4.3　计算机网络与安全

4.3.1　网络安全威胁

1．网络安全概述

计算机网络安全指利用网络管理控制和技术措施，保证在一个网络环境里数据的保密性、完整性及可使用性受到保护。计算机网络安全包括两个方面，即物理安全和逻辑安全。物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。逻辑安全包括信息的完整性、保密性和可用性。计算机网络安全不仅包括组网的硬件、管理控制网络的软件，也包括共享的资源、快捷的网络服务，所以定义网络安全应考虑涵盖计算机网络所涉及的全部内容。

2．潜在威胁

对计算机信息构成不安全的因素很多，其中包括人为因素和自然因素。其中，人为因素是指一些不法之徒利用计算机网络存在的漏洞，或者潜入计算机房，盗用计算机系统资源，非法获取重要数据、篡改系统数据、破坏硬件设备、编制计算机病毒。人为因素是对计算机信息网络安全威胁最大的因素。

3．计算机网络的脆弱性

互联网是对全世界都开放的网络，任何单位或个人都可以在网上方便地传输和获取各种信息，互联网这种具有开放性、共享性、国际性的特点就对计算机网络安全提出了挑战。互联网的不安全性主要有以下几项。

（1）网络的开放性。网络的技术是全开放的，使得网络所面临的攻击来自多方面，或是来自物理传输线路的攻击，或是来自对网络通信协议的攻击，以及对计算机软件、硬件的漏洞实施攻击。

（2）网络的国际性。意味着对网络的攻击不仅是来自于本地网络的用户，还可以是互联网上其他国家的黑客，所以网络的安全面临着国际化的挑战。

（3）网络的自由性。大多数的网络对用户的使用没有技术上的约束，用户可以自由地上网，发布和获取各类信息。

4.3.2　网络安全策略

1．技术层面对策

对于技术方面。计算机网络安全技术主要有实时扫描、实时监测、防火墙、完整性检验保护、病毒情况分析报告和系统安全管理。综合起来，技术层面可以采取以下对策。

（1）建立安全管理制度。提高包括系统管理员和用户在内人员的技术素质和职业道德修养。对重要部门和信息，严格做好开机查毒和及时备份数据。

（2）网络访问控制。访问控制是网络安全防范和保护的主要策略。它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。访问控制涉及的技术比较广，包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。

（3）数据库的备份与恢复。数据库的备份与恢复是数据库管理员维护数据安全性和完整性的重要操作。备份是恢复数据库最容易和最能防止意外的保证方法。恢复是在意外发生后利用备份来恢复数据的操作。

（4）应用密码技术。应用密码技术是信息安全核心技术，密码手段为信息安全提供了可靠保证。基于密码的数字签名和身份认证是当前保证信息完整性的最主要方法之一，密码技术主要包括古典密码体制、单钥密码体制、公钥密码体制、数字签名以及密钥管理。

（5）切断传播途径。对被感染的硬盘和计算机进行彻底杀毒处理，不使用来历不明的U盘和程序，不随意下载网络可疑信息。

（6）提高网络反病毒技术能力。通过安装病毒防火墙进行实时过滤。对网络服务器中的文件进行频繁扫描和监测，在工作站上采用防病毒卡，加强网络目录和文件访问权限的设置。在网络中限制只能由服务器才允许执行的文件。

（7）研发并完善高安全的操作系统。研发具有高安全的操作系统，不给病毒得以滋生的温床才能更安全。

2．管理层面对策

计算机网络的安全管理，不仅要看所采用的安全技术和防范措施，而且要看它所采取的管理措施和执行计算机安全保护法律、法规的力度。只有将两者紧密结合，才能使计算机网络安全确实有效。

计算机网络的安全管理，包括对计算机用户的安全教育、建立相应的安全管理机构、不断完善和加强计算机的管理功能、加强计算机及网络的立法和执法力度等方面。加强计算机安全管理、加强用户的法律、法规和道德观念，提高计算机用户的安全意识，对防止计算机犯罪、抵制黑客攻击和防止计算机病毒干扰是十分重要的措施。

4.3.3　VPN技术

1．VPN定义

虚拟专用网络（Virtual Private Network, VPN）指在公用网络上建立专用网络的技术。之所以称之为虚拟网，主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台，如Internet、ATM（异步传输模式）、Frame Relay（帧中继）等之上的逻辑网络，用户数据在逻辑链路中传输。它涵盖了跨共享网络或公共网络的封装、加密和身份验证链接的专用网络的扩展。VPN主要采用了隧道技术、加解密技术、密钥管理技术和使用者与设备身份认证技术。

