§1 网络安全概述

1.网络安全概述

1. 1. 网络安全的内涵

1. 1.1. 信息安全

信息安全——防止对知识、事实、数据或能力非授权使用、误用、篡改或拒绝使用所采取的措施（量度）。

e .w e e k

＠

16

3.

c o

m 张

定

祥

1. 1.

2. 计算机网络

计算机网络——是地理上分散的多台自主计算机互联的集合，实现信息交换、资源共享、协同工作及在线处理等功能。

1. 1.3. 网络安全

网络安全概念

网络安全——是在分布式网络环境中，对信息载体（处理载体、存储载体、传输载体）和信息的处理、存储、传输、访问提供安全保护，以防止数据、信息内容或能力被非授权使用、篡改或拒绝服务。 从本质上来讲，网络安全就是网络上的信息安全，是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原

因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不

中断。网络安全涉及的内容既有技术方面的问题，也有管理方面的问

题，两方面相互补充，缺一不可。

网络安全的三个方面

①自主计算机的安全；

②互联安全，即用以实现互联的通信设备、通信链路、网络软件、网络协议的安全；

③各种网络应用和服务的安全。

e .w e e k

＠

16

3.

c o

m 张

定

祥

1. 1.4. 网络安全的基本属性

①机密性

也称为保密性：信息不泄露、不被非授权者获取与使用。占有性

②完整性

信息不被删除、添加、篡改、伪造。信息的真实性。

③可用性

不宕机、不阻塞、能正常运行

1. 1.5. 网络信息安全性服务

①机密性服务

机密性（confidentiality ）：

? 保证信息与信息系统不被非授权者获取与使用 ? 保证系统不以电磁方式向外泄露信息

e .w e e k

＠

16

3.

c o

m 张

定

祥

——电磁屏蔽技术、加扰技术 ? 使系统任何时候不被非授权人使用

——漏洞扫描、隔离、防火墙、访问控制、入侵检测、审计取证 ? 保证数据在传输、存储过程中不被获取、解析数据

——加密技术

a. 文件机密性

b. 信息传输机密性

c. 通信流机密性

②完整性服务

完整性（integrity ）：

? 保证信息是真实可信的，发布者不被冒充，来源不被伪造、内容

不被篡改

? 保证数据在传输、存储过程中不被非法修改： ——完整性标识的生成与检验技术

? 保证数据源头不被伪造： ——身份认证技术、路由认证技术

e .w e e k

＠

16

3.

c o

m 张

定

祥

a. 文件完整性

b. 信息传输完整性

③可用性服务

可用性（availability ）：

? 保证合法用户访问时总能从服务方即时得到需要的数据；

? 保证信息系统在恶劣工作环境下正常运行： ——抗干扰、加固技术

? 保证系统时刻能为授权人提供服务：

——过载保护、防拒绝服务攻击、生存技术

a. 备份

b. 在线恢复

c. 灾难恢复

④可控性服务

确保可以根据公司的安全策略对信息流向及行为方式进行授权控制。

⑤可审性服务

可审性（accountability ）：确保当对出现网络安全问题后能够提供调查的依据和手段。

e .w e e k

＠

16

3.

c o

m 张

定

祥

? 身份鉴别机制 ——你知道什么 ——你有什么 ——你是什么

? 双因子身份鉴别

? 身份识别和鉴别机制是各种安全服务的关键

? 审计提供过去事件的记录，必须基于合适的身份识别和鉴别服务

a. 身份标识与鉴别

b. 审计

1. 1.6. 安全基本要素

( 1) 划分安全级别

划分安全级别——网络安全策略的第一步就是为企业的各种网络资源划分安全级别。在划分安全级别之前，我们需要先了解企业中

包括了哪些网络资源。

a. 网络资源分组

企业的网络资源一般可以分为以下几类：

? 终端用户资源。包括客户工作站以及相关外设，主要作为企业员

e .w e e k

＠

16

3.

