网络安全体系结构

网络安全体系结构（精选十篇）

网络安全体系结构 篇1

1 网络安全体系的结构

对网络安全体系结构的设计主要有四个基本步骤:定义网络安全策略、分析网络安全需求、网络安全设计和网络安全实现。这就需要先以高级安全策略和控制为依据, 将安全规范进行形式化处理, 从而设计并实现系统中的执行机制。

1.1 定义网络安全策略

定义网络安全策略指的是详细描述网络安全策略, 这是为了将支持和管理提供给网络安全。要结合其他领域来考虑网络安全系统, 例如社会机制、通信安全、操作安全、人员安全和物理安全。要以向导手册ISO/IEC为依据来分析企业的风险, 最后产生的网络安全和控制文档是由自然语言描述的, 也就是所谓的高级安全策略。

1.2 分析网络安全需求

网络安全需求的分析是对高级安全策略进行的形式描述, 并得到更高形式的安全策略。这种做法的优点在于对策略之间的冲突进行检查, 并将自然语言对中高级策略比较含糊的描述消除。

2 网络安全体系结构的设计

网络安全体系结构的设计目标在于转换安全系统模型中的中高级安全策略, 设计相应的执行机制。网络安全体系结构的设计又包括安全策略的设计和体系结构的设计与实现。

2.1 设计网络安全体系结构

以上一步的安全需求为基础, 有针对性的安全体系结构构建起来, 对网络系统安全进行有力的保障。设计网络安全体系结构的目的在于将网络安全系统的全面结构建立起来, 这就需要一种技术能够将组件提出来并进行构建。在体系结构中各层进行安全的逻辑分配时, 要考虑全面的安全需求以及OSI参考模型中的层级之间的依赖性。

网络安全体系结构包括网络安全层、辅助网络安全层、安全应用层。网络安全层是将OSI模型中前三层的安全功能提供出来, 包括传输层、数据链路层和物理层。辅助网络安全层的主要作用是将OSI模型中四至七层的安全功能提供出来, 也就是提供网络层至应用层的安全功能, 并增加网络安全层的安全。安全应用层的功能在于将OSI模型中第七层的安全提供出来, 也就是应用层, 保障存储平台和服务器的安全。只在网络安全层上进行VLANs和访问列表的操作。可以在辅助网络安全层或网络安全层上进行防火墙操作, 在应用安全层或网络辅助层实现SSL。安全体系中可以映射普通的安全技术。

2.2 设计与实现网络安全策略

在网络安全体系结构的设计中, 网络安全策略的设计与实现属于第二步。设计与实现网络安全策略的目的就是定义一套设计级安全策略, 作为一种框架底层的抽象策略。这种网络安全策略设计与实现接近于技术执行。在计算机网络配置中, 部门和组织经常变化, 从而对计算机网络提出不同的安全需求。因此网络安全具有动态性, 要经常根据需要调整组织的安全策略, 企业需要进行适当的设计, 并对安全策略进行执行, 这是一个过程, 也是一个现存的文档。企业最新的需求服务和基础组织都在其升级、实现和执行的过程中得到反映。这就要求安全策略要能够识别资源中的风险, 提出相应的方法来缓解威胁。要对每个用户和组可以访问的资源进行定义, 包括对审计跟踪的用户进行定义, 并帮助用户发现并识别侵害, 对侵害进行响应。

所有的安全组件的领域都应该在安全策略的管理范围之内, 例如认证技术、路由器、访问列表、IDS和防火墙等, 从而构建网络安全策略管理的实现模型。网络安全策略管理的实现模型以IETF安全体系框架中的RFC2753策略管理为基础, 在整个网络中都要执行该模型的策略管理, 例如网络安全层、辅助网络安全层和应用安全层等, 其适合所有的应用和用户。

策略管理功能包括三个方面:策略实现点、策略决定点和策略仓库。网络目录中的一切策略信息都存储在策略仓库中, 能够对服务、计算机、应用和网络用户进行描述, 并在专用数据库上进行执行。

策略服务器或策略决定点则是对网络策略进行抽象, 使其成为策略控制信息, 向策略执行点进行传递。策略实现点则是接受PAPs中的策略, 作为安全或网络设备。公共开放策略服务则是对以TCP为基础的协议进行应答的简单请求, 能够交换PEPs和PDP之间的策略信息。

3 实现网络安全

实现网络安全主要靠一些实现机制。通过安全体系结构中工作站和服务器上运行的网络安全管理, 利用网络辅助级和网络级的安全来使应用级进行安全的实现。由特殊的用户作为网络操作者, 这些主体拥有严格的授权程序和认证, 其具有更大的功能权限和访问授权, 因此必须保障他们行为和访问的安全, 只有这样才能对网络的存活能力、性能额配置进行保护。网络的管理系统越集中, 企业越开放, 其对安全管理过程的安全需求就越高。

