4.3　計算機網(wǎng)絡與安全

4.3.1　網(wǎng)絡安全威脅

1．網(wǎng)絡安全概述

計算機網(wǎng)絡安全指利用網(wǎng)絡管理控制和技術措施，保證在一個網(wǎng)絡環(huán)境里數(shù)據(jù)的保密性、完整性及可使用性受到保護。計算機網(wǎng)絡安全包括兩個方面，即物理安全和邏輯安全。物理安全指系統(tǒng)設備及相關設施受到物理保護，免于破壞、丟失等。邏輯安全包括信息的完整性、保密性和可用性。計算機網(wǎng)絡安全不僅包括組網(wǎng)的硬件、管理控制網(wǎng)絡的軟件，也包括共享的資源、快捷的網(wǎng)絡服務，所以定義網(wǎng)絡安全應考慮涵蓋計算機網(wǎng)絡所涉及的全部內容。

2．潛在威脅

對計算機信息構成不安全的因素很多，其中包括人為因素和自然因素。其中，人為因素是指一些不法之徒利用計算機網(wǎng)絡存在的漏洞，或者潛入計算機房，盜用計算機系統(tǒng)資源，非法獲取重要數(shù)據(jù)、篡改系統(tǒng)數(shù)據(jù)、破壞硬件設備、編制計算機病毒。人為因素是對計算機信息網(wǎng)絡安全威脅最大的因素。

3．計算機網(wǎng)絡的脆弱性

互聯(lián)網(wǎng)是對全世界都開放的網(wǎng)絡，任何單位或個人都可以在網(wǎng)上方便地傳輸和獲取各種信息，互聯(lián)網(wǎng)這種具有開放性、共享性、國際性的特點就對計算機網(wǎng)絡安全提出了挑戰(zhàn)?；ヂ?lián)網(wǎng)的不安全性主要有以下幾項。

（1）網(wǎng)絡的開放性。網(wǎng)絡的技術是全開放的，使得網(wǎng)絡所面臨的攻擊來自多方面，或是來自物理傳輸線路的攻擊，或是來自對網(wǎng)絡通信協(xié)議的攻擊，以及對計算機軟件、硬件的漏洞實施攻擊。

（2）網(wǎng)絡的國際性。意味著對網(wǎng)絡的攻擊不僅是來自于本地網(wǎng)絡的用戶，還可以是互聯(lián)網(wǎng)上其他國家的黑客，所以網(wǎng)絡的安全面臨著國際化的挑戰(zhàn)。

（3）網(wǎng)絡的自由性。大多數(shù)的網(wǎng)絡對用戶的使用沒有技術上的約束，用戶可以自由地上網(wǎng)，發(fā)布和獲取各類信息。

4.3.2　網(wǎng)絡安全策略

1．技術層面對策

對于技術方面。計算機網(wǎng)絡安全技術主要有實時掃描、實時監(jiān)測、防火墻、完整性檢驗保護、病毒情況分析報告和系統(tǒng)安全管理。綜合起來，技術層面可以采取以下對策。

（1）建立安全管理制度。提高包括系統(tǒng)管理員和用戶在內人員的技術素質和職業(yè)道德修養(yǎng)。對重要部門和信息，嚴格做好開機查毒和及時備份數(shù)據(jù)。

（2）網(wǎng)絡訪問控制。訪問控制是網(wǎng)絡安全防范和保護的主要策略。它的主要任務是保證網(wǎng)絡資源不被非法使用和訪問。它是保證網(wǎng)絡安全最重要的核心策略之一。訪問控制涉及的技術比較廣，包括入網(wǎng)訪問控制、網(wǎng)絡權限控制、目錄級控制以及屬性控制等多種手段。

（3）數(shù)據(jù)庫的備份與恢復。數(shù)據(jù)庫的備份與恢復是數(shù)據(jù)庫管理員維護數(shù)據(jù)安全性和完整性的重要操作。備份是恢復數(shù)據(jù)庫最容易和最能防止意外的保證方法?；謴褪窃谝馔獍l(fā)生后利用備份來恢復數(shù)據(jù)的操作。

