iso软件开发全套文档可行性研究报告(编辑修改稿)

iso软件开发全套文档可行性研究报告(编辑修改稿)内容摘要：

三．技术可行性和成熟性分析 3． 1 项目的技术创新性论述 3． 1． 1 项目产品的基本原理 下面是对组成系统的三大部分的基本原理进行介绍 : 防火墙 古时候，人们常在寓所之间砌起一道砖墙，一旦火灾发生， 它 能够防止火势蔓延到别的寓所，这种墙因此而得名 “ 防火墙 ”。 现在，如果一个网络接到了 Inter上， 它 的用户就可以访问外部世界并与之通信。 但同时，外部世界也同样可以访问该网络并与之交互。 为安全起见，可以在该网络和 Inter 之间插入一个中介系统，竖起一道安全屏障。 这道屏障的作用是阻断来自外部通过网络对本网络的威胁和入侵，提供扼守本网络的安全 和审计的 唯 一关卡。 这种中介系统也叫做 “ 防火墙 ” 或 “ 防火墙系统 ”。 防火墙就是一种由软件、硬件构成的 系统，用来在两个网络之间实施存取控制策略。 图 1是防火墙在互连的网络中的位置。 [3]尽管防火墙有各种不同的类型 ,但所有的防火墙都有一个共同的特征 :基于源地址基础上的区分和拒绝某些访问的能力 .[4]一般都将防火墙内的网络称为“可信赖的网络”（ trusted work） ,而将外部的inter 称为“不可信赖的网络”（ mistrustful work） . 防 火 墙 分组过滤 分组过滤 路由器 R 应用网关 路由器 R 李萧萧的个人主页 需要文档请给我留言。 不可信赖 的网络 可信赖的网络 图 1 防火墙在互连网络中的位置 防火墙是近期发展起来的一种保护计算机网络安全的技术性措施， 它 是一个用 以阻止网络中的黑客访问某个机构网络的屏障，也可称之为控制进／出 2 个方向通信的门槛。 一个防火墙系统通常由屏蔽路由器和代理服务器组成。 屏蔽路由器是一个多端口的 IP路由器， 它 通过对每一个到来的 IP 包依据一组规则进行检查来判断是否对之进行转发。 代理服务器是防火墙系统中的一个服务器进程， 它 能够代替网络用户完成特定的 TCP／ IP 功能。 一个代理服务器本质上是一个应用层的网关，一个为特定网络应用而连接 2个网络的网关。 Chewick 和 Bellovin对防火墙的定义为， [5]防火墙是一个由多个部件组成的集合或系统，它被放置 在两个网络之间，并具有以下特性 : (1) 所有的从内部到外部或从外部到内部的通信都必须经过它。 (2) 只有有内部访问策略授权的通信才被允许通过。 (3) 系统本身具有高可靠性。 换句话说，防火墙置于内部可信网络和外部不可信网络之间，作为一个阻塞点来监视和抛弃应用层的流量以及传输层和网络层的数据包。 [12] 防火墙的确是一种重要的新型安全措施。 防火墙在概念上非常简单 ,它可以分为 :基于过滤器(filterbased)和基于代理 (proxybased)的两大类设备之一。 [6]目前的防火墙主要有包过滤防火墙、代理防火墙 2 种类 型，并在计算机网络得到了广泛的应用。 包过滤防火墙，包过滤技术是根据定义好的过滤规则审查每个数据包并确定数据包是否与过滤规则相匹配，从而决定数据包能否通过，它的特点是开销小，速度快，缺点是定义数据包过滤器比较复杂，且不能理解特定服务的上下文环境。 代理防火墙（应用层防火墙），代理防火墙采用代理（ Proxy）技术与 TCP 连接的全过程，这样从内部发出的数据包经过防火墙处理后，就象来自于防火墙外部网卡一样，从而达到隐藏内部网结构的目的。 其核心技术就是代理服务器技术，特点是安全性很高，缺点是对于每个中断的 inter 服务，都需要提供相应的代理程序，且对于计算机的性能有一定的要求。 