn)，用以防范外對內(nèi)、

內(nèi)對外的非法訪問。防火墻的功能主要表現(xiàn)在以下4個方面：

(1)防火墻是網(wǎng)絡(luò)安全的屏障

(2)防火墻可以強(qiáng)化網(wǎng)絡(luò)安全策略

(3)對網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計(jì)

(4)防止內(nèi)部信息的外泄

3.防火墻的局限性

(1)防火墻不能防范不經(jīng)由防火墻的攻擊

29

(2)防火墻不能防止感染了病毒的軟件或文件的傳輸

(3)防火墻不能防止數(shù)據(jù)驅(qū)動型攻擊

(4)防火墻不能防范惡意的內(nèi)部人員入侵

(5)防火墻不能防范不斷更新的攻擊方式

(6)防火墻難于管理和配置，易造成安全漏洞

(7)很難為用戶在防火墻內(nèi)外提供一致的安全策略

總之，一方面，防火墻在當(dāng)今Internet世界中的存在是有生命力的;

另一方面，防火墻不能替代內(nèi)部謹(jǐn)慎的安全措施。因此，它不是解決

所有網(wǎng)絡(luò)安全問題的萬能藥方，而只是網(wǎng)絡(luò)安全策略中的一個組成部

分。

4.防火墻的分類

1)基于實(shí)現(xiàn)方法分類，包括：軟件防火墻、硬件防火墻和專用防火

墻

2)基于防火墻技術(shù)原理分類，包括：網(wǎng)絡(luò)層防火墻技術(shù)和應(yīng)用層防

火墻技術(shù)。具體實(shí)現(xiàn)有包過濾防火墻、代理服務(wù)器防火墻、狀態(tài)檢測

防火墻和自適應(yīng)代理防火墻等。

3)基于防火墻硬件環(huán)境分類，包括：基于路由器的防火墻和基于主

機(jī)系統(tǒng)的防火墻。

4)基于防火墻的功能分類，包括：FTP防火墻、Telnet防火墻、E-maiI

防火墻、病毒防火墻、個人防火墻等。

5。包過濾技術(shù)

30

包過濾(PacketFiItering,PF)是防火墻為系統(tǒng)提供安全

保障的主要技術(shù)，可在網(wǎng)絡(luò)層對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包進(jìn)行有選擇的控制

與操作。包過濾操作一般都是在選擇路由的同時，在網(wǎng)絡(luò)層對數(shù)據(jù)包

進(jìn)行選擇或過濾。

選擇的依據(jù)是系統(tǒng)內(nèi)設(shè)置的過濾邏輯，即訪問控制表(Access

ControlTable,ACT)。由它指定允許哪些類型的數(shù)據(jù)包可以流入或

流出內(nèi)部網(wǎng)絡(luò)。一般過濾規(guī)則是以IP數(shù)據(jù)包信息為基礎(chǔ)，對IP數(shù)據(jù)

包的源地址、目的地址、傳輸方向、分包、IP數(shù)據(jù)包封裝協(xié)議、TCP/UDP

目標(biāo)端口號等進(jìn)行篩選、過濾。

6o包過濾技術(shù)的優(yōu)點(diǎn)

包過濾防火墻邏輯簡單，價格低廉，易于安裝和使用，網(wǎng)絡(luò)性能

和透明性好。

(1)不用改動應(yīng)用程序

(2)一個過濾路由器能協(xié)助保護(hù)整個網(wǎng)絡(luò)。

(3)數(shù)據(jù)包過濾對用戶透明。

(4)過濾路由器速度快、效率高

總之，包過濾技術(shù)是一種通用、廉價、有效的安全手段。

7。包過濾技術(shù)的缺點(diǎn)

(1)安全性較差

(2)一些應(yīng)用協(xié)議不適用

(3)正常的數(shù)據(jù)包過濾路由器無法執(zhí)行某些安全策略

31

(4)不能徹底防止地址欺騙

(5)數(shù)據(jù)包工具存在很多局限性

包過濾是第一代防火墻技術(shù)，本身存在較多缺陷，不能提供

較高的安全性。因此，在實(shí)際應(yīng)用中，很少把包過濾技術(shù)當(dāng)作單獨(dú)的

安全解決方案，通常是把它與應(yīng)用網(wǎng)關(guān)配合使用或與其他防火墻技術(shù)