（4）應用密碼技術。應用密碼技術是信息安全核心技術，密碼手段為信息安全提供了可靠保證?；诿艽a的數(shù)字簽名和身份認證是當前保證信息完整性的最主要方法之一，密碼技術主要包括古典密碼體制、單鑰密碼體制、公鑰密碼體制、數(shù)字簽名以及密鑰管理。

（5）切斷傳播途徑。對被感染的硬盤和計算機進行徹底殺毒處理，不使用來歷不明的U盤和程序，不隨意下載網(wǎng)絡可疑信息。

（6）提高網(wǎng)絡反病毒技術能力。通過安裝病毒防火墻進行實時過濾。對網(wǎng)絡服務器中的文件進行頻繁掃描和監(jiān)測，在工作站上采用防病毒卡，加強網(wǎng)絡目錄和文件訪問權限的設置。在網(wǎng)絡中限制只能由服務器才允許執(zhí)行的文件。

（7）研發(fā)并完善高安全的操作系統(tǒng)。研發(fā)具有高安全的操作系統(tǒng)，不給病毒得以滋生的溫床才能更安全。

2．管理層面對策

計算機網(wǎng)絡的安全管理，不僅要看所采用的安全技術和防范措施，而且要看它所采取的管理措施和執(zhí)行計算機安全保護法律、法規(guī)的力度。只有將兩者緊密結合，才能使計算機網(wǎng)絡安全確實有效。

計算機網(wǎng)絡的安全管理，包括對計算機用戶的安全教育、建立相應的安全管理機構、不斷完善和加強計算機的管理功能、加強計算機及網(wǎng)絡的立法和執(zhí)法力度等方面。加強計算機安全管理、加強用戶的法律、法規(guī)和道德觀念，提高計算機用戶的安全意識，對防止計算機犯罪、抵制黑客攻擊和防止計算機病毒干擾是十分重要的措施。

4.3.3　VPN技術

1．VPN定義

虛擬專用網(wǎng)絡（Virtual Private Network, VPN）指在公用網(wǎng)絡上建立專用網(wǎng)絡的技術。之所以稱之為虛擬網(wǎng)，主要是因為整個VPN網(wǎng)絡的任意兩個節(jié)點之間的連接并沒有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是架構在公用網(wǎng)絡服務商所提供的網(wǎng)絡平臺，如Internet、ATM（異步傳輸模式）、Frame Relay（幀中繼）等之上的邏輯網(wǎng)絡，用戶數(shù)據(jù)在邏輯鏈路中傳輸。它涵蓋了跨共享網(wǎng)絡或公共網(wǎng)絡的封裝、加密和身份驗證鏈接的專用網(wǎng)絡的擴展。VPN主要采用了隧道技術、加解密技術、密鑰管理技術和使用者與設備身份認證技術。

VPN屬于遠程訪問技術，簡單地說就是利用公網(wǎng)鏈路架設私有網(wǎng)絡。例如，公司員工出差到外地，他想訪問企業(yè)內網(wǎng)的服務器資源，這種訪問就屬于遠程訪問。怎么才能讓外地員工訪問到內網(wǎng)資源呢？VPN的解決方法是在內網(wǎng)中架設一臺VPN服務器，VPN服務器有兩塊網(wǎng)卡，一塊連接內網(wǎng)，一塊連接公網(wǎng)。外地員工在當?shù)剡B上互聯(lián)網(wǎng)后，通過互聯(lián)網(wǎng)找到VPN服務器，然后利用它作為跳板進入企業(yè)內網(wǎng)。為了保證數(shù)據(jù)安全，VPN服務器和客戶機之間的通信數(shù)據(jù)都進行了加密處理。有了數(shù)據(jù)加密，就可以認為數(shù)據(jù)是在一條專用的數(shù)據(jù)鏈路上進行安全傳輸，就如同專門架設了一個專用網(wǎng)絡一樣。但實際上VPN使用的是互聯(lián)網(wǎng)上的公用鏈路，因此只能稱為虛擬專用網(wǎng)，即VPN實質上就是利用加密技術在公網(wǎng)上封裝出一個數(shù)據(jù)通信隧道。有了VPN技術，用戶無論是在外地出差還是在家中辦公，只要能上互聯(lián)網(wǎng)就能利用VPN非常方便地訪問內網(wǎng)資源，這就是VPN在企業(yè)中應用得如此廣泛的原因，如圖4-3所示。

