计算机网络系统安全保密技术论文

计算机网络系统安全保密技术论文内容摘要：

计算机房应选不在现代交通工具繁忙和人多拥挤的闹市、远离使馆或其它外国驻华机构的所在地，要便于警卫和巡逻，计算机房房最好设置在电梯或楼梯不能直接进入的场所、应与外部人员频繁出入的场所隔离，机房周围应在有围墙或栅栏等 10 防止非法进入的设施，建筑物周围应有足够照明度的照明设施，以防夜间非法侵入，外部容易接近的窗口应采取防范措施，如使用钢化玻璃、铁窗等，无人 值守的地方应报警设备，机房内部设计应有利于出入控制和分区控制，计算中心机要部门的外部不应设置标明系统及有关设备所在位置的标志。 访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非法访问。 访问控制可以说是保证网络安全最重要的核心策略之一。 下面我们分述各种访问控制策略。 入网访问控制 它控制哪些用户能够登录到服务器并获取网络资源，同时也控制准许用户入网的时间和准许他们从哪台工作站入网。 用户入网访问控制通常分为三步：用户名的识别与验证、用户口 令的识别与验证、用户账号的缺省限制检查。 三道关卡中只要任何一关未过，该用户便不能进入网络。 对网络用户的用户名和口令进行验证是防止非法访问的第一道防线。 用户注册时首先输入用户名和口令，服务器将验证所输入的用户名是否合法。 如果验证合法，才继续验证用户输入的口令，否则，用户将被拒之于网络之外。 用户口令是用户入网的关键所在，必须经过加密。 ，加密的方法很多，其中最常见的方法有：基于单向函数的口令加密、基于测试模式的口令加密、基于公钥加密方案的口令加密、基于平方剩余的口令加密、基于多项式共享的口令加密以及基于数字签名方 案的口令加密等。 经过上述方法加密的口令，即使是系统管理员也难以破解它。 用户还可采用一次性用户口令，也可用便携式验证器（如智能卡）来验证用户的身份。 用户名和口令验证有效之后，再进一步履行用户账号的缺省限制检查。 网络的权限控制 网络权限控制是针对网络非法操作提出的一种安全保护措施。 用户和用户组被赋予一定的权限。 网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源以及用户可以执行的操作。 客户端安全防护策略 首先，应该切断病毒的传播途径，尽可能地降低感染病毒的风险；其次，用户最 好不要随便使用来路不明的程序。 安全的信息传输 网络本身就不是一种安全的信息传输通道。 网络上的任何信息都是经重重中介网站分段传送至目的地的。 由于网络信息的传输并无固定路径，而是取决于网络的流量状况，且通过哪些中介网站亦难以查证，因此，任何中介站点均可能拦截、读取，甚至破坏和篡改封包的信息。 所以应该利用加密技术确保安全的信息传输。 网络服务器安全策略 网络服务器的设立与状态的设定相当复杂，而一台配置错误的服务器将对网络安全造成极大的威胁。 例如，当系统管理员配置网络服务器时，若只考虑高 层使用者的特权与方便，而忽略整个系统的安全需要，将造成难以弥补的安全漏洞。 操作系统及网络软件安全策略 11 大多数公司高度依赖防火墙作为网络安全的一道防线。 防火墙通常设置于某一台作为网间连接器的服务器上，由许多程序组成，主要是用来保护私有网络系统不受外来者的威胁。 一般而言，操作系统堪称是任何应用的基础，最常见的 WindowsNT或 Unix即使通过防火墙与安全传输协议也难以保证 100％的安全。 网络安全管理 在网络安全中，除了采用上述技术措施之外，加强网络的安全管理制定有关规章制度，对于确 保网络的安全、可靠运行，将起到十分有效的作用。 网络安全管理包括确定安全管理等级和安全管理范围、制订有关网络操作使用规程和人员出入机房管理制度和制定网络系统的维护制度和应急措施等。 安全防范技术 防毒软件 基本上，防毒解决方案的做法有 5种：信息服务器端、文件服务器端、客户端防毒软件、防毒网关以及网站上的在线扫毒软件。 防火墙 （防火墙技术将在后面的章节详细介绍） “防火墙”是一种形象的说法 ,它实际上是计算机硬件和软件的组合 ,在网络网关服务器上运作，在内部网与公共网络之间建立起一个安 全网关 (security gateway),保护私有网络资源免遭其他网络使用者的擅用或侵入。 