網絡安全技術縱覽

21世紀全世界的計算機都將通過Internet聯到一起，隨著Internet的發展，網絡豐富的信息資源給用戶帶來了極大的方便，但同時也給上網用戶帶來了安全問題。由於Internet的開放性和超越組織與國界等特點，使它在安全性上存在一些隱患。而且信息安全的內涵也發生了根本的變化。它不僅從一般性的防衛變成了一種非常普通的防范，而且還從一種專門的領域變成了無處不在。

　　一、網絡安全的概念

　　國際標准化組織（ISO）對計算機系統安全的定義是：為數據處理系統建立和采用的技術和管理的安全保護，保護計算機硬件、軟件和數據不因偶然和惡意的原因遭到破壞、更改和洩露。由此可以將計算機網絡的安全理解為：通過采用各種技術和管理措施，使網絡系統正常運行，從而確保網絡數據的可用性、完整性和保密性。所以，建立網絡安全保護措施的目的是確保經過網絡傳輸和交換的數據不會發生增加、修改、丟失和洩露等。

　　二、Internet上存在的主要安全隱患

　　Internet的安全隱患主要體現在下列幾方面：

　　1． Internet是一個開放的、無控制機構的網絡，黑客（Hacker）經常會侵入網絡中的計算機系統，或竊取機密數據和盜用特權，或破壞重要數據，或使系統功能得不到充分發揮直至癱瘓。

　　2． Internet的數據傳輸是基於TCP/IP通信協議進行的，這些協議缺乏使傳輸過程中的信息不被竊取的安全措施。

　　3． Internet上的通信業務多數使用Unix操作系統來支持，Unix操作系統中明顯存在的安全脆弱性問題會直接影響安全服務。

　　4．在計算機上存儲、傳輸和處理的電子信息，還沒有像傳統的郵件通信那樣進行信封保護和簽字蓋章。信息的來源和去向是否真實，內容是否被改動，以及是否洩露等，在應用層支持的服務協議中是憑著君子協定來維系的。

　　5．電子郵件存在著被拆看、誤投和偽造的可能性。使用電子郵件來傳輸重要機密信息會存在著很大的危險。

　　6．計算機病毒通過Internet的傳播給上網用戶帶來極大的危害，病毒可以使計算機和計算機網絡系統癱瘓、數據和文件丟失。在網絡上傳播病毒可以通過公共匿名FTP文件傳送、也可以通過郵件和郵件的附加文件傳播。

    三、網絡安全防范的內容

　　一個安全的計算機網絡應該具有可靠性、可用性、完整性、保密性和真實性等特點。計算機網絡不僅要保護計算機網絡設備安全和計算機網絡系統安全，還要保護數據安全等。因此針對計算機網絡本身可能存在的安全問題，實施網絡安全保護方案以確保計算機網絡自身的安全性是每一個計算機網絡都要認真對待的一個重要問題。網絡安全防范的重點主要有兩個方面：一是計算機病毒，二是黑客犯罪。

　　計算機病毒是我們大家都比較熟悉的一種危害計算機系統和網絡安全的破壞性程序。黑客犯罪是指個別人利用計算機高科技手段，盜取密碼侵入他人計算機網絡，非法獲得信息、盜用特權等，如非法轉移銀行資金、盜用他人銀行帳號購物等。隨著網絡經濟的發展和電子商務的展開，嚴防黑客入侵、切實保障網絡交易的安全，不僅關系到個人的資金安全、商家的貨物安全，還關系到國家的經濟安全、國家經濟秩序的穩定問題，因此各級組織和部門必須給予高度重視。

　　四、確保網絡安全的主要技術

　　1，防火牆技術

　　網絡防火牆技術是一種用來加強網絡之間訪問控制，防止外部網絡用戶以非法手段通過外部網絡進入內部網絡，訪問內部網絡資源，保護內部網絡操作環境的特殊網絡互聯設備。它對兩個或多個網絡之間傳輸的數據包如鏈接方式按照一定的安全策略來實施檢查，以決定網絡之間的通信是否被允許，並監視網絡運行狀態。

　　目前的防火牆產品主要有堡壘主機、包過濾路由器、應用層網關(代理服務器)以及電路層網關、屏蔽主機防火牆、雙宿主機等類型。

　　防火牆處於5層網絡安全體系中的最底層,屬於網絡層安全技術范疇。負責網絡間的安全認證與傳輸,但隨著網絡安全技術的整體發展和網絡應用的不斷變化,現代防火牆技術已經逐步走向網絡層之外的其他安全層次,不僅要完成傳統防火牆的過濾任務,同時還能為各種網絡應用提供相應的安全服務。另外還有多種防火牆產品正朝著數據安全與用戶認證、防止病毒與黑客侵入等方向發展。

