信息安全风险管理理论与网络安全技术.doc

信息安全风险管理理论与网络安全技术 作者管理员| 访问26 | 发布日期2010-12-31 摘要随着计算机技术的发展,在计算机上处理业务已由基于单机的数学运算、文件处理,基于简单联结的内部网络的内部业务处理、办公自动化等发展到基于企业复杂的内部网、企业外部网、全球互联网的企业级计算机处理系统和世界范围内的信息共享和业务处理。在信息处理能力提高的同时,网络信息的安全性变得日益重要起来,已被信息社会的各个领域所重视。本文对目前计算机网络存在的安全隐患进行了分析,并探讨了针对计算机安全隐患的防范策略。 关键词网络安全防火墙firewall入侵检测系统病毒防御与查杀 过去两个世纪来对工业技术的控制,代表了一个国家的军事实力和经济实力,今天,对信息技术的控制将是领导21世纪的关键。有人说,信息安全就像茫茫宇宙中闪烁的星星一样无序,看得见摸不着,具有混沌特征。计算机的广泛应用把人类带入了一个全新的时代,特别是计算机网络的社会化,已经成为了信息时代的主要推动力。随着计算机网络技术的飞速发展,尤其是互联网的应用变得越来越广泛,在带来了前所未有的海量信息的同时,网络的开放性和自由性也产生了私有信息和数据被破坏或侵犯的可能性,网络信息的安全性变得日益重要起来,已被信息社会的各个领域所重视。目前,全世界的军事、经济、社会、文化各个方面都越来越依赖于计算机网络,人类社会对计算机的依赖程度达到了空前的记录。由于计算机网络的脆弱性,这种高度的依赖性使国家的经济和国防安全变得十分脆弱,一旦计算机网络受到攻击而不能正常工作,甚至瘫痪,整个社会就会陷入危机。 一、计算机和网络的安全问题 一计算机安全 1. 自然灾害 计算机信息系统仅仅是一个智能的机器,易受自然灾害及环境温度、湿度、振动、冲击、污染的影响。目前,我们不少计算机房并没有防震、防火、防水、避雷、防电磁泄漏或干扰等措施,接地系统也疏于周到考虑,抵御自然灾害和意外事故的能力较差。日常工作中因断电而设备损坏、数据丢失的现象时有发生。由于噪音和电磁辐射,导致网络信噪比下降,误码率增加,信息的安全性、完整性和可用性受到威胁。 2. 黑客的威胁和攻击 计算机信息网络上的黑客攻击事件越演越烈,已经成为具有一定经济条件和技术专长的形形色色攻击者活动的舞台。他们具有计算机系统和网络脆弱性的知识,能使用各种计算机工具。境内外黑客攻击破坏网络的问题十分严重,他们通常采用非法侵入重要信息系统,窃听、获取、攻击侵入网的有关敏感性重要信息,修改和破坏信息网络的正常使用状态,造成数据丢失或系统瘫痪,给国家造成重大政治影响和经济损失。黑客问题的出现,并非黑客能够制造入侵的机会,从没有路的地方走出一条路,只是他们善于发现漏洞。即信息网络本身的不完善性和缺陷,成为被攻击的目标或利用为攻击的途径,其信息网络脆弱性引发了信息社会脆弱性和安全问题,并构成了自然或人为破坏的威胁。 3. 计算机病毒 20世纪90年代,出现了曾引起世界性恐慌的“计算机病毒”,其蔓延范围广,增长速度惊人,损失难以估计。它像灰色的幽灵将自己附在其他程序上,在这些程序运行时进入到系统中进行扩散。计算机感染 上病毒后,轻则使系统工作效率下降,重则造成系统死机或毁坏,使部分文件或全部数据丢失,甚至造成计算机主板等部件的损坏。 4. 垃圾邮件和间谍软件 一些人利用电子邮件地址的“公开性”和系统的“可广播性”进行商业、宗教、政治等活动,把自己的电子邮件强行“推入”别人的电子邮箱,强迫他人接受垃圾邮件。与计算机病毒不同,间谍软件的主要目的不在于对系统造成破坏,而是窃取系统或是用户信息。