計(jì)算機(jī)網(wǎng)絡(luò)的危險(xiǎn)因素與安全策略研究

王 艷

摘要:計(jì)算機(jī)網(wǎng)絡(luò)的安全風(fēng)險(xiǎn),是指由于系統(tǒng)存在的脆弱性,人為或自然的威脅導(dǎo)致安全事件發(fā)生所造成的影響。隨著我站網(wǎng)絡(luò)的迅速普及,網(wǎng)絡(luò)安全問題越來越受重視。該文首先系統(tǒng)分析了計(jì)算機(jī)網(wǎng)絡(luò)的危險(xiǎn)因素,然后詳細(xì)探討計(jì)算機(jī)網(wǎng)絡(luò)的安全策略。

關(guān)鍵詞:計(jì)算機(jī)網(wǎng)絡(luò); 危險(xiǎn)因素; 安全策略

中圖分類號(hào):TP393文獻(xiàn)標(biāo)識(shí)碼:A 文章編號(hào):1009-3044(2009)14-3678-02

網(wǎng)絡(luò)安全從其本質(zhì)上來講就是網(wǎng)絡(luò)上的信息安全。它涉及的領(lǐng)域相當(dāng)廣泛。這是因?yàn)槟壳暗墓猛ㄐ啪W(wǎng)絡(luò)中存在著各種各樣的安全漏洞和威脅。從廣義來說,凡是涉及到網(wǎng)絡(luò)信息的保密性、完整性、可用性、真實(shí)性和可控性的相關(guān)技術(shù)和理論,都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域。計(jì)算機(jī)網(wǎng)絡(luò)安全的含義就是通過各種密碼技術(shù)和信息安全技術(shù),保護(hù)在通信網(wǎng)絡(luò)中傳輸、交換和存儲(chǔ)信息的機(jī)密性、完整性和真實(shí)性,并對(duì)信息的傳播及內(nèi)容有控制能力。網(wǎng)絡(luò)安全的結(jié)構(gòu)層次包括物理安全、安全控制和安全服務(wù)。

1 計(jì)算機(jī)網(wǎng)絡(luò)的危險(xiǎn)因素

1.1 威脅網(wǎng)絡(luò)安全的主要因素

計(jì)算機(jī)網(wǎng)絡(luò)安全受到的威脅包括:

1)“黑客”的攻擊:利用UNIX系統(tǒng)提供的Telnet Daemon、FTPd、Remote Exee Daemon等默認(rèn)賬戶進(jìn)行攻擊;利用UNIX系統(tǒng)提供的Finger、RuserS收集的信息進(jìn)行攻擊;利用FTP、NFS、Rlogin等進(jìn)行攻擊;

2)計(jì)算機(jī)病毒和拒絕服務(wù)攻擊;

3)威脅的類型:非授權(quán)訪問。這主要的是指對(duì)網(wǎng)絡(luò)設(shè)備以及信息資源進(jìn)行非正常使用或超越權(quán)限使用;假冒合法用戶。主要指利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán),以達(dá)到占用合法用戶資源的目的;數(shù)據(jù)完整性受破壞;干擾系統(tǒng)的正常運(yùn)行,改變系統(tǒng)正常運(yùn)行的方向,以及延時(shí)系統(tǒng)的響應(yīng)時(shí)間;病毒;通信線路被竊聽等;

4)操作系統(tǒng)的脆弱性。

操作系統(tǒng)支持的程序動(dòng)態(tài)連接與數(shù)據(jù)動(dòng)態(tài)交換是現(xiàn)代系統(tǒng)集成和系統(tǒng)擴(kuò)展的必備功能,而動(dòng)態(tài)連接、I/O程序與系統(tǒng)服務(wù)、打補(bǔ)丁升級(jí)可被黑客利用,滋生病毒。操作系統(tǒng)可能創(chuàng)建進(jìn)程,即使在網(wǎng)絡(luò)的節(jié)點(diǎn)上同樣也可以進(jìn)行遠(yuǎn)程進(jìn)程的創(chuàng)建與激活,且該進(jìn)程有繼續(xù)創(chuàng)建進(jìn)程的權(quán)力,加上操作系統(tǒng)支持在網(wǎng)絡(luò)上傳輸文件,在網(wǎng)絡(luò)上能加載程序,二者結(jié)合起來就可以在遠(yuǎn)端服務(wù)器上安裝“間諜”軟件,常以打補(bǔ)丁的方式“打”入合法用戶(尤其是在特權(quán)用戶)以躲避監(jiān)測(cè)。守護(hù)進(jìn)程Daemon具有操作系統(tǒng)核心層軟件同等權(quán)力,會(huì)被黑客利用。網(wǎng)絡(luò)操作系統(tǒng)提供的遠(yuǎn)程過程調(diào)用(RPC)服務(wù)以及它所安排的無口令入口也是黑客的通道。

