隨著近期大肆進(jìn)攻美國各類站點 , 網(wǎng)絡(luò)安全問題再次成為人們談?wù)摰慕裹c。其實 , 安全問題一直伴隨著網(wǎng)絡(luò)的發(fā)展 , 特別是隨著 Internet 的日益普及 , 這一問題變得尤為突出 , 成為高懸在人們頭上的達(dá)摩克斯之劍。
常見的網(wǎng)絡(luò)安全問題
網(wǎng)絡(luò)上存在的安全問題有以下幾類 :
病毒
與計算機(jī)相伴而生 , 而 Internet 更是病毒孳生和傳播的溫床。從早期的 - 小球病毒 - 到引起全球恐慌的 - 梅麗莎 - 和 CIH, 病毒一直是計算機(jī)系統(tǒng)最直接的安全威脅。
內(nèi)部威脅和無意破壞
事實上 , 大多數(shù)威脅來自內(nèi)部 , 來自同事、被解雇的職員、受信任的顧客、咨詢顧問等所有能進(jìn)入系統(tǒng)的人。此外 , 一些無意的行為 , 如丟失口令、疏忽大意、非法操作等都可以對網(wǎng)絡(luò)造成極大的破壞。據(jù)統(tǒng)計 , 此類問題在網(wǎng)絡(luò)安全問題中的比例高達(dá) 70% 。
系統(tǒng)的漏洞和“后門”
和網(wǎng)絡(luò)軟件不可能 100% 的無缺陷和漏洞 , 這些漏洞和缺陷恰恰是黑客進(jìn)行攻擊的首選目標(biāo) , 大部分黑客攻入網(wǎng)絡(luò)內(nèi)部的事件都是因為安全措施不完善所致。另外 , 軟件的 - 后門 - 通常是軟件公司編程人員為了自便而設(shè)置的 , 一般不為外人所知 , 而一旦 - 后門 - 洞開 , 造成的后果將不堪設(shè)想。
網(wǎng)上的蓄意破壞
例如 , 在未經(jīng)他人許可的情形下篡改他人網(wǎng)頁 , 犯案動機(jī)多半是因為政治原因或僅僅為了炫耀自己的技術(shù)。在去年和今年 , 美國發(fā)生過多起類似案件 , 我國的一些網(wǎng)站也遭到了此類惡意攻擊。
侵犯隱私或機(jī)密資料
很多人有這樣的經(jīng)驗 , 當(dāng)你從事網(wǎng)絡(luò)購物或信息搜索時 , 對方往往會要求你提供信用卡資料作為注冊的必要條件之一 , 并添加一大段文字確保此類個人資料的安全。事實上 , 黑客并不需使用多么先進(jìn)的技術(shù)便可獲得此類資料 , 他們通常只需利用偷窺信息的程序 , 即可得知使用者的注冊名稱和密碼 , 然后利用這些資料上網(wǎng)獲取用戶的個人資料。
拒絕服務(wù)
組織或機(jī)構(gòu)因為有意或無意的外界因素或疏漏 , 導(dǎo)致無法完成應(yīng)有的網(wǎng)絡(luò)服務(wù)項目 ( 例如電子郵件系統(tǒng)或聯(lián)機(jī)功能 ), 稱為 - 拒絕服務(wù) - 問題。
網(wǎng)絡(luò)安全策略
1. 物理安全策略
物理安全策略目的是保護(hù)計算機(jī)系統(tǒng)、、打印機(jī)等硬件實體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊 ; 驗證用戶的身份和使用權(quán)限 , 防止用戶越權(quán)操作 ; 確保計算機(jī)系統(tǒng)有一個良好的電磁兼容工作環(huán)境 ; 建立完備的安全管理制度 , 防止非法進(jìn)入計算機(jī)控制室和各種偷竊、破壞活動的發(fā)生。
抑制和防止電磁泄漏是物理安全策略的一個主要問題。目前的主要防護(hù)措施有兩類 : 其一是對傳導(dǎo)發(fā)射的防護(hù) , 主要采取對電源線和信號線加裝性能良好的濾波器 , 減小傳輸阻抗和導(dǎo)線間的交叉耦合 ; 其二是對輻射的防護(hù) , 這類防護(hù)措施又可分為電磁屏蔽和干擾防護(hù) , 前者是建立屏蔽網(wǎng)絡(luò) , 后者是在計算機(jī)工作的同時 , 利用干擾裝置產(chǎn)生一種與計算機(jī)系統(tǒng)輻射相關(guān)的偽噪聲向空間輻射 , 以此掩蓋計算機(jī)系統(tǒng)的工作頻率和信息特征。
2. 訪問控制策略
訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略 , 它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非法訪問。訪問控制可以說是保證網(wǎng)絡(luò)安全最重要的核心策略之一。下面我們分述各種訪問控制策略。
入網(wǎng)訪問控制
