網絡信息安全管理淺析

[摘要] 在互聯網絡飛速發展的今天，由于技術上的缺陷以及思想上不購重視等原因，在現代網絡信息社會環境下，存在著各種各樣的安全威脅。這些威脅可能會造成重要數據文件的丟失，甚至給政府、銀行證券以及企業的網絡信息系統帶來了極大的損失和危害。網絡攻擊的主要方式包括口令攻擊、軟件攻擊、竊聽攻擊、欺詐攻擊、病毒攻擊以及拒絕服務攻擊等，而網絡安全的防范措施則包括安裝防火墻、防止內部破壞、口令保護和數據加密等多種方式。網絡安全防范是一個動態的概念，重要的是要建立一個網絡安全防范體系。

[關鍵詞] 網絡安全 信息安全 網絡攻擊 安全防范

近年來，隨著各行各業信息化建設的發展，互聯網和電子商務的應用的不斷普及與提高，人們對參與互聯網活動的需求越來越高。隨之而來的網絡信息安全問題也日益突出，安全已經成為當今網絡世界必須考慮的一個重要問題。

在我們國家，政府部門對信息系統的安全性也非常的重視，在國家技術監督局和其他主管部門的指導下，我們國家與國際標準接軌的，關于信息安全與網絡安全方面的技術標準和產品標準已經陸續出臺，并早在1997年就建立了全國信息技術、安全技術委員會。網絡安全問題除了引起了政府機關、國家安全部門、金融機構等的重視，一般的企事業單位甚至個人也都日益關注這些網絡安全問題。

一、網絡安全威脅的起因

為什么會存在這么多的網絡安全，網絡安全威脅的起因包括：

1.技術上存在缺陷。互聯網使用的通訊協議是TCP/IP，TCP/IP在最初的設計時，主要考慮的是如何實現網絡連接，并沒有充分考慮到網絡的安全問題，而TCP/IP協議是完全公開的，這就導致入侵者可以利用TCP/IP協議的漏洞對網絡進行攻擊。另外計算機使用的操作系統，比如說目前仍普遍使用的微軟windows操作系統在設計上也存在安全漏洞，用戶經常需要更新、下載它的安全補丁，以修補它的安全漏洞。其他的技術缺陷還包括應用程序的編寫對安全性考慮不足，網絡通訊設備包括路由器、交換機存在安全的缺陷等等，這些技術上的缺陷都容易被入侵者利用，從而構成安全威脅。

2.思想上不重視。由于企業的負責人、網絡管理員思想上不重視或者疏忽，沒有正視黑客入侵所造成的嚴重后果，沒有投入必要的人力、物力和財力來加強網絡的安全性，沒有采取有效的安全策略和安全機制，缺乏先進的網絡安全技術、工具、手段和產品等等，這也導致了網絡的安全防范能力差。

二、網絡安全問題可能導致的后果

在現代網絡信息社會環境下，由于存在各種各樣的安全威脅，比如病毒、誤操作、設備故障和黑客攻擊等，從而可能會造成重要數據文件的丟失。安全問題具體的后果包括：

1.企業的資料被有意篡改、網站的頁面被丑化或者修改。比如說，在被攻擊的網站首頁上貼上謠言、黃色圖片或反動言論，從而造成法律上和政治上的嚴重后果。

2.破壞計算機的硬件系統，比如說磁盤系統，從而造成文件永久丟失。

3.使得商業機密或技術成果泄露或者被散播。

4.安全問題還可能使得服務被迫停止，并給客戶層帶來服務質量低劣的印象，使得企業形象被破壞，從而造成惡劣影響和難以挽回的損失。

三、網絡攻擊的主要方式

互聯網技術在飛速發展的同時，黑客技術也在飛速發展，網絡世界的安全性不斷地在受到挑戰。對于黑客來說，要進入普通人的電腦非常容易。只果你要上網，就免不了遇到病毒和黑客。那么黑客們有哪些常用攻擊手段呢？

1.口令攻擊。口令攻擊就是通過竊取口令的方式進行破壞的活動，口令攻擊是比較常用的一種攻擊方式。在現實生活中，由于用戶名和密碼被盜造成損失的例子有很多，一旦用戶名和密碼被盜，入侵者還可以冒用此用戶的名義對系統進行進一步的破壞和攻擊，從而給用戶本身或者整個系統造成非常大的損失。