事实上,间谍软件日前还是一个具有争议的概念,一种被普遍接受的观点认为间谍软件是指那些在用户不知情的情况下进行非法安装,发装后很难找到其踪影,并悄悄把截获的一些机密信息提供给第三者的软件。间谍软件的功能繁多,它可以监视用户行为,或是发布广告,修改系统设置,威胁用户隐私和计算机安全,并可能不同程度地影响系统性能。 5. 信息战的严重威胁 信息战,即为了国家的军事战略而采取行动,取得信息优势,干扰敌方的信息和信息系统,同时保卫自己的信息和信息系统。这种对抗形式的目标,不是集中打击敌方的人员或战斗技术装备,而是集中打击敌方的计算机信息系统,使其神经中枢的指挥系统瘫痪。信息技术从根本上改变了进行战争的方法,其攻击的首要目标主要是连接国家政治、军事、经济和整个社会的计算机网络系统,信息武器已经成为了继原子武器、生物武器、化学武器之后的第四类战略武器。可以说,未来国与国之间的对抗首先将是信息技术的较量。网络信息安全应该成为国家安全的前提。 6. 计算机犯罪 计算机犯罪,通常是利用窃取口令等手段非法侵入计算机信息系统,传播有害信息,恶意破坏计算机系统,实施贪污、盗窃、诈骗和金融犯罪等活动。 二网络安全 Internet的开放性以及其他方面因素导致了网络环境下的计算机系统存在很多安全问题。为了解决这些安全问题,各种安全机制、策略和工具被研究和应用。然而,即使在使用了现有的安全工具和机制的情况下,网络的安全仍然存在很大隐患,这些安全隐患主要可以归结为以下五点。 1. 每一种安全机制都有一定的应用范围和应用环境。防火墙是一种有效的安全工具,它可以隐蔽内部网络结构,限制外部网络到内部网络的访问。但是对于内部网络之间的访问,防火墙往往是无能为力的。因此,对于内部网络到内部网络之间的入侵行为和内外勾结的入侵行为,防火墙是很难发觉和防范的。 2. 安全工具的使用受到人为因素的影响。一个安全工具能不能实现期望的效果,在很大程度上取决于使用者,包括系统管理者和普通用户,不正当的设置就会产生不安全因素。例如,NT在进行合理的设置后可以达到C2级的安全性,但很少有人能够对NT本身的安全策略进行合理的设置。虽然在这方面,可以通过静态扫描工具来检测系统是否进行了合理的设置,但是这些扫描工具基本上也只是基于一种缺省的系统安全策略进行比较,针对具体的应用环境和专门的应用需求就很难判断设置的正确性。 3. 系统的后门是传统安全工具难以考虑到的地方。防火墙很难考虑到这类安全问题,多数情况下,这类入侵行为可以堂而皇之经过防火墙而很难被察觉;比如说,众所周知的ASP源码问题,这个问题在IIS 服务器 4.0以前一直存在,它是IIS服务的设计者留下的一个后门,任何人都可以使用浏览器从网络上方便地调出ASP程序的源码,从而可以收集系统信息,进而对系统进行攻击。对于这类入侵行为,防火墙是无法发觉的,因为对于防火墙来说,该入侵行为的访问过程和正常的WEB访问是相似的,唯一区别是入侵访问在请求链接中多加了一个后缀。 4. 只要有程序,就可能存在BUG。甚至连安全工具本身也可能存在安全的漏洞。几乎每天都有新的BUG被发现和公布出来,程序设计者在修改已知的BUG的同时又可能使它产生了新的BUG。系统的BUG 经常被黑客利用,而且这种攻击通常不会产生日志,几乎无据可查。比如说现在很多程序都存在内存溢出的BUG,现有的安全工具对于利用这些BUG的攻击几乎无法防范。 5. 黑客的攻击手段在不断地更新,几乎每天都有不同系统安全问题出现。然而安全工具的更新速度太慢,绝大多数情况需要人为的参与才能发现以前未知的安全问题,这就使得它们对新出现的安全问题总是 反应太慢。