1、abstract use of information technology to peoples lives, ringing all aspects of the work of the convenience and benefits of countless, but the computer information technology and other technologies, like a double-edged sword. when most people practical information technology to improve efficiency, c

2、reate more wealth for the community, while others are doing the opposite use of information technology may do. they hacking of computer systems to steal confidential information, data tampering and break pots, to society is difficult to estimate the tremendous loss. according to statistics, about 20

3、 seconds, a global computer intrusion incidents, internet firewall on the network about 1 / 4 was broken, about 70% of executives report network information disclosure of confidential information received the loss. network security is a matter of national security and sovereignty, social stability,

4、democratic culture, inherit and carry forward the important issue of network security related to computer science, network technology, communication technology, cryptography, information security technology, applied mathematics, number theory, information theory, etc. a variety of science. this pape

5、r analyzes the current existence of network security threats and could face attack, network attack was designed and implemented defensive measures, and research-based strategy is proposed as the core of a secure, protection, detection and response as a means a campus network security system to ensur

6、e the safety of the campus network, a practical solution. for example: a firewall, authentication encryption, anti-virus technology is today commonly used method, this method of in-depth exploration of these various aspects of network security problems, can make the readers understanding of network

7、security technology. keywords: network security, security, network, firewall, intrusion detection, telnet, tcsec, p2dr 摘摘 要要 信息技術的使用給人們生活、工作的方方面面帶來了數不盡的便捷和好處， 然而計算機信息技術也和其他技術一樣是一把雙刃劍。當大部分人們實用信息技 術提高工作效率，為社會創造更多財富的同時，另外一些人利用信息技術卻做著 相反得事。他們非法入侵他人的計算機系統竊取機密信息、篡改和破壺數據，給 社會造成難以估計的巨大損失。據統計全球約 20 秒鐘就有一次計算機

8、入侵事件 發生，internet 上的網絡防火墻約 1/4 被突破，約 70%以上的網絡信息主管人員報 告機密信息泄露而收到了損失。網絡安全是一個關系國家安全和主權、社會的穩 定、民主文化的繼承和發揚的重要問題，網絡安全涉及到計算機科學、網絡技術 通信技術、密碼技術、信息安全技術、應用數學、數論、信息論等多種科學。 本文主要分析了當前網絡安全存在的威脅和可能面臨的攻擊，設計了并實現 網絡攻擊的防御措施，并以研究成果為依據提出了一種以安全策略為核心，防護、 檢測和響應為手段的一種校園網安全防范體系來保證校園網絡安全的一個實用的 解決方案。比如：防火墻，認證加密技術，反病毒技術等都是當今常用的方法

9、， 本文的這些方法深入探究各方面的網絡安全問題的解決，可以使讀者對網絡安全 技術的深入了解。 關鍵字關鍵字： 網絡安全，安全防范，校園網，防火墻，入侵檢測， telnet，tcsec，p2dr 目錄目錄 1 概述5 2 網絡安全概述6 2.1 網絡安全發展與歷史現狀分析.6 2.1.1 因特網的發展及其安全問題.6 2.1.2 我國網絡安全現狀及發展趨勢.8 2.2 網絡安全含義.10 2.3 網絡安全屬性.10 2.4 網絡安全機制.11 2.4.1 網絡安全技術機制.11 2.4.2 網絡安全管理機制.12 2.5 網絡安全策略.12 2.5.1 網絡安全策略的分類.12 2.5.2 網絡

10、安全策略的配置.12 2.6 網絡安全發展趨勢.13 3 網絡安全問題解決對策.14 3.1 計算機安全級別劃分.14 3.1.1 tcsec 簡介.14 3.1.2 gb17859 劃分的特點 .17 3.1.3 安全等級標準模型.17 3.2 防火墻技術.18 3.2.1 防火墻的基本概念和作用.18 3.2.2 防火墻的分類.18 3.2.3 防火墻的工作原理.19 3.3 入侵檢測技術.21 3.3.1 入侵檢測系統.21 3.3.2 入侵檢測系分類.22 3.3.3 入侵檢測系.23 3.3.4 代理(agent)技術.23 3.3.5 入侵檢測與防火墻實現聯動.24 3.4 數據加

11、密技術.24 3.4.1 數據加密原理.24 3.4.2 對稱密鑰體系.25 3.4.3 非對稱密鑰體系.26 3.4.4 數據信封技術.26 3.5 反病毒技術.27 3.5.1 計算機病毒的介紹.27 3.5.2 計算機病毒的組成和分類.27 3.5.3 計算機病毒的監測和清除.28 4 網絡安全防范.29 4.1telnet入侵防范.29 4.2 防止 administrator賬號被破解 .30 4.3 防止賬號被暴力破解.30 4.4“木馬” 防范.30 4.4.1“木馬”的概述.30 4.4.2“木馬”的防范措施.31 4.5 網頁惡意代碼及其防范.31 4.5.1 惡意代碼的威脅

12、分類.31 4.5.2 惡意代碼分析.32 4.5.3 惡意代碼的防范措施.33 4.6 嗅探器(sineffer)的防范 .34 4.6.1 嗅探器工作原理.34 4.6.2 嗅探器檢測與防范.34 4.7 數據密文防范措施.35 4.8 其他網絡攻擊與防范措施.37 4.8.1 源 ip 地址欺騙攻擊.37 4.8.2 源路由欺騙攻擊.37 4.8.3 拒絕服務器攻擊及預防措施.38 5 校園網絡安全體系.39 5.1 校園網絡安全規范.39 5.2 校園網絡安全建議.39 5.2.1 校園網絡狀況分析.39 5.2.2 校園網絡安全目標.40 5.3 校園網絡信息安全技術應用.40 5.

