大连交通大学

大连交通大学 目 录 第1章 前言1.1 网络安全发展历史与现状分析............ 错误～未定义书签。 1.1.1因特网的发展及其安全问题..................... 错误～未定义书签。 1.1.2我国网络安全现状及发展趋势................. 错误～未定义书签。 1.3 论文的主要任务................................................................................... 42 ...................................................................................... 错误～未定义书签。 第2章 网络安全概述........................................................................................ 43 2.1网络安全的含义.................................................................................... 43 2.2 网络安全的属性................................................................................... 43 2.3 网络安全机制....................................................................................... 44 2.3.1 网络安全技术机制.................................................................... 44 2.4 网络安全策略....................................................................................... 44 2.4.1 安全策略的分类........................................................................ 44 2.4.2 安全策略的配置........................................................................ 45 2.4.3 安全策略的实现流程................................................................ 45 2.5 网络安全发展趋势............................................................................... 45 第3章 网络安全问题解决对策........................................................................ 46 3.1计算机安全级别的划分........................................................................ 46 3.1.1 TCSEC简介 ............................................................................... 46 3.1.2 GB17859划分的特点 ................................................................ 49 3.1.3安全等级模型..................................................................... 49 3.2 防火墙技术........................................................................................... 49 3.2.1防火墙的基本概念与作用......................................................... 50 3.3 入侵检测技术....................................................................................... 52 3.3.1 入侵检测系统............................................................................ 52 3.3.2 入侵检测分类............................................................................ 53 3.3.3入侵检测系统............................................................................. 54 3.3.4代理(Agent)技术 ........................................................................ 54 3.3.5 入侵检测与防火墙实现联动.................................................... 55 3.4 数据加密技术....................................................................................... 55 3.4.1 数据加密原理............................................................................ 55 3.4.2 对称密钥体系............................................................................ 56 3.4.3 非对称密钥体系........................................................................ 56 3.4.4数据信封技术............................................................................. 57 3.5 反病毒技术........................................................................................... 57 3.5.1 计算机病毒的介绍.................................................................... 57 3.5.2 计算机病毒的组成与分类........................................................ 57 3.5.3 病毒的检测和清除.................................................................... 57 第4章 网络安全防范........................................................................................ 58 4.1 telnet入侵防范 ...................................................................................... 58 4.2 防止Administrator账号被破解 .......................................................... 59 4.3 防止账号被暴力破解........................................................................... 59 4.4.2 “木马”的防范措施................................................................ 60 4.5.2网页恶意代码的防范措施......................................................... 61 4.6 嗅探器(sniffer)的防范 .................................................................... 61 4.6.1 Sniffer的工作原理 .................................................................... 61 4.6.2 Sniffer的检测和防范 ................................................................ 62 4.7 数据密文防范措施............................................................................... 62 4.8 其它网络攻击与防范措施................................................................... 62 4.8.1 源IP地址欺骗攻击 .................................................................. 62 4.8.2 源路由欺骗攻击........................................................................ 62 4.8.3 拒绝服务攻击及预防措施........................................................ 63 5.1 校园网络安全............................................................................... 63 5.2 安全建议....................................................................................... 64 5.2.1 校园网络状况分析.................................................................... 64 5.2.2 网络安全目标............................................................................ 64 5.3 校园网络安全技术的应用................................................................... 64 5.3.1网络攻击的概念......................................................................... 64 5.3.2 建立网络安全模型.................................................................... 65 5.3.3 数据备份方法............................................................................ 65 5.3.4 防火墙技术................................................................................ 66 5.3.5入侵检测技术............................................................................. 67 5.4 校园安全隐患....................................................................................... 67 5.5 校园网主动防御体系........................................................................... 68 5.5.2校园网络安全防范体系............................................................. 69 5.6 其他网络安全解决方案....................................................................... 71 5.6.1关闭不必要的端口..................................................................... 71 5.6.2 巩固安全策略............................................................................ 71 第6章 结束语.................................................................................................... 72 参考文献(.......................................................................................................... 73 论文小结.............................................................................................................. 75 附录...................................................................................................................... 76 第1章 前言 1.1 网络安全发展历史与现状分析 1.1.1因特网的发展及其安全问题 随着计算机技术的发展，在计算机上处理业务已由基于单机的数学运算、文件处理，基于 简单连结的内部网络的内部业务处理、办公自动化等发展到基于企业复杂的内部网、企业外 部网、全球互联网的企业级计算机处理系统和世界范围内的信息共享和业务处理。在信息处 理能力提高的同时，系统的连结能力也在不断的提高。但在连结信息能力、流通能力提高的 同时，基于网络连接的安全问题也日益突出。 主要表现在以下方面: (一)网络的开放性带来的安全问题 Internet的开放性以及其他方面因素导致了网络环境下的计算机系统存在很多安全问题。为了解决这些安全问题，各种安全机制、策略、管理和技术被研究和应用。然而，即使在使用了现有的安全工具和技术的情况下，网络的安全仍然存在很大隐患，这些安全隐患主要可以包括为以下几点: (1) 安全机制在特定环境下并非万无一失。比如防火墙，它虽然是一种有效的安全工具，可以隐蔽内部网络结构，限制外部网络到内部网络的访问。但是对于内部网络之间的访问，防火墙往往是无能为力的。因此，对于内部网络到内部网络之间的入侵行为和内外勾结的入侵行为，防火墙是很难发觉和防范的。 (2)安全工具的使用受到人为因素的影响。一个安全工具能不能实现期望的效果，在很大程度上取决于使用者，包括系统管理者和普通用户，不正当的设置就会产生不安全因素。例如，Windows NT在进行合理的设置后可以达到C2级的安全性，但很少有人能够对Windows NT本身的安全策略进行合理的设置。虽然在这方面，可以通过静态扫描工具来检测系统是否进行了合理的设置，但是这 些扫描工具基本上也只是基于一种缺省的系统安全策略进行比较，针对具体的应用环境和专门的应用需求就很难判断设置的正确性。 (3)系统的后门是难于考虑到的地方。防火墙很难考虑到这类安全问题，多数情况下，这类入侵行为可以堂而皇之经过防火墙而很难被察觉;比如说，众所周知的ASP源码问题，这个问题在IIS服务器4.0以前一直存在，它是IIS服务的设计者留下的一个后门，任何人都可以使用浏览器从网络上方便地调出ASP程序的源码，从而可以收集系 统信息，进而对系统进行攻击。对于这类入侵行为，防火墙是无法发觉的，因为对于防火墙来说，该入侵行为的访问过程和正常的WEB访问是相似的，唯一区别是入侵访问在请求链接中多加了一个后缀。 (4) BUG难以防范。甚至连安全工具本身也可能存在安全的漏洞。几乎每天都有新的BUG被发现和公布出来，程序设计者在修改已知的BUG的同时又可能使它产生了新的BUG。系统的BUG经常被黑客利用，而且这种攻击通常不会产生日志，几乎无据可查。比如说现在很多程序都存在内存溢出的BUG，现有的安全工具对于利用这些BUG的攻击几乎无法防范。 (5)黑客的攻击手段在不断地升级。安全工具的更新速度慢，且绝大多数情况需要人为的参与才能发现以前未知的安全问题，这就使得它们对新出现的安全问题总是反应迟钝。当安全工具刚发现并努力更正某方面的安全问题时，其他的安全问题又出现了。因此，黑客总是可以使用先进的、安全工具不知道的手段进行攻击。 (二)网络安全的防护力脆弱，导致的网络危机 (1)根据Warroon Research的调查，1997年世界排名前一千的公司几乎都曾被黑客闯入。 (2) 据美国FBI统计，美国每年因网络安全造成的损失高达75亿美元。 (3) Ernst和Young报告，由于信息安全被窃或滥用，几乎80%的大型企业遭受损失。 (4)最近一次黑客大规模的攻击行动中，雅虎网站的网络停止运行3小时，这令它损失了几百万美金的交易。而据统计在这整个行动中美国经济共损失了十多亿美金。由于业界人心惶惶，亚马逊(Amazon.com)、AOL、雅虎(Yahoo!)、eBay的股价均告下挫，以科技股为主的那斯达克指数(Nasdaq)打破过去连续三天创下新高的升势，下挫了六十三点，杜琼斯工业平均指数周三收市时也跌了二百五十八点。 (三)网络安全的主要威胁因素 (1)软件漏洞:每一个操作系统或网络软件的出现都不可能是无缺陷和漏洞的。这就使我们的计算机处于危险的境地，一旦连接入网，将成为众矢之的。 (2)配置不当:安全配置不当造成安全漏洞，例如，防火墙软件的配置不正确，那么它根本不起作用。