計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)設(shè)計(jì)研究

俞詩白

（中國電子科技集團(tuán)公司第二十八研究所 江蘇省南京市 210000）

計(jì)算機(jī)是當(dāng)前人們處理信息的主要工具，通過聯(lián)接互聯(lián)網(wǎng)，計(jì)算機(jī)實(shí)現(xiàn)了信息的傳遞與共享。隨著信息化與計(jì)算機(jī)網(wǎng)絡(luò)的普及，各種網(wǎng)絡(luò)安全問題也隨之衍生，比如用戶信息被竊、企業(yè)數(shù)據(jù)丟失等，危害著個(gè)人、企業(yè)的數(shù)據(jù)安全。因此，構(gòu)建科學(xué)完善、具有針對性的計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)具有著重要意義。

1 網(wǎng)絡(luò)安全防護(hù)系統(tǒng)設(shè)計(jì)背景

計(jì)算機(jī)網(wǎng)絡(luò)是一個(gè)動態(tài)、多變的復(fù)雜環(huán)境，這種運(yùn)行環(huán)境導(dǎo)致了網(wǎng)絡(luò)安全問題頻出，嚴(yán)重影響計(jì)算機(jī)使用安全。傳統(tǒng)的安全防護(hù)系統(tǒng)一般按照IDS 機(jī)制來進(jìn)行設(shè)計(jì)，其主要包括兩個(gè)方面，一是基于主機(jī)IDS 的網(wǎng)絡(luò)安全防護(hù)，二是基于網(wǎng)絡(luò)IDS 的網(wǎng)絡(luò)安全防護(hù)。其中，主機(jī)IDS 的網(wǎng)絡(luò)安全防護(hù)由于受主機(jī)設(shè)置因素的影響，保護(hù)范圍受到限制，僅僅適合于本計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全防護(hù)。而網(wǎng)絡(luò)IDS 的安全防護(hù)具有廣泛性，不受本地系統(tǒng)的影響。傳統(tǒng)的IDS 具有一定的防護(hù)優(yōu)勢，主要體現(xiàn)在以下幾個(gè)方面：

（1）采用分體式結(jié)構(gòu)，這種結(jié)構(gòu)有效拓展了監(jiān)測范圍，能夠?qū)崿F(xiàn)多個(gè)網(wǎng)絡(luò)區(qū)域的監(jiān)測。

（2）能夠識別非法入侵行為，并能根據(jù)入侵信息來實(shí)現(xiàn)信息的監(jiān)測、跟蹤、處理等。

（3）記錄與安全相關(guān)的事件日志，進(jìn)而將不利于計(jì)算機(jī)系統(tǒng)運(yùn)行的安全因素進(jìn)行排除。

從目前計(jì)算機(jī)網(wǎng)絡(luò)發(fā)展趨勢來看，傳統(tǒng)以IDS 機(jī)制原理進(jìn)行的安全防護(hù)設(shè)計(jì)有較多弊端，比如精準(zhǔn)度不高，容易出現(xiàn)漏報(bào)現(xiàn)象；監(jiān)測范圍不廣，難以實(shí)現(xiàn)協(xié)議、數(shù)據(jù)、流量等多方面的監(jiān)測。在這種情況下，需要構(gòu)建符合當(dāng)前計(jì)算機(jī)運(yùn)行的安全防護(hù)框架，以此保障系統(tǒng)安全運(yùn)行。

2 計(jì)算機(jī)網(wǎng)絡(luò)安全面臨的主要問題

在互聯(lián)網(wǎng)的普及下，計(jì)算機(jī)不再是單機(jī)使用環(huán)境，早已形成了多機(jī)互聯(lián)的信息共享使用環(huán)境，信息流動速度快、流通范圍廣，各種威脅來源如同大海撈針，難以定位根源。對此，以下從操作系統(tǒng)、面臨威脅、網(wǎng)絡(luò)結(jié)構(gòu)三個(gè)方面闡述計(jì)算機(jī)網(wǎng)絡(luò)安全問題。

