一種網(wǎng)絡(luò)安全模型的設(shè)計

王子強　李媛州　劉　麗

[摘要]網(wǎng)絡(luò)安全問題隨著計算機和網(wǎng)絡(luò)系統(tǒng)的廣泛應(yīng)用顯得日益嚴重,信息安全已經(jīng)成為全社會的需求。傳統(tǒng)的網(wǎng)絡(luò)安全技術(shù)存在各種不足,越來越不能滿足現(xiàn)有網(wǎng)絡(luò)安全需求的要求。提出一種基于層次、區(qū)域與保護措施等級的網(wǎng)絡(luò)安全模型,為網(wǎng)絡(luò)安全技術(shù)提供一個可供參考的新的模型。

[關(guān)鍵詞]網(wǎng)絡(luò)安全安全模型

中圖分類號:TP3文獻標(biāo)識碼:A文章編號:1671-7597(2009)0710069-01

一、引言

計算機網(wǎng)絡(luò)是一種在我國很多行業(yè)和部門有著廣泛應(yīng)用的信息傳輸系統(tǒng),它是計算機與通信技術(shù)相結(jié)合的產(chǎn)物,是我國信息化發(fā)展的一個重要標(biāo)志。隨著人們對計算機網(wǎng)絡(luò)依賴程度的日漸加深,網(wǎng)絡(luò)的安全問題無法回避。因此,關(guān)于網(wǎng)絡(luò)安全技術(shù)的研究顯得至關(guān)重要。

二、網(wǎng)絡(luò)中現(xiàn)有實現(xiàn)安全服務(wù)的方法簡介

(一)加密技術(shù)。目前,我國的計算機網(wǎng)絡(luò)的應(yīng)用中對加密技術(shù)的應(yīng)用既包括線路加密機等體現(xiàn)硬件加密技術(shù)的設(shè)備的應(yīng)用,也體現(xiàn)在集成在應(yīng)用軟件中的軟件加密。硬件加密設(shè)備主要放置在通信線路的兩端,對所有在線路中要傳輸?shù)臄?shù)據(jù)都進行加密和解密。而集成在軟件中的加密解密功能則是對用戶指定的文件或數(shù)據(jù)進行加密和解密。

(二)防火墻技術(shù)。防火墻是一個或一組實施訪問控制策略的系統(tǒng)。當(dāng)用戶決定要提供何種水平的連接后,就由防火墻來保證不允許出現(xiàn)其他超出此范圍的訪問行為。由防火墻來保證所有的用戶都遵守訪問控制策略。

防火墻通常放在內(nèi)部網(wǎng)和外部網(wǎng)之間以實施安全防范,它是一種網(wǎng)絡(luò)訪問控制技術(shù),其目的是控制網(wǎng)絡(luò)傳輸。

(三)入侵檢測技術(shù)。入侵檢測是用于檢測任何損害或企圖損害系統(tǒng)的機密性、完整性或可用性等行為的一種網(wǎng)絡(luò)安全技術(shù)。它通過監(jiān)視受保護系統(tǒng)的狀態(tài)和活動,采用異常檢測或誤用檢測的方式,發(fā)現(xiàn)非授權(quán)的或惡意的網(wǎng)絡(luò)行為,為防范入侵行為提供有效的手段。入侵檢測系統(tǒng)(IDS)由硬件和軟件組成,用來檢測系統(tǒng)或網(wǎng)絡(luò)以發(fā)現(xiàn)可能的入侵或攻擊的系統(tǒng)。它提供了用于發(fā)現(xiàn)入侵攻擊與合法用戶濫用特權(quán)的一種方法,它通過實時的檢測,檢查特定的攻擊模式、系統(tǒng)配置、系統(tǒng)漏洞、存在缺陷的程序版本以及系統(tǒng)或用戶的行為等模式,監(jiān)控與安全有關(guān)的活動。

(四)認證服務(wù)。認證是重要的安全服務(wù)之一,它用來對抗假冒攻擊和確保身份。它是用來獲得對誰或?qū)κ裁词虑樾湃蔚囊环N方法。

三、一種新的網(wǎng)絡(luò)安全模型的設(shè)計

(一)入侵的分類。在信息系統(tǒng)中,一般至少應(yīng)當(dāng)考慮如下三類安全威脅:外部入侵、內(nèi)部入侵和特權(quán)濫用。入侵者來自該計算機系統(tǒng)的外部時稱作外部入侵;當(dāng)入侵者就是那些有權(quán)使用計算機,但無權(quán)訪問某些特定的數(shù)據(jù)、程序或資源的人企圖越權(quán)使用系統(tǒng)資源時視為內(nèi)部入侵。特權(quán)濫用者也是計算機系統(tǒng)資源的合法用戶,表現(xiàn)為有意或無意地濫用他們的特權(quán)。本文所述的內(nèi)部入侵的概念包括上述三類安全威脅中的內(nèi)部入侵和特權(quán)濫用。

(二)內(nèi)、外部入侵與入侵等級的劃分。本文中提出的入侵等級是依據(jù)入侵的程度來劃分的,大體上可以劃分為弱和強兩個等級。內(nèi)部攻擊者的入侵程度較深,因此內(nèi)部入侵者從入侵的開始,它的入侵等級就定義為強;外部入侵在入侵的開始,它的入侵等級定義為弱,它的入侵等級能否達到強要看它的入侵能力,當(dāng)外部入侵者的攻擊取得一定的成功,即它已取得與內(nèi)部攻擊者相應(yīng)的權(quán)限,這時它的入侵程度已經(jīng)相當(dāng)于內(nèi)部入侵時,我們把這樣的外部入侵的等級也定義為強。而當(dāng)外部入侵并沒有或不能取得內(nèi)部攻擊者的權(quán)限時,它的入侵級別定義為弱。

