第1章计算机网络安全技术(第二版)

21世纪高职高专新概念教材

计算机网络安全技术

（第二版）蔡立军主编李立明凌民副主编中国水利水电出版社联系方式：ljcaihn@主要内容

——全书由四部分共10章构成第一部分：基础篇，包括:计算机网络安全技术概论（第1章）、计算机网络安全基础（第2章）第二部分实体安全与硬件防护技术（第3章）第三部分系统安全技术，包括密码技术与压缩技术（第4章）、数据库系统安全（第5章）、网络存储备份技术（第6章）、计算机病毒及防治（第7章）、访问控制技术（第8章）第四部分网站安全技术，包括防火墙技术（第9章）、系统平台与网络站点的安全（第10章）。全书涵盖了计算机网络安全需要的“攻、防、测、控、管、评”等多方面的基础理论和实施技术。1234本书适用范围本书具有教材和技术资料的双重特征，既可以作为高职高专计算机专业及相近专业和本科计算机相近专业教材，也适合作为计算机网络安全的培训、自学教材，同时也是网络管理员、信息安全管理人员和网络工程技术人员的技术参考资料。第1章计算机网络安全技术概论本章主要内容计算机网络安全的概念计算机网络安全系统的脆弱性计算机网络安全的三个层次计算机网络安全的法律和法规安全技术评估标准计算机网络安全的常规防护措施1234561.1计算机网络安全的概念计算机网络安全是指计算机及其网络系统资源和信息资源不受自然和人为有害因素的威胁和危害，即是指计算机、网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，确保系统能连续可靠正常地运行，使网络服务不中断。计算机网络安全从其本质上来讲就是系统上的信息安全。计算机网络安全是一门涉及计算机科学、网络技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性科学。从广义来说，凡是涉及到计算机网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是计算机网络安全的研究领域。所以，广义的计算机网络安全还包括信息设备的物理安全性，诸如场地环境保护、防火措施、防水措施、静电防护、电源保护、空调设备、计算机辐射和计算机病毒等。1.2计算机网络安全系统的脆弱性操作系统的安全脆弱性网络系统的安全脆弱性网络安全的脆弱性计算机硬件系统的故障软件本身的“后门”软件的漏洞数据库管理系统的安全脆弱性防火墙的局限性天灾人祸其他方面的原因1.3计算机网络安全的三个层次安全立法安全管理安全技术1.3.1安全立法社会规范：社会规范是调整信息活动中人与人之间的行为准则。它发布阻止任何违反规定要求的法令或禁令，明确系统人员和最终用户应该履行的权利和义务，包括宪法、保密法、数据保护法、计算机安全保护条例、计算机犯罪法等等。要教育全体计算机工作者进行合法的信息实践活动。合法的信息实践活动应受到法律的保护并且应当遵循以下原则：合法登记原则。合法用户原则。信息公开原则。资源限制原则。技术规范：是调整人和物、人和自然界之间的关系准则。其内容十分广泛，包括各种技术标准和规程，如计算机安全标准、网络安全标准、操作系统安全标准、数据和信息安全标准、电磁泄露安全极限标准等。这些法律和技术标准是保证计算机系统安全的依据和主要的社会保障。1.3.2安全管理面对计算机网络安全的脆弱性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须花大力气加强安全管理，因为诸多的不安全因素恰恰反映在组织、管理等方面。因此，加强计算机网络安全管理的法规建设，建立、健全各项管理制度是确保计算机网络安全不可缺少的措施。安全管理是安全的三个层次中的第二个层次，从人事资源管理到资产物业管理，从教育培训、资格认证到人事考核鉴定制度，从动态运行机制到日常工作规范、岗位责任制度，方方面面的规章制度是一切技术措施得以贯彻实施的重要保证。所谓“三分技术，七分管理”，正体现于此。安全管理的具体内容详见第三章的3.3节。1.3.3安全技术措施安全技术措施是计算机网络安全的重要保证，是方法、工具、设备、手段乃至需求、环境的综合，也是整个系统安全的物质技术基础。