計算機網(wǎng)絡安全

韓麗

【摘 要】如何在一個開放式的計算機網(wǎng)絡物理環(huán)境中構造一個封閉的邏輯環(huán)境來滿足于國家、群體和個人實際需要，已成為必須考慮的實際問題。計算機網(wǎng)絡的安全就是為了克服這些安全問題，使計算機網(wǎng)絡的使用更有保障而誕生和發(fā)展起來的。

【關鍵詞】加密技術；防火墻技術；網(wǎng)絡安全策略

0.概述

網(wǎng)絡系統(tǒng)安全涉及通信安全、計算機系統(tǒng)安全、存儲安全、物理安全、人員安全等諸多要素，是與人、網(wǎng)絡、環(huán)境有關的技術安全、結構安全和管理安全的總和。

1.計算網(wǎng)絡面臨的威脅

網(wǎng)絡安全缺陷產(chǎn)生的原因主要有：TCP/IP的脆弱性、網(wǎng)絡結構的不安全性 、易被竊聽、缺乏安全意識。

2.計算機網(wǎng)絡安全策略

2.1物理安全策略

抑制和防止電磁泄漏（即TEMPEST技術）是物理安全策略的一個主要問題。

2.2訪問控制策略

訪問控制是網(wǎng)絡安全防范和保護的主要策略，它的主要任務是保證網(wǎng)絡資源不被非法使用和非常訪問。

2.2.1入網(wǎng)訪問控制

入網(wǎng)訪問控制為網(wǎng)絡訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務器并獲取網(wǎng)絡資源，控制準許用戶入網(wǎng)的時間和準許他們在哪臺工作站入網(wǎng)。

2.2.2網(wǎng)絡的權限控制

網(wǎng)絡的權限控制是針對網(wǎng)絡非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權限。

2.2.3目錄級安全控制

網(wǎng)絡應允許控制用戶對目錄、文件、設備的訪問。對目錄和文件的訪問權限一般有八種：系統(tǒng)管理員權限（Supervisor）、讀權限（Read）、寫權限（Write）、創(chuàng)建權限（Create）、刪除權限（Erase）、修改權限（Modify）、文件查找權限（File Scan）、存取控制權限（Access Control）。

2.2.4屬性安全控制

當用文件、目錄和網(wǎng)絡設備時，網(wǎng)絡系統(tǒng)管理員應給文件、目錄等指定訪問屬性。屬性往往能控制以下幾個方面的權限：向某個文件寫數(shù)據(jù)、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等。

2.2.5網(wǎng)絡服務器安全控制

網(wǎng)絡服務器的安全控制包括可以設置口令鎖定服務器控制臺，以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)；可以設定服務器登錄時間限制、非法訪問者檢測和關閉的時間間隔。

2.2.6監(jiān)測和鎖定控制

網(wǎng)絡管理員應對網(wǎng)絡實施監(jiān)控，服務器應記錄用戶對網(wǎng)絡資源的訪問，對非法的網(wǎng)絡訪問，服務器應以圖形或文字或聲音等形式報警，以引起網(wǎng)絡管理員的注意。

2.2.7網(wǎng)絡端口和節(jié)點的安全控制

網(wǎng)絡中服務器的端口往往使用自動回呼設備、靜默調(diào)制解調(diào)器加以保護，并以加密的形式來識別節(jié)點的身份。

3.信息加密策略

數(shù)據(jù)加密的基本過程就是對原來為明文的文件或數(shù)據(jù)按某種算法進行處理，使其成為不可讀的一段代碼，通常稱為"密文"，使其只能在輸入相應的密鑰之后才能顯示出本來內(nèi)容，通過這樣的途徑來達到保護數(shù)據(jù)不被非法人竊取，閱讀的目的。該過程的逆過程為解密，即將該編碼信息轉化為其原來數(shù)據(jù)的過程。

加密技術通常分為三大類："對稱式"，"非對稱式"和"單項式"。

對稱式加密就是加密和解密使用同一個密鑰，通常稱之為"Session Key"這種加密技術目前被廣泛采用。

非對稱式加密就是加密和解密所使用的不是同一個密鑰，通常有兩個密鑰，稱為"公鑰"和"私鑰"，它們兩個必需配對使用，否則不能打開加密文件。

單項加密也叫做哈希加密，這種加密使用hash算法把一些不同長度的信息轉化成雜亂的確128位的編碼里，叫做hash值。

4.防火墻技術

網(wǎng)絡防火墻技術是一種用來加強網(wǎng)絡之間訪問控制，防止外部網(wǎng)絡用戶以非法手段通過外部網(wǎng)絡進入內(nèi)部網(wǎng)絡，訪問內(nèi)部網(wǎng)絡資源，保護內(nèi)部網(wǎng)絡操作環(huán)境的特殊網(wǎng)絡互聯(lián)設備。

