计算机网络安全论文.docx
《计算机网络安全论文.docx》由会员分享，可在线阅读，更多相关《计算机网络安全论文.docx（18页珍藏版）》请在冰豆网上搜索。
计算机网络安全论文
计算机网络安全论文
关键字
黑客防火墙网络安全策略
内容摘要
文中就信息网络安全内涵发生的根本变化，网络安全与防护、黑客技术、防火墙技术的概念、作用，阐述我国发展民族信息安全体系的重要性及建立有中国特色的网络安全体系的必要性。
论述了网络防火墙安全技术的分类及其主要技术特征，并且介绍了网络安全的各种防护方法及相关知识。
Keyword
Safestrategyofafirewallnetwork
Contentssummary
Forthebasicvariety,thenetworksafetyandprotection,aconceptwithtechnicaltechnique,firewall,functionofthesafecontentoccurrenceoftheinformationnetwork,importanceandestablishmentsthatelaboratethesafesystemoftheourcountrydevelopmentraceinformationcontainthenetworknecessityofthesafesystemofChinesespecialfeaturesinthetext.Discussedsafeandtechnicalclassificationanditsmaintechniquecharacteristicsofthenetworkfirewalls,andintroducedvariousprotectionmethodandrelatedknowledgesofthenetworksafety.
第一章背景和意义
随着计算机的发展，人们越来越意识到网络的重要性，通过网络，分散在各处的计算机被网络联系在一起。
做为网络的组成部分，把众多的计算机联系在一起，组成一个局域网，在这个局域网中，可以在它们之间共享程序、文档等各种资源；还可以通过网络使多台计算机共享同一硬件，如打印机、调制解调器等；同时我们也可以通过网络使用计算机发送和接收传真，方便快捷而且经济。
21世纪全世界的计算机都将通过Internet联到一起，信息安全的内涵也就发生了根本的变化。
它不仅从一般性的防卫变成了一种非常普通的防范，而且还从一种专门的领域变成了无处不在。
当人类步入21世纪这一信息社会、网络社会的时候，我国将建立起一套完整的网络安全体系，特别是从政策上和法律上建立起有中国自己特色的网络安全体系。
一个国家的信息安全体系实际上包括国家的法规和政策，以及技术与市场的发展平台。
我国在构建信息防卫系统时，应着力发展自己独特的安全产品，我国要想真正解决网络安全问题，最终的办法就是通过发展民族的安全产业，带动我国网络安全技术的整体提高。
网络安全产品有以下几大特点：
第一，网络安全来源于安全策略与技术的多样化，如果采用一种统一的技术和策略也就不安全了；第二，网络的安全机制与技术要不断地变化；第三，随着网络在社会个方面的延伸，进入网络的手段也越来越多，因此，网络安全技术是一个十分复杂的系统工程。
为此建立有中国特色的网络安全体系，需要国家政策和法规的支持及集团联合研究开发。
安全与反安全就像矛盾的两个方面，总是不断地向上攀升，所以安全产业将来也是一个随着新技术发展而不断发展的产业。
信息安全是国家发展所面临的一个重要问题。
对于这个问题，我们还没有从系统的规划上去考虑它，从技术上、产业上、政策上来发展它。
政府不仅应该看见信息安全的发展是我国高科技产业的一部分，而且应该看到，发展安全产业的政策是信息安全保障系统的一个重要组成部分，甚至应该看到它对我国未来电子化、信息化的发展将起到非常重要的作用。
第二章网络安全现状
§2.1网络安全面临的挑战
Internet对于任何一个具有网络连接和ISP帐号的人都是开放的，事实上它本身被设计成了一个开放的网络。
因此它本身并没有多少内置的能力使信息安全，从一个安全的角度看，Internet是天生不安全的。
然而，商界和个人现在都想在Internet上应用一些安全的原则，在Internet发明人当初没有意识到的方式下有效的使用它。
对于Internet用户一个新的挑战是如何在允许经授权的人在使用它的同时保护敏感信息。
安全是什么？
简单的说在网络环境里的安全指的是一种能够识别和消除不安全因素的能力。
安全的一般性定义也必须解决保护公司财产的需要，包括信息和物理设备（例如计算机本身）。
安全的想法也涉及到适宜性和从属性概念。
负责安全的任何一个人都必须决定谁在具体的设备上进行合适的操作，以及什么时候。