揉合在一起使用，共同組成防火墻系統(tǒng)。

8o包過濾防火墻和代理防火墻技術(shù)比較

包過濾防火墻代理防火墻

內(nèi)置了專門為提高安全性而編

制的代理應(yīng)用程序，

價格較低能夠透徹地理解相關(guān)服務(wù)的命

令，對來往的數(shù)據(jù)包

進(jìn)行安全化處理

優(yōu)

工作在IP和TCP層，所以不允許數(shù)據(jù)包直接通過火墻，避

點(diǎn)

處理數(shù)據(jù)包的速度快、免了數(shù)據(jù)驅(qū)動式攻擊

效率高的發(fā)生，安全性好

能生成各項(xiàng)記錄；能靈活、完全

提供透明的服務(wù)，用戶不用

地控制進(jìn)出的流量和內(nèi)容；

改變客戶端程序

能過濾數(shù)據(jù)內(nèi)容

缺定義復(fù)雜，容易出現(xiàn)因配置對于每項(xiàng)服務(wù)，代理可能要求不

32

點(diǎn)不當(dāng)帶來的問題同的服務(wù)器

允許數(shù)據(jù)包直接通過，存在

遭受數(shù)據(jù)驅(qū)動式攻擊速度較慢

的潛在危險

對用戶不透明，用戶需要改變客

不能徹底防止地址欺騙

戶端程序

數(shù)據(jù)包中只有來自哪臺機(jī)

器的信息，不包含來自不能保證免受所有協(xié)議弱點(diǎn)的

哪個用戶的信息，不支持用限制

戶認(rèn)證

不能理解特定服務(wù)的上下速度較慢，不太適用于高速網(wǎng)

文環(huán)境，相應(yīng)控制只能在高（ATM或

層由代理服務(wù)和應(yīng)用層網(wǎng)千兆位Intranet等）之間的應(yīng)

關(guān)來完成用

不提供日志功能不能改進(jìn)底層協(xié)議的安全性

（1）代理服務(wù)器對整個IP數(shù)據(jù)包的數(shù)據(jù)進(jìn)行掃描，因此能夠比包過

濾器提供更詳細(xì)的日志文件。

（2）如果數(shù)據(jù)包和包過濾規(guī)則匹配，就允許數(shù)據(jù)包通過防火墻；而

代理服務(wù)器要用新的源IP地址重建數(shù)據(jù)包，這樣對外隱藏了內(nèi)部用

戶。

33

（3）使用代理服務(wù)器，意味著在Internet上必須有一個服務(wù)器，且

內(nèi)部主機(jī)不能直接與外部主機(jī)相連，因此帶有惡意攻擊的外部數(shù)據(jù)包

也就不能到達(dá)內(nèi)部主機(jī)。

（4）對網(wǎng)絡(luò)通信而言，如果包過濾器由于某種原因不能工作，可能

出現(xiàn)的結(jié)果是所有的數(shù)據(jù)包都能到達(dá)內(nèi)部網(wǎng)；而如果代理服務(wù)器由于

某種原因不能工作，整個網(wǎng)絡(luò)通信將被終止。

第7章計(jì)算機(jī)病毒防治

1.計(jì)算機(jī)病毒的概念

計(jì)算機(jī)病毒，是指編制或者在計(jì)算機(jī)程序中插入的

破壞計(jì)算機(jī)功能或者毀壞數(shù)據(jù)，影響計(jì)算機(jī)使用并能自我復(fù)制的一組

計(jì)算機(jī)指令或者程序代碼。

計(jì)算機(jī)病毒賴以生存的基礎(chǔ)是現(xiàn)代計(jì)算機(jī)都具有相同的工作原

理和操作系統(tǒng)的脆弱性，以及網(wǎng)絡(luò)協(xié)議中的安全漏洞。特別是在個人

計(jì)算機(jī)中，系統(tǒng)的基本控制功能對用戶是公開的，可以通過調(diào)用和修

改系統(tǒng)的中斷，取得對系統(tǒng)的控制權(quán)，從而對系統(tǒng)程序和其他程序進(jìn)

行任意處理。

2.計(jì)算機(jī)病毒的特點(diǎn)

