互聯(lián)網時代信息安全防護技術研究

◆陳龍險

（青海建筑職業(yè)技術學院信息技術系青海 810012）

隨著社會的進步，互聯(lián)網技術的飛速發(fā)展，信息技術給人們的生活、工作、學習帶來了極大的方便。比如網上購物、互聯(lián)網醫(yī)療、銀行資金轉賬、網絡視頻會議、在線遠程教育等。然而，人們在享受著互聯(lián)網技術所帶來的便利的同時，也面臨著信息泄露、網絡惡意攻擊、計算機病毒、黑客入侵等嚴峻的信息安全問題。

1 威脅網絡信息安全的因素及研究意義

網絡信息安全的威脅因素有諸多方面。首先，互聯(lián)網自身方面：網絡的開放性容易造成信息泄露，加之計算機網絡在凸現(xiàn)其資源共享優(yōu)勢的同時，也為網絡攻擊者利用共享資源進行破壞提供了機會；其次，技術方面：網絡系統(tǒng)設計存在的缺陷、操作系統(tǒng)存在的安全漏洞、以及內部網絡缺乏審計跟蹤機制出現(xiàn)的管理漏洞等，均會對網絡信息安全構成威脅；最后，外界人為因素方面：黑客的惡意攻擊、網絡病毒的入侵、以及用戶自身缺乏信息安全意識及相關防護技術技能等。

以上因素均會對信息的保密性、真實性、完整性帶來不同程度的威脅。特別是，一旦被網絡犯罪分子利用，就會對信息安全帶來嚴重的后果。比如網絡病毒入侵，會感染系統(tǒng)文件，使操作系統(tǒng)癱瘓，造成重要數(shù)據信息丟失；黑客利用系統(tǒng)固有安全漏洞，進行惡意攻擊計算機防御系統(tǒng)，偽造、篡改、刪添數(shù)據信息；不法分子利用網絡缺陷盜取用戶信息、商業(yè)信息；敵對勢力對國家核心機密進行竊取，或對國家核心數(shù)據庫信息進行惡意破壞等。所以，互聯(lián)網時代對信息安全防護技術的研究具有重要意義。

2 網絡信息安全防護技術

2.1 防火墻技術

由計算機硬件和軟件組成的防火墻系統(tǒng)，能夠阻止非法信息的訪問和傳遞，是內部網絡環(huán)境安全的屏障。防火墻部署于網絡邊界，起到安全過濾和安全隔離的作用，所有進出的信息都要經過防火墻。防火墻對數(shù)據包進行分析，若網絡內部數(shù)據包沒有應用邏輯，則不被放行。同時，對進入的數(shù)據包進行過濾，保護網段不受外部攻擊。防火墻通過禁止有安全隱患的服務或未獲得授權的通信進出網絡，限制外部非法用戶如黑客、網絡破壞者等進入內部網絡，從而防止外網攻擊、入侵和惡意代碼的傳播。

目前，有如下幾種類型的防火墻：包過濾防火墻、應用代理防火墻、電路級網關防火墻、規(guī)則檢測防火墻等。包過濾防火墻設備便宜、對流量的管理較好，但也存在著沒有用戶身份驗證機制、防欺騙攻擊難等缺點。應用代理防火墻則工作在 OSI模型的最高層，掌握著應用系統(tǒng)中可用于安全決策的全部信息，起著監(jiān)視和隔絕應用層通信流的作用。電路級網關防火墻在 OSI模型中的會話層過濾數(shù)據包。規(guī)則檢測防火墻結合了包過濾防火墻、電路級網關、應用級網關的特點。所以，市場上流行的防火墻多為規(guī)則檢測防火墻。目前市場上常見的防火墻產品有：NetScreen 208防火墻、Cisco Secure PIX 515-E防火墻、網絡衛(wèi)士NGFW4000-S防火墻、NetEye 4032防火墻等。

2.2 入侵檢測技術

入侵檢測技術是一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權或異?，F(xiàn)象的技術，用于檢測計算機網絡中違反安全策略的行為。一般有基于應用的監(jiān)控技術、基于主機的監(jiān)控技術、基于目標的監(jiān)控技術、基于網絡的監(jiān)控技術等 4種。入侵檢測作為一種積極主動的安全防護技術，它在不影響網絡性能的情況下進行實時監(jiān)測，對內部攻擊、外部攻擊和誤操作進行實時保護，能夠在網絡系統(tǒng)受到危害之前攔截和響應入侵。

通常，入侵檢測系統(tǒng)通過執(zhí)行如下任務來保證計算機系統(tǒng)的安全：監(jiān)視、分析用戶及系統(tǒng)活動；對系統(tǒng)配置和弱點進行審計；識別與已知的攻擊模式匹配的活動；對異?；顒幽Ｊ竭M行統(tǒng)計分析；評估重要系統(tǒng)和數(shù)據文件的完整性；對操作系統(tǒng)進行審計跟蹤管理并識別用戶違反安全策略的行為。在應用中，入侵檢測系統(tǒng)對網絡病毒、蠕蟲、間諜軟件、木馬后門、掃描探測、暴力破解等惡意流量進行實時系統(tǒng)監(jiān)測，當發(fā)現(xiàn)可疑傳輸時，發(fā)出警報并與計算機設備中的防火墻進行全面聯(lián)合，通過用戶自定義命令等措施來實施動態(tài)防護。

