1. 某单位的办公网络,如何提高安全性
1.内外网隔离及访问控制
在内部网与外部网之间,或在内部网不同网络安全域之间,设置防火墙(包括分组过滤与应用代理)实现内、外网的隔离与访问控制是保护内部网安全的最主要、同时也是最有效、最经济的措施之一。
利用交换机的端口安全功能,防止局域网内部攻击, 如MAC地址攻击、ARP攻击、IP/MAC地址欺骗等
2.网络安全检测
●网络安全性分析系统
网络系统的安全性取决于网络系统中最薄弱的环节。如何及时发现网络系统中最薄弱的环节?如何最大限度地保证网络系统的安全?最有效的方法是定期对网络系统进行安全性分析,及时发现并修正存在的弱点和漏洞。
●网络安全检测工具
通常是一个网络安全性评估分析软件,其功能是用实践性的方法扫描分析网络系统,检查报告系统存在的弱点和漏洞,建议补救措施和安全策略,达到增强网络安全性的目的。
3.审计与监控
审计是记录用户使用计算机网络系统进行所有活动的过程,它是提高安全性的重要工具。
对于确定是否有网络攻击的情况,审计信息对于确定问题和攻击源很重要。同时,系统事件的记录能够更迅速和系统地识别问题,并且它是后面阶段事故处理的重要依据。另外,通过对安全事件的不断收集与积累并且加以分析,有选择性地对其中的某些站点或用户进行审计跟踪,以便对发现或可能产生的破坏性行为提供有力的证据。
因此,除使用一般的网管软件和系统监控管理系统外,还应使用目前以较为成熟的网络监控设备或实时入侵检测设备,以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻断,从而防止针对网络的攻击与犯罪行为。
4.网络反病毒
在网络环境下,计算机病毒有巨大的威胁性和破坏力,因此,计算机病毒的防范是网络安全性建设中重要的一环。
●病毒预防技术:它通过自身常驻系统内存,优先获得系统的控制权,监视和判断系统中是否有病毒存在,进而阻止计算机病毒进入计算机系统和对系统进行破坏。
●检测病毒技术:它是通过对计算机病毒的特征来进行判断的技术,如自身校验、关键字、文件长度的变化等。
●消毒技术:它通过对计算机病毒的分析,开发出具有删除病毒程序并恢复原文件的软件。
5.网络备份系统
备份系统的目的是尽可能快地全盘恢复运行计算机系统所需的数据和系统信息。备份不仅在网络系统硬件故障或人为失误时起到保护作用,也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用,同时亦是系统灾难恢复的前提之一。
根据系统安全需求可选择的备份机制有:场地内高速度、大容量自动的数据存储、备份与恢复;场地外的数据存储、备份与恢复;对系统设备的备份。
一般的数据备份操作有三种:(1)全盘备份,即将所有文件写入备份介质;(2)增量备份,只备份那些上次备份之后更改过的文件,是最有效的备份方法;(3)差分备份,备份上次全盘备份之后更改过的所有文件,其优点是只需两组磁带就可恢复最后一次全盘备份的磁带和最后一次差分备份的磁带。
2. DAS的网络安全
产品名称:网络分析系统
英文全称:Deep Analysis System
字母简称:DAS 信息泄露事故频发
企业内部人员有意通过电子邮件、聊天工具等泄露重要信息,使竞争对手受益,令企业在商业竞争中屡战屡败。
通过网络散布谣言,侮辱、诽谤他人
由于互联网的开放性,任何人有机会在网上论坛、博客、BBS等处发表言论,给别有用心的人提供可乘之机。这些人在网上捏造事实、诽谤他人,造成恶劣影响,明知道是企业内部人员所为,却无法准确定位。网络流量突变,无法找到原因
单位网络数据出现拥堵,无法确定哪些人在占用网络资源,也无法得知员工都在浏览哪些网站。 出现企业OA、 财务管理等关键业务受阻,企业办公网络突然瘫痪等问题时找不到原因;对IP,访问站点,聊天工具,论坛发言等网上身份及行为的记录没有做统计分析;企业系统软硬件的职能没有得到发挥。
功能型号 产品型号 提供从中型到集团型的多种设备型号 硬件规格 1U~4U上架设备,具体规格见实际硬件型号说明 网络接入 支持静态IP、PPPoE客户端、DHCP客户端接入网络 网络模式 支持对VLAN、PPPoE、三层交换、DHCP等各种网络下的数据分析 行为记录 支持对网页、邮件、论坛博客、搜索、聊天、游戏、证券等网络行为记录 内容还原 支持对论坛、博客、邮件、聊天、搜索等网络行为的内容内容还原 实时监控 支持对所有上网行为的实时监控 数据统计 支持对所有行为、内容的深度、频度、轨迹、关联等统计、分析 分析报表 支持对所有记录、统计的报表生成及排版打印 分级部署 支持分布式部署,集中式管理 镜像监听 支持HUB、流镜像、端口镜像、二层镜像、三层镜像等各种数据源解析 策略报警 支持对所有上网行为的自定义策略报警 关联分析 支持对虚拟身份的轨迹、行为、历史等的关联分析 系统维护 提供基于WEB和命令行的系统管理,支持远程升级 通过部署“DAS网络分析系统”,可有效进行虚拟身份、网络行为记录跟踪,还原网络的使用状况,并结合真实人员与虚拟身份的关联,为决策提供客观、有效的网络行为、网络流量等数据资料,最终保障核心业务的顺利进行。
“DAS网络分析系统”具有全面的网络分析功能,提供网页浏览、邮件收发、聊天、游戏、搜索等各种网络行为的记录以及相关的虚拟身份,同时提供高级的行为分析、监控报警、流量分析、统计报表、轨迹分析等各种实用功能,全面多角度分析网络运行状况。产品支持分布式部署,支持对现有网络状况无影响的旁路方式接入。 上网行为分析、统计报表输出、网络应用趋势图自动生成、下发策略报警、实时监控、网络流量分析、分布式部署、国家密码算法保护
DAS即直连方式存储,英文全称是Direct Attached Storage。
中文翻译成“直接附加存储”。顾名思义,在这种方式中,
存储设备是通过电缆(通常是SCSI接口电缆)直接到服务器的。I
IO(输入/输出)请求直接发送到存储设备。
DAS,也可称为SAS(Server-Attached Storage,服务器附加存储)。它依赖于服务器,其本身是硬件的堆叠,不带有任何存储操作系统。 优点:
1.能 实现大容量存储,将多个磁盘合并成一个逻辑磁盘,满足海量存储的需求2.可实现应用数据和操作系统的分离:操作系统一般存放本机硬盘中,而应用数据放置于阵列中3.能提高存取性能:操作单个文件资料,同时有多个物理磁盘在并行工作,运行速度比单个磁盘运行速度高4.实施简单:无须专业人员操作和维护,节省用户投资。
局限:
1.服务器本身容易成为系统瓶颈2.服务器发生故障,数据不可访问3.对于存在多个服务器的系统来说,设备分散,不便管理。同时多台服务器使用DAS时,存储空间不能在服务器之间动态分配,可能造成相当的资源浪费;4.数据备份操作复杂。 1) 服务器在地理分布上很分散,通过SAN(存储区域网络)或NAS(网络直接存储)在它们之间进行互连非常困难时(商店或银行的分支便是一个典型的例子);
2)存储系统必须被直接连接到应用服务器(如Microsoft Cluster Server或某些数据库使用的“原始分区”)上时;
3) 包括许多数据库应用和应用服务器在内的应用,它们需要直接连接到存储器上,群件应用和一些邮件服务也包括在内。
典型DAS结构如图所示
对于多个服务器或多台PC的环境,使用DAS方式设备的初始费用可能比较低,可是这种连接方式下,每台PC或服务器单独拥有自己的存储磁盘,容量的再分配困难;对于整个环境下的存储系统管理,工作烦琐而重复,没有集中管理解决方案。所以整体的拥有成本(TCO)较高。目前DAS基本被NAS所代替。下面是DAS与NAS的比较。
DAS:也可以是SOA架构中的Data Access Sevices. 它是用来创建Data Graph的, 而SOA中的关键(SDO)则是依赖于Data Graph存在的.
