通信网络安全含义与分层

(3)密钥的管理

在传统的对称加密方法中通信双方加密解密用一把密钥，如果通信双方相隔很远，密钥的安全传送会成为一个很棘手的问题。而公开密钥法的出现可以很好地解决这个问题，公开密钥法解密的密钥是公开的，不需要用任何保密手段进行传送，通信的一方得到公开密钥对报文进行加密，报文只有私钥的持有者可以解开。但公开密钥算法加密的速度远比不上对称加密算法，因此实际应用中，常用公开密钥法在要进行保密通信双方间传递共享密钥，然后用对称加密法进行数据的加密。公开密钥法另一个用途就是上文中提到的数字签名。由于公开密钥法有如此强大的功能，对公开密钥进行管理就成为现代信息安全的一个重要课题。

公开密钥的出现，对于信息安全的威胁变成了这样：当一个人声称他是A并提供了他的公开密钥，那么他真的就是A吗?目前采用的方法是通过第三方机构即认证中心(CA)对公开密钥进行认证。

5.互联网安全技术

(1)网络管理

网管系统包括配置管理、故障管理、性能管理、安全管理和计费管理这5大部分，是维护网络可靠性和服务可用性可靠性的重要手段。通过强大的网络管理，可以有效地增强网络的健壮性。有这样一种说法：网络安全三分技术七分管理，该说法即使过于粗略也足见管理的重要性。传统的电信网网管能力较强，基本上做到了网元层次和网络层次的管理。但还没有实现服务管理(SM：ServIce MaNagemeNt)和商业管理(BM：BusINess MaNagemeNt)。同时传统电信网结构上采用外置式管理网，实现"以网管网"(以管理网管理运行网)的模式。互联网基本只能实现网元层的管理。相对来说网管能力较弱。

(2)接入控制

网络服务可控的网络必须对用户接入进行控制。传统电话网终端无智能，网络只区分接入端口。在互联网，由于终端具有智能性，IP地址可以在一定范围内随意改变。因此互联网对接入控制应当加以控制。

(3)访问控制

访问控制是保证网络安全的重要措施。访问控制可以使用防火墙在一定程度上得到实现。互联网国际出入口、与国内其他运营单位的互联点和企业网络的互联点，以及接入互联网的企业网络等网络边缘，要设置防火墙作为网络边缘的安全屏障，对网络的访问进行有效控制，其作用为：

·防止境外非法人员通过互联网进行恶意攻击或非法信息流入。

·减少互联网国际互联、内部网连接互联网的出口点。应确保组织内部网通过互联网与外部进行信息交换时，都必须经过防火墙。内部网对互联网名字的解析请求，必须送到防火墙的DNS，而不能绕过防火墙。

·提供合理有效的服务。互联网服务主要分为三大类，即电子邮件、FTP以及WWW。而对于其他TCP/IP服务，则应禁止穿透防火墙与INterNet通信。

·没有明确允许的信息流必须禁止通过防火墙。在进行需求分析以及防火墙设计时，必须遵循从小到大原则，即需要什么服务方可打开什么服务。然后，根据具体需要，逐步允许指定的信息流通过。

·对接入互联网的组织内部网的外部用户进行隔离，防止进入内部网。如果组织建立自己的互联网站点并允许外部用户访问，应将提供给外部用户访问的服务器放在防火墙外。绝对禁止外部互联网用户穿透防火墙访问组织内部网。利用防火墙提供的功能屏蔽内部网细节，阻止外部用户对内部资源的访问请求。.进行完整的审计和日志，及时发现侵入者。

防火墙是一种被动防卫技术，由于它假设了网络的边界和服务，故防火墙对内部的非法访问难以有效地控制;防火墙最适合于相对独立的与外部网络互联途径有限、网络服务种类相对集中的单一网络。因此，应清醒地认识到防火墙不是万能的。

(4)物理/逻辑隔离

互联网是一个全球性的巨大的计算机网络体系，它把全球数万个计算机网络，数千万台主机连接起来，包含了难以计数的信息资源，向全世界提供信息服务，是开放范围极大的网络。互联网的开放性使其在任何时间、任何地点都可能遭受入侵。因此，既要保证互联网数据传输交换的畅通，又要求其具有较高的安全性。由于互联网是一个基于TCP/IP协议簇的国际互联网络，使其在安全保密方面具有很大的脆弱性，在互联网上对TCP/IP的攻击能够导致服务性能下降或中断、数据泄露或篡改。