网络安全的实现机制主要有反病毒保护、主机加固、入侵监测、VLANs、防火墙、安全远程访问、加密、网络操作授权、网络操作认真以及安全行为记录等领域。用户和管理员的行为会被安全行为记录跟踪, 网络操作者则对口令的执行和集中管理进行认证。

结语

网络安全体系结构的设计与实现关系着网络用户的使用安全, 对于计算机网络的健康发展有着重要的影响。本文对网络安全体系结构进行了简要的介绍, 并对网络安全体系结构的设计与网络安全体系结构的实现进行了介绍, 必须结合网络安全的实现机制、安全策略的管理和安全体系的结构, 推动网络安全实现机制的构建, 这也是计算机网络发展的必然要求。

摘要：在网络建设和普及的过程中, 网络安全体系结构的设计和实现关系重大。只有设计并实现完善的网络安全体系结构, 才能推动计算机网络技术的继续发展, 拓宽计算机网络的使用领域。本文对网络安全体系结构的框架进行了简要的介绍, 并分析了网络安全体系结构的设计与实现。

关键词：网络安全体系结构,设计,实现

参考文献

[1]赵中营, 徐佩锋.网络安全技术及其缺陷[J].计算机光盘软件与应用, 2013 (17) .

[2]韩海波.“一网双平面”—一种新的广域骨干网络架构[J].计算机系统应用, 2013 (08) .

网络体系结构 篇2

是指通信系统的整体设计，它为网络硬件、软件、协议、存取控制和拓扑提供标准，它广泛采用的是国际标准化组织(ISO)在1979年提出的开放系统互连(OSI-OpenSystemInterconnection)的参考模型，

OSI参考模型用物理层、数据链路层、网络层、传送层、对话层、表示层和应用层七个层次描述网络的结构，它的规范对所有的厂商是开放的，具有知道国际网络结构和开放系统走向的作用。它直接影响总线、接口和网络的性能。目前常见的网络体系结构有FDDI、以太网、令牌环网和快速以太网等。从网络互连的角度看，网络体系结构的关键要素是协议和拓扑。

网络安全体系结构 篇3

[关键词]计算机网络；实体安全体系；结构分析

[中图分类号]F224—39 [文献标识码]A [文章编号]1672-5158（2013）05-0035-01

1引言

在现在的社会，计算机网络日益发展，信息技术不断提高，综合的计算机网络系统也在逐渐完善，这样也为广大网络用户提供了很多的资源信息和各式各样的人眭化服务。随着网络经济和信息时代的发展，计算机网络已经成为一个无处不有、无所不用的工具。文化、经济、军事以及社会活动中计算机网络应用越来越广泛。在不断满足人们需求的同时，计算机网络也随之面临着很多安全方面的问题，计算机网络中信息的安全性和网络的可靠性成为世界各国共同关注的焦点。计算机网络中的安全体系结构是从整体角度考虑，能给解决计算机网络中的安全问题提供重要的理论依据。由于其涉及到用户的个人财产和隐私问题，因此更要加强对计算机网络的安全保护工作，并将其作为发展计算机网络的首要任务。安全体系结构和模型是计算机网络中的安全概念和安全系统设计以及理解，实现和验证的重要内容，但是目前许多的网络安全机构或模型都只是对网络环境下的系统和信息资源的保护，并不是很注重对网络的自身的保护，仅仅将网络作为一个透明的不安全信道对待，这是网络的管理者运行者所要注重和解决的一个重要问题。

2计算机实体体系结构

计算机网络的实体，不仅是各类数据的加工再处理中心，还是信息传输媒介和控制中心，作为网络系统的关键和物质基础，其主要由网络系统软件和硬件，数据资源信息组成，这就意味着保护计算机网络实体安全，也就是对网络的软件，数据和硬件进行保护，还有对其网络环境和存储介质进行保护。计算机网络实体安全体系的主要内容包括对硬件，运行和信息的安全保护。

2.1信息安全

信息安全就是对计算机网络中的信息资源进行保护，以防止其由于故意或非故意的非授权的更改破坏或者泄露而让信息被其他非法系统识别控制，计算机信息安全管理就是对信息的安全性，完整性以及可靠性和可控性方面加大管理和保护力度。

2.2硬件安全

硬件安全即在硬件资源方面对计算机网络采取的保护措施，以通过硬件来达到保护计算机网络安全的目的，是比软件保护更为可靠的保护办法，也是整个网络安全系统的防护技术中最为重要的物质保障和组成部分。由于网络系统有着不间断的运行特点，因此对系统硬件的质量要求更高，尤其是较为重要的系统和数据，更要加强对其的保护，硬件安全是计算机网络安全的重要保障。

