网络安全管理
摘要：本文论述了网络安全问题的重要性，以及威胁网络安全的因素，并通过分
析作出相应的安全管理措施
关键词：网络 安全 管理
近年来，随着网络威胁的越来越多，人们的网络安全意识也逐步提高，很多企业部署了防火墙、防病毒和IDS等安全产品。有了这些措施，看起来好像一切问题都解决了，但是在面对网络攻击时我们依然损失惨重！这究竟是为什么？问题出在了哪里呢？
首先,我们从网络安全的产品看，网络安全系统通常是由防火墙、入侵检测、漏洞扫描、安全审计、防病毒、流量监控等产品组成的，但是由于安全产品来自不同的厂商，没有统一的标准，因此安全产品之间无法进行信息交流，于是形成许多安全孤岛和安全盲区。这样所看到的永远只是一个相对独立的安全信息，就像是那个盲人摸象的故事，我们看问题只是看到了一个角，而没有看到问题的全部，而那些细节和隐藏在外表下的真相可能恰恰被我们所忽略。它们往往是问题的关键所在。对于电信运营商这样拥有庞大的全国性网络，网络中安全产品成千上万的大型企业，这种问题尤为突出。
同时，网络设备、安全设备、系统每天产生的日志可能有上千甚至几十万条，人工地对多个安全系统的大量日志进行实时审计、分析多流于形式，再加上误报(典型的如NIDS、IPS)、漏报(如未知病毒、未知网络攻击、未知系统攻击)等问题，造成安全事件不能及时准确发现。
此外，在日常的安全管理工作中，为了更好地了解各项设备的工作情况，我们需要统计出大量的报表，如某台服务器的安全情况报表、所有机房发生攻击事件的频率报表、网络中利用次数最多的攻击方式报表等。如果管理员人去对这些事件做统计分析，不但耗费大量人力，而且无法保证统计数据的准确。
还有，管理员发现安全问题后，往往因为安全知识的不足导致事件迟迟不能处理，信息部门主管也不了解哪些管理员对该事件做了处理，处理过程和结果有没有做记录，处理效率低下。
其次，从威胁网络安全的因素来看，总的来看威胁网络安全的因素主要有非法入侵、病毒的侵袭及对网络安全问题的认识不足三种：
一是非法入侵。非法入侵攻击的方式是多样的，如：以各种方式有选择地破坏信息的有效性和完整性，导致数据的丢失和泄密，系统资源的非法占有等；又如，在不影响网络正常工作的情况下截获、窃取、破译以获得重要机密信息；再如，拒绝服务攻击，此种攻击非法占用系统资源，导致系统服务停止崩溃，“蠕虫”病毒就是拒绝服务攻击的一个典型：常见的拒绝服务攻击还包括各种电子邮件炸弹。这些攻击均可对计算机网络构成极大的危害，并导致机密数据的泄露。
二是病毒的侵袭。计算机病毒是一类攻击性程序，它隐藏在计算机系统软件程序和数据资源中，利用系统的软件程序和数据资源进行繁殖并生存，并通过系统软件程序的运行和数据共享的途径进行传染。计算机病毒会影响计算机系统的正常运行，它会破坏系统软件和文件系统。尤其在网络环境下，计算机病毒的传播速度更快，破坏范围更广。它会导致网络效率急剧，系统资源严重破坏，甚至有可能造成整个网络系统的瘫坏，如：CIH病毒和“Iloveyou”等病毒所造成的破坏都说明了在网络环境下，计算机病毒有不可估量的威胁性和破坏力。
三是人们对网络安全问题的认识不足。通常人们将网络系统作为一个纯粹的技术或工程来实施，缺乏统一的安全管理策略和专门的网络安全管理人员。网络系统的安全环境是非常复杂并且不断变化的，很少有人去研究网络安全状态的发展变化、网络入侵手段、系统安全防范措施和安全策略。甚至更少有时间去监控网络的实际活动状态、入侵迹象或系统的错误使用等这就导致了网络系统实际安全状态和预期标准之间相差很远。另一方面，网络用户也只侧重于各类应用软件的操作上面，以期望方便。快捷、高效地使用网络，最大限度地获取有效的信息资源，而很少考虑实际存在的风险和低效率，很少学习密码保管、密码设置、信息保密的必备知识以及防止认为破坏系统和篡改数据的有关技术。
