网络安全和解决方案概述.doc

1、网络安全和解决方案概述技术白皮书安全 Intranet 解决方案网络安全需求企业 Web 应用模式与安全解决方案本手册及其中所包含内容的版权属得实发展集团所有。除版权法允许使用的方式外，未经事先 书面许可，不得 对全部或部分内容复制、转载、改编或翻译。本手册及相应的软件受产品所附的软件许可协议的约束，只能在符合该许可协议条款下使用和复制。得实发展集团尽最大努力保证本手册的准确性和完整性，对手册中的错误和遗漏不承担任何责任。 对本手册内容可能随时 修改，恕不另行通知。WebST 是得实发 展集团注册商标，WebSEAL、NetSEAL、NetSEAT、Smart Junctions 和 DASC

2、OM DCE 是得实发展集团注册名称。本手册提到的其它产品名称是各自公司的注册商标，特此声明。1999 年 7 月9907WP01网络安全和解决方案概述i目录安全Intranet解决方案一、 INTRANET五要素 .1二、 通用的授权控制的安全服务 .2三、 授权控制INTRANET 解决方案 .31. WEBST功能 32. WEBST组成 33. WEBST适应环境 44. WEBST应用实例 4四、 安全方案的评估 .5网络安全需求一、 网络安全需求概述 .7二、 网络攻击分析 .7三、 安全管理漏洞 .8四、 网络安全防护的一般措施 .8五、 网络安全需求分析 .91. 网络层安全

3、.92. 应用层安全 .93. 网络安全检测 .10企业Web应用模式与安全解决方案公告栏WEB模式 12客户化WEB模式 12企业应用WEB模式 13问与答 .14网络安全和解决方案概述ii网络安全和解决方案概述1安全Intranet解决方案 WebST 技术和应用剖析清华得实网络安全技术有限公司董事长 胡道元教授在建设企业的信息技术基础设施中，Intranet已经成为十分重要的角色，据COMDEX Research 的统计（图1）有一半的大企业已经实施了Intranet，有40的企业正在实施或即将实施。 29 1 9 2 不 确 定49正 在 实 施 计 划 实 施 未 计 划 实 施 已

4、 经 实 施 Intrae图1最初，企业把Intranet 只是作为一个通信的工具，用来访问和浏览信息和文件，发布企业内部信息。进一步的应用，把Intranet 用于企业内部经营过程，包括文件管理、工作流程管理、项目合作，最终发展到电子商务。一、 Intranet五要素Intranet是基于 InternetTCP/IP协议，使用环球网WWW 工具，采用防止外界侵入的安全措施，为企业内部服务，并有连接Internet 功能的企业内部网络。 Intranet的五要素是：1. Intranet是根据企业内部要求而设置的，它的规模和功能是根据企业经营和发展的需求确定的。2. Intranet不是一个

5、孤岛，它能方便地和外界连接，尤其是和Internet 的连接。3. Intranet采用 TCP/IP的协议及相应的技术和工具，是一个开放的系统。4. Intranet根据企业的安全需求，设置相应的防火墙和安全代理，建立一个授权控制的安全网络，以保护企业内部的信息,防止外界侵入。5. Intranet广泛使用环球网 WWW的工具，使企业员工和用户能方便地浏览和采掘企业内部的以及Internet的丰富信息资源。这些工具包括超文本标记语言HTML 、公共网关接口CGI以及新的编程语言Java等。随着Intranet规模的扩大和延伸至Extranet ，以及信息资源的积累和丰富，建立一个主要基于We

6、b应用的、安全的授权控制Intranet 基础设施显得尤为重要。网络安全和解决方案概述 安全Intranet解决方案2二、 通用的授权控制的安全服务开放系统互连参考模型OSIRM精确地定义了连接异种计算机的分层结构、标准框架以及各层的功能。TCP/IP 模型也采用分层结构，并和 OSI七层参考模型有对应的关系。ISO TC97制定的 ISO 74982网络安全体系结构，确定了五种基本安全服务和八种安全机制。并在OSI 七层中有相对应的关系。也就是说，完整的网络安全服务要在各个层次中实现。在物理传输层要保证通信线路的可靠，不易被窃听。在链路层可以采用加密技术，保证通信的安全。在网络层，可以采用传