c o

m 张

定

祥

工平常办公所用。

? 网络资源。包括路由器、交换机、集线器、配线柜以及墙里的网线等，作为网络互联的中间系统，进行网络数据的路由、存储和转发。

? 服务器资源。为企业用户提供各种服务，如WWW 、E-Mail 、FTP 服务等。

? 信息存储资源。一般为数据库服务器，存储了企业种运作所需的各种数据信息，如信用卡号、人力资源和敏感信息等。

b. 网络资源安全级别的划分

在将企业资源进行分类后，就可以根据它们在企业网络中扮演的

角色以及数据的敏感程度进行安全级别的划分以便进行不同级别的

安全保护。

一般企业网络资源的安全级别可以划分为以下三类：

? 级别一，商业运作的中心。级别一的资源是一些运行关键业务并有高可需求的系统，不能容忍几小时甚至几分钟的停机，如电子商务公司的Web 服务器或企业网络的域控制器。此类资源一般占系统比例的5%左右，但安全的保护级别却最高，需要额外的安全措施、专用的系统级审核以及监视和其它安全功能等。 ? 级别二，商业运作需要的，但不是至关重要的的资源。如存储员

e .w e e k

＠

16

3.

c o

m 张

定

祥

工通讯信息的数据库被破坏，对组织不会造成致命影响，所受的损失只是工作上的不方便而已。级别二资源通常约占系统比例的20%，需要普通的安全保护、审核和恢复措施。

? 级别三，普通系统。此类系一般为终端用户资源，在组织中比例最大，约占75%左右，但它的破坏通常不会对级别一和级别二产生影响。

( 2) 划分安全域

一般常常理解的安全域（网络安全域）是指同一系统内有相同的

安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策

略的子网或网络，且相同的网络安全域共享一样的安全策略。广义上

则可认为安全域是具有相同业务要求和安全要求的IT 系统要素的集合。一个安全域内可进一步被划分为安全子域，安全子域也可继续依次细化。

任何一处的安全薄弱点被恶意攻击者利用的话，都有可能导致整个安全体系的崩溃，这就是安全的“木桶原理”。但我们如果进行了安全域的划分，则可能将这种破坏屏蔽在一个单个的域中。所以安全域的分割是抗渗透的防护方式，安全域边界是灾难发生时的抑制点，防止影响的扩散，同时安全域也是基于网络和系统进行安全建设部署的依据，是基于网络和系统进行安全检查和评估的基础。

e .w e e k

＠

16

3.

c o

m 张

定

祥

a. 安全域划分的原则

IT 系统网结构的安全域划分与传统意义上的物理隔离不同。物理隔离是由于存在信息安全的威胁而消极地隔断网络使信息不能得以共享。而安全域划分是在认真分析各套IT 系统的安全需求和面临的

安全威胁的前提下，既重视各类安全威胁，也允许IT 系统之间以及

与其他系统之间正常传输和交换的合法数据。

①根据角色和安全级别进行划分

根据IT 系统中各设备其所承担的工作角色和对安全方面要求的不同进行划分。

②在划分的同时有针对性的考虑安全产品的部署

从网络构架层面来讲，IT 系统网络整体结构安全域的划分是与安全产品的部署密不可分的，一方面安全域的划分为安全产品的部署提

供了一个健康规范灵活的网络环境。另一方面，将安全域划分为域内划分和域外划分两种，域和域之间主要采用通过交换设备划分VLAN 和防火墙来彼此策略隔离，在域内主要根据不同被保护对象的安全需求采用部署AAA 、IDS 和防病毒系统等来完成，因此，安全域的划分不能脱离安全产品的部署。

e .w e e k

＠

16

3.

c o

m 张

定

祥

③安全域的个数不应过多

安全域数量过多，会导致在安全策略设置上过于复杂，会给今后管理带来很大不便。

④兼容当前的IT 结构

安全域划分的目的是发挥安全产品的整体效能，并不是对运营商IT 系统原有局域网整体结构的彻底颠覆。因此在对运营商IT 系统局域网结构改造的同时需要考虑保护已有投资，避免重复投入与建设。

b. 安全域划分的方法

为满足组织网络安全分区防护的需求，我们需要为企业网络划分

不同的安全区域。划分安全区域可以根据以下方法进行

①基于分布式结构划分安全域

分布式结构的网络是将分布在不同地点的计算机通过线路互连起来的一种网络形式，由于采用分散控制，即使整个网络中的某个局部出现故障，也不会影响全网的操作，因而具有很高的可靠性。分布式结构可以进行域内划分也可进行域外划分，如在域内可划分为核心交换区、生产区、日常维护区、互联区和DMZ 区，而在域外划分可将网络安全区域划分为本地网络、远程网络、公众网络以及伙伴访问网络等四个大的区域。

e .w e e k

＠

16

3.

