淺談計算機(jī)網(wǎng)絡(luò)信息安全的策略

李時

【摘 要】眾所周知，作為全球使用范圍最大的信息網(wǎng)，Internet自身協(xié)議的開放性極大地方便了各種聯(lián)網(wǎng)的計算機(jī)，拓寬了共享資源。但是，由于在早期網(wǎng)絡(luò)協(xié)議設(shè)計上對安全問題的忽視，以及在管理和使用上的無政府狀態(tài)，逐漸使Internet自身安全受到嚴(yán)重威脅，與它有關(guān)的安全事故屢有發(fā)生。對網(wǎng)絡(luò)信息安全的威脅主要表現(xiàn)在：非授權(quán)訪問，冒充合法用戶，破壞數(shù)據(jù)完整性，干擾系統(tǒng)正常運行，利用網(wǎng)絡(luò)傳播病毒，線路竊聽等方面。

【關(guān)鍵詞】網(wǎng)絡(luò)信息安全 防火墻 數(shù)據(jù)加密 內(nèi)部網(wǎng)

【中圖分類號】TP393.08【文獻(xiàn)標(biāo)識碼】A【文章編號】1672-5158（2013）02-0115-01

“防火墻”是一種形象的說法，其實它是一種由計算機(jī)硬件和軟件的組合，使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個安全網(wǎng)關(guān)（security gateway），從而保護(hù)內(nèi)部網(wǎng)免受非法用戶的侵入，它其實就是一個把互聯(lián)網(wǎng)與內(nèi)部網(wǎng)（通常指局域網(wǎng)或城域網(wǎng)）隔開的屏障。

防火墻的技術(shù)實現(xiàn)通常是基于所謂“包過濾”技術(shù)，而進(jìn)行包過濾的標(biāo)準(zhǔn)通常就是根據(jù)安全策略制定的。在防火墻產(chǎn)品中，包過濾的標(biāo)準(zhǔn)一般是靠網(wǎng)絡(luò)管理員在防火墻設(shè)備的訪問控制清單中設(shè)定。訪問控制一般基于的標(biāo)準(zhǔn)有：包的源地址、包的目的地址、連接請求的方向（連入或連出）、數(shù)據(jù)包協(xié)議（如TCP/IP等）以及服務(wù)請求的類型（如ftp、www等）等。

網(wǎng)絡(luò)的安全性通常是以網(wǎng)絡(luò)服務(wù)的開放性、便利性、靈活性為代價的，對防火墻的設(shè)置也不例外。防火墻的隔斷作用一方面加強(qiáng)了內(nèi)部網(wǎng)絡(luò)的安全，一方面卻使內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的信息系統(tǒng)交流受到阻礙，因此必須在防火墻上附加各種信息服務(wù)的代理軟件來代理內(nèi)部網(wǎng)絡(luò)與外部的信息交流，這樣不僅增大了網(wǎng)絡(luò)管理開銷，而且減慢了信息傳遞速率。針對這個問題，近期，美國網(wǎng)屏（NetScreen）技術(shù)公司推出了第三代防火墻，其內(nèi)置的專用ASIC處理器用于提供硬件的防火墻訪問策略和數(shù)據(jù)加密算法的處理，使防火墻的性能大大提高。

目前最常用的加密技術(shù)有對稱加密技術(shù)和非對稱加密技術(shù)。對稱加密技術(shù)是指同時運用一個密鑰進(jìn)行加密和解密，非對稱加密技術(shù)就是加密和解密所用的密鑰不一樣，它有一對密鑰，分別稱為“公鑰”和“私鑰”，這兩個密鑰必須配對使用，也就是說用公鑰加密的文件必須用相應(yīng)人的私鑰才能解密，反之亦然。

身份驗證是一致性驗證的一種，驗證是建立一致性證明的一種手段。身份驗證主要包括驗證依據(jù)、驗證系統(tǒng)和安全要求。身份驗證技術(shù)是在計算機(jī)中最早應(yīng)用的安全技術(shù)，現(xiàn)在也仍在廣泛應(yīng)用，它是互聯(lián)網(wǎng)信息安全的第一道屏障。

