付松潔

摘要:隨著時代的發(fā)展,Internet日益普及,網(wǎng)絡(luò)已經(jīng)成為信息資源的海洋,給人們帶來了極大的方便。但由于Internet是一個開放的、無控制機構(gòu)的網(wǎng)絡(luò),經(jīng)常會受到計算機病毒、黑客的侵襲。它可使計算機和計算機網(wǎng)絡(luò)數(shù)據(jù)和文件丟失,系統(tǒng)癱瘓。因此,計算機網(wǎng)絡(luò)安全問題必須放在首位。

關(guān)鍵詞:計算機;網(wǎng)絡(luò)安全;防范措施

中圖分類號:G434文獻標(biāo)志碼:A文章編號:1673-291X(2009)32-0271-02

計算機的廣泛應(yīng)用把人類帶入了一個全新的時代,特別是計算機網(wǎng)絡(luò)的社會化,已經(jīng)成為了信息時代的主要推動力。隨著計算機網(wǎng)絡(luò)技術(shù)的飛速發(fā)展,尤其是互聯(lián)網(wǎng)的應(yīng)用變得越來越廣泛,在帶來了前所未有的海量信息的同時,網(wǎng)絡(luò)的開放性和自由性也產(chǎn)生了私有信息和數(shù)據(jù)被破壞或侵犯的可能性,網(wǎng)絡(luò)信息的安全性變得日益重要起來,已被信息社會的各個領(lǐng)域所重視。目前,全世界的軍事、經(jīng)濟、社會、文化各個方面都越來越依賴于計算機網(wǎng)絡(luò),人類社會對計算機的依賴程度達到了空前的記錄。由于計算機網(wǎng)絡(luò)的脆弱性,這種高度的依賴性使國家的經(jīng)濟和國防安全變得十分脆弱,一旦計算機網(wǎng)絡(luò)受到攻擊而不能正常工作,甚至癱瘓,整個社會就會陷入危機。因此,為了提高計算機網(wǎng)絡(luò)的安全防御技術(shù),必須對影響計算機網(wǎng)絡(luò)安全的主要因素有深入詳細(xì)的了解,只有這樣才能更有效、更具有針對性地進行主動防護。

一、計算機網(wǎng)絡(luò)安全的概念

國際標(biāo)準(zhǔn)化組織將“計算機安全”定義為:“為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護,保護計算機硬件、軟件數(shù)據(jù)不因偶然和惡意的原因而遭到破壞、更改和泄漏”。上述計算機安全的定義包含物理安全和邏輯安全兩方面的內(nèi)容,其邏輯安全的內(nèi)容可理解為我們常說的信息安全,是指對信息的保密性、完整性和可用性的保護,而網(wǎng)絡(luò)安全性的含義是信息安全的引申,即網(wǎng)絡(luò)安全是對網(wǎng)絡(luò)信息保密性、完整性和可用性的保護。計算機網(wǎng)絡(luò)安全的具體含義會隨著使用者的變化而變化,使用者不同,對網(wǎng)絡(luò)安全的認(rèn)識和要求也就不同。從普通使用者的角度來說,可能僅僅希望個人隱私或機密信息在網(wǎng)絡(luò)上傳輸時受到保護,避免被竊聽、篡改和偽造;而網(wǎng)絡(luò)提供商除了關(guān)心這些網(wǎng)絡(luò)信息安全外,還要考慮如何應(yīng)付突發(fā)的自然災(zāi)害、軍事打擊等對網(wǎng)絡(luò)硬件的破壞,以及在網(wǎng)絡(luò)出現(xiàn)異常時如何恢復(fù)網(wǎng)絡(luò)通信,保持網(wǎng)絡(luò)通信的連續(xù)性。

二、影響計算機網(wǎng)絡(luò)安全的主要因素

1.網(wǎng)絡(luò)資源的共享性。資源共享是計算機網(wǎng)絡(luò)應(yīng)用的主要目的,但這為系統(tǒng)安全的攻擊者利用共享的資源進行破壞提供了機會。隨著互聯(lián)網(wǎng)需求的日益增長,外部服務(wù)請求不可能做到完全隔離,攻擊者利用服務(wù)請求的機會很容易獲取網(wǎng)絡(luò)數(shù)據(jù)包。

