電腦網路安全

出自 MBA智库百科(https://wiki.mbalib.com/)

電腦網路安全(Computer Network Security)

　　電腦網路安全是指利用網路管理控制和技術措施，保證在一個網路環境里數據的保密性、完整性及可使用性受到保護。

　　(1)電腦網路的通信線路是一個很明顯的不安全因素，利用衛星通訊或是電話線傳遞信息對竊聽者來說可以很容易地進行偵收、截取、破譯，以獲取有價值的信息或情報。

　　(2)網路威脅的隱蔽性和潛在性增加了保證安全的難度，如竊取、偵聽、傳播病毒這些行為都是隱蔽的，防範的對象廣泛並難以明確。

　　(3)網路安全涉及多學科領域，既有社會科學，又有自然科學和技術。進網的用戶越多，對人員教育和管理的難度就越大，電子技術越發展，對網路進攻的手段也就日益巧妙和多樣化，而且網路作案遠離現場，犯罪時間短，易被髮現。

　　(4)網路安全也是相對的，即很難建立一個絕對安全的網路，因此，網路時刻有風險。網路安全標準和措施是在多種因素中尋找一種平衡，這本身就造成了一種危險概率。另外，安全措施與系統使用的靈活性、方便性也相日：存在著矛盾。

　　(5)網路由於不安全受到的損害遠遠人於單機系統所受到的損害，任何有意或無意的攻擊都有可能使網路上的成百上千台機器處於二癱瘓。

　　電腦網路的主要功能是通信，信息在網路中的流動過程有可能受到中斷、截取、修改或捏造等形式的安全攻擊。信息在網路中正常流動和受到安全攻擊的示意如圖1-1所示。

　　(1)中斷，是指破壞者採取物理或邏輯方法中斷通信雙方的正常通信，如切斷通信線路、禁用文件管理系統等。

　　(2)截取，是指未授權者非法獲得訪問權，截獲通信雙方的通信內容。

　　(3)修改，是指未授權者非法截獲通信雙方的通信內容後，進行惡意篡改。

　　(4)捏造，是指未授權者向系統中插入偽造的對象，傳輸欺騙性消息。

　　圖1-1 網路攻擊示意圖

　　國際標準化組織ISO對開放系統互聯OSI環境中電腦網路進行深入研究以後，進一步定義了以下11種威脅。

　　(1)偽裝。威脅源成功地假扮成另一個實體，隨後濫用這個實體的權利。

　　(2)非法連接。威脅源以非法的手段形成合法的身份，在網路實體與網路之間建立非法連接。

　　(3)非授權訪問。威脅源成功地破壞訪問控制服務，如修改訪問控制文件的內容，實現了越權訪問。

　　(4)拒絕服務。阻止合法的網路用戶或其他合法許可權的執行者使用某項服務。

　　(5)抵賴。網路用戶虛假地否認遞交過信息或接收到信息。

　　(6)信息泄露。未經授權的實體獲取到傳輸中或存放著的信息，造成泄密。

　　(7)通信量分析。威脅源觀察通信協議中的控制信息，或對傳輸過程中信息的長度、頻率、源及目的進行分析。

　　(8)無效的信息流。對正確的通信信息序列進行非法修改、刪除或重覆，使之變成無效信息。

　　(9)篡改或破壞數據。對傳輸的信息或存放的數據進行有意的非法修改或刪除。

　　(10)推斷或演繹信息。由於統計數據信息中包含原始的信息蹤跡，非法用戶利用公佈的統計數據，推導出信息源的來源。

　　(11)非法篡改程式。威脅源破壞操作系統、通信軟體或應用程式。

　　以上所描述的種種威脅大多由人為造成，威脅源可以是用戶，也可以是程式。除此之外，還有其他一些潛在的威脅，如電磁輻射引起的信息失密、無效的網路管理等。研究網路安全的目的就是儘可能地消除這些威脅。

　　現在，高速發展的互聯網已經深入到社會生活的各個方面。對個人而言，互聯網已使人們的生活方式發生了翻天覆地的變化：對企業而言，互聯網改變了企業傳統的營銷方式及內部管理機制。但是，在享受信息的高度網路化帶來的種種便利之時，還必須應對隨之而來的信息安全方面的種種挑戰，因為沒有安全保障的網路可以說是一座空中樓閣，安全性已逐漸成為網路建設的第一要素。特別隨著網路規模的逐漸增大，所存儲的數據的逐漸增多，使用者要想確保自己的資源不受到非法的訪問與篡改，就要用到訪問控制機制，這就必須要掌握一些相關的網路安全技術。

