網路安全論文–淺析計算機網路安全技術

網路安全論文–淺析計算機網路安全技術摘要：文中就資訊網路安全內涵發生的根本變化，闡述我國發展民族資訊保安體系的重要性及建立有中國特色的網路安全體系的必要性。論述了網路防火牆安全技術的分類及其主要技術特徵。            

  1.概述       

 21世紀全世界的計算機都將通過Internet聯到一起，資訊保安的內涵也就發生了根本的變化。隨著網際網路的飛速發展，網路安全逐漸成為一個潛在的巨大問題。網路安全性是一個涉及面很廣泛的問題，其中也會涉及到是否構成犯罪行為的問題。它不僅從一般性的防衛變成了一種非常普通的防範，而且還從一種專門的領域變成了無處不在。當人類步入21世紀這一資訊社會、網路社會的時候，我國將建立起一套完整的網路安全體系，特別是從政策上和法律上建立起有中國自己特色的網路安全體系。     

   一個國家的資訊保安體系實際上包括國家的法規和政策，以及技術與市場的發展平臺。我國在構建資訊防衛系統時，應著力發展自己獨特的安全產品，我國要想真正解決網路安全問題，最終的辦法就是通過發展民族的安全產業，帶動我國網路安全技術的整體提高。     

   網路安全產品有以下幾大特點：  

   第一，網路安全來源於安全策略與技術的多樣化，如果採用一種統一的技術和策略也就不安全了；   

 第二，網路的安全機制與技術要不斷地變化；第三，隨著網路在社會個方面的延伸，進入網路的手段也越來越多，因此，網路安全技術是一個十分複雜的系統工程。為此建立有中國特色的網路安全體系，需要國家政策和法規的支援及集團聯合研究開發。安全與反安全就像矛盾的兩個方面，總是不斷地向上攀升，所以安全產業將來也是一個隨著新技術發展而不斷髮展的產業。    

    資訊保安是國家發展所面臨的一個重要問題。對於這個問題，我們還沒有從系統的規劃上去考慮它，從技術上、產業上、政策上來發展它。zhengfu不僅應該看見資訊保安的發展是我國高科技產業的一部分，而且應該看到，發展安全產業的政策是資訊保安保障系統的一個重要組成部分，甚至應該看到它對我國未來電子化、資訊化的發展將起到非常重要的作用。      

 2.防火牆   

    網路防火牆技術是一種用來加強網路之間訪問控制，防止外部網路使用者以非法手段通過外部網路進入內部網路，訪問內部網路資源，保護內部網路操作環境的特殊網路互聯裝置。它對兩個或多個網路之間傳輸的資料包如連結方式按照一定的安全策略來實施檢查，以決定網路之間的通訊是否被允許，並監視網路執行狀態。 目前的防火牆產品主要有堡壘主機、包過濾路由器、應用層閘道器(代理伺服器)以及電路層閘道器、遮蔽主機防火牆、雙宿主機等型別。    雖然防火牆是目前保護網路免遭黑客襲擊的有效手段，但也有明顯不足：無法防範通過防火牆以外的其它途徑的攻擊，不能防止來自內部變節者和不經心的使用者們帶來的威脅，也不能完全防止傳送已感染病毒的軟體或檔案，以及無法防範資料驅動型的攻擊。 

   自從1986年美國Digital公司在Internet上安裝了全球第一個商用防火牆系統，提出了防火牆概念後，防火牆技術得到了飛速的發展。國內外已有數十家公司推出了功能各不相同的防火牆產品系列。       防火牆處於5層網路安全體系中的最底層,屬於網路層安全技術範疇。在這一層上,企業對安全系統提出的問題是:所有的IP是否都能訪問到企業的內部網路系統?如果答案是“是”,則說明企業內部網還沒有在網路層採取相應的防範措施。       作為內部網路與外部公共網路之間的第一道屏障,防火牆是最先受到人們重視的網路安全產品之一。雖然從理論上看,防火牆處於網路安全的最底層,負責網路間的安全認證與傳輸,但隨著網路安全技術的整體發展和網路應用的不斷變化,現代防火牆技術已經逐步走向網路層之外的其他安全層次,不僅要完成傳統防火牆的過濾任務,同時還能為各種網路應用提供相應的安全服務。另外還有多種防火牆產品正朝著資料安全與使用者認證、防止病毒與黑客侵入等方向發展。    

   根據防火牆所採用的技術不同,我們可以將它分為四種基本型別:包過濾型、網路地址轉換—NAT、代理型和監測型。      

  2.1.包過濾型  

     包過濾型產品是防火牆的初級產品,其技術依據是網路中的分包傳輸技術。網路上的資料都是以“包”為單位進行傳輸的,資料被分割成為一定大小的資料包,每一個資料包中都會包含一些特定資訊,如資料的源地址、目標地址、TCP/UDP源埠和目標埠等。防火牆通過讀取資料包中的地址資訊來判斷這些“包”是否來自可信任的安全站點 ,一旦發現來自危險站點的資料包,防火牆便會將這些資料拒之門外。系統管理員也可以根據實際情況靈活制訂判斷規則。  