对特定的网络应用程序，当它启动时，就打开了一系列的安全缺口，许多与该软件捆绑在一起的应用软件也会被启用。除非用户禁止该程序或对其进行正确配置，否则，安全隐患始终存在。 (3)安全意识不强:用户口令选择不慎，或将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。 (4)病毒:目前数据安全的头号大敌是计算机病毒，它是编制者在计算机程序中插入的破坏计算机功能或数据，影响计算机软件、硬件的正常运行并且能够自我复制的一组计算机指令或程序代码。计算机病毒具有传染性、寄生性、隐蔽性、触发性、破坏性等特点。因此，提高对病毒的防范刻不容缓。 (5)黑客:对于计算机数据安全构成威胁的另一个方面是来自电脑黑客(backer)。电脑黑客利用系统中的安全漏洞非法进入他人计算机系统，其危害性非常大。从某种意义上讲，黑客对信息安全的危害甚至比一般的电脑病毒更为严重 1.1.2我国网络安全现状及发展趋势 因特网在我国的迅速普及，我国境内信息系统的攻击事件也正在呈现快速增长的势头。据了解，从1997年底到现在，我国的政府部门、证券公司、银行、ISP, ICP等机构的计算机网络相继遭到多次攻击。因此，加强网络信息安全保障 目前我国网络安全的现状和面临的威胁主要有: 图 1-0-1 已成为当前的迫切任务。 (1)计算机网络系统使用的软、硬件很大一部分是国外产品，我们对引进的信息技术和设备缺乏保护信息安全所必不可少的有效管理和技术改造。 (2)全社会的信息安全意识虽然有所提高，但将其提到实际日程中来的依然很少。 (3)目前关于网络犯罪的法律、法规还不健全。 (4)我国信息安全人才培养还不能满足其需要。 1.2校园网存在的安全问题 与其它网络一样，校园网也会受到相应的威胁，大体可分为对网络中数据信息的危害和对网络设备的危害。具体来说包括: (1)非授权访问;即对网络设备及信息资源进行非正常使用或越权使用等。 (2)冒充合法用户;即利用各种假冒或欺骗的手段非法获得合法用户的使用权限，以达到占用合法用户资源的目的。 (3)破坏数据的完整性;即使用非法手段，删除、修改、重发某些重要信息，以干扰用户的正常使用。 (4)干扰系统正常运行;指改变系统的正常运行方法，减慢系统的响应时间等手段。 (5)病毒与恶意的攻击;即通过网络传播病毒或进行恶意攻击。 除此之外，校园网还面对形形色色、良莠不分的网络资源，如不进行识别和过滤，那么会造成大量非法内容或邮件出入，占用大量流量资源，造成流量堵塞、上网速度慢等问题。许多校园网是从局域网发展来的，由于意识与资金方面的原因，它们在安全方面往往没有太多的设置，这就给病毒和黑客提供了生存的空间。因此，校园网的网络安全需求是全方位的。图 1-0-1 1.3 论文的主要任务 计算机网络所具有的开发性、互连性和共享性等特征使网上信息安全存在先天的不足，加上系统软件本身的安全漏洞以及所欠缺的严格管理，致使网络易受黑客，恶意软件的攻击， 因此对网络的安全所采取的措施，应能全方位地针对各种威胁，保障网络信息的保密性、完整性和可用性。 第2章 网络安全概述 2.1网络安全的含义 网络安全从其本质来讲就是网络上信息安全，它涉及的领域相当广泛，这是因为目前的公用通信网络中存在着各式各样的安全漏洞和威胁。广义上讲，凡是涉及到网络上信息的保密性、完整性、可用性和可控性的相关技术和理论，都是网络安全的研究领域。 网络安全是指网络系统的硬件，软件及数据受到保护，不遭受偶然或恶意的破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断[1]。且在不同环境和应用中又不同的解释。 (1)运行系统安全:即保证信息处理和传输系统的安全，包括计算机系统机房环境和传输环境的法律保护、计算机结构设计的安全性考虑、硬件系统的安全运行、计算机操作系统和应用软件的安全、数据库系统的安全、电磁信息泄露的防御等。 (2)网络上系统信息的安全:包括用户口令鉴别、用户存取权限控制、数 据存取权限、方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密 等。 (3)网络上信息传输的安全:即信息传播后果的安全、包括信息过滤、不 良信息过滤等。 (4)网络上信息 范措施是密码技术。 (2)完整性:是指保证信息与信息系统可被授权人正常使用，主要防范措 施是确保信息与信息系统处于一个可靠的运行状态之下。 以上可以看出:在网络中，维护信息载体和信息自身的安全都包括了机 密性、完整性、可用性这些重要的属性。 2.3 网络安全机制 网络安全机制是保护网络信息安全所采用的措施，所有的安全机制都是 针对某些潜在的安全威胁而设计的，可以根据实际情况单独或组合使用。如何在 有限的投入下合理地使用安全机制，以便尽可能地降低安全风险，是值得讨论的，网络信息安全机制应 包括:技术机制和管理机制两方面的内容。 2.3.1 网络安全技术机制 网络安全技术机制包含以下内容: (1)加密和隐藏。加密使信息改变，攻击者无法了解信息的内容从而达到 保护;隐藏则是将有用信息隐藏在其他信息中，使攻击者无法发现。 (2)认证和授权。网络设备之间应互认证对方的身份，以保证正确的操 作权力赋予和数据的存取控制;同时网络也必须认证用户的身份，以授权保证合 法的用户实施正确的操作。 (3)审计和定位。通过对一些重要的事件进行记录，从而在系统中发现 错误或受到攻击时能定位错误并找到防范失效的原因，作为内部犯罪和事故后调 查取证的基础。 (4)完整性保证。利用密码技术的完整性保护可以很好地对付非法篡改， 当信息源的完整性可以被验证却无法模仿时，可提供不可抵赖服务。 (5)权限和存取控制:针对网络系统需要定义的各种不同用户，根据正 确的认证，赋予其适当的操作权力，限制其越级操作。 (6)任务填充:在任务间歇期发送无用的具有良好模拟性能的随机数据，以增加攻击者通过分析通信流量和破译密码获得信息难度。 2.3.2 网络安全管理机制 网络信息安全不仅仅是技术问题，更是一个管理问题，要解决网络信息安全问题，必须制定正确的目标策略，设计可行的技术方案，确定合理的资金技术，采取相应的管理措施和依据相关法律制度。 2.4 网络安全策略 策略通常是一般性的规范，只提出相应的重点，而不确切地说明如何达到所要的结果，因此策略属于安全技术规范的最高一级。 2.4.1 安全策略的分类 安全策略分为基于身份的安全策略和基于规则的安全策略种。基于身份的安全策略是过滤对数据或资源的访问，有两种执行方法:若访问权限为访问者所有，典型的作法为特权标记或特殊授权，即仅为用户及相应活动进程进行授权;若为访问数据所有则可以采用访问控制表(ACL)。这两种情况中，数据项的大小有很大的变化，数据权力命名也可以带自己的ACL[3]。 基于规则的安全策略是指建立在特定的，个体化属性之上的授权准则，授权通常依赖于敏感性。在一个安全系统中，数据或资源应该标注安全标记，而且用户活动应该得到相应的安全标记。 2.4.2 安全策略的配置 开放式网络环境下用户的合法权益通常受到两种方式的侵害:主动攻击和被动攻击，主动攻击包括对用户信息的窃取，对信息流量的分析。根据用户对安全的需求才可以采用以下的保护: (1)身份认证;检验用户的身份是否合法、防止身份冒充、及对用户实施访问控制数据完整性鉴别、防止数据被伪造、修改和删除。 (2)信息保密;防止用户数据被泄、窃取、保护用户的隐私。 (3)数字签名;防止用户否认对数据所做的处理。 (4)访问控制;对用户的访问权限进行控制。 (5)不可否认性;也称不可抵赖性，即防止对数据操作的否认。 2.4.3 安全策略的实现流程 安全策略的实现涉及到以下及个主要方面，如图2-1所示。 图 2-1 安全策略实现流程 (1)证书管理。主要是指公开密银证书的产生、分配更新和验证。 (2)密银管理。包括密银的产生、协商、交换和更新，目的是为了在通信的终端系统之间建立实现安全策略所需的共享密银。 (3)安全协作。是在不同的终端系统之间协商建立共同采用的安全策略，包括安全策略实施所在层次、具体采用的认证、加密算法和步骤、如何处理差错。 (4)安全算法实现:具体算法的实现，如PES、RSA. (5)安全策略数据库:保存与具体建立的安全策略有关的状态、变量、指针。 2.5 网络安全发展趋势 总的看来，对等网络将成为主流，与网格共存。网络进化的未来—绿色网络—呼唤着新的 信息安全保障体系。 国际互联网允许自主接入，从而构成一个规模庞大的，复杂的巨系统，在如此复杂的环境下，孤立的技术发挥的作用有限，必须从整体的和体系的角度，综合运用系统论，控制论和信息论等理论，融合各种技术手段，加强自主创新和顶层设计，协同解决网络安全问题。 保证网络安全还需严格的手段，未来网络安全领域可能发生三件事，其一是向更高级别的认证转移;其二，目前存储在用户计算机上的复杂数据将“向上移动”，由与银行相似的机构确保它们的安全;第三，是在全世界的国家和地区建立与驾照相似的制度，它们在计算机销售时限制计算机的运算能力，或要求用户演示在自己的计算机受到攻击时抵御攻击的能力[5]。 第3章 网络安全问题解决对策 3.1计算机安全级别的划分 3.1.1 TCSEC简介 1999年9月13日国家质量技术监督局公布了我国第一部关于计算机信息系统安全等级划分的标准“计算机信息系统安全保护等级划分准则”(GB17859-1999)。而国外同标准的是美国国防部在1985年12月公布的可信计算机系统评价标准TCSEC(又称桔皮书)。在TCSEC划分了7个安全等级:D级、C1级、C2级、B1级、B2级、B3级和A1级。其中D级是没有安全机制的级别，A1级是难以达到的安全级别，如表 错误～未找到图形项目表。所示: 表3-1网络安全等级及安全级别的性能要求 安全级别 名 称 说明 D1 酌情安全保护 对硬件和操作系统几乎无保护，对信息的访问无控制 C1 自选安全保护 由用户注册名和口令的组合来确定用户对信息的访问权限 B1 被标签的安全性保护 许可权限 B2 结构化保护 要求对计算机中所有信息加以标签，并且对设备分配单个或多个安全级别 B3 安全域保护 使用安全硬件的方法来加强域的管理 终端与系统的连接途径可信任 A 核实保护 下面对下各个安全级别进行介绍: 系统不同来源必须有安全措施必须在销售过程中实施 为强制性访问控制，不允许文件的 拥有者改变其 (1)D类安全等级:D类安全等级只包括D1一个级别。D1的安全等级最低。D1系统只为文件和用户提供安全保护。D1系统最普通的形式是本地操作系统，或者是一个完全没有保护的网络。 (2)C类安全等级:该类安全等级能够提供审慎的保护，并为用户的行动和责任提供审计能力。C类安全等级可划分为C1和C2两类。C1系统的可信任运算基础体制(Trusted Computing Base，TCB)通过将用户和数据分开来达到安全的目的。在C1系统中，所有的用户以同样的灵敏度来处理数据，即用户认为C1系统中的所有文档都具有相同的机密性。C2系统比C1系统加强了可调的审慎控制。在连接事件和资源隔离来增强这种控制。C2系统具有C1系统中所有的安全性特征。 (3)B类安全等级:B类安全等级可分为B1、B2和B3三类。B类系统具有强制性保护功能。强制性保护意味着如果用户没有与安全等级相连，系统就不会让用户存取对象。B1系统满足下列要求:系统对网络控制下的每个对象都进行灵敏度标记;系统使用灵敏度标记作为所有强迫访问控制的基础;系统在把导入的、非标记的对象放入系统前标记它们;灵敏度标记必须准确地表示其所联系的对象的安全级别;当系统管理员创建系统或者增加新的通信通道或I/O设备时，管理员必须指定每个通信通道和I/O设备是单级还是多级，并且管理员只能手工改变指定;单级设备并不保持传输信息的灵敏度级别;所有直接面向用户位置的输出(无论是虚拟的还是物理的)都必须产生标记来指示关于输出对象的灵敏度;系统必须使用用户的口令或证明来决定用户的安全访问级别;系统必须通过审计来记录未授权访问的企图。B2系统必须满足B1系统的所有要求。另外，B2系统的管理员必须使用一个明确的、文档化的安全策略模式作为系统的可信任运算基础体制。B2系统必须满足下列要求:系统必须立即通知系统中的每一个用户所有与之相关的网络连接的改变;只有用户能够在可信任通信路径中进行初始化通信;可信任运算基础体制能够支持独立的操作者和管理员。B3系统必须符合B2系统的所有安全需求。B3系统具有很强的监视委托管理访问能力和抗干扰能力。B3系统必须设有安全管理员。B3系统应满足以下要求: (a)B3必须产生一个可读的安全列表，每个被命名的对象提供对该对象没有访问权的用户列表说明; (b)B3系统在进行任何操作前，要求用户进行身份验证; (c)B3系统验证每个用户，同时还会发送一个取消访问的审计跟踪消息;设计者必须正确区分可信任的通信路径和其他路径;可信任的通信基础体制为每一个被命名的对象建立安全审计跟踪;可信任的运算基础体制支持独立的安全管理。 (4)A类安全等级:A系统的安全级别最高。目前，A类安全等级只包含A1一个安全类别。A1类与B3类相似，对系统的结构和策略不作特别要求。A1系统的显著特征是，系统的设计者必须按照一个正式的设计规范来分析系统。对系统分析后，设计者必须运用核对技术来确保系统符合设计规范。A1系统必须满足下列要求:系统管理员必须从开发者那里接收到一个安全策略的正式模型;所有的安装操作都必须由系统管理员进行;系统管理员进行的每一步安装操作都必须有正式文档。 3.1.2 GB17859划分的特点 GB17859把计算机信息安全保护能力划分为5个等级，它们是:系统自我保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。这5个级别的安全强度从低到高排列让高一级包括低一级的安全能力，如表3-2所示。 表3-2 GB17859的划分标准 安全能力 一级 强制访问控制 标记 二级 三级 四级 五级 自主访问控制 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 身份鉴别 ? ? ? ? ? 客体重用 审计 ? ? ? ? ? ? ? 数据完整 ? ? ? ? ? 隐蔽信道分析 可信路径 可信恢复 相同。 3.1.3安全等级标准模型 计算机信息系统的安全模型主要又访问监控器模型、军用安全模仿和信息流模型等三类模型，它们是定义计算机信息系统安全等级划分标准的依据。 (1)访问监控模型:是按TCB要求设计的，受保护的客体要么允许访问，要么不允许访问。 (2)常用安全模型:是一种多级安全模型，即它所控制的信息分为绝密、机密、秘密和无密4种敏感级。 (3)信息流模型:是计算机中系统中系统中信息流动路径，它反映了用户 ? ? 注: “?”:新增功能;“?”:比上一级功能又所扩展;“?”:与上一级功能 在计算机系统中的访问意图。信息流分直接的和间接的两种。 3.2 防火墙技术 随着网络安全问题日益严重，网络安全技术和产品也被人们逐渐重视起来，防火墙作为最早出现的网络安全技术和使用量最大的网络安全产品，受到用户和研发机构的亲睐。 3.2.1防火墙的基本概念与作用 防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合，它执行预先制定的访问控制策略，决定了网络外部与网络内部的访问方式。 在网络中，防火墙实际是一种隔离技术，它所执行的隔离措施有: (1)拒绝未经授权的用户访问内部网和存取敏感数据。 (2)允许合法用户不受妨碍地访问网络资源。 而它的核心思想是在不安全的因特网环境中构造一个相对安全的子网环境，其目的是保护一个网络不受另一个网络的攻击，所以防火墙又有以下作用: (1)作为网络安全的屏障。一个防火墙作为阻塞节点和控制节点能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险，只有经过精心选择的应用才能通过防火墙，所以网络环境变得更安全。 (2)可以强化网络安全策略。通过以防火墙为中心的安全方案配置，能将所有的安全软件配置在防火墙上，体现集中安全管理更经济。 (3)对网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据，当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。 (4)防止内部信息的外泄。通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。 (5)支持具有因特网服务性的企业内部网络技术体系VPN。 3.2.2 防火墙的工作原理 从防火墙的作用可以看出，防火墙必须具备两个要求:保障内部网安全和保障内部网和外部网的联通。因此在逻辑上防火墙是一个分离器、限制器、分析器 [12]。有效地监控了内部网和外部网的任何活动，保证了内部网络的安全，其一般逻辑位置如图3-1所示。 图3-1 防火墙的逻辑示意图 防火墙根据功能实现在TCP/IP网络模型中的层次，其实现原理可以分为三类:在网络层实现防火墙功能为分组过滤技术;在应用层实现防火墙功能为 代理服务技术;在网络层，IP层，应用层三层实现防火墙为状态检测技术。 (1)分组过滤技术 实际上是基于路由器技术，它通常由分组过滤路由器对IP分组进行分组选择，允许或拒绝特定的IP数据包，工作于IP层。如表3-3 所示。 表3-3 分组过滤技术工作特点 5、应用层 4、TCP层 3、IP层 2、数据链路层 1、物理层 过滤一般基于一个IP分组的以下各域:第一、源/目的IP地址;第二、TCP/UDP源/目的端口。前者的过滤，即根据制定的安全规则，过滤掉具有特定IP地址的数据分组，从而保护内部网络;后者则是为分组过滤提供了更大的灵活性。 (2)代理服务技术 以一个高层的应用网关作为代理服务器，接受外来的应用连接请求，在代理服务器上进行安全检查后，再与被保护的应用服务器连接，使外部用户可以在受控制的前提下使用内部网络的服务，如图3-2所示。 图 3-2 代理服务器原理示意 代理服务技术工作在应用层，其工作情况如表3-3所示。 表3-3 代理服务技术工作特点 5、应用层 4、TCP层 3、IP层 2、数据链路层 1、物理层 由于代理服务作用于应用层，它能解释应用层上的协议，能够作复杂和更细 粒度的访问控制;同时，由于所有进出服务器的客户请求必须通过代理网关的检查，可以 作出精细的注册和审计记录，并且可以与认证、授权等安全手段方便地集成，为客户和服务提供更高层次的安全保护。 (3)状态检测技术 此技术工作在IP/TCP/应用层，它结合了分组过滤和代理服务技术的特点，它同分组过滤一样，在应用层上检查数据包的内容，分析高层的协议数据，查看内容是否符合网络安全策略。如表3-4所示。 表3-4状态检测技术工作情况 5、应用层 4、TCP层 3、IP层 2、数据链路层 1、物理层 3.3 入侵检测技术 仅仅依赖防火墙并不能保证足够的安全，为了解决非法入侵所造成的各种安全问题，安全厂商提出了建立入侵检测系统的解决方法。入侵检测技术是防火墙技术的有效补充，通过对计算机或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络中或系统中潜在的违反安全策略的行为和被攻击的迹象。 3.3.1 入侵检测系统 入侵检测系统功能构成，包括事件提取、入侵分析、入侵响应和远程管理四部分如图3-3所示。 