2.3 數(shù)據加密技術

數(shù)據加密技術是對存儲或傳輸?shù)男畔⑦M行秘密交換，以防止被第三者竊取。加密技術的核心是加密算法，通常加密算法分為對稱加密、非對稱加密、不可逆加密。在對稱加密算法中，使用的是同一個密鑰；在非對稱加密算法中，使用的是一對相互匹配但又互不相同的公鑰和私鑰，當用公鑰對數(shù)據進行加密時，用對應的私鑰進行解密，當用私鑰對數(shù)據進行加密時，則用對應的公鑰進行解密；不可逆加密算法加密過程則無須密鑰，輸入明文后由系統(tǒng)直接經過加密算法處理成密文，這種加密后的數(shù)據無法被解密，只有重新輸入明文，并再次經過同樣不可逆的加密算法處理，得到相同的加密密文并被系統(tǒng)重新識別后，才能真正解密。

在現(xiàn)代高級密碼體系中，零知識證明和量子密碼技術正不斷被開發(fā)和應用。零知識證明是指證明者能夠在不向驗證者提供任何有用信息的情況下，使驗證者相信某個論斷是正確的。即在不讓對方獲知任何咨詢的情況下，證明一件事情。比如身份辨別，示證者在證明自己身份時不泄露任何信息，驗證者能夠在得不到示證者任何私有信息的情況下，能夠有效證明對方身份。

另外，隨著量子計算機技術的不斷取得突破，特別是以肖氏算法為典型代表的量子算法，其運算關系操作在理論上可以實現(xiàn)從指數(shù)級別向多項式級別的轉變。根據是否基于量子物理原理，有后量子密碼和量子加密技術。后量子密碼又稱抗量子密碼，是一種能夠抵抗量子計算機攻擊的密碼體制，其計算安全性可以抵抗當前已知任何形式的量子攻擊。量子加密技術又稱量子密鑰分發(fā)，是量子通信科學發(fā)展的成果之一。它依靠包括疊加態(tài)、量子糾纏和不確定性等在內的量子物理獨特性質，能夠檢測和規(guī)避竊聽企圖，在實現(xiàn)傳統(tǒng)密鑰交換功能的同時使密鑰分發(fā)的保密性得到完全的保障。

2.4 網絡安全認證技術

網絡安全認證是指通過對被認證對象的屬性進行驗證，來確定被認證對象是否真實有效。認證用于通信雙方相互確認身份，以確保通信的安全，一般可分為消息認證和身份認證。消息認證用于保證信息的完整性和抗否認性，當用戶需要鑒別網上信息有無被第三方篡改過或偽造過時，就需進行消息認證。它是指建立聯(lián)系的雙方通過對收到的信息進行驗證，以保證收到信息的真實性。比如在通信中，用戶A向用戶B發(fā)送消息，用戶B收到消息后，不僅要確認該消息是否是用戶A所發(fā)，而且還要辨別該消息是否被第三方修改或偽造過。同時，用戶A也需要確認所發(fā)消息是否正確發(fā)送給了用戶A。身份認證用于鑒別用戶身份，涉及識別和驗證兩方面。

數(shù)字簽名是一種身份鑒別方法，能夠解決偽造、抵賴、冒充和篡改等問題。數(shù)字簽名通常采用非對稱加密技術，通過對明文進行變換，得到的值作為核實簽名。接收者使用發(fā)送者提供的公開密鑰，對簽名進行解密運算，如能正確解密則簽名有效，從而來保證對方身份的真實性。數(shù)字簽名采用一定的數(shù)據交換協(xié)議，使雙方能夠滿足兩個條件，一是接收方能夠鑒別發(fā)送方所宣稱的身份，二是發(fā)送方不能否認它發(fā)送的數(shù)據這一事實。數(shù)字簽名技術確保了信息的完整性、信源的可確認性、和通信的不可抵賴性。

2.5 計算機病毒的檢測與防護技術

有效阻止計算機病毒的傳播和破壞，能夠確保信息的安全。所以，計算機病毒的檢測與防護技術也很重要。目前，計算機病毒的檢測主要基于以下幾種方法：特征代碼法、校驗和法、行為檢測法、軟件模擬法、比較法、感染實驗法等。現(xiàn)代的殺毒軟件如瑞星殺毒、金山毒霸等就是用以上的一種或幾種手段來進行檢測。常用的計算機病毒防范方法有：操作系統(tǒng)漏洞的檢測和補丁安裝，對操作系統(tǒng)進行安全設置，更新升級病毒特征庫，關閉無用端口如關閉137、168、139、445等端口。另外，不訪問不知名網頁、不隨意下載文件、不打開陌生電子郵件等，可減少被感染病毒的概率。另外，由于網絡病毒傳播速度快，涉及范圍廣。所以在網絡病毒防護方面，要比單機病毒的防護復雜得多，在建立網絡防范機制時，對病毒的監(jiān)控要形成立體多層次防御體系。

3 結束語

互聯(lián)網時代信息安全問題涉及個人權益、商業(yè)機密、金融風險防范、社會穩(wěn)定和國家安全。所以，為保護網絡信息在存儲和傳輸過程中的可用性、機密性、完整性、可控性和不可抵賴性，我們除了要依靠不斷創(chuàng)新的先進技術外，國家層面還需進一步建立健全信息安全相關法律、法規(guī)，加強法律約束，使監(jiān)督管控有法可依、有章可循。并依法嚴厲打擊網絡犯罪分子，加大懲罰力度并形成震懾，讓不法分子無處藏身。同時，廣泛普及網絡信息安全知識，通過教育提高全民網絡信息安全意識。