網(wǎng)絡信息安全技術論文
網(wǎng)絡信息安全技術論文【1】
摘要：隨著我國社會的發(fā)展及人民生活水平的提高，計算機網(wǎng)絡信息的應用，不僅推動了社會的進步，計算機網(wǎng)絡技術的日趨成熟使得各種網(wǎng)絡連接更加容易，人們在享受網(wǎng)絡帶來便利的同時，網(wǎng)絡的信息安全也日益受到威脅。
計算機網(wǎng)絡信息安全問題也隨之日益突出，安全現(xiàn)狀應當引起人們的關注。
關鍵詞：網(wǎng)絡環(huán)境 信息安全 信息安全技術
網(wǎng)絡已經(jīng)成為我們生活中密不可分的一部分，隨著網(wǎng)絡技術的發(fā)展，其開放的程度越來越大，對于社會的影響力也與日俱增，但是病毒、網(wǎng)絡黑客和遠程監(jiān)聽等網(wǎng)絡安全威脅也成為了一個日趨嚴重的社會問題。
本文就網(wǎng)絡環(huán)境中的信息安全技術的相關問題做簡要分析。
一、計算機網(wǎng)絡信息安全的現(xiàn)狀
當前，我國的網(wǎng)絡安全面臨嚴峻形勢。
互聯(lián)網(wǎng)和網(wǎng)絡應用以飛快的速度不斷發(fā)展，網(wǎng)絡應用日益普及并更加復雜，特網(wǎng)上頻繁發(fā)生的大規(guī)模黑客入侵與計算機病毒泛濫事件是互聯(lián)網(wǎng)和網(wǎng)絡應用發(fā)展中面臨的重要問題。
因互聯(lián)網(wǎng)本身沒有時空和地域的限制，每當有一種新的攻擊手段產(chǎn)生，就能在很短時間內傳遍全世界，這些攻擊手段利用網(wǎng)絡和系統(tǒng)漏洞進行攻擊從而造成計算機系統(tǒng)及網(wǎng)絡癱瘓。
蠕蟲、后門、DOS和Sniffer等是大家熟悉的幾種黑客攻擊手段。
這些攻擊手段卻都體現(xiàn)了它們驚人的威力，時至今日，有愈演愈烈之勢。
這幾類攻擊手段的新變種，與以前出現(xiàn)的攻擊方法相比，更加智能化，攻擊目標直指互聯(lián)網(wǎng)基礎協(xié)議和操作系統(tǒng)層次。
從Web程序的控制程序到內核級Rootlets。
安全問題已經(jīng)擺在了非常重要的位置上，網(wǎng)絡安全如果不加以防范，會嚴重地影響到網(wǎng)絡的應用。
二、影響計算機網(wǎng)絡系統(tǒng)安全的因素
1.病毒入侵。
計算機病毒因為其隱蔽性、潛伏性、傳染性和破壞性的特點， 對計算機網(wǎng)絡安全造成巨大的破壞。
未來計算機病毒的摧毀力度將越來越強，隱蔽性和抗壓性也日益增強，這些病毒的存在對于計算機網(wǎng)絡安全而言無疑是定時炸彈。
2.惡意攻擊。
這是計算機網(wǎng)絡所面臨的最大威脅，敵手的攻擊和計算機犯罪就屬于這一類。
此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式有選擇地破壞信息的有效性和完整性;另一類是被動攻擊，它是在不影響網(wǎng)絡正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信息
3.軟件漏洞
任何的系統(tǒng)軟件和應用軟件都不能百分之百的無缺陷和無漏洞的，而這些缺陷和漏洞恰事前非法用戶、黑客進行竊取機密信息和破壞信息的首選途徑。
4.操作員不當操作
安全設置不當造成的安全漏洞，用戶安全意識不強，用戶口令選擇不慎，用戶將自己的賬號隨意轉借他人或與別人共享等都會對網(wǎng)絡安全帶來威脅。
對于系統(tǒng)漏洞的不及時修補以及不及時防病毒都可能會給網(wǎng)絡安全帶來破壞。
5.有缺乏效評估和監(jiān)控手段。
全面準確的安全評估是防范黑客入侵體系的基礎，它可以對將要構建的整個網(wǎng)絡的安全防護性做出科學、準確的分析評估， 并保障將要實施的安全策略在經(jīng)濟上、技術上的可行性。
