計算機網(wǎng)絡(luò)安全體系結(jié)構(gòu)

應(yīng)用系統(tǒng)工程的觀點、方法來分析網(wǎng)絡(luò)的安全，根據(jù)制定的安全策略，確定合理的網(wǎng)絡(luò)安全體系結(jié)構(gòu)。

網(wǎng)絡(luò)劃分:

1、公用網(wǎng)

2、專用網(wǎng):

(1)保密網(wǎng)

(2)內(nèi)部網(wǎng)

建網(wǎng)的原則:

從原則上考慮:例如選取國家利益。

從安全級別上:1，最高級為安全不用，無論如何都是不可取的。2，3，4 全部要考慮。

因此按保密網(wǎng)、內(nèi)部網(wǎng)和公用網(wǎng)或按專用網(wǎng)和公用網(wǎng)來建設(shè)，采用在物理上絕對分開，各自獨立的體系結(jié)構(gòu)。

舉例說明(僅供參考)，建網(wǎng)初期的原則:

1、任何內(nèi)部及涉密信息不準(zhǔn)上網(wǎng)。

2、以外用為主，獲取最新相關(guān)的科技資料，跟蹤前沿科技。

3、只開發(fā)e-mail，ftp，www功能，而telnet，bbs不開發(fā)，telnet特殊需要的經(jīng)批準(zhǔn)給予臨時支持。說明一下，建網(wǎng)時，www功能還沒有正常使用。

4、撥號上網(wǎng)嚴(yán)格控制，除領(lǐng)導(dǎo)，院士，專家外，一般不批準(zhǔn)。原因是，撥號上網(wǎng)的隨意性和方便性使得網(wǎng)絡(luò)安全較難控制。

5、網(wǎng)絡(luò)用戶嚴(yán)格經(jīng)領(lǐng)導(dǎo)、保密辦及網(wǎng)絡(luò)部三個部門審批上網(wǎng)。

6、單位上網(wǎng)機器與辦公機器截然分開，定期檢查。

7、簽定上網(wǎng)保證書，確定是否非政治，非保密，非黃毒信息的上網(wǎng)，是否侵犯知識產(chǎn)權(quán)，是否嚴(yán)格守法。

8、對上網(wǎng)信息的內(nèi)容進(jìn)行審查、審批手續(xù)。

為了使更多的科技人員及其他需要的人員上網(wǎng)，采用逐步分階段實施，在安全設(shè)施配齊后，再全面開放。

五、公用網(wǎng)絡(luò)安全設(shè)施的考慮

1. 信息稽查:從國家利益考慮，對信息內(nèi)容進(jìn)行審查、審批手續(xù)。

信息截獲，稽查后，再傳輸是最好的辦法。由于機器速度慢，決定了不可能實時地進(jìn)行信息交流，因而難于實時稽查。

信息復(fù)制再分析是可行的辦法。把信件及文件復(fù)制下來，再按涉密等關(guān)鍵詞組檢索進(jìn)行檢查，防止無意識泄密時有據(jù)可查。起到威懾作用和取證作用。

2. 防火墻:常規(guī)的安全設(shè)施。

3. 網(wǎng)絡(luò)安全漏洞檢查:各種設(shè)備、操作系統(tǒng)、應(yīng)用軟件都存在安全漏洞，起到堵和防的兩種作用。

4. 信息代理:

(1)主要從保密上考慮。如果一站點的某一重要信息，被某一單位多人次的訪問，按概率分析，是有必然的聯(lián)系，因此是否暴露自己所從事的事業(yè)。

(2)可以提高信息的交換速度。

(3)可以解決ip地址不足的問題。

5. 入侵網(wǎng)絡(luò)的安全檢查設(shè)施，應(yīng)該有。但是，由于事件和手法的多樣性、隨機性，難度很大，目前還不具備，只能使用常規(guī)辦法，加上人員的分析。