3. 网络安全与大数据技术应用探讨论文
网络安全与大数据技术应用探讨论文
摘要: 随着互联网技术的高速发展与普及,现如今互联网技术已经广泛应用于人们工作与生活之中,这给人们带来了前所未有的便利,但与此同时各种网络安全问题也随之显现。基于此,本文主要介绍了大数据技术在网络安全领域中的具体应用,希望在网络系统安全方面进行研究的同时,能够为互联网事业的持续发展提供可行的理论参考。
关键词: 网络安全;大数据技术;应用分析
前言
随着近年来互联网技术的不断深入,网络安全事故也随之频频发生。出于对网络信息安全的重视,我国于2014年成立了国家安全委员会,正式将网络安全提升为国家战略部署,这同时也表示我国网络信息安全角势不容乐观,网络攻击事件处于高发状态。木马僵尸病毒、恶意勒索软件、分布式拒绝服务攻击、窃取用户敏感信息等各类网络攻击事件的数量都处于世界前列。时有发生的移动恶意程序、APT、DDOS、木马病毒等网络攻击不仅会严重阻碍网络带宽、降低网络速度、并且对电信运营商的企业声誉也会产生一定影响。根据大量数据表明,仅仅依靠传统的网络防范措施已经无法应对新一代的网络威胁,而通过精确的检测分析从而在早期预警,已经成为现阶段网络安全能力的关键所在。
1网络安全问题分析
网络安全问题不仅涉及公民隐私与信息安全,更关乎国事安全,例如雅虎的信息泄露,导致至少五亿条用户信息被窃;美国棱镜门与希拉里邮件门等等事件都使得网络安全问题进一步升级、扩大。随着互联网构架日益复杂,网络安全分析的数据量也在与日俱增,在由TB级向PB级迈进的过程,不仅数据来源丰富、内容更加细化,数据分析所需维度也更为广泛。伴随着现阶段网络性能的增长,数据源发送速率更快,对安全信息采集的速度要求也就越高,版本更新延时等导致的Odav等漏洞日渐增多,网络攻击的影响范围也就进一步扩大;例如APT此类有组织、有目标且长期潜伏渗透的多阶段组合式攻击更加难以防范,唯有分析更多种类的安全信息并融合多种手段进行检测抵御。在传统技术架构中,大多使用结构化数据库来进行数据存储,但由于数据存储的成本过高,系统往往会将原始数据进行标准化处理后再进行存储,如此易导致数据的丢失与失真以及历史数据难以保存而造成的追踪溯源困难;同时对于嘈杂的大型、非结构化数据集的执行分析以及复杂查询效率很低,导致数据的实时性及准确性难以保证,安全运营效率不高,因此传统网络安全技术已经难以满足现阶段网络安全分析的新要求。大数据技术这一概念最初由维克托.迈尔.舍恩伯格与肯尼斯.库克耶在2008年出版的《大数据时代》一书中提出的,大数据是指不采用随机分析法,而是对所有的数据进行综合分析处理。大数据技术作为现阶段信息架构发展的趋势之首,其独有的高速、多样、种类繁多以及价值密度低等特点,近年来被广泛应用于互联网的多个领域中。大数据的战略意义在于能够掌握庞大的数据信息,使海量的原始安全信息的存储与分析得以实现、分布式数据库相比传统数据库的存储成本得以降低,并且数据易于在低廉硬件上的水平扩展,极大地降低了安全投入成本;并且伴随着数据挖掘能力的大幅提高,安全信息的采集与检测响应速度更加快捷,异构及海量数据存储的支持打造了多维度、多阶段关联分析的基础,提升了分析的深度与广度。对于网络安全防御而言,通过对不同来源的数据进行综合管理、处理、分析、优化,可实现在海量数据中极速锁定目标数据,并将分析结果实时反馈,对于现阶段网络安全防御而言至关重要。
2大数据在网络安全中的应用
将大数据运用到网络安全分析中,不仅能够实现数据的优化与处理,还能够对日志与访问行为进行综合处理,从而提高事件处理效率。大数据技术在网络安全分析的效果可从以下几点具体分析:
2.1数据采集效率
大数据技术可对数据进行分布式地采集,能够实现数百兆/秒的采集速度,使得数据采集速率得到了极大的提高,这也为后续的关联分析奠定了基础。
2.2数据的存储
在网络安全分析系统中,原始数据的存储是至关重要的,大数据技术能够针对不同数据类型进行不同的数据采集,还能够主动利用不同的方式来提高数据查询的效率,比如在对日志信息进行查询时适合采用列式的存储方式,而对于分析与处理标准化的数据,则适合采用分布式的模式进行预处理,在数据处理后可将结果存放在列式存储中;或者也可以在系统中建立起MapRece的查询模块,在进行查询的时候可直接将指令放在指定的节点,完成处理后再对各个节点进行整理,如此能够确保查询的速度与反应速度。
2.3实时数据的分析与后续数据的处理
在对实时数据的分析中,可以采用关联分析算法或CEP技术进行分析,如此能够实现对数据的采集、分析、处理的综合过程,实现了更高速度以及更高效率的处理;而对于统计结果以及数据的处理,由于这种处理对时效性要求不高,因此可以采用各种数据处理技术或是利用离线处理的方式,从而能够更好地完成系统风险、攻击方面的分析。
2.4关于复杂数据的分析
在针对不同来源、不同类型的复杂数据进行分析时,大数据技术都能够更好的完成数据的分析与查询,并且能够有效完成复杂数据与安全隐患、恶意攻击等方面的处理,当网络系统中出现了恶意破坏、攻击行为,可采用大数据技术从流量、DNS的角度出发,通过多方面的数据信息分析实现全方位的防范、抵御。
3基于大数据技术构建网络系统安全分析
在网络安全系统中引入大数据技术,主要涉及以下三个模块:
3.1数据源模块
网络安全系统中的`数据及数据源会随着互联网技术的进步而倍增技术能够通过分布式采集器的形式,对系统中的软硬件进行信息采集,除了防火墙、检测系统等软件,对设备硬件的要求也在提高,比如对服务器、存储器的检查与维护工作。
3.2数据采集模块
大数据技术可将数据进行对立分析,从而构建起分布式的数据基础,能够做到原始数据从出现到删除都做出一定说明,真正实现数据的访问、追溯功能,尤其是对数据量与日俱增的今天而言,分布式数据存储能够更好地实现提高数据库的稳定性。
3.3数据分析模块
对网络安全系统的运营来说,用户的业务系统就是安全的最终保障对象,大数据分析能够在用户数据产生之初,及时进行分析、反馈,从而能够让网络用户得到更加私人化的服务体验。而对于用户而言,得其所想也会对网络系统以及大数据技术更加的信任,对于个人的安全隐私信息在系统上存储的疑虑也会大幅降低。当前网络与信息安全领域正在面临着全新的挑战,企业、组织、个人用户每天都会产生大量的安全数据,现有的安全分析技术已经难以满足高效率、精确化的安全分析所需。而大数据技术灵活、海量、快速、低成本、高容量等特有的网络安全分析能力,已经成为现阶段业界趋势所向。而对互联网企业来说,实现对数据的深度“加工处理”,则是实现数据增值的关键所在,对商业运营而言是至关重要的。
4结语
在当下时代,信息数据已经渗透到各个行业及业务领域中,成为重要的社会生产因素。正因如此,互联网数据产生的数量也在与日倍增中,这给网络安全分析工作带来了一定难度与压力,而大数据技术则能够很好的完善这一问题。在网络系统中应用大数据技术不仅能够满足人们对数据处理时所要求的高效性与精准性,并且能够在此基础上构建一套相对完善的防范预警系统,这对维护网络系统的安全起着非常关键的作用,相信大数据技术日后能够得到更加广泛的应用。
参考文献:
[1]鲁宛生.浅谈网络安全分析中大数据技术的应用[J].数码世界,2017.