13、3.1 數據備份方法.40 5.3.2 防火墻技術.41 5.3.3 入侵檢測技術.42 5.4 校園網絡安全隱患.42 5.5 校園網絡主動和防御體系.43 5.5.1p2dr 模型.43 5.5.2 校園網絡安全防范體系.44 5.5.3 完善安全制度與管理.46 6 結論.47 致謝.48 參考文獻.49 1 1 概述概述 互聯網的各種安全威脅時刻影響著校園網的運行和管理，加強校園網的安全 管理是當前重要任務。校園網是學校信息系統的核心，必須建立有效的網絡安全 防范體系保證網絡應用的安全。 校園網面臨著一系列的安全問題，受到來自外部和內部的攻擊(如病毒困擾， 非授權訪問等)。目前國內許多

14、高校存在校區分散的狀況，各校區間通信的安全 連接還存在問題。但一般的校園網安全方案存在安全手段單一的問題，大多只是 簡單地采用防火墻等有限措施來保護網絡安全。而這些措施往往存在很大的局限 性，它們不能覆蓋實現整個校園網安全的各個層次、各個方位，這樣的網絡系統 就存在很多的安全隱患。比如缺乏強健的認證、授權和訪問控制等，往往使攻擊 者有機可乘；管理員無法了解網絡的漏洞和可能發生的攻擊。傳統的被動式抵御 方式只能等待入侵者的攻擊，而缺乏主動防范的功能：對于已經或正在發生的攻 擊缺乏有效的追查手段；對從網絡進入的病毒等無法控制等，除此以外大多用戶 安全意識都很淡薄，這些都是我們需要注意和解決的安全問

15、題。 本文以“實事求是”的指導思想為原則，從計算機網絡面臨的各種安全威脅， 系統地介紹網絡安全技術。并針對校園網絡的安全問題進行研究，首先分析了高 校網絡系統安全的隱患，然后從構建安全防御體系和加強安全管理兩方面設計了 校園網絡的安全策略。本次論文研究中，我首先了解了網絡安全問題的主要威脅 因素，并利用網絡安全知識對安全問題進行剖析。其次，通過對網絡技術的研究， 得出校園網也會面臨著安全上的威脅。最后，確立了用 p2dr 模型的思想來建立 校園網的安全防御體系。并得出了構建一套有效的網絡安全防御體系是解決校園 網主要威脅和隱患的必要途徑和措施。 2 2 網絡安全概述網絡安全概述 2.12.1

16、網絡安全發展與歷史現狀分析網絡安全發展與歷史現狀分析 2.1.12.1.1 因特網的發展及其安全問題因特網的發展及其安全問題 隨著計算機技術的發展，在計算機上處理業務已由基于單機的數學運算、文 件處理，基于簡單連結的內部網絡的內部業務處理、辦公自動化等發展到基于企 業復雜的內部網、企業外部網、全球互聯網的企業級計算機處理系統和世界范圍 內的信息共享和業務處理。在信息處理能力提高的同時，系統的連結能力也在不 斷的提高。但在連結信息能力、流通能力提高的同時，基于網絡連接的安全問題 也日益突出。 主要表現在以下方面： 1 1網絡的開放帶來的安全問題網絡的開放帶來的安全問題 internet 的開放性

17、以及其他方面因素導致了網絡環境下的計算機系統存在很 多安全問題。為了解決這些安全問題，各種安全機制、策略、管理和技術被研究 和應用。然而，即使在使用了現有的安全工具和技術的情況下，網絡的安全仍然 存在很大隱患，這些安全隱患主要可以包括為以下幾點： （1 1）安全機制在特定條件下并非萬無一失）安全機制在特定條件下并非萬無一失 比如防火墻，它雖然是一種有效的安全工具，可以隱蔽內部網絡結構，限 制外部網絡到內部網絡的訪問。但是對于內部網絡之間的訪問，防火墻往往是無 能為力的。因此，對于內部網絡到內部網絡之間的入侵行為和內外勾結的入侵行 為，防火墻是很難發覺和防范的。 （2 2）安全工具的使用受到人為

18、因素的影響）安全工具的使用受到人為因素的影響 一個安全工具能不能實現期望的效果，在很大程度上取決于使用者，包括系 統管理者和普通用戶，不正當的設置就會產生不安全因素。例如，windows nt 在進行合理的設置后可以達到 c2 級的安全性，但很少有人能夠對 windows nt 本 身的安全策略進行合理的設置。雖然在這方面，可以通過靜態掃描工具來檢測系 統 是否進行了合理的設置，但是這些掃描工具基本上也只是基于一種缺省的系統安 全策略進行比較，針對具體的應用環境和專門的應用需求就很難判斷設置的正確 性。 （3 3）系統的后門是難以考慮的地方）系統的后門是難以考慮的地方 防火墻很難考慮到這類安全

19、問題，多數情況下，這類入侵行為可以堂而皇之 經過防火墻而很難被察覺；比如說，眾所周知的 asp 源碼問題，這個問題在 iis 服務器 4.0 以前一直存在，它是 iis 服務的設計者留下的一個后門，任何人都可 以使用瀏覽器從網絡上方便地調出 asp 程序的源碼，從而可以收集系統信息，進 而對系統進行攻擊。對于這類入侵行為，防火墻是無法發覺的，因為對于防火墻 來說，該入侵行為的訪問過程和正常的 web 訪問是相似的，唯一區別是入侵訪 問在請求鏈接中多加了一個后綴。 （4 4）bugbug 難以防范難以防范 甚至連安全工具本身也可能存在安全的漏洞。幾乎每天都有新的 bug 被發 現和公布出來，程序