2.網(wǎng)絡(luò)的開放性。網(wǎng)上的任何一個用戶很方便訪問互聯(lián)網(wǎng)上的信息資源,從而很容易獲取到一個企業(yè)、單位以及個人的敏感性信息。

3.網(wǎng)絡(luò)操作系統(tǒng)的漏洞。網(wǎng)絡(luò)操作系統(tǒng)是網(wǎng)絡(luò)協(xié)議和網(wǎng)絡(luò)服務(wù)得以實現(xiàn)的最終載體之一,不僅負(fù)責(zé)網(wǎng)絡(luò)硬件設(shè)備的接口封裝,同時還提供網(wǎng)絡(luò)通信所需要的各種協(xié)議和服務(wù)的程序?qū)崿F(xiàn)。由于網(wǎng)絡(luò)協(xié)議實現(xiàn)的復(fù)雜性,決定了操作系統(tǒng)必然存在各種實現(xiàn)過程所帶來的缺陷和漏洞。

4.網(wǎng)絡(luò)系統(tǒng)設(shè)計的缺陷。網(wǎng)絡(luò)設(shè)計是指拓?fù)浣Y(jié)構(gòu)的設(shè)計和各種網(wǎng)絡(luò)設(shè)備的選擇等。網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)操作系統(tǒng)等都會直接帶來安全隱患。合理的網(wǎng)絡(luò)設(shè)計在節(jié)約資源的情況下,還可以提供較好的安全性。不合理的網(wǎng)絡(luò)設(shè)計則會成為網(wǎng)絡(luò)的安全威脅。

5.惡意攻擊。就是人們常見的黑客攻擊及網(wǎng)絡(luò)病毒是最難防范的網(wǎng)絡(luò)安全威脅。隨著電腦教育的大眾化,這類攻擊也是越來越多,影響越來越大。

三、計算機網(wǎng)絡(luò)安全的防范措施

1.防火墻技術(shù)

防火墻是網(wǎng)絡(luò)安全的屏障,配置防火墻是實現(xiàn)網(wǎng)絡(luò)安全最基本、最經(jīng)濟、最有效的安全措施之一。防火墻是指一個由軟件或和硬件設(shè)備組合而成,處于企業(yè)或網(wǎng)絡(luò)群體計算機與外界通道之間,限制外界用戶對內(nèi)部網(wǎng)絡(luò)訪問及管理內(nèi)部用戶訪問外界網(wǎng)絡(luò)的權(quán)限。當(dāng)一個網(wǎng)絡(luò)接上Internet之后,系統(tǒng)的安全除了考慮計算機病毒、系統(tǒng)的健壯性之外,更主要的是防止非法用戶的入侵,而目前防止的措施主要是靠防火墻技術(shù)完成。防火墻能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性,并通過過濾不安全的服務(wù)而降低風(fēng)險。防火墻可以強化網(wǎng)絡(luò)安全策略。通過以防火墻為中心的安全方案配置,能將所有安全軟件(如口令、加密、身份認(rèn)證)配置在防火墻上。其次,對網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計。如果所有的訪問都經(jīng)過防火墻,那么,防火墻就能記錄下這些訪問并做出日志記錄,同時,也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當(dāng)發(fā)生可疑動作時,防火墻能進行適當(dāng)?shù)膱缶?并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。再次,防止內(nèi)部信息的外泄。利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分,可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離,從而降低了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。

2.數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)

與防火墻相比,數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)比較靈活,更加適用于開放的網(wǎng)絡(luò)。用戶授權(quán)訪問控制主要用于對靜態(tài)信息的保護,需要系統(tǒng)級別的支持,一般在操作系統(tǒng)中實現(xiàn)。

