网络安全的措施一般按照网络的TCP/IP或者OSI的模型归类到各个层次上进行,例如数据链路层负责建立点到点通信,网络层负责路由寻径,传输层负责建立端到端的通信信道。
最早的安全问题发生在计算机平台,后来逐渐进入网络层次,计算机安全中主要由主体控制客体的访问权限,网络中则包含更加复杂的安全问题。现在网络应用发展如火如荼,电子政务、电子商务、电子理财迅速发展,这些都为应对安全威胁提出了挑战。
密码学在网络安全领域中的应用主要是机密性和身份认证,对称密码体制如DES,非对称密码体制如RSA,一般的做法是RSA保护DES密钥,DES负责信息的实际传输,原因在于DES实现快捷,RSA相比占用更多的计算资源。
二、风险分析
风险分析主要的任务时对需要保护的资产及其受到的潜在威胁进行鉴别。首要的一步是对资产进行确定,包括物理资源(工作站、服务器及各种设备等)、知识资源(数据库、财务信息等)以及时间和信誉资源。第二步需要分析潜在的攻击源,如内部的员工,外部的敌对者等;第三步要针对以上分析指定折中的安全策略,因为安全措施与系统性能往往成反比。风险被定义为漏洞+威胁,漏洞指攻击者能够实现攻击的途径。威胁则指实现攻击的具体行为,对于风险来说,二者缺一不可。
安全策略可以分为许多类型,比如:
1. 信息策略:如识别敏感信息、信息分类、敏感信息标记/存储/传输/销毁;
2. 系统和网络安全策略:用户身份识别与身份鉴别、访问控制、审计、网络连接、加密等;
3. 计算机用户策略:计算机所有权、信息所有权、计算机许可使用权等;
4. Internet使用策略:邮件策略(内部邮件与外部邮件的区分及过滤);
5. 用户管理程序:新员工程序、工作调动的员工程序、离职员工程序;
6. 系统管理程序:软件更新、漏洞扫描、策略检查、登录检查、常规监控等;
7. 事故相应程序:响应、授权、文档、程序的测试;
8. 配置管理程序:系统初始状态、变更的控制程序三、网络信息安全服务
网络信息安全服务根据保护的对象可以分为:机密**、完整**、可用**和可审**。机密**主要利用密码学技术加密文件实现,完整**主要利用验证码/Hash技术,可用**主要灾备来保障。网络环境下的身份鉴别,当然还是依托于密码学,一种可以使用口令技术,另一种则