存取控制規(guī)定何種主體對何種客體具有何種操作權(quán)力。存取控制是網(wǎng)絡(luò)安全理論的重要方面，主要包括人員限制、數(shù)據(jù)標(biāo)識、權(quán)限控制、類型控制和風(fēng)險分析。存取控制也是最早采用的安全技術(shù)之一，它一般與身份驗證技術(shù)一起使用，賦予不同身份的用戶以不同的操作權(quán)限，以實現(xiàn)不同安全級別的信息分級管理。

網(wǎng)絡(luò)中的安全漏洞無處不在。即便舊的安全漏洞補(bǔ)上了，新的安全漏洞又將不斷涌現(xiàn)。網(wǎng)絡(luò)攻擊正是利用這些存在的漏洞和安全缺陷對系統(tǒng)和資源進(jìn)行攻擊。

普通攻擊者都會利用別人的電腦隱藏他們真實的IP地址。老練的攻擊者還會利用800電話的無人轉(zhuǎn)接服務(wù)聯(lián)接ISP，然后再盜用他人的帳號上網(wǎng)。

攻擊者首先要尋找目標(biāo)主機(jī)并分析目標(biāo)主機(jī)。在Internet上能真正標(biāo)識主機(jī)的是IP地址，域名是為了便于記憶主機(jī)的IP地址而另起的名字，只要利用域名和IP地址就可以順利地找到目標(biāo)主機(jī)。此時，攻擊者們會使用一些掃描器工具，輕松獲取目標(biāo)主機(jī)運行的是哪種操作系統(tǒng)的哪個版本，系統(tǒng)有哪些帳戶，WWW、FTP、Telnet、SMTP等服務(wù)器程序是何種版本等資料，為入侵作好充分的準(zhǔn)備。

攻擊者要想入侵一臺主機(jī)，首先要有該主機(jī)的一個帳號和密碼，否則連登錄都無法進(jìn)行。這樣常迫使他們先設(shè)法盜竊帳戶文件，進(jìn)行破解，從中獲取某用戶的帳戶和口令，再尋覓合適時機(jī)以此身份進(jìn)入主機(jī)。當(dāng)然，利用某些工具或系統(tǒng)漏洞登錄主機(jī)也是攻擊者常用的一種技法。

所謂口令入侵是指使用某些合法用戶的帳號和口令登錄到目的主機(jī)，然后再實施攻擊活動。這種方法的前提是必須先得到該主機(jī)上的某個合法用戶的帳號，然后再進(jìn)行合法用戶口令的破譯。

特洛伊木馬程序可以直接侵入用戶的電腦并進(jìn)行破壞，它常被偽裝成工具程序或者游戲等誘使用戶打開帶有特洛伊木馬程序的郵件附件或從網(wǎng)上直接下載，一旦用戶打開了這些郵件的附件或者執(zhí)行了這些程序之后，它們就會象古特洛伊人在敵人城外留下的藏滿士兵的木馬一樣留在自己的電腦中，并在自己的計算機(jī)系統(tǒng)中隱藏一個可以在windows啟動時悄悄執(zhí)行的程序。當(dāng)您連接到因特網(wǎng)上時，這個程序就會通知攻擊者，來報告您的IP地址以及預(yù)先設(shè)定的端口。攻擊者在收到這些信息后，再利用這個潛伏在其中的程序，就可以任意地修改你的計算機(jī)的參數(shù)設(shè)定、復(fù)制文件、窺視你整個硬盤中的內(nèi)容等，從而達(dá)到控制你的計算機(jī)的目的。

在網(wǎng)上用戶可以利用IE等瀏覽器進(jìn)行各種各樣的WEB站點的訪問，如閱讀新聞組、咨詢產(chǎn)品價格、訂閱報紙、電子商務(wù)等。然而一般的用戶恐怕不會想到有這些問題存在：正在訪問的網(wǎng)頁已經(jīng)被黑客篡改過，網(wǎng)頁上的信息是虛假的！例如黑客將用戶要瀏覽的網(wǎng)頁的URL改寫為指向黑客自己的服務(wù)器，當(dāng)用戶瀏覽目標(biāo)網(wǎng)頁的時候，實際上是向黑客服務(wù)器發(fā)出請求，那么黑客就可以達(dá)到欺騙的目的了。