c o

m 张

定

祥

②基于业务流程优化安全域

一套完整的业务流程可能由不同厂商的基于异构平台的多种服务组合而成，每个服务都具有各自独立的安全域。这些安全域可能由不同企业的不同部门负责管理和维护。

③基于层次结构构建立防护体系

对网络进行分层防护，有效地增加了系统的安全防护纵深，使得外部的侵入需要穿过多层防护机制，不仅增加恶意攻击的难度，还为主动防御提供了时间上的保证。如可以将网络分为核心层、汇聚层和接入层，每个网络安全层次内部包含的服务器具有相似的应用处理功

能和相同的安全防护等级。而在不同的安全域之间则需要进行访问控

制以作适度的安全隔离。

④基于生命周期展开持续的防护

安全域的划分可以从一个IT 业务系统建立的完整生命周期去考

虑问题，即分别在系统的设计、规划、实施、运维和废弃等几个阶段考虑了IT 安全建设的问题，而目前国内企业中可能大多都是基于已建造好的IT 业务系统上考虑安全问题，所以必须考虑到生产系统上的安全解决方案的可操作性问题，此外还需要满足采用的措施不能影响系统正常运行，同时应便于维护以及安全措施的操作简易性，因为措施要由人来完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。

e .w e e k

＠

16

3.

c o

m 张

定

祥

c. 某企业安全域划分示例

某组织按照机构职能和安全需求，根据具体的网络拓朴结构和网络应用情况，对组织内进行安全域划分。不同的安全域之间采用防火墙或VLAN 进行隔离，并根据业务的实际情况出发对不同安全域间的

通信关系进行系统分析，如配置VLAN 间路由和访问控制列表（ACL)，

既保证VLAN 间的通信，又保护各VLAN 之间的安全。划分的结果如下表所示。

( 3) 身份认证

身份验证是用来验证实体或对象是谁或它的要求是什么的过程，它是计算机系统安全保密防范最基本的措施，也是网络操作系统验证用户、系统或系统组件身份的一种能力。在整个安全防御体系中，身

e .w e e k

＠

16

3.

c o

m 张

定

祥

份验证技术是第一道防线，这种技术是对用户的身份进行识别和验证，以防止非法登录和访问。

认证方式一般有基于口令的认证方式、基于智能卡的认证方式和基于生物特征的认证方式。

a. 基于口令的身份认证

基于口令的认证方式——是最传统也是最常用的一种技术，是一

种单因素的认证。由于其安全性依赖于口令强度、口令保护手段和口

令更换周期，口令一旦泄露，用户即可被冒充，就将存在严重的安全

问题。因此，基于口令的身份鉴别，必须加强对口令的管理。

普通系统用户的口令设置尽量不要设置为生日等具有明显联想

色彩的弱口令，而安全性要求比较高的系统，口令的长度要根据信息

系统处理国家秘密信息的密级决定。强度特别高的访问控制应使用一次性口令机制。

b. 基于智能卡的身份认证

智能卡具有硬件加密功能，有较高的安全性。所有的智能卡都有微芯片，芯片中可以包含所有者的详细信息，如个人信用卡帐号、驾照信息和医疗信息等。智能卡读卡器是一种用于扫描智能卡的电子设备。在进行认证时，用户需要输入PIN （个人身份识别码，PIN 不必是一列数字，它也可以使用其他字母数字字符），智能卡认证PIN ，

e .w e e k

＠

16

3.

c o

m 张

定

祥

成功后，即可读出智能卡中的秘密信息，进而利用该秘密信息与主机之间进行认证。

通过智能卡为登录到网络提供了很强的身份验证方式，如在验证进入域的用户时，这种方式使用了基于加密的身份验证和所有权证据。 基于智能卡的认证方式——是一种双因素的认证方式（PIN ＋智能卡），除非同时获得用户的智能卡和个人识别码(PIN) 才能假扮用户。由于需要其它层的信息才能假扮用户，因而这种组合可以减少攻击的可能性。另一个好处是连续几次输入错误的 PIN 后，智能卡将被锁定，因而使得词典攻击智能卡非常困难。另外，对智能卡的攻击逃脱不过检测，因为恶意攻击的人必须具有自己拥有的智能卡，而该

