计算机网络安全
计算机网络安全(Computer Network Security)
目录 |
什么是计算机网络安全[1]
计算机网络安全是指利用网络管理控制和技术措施，保证在一个网络环境里数据的保密性、完整性及可使用性受到保护。
计算机网络安全的特点[2]
(1)计算机网络的通信线路是一个很明显的不安全因素，利用卫星通讯或是电话线传递信息对窃听者来说可以很容易地进行侦收、截取、破译，以获取有价值的信息或情报。
(2)网络威胁的隐蔽性和潜在性增加了保证安全的难度，如窃取、侦听、传播病毒这些行为都是隐蔽的，防范的对象广泛并难以明确。
(3)网络安全涉及多学科领域，既有社会科学，又有自然科学和技术。进网的用户越多，对人员教育和管理的难度就越大，电子技术越发展，对网络进攻的手段也就日益巧妙和多样化，而且网络作案远离现场，犯罪时间短，易被发现。
(4)网络安全也是相对的，即很难建立一个绝对安全的网络，因此，网络时刻有风险。网络安全标准和措施是在多种因素中寻找一种平衡，这本身就造成了一种危险概率。另外，安全措施与系统使用的灵活性、方便性也相日：存在着矛盾。
(5)网络由于不安全受到的损害远远人于单机系统所受到的损害，任何有意或无意的攻击都有可能使网络上的成百上千台机器处于二瘫痪。
计算机网络安全的威胁[3]
计算机网络的主要功能是通信，信息在网络中的流动过程有可能受到中断、截取、修改或捏造等形式的安全攻击。信息在网络中正常流动和受到安全攻击的示意如图1-1所示。
(1)中断，是指破坏者采取物理或逻辑方法中断通信双方的正常通信，如切断通信线路、禁用文件管理系统等。
(2)截取，是指未授权者非法获得访问权，截获通信双方的通信内容。
(3)修改，是指未授权者非法截获通信双方的通信内容后，进行恶意篡改。
(4)捏造，是指未授权者向系统中插入伪造的对象，传输欺骗性消息。
图1-1 网络攻击示意图
国际标准化组织ISO对开放系统互联OSI环境中计算机网络进行深入研究以后，进一步定义了以下11种威胁。
(1)伪装。威胁源成功地假扮成另一个实体，随后滥用这个实体的权利。
(2)非法连接。威胁源以非法的手段形成合法的身份，在网络实体与网络之间建立非法连接。
(3)非授权访问。威胁源成功地破坏访问控制服务，如修改访问控制文件的内容，实现了越权访问。
(4)拒绝服务。阻止合法的网络用户或其他合法权限的执行者使用某项服务。
(5)抵赖。网络用户虚假地否认递交过信息或接收到信息。
(6)信息泄露。未经授权的实体获取到传输中或存放着的信息，造成泄密。
(7)通信量分析。威胁源观察通信协议中的控制信息，或对传输过程中信息的长度、频率、源及目的进行分析。
(8)无效的信息流。对正确的通信信息序列进行非法修改、删除或重复，使之变成无效信息。
(9)篡改或破坏数据。对传输的信息或存放的数据进行有意的非法修改或删除。
(10)推断或演绎信息。由于统计数据信息中包含原始的信息踪迹，非法用户利用公布的统计数据，推导出信息源的来源。
(11)非法篡改程序。威胁源破坏操作系统、通信软件或应用程序。
以上所描述的种种威胁大多由人为造成，威胁源可以是用户，也可以是程序。除此之外，还有其他一些潜在的威胁，如电磁辐射引起的信息失密、无效的网络管理等。研究网络安全的目的就是尽可能地消除这些威胁。
计算机网络安全的技术[4]
现在，高速发展的互联网已经深入到社会生活的各个方面。对个人而言，互联网已使人们的生活方式发生了翻天覆地的变化：对企业而言，互联网改变了企业传统的营销方式及内部管理机制。但是，在享受信息的高度网络化带来的种种便利之时，还必须应对随之而来的信息安全方面的种种挑战，因为没有安全保障的网络可以说是一座空中楼阁，安全性已逐渐成为网络建设的第一要素。特别随着网络规模的逐渐增大，所存储的数据的逐渐增多，使用者要想确保自己的资源不受到非法的访问与篡改，就要用到访问控制机制，这就必须要掌握一些相关的网络安全技术。