[2]王帅,汪来富,金华敏等.网络安全分析中的大数据技术应用[J].电信科学,2015.
[3]孙玉.浅谈网络安全分析中的大数据技术应用[J].网络安全技术与应用,2017.
;4. 网络安全与网络分析是什么关系
网络安全(network security)
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护,不因偶然的或者恶意的原因而遭受到破坏、更改、泄露,系统连续可靠正常地运行,网络服务不中断。 网络安全从其本质上来讲就是网络上的信息安全。从广义来说,凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。(注:本内容由全国科学技术名词审定委员会审定公布)网络安全主要有以下几个方面的特征:
保密性:信息不泄露给非授权用户、实体或过程,或供其利用的特性。
完整性:数据未经授权不能进行改变的特性。即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。
可用性:可被授权实体访问并按需求使用的特性。即当需要时能否存取所需的信息。例如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击;
可控性:对信息的传播及内容具有控制能力。
可审查性:出现的安全问题时提供依据与手段(注:特别是现在的网络安全分析技术的快速发展)
那么我们为什么要了解网络安全?网络安全到底有什么用呢?我们先来看看它与网络性能和功能的关系.
通常,系统安全与性能和功能是一对矛盾的关系。如果某个系统不向外界提供任何服务(断开),外界是不可能构成安全威胁的。但是,企业接入国际互连网络,提供网上商店和电子商务等服务,等于将一个内部封闭的网络建成了一个开放的网络环境,各种安全包括系统级的安全问题也随之产生。构建网络安全系统,一方面由于要进行认证、加密、监听,分析、记录等工作,由此影响网络效率,并且降低客户应用的灵活性;另一方面也增加了管理费用。但是,来自网络的安全威胁是实际存在的,特别是在网络上运行关键业务时,网络安全是首先要解决的问题,特别是国家机关、教育机构、电信行业、金融机构等。选择适当的技术和产品,制订灵活的网络安全策略,在保证网络安全的情况下,提供灵活的网络服务通道。
采用适当的安全体系设计和管理计划,能够有效降低网络安全对网络性能的影响并降低管理费用。
全方位的安全体系:
与其它安全体系(如保安系统)类似,企业应用系统的安全体系应包含:
访问控制: 通过对特定网段、服务建立的访问控制体系,将绝大多数攻击阻止在到达攻击目标之前。
检查安全漏洞: 通过对安全漏洞的周期检查,即使攻击可到达攻击目标,也可使绝大多数攻击无效。
攻击监控: 通过对特定网段、服务建立的攻击监控体系,可实时检测出绝大多数攻击,并采取相应的行动(如断开网络连接、记录攻击过程、跟踪攻击源等)。
加密通讯: 主动的加密通讯,可使攻击者不能了解、修改敏感信息。
认证: 良好的认证体系可防止攻击者假冒合法用户。
备份和恢复: 良好的备份和恢复机制,可在攻击造成损失时,尽快地恢复数据和系统服务。
多层防御,攻击者在突破第一道防线后,延缓或阻断其到达攻击目标。
隐藏内部信息,使攻击者不能了解系统内的基本情况。
设立安全监控中心,为信息系统提供安全体系管理、监控,渠护及紧急情况服务。
从网络运行和管理者角度说,他们希望对本地网络信息的访问、读写等操作受到保护和控制,避免出现“陷门”、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁,制止和防御网络黑客的攻击。对安全保密部门来说,他们希望对非法的、有害的或涉及国家机密的信息进行过滤和防堵,避免机要信息泄露,避免对社会产生危害,对国家造成巨大损失。从社会教育和意识形态角度来讲,网络上不健康的内容,会对社会的稳定和人类的发展造成阻碍,必须对其进行控制。
随着计算机技术的迅速发展,在计算机上处理的业务也由基于单机的数学运算、文件处理,基于简单连接的内部网络的内部业务处理、办公自动化等发展到基于复杂的内部网(Intranet)、企业外部网(Extranet)、全球互联网(Internet)的企业级计算机处理系统和世界范围内的信息共享和业务处理。在系统处理能力提高的同时,系统的连接能力也在不断的提高。但在连接能力信息、流通能力提高的同时,基于网络连接的安全问题也日益突出,整体的网络安全主要表现在以下几个方面:网络的物理安全、网络拓扑结构安全、网络系统安全、应用系统安全和网络管理的安全等。
因此计算机安全问题,应该像每家每户的防火防盗问题一样,做到防范于未然。甚至不会想到你自己也会成为目标的时候,威胁就已经出现了,一旦发生,常常措手不及,造成极大的损失。
其中网络分析是网络安全的一部分
网络安全分析包括:
1.物理安全分析
2.网络结构的安全分析
3.系统的安全分析
4.应用系统的安全分析
目前最常用的网络分析软件如:国产最权威的科来软件公司出品的《科来网络分析系统》,国外的sniffer等,当然如果你不太了解他们的功能你可以网络看看,个人比较推荐科来的产品,无论价格使用技术支持等方面都是很不错的,好了,给你写了这么多,下次记得有问题多给点分
好累呀!
