计算机网络安全

网络安全的含义

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

网络安全的威胁包括非授权访问、信息泄露和拒绝服务。

非授权访问（unauthorizedaccess）：一个非授权的人的入侵。主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。

信息泄露（disclosureof information）：造成将有价值的和高度机密的信息暴露给无权访问该信息的人的所有问题。

拒绝服务（denial ofservice）：使得系统难以或不可能继续执行任务的所有问题。如通过向服务器发送大量垃圾信息或干扰信息的方式，导致服务器无法向正常用户提供服务的现象。

网络安全的威胁还包括人为的因素。

不管是什么样的网络系统都离不开人的管理，但又大多数缺少安全管理员，特别是高素质的网络管理员。

此外，缺少网络安全管理的技术规范，缺少定期的安全测试与检查，更缺少安全监控。令人担忧的许多网络系统已使用多年，但网络管理员与用户的注册、口令等还是处于缺省状态。

信息安全标准包括TCSEC标准和CC标准。

在TCSEC中，美国国防部按信息的等级和应用采用的响应措施，将计算机安全从高到低分为：A、B、C、D四类八个级别，共27条评估准则。其中D为无保护级，C为自主保护级，B为强制保护级，A为验证保护级。

CC标准主要考虑人为的信息威胁，也可用于非人为因素导致的威胁。

详细介绍TCSEC

TCSEC标准是计算机系统安全评估的第一个正式标准，具有划时代的意义，被称作橘皮书。该准则于1970年由美国国防科学委员会提出，并于1985年12月由美国国防部公布。TCSEC最初只是军用标准，后来延至民用领域。TCSEC将计算机系统的安全划分为4个等级、7个级别。

D类安全等级：D类安全等级只包括D1一个级别。D1的安全等级最低。D1系统只为文件和用户提供安全保护。D1系统最普通的形式是本地操作系统，或者是一个完全没有保护的网络。

C类安全等级：该类安全等级能够提供审慎的保护，并为用户的行动和责任提供审计能力。C类安全等级可划分为C1和C2两类。C1系统的可信任运算基础* ，通过将用户和数据分开来达到安全的目的。在C1系统中，所有的用户以同样的灵敏度来处理数据，即用户认为C1系统中的所有文档都具有相同的机密性。C2系统比C1系统加强了可调的审慎控制。在连接到网络上时，C2系统的用户分别对各自的行为负责。C2系统通过登陆过程、安全事件和资源隔离来增强这种控制。C2系统具有C1系统中所有的安全性特征。

B类安全等级：B类安全等级可分为B1、B2和B3三类。B类系统具有强制性保护功能。强制性保护意味着如果用户没有与安全等级相连，系统就不会让用户存取对象。B1系统满足下列要求：系统对网络控制下的每个对象 都进行灵敏度标记；系统使用灵敏度标记 作为所有强迫访问控制的基础；系统在把导入的、非标记的对象放入系统前标记它们；灵敏度标记必须准确地表示其所联系的对象的安全级别;当系统管理员创建系统 或者增加新的通信通道 或I/O设备时，管理员必须指定每个通信通道和I/O设备是单级还是多级，并且管理员只能手工改变指定;单级设备并不保持传输信息的灵敏度级别;所有直接面向用户位置的输出 都必须产生标记 来指示关于输出对象的灵敏度;系统必须使用用户的口令 或证明来决定用户的安全访问级别;系统必须通过审计 来记录未授权访问的企图。

B2系统必须满足B1系统的所有要求。另外，B2系统的管理员必须使用一个明确的、文档化的安全策略模式 作为系统的可信任运算基础*。B2系统必须满足下列要求：系统必须立即通知系统中的每一个用户 所有与之相关的网络连接的改变；只有用户能够在可信任通信路径中 进行初始化通信；可信任运算基础* 能够支持独立的操作者和管理员。

B3系统必须符合B2系统的所有安全需求。B3系统具有很强的监视 委托管理访问能力和抗干扰能力。B3系统必须设有安全管理员。B3系统应满足以下要求:除了控制对个别对象的访问外，

B3必须产生一个可读的安全列表；每个被命名的对象提供对该对象没有访问权的用户列表说明;B3系统在进行任何操作前，要求用户进行身份验证；B3系统验证每个用户，同时还会发送一个取消访问的审计跟踪消息；设计者必须正确区分 可信任的通信路径和其他路径；可信任的通信基础* 为每一个被命名的对象建立安全审计跟踪；可信任的运算基础*支持独立的安全管理。

