導語：Internet安全體系構造(zao)探析一文來(lai)源于網(wang)友上傳(chuan)，不代(dai)表本站觀點(dian)，若需要(yao)原(yuan)創文章可咨詢客服老(lao)師，歡迎參考。

摘要：internet提供訪問控制服務和通信安全服(fu)務的(de)安(an)全技術。特別要討論防(fang)火墻技術和已經提(ti)出的(de)網際(ji)、傳輸、應用等各層上(shang)的(de)安(an)全協(xie)議。

關鍵(jian)詞：internet安全(quan)(quan)性(xing)，防火(huo)墻，安全(quan)(quan)策略

Internetsafesystemstructureanalysis

Abstract:ThesafepracticethatInternetoffersserviceofvisittingandcontrolserviceandcommunicationsecurity.Wantanddiscussfirewalltechnologyandinternet,transmit,alayerofsecuritiesagreementthatpayeachofusingetcthatputforwardalreadyverymuch.

Thekeyword:Internetsecurity,thefirewall,safetactics

1.引言

隨著(zhu)計算(suan)(suan)機(ji)網(wang)(wang)(wang)絡(luo)(luo)的(de)(de)(de)(de)(de)不(bu)斷發展(zhan)，全(quan)(quan)球信(xin)息(xi)化已成為(wei)人類發展(zhan)的(de)(de)(de)(de)(de)大趨勢。但由于(yu)計算(suan)(suan)機(ji)網(wang)(wang)(wang)絡(luo)(luo)具有(you)聯結形(xing)式多樣(yang)(yang)性(xing)(xing)、終端分布不(bu)均(jun)勻性(xing)(xing)和(he)(he)(he)網(wang)(wang)(wang)絡(luo)(luo)的(de)(de)(de)(de)(de)開放性(xing)(xing)、互連性(xing)(xing)等(deng)特征，致使網(wang)(wang)(wang)絡(luo)(luo)易受黑(hei)客(ke)、怪客(ke)、惡意(yi)軟(ruan)件和(he)(he)(he)其他不(bu)軌(gui)的(de)(de)(de)(de)(de)攻擊，所以網(wang)(wang)(wang)上信(xin)息(xi)的(de)(de)(de)(de)(de)安全(quan)(quan)和(he)(he)(he)保密是(shi)一個(ge)至(zhi)關重(zhong)要(yao)的(de)(de)(de)(de)(de)問題。對于(yu)軍用的(de)(de)(de)(de)(de)自(zi)動化指揮網(wang)(wang)(wang)絡(luo)(luo)、C3I系(xi)統(tong)和(he)(he)(he)銀行等(deng)傳輸(shu)敏感(gan)數據的(de)(de)(de)(de)(de)計算(suan)(suan)機(ji)網(wang)(wang)(wang)絡(luo)(luo)系(xi)統(tong)而言，其網(wang)(wang)(wang)上信(xin)息(xi)的(de)(de)(de)(de)(de)安全(quan)(quan)和(he)(he)(he)保密尤為(wei)重(zhong)要(yao)。因(yin)(yin)此(ci)(ci)，上述的(de)(de)(de)(de)(de)網(wang)(wang)(wang)絡(luo)(luo)必須有(you)足夠強的(de)(de)(de)(de)(de)安全(quan)(quan)措施，否則該網(wang)(wang)(wang)絡(luo)(luo)將是(shi)個(ge)無(wu)用、甚至(zhi)會危及國家安全(quan)(quan)的(de)(de)(de)(de)(de)網(wang)(wang)(wang)絡(luo)(luo)。無(wu)論是(shi)在局域網(wang)(wang)(wang)還(huan)是(shi)在廣域網(wang)(wang)(wang)中，都存在著(zhu)自(zi)然(ran)和(he)(he)(he)人為(wei)等(deng)諸多因(yin)(yin)素的(de)(de)(de)(de)(de)脆弱性(xing)(xing)和(he)(he)(he)潛在威脅(xie)。故此(ci)(ci)，網(wang)(wang)(wang)絡(luo)(luo)的(de)(de)(de)(de)(de)安全(quan)(quan)措施應是(shi)能全(quan)(quan)方(fang)位地針對各(ge)種不(bu)同的(de)(de)(de)(de)(de)威脅(xie)和(he)(he)(he)脆弱性(xing)(xing)，這樣(yang)(yang)才能確保網(wang)(wang)(wang)絡(luo)(luo)信(xin)息(xi)的(de)(de)(de)(de)(de)保密性(xing)(xing)、完整性(xing)(xing)和(he)(he)(he)可用性(xing)(xing)。

2.計算網(wang)絡面(mian)臨的威脅

計(ji)算(suan)機(ji)網(wang)(wang)(wang)絡(luo)(luo)所面臨的(de)(de)(de)威(wei)脅大體可(ke)(ke)分為兩種：一(yi)是(shi)(shi)對(dui)(dui)網(wang)(wang)(wang)絡(luo)(luo)中(zhong)信息的(de)(de)(de)威(wei)脅；二是(shi)(shi)對(dui)(dui)網(wang)(wang)(wang)絡(luo)(luo)中(zhong)設備的(de)(de)(de)威(wei)脅。影響計(ji)算(suan)機(ji)網(wang)(wang)(wang)絡(luo)(luo)的(de)(de)(de)因素(su)(su)很(hen)多，有些因素(su)(su)可(ke)(ke)能(neng)是(shi)(shi)有意的(de)(de)(de)，也(ye)可(ke)(ke)能(neng)是(shi)(shi)無意的(de)(de)(de)；可(ke)(ke)能(neng)是(shi)(shi)人為的(de)(de)(de)，也(ye)可(ke)(ke)能(neng)是(shi)(shi)非(fei)人為的(de)(de)(de)；可(ke)(ke)能(neng)是(shi)(shi)外來(lai)黑客對(dui)(dui)網(wang)(wang)(wang)絡(luo)(luo)系統資源的(de)(de)(de)非(fei)法使(shi)有，歸(gui)結起來(lai)，針對(dui)(dui)網(wang)(wang)(wang)絡(luo)(luo)安(an)全的(de)(de)(de)威(wei)脅主要有三：

(1)人為的無意失誤：如操作員安全(quan)(quan)配置不(bu)(bu)當造成(cheng)的安全(quan)(quan)漏洞，用戶(hu)(hu)安全(quan)(quan)意識不(bu)(bu)強，用戶(hu)(hu)口令(ling)選擇不(bu)(bu)慎(shen)，用戶(hu)(hu)將自己的帳號隨意轉借他人或與別人共享等都會對網絡安全(quan)(quan)帶來威脅。

(2)人(ren)為(wei)的(de)惡意攻(gong)擊(ji)(ji)：這是(shi)計算機網絡所面臨的(de)最大(da)威脅，敵手的(de)攻(gong)擊(ji)(ji)和(he)計算機犯罪就(jiu)屬(shu)于這一類(lei)。此(ci)類(lei)攻(gong)擊(ji)(ji)又可以分為(wei)以下兩(liang)種：一種是(shi)主(zhu)動攻(gong)擊(ji)(ji)，它以各種方式有(you)選擇地破壞(huai)信(xin)(xin)息(xi)的(de)有(you)效(xiao)性(xing)和(he)完整性(xing)；另一類(lei)是(shi)被(bei)動攻(gong)擊(ji)(ji)，它是(shi)在不影響(xiang)網絡正常工作的(de)情(qing)況下，進行(xing)截(jie)獲(huo)、竊取(qu)、破譯以獲(huo)得重要機密信(xin)(xin)息(xi)。這兩(liang)種攻(gong)擊(ji)(ji)均可對計算機網絡造成(cheng)極大(da)的(de)危害，并導(dao)致機密數據的(de)泄(xie)漏(lou)。

(3)網絡軟(ruan)件(jian)(jian)(jian)的(de)(de)漏(lou)洞(dong)和“后(hou)門”：網絡軟(ruan)件(jian)(jian)(jian)不(bu)可能是百分之百的(de)(de)無缺(que)陷和無漏(lou)洞(dong)的(de)(de)，然而，這些漏(lou)洞(dong)和缺(que)陷恰(qia)恰(qia)是黑客(ke)進行攻擊的(de)(de)首選目標，曾經出現過(guo)的(de)(de)黑客(ke)攻入網絡內(nei)部(bu)的(de)(de)事件(jian)(jian)(jian)，這些事件(jian)(jian)(jian)的(de)(de)大部(bu)分就是因(yin)為安全措(cuo)施不(bu)完善所招致(zhi)的(de)(de)苦果。另(ling)外(wai)，軟(ruan)件(jian)(jian)(jian)的(de)(de)“后(hou)門”都(dou)是軟(ruan)件(jian)(jian)(jian)公(gong)司的(de)(de)設(she)計(ji)編程(cheng)人(ren)員為了自便而設(she)置的(de)(de)，一般不(bu)為外(wai)人(ren)所知，但(dan)一旦“后(hou)門”洞(dong)開，其造(zao)成的(de)(de)后(hou)果將不(bu)堪設(she)想。

