網絡安全技術指致力於解決諸如如何有效進行介入控制，以及何如保證數據傳輸的安全性的技術手段，主要包括物理安全分析技術，網絡結構安全分析技術，系統安全分析技術，管理安全分析技術，及其它的安全服務和安全機制策略。
1.概述
21世紀全世界的計算機都將通過Internet聯到壹起,信息安全的內涵也就發生了根本的變化.它不僅從壹般性的防衛變成了壹種非常普通的防範,而且還從壹種專門的領域變成了無處不在.當人類步入21世紀這壹信息社會,網絡社會的時候,我國將建立起壹套完整的網絡安全體系,特別是從政策上和法律上建立起有中國自己特色的網絡安全體系.
壹個國家的信息安全體系實際上包括國家的法規和政策,以及技術與市場的發展平臺.我國在構建信息防衛系統時,應著力發展自己獨特的安全產品,我國要想真正解決網絡安全問題,最終的辦法就是通過發展民族的安全產業,帶動我國網絡安全技術的整體提高.
網絡安全產品有以下幾大特點:第壹,網絡安全來源於安全策略與技術的多樣化,如果采用壹種統壹的技術和策略也就不安全了;第二,網絡的安全機制與技術要不斷地變化;第三,隨著網絡在社會個方面的延伸,進入網絡的手段也越來越多,因此,網絡安全技術是壹個十分復雜的系統工程.為此建立有中國特色的網絡安全體系,需要國家政策和法規的支持及集團聯合研究開發.安全與反安全就像矛盾的兩個方面,總是不斷地向上攀升,所以安全產業將來也是壹個隨著新技術發展而不斷發展的產業.
信息安全是國家發展所面臨的壹個重要問題.對於這個問題,我們還沒有從系統的規劃上去考慮它,從技術上,產業上,政策上來發展它.政府不僅應該看見信息安全的發展是我國高科技產業的壹部分,而且應該看到,發展安全產業的政策是信息安全保障系統的壹個重要組成部分,甚至應該看到它對我國未來電子化,信息化的發展將起到非常重要的作用.
2.防火墻
網絡防火墻技術是壹種用來加強網絡之間訪問控制,防止外部網絡用戶以非法手段通過外部網絡進入內部網絡,訪問內部網絡資源,保護內部網絡操作環境的特殊網絡互聯設備.它對兩個或多個網絡之間傳輸的數據包如鏈接方式按照壹定的安全策略來實施檢查,以決定網絡之間的通信是否被允許,並監視網絡運行狀態.
目前的防火墻產品主要有堡壘主機,包過濾路由器,應用層網關(代理服務器)以及電路層網關,屏蔽主機防火墻,雙宿主機等類型.
雖然防火墻是目前保護網絡免遭黑客襲擊的有效手段,但也有明顯不足:無法防範通過防火墻以外的其它途徑的攻擊,不能防止來自內部變節者和不經心的用戶們帶來的威脅,也不能完全防止傳送已感染病毒的軟件或文件,以及無法防範數據驅動型的攻擊.
自從1986年美國Digital公司在Internet上安裝了全球第壹個商用防火墻系統,提出了防火墻概念後,防火墻技術得到了飛速的發展.國內外已有數十家公司推出了功能各不相同的防火墻產品系列.
防火墻處於5層網絡安全體系中的最底層,屬於網絡層安全技術範疇.在這壹層上,企業對安全系統提出的問題是:所有的IP是否都能訪問到企業的內部網絡系統 如果答案是"是",則說明企業內部網還沒有在網絡層采取相應的防範措施.
作為內部網絡與外部公***網絡之間的第壹道屏障,防火墻是最先受到人們重視的網絡安全產品之壹.雖然從理論上看,防火墻處於網絡安全的最底層,負責網絡間的安全認證與傳輸,但隨著網絡安全技術的整體發展和網絡應用的不斷變化,現代防火墻技術已經逐步走向網絡層之外的其他安全層次,不僅要完成傳統防火墻的過濾任務,同時還能為各種網絡應用提供相應的安全服務.另外還有多種防火墻產品正朝著數據安全與用戶認證,防止病毒與黑客侵入等方向發展.
根據防火墻所采用的技術不同,我們可以將它分為四種基本類型:包過濾型,網絡地址轉換—NAT,代理型和監測型.
2.1.包過濾型
包過濾型產品是防火墻的初級產品,其技術依據是網絡中的分包傳輸技術.網絡上的數據都是以"包"為單位進行傳輸的,數據被分割成為壹定大小的數據包,每壹個數據包中都會包含壹些特定信息,如數據的源地址,目標地址,TCP/UDP源端口和目標端口等.防火墻通過讀取數據包中的地址信息來判斷這些"包"是否來自可信任的安全站點 ,壹旦發現來自危險站點的數據包,防火墻便會將這些數據拒之門外.系統管理員也可以根據實際情況靈活制訂判斷規則.
