第章網(wǎng)絡(luò)安全7

9.1網(wǎng)絡(luò)安全概述

9.1.1網(wǎng)絡(luò)安全簡(jiǎn)介

網(wǎng)絡(luò)是一條數(shù)據(jù)高速公路，它專門用來(lái)增加對(duì)計(jì)算機(jī)系統(tǒng)的訪問(wèn)，而安全性卻專門用來(lái)控制訪問(wèn)。提供網(wǎng)絡(luò)安全性是在公開訪問(wèn)與控制訪問(wèn)之間的一種權(quán)衡舉措。在家里，通過(guò)鎖門為財(cái)產(chǎn)提高安全性，而不是封鎖街道。同樣，網(wǎng)絡(luò)安全性一般是指對(duì)單臺(tái)主機(jī)提高合適的安全性，而不是直接在網(wǎng)絡(luò)上提高安全性。計(jì)算機(jī)安全包括物理安全和邏輯安全。對(duì)于前者要加強(qiáng)計(jì)算機(jī)機(jī)房的管理；而對(duì)于后者則需要用口令字、文件許可或查帳等方法來(lái)實(shí)現(xiàn)。計(jì)算機(jī)安全的目標(biāo)是：在安全和通信方便之間建立平衡。

9.1網(wǎng)絡(luò)安全概述9.1.2網(wǎng)絡(luò)安全的重要性計(jì)算機(jī)系統(tǒng)經(jīng)常遭到進(jìn)攻。更令人不安的是大多數(shù)進(jìn)攻未被察覺。這些進(jìn)攻給國(guó)家安全帶來(lái)的影響程度還未確定，但已發(fā)現(xiàn)的進(jìn)攻多數(shù)是針對(duì)計(jì)算機(jī)系統(tǒng)所存放的敏感信息，其中三分之二的進(jìn)攻是成功的，入侵者（黑客）盜竊、修改或破壞了系統(tǒng)上的數(shù)據(jù)。被推薦的安全措施有：·對(duì)非法訪問(wèn)的登錄進(jìn)行橫幅警告?！ゆI盤級(jí)監(jiān)控?！げ蹲??！ず艚姓逫D?！る娫捊厝?。·數(shù)據(jù)加密?！し阑饓?。防火墻是防止Intranet被入侵的最好方法。

9.1網(wǎng)絡(luò)安全概述9.1.3信息系統(tǒng)安全的脆弱性信息系統(tǒng)在安全方面存在的問(wèn)題。1．操作系統(tǒng)安全的脆弱性2．計(jì)算機(jī)網(wǎng)絡(luò)安全的脆弱性3．?dāng)?shù)據(jù)庫(kù)管理系統(tǒng)安全的脆弱性4．缺少安全管理9.1網(wǎng)絡(luò)安全概述9.1.4安全控制的種類可用于保護(hù)一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)的安全控制有兩種，即內(nèi)部和外部控制。1．內(nèi)部控制簡(jiǎn)單的說(shuō)內(nèi)部控制是對(duì)計(jì)算機(jī)系統(tǒng)本身的控制。密碼、防火墻和數(shù)據(jù)加密都屬于內(nèi)部控制。內(nèi)部控制只有與某一級(jí)的外部控制相結(jié)合時(shí)才生效。2．外部控制外部控制指系統(tǒng)本身無(wú)法控制的部分。外部控制總體上有三類：·物理控制·人事控制·程序控制9.1網(wǎng)絡(luò)安全概述9.1.5網(wǎng)絡(luò)安全的方法基本上說(shuō)，處理網(wǎng)絡(luò)的安全問(wèn)題有兩種方法。用戶或允許某人訪問(wèn)某些資源，或者拒絕某人訪問(wèn)這些資源。