网络安全技术基础

网络安全技术基础

网络安全技术指致力于解决诸多如何有效进行介入控制，以及如何保证数据传输的安全性的技术手段，主要包括物理安全分析技术，网络结构安全分析技术，系统安全分析技术，管理安全分析技术，及其它的安全服务和安全机制策略等。书

名网络安全技术基础作

者杨寅春编

[1]

ISBN9787560621524

[1]

类

别虚拟网技术出版时间20092

[1]

装

帧平装开

本16目录1

概述2

分类▪

虚拟网技术▪

防火墙技术3

使用益处▪

设置要素▪

基本分类▪

建设原则▪

选择要点▪

病毒防护技术▪

入侵检测技术▪

安全扫描技术▪

认证签名技术▪

VPN技术▪

应用安全技术4

常见产品▪

瑞星▪

金山毒霸▪

江民▪

卡巴斯基▪

诺顿▪

NOD32▪

安全卫士360▪

微点防御软件▪

费尔托斯特▪

超级巡警软件5

技术问题6

安全对策7

技术案例▪

概况▪

国外▪

国内概述编辑21世纪全世界的计算机都将通过Internet联到一起,信息安全的内涵也就发生了根本的变化.它不仅从一般性的防卫变成了一种非常普通的防范,而且还从一种专门的领域变成了无处不在.当人类步入21世纪这一信息社会,网络社会的时候,我国将建立起一套完整的网络安全体系,特别是从政策上和法律上建立起有中国自己特色的网络安全体系。一个国家的信息安全体系实际上包括国家的法规和政策,以及技术与市场的发展平台.我国在构建信息防卫系统时,应着力发展自己独特的安全产品,我国要想真正解决网络安全问题,最终的办法就是通过发展民族的安全产业,带动我国网络安全技术的整体提高。网络安全产品有以下几大特点:第一,网络安全来源于安全策略与技术的多样化,如果采用一种统一的技术和策略也就不安全了;第二,网络的安全机制与技术要不断地变化;第三,随着网络在社会各方面的延伸,进入网络的手段也越来越多,因此,网络安全技术是一个十分复杂的系统工程.为此建立有中国特色的网络安全体系,需要国家政策和法规的支持及集团联合研究开发.安全与反安全就像矛盾的两个方面,总是不断地向上攀升,所以安全产业将来也是一个随着新技术发展而不断发展的产业。网络安全产品的自身安全的防护技术网络安全设备安全防护的关键，一个自身不安全的设备不仅不能保护被保护的网络而且一旦被入侵，反而会变为入侵者进一步入侵的平台。信息安全是国家发展所面临的一个重要问题.对于这个问题,我们还没有从系统的规划上去考虑它,从技术上,产业上,政策上来发展它.政府不仅应该看见信息安全的发展是我国高科技产业的一部分,而且应该看到,发展安全产业的政策是信息安全保障系统的一个重要组成部分,甚至应该看到它对我国未来电子化,信息化的发展将起到非常重要的作用。分类编辑虚拟网技术虚拟网技术主要基于局域网交换技术(ATM和以太网交换）。交换技术将传统的基于广播的局域网技术发展为面向连接的技术。因此，网管系统有能力限制局域网通讯的范围而无需通过开销很大的路由器。由以上运行机制带来的网络安全的好处是显而易见的：信息只到达应该到达的地点。因此、防止了大部分基于网络监听的入侵手段。通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网内节点。但是，虚拟网技术也带来了新的安全问题：执行虚拟网交换的设备越来越复杂，从而成为被攻击的对象。基于网络广播原理的入侵监控技术在高速交换网络内需要特殊的设置。基于MAC的VLAN不能防止MAC欺骗攻击。以太网从本质上基于广播机制，但应用了交换器和VLAN技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入（改变）问题。但是，采用基于MAC的VLAN划分将面临假冒MAC地址的攻击。因此，VLAN的划分最好基于交换机端口。但这要求整个网络桌面使用交换端口或每个交换端口所在的网段机器均属于相同的VLAN。网络层通讯可以跨越路由器，因此攻击可以从远方发起。IP协议族各厂家实现的不完善，因此，在网络层发现的安全漏洞相对更多，如IPsweep,teardrop,syncflood,IPspoofing攻击等。防火墙技术网络防火墙技术是一种用来加强网络之间访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络,访问内部网络资源,保护内部网络操作环境的特殊网络互联设备.它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查,以决定网络之间的通信是否被允许,并监视网络运行状态.防火墙产品主要有堡垒主机,包过滤路由器,应用层网关(代理服务器)以及电路层网关,屏蔽主机防火墙,双宿主机等类型.虽然防火墙是保护网络免遭黑客袭击的有效手段,但也有明显不足:无法防范通过防火墙以外的其它途径的攻击,不能防止来自内部变节者和不经心的用户们带来的威胁,也不能完全防止传送已感染病毒的软件或文件,以及无法防范数据驱动型的攻击.自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统,提出了防火墙概念后,防火墙技术得到了飞速的发展.国内外已有数十家公司推出了功能各不相同的防火墙产品系列.防火墙处于5层网络安全体系中的最底层,属于网络层安全技术范畴.在这一层上,企业对安全系统提出的问题是:所有的IP是否都能访问到企业的内部网络系统如果答案是"是",则说明企业内部网还没有在网络层采取相应的防范措施.作为内部网络与外部公共网络之间的第一道屏障,防火墙是最先受到人们重视的网络安全产品之一.虽然从理论上看,防火墙处于网络安全的最底层,负责网络间的安全认证与传输,但随着网络安全技术的整体发展和网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务.另外还有多种防火墙产品正朝着数据安全与用户认证,防止病毒与黑客侵入等方向发展.使用益处编辑保护脆弱的服务通过过滤不安全的服务，Firewall可以极大地提高网络安全和减少子网中主机的风险。例如，Firewall可以禁止NIS、NFS服务通过，Firewall同时可以拒绝源路由和ICMP重定向封包。控制对系统的访问Firewall可以提供对系统的访问控制。