A类安全等级：A系统的安全级别最高。目前，A类安全等级只包含A1一个安全类别。A1类与B3类相似，对系统的结构和策略不作特别要求。A1系统的显著特征是，系统的设计者 必须按照一个正式的设计规范来分析系统。对系统分析后，设计者必须运用核对技术 来确保系统符合设计规范。A1系统必须满足下列要求：系统管理员必须从开发者那里接收到一个安全策略的正式模型;所有的安装操作都必须由系统管理员进行；系统管理员进行的每一步安装操作都必须有正式文档。

在欧洲四国（英、法、德、荷）提出了评价满足保密性、完整性、可用性要求的信息技术安全评价准则（ITSEC）后，美国又联合以上诸国和加拿大，并会同国际标准化组织（ISO）共同提出信息技术安全评价的通用准则（CC for ITSEC），CC已经被五技术发达的国家承认为代替TCSEC的评价安全信息系统的标准，并且被ISO批准为国际标准（编号ISO/IEC15408）。

综上，详细介绍了TCSEC标准，TCSEC标准是计算机系统安全评估的第一个正式标准，具有划时代的意义。TCSEC最初只是军用标准，后来延至民用领域。TCSEC将计算机系统的安全划分为4个等级、7个级别。

防火墙

 

防火墙技术就是一种保护计算机网络安全的技术性措施，是在内部网络和外部网络之间实现控制策略的系统，主要是为了用来保护内部的网络不易受到来自Internet的侵害。

防火墙的类型包括网络级防火墙、应用级防火墙和数据库防火墙.

网络级防火墙也称包过滤防火墙，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙，通常由一个路由器或一台充当路由器的计算机组成。

应用级防火墙可以拦截进出某应用程序的所有数据包，即直接将数据包丢弃，通常指运行代理（Proxy）服务器软件的一台计算机主机。

数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防护系统。基于主动防御机制，实现数据库的访问行为控制、危险操作阻断、可疑行为审计。

防火墙的不足包括：不能防范绕过防火墙的攻击；一般的防火墙不能防止受到病毒感染的软件或文件的传输；不能防止数据驱动式攻击；难以避免来自内部的攻击。

详细介绍 防火墙

防火墙 ，也称防护墙，是一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关，从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。

在网络中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet） 分开的方法，它实际上是一种隔

离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意” 的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。

从原理上来分，防火墙则可以分成4种类型：特殊设计的硬件防火墙、数据包过滤型、电路层网关和应用级网关。安全性能高的防火墙系统都是组合运用多种类型防火墙，构筑多道防火墙“防御工事”。

网络层防火墙可视为一种 IP封包过滤器，运作在底层的TCP/IP协议堆栈上。我们可以以枚举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙 。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则。

较新的防火墙能利用封包的多样属性来进行过滤，例如：来源 IP地址、来源端口号、目的 IP地址或端口号、服务类型 。也能经由通信协议、TTL 值、来源的网域名称或网段...等属性来进行过滤。

应用层防火墙是在TCP/IP 堆栈的“应用层”上运作， 使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。应用层防火墙可以拦截 进出某应用程序的所有封包，并且*其他的封包。理论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。

数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防护系统。基于主动防御机制，实现数据库的访问行为控制、危险操作阻断、可疑行为审计。

数据库防火墙通过SQL协议分析，根据预定义的禁止和许可策略让合法的SQL操作通过，阻断非法违规操作，形成数据库的外围防御圈，实现SQL危险操作的主动预防、实时审计。

数据库防火墙面对来自于外部的入侵行为，提供SQL注入禁止和数据库虚拟补丁包功能。

防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等。

防火墙最基本的功能就是控制在计算机网络中，不同信任程度区域间传送的数据流。例如互联网是不可信任的区域，而内部网络是高度信任的区域。以避免安全策略中禁止的一些通信，与建筑中的防火墙功能相似。它有控制信息基本的任务在不同信任的区域。

全面的内容防护至少要包括漏洞扫描、WEB防护、内容过滤三个内容。漏洞扫描要能发现对操作系统、应用系统、网络协议、用户设备漏洞的防护，对利用漏洞进行的攻击进行阻断。WEB防护功能应包括网站攻击防护、应用隐藏、口令保护和权限控制。内容过滤功能应该能显现对关键字、URL集、病毒、木马、恶意控件/脚本的过滤。

综上，详细介绍了防火墙，防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。

加密技术

 

