《internet應用教程》課件第10章

第10章

網(wǎng)絡安全

10.1網(wǎng)絡安全概述10.2網(wǎng)絡安全隱患10.3防火墻技術10.4網(wǎng)絡文件的備份與恢復10.5網(wǎng)絡病毒及防范 10.1

網(wǎng)絡安全概述

10.1.1

什么是網(wǎng)絡安全

網(wǎng)絡安全是一個關系國家安全和主權、社會的穩(wěn)定、民族文化的繼承和發(fā)揚的重要問題。安全問題已到了刻不容緩的地步。

網(wǎng)絡安全是一門涉及計算機科學、網(wǎng)絡技術、通信技術、密碼技術、信息安全技術、應用數(shù)學、數(shù)論、信息論等多種學科的綜合性學科。

網(wǎng)絡安全從其本質上來講就是網(wǎng)絡上的信息安全。廣義地說，凡是涉及到網(wǎng)絡上信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論都是網(wǎng)絡安全的研究領域。

網(wǎng)絡安全的具體含義會隨著“角度”的變化而變化。例如：從用戶(個人、企業(yè)等)的角度來說，他們希望涉及個人隱私或商業(yè)利益的信息在網(wǎng)絡上傳輸時受到機密性、完整性和真實性的保護，避免他人利用竊聽、冒充、篡改等手段侵犯用戶的利益和隱私；從網(wǎng)絡運行和管理者角度說，他們希望對本地網(wǎng)絡信息的訪問、讀寫等操作受到保護和控制，避免出現(xiàn)病毒、非法存取、拒絕服務和網(wǎng)絡資源非法占用和非法控制等威脅，制止和防御網(wǎng)絡黑客的攻擊；對安全保密部門來說，他們希望對非法的、有害的或涉及國家機密的信息進行過濾和防堵，避免機要信息泄露，避免對社會產(chǎn)生危害,對國家造成巨大損失；從社會教育和意識形態(tài)角度來講,網(wǎng)絡上不健康的內容,會對社會的穩(wěn)定和人類的發(fā)展造成阻礙,必須對其進行控制。

10.1.2

提高網(wǎng)絡安全意識

隨著計算機技術的飛速發(fā)展，信息網(wǎng)絡已經(jīng)成為社會發(fā)展的重要保證。信息網(wǎng)絡涉及到政府、軍事、文教等諸多領域。其中存儲、傳輸和處理的信息有許多是重要的政府宏觀調控決策、商業(yè)經(jīng)濟信息、銀行資金轉帳、股票證券、能源資源數(shù)據(jù)、科研數(shù)據(jù)等重要信息。有很多是敏感信息，甚至是國家機密，所以難免會吸引來自世界各地的各種人為攻擊，例如，信息泄漏、信息竊取、數(shù)據(jù)篡改、數(shù)據(jù)刪添、計算機病毒等。同時，網(wǎng)絡實體還要經(jīng)受諸如水災、火災、地震、電磁輻射等方面的考驗。

近年來，計算機犯罪已經(jīng)成為普遍的國際性問題。計算機犯罪案件急劇上升，據(jù)美國聯(lián)邦調查局的報告，計算機犯罪是商業(yè)犯罪中最大的犯罪類型之一，每筆犯罪的平均金額為45

000美元，每年計算機犯罪造成的經(jīng)濟損失高達50億美元。

計算機犯罪大都具有瞬時性、廣域性、專業(yè)性、時空分離性等特點。通常計算機罪犯很難留下犯罪證據(jù),這大大刺激了計算機高技術犯罪案件的發(fā)生。

計算機犯罪案率的迅速增加，使各國的計算機系統(tǒng)特別是網(wǎng)絡系統(tǒng)面臨著很大的威脅，并成為嚴重的社會問題之一。因此，計算機網(wǎng)絡的安全問題引起了全球的普遍重視。

10.1.3

網(wǎng)絡安全的特征

網(wǎng)絡安全應具有以下四個方面的特征：

(1)保密性：信息不泄露給非授權用戶、實體或過程,或供其利用的特性。

(2)完整性：數(shù)據(jù)未經(jīng)授權不能進行改變的特性，即信息在存儲或傳輸過程中保持不被修改、不被破壞和丟失的特性。

(3)可用性：可被授權實體訪問并按需求使用的特性，即當需要時能否存取所需的信息。例如，網(wǎng)絡環(huán)境下拒絕服務、破壞網(wǎng)絡和有關系統(tǒng)的正常運行等都屬于對可用性的攻擊。

(4)可控性：對信息的傳播及內容具有控制能力。

10.1.4

網(wǎng)絡安全案例

1.國外網(wǎng)絡安全案例

(1)?1994年末，俄羅斯黑客弗拉基米爾·利文與其伙伴從圣彼得堡的一家小軟件公司的聯(lián)網(wǎng)計算機上，向美國CITYBANK銀行發(fā)動了一連串攻擊，通過電子轉賬方式，從CITYBANK銀行在紐約的計算機主機里竊取1

