淺談計(jì)算機(jī)網(wǎng)絡(luò)安全及防火墻技術(shù)

杭同喜

摘要：伴隨著互聯(lián)網(wǎng)時代的到來，以信息技術(shù)為核心的計(jì)算機(jī)產(chǎn)業(yè)得到了極大的繁榮與發(fā)展，在社會生活之中的各個領(lǐng)域，計(jì)算機(jī)設(shè)備已經(jīng)得到了極為廣泛的普及應(yīng)用。然而伴隨著計(jì)算機(jī)應(yīng)用規(guī)模的不斷擴(kuò)大，相關(guān)的計(jì)算機(jī)網(wǎng)絡(luò)安全問題也變得日益嚴(yán)峻，目前已經(jīng)引起了社會各界的高度關(guān)注，因此就加強(qiáng)計(jì)算機(jī)網(wǎng)絡(luò)安全為題展開相關(guān)的研究工作，對于引導(dǎo)信息技術(shù)產(chǎn)業(yè)的良性發(fā)展，具有十分重大的現(xiàn)實(shí)意義。本文主要就計(jì)算機(jī)網(wǎng)絡(luò)的安全性與相關(guān)的防火墻技術(shù)展開了具體的探究，以期能夠給予相關(guān)的網(wǎng)絡(luò)安全防護(hù)提供以可供參考的內(nèi)容。

關(guān)鍵詞：計(jì)算機(jī)；網(wǎng)絡(luò)；安全；防火墻

中圖分類號：TP393 文獻(xiàn)標(biāo)識碼：A 文章編號：1009-3044（2016）16-0054-02

1 概述

網(wǎng)絡(luò)安全在廣義范圍內(nèi)通常被認(rèn)為是網(wǎng)絡(luò)系統(tǒng)之中到的軟件、硬件以及相關(guān)的數(shù)據(jù)信息能夠得到妥善的保護(hù)，而不會由于突發(fā)狀況或惡性攻擊而遭受破壞、泄露乃至于損毀，以使得系統(tǒng)能夠持續(xù)、穩(wěn)定的運(yùn)行，保障網(wǎng)絡(luò)服務(wù)不發(fā)生斷連。

針對網(wǎng)絡(luò)安全的內(nèi)涵闡述，存在有多種角度的解讀，比如從具體的用戶端而言，網(wǎng)絡(luò)安全的內(nèi)涵則重點(diǎn)偏向于個人隱私，或者是商業(yè)信息能夠在網(wǎng)絡(luò)環(huán)境的傳輸過程當(dāng)中，得到保密性與整體性的保護(hù)，要嚴(yán)禁避免所傳輸?shù)男畔?shù)據(jù)被認(rèn)為竊取、肆意篡改等情況的發(fā)生，并且將信息數(shù)據(jù)存儲與某項(xiàng)計(jì)算機(jī)系統(tǒng)當(dāng)中之時，要嚴(yán)格確保對非法入侵行為的防御。

從網(wǎng)絡(luò)運(yùn)營商以及管理人員的角度而言，在本地網(wǎng)絡(luò)環(huán)境之中的信息訪問等相關(guān)操作，均要確保有一定的保護(hù)及控制措施，嚴(yán)禁預(yù)防發(fā)生對于網(wǎng)絡(luò)資源的惡意占領(lǐng)、控制，以及拒絕服務(wù)等情況的出現(xiàn)，高效可靠的抵御網(wǎng)絡(luò)黑客的攻擊行為，這便是網(wǎng)絡(luò)運(yùn)營商及管理人員所需要做到的網(wǎng)絡(luò)安全部分。

針對國家政府機(jī)關(guān)的安全保密部門而言，網(wǎng)絡(luò)安全工作應(yīng)當(dāng)針對那些違法的、有損或者是牽涉到國家機(jī)密的信息內(nèi)容，予以必要的過濾及安全性防御，從而促使國家機(jī)密不會在網(wǎng)絡(luò)渠道發(fā)生泄密事件，同時也使得由此可能會造成的社會危害降至最低，避免國家經(jīng)濟(jì)受損。

2 網(wǎng)絡(luò)安全技術(shù)

網(wǎng)絡(luò)安全技術(shù)在最初設(shè)計(jì)之時，僅是考慮到了整體網(wǎng)絡(luò)的便捷性與開放性，而對于安全性考慮不足，因此也就導(dǎo)致了目前的網(wǎng)絡(luò)環(huán)境基礎(chǔ)較為脆弱，對于網(wǎng)絡(luò)攻擊的防御能力較差。對于在計(jì)算機(jī)安全領(lǐng)域大量的專業(yè)人士進(jìn)行了各種形式的安全研究，其中主要涵括了身份認(rèn)證、數(shù)據(jù)加密、安全審計(jì)、安全協(xié)議以及防火墻等多項(xiàng)安全措施。在這諸類安全技術(shù)當(dāng)中防火墻技術(shù)是確保網(wǎng)絡(luò)內(nèi)部安全最為行之有效的方法，防火墻技術(shù)融合了網(wǎng)絡(luò)、密碼、軟件以及ISO安全標(biāo)準(zhǔn)等多方面的安全技術(shù)。