3.計算(suan)機網絡(luo)的安全策(ce)略

3.1物理安全策略

物理安全(quan)策略的(de)(de)目的(de)(de)是保護計算(suan)(suan)機系統、網絡服務器、打印(yin)機等硬件實(shi)體(ti)和通信鏈路免受自然災害(hai)、人(ren)為破(po)壞和搭線攻擊；驗(yan)證用戶的(de)(de)身(shen)份和使(shi)用權限、防止用戶越權操(cao)作；確保計算(suan)(suan)機系統有一個(ge)良好的(de)(de)電磁兼容(rong)工作環境；建立完備的(de)(de)安全(quan)管理制(zhi)度，防止非法進(jin)入計算(suan)(suan)機控(kong)制(zhi)室和各種偷竊(qie)、破(po)壞活動的(de)(de)發生。

抑(yi)制和(he)(he)防止電(dian)磁泄(xie)漏（即TEMPEST技術）是(shi)(shi)物理安全(quan)策(ce)略的(de)(de)(de)(de)(de)一個主要(yao)問題。目(mu)前(qian)主要(yao)防護措(cuo)施(shi)有兩(liang)類(lei)：一類(lei)是(shi)(shi)對(dui)(dui)傳導發(fa)射的(de)(de)(de)(de)(de)防護，主要(yao)采取對(dui)(dui)電(dian)源線(xian)和(he)(he)信號線(xian)加(jia)裝性能良(liang)好的(de)(de)(de)(de)(de)濾波器(qi)，減小傳輸(shu)阻抗和(he)(he)導線(xian)間(jian)的(de)(de)(de)(de)(de)交叉(cha)耦合。另一類(lei)是(shi)(shi)對(dui)(dui)輻(fu)射的(de)(de)(de)(de)(de)防護，這類(lei)防護措(cuo)施(shi)又(you)可(ke)分為以下兩(liang)種(zhong)(zhong)：一是(shi)(shi)采用各種(zhong)(zhong)電(dian)磁屏(ping)(ping)蔽措(cuo)施(shi)，如(ru)對(dui)(dui)設(she)備的(de)(de)(de)(de)(de)金(jin)屬屏(ping)(ping)蔽和(he)(he)各種(zhong)(zhong)接插件的(de)(de)(de)(de)(de)屏(ping)(ping)蔽，同時對(dui)(dui)機(ji)房的(de)(de)(de)(de)(de)下水管、暖氣(qi)管和(he)(he)金(jin)屬門窗進(jin)行屏(ping)(ping)蔽和(he)(he)隔離；二(er)是(shi)(shi)干(gan)擾的(de)(de)(de)(de)(de)防護措(cuo)施(shi)，即在計(ji)算機(ji)系統工(gong)作的(de)(de)(de)(de)(de)同時，利用干(gan)擾裝置產生(sheng)一種(zhong)(zhong)與計(ji)算機(ji)系統輻(fu)射相關的(de)(de)(de)(de)(de)偽噪(zao)聲向空間(jian)輻(fu)射來掩蓋計(ji)算機(ji)系統的(de)(de)(de)(de)(de)工(gong)作頻(pin)率和(he)(he)信息(xi)特征。

3.2訪問控制策略

訪(fang)問(wen)控制是網(wang)絡(luo)(luo)(luo)安(an)全(quan)防范和(he)保護(hu)(hu)的(de)主(zhu)要策(ce)(ce)略(lve)(lve)，它的(de)主(zhu)要任務是保證網(wang)絡(luo)(luo)(luo)資源不被非(fei)法(fa)使(shi)用和(he)非(fei)常訪(fang)問(wen)。它也是維護(hu)(hu)網(wang)絡(luo)(luo)(luo)系(xi)統(tong)安(an)全(quan)、保護(hu)(hu)網(wang)絡(luo)(luo)(luo)資源的(de)重要手段。各(ge)種安(an)全(quan)策(ce)(ce)略(lve)(lve)必須相(xiang)互配合(he)才能真正(zheng)起到保護(hu)(hu)作用，但訪(fang)問(wen)控制可以說是保證網(wang)絡(luo)(luo)(luo)安(an)全(quan)最(zui)重要的(de)核心策(ce)(ce)略(lve)(lve)之一。下面我們分述(shu)各(ge)種訪(fang)問(wen)控制策(ce)(ce)略(lve)(lve)。

3.2.1入(ru)網訪問(wen)控制

入網(wang)(wang)訪(fang)問控(kong)(kong)制(zhi)為網(wang)(wang)絡訪(fang)問提供了第一層訪(fang)問控(kong)(kong)制(zhi)。它控(kong)(kong)制(zhi)哪些用(yong)戶能夠登(deng)錄(lu)到服務器(qi)并獲取(qu)網(wang)(wang)絡資源，控(kong)(kong)制(zhi)準許用(yong)戶入網(wang)(wang)的時間(jian)和準許他們在哪臺工作站入網(wang)(wang)。

用戶(hu)的(de)入網訪(fang)問控制可(ke)分為(wei)三個(ge)步驟(zou)：用戶(hu)名(ming)的(de)識別與驗證(zheng)、用戶(hu)口令的(de)識別與驗證(zheng)、用戶(hu)帳號的(de)缺省限制檢查(cha)。三道關卡中只要(yao)任何(he)一關未過，該用戶(hu)便不能進(jin)入該網絡(luo)。

對網絡用(yong)(yong)戶(hu)(hu)(hu)(hu)的(de)用(yong)(yong)戶(hu)(hu)(hu)(hu)名(ming)和(he)口(kou)(kou)令(ling)(ling)(ling)進行驗(yan)證(zheng)(zheng)是(shi)(shi)(shi)防(fang)止非(fei)法訪問的(de)第(di)一(yi)道防(fang)線。用(yong)(yong)戶(hu)(hu)(hu)(hu)注(zhu)冊時首先輸入用(yong)(yong)戶(hu)(hu)(hu)(hu)名(ming)和(he)口(kou)(kou)令(ling)(ling)(ling)，服務(wu)器(qi)將驗(yan)證(zheng)(zheng)所(suo)輸入的(de)用(yong)(yong)戶(hu)(hu)(hu)(hu)名(ming)是(shi)(shi)(shi)否(fou)合法。如果(guo)驗(yan)證(zheng)(zheng)合法，才繼續驗(yan)證(zheng)(zheng)用(yong)(yong)戶(hu)(hu)(hu)(hu)輸入的(de)口(kou)(kou)令(ling)(ling)(ling)，否(fou)則，用(yong)(yong)戶(hu)(hu)(hu)(hu)將被拒之網絡之外。用(yong)(yong)戶(hu)(hu)(hu)(hu)的(de)口(kou)(kou)令(ling)(ling)(ling)是(shi)(shi)(shi)用(yong)(yong)戶(hu)(hu)(hu)(hu)入網的(de)關(guan)鍵所(suo)在。為保證(zheng)(zheng)口(kou)(kou)令(ling)(ling)(ling)的(de)安全性(xing)，用(yong)(yong)戶(hu)(hu)(hu)(hu)口(kou)(kou)令(ling)(ling)(ling)不(bu)能顯示在顯示屏上，口(kou)(kou)令(ling)(ling)(ling)長度(du)應不(bu)少于(yu)(yu)(yu)(yu)6個字(zi)符(fu)，口(kou)(kou)令(ling)(ling)(ling)字(zi)符(fu)最好是(shi)(shi)(shi)數字(zi)、字(zi)母和(he)其(qi)(qi)他字(zi)符(fu)的(de)混合，用(yong)(yong)戶(hu)(hu)(hu)(hu)口(kou)(kou)令(ling)(ling)(ling)必(bi)須經過加(jia)(jia)密(mi)，加(jia)(jia)密(mi)的(de)方法很(hen)多(duo)，其(qi)(qi)中最常見的(de)方法有：基于(yu)(yu)(yu)(yu)單向函數的(de)口(kou)(kou)令(ling)(ling)(ling)加(jia)(jia)密(mi)，基于(yu)(yu)(yu)(yu)測試模(mo)式(shi)的(de)口(kou)(kou)令(ling)(ling)(ling)加(jia)(jia)密(mi)，基于(yu)(yu)(yu)(yu)公鑰加(jia)(jia)密(mi)方案的(de)口(kou)(kou)令(ling)(ling)(ling)加(jia)(jia)密(mi)，基于(yu)(yu)(yu)(yu)平方剩余(yu)的(de)口(kou)(kou)令(ling)(ling)(ling)加(jia)(jia)密(mi)，基于(yu)(yu)(yu)(yu)多(duo)項式(shi)共享的(de)口(kou)(kou)令(ling)(ling)(ling)加(jia)(jia)密(mi)，基于(yu)(yu)(yu)(yu)數字(zi)簽名(ming)方案的(de)口(kou)(kou)令(ling)(ling)(ling)加(jia)(jia)密(mi)等(deng)。經過上述方法加(jia)(jia)密(mi)的(de)口(kou)(kou)令(ling)(ling)(ling)，即使是(shi)(shi)(shi)系統管(guan)理員也難以(yi)得到它。用(yong)(yong)戶(hu)(hu)(hu)(hu)還可(ke)采用(yong)(yong)一(yi)次(ci)性(xing)用(yong)(yong)戶(hu)(hu)(hu)(hu)口(kou)(kou)令(ling)(ling)(ling)，也可(ke)用(yong)(yong)便攜式(shi)驗(yan)證(zheng)(zheng)器(qi)（如智能卡）來驗(yan)證(zheng)(zheng)用(yong)(yong)戶(hu)(hu)(hu)(hu)的(de)身份。

