1 计算机网络安全概述

1计算机网络安全概述1.1计算机网络安全研究的动因我们今天广泛使用的基于IPv4通信协议的网络，在设计之初就存在着大量缺陷和安全隐患。虽然下一个版本IPv6将在一定程度上解决IPv4中存在的安全问题，但是IPv6走向全面应用还需要较长的时间；从IPv4网络的应用历史来看，许多安全问题也是随着应用的出现而暴露出来的，所以我们不能肯定地讲IPv6网络的应用就一定能够解决IPv4中存在的所有安全问题。1.1.1网络自身的设计缺陷1．协议本身的不安全性例如，在TCP/IP参考模型的传输层提供了TCP和UDP两种协议，其中UDP本身就是一种不可靠、不安全的协议，而TCP当初力求通过三次握手机制保障数据传输的可靠性和安全性，但近年来利用TCP/IP三次握手出现的网络攻击现象频繁发生。再如，目前在局域网中泛滥的ARP欺骗和DHCP欺骗，其根源是这些协议在当初设计时只考虑到了应用，而没有或很少考虑安全。还有，像DNS、POP3、SMTP、SNMP等应用层的协议几乎都存在安全隐患。1.1.1网络自身的设计缺陷2．应用中出现的不安全因素现在，在VOD（视频点播）技术得到广泛应用的同时，研究者已关注IPTV（网络电视）、VoIP（网络电话）等基于计算机网络的实时通信技术的应用。回顾计算机网络应用的发展历程，一方面是各种新的应用技术层出不穷，另一方面是TCP/IP通信协议等基本架构没有发生变化，而且越来越多的要求更高的应用都要争用有限的网络资源。这时研究者和用户开始发现在解决了应用功能的同时，安全问题随之而来。在这种情况下，像VPN、IPSec等安全协议开始出现，力求解决网络应用中存在的安全问题。但现实情况是，随着时间的推移及应用需求的不断发展，新的安全问题又会出现。1.1.1网络自身的设计缺陷3．网络基础设施的发展带来的不安全因素从应用的角度来看，早期的计算机网络多为有线网络。近年来，在铜缆、光纤等有线网络得到大量应用的同时，基于微波、无线电、红外线等无线介质的无线通信方式得到了快速发展，并逐步实现了与有线网络的融合。从另外一个角度来看，早期计算机网络的应用有其局限性，主要供单位内部的近距离通信。后来，计算机网络的应用逐渐延伸到整个通信领域，通信方式从模拟到数字的转换已成为现实。今天，无论是计算机网络还是电信网络，不管是固定通信还是移动通信，已基本实现了全网的数字化。1.1.2Internet应用的快速发展带来的安全问题Internet的商业应用，致使用户数量不断增加、应用不断扩展、新技术不断出现、Internet的规模不断扩大，使Internet几乎深入到社会生活的每一个角落。在这种情况下，由于Internet本身存在的缺陷以及Internet商业化带来的各种利益驱动，Internet上各种攻击和窃取商业信息的现象频繁发生，网络安全问题日益明显。1.2网络安全的概念国际标准化组织（ISO）对计算机系统安全的定义是：为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。由此可以将计算机网络的安全理解为：通过采用各种技术和管理措施，使网络系统正常运行，从而确保网络数据的可用性、完整性和保密性。所以，建立网络安全保护措施的目的是确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄露等1.2网络安全的概念具体来讲，网络安全包括以下的5个基本要素：1.机密性。确保信息不暴露给未经授权的人或应用进程。2.完整性。只有得到允许的人或应用进程才能修改数据，并且能够判别出数据是否已被更改。3.可用性。只有得到授权的用户在需要时才可以访问数据，即使在网络被攻击时也不能阻碍授权用户对网络的使用。4.可控性。能够对授权范围内的信息流向和行为方式进行控制。5.可审查性。当网络出现安全问题时，能够提供调查的依据和手段。1.3网络安全威胁的类型1.3.1物理威胁物理安全是一个非常简单的概念，即不允许其他人拿到或看到不属于自己的东西。