计算机网络论文

您当前的位置:学术堂 > 计算机论文 > 计算机网络论文 >

防火墙技术与文档安全保护技术

来源:学术堂 作者:姚老师
发布于:2016-08-08 共5496字

    本篇论文目录导航:

【题目】企业办公网络安全管理问题研究
【第一章】企业办公网络安全防护探析绪论
【2.1 - 2.4】防火墙技术与文档安全保护技术
【2.5 - 2.7】网络防病毒技术与双机热备技术
【第三章】办公网络安全系统分析与设计
【4.1 4.2】网络出入口监控管理策略
【4.3 - 4.5】网络安全防护措施设计与实现
【总结/参考文献】企业办公网安全升级方案研究总结与参考文献

  第二章 网络安全相关技术

  本章详细讲解了本次课题研究所需用到的网络安全技术理论,主要设计网络规划、防火墙、上网行为管理、文档安全保护、Web应用防护、网络防病毒、双机热备机制等。

  保护方式包括硬件和软件、字段过滤策略和保护协议。

  2.1 虚拟局域网技术。

  2.1.1 虚拟局域网定义。

  虚拟局域网,即VLAN(Virtual Local Area Network),指通过在LAN交换装置上使用网络管理软件,实现跨网段、跨终端构建逻辑网络的技术。多个网络设备的不同用户,可以通过覆盖该网络设备的VLAN进行通讯。

  2.1.2 VLAN 的优点及安全优势。

  VLAN提供了防火墙机制,有效限制了网络广播,通过划分VLAN,将网络设备分割到多个逻辑域中,极大减少了可能受到广播风暴影响的设备数量。特定VLAN可以跨越多个交换机端口和交换网络,且广播不会发送到VLAN外。这样就释放了足够的网络流量给使用者,减少了网络负担。

  VLAN加强局域网的安全,剔除包含敏感数据的用户组,以减少了泄密几率。在传输过程中,不同VLAN内的报文是隔离的,也就是用户VLAN不能直接与其他VLAN用户的直接通信。如果需要跨VLAN通信,就必须利用三层交换设备。减少昂贵的网络升级费用,更高地利用现有的带宽和上行链路,节约成本。通过将第二层平面网络划分成多个逻辑工作组(广播域)来减少不必要的网络流量,提高性能。

  VLAN便于网络管理,共有需求的使用者都在同一VLAN中。

  依靠VLAN技术,可以在任意位置、任意网络和任意用户沟通,组成了一个大型虚拟网,使用便利如同本地LAN,明显降低了管理费用和升级费用。

  2.1.3 VLAN 划分方法。

  (1) 按端口划分VLAN最初通常在一台交换机上按照端口来划分VLAN的成员,但也将VLAN只存在单台交换机上。所有VLAN下的成员属于同一广播域,可以直接通讯。

  最新的硬件技术,可以将多台交换机的不同端口集合到一起,划分为一个VLAN,使得VLAN得以跨越硬件。这种方式是当前VLAN划分方式中最常见也最实用。

  (2) 按MAC地址划分VLAN通过每个设备自带的唯一识别MAC地址来划分VLAN.优点是当一个移动用户的物理位置发生变化,都可以直接与VLAN通信,不需要再进行配置。这种方式有个缺点,就是首次配置会非常麻烦,需要把所有用户MAC地址进行添加,如果用户数有成百上千,将是非常庞大的工作量。同时,这种划分方式还影响了交换效率,无法限制广播包。另外,对于经常更换上网设备的用户来说,每次换新设备都必须进行一次初始配置,影响工作效率。

  (3) 按网络层划分这种划分方式虽然依据IP地址或者通讯协议,却与路由没有丝毫联系。

  优点是便于管理,因为使用者不管在什么位置,都能直接入网,无需重新配置。且不用校对帧标签,减少网络流量占用比。

  缺点是相较于VLAN和MAC这两种划分方式,这种方式效率较低,检查网络层地址消耗的时间会更多。要让普通交换机芯片可以检查IP报头,需要较高的技术,也更加消耗时间。当然,这也与每个厂家的设计方法有关。

