1. 网络安全的概念及其现状 1.1 网络安全的概念 国际标准化组织（ISO）将“计算机安全”定义为：“为数据处理系统建立和 采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意 的原因而遭到破坏、更改和泄漏”。上述计算机安全的定义包含物理安全和 逻辑安全两方面的内容，其逻辑安全的内容可理解为我们常说的信息安全， 是指对信息的保密性、完整性和可用性的保护，而网络安全性的含义是信息 安全的引申，即网络安全是对网络信息保密性、完整性和可用性的保护。 1.2 网络安全的现状 目前欧州各国的小型企业每年因计算机病毒导致的经济损失高达 220 亿 欧元，而这些病毒主要是通过电子邮件进行传播的。据反病毒厂商趋势公司 称，像 SOBIG、Slammer 等网络病毒和蠕虫造成的网络大塞车，2005 年就给 企业造成了 550 亿美元的损失。 国外网站消息报道， 1998 及 1999 年，DOD（美国国防部）两次向外界透露 其电脑系统遭到过攻击。 在 2001 年一年里共遭到 14,500 次黑客攻击，只有 70 次攻击成功。在这 70 次当中，有 3 次造成过危害。 黑客及病毒的成功入 侵，不是因为黑客及病毒编写者变得如何厉害，而是相对低水平的系统管理 员没有成功堵塞系统中存在的漏洞。他说：“网络安全问题主要在于人们不 会及时打补丁，以及系统管理员没有做他们应当做的工作。”单单“爱虫” 病毒就给美国军事及民用计算机网络造成 80 亿美元的损失。然而，长期与曾 经威胁过他们的恶意黑客作斗争而进行的服务工作，造成的损失就更大。 从身份窃贼到间谍在内的其他网络危险造成的损失则很难量化，网络安全问 题带来的损失由此可见一斑。 1.3 网络安全的发展分析 2007 年，网络安全界风起云涌，从技术更加精湛的网络注入到隐蔽性更强 的钓鱼式攻击，从频频被利用的系统漏洞到悄然运行的木马工具，网络攻击者的 手段也更加高明。 网络攻击的发展趋势 综合分析 2007 年网络攻击技术发展情况，其攻击趋势可以归纳如下: 如今安全漏洞越来越快， 如今安全漏洞越来越快，覆盖面越来越广 新发现的安全漏洞每年都要增加一倍之多， 管理人员要不断用最新的补丁修 补这些漏洞，而且每年都会发现安全漏洞的许多新类型。入侵者经常能够在厂商 修补这些漏洞前发现攻击目标。攻击工具越来越复杂 攻击工具开发者正在利用更先进的技术武装攻击工具。与以前相比，攻击工 具的特征更难发现，更难利用特征进行检测。攻击工具具有以下特点: ◆ 反侦破和动态行为 攻击者采用隐蔽攻击工具特性的技术， 这使安全专家分析新攻击工具和了解 新攻击行为所耗费的时间增多;早期的攻击工具是以单一确定的顺序执行攻击步 骤，今天的自动攻击工具可以根据随机选择、预先定义的决策路径或通过入侵者 直接管理，来变化它们的模式和行为。 ◆ 攻击工具的成熟性 与早期的攻击工具不同， 目前攻击工具可以通过升级或更换工具的一部分迅 速变化，发动迅速变化的攻击，且在每一次攻击中会出现多种不同形态的攻击工 具。此外，攻击工具越来越普遍地被开发为可在多种操作系统平台上执行。 攻击自动化程度和攻击速度提高， 攻击自动化程度和攻击速度提高，杀伤力逐步提高 扫描可能的受害者、损害脆弱的系统。目前，扫描工具利用更先进的扫描模 式来改善扫描效果和提高扫描速度。以前，安全漏洞只在广泛的扫描完成后才被 加以利用。而现在攻击工具利用这些安全漏洞作为扫描活动的一部分，从而加快 了攻击的传播速度。 传播攻击。在 2000 年之前，攻击工具需要人来发动新一轮攻击。目前，攻 击工具可以自己发动新一轮攻击。像红色代码和尼姆达这类工具能够自我传播， 在不到 18 个小时内就达到全球饱和点。 越来越不对称的威胁Internet 上的安全是相互依赖的。每个 Internet 系统遭受攻击的可能性取 决于连接到全球 Internet 上其他系统的安全状态。 由于攻击技术的进步，一个攻击者可以比较容易地利用分布式系统，对一个 受害者连续发动破坏性的攻击。 随着部署自动化程度和攻击工具管理技巧的提高， 威胁的不对称性将继续增加。 越来越高的防火墙渗透率 防火墙是人们用来防范入侵者的主要保护措施。 但是越来越多的攻击技术可 以绕过防火墙，例如，Internet 打印协议和 WebDAV(基于 Web 的分布式创作与翻 译)都可以被攻击者利用来绕过防火墙。 对基础设施将形成越来越大的威胁 基础设施攻击是大面积影响 Internet 关键组成部分的攻击。由于用户越来 越多地依赖 Internet 完成日常业务，基础设施攻击引起人们越来越大的担心。 基础设施面临分布式拒绝服务攻击、蠕虫病毒、对 Internet 域名系统(DNS) 的攻击和对路由器攻击或利用路由器的攻击。 攻击工具的自动化程度使得一个攻 击者可以安装他们的工具并控制几万个受损害的系统发动攻击。 入侵者经常搜索 已知包含大量具有高速连接的易受攻击系统的地址块，电缆调制解调器、DSL 和 大学地址块越来越成为计划安装攻击工具的入侵者的目标。 我们可以从攻击者的角度出发， 将攻击的步骤可分为探测(Probe)、 攻击(Exploit) 和隐藏(Conceal)。同时，攻击技术据此可分为探测技术、攻击技术和隐藏技术 三大类，并在每类中对各种不同的攻击技术进行细分。 IP 协议及网络安全问题的整体战略思考 一、引言NGN，3G，3G 演进及 NGBW(下一代宽带无线)是目前通信业界非常关注并在不 断探讨的热点话题。人们希望，通过 NGN 及 NGBW 来解决目前各类网络中的许多 问题，如网络安全问题，QoS 问题、智能网管问题，网络的移动性及汇聚与融合 问题、前后向兼容平滑演进问题等。2003 年下半年至 2004 年年中，ITU-TSG13 研究组进行的标准化工作取得了不少进展，在新研究期中将集中精力，专注 NGN 的研究。2004 年 6 月的 ITU-T 第 13 研究组会议上专门组建了一个新的 NGN 专题 组 FGNGN(FocusGroupon NGN)，以应对 NGN 发展的紧迫需要，加强和推进 NGN 方 面的研究工作。目前，已成立七个工作组，分别在业务需求、功能体系架构和移 动性，IP-QoS，控制和信令能力、网络安全、网络演进及 IP 承载能力要求等七 个领域进行工作，以满足国际上对全球通用的 NGN 标准的迫切需求。至今已完成 诸多标准建议草案，对 NGN 的研究方向、通用参考模型、框架体系、业务需求、 网络功能、网络安全及 IP 承载能力要求、互联互通、服务质量、移动性管理、 可管理的 IP 网络、异构网络性能和 NGN 网络演进融合方式等各个方面提出了总 体要求， 为世界各国的通信运营商和设备制造商提供了网络发展和产品研发的思 路和依据。 但客观地说，NGN 依然存在不少问题和困惑，特别是 NGN 在分阶段务实发展 的同时， 如何从战略高度确立其目标框架及目标定义及其与分阶段实施的关系至 关重要。同时，所谓全 IP 发展 NGN 的策略是否稳妥，依然有不少怀疑与争议。 本文拟根据 IP 协议的背景、内涵、作用与外延等一系列问题，重点就进一步发 展 IP 及 NGN 的理性战略思维问题谈一些个人看法，供分析参考。 二、IP 协议及 NGN 的产生背景与必然性 众所周知，IP 或 TCP/IP 协议是互联网 Internet 发展的基础。尽管对 NGN 的概念、定义、结构，NGN 的发展是否应以 IP 为基础，是否采用所谓全 IP 等这 些最基本的问题尚未获得全球性的统一见解，甚至还存在一些较尖锐的分歧，但 NGN 的背景与必然性，以及 IP 协议普及应用的基本作用与外延等一系列问题是 明显的。 (1)20 世纪末期，对无缝隙覆盖全球个人多媒体通信的需求推动了 GII 建设 的热潮。基于 TCP/IP 协议的 Internet 技术由 E-mail 和 VoIP 应用切入，使 Internet/Intranet 和 WWW 飞速发展，在全球快速普及，广受欢迎，人们普遍认 为这可能是未来 GII 的一个发展方向。 (2)随着数字传输技术、数字信号处理技术及高级软件技术的进展，对一向 处于低效率运作状态的三网分立的局面，人们普遍感到不满意，期望 IP 协议能 成为三网融合的基础，再借助一系列新技术逐步实现三网的融合。IP 协议有可能成为固定与移动通信融合的粘接剂， 这对未来全球个人通信及 GII 的实施至关 重要。 (3)以 TCP/IP 协议为基础的 Internet 设计的初衷主要是考虑军事应用及提 高抗干扰能力，它是以牺牲网络带宽为代价的。其网络结构及协议也存在一系列 问题，是一种非面向连接及尽力而为(BE，BestEfforts)的方式，未顾及移动漫 游个性化要求，是一种主要由科研团体和/或政府研究机构松散管理下的一种非 商业应用网络。但进入大规模商用后暴露出来的安全性，QoS，网络智能管理、 赢利商业模式等多方面问题，使 Internet 的 NGN2/GNI 的发展面临严峻挑战。目 前尚无法找到一种更好的可进行大规模普及操作的网络结构， 因此现实的做法理 应是集思广益，博采众长，吸收各种新概念、新思路及新技术，使之尽可能全面 改进，以尽快满足市场需求，并创造新的增值效益。从某种意义上讲，这亦是一 种不得已而为之的因势利导的现实主义作法。 (4)在“.COM 泡沫”的破灭、对“宽带泡沫”的质疑、对 3G 发展的迷茫及 传统电信业务盈利下滑等多种因素的作用下， 促使传统运营商与制造商急需寻找 出一种能平滑演进、适应市场需求的新一代网络结构与多业务增长途径。20 世 纪 80 年代，PC 机控制软件与计算硬件分离，形成充分开放的多厂商竞争环境， 最终推动整个计算机业的繁荣与发展， 促使人们认真思考未来网络的发展是否应 走这条道路。 (5)随着软交换技术及软件无线电技术的诞生与改进，无论是有线网还是无 线网，均可采用分层、分面及全开放模式，基于独立的模块化结构，实施业务驱 动，使业务、呼叫控制及承载完全分离，从而以优良的性能价格比、前后向兼容 的过渡方式，平滑地向新的以 IP 为基础的网络演进。这些技术可望成为较现实 的新一代网络，即所谓 NGN 的核心支撑技术。尽快统一全球标准，与原先提出的 GII 这一目标进行协调与融合， 已成为相关组织(如 ITU-T/R， ETSI， IETF， 3GPP， 3GPP2，ISC/IPCC，TINA/TIMNA，MSF，OMA 等)的共同愿望。 尽管在 IP 协议及 NGN 问题上，人们在概念、定义和结构等方面均明显存在 含混不清及不同理解之处，依然成为全球各大标准组织、运营商、制造商、研究 开发及政府相关部门共同关注的热点，并在加紧探索各种务实发展途径。这无论 对固定或移动，对公网/共网及专网，对地面或空间，均是如此。 三、IP 化 是大势所趋 目前，IP 化已是大势所趋，故 NGN 应以 IP 为主要考虑前提。 1.NGN 发展的目标战略NGN 应是能提供各种多媒体业务的综合网络，支持固定和移动的融合及传统 电信业务和广播业务的融合，是有线/无线网络元素、计算机系统、家庭外围设 备、智能工具等组成的综合融合环境。NGN 必须能折衷满足不同业务质量及物理 接口的要求，在业务管理、网络管理、智能化、个性化服务等方面均可提供完备 的机制。 纵观全球，尽管尚未对 NGN 给出一个统一清晰的定义，但在一些基本点上已 达成共识，即 NGN 是基于分组交换的网络，分组交换一般是基于 IP 协议；以市 场与业务驱动为导向，将呼叫控制与网络传送层及业务层完全分离；网络结构分 层，各层间有开放的标准接口；业务承载网与业务网应能有效地彼此分离；核心 传送网为高带宽光传送网；网络具有满意的服务质量保证和合理的安全保证；网 络是可维护、可运营的，并且是可赢利的多业务网络；网络应支持包括终端移动 性和用户移动性在内的广泛移动性。 从广义角度看， 应该说， NGN 是一种目标网络， 而不是下一代 Internet 网， 亦不是下一代 PSTN 电话网及下一代电信网与下一代有线电视网及广播电视网， 而是由新的分组交换传送及以 IP 协议为基础的融语音、视象、数据于一体的一 种全新的网络。它将真正使网络设施不受时间、空间和带宽的限制，充分实现网 络的个性化与个体化，使基于网络的虚拟世界与现实世界完美地融合起来，具有 所谓接近于零的网络时延与优良的网络端到端 QoS 性能， 令人满意的网络与系统 的可靠性与可用性，以及足以信赖的网络安全性。网络管理可达到全局智能化， 既有利于可赢利商业模式运作的集中智能网管，又可将网络智能分布化，保持与 发扬 Internet 终端智能化的长处，摒弃其整体网管弱智与缺乏可赢利商业模式 运作的严重缺憾。网络接入可达到普遍灵活、多样化、个性化的 5W(5A)方式的 无缝隙宽带接入，有跨协议、跨标准国际漫游能力，以市场与业务驱动为导向， 将呼叫控制与网络传送层及业务层完全分离，可进行服务的快速布设与移植，可 充分利用平台的分布性、开放性与标准性，积极调动运营商及第三方的创造性。 它是具有快速丰富业务种类与市场应用等特征的一种理想化的网络， 可充分满足 社会与个人愈来愈高的综合性全球通信要求，具有多业务、高质量、宽带化、分 组化、智能化、移动性、分组性、安全性、开放性、分布性、兼容性及可管理性 与可赢利性等一系列全业务综合运作的基本特征。这是目前 Internet 网、电信 网、移动网、广播电视网及专用通信网等均不能全面具备的基本特征，亦是它们 按 NGN 定义与框架目标要求进一步演进、集成、协同、汇聚与融合所期望达到的 目标要求的基本特征。因此，各类在 NGN 概念导引下前向演进产生的新一代网络 均为 NGN 集合的子集。 显然，按上述框架目标实施的 NGN 决不可能轻而易举地一步到位，必然是一个积极稳妥、科学务实地分阶段向 GII 逐步演进发展的漫漫征途。因此，从定义 和实施策略看，制定明确、科学、稳健的长远性及各阶段性的 NGN 务实发展步骤 依然十分必要。应该说，从现在至今后五到十五年左右，NGN 依然处在其初始发 展阶段。在此阶段，应较好地解决启动问题，坚定地迈出成功的第一步。这一方 面需要较满意地完成 NGN 的确切定义、基本框架目标、阶段实施途径等基本标准 化工作，另一方面 NGN 的三大组成部分，即下一代因特网(GNI)、下一代电信网 (NGTN)、下一代移动网(NGMN)均应根据自身发展基础，积极按 NGN 的基本概念、 定义、目标要求等制订与实施务实发展策略，从技术层面、系统结构与市场模式 彼此渗透，并一步步汇聚与有机融合。例如，GNI 应以引入 IPv6 以及网格技术 与业务为中心， 同时改进 TCP/UDP 等一系列相关协议， GNI 在未来宽带多媒体、 使 多业务时代首先实现可管理、可赢利。 NGTN 以软交换技术为核心，试验探索及启动实施则基于 TDM 的电路型 PSTN 语音网络和 ATM/IP 分组型网络向初级 NGN 网络的融合演进，使所期望的 NGN 低 建设成本、低运营花费、多业务高创收、有效的前后向兼容平滑演进及充分发挥 用户积极性和创造性等优点有所体现。NGMN 以 3G 及 3G 演进为中心，并有机融 合 802.xy，包括终端、业务与应用在内，制订与 2.5G 有差异化的务实发展策略 与商业模式。 作为 NGN 启动发展的有效步骤，以软交换为中心，或以 IPv6 及网格技术与 业务为中心，务实推进是十分必要的。与此同时，必须站在目标 NGN 角度，进行 更全面与更长远的规划与思考。以软交换为例，用软交换机改造现有 PSTN 网络 及其“硬”交换机时， 切忌将其理解为只是由“硬”到“软”的设备与技术的更 替。这样，很容易回归到 PSTN 的封闭性理念与框架的怪圈之中，从而违背 NGN 目标的初衷。就 NGTN 而言，它不仅仅是由 TDM 技术转化为 IP 分组技术。从应用 与多业务层面看，更重要的是应按 NGN 目标框架，将原有僵化的端到端连接型控 制机制转变为灵活、丰富、多样化的会话型控制机制，将原有的由个体网元集中 控制的管理模式转变为资源自适应均衡调配的分布式网络控制管理模式， 将原有 缺乏前向扩展能力的单一业务垄断经营模式转变为多业务/综合业务的共赢价值 链经营模式，并充分发挥第三方的天才与创造性。在具体规划和实施各类 NGN 起步工作时，应时刻牢记、并有效贯彻这些总目标。 2.NGN 应以 IP 为主要考虑前提 如上所述，NGN 以分组交换传送为基础及多(全)业务网络的分组化在 IP， MPLS，ATM 和 Ethernet 方面已获得共识。很明显，MPLS 及 Ethernet 与 IP 是完 全可以协调发展的，主要分歧仅在于 IP 与 ATM 谁更适合。这依然是一个重要问 题，因为它对确定 NGN 的发展基础与前提至关紧要。在确立 NGN 的基本发展策略时， 应根据其基本技术特征与长期的市场检验和 选择的结果，明确 NGN 以分组交换为基础，以 IP 为主要考虑前提，否则将无益 于推进以 IP 为基础的 NGN 的创新与发展。当然，并不排斥在 NGN 的阶段发展过 程中充分合理地利用 ATM 在一定阶段上尚存在的可能作用与价值，以及吸取 ATM 的某些有益理念，使 NGN 以 IP 为基础的 QoS 控制及 VPN 的发展获得强有力的支 撑。退一步说，如果 ATM 果真出现奇迹般的长进，比起更新演进后的 IP 来，全 局含义上更为合适，也可由市场作出最后抉择。但归根结蒂，在这一点上至今并 未发现有任何可能的迹象，因此认定 NGN 以分组交换为基础，以 IP 为主要考虑 前提，应该是一种明智的现实选择。 事实上， 的兴衰亦与数据交换的发展紧密相关。 ATM 应该说， 是后来者， ATM 它比 Ethernet 及 Internet 晚了近 2O 年，比个人电脑亦晚了近 15 年。上世纪 9O 年代初，在语音/数据集成及端到端 QoS 控制方面，ATM 深受青睐，当时人们 甚至认为，以太网交换技术仅仅是延长其陈旧技术生命的一种权宜之计而已。因 为从最佳系统设计的负荷平衡理论观点看，以太网速率低，集线器采用共享式的 CSMA/CD(载波侦听多址连接/冲突检测)模式运作，当用户上网增多时，就会导致 传送瓶颈，更谈不上 QoS 保证。因此，千兆比第三层交换机出现之前，ATM 被视 为更新核心网交换的惟一合适途径。然而，始料不及的是，市场驱动的魔力使以 太网经受住了严峻的挑战，七年内将网络速度提高了两个量级。而 ATM 的所谓端 到端连接忽视了至关重要的台式机用户， 需要在终端用户处附加许多软硬件设备。 从节省成本角度看，快速以太网显然占上风。而且，ATM/以太网的混合环境使网 络分割与重组开销很大，在图像处理等计算密集场合无法容忍，ATM 的很多应用 便显得缺乏实用性。ATM 的结构严谨，但缺乏灵活性，且价格昂贵。以太网的 GB/1OGB 高速交换的进展及由 LAN 向 MAN/WAN 的扩展，Internet 及 IP 的爆炸性 增长与 IPQoS 的逐步进展，终于使人们认定，ATM 只能退居市场中的过渡地位， 逐步走下坡路，这是市场选择的结果。与此同时，人们对 IPQoS 的信心与决心日 益增加。由于传输资源的紧缺与昂贵，本来可利用提高节点设备 ATM 交换机的复 杂度和提供 QoS 控制能力以换取传输资源带宽能力的不足， 这是一种有效的互补 性选择。但历史的发展证明，不用说核心层面，甚至接入层面，带宽资源已愈来 愈显得不那么稀缺昂贵。