　　1、數據加密與認證

　　加密將防止數據被查看或修改，併在不安全的通道上提供安全的通信通道。加密的功能是將明文通過某種演算法轉換成一段無法識別的密文。在古老的加密方法中，加密的演算法和加密的密鑰都必須保密，否則就會被攻擊者破譯。例如，古人將一段羊皮條纏繞在一根圓木上，然後在其上寫下要傳送書信的內容，展開羊皮條後這些書信內容將變成一堆雜亂的圖文，那麼這種將羊皮條纏繞在圓木上的做法可視為加密演算法，而圓木棍的粗細、皮條的纏繞方向就是密鑰。在現代加密體系中，演算法的私密性已經不需要了，信息的安全依賴於密鑰的保密性。一般的數據加密模型見圖1-2。

　　　　　 　　　　　圖1-2 一般的數據加密模型

　　數字認證技術泛指使用現代電腦技術和網路技術進行的認證。數字認證的引入對社會的發展和進步有很大幫助，數字認證可以減少運營成本和管理費用。數字認證可以減少金融領域中的多重現金處理和現金欺詐。隨著現代網路技術和電腦技術的發展，數字欺詐的現象越來越普遍，比如說，用戶名下文件和資金傳輸可能會被偽造或更改。

　　數字認證提供了一種機制使用戶能證明其發出信息來源的正確性和發出信息的完整性。數字認證的另一主要作用是操作系統可以通過它來實現對資源的訪問控制。

　　2、防火牆

　　“防火牆”是由電腦硬體和軟體組合使互聯網與內部網之間建立起一個安全網關(security gateway)，從而保護內部網免受非法用戶的侵入。它其實就是一個把互聯網與內部網(通常為區域網或城域網)隔開的屏障。

　　防火牆作為最早出現的網路安全產品和使用量最大的安全產品，也受到用戶和研發機構的青睞。以往在沒有防火牆時，區域網內部上的每個節點都暴露給Intemet上的其他主機，此時區域網的安全性要由每個節點的堅固程度來決定，並且安全性等同於其中最弱的節點。而防火牆是放置在區域網與外部網路之間的一個隔離設備，它可以識別並屏蔽非法請求，有效地防止跨越許可權的數據訪問。防火牆將區域網的安全性統一到它本身，網路安全性是在防火牆系統上得到加固，而不是分佈在內部網路的所有節點上，這就簡化了區域網的安全管理。

　　防火牆是由軟體、硬體構成的系統，用來在兩個網路之間實施接入控制策略。接入控制策略是由使用防火牆的單位自行制訂的，為的是可以最適合本單位的需要。防火牆內的網路稱為“可信賴的網路”(trusted network)，而將外部的網際網路稱為“不可信賴的網路”(untrusted network)。防火牆可用來解決內聯網和外聯網的安全問題。設立防火牆的目的是保護內部網路不受外部網路的攻擊，以及防止內部網路的用戶向外泄密。

　　3、入侵檢測

　　傳統上，一般採用防火牆作為系統安全的第一道屏障。但是隨著網路技術的高速發展，攻擊者技術的日趨成熟，攻擊手法的日趨多樣，單純的防火牆已經不能很好地完成安全防護工作。入侵檢測技術是繼“防火牆”、“數據加密”等傳統安全保護措施後新一代的安全保障技術。

　　入侵指的就是試圖破壞電腦保密性、完整性、可用性或可控性的一系列活動。入侵活動包括非授權用戶試圖存取數據、處理數據或者妨礙電腦的正常運行。入侵檢測是對入侵行為的檢測，它通過收集和分析電腦網路或電腦系統中若幹關鍵點的信息，檢查網路或系統中是否存在違反安全策略的行為和被攻擊的跡象。入侵檢測作為一種積極主動的安全防護技術，提供了對內部攻擊、外部攻擊和誤操作的實時保護，在網路系統受到危害之前響應入侵併進行攔截。

　　從技術上劃分，入侵檢測有兩種檢測模型。

　　(1)異常檢測模型：檢測與可接受行為之間的偏差。如果可以定義每項可接受的行為，那麼每項不可接受的行為就應該是入侵。首先總結正常操作應該具有的特征(用戶輪廓)，當用戶活動與正常行為有重大偏離時即被認為是入侵。這種檢測模型漏報率低，誤報率高。因為它不需要對每種入侵行為進行定義，所以能有效地檢測未知的入侵。