5. 网络安全的安全分析
网络分析系统是一个让网络管理者,能够在各种网络安全问题中,对症下药的网络管理方案,它对网络中所有传输的数据进行检测、分析、诊断,帮助用户排除网络事故,规避安全风险,提高网络性能,增大网络可用性价值。
管理者不用再担心网络事故难以解决,科来网络分析系统可以帮助企业把网络故障和安全风险会降到最低,网络性能会逐步得到提升。
物理安全
网络的物理安全是整个网络系统安全的前提。在校园网工程建设中,由于网络系统属于弱电工程,耐压值很低。因此,在网络工程的设计和施工中,必须优先考虑保护人和网络设备不受电、火灾和雷击的侵害;考虑布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离;考虑布线系统和绝缘线、裸体线以及接地与焊接的安全;必须建设防雷系统,防雷系统不仅考虑建筑物防雷,还必须考虑计算机及其他弱电耐压设备的防雷。总体来说物理安全的风险主要有,地震、水灾、火灾等环境事故;电源故障;人为操作失误或错误;设备被盗、被毁;电磁干扰;线路截获;高可用性的硬件;双氏棚衡机多冗余的设计;机房环境及报警系统、安全意识等,因此要注意这些安全隐患,同时还要尽量避免网络的物理安全风险。
网络结构
网络拓扑结构设计也直接影响到网络系统的安全性。假如在外部和内部网络进行通信时,内部网络的机器安全就会受到威胁,同时也影响在同一网络上的许多其他系统。透过网络传播,还会影响到连上Internet/Intranet的其他的网络和亏;影响所及,还可能涉及法律、金融等安全敏感领域。因此,我们在设计时有必要将公开服务器(WEB、DNS、EMAIL等)和外网及内部其它业务网络进行必要的隔离,避免网络结构信息外泄;同时还要对外网的服务请求加以过滤,只允许正常通信的数据包到达相应主机,其它的请求服务在到达主机之前就应该遭到拒绝。
系统的安全
所谓系统的安全是指整个网络操作系统歼做和网络硬件平台是否可靠且值得信任。恐怕没有绝对安全的操作系统可以选择,无论是Microsoft 的Windows NT或者其它任何商用UNIX操作系统,其开发厂商必然有其Back-Door。因此,我们可以得出如下结论:没有完全安全的操作系统。不同的用户应从不同的方面对其网络作详尽的分析,选择安全性尽可能高的操作系统。因此不但要选用尽可能可靠的操作系统和硬件平台,并对操作系统进行安全配置。而且,必须加强登录过程的认证(特别是在到达服务器主机之前的认证),确保用户的合法性;其次应该严格限制登录者的操作权限,将其完成的操作限制在最小的范围内。
应用系统
应用系统的安全跟具体的应用有关,它涉及面广。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性,它包括很多方面。
——应用系统的安全是动态的、不断变化的。
应用的安全涉及方面很多,以Internet上应用最为广泛的E-mail系统来说,其解决方案有sendmail、Netscape Messaging Server、SoftwareCom Post.Office、Lotus Notes、Exchange Server、SUN CIMS等不下二十多种。其安全手段涉及LDAP、DES、RSA等各种方式。应用系统是不断发展且应用类型是不断增加的。在应用系统的安全性上,主要考虑尽可能建立安全的系统平台,而且通过专业的安全工具不断发现漏洞,修补漏洞,提高系统的安全性。
——应用的安全性涉及到信息、数据的安全性。
信息的安全性涉及到机密信息泄露、未经授权的访问、 破坏信息完整性、假冒、破坏系统的可用性等。在某些网络系统中,涉及到很多机密信息,如果一些重要信息遭到窃取或破坏,它的经济、社会影响和政治影响将是很严重的。因此,对用户使用计算机必须进行身份认证,对于重要信息的通讯必须授权,传输必须加密。采用多层次的访问控制与权限控制手段,实现对数据的安全保护;采用加密技术,保证网上传输的信息(包括管理员口令与帐户、上传信息等)的机密性与完整性。
管理风险
管理是网络中安全最最重要的部分。责权不明,安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。当网络出现攻击行为或网络受到其它一些安全威胁时(如内部人员的违规操作等),无法进行实时的检测、监控、报告与预警。同时,当事故发生后,也无法提供黑客攻击行为的追踪线索及破案依据,即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录,及时发现非法入侵行为。
建立全新网络安全机制,必须深刻理解网络并能提供直接的解决方案,因此,最可行的做法是制定健全的管理制度和严格管理相结合。保障网络的安全运行,使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。一旦上述的安全隐患成为事实,所造成的对整个网络的损失都是难以估计的。因此,网络的安全建设是校园网建设过程中重要的一环。
6. 消防安全系统检查评估【如何评估网络系统的安全】
网络系统的安全程度同样符合木桶原理,即最终的安全性取决于网络中最弱的一个环节。本文系统地对网络架构的各个安全点进行了分析,同培空时针对性地介绍了降低这些安全点风险的方案和措施。
各种网络安全事故频发使得各个组织对信息安全的重视程度逐渐提高,同时各种专门提供网络安全服务的企业也应运而生。然而,目前大多安全服务都是以主机的安全评估、系统加固、应急响应、应用安全防护、管理层面的安全策略体系制订、应用安全防护、安全产品集成等为主,对于网络架构的安全评估却很少。综观近几年来互连网上不断出现的病毒蠕虫感染等安全事件,不少是由于对网络架构安全的忽视导致了大范围的传播和影响。2003年的27号文件――《国家信息化领导小组关于加强信息安全保障的文件》下发后,对信息系统安全域划分、等级保护、信息安全风险评估、等级保障等需求愈来愈迫切,而做好安全域划分的关键就是对网络架构安全的正确分析。
信息系统的网络架构安全分析是通过对整个组织的网络体系进行深入调研,以国际安全标准和技术框架为指导,全面地对网络架构、网络边界、网络协议、网络流量、网络QoS、网络建设的规范性、网络设备安全、网络管理等多个方面进行深入分析。
网络架构分析
网络架构分析的主要内容包括根据IATF技术框架分析网络设计是否层次分明,是否采用了核心层、汇聚层、接入层等划分原则的网络架构(划分不规范不利于网络优化和调整); 网络边界是否清晰,是否符合IATF的网络基础设施、边界/外部连接、计算环境、支撑基础设施的深度防御原则(边界不清晰不便于安全控制)。应考虑的安全点主要有:
1. 网络架构设计应符合层次分明、分级管理、统一规划的原则,应迅闷便于以后网络整体规划和改造。
2. 根据组织实际情况进行区间划分,Internet、Intranet和Extranet之间以及它们内部各区域之间结构必须使网络应有的性能得到充分发挥。
3. 根据各部门的工作职能、重要性、所涉及信息等级等因素划分不同的子网或网段。
4. 网络规划应考虑把核心网络设备的处理任务分散到边缘设备,使其能将主要的处理能力放在对数据的转发或处理上。
5. 实体的访问权限通常与其真实身份相关,身份不同,工作的内容、性质、所在的部门就不同,因此所应关注的网络操作也不同,授予的权限也就不同。
6. 网络前期建设方案、网络拓扑结构图应和实际的网络结构一致; 所有网络设备(包括交换机、路由器、防火墙、IDS以及其他网络设备)应由组织统一规划部署,并应符合实际需求。
7. 应充分考虑Internet接入的问题,防止出现多Internet接入点,同时限制接入用户的访问数量。