不管是什么樣的網(wǎng)絡(luò)系統(tǒng)都離不開人的管理,但大多數(shù)網(wǎng)絡(luò)系統(tǒng)缺少安全管理員,特別是高素質(zhì)的網(wǎng)絡(luò)管理員。此外,缺少網(wǎng)絡(luò)安全管理的技術(shù)規(guī)范,缺少定期的安全測(cè)試與檢查,更缺少安全監(jiān)控。令人擔(dān)憂的是許多網(wǎng)絡(luò)系統(tǒng)已使用多年,但網(wǎng)絡(luò)管理員與用戶的注冊(cè)、口令等還是處于默認(rèn)狀態(tài)。

1.2 來自外部各種威脅

物理威脅:物理安全是指用以保護(hù)計(jì)算機(jī)硬件和存儲(chǔ)介質(zhì)的裝置與工作程序,常見的物理威脅有偷竊、廢物搜尋和間諜活動(dòng)。

網(wǎng)絡(luò)威脅:網(wǎng)絡(luò)威脅常見的有:電子竊聽、撥號(hào)入網(wǎng)、假冒。

身份鑒別:身份識(shí)別普遍存在于計(jì)算機(jī)系統(tǒng)中,最簡(jiǎn)單的形式是口令,但是口令是脆弱的鑒別手段,黑客可以設(shè)法破解口令,如安排口令圈套(模仿登錄界面)套取口令;用密碼字典或其他工具軟件來破解口令,或者破壞口令算法(使用超長的字符串)。

編制程序:主要是病毒、蠕蟲、特洛伊木馬、宏病毒等通過不同的方式進(jìn)入用戶的系統(tǒng)。

系統(tǒng)漏洞:主要是后門backdoor(如VMS操作系統(tǒng)、一些BIOS的萬能密碼)和源代碼漏洞。

2 計(jì)算機(jī)網(wǎng)絡(luò)的安全策略

2.1 物理安全策略

物理安全策略的目的是保護(hù)計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機(jī)等硬件實(shí)體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊:驗(yàn)證用戶的身份和使用權(quán)限,防止用戶越權(quán)操作;確保計(jì)算機(jī)系統(tǒng)有一個(gè)良好的電磁兼容工作環(huán)境;建立完備的安全管理制度,防止非法進(jìn)入計(jì)算機(jī)控制室和各種偷竊、破壞活動(dòng)的發(fā)生。抵制和防止電磁泄露是物理安全策略的一個(gè)主要問題。目前主要防護(hù)措施有兩類,一類是對(duì)傳導(dǎo)輻射的防護(hù),主要采取對(duì)電源線和信號(hào)線加裝性能良好的濾波器,減小傳輸阻抗和導(dǎo)線間的交叉禍合。另一類是對(duì)輻射的防護(hù),這類防護(hù)措施又可分為以下的兩種:一是采用各種電磁屏蔽措施,如對(duì)設(shè)備的金屬屏蔽和各種接插件的屏蔽,同時(shí)對(duì)機(jī)房的下水管、暖氣管和金屬門窗進(jìn)行屏蔽和隔離;二是干擾的防護(hù)措施,即在計(jì)算機(jī)系統(tǒng)工作的同時(shí),利用干擾裝置產(chǎn)生一種與計(jì)算機(jī)系統(tǒng)輻射相關(guān)的偽噪聲向空間輻射來掩蓋計(jì)算機(jī)系統(tǒng)的工作頻率和信息特征。

2.2 訪問控制策略

訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略,它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和異常訪問。它也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護(hù)作用,但訪問控制可以說是保證網(wǎng)絡(luò)安全最重要的核心策略之一。

1)入網(wǎng)訪問控制

入網(wǎng)訪問控制為網(wǎng)絡(luò)訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源,控制準(zhǔn)許用戶入網(wǎng)的時(shí)間和準(zhǔn)許他們?cè)谀呐_(tái)工作站入網(wǎng)。用戶的入網(wǎng)訪問控制可分為三個(gè)步驟:用戶名的識(shí)別與驗(yàn)證、用戶口令的識(shí)別與驗(yàn)證、用戶賬號(hào)的默認(rèn)限制檢查。