數(shù)據(jù)加密主要用于對動態(tài)信息的保護。對動態(tài)數(shù)據(jù)的攻擊分為主動攻擊和被動攻擊。對于主動攻擊,雖無法避免,但卻可以有效地檢測;而對于被動攻擊,雖無法檢測,但卻可以避免,實現(xiàn)這一切的基礎(chǔ)就是數(shù)據(jù)加密。數(shù)據(jù)加密實質(zhì)上是對以符號為基礎(chǔ)的數(shù)據(jù)進行移位和置換的變換算法,這種變換是受“密鑰”控制的。在傳統(tǒng)的加密算法中,加密密鑰與解密密鑰是相同的,或者可以由其中一個推知另一個,稱為“對稱密鑰算法”。這樣的密鑰必須秘密保管,只能為授權(quán)用戶所知,授權(quán)用戶既可以用該密鑰加密信息,也可以用該密鑰解密信息,DES是對稱加密算法中最具代表性的算法。如果加密/解密過程各有不相干的密鑰,構(gòu)成加密/解密的密鑰對,則稱這種加密算法為“非對稱加密算法”或稱為“公鑰加密算法”,相應(yīng)的加密/解密密鑰分別稱為“公鑰”和“私鑰”。在公鑰加密算法中,公鑰是公開的,任何人可以用公鑰加密信息,再將密文發(fā)送給私鑰擁有者。私鑰是保密的,用于解密其接收的公鑰加密過的信息。典型的公鑰加密算法如RSA是目前使用比較廣泛的加密算法。

3.入侵檢測技術(shù)。入侵檢測系統(tǒng)(Intrusion Detection System簡稱IDS)是從多種計算機系統(tǒng)及網(wǎng)絡(luò)系統(tǒng)中收集信息,再通過這此信息分析入侵特征的網(wǎng)絡(luò)安全系統(tǒng)。IDS被認(rèn)為是防火墻之后的第二道安全閘門,它能使在入侵攻擊對系統(tǒng)發(fā)生危害前,檢測到入侵攻擊,并利用報警與防護系統(tǒng)驅(qū)逐入侵攻擊;在入侵攻擊過程中,能減少入侵攻擊所造成的損失;在被入侵攻擊后,收集入侵攻擊的相關(guān)信息,作為防范系統(tǒng)的知識,添加入策略集中,增強系統(tǒng)的防范能力,避免系統(tǒng)再次受到同類型的入侵。入侵檢測的作用包括威懾、檢測、響應(yīng)、損失情況評估、攻擊預(yù)測和起訴支持。入侵檢測技術(shù)是為保證計算機系統(tǒng)的安全而設(shè)計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權(quán)或異常現(xiàn)象的技術(shù),是一種用于檢測計算機網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。

入侵檢測技術(shù)的功能主要體現(xiàn)在以下方面:監(jiān)視分析用戶及系統(tǒng)活動,查找非法用戶和合法用戶的越權(quán)操作。檢測系統(tǒng)配置的正確性和安全漏洞,并提示管理員修補漏洞;識別反映已知進攻的活動模式并向相關(guān)人士報警;對異常行為模式的統(tǒng)計分析;能夠?qū)崟r地對檢測到的入侵行為進行反應(yīng);評估重要系統(tǒng)和數(shù)據(jù)文件的完整性;可以發(fā)現(xiàn)新的攻擊模式。

4.防病毒技術(shù)。隨著計算機技術(shù)的不斷發(fā)展,計算機病毒變得越來越復(fù)雜和高級,對計算機信息系統(tǒng)構(gòu)成極大的威脅。在病毒防范中普遍使用的防病毒軟件,從功能上可以分為網(wǎng)絡(luò)防病毒軟件和單機防病毒軟件兩大類。單機防病毒軟件一般安裝在單臺PC上,即對本地和本地工作站連接的遠(yuǎn)程資源采用分析掃描的方式檢測、清除病毒。網(wǎng)絡(luò)防病毒軟件則主要注重網(wǎng)絡(luò)防病毒,一旦病毒入侵網(wǎng)絡(luò)或者從網(wǎng)絡(luò)向其他資源傳染,網(wǎng)絡(luò)防病毒軟件會立刻檢測到并加以刪除。

5.安全管理隊伍的建設(shè)。在計算機網(wǎng)絡(luò)系統(tǒng)中,絕對的安全是不存在的,制定健全的安全管理體制是計算機網(wǎng)絡(luò)安全的重要保證,只有通過網(wǎng)絡(luò)管理人員與使用人員的共同努力,運用一切可以使用的工具和技術(shù),盡一切可能去控制、減小一切非法的行為,盡可能將不安全的因素降到最低。同時,要不斷地加強計算機信息網(wǎng)絡(luò)的安全規(guī)范化管理力度,大力加強安全技術(shù)建設(shè),強化使用人員和管理人員的安全防范意識。網(wǎng)絡(luò)內(nèi)使用的IP地址作為一種資源以前一直為某些管理人員所忽略,為了更好地進行安全管理工作,應(yīng)該對本網(wǎng)內(nèi)的IP地址資源統(tǒng)一管理、統(tǒng)一分配。對于盜用IP資源的用戶必須依據(jù)管理制度嚴(yán)肅處理。只有共同努力,才能使計算機網(wǎng)絡(luò)的安全可靠得到保障,從而使廣大網(wǎng)絡(luò)用戶的利益得到保障。