计算机网络安全技术涉及的内容很多，尤其是在网络技术高速发展的今天，不仅涉及计算机和外部、外围设备，通信和网络系统实体，还涉及到数据安全、软件安全、网络安全、数据库安全、运行安全、防病毒技术、站点的安全以及系统结构、工艺和保密、压缩技术。其核心技术是加密、病毒防治以及安全评价。安全技术措施的实施应贯彻落实在系统开发的各个阶段，从系统规划、系统分析、系统设计、系统实施、系统评价到系统的运行、维护及管理。安全技术措施是本书的核心，贯穿第三章——第十章中每一章的所有内容。1.4计算机网络安全的法律和法规国外的相关法律和法规美国的《信息自由法》美国的《反腐败行为法》美国的《伪造访问设备和计算机欺骗与滥用法》美国的《计算机安全法》美国OMBA-130规章之附录三：《联邦自动化信息系统的安全》美国NIST特别报告书800-34：《信息技术系统应急计划指南》美国和加拿大的《个人隐私法》英国的《数据保护法》经济合作发展组织各成员国联合通过的《过境数据流宣言》新加坡金融管理局咨询文件：《业务应急计划指导方针》1.4.2我国的相关法律和法规我国对计算机网络安全方面的立法工作一直很重视。为尽快制订适应和保障我国信息化发展的安全总体策略，全面提高安全水平，规范安全管理，国务院、公安部等有关单位从1994年起制定发布了《中华人民共和国计算机信息系统安全保护条例》等一系列计算机网络安全方面的法规。这些法规主要涉及到信息系统安全保护、国际联网管理、商用密码管理、计算机病毒防治和安全产品检测与销售五个方面。1．计算机网络安全及信息系统安全保护（1）1991年，国务院第83次常委会议通过《计算机软件保护条例》。作为我国第一个关于信息系统安全方面的法规，《中华人民共和国计算机信息系统安全保护条例》是国务院于1994年2月18日发布的，分5章共31条，目的是保护信息系统的安全，促进计算机的应用和发展。其主要内容如下：公安部主管全国的计算机信息系统安全保护工作；计算机信息系统实行安全等级保护；健全安全管理制度；国家对计算机信息系统安全专用产品的销售实行许可证制度；公安机关行使监督职权，包括监督、检查、指导和查处危害信息系统安全的违法犯罪案件等。1．计算机网络安全及信息系统安全保护（2）1988年9月5日第七届全国人民代表大会常务委员会第三次会议通过的《中华人民共和国保守国家秘密法》，第三章第十七条提出“采用电子信息等技术存取、处理、传递国家秘密的办法，由国家保密部门会同中央有关机关规定”和“属于国家秘密的设备或者产品的研制、生产、运输、使用、维修和销毁由国家保密工作部门会同中央有关机关制定保密办法”，明确规定了“在有线、无线通信中传递国家秘密的，必须采取保密措施”。1997年10月，我国第一次在修订刑法时增加了计算机犯罪的罪名；为规范互联网用户的行为，2000年12月28日九届全国人大常委会通过了《全国人大常委会关于维护互联网安全的决定》；1．计算机网络安全及信息系统安全保护（3）中华人民共和国国家军用标准（GJB1281-91）：《指挥自动化计算机网络安全要求》。中华人民共和国国家军用标准（GJB1295-91）：《军队通用计算机系统使用安全要求》。银发〔2002〕260号：《中国人民银行关于加强银行数据集中安全工作的指导意见》(2002-9-10)。银发〔2002〕102号：《中国人民银行关于落实“网上银行业务管理暂行办法”有关规定的通知》(2002-4-23)。中国人民银行令〔2001〕第6号：《网上银行业务管理暂行办法》(2001.07.09)。证监信息字[1999]18号：《“证券经营机构营业部信息系统技术管理规范（试行）”技术指引》(1999.11.03)。证监信息字[1998]2号：《中国证券经营机构营业部信息系统技术管理规范（试行）》。1．计算机网络安全及信息系统安全保护（4）此外，我国还缔约或者参与了许多与计算机相关的国际性的法律和法规，如《建立世界知识产仅组织公约》、《保护文学艺术作品的伯尔尼公约》、《世界版权公约》，加入世界贸易组织后，我国要执行《与贸易有关的知识产权（包括假冒商品贸易）协议》。2．国际联网管理（1）《中华人民共和国计算机信息网络国际联网管理暂行规定》，是国务院于1996年2月1日发布的，并根据1997年5月20日《国务院关于修改<中华人民共和国计算机信息网络国际联网管理暂行规定>的决定》进行了修正，共17条。