图3-3 入侵检测系统组成 入侵检测所利用的信息一般来自以下四个方面:系统和网络日志文件、目录和文件中的不期望的改变、程序执行中的不期望行为、物理形式的入侵信息。常用的分析方法有模式匹配、统计分析、完整性分析。模式匹配是将收集到的信 息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。统计分析方法首先给系统对象(如用户、文件、目录和设备等)创建一个统计描述，统计正常使用时的一些测量属性。测量属性的平均值将被用来与网络、系统的行为进行比较。当观察值超出正常值范围时，就有可能发生入侵行为。 3.3.2 入侵检测分类 入侵检测通过对入侵和攻击行为的检测，查出系统的入侵者或合法用户对系统资源的滥用和误用。根据不同的检测方法，将入侵检测分为异常入侵检测和误用人侵检测。 (一)异常检测 又称为基于行为的检测。其基本前提是:假定所有的入侵行为都是异常的。首先建立系统或用户的“正常”行为特征轮廓，通过比较当前的系统或用户的行为是否偏离正常的行为特征轮廓来判断是否发生了入侵。此方法不依赖于是否表现出具体行为来进行检测，是一种间接的方法。常用的具体方法有:统计异常检测方法、基于特征选择异常检测方法、基于贝叶斯推理异常检测方法、基于贝叶斯网络异常检测方法、基于模式预测异常检测方法、基于神经网络异常检测方法、基于机器学习异常检测方法、基于数据采掘异常检测方法等。 采用异常检测的关键问题有如下两个方面: (1) 特征量的选择 在建立系统或用户的行为特征轮廓的正常模型时，选取的特征量既要能准确地体现系统或用户的行为特征，又能使模型最优化，即以最少的特征量就能涵盖系统或用户的行为特征。 (2) 参考阈值的选定 由于异常检测是以正常的特征轮廓作为比较的参考基准，因此，参考阈值的选定是非常关键的。阈值设定得过大，那漏警率会很高;阈值设定的过小，则虚警率就会提高。合适的参考阈值的选定是决定这一检测方法准确率的至关重要的因素。由此可见，异常检测技术难点是“正常”行为特征轮廓的确定、特征量的选取、特征轮廓的更新。由于这几个因素的制约，异常检测的虚警率很高，但对于未知的入侵行为的检测非常有效。此外，由于需要实时地建立和更新系统或用户的特征轮廓，这样所需的计算量很大，对系统的处理性能要求很高。 (二)误用检测 又称为基于知识的检测。其基本前提是:假定所有可能的入侵行为都能被识别和表示。首先，对已知的攻击方法进行攻击签名(攻击签名是指用一种特定的方式来表示已知的攻击模式)表示，然后根据已经定义好的攻击签名，通过判断这些攻击签名是否出现来判断入侵行为的发生与否。这种方法是依据是否出现攻击签名来判断入侵行为，是一种直接的方法。常用的具体方法有:基于条件概率 误用入侵检测方法、基于专家系统误用入侵检测方法、基于状态迁移分析、误用入侵检测方法、基于键盘监控误用入侵检测方法、基于模型误用入侵检测方法。误用检测的关键问题是攻击签名的正确表示。误用检测是根据攻击签名来判断入侵的，根据对已知的攻击方法的了解，用特定的模式语言来表示这种攻击，使得攻击签名能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。由于多数入侵行为是利用系统的漏洞和 应用程序的缺陷，因此，通过分析攻击过程的特征、条件、排列以及事件间的关系，就可具体描述入侵行为的迹象。这些迹象不仅对分析已经发生的入侵行为有帮助，而且对即将发生的入侵也有预警作用。误用检测将收集到的信息与已知的攻击签名模式库进行比较，从中发现违背安全策略的行为。由于只需要收集相关的数据，这样系统的负担明显减少。该方法类似于病毒检测系统，其检测的准确率和效率都比较高。 3.3.3入侵检测系统 入侵检测就是通过对系统数据的分析、发现非授权的网络访问和攻击行为， 然后采取报警、切断入侵线路等对抗措施。为此目的而设计的系统称为入侵检测 系统。一个简单的入侵检测系统，如图3-4所示。 图3-4简单的入侵检测系统 图3-7所示入侵检测系统的基本任务:通过实时检测网络系统状态，判断入侵行为发生，并产生报警。从功能实现的角度可以把这个系统划分为三大模块:信息收集模块、信息处理与通讯模块、入侵判断与反应模块。其中信息收集模块与特定的环境，监视的对象有比较密切的关系:信息处理与通讯模块，是对所收集到的数据进行预处理和分类，然后把处理的结果按照一定的格式传输给检测判断模块。最后由检测判断模块根据一定的安全策略判断入侵行为的发生并采取相应的反击。随着网络系统结构的复杂化和大型化，系统的弱点或漏洞将趋向于分布式。另外，入侵行为不再是单一的行为，而是表现出相互协作入侵的特点。入侵检测系统要求可适应性、可训练性、高效性、容错性、可扩展性等要求。不同的IDS之间也需要共享信息，协同检测。 3.3.4代理(Agent)技术 代理(Ageni)是指能在特定的环境下无须人工干预和监督完成某项工作的实体。它具有自适 应性、智能性和协作性。代理既能独立地完成自己的工作，又能与其它代理协作共同完成某项任务，且代理能够接受控制并能感知环境的变化而影响环境。代理分布于系统中的关键点及关键服务器，包括防火墙、对外提供各项服务的服务器、内部网关和服务器，完成绝大多数的入侵检测和响应任务。代理可以针对特定的应用环境进行配置和编程，使得代理占用负载最小。同时，代 理可以与其它代理和中心服务器进行有限的交互，交换数据和控制信息。由于代理是独立的功能实体，在一个多代理系统中，单个的功能代理能够增加到系统中去或从系统中删除，并且能够对某个代理进行重配置，而不会影响到系统的其它部分。可以看到，在一个由多代理组成的入侵检测系统中，单个代理的失效只会影响到该代理和与之协作的部分代理，系统的其它部分仍能正常工作。如果能将入侵检测系统的功能合理地分配给各个代理，就能大大减少系统失效的风险。多代理系统所具有的这些优点使之能较好地解决常规入侵检测系统的缺陷。 3.3.5 入侵检测与防火墙实现联动 防火墙与入侵检测这两种技术具有较强的互补性。目前，实现入侵检测和防火墙之间的联动有两种方式可以实现，一种是实现紧密结合，即把入侵检测系统嵌入到防火墙中，即入侵检测系统的数据来源不再来源于抓包，而是流经防火墙的数据流。所有通过的包不仅要接受防火墙检测规则的验证，还需要经过入侵检测，判断是否具有攻击性，以达到真正的实时阻断，这实际上是把两个产品合成一体。但是，由于入侵检测系统本身也是一个很庞大的系统，所以无论从实施难度、合成后的性能等方面都会因此受到很大影响。所以，目前还没有厂商做到这一步，仍处于理论研究阶段。但是不容否认，各个安全产品的紧密结合是一种趋势。第二种方式是通过开放接口来实现联动，即防火墙或者入侵检测系统开放一个接口供对方调用，按照一定的协议进行通讯、警报和传输。目前开放协议的常见形式有:安全厂家提供IDS的开放接口，供各个防火墙厂商使用，以实现互动。这种方式比较灵活，不影响防火墙和入侵检测系统的性能。 3.4 数据加密技术 数据加密技术是网络中最基本的安全技术，主要是通过对网络中传输的信息进行数据加密来保障其安全性，这是一种主动安全防御策略，用很小的代价即可为信息提供相当大的安全保护。 3.4.1 数据加密原理 数据加密是通过某种函数进行变换，把正常数据包文(称为明文或明码)转换为密文(密码)。解密是指把密文还原成明文的过程。密码体制是指一个系统所采用基本工作方式以及它的两个基本构成要素，即加密/解密算法和密钥。密钥是一个数值，它和加密算法一起生成特别的密文。传统密码体制所用的加密密钥和解密密钥相同，称为对称密码体制。如果加密密钥和解密密钥不相同，则称为非对称密码体制，密钥可以看作是密码算法中的可变参数。从数学的角度来看，改变了密钥，实际上也就改变了明文与密文之间等价的数学函数关系。密码算法是相对稳定的，在这种意义上，可以把密码算法视为常量，而密钥则是一个变量。在设计加密系统中，加密算法是可以公开的，真正需要保密的是密钥，密钥本质是非常大的数，密钥大小用位表示。在公开密钥加密方法中，密钥越大密 文就越安全。利用密码技术，在信源和通信信道之间对报文进行加密，经过信道传输，到信宿接收时进行解密，以实现网络通信保密，加密与解密过程如图3-5所示 。 3.4.2 对称密钥体系 在对称型密钥体系中，加密和解密采用同一密钥，故将这种体系称为秘密密钥密码体制或私钥密码体制，如图3-6所示 图3-6 对称密钥体制的加密与解密 在对称密码体系中，最为著名的是DES分组算法，DES将二进制序列明文分为每64位一组，使用64位的密钥，对64位二进制数进行分组加密，每轮产生一个48位的“每轮”密钥值，并参与下一轮的加密过程，经过16轮的迭代、乘积变换、压缩等处理后产生64位密文数据，DES加密过程如图3-7所示。 图3-7 DES加密过程 另一个成功的分组加密算法，它的核心是一个乘法/加法非线性构件，通过8轮迭代，能使明码数据更好地扩散和混淆[16]。 3.4.3 非对称密钥体系 非对称加密技术将加密和解密分开并采用一对不同的密钥进行。其工作原理如图3-8所示。 图3-8 非对称密钥体系的加密与解密 RSA算法的原理是数论的欧拉原理:寻求两个大的素数容易，将它们的乘积分解开及其困难，具体做法是:选择两个100位的十进制大素数p和q，计算出它们的积N=pq,将N公开;再计算出N的欧拉函数，Φ(N)=(p-1)*(q-1),定 义Φ(N)为小于等于N且与N互素的数个数;然后，用户从[0, Φ(N)-1] 中任选一个与Φ(N)互素的数e，同时根据下式计算出另一个数d: ed=1 modΦ(N)这样就产生了一对密钥:pk=(e,N),sk=(d,N).若用整数X表示明文，Y表示密文，则有，加密:Y= Xe modN;解密:X=Ye modN。 3.4.4数据信封技术 数字信封中采用了单钥密码体制和公钥密码体制。信息发送者首先利用随机产生的对称密码加密信息，再利用接收方的公钥加密对称密码，被公钥加密后的对称密码称之为数字信封。信息接收方要解密信息时，必须先用自己的私钥解密数字信封，得到对称密码，再利用对称密码解密所得到的信息，这样就保证了数据传输的真实性和完整性，如图3-9所示。 图3-9 数据信封技术 3.5 反病毒技术 3.5.1 计算机病毒的介绍 计算机病毒就是能够通过某种途径潜伏在计算机存储介质里，当达到某种条件时，即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合。 随着计算机技术的发展尤其是网络技术的普及，计算机病毒进入了一个新的阶段---网络蠕虫病毒暴发阶段，2001至今，网络蠕虫已经成为网络病毒的主流。 3.5.2 计算机病毒的组成与分类 经对目前出现的计算机病毒的分析发现，所有计算机病毒都是由三部分组成的，即病毒引导模块、病毒传染模块和病毒表现模块。计算机病毒程序组成如图3-10所示。 图3-10 计算机病毒程序组成 (1)引导模块:负责将病毒引导到内存，并向系统中请求一定的存储空间，对相应的存储空间实施保护，以防止其他程序覆盖，并且修改系统的一些功能入口，在这些入口处引导病毒传染模块和病毒实现模块。 (2)传染模块:它是整个病毒程序的核心，传染模块又分为两部分:判断部分、传染部分。 (3)表现模块:包括病毒触发条件判断和具体表现。 而从技术来分可以分为:网络病毒、邮件病毒、文件型病毒、宏病毒、引导型病毒、变体病毒、混合型病毒、其它类型病毒(java,pdf,图文病毒)[19]。 3.5.3 病毒的检测和清除 想要知道自己的计算机中是否染有病毒，可以根据以下几种情况来做简单判 断。 (1)计算机执行速度越来越慢。 (2)系统出现莫名其妙的死机或者重启。 (3)网络速度变慢或者出现一些陌生的网络连接。 (4)文件夹无缘无故多了一些文件。 (5)突然出现蓝屏或无端黑屏等。 除此以外，还可以用几种专业手段来检查: (1)比较法 用原始备份与被检测的引导扇区或被监测的文件进行比较，比较时可以靠打印的代码清除。 (2)搜索法 利用每一种计算机病毒体含有的特定字符串对被检测的对象进行扫描。如果在被检测对象内部发现了某一种特定字符串，就表明发现了该字符串所代表的计算机病毒。 (3)分析法 计算机病毒检测分析法是防杀计算机病毒工作中不可缺少的重要技术，需要专门人员对各种病毒详尽地分析。 (4)人工智能陷阱技术和宏病毒陷阱技术 人工智能陷阱是一种监测计算机行为的常驻或扫描技术。它将所有的计算机病毒所产生的行为归纳起来，一旦发现内存中的程序有任何不当的行为，系统就会有所警觉，并告知使用者;宏病毒陷阱技术是结合了搜索法和人工智能陷阱技术，依行为模式来侦测已知及未知的宏病毒。 (5)软件仿真扫描法 软件仿真技术是成功地仿真CPU执行，在DOS虚拟机下伪执行计算机病毒程序，安全并确定地将其解密使其显露本来的面目，再加以扫描。 第4章 网络安全防范 4.1 telnet入侵防范 Telnet协议是TCP/IP协议族中的一员，是Internet远程登录服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终端使用者的电脑上使用 telnet程序，用它连接到服务器。终端使用者可以在telnet程序中输入命令，这些命令会在服务器上运行，就像直接在服务器的控制台上输 入一样。可以在本地就能控制服务器。要开始一个telnet会话，必须输入用户名和密码来登录服务器。Telnet是常用的远程控制Web服务器的方法。 telnet可能是黑客常用的攻击方式，我们可以通过修改telnet服务端口，停用telnet服务，甚至把telnet控制台管理工具删除。 具体方法如下: 通过修改telnet端口来防止黑客轻易入侵在命令提示符窗口中输入 Tlntadmn config port=168命令，回车后即可将telnet端口修改成168，如图4-1所示。 图4-1 修改telnet服务端口 如果将telnet的最大连接数设为0，这样就可以让一般的黑客豪无办法，设置方法同上。如果根本不需要telnet，完全可以把它删掉，因为该服务实在是太危险了，直接把系统安装目录中的system32中的Tlntadmn.exe删除掉，这样黑客想用telnet入侵就会非常困难了[20]。 4.2 防止Administrator账号被破解 Windows 2000/xp/2003系统的Administrator账号是不能被停用的，也不能设置安 全策略，这样黑客就可以一遍又一遍地尝试这个账号的密码，直到被破解，为了防止这种侵入，我们可以把Administrator账号更名:在“组策略”窗口中，依次展开“本地计算机策略”/“计算机配置”/“windows设置”/“安全设置”/“本地策略”/“安全选项”功能分支。重命名系统管理员帐户“属性”对话框，在此输入新的管理员名称，尽量把它为普通用户，然后另建一个超过10位的超级复杂密码，并对该账号启用审核，这样即使黑客费力破解到密码也杀一无所获。另外为了防止黑客通过Guest账号登录计算机，可以在“组策略”中删除Guest账号。 4.3 防止账号被暴力破解 黑客攻击入侵，大部分利用漏洞，通过提升权限成为管理员，这一切都跟用户账号紧密相连。 防范方法:通过修改注册表来禁用空用户连接。在注册表编辑器中找到如下子键 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA,在其窗口新建一个名为RestrictAnonymous的DWORD值将其设为1，如图4-2所示。 图4-2 禁用空用户连接 4.4 “木马”防范措施 4.4.1“木马”的概述 制能力，其功能具有破坏性。 大部分“木马”采用C/S运行模式，当服务端在目标计算机上被运行后，打开一个特定的端口进行监听，当客户端向服务器发出连接请求时，服务器端的相应程序会自动运行来应答客户机的请求，如表4-1所示。 表4-1 C/S型木马结构 4.4.2 “木马”的防范措施 (1)检查系统配置应用程序。在“木马”程序会想尽一切办法隐藏自己，主要途径有:在 任务栏和任务管理器中隐藏自己，即将程序设为“系统服务”来伪装自己，“木马”会在每次服务端启动时自动装载到系统中，如:启动组，win.ini,system.ini,注册表等。比如在“开始”-“运行”输入msconfig,执行windows自带“系统配置应用程序”。在标签为win.ini文件中，在[windows]下面“run=”和“ load=”是可能加载“木马”程序的途径，一般情况下，它们的等号后面什么都没有。在system.ini文件中，在[BOOT]下面有个“shell:文件名”正确的文件名应该是“explorer.exe”如果不是“explorer.exe”，而是“shell: explorer.exe程序名”，那么后面跟着的那个程序就是“木马”了[21]。 (2)查看注册表。输入regedit命令 HKEY_LOCAL_MACHINE\software\Microsoft\windows\current version\run目录下查看键值有设有自己不熟悉的自动启动文件，扩展名为:“.exe”。 (3)查找“木马”的特征文件，“木马”的一个特征文件是kernl32.exe,另一个是sysexlpr.exe，只要删除了这两个文件，“木马”就不起作用了，但是需要注意的是sysexlpr.exe是和文 4.5 网页恶意代码及防范 目前，网页中的恶意代码开始威胁到网络系统安全，一般分为以下几种: (1)消耗系统资源。 不断地利用cpu的利用率，使计算机不能处理其他的 特洛伊木马是一种隐藏了具有攻击性的应用程序。与病毒不同，它不具备复 进程，导致系统和网络资源瘫痪。这类病毒大都是利用JavaScrit产生的一个死循环，它可以在有恶意的网站中出现，也可以被当作邮件发给用户，当用户打开html,vbs附件时，屏幕会出现无数个浏览器窗口，最后不得不重启。 (2)非法向用户硬盘写入文件。 (3)IE泄露，利用IE漏洞，网页可以读取客户机的文件，就可以从中获得用户账号和密码。 (4)利用邮件非法安装木马。 4.5.1恶意代码分析 在html中利用死循环原理，交叉显示耀眼的光线，如果继续插入编写的一段代码，扩大恶意程度，那么IE将无法使用。 4.5.2网页恶意代码的防范措施 (1)运行IE时，点击“工具?Internet选项?安全? Internet区域的安全级别”，把安全级别由“中”改为“高”。网页恶意代码主要是含有恶意代码的ActiveX或Applet、 JavaScript的网页文件 ，所以在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以减少被网页恶意代码感染的几率。具体方案是:在IE窗口中点击“工具”?“Internet选项”，在弹出的对话框中选择“安全”标签，再点击“自定义级别”按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及与Java相关全部选项选择“禁用”。如图4-3所示: 图4-3 防范网页恶意代码 (2)网页恶意代码大多是在访问网站时候误下载和激活的，所以不要进入不信任的陌生网站，对于网页上的各种超级连接不要盲目去点击，若被强制安装恶意代码，一经发现立即删除，或者安装相应的恶意代码清除工具，或本机防火墙软件。 4.6 嗅探器(sniffer)的防范 Sniffer是一种常用的收集有用数据方法，这些数据可能是用户的帐号和密码，可能是一些商用机密数据，等等。它可以作为能够捕获网络报文的设备，ISS为sniffer这样定义:sniffer是利用计算机的网络接口截获其他计算机的数据报文的一种工具。 