同时，IP 技术带来的多业务的增值灵活性、价位的吸 引力以及日益完善的 IP-QoS 技术的安全性，使移动、固定及卫星通信等原本资 源最受限的无线传输与接入手段亦均无例外地选择 ATM 作为一种过渡的权宜之 计，而将长远目标均锁定在以 IP 为基础上。3G 及 3G 演进的全 IPNGWB 选择即为 其明显示例，且未引起过多的质疑。因此，围绕 ATM 与 IP 选择的争论实际上是 没有必要的。认为 NGN 以分组交换为基础，以 IP 为主要考虑前提，应该是一种 明智有益且较现实的选择。3.以用户新业务需求为驱动力 IP 化已成全球发展现实 如上所述， IP 为基础的 Internet 的普及商用成功已造就一张覆盖全球的 以 Internet 大网。在此大网上，尽管有大量的麻烦与问题不断产生，但也已有大 量 IP 业务在运行和使用，亦有大量支持 IP 的业务开发人员、运行维护人员在运 作，并正在投入大量人力、物力与财力，针对 IP 商用暴露出来的弊端对 IP 技术 进行改进，大力开发各类 IP 新业务与新应用，努力推进 IPv6，GNI，100×1OO 项目及美国国防网格网，向目标 NGN 迈进，这已是不争的事实。 实践证明，业务与承载可分离的充分开放的 IP 平台为业务与应用创新提供 了广阔的发展空间，门户网站、搜索引擎，P2P(PeertoPeer)等应用无一不是其 开放性的创新硕果。随着 IPQoS 的一步步改进，VoIP 不仅在专线专网，而且在 长途/本地市话方面，包括 VoIP 的 O/P-WLAN 运用在内，均已经或正在逐步走向 成熟，逐步达到电信级运营要求。IP 平台上的宽带数据业务，包括(准)实时流 媒体及视频业务 IPTV 等均已显露出其芒锋与潜力。即便对 ATM 而言，亦未历经 大规模、大范围视频业务的传送检验。如果要投入巨大的人力、财力、物力去尝 试 E-mail/WWW/FTP/TelNet 乃至(准)实时流媒体、双向视频 over TDM/ATM 等， 简直不堪设想。因此，目前逐步由 IP over Everything 转移至 Everything over IP 绝非偶然，这是市场需求导向检验与选择的结果。虽然在这一进程中并非一 切尽善尽美，但以用户新业务需求为驱动力的 IP 化，确实成了大势所趋，已在 全球成为无可否认的现实。 四、IP 协议存在的问题与发展的战略思考 1.IP 协议的问题所在 如上所述，根据以 TCP/IP 协议为基础的 Internet 的发展历程可知，IP 协 议最可取的内涵与作用在于其充分的开放透明性与灵活有效的多业务增值能力。 然而，在开放透明的同时，也往往更容易“充分暴露”，自然也容易受到攻击。 在 Internet 商用化后暴露出来的一系列问题中，最棘手、解决难度最大的问题 就是安全性问题。 对 IP 协议的安全性问题，最尖锐的观点来自 TINA/TIMNA。TINA/TIMNA 的观 点很明确，认为 NGN 不应该是“全 IP 化的网络”，而应该是一种以“中间件 (Middleware)为基础的网络。 TINA 支持 ITU-T 建议 Y.130 的 ICA(信息通信结构， InformationCommunicationArchitecture)，认为 Internet 及其 IP 网的三大缺 陷是安全失控，QoS 无保障及网管弱智。全 IP 化即使使用 IPv6 也不能有本质性 的变化，必须从中间件层入手，才能真正取得隔离功能及解决安全问题。IP 协议结构象“明信片”，源/目的地和内容三者关联，全局暴露，是其易受攻击与 无法解决好安全性问题的根本所在。“IP 决定一切”违背分层网设计“应用决 定一切”的公认理念，造成事实上的本末倒置。有结构的进化，才能有功能的突 破。“未来网技术 IP 不是惟一的选择”。TINA 支持以 ICA 为基础向 NGN 演进。 应该说，TINA/TIMNA 提出的看法是有价值的，尤其是它一针见血地指出了 IP 协议安全失控的本质所在。实际上，仔细分析 PSTN，ATM 及 IP 网络结构可更 充分理解 IP 网易受攻击的原委。 一般情况下，安全攻击多半在终端发起。PSTN 的终端本质上是傻瓜型，兼 之 PSTN 的收费模式，若想在终端入手发起大规模攻击，成本很高，难以操作。 在 PSTN 的用户端与网络端，UNI 与 NNI 彼此分离，业务的提供及控制权均在运 营商手中。 没有运营商的参与， 用户难于在终端玩新花样、 播发病毒及发动攻击。 就算客户想做手脚，追查亦较方便。因为 PSTN 对所有终端均按 E.164 码号规则 赋予全球惟一的公开编号。此外，当 PSTN 提供 IP 网接入服务时，PSTN 仅作为 IP 网的链路层接入，IP 数据只是在 PSTN 上透传，故无法在 PSTN 接入 IP 之际从 IP 网攻击 PSTN。由此可以看出，PSTN 的网络与终端安全性较好，而其丧失的则 是灵活有效的宽带多业务增值能力。 ATM 虽然同属分组型技术， ATM 并无直接的终端业务与用户。 但 对用户而言， 只是提供一个逻辑“专网”。用户只能在自己的“专网”中运作，无能力亦无可 能发送 ATM 网络可识别或要识别的信令与业务数据。同样，ATM 的 UNI 与 NNI 是 分离的，网络只是为用户提供透传功能，其信令、业务数据等对用户而言是不可 见的，用户无法产生恶意数据对 ATM 进行攻击。相应地，ATM 网络与网络间的安 全性则是靠运营规则与运营商间的信任关系和协同合作予以保证。而且，由于用 户只能在自己所在的网络中运作，即便能发动攻击，亦只能攻击自己网络内的有 限用户，故很容易追查。因此，ATM 网络虽有较好的安全性保证，但却带来了宽 带多业务增值的不灵活、不方便与不经济等缺点。 IP 网络如同信息的明信片传送， 没有 UNI 与 NNI 的分离问题， 运营商设备、 协议乃至网络拓朴对用户均是开放可见的。用户端产生的 IP 信息，无论在用户 端或在网络中均可传送。通过用户端与运营商网络交换非法的恶意路由信息，即 可对运营商网络的路由器、接入服务器等设备及三层以上设备实施攻击。与此同 时，位于 IP 网络边际的用户侧的网络与业务/应用，一般均使用 TCP/UDP/IP 这 一基础技术。这导致用户间在 IP 层及应用层等各层面彼此透明可见，从而为恶 意用户攻击对方网络及相应的业务/应用大开了方便之门。IP 网络的终端高度智 能化及多业务能力，使终端用户发动攻击变得容易，又增加了识别与防范各类花 样繁多的安全攻击的难度。由于多种业务综合承载在同一网络上，难以分辩与确定用户间的信任关系，导致恶意用户很容易找准对象，发动攻击。而被攻击的用 户实际上难以分清哪些是合法用户的正常访问， 哪些是非法用户侵入或恶意攻击。 鉴于 IP 网络及技术发展快速，在协议设计及软件开发中难以避免的缺陷与 漏洞在大规模应用之前来不及测试，故难于发现并将其彻底排除，这亦给恶意攻 击造成了各种可乘之机。此外，IP 用户身份难以识别，导致很难跟踪及遏止攻 击者。而且，IP 高度智能的终端及其宽带化，加上其有利的计费模式，更有利 于恶意用户方便且低成本地有效实施大规模攻击。 制造这类攻击的技术难度变得 愈来愈容易， 从而使得这类非法入侵及恶意攻击有增无减， 肆意蔓延， 防不胜防， 令人担忧。当然，IP 协议的开放透明性所导致的安全性弊端，亦带来了其灵活 有效的宽带多业务增值能力， 便于互联互通及有效降低成本等明显的市场应用优 势与吸引力。 目前，黑客、病毒似乎愈杀愈烈，泛滥成灾，已成为安全计算及 IP 网络安 全运作的头等隐患。例如，2004 年新病毒增加了 52%。瑞星报告指出，其中有十 大病毒对用户造成的破坏最大： 网络天空(Worm.Netsky， 占总病毒数的 39.9%)、 爱情后门(Worm.Lovgate，21.3%)、SCO 炸弹(Worm.Novarg，7.7%)、小邮差 (Worm.Mimail，1.5%)、垃圾桶(Worm.Lentin.M，0.9%)、恶鹰(Worm.BBeagle， 0.8%)，求职信(Worm.Klez，O.5%)、高波(Worm.Agobot.3，0.5%)、震荡波 (Worm.Sasser，0.4%)及瑞波(Backdoor.Rbot，0.4%)。而且，黑客和病毒威胁呈 现四大发展趋势：变种病毒数量翻番剧增，防不胜防。从漏洞被发现到攻击病毒 出现的时间间隔越来越短，国产型木马病毒及后门程序成为主流，目标直指网民 真实财产以及“网络钓鱼”(Phishing)形式的诈骗病毒活动明显增加等。显然， 在这十大病毒中，有九种为蠕虫病毒。就对用户的危害性而言，蠕虫病毒依然是 最为严重的。病毒变种之所以快速增长蔓延，一个重要原因是很多病毒源代码借 助于网络被病毒作者公开并提供下载， 甚至有些代码还包括完整的说明文档及相 应工具和示例，易于普及传播，毋需特别技能，仅需修改配置文件和部分源代码 便可编译生成一个新的变种病毒。 这是对公开性(包括源代码公开在内)造成的负 面影响的一种直接讽刺， 亦说明如何正确认识与控制一种事物的正反两个方面是 何等重要。 由这些分析可充分看出 IP 网络安全问题的本质之所在。 就象 SARS 情况一样， 只有控制其病源，才能控制其蔓延。因此，寻找 IP 网络的有效安全对策，尤为 紧要。 其实，IP 和 Internet 研究的权威机构——IETF，对现有 Internet 及 IP 协 议的缺陷与不足亦有足够的认识，列举出 Internet 下一步发展面临的十大技术 问题：身份识别技术、保护 IPR 技术、保护个人隐私技术、新一代 Internet 通信协议 IPv6 技术、下一代 Internet 结构的网格(Grid)技术、无线 Internet 技 术、传统电话网与 Internet 融合的技术、更有效地在网上传输的视频技术、防 止垃圾邮件的过滤技术及网络安全技术。