网络安全

一，概述

网络安全包含网络设备安全、网络信息安全。从本质上看，网络安全就是网络上的信息安全。

随着网络的逐步普及，网络安全已成为INTERNET路上事实上的焦点，对于目前主流的网络安全技术，一切的“安全”都是相对，我们不可能寄希望有了这种种安全措施之后就能保证你的网络万无一失，任何网络安全和数据保护的防范措施是有一定的限度。其实在看一个内部网是否安全时不仅要考察其手段, 而更重要的是要看对该网络所采取的各种措施的综合性, 这就是在所采取的手段中所包含的不仅是物理防范, 还有人员的素质等其它“软”因素, 进行综合评估, 从而得出是否安全的结论。

二，网络信息安全的目标

通俗地说，网络安全的主要目标是保护网络信息系统，使其没有危险，不受威胁，不出事故。

1,可用性(availability):进得来,用得了 2,机密性(confidentiality):进不来,看不懂 3,完整性(integrity):改不了,拿不走 4,不可抵赖性:跑不掉

三，互联网信息安全的技术

信息安全的技术主要包括监控、扫描、检测、加密、认证、防攻击、防病毒以及审计等几个方面，其中加密技术是信息安全的核心技术，已经渗透到大部分安全产品之中，并正向芯片化方向发展。

目前，增强互联网安全的主要方法和途径也因此分为两大类：

1,以防火墙技术为代表的被动防卫型方案。被动型安全解决方案只能被动地保护企业内部网安全，并且对网络的拓扑结构有特殊要求。

2,以数据加密、用户授权认证为核心的主动开放型方案。以数据加密和用户认证为基础的主动开放型方案对网络结构不作任何要求，就能直接对源数据进行主动保护，实现端到端的安全。在主动开放型方案中，只有指定的用户或网络设备才能够解译加密数据，毫无疑问，加密技术是这类解决方案的核心。

四、网络信息系统中存在的威胁


安全威胁	危害		防范措施
网络脆弱性:设计缺陷或老化	网络漏洞、操作系统漏洞、数据库系统漏洞、应用平台系统漏洞、用户应用系统的漏洞
物理威胁:水火震战，断电，毁盗，电磁辐射	系统毁灭；系统引导失败；数据丢失或信息泄漏；数据信息被窃取或偷阅；预警失败		抗干扰系统，防辐射系统，隐身系统，加固系统，数据备份
链路传输风险	数据在链路传输过程中被窃听、截获、篡改		数据加密，身份认证
电子欺骗:典型电子欺骗类型:ARP欺骗,DNS欺骗,Web欺骗	可以获得目标机对信任机的所有信息		局域网内包括路由器使用静态arp⇔ip表;重要站点直接用ip访问，确保DNS server的安全
病毒/蠕虫	影响系统效率,删除、破坏数据,干扰正常操作,阻塞网络,进行反动宣传,占用系统资源,被后门控制		安装防病毒软件,及时更新病毒库,关注并下载最新的系统补丁,关闭所有完全共享
特洛伊木马	目标机会被完全控制,信息丢失及泄密		使用工具检查意外的端口,使用防火墙关闭不需要的服务端口,对操作系统进行安全策略设置
系统安全威胁	“后门”或安全漏洞都将存在重大安全隐患		进行安全配置，关闭一些不常用的服务，禁止开放一些不常用而又比较敏感的端口,及时更新系统补丁,配置网络安全产品
应用安全风险	应用软件的安全漏洞		安全需求分析及规格,输入验证，输出核实,密码控制,数字签名等等
管理安全风险			机房的出入、应急响应、访问控制管理
ddos拒绝服务攻击(典型拒绝服务攻击类型:Smurf攻击,ping of Death)	消耗系统资源	,服务器瘫痪,不能提供正常服务		检测非法源IP地址,在防火墙或路由器上封堵非法IP地址,在系统注册表中加一些网络设置参数,加入一些安全产品帮助分析
溢出攻击(.ida/.idq, freebsd telnet,ms rpc)	直接获取系统级权限		在最快的时间内打补丁，如果没有补丁提供，临时关闭服务。
暴力猜解	被猜测到口令的用户容易被利用,会获得所有被攻击用户所拥有权限的信息		密码长度足够(建议8位以上),定期更换密码（建议30天）,禁用类似12345678、computer……这样的简单密码（使用标准的口令原则，即数字、英文、特殊字符混用）
内外部泄密:口令账号泄密	企业机密信息丢失,可能造成巨大的经济损失		提高人员安全意识;保密信息按密级严格划分并管理;采用合理制度来约束日常行为

