第三節 網絡安全策略與技術

什么是安全的網絡？雖然安全網絡的概念一直在吸引著廣大用戶，但不能簡單地說網絡是安全的或者不安全的。因為“安全”這個術語的含義是相對的，每個單位都可以定義出允許或者拒絕的訪問服務等級。由于安全網絡沒有絕對的定義，因此為了實現安全系統，一個單位首先要制定安全策略，然后采取相應的安全技術與措施，以保障網絡安全。

學習目標

了解制定網絡安全策略的側重點；

熟悉用于執行網絡安全策略的主要技術。

關鍵知識點

合理的網絡安全策略需要把一個單位的網絡、計算機安全與使用者的行為、信息價值的評估有機聯系起來。

安全策略

網絡安全風險永遠不可能完全消除，必須加強防護與管理。因此，網絡安全策略對一個網絡擁有機構來說是非常重要的。什么是安全策略呢？安全策略是指在一個特定網絡環境中為保證提供一定級別的安全保護所必須遵守的一系列規則。這些規則主要用于如何配置、管理和控制系統，約束用戶在正常的環境下應如何使用網絡資源，以及當網絡環境發生不正常行為時應如何響應與恢復。

網絡安全策略等級

隨著網絡技術的不斷發展，全球信息化已成為人類發展的必然趨勢。但由于網絡具有連接形式多樣性、終端分布不均勻性以及網絡的開放性、互連性等特點，致使網絡易受黑客、駭客、惡意軟件和其他不軌手段的攻擊，所以網絡信息的安全和保密是一個至關重要的問題。對于軍用的自動化指揮網絡、金融、銀行等傳輸敏感數據的網絡系統而言，其網絡信息的安全和保密更為重要。因此，網絡必須有足夠強的安全措施，否則它就是無用的，甚至還會危及社會安全。無論是局域網還是廣域網，都存在著自然和人為等諸多因素的脆弱性和潛在威脅。因此，安全策略應能全方位、有層次地針對各種不同的威脅和脆弱性，采取不同的安全保護措施，只有這樣才能確保網絡信息的機密性、完整性和可用性。

網絡安全策略的關鍵是如何保護企業內部網絡及其信息，通常包括總體策略和具體規則兩部分內容?？傮w策略用于闡述安全策略的總體思想；而具體規則用于說明什么是允許的，什么是禁止的。通常將安全策略劃分為如下4個等級：

一切都是禁止的。這種策略等級是最高保護策略，其實現方法是切斷內部網絡與外部網絡的連接。采用這種策略雖能有效防止內部網絡遭受外部攻擊，但也隔絕了內部網絡與外界的連接。通常情況下，這是一種不可取的策略。

一切未被允許的都是禁止的。這種策略開放（允許）有限的資源，對于未明確允許的資源禁止訪問。

一切未被禁止的都是允許的。這種策略只禁止對部分資源的訪問，對于未明確禁止的資源都允許訪問。

一切都是允許的。這是沒有任何保護的策略，即把內部網絡的全部資源完全對外開放，不加任何保護。通常情況下，這種策略也是不可取的。

網絡安全策略的主要內容

網絡安全策略涉及的內容比較多，一般將其分為三大類：邏輯上的策略、物理上的策略和政策上的策略。面對種種安全威脅，僅僅依靠物理上和政策（法律）上的手段來防止網絡犯罪顯得十分有限和困難，因此必須研究使用邏輯上的安全策略，如安全協議、密碼技術、數字簽名、防火墻、安全審計等。顯然，網絡安全策略不僅包括對各種網絡服務的安全層次、用戶權限進行分類，確定管理員的安全職責，還包括如何實施安全故障處理，規劃設計網絡拓撲結構，入侵和攻擊的防御與檢測，數據備份和災難恢復等。在此主要介紹網絡系統的一些實用性安全策略，如物理安全策略、安全訪問控制策略、網絡加密策略和安全管理策略。

1.物理安全策略

網絡的物理安全是網絡安全的基礎，是在物理層次上的安全保護。物理安全策略主要涉及網絡連接的規則、運行環境的保護機制，其主要目的是：①保護計算機系統、網絡服務器、路由器、交換機等硬件實體和通信鏈路免受自然災害、人為破壞、操作失誤和搭線攻擊；②確保計算機系統有一個良好的電磁兼容工作環境；③建立完備的安全管理制度，防止各種偷竊、破壞活動的發生。

2.安全訪問控制策略

安全訪問控制是網絡安全防御和保護的主要策略，其主要任務是保證網絡資源不被非法使用和非授權訪問，這也是維護網絡系統安全、保護網絡資源的重要手段。雖然各種安全策略必須相互配合才能真正起到保護作用，但訪問控制可以說是保證網絡安全最重要的核心策略，它包括操作系統的安全控制、網絡互連設備的安全控制、網絡的安全防護等策略。