它控制哪些用戶能夠登錄到并獲取網(wǎng)絡(luò)資源 , 同時也控制準(zhǔn)許用戶入網(wǎng)的時間和準(zhǔn)許他們從哪臺工作站入網(wǎng)。用戶入網(wǎng)訪問控制通常分為三步 : 用戶名的識別與驗證、用戶口令的識別與驗證、用戶賬號的缺省限制檢查。三道關(guān)卡中只要任何一關(guān)未過 , 該用戶便不能進(jìn)入網(wǎng)絡(luò)。對網(wǎng)絡(luò)用戶的用戶名和口令進(jìn)行驗證是防止非法訪問的第一道防線。用戶注冊時首先輸入用戶名和口令 , 服務(wù)器將驗證所輸入的用戶名是否合法。如果驗證合法 , 才繼續(xù)驗證用戶輸入的口令 , 否則 , 用戶將被拒之于網(wǎng)絡(luò)之外。用戶口令是用戶入網(wǎng)的關(guān)鍵所在 , 必須經(jīng)過加密 , 加密的方法很多 , 其中最常見的方法有 : 基于單向函數(shù)的口令加密、基于測試模式的口令加密、基于公鑰加密的口令加密、基于平方剩余的口令加密、基于多項式共享的口令加密以及基于數(shù)字簽名方案的口令加密等。經(jīng)過上述方法加密的口令 , 即使是系統(tǒng)管理員也難以破解它。用戶還可采用一次性用戶口令 , 也可用便攜式驗證器 ( 如智能卡 ) 來驗證用戶的身份。用戶名和口令驗證有效之后 , 再進(jìn)一步履行用戶賬號的缺省限制檢查。
網(wǎng)絡(luò)的權(quán)限控制
網(wǎng)絡(luò)權(quán)限控制是針對網(wǎng)絡(luò)非法操作提出的一種安全保護(hù)措施。用戶和用戶組被賦予一定的權(quán)限。網(wǎng)絡(luò)控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源以及用戶可以執(zhí)行的操作。
客戶端安全防護(hù)策略
首先 , 應(yīng)該切斷病毒的傳播途徑 , 盡可能地降低感染病毒的風(fēng)險 ; 其次 , 使用現(xiàn)成必須確保瀏覽器符合安全標(biāo)準(zhǔn)。大部分瀏覽器允許在客戶端執(zhí)行程序或通過 Internet 上下傳檔案 , 然而 , 很少有人會去弄清楚瀏覽器程序的工作方式。在安裝瀏覽器時 , 很多人不加思考地簽下協(xié)議書 , 將大權(quán)交由虛擬的代理人。其實 , 有些瀏覽器存在很嚴(yán)重的安全疏漏。
除瀏覽器的安全標(biāo)準(zhǔn)之外 , 有些附加功能也必須列入考查重點。例如 , 可以自動執(zhí)行的插件程序 (plug-in), 它們方便了瀏覽者的使用 , 但也帶來了洞開門戶的風(fēng)險。最常見的例子是網(wǎng)上無所不在的 Java Applet 。因此 , 用戶最好不要隨便下載來路不明的動態(tài)內(nèi)容。
3. 安全的信息傳輸
從本質(zhì)上講 ,Internet 網(wǎng)絡(luò)本身就不是一種安全的信息傳輸通道。網(wǎng)絡(luò)上的任何信息都是經(jīng)重重中介網(wǎng)站分段傳送至目的地的。由于網(wǎng)絡(luò)信息的傳輸并無固定路徑 , 而是取決于網(wǎng)絡(luò)的流量狀況 , 且通過哪些中介網(wǎng)站亦難以查證 , 因此 , 任何中介站點均可能攔截、讀取 , 甚至破壞和篡改封包的信息。所以應(yīng)該利用加密技術(shù)確保安全的信息傳輸。
4. 網(wǎng)絡(luò)服務(wù)器安全策略
在 Internet 上 , 網(wǎng)絡(luò)服務(wù)器的設(shè)立與狀態(tài)的設(shè)定相當(dāng)復(fù)雜 , 而一臺配置錯誤的服務(wù)器將對網(wǎng)絡(luò)安全造成極大的威脅。例如 , 當(dāng)系統(tǒng)管理員配置網(wǎng)絡(luò)服務(wù)器時 , 若只考慮高層使用者的特權(quán)與方便 , 而忽略整個系統(tǒng)的安全需要 , 將造成難以彌補(bǔ)的安全漏洞。
5. 操作系統(tǒng)及網(wǎng)絡(luò)軟件安全策略
大多數(shù)公司高度依賴作為網(wǎng)絡(luò)安全的一道防線。防火墻通常設(shè)置于某一臺作為網(wǎng)間連接器的服務(wù)器上 , 由許多程序組成 , 主要是用來保護(hù)私有網(wǎng)絡(luò)系統(tǒng)不受外來者的威脅。一般而言 , 操作系統(tǒng)堪稱是任何應(yīng)用的基礎(chǔ) , 最常見的 Windows NT 或 Unix 即使通過防火墻與安全交易協(xié)議也難以保證 100% 的安全。