智能卡的合法主人将会发现自己丢失了智能卡。

c. 基于生物特征的身份认证

基于生物特征的认证方式——是以人体惟一的、可靠的、稳定的

生物特征（如指纹、虹膜、脸部、掌纹等）为依据，采用计算机的强大功能和网络技术进行图像处理和模式识别。该技术具有很好的安全性、可靠性和有效性，与传统的身份确认手段相比，无疑产生了质的飞跃。

( 4) 访问控制

访问控制——是计算机安全保密防范的第二道防线，是网络安全防范和保护的主要核心策略。它的主要任务是保证网络资源不被非法

e .w e e k

＠

16

3.

c o

m 张

定

祥

使用和访问。访问控制规定了主体对客体访问的限制，并在身份识别的基础上，根据身份对提出资源访问的请求加以控制。这种控制是指对合法用户进行文件或数据操作权限的限制。这种权限主要包括对信息资源的读、写、删、改、拷贝、执行等。在内部网中，应该确定合法用户对系统资源有何种权限，可以进行什么类型的访问操作，防止合法用户对系统资源的越权使用。对涉密程度不高的系统，可以按用

户类别进行访问权限控制；对涉密程度高的系统，访问权限必须控制

到单个用户。

通常访问控制策略可以划分为自主访问控制、强制访问控制和基于角色的访问控制三种。

a. 自主访问控制

自主访问控制（Discretionary Access Control ）——自主访问控制是一种允许主体对访问控制施加特定限制的访问控制类型。它允许

主体针对访问资源的用户设置访问控制权限，用户对资源的每次访问都会检查用户对资源的访问权限，只有通过验证的用户才能访问资源。在自主访问控制策略环境中，为了保证安全，默认参考设置是拒绝访问，以提高信息的安全性。同时，自主访问控制是基于用户的，故此具有很高的灵活性，这使得这种策略适合各类操作系统和应用程序，特别是在商业和工业领域。

e .w e e k

＠

16

3.

c o

m 张

定

祥

b. 强制访问控制

强制访问控制（Mandatory Access Control ）——强制访问控制是一种不允许主体干涉的访问控制类型。它是基于安全标识和信息分级等信息敏感性的访问控制，通过比较资源的敏感性与主体的级别来

确定是否允许访问。当一个主体访问一个客体时必须符合各自的安全

级别需求。强制访问控制的安全性比自主访问控制的安全性有了提高，但灵活性要差一些。强制访问控制在军事和市政安全领域应用较多。例如，某些对安全要求很高的操作系统中规定了强制访问控制策略，安全级别由系统管理员按照严格程序设置，不允许用户修改。如果系统设置的用户安全级别不允许用户访问某个文件，那么不论用户是否是该文件的拥有者都不能进行访问。

c. 基于角色的访问控制

基于角色的访问控制（Role Based Access Control ）——基于

角色的访问控制是指在应用环境中，通过对合法的访问者进行角色认证来确定访问者在系统中对哪类信息有什么样的访问权限。系统只问用户是什么角色，而不管用户是谁。角色访问控制的优点有：便于授权管理、便于赋予最小特权、便于根据工作需要分级、责任独立、便

于文件分级管理、便于大规模实现。角色访问是一种有效而灵活的安全措施，系统管理模式明确，节约管理开销，当前流行的数据管理系统都采用了角色策略来管理权限。

e .w e e k

＠

16

3.

c o

m 张

定

祥

( 5) 加密

加密是通过加密算法将需要存储或传送的信息（明文）进行各种变换和处理从而成为密文的过程。加密是信息安全的重要手段，对于经过加密的信息，即使被非法访问者窃取，也不能知道其中的具体内