1、数据加密与认证
加密将防止数据被查看或修改，并在不安全的信道上提供安全的通信信道。加密的功能是将明文通过某种算法转换成一段无法识别的密文。在古老的加密方法中，加密的算法和加密的密钥都必须保密，否则就会被攻击者破译。例如，古人将一段羊皮条缠绕在一根圆木上，然后在其上写下要传送书信的内容，展开羊皮条后这些书信内容将变成一堆杂乱的图文，那么这种将羊皮条缠绕在圆木上的做法可视为加密算法，而圆木棍的粗细、皮条的缠绕方向就是密钥。在现代加密体系中，算法的私密性已经不需要了，信息的安全依赖于密钥的保密性。一般的数据加密模型见图1-2。
图1-2 一般的数据加密模型
数字认证技术泛指使用现代计算机技术和网络技术进行的认证。数字认证的引入对社会的发展和进步有很大帮助，数字认证可以减少运营成本和管理费用。数字认证可以减少金融领域中的多重现金处理和现金欺诈。随着现代网络技术和计算机技术的发展，数字欺诈的现象越来越普遍，比如说，用户名下文件和资金传输可能会被伪造或更改。
数字认证提供了一种机制使用户能证明其发出信息来源的正确性和发出信息的完整性。数字认证的另一主要作用是操作系统可以通过它来实现对资源的访问控制。
2、防火墙
“防火墙”是由计算机硬件和软件组合使互联网与内部网之间建立起一个安全网关(security gateway)，从而保护内部网免受非法用户的侵入。它其实就是一个把互联网与内部网(通常为局域网或城域网)隔开的屏障。
防火墙作为最早出现的网络安全产品和使用量最大的安全产品，也受到用户和研发机构的青睐。以往在没有防火墙时，局域网内部上的每个节点都暴露给Intemet上的其他主机，此时局域网的安全性要由每个节点的坚固程度来决定，并且安全性等同于其中最弱的节点。而防火墙是放置在局域网与外部网络之间的一个隔离设备，它可以识别并屏蔽非法请求，有效地防止跨越权限的数据访问。防火墙将局域网的安全性统一到它本身，网络安全性是在防火墙系统上得到加固，而不是分布在内部网络的所有节点上，这就简化了局域网的安全管理。
防火墙是由软件、硬件构成的系统，用来在两个网络之间实施接入控制策略。接入控制策略是由使用防火墙的单位自行制订的，为的是可以最适合本单位的需要。防火墙内的网络称为“可信赖的网络”(trusted network)，而将外部的因特网称为“不可信赖的网络”(untrusted network)。防火墙可用来解决内联网和外联网的安全问题。设立防火墙的目的是保护内部网络不受外部网络的攻击，以及防止内部网络的用户向外泄密。
3、入侵检测
传统上，一般采用防火墙作为系统安全的第一道屏障。但是随着网络技术的高速发展，攻击者技术的日趋成熟，攻击手法的日趋多样，单纯的防火墙已经不能很好地完成安全防护工作。入侵检测技术是继“防火墙”、“数据加密”等传统安全保护措施后新一代的安全保障技术。
入侵指的就是试图破坏计算机保密性、完整性、可用性或可控性的一系列活动。入侵活动包括非授权用户试图存取数据、处理数据或者妨碍计算机的正常运行。入侵检测是对入侵行为的检测，它通过收集和分析计算机网络或计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前响应入侵并进行拦截。
从技术上划分，入侵检测有两种检测模型。
(1)异常检测模型：检测与可接受行为之间的偏差。如果可以定义每项可接受的行为，那么每项不可接受的行为就应该是入侵。首先总结正常操作应该具有的特征(用户轮廓)，当用户活动与正常行为有重大偏离时即被认为是入侵。这种检测模型漏报率低，误报率高。因为它不需要对每种入侵行为进行定义，所以能有效地检测未知的入侵。
