网络安全.docx

网络安全.docx

《网络安全.docx》由会员分享，可在线阅读，更多相关《网络安全.docx（10页珍藏版）》请在冰豆网上搜索。

网络安全

网络管理与维护论文

浅

谈

网

络

安

全

管

理

系别：

专业：

年级：

姓名：

目录

1网络安全管理概括1

1.1网络安全技术的研究目的意义和背景1

1.2计算机网络安全的含义2

1.3网络安全产品的特点2

2网络安全初步分析2

2.1网络安全的必要性2

2.2网络的安全管理2

2.2.1安全管理原则3

2.2.2安全管理的实现3

2.3采用先进的技术和产品3

2.3.1防火墙技术3

2.3.2数据加密技术3

2.3.4计算机病毒的防范4

2.4.1特洛伊木马4

2.4.2邮件炸弹4

2.4.3过载攻击4

2.4.4淹没攻击5

3网络安全技术5

3.1加密技术5

3.1.1对称加密技术5

3.1.2非对称加密技术5

3.1.3RSA算法5

3.2注册与认证管理6

3.2.1认证机构6

3.2.2注册机构6

3.2.3密钥备份和恢复6

3.2.4证书管理与撤销系统6

4安全技术的研究6

4.1安全技术的研究现状和方向6

4.2包过滤型7

4.3代理型7

浅谈网络安全管理

【摘要】随着计算机和网络技术的发展，网络安全技术也有了很大的进步，但是，单个的安全技术的功能和性能都有其局限性，如何有效的管理网络以及系统中的安全产品和安全技术成为网络和信息安全的一个重要研究内容。

企业的信息化热潮快速兴起，由于企业信息化投入不足、缺乏高水平的软硬件专业人才、以及企业员工安全意识淡薄等多种原因，网络安全也成了中小企业必须重视并加以有效防范的问题。

病毒、间谍软件、垃圾邮件……这些无一不是企业信息主管的心头之患。

安全综合管理正是针对这种情况，对管理域内的安全设备进行安全信息收集和信息综合。

【关键词】信息安全网络防火墙

我们知道,21世纪的一些重要特征就是数字化,网络化和信息化,它是一个以网络为核心的信息时代。

要实现信息化就必须依靠完善的网络，因为网络可以非常迅速的传递信息。

因此网络现在已成为信息社会的命脉和发展知识经济的基础。

随着计算机网络的发展，网络中的安全问题也日趋严重。

当网络的用户来自社会各个阶层与部门时，大量在网络中存储和传输的数据就需要保护。

当人类步入21世纪这一信息社会、网络社会的时候，我国将建立起一套完整的网络安全体系，特别是从政策上和法律上建立起有中国特色的网络安全体系。

一个国家的安全体系实际上包括国家的法律和政策，以及技术与市场的发展平台。

我国在构建信息信息防卫系统时,应着力发展自己独特的安全产品,我国要想真正解决网络安全问题,最终的办法就是通过发展名族的安全产业,带动我国网络安全技术的整体提高。

1网络安全管理概括

1.1网络安全技术的研究目的意义和背景

目前计算机网络面临着很大的威胁，其构成的因素是多方面的。

这种威胁将不断给社会带来巨大的损失。

网络安全已被信息社会的各个领域所重视。

随着计算机络的不断发展，全球信息化已成为人类发展的大趋势；给政府机构、企事业单位带来了革命性的改革。

但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互联性等特征，致使网络容易受黑客、病毒、恶意软件和其他不轨行为的攻击，所以网上信息的安全和保密是一个至关重要的问题。

对于军用的自动化指挥网络、C3I系统、银行和政府等传输铭感数据的计算机网络系统而言，其网上信息的安全性和保密性尤为重要。

因此，上述的网络必须要有足够强的安全措施，否则该网络将是个无用、甚至会危机国家安全的网络。

无论是在局域网中还是在广域网中，都存在着自然和人为等诸多因素的潜在威胁和网络的脆弱性，故此，网络的安全措施应是能全方位的针对各种不同的威胁和网络的脆弱性，这样才能确保网络信息的保密性、完整性、和可行。

为了确保信息安的安全与畅通，研究计算机网络的安全以及防范措施已迫在眉睫。

本文就进行初步探讨计算机网络安全的管理及技术措施。

认真分析网络面临的威胁，我认为计算机网络系统的安全防范工作是一个极为复杂的系统工程，是一个安全管理和技术防范相结合的工程。

在目前法律法规尚不完善的情况下，首先是各计算机网络应用部门领导的重视，加强工作人员的责任心和防范意识，自觉执行各项安全制度，在此基础上，再采用现金的技术和产品，构造全防卫的防御机制，使系统在理想的状态下运行。

