1、網絡安全的重要性10.1網絡安全技術研究的基本問題10.2網絡安全策略的設計與實現10.3訪問控制與設備安全10.4目錄Contents防火墻技術10.5網絡攻擊與防衛10.6網絡文件的備份與恢復10.7網絡防病毒技術10.8 計算機網絡應用對經濟、文化、教育、科學等領域有重要影響，同時也不可避免帶來一些新的社會、道德與法律問題。Internet技術的發展促進電子商務技術的成熟，大量的商業信息與資金通過計算機網絡在世界各地流通，這已經對世界經濟發展產生了重要的影響。政府上網工程的實施使各級政府、部門之間利用網絡進行課堂學習、查閱資料與提交作業。網絡正在改變著人們的工作、生活與思維方式，對提高人

2、們的生活質量產生重要的影響。發展網絡技術已成為國民經濟現代化建設的重要基礎。 計算機網絡應用對社會發展有著正面作用，同時還必須注意到它所帶來的負面影響。用戶可以通過計算機網絡快速地獲取、傳輸與處理各種信息，涉及政治、經濟、教育、科學與文化等領域。但是，計算機網絡在給廣大用戶帶來方便的同時，也必然會給個別不法分子帶來可乘之機，通過網絡非法獲取重要的經濟、政治、軍事、科技情報，或是進行信息欺炸、破壞與網絡攻擊等犯罪活動。另外，也會出現涉及個人隱私的法律與道德問題，如利用網絡發表不負責任或損害他人利益的信息等。 計算機犯罪正在引起整個社會的普遍關注，而計算機網絡是犯罪分子攻擊的重點。計算機犯罪是一種

3、高技術型犯罪，其隱蔽性對網絡安全構成了很大的威脅。根據有關統計資料表明，計算機犯罪案件以每年超過100%的速度增長，網絡被攻擊的事件以每年10倍的速度增長。從1986年發現首例計算機病毒以來，20年間病毒數量正以幾何級數增長，目前已經發現了超過10萬種病毒。網絡攻擊者在世界各地尋找襲擊網絡的機會，他們的活動幾乎到了無孔不入的地步，國防與金融網絡成為計算機犯罪的主攻目標。目前，美國金融界由計算機犯罪造成的損失金額每年超過百億美元。 黑客（Hacker）的出現是信息社會不容忽視的現象。黑客一般被認為是計算機狂熱者的代名詞，他們一般是對計算機有狂熱愛好的學生。當麻省理工學院購買第一臺計算機供學生使用

4、時，這些學生通宵達旦地寫程序與其他同學共享。后來，人們對黑客有了進一步的認識：黑客中的大部分人不傷害別人，但是也會做一些不應該做的事情；部分黑客不顧法律與道德的約束，由于尋求刺激、被非法組織收買或對某個企業、組織報復心理，而肆意攻擊與破壞一些企業、組織的計算機網絡，這部分黑客對網絡安全有很大的危害。研究黑客行為與防止攻擊是網絡安全研究的一個重要內容。 Internet的廣泛應用開始影響企業內部網的開發模式，用戶希望在任何地方都可以方便地訪問企業內部網中的任何計算機。在個人計算機中漫游Internet世界給普通用戶帶來無窮的樂趣，但是將信息系統連入Internet對企業是一場噩夢。由于大多數企業

5、都有一些重要的資料，如市場策略、客戶名單、財務資料、產品開發計劃等，泄漏這些經濟情報對企業來說是致命的危險。如果某個企業內部網中的計算機遭到攻擊，輕者會造成信息丟失或錯誤，重者會造成信息系統癱瘓，將會給企業造成嚴重的經濟損失。 電子商務的興起對網站的安全性要求越來越高。2001年初，在美國的著名網站被襲事件中，Yahoo、Amazon、eBay、CNN等重要網站接連遭到黑客攻擊，這些網站被迫中斷服務達數小時，據估算造成的損失高達12億美元。網站被襲事件使人們對網絡安全的信心受到重創。以癱瘓網絡為目標的襲擊破壞性大、造成危害速度快、影響范圍廣，而且更難于防范與追查。襲擊者本身所冒的風險卻非常小，

6、甚至在襲擊開始前就消失得無影無蹤，使被襲擊者沒有實施追蹤的可能。目前，個人、企業或政府的計算機網絡都受到黑客威脅，大至國家機密、商業秘密，小到個人隱私，都隨時可能被黑客發現、利用與泄露。 計算機網絡安全涉及一個系統的概念，它包括技術、管理與法制環境等多方面。只有不斷健全有關網絡與信息安全的法律、法規，提高網絡管理人員的素質、法律意識與技術水平，提高用戶自覺遵守網絡使用規則的自覺性，提高網絡與信息系統安全防護的技術水平，才可能不斷改善網絡與信息系統的安全狀況。人類社會靠道德與法律來維系。計算機網絡與Internet的安全也需要保證，必須加強網絡使用方法、網絡安全與道德教育，研究與開發各種網絡安全

7、技術與產品，同樣要重視“網絡社會”中的“道德”與“法律”，這對于人類來說是一個新的研究課題。 目前，網絡安全問題已成為信息化社會的焦點問題。每個國家只能立足于本國，研究自己的網絡安全技術，培養自己的專門人才，發展自己的網絡安全產業，才能構筑本國的網絡與信息安全防范體系。因此，我國的網絡與信息安全技術的自主研究與產業發展，是關系到國計民生與國家安全的關鍵問題。研究網絡安全技術與學習網絡安全知識，也是計算機網絡課程的一項重要內容。網絡安全的重要性10.1網絡安全技術研究的基本問題10.2網絡安全策略的設計與實現10.3訪問控制與設備安全10.4目錄Contents防火墻技術10.5網絡攻擊與防衛1