针对以上诸因素我们需设立完整的安全措施。完整的安全措施包括以下五个层面：
1、网络级
目前，在现代典型的计算机系统中，大都采用TCP／IP作为主要的网络通讯协议。TCP／IP结构的开放性、灵活性、易用性、开发性都很好，实施与硬件平台、操作平台无关，互联能力强、网络技术独立、支持多种应用协议。但正是其体系结构的开放性、互操作性的特点，以及该协议在制定时没有考虑安全因素，在安全性方面存在很多隐患，决定了其安全问题的复杂性和安全漏洞的多样性。
TCP／IP的网络结构没有集中的控制，每个节点的地址由自己配置，节点之间的路由可以任意改变，因此服务器很难验证某客户机的真实性。例如：IP欺骗，攻击者可以在一定的范围内直接修改节点的IP地址，冒充某节点的IP地址进行攻击就可能收集到网络、网络用户、网络配置等信息，使攻击者方便地拷贝、窃取、破坏数据；路由选择信息协议攻击，RIP协议用来在局部网中发布动态路由信息，它是为局部网中的节点提供一致路由选择和可达性信息而设计的，但节点对收到的信息不进行真实性检查，因此攻击者可以通过在网上发布错误路由信息，利用ICMP的重走向信息欺骗路由器或主机，实现对网络的攻击。
实际上，从TCP／IP的网络层，人们很难区分合法信息流和入侵数据流拒绝服务就是明显的例子：通过使用系统关键资源过载，从而使受害工作站停止部分或全部服务。
网络级的安全控制包括：什么人对什么内容具有访问权；查明任何非法访问
或偶然访问的入侵者；保证只有授权许可的通信才可以在客户机和服务器之间建立连接；以及传输当中的数据不能被读取和改变。这些就是通常所说的防火墙和虚拟专用网。
所谓的“防火墙”就是综合采用适当技术在被保护网络周边建立一个网络协议，并通过网络配置、主机系统、路由器以及诸如省份认证等手段来实现安全协议。防火墙是一个或一组系统，它在两个网络之间完成访问控制任务。它的主要作用是通过安全控制与监视系统几工作记录文件，阻止未经过授权的交互式登录，这要求管理员必须对要控制和监视的文件做一个设定，以防止记录不必要文件。防火墙的另一个用途是可以监视自身文件系统的完整性，以实现自我保护。利用防火墙的安全屏蔽，可以在防火墙内部构建一个内部网，完整数据的内部处理。一般来说，必须要把数据库服务器置于防火墙内，这样才能阻止未经授权登录；让每个用户都访问的Web服务器放在防火墙内，以达到较好的交互式目的；至于其它服务器，则视情况而定。防火墙也可置于在网络系统内部，将带有不同类型的目的和特性的网络彼此隔离。
值得注意的是，防火墙也有自身的缺点，它是一种被动防御，对于不通过防火墙的攻击它就显得无能为力。
2.系统级
系统的安全防护就是保证整个系统不受外来的入侵，以免受到损失。目前，常见的操作系统主要有Windows、Netware、Unix、Linux等几大家族，而这些系统各自的安全问题随着不同的版本层出不穷。对操作系统平台采取的安全措施包括：采用较高安全强度的操作系统；对操作系统的安全配置；利用安全扫描系统检查操作系统的漏洞；如果有需要，甚至可以把系统内核中可能引起安全性问题的部分除掉：增强网络内部合法用户的安全检查素质，提高管理人员的技术水平。
由于是微软出品的原因，WindowsNT使用较广泛，但人们普遍认为WindowsNT的安全性不如Unix，事实上这要取决于管理员的水平，要使WindowsNT也能在复杂的网络环境中实现安全服务，管理员对WindowsNT的功能设置应遵循以下几点原则：
1）系统的管理员帐号改名