如果无法在网络安全、个人隐私及 IPR 保护方面取得突破， Internet 将无法成为一种真正可信的商业工具。 当然， IETF 相信，在采取一系列有效措施后，如改进 IP 协议，改进 TCP/UDP 协议，缩短路 由及传输时延，提高传输效率及质量，实施有效的全球大容量移动扩展，访问与 漫游，提高网络安全性及改进网络管理能力等，新的 IP 网是能够担当起 NGN 重 任的。而此十大技术问题中有一半以上与安全性有关，可见 IP 安全性的实际严 重性。可以说，IP 问题的最大难点是其安全性，其次是 IPQoS。 2.IP 发展的战略思考(1)解决 IP 及 NGN 发展问题的总体策略思考无论是 IP(包括“后 IP”创新)还是 NGN 的发展，不定因素与风险很多，仍 应遵循“积极、稳妥、科学、求实”这一总方针行事。任何“过热”炒作，“过 冷”悲观均不适当。既要尽可能避免“泡沫”的发生，又应博采众长，大胆努力 创新。有关“泡沫”问题， 应辩证思维， 盲目“跟风”应绝对避免。 至于所谓泡沫， 往往与不科学、不切实际及不务实有关，应尽量根据科学求实的原则，避免“泡 沫”的产生。但有些“泡沫”的产生是有其前因后果的，生成原因极为复杂。一 方面，要分析其原因并充分汲取教训，尽量避免泡沫的发生。但另一方面，应尽 快将消极因素转化为积极因素，创造新的现实价值和长期价值。“.Com”高科技 泡沫就是一个典型实例。其实，IP 及 Internet 本身就是一个具有长期潜价值的 令全球瞩目的伟大创新。尽管人们往往有“一朝被蛇咬，十年怕井绳”的心理， 但对 IP 及 NGN 的发展，不能因为害怕“泡沫”的可能发生而影响积极创新与推 进。对此，2002 年诺贝尔经济学奖得主弗农史密斯(VernonSmith)有一句名言， 即“每个泡沫都因伟大的技术创新而引起， 这些技术为人类创造了大量的长期价值”。笔者以为，在推进 IP 及 NGN 发展时，应从 V.Smith 的名言中吸取一定营 养，尽量避免“泡沫”的发生。新技术、新系统及新事物的发展多多少少均遵循 描述可行性与成熟性关系的所谓超级循环(HyPerCycle)曲线，亦是类似的道理。(2)IP 安全性发展战略思考如上所述，TINA/TIMNA 提出的有关 IP 安全失控的结构缺陷的论述是有道理 的。IP 包结构兼含“内容”加“地址”(源地址及目的地址)，在网内传送时， 来龙去脉清楚，自我暴露性强。借助地址引导，有利于黑客通过“地址过滤”技 术按选定地址窃取网上信息及实施攻击。于是，提出了以“中间件”层的 ICA 结构解决这一难题的方案。尽管其具体操作方法尚需探讨，但指明其“中间件” 层的突出作用是正确的。在目前推进以 IP 为基础的 NGN 的发展过程中，不只是 应用层面，对安全性，IP-QoS，智能网管等目标，均应在多维层面大量发挥各类 “中间件”的重要作用。 从战略观点看， 在推进 NGN 的发展过程中， 应鼓励创新， 集思广益，博采众长。提出“未来网技术 IP 不是惟一的选择”说法，应该说没 有坏处，只有好处。目前之所以强调，在 IP 基础上下功夫，首先是基于其在全 球大规模普及的基础与事实，并具备多业务增值的基本吸引力。更重要的是，目 前尚未找到或比较一致地认同比 IP 协议更适合操作的其它途径。事实上，全球为 IP 的安全性已花费大量人力、物力和财力，而且取得了不 少进展与成绩。从解决安全性的源头角度考虑，一般认为终端是要害。对终端应 用，其中包括 OMA 及 NGOSS 而言，已充分注意到中间件及 CORBA(公共对象请求 代理体系结构)软总线技术，并发挥了重要作用。但“中间件”的含义与定义有 一定松散性、广泛性与含混性，需进一步严格规范定义与改进协调，否则将可能 严重影响实际应用的互联互通等多厂商环境下的互操作性。信息安全有更广义的内涵， 营造一个防止黄色不良信息危害青少年身心健康 的安全信息环境， 规则/政策监管与技术措施双管齐下才能奏效。 信息对策的“老 三样”——“堵漏洞、筑高墙、防外攻”等属于消极防御措施，尤其当它们单独 实施时，已愈来愈不能凑效。为此，一方面要想出更积极的对抗措施，包括对其 源头跟踪堵截；另一方面，即使对单个用户而言，也需要防黑防毒，修复漏洞， 拯救数据。这些措施应融为一体，形成综合对抗能力更强的整体安全系统，转被 动/消极防御为主动/积极防御。应注意，解决安全性问题是需要付出代价的。信 息安全对策应根据用户不同安全类别的实际要求提供不同的解决方案。 如果用户 只需要 BE 类业务，则应提供简单、经济、实惠的解决方案。目前，有关 IP 安全性对策方面的重要进展值得一提。一是信息产业部正在 制订“互联网 IP 地址管理办法”及建立“ICP/IP 地址信息备案管理系统”。这 对查处有害信息的快速定位、 搜索非法网站及有效提高信息查询与安全性管理效 率有重大意义。二是认定终端为安全重点及中间件的隔离作用是非常重要的。在 终端芯片嵌入密码型安全子系统，对全部自主研发场合来说很容易处理，即以一 个独立于每个系统的平台作为中间件，分别与系统及应用程序连接，以解决应用 程序对系统层的访问及控制。 当然， 此时依然要解决好系统层接口的安全性问题， 而这往往是个难题。三是为确保高级保密用户的安全，采取网络彻底隔离断开。 在保证安全前提下，支持自动文件和应用数据的交换，这就是所谓网闸(GAP)的 概念。 众所周知， 内/外网是采取物理隔离断开方式， 人工文件可安全复制转移， 这是手动实施的一种最简单原型。显然，如何实施网络断开以进行有效的文件交 换，特别是各种应用数据的交换，是网闸技术的关键所在。总体来看，网闸技术 包含三大要素，即网络隔离断开、模拟拷盘或单向传输工作机制及应用数据交换 支持。由于网络断开即可消除黑客对网闸本身的入侵，使其无法从网闸外部主机侵入到内部主机，也不会从外网侵入内网，从而消除了基于通信连接的攻击和基 于 TCP/IP 协议的攻击及漏洞扫描和入侵攻击。至于网闸对应用的支持，通常是 通过对应用协议的剥离来获得应用数据。交换应用数据后，再对应用协议进行重 建恢复。目前的网闸技术已可对大部分应用数据进行剥离与重建。当然，这些运 作均要以资源消耗、高速运作及硬件补偿等为代价。三是国内两大防毒软件商 ——北京瑞星科技股份有限公司和北京金山软件有限公司宣布， 正式加入思科公 司所倡导的网络准入控制(NAC)计划，以研发集成化的安全解决方案，全面提高 安全级别和防御威胁的能力。 这是国内信息安全知名企业与国际领先技术有机合 作与良性互动的新契机， 将对中国信息安全事业起到巨大的推动和促进作用。 NAC 合作计划最早由思科公司于 2003 年 11 月提出， 其主旨是授权合作伙伴公开技术 信息， 以支持合作伙伴开发和销售支持 NAC 网络基础设施的第三方服务器及客户 端应用。NAC 计划分三步实施。第一步，在 2004 年中期，思科的接入路由器和 中档路由器已可支持 NAC 计划。 第二步， 将扩展至多种思科产品， NAC 如交换机、 无线接入设备和安全设备。第三步，将 PC 和服务器端点与网络的安全互操作能 力扩展上升为自我防御能力。显然，专业信息安全厂商与硬件设备提供商进行深 层次技术合作，既是企业用户的普遍安全需求，也是整个信息安全行业的重要发 展趋势。思科、瑞星、金山等联手打造全局防御的信息网络安全体系，既有明显 的现实价值，亦有重要的战略意义。总起来说，IP 安全性的进展实际上与上述 ICA 思想的安全保证是有所协同 与汇聚的，比起防火墙等措施来已更上一层楼。因此，基于 IP 协议的安全计算 问题应以科学求实、积极创新的原则而努力推进，决不能不求创新，甚至悲观失 望。(3)IPv6 发展的冷思维随着中国下一代互联网示范工程 CGNI 的启动及中国五大运营商全面加入 IPv6 规模部署阵营，并拟在 2005 年底建成世界上最大规模的 IPv6 网络，起到 引领全球 IPv6 推广与应用的作用，IPv6 热正在中国快速升温。诚如全球 IPv6 论坛主席 LadifLadid 所说：“中国需要 IPv6，IPv6 更需要中国”。由此亦不难 理解，IPv6 为何在国内日渐升温，有些人甚至认为 NGN 就是 IPv6，IPv6 一上， NGN 的所有问题基本上就都可以解决了!这种不适当的升温不利于 IPv6 在中国稳 妥、健康的发展，并有碍中国引领全球 IPv6 的推广应用、成为真正 IPv6 大赢家 这一宏伟目标的实现。因而，对 IPv6 进行理性思维，甚至冷思维，看来很有必 要。首先，应充分理解 IPv6 对 IP 协议的重大改进与战略价值。IPv6 协议已约 有十年历史。其在地址容量、安全性，QoS 控制、地址资源管理的合理性方面均 有较大幅度改进，包括对新一代全球移动业务的支持。尽管如此，亦不能说明它 已十全十美，可全盘包揽、永世长存。从 IPv4 至 IPv6 的不兼容性即可看出其阶 段性设计的局限性与巨大弊端。其实，应该说，地址匮乏是 ICT 业界对 IPv6 研 究与建设应用的最主要驱动力，对其它一些功能不应寄以过份的期待，更不应不 切实际地炒作与夸大。赋予 IPv6 太多的期望，将导致 IPv6 走向反面，甚至重蹈 3G 由神话向理性转变的覆辙。 由以下几方面对 IPv6 在中国的发展进行冷思维是 由以下几方面对 有益的： 有益的：●安全性问题。IPv6 在其协议栈中强制执行 IPSec，确比 IPv4 时的安全性 有所改善。但安全性问题很复杂，需有不同层次、不同方位的可靠保障。首先， IPSec 仅是一个网络层协议，负责其下层的网络安全，并不负责其上层应用，如 Web，E-mail 及文件传送之类的安全。对确保安全而言，IPSec 决非惟一手段，还需与多种手段，诸如认证体系、加密体系、密钥分发体系等全面配合。