包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況下,能夠以較小的代價在壹定程度上保證系統的安全.
但包過濾技術的缺陷也是明顯的.包過濾技術是壹種完全基於網絡層的安全技術,只能根據數據包的來源,目標和端口等網絡信息進行判斷,無法識別基於應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒.有經驗的黑客很容易偽造IP地址,騙過包過濾型防火墻.
2.2.網絡地址轉化—NAT
網絡地址轉換是壹種用於把IP地址轉換成臨時的,外部的,註冊的IP地址標準.它允許具有私有IP地址的內部網絡訪問因特網.它還意味著用戶不許要為其網絡中每壹臺機器取得註冊的IP地址.
在內部網絡通過安全網卡訪問外部網絡時,將產生壹個映射記錄.系統將外出的源地址和源端口映射為壹個偽裝的地址和端口,讓這個偽裝的地址和端口通過非安全網卡與外部網絡連接,這樣對外就隱藏了真實的內部網絡地址.在外部網絡通過非安全網卡訪問內部網絡時,它並不知道內部網絡的連接情況,而只是通過壹個開放的IP地址和端口來請求訪問.OLM防火墻根據預先定義好的映射規則來判斷這個訪問是否安全.當符合規則時,防火墻認為訪問是安全的,可以接受訪問請求,也可以將連接請求映射到不同的內部計算機中.當不符合規則時,防火墻認為該訪問是不安全的,不能被接受,防火墻將屏蔽外部的連接請求.網絡地址轉換的過程對於用戶來說是透明的,不需要用戶進行設置,用戶只要進行常規操作即可.
2.3.代理型
代理型防火墻也可以被稱為代理服務器,它的安全性要高於包過濾型產品,並已經開始向應用層發展.代理服務器位於客戶機與服務器之間,完全阻擋了二者間的數據交流.從客戶機來看,代理服務器相當於壹臺真正的服務器;而從服務器來看,代理服務器又是壹臺真正的客戶機.當客戶機需要使用服務器上的數據時,首先將數據請求發給代理服務器,代理服務器再根據這壹請求向服務器索取數據,然後再由代理服務器將數據傳輸給客戶機.由於外部系統與內部服務器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網絡系統.
代理型防火墻的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基於應用層的侵入和病毒都十分有效.其缺點是對系統的整體性能有較大的影響,而且代理服務器必須針對客戶機可能產生的所有應用類型逐壹進行設置,大大增加了系統管理的復雜性.
2.4.監測型
監測型防火墻是新壹代的產品,這壹技術實際已經超越了最初的防火墻定義.監測型防火墻能夠對各層的數據進行主動的,實時的監測,在對這些數據加以分析的基礎上,監測型防火墻能夠有效地判斷出各層中的非法侵入.同時,這種檢測型防火墻產品壹般還帶有分布式探測器,這些探測器安置在各種應用服務器和其他網絡的節點之中,不僅能夠檢測來自網絡外部的攻擊,同時對來自內部的惡意破壞也有極強的防範作用.據權威機構統計,在針對網絡系統的攻擊中,有相當比例的攻擊來自網絡內部.因此,監測型防火墻不僅超越了傳統防火墻的定義,而且在安全性上也超越了前兩代產品
雖然監測型防火墻安全性上已超越了包過濾型和代理服務器型防火墻,但由於監測型防火墻技術的實現成本較高,也不易管理,所以目前在實用中的防火墻產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監測型防火墻.基於對系統成本與安全技術成本的綜合考慮,用戶可以選擇性地使用某些監測型技術.這樣既能夠保證網絡系統的安全性需求,同時也能有效地控制安全系統的總擁有成本.
實際上,作為當前防火墻產品的主流趨勢,大多數代理服務器(也稱應用網關)也集成了包過濾技術,這兩種技術的混合應用顯然比單獨使用具有更大的優勢.由於這種產品是基於應用的,應用網關能提供對協議的過濾.例如,它可以過濾掉FTP連接中的PUT命令,而且通過代理應用,應用網關能夠有效地避免內部網絡的信息外泄.正是由於應用網關的這些特點,使得應用過程中的矛盾主要集中在對多種網絡應用協議的有效支持和對網絡整體性能的影響上.
大學發了壹本書，起碼有700頁，不可能全看的，主要看理解。其實網絡安全技術主要是實踐。何必懂得原理，知道怎麽做就可以了。