第一章 计算机网络安全的定义
计算机网络安全是指利用网络管理控制和技术措施,保证在一个网络环境里,数据的保密性、完整性及可使用性受到保护.计算机网络安全包括两个方面,即物理安全和罗辑安全.物理安全指系统设备及相关设施受到物理保护,免于破坏、丢失等.罗辑安全包括信息的完整性、保密性和可用性.
第二章 计算机网络不安全因素
2.1 计算机网络的脆弱性
(1)网络的开放性,网络的技术是全开放的,使得网络所面临的攻击来自多方面.或是来自物理传输线路的攻击,或是来自对网络通信协议的攻击,以及对计算机软件、硬件的漏洞实施攻击.
(2)网络的国际性,意味着对网络的攻击不仅是来自于本地网络的用户,还可以是互联网上其他国家的黑客,所以,网络的安全面临着国际化的挑战.
(3)网络的自由性,大多数的网络对用户的使用没有技术上的约束,用户可以自由的上网,发布和获取各类信息.
2.2 操作系统存在的安全问题
(1)操作系统结构体系的缺陷.操作系统本身有内存管理、CPU 管理、外设的管理,每个管理都涉及到一些模块或程序,如果在这些程序里面存在问题,比如内存管理的问题,外部网络的一个连接过来,刚好连接一个有缺陷的模块,可能出现的情况是,计算机系统会因此崩溃.所以,有些黑客往往是针对操作系统的不完善进行攻击,使计算机系统,特别是服务器系统立刻瘫痪.
(2)操作系统支持在网络上传送文件、加载或安装程序,包括可执行文件,这些功能也会带来不安全因素.网络很重要的一个功能就是文件传输功能,比如 FTP,这些安装程序经常会带一些可执行文件,这些可执行文件都是人为编写的程序,如果某个地方出现漏洞,那么系统可能就会造成崩溃.像这些远程调用、文件传输,如果生产厂家或个人在上面安装间谍程序,那么用户的整个传输过程、使用过程都会被别人监视到,所有的这些传输文件、加载的程序、安装的程序、执行文件,都可能给操作系统带来安全的隐患.所以,建议尽量少使用一些来历不明,或者无法证明它的安全性的软件.
(3)操作系统有些守护进程,它是系统的一些进程,总是在等待某些事件的出现.所谓守护进程,比如说用户有没按键盘或鼠标,或者别的一些处理.一些监控病毒的监控软件也是守护进程,这些进程可能是好的,比如防病毒程序,一有病毒出现就会被扑捉到.但是有些进程是一些病毒,一碰到特定的情况,比如碰到7 月1 日,它就会把用户的硬盘格式化,这些进程就是很危险的守护进程,平时它可能不起作用,可是在某些条件发生,比如7 月1 日,它才发生作用,如果操作系统有些守护进程被人破坏掉就会出现这种不安全的情况.
(4)操作系统不安全的一个原因在于它可以创建进程,支持进程的远程创建和激活,支持被创建的进程继承创建的权利,这些机制提供了在远端服务器上安装"间谍"软件的条件.若将间谍软件以打补丁的方式"打"在一个合法用户上,特别是"打"在一个特权用户上,黑客或间谍软件就可以使系统进程与作业的监视程序监测不到它的存在.
(5)操作系统会提供一些远程调用功能,所谓远程调用就是一台计算机可以调用远程一个大型服务器里面的一些程序,可以提交程序给远程的服务器执行,如telnet.远程调用要经过很多的环节,中间的通讯环节可能会出现被人监控等安全的问题.
(6)操作系统的后门和漏洞.后门程序是指那些绕过安全控制而获取对程序或系统访问权的程序方法.在软件开发阶段,程序员利用软件的后门程序得以便利修改程序设计中的不足.一旦后门被黑客利用,或在发布软件前没有删除后门程序,容易被黑客当成漏洞进行攻击,造成信息泄密和丢失.此外,操作系统的无口令的入口,也是信息安全的一大隐患.