●QoS 问题。如上所述，IPv6QoS 改进的一个重要手段是“流标签”。但已 有十年历史的 IPv6 至今还未制定出流标签应用的有关标准，一些基于流转发的 产品仅是基于厂家特定环境的产品，并非基于流标签协议，从而大大限制了它的 推广与应用。何况，IP-QoS 问题与 IP 安全性问题类似，涉及 QoS 的体系结构。 因此，首先要完善低层承载层面的综合有效的 IP-QoS 实施途径，其次要解决高 层与低层间的快速控制运作，实现包括低层运作在内的业务、应用等高层层面改 进 IP-QoS 潜在作用的高层智能路由/交换能力，使得纵向、横向各层面能有效运 作，最大限度地调动网络资源，才能实现愈来愈令人满意的 IP-QoS 保证。●IPv6 的所谓移动通信杀手锏应用问题。确实，MIPv6 对 3G 及 3G 演进等新 一代移动通信应用可提供有力支撑，不过 IPv6 在新一代移动通信终端上的有效 应用还有很长的路要走。目前的 PDA 手机，内置仅为 IPv4 协议栈，并不支持其 移动特性，而借助 GRPS，CDMA1x 上网的手机使用的均为专网地址。从后向兼容 演进角度看，期望 IPv6 成为 3G 的杀手锏应用决非轻而易举之事。●IPv6 的应用奇迹问题。应该说，IPv6 利用其海量地址优势发挥其端到端 个性化/个体化及大面积消费电子类应用确有其巨大威力与潜力，但也必须应对 诸多难题。首当其冲的依然是安全性问题。防火墙入口认证模式及保险柜式连接 对象认证模式均不能令人满意，产品内嵌安全功能亦相当困难，如何有效交换密 钥亦非易事。因此，探索价廉物美而有效的 IPv6 安全应用途径，依然面临严峻 的挑战。●IPv6 的实际部署问题。 目前， 全球已拥有 2 亿多 IPv4 用户。 IPv4 与 IPv6的非无缝兼容特征将成为其业务快速有效演进的障碍与阻力，并意味着在时间、 金钱、资源方面的巨大投入。而且，大有作为的第三方应用软件的编译亦很少在 目标操作系统的最新版本上实施。因此，对 IPv6 的装备实施不宜持过份乐观的 期望。●中国 IPv4/IPv6 地址资源匮乏的严重性如上所说， IPv6 的地址数是如此巨大， 约为 IPv4 地址量的 8 万兆兆平方倍。 有人甚至声称它可赋予地球上每一颗沙子及每一滴水以相应的地址。即便如此， 包括 GNI 及 NGXiYiJi 在内的 NGN 与 GII 是瞄准全球个人化、个性化及个体化目 标的，而后两者的需求与数量将远远超越直接意义上的全球“个人”数量，哪怕 是只要覆盖最重要的那些“沙子”与那些“水滴”，IPv6 地址能力的真正充裕 性便值得怀疑，更何况遍及每一颗沙子及每一滴水!说穿了，在 IPv4 地址分配上 吃了大亏的中国人，最关心的是中国应该且必须及时拿到中国应该得到的 IPv6 或将来更长远 IPvX 地址资源。“兵马未发，粮草先行”，这是千古常理。发展 3G/3.5G/4G 之类 3G 演进与宽带无线，首先要解决的是全球与中国自身需求的频 率/轨道/码号资源，同样发展好中国的 GNI 及 NGXiYiJi 在内的 NGN 必须首先解 决好中国的 IPvX 地址资源。目前，绝不应对 IPv6 地址总量感到盲目乐观，而应 切实思考如何解决好我国 IPv4/IPv6 地址资源匮乏的严重问题。IPv4 地址分配极不合理，其分布极不均衡。美国 3 亿人口，1.65 亿互联网 用户，拥有 75 个 A 类地址，占全球 IP 地址的 70%。中国 13 亿人口，互联网用 户数约达 9000 万户，估计到 2007 年将达 3 亿户，却仅拥有 4100 万 IPv4 地址， 相当于不到 3 个 A 类地址，仅相当于美国 IPv4 地址数的 1/38。拿足了地址者留 着不用，而急需地址者又一筹莫展，可见地址分配达到了何等惊人的不公平、不合理地步，地址的管理是何等地令人遗憾与可悲。在这一点上，中国目前及未来 几年内很可能依然大吃苦头。 因为全球 IPv6 论坛于 2004 年 3 月公布的预测资料 表明，对 IP 地址需求最多的 15 个国家即需附加 298 个 A 类地址，超过目前剩余 IPv4 地址库地址量的 3 倍。其中，仅中国一国即需附加 105 个 A 类地址，约占 其 1/3 强。依然在先到先占和按需分配原则指导下的 IPv6 地址资源争夺大战的 序幕已经拉开，而中国在此第一回合中已处于很不利的地位。截止到 2004 年 6 月，我国分配到的 IPv6 地址块仅为 11 块，占全部已分地址块(606 块)的 1.8%， 且均为/32 类别的缺省型，未得到任何更大的 IPv6 地址块，捷足先登的一些国 家仍占大头。例如，至 2003 年底，美国、日本、德国、荷兰、英国等五个国家 所分配到的 IPv6 地址占全球总数的 48%。在亚太地区，我国分到的 IPv6 地址仅 占 11%，约为韩国的 1/2.5、日本的 1/6，比中国的台湾省(14%)还少。何况在新 一轮 IPv6 地址争夺战中，美国国防部 DoD 不仅针对今后两年的需求在积极申请 获取/16 类别的巨大 IPv6 地址块，甚至已对其 10 年以内地址需求作出了规划申 请。 因此， 在缺乏 IP 地址前提下， 奢谈什么“中国需要 IPv6， IPv6 更需要中国” 以及希望“中国引领全球 IPv6 推广应用， 成为真正 IPv6 大赢家”之类口号实在 没有意义。尽快从 NGN-I，NGXiYiZi 及 NGN 发展总目标入手，通信、计算机、广 播电视、教育科研、商务政务、国防军事、企业家庭、网格运行、个体物流，制 造运营等， 全面考虑， 联手规划， 申请获得应有的 IPv6 地址已成我国当务之急。 在 IPv6 地址的新一轮资源争夺大战中，力争取得好战绩，才是确保 IPv6 及 NGN 务实发展所需资源的前提。同时，应积极响应 ITU-T 对 IPv6 地址分配的有益战 略观点，摒弃“杞人忧天、犯不上着急，IPv6 地址取之不尽，眼下没有必要去 争抢”之类的短视想法，力促从分配机制上进行改革，使 IPv6 地址的分配不致 重蹈 IPv4 地址分配的覆辙，使之向更合理、更健康的分配轨道发展。事实上， IPv6 地址分配工作本身，确有不少有待改进之处。从上述第一轮分配结果可以 看出，先入为主、先到先满足的原则对后来者有失公允。发达国家和一些占风气之先的国家抢占地址的现象依然普遍，现在的游戏规则实质上沿用了 IPv4 的套 路，很难做到公平合理，这些都是亟待解决的问题。在国际上建立一种权威的公 平合理的 IPv6 地址分配管理机制是国际社会努力的目标，也是当务之急。五、结束语应该承认，IP 协议及 Internet 是人类全球通信的最伟大创举之一，它创造 了无可估量的长期价值。 同时， 鉴于 TCP/IP 协议及 Internet 的发展历史与背景， 随着其商用化暴露出的一系列问题，诸如安全性，IP-QoS，智能网管、可赢利商 业模式等必须切实重视，并科学务实、博采众长、积极创新、脚踏实地、一步一 步地予以解决，包括战略上引入更优秀的结构理念与系统解决方案在内。本文以 IP 安全性为重点，对 IP 协议的重要现实作用、存在问题及其进一步发展策略， 提出了一些战略思考，期望 IP/NGN 获得积极、稳妥、健康、有序的可持续成功 发展 无线局域网的网络安全 摘要： 摘要：无线局域网能够实现使用户在任何时间、任何地点均能实现数据通信的目 标， 由此得到了快速的发展和广泛应用。但由于无线局域网应用电磁波作为传 输媒介，因此安全问题尤为突出，在此简单的介绍它的特点和应用，就其主要安 全隐患和威胁以及安全对策和解决方案作一些论述。 关键词： 、 关键词：无线局域网（WLAN） 信息安全、AP、 IEEE 802.11、加密技术 一、 无线局域网的概念和安全问题 无线局域网（Wireless Local Area Network，WLAN）是在不采用传统有线 电缆的情况下，利用射频（Radio Frequency，RF）技术，通过红外线系统或者 无线电波来支持计算机之间发送和接收数据，给用户提供随时、随地、随意的宽 带网络接入。由于 WLAN 技术被企事业单位广泛应用于办公网络，它正由传统意 义上的局域网技术发展为“公共无线域网” ，已经成为国际互联网 Internet 宽带 接人手段。WLAN 具有易安装、高移动性、易扩展、易维护、抗干扰、易管理、 保密性强的特点。比如：它不需要大量的布线，只需要安装无线访问点 AP （access point）就可实现网络覆盖，AP 可覆盖 10～100M，AP 可随意移动，在 无线信号覆盖的范围内，均可接入网络，且漫游很方便，不受运营商和国家的限制。每个 AP 可支持 100 多个用户接入，只需增加 AP 就可扩展网络。WLAN 的期 望日益升高时，其安全问题随着应用的深入表露无遗，并成为制约 WLAN 发展的 主要瓶颈。 虽然相对于有线局域网，无线局域网表现出很大的优势，但是无线局域网的 安全性问题值得关注，主要表现在以下方面： 1、WLAN 是以无线电波作为上网的传输媒介，因此存在着难以限制网络资源 的物理访问，无线网络信号可以传播到预期方位以外的地域，具体情况要根据建 筑材料和环境而定，这样就使得在网络覆盖范围内都成为了 WLAN 的接入点，开 放的信道无法阻止攻击者窃听、篡改并转发数据； 2、用户上网时不需要与网络进行实际连接，使得攻击者很容易伪装成合法 用户，并且网络终端的移动性使得安全管理难度加大，攻击者可能在任何位置通 过移动设备实施攻击，而跟踪一个特定的移动节点是很难做到的。因此，对无线 网络移动终端的管理要困难得多，无线网络的移动性带来了新的安全管理问题； 3、WLAN 是符合所有网络协议的计算机网络，所以计算机病毒一类的网络威 胁因素同样也威胁着所有 WLAN 内的计算机，甚至会产生比普通网络更加严重的 后果； 4、变化的拓扑结构和不稳定的传输信号增加安全方案的实施难度。