五、网络信息安全的内容

1,实体安全:是指保护计算机设备、设施（含网络〕以及其它媒体免遭地震、水灾、火灾、有害气体和其它环境事故破坏的措施和过程。它包括三个方面：

环境安全：对计算机信息系统所在环境的安全保护；

设备安全：对计算机信息系统设备的安全保护，如设备的防盗和防毁，防止电磁信息泄漏，防止线路截获，抗电磁干扰以及电源保护等；

媒体安全：对媒体的安全保管，目的是保护存储在媒体上的信息。其安全功能可归纳为两个方面：一是媒体的防盗；二是媒体的防毁，如防霉和防砸等。

2, 运行安全为保障系统功能的安全实现，提供一套安全措施（如风险分析，审计跟踪，备份与恢复，应急等）来保护信息处理过程的安全。

3, 信息安全防止信息财产被故意的或偶然的非授权泄露、更改、破坏或使信息被非法的系统辨识，控制。即确保信息的完整性、保密性，可用性和可控性。信息安全包括七个方面：

3.1操作系统安全指对计算机信息系统的硬件和软件资源的有效控制，能够为所管理的资源提供相应的安全保护。它们或是以底层操作系统所提供的安全机制为基础构作安全模块，或者完全取代底层操作系统，目的是为建立安全信息系统提供一个可信的安全平台。

3.2数据库安全对数据库系统所管理的数据和资源提供安全保护。它一般采用多种安全机制与操作系统相结合，实现数据库的安全保护。一种选择是安全数据库系统，即从系统设计、实现、使用和管理等各个阶段都遵循一套完整的系统安全策略的安全数据库系统。二是是以现有数据库系统所提供的功能为基础构作安全模块，旨在增强现有数据库系统的安全性。

3.3网络安全提供访问网络资源或使用网络服务的安全保护。网络安全管理是为网络的使用提供安全管理，如帮助协调网络的使用，预防安全事故的发生；跟踪并记录网络的使用，监测系统状态的变化；实现对各种网络安全事故的定位，探测网络安全事件发生的确切位置；提供某种程度的对紧急事件或安全事故的故障排除能力.

3.3.1 防火墙技术:防火墙软件 防火墙在被保护网络和因特网之间，或在其他网络之间限制访问的一种或一系列部件。防火墙的作用： 1、过滤进出网络的数据包 2、管理进出网络的访问行为 3、封堵某些禁止的访问行为 4、记录通过防火墙的信息内容和活动 5、对网络攻击进行检测和告警

“防火墙”是一种形象的说法, 其实它是一种由计算机硬件和软件的组合, 使互联网与内部网之间建立起一个安全网关( scurity gateway), 从而保护内部网免受非法用户的侵入，它其实就是一个把互联网与内部网（通常这局域网或城域网）隔开的屏障。

防火墙如果从实现方式上来分，又分为硬件防火墙和软件防火墙两类，我们通常意义上讲的硬防火墙为硬件防火墙，它是通过硬件和软件的结合来达到隔离内、外部网络的目的，价格较贵，但效果较好，一般小型企业和个人很难实现；软件防火墙它是通过纯软件的方式来达到，价格很便宜，但这类防火墙只能通过一定的规则来达到限制一些非法用户访问内部网的目的。现在软件防火墙主要有天网防火墙个人及企业版，Norton的个人及企业版软件防火墙，还有许多原来是开发杀病毒软件的开发商现在也开发了软件防火墙，如KV系列、KILL系列、金山系列等。

按照防火墙对内外来往数据的处理方法，大致可以将防火墙分为两大体系：包过滤防火墙和代理防火墙（应用层网关防火墙）。前者以以色列的Checkpoint防火墙和Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。

1998年，NAI公司推出了一种自适应代理（Adaptive proxy）技术，并在其产品Gauntlet Firewall for NT中得以实现，给代理类型的防火墙赋予了全新的意义，可以称之为第五代防火墙。　

选择防火墙时，先考虑其是否实现了安全防范的基本原则即“除非明确允许，否则就禁止”。再考虑能否实现企业的特殊要求，如网络地址转换功能(NAT)、双重DNS、虚拟专用网络(VPN)、扫毒功能、特殊控制需求。还要看其管理的难易度、自身的安全性、完善的售后服务、完整的安全检查等。