2.3运行安全

运行安全就是为网络系统的长期安全运行做好防范保护措施，已达到对计算机信息处理过程的安全保护，不过由于种种因素使得运行安全管理往往在计算机网络安全的维护过程中容易被忽略，不过由于其在网络安全的保护范围中算是较为重要的一部。因此，加强对系统运行的风险分析和对网络系统的风险进行审计跟踪等是非常必要的。

3网络安全体系结构

由于计算机网络的开放性、互联性、广义的多样性和终端分布不均匀性，致使网络信息系统易受黑客和病毒等不轨行为攻击。所以，设置网络信息安全和保密是十分重要的问题。但对整个网络系统来说，拥有基本的安全措施还不够，还应该有一个完整的网络信息安全体系结构来保证，才能使系统满足开放环境下的网络信息安全可靠地运行。

3.1网络安全体系结构框架

安全控制，安全服务以及协调等是网络安全的层次结构的主要涉及内容，对信息的实体对象，用户和平台，接口模块互连设备以及传输和存储工作等是网络信息系统所管理和控制的范畴，一般其安全控制单元层析结构为：1物理安全性。即以物理实体层次上对信息的保护工作。2网络安全性。即能够提供各种安全访问控制、安全连接以及安全传输信息等的安全的网络环境。3系统安全性。即网络系统对外界病毒等干扰的抵御能力。4协议层次。对应开放互联模型的网络信息安全体系结构中的协议层次，加密工作和鉴别认证工作是这个层次发展较好的两个方面。

3.2网络安全体系结构分析

OSI（Open System Intercom～ection），即开放式系统互联，将计算机网络分为物理层、网络层、会话层、链路层、传输层，表示层以及应用层七个功能层，这之间既有联系又有各自特点，因此数据的交换各自实质是就是对数据先进性打包上传服务，再进行解包下载服务这一流程。协议就是指对等层上的实体问的联络所要遵循的规则。OSI的开放式以及本身网络协议自带的安全漏洞等直接成为了计算机网络质量安全危害的主要来源之一。下表1是网络安全体系结构NSA对其中存在的威胁所对应的集中安全服务和机制。

（表1）中的安全服务和机制不是按照一一对应的原则排列的，安全服务可以任意采取一种或多种安全机制。且OSI的网络模型的安全服务是特定层选择性提供，安全机制只针对相应安全服务来提供。这也就说明安全服务和网络分层之间有着较为复杂的关系。

4小结

总之，计算机网络的实体安全体系结构复杂多样，在某些程度上可以保证计算机网络系统正常运行。但是，当今社会，科学技术的发展速度极快，计算机网络安全要随时随地的保持高度警惕，相关技术人员要不断创新研发以确保计算机网络系统的安全。

参考文献

[1]石志国等.计算机网络安全教程.清华大学出版社[M]2007，1113

[2]张基温.信息安全实验与实践教程.电子工业出版社[M]2005，4748

[3]蒋春芳，岳超源，陈太一.信息系统安全体系结构的有关问题研究[J].计算机工程与应用，2004，（1）：23-25

网络安全体系结构 篇4

关键词：赛博空间,GENI,FIND,骨干CN,客户端CN,混合CN

1 赛搏空间网络构建的意义

赛博空间 (Cyberspace) 作为美国国家战略的重要核心支撑技术, 被列入21世纪最有前途的应用技术之一, 其核心就是使信息从平面、线式交互, 发展为大纵深的赛博空间立体交互。赛博空间是一个极度分散的区域, 特点是日益增加的全球联接、无所不在和机动性。通过赛博空间, 可以以较低成本, 迅速对兵力进行部署及远程控制。美国国防部定义赛博空间为作战中“以使用电子和电磁频谱来存储、修改, 以及通过网络系统和一体化物理基础设施交换数据为特征的领域”。国家安全不可避免地同赛博空间领域紧密联系, 因而冲突不再局限于地理或时间限制。美国国防部认为赛博空间是一个类似于领陆、领海、领空和大气空间一样的全球领域, 美国的军队必须可以在这一领域内畅通无阻地展开军事行动, 并且有能力制止敌对方有效地利用这种赛博空间能力。

2005年和2006年, 美国国家科学基金会分别启动了GENI (Global Environment for Network Innovation) 和FIND (Future Internet Network Design) 计划, 旨在从赛博空间基本设计原则和体系结构上寻求解决方案。GENI计划认为, 未来赛博空间应该具备强生存性, 能在出现危机时提供服务, 能在遭受攻击或者局部故障情况下保证网络的可用性。FIND计划试图从底层对赛博空间体系结构进行设计, 并认为安全性和鲁棒性是设计的基本要求。