当安全工具刚发现并努力更正某方面的安全问题时,其他的安全问题又出现了。因此,黑客总是可以使用先进的、安全工具不知道的手段进行攻击。 二、对安全问题的措施 一防火墙技术 网络安全所说的防火墙是指内部网和外部网之间的安全防范系统。它使得内部网络与因特网之间或与其他外部网络之间互相隔离、限制网络互访,用来保护内部网络。防火墙通常安装在内部网与外部网的连接点上。所有来自Internet外部网的传输信息或从内部网发出的信息都必须穿过防火墙。 1. 防火墙的主要功能 1防火墙可以对流经它的网络通信进行扫描,从而过滤掉一些攻击,以免其在目标计算机上被执行。 2防火墙可以关闭不使用的端口,而且它还能禁止特定端口的输出信息。 3防火墙可以禁止来自特殊站点的访问,从而可以防止来自不明入侵者的所有通信,过滤掉不安全的服务和控制非法用户对网络的访问。 4防火墙可以控制网络内部人员对Internet上特殊站点的访问。 5防火墙提供了监视Internet安全和预警的方便端点。 2. 防火墙的分类 防火墙的实现从层次上大体可分为三类包过滤防火墙、代理防火墙和复合型防火墙。 1包过滤防火墙 包过滤防火墙是在IP层实现,它可以只用路由器来实现。包过滤防火墙根据报文的源IP地址,目的IP地址、源端口、目的端口和报文传递方向等报头信息来判断是否允许有报文通过。 包过滤路由器的最大优点是对用户来说是透明的,即不需要用户名和密码来登陆。包过滤路由器的弊端是明显的,由于它通常没有用户的使用记录,我们不能从访问中发现黑客的攻击记录。它还有一个致命的弱点,就是不能在用户级别上进行过滤,即不能识别用户与防止IP地址的盗用。如果攻击者将自己的主机设置为一个合法主机的IP地址,则很容易地通过包过滤防火墙。 2代理防火墙 代理防火墙也叫应用层网关防火墙,包过滤防火墙可以按照IP地址来禁止未授权者的访问。但它不适合单位用来控制内部人员访问外部网络,对于这样的企业,应用代理防火墙是更好的选择。 代理服务是设置在Internet防火墙网关上的应用,是在网管员允许下或拒绝的特定的应用程序或者特定服务,一般情况下可应用于特定的互联网服务,如超文本传输、远程文件传输等。同时还可应用于实施较强的数据流监控、过滤、记录和报告等功能。 应用层网关包括应用代理服务器、回路级代理服务器、代管服务器、IP通道、网络地址转换器、隔离域名服务器和邮件技术等。 3复合型防火墙 复合型防火墙是将数据包过滤和代理服务结合在一起使用,从而实现了网络安全性、性能和透明度的优势互补。 随着技术的发展,防火墙产品还在不断完善、发展。目前出现的新技术类型主要有以下几种状态监视技术、安全操作系统、自适应代理技术、实时侵入检测系统等。混合使用数据包过滤技术、代理服务技术和一些新技术是未来防火墙的趋势。 二入侵检测系统 1. 入侵检测系统作用 入侵检测系统根据数据来源不同,可分为基于网络的入侵检测系统和基于主机的入侵检测系统。网络型入侵检测系统的实现方式是将某台主机的网卡设置成混杂模式,监听本网段内的所有数据包并进行判断或直接在路由设备上放置入侵检测模块。一般来说,网络型入侵检测系统担负着保护整个网络的任务。 主机型入侵检测系统是以系统日志、应用程序日志等作为数据源,当然也可以通过其他手段如检测系统调用从所有的主机上收集信息进行分析。 入侵检测系统根据检测的方法不同可分为两大类异常和误用。 异常入侵检测根据用户的异常行为或对资源的异常存放来判断是否发生了入侵事件。误用入侵检测通过检查对照已有的攻击特征、定义攻击模式、比较用户的活动来了解入侵。