網(wang)絡(luo)管(guan)理員(yuan)應該可以(yi)控(kong)制(zhi)(zhi)(zhi)和限(xian)制(zhi)(zhi)(zhi)普通用戶(hu)(hu)(hu)的(de)(de)(de)(de)帳號(hao)(hao)使用、訪問(wen)網(wang)絡(luo)的(de)(de)(de)(de)時(shi)間(jian)、方式。用戶(hu)(hu)(hu)名或用戶(hu)(hu)(hu)帳號(hao)(hao)是(shi)(shi)所有計算機系(xi)統(tong)中最基本的(de)(de)(de)(de)安全形式。用戶(hu)(hu)(hu)帳號(hao)(hao)應只有系(xi)統(tong)管(guan)理員(yuan)才(cai)能(neng)建立。用戶(hu)(hu)(hu)口(kou)(kou)令(ling)(ling)(ling)應是(shi)(shi)每用戶(hu)(hu)(hu)訪問(wen)網(wang)絡(luo)所必(bi)須提交的(de)(de)(de)(de)“證件”、用戶(hu)(hu)(hu)可以(yi)修改自(zi)己的(de)(de)(de)(de)口(kou)(kou)令(ling)(ling)(ling)，但系(xi)統(tong)管(guan)理員(yuan)應該可以(yi)控(kong)制(zhi)(zhi)(zhi)口(kou)(kou)令(ling)(ling)(ling)的(de)(de)(de)(de)以(yi)下(xia)幾個方面的(de)(de)(de)(de)限(xian)制(zhi)(zhi)(zhi)：最小口(kou)(kou)令(ling)(ling)(ling)長度、強制(zhi)(zhi)(zhi)修改口(kou)(kou)令(ling)(ling)(ling)的(de)(de)(de)(de)時(shi)間(jian)間(jian)隔(ge)、口(kou)(kou)令(ling)(ling)(ling)的(de)(de)(de)(de)唯(wei)一性、口(kou)(kou)令(ling)(ling)(ling)過期失效(xiao)后允許入網(wang)的(de)(de)(de)(de)寬限(xian)次數。

用(yong)(yong)戶(hu)名和口(kou)令(ling)驗證有(you)效之后，再進一步(bu)履行(xing)用(yong)(yong)戶(hu)帳號的(de)(de)(de)缺省限制(zhi)檢(jian)查。網(wang)(wang)絡(luo)(luo)應(ying)能(neng)控制(zhi)用(yong)(yong)戶(hu)登錄入網(wang)(wang)的(de)(de)(de)站(zhan)點、限制(zhi)用(yong)(yong)戶(hu)入網(wang)(wang)的(de)(de)(de)時間、限制(zhi)用(yong)(yong)戶(hu)入網(wang)(wang)的(de)(de)(de)工作站(zhan)數量(liang)。當用(yong)(yong)戶(hu)對交費網(wang)(wang)絡(luo)(luo)的(de)(de)(de)訪(fang)(fang)問(wen)“資費”用(yong)(yong)盡時，網(wang)(wang)絡(luo)(luo)還(huan)應(ying)能(neng)對用(yong)(yong)戶(hu)的(de)(de)(de)帳號加(jia)以(yi)限制(zhi)，用(yong)(yong)戶(hu)此時應(ying)無(wu)法進入網(wang)(wang)絡(luo)(luo)訪(fang)(fang)問(wen)網(wang)(wang)絡(luo)(luo)資源(yuan)。網(wang)(wang)絡(luo)(luo)應(ying)對所有(you)用(yong)(yong)戶(hu)的(de)(de)(de)訪(fang)(fang)問(wen)進行(xing)審計。如(ru)果多次輸入口(kou)令(ling)不(bu)正確，則認為是非法用(yong)(yong)戶(hu)的(de)(de)(de)入侵(qin)，應(ying)給(gei)出(chu)報(bao)警信(xin)息。

3.2.2網絡的權限控制

網(wang)(wang)(wang)絡(luo)的(de)(de)權(quan)(quan)限(xian)(xian)(xian)控制(zhi)是針(zhen)對(dui)網(wang)(wang)(wang)絡(luo)非(fei)法操(cao)作所提出的(de)(de)一(yi)(yi)(yi)種(zhong)安(an)全(quan)保護措(cuo)施(shi)。用戶(hu)(hu)(hu)(hu)和(he)(he)用戶(hu)(hu)(hu)(hu)組被賦予(yu)一(yi)(yi)(yi)定(ding)的(de)(de)權(quan)(quan)限(xian)(xian)(xian)。網(wang)(wang)(wang)絡(luo)控制(zhi)用戶(hu)(hu)(hu)(hu)和(he)(he)用戶(hu)(hu)(hu)(hu)組可(ke)以(yi)訪問哪(na)些(xie)目(mu)錄(lu)、子(zi)目(mu)錄(lu)、文(wen)(wen)件(jian)和(he)(he)其他資(zi)源(yuan)。可(ke)以(yi)指(zhi)定(ding)用戶(hu)(hu)(hu)(hu)對(dui)這(zhe)些(xie)文(wen)(wen)件(jian)、目(mu)錄(lu)、設(she)備能夠執行哪(na)些(xie)操(cao)作。受托(tuo)者(zhe)指(zhi)派(pai)和(he)(he)繼承(cheng)權(quan)(quan)限(xian)(xian)(xian)屏(ping)(ping)蔽（IRM）可(ke)作為(wei)其兩種(zhong)實(shi)現方式(shi)。受托(tuo)者(zhe)指(zhi)派(pai)控制(zhi)用戶(hu)(hu)(hu)(hu)和(he)(he)用戶(hu)(hu)(hu)(hu)組如何使用網(wang)(wang)(wang)絡(luo)服務器的(de)(de)目(mu)錄(lu)、文(wen)(wen)件(jian)和(he)(he)設(she)備。繼承(cheng)權(quan)(quan)限(xian)(xian)(xian)屏(ping)(ping)蔽相當于一(yi)(yi)(yi)個過濾器，可(ke)以(yi)限(xian)(xian)(xian)制(zhi)子(zi)目(mu)錄(lu)從(cong)父目(mu)錄(lu)那里繼承(cheng)哪(na)些(xie)權(quan)(quan)限(xian)(xian)(xian)。我們可(ke)以(yi)根(gen)據訪問權(quan)(quan)限(xian)(xian)(xian)將用戶(hu)(hu)(hu)(hu)分為(wei)以(yi)下(xia)幾類：（1）特(te)殊用戶(hu)(hu)(hu)(hu)（即系統管理員）；（2）一(yi)(yi)(yi)般用戶(hu)(hu)(hu)(hu)，系統管理員根(gen)據他們的(de)(de)實(shi)際需要(yao)為(wei)他們分配(pei)操(cao)作權(quan)(quan)限(xian)(xian)(xian)；（3）審(shen)計用戶(hu)(hu)(hu)(hu)，負責網(wang)(wang)(wang)絡(luo)的(de)(de)安(an)全(quan)控制(zhi)與資(zi)源(yuan)使用情況(kuang)的(de)(de)審(shen)計。用戶(hu)(hu)(hu)(hu)對(dui)網(wang)(wang)(wang)絡(luo)資(zi)源(yuan)的(de)(de)訪問權(quan)(quan)限(xian)(xian)(xian)可(ke)以(yi)用一(yi)(yi)(yi)個訪問控制(zhi)表來描述(shu)。

3.2.3目錄級安全控制(zhi)

