五 网络安全

2.5网络安全
2.5.1正确认识网络安全问题
    信息安全从最初的通信安全，发展到之后的计算机安全，发展到现在的网络安全，已
经进入了第三个阶段。
    网络安全即在分布网络环境中，对信息载体（处理载体、存储载体、传输载体）和信
息的处理、传输、存储、访问提供安全保护，以防止数据、信息内容或能力被非授权使用
、篡改和拒绝服务。网络安全具有类似信息安全的属性：机密性、完整性、可用性、可审
性。
随着计算机网络在世界范围内的高速发展，网络安全问题越来越多地暴露也越来越为更多
的人所重视。由于网络本身的机构特性，使得对于网络的攻击可以远程化，并且攻击技术
的传播速度以指数方式增长。各种自动化的攻击工具大量出现，一旦一个工具公诸于世，
任何人都可以下载和使用它，使得它变得不可控制。
    对于网络安全有两种错误认识：一种是忽视网络安全的作用，把问题简单化，认为采
用一些常用手段就能保持网络长治久安。这种认识没有看到网络安全的重要性和负责性。
另一种错误认识更为常见，认为信息安全就是网络安全，把两者等同起来，这又是夸大了
网络安全问题，这种认识在一般计算机用户人群中尤为常见。事实上既要看到网络安全问
题很重要，也要看到网络安全只是信息安全领域的一小部分，并不是信息安全的全部。根
据木桶原理，系统的安全性取决于系统安全性最弱的部分，所以信息安全的各个组成部分
都非常重要，不存在搞好了一个部分就可以忽视其它，高枕无忧的可能。
2.5.2网络安全模型
   一个常见的网络安全模型即PPDRR处理模型如下图所示。它包括安全策略(Policy)，防
护技术(Protection)，入侵检测(Detection)，攻击反应(Response)，灾难恢复(Restore)
（生存技术）等部分。

2.5.3安全增强协议
    现在最流行的异构网络互联协议TCP/IP协议簇在设计之初并没有考虑安全性问题。目
前出于安全的考虑，已经开发了一些针对TCP/IP的各个层次的安全协议，目的都是增强特
定协议层次的安全性。当然，这些都只是某种形式的修补，无法从本质上保证网络安全。

网络不同层次提供的安全服务参见下图：


链路层安全
   可以采取以下措施来增强链路层的安全性：安装或租用专门通信设施；实施点到点身份
认证、提供保密性；提供数据流安全但是不提供终端用户认证和用户间保密。

网络层安全
    最重要的是IP安全性（IPSec），包括认证、保密和密钥管理等三方面。
    IPSec运行在IP层和传输层TCP、UDP之间，提供了在LAN，WAN，和互联网中安全通信的
能力。IPSec能够支持各种应用的原理在于它可以在IP层加密和/或认证所有流量，这样可
以保护所有分布式应用，包括远程登录、客户/服务器、电子邮件、文件传输、Web访问等
，IPSec的重要优点就是对终端用户透明。
   IPSec通过允许系统选择需要的安全协议，决定服务所使用的算法和提供任何服务需要
的密钥来提供IP级的安全服务。两种协议都提供安全性：一个是使用AH协议报头的认证协
议，另一个是为数据包设计的加密/认证协议ESP。其提供了如下服务：访问控制、无连接
完整性、数据源认证、拒绝包重放、保密性、限制流量保密性、而且AH和ESP均支持传输模
式和隧道模式。IPSec的问题在于需要建立标准密钥管理(难以实现)，并且降低了网络的性
能。

安全套接层和传输层安全
    SSL(Secure Socket Layer)是由Netscape设计的一种开放协议，它指定了一种在应用
程序协议(例如http、telnet、NNTP、FTP)和TCP/IP之间提供数据安全性分层的机制。它为
TCP/IP连接提供数据加密、服务器认证、消息完整性以及可选的客户机认证。SSL被设计成
使用TCP来提供可靠的端到端安全服务。可以在两个通信结点间建立安全的TCP连接，分为
协商层和记录层。SSL记录协议为SSL提供了保密性和消息完整性。
    SSL的优点在于：基于进程对进程的安全服务和加密传输信道，用公钥体系做身份认证
。它的缺点也很明显：它对应用层不透明，不适用基于UDP的通信，需要证书授权中心CA，
不提供访问控制。
    1996年4月，IETF授权一个传输层安全(TLS)工作组着手制定一个传输层安全协议(TLS
P)，以便作为标准提案向IESG正式提交。TLSP将会在许多地方酷似SSL。

