◆李光燦

（重慶大學(xué)附屬三峽醫(yī)院信息數(shù)據(jù)部 重慶 404000）

1 引言

隨著計(jì)算機(jī)網(wǎng)絡(luò)的廣泛使用，不斷地增強(qiáng)網(wǎng)絡(luò)的安全防護(hù)技術(shù)有助于保證網(wǎng)絡(luò)信息的安全性。所以，不斷地研究探討網(wǎng)絡(luò)使用中的安全防護(hù)技術(shù)便非常有必要。

2 信息加密

加密是網(wǎng)絡(luò)安全的核心技術(shù)，是傳輸安全的基礎(chǔ)，包括數(shù)據(jù)加密、消息摘要、數(shù)字簽名和密鑰交換等，可以實(shí)現(xiàn)保密性、完整性和不可否認(rèn)性等基本安全目標(biāo)。

2.1 密碼學(xué)與密碼體制

密碼學(xué)是網(wǎng)絡(luò)信息安全的基礎(chǔ)，包括編碼學(xué)和分析學(xué)兩部分。密碼編碼學(xué)研究如何構(gòu)造一個符合安全要求的密碼系統(tǒng)，密碼分析學(xué)試圖破譯加密算法和密鑰，兩者相互對立又相互促進(jìn)。密碼體制是指加密系統(tǒng)采用的基本工作方式，由加密/解密算法和密鑰組成，按照加密密鑰是否可以公開，分為對稱加密體制和非對稱加密體制兩大類，也稱為單鑰體制和雙鑰體制。

2.2 數(shù)據(jù)加/解密技術(shù)

（1）加密算法：加密算法可分為對稱密鑰算法、公鑰算法、散列算法（消息摘要）等。

（2）網(wǎng)絡(luò)加密方式：網(wǎng)絡(luò)通信可在通信的三個不同層次實(shí)現(xiàn)加密，即鏈路加密、節(jié)點(diǎn)加密和端到端加密。

（3）密碼分析：密碼分析指在不知道解密密鑰的情況下，對加密信息進(jìn)行解密，其目標(biāo)是尋找密碼算法的弱點(diǎn)，并根據(jù)這些弱點(diǎn)對密碼進(jìn)行破譯。

2.3 認(rèn)證技術(shù)

認(rèn)證技術(shù)是指用于驗(yàn)證所傳輸數(shù)據(jù)的完整性的過程，一般分為消息認(rèn)證和身份認(rèn)證兩種技術(shù)。消息認(rèn)證用于保證信息的完整性和不可否認(rèn)性，它可以檢測信息是否被第三方篡改或偽造。消息認(rèn)證包括消息認(rèn)證碼、安全散列函數(shù)和數(shù)字簽名三大類。身份認(rèn)證是指用戶要向系統(tǒng)證明他就是他所聲稱的用戶，包括身份識別和身份驗(yàn)證。身份認(rèn)證就是證實(shí)用戶的真實(shí)身份是否與其申明的身份相符的過程，是為了限制非法用戶訪問網(wǎng)絡(luò)資源，是其他所有安全機(jī)制的基礎(chǔ)。

2.4 公鑰基礎(chǔ)設(shè)施（PKI）

PKI是利用公鑰理論和技術(shù)，為網(wǎng)絡(luò)數(shù)據(jù)和其他資源提供信息安全服務(wù)的基礎(chǔ)設(shè)施。廣義上說，所有提供公鑰加密和數(shù)字簽名服務(wù)的系統(tǒng)都可以稱為PKI。PKI采用證書管理公鑰，通過認(rèn)證機(jī)構(gòu)（CA）把用戶的公鑰和其他標(biāo)識信息綁定，實(shí)現(xiàn)用戶身份驗(yàn)證。PKI很好地解決了對稱密碼技術(shù)中共享密鑰的分發(fā)管理問題，在具有加密數(shù)據(jù)功能的同時也具備數(shù)字簽名功能，目前已形成一套完整的互聯(lián)網(wǎng)安全解決方案。

3 訪問控制

訪問控制是網(wǎng)絡(luò)防護(hù)的核心策略。它基于身份認(rèn)證，規(guī)定了用戶和進(jìn)程對系統(tǒng)和資源訪問的限制，目的是保證網(wǎng)絡(luò)資源受控且合法地使用，用戶只能根據(jù)自身權(quán)限訪問系統(tǒng)資源，不能越權(quán)訪問。常見的訪問控制技術(shù)有：

（1）自主訪問控制：基于擁有者的訪問控制，擁有者可以將該資源的訪問權(quán)限隨意賦予其他主體，一般采用訪問控制矩陣實(shí)現(xiàn)，一行表示一個主體，一列表示一個受保護(hù)的客體。具體實(shí)現(xiàn)訪問控制矩陣的方法分為基于行的訪問能力表和基于列的訪問控制表兩種。

