淺析計算機網(wǎng)絡(luò)工程安全問題及其解決方法

馬調(diào)調(diào) 顏驍

摘 要：隨著計算機技術(shù)的普及，計算機網(wǎng)絡(luò)已經(jīng)遍布現(xiàn)代人類生活的各個角落，無時無刻不在影響著人們的生活。計算機網(wǎng)絡(luò)的發(fā)展豐富了人們的生活，提高了人們的生活質(zhì)量。但計算機網(wǎng)絡(luò)工程的安全問題對人們的隱私信息構(gòu)成了嚴(yán)重的威脅，只有有效解決這些潛在的風(fēng)險，才能促進計算機網(wǎng)絡(luò)的健康發(fā)展。本文對計算機網(wǎng)絡(luò)工程安全的發(fā)展現(xiàn)狀進行了分析，并提出了幾點解決方法和策略。

當(dāng)代信息時代的發(fā)展，計算機網(wǎng)絡(luò)逐漸滲透到人民生活的各個角落，每時每刻都在影響著人們的生活，同時也為改善和豐富人們的生活起到了至關(guān)重要的作用，但是計算機網(wǎng)絡(luò)工程安全的問題也對人們的生活構(gòu)成了威脅。本文章淺談網(wǎng)絡(luò)工程安全現(xiàn)狀，提出了幾點建議與對策。

關(guān)鍵詞：計算機；網(wǎng)絡(luò)信息工程；安全問題；解決方法

近些年網(wǎng)絡(luò)工程安全的攻擊手段越來越厲害，而隨著自動化程度和速度的提高，工具也變得越來越復(fù)雜，系統(tǒng)安全漏洞越來越多，攻擊網(wǎng)絡(luò)基礎(chǔ)設(shè)施的威脅也越來越大。所以網(wǎng)絡(luò)工程安全的建設(shè)迫在眉睫。

1 國內(nèi)近幾年網(wǎng)絡(luò)工程安全現(xiàn)狀

1.1 計算機病毒泛濫

現(xiàn)在編程工具軟件的人性化設(shè)計使得人們學(xué)習(xí)編程變得越來越簡單，而那些網(wǎng)絡(luò)黑客的手段更是一流，幾乎每一秒鐘世界上就產(chǎn)生一種計算機病毒。那些病毒加載在網(wǎng)頁插件上，讓人們無形中就把病毒程序下載到自己的電腦中。而那些病毒在潛伏時期會隱藏自己，讓人們根本無法發(fā)現(xiàn)它的存在，就像定時炸彈一樣，到了它預(yù)先設(shè)計好的時間，就會一下子發(fā)作，人們根本無法控制。

1.2 木馬程序帶來安全保密方面的隱患

木馬病毒也是計算機病毒的一種，但它不像一般病毒一樣自我復(fù)制繁殖，它只是向種植木馬病毒者提供一個門戶，能讓種植木馬病毒的人自由復(fù)制而破壞被感染木馬病毒的計算機內(nèi)的任意文件，甚至遠程操控該計算機。那么該計算機存儲的個人信息、保密文件等任何隱私情況都會被竊取，而它所帶來的危害是無法估計的。

1.3 洪流攻擊

在黑客攻擊的手段分類中，易受黑客攻擊的屬于洪流攻擊。遭受洪流攻擊的大多數(shù)是服 務(wù)器，黑客通過木馬病毒控制幾十、幾百甚至幾千臺計算機，然后遠程控制被控機向同一臺服務(wù)器同時發(fā)出連接請求，占用公共端口，使得其他真正有需要的用戶不能訪問該服務(wù)器，從而使得該服務(wù)器不能正常的工作。比較普遍的洪流攻擊像 TCPSYN 洪流攻擊、ARP 洪流攻擊、ICMP 洪流攻擊等。

1.4 垃圾郵件阻塞網(wǎng)絡(luò)

當(dāng)我們打開個人郵箱時，總會發(fā)現(xiàn)郵箱內(nèi)填滿了各式各樣的莫名其妙的郵件，占用內(nèi)存和網(wǎng)絡(luò)帶寬，嚴(yán)重影響網(wǎng)絡(luò)質(zhì)量。而郵件地址的獲得途徑多種多樣，比如人工收集、各類信箱自動收集機、垃圾信制造者之間的交易、郵件列表等，讓人們防不勝防，只能不隨便打開這些來歷不明的郵件來避免受到侵害。

2 計算機網(wǎng)絡(luò)工程安全防護策略的手段

2.1 數(shù)據(jù)存儲時的防護策略

當(dāng)數(shù)據(jù)存儲在用戶主機或系統(tǒng)服務(wù)器時，為了保證數(shù)據(jù)不受到外部不明入侵者的竊取和損害，我們必須在系統(tǒng)和外部網(wǎng)絡(luò)的接口處安裝某種機制，檢測外部用戶的安全性，解決請求是否合法、內(nèi)部用戶是否向外部非法用戶傳遞機密不可共享性文件等問題。并在此同時保證內(nèi)外部用戶之間正常合法的通信質(zhì)量。

