吉通公司金桥网安全项目建议书-(编辑修改稿)

吉通公司金桥网安全项目建议书-(编辑修改稿)内容摘要：

(5) 模式更新速度。 安全扫描技术 网络安全技术中，另一类重要技术为安全扫描技术。 安全扫描技术与防火墙、安全监控系统互相配合能够提供很高安全性的网络。 安全扫描工具源于 Hacker 在入侵网络系统时采用的工具。 商品化的安全扫描工具为网络安全漏洞的发现提供了强大的支 持。 安全扫描工具通常也分为基于服务器和基于网络的扫描器。 基于服务器的扫描器主要扫描服务器相关的安全漏洞，如 password 文件，目录和文件权限，共享文件系统，敏感服务，软件，系统漏洞等，并给出相应的解决办法建议。 通常与相应的服务器操作系统紧密相关。 基于网络的安全扫描主要扫描设定网络内的服务器、路由器、网桥、变换机、访问服务器、防火墙等设备的安全漏洞，并可设定模拟攻击，以测试系统的防御能力。 通常该类扫描器限制使用范围 (IP 地址或路由器跳数 )。 网络安全扫描的主要性能应该考虑以下方面 ： (1) 速度。 在网络内进行安全扫描非常耗时。 (2) 网络拓扑。 通过 GUI 的图形界面，可迭择一步或某些区域的设备。 (3) 能够发现的漏洞数量。 (4) 是否支持可定制的攻杰方法。 通常提供强大的工具构造特定的攻击方法。 因为网络内服务器及其它设备对相同协议的实现存在差别，所以预制的扫描方法肯定不能满足客户的需求。 (5) 报告，扫描器应该能够给出清楚的安全漏洞报告。 (6) 更新周期。 提供该项产品的厂商应尽快给出新发现的安生漏洞扫描特性升级，并给出相应的改进 建议。 安全扫描器不能实时监视网络上的入侵，但是能够测试和评价系统的安全性，并及时发现安全漏洞。 14 认证和数宇签名技术 认证技术主要解决网络通讯过程中通讯双方的身份认可，数字签名作为身份认证技术中的一种具体技术，同时数字签名还可用于通信过程中的不可抵赖要求的实现。 认证技术将应用到企业网络中的以下方面： (1) 路由器认证，路由器和交换机之间的认证。 (2) 操作系统认证。 操作系统对用户的认证。 (3) 网管系统对网管设备之间的认证。 (4) VPN 网关设备之间的认证。 (5) 拨号访问服务器与客户间的认证。 (6) 应用服务器 (如 Web Server)与客户的认证。 (7) 电子邮件通讯双方的认证。 数字签名技术主要用于： (1) 基于 PKI 认证体系的认证过程。 (2) 基于 PKI 的电子邮件及交易 (通过 Web 进行的交易 )的不可抵赖记录。 认证过程通常涉及到加密和密钥交换。 通常，加密可使用对称加密、不对称加密及两种加密方法的混合。 UserName/Password 认证 该种认 证方式是最常用的一种认证方式，用于操作系统登录、 tel、 rlogin等，但由于此种认证方式过程不加密，即 password 容易被监听和解密。 使用摘要算法的认证 Radius(拨号认证协议 )、路由协议 (OSPF)、 SNMP Security Protocol 等均使用共享的 Security Key，加上摘要算法 (MD5)进行认证，由于摘要算法是一个不可逆的过程，因此，在认证过程中，由摘要信息不能计算出共享的 security key，敏感信息不在网络上传输。 市场上主要采用的摘要算法有 MD5 和 SHA1。 基于 PKI 的认证 使用公开密钥体系进行认证和加密。 该种方法安全程度较高，综合采用了摘要算法、不对称加密、对称加密、数字签名等技术，很好地将安全性和高效率结合起来。 节描述了基于 PKI 认证的基本原理。 这种认证方法目前应用在电子邮件、应用服务器访问、客户认证、防火墙验证等领域。 该种认证方法安全程度很高，但是涉及到比较繁重的证书管理任务。 VPN 技术 企业对 VPN 技术的需求 企业总部和各分支机构之间采用 CNFN 网络进行连接，由于 CNFN 为中 国金融系统的公用网络，因此，必须保证其安全性。 我们将利用公共网络实现的私用网络称为虚拟私用网 (VPN)。 