当涉及到公司安全的时候什么是适宜的在公司与公司之间是不同的，但是任何一个具有网络的公司都必须具有一个解决适宜性、从属性和物理安全问题的安全策略。
伴随着现代的、先进的复杂技术例如局域网（LAN）和广域网（WAN）、Internet网以及VPN。
安全的想法和实际操作已经变得比简单巡逻网络边界更加复杂。
对于网络来说一个人可以定义安全为一个持续的过程，在这个过程中管理员将确保信息仅仅被授权的用户所共享。
建立有效的安全矩阵
尽管一个安全系统的成分和构造在公司之间是不同的，但某些特征是一致的，一个可行的安全矩阵是高度安全的和容易使用的，它实际上也需要一个合情合理的开销。
一个安全矩阵由单个操作系统安全特征、日志服务和其他的装备包括防火墙，入侵检测系统，审查方案构成。
一个安全矩阵是灵活的可发展的，拥有很高级的预警和报告功能
特点描述：
允许访问控制：
通过只允许合法用户访问来达到的目的,最大扩展通信的功能同时最小化黑客访问的可能性,当黑客已经访问到的资源时尽可能地减小破坏性。
容易使用：
如果一个安全系统很难使用，员工可能会想办法绕开它,要保证界面是直观的。
合理的花费：
不仅要考虑初始的花费还要考虑以后升级所需要的费用。
还要考虑用于管理所要花的费用；需要多少员工，达到什么样的水平来成功的实施和维护系统。
灵活性和伸缩性：
系统要能让公司按其想法做一些商业上的事情，系统要随着公司的增长而加强
优秀的警报和报告：
当一个安全破坏发生时，系统要能快速地通知管理员足够详细的内容。
要配置系统尽可能正确地对发出警告。
可以通过Email，计算机屏幕，pager等等来发出通知。
安全机制：
根据ISO提出的，安全机制是一种技术，一些软件或实施一个或更多安全服务的过程。
ISO把机制分成特殊的和普遍的。
一个特殊的安全机制是在同一时间只对一种安全服务上实施一种技术或软件。
加密就是特殊安全机制的一个例子。
尽管可以通过使用加密来保证数据的保密性，数据的完整性和不可否定性，但实施在每种服务时需要不同的加密技术。
一般的安全机制都列出了在同时实施一个或多个安全服务的执行过程。
特殊安全机制和一般安全机制不同的另一个要素是一般安全机制不能应用到OSI参考模型的任一层上。
普通的机制包括：
•信任的功能性：
指任何加强现有机制的执行过程。
例如，当升级的TCP/IP堆栈或运行一些软件来加强的Novell，NT,UNIX系统认证功能时，使用的就是普遍的机制。
•事件检测：
检查和报告本地或远程发生的事件
•审计跟踪：
任何机制都允许监视和记录网络上的活动
•安全恢复：
对一些事件作出反应，包括对于已知漏洞创建短期和长期的解决方案，还包括对受危害系统的修复。
额外的安全标准
除了ISO7498-2还存在一些其它政府和工业标准。
主要包括
•BritishStandard7799：
概括了特殊的“控制”，如系统访问控制和安全策略的使用以及物理安全措施。
目的为了帮助管理者和IT专家建立程序来保持信息的安全性。
•公共标准
•桔皮书（美国）
桔皮书
为了标准化安全的级别，美国政府发表了一系列的标准来定义一般安全的级别。
这些标准发表在一系列的书上通常叫做“彩虹系列”，因为每本书的封面的颜色都是不同的。
由为重要的是桔皮书。
它定义了一系列的标准，从D级别开始（最低的级别）一直到A1（最安全）级。
网络安全可能面临的挑战
垃圾邮件数量将变本加厉。
根据电子邮件安全服务提供商MessageLabs公司最近的一份报告，预计2003年全球垃圾邮件数量的增长率将超过正常电子邮件的增长率，而且就每封垃圾邮件的平均容量来说，也将比正常的电子邮件要大得多。
这无疑将会加大成功狙击垃圾邮件的工作量和难度。
目前还没有安装任何反垃圾邮件软件的企业公司恐怕得早做未雨绸缪的工作，否则就得让自己的员工们在今后每天不停地在键盘上按动“删除键”了。
另外，反垃圾邮件软件也得不停升级，因为目前垃圾邮件传播者已经在实行“打一枪换一个地方”的游击战术了。
即时通讯工具照样难逃垃圾信息之劫。
即时通讯工具以前是不大受垃圾信息所干扰的，但现在情况已经发生了很大的变化。
垃圾邮件传播者会通过种种手段清理搜集到大量的网络地址，然后再给正处于即时通讯状态的用户们发去信息，诱导他们去访问一些非法收费网站。
更令人头疼的是，目前一些推销合法产品的厂家也在使用这种让人厌烦的手段来让网民们上钩。
目前市面上还没有任何一种反即时通讯干扰信息的软件，这对软件公司来说无疑也是一个商机。
内置防护软件型硬件左右为难。
现在人们对网络安全问题受重视的程度也比以前大为提高。
这种意识提高的表现之一就是许多硬件设备在出厂前就内置了防护型的软件。
这种做法虽然前几年就已经出现，预计在今后的几年中将会成为一种潮流。
但这种具有自护功能的硬件产品却正遭遇着一种尴尬，即在有人欢迎这种产品的同时，也有人反对这样的产品。
