計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全威脅及對(duì)策

陳蔚

摘 要：計(jì)算機(jī)信息技術(shù)的不斷發(fā)展，使得高校和各類(lèi)企事業(yè)單位都建立了自有的局域網(wǎng)絡(luò)平臺(tái)，并通過(guò)網(wǎng)絡(luò)接入設(shè)備與互聯(lián)網(wǎng)相互連接，或通過(guò)Internet的VPN通道連接方式，形成了自己?jiǎn)挝幌到y(tǒng)內(nèi)部使用的廣域網(wǎng)絡(luò)平臺(tái)，進(jìn)行著對(duì)外信息發(fā)布、信息查詢和內(nèi)部業(yè)務(wù)的應(yīng)用，這就使得網(wǎng)絡(luò)系統(tǒng)隨時(shí)可能遭受各種網(wǎng)絡(luò)侵襲和物理環(huán)境因素的影響而陷于癱瘓，造成巨大的損失。本文主要介紹了計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)所承受的安全威脅形式以及可以采取的應(yīng)對(duì)策略。

關(guān)鍵詞：安全威脅；訪問(wèn)控制

中圖分類(lèi)號(hào)： TP393.08 文獻(xiàn)標(biāo)識(shí)碼： A 文章編號(hào)： 1673-1069（2016）26-136-2

1 網(wǎng)絡(luò)信息系統(tǒng)的安全威脅

安全威脅就是對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)的安全而出現(xiàn)的威脅。具體指一些實(shí)體或事件，諸如個(gè)人、事件或應(yīng)用程序?qū)τ谙到y(tǒng)內(nèi)部某一項(xiàng)或某類(lèi)系統(tǒng)資源的安全性、完整性以及在授權(quán)使用范圍內(nèi)的使用造成影響和危害。

對(duì)于網(wǎng)絡(luò)信息系統(tǒng)的安全威脅?？蓪⑵鋭澐譃橛幸庾R(shí)行為和無(wú)意識(shí)行為。

有意識(shí)行為主要是對(duì)網(wǎng)絡(luò)信息系統(tǒng)的有意識(shí)的系統(tǒng)入侵。無(wú)意識(shí)的安全威脅是系統(tǒng)通過(guò)掃描（ping的方式）而不對(duì)其進(jìn)行某些實(shí)際行動(dòng)。有偶然行為，也有某些有意識(shí)的個(gè)人炫耀性行為；有意識(shí)的安全威脅則是帶有某些目的性的入侵，是對(duì)某些信息的修改（如對(duì)于學(xué)生成績(jī)的修改和對(duì)于企業(yè)信息的某些主要數(shù)據(jù)的修改）和專(zhuān)有的數(shù)據(jù)信息資源的盜取和外泄。

系統(tǒng)攻擊者（俗稱黑客、網(wǎng)軍）多數(shù)是采用多種獨(dú)特的方式，尋找將要攻擊系統(tǒng)的漏洞而入侵和攻擊，造成的影響和危害各不相同。

1.1 關(guān)閉某些服務(wù)

入侵者主要是對(duì)于某些網(wǎng)絡(luò)關(guān)鍵設(shè)備（網(wǎng)絡(luò)核心交換機(jī)、某匯聚層或接入交換機(jī)）的網(wǎng)絡(luò)配置程序進(jìn)行修改，改變網(wǎng)絡(luò)路由，使之引向一個(gè)無(wú)效的網(wǎng)絡(luò)路由指引，而實(shí)現(xiàn)網(wǎng)絡(luò)中斷。也可以對(duì)某些網(wǎng)絡(luò)服務(wù)器系統(tǒng)進(jìn)行入侵，關(guān)閉服務(wù)器的某些應(yīng)用。

1.2 數(shù)據(jù)信息盜竊

入侵者有目的盜取企事業(yè)單位中所需要的關(guān)鍵信息數(shù)據(jù)、如學(xué)生個(gè)人信息、企業(yè)的經(jīng)銷(xiāo)存數(shù)據(jù)和財(cái)務(wù)數(shù)據(jù)等。這種攻擊行為一般是通過(guò)網(wǎng)絡(luò)掃描、偽裝或使用某些合法方式對(duì)于網(wǎng)絡(luò)信息系統(tǒng)進(jìn)行攻擊。如：使用掃描和破譯用戶密碼的計(jì)算機(jī)程序軟件和偽造密鑰。也可在入侵了網(wǎng)絡(luò)系統(tǒng)之后，偽裝成系統(tǒng)內(nèi)部用戶而由系統(tǒng)內(nèi)部破譯密碼合法登錄系統(tǒng)等方式對(duì)系統(tǒng)發(fā)起攻擊。

