网络安全论文社区网络安全分析与设计

网络安全论文社区网络安全分析与设计内容摘要：

面非常广，主要的技术如认证、加密、防火墙及入侵检测是网络安全的重要防线。 访问授权与身份认证 访问授权主要是确认用户对某资源的访问权限，访问控制是网络安全防范和保护的主要策略，它的主要任务是 保证网络资源不被非法使用和访问。 它是保证网络安全最重要的核心策略之一。 访问控制涉及的技术也比较广，包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。 入网访问控制 入网访问控制为网络访问提供了第一层访问控制。 它控制哪些用户能够登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。 用户的入网访问控制可分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户账号的缺省限制检查。 三道关卡中只要任何一关未过，该用户便不能进入该网络。 对网络用户的用户名和口令进行 验证是防止非法访问的第一道防线。 为保证口令的安全性，用户口令不能显示在显示屏上，口令长度应不少于 6 个字符，口令字符最好是数字、字母和其他字符的混合，用户口令必须经过加密。 用户还可采用一次性用户口令，也可用便携式验证器（如智能卡）来验证用户的身份。 网络管理员可以控制和限制普通用户的账号使用、访问网络的时间和方式。 用户账号应只有系统管理员才能建立。 用户口令应是每用户访问网络所必须提交的 “ 证件 ” 、用户可以修改自己的口令，但系统管理员应该可以控制口令的以下几个方面的限制：最 —10— 小口令长度、强制修改口令的时间间隔、口令的 唯一性、口令过期失效后允许入网的宽限次数。 用户名和口令验证有效之后，再进一步履行用户账号的缺省限制检查。 网络应能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。 当用户对交费网络的访问 “ 资费 ” 用尽时，网络还应能对用户的账号加以限制，用户此时应无法进入网络访问网络资源。 网络应对所有用户的访问进行审计。 如果多次输入口令不正确，则认为是非法用户的入侵，应给出报警信息。 权限控制 网络的权限控制是针对网络非法操作所提出的一种安全保护措施。 用户和用户组被赋予一定的权限。 网络控制用户和用 户组可以访问哪些目录、子目录、文件和其他资源。 可以指定用户对这些文件、目录、设备能够执行哪些操作。 受托者指派和继承权限屏蔽（ irm）可作为两种实现方式。 受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。 继承权限屏蔽相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限。 我们可以根据访问权限将用户分为以下几类：特殊用户（即系统管理员）；一般用户，系统管理员根据他们的实际需要为他们分配操作权限；审计用户，负责网络的安全控制与资源使用情况的审计。 用户对网络资源的访问权限可以用访问控制表来描述。 目录级安全控制 网络应允许控制用户对目录、文件、设备的访问。 用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。 对目录和文件的访问权限一般有八种：系统管理员权限、读权 —11— 限、写权限、创建权限、删除权限、修改权限、文件查找权限、访问控制权限。 用户对文件或目标的有效权限取决于以下两个因素：用户的受托者指派、用户所在组的受托者指派、继承权限屏蔽取消的用户权限。 一个网络管理员应当为用户指定适当的访问权限，这些访问权限控制着用户对服务器的访问。 八种访问权限的有效组合可 以让用户有效地完成工作，同时又能有效地控制用户对服务器资源的访问，从而加强了网络和服务器的安全性。 属性安全控制 当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。 属性安全在权限安全的基础上提供更进一步的安全性。 网络上的资源都应预先标出一组安全属性。 用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力。 属性设置可以覆盖已经指定的任何受托者指派和有效权限。 属性往往能控制以下几个方面的权限：向某个文件写数据、拷贝一个文件、删除目录或文件、查看目录和文件、 执行文件、隐含文件、共享、系统属性等。 身份认证 认证技术是实现计算机网络安全的关键技术之一，认证主要是指对某个实体的身份加以鉴别、确认，从而证实是否名符其实或者是否有效的过程。 （ 1）身份认证的基本方法 第一种方法，可以通过用户所知道的某些信息对其进行验证，例如口令，这 是最常用的方法，虽然不一定是最安全的方法。 第二种方法，通过用户所拥有的某些东西对其进行验证，例如钥匙。 —12— 第三种方法，通过用户本身所具备的某些特性对其进行验证，如用户的指纹 或者视网膜，这是最安全也是最昂贵的方式。 （ 2）常 用的身份认证技术 当系统的用户要访问系统资源时要求确认是否是合法的用户，这就是身份认证。 常采用用户名和口令等最简易 方法 进行用户身份的认证识别 文件加密和数字签名技术 与防火墙配合使用的安全技术还有文件加密与数字签名技术，它是为提高信息系统及数据的安全性和保密性 , 防止秘密数据被外部窃取、侦听或破坏所采用的主要技术手段之一。 随着信息技术的发展 , 网络安全与信息保密日益引起人们的关注。 目前各国除了从法律上、管理上加强数据的安全保护外 , 从技术上分别在软件和硬件两方面采取措施 , 推动着数据加密技术和物理防范技术的不断发展。 