4.6.1 Sniffer的工作原理 Sniffer要捕获的东西必须是要物理信号能收到的报文信息，只要通知网卡接收其收到的所有包，在共享HUB下就能接收到这个网络的所有包，但是交换HUB下就只能是自己的包加上广播包，sniffer工作在网络环境中的底层，它会拦截所有正在网络上传递的数据，并且通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处理的网络状态和整体布局，值得注意的是，sniffer 是极其安静的，它是一种消极的安全攻击。 Sniffer在功能和设计方面有很多不同，有些只能分析一种协议，而另一些可能能够分析几百种协议，一般情况下，大多数的嗅探器至少能够分析以下的协议:标准以太网，TCP/IP,IPX,DECNET。 4.6.2 Sniffer的检测和防范 (1)对于可能存在的网络监听的检测;对于怀疑运行监听程序的机器，用正确的IP地址和错误的物理地址ping，运行监听程序的机器会有响应，这是因为正常的机器不接收错误的物理地址，处理监听状态的机器能接收，但如果它的Ipstack不再发反向检查的话，就会响应。 (2)向网上发大量不存在的物理地址的包;由于监听程序要分析和处理大量的数据包会占用很多的资源，会导致系统性能下降，通过比较前后该机器性能加以判断，这种办法难度较大。 (3)使用反监听工具如 Antisniffer等进行检测。 对于网络监听的防范措施有: (1)从逻辑或物理上对网络分段。 (2)以交换式HUB代替共享式HUB。 (3)使用加密技术。 (4)划分VLAN(虚拟局域网)。 4.7 数据密文防范措施 在前面的一章中我们已经介绍了数据加密和隐藏技术，在保密系统中，信道中传播的是加密后的消息，即密文，采用截获密文进行分析的攻击称为被动攻击，采用删除、更改、增添、重放、伪造等手段向系统注入假消息并进行分析的攻击称为主动攻击。对此，我们必须采用有效的加密解密的程序来防止密文泄露，可以通过c语言来实现的加密和解密。 4.8 其它网络攻击与防范措施 4.8.1 源IP地址欺骗攻击 许多应用程序认为如果数据包能使其自身沿着路由到达目的地，而且应答包也可以回到源地，那么源IP地址一定是有效的，而这正是使源IP地址欺骗攻击成为可能的前提。 要防止源IP地址的欺骗行为，可以采取以下措施来尽可能地保护系统免受这类攻击:(1)抛弃基于地址的信任策略。(2)使用加密方法。(3)进行包过滤。 4.8.2 源路由欺骗攻击 在通常情况下，信息包从起点到终点走过的路径是由位于此两点间的路由器决定的，数据包本身只知道去行何处，但不知道该如何去源路由可使信息包的发 送者将此数据包要经过胡路径写在数据包里，使数据包循着一个对方不可预料的路径到达目的主机[21]。 为了防范源路由欺骗攻击，一般采用下面两种措施: (1)对付这种攻击最好的办法是配置好路由器使它抛弃那些由外部网进来的却声称是内部主机的报文。 (2)在路由器上关闭源路由，用命令 no ip source-route。 4.8.3 拒绝服务攻击及预防措施 在拒绝服务攻击中，攻击中加载过多的服务将对方资源全部耗尽，使得没有多余资源供其他用户使用，SYN Flood攻击是典型的拒绝服务攻击。为了防止拒绝服务攻击，我们可以采取以下预防措施。 (1)对方信息淹没攻击，我们应关掉可能产生无限序列的服务来防止这种攻击。比如我们可以在服务器端拒绝所有的ICMP包，或者在该网段路由器上对ICMP进行带宽限制，控制其在一定的范围内。 (2)防止SYN数据段攻击，我们应对系统设定相应的内核参数，使得系统强制对超时的SYN请求连接数据包复位，同时通过缩短超时常数和加长等候队列使得系统能迅速处理无效的SYN请求数据包。 (3)建议在网段的路由器上做起配置的调整，这些调整包括限制SYN半公开数据包的流量和广数。 (4)建议在路由器的前端做必要胡TCP拦截，使得只有完成TCP三次握手过程的数据包才可进入网段。 第5章 校园网络安全体系 通过以上对网络攻击分析和防范的设计，校园网络也会面临同样的威胁，所以我们在知道网络功防基础上应该构筑校园网络安全体系，要从两个方面着手:一是采用一定的技术;二是不断改进管理方法。 从技术角度看，目前常用的安全手段有内外网隔离技术、加密技术、身份认证、访问控制、安全路由等，这些技术对防止非法入侵系统起到了一定的防御作用。防火墙作为一种将内外网隔离的技术，普遍运用于校园网安全建设中[24]。 5.1 校园网络安全规范 在校园网的需求来讲，校园的网络安全是指利用各种网络监控和管理技术措施，对网络系统的硬件、软件及系统中的数据资源实施保护，使其不会因为一些不利因素而遭到破坏，从而保证网络系统连续、安全、可靠地运行。 校园网分为内部网和互联网两部分，技术上采用虚拟网管理。一般用户不提供与internet直接相连，需要直接连接的用户应向校园网管理委员会提出申请， 获准后由网络中心分配IP地址并提供相应的入网软硬件，具有直接连接权限的用户应与校园网管中心签定保密协议书，并自觉接受网络安全员的检查。 学校网络中心负责网络设备的运行管理，信息中心负责网络资源，用户帐户肯安全管理，系统管理员口令绝对保密，根据用户需求严格控制，合理分配用户权限。网络用户口令应经常更新，防杀病毒软件本身无毒，向学生开放的教学实验室应禁止使用软驱和光驱，以杜绝病毒的传播。 校园网络信息系统以自行开发为主，系统软件应对访问权限严格限制，对不同操作人员，不同信息的 C:敏感信息;即需要验证身份和传输加密。 (2)服务资源包括:内部服务资源、公众服务资源 内部服务资源:面向已知客户，管理和控制内部用户对信息资源的访问。 公众服务资源:面向匿名客户，防止和抵御外来的攻击。 5.3 校园网络安全技术的应用 5.3.1网络攻击的概念 校园网的网络攻击主要来自internet中,所以对网络的攻击可以分为两种基本的类型，即服务攻击与非服务攻击。 (1)服务攻击 指对为网络提供某种服务的服务器发起攻击，遭成该网络的“拒绝服务”，使网络工作部正常。拒绝服务攻击将会带来消耗带宽、消耗计算资源、使系统和应用崩溃等后果，它是阻止针对某种服务的合法使用者访问他有权的服务。 (2)非服务攻击 非服务攻击是针对网络层等低层协议进行的，攻击者可能使用各种方法对网络通信设备发起攻击，使得网络通信设备工作严重阻塞或瘫痪，导致一个局域网或更多的网布能正常工作。与服务攻击相比，非服务攻击与特定服务无关，它往往利用协议或操作系统实现协议时的漏洞来达到目的。 (3)非授权访问 非授权访问是指存储在联网计算机中的信息或服务被未授权的网络用户非法使用，或者被授权用户越权滥用。 网络的非法用户可以通过猜测用户口令，窃取口令的办法，或者设法绕过网络安全认证系统来冒充合法用户，非法查看、下载、修改、删除未授权访问的信息，以及使用未授权的网络服务。访问授权一般是由计算机操作系统、数据库管理系统、应用软件与网络操作系统和防火墙来共同保障，通常采用的方法是用户访问权限设置、用户口令加密、用户身份认证、数据加密与结点地址过滤等。 5.3.2 建立网络安全模型 通信双方在网络上传输信息时，需要先在发送和接收方之间建立一条逻辑通道。为了在开放的网络环境中安全地传输信息，需要对信息提供安全机制和安全服务，如图5-1所示。 信息的安全传输包括两个基本部分: (1)对发送的信息进行安全转换(如信息加密)，实现信息的保密性。或者附加一些特征信息，以便进行发送方身份验证。 (2)发送和接收双方共享的某些信息(如加密密钥)，这些信息除了对可信任的第三方外，对于其他用户是保密的。 为了信息的安全传输，通常需要一个可信任的第三方。第三方的作用是负责向通信双方秘密信息，并在双方发生争议时进行仲裁。设计一个网络安全方案时，需要完成以下四个基本任务: (1)设计一个算法，执行安全相关的转换; (2)生成该算法的秘密信息(如密钥); (3)研制秘密信息的分发与共享的方法; (4)设定两个责任者使用的协议，利用算法和秘密信息取得安全服务。 5.3.3 数据备份方法 数据备份有多种实现形式，从不同的角度可以对备份进行不同的分类:从备份模式来看，可以分为物理备份和逻辑备份;从备份策略来看，可以分为完全备份、增量备份和差异备份;根据备份服务器在备份过程中是否可以接收用户响应和数据更新，又可以分为离线备份和在线备份。 (1)逻辑备份 逻辑备份也可以称作“基于文件的备份”。每个文件都是由不同的逻辑块组成的，每个逻辑块存储在连续的物理磁盘块上，基于文件的备份系统能识别文件结构，并拷贝所有的文件和目录到备份资源上。系统顺序读取每个文件的物理块，然后备份软件连续地将文件写入到备 份介质上，从而使得每个单独文件的恢复变得更快。 (2)物理备份。 物理又称“基于块的备份”或“基于设备的备份”，其在拷贝磁盘块到备份介质上时忽略文件结构，从而提高备份的性能。因为备份软件在执行过程中，花费在搜索操作上的开销很少。 (3)完全备份 完全备份是指整个系统或用户指定的所有文件数据进行一次全面的备份，这是一种最基本，也是最简单的备份方式。这种备份方式的好处就是很直观，容易理解。如果在备份间隔期间出现数据丢失等问题，可以只使用一份备份文件快速地恢复所丢失的数据。 (4)增量备份 为了解决上述完全备份的两个缺点，出现了更快、更小的增量备份。增量备份只备份相对于上次备份操作以来新创建或者更新过的数据。因为在特定的时间段内只有少量的文件发生改变，没有重复的备份数据，因此既节省空间，又缩短了备份的时间。因而这种备份方法比较经济，可以频繁地进行。 (5)差异备份 差异备份即备份上一次完全备份后产生和更新的所有新的数据。它的主要目的是将完全恢复时涉及到备份记录数量限制在两个，以简化恢复的复杂性。 5.3.4 防火墙技术 防火墙是在网络之间通过执行控制策略来保护网络的系统，它包括硬件和软件。设置防火墙的目的是保护内部网络资源不被外部非授权用户使用。防火墙的功能包括: (1)检查所有从外部网络进入内部网络流出到外部网络的数据包。 (2)执行安全策略，限制所有不符合安全策略要求的数据包通过。 (3)具有防攻击能力，保证自身的安全性。 防火墙是一个由软件与硬件组成的系统。由于不同内部网的安全策略与防护目的不同，防火墙系统的配置与实现方式也有很大的区别。简单的一个包过滤路由器或应用网关、应用代理服务器都可以作为防火墙使用。 5.3.5入侵检测技术 入侵检测系统是对计算机和网络资源的恶意使用行为进行识别的系统。它的目的是监测和发现可能存在的攻击行为，包括来自系统外部的入侵行为和来自内部的非法授权行为，并采取相应的防护手段。它的基本功能包括: (1)监控、分析用户和系统的行为。 (2)检查系统的配置和漏洞。 (3)评估重要的系统和数据文件的完整性。 (4)对异常行为的统计分析，识别攻击类型，并向网络管理人员报警。 (5)对操作系统进行审计、跟踪管理，识别违反授权的用户活动。 5.3.6 网络安全评估 网络安全评估系统是一种集网络安全检测、风险评估、修复、统计分析和网络安全风险集中控制管理功能于一体的网络安全设备。通过扫描某个网络内的主机，再进行智能分析，得到该网络的安全状况分析图表，以及每个机器的详细的安全登记评估图表。 从本质来讲评估技术就是一种检测技术。网络安全评估分析技术可以分为基于应用和基于网络的两种评估分析技术。 (1)基于应用的技术采用被动、非破坏的办法检测应用软件包的设置，发现安全漏洞。 (2)基于网络的技术采用积极的、非破坏的办法来检验系统是否有可能被攻击。 5.4 校园安全隐患 当时，校园网络主要存在的安全隐患和漏洞有: (1)校园网通过CERNET与Internet相连，在享受Internet方便快捷的同时，也面临着遭遇攻击的风险。 (2)校园网内部也存在很大的安全隐患，由于内部用户对网络的结构和应用模式都比较了解，因此来自内部的安全威胁更大一些。而现在，黑客攻击工具在网上十分常见，一般人员并不需要很复杂的知识就能用，所以存在很大的危险。 (3)目前使用的操作系统存在安全漏洞，对网络安全构成了威胁。大学的网络服务器安装的操作系统有WindowsNT/Windows2000、Unix、Linux等，这些系统安全风险级别不同，例如WINNT/WIN2000的普遍性和可操作性使得它也是最不安全的系统:本身系统的漏洞、浏览器的漏洞、IIS的漏洞;Unix由于其技术 的复杂性导致高级黑客对其进行攻击:自身安全漏洞(RIP路由转移等)、服务安全漏洞、Unix自身的病毒等等，这些都对原有网络安全构成威胁。 (4)随着校园内计算机应用的大范围普及，接入校园网节点日渐增多，而这些节点大部分都没有采取一定的防护措施，随时有可能造成病毒泛滥、信息丢失、数据损坏、网络被攻击、系统瘫痪等严重后果。 由此可见，构筑具有必要的信息安全防护体系，建立一套有效的网络安全体系显得尤其重要。 5.5 校园网主动防御体系 校园网的安全威胁既有来自校内的，也有来自校外的。在设计校园网网络安全系统时，首先要了解学校的需要和目标，制定安全策略，需要注意的是，网络上的业务目标、安全策略与安全设计之间的关系是一体的。因此网络安全防范体系应该是动态变化的，在完成安全防范体系的设计后，必须不断适应安全环境的变化，以保证网络安全防范体系的良性发展，确保它的有效性和先进性。 美国国际互联网安全系统公司( ISS )提出的 P 2 D R模型是指:策略 ( P o l i c y )、防护( P r o t e c t i o n )、检测( D e t e c t i o n ) 和响应 ( R e s p o n s e )。P 2 D R模型强调防护、检测和响应等环节的动态循环过程，通过这种过程达到保持网络系统的相对安全。所以P 2 D R模型是“整体的、动态的”的安全循环，在安全策略整体的控制下指导下保证信息系统的安全。P 2 D R模型如图5-2所示。 P2DR模型是美国ISS公司提出的动态网络安全体系的代表模型，也是动态安全模型的雏形。P2DR模型包括四个主要部分:Policy(安全策略)、Protection(防护)、Detection(检测)和 Response(响应)。P2DR 模型是在整体的安全策略的控制和指导下，在综合运用防护工具(如防火墙、操作系统身份认证、加密等)的同时，利用检测工具(如漏洞评估、入侵检测等)了解和评估系统的安全状态，通过适当的反应将系统调整到“最安全”和“风险最低”的状态。防护、检测和响应组成了一个完整的、动态的安全循环，在安全策略的指导下保证信息系统的安全。 该理论的最基本原理就是认为，信息安全相关的所有活动，不管是攻击行为、防护行为、检测行为和响应行为等等都要消耗时间。因此可以用时间来衡量一个体系的安全性和安全能力。作为一个防护体系，当入侵者要发起攻击时，每一步都需要花费时间。当然攻击成功花费的时间就是安全体系提供的防护时间Pt;在入侵发生的同时，检测系统也在发挥作用，检测到入侵行为也要花费时间―检测时间Dt;在检测到入侵后，系统会做出应有的响应动作，这也要花费时间―响应时间Rt。 P2DR 模型就可以用一些典型的数学公式来表达安全的要求: (1)公式 1:Pt > Dt + Rt 。 Pt代表系统为了保护安全目标设置各种保护后的防护时间;或者理解为在这样的保护方式下，黑客(入侵者)攻击安全目标所花费的时间。Dt代表从入侵者开始发动入侵开始，系统能够检测到入侵行为所花费的时间。Rt代表从发现入侵行为开始，系统能够做出足够的响应，将系统调整到正常状态的时间。那么，针对于需要保护的安全目标，如果上述数学公式满足防护时间大于检测时间加上响应时间，也就是在入侵者危害安全目标之前就能被检测到并及时处理。 (2)公式 2:Et = Dt + Rt，如果 Pt = 0。 公式的前提是假设防护时间为0。Dt代表从入侵者破坏了安全目标系统开始，系统能够检测到破坏行为所花费的时间。Rt代表从发现遭到破坏开始，系统能够做出足够的响应，将系统调整到正常状态的时间。比如，对Web Server被破坏的页面进行恢复。那么，Dt与Rt的和就是该安全目标系统的暴露时间Et。针对于需要保护的安全目标，如果Et越小系统就越安全。 通过上面两个公式的描述，实际上给出了安全一个全新的定义:“及时的检测和响应就是安全”，“及时的检测和恢复就是安全”。而且，这样的定义为安全问题的解决给出了明确的方向:提高系统的防护时间 Pt，降低检测时间 Dt和响应时间 Rt。 5.5.2校园网络安全防范体系 安全模型中的安全策略、防护、检测、响应始终贯穿着安全技术和安全管理两个方面的重要安全防范体系 针对以上校园网网络安全体系应用以下安全技术来实现: (1)配置防火墙和入侵检测系统 在校园网的进口处架设了防火墙和网络入侵检测系统。防火墙作为一种将内外网隔离的技术， 普遍运用于校园网安全建设中。防火墙可以有效地隔离内部网与外部网， 保护校园内部网络免遭非法的侵入。网络安全检测工具是一个网络安全性评估分析软件，不时的扫描分析网络系统， 网络管理员根据检测的报告系统分析存在的弱点和漏洞，及时采取补救措施，以达到增强网络安全性的目的。基于网络的入侵检测系统，对监视网段中的各种数据包进行特征分析，会根据产品中配置规则情况录取是否发出警报或直接切断网络连接。 (2)采用V L A N技术 按学校各部门拥有不同的应用业务以及不同的安全级别，有限制非法访问可以运用 V L A N技术。如使用三层交换机基于端口划分技术将网络分段并进行隔离，实现访问控制。 (3)配置代理服务器 在计算机中心学生机房配置访问控制列表，使用二级防火墙，并利用代理软件配置代理服务器，在代理服务器上安装双网卡，连接外网的网卡使用公网I P地址，连接内网的网卡使用私有地址，学生客户机 I P地址与代理服务器内网 I P地址在同一网段，网关 I P为代理服务器内网 I P地址。机房机器通过代理服务器连接互联网，可以控制前往I n t e me t 的所有用户的流量。 (4)安装杀毒软件 在整个校园网中只要有可能感染和传播病毒的地方都采取相应的防病毒手段，安装相适应的防杀毒软件，有效地防止病毒在校园网上感染、传播和发作。对防病毒软件要有效、快速地升级病毒定义码和扫描引擎。网络的安全管理是一个长期的、动态的过程。本网络系统的安全性还存在不少问题，比如说防止网络攻击方面， 尽管使用了入侵检测系统和防火墙的联动技术，但是，目前的入侵检测系统对未知的攻击检测能力较弱，且存在误报率太高的缺点。这些问题有待我们作进一步的探讨和改进，不断的分阶段完善安全防范体系。 (5)制定安全策略 安全策略是赋予了组织机构技术人员或信息资产使用权的人员必须履行的准则的正规陈述它是一个成功的网络安全体系的基础与核心。业务需求和风险分析是安全策略的主要制定依据。校园网络的安全策略是依据校园网的业务需求描述了校园网近期安全目标和长期安全目标，以及安全风险评估分析，不同安全评估标准中保护对象的安全等级方面的内容。 5.5.3完善安全制度与管理 安全管理贯穿整个安全防范体系，是安全防范体系的核心，代表了安全防范体系中人的因素。网络系统的安全性不只是技术方面的问题，如果日常管理上没有相应规章制度来管理约束，再先进的软件技术, 硬件设备对网络系统的安全来说也是不安全的。一个有效的安全防范体系应该是以安全策略为核心，以安全技术为支撑，以安全管理为落实,安全管理主要是对安全技术和安全策略的管理， 安全策略为安全管理提供管理方向，安全技术是辅助安全管理的措施。当网络出现攻击行为或其它一些安全威胁时，无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索，即缺乏对网络的可控性与可审查性。