網絡安全隱患分析及防范措施

蔣忠亮

（重慶大學軟件學院，重慶 400030）

1 計算網絡面臨的威脅

計算機網絡所面臨的威脅大體可分為兩種：一是對網絡中設備的威脅；二是對網絡中信息的威脅。影響計算機網絡的因素很多，有些因素可能是有意的，也可能是無意的；可能是人為的，也可能是非人為的，歸結起來，針對網絡安全的威脅主要有三：①人為的惡意攻擊：這是計算機網絡所面臨的最大威脅，敵手的攻擊和計算機犯罪就屬于這一類。此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式有選擇地破壞信息的有效性和完整性；另一類是被動攻擊，它是在不影響網絡正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信息。這兩種攻擊均可對計算機網絡造成極大的危害，并導致機密數據的泄漏。②人為的無意失誤：如操作員安全配置不當造成的安全漏洞，用戶安全意識不強，用戶口令選擇不慎，用戶將自己的帳號隨意轉借他人或與別人共享等都會對網絡安全帶來威脅。③網絡軟件的漏洞和“后門”：網絡軟件不可能是百分之百的無缺陷和無漏洞的，然而，這些漏洞和缺陷恰恰是黑客進行攻擊的首選目標，曾經出現過的黑客攻入網絡內部的事件，這些事件的大部分就是因為安全措施不完善所招致的苦果。另外，軟件的“后門”都是軟件公司的設計編程人員為了自便而設置的，一般不為外人所知，但一旦“后門”洞開，其造成的后果將不堪設想。

2 網絡安全對策和安全技術

從本質上來講，網絡安全包括組成網絡系統的硬件、軟件及其在網絡上傳輸信息的安全性，使其不會因偶然的或惡意的攻擊遭到破壞，網絡安全既有技術方面的問題，也有管理方面的問題，兩方面相互補充、缺一不可。為確保網絡系統硬件、軟件及信息在傳輸過程中的安全，可采取以下措施：

2.1 保密教育和法律保護

結合機房、硬件、軟件和網絡等各個方面的安全問題，對工作人員進行安全教育，提高工作人員的保密觀念和責任心。加強工作人員的業務、技術的培訓，提高其操作技能。教育工作人員嚴格操作規程和各項保密規定，不斷提高法律觀念，防止人為事故的發生。國家應頒布相應的法律，以保護網絡安全。

2.2 防止入侵措施

應加強對文件處理的限制，控制重要文件的處理。利用報警系統檢測違反安全規程的行為，即對安全碼的不正確使用或使用無效的安全碼進行監控。對在規定次數內不正確的安全碼使用者，網絡系統可采取行動鎖住該終端并報警，以防止非法者突破安全碼系統進行入侵。

2.3 保護傳輸線路安全

傳輸線路應有保護措施或埋于地下，并要求遠離各種輻射源，以減少由于電磁干擾引起的數據錯誤。電纜鋪設應當使用金屬導管，以減少各種輻射引起的電磁泄漏和發送線路的干擾。集中器和調制解調器應防在受監視的地方，以防不法分子外聯的企圖。對連接應定期檢查，以檢查是否有竊聽、篡改或破壞行為。

2.4 數據加密

數據加密是網絡中采用的最基本的安全技術，網絡中的數據加密，除了選擇加密算法和密鑰之外，主要問題是加密方式、實現加密的網絡協議層、密鑰的分配及管理。網絡中的數據加密方式有鏈路加密、節點加密和端對端加密等方式，數據加密可以在SOI協議參考層的多個層次上實現。數據加密算法常用的有DES、AES、IDEA、RSA和PGP等多種。

2.5 鑒別機制

鑒別是為每一個通信方查明另一個實體身份和特權的過程。它是在對等實體間交換認證信息，以便檢驗和確認對等實體的合法性，這是訪問控制實現的先決條件。鑒別機制可采用報文鑒別，也可以采用數字簽名或終端識別等多種方式。

報文鑒別是在通信雙方建立聯系后，每個通信者對收到的信息進行驗證，以保證所收到信息的真實性的過程，也就是驗證報文的完整性。一旦得到這種鑒別信息，并且其準確性和完整性有保證，那么本地用戶或系統就可以做出適當的判斷—什么樣的數據可以發送到對方。

