摘 要：本文作者從危害網絡安全的6個方面的主要因素進行分析，論述了建立完善的網絡安全方案、保護網絡系統核心資源的必要性，繼之詳細論述了網絡安全分層控制方案的內容，即：采用分層控制方案，將整個網絡分為外部網傳輸控制層、內外網間訪問、內部網絡訪問控制層、操作系統及應用軟件層和數據存儲層，進而對各層的安全采取不同的技術措施。

　　關鍵詞：網絡安全 分層控制 Internet

　　自有計算機網絡以來，網絡安全就成為網絡使用者不得不面對的問題。隨著網絡應用的飛速發展、Internet應用的日益廣泛，計算機網絡安全問題變得尤為突出。今年年初，從美國的Yahoo！網站開始，美國、歐洲及我國的一些著名網站不斷遭到黑客的攻擊，這使人們對信息安全問題更加關注，建立完善的網絡安全方案、保護核心資源已迫在眉睫。

　　一、網絡安全的主要威脅

　　影響網絡安全的因素很多，既有自然因素，也有人為因素，其中人為因素危害較大，歸結起來，主要有六個方面構成對網絡的威脅：

　　1、人為失誤：一些無意的行為，如：丟失口令、非法操作、資源訪問控制不合理、管理員安全配置不當以及疏忽大意允許不應進入網絡的人上網等，都會對網絡系統造成極大的破壞。

　　2、病毒感染：從“蠕蟲”病毒開始到CIH、愛蟲病毒，病毒一直是計算機系統安全最直接的威脅，網絡更是為病毒提供了迅速傳播的途徑，病毒很容易地通過代理服務器以軟件下載、郵件接收等方式進入網絡，然后對網絡進行攻擊，造成很大的損失。

　　3、來自網絡外部的攻擊：這是指來自局域網外部的惡意的攻擊，例如：有選擇地破壞網絡信息的有效性和完整性；偽裝為合法用戶進入網絡并占用大量資源；修改網絡數據、竊取、破譯機密信息、破壞軟件執行；在中間站點攔截和讀取絕密信息等。

　　4、來自網絡內部的攻擊：在局域網內部，一些非法用戶冒用合法用戶的口令以合法身份登陸網站后，查看機密信息，修改信息內容及破壞應用系統的運行。

　　5、系統的漏洞及“后門”：操作系統及網絡軟件不可能是百分之百的無缺陷、無漏洞的。另外，編程人員為自便而在軟件中留有“后門”，一旦“漏洞”及“后門”為外人所知，就會成為整個網絡系統受攻擊的首選目標和薄弱環節。大部分的黑客入侵網絡事件就是由系統的“漏洞”和“后門”所造成的。

　　6、隱私及機密資料的存儲和傳輸：機密資料存儲在網絡系統內，當系統受到攻擊時，如不采取措施，很容易被搜集而造成泄密。同樣，機密資料在傳輸過程中，由于要經過多外節點，且難以查證，在任何中介網站均可能被讀取。因而，隱私和機密資料的存儲及傳輸也是威脅網絡安全的一個重要方面。

　　由于網絡所帶來的諸多不安全因素，使得網絡使用者必須采用相應的網絡安全技術和安全控制體系來堵塞安全漏洞以保證信息的安全。

　　二、安全分層控制方案

　　在網絡安全方面，可以采用多種技術從不同角度來保證住處的安全。然而，單純的防護技術可能導致系統安全的盲目性，這種盲目是對系統的某個或某些方面的安全采取了安全措施而對其它方面有所忽視。因而，在網絡安全上，我們采用分層控制方案，將整個網絡分為外部網絡傳輸控制層、內外網間訪問控制層、內部網絡訪問控制層、操作系統及應用軟件層和數據存儲層，進而對各層的安全采取不同的技術措施。