7、统的防火墙技术，如TCP/IP 网络中，采用IP过滤功能的路由器，以控制信息在内外网络边界的流动。在传送层可以实现进程到进程的端到端加密。在应用层可针对特定的应用实施安全服务。在Internet、Intranet的环境中，地域分布很广，物理层的安全难以保证，链路层的加密技术并不完全适用。IP过滤防火墙是已被广泛应用的、行之有效的Internet安全技术，但单纯防火墙技术有很大的局限性，主要是不能防止网络内部的不安全因素;是基于网络主机地址，不能区分用户 ;是粗粒度的访问控制，无法针对具体文件进行控制。传输层的安全机制，如Netscape公司制定的安全套接字层SSL ，近来也得到广泛使用，它提供

8、了基于进程对进程的安全服务，并可利用公钥密码进行身份认证。但传输层的安全服务机制对应用层不透明，且不适用于数据报服务的UDP。在应用层实施安全机制，对特定的应用是有效的，如基于SMTP电子邮件的安全增强型邮件PEM 提供了安全服务的电子邮件。又如用于Web的安全增强型超文本传输协议SHTTP提供了文件级的安全服务机制。由于它是针对特定应用的，既缺乏通用性，又必须修改应用程序。一种基于能提供各种安全服务的中间件上的通用应用层安全服务克服了上述针对专门应用实施安全服务的缺陷，本文推荐的WebST安全解决方案就是采用这种体系结构，如图2所示。图2安全中间件是基于操作系统之上的一层系统软件，它独立于操

9、作系统，便于在不同的平台和操作系统中实现，可运行在微机、工作站、小型机和大型主机上。WebST的安全中间件是基于 DCE分布计算环境的网络安全模型。DCE的安全服务可防止非法用户入侵，同时也防止进网用户进行授权之外的操作和访问，从而保护系统的安全。DCE的安全服务包括认证、授权和用户注册三部分。安全服务通过远程过程调用RPC实现。WebST对DCE作了较大改进。主要是开发利用DCE强的安全功能，并支持各种平台以提高可用性；开发新的客户端以替代原有的DCE客户端软件，易于用户使用；改进DCE的单元配置，易于设置和管理；针对Web的应用和基于 TCP的应用，简化了开发；并用插入技术和授权控制的AP

10、I提高可扩展性；以及简化管理，降低开销等。WebST安全中间件操作系统（UNIX/NT）安全Intranet解决方案 网络安全和解决方案概述3三、 授权控制Intranet解决方案1. WebST功能作为一个安全的授权控制的Intranet基础设施，WebST提供了以下几个安全功能 授权控制，控制不同用户对信息资源的访问权限，根据安全政策，对信息资源进行集中管理，对资源的控制粒度兼有粗粒度和细粒度两种，可控制到文件、Web 的HTML 页面、图形、CGI、Java应用等。 身份认证，作为授权控制的基础，WebST提供了对客户和服务方的双向身份认证，采用著名的Kerberos身份认证协议和机制，

11、基于对称密钥和公开密钥的加密方法，采用自行研制的、128位高强度密码算法，并可将其它密码算法嵌入系统。 数据保密和数据完整性，防止通过网上传输的数据被修改、删除、插入、替换或重发，以保证合法用户接收和使用该数据的真实性。可选用多种密码算法。 审计和日志，WebST 在提供强的访问控制功能同时，还为每个Web 服务器提供详细的日志和审计信息。 安全管理控制台，基于Java技术开发的WebST控制台提供了对分散在网上的众多的 Web的集中管理，对Web对象的访问控制和URL管理配置十分方便。2. WebST组成WebST的组成包括客户端软件NetSEAT 和代理服务器WebSEAL和NetSEAL

12、。NetSEAT为客户提供端到端的安全访问Web服务器的资源，像 Netscape公司的浏览器这些商用应用软件通过HTTP协议和NetSEAT客户软件通信，并通过它和安全Web服务器建立安全的远程过程调用RPC通信。也可以直接以 TCP/IP方式和网上其它一般的Web 服务器进行通信。NetSEAT具有以下特点： 这是基于Windows95和WindowsNT的一个轻量级客户端软件。 用于浏览器、FTP这类应用的安全解决方案。 用于分布计算环境的、通用的安全客户端软件。 可使传统的DCE桌面扩展到Java应用。 提供了通用的客户安全基础设施，既可适用对称密钥，又适用公开密钥。WebSEAL为已

13、有的应用服务器提供安全性保护，将已有的商用 Web服务器与WebST安全技术集成在一起。WebSEAL服务器通过使用灵巧连接提供 HTTP代理服务，将现有的商用Web服务器与WebST安全技术结合在一起。可以将多个Web服务器创建成一个统一的Web 空间，将WebST的安全性扩展到一般的Web服务器的每个页面及 CGI程序等。可以连接 Intranet外的服务器以及不在用户直接控制下的服务器。WebSEAL服务器对所有到来的Web请求进行监听和记录，管理WebSEAT客户软件和商用Web服务器之间的访问控制和数据安全性。访问Web对象的用户请求首先由WebSEAL服务器处理。WebSEAL服务

