王 艷

摘要:計算機網(wǎng)絡的安全風險,是指由于系統(tǒng)存在的脆弱性,人為或自然的威脅導致安全事件發(fā)生所造成的影響。隨著我站網(wǎng)絡的迅速普及,網(wǎng)絡安全問題越來越受重視。該文首先系統(tǒng)分析了計算機網(wǎng)絡的危險因素,然后詳細探討計算機網(wǎng)絡的安全策略。

關鍵詞:計算機網(wǎng)絡; 危險因素; 安全策略

中圖分類號:TP393文獻標識碼:A 文章編號:1009-3044(2009)14-3678-02

網(wǎng)絡安全從其本質(zhì)上來講就是網(wǎng)絡上的信息安全。它涉及的領域相當廣泛。這是因為目前的公用通信網(wǎng)絡中存在著各種各樣的安全漏洞和威脅。從廣義來說,凡是涉及到網(wǎng)絡信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論,都是網(wǎng)絡安全所要研究的領域。計算機網(wǎng)絡安全的含義就是通過各種密碼技術和信息安全技術,保護在通信網(wǎng)絡中傳輸、交換和存儲信息的機密性、完整性和真實性,并對信息的傳播及內(nèi)容有控制能力。網(wǎng)絡安全的結構層次包括物理安全、安全控制和安全服務。

1 計算機網(wǎng)絡的危險因素

1.1 威脅網(wǎng)絡安全的主要因素

計算機網(wǎng)絡安全受到的威脅包括:

1)“黑客”的攻擊:利用UNIX系統(tǒng)提供的Telnet Daemon、FTPd、Remote Exee Daemon等默認賬戶進行攻擊;利用UNIX系統(tǒng)提供的Finger、RuserS收集的信息進行攻擊;利用FTP、NFS、Rlogin等進行攻擊;

2)計算機病毒和拒絕服務攻擊;

3)威脅的類型:非授權訪問。這主要的是指對網(wǎng)絡設備以及信息資源進行非正常使用或超越權限使用;假冒合法用戶。主要指利用各種假冒或欺騙的手段非法獲得合法用戶的使用權,以達到占用合法用戶資源的目的;數(shù)據(jù)完整性受破壞;干擾系統(tǒng)的正常運行,改變系統(tǒng)正常運行的方向,以及延時系統(tǒng)的響應時間;病毒;通信線路被竊聽等;

4)操作系統(tǒng)的脆弱性。

操作系統(tǒng)支持的程序動態(tài)連接與數(shù)據(jù)動態(tài)交換是現(xiàn)代系統(tǒng)集成和系統(tǒng)擴展的必備功能,而動態(tài)連接、I/O程序與系統(tǒng)服務、打補丁升級可被黑客利用,滋生病毒。操作系統(tǒng)可能創(chuàng)建進程,即使在網(wǎng)絡的節(jié)點上同樣也可以進行遠程進程的創(chuàng)建與激活,且該進程有繼續(xù)創(chuàng)建進程的權力,加上操作系統(tǒng)支持在網(wǎng)絡上傳輸文件,在網(wǎng)絡上能加載程序,二者結合起來就可以在遠端服務器上安裝“間諜”軟件,常以打補丁的方式“打”入合法用戶(尤其是在特權用戶)以躲避監(jiān)測。守護進程Daemon具有操作系統(tǒng)核心層軟件同等權力,會被黑客利用。網(wǎng)絡操作系統(tǒng)提供的遠程過程調(diào)用(RPC)服務以及它所安排的無口令入口也是黑客的通道。

不管是什么樣的網(wǎng)絡系統(tǒng)都離不開人的管理,但大多數(shù)網(wǎng)絡系統(tǒng)缺少安全管理員,特別是高素質(zhì)的網(wǎng)絡管理員。此外,缺少網(wǎng)絡安全管理的技術規(guī)范,缺少定期的安全測試與檢查,更缺少安全監(jiān)控。令人擔憂的是許多網(wǎng)絡系統(tǒng)已使用多年,但網(wǎng)絡管理員與用戶的注冊、口令等還是處于默認狀態(tài)。

1.2 來自外部各種威脅

物理威脅:物理安全是指用以保護計算機硬件和存儲介質(zhì)的裝置與工作程序,常見的物理威脅有偷竊、廢物搜尋和間諜活動。

網(wǎng)絡威脅:網(wǎng)絡威脅常見的有:電子竊聽、撥號入網(wǎng)、假冒。

身份鑒別:身份識別普遍存在于計算機系統(tǒng)中,最簡單的形式是口令,但是口令是脆弱的鑒別手段,黑客可以設法破解口令,如安排口令圈套(模仿登錄界面)套取口令;用密碼字典或其他工具軟件來破解口令,或者破壞口令算法(使用超長的字符串)。