在一般的概念理論之中，網(wǎng)絡(luò)安全技術(shù)大致可被劃分為下列三項(xiàng)：信息傳送技術(shù)、防火墻技術(shù)以及本地安全技術(shù)。其中信息傳送技術(shù)主要包含了信息加密、數(shù)字簽名以及信息發(fā)送的方式等諸多內(nèi)容，主要是由信息的安全傳送層面來進(jìn)行歸類劃分。而本地安全技術(shù)則涵括了審計(jì)跟蹤、訪問控制、弱項(xiàng)保護(hù)、病毒防御等。

3 防火墻技術(shù)

在眾多的網(wǎng)絡(luò)安全技術(shù)手段之中，防火墻技術(shù)無疑是最為關(guān)鍵的一項(xiàng)網(wǎng)絡(luò)安全核心技術(shù)。本段內(nèi)容將重點(diǎn)闡述一些防火墻技術(shù)的相關(guān)內(nèi)容，其中主要包括了信息傳送技術(shù)、包過濾技術(shù)、代理技術(shù)等。

1）信息傳送技術(shù)

在互聯(lián)網(wǎng)信息的包交換網(wǎng)絡(luò)之中，所有的信息內(nèi)容均會被分割為等量距離的數(shù)據(jù)系統(tǒng)，在每一段的數(shù)據(jù)系統(tǒng)之中通常會包含有IP源地址、目標(biāo)地址、內(nèi)部協(xié)議、目標(biāo)端口以及各種類型的消息路徑。在這些數(shù)據(jù)系統(tǒng)段落被傳輸至互聯(lián)網(wǎng)之后，相應(yīng)的接收系統(tǒng)防火墻會讀取IP地址，進(jìn)而選取一條物理路徑進(jìn)行數(shù)據(jù)輸送，等量數(shù)據(jù)段可能會由不同的物理路徑到達(dá)同一目標(biāo)地點(diǎn)，在所有數(shù)據(jù)段落到達(dá)目標(biāo)地點(diǎn)后再次進(jìn)行數(shù)據(jù)的重新組合，并最終促使數(shù)據(jù)復(fù)原。

2）包過濾技術(shù)

包過濾技術(shù)作為防火墻技術(shù)之中一項(xiàng)十分關(guān)鍵的技術(shù)內(nèi)容，其能夠借助于防火墻的隔離作用對于出入網(wǎng)絡(luò)的數(shù)據(jù)信息流加以控制與操作。信息系統(tǒng)的管理人員可設(shè)定相應(yīng)的規(guī)則系統(tǒng)，明確指出哪一類型部分的數(shù)據(jù)內(nèi)容能夠進(jìn)出內(nèi)部網(wǎng)絡(luò)系統(tǒng)；哪一部分的數(shù)據(jù)內(nèi)容在傳輸?shù)倪^程當(dāng)中應(yīng)當(dāng)對其實(shí)行攔截處理。目前的一些包過濾防火墻技術(shù)不但需要依據(jù)IP數(shù)據(jù)的具體地址、協(xié)議、端口、服務(wù)、時間等信息要素來采取相應(yīng)的訪問控制措施，并且還需要針對所有的網(wǎng)絡(luò)連接以及目前的會化妝與采取動態(tài)分析及監(jiān)管控制。包過濾防火墻載體可被安置于路由器當(dāng)中，因?yàn)榛诨ヂ?lián)網(wǎng)的網(wǎng)絡(luò)連接大多都需要應(yīng)用到路由器這一設(shè)備，因此Router也便成為了實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)部與外部環(huán)節(jié)互相通信的必由路徑，對于一項(xiàng)包過濾規(guī)則而言其安全程度及安裝的必要性是難以判斷的，因此在一些安全程度要求較為嚴(yán)格的使用環(huán)境中，通常還會增用一些其他的相關(guān)技術(shù)來確保安全防護(hù)的可靠性。