1.2计算机网络安全的含义

计算机网络安全的具体含义会随着使用者的变化而变化，使用者的不同，对网络安全的认识和要求也就不同。

例如从普通使用者的角度来说，可能仅仅希望个人隐私或机密信息在网络上传输时受到保护，避免被窃听、篡改和伪造；而网络提供商除了关心这些网络信息安全外，还要考虑如何应付突发的灾害，军事打击等对网络硬件的破坏，以及在网络出现异常时如何恢复网络通信，保持网络通信的连续性。

从本质上来讲，网络安全包括组成网络系统的硬件、软件极其在网络上传输信息的安全性，使其不致因偶然的或者恶意的攻击遭到破坏，网络安全既有技术方面的，也有管理方面的问题，两方面相互补充，缺一不可。

人为的网络入侵和攻击行为使得网络安全面临新的挑战。

1.3网络安全产品的特点

第一，网络安全来源于安全策略与技术的多样化，如果采用一种统一的技术和策略也就不安全了；第二，网络的安全机制与技术要不断的变化；第三，随着网络在社会各个方面的延伸，进入网络的手段也越来越多，因此，网络安全技术是一个十分复杂的系统工程。

为此建立有中国特色的网络安全体系，需要国家政策和法规的支持及集团联合开发。

安全与反安全就像矛盾的两个方面，总是不断的向上攀升，所以安全产业将来也是一个随着新技术发展而不断发展的产业。

信息安全是国家发展所面临的一个重要问题，对于这个问题，我们还没有从系统的规划上去考虑它，从技术上、产业上、政策上来发展它。

政府不仅应该看见信息安全的发展是我国高科技产业的一部分，而且应该看到发展安全产业的政策是信息安全保障系统的一个重要组成部分，甚至应该看到它对我国未来数字化、网络化、信息化的发展将起到非常重要的作用。

2网络安全初步分析

2.1网络安全的必要性

随着计算机技术的不断发展，计算机网络已经成为信息时代的重要特征。

人们称它为信息高速公路。

网络是计算机技术和通信技术的产物，适应社会对信息共享和信息传递的要求发展起来的，各国都在建设自己的信息高速公路。

我国近年来计算机网络发展的速度也很快，在国防、电信、银行、广播等方面都有广泛的应用。

我相信在不长的时间里，计算机网络一定会得到极大的发展，那时将全面进入信息时代。

正因为网络应用的如此广泛，又在生活中扮演很重要的角色，所以其安全性是不容忽视的。

2.2网络的安全管理

面对网络安全的脆弱性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须花大力气加强网络安全的安全管理，因为诸多的不安全因素恰恰反映在组织管理和人员录用等方面，而这又是计算机网络安全所必须考虑的基本问题。

2.2.1安全管理原则

网络信息系统的安全管理主要基于3个原则：

（1）多人负责原则

每一项与安全有关的活动，都必须有两人或多人在场。

这些人应是系统主管领导指派的，他们忠诚可靠，能胜任此项工作；他们应该签署工作情况记录以证明安全工作以得到保障。

与安全有关的活动有：

访问控制使用证件的发放与回收，信息处理系统使用的媒介发放与回收，处理保密信息，硬件与软件的维护，系统软件的设计、实现和修改，重要数据的删除和销毁等。

（2）任期有限原则

一般来讲，任何人最好不要长期担任与安全有关的职务，以免使他认为这个职务是专有的或永久性的。

为遵循任期有限原则，工作人员应不定期的循环任职，强制实行休假制度，并规定对工作人员进行轮流培训，以使任期有限制度切实可行。

（3）职责分离原则

除非经系统主管领导批准，在信息处理系统工作的人员不要打听、了解或参与职责以外的任何与安全有关的事情。

出于对安全的考虑，下面每组内的两项信息处理工作应当分开：

计算机操作与计算机编程、机密资料的接收与传送、安全管理与系统管理、应用程序和系统程序的编制、访问证件的管理与其他工作、计算机操作与信息处理系统使用媒介的保管等。

2.2.2安全管理的实现

信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性，制定相应的管理制度或采用相应的规范。

具体工作是:

（1）根据工作的重要程度，确定该系统的安全等级。

（2）根据确定的安全等级，确定安全管理范围。

（3）制定相应的机房出入管理制度，对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域。

出入管理可采用证件识别或安装自动识别系统，采用此卡、身份卡等手段，对人员进行识别，登记管理。

2.3采用先进的技术和产品

要保证计算机网络安全的安全性，还要采用一些先进的技术和产品。

目前主要采用的相关技术和产品有以下几种。

2.3.1防火墙技术

为保证网络安全，防止外部网对内部网的非法入侵，在被保护的网络和外部公共网络之间设置一道屏障这就称为防火墙。

它是一个或一组系统，该系统可以设定哪些内部服务可以被外界访问，外界的哪些人可以访问内部的哪些服务，以及哪些外部服务可以被内部人员访问。

它可以监测、限制、更改跨越防火墙的数据流，确认其来源及去处，检查数据的格式及内容，并依照用户的规则传送或阻止数据。

其主要有：

应用层网关、数据包过滤、代理服务器等几大类型。

2.3.2数据加密技术

与防火墙配合使用的安全技术还有数据加密技术，是为了提高信息系统及数据的安全性和保密性，防止秘密数据被外部破析所采用的主要技术手段之一。

随着信息技术的发展，网络安全与信息保密日益引起人们的关注。

目前各国除了从法律上、管理上加强数据的安全保护外，从技术上分别在软件和硬件两方面采取措施，推动着数据加密技术和物理防范技术的不断发展。

按作用的不同，数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。

2.3.3认证技术

认证技术是防止主动攻击的重要手段，它对于开放环境中的各种信息的安全有重要作用。

认证是指验证一个最终用户或设备的身份过程，即认证建立信息的发送者或接受者的身份。

认证的主要目的有两个：

第一，验证信息的发送者是真正的，而不是冒充的，这称为信号源识别；第二，验证信息的完整性，保证信息在传送过程中未被篡改或延迟等。

目前使用的认证技术主要有：

消息认证、身份认证、数字签名。

2.3.4计算机病毒的防范

首先要加强工作人员防病毒的意识，其次是安装好的杀毒软件。

合格的防病毒软件应该具备以下条件：

（1）较强的查毒、杀毒能力。

在当前全球计算机网络上流行的计算机病毒有4万多种，在各种操作系统中包括Windows、UNIX和Netware系统都有大量能够造成危害的计算机病毒，这就要求安装的防病毒软件能够查杀多种系统环境下的病毒，具有查杀、杀毒范围广、能力强的特点。

（2）完善的升级服务。

与其他软件相比，防病毒软件更需要不断的更新升级，以查杀层出不穷的计算机病毒。

2.4常见的网络攻击和防范对策

2.4.1特洛伊木马

特洛伊木马是夹带在执行正常功能的程序中的一段额外操作代码。

因为在特洛伊木马中存在这些用户不知道的额外操作代码，因此含有特洛伊木马的程序在执行时，表面上是执行正常的程序，而实际上是在执行用户不希望的程序。

特洛伊木马的程序包括两部分，即实现攻击者目的的指令和在网络中传播的指令。

特洛伊木马具有很强的生命力，在网络中当人们执行一个含有特洛伊木马的程序时，它能把自己插入一些未被感染的过程中，从而使它们受到感染。

此类攻击对计算机的危害极大，通过特洛伊木马，网络攻击者可以读写XX的文件，甚至可以获得对被攻击的计算机的控制权。

防止在正常程序中隐藏特洛伊木马的主要是人们在生成文件时，对每一个文件进行数字签名，而在运行文件时通过对数字签名的检查来判断文件是否被修改，从而确定文件中是否含有特洛伊木马。

避免下载可疑程序并拒绝执行，运用网络扫描软件定期监视内部主机上的监听TCP服务。

2.4.2邮件炸弹

邮件炸弹是最古老的匿名攻击之一，通过设置一台机器不断的大量的向同以地址发送电子邮件，攻击者能够耗尽接受者网络的带宽，占据邮箱的空间，使用户的存储空间消耗殆尽，从而阻止用户对正常邮件的接收，妨碍计算机的正常工作。

此种攻击经常出现在网络黑客通过计算机网络对某一目标的报复活动中。

防止邮件炸弹的方法主要有通过配置路由器，有选择地接收电子邮件，对邮件地址进行配置，自动删除来自同一主机的过量或重复消息，也可以使自己的SMTP连接只能达成指定的服务器，从而免受外界邮件的侵袭。