  (4) 按IP组播划分IP组播即认为一个组播组就是一个VLAN,这种广域网的划分方式具有更大的灵活性。但因为效率低,这种方式并不太适用于办公局域网。

  以上划分VLAN的方式中,第一种建立在物理层上;第二种建立在数据链路层上;最后两种建立在网络层上。

  2.2 防火墙技术。

  2.2.1 防火墙的隔离技术。

  所谓"防火墙"技术,是指一种将内部网和互联网隔离的技术。防火墙是在两个网络通讯时参照的一种访问控制标准,防火墙"同意"后互联网数据才能进入内网,若是"不同意"则将拒之门外,极大地防范了来自黑客的恶意访问。通俗点说,防火墙就是一扇大门,不得到看门人的认可,门两边的人无法进行对话,也就是内部网和互联网无法进行通讯。

  2.2.2 防火墙的分类。

  (1) 个人防火墙个人防火墙是一项安全防护技术,防止外部攻击侵入内网的电脑,原理是监控、阻止任何未经授权允许的数据进入或发出到其他网络。个人防火墙产品如著名Symantec公司的诺顿、Network Ice公司的BlackIce Defender、McAfee公司的思科及Zone Lab的freeZoneAlarm等。作用是对系统进行监控及管理,防止木马、病毒程序通过网络入侵电脑和向外扩散。这些软件实用度很高,而且方便于操作和管理,能够独立运行。

  (2) 网络层防火墙网络层防火墙通过制定规则来限制封包的通行,可以将之视为一种IP封包过滤器。

  常见的网络层防火墙,管理员可以自行定义和修改规则。

  (3) 应用层防火墙应用层防火墙顾名思义,是在OSI参考模型应用层上工作的安全设备,通常用来防护Web应用产生的数据流。这类防火墙可以拦截出入应用程序的所有封包,对于不符合规则的封包采用封锁或者丢弃的操作。

  2.2.3 目前防火墙中的最新技术及发展情况。

  所谓的"边界防火墙(Perimeter Firewall)",是指部署在内外网之间的防火墙设备。

  随着科技发展,网络安全威胁不只存在于外部,来自内部的攻击危害更大,也更加难以防范。比如针对DNS的内部攻击,通常会导致防火墙工作中断,而防火墙却没有对应防御措施。所以,仅凭边界防火墙已经无法适应用户的全方位安全防护需求。如果要让边界防火墙对内不实现保护功能,就必须给每台主机都安装防火墙,但这代价太大,明显不切实际。基于此需求,分布式防火墙(Distributed Firewalls)技术诞生了。其拥有卓越的安全防护策略,代表着未来的发展趋势,这项技术刚一出现,就得到广大认可,具有很好的发展前景。

  分布式防火墙的特点:主机驻留、嵌入操作系统内核、适用于服务器托管。

  分布式防火墙的功能:互联网访问控制、应用访问控制、网络状态监控、抵御黑客攻击。

  分布式防火墙的优势:

  (1) 安全性增强:采取了全面安全防护机制,有效抵御内部攻击,防止恶意程序攻击主机。

  (2) 系统性能提高:消除了结构性的瓶颈问题,性能得到显著提升。

  (3) 可扩展性:基于安全结构,理论上可以实现防护机制无限扩展。

  (4) 实施主机策略:可以保护到网络中的各个节点。

  (5) 应用更为广泛:支持VPN通信。

  2.3 上网行为管理技术。

  2.3.1 上网行为管理的描述。

  随着计算机网络技术的飞速发展,网络办公的日益普及,互联网已经成为人们的工作环节中方便快捷、不可或缺的一个重要组成部分。然而,并不是所有员工都能100%利用办公网络的便捷来办公,滥用办公网络资源来网上购物、聊天、下载电影等行为,不但占用了原本办公的网络带宽,更影响了应有的工作效率,亦带来了安全隐患。

