浅谈计算机网络安全技术与管理体系（上）——概述及威胁分析

服务器是计算机使用当中对于用户最为重要的，而计算机网络存在的问题 影响着计算机功能的发挥，通过对网络安全问题的分析，我们从网络安全体系 的建立，网络安全的全过程管理等方面维护着网络安全，从而保证用户计算机 使用的安全顺畅。

一、概述

1.1 网络安全简介

网络的安全是指通过采用各种技术和管理措施，使网络系统正常运行，从而确保网络数据的可用性、完整性和保密性。网络安全的具体含义会随着“角度”的变化而变化。比如：从用户（个人、企业等）的角度来说，他们希望涉及个人隐私或商业利益的信息在网络上传输时受到机密性、完整性和真实性的保护。

网络安全应具有以下五个方面的特征：

1).保密性：信息不泄露给非授权用户、实体或过程，或供其利用的特性。

2).完整性：数据未经授权不能进行改变的特性。即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。

3).可用性：可被授权实体访问并按需求使用的特性。即当需要时能否存取所需的信息。例如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击。

4).可控性：对信息的传播及内容具有控制能力。

5).可审查性：出现的安全问题时提供依据与手段从网络运行和管理者角度说，他们希望对本地网络信息的访问、读写等操作受到保护和控制，避免出现“陷门”、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁，制止和防御网络黑客的攻击。对安全保密部门来说，他们希望对非法的、有害的或涉及国家机密的信息进行过滤和防堵，避免机要信息泄露，避免对社会产生危害，对国家造成巨大损失。从社会教育和意识形态角度来讲，网络上不健康的内容，会对社会的稳定和人类的发展造成阻碍，必须对其进行控制。

1.2 网络管理简介 

网络管理简介网络管理是保障网络可靠运行的最重要手段。网络管理员通过网络管理系统对网络进行全面监控。一个功能完善的网络管理系统主要具有以下几大功能。

1.2.1 显示网络拓扑图

网络管理系统首先都具有联网设备自动发现功能，并通过使用IP和IPX网络彩色编码分级视图，建立起网络的布局映像图 。   

          图1   IP 和 IPX 网络彩色编码分级视图

1.2.2 端口状态监视与分析

对网络设备的端口状态进行监控以及分析是任何一个网管系统都必须具备的关键功能。通过网管系统，网络管理人员可以很方便地得到端口状态的扩展数据、带宽利用、交通统计表、协议信息和其他的网络功效统计表等。

1.2.3 故障诊断和报警

故障诊断及报警是网络管理系统重要的管理功能之一。网络管理系统配置了大量网络管理软件，可对整个网络状况进行快速、全面、智能化的检测，不仅可以判断网络中所有设备的连通或断开的情况，而且能够通过检测整个网络的流量分布，判断网络通信的瓶颈位置，以便及时调整网络设备的分布，调整网络设备的工作时间，使网络工作在最佳的状态。对网络中故障的诊断是通过网络状态参数的阈值管理，为多种网络设备产生一个警报或事件通知。事件滤波器使事件压缩成有用的信息，以加速故障诊断。

1.2.4 简化网络设备管理

在网络管理系统环境下，简化对交换机、路由器等设备的管理。

1.2.5 具有配置VLAN的能力

一般交换机VLAN的配置直接在交换机上实现，而通过网络管理系统在交换机之间配置VLAN，使VLAN的配置更简单快捷。随着网络技术的不断发展，应用水平的不断提高，对网络管理提出了更高的要求，其实所谓的网络安全一般情况下指的就是网络的信息安全，计算机在受到不法分子的攻击时，会致使用户的重要信息外泄或者计算机数据被破损。随着科学技术的不断发展变更，网络攻击的手段也在不断地更新换代，攻击的方式也越来越复杂。怎样能更好地预防计算机网络安全隐患是迫在眉睫的问题。如今的网络攻击都是有组织有预谋的，一些木马病毒也日益猖獗泛滥。网络安全预防工作受到严重的威胁。现在的网络发展还不够成熟，黑客很容易实施网络攻击，网络结构不紧密也造成网络信息传递严重受到威胁，与此同时计算机软件的不成熟也大大加深了计算机网络管理的难度。针对这些问题加强计算机网络安全，提高计算机网络安全预防能力刻不容缓。