但在現(xiàn)實中，計算機網(wǎng)絡安全的維護更多注重的是事前預防與事后彌補，在事中評估和監(jiān)控方面有所欠缺，這直接造成網(wǎng)絡安全的不穩(wěn)定。
三、網(wǎng)絡環(huán)境中的信息安全技術
1.防火墻技術
防火墻技術是指隔離在本地網(wǎng)絡與外界網(wǎng)絡之間的一道防御系統(tǒng)的總稱。
在互聯(lián)網(wǎng)上防火墻是一種非常有效的網(wǎng)絡安全模型，通過它可以隔離風險區(qū)域與安全區(qū)域的連接，同時不會妨礙人們對風險區(qū)域的訪問。
防火墻可以監(jiān)控進出網(wǎng)絡的通信量，僅讓安全、核準的信息進入。
通常保障網(wǎng)絡信息安全的方法有兩大類：以“防火墻”技術為代表的被動防衛(wèi)型和建立在數(shù)據(jù)加密、用戶授權確認機制上的開放型網(wǎng)絡安全保障技術。
“防火墻”(Firewall)安全保障技術主要是為了保護與互聯(lián)網(wǎng)相連的企業(yè)內部網(wǎng)絡或單獨節(jié)點。
它具有簡單實用的特點，并且透明度高，可以在不修改原有網(wǎng)絡應用系統(tǒng)的情況下達到一定的安全要求。
防火墻一方面通過檢查、分析、過濾從內部網(wǎng)流出的IP包，盡可能地對外部網(wǎng)絡屏蔽被保護網(wǎng)絡或節(jié)點的信息、結構，另一方面對內屏蔽外部某些危險地址，實現(xiàn)對內部網(wǎng)絡的保護。
實現(xiàn)防火墻的技術包括四大類：網(wǎng)絡級防火墻(也叫包過濾型防火墻)、應用級網(wǎng)關、電路級網(wǎng)關和規(guī)則檢查防火墻。
2.安全加密技術
加密技術是為通信信息流或數(shù)據(jù)提供機密性的保護。
還為實現(xiàn)安全機制起主導或輔助的作用。
加密的算法則是一種對于信息的編碼規(guī)則，它也是編碼與譯碼依賴于密鑰的參數(shù)。
用戶使用該規(guī)則就可以在密鑰的控制下將明文的消息改為密文，使用譯碼規(guī)則就可以將密文還原為明文。
沒有正確的密鑰則無法實現(xiàn)加密或者解密的操作，非授權用戶則無法還原加密的信息。
密鑰是有其特殊性的，目前主要有兩種類型，即對稱密碼體制和非對稱密碼體制。
對稱密碼算法為des和各種變形、idea以及aes、rc5算法等。
非對稱密碼的算法較為著名的有rsa、圓曲線算法和背包密碼等。
3.入侵檢測技術
隨著網(wǎng)絡安全風險系數(shù)不斷提高，作為對防火墻及其有益的補充，IDS(入侵檢測系統(tǒng))能夠幫助網(wǎng)絡系統(tǒng)快速發(fā)現(xiàn)攻擊的發(fā)生，它擴展了系統(tǒng)管理員的安全管理能力，提高了信息安全基礎結構的完整性。
入侵檢測系統(tǒng)是一種對網(wǎng)絡活動進行實時監(jiān)測的專用系統(tǒng)，該系統(tǒng)處于防火墻之后，可以和防火墻及路由器配合工作，用來檢查一個LAN網(wǎng)段上的所有通信，記錄和禁止網(wǎng)絡活動，可以通過重新配置來禁止從防火墻外部進入的惡意流量。
入侵檢測系統(tǒng)能夠對網(wǎng)絡上的信息進行快速分析或在主機上對用戶進行審計分析，通過集中控制臺來管理和檢測。
4.備份系統(tǒng)
備份系統(tǒng)可以全盤恢復運行計算機系統(tǒng)所需的數(shù)據(jù)和系統(tǒng)信息。
對系統(tǒng)設備的備份。
備份不僅在網(wǎng)絡系統(tǒng)硬件故障或人為失誤時起到保護作用，也在入侵者非授權訪問或對網(wǎng)絡攻擊及破壞數(shù)據(jù)完整性時起到保護作用。
5.數(shù)字簽名
數(shù)字簽名又名電子簽名，包括在身份認證、數(shù)據(jù)的完整性以及不可否認性和匿名性等方面的應用。
主要有兩個過程，即簽名者用給定的數(shù)據(jù)單元來簽名，接收者驗證此簽名。