對(duì)于某種裝置來(lái)說(shuō)，訪問(wèn)或者拒絕訪問(wèn)的標(biāo)準(zhǔn)是唯一的。1．允許訪問(wèn)指定的用戶具有特權(quán)才能夠進(jìn)行訪問(wèn)。這些標(biāo)準(zhǔn)在某種程度上應(yīng)該與資源共有的性質(zhì)相匹配。2．拒絕訪問(wèn)拒絕訪問(wèn)是對(duì)某一網(wǎng)絡(luò)資源訪問(wèn)的一個(gè)拒絕。3．異常處理網(wǎng)絡(luò)安全中經(jīng)常同時(shí)使用上述兩種方法。9.2網(wǎng)絡(luò)安全策略9.2.1最小特權(quán)或許最根本的安全原則就是最小特權(quán)原則。最小特權(quán)原則意味著任何對(duì)象僅應(yīng)具有該對(duì)象需要完成指定任務(wù)的特權(quán)，它能盡量避免你遭受侵襲，并減少侵襲造成的損失。9.2.2縱深防御不要只依靠單一安全機(jī)制，盡量建立多層機(jī)制。避免某個(gè)單一安全機(jī)制失敗后你的網(wǎng)絡(luò)會(huì)徹底地垮掉。9.2.3阻塞點(diǎn)阻塞點(diǎn)強(qiáng)迫侵襲者通過(guò)一個(gè)你可以監(jiān)控的窄小通道在因特網(wǎng)安全系統(tǒng)中，位于你的局域網(wǎng)和因特網(wǎng)之間的防火墻（假設(shè)它是你的主機(jī)和因特網(wǎng)之間的唯一連接）就是這樣一個(gè)阻塞點(diǎn)。9.2網(wǎng)絡(luò)安全策略9.2.4最薄弱環(huán)節(jié)安全保護(hù)的基本原則是鏈的強(qiáng)度取決于它的最薄弱環(huán)節(jié)，就像墻的堅(jiān)固程度取決于它的最弱點(diǎn)。聰明的侵襲者總要找出那個(gè)弱點(diǎn)并集中精力對(duì)其進(jìn)行攻擊。你應(yīng)意識(shí)到防御措施中的弱點(diǎn)，以便采取行動(dòng)消除它們，同時(shí)你也可以仔細(xì)監(jiān)測(cè)那些無(wú)法消除的缺陷。平等對(duì)待安全系統(tǒng)的所有情況，以使得此處與彼處的危險(xiǎn)性不會(huì)有太大的差異。9.2.5失效保護(hù)狀態(tài)安全保護(hù)的另一個(gè)基本原則就是在某種程度上做到失效保護(hù)，即如果系統(tǒng)運(yùn)行錯(cuò)誤，那么它們會(huì)停止服務(wù)，拒絕用戶訪問(wèn)，這可能會(huì)導(dǎo)致合法用戶無(wú)法訪問(wèn)該系統(tǒng)，但這是可接受的折衷方法。9.2網(wǎng)絡(luò)安全策略9.2.6普遍參與為了使安全機(jī)制更有效，絕大部分安全保護(hù)系統(tǒng)要求網(wǎng)絡(luò)用戶的普遍參與。如果某個(gè)用戶可以輕易地從你的安全保護(hù)機(jī)制中退出，那么侵襲者很有可能會(huì)先侵襲內(nèi)部人員系統(tǒng)，然后再?gòu)膬?nèi)部侵襲你的網(wǎng)絡(luò)。9.2.7防御多樣化正如你可以通過(guò)使用大量的系統(tǒng)提供縱深防御一樣，你也可以通過(guò)使用大量不同類型的系統(tǒng)得到額外的安全保護(hù)。如果你的系統(tǒng)都相同，那么只要知道怎樣侵入一個(gè)系統(tǒng)就會(huì)知道怎樣侵入所有系統(tǒng)。