某網(wǎng)絡(luò)安全整體解決方案第一部分網(wǎng)絡(luò)安全概述第一章網(wǎng)絡(luò)安全體系的基本認(rèn)識(shí)自信息系統(tǒng)開(kāi)始運(yùn)行以來(lái)就存在信息系統(tǒng)安全問(wèn)題，通過(guò)網(wǎng)絡(luò)遠(yuǎn)程訪(fǎng)問(wèn)而構(gòu)成的安全威脅成為日益受到嚴(yán)重關(guān)注的問(wèn)題。根據(jù)美國(guó)FBI的調(diào)查，美國(guó)每年因?yàn)榫W(wǎng)絡(luò)安全造成的經(jīng)濟(jì)損失超過(guò)1.5萬(wàn)億美元。（一）安全威脅由于企業(yè)網(wǎng)絡(luò)內(nèi)運(yùn)行的主要是多種網(wǎng)絡(luò)協(xié)議，而這些網(wǎng)絡(luò)協(xié)議并非專(zhuān)為安全通訊而設(shè)計(jì)。所以，企業(yè)網(wǎng)絡(luò)可能存在的安全威脅來(lái)自以下方面：(1)操作系統(tǒng)的安全性。目前流行的許多操作系統(tǒng)均存在網(wǎng)絡(luò)安全漏洞，如UNIX服務(wù)器，NT服務(wù)器及Windows桌面PC。(2)防火墻的安全性。防火墻產(chǎn)品自身是否安全，是否設(shè)置錯(cuò)誤，需要經(jīng)過(guò)檢驗(yàn)。(3)來(lái)自?xún)?nèi)部網(wǎng)用戶(hù)的安全威脅。(4)缺乏有效的手段監(jiān)視、評(píng)估網(wǎng)絡(luò)系統(tǒng)的安全性。(5)采用的TCP/IP協(xié)議族軟件，本身缺乏安全性。(6)未能對(duì)來(lái)自Internet的電子郵件夾帶的病毒及Web瀏覽可能存在的Java/ActiveX控件進(jìn)行有效控制。(7)應(yīng)用服務(wù)的安全，許多應(yīng)用服務(wù)系統(tǒng)在訪(fǎng)問(wèn)控制及安全通訊方面考慮較少，并且，如果系統(tǒng)設(shè)置錯(cuò)誤，很容易造成損失。（二）網(wǎng)絡(luò)安全的需求1、企業(yè)網(wǎng)絡(luò)的基本安全需求滿(mǎn)足基本的安全要求，是該網(wǎng)絡(luò)成功運(yùn)行的必要條件，在此基礎(chǔ)上提供強(qiáng)有力的安全保障，是建設(shè)企業(yè)網(wǎng)絡(luò)系統(tǒng)安全的重要原則。企業(yè)網(wǎng)絡(luò)內(nèi)部部署了眾多的網(wǎng)絡(luò)設(shè)備、服務(wù)器，保護(hù)這些設(shè)備的正常運(yùn)行，維護(hù)主要業(yè)務(wù)系統(tǒng)的安全，是企業(yè)網(wǎng)絡(luò)的基本安全需求。對(duì)于各科各樣的網(wǎng)絡(luò)攻擊，如何在提供靈活且高效的網(wǎng)絡(luò)通訊及信息服務(wù)的同時(shí)，抵御和發(fā)現(xiàn)網(wǎng)絡(luò)攻擊，并且提供跟蹤攻擊的手段，是本項(xiàng)目需要解決的問(wèn)題。2、業(yè)務(wù)系統(tǒng)的安全需求與普通網(wǎng)絡(luò)應(yīng)用不同的是，業(yè)務(wù)系統(tǒng)是企業(yè)應(yīng)用的核心。對(duì)于業(yè)務(wù)系統(tǒng)應(yīng)該具有最高的網(wǎng)絡(luò)安全措施。企業(yè)網(wǎng)絡(luò)應(yīng)保障：l訪(fǎng)問(wèn)控制，確保業(yè)務(wù)系統(tǒng)不被非法訪(fǎng)問(wèn)。l數(shù)據(jù)安全，保證數(shù)據(jù)庫(kù)軟硬件系統(tǒng)的整體安全性和可靠性。l入侵檢測(cè)，對(duì)于試圖破壞業(yè)務(wù)系統(tǒng)的惡意行為能夠及時(shí)發(fā)現(xiàn)、記錄和跟蹤，提供非法攻擊的犯罪證據(jù)。l來(lái)自網(wǎng)絡(luò)內(nèi)部其他系統(tǒng)的破壞，或誤操作造成的安全隱患。3、Internet服務(wù)網(wǎng)絡(luò)的安全需求Internet服務(wù)網(wǎng)絡(luò)分為兩個(gè)部分：提供網(wǎng)絡(luò)用戶(hù)對(duì)Internet的訪(fǎng)問(wèn)：提供Internet對(duì)網(wǎng)內(nèi)服務(wù)的訪(fǎng)問(wèn)。網(wǎng)絡(luò)內(nèi)客戶(hù)對(duì)Internet的訪(fǎng)問(wèn)，有可能帶來(lái)某些類(lèi)型的網(wǎng)絡(luò)安全。如通過(guò)電子郵件、FTP引入病毒、危險(xiǎn)的Java或ActiveX應(yīng)用等。因此，需要在網(wǎng)絡(luò)內(nèi)對(duì)上述情況提供集成的網(wǎng)絡(luò)病毒檢測(cè)、消除等操作。