2.7計(jì)算機(jī)網(wǎng)絡(luò)的安全策略

2.7.1 物理安全策略

    物理安全策略的目的是保護(hù)計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機(jī)等硬件實(shí)體和信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗(yàn)證用戶的身份和使用權(quán)限、防用戶越權(quán)操作；確保計(jì)算機(jī)系統(tǒng)有一個(gè)良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進(jìn)入計(jì)算機(jī)控制室和各種偷竊、破壞活動(dòng)的發(fā)生。

    抑制和防止電磁泄漏（即TEMPEST技術(shù)）是物理安全策略的一個(gè)主要問(wèn)題。目前主要防護(hù)措施有兩類：一類是對(duì)傳導(dǎo)發(fā)射的防護(hù)，主要采取對(duì)電源線和信號(hào)線加裝性能良好的濾波器，減小傳輸阻抗和導(dǎo)線間的交叉耦合。另一類是對(duì)輻射的防護(hù)，這類防護(hù)措施又可分為以下兩種：

    一是采用各種電磁屏蔽措施，如對(duì)設(shè)備的金屬屏蔽和各種接插件的屏蔽，同時(shí)對(duì)機(jī)房的下水管、暖氣管和金屬門窗進(jìn)行屏蔽和隔離；

    二是干擾的防護(hù)措施，即在計(jì)算機(jī)系統(tǒng)工作的同時(shí)，利用干擾裝置產(chǎn)生一種與計(jì)算機(jī)系統(tǒng)輻射相關(guān)的偽噪聲向空間輻射來(lái)掩蓋計(jì)算機(jī)系統(tǒng)的工作頻率和信息特征。

2.7.2 訪問(wèn)控制策略

    訪問(wèn)控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非常訪問(wèn)。它也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護(hù)作用，但訪問(wèn)控制可以說(shuō)是保證網(wǎng)絡(luò)安全最重要的核心策略之一。下面我們分述各種訪問(wèn)控制策略。

    1) 入網(wǎng)訪問(wèn)控制

    入網(wǎng)訪問(wèn)控制為網(wǎng)絡(luò)訪問(wèn)提供了第一層訪問(wèn)控制。它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，控制準(zhǔn)許用戶入網(wǎng)的時(shí)間和準(zhǔn)許他們?cè)谀呐_(tái)工作站入網(wǎng)。

    用戶的入網(wǎng)訪問(wèn)控制可分為三個(gè)步驟：用戶名的識(shí)別與驗(yàn)證、用戶口令的識(shí)別與驗(yàn)證、用戶帳號(hào)的缺省限制檢查。三道關(guān)卡中只要任何一關(guān)未過(guò)，該用戶便不能進(jìn)入該網(wǎng)絡(luò)。

    對(duì)網(wǎng)絡(luò)用戶的用戶名和口令進(jìn)行驗(yàn)證是防止非法訪問(wèn)的第一道防線。用戶注冊(cè)時(shí)首先輸入用戶名和口令，服務(wù)器將驗(yàn)證所輸入的用戶名是否合法。如果驗(yàn)證合法，才繼續(xù)驗(yàn)證用戶輸入的口令，否則，用戶將被拒之網(wǎng)絡(luò)之外。用戶的口令是用戶入網(wǎng)的關(guān)鍵所在。為保證口令的安全性，用戶口令不能顯示在顯示屏上，口令長(zhǎng)度應(yīng)不少于6個(gè)字符，口令字符最好是數(shù)字、字母和其他字符的混合，用戶口令必須經(jīng)過(guò)加密，加密的方法很多，其中最常見(jiàn)的方法有：基于單向函數(shù)的口令加密，基于測(cè)試模式的口令加密，基于公鑰加密方案的口令加密，基于平方剩余的口令加密，基于多項(xiàng)式共享的口令加密，基于數(shù)字簽名方案的口令加密等。經(jīng)過(guò)上述方法加密的口令，即使是系統(tǒng)管理員也難以得到它。用戶還可采用一次性用戶口令，也可用便攜式驗(yàn)證器（如智能卡）來(lái)驗(yàn)證用戶的身份。

