邊界安全

人們?yōu)榱私鉀Q資源的共享而建立了網(wǎng)絡(luò )，然而全世界的計算機真的聯(lián)成了網(wǎng)絡(luò )，安全卻成了問(wèn)題。因為在網(wǎng)絡(luò )上，你不清楚對方在哪里，泄密、攻擊、病毒等等，越來(lái)越多的不安全因素讓網(wǎng)絡(luò )管理者難以安寧，所以把有安全需求的網(wǎng)絡(luò )與不安全的網(wǎng)絡(luò )分開(kāi)，是沒(méi)有辦法的選擇。分離形成了網(wǎng)絡(luò )的“孤島”，沒(méi)有了連接，安全問(wèn)題自然消失了。 然而因噎廢食不是個(gè)辦法，沒(méi)有連接，業(yè)務(wù)也無(wú)法互通，網(wǎng)絡(luò )孤島的資源在重復建設、浪費嚴重，并且隨著(zhù)信息化的深入，在各種網(wǎng)絡(luò )上信息共享需求日益強烈。

比如：政府的內網(wǎng)與外網(wǎng)，需要面對公眾服務(wù)；銀行的數據網(wǎng)與互聯(lián)網(wǎng)，需要支持網(wǎng)上交易；企業(yè)的辦公與生產(chǎn)網(wǎng)，老總們的辦公桌上不能總是兩個(gè)終端吧；民航、鐵路與交通部的信息網(wǎng)與互聯(lián)網(wǎng)，網(wǎng)上預定與實(shí)時(shí)信息查詢(xún)是便利出現的必然。本著(zhù)有需求就有供應，因此，網(wǎng)絡(luò )邊界誕生了。

網(wǎng)絡(luò )邊界就是針對不同網(wǎng)絡(luò )環(huán)境所設置的安全防御措施。

把不同安全級別的網(wǎng)絡(luò )相連接，就產(chǎn)生了網(wǎng)絡(luò )邊界。防止來(lái)自網(wǎng)絡(luò )外界的入侵就要在網(wǎng)絡(luò )邊界上建立可靠的安全防御措施。下面我們來(lái)看看網(wǎng)絡(luò )邊界上的安全問(wèn)題都有哪些：

非安全網(wǎng)絡(luò )互聯(lián)帶來(lái)的安全問(wèn)題與網(wǎng)絡(luò )內部的安全問(wèn)題是截然不同的，主要的原因是攻擊者不可控，攻擊是不可溯源的，也沒(méi)有辦法去“封殺”，一般來(lái)說(shuō)網(wǎng)絡(luò )邊界上的安全問(wèn)題主要有下面幾個(gè)方面：

1、信息泄密

網(wǎng)絡(luò )上的資源是可以共享的，但沒(méi)有授權的人得到了他不該得到的資源，信息就泄露了。一般信息泄密有兩種方式：

◆攻擊者(非授權人員)進(jìn)入了網(wǎng)絡(luò )，獲取了信息，這是從網(wǎng)絡(luò )內部的泄密

◆合法使用者在進(jìn)行正常業(yè)務(wù)往來(lái)時(shí)，信息被外人獲得，這是從網(wǎng)絡(luò )外部的泄密

2、入侵渠道

互聯(lián)網(wǎng)是世界級的大眾網(wǎng)絡(luò )，網(wǎng)絡(luò )上有各種勢力與團體。入侵就是有人通過(guò)互聯(lián)網(wǎng)進(jìn)入你的網(wǎng)絡(luò )(或其他渠道)，篡改數據，或實(shí)施破壞行為，造成你網(wǎng)絡(luò )業(yè)務(wù)的癱瘓，這種攻擊是主動(dòng)的、有目的、甚至是有組織的行為。

3、網(wǎng)絡(luò )病毒

與非安全網(wǎng)絡(luò )的業(yè)務(wù)互聯(lián)，難免在通訊中帶來(lái)病毒，一旦在你的網(wǎng)絡(luò )中發(fā)作，業(yè)務(wù)將受到巨大沖擊，病毒的傳播與發(fā)作一般有不確定的隨機特性。這是“無(wú)對手”、“無(wú)意識”的攻擊行為。

4、木馬入侵

木馬的發(fā)展是一種新型的攻擊行為，他在傳播時(shí)像病毒一樣自由擴散，沒(méi)有主動(dòng)的跡象，但進(jìn)入你的網(wǎng)絡(luò )后，便主動(dòng)與他的“主子”聯(lián)絡(luò )，從而讓主子來(lái)控制你的機器，既可以盜用你的網(wǎng)絡(luò )信息，也可以利用你的系統資源為他工作，比較典型的就是“僵尸網(wǎng)絡(luò )”。

來(lái)自網(wǎng)絡(luò )外部的安全問(wèn)題，重點(diǎn)是防護與監控。來(lái)自網(wǎng)絡(luò )內部的安全，人員是可控的，可以通過(guò)認證、授權、審計的方式追蹤用戶(hù)的行為軌跡，也就是我們說(shuō)的行為審計與合軌性審計。

安全隱患

1、黑客入侵

入侵的過(guò)程是隱秘的，造成的后果是竊取數據與系統破壞。木馬的入侵也屬于黑客的一種，只是入侵的方式采用的病毒傳播，達到的效果與黑客一樣。

2、病毒入侵

病毒就是網(wǎng)絡(luò )的蛀蟲(chóng)與垃圾，大量的自我繁殖，侵占系統與網(wǎng)絡(luò )資源，導致系統性能下降。病毒對網(wǎng)關(guān)沒(méi)有影響，就象“走私”團伙，一旦進(jìn)入網(wǎng)絡(luò )內部，便成為可怕的“瘟疫”，病毒的入侵方式就象“水”的滲透一樣，看似漫無(wú)目的，實(shí)則無(wú)孔不入。