在傳統(tǒng)的企業(yè)網(wǎng)絡配置中，要進行異地局域網(wǎng)之間的互聯(lián)，傳統(tǒng)的方法是租用DSN（數(shù)字數(shù)據(jù)網(wǎng)）專線或幀中繼。這樣的通信方案必然導致高昂的網(wǎng)絡通信／維護費用。對于移動用戶（移動辦公人員）與遠端個人用戶而言，一般通過撥號線路（Internet）進入企業(yè)的局域網(wǎng)，而這樣必然帶來安全上的隱患。

2．虛擬專用網(wǎng)的優(yōu)點

（1）使用VPN可降低成本。通過公用網(wǎng)來建立VPN，就可以節(jié)省大量的通信費用，而不必投入大量的人力和物力去安裝和維護WAN（廣域網(wǎng)）設備和遠程訪問設備。

（2）傳輸數(shù)據(jù)安全可靠。虛擬專用網(wǎng)產品均采用加密及身份驗證等安全技術，保證連接用戶的可靠性及傳輸數(shù)據(jù)的安全和保密性。

（3）連接方便靈活。用戶如果想與合作伙伴聯(lián)網(wǎng)，但沒有虛擬專用網(wǎng)，雙方的信息技術部門就必須協(xié)商如何在雙方之間建立租用線路或幀中繼線路，有了虛擬專用網(wǎng)之后，只需雙方配置安全連接信息即可。

（4）完全控制。虛擬專用網(wǎng)使用戶可以利用ISP的設施和服務，同時又完全掌握著自己網(wǎng)絡的控制權。用戶只利用ISP提供的網(wǎng)絡資源，對于其他的安全設置、網(wǎng)絡管理變化可由自己管理。在企業(yè)內部也可以自己建立虛擬專用網(wǎng)。

3．VPN技術

基于公共網(wǎng)的VPN通過隧道技術、數(shù)據(jù)加密技術及QoS機制，使得企業(yè)能夠降低成本、提高效率、增強安全性。VPN產品從第一代的VPN路由器、交換機發(fā)展到第二代的VPN集中器，性能不斷提高。

（1）隧道技術，簡單地說就是：原始報文在A地進行封裝，到達B地后把封裝去掉還原成原始報文，這樣就形成了一條由A到B的通信隧道。目前實現(xiàn)隧道技術的有一般路由封裝（Generic Routing Encapsulation, GRE）、L2TP和PPTP。

（2）加解密技術。VPN可直接利用現(xiàn)有技術實現(xiàn)加解密。數(shù)據(jù)加密的基本思想是通過變換信息的表示形式來偽裝需要保護的敏感信息，使非受權者不能了解被保護信息的內容。

（3）QoS技術。在網(wǎng)絡中，服務質量（QoS）是指所能提供的帶寬級別。將QoS融入一個VPN，使得管理員可以在網(wǎng)絡中完全控制數(shù)據(jù)流。

通過隧道技術和加密技術，已經(jīng)能夠建立起一個具有安全性、互操作性的VPN。但是該VPN性能不穩(wěn)定，管理上不能滿足企業(yè)的要求，這就要加入QoS技術。實行QoS應該在主機網(wǎng)絡中，即VPN所建立的隧道這一段，這樣才能建立一條性能符合用戶要求的隧道。