對(duì)網(wǎng)絡(luò)用戶的用戶名和口令進(jìn)行驗(yàn)證是防止非法訪問的第一道防線。用戶注冊(cè)時(shí)首先輸入用戶名和口令,服務(wù)器將驗(yàn)證所輸入的用戶名是否合法。如果驗(yàn)證合法,才繼續(xù)驗(yàn)證用戶輸入的口令,否則,用戶將被拒之網(wǎng)絡(luò)之外。用戶名和口令驗(yàn)證有效之后,再進(jìn)一步履行用戶賬號(hào)的默認(rèn)限制用戶入網(wǎng)的工作站數(shù)量。當(dāng)用戶對(duì)交費(fèi)網(wǎng)絡(luò)的訪問“交費(fèi)”用盡時(shí),網(wǎng)絡(luò)還應(yīng)能對(duì)用戶的賬號(hào)加以限制,用戶此時(shí)應(yīng)無法進(jìn)入網(wǎng)絡(luò)訪問資源。網(wǎng)絡(luò)應(yīng)對(duì)所有用戶的訪問進(jìn)行審計(jì)。如果多次輸入口令不正確,則是認(rèn)為是非法用戶的入侵,應(yīng)給出報(bào)警信息。

2)網(wǎng)絡(luò)的權(quán)限控制

網(wǎng)絡(luò)的權(quán)限控制是針對(duì)網(wǎng)絡(luò)非法操作所提出的一種安全保護(hù)措施。用戶和用戶組被賦予一定的權(quán)限,以控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源,可以指定用戶對(duì)這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作。受托者指派和繼承權(quán)限屏蔽(IRM)可作為其兩種實(shí)現(xiàn)方式。受托者指派控制用戶和用戶組如何使用網(wǎng)絡(luò)服務(wù)器的目錄、文件和設(shè)備。繼承權(quán)限屏蔽相當(dāng)于一個(gè)過濾器,可以限制子目錄從父目錄那里繼承哪些權(quán)限。我們可以根據(jù)訪問權(quán)限將用戶分為以下幾類:特殊用戶(即系統(tǒng)管理員);一般用戶,系統(tǒng)管理員根據(jù)他們的實(shí)際需要為他們分配操作權(quán)限;審計(jì)用戶,負(fù)責(zé)網(wǎng)絡(luò)的安全控制與資源使用情況的審計(jì)。用戶對(duì)網(wǎng)絡(luò)資源的訪問權(quán)限可以用一個(gè)訪問控制表來描述。

3)目錄級(jí)安全控制

網(wǎng)絡(luò)應(yīng)允許控制用戶對(duì)目錄、文件、設(shè)備的訪問。用戶在目錄一級(jí)指定的權(quán)限對(duì)所有文件和子目錄有效,用戶還可進(jìn)一步指定對(duì)目錄下的子目錄和文件的權(quán)限。對(duì)目錄和文件的訪問權(quán)限一般有8種:系統(tǒng)管理員權(quán)限(SuPervisor)、讀權(quán)限(Read)、寫權(quán)限(Write)、創(chuàng)建權(quán)限(Create)、刪除權(quán)限(Erase)、修改權(quán)限(Modify)、文件查找權(quán)限(FileSean)、存取控制權(quán)限(AeeeSSControl)。用戶對(duì)文件或目標(biāo)的有效權(quán)限取決于三個(gè)因素:用戶的受托者指派、用戶所在組的受托者指派、繼承權(quán)限屏蔽取消的用戶權(quán)限。一個(gè)網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)當(dāng)為用戶指定適當(dāng)?shù)脑L問權(quán)限,這些訪問權(quán)限控制著用戶對(duì)服務(wù)器的訪問。8種訪問權(quán)限的有效組合可以讓用戶有效地完成工作,同時(shí)又能有效地控制用戶對(duì)服務(wù)器資源的訪問,從而加強(qiáng)網(wǎng)絡(luò)和服務(wù)器的安全性。

4)網(wǎng)絡(luò)服務(wù)器安全控制

網(wǎng)絡(luò)允許在服務(wù)器控制臺(tái)上執(zhí)行一系列操作。用戶使用控制臺(tái)可以裝載和卸載模塊,可以安裝和刪除軟件等操作。網(wǎng)絡(luò)服務(wù)器的安全控制包括可以設(shè)置口令鎖定服務(wù)器控制臺(tái),以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù);可以設(shè)定服務(wù)器登錄時(shí)間限制、非法訪問者檢測(cè)和關(guān)閉的時(shí)間間隔。

2.3 防火墻控制

防火墻是近期發(fā)展起來的一種保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)安全的技術(shù)性措施,它是一個(gè)用以阻止網(wǎng)絡(luò)中的黑客訪問某個(gè)機(jī)構(gòu)網(wǎng)絡(luò)的屏障,也可稱之為控制進(jìn)/出兩個(gè)方向通信的門檻。在網(wǎng)絡(luò)邊界上通過建立相應(yīng)網(wǎng)絡(luò)通信監(jiān)控系統(tǒng)來隔離內(nèi)部和外部網(wǎng)絡(luò),以阻擋外部網(wǎng)絡(luò)的入侵。目前的防火墻主要有以下三種類型:

1)包過濾防火墻:包過濾防火墻設(shè)置在網(wǎng)絡(luò)層,可以在路由器上實(shí)現(xiàn)包過濾。首先應(yīng)建立一定數(shù)量的信息過濾表,信息過濾表是以其收到的數(shù)據(jù)包頭信息為基礎(chǔ)而建成的。信息包頭含有數(shù)據(jù)包源IP地址、目的工P地址、傳輸協(xié)議類型(TCP、UDP、工CMP等)、協(xié)議源端口號(hào)、協(xié)議目的端口號(hào)、連接請(qǐng)示方向、ICMP報(bào)文類型等。當(dāng)一個(gè)數(shù)據(jù)包滿足過濾表中的規(guī)則時(shí),則允許數(shù)據(jù)包通過,否則禁止通過。這種防火墻可以用于禁止外部不合法用戶對(duì)內(nèi)部的訪問,也可以用來禁止訪問某些服務(wù)類型。但包過濾技術(shù)不能識(shí)別有危險(xiǎn)的信息包,無法實(shí)施對(duì)應(yīng)用級(jí)協(xié)議的處理,也無法處理UDP、RPC或動(dòng)態(tài)的協(xié)議。

2)代理防火墻:代理防火墻又稱應(yīng)用層網(wǎng)關(guān)級(jí)防火墻,它由代理服務(wù)器和過濾路由器組成,是目前較流行的一種防火墻。它將過濾路由器和軟件代理技術(shù)結(jié)合在一起。過濾路由器負(fù)責(zé)網(wǎng)絡(luò)互聯(lián),并對(duì)數(shù)據(jù)進(jìn)行嚴(yán)格選擇,然后將篩選過的數(shù)據(jù)傳送給代理服務(wù)器。代理服務(wù)器起到外部網(wǎng)絡(luò)申請(qǐng)?jiān)L問內(nèi)部網(wǎng)絡(luò)的中間轉(zhuǎn)接作用,其功能類似于一個(gè)數(shù)據(jù)轉(zhuǎn)發(fā)器,它主要控制哪些用戶能訪問哪些服務(wù)類型。當(dāng)外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請(qǐng)某種網(wǎng)絡(luò)服務(wù)時(shí),代理服務(wù)器接受申請(qǐng),然后它根據(jù)其服務(wù)類型、服務(wù)內(nèi)容、被服務(wù)的對(duì)象、服務(wù)者申請(qǐng)的時(shí)間、申請(qǐng)者的域名范圍等來決定是否接受此項(xiàng)服務(wù),如果接受,它就向內(nèi)部網(wǎng)絡(luò)轉(zhuǎn)發(fā)這項(xiàng)請(qǐng)求。代理防火墻無法快速支持一些新出現(xiàn)的業(yè)務(wù)(如多媒體)。

3)雙穴主機(jī)防火墻:該防火墻是用主機(jī)來執(zhí)行安全控制功能。一臺(tái)雙穴主機(jī)配有多個(gè)網(wǎng)卡,分別連接不同的網(wǎng)絡(luò)。雙穴主機(jī)從一個(gè)網(wǎng)絡(luò)收集數(shù)據(jù),并且有選擇地把它發(fā)送到另一個(gè)網(wǎng)絡(luò)上。網(wǎng)絡(luò)服務(wù)由雙穴主機(jī)上的服務(wù)代理來提供。內(nèi)部網(wǎng)和外部網(wǎng)的用戶可通過雙穴主機(jī)的共享數(shù)據(jù)區(qū)傳遞數(shù)據(jù),從而保護(hù)了內(nèi)部網(wǎng)絡(luò)不被非法訪問。

參考文獻(xiàn):

[1] 彭靜,章軍祥,田萍芳. 計(jì)算機(jī)網(wǎng)絡(luò)化管理與安全設(shè)計(jì)[J].計(jì)算機(jī)與數(shù)字工程, 2007,(5) .

[2] 王道乾. 校園網(wǎng)絡(luò)安全策略分析[J].科技資訊, 2006,(31) .

[3] 胡海清,陳海涵. 校園網(wǎng)安全防護(hù)體系的構(gòu)建[J].中國科技信息, 2006,(14) .

[4] 張玉龍,張彥珍,王大龍. 計(jì)算機(jī)網(wǎng)絡(luò)的風(fēng)險(xiǎn)分析與對(duì)策[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用, 2006,(1) .