3、網(wǎng)絡(luò )攻擊

網(wǎng)絡(luò )攻擊是針對網(wǎng)絡(luò )邊界設備或系統服務(wù)器的，主要的目的是中斷網(wǎng)絡(luò )與外界的連接，比如DOS攻擊，雖然不破壞網(wǎng)絡(luò )內部的數據，但阻塞了應用的帶寬，可以說(shuō)是一種公開(kāi)的攻擊，攻擊的目的一般是造成你服務(wù)的中斷。

如何防護邊界呢？

對于公開(kāi)的攻擊，只有防護一條路，比如對付DDOS的攻擊；但對于入侵的行為，其關(guān)鍵是對入侵的識別，識別出來(lái)后阻斷它是容易的，但怎樣區分正常的業(yè)務(wù)申請與入侵者的行為呢，是邊界防護的重點(diǎn)與難點(diǎn)。

我們把網(wǎng)絡(luò )與社會(huì )的安全管理做一個(gè)對比：

要守住一座城，保護人民財產(chǎn)的安全，首先建立城墻，把城內與外界分割開(kāi)來(lái)，阻斷其與外界的所有聯(lián)系，然后再修建幾座城門(mén)，作為進(jìn)出的檢查關(guān)卡，監控進(jìn)出的所有人員與車(chē)輛，是安全的第一種方法；

為了防止入侵者的偷襲，再在外部挖出一條護城河，讓敵人的行動(dòng)暴露在寬闊的、可看見(jiàn)的空間里，為了通行，在河上架起吊橋，把路的使用主動(dòng)權把握在自己的手中，控制通路的關(guān)閉時(shí)間是安全的第二種方法；

對于已經(jīng)悄悄混進(jìn)城的“危險分子”，要在城內建立有效的安全監控體系，比如人人都有身份證、大街小巷的攝像監控網(wǎng)絡(luò )、街道的安全聯(lián)防組織，每個(gè)公民都是一名安全巡視員，順便說(shuō)一下：戶(hù)籍制度、罪罰、聯(lián)作等方式從老祖宗商鞅就開(kāi)始在秦國使用了。只要入侵者稍有異樣行為，就會(huì )被立即揪住，這是安全的第三種方法。

作為網(wǎng)絡(luò )邊界的安全建設，也采用同樣的思路：控制入侵者的必然通道，設置不同層面的安全關(guān)卡，建立容易控制的“貿易”緩沖區，在區域內架設安全監控體系，對于進(jìn)入網(wǎng)絡(luò )的每個(gè)人進(jìn)行跟蹤，審計其行為等等。

從網(wǎng)絡(luò )的誕生，就產(chǎn)生了網(wǎng)絡(luò )的互聯(lián)，Cisco公司就是靠此而興起的。從沒(méi)有什么安全功能的早期路由器，到防火墻的出現，網(wǎng)絡(luò )邊界一直在重復著(zhù)攻擊者與防護者的博弈，這么多年來(lái)，“道高一尺，魔高一丈”，好象防護技術(shù)總跟在攻擊技術(shù)的后邊，不停地打補丁。其實(shí)邊界的防護技術(shù)也在博弈中逐漸成熟：

防火墻技術(shù)

網(wǎng)絡(luò )隔離最初的形式是網(wǎng)段的隔離，因為不同的網(wǎng)段之間的通訊是通過(guò)路由器連通的，要限制某些網(wǎng)段之間不互通，或有條件地互通，就出現了訪(fǎng)問(wèn)控制技術(shù)，也就出現了防火墻，防火墻是不同網(wǎng)絡(luò )互聯(lián)時(shí)最初的安全網(wǎng)關(guān)。

防火墻的安全設計原理來(lái)自于包過(guò)濾與應用代理技術(shù)，兩邊是連接不同網(wǎng)絡(luò )的接口，中間是訪(fǎng)問(wèn)控制列表ACL，數據流要經(jīng)過(guò)ACL的過(guò)濾才能通過(guò)。ACL有些象海關(guān)的身份證檢查，檢查的是你是哪個(gè)國家的人，但你是間諜還是游客就無(wú)法區分了，因為ACL控制的是網(wǎng)絡(luò )的三層與四層，對于應用層是無(wú)法識別的。后來(lái)的防火墻增加了NAT/PAT技術(shù)，可以隱藏內網(wǎng)設備的IP地址，給內部網(wǎng)絡(luò )蒙上面紗，成為外部“看不到”的灰盒子，給入侵增加了一定的難度。但是木馬技術(shù)可以讓內網(wǎng)的機器主動(dòng)與外界建立聯(lián)系，從而“穿透”了NAT的“防護”，很多P2P應用也采用這種方式“攻破”了防火墻。

防火墻的作用就是建起了網(wǎng)絡(luò )的“城門(mén)”，把住了進(jìn)入網(wǎng)絡(luò )的必經(jīng)通道，所以在網(wǎng)絡(luò )的邊界安全設計中，防火墻成為不可缺少的一部分。

防火墻的缺點(diǎn)是：不能對應用層識別，面對隱藏在應用中的病毒、木馬都毫無(wú)辦法。所以作為安全級別差異較大的網(wǎng)絡(luò )互聯(lián)，防火墻的安全性就遠遠不夠了。