(7) 尽管操作系统的漏洞可以通过版本的不断升级来克服, 但是系统的某一个安全漏洞就会使得系统的所有安全控制毫无价值.当发现问题到升级这段时间,一个小小的漏洞就足以使你的整个网络瘫痪掉.
2.3 数据库存储的内容存在的安全问题
数据库管理系统大量的信息存储在各种各样的数据库里面,包括我们上网看到的所有信息,数据库主要考虑的是信息方便存储、利用和管理,但在安全方面考虑的比较少.例如:授权用户超出了访问权限进行数据的更改活动;非法用户绕过安全内核,窃取信息.对于数据库的安全而言,就是要保证数据的安全可靠和正确有效,即确保数据的安全性、完整性.数据的安全性是防止数据库被破坏和非法的存取;数据库的完整性是防止数据库中存在不符合语义的数据.
2.4 防火墙的脆弱性
防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.它是一种计算机硬件和软件的结合,使 Internet 与Intranet 之间建立起一个安全网关(Security Gateway),从而保护内部网免受非法用户的侵入.
但防火墙只能提供网络的安全性,不能保证网络的绝对安全,它也难以防范网络内部的攻击和病毒的侵犯.并不要指望防火墙靠自身就能够给予计算机安全.防火墙保护你免受一类攻击的威胁,但是却不能防止从LAN 内部的攻击,若是内部的人和外部的人联合起来,即使防火墙再强,也是没有优势的.它甚至不能保护你免受所有那些它能检测到的攻击.随着技术的发展,还有一些破解的方法也使得防火墙造成一定隐患.这就是防火墙的局限性.
2.5 其他方面的因素
计算机系统硬件和通讯设施极易遭受到自然环境的影响,如:各种自然灾害(如地震、泥石流、水灾、风暴、建筑物破坏等)对计算机网络构成威胁.还有一些偶发性因素,如电源故障、设备的机能失常、软件开发过程中留下的某些漏洞等,也对计算机网络构成严重威胁.此外管理不好、规章制度不健全、安全管理水平较低、操作失误、渎职行为等都会对计算机信息安全造成威胁.
第三章 计算机网络安全的对策
3.1 技术层面对策
(1) 建立安全管理制度.提高包括系统管理员和用户在内的人员的技术素质和职业道德修养.对重要部门和信息,严格做好开机查毒,及时备份数据,这是一种简单有效的方法.
(2) 网络访问控制.访问控制是网络安全防范和保护的主要策略.它的主要任务是保证网络资源不被非法使用和访问.它是保证网络安全最重要的核心策略之一.访问控制涉及的技术比较广,包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段.
(3) 应用密码技术.应用密码技术是信息安全核心技术,密码手段为信息安全提供了可靠保证.基于密码的数字签名和身份认证是当前保证信息完整性的最主要方法之一,密码技术主要包括古典密码体制、单钥密码体制、公钥密码体制、数字签名以及密钥管理.
(4)数据库的备份与恢复.数据库的备份与恢复是数据库管理员维护数据安全性和完整性的重要操作.备份是恢复数据库最容易和最能防止意外的保证方法.恢复是在意外发生后利用备份来恢复数据的操作.有三种主要备份策略:只备份数据库、备份数据库和事务日志、增量备份.
(5) 切断传播途径.对被感染的硬盘和计算机进行彻底杀毒处理,不使用来历不明的U 盘和程序,不随意下载网络可疑信息.
(6) 提高网络反病毒技术能力.通过安装病毒防火墙,进行实时过滤.对网络服务器中的文件进行频繁扫描和监测,在工作站上采用防病毒卡,加强网络目录和文件访问权限的设置.在网络中,限制只能由服务器才允许执行的文件.
(7) 研发并完善高安全的操作系统.研发具有高安全的操作系统,不给病毒得以滋生的温床才能更安全.
3.2 管理层面对策
计算机网络的安全管理,不仅要看所采用的安全技术和防范措施,而且要看它所采取的管理措施和执行计算机安全保护法律、法规的力度.只有将两者紧密结合,才能使计算机网络安全确实有效.