1.3 信息數(shù)據(jù)的破壞

入侵者既有對(duì)系統(tǒng)的關(guān)鍵設(shè)備設(shè)置、程序應(yīng)用和存儲(chǔ)數(shù)據(jù)的篡改并合法保存，使之為其長(zhǎng)時(shí)間服務(wù)和利用，也有正在通過(guò)網(wǎng)絡(luò)平臺(tái)進(jìn)行數(shù)據(jù)復(fù)制傳輸。這種攻擊行為是以損壞系統(tǒng)的數(shù)據(jù)信息資源的完整性為目的的。

2 安全解決方案的關(guān)鍵措施

最大限度地發(fā)揮網(wǎng)絡(luò)數(shù)據(jù)通信的優(yōu)勢(shì)，完整的安全解決方案必須包含以下保護(hù)措施： 系統(tǒng)物理保護(hù)；動(dòng)態(tài)用戶身份驗(yàn)證；訪問(wèn)用戶控制；多重加密；實(shí)時(shí)網(wǎng)絡(luò)監(jiān)控。

2.1 物理安全保護(hù)

物理風(fēng)險(xiǎn)主要涉及網(wǎng)絡(luò)系統(tǒng)平臺(tái)的設(shè)備選型和網(wǎng)絡(luò)系統(tǒng)訪問(wèn)人員的身份驗(yàn)證?？梢允褂玫拇胧┖筒呗韵鄳?yīng)比較多：系統(tǒng)設(shè)備選型和調(diào)整；網(wǎng)絡(luò)路由的時(shí)段性調(diào)整；敏感網(wǎng)絡(luò)設(shè)備或應(yīng)用設(shè)備，配置在可以嚴(yán)格保護(hù)的安全環(huán)境中；銷(xiāo)毀過(guò)期文檔或?qū)γ舾形臋n實(shí)行刻盤(pán)保護(hù)；動(dòng)態(tài)身份驗(yàn)證；用戶密碼的安全性保護(hù)策略和增加相應(yīng)的身份驗(yàn)證設(shè)備等。物理性的安全措施大多數(shù)都依賴于行政手段（如制度性建設(shè)等）的干預(yù)并結(jié)合新設(shè)備的購(gòu)買(mǎi)和使用來(lái)實(shí)現(xiàn)。

2.2 訪問(wèn)用戶身份驗(yàn)證

身份驗(yàn)證是所有網(wǎng)絡(luò)安全系統(tǒng)中不可或缺的一個(gè)重要組成部分。是區(qū)別系統(tǒng)合法用戶和網(wǎng)絡(luò)入侵者的唯一重要方法。使用統(tǒng)一身份管理系統(tǒng)，進(jìn)行統(tǒng)一身份驗(yàn)證、統(tǒng)一身份管理、統(tǒng)一授權(quán)、統(tǒng)一審核以及單點(diǎn)登錄方式，加強(qiáng)管理，守好第一道關(guān)卡；除去用戶身份驗(yàn)證之外，身份驗(yàn)證系統(tǒng)還可用于分配和確定請(qǐng)求訪問(wèn)者使用網(wǎng)絡(luò)資源的范圍、數(shù)據(jù)使用授權(quán)，如人事數(shù)據(jù)庫(kù)、財(cái)務(wù)數(shù)據(jù)庫(kù)、物流系統(tǒng)服務(wù)器或數(shù)據(jù)庫(kù)等，或某些應(yīng)用系統(tǒng)中的應(yīng)用范圍限制等；