網(wǎng)絡(luò)安全需求是保護(hù)網(wǎng)絡(luò)不受破壞，確保網(wǎng)絡(luò)服務(wù)的可用性，作為信息網(wǎng)絡(luò)之間的互聯(lián)的邊界安全應(yīng)作為主要安全需求：2需要保證信息網(wǎng)絡(luò)之間安全互聯(lián)，能夠?qū)崿F(xiàn)網(wǎng)絡(luò)安全隔離；2對(duì)于專(zhuān)有應(yīng)用的安全服務(wù)；2必要的信息交互的可信任性；2能夠提供對(duì)于主流網(wǎng)絡(luò)應(yīng)用（如WWW、Mail、Ftp、Oicq和NetMeeting等）良好支持，并能夠?qū)崿F(xiàn)安全應(yīng)用；2同時(shí)信息網(wǎng)絡(luò)公共資源能夠?qū)﹂_(kāi)放用戶(hù)提供安全訪(fǎng)問(wèn)；2能夠防范包括：ü利用Http應(yīng)用，通過(guò)JavaApplet、ActiveX以及JavaScript形式；ü利用Ftp應(yīng)用，通過(guò)文件傳輸形式；ü利用SMTP應(yīng)用，通過(guò)對(duì)郵件分析及利用附件所造成的信息泄漏和有害信息對(duì)于信息網(wǎng)絡(luò)的侵害；2對(duì)網(wǎng)絡(luò)安全事件的審計(jì)；2對(duì)于網(wǎng)絡(luò)安全狀態(tài)的量化評(píng)估；2對(duì)網(wǎng)絡(luò)安全狀態(tài)的實(shí)時(shí)監(jiān)控；其次，對(duì)于信息網(wǎng)絡(luò)內(nèi)部同樣存在安全需求，包括：2信息網(wǎng)絡(luò)中的各單位網(wǎng)絡(luò)之間建立連接控制手段；2能夠滿(mǎn)足信息網(wǎng)絡(luò)內(nèi)的授權(quán)用戶(hù)對(duì)相關(guān)專(zhuān)用網(wǎng)絡(luò)資源訪(fǎng)問(wèn)；2同時(shí)對(duì)于遠(yuǎn)程訪(fǎng)問(wèn)用戶(hù)增強(qiáng)安全管理；2加強(qiáng)對(duì)于整個(gè)信息網(wǎng)絡(luò)資源和人員的安全管理與培訓(xùn)。（三）網(wǎng)絡(luò)安全與網(wǎng)絡(luò)性能和功能的關(guān)系通常，系統(tǒng)安全與性能和功能是一對(duì)矛盾的關(guān)系。如果某個(gè)系統(tǒng)不向外界提供任何服務(wù)（斷開(kāi)），外界是不可能構(gòu)成安全威脅的。但是，企業(yè)接入國(guó)際互連網(wǎng)絡(luò)，提供網(wǎng)上商店和電子商務(wù)等服務(wù)，等于將一個(gè)內(nèi)部封閉的網(wǎng)絡(luò)建成了一個(gè)開(kāi)放的網(wǎng)絡(luò)環(huán)境，各種安全包括系統(tǒng)級(jí)的安全問(wèn)題也隨之產(chǎn)生。構(gòu)建網(wǎng)絡(luò)安全系統(tǒng)，一方面由于要進(jìn)行認(rèn)證、加密、監(jiān)聽(tīng)，分析、記錄等工作，由此影響網(wǎng)絡(luò)效率，并且降低客戶(hù)應(yīng)用的靈活性；另一方面也增加了管理費(fèi)用。但是，來(lái)自網(wǎng)絡(luò)的安全威脅是實(shí)際存在的，特別是在網(wǎng)絡(luò)上運(yùn)行關(guān)鍵業(yè)務(wù)時(shí)，網(wǎng)絡(luò)安全是首先要解決的問(wèn)題。選擇適當(dāng)?shù)募夹g(shù)和產(chǎn)品，制訂靈活的網(wǎng)絡(luò)安全策略，在保證網(wǎng)絡(luò)安全的情況下，提供靈活的網(wǎng)絡(luò)服務(wù)通道。采用適當(dāng)?shù)陌踩w系設(shè)計(jì)和管理計(jì)劃，能夠有效降低網(wǎng)絡(luò)安全對(duì)網(wǎng)絡(luò)性能的影響并降低管理費(fèi)用。全方位的安全體系：與其它安全體系（如保安系統(tǒng)）類(lèi)似，企業(yè)應(yīng)用系統(tǒng)的安全休系應(yīng)包含：訪(fǎng)問(wèn)控制：通過(guò)對(duì)特定網(wǎng)段、服務(wù)建立的訪(fǎng)問(wèn)控制體系，將絕大多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)之前。檢查安全漏洞：通過(guò)對(duì)安全漏洞的周期檢查，即使攻擊可到達(dá)攻擊目標(biāo)，也可使絕大多數(shù)攻擊無(wú)效。攻擊監(jiān)控：通過(guò)對(duì)特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系，可實(shí)時(shí)檢測(cè)出絕大多數(shù)攻擊，并采取相應(yīng)的行動(dòng)（如斷開(kāi)網(wǎng)絡(luò)連接、記錄攻擊過(guò)程、跟蹤攻擊源等）。加密通訊：主動(dòng)的加密通訊，可使攻擊者不能了解、修改敏感信息。認(rèn)證：良好的認(rèn)證體系可防止攻擊者假冒合法用戶(hù)。備份和恢復(fù)：良好的備份和恢復(fù)機(jī)制，可在攻擊造成損失時(shí)，盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。多層防御，攻擊者在突破第一道防線(xiàn)后，延緩或阻斷其到達(dá)攻擊目標(biāo)。隱藏內(nèi)部信息，使攻擊者不能了解系統(tǒng)內(nèi)的基本情況。設(shè)立安全監(jiān)控中心，為信息系統(tǒng)提供安全體系管理、監(jiān)控，渠護(hù)及緊急情況服務(wù)。（四）網(wǎng)絡(luò)安全的管理因素網(wǎng)絡(luò)安全可以采用多種技術(shù)來(lái)增強(qiáng)和執(zhí)行。但是，很多安全威脅來(lái)源于管理上的松懈及對(duì)安全威脅的認(rèn)識(shí)。安全威脅主要利用以下途徑：l系統(tǒng)實(shí)現(xiàn)存在的漏洞。l系統(tǒng)安全體系的缺陷。l使用人員的安全意識(shí)薄弱。l管理制度的薄弱。良好的網(wǎng)絡(luò)管理有助于增強(qiáng)系統(tǒng)的安全性：l及時(shí)發(fā)現(xiàn)系統(tǒng)安全的漏洞。l審查系統(tǒng)安全體系。l加強(qiáng)對(duì)使用人員的安全知識(shí)教育。l建立完善的系統(tǒng)管理制度。