100萬美元。

(2)?1996年初，據(jù)美國舊金山的計算機安全協(xié)會與聯(lián)邦調查局的一次聯(lián)合調查統(tǒng)計，有53%的企業(yè)受到過計算機病毒的侵害，42%的企業(yè)的計算機系統(tǒng)在過去的12個月里被非法使用過。而五角大樓的一個研究小組稱美國一年中遭受的攻擊就達25萬次之多。

(3)?1996年8月17日，美國司法部的網(wǎng)絡服務器遭到黑客入侵，并將“美國司法部”的主頁改為“美國不公正部”,將司法部部長的照片換成了阿道夫·希特勒，將司法部徽章?lián)Q成了納粹黨徽，并加上一幅色情女郎的圖片作為所謂司法部部長的助理。此外還留下了很多攻擊美國司法政策的文字。

(4)?1996年9月18日，黑客又光顧美國中央情報局的網(wǎng)絡服務器，將其主頁由“中央情報局”改為“中央愚蠢局”。

(5)?1996年12月29日，黑客侵入美國空軍的全球網(wǎng)網(wǎng)址并對其主頁肆意改動，其中有關空軍介紹、新聞發(fā)布等內容被替換成一段簡短的黃色錄像，且聲稱美國政府所說的一切都是謊言，迫使美國國防部一度關閉了其他80多個軍方網(wǎng)址。

2.我國網(wǎng)絡安全案例

(1)?1996年初，Chinanet受到某高校的一個研究生的攻擊；1996年秋，北京某ISP和它的用戶發(fā)生了一些矛盾，此用戶便攻擊該ISP的服務器，致使服務中斷了數(shù)小時。

(2)?1996年2月，剛開通不久的Chinanet受到攻擊，且攻擊得逞。

(3)?1997年初，北京某ISP被黑客成功侵入，并在清華大學“水木清華”BBS站的“黑客與解密”討論區(qū)張貼有關如何免費通過該ISP進入Internet的文章。

(4)?1997年4月23日，美國德克薩斯州內查德遜地區(qū)西南貝爾互聯(lián)網(wǎng)絡公司的某個PPP用戶侵入中國互聯(lián)網(wǎng)絡信息中心的服務器，破譯該系統(tǒng)的shutdown帳戶，把中國互聯(lián)網(wǎng)信息中心主頁換成了一個笑嘻嘻的骷髏。

10.2網(wǎng)絡安全隱患

計算機網(wǎng)絡技術是一把雙刃劍。一方面，它在計算機用戶之間架起了通信的橋梁，可使遠在天涯的數(shù)據(jù)近在咫尺；另一方面，也為某些窺探機密數(shù)據(jù)的不法之徒打開了方便之門。

在網(wǎng)絡應用日益廣泛和頻繁的今天，了解網(wǎng)絡在安全方面的脆弱性，掌握抵御網(wǎng)絡入侵的基本知識，無疑具有十分重要的現(xiàn)實意義。計算機犯罪始于20世紀80年代。隨著網(wǎng)絡應用范圍的逐步擴大，其犯罪技巧日見“高明”，犯罪目的也向越來越邪惡的方向發(fā)展。例如，郵件炸彈(mailbomb)、網(wǎng)絡病毒、特洛伊木馬(TrojanHorse)、竊取硬盤空間、盜用計算資源、竊取或篡改機密數(shù)據(jù)、冒領存款、搗毀服務器等。與網(wǎng)絡安全有關的新名詞逐漸為大眾所知，例如黑客(hecker)、破解者(cracker)、信息恐怖分子(infoterrorist)、網(wǎng)絡間諜(cyberky)等，有些名字甚至成為傳媒及娛樂界的熱門題材。凡此種種，都傳遞出一個信息——網(wǎng)絡是不安全的。而大部分網(wǎng)絡安全問題都與TCP/IP有關。

TCP/IP是Internet的標準協(xié)議，傳統(tǒng)的網(wǎng)絡應用都是基于此協(xié)議的，這些應用包括WWW、FTP、E-mail等。此外，在局域網(wǎng)中，TCP/IP也逐漸流行，這使得通過Internet侵入局域網(wǎng)變得十分容易。

為網(wǎng)絡安全擔憂的人大致可分為兩類，一是使用網(wǎng)絡資源的一般用戶，另一是網(wǎng)絡資源的提供者。對于使用網(wǎng)絡資源的一般用戶而言，當他連入網(wǎng)絡后，可能會擔心自己的每個操作及發(fā)送、接收的數(shù)據(jù)被遠端服務器監(jiān)視和記錄。因為不良的網(wǎng)絡服務提供者有可能記錄用戶的操作和收發(fā)的數(shù)據(jù)，然后非法利用。事實上，目前有許多用于監(jiān)視用戶網(wǎng)上行為的商業(yè)軟件。此外，用戶平時還可能受到郵件炸彈、網(wǎng)絡病毒及邪惡信息的威脅。

對網(wǎng)絡資源的提供者面言，其所面臨的威脅遠比普通用戶嚴重。因為提供資源的服務器通常是全天候工作的，且是一個隨時有客人光顧的公共“場所”。這些客人中，有普通用戶，也可能有圖謀不軌的歹徒。有較高利用價值的站點則更受黑客青睞。此外，這些站點除了要抵御外來入侵外，還須時刻防范內賊。10.2.1

