網(wǎng)絡(luò)安全綜述

摘要：人類已邁入信息時(shí)代，信息資源已成為最能代表一個(gè)國(guó)家綜合國(guó)力的重要戰(zhàn)略資源。因此，如何確保信息的安全就成為了一個(gè)重要課題，網(wǎng)絡(luò)的安全性也成為了人們重點(diǎn)研究的領(lǐng)域。該文探討了網(wǎng)絡(luò)安全的存在的主要威脅以及幾種目前主要網(wǎng)絡(luò)安全技術(shù)，并提出了實(shí)現(xiàn)網(wǎng)絡(luò)安全的相應(yīng)對(duì)策。

關(guān)鍵詞：網(wǎng)絡(luò)安全；防火墻；入侵檢測(cè)；VPN

中圖分類號(hào)：TP393文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)：1009-3044(2008)36-2870-02

Network Security Summary

JIANG Tie

(Hunan Judicature Police Officer Training College，Changsha 410131，China)

Abstract: The humanity has entered into the information age， the information resource has become most can represent a national comprehensive national strength the important strategic resources. Therefore， how to guarantee that the information the security became an important topic， the network security has also become the people with emphasis research domain.This article has discussed the network security existence main threat as well as several kind of present main network security technology， and proposed realizes the network security corresponding countermeasure

Key words: network security;firewall;invasion examination;VPN

1 引言

網(wǎng)絡(luò)設(shè)計(jì)之初僅考慮到信息交流的便利和開放，而對(duì)于保障信息安全方面的規(guī)劃則非常有限，這樣，伴隨計(jì)算機(jī)與通信技術(shù)的迅猛發(fā)展，網(wǎng)絡(luò)攻擊與防御技術(shù)交替遞升，原來網(wǎng)絡(luò)固有優(yōu)越性的開放性和互聯(lián)性變成信息的安全性隱患之便利橋梁。網(wǎng)絡(luò)安全已變成越來越棘手的問題，只要是接入到因特網(wǎng)中的主機(jī)都有可能被攻擊或入侵了，而遭受安全問題的困擾。

2 網(wǎng)絡(luò)安全概述

2.1 網(wǎng)絡(luò)安全的概念

國(guó)際標(biāo)準(zhǔn)化組織（ISO）將“計(jì)算機(jī)安全”定義為：“為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件數(shù)據(jù)不因偶然和惡意的原因而遭到破壞、更改和泄漏”。上述計(jì)算機(jī)安全的定義包含物理安全和邏輯安全兩方面的內(nèi)容，其邏輯安全的內(nèi)容可理解為我們常說的信息安全[1]，是指對(duì)信息的保密性、完整性和可用性的保護(hù)，而網(wǎng)絡(luò)安全性的含義是信息安全的引申，即計(jì)算機(jī)、網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不因偶然或惡意的原因而遭破壞、更改或泄露，系統(tǒng)能連續(xù)可靠、正常地運(yùn)行，使網(wǎng)絡(luò)服務(wù)不中斷[2]。

2.2 網(wǎng)絡(luò)安全的主要威脅

網(wǎng)絡(luò)面臨的主要威脅主要來自下面幾方面:

1) 黑客的攻擊

隨著黑客技術(shù)逐漸被越來越多的人掌握和發(fā)展，目前，世界上有20多萬個(gè)黑客網(wǎng)站，這些站點(diǎn)都介紹一些攻擊方法和攻擊軟件的使用以及系統(tǒng)的一些漏洞，因而系統(tǒng)、站點(diǎn)遭受攻擊的可能性就變大了。尤其是現(xiàn)在還缺乏針對(duì)網(wǎng)絡(luò)犯罪卓有成效的反擊和跟蹤手段，使得黑客攻擊的隱蔽性好，“殺傷力”強(qiáng)，是網(wǎng)絡(luò)安全的主要威脅。

2) 管理的欠缺

網(wǎng)絡(luò)系統(tǒng)的嚴(yán)格管理是企業(yè)、機(jī)構(gòu)及用戶免受攻擊的重要措施。事實(shí)上，很多企業(yè)、機(jī)構(gòu)及用戶的網(wǎng)站或系統(tǒng)都疏于這方面的管理。據(jù)IT界企業(yè)團(tuán)體ITAA的調(diào)查顯示，美國(guó)90％的IT企業(yè)對(duì)黑客攻擊準(zhǔn)備不足。目前，美國(guó)75％－85％的網(wǎng)站都抵擋不住黑客的攻擊，約有75％的企業(yè)網(wǎng)上信息失竊，其中25％的企業(yè)損失在25萬美元以上。