除了美国以外, 欧洲和日本也对赛博空间研究给予了高度重视, 如欧盟的FIRE项目、日本的AKARI项目等。

近年来, 在技术层面上, 斯坦福大学Martin Casado教授为首的团队在2008年提出了SANE (Scanner Access Now Easy) 结构, 集中管理全网实体的安全认证、接入控制等。2009年, 斯坦福大学与加州大学伯克利分校合作提出了Ethane结构, 对实体进行安全绑定和认证, 维护全局安全策略。2009年, David Clark指出赛博空间安全体系应包括一个完善的信任机制, 并将信任关系转化为信任链, 最终形成一个信任网络空间。基于此构想, 2010年美国国家研究委员会提出了信息空间信任 (Cyber Trust) 研究建议。此外, 由Compaq等公司牵头组织的可信计算平台组 (TCG) 提出了无线传感网可信计算概念, 借助信任链思想以厂商硬件为信任根, 层层往上信任。

我国各界人士也应该充分认识到赛博空间易于融入到网络战、信息战、电子战、空间战、指挥控制战、C4ISR等领域, 是超越了传统陆、海、空、天四维作战空间的第五维作战空间, 能提高精确交战和态势感知等能力, 因此, 迫切需要突破网络构架、安全体系及关键技术。

2 赛搏空间网络安全需求

赛博空间网络是有移动节点和固定节点通过无线链路而形成的多跳的立体网络。同传统的无线网络相比, 赛博空间网络具有更强的自适应性、可靠性与扩张性。赛博空间网络根据不同的通信功能将出现的所有网络节点分为四类:

①Cyberspace Point (CP) , 指在赛博空间网络中使用IEEE 802.11 MAC和PHY协议进行无线通信的节点。该类节点支持自动拓扑、路由的自动发现、数据包的转发等功能。

②Cyberspace AP (CAP) , 指支持访问接入点 (AP) 功能的CP。

③具有Portal口的CP/CAP (CPP) , 指链接赛博空间和其他类型的网络并转发通信的CP/MAP节点。这类节点具有Portal功能, 通过这类节点, 内部的节点可以与外部网络进行通信。

④简单客户端 (STA) , 指IEEE802.11传统的客户端。

根据节点的功能可以将赛博空间 (Cyberspace Network, CN) 分为骨干CN、客户端CN和混合CN三种结构。

骨干CN的结构如图1所示, 其中点线和划线分别表示的是无线链路和有线链路。这种CN由赛博空间路由器与连赛博空间路由器的网关/网桥功能与现有的无线网络融合成为可能。有以太网接口的传统客户端可以通过以太网链路与赛博空间路由器连接;对于那些与赛博空间路由器使用相同无线电技术的传统客户端, 他们可以直接与赛博空间路由器通信。如果使用不相容的无线电技术, 客户端必须通过与具有以太网连接的基站——赛博空间路由器进行通信。骨干CN是最常用的类型。一般来说, 路由器上使用两种无线电技术, 分别对应骨干通信和用户通信。赛博空间骨干通信可以通过使用包括定向天线在内的远距离通信技术。

客户端CN提供了客户端设备之间的对等网络。在这种架构类型下, 客户端节点构成了实际的网络以完成路由和配置功能, 同时为客户端提供终端接入与路由转发应用。因此, 在这种网络中不需要赛博空间路由器。客户端CN如图2所示, 在客户端CN中, 发向网内节点的数据包通过多个节点转发到目的地。客户端CN通常使用同一种无线电技术的设备。与骨干CN相比, 客户端CN增加了对终端用户设备的要求, 如客户端CN中的终端用户设备必须有路由器和自配置等功能。

混合CN是骨干CN和客户CN技术的结合, 如图3所示。赛博空间客户端在与其他赛博空间客户端进行直接赛博空间通信的同时, 可以通过赛博空间路由器访问网络。而骨干CN提供了与其他网络 (如Internet、Wi-Fi、Wi MAX、蜂窝网、传感器网络等) 的互联;客户端的路由能力在CN中提供了更好的连通性和更大的覆盖范围。从目前的技术发展趋势看, 骨干CN架构将是最有应用前景的方案。

从C N网络的安全保障机制分析, IEEE 802.11i安全标准无法适用赛博空间网络中CP/CPP之间的安全认证。赛博空间网络的安全认证需求如图4所示, CP/CPP之间是对等关系, 而IEEE 802.11i定义在申请者和认证者之间, 且802.11i是一次单向认知, 即AP认证STA即可, 而不需要STA认证AP, 但是在IEEE802.11s中需要CP之间的双向认证。此外, 当一个STA接入到赛博空间网络的过程中, 在于赛博空间网内某个可信的MO做完第一次认证之后, 该STA已是可信实体, 与其他CP的多次认证实属冗余。应该采用一种更为有效的机制。