包過濾防火墻技術(shù)在實(shí)際的運(yùn)行過程之中，其中的包過濾模塊通常會于操作系統(tǒng)亦或路由器轉(zhuǎn)發(fā)包前將大部分的數(shù)據(jù)信息攔截下來。不僅需要檢驗(yàn)包過濾模塊是否達(dá)到了過濾標(biāo)準(zhǔn)的要求，同時還要做好對于攔截?cái)?shù)據(jù)的記錄工作。在通過檢驗(yàn)規(guī)則的數(shù)據(jù)信息可予以轉(zhuǎn)發(fā)處置，針對不符合規(guī)則要求的數(shù)據(jù)信息應(yīng)當(dāng)予以報(bào)警處置，并通知管理人員。如若沒有相應(yīng)的過濾標(biāo)準(zhǔn)，則可通過用戶所設(shè)置的缺省參數(shù)，來明確此項(xiàng)數(shù)據(jù)內(nèi)容應(yīng)當(dāng)予以通過審核亦或作舍棄處理。過濾的規(guī)則即為網(wǎng)絡(luò)系統(tǒng)的管理人員，根據(jù)自身部分制定出的安全策略所擬定的規(guī)則標(biāo)準(zhǔn)。在傳統(tǒng)的防火墻技術(shù)當(dāng)中，基于規(guī)則標(biāo)準(zhǔn)的防火墻過濾審核，從屬于同一連接方式之中的不同數(shù)據(jù)，且這些數(shù)據(jù)內(nèi)容之間不存在任何相關(guān)性，每一項(xiàng)數(shù)據(jù)信息都應(yīng)當(dāng)根據(jù)規(guī)則標(biāo)準(zhǔn)予以過濾處置，由此也便會使得系統(tǒng)的安全性審核過于冗雜；而采用包過濾防火墻技術(shù)能夠基于連接狀態(tài)實(shí)現(xiàn)包過濾檢查，使得從屬于相同連接境況下的數(shù)據(jù)包當(dāng)作一個整體數(shù)據(jù)包進(jìn)行處置，并借助于規(guī)則表以及連接狀態(tài)表的協(xié)同配合，極大提升了系統(tǒng)性能與安全性能。

3）代理技術(shù)

代理技術(shù)通常是指采用代理亦或代理服務(wù)器技術(shù)，具體可為一項(xiàng)代理內(nèi)部網(wǎng)絡(luò)的用戶，能夠和外部的網(wǎng)絡(luò)服務(wù)器實(shí)行信息的交互。代理技術(shù)能夠使內(nèi)部用戶所發(fā)出的請求在確認(rèn)以后傳送至外部服務(wù)器之中，并且也能夠?qū)⑼獠糠?wù)器的響應(yīng)再次傳輸至用戶端。

目前在一些包過濾防火墻技術(shù)之中，針對FTP、HTTP以及DNS等系統(tǒng)應(yīng)用均能夠做到代理服務(wù)。以上所說的代理服務(wù)內(nèi)容對于用戶而言是清晰可見的，即在用戶的意識當(dāng)中是感知不到防火墻的存在，便能夠安全的實(shí)現(xiàn)對于內(nèi)外部網(wǎng)絡(luò)的互相通信。在內(nèi)部網(wǎng)絡(luò)用戶需應(yīng)用透明代理進(jìn)行外部信息的訪問時，用戶無需進(jìn)行特殊設(shè)置，代理服務(wù)器會自行構(gòu)建透明路徑，使用戶能夠直接和外界進(jìn)行通信，此舉不僅能夠使得用戶在進(jìn)行信息獲取時獲得極大的便利性，同時也能夠最大程度的降低使用過程之中的錯誤問題，避免在防火墻的日常應(yīng)用過程中發(fā)生安全風(fēng)險(xiǎn)與錯誤問題。

代理服務(wù)器能夠?qū)?nèi)部的網(wǎng)絡(luò)細(xì)節(jié)予以屏蔽處理，從而使得相關(guān)的入侵人員無法獲取到系統(tǒng)的內(nèi)部結(jié)構(gòu)情況。并且通過對于某些特殊命令的屏蔽，能夠避免用戶會無意使用到對系統(tǒng)產(chǎn)生安全威脅的命令，最終實(shí)現(xiàn)從網(wǎng)絡(luò)底層避免攻擊行為的發(fā)生。

4 防火墻的構(gòu)建

傳統(tǒng)的包過濾防火墻系統(tǒng)，僅是依據(jù)所收集到的數(shù)據(jù)信息來進(jìn)行安全性評估，例如對于數(shù)據(jù)信息的源地址、目標(biāo)地址、TCP端口號，以及數(shù)據(jù)信息之中的各類過濾信息，而這些安全性評估評估內(nèi)容相對都是較為基礎(chǔ)的，因此較易遭受到病毒性的供給，例如源地址、源路由選取等病毒欺騙。據(jù)此應(yīng)當(dāng)采取一種新型的包過濾防火墻設(shè)計(jì)方式，以促使防火墻設(shè)備除了在對過濾數(shù)據(jù)進(jìn)行核查之外，同時也應(yīng)當(dāng)針對相關(guān)的路由設(shè)備予以檢查，將滿足于數(shù)據(jù)過濾規(guī)則卻未能夠通過路由安全檢測的數(shù)據(jù)包遺棄，以期最大程度的改善此類問題。