　　(2)誤用檢測模型：檢測與已知的不可接受行為之間的匹配程度。如果可以定義所有的不可接受行為，那麼每種能夠與之匹配的行為都會引起報警。收集非正常操作的行為特征，建立相關的特征庫，當監測的用戶或系統行為與庫中的記錄相匹配時，系統就認為這種行為是入侵。這種檢測模型誤報率低、漏報率高。對於已知的攻擊，它可以詳細、準確地報告出攻擊類型，但是對未知攻擊卻效果有限，而且特征庫必須不斷更新。

　　按照檢測對象劃分，入侵檢測有3種模型。

　　(1)基於主機：系統分析的數據是電腦操作系統的事件日誌、應用程式的事件日誌、系統調用、埠調用和安全審計記錄。主機型入侵檢測系統保護的一般是所在的主機系統，是由代理(agent)來實現的。代理是運行在目標主機上的小的可執行程式，它們與命令控制台(console)通信。

　　(2)基於網路：系統分析的數據是網路上的數據包。網路型入侵檢測系統擔負著保護整個網段的任務，基於網路的入侵檢測系統由遍及網路的感測器(sensor)組成。感測器是一臺將乙太網卡置於混雜模式的電腦，用於嗅探網路上的數據包。

　　(3)混合型：基於網路和基於主機的入侵檢測系統都有不足之處，會造成防禦體系的不全面，而綜合了基於網路和基於主機的混合型入侵檢測系統既可以發現網路中的攻擊信息，也可以從系統日誌中發現異常情況。

　　4、電腦病毒防治

　　編製或者在電腦程式中插入的破壞電腦功能或者破壞數據，影響電腦使用並且能夠自我複製的一組電腦指令或者程式代碼被稱為電腦病毒。具有破壞性，複製性和傳染性。

　　電腦病毒是一種在電腦系統運行過程中能把自身精確複製或有修改地複製到其他程式內的程式。它隱藏在電腦數據資源中，利用系統資源進行繁殖，並破壞或干擾電腦系統的正常運行。殺毒軟體肯定是見得最多，也用得最為普遍的安全技術方案，因為這種技術實現起來最為簡單，但殺毒軟體的主要功能就是殺毒，功能十分有限，不能完全滿足網路安全的需要。這種方式對於個人用戶或小企業或許還能滿足需要，但如果個人或企業有電子商務方面的需求，就不能完全滿足了。可喜的是隨著殺毒軟體技術的不斷發展，現在的主流殺毒軟體同時還可以預防木馬及其他的一些黑客程式的入侵。還有的殺毒軟體開發商同時提供了軟體防火牆，具有了一定防火牆功能，在一定程度上能起到硬體防火牆的功效，如KV3000、金山防火牆、Norton防火牆等。

　　互聯網與生俱有的開放性、交互性和分散性特征使人類所憧憬的信息共用、開放、靈活和快速等需求得到滿足。網路環境為信息共用、信息交流、信息服務創造了理想空間，網路技術的迅速發展和廣泛應用，為人類社會的進步提供了巨大推動力。正是由於互聯網的上述特性，產生了許多安全問題：

　　1、黑客這是指Intemet上一批熟悉網路技術的人，經常利用網路上現存的一些漏洞，設法進入他人的電腦系統。有些人只是為了好奇，而有些人是存在不良動機侵入他人系統，他們偷窺機密信息，或將其電腦系統破壞，這部分人就被稱為“黑客”。進入21世紀以來，儘管人們在電腦技術上做出了種種努力，但這種攻擊卻是愈演愈烈。從單一地利用電腦病毒搞破壞和用黑客手段進行入侵攻擊轉變為使用惡意代碼與黑客攻擊手段結合的方式，使得這種攻擊具有傳播速度驚人、受害面驚人和穿透深度廣的特點，往往一次攻擊就會給受害者帶來嚴重的破壞和損失。

　　2、信息泄漏、信息污染、信息不易受控。例如，資源未授權侵用、未授權信息流出現、系統拒絕信息流和系統否認等，這些都是信息安全的技術難點。

　　3、在網路環境中，一些組織或個人出於某種特殊目的，進行信息泄密、信息破壞、信息侵權和意識形態的信息滲透，甚至通過網路進行政治顛覆等活動，使國家利益、社會公共利益和各類主體的合法權益受到威脅。