2.4.3过载攻击

过载攻击是攻击者通过服务器长时间发出大量无用的请求，使被攻击的服务器一直处于繁忙的状态，从而无法满足其他用户的请求。

过载攻击中被攻击者用的最多的一种方法是进程攻击，它是通过大量地进行人为的增大CPU的工作量，耗费CPU的工作时间，使其它的用户一直处于等待状态。

防止过载攻击的方法有：

限制单个用户所拥有的最大进程数；杀死一些耗时的进程。

然而，不幸的是这两种方法都存在着一定的负面效应。

通过对单个用户所拥有的最大进程数的限制和耗时进程的删除，会使用户某些正常的请求得不到系统的响应，从而出现类似拒绝服务的现象。

通常，管理员可以使用网络监视工具来发现这种攻击，通过主机列表和网络地址列表来的所在，也可以登录防火墙或路由器来发现攻击究竟是来自于网络内部还是网络外部。

另外，还可以让系统自动检查是否过载或者重新启动系统。

2.4.4淹没攻击

正常情况下，TCP连接建立要经过3次握手的过程，即客户机向客户机发送SYN请求信号；目标主机收到请求信号后向客户机发送SYN/ACK消息；客户机收到SYN/ACK消息后再向主机发送RST信号并断开连接。

TCP的这三次握手过程为人们提供了攻击网络的机会。

攻击者可以使用一个不存在或当时没有被使用的主机的IP地址，向被攻击主机发出SYN请求信号，当被攻击主机收到SYN请求信号后，它向这台不存在IP地址的伪装主机发出SYN/消息。

由于此时的主机IP不存在或当时没有被使用所以无法向主机发送RST，因此，造成被攻击的主机一直处于等待状态，直至超时。

如果攻击者不断的向被攻击的主机发送SYN请求，被攻击主机就一直处于等待状态，从而无法响应其他用户请求。

对付淹没攻击的最好方法就是实时监控系统处于SYN-RECEIVED状态的连接数，当连接数超过某一给定的数值时，实时关闭这些连接。

3网络安全技术

3.1加密技术

3.1.1对称加密技术

在对称加密技术中,对信息的加密和解密都使用相同的钥,也就是说一把钥匙开一把锁.这种加密方法可简化加密处理过程,信息交换双方都不必彼此研究和交换专用的加密算法。

如果在交换阶段私有密钥未曾泄漏，那么机密性和报文完整性就可以得以保证。

对称加密技术也存在一些不足，如果交换一方有N个交换对象，那么他就要维护N个私有密钥，对称加密存在的另一个问题是双方共享一把私有密钥，交换双方的任何信息都是通过这把密钥加密后传送给对方。

如三重DES是DES（数据加密标准）的一种变形，这种方法使用两个独立的56位密钥对信息进行3次加密，从而使有效密钥长度达到112位。

3.1.2非对称加密技术

在非对称加密体系中，密钥被分解为一对（即公开密钥和私有密钥）。

这对密钥中任何一把都可以作为公开密钥（加密密钥）通过非保密方式向他人公开，而另一把作为私有密钥（解密密钥）加以保存。

公开密钥用于加密，私有密钥用于解密，私有密钥只能有生成密钥的交换方掌握，公开密钥可广泛分布，但它只对应于生成密钥的交换方。

非对称加密方式可以使通信双方无须事先交换密钥就可以建立安全通信，广泛应用于身份认证、数字签名等信息交换领域。

非对称加密体系一般是建立在某些已知的数学难题之上，是计算机复杂性理论发展的必然结果。

最具有代表性是RSA公钥密码体制。

3.1.3RSA算法

RSA算法是Rivest、Shamir和Adleman于1977年提出的第一个完善的公钥密码体制。

其安全性是基于分散大整数的困难性。

在RSA体制中使用了这样一个基本事实：

到目前为止，无法找到一个有效的算法来分散两大素数之积。

RSA算法的描述如下：

公开密钥：

n=pq（p、q分别为两个互异的大素数，p、q必须保密）e与（p-1）（q-1）互素私有密钥：

d=e-1{mod（p-1）（q-1）}加密：

c=me（modn），其中m为明文，c为密文。

解密：

m=cd（modn）利用目前已经掌握的只是和理论，分解2048bit的大整数已经超过了64位计算机的运算能力，因此在目前和预见的将来，它是足够安全的。

3.2注册与认证管理

3.2.1认证机构

CA就是这样一个确保信任度的权威实体，它的主要职责是频发证书、验证用户身份的真实性。

由CA签发的网络用户电子身份证明一证书，任何相信该CA的人，按照第三方信任原则，也都应当相信持有证明的该用户。

CA也要采取一系列相应的措施来防止电子证书被伪造或篡改。

构建一个具有较强安全性的CA是至关重要的，这不仅与密码学有关系，而且还与整个PKI系统的构架和模型有关。

3.2.2注册机构

RA是用户和CA的借口，它所获得的用户标识的准确性是CA发给证书的基础。

RA不仅要支持面对面的登记，也必须支持远程登记。

要确保整个PKI系统的安全、灵活，就必须设计和实现网络化、安全的且易于操作的RA系统。

3.2.3密钥备份和恢复

为了保证数据的安全性，应定期更新密钥和恢复意外损坏的密钥是非常重要的，设计和实现健全的密钥管理方案，保证安全的密钥备份、更新、恢复，也是关系到整个PKI系统强健性、安全性、可用性的重要因素。