2.1.1 入侵檢測系統(tǒng)（IDS）

入侵檢測系統(tǒng)是一種實時監(jiān)測網(wǎng)絡(luò)通信的網(wǎng)絡(luò)安全設(shè)備，根據(jù)設(shè)備安裝位置可分為基于主機的 IDS 和基于網(wǎng)絡(luò)的 IDS?；谥鳈C的 IDS 安裝在主機與網(wǎng)絡(luò)接口處，該設(shè)備一般只是保護單一用戶，配置簡單。但在用戶數(shù)量較大的時候，網(wǎng)絡(luò)設(shè)備升級較為麻煩?；诰W(wǎng)絡(luò)的 IDS 一般配置在內(nèi)部可信任網(wǎng)絡(luò)與外部不可信任網(wǎng)絡(luò)的接口處，它可以保護整個內(nèi)部網(wǎng)絡(luò)。但配置比較復(fù)雜。而當(dāng)病毒變異事件數(shù)據(jù)庫需要更新時，只需更新該 IDS 就可以保護整個內(nèi)部用戶主機，十分方便。

從技術(shù)上來分，入侵檢測技術(shù)可分為基于異常檢測和基于行為檢測?；诋惓z測系統(tǒng)會給出用戶正常操作所具有的輪廓用來構(gòu)建事件數(shù)據(jù)庫，當(dāng)用戶操作與正常行為有重大偏差時，則認(rèn)為入侵。而基于行為檢測系統(tǒng)則由專家分析用戶非正常操作的行為特征，并建立相應(yīng)特征庫，當(dāng)發(fā)現(xiàn)用戶行為與特征庫的記錄相匹配時，則認(rèn)為入侵。

2.1.2 入侵保護系統(tǒng)（IPS）

IPS 與 IDS 相似，但 IDS 在發(fā)現(xiàn)入侵時只是發(fā)出警報不采取措施，而 IPS 在發(fā)現(xiàn)入侵時，發(fā)出警報的同時采取相應(yīng)措施，能更全面地保護網(wǎng)絡(luò)信息安全。

（1）防火墻技術(shù)（firewall）

防火墻技術(shù)是一種軟硬件結(jié)合的技術(shù)，使得 intranet 與internet 之間形成一個保護級網(wǎng)關(guān)，從而保護內(nèi)部網(wǎng)絡(luò)免受外部非法用戶的入侵。從實現(xiàn)原理上劃分可分為簡單包過濾防火墻、狀態(tài)監(jiān)測包過濾防火墻和應(yīng)用代理防火墻。簡單包過濾防火墻是配置最簡單的防火墻，它只檢查 IP 數(shù)據(jù)包的包頭、原地址、目的地址和端口號，通過定義 TCP 或UDP 的端口號來決定是否允許該連接的建立。狀態(tài)監(jiān)測包過濾防火墻是配置最復(fù)雜的防火墻，它需要檢查每一個數(shù)據(jù)包的內(nèi)容，包括具體通信內(nèi)容，形成較嚴(yán)謹(jǐn)?shù)脑L問控制，但是在現(xiàn)實中較為復(fù)雜，不具有透明性。應(yīng)用代理防火墻處于簡單包過濾與狀態(tài)檢測包過濾之間，它主要檢測受信用戶與不受信用戶之間的 TCP 握手連接。

（2）身份認(rèn)證

通過口令密碼或用戶生物特征來認(rèn)證操作者身份，避免非法人員竊取隱私信息。

2.2 數(shù)據(jù)傳播時的防護策略

由于網(wǎng)絡(luò)鏈路的不可靠傳輸，數(shù)據(jù)在傳播過程中容易被攔截，為了避免機密數(shù)據(jù)的泄露，需要對發(fā)送的數(shù)據(jù)加密，根據(jù)加密技術(shù)可分為對稱與非對稱加密。對稱加密發(fā)送方與接收方的密鑰相同，由同一機構(gòu) PKI 為每對連接發(fā)放臨時密鑰，著名的有 DES、3DES、AES 等算法。非對稱加密不需要統(tǒng)一密鑰，提高了安全性，CA 機構(gòu)為每個用戶發(fā)放各自的公鑰，發(fā)送方用接收方的公鑰加密信息，而接收方用自己的私鑰就可以解密數(shù)據(jù)，著名的有 RAS 算法。

3 結(jié)語

綜上所訴，在發(fā)展計算機網(wǎng)絡(luò)工程的過程中要注重對網(wǎng)絡(luò)工程安全防護系統(tǒng)的建設(shè)，同時加強計算機網(wǎng)絡(luò)安全的教育與宣傳，提高我國公民的素質(zhì)，從而雙向結(jié)合最大化的提高信息的安全性，維護我國網(wǎng)絡(luò)系統(tǒng)的健康發(fā)展。

參考文獻

[1] 黃丹.關(guān)于計算機網(wǎng)絡(luò)安全問題分析及對策研究 [J].信息與電腦（理論版），2013，12（15）：245-246.

[2] 嚴(yán)有日.論計算機網(wǎng)絡(luò)安全問題及防范措施 [J].赤峰學(xué)院學(xué)報

（作者單位：遼東學(xué)院）