    網(wǎng)絡(luò)管理員應(yīng)該可以控制和限制普通用戶的帳號(hào)使用、訪問(wèn)網(wǎng)絡(luò)的時(shí)間、方式。用戶名或用戶帳號(hào)是所有計(jì)算機(jī)系統(tǒng)中最基本的安全形式。用戶帳號(hào)應(yīng)只有系統(tǒng)管理員才能建立。用戶口令應(yīng)是每用戶訪問(wèn)網(wǎng)絡(luò)所必須提交的“證件”、用戶可以修改自己的口令，但系統(tǒng)管理員應(yīng)該可以控制口令的以下幾個(gè)方面的限制：最小口令長(zhǎng)度、強(qiáng)制修改口令的時(shí)間間隔、口令的唯一性、口令過(guò)期失效后允許入網(wǎng)的寬限次數(shù)。

    用戶名和口令驗(yàn)證有效之后，再進(jìn)一步履行用戶帳號(hào)的缺省限制檢查。網(wǎng)絡(luò)應(yīng)能控制用戶登錄入網(wǎng)的站點(diǎn)、限制用戶入網(wǎng)的時(shí)間、限制用戶入網(wǎng)的工作站數(shù)量。當(dāng)用戶對(duì)交費(fèi)網(wǎng)絡(luò)的訪問(wèn)“資費(fèi)”用盡時(shí)，網(wǎng)絡(luò)還應(yīng)能對(duì)用戶的帳號(hào)加以限制，用戶此時(shí)應(yīng)無(wú)法進(jìn)入網(wǎng)絡(luò)訪問(wèn)網(wǎng)絡(luò)資源。網(wǎng)絡(luò)應(yīng)對(duì)所有用戶的訪問(wèn)進(jìn)行審計(jì)。如果多次輸入口令不正確，則認(rèn)為是非法用戶的入侵，應(yīng)給出報(bào)警信息。

    2) 網(wǎng)絡(luò)的權(quán)限控制

    網(wǎng)絡(luò)的權(quán)限控制是針對(duì)網(wǎng)絡(luò)非法操作所提出的一種安全保護(hù)措施。用戶和用戶組被賦予一定的權(quán)限。網(wǎng)絡(luò)控制用戶和用戶組可以訪問(wèn)哪些目錄、子目錄、文件和其他資源�？梢灾付ㄓ脩魧�(duì)這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作。受托者指派和繼承權(quán)限屏蔽（IRM）可作為其兩種實(shí)現(xiàn)方式。受托者指派控制用戶和用戶組如何使用網(wǎng)絡(luò)服務(wù)器的目錄、文件和設(shè)備。繼承權(quán)限屏蔽相當(dāng)于一個(gè)過(guò)濾器，可以限制子目錄從父目錄那里繼承哪些權(quán)限。我們可以根據(jù)訪問(wèn)權(quán)限將用戶分為以下幾類：

    特殊用戶（即系統(tǒng)管理員）；

    一般用戶，系統(tǒng)管理員根據(jù)他們的實(shí)際需要為他們分配操作權(quán)限；

    審計(jì)用戶，負(fù)責(zé)網(wǎng)絡(luò)的安全控制與資源使用情況的審計(jì)。用戶對(duì)網(wǎng)絡(luò)資源的訪問(wèn)權(quán)限可以用一個(gè)訪問(wèn)控制表來(lái)描述。

    3) 目錄級(jí)安全控制

    網(wǎng)絡(luò)應(yīng)允許控制用戶對(duì)目錄、文件、設(shè)備的訪問(wèn)。用戶在目錄一級(jí)指定的權(quán)限對(duì)所有文件和子目錄有效，用戶還可進(jìn)一步指定對(duì)目錄下的子目錄和文件的權(quán)限。對(duì)目錄和文件的訪問(wèn)權(quán)限一般有八種：

