計算機網(wǎng)絡安全防護系統(tǒng)設計研究

俞詩白

（中國電子科技集團公司第二十八研究所 江蘇省南京市 210000）

計算機是當前人們處理信息的主要工具，通過聯(lián)接互聯(lián)網(wǎng)，計算機實現(xiàn)了信息的傳遞與共享。隨著信息化與計算機網(wǎng)絡的普及，各種網(wǎng)絡安全問題也隨之衍生，比如用戶信息被竊、企業(yè)數(shù)據(jù)丟失等，危害著個人、企業(yè)的數(shù)據(jù)安全。因此，構建科學完善、具有針對性的計算機網(wǎng)絡安全防護系統(tǒng)具有著重要意義。

1 網(wǎng)絡安全防護系統(tǒng)設計背景

計算機網(wǎng)絡是一個動態(tài)、多變的復雜環(huán)境，這種運行環(huán)境導致了網(wǎng)絡安全問題頻出，嚴重影響計算機使用安全。傳統(tǒng)的安全防護系統(tǒng)一般按照IDS 機制來進行設計，其主要包括兩個方面，一是基于主機IDS 的網(wǎng)絡安全防護，二是基于網(wǎng)絡IDS 的網(wǎng)絡安全防護。其中，主機IDS 的網(wǎng)絡安全防護由于受主機設置因素的影響，保護范圍受到限制，僅僅適合于本計算機網(wǎng)絡系統(tǒng)的安全防護。而網(wǎng)絡IDS 的安全防護具有廣泛性，不受本地系統(tǒng)的影響。傳統(tǒng)的IDS 具有一定的防護優(yōu)勢，主要體現(xiàn)在以下幾個方面：

（1）采用分體式結構，這種結構有效拓展了監(jiān)測范圍，能夠實現(xiàn)多個網(wǎng)絡區(qū)域的監(jiān)測。

（2）能夠識別非法入侵行為，并能根據(jù)入侵信息來實現(xiàn)信息的監(jiān)測、跟蹤、處理等。

（3）記錄與安全相關的事件日志，進而將不利于計算機系統(tǒng)運行的安全因素進行排除。

從目前計算機網(wǎng)絡發(fā)展趨勢來看，傳統(tǒng)以IDS 機制原理進行的安全防護設計有較多弊端，比如精準度不高，容易出現(xiàn)漏報現(xiàn)象；監(jiān)測范圍不廣，難以實現(xiàn)協(xié)議、數(shù)據(jù)、流量等多方面的監(jiān)測。在這種情況下，需要構建符合當前計算機運行的安全防護框架，以此保障系統(tǒng)安全運行。

2 計算機網(wǎng)絡安全面臨的主要問題

在互聯(lián)網(wǎng)的普及下，計算機不再是單機使用環(huán)境，早已形成了多機互聯(lián)的信息共享使用環(huán)境，信息流動速度快、流通范圍廣，各種威脅來源如同大海撈針，難以定位根源。對此，以下從操作系統(tǒng)、面臨威脅、網(wǎng)絡結構三個方面闡述計算機網(wǎng)絡安全問題。

2.1 計算機操作系統(tǒng)存在漏洞

使用者基于操作系統(tǒng)實現(xiàn)對計算機的操控，操作系統(tǒng)能夠保障使用者的各項需求，保證工作的順利完成。為了保障計算機使用功能的實現(xiàn)，企業(yè)非常重視計算機操作系統(tǒng)的維護工作。但這種維護工作的側重點往往不是計算機操作系統(tǒng)的安全防護，而是計算機系統(tǒng)的高效運行，因而在財力、人力的投入上也以如何實現(xiàn)計算機系統(tǒng)的高速運行為主。在此情況下，對計算機系統(tǒng)漏洞的識別、監(jiān)測出現(xiàn)了滯后現(xiàn)象，甚至在系統(tǒng)漏洞掃描后，也無法準確發(fā)現(xiàn)漏洞并予以修補，這就給計算機的操作系統(tǒng)埋下了安全隱患。如果不及時對計算機操作系統(tǒng)的漏洞進行追蹤、修補，就極易遭到攻擊或感染病毒，從而引發(fā)計算機信息泄露、數(shù)據(jù)丟失等問題，影響計算機系統(tǒng)的安全運行。

2.2 計算機網(wǎng)絡安全防護面臨挑戰(zhàn)