(三)網(wǎng)絡(luò)安全模型的描述。為解決當(dāng)前的網(wǎng)絡(luò)安全問題,網(wǎng)絡(luò)安全系統(tǒng)應(yīng)該具有以下幾個特點:

1.它不是相互獨立的安全措施的集合,而是由一組相互補充、相互作用的安全防范工具組成的有機整體;2.它不是各項安全工具的順序排列,而應(yīng)該是在多層次、多區(qū)域和不同保護措施的等級上的三維空間中安全工具的有選擇的部署;3.它應(yīng)該與實際需要協(xié)調(diào)一致,不同的網(wǎng)絡(luò)環(huán)境應(yīng)該針對不同的重點采用不同的安全解決方案;4.它應(yīng)該可以隨網(wǎng)絡(luò)系統(tǒng)的變化而調(diào)整。

通過以上幾點可以看出,要解決網(wǎng)絡(luò)安全問題首先應(yīng)該對網(wǎng)絡(luò)環(huán)境進行分析,本文將網(wǎng)絡(luò)環(huán)境分成三個層次,即物理層、網(wǎng)絡(luò)層和應(yīng)用層,并在每個層次上根據(jù)實際需要分成不同的區(qū)域,然后根據(jù)安全保護等級在不同層次不同區(qū)域的系統(tǒng)中部署各類安全工具,并建立起安全工具之間的依賴關(guān)系,形成一個有機的三維網(wǎng)絡(luò)安全體系。

(四)網(wǎng)絡(luò)安全模型的層次、區(qū)域與保護措施的等級。在安全體系模型中將網(wǎng)絡(luò)安全系統(tǒng)分成物理層、網(wǎng)絡(luò)層和應(yīng)用層3個層次,每個層次分成若干安全區(qū)域,在不同層次的不同區(qū)域中,根據(jù)入侵級別的不同部署側(cè)重點不同的安全保護設(shè)施。這就是本文對網(wǎng)絡(luò)安全模型的劃分。

1.網(wǎng)絡(luò)安全模型的層次。三維網(wǎng)絡(luò)安全體系的層次自下而上分為:物理層、網(wǎng)絡(luò)層和應(yīng)用層3個層次。它和國際標(biāo)準化組織ISO發(fā)布的OSI參考模型的網(wǎng)絡(luò)體系結(jié)構(gòu)和國際上事實上的TCP/IP的網(wǎng)絡(luò)體系結(jié)構(gòu)具有一定的對應(yīng)關(guān)系。

2.網(wǎng)絡(luò)安全模型的區(qū)域。三維網(wǎng)絡(luò)安全體系的區(qū)域劃分與安全體系的層次有關(guān)。由于不同的層次中網(wǎng)絡(luò)安全的側(cè)重點不同,所以在不同層次中可以劃分為不同的安全區(qū)域。其中物理層對應(yīng)的區(qū)域有:接入?yún)^(qū)、服務(wù)區(qū)和用戶區(qū);系統(tǒng)網(wǎng)絡(luò)層對應(yīng)的區(qū)域有:接入?yún)^(qū)、公共服務(wù)區(qū)、內(nèi)部服務(wù)區(qū)和用戶區(qū);應(yīng)用層對應(yīng)的區(qū)域有:公共服務(wù)區(qū)、內(nèi)部服務(wù)區(qū)和用戶區(qū)。在實際的應(yīng)用中,還可以根據(jù)需要進行多種不同的劃分。

3.網(wǎng)絡(luò)安全模型的保護措施的等級。針對不同層次中的不同區(qū)域,三維網(wǎng)絡(luò)安全體系可以將保護措施劃分為強保護措施和弱保護措施,即不同層次中的不同區(qū)域,它們所采取的保護措施是不同的。

弱保護措施主要針對于外部入侵,它們的作用主要是使外部入侵保持在弱級,即使外部入侵無法取得一定程度的進展,阻止外部入侵;強保護措施則主要針對那些內(nèi)部入侵和達到強級的外部入侵,即當(dāng)入侵取得一定的成功時,強級保護措施仍然能夠保護系統(tǒng)使系統(tǒng)可以提供全部的或降級的服務(wù)。

四、結(jié)束語

在互聯(lián)網(wǎng)絡(luò)飛速發(fā)展并得到廣泛應(yīng)用的今天,網(wǎng)絡(luò)安全問題已經(jīng)引起人們的普遍關(guān)注,對于現(xiàn)有的網(wǎng)絡(luò)安全的產(chǎn)品,多是基于已知的攻擊,對于新出現(xiàn)的安全威脅往往力不從心。在此基礎(chǔ)上,本文提出了一種基于層次、區(qū)域與保護措施等級的網(wǎng)絡(luò)安全模型,將網(wǎng)絡(luò)容侵這種新的技術(shù)與傳統(tǒng)技術(shù)結(jié)合在一個完整的體系中,為網(wǎng)絡(luò)安全技術(shù)提供了一個可供參考的模型。

參考文獻:

[1]王麗娜等,網(wǎng)絡(luò)容侵研究綜述,信息和安全CCICS',科學(xué)出版社,2003.

[2]馮登國,網(wǎng)絡(luò)安全原理與技術(shù),科學(xué)出版社,2003.

[3]楊明等譯,密碼編碼學(xué)與網(wǎng)絡(luò)安全:原理與實踐,電子工業(yè)出版社,2001.

作者簡介:

王子強(1976-),男,河北省承德市人,裝甲兵工程學(xué)院,講師,研究方向:計算機科學(xué)與技術(shù)。