对于试图猜测口令的用户，可以设置一定次数的口令输入错误忽略，如三次输入错误日令便禁止再次尝试。但若想探知管理员Administrator的口令，则不能设置此项功能。为此，将Administrator这个管理员登录帐号该为其他，如该为以Controller登录，这就相当于加了双保险，相对安全多了。
2）采用NTFS（NTFileSystem）
NTFS可对文件和目录使用存取控制表（ACL），它可以管理共享目录的合理使用，当共享级权限为“只读”时，某分区所有的权限也将是只读。而FAT（文
件分配表）则只能管理共享级的安全。值得注意的是，NTFS对文件的合理分区是很重要的。对于NTFS，如果权限没有设定好的话，会造成严重的漏洞，比如，一台提供虚拟主机服务的Web，如果权限没有设定好，用户可以轻而易举地篡改删除机器上的任何文件，甚至让WindowsNT崩溃。所以管理员应当对文件权限的设定严格划分，如将Web目录建立在NTFS分区上，非Web目录建立在NTFS分区上，非Web目录不要使用everyonefullcontrol，而应使用
Administratorfullcontrol。
3）打开审计系统
打开审计系统，这样可以知道WindowsNT环境中的安全性是否被攻击。激活该系统的方法是：选择“域用户管理器”中“规则”菜单中的\"审核\"命令，设置相应的功能收集有用信息。
系统级的安全控制包括：谁能访问服务器或访问者可以干些什么；防止病毒和特洛伊木马的侵入；检测有意或偶然闯入系统的不速之客；进行风险评估，查系统安全配置的缺陷，发现安全漏洞；进行政策审计。这些就是防病毒产品、入侵检测工具和评估审计工具的功能。
3.用户级
动态执行程序破坏浏览器、危害用户系统、窃取用户秘密，最终用户个人信息的滥用，这些都是常见的安全问题。非法的用户利用用户认证系统的脆弱性和疏漏获得一定的权利，实现对目标系统的非法授权访问是常用的手段。用户级的安全主要通过管理用户帐号实现，在用户获得访问特权时设置用户功能或在他们的访问特权不在有效时限制用户帐号是该级安全控制的关键。这项工作主要依靠管理员来完成，而借助于专业的评估审计工具将会使的管理员更加有的放矢。
审计工具使信息系统自动记录下网络中机器的使用时间、敏感操作和违纪操作等。审计类似于飞机上的“黑匣子”，它为系统进行事故原因查询、定位、事故发生前的预测、报警以及为事故发生后的时时处理提供详细可靠的依据或支持。审计对用户的正常操作也有记载，因为往往有些“正常”操作（如修改数据等）恰恰是攻击系统的非法操作。
对网络进行管理，不能为了追求用户的信赖在安全防护上投机取巧。对安全的风险评估分析很重要，给尽可能多的用户尽可能大的权限可以方便用户，增加网站的利用性和知名度，但同时也使安全系数降低，引起不必要的风险，而严密的安全性则有限制了用户的权限，使得可能失去一些潜在的用户。
4.应用级
随着计算机应用的发展，应用级的功能不断扩展，其地位越来越显著。基于HTTP、FTP、Telnet、Wais、Mailto、SMTP、POP3等协议的各种应用是大家比较熟悉的。这些应用的协议本身存在着这样或那样的安全问题，具体到某一种协议
的应用各不相同。因此由于应用级的安全弱点导致的各种网络攻击令人防不胜防。例如：HTTP是TCP应用层的协议，低层TCP的安全与否直接影响HTTP的安全；在HTTP协议方面，攻击着可以利用它的脆弱性进行攻击，如CGI程序、E－mail攻击，HTML中的隐含Format域。
在Web环境下，由于所在的位置无关、无状态性、代码和用户的移动性、通信双方为陌生或不可信，使应用级的安全防护研究工作变的很复杂。现在，应用级的安全控制主要是应用程序和服务的口令和授权的管理，这需要借助于专业的数据访问控制工具。
