网 络 信 息 安 全 技 术第1章

《网 络 信 息 安 全 技 术第1章》由会员分享，可在线阅读，更多相关《网 络 信 息 安 全 技 术第1章（113页珍藏版）》请在金锄头文库上搜索。

1、Network 欧洲的IDEA； 日本的FEAL-N、LOKI-91、Skipjack、RC4、 RC5以及以代换密码和转轮密码为代表的古典密码等。 在众多的常规密码中影响最大的是DES密码。常规密码的优点是有很强的保密强度，且经受住时间的检验和攻击，但其密钥必须通过安全的途径传送。因此，其密钥管理成为系统安全的重要因素。 在公钥密码中，收信方和发信方使用的密钥互不相同，而且几乎不可能从加密密钥推导出解密密钥。比较著名的公钥密码算法有： RSA、 背包密码、 McEliece密码、Diffe-Hellman、Rabin、Ong-Fiat-Shamir、零知识证明的算法、椭圆曲线、EIGamal

2、算法等等。最有影响的公钥密码算法是RSA，它能抵抗目前已知的所有密码攻击。公钥密码的优点是可以适应网络的开放性要求，且密钥管理问题也较为简单，尤其可方便的实现数字签名和验证。但其算法复杂, 加密数据的速率较低。尽管如此，随着现代电子技术和密码技术的发展，公钥密码算法将是一种很有前途的网络安全加密体制。 当然在实际应用中人们通常将常规密码和公钥密码结合在一起使用， 比如, 利用DES或者IDEA来加密信息，而采用RSA来传递会话密钥。 如果按照每次加密所处理的比特来分类，可以将加密算法分为序列密码和分组密码。前者每次只加密一个比特而后者则先将信息序列分组，每次处理一个组。5. 网络安全管理策略网

3、络安全管理策略在网络安全中，除了采用上述技术措施之外，加强网络的安全管理， 制定有关规章制度，对于确保网络的安全、可靠地运行， 将起到十分有效的作用。网络的安全管理策略包括：确定安全管理等级和安全管理范围；制订有关网络操作使用规程和人员出入机房管理制度；制定网络系统的维护制度和应急措施 等。 随着计算机技术和通信技术的发展，计算机网络将日益成为工业、农业和国防等方面的重要信息交换手段，渗透到社会生活的各个领域。因此，认清网络的脆弱性和潜在威胁，采取 强有力的安全策略，对于保障网络的安全性将变得十分重要。1.3.2 网络安全体系网络安全体系在很长一段时间内，网络安全方面的开发一直走的是补、堵系统

4、漏洞这条路。随着网络应用系统的日益丰富，系统漏洞更是层出不穷，单纯的补漏只能一直走在攻击者后面，疲于奔命，何况在堵漏的同时，还有可能引入新的漏洞。因此，网络 安全技术的发展只能走技术集成这条路。 另外，由于网络安全不仅仅是一个纯技术问题，单凭技术因素确保网络安全是不可能的。正如前面所述，网络安全问题 是涉及到法律、 管理和技术等多方因素的复杂系统问题。因此网络安全体系是由网络安全法律体系、网络安全管理体系和网 络安全技术体系三部分组成，它们相辅相承（如图1.1所示），只有协调好三者的关系， 才能有效地保护网络的安全。图图1.1 网络安全体系结构网络安全体系结构政策、 法律、 法规等加密、 授权

5、、 认证、 访问控制等安全管理等1 网络安全技术方面 网络安全技术方面通过对网络的全面了解，按照安全策略的要求， 整个网络安全技术体系由以下几个方面组成：物理安全、网络安全、信息安全。 1） 物理安全 是整个计算机信息系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误和各种计算机犯罪行为导致的破坏过程， 主要包括三个方面：(1) 环境安全 对系统所在环境的安全保护， 如区域保护和灾难保护（参见国家标准GB50173-93电子计算机机房设计规范、 国标GB2887-89计算站场地技术条件、GB9361-88计算站场地安全要求）； (2)