容，而只有授权的使用者用相应的密钥才可以将密文恢复成密文。

在信息安全系统中，信息加密主要有两种方式：传输加密和存储

加密。

a. 传输加密

传输加密——信息传输加密用来防止通信线路上的窃听、泄漏、篡改和破坏。在开发式网络中，对网络通信的加密也越来越重要了，

如对电子邮件的加密。传输加密方法很多，如可以利用IPSec 在IP

层加密数据，如用SSL 或TLS 在应用层加密。

b. 存储加密

存储加密——对于重要的涉密主机，由于涉密信息是存储于主机

上的，应使用存储加密的方式，保证在PC 主机的重要涉密数据信息

以密态储存，提高安全性。如Windows 2000内置的加密文件系统

EFS 就是一种很好的存储加密技术。

e .w e e k

＠

16

3.

c o

m 张

定

祥

( 6) 安全审核

安全审核就是通过各种技术或非技术手段，对现有组织构架内部所规定的各种策略、规定的一种检查，并通过日志的形式记录好与安全相关的事件。我们可以通过对安全日志的分析，发现和跟踪可疑事件，

找到有关入侵者活动的相关法律证据，从而防止对各种敏感资源的破

坏和滥用，保证系统的正常运作。

通过实施审核策略，使得计算机可以执行以下操作：

l 跟踪事件的成功和失败。如试图登录，试图通过特定的用户读取指

定文件，修改某个用户帐号或组成员资格，以及修改安全设置等。

l 将未授权而使用资源的风险最小化。通过安全审核，可以帮助我们

找到一些潜在的问题，如易受攻击的服务、防火墙设置漏洞、员工安全培训中的不足、不完善的入侵检测规则以及系统级别安全更新的忽略等问题，从而即时修复和改进，使资源的风险最小化。

l 维护有关用户和管理员活动的记录。通过安全日志对用户和管理员活动的记录，发现有意或无意的破坏行为，即时处理，保证系统的正常运行。

a. 被动审核

被动审核（Passive auditing ）——是指计算机仅根据管理员的设置简单地记录相关安全事件，对攻击行为不作任何有效的阻断和反应。它不是一种实时的监测机制，管理员需要通过事后或定期的日志

e .w e e k

＠

16

3.

c o

m 张

定

祥

查看和分析，才能够发现问题并根据日志中的信息采取行动。这种审核类型如Windows 2000内置的审核功能，可以对登录以及对象的访问等事件作一定的安全日志记录，但不能做到实时有主动防御。此外，审计日志也很容易被入侵者删除，存在着一定安全隐患。

b. 主动审核

主动审核（Active auditing ）——主动审核能对入侵事件进行主

动的防御，它能实时的记录并主动对非法访问和侵入作出反应。反应

包括结束会话、阻止访问特定主机（包括网站、FTP 服务器和电子邮

件服务器）以及跟踪非法活动源等。这种审核类型多见于各种入侵检

测产品。

c. 安全审核策略

过多的审核会给系统资源施加不必要的压力，而且你所有关心的

审核记录将淹没在其他的垃圾信息里面；但审核太少又达不到安全分析所需要的信息量，会给系统带来不必要的安全隐患。所以在进行安

全审核之前，需要制定相应的安全审核策略，通过可行性分析和风险分析来对资源进行安全级别的划分，然后通过不同的安全级别设置不同审核级别。

下表列出了不同的安全审核级别。

e .w e e k

＠

16

3.

c o

m 张

定

祥

在制定了安全审核策略后，就要进行严格的实施。对涉密程度高

的系统，安全日志应该能够自动检测并记录侵犯系统安全保密的事件，并能够及时自动告警。系统安全保密员应该定期审查安全日志，对于涉及国家机密级和国家秘密级的系统，审查周期不超过一个月；对于涉及国家绝密级的系统，审查周期不超过一周。审计信息对于发现网络是否被攻击和确定攻击源非常重要，也是查处各种侵犯系统安全保密事件的有力证据。因此，除使用一般的网管软件和系统监控功能外，

还应使用目前较为成熟的网络监控设备或实时入侵检测设备，以便对

网络操作进行实时检查、监控、报警和阻断，从而防止针对网络的攻

击行为。

1. 2. 安全威胁

1. 2.1. 信息载体安全威胁

信息载体安全——

e .w e e k

＠

16

3.

c o

m 张

定

祥