主要内容：①国务院信息化工作领导小组负责协调、解决有关国际联网工作中的重大问题。②Internet必须使用邮电部国家公用电信网提供的国际出入口信道。③接入网络必须通过Internet进行国际联网。④用户的计算机或者计算机信息网络必须通过接入网络进行国际联网。⑤已经建立的四个Internet，分别由原邮电部、原电子工业部、国家教委和中科院管理；新建Internet，必须报经国务院批准。⑥拟从事国际联网经营活动或非经营活动的接入单位应具备下述条件并报批：是依法设立的企业法人或者事业法人；具有相应的计算机信息网络、装备以及相应的技术人员和管理人员；具有健全的安全保密管理制度和技术保护措施；符合法律和国务院规定的其他条件；接入单位从事国际联网经营活动的，除必须具备本条款规定条件外，还应当具备为用户提供长期服务的能力。⑦国际出入口信道提供单位、互联单位和接入单位应建立相应的网管中心。2．国际联网管理（2）《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》，是国务院信息化工作领导小组于1997年12月8日发布的，共25条。它是根据《中华人民共和国计算机信息网络国际联网管理暂行规定》而制定的具体实施办法。其主要内容如下：国务院信息化工作领导小组办公室负责组织、协调和检查监督国际联网的有关工作。国际联网采用国家统一制定的技术标准、安全标准和资费政策。国际联网实行分级管理，即：对互联单位、接入单位、用户实行逐级管理；对国际出入口信道统一管理。对经营性接入单位实行经营许可证制度。经营许可证的格式由国务院信息化工作领导小组统一制定，经营许可证由经营性互联单位主管部门颁发，报国务院信息化工作领导小组办公室备案。中国Internet信息中心提供Internet地址、域名、网络资源目录管理和有关的信息服务。国际出入口信道提供单位提供国际出入口信道并收取信道使用费。国际出入口信道提供单位、互联单位和接入单位应保存与其服务相关的所有资料，配合主管部门进行的检查。互联单位、接入单位和用户应当遵守国家有关法律、行政法规，严格执行国家安全保密制度。2．国际联网管理（3）《计算机信息网络国际联网安全保护管理办法》，是1997年12月11日经国务院批准、公安部于1997年12月30日发布的，分5章共25条，目的是加强国际联网的安全保护。其主要内容如下：公安部计算机管理监察机构及各级公安机关相应机构应负责国际联网的安全保护管理工作，具体是：保护国际联网的公共安全；管理网上行为及传播信息；防止出现利用国际联网危害国家安全等违法犯罪活动。国际出入口信道提供单位、互联单位的主管部门负责国际出入口信道、所属Internet络的安全保护管理工作。互联单位、接入单位及使用国际联网的法人应办理备案手续并履行安全保护职责。从事国际联网业务的单位和个人应当接受公安机关的安全监督、检查和指导，并协助查处网上违法犯罪行为。对电子公告（BulletinBoardSystem，BBS）建立计算机信息网络电子公告系统的用户登记和信息管理制度。2．国际联网管理（4）《中国公用计算机Internet国际联网管理办法》，是原邮电部在1996年发布的，共17条，目的是加强对中国公用计算机InternetChinanet国际联网的管理。其主要内容如下：Chinanet根据需要分级建立网管中心和信息服务中心。Chinanet的接入单位应具备一定的条件并经其主管部门批准。用户的计算机进行国际联网，必须通过接入网络进行。电信总局作为Chinanet的互联单位，负责接入单位和用户的联网管理。接入单位和用户应遵守国家法律、法规。《互联网信息服务管理办法》于2000年9月20日公布施行。它把互联网信息服务分为经营性和非经营性两类。国家对经营性互联网信息服务实行许可制度；对非经营性互联网信息服务实行备案制度。从事新闻、出版、教育、医疗保健、药品和医疗器械等互联网信息服务，依照法律、行政法规以及国家有关规定须经有关主管部门审核同意的，在申请经营许可或者履行备案手续前，应当依法经有关主管部门审核同意。对从事经营性互联网信息服务应具备的条件、办理备案时应当提交的材料、不得提供的信息等方面进行了详细的规定。3．商用密码管理《商用密码管理条例》是国务院在1999年10月7日发布的，分7章共27条，目的是加强商用密码管理，保护信息安全，保护公民和组织的合法权益，维护国家的安全和利益。