如允许从外部访问某些主机，同时禁止访问另外的主机。例如，Firewall允许外部访问特定的MailServer和WebServer。集中的安全管理Firewall对企业内部网实现集中的安全管理，在Firewall定义的安全规则可以运用于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略。如在Firewall可以定义不同的认证方法，而不需在每台机器上分别安装特定的认证软件。外部用户也只需要经过—次认证即可访问内部网。增强的保密性使用Firewall可以阻止攻击者获取攻击网络系统的有用信息，如Finger和DNS。记录和统计网络利用数据以及非法使用数据Firewall可以记录和统计通过Firewall的网络通讯，提供关于网络使用的统计数据，并且，Firewall可以提供统计数据，来判断可能的攻击和探测。策略执行Firewall提供了制定和执行网络安全策略的手段。未设置Firewall时，网络安全取决于每台主机的用户。设置要素网络策略影响Firewall系统设计、安装和使用的网络策略可分为两级，高级的网络策略定义允许和禁止的服务以及如何使用服务，低级的网络策略描述Firewall如何限制和过滤在高级策略中定义的服务。服务访问策略服务访问策略集中在Internet访问服务以及外部网络访问（如拨入策略、SLIP/PPP连接等）。服务访问策略必须是可行的和合理的。可行的策略必须在阻止己知的网络风险和提供用户服务之间获得平衡。典型的服务访问策略是：允许通过增强认证的用户在必要的情况下从Internet访问某些内部主机和服务；允许内部用户访问指定的Internet主机和服务。Firewall设计策略Firewall设计策略基于特定的firewall，定义完成服务访问策略的规则。通常有两种基本的设计策略：允许任何服务除非被明确禁止；禁止任何服务除非被明确允许。通常采用第二种类型的设计策略。基本分类虚拟补丁虚拟补丁也成VPatch，旨在通过控制受影响的应用程序的输入或输出，来改变或消除漏洞。这些漏洞给入侵者敞开了大门，数据库厂商会定期推出数据库漏洞补丁，由于数据库打补丁工作的复杂性和对应用稳定性的考虑，大多数企业无法及时更新补丁。数据库防火墙提供了虚拟补丁功能，在数据库外的网络层创建了一个安全层，在用户在无需补丁情况下，完成数据库漏洞防护。DBFirewall支持22类，460个以上虚拟补丁。包过滤型包过滤型产品是防火墙的初级产品,其技术依据是网络中的分包传输技术.网络上的数据都是以"包"为单位进行传输的,数据被分割成为一定大小的数据包,每一个数据包中都会包含一些特定信息,如数据的源地址,目标地址,TCP/UDP源端口和目标端口等.防火墙通过读取数据包中的地址信息来判断这些"包"是否来自可信任的安全站点,一旦发现来自危险站点的数据包,防火墙便会将这些数据拒之门外.系统管理员也可以根据实际情况灵活制订判断规则.包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全.但包过滤技术的缺陷也是明显的.包过滤技术是一种完全基于网络层的安全技术,只能根据数据包的来源,目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入,如恶意的Java小程序以及电子邮件中附带的病毒.有经验的黑客很容易伪造IP地址,骗过包过滤型防火墙.网络地址转换(NAT)是一种用于把IP地址转换成临时的,外部的,注册的IP地址标准.它允许具有私有IP地址的内部网络访问因特网.它还意味着用户不需要为其网络中每一台机器取得注册的IP地址.在内部网络通过安全网卡访问外部网络时,将产生一个映射记录.系统将外出的源地址和源端口映射为一个伪装的地址和端口,让这个伪装的地址和端口通过非安全网卡与外部网络连接,这样对外就隐藏了真实的内部网络地址.在外部网络通过非安全网卡访问内部网络时,它并不知道内部网络的连接情况,而只是通过一个开放的IP地址和端口来请求访问.OLM防火墙根据预先定义好的映射规则来判断这个访问是否安全.当符合规则时,防火墙认为访问是安全的,可以接受访问请求,也可以将连接请求映射到不同的内部计算机中.当不符合规则时,防火墙认为该访问是不安全的,不能被接受,防火墙将屏蔽外部的连接请求.网络地址转换的过程对于用户来说是透明的,不需要用户进行设置,用户只要进行常规操作即可.代理型代理型防火墙也可以被称为代理服务器,它的安全性要高于包过滤型产品,并已经开始向应用层发展.代理服务器位于客户机与服务器之间,完全阻挡了二者间的数据交流.从客户机来看,代理服务器相当于一台真正的服务器;而从服务器来看,代理服务器又是一台真正的客户机.当客户机需要使用服务器上的数据时,首先将数据请求发给代理服务器,代理服务器再根据这一请求向服务器索取数据,然后再由代理服务器将数据传输给客户机.由于外部系统与内部服务器之间没有直接的数据通道,外部的恶意侵害也就很难伤害到企业内部网络系统.代理型防火墙的优点是安全性较高,可以针对应用层进行侦测和扫描,对付基于应用层的侵入和病毒都十分有效.其缺点是对系统的整体性能有较大的影响,而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置,大大增加了系统管理的复杂性。监测型防火墙是新一代的产品,这一技术实际已经超越了最初的防火墙定义.监测型防火墙能够对各层的数据进行主动的,实时的监测,在对这些数据加以分析的基础上,监测型防火墙能够有效地判断出各层中的非法侵入.同时,这种检测型防火墙产品一般还带有分布式探测器,这些探测器安置在各种应用服务器和其他网络的节点之中,不仅能够检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用.据权威机构统计,在针对网络系统的攻击中,有相当比例的攻击来自网络内部.因此,监测型防火墙不仅超越了传统防火墙的定义,而且在安全性上也超越了前两代产品虽然监测型防火墙安全性上已超越了包过滤型和代理服务器型防火墙,但由于监测型防火墙技术的实现成本较高,也不易管理,所以在实用中的防火墙产品仍然以第二代代理型产品为主,但在某些方面也已经开始使用监测型防火墙.基于对系统成本与安全技术成本的综合考虑,用户可以选择性地使用某些监测型技术.