  上网行为管理,通过实时监控网络上的数据流量和访问记录,避免商业机密泄露,阻止不良信息传播,提高了企业办公网络的使用效率。其审计功能和行为监控功能,特别适用于信息化保密程度高的企业。

  早期互联网行为管理产品几乎可以理解为URL过滤系统,上网浏览的所有地址将被系统监视和跟踪记录,如果按照设定是合法地址则开放限制,反之则采取警告和禁行措施,最终形成的就是黑白名单。此外,也有监测邮件收发的行为管理系统。

  行为管理采取网络监测与控制技术,实现对所有管辖区内用户的上网行为监管。对浏览过的网页地址和时间进行记录,对不良信息进行控制,对敏感话题进行管理,对多重协议的聊天软件进行监听,有效保证企业办公网络使用效率和安全。

  与传统的URL地址数据库管理控制系统不同,上网行为管理系统化被动为主动,突破技术瓶颈,从功能,性能,效率,安全性等各个方面完全超越了前者,达到了当今安全行为管理的使用要求。

  2.3.2 管理功能。

  (1) 上网人员管理(a)身份验证管理:通过校对用户库,核对上网人员信息,确保使用者的合法性。

  (b)终端接入管理:校验主机的运行文件和注册信息,确保接入网络的终端PC的合法性。

  (c)访问地理管理:通过检查上网主机的物理接入点,识别物理地址,确保该地点的合法性。

  (2) 上网浏览管理(a)搜索引擎:屏蔽不当关键词,采用甄别技术,确保搜索内容合法。

  (b)网址URL:提前记录非法网址,阻断对这类网址的访问。

  (c)网页正文:采用关键字甄别技术,确保浏览正文的合法性。

  (d)文件下载:校对文件来源信息,确保下载的文件合法。

  (3) 上网应用管理(a)应用阻断:对不符合策略要求的应用进行阻断。

  (b)时长限额:限定上网时长,超时自动断开访问。

  (c)流量限额:限定上网流量,固定时间内超出则断开访问。

  (4) 上网流量管理(a)带宽控制:设置通道带宽上限,防止流量超出。

  (b)带宽保障:设置通道带宽下限,保证最低限度的必要带宽。

  (c)带宽借用:允许满负荷的用户借用其他限制的网络通道。

  (d)带宽均分:带宽平均分配,避免被个人用户占用,影响他们办公。

  (5) 上网行为分析(a)行为实时监控:实时反馈当前的带宽速率、分配占比、应用情况。

  (b)行为日志查询:所有上网记录进行精确查找,追溯到人。

  (c)行为统计分析:统计一段时期的日志结果,分析数据发展趋势,用来发现潜在威胁。

  (6) 设备容错管理(a)死机保护:设备可自动切换透明模式,故障情况下不妨碍网络办公。

  (b)双系统冗余:双系统备份,单系统发生故障,主机保持正常工作,不影响功能启用。

  (7) 风险集中告警(a)告警中心:有独立页面显示全部告警信息。

  (b)分级告警:告警按自定义进行区分排列,高等级的告警优先显示,防止错过处理时机。

  (c)告警通知:可以和短信机联动,或者内网邮件形式通知管理员,快捷迅速。

  2.4 文档安全保护技术。

  2.4.1 文档保护的意义。

  随着信息化大发展,人们对信息的依赖性越来越大,伴随着的信息安全、保密问题接踵而至。黑客攻击、商业间谍活动,员工无意泄露,都会导致公司信息资料外泄。假如重要的商业机密被窃取,对企业来讲就是一场灾难。所以,信息文档的存在意义重大,对文档安全的保护至关重要。

  2.4.2 防护手段分类。

  传统的防护手段三件套:防火墙、入侵检测、防病毒软件,早已不能胜任当今的安全防护要求。全新的信息安全防护技术已经逐渐崭露头脚,例如主机监控、文档加密、UniBDP防泄露等,这些新兴技术即将壮大为信息化系统安全建设的主力军。