14、器根据被访问对象的访问控制政策检查用户的访问权限，如果用户具有访问权限，WebSEAL服务器将HTTP请求递交给商用服务器，由它来处理这个请求，并将结果返回给WebSEAL服务器，WebSEAL服务器将结果用安全RPC方式返回给NetSEAT用户，或用HTTP方式返回给非NetSEAT 用户。NetSEAL服务器可以将任何网络应用服务器集成到WebST安全性之内。NetSEAL能针对用户身份而不是IP地址进行访问控制。它虽然不提供细粒度的访问控制功能，但能提供和WebSEAL相同级别的数据安全性和完整性。网络安全和解决方案概述 安全Intranet解决方案4NetSEAL服务器可以为诸如Tel

15、net这类Internet通用服务器提供安全性和访问控制。用户利用Telnet客户机软件和NetSEAT 客户机软件访问运行NetSEAL服务器软件的远程主机。NetSEAL服务器检查是否允许该用户Telnet到远程主机，如允许则向远程主机的Telnet服务器递交Telnet连接。因为Telnet连接必须穿过WebST 系统，所以包括用户口令在内的所有数据都经过加密，从而解决了Telnet的安全性。NetSEAL也可用来限制访问防火墙外面的网络资源，用户对这些外部资源的访问首先必须通过NetSEAL服务器检查，如果用户拥有相应的访问权限，请求被递交给外部资源，否则拒绝这个请求并予以提示。Net

16、SEAL还可有效地用于管理那些不使用NetSEAT客户机软件的用户对企业网内外的访问，作为通用的Internet 应用代理，接受到来的 TCP和UDP连接，按非授权用户的访问权限处理。NetSEAL服务也可作为FTP 连接的应用代理服务器。根据访问控制数据库检查用户正在访问的服务器的访问控制权限。NetSEAL作为一个高效的应用代理型防火墙，比普通的应用代理型防火墙具有以下优点： 访问控制信息都存放在集中式数据库中，保证了整个企业安全策略的一致性。 NetSEAL服务器可作任何Internet应用的应用代理，毋需为每个应用配置特定的应用网关。 如与NetSEAL客户机软件一起使用，作为替代传统

17、应用代理型防火墙的NetSEAL的能力将得到大大提高。3. WebST适应环境WebST能适应众多的应用环境，包括传统的商业应用，基于Web 的应用以及兼有这两种应用，还包括电子商务应用，既适用于Intranet 环境，也适用于Extranet环境。传统的商业应用也采用客户服务器模型，但用户通过专用的客户机对资源进行访问，关键的商业事务处理由大的数据库服务器实施，并为大量用户共享服务。为了提高在网络环境下这种运行模式的安全性，可以在客户端引入NetSEAT客户机软件，在服务器端引入NetSEAL软件，以获得上面分析的NetSEAT 和NetSEAL 所提供的各种安全服务。随着Web技术的发展，

18、愈来愈多的应用不再单纯使用数据库技术，而是将 Web技术集成在一起。将传统的客户服务器模式改为浏览器数据库管理系统。一些厂商开发了Web中间件网关，如Oracle WebListener，Forte WebSDK，NeXT WebObjects和Lotus Domino。这是一种开放结构，引入WebST技术，是确保这种开放结构安全性的理想解决方案。对一复杂的应用环境，可能兼有这两种模式，配置NetSEAT、NetSEAL和WebSEAL,可分别通过专用客户机端和通用浏览器共享安全的数据库服务器应用。通过Internet的电子商务，为了确保安全，用户用浏览器通过Internet 进入电子商务系统

19、，首先进入公钥管理服务器PKMS，进行身份确认，然后进入WebSEAL，经身份认证和授权控制最终进入电子商务处理服务器。从Intranet发展到 Extranet的应用，采用 WebSEAL并结合传统的防火墙，可保证分布环境下的Extranet的安全性。4. WebST应用实例WebST技术和产品已经在一些重要的企事业单位应用，其中有美国的T.Rowe Price，这是一家大的经纪、投资公司；美国加州大学的Lawrence Livermore实验室；日本的SECOM公司Intranet；美国的InfoTEST，这是由多家著名公司的产品集成在一起的测试床，以试验采用先进的信息技术缩短产品设计、生