4.3.4　網(wǎng)絡安全與隔離

1．網(wǎng)絡隔離

網(wǎng)絡隔離技術指兩個或兩個以上的計算機或網(wǎng)絡在斷開連接的基礎上，實現(xiàn)信息交換和資源共享。也就是說，通過網(wǎng)絡隔離技術既可以使兩個網(wǎng)絡實現(xiàn)物理上的隔離，又能在安全的網(wǎng)絡環(huán)境下進行數(shù)據(jù)交換。

面對新型網(wǎng)絡攻擊手段的出現(xiàn)和高安全度網(wǎng)絡對安全的特殊需求，網(wǎng)絡隔離技術應運而生。網(wǎng)絡隔離技術的目標是確保隔離有害的攻擊，在可信網(wǎng)絡之外和保證可信網(wǎng)絡內部信息不外泄的前提下，完成網(wǎng)間數(shù)據(jù)的安全交換。網(wǎng)絡隔離技術是在原有安全技術的基礎上發(fā)展起來的，它彌補了原有安全技術的不足，突出了自己的優(yōu)勢。

網(wǎng)絡隔離技術的主要目標是將有害的網(wǎng)絡安全威脅隔離開，以保障數(shù)據(jù)信息在可信網(wǎng)絡內進行安全交互。目前，一般的網(wǎng)絡隔離技術都是以訪問控制思想為策略，物理隔離為基礎，并定義相關約束和規(guī)則來保障網(wǎng)絡的安全強度。

2．發(fā)展歷程

網(wǎng)絡隔離（Network Isolation）主要是指把兩個或兩個以上可路由的網(wǎng)絡（如TCP/IP）通過不可路由的協(xié)議（如IPX/SPX、NetBEUI等）進行數(shù)據(jù)交換而達到隔離目的。由于其原理主要是采用了不同的協(xié)議，所以通常也叫協(xié)議隔離（Protocol Isolation）。

第一代隔離技術是完全隔離。此方法使得網(wǎng)絡處于信息孤島狀態(tài)，做到了完全的物理隔離，需要至少兩套網(wǎng)絡和系統(tǒng)，更重要的是信息交流的不便和成本的提高，這樣給維護和使用帶來了極大的不便。

第二代隔離技術是硬件卡隔離。在客戶端增加一塊硬件卡，客戶端硬盤或其他存儲設備首先連接到該卡，然后再轉接到主板上，通過該卡能控制客戶端硬盤或其他存儲設備。而在選擇不同的硬盤時同時選擇了該卡上不同的網(wǎng)絡接口，連接到不同的網(wǎng)絡。但是，這種隔離產品有的仍然需要網(wǎng)絡布線為雙網(wǎng)線結構，產品存在著較大的安全隱患。

第三代隔離技術是數(shù)據(jù)轉播隔離。利用轉播系統(tǒng)分時復制文件的途徑來實現(xiàn)隔離，切換時間非常之久，甚至需要手工完成，不僅明顯地減緩了訪問速度，更不支持常見的網(wǎng)絡應用，失去了網(wǎng)絡存在的意義。

第四代隔離技術是空氣開關隔離。它是通過使用單刀雙擲開關，使得內、外部網(wǎng)絡分時訪問臨時緩存器來完成數(shù)據(jù)交換的，其在安全和性能上存在許多問題。

第五代隔離技術是安全通道隔離。此技術通過專用通信硬件和專有安全協(xié)議等安全機制，來實現(xiàn)內、外部網(wǎng)絡的隔離和數(shù)據(jù)交換，不僅解決了以前隔離技術存在的問題，并有效地把內、外部網(wǎng)絡隔離開來，而且高效地實現(xiàn)了內外網(wǎng)數(shù)據(jù)的安全交換，透明支持多種網(wǎng)絡應用，成為當前隔離技術的發(fā)展方向。