但是，防火墙也不能解决进入防火墙的数据带来的所有安全问题。 如果用户抓来一个程序在本地运行，那个程序很可能就包含一段恶意的代码，或泄露敏感信息，或对之进行破坏。 防火墙的另一个缺点是很少有防火墙制造商推出简便易用的 “ 监狱看守 ” 型的防火墙，大多数的产品还停留在G 内联网 因特网 李萧萧的个人主页 需要文档请给我留言。 需要网络管理员手工建立的水平上。 因此有必要将它们融合，构成了一个典型的防火墙系统。 入侵检测系统（ IDS） 入侵检测最早是由 James Anderson于 1980 年提出来的，其定义是：潜在的有预谋的未经授权的访问信息和操作信息 ,致使系统不可靠或无法使用的企图。 [7] 从该定义可以看出，入侵检测对安全保护采取的是一种积极、主动的防御策略，而传统的安全技术都是一些消极、被动的保护措施。 因为，如果入侵者一旦攻破了由传统安全技术所设置的保护屏障，这些技术将完全失去作用，对系统不再提供保护，而入侵者则对系统可以进行肆无忌惮的操作，当然包括一些很具有破坏的操作。 对于这些，传统的安全技术是无能为力的。 但是入侵检测技术则不同，它对进入系统的访问者（包括入侵者）能 进行实时的监视和检测，一旦发现访问者对系统进行非法的操作（这时访问者成为了入侵者），就会向系统管理员发出警报或者自动截断与入侵者的连接，这样就会大大提高系统的安全性。 所以对入侵检测技术研究是非常必要的，并且它也是一种全新理念的网络（系统）防护技术。 图 2为入侵检测一般过程示意图，箭头所指方向为流程方向。 输入过程包括：用户或者安全管理人员定义的配置规则和作为事件检测的原始数据，对于代理监视器来讲原始数据是原始网络包；输出过程包括：系统发起的对安全事件和可疑或非法事件的响应过程。 [16] 用户或管理员 定义的规则 报警 报表 原始数据包 图 2 入侵发现示意图 入侵检测系统的模型与原理 入侵检测系统（ IDS,Intrusion Detection System）用来识别针对计算机系统和网络系统，或者更广泛意义上的信息系统的非法攻击，包括检测外界非法入侵者的恶意 攻击或试探，以及内部合法用户的超越使用权限的非法行动。 [8]入侵检测系统能够实时监控网络传输，自动检测可疑行为，分析来自网络外部入侵信号和内部的非法活动。 在系统受到危害之前发出警告，对攻击作出实时的响应，并提供补救措施，最大程度地保障了系统安全。 [9] 具体说来， IDS的主要功能有以下方面 : （ 1）监测并分析用户和系统的活动；（ 2）核查系统配置和漏洞；（ 3）评估系统关键资源和数据文件入侵发现 攻击特征 (signatures) 李萧萧的个人主页 需要文档请给我留言。 的完整性；（ 4）识别已知的攻击行为；（ 5）统计分析异常行为；（ 6）操作系统日志管理，并识别违反安全策略的用户活动。 入侵检测 系统及预警系统（ Intrusion Detection amp。 Alert System）能够从一系列的系统和网络资源中收集信息并对这些信息加以分析，以期能找到入侵（ intrusion）或者是滥用 (misuse)的迹象，并根据这些分析结果，向用户及系统管理员报警和作出一定的处理如切断入侵检测连接等。 入侵检测功能原理如图 3所示： N Y 图 3 入侵检测功能原理 最早的入侵检测模型是由 Dorothy Denning 于 1986 年提出来的，该模型虽然与具体系统和具体输入无关，但是对此后的 大部分实用系统都有很大的借鉴价值。 图 4 表示了该通用模型的体系结构。 [7] 审计记录、网络数据包 特征表更新 规则更新 异常记录 变量阀值。