3) 網(wǎng)絡(luò)的缺陷

因特網(wǎng)的共享性和開放性使網(wǎng)上信息安全存在先天不足，因?yàn)槠滟囈陨娴腡CP/IP協(xié)議族，缺乏相應(yīng)的安全機(jī)制，而且因特網(wǎng)最初的設(shè)計(jì)考慮是該網(wǎng)不會(huì)因局部故障而影響信息的傳輸，基本沒有考慮安全問題，因此它在安全可靠、服務(wù)質(zhì)量、帶寬和方便性等方面存在著不適應(yīng)性。

4) 軟件的漏洞或“后門”

隨著軟件系統(tǒng)規(guī)模的不斷增大，系統(tǒng)中的安全漏洞或“后門”也不可避免的存在，比如我們常用的操作系統(tǒng)，無論是Windows還是UNIX幾乎都存在或多或少的安全漏洞，眾多的各類服務(wù)器、瀏覽器、一些桌面軟件、等等都被發(fā)現(xiàn)過存在安全隱患。大家熟悉的沖擊波(Worm.Blaster)、震蕩波等病毒都是利用微軟系統(tǒng)的漏洞給企業(yè)造成巨大損失，可以說任何一個(gè)軟件系統(tǒng)都可能會(huì)因?yàn)槌绦騿T的一個(gè)疏忽、設(shè)計(jì)中的一個(gè)缺陷等原因而存在漏洞，這也是網(wǎng)絡(luò)安全的主要威脅之一。

5) 企業(yè)網(wǎng)絡(luò)內(nèi)部

網(wǎng)絡(luò)內(nèi)部用戶的誤操作，資源濫用和惡意行為再完善的防火墻也無法抵御來自網(wǎng)絡(luò)內(nèi)部的攻擊，也無法對(duì)網(wǎng)絡(luò)內(nèi)部的濫用做出反應(yīng)。

3 網(wǎng)絡(luò)安全的主要技術(shù)

安全是網(wǎng)絡(luò)賴以生存的保障，只有安全得到保障，網(wǎng)絡(luò)才能實(shí)現(xiàn)自身的價(jià)值。網(wǎng)絡(luò)安全技術(shù)隨著人們網(wǎng)絡(luò)實(shí)踐的發(fā)展而發(fā)展，其涉及的技術(shù)面非常廣，主要的技術(shù)如認(rèn)證、加密、防火墻及入侵檢測(cè)是網(wǎng)絡(luò)安全的重要防線。

3.1 認(rèn)證服務(wù)

認(rèn)證服務(wù)的作用是通信伙伴之間相互確定身份， 防止他人插入通信過程。認(rèn)證有兩種形式， 一種是檢查一方標(biāo)識(shí)的單方認(rèn)證， 一種是通信雙方相互檢查對(duì)方標(biāo)識(shí)的相互認(rèn)證。又可分為為實(shí)體認(rèn)證和數(shù)據(jù)起源認(rèn)證[3]兩種情形。對(duì)合法用戶進(jìn)行認(rèn)證可以防止非法用戶獲得對(duì)公司信息系統(tǒng)的訪問，使用認(rèn)證機(jī)制還可以防止合法用戶訪問他們無權(quán)查看的信息?，F(xiàn)列舉幾種如下：

1) 身份認(rèn)證

當(dāng)系統(tǒng)的用戶要訪問系統(tǒng)資源時(shí)要求確認(rèn)是否是合法的用戶，這就是身份認(rèn)證。常采用用戶名和口令等最簡(jiǎn)易方法進(jìn)行用戶身份的認(rèn)證識(shí)別。

2) 報(bào)文認(rèn)證

主要是通信雙方對(duì)通信的內(nèi)容進(jìn)行驗(yàn)證，以保證報(bào)文由確認(rèn)的發(fā)送方產(chǎn)生、報(bào)文傳到了要發(fā)給的接受方、傳送中報(bào)文沒被修改過。

3) 訪問授權(quán)

