计算机网络安全方案的设计

Ξ2008年第24卷增刊中北大学学报(社会科学版)Vol.24Supp.2008(2008年6月)JOURNALOFNORTHUNIVERSITYOFCHINA(SOCIALSCIENCEEDITION)(Jun.2008)文章编号:167321646(2008)增刊20073203计算机网络安全方案的设计朱俊(中北大学经济与管理学院,山西太原030051)摘要:网络安全是一个普遍受到人们关注的课题。进入信息时代后,网络中存在很多不安全的因素,网络安全技术是网络安全的一个重要保障,在一定意义上,只有网络安全才可以保证网络生活能够有序进行。关键词:计算机网络;安全技术;信息安全;防火墙中图分类号:TP393.08文献标识码:ATheDesignofSecuritySolutionforComputerNetworkZHUJun;CollegeofEconomicandManagementΚNorthUniversityofChinaΚTaiyuan030051ΚChinaΓAbstractΠThesecurityofInternetisacommonconcerningtothepeople.afterenteringtheinformationworldΚtheArearemanynetworkunsafefactors.thenetworksecuritytechnologyisanimportantsafegroundtothenetworksafty.insomecondditionΚwecanonlyguarantetheinternetlifesmoothlybythesecurityofnetwork.KeywordsΠnetworksecurityΜfirewallΜintrusiondetectionΜsecurityaudit计算机网络是通过某种通信手段,把地理上分散的计算机连接起来实现资源共享的系统。因此在计算机网络的设计过程中,人们总是过多地考虑如何能够方便地实现资源共享。但是在实际应用中,资源共享总是在一个局部或者某些特定用户之间进行的,超越了这个范围,就会造成信息泄密、信息破坏等危害网络安全的现象。计算机网络安全的通常定义是指网络系统的硬件、软件及系统中数据信息能够受到保护,不会因为偶然或者恶意原因而遭破坏、更改、泄露,系统能够连续可靠运行,网络服务不中断。也就是说通过采用各种技术和管理措施,使网络系统正常运行,从而确保网络数据的可用性、完整性和保密性。所以,建立网络安全保护措施的目的是确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄露等。1网络安全的主要威胁以Internet为主的计算机网络改变了传统的社会运行方式,大多数情况下,人们不需要面对面地进行交流或是实施商务活动。但是事物都有两面性,人们从Internet中受益的同时,也面临着巨大的风险:信息资源被盗、机密信息被窃取、网络被攻击破坏等。网络信息安全的威胁来自很多方面,这些威胁可以宏观的分为人为因素和自然因素。它们都可以对通信安全构成威胁,但是精心设计的人为攻击威胁最大。人为攻击可分为主动攻击和被动攻击。被动攻击不会导致系统中所含信息的任何改动,而且系统的操作和状态也不会改变。被动攻击主要威胁信息的保密性,常见的被动攻击手段有偷窃和分析。主动攻击则意在篡改系统中所含信息,或者改变系统的状态和操作。因此主动攻击主要威胁信息的完整性、可用性和真实性,其危害要比被动攻击大得多。其具体形式分为:伪造信息、篡改信息和拒绝服务(DenialOfService,简称DOS).伪造信息是攻击方可以假冒一合法的或对方所信任的主机发放信息,来获取对系统的访问;篡改信息是攻击者有选择地修改、删除、延误、重排序以及复制真正的信息或插入虚假的信息;常见的DOS攻击表现为攻击者发出大量的信息冲垮站点。