3.3.2 网络入侵检测系统入侵者攻击系统的行为称为入侵行为，主要是指对系统资源的非授权使用。

什么是入侵检测用于检测系统中那些违背了安全策略或危及系统安全的行为或活动。(内部和外部的攻击）

3.4病毒防护:杀毒软件 提供对计算机病毒的防护。病毒防护包括单机系统的防护和网络系统的防护。单机系统的防护侧重于防护本地计算机资源，而网络系统的防护侧重于防护网络系统资源。计算机病毒防护产品是通过建立系统保护机制，预防、检测和消除病毒。防病毒系统是用来实时检测病毒、蠕虫及后门的程序，通过不断更新病毒库来清除上述具有危害性的恶意代码。网络防病毒具有:全方位、多层次防病毒;统一安装，集中管理;自动更新病毒定义库的特点

杀毒软件是最普遍的和最易实现的安全技术方案，但仅是杀毒不能完全满足网络安全尤其是网络商业的需要。现在的主流杀毒软件可同时预防木马及其它的一些黑客程序的入侵。还有的杀毒软件开发商同时提供了软件防火墙，具有了一定防火墙功能，在一定程度上能起到硬件防火墙的功效，如KV300、金山防火墙、Norton防火墙等。

3.5访问控制保证系统的外部用户或内部用户对系统资源的访问以及对敏感信息的访问方式符合组织安全策略。

主要包括：出入控制和存取控制。出入控制主要是阻止非授权用户进入机构或组织。一般是以电子技术、生物技术或者电子技术与生物技术结合阻止非授权用户进入。存取控制指主体访问客体时的存取控制，如通过对授权用户存取系统敏感信息时进行安全性检查，以实现对授权用户的存取权限的控制。用PKI体系建立CA 系统。

身份认证技术是对进入系统或网络的用户身份进行验证，防止非法用户进入。

身份认证技术的实现有:智能卡,基于对称密钥体制的Keberos身份认证协议,基于非对称密钥体制证书机制

访问控制是主体对客体的一种访问授权。

典型的访问控制有：用户入网的访问控制,服务器的安全访问控制,目录级的访问控制,操作系统的访问控制

3.6加密:加密技术是为保证数据的保密性和完整性通过特定算法完成的明文与密文的转换。

数字签名技术为确保数据不被篡改而做的签名，不能保证数据的保密性。

VPN即虚拟专用网，是实现数据在传输过程中的保密性和完整性而双方建立的唯一安全通道。

与防火墙配合使用的安全技术还有文件加密与数字签名技术，它是为提高信息系统及数据的安全性和保密性, 防止秘密数据被外部窃取、侦听或破坏所采用的主要技术手段之一。随着信息技术的发展, 网络安全与信息保密日益引起人们的关注。目前各国除了从法律上、管理上加强数据的安全保护外, 从技术上分别在软件和硬件两方面采取措施, 推动着数据加密技术和物理防范技术的不断发展。按作用不同, 文件加密和数字签名技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。

与数据加密技术紧密相关的另一项技术则是智能卡技术。所谓智能卡就是密钥的一种媒体, 一般就像信用卡一样, 由授权用户所持有并由该用户赋予它一个口令或密码字。该密码与内部网络服务器上注册的密码一致。当口令与身份特征共同使用时, 智能卡的保密性能还是相当有效的。这种技术比较常见，也用得较为广泛，如我们常用的IC卡、银行取款卡、智能门锁卡等等。

3.7鉴别

4, 文化安全

作用点：有害信息的传播对我国的政治制度及传统文化的威胁，主要表现在舆论宣传方面；

外显行为：淫秽暴力信息泛滥、敌对的意识形态信息涌入、英语文化的“泛洪现象”对民族文化的冲击，互联网被利用作为串联工具，传播迅速，影响范围广

防范措施：设置因特网关，监测、控管

参见

荷兰政府批准使用OpenVPN-NL |

OAuth和OpenID的区别| OpenID学习笔记| OAuth学习笔记|

单点登录学习笔记| 互联网上的单点登录研究|

嵌入式Web服务器暴露企业机密|：联网的扫描仪、打印机、VoIP系统等设备使用的嵌入式服务器都有可能暴露企业机密。

McAfee公布黑客窃取源代码细节|

Aurora黑客攻击——对抗无用|