这样既能够保证网络系统的安全性需求,同时也能有效地控制安全系统的总拥有成本.实际上,作为当前防火墙产品的主流趋势,大多数代理服务器(也称应用网关)也集成了包过滤技术,这两种技术的混合应用显然比单独使用具有更大的优势.由于这种产品是基于应用的,应用网关能提供对协议的过滤.例如,它可以过滤掉FTP连接中的PUT命令,而且通过代理应用,应用网关能够有效地避免内部网络的信息外泄.正是由于应用网关的这些特点,使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持和对网络整体性能的影响上。建设原则分析安全和服务需求以下问题有助于分析安全和服务需求：√计划使用哪些Internet服务(如，ftp，gopher)，从何处使用Internet服务(本地网，拨号，远程办公室)。√增加的需要，如加密或拔号接入支持。√提供以上服务和访问的风险。√提供网络安全控制的同时，对系统应用服务牺牲的代价。策略的灵活性Internet相关的网络安全策略总的来说，应该保持一定的灵活性，主要有以下原因：√Internet自身发展非常快，机构可能需要不断使用Internet提供的新服务开展业务。新的协议和服务大量涌现带来新的安全问题，安全策略必须能反应和处理这些问题。√机构面临的风险并非是静态的，机构职能转变、网络设置改变都有可能改变风险。远程用户认证策略√远程用户不能通过放置于Firewall后的未经认证的Modem访问系统。√PPP/SLIP连接必须通过Firewall认证。√对远程用户进行认证方法培训。拨入/拨出策略√拨入/拨出能力必须在设计Firewall时进行考虑和集成。√外部拨入用户必须通过Firewall的认证。InformationServer策略√公共信息服务器的安全必须集成到Firewall中。√必须对公共信息服务器进行严格的安全控制，否则将成为系统安全的缺口。√为Informationserver定义折中的安全策略允许提供公共服务。√对公共信息服务和商业信息(如email)讲行安全策略区分。Firewall系统的基本特征√Firewall必须支持．“禁止任何服务除非被明确允许”的设计策略。√Firewall必须支持实际的安全政策，而非改变安全策略适应Firewall。√Firewall必须是灵活的，以适应新的服务和机构智能改变带来的安全策略的改变。√Firewall必须支持增强的认证机制。√Firewall应该使用过滤技术以允许或拒绝对特定主机的访问。√IP过滤描述语言应该灵活，界面友好，并支持源IP和目的IP，协议类型，源和目的TCP/UDP口，以及到达和离开界面。√Firewall应该为FTP、TELNET提供代理服务，以提供增强和集中的认证管理机制。如果提供其它的服务(如NNTP，等)也必须通过代理服务器。√Firewall应该支持集中的SMTP处理，减少内部网和远程系统的直接连接。√Firewall应该支持对公共Informationserver的访问，支持对公共Informationserver的保护，并且将Informationserver同内部网隔离。√Firewall可支持对拨号接入的集中管理和过滤。√Firewall应支持对交通、可疑活动的日志记录。√如果Firewall需要通用的操作系统，必须保证使用的操作系统安装了所有己知的安全漏洞Patch。√Firewall的设计应该是可理解和管理的。√Firewall依赖的操作系统应及时地升级以弥补安全漏洞。选择要点(1)安全性：即是否通过了严格的入侵测试。(2)抗攻击能力：对典型攻击的防御能力(3)性能：是否能够提供足够的网络吞吐能力(4)自我完备能力：自身的安全性，Failclose(5)可管理能力：是否支持SNMP网管(6)VPN支持(7)认证和加密特性(8)服务的类型和原理(9)网络地址转换能力病毒防护技术病毒历来是信息系统安全的主要问题之一。由于网络的广泛互联，病毒的传播途径和速度大大加快。我们将病毒的途径分为：(1)通过FTP，电子邮件传播。(2)通过软盘、光盘、磁带传播。(3)通过Web游览传播，主要是恶意的Java控件网站。(4)通过群件系统传播。病毒防护的主要技术如下：(1)阻止病毒的传播。在防火墙、代理服务器、SMTP服务器、网络服务器、群件服务器上安装病毒过滤软件。在桌面PC安装病毒监控软件。(2)检查和清除病毒。使用防病毒软件检查和清除病毒。(3)病毒数据库的升级。病毒数据库应不断更新，并下发到桌面系统。(4)在防火墙、代理服务器及PC上安装Java及ActiveX控制扫描软件，禁止未经许可的控件和安装。入侵检测技术利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险。但是，仅仅使用防火墙、网络安全还远远不够：(1)入侵者可寻找防火墙背后可能敞开的后门。(2)入侵者可能就在防火墙内。(3)由于性能的限制，防火墙通常不能提供实时的入侵检测能力。入侵检测系统是新型网络安全技术，目的是提供实时的入侵检测及采取相应的防护手段，如记录证据用于跟踪和恢复、断开网络连接等。实时入侵检测能力之所以重要首先它能够对付来自内部网络的攻击，其次它能够缩短hacker入侵的时间。入侵检测系统可分为两类：√基于主机√基于网络基于主机的入侵检测系统用于保护关键应用的服务器，实时监视可疑的连接、系统日志检查，非法访问的闯入等，并且提供对典型应用的监视如Web服务器应用。基于网络的入侵检测系统用于实时监控网络关键路径的信息，其基本模型如右图示：上述模型由四个部分组成：入侵检测系统的基本模型(1)PassiveprotocolAnalyzer网络数据包的协议分析器、将结果送给模式匹配部分并根据需要保存。(2)PatternMatchingSignatureAnalysis根据协议分析器的结果匹配入侵特征，结果传送给Countermeasure部分。(3)countermeasure执行规定的动作。(4)Storage保存分析结果及相关数据。基于主机的安全监控系统具备如下特点：(1)精确，可以精确地判断入侵事件。(2)高级，可以判断应用层的入侵事件。(3)对入侵时间立即进行反应。(4)针对不同操作系统特点。(5)占用主机宝贵资源。基于网络的安全监控系统具备如下特点：(1)能够监视经过本网段的任何活动。(2)