網(wǎng)絡安全的威脅因素

1.人為的威脅因素

對于人為的威脅因素，往往是由威脅源(入侵者或其入侵程序)利用系統(tǒng)資源中的脆弱環(huán)節(jié)進行入侵而產(chǎn)生的，可以將其分為四種類型：

(1)中斷(interruption)：指威脅源使系統(tǒng)的資源受損或不能使用，從而使數(shù)據(jù)的流動或服務的提供暫停。

(2)竊取(interception)：是指某個威脅源、未經(jīng)許可，卻成功地獲取了對一個資源的訪問，從中盜竊了有用的數(shù)據(jù)或服務。

(3)更改(modification)：某個威脅源雖然未經(jīng)許可，然而成功地訪問并改動了某項資源，因而篡改了他所提供的數(shù)據(jù)服務。

(4)偽造(fabrication)：是指某個威脅源未經(jīng)許可，但成功地在系統(tǒng)中制造出了假源，從而產(chǎn)生了虛假的數(shù)據(jù)或服務。

2.危害網(wǎng)絡安全的人

危害網(wǎng)絡安全的人主要有三類：

(1)故意破壞者(hackers)：即所謂的黑客或駭客，其目的是企圖通過各種手段破壞網(wǎng)絡資源與信息。例如，涂抹別人的主頁、修改系統(tǒng)配置、造成系統(tǒng)癱瘓。

(2)不遵守規(guī)則者(vandals)：企圖訪問不允許他訪問的系統(tǒng)，他可能僅僅是到網(wǎng)中看，找些資料，也可能想盜用別人的計算機資源(如CPU時間)。

(3)刺探秘密者(crackers)：通過非法手段侵入他人系統(tǒng)，以竊取商業(yè)秘密與個人資料。

除泄露信息對企業(yè)網(wǎng)構成威脅之外，還有一種危險是有害信息的侵入。有人在網(wǎng)上傳播一些不健康的圖片、文字，或散布不負責任的消息。一些不遵守網(wǎng)絡使用規(guī)則的用戶可能通過玩一些電子游戲將病毒帶入系統(tǒng)，輕者造成信息出現(xiàn)錯誤，使得一些應用程序不能使用，嚴重的將會造成網(wǎng)絡癱瘓。

顯然，要設計一個成功的網(wǎng)絡系統(tǒng)，就必須針對對網(wǎng)絡安全構成威脅的各種因素，研究確保網(wǎng)絡信息系統(tǒng)安全的機制。網(wǎng)絡安全機制涉及到：網(wǎng)絡安全策略與數(shù)據(jù)加密、數(shù)字簽名、第三方確認、Internet防火墻(firewall)等安全技術。

10.2.2

先天性安全漏洞

Internet的前身是APPANET，而APPANET最初是為軍事機構服務的。其設計初衷之一是實現(xiàn)遠程連接及通信鏈路冗余，力爭在遭受核打擊時不致癱瘓，而對網(wǎng)絡安全的關注較少。但是，隨著歲月的流逝，APPANET的服務范圍逐漸擴大，先是進入學術界，然后進入企業(yè)界，最后進入尋常百姓的生活中。

隨著Internet的廣泛應用，其在網(wǎng)絡安全方面的缺陷逐漸暴露出來，并最終成為制約其商業(yè)運行的瓶頸。在進行通信時，Internet用戶的數(shù)據(jù)被拆成一個個數(shù)據(jù)包，然后經(jīng)過若干節(jié)點輾轉傳遞到終點。在Internet上，數(shù)據(jù)傳遞是靠TP/IP實現(xiàn)的。

但是TCP/IP在傳遞數(shù)據(jù)包時，并未對其加密。換言之，在數(shù)據(jù)包所經(jīng)過的每個節(jié)點上，都可直接獲取這些數(shù)據(jù)包，并可分析、存儲。如果數(shù)據(jù)包內含有商業(yè)敏感數(shù)據(jù)或個人隱私信息，則任何人都可輕易解讀。

此外，在UNIX環(huán)境中的網(wǎng)絡信息服務(NIS)及網(wǎng)絡文件服務(NFS)也是容易被入侵的環(huán)節(jié)，入侵者經(jīng)常利用這些服務訪問操作系統(tǒng)的敏感文件、獲取特權等。10.2.3幾種常見的盜竊數(shù)據(jù)或侵入網(wǎng)絡的方法

1.竊聽(Eavesdropping)

在數(shù)據(jù)包途徑的每個節(jié)點上，都可能被別有用心的人竊聽而被竊聽者卻渾然不覺。除了在網(wǎng)上利用計算機竊聽外，竊聽者還可以利用先進的電子設備，分析某些傳輸介質產(chǎn)生的電磁波，以獲取數(shù)據(jù)。