網絡應(ying)(ying)允許(xu)控(kong)制(zhi)(zhi)用戶(hu)(hu)(hu)(hu)對(dui)(dui)目(mu)錄(lu)、文(wen)(wen)件(jian)、設備的(de)(de)(de)(de)(de)訪(fang)(fang)(fang)(fang)問(wen)(wen)。用戶(hu)(hu)(hu)(hu)在目(mu)錄(lu)一級指(zhi)(zhi)定(ding)(ding)的(de)(de)(de)(de)(de)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)對(dui)(dui)所(suo)有(you)文(wen)(wen)件(jian)和子(zi)目(mu)錄(lu)有(you)效(xiao)，用戶(hu)(hu)(hu)(hu)還(huan)可(ke)進一步指(zhi)(zhi)定(ding)(ding)對(dui)(dui)目(mu)錄(lu)下的(de)(de)(de)(de)(de)子(zi)目(mu)錄(lu)和文(wen)(wen)件(jian)的(de)(de)(de)(de)(de)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)。對(dui)(dui)目(mu)錄(lu)和文(wen)(wen)件(jian)的(de)(de)(de)(de)(de)訪(fang)(fang)(fang)(fang)問(wen)(wen)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)一般有(you)八種(zhong)：系(xi)統管理(li)(li)員權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)（Supervisor）、讀權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)（Read）、寫權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)（Write）、創建權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)（Create）、刪除權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)（Erase）、修改權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)（Modify）、文(wen)(wen)件(jian)查找(zhao)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)（FileScan）、存(cun)取控(kong)制(zhi)(zhi)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)（AccessControl）。用戶(hu)(hu)(hu)(hu)對(dui)(dui)文(wen)(wen)件(jian)或目(mu)標的(de)(de)(de)(de)(de)有(you)效(xiao)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)取決(jue)于(yu)以下二個(ge)因(yin)素(su)：用戶(hu)(hu)(hu)(hu)的(de)(de)(de)(de)(de)受托者(zhe)指(zhi)(zhi)派(pai)(pai)、用戶(hu)(hu)(hu)(hu)所(suo)在組(zu)的(de)(de)(de)(de)(de)受托者(zhe)指(zhi)(zhi)派(pai)(pai)、繼承權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)屏蔽取消的(de)(de)(de)(de)(de)用戶(hu)(hu)(hu)(hu)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)。一個(ge)網絡系(xi)統管理(li)(li)員應(ying)(ying)當為用戶(hu)(hu)(hu)(hu)指(zhi)(zhi)定(ding)(ding)適當的(de)(de)(de)(de)(de)訪(fang)(fang)(fang)(fang)問(wen)(wen)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)，這些訪(fang)(fang)(fang)(fang)問(wen)(wen)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)控(kong)制(zhi)(zhi)著用戶(hu)(hu)(hu)(hu)對(dui)(dui)服務器(qi)的(de)(de)(de)(de)(de)訪(fang)(fang)(fang)(fang)問(wen)(wen)。八種(zhong)訪(fang)(fang)(fang)(fang)問(wen)(wen)權(quan)(quan)限(xian)(xian)(xian)(xian)(xian)(xian)的(de)(de)(de)(de)(de)有(you)效(xiao)組(zu)合可(ke)以讓用戶(hu)(hu)(hu)(hu)有(you)效(xiao)地(di)完(wan)成(cheng)工作，同時又(you)能有(you)效(xiao)地(di)控(kong)制(zhi)(zhi)用戶(hu)(hu)(hu)(hu)對(dui)(dui)服務器(qi)資源的(de)(de)(de)(de)(de)訪(fang)(fang)(fang)(fang)問(wen)(wen)，從(cong)而加(jia)強了網絡和服務器(qi)的(de)(de)(de)(de)(de)安全性。

3.2.4屬性安全控(kong)制(zhi)

當用(yong)文(wen)(wen)件(jian)(jian)、目錄(lu)(lu)(lu)和網(wang)(wang)絡(luo)設(she)備(bei)時，網(wang)(wang)絡(luo)系統管理員應給(gei)文(wen)(wen)件(jian)(jian)、目錄(lu)(lu)(lu)等(deng)(deng)指(zhi)(zhi)定訪(fang)問屬(shu)(shu)(shu)性(xing)(xing)。屬(shu)(shu)(shu)性(xing)(xing)安(an)全(quan)控制可以(yi)(yi)將給(gei)定的屬(shu)(shu)(shu)性(xing)(xing)與(yu)網(wang)(wang)絡(luo)服(fu)務(wu)器的文(wen)(wen)件(jian)(jian)、目錄(lu)(lu)(lu)和網(wang)(wang)絡(luo)設(she)備(bei)聯系起來。屬(shu)(shu)(shu)性(xing)(xing)安(an)全(quan)在權(quan)限(xian)(xian)(xian)安(an)全(quan)的基(ji)礎上(shang)提供更(geng)進一(yi)步的安(an)全(quan)性(xing)(xing)。網(wang)(wang)絡(luo)上(shang)的資(zi)源都應預(yu)先(xian)標出一(yi)組安(an)全(quan)屬(shu)(shu)(shu)性(xing)(xing)。用(yong)戶(hu)(hu)對(dui)網(wang)(wang)絡(luo)資(zi)源的訪(fang)問權(quan)限(xian)(xian)(xian)對(dui)應一(yi)張訪(fang)問控制表，用(yong)以(yi)(yi)表明用(yong)戶(hu)(hu)對(dui)網(wang)(wang)絡(luo)資(zi)源的訪(fang)問能(neng)力。屬(shu)(shu)(shu)性(xing)(xing)設(she)置可以(yi)(yi)覆蓋已經(jing)指(zhi)(zhi)定的任(ren)何受托者(zhe)指(zhi)(zhi)派(pai)和有(you)效權(quan)限(xian)(xian)(xian)。屬(shu)(shu)(shu)性(xing)(xing)往(wang)(wang)往(wang)(wang)能(neng)控制以(yi)(yi)下幾個(ge)(ge)方(fang)面的權(quan)限(xian)(xian)(xian)：向(xiang)某(mou)個(ge)(ge)文(wen)(wen)件(jian)(jian)寫數據、拷(kao)貝一(yi)個(ge)(ge)文(wen)(wen)件(jian)(jian)、刪除目錄(lu)(lu)(lu)或文(wen)(wen)件(jian)(jian)、查看目錄(lu)(lu)(lu)和文(wen)(wen)件(jian)(jian)、執(zhi)行文(wen)(wen)件(jian)(jian)、隱(yin)含文(wen)(wen)件(jian)(jian)、共享(xiang)、系統屬(shu)(shu)(shu)性(xing)(xing)等(deng)(deng)。網(wang)(wang)絡(luo)的屬(shu)(shu)(shu)性(xing)(xing)可以(yi)(yi)保護重要(yao)的目錄(lu)(lu)(lu)和文(wen)(wen)件(jian)(jian)，防止用(yong)戶(hu)(hu)對(dui)目錄(lu)(lu)(lu)和文(wen)(wen)件(jian)(jian)的誤(wu)刪除、、執(zhi)行修(xiu)改、顯示等(deng)(deng)。

3.2.5網絡(luo)服(fu)務器(qi)安全控制(zhi)

隨著多(duo)媒體技(ji)術的(de)(de)(de)(de)發(fa)展，人(ren)們由網絡上的(de)(de)(de)(de)靜態文本需(xu)求(qiu)轉化為(wei)視頻、音(yin)頻及圖像等多(duo)媒體需(xu)求(qiu)，90年代引入的(de)(de)(de)(de)Web服(fu)(fu)務器(qi)與InternetExplorer和(he)Netscape等瀏覽(lan)(lan)器(qi)的(de)(de)(de)(de)結(jie)合基本滿足了(le)(le)這(zhe)一(yi)要(yao)(yao)求(qiu)。Web是一(yi)個(ge)(ge)基于Internet/Intranet的(de)(de)(de)(de)、全球連接的(de)(de)(de)(de)、分布的(de)(de)(de)(de)、動態的(de)(de)(de)(de)和(he)多(duo)平臺(tai)的(de)(de)(de)(de)交互式超(chao)媒體信息系統，它(ta)(ta)經歷(li)了(le)(le)靜態文檔、動態交互界面和(he)電子商(shang)務3個(ge)(ge)重要(yao)(yao)階段。Web瀏覽(lan)(lan)器(qi)和(he)Web服(fu)(fu)務器(qi)之間遵守HTTP協議。它(ta)(ta)與絕大多(duo)數服(fu)(fu)務不同，在用戶從Web服(fu)(fu)務器(qi)上檢索信息的(de)(de)(de)(de)時候，它(ta)(ta)不生成(cheng)(cheng)和(he)維護一(yi)個(ge)(ge)單獨的(de)(de)(de)(de)會話。一(yi)個(ge)(ge)帶有許(xu)多(duo)圖形的(de)(de)(de)(de)Web頁面需(xu)要(yao)(yao)生成(cheng)(cheng)多(duo)個(ge)(ge)同時運行(xing)的(de)(de)(de)(de)連接才能(neng)裝入瀏覽(lan)(lan)器(qi)中，Web瀏覽(lan)(lan)器(qi)常常為(wei)了(le)(le)讀取一(yi)個(ge)(ge)Web頁面生成(cheng)(cheng)幾十個(ge)(ge)會話，這(zhe)就(jiu)為(wei)黑(hei)客竊聽(ting)和(he)截取信息提供了(le)(le)可(ke)乘之機。

另外，Gopher也是(shi)一種功能強(qiang)大(da)、結構(gou)簡單的文(wen)件(jian)檢(jian)索(suo)工具。Gopher服(fu)務器(qi)(qi)可以彼此連接(jie)起來，用戶可以透明地在多(duo)個系統上檢(jian)索(suo)文(wen)件(jian)信(xin)息(xi)，Gopher客戶和(he)Gopher服(fu)務器(qi)(qi)之間遵守(shou)Gopher協議(yi)(yi)。由于Gopher和(he)Web服(fu)務器(qi)(qi)的軟(ruan)件(jian)結構(gou)龐大(da)而且復(fu)雜，存在著許多(duo)安(an)全隱患，HTTP協議(yi)(yi)和(he)Gopher協議(yi)(yi)不適(shi)合傳遞(di)保密信(xin)息(xi)，后(hou)來發展的SHTTP協議(yi)(yi)和(he)SSL協議(yi)(yi)則(ze)解(jie)決(jue)了保密信(xin)息(xi)的傳輸問(wen)題。