如前所述，能否制定一個(gè)統(tǒng)一的安全策略，在全網(wǎng)范圍內(nèi)實(shí)現(xiàn)統(tǒng)一的安全管理，對(duì)于信息網(wǎng)來(lái)說(shuō)就至關(guān)重要了。安全管理主要包括兩個(gè)方面：l內(nèi)部安全管理：主要是建立內(nèi)部安全管理制度，如機(jī)房管理制度、設(shè)備管理制度、安全系統(tǒng)管理制度、病毒防范制度、操作安全管理制度、安全事件應(yīng)急制度等，并采取切實(shí)有效的措施保證制度的執(zhí)行。內(nèi)部安全管理主要采取行政手段和技術(shù)手段相結(jié)合的方法。l網(wǎng)絡(luò)安全管理：在網(wǎng)絡(luò)層設(shè)置路由器、防火墻、安全檢測(cè)系統(tǒng)后，必須保證路由器和防火墻的ACL設(shè)置正確，其配置不允許被隨便修改。網(wǎng)絡(luò)層的安全管理可以通過(guò)防火墻、安全檢測(cè)、網(wǎng)絡(luò)病毒防治以及網(wǎng)管等一些網(wǎng)絡(luò)層的管理工具來(lái)實(shí)現(xiàn)。第二章網(wǎng)絡(luò)安全技術(shù)概述基于以上的分析，企業(yè)網(wǎng)絡(luò)系統(tǒng)涉及到各方面的網(wǎng)絡(luò)安全問(wèn)題，我們認(rèn)為整個(gè)企業(yè)的安全體系必須集成多種安全技術(shù)實(shí)現(xiàn)。如虛擬網(wǎng)技術(shù)、防火墻技術(shù)，入侵監(jiān)控技術(shù)、安全漏洞掃描技術(shù)、病毒防護(hù)技術(shù)、加密技術(shù)、認(rèn)證和數(shù)字簽名技術(shù)等。下面就以上技術(shù)加以詳細(xì)闡述：一.虛擬網(wǎng)技術(shù)虛擬網(wǎng)技術(shù)主要基于近年發(fā)展的局域網(wǎng)交換技術(shù)(ATM和以太網(wǎng)交換）。交換技術(shù)將傳統(tǒng)的基于廣播的局域網(wǎng)技術(shù)發(fā)展為面向連接的技術(shù)。因此，網(wǎng)管系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無(wú)需通過(guò)開(kāi)銷(xiāo)很大的路由器。由以上運(yùn)行機(jī)制帶來(lái)的網(wǎng)絡(luò)安全的好處是顯而易見(jiàn)的：信息只到達(dá)應(yīng)該到達(dá)的地點(diǎn)。因此、防止了大部分基于網(wǎng)絡(luò)監(jiān)聽(tīng)的入侵手段。通過(guò)虛擬網(wǎng)設(shè)置的訪(fǎng)問(wèn)控制，使在虛擬網(wǎng)外的網(wǎng)絡(luò)節(jié)點(diǎn)不能直接訪(fǎng)問(wèn)虛擬網(wǎng)內(nèi)節(jié)點(diǎn)。但是，虛擬網(wǎng)技術(shù)也帶來(lái)了新的安全問(wèn)題：執(zhí)行虛擬網(wǎng)交換的設(shè)備越來(lái)越復(fù)雜，從而成為被攻擊的對(duì)象。基于網(wǎng)絡(luò)廣播原理的入侵監(jiān)控技術(shù)在高速交換網(wǎng)絡(luò)內(nèi)需要特殊的設(shè)置。基于MAC的VLAN不能防止MAC欺騙攻擊。以太網(wǎng)從本質(zhì)上基于廣播機(jī)制，但應(yīng)用了交換器和VLAN技術(shù)后，實(shí)際上轉(zhuǎn)變?yōu)辄c(diǎn)到點(diǎn)通訊，除非設(shè)置了監(jiān)聽(tīng)口，信息交換也不會(huì)存在監(jiān)聽(tīng)和插入（改變）問(wèn)題。但是，采用基于MAC的VLAN劃分將面臨假冒MAC地址的攻擊。因此，VLAN的劃分最好基于交換機(jī)端口。但這要求整個(gè)網(wǎng)絡(luò)桌面使用交換端口或每個(gè)交換端口所在的網(wǎng)段機(jī)器均屬于相同的VLAN。網(wǎng)絡(luò)層通訊可以跨越路由器，因此攻擊可以從遠(yuǎn)方發(fā)起。IP協(xié)議族各廠(chǎng)家實(shí)現(xiàn)的不完善，因此，在網(wǎng)絡(luò)層發(fā)現(xiàn)的安全漏洞相對(duì)更多，如IPsweep,teardrop,sync-flood,IPspoofing攻擊等。二.防火墻枝術(shù)防火墻是近年發(fā)展起來(lái)的重要安全技術(shù)，其主要作用是在網(wǎng)絡(luò)入口點(diǎn)檢查網(wǎng)絡(luò)通訊，根據(jù)客戶(hù)設(shè)定的安全規(guī)則，在保護(hù)內(nèi)部網(wǎng)絡(luò)安全的前提下，提供內(nèi)外網(wǎng)絡(luò)通訊。1、使用Firewall的益處保護(hù)脆弱的服務(wù)通過(guò)過(guò)濾不安全的服務(wù)，F(xiàn)irewall可以極大地提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機(jī)的風(fēng)險(xiǎn)。例如，F(xiàn)irewall可以禁止NIS、NFS服務(wù)通過(guò)，F(xiàn)irewall同時(shí)可以拒絕源路由和ICMP重定向封包。控制對(duì)系統(tǒng)的訪(fǎng)問(wèn)Firewall可以提供對(duì)系統(tǒng)的訪(fǎng)問(wèn)控制。如允許從外部訪(fǎng)問(wèn)某些主機(jī)，同時(shí)禁止訪(fǎng)問(wèn)另外的主機(jī)。例如，F(xiàn)irewall允許外部訪(fǎng)問(wèn)特定的MailServer和WebServer。