VPN属于远程访问技术，简单地说就是利用公网链路架设私有网络。例如，公司员工出差到外地，他想访问企业内网的服务器资源，这种访问就属于远程访问。怎么才能让外地员工访问到内网资源呢？VPN的解决方法是在内网中架设一台VPN服务器，VPN服务器有两块网卡，一块连接内网，一块连接公网。外地员工在当地连上互联网后，通过互联网找到VPN服务器，然后利用它作为跳板进入企业内网。为了保证数据安全，VPN服务器和客户机之间的通信数据都进行了加密处理。有了数据加密，就可以认为数据是在一条专用的数据链路上进行安全传输，就如同专门架设了一个专用网络一样。但实际上VPN使用的是互联网上的公用链路，因此只能称为虚拟专用网，即VPN实质上就是利用加密技术在公网上封装出一个数据通信隧道。有了VPN技术，用户无论是在外地出差还是在家中办公，只要能上互联网就能利用VPN非常方便地访问内网资源，这就是VPN在企业中应用得如此广泛的原因，如图4-3所示。

在传统的企业网络配置中，要进行异地局域网之间的互联，传统的方法是租用DSN（数字数据网）专线或帧中继。这样的通信方案必然导致高昂的网络通信／维护费用。对于移动用户（移动办公人员）与远端个人用户而言，一般通过拨号线路（Internet）进入企业的局域网，而这样必然带来安全上的隐患。

2．虚拟专用网的优点

（1）使用VPN可降低成本。通过公用网来建立VPN，就可以节省大量的通信费用，而不必投入大量的人力和物力去安装和维护WAN（广域网）设备和远程访问设备。

（2）传输数据安全可靠。虚拟专用网产品均采用加密及身份验证等安全技术，保证连接用户的可靠性及传输数据的安全和保密性。

（3）连接方便灵活。用户如果想与合作伙伴联网，但没有虚拟专用网，双方的信息技术部门就必须协商如何在双方之间建立租用线路或帧中继线路，有了虚拟专用网之后，只需双方配置安全连接信息即可。

（4）完全控制。虚拟专用网使用户可以利用ISP的设施和服务，同时又完全掌握着自己网络的控制权。用户只利用ISP提供的网络资源，对于其他的安全设置、网络管理变化可由自己管理。在企业内部也可以自己建立虚拟专用网。

3．VPN技术

基于公共网的VPN通过隧道技术、数据加密技术及QoS机制，使得企业能够降低成本、提高效率、增强安全性。VPN产品从第一代的VPN路由器、交换机发展到第二代的VPN集中器，性能不断提高。

（1）隧道技术，简单地说就是：原始报文在A地进行封装，到达B地后把封装去掉还原成原始报文，这样就形成了一条由A到B的通信隧道。目前实现隧道技术的有一般路由封装（Generic Routing Encapsulation, GRE）、L2TP和PPTP。

（2）加解密技术。VPN可直接利用现有技术实现加解密。数据加密的基本思想是通过变换信息的表示形式来伪装需要保护的敏感信息，使非受权者不能了解被保护信息的内容。

（3）QoS技术。在网络中，服务质量（QoS）是指所能提供的带宽级别。将QoS融入一个VPN，使得管理员可以在网络中完全控制数据流。

通过隧道技术和加密技术，已经能够建立起一个具有安全性、互操作性的VPN。但是该VPN性能不稳定，管理上不能满足企业的要求，这就要加入QoS技术。实行QoS应该在主机网络中，即VPN所建立的隧道这一段，这样才能建立一条性能符合用户要求的隧道。

4.3.4　网络安全与隔离

1．网络隔离

网络隔离技术指两个或两个以上的计算机或网络在断开连接的基础上，实现信息交换和资源共享。也就是说，通过网络隔离技术既可以使两个网络实现物理上的隔离，又能在安全的网络环境下进行数据交换。

面对新型网络攻击手段的出现和高安全度网络对安全的特殊需求，网络隔离技术应运而生。网络隔离技术的目标是确保隔离有害的攻击，在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换。网络隔离技术是在原有安全技术的基础上发展起来的，它弥补了原有安全技术的不足，突出了自己的优势。

网络隔离技术的主要目标是将有害的网络安全威胁隔离开，以保障数据信息在可信网络内进行安全交互。目前，一般的网络隔离技术都是以访问控制思想为策略，物理隔离为基础，并定义相关约束和规则来保障网络的安全强度。