由于IEEE 802.11技术的多样性与不同应用场景的安全需求差异, 扩种IEEE 802.11i安全接入体系结构, 建立一个比较完善、融合不同应用赛博空间场景和不同移动终端设备、统一的安全技术体系结构变得非常必要。

3 安全体系结构设计方法

赛博空间由通过无线/有限直接接入转向混合多源多跳接入, 导致相应的安全需求和安全防护体系结构都要做出相应的变化。下面从无线局域网安全防护体系的演化方面进行讨论, 给出无线局域网安全体系的框架设计研究思路。

安全体系结构是由安全技术极其配置所构成的安全性集中解决方案。安全体系结构研究分为三个层次, 即安全体系结构的规划和设计、安全关键技术、安全操作与技术支持等, 同时也需要考虑未来可能的技术发展趋势对安全体系结构的影响等。赛博空间相关的研究内容及内容之间的关系如图5所示, 其中, 三角形反映的是赛博空间安全体系结构的抽象程度, 由下而上反映的抽象程度由低向高的变化过程。

4 结束语

赛博空间是一个新生的事物, 目前相关的理论研究和作战实践还处于逐步发展的阶段。赛博空间网络是赛博空间作战的重要环节, 涉及到新型作战样式下指挥控制机理、赛博空间作战力量建设及其作战运用等多个环节多层次因素。

尤其要指出的是赛博空间作为新型作战空间, 存在和传统物理空间的客观差异和融合需求问题, 赛博空间网络的设计和实际运用也同样也面临着很多问题。比如现有的各种网络在提供基本的传输能力 (分组转发) 方面具有高度的一致性, 然而网络的控制功能却分散在多个层面, 并且因其所采用的网络技术、通信策略甚至是具体的实现方式的不同而不同, 而对于赛博空间网络而言, 需要对协议层面和信息层面在逻辑上进行了分离, 而且对于赛博空间网络的各个部分则都有互相兼容。此外, 赛博空间安全体系结构面临着安全性、终端设备与无线网络的异构性等系列矛盾, 尤其是赛博空间与其他现有网络融合的安全要求, 迫切需要对赛博空间安全体系结构进行深入研究和设计, 以满足未来赛博空间发展的安全需要。

参考文献

[1]Anish Arora, Prabal Dutta, Sandp Bapat, et al.A Line in the Sand:a wireless Sensor-Network For Target Deteetion, Classifieation and Tracking.ComPuter Networks:The international Joumal of Distributed Informatique, 2004, vol.46 (5) :605-634.

[2]Luo Li qian, Abdelzaher Tarek F, He Tian, et al.Stankovic:Design and ComParison of Lightweight Group Management Strategies in EnviroSuite.In Distributed Computting in Sensor Systems (DCOSS’05) .2005, 155-172.

[3]JOSEPH H SCHERRER, WILLIAM.C GRUND.A Cy-berspace Command and ControlModel[M].AirUniversity Press, 2009.

[4]CHALRS CLUM.Cyberspace Policy Review:Assuring a Trus-ted and Resilient Information and Communications infra-structure[EB/OL].[2010-12-19].http://aupress.au.a.fmi.l

[5]KARMA GABRIELLE.CyberVision and CyberForceDevel-Opment[EB/OL].[2010-10-02].http://research.au.a.fmi.l

[6]Gaubatz Gunnar, Kaps Jens-Peter, zturk Erdineo, et al.State of the Art in public-Key Cryptography for Wireless Sensor Networks.Second IEEE hitemational Workshops on pervasive Computing and Cotnmunication security (persec2005) , 2005, 146-150.

[7]G Acs, L Butty’an, I vajda.The security proof of a Link-State Routing protocol for Wireless Sensor Networks.Mobile Adhoc and Sensor System (MASS) , 2007IEEE International Conference on Pisa, Italy2007.

[8]Ping Li, Ya-Ping Lin, wei-Ni Zeng.Search on Secunty in Senso Networks.Journal of Software, 2006, vol.17 (12) :2577-2588.

[9]王佳昊, 秦志光, 蓝天, 等.一种改进的无线传感器网络随机密钥预分配算法.电子科技大学学报 (自然科学版) , 2006, vol.35 (4) :710-713

[10]陈秀真, 郑庆华, 管晓宏, 林晨光.层次化网络安全威胁态势量化评估方法.软件学报.2006, 4 (17) :885一897.

[11]张宏, 贺也平, 石志国.基于周期时间限制的自主访问控制委托模型.计算机学报.2006, 8 (29) :1427一1437.