8、0.6網絡文件的備份與恢復10.7網絡防病毒技術10.8 網絡中的各個環節所暴露出的脆弱點導致了網絡安全受到極大的威脅，這些脆弱點可能包括以下的內容：通信設備：大多數網絡通信設備都有可能存在安全隱患，例如各種設備的損壞，包括信號設備，網絡設備和服務器等，從而造成網絡不能正常工作。網絡傳輸介質：用于連接網絡的雙絞線、同軸電纜、電線或其他通信介質很容易受到毀壞、破壞和攻擊。網絡連接：遠程訪問系統的好處在于網絡管理員可以方便地從遠端控制設備，但也正是由于遠程訪問系統，使得網絡安全遭受巨大的威脅，而調制解調器和撥號連接方式可能就是最大的脆弱點。網絡操作系統：網絡操作系統通過訪問控制、授權和選擇性控制特

9、性幫助維護系統安全，但網絡操作系統設計上的漏洞也是網絡安全的脆弱點。病毒攻擊：病毒是影響網絡系統最重要的因素之一，由于網絡系統中的各種設備都是相互連接的，如果某一個設備（如服務器）受到了病毒的攻擊，它就可能影響到整個網絡。物理安全：網絡中包括了各種復雜的硬件、軟件和專用的通信設備，而對于物理上的安全問題而言，有時候，即便是很小的問題都有可能導致災難性的后果。因此，保護計算機系統各種設備的物理安全也是極其重要的。二.計算機網絡的形成10.2.1 網絡安全的脆弱點 計算機網絡是為了將單獨的計算機互連起來，提供一個可以將資源或信息共享的通信環境。網絡安全技術就是通過解決網絡安全存在的問題，以保護信息

10、在網絡環境中存儲、處理與傳輸的安全。網絡安全技術首先要研究威脅網絡安全的主要因素，大致可以歸納為以下6個方面的問題。二.計算機網絡的形成10.2.2 威脅網絡安全的主要因素1網絡防攻擊問題 為保證運行在網絡環境中的信息系統安全，首要問題就是保證網絡自身能正常工作。首先要解決的問題是如何防止網絡被攻擊。 Internet中的網絡攻擊可以分為兩種類型：服務攻擊與非服務攻擊。服務攻擊是指對網絡中提供某種服務的服務器發起攻擊，造成該網絡的拒絕服務與網絡工作不正常。例如，攻擊者可能針對一個網站的WWW服務，他會設法使該網站的WWW服務器癱瘓或修改主頁，使得該網站的WWW服務失效或不能正常工作。非服務攻擊

11、是指對網絡通信設備（如路由器、交換機）發起攻擊，使得網絡通信設備的工作嚴重阻塞或癱瘓，這樣就會造成小到一個局域網，大到一個或幾個子網不能正常工作。 網絡安全研究人員都懂得：知道自己被攻擊就贏了一半。網絡安全防護的關鍵是如何檢測到網絡被攻擊，檢測到網絡被攻擊后采取怎樣的處理辦法，將網絡被攻擊產生的損失控制到最小。因此，研究網絡可能遭到哪些人的攻擊，攻擊類型與手段可能有哪些，如何及時檢測并報告網絡被攻擊，以及相應的網絡安全策略與防護體系。這些問題既是網絡安全技術研究的主要內容，也是當前網絡安全技術研究的熱點問題。2網絡安全漏洞與對策問題 計算機網絡系統的運行一定會涉及到：計算機硬件與操作系統、網絡

12、硬件與軟件、數據庫管理系統、應用軟件，以及網絡通信協議等。各種計算機硬件與操作系統、應用軟件都會存在一定的安全問題，它們不可能是百分之百無缺陷或無漏洞的。UNIX是Internet中應用最廣泛的網絡操作系統，但是在不同版本的UNIX操作系統中，或多或少都會找到能被攻擊者利用的漏洞。TCP/IP協議是Internet使用的基本協議，該協議中也會找到被攻擊者利用的漏洞。用戶開發的各種應用軟件可能會出現更多能被攻擊者利用的漏洞。 這些問題的存在是不足為奇的，因為很多軟件與硬件中的問題，在研制與產品測試中大部分會被發現與解決，但是總會遺留下一些問題。這些問題只能在使用過程中不斷被發現。這是非常自然的事

13、，否則技術就無法進步。不過需要注意的是：網絡攻擊者在尋找這些安全漏洞，并將這些漏洞作為攻擊網絡的首選目標。這就要求網絡安全研究人員與網絡管理人員也必須主動地了解計算機硬件與操作系統、網絡硬件與軟件、數據庫管理系統、應用軟件，以及網絡通信協議可能存在的安全問題，利用各種軟件與測試工具檢測網絡可能存在的各種安全漏洞，并及時提出解決方案與對策。Internet分組非法結點（a）截獲信息Internet分組（b）竊聽信息非法結點Internet分組分組非法結點（c）篡改信息Internet分組非法結點（d）偽造信息圖10-1 信息在網絡傳輸中被攻擊的類型3網絡中信息的安全保密問題 網絡中的信息安全保密

14、主要包括兩個方面：信息存儲安全與信息傳輸安全。信息存儲安全是指保證存儲在聯網計算機中的信息不被未授權的網絡用戶非法訪問。信息存儲安全一般由網絡操作系統、數據庫管理系統、應用軟件與防火墻共同完成，通常有用戶口令、用戶訪問權限、身份認證、數據加密與結點地址過濾等方法。 信息傳輸安全是指保證信息在網絡傳輸過程中不被泄露或攻擊。信息在網絡傳輸中被攻擊可以分為4種類型：截獲信息、竊聽信息、篡改信息與偽造信息。圖10-1給出了信息在網絡傳輸中被攻擊的類型。其中，截獲信息是指信息從源結點發出后被攻擊者非法截獲，而目的結點沒有接收到該信息的情況；竊聽信息是指信息從源結點發出后被攻擊者非法竊聽，同時目的結點接收

15、到該信息的情況；篡改信息是指信息從源結點發出后被攻擊者非法截獲，并將經過修改的信息發送給目的結點的情況；偽造信息是指源結點并沒有信息發送給目的結點，攻擊者冒充源結點將信息發送給目的結點的情況。 網絡信息安全的主要技術是數據加密與解密算法。數據加密與解密算法是密碼學研究的主要問題。4網絡內部安全防范問題 除了上述可能對網絡安全構成威脅的因素，還有一些威脅主要是來自網絡內部。首先，如何防止源結點用戶發送信息后不承認，或是目的結點接收信息后不承認，即出現抵賴問題。“防抵賴”是網絡對信息傳輸安全保障的重要內容之一。如何防抵賴也是電子商務應用必須解決的重要問題。網絡安全技術需要通過身份認證、數字簽名、第