1）發(fā)生侵害的主動性

2）傳染性

3）隱蔽性

34

4）表現(xiàn)性

5）破壞性

6）難確定性

3o計(jì)算機(jī)病毒的分類

1）按其破壞性，可分為：良性病毒和惡性病毒。

2）按其傳染途徑，可分為：駐留內(nèi)存型病毒和非駐留內(nèi)存型病毒。

3）按連接方式，可分為：源碼型、入侵型、操作系統(tǒng)型和外殼型

病毒。

4）按寄生方式，可分為：引導(dǎo)型病毒、文件型病毒以及集兩種

病毒特性于一體的復(fù)合型病毒和宏病毒、網(wǎng)絡(luò)病毒。

5）其他一些分類方式，按照計(jì)算機(jī)病毒攻擊的操作系統(tǒng)；按照

計(jì)算機(jī)病毒激活的時間；按計(jì)算機(jī)病毒攻擊的機(jī)型。

4o計(jì)算機(jī)病毒的工作機(jī)理

計(jì)算機(jī)病毒能夠感染的只有可執(zhí)行代碼，按照可執(zhí)行代碼的種類

可以將計(jì)算機(jī)病毒分為引導(dǎo)型病毒、文件型病毒、宏病毒和網(wǎng)絡(luò)病毒

四大類。

（1）引導(dǎo)型病毒的工作機(jī)理引導(dǎo)扇區(qū)是硬盤或軟

盤的第一個扇區(qū)，是存放引導(dǎo)指令的地方，這些引導(dǎo)指令對于操作系

統(tǒng)的裝載起著十分重要的作用。一般來說，引導(dǎo)扇區(qū)在CPU的運(yùn)行過

程中最先獲得對CPU的控制權(quán)，病毒一旦控制了引導(dǎo)扇區(qū)，也就意味

著病毒控制了整個計(jì)算機(jī)系統(tǒng)。引導(dǎo)型病毒程序會用自己的代碼替

換原始的引導(dǎo)扇區(qū)信息，并把這些信息轉(zhuǎn)移到磁盤的其他扇區(qū)中。當(dāng)

35

系統(tǒng)需要訪問這些引導(dǎo)數(shù)據(jù)信息時，病毒程序會將系統(tǒng)引導(dǎo)到存儲這

些引導(dǎo)信息的新扇區(qū)，從而使系統(tǒng)無法發(fā)覺引導(dǎo)信息的轉(zhuǎn)移，增強(qiáng)了

病毒自身的隱蔽性。

（2）文件型病毒的工作機(jī)理文件型病毒攻擊的對

象是可執(zhí)行程序,病毒程序?qū)⒆约焊街蜃芳釉诤缶Y名為.exe或.com

的可執(zhí)行文件上。當(dāng)感染了該類病毒的可執(zhí)行文件運(yùn)行時，病毒程序

將在系統(tǒng)中進(jìn)行它的破壞行動。同時，它將駐留在內(nèi)存中，試圖感染

其他文件。當(dāng)該類病毒完成了它的工作之后，其宿主程序才得到運(yùn)行，

使一切看起來很正常。

（3）宏病毒的工作機(jī)理為了減少用戶的重復(fù)勞

作，例如進(jìn)行相似的操作，Office提供了一種所謂宏的功能。利用

這個功能，用戶可以把一系列的操作記錄下來，作為一個宏。之后只

要運(yùn)行這個宏，計(jì)算機(jī)就能自動地重復(fù)執(zhí)行那些定義在宏中的所有操

作。這種宏操作一方面方便了普通的計(jì)算機(jī)用戶，另一方面卻也給病

毒制造者提供了可乘之機(jī)。宏病毒是一種專門感染Office系列文檔

的惡性病毒。

（4）網(wǎng)絡(luò)病毒的工作機(jī)理RemoteExpIorer的破壞作用：

一方面它需要通過網(wǎng)絡(luò)方可實(shí)施有效的傳播；另一方面，它要想真正

地攻入網(wǎng)絡(luò)（無論是局域網(wǎng)還是廣域網(wǎng)），本身必須具備系統(tǒng)管理員

的權(quán)限，如果不具備此權(quán)限，則它只能夠?qū)Ξ?dāng)前被感染的主機(jī)中的文

件和目錄起作用。該病毒僅在WindowsNTServer和WindowsNT

Workstation平臺上起作用，專門感染.exe文件。

36

5O常見的惡意代碼

惡意代碼是一種程序，它通常在不被察覺的情況下把代碼寄

宿到另一段程序中，從而達(dá)到破壞被感染的計(jì)算機(jī)數(shù)據(jù)、運(yùn)行具有入

侵性或破壞性的程序、破壞被感染的系統(tǒng)數(shù)據(jù)的安全性和完整性的目

的。

常見的惡意代碼分類如下：

?惡學(xué)e碼?