实时网络监视。(3)监视粒度更细致。(4)精确度较差。(5)防入侵欺骗的能力较差。(6)交换网络环境难于配置。基于主机及网络的入侵监控系统通常均可配置为分布式模式：(1)在需要监视的服务器上安装监视模块(agent)，分别向管理服务器报告及上传证据，提供跨平台的入侵监视解决方案。(2)在需要监视的网络路径上，放置监视模块(sensor),分别向管理服务器报告及上传证据，提供跨网络的入侵监视解决方案。选择入侵监视系统的要点是：(1)协议分析及检测能力。(2)解码效率(速度)。(3)自身安全的完备性。(4)精确度及完整度，防欺骗能力。(5)模式更新速度。安全扫描技术网络安全技术中，另一类重要技术为安全扫描技术。安全扫描技术与防火墙、安全监控系统互相配合能够提供很高安全性的网络。安全扫描工具源于Hacker在入侵网络系统时采用的工具。商品化的安全扫描工具为网络安全漏洞的发现提供了强大的支持。安全扫描工具通常也分为基于服务器和基于网络的扫描器。基于服务器的扫描器主要扫描服务器相关的安全漏洞，如password文件，目录和文件权限，共享文件系统，敏感服务，软件，系统漏洞等，并给出相应的解决办法建议。通常与相应的服务器操作系统紧密相关。基于网络的安全扫描主要扫描设定网络内的服务器、路由器、网桥、变换机、访问服务器、防火墙等设备的安全漏洞，并可设定模拟攻击，以测试系统的防御能力。通常该类扫描器限制使用范围(IP地址或路由器跳数)。网络安全扫描的主要性能应该考虑以下方面：(1)速度。在网络内进行安全扫描非常耗时。(2)