这就要求网络管理员经常通过网络攻击扫描器提前识别弱点区域，入侵检测系统监控和响应安全事件，必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。 安全管理主要是对安全策略的一系列实施操作，这些操作是构建网络安全体系必不可少的。没有完善的安全管理体系，很难保证网络系统的安全。必须制定详细的安全，如机房管理制度、病毒防范制度等，并采 取切实有效的措施保证制度的执行。学院网络安全防范体系建立以后，学院的网络控制中心负责网络设备的运行管理，信息中心负责网络教学资源的安全管理。规定系统管理员要进行日常的网络安全管理，实时地、动态地监控网络运行情况，每日必须检查服务器的日志，对重要的数据服务器，每日必须进行异地数据备份。同时管理员的密码必须达到一定的长度并且建议每周修改一次。管理员需及时对操作系统打补丁和防病毒软件包的升级，不断完善和优化网络安全防范体系。 5.6 其他网络安全解决方案 网络安全技术是解决校园网安全问题的基础，我们在对校园网安全分析时综合采用了防火墙、入侵检测、内容过滤和安全评价等技术，提出了一些安全解决方案，以增强校园网络的安全覆盖范围和程度。 5.6.1关闭不必要的端口 以下是一些可能被攻击的端口，一般情况下，应该要把这些端口屏蔽掉。 (1)23端口。若这个端口开着非常的危险，这个端口主要用做TELNET登录。Telnet服务给我们的最直接的感受就是它可以使得我们忘掉电脑与电脑之间的距离。利用23端口的Telnet我们可以象访问本机那样访问远程的计算机。Telnet协议的初衷是用来帮助我们对于计算机实现远程管理与维护，以提高我们的工作效率。但在一定情况下反而成为了一个黑客攻击最常利用的一个端口。若不怀好意的人利用Telnet服务登陆到23端口，就可以任意在对方电脑上上传与下载数据，包括上传木马与病毒等等。 (2)21端口。这个端口主要用来运行FTP服务。糟糕的是，这个端口，若管理不善的话，是可以用户进行匿名登陆的。并能够利用这个端口远程登陆并运行远程命令，这也就是说，可以在远程上传木马等工具并在远程控制其运行。同时，还可以利用FTP服务了解到攻击所需要的基本信息，如用的是什么操作系统等等;甚至能够获知可用的帐号，等等。一般情况下，没有必要开启21号端口。 (3)135端口。通过135端口入侵实际上就是在利用操作系统的RPC漏洞。一般情况下，135端口主要用来实现远程过程调用。通过RPC可以保证在一台计算机上运行的程序可以 顺利地执行远程计算机上的代码。利用这个漏洞，可以通过这个端口得到电脑上的“主机”文件。得到这个文件后，再利用一定的工具便可以知道该电脑上可用的计算机用户名与密码，甚至是管理员的用户名与密码。得到这个用户名之后，如可以上传木马工具，随意的查看重要的文件，并对进行破坏和窃取。 5.6.2 巩固安全策略 (1)利用防火墙将内部网络、对外服务器网络和外网进行有效隔离，避免与外部网络直接通信; (2)利用防火墙建立网络各主机和对外服务器的安全保护措施，保证系统安全; (3)利用防火墙对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝;利用防火墙加强合法用户的访问认证，同时在不影响用户正常访问的基础上将用户的访问权限控制在最低限度内; (4)利用防火墙全面监视对公开服务器的访问，及时发现和阻止非法操作; (5)利用防火墙及各服务器上的审计记录，形成一个完善的审计体系，在策略之后建立第二条防线; (6)在本校区和各校区，利用入侵检测系统，监测对内，对外服务器的访问; (7)在本校区和各校区，利用入侵检测系统，对服务请求内容进行控制，使非法访问在到达主机前被阻断; (8)在Internet出口处，使用NetHawk网络行为监控系统进行网络活动实时监控和内容过滤; (9)在本校区部署RJ-iTop网络隐患扫描系统，定期对整个网络的安全状况进行评估，及时弥补出现的漏洞; (10)使用安全加固手段对现有服务器进行安全配置，保障服务器本身的安全性; (11)加强网络安全管理，提高校园网系统全体人员的网络安全意识和防范技术。 第6章 结束语 互联网的各种安全威胁时刻影响着校园网的运行和管理，加强校园网的安全管理是当前重要任务。校园网是学校信息系统的核心，必须建立有效的网络安全防范体系保证网络应用的安全。 当前，如何确保计算机网络的安全性是任何一个网络的设计者和管理者都极为关心的热点。由于因特网协议的开放性，使得计算机网络的接入变得十分容易。正是在这样得背景下，能够威胁到计算机网络安全的因素就非常多。所以，人们研究和开发了各种安全技术和手段，努力构建一种可靠的计算机网络安全系统。这种安全系统的构建实际上就是针对已经出现的各种威胁(或者是能够预见的潜在威胁)，采用相应的安全策略与安全技术解除这些威胁对网络的破坏的过程。当然，随着计算机网络的扩大，威胁网络安全因素的变化使得这个过程是一个动 态的过程。计算机网络安全问题实质上也是网络安全对抗的过程。但也涉及了校园网络内部的管理问题，制度问题，业务问题等等;所以任何计算机网络安全体系一定不是可以一劳永逸地防范任何攻击的。人们力图建立的只能是一个动态的网络安全防护系统。它是一个动态加静态的防御，是被动加主动的防御，甚至是抗击，是计算机网络管理技术加计算机网络安全技术的完整安全观念。 校园网面临着一系列的安全问题，受到来自外部和内部的攻击(如病毒困扰,非授权访问等)。目前国内许多高校存在校区分散的状况，各校区间通信的安全连接还存在问题。但一般的校园网安全方案存在安全手段单一的问题，大多只是简单地采用防火墙等有限措施来保护网络安全。而这些措施往往存在很大的局限性，它们不能覆盖实现整个校园网安全的各个 层次、各个方位，这样的网络系统就存在很多的安全隐患。比如缺乏强健的认证、授权和访问控制等，往往使攻击者有机可乘;管理员无法了解网络的漏洞和可能发生的攻击。传统的被动式抵御方式只能等待入侵者的攻击，而缺乏主动防范的功能:对于已经或正在发生的攻击缺乏有效的追查手段;对从网络进入的病毒等无法控制等，除此以外大多用户安全意识都很淡薄，这些都是我们需要注意和解决的安全问题。 了解决它们的相应安全技术。接下来，在一般意义下制定计算机网络安全系统设计的策略与原则，提出了计算机网络安全的解决方案。但是，计算机网络安全的问题是一个永久的课题，它将随着计算机技术、计算机网络的发展而一直存在、一直发展。计算机网络的威胁与计算机网络的安全防护会一直较量下去， 致谢 本次毕业设计得到李晓花老师的悉心指导，从文献的查阅、论文的选题、撰写、修改、定稿，我的每一个进步都和李老师的关注与指导密不可分。李老师渊博的学识、严谨的治学态度和丰富的实践经验使我在做论文间受益非浅，李老师不仅使我在理论知识和实践经验上得到长进，而且培养了更为系统和科学的学习和工作方法。在此谨向李老师表示衷心的感谢和诚挚的敬意!并感谢所有的同学对我学习、生活的关心和帮助～论文即将完成之际，感慨万千。最后，我要感谢我的母校，以及大学的所有老师。谢谢您们这四年来在大学里给我的培养和启示，让我今生难忘。 参考文献(主要及公开发表的文献) [1] 邵波，王其和.计算机网络安全技术及应用.北京:电子工业出版社，2005.11:17-18 [2] 蔡立军.计算机网络安全技术[M].北京:中国水利水电出版社,2005， 52-56 [3] 陈健伟，张辉.计算机网络与信息安全[M].北京:希望电子出版社，2006.2:42-43 [4] 王锐，陈靓，靳若明，周刚.网络最高安全技术指南[M].北京:机械工业出版社，1998，12-14 [5] 王宇，卢昱.计算机网络安全与控制技术[M].北京:科学出版社，2005.6:19-20 [6] ClarkMPNetwork&teleeo nrnunieationsdesignandoPeration[M].Chiehester: JolinWiley&Sons,1997,25-27 [7] 贾晶，陈元，王丽娜.信息系统的安全与保密[M].北京:清华大学出版社，2003，62-68 [8] [美]MarcFarley.LANTimesGuidetosee tyandDataIntegrity[M].北京:机械工 业出版社，1998，82-85 [9] 宋劲松.网络入侵检测:分析、发现和报告攻击[M]. 国防工业出版社,2004.9:26-28 [10] 冯登国.计算机通信网络安全[M].北京:清华大学出版社，2001，3 [11] [美]斯托林斯.密码编码学与网络安全——原理与实践(第三版)[M]. 电子工业出版社,2005,12-14 [12] 张小斌，严望佳.黑客分析与防范技术[M].北京:清华大学出版社，1999，22-23 [13] PtacekT，Newsham N.Insertion.EvasionandDenialofServiee:EludingNetwork IntrUsioneteetion[M].SeeureNetworkslnc，1998,59-60 [14] 刘冰.计算机网络技术与应用[M].北京:机械工业出版社，2008.1:36-38 [15] 影印.密码学与网络安全[M]. 清华大学出版社,2005.1:99-102 [16] 卡哈特.密码学与网络安全[M]. 清华大学出版社,2005.9:100-102 [17] 关桂霞.网络安全概论[M]. 电子工业出版社,2004.10:23-24 [18] 罗森林,高平.信息系统安全与对抗技术实验教程.北京:北京理工大学出版社，2005.1:49-50 [19] 潘瑜.计算机网络安全技术[M].北京:科学出版社，2006，23 [20] 华师傅资讯编著.黑客攻防疑难解析与技巧800例.北京:中国铁道出版社，2008，219 [21] 谢冬青，冷键，雄伟.计算机网络安全技术[M].北京:机械工业出版社，2007,46-47 [22] 宋劲松.网络入侵检测:分析、发现和报告攻击[M]. 国防工业出版社,2004.9:78-79 [23] 肖军.网络信息对抗[M].北京:机械工业出版社，2005.8:326-327 [24] 王竹林.校园网组建和管理[M].北京:清华大学出版社，2002，259-260 [25] 胡道元 闵京华.网络安全[M]. 清华大学出版社,2004.1:62-63 [26] 李腊元，李春林.计算机 网络技术[M].北京:国防工业出版社，2001,10-12 [26] PtacekT，Newsham N.Insertion.EvasionandDenialofServiee:EludingNetwork IntrUsioneteetion[M].SeeureNetworkslnc，1998,44-46 [27] [美]MarcFarley.LANTimesGuidetosee tyandDataIntegrity[M].北京:机械工 业出版社，1998,55-56 论文小结 时光飞逝，转眼间我们就要大学毕业了。这次毕业设计给了我很大的感想～通过这次的毕业设计真的让我学到了很多东西。在毕业设计的这段时间里，我发现自己了的缺陷和不足，而且还非常的缺乏经验，令我印象最深刻的是在设计过程中会遇到各中各样细节上的问题，这些问题给我的进度造成了一些很大的影响，但我并没有气馁，在查阅了大量资料反复演算，点点滴滴的修改后终于解决。绘图过程中也会遇到麻烦，比如怎样最清晰的表达自己的设计思路，如何去解决面临的以前自己没有涉及的领域～甚至有些参考书上的很多东西部是标准的。幸亏有我们的指导老师的教导，使我改正了在书上看到的不正确的知识。老师的知识真的很渊博!经验也特别丰富。我的论文，老师很快就发现我存在的问题。并对我进行了耐心的指导! 通过这次毕业设计，提高了我的独立思考分析以及解决问题的能力，在设计的整个过程中，能够进一步将所学的设计软件熟练运用，对以往学过的理论基础知识进行复习运用，对未涉及过的知识领域做了一次大胆的尝试，并通过此次毕业设计对计算机知识有一个拓展，了解网络安全的前沿技术，以理论结合实 际进一步提高自己的动手能力，为将来进入工作岗位打好基础。 附录 计算机通用端口列表: 端口:0 服务:Reserved 说明:通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用通常的闭合端口连接它时将产生不同的结果。一种典型的扫描，使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。 端口:1 服务:tcpmux 说明:这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，默认情况下 tcpmux在这种系统中被打开。Irix机器在发布是含有几个默认的无密码的帐户，如:IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除这些帐户。因此HACKER在INTERNET上搜索tcpmux并利用这些帐户。 端口:7 服务:Echo 说明:能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。 端口:19 服务:Character Generator 说明:这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。 端口:21 服务:FTP 说明:FTP服务器所开放的端口，用于上传、下载。最常见的攻击者用于寻找打开anonymous的FTP服务器的方法。这些服务器带有可读写的目录。木马Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的端口。 端口:22 服务:Ssh 说明:PcAnywhere建立的TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。 端口:23 服务:Telnet 说明:远程登录，入侵者在搜索远程登录UNIX的服务。大多数情况下扫描这一端口是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个端口。 端口:25 服务:SMTP 说明:SMTP服务器所开放的端口，用于发送邮件。入侵者寻找SMTP服务器是为了传递他们的SPAM。入侵者的帐户被关闭，他们需要连接到高带宽的E,MAIL服务器上，将简单的信息传递到不同的地址。木马Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口。 端口:31 服务:MSG Authentication 说明:木马Master Paradise、Hackers Paradise开放此端口。 端口:42 服务:WINS Replication 说明:WINS复制 端口:53 服务:域名 Name Server(域) 说明:域服务器所开放的端口，入侵者可能是试图进行区域传递(TCP)，欺骗域(UDP)或隐藏其他的通信。因此防火墙常常过滤或记录此端口。 端口:67 服务:Bootstrap Protocol Server 说明:通过DSL和Cable modem的防火墙常会看见大量发送到广播地址255.255.255.255 的数据。这些机器在向DHCP服务器请求一个地址。HACKER常进入它们，分配一个地址把自己作为局部路由器而发起大量中间人(man,in,middle)攻击。客户端向68端口广播请求配置，服务器向67端口广播回应请求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。 端口:69 服务:Trival File Transfer 说明:许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常由于错误配置而使入侵者能从系统中窃取任何 文件。它们也可用于系统写入文件。 端口:79 服务:Finger Server 说明:入侵者用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其他机器Finger扫描。 端口:80 服务:HTTP 说明:用于网页浏览。木马Executor开放此端口。 端口:99 服务:Metagram Relay 说明:后门程序ncx99开放此端口。 端口:102 服务:Message transfer agent(MTA)-X.400 over TCP/IP 说明:消息传输代理 端口:1245 服务:[NULL] 说明:木马Vodoo开放此端口。 端口:1433 服务:SQL 说明:Microsoft的SQL服务开放的端口。 端口:1492 服务:stone-design-1 说明:木马FTP99CMP开放此端口。 端口:1500 服务:RPC client fixed port session queries 说明:RPC客户固定端口会话查询 端口:1503 服务:NetMeeting T.120 说明:NetMeeting T.120 端口:1524 服务:ingress 说明:许多攻击脚本将安装一个后门SHELL于这个端口，尤其是针对SUN 系统中Sendmail和RPC服务漏洞的脚本。如果刚安装了防火墙就看到在这个端口上的连 接企图，很可能是上述原因。可以试试Telnet到用户的计算机上的这个端口，看看它是否会给你一个SHELL。连接到600/pcserver也存在这个问题。 端口:1600 服务:issd 说明:木马Shivka-Burka开放此端口。 端口:1720 服务:NetMeeting 说明:NetMeeting H.233 call Setup。 端口:1731 服务:NetMeeting Audio Call Control 说明:NetMeeting音频调用控制。 端口:1807 服务:[NULL] 说明:木马SpySender开放此端口。 端口:1981 服务:[NULL] 说明:木马ShockRave开放此端口。 用各种假冒或欺骗的手段非法获得合法用户的使用权限，以达到占用合法用户资源的目的。 (3)破坏数据的完整性;即使用非法手段，删除、修改、重发某些重要信息，以干扰用户的正常使用。 (4)干扰系统正常运行;指改变系统的正常运行方法，减慢系统的响应时间等手段。 (5)病毒与恶意的攻击;即通过网络传播病毒或进行恶意攻击。 除此之外，校园网还面对形形色色、良莠不分的网络资源，如不进行识别和过滤，那么会造成大量非法内容或邮件出入，占用大量流量资源，造成流量堵塞、上网速度慢等问题。许多校园网是从局域网发展来的，由于意识与资金方面的原因，它们在安全方面往往没有太多的设置，这就给病毒和黑客提供了生存的空间。因此，校园网的网络安全需求是全方位的。图 1-0-1 1.3 论文的主要任务 计算机网络所具有的开发性、互连性和共享性等特征使网上信息安全存在先天的不足，加上系统软件本身的安全漏洞以及所欠缺的严格管理，致使网络易受黑客，恶意软件的攻击，因此对网络的安全所采取的措施，应能全方位地针对各种威胁，保障网络信息的保密性、完整性和可用性。 的威胁，利用计算机网络安全技术知识对网络安全问题进行系统地研究，并在此 基础上总结校园网存在的安全问题，通过安全系统需求，进行深入研究，找出存 在的威胁，结合网络安全技术和网络攻防技术提出解决方案及措施。 