2.6 訪問控制

訪問控制是從計算機系統的處理能力方面對信息提供保護，它按照事先確定的規則決定主體對客體的訪問是否合法。當一主體試圖非法使用一個未經授權的資源時，訪問控制機制將拒絕這一訪問，并將這一事件報告審計跟蹤系統。審計跟蹤系統將給出報警，并記入日志檔案。對于文件和數據庫設置安全屬性，對其共享的程序予以劃分，通過訪問矩陣來限制用戶的使用方式，如只讀、只寫、讀/寫、可修改、可執行等。數據庫的訪問控制還可以分為庫、結構文件、記錄和數據項四級進行。

2.7 數字簽名

數字簽名是一個密文收發雙簽字和確證的過程。所用的簽署信息是簽名者所專有的。秘密的和唯一的，而對接受方檢驗該簽署的信息和程序則是公開的。簽名只能是有簽名者的專用信息來產生，驗證過程則是用公開程序和信息來確認，簽名是由簽名者專用信息產生的，所以出現糾紛時，仲裁機構可以利用公開程序來證明簽名者的唯一性。數字簽名可以為實體認證、無連接完整性、源點鑒別、制止否認等服務提供支持，它也是數據完整性、公證和認證機制的基礎。

終端識別技術是利用回收信息核對用戶位置、識別用戶身份的一種形式。回信核對裝置還對用戶的聯機位置進行檢查、核對。如果某用戶使用竊用得到的聯機口令在非法地點聯機，系統會立即切斷聯系，并將非法者的聯機事件、地點等詳細記錄并打印出來，以便及時查處和制止分發犯罪行為。

2.8 信流控制

信流攻擊是一種特殊的被動型攻擊。攻擊方通過分析網絡中某一路徑的信息流量和流向，就可以判斷某事件的發生。例如，在軍用網絡中發現某一站點的報文流量突然激增，依此便可以判斷某地發生了某種軍事行動。為了對付這種攻擊，可在某些站點間傳送信息時，持續地傳送偽隨機數據，使攻擊方不知道哪些是有用信息，哪些是無用信息，從而挫敗通信流分析攻擊。信息流的安全控制包括：掩蓋通信的頻率、掩蓋報文的長度、掩蓋報文的形式、掩蓋報文的地址。具體方法是填充報文和改變傳輸路徑。

填充報文包括增加偽報文或將所有報文都擴充到同樣長度，并隨機地選擇通信對象，使網絡中的數據流量比較平衡。為了掩蓋報文地址，一般采用物理層鏈路加密的方法，而偽報文的發送則在網絡高層協議中實現。為了掩蓋報文的形式，常采用反饋的加密方法。

2.9 選擇機制

在一個網絡中，從源節點到目的節點可能有多條路徑可以到達，一些路徑可能是安全的，而另一些路徑可能是不安全的。路由選擇機制可以使信息的發送者選擇特殊的路徑，以保證數據的安全。路由選擇機制實際上就是流向控制。在一個大型網絡系統中，選擇一條安全路徑是一個重要問題。這種選擇可以有用戶提出申請，在自己的程序和數據前打上路由標志；也可以由網絡安全控制機構在檢測出不安全路由后，通過動態調整路由表，限制某些不安全通路。

2.10 端口保護

遠程終端和通信線路是安全的薄弱環節，尤其是在利用電話撥號的計算機網絡中。因此，端口保護成為網絡安全的一個重要問題，一種簡單的保護方法是在不使用時拔下插頭或關閉電源。不過，這種方式對于撥號系統或聯機系統是不可行的。因此通常采用的方法是利用各種端口保護設備。

2.11 數據完整性

網絡通信協議中一般考慮了傳輸中的差錯控制措施，但不能對付人為的破壞。網絡中傳輸數據完整性的控制包括：數據來自正確的發送方，而非假冒；數據送到了正確的接收方，而無丟失或誤送；數據接收時的內容與發送時一致；數據接收時的時序與發送時一致；數據沒有重復接收。保護數據完整性的措施是增加對手所不能控制的冗余信息。

除此之外，還有安全檢測、審查和跟蹤等措施。

[1]張友純.計算機網絡安全.華中科技大學出版社.2006.

[2]周亞建.網絡安全加固技術.電子工業出版社，2007.