許多網(wang)絡(luo)服(fu)務器使(shi)用的(de)(de)是Unix操(cao)作(zuo)系(xi)(xi)(xi)統(tong)(tong)，基于該操(cao)作(zuo)系(xi)(xi)(xi)統(tong)(tong)的(de)(de)網(wang)絡(luo)模(mo)塊都(dou)是從BSD（伯克利大學系(xi)(xi)(xi)統(tong)(tong)分(fen)發(fa)(fa)版(ban)本）的(de)(de)Unix系(xi)(xi)(xi)統(tong)(tong)中的(de)(de)網(wang)絡(luo)代碼(ma)派生(sheng)出來的(de)(de)，而BSD系(xi)(xi)(xi)統(tong)(tong)的(de)(de)網(wang)絡(luo)部門的(de)(de)代碼(ma)流傳(chuan)較廣，攻擊者通過分(fen)析就能發(fa)(fa)現(xian)一些網(wang)絡(luo)模(mo)塊中的(de)(de)缺陷(xian)，從而找到(dao)訪問系(xi)(xi)(xi)統(tong)(tong)的(de)(de)攻擊點。

網(wang)絡(luo)允(yun)許在服(fu)務(wu)器控(kong)制(zhi)臺上(shang)執行一(yi)系列操作。用(yong)戶使用(yong)控(kong)制(zhi)臺可以(yi)裝載和(he)卸載模塊，可以(yi)安(an)裝和(he)刪除(chu)軟件等操作。網(wang)絡(luo)服(fu)務(wu)器的安(an)全(quan)控(kong)制(zhi)包括(kuo)可以(yi)設(she)置(zhi)口令鎖定服(fu)務(wu)器控(kong)制(zhi)臺，以(yi)防(fang)止(zhi)非法用(yong)戶修改、刪除(chu)重要(yao)信息或破(po)壞(huai)數據(ju)；可以(yi)設(she)定服(fu)務(wu)器登(deng)錄時間限(xian)制(zhi)、非法訪(fang)問(wen)者檢測和(he)關閉的時間間隔(ge)。

3.2.6網絡監測和鎖定控制(zhi)

網(wang)(wang)絡(luo)(luo)管理員應(ying)對(dui)網(wang)(wang)絡(luo)(luo)實(shi)施(shi)監控(kong)，服(fu)務(wu)(wu)器應(ying)記錄用戶(hu)對(dui)網(wang)(wang)絡(luo)(luo)資源的訪(fang)問(wen)，對(dui)非(fei)(fei)法(fa)的網(wang)(wang)絡(luo)(luo)訪(fang)問(wen)，服(fu)務(wu)(wu)器應(ying)以(yi)圖形或(huo)文(wen)字或(huo)聲音等形式報警，以(yi)引(yin)起網(wang)(wang)絡(luo)(luo)管理員的注意(yi)。如果不法(fa)之(zhi)徒試圖進入(ru)(ru)網(wang)(wang)絡(luo)(luo)，網(wang)(wang)絡(luo)(luo)服(fu)務(wu)(wu)器應(ying)會(hui)自動(dong)(dong)記錄企圖嘗(chang)試進入(ru)(ru)網(wang)(wang)絡(luo)(luo)的次數，如果非(fei)(fei)法(fa)訪(fang)問(wen)的次數達(da)到(dao)設定(ding)數值(zhi)，那(nei)么該帳戶(hu)將(jiang)被自動(dong)(dong)鎖定(ding)。

3.2.7網絡端(duan)口(kou)和節點的安全控制

網(wang)絡中服(fu)務器的(de)端(duan)(duan)口往往使(shi)用(yong)(yong)(yong)(yong)(yong)自動(dong)回(hui)呼(hu)設備、靜(jing)默調(diao)(diao)制(zhi)解調(diao)(diao)器加以(yi)(yi)保(bao)護，并(bing)以(yi)(yi)加密的(de)形式來識(shi)別節點的(de)身(shen)份。自動(dong)回(hui)呼(hu)設備用(yong)(yong)(yong)(yong)(yong)于(yu)防(fang)止假冒合法(fa)用(yong)(yong)(yong)(yong)(yong)戶(hu)，靜(jing)默調(diao)(diao)制(zhi)解調(diao)(diao)器用(yong)(yong)(yong)(yong)(yong)以(yi)(yi)防(fang)范黑客的(de)自動(dong)撥號程序對(dui)計算機(ji)進行(xing)攻(gong)擊(ji)。網(wang)絡還常對(dui)服(fu)務器端(duan)(duan)和(he)用(yong)(yong)(yong)(yong)(yong)戶(hu)端(duan)(duan)采取(qu)控制(zhi)，用(yong)(yong)(yong)(yong)(yong)戶(hu)必(bi)須攜(xie)帶證實(shi)身(shen)份的(de)驗證器（如智能卡、磁卡、安全密碼發生器）。在對(dui)用(yong)(yong)(yong)(yong)(yong)戶(hu)的(de)身(shen)份進行(xing)驗證之后，才允(yun)許(xu)用(yong)(yong)(yong)(yong)(yong)戶(hu)進入用(yong)(yong)(yong)(yong)(yong)戶(hu)端(duan)(duan)。然后，用(yong)(yong)(yong)(yong)(yong)戶(hu)端(duan)(duan)和(he)服(fu)務器端(duan)(duan)再(zai)進行(xing)相互驗證。

3.2.8防火墻控制(zhi)

防火墻(qiang)是近期發展起(qi)來(lai)的(de)(de)一種保(bao)護計算機(ji)網絡(luo)安全(quan)的(de)(de)技術性措施，它(ta)是一個用以阻止(zhi)網絡(luo)中的(de)(de)黑(hei)客訪問某個機(ji)構網絡(luo)的(de)(de)屏障，也可稱之為控制進/出兩個方向通信的(de)(de)門(men)檻。在(zai)網絡(luo)邊界上通過建立起(qi)來(lai)的(de)(de)相應網絡(luo)通信監控系統來(lai)隔離內部(bu)和外部(bu)網絡(luo)，以阻檔外部(bu)網絡(luo)的(de)(de)侵(qin)入。目前(qian)的(de)(de)防火墻(qiang)主(zhu)要有(you)以下(xia)三種類型；

(1)包(bao)過(guo)濾(lv)(lv)(lv)防火墻：包(bao)過(guo)濾(lv)(lv)(lv)防火墻設置在網(wang)絡層(ceng)，可以在路由器上實現包(bao)過(guo)濾(lv)(lv)(lv)。首先應建立一(yi)定數(shu)(shu)(shu)量的(de)(de)(de)(de)信(xin)息(xi)(xi)過(guo)濾(lv)(lv)(lv)表(biao)，信(xin)息(xi)(xi)過(guo)濾(lv)(lv)(lv)表(biao)是以其收到的(de)(de)(de)(de)數(shu)(shu)(shu)據(ju)包(bao)頭信(xin)息(xi)(xi)為基礎而(er)建成(cheng)的(de)(de)(de)(de)。信(xin)息(xi)(xi)包(bao)頭含有數(shu)(shu)(shu)據(ju)包(bao)源IP地址、目的(de)(de)(de)(de)IP地址、傳(chuan)輸(shu)協(xie)議類型（TCP、UDP、ICMP等(deng)）、協(xie)議源端口號(hao)、協(xie)議目的(de)(de)(de)(de)端口號(hao)、連接請求方(fang)向、ICMP報文類型等(deng)。當(dang)一(yi)個數(shu)(shu)(shu)據(ju)包(bao)滿足過(guo)濾(lv)(lv)(lv)表(biao)中的(de)(de)(de)(de)規則時，則允許(xu)數(shu)(shu)(shu)據(ju)包(bao)通過(guo)，否則禁(jin)止通過(guo)。這種防火墻可以用(yong)于禁(jin)止外部不合法(fa)用(yong)戶對內部的(de)(de)(de)(de)訪(fang)問，也可以用(yong)來禁(jin)止訪(fang)問某些服務類型。但包(bao)過(guo)濾(lv)(lv)(lv)技術不能(neng)識別有危險的(de)(de)(de)(de)信(xin)息(xi)(xi)包(bao)，無(wu)法(fa)實施對應用(yong)級協(xie)議的(de)(de)(de)(de)處理，也無(wu)法(fa)處理UDP、RPC或動(dong)態的(de)(de)(de)(de)協(xie)議。