信息──信息是資源，信息是財富。信息化的程度已經(jīng)成為衡量一個國家，一個單位綜合技術(shù)水平，綜合能力的主要標(biāo)志。從全球范圍來看，發(fā)展信息技術(shù)和發(fā)展信息產(chǎn)業(yè)也是當(dāng)今競爭的一個制高點。

計算機信息技術(shù)的焦點集中在網(wǎng)絡(luò)技術(shù)，開放系統(tǒng)，小型化，多媒體這四大技術(shù)上。

安全──internet的發(fā)展將會對社會、經(jīng)濟(jì)、文化和科技帶來巨大推動和沖擊。但同時，internet在全世界迅速發(fā)展也引起了一系列問題。由于internet強調(diào)它的開放性和共享性，其采用的tcp/ip、snmp等技術(shù)的安全性很弱，本身并不為用戶提供高度的安全保護(hù)，internet自身是一個開放系統(tǒng)，因此是一個不設(shè)防的網(wǎng)絡(luò)空間。隨著internet網(wǎng)上用戶的日益增加，網(wǎng)上的犯罪行為也越來越引起人們的重視。

對信息安全的威脅主要包括:

內(nèi)部工作人員將內(nèi)部保密信息通過e-mail發(fā)送出去或用ftp的方式送出去。

"黑客"入侵

"黑客"入侵是指黑客通過非法連接、非授權(quán)訪問、非法得到服務(wù)、病毒等方式直接攻入內(nèi)部網(wǎng)，對其進(jìn)行侵?jǐn)_。這可直接破壞重要系統(tǒng)、文件、數(shù)據(jù)，造成系統(tǒng)崩潰、癱瘓，重要文件與數(shù)據(jù)被竊取或丟失等嚴(yán)重后果。

外部人員通過業(yè)務(wù)流分析、竊取，獲得內(nèi)部重要情報。這種攻擊方式主要是通過一些日常社會交往獲取有用信息，從而利用這些有用信息進(jìn)行攻擊。如通過竊聽別人的談話，通過看被攻擊對象的公報等獲取一些完整或不完整的有用信息，再進(jìn)行攻擊。

外部人員在外部線路上進(jìn)行信息篡改、銷毀、欺騙、假冒。

差錯、誤操作與疏漏及自然災(zāi)害等。

信息戰(zhàn)──信息系統(tǒng)面臨的威脅大部分來源于上述原因。對于某些組織，其威脅可能有所變化。全球范圍 內(nèi)的競爭興起，將我們帶入了信息戰(zhàn)時代。

現(xiàn)代文明越來越依賴于信息系統(tǒng)，但也更易遭受信息戰(zhàn)。信息戰(zhàn)是對以下方面數(shù)據(jù)的蓄意攻擊:

機密性和占有性

完整性和真實性

可用性與占用性

信息戰(zhàn)將危及個體、團(tuán)體;政府部門和機構(gòu);國家和國家聯(lián)盟組織。信息戰(zhàn)是延伸進(jìn)和經(jīng)過cyberspace進(jìn)行的戰(zhàn)爭新形式。

如果有必要的話，也要考慮到信息戰(zhàn)對網(wǎng)絡(luò)安全的威脅。一些外國政府和有組織的恐怖分子、間諜可能利用"信息戰(zhàn)"技術(shù)來破壞指揮和控制系統(tǒng)、公用交換網(wǎng)和其它國防部依靠的系統(tǒng)和網(wǎng)絡(luò)以達(dá)到破壞軍事行動的目的。造成災(zāi)難性損失的可能性極大。從防御角度出發(fā)，不僅要考慮把安全策略制定好，而且也要考慮到信息基礎(chǔ)設(shè)施應(yīng)有必要的保護(hù)和恢復(fù)機制。

經(jīng)費──是否投資和投資力度

信息系統(tǒng)是指社會賴以對信息進(jìn)行管理、控制及應(yīng)用的計算機與網(wǎng)絡(luò)。其信息受損或丟失的后果將影響到社會各個方面。