8. 备份也是需要考虑的重要因素,对广域网设备、局域网设备、广域网链路、局域网链路采用物理上的备份和采取冗余协议,防止出现单点故障。
网络边界分析
边界保护不仅存在于组织内部网络与外部网络之间,而且也存在于同一组织内部网络中,特别是不同级别的子网之间边界。有效的边界防护技术措施主要包括网络访问控制、入侵防范、网关防病毒、信息过滤、网络隔离部件、边界完整性检查,以及对于远程用户的标识与鉴别/访问控制。边界划分还应考虑关键业务系统和非关键业务系统之间是否进行了分离,分离后各业务区域之间的逻辑控制是否合理,业务系统配昌瞎之间的交叠不但影响网络的性能还会给网络带来安全上的隐患。应考虑的安全点主要有:
1. Internet、Intranet和Extranet之间及它们内部各VLAN或区域之间边界划分是否合理; 在网络节点(如路由器、交换机、防火墙等设备)互连互通应根据实际需求进行严格控制; 验证设备当前配置的有效策略是否符合组织确定的安全策略。
2. 内网中的安全区域划分和访问控制要合理,各VLAN之间的访问控制要严格,不严格就会越权访问。
3. 可检查网络系统现有的身份鉴别、路由器的访问控制、防火墙的访问控制、NAT等策略配置的安全性; 防止非法数据的流入; 对内防止敏感数据(涉密或重要网段数据)的流出。
4. 防火墙是否划分DMZ区域; 是否配置登录配置的安全参数。例如: 最大鉴别失败次数、最大审计存储容量等数据。
5. 网络隔离部件上的访问通道应该遵循“默认全部关闭,按需求开通的原则”; 拒绝访问除明确许可以外的任何一种服务,也就是拒绝一切未经特许的服务。
6. 实现基于源和目的的IP地址、源和目的端 口号 、传输层协议的出入接口的访问控制。对外服务采用用户名、IP、MAC 等绑定,并限制变换的MAC地址数量,用以防止会话劫持、中间人攻击。
7. 对于应用层过滤,应设置禁止访问 Java Applet、ActiveX等以降低威胁。
8. 采用业界先进的安全技术对关键业务系统和非关键业务系统进行逻辑隔离,保证各个业务系统间的安全性和高效性,例如: 采用MPLS-VPN对各业务系统间逻辑进行划分并进行互访控制。
9. 必要时对涉密网络系统进行物理隔离; 实现VPN传输系统; 对重要网络和服务器实施动态口令认证; 进行安全域的划分,针对不同的区域的重要程度,有重点、分期进行安全防护,逐步从核心网络向网络边缘延伸。例如,网络可以分成三个区域: 信任域、非信任域和隔离区域。信任域和隔离区域进行重点保护,对于非信任域,可根据不同业务系统的重要程度进行重点保护。
10. 整体网络系统统一策略、统一升级、统一控制。
网络协议分析
深入分析组织整个网络系统的协议设计是否合理,是否存在协议设计混乱、不规范的情况,是否采用安全协议,协议的区域之间是否采用安全防护措施。协议是网络系统运行的神经,协议规划不合理就会影响整个网络系统的运行效率,甚至带来高度隐患和风险。应考虑的安全点主要有:
1. 路由协议、路由相关的协议及交换协议应以安全的、对网络规划和设计方便为原则,应充分考虑局域网络的规划、建设、扩充、性能、故障排除、安全隐患、被攻击可能性,并应启用加密和验证功能。
2. 应合理设计网络路由协议和路由策略,保证网络的连通性、可达性,以及网络业务流向分布的均衡性。
3. 启用动态路由协议的认证功能,并设置具有一定强度的密钥,相互之间交换路由信息的路由器必须具有相同的密钥。默认的认证密码是明文传输的,建议启用加密认证。
4. 对使用动态路由协议的路由设备设置稳定的逻辑地址,如Loopback地址,以减少路由振荡的可能性。
5. 应禁止路由器上 IP 直接广播、ICMP重定向、Loopback数据包和多目地址数据包,保证网络路径的正确性,防止IP源地址欺骗。如禁止非公有地址、组播地址、全网络地址和自己内部的网络地址访问内部网络,同时禁止非内部网络中的地址访问外部网络。
6. 重要网段应采取IP地址与MAC地址绑定措施,防止ARP欺骗。
7. 如果不需要ARP代理(ARP Proxy)服务则禁止它。
8. 应限制 SYN 包流量带宽,控制 ICMP、TCP、UDP 的连接数。
9. ICMP协议的安全配置。对于流入的ICMP数据包,只允许Echo Reply、Destination Unreachable、Time Out及其他需要的类型。对于流出的ICMP数据包,只允许Echo及其他必需的类型。
10. SNMP协议的Community String字串长度应大于12位,并由数字、大小写字母和特殊字符共同组成。
11. 禁用HTTP服务,不允许通过HTTP方式访问路由器。如果不得不启用HTTP访问方式,则需要对其进行安全配置。
12. 对于交换机,应防止VLAN穿越攻击。例如,所有连接用户终端的接口都应从VLAN1中排除,将Trunk接口划分到一个单独的VLAN中; 为防止STP攻击,对用户侧端口,禁止发送BPDU; 为防止VTP攻击,应设置口令认证,口令强度应大于12位,并由数字、大小写字母和特殊字符共同组成;尽量将交换机VTP设置为透明(Transparent)模式。
13.采用安全性较高的网络管理协议,如SNMP v3、RMON v2。
网络流量分析
流量分析系统主要从带宽的网络流量分析、网络协议流量分析、基于网段的业务流量分析、网络异常流量分析、应用服务异常流量分析等五个方面对网络系统进行综合流量分析。应考虑的安全点主要有:
1. 带宽的网络流量分析。复杂的网络系统中不同的应用需占用不同的带宽,重要的应用是否得到了最佳的带宽?所占比例是多少?队列设置和网络优化是否生效?通过基于带宽的网络流量分析会使其更加明确。采用监控网络链路流量负载的工具软件,通过SNMP协议从设备得到设备的流量信息,并将流量负载以包含PNG格式的图形的HTML文档方式显示给用户,以非常直观的形式显示流量负载。
2. 网络协议流量分析。对网络流量进行协议划分,针对不同的协议进行流量监控和分析,如果某一个协议在一个时间段内出现超常流量暴涨,就有可能是攻击流量或有蠕虫病毒出现。例如: Cisco NetFlow V5可以根据不同的协议对网络流量进行划分,对不同协议流量进行分别汇总。
3. 基于网段的业务流量分析。流量分析系统可以针对不同的VLAN来进行网络流量监控,大多数组织都是基于不同的业务系统通过VLAN来进行逻辑隔离的,所以可以通过流量分析系统针对不同的VLAN 来对不同的业务系统的业务流量进行监控。例如: Cisco NetFlow V5可以针对不同的VLAN进行流量监控。
4. 网络异常流量分析。异常流量分析系统支持异常流量发现和报警,能够通过对一个时间窗内历史数据的自动学习,获取包括总体网络流量水平、流量波动、流量跳变等在内的多种网络流量测度,并自动建立当前流量的置信度区间作为流量异常监测的基础。通过积极主动鉴定和防止针对网络的安全威胁,保证了服务水平协议(SLA)并且改进顾客服务, 从而为组织节约成本。
抗击异常流量系统必须完备,网络系统数据流比较大,而且复杂,如果抗异常流量系统不完备,当网络流量异常时或遭大规模DDOS攻击时,就很难有应对措施。
5. 应用服务异常流量分析。当应用层出现异常流量时,通过IDS&IPS的协议分析、协议识别技术可以对应用层进行深层的流量分析,并通过IPS的安全防护技术进行反击。
网络QoS
合理的QoS配置会增加网络的可用性,保证数据的完整性和安全性,因此应对网络系统的带宽、时延、时延抖动和分组丢失率等方面进行深入分析,进行QoS配置来优化网络系统。应考虑的安全点主要有:
1. 采用RSVP协议。RSVP使IP网络为应用提供所要求的端到端的QoS保证。