网络安全体系结构 篇5

空间Internet的安全体系结构

根据信息系统安全体系结构设计原则和方法,结合空间通信的特性,通过分析空间Internet的.安全威胁、安全需求、安全等级、安全策略和安全机制,提出了空间Internet的安全体系结构模型.

作 者：王剑 张权 唐朝京 Wang Jian Zhang Quan Tang Chaojing 作者单位：国防科学技术大学电子科学与工程学院,长沙,410073刊 名：中国空间科学技术 ISTIC PKU英文刊名：CHINESE SPACE SCIENCE AND TECHNOLOGY年，卷(期)：26(1)分类号：V4关键词：通信网 安全体系结构 空间 分析

IPV6的安全体系结构 篇6

摘要：

文章对IPv4协议安全方面的一些缺点进行了分析，讨论了OSI的网络安全体系结构，给出IPv6新的网络安全机制，详细描述了IPSec所提供的网络安全服务与实现原理，并对IPSec的两个安全协议——AH和ESP作了较深入的阐述。

关键词：

安全体系结构；IP版本6；IP安全标准；AH协议；ESP协议

ABSTRACT:

Based on the analysis of security deficiency in IPv4 protocol, and the discussion on the traditional network security architecture, the paper introduces a new kind of security architecture adopted by the IPv6 network, and then details the network security services provided by IPSec,and their implementation mechanism. Emphasis is put on two security protocols: AH (Authentication Header) and ESP (Encapsulating Security Payload).

KEY WORDS:

Security architecture; IPv6; IPSec standard; Authentication header protocol; Encapsulating security payload protocol

1 引言

目前风靡全球的Internet是建立在TCP/IP协议基础之上的。TCP/IP协议是DARPA(美国国防部高级研究规划局)为了实现异种网之间的互联，于1977年—1979年间推出的一组体系结构和协议规范。其最大的特点是开放性，而这一特点也是基于TCP/IP协议的Internet能够飞速发展的主要原因之一。遵循开放性原则的因特网，其最终理念是要在全世界范围内建立起一个技术共享、信息共享、人人平等、人人互助的虚拟网上社会。但现实社会的实际情况是：不同国家之间、不同企业之间以及不同个人之间存在利益的差别甚至对立，意识形态的多元化，以及在政治、军事、经济上存在激烈的竞争，这些因素都不可避免地要在互联网上体现出来，从而成为互联网上安全问题的根源。随着因特网在全球的迅速发展，电子商务在因特网上也随之展开，对因特网的安全问题也就提出了更高的要求。由于TCP/IP协议发展的初衷是遵循开放性的原则，在网络安全方面并没有作过多的考虑，使得现行TCP/IP协议体系结构本身就存在许多安全隐患[1,2]：

(1)IP地址假冒(IP Spoofing)[3,4]

一个IP数据包是否来自其真正的源地址，IP协议本身并不提供任何保障。从理论上讲，任意一台主机可以发出含有任意源地址的IP数据包。这样一来，基于IP地址标识的数据包事实上是不可信的，这就使得一些基于IP地址实现的访问控制技术失效；同时这个缺点也使得对网络攻击者的追查与取证变得较为困难，使得攻击者更加肆无忌惮。目前网络上的很多攻击如Syn Flooding，DOS/DDOS，SMURF等攻击都利用了这个缺陷，发起攻击。

(2)源路由攻击

源路由是IP数据包的一个选项，它可使IP数据包沿指定的路径从源地址到达目的地址。这一选项原本是用来测试某一特定网络的吞吐率，也可使数据包绕开出错网络。但与此同时，它一方面方便了假冒源IP地址的数据包到达目的地址，另一方面也使得入侵者能够绕开某些网络的安全措施，从对方没有预料到的路径到达目的地址。

(3)网络窃听

目前网络上传输的信息大部分为明文信息，特别是一些系统的登录密码，如大多数Unix系统目前仍缺省采用明文密码方式。这些敏感信息利用窃听工具很容易获得，而网络上的窃听工具又非常丰富，如Sniffer，Tcpdump，Snoop等。

为了解决这些问题，必须为网络系统增加安全服务，这些安全服务可概括为：数据完整性(Integrity)、数据私有性(Confidentiality)、认证(Authentication)、访问控制(Access Control)和不可否认性(Non-repudiation)。

国际标准化组织(ISO)制订的ISO 7498-2[5]提出了一个典型的传统网络安全体系结构(NSA)。该安全体系结构描述了一系列的安全服务及实现这些安全服务的机制，如表1所示。

