客觀地說(shuō)，沒有任何一個(gè)網(wǎng)絡(luò)能夠免受安全的困擾，
依據(jù)Financial Times曾做過的統(tǒng)計(jì)，平均每2 0秒鐘就有
一個(gè)網(wǎng)絡(luò)遭到入侵。但同時(shí)，安全又是電子商務(wù)發(fā)展的根
本。企業(yè)與消費(fèi)者對(duì)電子交易安全的擔(dān)憂嚴(yán)重阻礙了電子
商務(wù)的發(fā)展，如何改進(jìn)電子商務(wù)的現(xiàn)狀，讓用戶不必為安
全擔(dān)心，是推動(dòng)安全技術(shù)不斷發(fā)展的動(dòng)力。另一方面，互
聯(lián)網(wǎng)應(yīng)用不僅僅是網(wǎng)上購(gòu)物、網(wǎng)上拍賣、網(wǎng)上服務(wù)等，還
應(yīng)包括電子政務(wù)，如電子郵件、網(wǎng)上信息發(fā)布、在線辦公
等。信息安全產(chǎn)業(yè)固有的敏感性及特殊性，直接影響著國(guó)
家的安全利益和經(jīng)濟(jì)利益，所以國(guó)家對(duì)信息安全產(chǎn)品實(shí)行
研制，生產(chǎn)，銷售，使用及進(jìn)出口實(shí)行嚴(yán)格及有效的管理
控制。所有這些因素都呼喚國(guó)內(nèi)的信息安全產(chǎn)業(yè)早日發(fā)展
并成熟起來(lái)。
網(wǎng)絡(luò)安全的目標(biāo)
網(wǎng)絡(luò)安全的目標(biāo)應(yīng)當(dāng)滿足：
身份真實(shí)性：能對(duì)通訊實(shí)體身份的真實(shí)性進(jìn)行鑒別；
信息機(jī)密性：保證機(jī)密信息不會(huì)泄露給非授權(quán)的人或?qū)嶓w
；信息完整性：保證數(shù)據(jù)的一致性，能夠防止數(shù)據(jù)被非授
權(quán)用戶或?qū)嶓w建立、修改和破壞；服務(wù)可用性：保證合法
用戶對(duì)信息和資源的使用不會(huì)被不正當(dāng)?shù)鼐芙^；不可否認(rèn)
性：建立有效的責(zé)任機(jī)制，防止實(shí)體否認(rèn)其行為；系統(tǒng)可
控性：能夠控制使用資源的人或?qū)嶓w的使用方式；系統(tǒng)易
用性：在滿足安全要求的條件下，系統(tǒng)應(yīng)當(dāng)操作簡(jiǎn)單、維
護(hù)方便；可審查性：對(duì)出現(xiàn)的網(wǎng)絡(luò)安全問題提供調(diào)查的依
據(jù)和手段。
網(wǎng)絡(luò)面臨的安全威脅
網(wǎng)絡(luò)中的主機(jī)可能會(huì)受到非法入侵者的攻擊，網(wǎng)絡(luò)中
的敏感數(shù)據(jù)有可能泄露和或被修改，從內(nèi)部網(wǎng)向共網(wǎng)傳送
的信息可能被他人竊聽或篡改等等，造成網(wǎng)絡(luò)安全的威脅
的原因可能是多方面的，有來(lái)自外部，也有可能來(lái)自企業(yè)
網(wǎng)絡(luò)內(nèi)部。攻擊者主要是利用了TCP/IP協(xié)議的安全漏洞和
操作系統(tǒng)的安全漏洞。歸納起來(lái)，系統(tǒng)的安全威脅常表現(xiàn)
為以下特征：
竊聽：攻擊者通過監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)獲得敏感信息；重傳
：攻擊者事先獲得部分或全部信息，以后將此信息發(fā)送給
接收者；偽造：攻擊者將偽造的信息發(fā)送給接收者；篡改
：攻擊者對(duì)合法用戶之間的通訊信息進(jìn)行修改、刪除、插
入，再發(fā)送給接收者；拒絕服務(wù)攻擊：攻擊者通過某種方
法使系統(tǒng)響應(yīng)減慢甚至癱瘓，阻止合法用戶獲得服務(wù)；行
為否認(rèn)：通訊實(shí)體否認(rèn)已經(jīng)發(fā)生的行為；非授權(quán)訪問：沒
有預(yù)先經(jīng)過同意，就使用網(wǎng)絡(luò)或計(jì)算機(jī)資源被看作非授權(quán)