2. 采用路由汇聚。路由器把QoS需求相近的业务流看成一个大类进行汇聚,减少流量交叠,保证QoS。
3. 采用MPLSVPN技术。多协议标签交换(MPLS)将灵活的3层IP选路和高速的2层交换技术完美地结合起来,从而弥补了传统IP网络的许多缺陷。
4. 采用队列技术和流量工程。队列技术主要有队列管理机制、队列调度机制、CAR和流量工程。
5. QoS路由。QoS路由的主要目标是为接入的业务选择满足其服务质量要求的传输路径,同时保证网络资源的有效利用路由选择。
6. 应保证正常应用的连通性。保证网络和应用系统的性能不因网络设备上的策略配置而有明显下降,特别是一些重要应用系统。
7. 通过对不同服务类型数据流的带宽管理,保证正常服务有充足的带宽,有效抵御各种拒绝服务类型的攻击。
网络的规范性
应考虑的安全点主要有:
1. IP地址规划是否合理,IP地址规划是否连续,在不同的业务系统采用不同的网段,便于以后网络IP调整。
2. 网络设备命名是否规范,是否有统一的命名原则,并且很容易区分各个设备的。
3. 应合理设计网络地址,应充分考虑地址的连续性管理以及业务流量分布的均衡性。
4. 网络系统建设是否规范,包括机房、线缆、配电等物理安全方面,是否采用标准材料和进行规范设计,设备和线缆是否贴有标签。
5. 网络设备名称应具有合理的命名体系和名称标识,便于网管人员迅速准确识别,所有网络端口应进行充分描述和标记。
6. 应对所有网络设备进行资产登记,登记记录上应该标明硬件型号、厂家、操作系统版本、已安装的补丁程序号、安装和升级的时间等内容。
7. 所有网络设备旁都必须以清晰可见的形式张贴类似声明: “严格禁止未经授权使用此网络设备。
8. 应制定网络设备用户账号的管理制度,对各个网络设备上拥有用户账号的人员、权限以及账号的认证和管理方式做出明确规定。对于重要网络设备应使用Radius或者TACACS+的方式实现对用户的集中管理。
网络设备安全
对设备本身安全进行配置,并建设完备的安全保障体系,包括: 使用访问控制、身份验证配置; 关闭不必要的端口、服务、协议; 用户名口令安全、权限控制、验证; 部署安全产品等。应考虑的安全点主要有:
1. 安全配置是否合理,路由、交换、防火、IDS等网络设备及网络安全产品的不必要的服务、端口、协议是否关闭,网络设备的安全漏洞及其脆弱的安全配置方面的优化,如路由器的安全漏洞、访问控制设置不严密、数据传输未加密、网络边界未完全隔离等。
2. 在网络建设完成、测试通过、投入使用前,应删除测试用户和口令,最小化合法用户的权限,最优化系统配置。
3. 在接入层交换机中,对于不需要用来进行第三层连接的端口,通过设置使其属于相应的 VLAN,应将所有空闲交换机端口设置为 Disable,防止空闲的交换机端口被非法使用。
4. 应尽量保持防火墙规则的清晰与简洁,并遵循“默认拒绝,特殊规则靠前,普通规则靠后,规则不重复”的原则,通过调整规则的次序进行优化。
5. 应为不同的用户建立相应的账号,根据对网络设备安装、配置、升级和管理的需要为用户设置相应的级别,并对各个级别用户能够使用的命令进行限制,严格遵循“不同权限的人执行不同等级的命令集”。同时对网络设备中所有用户账号进行登记备案
6. 应制订网络设备用户账号口令的管理策略,对口令的选取、组成、长度、保存、修改周期以及存储做出规定。
7. 使用强口令认证,对于不宜定期更新的口令,如SNMP字串、VTP认证密码、动态路由协议认证口令等,其口令强度应大于12位,并由数字、大小写字母和特殊字符共同组成。
8. 设置网络登录连接超时,例如,超过60秒无操作应自动退出。
9. 采用带加密保护的远程访问方式,如用SSH代替Telnet。
10. 严格禁止非本系统管理人员直接进入网络设备进行操作,若在特殊情况下(如系统维修、升级等)需要外部人员(主要是指厂家技术工程师、非本系统技术工程师、安全管理员等)进入网络设备进行操作时,必须由本系统管理员登录,并对操作全过程进行记录备案。
11. 对设备进行安全配置和变更管理,并且对设备配置和变更的每一步更改,都必须进行详细的记录备案。
12. 安全存放路由器的配置文件,保护配置文件的备份和不被非法获取。
13. 应立即更改相关网络设备默认的配置和策略。
14. 应充分考虑网络建设时对原有网络的影响,并制定详细的应急计划,避免因网络建设出现意外情况造成原有网络的瘫痪。
15. 关键业务数据在传输时应采用加密手段,以防止被监听或数据泄漏。
16. 对网络设备本身的扩展性、性能和功能、网络负载、网络延迟、网络背板等方面应充分考虑。设备功能的有效性与部署、配置及管理密切相关,倘若功能具备却没有正确配置及管理,就不能发挥其应有的作用。
17. 网络安全技术体系建设主要包括安全评估、安全防护、入侵检测、应急恢复四部分内容,要对其流程完备性进行深入分析。
18. 安全防护体系是否坚固,要分析整个网络系统中是否部署了防火墙及VPN系统、抗拒绝服务系统、漏洞扫描系统、IDS&IPS系统、流量负载均衡系统部署、防病毒网关、网络层验证系统、动态口令认证系统,各个安全系统之间的集成是否合理。
19. 应安全存放防火墙的配置文件,专人保管,保护配置文件不被非法获取。
20. 及时检查入侵检测系统厂商的规则库升级信息,离线下载或使用厂商提供的定期升级包对规则库进行升级。具体包括:
● 查看硬件和软件系统的运行情况是否正常、稳定;
● 查看OS版本和补丁是否最新;
● OS是否存在已知的系统漏洞或者其他安全缺陷。
网络管理
网络管理和监控系统是整个网络安全防护手段中的重要部分,网络管理应该遵循SDLC(生命周期)的原则,从网络架构前期规划、网络架构开发建设到网络架构运行维护、网络架构系统废弃都应全面考虑安全问题,这样才能够全面分析网络系统存在的风险。应考虑的安全点主要有:
1. 网络设备网管软件的部署和网络安全网管软件的部署; 部署监控软件对内部网络的状态、网络行为和通信内容进行实时有效的监控,既包括对网络内部的计算机违规操作、恶意攻击行为、恶意代码传播等现象进行有效地发现和阻断,又包括对网络进行的安全漏洞评估。
2. 确认网络安全技术人员是否定期通过强加密通道进行远程登录监控网络状况。
3. 应尽可能加强网络设备的安全管理方式,例如应使用SSH代替Telnet,使用HTTPS代替HTTP,并且限定远程登录的超时时间、远程管理的用户数量、远程管理的终端IP地址,同时进行严格的身份认证和访问权限的授予,并在配置完后,立刻关闭此类远程连接; 应尽可能避免使用SNMP协议进行管理。如果的确需要,应使用V3版本替代V1、V2版本,并启用MD5等验证功能。进行远程管理时,应设置控制口和远程登录口的超时时间,让控制口和远程登录口在空闲一定时间后自动断开。
4. 及时监视、收集网络以及安全设备生产厂商公布的软件以及补丁更新,要求下载补丁程序的站点必须是相应的官方站点,并对更新软件或补丁进行评测,在获得信息安全工作组的批准下,对生产环境实施软件更新或者补丁安装。
5. 应立即提醒信息安全工作组任何可能影响网络正常运行的漏洞,并及时评测对漏洞采取的对策,在获得信息安全工作组的批准的情况下,对生产环境实施评测过的对策,并将整个过程记录备案。
6. 应充分考虑设备认证、用户认证等认证机制,以便在网络建设时采取相应的安全措施。
7. 应定期提交安全事件和相关问题的管理报告,以备管理层检查,以及方便安全策略、预警信息的顺利下发。检测和告警信息的及时上报,保证响应流程的快速、准确而有效。
8. 系统开发建设人员在网络建设时应严格按照网络规划中的设计进行实施,需要变更部分,应在专业人士的配合下,经过严格的变更设计方案论证方可进行。