4.1防火墻的分類

根據(jù)防火墻所采用的技術不同，我們可以將它分為四種基本類型：包過濾型，網(wǎng)絡地址轉換―NAT，代理型和監(jiān)測型。

4.2包過濾型

包過濾型產(chǎn)品是防火墻的初級產(chǎn)品，其技術依據(jù)是網(wǎng)絡中的分包傳輸技術。

4.3網(wǎng)絡地址轉化―NAT

網(wǎng)絡地址轉換是一種用于把IP地址轉換成臨時的，外部的，注冊的IP地址標準。它允許具有私有IP地址的內(nèi)部網(wǎng)絡訪問因特網(wǎng)。

4.4代理型

代理型防火墻也可以被稱為代理服務器，它的安全性要高于包過濾型產(chǎn)品，并已經(jīng)開始向應用層發(fā)展，代理服務器位于客戶機與服務器之間，完全阻擋了二者間的數(shù)據(jù)交流。

4.5監(jiān)測型

監(jiān)測型防火墻是新一代的產(chǎn)品，這一技術實際已經(jīng)超越了最初的防火墻定義。監(jiān)測型防火墻能夠對各層的數(shù)據(jù)進行主動的，實時的監(jiān)測，在對這些數(shù)據(jù)加以分析的基礎上，監(jiān)測型防火墻能夠有效地判斷出各層中的非法侵入。

5.計算機網(wǎng)絡安全的防范措施

5.1網(wǎng)絡系統(tǒng)結構設計合理與否是網(wǎng)絡安全運行的關鍵

由于局域網(wǎng)采用的是以廣播為技術基礎的以太網(wǎng)，任何兩個節(jié)點之間的通信數(shù)據(jù)包，也被處在同一以太網(wǎng)上的任何一個節(jié)點的網(wǎng)卡所截取。網(wǎng)絡分段技術的應用將從源頭上杜絕網(wǎng)絡的安全隱患問題，以交換式集線器代替共享式集線器的方式將不失為解除隱患的又一方法。

5.2強化計算機管理是網(wǎng)絡系統(tǒng)安全的保證

（1）加強設施管理，確保計算機網(wǎng)絡系統(tǒng)實體安全。建立健全安全管理制度，防止非法用戶進入計算機控制室和各種非法行為的發(fā)生；（2）強化訪問控制，力促計算機網(wǎng)絡系統(tǒng)運行正常。（3）建立網(wǎng)絡的權限控制模塊。網(wǎng)絡的權限控制是針對網(wǎng)絡非法操作所提出的一種安全保護措施。（4）建立屬性安全服務模塊。屬性安全控制可以將給定的屬性與網(wǎng)絡服務器的文件、目錄和網(wǎng)絡設備聯(lián)系起來。（5）建立網(wǎng)絡服務器安全設置模塊。（6）建立檔案信息加密制度。（7）建立網(wǎng)絡智能型日志系統(tǒng)。（8）建立完善的備份及恢復機制。

隨著計算機技術和通信技術的發(fā)展，計算機網(wǎng)絡將日益成為工業(yè)，農(nóng)業(yè)和國防等方面的重要信息交換手段，滲透到社會生活的各個領域.因此，認清網(wǎng)絡的脆弱性和潛在威脅，采取強有力的安全策略，對于保障網(wǎng)絡的安全性將變得十分重要，相信在未來十年中，網(wǎng)絡安全技術一定會取得更為長足的進展。

【參考文獻】

[1]朱雁輝.防火墻與網(wǎng)絡封包[M].電子工業(yè)出版社.

[2]信息管理系列編委會.網(wǎng)絡安全管理[M].中國人民大學出版社.

[3]張紅旗.信息網(wǎng)絡安全[M].清華大學出版社.

[4]張千里，陳光英.網(wǎng)絡安全新技術.人民郵電出版社.

[5]湯子瀛等.計算機網(wǎng)絡.西安電子科技大學出版社.

[6]彭民德.計算機網(wǎng)絡教程.清華大學出版社，67～88.

[7]張偉.網(wǎng)絡安全.機械工業(yè)出版社，99.

[8]何炎祥.計算機網(wǎng)絡安全學習指導與習題解答.清華大學出版社，101～112.

[9]袁津生，吳硯農(nóng).計算機網(wǎng)絡安全基礎（第二版）.人民郵電出版社，2003：78～92.

[10]殷偉.計算機安全與病毒防治 安徽科學技術出版社，2003：372～382.