例如,著名的Internet蠕虫事件是利用fingerdFreeBSD上的守护进程,允许用户远程读取文件系统,因而存在可以查看文件内容的漏洞和SendmailLinux上的守护进程,利用其漏洞可取得root权限的漏洞进行攻击。对这种攻击可以使用这种检测方法。 2. 目前入侵检测系统的缺陷 入侵检测系统作为网络安全防护的重要手段,目前的IDS还存在很多问题,有待于我们进一步完善。 1高误报率 误报率主要存在于两个方面一方面是指正常请求误认为入侵行为;另一方面是指对IDS用户不关心事件的报警。导致IDS产品高误报率的原因是IDS检测精度过低和用户对误报概念的不确定。 2缺乏主动防御功能 入侵检测技术作为一种被动且功能有限的安全防御技术,缺乏主动防御功能。因此,需要在一代IDS 产品中加入主动防御功能,才能变被动为主动。 三计算机病毒和病毒防御 1. 计算机病毒的定义 计算机病毒Computer Virus在中华人民共和国计算机信息系统安全保护条例中被明确定义,病毒“指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据,影响计算机使用并且能够自我复制的一组计算机指令或者程序代码”。 2. 计算机病毒的产生 病毒不是来源于突发或偶然的原因。一次突发的停电和偶然的错误,会在计算机的磁盘和内存中产生一些乱码和随机指令,但这些代码是无序和混乱的,病毒则是一种比较完美的,精巧严谨的代码,按照严格的秩序组织起来,与所在的系统网络环境相适应和配合起来,病毒不会通过偶然形成,并且需要有一定的长度,这个基本的长度从概率上来讲是不可能通过随机代码产生的。现在流行的病毒是由人为故意编写的,多数病毒可以找到作者和产地信息,从大量的统计分析来看,病毒作者主要情况和目的是一些天才的程序员为了表现自己和证明自己的能力,处于对上司的不满,为了好奇,为了报复,为了祝贺和求爱,为了得到控制口令,为了软件拿不到报酬预留的陷阱等。当然也有因政治、军事、宗教、民族、专利等方面的需求而专门编写的,其中也包括一些病毒研究机构和黑客的测试病毒。 3. 计算机病毒的特点,计算机病毒具有以下六个特点 1寄生性。计算机病毒寄生在其他程序之中,当执行这个程序时,病毒就起破坏作用,而在未启动这个程序之前,它是不易被人发觉的。 2传染性。计算机病毒不但本身具有破坏性,更有害的是具有传染性,一旦病毒被复制或产生变种,其速度之快令人难以预防。传染性是病毒的基本特征。在生物界,病毒通过传染从一个生物体扩散到另一个生物体。在适当的条件下,它可得到大量繁殖,并使被感染的生物体表现出病症甚至死亡。同样,计算机病毒也会通过各种渠道从已被感染的计算机扩散到未被感染的计算机,在某些情况下造成被感染的计算机工作失常甚至瘫痪。与生物病毒不同的是,计算机病毒是一段人为编制的计算机程序代码,这段程序代码一旦进入计算机井得以执行,它就会搜寻其他符合其传染条件的程序或存储介质,确定目标后再将自身代码插入其中,达到自我繁殖的目的。只要一台计算机染毒,如不及时处理,那么病毒会在这台机子上迅速扩散,其中的大量文件一般是可执行文件会被感染。而被感染的文件又成了新的传染源,再与其他机器进行数据交换或通过网络接触,病毒会继续进行传染。正常的计算机程序一般是不会将自身的代码强行连接到其他程序之上的。而病毒却能使自身的代码强行传染到一切符合其传染条件的未受到传染的程序之上。计算机病毒可通过各种可能的渠道,如软盘、计算机网络去传染其他的计算机。当您在一台机 器上发现了病毒时,往往曾在这台计算机上用过的软盘已感染上了病毒,而与这台机器相联网的其他计算机也许也被该病毒染上了。