16、三方認證等方法，來確保信息傳輸的合法性與防止出現抵賴現象。 其次，如何防止合法用戶有意或無意做出對網絡、信息安全有害的行為，這些行為主要包括：有意或無意泄露網絡管理員或用戶口令；違反網絡安全規定，繞過防火墻私自與外部網絡連接，造成系統安全漏洞；超越權限查看、修改與刪除系統文件、應用程序與數據；超越權限修改網絡系統配置，造成網絡工作不正常；私自將帶有病毒的磁盤等拿到企業網絡中使用。這類問題經常出現并且危害性極大。 解決網絡內部的不安全因素必須從技術與管理兩方面入手：通過網絡管理軟件隨時監控網絡與用戶工作狀態；對重要資源（如主機、數據庫、磁盤等）的使用狀態進行記錄與審計。同時，制定和不斷完善網絡使

17、用和管理制度，加強用戶培訓和管理。5網絡防病毒問題 病毒對計算機系統和網絡安全造成了極大的威脅，通常病毒在發作時會破壞數據，使軟件的工作不正常或癱瘓，有些病毒的破壞性更大，它們甚至能破壞硬件系統。隨著網絡的使用，病毒傳播的速度更快，范圍更廣，造成的損失也更加嚴重。據統計，目前70%的病毒發生在網絡中。聯網計算機的病毒傳播速度是單機的20倍，網絡服務器殺毒花費的時間是單機的40倍。有些網絡病毒甚至會破壞系統硬件。 有些網絡設計人員在目錄結構、用戶組織、數據安全性、備份與恢復方法，以及系統容錯技術上采取嚴格的措施，但是沒有重視網絡防病毒問題。也許有一天，某個用戶從家里帶來一個已染上病毒的移動磁盤，

18、沒有遵守網絡使用制度在辦公室的計算機中打開磁盤，網絡很可能會在這以后的某個時刻癱瘓。 網絡防病毒需要從防病毒技術與用戶管理者兩方面著手解決。6網絡數據備份與恢復問題 在實際的網絡運行環境中，數據備份與恢復功能是非常重要的。網絡安全可以從預防、檢查、反應等方面著手，以便減少網絡信息系統的不安全因素，但要完全保證不出現網絡安全問題是不可能的。如果出現網絡故障造成數據丟失，數據能不能恢復是個很重要的問題。 網絡系統的硬件與軟件都可以用錢買來。數據是多年積累的結果并且可能價值連城，因此它可以說是一個企業的生命。如果數據丟失并且不能恢復，就可能會給企業與客戶造成不可挽回的損失。國外已出現過企業網絡系統遭

19、到破壞時，由于網絡管理員沒有保存足夠的備份數據而無法恢復，造成無可挽回的損失并導致企業破產。因此，一個實用的網絡信息系統設計中必須考慮數據備份與恢復手段，這也是網絡安全研究的一個重要內容。 網絡安全包括3個方面的內容：安全攻擊（Security Attack）、安全機制（Security Mechanism）與安全服務（Security Service）。其中，安全攻擊是指有損于網絡信息安全的操作；安全機制是指用于檢測、預防或從安全攻擊中恢復的機制；安全服務是指提高網絡系統中的信息傳輸安全性的服務。網絡安全服務應提供以下幾種基本服務功能：二.計算機網絡的形成10.2.3 網絡安全服務的主要內容

20、1保密性（Confidentiality） 保密性是計算機網絡安全的一個重要方面，它在于防止用戶非法獲取關鍵的敏感信息，避免機密信息的泄露。 目前，政府和軍事部門紛紛上網，電子商務得到日益廣泛的應用，人們越來越多地通過網絡傳輸數據來完成網絡操作，因此，網絡上傳輸的數據的機密性和敏感性也變得越來越強，如果非法用戶盜取或篡改數據，將造成不可估量的損失。因此，必須保證重要數據的機密性，以避免被非法地訪問。 加密是保護數據的一種重要方法，也是保護存儲在系統中的數據的一種有效手段，人們通常采用加密來保證數據的保密性。2認證（Authentication ） 認證服務是指對網絡中信息的源結點與目的結點的身

21、份進行確認，以防止出現假冒、偽裝成合法用戶的現象。網絡中的兩個用戶開始通信時，首先要確認對方是否合法用戶，還要保證不會有第三方在通信過程中干擾與攻擊信息交換的過程，以保證網絡中信息傳輸的安全性。3數據完整性（Data Integrity）完整性技術是保護計算機系統內軟件和數據不被非法刪改的一種技術手段，它包括軟件完整性和數據完整性。（1）軟件完整性 軟件是計算機系統的重要組成部分，它能完成各種不同復雜程度的系統功能，軟件的優點是編程人員在開發或應用過程中可以隨時對它進行更改，以使系統具有新的功能，但這種優點給系統的可靠性帶來了嚴重的威脅。 在開發應用環境下，對軟件的無意或惡意修改已經成為對計算

22、機系統安全的一種嚴重威脅。雖然目前人們把對計算機系統的討論與研究都集中在信息的非法泄露上，但是在許多應用中，軟件設計或源代碼的泄露使系統面臨著更大的威脅。非法的程序員可以對軟件進行修改，有時候這種修改是無法檢測到的，例如，攻擊者將特洛伊木馬程序引入系統軟件，在系統軟件中為自己設置一個后門，導致機密信息的非法泄露；另外，非法的程序員還可以將一段病毒程序附加到軟件中，一旦病毒感染系統，將會給系統帶來嚴重的損失，甚至會對系統造成惡意的破壞，導致系統完全癱瘓，比如臭名昭著的CIH病毒。因此，軟件產品的完整性問題對計算機系統安全的影響越來越重要。通常，人們應該選擇值得信任的系統或軟件設計者，同時還要有相