主要是確認(rèn)用戶對(duì)某資源的訪問權(quán)限。

4) 數(shù)字簽名

數(shù)字簽名是一種使用加密認(rèn)證電子信息的方法，其安全性和有用性主要取決于用戶私匙的保護(hù)和安全的哈希函數(shù)。數(shù)字簽名技術(shù)是基于加密技術(shù)的，可用對(duì)稱加密算法、非對(duì)稱加密算法或混合加密算法來實(shí)現(xiàn)。

3.2 數(shù)據(jù)加密

加密就是通過一種方式使信息變得混亂，從而使未被授權(quán)的人看不懂它。主要存在兩種主要的加密類型：私匙加密和公匙加密。

1) 私匙加密

私匙加密又稱對(duì)稱密匙加密，因?yàn)橛脕砑用苄畔⒌拿艹拙褪墙饷苄畔⑺褂玫拿艹住Ｋ匠准用転樾畔⑻峁┝诉M(jìn)一步的緊密性，它不提供認(rèn)證，因?yàn)槭褂迷撁艹椎娜魏稳硕伎梢詣?chuàng)建、加密和平共處送一條有效的消息。這種加密方法的優(yōu)點(diǎn)是速度很快，很容易在硬件和軟件中實(shí)現(xiàn)。

2) 公匙加密

公匙加密比私匙加密出現(xiàn)得晚，私匙加密使用同一個(gè)密匙加密和解密，而公匙加密使用兩個(gè)密匙，一個(gè)用于加密信息，另一個(gè)用于解密信息。公匙加密系統(tǒng)的缺點(diǎn)是它們通常是計(jì)算密集的，因而比私匙加密系統(tǒng)的速度慢得多，不過若將兩者結(jié)合起來，就可以得到一個(gè)更復(fù)雜的系統(tǒng)。

3.3 防火墻技術(shù)

防火墻是網(wǎng)絡(luò)訪問控制設(shè)備，用于拒絕除了明確允許通過之外的所有通信數(shù)據(jù)，它不同于只會(huì)確定網(wǎng)絡(luò)信息傳輸方向的簡(jiǎn)單路由器，而是在網(wǎng)絡(luò)傳輸通過相關(guān)的訪問站點(diǎn)時(shí)對(duì)其實(shí)施一整套訪問策略的一個(gè)或一組系統(tǒng)。根據(jù)防火墻所采用的技術(shù)不同， 我們可以將它分為: 包過濾型、網(wǎng)絡(luò)地址轉(zhuǎn)換— NAT 、代理型和監(jiān)測(cè)型[4]。

1) 包過濾型

包過濾型產(chǎn)品是防火墻的初級(jí)產(chǎn)品， 包過濾技術(shù)的優(yōu)點(diǎn)是簡(jiǎn)單實(shí)用， 實(shí)現(xiàn)成本較低， 在應(yīng)用環(huán)境比較簡(jiǎn)單的情況下， 能夠以較小的代價(jià)在一定程度上保證系統(tǒng)的安全。

2) 網(wǎng)絡(luò)地址轉(zhuǎn)化— NAT

這是一種用于把 IP 地址轉(zhuǎn)換成臨時(shí)的、外部的、注冊(cè)的 IP 地址標(biāo)準(zhǔn)。網(wǎng)絡(luò)地址轉(zhuǎn)換的過程對(duì)于用戶來說是透明的， 不需要用戶進(jìn)行設(shè)置， 用戶只要進(jìn)行常規(guī)操作即可。

3) 代理型

代理型防火墻也稱為代理服務(wù)器，代理服務(wù)器位于客戶機(jī)與服務(wù)器之間，完全阻擋了二者間的數(shù)據(jù)交流。代理型防火墻的優(yōu)點(diǎn)是安全性較高， 可以針對(duì)應(yīng)用層進(jìn)行偵測(cè)和掃描，對(duì)付基于應(yīng)用層的侵入和病毒都十分有效。其缺點(diǎn)是對(duì)系統(tǒng)的整體性能有較大的影響，而且代理服務(wù)器必須針對(duì)客戶機(jī)可能產(chǎn)生的所有應(yīng)用類型逐一進(jìn)行設(shè)置，大大增加了系統(tǒng)管理的復(fù)雜性。