是否具有传染性是判别一个程序是否为计算机病毒的最重要条件。病毒程序通过修改磁盘扇区信息或文件内容并把自身嵌入到其中的方法达到病毒的传染和扩散。被嵌入的程序叫做宿主程序。 3潜伏性。有些病毒像定时炸弹一样,让它什么时间发作是预先设计好的。比如黑色星期五病毒,不到预定时间一点都觉察不出来,等到条件具备的时候一下子就爆炸开来,对系统进行破坏。一个编制精巧的计算机病毒程序,进入系统之后一般不会马上发作,可以在几周或者几个月内甚至几年内隐藏在合法文件中,对其他系统进行传染,而不被人发现,潜伏性愈好,其在系统中的存在时间就会愈长,病毒的传染范围就会愈大。潜伏性的第一种表现是指,病毒程序不用专用检测程序是检查不出来的,因此病毒可以静静地躲在磁盘或磁带里待上几天,甚至几年,一旦时机成熟,得到运行机会,就又要四处繁殖、扩散,继续为害。潜伏性的第二种表现是指,计算机病毒的内部往往有一种触发机制,不满足触发条件时,计算机病毒除了传染外不做什么破坏。触发条件一旦得到满足,有的在屏幕上显示信息、图形或特殊标识,有的则执行破坏系统的操作,如格式化磁盘、删除磁盘文件、对数据文件做加密、封锁键盘以及使系统死锁等。 4隐蔽性。计算机病毒具有很强的隐蔽性,有的可以通过病毒软件检查出来,有的根本就查不出来,有的时隐时现、变化无常,这类病毒处理起来通常很困难。 5破坏性。计算机中毒后,可能会导致正常的程序无法运行,把计算机内的文件删除或受到不同程度的损坏。 6计算机病毒的可触发性。病毒因某个事件或数值的出现,诱使病毒实施感染或进行攻击的特性称为可触发性。为了隐蔽自己,病毒必须潜伏,少做动作。如果完全不动,一直潜伏的话,病毒既不能感染也不能进行破坏,便失去了杀伤力。病毒既要隐蔽又要维持杀伤力,它必须具有可触发性。病毒的触发机制就是用来控制感染和破坏动作的频率的。病毒具有预定的触发条件,这些条件可能是时间、日期、文件类型或某些特定数据等。病毒运行时,触发机制检查预定条件是否满足,如果满足,启动感染或破坏动作,使病毒进行感染或攻击;如果不满足,使病毒继续潜伏。 三、计算机病毒的防御 一用常识进行判断 决不打开来历不明邮件的附件或你并未预期接到的附件。对看来可疑的邮件附件要自觉不予打开。千万不可受骗,认为你知道附件的内容,即使附件看来好像是.jpg文件因为Windows允许用户在文件命名时使用多个后缀,而许多电子邮件程序只显示第一个后缀,例如,你看到的邮件附件名称是wow.jpg,而它的全名实际是wow.jpg.vbs,打开这个附件意味着运行一个恶意的VBScript病毒,而不是你的.jpg察看器。 二安装防病毒产品并保证更新最新的病毒定义码 建议你至少每周更新一次病毒定义码,因为防病毒软件只有最新才最有效。需要提醒你的是,你所是购买的诺顿防病毒软件,不仅是更新病毒定义码,而且同时更新产品的引擎,这是与其他防病毒软件所不一样的。这样的好处在于,可以满足新引擎在侦破和修复方面的需要,从而有效地抑制病毒和蠕虫。例如,赛门铁克的所有产品中都有“实时更新”LiveUpdate功能。 三首次安装防病毒软件时,一定要对计算机做一次彻底的病毒扫描 当你首次在计算机上安装防病毒软件时,一定要花费些时间对机器做一次彻底的病毒扫描,以确保它尚未受过病毒感染。功能先进的防病毒软件供应商现在都已将病毒扫描做为自动程序,当用户在初装其产品时自动执行。 四插入软盘、光盘和其他可插拔介质前,一定对它们进行病毒扫描 确保你的计算机对插入的软盘、光盘和其他的可插拔介质,及对电子邮件和互联网文件都会做自动的病毒检查。 （五）不要从任何不可靠的渠道下载任何软件 这一点比较难以做到，因为通常我们无法判断什么是不可靠的渠道。比较容易的做法是认定所有较有 名气的在线图书馆未受病毒感染，但是提供软件下载的网站实在太多了，我们无法肯定它们一定都采取了 防病毒的措施，所以比较保险的办法是对安全下载的软件在安装前先做病毒扫描。 （六）警惕欺骗性的病毒 如果你收到一封来自朋友的邮件，声称有一个最具杀伤力的新病毒，并让你将这封警告性质的邮件转 发给你所有认识的人，这十有八九是欺骗性的病毒。建议你访问防病毒软件供应商，如赛门铁克的网站 证实确有其事。这些欺骗性的病毒，不仅浪费收件人的时间，而且可能与 其声称的病毒一样有杀伤力。 （七）使用其他形式的文档，如.rtf（Rich Text at）和.pdf（Portable Document at） 常见的病毒使用 Microsoft Office 的程序传播， 减少使用这些文件类型的机会将降低病毒感染风险。 尝 试用 Rich Text 存储文件，这并不表明仅在文件名称中用.rtf 后缀，而是要在 Microsoft Word 中，用“另存 为”指令，在对话框中选择 Rich Text 形式存储。尽管 Rich Text at 依然可能含有内嵌的对象，但它本 身不支持 Visual Basic Macros 或 。而 pdf 文件不仅是跨平台的，而且更为安全。当然，这也不是能 够彻底避开病毒的万全之计。 （八）不要用共享的软盘安装软件，或者更为糟糕的是复制共享的软盘 这是导致病毒从一台机器传播到另一台机器的方式。 同时， 该软件没有注册也会被认为是非正版软件， 而我们基本可以较为合理地推断，复制非法软件的人一般对版权法和合法使用软件并不在乎，同样，他们 对安装和维护足够的病毒防护措施也不会太在意。盗版软件是病毒传染的最主要渠道。 （九）禁用 Windows Scripting Host Windows Scripting Host（WSH） 运行各种类型的文本，但基本都是 VBScript 或 。换句话说， Windows Scripting Host 在文本语言之间充当翻译的角色，该语言可能支持 ActiveX Scripting 界面，包括 VBScript, 或 Perl， 及所有 Windows 的功能， 包括访问文件夹、 文件快捷方式、 网络接入和 Windows 注册等。许多病毒/蠕虫，如 Bubbleboy 和 KAK.worm 使用 Windows Scripting Host，无需用户点击附件， 就可自动打开一个被感染的附件。 四、结束语 计算机网络的安全问题越来越受到人们的重视，本文简要地分析了计算机网络存在的几种安全隐患， 并探讨了计算机网络的几种安全防范措施。总的来说，网络安全不仅仅是技术问题，同时也是一个安全管 理问题。我们必须综合考虑安全因素，制定合理的目标、技术方案和相关的配套法规等。世界上不存在绝 对安全的网络系统，随着计算机网络技术的进一步发展，网络安全防护技术也必然随着网络应用的发展而 不断发展。 参考文献 [1] 陈斌.计算机网络安全于防御[J].信息技术与网络服务，2006.04 [2] 林建平.计算机网络安全防控策略的若干分析. 山西广播电视大学学报，2006.11 [3] 王宏伟. 网络安全威胁与对策[J].应用技术，2006.05 [4] 夏丹丹，李刚，程梦梦，于亮. 入侵检测系统综述[J].网络安全技术与应用.2007.01 [5] 孙健，王韬，李东强[J].病毒防护技术的研究. 科学技术与工程，2005.11