网络拓扑。通过GUI的图形界面，可迭择一步或某些区域的设备。(3)能够发现的漏洞数量。(4)是否支持可定制的攻击方法。通常提供强大的工具构造特定的攻击方法。因为网络内服务器及其它设备对相同协议的实现存在差别，所以预制的扫描方法肯定不能满足客户的需求。(5)报告，扫描器应该能够给出清楚的安全漏洞报告。(6)更新周期。提供该项产品的厂商应尽快给出新发现的安生漏洞扫描特性升级，并给出相应的改进建议。安全扫描器不能实时监视网络上的入侵，但是能够测试和评价系统的安全性，并及时发现安全漏洞。认证签名技术认证技术主要解决网络通讯过程中通讯双方的身份认可，数字签名作为身份认证技术中的一种具体技术，同时数字签名还可用于通信过程中的不可抵赖要求的实现。认证技术将应用到企业网络中的以下方面：(1)路由器认证，路由器和交换机之间的认证。(2)操作系统认证。操作系统对用户的认证。(3)

网管系统对网管设备之间的认证。(4)VPN网关设备之间的认证。(5)拨号访问服务器与客户间的认证。(6)应用服务器(如WebServer)与客户的认证。(7)电子邮件通讯双方的认证。数字签名技术主要用于：(1)基于PKI认证体系的认证过程。(2)基于PKI的电子邮件及交易(通过Web进行的交易)的不可抵赖记录。认证过程通常涉及到加密和密钥交换。通常，加密可使用对称加密、不对称加密及两种加密方法的混合。UserName/Password认证该种认证方式是最常用的一种认证方式，用于操作系统登录、telnet、rlogin等，但由于此种认证方式过程不加密，即password容易被监听和解密。使用摘要算法的认证Radius(拨号认证协议)、路由协议(OSPF)、SNMPSecurityProtocol等均使用共享的SecurityKey，加上摘要算法(MD5)进行认证，由于摘要算法是一个不可逆的过程，因此，在认证过程中，由摘要信息不能计算出共享的securitykey，敏感信息不在网络上传输。市场上主要采用的摘要算法有MD5和SHA1。基于PKI的认证使用公开密钥体系进行认证和加密。该种方法安全程度较高，综合采用了摘要算法、不对称加密、对称加密、数字签名等技术，很好地将安全性和高效率结合起来。后面描述了基于PKI认证的基本原理。这种认证方法应用在电子邮件、应用服务器访问、客户认证、防火墙验证等领域。该种认证方法安全程度很高，但是涉及到比较繁重的证书管理任务。VPN技术1、企业对VPN技术的需求企业总部和各分支机构之间采用internet网络进行连接，由于internet是公用网络，因此，必须保证其安全性。我们将利用公共网络实现的私用网络称为虚拟私用网(VPN)。因为VPN利用了公共网络，所以其最大的弱点在于缺乏足够的安全性。企业网络接入到internet，暴露出两个主要危险：来自internet的未经授权的对企业内部网的存取。当企业通过INTERNET进行通讯时，信息可能受到窃听和非法修改。完整的集成化的企业范围的VPN安全解决方案，提供在INTERNET上安全的双向通讯，以及透明的加密方案以保证数据的完整性和保密性。企业网络的全面安全要求保证：保密通讯过程不被窃听。通讯主体真实性确认网络上的计算机不被假冒。2、数字签名数字签名作为验证发送者身份和消息完整性的根据。公共密钥系统(如RSA)基于私有/公共密钥对，作为验证发送者身份和消息完整性的根据。CA使用私有密钥计算其数字签名，利用CA提供的公共密钥，任何人均可验证签名的真实性。伪造数字签名从计算能力上是不可行的。并且，如果消息随数字签名一同发送，对消息的任何修改在验证数字签名时都将会被发现。通讯双方通过DiffieHellman密钥系统安全地获取共享的保密密钥，并使用该密钥对消息加密。DiffieHellman密钥由CA进行验证。类型技术用途基本会话密钥DES加密通讯加密密钥DeffHellman生成会话密钥认证密钥RSA验证加密密钥基于此种加密模式，需要管理的密钥数目与通讯者的数量为线性关系。而其它的加密模式需要管理的密钥数目与通讯者数目的平方成正比。3、IPSECIPSec作为在IPv4及IPv6上的加密通讯框架，已为大多数厂商所支持，预计在1998年将确定为IETF标准，是VPN实现的Internet标准。IPSec主要提供IP网络层上的加密通讯能力。该标准为每个IP包增加了新的包头格式，AuthenticationHeader(AH)及encapsualtingsecuritypayload(ESP)。IPsec使用ISAKMP/Oakley及SKIP进行密钥交换、管理及加密通讯协商(SecurityAssociation)。Ipsec包含两个部分：(1)IPsecurityProtocolproper，定义Ipsec报文格式。(2)ISAKMP/Oakley，负责加密通讯协商。Ipsec提供了两种加密通讯手段：IpsecTunnel：整个IP封装在Ipsec报文。提供Ipsecgateway之间的通讯。Ipsectransport：对IP包内的数据进行加密，使用原来的源地址和目的地址。IpsecTunnel不要求修改已配备好的设备和应用，网络黑客户不能看到实际的的通讯源地址和目的地址，并且能够提供专用网络通过Internet加密传输的通道，因此，绝大多数均使用该模式。