主动攻击可以通过有关软、Ξ收稿日期:2008204225作者简介:朱俊(19842),男,硕士生,从事专业:信息管理与信息系统。74中北大学学报(社会科学版)2008年增刊硬件检测到,但难以做到彻底防范.在网络的实际应用中,我们经常遇到的也是主动攻击,由于主动攻击危害很大,且易形成比较明显的后果,所以,如何防范好主动攻击就成为网络防护的重要内容。2网络安全技术特征从技术角度来说,网络信息安全与保密的技术特征主要表现在以下方面:1)可靠行:即网络信息系统能够在规定条件下和规定时间内完成规定功能;2)完整性:即保证消息的来源、去向、内容真实无误;3)保密性:即保证消息不会被非法泄露扩散;4)不可否认性:即保证消息的发送和接收者无法否认自己所做过的操作行为:5)可用性:即可被授权实体访问并能按需求使用;6)可控性:即对网络信息的传播及内容具有控制能力。3信息安全需求分析信息安全是指信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)和可控性(Controllability)。就是指信息的安全有效性。保密性就是对杭对手的被动攻击,保证信息不泄漏给未经授权的人。完整性就是对杭对手主动攻击,防止信息被未经授权的墓改.可用性就是保证信息及信息系统确实为授权使用者所用。可控性就是对信息及信息系统实施安全监控.由于计算机网络通常由多级网络组成,其信息系统也由多级组成,各级网络信息的安全要求也各不相同。3.1信息安全的主要问题信息安全是一个及其复杂的系统工程,其洒盖的内容包括:安全的组织保障、保密规定、安全策略、基本安全机制的设立、物理安全、L人ROWAN的安全、外网互连安全、网络管理、防火堵、安全应用、数据库与交互监视等多个方面,随着计算机网络技术和计算机技术的发展,计算机信息主要存在以下几个方面的安全问题:内部窃密和破坏。据统计,80%以上的信息的泄漏或破坏足由内部人员造成的。这是因为内部人员在网络内有着一定的权限,了解的内部信息也比较多,比外部的闯入者省了一半以上的力气。截收。截取就是窃听,它是指在信息的通讯线路中,设法找到一个节点,在通讯的过程中截取信.息,网络中信息截收是很容易做到的。3.2非法访问未授权用户绕过为保护信息所做的安全设置(比如:访问权限设定)访问保密信息,从而破坏信息的保密性,造成信息存储过程的泄密。破坏信息入侵者无法获取信息,但对存储信息进行破坏删除或修改,从而破坏存储信息的完整性.物理设备故障由于信息存储设备的物理故障造成存储信息的丢失和破坏,从而使信息的完整性和可用性遭到破坏.4信息安全设计由于计算机网络具有连接形式多样性、技术复杂性和网络的开放性、互连性等特征,导致信息系统的安全问题变得非常复杂。无论是在局域网还是在广域网中,对于信息系统而言,都存在着自然的和人为的等诸多因素的潜在威胁。因此,必须针对各种不同的威胁和系统的脆弱性,全方位地、系统化地制定信息系统的安全措施,这样才能确保信息系统的安全性。4.1信息存储安全设计信息存储是信息传输利用的前提,因此,信息存储安全是信息安全的基础.4.2信息存储过程中的安全威胁信息存储安全是指信息在存储过程中,其保密性、完整性、可用性和可控性没有遭到破坏,信息在存储过程中安全有效。信息在存储过程中,其安全性受到如下几个方面的威胁.4.3数据访问控制为了防止用户非法访问受控信息和保密信息,必须对存储信息采用访问拉制技术,由于计算机信息存储系统主要为UNIX和WindowsNT系统,其信息访问控制采用系统提供安全控制技术和自行设计安全控制相结合的办法来实现。1)信息用户身份鉴别身份鉴别技术是对终端用户的身份进行识别和验证,防止非法用户闯入计算机系统,非法访问涉密信息。身份鉴别方法有三种:口令验证、通行证验证和人类特征验证。在信息安全中主要采用口令验证。口令验证可以验证用户是否合法,这种验证方法广泛地应用于各个方面。为了保证口令验证的安全有效,采用口令与IC卡双重认证技术,其过程如下:首先由用户自己选择一个自己的口令,然后由计(2008年6月)计算机网络安全方案的设计(朱俊)75算机自动识别录有较长密码的用户个人信息认证IC卡。