3.網絡加密策略

網絡加密的目的是保護網絡內部的數據、文件、口令和控制信息以及網絡上傳輸的數據。常用的網絡加密方法有鏈路加密、節點對節點加密和端到端加密。鏈路加密的目的是保護網絡節點之間的鏈路信息安全；節點對節點加密的目的是對源節點到目的節點之間的傳輸鏈路提供加密保護；端到端加密的目的是對源端點用戶到目的端點用戶的數據提供加密保護。用戶可根據網絡情況酌情選擇這幾種加密方式，一般不采用節點對節點加密方式。

安全策略還應明確保護敏感信息所要采用的加密/解密算法，而且并不限于一種算法，目的是以較小的代價提供較強的安全保護。除此之外，安全策略還應說明密鑰管理的方法。

4.網絡安全管理策略

為了抵御網絡攻擊，保障網絡安全，目前幾乎所有的網絡系統都裝備了各式各樣的網絡安全設施，如加密設備、防火墻、入侵檢測系統、漏洞掃描、防殺病毒軟件、VPN、認證系統、審計系統等。安全管理策略是網絡安全的生命；加強網絡的安全管理，制定有關規章制度，對于確保網絡安全和可靠運行將起到十分重要的作用。

網絡的安全管理策略包括：確定安全管理等級和安全管理范圍；制定有關網絡操作使用規程和人員出入機房制度；制定網絡系統的維護制度以及應急響應、災難恢復與備份措施等。

總而言之，網絡安全最終將是一個折中的方案，需要在危害和降低威脅的代價之間做出權衡。獲得一個安全強度和安全代價的折中方案，需要考慮的主要因素包括：①用戶的方便程度；②管理的復雜性；③對現有系統的影響；④對不同平臺的支持。

安全策略的制定

由于網絡安全是相對的，這就使得對安全的定義就顯得比較復雜。例如，某公司為了保護有價值的商業信息，拒絕外部人員訪問其計算機；一個擁有可用信息網站的單位，則可以將網絡安全定義為可任意訪問數據但禁止外部人員修改數據；也有一些單位注重通信的機密性，需要將安全網絡定義為除了發送者或者真正的接收者之外都不能截取和閱讀報文。因此，為了實現安全的網絡系統，必須制定網絡安全策略。所謂安全策略，并不是規定如何實現保護，而是清楚地、無二義性地闡明所要保護的各個條目。

制定網絡安全策略是一項非常復雜的工作，因為要涉及網絡設施、計算機以及人的行為等多方面的因素。例如，無線網絡信號在單位建筑物以外被接收，把移動存儲器（如 U 盤）帶出單位的來訪人員，或者在家辦公的員工等。同時，單位還要正確認識自身信息的價值，因為在很多情況下，信息的價值是很難評估的。例如，一個包含員工檔案、工作時間和薪資等級的數據庫系統，假如競爭對手獲得這些數據，他們可能會依此引誘公司員工跳槽，或者做意想不到的事情。因此，在制定網絡安全策略時需要考慮清楚保護的側重點，而且要在安全性和易用性之間進行權衡。一般來說，制定網絡安全策略時需要考慮以下方面：

數據完整性—— 防止數據被篡改，即到達接收方的數據是否與發送出來的數據完全相同。

數據可用性—— 防止服務受到破壞，即對于合法的使用是否能夠保持數據的可訪問性。

數據機密性—— 防止未授權的數據訪問（如竊聽、數據攔截、密鑰破解等），即數據是否能夠防止非授權訪問。

數據私密性—— 發送者保持其匿名身份的能力，即發送者的身份是否會被泄露出去。

安全責任與控制

一個單位要實現安全的網絡，還必須考慮如何正確規定、如何分派或控制對數據信息的安全責任。對信息的安全責任通常包含以下兩方面：

審計責任—— 指如何保留審計蹤跡，即哪個部門對哪項數據負有責任，以及如何保留各個部門對數據進行訪問和修改的記錄。

授權—— 指對每個信息項的責任以及如何把這樣的責任委派給他人，即由誰來負責決定將信息存儲在哪里，以及負責人如何審批訪問和修改權限。

審計責任和授權的關鍵是控制。一個單位必須對信息的服務進行控制，控制的關鍵又是認證，即怎樣確定身份。例如，假定一個單位詳細制定了一套給予員工比普通來訪者使用更高權限的授權策略，那么除非該單位具有一套區分本單位和普通來訪者的認證機制，否則其授權策略是沒有意義的。認證對象除了人之外，還應擴展到計算機、設備和應用軟件。

網絡安全關鍵技術

網絡安全技術是指致力于解決如何有效地進行介入控制以及如何保證數據傳輸的安全性等的技術手段，主要包括物理安全技術、網絡結構安全技術、系統安全技術和管理安全技術，以及一些安全服務和安全機制策略。