集中的安全管理Firewall對(duì)企業(yè)內(nèi)部網(wǎng)實(shí)現(xiàn)集中的安全管理，在Firewall定義的安全規(guī)則可以運(yùn)用于整個(gè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)，而無(wú)須在內(nèi)部網(wǎng)每臺(tái)機(jī)器上分別設(shè)立安全策略。如在Firewall可以定義不同的認(rèn)證方法，而不需在每臺(tái)機(jī)器上分別安裝特定的認(rèn)證軟件。外部用戶(hù)也只需要經(jīng)過(guò)—次認(rèn)證即可訪(fǎng)問(wèn)內(nèi)部網(wǎng)。增強(qiáng)的保密性使用Firewall可以阻止攻擊者獲取攻擊網(wǎng)絡(luò)系統(tǒng)的有用信息，如Finger和DNS。記錄和統(tǒng)計(jì)網(wǎng)絡(luò)利用數(shù)據(jù)以及非法使用數(shù)據(jù)Firewall可以記錄和統(tǒng)計(jì)通過(guò)Firewall的網(wǎng)絡(luò)通訊，提供關(guān)于網(wǎng)絡(luò)使用的統(tǒng)計(jì)數(shù)據(jù)，并且，F(xiàn)irewall可以提供統(tǒng)計(jì)數(shù)據(jù)，來(lái)判斷可能的攻擊和探測(cè)。策略執(zhí)行Firewall提供了制定和執(zhí)行網(wǎng)絡(luò)安全策略的手段。未設(shè)置Firewall時(shí)，網(wǎng)絡(luò)安全取決于每臺(tái)主機(jī)的用戶(hù)。2、設(shè)置Firewall的要素網(wǎng)絡(luò)策略影響Firewall系統(tǒng)設(shè)計(jì)、安裝和使用的網(wǎng)絡(luò)策略可分為兩級(jí)，高級(jí)的網(wǎng)絡(luò)策略定義允許和禁止的服務(wù)以及如何使用服務(wù)，低級(jí)的網(wǎng)絡(luò)策略描述Firewall如何限制和過(guò)濾在高級(jí)策略中定義的服務(wù)。服務(wù)訪(fǎng)問(wèn)策略服務(wù)訪(fǎng)問(wèn)策略集中在Internet訪(fǎng)問(wèn)服務(wù)以及外部網(wǎng)絡(luò)訪(fǎng)問(wèn)（如撥入策略、SLIP/PPP連接等）。服務(wù)訪(fǎng)問(wèn)策略必須是可行的和合理的。可行的策略必須在阻止己知的網(wǎng)絡(luò)風(fēng)險(xiǎn)和提供用戶(hù)服務(wù)之間獲得平衡。典型的服務(wù)訪(fǎng)問(wèn)策略是：允許通過(guò)增強(qiáng)認(rèn)證的用戶(hù)在必要的情況下從Internet訪(fǎng)問(wèn)某些內(nèi)部主機(jī)和服務(wù)；允許內(nèi)部用戶(hù)訪(fǎng)問(wèn)指定的Internet主機(jī)和服務(wù)。Firewall設(shè)計(jì)策略Firewall設(shè)計(jì)策略基于特定的firewall，定義完成服務(wù)訪(fǎng)問(wèn)策略的規(guī)則。通常有兩種基本的設(shè)計(jì)策略：允許任何服務(wù)除非被明確禁止；禁止任何服務(wù)除非被明確允許。通常采用第二種類(lèi)型的設(shè)計(jì)策略。3、Firewall的基本分類(lèi)包過(guò)濾IP包過(guò)濾：√源IP地址；√目的IP地址；√TCP/UDP源端口；√TCP/UDP目的端口。包過(guò)濾路由器存在許多弱點(diǎn)：√包過(guò)濾規(guī)則難于設(shè)置并缺乏已有的測(cè)試工具驗(yàn)證規(guī)則的正確性(手工測(cè)試除外)。一些包過(guò)濾路由器不提供任何日志能力，直到闖入發(fā)生后，危險(xiǎn)的封包才可能檢測(cè)出來(lái)。√實(shí)際運(yùn)行中，經(jīng)常會(huì)發(fā)生規(guī)則例外，即要求允許通常情況下禁止的訪(fǎng)問(wèn)通過(guò)。但是，規(guī)則例外使包過(guò)濾規(guī)則過(guò)于復(fù)雜而難以管理。例如，定義規(guī)則-禁止所有到達(dá)(Inbound)的端口23連接(telnet)，如果某些系統(tǒng)需要直接Telnet連接，此時(shí)必須為內(nèi)部網(wǎng)的每個(gè)系統(tǒng)分別定義一條規(guī)則。√某些包過(guò)濾路由器不支持TCP/UDP源端口過(guò)濾，可能使過(guò)濾規(guī)則集更加復(fù)雜，并在過(guò)濾模式中打開(kāi)了安全漏洞。如SMTP連接源端口是隨機(jī)產(chǎn)生的(>1023)，此時(shí)如果允許雙向的SMTP連接，在不支持源端口過(guò)濾的路由器上必須定義一條規(guī)則：允許所有>1023端口的雙向連接。此時(shí)用戶(hù)通過(guò)重新映射端口，可以繞過(guò)過(guò)濾路由器。√對(duì)許多RPC(RemouteProcedureCall服務(wù)進(jìn)行包過(guò)濾非常困難。由于RPC的Listen口是在主機(jī)啟動(dòng)后隨機(jī)地分配的，要禁止RPC服務(wù)，通常需要禁止所有的UDP(絕大多數(shù)RPC使用UDP)，如此可能需要允許的DNS連接就會(huì)被禁止。應(yīng)用網(wǎng)關(guān)為了解決包過(guò)濾路由器的弱點(diǎn)，F(xiàn)irewall要求使用軟件應(yīng)用來(lái)過(guò)濾和傳送服務(wù)連接（如Telnet和Ftp)。這樣的應(yīng)用稱(chēng)為代理服務(wù)，運(yùn)行代理服務(wù)的主機(jī)被稱(chēng)為應(yīng)用網(wǎng)關(guān)。應(yīng)用網(wǎng)關(guān)和包過(guò)濾器混合使用能提供比單獨(dú)使用應(yīng)用網(wǎng)關(guān)和包過(guò)濾器更高的安全性和更大的靈活性。