数据加密的基本过程就是对原来为明文的文件或数据按某种算法进行处理，使其成为不可读的一段代码，通常称为"密文"，使其只能在输入相应的**之后才能显示出本来内容，通过这样的途径来达到保护数据不被非法人窃取、阅读的目的。

最简单的加密技术是字母替换密码，如凯撒密码，可以通过词频统计的方法**。

加密的安全性在于，加密解密算法方法是公开的，而加密的**是绝对的隐藏的，非授权用户取得已加密的数据，就算知道加密算法，若没有加密的**，也不能打开被加密保护的信息。公开的加密算法是给黑客和专家长年累月攻击测试，对比隐蔽的加密算法要安全得多。

加密类型分为两种，对称加密与非对称加密，对称加密双方采用共同**，也被称作单**加密，这个**是需要对外保密的。非对称加密，也被称作双**加密，这种加密方式存在两个**，一个是公共**，这是一个公开的**，一种是私人**，对外是保密。

接下来介绍对称加密，最著名的对称**加密算法是DES。DES使用56位**对64位的数据块进行加密，并对64位的数据块进行16轮编码。

然后介绍非对称加密，非常著名的加密算法是RSA。RSA是基于大数不可能被质因数分解假设的公钥体系。简单地说就是找两个很大的质数。它们的乘积作为两个**的一部分，这两个**是互补的，也就是说用公钥加密的密文可以用私钥解密，反过来也一样。

非 对称加密的一个重要应用是数字签名。数字签名是一种类似写在纸上的普通的物理签名，使用非对称加密领域的技术实现，用于鉴别数字信息的方法。一套数字签名 通常定义两种互补的运算，一个用于签名，另一个用于验证。数字签名保证信息传输的完整性、实现发送者的身份认证、防止交易中的抵赖发生。

信息隐藏技术

 

信息隐藏技术（InformationHinding，也称信息伪装），是加密算法的应用之一，利用人类感觉器官对数字信号的感觉冗余，将一个信息伪装隐藏在另一个信息之中，实现隐蔽通信或隐蔽标识。

信息隐藏技术与自然界的“保护色”和人类社会的“藏头诗”很相似。

信息隐藏的方法主要有隐写术、数字水印技术、可视密码、潜信道、隐匿协议等。

隐写术，就是将秘密信息隐藏到普通的信息，如数字图像中进行传送。现有的

隐写术方法主要有利用高空间频率的图像数据隐藏信息、采用最低有效位方法将信息隐藏到宿主信号中、使用信号的色度隐藏信息的方法、在数字图像的像素亮度的统计模型上隐藏信息的方法。

数字水印，是将一些标识信息，即数字水印，直接嵌入数字载体当中，包括多媒体、文档、软件等，但不影响原载体的使用价值，也不容易被人的知觉系统，如视觉或听觉系统，觉察或注意到。可以有极强水印和易碎水印等不同应用。

可视密码，主要特点是恢复秘密图像时不需要任何复杂的密码学计算,而是以人的视觉即可将秘密图像辨别出来。

详细介绍 数字水印

数字水印技术是将一些标识信息直接嵌入数字载体当中或是间接表示，且不影响原载体的使用价值，也不容易被探知和再次修改。但可以被生产方识别和辨认。通过这些隐藏在载体中的信息，可以达到确认内容创建者、购买者、传送隐秘信息或者判断载体是否被篡改等目的。数字水印是保护信息安全、实现防伪溯源、版权保护的有效办法，是信息隐藏技术研究领域的重要分支和研究方向。

 

数字水印技术基本上具有下面几个方面的特点：

----安全性：数字水印的信息应是安全的，难以篡改或伪造，同时，应当有较低的误检测率，当原内容发生变化时，数字水印应当发生变化，从而可以检测原始数据的变更；当然数字水印同样对重复添加有很强的抵抗性

----隐蔽性：数字水印应是不可知觉的，而且应不影响被保护数据的正常使用；不会降质；

----鲁棒性：是指在经历多种无意或有意的信号处理过程后，数字水印仍能保持部分完整性并能被准确鉴别。可能的信号处理过程包括信道噪声、滤波、数/模与模/数转换、重采样、剪切、位移、尺度变化以及有损压缩编码等。