通常，防火墙与路由软件一起工作，负责分析、过滤经过此网关的数据封包，决定是否将它们转送到目的地。 防火墙通常安装在单独的计算机上，并与网络的其余部份分隔开，使访问者无法直接存取内部网络的资源。 在一个没有防火墙环境中，网络安全完全依赖于主机安全，并且在某种意义上所有主机都必须协同达到一个统一的高安全标准；基于主机的安全伸缩性不好：当一个站点上主机的数量增加时，确定每台主机处于高安全级别之上，势必会使性能下降；如果某个网络 软件的薄弱点被发现，没有防火墙保护的站点必须尽可能快地更正每个暴露的系统，这并不现实，特别是在一些不同版本的操作系统正被使用时。 防火墙的局限性 : 防火墙不能防止通向站点的后门。 例如，如果一个被防火墙保护的站点允许不受限制的 Modem访问，入侵者就能够有效地绕过防火墙；防火墙一般不提供对内部的保护；防火墙不能防止用户下载被病毒感染的计算机程序或者将该类程序附在电子邮件上传输；防火墙无法防范数据驱动型的攻击。 密码技术 (将在后面的章节详细介绍 ) 采用密码技术对信息加密，是最常用和有效的安全 保护手段。 算法（公开的） 一个数学公式使用加密密钥将最初的信息转换成为加密的信息，功能强大的算法是很难被破解的。 目前广泛应用的加密技术主要分为两类： (1)对称算法加密 其主要特点是加解密双方在加解密过程中要使用完全相同的密码，对称算法中 最常用的是 DES算法。 对称算法的主要问题是由于加解密双方要使用相同的密码，在发送接收数据之前，就必须完成密钥的分发。 因此，密钥的分发成为该加密体系中最薄弱的环节。 各种基本手段均很难完成这一过程。 同时，这一点也使密码更新的 12 周期加长，给其他人破译密码 提供了机会。 (2)非对称算法加密与公钥体系 保护信息传递的机密性，是密码学的主要方面之一，对信息发送人的身份验证与保障数据的完整性是现代密码学的另一重点。 公开密钥密码体制对这两方面的问题都给出了出色的解答。 在公钥体制中，加密密钥不同于解密密钥，加密密钥公之于众，谁都可以使用；解密密钥只有解密人自己知道。 它们分别称为公开密钥 (Public key)和私有密钥(Private key)。 在所有公钥密码体系中， RSA系统是最著名且使用最多的一种。 在加密应用时，某个用户总是将一个密钥公开，让需发信的人员 将信息用公共密钥加密后发给该用户，信息一旦加密，只有该用户的私有密钥才能解密。 数字签名 使用公共密钥系统可以完成对电文的数字签名，以防止对电文的否认与抵赖，同时还可以利用数字签名来发现攻击者对电文的非法篡改，以保护数据信息的完整性。 上述两种方法可以结合使用，从而生成数字签名。 其他密码应用还包括数字时间戳、数字水印和数字证书等。 一个电子签名就等于一个在纸上的真实的签名，是一个与信息相关联的数字，当信息的内容发生改变时，签名将不再匹配；只有知道私钥的人才能生成数字签名，它被用来确定一个信息或数据包 是由所要求的发送者处而来的 虚拟专有网络（ VPN） 相对于专属于某公司的私有网络或是租用的专线， VPN是架设于公众电信网络之上的私有信息网络，其保密方式是使用信道协议及相关的安全程序。 考虑在外联网及广域的企业内联网上使用 VPN。 VPN的使用还牵涉到加密后送出资料，及在另一端收到后解密还原资料等问题，而更高层次的安全包括进一步加密收发两端的网络位置。 安全检测和监控监测 采取预先主动的方式，对客户端和网络的各层进行全面有效的自动安全检测，以发现和避免系统遭受攻击伤害。 (1)网络安全 性能检查系统 提供事前的安全扫描能够发现系统的安全漏洞，可以做好安全预防措施。 主要通过扫描分析网络系统，报告系统存在的弱点和漏洞，报告网络系统相关信息和对外提供的服务，建议采用的补救措施，生成分析报告。 扫描系统的弱点和漏洞的分类：简单邮件传输协议，强力攻击，系统守护进程，远程过程调用，网络文件系统，拒绝服务， NetBIOS， NT用户， NT注册表， NT审计，代理服务和域名服务， WEB站点，防火墙和路由器， IP欺骗，文件传输协议。 (2)安全检测系统是近年出现的新型网络安全技术，目的是实时的入侵 检测及采取相应的防护手段，如记录证据用于跟踪和恢复、断开网络连接等。 网络入侵检测和监控能够对付来自内部网络的攻击，其次它能够阻止 hacker的入侵。 网络监控，对网络攻击入侵行为提供最后一级的安全保护。 