15 因为 VPN 利用了公共网络，所以其最大的弱点在于缺乏足够的安全性。 企业网络接入到 CNFN，暴露出两个主要危险： (1) 来自 CNFN 的未经授权的对企业内部网的存取。 (2) 当企业通过 CNFN 进行通讯时，信息可能受到窃听和非法修改。 完整的集成化的企业范围的 VPN 安全解决方案，提供在 CNFN 上安全的双向通讯，以及透明的加密方案以保证数据的完整性和保密性。 企业网络的全面安全要求保证： (1) 保密 通讯过 程不被窃听。 (2) 通讯主体真实性确认 网络上的计算机不被假冒。 数字签名 数字签名作为验证发送者身份和消息完整性的根据。 公共密钥系统 (如 RSA)基于私有 /公共密钥对，作为验证发送者身份和消息完整性的根据。 CA使用私有密钥计算其数字签名，利用 CA 提供的公共密钥，任何人均可验证签名的真实性。 伪造数字签名从计算能力上是不可行的。 并且，如果消息随数字签名一同发送，对消息的任何修改在验证数字签名时都将会被发现。 通讯双方通过 DiffieHellman 密钥系统安全地获取共享的保密密钥， 并使用该密钥对消息加密。 DiffieHellman 密钥由 CA进行验证。 类 型 技 术 用 途 基本会话密钥 DES 加密通讯 加密密钥 DeffHellman 生成会话密钥 认证密钥 RSA 验证加密密钥 表 1 加密模式使用的密钥技术 基于此种加密模式，需要管理的密钥数目与通讯者的数量为线性关系。 而其它的加密模式需要管理的密钥数目与通讯者数目的平方成正比。 IPSEC IPSec 作为在 IP v4 及 IP v6 上的加密通讯框架，已为大多数厂商所支持，预计在 1998 年将确定为 IETF 标准，是 VPN 实现的 Inter 标准。 IPSec 主要提供 IP 网络层上的加密通讯能力。 该标准为每个 IP 包增加了新的包头格式， Authentication Header(AH)及 encapsualting security payload(ESP)。 IPsec使用 ISAKMP/Oakley 及 SKIP 进行密钥交换、管理及加密通讯协商 (Security Association)。 Ipsec 包含两个部分： (1) IP security Protocol proper，定义 Ipsec 报文格式。 (2) ISAKMP/Oakley，负责加密通讯协商。 Ipsec 提供了两种加密通讯手段： 16 Ipsec Tunnel：整个 IP 封装在 Ipsec 报文。 提供 Ipsecgateway 之间的通讯。 Ipsec transport：对 IP 包内的数据进行加密，使用原来的源地址和目的地址。 Ipsec Tunnel 不要求修改已配备好的设备和应用，网络黑客户不能看到实际的的通讯源地址和目的地址，并且能够提供专用网络通过 Inter 加密传输的通道，因此，绝大多数均使用该模式。 ISAKMP/Oakley 使用 数字证书，因此，使 VPN 能够容易地扩大到企业级。 (易于管理 )。 在为远程拨号服务的 Client 端，也能够实现 Ipsec 的客户端，为拨号用户提供加密网络通讯。 由于 Ipsec 即将成为 Inter 标准，因此不同厂家提供的防火墙 (VPN)产品可以实现互通。 应用平台安全 由于应用系统的复杂性，有关应用平台的安全问题是整个安全体系中最复杂的部分。 下面的几个部分列出了在 Inter/Intra 中 主要的应用平台服务的安全问题及相关技术。 域名服务 Inter 域名服务为 Inter/Intra 应用提供了极大的灵活性。 几乎所有的网络应用均利用域名服务。 但是，域名服务通常为 hacker 提供了入侵网络的有用信息，如服务器的 IP、操作系统信息、推导出可能的网络结构等。 同时，新发现的针对 BINDNDS 实现的安全漏洞也开始发现，而 绝大多数的域名系统均存在类似的问题。 如由于 DNS 查询使用无连接的 UDP协议，利用可预测的查询 ID 可欺骗域名服务器给出错误的主机名 IP 对应关系。 