20、产周期的一个试验项目；日本Canon的数字图象网络，采用WebSEAL 确保用户图象资源的安全保密以及用户负载的平衡；香港新世纪电话公司，将电话和智能卡集成而成的多媒体公用安全Intranet解决方案 网络安全和解决方案概述5电话亭。在国内清华大学校园网、成都飞机工业公司、得实集团公司企业网也正在采用WebST技术，增强Intranet的安全性。四、 安全方案的评估为了确定信息网络的安全策略及解决方案，首先应该评估风险，即确定侵入破坏的机会和危害的潜在代价；其次应该评估增加的安全操作代价。在此基础上确定对危害和降低危害的代价进行均衡的策略网络安全最终是一个折衷的方案。在评估时要考虑网络的现有环

21、境，以及近期和远期网络发展变化的趋势。选用先进的安全体系结构和系统安全平台可以减少安全操作代价，获得良好的安全强度。安全操作代价主要有以下几点：1. 用户的方便程度。不应由于增加安全强度给用户带来很多麻烦。2. 管理的复杂性。对增加安全强度的网络系统要易于配置和管理。3. 对现有系统的影响。包括增加的性能开销以及对原有环境的改变等。4. 对不同平台的支持。网络安全系统能适应不同平台的异构环境的使用。一个性能良好的安全系统结构和安全系统平台可以小的安全代价换取高的安全强度。WebST提供了一个安全性很强的通用的授权控制Intranet解决方案，根据安全政策，对信息资源进行集中管理，对资源访问进行

22、细粒度控制，且基于严格认证的用户身份进行授权，而不是简单的基于IP 地址。同时具有以下特点：1. WebST毋需对现存网络环境的物理设备作任何修改，它可简单地建立于现有环境之上。它十分适合于当前Intranet 发展的主流技术，即基于 Web的应用，同时也能适应传统的非Web技术的基于数据库的客户服务器应用。2. WebST体系结构是基于安全服务中间件上的通用应用层安全服务，很容易嵌入已有的企业网中，而毋需更改已有的协议、应用程序和正在使用的服务。3. WebST采用 Kerberos身份认证协议和自主版权的128位密码算法，且同时支持基于对称密钥和公开密钥加密机制。4. 基于Java 技术开

23、发的WebST管理控制台对地域分布很广的众多 Web安全配置、管理十分方便。WebST安全性采用集中式控制，同时可进行远程管理。总之，WebST为用户提供了易于使用、方便访问、灵活通用、既开放又安全的网络环境，是一种较为完善的安全Intranet解决方案。网络安全和解决方案概述 安全Intranet解决方案6网络安全和解决方案概述7网络安全需求一、 网络安全需求概述计算机网络将有效地实现资源共享，但资源共享和信息安全是一对矛盾体。随着资源共享进一步加强，随之而来的信息安全问题也日益突出。在网络上如何保证合法用户对资源的合法访问以及如何防止网络黑客攻击，成为网络安全的主要内容。网络是一个层次结构

24、，因而安全问题也是分层次的。网络层的安全防护，主要目的是保证网络的可用性和合法使用，保护网络中的网络设备、主机操作系统以及各TCP/IP服务的正常运行，根据IP地址控制用户的网络访问。网络层在ISO的体系层次中处于较低的层次，因而其安全防护也是较低级的，并且不易使用和管理。网络层的安全防护是面向IP空间的。应用层的安全防护，主要目的保证信息访问的合法性，确保合法用户根据授权合法的访问数据。应用层在ISO的体系层次中处于较高的层次，因而其安全防护也是较高级的。应用层的安全防护是面向用户和应用程序的。随着互联网络的普及，黑客攻击已成为网络管理者的心病。很多网络虽然没有与Internet互联，但由于

25、计算机数量众多，并且与其它单位的网络互联，因而遭受攻击的可能性大大提高。必须采取防范措施来扼制系统内部的攻击。防止内部攻击的重要性还在于内部人员对数据的存储位置、信息重要性非常了解，这使得内部攻击更容易奏效。有统计数据表明，70的攻击来自内部。二、 网络攻击分析网络威胁可以分为以下若干类型：黑客入侵、内部攻击、不良信息传播、秘密信息泄漏、修改网络配置、造成网络瘫痪等。计算机网络受到的安全威胁主要有: 身份窃取(Indentity Interception) 假冒(Masquerading) 数据窃取(Data Interception) 否认(Repudiation) 错误路由(Misrout