23、應的軟件測試工具來檢查軟件的完整性，以保證軟件的可靠性。5訪問控制（Access Control） 訪問控制服務是指控制與限定網絡用戶對主機、應用與服務的訪問。如果攻擊者要攻擊某個網絡，首先要欺騙或繞過網絡訪問控制機制。常用的訪問控制服務是通過身份認證與訪問權限來確定用戶身份的合法性，以及對主機、應用或服務類型的合法性。更高安全級別的訪問控制服務可以通過一次性口令、智能卡，以及個人特殊性標志（如指紋、視網膜或聲音）等方法提高身份認證的可靠性。4防抵賴（Nonrepudiation） 防抵賴服務是指保證源結點與目的結點不能否認自己收/發過信息。如果出現源結點對發送信息的過程予以否認，或目的結點對

24、已接收的信息予以否認的情況，防抵賴服務可以提供記錄說明否認方的問題。防抵賴服務對電子商務活動有重要的意義。 （2）數據完整性 數據完整性是指存儲在計算機系統中的或在系統之間傳輸的數據不受非法刪改或意外事件的破壞，以保持數據整體的完整。通常，可能造成數據完整性被破壞的原因有：系統的誤操作、應用程序的錯誤、存儲介質的損壞和人為的破壞等。二.計算機網絡的形成10.2.4 網絡安全標準1我國主要的網絡安全標準 保證網絡安全只依靠技術是遠遠不夠的，還必須依靠政府、立法機構制定與完善法律、法規來制約。目前，我國與世界各國都很重視計算機、網絡與信息安全的立法問題。從1987年開始，我國政府就相繼制定與頒布了

25、一系列行政法規，它們主要包括：電子計算機系統安全規范（1987年10月）、計算機軟件保護條例（1991年5月）、計算機軟件著作權登記辦法（1992年4月）、中華人民共和國計算機信息與系統安全保護條例（1994年2月）、計算機信息系統保密管理暫行規定（1998年2月）、全國人民代表大會常務委員會通過的關于維護互聯網安全決定（2000年12月）等。 國外關于網絡與信息安全技術與法規的研究起步較早，比較重要的組織有美國國家標準與技術協會（NIST）、美國國家安全局（NSA）、美國國防部（ARPA），以及很多國家與國際性組織（如IEEE-CS安全與政策工作組、故障處理與安全論壇等）。它們的工作重點各有

26、側重，主要集中在計算機、網絡與信息系統的安全政策、標準、安全工具、防火墻、網絡防攻擊技術，以及計 算機與網絡緊急情況處理與援助等方面。用于評估計算機、網絡與信息系統安全性的標準已有多個，最先頒布并比較有影響的是美國國防部的黃皮書（可信計算機系統TC-SEC-NCSC）評估準則。歐洲信息安全評估標準（ITSEC）最初是用來協調法國、德國、英國、荷蘭等國的指導標準，目前已經被歐洲各國所接受。2安全級別的分類 TC-SEC-NCSC將計算機系統安全等級分為4類7個等級，即D、C1、C2、B1、B2、B3與A1。其中，D級系統的安全要求最低，A1級系統的安全要求最高。（1）D類系統D類系統的安全要求最

27、低，屬于非安全保護類，不能用于多用戶環境下的重要信息處理。D類系統只有一個級別。（2）C類系統 C類系統是用戶能定義訪問控制要求的自主型保護類，它可以分為兩個等級：C1與C2級。其中，C1級系統具有一定的自主型訪問控制機制，它只要求用戶與數據應該分離。C2級系統要求用戶定義訪問控制，通過注冊認證、用戶啟動系統、打開文件的權限檢查，防止非法用戶與越權訪問信息資源的安全保護。（3）B類系統 B類系統屬于強制型安全保護類，用戶不能分配權限，只有網絡管理員可以為用戶分配訪問權限。B類系統分為三個級別：B1、B2與B3。B1級系統要求能滿足強制型保護類，它要求系統的安全模型符合標準，對保密數據打印需要經

28、過認定，系統管理員的權限要很明確。 B2級系統對安全性的要求更高，它屬于結構保護（Structure Protection）級。 B3級系統又稱為安全域（Security Domain）級系統，它要求用戶工作站或終端通過可信任途徑連接到網絡系統，如通過內存管理硬件去限制非授權用戶對文件系統的訪問。（4）A類系統 A1級系統要求提供的安全服務功能與B3級系統基本一致。A1級系統在安全審計、安全測試、配置管理等方面提出更高的要求。A1級系統在系統安全模型設計與軟、硬件實現上要通過認證，要求達到更高的安全可信度。網絡安全的重要性10.1網絡安全技術研究的基本問題10.2網絡安全策略的設計與實現10.

29、3訪問控制與設備安全10.4目錄Contents防火墻技術10.5網絡攻擊與防衛10.6網絡文件的備份與恢復10.7網絡防病毒技術10.8 網絡安全策略應該包括：保護網絡中的哪些資源？如何保護這些資源？誰負責執行保護任務？出現問題如何處理？設計網絡安全策略需要了解網絡結構、資源、用戶與管理體制。 例如，在將企業內部網通過防火墻接入Internet時，首先需要確定以下幾個問題：哪些網絡資源與服務可以提供給外部用戶訪問？內部用戶有哪些訪問外部網絡資源與服務的要求？哪些資源需要重點保護？可以采取什么方法進行保護？發現網絡攻擊時該如何處理？二.計算機網絡的形成10.3.1 網絡安全策略的設計1網絡安全

30、策略與網絡用戶的關系 網絡安全策略包括技術與制度兩個方面，還要制定網絡用戶應遵守的使用制度與方法。只有將二者結合起來，才能有效保護網絡資源不受破壞。如果企業內部網在連入Internet前已開始使用，并且用戶已經習慣一種無限制的使用方法。網絡安全策略必然要對某些網絡訪問采取限制，用戶在開始時可能很不適應。在制定網絡安全策略時要注意限制的范圍，首先要保證用戶能有效完成各自的任務，而不能造成網絡使用價值的下降。同時，也不要引發用戶設法繞過網絡安全系統，鉆網絡安全策略空子的現象。網絡安全策略應該解決網絡使用與網絡安全的矛盾，使網絡管理員與網絡用戶都樂于接受與執行。2制定網絡安全策略的兩種思想 制定網絡