20、設計者在修改已知的 bug 的同時又可能使它產生了新的 bug。系統的 bug 經常被黑客利用，而且這種攻擊通常不會產生日志，幾乎無據可 查。比如說現在很多程序都存在內存溢出的 bug，現有的安全工具對于利用這些 bug 的攻擊幾乎無法防范。 （5 5）黑客的攻擊手段在不斷升級）黑客的攻擊手段在不斷升級 安全工具的更新速度慢，且絕大多數情況需要人為的參與才能發現以前未知 的安全問題，這就使得它們對新出現的安全問題總是反應遲鈍。當安全工具剛發 現并努力更正某方面的安全問題時，其他的安全問題又出現了。因此，黑客總是 可以使用先進的、安全工具不知道的手段進行攻擊。 2 2網絡的安全的防護力脆弱，導致

21、的網絡危機網絡的安全的防護力脆弱，導致的網絡危機 （1 1）warroonwarroon researchresearch 調查調查 根據 warroon research 的調查，1997 年世界排名前一千的公司幾乎都曾被黑 客闖入。 （2 2）fbifbi 統計統計 據美國 fbi 統計，美國每年因網絡安全造成的損失高達 75 億美元。 （3 3）ernsternst 和和 youngyoung 報告報告 ernst 和 young 報告，由于信息安全被竊或濫用，幾乎 80%的大型企業遭受損 失。 （4 4）最近一次黑客攻擊）最近一次黑客攻擊 最近一次黑客大規模的攻擊行動中，雅虎網站的網絡

22、停止運行 3 小時，這令 它損失了幾百萬美金的交易。而據統計在這整個行動中美國經濟共損失了十多億 美金。由于業界人心惶惶，亞馬遜(a)、aol、雅虎(yahoo)、ebay 的 股價均告下挫，以科技股為主的那斯達克指數(nasdaq)打破過去連續三天創下新 高的升勢，下挫了六十三點，杜瓊斯工業平均指數周三收市時也跌了二百五十八 點。 3 3網絡安全的主要威脅因素網絡安全的主要威脅因素 （1 1）軟件漏洞）軟件漏洞 每一個操作系統或網絡軟件的出現都不可能是無缺陷和漏洞的。這就使我們 的計算機處于危險的境地，一旦連接入網，將成為眾矢之的。 （2 2）配置不當）配置不當 安全配置不當造成安全漏洞，例

23、如，防火墻軟件的配置不正確，那么它根本 不起作用。對特定的網絡應用程序，當它啟動時，就打開了一系列的安全缺口， 許多與該軟件捆綁在一起的應用軟件也會被啟用。除非用戶禁止該程序或對其進 行正確配置，否則，安全隱患始終存在。 （3 3）安全意識不強）安全意識不強 用戶口令選擇不慎，或將自己的帳號隨意轉借他人或與別人共享等都會對網 絡安全帶來威脅。 （4 4）病毒）病毒 目前數據安全的頭號大敵是計算機病毒，它是編制者在計算機程序中插入 的破壞計算機功能或數據，影響計算機軟件、硬件的正常運行并且能夠自我復制 的一組計算機指令或程序代碼。計算機病毒具有傳染性、寄生性、隱蔽性、觸發 性、破壞性等特點。因此

24、，提高對病毒的防范刻不容緩。 （5 5）黑客）黑客 對于計算機數據安全構成威脅的另一個方面是來自電腦黑客(backer)。電腦 黑客利用系統中的安全漏洞非法進入他人計算機系統，其危害性非常大。從某種 意義上講，黑客對信息安全的危害甚至比一般的電腦病毒更為嚴重。 2.1.22.1.2 我國網絡安全現狀及發展趨勢我國網絡安全現狀及發展趨勢 因特網在我國的迅速普及，我國境內信息系統的攻擊事件也正在呈現快速增 長的勢頭。據了解，從 1997 年底到現在，我國的政府部門、證券公司、銀行、 isp。icp 等機構的計算機網絡相繼遭到多次攻擊。因此，加強網絡信息安全保障 已成為當前的迫切任務。 目前我國網絡

25、安全的現狀和面臨的威脅主要有： 1 1設備與技術的缺乏設備與技術的缺乏 計算機網絡系統使用的軟、硬件很大一部分是國外產品，我們對引進的信息 技術和設備缺乏保護信息安全所必不可少的有效管理和技術改造。 2 2實際操作差實際操作差 全社會的信息安全意識雖然有所提高，但將其提到實際日程中來的依然很少。 3 3目前關于網絡犯罪的法律、法規還不健全目前關于網絡犯罪的法律、法規還不健全 4 4我國信息安全人才培養還不能滿足其需要我國信息安全人才培養還不能滿足其需要 2.1.32.1.3 校園網絡面臨的安全問題校園網絡面臨的安全問題 其它網絡一樣，校園網也會受到相應的威脅，大體可分為對網絡中數據信息 的危害

26、和對網絡設備的危害。具體來說包括： 1 1非法授權問題非法授權問題 即對網絡設備及信息資源進行非正常使用或越權使用等。 2 2冒充合法用戶冒充合法用戶 即利用各種假冒或欺騙的手段非法獲得合法用戶的使用權限，以達到占用合 法用戶資源的目的。 3 3破會數據的完整性破會數據的完整性 即使用非法手段，刪除、修改、重發某些重要信息，以干擾用戶的正常使用。 4 4干擾系統運行干擾系統運行 指改變系統的正常運行方法，減慢系統的響應時間等手段。 5 5病毒與惡意的攻擊病毒與惡意的攻擊 即通過網絡傳播病毒或進行惡意攻擊。除此之外，校園網還面對形形色色、 良莠不分的網絡資源，如不進行識別和過濾，那么會造成大量非