(2)误用检测模型：检测与已知的不可接受行为之间的匹配程度。如果可以定义所有的不可接受行为，那么每种能够与之匹配的行为都会引起报警。收集非正常操作的行为特征，建立相关的特征库，当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵。这种检测模型误报率低、漏报率高。对于已知的攻击，它可以详细、准确地报告出攻击类型，但是对未知攻击却效果有限，而且特征库必须不断更新。
按照检测对象划分，入侵检测有3种模型。
(1)基于主机：系统分析的数据是计算机操作系统的事件日志、应用程序的事件日志、系统调用、端口调用和安全审计记录。主机型入侵检测系统保护的一般是所在的主机系统，是由代理(agent)来实现的。代理是运行在目标主机上的小的可执行程序，它们与命令控制台(console)通信。
(2)基于网络：系统分析的数据是网络上的数据包。网络型入侵检测系统担负着保护整个网段的任务，基于网络的入侵检测系统由遍及网络的传感器(sensor)组成。传感器是一台将以太网卡置于混杂模式的计算机，用于嗅探网络上的数据包。
(3)混合型：基于网络和基于主机的入侵检测系统都有不足之处，会造成防御体系的不全面，而综合了基于网络和基于主机的混合型入侵检测系统既可以发现网络中的攻击信息，也可以从系统日志中发现异常情况。
4、计算机病毒防治
编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码被称为计算机病毒。具有破坏性，复制性和传染性。
计算机病毒是一种在计算机系统运行过程中能把自身精确复制或有修改地复制到其他程序内的程序。它隐藏在计算机数据资源中，利用系统资源进行繁殖，并破坏或干扰计算机系统的正常运行。杀毒软件肯定是见得最多，也用得最为普遍的安全技术方案，因为这种技术实现起来最为简单，但杀毒软件的主要功能就是杀毒，功能十分有限，不能完全满足网络安全的需要。这种方式对于个人用户或小企业或许还能满足需要，但如果个人或企业有电子商务方面的需求，就不能完全满足了。可喜的是随着杀毒软件技术的不断发展，现在的主流杀毒软件同时还可以预防木马及其他的一些黑客程序的入侵。还有的杀毒软件开发商同时提供了软件防火墙，具有了一定防火墙功能，在一定程度上能起到硬件防火墙的功效，如KV3000、金山防火墙、Norton防火墙等。
计算机网络安全的现状[4]
互联网与生俱有的开放性、交互性和分散性特征使人类所憧憬的信息共享、开放、灵活和快速等需求得到满足。网络环境为信息共享、信息交流、信息服务创造了理想空间，网络技术的迅速发展和广泛应用，为人类社会的进步提供了巨大推动力。正是由于互联网的上述特性，产生了许多安全问题：
1、黑客这是指Intemet上一批熟悉网络技术的人，经常利用网络上现存的一些漏洞，设法进入他人的计算机系统。有些人只是为了好奇，而有些人是存在不良动机侵入他人系统，他们偷窥机密信息，或将其计算机系统破坏，这部分人就被称为“黑客”。进入21世纪以来，尽管人们在计算机技术上做出了种种努力，但这种攻击却是愈演愈烈。从单一地利用计算机病毒搞破坏和用黑客手段进行入侵攻击转变为使用恶意代码与黑客攻击手段结合的方式，使得这种攻击具有传播速度惊人、受害面惊人和穿透深度广的特点，往往一次攻击就会给受害者带来严重的破坏和损失。
2、信息泄漏、信息污染、信息不易受控。例如，资源未授权侵用、未授权信息流出现、系统拒绝信息流和系统否认等，这些都是信息安全的技术难点。
3、在网络环境中，一些组织或个人出于某种特殊目的，进行信息泄密、信息破坏、信息侵权和意识形态的信息渗透，甚至通过网络进行政治颠覆等活动，使国家利益、社会公共利益和各类主体的合法权益受到威胁。
4、网络运用的趋势是全社会广泛参与，随之而来的是控制权分散的管理问题。由于人们利益、目标、价值的分歧，使信息资源的保护和管理出现脱节和真空，从而使信息安全问题变得广泛而复杂。