需要宿主的程序可以獨(dú)立運(yùn)行的程序

?后711邏輯親彈11特而伊木馬11府毒11細(xì)菌11點(diǎn)蟲?

復(fù)制

惡意代碼分類示意圖

6o木馬

“特洛伊木馬”的英文名稱為TrojanHorse（其名稱取自希臘

神話的《特洛伊木馬記》），是指表面看上去對人們有用或有趣，但

實(shí)際上卻有害的東西，并且它的破壞性是隱蔽的。計(jì)算機(jī)中的木馬

是一種基于遠(yuǎn)程控制的黑客工具，采用客戶機(jī)/服務(wù)器工作模式。它

通常包含控制端和被控制端兩部分。被控制端的木馬程序一旦植入受

害者的計(jì)算機(jī)（簡稱宿主）中，操縱者就可以在控制端實(shí)時監(jiān)視該用

37

戶的一切操作，有的放矢地竊取重要文件和信息，甚至還能遠(yuǎn)程操控

受害計(jì)算機(jī)對其他計(jì)算機(jī)發(fā)動攻擊。木馬的控制端和被控制端通過網(wǎng)

絡(luò)進(jìn)行交互。

“特洛伊木馬”是一種惡意程序，它們悄悄地在寄宿主機(jī)上運(yùn)行,

在用戶毫無察覺的情況下，讓攻擊者獲得了遠(yuǎn)程訪問和控制系統(tǒng)的權(quán)

限。木馬的運(yùn)行，可以采用以下3種模式。

（1）潛伏在正常的程序應(yīng)用中，附帶執(zhí)行獨(dú)立的惡意

操作。

（2）潛伏在正常的程序應(yīng)用中，但會修改正常的應(yīng)用

進(jìn)行惡意操作。

（3）完全覆蓋正常的程序應(yīng)用，執(zhí)行惡意操作。

7o木馬的工作過程

木馬對網(wǎng)絡(luò)主機(jī)的入侵過程，可大致分為6個步驟。

（1）配置木馬

（2）傳播木馬

（3）運(yùn)行木馬

（4）信息泄露

（5）連接建立

（6）遠(yuǎn)程控制

8o木馬的危害

木馬是一種遠(yuǎn)程控制工具，以簡便、易行、有效而深受黑客青

睞。木馬主要以網(wǎng)絡(luò)為依托進(jìn)行傳播，竊取用戶隱私資料是其主要目

38

的；而且多具有引誘性與欺騙性，是病毒新的危害趨勢。木馬可以

說是一種后門程序，它會在受害者的計(jì)算機(jī)系統(tǒng)里打開一個“后門”，

黑客經(jīng)由這個被打開的特定“后門”進(jìn)入系統(tǒng)，然后就可以隨心所欲

地操縱計(jì)算機(jī)了。木馬不僅是一般黑客的常用工具，更是網(wǎng)上情報

刺探的一種主要手段，對國家安全造成了巨大威脅。

9o蠕蟲的定義

蠕蟲是一種通過網(wǎng)絡(luò)進(jìn)行傳播的惡性代碼。它具有普通病毒的一

些共性，例如傳播性、隱蔽性、破壞性等；同時也具有一些自己的特

征，例如不利用文件寄生、可對網(wǎng)絡(luò)造成拒絕服務(wù)、與黑客技術(shù)相結(jié)

合等。蠕蟲的傳染目標(biāo)是網(wǎng)絡(luò)內(nèi)的所有計(jì)算機(jī)。在破壞性上，蠕蟲病

毒也不是普通病毒所能比的，網(wǎng)絡(luò)的發(fā)展使得蠕蟲可以在短短的時間

內(nèi)蔓延到整個網(wǎng)絡(luò)，造成網(wǎng)絡(luò)癱瘓。

10o蠕蟲的傳播

蠕蟲程序的一般傳播過程如下：

（1）掃描。由蠕蟲的掃描功能模塊負(fù)責(zé)收集目標(biāo)主機(jī)的信息，尋

找可利用的漏洞或弱點(diǎn)。當(dāng)程序向某個主機(jī)發(fā)送探測漏洞的信息并收

到成功的反饋信息后，就得到一個可傳播的對象。掃描采用的技術(shù)方

法包括用掃描器掃描主機(jī)，探測主機(jī)的操作系統(tǒng)類型、主機(jī)名、用戶

名、開放的端口、開放的服務(wù)、開放的服務(wù)器軟件版本等。

（2）攻擊。攻擊模塊按步驟自動攻擊前面掃描中找到的對象，取

得該主機(jī)的權(quán)限（一般為管理員權(quán)限），獲得一個Shell。

39

（3）復(fù)制。復(fù)制模塊通過原主機(jī)和新主機(jī)的交互將蠕蟲程序復(fù)制

到新主機(jī)中并啟動。

11O網(wǎng)絡(luò)病毒

計(jì)算機(jī)網(wǎng)絡(luò)病毒實(shí)際上是一個籠統(tǒng)的概念。一種情況是，計(jì)算機(jī)