最簡易的竊聽方式是將計算機連入網(wǎng)絡，利用專門的工具軟件對在網(wǎng)絡上傳輸?shù)臄?shù)據(jù)包進行分析。進行竊聽的最佳位置是網(wǎng)絡中的路由器，特別是位于關卡處的路由器，它們就像城門、收費站一樣，是數(shù)據(jù)包的集散地，在該處安裝一個竊聽程序，可以輕易獲取很多秘密。竊聽程序的基本功能是收集、分析數(shù)據(jù)包，高級的竊聽程序還提供生成假數(shù)據(jù)包、解碼等功能，甚至可鎖定某源服務器(或目標服務器)的特定端口，自動處理與這些端口有關的數(shù)據(jù)包。利用上述功能，可監(jiān)聽他人的聯(lián)網(wǎng)操作，盜取信息。例如，搜集用戶Telnet、FTP、SMTP等常用且未加密的協(xié)議數(shù)據(jù)包，可從這些數(shù)據(jù)包中得知帳號、密碼和通信內容。

其實，這些竊聽工具同時也是研究網(wǎng)絡協(xié)議、數(shù)據(jù)包結構的好工具，可以利用它探測并解決網(wǎng)絡問題。這里以圖10-1為例，說明普通網(wǎng)絡通信遭竊聽的可能性。其中，假設數(shù)據(jù)由網(wǎng)絡A傳送至網(wǎng)絡B，可被竊聽的位置至少包括：

(1)網(wǎng)絡A中的計算機。

(2)數(shù)據(jù)包在Interet上途經(jīng)的每一路由器。

(3)網(wǎng)絡B中的計算機。圖10-1可能的竊聽位置示意圖

2.竊取(Spoofing)

這種入侵方式一般出現(xiàn)在使用支持信任機制的網(wǎng)絡中。信任機制允許被信任用戶直接訪問信任方資源，而不需要繁雜的認證手續(xù)。通常，用戶只需擁有合法帳號即可通過認證，這種機制一般只應用于內部網(wǎng)絡的服務器之間，以提高工作效率，但同時也產(chǎn)生了安全漏洞。竊取指入侵者利用信任關系，冒充一方與另一方連網(wǎng)，以竊取信息。此過程有點像歹徒闖入A的住處，將A打昏，再假冒A的聲音打電話給B，從而騙取B的信息。竊取適用于多種協(xié)議，但以針對IP數(shù)據(jù)包的竊取(IPSpoofing)最為常見。在這種方式中，入侵者可能來自內部網(wǎng)絡，但更多地來自外部網(wǎng)絡。假設某入侵者欲利用主機A入侵某公司的內部網(wǎng)絡主機B，則其步驟大致如下：

(1)確定要入侵的主機B；

(2)確定主機B所信任的主機A；

(3)利用主機X在短時間內發(fā)送大量的數(shù)據(jù)包給A，使之窮于應付；

(4)利用主機X向B發(fā)送源地址為A數(shù)據(jù)包。

在上述過程中，由于X所發(fā)出數(shù)據(jù)包的源地址是A，因此B的響應數(shù)據(jù)包將傳給A而非X，這時，如果A收到數(shù)據(jù)包，并否認曾經(jīng)向B發(fā)送過數(shù)據(jù)包，則本次入侵行為就會暴露。因此X在向B請求數(shù)據(jù)包同時，必須堵住A的嘴(具體方法就是在短時間內發(fā)送大量的數(shù)據(jù)包給A，使之窮于應付)。竊取技術的要點如圖10-2所示。圖10-2竊取過程示意圖

3.會話劫奪(SessionHijacking)

會話劫奪指入侵者首先在網(wǎng)絡上窺探現(xiàn)有的會話，發(fā)現(xiàn)有攻擊價值的會話后，便將參與會話的一方截斷，并頂替被截斷方繼續(xù)與另一方進行連接，以竊取信息。此過程有點像歹徒闖入A的住處，將正在與B通話的A打昏，再假冒A的聲音打電話給B，從而騙取B的信息。

進行會話劫奪時，需要觀察網(wǎng)絡上現(xiàn)有的會話，入侵者需要位于會話信息所經(jīng)過的某一點上，才能監(jiān)視會話數(shù)據(jù)。所以，如果入侵者不位于會話信息所經(jīng)過的點上，則必須先行攻陷一臺可以利用的主機，然后再監(jiān)視會話。以圖10-3為例，當主機A正與主機B進行會話時，X切入會話，并假冒B的名義發(fā)送數(shù)據(jù)包給A，通知其中斷會話，然后X頂替A繼續(xù)與B進行會話。圖10-3會話劫奪過程示意圖

4.利用操作系統(tǒng)漏洞

了解攻擊對象的弱點是黑客的必修課程。UNIX是目前最常被攻擊的系統(tǒng)。這主要是因為年代久遠，背負了許多歷史包袱，而一些黑客又經(jīng)常炫耀其與UNIX作戰(zhàn)的“技術”，讓后來者躍躍欲試。且目前網(wǎng)絡服務器操作系統(tǒng)仍以UNIX居多，所以成為必然的被攻擊對象。