第2章 网络安全概述 2.1网络安全的含义 网络安全从其本质来讲就是网络上信息安全，它涉及的领域相当广泛，这是 因为目前的公用通信网络中存在着各式各样的安全漏洞和威胁。广义上讲，凡是 涉及到网络上信息的保密性、完整性、可用性和可控性的相关技术和理论，都是 网络安全的研究领域。 网络安全是指网络系统的硬件，软件及数据受到保护，不遭受偶然或恶意的 破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断[1]。且在不同 环境和应用中又不同的解释。 (1)运行系统安全:即保证信息处理和传输系统的安全，包括计算机系统 机房环境和传输环境的法律保护、计算机结构设计的安全性考虑、硬件系统的安 全运行、计算机操作系统和应用软件的安全、数据库系统的安全、电磁信息泄露 的防御等。 (2)网络上系统信息的安全:包括用户口令鉴别、用户存取权限控制、数 据存取权限、方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密 等。 (3)网络上信息传输的安全:即信息传播后果的安全、包括信息过滤、不 良信息过滤等。 (4)网络上信息 范措施是密码技术。 (2)完整性:是指保证信息与信息系统可被授权人正常使用，主要防范措 施是确保信息与信息系统处于一个可靠的运行状态之下。 以上可以看出:在网络中，维护信息载体和信息自身的安全都包括了机 密性、完整性、可用性这些重要的属性。 2.3 网络安全机制 网络安全机制是保护网络信息安全所采用的措施，所有的安全机制都是针对某些潜在的安全威胁而设计的，可以根据实际情况单独或组合使用。如何在有限的投入下合理地使用安全机制，以便尽可能地降低安全风险，是值得讨论的，网络信息安全机制应 包括:技术机制和管理机制两方面的内容。 2.3.1 网络安全技术机制 网络安全技术机制包含以下内容: (1)加密和隐藏。加密使信息改变，攻击者无法了解信息的内容从而达到保护;隐藏则是将有用信息隐藏在其他信息中，使攻击者无法发现。 (2)认证和授权。网络设备之间应互认证对方的身份，以保证正确的操作权力赋予和数据的存取控制;同时网络也必须认证用户的身份，以授权保证合法的用户实施正确的操作。 (3)审计和定位。通过对一些重要的事件进行记录，从而在系统中发现错误或受到攻击时能定位错误并找到防范失效的原因，作为内部犯罪和事故后调查取证的基础。 (4)完整性保证。利用密码技术的完整性保护可以很好地对付非法篡改，当信息源的完整性可以被验证却无法模仿时，可提供不可抵赖服务。 (5)权限和存取控制:针对网络系统需要定义的各种不同用户，根据正确的认证，赋予其适当的操作权力，限制其越级操作。 (6)任务填充:在任务间歇期发送无用的具有良好模拟性能的随机数据，以增加攻击者通过分析通信流量和破译密码获得信息难度。 2.3.2 网络安全管理机制 网络信息安全不仅仅是技术问题，更是一个管理问题，要解决网络信息安全问题，必须制定正确的目标策略，设计可行的技术方案，确定合理的资金技术，采取相应的管理措施和依据相关法律制度。 2.4 网络安全策略 策略通常是一般性的规范，只提出相应的重点，而不确切地说明如何达到所要的结果，因此策略属于安全技术规范的最高一级。 2.4.1 安全策略的分类 安全策略分为基于身份的安全策略和基于规则的安全策略种。基于身份的安全策略是过滤对数据或资源的访问，有两种执行方法:若访问权限为访问者所有，典型的作法为特权标记或特殊授权，即仅为用户及相应活动进程进行授权; 若为访问数据所有则可以采用访问控制表(ACL)。这两种情况中，数据项的大小有很大的变化，数据权力命名也可以带自己的ACL[3]。 基于规则的安全策略是指建立在特定的，个体化属性之上的授权准则，授权通常依赖于敏感性。在一个安全系统中，数据或资源应该标注安全标记，而且用户活动应该得到相应的安全标记。 2.4.2 安全策略的配置 开放式网络环境下用户的合法权益通常受到两种方式的侵害:主动攻击和被动攻击，主动攻击包括对用户信息的窃取，对信息流量的分析。根据用户对安全的需求才可以采用以下的保护: (1)身份认证;检验用户的身份是否合法、防止身份冒充、及对用户实施访问控制数据完整性鉴别、防止数据被伪造、修改和删除。 (2)信息保密;防止用户数据被泄、窃取、保护用户的隐私。 (3)数字签名;防止用户否认对数据所做的处理。 (4)访问控制;对用户的访问权限进行控制。 (5)不可否认性;也称不可抵赖性，即防止对数据操作的否认。 2.4.3 安全策略的实现流程 安全策略的实现涉及到以下及个主要方面，如图2-1所示。 图 2-1 安全策略实现流程 (1)证书管理。主要是指公开密银证书的产生、分配更新和验证。 (2)密银管理。包括密银的产生、协商、交换和更新，目的是为了在通信的终端系统之间建立实现安全策略所需的共享密银。 (3)安全协作。是在不同的终端系统之间协商建立共同采用的安全策略，包括安全策略实施所在层次、具体采用的认证、加密算法和步骤、如何处理差错。 (4)安全算法实现:具体算法的实现，如PES、RSA. (5)安全策略数据库:保存与具体建立的安全策略有关的状态、变量、指针。 2.5 网络安全发展趋势 总的看来，对等网络将成为主流，与网格共存。网络进化的未来—绿色网络—呼唤着新的信息安全保障体系。 国际互联网允许自主接入，从而构成一个规模庞大的，复杂的巨系统，在如此复杂的环境下，孤立的技术发挥的作用有限，必须从整体的和体系的角度，综合运用系统论，控制论和信息论等理论，融合各种技术手段，加强自主创新和顶层设计，协同解决网络安全问题。 保证网络安全还需严格的手段，未来网络安全领域可能发生三件事，其一是 向更高级别的认证转移;其二，目前存储在用户计算机上的复杂数据将“向上移动”，由与银行相似的机构确保它们的安全;第三，是在全世界的国家和地区建立与驾照相似的制度，它们在计算机销售时限制计算机的运算能力，或要求用户演示在自己的计算机受到攻击时抵御攻击的能力[5]。 第3章 网络安全问题解决对策 3.1计算机安全级别的划分 3.1.1 TCSEC简介 1999年9月13日国家质量技术监督局公布了我国第一部关于计算机信息系统安全等级划分的标准“计算机信息系统安全保护等级划分准则”(GB17859-1999)。而国外同标准的是美国国防部在1985年12月公布的可信计算机系统评价标准TCSEC(又称桔皮书)。在TCSEC划分了7个安全等级:D级、C1级、C2级、B1级、B2级、B3级和A1级。其中D级是没有安全机制的级别，A1级是难以达到的安全级别，如表 错误～未找到图形项目表。所示: 表3-1网络安全等级及安全级别的性能要求 安全级别 名 称 说明 D1 酌情安全保护 对硬件和操作系统几乎无保护，对信息的访问无控制 C1 自选安全保护 由用户注册名和口令的组合来确定用户对信息的访问权限 B1 被标签的安全性保护 许可权限 B2 结构化保护 要求对计算机中所有信息加以标签，并且对设备分配单个或多个安全级别 B3 安全域保护 使用安全硬件的方法来加强域的管理 终端与系统的连接途径可信任 A 核实保护 下面对下各个安全级别进行介绍: (1)D类安全等级:D类安全等级只包括D1一个级别。D1的安全等级最低。D1系统只为文件和用户提供安全保护。D1系统最普通的形式是本地操作系统，或者是一个完全没有保护的网络。 (2)C类安全等级:该类安全等级能够提供审慎的保护，并为用户的行动和责任提供审计能力。C类安全等级可划分为C1和C2两类。C1系统的可信任运算 系统不同来源必须有安全措施必须在销售过程中实施 为强制性访问控制，不允许文件的 拥有者改变其 基础体制(Trusted Computing Base，TCB)通过将用户和数据分开来达到安全的目的。在C1系统中，所有的用户以同样的灵敏度来处理数据，即用户认为C1系统中的所有文档都具有相同的机密性。C2系统比C1系统加强了可调的审慎控制。在连接事件和资源隔离来增强这种控制。C2系统具有C1系统中所有的安全性特征。 (3)B类安全等级:B类安全等级可分为B1、B2和B3三类。B类系统具有强制性保护功能。强制性保护意味着如果用户没有与安全等级相连，系统就不会让用户存取对象。B1系统满足下列要求:系统对网络控制下的每个对象都进行灵敏度标记;系统使用灵敏度标记作为所有强迫访问控制的基础;系统在把导入的、非标记的对象放入系统前标记它们;灵敏度标记必须准确地表示其所联系的对象的安全级别;当系统管理员创建系统或者增加新的通信通道或I/O设备时，管理员必须指定每个通信通道和I/O设备是单级还是多级，并且管理员只能手工改变指定;单级设备并不保持传输信息的灵敏度级别;所有直接面向用户位置的输出(无论是虚拟的还是物理的)都必须产生标记来指示关于输出对象的灵敏度;系统必须使用用户的口令或证明来决定用户的安全访问级别;系统必须通过审计来记录未授权访问的企图。B2系统必须满足B1系统的所有要求。另外，B2系统的管理员必须使用一个明确的、文档化的安全策略模式作为系统的可信任运算基础体制。B2系统必须满足下列要求:系统必须立即通知系统中的每一个用户所有与之相关的网络连接的改变;只有用户能够在可信任通信路径中进行初始化通信;可信任运算基础体制能够支持独立的操作者和管理员。B3系统必须符合B2系统的所有安全需求。B3系统具有很强的监视委托管理访问能力和抗干扰能力。B3系统必须设有安全管理员。B3系统应满足以下要求: (a)B3必须产生一个可读的安全列表，每个被命名的对象提供对该对象没有访问权的用户列表说明; (b)B3系统在进行任何操作前，要求用户进行身份验证; (c)B3系统验证每个用户，同时还会发送一个取消访问的审计跟踪消息;设计者必须正确区分可信任的通信路径和其他路径;可信任的通信基础体制为每一个被命名的对象建立安全审计跟踪;可信任的运算基础体制支持独立的安全管理。 (4)A类安全等级:A系统的安全级别最高。目前，A类安全等级只包含A1一个安全类别。A1类与B3类相似，对系统的结构和策略不作特别要求。A1系统的显著特征是，系统的设计者必须按照一个正式的设计规范来分析系统。对系统分析后，设计者必须运用核对技术来确保系统符合设计规范。A1系统必须满足下列要求:系统管理员必须从开发者那里接收到一个安全策略的正式模型;所 有的安装操作都必须由系统管理员进行;系统管理员进行的每一步安装操作都必须有正式文档。 3.1.2 GB17859划分的特点 GB17859把计算机信息安全保护能力划分为5个等级，它们是:系统自我保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。这5个级别的安全强度从低到高排列让高一级包括低一级的安全能力，如表3-2所示。 表3-2 GB17859的划分标准 安全能力 一级 强制访问控制 标记 二级 三级 四级 五级 自主访问控制 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 身份鉴别 ? ? ? ? ? 客体重用 审计 ? ? ? ? ? ? ? 数据完整 ? ? ? ? ? 隐蔽信道分析 可信路径 可信恢复 相同。 3.1.3安全等级标准模型 计算机信息系统的安全模型主要又访问监控器模型、军用安全模仿和信息流模型等三类模型，它们是定义计算机信息系统安全等级划分标准的依据。 (1)访问监控模型:是按TCB要求设计的，受保护的客体要么允许访问，要么不允许访问。 (2)常用安全模型:是一种多级安全模型，即它所控制的信息分为绝密、机密、秘密和无密4种敏感级。 (3)信息流模型:是计算机中系统中系统中信息流动路径，它反映了用户在计算机系统中的访问意图。信息流分直接的和间接的两种。 ? ? 注: “?”:新增功能;“?”:比上一级功能又所扩展;“?”:与上一级功能 3.2 防火墙技术 随着网络安全问题日益严重，网络安全技术和产品也被人们逐渐重视起来，防火墙作为最早出现的网络安全技术和使用量最大的网络安全产品，受到用户和研发机构的亲睐。 3.2.1防火墙的基本概念与作用 防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合，它执行预先制定的访问控制策略，决定了网络外部与网络内部的访问方式。 在网络中，防火墙实际是一种隔离技术，它所执行的隔离措施有: (1)拒绝未经授权的用户访问内部网和存取敏感数据。 (2)允许合法用户不受妨碍地访问网络资源。 而它的核心思想是在不安全的因特网环境中构造一个相对安全的子网环境，其目的是保护一个网络不受另一个网络的攻击，所以防火墙又有以下作用: (1)作为网络安全的屏障。一个防火墙作为阻塞节点和控制节点能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险，只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。 (2)可以强化网络安全策略。通过以防火墙为中心的安全方案配置，能将所有的安全软件配置在防火墙上，体现集中安全管理更经济。 (3)对网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据，当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。 (4)防止内部信息的外泄。通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。 (5)支持具有因特网服务性的企业内部网络技术体系VPN。 3.2.2 防火墙的工作原理 从防火墙的作用可以看出，防火墙必须具备两个要求:保障内部网安全和保障内部网和外部网的联通。因此在逻辑上防火墙是一个分离器、限制器、分析器 [12]。有效地监控了内部网和外部网的任何活动，保证了内部网络的安全，其一般逻辑位置如图3-1所示。 图3-1 防火墙的逻辑示意图 防火墙根据功能实现在TCP/IP网络模型中的层次，其实现原理可以分为三类:在网络层实现防火墙功能为分组过滤技术;在应用层实现防火墙功能为代理服务技术;在网络层，IP层，应用层三层实现防火墙为状态检测技术。 (1)分组过滤技术 实际上是基于路由器技术，它通常由分组过滤路由器对IP分组进行分组选择，允许或拒绝特定的IP数据包，工作于IP层。如表3-3 所示。 表3-3 分组过滤技术工作特点 5、应用层 4、TCP层 3、IP层 2、数据链路层 1、物理层 过滤一般基于一个IP分组的以下各域:第一、源/目的IP地址;第二、TCP/UDP源/目的端口。前者的过滤，即根据制定的安全规则，过滤掉具有特定IP地址的数据分组，从而保护内部网络;后者则是为分组过滤提供了更大的灵活性。 (2)代理服务技术 以一个高层的应用网关作为代理服务器，接受外来的应用连接请求，在代理服务器上进行安全检查后，再与被保护的应用服务器连接，使外部用户可以在受控制的前提下使用内部网络的服务，如图3-2所示。 图 3-2 代理服务器原理示意 代理服务技术工作在应用层，其工作情况如表3-3所示。 表3-3 代理服务技术工作特点 5、应用层 4、TCP层 3、IP层 2、数据链路层 1、物理层 由于代理服务作用于应用层，它能解释应用层上的协议，能够作复杂和更细粒度的访问控制;同时，由于所有进出服务器的客户请求必须通过代理网关的检查，可以作出精细的注册和审计记录，并且可以与认证、授权等安全手段方便地集成，为客户和服务提供更高层次的安全保护。 (3)状态检测技术 此技术工作在IP/TCP/应用层，它结合了分组过滤和代理服务技术的特点， 它同分组过滤一样，在应用层上检查数据包的内容，分析高层的协议数据，查看内容是否符合网络安全策略。如表3-4所示。 表3-4状态检测技术工作情况 5、应用层 4、TCP层 3、IP层 2、数据链路层 1、物理层 3.3 入侵检测技术 仅仅依赖防火墙并不能保证足够的安全，为了解决非法入侵所造成的各种安全问题，安全厂商提出了建立入侵检测系统的解决方法。入侵检测技术是防火墙技术的有效补充，通过对计算机或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络中或系统中潜在的违反安全策略的行为和被攻击的迹象。 3.3.1 入侵检测系统 入侵检测系统功能构成，包括事件提取、入侵分析、入侵响应和远程管理四部分如图3-3所示。 图3-3 入侵检测系统组成 入侵检测所利用的信息一般来自以下四个方面:系统和网络日志文件、目录和文件中的不期望的改变、程序执行中的不期望行为、物理形式的入侵信息。常用的分析方法有模式匹配、统计分析、完整性分析。模式匹配是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。统计分析方法首先给系统对象(如用户、文件、目录和设备等)创建一个统计描述，统计正常使用时的一些测量属性。测量属性的平均值将被用来与网络、系统的行为进行比较。当观察值超出正常值范围时，就有可能发生入侵行为。 3.3.2 入侵检测分类 入侵检测通过对入侵和攻击行为的检测，查出系统的入侵者或合法用户对系统资源的滥用和误用。根据不同的检测方法，将入侵检测分为异常入侵检测和误用人侵检测。 (一)异常检测 又称为基于行为的检测。其基本前提是:假定所有的入侵行为都是异常的。首先建立系统或用户的“正常”行为特征轮廓，通过比较当前的系统或用户的行为是否偏离正常的行为特征轮廓来判断是否发生了入侵。此方法不依赖于是否表现出具体行为来进行检测，是一种间接的方法。常用的具体方法有:统计异常检测方法、基于特征选择异常检测方法、基于贝叶斯推理异常检测方法、基于贝叶斯网络异常检测方法、基于模式预测异常检测方法、基于神经网络异常检测方法、基于机器学习异常检测方法、基于数据采掘异常检测方法等。 采用异常检测的关键问题有如下两个方面: (1) 特征量的选择 在建立系统或用户的行为特征轮廓的正常模型时，选取的特征量既要能准确地体现系统或用户的行为特征，又能使模型最优化，即以最少的特征量就能涵盖系统或用户的行为特征。 (2) 参考阈值的选定 由于异常检测是以正常的特征轮廓作为比较的参考基准，因此，参考阈值的选定是非常关 键的。阈值设定得过大，那漏警率会很高;阈值设定的过小，则虚警率就会提高。合适的参考阈值的选定是决定这一检测方法准确率的至关重要的因素。由此可见，异常检测技术难点是“正常”行为特征轮廓的确定、特征量的选取、特征轮廓的更新。由于这几个因素的制约，异常检测的虚警率很高，但对于未知的入侵行为的检测非常有效。此外，由于需要实时地建立和更新系统或用户的特征轮廓，这样所需的计算量很大，对系统的处理性能要求很高。 (二)误用检测 又称为基于知识的检测。其基本前提是:假定所有可能的入侵行为都能被识别和表示。首先，对已知的攻击方法进行攻击签名(攻击签名是指用一种特定的方式来表示已知的攻击模式)表示，然后根据已经定义好的攻击签名，通过判断这些攻击签名是否出现来判断入侵行为的发生与否。这种方法是依据是否出现攻击签名来判断入侵行为，是一种直接的方法。常用的具体方法有:基于条件概率误用入侵检测方法、基于专家系统误用入侵检测方法、基于状态迁移分析、误用入侵检测方法、基于键盘监控误用入侵检测方法、基于模型误用入侵检测方法。误用检测的关键问题是攻击签名的正确表示。误用检测是根据攻击签名来判断入侵的，根据对已知的攻击方法的了解，用特定的模式语言来表示这种攻击，使得 攻击签名能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。