自主訪問控制在一定程度上實(shí)現(xiàn)了權(quán)限隔離和資源保護(hù)，但是其資源管理較為分散，沒有統(tǒng)一的全局控制。

（2）強(qiáng)制訪問控制：系統(tǒng)強(qiáng)制主體服從訪問控制政策。管理員根據(jù)主體和客體各自的安全屬性之間的關(guān)系，決定主體對客體能否執(zhí)行特定操作，不允許主體直接或間接修改自身或任何客體的安全屬性，也不能將自己擁有的訪問權(quán)限授予其他主體。強(qiáng)制訪問控制特別適合于多層次安全級的系統(tǒng)，其主要缺陷在于不夠靈活，實(shí)現(xiàn)工作量較大。

（3）基于角色的訪問控制：核心思想是將訪問權(quán)限與角色相聯(lián)系，包括三個實(shí)體，即用戶、角色和權(quán)限。角色是根據(jù)不同任務(wù)需要而設(shè)置的，用戶可以在角色間進(jìn)行轉(zhuǎn)換，系統(tǒng)可以添加或刪除角色，也可以對角色的權(quán)限進(jìn)行添加或刪除。基于角色的訪問控制具有以下特點(diǎn)：以角色作為訪問控制的主體；每個角色可以繼承其他角色權(quán)限；最小權(quán)限原則，即用戶權(quán)限不超過其執(zhí)行工作所需權(quán)限。

4 防火墻

防火墻是指在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間，對網(wǎng)絡(luò)流量或訪問行為實(shí)施訪問控制的一系列安全組件或設(shè)備，從技術(shù)上分類，它屬于網(wǎng)絡(luò)訪問控制機(jī)制。它通常工作在可信內(nèi)部網(wǎng)絡(luò)和不可信外部網(wǎng)絡(luò)之間的邊界，其所遵循的原則是在保證網(wǎng)絡(luò)暢通的前提下，盡可能保障內(nèi)部網(wǎng)絡(luò)的安全。它是一種被動的技術(shù)，也是一種靜態(tài)安全組件。

防火墻的主要功能有：（1）服務(wù)控制：只允許子網(wǎng)間相互交換與特定服務(wù)有關(guān)的信息。（2）方向控制：只允許由某個特定子網(wǎng)的終端發(fā)起的與特定服務(wù)相關(guān)的信息通過。（3）用戶控制：為每個用戶設(shè)定訪問權(quán)限，對訪問資源的用戶進(jìn)行認(rèn)證，實(shí)現(xiàn)用戶的訪問控制。（4）行為控制：對訪問資源的操作行為進(jìn)行控制和記錄，可記錄各種非法活動，過濾非法內(nèi)容等。

防火墻也存在不少缺陷，主要包括：（1）不能防范不經(jīng)過防火墻的攻擊。（2）不能防范來自內(nèi)網(wǎng)的攻擊。（3）不能防范病毒、后門、木馬和數(shù)據(jù)驅(qū)動攻擊。（4）只能防范已知威脅，難以防御新的威脅。

5 入侵防御

入侵防御系統(tǒng)是指通過對行為、安全日志、審計(jì)數(shù)據(jù)或其他網(wǎng)絡(luò)上可以獲得的信息進(jìn)行操作，檢測到對系統(tǒng)的入侵或入侵企圖，并及時采取行動阻止入侵。入侵防御系統(tǒng)是一種主動安全技術(shù)，不僅可以檢測來自外部的入侵行為，同時可以檢測來自網(wǎng)絡(luò)內(nèi)部用戶的未授權(quán)活動和誤操作，可有效彌補(bǔ)防火墻的不足。它通常與防火墻聯(lián)合，把攻擊攔截在防火墻外。與防火墻的不同之處在于，入侵防御主要檢測內(nèi)部網(wǎng)絡(luò)流的信息流模式，及時報警并通知管理員。

入侵防御系統(tǒng)的主要功能包括：（1）識別常用入侵和攻擊手段。（2）監(jiān)控并記錄網(wǎng)絡(luò)異常通信。（3）鑒別對系統(tǒng)漏洞或后門的利用。（4）實(shí)時對檢測到的入侵進(jìn)行報警。（5）及時提供響應(yīng)機(jī)制，阻止入侵繼續(xù)進(jìn)行。

入侵防御系統(tǒng)目前還存在不少問題：（1）攻擊技術(shù)不斷更新，檢測手段容易被繞過，入侵防御系統(tǒng)很難及時跟蹤最新的攻擊技術(shù)。（2）入侵防御系統(tǒng)通常假設(shè)攻擊信息是明文傳輸?shù)?，加密的惡意信息可以較輕松地逃避檢測。（3）網(wǎng)絡(luò)設(shè)備多樣化，入侵防御系統(tǒng)需要協(xié)調(diào)和適應(yīng)多樣性的環(huán)境。（4）用戶需要入侵防御系統(tǒng)實(shí)時報警，因此需要對大規(guī)模數(shù)據(jù)實(shí)時分析。（5）各廠家各自為戰(zhàn)，缺乏統(tǒng)一的標(biāo)準(zhǔn)，使得產(chǎn)品間互通很困難。（6）大量的誤報和漏報使得發(fā)現(xiàn)真正的入侵非常困難。