5、随着社会重要基础设施的高度信息化，社会的“命脉”和核心控制系统有可能面临恶意攻击而导致损坏和瘫痪，包括国防通信设旌、动力控制网、金融系统和政府网站等。
近年来，人们的网络安全意识逐步提高，很多企业根据核心数据库和系统运营的需要，逐步部署了防火墙、防病毒和入侵监测系统等安全产品，并配备了相应的安全策略。虽然有了这些措施，但并不能解决一切问题。我国网络安全问题日益突出，其主要表现为以下几个方面。
1、安全事件不能及时准确发现
网络设备、安全设备、系统每天生成的日志可能有上万甚至几十万条，这样人工地对多个安全系统的大量日志进行实时审计、分析流于形式，再加上误报(典型的如NmS、IPS)、漏报(如未知病毒、未知网络攻击、未知系统攻击)等问题，造成不能及时准确地发现安全事件。
2、安全事件不能准确定位
信息安全系统通常是由防火墙、入侵检测、漏洞扫描、安全审计、防病毒、流量监控等产品组成的，但是由于安全产品来自不同的厂商，没有统一的标准，所以安全产品之间无法进行信息交流，于是形成许多安全孤岛和安全盲区。由于事件孤立，相互之间无法形成很好的集成关联，因而一个事件的出现不能关联到真实问题。
如入侵监测系统事件报警，就须关联同一时间防火墙报警、被攻击的服务器安全日志报警等，从而了解是真实报警还是误报；如是未知病毒的攻击，则分为两类：网络病毒、主机病毒。网络病毒大都表现为流量异常，主机病毒大都表现为中央处理器异常、内存异常、磁盘空间异常、文件的属性和大小改变等。要发现这个问题，需要关联流量监控(网络病毒)、关联服务器运行状态监控(主机病毒)、关联完整性检测(主机病毒)来发现。为了预防网络病毒大规模爆发，则必须在病毒爆发前快速发现中毒机器并切断源头。如服务器的攻击，可能是安全事件遭病毒感染；DDos攻击，可能是服务器CPu超负荷；端口某服务流量太大、访问量太大……必须将多种因素结合起来才能更好地分析，快速知道真实问题点并及时恢复正常。
DDoS(分布式拒绝服务)，它的英文全称为Distributed DeIlial of Service，它是一种基于Dos的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，主要瞄准比较大的站点，像商业公司，搜索引擎和政府部门的站点。DDoS攻击是利用一批受控制的机器向一台机器发起攻击，这样来势迅猛的攻击令人难以防备，因此具有较大的破坏性。
3、无法做集中的事件自动统计
某台服务器的安全情况报表、所有机房发生攻击事件的频率报表、网络中利用次数最多的攻击方式报表、发生攻击事件的网段报表、服务器性能利用率最低的服务器列表等，需要管理员人为去对这些事件做统计记录，生成报告，从而耗费大量人力。
4、缺乏有效的事件处理查询
没有对事件处理的整个过程做跟踪记录，信息部门主管不了解哪些管理员对该事件进行了处理，处理过程和结果也没有做记录，使得处理的知识经验不能得到共享，导致下次再发生类似事件时，处理效率的低下。
5．缺乏专业的安全技能
管理员发现问题后，往往因为安全知识的不足导致事件迟迟不能被处理，从而影响网络的安全性、延误网络的正常使用。
影响计算机网络安全的因素[4]
Intemet在其早期是一个开放的为研究人员服务的网际网，是非盈利性的信息共享载体，所以几乎所有的Intemet协议都没有考虑安全机制。这点从Intemet上最通用的应用FTP、Telnet和电子邮件中的用户口令的明文传输以及IP报文在子网段上的广播传递能充分地体现出来。只是近些年来，Intemet的性质和使用人员的情况发生了很大的变化，使得Intemet的安全问题显得越来越突出。随着Intemet的全球普及和商业化，用户越来越私人化，如信用卡号等同其自身利益相关的信息也通过Internet传输，而且越来越多的信息放在网上是为了盈利，并不是完全免费的信息共享，所以其安全性也成为人们日趋关注的问题。