由于无 线局域网络没有固定的拓扑结构，而是动态变化的，因此缺乏集中管理机制，使 得安全技术更加复杂。另一方面，不同于有线网络稳定的传输环境与信号，无线 网络信道特性是变化的， 会受到干扰、 衰落、 多径、 多普勒频移等多方面的影响， 造成信号质量波动较大，甚至无法进行通信。 因此 WLAN 中存在的安全威胁因素主要是窃听、截取或者修改传输数据、置 信攻击、拒绝服务以及物理状况因素等。 无线局域网的安全措施 二、 无线局域网的安全措施 为了提高 WLAN 的安全性，IEEE802.11 国际标准主要应用了三项安全技术来 保障其数据传输的安全性： 1、服务集标识符（Service Set Indentifier，SSID） 对每个无线接人点 AP 设置不同的 SSID， 当无线终端设备要连接到 AP 时就必 须填写正确的 SSID 才能访问，这样就可以允许不同群组的用户接人不同的 AP， 并对资源访问权限进行区别限制。这样只有通过 AP 身份验证的用户才能进行并 访问网络资源，从而阻止未被授权的用户后进入网络。由于 SSID 只是一个简单 的口令，所有使用网络的人都知道该口令，很容易向外泄漏。而且如果将 AP 配 置为每隔一段时间就向外广播其 SSID，这样非授权用户也很容易发现该网络的 SSID。 2、物理地址(Media Access Controller，MAC)过滤 每个无线终端的无线网卡上的 MAC 地址都是唯一的，因此可以在 AP 内部建 立一张“MAC 地址控制表“，只有在表中列出的 MAC 地址才是合法的，才能接收 到无线网络，否则 AP 就拒绝其连接请求。但是这种方法也有其缺陷：一是可以 通过软件的方法更改无线网的 MAC 地址， 攻击者只要窃取了合法用户的 MAC 地址， 就可以通过软件方法冒充合法用户的 MAC 地址，从而成为合法的 MAC 地址。而且 攻击者可以通过多种方法嗅探到用户的 MAC 地址。 二是由于接入网络的计算机经 常改变，这就要求 AP 中的“MAC 地址控制表”必须随时更新，因此可扩展性较 差，无法实现计算机在不同 AP 之间的漫游。 3、对等连接保密( Wired Equivalent Protection，WEP )WEP 是 802.11 标准中链路级的安全协议，它采用 RC4 算法的 64bits 或 128bits 静态加密。在 WEP 机制中，同一无线网络的所有用户和 AP 都使用相同 的密钥进行加密和解密，网络中的每一个用户和 AP 都存放密钥。但是由于在设 计 WEP 时缺乏对安全的全面考虑，目前 WEP 已经逐渐暴露出其缺陷，无法满足 WLAN 对安全的要求。 的安全问题主要表现在以下方面： WEP ①RC4 算法使用不当。 RC4 算法使用长度为 40 位的密钥进行身份验证和加密，这个长度太短，不能抵 挡强大计算型和穷举型的攻击。②WEP 缺乏有效的密钥管理。仅仅依靠人工方法 来装人生成的密钥，而且一旦装载后就很少更新，也没有对密钥的声称与更新进 行任何的规定。 ③WEP 中 RC4 的初始化向量 （lV） 是一个能够复用的 24 位字段， 向量空间太小，很容易重复。而且在受 WEP 保护的无线网络中，多个站点可能使 用同一个共享密钥，这就增加了发生 lV 冲突的可能性。④用于数据完整性校验 的 CRC(循环校验码)具有线性且 CRC 的生成与密钥无关，使得攻击者能够伪造信 息或是篡改信息。因此，CRC 无法提供真正意义上的数据完整性。⑤WEP 采用的 基于共享密钥的认证机制中，认证信息的明文与密文都在无线网络中传输，因而 攻击者能够获得认证信息。而且 WEP 中的认证机制是单项的，仅仅是用户向 AP 认证自己的身份，因而攻击者可能伪装成 AP 实施拒绝服务的攻击。此外 WEP 的 安全机制一般都是基于硬件的，没有任何软件辅助措施，一旦设备落入攻击者手 中，就会造成所谓的硬件威胁。 目前 IEEE 802.11 标准中的 WEP 安全解决方案，在 15 分钟内就可被攻破， 已被广泛证实不安全。所以如果采用支持 128 位的 WEP，破解 128 位的 WEP 是相 当困难的，同时也要定期更改 WEP，保证无线局域网安全。如果设备提供了动态 WEP 功能，最好应用动态 WEP，而 Windows XP 本身就提供了这种服务，您可以选 中 WEP 选项 “自动为我提供密钥”同时应该使用 IPSec、VPN、SSH 或其它 WEP 的替代方法，不要仅使用 WEP 来保护数据。 由以上分析可知 802.11 标准确实存在着很多安全漏洞，逐渐成为制约 WLAN 发展的瓶颈。因此，IEEE 又发布了新一代的 WLAN 安全协议 IEEE802．11i 协议 作为无线局域网络安全问题的最终解决方案。IEEE802．11i 定义了健壮安全网 络 RSN 的概念，增强了无线网络数据加密和认证，针对 WEP 加密机制的各种缺陷 做了多方面改进。 IEEE802.11 标准外的技术 1、VPN 技术的广泛应用 在大型无线网络中维护工作站和 AP 的 WEP 加密密钥、AP 的 MAC 地址列表都 是非常艰巨的管理任务，对于高安全要求或大型的无线网络，VPN 方案是一个更 好的选择。 对于无线商用网络，基于 VPN 的解决方案是当今. WEP 机制和 MAC 地址过滤 机制的最佳替代者。VPN 方案已经广泛应用于 Internet 远程用户的安全接入。 在远程用户接入应用中， 在不可信的网络上提供一条安全、 VPN 专用通道或隧道。 各种隧道协议，包括点对点的隧道协议和第二层隧道协议都可以与标准的、集中 的认证协议一起使用。同样，VPN 技术可以应用在无线的安全接入上，在这个应 用中，不可信的网络是无线网络。AP 可以被定义成无 WEP 机制的开放式接入(各 AP 仍应定义成采用 SSID 机制把无线网络分割成多个无线服务子网)，但是无线 接入网络 WLAN (AP 和 VPN 服务器之问的线路)从局域网已经被 VPN 服务器和内部 网络隔离出来。 服务器提供网络认证和加密， VPN 并允当局域网网络内部。 WEP 与 机制和 MAC 地址过滤接入不同，VPN 方案具有较强的扩充、升级性能，可应用于大规模的无线网络。 2、WPA 保护机制 Wi—Fi Protected Access(WPA，Wi—Fi 保护访问)是 Wi—Fi 联盟提出的一 种新的安全方式，以取代安全性不足的 WEP。WPA 采用了基于动态密钥的生成方 法及多级密钥管理机制，方便了 WLAN 的管理和维护。WPA 由认证、加密和数据 完整性校验三个部分组成。 (1)、认证 WPA 要求用户必须提供某种形式的证据来证明它是合法用户，才能拥有对某 些网络资源的访问权，并且这是是强制性的。 (2)、加密 WPA 采用 TKIP(Temporal Key Integrity Protocol，临时密钥完整性协议) 为加密引入了新的机制，使用一种密钥构架和管理方法，通过由认证服务器动态 生成、分发密钥来取代单个静态密钥、把密钥首部长度从 24 位增加到 l28 位等 方法增强安全性。而且，TKIP 利用了 802.11x／EAP 构架。认证服务器在接受了 用户身份后，使用 802.11x 产生一个惟一的主密钥处理会话。然后 TKIP 把这个 密钥通过安全通道分发到 AP 和客户端，并建立起一个密钥构架和管理系统，使 用主密钥为用户会话动态产生一个惟一的数据加密密钥， 来加密每一个无线通讯 数据报文。 (3)、消息完整性校验 除了保留 802.11 的 CRC 校验外，WPA 为每个数据分组又增加了一个 8 个字 节的消息完整性校验值，以防止攻击者截获、篡改及重发数据报文。 3、无线入侵检测系统 无线入侵检测系统同传统的入侵检测系统类似，但无线入侵检测系统增加了 无线局域网的检测和对破坏系统反应的特性。 侵入窃密检测软件对于阻拦双面恶 魔攻击来说，是必须采取的一种措施。如今入侵检测系统已用于无线局域网来监 视分析用户的活动，判断入侵事件的类型，检测非法的网络行为，对异常的网络 流量进行报警。无线入侵检测系统不但能找出入侵者，还能加强策略。通过使用 强有力的策略，会使无线局域网更安全。无线入侵检测系统还能检测到 MAC 地址 欺骗。它是通过一种顺序分析，找出那些伪装 WAP 的无线上网用户，无线入侵检 测系统可通过提供商来购买，为了发挥无线入侵检测系统的优良性能，他们同时 还提供无线入侵检测系统的解决方案。 三、 小结及体会 无线局域网的便捷性和低成本等特点，更由于网路互联的可移动性，使得应 用越来越来广泛， 是计算机有线网络必不可少的补充， 也是未来网络互联的方向， 已经成为一种比较成熟的技术。 但其无线广播的安全隐患成为制约其快速发展的 瓶颈，局域网内各个网络节点的重要信息资源处于高风险的状态，因此安全问题 的研究成为网络安全领域内一个主要的发展方向。要保证 WLAN 的安全，需要从 加密技术和密钥管理技术两方面来提供保障，使用加密技术可以保证 WLAN 传输 信息的机密性， 并能实现对无线网络的访问控制， 密钥管理技术为加密技术服务， 保证密钥生成、分发以及使用过程中不会被非法窃取，另外灵活的、基于协商的 密钥管理技术为 WLAN 的维护工作提供了便利。1.网络安全方案设计原则 网络安全建设是一个系统工程， 电子政务专用网络系统安全体系建设应按照 “统一规划、统筹安排、统一标准、相互配套”的原则进行，采用先进的“平台 化”建设思想，避免重复投入、重复建设，充分考虑整体和局部的利益，坚持近 期目标与远期目标相结合。 