應(yīng)用網(wǎng)關(guān)的優(yōu)點(diǎn)是：√比包過(guò)濾路由器更高的安全件。√提供對(duì)協(xié)議的過(guò)濾，如可以禁止FTP連接的Put命令。√信息隱藏，應(yīng)用網(wǎng)關(guān)為外部連接提供代理。√健壯的認(rèn)證和日志。√節(jié)省費(fèi)用，第三方的認(rèn)證設(shè)備(軟件或硬件)只需安裝在應(yīng)用網(wǎng)關(guān)上。√簡(jiǎn)化和靈活的過(guò)濾規(guī)則，路由器只需簡(jiǎn)單地通過(guò)到達(dá)應(yīng)用網(wǎng)關(guān)的包并拒絕其余的包通過(guò)。應(yīng)用網(wǎng)關(guān)的缺點(diǎn)在于：√新的服務(wù)需要安裝新的代理服務(wù)器。√有時(shí)需要對(duì)客戶(hù)軟件進(jìn)行修改。√可能會(huì)降低網(wǎng)絡(luò)性能。√應(yīng)用網(wǎng)關(guān)可能被攻擊。線(xiàn)路級(jí)網(wǎng)關(guān)線(xiàn)路級(jí)網(wǎng)關(guān)提供內(nèi)部網(wǎng)和外部網(wǎng)連接的中繼，但不提供額外的處理和過(guò)濾能力。Stateful防火墻該類(lèi)防火墻綜合了包過(guò)濾防火墻及應(yīng)用網(wǎng)關(guān)的特性。能夠提供比應(yīng)用網(wǎng)關(guān)更多的連接特性，但是安全性比較應(yīng)用網(wǎng)關(guān)差。4、建設(shè)Firewall的原則分析安全和服務(wù)需求以下問(wèn)題有助于分析安全和服務(wù)需求：√計(jì)劃使用哪些Internet服務(wù)(如http，ftp，gopher)，從何處使用Internet服務(wù)(本地網(wǎng)，撥號(hào)，遠(yuǎn)程辦公室)。√增加的需要，如加密或拔號(hào)接入支持。√提供以上服務(wù)和訪(fǎng)問(wèn)的風(fēng)險(xiǎn)。√提供網(wǎng)絡(luò)安全控制的同時(shí)，對(duì)系統(tǒng)應(yīng)用服務(wù)犧牲的代價(jià)。策略的靈活性Internet相關(guān)的網(wǎng)絡(luò)安全策略總的來(lái)說(shuō)，應(yīng)該保持一定的靈活性，主要有以下原因：√Internet自身發(fā)展非常快，機(jī)構(gòu)可能需要不斷使用Internet提供的新服務(wù)開(kāi)展業(yè)務(wù)。新的協(xié)議和服務(wù)大量涌現(xiàn)帶來(lái)新的安全問(wèn)題，安全策略必須能反應(yīng)和處理這些問(wèn)題。√機(jī)構(gòu)面臨的風(fēng)險(xiǎn)并非是靜態(tài)的，機(jī)構(gòu)職能轉(zhuǎn)變、網(wǎng)絡(luò)設(shè)置改變都有可能改變風(fēng)險(xiǎn)。遠(yuǎn)程用戶(hù)認(rèn)證策略√遠(yuǎn)程用戶(hù)不能通過(guò)放置于Firewall后的未經(jīng)認(rèn)證的Modem訪(fǎng)問(wèn)系統(tǒng)。√PPP/SLIP連接必須通過(guò)Firewall認(rèn)證。√對(duì)遠(yuǎn)程用戶(hù)進(jìn)行認(rèn)證方法培訓(xùn)。撥入/撥出策略√撥入/撥出能力必須在設(shè)計(jì)Firewall時(shí)進(jìn)行考慮和集成。√外部撥入用戶(hù)必須通過(guò)Firewall的認(rèn)證。InformationServer策略√公共信息服務(wù)器的安全必須集成到Firewall中。√必須對(duì)公共信息服務(wù)器進(jìn)行嚴(yán)格的安全控制，否則將成為系統(tǒng)安全的缺口。√為Informationserver定義折中的安全策略允許提供公共服務(wù)。√對(duì)公共信息服務(wù)和商業(yè)信息(如email)講行安全策略區(qū)分。Firewall系統(tǒng)的基本特征√Firewall必須支持．“禁止任何服務(wù)除非被明確允許”的設(shè)計(jì)策略。√Firewall必須支持實(shí)際的安全政策，而非改變安全策略適應(yīng)Firewall。√Firewall必須是靈活的，以適應(yīng)新的服務(wù)和機(jī)構(gòu)智能改變帶來(lái)的安全策略的改變。√Firewall必須支持增強(qiáng)的認(rèn)證機(jī)制。√Firewall應(yīng)該使用過(guò)濾技術(shù)以允許或拒絕對(duì)特定主機(jī)的訪(fǎng)問(wèn)。√IP過(guò)濾描述語(yǔ)言應(yīng)該靈活，界面友好，并支持源IP和目的IP，協(xié)議類(lèi)型，源和目的TCP/UDP口，以及到達(dá)和離開(kāi)界面。√Firewall應(yīng)該為FTP、TELNET提供代理服務(wù)，以提供增強(qiáng)和集中的認(rèn)證管理機(jī)制。如果提供其它的服務(wù)(如NNTP，http等)也必須通過(guò)代理服務(wù)器。√Firewall應(yīng)該支持集中的SMTP處理，減少內(nèi)部網(wǎng)和遠(yuǎn)程系統(tǒng)的直接連接。√Firewall應(yīng)該支持對(duì)公共Informationserver的訪(fǎng)問(wèn)，支持對(duì)公共Informationserver的保護(hù)，并且將Informationserver同內(nèi)部網(wǎng)隔離。