Internet网络攻击防范对策研究――对抗未来的攻击

1、 素，还要考虑安全因素。适当采取多层防御措施，避免单一安全失效点。 系统的正确配置将是安全管理的重要步骤。管理员不能以现成的产品具有其固有安全缺陷 为借口而采取消极或懒散的态度，而必须根据实际情况认真完成系统配置工作。仅提供必要的 服务，建立重要的内部子网与提供安全风险较大的网络服务的子网之间的安全隔离屏障尽可 能坚持单一服务的原则，使用不同的服务器来分别承担这些网络服务；综合使用多种访问控制 方法；仅授予各类应用、用户必需的权限；等等。尽管无法真正得到一开始就安全的系统但 这个原则仍然有指导意义：对于重要的服务器或其他网络设备在完成安全配置之前，不要把 它连接到网络中去：未经安全配置检查的内

2、部网络，不要急着连接到中，因为这时的 系统还是脆弱的，攻击者有可能在这一刻侵入，使你随后所有的努力都付诸流水。 网络的日常运营所涉及的工作很多，应该以安全的方式进行系统管理，必要时借助有关加 密工具比如等；注重系统的备份包括异地备份；安装必要的实时病毒检测、攻击检测定 工具；定期进行安全检查包括对各种日志进行安全审计，对文件进行完整性检查，对重要主 机、网络进行安全脆弱性扫描等。 每一时刻可能会有新的漏洞被发现，而网络加快了信息传播的速度，新的安全漏洞有可能 在几个小时之内传遍世界各地；而相应的对策也大多会以最快的速度随后推出。这就要求网络 管理员必须积极跟踪最新安全动态，及时更新系统，调整安

3、全防范设施。 系统化的安全对策还必须包括攻击检测和对网络意外事件的响应。网络入侵行为可以从物 理设施、主机或网络系统的异常活动，文件数据库系统的完整性等几个方面来检测安全舶系 统应该能够对付最糟糕的情况。一旦意外事件被证实，应该正视它，以控制局面。阻止入侵范 围进一步扩大为目标，沉着冷静地进行处理。下面的步骤可供参考：收集信息，冷静分析，借 助网络互助体系迅速采取应急措施，恢复系统认真总结经验教训。 长期对策 网络攻击的有关活动都是在未经声明的情况下发生的，下一个被利用的安全脆弱性难以预 测，下一次攻击所采取的方式、发生的时间和针对的目标也无从得知，如果仅仅针对近期目标 制定网络攻击对抗策略。

4、无疑会使网络安全防范一直处于被动的地位。为此，还必须从长期目 标出发来规划网络安全保护体系，从消除网络生命周期各个环节尤其是系统设计、实现阶 段的安全脆弱性入手，谋求从根本上提升网络安全水平。 网络攻击未来的发展趋势将是遥控增量式的，网络安全不是其中任何一个子网所能 够独立解决，只要中还存在可供非授权利用的子网，其他子网就无法杜绝遭受攻击的 可能。因此，必须建立一个广泛的全国性甚至国际性的网络安全保护体系，包括建立相关 的组织和协调机构逐步形成对网络安全资源定义的共识，建立网络安全约束与奖惩的制度与 法规。建立国际网络安全互助体系等。 在系统的设计方面，网络中缺乏可靠的身份识别机制是导致网络安

5、全脆弱性被非法利用的 主要根源。如果没有网络身份伪造源地址欺骗，所有的网络攻击的源发点都能被准确定位 网络意外事件的追溯和局面的控制都要简单得多，攻击者也就不会如同今日一样肆无忌惮。目 前，的路由结构大致是网状的，为了有效限制源地址欺骗要求中的每一个子 网的出路由都必须进行源地址检查，不允许以不在该子网内地址为源地址的报文从网内发 出。而中各个子网的可信程度参差不齐。在国际网络安全保护体系没有健全之前，没 有有效的检查和制约措施，这几乎不现实我们设想引进一种层次化的的路由体系结构来解决 这个问题。以三层结构的的分层路由体系来说明这种路由结构的优点，如图所示（图中的节 点代表路由器），设想核心层

6、为国际主干网，其中各路由节点之间仍然采用网状连接，以实现互 连并提高主干网的性能和可靠性；第二层为国家级主干网。其中的路由器可以以容余方式接入 核心主干网：第三层为范围更小的区域网路由接点除了核心层之外，其他各层中属于同一层 的路由器允许互访但不互相提供通往上层的中转服务，互访可以是直接的或通过其他机制实现 （比如通过本层交换中心实现）：因此从中转的角度看从第二层路由节点往下。各层路 由节点以树型结构分布。在这种结构中。只要在第二层节点处进行严格的源路由检查，就可以 使基于源地址的网络身份识别精确到国家：以此类推，在接近树根的国内子网节点处的进行源 路由检查，可以使网络身份识别精确到更小的区域

7、。在这种层次化的路由结构中，一般来说， 越靠近核心层的路由器个数越少，负责管理这些路由器的组织也更加可信，容易使之配合采取 适当的源地址检查等措施：另一方面，每增加一个进行源地址检查的路由节点，源地址定位的 准确性就增加一些。当协议升级到时，地址资源有限的问题可以得到有效解决，各 个子网可以通过以不同的地址接入不同的上级节点，这样一方面可以引入冗余，增加网络的 可靠性，另一方面仍然可以从逻辑上保持这种层次化的路由结构。 图：层次化路由示意图 还可以从研制基于操作系统核心的安全机制，安全协议的研制等方面提高网络系统设计的 安全性，一些安全协议的提出，如、等，正是为了这一目标。 如果没有好的实现，再好的设计也只是纸上谈兵，不能带来实际的好处，因此规范软件生 产，引入适当的安全控制和检测机制，提高软件的安全水平应该作为长期网络安全防范对策的 一部分。 结论 网络攻击和安全防范是当前领域倍受关注课题，本文在首先介绍网络攻击的现状 及其未来的趋势的基础上对网络攻击的起因进行探讨，提出以全面的、系统化的防 范策略对抗现在乃至未来的网络