6. 網(wǎng)絡(luò)安全管理
在網(wǎng)絡(luò)安全中 , 除了采用上述技術(shù)措施之外 , 加強(qiáng)網(wǎng)絡(luò)的安全管理制定有關(guān)規(guī)章制度 , 對于確保網(wǎng)絡(luò)的安全、可靠運行 , 將起到十分有效的作用。網(wǎng)絡(luò)安全管理包括確定安全管理等級和安全管理范圍、制訂有關(guān)網(wǎng)絡(luò)操作使用規(guī)程和人員出入管理制度和制定網(wǎng)絡(luò)系統(tǒng)的維護(hù)制度和應(yīng)急措施等。
常用安全防范技術(shù)
1. 防毒軟件
基本上 , 防毒解決方案的做法有 5 種 : 信息服務(wù)器端、文件服務(wù)器端、客戶端防毒軟件、防毒以及網(wǎng)站上的在線掃毒軟件。而在 Melissa 的例子當(dāng)中 , 最沒用的就是防毒網(wǎng)關(guān) , 一旦病毒散布進(jìn)來就毫無防御能力。
2. 防火墻
“防火墻”是一種形象的說法 , 它實際上是計算機(jī)硬件和軟件的組合 , 在網(wǎng)絡(luò)網(wǎng)關(guān)服務(wù)器上運作 , 在內(nèi)部網(wǎng)與 Internet 之間建立起一個安全網(wǎng)關(guān) (security gateway), 保護(hù)私有網(wǎng)絡(luò)資源免遭其他網(wǎng)絡(luò)使用者的擅用或侵入。
通常 , 防火墻與路由軟件一起工作 , 負(fù)責(zé)分析、過濾經(jīng)過此網(wǎng)關(guān)的數(shù)據(jù)封包 , 決定是否將它們轉(zhuǎn)送到目的地。防火墻通常安裝在單獨的計算機(jī)上 , 并與網(wǎng)絡(luò)的其余部份分隔開 , 使訪問者無法直接存取內(nèi)部網(wǎng)絡(luò)的資源。
防火墻有兩類 : 標(biāo)準(zhǔn)防火墻和雙家網(wǎng)關(guān) (dual home gateway) 。標(biāo)準(zhǔn)防火墻系統(tǒng)包括一臺 Unix 工作站 , 該工作站的兩端各接一個進(jìn)行緩沖。其中一個路由器連接外部世界 , 即公用網(wǎng) ; 另一個連接內(nèi)部網(wǎng)。標(biāo)準(zhǔn)防火墻使用專門的軟件 , 并要求較高的管理水平 , 而且在信息傳輸上有一定的延遲。雙家網(wǎng)關(guān)則是標(biāo)準(zhǔn)防火墻的擴(kuò)充 , 又稱堡壘主機(jī) (bation host) 或應(yīng)用層網(wǎng)關(guān) (applications layer gateway), 它是一個單獨的系統(tǒng) , 但卻能同時完成標(biāo)準(zhǔn)防火墻的所有功能。其優(yōu)點是能運行更復(fù)雜的應(yīng)用 , 同時防止在 Internet 和內(nèi)部系統(tǒng)之間建立任何直接的邊界 , 確保數(shù)據(jù)包不能直接從外部網(wǎng)絡(luò)到達(dá)內(nèi)部網(wǎng)絡(luò) , 反之亦然。
隨著防火墻技術(shù)的進(jìn)步 , 在雙家網(wǎng)關(guān)的基礎(chǔ)上又演化出兩種防火墻配置 : 一種是隱蔽主機(jī)網(wǎng)關(guān) , 另一種是隱蔽智能網(wǎng)關(guān) ( 隱蔽子網(wǎng) ) 。隱蔽主機(jī)網(wǎng)關(guān)是當(dāng)前常見的一種防火墻配置。顧名思義 , 這種配置一方面將路由器進(jìn)行隱蔽 , 另一方面在 Internet 和內(nèi)部網(wǎng)之間安裝堡壘主機(jī)。堡壘主機(jī)裝在內(nèi)部網(wǎng)上 , 通過路由器的配置 , 使該堡壘主機(jī)成為內(nèi)部網(wǎng)與 Internet 進(jìn)行通信的唯一通道。目前技術(shù)最為復(fù)雜且安全級別最高的防火墻是隱蔽智能網(wǎng)關(guān) , 它將網(wǎng)關(guān)隱藏在公共系統(tǒng)之后使其免遭直接攻擊。隱蔽智能網(wǎng)關(guān)使內(nèi)部網(wǎng)用戶能對 Internet 服務(wù)進(jìn)行幾乎透明的訪問 , 同時阻止了外部未授權(quán)訪問者對專用網(wǎng)絡(luò)的非法訪問。一般來說 , 這種防火墻是最不容易被破壞的。