27、法內容或郵件出 入，占用大量流量資源，造成流量堵塞、上網速度慢等問題。許多校園網是從局 域網發展來的，由于意識與資金方面的原因，它們在安全方面往往沒有太多的設 置，這就給病毒和黑客提供了生存的空間。因此，校園網的網絡安全需求是全方 位的。 2.22.2 網絡安全含義網絡安全含義 我國網絡安全從其本質來講就是網絡上信息安全，它涉及的領域相當廣泛， 這是因為目前的公用通信網絡中存在著各式各樣的安全漏洞和威脅。廣義上講， 凡是涉及到網絡上信息的保密性、完整性、可用性和可控性的相關技術和理論， 都是網絡安全的研究領域。 網絡安全是指網絡系統的硬件，軟件及數據受到保護，不遭受偶然或惡意的 破壞、更改、泄

28、露，系統連續可靠正常地運行，網絡服務不中斷1 1。且在不同環 境和應用中又不同的解釋。 1.1.運行系統安全運行系統安全 即保證信息處理和傳輸系統的安全，包括計算機系統機房環境和傳輸環境的 法律保護、計算機結構設計的安全性考慮、硬件系統的安全運行、計算機操作系 統和應用軟件的安全、數據庫系統的安全、電磁信息泄露的防御等。 2.2.網上信息系統的安全網上信息系統的安全 包括用戶口令鑒別、用戶存取權限控制、數據存取權限、方式控制、安全審 計、安全問題跟蹤、計算機病毒防治、數據加密等。 3.3.網上信息傳輸的安全網上信息傳輸的安全 即信息傳播后果的安全、包括信息過濾、不良信息過濾等。 4.4.網上信

29、息內容的安全網上信息內容的安全 即我們討論的狹義的“信息安全” ；側重于保護信息的機密性、真實性和完 整性。本質上是保護用戶的利益和隱私。 2.32.3 網絡安全屬性網絡安全屬性 網絡安全具有三個基本的屬性：機密性、完整性、可用性。 1.1.機密性機密性 是指保證信息與信息系統不被非授權者所獲取與使用，主要范措施是密碼技 術。 2.2.完整性完整性 是指保證信息與信息系統可被授權人正常使用，主要防范措施是確保信息與 信息系統處于一個可靠的運行狀態之下。 3.3.可用性可用性 是指可以供正常被其他網絡使用的相關技術。 以上可以看出：在網絡中，維護信息載體和信息自身的安全都包括了機密性、 完整性、

30、可用性這些重要的屬性。 2.42.4 網絡安全機制網絡安全機制 網絡安全機制是保護網絡信息安全所采用的措施，所有的安全機制都是針對 某些潛在的安全威脅而設計的，可以根據實際情況單獨或組合使用。如何在有限 的投入下合理地使用安全機制，以便盡可能地降低安全風險，是值得討論的，網 絡信息安全機制應包括：技術機制和管理機制兩方面的內容。 2.4.12.4.1 網絡安全技術機制網絡安全技術機制 網絡安全技術機制包含以下內容： 1 1加密和隱藏加密和隱藏 加密使信息改變，攻擊者無法了解信息的內容從而達到保護；隱藏則是將有 用信息隱藏在其他信息中，使攻擊者無法發現。 2 2認證和授權認證和授權 網絡設備之間

31、應互認證對方的身份，以保證正確的操作權力賦予和數據的存 取控制；同時網絡也必須認證用戶的身份，以授權保證合法的用戶實施正確的操 作。 3 3審計和定位審計和定位 通過對一些重要的事件進行記錄，從而在系統中發現錯誤或受到攻擊時能定 位錯誤并找到防范失效的原因，作為內部犯罪和事故后調查取證的基礎。 4 4完整性保證完整性保證 利用密碼技術的完整性保護可以很好地對付非法篡改，當信息源的完整性可 以被驗證卻無法模仿時，可提供不可抵賴服務。 5 5權限和存取控制權限和存取控制 針對網絡系統需要定義的各種不同用戶，根據正確的認證，賦予其適當的操 作權力，限制其越級操作。 6 6任務填充任務填充 在任務間歇

32、期發送無用的具有良好模擬性能的隨機數據，以增加攻擊者通過 分析通信流量和破譯密碼獲得信息難度。 2.4.22.4.2 網絡安全管理機制網絡安全管理機制 網絡信息安全不僅僅是技術問題，更是一個管理問題，要解決網絡信息安全 問題，必須制定正確的目標策略，設計可行的技術方案，確定合理的資金技術， 采取相應的管理措施和依據相關法律制度 2.52.5 網絡安全策略網絡安全策略 策略通常是一般性的規范，只提出相應的重點，而不確切地說明如何達到所 要的結果，因此策略屬于安全技術規范的最高一級。 2.5.12.5.1 網絡安全策略的分類網絡安全策略的分類 安全策略分為基于身份的安全策略和基于規則的安全策略種。

33、基于身份的安 全策略是過濾對數據或資源的訪問，有兩種執行方法：若訪問權限為訪問者所有， 典型的作法為特權標記或特殊授權，即僅為用戶及相應活動進程進行授權；若為 訪問數據所有則可以采用訪問控制表（acl） 。這兩種情況中，數據項的大小有 很大的變化，數據權力命名也可以帶自己的 acl2 2。 基于規則的安全策略是指建立在特定的，個體化屬性之上的授權準則，授權 通常依賴于敏感性。在一個安全系統中，數據或資源應該標注安全標記，而且用 戶活動應該得到相應的安全標記。 2.5.22.5.2 網絡安全策略的配置網絡安全策略的配置 開放式網絡環境下用戶的合法權益通常受到兩種方式的侵害：主動攻擊和被 動攻擊，