當前人們的生活已經離不開計算機網(wǎng)絡，人們利用其進行購物、存款、轉賬、理財、炒股等，因此，網(wǎng)絡安全的保障十分重要。企業(yè)的發(fā)展也離不開網(wǎng)絡安全系統(tǒng)，企業(yè)的經營、顧客和財務信息都會儲存到計算機中。如果計算機安全防護系統(tǒng)缺失，國家、人民的財產安全將無法受到保障。但很多非法分子瞄準了利用計算機病毒的非法獲利機會，利用網(wǎng)絡技術開展進攻，導致計算機網(wǎng)絡安全受到威脅。隨著科技進步，網(wǎng)絡入侵手段也變得多樣化，很多攻擊方法隱蔽性強、目標準確、破壞力大，導致排查、防御困難。此外，在互聯(lián)網(wǎng)的接入下，計算機病毒種類呈多樣化特點，加之傳播速度快，攻擊技術也不斷迭代升級，導致計算機安全防御系統(tǒng)持續(xù)面臨嚴峻挑戰(zhàn)。

2.3 計算機網(wǎng)絡結構發(fā)展不完善

時至今日，計算機網(wǎng)路技術正在飛速發(fā)展，已經實現(xiàn)了質的飛越，但發(fā)展的重點和核心主要集中在使用功能層面，而非計算機網(wǎng)絡系統(tǒng)的安全防護上，沒有形成健全的病毒入侵防護結構體系，對病毒識別的種類、病毒入侵的范圍考慮不周。當前普遍在用的計算機網(wǎng)絡主要由網(wǎng)絡協(xié)議、操作系統(tǒng)、物理線路以及各種處理轉發(fā)設備等構成，通過路由器實現(xiàn)大網(wǎng)引接。這種架構體系在計算機安全防護層面考慮較少，如果采用該網(wǎng)絡拓撲擔負數(shù)據(jù)處理、輸出等工作，就會產生不安全因素，威脅系統(tǒng)安全。

3 網(wǎng)絡安全防護系統(tǒng)設計與實現(xiàn)

3.1 總體架構設計

根據(jù)上述分析，開展計算機網(wǎng)絡安全防護系統(tǒng)的總體架構設計。首先應滿足用戶需求，即安全防護系統(tǒng)不能以犧牲系統(tǒng)功能來實現(xiàn)安全。其次，要優(yōu)化資源配置，利用有限資源實現(xiàn)網(wǎng)絡安全防護，不可盲目增加成本投入。最后，構建風險模型，利用ISO1335 模型、9 要素風險模型或保障要素模型等進行風險評估。當前，不同風險評估的手段有所區(qū)別，但是架構設計的方法大同小異。如保障要素模型的技術構建中，安全保障的主要對象是對資產的保護，該技術主要包括6 項技術實施要點。

（1）鑒別認證技術，即首先要對所來往的數(shù)據(jù)進行鑒別和認證，查看這些數(shù)據(jù)內容是否符合設定的安全標準，該技術非常關鍵，能夠有效篩選帶有病毒的信息。

（2）訪問控制技術，通過設置相應的參數(shù)，控制信息的訪問方式，以保證數(shù)據(jù)安全。

（3）預警技術，預警技術的實現(xiàn)建立在監(jiān)測、檢測數(shù)據(jù)信息的基礎上，一旦在監(jiān)測、檢測過程中發(fā)現(xiàn)病毒入侵等問題，系統(tǒng)會及時收到警告。

（4）內容安全技術，通過以上技術排查之后，若未發(fā)現(xiàn)問題，方可進入數(shù)據(jù)使用階段，采用數(shù)據(jù)安全技術保障運行安全。