任何操作系統(tǒng)都難免存在漏洞，包括新一代操作系統(tǒng)。操作系統(tǒng)的漏洞大致可分為兩部分，一部分是由設計缺陷造成的，另一部分則是由于使用不得法所致。而前者又包括協(xié)議方面的、網(wǎng)絡服務方面的、共用程序庫方面的等等。例如，傳統(tǒng)的Telnet、Ftp、SMTP等不對數(shù)據(jù)包進行加密，所以用戶或系統(tǒng)管理員密碼很容易泄露。又如，遠程用戶可以Finger協(xié)議探測服務器內有哪些帳戶，這些信息可用作入侵的基本武器。

事實上，TCP/IP當初設計的重點并不在安全方面，如果仔細分析，則整組協(xié)議到處都可找到安全漏洞。

因系統(tǒng)管理不善所引發(fā)的漏洞主要是系統(tǒng)資源或帳戶權限設置不當。例如，許多操作系統(tǒng)對權限所設定的默認值是不安全的，而管理員又沒有更改默認設置，這些疏忽所引發(fā)的后果往往是災難性的。

例如，權限較低的用戶一旦發(fā)現(xiàn)自己可以改變操作系統(tǒng)本身的共用程序庫時，他就很可能立即使用這一權限，用自己的程序庫替換系統(tǒng)中原有的庫，從而在系統(tǒng)中為自己開一道暗門。

5.盜用密碼

盜用密碼是最簡單和狠毒的技巧。因為這種方法的技術含量較低，入侵后基本上不會留下任何痕跡，并且極易嫁禍于人。

密碼被盜用通常是因為用戶不小心被他人“發(fā)現(xiàn)”了。而“發(fā)現(xiàn)”的方法一般是“猜測”。猜密碼的方式有多種，最常見的是在登錄系統(tǒng)時嘗試不同的密碼，系統(tǒng)允許用戶登錄就意味著密碼被猜中了。但這種方式只適用于一些比較古老的操作系統(tǒng)，因為較新的操作系統(tǒng)都會對用戶嘗試登錄的次數(shù)進行限制，例如，如果連續(xù)3次輸入了錯誤的密碼，則系統(tǒng)將自動鎖死。另一種比較常見的方法是先從服務器中獲得被加密的密碼表，再利用公開的算法進行計算，直到求出密碼為止。這種技巧最常用于UNIX系統(tǒng)，UNIX中的密碼表一般位于固定位置，其中存放了系統(tǒng)所有用戶密碼的加密值。

6.木馬、病毒、暗門

計算機技術中的木馬，是一種與計算機病毒類似的指令集合，它寄生在普通程序中，并在暗中進行某些破壞性操作或進行數(shù)據(jù)盜竊。木馬與計算機病毒的區(qū)別是，前者不進行自我復制，即不感染其他程序。

病毒是一種寄生在普通程序中、且能夠將自身復制到其他程序、并通過執(zhí)行某些操作，破壞系統(tǒng)或干擾系統(tǒng)運行的“壞”程序。其不良行為可能是悄悄進行的，也可能是明目張膽實施的，可能沒有破壞性，也可能毀掉用戶幾十年的心血。病毒程序除可從事破壞活動外，也可能進行間諜活動，例如，將服務器內的數(shù)據(jù)傳往某個主機等。暗門(trapdoor)又稱后門(backdoor)，隱藏在程序中的秘密功能，通常是程序設計者為了能在日后隨意進入系統(tǒng)而設置的。

木馬、病毒和暗門都可能對計算機數(shù)據(jù)安全構成威脅(例如數(shù)據(jù)被篡改、毀壞或外泄等)。受木馬、病毒和暗門威脅的最有效的方法是不要運行來歷不明的程序。

7.隱秘通道

安裝防火墻、選擇滿足工業(yè)標準的安全結構、對進出網(wǎng)絡環(huán)境的存儲媒體實施嚴格管制，可確保即使存在木馬、病毒、暗門等內賊也無法將其偷竊的數(shù)據(jù)通過正常的網(wǎng)絡信道發(fā)送給外界。

但是，上述完整的安全防護結構仍然不能保證絕對安全。例如，系統(tǒng)內的木馬可以使用如下手段數(shù)將據(jù)送達外界：規(guī)定木馬忙碌代表1，不忙碌代表0，當木馬忙碌時，因其占用系統(tǒng)資源，計算機的響應速度將變慢。外界接應者可每隔一秒，對計算機的響應速度測試一次，以得知木馬是否忙碌，從而可獲得數(shù)據(jù)。理論上，系統(tǒng)不可能完全截斷這些隱秘通道。如果系統(tǒng)內部含有價值連城的秘密，則盜賊所用伎倆可能匪夷所思，讓人防不勝防。除系統(tǒng)與外界完全絕緣外，漏洞在所難免。唯一可以讓系統(tǒng)管理員欣慰的是，通過隱秘通道外運數(shù)據(jù)的速度通常甚低。如果按1b/s的速度計算，則傳遞10KB的數(shù)據(jù)就需要22.75小時，如果再加上冗余位，則需要的時間可能超過一天。按此推算，如果要傳送10KB的數(shù)據(jù)大約需要1天的時間。所以，如果能確定在時效之內泄露部分數(shù)據(jù)無礙安全，則系統(tǒng)管理員可不必為此而煩惱。