31、安全策略時有兩種思想：凡是沒有明確表示允許的就要禁止；凡是沒有明確表示禁止的就要允許。按照第一種方法制定網絡安全策略時，如果決定某臺機器可以提供匿名FTP服務，則可以理解為除匿名FTP服務外的所有服務都禁止。按照第二種方法制定網絡安全策略，如果決定某臺機器可以提供匿名FTP服務，則可以理解為除匿名FTP服務外的所有服務都允許。 這兩種思想方法所導致的結果是不相同的。網絡服務類型很多并且不斷有新的服務出現，第一種方法的網絡安全策略只規定允許用戶做什么；第二種方法的網絡安全策略只規定不允許用戶做什么。當有一種新的網絡服務出現時，如果采用第一種方法制定網絡安全策略，允許用戶使用就需要在安全策略中明確

32、表述；如果采用第二種方法制定網絡安全策略，不明確表示禁止就意味著允許用戶使用。 需要注意的是：通常采用第一種方法制定網絡安全策略，明確地限定用戶在網絡中的權限與能使用的服務。這符合規定用戶在網絡訪問的“最小權限”的原則，即給予用戶完成自己工作所必需的訪問權限，這樣更便于有效進行網絡管理。3網絡結構與網絡安全策略的關系 初期的網絡管理主要是針對比較簡單的網絡結構而提出的。Intranet的安全問題來自外部與內部兩個方面。Intranet內部用戶的管理方法與傳統企業內部網相同，而外部網絡用戶的情況變得很復雜。由于多個網點之間存在相互訪問的必要，這就帶來內部用戶與外部用戶的管理問題。網點間網絡安全策

33、略協調的目的是：既要保護各個網絡信息系統自身的資源，又不影響內部用戶與外部用戶對網絡資源的合法使用。因此，在設計網絡安全策略時，必須解決網點之間的網絡安全策略的協調問題。4網絡結構與網絡安全策略的關系 網絡安全應該從兩個方面加以解決：要求網絡管理員與用戶都嚴格遵守網絡管理規定；從技術（特別是防火墻技術）上對網絡資源進行保護。但是，如果網絡管理員與用戶不能嚴格遵守網絡管理規定，即使有再好的防火墻技術也無濟于事。因此，必須正確解決好網絡安全教育與網絡安全制度之間的關系，切實做好網絡管理員與用戶的正確管理與使用網絡的培訓，從正面加強網絡安全方面的教育。5網絡安全策略的完善與網絡安全制度的發布 Int

34、ranet中的信息資源、網絡結構、網絡服務與網絡用戶都在不斷變化，網絡安全策略與安全制度也應隨情況的變化而變化，因此誰有權修改與發布網絡安全策略與安全制度是個重要問題。Intranet網點通常會有一個網管中心，負責對日常的網絡管理、網絡安全策略與使用制度進行修改與發布。當某個網點的網絡安全策略的修改涉及其他網點時，兩個網點的網管中心之間應該通過協商解決。網管中心應定期或不定期發布網點的網絡安全策略、網絡資源、網絡服務與使用制度的變化情況。 制定網絡安全策略需要研究造成信息丟失、系統損壞的各種可能，并提出對網絡資源與系統保護方法的過程。制定網絡安全策略實際是要回答以下問題：打算保護哪些網絡資源？

35、哪類網絡資源可以被哪些用戶使用？哪些人可能對網絡構成威脅？如何可靠、及時地保護重要資源？誰負責調整網絡安全策略？因此，制定網絡安全策略首先要完成以下任務：二.計算機網絡的形成10.3.2 網絡安全策略的制定方法1網絡資源的定義 在制定網絡安全策略的過程中，首先要從安全性的角度定義所有網絡資源存在的風險。RFC1244列出了以下需要定義的網絡資源：（1）硬件：處理器、主板、鍵盤、終端、工作站、個人計算機、打印機、磁盤、通信數據、終端服務器與路由器。（2）軟件：操作系統、通信程序、診斷程序、應用程序與網管軟件。（3）數據：在線存儲的數據、離線文檔、執行過程中的數據、網絡中傳輸的數據、備份數據、數據

36、庫、用戶登錄信息。（4）用戶：普通網絡用戶、網絡操作員、網絡管理員。（5）支持設備：磁帶機與磁帶、軟盤、光驅與光盤。2網絡使用與責任的定義 網絡安全策略的制定涉及兩方面的內容：網絡使用與管理制度；網絡防火墻的設計原則。 在確定誰可以使用網絡資源之前，首先需要進行以下兩項工作：確定用戶類型，如校園網用戶分為網絡管理員、教師、學生與外部用戶；確定哪類用戶對哪些資源可以使用及如何使用，如只讀、讀寫、更名、復制、刪除與打印等權限。網絡使用制度應明確規定用戶對某類資源是否允許使用，如果允許使用還要限定可以進行哪類操作。從嚴格控制網絡安全的角度來看，用戶只能享有那些明確規定有權使用的資源，用戶不能享有那些

37、不是明確規定有權使用的資源。也就是說，我們應該規定用戶能做什么，而不應該規定用戶不能做什么。 任何超出用戶權限與繞過網絡安全系統的行為都不允許。因此，網絡使用制度在制定中要注意以下幾個問題：用戶賬戶是否有可能被破壞？用戶密碼是否有可能被破譯？是否允許用戶共享賬戶？如果授權多個用戶都能訪問某類資源，實際上用戶是否真能獲得這種權利？網絡服務是否會出現混亂？另外，在定義誰可以使用網絡資源的同時，還需要回答以下幾個問題：誰可以授權分配用戶的訪問權限？誰來管理與控制用戶的訪問權限？采取什么方法去創建與終止用戶賬戶？ 如果一個網點很大并且各個子網是分散的，則必須為每個子網分別規定用戶權限，并且由各個子網的

38、網絡管理員來控制。為了協調各個子網之間的相互關系，就需要在網點設立一個更高層的網絡管理機構，以分散與集中相結合的方式實現對用戶訪問網絡資源的管理。網絡管理員將對網絡有特殊的訪問權限，而普通網絡用戶必須限定訪問權限。限定用戶訪問權限的原則是：平衡工作需求與網絡安全的矛盾，在能滿足用戶基本工作要求的前提下，只授予普通用戶最小的訪問權限。3用戶責任的定義 制定網絡安全策略的另一項重要內容是：定義用戶對網絡資源與服務的責任。用戶責任保證用戶能使用規定的網絡資源與網絡服務。攻擊者入侵網絡的第一關要通過用戶身份認證系統。所有認證系統的核心是檢查用戶標識與口令。用戶標識通常是指用戶名（User Name），