編制程序:主要是病毒、蠕蟲、特洛伊木馬、宏病毒等通過不同的方式進入用戶的系統(tǒng)。

系統(tǒng)漏洞:主要是后門backdoor(如VMS操作系統(tǒng)、一些BIOS的萬能密碼)和源代碼漏洞。

2 計算機網(wǎng)絡的安全策略

2.1 物理安全策略

物理安全策略的目的是保護計算機系統(tǒng)、網(wǎng)絡服務器、打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線攻擊:驗證用戶的身份和使用權限,防止用戶越權操作;確保計算機系統(tǒng)有一個良好的電磁兼容工作環(huán)境;建立完備的安全管理制度,防止非法進入計算機控制室和各種偷竊、破壞活動的發(fā)生。抵制和防止電磁泄露是物理安全策略的一個主要問題。目前主要防護措施有兩類,一類是對傳導輻射的防護,主要采取對電源線和信號線加裝性能良好的濾波器,減小傳輸阻抗和導線間的交叉禍合。另一類是對輻射的防護,這類防護措施又可分為以下的兩種:一是采用各種電磁屏蔽措施,如對設備的金屬屏蔽和各種接插件的屏蔽,同時對機房的下水管、暖氣管和金屬門窗進行屏蔽和隔離;二是干擾的防護措施,即在計算機系統(tǒng)工作的同時,利用干擾裝置產(chǎn)生一種與計算機系統(tǒng)輻射相關的偽噪聲向空間輻射來掩蓋計算機系統(tǒng)的工作頻率和信息特征。

2.2 訪問控制策略

訪問控制是網(wǎng)絡安全防范和保護的主要策略,它的主要任務是保證網(wǎng)絡資源不被非法使用和異常訪問。它也是維護網(wǎng)絡系統(tǒng)安全、保護網(wǎng)絡資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用,但訪問控制可以說是保證網(wǎng)絡安全最重要的核心策略之一。

1)入網(wǎng)訪問控制

入網(wǎng)訪問控制為網(wǎng)絡訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務器并獲取網(wǎng)絡資源,控制準許用戶入網(wǎng)的時間和準許他們在哪臺工作站入網(wǎng)。用戶的入網(wǎng)訪問控制可分為三個步驟:用戶名的識別與驗證、用戶口令的識別與驗證、用戶賬號的默認限制檢查。

對網(wǎng)絡用戶的用戶名和口令進行驗證是防止非法訪問的第一道防線。用戶注冊時首先輸入用戶名和口令,服務器將驗證所輸入的用戶名是否合法。如果驗證合法,才繼續(xù)驗證用戶輸入的口令,否則,用戶將被拒之網(wǎng)絡之外。用戶名和口令驗證有效之后,再進一步履行用戶賬號的默認限制用戶入網(wǎng)的工作站數(shù)量。當用戶對交費網(wǎng)絡的訪問“交費”用盡時,網(wǎng)絡還應能對用戶的賬號加以限制,用戶此時應無法進入網(wǎng)絡訪問資源。網(wǎng)絡應對所有用戶的訪問進行審計。如果多次輸入口令不正確,則是認為是非法用戶的入侵,應給出報警信息。

2)網(wǎng)絡的權限控制

網(wǎng)絡的權限控制是針對網(wǎng)絡非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權限,以控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源,可以指定用戶對這些文件、目錄、設備能夠執(zhí)行哪些操作。受托者指派和繼承權限屏蔽(IRM)可作為其兩種實現(xiàn)方式。受托者指派控制用戶和用戶組如何使用網(wǎng)絡服務器的目錄、文件和設備。繼承權限屏蔽相當于一個過濾器,可以限制子目錄從父目錄那里繼承哪些權限。我們可以根據(jù)訪問權限將用戶分為以下幾類:特殊用戶(即系統(tǒng)管理員);一般用戶,系統(tǒng)管理員根據(jù)他們的實際需要為他們分配操作權限;審計用戶,負責網(wǎng)絡的安全控制與資源使用情況的審計。用戶對網(wǎng)絡資源的訪問權限可以用一個訪問控制表來描述。

3)目錄級安全控制

網(wǎng)絡應允許控制用戶對目錄、文件、設備的訪問。用戶在目錄一級指定的權限對所有文件和子目錄有效,用戶還可進一步指定對目錄下的子目錄和文件的權限。對目錄和文件的訪問權限一般有8種:系統(tǒng)管理員權限(SuPervisor)、讀權限(Read)、寫權限(Write)、創(chuàng)建權限(Create)、刪除權限(Erase)、修改權限(Modify)、文件查找權限(FileSean)、存取控制權限(AeeeSSControl)。用戶對文件或目標的有效權限取決于三個因素:用戶的受托者指派、用戶所在組的受托者指派、繼承權限屏蔽取消的用戶權限。一個網(wǎng)絡系統(tǒng)管理員應當為用戶指定適當?shù)脑L問權限,這些訪問權限控制著用戶對服務器的訪問。8種訪問權限的有效組合可以讓用戶有效地完成工作,同時又能有效地控制用戶對服務器資源的訪問,從而加強網(wǎng)絡和服務器的安全性。