6 惡意代碼防范

所謂惡意代碼實(shí)質(zhì)是一種在一定環(huán)境下可以獨(dú)立執(zhí)行的指令集或嵌入到其他程序中的代碼。惡意代碼可分為以下幾類：（1）不具有復(fù)制能力的依附性惡意代碼，包括木馬、邏輯炸彈、后門。（2）不具有復(fù)制能力的獨(dú)立性惡意代碼，包括木馬生成器、惡作劇、木馬、后門。（3）具有自我復(fù)制能力的依附性惡意代碼，包括病毒。（4）具有自我復(fù)制能力的獨(dú)立性惡意代碼，包括蠕蟲、惡意腳本、僵尸、計(jì)算機(jī)細(xì)菌。

針對不同類別的惡意代碼，防范方法各有不同，但是使用的防范技術(shù)類似，主要包括：（1）基于特征的掃描技術(shù)：反病毒引擎最常用的技術(shù)。首先建立惡意代碼的特征文件，在掃描時根據(jù)特征進(jìn)行匹配查找。（2）校驗(yàn)和法：在系統(tǒng)未被感染前，對檢測的正常文件生成其校驗(yàn)和值，然后周期性地檢測文件的改變情況。（3）沙箱技術(shù)：根據(jù)可執(zhí)行程序需要的資源和擁有的權(quán)限建立程序的運(yùn)行沙箱。每個程序都運(yùn)行在自己的沙箱中，無法影響其他程序的運(yùn)行，在沙箱中可以檢測和分析惡意代碼的行為。（4）基于蜜罐的檢測技術(shù)：蜜罐是虛擬系統(tǒng)，偽裝成有許多服務(wù)的服務(wù)器主機(jī)以吸引黑客攻擊，同時安裝強(qiáng)大的監(jiān)測系統(tǒng)，用于監(jiān)測惡意代碼的攻擊過程。

7 安全審計(jì)與查證

網(wǎng)絡(luò)安全審計(jì)是指在特定網(wǎng)絡(luò)環(huán)境下，為了保障網(wǎng)絡(luò)系統(tǒng)和信息資源不受外網(wǎng)和內(nèi)網(wǎng)用戶的入侵和破壞，運(yùn)用各種技術(shù)手段實(shí)時收集和監(jiān)控網(wǎng)絡(luò)各組件的安全狀態(tài)和安全事件，以便集中報警、分析和處理的一種技術(shù)。它作為一種新的概念和發(fā)展方向，已經(jīng)出現(xiàn)許多產(chǎn)品和解決方案，如上網(wǎng)行為監(jiān)控、信息過濾等。

安全審計(jì)對于系統(tǒng)安全的評價、對攻擊源和攻擊類型與危害的分析、對完整證據(jù)的收集至關(guān)重要，其主要作用包括：（1）對潛在攻擊者起到震懾或警告作用。（2）對已發(fā)生的系統(tǒng)破壞行為提供有效證據(jù)。（3）提供有價值的日志，幫助管理員發(fā)現(xiàn)系統(tǒng)入侵行為或潛在系統(tǒng)漏洞。（4）提供系統(tǒng)運(yùn)行的統(tǒng)計(jì)日志，發(fā)現(xiàn)系統(tǒng)性能的脆弱點(diǎn)。

安全審計(jì)主要包括以下內(nèi)容：（1）網(wǎng)絡(luò)設(shè)備審計(jì)：路由器、交換機(jī)、防火墻、入侵檢測設(shè)備、主機(jī)、服務(wù)器等，主要審計(jì)配置信息、用戶權(quán)限、鏈路帶寬等。（2）日志文件審計(jì)：日志記錄了系統(tǒng)運(yùn)行情況，通過它可以檢查發(fā)生錯誤的原因，或發(fā)現(xiàn)攻擊痕跡。（3）安全威脅審計(jì)：未經(jīng)授權(quán)的資源訪問、未經(jīng)授權(quán)的數(shù)據(jù)修改和操作、拒絕服務(wù)等。

8 結(jié)束語

通過以上幾種網(wǎng)絡(luò)安全防護(hù)技術(shù)的使用，有效地解決了計(jì)算機(jī)網(wǎng)絡(luò)的安全問題。計(jì)算機(jī)網(wǎng)絡(luò)的安全防護(hù)是一項(xiàng)系統(tǒng)化的大工程，網(wǎng)絡(luò)安全防護(hù)技術(shù)需要不斷地研發(fā)與推進(jìn)?，F(xiàn)代的網(wǎng)絡(luò)使用者，對于隱蔽的網(wǎng)絡(luò)安全隱患的重視程度還有待提高，應(yīng)該加強(qiáng)網(wǎng)絡(luò)安全防護(hù)技術(shù)的普及，營造安全的網(wǎng)絡(luò)使用環(huán)境。