不断地增强，网络管理的理念、技术和方法也在不断地创新。总之，通过网络管理系统，最终的目的就是能够提高网络的可用性和可靠性，从而在整体上提高网络运行的效率，降低管理成本。

二、当前的计算机网络安全威胁分析

2.1 强化计算机管理是网络系统安全的保证

加强设施管理，确保计算机网络系统实体安全。建立健全安全管理制度，防止非法用户进入计算机控制室和各种非法行为的发生；注重在保护计算机系统、网络服务器、打印机等外部设备和能信链路上狠下功夫，并不定期的对运行环境条件（温度、湿度、清洁度、三防措施、供电接头、志线及设备）进行检查、测试和维护；着力改善抑制和防止电磁泄漏的能力，确保计算机系统有一个良好的电磁兼容的工作环境。

2.2 强化访问控制，力促计算机网络系统运行正常

访问控制是网络安全防范和保护的主要措施，它的任务是保证网络资源不被非法用户使用和非常访问，是网络安全最重要的核心策略之一。

第一，建立入网访问功能模块。入网访问控制为网络提供了第一层访问控制。它允许哪些用户可以登录到网络服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。用户的入网访问控制可分为3个过程：用户名的识别与验证；用户口令的识别与验证；用户账号的检查。在3个过程中如果其中一个不能成立，系统就视为非法用户，则不能访问该。网络用户的用户名与口令进行验证是防止非法访问的第一道防线。网络用户注册时首先输入用户名与口令，远程服务器将验证所输入的用户名是否合法，如果验证合法，才能进一步验证口令，否则，用户将被拒之门外。网络管理员将对普通用户的账号使用、访问网络时间、方式进行管理，还能控制用户登录入网的站点以及限制用户入网的工作站数量。

第二，建立网络的权限控制模块。网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。可以根据访问权限将用户分为3种类型：特殊用户（系统管理员）；一般用户，系统管理员根据他们的实际需要为他们分配操作权限；审计用户，负责网络的安全控制与资源使用情况的审计。

第三，建立属性安全服务模块。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。属性安全在权限安全的基础上提供更进一步的安全性。网络属性可以控制以下几个方面的权限：向某个文件写数据、拷贝一个文件、删除目录或文件的查看、执行、隐含、共享及系统属性等，还可以保护重要的目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。

第四，建立网络服务器安全设置模块。网络服务器的安全控制包括设置口令锁定服务器控制台；设置服务器登录时间限制、非法访问者检测和关闭的时间间隔；安装非法防问设备等。安装非法防问装置最有效的设施是安装防火墙。它是一个用以阻止网络中非法用户访问某个网络的屏障，也是控制进、出两个方向通信的门槛。防火墙有2种类型：一是双重宿主主机体系结构的防火墙；二是被屏蔽主机体系结构的防火墙。流行的软件有：金山毒霸、KV3000 、瑞星、KILL等。

第五，建立档案信息加密制度。保密性是计算机系统安全的一个重要方面，主要是利用密码信息对加密数据进行处理，防止数据非法泄漏。利用计算机进行数据处理可大大提高工作效率，但在保密信息的收集、处理、使用、传输同时，也增加了泄密的可能性。因此对要传输的信息和存储在各种介质上的数据按密级进行加密是行之有效的保护措施之一。

第六，建立网络智能型日志系统。日志系统具有综合性数据记录功能和自动分类检索能力。在该系统中，日志将记录自某用户登录时起，到其退出系统时止，这所执行的所有操作，包括登录失败操作，对数据库的操作及系统功能的使用。日志所记录的有执行某操作的用户保执行操作的机器IP地址操作类型操作对象及操作执行时间等，以备日后审计核查之用。

第七，建立完善的备份及恢复机制。为了防止存储设备的异常损坏，可采用由热插拔SCSI硬盘所组成的磁盘容错阵列，以RAID5的方式进行系统的实时热备份。同时，建立强大的数据库触发器和恢复重要数据的操作以及更新任务，确保在任何情况下使重要数据均能最大限度地得到恢复。第八建立安全管理机构。安全管理机构的健全与否，直接关系到一个计算机系统的安全。其管理机构由安全、审计、系统、软硬件、通信、保安等有关人员组成。