由于多数入侵行为是利用系统的漏洞和 应用程序的缺陷，因此，通过分析攻击过程的特征、条件、排列以及事件间的关系，就可具体描述入侵行为的迹象。这些迹象不仅对分析已经发生的入侵行为有帮助，而且对即将发生的入侵也有预警作用。误用检测将收集到的信息与已知的攻击签名模式库进行比较，从中发现违背安全策略的行为。由于只需要收集相关的数据，这样系统的负担明显减少。该方法类似于病毒检测系统，其检测的准确率和效率都比较高。 3.3.3入侵检测系统 入侵检测就是通过对系统数据的分析、发现非授权的网络访问和攻击行为， 然后采取报警、切断入侵线路等对抗措施。为此目的而设计的系统称为入侵检测 系统。一个简单的入侵检测系统，如图3-4所示。 图3-4简单的入侵检测系统 图3-7所示入侵检测系统的基本任务:通过实时检测网络系统状态，判断入侵行为发生，并产生报警。从功能实现的角度可以把这个系统划分为三大模块:信息收集模块、信息处理与通讯模块、入侵判断与反应模块。其中信息收集模块与特定的环境，监视的对象有比较密切的关系:信息处理与通讯模块，是对所收集到的数据进行预处理和分类，然后把处理的结果按照一定的格式传输给检测判断模块。最后由检测判断模块根据一定的安全策略判断入侵行为的发生并采取相应的反击。随着网络系统结构的复杂化和大型化，系统的弱点或漏洞将趋向于分布式。另外，入侵行为不再是单一的行为，而是表现出相互协作入侵的特点。入侵检测系统要求可适应性、可训练性、高效性、容错性、可扩展性等要求。不同的IDS之间也需要共享信息，协同检测。 3.3.4代理(Agent)技术 代理(Ageni)是指能在特定的环境下无须人工干预和监督完成某项工作的实体。它具有自适应性、智能性和协作性。代理既能独立地完成自己的工作，又能与其它代理协作共同完成某项任务，且代理能够接受控制并能感知环境的变化而影响环境。代理分布于系统中的关键点及关键服务器，包括防火墙、对外提供各项服务的服务器、内部网关和服务器，完成绝大多数的入侵检测和响应任务。代理可以针对特定的应用环境进行配置和编程，使得代理占用负载最小。同时，代理可以与其它代理和中心服务器进行有限的交互，交换数据和控制信息。 由于代理是独立的功能实体，在一个多代理系统中，单个的功能代理能够增加到系统中去或从系统中删除，并且能够对某个代理进行重配置，而不会影响到系统的其它部分。可以看到，在一个由多代理组成的入侵检测系统中，单个代理的失效只会 影响到该代理和与之协作的部分代理，系统的其它部分仍能正常工作。如果能将入侵检测系统的功能合理地分配给各个代理，就能大大减少系统失效的风险。多代理系统所具有的这些优点使之能较好地解决常规入侵检测系统的缺陷。 3.3.5 入侵检测与防火墙实现联动 防火墙与入侵检测这两种技术具有较强的互补性。目前，实现入侵检测和防火墙之间的联动有两种方式可以实现，一种是实现紧密结合，即把入侵检测系统嵌入到防火墙中，即入侵检测系统的数据来源不再来源于抓包，而是流经防火墙的数据流。所有通过的包不仅要接受防火墙检测规则的验证，还需要经过入侵检测，判断是否具有攻击性，以达到真正的实时阻断，这实际上是把两个产品合成一体。但是，由于入侵检测系统本身也是一个很庞大的系统，所以无论从实施难度、合成后的性能等方面都会因此受到很大影响。所以，目前还没有厂商做到这一步，仍处于理论研究阶段。但是不容否认，各个安全产品的紧密结合是一种趋势。第二种方式是通过开放接口来实现联动，即防火墙或者入侵检测系统开放一个接口供对方调用，按照一定的协议进行通讯、警报和传输。目前开放协议的常见形式有:安全厂家提供IDS的开放接口，供各个防火墙厂商使用，以实现互动。这种方式比较灵活，不影响防火墙和入侵检测系统的性能。 3.4 数据加密技术 数据加密技术是网络中最基本的安全技术，主要是通过对网络中传输的信息进行数据加密来保障其安全性，这是一种主动安全防御策略，用很小的代价即可为信息提供相当大的安全保护。 3.4.1 数据加密原理 数据加密是通过某种函数进行变换，把正常数据包文(称为明文或明码)转换为密文(密码)。解密是指把密文还原成明文的过程。密码体制是指一个系统所采用基本工作方式以及它的两个基本构成要素，即加密/解密算法和密钥。密钥是一个数值，它和加密算法一起生成特别的密文。传统密码体制所用的加密密钥和解密密钥相同，称为对称密码体制。如果加密密钥和解密密钥不相同，则称为非对称密码体制，密钥可以看作是密码算法中的可变参数。从数学的角度来看，改变了密钥，实际上也就改变了明文与密文之间等价的数学函数关系。密码算法是相对稳定的，在这种意义上，可以把密码算法视为常量，而密钥则是一个变量。在设计加密系统中，加密算法是可以公开的，真正需要保密的是密钥，密钥本质是非常大的数，密钥大小用位表示。在公开密钥加密方法中，密钥越大密文就越安全。利用密码技术，在信源和通信信道之间对报文进行加密，经过信道传输，到信宿接收时进行解密，以实现网络通信保密，加密与解密过程如图3-5所示。 3.4.2 对称密钥体系 在对称型密钥体系中，加密和解密采用同一密钥，故将这种体系称为秘密密钥密码体制或 私钥密码体制，如图3-6所示 图3-6 对称密钥体制的加密与解密 在对称密码体系中，最为著名的是DES分组算法，DES将二进制序列明文分为每64位一组，使用64位的密钥，对64位二进制数进行分组加密，每轮产生一个48位的“每轮”密钥值，并参与下一轮的加密过程，经过16轮的迭代、乘积变换、压缩等处理后产生64位密文数据，DES加密过程如图3-7所示。 图3-7 DES加密过程 另一个成功的分组加密算法，它的核心是一个乘法/加法非线性构件，通过8轮迭代，能使明码数据更好地扩散和混淆[16]。 3.4.3 非对称密钥体系 非对称加密技术将加密和解密分开并采用一对不同的密钥进行。其工作原理如图3-8所示。 图3-8 非对称密钥体系的加密与解密 RSA算法的原理是数论的欧拉原理:寻求两个大的素数容易，将它们的乘积分解开及其困难，具体做法是:选择两个100位的十进制大素数p和q，计算出它们的积N=pq,将N公开;再计算出N的欧拉函数，Φ(N)=(p-1)*(q-1),定义Φ(N)为小于等于N且与N互素的数个数;然后，用户从[0, Φ(N)-1] 中任选一个与Φ(N)互素的数e，同时根据下式计算出另一个数d: ed=1 modΦ(N)这样就产生了一对密钥:pk=(e,N),sk=(d,N).若用整数X表示明文，Y表示密 文，则有，加密:Y= Xe modN;解密:X=Ye modN。 3.4.4数据信封技术 数字信封中采用了单钥密码体制和公钥密码体制。信息发送者首先利用随机产生的对称密码加密信息，再利用接收方的公钥加密对称密码，被公钥加密后的对称密码称之为数字信封。信息接收方要解密信息时，必须先用自己的私钥解密数字信封，得到对称密码，再利用对称密码解密所得到的信息，这样就保证了数据传输的真实性和完整性，如图3-9所示。 图3-9 数据信封技术 3.5 反病毒技术 3.5.1 计算机病毒的介绍 计算机病毒就是能够通过某种途径潜伏在计算机存储介质里，当达到某种条件时，即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合。 随着计算机技术的发展尤其是网络技术的普及，计算机病毒进入了一个新的阶段---网络蠕虫病毒暴发阶段，2001至今，网络蠕虫已经成为网络病毒的主流。 3.5.2 计算机病毒的组成与分类 经对目前出现的计算机病毒的分析发现，所有计算机病毒都是由三部分组成的，即病毒引导模块、病毒传染模块和病毒表现模块。计算机病毒程序组成如图3-10所示。 图3-10 计算机病毒程序组成 (1)引导模块:负责将病毒引导到内存，并向系统中请求一定的存储空间，对相应的存储空间实施保护，以防止其他程序覆盖，并且修改系统的一些功能入口，在这些入口处引导病毒传染模块和病毒实现模块。 (2)传染模块:它是整个病毒程序的核心，传染模块又分为两部分:判断部分、传染部分。 (3)表现模块:包括病毒触发条件判断和具体表现。 而从技术来分可以分为:网络病毒、邮件病毒、文件型病毒、宏病毒、引导型病毒、变体病毒、混合型病毒、其它类型病毒(java,pdf,图文病毒)[19]。 3.5.3 病毒的检测和清除 想要知道自己的计算机中是否染有病毒，可以根据以下几种情况来做简单判断。 (1)计算机执行速度越来越慢。 (2)系统出现莫名其妙的死机或者重启。 (3)网络速度变慢或者出现一些陌生的网络连接。 (4)文件夹无缘无故多了一些文件。 (5)突然出现蓝屏或无端黑屏等。 除此以外，还可以用几种专业手段来检查: (1)比较法 用原始备份与被检测的引导扇区或被监测的文件进行比较，比较时可以靠打印的代码清除。 (2)搜索法 利用每一种计算机病毒体含有的特定字符串对被检测的对象进行扫描。如果在被检测对象内部发现了某一种特定字符串，就表明发现了该字符串所代表的计算机病毒。 (3)分析法 计算机病毒检测分析法是防杀计算机病毒工作中不可缺少的重要技术，需要专门人员对各种病毒详尽地分析。 (4)人工智能陷阱技术和宏病毒陷阱技术 人工智能陷阱是一种监测计算机行为的常驻或扫描技术。它将所有的计算机病毒所产生的行为归纳起来，一旦发现内存中的程序有任何不当的行为，系统就会有所警觉，并告知使用者;宏病毒陷阱技术是结合了搜索法和人工智能陷阱技术，依行为模式来侦测已知及未知的宏病毒。 (5)软件仿真扫描法 软件仿真技术是成功地仿真CPU执行，在DOS虚拟机下伪执行计算机病毒程序，安全并确定地将其解密使其显露本来的面目，再加以扫描。 第4章 网络安全防范 4.1 telnet入侵防范 Telnet协议是TCP/IP协议族中的一员，是Internet远程登录服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终端使用者的电脑上使用telnet程序，用它连接到服务器。终端使用者可以在telnet程序中输入命令，这些命令会在服务器上运行，就像直接在服务器的控制台上输入一样。可以在本地就能控制服务器。要开始一个telnet会话，必须输入用户名和密码来登录服务器。Telnet是常用的远程控制Web服务器的方法。 telnet可能是黑客常用的攻击方式，我们可以通过修改telnet服务端口，停 用telnet服务，甚至把telnet控制台管理工具删除。 具体方法如下: 通过修改telnet端口来防止黑客轻易入侵在命令提示符窗口中输入 Tlntadmn config port=168命令，回车后即可将telnet端口修改成168，如图4-1所示。 图4-1 修改telnet服务端口 如果将telnet的最大连接数设为0，这样就可以让一般的黑客豪无办法，设置方法同上。如果根本不需要telnet，完全可以把它删掉，因为该服务实在是太危险了，直接把系统安装目录中的system32中的Tlntadmn.exe删除掉，这样黑客想用telnet入侵就会非常困难了[20]。 4.2 防止Administrator账号被破解 Windows 2000/xp/2003系统的Administrator账号是不能被停用的，也不能设置安 全策略，这样黑客就可以一遍又一遍地尝试这个账号的密码，直到被破解，为了防止这种侵入，我们可以把Administrator账号更名:在“组策略”窗口中，依次展开“本地计算机策略”/“计算机配置”/“windows设置”/“安全设置”/“本地策略”/“安全选项”功能分支。重命名系统管理员帐户“属性”对话框，在此输入新的管理员名称，尽量把它为普通用户，然后另建一个超过10位的超级复杂密码，并对该账号启用审核，这样即使黑客费力破解到密码也杀一无所获。另外为了防止黑客通过Guest账号登录计算机，可以在“组策略”中删除Guest账号。 4.3 防止账号被暴力破解 黑客攻击入侵，大部分利用漏洞，通过提升权限成为管理员，这一切都跟用户账号紧密相连。 防范方法:通过修改注册表来禁用空用户连接。在注册表编辑器中找到如下子键 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA,在其窗口新建一个名为RestrictAnonymous的DWORD值将其设为1，如图4-2所示。 图4-2 禁用空用户连接 4.4 “木马”防范措施 4.4.1“木马”的概述 制能力，其功能具有破坏性。 大部分“木马”采用C/S运行模式，当服务端在目标计算机上被运行后，打开一个特定的端口进行监听，当客户端向服务器发出连接请求时，服务器端的相应程序会自动运行来应答客户机的请求，如表4-1所示。 表4-1 C/S型木马结构 4.4.2 “木马”的防范措施 (1)检查系统配置应用程序。在“木马”程序会想尽一切办法隐藏自己，主要途径有:在任务栏和任务管理器中隐藏自己，即将程序设为“系统服务”来伪装自己，“木马”会在每次服务端启动时自动装载到系统中，如:启动组，win.ini,system.ini,注册表等。比如在“开始”-“运行”输入msconfig,执行windows自带“系统配置应用程序”。在标签为win.ini文件中，在[windows]下面“run=”和“ load=”是可能加载“木马”程序的途径，一般情况下，它们的等号后面什么都没有。在system.ini文件中，在[BOOT]下面有个“shell:文件名”正确的文件名应该是“explorer.exe”如果不是“explorer.exe”，而是“shell: explorer.exe程序名”，那么后面跟着的那个程序就是“木马”了[21]。 (2)查看注册表。输入regedit命令 HKEY_LOCAL_MACHINE\software\Microsoft\windows\current version\run目录下查看键值有设有自己不熟悉的自动启动文件，扩展名为:“.exe”。 (3)查找“木马”的特征文件，“木马”的一个特征文件是kernl32.exe,另一个是sysexlpr.exe，只要删除了这两个文件，“木马”就不起作用了，但是需要注意的是sysexlpr.exe是和文 4.5 网页恶意代码及防范 目前，网页中的恶意代码开始威胁到网络系统安全，一般分为以下几种: (1)消耗系统资源。 不断地利用cpu的利用率，使计算机不能处理其他的进程，导致系统和网络资源瘫痪。这类病毒大都是利用JavaScrit产生的一个死循环，它可以在有恶意的网站中出现，也可以被当作邮件发给用户，当用户打开html,vbs附件时，屏幕会出现无数个浏览器窗口，最后不得不重启。 特洛伊木马是一种隐藏了具有攻击性的应用程序。与病毒不同，它不具备复 (2)非法向用户硬盘写入文件。 (3)IE泄露，利用IE漏洞，网页可以读取客户机的文件，就可以从中获得用户账号和密码。 (4)利用邮件非法安装木马。 4.5.1恶意代码分析 在html中利用死循环原理，交叉显示耀眼的光线，如果继续插入编写的一段代码，扩大恶意程度，那么IE将无法使用。 4.5.2网页恶意代码的防范措施 (1)运行IE时，点击“工具?Internet选项?安全? Internet区域的安全级别”，把安全级别由“中”改为“高”。网页恶意代码主要是含有恶意代码的ActiveX或Applet、 JavaScript的网页文件 ，所以在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以减少被网页恶意代码感染的几率。具体方案是:在IE窗口中点击“工具”?“Internet选项”，在弹出的对话框中选择“安全”标签，再点击“自定义级别”按钮，就会弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及与Java相关全部选项选择“禁用”。如图4-3所示: 图4-3 防范网页恶意代码 (2)网页恶意代码大多是在访问网站时候误下载和激活的，所以不要进入不信任的陌生网站，对于网页上的各种超级连接不要盲目去点击，若被强制安装恶意代码，一经发现立即删除，或者安装相应的恶意代码清除工具，或本机防火墙软件。 4.6 嗅探器(sniffer)的防范 Sniffer是一种常用的收集有用数据方法，这些数据可能是用户的帐号和密码，可能是一些商用机密数据，等等。它可以作为能够捕获网络报文的设备，ISS为sniffer这样定义:sniffer是利用计算机的网络接口截获其他计算机的数据报文的一种工具。 4.6.1 Sniffer的工作原理 Sniffer要捕获的东西必须是要物理信号能收到的报文信息，只要通知网卡接收其收到的所有包，在共享HUB下就能接收到这个网络的所有包，但是交换HUB下就只能是自己的包加上广播包，sniffer工作在网络环境中的底层，它会拦截所有正在网络上传递的数据，并且通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处理的网络状态和整体布局，值得注意的是，sniffer是极其安静的，它是一种消极的安全攻击。 Sniffer在功能和设计方面有很多不同，有些只能分析一种协议，而另一些可能能够分析几百种协议，一般情况下，大多数的嗅探器至少能够分析以下的协议: 标准以太网，TCP/IP,IPX,DECNET。 4.6.2 Sniffer的检测和防范 (1)对于可能存在的网络监听的检测;对于怀疑运行监听程序的机器，用正确的IP地址和错误的物理地址ping，运行监听程序的机器会有响应，这是因为正常的机器不接收错误的物理地址，处理监听状态的机器能接收，但如果它的Ipstack不再发反向检查的话，就会响应。 (2)向网上发大量不存在的物理地址的包;由于监听程序要分析和处理大量的数据包会占用很多的资源，会导致系统性能下降，通过比较前后该机器性能加以判断，这种办法难度较大。 (3)使用反监听工具如 Antisniffer等进行检测。 对于网络监听的防范措施有: (1)从逻辑或物理上对网络分段。 (2)以交换式HUB代替共享式HUB。 (3)使用加密技术。 (4)划分VLAN(虚拟局域网)。 4.7 数据密文防范措施 在前面的一章中我们已经介绍了数据加密和隐藏技术，在保密系统中，信道中传播的是加密后的消息，即密文，采用截获密文进行分析的攻击称为被动攻击，采用删除、更改、增添、重放、伪造等手段向系统注入假消息并进行分析的攻击称为主动攻击。对此，我们必须采用有效的加密解密的程序来防止密文泄露，可以通过c语言来实现的加密和解密。 4.8 其它网络攻击与防范措施 4.8.1 源IP地址欺骗攻击 许多应用程序认为如果数据包能使其自身沿着路由到达目的地，而且应答包也可以回到源地，那么源IP地址一定是有效的，而这正是使源IP地址欺骗攻击成为可能的前提。 要防止源IP地址的欺骗行为，可以采取以下措施来尽可能地保护系统免受这类攻击:(1)抛弃基于地址的信任策略。(2)使用加密方法。(3)进行包过滤。 4.8.2 源路由欺骗攻击 在通常情况下，信息包从起点到终点走过的路径是由位于此两点间的路由器决定的，数据包本身只知道去行何处，但不知道该如何去源路由可使信息包的发送者将此数据包要经过胡路径写在数据包里，使数据包循着一个对方不可预料的路径到达目的主机[21]。 为了防范源路由欺骗攻击，一般采用下面两种措施: (1)对付这种攻击最好的办法是配置好路由器使它抛弃那些由外部网进来的却声称是内部主机的报文。 (2)在路由器上关闭源路由，用命令 no ip source-route。 4.8.3 拒绝服务攻击及预防措施 在拒绝服务攻击中，攻击中加载过多的服务将对方资源全部耗尽，使得没有多余资源供其他用户使用，SYN Flood攻击是典型的拒绝服务攻击。