10.3

防?火?墻?技?術

10.3.1

什么是防火墻

形象地講Internet防火墻與建筑物中的防火墻類似，可以防止外部網(wǎng)絡(例Internet)上的危險(黑客)在內部網(wǎng)絡上蔓延。如圖10-4所示，用專業(yè)語言來說，防火墻就是一個或一組網(wǎng)絡設備(計算機或路由器等)，可用來在兩個或多個網(wǎng)絡間加強相互間的訪問控制。內部網(wǎng)上設立防火墻的主要目的是保護自己不受來自另外一個網(wǎng)絡的攻擊。要保護的是我們自己管理的內部網(wǎng)絡，而要防備的則是一個外部的網(wǎng)絡。對網(wǎng)絡的保護包括下列工作：拒絕未授權的用戶訪問，同時允許合法用戶不受妨礙地訪問網(wǎng)絡資源。不同的防火墻的側重點不同。從某種意義上來說，防火墻實際上代表了一個網(wǎng)絡的訪問原則。如果某個網(wǎng)絡決定配置防火墻，那么首先需要由網(wǎng)絡決策人員及網(wǎng)絡專家共同決定網(wǎng)絡的安全策略，即確定哪些類型的信息可允許通過防火墻，哪些類型的信息不允許通過防火墻。防火墻的職責就是根據(jù)本單位的安全策略，對外部網(wǎng)絡與內部網(wǎng)絡交流的數(shù)據(jù)進行檢查，符合的通過，不符合的拒絕。

圖10-4

防火墻示意圖

Internet防火墻負責管理Internet和機構內部網(wǎng)絡之間的訪問。在沒有防火墻時，內部網(wǎng)絡上的每個節(jié)點都暴露給Internet上的其他主機，極易受到攻擊。這就意味著內部網(wǎng)絡的安全性要由每一個主機的堅固程度來決定，并且安全性等同于其中最弱的系統(tǒng)。

Internet防火墻允許網(wǎng)絡管理員定義一個中心“扼制點”來防止非法用戶，例如防止黑客、網(wǎng)絡破壞者等進入內部網(wǎng)絡。禁止存在安全脆弱性的服務進出網(wǎng)絡，并抗擊來自各種路線的攻擊。Internet防火墻能夠簡化安全管理。網(wǎng)絡的安全性是在防火墻系統(tǒng)上得到加固，而不是分布在內部網(wǎng)絡的所有主機上。

在防火墻上可以很方便地監(jiān)視網(wǎng)絡的安全性，并產(chǎn)生報警。值得注意的是：對一個與Internet相連的內部網(wǎng)絡來說，重要的問題并不是網(wǎng)絡是否會受到攻擊，而是何時受到攻擊？誰在攻擊？網(wǎng)絡管理員必須審計并記錄所有通過防火墻的重要信息。如果網(wǎng)絡管理員不能及時響應報警并審查常規(guī)記錄，防火墻就形同虛設。在這種情況下，網(wǎng)絡管理員永遠不會知道防火墻是否受到攻擊。

Internet防火墻可以作為部署NAT(NetworkAddressTranslator,網(wǎng)絡地址變換)的邏輯地址。因此防火墻可以用來緩解地址空間短缺的問題，并消除機構在變換ISP時帶來的重新編址的麻煩。

Internet防火墻是審計和記錄Internet使用量的一個最佳地方。網(wǎng)絡管理員可以在此向管理部門提供Internet連接的費用情況，查出潛在的帶寬瓶頸的位置，并根據(jù)機構的核算模式提供部門級計費。

防火墻也可以成為向客戶發(fā)布信息的地點。

10.3.2

防火墻的特性

(1)所有內部對外部的通信都必須通過防火墻，反之亦然。

(2)只有按安全策略所定義的授權，通信才允許通過。

(3)防火墻本身是抗入侵的。

(4)防火墻是網(wǎng)絡的要塞點，是達到網(wǎng)絡安全目的的有效手段，因此盡可能將安全措施都集中于這一點上。

(5)防火墻可以強制安全策略的實施。

(6)防火墻可以記錄內外部網(wǎng)絡通信時所發(fā)生的一切(如果需要的話)。

10.3.3

防火墻的功能

防火墻必須具有以下功能才能保證網(wǎng)絡安全性要求：

(1)防火墻應該忠實地支持安全策略。

(2)即使無其他安全策略的情況下，也應該支持“除非特別許可，否則拒絕所有的服務”的設計原則。

(3)應該容易擴充新的服務和機構，更改所需要的安全策略。

(4)應該具有代理服務(例FTP、TELNET等)，包含先進的鑒別技術。

(5)采用過濾技術，根據(jù)需求允許或拒絕某些服務。

(6)防火墻的編程語言應該是靈活的，編程界面對用戶是友好的。并且有很多過濾屬性，包括源和目的IP地址、協(xié)議類型、源和目的TCP/UDP端口以及進入和輸出的接口地址。