34、主動攻擊包括對用戶信息的竊取，對信息流量的分析。根據用戶對安全 的需求才可以采用以下的保護： 1 1身份認證身份認證 檢驗用戶的身份是否合法、防止身份冒充、及對用戶實施訪問控制數據完整 性鑒別、防止數據被偽造、修改和刪除。 2 2信息保密信息保密 防止用戶數據被泄、竊取、保護用戶的隱私。 3 3數字簽名數字簽名 防止用戶否認對數據所做的處理。 4 4訪問控制訪問控制 對用戶的訪問權限進行控制。 5 5不可否認性不可否認性 也稱不可抵賴性，即防止對數據操作的否認。 2.5.32.5.3 網絡安全策略的實現流程網絡安全策略的實現流程 安全策略的實現涉及到以下及個主要方面，如圖 2-1 所示 圖 2

35、-1 安全策略實現流程 1 1證書管理證書管理 主要是指公開密銀證書的產生、分配更新和驗證。 2 2密銀管理密銀管理 包括密銀的產生、協商、交換和更新，目的是為了在通信的終端系統之間建 立實現安全策略所需的共享密銀。 3 3安全協作安全協作 是在不同的終端系統之間協商建立共同采用的安全策略，包括安全策略實施 所在層次、具體采用的認證、加密算法和步驟、如何處理差錯。 4 4安全算法實現安全算法實現 具體算法的實現，如 pes、rsa。 5 5安全策略數據庫安全策略數據庫 保存與具體建立的安全策略有關的狀態、變量、指針。 2.62.6 網絡安全發展趨勢網絡安全發展趨勢 從總的看來，對等網絡將成為主

36、流，與網格共存。網絡進化的未來綠色網 絡呼喚著新的信息安全保障體系。 國際互聯網允許自主接入，從而構成一個規模龐大的，復雜的巨系統，在如 此復雜的環境下，孤立的技術發揮的作用有限，必須從整體的和體系的角度，綜 合運用系統論，控制論和信息論等理論，融合各種技術手段，加強自主創新和頂 層設計，協同解決網絡安全問題。 保證網絡安全還需嚴格的手段，未來網絡安全領域可能發生三件事，其一是 向更高級別的認證轉移；其二，目前存儲在用戶計算機上的復雜數據將“向上移 動” ，由與銀行相似的機構確保它們的安全；第三，是在全世界的國家和地區建 立與駕照相似的制度，它們在計算機銷售時限制計算機的運算能力，或要求用戶

37、演示在自己的計算機受到攻擊時抵御攻擊的能力3 3。 3 3 網絡安全問題解決對策網絡安全問題解決對策 3.13.1 計算機安全級別劃分計算機安全級別劃分 3.1.13.1.1 tcsectcsec 簡介簡介 1999 年 9 月 13 日國家質量技術監督局公布了我國第一部關于計算機信息系 統安全等級劃分的標準“計算機信息系統安全保護等級劃分準則” （gb17859- 1999） 。而國外同標準的是美國國防部在 1985 年 12 月公布的可信計算機系統評 價標準 tcsec(又稱桔皮書)。在 tcsec 劃分了 7 個安全等級：d 級、c1 級、c2 級、b1 級、b2 級、b3 級和 a1

38、級。其中 d 級是沒有安全機制的級別，a1 級是 難以達到的安全級別，如表 3-1 所示 表 3-1 網絡安全等級及安全級別的性能要求 下面對下各個安全級別進行介紹： 1 1d d 類安全等級類安全等級 d 類安全等級只包括 d1 一個級別。d1 的安全等級最低。d1 系統只為文件 和用戶提供安全保護。d1 系統最普通的形式是本地操作系統，或者是一個完全 沒有保護的網絡。 2 2c c 類安全等級類安全等級 該類安全等級能夠提供審慎的保護，并為用戶的行動和責任提供審計能力。 c 類安全等級可劃分為 c1 和 c2 兩類。c1 系統的可信任運算基礎體制（trusted computing bas

39、e 即 tcb）通過將用戶和數據分開來達到安全的目的。在 c1 系統 中，所有的用戶以同樣的靈敏度來處理數據，即用戶認為 c1 系統中的所有文檔 都具有相同的機密性。c2 系統比 c1 系統加強了可調的審慎控制。在連接事件和 資源隔離來增強這種控制。c2 系統具有 c1 系統中所有的安全性特征。 3 3b b 類安全等級類安全等級 b 類安全等級可分為 b1、b2 和 b3 三類。b 類系統具有強制性保護功能。 強制性保護意味著如果用戶沒有與安全等級相連，系統就不會讓用戶存取對象。 安全級別名 稱說明 d1酌情安全保護對硬件和操作系統幾乎無保護，對信息的訪問 無控制 c1自選安全保護由用戶注冊

40、名和口令的組合來確定用戶對信息 的訪問權限 b1被標簽的安全性保護為強制性訪問控制，不允許文件的擁有者改變 其許可權限 b2結構化保護要求對計算機中所有信息加以標簽，并且對設 備分配單個或多個安全級別 b3安全域保護使用安全硬件的方法來加強域的管理 終端與系統的連接途徑可信任 a核實保護系統不同來源必須有安全措施必須在銷售過程 中實施 b1 系統滿足下列要求：系統對網絡控制下的每個對象都進行靈敏度標記；系統使 用靈敏度標記作為所有強迫訪問控制的基礎；系統在把導入的、非標記的對象放 入系統前標記它們；靈敏度標記必須準確地表示其所聯系的對象的安全級別；當 系統管理員創建系統或者增加新的通信通道或