  这里要介绍的文档加密技术,采用透明加解密技术,强制加密所有指定类型的数据。

  此技术对数据本身加密,无论是否在安全网络环境内,都是无法被破解的,降低了环境依赖性,提高了使用效率。

  下面分别介绍一下磁盘加密和驱动级加密这两种文档防护技术:

  (1) 磁盘加密技术全盘加密主机磁盘,保证一个安全的运行环境,但并未对数据本身加密,导致系统启动验证完毕后,数据完全以明文形式呈现,只能依靠防火墙等进行保护。

  磁盘加密技术加密时间长到使用者难以忍受,且一旦操作系统出现问题,对数据进行恢复通常要花费4小时解密一次硬盘,也是一件让人头痛不已的事。

  磁盘加密技术一般不加密系统盘,靠外设进行安全防护,所以并不能算是一项完整的安全防护技术。随着操作系统的版本不断升级,人们对系统的控制力度将会越来越低,而后黑客技术节节攀高,一旦防护体系被打破,硬盘上一切数据将暴露无疑。

  另外,磁盘加密技术对系统文件也进行了安全控制,这会大大影响系统的使用性能。

  (2) 驱动级加密技术该技术采用进程+后缀的方式进行安全防护,方便管理员根据需求灵活部署,强制加密主要数据,对系统运行效率影响微乎其微。

  驱动级加密技术是对数据本身进行保护,采用透明加解密技术,不影响用户使用感官,受保护数据脱离安全环境后,将无法启用,极大的做到了数据隐秘防护。

  驱动级加密技术可以全程管理数据使用,控制文件的使用时长、打印等操作,还能做到指定授权。不仅保护数据不被窃取,还能保证数据的正常使用。

  驱动级加密技术给用户数据带来了足够的安全防护,却也造成了一些便利性问题。这项技术在加密时只针对这类型文件全部加密,不能分辨不需要安全防护的文件。这给个人用户的私人文件使用,带来了一些困扰。

  2.4.3 实现的文档保护结果。

  (1) 加密指定程序生成的文档。

  强制加密管理员指定的文档类型,该过程透明化,后台处理,用户不会察觉,也不会受到影响。但是,用户需联网(即能连接到文档加密服务器)才能访问这些加密文件,同时还需要管理员的授权。

  (2) 泄密控制。

  可以限制会造成泄密的操作,比如:打印和复制等,对该类操作进行警告提醒,防止无意或有意窃取机密。

  (3) 审批管理管理员可以有审批权限,指定某加密文档可以被离线外发。用户在进行该类操作时,需要向管理员提交申请,管理员可以根据实际情况进行同意和拒绝操作。

  (4) 离线文档管理。

  加密文档可以制作成离线格式,即不在安全环境下也可以查看。这需要管理员权限操作,限制离线时间和离线时可以进行操作类型,如打印、修改、截图等。用户申请离线文件时,需要注明使用要求和使用期限,方能将文件拷贝走。

  (5) 外发文档管理。

  外发文档需要经过管理员审核制作,与安全环境下阅读的文档一样,受加密保护和操作限制。只有内部人员可以阅读该外发文档加密的内容,且不需要安装客户端。这类文档可以增加口令或者验证码来提高安全级别。

  (6) 用户/鉴权。

  采用多重验证管理方式,用户可以使用USB-KEY进行身份认证,或者使用个人密码进行身份认证,两种模式视前期安全信息登记情况决定。

  (7) 审计管理。

  客户端和Web浏览器都可以对加密文档进行常规操作,管理员可以轻松对所有文档进行审计管理。

  (8) 自我保护。

  系统自带保护系统,保护客户端不会被攻击破解,保持在安全工作状态。即便客户端被破解,加密文件也无法被读取或者破坏。

返回本篇论文导航
相关内容推荐
相关标签:防火墙技术论文
返回:计算机网络论文