26、ing) 拒绝服务(Denial of Service) 数据流分析(Traffic Analysis) 非授权存取(Unauthorized Access)一个实际的网络中通常存在一些安全缺陷:如路由器配置错误、存在匿名FTP、Telnet开放、口令文件/etc/passwd的缺乏安全保护等。目前已知的黑客攻击方法就有上千多种。根据网络安全监测软件的实际测试，一个没有安全防护措施的网络，其安全漏洞通常在1000个左右。网络系统所依赖的TCP/IP协议，本身在设计上就很不安全。网络安全和解决方案概述 网络安全需求8网络中最常见的窃听是发生在共享介质的局域网中，如以太网。网络窃听猖獗的另外一个原

27、因是TCP/IP网络中众多的网络服务均是在网络中明码传输，而众多的网络日常使用者又对此机制毫无所知。几乎每一个黑客成长的第一步都是从使用Sniffer、tcpdump或Snoop等类似的软件开始的。用它可以看到从一台机器登录到另外一台机器的全过程。利用主机系统的一些漏洞可以获得对系统或某用户信息的控制权。系统的漏洞也往往是潜在的黑客对主机进行攻击的首选手段之一。操作系统厂商在不断地生产新的系统的同时也在生产新的bug。Microsoft为弥补IE3.0上的bug而生成的Patch上又有新的bug，说明bug是不可避免的。三、 安全管理漏洞上面对网络可能遇到的网络安全威胁进行了分类和讨论，但是发

28、生最频繁的安全威胁实际上是非技术因素。只有把安全管理制度与安全管理技术手段结合起来，整个网络系统的安全性才有保证。网络攻击经常能够得逞的主要原因有以下几个方面:一方面是由于现有的网络系统具有内在的安全脆弱性;另一方面却是由于管理者思想麻痹，没有正视网络入侵所造成的严重后果，因而舍不得投入必要的人、财、物力来加强网络的安全性;最后还在于没有采取正确的安全策略和安全机制。从安全技术保障手段上来讲，应当采用先进的网络安全技术、工具、手段和产品，同时一旦防护手段失效时，要有先进的系统恢复、备份技术（工具）。用户口令的选择对系统安全很重要。但是实际上网络用户中很谨慎地选取口令的人很少。恐怕是网络安全虽然

29、很热，但认为自己的用户口令或用户信息对其他人来讲意义并不重大，所以被窃取或猜出来的概率并不大。实际上有人在Internet上选择了几个网点，用字典攻击法在给出用户名的条件下，测出70%的用户口令只用了三十多分钟，80%用了两小时，83%用了48小时。如果网络用户选择的口令不当，即使网络系统的安全性再强，仍然有受到破坏的危险。选择口令的误区通常有:误区之一:用“姓名+数字“作口令，许多用户用自己姓名或丈夫妻子女朋友的缩写再加上自己或丈夫妻子女朋友的生日，等等。误区之二:用单个的单词或常用的DOS命令作为口令。误区之三:多个主机用同一个用户口令。这样一个主机的口令被窃取将会影响多台主机的安全。误区

30、之四:只用小写字母作为口令，这样使字典攻击法攻破的概率大增。四、 网络安全防护的一般措施网络是一个层次结构，需要在不同的层次上采取防护措施。WebST安全网络解决方案覆盖了网络层和应用层。网络安全机制的基本要素包括：身份认证(Authentication)：开始通信前证明对方的身份与其声明的一致；访问控制授权(Authorization)：对不同用户设置不同的存取权限，把证实后的实体与存取控制机制匹配，保证只允许访问授权资源。完整性检测(Intergrity)：网络安全需求 网络安全和解决方案概述9确保信息在传输过程中不被篡改。防否认机制(Non-repudiation)：证明一条消息已被发送

31、和接收，保证发送方和接收方都有能力证明接收和发送操作确实发生了，并能确定发送和接收者的身份。可靠性保护(Confidentiality)：通信内容不被他人捕获，不会有敏感信息的泄密，主要通过数据传输加密技术实现。要根据对信息质量的不同要求对上述机制进行组合运用。信息质量主要指: 可靠性:确保信息只被授权用户存取。实现这一点需要强有力的存取控制机制、身份认证机制及端-端加密机制。 完整性:信息在网络中传输时不会被非授权用户篡改，也不会被授权用户错改。这要求有认证机制、加密机制及合理的授权机制相配合。 可用性:保证任何情况下使系统处于工作状态，冗余措施是解决这类问题的传统方案。必须保证服务器和数据