41、i/o 設備時，管理員必須指定每個 通信通道和 i/o 設備是單級還是多級，并且管理員只能手工改變指定；單級設備 并不保持傳輸信息的靈敏度級別；所有直接面向用戶位置的輸出（無論是虛擬的 還是物理的）都必須產生標記來指示關于輸出對象的靈敏度；系統必須使用用戶 的口令或證明來決定用戶的安全訪問級別；系統必須通過審計來記錄未授權訪問 的企圖。b2 系統必須滿足 b1 系統的所有要求。另外，b2 系統的管理員必須使 用一個明確的、文檔化的安全策略模式作為系統的可信任運算基礎體制。b2 系統 必須滿足下列要求：系統必須立即通知系統中的每一個用戶所有與之相關的網絡 連接的改變；只有用戶能夠在可信任通信路徑

42、中進行初始化通信；可信任運算基 礎體制能夠支持獨立的操作者和管理員。b3 系統必須符合 b2 系統的所有安全需 求。b3 系統具有很強的監視委托管理訪問能力和抗干擾能力。b3 系統必須設有 安全管理員。b3 系統應滿足以下要求: （1 1）產生可讀列表）產生可讀列表 b3 必須產生一個可讀的安全列表，每個被命名的對象提供對該對象沒有訪問 權的用戶列表說明。 （2 2）身份驗證）身份驗證 b3 系統在進行任何操作前，要求用戶進行身份驗證。 （3 3）驗證用戶）驗證用戶 b3 系統驗證每個用戶，同時還會發送一個取消訪問的審計跟蹤消息；設計 者必須正確區分可信任的通信路徑和其他路徑；可信任的通信基礎

43、體制為每一個 被命名的對象建立安全審計跟蹤；可信任的運算基礎體制支持獨立的安全管理。 4 4a a 類安全等級類安全等級 a 系統的安全級別最高。目前，a 類安全等級只包含 a1 一個安全類別。a1 類與 b3 類相似，對系統的結構和策略不作特別要求。a1 系統的顯著特征是，系 統的設計者必須按照一個正式的設計規范來分析系統。對系統分析后，設計者必 須運用核對技術來確保系統符合設計規范。a1 系統必須滿足下列要求：系統管 理員必須從開發者那里接收到一個安全策略的正式模型;所有的安裝操作都必須 由系統管理員進行；系統管理員進行的每一步安裝操作都必須有正式文檔。 3.1.23.1.2 gb1785

44、9gb17859 劃分的特點劃分的特點 gb17859 把計算機信息安全保護能力劃分為 5 個等級，它們是：系統自我保 護級、系統審計保護級、安全標記保護級、結構化保護級和訪問驗證保護級。這 5 個級別的安全強度從低到高排列讓高一級包括低一級的安全能力，如表 3-2 所 示。 表 3-2 gb17859 的劃分標準 安全能力一級二級三級四級五級 自主訪問控 制 強制訪問控 制 標記 身份鑒別 客體重用 審計 數據完整 隱蔽信道分 析 可信路徑 可信恢復 注: “”:新增功能；“”：比上一級功能又所擴展；“”：與上一級功能相同。 3.1.33.1.3 安全等級標準模型安全等級標準模型 計算機信息

45、系統的安全模型主要又訪問監控器模型、軍用安全模仿和信息流 模型等三類模型，它們是定義計算機信息系統安全等級劃分標準的依據。 1 1訪問監控模型訪問監控模型 是按 tcb 要求設計的，受保護的客體要么允許訪問，要么不允許訪問。 2 2常用安全模型常用安全模型 是一種多級安全模型，即它所控制的信息分為絕密、機密、秘密和無密 4 種 敏感級。 3 3信息流模型信息流模型 是計算機中系統中系統中信息流動路徑，它反映了用戶在計算機系統中的訪 問意圖。信息流分直接的和間接的兩種。 3.23.2 防火墻技術防火墻技術 隨著網絡安全問題日益嚴重，網絡安全技術和產品也被人們逐漸重視起來， 防火墻作為最早出現的網

46、絡安全技術和使用量最大的網絡安全產品，受到用戶和 研發機構的親睞。 3.2.13.2.1 防火墻的基本概念和作用防火墻的基本概念和作用 防火墻是指設置在不同網絡或網絡安全域之間的一系列部件的組合，它執行 預先制定的訪問控制策略，決定了網絡外部與網絡內部的訪問方式。 在網絡中，防火墻實際是一種隔離技術，它所執行的隔離措施有： 1 1拒絕未經授權的用戶訪問內部網和存取敏感數據拒絕未經授權的用戶訪問內部網和存取敏感數據 2 2允許合法用戶不受妨礙地訪問網絡資源允許合法用戶不受妨礙地訪問網絡資源 （1 1）作為網絡安全的屏障）作為網絡安全的屏障 一個防火墻作為阻塞節點和控制節點能極大地提高一個內部網絡

47、的安全性， 并通過過濾不安全的服務而降低風險，只有經過精心選擇的應用協議才能通過防 火墻，所以網絡環境變得更安全。 （2 2）可以強化網絡安全策略）可以強化網絡安全策略 通過以防火墻為中心的安全方案配置，能將所有的安全軟件配置在防火墻上， 體現集中安全管理更經濟。 （3 3）對網絡存取和訪問進行檢測審計）對網絡存取和訪問進行檢測審計 如果所有的訪問都經過防火墻，那么，防火墻就能記錄下這些訪問并做出日 志記錄，同時也能提供網絡使用情況的統計數據，當發生可疑動作時，防火墻能 進行適當的報警，并提供網絡是否受到監測和攻擊的詳細信息。 （4 4）防止內部信息的外泄）防止內部信息的外泄 通過利用防火墻對