3.2.4证书管理与撤销系统

证书是用来证明证书持有者身份的电子介质，它是用来绑定证书持有者身份和其相应公钥的。

通常，这种绑定在已颁发证书的整个生命周期里是有效的。

但是，有时也会出现一个已颁发证书不再有效的情况这就需要进行证书撤销，证书撤销的理由是各种各样的。

可能包括工作变动到对密钥怀疑等一系列原因。

证书撤销系统实现是利用周期性的发布机制撤销证书或采用在线查询机制，随时查询被撤销的证书。

4安全技术的研究

4.1安全技术的研究现状和方向

我国信息网络安全研究历经了通信保密、数据保护两个阶段，正在进入网络信息安全研究阶段，现已开发研制出防火墙、安全路由器、安全网关、黑客入侵检测、系统脆弱性扫描软件等。

但因信息网络安全领域是一个综合、交叉的学科领域它综合了利用数学、物理、生化信息技术和计算机技术的诸多学科的长期积累和最新发展成果，提出系统的、完整的和协同的解决信息网络安全的方案，目前应从安全体系结构、安全协议、现代密码理论、信息分析和监控以及信息安全系统五个方面开展研究，各部分相互协同形成有机整体。

根据防火墙所采用的技术不同，将它分为4个基本类型：

包过滤型、网络地址转换-NAT、代理型和监测型。

4.2包过滤型

包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术。

网络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会含一些特定信息，防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点，一单发现来自危险站点的数据包，防火墙便会将这些数据拒之门外。

系统管理员也可以根据实际情况灵活制定判断规则。

包过滤技术的优点是简单实用，实现成本较低，在应用环境比较简单的情况下，能够以较小的代价在一定程度上保证系统的安全。

但包过滤技术的缺陷也是明显的。

包过滤技术是一种完全基于网络层的安全技术，只能根据数据包的来源、目标和端口等网络信息进行判断，无法识别基于应用层的恶意侵入。

4.3代理型

代理型的安全性能要高过包过滤型，并已经开始向应用层发展。

代理服务器位于客户机与服务器之间，完全阻挡了二者间的数据交流。

从客户机来看，代理服务器相当于一台真正的服务器；从服务器来看，代理服务器又是一台真正的客户机。

当客户机需要使用服务器上的数据时，首先将数据请求发给代理服务器，代理服务器再根据这一请求向服务器索取数据，然后再由代理服务器将数据传输给客户机。

由于外部系统与内部服务器之间没有直接的数据通道，外部的恶意侵害也就很难伤害到企业内部网络系统。

代理型防火墙的优点是安全性较高，可以针对应用层进行侦测和扫描，对付基于应用层的侵入和病毒都十分有效。

其缺点是对系统的整体性能有较大的影响，而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置，大大增加了系统管理的复杂性。

实际上，作为当前防火墙产品的主流趋势，大多数代理服务器（也称应用网关）也集成了包过滤技术，这两种技术的混合应用显然比单独使用具有更大的优势。

由于这种产品是基于应用的，应用网关能提供对协议的过滤。

正是由于应用网关的这些特点，使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持和对网络整体性能的影响上。

网络环境的复杂性、多变性，以及信息系统的脆弱性，决定了网络安全威胁的客观存在。

我国日益开放并融入世界，但加强监管和建立保护屏障不可或缺。

可以说，在信息化社会里，没有信息安全的保障，国家就没有安全的屏障。

信息安全的重要性怎么强调都不过分。

此外，计算机网络的安全问题也越来越受到人们的重视，网络安全不仅仅是技术问题，同时也是一个安全管理问题。

我们必须综合考虑安全因素，制定合理的目标、技术和相关的配套法规等。

随着计算机网络技术的进一步发展，网络安全防护技术也必然随着网络应用的发展而不断发展。

希望在不久的将来，我国信息安全工作能跟随信息化发展。

参考文献：

[1]顾巧论，贾春福.计算机网络安全.清华大学出版社

[2]汤小丹，梁红兵.计算机操作系统.西安电子科技大学出版社

[3]吴钰锋等.网络安全中的密码技术研究及其应用[J].真空电子技术.2004.34-36

[4]谢希仁.计算机网络.电子工业出版社

[5]李伟.网络安全实用技术标准教程.清华大学出版社