這種技術的應用也是十分廣泛的，在電子印章和商務合同中經(jīng)常采用，還有電子郵件安全協(xié)議族和安全電子支付協(xié)議等密鑰分發(fā)都是采用的數(shù)字簽名技術。
6.身份認證
身份認證技術又被稱為鑒別或者確認，是通過驗證被認證的對象是一個或者多個參數(shù)的真實性和有效性來證實該對象是否符合或有效的過程，用以保護數(shù)據(jù)的準確性和真實性。
身份認證在金融、保險、電信和醫(yī)療、公安等領域都起著重要的作用，隨著計算機網(wǎng)絡技術的發(fā)展，電子銀行和電子商務等特別注重網(wǎng)絡安全的領域都亟需該技術的支持。
目前的身份認證技術主要有兩類：傳統(tǒng)身份認證技術和雙因素身份認證技術。
7.防病毒技術
隨著計算機技術的不斷發(fā)展，計算機病毒變得越來越復雜和高級，對計算機信息系統(tǒng)構成極大的威脅。
在病毒防范中普遍使用的防病毒軟件，從功能上可以分為網(wǎng)絡防病毒軟件和單機防病毒軟件兩大類。
單機防病毒軟件一般安裝在單臺PC上，即對本地和本地工作站連接的遠程資源采用分析掃描的方式檢測、清除病毒。
網(wǎng)絡防病毒軟件則主要注重網(wǎng)絡防病毒，一旦病毒入侵網(wǎng)絡或者從網(wǎng)絡向其它資源傳染，網(wǎng)絡防病毒軟件會立刻檢測到并加以刪除。
8.安全管理隊伍的建設
在計算機網(wǎng)絡系統(tǒng)中，絕對的安全是不存在的，制定健全的安全管理體制是計算機網(wǎng)絡安全的重要保證，只有通過網(wǎng)絡管理人員與使用人員的共同努力，運用一切可以使用的工具和技術，盡一切可能去控制、減小一切非法的行為，盡可能地把不安全的因素降到最低。
同時，要不斷地加強計算機信息網(wǎng)絡的安全規(guī)范化管理力度，大力加強安全技術建設，強化使用人員和管理人員的安全防范意識。
信息產(chǎn)業(yè)發(fā)展到今天，網(wǎng)絡信息的安全對我們社會生活甚而國家安全的重要性是不言而喻的，隨著計算機網(wǎng)絡系統(tǒng)軟硬件和應用情況在不斷更新。
引入新設備、新軟件和新的應用，都會帶來新的安全問題。
攻擊技術每天都在發(fā)展，新的攻擊機制不斷出現(xiàn)，新的攻擊機制決定了新病毒和新的黑客攻擊手段會對原本已經(jīng)比較安全的系統(tǒng)造成新的威脅。
因此，采取強有力的技術措施來保障我們的網(wǎng)絡安全是我們亟需解決的問題。
當然，我們也必須意識到，入侵者的技術也在不斷提高，對于安全威脅的防范不可能一勞永逸，只有不斷結合這些新的技術動態(tài)、人員動態(tài)和管理動態(tài)進行定期的安全性改進和完善，才能保證網(wǎng)絡的正常運轉。
信息安全風險評估【2】
【摘 要】本文介紹了信息安全風險評估的基本概述，信息安全風險評估基本要素及通用的信息安全風險評估過程。
提出在實際工作中結合實際情況進行剪裁，完成自己的風險評估實踐。
【關鍵詞】信息安全;風險評估
1 企業(yè)信息安全風險評估概述
信息系統(tǒng)的風險評估是指確定在計算機系統(tǒng)和網(wǎng)絡中每一種資源缺失或遭到破壞對整個系統(tǒng)造成的預計損失數(shù)量。
是針對威脅、脆弱點以及它可能導致的風險大小而評估的。
對信息安全進行風險分析和評估的目的就是：企業(yè)能知道信息系統(tǒng)中是否有安全隱患的存在，并估測這些風險將會造成的安全威脅與可能造成的損失，經(jīng)過這些判斷來決定修復或者對于安全信息系統(tǒng)的建立。
信息系統(tǒng)風險分析和評估能夠有效的保護企業(yè)信息，但同時它也是一個較為復雜的過程，建立一個完善的信息安全風險評估需要具備相應的標準體系、技術體系、組織架構、業(yè)務體系同時也要遵循相關的法律法規(guī)。
2 企業(yè)信息安全風險評估的作用
信息安全風險評估是信息安全工作的基本保障措施之一。
