浅析网络安全技术（二） .

《浅析网络安全技术（二） .》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、浅析网络安全技术（二）.;关键词：络安全防火墙pki技术:{D$~y'9I}Fr2

2、[州学习计算机络技术.gzU521.]:{D$~y'9I}Fr2

3、1.概述络防火墙技术的作为内部络与外部络之间的第一道安全屏障，是最先受到人们重视的络安全技术，就其产品的主流趋势而言，大多数代理服务器（也称应用关）也集成了包滤技术，这两种技术的混合应用显然比单独使用更具有大的优势。那么我们究竟应该在哪些地方部署防火墙呢?首先,应该安装防火墙的位置是公司内部络与外部inter的接口处,以阻挡来自外部络的入侵;其次,如果公司内部络规模较大,并且

4、设置有虚拟局域(vlan),则应该在各个vlan之间设置防火墙;第三,通过公连接的总部与各分支机构之间也应该设置防火墙,如果有条件,还应该同时将总部与各分支机构组成虚拟专用(vpn)。安装防火墙的基本原则是:只要有恶意侵入的可能,无论是内部络还是与外部公的连接处,都应该安装防火墙。2.防火墙的选择选择防火墙的标准有很多,但最重要的是以下几条:2.1.总拥有成本防火墙产品作为络系统的安全屏障,其总拥有成本(tco)不应该超过受保护络系统可能遭受最大损失的成本。以一个非关键部门的络系统为例,假如其系统中的所有信息及所支持应用的总价值为10万元,则

5、该部门所配备防火墙的总成本也不应该超过10万元。当然,对于关键部门来说,其所造成的负面影响和连带损失也应考虑在内。如果仅做粗略估算,非关键部门的防火墙购置成本不应该超过络系统的建设总成本,关键部门则应另当别论。2.2.防火墙本身是安全的作为信息系统安全产品,防火墙本身也应该保证安全,不给外部侵入者以可乘之机。如果像马其顿防线一样,正面虽然牢不可破,但进攻者能够轻易地绕过防线进入系统内部,络系统也就没有任何安全性可言了。通常,防火墙的安全性问题来自两个方面:其一是防火墙本身的设计是否合理,这类问题一般用户根本无从入手,只有通过权威认证机构的全面

6、测试才能确定。所以对用户来说,保守的方法是选择一个通过多家权威认证机构测试的产品。其二是使用不当。一般来说,防火墙的许多配置需要系统管理员手工修改,如果系统管理员对防火墙不十分熟悉,就有可能在配置过程中遗留大量的安全漏洞。2.3.管理与培训管理和培训是评价一个防火墙好坏的重要方面。我们已经谈到,在计算防火墙的成本时,不能只简单地计算购置成本,还必须考虑其总拥有成本。人员的培训和日常维护费用通常会在tco中占据较大的比例。一家优秀秀的安全产品供应商必须为其用户提供良好的培训和售后服务。2.4.可扩充性在络系统建设的初期,由于内部信息系统的规模较

7、小,遭受攻击造成的损失也较小,因此没有必要购置过于复杂和昂的防火墙产品。但随着络的扩容和络应用的增加,络的风险成本也会急剧上升,此时便需要增加具有更高安全性的防火墙产品。如果早期购置的防火墙没有可扩充性,或扩充成本极高,这便是对投资的浪费。好的产品应该留给用户足够的弹性空间,在安全水平要求不高的情况下,可以只选购基本系统,而随着要求的提高,用户仍然有进一步增加选件的余地。这样不仅能够保护用户的投资,对提供防火墙产品的厂商来说,也扩大了产品覆盖面。2.5.防火墙的安全性防火墙产品最难评估的方面是防火墙的安全性能,即防火墙是否能够有效地阻挡外部入

8、侵。这一点同防火墙自身的安全性一样,普通用户通常无法判断。即使安装好了防火墙,如果没有实际的外部入侵,也无从得知产品性能的优劣。但在实际应用中检测安全产品的性能是极为危险的,所以用户在选择防火墙产品时,应该尽量选择占市场份额较大同时又通过了权威认证机构认证测试的产品。3.加密技术信息交换加密技术分为两类：即对称加密和非对称加密。3.1.对称加密技术在对称加密技术中，对信息的加密和解密都使用相同的钥，也就是说一把钥匙开一把锁。这种加密方法可简化加密处理过程，信息交换双方都不必彼此研究和交换专用的加密算法。如果在交换阶段私有密钥未曾泄露，那么机密

9、性和报文完整性就可以得以保证。对称加密技术也存在一些不足，如果交换一方有n个交换对象，那么他就要维护n个私有密钥，对称加密存在的另一个问题是双方共享一把私有密钥，交换双方的任何信息都是通过这把密钥加密后传送给对方的。如三重des是des（数据加密标准）的一种变形，这种方法使用两个独立的56为密钥对信息进行3次加密，从而使有效密钥长度达到112位。t%~bIE6GP{v5[此文;ca（certificationauthorty）就是这样一个确保信任度的权威实体，它的主要职责是颁发证书、验证用户身份的真实性。由ca签发的络用户电子身份

10、证明—证书，任何相信该ca的人，按照第三方信任原则，也都应当相信持有证明的该用户。ca也要采取一系列相应的措施来防止电子证书被伪造或篡改。构建一个具有较强安全性的c