2.1 計(jì)算機(jī)操作系統(tǒng)存在漏洞

使用者基于操作系統(tǒng)實(shí)現(xiàn)對計(jì)算機(jī)的操控，操作系統(tǒng)能夠保障使用者的各項(xiàng)需求，保證工作的順利完成。為了保障計(jì)算機(jī)使用功能的實(shí)現(xiàn)，企業(yè)非常重視計(jì)算機(jī)操作系統(tǒng)的維護(hù)工作。但這種維護(hù)工作的側(cè)重點(diǎn)往往不是計(jì)算機(jī)操作系統(tǒng)的安全防護(hù)，而是計(jì)算機(jī)系統(tǒng)的高效運(yùn)行，因而在財(cái)力、人力的投入上也以如何實(shí)現(xiàn)計(jì)算機(jī)系統(tǒng)的高速運(yùn)行為主。在此情況下，對計(jì)算機(jī)系統(tǒng)漏洞的識別、監(jiān)測出現(xiàn)了滯后現(xiàn)象，甚至在系統(tǒng)漏洞掃描后，也無法準(zhǔn)確發(fā)現(xiàn)漏洞并予以修補(bǔ)，這就給計(jì)算機(jī)的操作系統(tǒng)埋下了安全隱患。如果不及時(shí)對計(jì)算機(jī)操作系統(tǒng)的漏洞進(jìn)行追蹤、修補(bǔ)，就極易遭到攻擊或感染病毒，從而引發(fā)計(jì)算機(jī)信息泄露、數(shù)據(jù)丟失等問題，影響計(jì)算機(jī)系統(tǒng)的安全運(yùn)行。

2.2 計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)面臨挑戰(zhàn)

當(dāng)前人們的生活已經(jīng)離不開計(jì)算機(jī)網(wǎng)絡(luò)，人們利用其進(jìn)行購物、存款、轉(zhuǎn)賬、理財(cái)、炒股等，因此，網(wǎng)絡(luò)安全的保障十分重要。企業(yè)的發(fā)展也離不開網(wǎng)絡(luò)安全系統(tǒng)，企業(yè)的經(jīng)營、顧客和財(cái)務(wù)信息都會儲存到計(jì)算機(jī)中。如果計(jì)算機(jī)安全防護(hù)系統(tǒng)缺失，國家、人民的財(cái)產(chǎn)安全將無法受到保障。但很多非法分子瞄準(zhǔn)了利用計(jì)算機(jī)病毒的非法獲利機(jī)會，利用網(wǎng)絡(luò)技術(shù)開展進(jìn)攻，導(dǎo)致計(jì)算機(jī)網(wǎng)絡(luò)安全受到威脅。隨著科技進(jìn)步，網(wǎng)絡(luò)入侵手段也變得多樣化，很多攻擊方法隱蔽性強(qiáng)、目標(biāo)準(zhǔn)確、破壞力大，導(dǎo)致排查、防御困難。此外，在互聯(lián)網(wǎng)的接入下，計(jì)算機(jī)病毒種類呈多樣化特點(diǎn)，加之傳播速度快，攻擊技術(shù)也不斷迭代升級，導(dǎo)致計(jì)算機(jī)安全防御系統(tǒng)持續(xù)面臨嚴(yán)峻挑戰(zhàn)。

2.3 計(jì)算機(jī)網(wǎng)絡(luò)結(jié)構(gòu)發(fā)展不完善

時(shí)至今日，計(jì)算機(jī)網(wǎng)路技術(shù)正在飛速發(fā)展，已經(jīng)實(shí)現(xiàn)了質(zhì)的飛越，但發(fā)展的重點(diǎn)和核心主要集中在使用功能層面，而非計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全防護(hù)上，沒有形成健全的病毒入侵防護(hù)結(jié)構(gòu)體系，對病毒識別的種類、病毒入侵的范圍考慮不周。當(dāng)前普遍在用的計(jì)算機(jī)網(wǎng)絡(luò)主要由網(wǎng)絡(luò)協(xié)議、操作系統(tǒng)、物理線路以及各種處理轉(zhuǎn)發(fā)設(shè)備等構(gòu)成，通過路由器實(shí)現(xiàn)大網(wǎng)引接。這種架構(gòu)體系在計(jì)算機(jī)安全防護(hù)層面考慮較少，如果采用該網(wǎng)絡(luò)拓?fù)鋼?dān)負(fù)數(shù)據(jù)處理、輸出等工作，就會產(chǎn)生不安全因素，威脅系統(tǒng)安全。

3 網(wǎng)絡(luò)安全防護(hù)系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)

3.1 總體架構(gòu)設(shè)計(jì)