4) 監(jiān)測(cè)型

監(jiān)測(cè)型防火墻是新一代的產(chǎn)品， 這一技術(shù)實(shí)際已經(jīng)超越了最初的防火墻定義。監(jiān)測(cè)型防火墻能夠?qū)Ω鲗拥臄?shù)據(jù)進(jìn)行主動(dòng)的、實(shí)時(shí)的監(jiān)測(cè)， 在對(duì)這些數(shù)據(jù)加以分析的基礎(chǔ)上， 監(jiān)測(cè)型防火墻能夠有效地判斷出各層中的非法侵入。但由于監(jiān)測(cè)型防火墻技術(shù)的實(shí)現(xiàn)成本較高， 也不易管理， 所以目前在實(shí)用中的防火墻產(chǎn)品仍然以第二代代理型產(chǎn)品為主。

防火墻的安全控制主要是基于IP地址的，難以為用戶在防火墻內(nèi)外提供一致的安全策略；而且防火墻只實(shí)現(xiàn)了粗粒度的訪問控制，也不能與企業(yè)內(nèi)部使用的其他安全機(jī)制（如訪問控制）集成使用；另外，防火墻難于管理和配置，由多個(gè)系統(tǒng)（路由器、過濾器、代理服務(wù)器、網(wǎng)關(guān)、保壘主機(jī)）組成的防火墻，管理上難免有所疏忽。

3.4 入侵檢測(cè)系統(tǒng)

入侵檢測(cè)技術(shù)是網(wǎng)絡(luò)安全研究的一個(gè)熱點(diǎn)，是一種積極主動(dòng)的安全防護(hù)技術(shù)，提供了對(duì)內(nèi)部入侵、外部入侵和誤操作的實(shí)時(shí)保護(hù)，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截相應(yīng)入侵。隨著時(shí)代的發(fā)展，入侵檢測(cè)技術(shù)將朝著三個(gè)方向發(fā)展：分布式入侵檢測(cè)、智能化入侵檢測(cè)和全面的安全防御方案。

入侵檢測(cè)系統(tǒng)（Instusion Detection System， 簡(jiǎn)稱IDS）是進(jìn)行入侵檢測(cè)的軟件與硬件的組合，其主要功能是檢測(cè)，除此之外還有檢測(cè)部分阻止不了的入侵；檢測(cè)入侵的前兆，從而加以處理，如阻止、封閉等；入侵事件的歸檔，從而提供法律依據(jù)；網(wǎng)絡(luò)遭受威脅程度的評(píng)估和入侵事件的恢復(fù)等功能。

3.5 虛擬專用網(wǎng)（VPN）技術(shù)

VPN是目前解決信息安全問題的一個(gè)最新、最成功的技術(shù)課題之一，所謂虛擬專用網(wǎng)（VPN）技術(shù)就是在公共網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)，使數(shù)據(jù)通過安全的“加密管道”在公共網(wǎng)絡(luò)中傳播。用以在公共通信網(wǎng)絡(luò)上構(gòu)建VPN有兩種主流的機(jī)制，這兩種機(jī)制為路由過濾技術(shù)和隧道技術(shù)。目前VPN主要采用了如下四項(xiàng)技術(shù)來保障安全：隧道技術(shù)（Tunneling)、加解密技術(shù)（Encryption Decryption)、密匙管理技術(shù)（Key Management)和使用者與設(shè)備身份認(rèn)證技術(shù)（Authentication)。其中幾種流行的隧道技術(shù)分別為PPTP、L2TP和Ipsec。VPN隧道機(jī)制應(yīng)能技術(shù)不同層次的安全服務(wù)，這些安全服務(wù)包括不同強(qiáng)度的源鑒別、數(shù)據(jù)加密和數(shù)據(jù)完整性等。VPN也有幾種分類方法，如按接入方式分成專線VPN和撥號(hào)VPN；按隧道協(xié)議可分為第二層和第三層的；按發(fā)起方式可分成客戶發(fā)起的和服務(wù)器發(fā)起的。

3.6 其他網(wǎng)絡(luò)安全技術(shù)

1) 智能卡技術(shù)，智能卡技術(shù)和加密技術(shù)相近，其實(shí)智能卡就是密匙的一種媒體，由授權(quán)用戶持有并由該用戶賦與它一個(gè)口令或密碼字，該密碼字與內(nèi)部網(wǎng)絡(luò)服務(wù)器上注冊(cè)的密碼一致。智能卡技術(shù)一般與身份驗(yàn)證聯(lián)合使用。