具體的防火墻構(gòu)建流程為：

首先，對于Linux內(nèi)核予以修改，使得其能夠具備路由記錄的功能。在Linux系統(tǒng)之中并不包含有支持IP數(shù)據(jù)包路由記錄功能，因而便需要對其內(nèi)核進(jìn)行修改處理。對于此種功能的實(shí)現(xiàn)需要給予IP程序之中的選項(xiàng)控制模塊，即build_options，因此應(yīng)當(dāng)對其采取相應(yīng)的修改，使之能夠具備路由記錄的功能。

其次，在Linux系統(tǒng)之中安裝以雙項(xiàng)網(wǎng)卡，并對路由進(jìn)行合理的設(shè)置。在Linux主機(jī)之中安排路由功能往往需要在主機(jī)當(dāng)中具備不低于兩個的網(wǎng)絡(luò)接口，在執(zhí)行具體的操作之時可能會發(fā)生Linux系統(tǒng)當(dāng)中以太網(wǎng)卡缺少自行檢測的功能，要解決這一功能性缺失問題，通常有兩類方法，第一，在加載程序文件/etc/lilo.conf文件之中設(shè)置：append=“ether=irq0，io-port0，eth0 ether=irql，io-portl，ethl”；而第二種修改方式為對內(nèi)核源程序進(jìn)行修改，將/usr/src/Linux/drivers/net/Space.c之中的ethl結(jié)構(gòu)進(jìn)行修改。

再次，構(gòu)建基于路由記錄基礎(chǔ)之上的包過濾防火墻軟件。此軟件的構(gòu)建從本質(zhì)上來說，即是在初始Linux系統(tǒng)的包過濾防火墻軟件基礎(chǔ)上進(jìn)行了一定的修改。這主要是由于Linux系統(tǒng)的內(nèi)核程序，其自身便是一項(xiàng)包過濾程序，且具備常規(guī)防火墻技術(shù)的優(yōu)勢特性，如：簡便、高效、功能強(qiáng)大，能夠依序系統(tǒng)的具體設(shè)定來執(zhí)行相關(guān)的安全策略，同時對于數(shù)據(jù)包內(nèi)容也能夠予以有效的過濾。

5 結(jié)束語

總之，伴隨著相關(guān)計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的持續(xù)發(fā)展，以及其應(yīng)用范圍的不斷擴(kuò)展，網(wǎng)絡(luò)技術(shù)在帶給人們極大便捷性的同時，也產(chǎn)生了一定的信息安全隱患。因?yàn)榫W(wǎng)絡(luò)系統(tǒng)的安全性不但與技術(shù)與管理兩方面存在著密切的相關(guān)性，并且也和網(wǎng)絡(luò)設(shè)備的日常應(yīng)用及維護(hù)具有一定的相關(guān)性。盡管當(dāng)前防火墻技術(shù)是預(yù)防惡意網(wǎng)絡(luò)入侵的主要手段，然而因?yàn)榫W(wǎng)絡(luò)安全是由多個方面的因素所決定的，所以單純的憑借防火墻技術(shù)顯然是不能夠滿足于人們對于網(wǎng)絡(luò)安全性的需要，因而，要想能夠給予用戶提供以更為優(yōu)秀的網(wǎng)絡(luò)安全服務(wù)，就必須要將網(wǎng)絡(luò)安全研究和相關(guān)的防火墻技術(shù)相結(jié)合，以期最終能夠?qū)崿F(xiàn)計(jì)算機(jī)網(wǎng)絡(luò)安全性的持續(xù)提升。

參考文獻(xiàn)：

[1] 鄒勇，白躍彬，趙銀亮，等.增強(qiáng)型包過濾防火墻規(guī)則的形式化及推理機(jī)的設(shè)計(jì)與實(shí)現(xiàn)[J].計(jì)算機(jī)研究與發(fā)展，2014（12）.

[2] 秦拯，厲怡君，歐露，等.一種基于SFDD 的狀態(tài)防火墻規(guī)則集比對方法[J].湖南大學(xué)學(xué)報(bào)：自然科學(xué)版，2014（10）.

[3] 秦拯，歐露，張大方，等.高吞吐量協(xié)作防火墻的雙向去冗余方法[J].湖南大學(xué)學(xué)報(bào)：自然科學(xué)版，2013（1）.