6、设备安全 主要包括设备的防盗、 防毁、 防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等； (3) 媒体安全 包括媒体数据的安全及媒体本身的安全。显然，为保证信息网络系统的物理安全，除在网络规划和场地、环境等要求之外，还要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失秘的案例已经很多，在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原给计算机系统信息的保密工作带来了极大的危害。为了防止系统中的信息在空间上的扩散， 通常是在物理上采取一定的防护措施，来减少或干扰扩散出去的空间信号。这种情况对于政府、军队、金融机构在兴建信息中心时，都将成为首要设置的条

7、件。 正常的防范措施主要在三个方面： 对主机房及重要信息存储、收发部门进行屏蔽处理，即建设一个具有高效屏蔽效能的屏蔽室，用它来安装运行主要设备以防止磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施，如信号线、电话线、空调、消防控制线，以及通风波导， 门的关启等。 对本地网、局域网传输线路辐射的抑制，由于电缆传输辐射信息的不可避免性，现均采用了光缆传输的方式。 对终端设备辐射的防范 终端机尤其是CRT显示器,由于上万伏高压电子流的作用，具有极强的信号外泄可能，但又因终端分散使用，因此不宜采用屏蔽室的办法来防止“信号外泄”，故现在的要求除在订

8、购设备上尽量选取低辐射产品外，目前主要采取主动式的干扰设备(如干扰机)来破坏对应信息的窃复，个别重要的电脑或集中的终端也可考虑采用有窗户的装饰性屏蔽室，此类方式虽降低了部分屏蔽效能但却大大改善了工作环境， 使人感到同在普通机房内一样工作。2） 网络安全 如图1.2所示， 物理网络本身的安全包括系统安全、 网络运行安全、局域网与子网安全三个方面。图1.2 网络安全网络安全检测访问控 制(防火 墙) 局域网、 子网安 全应急、 灾难恢复备份与 恢复网络运行安全审 计 分 析入 侵 检 测系统安全 检测反病毒系统(主机、服务 器) 安全 网 络 安 全(1) 外网隔离及访问控制系统在内部网与外部网之

9、间，设置防火墙（包括分组过滤与应用代理）实现内外网的隔离与访问控制是保护内部网安全的最主要、 最有效、 最经济的措施之一。 无论何种类型防火墙，从总体上看，都应具有以下五大基本功能：过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的检测和告警。应该强调的是，防火墙是整体安全防护体系的一个重要组成部分，而不是全部。因此必须将防火墙的安全保护融合到系统的整体安全策略中，才能实现真正的安全。(2) 内部网中不同网络安全域的隔离及访问控制在这里，防火墙被用来隔离内部网络的一个网段与另一个网段，这样，就能防止影响一个网段的问题在整个网络中传播

10、。针对某些网络，在某些情况下， 它的一些局域网的某个网段比另一个网段更受信任，或者某个网段比另一个更敏感，因此在它们之间设置防火墙就可以限制局部网络安全问题对全局网络造成的影响。(3) 网络安全检测网络系统的安全性取决于网络系统中最薄弱的环节。 如何及时发现网络系统中最薄弱的环节？如何最大限度地保证网络系统的安全？最有效的方法是定期对网络系统进行安全性分析，及时发现并修正存在的弱点和漏洞。网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。(4) 审计与监控审计是记录用户使用计

11、算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能指出系统正被怎样地使用。对于确定是否有网络攻击的情况， 审计信息对于确定问题和攻击源很重要。同时，系统事件的记录能够更迅速和系统地识别问题， 并且它是后面阶段事故处理的重要依据。另外，通过对安全事件的不断收集和积累并且加以分析，能够发现破坏性行为的证据。因此，除使用一般的网管软件和系统监控管理系统外，还应使用目前已较为成熟的网络监控设备或实时入侵检测设备，以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻断，从而防止针对网络的攻击与犯罪行为。(5) 网络反病毒由于在网络环境下，计算机病毒有不可估量