32、是可复制的。 可维护性:必须有相应的集中管理机制及安全管理工具，管理操作应当简单有效。五、 网络安全需求分析网络的安全性涉及到系统安全和数据安全，其中系统安全主要是指操作系统安全、网络服务安全。通常的系统攻击使系统不能正常工作，但不一定导致数据泄密。而数据安全则直接关系到泄密。1. 网络层安全在一个严格保密要求的网络上，网络层必须提供透明的加密信道以保证数据传输的安全。通过配置路由器和拨号服务器能够实现IP层的加密信道。多数路由器设备都具备这样的功能，但是，加密IP信道存在如下问题：一是加密算法依赖原厂商；二是不同设备厂商采用的标准不一致，彼此之间没有互操作性，如果采用的网络互联设备不一致，就

33、很难建立统一的加密信道；三是信道加密会使网络设备的性能大幅度下降。以CISCO 7500系列路由器为例，这种背板交换能力高达2G的路由器，打开40位DES加密特性，整个路由器的吞吐量下降到2M，这是因为加密占有了大量的CPU时间。所以网络层VPN很难直接在路由器上实现。这种方法在广域网上使用的较多，在局域网上使用的很少。广域网通常都是专网上，在公网上很难实现。在网络层建立的IP通道之上，必须采用安全机制提供应用层的可靠相互访问。如果没有这个机制，只有加密IP信道，应用层的安全仍然得不到保障。因为IP加密信道只能保证数据传输时候不被人在线路上窃听，不能控制信道的合法使用，也无法保证双方的合法身份

34、，也不能实现集中的访问控制。在互联网络的边界上，通常使用防火墙。防火墙采用IP过滤和应用代理方式来实现安全连接。一种简单有效的方法是在路由器上采用IP过滤技术，由硬件实现，效率相当高。防火墙建立在边界安全的基础上，对来自内网攻击的防护能力很弱，因而全面的安全防护措施必须支持面向用户和应用的安全控制，以提供立体的防护措施。2. 应用层安全目前占主导地位的数据安全控制措施是在应用层实现的，因为数据通常是由这些应用生成、存储和传输的。在应用层必须采取安全措施来保证数据的安全。网络安全和解决方案概述 网络安全需求10应用层安全包括下列几项基本安全需求： 数据保密：由于无法确认是否有未经授权的用户截取网

35、络上的数据，需要一种手段来对数据进行保密。数据加密就是用来实现这一目标的。 数据完整性：需要一种方法来确认送到网络上的数据在传输过程中没有被篡改。数据加密和校验被用来实现这一目标。 身份认证：需要对网络上的用户进行验证，以确认对方的真实身份。握手协议和数据加密为通信双方提供了验证身份的手段。目前常用的有公钥认证方法和KDC（密钥发布中心）方式的认证方法。 授权：需要控制谁能够访问网络上的信息，并且他们能够对信息进行何种操作（例如他们是否可以修改信息还是只能读取）。访问控制表用来实现这一目标。 审计记录：所有网络活动应该有记录，这种记录要针对用户来进行，可以实现统计、计费等功能。 防止抵赖与公证

36、：确保用户不能抵赖自己所做的行为，同时提供公证的手段来解决可能出现的争议。应用层必须有安全措施，用户访问时要经过严格的身份认证。信息系统的用户可能分布在网络上的任何接入点，所以身份认证技术必须采用针对用户的认证方式，而不能针对地址或会话。为了便于管理，需要采用集中式管理的访问控制手段。3. 网络安全检测构架网络安全系统时的一个重要的环节是对网络安全漏洞的检测和监控。通过安全检测/监控手段，可以及时发现网络存在的安全漏洞或恶意的攻击。更加重要的是，安全检测工具可以为安全网络提供对网络和系统攻击的敏感性，从而实现动态和实时的安全控制。安全管理是网管的重要内容。在安全漏洞检测软件的支持下，通过网管软

37、件或人工配置的方法，可以完备系统配置，消除多数人为的系统管理安全漏洞（如：必须禁止超级用户的远程登录，不能使用早期版本的SENDMAIL）。安全检测软件能够动态监测路由器、防火墙、主机、WEB服务器等系统资源，模仿多数黑客的攻击方法，不断测试安全漏洞，并将测出的安全漏洞按照危害程度列表。在一个没有任何防护措施的典型网络中，安全漏洞的数目通常超过1000个。安全检测软件提供修补系统漏洞的建议，使系统管理管理员在明确的指导下及时采取措施修补系统存在的漏洞，防患于未然。安全检测软件的另一个功能是实时监控网络攻击或恶意访问，并根据设置及时通报系统管理员，记录攻击情况。当攻击发生的时候，能够及时阻断攻击