ISAKMP/Oakley使用X.509数字证书，因此，使VPN能够容易地扩大到企业级。(易于管理)。在为远程拨号服务的Client端，也能够实现Ipsec的客户端，为拨号用户提供加密网络通讯。由于Ipsec即将成为Internet标准，因此不同厂家提供的防火墙(VPN)产品可以实现互通。应用安全技术由于应用系统的复杂性，有关应用平台的安全问题是整个安全体系中最复杂的部分。下面的几个部分列出了在Internet/Intranet中主要的应用平台服务的安全问题及相关技术。1、域名服务Internet域名服务为Internet/Intranet应用提供了极大的灵活性。几乎所有的网络应用均利用域名服务。但是，域名服务通常为hacker提供了入侵网络的有用信息，如服务器的IP、操作系统信息、推导出可能的网络结构等。同时，新发现的针对BINDNDS实现的安全漏洞也开始发现，而绝大多数的域名系统均存在类似的问题。如由于DNS查询使用无连接的UDP协议，利用可预测的查询ID可欺骗域名服务器给出错误的主机名IP对应关系。因此，在利用域名服务时，应该注意到以上的安全问题。主要的措施有：(1)内部网和外部网使用不同的域名服务器，隐藏内部网络信息。(2)域名服务器及域名查找应用安装相应的安全补丁。(3)对付DenialofService攻击，应设计备份域名服务器。2、WebServer应用安全WebServer是企业对外宣传、开展业务的重要基地。由于其重要性，成为Hacker攻击的首选目标之一。WebServer经常成为Internet用户访问公司内部资源的通道之一，如Webserver通过中间件访问主机系统，通过数据库连接部件访问数据库，利用CGI访问本地文件系统或网络系统中其它资源。但Web服务器越来越复杂，其被发现的安全漏洞越来越多。为了防止Web服务器成为攻击的牺牲品或成为进入内部网络的跳板，我们需要给予更多的关心：(1)Web服务器置于防火墙保护之下。(2)在Web服务器上安装实时安全监控软件。(3)在通往Web服务器的网络路径上安装基于网络的实时入侵监控系统。(4)经常审查Web服务器配置情况及运行日志。(5)运行新的应用前，先进行安全测试。如新的CGI应用。(6)认证过程采用加密通讯或使用X.509证书模式。(7)小心设置Web服务器的访问控制表。3、电子邮件系统安全电子邮件系统也是网络与外部必须开放的服务系统。由于电子邮件系统的复杂性，其被发现的安全漏洞非常多，并且危害很大。加强电子邮件系统的安全性，通常有如下办法：(1)设置一台位于停火区的电子邮件服务器作为内外电子邮件通讯的中转站(或利用防火墙的电子邮件中转功能)。所有出入的电子邮件均通过该中转站中转。(2)同样为该服务器安装实施监控系统。(3)该邮件服务器作为专门的应用服务器，不运行任何其它业务(切断与内部网的通讯)。(4)升级到最新的安全版本。4、操作系统安全市场上几乎所有的操作系统均已发现有安全漏洞，并且越流行的操作系统发现的问题越多。对操作系统的安全，除了不断地增加安全补丁外，还需要：(1)检查系统设置(敏感数据的存放方式，访问控制，口令选择/更新)。(2)基于系统的安全监控系统。常见产品编辑瑞星是国产杀软的龙头老大，其监控能力是十分强大的，但同时占用系统资源较大。瑞星采用第八代杀毒引擎，能够快速、彻底查杀大小各种病毒，这个绝对是全国顶尖的。但是瑞星的网络监控不行，最好再加上瑞星防火墙弥补缺陷。另外，瑞星2009的网页监控更是疏而不漏，这是云安全的结果。金山毒霸金山毒霸是金山公司推出的电脑安全产品，监控、杀毒全面、可靠，占用系统资源较少。其软件的组合版功能强大（毒霸主程序、金山清理专家、金山网镖），集杀毒、监控、防木马、防漏洞为一体，是一款具有市场竞争力的杀毒软件。江民是一款老牌的杀毒软件了。它具有良好的监控系统，独特的主动防御使不少病毒望而却步。建议与江民防火墙配套使用。本人在多次病毒测试中，发现江民的监控效果非常出色，可以与国外杀软媲美。占用资源不是很大。是一款不错的杀毒软件。另外江民2009与360安全卫士有冲突，建议选择其一安装。卡巴斯基卡巴斯基是俄罗斯民用最多的杀毒软件卡巴斯基有很高的警觉性，它会提示所有具有危险行为的进程或者程序，因此很多正常程序会被提醒确认操作。其实只要使用一段时间把正常程序添加到卡巴斯基的信任区域就可以了。在杀毒软件的历史上，有这样一个世界纪录：让一个杀毒软件的扫描引擎在不使用病毒特征库的情况下，扫描一个包含当时已有的所有病毒的样本库。结果是，仅仅靠“启发式扫描”技术，该引擎创造了95%检出率的纪录。这个纪录，是由AVP创造的。卡巴斯基总部设在俄罗斯首都莫斯科，KasperskyLabs是国际著名的信息安全领导厂商。公司为个人用户、企业网络提供反病毒、防黒客和反垃圾邮件产品。经过十四年与计算机病毒的战斗，被众多计算机专业媒体及反病毒专业评测机构誉为病毒防护的最佳产品。1989年，EugeneKaspersky开始研究计算机病毒现象。从1991年到1997年，他在俄罗斯大型计算机公司“KAMI”的信息技术中心，带领一批助手研发出了AVP反病毒程序。KasperskyLab于1997年成立，EugeneKaspersky是创始人之一。2000年11月，AVP更名为KasperskyAntiVirus。EugeneKaspersky是计算机反病毒研究员协会(CARO)的成员。