6.網(wǎng)絡(luò)主機的操作系統(tǒng)安全和物理安全措施

防火墻作為網(wǎng)絡(luò)的第一道防線并不能完全保護內(nèi)部網(wǎng)絡(luò),必須結(jié)合其他措施才能提高系統(tǒng)的安全水平。在防火墻之后是基于網(wǎng)絡(luò)主機的操作系統(tǒng)安全和物理安全措施。按照級別從低到高,分別是主機系統(tǒng)的物理安全、操作系統(tǒng)的內(nèi)核安全、系統(tǒng)服務(wù)安全、應(yīng)用服務(wù)安全和文件系統(tǒng)安全;同時,主機安全檢查和漏洞修補以及系統(tǒng)備份安全作為輔助安全措施。這些構(gòu)成整個網(wǎng)絡(luò)系統(tǒng)的第二道安全防線,主要防范部分突破防火墻以及從內(nèi)部發(fā)起的攻擊。系統(tǒng)備份是網(wǎng)絡(luò)系統(tǒng)的最后防線,用來遭受攻擊之后進行系統(tǒng)恢復(fù)。在防火墻和主機安全措施之后,是全局性的由系統(tǒng)安全審計、入侵檢測和應(yīng)急處理機構(gòu)構(gòu)成的整體安全檢查和反應(yīng)措施。它從網(wǎng)絡(luò)系統(tǒng)中的防火墻、網(wǎng)絡(luò)主機甚至直接從網(wǎng)絡(luò)鏈路層上提取網(wǎng)絡(luò)狀態(tài)信息,作為輸入提供給入侵檢測子系統(tǒng)。入侵檢測子系統(tǒng)根據(jù)一定的規(guī)則判斷是否有入侵事件發(fā)生,如果有入侵發(fā)生,則啟動應(yīng)急處理措施,并產(chǎn)生警告信息。而且,系統(tǒng)的安全審計還可以作為以后對攻擊行為和后果進行處理、對系統(tǒng)安全策略進行改進的信息來源。

總之,網(wǎng)絡(luò)安全是一個綜合性的課題,涉及技術(shù)、管理、使用等許多方面,既包括信息系統(tǒng)本身的安全問題,也有物理的和邏輯的技術(shù)措施,一種技術(shù)只能解決一方面的問題,而不是萬能的。因此,認(rèn)清影響計算機網(wǎng)絡(luò)安全的主要因素和潛在威脅,采取必要的防范措施,對于保障信息系統(tǒng)的安全性將十分重要。我們必須綜合考慮安全因素,制定合理的目標(biāo)、技術(shù)方案和相關(guān)的配套法規(guī)等。世界上不存在絕對安全的網(wǎng)絡(luò)系統(tǒng),隨著計算機網(wǎng)絡(luò)技術(shù)的進一步發(fā)展,網(wǎng)絡(luò)安全防護技術(shù)也必然隨著網(wǎng)絡(luò)應(yīng)用的發(fā)展而不斷發(fā)展。

參考文獻:

[1]陳愛民.計算機的安全與保密[M].北京:電子工業(yè)出版社,2002.

[2]蔡立軍.計算機網(wǎng)絡(luò)安全技術(shù)[M].北京:中國水利水電出版社,2002.

[3]朱理森,張守連.計算機網(wǎng)絡(luò)應(yīng)用技術(shù)[M].北京:專利文獻出版社,2001.

[4]殷偉.計算機安全與病毒防治[M].合肥:安徽科學(xué)技術(shù)出版社,2004.

[5]余建斌.黑客的攻擊手段及用戶對策[M].北京:人民郵電出版社,1998.

[6]鄭成興.網(wǎng)絡(luò)入侵防范的理論與實踐[M].北京:機械工業(yè)出版社,2006.

責(zé)任編輯 張宇霞