目前，计算机和网络中所涉及的物理威胁主要有以下几个方面：1.窃取。包括窃取设备、信息和服务等。2.废物搜寻。是指从已报废的设备（如废弃的硬盘、软盘、光盘、U盘等介质）中搜寻可利用的信息。3.间谍行为。是指采取不道德的手段来获取有价值的信息的行为。例如，直接打开别人的计算机复制所需要的数据，或利用间谍软件入侵他人的计算机来窃取信息等。4.假冒。指一个实体假扮成另一个实体后，在网络中从事非法操作的行为。这种行为对网络数据构成了巨大的威胁1.3.2系统漏洞威胁系统漏洞是指系统在方法、管理或技术中存在的缺点（通常称为bug），而这个缺点可以使系统的安全性降低。目前，由系统漏洞所造成的威胁主要表现在以下几个方面：不安全服务。指绕过设备的安全系统所提供的服务。由于这种服务不在系统的安全管理范围内，所以会对系统的安全造成威胁。主要有网络蠕虫等。配置和初始化错误。指在系统启动时，其安全策略没有正确初始化，从而留下了安全漏洞。例如，在木马程序修改了系统的安全配置文件时就会发生此威胁。1.3.3身份鉴别威胁所谓身份鉴别是指对网络访问者的身份（主要有用户名和对应的密码等）真伪进行鉴别。目前，身份鉴别威胁主要包括以下几个方面：1.口令圈套。常用的口令圈套是通过一个编译代码模块实现的。该模块是专门针对某一些系统的登录界面和过程而设计的，运行后与系统的真正的登录界面完全相同。2.口令破解。这是最常用的一种通过非法手段获得合法用户名和密码的方法。3.算法考虑不周。密码输入过程必须在满足一定的条件下才能正常工作，这个过程通过某些算法来实现。4.编辑口令。编辑口令需要依靠操作系统的漏洞，如为部门内部的人员建立一个虚设的账户，或修改一个隐含账户的密码，这样任何知道这个账户（指用户名和对应的密码）的人员便可以访问该系统。1.3.4线缆连接威胁线缆连接威胁主要指借助网络传输介质（线缆）对系统造成的威胁，主要包括以下几个方面：1.窃听。是使用专用的工具或设备，直接或间接截获网络上的特定数据包并进行分析，进而获取所需的信息的过程。窃听一般要将窃听设备连接到通信线缆上，通过检测从线缆上发射出来的电磁波来获得所需要的信号。解决该数据被窃听的有效手段是对数据进行加密。2.拨号进入。指利用调制解调器等设备，通过拨号方式远程登录并访问网络。当攻击者已经拥有目标网络的用户账户时，就会对网络造成很大的威胁。3.冒名顶替。指通过使用别人的用户账户和密码获得对网络及其数据、程序的使用能力。由于别人的用户账户和密码不易获得，所以这种方法实现起来并不容易1.3.5有害程序威胁有害程序造成的威胁主要包括以下几个方面：1.病毒。计算机病毒是一个程序，是一段可执行的代码。2.逻辑炸弹。逻辑炸弹是嵌入在某个合法程序里面的一段代码，被设置成当满足某个特定条件时就会发作。逻辑炸弹具有病毒的潜伏性。3.特洛伊木马。特洛伊木马是一个包含在一个合法程序中的非法的程序。4.间谍软件。是一种新的安全威胁，它可能在浏览网页或者安装软件时，在不知情的情况下被安装到计算机上。1.4安全策略和安全等级•1.4.1安全策略•制定安全策略是一件非常复杂的事情，通常可从以下两个方面来考虑。•1．物理安全策略•物理安全策略包括以下几个方面：一是为了保护计算机系统、网络服务器、打印机等硬件实体和通信链路，以免受自然灾害、人为破坏和搭线攻击；二是验证用户的身份和使用权限，防止用户越权操作；三是确保计算机系统有一个良好的电磁兼容工作环境；四是建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。•2．访问控制策略•访问控制是对要访问系统的用户进行识别，并对访问权限进行必要的控制。访问控制策略是维护计算机系统安全、保护其资源的重要手段。访问控制的内容有入网访问控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制等。另外，还有加密策略、防火墙控制策略等。