    系統(tǒng)管理員權(quán)限（Supervisor）；

    讀權(quán)限（Read）；

    寫權(quán)限（Write）；

    創(chuàng)建權(quán)限（Create）；

    刪除權(quán)限（Erase）；

    修改權(quán)限（Modify）；

    文件查找權(quán)限（File Scan）；

    存取控制權(quán)限（Access Control）；

    用戶對(duì)文件或目標(biāo)的有效權(quán)限取決于以下二個(gè)因素：用戶的受托者指派、用戶所在組的受托者指派、繼承權(quán)限屏蔽取消的用戶權(quán)限。一個(gè)網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)當(dāng)為用戶指定適當(dāng)?shù)脑L問(wèn)權(quán)限，這些訪問(wèn)權(quán)限控制著用戶對(duì)服務(wù)器的訪問(wèn)。八種訪問(wèn)權(quán)限的有效組合可以讓用戶有效地完成工作，同時(shí)又能有效地控制用戶對(duì)服務(wù)器資源的訪問(wèn)，從而加強(qiáng)了網(wǎng)絡(luò)和服務(wù)器的安全性。

    4) 屬性安全控制

    當(dāng)用文件、目錄和網(wǎng)絡(luò)設(shè)備時(shí)，網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)給文件、目錄等指定訪問(wèn)屬性。屬性安全控制可以將給定的屬性與網(wǎng)絡(luò)服務(wù)器的文件、目錄和網(wǎng)絡(luò)設(shè)備聯(lián)系起來(lái)。

    屬性安全在權(quán)限安全的基礎(chǔ)上提供更進(jìn)一步的安全性。網(wǎng)絡(luò)上的資源都應(yīng)預(yù)先標(biāo)出一組安全屬性。用戶對(duì)網(wǎng)絡(luò)資源的訪問(wèn)權(quán)限對(duì)應(yīng)一張?jiān)L問(wèn)控制表，用以表明用戶對(duì)網(wǎng)絡(luò)資源的訪問(wèn)能力。

    屬性設(shè)置可以覆蓋已經(jīng)指定的任何受托者指派和有效權(quán)限。屬性往往能控制以下幾個(gè)方面的權(quán)限：向某個(gè)文件寫數(shù)據(jù)、拷貝一個(gè)文件、刪除目錄或文件、查看目錄和文件、執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等。網(wǎng)絡(luò)的屬性可以保護(hù)重要的目錄和文件，防止用戶對(duì)目錄和文件的誤刪除、、執(zhí)行修改、顯示等。

    5) 網(wǎng)絡(luò)服務(wù)器安全控制

    網(wǎng)絡(luò)允許在服務(wù)器控制臺(tái)上執(zhí)行一系列操作。用戶使用控制臺(tái)可以裝載和卸載模塊，可以安裝和刪除軟件等操作。網(wǎng)絡(luò)服務(wù)器的安全控制包括可以設(shè)置口令鎖定服務(wù)器控制臺(tái)，以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)；可以設(shè)定服務(wù)器登錄時(shí)間限制、非法訪問(wèn)者檢測(cè)和關(guān)閉的時(shí)間間隔。

    6) 網(wǎng)絡(luò)監(jiān)測(cè)和鎖定控制

    網(wǎng)絡(luò)管理員應(yīng)對(duì)網(wǎng)絡(luò)實(shí)施監(jiān)控，服務(wù)器應(yīng)記錄用戶對(duì)網(wǎng)絡(luò)資源的訪問(wèn)，對(duì)非法的網(wǎng)絡(luò)訪問(wèn)，服務(wù)器應(yīng)以圖形或文字或聲音等形式報(bào)警，以引起網(wǎng)絡(luò)管理員的注意。如果不法之徒試圖進(jìn)入網(wǎng)絡(luò)，網(wǎng)絡(luò)服務(wù)器應(yīng)會(huì)自動(dòng)記錄企圖嘗試進(jìn)入網(wǎng)絡(luò)的次數(shù)，如果非法訪問(wèn)的次數(shù)達(dá)到設(shè)定數(shù)值，那么該帳戶將被自動(dòng)鎖定。