　　(一)外部網絡傳輸控制層：

　　外部網絡是指局域網路由器和防水墻之外的公用網。當前網絡技術發展聲速，因物網四通八達，網上黑客手段多種多樣，為了保證安全，可以從四個方面采取措施：

　　1、虛擬專網(VPN)技術：對于從專線連接的外部網絡用戶，采用虛擬專網(VPN)技術，它使架設于公眾網絡上的私有網絡使用信道協議及相關的安全程序進行保密，還可以采用點對點協議、加密后送出資料及加密收發兩端網絡位置等措施使虛擬專網更加可靠。

　　2、身份認證技術：對于撥號入網的用戶進行嚴格控制，在撥號線路上加裝保密機，使無保密機的用戶無法撥通；通過用戶名和口令認真檢查用戶身體；利用回撥技術再次確認和限制非法用戶的入侵。

　　3、加密技術：在外部網絡的數據傳輸過程中，采用密碼技術對信息加密是最常用的安全保護手段。目前廣泛使用的有對稱算法和非對稱算法兩類加密算法，兩種方法結合使用，加上數字簽名、數字時間戳、數字水印及數字證書等技術，可以使通信安全得到保證。

　　4、物理隔離：共用網及因特網黑客日益猖獗，加上我國使用計算機及網絡設備的軟硬件產品大多數是進口的，安全上沒有很好的保證，因而將外部網絡中的因特網與專用網絡如軍用網實現物理隔離，使之沒有任何連接，可以使局域與外部專用網絡連接時，局域網在安全上較為穩妥。

(二)內外網間訪問控制層

　　在內部局域網和外部網絡之間，可以采用以下技術來對外部和內部網絡間的訪問進行控制：

　　1、防火墻：是硬件和軟件的組合，他在內部網和外部網間建立起一個安全網關，過濾經過的數據包，決定是否將它們轉送到目的地。它能夠控制網絡進出的信息流向，提供網絡使用狀況和流量的審計、隱藏內部IP地址及網絡結構的細節。

　　2、防毒網關：防火墻無法防止病毒的傳播，因而需要安裝基于Internet網關的防毒軟件，具體可以安裝到代理服務器上，以防止Internet病毒及Java程序對系統的破壞。

　　3、網絡地址轉換技術：當內部主機與外部相連時，使用同一IP地址；相反，外部網絡與內部主機連接時，必須通過網關映射到內部主機上。它使外部看不到內部網絡，從而隱藏內部網絡，達到保密作用，同時，它還可能解決IP地址的不足。

　　4、代理服務及路由器：可以根據設置地址、服務、內容等要素來控制用的訪問，代理服務器及路由器起訪問的中介作用，使內部網絡和外部網絡間不能直接訪問，從而保證內部關鍵信息的安全。

　　5、安全掃描：可以通過各種安全掃描軟件對系統進行檢測與分析，迅速找到安全漏洞并加以修復。目前有多種軟件可以對設備進行掃描，檢查它們的弱點并生成報表。

　　6、入侵檢測：可以采用一些安全產品對網絡上流動的數據包進行檢查，識別非法入侵入其它可疑行為，并給予及時的響應及防護。

　　(三)內部網訪問控制層

　　在局域網內部，非法用戶的登陸和對數據的非法修改更加不易查出。當用戶安全意識差、口令選擇或保存不慎、帳號轉借和共享都會對網絡安全造成極大的威脅，從內部網訪問控制層進行安全防護，可采取五種措施。

　　1、用戶的身份認證：用戶入網訪問控制分為三步，即用戶名的驗證：用戶口令的驗證；用戶帳號的驗證。用戶口令是入網的關鍵，必須經過加密，用戶還可采用一次一密的方法，另外還可以使用智能卡來驗證用戶身份。同時，還可將用戶與所用的計算機聯系起來，使用戶用固定的計算機上網，以減少用戶的流動性，加強管理。

　　2、權限控制：這是針對網絡非法操作提出的一種安全保護措施。用戶和用戶組被賦予一定的權限，網絡控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其它資料及用戶可執行的操作。