√Firewall可支持對(duì)撥號(hào)接入的集中管理和過(guò)濾。√Firewall應(yīng)支持對(duì)交通、可疑活動(dòng)的日志記錄。√如果Firewall需要通用的操作系統(tǒng)，必須保證使用的操作系統(tǒng)安裝了所有己知的安全漏洞Patch。√Firewall的設(shè)計(jì)應(yīng)該是可理解和管理的。√Firewall依賴(lài)的操作系統(tǒng)應(yīng)及時(shí)地升級(jí)以彌補(bǔ)安全漏洞。5、選擇防火墻的要點(diǎn)(1)安全性：即是否通過(guò)了嚴(yán)格的入侵測(cè)試。(2)抗攻擊能力：對(duì)典型攻擊的防御能力(3)性能：是否能夠提供足夠的網(wǎng)絡(luò)吞吐能力(4)自我完備能力：自身的安全性，F(xiàn)ail-close(5)可管理能力：是否支持SNMP網(wǎng)管(6)VPN支持(7)認(rèn)證和加密特性(8)服務(wù)的類(lèi)型和原理(9)網(wǎng)絡(luò)地址轉(zhuǎn)換能力三.病毒防護(hù)技術(shù)病毒歷來(lái)是信息系統(tǒng)安全的主要問(wèn)題之一。由于網(wǎng)絡(luò)的廣泛互聯(lián)，病毒的傳播途徑和速度大大加快。我們將病毒的途徑分為：(1)通過(guò)FTP，電子郵件傳播。(2)通過(guò)軟盤(pán)、光盤(pán)、磁帶傳播。(3)通過(guò)Web游覽傳播，主要是惡意的Java控件網(wǎng)站。(4)通過(guò)群件系統(tǒng)傳播。病毒防護(hù)的主要技術(shù)如下：(1)阻止病毒的傳播。在防火墻、代理服務(wù)器、SMTP服務(wù)器、網(wǎng)絡(luò)服務(wù)器、群件服務(wù)器上安裝病毒過(guò)濾軟件。在桌面PC安裝病毒監(jiān)控軟件。(2)檢查和清除病毒。使用防病毒軟件檢查和清除病毒。(3)病毒數(shù)據(jù)庫(kù)的升級(jí)。病毒數(shù)據(jù)庫(kù)應(yīng)不斷更新，并下發(fā)到桌面系統(tǒng)。(4)在防火墻、代理服務(wù)器及PC上安裝Java及ActiveX控制掃描軟件，禁止未經(jīng)許可的控件下載和安裝。四.入侵檢測(cè)技術(shù)利用防火墻技術(shù)，經(jīng)過(guò)仔細(xì)的配置，通常能夠在內(nèi)外網(wǎng)之間提供安全的網(wǎng)絡(luò)保護(hù)，降低了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。但是，僅僅使用防火墻、網(wǎng)絡(luò)安全還遠(yuǎn)遠(yuǎn)不夠：(1)入侵者可尋找防火墻背后可能敞開(kāi)的后門(mén)。(2)入侵者可能就在防火墻內(nèi)。(3)由于性能的限制，防火焰通常不能提供實(shí)時(shí)的入侵檢測(cè)能力。入侵檢測(cè)系統(tǒng)是近年出現(xiàn)的新型網(wǎng)絡(luò)安全技術(shù)，目的是提供實(shí)時(shí)的入侵檢測(cè)及采取相應(yīng)的防護(hù)手段，如記錄證據(jù)用于跟蹤和恢復(fù)、斷開(kāi)網(wǎng)絡(luò)連接等。實(shí)時(shí)入侵檢測(cè)能力之所以重要首先它能夠?qū)Ω秮?lái)自?xún)?nèi)部網(wǎng)絡(luò)的攻擊，其次它能夠縮短hacker入侵的時(shí)間。入侵檢測(cè)系統(tǒng)可分為兩類(lèi)：√基于主機(jī)√基于網(wǎng)絡(luò)基于主機(jī)的入侵檢測(cè)系統(tǒng)用于保護(hù)關(guān)鍵應(yīng)用的服務(wù)器，實(shí)時(shí)監(jiān)視可疑的連接、系統(tǒng)日志檢查，非法訪(fǎng)問(wèn)的闖入等，并且提供對(duì)典型應(yīng)用的監(jiān)視如Web服務(wù)器應(yīng)用。基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)用于實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)關(guān)鍵路徑的信息，其基本模型如下圖示：上述模型由四個(gè)部分組成：(1)PassiveprotocolAnalyzer網(wǎng)絡(luò)數(shù)據(jù)包的協(xié)議分析器、將結(jié)果送給模式匹配部分并根據(jù)需要保存。(2)Pattern-MatchingSignatureAnalysis根據(jù)協(xié)議分析器的結(jié)果匹配入侵特征，結(jié)果傳送給Countermeasure部分。(3)countermeasure執(zhí)行規(guī)定的動(dòng)作。(4)Storage保存分析結(jié)果及相關(guān)數(shù)據(jù)。基于主機(jī)的安全監(jiān)控系統(tǒng)具備如下特點(diǎn)：(1)精確，可以精確地判斷入侵事件。(2)高級(jí)，可以判斷應(yīng)用層的入侵事件。(3)對(duì)入侵時(shí)間立即進(jìn)行反應(yīng)。(4)針對(duì)不同操作系統(tǒng)特點(diǎn)。(5)占用主機(jī)寶貴資源。基于網(wǎng)絡(luò)的安全監(jiān)控系統(tǒng)具備如下特點(diǎn)：(1)能夠監(jiān)視經(jīng)過(guò)本網(wǎng)段的任何活動(dòng)。(2)實(shí)時(shí)網(wǎng)絡(luò)監(jiān)視。(3)監(jiān)視粒度更細(xì)致。(4)精確度較差。(5)防入侵欺騙的能力較差。