诺顿诺顿是Symantec公司个人信息安全产品之一，亦是一个广泛被应用的反病毒程序。该项产品发展至今，除了原有的防毒外，还有防间谍等网络安全风险的功能。诺顿反病毒产品包括：诺顿网络安全特警（NortonInternetSecurity）诺顿反病毒（NortonAntivirus）诺顿360（NortonALLINONESecurity）诺顿计算机大师（NortonSystemWorks）等产品。赛门铁克另外还有一种专供企业使用的版本被称做SymantecEndpointProtection。NOD32NOD32是ESET公司的产品，为了保证重要信息的安全，在平静中呈现极佳的性能。不需要那些庞大的互联网安全套装，ESETNOD32就可针对肆虐的病毒威胁为您提供快速而全面的保护。它极易使用，您所要做的只是：设置它，并忘记它！安全卫士360360安全卫士是一款由奇虎公司推出的完全免费(奇虎官方声明：“永久免费”)的安全类上网辅助工具软件，拥有木马查杀、恶意软件清理、漏洞补丁修复、电脑全面体检、垃圾和痕迹清理、系统优化等多种功能。360安全卫士软件硬盘占用很小，运行时对系统资源的占用也相对效低，是一款值得普通用户使用的较好的安全防护软件。奇虎公司根据用户的需要正对它不断进行功能的扩充与完善。系统要求：Win2000/XP/VISTA/win7微点防御软件是北京东方微点信息技术有限责任公司自主研发的具有完全自主知识产权的新一代反病毒产品，在国际上首次实现了主动防御技术体系，并依此确立了反病毒技术新标准。微点主动防御软件最显著的特点是，除具有特征值扫描技术查杀已知病毒的功能外，更实现了用软件技术模拟反病毒专家智能分析判定病毒的机制，自主发现并自动清除未知病毒。费尔托斯特(TwisterAntiTrojanVirus)是一款同时拥有反木马、反病毒、反Rootkit功能的强大防毒软件。拥有海量的病毒特征库，支持Windows安全中心，支持右键扫描，支持对ZIP、RAR等主流压缩格式的全面多层级扫描。能对硬盘、软盘、光盘、移动硬盘、网络驱动器、网站浏览Cache、Email附件中的每一个文件活动进行实时监控，并且资源占用率极低。先进的动态防御系统(FDDS)将动态跟踪电脑中的每一个活动程序，智能侦测出其中的未知木马病毒，并拥有极高的识别率。解疑式在线扫描系统可以对检测出的可疑程序进行在线诊断扫描。SmartScan快速扫描技术使其具有非凡的扫描速度。国际一流的网页病毒分析技术，拥有最出色的恶意网站识别能力。能够识别出多种经过加壳处理的文件，有效防范加壳木马病毒。它的“系统快速修工具”可以对IE、Windows、注册表等常见故障进行一键修复。“木马强力清除助手”可以轻松清除那些用普通防毒软件难以清除掉的顽固性木马病毒，并可抑制其再次生成。注册表实时监控能够高效阻止和修复木马病毒对注册表的恶意破坏。支持病毒库在线增量升级和自动升级，不断提升对新木马新病毒的反应能力。费尔托斯特安全提供的一系列安全保护措施可以让您的电脑变得更加稳固，是您最值得信赖的安全专家。超级巡警软件1、杀毒能力再增强，完全媲美于商业软件中国第一款完全免费的杀毒引擎，两百万木马与病毒库，保护远离病毒侵害；完全兼容其它杀毒软件，系统资源占用小，可以自在地给电脑上个双保险；全面查杀熊猫烧香、维金、灰鸽子、我的照片、机器狗、AV终结者、ARP病毒、盗号木马等流行病毒。2、实时保护与主动防御，保护您免除盗号、盗卡烦恼关键位置保护、程序行为和网络行为监控，让最新的病毒与木马无处藏身；每天900,000在线用户使用，实时保护功能稳定可靠；3、补丁检查及自动修复，把QQ、暴风、迅雷、联众漏洞一起管起来国内首创应用程序补丁检查并修复，可以在官方正式补丁前直接关闭存在漏洞；全面检查操作系统漏洞，精确提供所需补丁，速度远超官方升级；4、强大直观的分析工具让您具备分析病毒与木马的火眼金睛电脑高手最喜爱的病毒与木马分析工具，也可以过把高手瘾；检查启动项、进程、服务、端口等，并有未知项目高亮显示，禁止进程创建等多种贴心设计；5、免费赠送胜过商业软件的辅助功能ARP防火墙囊括其它同类收费软件全部功能，防护效果好，性能影响低；系统优化、系统修复、文件粉碎、一键修复IE、隐私清理等功能，只装一个软件，拥有全部功能；技术问题编辑电子商务安全从整体上可分为两大部分：计算机网络安全和商务交易安全（一）计算机网络安全的内容包括：（1）未进行操作系统相关安全配置不论采用什么操作系统，在缺省安装的条件下都会存在一些安全问题，只有专门针对操作系统安全性进行相关的和严格的安全配置，才能达到一定的安全程度。千万不要以为操作系统缺省安装后，再配上很强的密码系统就算作安全了。网络软件的漏洞和“后门”是进行网络攻击的首选目标。（2）未进行CGI程序代码审计如果是通用的CGI问题，防范起来还稍微容易一些，但是对于网站或软件供应商专门开发的一些CGI程序，很多存在严重的CGI问题，对于电子商务站点来说，会出现恶意攻击者冒用他人账号进行网上购物等严重后果。（3）拒绝服务（DoS，DenialofService）攻击随着电子商务的兴起，对网站的实时性要求越来越高，DoS或DDoS对网站的威胁越来越大。以网络瘫痪为目标的袭击效果比任何传统的恐怖主义和战争方式都来得更强烈，破坏性更大，造成危害的速度更快，范围也更广，而袭击者本身的风险却非常小，甚至可以在袭击开始前就已经消失得无影无踪，使对方没有实行报复打击的可能。