就目前的黑客技術來說，用戶名和密碼的盜取對黑客不再是有難度的事情，黑客盜取口令的方法有很多。比如說，有的黑客通過FTP、TFTP和Telnet等工具，可以搜集用戶賬戶資料、獲得口令文件，然后對口令文件進行解密來獲得口令?；蛘呷绻脩舻目诹钤O置缺乏安全性，可能被輕易地被“字典攻擊”猜到用戶的口令?！白值涔簟本褪峭ㄟ^編寫一個應用程序，根據一定的規律，由應用程序自動反復地去嘗試口令，強行破解用戶口令。“字典攻擊”要求黑客要有足夠的耐心和時間，但對那些口令安全系數極低的用戶，只要短短的幾分鐘，甚至數十秒就可以被破解。

2.軟件攻擊。軟件攻擊有時又叫漏洞攻擊，許多系統包括計算機系統、網絡系統都有這樣那樣的安全漏洞（Bug）和后門（backdoor）。特別是計算機系統，在安裝好操作系統后，出現漏洞和缺陷的可能性是最大的，這些漏洞需要廠商發布補?。╬atch）程序來進行修補。各個硬件廠商和軟件廠商，包括微軟在內，都在不斷地發布自己的補丁，這要求用戶及時的去下載這些補丁，進行系統更新操作。如果系統管理人員沒有對網絡和操作系統的漏洞及時打補丁，入侵者就可以很容易利用這些公開的漏洞，侵入系統，從而對整個網絡帶來災難性的后果。

軟件攻擊除了利用系統的漏洞外，還可以利用一些后門程序。后門，就是秘密入口。比如說，在程序開發階段，程序員可能會設置一些后門，以便于測試、修改和增強模塊功能。正常情況下，程序開放完成后需要去掉各個模塊的后門，不過有時由于疏忽或者其他原因，比如說如保留后門便于日后訪問、測試或維護，后門沒有去掉，一些別有用心的人就會利用專門的掃描工具發現并利用這些后門，然后進入系統并發動攻擊。

3.竊聽攻擊。網絡竊聽是最直接的獲取數據的手段，如果在共享的網絡通道上，用沒有加密的明文傳輸敏感數據，這些信息很可能被竊聽和監視。竊聽者可以采用如Sniffer等網絡協議分析工具，非常容易地在信息傳輸過程中獲取所有信息的內容，這些信息包括賬號、密碼等重要信息。一旦，入侵者監聽到用戶傳輸的口令，就可以利用口令入侵到系統中。比如說，政府部門內部的普通工作人員，如果通過內部網絡竊聽手段，獲取了領導的賬號和密碼，從而可以利用這些密碼，查閱只能由領導查閱的秘密文件等。這類方法有一定的局限性，但危害性較大，監聽者往往能夠獲得其所在網段的所有用戶賬號和口令，對內部網絡安全威脅巨大，因為內網數據往往是密級非常高的，如果被非法竊聽而導致信息泄露，將對國家造成非常大的損失。

4.欺詐攻擊。欺詐攻擊是利用假冒方式騙取連接和信息資源、損害企業的聲譽和利益的方式。比如說，黑客在被攻擊主機上啟動一個可執行程序，該程序顯示一個偽造的登錄界面。當用戶在這個偽裝的界面上鍵入登錄信息后，黑客程序會將用戶輸入的信息傳送到攻擊者主機，然后關閉界面給出提示錯誤，要求用戶重新登錄。此后，才會出現真正的登錄界面，這就是欺詐攻擊的一種方式。

再比如說，黑客可以制作自己的網頁，一旦用戶點擊了假冒鏈接地址，進入到這個網頁后，如果用戶此時輸入銀行賬號、密碼、驗證碼后，該假冒網頁會提示驗證碼錯誤，隨后再轉向正常的網頁，這樣，黑客就巧妙地從中獲取了用戶的機密信息。

5.病毒攻擊。計算機病毒實際上是一段可執行程序，為什么稱之為病毒，主要是因為它和現實世界的病毒一樣具有傳染性、潛伏性和破壞性。在越來越依賴網絡的今天，由于病毒導致的系統破壞將帶來巨大的損失。

計算機病毒對計算機的影響是災難性的。從20世紀80年代起，計算機使用者就開始和計算機病毒斗爭，特別是隨著近年互聯網的發展、網絡應用的普及、人們對計算機的依賴程度的不斷提高，這一切為病毒的傳播提供了方便的渠道，同時也使計算機病毒的種類迅速增加，擴散速度大大加快，受感染的范圍越來越廣，病毒的破壞性也越來越嚴重。以前病毒的傳播方式主要是單機之間通過軟盤介質傳染，而現在病毒可以更迅速地通過網絡共享文件、電子郵件及互聯網在全世界范圍內傳播。