往好处讲，这种硬件产品更容易安装，整体价格也相对低廉一些。
但它也有自身的弊端：
如果企业用户需要更为专业化的软件服务时，这种产品就不会有很大的弹性区间。
企业用户网络安全维护范围的重新界定。
目前各大企业公司的员工们在家里通过宽带接入而登录自己公司的网络系统已经是一件很寻常的事情了。
这种工作新方式的出现同样也为网络安全带来了新问题，即企业用户网络安全维护范围需要重新界定。
因为他们都是远程登录者，并没有纳入传统的企业网络安全维护的“势力范围”之内。
另外，由于来自网络的攻击越来越严重，许多企业用户不得不将自己网络系统内的每一台PC机都装上防火墙、反侵入系统以及反病毒软件等一系列的网络安全软件。
这同样也改变了以往企业用户网络安全维护范围的概念。
个人的信用资料。
个人信用资料在公众的日常生活中占据着重要的地位。
以前的网络犯罪者只是通过网络窃取个人用户的信用卡账号，但随着网上窃取个人信用资料的手段的提高，预计2004年这种犯罪现象将会发展到全面窃取公众的个人信用资料的程度。
如网络犯罪者可以对的银行存款账号、社会保险账号以及最近的行踪都能做到一览无余。
如果不能有效地遏制这种犯罪趋势，无疑将会给公众的日常人生活带来极大的负面影响。
第三章计算机网络面临的主要威胁
§3.1人为的无意失误
人为的无意失误：
如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。
企业用户网络安全维护范围的重新界定。
目前各大企业公司的员工们在家里通过宽带接入而登录自己公司的网络系统已经是一件很寻常的事情了。
这种工作新方式的出现同样也为网络安全带来了新问题，即企业用户网络安全维护范围需要重新界定。
因为他们都是远程登录者，并没有纳入传统的企业网络安全维护的“势力范围”之内。
另外，由于来自网络的攻击越来越严重，许多企业用户不得不将自己网络系统内的每一台PC机都装上防火墙、反侵入系统以及反病毒软件等一系列的网络安全软件。
这同样也改变了以往企业用户网络安全维护范围的概念。
个人的信用资料。
个人信用资料在公众的日常生活中占据着重要的地位。
以前的网络犯罪者只是通过网络窃取个人用户的信用卡账号，但随着网上窃取个人信用资料的手段的提高，预计2003年这种犯罪现象将会发展到全面窃取美国公众的个人信用资料的程度。
如网络犯罪者可以对的银行存款账号、社会保险账号以及最近的行踪都能做到一览无余。
如果不能有效地遏制这种犯罪趋势，无疑将会给美国公众的日常人生活带来极大的负面影响。
§3.2人为的恶意失误
人为的恶意攻击：
这是计算机网络所面临的最大威胁，敌手的攻击和计算机犯罪就属于这一类。
此类攻击又可以分为以下两种：
一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性；另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。
这两种攻击均可对计算机网络造成极大的危害，并导致机密数据的泄漏。
黑客（hacker）
源于英语动词hack，意为“劈，砍”，引申为“干了一件非常漂亮的工作”。
在早期麻省理工学院的校园俚语中，“黑客”则有“恶作剧”之意，尤指手法巧妙、技术高明的恶作剧。
在日本《新黑客词典》中，对黑客的定义是“喜欢探索软件程序奥秘，并从中增长了其个人才干的人。
他们不象绝大多数电脑使用者那样，只规规矩矩地了解别人指定了解的狭小部分知识。
”由这些定义中，我们还看不出太贬义的意味。
他们通常具有硬件和软件的高级知识，并有能力通过创新的方法剖析系统。
“黑客”能使更多的网络趋于完善和安全，他们以保护网络为目的，而以不正当侵入为手段找出网络漏洞。
另一种入侵者是那些利用网络漏洞破坏网络的人。
他们往往做一些重复的工作（如用暴力法破解口令），他们也具备广泛的电脑知识，但与黑客不同的是他们以破坏为目的。
这些群体成为“骇客”。
当然还有一种人兼于黑客与入侵者之间。
黑客攻击的目的：
取目标系统的非法访问---获得不该获得的访问权限b、获取所需资料---获得黑客想要获得的相关资料，包括科技情报、个人资料、金融帐户、技术成果、系统信息等等c、篡改有关数据---篡改以上资料，达到非法目的d、利用有关资源---利用这台机器的资源对其它目标进行攻击，发布虚假信息，占用存储空间
黑客攻击的方式:
远程攻击---远程攻击指外部黑客通过各种手段，从该子网以外的地方向该子网或者该子网内的系统发动攻击。
远程攻击的时间一般发生在目标系统当地时间的晚上或者凌晨时分，远程攻击发起者一般不会用自己的机器直接发动攻击，而是通过跳板的方式，对目标进行迂回攻击，以迷惑系统管理员，防止暴露真实身份。
黑客攻击所采用的途径：
黑客之所以能得手，无非是利用了各种安全脆弱点，其中包括：