隨著網絡技術的發展，網絡安全已成為當今網絡社會焦點中的焦點，幾乎沒有人不談論網絡安全問題，病毒、黑客程序、郵件炸彈、遠程偵聽等都無不讓人膽戰心驚。病毒、黑客的猖獗使身處當今網絡社會的人們談網色變，無所適從。因此，如何有效地保護重要的數據信息、提高網絡系統的安全性，已成為網絡系統安全必須解決的重要問題之一。

網絡攻擊與防護是“矛”和“盾”的關系，網絡攻擊技術越來越復雜，而且常常超前于網絡防護技術。為了應對不斷更新的網絡攻擊手段，網絡安全技術經歷了從被動防護到主動檢測的發展過程。目前已經具有的一些有效的防護技術，大體上可以劃分為加密/解密技術、訪問控制技術、安全檢測技術、安全監控技術、安全審計技術5大類，如圖1.2所示。綜合運用這些防護技術，可以有效地抵御網絡攻擊，而這些研究成果也已經成為眾多網絡安全產品的研發基礎。

加密/解密技術

密碼學以研究數據機密性為目的，對所存儲或傳輸的數據進行秘密交換，以防止第三者竊取。加密/解密技術包含文件加密、口令加密和傳輸加密及其解密技術等。完成加密和解密的算法稱為密碼體制。密碼體制是指一個加密系統所采用的基本工作方式。若按照加密密鑰是否可以公開，可以把密碼體制劃分為對稱密鑰密碼體制和非對稱密鑰密碼體制兩大類，又分別稱之為單鑰體制和雙鑰體制。密碼學的一項基本原則，是必須假定密碼分析員掌握編碼技術原理和方法，并且能夠獲得一定數量的明文密文對。密碼的安全性必須把這條準則作為衡量的前提。如果不論信息截獲者得到多少密文，都無法通過密文中的信息唯一地確定明文，則稱該密碼體制是無條件安全的，或稱為理論上不可破譯的。但是絕對安全的密碼是不存在的，當前幾乎所有實用的密碼體制都是可破譯的。因此，人們關心的是在計算上不可破譯的密碼體制。如果一個密碼體制中的密碼不能被可以使用的計算機資源所破譯，則認為這一密碼體制在計算上是安全的。

訪問控制技術

訪問控制是網絡安全防御和保護的核心策略。它規定了主體對客體訪問的限制，并在身份識別的基礎上，根據身份對提出資源訪問的請求加以限制。訪問控制技術是對網絡信息系統資源進行保護的重要措施，也是計算機系統中最重要和最基礎的安全機制。實現訪問控制的技術、方法雖然比較多，但主要的還是身份識別和防火墻技術。身份識別是用戶接入和訪問網絡的關鍵環節。采用用戶名（或用戶賬號）、口令是所有計算機系統進行訪問控制的基本形式。防火墻技術是建立在現代網絡通信技術和信息安全技術基礎上的安全檢測、監控技術。一般情況下，計算機網絡系統與互聯網連接的第一道防線就是防火墻。

安全檢測與監控技術

安全檢測與監控技術主要包括實時安全監控技術和安全掃描技術。實時安全監控技術通過硬件或軟件實時檢測網絡數據流并將其與系統入侵特征數據庫的數據相比較；一旦發現有被攻擊的跡象，就立即根據用戶所定義的動作做出響應。這些動作可以是切斷網絡連接，也可以是通知防火墻系統調整訪問控制策略，過濾掉入侵的數據包。安全掃描技術（包括網絡遠程安全掃描、防火墻系統掃描、Web 網站掃描和系統安全掃描等）可以對局域網、Web 站點、主機操作系統及防火墻系統的安全漏洞進行掃描，及時發現漏洞并予以修復，從而降低系統的安全風險。發現系統漏洞的另一種重要技術是蜜罐/蜜網系統，它是一個故意引誘黑客前來攻擊的目標。通過分析蜜罐/蜜網系統記錄的攻擊事件，可以發現攻擊者的攻擊方法以及系統所存在的漏洞。

安全審計技術

網絡安全審計是指在一個特定企事業單位的網絡環境下，為了保障網絡系統和信息資源不受來自外網和內網用戶的入侵和破壞，運用各種技術手段實時收集和監控網絡環境中每一個組成部分的安全狀態、安全事件，以便集中報警、分析、處理的一種技術手段。網絡安全審計作為一個新提出的概念和發展方向，已經表現出強大的生命力。目前，圍繞該概念已經研制了許多新產品和解決方案，如上網行為監控、信息過濾和計算機取證等。

練習

1.為什么說定義一個網絡安全策略不是一件容易的事情？

2.假如一個公司要實現一種策略——只有人力資源部門才可以查看員工薪資資料，那么實現這種策略需要什么機制？

3.列出幾種基本的網絡安全技術，并說明各自的用途。

補充練習

許多網絡站點和Web資源均對網絡安全技術提供技術支持，其中包括USENET新聞組、論壇等。希望讀者及時查閱相關資料，以跟蹤該領域的最新研究與發展。例如，訪問中國信息安全測評中心網站（http://www.itsec.gov.cn）等，了解網絡安全技術的最新發展。