国家保密局2000年1月1日起颁布实施的《计算机信息系统国际联网保密管理规定》第二章保密制度第六条规定："涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相连接，必须实行物理隔离。"所谓物理隔离是指内部网不直接或间接地连接公共网。物理隔离的目的是保护路由器、工作站、网络服务器等硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听攻击。只有使内部网和公共网物理隔离，才能真正保证国家重要部门的内部信息网络不受来自互联网的黑客攻击。

对于物理隔离技术而言，要使其真正地发挥优势，不仅要选择适合的物理隔离产品，制定相应的安全解决方案，真正做到物理上的隔离以保证信息的机密性和完整性，还要实施完善的安全策略和管理措施，才能保证物理隔离产品和安全解决方案的实施真正发挥作用。

(5)网络防攻击

由于互联网终端具有一定智能，并且提供多样化服务，所以互联网比较容易遭受攻击。互联网被攻击主要分几个层面，通常有控制层面的攻击、消耗网络资源的攻击以及对关键应用服务器的攻击。

控制层面的攻击主要针对互联网不区分UNI接口和NNI接口，路由信息和数据在相同通道传输。为防止恶意用户试图发布错误路由信息来干扰全网连通性，通常采用路由协议鉴权和认证的手段。

消耗网络资源的攻击主要采用病毒感染大量终端，致使大量无用信息在网络上传输，消耗网络带宽资源以及CPU资源。可能使设备拥塞、控制信息无法传递甚至系统崩溃。消耗资源型的攻击很难防止，必须采用有效的手段例如防火墙以及接入控制等措施防止消耗资源型的攻击。

关键应用服务器的失效可能影响网络业务提供。对关键应用服务器的防护应纳入互联网防攻击的范围，应采用有效手段防止对关键应用服务器的攻击。

(6)网络防病毒

一般意义上来说，防病毒属计算机安全防护的范畴。病毒对网络的影响有下面三方面：

·网络设备和关键应用服务器受病毒感染，影响网络业务正常开展。

·用户设备受病毒感染，会滥用网络资源。

·病毒在网络上传播消耗网络资源。

例如域名服务器被病毒感染可能导致无法使用域名访问互联网;门户网站被感染可能导致大量用户无法使用网络。用户设备被感染可能发送大量垃圾邮件，占用系统资源。当前大量病毒通过网络传染，因此防病毒也是网络安全关键技术。

(7)入侵检测

安全不是一个稳定的状态，不能一步到位。随着技术的发展，任何先进的防攻击手段都会过时，因此入侵检测是互联网安全重要组成部分。入侵检测和网络故障检测一样，需要及时迅速。及时的入侵检测加上快速的故障恢复，能有效地提高互联网安全性。

(8)业务控制

互联网的不安全性很大程度上来源于互联网业务的可控性较差。由于互联网业务通常不计费或者费率较低，用户容易自觉或者不自觉滥用网络资源。由于大多互联网业务很难追查来源，滥用服务的行为无法追查。又由于互联网业务很难确认用户身份，恶意用户肆无忌惮，因此要提高互联网安全性，必须加强业务可控性。

(9)防止垃圾邮件

垃圾邮件实际上是网络业务被滥用的一种。虽然防止垃圾邮件也是网络防攻击和业务控制的一部分，但是由于该问题日益严重有必要将其作为网络安全关键技术之一加以研究。

垃圾邮件实际上与骚扰电话没有本质区别。区别在于打骚扰电话会被收费，而且会被追查到电话所有人;而发送垃圾邮件几乎没有费用，而且很难被追踪，即使被追查到也很难处理。此外，用户可能感染病毒后大量发送垃圾邮件，恶意发送与感染病毒无辜发送很难区别。

当前防止垃圾邮件没有非常有效的技术，只能通过各运营商的合作，通过管理手段加以缓解。

虽然本文提出大量通信网络安全的技术问题，但是网络的安全问题的核心和瓶颈不是在于技术而是在于管理和投入。通信网络安全问题不是一朝一夕就能够完全解决的。目前解决网络安全问题的大部分技术是存在的，但是如何把这些技术综合起来，还存在很多问题。解决通信网络安全问题的难度很大，需要继续进行理论上的研究和在试验环境下进行实际测试来验证，才能在一定程度上解决网络的安全问题。