计算机网络的安全管理,包括对计算机用户的安全教育、建立相应的安全管理机构、不断完善和加强计算机的管理功能、加强计算机及网络的立法和执法力度等方面.加强计算机安全管理、加强用户的法律、法规和道德观念,提高计算机用户的安全意识,对防止计算机犯罪、抵制黑客攻击和防止计算机病毒干扰,是十分重要的措施.
这就要对计算机用户不断进行法制教育,包括计算机安全法、计算机犯罪法、保密法、数据保护法等,明确计算机用户和系统管理人员应履行的权利和义务,自觉遵守合法信息系统原则、合法用户原则、信息公开原则、信息利用原则和资源限制原则,自觉地和一切违法犯罪的行为作斗争,维护计算机及网络系统的安全,维护信息系统的安全.除此之外,还应教育计算机用户和全体工作人员,应自觉遵守为维护系统安全而建立的一切规章制度,包括人员管理制度、运行维护和管理制度、计算机处理的控制和管理制度、各种资料管理制度、机房保卫管理制度、专机专用和严格分工等管理制度.
3.3 物理安全层面对策
(1) 机房场地环境的选择.计算机系统选择一个合适的安装场所十分重要.它直接影响到系统的安全性和可靠性.选择计算机房场地,要注意其外部环境安全性、地质可靠性、场地抗电磁干扰性,避开强振动源和强噪声源,并避免设在建筑物高层和用水设备的下层或隔壁.还要注意出入口的管理.
2) 计算机系统的环境条件.计算机系统的安全环境条件,包括温度、湿度、空气洁净度、腐蚀度、虫害、振动和冲击、电气干扰等方面,都要有具体的要求和严格的标准.
(3) 机房的安全防护.机房的安全防护是针对环境的物理灾害和防止未授权的个人或团体破坏、篡改或盗窃网络设施、重要数据而采取的安全措施和对策.为做到区域安全,首先,应考虑物理访问控制来识别访问用户的身份,并对其合法性进行验证;其次,对来访者必须限定其活动范围;第三,要在计算机系统中心设备外设多层安全防护圈,以防止非法暴力入侵;第四设备所在的建筑物应具有抵御各种自然灾害的设施.
第四章 局域网安全现状
广域网络已有了相对完善的安全防御体系, 防火墙、漏洞扫描、防病毒、IDS 等网关级别、网络边界方面的防御, 重要的安全设施大致集中于机房或网络入口处, 在这些设备的严密监控下, 来自网络外部的安全威胁大大减小.相反来自网络内部的计算机客户端的安全威胁缺乏必要的安全管理措施, 安全威胁较大.未经授权的网络设备或用户就可能通过到局域网的网络设备自动进入网络, 形成极大的安全隐患.目前, 局域网络安全隐患是利用了网络系统本身存在的安全弱点, 而系统在使用和管理过程的疏漏增加了安全问题的严重程度.
第五章 局域网安全威胁分析
5.1 欺骗性的软件使数据安全性降低
由于局域网很大的一部分用处是资源共享, 而正是由于共享资源的"数据开放性", 导致数据信息容易被篡改和删除, 数据安全性较低.例如"网络钓鱼攻击", 钓鱼工具是通过大量发送声称来自于一些知名机构的欺骗性垃圾邮件, 意图引诱收信人给出敏感信息: 如用户名、口令、账号ID、ATM PIN 码或信用卡详细信息等的一种攻击方式.最常用的手法是冒充一些真正的网站来骗取用户的敏感的数据,以往此类攻击的冒名的多是大型或着名的网站, 但由于大型网站反应比较迅速, 而且所提供的安全功能不断增强, 网络钓鱼已越来越多地把目光对准了较小的网站.同时由于用户缺乏数据备份等数据安全方面的知识和手段, 因此会造成经常性的信息丢失等现象发生.