应用层安全技术
    应用层安全技术内容很丰富。
    常见专用应用层安全服务有：针对电子邮件S/MIME和OPENPGP；私用增强邮件PEM（基
于公钥基础设施PKI）；超文本传输协议安全增强版S-HTTP，提供文件级的安全机制；安全
电子交易SET，是一种开放的加密安全规范用于保护互联网上的信用卡交易，为交易各方提
供安全的信道,通过使用X.509v数字证书提供信任。
    常见通用应用层安全服务有：通用安全服务API-GSS-API；MIT 的Kerberos，为分布式
计算环境提供了一种对用户双方进行验证的认证方法，是一种被证明为非常安全的双向身
份认证技术，其身份认证强调了客户机对服务器的认证，而别的身份认证技术往往只解决
了服务器对客户机的认证；OSF的DCE-Web；HP 的CORBA-Web等。

2.5.4网络安全重要问题
    迄今为止，很多网络安全技术已经成功地应用到大大小小的计算机网络中。这些技术
对于提升网络安全性，防御入侵者的各种攻击手段起到了积极的作用。

防火墙
    防火墙是一种有效的防御工具，当通过广域网和Internet访问内部的主机或者网络时
，以及通过内部的主机或者网络访问外部系统时，防火墙可使系统免受网络安全方面的威
胁，相当于隔离了内部网和Internet网络。防火墙被嵌入在驻地网和Internet之间，从而
建立受控制的连接并形成外部安全墙或者说边界。这个边界的目的在于防止驻地网受到来
自Internet的攻击，并在安全性将受到影响的地方形成阻塞点。
    防火墙是网络安全的第一道屏障，虽然防火墙提供保护的能力各种各样，但是总体上
讲，已有的IP防火墙技术大体上可以分成以下三种：
⑴包过滤防火墙
包过滤防火墙的安全性基于对包的IP地址的校验。它将所有通过的信息包中发送方和接受
方的IP地址、端口、TCP链路状态等信息读出，并按照预先设定的过滤原则过滤信息包。那
些不符合规定的包被防火墙过滤掉，从而保证网络系统的安全。
⑵代理防火墙
代理服务是运行于内部网络与外部网络之间的主机（堡垒主机）之上的一种应用。当用户
需要访问代理服务器另一侧主机时，对符合安全规则的连接，代理服务器会代替主机响应
，并重新向主机发出一个相同的请求。当此连接建立之后，内部主机和外部主机之间的通
信将通过代理程序的连接映射实现。代理对于用户透明，保证内部网络拓扑结构等重要信
息被限制在代理网关内侧，从而减少了黑客攻击时所需的必要信息。
⑶状态监控技术
网络状态监控技术普遍被认为是下一代的网络安全技术。它采用捕捉网络数据包的方法对
网络通信的各个层次实行检测，并作为安全决策的依据。监视模块支持多种网络协议和应
用协议，可以方便的实现应用和服务扩充。状态监视服务可以监视RPC和UDP端口信息，而
包过滤和代理服务则无法做到。
    早期的防火墙由单一设备（如过滤路由器和堡垒主机）构造安全的网络边界，如屏蔽
子网结构或单点堡垒主机。现在，构造安全网络边界的防火墙需要相关的安全服务完成控
制粒度更细的安全服务。一般的相关服务有认证服务器、授权服务器、中心策略管理设备
以及相应的远程管理服务、状态监视服务器等。
    防火墙的局限性在于：不能防御绕过了它的攻击；不能消除来自内部的威胁；不能阻
止病毒感染过的程序和文件进出网络，例如反弹端口型木马常常能轻松地穿透防火墙。