3．技術原理

網(wǎng)絡隔離技術的核心是物理隔離，并通過專用硬件和安全協(xié)議來確保兩個鏈路層斷開的網(wǎng)絡能夠實現(xiàn)數(shù)據(jù)信息在可信網(wǎng)絡環(huán)境中進行交互、共享。一般情況下，網(wǎng)絡隔離技術主要包括內網(wǎng)處理單元、外網(wǎng)處理單元和專用隔離交換單元三部分內容。其中，內網(wǎng)處理單元和外網(wǎng)處理單元都具備一個獨立的網(wǎng)絡接口和網(wǎng)絡地址來分別對應連接內網(wǎng)和外網(wǎng)，而專用隔離交換單元則是通過硬件電路控制高速切換連接內網(wǎng)或外網(wǎng)。網(wǎng)絡隔離技術的基本原理通過專用物理硬件和安全協(xié)議在內網(wǎng)和外網(wǎng)之間架構起安全隔離網(wǎng)墻，使兩個系統(tǒng)在空間上物理隔離，同時又能過濾數(shù)據(jù)交換過程中的病毒、惡意代碼等信息，以保證數(shù)據(jù)信息在可信的網(wǎng)絡環(huán)境中進行交換、共享，同時還要通過嚴格的身份認證機制來確保用戶獲取所需的數(shù)據(jù)信息。網(wǎng)絡隔離技術的關鍵點是如何有效控制網(wǎng)絡通信中的數(shù)據(jù)信息，即通過專用硬件和安全協(xié)議來完成內、外網(wǎng)間的數(shù)據(jù)交換，以及利用訪問控制、身份認證、加密簽名等安全機制來實現(xiàn)交換數(shù)據(jù)的機密性、完整性、可用性、可控性，所以如何盡量提高不同網(wǎng)絡間數(shù)據(jù)交換速度，以及能夠透明支持交互數(shù)據(jù)的安全性將是未來網(wǎng)絡隔離技術發(fā)展的趨勢。

4．網(wǎng)絡隔離技術方案

網(wǎng)絡隔離技術主要有以下幾種類型。

（1）雙機雙網(wǎng)。雙機雙網(wǎng)隔離技術方案是指通過配置兩臺計算機來分別連接內網(wǎng)和外網(wǎng)環(huán)境，再利用移動存儲設備來完成數(shù)據(jù)交互操作，然而這種技術方案會給后期系統(tǒng)維護帶來諸多不便，同時還存在成本上升、占用資源等缺點，而且通常效率也無法達到用戶的要求。

（2）雙硬盤隔離。雙硬盤隔離技術方案的基本思想是通過在原有客戶機上添加一塊硬盤和隔離卡來實現(xiàn)內網(wǎng)和外網(wǎng)的物理隔離，并通過選擇啟動內網(wǎng)硬盤或外網(wǎng)硬盤來連接內網(wǎng)或外網(wǎng)網(wǎng)絡。由于這種隔離技術方案需要多添加一塊硬盤，所以對那些配置要求高的網(wǎng)絡而言，就造成了成本浪費，同時頻繁地關閉、啟動硬盤容易造成硬盤的損壞。

（3）單硬盤隔離。單硬盤隔離技術方案的實現(xiàn)原理是從物理層上將客戶端的單個硬盤分割為公共和安全分區(qū)，并分別安裝兩套系統(tǒng)來實現(xiàn)內網(wǎng)和外網(wǎng)的隔離，這樣就具有了較好的可擴展性，但是也存在數(shù)據(jù)是否安全界定困難、不能同時訪問內、外兩個網(wǎng)絡等缺陷。

（4）集線器級隔離。集線器級隔離技術方案的一個主要特征在客戶端只需使用一條網(wǎng)絡線就可以部署內網(wǎng)和外網(wǎng)，然后通過遠端切換器來選擇連接內、外雙網(wǎng)，避免了客戶端要用兩條網(wǎng)絡線來連接內、外網(wǎng)絡。

（5）服務器端隔離。服務器端隔離技術方案的關鍵內容是在物理上沒有數(shù)據(jù)連通的內、外網(wǎng)絡下，如何快速、分時地處理和傳遞數(shù)據(jù)信息，該方案主要是通過采用復雜的軟、硬件技術手段來在服務器端實現(xiàn)數(shù)據(jù)信息過濾和傳輸任務，以達到隔離內、外網(wǎng)的目的。