39、它可以是用戶名的全稱、縮寫或其他代碼。用戶口令（Password）又稱為用戶密碼，它是除用戶本人外其他人很難猜測到的代碼序列。攻擊者入侵網絡常用的方法是猜測用戶口令，或利用“Password系統”來分析用戶口令。因此，保護用戶口令對保證網絡系統的安全是至關重要的問題。 保護用戶口令需要注意兩個問題：一是選擇口令；二是保證口令不被泄露，并且不容易被破譯。選擇口令時應避免使用容易被猜測的字符或數字序列，如自己與親人的名字、生日、身份證號碼、電話號碼等。用戶在實際工作中要注意以下幾點：不要把口令寫出來；不要在別人注視下輸入口令；不重復使用一個口令；要經常修改口令；如果懷疑口令泄露，則應立即改變口令；

40、不要告訴任何人口令。一些網絡操作系統中規定了用戶對口令保護的措施，如用戶口令的最小長度、更換的頻率、不能重復使用一個口令等。 用戶責任主要包括以下幾個內容：用戶使用允許使用的網絡資源與服務，不采用不正當手段使用不應使用的網絡資源；用戶了解不經允許讓其他用戶使用自己賬戶后，可能造成的危害與應承擔的責任；用戶了解告訴他人賬戶、密碼或無意泄漏密碼后，可能造成的后果與用戶要承擔的責任；用戶了解為什么需要定期或不定期更換密碼；明確是由用戶自己負責備份用戶數據，還是由網絡管理員統一進行用戶數據備份；用戶必須明白泄露信息可能危及網絡系統安全，自覺遵守網絡使用方法與應注意的問題。4網絡管理員責任的定義 網絡管

41、理員對網絡安全負有最重要的責任。網絡管理員是非常重要與特殊的用戶。建立網絡后應立即為網絡管理員設置口令，由網絡管理員規劃安全機制并為用戶設置口令，并規定網絡用戶對網絡資源與服務的訪問權限。大型網絡系統的網絡管理員應該是專職的，并且要求有兩名或兩名以上。網絡管理員應受過計算機與網絡方面專業技術培訓，需要對網絡結構、網絡資源、用戶類型與權限，以及網絡安全檢測方法有很多的知識。網絡管理員應對所管網絡系統的硬件與軟件非常了解，否則將不可能勝任該項工作。網絡管理員應該注意以下幾個方面的問題：（1）對網絡管理員的口令嚴格保密 網絡管理員對網絡文件系統、用戶管理系統與安全系統的建立有特殊權力。網絡管理員可以

42、設置與修改網絡硬件與軟件系統，可以創建、修改、刪除文件系統中的所有文件。因此，網絡管理員口令泄露會對網絡安全構成極其嚴重的威脅。（2）對網絡系統運行狀態隨時進行嚴格監控 網絡管理員必須利用各種網絡運行狀態監測軟件與設備，對網絡系統運行狀態進行監視、記錄與處理。網絡管理員在完成日常網絡系統維護任務的同時，還需要密切注意以下問題：對網絡設備、通信線路與電源供電系統狀態進行監控；對網絡系統軟件的運行狀態進行監控；對網絡服務器與關鍵設備等的狀態運行監測，如CPU利用率、磁盤空間利用率、通信流量變化的監控；對網絡文件系統的完整性進行監控；對網絡用戶、用戶組與用戶賬號的安全情況進行監控；對網絡文件備份的執

43、行情況欲備份文件的安全性進行檢查。（3）對網絡系統安全狀況進行嚴格的監控 網絡安全是所有網絡管理員都必須高度重視的問題。在執行正常的網絡管理任務的同時，網絡管理員還要注意以下問題：從實際工作與專業資料中，了解網絡系統的系統軟件、應用軟件、硬件中可能存在的安全漏洞，并及時研究安全防范與補救措施。了解其他網絡系統中出現的各種安全事件，研究攻擊者可能采取的攻擊方法，結合自身系統完善安全防范措施。總結與不斷完善本系統的網絡安全策略，檢查與公布安全策略的執行情況，提高用戶的安全防范意識。監視網絡關鍵設備（如服務器、路由器、交換機）、網絡文件系統與各種網絡服務的工作狀態，發現疑點問題與不安全因素立即處理。

44、對網絡防病毒系統不斷進行版本更新，以保證防病毒機制的有效性。 網絡安全策略需要在網絡使用與網絡安全之間尋求折中方案。網絡安全要依靠網絡使用與網絡安全技術相結合來實現。如果網絡管理制度的限制不合理，就導致網絡使用價值的降低；如果網絡管理制度制定得不嚴格，就會導致網絡安全容易受到威脅。網絡管理員要隨時監視網絡的運行情況與安全狀況，發現網絡安全受到威脅時要采取緊急措施，按網絡安全策略中的行動方案對網絡進行保護。二.計算機網絡的形成10.3.3 網絡安全受威脅時的行動方案1網絡安全威脅的類型 在網絡安全遇到威脅時采取怎樣的反應，主要是取決于這種威脅的性質與類型。網絡安全威脅的類型主要有以下幾種：由于疏

45、忽而造成的威脅；由于偶然的操作錯誤而造成的威脅；由于對網絡安全制度無知而造成的威脅；由于有人故意破壞而造成的威脅。威脅網絡安全的用戶可能是內部用戶或外部用戶。內部用戶既可能對本地網絡安全造成危害，也可能對外部網絡安全造成危害。第一種情況是內部用戶違反網絡安全制度，而對本地網絡安全造成了破壞；第二種情況是內部用戶違反外部網絡的安全制度，而對外部網絡的安全造成了危害。2網絡安全受到威脅時的行動方案 網絡安全受到威脅時的行動方案主要有以下幾種：（1）保護方式 保護方式是指當發現網絡安全受到威脅時，網絡管理員應立即制止非法入侵活動，恢復網絡的正常工作狀態，分析這次入侵活動的性質與原因，盡量減少這次入侵