为了防止拒绝服务攻击，我们可以采取以下预防措施。 (1)对方信息淹没攻击，我们应关掉可能产生无限序列的服务来防止这种攻击。比如我们可以在服务器端拒绝所有的ICMP包，或者在该网段路由器上对ICMP进行带宽限制，控制其在一定的范围内。 (2)防止SYN数据段攻击，我们应对系统设定相应的内核参数，使得系统强制对超时的SYN请求连接数据包复位，同时通过缩短超时常数和加长等候队列使得系统能迅速处理无 效的SYN请求数据包。 (3)建议在网段的路由器上做起配置的调整，这些调整包括限制SYN半公开数据包的流量和广数。 (4)建议在路由器的前端做必要胡TCP拦截，使得只有完成TCP三次握手过程的数据包才可进入网段。 第5章 校园网络安全体系 通过以上对网络攻击分析和防范的设计，校园网络也会面临同样的威胁，所以我们在知道网络功防基础上应该构筑校园网络安全体系，要从两个方面着手:一是采用一定的技术;二是不断改进管理方法。 从技术角度看，目前常用的安全手段有内外网隔离技术、加密技术、身份认证、访问控制、安全路由等，这些技术对防止非法入侵系统起到了一定的防御作用。防火墙作为一种将内外网隔离的技术，普遍运用于校园网安全建设中[24]。 5.1 校园网络安全规范 在校园网的需求来讲，校园的网络安全是指利用各种网络监控和管理技术措施，对网络系统的硬件、软件及系统中的数据资源实施保护，使其不会因为一些不利因素而遭到破坏，从而保证网络系统连续、安全、可靠地运行。 校园网分为内部网和互联网两部分，技术上采用虚拟网管理。一般用户不提供与internet直接相连，需要直接连接的用户应向校园网管理委员会提出申请，获准后由网络中心分配IP地址并提供相应的入网软硬件，具有直接连接权限的用户应与校园网管中心签定保密协议书，并自觉接受网络安全员的检查。 学校网络中心负责网络设备的运行管理，信息中心负责网络资源，用户帐户 肯安全管理，系统管理员口令绝对保密，根据用户需求严格控制，合理分配用户权限。网络用户口令应经常更新，防杀病毒软件本身无毒，向学生开放的教学实验室应禁止使用软驱和光驱，以杜绝病毒的传播。 校园网络信息系统以自行开发为主，系统软件应对访问权限严格限制，对不同操作人员，不同信息的 C:敏感信息;即需要验证身份和传输加密。 (2)服务资源包括:内部服务资源、公众服务资源 内部服务资源:面向已知客户，管理和控制内部用户对信息资源的访问。 公众服务资源:面向匿名客户，防止和抵御外来的攻击。 5.3 校园网络安全技术的应用 5.3.1网络攻击的概念 校园网的网络攻击主要来自internet中,所以对网络的攻击可以分为两种基本的类型，即服务攻击与非服务攻击。 (1)服务攻击 指对为网络提供某种服务的服务器发起攻击，遭成该网络的“拒绝服务”，使网络工作部正常。拒绝服务攻击将会带来消耗带宽、消耗计算资源、使系统和应用崩溃等后果，它是阻止针对某种服务的合法使用者访问他有权的服务。 (2)非服务攻击 非服务攻击是针对网络层等低层协议进行的，攻击者可能使用各种方法对网络通信设备发起攻击，使得网络通信设备工作严重阻塞或瘫痪，导致一个局域网或更多的网布能正常工作。与服务攻击相比，非服务攻击与特定服务无关，它往往利用协议或操作系统实现协议时的漏 洞来达到目的。 (3)非授权访问 非授权访问是指存储在联网计算机中的信息或服务被未授权的网络用户非法使用，或者被授权用户越权滥用。 网络的非法用户可以通过猜测用户口令，窃取口令的办法，或者设法绕过网络安全认证系统来冒充合法用户，非法查看、下载、修改、删除未授权访问的信息，以及使用未授权的网络服务。访问授权一般是由计算机操作系统、数据库管理系统、应用软件与网络操作系统和防火墙来共同保障，通常采用的方法是用户访问权限设置、用户口令加密、用户身份认证、数据加密与结点地址过滤等。 5.3.2 建立网络安全模型 通信双方在网络上传输信息时，需要先在发送和接收方之间建立一条逻辑通道。为了在开放的网络环境中安全地传输信息，需要对信息提供安全机制和安全服务，如图5-1所示。 信息的安全传输包括两个基本部分: (1)对发送的信息进行安全转换(如信息加密)，实现信息的保密性。或者附加一些特征信息，以便进行发送方身份验证。 (2)发送和接收双方共享的某些信息(如加密密钥)，这些信息除了对可信任的第三方外，对于其他用户是保密的。 为了信息的安全传输，通常需要一个可信任的第三方。第三方的作用是负责向通信双方秘密信息，并在双方发生争议时进行仲裁。设计一个网络安全方案时，需要完成以下四个基本任务: (1)设计一个算法，执行安全相关的转换; (2)生成该算法的秘密信息(如密钥); (3)研制秘密信息的分发与共享的方法; (4)设定两个责任者使用的协议，利用算法和秘密信息取得安全服务。 5.3.3 数据备份方法 数据备份有多种实现形式，从不同的角度可以对备份进行不同的分类:从备 份模式来看，可以分为物理备份和逻辑备份;从备份策略来看，可以分为完全备份、增量备份和差异备份;根据备份服务器在备份过程中是否可以接收用户响应和数据更新，又可以分为离线备份和在线备份。 (1)逻辑备份 逻辑备份也可以称作“基于文件的备份”。每个文件都是由不同的逻辑块组成的，每个逻辑块存储在连续的物理磁盘块上，基于文件的备份系统能识别文件结构，并拷贝所有的文件和目录到备份资源上。系统顺序读取每个文件的物理块，然后备份软件连续地将文件写入到备份介质上，从而使得每个单独文件的恢复变得更快。 (2)物理备份。 物理又称“基于块的备份”或“基于设备的备份”，其在拷贝磁盘块到备份介质上时忽略文件结构，从而提高备份的性能。因为备份软件在执行过程中，花费在搜索操作上的开销很少。 (3)完全备份 完全备份是指整个系统或用户指定的所有文件数据进行一次全面的备份，这是一种最基本，也是最简单的备份方式。这种备份方式的好处就是很直观，容易理解。如果在备份间隔期间出现数据丢失等问题，可以只使用一份备份文件快速地恢复所丢失的数据。 (4)增量备份 为了解决上述完全备份的两个缺点，出现了更快、更小的增量备份。增量备份只备份相对 于上次备份操作以来新创建或者更新过的数据。因为在特定的时间段内只有少量的文件发生改变，没有重复的备份数据，因此既节省空间，又缩短了备份的时间。因而这种备份方法比较经济，可以频繁地进行。 (5)差异备份 差异备份即备份上一次完全备份后产生和更新的所有新的数据。它的主要目的是将完全恢复时涉及到备份记录数量限制在两个，以简化恢复的复杂性。 5.3.4 防火墙技术 防火墙是在网络之间通过执行控制策略来保护网络的系统，它包括硬件和软件。设置防火墙的目的是保护内部网络资源不被外部非授权用户使用。防火墙的功能包括: (1)检查所有从外部网络进入内部网络流出到外部网络的数据包。 (2)执行安全策略，限制所有不符合安全策略要求的数据包通过。 (3)具有防攻击能力，保证自身的安全性。 防火墙是一个由软件与硬件组成的系统。由于不同内部网的安全策略与防护目的不同，防火墙系统的配置与实现方式也有很大的区别。简单的一个包过滤路 由器或应用网关、应用代理服务器都可以作为防火墙使用。 5.3.5入侵检测技术 入侵检测系统是对计算机和网络资源的恶意使用行为进行识别的系统。它的目的是监测和发现可能存在的攻击行为，包括来自系统外部的入侵行为和来自内部的非法授权行为，并采取相应的防护手段。它的基本功能包括: (1)监控、分析用户和系统的行为。 (2)检查系统的配置和漏洞。 (3)评估重要的系统和数据文件的完整性。 (4)对异常行为的统计分析，识别攻击类型，并向网络管理人员报警。 (5)对操作系统进行审计、跟踪管理，识别违反授权的用户活动。 5.3.6 网络安全评估 网络安全评估系统是一种集网络安全检测、风险评估、修复、统计分析和网络安全风险集中控制管理功能于一体的网络安全设备。通过扫描某个网络内的主机，再进行智能分析，得到该网络的安全状况分析图表，以及每个机器的详细的安全登记评估图表。 从本质来讲评估技术就是一种检测技术。网络安全评估分析技术可以分为基于应用和基于网络的两种评估分析技术。 (1)基于应用的技术采用被动、非破坏的办法检测应用软件包的设置，发现安全漏洞。 (2)基于网络的技术采用积极的、非破坏的办法来检验系统是否有可能被攻击。 5.4 校园安全隐患 当时，校园网络主要存在的安全隐患和漏洞有: (1)校园网通过CERNET与Internet相连，在享受Internet方便快捷的同时，也面临着遭遇攻击的风险。 (2)校园网内部也存在很大的安全隐患，由于内部用户对网络的结构和应用模式都比较了解，因此来自内部的安全威胁更大一些。而现在，黑客攻击工具在网上十分常见，一般人员并不需要很复杂的知识就能用，所以存在很大的危险。 (3)目前使用的操作系统存在安全漏洞，对网络安全构成了威胁。大学的网络服务器安装的操作系统有WindowsNT/Windows2000、Unix、Linux等，这些系统安全风险级别不同，例如WINNT/WIN2000的普遍性和可操作性使得它也是最不安全的系统:本身系统的漏洞、浏览器的漏洞、IIS的漏洞;Unix由于其技术的复杂性导致高级黑客对其进行攻击:自身安 全漏洞(RIP路由转移等)、服务安全漏洞、Unix自身的病毒等等，这些都对原有网络安全构成威胁。 (4)随着校园内计算机应用的大范围普及，接入校园网节点日渐增多，而这些节点大部分都没有采取一定的防护措施，随时有可能造成病毒泛滥、信息丢失、 数据损坏、网络被攻击、系统瘫痪等严重后果。 由此可见，构筑具有必要的信息安全防护体系，建立一套有效的网络安全体系显得尤其重要。 5.5 校园网主动防御体系 校园网的安全威胁既有来自校内的，也有来自校外的。在设计校园网网络安全系统时，首先要了解学校的需要和目标，制定安全策略，需要注意的是，网络上的业务目标、安全策略与安全设计之间的关系是一体的。因此网络安全防范体系应该是动态变化的，在完成安全防范体系的设计后，必须不断适应安全环境的变化，以保证网络安全防范体系的良性发展，确保它的有效性和先进性。 美国国际互联网安全系统公司( ISS )提出的 P 2 D R模型是指:策略 ( P o l i c y )、防护( P r o t e c t i o n )、检测( D e t e c t i o n ) 和响应 ( R e s p o n s e )。P 2 D R模型强调防护、检测和响应等环节的动态循环过程，通过这种过程达到保持网络系统的相对安全。所以P 2 D R模型是“整体的、动态的”的安全循环，在安全策略整体的控制下指导下保证信息系统的安全。P 2 D R模型如图5-2所示。 P2DR模型是美国ISS公司提出的动态网络安全体系的代表模型，也是动态安全模型的雏形。P2DR模型包括四个主要部分:Policy(安全策略)、Protection(防护)、Detection(检测)和 Response(响应)。P2DR 模型是在整体的安全策略的控制和指导下，在综合运用防护工具(如防火墙、操作系统身份认证、加密等)的同时，利用检测工具(如漏洞评估、入侵检测等)了解和评估系统的安全状态，通过适当的反应将系统调整到“最安全”和“风险最低”的状态。防护、检测和响应组成了一个完整的、动态的安全循环，在安全策略的指导下保证信息系统的安全。 该理论的最基本原理就是认为，信息安全相关的所有活动，不管是攻击行为、防护行为、检测行为和响应行为等等都要消耗时间。因此可以用时间来衡量一个体系的安全性和安全能力。作为一个防护体系，当入侵者要发起攻击时，每一步都需要花费时间。当然攻击成功花费的时间就是安全体系提供的防护时间Pt;在入侵发生的同时，检测系统也在发挥作用，检测到入侵行为也要花费时间―检测时间Dt;在检测到入侵后，系统会做出应有的响应动作，这也要花费时间―响应时间Rt。 P2DR 模型就可以用一些典型的数学公式来表达安全的要求: (1)公式 1:Pt > Dt + Rt 。 Pt代表系统为了保护安全目标设置各种保护后的防护时间;或者理解为在这样的保护方式下，黑客(入侵者)攻击安全目标所花费的时间。Dt代表从入侵者开始发动入侵开始，系统能够检测到入侵行为所花费的时间。Rt代表从发现入侵行为开始，系统能够做出足够的响应，将系统调整到正常状态的时间。那么， 针对于需要保护的安全目标，如果上述数学公式满足防护时间大于检测时间加上响应时间，也就是在入侵者危害安全目标之前就能被检测到并及时处理。 (2)公式 2:Et = Dt + Rt，如果 Pt = 0。 公式的前提是假设防护时间为0。Dt代表从入侵者破坏了安全目标系统开始，系统能够检测到破坏行为所花费的时间。Rt代表从发现遭到破坏开始，系统能够做出足够的响应，将 系统调整到正常状态的时间。比如，对Web Server被破坏的页面进行恢复。那么，Dt与Rt的和就是该安全目标系统的暴露时间Et。针对于需要保护的安全目标，如果Et越小系统就越安全。 通过上面两个公式的描述，实际上给出了安全一个全新的定义:“及时的检测和响应就是安全”，“及时的检测和恢复就是安全”。而且，这样的定义为安全问题的解决给出了明确的方向:提高系统的防护时间 Pt，降低检测时间 Dt和响应时间 Rt。 5.5.2校园网络安全防范体系 安全模型中的安全策略、防护、检测、响应始终贯穿着安全技术和安全管理两个方面的重要安全防范体系 针对以上校园网网络安全体系应用以下安全技术来实现: (1)配置防火墙和入侵检测系统 在校园网的进口处架设了防火墙和网络入侵检测系统。防火墙作为一种将内外网隔离的技术， 普遍运用于校园网安全建设中。防火墙可以有效地隔离内部网与外部网， 保护校园内部网络免遭非法的侵入。网络安全检测工具是一个网络安全性评估分析软件，不时的扫描分析网络系统， 网络管理员根据检测的报告系统分析存在的弱点和漏洞，及时采取补救措施，以达到增强网络安全性的目的。基于网络的入侵检测系统，对监视网段中的各种数据包进行特征分析，会根据产品中配置规则情况录取是否发出警报或直接切断网络连接。 (2)采用V L A N技术 按学校各部门拥有不同的应用业务以及不同的安全级别，有限制非法访问可以运用 V L A N技术。如使用三层交换机基于端口划分技术将网络分段并进行隔离，实现访问控制。 (3)配置代理服务器 在计算机中心学生机房配置访问控制列表，使用二级防火墙，并利用代理软件配置代理服务器，在代理服务器上安装双网卡，连接外网的网卡使用公网I P地址，连接内网的网卡使用私有地址，学生客户机 I P地址与代理服务器内网 I P地址在同一网段，网关 I P为代理服务器内网 I P地址。机房机器通过代理服务器连接互联网，可以控制前往I n t e me t 的所有用户的流量。 (4)安装杀毒软件 在整个校园网中只要有可能感染和传播病毒的地方都采取相应的防病毒手段，安装相适应的防杀毒软件，有效地防止病毒在校园网上感染、传播和发作。对防病毒软件要有效、快速地升级病毒定义码和扫描引擎。网络的安全管理是一个长期的、动态的过程。本网络系统的安全性还存在不少问题，比如说防止网络攻击方面， 尽管使用了入侵检测系统和防火墙的联动技术，但是，目前的入侵检测系统对未知的攻击检测能力较弱，且存在误报率太高的缺点。这些问题有待我们作进一步的探讨和改进，不断的分阶段完善安全防范体系。 (5)制定安全策略 安全策略是赋予了组织机构技术人员或信息资产使用权的人员必须履行的准则的正规陈述它是一个成功的网络安全体系的基础与核心。业务需求和风险分析是安全策略的主要制定依据。校园网络的安全策略是依据校园网的业务需求描述了校园网近期安全目标和长期安全目标，以及安全风险评估分析，不同安全评估标准中保护对象的安全等级方面的内容。 5.5.3完善安全制度与管理 安全管理贯穿整个安全防范体系，是安全防范体系的核心，代表了安全防范体系中人的因素。网络系统的安全性不只是技术方面的问题，如果日常管理上没有相应规章制度来管理约束，再先进的软件技术, 硬件设备对网络系统的安全来说也是不安全的。一个有效的安全防范体系应该是以安全策略为核心，以安全技术为支撑，以安全管理为落实,安全管理主要是 对安全技术和安全策略的管理， 安全策略为安全管理提供管理方向，安全技术是辅助安全管理的措施。当网络出现攻击行为或其它一些安全威胁时，无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索，即缺乏对网络的可控性与可审查性。这就要求网络管理员经常通过网络攻击扫描器提前识别弱点区域，入侵检测系统监控和响应安全事件，必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。 安全管理主要是对安全策略的一系列实施操作，这些操作是构建网络安全体系必不可少的。没有完善的安全管理体系，很难保证网络系统的安全。必须制定详细的安全管理制度，如机房管理制度、病毒防范制度等，并采 取切实有效的措施保证制度的执行。学院网络安全防范体系建立以后，学院的网络控制中心负 责网络设备的运行管理，信息中心负责网络教学资源的安全管理。规定系统管理员要进行日常的网络安全管理，实时地、动态地监控网络运行情况，每日必须检查服务器的日志，对重要的数据服务器，每日必须进行异地数据备份。同时管理员的密码必须达到一定的长度并且建议每周修改一次。管理员需及时对操作系统打补丁和防病毒软件包的升级，不断完善和优化网络安全防范体系。 5.6 其他网络安全解决方案 网络安全技术是解决校园网安全问题的基础，我们在对校园网安全分析时综合采用了防火墙、入侵检测、内容过滤和安全评价等技术，提出了一些安全解决方案，以增强校园网络的安全覆盖范围和程度。 5.6.1关闭不必要的端口 以下是一些可能被攻击的端口，一般情况下，应该要把这些端口屏蔽掉。 (1)23端口。若这个端口开着非常的危险，这个端口主要用做TELNET登录。Telnet服务给我们的最直接的感受就是它可以使得我们忘掉电脑与电脑之间的距离。利用23端口的Telnet我们可以象访问本机那样访问远程的计算机。Telnet协议的初衷是用来帮助我们对于计算机实现远程管理与维护，以提高我们的工作效率。但在一定情况下反而成为了一个黑客攻击最常利用的一个端口。若不怀好意的人利用Telnet服务登陆到23端口，就可以任意在对方电脑上上传与下载数据，包括上传木马与病毒等等。 (2)21端口。这个端口主要用来运行FTP服务。糟糕的是，这个端口，若管理不善的话，是可以用户进行匿名登陆的。并能够利用这个端口远程登陆并运行远程命令，这也就是说，可以在远程上传木马等工具并在远程控制其运行。同时，还可以利用FTP服务了解到攻击所需要的基本信息，如用的是什么操作系统等等;甚至能够获知可用的帐号，等等。一般情况下，没有必要开启21号端口。 (3)135端口。通过135端口入侵实际上就是在利用操作系统的RPC漏洞。一般情况下，135端口主要用来实现远程过程调用。通过RPC可以保证在一台计算机上运行的程序可以顺利地执行远程计算机上的代码。利用这个漏洞，可以通过这个端口得到电脑上的“主机”文件。得到这个文件后，再利用一定的工具便可以知道该电脑上可用的计算机用户名与密码，甚至是管理员的用户名与密码。得到这个用户名之后，如可以上传木马工具，随意的查看重要的文件，并对进行破坏和窃取。 5.6.2 巩固安全策略 (1)利用防火墙将内部网络、对外服务器网络和外网进行有效隔离，避免与外部网络直接通信; (2)利用防火墙建立网络各主机和对外服务器的安全保护措施，保证系统安全; (3)利用防火墙对网上服务请求内容进行控制，使非法访问在到达主机前被拒