在管理中常常視安全為一種保障措施，它是必要的，但又令人討厭。保障措施被認(rèn)為是一種開支而非一種投資。相反地，基于這樣一個前提，即系統(tǒng)安全可以防止災(zāi)難。因此它應(yīng)是一種投資，而不僅僅是為恢復(fù)所付出的代價。

建網(wǎng)定位的原則:國家利益，企業(yè)利益，個人利益。

信息安全的級別:

1.最高級為安全不用

2.秘密級:絕密，機密，秘密

3.內(nèi)部

4.公開

建網(wǎng)的安全策略，應(yīng)以建網(wǎng)定位的原則和信息安全級別選擇的基礎(chǔ)上制定。

網(wǎng)絡(luò)安全策略是網(wǎng)絡(luò)安全計劃的說明，是設(shè)計和構(gòu)造網(wǎng)絡(luò)的安全性，以防御來自內(nèi)部和外部入侵者的行動 計劃及阻止網(wǎng)上泄密的行動計劃。

保險是對費用和風(fēng)險的一種均衡。首先，要清楚了解你的系統(tǒng)對你的價值有多大，信息值須從兩方面考慮:它有多關(guān)鍵，它有多敏感。其次，你還須測定或者經(jīng)常的猜測面臨威脅的概率，才有可能合理地制定安全策略和進(jìn)程。

風(fēng)險分析法可分為兩類:定量風(fēng)險分析和定性風(fēng)險分析。定量風(fēng)險分析是建立在事件的測量和統(tǒng)計的基礎(chǔ)上，形成概率模型。定量風(fēng)險分析最難的部分是評估概率。我們不知道事件何時發(fā)生，我們不知道這些攻擊的代價有多大或存在多少攻擊;我們不知道外部人員造成的人為威脅的比重為多少。最近，利用適當(dāng)?shù)母怕史植迹瑧?yīng)用monte carlo(蒙特卡羅)仿真技術(shù)進(jìn)行模塊風(fēng)險分析。但實用性不強，較多的使用定性風(fēng)險。

風(fēng)險分析關(guān)心的是信息受到威脅、信息對外的暴露程度、信息的重要性及敏感度等因素，根據(jù)這些因素進(jìn)行綜合評價。

一般可將風(fēng)險分析列成一個矩陣:

將以上權(quán)重組合，即:

得分 = ( 威脅 × 透明 ) + ( 重要性 × 敏感度 )

= ( 3 × 3 ) + ( 5 × 3) = 24

根據(jù)風(fēng)險分析矩陣可得出風(fēng)險等級為中風(fēng)險。

網(wǎng)絡(luò)安全策略開發(fā)必須從詳盡分析敏感性和關(guān)鍵性上開始。風(fēng)險分析，在信息戰(zhàn)時代，人為因素也使風(fēng)險分析變得更難了。

1，專用屏蔽機房;

2，低信息輻射泄露網(wǎng)絡(luò);

3，低信息輻射泄露單機。

不能讓外國人給我們守大門

1、按先進(jìn)國家的經(jīng)驗，考慮不安全因素，網(wǎng)絡(luò)接口設(shè)備選用本國的，不使用外國貨。

2、網(wǎng)絡(luò)安全設(shè)施使用國產(chǎn)品。

3、自行開發(fā)。

網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu):重要的是確定信息安全邊界

1、一般結(jié)構(gòu):外部區(qū)、公共服務(wù)區(qū)、內(nèi)部區(qū)。

2、考慮國家利益的結(jié)構(gòu):外部區(qū)、公共服務(wù)區(qū)、內(nèi)部區(qū)及稽查系統(tǒng)和代理服務(wù)器定位。

3、重點考慮撥號上網(wǎng)的安全問題:遠(yuǎn)程訪問服務(wù)器，放置在什么位置上，能滿足安全的需求。

第1章 計算機網(wǎng)絡(luò)安全概述

1.1 網(wǎng)絡(luò)安全簡介

1.2 計算機網(wǎng)絡(luò)安全

1.2.1 計算機網(wǎng)絡(luò)安全的定義

1.2.2 網(wǎng)絡(luò)安全的特征

1.3 網(wǎng)絡(luò)安全面臨的威脅

1.3.1 網(wǎng)絡(luò)內(nèi)部威脅

1.3.2 網(wǎng)絡(luò)外部威脅

1.3.3 安全防范措施

1.4 網(wǎng)絡(luò)安全體系結(jié)構(gòu)