用戶身份驗(yàn)證一般包含幾個(gè)要素：①用戶使用方式：智能卡、授權(quán)使用證書(shū)、use key等；②用戶保護(hù)方式：用戶密碼（靜態(tài)密碼、隨即驗(yàn)證碼等）；③物理屬性保護(hù)：用戶指紋、虹膜或臉部特征掃描識(shí)別等物理方式對(duì)訪問(wèn)用戶進(jìn)行物理確認(rèn)。身份驗(yàn)證主要是通過(guò)訪問(wèn)用戶詢問(wèn)和回答、統(tǒng)一賬號(hào)管理、基于AD域集成認(rèn)證和單點(diǎn)登錄、統(tǒng)一認(rèn)證單點(diǎn)登錄，數(shù)字簽名服務(wù)管理等技術(shù)來(lái)實(shí)現(xiàn)。作為網(wǎng)絡(luò)系統(tǒng)管理員，可以根據(jù)網(wǎng)絡(luò)內(nèi)部和網(wǎng)絡(luò)外部訪問(wèn)用戶的不同需求制定不同的訪問(wèn)安全策略。在網(wǎng)絡(luò)信息系統(tǒng)內(nèi)部不同的資源控制區(qū)域，采取不同的網(wǎng)絡(luò)信息資源安保技術(shù)的組合來(lái)實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)內(nèi)外部訪問(wèn)用戶的身份驗(yàn)證。

2.3 用戶訪問(wèn)控制

用戶訪問(wèn)控制是指制約訪問(wèn)用戶連接的特定網(wǎng)絡(luò)、PC、特定類(lèi)別的數(shù)據(jù)流量的能力。管理用戶訪問(wèn)系統(tǒng)的軟硬件技術(shù)和實(shí)現(xiàn)形式一般如下：

①基于AD域防御模式；②靜態(tài)密碼校驗(yàn)方式；③狀態(tài)檢測(cè)技術(shù)的防火墻技術(shù)；④分布式拒絕服務(wù)攻擊模式；⑤單獨(dú)使用軟件程序系統(tǒng)的軟件防火墻技術(shù)模式；⑥內(nèi)嵌式透明防火墻技術(shù)；⑦集中管理模式

例如在企業(yè)內(nèi)部的局域網(wǎng)內(nèi)部利用核心層、匯聚層和接入層的網(wǎng)絡(luò)交換設(shè)備所能提供接入的網(wǎng)絡(luò)區(qū)域、文件訪問(wèn)控制列表、多層過(guò)濾技術(shù)，或是基于同一單位的不同區(qū)域的分支機(jī)構(gòu)共同的廣域網(wǎng)絡(luò)的路由設(shè)備。這些網(wǎng)絡(luò)設(shè)備管理技術(shù)實(shí)質(zhì)上都是基于MAC地址和IP地址、端口號(hào)列表的靜態(tài)過(guò)濾控制。而對(duì)于安全要求等級(jí)要求更高的系統(tǒng)使用用戶，可以采用狀態(tài)控制檢查技術(shù)的防火墻技術(shù)。

企事業(yè)單位的防火墻、網(wǎng)絡(luò)負(fù)載均衡設(shè)備一般置于企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)平臺(tái)與外部Internet接入之間的控制點(diǎn)上。而對(duì)于內(nèi)部安全域的特定網(wǎng)絡(luò)段設(shè)置的邊界路由設(shè)備設(shè)置于安全區(qū)域網(wǎng)段與其自有網(wǎng)絡(luò)系統(tǒng)平臺(tái)之間的控制點(diǎn)上。這就是對(duì)于企事業(yè)單位自有網(wǎng)絡(luò)系統(tǒng)內(nèi)部部署對(duì)于敏感區(qū)域的分布式防火墻部署時(shí)需要采用嵌入式防火墻的背景要求。筆者所管理的學(xué)院網(wǎng)絡(luò)系統(tǒng)平臺(tái)就針對(duì)教務(wù)系統(tǒng)平臺(tái)、無(wú)紙化考試平臺(tái)、精品課程管理平臺(tái)、校園一卡通平臺(tái)、OA系統(tǒng)平臺(tái)等對(duì)于安全等級(jí)的不同需求。設(shè)立了集中式透明防火墻技術(shù)。年平均抵御來(lái)自網(wǎng)絡(luò)系統(tǒng)內(nèi)部的數(shù)十次掃描和試圖“合法”進(jìn)入的不明入侵。