数据访问控制工具允许用户对其常用的信息库进行适当权利的访问，限制随意删除、修改或拷贝信息文件。访问控制技术还可以使系统管理员跟踪用户在网络中的活动，及时发现并拒绝\"黑客\"的入侵。访问控制采用最小特权原则：即在给用户分配权限时，根据每个用户的任务特点使其获得完成自身任务的最低权限，不给用户赋予其工作范围内之外的任何权利。Kerberos存取控制是访问控制技术的一个代表，它由数据库、验证服务器和票据授权服务器三部分组成。其中，数据库包括用户名称、口令和授权进行存取的区域，验证服务器验证存取的人是否有此资格，票据授权服务器在验证之后发给票据允许用户进行存取。
5.数据级
对于网络来说，数据的安全最为重要，保证数据的安全是网络安全的核心。由于TCP／IP自身的性质决定了其上各种应用的数据在传输的过程中都是在不可信的通道中以文明的形式进行，就导致数据在传输过程中存在极大的安全风险，别有用心的攻击者可以监听网络传输中的文明数据，甚至对其进行修改和破坏。数据级的安全主要是指保持数据的保密性和完整性，这需要借助于专业的数据加密工具加：SHTTP，SHEN，SSL。现在我们通过介绍SSL来对数据加密工具有所认识：
IIS（InterInformationSever）提供了一种在其服务协议HTTP和TCP／IP协议之间提供分层数据安全性的协议，称为SSL（SecureSocketLayer），既安全套接层。它是Netscape通信协议制定的HTTP安全标准，它的顶层应用协议不需改变就能安全传输应用信息。SSL本身采用了共用密钢与传统对称加密相结合的方法并加强算法，它有4中加密操作：数据签名、序列加密、分组加密和共用密钥，其目标依次为：加密安全、互操作性、可扩展性、相对高效。它作为专业的数据加密工具，实现身份鉴别、密钥分配、数据加密、防止信息重传和不可否认等安全机制，至今来说仍相当安全。SSL的作用是加密、解密应用程序的字节流，这样，任何HTTP请求和相应中的所有信息，如客户正在请求的URL、任何提交形式内容（E－mail、信用卡号等）、任何HTTP访问身份认证信息和从服务器返回到客户的信息被加密。这样，用户提供的资料就被安全的传输了。当然，使用SSL加密传输的数据要比未加密的要慢，如果太多的信息被加密，则降低整个节点的性能。因此，权衡一下，可用它来加密比较重要的数据和虚拟文件夹。除了使用专业的数据加密工具，加强日常工作中的数据防护非常重要，如：（1）做好数据备份。如今服务器功能越来越大，集中的数据处理越来越多，数据备份
必不可少；计算机硬件系统应有稳定可靠的电源，能够预测故障、保证数据的完整性和数据恢复。一旦遭到破坏，能利用备用计算机继续正常运行。（2）内部管理上制定合理的安全检查规范。明确每位工作人员的权限，杜绝误操作和恶意破坏引起的严重后果。
总之，我们生活在一个网络时代，网络对社会的影响越来越大，与我们的生活越来越不可分，网络经济激发了人类历史上最活跃的生产力，但同时也使的网络的安全问题日渐突出而且情况也越来越复杂。从大的方面来说，网络安全问题已威胁到国家的政治、经济、军事、文化、意识形态等领域，网络时代急切呼唤安全。新的攻击手段和方法层出不穷，使网络安全工作显得很艰巨，网络安全的五个层面其安全风险是交叉重叠的，网络安全作为一个复杂的工程，需要我们深入地加以研究。
参考文献：
谢希仁，《计算机网络》，第三版，大连，大连理工出版社 2000年6月 301页-319页
雷震甲，《网络工程师教程》，第二版，北京，清华大学出版社，2006年6月 249-301页
戚文静，《网络安全与管理》，第一版，北京，中国水利水电出版社，2003年8月1日，参考全书