網(wǎng)絡(luò)病毒專指在網(wǎng)絡(luò)上傳播并對網(wǎng)絡(luò)進(jìn)行破壞的病毒；另一種情況

是，計(jì)算機(jī)網(wǎng)絡(luò)病毒指的是HTML病毒、E-maiI病毒、Java病毒等與

Internet有關(guān)的病毒。

1）網(wǎng)絡(luò)病毒的傳播方式事實(shí)上，并不是所有的病毒都能

夠通過計(jì)算機(jī)網(wǎng)絡(luò)進(jìn)行傳播。網(wǎng)絡(luò)病毒的出現(xiàn)和傳播成

為當(dāng)前影響Internet正常運(yùn)轉(zhuǎn)的主要障礙。網(wǎng)絡(luò)病毒首先來自于文

件下載。網(wǎng)絡(luò)病毒的另一種主要來源是電子郵件。隨著即時聊天工

具的流行，通過聊天工具進(jìn)行病毒傳播成為網(wǎng)絡(luò)病毒傳播的第三大途

徑。

2）網(wǎng)絡(luò)病毒的特點(diǎn)計(jì)算機(jī)網(wǎng)絡(luò)的主要特點(diǎn)是資源共享,

一旦共享資源感染上病毒，網(wǎng)絡(luò)各節(jié)點(diǎn)間信息的頻繁傳輸將把病毒傳

染到共享的所有機(jī)器上，從而形成多種共享資源的交叉感染。病毒的

迅速傳播、再生、發(fā)作將造成比單機(jī)病毒更大的危害。

在網(wǎng)絡(luò)環(huán)境中，網(wǎng)絡(luò)病毒除了具有可傳播性、可執(zhí)行性、破壞性、

可觸發(fā)性等計(jì)算機(jī)病毒的共性外，還具有如下一些新特點(diǎn)。

（1）感染速度快。

（2）擴(kuò)散面廣。

（3）傳播的形式復(fù)雜多樣。

40

（4）難以徹底清除。

（5）破壞性大。

3）網(wǎng)絡(luò)防病毒技術(shù)

（1）實(shí)時監(jiān)視技術(shù)實(shí)時監(jiān)視技術(shù)通過修改操作系統(tǒng)，使操

作系統(tǒng)本身具備防病毒功能，拒病毒于計(jì)算機(jī)系統(tǒng)之外。該技術(shù)可時

刻監(jiān)視系統(tǒng)中的病毒活動、系統(tǒng)狀況以及軟盤、光盤、互聯(lián)網(wǎng)、電子

郵件上的病毒傳染，將病毒阻止在操作系統(tǒng)外部。

（2）全平臺防病毒技術(shù)目前病毒活躍的平臺有DOS、

Windows、WindowsNT、NetWare、Exchange等。為了使防病毒軟件

做到與系統(tǒng)的底層無縫連接，實(shí)時地檢查和清除病毒，必須在不同的

平臺上使用相應(yīng)平臺的防病毒軟件。

12o網(wǎng)絡(luò)病毒的防治特點(diǎn)

網(wǎng)絡(luò)病毒的防治工作具有如下特點(diǎn)。

（1）網(wǎng)絡(luò)防病毒技術(shù)的安全度是基于“木桶理論”的。被計(jì)算機(jī)

安全界廣泛采用的著名的“木桶理論”認(rèn)為，整個系統(tǒng)的安全防護(hù)能

力取決于系統(tǒng)中安全防護(hù)能力最薄弱的環(huán)節(jié)。

（2）網(wǎng)絡(luò)防病毒技術(shù)尤其是網(wǎng)絡(luò)病毒實(shí)時監(jiān)測技術(shù)應(yīng)符合“最小

占用”原則。

（3）網(wǎng)絡(luò)防病毒技術(shù)的兼容性是網(wǎng)絡(luò)防病毒的重點(diǎn)與難點(diǎn)。