因此，在利用域名服务时，应该注意到以上的安全问题。 主要的措施有： (1) 内部网和外部网使用不同的域名服务器，隐藏内部网络信息。 (2) 域名服务器及域名查找应用安装相应的安全补丁。 (3) 对付 DenialofService 攻击，应设计备份域名服务器。 病毒防护 病毒历来是信息系统安全的主要问题之一。 由于网络的广泛互联，病毒的传播途径和速度大大加快。 我们将病毒的途径分为： (1 ) 通过 ftp，电子邮件传播。 (2) 通过软盘、光盘、磁带传播。 (3) 通过 Web 游览传播，主要是恶意的 Java 控件网站。 (4) 通过群件系统传播。 病毒防护的主要技术如下： 17 (1) 阻止病毒的传播。 在防火墙、代理服务器、 SMTP 服务器、网络服务器、群件服务器上安装病毒过滤软件。 在桌面 PC 安装病毒监控软件。 (2) 检查和清除病毒。 使用防病毒软件检查和清除病毒。 (3) 病毒数据库的升级。 病毒数据库应不断更新，并下发到桌面系统。 (4) 在防火墙、代 理服务器及 PC 上安装 Java 及 ActiveX 控制扫描软件，禁止未经许可的控件下载和安装。 Web Server 应用安全 Web Server 是企业对外宣传、开展业务的重要基地。 由于其重要性，成为 Hacker攻击的首选目标之一。 Web Server 经常成为 Inter 用户访问公司内部资源的通道之一，如 Web server通过中间件访问主机系统，通过数据库连接部件访问数据库，利用 CGI 访问本地文件系统或网络系统中其它资源。 但 Web 服务器越来越复杂，其被发现的安全漏洞越 来越多。 为了防止 Web 服务器成为攻击的牺牲品或成为进入内部网络的跳板，我们需要给予更多的关心： (1) Web 服务器置于防火墙保护之下。 (2) 在 Web 服务器上安装实时安全监控软件。 (3) 在通往 Web 服务器的网络路径上安装基于网络的实时入侵监控系统。 (4) 经常审查 Web 服务器配置情况及运行日志。 (5) 运行新的应用前，先进行安全测试。 如新的 CGI 应用。 (6) 认证过程采用加密通讯或使用 X 509 证书模式。 (7) 小心设置 Web 服务器的访 问控制表。 电子邮件系统安全 电子邮件系统也是网络与外部必须开放的服务系统。 由于电子邮件系统的复杂性，其被发现的安全漏洞非常多，并且危害很大。 加强电子邮件系统的安全性，通常有如下办法： (1) 设置一台位于停火区的电子邮件服务器作为内外电子邮件通讯的中转站(或利用防火墙的电子邮件中转功能 )。 所有出入的电子邮件均通过该中转站中转。 (2) 同样为该服务器安装实施监控系统。 (3) 该邮件服务器作为专门的应用服务器，不运行任何其它业务 (切断与内部网的通讯 )。 (4) 升级到最新的安全版本。 操作系统安全 市场上几乎所有的操作系统均已发现有安全漏洞，并且越流行的操作系统发现的问题越多。 对操作系统的安全，除了不断地增加安全补丁外，还需要： 18 (1) 检查系统设置 (敏感数据的存放方式，访问控制，口令选择 /更新 )。 (2) 基于系统的安全监控系统。 应用系统安全 应用系统建立在应用平台之上，应用系统可利用应用平台提供的安全服务，增强应用系统的安全。 应用系统安全要求： (1) 通讯双方的主体确认。 (2) 通讯过程的保密、完整性。 (3) 交易过程的不可抵赖性。 应用系统通常有两种应用模式： Client/Server 及点到点通讯。 Inter/Intra上流行的 SSL/SMIME 均使用 及 PKI 完成认证和加密通讯。 PKI 认证和通讯原理 证书实际上是通讯主体的身份标识，通讯双方通过证书互相认证，并利用证书中的信息完成电子签名和加密协商。 证书由 CCITT(ITU)的 建议 (目录认证框架 )定义，采用 描述，传 输过程中先做 EDR 编码，然后 Base64 编码。 证书中的内容有以下几项： √ 持有。