　　3、加密技術：為存放秘密信息的服務器加裝密碼機，對網上傳輸的秘密信息加密，以實現秘密數據的安全傳輸。

　　4、客戶端安全防護：首先，應切斷病毒傳播的途徑，降低感染病毒的風險；其次，使用的瀏覽器必須確保符合安全標準，使客戶端的工作站得安全保證。

　　5、安全檢測：使用安全檢測和掃描軟件對網絡設備和客戶端工作站進行檢測和分析，查找安全漏洞并加以修復，使用防病毒軟件進行病毒查找和殺毒工作。

　　(四)操作系統及應用軟件層

　　操作系統是整個系統工作的基礎，也是系統安全的基礎，因而必須采取措施保證操作系統平臺的安全。安全措施主要包括：采用安全性較高的系統，對系統文件加密，操作系統防病毒、系統漏洞及入侵檢測等。

　　1、采用安全性較高的系統：美國國防部技術標準把操作系統安全等級分為D1、C1、C2、B1、B2、B3、A級，安全等級由低到高，目前主要的操作系統等級分為C2級。在使用C2級系統時，應盡量使用C2級的安全措施及功能，對操作系統進行安全配置。在極端重要的系統中，應采用B級操作系統。

　　2、加密技術：對操作系統中某些重要的文件進行加密，防止非法出版的讀取及修改。

　　3、病毒的防范：在主機上安裝防病毒軟件，對病毒進行定時或實時的病毒掃描及檢測，對防病毒軟件進行及時升級以發現和殺滅新型的病毒。

　　4、安全掃描：通過對主機進行一系列設置和掃描，對系統的各個環節提供可靠的分析結果，為系統管理員提供可靠性和安全性分析報告，對系統進行及時升級以彌補漏洞及關閉“后門”。

　　5、入侵檢測：安裝基于主機的入侵檢測系統，可檢查操作系統日志和其它系統特征，判斷入侵事件，在非法修改主面時自動作出反應，對已入侵的訪問和試圖入侵的訪問進行跟蹤記錄，并及時通知系統管理員，使管理員可對網絡的各種活動進行實時監視。

　　(五)數據存儲層

　　數據存儲在服務器或加密終端上，數據存儲的安全性是系統安全性的重要組成部分。對數據的安全保護措施可以采用以下幾種方式：

　　1、使用較安全的數據庫系統：目前的大多數數據庫系統是基于C2安全等級的。使用時，應盡量使用C2級安全措施及功能。在重要的系統中，在B級操作系統的基礎上采用B級數據庫系統。

　　2、加密技術：對于要求保密的數據，采用加密的方法進行存儲。加密存儲可以通過連接在服務器或終端機上的加密機完成。

　　3、數據庫安全掃描：采用安全掃描軟件對數據庫進行掃描和檢測，為數據庫管理系統找出存在的漏洞，以便及時升級系統、彌補漏洞。

　　4、存儲介質的安全：可以通過磁盤鏡像，磁盤雙工、RAID技術等數據維護技術，再配合磁盤備份、光盤備份等技術來做到不會因某個硬盤的損壞而導致系統崩潰、數據丟失等災難發生。

　　三、總結

　　信息系統安全需要從多方面加以考慮，特別需要研究整個網絡的安全策略，并在安全策略的指導下進行整體的安全建設。這里給出了一個分層安全控制方案，每一層采用多種技術手段進行實現。

　　網絡安全問題十分復雜，建立適應的安全策略、采用適應的安全技術、選擇適用的軟硬件工具，是信息安全的保證。

　　作者簡介：

　　沈軍：1966年7月出生，副教授，碩士，桂林空軍學院教育技術中心，訓練模擬、網絡工程、曾獲多項軍隊科技進步成果獎，各級學術會議發表論文多篇。

　　李彥希：1974年7月出生，助教，大學本科，桂林空軍學院教育技術中心，計算機應用，省(部)級學術會議發表論文多篇。