網絡安全現狀分析與應用技術

鄭玉洲 中山職業技術學院網絡現教中心 ，廣東 中山 528404

網絡安全現狀分析與應用技術

鄭玉洲 中山職業技術學院網絡現教中心 ，廣東 中山 528404

眾所周知，Internet是開放的，而開放的信息系統必然存在眾多潛在的安全隱患，黑客和反黑客、破壞與防護的斗爭仍將繼續。在這樣的斗爭中，安全技術作為一個獨特的防護領域越來越受到全球網絡建設者的關注。

網絡安全;防火墻;虛擬專用網(VPN)

1 網絡的開放性帶來的安全問題

隨著計算機網絡的發展，在信息處理能力提高的同時,系統的連接能力也在不斷地提高。但在聯結信息能力、流通能力提高的同時,基于網絡連接的安全問題也日益突出，不論是外部網還是內部網都會安全問題。 Internet的開放性以及其他方面因素導致了網絡環境下的計算機系統存在很多安全問題，為了解決這些安全問題，各種安全機制、策略和工具被研究和應用。然而，即使在使用了現有的安全工具和機制的情況下，網絡的安全仍然存在很大隱患，這些安全隱患主要可以歸結為以下幾點：

(1)每一種安全機制都有一定的應用范圍和應用環境。

(2)安全工具的使用受到人為因素的影響。

(3)系統的后門是傳統安全工具難于考慮到的地方。

(4)只要有程序，就可能存在BUG。

(5)黑客的攻擊手段在不斷地更新，幾乎每天都有不同系統安全問題出現。

2 網絡安全的主要技術

2.1 安全認證

網絡賴以生存的保障，只有安全得到保障，網絡才能實現自身的價值。網絡安全技術隨著人們網絡實踐的發展而發展，其涉及的技術面非常廣，主要的技術如認證、加密、防火墻及入侵檢測是網絡安全的重要防線。對合法用戶進行認證可以防止非法用戶獲得對公司信息系統的訪問，使用認證機制還可以防止合法用戶訪問他們無權查看的信息。

2.2 數據加密

在計算機網絡中，加密技術是信息安全技術的核心，是一種主動的信息安全防范措施。信息加密技術是其他安全技術的基礎，加密技術是指通過使用代碼或密碼將某些重要信息和數據從一個可以理解的明文形式變換成一種復雜錯亂的不可理解的密文形式(即加密)。對電子信息在傳輸過程中或存儲體內進行保護，以阻止信息泄露或盜取，從而確保信息的安全性，數據加密的方法很多,常用的是加密算法，它是信息加密技術的核心部分，目前世界上最流行的加密算法有DES算法、RSA算法和CCEP算法等。同時隨著技術的進步，加密技術正結合芯片技術和量子技術逐步形成密碼專用芯片和量子加密技術。

2.3 防火墻技術

防火墻是網絡訪問控制設備，用于拒絕除了明確允許通過之外的所有通信數據，它不同于只會確定網絡信息傳輸方向的簡單路由器，而是在網絡傳輸通過相關的訪問站點時對其實施一整套訪問策略的一個或一組系統。大多數防火墻都采用幾種功能相結合的形式來保護自己的網絡不受惡意傳輸的攻擊，其中最流行的技術有靜態分組過濾、動態分組過濾、狀態過濾和代理服務器技術，它們的安全級別依次升高，但具體實踐中既要考慮體系的性價比，又要考慮安全兼顧網絡連接能力。此外，現今良好的防火墻還采用了VPN、檢視和入侵檢測技術。

防火墻的安全控制主要是基于IP地址的，難以為用戶在防火墻內外提供一致的安全策略；而且防火墻只實現了粗粒度的訪問控制，也不能與企業內部使用的其他安全機制（如訪問控制）集成使用；另外，防火墻難于管理和配置，由多個系統（路由器、過濾器、代理服務器、網關、堡壘主機）組成的防火墻，防火墻系統是一種網絡安全部件，它可以是軟件，也可以是硬件，還可以是芯片防火墻。這種安全部件處于被保護網絡和其他網絡的邊界，接收進出于被保護網絡的數據流，并根據防火墻所配置的訪問控制策略進行過濾或作出其他操作，防火墻系統不僅能夠保護網絡資源不受外部的侵入，而且能夠攔截被保護網絡向外傳送有價值的信息。

2.4 入侵檢測系統

網絡入侵檢測技術也叫網絡實時監控技術，它通過硬件或軟件對網絡上的數據進行實時檢查，并與系統中的入侵特征數據庫等比較。一旦發現有被攻擊的跡象，立刻根據用戶所定義的動作做出反應，如切斷網絡連接，或立刻通知防火墻系統對訪問控制策略進行調整，將入侵的數據包過濾掉等。因此入侵檢測是對防火墻極其有益的補充， 可在不影響網絡性能的情況下對網絡進行監聽，從而提供對內部攻擊，外部攻擊和誤操作的實時保護，大大提高了網絡的安全性。

2.5 虛擬專用網（VPN）技術

VPN是目前解決信息安全問題的一個最新、最成功的技術課題之一，所謂虛擬專用網（VPN）技術就是在公共網絡上建立專用網絡，使數據通過安全的“加密管道”在公共網絡中傳播。用以在公共通信網絡上構建VPN有兩種主流的機制，這兩種機制為路由過濾技術和隧道技術。目前V P N 主要采用了如下四項技術來保障安全：隧道技術（Tunneling)、加解密技術（Encryption & Decryption)、密匙管理技術（Key Management)和使用者與設備身份認證技術（Authentication)。VPN隧道機制應能技術不同層次的安全服務，這些安全服務包括不同強度的源鑒別、數據加密和數據完整性等。VPN也有幾種分類方法，如按接入方式分成專線V P N和撥號VPN；按隧道協議可分為第二層和第三層的；按發起方式可分成客戶發起的和服務器發起的。

2.6 其他網絡安全技術

（1）IP盜用問題的解決，在路由器上捆綁IP和MAC地址。當某個IP通過路由器訪問Internet時，路由器要檢查發出這個IP廣播包的工作站的MAC是否與路由器上的MAC地址表相符，如果相符就放行。否則不允許通過路由器，同時發出這個IP廣播包的工作站返回一個警告信息。

（2）Web，Email，BBS的安全監測系統，在網絡的www服務器、Email服務器等中使用網絡安全監測系統，實時跟蹤、監視網絡， 截獲Internet網上傳輸的內容，并將其還原成完整的www、Email、FTP、Telnet應用的內容，建立保存相應記錄的數據庫。及時發現在網絡上傳輸的非法內容，及時向上級安全網管中心報告。

結束語

網絡安全是一個綜合性的課題,未來的網絡安全面臨著更大的挑戰和機遇。信息社會的發展需要網絡安全技術的有力保障,網絡安全技術的研究仍處于起步階段,網絡應用范圍的不斷擴大,使人們對網絡依賴的程度增大,也對網絡信息安全保護提出了更高的要求,網絡信息安全必然隨著網絡應用的發展而不斷發展。

[1]袁津生,吳硯農. 計算機網絡安全基礎.北京：人民郵電出版社.2004

[2]相明科.計算機網絡及應用. 北京：中國水利水電出版社. 2003

[3]丁建立.網絡安全. 武漢：武漢大學出版社. 2007

10.3969/j.issn.1001-8972.2011.11.056

鄭玉洲，性別：男，職稱 助理工程師，工作單位：中山職業技術學院，部門：網絡現教中心，職務機房管理員。