2.4 系統(tǒng)加密

即使嚴(yán)密的系統(tǒng)訪問(wèn)控制和身份驗(yàn)證系統(tǒng)的安全防護(hù)是否有效，在網(wǎng)絡(luò)信息系統(tǒng)平臺(tái)之上或者是與外部系統(tǒng)進(jìn)行數(shù)據(jù)交換和數(shù)據(jù)傳輸，企事業(yè)單位自有網(wǎng)絡(luò)系統(tǒng)平臺(tái)及其運(yùn)行的信息系統(tǒng)仍然面臨非法入侵、惡意掃描等風(fēng)險(xiǎn)和隱患。

事實(shí)上網(wǎng)絡(luò)接入設(shè)備的低成本和連接Internet的網(wǎng)絡(luò)結(jié)構(gòu)的簡(jiǎn)易性是最求經(jīng)濟(jì)效益和苦于成本預(yù)算不足困擾的中小型企事業(yè)單位實(shí)現(xiàn)內(nèi)部和與外部單位之間進(jìn)行數(shù)據(jù)通信和數(shù)據(jù)交換的一個(gè)誘人選擇。同時(shí)，由于無(wú)線網(wǎng)絡(luò)的應(yīng)用，使得由于無(wú)線網(wǎng)絡(luò)信號(hào)在網(wǎng)絡(luò)區(qū)域企業(yè)邊界之外的信號(hào)漂移所造成的在單位邊界之外的入侵用戶的惡意掃描和“合法”接入成為可能。故數(shù)據(jù)加密技術(shù)可用于針對(duì)惡意掃描和“合法”入侵的保護(hù)性防護(hù)。它通過(guò)使數(shù)據(jù)信息只能夠被具有解密數(shù)據(jù)所需密鑰的系統(tǒng)使用人員使用。筆者管理的國(guó)家海船船員適證考試平臺(tái)在部署每一場(chǎng)無(wú)紙化電子考試前數(shù)據(jù)導(dǎo)入、考試結(jié)束后的考生成績(jī)及考試數(shù)據(jù)、考生語(yǔ)音數(shù)據(jù)導(dǎo)出時(shí)都需要插入密鑰，才能啟動(dòng)考試系統(tǒng)平臺(tái)，進(jìn)行相關(guān)操作。這就對(duì)考試數(shù)據(jù)和考務(wù)計(jì)劃數(shù)據(jù)得到了保護(hù)。不同的考試部門(mén)在密鑰程序中以部門(mén)代碼區(qū)別，保證了不同的考試科目使用不同的考試密鑰。

2.5 安全管理措施

網(wǎng)絡(luò)安全管理系統(tǒng)應(yīng)允許網(wǎng)絡(luò)系統(tǒng)管理員對(duì)網(wǎng)絡(luò)系統(tǒng)平臺(tái)、外部邊緣、數(shù)據(jù)存儲(chǔ)設(shè)備等進(jìn)行實(shí)時(shí)與定時(shí)的監(jiān)控和管理。使用的身份驗(yàn)證系統(tǒng)應(yīng)采用動(dòng)態(tài)身份驗(yàn)證和靜態(tài)驗(yàn)證相結(jié)合的管理方法。網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)該在每日定時(shí)檢查和分析防火墻、網(wǎng)絡(luò)系統(tǒng)負(fù)載均衡設(shè)備、核心交換機(jī)、存儲(chǔ)設(shè)備、服務(wù)器集群管理平臺(tái)等關(guān)鍵設(shè)備的系統(tǒng)日志；定期更換特定訪問(wèn)用戶的密鑰和密碼更新；定期對(duì)敏感數(shù)據(jù)的數(shù)據(jù)備份工作，以應(yīng)對(duì)可能出現(xiàn)的惡意入侵和自然災(zāi)難后的數(shù)據(jù)恢復(fù)工作。制定相應(yīng)的應(yīng)急措施和源程序庫(kù)； 安全管理工作要得到全面實(shí)施，必須是實(shí)現(xiàn)制度化和常態(tài)化。網(wǎng)絡(luò)系統(tǒng)管理員要樹(shù)立：“網(wǎng)絡(luò)系統(tǒng)安全防護(hù)永遠(yuǎn)在路上”的心態(tài)。企事業(yè)單位的管理者，應(yīng)采取嚴(yán)格的行政手段和法律手段作為網(wǎng)絡(luò)信息系統(tǒng)安全的保證。