　　4、網路運用的趨勢是全社會廣泛參與，隨之而來的是控制權分散的管理問題。由於人們利益、目標、價值的分歧，使信息資源的保護和管理出現脫節和真空，從而使信息安全問題變得廣泛而複雜。

　　5、隨著社會重要基礎設施的高度信息化，社會的“命脈”和核心控制系統有可能面臨惡意攻擊而導致損壞和癱瘓，包括國防通信設旌、動力控制網、金融系統和政府網站等。

　　近年來，人們的網路安全意識逐步提高，很多企業根據核心資料庫和系統運營的需要，逐步部署了防火牆、防病毒和入侵監測系統等安全產品，並配備了相應的安全策略。雖然有了這些措施，但並不能解決一切問題。我國網路安全問題日益突出，其主要表現為以下幾個方面。

　　1、安全事件不能及時準確發現

　　網路設備、安全設備、系統每天生成的日誌可能有上萬甚至幾十萬條，這樣人工地對多個安全系統的大量日誌進行實時審計、分析流於形式，再加上誤報(典型的如NmS、IPS)、漏報(如未知病毒、未知網路攻擊、未知系統攻擊)等問題，造成不能及時準確地發現安全事件。

　　2、安全事件不能準確定位

　　信息安全系統通常是由防火牆、入侵檢測、漏洞掃描、安全審計、防病毒、流量監控等產品組成的，但是由於安全產品來自不同的廠商，沒有統一的標準，所以安全產品之間無法進行信息交流，於是形成許多安全孤島和安全盲區。由於事件孤立，相互之間無法形成很好的集成關聯，因而一個事件的出現不能關聯到真實問題。

　　如入侵監測系統事件報警，就須關聯同一時間防火牆報警、被攻擊的伺服器安全日誌報警等，從而瞭解是真實報警還是誤報；如是未知病毒的攻擊，則分為兩類：網路病毒、主機病毒。網路病毒大都表現為流量異常，主機病毒大都表現為中央處理器異常、記憶體異常、磁碟空間異常、文件的屬性和大小改變等。要發現這個問題，需要關聯流量監控(網路病毒)、關聯伺服器運行狀態監控(主機病毒)、關聯完整性檢測(主機病毒)來發現。為了預防網路病毒大規模爆發，則必須在病毒爆發前快速發現中毒機器並切斷源頭。如伺服器的攻擊，可能是安全事件遭病毒感染；DDos攻擊，可能是伺服器CPu超負荷；埠某服務流量太大、訪問量太大……必須將多種因素結合起來才能更好地分析，快速知道真實問題點並及時恢復正常。

　　 DDoS(分散式拒絕服務)，它的英文全稱為Distributed DeIlial of Service，它是一種基於Dos的特殊形式的拒絕服務攻擊，是一種分佈、協作的大規模攻擊方式，主要瞄準比較大的站點，像商業公司，搜索引擎和政府部門的站點。DDoS攻擊是利用一批受控制的機器向一臺機器發起攻擊，這樣來勢迅猛的攻擊令人難以防備，因此具有較大的破壞性。

　　3、無法做集中的事件自動統計

　　某台伺服器的安全情況報表、所有機房發生攻擊事件的頻率報表、網路中利用次數最多的攻擊方式報表、發生攻擊事件的網段報表、伺服器性能利用率最低的伺服器列表等，需要管理員人為去對這些事件做統計記錄，生成報告，從而耗費大量人力。

　　4、缺乏有效的事件處理查詢

　　沒有對事件處理的整個過程做跟蹤記錄，信息部門主管不瞭解哪些管理員對該事件進行了處理，處理過程和結果也沒有做記錄，使得處理的知識經驗不能得到共用，導致下次再發生類似事件時，處理效率的低下。

　　5．缺乏專業的安全技能

　　管理員發現問題後，往往因為安全知識的不足導致事件遲遲不能被處理，從而影響網路的安全性、延誤網路的正常使用。

　　Intemet在其早期是一個開放的為研究人員服務的網際網，是非盈利性的信息共用載體，所以幾乎所有的Intemet協議都沒有考慮安全機制。這點從Intemet上最通用的應用FTP、Telnet和電子郵件中的用戶口令的明文傳輸以及IP報文在子網段上的廣播傳遞能充分地體現出來。只是近些年來，Intemet的性質和使用人員的情況發生了很大的變化，使得Intemet的安全問題顯得越來越突出。隨著Intemet的全球普及和商業化，用戶越來越私人化，如信用卡號等同其自身利益相關的信息也通過Internet傳輸，而且越來越多的信息放在網上是為了盈利，並不是完全免費的信息共用，所以其安全性也成為人們日趨關註的問題。