(7)具有緩沖存儲的功能，以獲得高效快速地訪問。

(8)應該接納對本地網(wǎng)的公共訪問。本地網(wǎng)的公共信息服務由防火墻所保護。本地網(wǎng)的公共信息服務按需要可以刪減和擴充。

(9)具有對撥號訪問內部網(wǎng)的集中處理和過濾能力。

(10)具有記錄和審計的功能，包括可以登記通信的業(yè)務和記錄可疑活動的方法，便于檢查和審計。

(11)防火墻設備上所使用的操作系統(tǒng)和開發(fā)工具都應該具備相當?shù)燃壍陌踩浴?/p>

(12)防火墻應該是可檢驗和可管理的。

10.4

網(wǎng)絡文件的備份與恢復

在實際的網(wǎng)絡運行環(huán)境中，數(shù)據(jù)備份與恢復功能是非常重要的，否則就可能造成不可挽回的損失。因此，在一個實用的局域網(wǎng)應用系統(tǒng)設計中，必須有網(wǎng)絡數(shù)據(jù)備份、恢復手段和災難恢復計劃。

網(wǎng)絡數(shù)據(jù)可以進行歸檔與備份。歸檔與備份是有區(qū)別的：歸檔是指在一種特殊介質上進行永久性存儲，歸檔的數(shù)據(jù)可能包括文件服務器不再需要，但由于某種原因需要保存若干年的數(shù)據(jù)。一般是將這些數(shù)據(jù)存放在一個非常安全的地方。網(wǎng)絡數(shù)據(jù)備份是一項基本的網(wǎng)絡維護工作。

對于網(wǎng)絡管理員來說，如果需要恢復被丟失或修改了的文件，那么他必須有最近的網(wǎng)絡文件副本。備份網(wǎng)絡文件就是將所需要的文件拷貝到光盤、磁帶或磁盤等存儲介質上，并將它們保存在遠離服務器的安全的地方。要完成日常網(wǎng)絡備份工作，需要解決以下問題：

(1)選擇備份設備。選擇備份設備應根據(jù)網(wǎng)絡文件系統(tǒng)的規(guī)模及文件的重要性來決定。一般的網(wǎng)絡操作系統(tǒng)都支持光盤、活動硬盤、磁帶與軟盤等多種存儲介質與相應的備份設備。光盤因存儲量大、易于保存和恢復，是一種理想的備份存儲介質。軟盤是一種不太可靠的存儲介質，但造價低，一般只能短期使用。磁帶無論從造價、容量上均適中，但使用起來不太方便。在大中型應用系統(tǒng)及重要數(shù)據(jù)備份上，一般應選擇光盤或活動硬盤作為備份的存儲介質。

(2)選擇備份程序。備份程序可以由網(wǎng)絡操作系統(tǒng)提供，也可以使用第三方開發(fā)的軟件。

(3)建立備份制度。在建立好備份系統(tǒng)后，需要為文件備份制定一張計劃表，規(guī)定多長時間做一次網(wǎng)絡備份以及是否每一次都要備份所有文件。建立備份制度計劃表的第一件事是選擇需要備份的文件和備份的時間。例如，可以選擇每月備份一次網(wǎng)絡用戶、打印服務程序和打印隊列的地址、口令與屬性信息；每周做一次所有網(wǎng)絡文件的全部備份；每天做一次僅從上次備份以來修改過的文件的備份。在制定備份計劃時，還應考慮采用多少個備份版本，以及備份的介質存放在什么地方。同時，應該注意把備份的介質放在一個安全的地方。

(4)確定備份工作執(zhí)行者。確定備份工作執(zhí)行者，這一點很重要，直接關系到備份文件的安全性，一般都應該是網(wǎng)絡管理員親自來做。

10.5

網(wǎng)絡病毒及防范

10.5.1

網(wǎng)絡感染病毒的原因

計算機網(wǎng)絡防病毒是網(wǎng)絡管理員和網(wǎng)絡用戶極為關心的問題。網(wǎng)絡防病毒技術是網(wǎng)絡應用系統(tǒng)設計中必須解決的問題之一。

網(wǎng)絡病毒的危害是人們不可忽視的現(xiàn)實。據(jù)統(tǒng)計，目前70%?的病毒發(fā)生在網(wǎng)絡上。在聯(lián)網(wǎng)微型機上，病毒的傳播速度是單機的20倍，而網(wǎng)絡服務器消除病毒處理所花的時間是單機的40倍。網(wǎng)絡設計人員可能已經(jīng)在文件目錄結構、用戶組織、數(shù)據(jù)安全性、備份與恢復方法上，以及系統(tǒng)容錯技術上采取了嚴格的措施，但是沒有重視網(wǎng)絡防病毒問題。人們在研究引起網(wǎng)絡病毒的多種因素時發(fā)現(xiàn)，將用戶家庭微型機軟盤帶到網(wǎng)絡上運行后，使網(wǎng)絡感染上病毒的事件占病毒事件總數(shù)的41%左右；從網(wǎng)絡電子廣告牌上帶來的病毒約占7%；從軟件商的演示盤中帶來的病毒約占6%；從系統(tǒng)維護盤中帶來的病毒約占6%；從公司之間交換的軟盤帶來的病毒約占2%；其他未知因素約占27%。從統(tǒng)計數(shù)據(jù)中可以看出，引起網(wǎng)絡病毒感染的主要原因在于網(wǎng)絡用戶自身。因此，網(wǎng)絡病毒問題的解決，只能從采用先進的防病毒技術與制定嚴格的用戶使用網(wǎng)絡的管理制度兩方面入手。