管理漏洞---如两台服务器同一用户/密码，则入侵了A服务器，B服务器也不能幸免；软件漏洞---如Sun系统上常用的NetscapeEnterPriseServer服务，只需输入一个路径，就可以看到Web目录下的所有文件清单；又如很多程序只要接受到一些异常或者超长的数据和参数，就会导致缓冲区溢出；结构漏洞---比如在某个重要网段由于交换机、集线器设置不合理，造成黑客可以监听网络通信流的数据；又如防火墙等安全产品部署不合理，有关安全机制不能发挥作用，麻痹技术管理人员而酿成黑客入侵事故；信任漏洞---比如本系统过分信任某个外来合作伙伴的机器，一旦这台合作伙伴的机器被黑客入侵，则本系统的安全受严重威胁；
了。
§3.3网络软件的漏洞和“后门
无论多么优秀的网络软件，都可能存在这样那样的缺陷和漏洞，而那些水平较高的黑客就将这些漏洞和缺陷作为网络攻击的首选目标。
在曾经出现过的黑客攻击事件中，大部分都是因为软件安全措施不完善所招致的苦果。
一般，软件的“后门”都是软件公司的设计和编程人员为了为方便设计而设置的，很少为外人所知。
不过，一旦“后门”公开或被发现，其后果将不堪设想。
后门是一种登录系统的方法，它不仅绕过系统已有的安全设置，而且还能挫败系统上各种增强的安全设置。
后门包括从简单到奇特，有很多的类型。
简单的后门可能只是建立一个新的账号，或者接管一个很少使用的账号；复杂的后门（包括木马）可能会绕过系统的安全认证而对系统有安全存取权。
例如一个login程序，你当输入特定的密码时，你就能以管理员的权限来存取系统。
后门能相互关联，而且这个技术被许多黑客所使用。
例如，黑客可能使用密码破解一个或多个账号密码，黑客可能会建立一个或多个账号。
一个黑客可以存取这个系统，黑客可能使用一些技术或利用系统的某个漏洞来提升权限。
黑客可能使用一些技术或利用系统的某个漏洞庭湖来提升权限。
黑客可能会对系统的配置文件进行小部分的修改，以降低系统的防卫性能。
也可能会安装一个木马程序，使系统打开一个安全漏洞，以利于黑客完全掌握系统。
以上是在网络上常见的对“后门”的解释，其实我们可以用很简单的一句话来概括它：
后门就是留在计算机系统中，供某位特殊使用都通过某种特殊方式控制计算机系统的途径！
后门的分类
后门可以按照很多方式来分类，标准不同自然分类就不同，为了便于大家理解，我们从技术方面来考虑后门程序的分类方法：
1.网页后门
此类后门程序一般都是服务器上正常的web服务来构造自己的连接方式，比如现在非常流行的Asp、cgi脚本后门等。
2。
线程插入后门
利用系统自身的某个服务或者线程，将后门程序插入到其中，是现在最流行的一个后门技术。
3扩展后门
所谓的“扩展”，是指在功能上有大的提升，比普通的单一功能的后门有很强的使用性，这种后门本身就相当于一个小的安全工具包，能实现非常多的常驻见安全功能。
4.c/s后门
和传统的木马程序类似的控制方法，采用“客记端/服务端”的控制方式，通过某种特定的访问方式来启动后门进而控制服务器。
第四章网络安全的技术和措施
§4.1物理安全策略
物理安全策略的目的是保护计算机系统、网络服务器、打印机等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。
抑制和防止电磁泄漏（即TEMPEST技术）是物理安全策略的一个主要问题。
目前主要防护措施有两类：
一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合。
另一类是对辐射的防护，这类防护措施又可分为以下两种：
一是采用各种电磁屏蔽措施，如对设备的金属屏蔽和各种接插件的屏蔽，同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离；二是干扰的防护措施，即在计算机系统工作的同时，利用干扰装置产生一种与计算机系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作频率和信息特征。
§4.2访问控制策略
访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非常访问。
它也是维护网络系统安全、保护网络资源的重要手段。
各种安全策略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心策略之一。
下面我们分述各种访问控制策略。
1入网访问控制
入网访问控制为网络访问提供了第一层访问控制。
它控制哪些用户能够登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。
用户的入网访问控制可分为三个步骤：
用户名的识别与验证、用户口令的识别与验证、用户帐号的缺省限制检查。
三道关卡中只要任何一关未过，该用户便不能进入该网络。