12、的威胁性和破坏力， 因此计算机病毒的防范是网络安全性建设中重要的一环。网络反病毒技术包括预防病毒、检测病毒和杀毒三种技术。 网络反病毒技术的具体实现方法包括对网络服务器中的文件进行频繁地扫描和监测；在工作站上用防病毒芯片和对网络目录及文件设置访问权限等。(6) 网络备份系统根据系统安全需求可选择的备份机制有：场地内高速度、大容量自动的数据存储、备份与恢复；场地外的数据存储、备份与恢复； 对系统设备的备份。 备份不仅在网络系统硬件故障或人为失误时起到保护作用，也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用，同时亦是系统灾难恢复的前提之一。一般的数据备份操作有三种。一是全盘备份，

13、即将所有文件写入备份介质；二是增量备份，只备份那些上次备份之后更改过的文件，这是最有效的备份方法； 三是差分备份，备份上次全盘备份之后更改过的所有文件，其优点是只需两组磁带就可恢复最后一次全盘备份的磁带和最后一次差分备份的磁带。3) 信息安全(如图1.3所示) 网络中的信息安全主要涉及到信息传输的安全、信息存储的安全以及对网络传输信息内容的审计三个方面。图1.3 信息安全授权鉴别用户信息内容审计信息的防泄密终端安全数据库安全信息存储安全 （静态安全）防抵赖数据完整性的 鉴别数据加密信息传输安全 （动态安全）信息安全(1) 鉴别鉴别是对网络中的主体进行验证的过程， 通常有三种方法验证主体身份。一

14、是只有该主体了解的秘密，如口令、 密钥；二是主体携带的物品， 如智能卡和令牌卡； 三是只有该主体具有的独一无二的特征或能力， 如指纹、 声音、 视网膜或签字等。(2) 数据传输安全系统数据传输加密技术的目的是对传输中的数据流加密，以防止通信线路上的窃听、泄漏、篡改和破坏。如果以加密实现的通信层次来区分， 加密可以在通信的三个不同层次来实现，即链路加密（位于OSI网络层以下的加密）、结点加密、端到端加密（传输前对文件加密， 位于OSI网络层以上的加密）。一般常用的是链路加密和端到端加密这两种方式。链路加密侧重于在通信链路上而不考虑信源和信宿。链路加密是面向结点的，对于网络高层主体是透明的，它对高

15、层的协议信息（地址、检错、 帧头帧尾）都加密，因此数据在传输中是密文的，但在中央结点必须解密得到路由信息。端到端加密则指信息由发送端自动加密，并进入TCP/IP数据包回封,然后作为不可阅读和不可识别的数据穿过互联网，当这些信息一旦到达目的地，将自动重组、解密，成为可读数据。端到端加密是面向网络高层主体的，它不对下层协议进行信息加密， 协议信息以明文形式传输，用户数据在中央结点不需解密。数据完整性鉴别技术。目前，对于动态传输的信息，许多协议确保信息完整性的方法大多是收错重传、丢弃后续包的办法，但黑客的攻击可以改变信息包内部的内容，所以应采取有效的措施来进行完整性控制。 鉴于为保障数据传输的安全，

16、需采用数据传输加密技术、数据完整性鉴别技术及防抵赖技术。因此为节省投资、简化系统配置、便于管理、使用方便，有必要选取集成的安全保密技术措施及设备。这种设备应能够为大型网络系统的主机或重点服务器提供加密服务，为应用系统提供安全性强的数字签名和自动密钥分发功能，支持多种单向散列函数和校验码算法，以实现对数据完整性的鉴别。(3) 数据存储安全系统在计算机信息系统中存储的信息主要包括纯粹的数据信息和各种功能文件信息两大类。对纯粹数据信息的安全保护，以数据库信息的保护最为典型。 而对各种功能文件的保护，终端安全很重要。 要实现对数据库的安全保护，一种选择是从系统的设计、实现、使用和管理等各个阶段都遵循一套完整的系统安全策略； 二是以现有数据库系统所提供的功能为基础构建安全模块，旨在增强现有数据库系统的安全性。终端安全主要解决微机信息的安全保护问题。一般的安全功能如：基于口令或（和）密码算法的身份验证，防止非法使用机器；自主和强制存取控制， 防止非法访问文件；多级权限管理，防止越权操作；存储设备安全管理， 防止非法软盘拷贝和硬盘启动；数据和程