5.2 服务器区域没有进行独立防护
局域网内计算机的数据快速、便捷的传递, 造就了病毒感染的直接性和快速性, 如果局域网中服务器区域不进行独立保护, 其中一台电脑感染病毒, 并且通过服务器进行信息传递, 就会感染服务器, 这样局域网中任何一台通过服务器信息传递的电脑, 就有可能会感染病毒.虽然在网络出口有防火墙阻断对外来攻击, 但无法抵挡来自局域网内部的攻击.
5.3 计算机病毒及恶意代码的威胁
由于网络用户不及时安装防病毒软件和操作系统补丁, 或未及时更新防病毒软件的病毒库而造成计算机病毒的入侵.许多网络寄生犯罪软件的攻击,正是利用了用户的这个弱点.寄生软件可以修改磁盘上现有的软件, 在自己寄生的文件中注入新的代码.最近几年, 随着犯罪软件(crimeware) 汹涌而至, 寄生软件已退居幕后, 成为犯罪软件的助手.2007 年, 两种软件的结合推动旧有寄生软件变种增长3 倍之多.2008 年, 预计犯罪软件社区对寄生软件的兴趣将继续增长, 寄生软件的总量预计将增长20%.
5.4 局域网用户安全意识不强
许多用户使用移动存储设备来进行数据的传递, 经常将外部数据不经过必要的安全检查通过移动存储设备带入内部局域网, 同时将内部数据带出局域网, 这给木马、蠕虫等病毒的进入提供了方便同时增加了数据泄密的可能性.另外一机两用甚至多用情况普遍, 笔记本电脑在内外网之间平凡切换使用, 许多用户将在In ternet 网上使用过的笔记本电脑在未经许可的情况下擅自接入内部局域网络使用, 造成病毒的传入和信息的泄密.
5.5 IP 地址冲突
局域网用户在同一个网段内, 经常造成IP 地址冲突, 造成部分计算机无法上网.对于局域网来讲,此类IP 地址冲突的问题会经常出现, 用户规模越大, 查找工作就越困难, 所以网络管理员必须加以解决.
正是由于局域网内应用上这些独特的特点, 造成局域网内的病毒快速传递, 数据安全性低, 网内电脑相互感染, 病毒屡杀不尽, 数据经常丢失.
第六章 局域网安全控制与病毒防治策略
6.1 加强人员的网络安全培训
(1)加强安全知识培训, 使每个计算机使用者掌握一定的安全知识, 至少能够掌握如何备份本地的数据, 保证本地数据信息的安全可靠.
(2)加强安全意识培训, 让每个工作人员明白数据信息安全的重要性, 理解保证数据信息安全是所有计算机使用者共同的责任.
(3)加强网络知识培训, 通过培训掌握一定的网络知识, 能够掌握IP 地址的配置、数据的共享等网络基本知识, 树立良好的计算机使用习惯.
6.2 局域网安全控制策略
(1)利用桌面管理系统控制用户入网.入网访问控制是保证网络资源不被非法使用, 是网络安全防范和保护的主要策略.它为网络访问提供了第一层访问控制.它控制哪些用户能够登录到服务器并获取网络资源, 控制用户入网的时间和在哪台工作站入网.用户和用户组被赋予一定的权限, 网络控制用户和用户组可以访问的目录、文件和其他资源, 可以指定用户对这些文件、目录、设备能够执行的操作.启用密码策略, 强制计算机用户设置符合安全要求的密码, 包括设置口令锁定服务器控制台, 以防止非法用户修改.设定服务器登录时间限制、检测非法访问.删除重要信息或破坏数据, 提高系统安全行, 对密码不符合要求的计算机在多次警告后阻断其连网.
(2)采用防火墙技术.防火墙技术是通常安装在单独的计算机上, 与网络的其余部分隔开, 它使内部网络与In ternet 之间或与其他外部网络互相隔离,限制网络互访, 用来保护内部网络资源免遭非法使用者的侵入, 执行安全管制措施, 记录所有可疑事件.它是在两个网络之间实行控制策略的系统, 是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术.采用防火墙技术发现及封阻应用攻击所采用的技术有:
①深度数据包处理.深度数据包处理在一个数据流当中有多个数据包, 在寻找攻击异常行为的同时, 保持整个数据流的状态.深度数据包处理要求以极高的速度分析、检测及重新组装应用流量, 以避免应用时带来时延.