由表1中可以看出，该体系结构将网络安全服务分布在从第1层到第7层的各个协议层中，实现起来既增大了系统资源开销，又会降低系统工作效率。实际上，大多数安全服务可以放在OSI(开放系统互连)模型的任何一层。由于计算机网络可划分为通信子网(1—3层)和资源子网(4—7层)，目前的技术发展趋势是IP over Everything和Everything over IP，IP层是连接通信子网与资源子网的核心环节，因此将安全服务集中在IP层实现最合适。同时在IP层实现安全服务要比在应用层上更加透明和彻底，可为IP层以上的所有应用提供安全服务，同时管理也比较统一和简单。

为了改善现有IPv4协议在安全等方面的不足，IETF的下一代网络协议(IPng)工作组于1994年9月提出了一个正式的草案“The Recommendation for the IP Next Generation Protocol”，1995年底确定了IPng协议规范，称为IP版本6(IPv6)。IPv6在IP层上实现了上述各种安全服务。

2 IPv6的安全机制

IETF在IPv6中提出了全新的网络安全体系结构，即IPSec标准。尽管IPSec是为IPv6设计的，但也可应用于IPv4中。

IPSec描述了新体系结构提供的安全服务及这些服务的实现机制。IPSec提供的安全服务包括：数据私有性、基于无连接的数据完整性、数据包来源认证、访问控制、抗数据重发攻击(Protection of Replay)以及一定程度上的数据流量私有性(Traffic Flow Confidentiality)等。这些安全服务是通过ESP(Encapsulating Security Payload)和AH(Authentication Header)这两个安全协议来实现的。同时，除安全协议外，还有一系列与IPSec相关的技术标准，如加密算法及实现数据完整性的Hash算法的规范、密钥的交换标准IKE(Internet Key Exchange)、安全关联(SA)等。

2.1 安全关联与安全关联数据库

安全关联是IPSec的基础，ESP和AH协议都要通过它来实现安全服务。安全关联是用来描述和实现连接安全的，可用三元组来标识：<安全参数索引(SPI)，安全协议，目的IP地址>，其中安全协议只能是ESP或AH中的一种。SA的工作方式分为两种：传输模式和隧道模式。传输模式用于两个主机间的连接，而隧道模式用于两个网关之间的连接。SA的安全功能体现在它所采用的安全协议：ESP或AH。由于每个SA只能提供ESP或AH中的一种服务，因此有时为了同时实现数据的私有性和完整性，对一个连接可能采用多个SA的组合来实现相应的安全。

安全关联数据库(SAD)用来存放安全关联，每一安全关联都在安全关联数据库中有唯一的记录，而每个安全关联可通过SPI、目的IP地址和安全协议来定位。除了这3个域外，安全关联数据库中的记录主要还包括以下与安全处理相关的内容：包序列号、AH采用的算法及密钥、ESP采用的算法及密钥、安全关联的生命周期等，其中，包序列号用来防止数据包的重发攻击。

2.2 安全策略数据库

安全策略数据库(SPD)用来存放和管理用户的安全策略，对所有进出IP包的处理都需要查询安全策略数据库，以确定下一步的具体处理方法。安全策略库由安全策略的有序列表组成，类似于包过滤防火墙的过滤规则。每条策略由IP包的一些属性如源IP地址、目的IP地址、源端口号、目的端口号，以及一些命名字符串(如用户名、域名)和安全关联等组成，通常这些属性也用来在安全策略数据库中定位对相应IP包进行处理的安全策略。

2.3 IPSec的工作原理

IPSec既可以在网关上实现，也可以在主机上实现。无论是哪种情况，当IP数据包进入或离开支持IPSec的接口时，IPSec模块将根据安全策略库决定对该IP包进行何种处理(见图1)。对IP包的处理方式分为3种：抛弃、旁路、根据安全关联进行IPSec处理。因此利用安全策略数据库和这种处理方式，可以很容易地实现类似于IPv4中防火墙的访问控制安全。

当某接口收到一IP包后，根据该IP包的属性及制订的一些安全设置，在安全关联数据库中寻找相应的安全关联，对该IP包进行解密等处理，然后在安全策略库中寻找相应的安全策略。如果不存在与该IP包相对应的安全策略，则将该IP包抛弃并作日志。在找到相应的安全策略后，如果策略规定要抛弃该包，则将该IP包抛弃并作好日志；如果策略规定要旁路该IP包，则不对该IP包作更多处理，让它通过；如果策略说明要对该IP包进行IPSec处理，则该策略里应包含对该IP包进行处理的一个或多个安全关联指针，通过安全关联指针可以在安全关联数据库中找到相应的安全关联，如果该安全关联与刚才找到的安全关联不一致的话，也要将该IP包抛弃。