美国“雅虎”、“亚马逊”受攻击事件就证明了这一点。（4）安全产品使用不当虽然不少网站采用了一些网络安全设备，但由于安全产品本身的问题或使用问题，这些产品并没有起到应有的作用。很多安全厂商的产品对配置人员的技术背景要求很高，超出对普通网管人员的技术要求，就算是厂家在最初给用户做了正确的安装、配置，但一旦系统改动，需要改动相关安全产品的设置时，很容易产生许多安全问题。（5）缺少严格的网络安全管理制度网络安全最重要的还是要思想上高度重视，网站或局域网内部的安全需要用完备的安全制度来保障。建立和实施严密的计算机网络安全制度与策略是真正实现网络安全的基础。（二）计算机商务交易安全的内容包括：（1）窃取信息由于未采用加密措施，数据信息在网络上以明文形式传送，入侵者在数据包经过的网关或路由器上可以截获传送的信息。通过多次窃取和分析，可以找到信息的规律和格式，进而得到传输信息的内容，造成网上传输信息泄密。（2）篡改信息当入侵者掌握了信息的格式和规律后，通过各种技术手段和方法，将网络上传送的信息数据在中途修改，然后再发向目的地。这种方法并不新鲜，在路由器或网关上都可以做此类工作。（3）假冒由于掌握了数据的格式，并可以篡改通过的信息，攻击者可以冒充合法用户发送假冒的信息或者主动获取信息，而远端用户通常很难分辨。（4）恶意破坏由于攻击者可以接入网络，则可能对网络中的信息进行修改，掌握网上的机要信息，甚至可以潜入网络内部，其后果是非常严重的。安全对策编辑电子商务的一个重要技术特征是利用计算机技术来传输和处理商业信息。因此，电子商务安全问题的对策从整体上可分为计算机网络安全措施和商务交易安全措施两大部分。1．计算机网络安全措施计算机网络安全措施主要包括保护网络安全、保护应用服务安全和保护系统安全三个方面，各个方面都要结合考虑安全防护的物理安全、防火墙、信息安全、Web安全、媒体安全等等。（一）保护网络安全。网络安全是为保护商务各方网络端系统之间通信过程的安全性。保证机密性、完整性、认证性和访问控制性是网络安全的重要因素。保护网络安全的主要措施如下：（1）全面规划网络平台的安全策略。（2）制定网络安全的管理措施。（3）使用防火墙。（4）尽可能记录网络上的一切活动。（5）注意对网络设备的物理保护。（6）检验网络平台系统的脆弱性。（7）建立可靠的识别和鉴别机制。（二）保护应用安全。保护应用安全，主要是针对特定应用（如Web服务器、网络支付专用软件系统）所建立的安全防护措施，它独立于网络的任何其他安全防护措施。虽然有些防护措施可能是网络安全业务的一种替代或重叠，如Web浏览器和Web服务器在应用层上对网络支付结算信息包的加密，都通过IP层加密，但是许多应用还有自己的特定安全要求。由于电子商务中的应用层对安全的要求最严格、最复杂，因此更倾向于在应用层而不是在网络层采取各种安全措施。虽然网络层上的安全仍有其特定地位，但是人们不能完全依靠它来解决电子商务应用的安全性。应用层上的安全业务可以涉及认证、访问控制、机密性、数据完整性、不可否认性、Web安全性、EDI和网络支付等应用的安全性。（三）保护系统安全。保护系统安全，是指从整体电子商务系统或网络支付系统的角度进行安全防护，它与网络系统硬件平台、操作系统、各种应用软件等互相关联。涉及网络支付结算的系统安全包含下述一些措施：（1）在安装的软件中，如浏览器软件、电子钱包软件、支付网关软件等，检查和确认未知的安全漏洞。（2）技术与管理相结合，使系统具有最小穿透风险性。如通过诸多认证才允许连通，对所有接入数据必须进行审计，对系统用户进行严格安全管理。（3）建立详细的安全审计日志，以便检测并跟踪入侵攻击等。2．商务交易安全措施商务交易安全则紧紧围绕传统商务在互联网络上应用时产生的各种安全问题，在计算机网络安全的基础上，如何保障电子商务过程的顺利进行。各种商务交易安全服务都是通过安全技术来实现的，主要包括加密技术、认证技术和电子商务安全协议等。（一）加密技术。加密技术是电子商务采取的基本安全措施，交易双方可根据需要在信息交换的阶段使用。加密技术分为两类，即对称加密和非对称加密。（1）对称加密。对称加密又称私钥加密，即信息的发送方和接收方用同一个密钥去加密和解密数据。它的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过这种加密方法加密机密信息、随报文一起发送报文摘要或报文散列值来实现。（2）非对称加密。非对称加密又称公钥加密，使用一对密钥来分别完成加密和解密操作，其中一个公开发布（即公钥），另一个由用户自己秘密保存（即私钥）。信息交换的过程是：甲方生成一对密钥并将其中的一把作为公钥向其他交易方公开，得到该公钥的乙方使用该密钥对信息进行加密后再发送给甲方，甲方再用自己保存的私钥对加密信息进行解密。（二）认证技术。认证技术是用电子手段证明发送者和接收者身份及其文件完整性的技术，即确认双方的身份信息在传送或存储过程中未被篡改过。（1）数字签名。数字签名也称电子签名，如同出示手写签名一样，能起到电子文件认证、核准和生效的作用。其实现方式是把散列函数和公开密钥算法结合起来，发送方从报文文本中生成一个散列值，并用自己的私钥对这个散列值进行加密，形成发送方的数字签名；然后，将这个数字签名作为报文