48、內部網絡的劃分，可實現內部網重點網段的隔離，從而限 制了局部重點或敏感網絡安全問題對全局網絡造成的影響。 （5 5）協議的支持）協議的支持 支持具有因特網服務性的企業內部網絡技術體系 vpn。 3.2.23.2.2 防火墻的分類防火墻的分類 防火墻的分類有很多種。根據受保護的對象，可以分為網絡防火墻的單機防 火墻；根據防火墻主要部分的形態，可以分為軟件防火墻和硬件防火墻；根據防 火墻使用的對象，可以分外企業防火墻和個人防火墻；根據防火墻檢查數據包的 位置，可以分外包過濾、防火墻應用代理防火墻和檢測防火墻。 3.2.33.2.3 防火墻的工作原理防火墻的工作原理 從防火墻的作用可以看出，防火墻必

49、須具備兩個要求：保障內部網安全和保 障內部網和外部網的聯通。因此在邏輯上防火墻是一個分離器、限制器、分析器 44。有效地監控了內部網和外部網的任何活動，保證了內部網絡的安全，其一般 邏輯位置如圖 3-1 所示。 圖 3-1 防火墻的邏輯示意圖 防火墻根據功能實現在 tcp/ip 網絡模型中的層次，其實現原理可以分為三 類：在網絡層實現防火墻功能為分組過濾技術；在應用層實現防火墻功能為代理 服務技術；在網絡層，ip 層，應用層三層實現防火墻為狀態檢測技術。 1 1分組過濾技術分組過濾技術 實際上是基于路由器技術，它通常由分組過濾路由器對 ip 分組進行分組選 擇，允許或拒絕特定的 ip 數據包，

50、工作于 ip 層。如表 3-3 所示。 表 3-3 分組過濾技術工作特點 輸入數據流 過濾一般基于一個 ip 分組的以下各域：第一、源/目的 ip 地址；第二、tcp/udp 源/目 的端口。前者的過濾，即根據制定的安全規則，過濾掉具有特定 ip 地址的數據分組，從而保 護內部網絡；后者則是為分組過濾提供了更大的靈活性。 2 2代理服務技術代理服務技術 以一個高層的應用網關作為代理服務器，接受外來的應用連接請求，在代理 服務器上進行安全檢查后，再與被保護的應用服務器連接，使外部用戶可以在受 控制的前提下使用內部網絡的服務，如圖 3-2 所示。 客 戶網 關服務器 發送請 求 轉發請 求 轉發請

51、求 請求響應 圖 3-2 代理服務器原理示意 表 3-4 代理服務技術工作特點 輸入數據 流 5、應用層 4、tcp 層 3、ip 層 2、數據鏈路層 1、物理層 5、應用層 4、tcp 層 3、ip 層層 2、數據鏈路層 1、物理層 輸出數據 流 輸出數據流 輸出數 據流 輸入數 據流 由于代理服務作用于應用層，它能解釋應用層上的協議，能夠作復雜和更細 粒度的訪問控制；同時，由于所有進出服務器的客戶請求必須通過代理網關的檢 查，可以作出精細的注冊和審計記錄，并且可以與認證、授權等安全手段方便地 集成，為客戶和服務提供更高層次的安全保護。 3 3狀態檢測技術狀態檢測技術 此技術工作在 ip/t

52、cp/應用層，它結合了分組過濾和代理服務技術的特點， 它同分組過濾一樣，在應用層上檢查數據包的內容，分析高層的協議數據，查看 內容是否符合網絡安全策略。如表 3-4 所示。 表 3-4 狀態檢測技術工作情況 3.33.3 入侵檢測技術入侵檢測技術 僅僅依賴防火墻并不能保證足夠的安全，為了解決非法入侵所造成的各種安 全問題，安全廠商提出了建立入侵檢測系統的解決方法。入侵檢測技術是防火墻 技術的有效補充，通過對計算機或計算機系統中的若干關鍵點收集信息并對其進 行分析，從中發現網絡中或系統中潛在的違反安全策略的行為和被攻擊的跡象。 3.3.13.3.1 入侵檢測系統入侵檢測系統 入侵檢測系統功能構成

53、，包括事件提取、入侵分析、入侵響應和遠程管理 四部分如圖 3-3 所示。 3-3 入侵檢測組成圖 3-3 入侵檢測組成圖 入侵檢測所利用的信息一般來自以下四個方面：系統和網絡日志文件、目錄和文 件中的不期望的改變、程序執行中的不期望行為、物理形式的入侵信息。常用的 5、應用層 4、tcp 層 3、ip 層層 2、數據鏈路層 1、物理層 分析方法有模式匹配、統計分析、完整性分析。模式匹配是將收集到的信息與已 知的網絡入侵和系統誤用模式數據庫進行比較，從而發現違背安全策略的行為。 統計分析方法首先給系統對象(如用戶、文件、目錄和設備等)創建一個統計描述， 統計正常使用時的一些測量屬性。測量屬性的平