(6)交換網(wǎng)絡(luò)環(huán)境難于配置。基于主機(jī)及網(wǎng)絡(luò)的入侵監(jiān)控系統(tǒng)通常均可配置為分布式模式：(1)在需要監(jiān)視的服務(wù)器上安裝監(jiān)視模塊(agent)，分別向管理服務(wù)器報(bào)告及上傳證據(jù)，提供跨平臺(tái)的入侵監(jiān)視解決方案。(2)在需要監(jiān)視的網(wǎng)絡(luò)路徑上，放置監(jiān)視模塊(sensor),分別向管理服務(wù)器報(bào)告及上傳證據(jù)，提供跨網(wǎng)絡(luò)的入侵監(jiān)視解決方案。選擇入侵監(jiān)視系統(tǒng)的要點(diǎn)是：(1)協(xié)議分析及檢測(cè)能力。(2)解碼效率(速度)。(3)自身安全的完備性。(4)精確度及完整度，防欺騙能力。(5)模式更新速度。五.安全掃描技術(shù)網(wǎng)絡(luò)安全技術(shù)中，另一類(lèi)重要技術(shù)為安全掃描技術(shù)。安全掃描技術(shù)與防火墻、安全監(jiān)控系統(tǒng)互相配合能夠提供很高安全性的網(wǎng)絡(luò)。安全掃描工具源于Hacker在入侵網(wǎng)絡(luò)系統(tǒng)時(shí)采用的工具。商品化的安全掃描工具為網(wǎng)絡(luò)安全漏洞的發(fā)現(xiàn)提供了強(qiáng)大的支持。安全掃描工具通常也分為基于服務(wù)器和基于網(wǎng)絡(luò)的掃描器。基于服務(wù)器的掃描器主要掃描服務(wù)器相關(guān)的安全漏洞，如password文件，目錄和文件權(quán)限，共享文件系統(tǒng)，敏感服務(wù)，軟件，系統(tǒng)漏洞等，并給出相應(yīng)的解決辦法建議。通常與相應(yīng)的服務(wù)器操作系統(tǒng)緊密相關(guān)。基于網(wǎng)絡(luò)的安全掃描主要掃描設(shè)定網(wǎng)絡(luò)內(nèi)的服務(wù)器、路由器、網(wǎng)橋、變換機(jī)、訪(fǎng)問(wèn)服務(wù)器、防火墻等設(shè)備的安全漏洞，并可設(shè)定模擬攻擊，以測(cè)試系統(tǒng)的防御能力。通常該類(lèi)掃描器限制使用范圍(IP地址或路由器跳數(shù))。網(wǎng)絡(luò)安全掃描的主要性能應(yīng)該考慮以下方面：(1)速度。在網(wǎng)絡(luò)內(nèi)進(jìn)行安全掃描非常耗時(shí)。(2)網(wǎng)絡(luò)拓?fù)洹Ｍㄟ^(guò)GUI的圖形界面，可迭擇一步或某些區(qū)域的設(shè)備。(3)能夠發(fā)現(xiàn)的漏洞數(shù)量。(4)是否支持可定制的攻擊方法。通常提供強(qiáng)大的工具構(gòu)造特定的攻擊方法。因?yàn)榫W(wǎng)絡(luò)內(nèi)服務(wù)器及其它設(shè)備對(duì)相同協(xié)議的實(shí)現(xiàn)存在差別，所以預(yù)制的掃描方法肯定不能滿(mǎn)足客戶(hù)的需求。(5)報(bào)告，掃描器應(yīng)該能夠給出清楚的安全漏洞報(bào)告。(6)更新周期。提供該項(xiàng)產(chǎn)品的廠(chǎng)商應(yīng)盡快給出新發(fā)現(xiàn)的安生漏洞掃描特性升級(jí)，并給出相應(yīng)的改進(jìn)建議。安全掃描器不能實(shí)時(shí)監(jiān)視網(wǎng)絡(luò)上的入侵，但是能夠測(cè)試和評(píng)價(jià)系統(tǒng)的安全性，并及時(shí)發(fā)現(xiàn)安全漏洞。六.認(rèn)證和數(shù)宇簽名技術(shù)認(rèn)證技術(shù)主要解決網(wǎng)絡(luò)通訊過(guò)程中通訊雙方的身份認(rèn)可，數(shù)字簽名作為身份認(rèn)證技術(shù)中的一種具體技術(shù)，同時(shí)數(shù)字簽名還可用于通信過(guò)程中的不可抵賴(lài)要求的實(shí)現(xiàn)。認(rèn)證技術(shù)將應(yīng)用到企業(yè)網(wǎng)絡(luò)中的以下方面：(1)路由器認(rèn)證，路由器和交換機(jī)之間的認(rèn)證。(2)操作系統(tǒng)認(rèn)證。操作系統(tǒng)對(duì)用戶(hù)的認(rèn)證。(3)網(wǎng)管系統(tǒng)對(duì)網(wǎng)管設(shè)備之間的認(rèn)證。(4)VPN網(wǎng)關(guān)設(shè)備之間的認(rèn)證。(5)撥號(hào)訪(fǎng)問(wèn)服務(wù)器與客戶(hù)間的認(rèn)證。(6)應(yīng)用服務(wù)器(如WebServer)與客戶(hù)的認(rèn)證。(7)電子郵件通訊雙方的認(rèn)證。數(shù)字簽名技術(shù)主要用于：(1)基于PKI認(rèn)證體系的認(rèn)證過(guò)程。(2)基于PKI的電子郵件及交易(通過(guò)Web進(jìn)行的交易)的不可抵賴(lài)記錄。認(rèn)證過(guò)程通常涉及到加密和密鑰交換。通常，加密可使用對(duì)稱(chēng)加密、不對(duì)稱(chēng)加密及兩種加密方法的混合。UserName/Password認(rèn)證該種認(rèn)證方式是最常用的一種認(rèn)證方式，用于操作系統(tǒng)登錄、telnet、rlogin等，但由于此種認(rèn)證方式過(guò)程不加密，即password容易被監(jiān)聽(tīng)和解密。使用摘要算法的認(rèn)證Radius(撥號(hào)認(rèn)證協(xié)議)、路由協(xié)議(OSPF)、SNMPSecurityProtocol等均使用共享的SecurityKey，加上摘要算法(MD5)進(jìn)行認(rèn)證，由于摘要算法是一個(gè)不可逆的過(guò)程，因此，在認(rèn)證過(guò)程中，由摘要信息不能計(jì)算出共享的securitykey，敏感信息不在網(wǎng)絡(luò)上傳輸。