網絡安全技術綜述

李冬嚴

中國二十二冶集團有限公司，河北 唐山 064000

隨著互聯網的飛速發展，網絡安全成為一個潛在的巨大問題。網絡安全性是一個涉及面很廣泛的問題，其中也會涉及到是否構成犯罪行為的問題。在其最簡單的形式中，它主要關心信息的泄露與惡意的修改。網絡安全威脅的個人、企業、國家的信息安全，應引起足夠的重視。

1 影響計算機網絡安全的主要因素

1）網絡系統在穩定性和可擴充性方面存在問題

由于設計的系統不規范、不合理以及缺乏安全性考慮，因而使其受到影響。

2）網絡硬件的配置不協調

一是文件服務器。它是網絡的中樞，其運行穩定性、功能完善性直接影響網絡系統的質量。網絡應用的需求沒有引起足夠的重視，設計和選型考慮欠周密，從而使網絡功能發揮受阻，影響網絡的可靠性、擴充性和升級換代；二是網卡用工作站選配不當導致網絡不穩定。

3）缺乏安全策略

許多站點在防火墻配置上無意識地擴大了訪問權限，忽視了這些權限可能會被其他人員濫用。

4）訪問控制配置的復雜性，容易導致配置錯誤，從而給他人以可乘之機。

5）管理制度不健全，網絡管理、維護任其自然。

2 計算機網絡攻擊的特點和途徑

計算機網絡攻擊具有下述特點：

1）損失巨大

由于攻擊和入侵的對象是網絡上的計算機，所以一旦他們取得成功，就會使網絡中成千上萬臺計算機處于癱瘓狀態，從而給計算機用戶造成巨大的經濟損失。

2）威脅社會和國家安全

一些計算機網絡攻擊者出于各種目的經常把政府要害部門和軍事部門的計算機作為攻擊目標，從而對社會和國家安全造成威脅。

3）手段多樣，手法隱蔽

計算機攻擊的手段可以說五花八門。網絡攻擊者既可以通過監視網上數據來獲取別人的保密信息；也可以通過截取別人的帳號和口令堂而皇之地進入別人的計算機系統；還可以通過一些特殊的方法繞過人們精心設計好的防火墻等等。

4）以軟件攻擊為主

幾乎所有的網絡入侵都是通過對軟件的截取和攻擊從而破壞整個計算機系統的。它完全不同于人們在生活中所見到的對某些機器設備進行物理上的摧毀。因此，這一方面導致了計算機犯罪的隱蔽性，另一方面又要求人們對計算機的各種軟件（包括計算機通信過程中的信息流）進行嚴格的保護。

網絡攻擊和入侵的主要途徑：網絡入侵是指網絡攻擊者通過非法的手段（如破譯口令、電子欺騙等）獲得非法的權限，并通過使用這些非法的權限使網絡攻擊者能對被攻擊的主機進行非授權的操作。網絡入侵的主要途徑有：破譯口令、IP欺騙和DNS欺騙。

1）破譯口令

口令是計算機系統抵御入侵者的一種重要手段，所謂口令入侵是指使用某些合法用戶的帳號和口令登錄到目的主機，然后再實施攻擊活動。這種方法的前提是必須先得到該主機上的某個合法用戶的帳號，然后再進行合法用戶口令的破譯。

2）IP欺騙

IP欺騙是指攻擊者偽造別人的IP地址，讓一臺計算機假冒另一臺計算機以達到蒙混過關的目的。它只能對某些特定的運行TCP/IP的計算機進行入侵。IP欺騙利用了TCP/IP網絡協議的脆弱性。在TCP的三次握手過程中，入侵者假冒被入侵主機的信任主機與被入侵主機進行連接，并對被入侵主機所信任的主機發起淹沒攻擊，使被信任的主機處于癱瘓狀態。當主機正在進行遠程服務時，網絡入侵者最容易獲得目標網絡的信任關系，從而進行IP欺騙。IP欺騙是建立在對目標網絡的信任關系基礎之上的。