根據(jù)上述分析，開展計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)的總體架構(gòu)設(shè)計(jì)。首先應(yīng)滿足用戶需求，即安全防護(hù)系統(tǒng)不能以犧牲系統(tǒng)功能來實(shí)現(xiàn)安全。其次，要優(yōu)化資源配置，利用有限資源實(shí)現(xiàn)網(wǎng)絡(luò)安全防護(hù)，不可盲目增加成本投入。最后，構(gòu)建風(fēng)險(xiǎn)模型，利用ISO1335 模型、9 要素風(fēng)險(xiǎn)模型或保障要素模型等進(jìn)行風(fēng)險(xiǎn)評估。當(dāng)前，不同風(fēng)險(xiǎn)評估的手段有所區(qū)別，但是架構(gòu)設(shè)計(jì)的方法大同小異。如保障要素模型的技術(shù)構(gòu)建中，安全保障的主要對象是對資產(chǎn)的保護(hù)，該技術(shù)主要包括6 項(xiàng)技術(shù)實(shí)施要點(diǎn)。

（1）鑒別認(rèn)證技術(shù)，即首先要對所來往的數(shù)據(jù)進(jìn)行鑒別和認(rèn)證，查看這些數(shù)據(jù)內(nèi)容是否符合設(shè)定的安全標(biāo)準(zhǔn)，該技術(shù)非常關(guān)鍵，能夠有效篩選帶有病毒的信息。

（2）訪問控制技術(shù)，通過設(shè)置相應(yīng)的參數(shù)，控制信息的訪問方式，以保證數(shù)據(jù)安全。

（3）預(yù)警技術(shù)，預(yù)警技術(shù)的實(shí)現(xiàn)建立在監(jiān)測、檢測數(shù)據(jù)信息的基礎(chǔ)上，一旦在監(jiān)測、檢測過程中發(fā)現(xiàn)病毒入侵等問題，系統(tǒng)會及時(shí)收到警告。

（4）內(nèi)容安全技術(shù)，通過以上技術(shù)排查之后，若未發(fā)現(xiàn)問題，方可進(jìn)入數(shù)據(jù)使用階段，采用數(shù)據(jù)安全技術(shù)保障運(yùn)行安全。

（5）恢復(fù)和冗余技術(shù)，保障信息數(shù)據(jù)的安全使用。

（6）審計(jì)跟蹤技術(shù)，對數(shù)據(jù)使用情況進(jìn)行安全追蹤，以此保障信息在整個(gè)使用過程中的安全。

信息安全防護(hù)總體框架與功能要素如圖1 所示。

圖1：安全防護(hù)要素模型構(gòu)建

3.2 方案詳細(xì)設(shè)計(jì)

針對以上設(shè)計(jì)的技術(shù)結(jié)構(gòu)，可制定詳細(xì)的技術(shù)設(shè)計(jì)方案。需要針對保護(hù)內(nèi)容的屬性、區(qū)域特點(diǎn)來選擇相應(yīng)的保護(hù)技術(shù)。首先，依據(jù)網(wǎng)絡(luò)信息安全防護(hù)原則，對企業(yè)信息類型、企業(yè)系統(tǒng)屬性、業(yè)務(wù)核心和業(yè)務(wù)服務(wù)范圍設(shè)定系統(tǒng)技術(shù)等級，根據(jù)系統(tǒng)等級來確定子系統(tǒng)等級，之后再判定系統(tǒng)安全防護(hù)等級。該步驟主要為了確定哪些信息需要重點(diǎn)保護(hù)、哪些信息可進(jìn)行次要保護(hù)、哪些信息可以公開等。技術(shù)要點(diǎn)包括以下幾個(gè)方面：向社會公開的信息除保證其真實(shí)性外，無需進(jìn)行防護(hù)；對于僅在用戶系統(tǒng)內(nèi)部流通的信息，應(yīng)設(shè)置訪問限制，僅向滿足條件的用戶開放訪問權(quán)限，同時(shí)添加訪問審計(jì)策略并記錄日志，將嘗試越級查閱信息的訪問者記錄在案備查；私有信息應(yīng)設(shè)計(jì)訪問口令，并對密碼策略、復(fù)雜程度做出強(qiáng)制規(guī)定。在技術(shù)等級設(shè)定完成后，采用計(jì)算機(jī)安全域技術(shù)來構(gòu)建網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，主要包括業(yè)務(wù)、策略、物理環(huán)境、組織架構(gòu)、計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)區(qū)域等。

3.3 分域防護(hù)安全需求

分域防護(hù)首先應(yīng)保證網(wǎng)絡(luò)穩(wěn)定、設(shè)備功能良好，在此基礎(chǔ)上完成相應(yīng)的設(shè)計(jì)工作。分域防護(hù)的設(shè)計(jì)目的是限制非法、不符合規(guī)則的訪問。