在进行网络系统安全方案设计、规划时，应遵循以下原则：需求、风险、代 价平衡的原则，综合性、整体性原则、一致性原则，易操作性原则，适应性、灵 活性原则，多重保护原则，可评价性原则。 校园网络安全实施方案校园网网络是一个分层次的拓扑结构， 因此网络的安全防护也需采用分层次的拓 扑防护措施。 即一个完整的校园网网络信息安全解决方案应该覆盖网络的各个层 次，并且与安全管理相结合。一、 网络信息安全系统设计原则· · · · ·1.1 满足 Internet 分级管理需求 1.2 需求、风险、代价平衡的原则 1.3 综合性、整体性原则 1.4 可用性原则 1.5 分步实施原则目前，对于新建网络及已投入运行的网络，必须尽快解决网络的安全保密问题， 设计时应遵循如下思想： （1）大幅度地提高系统的安全性和保密性； （2）保持网络原有的性能特点，即对网络的协议和传输具有很好的透明性； （3）易于操作、维护，并便于自动化管理，而不增加或少增加附加操作； （4）尽量不影响原网络拓扑结构，便于系统及系统功能的扩展； （5）安全保密系统具有较好的性能价格比，一次性投资，可以长期使用； （6）安全与密码产品具有合法性，并便于安全管理单位与密码管理单位的检查 与监督。 基于上述思想，网络信息安全系统应遵循如下设计原则： 满足因特网的分级管理需求 根据 Internet 网络规模大、用户众多的特点，对 Internet/Intranet 信息安全 实施分级管理的解决方案，将对它的控制点分为三级实施安全管理。 -- 第一级：中心级网络，主要实现内外网隔离；内外网用户的访问控制；内部 网的监控；内部网传输数据的备份与稽查。 -- 第二级：部门级，主要实现内部网与外部网用户的访问控制；同级部门间的 访问控制；部门网内部的安全审计。 -- 第三级：终端/个人用户级，实现部门网内部主机的访问控制；数据库及终端 信息资源的安全保护。 需求、风险、代价平衡的原则 对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际额研 究（包括任务、性能、结构、可靠性、可维护性等） ，并对网络面临的威胁及可 能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统 的安全策略。 综合性、整体性原则 应用系统工程的观点、方法，分析网络的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以及专 业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安全产品 等） 。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网 络，包括个人、设备、软件、数据等。这些环节在网络中的地位和影响作用，也 只有从系统综合整体的角度去看待、分析，才能取得有效、可行的措施。即计算 机网络安全应遵循整体安全性原则， 根据规定的安全策略制定出合理的网络安全 体系结构。 可用性原则 安全措施需要人为去完成， 如果措施过于复杂， 要求过高， 本身就降低了安全性， 如密钥管理就有类似的问题。其次，措施的采用不能影响系统的正常运行，如不 采用或少采用极大地降低运行速度的密码算法。 分步实施原则：分级管理 分步实施 由于网络系统及其应用扩展范围广阔，随着网络规模的扩大及应用的增加，网络 脆弱性也会不断增加。一劳永逸地解决网络安全问题是不现实的。同时由于实施 信息安全措施需相当的费用支出。因此分步实施，即可满足网络系统及信息安全 的基本需求，亦可节省费用开支。二、 网络信息安全系统设计步骤网络安全需求分析 确立合理的目标基线和安全策略 明确准备付出的代价 制定可行的技术方案 工程实施方案（产品的选购与定制） 制定配套的法规、条例和管理办法 本方案主要从网络安全需求上进行分析，并基于网络层次结构，提出不同层次与 安全强度的校园网网络信息安全解决方案。三、 网络安全需求确切了解校园网网络信息系统需要解决哪些安全问题是建立合理安全需求的基 础。一般来讲，校园网网络信息系统需要解决如下安全问题： 局域网 LAN 内部的安全问题，包括网段的划分以及 VLAN 的实现 在连接 Internet 时，如何在网络层实现安全性 应用系统如何保证安全性 l 如何防止黑客对网络、主机、服务器等的入侵 如何实现广域网信息传输的安全保密性 加密系统如何布置，包括建立证书管理中心、应用系统集成加密等 如何实现远程访问的安全性 如何评价网络系统的整体安全性 基于这些安全问题的提出，网络信息系统一般应包括如下安全机制：访问控制、 安全检测、攻击监控、加密通信、认证、隐藏网络内部信息（如 NAT）等。四、 网络安全层次及安全措施4.1 链路安全 4.2 网络安全 4.3 信息安全 网络的安全层次分为:链路安全、网络安全、信息安全 网络的安全层次及在相应层次上采取的安全措施见下表。 信息安全 信息传输安全（动态安全） 数据加密 数据完整性鉴别 安全管理 信息存储安全（静态安全） 数据库安全 终端安全 信息的防泄密 信息内容审计 用户 鉴别 授权（CA） （防火墙) （监控) （ 安全） 网络安全 访问控制 防火墙) 网络安全检测 入侵检测 监控) IPSEC IP 安全）审计分析链路安全 链路加密 4.1 链路安全 链路安全保护措施主要是链路加密设备，如各种链路加密机。它对所有用户数据 一起加密，用户数据通过通信线路送到另一节点后立即解密。加密后的数据不能 进行路由交换。因此，在加密后的数据不需要进行路由交换的情况下，如 DDN 直通专线用户就可以选择路由加密设备。 一般，线路加密产品主要用于电话网、DDN、专线、卫星点对点通信环境，它包 括异步线路密码机和同步线路密码机。异步线路密码机主要用于电话网，同步线 路密码机则可用于许多专线环境。 4．2 网络安全 网络的安全问题主要是由网络的开放性、无边界性、自由性造成的，所以我们考 虑校园网信息网络的安全首先应该考虑把被保护的网络由开放的、 无边界的网络 环境中独立出来，成为可管理、可控制的安全的内部网络。也只有做到这一点， 实现信息网络的安全才有可能，而最基本的分隔手段就是防火墙。利用防火墙， 可以实现内部网（信任网络）与外部不可信任网络（如因特网）之间或是内部网 不同网络安全域的隔离与访问控制，保证网络系统及网络服务的可用性。 目前市场上成熟的防火墙主要有如下几类，一类是包过滤型防火墙，一类是应用 代理型防火墙， 还有一类是复合型防火墙， 即包过滤与应用代理型防火墙的结合。 包过滤防火墙通常基于 IP 数据包的源或目标 IP 地址、协议类型、协议端口号等 对数据流进行过滤， 包过滤防火墙比其它模式的防火墙有着更高的网络性能和更 好的应用程序透明性。代理型防火墙作用在应用层，一般可以对多种应用协议进 行代理，并对用户身份进行鉴别，并提供比较详细的日志和审计信息；其缺点是 对每种应用协议都需提供相应的代理程序， 并且基于代理的防火墙常常会使网络 性能明显下降。应指出的是，在网络安全问题日益突出的今天，防火墙技术发展 迅速， 目前一些领先防火墙厂商已将很多网络边缘功能及网管功能集成到防火墙 当中，这些功能有：VPN 功能、计费功能、流量统计与控制功能、监控功能、NAT 功能等等。 信息系统是动态发展变化的， 确定的安全策略与选择合适的防火墙产品只是一个 良好的开端， 但它只能解决 60%－80%的安全问题， 其余的安全问题仍有待解决。 这些问题包括信息系统高智能主动性威胁、后续安全策略与响应的弱化、系统的 配置错误、对安全风险的感知程度低、动态变化的应用环境充满弱点等，这些都 是对信息系统安全的挑战。 信息系统的安全应该是一个动态的发展过程， 应该是一种检测──监视──安全 响应的循环过程。动态发展是系统安全的规律。网络安全风险评估和入侵监测产 品正是实现这一目标的必不可少的环节。网络安全检测是对网络进行风险评估的重要措施， 通过使用网络安全性分析系统， 可以及时发现网络系统中最薄弱的环节，检查报告系统存在的弱点、漏洞与不安 全配置，建议补救措施和安全策略，达到增强网络安全性的目的。 入侵检测系统是实时网络违规自动识别和响应系统。 它位于有敏感数据需要保护 的网络上或网络上任何有风险存在的地方， 通过实时截获网络数据流， 能够识别、 记录入侵和破坏性代码流，寻找网络违规模式和未授权的网络访问尝试。当发现 网络违规模式和未授权的网络访问时， 入侵检测系统能够根据系统安全策略做出 反应，包括实时报警、事件登录，自动阻断通信连接或执行用户自定义的安全策 略等。 另外，使用 IP 信道加密技术（IPSEC）也可以在两个网络结点之间建立透明的安 全加密信道。其中利用 IP 认证头（IP AH）可以提供认证与数据完整性机制。利 用 IP 封装净载（IP ESP）可以实现通信内容的保密。IP 信道加密技术的优点是 对应用透明，可以提供主机到主机的安全服务，并通过建立安全的 IP 隧道实现 虚拟专网即 VPN。目前基于 IPSEC 的安全产品主要有网络加密机，另外，有些防 火墙也提供相同功能。五、 校园网网络安全解决方案5.1 基本防护体系（包过滤防火墙＋NAT＋计费） 用户需求：全部或部分满足以下各项 · 解决内外网络边界安全，防止外部攻击，保护内部网络 · 解决内部网安全问题，隔离内部不同网段，建立 VLAN · 根据 IP 地址、协议类型、端口进行过滤 · 内外网络采用两套 IP 地址，需要网络地址转换 NAT 功能 · 支持安全服务器网络 SSN · 通过 IP 地址与 MAC 地址对应防止 IP 欺骗 · 基于 IP 地址计费 · 基于 IP 地址的流量统计与限制 · 基于 IP 地址的黑白名单。 · 防火墙运行在安全操作系统之上 · 防火墙为独立硬件 · 防火墙无 IP 地址 解决方案： 解决方案：选用宝信的 eCop XSA 标准防护体系（包过滤防火墙＋NAT＋计费＋代理＋VPN） 用户需求：在基本防护体系配置的基础之上，全部或部分满足以下各项· · · · · · · · ·提供应用代理服务，隔离内外网络 用户身份鉴别 权限控制 基于用户计费 基于用户的流量统计与控制 基于 WEB 的安全管理 支持 VPN 及其管理 支持透明接入 具有自身保护能力，防范对防火墙的常见攻击解决方案： 解决方案： （1）选用宝信的 eCop XSA3000 （2）防火墙基本配置＋网络加密机（IP 协议加密机） 防火墙基本配置＋网络加密机（ 协议加密机）5.3 强化防护体系（包过滤＋NAT＋计费＋代理＋VPN＋网络安全检测＋ 监控） 用户需求：在标准防护体系配置的基础之上，全部或部分满足以下各项 · 网络安全性检测（包括服务器、防火墙、主机及其它 TCP/IP 相关设备） · 操作系统安全性检测 · 网络监控与入侵检测解决方案： XSA3000＋网络安全分析系统＋网络监控器 解决方案：选用宝信的 eCop XSA3000＋网络安全分析系统＋网络监控器高校校园网络安全分析及解决方案 1、引言 随着计算机应用的普及、互联网的高速发展，国内 高校相继完成并完善了校园网的建设。高校校园网以 其丰富的信息资源、良好的交互性能及优良的开放性 等特点受到了普遍的重视，作为一个重要平台在教学、 科研、管理、服务等各个方面，发挥了重要的作用，在推 动教育改革发展、数字化校园建设、促进思想文化科技 交流、丰富师生精神文化生活等方面起到了积极作用。 但近年来，网络安全事件的频发，校园网的安全问题也 逐渐突出，直接影响了学校的教学、科研、管理等活动。 因此，全面了解分析校园网的安全现状，构建可靠的校 园网安全防护体系， 确保校园网的稳定运行已是校园 网建设与发展的首要问题。 2、高校校园网络安全现状 高校的自身特点决定了高校校园网不同于一般的 企事业单位的网络， 其网络安全问题不仅仅来源于外 网，更大的威胁来源于内部局域网。其现状如下： 2.1 重视网络建设，轻视网络安全 长期以来高校的网络建设只是注重于网络规模的大小、投入建设资金的多少、购买设备的品牌等方面。 力求将校园网建设成规模覆盖整个校区、学生宿舍和 家属区，信息点数量达到上万，交换设备、服务器大多 采购国内外知名品牌的高端产品，网上应用应有尽有、 五花八门。而对网络安全却重视不够，以致于在网络规 划和建设的过程中并没有过多考虑网络安全的问题， 大多数高校只是将采购防火墙用于内网与外网之间作 为整个校园网的安全方案来实施。这也就是近年来高 校校园网安全事故频发的根源所在。 2.2 缺乏必要的规章制度 高校校园网的使用者大多为在校的师生， 主要应 用为教学、科研、管理和娱乐等，并没有太多敏感性的 应用。使用者人数众多、层次复杂、流动性大，网上应用 系统对安全要求不高， 管理层对网络安全普遍重视程 度不够，缺乏切实可行的网络管理规章制度，无法进行必要的行政、经济制裁等 诸多因素导致了校园网无限 制的开放使用，是校园网存在安全隐患的重要原因。 2.3 使用者安全意识淡薄 大多数校园网用户的安全意识薄弱。具体表现为： 不设置密码或密码设置简单； 不经常扫描系统漏洞并 安装补丁文件；系统内不安装防火墙、杀毒软件等防护 软件；不及时更新防火墙、杀毒软件等防护软件；利用 网络或移动存储设备进行资源拷贝时不采取必要的防 护措施； 点击来历不明的垃圾邮件； 浏览不安全的网 页；安装使用带有后门的软件等。 2.4 病毒泛滥，攻击不断 蠕虫病毒的出现，无论在传播速度、传播范围、破 坏性、隐蔽性等方面远远超过了传统意义上的计算机 病毒，成为了危害网络安全的第一杀手。黑客技术的公 开、在校学生的恶作剧、网络的开放、缺少必要的安全 防护使得校园网被赋予了新的&使命&-&黑客摇篮&。 3、高校校园网络安全解决方案 目前关于网络安全方面的产品和技术很多， 但实 际使用过程中的效果并不理想。如何针对高校实际情 况，建立一套可行的高校校园网络安全解决方案，应从 以下几个方面着手： 3.1 建立健全网络安全管理制度 建立健全一套行之有效的网络安全管理制度，是 解决校园网络安全的基本保障。应包括以下几方面的 内容：（1） 建立一个高度权威的网络安全管理机构，并 不断强化其权限和职能；（2）制定统管全局的网络安全 制度，做到有章可循、有法可依；（3）实行激励制度，做 到奖罚分明，利用行政、经济手段保证相关管理制度的 实施。3.2 加强用户安全意识教育 由于用户安全意识的薄弱， 使得本已脆弱的计算 机网络系统更易受到攻击。曾有人指出解决计算机网 络安全问题的首要任务就是要提高用户的安全意识， 可见提高用户安全意识的重要性。 针对校园网用户类型的不同可以采取相应的措 施，如：针对学校的领导者 可以使其了解网络安全的危害性和紧迫性， 能够加深 对网络安全建设重要性的认识； 针对普通用户可以采 取宣传与教育相结合的方式， 使了解网络安全相关的 法律法规， 掌握基本的防范技能； 针对网络的管理人 员，要求时刻保持高度警惕，提高自身能力，在日常管 理过程能够及时发现问题并加以解决。 3.3 利用相关技术最大限度的建立防护体系 3.3.1 对内网进行物理分区隔离管理 研究表明大部分的网络攻击来源于内网， 内网已 不再是完全可信的， 加强对内网的监控与管理是加强 网络安全管理的首要任务。我们可以根据地理位置、应 用类型、部门职能等方面的需求将整个校园网物理划 分不同的区域分别进行配置与管理。将所有的服务器 集中起来统一管理， 这既可以避免机房建设的重复投 资， 又可以利用防火墙创建相应的规则开放服务的端 口、限制访问的范围、监控攻击者的IP 地址。根据部门 职能的不同可以在校园网内划分出办公区、教学区、后 勤服务区、财务系统区等，各个分区采用独立的三层汇 聚设备，利用VLAN 将分区内部的各个部门进行隔离， 分区内部和分区之间利用策略路由禁止互访， 这样可 以控制网络流量、降低因病毒造成相互之间的影响、便 于对各个分区和部门的管理， 这种方式对控制近来频 发的&ARP 欺骗病毒&十分有效。 3.3.2 利用防火墙进行逻辑网络隔离 由于网络内部的不可靠性剧增， 使得防火墙的作 用不再仅仅局限于内网和外网之间的屏障。利用防火 墙丰富的策略控制技术可以针对内网的不同区域进行 等级不同的安全控制， 特别应考虑学生宿舍和家属区 用户的复杂性和不易管理性， 利用防火墙将其与内网 除服务器区以外完全隔离开，防止网络攻击的发生。 3.3.3 利用入侵检测技术进行实时监控 入侵检测技术通过抓取网络上的所有报文， 分析 处理后报告异常和重要的数据模式和行为模式， 使网 络管理人员清楚地了解网络上发生的事情， 并能够采 取行动阻止可能的破坏。作为一种积极主动地安全防 护技术，提供了对内部攻击、外部攻击和误操作的实时 保护，在网络受到危害之前进行拦截和响应。防火墙能 够将一些预期的网络攻击阻挡于网络外面， 而入侵检测技术还能够对一些非预期的攻击进行识别并做出反 应。 3.3.4 建立病毒防护体系 为有效阻断病毒传播主要途径， 防止病毒的大范围的爆发，建立完整的网络防 毒体系。通过网络版的防 毒软件和硬件防毒网关技术，建立服务器、客户机、管 理控制平台的三个区域的实时监控。通过在服务器区 域建立病毒防护体系可以有效控制垃圾邮件的收发以 及带毒文件的上传与下载。在客户机上安装防毒软件 可以最大程度的控制病毒的传播， 降低对整个网络的 影响，同时将相关信息上传管理控制平台。管理控制平 台利用收集到各类信息， 可以实时掌握整个网络的病 毒情况，并通过其他手段来进一步控制病毒的传播。 3.3.5 建立WSUS 服务器 WSUS （Windows Server Update Services） 是Microsoft 针对其Windows、Offices 等产品所提供的软件 升级服务。考虑到用户对Microsoft 产品的依赖以及 Microsoft 产品漏洞易受网络攻击的特性， 在校园网内 建立WSUS 服务器可节省网络带宽， 避免网络资源浪 费，及时更新客户端软件系统，避免了病毒的入侵。 3.3.6 实行网络实名制及上网日志 近年来随着网络实名制及上网日志技术的不断完 善，推行网络实名制及上网日志的呼声越来越高，网络 实名制及上网日志必将是今后校园网络安全建设的重 点之一。其主要目的是限制使用者在网络上的不当言 行及虚假有害信息的传播， 为网络安全事故发生后提 供可靠证据，提高使用者的素质和净化网络环境，使得 校园网络能够健康有序的发展下去。 4、结论 针对校园网络的安全现状， 通过制定切实可行的 网络安全管理制度， 利用培训提高网络用户的安全意 识与使用技能，采用相应的网络安全策略，可以将校园 网络系统的安全风险降到最低。为校园信息化建设提 供一个高效、稳定、安全的网络运行平台。参考文献:[1] 林永和.校园网防病毒系统的设计和实施[J].微计算机信息(管控一体化),-3):62-63 67[2] 蒋威,刘磊.校园网络的安全分析及解决方案[J].吉林师范大学学报(自然科学版),-67.[3] 贾遂民.校园网络安全分析与对策[J].聊城大学学报(自然科学版),):83-85.[4] Eric Maiwald.网络安全基础教程[M].北京:清华大学出版社, 2005 [5] 曾明,李建军.网络工程与网络管理[M].北京:电子工业出版社, 2003 [6] 陈兵，王立松.网络安全体系结构研究[J].计算机工程与应用, 8-140.
广而告之：
相关文档：
下载文档：
搜索更多：
词条解释：
All rights reserved Powered by
copyright &copyright 。甜梦文库内容来自网络，如有侵犯请联系客服。|