防火墙的一般工作原理是根据过滤规则，决定某个包是否允许或者某个连接是否允许。目
前的防火墙还不具有足够的智能，黑客精心设计的扫描和入侵方法也有可能穿透防火墙。


入侵检测
    如果说防火墙是系统的第一道防线，那么入侵检测就是系统的第二道防线，这也是最
近几年网络安全方面研究的热点之一。
    入侵检测技术建立在一个基本的假设的前提上，即入侵者的行为在某些情况下不同于
合法用户的行为。当然，入侵的攻击和合法用户正常使用资源的差别不可能十分明显，甚
至他们的行为还有相似之处，这也是造成入侵检测难以实现的主要困难。
    入侵检测一般有两种方法，即统计异常检测和基于规则的检测。
⑴统计异常检测
    统计异常检测分成两类：阙值检测和基于轮廓的检测。
    阙值检测与一段时间间隔内特殊事件发生的次数有关。如果发生次数超过期望的合理
次数，则认为可能存在入侵。阙值分析本身是粗糙而效率不高的检测器。因为阙值和时间
间隔必须事先选定，而用户是不断变化的，阙值检测很可能导致大量错误肯定或错误否定
。
    基于轮廓的异常检测归纳出每个用户过去的行为特征或用户组过去行为的特征，用于
发现有重大偏差的行为。轮廓可能包含多个参数集，所以只发生一个参数的偏差不足以产
生一个警告。
⑵基于规则的入侵检测
    基于规则的入侵检测是通过观察系统中的时间，运用规则集判断一个给定的活动模式
是否可疑。在一般情况下，我们将所有的方法分为异常检测和渗透鉴别，尽管这两类方法
有重叠部分。
    基于规则的异常检测在方法与强度上类似统计异常检测。使用基于规则的方法分析历
史审计记录，确定使用模式，并自动产生描述此模式的规则。规则是表示用户程序特权时
间槽中断等过去行为的模式。通过观察当前行为，将每个行为与匹配规则集进行匹配，判
定它是否符合某个历史行为模式。
    与统计异常检测一样，给予规则的异常检测不用知道系统内部的安全脆弱方面的知识
。而且，此方法建立在对过去行为的观察之上，假设将来的行为类似于过去的行为。这个
方法若要有效，需要包含大量规则的数据库。
    基于规则的渗透鉴别是与入侵检测不同的方法，它建立在专家系统技术之上。这种系
统的关键特征在于要使用规则去鉴别一致的渗透或利用已知弱点的渗透。规则可用来识别
可疑行为，即使这个行为符合已建立的使用模式。通常，这些系统中的规则与特定的机器
和操作系统有关。而且，这些规则不是由分析审计记录产生的，而是由专家定义的。因此
，此方法的好坏取决于建立这些规则的技术。
    入侵检测系统想要实用化，则必须保证在可接受的虚假报警率下，检测到大量的入侵
。如果只能检测到少量入侵，则系统给人以安全的假相，如果没有入侵而系统频繁报警，
系统管理员可能开始忽略这些报警，或浪费大量时间分析此次虚假报警。可惜，由于概率
自身的特点，很难符合既要有高检测率又要有低虚假报警率的标准。目前的入侵检测系统
没有克服基于比率的错误问题。
    入侵检测技术中相对较新的创新是蜜罐。蜜罐是引诱潜在的攻击者远离重要系统的一
个圈套。蜜罐的功能是：转移攻击重要系统的攻击者，搜集攻击者活动的信息，希望攻击
者逗留足够长的时间以便管理员对此攻击做出响应。
    蜜罐中充满合法用户无法访问、但表面看起来有价值的虚假信息。因此，任何对蜜罐
的访问都是可以的。蜜罐系统使用的工具包括灵敏的监视器和时间日志。任何对蜜罐的攻
击，系统都会给出攻击成功的假象。
    最近的研究集中在建立整个蜜罐网络，用来模拟一个企业，其中会使用到实际的活动
模拟的通信量和数据。一旦黑客进入这个网络，管理员就能详细观察他们的行为，找出防
范措施。

虚拟专用网
    VPN是指在公用网络上建立专用网络的技术，之所以称为虚拟网主要是因为整个VPN网
络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用
网络服务商所提供的网络平台（如Internet，ATM，帧中继等）之上的逻辑网络。
    VPN具有以下优点：降低成本，企业不必租用长途专线建设专网，不必大量的网络维护
人员和设备投资；容易扩展，网络路由设备配置简单，无需增加太多设备，省时省钱；完
全控制主动权，VPN的设施和服务完全掌握在企业手里。
    VPN通过采用隧道技术，并在Internet或国际互联网工程工作组制定的IPSec标准统一
下，在公众网中形成企业的安全、机密、顺畅的专用链路。常见的VPN协议有IPSec和PPTP
。

拒绝服务攻击  
    拒绝服务攻击和分布式拒绝服务攻击开始成为黑客的常用手段。如果能够调动足够多
的受控电脑进行攻击，服务器难以防御，因而对计算机网络威胁极大。2000年，雅虎、亚
马逊、电子港湾、CNN等受到拒绝服务攻击纷纷陷入瘫痪。另一方面 ，分布式拒绝服务攻
击常常采用伪造抵制并且涉及多个攻击源，因此对攻击者的追踪定位非常困难。目前对这
两种攻击方式还没有好的解决办法。根本的原因在于对于它们尚没有合理的数学模型，所
以相应的安全机制也没有实现。
    服务拒绝攻击企图通过使你的服务计算机崩溃或把它压垮来阻止你提供服务，服务拒
绝攻击是最容易实施的攻击行为，主要包括：死亡之 ping ( ping of death )、 泪滴(
teardrop )、UDP 洪水 ( UDP flood )、SYN 洪水 ( SYN flood )、Land 攻击、Smurf 攻
击、Fraggle 攻击、电子邮件炸弹、畸形消息攻击等等。

Nsun 2004