風險評估工作是預防為主方針的充分體現(xiàn)，它能夠把信息化工作的安全控制關口前移，超前防范。
針對信息系統(tǒng)規(guī)劃、設計、建設、運行、使用、維護等不同階段實行不同的信息安全風險評估，這樣能夠在第一時間發(fā)現(xiàn)各種所存在的安全隱患，然后再運用科學的方法對風險進行分析，從而解決信息化過程中不同層次和階段的安全問題。
在信息系統(tǒng)的規(guī)劃設計階段，信息安全風險評估工作的實行，可以使企業(yè)在充分考慮經(jīng)營管理目標的條件下，對信息系統(tǒng)的各個結構進行完善從而滿足企業(yè)業(yè)務發(fā)展和系統(tǒng)發(fā)展的安全需求，有效的避免事后的安全事故。
這種信息安全風險評估是必不可少的，它很好地體現(xiàn)了“預防為主”方針的具體體現(xiàn)，可以有效降低整個信息系統(tǒng)的總體擁有成本。
信息安全風險評估作為整個信息安全保障體系建設的基礎、它確保了信息系統(tǒng)安全、業(yè)務安全、數(shù)據(jù)安全的基礎性、預防性工作。
因此企業(yè)信息安全風險評估工作需要落到實處，從而促進其進一步又好又快發(fā)展。
3 信息安全風險評估的基本要素
使命：一個組織機構通過信息化形成的能力要來進行的工作任務。
使命是信息化的目的，一個信息系統(tǒng)如果不能實現(xiàn)具體的工作任務是沒有意義的。
對企業(yè)來說，信息系統(tǒng)的使命是業(yè)務戰(zhàn)略。
依賴度：一個組織機構的使命對信息系統(tǒng)和信息的依靠程度。
依賴度越高，風險評估的任務就越重要
資產(chǎn)：對組織具有價值的信息或資源，是安全策略保護的對象
資產(chǎn)價值：體現(xiàn)了資產(chǎn)在重要程度或敏感程度上的表現(xiàn)特征。
作為資產(chǎn)的屬性，資產(chǎn)價值同時也是對資產(chǎn)進行識別的重要內容。
威脅：一般指會對系統(tǒng)或組織造成不良后果的不希望事故潛在起因。
脆弱性：可能被威脅所利用的資產(chǎn)或若干資產(chǎn)的脆弱環(huán)節(jié)。
通常脆弱性也被稱作是弱點或漏洞。
威脅是外因，脆弱性是內因，威脅只有通過利用脆弱性才能造成安全事件。
風險：人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導致安全事件的發(fā)生及其對組織造成的影響。
衡量風險的指標有兩種，分別是由意外事件發(fā)生的概率或者是發(fā)生后可能造成的影響。
殘余風險：就是指在安全保障手段之后，防護能力有了提升，但是危險并沒有完全消失。
安全需求：為了保證組織機構能夠正常的工作，因此在信息安全保障措施方面提出的要求。
安全保障措施：為了降低脆弱性，應對威脅，保護資產(chǎn)而進行的預防和控制意外事件的后果，檢測、響應意外事件，使得災難恢復迅速，同時打擊信息違法行為而采取的各種實踐、規(guī)程和機制的總稱。
4 信息安全風險評估的基本過程
目前信息安全風險評估有大量成熟的過程指南和最佳實踐，但風險評估過程的本質是搜集資產(chǎn)、威脅、漏洞、影響等資料和數(shù)據(jù)，其過程和流程有一定的通用性。
4.1 識別和特征化系統(tǒng)
信息安全風險評估的第一步就是確定評估的工作范圍，界定風險評估工作的邊界，并識別和特征化工作范圍內信息系統(tǒng)的各種資產(chǎn)、支持的業(yè)務流程及相應的管理信息等。
下圖是一個信息系統(tǒng)描述規(guī)范：
4.2 識別和特征化漏洞
漏洞是在信息系統(tǒng)、系統(tǒng)安全程序、管理控制、物理設計、內部控制等可能被攻擊者利用來獲得未授權的信息或破壞關鍵處理的弱點。
識別和特征化漏洞工作的目的是開發(fā)一個信息系統(tǒng)漏洞列表。
一般常用的識別系統(tǒng)漏洞的方法包括：
(1)使用以前的風險評估報告、系統(tǒng)異常報告、權威機構發(fā)布的漏洞列表等;