1、计算机系统因素
计算机系统的脆弱性主要来自于操作系统的不安全性，在网络环境下，还来源于通信协议的不安全性。就前面所介绍的安全等级而言，全世界达到B3的系统只有一两个，达到A1级别的操作系统目前还没有。WiIldows XP、Windows SeⅣer 2003和Linu)(操作系统达到了C2级别，但仍然存在着许多安全漏洞。
其次，每一个计算机系统都存在超级用户(如LiIlux中的root，W协dows SerVer 2003中的Adminis仃ator)，如果入侵者得到了超级用户口令，整个系统将完全受控于入侵者。现在，人们正在研究一种新型的操作系统，在这种操作系统中没有超级用户，也就不会存在由超级用户带来的问题。现在很多系统都使用静态口令来保护系统，但口令还是有很大的破解可能性，而且不好的口令维护制度会导致口令被人盗用。口令丢失也就意味着安全系统的全面崩溃。
最后，计算机可能会因硬件或软件故障而停止运转，或被入侵者利用并造成损失。世界上没有能长久运行的计算机，计算机可能会因硬件或软件的故障而停止运转，或被入侵者利用而造成损失。硬盘故障、电源故障和芯片、主板故障都是人们应考虑的硬件故障问题，软件故障则可能出现在操作系统中，也可能出现在应用软件当中。
2、操作系统因素
操作系统是计算机重要的系统软件，它控制和管理计算机所有的软硬件资源。由于操作系统的重要地位，攻击者常常以操作系统为主要攻击目标。入侵者所做的一切，也大都是围绕着这个中心目标的。
首先，无论哪一种操作系统，其体系结构本身就是不安全的一种因素。由于操作系统的程序是可以动态链接的，包括I/O的驱动程序与系统服务都可以用打补丁的方法升级和进行动态链接。该产品的厂商可以使用这种方法，“黑客”成员也可以使用，这种动态链接方法也正是计算机病毒产生的温床。操作系统支持的程序动态链接与数据动态交换是现代系统集成和系统扩展的必备功能，因此，这是相互矛盾的两个方面。
另一个原因在于它可以创建进程，即使在网络的节点上同样也可以进行远程进程的创建与激活，更重要的是被创建的进程具有可以继续创建过程的权力。这一点加上操作系统支持在网络上传输文件，在网络上能加载程序，二者结合起来就构成可以在远端服务器上安装“间谍”软件的条件。如果把这种“间谍”软件以打补丁的方式“打”入合法用户上，尤其是“打”在特权用户上，那么，系统进程与作业监视程序根本监测不到“间谍”的存在。
操作系统中，通常都有一些守护进程，这种软件实际上是一些系统进程，它们总是等待一些条件的出现。一旦这些条件出现，程序就可以运行下去，这些软件常常被黑客利用。问题不在于有没有这些守护进程，而在于它们在Linux、Windows操作系统中具有与其他操作系统核心层软件同等的权限。
最后，网络操作系统提供的远程过程调用(RPC)服务以及它所安排的无口令入口也是黑客的通道。操作系统都提供远程进程调用(RPC)服务，而它们提供的安全验证功能却很有限。
操作系统有Debug(调试)和Wizard(向导)功能。许多黑客精通这些功能，利用这些技术，他们几乎可以为所欲为。操作系统安排的口令入口是为系统开发人员提供的便捷入口，但也经常被黑客所利用。操作系统还提供了隐蔽的通道。这种系统不但复杂，而且存在一定的内在危险——危险之一就是授权进程或用户的访问权限可能导致用户得到限定之外的访问权力。
3、人为因素
所有的网络系统都离不开人的管理，但大多数情况下又缺少安全管理员，特别是高素质的网络管理员。人为的无意失误是造成网络不安全的重要原因。网络管理员在这方面不但肩负重任，还面临着越来越大的压力——稍有考虑不周，安全方面配置不当，就会造成安全漏洞。另外，用户安全意识不强，不按照安全规定操作，如口令选择不慎，将自己的账户随意转借他人或与别人共享，都会对网络安全带来威胁。