互聯(lián)網(wǎng)是一種信息共享模式，因此，所采用的信息安全防護(hù)技術(shù)不能阻隔正常的數(shù)據(jù)流通，主要使用的技術(shù)有防頁面篡改技術(shù)、路由器過濾技術(shù)、防DDOS 攻擊技術(shù)。其次是接入域的設(shè)計(jì)，主要包括終端安全、邊界防護(hù)兩項(xiàng)技術(shù)。其中，邊界防護(hù)的設(shè)計(jì)技術(shù)包括USB Key 技術(shù)、口令卡、CA 證書等，主要通過限制身份來保證系統(tǒng)使用安全。此外是服務(wù)域設(shè)計(jì)，由于服務(wù)域面臨的主要安全問題是惡意代碼、拒絕服務(wù)等，因此，設(shè)計(jì)的技術(shù)要點(diǎn)應(yīng)包括網(wǎng)絡(luò)設(shè)備的安全設(shè)計(jì)、操作系統(tǒng)安全補(bǔ)丁設(shè)計(jì)等內(nèi)容，通過對網(wǎng)絡(luò)、設(shè)備、主機(jī)設(shè)置相應(yīng)的訪問規(guī)則來達(dá)到安全防護(hù)的目的。

3.4 區(qū)域防護(hù)技術(shù)實(shí)現(xiàn)

區(qū)域網(wǎng)絡(luò)安全面臨的主要是入侵程序、病毒感染等問題，對其采用的防護(hù)手段為計(jì)算機(jī)終端安全防控，主要方法有終端加固、漏洞掃描、安全審計(jì)、防病毒以及訪問控制等。其中，訪問控制設(shè)計(jì)是一種通用有效的手段，通過配置用戶信息和訪問控制策略來限制用戶行為，以此達(dá)到區(qū)域防護(hù)。此外，由于計(jì)算機(jī)網(wǎng)絡(luò)范圍接入的廣泛性，所以要設(shè)置相應(yīng)的網(wǎng)絡(luò)控制系統(tǒng)，主要包括FTP 監(jiān)測、IP地址監(jiān)測、郵件監(jiān)測等，通過這些監(jiān)測手段來發(fā)現(xiàn)安全隱患，并及時(shí)排除。入侵防護(hù)系統(tǒng)的設(shè)計(jì)主要采用IPS 防護(hù)系統(tǒng)來彌補(bǔ)防火墻的不足，以此修補(bǔ)系統(tǒng)漏洞。

3.5 網(wǎng)絡(luò)安全防護(hù)實(shí)現(xiàn)

計(jì)算機(jī)網(wǎng)絡(luò)面臨的各種風(fēng)險(xiǎn)、威脅并非一成不變的，而是動態(tài)發(fā)展的，因此，應(yīng)構(gòu)建動態(tài)的網(wǎng)絡(luò)安全防護(hù)體系。

（1）要重視防火墻等設(shè)備的安全防護(hù)作用，利用防火墻對計(jì)算機(jī)互聯(lián)網(wǎng)構(gòu)建第一層防護(hù)策略，杜絕非法訪問，并通過地址映射功能隱藏內(nèi)部網(wǎng)絡(luò)拓?fù)洌行Х乐谷肭帧?/p>

（2）建立動態(tài)的入侵系統(tǒng)防控體系，阻止日益變化的新型網(wǎng)絡(luò)形態(tài)下的病毒入侵和威脅。

（3）建立動態(tài)網(wǎng)絡(luò)防護(hù)控制，保證信息數(shù)據(jù)的傳輸安全，在信息傳輸過程中通過數(shù)據(jù)掃描、過濾等方式減少重要信息的泄露。

4 結(jié)束語

計(jì)算機(jī)安全網(wǎng)絡(luò)防護(hù)系統(tǒng)設(shè)計(jì)是根據(jù)計(jì)算機(jī)當(dāng)前面臨的網(wǎng)絡(luò)系統(tǒng)入侵問題而進(jìn)行的設(shè)計(jì)，對保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)信息安全具有重要意義。安全防護(hù)系統(tǒng)設(shè)計(jì)主要包括總體架構(gòu)設(shè)計(jì)、方案詳細(xì)設(shè)計(jì)、分域防護(hù)安全需求設(shè)計(jì)、區(qū)域防護(hù)技術(shù)設(shè)計(jì)以及網(wǎng)絡(luò)安全防護(hù)設(shè)計(jì)等。通過這些步驟，可設(shè)計(jì)出較為完備和成熟的計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)體系，實(shí)現(xiàn)對計(jì)算機(jī)網(wǎng)絡(luò)安全的全方位保障，解決傳統(tǒng)計(jì)算機(jī)網(wǎng)絡(luò)在安全防護(hù)方面的弊端。