淺談計算機網絡安全技術及其防范

【摘 要】 在計算機技術，網絡通訊技術飛速發展的今天，電腦和網絡正在以驚人的速度進入人類社會的各個角落。我們必須對因為網絡而引發的社會生產和生活各個層面的變化，作一個深刻的理解和清醒的認識。

【關鍵詞】 網絡安全 防范

Abstract ： The computer and network is into the every corner of the human society with an amazing speed. The paper mainly discusses the computer network security technology and its prevention.

1.計算機網絡安全技術

1.1計算機網絡安全的基本概念

網絡安全是指網絡系統的硬件、軟件及其系統中的數據受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，確保系統能連續可靠正常地運行，網絡服務不中斷。

計算機網絡由計算機和通信網絡兩部分組成。計算機是通信網絡的終端，通信網絡為計算機之間的數據傳輸和交換提供了必要的手段。

計算機網絡最重要的資源是它向用戶提供了服務及其所擁有的信息。

1.2計算機網絡安全的基本內容

計算機網絡包括網絡系統的安全和網絡的信息安全。按照性質可分為：

1.2.1物理安全，物理安全包括防盜、防火、防雷擊、防靜電、防電磁泄漏等；

1.2.2邏輯安全，邏輯安全指計算機的邏輯安全需要用口令字、文件許可、查賬等方法來實現。例如可以限制登錄的次數或對試探操作加上時間限制；

1.2.3操作系統安全，操作系統安全要求操作系統必須能區分用戶，以便于防止他們相互干擾：

1.2.4連網安全，連網安全通過訪問控制服務（用來保護計算機和聯網資源不被非授權使用）與通信安全服務（用來認證數據機要性與完整性以及各通信的可信賴）來達到安全服務。

2.計算機網絡攻擊的特點

計算機網絡攻擊具有下述特點：

2.1損失巨大。由于攻擊和入侵的對象是網絡上的計算機，所以一旦他們取得成功，就會使網絡中成千上萬臺計算機處于癱瘓狀態，從而給計算機用戶造成巨大的經濟損失。

2.2威脅社會和國家安全。一些計算機網絡攻擊者出于種種目的經常把政府要害部門和國家機密部門的計算機作為攻擊目標，從而對社會和國家安全造成威脅。

2.3手段多樣，手法隱蔽。計算機攻擊的手段可以說五花八門。網絡攻擊者既可以通過監視網上數據來獲取別人的保密信息；也可以通過截取別人的賬號和口令堂而皇之地進入別人的計算機系統：還可以通過一些特殊的方法繞過人們精心設計好的防火墻從而破壞計算機系統等等。

2.4以軟件攻擊為主，幾乎所有的網絡入侵都是通過對軟件的截取和攻擊從而破壞整個計算機系統的。它完全不同于人們在生活中所見到的對某些機器設備進行物理上的摧毀。因此，這一方面導致了計算機犯罪的隱蔽性，另一方面又要求人們對計算機的各種軟件（包括計算機通信過程中的信息流）進行嚴格的保護。

3.計算機網絡攻擊和入侵的主要途徑

網絡入侵是指網絡攻擊者通過非法的手段（如破譯口令、電子欺騙等）獲得非法的權限，并通過使用這些非法的權限使網絡攻擊者能對被攻擊的主機進行非授權的操作。網絡入侵的主要途徑有：破譯口令、IP欺騙和DNS欺騙。

3.1口令是計算機系統抵御入侵者的一種重要手段，所謂口令入侵是指使用某些合法用戶的賬號和口令登錄到目的主機，然后再實施攻擊活動。這種方法的前提是必須先得到該主機上的某個合法用戶的賬號，然后再進行合法用戶口令的破譯。獲得普通用戶賬號的方法很多，如：利用目標主機的Finger功能：當用Finger命令查詢時，主機系統會將保存的用戶資料（如用戶名、登錄時間等）顯示在終端或計算機上：利用目標主機的X500服務：有些主機沒有關閉X500的目錄查詢服務，也給攻擊者提供了獲得信息的一條簡易途徑；從電子郵件地址中收集：有些用戶電子郵件地址常會透露其在目標主機上的賬號：查看主機是否有習慣性的賬號：有經驗的用戶都知道，很多系統會使用一些習慣性的賬號，造成賬號的泄露。