　　1、電腦系統因素

　　電腦系統的脆弱性主要來自於操作系統的不安全性，在網路環境下，還來源於通信協議的不安全性。就前面所介紹的安全等級而言，全世界達到B3的系統只有一兩個，達到A1級別的操作系統目前還沒有。WiIldows XP、Windows SeⅣer 2003和Linu)(操作系統達到了C2級別，但仍然存在著許多安全漏洞。

　　其次，每一個電腦系統都存在超級用戶(如LiIlux中的root，W協dows SerVer 2003中的Adminis仃ator)，如果入侵者得到了超級用戶口令，整個系統將完全受控於入侵者。現在，人們正在研究一種新型的操作系統，在這種操作系統中沒有超級用戶，也就不會存在由超級用戶帶來的問題。現在很多系統都使用靜態口令來保護系統，但口令還是有很大的破解可能性，而且不好的口令維護制度會導致口令被人盜用。口令丟失也就意味著安全系統的全面崩潰。

　　最後，電腦可能會因硬體或軟體故障而停止運轉，或被入侵者利用並造成損失。世界上沒有能長久運行的電腦，電腦可能會因硬體或軟體的故障而停止運轉，或被入侵者利用而造成損失。硬碟故障、電源故障和晶元、主板故障都是人們應考慮的硬體故障問題，軟體故障則可能出現在操作系統中，也可能出現在應用軟體當中。

　　2、操作系統因素

　　操作系統是電腦重要的系統軟體，它控制和管理電腦所有的軟硬體資源。由於操作系統的重要地位，攻擊者常常以操作系統為主要攻擊目標。入侵者所做的一切，也大都是圍繞著這個中心目標的。

　　首先，無論哪一種操作系統，其體繫結構本身就是不安全的一種因素。由於操作系統的程式是可以動態鏈接的，包括I/O的驅動程式與系統服務都可以用打補丁的方法升級和進行動態鏈接。該產品的廠商可以使用這種方法，“黑客”成員也可以使用，這種動態鏈接方法也正是電腦病毒產生的溫床。操作系統支持的程式動態鏈接與數據動態交換是現代系統集成和系統擴展的必備功能，因此，這是相互矛盾的兩個方面。

　　另一個原因在於它可以創建進程，即使在網路的節點上同樣也可以進行遠程進程的創建與激活，更重要的是被創建的進程具有可以繼續創建過程的權力。這一點加上操作系統支持在網路上傳輸文件，在網路上能載入程式，二者結合起來就構成可以在遠端伺服器上安裝“間諜”軟體的條件。如果把這種“間諜”軟體以打補丁的方式“打”入合法用戶上，尤其是“打”在特權用戶上，那麼，系統進程與作業監視程式根本監測不到“間諜”的存在。

　　操作系統中，通常都有一些守護進程，這種軟體實際上是一些系統進程，它們總是等待一些條件的出現。一旦這些條件出現，程式就可以運行下去，這些軟體常常被黑客利用。問題不在於有沒有這些守護進程，而在於它們在Linux、Windows操作系統中具有與其他操作系統核心層軟體同等的許可權。

　　最後，網路操作系統提供的遠程過程調用(RPC)服務以及它所安排的無口令入口也是黑客的通道。操作系統都提供遠程進程調用(RPC)服務，而它們提供的安全驗證功能卻很有限。

　　操作系統有Debug(調試)和Wizard(嚮導)功能。許多黑客精通這些功能，利用這些技術，他們幾乎可以為所欲為。操作系統安排的口令入口是為系統開發人員提供的便捷入口，但也經常被黑客所利用。操作系統還提供了隱蔽的通道。這種系統不但複雜，而且存在一定的內在危險——危險之一就是授權進程或用戶的訪問許可權可能導致用戶得到限定之外的訪問權力。

　　3、人為因素

　　所有的網路系統都離不開人的管理，但大多數情況下又缺少安全管理員，特別是高素質的網路管理員。人為的無意失誤是造成網路不安全的重要原因。網路管理員在這方面不但肩負重任，還面臨著越來越大的壓力——稍有考慮不周，安全方面配置不當，就會造成安全漏洞。另外，用戶安全意識不強，不按照安全規定操作，如口令選擇不慎，將自己的賬戶隨意轉借他人或與別人共用，都會對網路安全帶來威脅。