訪問。它主要有以下幾種形式：假冒、身份攻擊、非法用
戶進(jìn)入網(wǎng)絡(luò)系統(tǒng)進(jìn)行違法操作、合法用戶以未授權(quán)方式進(jìn)
行操作等；傳播病毒：通過網(wǎng)絡(luò)傳播計(jì)算機(jī)病毒，其破壞
性非常高，而且用戶很難防范。如眾所周知的CIH病毒，最
近出現(xiàn)的“愛蟲”病毒都具有極大的破壞性。
網(wǎng)絡(luò)安全技術(shù)與安全機(jī)制
網(wǎng)絡(luò)安全技術(shù)涉及的內(nèi)容是非常廣泛的。從廣義上講
，網(wǎng)絡(luò)安全技術(shù)主要包括以下幾個(gè)方面：
主機(jī)安全技術(shù)、身份認(rèn)證技術(shù)、訪問控制技術(shù)、密碼
技術(shù)、防火墻技術(shù)、安全審計(jì)技術(shù)、安全管理技術(shù)、系統(tǒng)
漏洞檢測(cè)技術(shù)、黑客跟蹤技術(shù)
為了實(shí)現(xiàn)網(wǎng)絡(luò)安全，采用的安全機(jī)制主要包括：
加密機(jī)制。加密是確保數(shù)據(jù)保密性；數(shù)字簽名機(jī)制。
數(shù)字簽名用來(lái)確保數(shù)據(jù)真實(shí)性和進(jìn)行身份驗(yàn)證；訪問控制
機(jī)制。訪問控制按照事先確定的規(guī)則決定主體對(duì)客體的訪
問是否合法；數(shù)據(jù)完整性機(jī)制。數(shù)據(jù)完整性是保證數(shù)據(jù)不
被修改；認(rèn)證機(jī)制。計(jì)算機(jī)網(wǎng)絡(luò)中認(rèn)證主要有站點(diǎn)認(rèn)證，
報(bào)文認(rèn)證，用戶和進(jìn)程的認(rèn)證；信息流填充機(jī)制。信息流
填充使攻擊者不知道哪些是有用信息，哪些是無(wú)用信息，
從而挫敗信息流分析攻擊；路由控制機(jī)制。路由控制機(jī)制
可根據(jù)信息發(fā)送者的申請(qǐng)選擇安全路徑，以確保數(shù)據(jù)安全
；公正機(jī)制。主要是在發(fā)生糾紛時(shí)進(jìn)行公正仲裁用。
網(wǎng)絡(luò)安全解決方案
一個(gè)完整的網(wǎng)絡(luò)安全解決方案所考慮的問題應(yīng)當(dāng)是非
常全面的。保證網(wǎng)絡(luò)安全需要靠一些安全技術(shù)，但是最重
要的是要有詳細(xì)的安全策略和良好的內(nèi)部管理。
在確立網(wǎng)絡(luò)安全的目標(biāo)和策略之后，還要確定實(shí)施網(wǎng)
絡(luò)安全所應(yīng)付出的代價(jià)，然后選擇確實(shí)可行的技術(shù)方案，
方案實(shí)施完成之后最重要的是要加強(qiáng)管理，制定培訓(xùn)計(jì)劃
和網(wǎng)絡(luò)安全管理措施。完整的安全解決方案應(yīng)該覆蓋網(wǎng)絡(luò)
的各個(gè)層次，并且與安全管理相結(jié)合。
物理層的安全防護(hù)：在物理層上主要通過制定物理層
面的管理規(guī)范和措施來(lái)提供安全解決方案。
鏈路層安全保護(hù)：主要是鏈路加密設(shè)備對(duì)數(shù)據(jù)加密保
護(hù)。它對(duì)所有用戶數(shù)據(jù)一起加密，用戶數(shù)據(jù)通過通信線路
送到另一節(jié)點(diǎn)后解密。
網(wǎng)絡(luò)層和安全防護(hù)：網(wǎng)絡(luò)層的安全防護(hù)是面向IP包的
。網(wǎng)絡(luò)層主要采用防火墻作為安全防護(hù)手段，實(shí)現(xiàn)初級(jí)的
安全防護(hù)。在網(wǎng)絡(luò)層也可以根據(jù)一些安全協(xié)議實(shí)施加密保
護(hù)。在網(wǎng)絡(luò)層也可實(shí)施相應(yīng)的入侵檢測(cè)。
傳輸層的安全防護(hù)：傳輸層處于通信子網(wǎng)和資源子網(wǎng)