(2)防(fang)火(huo)(huo)墻：防(fang)火(huo)(huo)墻又稱應(ying)用(yong)層網(wang)(wang)關級防(fang)火(huo)(huo)墻，它(ta)由(you)服(fu)(fu)(fu)務(wu)(wu)(wu)器(qi)和(he)過(guo)濾路由(you)器(qi)組成，是目前較流行(xing)的(de)一(yi)種防(fang)火(huo)(huo)墻。它(ta)將(jiang)過(guo)濾路由(you)器(qi)和(he)軟(ruan)件技術結合在一(yi)起(qi)。過(guo)濾路由(you)器(qi)負(fu)責網(wang)(wang)絡互連，并(bing)對數據進行(xing)嚴格選(xuan)擇，然后將(jiang)篩選(xuan)過(guo)的(de)數據傳(chuan)送給(gei)服(fu)(fu)(fu)務(wu)(wu)(wu)器(qi)。服(fu)(fu)(fu)務(wu)(wu)(wu)器(qi)起(qi)到外(wai)部(bu)網(wang)(wang)絡申(shen)請訪問內(nei)部(bu)網(wang)(wang)絡的(de)中間轉(zhuan)接作用(yong)，其功能類(lei)似(si)于(yu)一(yi)個數據轉(zhuan)發(fa)器(qi)，它(ta)主要控制(zhi)哪些用(yong)戶能訪問哪些服(fu)(fu)(fu)務(wu)(wu)(wu)類(lei)型(xing)。當外(wai)部(bu)網(wang)(wang)絡向內(nei)部(bu)網(wang)(wang)絡申(shen)請某種網(wang)(wang)絡服(fu)(fu)(fu)務(wu)(wu)(wu)時，服(fu)(fu)(fu)務(wu)(wu)(wu)器(qi)接受申(shen)請，然后它(ta)根據其服(fu)(fu)(fu)務(wu)(wu)(wu)類(lei)型(xing)、服(fu)(fu)(fu)務(wu)(wu)(wu)內(nei)容、被服(fu)(fu)(fu)務(wu)(wu)(wu)的(de)對象、服(fu)(fu)(fu)務(wu)(wu)(wu)者(zhe)申(shen)請的(de)時間、申(shen)請者(zhe)的(de)域名范圍等來決(jue)定(ding)是否接受此項(xiang)服(fu)(fu)(fu)務(wu)(wu)(wu)，如果接受，它(ta)就向內(nei)部(bu)網(wang)(wang)絡轉(zhuan)發(fa)這項(xiang)請求。防(fang)火(huo)(huo)墻無法快速支持一(yi)些新出現的(de)業務(wu)(wu)(wu)（如多媒體）。現要較為(wei)流行(xing)的(de)服(fu)(fu)(fu)務(wu)(wu)(wu)器(qi)軟(ruan)件是WinGate和(he)ProxyServer。

(3)雙穴主(zhu)機(ji)防火墻(qiang)：該防火墻(qiang)是用主(zhu)機(ji)來執行安(an)全控制(zhi)功能。一臺雙穴主(zhu)機(ji)配有(you)多個(ge)網(wang)(wang)卡，分別連接不同的(de)(de)網(wang)(wang)絡(luo)。雙穴主(zhu)機(ji)從一個(ge)網(wang)(wang)絡(luo)收集數據，并且有(you)選擇地把它發(fa)送到另一個(ge)網(wang)(wang)絡(luo)上(shang)。網(wang)(wang)絡(luo)服務由雙穴主(zhu)機(ji)上(shang)的(de)(de)服務來提供。內(nei)部網(wang)(wang)和(he)外部網(wang)(wang)的(de)(de)用戶可通過雙穴主(zhu)機(ji)的(de)(de)共享數據區傳遞(di)數據，從而(er)保護了內(nei)部網(wang)(wang)絡(luo)不被(bei)非法訪問。

防火墻技(ji)術的缺陷主要體現(xian)在以(yi)下幾個方面。

（1）防(fang)(fang)火墻把外部(bu)(bu)網(wang)絡(luo)(luo)當(dang)成(cheng)不可(ke)(ke)(ke)信網(wang)絡(luo)(luo)，主要是用(yong)來預(yu)防(fang)(fang)來自(zi)(zi)外部(bu)(bu)網(wang)絡(luo)(luo)的(de)攻擊。它把內(nei)部(bu)(bu)網(wang)絡(luo)(luo)當(dang)成(cheng)可(ke)(ke)(ke)信任網(wang)絡(luo)(luo)。然而事實證明，50%以上的(de)黑客入侵都(dou)來自(zi)(zi)于內(nei)部(bu)(bu)網(wang)絡(luo)(luo)，但(dan)是對此(ci)防(fang)(fang)火墻卻無能為(wei)力。為(wei)此(ci)可(ke)(ke)(ke)以把內(nei)部(bu)(bu)網(wang)分(fen)成(cheng)多(duo)個子(zi)網(wang)，用(yong)內(nei)部(bu)(bu)路(lu)由(you)器安(an)裝防(fang)(fang)火墻的(de)方法以保護一些內(nei)部(bu)(bu)關鍵區域。這(zhe)種方法維(wei)護成(cheng)本(ben)和(he)設備(bei)成(cheng)本(ben)都(dou)會很高，同時也容易產生一些安(an)全(quan)盲點(dian)，但(dan)畢竟比(bi)不對內(nei)部(bu)(bu)進行安(an)全(quan)防(fang)(fang)范(fan)要好。

（2）基于Web的視(shi)頻(pin)會(hui)議系(xi)(xi)統和(he)電子商務系(xi)(xi)統都增加(jia)一些傳統防(fang)火墻所沒有的訪(fang)問規則，從而(er)有可能使(shi)傳統防(fang)火墻的功能得到(dao)削弱，增加(jia)了黑客(ke)入侵的機會(hui)。

（3）防火(huo)墻只允許來(lai)自(zi)外部網(wang)絡的(de)一(yi)些規則允許的(de)服務通(tong)過，這樣(yang)反而會抑制一(yi)些正(zheng)常的(de)信(xin)息通(tong)信(xin)，從某種意義上說大(da)大(da)削(xue)弱了Internet應有的(de)功能，特別是(shi)對(dui)電子(zi)商務發展較快的(de)今天，防火(huo)墻的(de)使(shi)用很容易錯失商機。

（4）公(gong)(gong)司(si)(si)(si)銷售人(ren)員因出(chu)差等原因想查看一下公(gong)(gong)司(si)(si)(si)內(nei)(nei)(nei)部(bu)(bu)網(wang)絡內(nei)(nei)(nei)的重(zhong)要(yao)數(shu)據庫信息，或公(gong)(gong)司(si)(si)(si)領導想從(cong)(cong)內(nei)(nei)(nei)部(bu)(bu)網(wang)絡外(wai)對內(nei)(nei)(nei)部(bu)(bu)人(ren)員發(fa)出(chu)指令(ling)，也常(chang)常(chang)被(bei)防火墻(qiang)堵(du)截到門外(wai)，這(zhe)(zhe)樣(yang)容易導致政令(ling)不通；而(er)一旦給公(gong)(gong)司(si)(si)(si)的這(zhe)(zhe)些人(ren)員賦(fu)予(yu)訪問權(quan)限，他們的計(ji)(ji)算(suan)機將成(cheng)為安全盲(mang)區(qu)，反而(er)易成(cheng)為黑客攻(gong)擊的重(zhong)點。公(gong)(gong)司(si)(si)(si)CEO等要(yao)員的移動電腦(nao)內(nei)(nei)(nei)常(chang)常(chang)帶有(you)公(gong)(gong)司(si)(si)(si)內(nei)(nei)(nei)部(bu)(bu)重(zhong)要(yao)資料(liao)，一旦被(bei)入(ru)(ru)侵，將給公(gong)(gong)司(si)(si)(si)造成(cheng)巨大損失。對這(zhe)(zhe)種情況的一個補救(jiu)措施是對該(gai)電腦(nao)內(nei)(nei)(nei)的每個重(zhong)要(yao)文件都設立登錄名和(he)口令(ling)，嚴加控(kong)制以防黑客入(ru)(ru)侵。另外(wai)一些公(gong)(gong)司(si)(si)(si)政要(yao)的家庭計(ji)(ji)算(suan)機內(nei)(nei)(nei)也常(chang)有(you)重(zhong)要(yao)資料(liao)，入(ru)(ru)侵者完全可(ke)以安裝一個遠程控(kong)制的特洛伊木馬程序發(fa)送(song)到他們的機器上，從(cong)(cong)而(er)可(ke)以獲得穿過(guo)公(gong)(gong)司(si)(si)(si)內(nei)(nei)(nei)的防火墻(qiang)和(he)虛擬專用網(wang)的權(quan)限，因為這(zhe)(zhe)些公(gong)(gong)司(si)(si)(si)要(yao)員的計(ji)(ji)算(suan)機對公(gong)(gong)司(si)(si)(si)局域網(wang)而(er)言是可(ke)信任的。

（5）現(xian)在跨地區的大公司常利用公用的Internet網(wang)(wang)建(jian)立本公司的虛擬專用網(wang)(wang)（VPN），雖(sui)然大部(bu)分防火(huo)墻(qiang)集(ji)成了對(dui)VPN的支持，但VPN只是在介于公司兩個局域(yu)網(wang)(wang)絡(luo)的網(wang)(wang)關間(jian)的公共網(wang)(wang)絡(luo)上建(jian)立起一個加(jia)密通道，一旦通信越過目標站點網(wang)(wang)關，它將被解密并暴(bao)露在內部(bu)網(wang)(wang)絡(luo)上，內部(bu)網(wang)(wang)絡(luo)上固有的安全(quan)隱患也(ye)將可能出現(xian)。