1.4.1 安全服務(wù)

1.4.2 安全機制

1.5 計算機網(wǎng)絡(luò)系統(tǒng)的安全評估

1.5.1 計算機網(wǎng)絡(luò)系統(tǒng)安全評估的重要性

1.5.2 計算機網(wǎng)絡(luò)系統(tǒng)的安全標(biāo)準(zhǔn)

1.5.3 計算機網(wǎng)絡(luò)系統(tǒng)的安全等級

小結(jié)

思考與練習(xí)

第2章 密碼技術(shù)

2.1 密碼技術(shù)簡介

2.2 傳統(tǒng)的加密方法

2.2.1 替換密碼

2.2.2 變位密碼

2.3 常用加密技術(shù)介紹

2.3.1 DES算法

2.3.2 IDEA算法

2.3.3 RSA算法

2.4 加密技術(shù)的典型應(yīng)用--數(shù)字簽名

2.4.1 數(shù)字簽名的定義

2.4.2 數(shù)字簽名的實現(xiàn)

2.4.3 數(shù)字簽名的發(fā)展方向

2.5 密鑰管理

2.6 PGP加密軟件簡介

小結(jié)

思考與練習(xí)

實訓(xùn)

第3章 計算機網(wǎng)絡(luò)通信協(xié)議與安全

3.1 TCP/IP協(xié)議簡介

3.1.1 TCP/IP協(xié)議以及工作原理

3.1.2 以太網(wǎng)

3.2 網(wǎng)絡(luò)通信不安全的因素

3.2.1 網(wǎng)絡(luò)自身的安全缺陷

3.2.2 網(wǎng)絡(luò)容易被竊聽和欺騙

3.2.3 脆弱的TCP/IP服務(wù)

3.2.4 缺乏安全策略

3.2.5 來自Intemet的威脅

3.3 網(wǎng)絡(luò)協(xié)議存在的不安全性

3.3.1 IP協(xié)議與路由

3.3.2 TCP協(xié)議

3.3.3 Telnet協(xié)議

3.3.4 文件傳輸協(xié)議FTP

小結(jié)

思考與練習(xí)

第4章 操作系統(tǒng)的安全與策略

4.1 操作系統(tǒng)安全簡介

4.1.1 操作系統(tǒng)安全

4.1.2 操作系統(tǒng)的安全機制

4.1.3 操作系統(tǒng)的安全策略

4.1.4 操作系統(tǒng)的漏洞和威脅

4.2 Windows2000安全性簡介

4.2.1 安全登錄

4.2.2 訪問控制

4.2.3 安全審計

4.2.4 Windows2000的安全策略

4.3 Windows2000的用戶安全和管理策略

4.3.1 用戶帳戶和組

4.3.2 Windows2000系統(tǒng)的用戶帳戶的管理

4.3.3 Windows2000組管理與策略

4.4 NTFS文件和文件夾的存取控制

4.4.1 Windows2000中的NTFS權(quán)限

4.4.2 在NTFS下用戶的有效權(quán)限

4.4.3 NTFS權(quán)限的規(guī)劃

4.4.4 共享文件和文件夾的存取控制

4.5 使用審核資源

4.5.1 審核事件

4.5.2 事件查看器

4.5.3 使用審核資源

4.6 Windows2000的安全應(yīng)用

小結(jié)

思考與練習(xí)

實訓(xùn)

第5章 防火墻技術(shù)

5.1 防火墻技術(shù)簡介

5.1.1 防火墻的定義

5.1.2 防火墻的作用

5.1.3 防火墻的缺陷

5.1.4 防火墻技術(shù)的發(fā)展趨勢

5.2 防火墻技術(shù)的分類

5.2.1 包過濾防火墻技術(shù)