之間，起著承上啟下的作用。傳輸層也支持多種安全服務(wù)
：1) 對(duì)等實(shí)體認(rèn)證服務(wù)；2)訪問控制服務(wù)；3)數(shù)據(jù)保密服
務(wù)；4)數(shù)據(jù)完整性服務(wù)；5)數(shù)據(jù)源點(diǎn)認(rèn)證服務(wù)。
應(yīng)用層的安全防護(hù)：原則上講所有安全服務(wù)均可在應(yīng)
用層提供。在應(yīng)用層可以實(shí)施強(qiáng)大的基于用戶的身份認(rèn)證
。在應(yīng)用層也是實(shí)施數(shù)據(jù)加密，訪問控制的理想位置。在
應(yīng)用層還可加強(qiáng)數(shù)據(jù)的備份和恢復(fù)措施。應(yīng)用層可以是對(duì)
資源的有效性進(jìn)行控制，資源包括各種數(shù)據(jù)和服務(wù)。應(yīng)用
層的安全防護(hù)是面向用戶和應(yīng)用程序的，因此可以實(shí)施細(xì)
粒度的安全控制。
要建立一個(gè)安全的內(nèi)部網(wǎng)，一個(gè)完整的解決方案必須
從多方面入手。首先要加強(qiáng)主機(jī)本身的安全，減少漏洞；
其次要用系統(tǒng)漏洞檢測(cè)軟件定期對(duì)網(wǎng)絡(luò)內(nèi)部系統(tǒng)進(jìn)行掃描
分析，找出可能存在的安全隱患；建立完善的訪問控制措
施，安裝防火墻，加強(qiáng)授權(quán)管理和認(rèn)證；加強(qiáng)數(shù)據(jù)備份和
恢復(fù)措施；對(duì)敏感的設(shè)備和數(shù)據(jù)要建立必要的隔離措施；
對(duì)在公共網(wǎng)絡(luò)上傳輸?shù)拿舾袛?shù)據(jù)要加密；加強(qiáng)內(nèi)部網(wǎng)的整
體防病毒措施；建立詳細(xì)的安全審計(jì)日志等。
網(wǎng)絡(luò)的安全防范建議
Internet是一個(gè)公共網(wǎng)絡(luò)，網(wǎng)絡(luò)中有很多不安全的因
素。一般局域網(wǎng)和廣域網(wǎng)應(yīng)該有以下安全措施：
(1)系統(tǒng)要盡量與公網(wǎng)隔離，要有相應(yīng)的安全連接措施
。
(2)不同的工作范圍的網(wǎng)絡(luò)既要采用防火墻、安全路由
器、保密網(wǎng)關(guān)等相互隔離，又要在政策循序時(shí)保證互通。
(3)為了提供網(wǎng)絡(luò)安全服務(wù)，各相應(yīng)的環(huán)節(jié)應(yīng)根據(jù)需要
配置可單獨(dú)評(píng)價(jià)的加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整
性、業(yè)務(wù)流填充、路由控制、公證、鑒別審計(jì)等安全機(jī)制
，并有相應(yīng)的安全管理。
(4)遠(yuǎn)程客戶訪問重要的應(yīng)用服務(wù)要有鑒別服務(wù)器嚴(yán)格
執(zhí)行鑒別過程和訪問控制。
(5)網(wǎng)絡(luò)和網(wǎng)絡(luò)安全設(shè)備要經(jīng)受住相應(yīng)的安全測(cè)試。
(6)在相應(yīng)的網(wǎng)絡(luò)層次和級(jí)別上設(shè)立密鑰管理中心、訪
問控制中心、安全鑒別服務(wù)器、授權(quán)服務(wù)器等，負(fù)責(zé)訪問
控制以及密鑰、證書等安全材料的產(chǎn)生、更換、配置和銷
毀等相應(yīng)的安全管理活動(dòng)。
(7)信息傳遞系統(tǒng)要具有抗偵聽、抗截獲能力能對(duì)抗傳
輸信息的纂改、刪除、插入、重放、選取明文密碼破譯等
主動(dòng)攻擊和被動(dòng)攻擊，保護(hù)信息的機(jī)密性，保證信息和系
統(tǒng)的完整性。
(8)涉及保密的信息在傳輸過程中，在保密裝置以外不
以明文形式出現(xiàn)。(選自《互聯(lián)網(wǎng)周刊》)作者：馮運(yùn)波博
士
聯(lián)系客服