　　根據防火牆所采用的技術不同,我們可以將它分為四種基本類型：包過濾型、網絡地址轉換-NAT、代理型和監測型。具體如下：

　　（1）包過濾型

　　包過濾型產品是防火牆的初級產品,其技術依據是網絡中的分包傳輸技術。網絡上的數據都是以"包"為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址、目標地址、TCP/UDP源端口和目標端口等。防火牆通過讀取數據包中的地址信息來判斷這些"包"是否來自可信任的安全站點，一旦發現來自危險站點的數據包,防火牆便會將這些數據拒之門外。系統管理員也可以根據實際情況靈活制訂判斷規則。

　　包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況下,能夠以較小的代價在一定程度上保證系統的安全。

　　但包過濾技術的缺陷也是明顯的。包過濾技術是一種完全基於網絡層的安全技術,只能根據數據包的來源、目標和端口等網絡信息進行判斷,無法識別基於應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒。有經驗的黑客很容易偽造IP地址,騙過包過濾型防火牆。

　　（2）網絡地址轉化-NAT

　　網絡地址轉換是一種用於把IP地址轉換成臨時的、外部的、注冊的IP地址標准。它允許具有私有IP地址的內部網絡訪問因特網。它還意味著用戶不許要為其網絡中每一台機器取得注冊的IP地址。

　　NAT的工作過程是：在內部網絡通過安全網卡訪問外部網絡時，將產生一個映射記錄。系統將外出的源地址和源端口映射為一個偽裝的地址和端口，讓這個偽裝的地址和端口通過非安全網卡與外部網絡連接，這樣對外就隱藏了真實的內部網絡地址。在外部網絡通過非安全網卡訪問內部網絡時，它並不知道內部網絡的連接情況，而只是通過一個開放的IP地址和端口來請求訪問。OLM防火牆根據預先定義好的映射規則來判斷這個訪問是否安全。當符合規則時，防火牆認為訪問是安全的，可以接受訪問請求，也可以將連接請求映射到不同的內部計算機中。當不符合規則時，防火牆認為該訪問是不安全的，不能被接受，防火牆將屏蔽外部的連接請求。網絡地址轉換的過程對於用戶來說是透明的，不需要用戶進行設置，用戶只要進行常規操作即可。

    （3）代理型

　　代理型防火牆也可以被稱為代理服務器,它的安全性要高於包過濾型產品,並已經開始向應用層發展。代理服務器位於客戶機與服務器之間,完全阻擋了二者間的數據交流。從客戶機來看,代理服務器相當於一台真正的服務器;而從服務器來看,代理服務器又是一台真正的客戶機。當客戶機需要使用服務器上的數據時,首先將數據請求發給代理服務器,代理服務器再根據這一請求向服務器索取數據,然後再由代理服務器將數據傳輸給客戶機。由於外部系統與內部服務器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網絡系統。

　　代理型防火牆的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基於應用層的侵入和病毒都十分有效。其缺點是對系統的整體性能有較大的影響,而且代理服務器必須針對客戶機可能產生的所有應用類型逐一進行設置,大大增加了系統管理的復雜性。

　　（4）監測型

　　監測型防火牆是新一代的產品,這一技術實際已經超越了最初的防火牆定義。監測型防火牆能夠對各層的數據進行主動的、實時的監測,在對這些數據加以分析的基礎上,監測型防火牆能夠有效地判斷出各層中的非法侵入。同時,這種檢測型防火牆產品一般還帶有分布式探測器,這些探測器安置在各種應用服務器和其他網絡的節點之中,不僅能夠檢測來自網絡外部的攻擊,同時對來自內部的惡意破壞也有極強的防范作用。據權威機構統計,在針對網絡系統的攻擊中,有相當比例的攻擊來自網絡內部。因此,監測型防火牆不僅超越了傳統防火牆的定義,而且在安全性上也超越了前兩代產品。

　　雖然監測型防火牆安全性上已超越了包過濾型和代理服務器型防火牆,但由於監測型防火牆技術的實現成本較高,也不易管理,所以目前在實用中的防火牆產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監測型防火牆。基於對系統成本與安全技術成本的綜合考慮,用戶可以選擇性地使用某些監測型技術。這樣既能夠保證網絡系統的安全性需求,同時也能有效地控制安全系統的總擁有成本。

　　雖然防火牆是目前保護網絡免遭黑客襲擊的有效手段，但也有明顯不足：無法防范通過防火牆以外的其它途徑的攻擊，不能防止來自內部變節者和不經心的用戶們帶來的威脅，也不能完全防止傳送已感染病毒的軟件或文件，以及無法防范數據驅動型的攻擊。

　　2．加密技術

　　信息交換加密技術分為兩類：即對稱加密和非對稱加密。具體如下：

　　（1）對稱加密技術

　　在對稱加密技術中，對信息的加密和解密都使用相同的鑰，也就是說一把鑰匙開一把鎖。這種加密方法可簡化加密處理過程，信息交換雙方都不必彼此研究和交換專用的加密算法。如果在交換階段私有密鑰未曾洩露，那麼機密性和報文完整性就可以得以保證。對稱加密技術也存在一些不足，如果交換一方有N個交換對象，那麼他就要維護N個私有密鑰