它提供对企业网络通讯活动的监控，捕获和分析整个网段传输的数据包，检测和识别可疑的网络通信活动，并在这种非授权访问发生时进行实时响应，阻止对企业数据和资源的非法存 13 取。 实时监测入侵企图和对网络资源的滥用，对可疑的网络活动执行日志记录、录制原始数据供日后回放或切断可疑连接等响应动作，可做到分布式运行和 集中管理，管理人员在中心控制台集中控制各处监控引擎的工作行为，查看各引擎监控的安全事件，生成直观易用的安全事件统计报告。 对可疑网络活动进行分辨的能力，在不影响正常网络应用的情况下有效地制止入侵攻击行为和非法存取企业网络资源。 (3)网络安全检测系统可分为两类： 基于主机的入侵检测系统用于保护关键应用的服务器，实时监视可疑的连接、系统日志检查，非法访问的闯入等，并且提供对典型应用的监视如 Web服务器应用。 基于网络通过连接网络捕获网络包 ,并分析其是否具有已知的攻击模式 ,以此来判别是否为入侵者。 软件持 续地监控网络，发现已知的攻击，它通常运行在网络需要控制的要点上，比如 Inter出口的路由器，或者 LAN上重要的数据库。 当软件检测到有攻击发生，它就会按预先定义好的方式响应。 监控和反应软件就象防盗警报器，当警报器发现偷盗，它就会发出声响或打电话给警察。 基于网络的入侵检测系统用于实时监控网络关键路径的信息。 安全检测监控可以： (1)保证你不必担心整个网络的可见的弱点 (2)保证所有的系统以与组织的策略一致的安全方式配置 (3)保证所有可能的攻击能被检测、监控、和及时的以适当的方式响 应 (4)提供实时监控，识别攻击存取路由 (5)提供及时的安全报警 (6)提供准确的网络安全审核和趋势分析数据，支持安全程序的计划和评估 综合防范 信息安全需要通信体系结构、协议、操作系统、应用和用户的共同参与。 为了提供一个安全的环境，必须做到： (1)用户培训，增强安全意识； (2)建立一个可帮助的安全策略； (3)提高在现有网络环境下，对可能的安全风险的认识和理解； (4)选择能够帮助建立一个安全环境并且能够与已建立的安全策略相符合的产品和应用程序； (5)合格的安全审计员和工具，定期检查网络环境 “道高一尺，魔高一丈”，安全将是网络永恒的问题，风险是无法完全消除的，零风险就意味着网络的零效用，关键的问题是如何达到均衡，即尽可能站地降低风险，又使网络发挥其最大效用 第四 章 防火墙技术综述 何谓防火墙 防火墙原是建筑物大厦设计用来防止火灾蔓延的隔断墙。 在 Inter网络中， 14 人们将加在内部网络与外部网络之间的，用来防止非法入侵者通过网络进行攻击，并提供数据可用性、完整性、保密性的安全和审查控制功能的一 个或几个中介系统称之为网络防火墙。 防火墙是近年来发展起来的重要安全技术，其特征是通过在网络边界上建立相应的网络通讯监控系统来达到保障网络安全的目的。 它通过检测、限制、修改跨越防火墙的数据流，尽可能的对外屏蔽网络内部的结构、信息和运行情况，以此来实现内部网络的安全保护。 从逻辑上讲，防火墙是分离器、限制器、分析器。 从物理角度看，各站点防火墙物理实现的方式有所不同，通常防火墙是一组硬件设备 路由器、主计算机或配有相应防火墙软件的网络硬件的多种组合。 防火墙一方面限制数据流通 ,一方面又允许数据流通，由于不同网 络的安全要求和管理机制有差别，这对矛盾也有不同的表现形式。 这样就有了两种极端情况 :一是一切未被允许的就是禁止的。 二是一切未被禁止的就是允许的。 第一种安全但不好用，第二种好用但不安全。 现在多数防火墙都在这两种之间采取折中措施。 这里所谓的好用和不好用主要指跨越防火墙的访问效率。 在确保防火墙安全或比较安全的前提下提高访问效率是当前防火墙技术研究和实现的热点。 防火墙的功能和局限性分析 防火墙设置在边界网络上 ,首先是为了保护内部网的安全 ,它在有效地阻止外部用户的非授权访问、阻止攻击者的入侵、提高网络 的安全性能的同时，还提供了以下功能 :。 防火墙是站在内网与外网交界处的“交通警察” ,它执行站点的安全策略 ,仅仅允许认可的和符合规则的请求通过。 保护内网的信息 和资源免受外界的非法入侵。 Inter上的活动。 由于所有进出信息都必须通过防火墙 ,作为 访 问的唯一通道，防火墙记录被保护的网络和外部网络之间进行的所有事件。 所有的内部网址都可以隐藏在防火。