②TCP? IP 终止.应用层攻击涉及多种数据包, 并且常常涉及不同的数据流.流量分析系统要发挥功效, 就必须在用户与应用保持互动的整个会话期间, 能够检测数据包和请求, 以寻找攻击行为.至少, 这需要能够终止传输层协议, 并且在整个数据流而不是仅仅在单个数据包中寻找恶意模式.系统中存着一些访问网络的木马、病毒等IP 地址, 检查访问的IP 地址或者端口是否合法, 有效的TCP? IP 终止, 并有效地扼杀木马.时等.
③IP?U RL 过滤.一旦应用流量是明文格式, 就必须检测HTTP 请求的U RL 部分, 寻找恶意攻击的迹象, 这就需要一种方案不仅能检查RUL , 还能检查请求的其余部分.其实, 如果把应用响应考虑进来, 可以大大提高检测攻击的准确性.虽然U RL 过滤是一项重要的操作,可以阻止通常的脚本类型的攻击.
④访问网络进程跟踪.访问网络进程跟踪.这是防火墙技术的最基本部分, 判断进程访问网络的合法性, 进行有效拦截.这项功能通常借助于TD I层的网络数据拦截, 得到操作网络数据报的进程的详细信息加以实现.
(3) 封存所有空闲的IP 地址, 启动IP 地址绑定采用上网计算机IP 地址与MCA 地址唯一对应, 网络没有空闲IP 地址的策略.由于采用了无空闲IP 地址策略, 可以有效防止IP 地址引起的网络中断和移动计算机随意上内部局域网络造成病毒传播和数据泄密.
(4) 属性安全控制.它能控制以下几个方面的权限: 防止用户对目录和文件的误删除、执行修改、查看目录和文件、显示向某个文件写数据、拷贝、删除目录或文件、执行文件、隐含文件、共享、系统属性等.网络的属性可以保护重要的目录和文件.
(5) 启用杀毒软件强制安装策略, 监测所有运行在局域网络上的计算机, 对没有安装杀毒软件的计算机采用警告和阻断的方式强制使用人安装杀毒软件.
6.3 病毒防治
(1)增加安全意识和安全知识, 对工作人员定期培训.首先明确病毒的危害, 文件共享的时候尽量控制权限和增加密码, 对来历不明的文件运行前进行查杀等, 都可以很好地防止病毒在网络中的传播.这些措施对杜绝病毒, 主观能动性起到很重要的作用.
(2) 小心使用移动存储设备.在使用移动存储设备之前进行病毒的扫描和查杀, 也可把病毒拒绝在外.
(3) 挑选网络版杀毒软件.一般而言, 查杀是否彻底, 界面是否友好、方便, 能否实现远程控制、集中管理是决定一个网络杀毒软件的三大要素.瑞星杀毒软件在这些方面都相当不错, 能够熟练掌握瑞星杀毒软件使用, 及时升级杀毒软件病毒库, 有效使用杀毒软件是防毒杀毒的关键.
通过以上策略的设置, 能够及时发现网络运行中存在的问题, 快速有效的定位网络中病毒、蠕虫等网络安全威胁的切入点, 及时、准确的切断安全事件发生点和网络.
局域网安全控制与病毒防治是一项长期而艰巨的任务, 需要不断的探索.随着网络应用的发展计算机病毒形式及传播途径日趋多样化, 安全问题日益复杂化, 网络安全建设已不再像单台计算安全防护那样简单.计算机网络安全需要建立多层次的、立体的防护体系, 要具备完善的管理系统来设置和维护对安全的防护策略.