    7) 網(wǎng)絡(luò)端口和節(jié)點(diǎn)的安全控制

    網(wǎng)絡(luò)中服務(wù)器的端口往往使用自動(dòng)回呼設(shè)備、靜默調(diào)制解調(diào)器加以保護(hù)，并以加密的形式來(lái)識(shí)別節(jié)點(diǎn)的身份。自動(dòng)回呼設(shè)備用于防止假冒合法用戶，靜默調(diào)制解調(diào)器用以防范黑客的自動(dòng)撥號(hào)程序?qū)τ?jì)算機(jī)進(jìn)行攻擊。網(wǎng)絡(luò)還常對(duì)服務(wù)器端和用戶端采取控制，用戶必須攜帶證實(shí)身份的驗(yàn)證器（如智能卡、磁卡、安全密碼發(fā)生器）。在對(duì)用戶的身份進(jìn)行驗(yàn)證之后，才允許用戶進(jìn)入用戶端。然后，用戶端和服務(wù)器端再進(jìn)行相互驗(yàn)證

2.8  確保網(wǎng)絡(luò)安全的措施

    由于網(wǎng)絡(luò)安全的目的是保障用戶的重要信息的安全，因此限制直接接觸十分重要。如果用戶的網(wǎng)絡(luò)連入Internet，那麼最好盡可能地把與Internet連接的機(jī)器與網(wǎng)絡(luò)的其余部分隔離開(kāi)來(lái)。實(shí)現(xiàn)這個(gè)目標(biāo)的最安全的方法是將Internet服務(wù)器與網(wǎng)絡(luò)實(shí)際隔開(kāi)。當(dāng)然，這種解決方案增加了機(jī)器管理的難度。但是如果有人闖入隔離開(kāi)的機(jī)器，那麼網(wǎng)絡(luò)的其余部分不會(huì)受到牽連。

    最重要的是限制訪問(wèn)。不要讓不需要進(jìn)入網(wǎng)關(guān)的人都進(jìn)入網(wǎng)關(guān)。在機(jī)器上用戶僅需要一個(gè)用戶帳號(hào)，嚴(yán)格限制它的口令。只有在使用su時(shí)才允許進(jìn)入根帳號(hào)。這個(gè)方法保留一份使用根帳號(hào)者的記錄。

    在Internet服務(wù)器上提供的一些服務(wù)有FTP、HTTP、遠(yuǎn)程登陸和WAIS（廣域信息服務(wù)）。但是，F(xiàn)TP和HTTP是使用最普遍的服務(wù)。它們還有潛力泄露出乎用戶意料之外的秘密。

    與任何其它Internet服務(wù)一樣，F(xiàn)TP一直是（而且仍是）易于被濫用的。值得一提的弱點(diǎn)涉及幾個(gè)方面。第一個(gè)危險(xiǎn)是配置不當(dāng)。它使站點(diǎn)的訪問(wèn)者（或潛在攻擊者）能夠獲得更多超出其預(yù)期的數(shù)據(jù)。

    他們一旦進(jìn)入，下一個(gè)危險(xiǎn)是可能破壞信息。一個(gè)未經(jīng)審查的攻擊者可以抹去用戶的整個(gè)FTP站點(diǎn)。

    最后一個(gè)危險(xiǎn)不必長(zhǎng)篇累牘，這是因?yàn)樗�不�?huì)造成破壞，而且是低水平的。它由用戶的FTP站點(diǎn)構(gòu)成，對(duì)于交換文件的人來(lái)說(shuō)，用戶的FTP站點(diǎn)成為“麻木不仁的窩臟點(diǎn)”。這些文件無(wú)所不包，可以是盜版軟件，也可以是色情畫。這種交換如何進(jìn)行的呢？簡(jiǎn)單的很。發(fā)送者發(fā)現(xiàn)了一個(gè)他們有權(quán)寫入和拷入可疑文件的FTP站點(diǎn)。通過(guò)某些其它方法，發(fā)送者通知它們的同伙文件可以使用。