9.2網(wǎng)絡(luò)安全策略9.2.8簡(jiǎn)單化簡(jiǎn)單化也是一個(gè)安全保護(hù)戰(zhàn)略，這有兩個(gè)原因：第一，簡(jiǎn)單的事情易于理解，如果你不了解某事，你就不能真正了解它是否安全；第二，復(fù)雜化會(huì)提供隱藏的角落和縫隙，一間工作室比一揀大廈更容易保證其安全性。復(fù)雜程序有更多的小毛病，任何小毛病都可能引發(fā)安全問(wèn)題。9.3防火墻的作用與設(shè)計(jì)9.3.1防火墻的作用Internet的迅速發(fā)展為人們發(fā)布和檢索信息提供了方便，但它也使污染和破壞信息變得更容易。人們?yōu)榱吮Ｗo(hù)數(shù)據(jù)和資源的安全，創(chuàng)建了防火墻。防火墻從本質(zhì)上來(lái)說(shuō)是一種保護(hù)裝置，用來(lái)保護(hù)網(wǎng)絡(luò)數(shù)據(jù)、資源和用戶的聲譽(yù)。防火墻服務(wù)用于多個(gè)目的：·限定人們從一個(gè)特別的節(jié)點(diǎn)進(jìn)入?！し乐谷肭终呓咏愕姆烙O(shè)施?！は薅ㄈ藗儚囊粋€(gè)特別的節(jié)點(diǎn)離開?！び行У淖柚蛊茐恼邔?duì)你的計(jì)算機(jī)系統(tǒng)進(jìn)行破壞。9.3防火火墻的作用用與設(shè)計(jì)從邏輯上講講，防火墻墻是分離器器、限制器器和分析器器；從物理理角度看，，各個(gè)防火火墻的物理理實(shí)現(xiàn)方式式可以有所所不同，它它通常是一一組硬件設(shè)設(shè)備（路由由器、主機(jī)機(jī)）和軟件件的多種組組合。●防火墻的優(yōu)優(yōu)點(diǎn)：(1)防火火墻能強(qiáng)化化安全策略略(2)防火火墻能有效效地記錄因因特網(wǎng)上的的活動(dòng)(3)防火火墻可以實(shí)實(shí)現(xiàn)網(wǎng)段控控制(4)防火火墻是一個(gè)個(gè)安全策略略的檢查站站●防火墻的缺缺點(diǎn)：(1)防火火墻不能防防范惡意的的知情者(2)防火火墻不能防防范不通過(guò)過(guò)它的連接接9.3防火火墻的作用用與設(shè)計(jì)(3)防火火墻不能防防備全部的的威脅(4)防火火墻不能防防范病毒防火墻要檢檢測(cè)隨機(jī)數(shù)數(shù)據(jù)中的病病毒十分困困難，它要要求：·確認(rèn)數(shù)據(jù)據(jù)包是程序序的一部分分·確定程序序的功能·確定病毒毒引起的改改變9.3.2防火墻的的功能防火墻通常常具有以下下幾種功能能：·數(shù)據(jù)包過(guò)過(guò)濾·代理服務(wù)務(wù)9.3防火火墻的作用用與設(shè)計(jì)1．?dāng)?shù)據(jù)包包過(guò)濾數(shù)據(jù)包過(guò)濾濾系統(tǒng)在內(nèi)內(nèi)部網(wǎng)絡(luò)與與外部主機(jī)機(jī)之間發(fā)送送數(shù)據(jù)包，，但它們發(fā)發(fā)送的數(shù)據(jù)據(jù)包是有選選擇的。它它們按照自自己的安全全策略允許許或阻止某某些類型的的數(shù)據(jù)包通通過(guò)，這種種控制由路路由器來(lái)完完成，所以以數(shù)據(jù)包過(guò)過(guò)濾系統(tǒng)通通常也稱之之為屏蔽路由器器。普通路由器器只是簡(jiǎn)單地地查看每一一個(gè)數(shù)據(jù)包包的目標(biāo)地地址，然后后選擇發(fā)往往目標(biāo)地址址的最佳路路徑。