使用时用户先将IC卡插入计算机,由计算机读取并对IC卡进行验证,然后再由用户输入口令,两者都响合后,才允许用户访问和使用存储信息。这种方法可以有效得防止口令被猜测和盗取,从而保证信息存储安全。在使用口令验证时应注意以下几个问题:口令要有一定长度,不要少于6个字符;不要使用性名、出生日期、电话号码、身份证号码、车牌号码、单位名称、家庭住址等作口令;不要以任何形式使用用户名作口令,如反向或缩写等;不要以英语或其它语言中的单词作口令;口令设置采用字母、数字和“%、#、3、a.、&”等混排,并有一定的长度限制;应该定期更换口令;口令必须加密存储,并保证口令加密文件和口令存储载体的安全;口令在网络中传输时应加密。2)访问权限控制访问权限控制是指对合法用户进行的对存储信息的文件或数据操作权限的限制,这种权限主要包括对信息资源的读、写、执行等。信息存储访问权限控制主要采用下列方法:确定合法用户对信息的访问权限。对用户进行分类,确定每类用户的信息访问权限和可进行的操作,防止合法用户越权访问保密信息.对涉密程度高的系统,访问权限控制到单个用户。建立用户访问信息控制表。详细列出用户类型、可访问信.息及操作权限。4、控制文件的物理位置和逻辑组织按文件的类型划分文件的存储区域,用户文件与系统文件隔离,应用软件与数据文件隔离,各区域相对独立,相互影响的各个子系统的文件也应尽量相对独立,并赋予相应的访问权限。3)病毒防护建立病毒防护和检查措施,防止病毒对数据造成破坏。建立软盘、外来文件检查制度,防止病毒传染和扩散。5防火墙访问控制1)防火墙是目前最为流行、使用最广泛的一种网络安全技术,它的核心思想是在不安全的网络环境中构造一个相对安全的子网环境。防火墙主要用来执行两个网络之间的访问控制策略,它能限制被保护的网络与互联网络之间,或者与其他网络之间进行的信息存取、传递操作。防火墙是一种隔离控制技术,可以作为不同网络或网络安全域之间信息的出入口,能根据企业的安全策略控制出入网络的信息流,且本身具有较强的抗攻击能力。通过在网络入口点检查网络通讯数据,根据预先设定的安全规则,提供一种安全的网间网数据通讯。2)防火墙主要有三种类型:包过滤性、代理服务器性、全状态包过滤性。防火墙的使用是非常灵活的,可以在以太网络的任意部位进行链路上分割,构成安全的网络范围。可以用于在单位内网同外界的广域网出口上,实现对目标单位内网的保护;可以在内部网络上进行划分,建立局部的安全区;可以单独设置在某一台或几台重要的服务器前,对这些服务器进行安全保护。3)防火墙方案实现。选购防火墙主要应从安全角度考虑,在这里效率不应成瓶颈问题,应该选购业界大公司或资深信息安全研制单位的成熟产品。可从以下几个方面考虑:①适用性,网络部署灵活,适应多种复杂网络环境和接入模式。支持各种应用代理及多种基于动态协议的复杂应用。提供灵活多样的VPN客户端接入方式。②安全性,采用增强性抗攻击技术,可防范各类常见类型的网络攻击。③可靠性,拥有防火墙HA集群技术,可实现四个防火墙集群的主动负载均衡。④扩展性,软件设计采用安全功能模块化技术,模块升级简便,充分保障用户的投资利益。⑤管理性,支持多种管理方式,提供完善的日志管理和审计功能,有效降低管理成本。参考文献[1]高常波,罗万伯,王科.计算机网络安全系统设计[J].2003(3):32233.[2][美]D·艾肯.Internet网络安全参考手册[M].尹伟,等,译.机械工业出版社,1998.[3]蔡皖东.计算机网络技术[M].西安电子科技大学出版社,1999.[4][美]AndrewSTanenbaum.Computernetworks[M].3’edition.清华大学出版社,1998.[5][美]JamesFKurose.Computernetworking2ATop2DownApproachFeaturingtheInternet[M].高等教育出版社,