(2)使用漏洞掃描工具、滲透性測試等主動的、系統(tǒng)化的測試方法;
(3)開發(fā)和使用安全檢查列表，對實際系統(tǒng)進行配置核查。
4.3 識別和特征化威脅
威脅是能夠通過未授權訪問、毀壞、揭露、數(shù)據(jù)修改或拒絕服務對系統(tǒng)造成潛在危害的任何環(huán)境或事件，具體而言，威脅是一個特定威脅源成功利用一個特定漏洞的潛在可能。
威脅的具體描述沒有嚴格規(guī)范，在信息安全風險評估過程中，應根據(jù)組織機構及其運行環(huán)境的實際來識別威脅。
4.4 識別和特征化安全控制措施
在進行信息安全風險評估時，除了分析漏洞和威脅，同時也要全面分析當前所采取的各種安全控制措施。
控制措施可以分為技術控制措施、管理控制措施和物理控制措施。
技術控制措施是綜合計算機硬件、軟件和固件中的保護措施。
如訪問控制機制、身份識別機制、加密機制、入侵檢測軟件等。
管理控制措施指的是管理運行和控制的保護措施。
如安全策略、操作維護標準等。
物理安全措施是指保護物理和環(huán)境安全。
如重要資料柜加鎖等。
4.5 確定可能性
完成系統(tǒng)信息、漏洞、威脅和現(xiàn)有安全控制措施的搜集和分析后，下一步需要評估安全事件一旦發(fā)生可能造成的危害程序。
風險就是后果和可能性的產(chǎn)物。
通用公式為：風險=負面事件發(fā)生的可能性(概率)×此負面事件的影響(后果)
給定威脅源執(zhí)行潛在漏洞的可能性可以用高、中、低進行描述。
可能性級別 可能性定義
高 威脅源有強烈的動機和足夠的能力，并且已有的控制措施對其無效
中 威脅源有動機和能力，但已有的控制可能可以遲緩漏洞的成功實施
低 威脅源缺少動機或能力，或已有控制可以防止或極大地遲緩漏洞的實施
4.6 分析影響
從風險的最基本原理公式可以看到，要得出風險，需要計算威脅的影響。
信息安全的主要目的是確保保密性、完整性和可用性，安全事件的影響是通過危害保密性、完整性和可用性來體現(xiàn)的。
因此，信息安全事件的影響量級(高、中、低)可以通過分析這三個安全目標的受損程度來確定。
失去完整性：由于有意或無意的行為對數(shù)據(jù)或信息系統(tǒng)的非授權修改。
失去可用性：信息系統(tǒng)功能和操作對其終端用戶不可用。
失去保密性：受保護的數(shù)據(jù)和系統(tǒng)信息非授權訪問、暴露。
4.7 確定風險
通過分析和確定了安全事件影響和可能性后，可以使用風險基本原理公式進行風險結果計算。
在定性風險評估中，對風險級別的確定可能會相對主觀。
其基本方法是為每種威脅可能性級別指定概率，為每種影響級別指定數(shù)值，最后確定風險區(qū)間等級。
如高威脅可能性的概率是1.0，低影響級別為10，則風險為1.0×10=10
風險等級：高(>50～100)，中(>10～50)，低(1～10)
4.8 編制風險評估報告和推薦安全控制措施
通過風險評估，得出風險的高中低等級，提出有針對性的抵御威脅的防護對策和整改措施，將風險控制在可接受的水平。
從而為保障網(wǎng)絡與信息安全提供依據(jù)。
5 結束語
信息安全風險評估工作是信息安全建設的起點和基礎，在實際的信息安全風險評估工作中，應根據(jù)系統(tǒng)的實際運行環(huán)境和企業(yè)管理要求對評估過程進行剪裁，結合國內外標準規(guī)范，完成自己的風險評估實踐。
參考文獻：
[1]吳世忠，江常青，彭勇.信息安全保障基礎.航空工業(yè)出版社，2009.7.
【網(wǎng)絡信息安全技術論文】相關文章：
網(wǎng)絡信息安全控制技術探討論文10-11
網(wǎng)絡信息安全論文10-09
網(wǎng)絡與信息安全論文10-09
淺析網(wǎng)絡信息安全的論文10-08
網(wǎng)絡信息安全與防范論文10-09
網(wǎng)絡安全技術論文09-30