46、活動造成的損害。如果不能馬上恢復網絡正常運行時，網絡管理員應隔離發生故障的網段或關閉系統，以制止非法入侵活動進一步的發展，同時采取措施恢復網絡正常工作。由于沒有對入侵行為采取跟蹤行動，攻擊者可能采用同樣手段再次入侵。保護方式適合于以下幾種情況：入侵者的活動將要造成很大危險；跟蹤入侵者活動的代價太大；從技術上跟蹤入侵者的活動很難實現。（2）跟蹤方式 跟蹤方式是指當發現網絡安全受到威脅時，網絡管理員并不立即制止入侵者的活動，而是采取措施跟蹤入侵者的活動，檢測入侵者的來源、目的、訪問的網絡資源，確定處理此類入侵者活動的方法。選擇跟蹤方式的前提是能確定入侵活動的性質與危害，具有跟蹤入侵活動的軟件與能力

47、，并且能控制這類入侵活動的進一步發展。跟蹤方式適合于以下幾種情況：被攻擊的網絡資源目標明確；已經有多次訪問某種網絡資源的入侵者；已經找到可以控制入侵者的方法；入侵者的短期活動不至于立即對網絡系統造成大的損害。主機1工作站1撥號線路Modem路由器1路由器2局域網1局域網2工作站2工作站3主機2Modem訪問點1訪問點2圖10-2 網絡訪問點的例子二.計算機網絡的形成10.3.4 網絡安全問題的鑒別1訪問點（Access Points） 網絡系統與外部用戶的每個連接點都是一個訪問點，同時也可能是入侵者進入網絡系統的入口。 圖10-2給出了網絡訪問點的例子。這個網絡系統由兩個局域網組成，它們之間通

48、過路由器2互連起來。網絡系統的最初設計是有2個訪問點，局域網1中的路由器1與局域網2中的主機2各是一個訪問點。外部用戶可以通過這兩個訪問點接入網絡。在設計網絡系統的網絡安全策略時，會對兩個訪問點可能引起的問題提出各種對策，規定一系列用戶使用方法與對資源訪問的限制，并在這個結構基礎上考慮防火墻的安裝位置。 但是，局域網1中的工作站1通過Modem對外提供FTP服務，并且規定工作站1提供只能下載的FTP服務。制定網絡安全策略時應明令禁止用戶私自與外部網絡建立連接。2系統配置（System Configuration） 如果入侵者想破壞網絡系統并癱瘓網絡，攻擊的主要目標是網絡服務器的主機。修改主機配

49、置是使網絡服務器不能正常工作的重要手段。如果網絡管理員發現主機配置出現錯誤，就說明網絡存在嚴重的安全問題。普通用戶不了解各種操作系統的工作過程與源程序，多數入侵者通過盜用網絡管理員的用戶名與口令，并進入系統對主機的配置文件進行修改。因此，嚴格檢查網絡服務器的主機配置，以及保護網絡管理員的用戶名與口令很重要。3軟件缺陷（Software Bugs） 隨著各種軟件的功能在不斷增強，無論是操作系統還是應用軟件，在使用初期不可避免地存在一定的缺陷。如果入侵者了解操作系統或某種應用軟件的缺陷，就可能采用某種方法利用軟件缺陷進入系統，非法訪問信息資源與從事其他活動。網絡管理員必須了解網絡操作系統與應用軟件

50、的缺陷，針對這些缺陷提出安全措施與及時更新版本。4內部威脅（Insider Threats） 內部人員企圖破壞網絡系統是非常危險的事，因此對內部用戶進行網絡使用方法、管理制度與安全教育很重要。內部用戶應該了解自己的權限、責任與義務，只使用自己有權訪問的網絡資源與服務，不采取不正當手段使用不應使用的網絡資源；用戶了解泄露賬戶密碼可能造成的后果與需要承擔的責任；用戶配合網絡管理員定期或不定期更換賬戶密碼。用戶必須了解個人與網絡系統的關系，自覺遵守網絡使用方法與應注意的問題。網絡管理員應該能熟練使用網絡管理軟件，避免由于用戶非法操作而造成的內部威脅。5物理安全性（Physical Security）

51、 網絡物理安全性涉及網絡服務器、工作站、路由器、交換機、終端服務器、通信線路、磁盤、共享打印機等硬件設備的安全問題。在網絡系統設計中除需要考慮這個問題之外，也要從管理制度上分析可能出現的物理安全性與相應措施。網絡安全的重要性10.1網絡安全技術研究的基本問題10.2網絡安全策略的設計與實現10.3訪問控制與設備安全10.4目錄Contents防火墻技術10.5網絡攻擊與防衛10.6網絡文件的備份與恢復10.7網絡防病毒技術10.8 訪問控制是防止入侵的重要防線之一，一般來說，訪問控制的作用是對訪問系統及數據的人進行識別，并檢驗其身份，它包括兩個主要的問題，即用戶是誰？該用戶的身份是否真實？ 對

52、一個系統進行訪問控制的常用方法是：對沒有合法用戶名及口令的任何人進行限制，禁止訪問系統。例如，如果某個來訪者的用戶名和口令是正確的，則系統允許他進入系統進行動問；如果不正確，則不允許他進入系統。 一般來說，訪問控制的實質就是控制對計算機系統或網絡訪問的方法。如果沒有訪問控制，任何人只要愿意都可以進入到整個計算機系統，并可以做其想做的任何事情。大多數的PC機都對訪問控制策略都做得很差。10.4.1 訪問控制技術1基于口令的訪問控制技術 口令是實現訪問控制的一種最簡單和有效的方法，沒有一個正確的口令，入侵者就很難闖入計算機系統。口令是只有用戶自己才知道的簡單字符串。 只要保證口令機密，非授權用戶就