3.2 IP欺騙是指攻擊者偽造別人的IP地址，讓一臺計算機假冒另一臺計算機以達到蒙混過關的目的。它只能對某些特定的運行TCP／IP的計算機進行入侵。IP欺騙利用了TCP／IP網絡協議的脆弱性。在TCP的三次握手過程中，入侵者假冒被入侵主機的信任主機與被入侵主機進行連接，并對被入侵主機所信任的主機發起淹沒攻擊，使被信任的主機處于癱瘓狀態。當主機正在進行遠程服務時，網絡入侵者最容易獲得目標網絡的信任關系，從而進行IP欺騙。IP欺騙是建立在對目標網絡的信任關系基礎之上的。同一網絡的計算機彼此都知道對方的地址，它們之間互相信任。由于這種信任關系，這些計算機彼此可以不進行地址的認證而執行遠程操作。

3.3域名系統（DNS）是一種用于TCP／IP應用程序的分布式數據庫，它提供主機名字和IP地址之間的轉換信息。DNS協議不對轉換或信息性的更新進行身份認證，這使得該協議被人以一些不同的方式加以利用。當攻擊者危害DNS服務器并明確地更改主機名一IP地

址映射表時，DNS欺騙就會發生。因而，當一個客戶機請求查詢時，用戶只能得到這個偽造的地址，該地址是一個完全處于攻擊者控制下的機器的IP地址。

4.計算機網絡安全策略

計算機網絡安全所面臨的威脅是來自很多方面的，針對來自不同方面的安全威脅，需要采取不同的安全對策。目前常用有效的網絡安全防御策略有如下幾種：物理安全策略、訪問權限控制、信息加密策略、防火墻安全策略。

4.1物理安全策略

物理安全策略的目的是保護計算機系統、網絡服務器、打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用權限、防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環境：建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發生。

4.2訪問權限控制

安裝在windows xP操作系統中的許多程序，都要求用戶具有一定的管理權限才能讓用戶使用程序，因此為了能夠使用好程序，我們有時需要為自己臨時分配一個訪問程序的管理權限。在分配管理權限時，我們可以先普通用戶身份登錄到windowsXP的系統中，然后用鼠標右鍵單擊程序安裝文件，同時按住鍵盤上的Shif鍵，從隨后出現的快捷菜單中點擊“運行方式”，最后在彈出的窗口中輸入具有相應管理權限的用戶名和密碼就可以了。

4.3信息加密策略

信息加密的目的是保護網內的數據、文件、口令和控制信息，保護網上傳輸的數據。網絡加密常用的方法有鏈路加密、端點加密和節點加密三種。鏈路加密的目的是保護網絡節點之間的鏈路信息安全：端一端加密的目的是對源端用戶到目的端用戶的數據提供保護：節點加密的目的是對源節點到目的節點之間的傳輸鏈路提供保護。用戶可根據網絡情況酌情選擇上述加密方式。

4.4防火墻安全策略

防火墻是一個控制進／出兩個方向通信的門檻。在網絡邊界上通過建立起來的相應網絡通信監控系統來隔離內部和外部網絡，以阻檔外部網絡的侵入。目前的防火墻主要有以下三種類型：①包過濾防火墻：包過濾防火墻設置在網絡層，可以在路由器上實現包過濾。②代理防火墻：代理防火墻又稱應用層網關級防火墻，它由代理服務器和過濾路由器組成，是目前較流行的一種防火墻。③雙穴主機防火墻：該防火墻是用主機來執行安全控制功能。

結束語

隨著網絡應用的發展計算機病毒形式及傳播途徑日趨多樣化，安全問題日益復雜化，網絡安全建設已不再像單臺計算安全防護那樣簡單。計算機網絡安全需要建立多層次的、立體的防護體系，因此，要具備完善的管理系統來設置和維護安全的防護策略。

（作者單位：大慶油田采油六廠第三油礦地質隊）