4.信息加密策略

信息加(jia)密(mi)(mi)(mi)的(de)目(mu)(mu)的(de)是保(bao)護(hu)(hu)(hu)網(wang)內(nei)的(de)數據、文件、口(kou)令和控制信息，保(bao)護(hu)(hu)(hu)網(wang)上(shang)傳輸(shu)的(de)數據。網(wang)絡(luo)(luo)加(jia)密(mi)(mi)(mi)常用的(de)方(fang)法有鏈(lian)(lian)路(lu)加(jia)密(mi)(mi)(mi)、端(duan)點(dian)(dian)加(jia)密(mi)(mi)(mi)和節(jie)點(dian)(dian)加(jia)密(mi)(mi)(mi)三種。鏈(lian)(lian)路(lu)加(jia)密(mi)(mi)(mi)的(de)目(mu)(mu)的(de)是保(bao)護(hu)(hu)(hu)網(wang)絡(luo)(luo)節(jie)點(dian)(dian)之間(jian)的(de)鏈(lian)(lian)路(lu)信息安全；端(duan)-端(duan)加(jia)密(mi)(mi)(mi)的(de)目(mu)(mu)的(de)是對源端(duan)用戶到目(mu)(mu)的(de)端(duan)用戶的(de)數據提供(gong)保(bao)護(hu)(hu)(hu)；節(jie)點(dian)(dian)加(jia)密(mi)(mi)(mi)的(de)目(mu)(mu)的(de)是對源節(jie)點(dian)(dian)到目(mu)(mu)的(de)節(jie)點(dian)(dian)之間(jian)的(de)傳輸(shu)鏈(lian)(lian)路(lu)提供(gong)保(bao)護(hu)(hu)(hu)。用戶可根據網(wang)絡(luo)(luo)情況酌(zhuo)情選(xuan)擇上(shang)述加(jia)密(mi)(mi)(mi)方(fang)式。

信息加密(mi)(mi)過(guo)程是(shi)(shi)由形形色色的(de)(de)(de)加密(mi)(mi)算(suan)法(fa)來(lai)具體(ti)實(shi)施，它(ta)以很小的(de)(de)(de)代價(jia)提供很大(da)的(de)(de)(de)安全(quan)保護(hu)。在多數情況下，信息加密(mi)(mi)是(shi)(shi)保證信息機密(mi)(mi)性的(de)(de)(de)唯一方法(fa)。據(ju)不(bu)完全(quan)統計，到目前為止(zhi)，已經公(gong)開發表的(de)(de)(de)各(ge)種加密(mi)(mi)算(suan)法(fa)多達(da)數百種。如果(guo)按照(zhao)收(shou)發雙方密(mi)(mi)鑰是(shi)(shi)否相同來(lai)分類，可以將這(zhe)些加密(mi)(mi)算(suan)法(fa)分為常規密(mi)(mi)碼算(suan)法(fa)和(he)公(gong)鑰密(mi)(mi)碼算(suan)法(fa)。

在(zai)常(chang)規密(mi)碼中，收信方和(he)(he)發信方使用相(xiang)同(tong)的(de)(de)密(mi)鑰(yao)，即加密(mi)密(mi)鑰(yao)和(he)(he)解密(mi)密(mi)鑰(yao)是(shi)相(xiang)同(tong)或等(deng)價的(de)(de)。比(bi)較(jiao)著名的(de)(de)常(chang)規密(mi)碼算(suan)法有：美國的(de)(de)DES及其各種(zhong)變形(xing)，比(bi)如TripleDES、GDES、NewDES和(he)(he)DES的(de)(de)前身Lucifer;歐洲的(de)(de)IDEA；日本的(de)(de)FEAL－N、LOKI－91、Skipjack、RC4、RC5以(yi)及以(yi)代換密(mi)碼和(he)(he)轉輪(lun)密(mi)碼為代表的(de)(de)古典密(mi)碼等(deng)。在(zai)眾(zhong)多的(de)(de)常(chang)規密(mi)碼中影響最(zui)大(da)的(de)(de)是(shi)DES密(mi)碼。

常規密碼的優點是有很強的保密強度(du)，且(qie)經受住時間的檢驗和攻擊，但其密鑰必須通(tong)過安全的途徑(jing)傳(chuan)送。因此，其密鑰管(guan)理成為系統安全的重要因素。

在公鑰(yao)密(mi)(mi)(mi)碼(ma)(ma)(ma)中，收信方(fang)和(he)發信方(fang)使用的密(mi)(mi)(mi)鑰(yao)互(hu)不相同，而(er)且幾乎(hu)不可能從(cong)加密(mi)(mi)(mi)密(mi)(mi)(mi)鑰(yao)推導出解密(mi)(mi)(mi)密(mi)(mi)(mi)鑰(yao)。比較著名的公鑰(yao)密(mi)(mi)(mi)碼(ma)(ma)(ma)算(suan)法有：RSA、背包密(mi)(mi)(mi)碼(ma)(ma)(ma)、McEliece密(mi)(mi)(mi)碼(ma)(ma)(ma)、Diffe-Hellman、Rabin、Ong-Fiat-Shamir、零知識證明的算(suan)法、橢園曲線、EIGamal算(suan)法等等。最有影響的公鑰(yao)密(mi)(mi)(mi)碼(ma)(ma)(ma)算(suan)法是RSA，它能抵抗到(dao)目前為(wei)止已知的所有密(mi)(mi)(mi)碼(ma)(ma)(ma)攻擊(ji)。

公(gong)鑰密碼的(de)優(you)點是可以適應(ying)網絡(luo)的(de)開放性要求，且密鑰管理問題也較為(wei)簡單，尤其(qi)可方(fang)便的(de)實現(xian)數字簽(qian)名和(he)驗(yan)證。但其(qi)算法(fa)復雜。加密數據(ju)的(de)速率較低(di)。盡管如(ru)此，隨著現(xian)代電子技術和(he)密碼技術的(de)發展，公(gong)鑰密碼算法(fa)將(jiang)是一種很(hen)有(you)前途(tu)的(de)網絡(luo)安全加密體制。

當然在實際應用中人們通常將(jiang)常規密(mi)(mi)碼(ma)(ma)(ma)和公(gong)鑰密(mi)(mi)碼(ma)(ma)(ma)結合在一(yi)起(qi)使(shi)用，比如(ru)：利用DES或者IDEA來(lai)加密(mi)(mi)信息，而采用RSA來(lai)傳遞會話密(mi)(mi)鑰。如(ru)果按照每次加密(mi)(mi)所處理的比特來(lai)分(fen)(fen)類，可以將(jiang)加密(mi)(mi)算法分(fen)(fen)為序(xu)列(lie)密(mi)(mi)碼(ma)(ma)(ma)和分(fen)(fen)組密(mi)(mi)碼(ma)(ma)(ma)。前(qian)者每次只(zhi)加密(mi)(mi)一(yi)個(ge)比特而后者則先將(jiang)信息序(xu)列(lie)分(fen)(fen)組，每次處理一(yi)個(ge)組。

密碼(ma)技(ji)術(shu)是(shi)網(wang)絡安(an)全(quan)最有效(xiao)(xiao)的(de)技(ji)術(shu)之一(yi)。一(yi)個加密網(wang)絡，不(bu)但可以防止非授權(quan)用戶的(de)搭線(xian)竊聽和入網(wang)，而且(qie)也是(shi)對付惡意軟(ruan)件的(de)有效(xiao)(xiao)方法(fa)之一(yi)。

5.網絡安全管理策(ce)略(lve)

在網(wang)(wang)(wang)絡(luo)(luo)安全中，除了采用(yong)上述技術措施之外，加強網(wang)(wang)(wang)絡(luo)(luo)的(de)(de)安全管理，制定有關規章(zhang)制度(du)，對(dui)于確保網(wang)(wang)(wang)絡(luo)(luo)的(de)(de)安全、可靠地運(yun)行，將起(qi)到十分有效的(de)(de)作用(yong)。

網絡的安(an)全(quan)管(guan)理(li)策略包括：確定安(an)全(quan)管(guan)理(li)等(deng)級和安(an)全(quan)管(guan)理(li)范圍；制(zhi)(zhi)(zhi)訂有關(guan)網絡操(cao)作(zuo)使用規(gui)程和人(ren)員出(chu)入機房管(guan)理(li)制(zhi)(zhi)(zhi)度(du)；制(zhi)(zhi)(zhi)定網絡系統的維護制(zhi)(zhi)(zhi)度(du)和應(ying)急措(cuo)施等(deng)。