     包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況下,能夠以較小的代價在一定程度上保證系統的安全。但包過濾技術的缺陷也是明顯的。包過濾技術是一種完全基於網路層的安全技術,只能根據資料包的來源、目標和埠等網路資訊進行判斷,無法識別基於應用層的惡意侵入,如惡意的Java小程式以及電子郵件中附帶的病毒。有經驗的黑客很容易偽造IP地址,騙過包過濾型防火牆。  

    2.2.網路地址轉化—NAT  

     網路地址轉換是一種用於把IP地址轉換成臨時的、外部的、註冊的IP地址標準。它允許具有私有IP地址的內部網路訪問因特網。它還意味著使用者不許要為其網路中每一臺機器取得註冊的IP地址。       在內部網路通過安全網路卡訪問外部網路時，將產生一個對映記錄。系統將外出的源地址和源埠對映為一個偽裝的地址和埠，讓這個偽裝的地址和埠通過非安全網路卡與外部網路連線，這樣對外就隱藏了真實的內部網路地址。在外部網路通過非安全網路卡訪問內部網路時，它並不知道內部網路的連線情況，而只是通過一個開放的IP地址和埠來請求訪問。OLM防火牆根據預先定義好的對映規則來判斷這個訪問是否安全。當符合規則時，防火牆認為訪問是安全的，可以接受訪問請求，也可以將連線請求對映到不同的內部計算機中。當不符合規則時，防火牆認為該訪問是不安全的，不能被接受，防火牆將遮蔽外部的連線請求。網路地址轉換的過程對於使用者來說是透明的，不需要使用者進行設定，使用者只要進行常規操作即可。  

     2.3.代理型  

     代理型防火牆也可以被稱為代理伺服器,它的安全性要高於包過濾型產品,並已經開始嚮應用層發展。代理伺服器位於客戶機與伺服器之間,完全阻擋了二者間的資料交流。從客戶機來看,代理伺服器相當於一臺真正的伺服器;而從伺服器來看,代理伺服器又是一臺真正的客戶機。當客戶機需要使用伺服器上的資料時,首先將資料請求發給代理伺服器,代理伺服器再根據這一請求向伺服器索取資料,然後再由代理伺服器將資料傳輸給客戶機。由於外部系統與內部伺服器之間沒有直接的資料通道,外部的惡意侵害也就很難傷害到企業內部網路系統。       代理型防火牆的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基於應用層的侵入和病毒都十分有效。其缺點是對系統的整體效能有較大的影響,而且代理伺服器必須針對客戶機可能產生的所有應用型別逐一進行設定,大大增加了系統管理的複雜性。    

   2.4.監測型       

監測型防火牆是新一代的產品,這一技術實際已經超越了最初的防火牆定義。監測型防火牆能夠對各層的資料進行主動的、實時的監測,在對這些資料加以分析的基礎上,監測型防火牆能夠有效地判斷出各層中的非法侵入。同時,這種檢測型防火牆產品一般還帶有分散式探測器,這些探測器安置在各種應用伺服器和其他網路的節點之中,不僅能夠檢測來自網路外部的攻擊,同時對來自內部的惡意破壞也有極強的防範作用。據權威機構統計,在針對網路系統的攻擊中,有相當比例的攻擊來自網路內部。因此,監測型防火牆不僅超越了傳統防火牆的定義,而且在安全性上也超越了前兩代產品  

    雖然監測型防火牆安全性上已超越了包過濾型和代理伺服器型防火牆,但由於監測型防火牆技術的實現成本較高,也不易管理,所以目前在實用中的防火牆產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監測型防火牆。基於對系統成本與安全技術成本的綜合考慮,使用者可以選擇性地使用某些監測型技術。這樣既能夠保證網路系統的安全性需求,同時也能有效地控制安全系統的總擁有成本。  

    實際上,作為當前防火牆產品的主流趨勢,大多數代理伺服器(也稱應用閘道器)也整合了包過濾技術,這兩種技術的混合應用顯然比單獨使用具有更大的優勢。由於這種產品是基於應用的,應用閘道器能提供對協議的過濾。例如,它可以過濾掉FTP連線中的PUT命令,而且通過代理應用,應用閘道器能夠有效地避免內部網路的資訊外洩。正是由於應用閘道器的這些特點,使得應用過程中的矛盾主要集中在對多種網路應用協議的有效支援和對網路整體效能的影響上。