2) 安全脆弱性掃描技術(shù)，它為能針對(duì)網(wǎng)絡(luò)分析系統(tǒng)當(dāng)前的設(shè)置和防御手段，指出系統(tǒng)存在或潛在的安全漏洞，以改進(jìn)系統(tǒng)對(duì)網(wǎng)絡(luò)入侵的防御能力的一種安全技術(shù)。

3) 網(wǎng)絡(luò)數(shù)據(jù)存儲(chǔ)、備份及容災(zāi)規(guī)劃，它是當(dāng)系統(tǒng)或設(shè)備不幸遇到災(zāi)難后就可以迅速地恢復(fù)數(shù)據(jù)，使整個(gè)系統(tǒng)在最短的時(shí)間內(nèi)重新投入正常運(yùn)行的一種安全技術(shù)方案。

其他網(wǎng)絡(luò)安全技術(shù)還有我們較熟悉的各種網(wǎng)絡(luò)防殺病毒技術(shù)等等。

4 網(wǎng)絡(luò)安全問題對(duì)策的思考

網(wǎng)絡(luò)安全建設(shè)是一個(gè)系統(tǒng)工程、是一個(gè)社會(huì)工程，網(wǎng)絡(luò)安全問題的對(duì)策可從以下幾個(gè)方面著手。

從技術(shù)角度看。首先，要樹立正確的思想準(zhǔn)備。網(wǎng)絡(luò)安全的特性決定了這是一個(gè)不斷變化、快速更新的領(lǐng)域，況且我國(guó)在信息安全領(lǐng)域技術(shù)方面和國(guó)外發(fā)達(dá)國(guó)家還有較大的差距，這都意味著技術(shù)上的“持久戰(zhàn)”，也意味著人們對(duì)于網(wǎng)絡(luò)安全領(lǐng)域的投資是長(zhǎng)期的行為。其次，建立高素質(zhì)的人才隊(duì)伍。目前在我國(guó)，網(wǎng)絡(luò)信息安全存在的突出問題是人才稀缺、人才流失，尤其是拔尖人才，同時(shí)網(wǎng)絡(luò)安全人才培養(yǎng)方面的投入還有較大缺欠。最后，在具體完成網(wǎng)絡(luò)安全保障的需求時(shí)，要根據(jù)實(shí)際情況，結(jié)合各種要求，需要多種技術(shù)的合理綜合運(yùn)用。

從管理角度看。考察一個(gè)內(nèi)部網(wǎng)是否安全，不僅要看其技術(shù)手段，而更重要的是看對(duì)該網(wǎng)絡(luò)所采取的綜合措施，不光看重物理的防范因素，更要看重人員的素質(zhì)等“軟”因素， “三分技術(shù)，七分管理”，管理作為網(wǎng)絡(luò)與信息安全保障的重要基礎(chǔ)。

從組織體系角度看。要盡快建立完善的網(wǎng)絡(luò)安全組織體系，明確各級(jí)的責(zé)任。建立科學(xué)的認(rèn)證認(rèn)可組織管理體系、技術(shù)體系的組織體系，和認(rèn)證認(rèn)可各級(jí)結(jié)構(gòu)，保證信息安全技術(shù)、信息安全工程、信息安全產(chǎn)品，信息安全管理工作的組織體系。

最后，在盡快加強(qiáng)網(wǎng)絡(luò)立法和執(zhí)法力度的同時(shí)，不斷提高全民的文明道德水準(zhǔn)，倡導(dǎo)健康的“網(wǎng)絡(luò)道德”，增強(qiáng)每個(gè)網(wǎng)絡(luò)用戶的安全意識(shí)，只有這樣才能從根本上解決網(wǎng)絡(luò)安全問題。

參考文獻(xiàn)：

[1] 王寶會(huì)，王大印，范開菊.計(jì)算機(jī)信息安全[M].北京:電子工業(yè)出版社，2006.

[2] 曾勍煒，付愛英，盛鴻宇.防火墻技術(shù)標(biāo)準(zhǔn)教材程[M].北京:北京理工大學(xué)出版社，2007.

[3] 張繼山，房丙午.計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)[M].北京:中國(guó)鐵道出版社，2006:199-200.

[4] 劉敏.網(wǎng)絡(luò)安全技術(shù)綜述[J].科技創(chuàng)新導(dǎo)報(bào).2008，20(25).