38、。网络安全和解决方案概述11企业Web应用模式与安全解决方案近几年来，企业增大了利用Web技术向员工发布信息的应用，同时他们发现，利用浏览器和Web服务器来发布企业最新信息也是他们所需要的最有效的途径。广泛流行的Web浏览器技术为企业和机构带来了一种新的信息发布模式。过去，信息发布是由发送者通过公司内部办公邮件或电子邮件发给接收者，这种方式速度慢、成本高，而且还不能保证信息的实时性，以及确保信息发送给接收者。现在，企业利用Intranet可以提供更好的服务，他们可以把网页放在内部的Web服务器上，这样使得员工可以自由地访问他们所需要的信息，发送者无需复制这些信息文件，并确定谁需要这些信息。企业

39、利用Intranet 来公布信息已经是一种普遍使用的方法，而且企业也不再满足于仅仅利用Intranet来公布内部信息，他们开始采用各种Web技术来运行他们的商业应用。新的Intranet应用表明，他们可以采用Web浏览器去访问传统的数据、去管理工作流、以及完成其他的内部工作。另外，一些企业期望通过Extranet去扩展他们基于公网的 Web组织结构，以便更好的联系客户和合作伙伴、以及供应商。Web技术大量的采用对企业有着越来越重要的意义，而有些大家关注的安全问题的需要，则由信息安全专家来解决。公告栏Web 客户化Web 企业应用Web信息访问方式 在防火墙后 在防火墙后 任何地方， 包括在公共

40、 Internet上信息性质 信息 信息，个别制作的信息 个别制作的信息，关 键商务应用访问标准 员工 身份认证 更强的身份认证信息是否与非员工共享 没有 没有 有基于Web的交易 没有 有一些非关键的 很多关键商务对原有数据的访问 没有 有限制 完美结合对Web资源的控制 集中 集中 分散Web服务器数量 很少 很少 很多数据是否在不可靠网络上传输 没有 没有 有表1：Web体系结构的发展历程网络安全和解决方案概述 企业Web应用模式与安全解决方案12典型的企业Web应用经历了三种模式，这三种模式分别是：公告栏 Web、客户化Web、和企业应用Web。为了理解这些模式，可以假设一个企业使用W

41、eb来管理HR（人力资源）应用，在采用第一种模式时，公告栏Web可以用来给员工提供一些普通的信息，如管理制度之类；采用第二种模式，客户化Web可以针对员工定制信息，显示各人享有各种福利制度的具体内容，员工也可以对一些非敏感信息进行操作，例如改变自己的地址；当采用企业应用Web 模式时，员工几乎可以通过网络完成他们所有的应用，甚至包括病假或产假申请。另外，员工可方便的从家里或在外地的办公室访问HR Web，并且数据在公网上传输是加密的。表1描述了这三种模式的主要特征。需要说明的是在不同企业中，在各模式之间的转换可能不同，个别Internet 可能表现出不止一个模式的特征。公告栏Web 模式当一个

42、企业开始在他们的IT架构中采用Web技术时，普遍都是用来向员工发布一些非敏感的信息，或者提供一些更广泛的访问服务，管理很简单。访问企业的Intranet 是要在访问者是内部员工的前提下进行，当在企业Intranet 上放敏感数据的时候，这些数据就只限制给员工可以访问，并且在Intranet 上的信息是不给外部人员（非企业员工）共享。另外，他们的数据是不在公网上传输的，数据只在防火墙后面或在企业租用的专线上传输。这种模式的Web页面一般是由Web服务器提 供的静态信息组成，很少有由针对不同用户 而产生的动态信息生成的页面，也没有利用 Web技术去访问已经存在的原有应用的数据。 这时企业的Web服

43、务器的数量是为数很少的， 并且它们是由IT部门来统一管理的。 虽然当Web技术 和基于IP的网络应用对企业很重要，但他们 并不涉及关键事务应用。有些隐患需要在 这种基于Web技术的Intranet应用发展和实 施企业安全时考虑。Web信息的访问只通过是否是员工来控制，企业可以用任何方式对用户进行身份认证。对 Web 页面的细粒度访问控制是没有必要的，只需在防火墙上提供粗粒度的控制就足够了。另外，信息也只在可靠的网络上通讯，而不是在公共Internet上传输，所以对数据加密也没什么要求。客户化Web 模式当企业开始摸索着采用一些最新的Web技术去授予员工更大的权限，以增加工作效率、改变商务流程、

44、以及更好地与合作商保持联系，企业的网络结构也自然需要改变。然而，很少有企业的Web应用直接由公告栏Web模式转换成企业应用Web模式。这种转换通常就像一家公司的发展一样是需要逐步成长的。在多数企业里，Web应用的发展需要经历一个中间模式：客户化Web。公告栏Web模式与客户化Web模式的主要差别在于它们提供的有效信息的性质不同。在前一模式中，企业Intranet 上的所有信息是对所有用户有效的。而在客户化 Web模式中的信息的产生可以根据不同的请求而不同。采用这种模式的企业Intranet开始具有一定的交互能力。这些交互操作目当采用 Enterprise Web 模式时，员工几乎可以通过网络完