1.4.2安全性指标和安全等级•制定安全策略时，往往需要在安全性和可用性之间采取一个折衷的方案，重点保证一些主要安全性的指标。主要如：•·数据完整性。在传输过程时，数据是否保持完整。•·数据可用性。在系统发生故障时，数据是否会丢失。•·数据保密性。在任何时候，数据是否有被非法窃取的可能。•1985年12月由美国国防部公布的美国可信计算机安全评价标准（TCSEC）是计算机系统安全评估的第一个正式标准，该标准最初只是军用标准，后来延至民用领域。TCSEC将计算机系统的安全划分为4个等级7个级别。•·D类安全等级。D类安全等级只包括D1一个级别。•·C类安全等级。该类安全等级能够酌情提供安全保护，并为用户的行动和责任提供审计能力。C类安全等级可划分为C1和C2两类，。•·B类安全等级。B类安全等级可分为B1、B2和B3三类。•·A类安全等级。A系统的安全级别最高。目前，A类安全等级只包含A1一个安全类别。1.5常用的网络安全管理技术•1.5.1物理安全技术•物理安全，是保护计算机网络设备、设施以及其他介质免遭地震、水灾、火灾等环境事故以及人为操作失误及各种计算机犯罪行为导致破坏的过程，它主要包括环境安全、设备安全和介质安全3个方面。•1.5.2安全隔离•传统的以太网络，信息发送采用的是广播方式，实际上就给信息“共享”打开了通道，恶意攻击者只要能够进入局域网，就可能监听所有数据通信，窃取机密。•1．安全隔离的概念•安全隔离技术的目标是在确保把有害攻击隔离在可信网络之外，并保证可信网络内部信息不外泄的前提下，完成不同网络之间信息的安全交换和共享。到目前为止，安全隔离技术已经过了以下几个发展阶段：•·完全隔离。•·硬件卡隔离。•·数据转播隔离。•·空气开关隔离。•·安全通道隔离。•2．网络分段•网络分段是保证网络安全的一项基本措施，其宗旨是根据业务或分类级别的不同，将网络和用户分类隔离。通过设定不同的权限控制，防止越级越权对网络资源的非法访问。•网络分段有物理分段和逻辑分段两种方式。其中，物理分段通常是指将网络从物理层和数据链路层上分为若干网段，各网段之间无法进行直接通信。逻辑分段则是指将整个系统在网络层上进行分段。1.5.3访问控制•访问是使信息在不同设备之间流动的一种交互方式。访问控制决定了谁能够访问系统，能访问系统的何种资源以及如何使用这些资源。适当的访问控制能够阻止未经允许的用户有意或无意地获取数据。访问控制的手段包括用户识别代码、口令、登录控制、资源授权（例如用户配置文件、资源配置文件和控制列表）、授权核查、日志和审计。1.5.4加密通道•给网络通信提供加密通道，也是普遍使用的一项安全技术。随着技术的发展，目前加密通道可以建立在数据链路层、网络层、传输层甚至是应用层。•1．数据链路层加密•数据链路层加密可以使用专用的链路加密设备，其加密机制是点对点的加、解密。在通信链路两端，都应该配置链路加密设备，通过位于两端加密设备的协商配合来实现传输数据的加密和解密过程。•2．网络层加密•网络层加密通过网络层VPN技术来实现，最典型的就是IPSec。现在许多提供VPN功能的防火墙设备中都支持IPSec。•3．传输层加密•传输层加密通道可以采用SSL（SecureSocketLayer，安全套接层）和TLS（TransportLayerSecurity，传输层安全）技术。SSL是应用比较广泛的一种传输层安全协议，它介于应用层协议和TCP/IP之间，为传输层提供安全性保证。•4．应用层加密•应用层加密与具体的应用类型结合紧密，典型的有SHTTP、SMIME等。安全超文本传输协议（SHTTP）是面向消息的安全通信协议，可以为单个Web主页定义加密安全措施。而SMIME（SecureMultipurposeInternetMailExtensions，加密多用途Internet邮件扩展）则是一种电子邮件加密和数字签名技术。应用层加密还包括利用各种加密算法开发的加密程序1.5.5入侵检测•入侵检测（IntrusionDetection）技术是近年来发展迅速的一种安全技术。•入侵监