6.拒絕服務攻擊。拒絕服務（denial-of-service）攻擊，簡稱DoS攻擊，是通過向攻擊目標施加超強力的服務要求，要求被攻擊目標提供超出它能力范圍的服務，從而引起的攻擊目標對正常服務的拒絕或服務性能大大降低。簡單的說拒絕服務攻擊就是想辦法將被攻擊的計算機資源或網絡帶寬資源耗盡，導致網絡或系統不勝負荷以至于癱瘓，而停止提供正常的服務。

DoS攻擊由于可以通過使用一些公開的軟件和工具進行攻擊，因而它的發動較為簡單，“拒絕服務”的攻擊方式是：用戶發送許多要求確認的信息到服務器，使服務器里充斥著這種大量要求回復的無用信息，所有的信息都有需回復的虛假地址，而當服務器試圖回傳時，卻無法找到用戶。服務器于是暫時等候，然后再切斷連接。服務器切斷連接時，黑客再度傳送新一批需要確認的信息，這個過程周而復始，最終導致服務器資源耗盡而癱瘓。

四、網絡安全的主要防范措施

網絡安全防范的目的是保護以網絡為代表的系統資源不受攻擊影響、同時要發現可疑的行為、對可能影響安全的事件作出反應。網絡系統安全的最終目標是要保證數據和信息的安全性，也就是說，網絡自身的安全是為數據和信息安全服務的。網絡安全不單是單點的安全，而是整個系統的安全，需要專業的安全產品與網絡產品緊密配合才能達到。網絡安全的防范措施包括：

1.安裝防火墻。最常用的網絡安全技術就是采用防火墻，防火墻所處的位置和功能很象是建筑上所說的防火墻，防火墻是安裝在計算機網絡上，防止內部的網絡系統被人惡意破壞的一個網絡安全產品。防火墻通常是防范外部入侵的第一道防線，使用了防火墻后，可以有效地擋住外來的攻擊，對進出的數據進行監視。

2.防止內部破壞。有了防火墻可以防范外部的攻擊，這還不能完全有效地保障內網的安全，因為很多不安全因素來自內部非授權人員對涉密信息的非法訪問和惡意竊取，因此在網絡內部，也必須要有強有力的身份鑒別、訪問控制、權限管理以及涉密文件的保密存儲和傳輸等措施，才能有效地保障內部涉密信息的安全性。

3.口令保護。口令攻擊是常見的一種網絡攻擊方式，黑客可以通過破解用戶口令入侵用戶系統，因此必須非常注意對口令的保護，特別是在設置口令時不能簡單了事，密碼設置不要容易被別人猜出，重要的密碼最好定期更換等等。

除了在設定口令時要注意口令安全，還有一種動態口令方式來保護口令的安全，動態口令認證是針對，靜態口令身份認證機制的安全弱點，提出的一種新的身份認證機制。在這種機制下，認證客戶端和認證服務器都基于用戶密鑰和當前時間，通過特定的密碼算法，生成該用戶的當前登錄口令，用于身份認證。由于當前登錄口令是和當前時間相關的，而且登錄口令只是一次有效，用戶在登錄時口令是隨時變化的，因此很好地解決了口令的泄露問題，保證了用戶的身份真實性和不可抵賴性。

4.數據加密。在互聯網出現后，特別是隨著電子商務應用的普及，企業的許多數據要經過互聯網傳輸，傳輸過程中間極有可能出現數據被竊取和被篡改的危險，因此跨越互聯網傳輸的數據都必須經過加密，保證數據不被竊取。除了跨越互聯網傳輸的數據需要加密外，以往發生的數據泄露事件中，內部數據泄露也比較多，因此網絡內部的數據也應該采用一定的加密措施。

加密技術的主要目標是確保數據的機密性、真實性、完整性，通過加密措施，使非法竊聽者即使截獲部分信息也無法理解這些信息，另外通過校驗技術，可以使數據被篡改后還有機制去恢復被篡改的內容。

總之，網絡安全防范是一個動態的概念，不可能做到一勞永逸，重要的是要建立一個網絡安全防范體系。網絡安全是一個廣泛而復雜的課題，各種類型的企業對網絡安全有不同的需求，必須進行具體的分析才能制定出適合企業自身要求的、總體網絡安全解決方案。

參考文獻：

[1]馬翔:網絡安全的策略和解決方案研究.中國科技信息，2007（22）

[2]黃梯云:管理信息系統，北京：高等教育出版社，2005.3

[3]沈昌祥:網絡安全應急體系探究. 信息網絡安全，2006（1）