處理理數(shù)據(jù)包目目標(biāo)地址的的方法一般般有兩種：：·如果路由由器知道如如何將數(shù)據(jù)據(jù)包發(fā)送到到目標(biāo)地址址，則發(fā)送送?！と绻酚捎善鞑恢赖廊绾螌?shù)數(shù)據(jù)包發(fā)送送到目標(biāo)地地址，則返返回?cái)?shù)據(jù)包包，經(jīng)由ICMP向向源地址發(fā)發(fā)送不能到到達(dá)的消息息。9.3防火火墻的作用用與設(shè)計(jì)屏蔽路由器器有以下特特點(diǎn)：·屏蔽路由由器比普通通的路由器器擔(dān)負(fù)更大大的責(zé)任，，它不但要要執(zhí)行轉(zhuǎn)發(fā)發(fā)任務(wù)，還還要執(zhí)行確確定轉(zhuǎn)發(fā)的的任務(wù)。·如果屏蔽蔽路由器的的安全保護(hù)護(hù)失敗，內(nèi)內(nèi)部的網(wǎng)絡(luò)絡(luò)將被暴露露?！ず?jiǎn)單的屏屏蔽路由器器不能修改改任務(wù)?！て帘温酚捎善髂茉试S許或拒絕服服務(wù)，但它它不能保護(hù)護(hù)服務(wù)之內(nèi)內(nèi)的單獨(dú)操操作。如果果一個(gè)服務(wù)務(wù)沒(méi)有提供供安全的操操作，或者者這個(gè)服務(wù)務(wù)由不安全全的服務(wù)器器提供，那那么屏蔽路路由器就不不能保證它它的安全。。9.3防火火墻的作用用與設(shè)計(jì)2．代理服服務(wù)代理服務(wù)是是運(yùn)行在防防火墻主機(jī)機(jī)上的專門門的應(yīng)用程程序（服務(wù)務(wù)器程序））。防火墻墻主機(jī)可以以是一個(gè)同同時(shí)擁有內(nèi)內(nèi)部網(wǎng)絡(luò)接接口和外部部網(wǎng)絡(luò)接口口的雙重宿宿主主機(jī)，，也可以是是一些內(nèi)部部網(wǎng)絡(luò)中唯唯一可以與與因特網(wǎng)通通信的堡壘壘主機(jī)。代理服務(wù)程程序接受用用戶對(duì)因特特網(wǎng)服務(wù)的的請(qǐng)求，并并按照安全全策略轉(zhuǎn)發(fā)發(fā)它們的請(qǐng)請(qǐng)求。所謂謂代理就是是一個(gè)提供供替代連接接并且充當(dāng)當(dāng)服務(wù)的網(wǎng)網(wǎng)關(guān)。由于于這個(gè)原因因，代理也也稱之為應(yīng)應(yīng)用級(jí)網(wǎng)關(guān)關(guān)。代理服務(wù)位位于內(nèi)部用用戶和外部部服務(wù)之間間，它在幕幕后處理所所有用戶和和因特網(wǎng)服服務(wù)之間的的通信，以以代替它們們之間的直直接交談。。9.3防火火墻的作用用與設(shè)計(jì)9.3.3防火墻的的體系結(jié)構(gòu)構(gòu)防火墻的體體系結(jié)構(gòu)一一般有以下下幾種·雙重宿主主主機(jī)體系系結(jié)構(gòu)·屏蔽主機(jī)機(jī)體系結(jié)構(gòu)構(gòu)·屏蔽子網(wǎng)網(wǎng)體系結(jié)構(gòu)構(gòu)1．雙重宿宿主主機(jī)體體系結(jié)構(gòu)雙重宿主主主機(jī)體系結(jié)結(jié)構(gòu)是具有有雙重宿主主功能的主主機(jī)而構(gòu)筑筑的。