第七章 结论
(1)配置防火墙.利用防火墙,在网络通讯时执行一种访问控制尺度,允许防火墙同意访问的人与数据进入自己的内部网络,同时将不允许的用户与数据拒之门外,最大限度地阻止网络中的黑客来访问自己的网络,防止他们随意更改、移动甚至删除网络上的重要信息.防火墙是一种行之有效且应用广泛的网络安全机制, 防止Internet上的不安全因素蔓延到局域网内部,所以,防火墙是网络安全的重要一环.
(2)网络病毒的防范.在网络环境下,病毒 传播扩散快,仅用单机防病毒产品已经很难彻底清除网络病毒,必须有适合于局域网的全方位防病毒产品.校园网络是内部局域网,就需要一个基于服务器操作系统平台的防病毒软件和针对各种桌面操作系统的防病毒软件.如果与互联网相连,就需要网关的防病毒软件,加强上网计算机的安全.如果在网络内部使用电子邮件进行信息交换,还需要一套基于邮件服务器平台的邮件防病毒软件,识别出隐藏在电子邮件和附件中的病毒.所以最好使用全方位的防病毒产品,针对网络中所有可能的病毒攻击点设置对应的防病毒软件,通过全方位、多层次的防病毒系统的配置,通过定期或不定期的自动升级,使网络免受病毒的侵袭.
(3)采用入侵检测系统.入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未 授权或异常现象的技术,是一种用于检测计算机网络中违反安全策略行为的技术.在入侵检测系统中利用审计记录,入侵检测系统能够识别出任何不希望有的活动, 从而达到限制这些活动,以保护系统的安全.在校园网络中采用入侵检测技术,最好采用混合入侵检测,在网络中同时采用基于网络和基于主机的入侵检测系统,则会构架成一套完整立体的主动防御体系.
(4)Web,Email,BBS的安全监测系统.在网络的www服务器、Email服务器等中使用网络安全监测系统,实时跟踪、监视网络, 截获Internet网上传输的内容,并将其还原成完整的www、Email、FTP、Telnet应用的内容 ,建立保存相应记录的数据库.及时发现在网络上传输的非法内容,及时向上级安全网管中 心报告,采取措施.
(5)IP盗用问题的解决.在路由器上捆绑IP和MAC地址.当某个IP通过路由器访问Internet时,路由器要检查发出这个IP广播包的工作站的MAC是否与路由器上的MAC地址表相符,如果相符就放行.否则不允许通过路由器,同时给发出这个IP广播包的工作站返回一个警告信息.
(6)漏洞扫描系统.解决网络层安全问题,首先要清楚网络中存在哪些安全隐患、脆弱点.面对大型网络的复杂性和不断变化的情况,仅仅依靠网络管理员的技术和经验寻找安全漏洞、做出风险评估,显然是不现实的.解决的方案是,寻找一种能查找网络安全漏洞、评估并提出修改建议的网络 安全扫描工具,利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患.在要求安全程度不高的情况下,可以利用各种黑客工具,对网络模拟攻击从而暴露出网络的漏洞.
(7)利用网络监听维护子网系统安全.对于网络外部的入侵可以通过安装防火墙来解决,但是对于网络内部的侵袭则无能为力.在这种情况下,我们可以采用对各个子网做一个具有一定功能的审计文件,为管理人员分析自己的网络运作状态提供依据.设计一个子网专用的监听程序.该软件的主要功能为长期监听子网络内计算机间相互联系的情况,为系统中各个服务器的审计文件提供备份.
总之,网络安全是一个系统的工程,不能仅仅依靠防火墙等单个的系统,而需要仔细考虑系统的安全需求,并将各种安全技术,如密码技术等结合在 一起,才能生成一个高效、通用、安全的网络系统.
参考文献
[1] 胡胜红.毕娅.《网络工程原理与实践教程》人民邮电出版社,2008
[2] 江大庆.吴强.《网络互联及路由器技术》.北京.清华大学出版社,2009
[3] 边宇枢.《网络系统管理与维护》. 北京.中央广播电视大学出版社,2009
[4] 蒋水.《网站设计基础》.北京.中央广播电视大学出版社,2009