--嵌入容量(embedding capacity)：是指载体在不发生形变的前提下可嵌入的水印信息量。尤其是隐蔽通信领域的特殊性，对水印的容量需求很大。

----按水印的特性可以将数字水印分为鲁棒数字水印和易损数字水印两类。鲁棒水印主 要用于在数字作品中标识著作权信息，利用这种水印技术在多媒体内容的数据中嵌入创建者、所有者的标示信息，或者嵌入购买者的标示（即***）。在发生版权 纠纷时，创建者或所有者的信息用于标示数据的版权所有者，而***用于追踪违反协议而为盗版提供多媒体数据的用户。用于版权保护的数字水印要求有很强的鲁 棒性和安全性，除了要求在一般图像处理（如：滤波、加噪声、替换、压缩等）中生存外，还需能抵抗一些恶意攻击。

----易损水印，与鲁棒水印的要求相反，易损数字水印主要用于完整性保护，这种水印同样是在内容数据中嵌入不可见的信息。当内容发生改变时，这些水印信息会发生相应的改变，从而可以鉴定原始数据是否被篡改。易损水印应对一般图像处理有较强的免疫能力 ，同时又要求有较强的敏感性，即：既允许一定程度的失真，又要能将失真情况探测出来。必须对信号的改动很敏感，人们根据易损水印的状态就可以判断数据是否被篡改过。

----按水印所附载的媒体，我们可以将数字水印划分为图像水印、音频水印、视频水印、文本水印以及用于三维网格模型的网格水印等。随着数字技术的发展，会有更多种类的数字媒体出现，同时也会产生相应的水印技术。

----按水印的检测过程可以将数字水印划分为明文水印和盲水印。明文水印在检测过程中需要原始数据，而盲水印的检测只需要**，不需要原始数据。一般来说，明文水印的鲁棒性比较强，但其应用受到存储成本的限制。目前学术界研究的数字水印大多数是盲水印。

----按 数字水印的内容可以将水印划分为有意义水印和无意义水印。有意义水印是指水印本身也是某个数字图像（如商标图像）或数字音频片段的编码；无意义水印则只对 应于一个***。有意义水印的优势在于，如果由于受到攻击或其他原因致使解码后的水印破损，人们仍然可以通过视觉观察确认是否有水印。但对于无意义水印来 说，如果解码后的水印序列有若干码元错误，则只能通过统计决策来确定信号中是否含有水印。

----不同的应用需求造就了不同的水印技术。按水印的用途，我们可以将数字水印划分为票证防伪水印、版权保护水印、篡改提示水印和隐蔽标识水印。

----票 证防伪水印是一类比较特殊的水印，主要用于打印票据和电子票据、各种证件的防伪。一般来说，伪币的制造者不可能对票据图像进行过多的修改，所以，诸如尺度 变换等信号编辑操作是不用考虑的。但另一方面，人们必须考虑票据破损、图案模糊等情形，而且考虑到快速检测的要求，用于票证防伪的数字水印算法不能太复 杂。

----版权标识水印是目前研究最多的一类数字水印。数字作品既是商品又是知识作品，这种双重性决定了版权标识水印主要强调隐蔽性和鲁棒性，而对数据量的要求相对较小。

----篡改提示水印是一种脆弱水印，其目的是标识原文件信号的完整性和真实性。

----隐蔽标识水印的目的是将保密数据的重要标注隐藏起来，限制非法用户对保密数据的使用。

----按数字水印的隐藏位置，我们可以将其划分为时（空）域数字水印、频域数字水印、时/频域数字水印和时间/尺度域数字水印。

----时（空）域数字水印是直接在信号空间上叠加水印信息，而频域数字水印、时/频域数字水印和时间/尺度域数字水印则分别是在DCT变换域、时/ 频变换域和小波变换域上隐藏水印。

v*n

 

v*n ，即Virtual Private Network，虚拟专用网。v*n是一个公用IP网络上的两个站点之间的IP连接。它的有效负荷都被加密，只有源和目的点才能解密业务分组。

虚拟网，是指源和目的之间的数据通路是与其他传输共享的；用网络，非授权用户不可访问源和目的之间所传的数据。

v*n 提供了更高一级的安全，不仅能够加密用户的数据，而且能够加密协议栈中的数据项，某些会话攻击形式可能会通过攻击协议栈中的数据项来损害用户的站点。

v*n的隧道协议主要有三种：PPTP、L2TP和IPSec，其中PPTP和L2TP协议工作在OSI模型的第二层，又称为二层隧道协议；IPSec是第三层隧道协议。

PPTP集成在Windows NT中，使用Microsoft 专用的点对点加密算法，该算法为远程拨号和局域网-局域网提供了加密和身份认证。

L2TP提供了ISP服务器和网络之间的隧道。用户建立一条到ISP服务器的点对点拨号连接。服务器将ppp帧封装在L2F帧内，封装后被转发到3层设备（路由器）进行传输。