（5）恢復和冗余技術，保障信息數(shù)據(jù)的安全使用。

（6）審計跟蹤技術，對數(shù)據(jù)使用情況進行安全追蹤，以此保障信息在整個使用過程中的安全。

信息安全防護總體框架與功能要素如圖1 所示。

圖1：安全防護要素模型構建

3.2 方案詳細設計

針對以上設計的技術結構，可制定詳細的技術設計方案。需要針對保護內容的屬性、區(qū)域特點來選擇相應的保護技術。首先，依據(jù)網(wǎng)絡信息安全防護原則，對企業(yè)信息類型、企業(yè)系統(tǒng)屬性、業(yè)務核心和業(yè)務服務范圍設定系統(tǒng)技術等級，根據(jù)系統(tǒng)等級來確定子系統(tǒng)等級，之后再判定系統(tǒng)安全防護等級。該步驟主要為了確定哪些信息需要重點保護、哪些信息可進行次要保護、哪些信息可以公開等。技術要點包括以下幾個方面：向社會公開的信息除保證其真實性外，無需進行防護；對于僅在用戶系統(tǒng)內部流通的信息，應設置訪問限制，僅向滿足條件的用戶開放訪問權限，同時添加訪問審計策略并記錄日志，將嘗試越級查閱信息的訪問者記錄在案備查；私有信息應設計訪問口令，并對密碼策略、復雜程度做出強制規(guī)定。在技術等級設定完成后，采用計算機安全域技術來構建網(wǎng)絡拓撲結構，主要包括業(yè)務、策略、物理環(huán)境、組織架構、計算機系統(tǒng)、網(wǎng)絡區(qū)域等。

3.3 分域防護安全需求

分域防護首先應保證網(wǎng)絡穩(wěn)定、設備功能良好，在此基礎上完成相應的設計工作。分域防護的設計目的是限制非法、不符合規(guī)則的訪問。

互聯(lián)網(wǎng)是一種信息共享模式，因此，所采用的信息安全防護技術不能阻隔正常的數(shù)據(jù)流通，主要使用的技術有防頁面篡改技術、路由器過濾技術、防DDOS 攻擊技術。其次是接入域的設計，主要包括終端安全、邊界防護兩項技術。其中，邊界防護的設計技術包括USB Key 技術、口令卡、CA 證書等，主要通過限制身份來保證系統(tǒng)使用安全。此外是服務域設計，由于服務域面臨的主要安全問題是惡意代碼、拒絕服務等，因此，設計的技術要點應包括網(wǎng)絡設備的安全設計、操作系統(tǒng)安全補丁設計等內容，通過對網(wǎng)絡、設備、主機設置相應的訪問規(guī)則來達到安全防護的目的。

3.4 區(qū)域防護技術實現(xiàn)

區(qū)域網(wǎng)絡安全面臨的主要是入侵程序、病毒感染等問題，對其采用的防護手段為計算機終端安全防控，主要方法有終端加固、漏洞掃描、安全審計、防病毒以及訪問控制等。其中，訪問控制設計是一種通用有效的手段，通過配置用戶信息和訪問控制策略來限制用戶行為，以此達到區(qū)域防護。此外，由于計算機網(wǎng)絡范圍接入的廣泛性，所以要設置相應的網(wǎng)絡控制系統(tǒng)，主要包括FTP 監(jiān)測、IP地址監(jiān)測、郵件監(jiān)測等，通過這些監(jiān)測手段來發(fā)現(xiàn)安全隱患，并及時排除。入侵防護系統(tǒng)的設計主要采用IPS 防護系統(tǒng)來彌補防火墻的不足，以此修補系統(tǒng)漏洞。

3.5 網(wǎng)絡安全防護實現(xiàn)

計算機網(wǎng)絡面臨的各種風險、威脅并非一成不變的，而是動態(tài)發(fā)展的，因此，應構建動態(tài)的網(wǎng)絡安全防護體系。

（1）要重視防火墻等設備的安全防護作用，利用防火墻對計算機互聯(lián)網(wǎng)構建第一層防護策略，杜絕非法訪問，并通過地址映射功能隱藏內部網(wǎng)絡拓撲，有效防止入侵。

（2）建立動態(tài)的入侵系統(tǒng)防控體系，阻止日益變化的新型網(wǎng)絡形態(tài)下的病毒入侵和威脅。

（3）建立動態(tài)網(wǎng)絡防護控制，保證信息數(shù)據(jù)的傳輸安全，在信息傳輸過程中通過數(shù)據(jù)掃描、過濾等方式減少重要信息的泄露。

4 結束語

計算機安全網(wǎng)絡防護系統(tǒng)設計是根據(jù)計算機當前面臨的網(wǎng)絡系統(tǒng)入侵問題而進行的設計，對保護計算機網(wǎng)絡信息安全具有重要意義。安全防護系統(tǒng)設計主要包括總體架構設計、方案詳細設計、分域防護安全需求設計、區(qū)域防護技術設計以及網(wǎng)絡安全防護設計等。通過這些步驟，可設計出較為完備和成熟的計算機網(wǎng)絡安全防護體系，實現(xiàn)對計算機網(wǎng)絡安全的全方位保障，解決傳統(tǒng)計算機網(wǎng)絡在安全防護方面的弊端。