6.安(an)全問題的未來(lai)研究方(fang)向

(1)必須(xu)建立(li)(li)(li)自主產權(quan)的(de)(de)(de)(de)(de)網(wang)絡操作(zuo)系(xi)(xi)(xi)統(tong)(tong)(tong)。現在(zai)(zai)國(guo)內90%以(yi)上(shang)(shang)的(de)(de)(de)(de)(de)Web站點用(yong)的(de)(de)(de)(de)(de)都(dou)是(shi)WindowsNT服(fu)務器操作(zuo)系(xi)(xi)(xi)統(tong)(tong)(tong)，而客戶(hu)機大(da)部分用(yong)的(de)(de)(de)(de)(de)是(shi)Windows95/98或(huo)WindowsNT操作(zuo)系(xi)(xi)(xi)統(tong)(tong)(tong)。IntelPentiumⅢ處理器和(he)(he)Windows98在(zai)(zai)產品中都(dou)開(kai)了(le)后(hou)門，通過PentiumⅢ處理器的(de)(de)(de)(de)(de)序列號(hao)，在(zai)(zai)上(shang)(shang)網(wang)時(shi)將用(yong)戶(hu)的(de)(de)(de)(de)(de)信息(xi)與截獲的(de)(de)(de)(de)(de)信息(xi)一一對(dui)應起來，就能破獲用(yong)戶(hu)的(de)(de)(de)(de)(de)隱(yin)私(si)和(he)(he)密(mi)(mi)碼；對(dui)于(yu)Windows98的(de)(de)(de)(de)(de)用(yong)戶(hu)在(zai)(zai)撥號(hao)上(shang)(shang)網(wang)時(shi)，Microsoft的(de)(de)(de)(de)(de)系(xi)(xi)(xi)統(tong)(tong)(tong)能自動搜集用(yong)戶(hu)電腦內的(de)(de)(de)(de)(de)資料和(he)(he)身份認證(zheng)資料。這樣我們(men)(men)使用(yong)的(de)(de)(de)(de)(de)網(wang)絡產品極(ji)易留(liu)下嵌入式病毒、隱(yin)性通道和(he)(he)可(ke)(ke)恢復密(mi)(mi)鑰的(de)(de)(de)(de)(de)密(mi)(mi)碼等隱(yin)患。建立(li)(li)(li)在(zai)(zai)他人(ren)操作(zuo)系(xi)(xi)(xi)統(tong)(tong)(tong)之上(shang)(shang)的(de)(de)(de)(de)(de)網(wang)絡安(an)全(quan)(quan)系(xi)(xi)(xi)統(tong)(tong)(tong)，無論(lun)從何角度上(shang)(shang)講，安(an)全(quan)(quan)性都(dou)值(zhi)得懷疑。特別對(dui)于(yu)軍隊(dui)的(de)(de)(de)(de)(de)網(wang)絡安(an)全(quan)(quan)系(xi)(xi)(xi)統(tong)(tong)(tong)而言(yan)，使用(yong)自己的(de)(de)(de)(de)(de)網(wang)絡操作(zuo)系(xi)(xi)(xi)統(tong)(tong)(tong)就顯得更加重要。當然建立(li)(li)(li)一個安(an)全(quan)(quan)可(ke)(ke)靠的(de)(de)(de)(de)(de)操作(zuo)系(xi)(xi)(xi)統(tong)(tong)(tong)并非易事，但Linux等開(kai)放(fang)源代碼系(xi)(xi)(xi)統(tong)(tong)(tong)做了(le)大(da)量的(de)(de)(de)(de)(de)前(qian)期準備工作(zuo)，建立(li)(li)(li)在(zai)(zai)該代碼之上(shang)(shang)的(de)(de)(de)(de)(de)開(kai)發或(huo)許對(dui)我們(men)(men)會有所幫(bang)助(zhu)。

(2)必(bi)須研制高(gao)強度的(de)(de)(de)保密(mi)(mi)(mi)算(suan)(suan)法(fa)(fa)。網絡(luo)安(an)全(quan)從(cong)本(ben)質上(shang)說與數(shu)據加(jia)密(mi)(mi)(mi)息息相關。現在網絡(luo)上(shang)采用的(de)(de)(de)加(jia)密(mi)(mi)(mi)算(suan)(suan)法(fa)(fa)分對稱(cheng)密(mi)(mi)(mi)鑰(yao)(yao)算(suan)(suan)法(fa)(fa)和(he)公開(kai)密(mi)(mi)(mi)鑰(yao)(yao)算(suan)(suan)法(fa)(fa)2種(zhong)。對稱(cheng)密(mi)(mi)(mi)鑰(yao)(yao)算(suan)(suan)法(fa)(fa)密(mi)(mi)(mi)鑰(yao)(yao)管(guan)理難度較大(da)且(qie)安(an)全(quan)性(xing)不夠(gou)高(gao)。公開(kai)密(mi)(mi)(mi)鑰(yao)(yao)算(suan)(suan)法(fa)(fa)使用公共(gong)(gong)密(mi)(mi)(mi)鑰(yao)(yao)和(he)私有密(mi)(mi)(mi)鑰(yao)(yao)，公共(gong)(gong)密(mi)(mi)(mi)鑰(yao)(yao)可從(cong)認證機構CA中得到(dao)，私有密(mi)(mi)(mi)鑰(yao)(yao)由個人保存，從(cong)根本(ben)上(shang)解決了(le)對稱(cheng)密(mi)(mi)(mi)鑰(yao)(yao)算(suan)(suan)法(fa)(fa)管(guan)理上(shang)的(de)(de)(de)困(kun)難。電子商務使用的(de)(de)(de)數(shu)字簽(qian)名技術就使用了(le)公開(kai)密(mi)(mi)(mi)鑰(yao)(yao)算(suan)(suan)法(fa)(fa)體制。電子商務在我國(guo)能否大(da)力發展(zhan)，很大(da)程(cheng)度上(shang)取決于所(suo)使用的(de)(de)(de)加(jia)密(mi)(mi)(mi)算(suan)(suan)法(fa)(fa)的(de)(de)(de)加(jia)密(mi)(mi)(mi)強度，因此研制高(gao)強度的(de)(de)(de)密(mi)(mi)(mi)碼(ma)算(suan)(suan)法(fa)(fa)非常重要。網絡(luo)安(an)全(quan)建設應與密(mi)(mi)(mi)碼(ma)算(suan)(suan)法(fa)(fa)研制同步發展(zhan)。同時，密(mi)(mi)(mi)鑰(yao)(yao)管(guan)理理論和(he)安(an)全(quan)性(xing)證明方法(fa)(fa)的(de)(de)(de)研究也(ye)應該重點關注。

(3)需(xu)要研制(zhi)新(xin)一代的防火墻(qiang)和入侵測試(shi)軟件。該(gai)軟件可(ke)裝在每臺機器上進(jin)行適(shi)時監(jian)測，不但(dan)能(neng)監(jian)測來自外部的入侵，同時也能(neng)監(jian)測來自內部的入侵，并(bing)能(neng)進(jin)行適(shi)時報警。對(dui)Internet上正常友好的通(tong)信應該(gai)允許通(tong)過，克服了現有防火墻(qiang)的許多缺陷。

(4)需(xu)要(yao)研究新一(yi)代(dai)的防(fang)病(bing)毒(du)軟(ruan)件(jian)(jian)。Internet給人類(lei)帶來(lai)信(xin)息(xi)資源共享便利的同時，也帶來(lai)了網(wang)絡(luo)病(bing)毒(du)、蠕蟲、特(te)洛伊木馬、電(dian)子郵件(jian)(jian)炸彈等有害的東西。這(zhe)些病(bing)毒(du)通過E-mail或用戶下(xia)載的JavaApplet和ActiveX組(zu)件(jian)(jian)進行傳(chuan)播(bo)。除了對現有的殺毒(du)軟(ruan)件(jian)(jian)要(yao)不(bu)(bu)斷(duan)升(sheng)級外，研制針對網(wang)絡(luo)安(an)全的殺毒(du)軟(ruan)件(jian)(jian)也刻不(bu)(bu)容緩。

結束語

網(wang)絡安(an)(an)全措施的(de)使用是(shi)(shi)為了(le)保護信(xin)息交換(huan)，而不是(shi)(shi)限制信(xin)息交換(huan)或使其復雜化(hua)。系(xi)統管理也(ye)是(shi)(shi)在開(kai)發安(an)(an)全系(xi)統時應(ying)(ying)該高度(du)重(zhong)視(shi)的(de)，這(zhe)些管理包含網(wang)絡配置(zhi)、密鑰(yao)分配、設備(bei)檢查、數據(ju)庫維護和(he)審(shen)計報告(gao)的(de)生成(cheng)等。另外(wai)應(ying)(ying)保證數據(ju)的(de)安(an)(an)全存儲，確保數據(ju)的(de)機(ji)密性，即使攻擊者得到數據(ju)也(ye)無法(fa)使用。總之，要綜合考慮各種因素，使構筑的(de)網(wang)絡既好用又(you)安(an)(an)全。

隨著計(ji)算(suan)機(ji)技(ji)術和通(tong)信技(ji)術的(de)發展，計(ji)算(suan)機(ji)網絡將日(ri)益成為工業、農業和國防等方面的(de)重(zhong)(zhong)要(yao)(yao)信息交換手段，滲透到社會生活的(de)各個(ge)領域。因此，認清網絡的(de)脆弱性和潛在(zai)威脅，采取(qu)強有力(li)的(de)安全策略，對于保障網絡的(de)安全性將變得十分重(zhong)(zhong)要(yao)(yao)。

參考文獻：

航天(tian)706所金茂(mao)順編譯自《ACMTransactionsonSystem》1997