45、成他们所有的应用，甚至包括医疗申请或产假申请。另外，员工可方便的从家里或在外地的办公室访问 HR Web ，并且数据在公网上传输是加密的。企业Web应用模式与安全解决方案 网络安全和解决方案概述13的是减少成本代价，例如人力资源事务处理不处理销售、采购、及财务等与主要商务过程相关联的事务。采用这种模式时，企业仍不允许数据在公网上通讯，也不允许非员工访问企业Intranet信息。在这种模式下，企业的主要安全需求是身份认证和对Web 信息的访问控制，因为员工根据他们的身份来访问不同的信息。这样就有必要采用一些手段对用户来进行身份认证，以及设置基于用户身份的访问控制。但是，由于Web 服务器的数量还

46、很少，而且对客户化Web的访问一般是在企业防火墙内进行的，所以这些问题是可以通过一些好的商业Web 服务器自身提供的功能来解决。同时，数据也只在可靠的网络上传输，用户通常也是通过一些基本身份认证，也不用担心密码在线路上的明码传输，用标准Web服务器的访问控制机制就能够满足授权设置。企业应用Web 模式通过前两种应用模式证明了Web技术是有用的，因此许多企业也开始向 Web应用朝最终模式转换：企业应用Web模式。采用这种模式， Web开始成为企业核心商务运作的关键工具，同时企业网也与公共Internet 互连，以扩展对非公司员工的访问服务。于是，安全性、可靠性、可扩充性和性能等问题就需要得到解决

47、。这种模式的特征表现如下：Intranet/Extranet成为了企业的一个关键组成部分，网络应用用来完成一些重要的商务运作，例如：电子商务或商务交易。对非员工公开一些Intranet 上的信息已经很有必要，这些非员工可能是在防火墙内部工作的承包商，或者是在某些 项目上与企业有合作关系的外部伙伴。这时，企业信息 在公共Internet上传输的需求也产生了，而 且，当企业Intranet转变成 Extranet，在外 地的员工也需要远程访问。当Intranet 成为 企业的关键业务系统后，再要限制用户的 访问只在防火墙之内也是不太可能了。随着企业的Web应用技术的成熟，Web服 务器以及Web应

48、用也随之大大增加，一些 企业内部或许有上百个Web服务器，其中 一些特殊用户甚至有他们自已的Web服务 器。另外，企业可能有很多历史遗留下来的应用服务器和数据库服务器，都需要通过Web 界面来进行访问。通常，这些服务器的管理是分散的。企业需要把一些敏感信息放置在企业的Intranet上，当企业将关键商务应用转换到Web上时，就需要更强的授权访问控制，以保证仅授权用户才可对这些数据信息进行访问或修改。对信息安全问题的挑战实际上也随着企业Web应用技术的成熟而增大。这些问题包括：用户密码的安全、访问权限的集中管理、集中的审计功能、以及对信息的细粒度访问控制，和在不可靠的网络上传输的数据加密问题。另

49、外，有更多的敏感数据存放在企业的Intranet上的，每个服务器都需要验证用户身份，以判断是否有限权访问资源。用户可被授权可以访问多个服务器的资源，也可被授权问一些Web应用的资源，例如Lotus Domino、Oracle 和 Netscape等。 这样，为了访问这些大量的资源，用户就需要记住所有不同的Web服务器及Web应用的访问密码。他们往往在不同的服务器上使用相同的密码，或者为了方便记忆而在纸上写下密码，因而也就带来了不安全的因素。另外存在的一个问题，因为企业Intranet可能由不同的Web服务器和应用服务器构成，这样就对信息安全问题的挑战实际上也随着企业 Web 应用技术的成熟而增大。这些问题包括：用户密码的安全、访问权限的设置、集中的审计功能、以及对信息的细粒度访问控制，和在不可靠的网络上传输的数据加密问题。网络安全和解决方案概述 企业Web应用模式与安全解决方案14没法对用户的访问进行统一的审计和记录。唯一的办法就是查看用户有权访问的所有服务器上的记录信息，而且很难确定某个用户访问了哪个资源，没有集中的方式和确定用户对企业Web 资源的访问权限。因为缺少集中的管理，而且每个服务器都有它自己的用户数据库、口令和权限数据库，安全管理员必须分析这些数据库来手工建立