該計(jì)計(jì)算機(jī)至少少有兩個(gè)網(wǎng)網(wǎng)絡(luò)接口，，一個(gè)是內(nèi)內(nèi)部網(wǎng)絡(luò)接接口，一個(gè)個(gè)是因特網(wǎng)網(wǎng)接口。9.3防火火墻的作用用與設(shè)計(jì)2．屏蔽主主機(jī)體系結(jié)結(jié)構(gòu)雙重宿主主主機(jī)體系結(jié)結(jié)構(gòu)提供內(nèi)內(nèi)部網(wǎng)絡(luò)和和外部網(wǎng)絡(luò)絡(luò)之間的服服務(wù)（但是是路由關(guān)閉閉），屏蔽蔽主機(jī)體系系結(jié)構(gòu)使用用一個(gè)單獨(dú)獨(dú)的路由器器來(lái)提供內(nèi)內(nèi)部網(wǎng)絡(luò)主主機(jī)之間的的服務(wù)。在在這種體系系結(jié)構(gòu)中，，主要的安安全機(jī)制由由數(shù)據(jù)包過(guò)過(guò)濾系統(tǒng)來(lái)來(lái)提供。。3．屏蔽子子網(wǎng)體系結(jié)結(jié)構(gòu)屏蔽子網(wǎng)體體系結(jié)構(gòu)在在屏蔽主機(jī)機(jī)體系結(jié)構(gòu)構(gòu)的基礎(chǔ)上上添加額外外的安全層層，它通過(guò)過(guò)添加周邊邊網(wǎng)絡(luò)把內(nèi)內(nèi)部網(wǎng)絡(luò)更更進(jìn)一步地地與因特網(wǎng)網(wǎng)隔離開。。周邊網(wǎng)絡(luò)堡堡壘主機(jī)機(jī)內(nèi)內(nèi)部路由器器外外部部路由器9.3防防火墻的的作用與與設(shè)計(jì)4．防火墻墻體系結(jié)結(jié)構(gòu)的不不同形式式①使用多多堡壘主主機(jī)②合并內(nèi)內(nèi)部路由由器與外外部路由由器③合并堡堡壘主機(jī)機(jī)與外部部路由器器④合并堡堡壘主機(jī)機(jī)與內(nèi)部部路由器器⑤使用多多臺(tái)內(nèi)部部路由器器⑥使用多多臺(tái)外部部路由器器⑦使用多多個(gè)周邊邊網(wǎng)絡(luò)⑧使用雙雙重宿主主主機(jī)與與屏蔽子子網(wǎng)9.3防防火墻的的作用與與設(shè)計(jì)9.3.4內(nèi)部部防火墻墻①實(shí)驗(yàn)室室網(wǎng)絡(luò)②不安全全的網(wǎng)絡(luò)絡(luò)③特別安安全的網(wǎng)網(wǎng)絡(luò)④合作共共建防火火墻⑤共享周周邊網(wǎng)絡(luò)絡(luò)⑥堡壘主主機(jī)可有有可無(wú)9.3防防火墻的的作用與與設(shè)計(jì)9.3.5發(fā)展展趨勢(shì)被稱為““第三代代防火墻墻”的系系統(tǒng)正在在成為現(xiàn)現(xiàn)實(shí)，它它綜合了了數(shù)據(jù)包包過(guò)濾與與代理系系統(tǒng)的特特點(diǎn)與功功能。目前，人人們正在在設(shè)計(jì)新新的IP協(xié)議（（也被稱稱為IPversion6）。。IP協(xié)協(xié)議的變變化將對(duì)對(duì)防火墻墻的建立立與運(yùn)行行產(chǎn)生深深刻的影影響，大大多數(shù)網(wǎng)網(wǎng)絡(luò)上的的信息流流都有可可能被泄泄漏，但但新式的的網(wǎng)絡(luò)技技術(shù)如幀幀中繼、、異步傳傳輸模式式（ATM）可可將數(shù)據(jù)據(jù)包從源源地址直直接發(fā)送送給目的的地址，，從而防防止信息息流在傳傳輸中途途被泄露露。