5.2.2 代理防火墻技術(shù)

5.3 常見的防火墻系統(tǒng)結(jié)構(gòu)

5.4 防火墻選購策略

5.5 防火墻實例

5.5.1 常見防火墻軟件介紹

5.5.2 天網(wǎng)防火墻個人版簡介

小結(jié)

思考與練習(xí)

實訓(xùn)

第6章 入侵檢測技術(shù)

6.1 入侵檢測簡介

6.1.1 入侵檢測

6.1.2 入侵檢測的發(fā)展

6.2 入侵檢測系統(tǒng)的組成

6.2.1 入侵檢測系統(tǒng)的組成

6.2.2 入侵檢測系統(tǒng)的類型

6.3 常用的入侵檢測方法

6.4 入侵檢測系統(tǒng)的未來發(fā)展

6.4.1 入侵檢測系統(tǒng)的局限性

6.4.2 入侵檢測的未來發(fā)展

6.5 入侵檢測系統(tǒng)的選購策略

6.6 入侵檢測系統(tǒng)實例

6.6.1 常見入侵檢測系統(tǒng)介紹

6.6.2 入侵檢測系統(tǒng)BlaeklCE簡介

小結(jié)

思考與練習(xí)

實訓(xùn)

第7章 網(wǎng)絡(luò)病毒防范與清殺

7.1 計算機病毒基礎(chǔ)知識

7.1.1 計算機病毒定義

7.1.2 計算機病毒的發(fā)展歷史

7.1.3 計算機病毒的特點

7.1.4 計算機病毒的種類

7.1.5 計算機病毒的工作原理

7.1.6 計算機病毒的檢測、防范和清殺

7.2 網(wǎng)絡(luò)病毒的防范和清殺

7.3 典型網(wǎng)絡(luò)病毒介紹

7.3.1 宏病毒

7.3.2 電子郵件病毒

7.3.3 網(wǎng)絡(luò)病毒實例

7.4 常用殺毒軟件介紹

7.4.1 瑞星殺毒軟件

7.4.2 金山殺毒軟件

7.4.3 江民殺毒軟件

小結(jié)

思考與練習(xí)

實訓(xùn)

第8章 黑客的攻擊與防范

8.1 黑客的定義

8.2 黑客攻擊的目的和步驟

8-3常見的黑客攻擊方法

8.3.1 常見的黑客攻擊方法

8.3.2 拒絕服務(wù)攻擊

8.3.3 特洛伊木馬攻擊

8.4 常見黑客工具簡介

8.4.1 郵件炸彈工具

8.4.2 掃描工具

8.4.3 網(wǎng)絡(luò)監(jiān)聽工具

8.4.4 木馬程序

8.5 黑客攻擊的防范

8.5.1 防止黑客攻擊的措施

8.5.2 發(fā)現(xiàn)黑客入侵后的對策

小結(jié)

思考與練習(xí)

實訓(xùn)

第9章 Web安全

9.1 web技術(shù)簡介

9.1.1 Web基礎(chǔ)知識

9.1.2 Web服務(wù)器

9.1.3 Web瀏覽器

9.2 Web的安全風(fēng)險

9.2.1 Web的安全體系結(jié)構(gòu)

9.2.2 Web服務(wù)器的安全風(fēng)險

9.2.3 Web瀏覽器的安全風(fēng)險

9.3 Web瀏覽器的安全

9.3.1 瀏覽器本身的漏洞

9.3.2 Web頁面中的惡意代碼

9.3.3 Web欺騙

9.4 wleb服務(wù)器的安全策略

9.4.1 制定安全策略

9.4.2 Web服務(wù)器安全應(yīng)用

小結(jié)

思考與練習(xí)

實訓(xùn)

參考文獻(xiàn)

《微處理器體系結(jié)構(gòu)》適合作為高等院校集成電路設(shè)計相關(guān)專業(yè)工程碩士的教材，并可以作為微處理器硬件與軟件設(shè)計相關(guān)專業(yè)高年級本科生和研究生的教材。