54、均值將被用來與網絡、系統的行 為進行比較。當觀察值超出正常值范圍時，就有可能發生入侵行為。 3.3.23.3.2 入侵檢測系分類入侵檢測系分類 入侵檢測通過對入侵和攻擊行為的檢測，查出系統的入侵者或合法用戶對系 統資源的濫用和誤用。根據不同的檢測方法，將入侵檢測分為異常入侵檢測和誤 用人侵檢測。 1 1異常檢測異常檢測 又稱為基于行為的檢測。其基本前提是：假定所有的入侵行為都是異常的。 首先建立系統或用戶的“正常”行為特征輪廓，通過比較當前的系統或用戶的行 為是否偏離正常的行為特征輪廓來判斷是否發生了入侵。此方法不依賴于是否表 現出具體行為來進行檢測，是一種間接的方法。常用的具體方法有：統計異

55、常檢 測方法、基于特征選擇異常檢測方法、基于貝葉斯推理異常檢測方法、基于貝葉 斯網絡異常檢測方法、基于模式預測異常檢測方法、基于神經網絡異常檢測方法、 基于機器學習異常檢測方法、基于數據采掘異常檢測方法等。 采用異常檢測的關鍵問題有如下兩個方面： 2 2誤用檢測誤用檢測 （1 1）特征量的選擇）特征量的選擇 在建立系統或用戶的行為特征輪廓的正常模型時，選取的特征量既要能準確 地體現系統或用戶的行為特征，又能使模型最優化，即以最少的特征量就能涵蓋 系統或用戶的行為特征。 （2 2）參考閥值的選定）參考閥值的選定 由于異常檢測是以正常的特征輪廓作為比較的參考基準，因此，參考閾值的 選定是非常關鍵的

56、。閾值設定得過大，那漏警率會很高；閾值設定的過小，則虛 警率就會提高。合適的參考閾值的選定是決定這一檢測方法準確率的至關重要的 因素。由此可見，異常檢測技術難點是“正常”行為特征輪廓的確定、特征量的 選取、特征輪廓的更新。由于這幾個因素的制約，異常檢測的虛警率很高，但對 于未知的入侵行為的檢測非常有效。此外，由于需要實時地建立和更新系統或用 戶的特征輪廓，這樣所需的計算量很大，對系統的處理性能要求很高。 3.3.33.3.3 入侵檢測系入侵檢測系 入侵檢測就是通過對系統數據的分析、發現非授權的網絡訪問和攻擊行為， 然后采取報警、切斷入侵線路等對抗措施。為此目的而設計的系統稱為入侵檢測 系統。一

57、個簡單的入侵檢測系統，如圖 3-4 所示。 圖 3-4 簡單的入侵檢測系統 入侵檢測系統的基本任務：通過實時檢測網絡系統狀態，判斷入侵行為發生， 并產生報警。從功能實現的角度可以把這個系統劃分為三大模塊：信息收集模塊、 信息處理與通訊模塊、入侵判斷與反應模塊。其中信息收集模塊與特定的環境， 監視的對象有比較密切的關系:信息處理與通訊模塊，是對所收集到的數據進行 預處理和分類，然后把處理的結果按照一定的格式傳輸給檢測判斷模塊。最后由 檢測判斷模塊根據一定的安全策略判斷入侵行為的發生并采取相應的反擊。隨著 網絡系統結構的復雜化和大型化，系統的弱點或漏洞將趨向于分布式。另外，入 侵行為不再是單一的行

58、為，而是表現出相互協作入侵的特點。入侵檢測系統要求 可適應性、可訓練性、高效性、容錯性、可擴展性等要求。不同的 ids 之間也需 要共享信息，協同檢測。 3.3.43.3.4 代理代理(agent)(agent)技術技術 代理(agent)是指能在特定的環境下無須人工干預和監督完成某項工作的實 體。它具有自適應性、智能性和協作性。代理既能獨立地完成自己的工作，又能 與其它代理協作共同完成某項任務，且代理能夠接受控制并能感知環境的變化而 影響環境。代理分布于系統中的關鍵點及關鍵服務器，包括防火墻、對外提供各 項服務的服務器、內部網關和服務器，完成絕大多數的入侵檢測和響應任務。代 理可以針對特定的

59、應用環境進行配置和編程，使得代理占用負載最小。同時，代 理可以與其它代理和中心服務器進行有限的交互，交換數據和控制信息。由于代 理是獨立的功能實體，在一個多代理系統中，單個的功能代理能夠增加到系統中 去或從系統中刪除，并且能夠對某個代理進行重配置，而不會影響到系統的其它 部分。可以看到，在一個由多代理組成的入侵檢測系統中，單個代理的失效只會 影響到該代理和與之協作的部分代理，系統的其它部分仍能正常工作。如果能將 入侵檢測系統的功能合理地分配給各個代理，就能大大減少系統失效的風險。多 代理系統所具有的這些優點使之能較好地解決常規入侵檢測系統的缺陷。 3.3.53.3.5 入侵檢測與防火墻實現聯動

60、入侵檢測與防火墻實現聯動 防火墻與入侵檢測這兩種技術具有較強的互補性。目前，實現入侵檢測和防 火墻之間的聯動有兩種方式可以實現，一種是實現緊密結合，即把入侵檢測系統 嵌入到防火墻中，即入侵檢測系統的數據來源不再來源于抓包，而是流經防火墻 的數據流。所有通過的包不僅要接受防火墻檢測規則的驗證，還需要經過入侵檢 測，判斷是否具有攻擊性，以達到真正的實時阻斷，這實際上是把兩個產品合成 一體。但是，由于入侵檢測系統本身也是一個很龐大的系統，所以無論從實施難 度、合成后的性能等方面都會因此受到很大影響。所以，目前還沒有廠商做到這 一步，仍處于理論研究階段。但是不容否認，各個安全產品的緊密結合是一種趨 勢