本節(jié)討論論有關(guān)WWW方方面的安安全性問(wèn)問(wèn)題，包包括以下下幾方面面的內(nèi)容容：*HTTP協(xié)協(xié)議*SSL加密密和安全全HTTP*WWW服務(wù)務(wù)器及配配置問(wèn)題題*JAVAapplet和JavaScript*CGI程序序*Perl語(yǔ)語(yǔ)言*Plug-in*ActiveX*Cookie9.4.1Web與與HTTP協(xié)議議HTTP是應(yīng)用用級(jí)的協(xié)協(xié)議，主主要用于于分布式式、協(xié)作作的超媒媒體信息息系統(tǒng)。。HTTP協(xié)議議是通用用的、無(wú)無(wú)狀態(tài)的的，其系系統(tǒng)建設(shè)設(shè)與傳輸輸?shù)臄?shù)據(jù)據(jù)無(wú)關(guān)。。HTTP也是是面向?qū)?duì)象的協(xié)協(xié)議，可可用于各各種任務(wù)務(wù)，包括括（并不不局限于于）名字字服務(wù)、、分布式式對(duì)象管管理、請(qǐng)請(qǐng)求方法法的擴(kuò)展展和命令令等等。。1．Web的訪訪問(wèn)控制制2．HTTP安安全考慮慮3．安全全超文本本傳輸協(xié)協(xié)議4．安全全套接層層5．緩存存的安全全性9.4.2WWW服服務(wù)器的的安全漏漏洞1．NCSA服服務(wù)器的的安全漏漏洞2．ApacheWWW月月務(wù)器的的安全問(wèn)問(wèn)題3．NetscaPe的WWW服務(wù)務(wù)器的安安全問(wèn)題題9.4.3CGI程程序的安安全性問(wèn)問(wèn)題1．CGI程序序的編寫寫應(yīng)注意意的問(wèn)題題2．CGI腳本本的激活活方式3．不要要依賴于于隱藏變變量的值值4．WWW客戶戶應(yīng)注意意的問(wèn)題題5．使用用Perl的感感染檢查查6．CGI的權(quán)權(quán)限問(wèn)題題7．Plug-in的的安全性性9.4.5SSL的的加密的的安全性性SSL用用公共密密鑰加密密，來(lái)在在客戶與與服務(wù)器器之間交交換一個(gè)個(gè)進(jìn)程密密鑰，這這個(gè)密鑰鑰用來(lái)加加密HTTP傳傳輸過(guò)程程（包括括請(qǐng)求和和響應(yīng)））。每次次傳輸采采用不同同的密鑰鑰，因而而即使某某些人能能夠破譯譯某次傳傳輸，并并不意味味著他們們發(fā)現(xiàn)了了服務(wù)器器的密碼碼，如果果他們想想要破譯譯下一次次，他們們就必須須付出像像第一次次那樣的的時(shí)間和和努力。。9.4.6Java與JavaScript1．Javaapplet的安全全性問(wèn)題題2．JavaScript的的安全性性問(wèn)題9.4.7ActiveX的安全全性ActiveX是Microsoft公司司開發(fā)的的用來(lái)在在Internet上上分發(fā)軟軟件的技技術(shù)。像像Javaapplet一一樣，Active的的控件能能結(jié)合進(jìn)進(jìn)Web頁(yè)中，，典型的的表現(xiàn)是是一個(gè)漂漂亮的可可交互的的圖形。。有許多多為MicrosoftInternetExPlorer（（目前唯唯一支持持它們的的瀏覽器器）而做做的是ActiveX控件，，包括滾滾動(dòng)的字字幕