10.5.2

網(wǎng)絡病毒的危害

網(wǎng)絡病毒感染一般從用戶工作站開始，而網(wǎng)絡服務器是病毒潛在的攻擊目標，也是網(wǎng)絡病毒潛藏的重要場所。網(wǎng)絡服務器在網(wǎng)絡病毒事件中起著兩種作用：一是它可能被感染，造成服務器癱瘓；二是它可以成為病毒傳播的代理人，在工作站之間迅速傳播與蔓延病毒。網(wǎng)絡病毒的傳染及發(fā)作過程與單機基本相同，它將本身拷貝覆蓋在宿主程序上。當主程序執(zhí)行時，病毒也被啟動，然后再繼續(xù)傳染給其他程序。如果病毒不發(fā)作，宿主程序還能照常運行；當符合某種條件時，病毒便會發(fā)作，它將破壞程序與數(shù)據(jù)。

Internet/Intranet的迅速發(fā)展和廣泛應用給病毒增加了新的傳播途徑，網(wǎng)絡正逐漸成為病毒的第一傳播途徑。Internet/Intranet帶來了兩種不同的安全威脅，一種威脅來自文件下載，這些被瀏覽的或是通過IP下載的文件中可能存在病毒；另一種威脅來自電子郵件。大多數(shù)Internet/Intranet郵件系統(tǒng)提供了在網(wǎng)絡間傳送附件的功能。因此，感染了病毒的文件就可能通過郵件服務器進入網(wǎng)絡，網(wǎng)絡使用的簡易性和開放性使得這種威脅越來越嚴重。10.5.3網(wǎng)絡病毒的特點

1.傳染方式多

病毒入侵網(wǎng)絡的主要途徑是通過工作站傳播到服務器硬盤，再由服務器的共享目錄傳播到其他工作站。但病毒傳染方式比較復雜，常見的傳染方式有：

(1)引導型病毒對工作站或服務器的硬盤引導區(qū)進行傳染。

(2)通過在有盤工作站上執(zhí)行帶毒程序，傳染服務器鏡像盤上的文件。

(3)服務器上的程序若被病毒感染，則所有使用該帶毒程序的工作站都將被感染。

(4)混合型病毒有可能感染工作站上的引導區(qū)。

(5)病毒通過工作站的復制操作進入服務器，進而在網(wǎng)上傳染。

2.傳染速度快

在單機上，病毒只能通過磁盤、光盤等從一臺計算機傳播到另一臺計算機，而在網(wǎng)絡中病毒則可以通過網(wǎng)絡通信機制迅速擴散。由于病毒在網(wǎng)絡中傳染速度非?？?，故其擴展范圍很大，不但能迅速傳染局域網(wǎng)內所有計算機，還能通過遠程工作站將病毒在瞬間傳播到千里之外。

3.清除難度大

在單機上，再頑固的病毒也可通過刪除帶病毒文件，低級格式化硬盤等措施將病毒清除，而網(wǎng)絡中只要有一臺工作站未完全消毒就可使整個網(wǎng)絡全部被病毒重新感染，甚至剛剛完成消毒的一臺工作站也可能很快又被網(wǎng)上另一臺工作站的帶病毒程序感染。

4.破壞性強

網(wǎng)絡上的病毒將直接影響網(wǎng)絡的工作狀況，輕則降低速度，影響工作效率，重則造成網(wǎng)絡癱瘓，破壞服務系統(tǒng)的資源，使多年工作成果毀于一旦?？捎糜诩ぐl(fā)網(wǎng)絡病毒的條件較多，可以是內部時鐘、系統(tǒng)的日期和用戶名，也可以是網(wǎng)絡的一次通信等。病毒程序可以按照設計者的要求，在某個工作站主激活并發(fā)出攻擊。

5.潛在性

網(wǎng)絡一旦感染了病毒，即使病毒已被清除，其潛在的危險也是巨大的。有研究表明，在病毒被消除后，85%的網(wǎng)絡在30天內會被再次感染。10.5.4常見的網(wǎng)絡病毒

1.電子郵件病毒

有毒的通常不是郵件本身，而是其附件，例如擴展名為?.EXE的可執(zhí)行文件，或者是Word、Excel等可攜帶宏程序的文擋。

2.?Java程序病毒

Java因為具有良好的安全性和跨平臺執(zhí)行的能力，成為網(wǎng)頁上最流行的程序設計語言，由于它可以跨平臺執(zhí)行，因此不論是Windows9X/NT還是UNIX工作站，甚至是CRA