許多系統(tǒng)都有這樣那樣的安全漏洞（Bugs）。其中一些是操作系統(tǒng)或應(yīng)用軟件本身具有的。如緩沖區(qū)溢出攻擊。由于很多系統(tǒng)在不檢查程序與緩沖之間變化的情況，就任意接受任意長度的數(shù)據(jù)輸入，把溢出的數(shù)據(jù)放在堆棧里，系統(tǒng)還照常執(zhí)行命令。這樣攻擊者只要發(fā)送超出緩沖區(qū)所能處理的長度的指令，系統(tǒng)便進(jìn)入不穩(wěn)定狀態(tài)。若攻擊者特別配置一串準(zhǔn)備用作攻擊的字符，他甚至可以訪問根目錄，從而擁有對整個網(wǎng)絡(luò)的絕對控制權(quán)。

在對網(wǎng)絡(luò)攻擊進(jìn)行上述分析與識別的基礎(chǔ)上，我們應(yīng)當(dāng)認(rèn)真制定有針對性的策略。明確安全對象，設(shè)置強(qiáng)有力的安全保障體系。有的放矢，在網(wǎng)絡(luò)中層層設(shè)防，發(fā)揮網(wǎng)絡(luò)的每層作用，使每一層都成為一道關(guān)卡，從而讓攻擊者無隙可鉆、無計可使。還必須做到未雨綢繆，預(yù)防為主，將重要的數(shù)據(jù)備份并時刻注意系統(tǒng)運行狀況。

防火墻是一個用以阻止網(wǎng)絡(luò)中的黑客訪問某個機(jī)構(gòu)網(wǎng)絡(luò)的屏障，也可稱之為控制進(jìn)/出兩個方向通信的門檻。在網(wǎng)絡(luò)邊界上通過建立起來的相應(yīng)網(wǎng)絡(luò)通信監(jiān)控系統(tǒng)來隔離內(nèi)部和外部網(wǎng)絡(luò)，以阻檔外部網(wǎng)絡(luò)的侵入。

保護(hù)自己的IP地址是很重要的。事實上，即便你的機(jī)器上被安裝了木馬程序，若沒有你的IP地址，攻擊者也是沒有辦法的，而保護(hù)IP地址的最好方法就是設(shè)置代理服務(wù)器。代理服務(wù)器能起到外部網(wǎng)絡(luò)申請訪問內(nèi)部網(wǎng)絡(luò)的中間轉(zhuǎn)接作用，其功能類似于一個數(shù)據(jù)轉(zhuǎn)發(fā)器，它主要控制哪些用戶能訪問哪些服務(wù)類型。當(dāng)外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請某種網(wǎng)絡(luò)服務(wù)時，代理服務(wù)器接受申請，然后它根據(jù)其服務(wù)類型、服務(wù)內(nèi)容、被服務(wù)的對象、服務(wù)者申請的時間、申請者的域名范圍等來決定是否接受此項服務(wù)，如果接受，它就向內(nèi)部網(wǎng)絡(luò)轉(zhuǎn)發(fā)這項請求。

定時更新防毒組件，將防毒軟件保持在常駐狀態(tài)，以徹底防毒。

由于黑客經(jīng)常會針對特定的日期發(fā)動攻擊，計算機(jī)用戶在此期間應(yīng)特別提高警戒。

對于重要的個人資料做好嚴(yán)密的保護(hù)，并養(yǎng)成資料備份的習(xí)慣。

建立規(guī)范的網(wǎng)絡(luò)秩序，需要不斷完善法制，探索網(wǎng)絡(luò)空間所體現(xiàn)的需求和原則，為規(guī)范網(wǎng)絡(luò)空間秩序確定法律框架；建立規(guī)范的網(wǎng)絡(luò)秩序，還要在道德和文化層面確定每個使用網(wǎng)絡(luò)者的義務(wù)，每個人必須對其網(wǎng)絡(luò)行為承擔(dān)法律和道德責(zé)任是規(guī)范網(wǎng)絡(luò)秩序的一個重要準(zhǔn)則；建立規(guī)范的網(wǎng)絡(luò)秩序，需要在法制基礎(chǔ)上建立打擊各類網(wǎng)絡(luò)犯罪有效機(jī)制和手段。