对网络用户的用户名和口令进行验证是防止非法访问的第一道防线。
用户注册时首先输入用户名和口令，服务器将验证所输入的用户名是否合法。
如果验证合法，才继续验证用户输入的口令，否则，用户将被拒之网络之外。
用户的口令是用户入网的关键所在。
为保证口令的安全性，用户口令不能显示在显示屏上，口令长度应不少于6个字符，口令字符最好是数字、字母和其他字符的混合，用户口令必须经过加密，加密的方法很多，其中最常见的方法有：
基于单向函数的口令加密，基于测试模式的口令加密，基于公钥加密方案的口令加密，基于平方剩余的口令加密，基于多项式共享的口令加密，基于数字签名方案的口令加密等。
经过上述方法加密的口令，即使是系统管理员也难以得到它。
用户还可采用一次
性用户口令，也可用便携式验证器（如智能卡）来验证用户的身份。
网络管理员应该可以控制和限制普通用户的帐号使用、访问网络的时间、方式。
用户名或用户帐号是所有计算机系统中最基本的安全形式。
用户帐号应只有系统管理员才能建立。
用户口令应是每用户访问网络所必须提交的“证件”、用户可以修改自己的口令，但系统管理员应该可以控制口令的以下几个方面的限制：
最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次数。
用户名和口令验证有效之后，再进一步履行用户帐号的缺省限制检查。
网络应能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。
当用户对交费网络的访问“资费”用尽时，网络还应能对用户的帐号加以限制，用户此时应无法进入网络访问网络资源。
网络应对所有用户的访问进行审计。
如果多次输入口令不正确，则认为是非法用户的入侵，应给出报警信息。
2网络的权限控制
网络的权限控制是针对网络非法操作所提出的一种安全保护措施。
用户和用户组被赋予一定的权限。
网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。
可以指定用户对这些文件、目录、设备能够执行哪些操作。
受托者指派和继承权限屏蔽（IRM）可作为其两种实现方式。
受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。
继承权限屏蔽相当于一个过滤器，可以限制子目录
从父目录那里继承哪些权限。
我们可以根据访问权限将用户分为以下几类：
（1）特殊用户（即系统管理员）；
（2）一般用户；（3）审计用户.3.4目录级安全控制
3目录级安全控制
网络应允许控制用户对目录、文件、设备的访问。
用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。
对目录和文件的访问权限一般有八种：
系统管理员权限（Supervisor）、读权限（Read）、写权限（Write）、创建权限（Create）、删除权限（Erase）、修改权限（Modify）、文件查找权限（FileScan）、存取控制权限（AccessControl）。
用户对文件或目标的有效权限取决于以下二个因素：
用户的受托者指派、用户所在组的受托者指派、继承权限屏蔽取消的用户权限。
一个网络系统管理员应当为用户指定适当的访问权限，这些访问权限控制着用户对服务器的访问。
八种访问权限的有效组合可以让用户有效地完成工作，同时又能有效地控制用户对服务器资源的访问，从而加强了网络和服务器的安全性。
4属性安全控制
当用文件、目录和网络设备时，网络系统管理员应给文件、目录等指定访问属性。
属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。
属性安全在权限安全的基础上提供更进一步的安全性。
网络上的资源都应预先标出一组安全属性。
用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力。
属性设置可以覆盖已经指定的任何受托者指派和有效权限。
属性往往能控制以下几个方面的权限：
向某个文件写数据、拷贝一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享、系统属性等。
网络的属性可以保护重要的目录和文件，防止用户对目录和文
件的误删除、、执行修改、显示等。
5网络服务器安全控制
网络允许在服务器控制台上执行一系列操作。
用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。
网络服务器的安全控制包括可以设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。
6网络监测和锁定控制
网络管理员应对网络实施监控，服务器应记录用户对网络资源的访问，
升级会员 