3）DNS欺騙

域名系統（DNS）是一種用于TCP/IP應用程序的分布式數據庫，它提供主機名字和IP地址之間的轉換信息。通常，網絡用戶通過UDP協議和DNS服務器進行通信，而服務器在特定的53端口監聽，并返回用戶所需的相關信息。DNS協議不對轉換或信息性的更新進行身份認證，這使得該協議被人以一些不同的方式加以利用。當攻擊者危害DNS服務器并明確地更改主機名—IP地址映射表時,DNS欺騙就會發生。這些改變被寫入DNS服務器上的轉換表。

3 計算機網絡中的安全缺陷及產生的原因

網絡安全缺陷產生的原因主要有：

第一，TCP/IP的脆弱性；

第二，網絡結構的不安全性；

第三，易被竊聽；

第四，缺乏安全意識。

4 確保計算機網絡安全的防范措施

網絡系統結構設計合理與否是網絡安全運行的關鍵，為解除網絡系統固有的安全隱患，可采取以下措施：

1）網絡分段技術的應用將從源頭上杜絕網絡的安全隱患問題。所以采取物理分段與邏輯分段兩種方法，來實現對局域網的安全控制；

2）以交換式集線器代替共享式集線器的方式將不失為解除隱患的又一方法。

強化計算機管理是網絡系統安全的保證，加強設施管理，確保計算機網絡系統實體安全；強化訪問控制，力促計算機網絡系統運行正常。

訪問控制是網絡安全防范和保護的主要措施，它的任務是保證網絡資源不被非法用戶使用和非常訪問，是網絡安全最重要的核心策略之一。

第一，建立入網訪問功能模塊。入網訪問控制為網絡提供了第一層訪問控制。用戶的入網訪問控制可分為3個過程：用戶名的識別與驗證；用戶口令的識別與驗證；用戶帳號的檢查。在3個過程中，如果其中一個不能成立，系統就視為非法用戶，則不能訪問該網絡。

第二，建立網絡的權限控制模塊。

第三，建立屬性安全服務模塊。屬性安全控制可以將給定的屬性與網絡服務器的文件、目錄和網絡設備聯系起來。屬性安全在權限安全的基礎上提供更進一步的安全性。網絡屬性可以控制以下幾個方面的權限：向某個文件寫數據、拷貝一個文件、刪除目錄或文件的查看、執行、隱含、共享及系統屬性等，還可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪除、執行修改、顯示等。

第四，建立網絡服務器安全設置模塊。網絡服務器的安全控制包括設置口令鎖定服務器控制臺；設置服務器登錄時間限制、非法訪問者檢測和關閉的時間間隔；安裝非法防問設備等。安裝非法防問裝置最有效的設施是安裝防火墻。它是一個用以阻止網絡中非法用戶訪問某個網絡的屏障，也是控制進、出兩個方向通信的門檻。

第五，建立檔案信息加密制度。

第六，建立網絡智能型日志系統。日志系統具有綜合性數據記錄功能和自動分類檢索能力。在該系統中，日志將記錄自某用戶登錄時起，到其退出系統時止，這所執行的所有操作，包括登錄失敗操作，對數據庫的操作及系統功能的使用。日志所記錄的內容有執行某操作的用戶保執行操作的機器IP地址、操作類型、操作對象及操作執行時間等，以備日后審計核查之用。

第七，建立完善的備份及恢復機制。為了防止存儲設備的異常損壞，可采用由熱插拔SCSI硬盤所組成的磁盤容錯陣列，以RAID5的方式進行系統的實時熱備份。同時，建立強大的數據庫觸發器和恢復重要數據的操作以及更新任務，確保在任何情況下使重要數據均能最大限度地得到恢復。

第八，建立安全管理機構。安全管理機構的健全與否，直接關系到一個計算機系統的安全。其管理機構由安全、審計、系統分析、軟硬件、通信、保安等有關人員組成。

隨著互聯網的飛速發展，網絡安全逐漸成為一個潛在的巨大問題。網絡安全性是一個涉及面很廣泛的問題，其中也會涉及到是否構成犯罪行為的問題。在其最簡單的形式中，它主要關心的是確保無關人員不能讀取，更不能修改傳送給其他接收者的信息。此時，它關心的對象是那些無權使用，但卻試圖獲得遠程服務的人。安全性也處理合法消息被截獲和重播的問題，以及發送者是否曾發送過該條消息的問題。