计算机网络系统安全保护的目的是保密保护敏感信息、秘密信息和重要数据、以及计算机/网络资源。
系统安全需要实现三个目标：
保密性 ：信息和资源不能向非授权的用户或过程泄漏
完整性 ：信息和资源保证不被非授权的用户或过程修改或利用
可用性 ： 当授权用户或过程需要时，信息和资源保证能够被使用实现安全保密须采取的措施：
鉴别 ：证实用户的方法
认证 ：验证用户的过程
授权 ：依据用户的身份，授予其对于网络 / 资源访问权限的过程
访问控制 ：依据用户的身份，限制其对网络 / 资源访问权限的过程
记录 ：准确可靠地确定谁、何时、何地、多久使用网络 / 资源的过程
审计 ：保存记录下谁、何时、何地、做了什么以及谁、何时、何地被拒绝，因何拒绝
抗否认 ：在一个特定的操作发生后，能够证明该行为的能力
加密 ：确保数据保密性的处理过程
（一）主要防范策略
1．物理措施
物理安全策略目的是保护计算机系统、网络服务器、打印机等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限，防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。
抑制和防止电磁泄漏是物理安全策略的一个主要问题。目前的主要防护措施有两类：
其一是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合；
其二是对辐射的防护，由于设备中的计算机处理机、显示器有较强的电磁辐射，如不采用屏蔽或干扰，就会使秘密通过电磁辐射而造成泄露，根据保密等级，可采用在全室或关键设备局部使用电磁屏蔽房，选用低辐射设备或者使用相关干扰的电磁辐射干扰器，使得难以从被截获的辐射信号中分析出有效信号。
（1）使用低辐射计算机设备。这是防止计算机辐射泄密的根本措施，这些设备在设计和生产时，已对可能产生信息辐射的元器件、集成电路、连接线和CRT等采取了防辐射措施，把设备的信息辐射抑制到低限度。
（2）屏蔽。根据辐射量的大小和客观环境，对计算机机房或主机内部件加以屏蔽，检测合格后，再开机工作。将计算机和辅助设备用金周屏蔽笼（法拉第笼）封闭起来，并将全局屏蔽笼接地，能有效地防止计算机和辅助设备的电磁波辐射。不具备上述条件的，可将计算机辐射信号的区域控制起来，不许外部人员接近。
3）干扰。根据电子对抗原理，采用一定的技术措施，利用 干扰器 产生噪声与计算机设备产生的信息辐射一起向外辐射。对计算机的辐射信号进行干扰，增加接收还原解读的难度，保护计算机辐射的秘密信息。
主要防护低密级的信息。日前，国家保密标准《电磁干扰器技术要求和测试方法》已经制定并发布。分为两个等级：一级适用于保护处理机密级以下信息的计算机，二级用于保护处理内部敏感信息的计算机和自然警戒距离大干100米处理秘密级信息的计算机。
主要的性能测试指标：辐射发射特性测试（发射强度和对设备的影响）、传导发射（抑制、干扰）测试、视频信息还原测试、方向性测试、声光报警测试、重复性测试。
2．环境保密措施
系统中的物理安全保密是指系统的环境、计算机房、数据工作区、处理区、数据存贮区、介质存放的安全保密措施，以确保系统在对信息的收集、存贮、传递、处理和使用过程中，秘密不至泄露。
计算机房应选不在现代交通工具繁忙和人多拥挤的闹市、远离使馆或其它外国驻华机构的所在地，要便于警卫和巡逻，计算机房房好设置在电梯或楼梯不能直接进入的场所、应与外部人员频繁出入的场所隔离，机房周围应在有围墙或栅栏等防止非法进入的设施，建筑物周围应有足够照明度的照明设施，以防夜间非法侵入，外部容易接近的窗口应采取防范措施，如使用钢化玻璃、铁窗等，无人值守的地方应报警设备，机房内部设计应有利于出入控制和分区控制，计算中心机要部门的外部不应设置标明系统及有关设备所在位置的标志。
3．访问控制技术
访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非法访问。访问控制可以说是保证网络安全重要的核心策略之一。下面我们分述各种访问控制策略。
（1）入网访问控制
它控制哪些用户能够登录到服务器并获取网络资源，同时也控制准许用户入网的时间和准许他们从哪台工作站入网。用户入网访问控制通常分为三步：用户名的识别与验证、用户口令的识别与验证、用户账号的缺省限制检查。三道关卡中只要任何一关未过，该用户便不能进入网络。对网络用户的用户名和口令进行验证是防止非法访问的第一道防线。用户注册时首先输入用户名和口令，服务器将验证所输入的用户名是否合法。如果验证合法，才继续验证用户输入的口令，否则，用户将被拒之于网络之外。用户口令是用户入网的关键所在，必须经过加密。，加密的方法很多，其中常见的方法有：基于单向函数的口令加密、基于测试模式的口令加密、基于公钥加密方案的口令加密、基于平方剩余的口令加密、基于多项式共享的口令加密以及基于数字签名方案的口令加密等。经过上述方法加密的口令，即使是系统管理员也难以破解它。用户还可采用一次性用户口令，也可用便携式验证器（如智能卡）来验证用户的身份。用户名和口令验证有效之后，再进一步履行用户账号的缺省限制检查。
（2）网络的权限控制
网络权限控制是针对网络非法操作提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源以及用户可以执行的操作。
（3）客户端安全防护策略
首先，应该切断病毒的传播途径，尽可能地降低感染病毒的风险；其次，用户好不要随便使用来路不明的程序。
4．安全的信息传输
网络本身就不是一种安全的信息传输通道。网络上的任何信息都是经重重中介网站分段传送至目的地的。由于网络信息的传输并无固定路径，而是取决于网络的流量状况，且通过哪些中介网站亦难以查证，因此，任何中介站点均可能拦截、读取，甚至破坏和篡改封包的信息。所以应该利用加密技术确保安全的信息传输。
|