4)網(wǎng)絡服務器安全控制

網(wǎng)絡允許在服務器控制臺上執(zhí)行一系列操作。用戶使用控制臺可以裝載和卸載模塊,可以安裝和刪除軟件等操作。網(wǎng)絡服務器的安全控制包括可以設置口令鎖定服務器控制臺,以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù);可以設定服務器登錄時間限制、非法訪問者檢測和關閉的時間間隔。

2.3 防火墻控制

防火墻是近期發(fā)展起來的一種保護計算機網(wǎng)絡安全的技術性措施,它是一個用以阻止網(wǎng)絡中的黑客訪問某個機構網(wǎng)絡的屏障,也可稱之為控制進/出兩個方向通信的門檻。在網(wǎng)絡邊界上通過建立相應網(wǎng)絡通信監(jiān)控系統(tǒng)來隔離內(nèi)部和外部網(wǎng)絡,以阻擋外部網(wǎng)絡的入侵。目前的防火墻主要有以下三種類型:

1)包過濾防火墻:包過濾防火墻設置在網(wǎng)絡層,可以在路由器上實現(xiàn)包過濾。首先應建立一定數(shù)量的信息過濾表,信息過濾表是以其收到的數(shù)據(jù)包頭信息為基礎而建成的。信息包頭含有數(shù)據(jù)包源IP地址、目的工P地址、傳輸協(xié)議類型(TCP、UDP、工CMP等)、協(xié)議源端口號、協(xié)議目的端口號、連接請示方向、ICMP報文類型等。當一個數(shù)據(jù)包滿足過濾表中的規(guī)則時,則允許數(shù)據(jù)包通過,否則禁止通過。這種防火墻可以用于禁止外部不合法用戶對內(nèi)部的訪問,也可以用來禁止訪問某些服務類型。但包過濾技術不能識別有危險的信息包,無法實施對應用級協(xié)議的處理,也無法處理UDP、RPC或動態(tài)的協(xié)議。

2)代理防火墻:代理防火墻又稱應用層網(wǎng)關級防火墻,它由代理服務器和過濾路由器組成,是目前較流行的一種防火墻。它將過濾路由器和軟件代理技術結合在一起。過濾路由器負責網(wǎng)絡互聯(lián),并對數(shù)據(jù)進行嚴格選擇,然后將篩選過的數(shù)據(jù)傳送給代理服務器。代理服務器起到外部網(wǎng)絡申請訪問內(nèi)部網(wǎng)絡的中間轉接作用,其功能類似于一個數(shù)據(jù)轉發(fā)器,它主要控制哪些用戶能訪問哪些服務類型。當外部網(wǎng)絡向內(nèi)部網(wǎng)絡申請某種網(wǎng)絡服務時,代理服務器接受申請,然后它根據(jù)其服務類型、服務內(nèi)容、被服務的對象、服務者申請的時間、申請者的域名范圍等來決定是否接受此項服務,如果接受,它就向內(nèi)部網(wǎng)絡轉發(fā)這項請求。代理防火墻無法快速支持一些新出現(xiàn)的業(yè)務(如多媒體)。

3)雙穴主機防火墻:該防火墻是用主機來執(zhí)行安全控制功能。一臺雙穴主機配有多個網(wǎng)卡,分別連接不同的網(wǎng)絡。雙穴主機從一個網(wǎng)絡收集數(shù)據(jù),并且有選擇地把它發(fā)送到另一個網(wǎng)絡上。網(wǎng)絡服務由雙穴主機上的服務代理來提供。內(nèi)部網(wǎng)和外部網(wǎng)的用戶可通過雙穴主機的共享數(shù)據(jù)區(qū)傳遞數(shù)據(jù),從而保護了內(nèi)部網(wǎng)絡不被非法訪問。

參考文獻:

[1] 彭靜,章軍祥,田萍芳. 計算機網(wǎng)絡化管理與安全設計[J].計算機與數(shù)字工程, 2007,(5) .

[2] 王道乾. 校園網(wǎng)絡安全策略分析[J].科技資訊, 2006,(31) .

[3] 胡海清,陳海涵. 校園網(wǎng)安全防護體系的構建[J].中國科技信息, 2006,(14) .

[4] 張玉龍,張彥珍,王大龍. 計算機網(wǎng)絡的風險分析與對策[J].網(wǎng)絡安全技術與應用, 2006,(1) .