    所有這些問(wèn)題都是由未正確規(guī)定許可條件而引起的。最大的一個(gè)問(wèn)題可能是允許FTP用戶有機(jī)會(huì)寫入。當(dāng)用戶通過(guò)FTP訪問(wèn)一個(gè)系統(tǒng)時(shí)，這一般是FTP用戶所做的事。因此，F(xiàn)TP用戶可以訪問(wèn)，用戶的訪問(wèn)者也可以使用。所有這些問(wèn)題都是由未正確規(guī)定許可條件而引起的。最大的一個(gè)問(wèn)題可能是允許FTP用戶有機(jī)會(huì)寫入。當(dāng)用戶通過(guò)FTP訪問(wèn)一個(gè)系統(tǒng)時(shí)，這一般是FTP用戶所做的事。因此，F(xiàn)TP用戶可以訪問(wèn)，用戶的訪問(wèn)者也可以訪問(wèn)。

    一般說(shuō)來(lái)，F(xiàn)TP用戶不是用戶的系統(tǒng)中已經(jīng)有的。因此，用戶要建立FTP用戶。無(wú)論如何要保證將外殼設(shè)置為真正外殼以外的東西。這一步驟防止FTP用戶通過(guò)遠(yuǎn)程登錄進(jìn)行注冊(cè)（用戶或許已經(jīng)禁止遠(yuǎn)程登錄，但是萬(wàn)一用戶沒(méi)有這樣做，確認(rèn)一下也不會(huì)有錯(cuò)）。

    將所有文件和目錄的主人放在根目錄下，不要放在ftp下。這個(gè)預(yù)防措施防止FTP用戶修改用戶仔細(xì)構(gòu)思出的口令。然后，將口令規(guī)定為755（讀和執(zhí)行，但不能寫，除了主人之外）。在用戶希望匿名用戶訪問(wèn)的所有目錄上做這項(xiàng)工作。盡管這個(gè)規(guī)定允許他們讀目錄，但它也防止他們把什麼東西放到目錄中來(lái)。

    用戶還需要編制某些可用的庫(kù)。然而，由于用戶已經(jīng)在以前建立了必要的目錄，因此這一步僅執(zhí)行一部分。因此，用戶需要做的一切是將/usr/lib/libe.so.1和/usr/lib/libsock-et.so/1拷貝到~ftp/usr/lib中。接著將~ftp/usr/lib上的口令改為555，并建立主接收器。

    最后，用戶需要在~ftp/dev/中建立/dev/null和/dev/socksys設(shè)備結(jié)點(diǎn)。用戶可以用mknod手工建立它們。然而，讓系統(tǒng)為用戶工作會(huì)更加容易。SCO文檔說(shuō)用cpio,但是copy（非cp）很管用。

    如果用戶想建立一個(gè)人們都可用留下文件的目錄，那麼可將它稱作輸入。允許其他人寫入這個(gè)目錄，但不能讀。這個(gè)預(yù)防措施防止它成為麻木不仁的窩臟點(diǎn)。人們可以在這里放入他們想放的任何東西，但是他們不能將它們?nèi)〕觥Ｈ绻�用戶認(rèn)為信息比較適合共享，那麼將拷貝到另一個(gè)目錄中。

2.9  提高企業(yè)內(nèi)部網(wǎng)安全性的幾個(gè)步驟

    限制對(duì)網(wǎng)關(guān)的訪問(wèn)。限制網(wǎng)關(guān)上的帳號(hào)數(shù)。不要允許在網(wǎng)絡(luò)上進(jìn)行根注冊(cè)；

    不要信任任何人。網(wǎng)關(guān)不信任任何機(jī)器。沒(méi)有一臺(tái)機(jī)器應(yīng)該信任網(wǎng)關(guān)；

    不要用NFS向網(wǎng)關(guān)傳輸或接收來(lái)自網(wǎng)關(guān)的任何文件系統(tǒng)；

    不要在網(wǎng)關(guān)上使用NIS（網(wǎng)絡(luò)信息服務(wù)）；

    制訂和執(zhí)行一個(gè)非網(wǎng)關(guān)機(jī)器上的安全性方針；

    關(guān)閉所有多余服務(wù)和刪除多余程序

    刪除網(wǎng)關(guān)的所有多余程序（遠(yuǎn)程登錄、rlogin、FTP等等）；

    定期閱讀系統(tǒng)記錄。  

來(lái)源：巨靈鳥 歡迎分享本文