9. 网络建设的过程中,应严格按照实施计划进行,并对每一步实施,都进行详细记录,最终形成实施报告。
10. 网络建设完成投入使用前,应对所有组件包括设备、服务或应用进行连通性测试、性能测试、安全性测试,并做详细记录,最终形成测试报告。测试机构应由专业的信息安全测试机构或第三方安全咨询机构进行。
11. 应对日常运维、监控、配置管理和变更管理在职责上进行分离,由不同的人员负责。
12. 应制订网络设备日志的管理制定,对于日志功能的启用、日志记录的内容、日志的管理形式、日志的审查分析做明确的规定。对于重要网络设备,应建立集中的日志管理服务器,实现对重要网络设备日志的统一管理,以利于对网络设备日志的审查分析。
13. 应保证各设备的系统日志处于运行状态,每两周对日志做一次全面的分析,对登录的用户、登录时间、所做的配置和操作做检查,在发现有异常的现象时应及时向信息安全工作组报告。
14. 对防火墙管理必须经过安全认证,所有的认证过程都应记录。认证机制应综合使用多种认证方式,如密码认证、令牌认证、会话认证、特定IP地址认证等。
15. 应设置可以管理防火墙的IP范围,对登录防火墙管理界面的权限进行严格限制。
16. 在防火墙和入侵检测系统联动的情况下,最好是手工方式启用联动策略,以避免因入侵检测系统误报造成正常访问被阻断。
17. 部署安全日志审计系统。安全日志审计是指对网络系统中的网络设备、网络流量、运行状况等进行全面的监测、分析、评估,通过这些记录来检查、发现系统或用户行为中的入侵或异常。目前的审计系统可以实现安全审计数据的输入、查询、统计等功能。
18. 安全审计内容包括操作系统的审计、应用系统的审计、设备审计、网络应用的审计等。操作系统的审计、应用系统的审计以及网络应用的审计等内容本文不再赘述。在此仅介绍网络设备中路由器的审计内容:操作系统软件版本、路由器负载、登录密码有无遗漏,enable 密码、telnet 地址限制、HTTP安全限制、SNMP有无安全隐患; 是否关闭无用服务; 必要的端口设置、Cisco发现协议(CDP协议); 是否已修改了缺省旗标(BANNER)、日志是否开启、是否符合设置RPF的条件、设置防SYN攻击、使用CAR(Control Access Rate)限制ICMP包流量; 设置SYN数据包流量控制(非核心节点)。
19. 通过检查性审计和攻击性审计两种方式分别对网络系统进行全面审计。
20. 应对网络设备物理端口、CPU、内存等硬件方面的性能和功能进行监控和管理。
● 系统维护中心批准后,根据实际应用情况提出接入需求和方案,向信息安全工作组提交接入申请;
● 由申请人进行非上线实施测试,并配置其安全策略;
● 信息安全员对安全配置进行确认,检查安全配置是否安全,若安全则进入下一步,否则重新进行配置。
21. 网络设备废弃的安全考虑应有一套完整的流程,防止废弃影响到网络运行的稳定。任何网络设备的废弃都应进行记录备案,记录内容应包括废弃人、废弃时间、废弃原因等。
7. 网络信息系统安全性分析
给我分哦,谢谢
http://bbs.wuyou.net/viewthread.php?tid=8894
网 络 安 全 毕 业 论 文
网络安全的具体含义会随着“角度”的变化而变化。比如:从用户(个人、企业等)的角度来说,他们希望涉及个人隐私或商业利益的信息在网络上传输时受到机密性、完整性和真实性的保护,避免其他人或对手利用窃听、冒充、篡改、抵赖等手段侵犯用户的利益和隐,同时也避免其它用户的非授权访问和破坏。从网络运行和管理者角度说,他们希望对本地网络信息的访问、读写等操作受到保护和控制,避免出现“陷门”、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁,制止和防御网络黑客的攻击。 对安全保密部门来说,他们希望对非法的、有害的或涉及国家机密的信息进行过滤和防堵,避免机要信息泄露,避免对社会产生危害,对国家造成巨大损失。 从社会教育和意识形态角度来讲,网络上不健康的内容,会对社会的稳定和人类的发展造成阻碍,必须对其进行控制。 从本质上来讲,网络安全就是网络上的信息安全,是指网络系统的硬件、软件及其系统中的数据受到保护,不受偶然的或者恶意的原因而遭到破坏、更改、泄露,系统连续可靠正常地运行,网络服务不中断。广义来说,凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域。网络安全涉及的内容既有技术方面的问题,也有管理方面的问题,两方面相互补充,缺一不可。技术方面主要侧重于防范外部非法用户的攻击,管理方面则侧重于内部人为因素的管理。如何更有效地保护重要的信息数据、提高计算机网络系统的安全性已经成为所有计算机网络应用必须考虑和必须解决的一个重要问题。
不同环境和应用中的网络安全
运行系统安全:即保证信息处理和传输系统的安全。它侧重于保证系统正常运行,避免因为系统的崩溃和损坏而对系统存贮、处理和传输的信息造成破坏和损失,避免由于电磁泄漏,产生信息泄露,干扰他人,受他人干扰。 网络上系统信息的安全:包括用户口令鉴别,用户存取权限控制,数据存取权限、方式控制,安全审计,安全问题跟踪,计算机病毒防治,数据加密。 网络上信息传播安全:即信息传播后果的安全。包括信息过滤等。它侧重于防止和控制非法、有害的信息进行传播后的后果。避免公用网络上大量自由传输的信息失控。 网络上信息内容的安全:它侧重于保护信息的保密性、真实性和完整性。避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为。本质上是保护用户的利益和隐私 .
网络安全的结构层次主要包括:物理安全、安全控制和安全服务。
1: 物理安全
物理安全是指在物理介质层次上对存贮和传输的网络信息的安全保护。也就是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。物理安全是网络信息安全的最基本保障,是整个安全系统不可缺少和忽视的组成部分。它主要包括三个方面:
环境安全:对系统所在环境的安全保护。
设备安全:主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等;
媒体安全:包括媒体数据的安全及媒体本身的安全。
目前,该层次上常见的不安全因素包括三大类:
1)自然灾害(比如,地震、火灾、洪水等)、物理损坏(比如,硬盘损坏、设备使用寿命到期、外力破损等)、设备故障(比如,停电断电、电磁干扰等)。此类不安全因素的特点是:突发性、自然性、非针对性。这种不安全因素对网络信息的完整性和可用性威胁最大,而对网络信息的保密性影响却较小,因为在一般情况下,物理上的破坏将销毁网络信息本身。解决此类不安全隐患的有效方法是采取各种防护措施、制定安全规章、随时数据备份等。
2)电磁辐射(比如,侦听微机操作过程),乘机而入(比如,合法用户进入安全进程后半途离开),痕迹泄露(比如,口令密钥等保管不善,被非法用户获得)等。此类不安全因素的特点是:隐蔽性、人为实施的故意性、信息的无意泄露性。这种不安全因素主要破坏网络信息的保密性,而对网络信息的完整性和可用性影响不大。解决此类不安全隐患的有效方法是采取辐射防护、屏幕口令、隐藏销毁等手段。