其主要内容如下：国家密码管理委员会及其办公室（简称密码管理机构）主管全国的商用密码管理工作。商用密码技术属于国家秘密，国家对商用密码产品的科研、生产、销售和使用实行专控管理。商用密码的科研任务由密码管理机构指定的单位承担。商用密码产品由密码管理机构指定的单位生产，其品种和型号必须经国家密码管理机构批准，且必须经产品质量检测机构检测合格。商用密码产品由密码管理机构许可的单位销售。用户只能使用经密码管理机构认可的商用密码产品，且不得转让。4．计算机病毒防治1989年，公安部就发布了《计算机病毒控制规定（草案）》。2000年4月26日，公安部又发布了《计算机病毒防治管理办法》，共22条，目的是加强对计算机病毒的预防和治理，保护计算机信息系统安全。其主要内容如下：公安部公共信息网络安全监察部门主管全国的计算机病毒防治管理工作，地方各级公安机关具体负责本行政区域内的计算机病毒防治管理工作。任何单位和个人应接受公安机关对计算机病毒防治工作的监督、检查和指导，不得制作、传播计算机病毒。计算机病毒防治产品厂商，应及时向计算机病毒防治产品检测机构提交病毒样本。拥有计算机信息系统的单位应建立病毒防治管理制度并采取防治措施。病毒防治产品应具有计算机信息系统安全专用产品销售许可证，并贴有“销售许可”标记。5．安全产品检测与销售《计算机信息系统安全专用产品检测和销售许可证管理办法》是公安部于1997年12月12日发布并执行的，分6章共19条，目的是加强计算机信息系统安全专用产品的管理，保证安全专用产品的安全功能，维护计算机信息系统的安全。其主要内容如下：我国境内的安全专用产品进入市场销售，实行销售许可证制度；颁发销售许可证前，产品必须进行安全功能的检测和认定。一个典型的检测过程为：生产商向检测机构申请安全功能检测；检测机构检测样品是否具有信息系统安全保护功能；检测机构完成检测后，将检测报告报送公安部计算机管理监察部门备案；生产商申领销售许可证；公安部计算机管理监察部门负责销售许可证的审批颁发、检测机构的审批、定期发布安全专用产品的检测通告和经安全功能检测确认的安全专用产品目录；销售许可证只对所申请销售的安全专用产品有效，有效期为两年。1.5安全技术评估标准1.5.1可信计算机系统评估标准1983年美国国防部提出了一套《可信计算机系统评估标准》（TCSEC，TrustedComputerSystemEvaluationCriteria），将计算机系统的可信程度，即安全等级划分为D、C、B、A四类7级，由低到高。D级暂时不分子级；C级分为C1和C2两个子级，C2比C1提供更多的保护；B级分为B1、B2和B3共3个子级，由低到高；A级暂时不分子级。每级包括它下级的所有特性，从最简单的系统安全特性直到最高级的计算机安全模型技术，不同计算机信息系统可以根据需要和可能选用不同安全保密强度的不同标准。为了使其中的评价方法适用于网络，美国国家计算机安全中心NCSC从网络的角度解释了《可信计算机系统评估标准》中的观点，明确了《可信计算机系统评估标准》中所未涉及到的网络及网络单元的安全特性，并阐述了这些特性是如何与《可信计算机系统评估标准》的评估相匹配的。见表1.1。现在，《可信计算机系统评估标准》已成为事实上的国际通用标准。表1.1可信计算机系统评估准则及等级类别安全级别名称主要特征及适用范围AA1可验证的安全设计形式化的最高级描述、验证和隐秘通道分析，非形式化的代码一致证明。用于绝密级BB3安全域机制存取监督，安全内核，高抗渗透能力，即使系统崩溃，也不会泄密。用于绝密、机密级B2结构化安全保护隐秘通道约束，面向安全的体系结构，遵循最小授权原则，较好的抗渗透能力，访问控制保护。用于各级安全保密，实行强制性控制B1标号安全保护除了C2级的安全需求外，增加安全策略模型，数据标号（安全和属性），托管访问控制CC2访问控制保护存取控制以用户为单位，广泛的审计、跟踪，如UNIX、LINUX和WindowsNT，主要用于金融C1选择的安全保护有选择的存取控制，用户与数据分离，数据的保护以用户组为单位，早期的UNIX系统属于此类DD最小保护保护措施很少，没有安全功能，如DOS属于此类1.5.2信息系统评估通用准则国际通用准则（CC）是ISO统一现有多种准则的结果