浅析确保计算机网络安全的防范技术

谈胜 王照环

摘要:随着计算机互联网的发展,网络信息的安全性及实现方法受到了人们极大的关注。本文阐述了计算机网络安全存在的威胁,影响计算机网络安全的主要因素,确保计算机网络安全的防范措施。

关键词:网络安全需求技术手段防范策略

中图分类号:TP3 文献标识码:A 文章编号:1672-3791(2012)04(c)-0040-01

1计算机网络安全存在的威胁

由于计算机网络分布广泛和开放性的特征,很容易受到各种攻击。常见的计算机网络安全威胁主要有:窃听,伪造,篡改,拒绝服务攻击,电子欺诈,拒绝未经授权的访问和传输。

2网络安全需求

(1)身份认证:身份认证是授权控制的基础。身份认证必须做到准确的将对方辨别出来。应该提供双向的认证,即互相证明自己的身份,目前一般采用基于对称密钥或公开密钥加密的方法,如kerberos,PGP等。

(2)授权控制:授权控制是控制不同用户对信息资源访问权限,对授权控制的要求主要有以下几点。

①一致性,即控制没有二义性。

②统一性,对信息资源集中管理,同意观测安全策略。

③要求有审计功能,对所有授权记录可以核查。

④尽可能地提供细粒度的控制。

(3)数据加密:数据加密是最基本的保证安全通信的手段。目前加密技术主要有两大类:一类是基于对称密钥加密的算法,也称为私钥算法;另一类是基于非对称密钥加密的算法,也称为公钥算法。加密手段可以分为硬件加密和软件加密,硬件加密速度快、效率高、安全性好、成本高;软件加密成本低且灵活。

(4)数据完整性:数据完整性是指网上传输的数据应防止被修改、删除、插入、替换或重发,以保证合法用户接受和使用该数据的真实性。

(5)抗抵赖性:接收方要确保对方不能够抵赖收到的信息是其发出的信息,而且不是被他人冒名、篡改过的信息。通常采用的方法是电子签名。

3确保计算机网络安全的技术手段

(1)防火墙技术:要想实现网络的安全,一个很基本的方法就是把被保护的网络从开放的、无边界的网络环境中独立出来,使之成为可管理、可控制、安全的内部网络,为实现这一目标的最基本的手段就是在网络的对外接口,采用防火墙技术。防火墙有点像古代守护城池用的护城河,在现实生活中,Internet防火墙常常被安装在受保护的内部网络上并接入Internet。防火墙的主要作用是通过控制出、入一个网络的权限,防止一个需要保护的网络遭外界因素的干扰和破坏。从总体上看,防火墙应该具有以下基本功能:对网络攻击进行检测和告警,管理进、出网络的访问行为并过滤进、出网络的数据,通过防火墙的信息内容和活动,封堵某些禁止行为。

(2)NAT技术:隐藏内部网络信息。可以用来减少对注册地址的需求。简单的说,NAT就是当内部节点要与外界网络发生联系时,在防火墙或边缘路由器处,将内部地址替换成可路由的合法地址,从而在外部公共网上正常使用。当内部节点不需与外界网络发生联系时,在内部专用网络中使用不可路由的内部地址。这只是一种过渡的解决方法

(3)VPN技术:VPN可文译为虚拟专用网,具有虚拟特点,它并不是专有的封闭线路或者是租用某个网络服务商提供的封闭线路,但同时又具有专线的数据传输功能,因为VPN能够像专线一样在公共网络上处理自己公司的信息。VPN具有以下优点:①成本低;②扩展容易;③完全控制主动权。

(4)网络加密技术(Ipsec):IPSec是安全联网的长期方向。它通过端对端的安全性来提供主动的保护以防止专用网络与 Internet 的攻击。其作用是保护IP数据包的内容,通过数据包筛选及受信任通讯的实施来防御网络攻击。其中以接收和发送最为重要。IPSec的安全特性主要有:不可否认性、反重播性、数据完整性、数据可靠性(加密)、认证。

4安全防范策略

网络是个动态的系统,即使最初制定的安全策略十分可靠,但是随着网络结构和应用的不断变化,安全策略可能失效,下面介绍一系列比较重要的防范策略。

(1)访问控制:将访问控制设备放在网络边界处并启用访问控制功能,对进出网络的信息内容进行过滤。限制网络最大流量数及网络连接数,按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问。根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,在会话结束后终止网络连接。重要网段应采取技术手段防止地址欺骗。

(2)结构的安全:确保主要网络设备的业务处理能力,具备冗余空间,保证在业务需要的高峰时满足各方面的网络带宽需求,在发生网络拥塞时候优先保护重要主机。部分重要网络避免直接与外部连接,禁止直接部署在边界处,采用可靠地技术手段,将重要网段与其他网段隔离。

(3)边界防护:把不同安全级别的网络相连接,就产生了网络边界。如何防护边界呢？对于公开的攻击,只有防护一条路,检查非授权设备私自联到内部网络和内部网络用户私自联到外部网络的行为,并确定出位置,对其进行有效阻断。

(4)入侵检测:在网络边界处监视或在可能的情况下,阻止入侵者试图控制自己的系统或网络资源。检测任何损害系统的机密性、完整性或可用性的行为的一种网络安全策略。

(5)安全扫描:借助扫描软件对计算机系统及网络端口进行安全性检查,能够帮助管理员查找目标主机,找到运行的服务及其相关属性,并发现这些服务潜在的漏洞。它只是帮助管理员找到网络的隐患,并不能直接解决问题。

(6)日志审计系统:日志文件是包含关于系统消息的文件,这些消息通常来自于操作系统内核、运行的服务,以及在系统上运行的应用程序。日志文件包括系统日志、安全日志、应用日志等。日志审计系统通过一些特定的、预先定义的规则来发现日志中潜在的问题,显然它是一种被动式、事后的防护或事中跟踪的手段,很难在事前发挥作用。

5结语

显然,保障网络安全性与网络服务效率永远是一对矛盾体,要想网络系统安全可靠,势必会增加许多控制措施和安全设备,这会或多或少的影响使用效率和方便性。

参考文献

[1] 馬利.姚永雷计算机网络安全[M].清华大学出版社,2010,8.

[2] 宋凯.刘念计算机网络[M].清华大学出版社,2010,2.

[3] 周小华.计算机网络安全技术与解决方案[M].浙江大学出版社,2008,10.