2．发展历程

网络隔离（Network Isolation）主要是指把两个或两个以上可路由的网络（如TCP/IP）通过不可路由的协议（如IPX/SPX、NetBEUI等）进行数据交换而达到隔离目的。由于其原理主要是采用了不同的协议，所以通常也叫协议隔离（Protocol Isolation）。

第一代隔离技术是完全隔离。此方法使得网络处于信息孤岛状态，做到了完全的物理隔离，需要至少两套网络和系统，更重要的是信息交流的不便和成本的提高，这样给维护和使用带来了极大的不便。

第二代隔离技术是硬件卡隔离。在客户端增加一块硬件卡，客户端硬盘或其他存储设备首先连接到该卡，然后再转接到主板上，通过该卡能控制客户端硬盘或其他存储设备。而在选择不同的硬盘时同时选择了该卡上不同的网络接口，连接到不同的网络。但是，这种隔离产品有的仍然需要网络布线为双网线结构，产品存在着较大的安全隐患。

第三代隔离技术是数据转播隔离。利用转播系统分时复制文件的途径来实现隔离，切换时间非常之久，甚至需要手工完成，不仅明显地减缓了访问速度，更不支持常见的网络应用，失去了网络存在的意义。

第四代隔离技术是空气开关隔离。它是通过使用单刀双掷开关，使得内、外部网络分时访问临时缓存器来完成数据交换的，其在安全和性能上存在许多问题。

第五代隔离技术是安全通道隔离。此技术通过专用通信硬件和专有安全协议等安全机制，来实现内、外部网络的隔离和数据交换，不仅解决了以前隔离技术存在的问题，并有效地把内、外部网络隔离开来，而且高效地实现了内外网数据的安全交换，透明支持多种网络应用，成为当前隔离技术的发展方向。

3．技术原理

网络隔离技术的核心是物理隔离，并通过专用硬件和安全协议来确保两个链路层断开的网络能够实现数据信息在可信网络环境中进行交互、共享。一般情况下，网络隔离技术主要包括内网处理单元、外网处理单元和专用隔离交换单元三部分内容。其中，内网处理单元和外网处理单元都具备一个独立的网络接口和网络地址来分别对应连接内网和外网，而专用隔离交换单元则是通过硬件电路控制高速切换连接内网或外网。网络隔离技术的基本原理通过专用物理硬件和安全协议在内网和外网之间架构起安全隔离网墙，使两个系统在空间上物理隔离，同时又能过滤数据交换过程中的病毒、恶意代码等信息，以保证数据信息在可信的网络环境中进行交换、共享，同时还要通过严格的身份认证机制来确保用户获取所需的数据信息。网络隔离技术的关键点是如何有效控制网络通信中的数据信息，即通过专用硬件和安全协议来完成内、外网间的数据交换，以及利用访问控制、身份认证、加密签名等安全机制来实现交换数据的机密性、完整性、可用性、可控性，所以如何尽量提高不同网络间数据交换速度，以及能够透明支持交互数据的安全性将是未来网络隔离技术发展的趋势。

4．网络隔离技术方案

网络隔离技术主要有以下几种类型。

（1）双机双网。双机双网隔离技术方案是指通过配置两台计算机来分别连接内网和外网环境，再利用移动存储设备来完成数据交互操作，然而这种技术方案会给后期系统维护带来诸多不便，同时还存在成本上升、占用资源等缺点，而且通常效率也无法达到用户的要求。

（2）双硬盘隔离。双硬盘隔离技术方案的基本思想是通过在原有客户机上添加一块硬盘和隔离卡来实现内网和外网的物理隔离，并通过选择启动内网硬盘或外网硬盘来连接内网或外网网络。由于这种隔离技术方案需要多添加一块硬盘，所以对那些配置要求高的网络而言，就造成了成本浪费，同时频繁地关闭、启动硬盘容易造成硬盘的损坏。

（3）单硬盘隔离。单硬盘隔离技术方案的实现原理是从物理层上将客户端的单个硬盘分割为公共和安全分区，并分别安装两套系统来实现内网和外网的隔离，这样就具有了较好的可扩展性，但是也存在数据是否安全界定困难、不能同时访问内、外两个网络等缺陷。

（4）集线器级隔离。集线器级隔离技术方案的一个主要特征在客户端只需使用一条网络线就可以部署内网和外网，然后通过远端切换器来选择连接内、外双网，避免了客户端要用两条网络线来连接内、外网络。

（5）服务器端隔离。服务器端隔离技术方案的关键内容是在物理上没有数据连通的内、外网络下，如何快速、分时地处理和传递数据信息，该方案主要是通过采用复杂的软、硬件技术手段来在服务器端实现数据信息过滤和传输任务，以达到隔离内、外网的目的。