市場(chǎng)上主要采用的摘要算法有MD5和SHA-1。基于PKI的認(rèn)證使用公開(kāi)密鑰體系進(jìn)行認(rèn)證和加密。該種方法安全程度較高，綜合采用了摘要算法、不對(duì)稱(chēng)加密、對(duì)稱(chēng)加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效率結(jié)合起來(lái)。后面描述了基于PKI認(rèn)證的基本原理。這種認(rèn)證方法目前應(yīng)用在電子郵件、應(yīng)用服務(wù)器訪(fǎng)問(wèn)、客戶(hù)認(rèn)證、防火墻驗(yàn)證等領(lǐng)域。該種認(rèn)證方法安全程度很高，但是涉及到比較繁重的證書(shū)管理任務(wù)。七.VPN技術(shù)1、企業(yè)對(duì)VPN技術(shù)的需求企業(yè)總部和各分支機(jī)構(gòu)之間采用internet網(wǎng)絡(luò)進(jìn)行連接，由于internet是公用網(wǎng)絡(luò)，因此，必須保證其安全性。我們將利用公共網(wǎng)絡(luò)實(shí)現(xiàn)的私用網(wǎng)絡(luò)稱(chēng)為虛擬私用網(wǎng)(VPN)。因?yàn)閂PN利用了公共網(wǎng)絡(luò)，所以其最大的弱點(diǎn)在于缺乏足夠的安全性。企業(yè)網(wǎng)絡(luò)接入到internet，暴露出兩個(gè)主要危險(xiǎn)：來(lái)自internet的未經(jīng)授權(quán)的對(duì)企業(yè)內(nèi)部網(wǎng)的存取。當(dāng)企業(yè)通過(guò)INTERNET進(jìn)行通訊時(shí)，信息可能受到竊聽(tīng)和非法修改。完整的集成化的企業(yè)范圍的VPN安全解決方案，提供在INTERNET上安全的雙向通訊，以及透明的加密方案以保證數(shù)據(jù)的完整性和保密性。企業(yè)網(wǎng)絡(luò)的全面安全要求保證：保密-通訊過(guò)程不被竊聽(tīng)。通訊主體真實(shí)性確認(rèn)-網(wǎng)絡(luò)上的計(jì)算機(jī)不被假冒。2、數(shù)字簽名數(shù)字簽名作為驗(yàn)證發(fā)送者身份和消息完整性的根據(jù)。公共密鑰系統(tǒng)(如RSA)基于私有/公共密鑰對(duì)，作為驗(yàn)證發(fā)送者身份和消息完整性的根據(jù)。CA使用私有密鑰計(jì)算其數(shù)字簽名，利用CA提供的公共密鑰，任何人均可驗(yàn)證簽名的真實(shí)性。偽造數(shù)字簽名從計(jì)算能力上是不可行的。并且，如果消息隨數(shù)字簽名一同發(fā)送，對(duì)消息的任何修改在驗(yàn)證數(shù)字簽名時(shí)都將會(huì)被發(fā)現(xiàn)。通訊雙方通過(guò)Diffie-Hellman密鑰系統(tǒng)安全地獲取共享的保密密鑰，并使用該密鑰對(duì)消息加密。Diffie-Hellman密鑰由CA進(jìn)行驗(yàn)證。基于此種加密模式，需要管理的密鑰數(shù)目與通訊者的數(shù)量為線(xiàn)性關(guān)系。而其它的加密模式需要管理的密鑰數(shù)目與通訊者數(shù)目的平方成正比。3、IPSECIPSec作為在IPv4及IPv6上的加密通訊框架，已為大多數(shù)廠(chǎng)商所支持，預(yù)計(jì)在1998年將確定為IETF標(biāo)準(zhǔn)，是VPN實(shí)現(xiàn)的Internet標(biāo)準(zhǔn)。IPSec主要提供IP網(wǎng)絡(luò)層上的加密通訊能力。該標(biāo)準(zhǔn)為每個(gè)IP包增加了新的包頭格式，AuthenticationHeader(AH)及encapsualtingsecuritypayload(ESP)。IPsec使用ISAKMP/Oakley及SKIP進(jìn)行密鑰交換、管理及加密通訊協(xié)商(SecurityAssociation)。Ipsec包含兩個(gè)部分：(1)IPsecurityProtocolproper，定義Ipsec報(bào)文格式。(2)ISAKMP/Oakley，負(fù)責(zé)加密通訊協(xié)商。Ipsec提供了兩種加密通訊手段：IpsecTunnel：整個(gè)IP封裝在Ipsec報(bào)文。提供Ipsec-gateway之間的通訊。Ipsectransport：對(duì)IP包內(nèi)的數(shù)據(jù)進(jìn)行加密，使用原來(lái)的源地址和目的地址。IpsecTunnel不要求修改已配備好的設(shè)備和應(yīng)用，網(wǎng)絡(luò)黑客戶(hù)不能看到實(shí)際的的通訊源地址和目的地址，并且能夠提供專(zhuān)用網(wǎng)絡(luò)通過(guò)Internet加密傳輸?shù)耐ǖ溃虼耍^大多數(shù)均使用該模式。ISAKMP/Oakley使用X.509數(shù)字證書(shū)，因此，使VPN能夠容易地?cái)U(kuò)大到企業(yè)級(jí)。(易于管理)。在為遠(yuǎn)程撥號(hào)服務(wù)的Client端，也能夠?qū)崿F(xiàn)Ipsec的客戶(hù)端，為撥號(hào)用戶(hù)提供加密網(wǎng)絡(luò)通訊。由于Ipsec即將成為Internet標(biāo)準(zhǔn)，因此不同廠(chǎng)家提供的防火墻(VPN)產(chǎn)品可以實(shí)現(xiàn)