按作用不同 , 文件加密和数字签名技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。 数据传输加密技术 目的是对传输中的数据流加密 , 常用的方针有线路加密和端对端加密两种。 前者侧重在线路上而不考虑信源与信宿 , 是对保密信息通过各线路采用不同的加密密钥提供安全保护。 后者则指信息由发送者端通过专用的加密软件，采用某种加密技术对所发送文件进行加密 ,把明文（也即原文）加密成密文（加密后的文件，这些 文件内容是一些看不懂的代码）， 然后进入 TCP/IP 数据包封装穿过互联网 , 当这些信息一旦到达目的地 , 将由收件人运用相应的密钥 —13— 进行解密 , 使密文恢复成为可读数据明文。 目前最常用的加密技术有对称加密技术和非对称加密技术，对称加密技术是指同时运用一个密钥进行加密和解密，非对称加密方式就是加密和解密所用的密钥不一样，它有一对密钥，称为 “ 公钥 ” 和 “ 私钥 ” 两个，这两上密钥必须配对使用，也就是说用公钥加密的文件必须用相应人的么钥才能解密，反之亦然。 数据存储加密技术 这种加密技术的目的是防止在存储环节上的数据失密 , 可分为密文存储和存取控制两种。 前者一般是通过加密法转换、附加密码、加密模块等方法实现。 如上面提到的 PGP 加密软件，它不光可以为互联网上通信的文件 进行加密和数字签名，还可以对本地硬盘文件资料进行加密，防止非法访问。 这种加密方式不同于 OFFICE 文档中的密码保护，用加密软件加密的文件在解密前 内容都会作一下代码转换，把原来普通的数据转变成一堆看不懂的代码，这样就保护了原文件不被非法阅读、修改。 后者则是对用户资格、权限加以审查和限制 , 防止非法用户存取数据或合法 用户越权存取数据， 这种技术主要应用于 NT 系统和一些网络操作系统中，在系统中可以对不同工作组的用户赋予相应的权限以达到保护重要数据不被子非常访问。 数据完整性鉴别技术 目的是对介入信息的传送、存取、处理的人的身份和相关数据 内容进行验证 , 达到保密的要求 , 一般包括口令、密钥、身份 、数据等项的鉴别 , 系统通过对比验证对象输入的特征值是否符合预先设定的参数 , 实现对数据的安全保护。 这种鉴别技术主要应用于大型的数据库管理系统中，因为一个单位的数 —14— 据通常是一个单位的命脉，所以保护好公司数据库的安全通 常是一个单位网管甚至到一把手的最重要的责任。 数据库系统会根据不同用户 设置不同访问权限，并对其身份及权限的完整性进行严格识别。 密钥管理技术 数据的加密技术通常是运用密钥对数据进行加密，这就涉及了一个密钥的管理方面，因为用加密软件进行加密时所用的密钥通常不是我们平常所用的 密码那么仅几位，至多十几位数字或字母，一般情况这种密钥达 64bit，有的达到 128bit，我们一般不可能完全用脑来记住这些密钥，只能保存在一个安 全的地方，所以这就涉及到了密钥的管理技术。 密钥的保存媒体通常有 : 磁卡、磁带、磁 盘、半导体存储器等，但这些都可能有损坏或丢失的危险，所以现在的主流加密软件都采取第三方认证（这第三方可以是个人，也可以是公证机关） 或采用随机密钥来弥补人们记忆上的不足。 入侵检测系统 入侵检测技术是网络安全 研究 的一个热点，是一种积极主动的安全防护技术，提供了对内部入侵、外部入侵和误操作的实时保护，在网络系统受到危害之前拦截相应入侵。 随着 时代 的发展， 入侵检测技术将朝着三个方向发展：分布式入侵检测、智能化入侵检测和全面的安全防御方案。 入侵检测系统（ InstusionDetectionSystem，简称 IDS）是进行入侵检测的软件与硬件的组合，其主要功能是检测，除此之外还有检测部分阻止不了的入侵；检测入侵的前兆，从而加以处理，如阻止、封闭等；入侵事件的归档，从而提供 法律 依据；网络遭受威胁程度的评估和入侵事件的恢复等功能。 社区网站用到的安全技术 —15— 社区网站简单用到 的安全技术有身份认证技术，访问控制技术。 （ 1）身份认证如后台登录，需要用户名，密码及验证码。 （ 2）访问控制技术如利用 IIS 和 NTFS 格式控制用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。 对目录和文件的访问权限一般有八种：系统管理员权限、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限、访问控制权限。 本章小结 本章列举了一些网络安全中常用到的技术，分类别的写出了网络技术中常用的访问授权与身份认证，文件加密和数字签名技术，与入侵检测系 统。 并有此阐述了在社区网络中用到的一部分安全技术。 —16— 4 社区的网络安全的设计 根据综合的安全需求，在以下四个方面对整个的社区网站进行整体的安全规划与设计。 整体的设计思想 社区网站安全是要不能忽略的问题 ,它牵涉到网站的数据安全、经济利益和对客户资料的安全保障及其它的商业机密。 本课题在分析社区网站安全问题 ,指出 ASP的漏洞及解决方法 ,并给出 ASP安全性建议 ,介绍基于 ASP实现页面访问安全控制。 我们以常熟花园浜社区的建设为实践对象。 做了大量前期调查。 了解社区管理的运作流程；详细了解居委会各个部门的工 作内容；居委会要求在平台上实现哪些功能，需要那些安全保障。 分析基于社区网站的一系列安全问题和解决方案 图 41 网络结构 根据用户和社区管理者和系统本身对社区网络安全的需求，我分别从四个方面全面设计了以下行之有效的设计。 —17— 图 42整体安全架构 服务器安全 服务器的恶意网络行为包括两个方面。