3)操作失误(比如,偶然删除文件,格式化硬盘,线路拆除等),意外疏漏(比如,系统掉电、“死机”等系统崩溃)。此类不安全因素的特点是:人为实施的无意性和非针对性。这种不安全因素主要破坏网络信息的完整性和可用性,而对保密性影响不大。解决此类不安全隐患的有效方法是:状态检测、报警确认、应急恢复等。 显然,为保证信息网络系统的物理安全,除在网络规划和场地、环境等要求之外,还要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失秘的案例已经很多,在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示给计算机系统信息的保密工作带来了极大的危害。为了防止系统中的信息在空间上的扩散,通常是在物理上探取一定的防护措施,来减少或干扰扩散出去的空间信号。这对重要的政策、军队、金融机构在兴建信息中心时都将成为首要设置的条件。
正常的防范措施主要在三个方面:
1、 对主机房及重要信息存储、收发部门进行屏蔽处理 即建设一个具有高效屏蔽效能的屏蔽室,用它来安装运行主要设备,以防止磁鼓,磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能,在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计,如信号线、电话线、空调、消防控制线,以及通风波导,门的关起等。
2、 对本地网、局域网传输线路传导辐射的抑制,由于电缆传输辐射信息的不可避免性,现均采用了光缆传输的方式,大多数均在Modem出来的设备用光电转换接口,用光缆接出屏蔽室外进行传输。
3、 对终端设备辐射的防范
终端机尤其是CRT显示器,由于上万伏高压电子流的作用,辐射有极强的信号外泄,但又因终端分散使用不宜集中采用屏蔽室的办法来防止,故现在的要求除在订购设备上尽量选取低辐射产品外,目前主要采取主动式的干扰设备如干扰机来破坏对应信息的窃复,个别重要的首脑或集中的终端也可考虑采用有窗子的装饰性屏蔽室,此类虽降低了部份屏蔽效能,但可大大改善工作环境,使人感到在普通机房内一样工作。
安全控制是指在网络信息系统中对存贮和传输的信息的操作和进程进行控制和管理,重点是在网络信息处理层次上对信息进行初步的安全保护。安全控制可以分为以下三个层次:
1)操作系统的安全控制。包括:对用户的合法身份进行核实(比如,开机时要求键入口令)、对文件的读写存取的控制(比如,文件属性控制机制)。此类安全控制主要保护被存贮数据的安全。
2)网络接口模块的安全控制。在网络环境下对来自其他机器的网络通信进程进行安全控制。此类控制主要包括身份认证、客户权限设置与判别、审计日志等。
3)网络互联设备的安全控制。对整个子网内的所有主机的传输信息和运行状态进行安全监测和控制。此类控制主要通过网管软件或路由器配置实现。需要指明的是,安全控制主要通过现有的操作系统或网管软件、路由器配置等实现。安全控制只提供了初步的安全功能和网络信息保护。
安全服务是指在应用程序层对网络信息的保密性、完整性和信源的真实性进行保护和鉴别,满足用户的安全需求,防止和抵御各种安全威胁和攻击手段。安全服务可以在一定程度上弥补和完善现有操作系统和网络信息系统的安全漏洞。安全服务的主要内容包括:安全机制、安全连接、安全协议、安全策略等。
1)安全机制是利用密码算法对重要而敏感的数据进行处理。比如,以保护网络信息的保密性为目标的数据加密和解密;以保证网络信息来源的真实性和合法性为目标的数字签名和签名验证;以保护网络信息的完整性,防止和检测数据被修改、插入、删除和改变的信息认证等。安全机制是安全服务乃至整个网络信息安全系统的核心和关键。现代密码学在安全机制的设计中扮演着重要的角色。
2)安全连接是在安全处理前与网络通信方之间的连接过程。安全连接为安全处理进行了必要的准备工作。安全连接主要包括会话密钥的分配和生成和身份验证。后者旨在保护信息处理和操作的对等双方的身份真实性和合法性。
3)安全协议。协议是多个使用方为完成某些任务所采取的一系列的有序步骤。协议的特性是:预先建立、相互同意、非二义性和完整性。安全协议使网络环境下互不信任的通信方能够相互配合,并通过安全连接和安全机制的实现来保证通信过程的安全性、可靠性和公平性。
4)安全策略。安全策略是安全体制、安全连接和安全协议的有机组合方式,是网络信息系统安全性的完整的解决方案。安全策略决定了网络信息安全系统的整体安全性和实用性。不同的网络信息系统和不同的应用环境需要不同的安全策略。
网络安全的目标 通俗地说,网络信息安全与保密主要是指保护网络信息系统,使其没有危险、不受威胁、不出事故。从技术角度来说,网络信息安全与保密的目标主要表现在系统的保密性、完整性、真实性、可靠性、可用性、不可抵赖性等方面。
1:可靠性
可靠性是网络信息系统能够在规定条件下和规定的时间内完成规定的功能的特性。可靠性是系统安全的最基于要求之一,是所有网络信息系统的建设和运行目标。网络信息系统的可靠性测度主要有三种:抗毁性、生存性和有效性。
2.抗毁性是指系统在人为破坏下的可靠性。比如,部分线路或节点失效后,系统是否仍然能够提供一定程度的服务。增强抗毁性可以有效地避免因各种灾害(战争、地震等)造成的大面积瘫痪事件。 生存性是在随机破坏下系统的可靠性。生存性主要反映随机性破坏和网络拓扑结构对系统可靠性的影响。这里,随机性破坏是指系统部件因为自然老化等造成的自然失效。 有效性是一种基于业务性能的可靠性。有效性主要反映在网络信息系统的部件失效情况下,满足业务性能要求的程度。比如,网络部件失效虽然没有引起连接性故障,但是却造成质量指标下降、平均延时增加、线路阻塞等现象。 可靠性主要表现在硬件可靠性、软件可靠性、人员可靠性、环境可靠性等方面。硬件可靠性最为直观和常见。软件可靠性是指在规定的时间内,程序成功运行的概率。人员可靠性是指人员成功地完成工作或任务的概率。人员可靠性在整个系统可靠性中扮演重要角色,因为系统失效的大部分原因是人为差错造成的。人的行为要受到生理和心理的影响,受到其技术熟练程度、责任心和品德等素质方面的影响。因此,人员的教育、培养、训练和管理以及合理的人机界面是提高可靠性的重要方面。环境可靠性是指在规定的环境内,保证网络成功运行的概率。这里的环境主要是指自然环境和电磁环境。
3:可用性
可用性是网络信息可被授权实体访问并按需求使用的特性。即网络信息服务在需要时,允许授权用户或实体使用的特性,或者是网络部分受损或需要降级使用时,仍能为授权用户提供有效服务的特性。可用性是网络信息系统面向用户的安全性能。网络信息系统最基本的功能是向用户提供服务,而用户的需求是随机的、多方面的、有时还有时间要求。可用性一般用系统正常使用时间和整个工作时间之比来度量。可用性还应该满足以下要求:身份识别与确认、访问控制(对用户的权限进行控制,只能访问相应权限的资源,防止或限制经隐蔽通道的非法访问。包括自主访问控制和强制访问控制)、业务流控制(利用均分负荷方法,防止业务流量过度集中而引起网络阻塞)、路由选择控制(选择那些稳定可靠的子网,中继线或链路等)、审计跟踪(把网络信息系统中发生的所有安全事件情况存储在安全审计跟踪之中,以便分析原因,分清责任,及时采取相应的措施。审计跟踪的信息主要包括:事件类型、被管客体等级、事件时间、事件信息、事件回答以及事件统计等方面的信息。)
4: 保密性
保密性是网络信息不被泄露给非授权的用户、实体或过程,或供其利用的特性。即,防止信息泄漏给非授权个人或实体,信息只为授权用户使用的特性。保密性是在可靠性和可用性基础之上,保障网络信息安全的重要手段。 常用的保密技术包括:防侦收(使对手侦收不到有用的信息)、防辐射(防止有用信息以各种途径辐射出去)、信息加密(在密钥的控制下,用加密算法对信息进行加密处理。即使对手得到了加密后的信息也会因为没有密钥而无法读懂有效信息)、物理保密(利用各种物理方法,如限制、隔离、掩蔽、控制等措施,保护信息不被泄露)。