53、無法使用該賬戶，盡管如此，由于口令只是一個字符串，一旦被別人獲取，口令就不能提供任何安全了，因此，盡可能選擇較安全的口令是非常必要的。系統管理員和系統用戶都有保護口令的職責，管理員為每個賬戶建立一個用戶名和口令，而用戶必須建立“有效”的口令并對其進行保護，管理員可以告訴用戶什么樣的口令是最有效的。另外，依靠系統中的安全系統，系統管理員能對用戶的口令進行強制性修改，設置口令的最短長度，甚至可以防止用戶使用太容易被猜測的口令或一直使用同一個口令。 （1）選用口令應遵循的原則 最有效的口令應該是用戶很容易記住，但“黑客”很難猜測或破解的字符串。比如，對于8個隨機字符，可以有大約31012多種組合，就

54、算借助于計算機進行一個一個地嘗試也要幾年的時間。因此，容易猜測的口令使口令猜測攻擊變得非常容易。一個有效的口令應遵循下列規則：選擇長口令。口令越長，要猜出它或嘗試所有的可能組合就越難，長口令能夠有效的降低使用窮舉法破解口令的幾率。大多數系統接受5到8個字符串長度的口令，還有許多系統允許更長的口令，長口令有助于增強系統的安全性。最好的口令是包括字母和數字字符的組合，將字母和數字組合在一起可以提高口令的安全性。不要使用有明確意義的英語單詞。用戶可以將自己所熟悉的一些單詞的首字母組合在一起，或者使用漢語拼音的首字母，對于該用戶來說，應該很容易記住這個口令，但對其他人來說卻很難想得到。在用戶訪問的各種

55、系統上不要使用相同的口令。否則如果其中的一個系統安全出了問題，就等于所有系統都不安全了。不要簡單地使用個人名字，特別是用戶的實際姓名、家庭成員的姓名等。不要選擇不容易記住的口令。若口令太復雜或太容易混淆，就會促使用戶將它寫下來以幫助記憶，從而引起另外的安全問題。（2）增強口令安全性措施 在有些系統中，可以使用一些面向系統的控制，以減小由于非法入侵造成的對系統的改變，這些特性被稱為登錄/口令控制，對增強用戶口令的安全性很有效，其特性如下： 口令更換。用戶可以在任何時候更換口令，口令的不斷變化可以防止有人用竊取的口令繼續對系統進行訪問。 系統要求口令更換。系統要求用戶定期改變口令，例如一個月換二次

56、。這可以防止用戶一直使用同一個口令，如果該口令被非法得到就會引起安全問題。在有些系統中，口令使用過一段特定長度的時間（口令時長）后，用戶下次進入系統時就必須將其更改。另外，在有些系統中，設有口令歷史記錄特性能將以前的口令記錄下來，并且不允許重新使用原來的口令而必須輸入一個新的，這也增強了安全性。 最短長度。口令越長就越難猜測，而且使用隨機字符組合的方式猜測口令所需的時間也隨著字符個數的增加而增長。系統管理員能指定口令的最短長度。 系統生成口令。可以使用計算機自動為用戶生成的口令，這種方法的主要缺點是自動生成的口令難于記住。（3）其他方法 除了這些方法之外，還有其他一些方法可以用來對使用口令進行

57、安全保護的系統的訪問進行嚴格控制。例如：登錄時間限制。用戶只能在某段特定的時間（如工作時間內）才能登錄到系統中。任何人想在這段時間之外訪問系統都會被拒絕。限制登錄次數。為了防止非法用戶對某個賬戶進行多次輸入口令嘗試，系統可以限制登錄嘗試的次數，例如，如果有人連續三次登錄都沒有成功，終端與系統的連接就斷開。這可以防止有人不斷地嘗試不同的口令和登錄名。最后一次登錄。該方法報告出用戶最后一次登錄系統的時間和日期，以及最后一次登錄后發生過多少次未成功的登錄嘗試，這可以提供線索，查看是否有人非法訪問過用戶的賬戶。（4）應當注意的事項 為了防止口令被不該知道的人知道，用戶應該注意以下事項：一般來說，不要將

58、口令給別人。不要將口令寫在其他人可以接觸的地方。不要用系統指定的口令，如“root”，“demo”，“test”等等。在第一次進入賬戶時修改口令，不要沿用許多系統給所有新用戶的缺省口令，如“1234”、“password”等。經常改變口令，可以防止有人獲取口令并企圖使用它而出現問題，在有些系統中，所有的用戶都被要求定期改變口令。2選擇性訪問控制技術 訪問控制可以有效地將非授權的人拒之于系統之外。當一個普通用戶進入系統后，應該限制其操作權限，不能毫無限制地訪問系統上所有的程序、文件、信息等，否則，就好像讓某人進入一個公司，所有的門都敞開，他可以在每間房間里隨意走動一樣。 因此，對于進入系統的用戶

59、，需要限制該用戶在計算機系統中所能訪問的內容和訪問的權限，也就是說，規定用戶可以做什么或不能做什么，比如能否運行某個特別的程序，能否閱讀某個文件，能否修改存放在計算機上的信息或刪除其他人創建的文件等。 作為安全性的考慮，很多操作系統都內置了選擇性訪問控制功能，通過操作系統，可以規定個人或組的權限以及對某個文件和程序的訪問權。此外，用戶對自己創建的文件具有所有的操作權限，而且還可以規定其他用戶訪問這些文件的權限。 選擇性訪問控制的思想在于明確地規定了對文件和數據的操作權限，許多系統上通常采用3種不同種類的訪問：讀，允許讀一個文件。寫，允許創建和修改一個文件。執行，運行程序。如果擁有執行權，就可以

60、運行該程序。 使用這3種訪問權，就可以確定誰可以讀文件、修改文件和執行程序。用戶可能會決定只有某個人才可以創建或修改自己的文件，但其他人都可以讀它，即具有只讀的權利。例如，在大多數UNIX系統中，有三級用戶權限：超級用戶（root），用戶集合組，以及系統的普通用戶。超級用戶（root）賬戶在系統上具有所有的權限，而且其中的很多權限和功能是不提供給其他用戶的。由于root賬戶幾乎擁有所有操作系統的安全控制手段，因此保護該賬戶及其口令是非常重要的。從系統安全角度講，超級用戶被認為是UNIX系統上最大的“安全隱患”，因為它賦予了超級用戶對系統無限的訪問權。 組的概念是將用戶組合在一起成為一個組，建立