在IPv6中，对进入的IP包与出去的IP包的处理是有所区别的，比如对安全关联的定位、寻找的方法是不相同的。当接口收到某IP包后，从该IP包中可以提取出安全关联索引、目的IP地址和安全协议，根据该3项内容即可在本地的安全关联数据库中唯一地确定出一个安全关联，从而作进一步的处理；在发送时，如根据安全策略需对该IP包进行IPSec处理，IPSec模块将根据该IP包的属性，在安全策略库中找到相应的对该IP包进行处理的一个安全关联(也可能是多个)，并将该安全关联的索引号填入待发送的IP包中，以提供给接收方用来确定相应的安全关联。

2.4 IP认证协议——AH

AH主要提供IP包的数据完整性服务，防止数据在传输过程中被第3方篡改，同时AH也提供对IP包来源的认证，以防止数据重发攻击。AH不仅对IP包的包头进行认证，而且还要对IP包的内容进行认证，但由于IP包中的部分域如包存活周期(IPv6中称为“跳数”，即IPv4中的TTL)、校验等是要变化的，因此AH只对在传输过程中不变的内容或可以预测变化的内容进行认证。

IPv6对IPv4的包格式进行了简化，并取消了原IP包头中的选择项域，代之以单独的扩展头，在IPv6中目前已定义了6种扩展头，而AH和ESP是其中的两种。这些扩展头紧随在IPv6的头部后面，并在上层协议数据(TCP数据)之前，当有多个扩展头同时存在时，以一定的顺序排列，构成一个扩展头列表，每一个扩展头的类型由头标记(Next Header)来标识，如图2所示。

AH作为IPv6中的一个扩展头，其格式如图3所示：头标记用来标记下一个扩展头的类型；长度域表示认证数据的长度；保留域在计算认证数据时，必须设为0；安全参数索引用来标识安全关联；序列号域用来防止IP包的重发攻击，收发双方同时保留一个序列号计数器，每收发一个IP包，序列号将递增1，在递增到232后复位，接收方可以根据接收到的IP包序列号来判断该IP包是否为重发包，若是则将其抛弃；认证数据域的长度可变，并由长度域来指明，认证数据是通过将传输过程中变化的域和认证数据域置0后，对其余所有数据进行完整性计算后得到的，目前计算认证数据的算法有MD5算法和SHA-1算法等。

2.5 IP加密安全协议

ESP作为IPv6中的一种扩展头，提供IP包的数据加密功能，此外也提供数据来源认证、基于无连接的数据包完整性、防止重发攻击以及数据流量的私有性等功能。其中，ESP提供的数据包完整性与AH提供的数据包完整性有所区别，AH提供对整个IP包，包括包头和包内容的完整性认证，而ESP提供的完整性则只关心IP包的内容部分。为了防止网络上的黑客利用侦听器来记录和分析发生在特定IP地址之间的流量情况，从中找出一些与安全有关的蛛丝马迹并进行攻击，ESP可以提供数据流量私有性功能，但只是在隧道模式下才能实现。因为在隧道模式下，黑客只能侦听到发生在隧道两端的IPv6网关之间的流量，而内部的整个IP包都已被加密，黑客无法知道该IP包是属于那个连接的。图4为采用ESP加密前后的IPv6包结构。在IPv6中，有的扩展头位于ESP前面，而有的扩展头则位于ESP后面，图4只考虑了位于ESP前面时的情况。

图5是ESP包的格式。其中，安全参数索引用来标识安全关联，说明ESP采用的安全参数，如密钥、加密算法等，接收方在收到ESP包后，将根据安全参数索引、目的地址及安全协议来定位处理该IP包的安全关联，取得安全参数，然后将ESP包解密；序列号用来防止包的重发攻击。在ESP中，目前要求至少支持DES-CBC加密算法。

2.6 密钥交换协议(IKE)

在IPSec中进行密钥交换有两种方法：一种是使用IKE协议进行自动地密钥交换，一种是手工模式。手工模式只适用于小规模的或者用硬件实现的IPSec，大多数情况下都需要使用IKE协议通过公用网络进行密钥交换。

IKE的功能包括加密算法和密钥协商、密钥生成、交换及管理。IKE是ISAKMP[6]，Okaley[7]和SKEME 3个协议揉和而成的一个协议。ISAKMP协议只规定了一个认证和密钥交换的框架，与具体的密钥交换方法相独立。Okaley和SKEME协议则描述了具体的密钥交换方法，其中Okaley协议给出了一系列的密钥交换过程，而SKEME协议则提供了一种通用的密钥交换技术。

3 结束语

IPv6利用新的网络安全体系结构IPSec，通过AH和ESP两个安全协议分别为IP协议提供了基于无连接的数据完整性和数据私有性，加强了IP协议的安全性，克服了原有IPv4协议在安全方面的不足。

本文研究课题是国家“863”课题“IPv6示范系统”的一部分，由清华大学、东北大学等几所大学共同承担，已于2000年底完成。通过该项目的建设，已在CERNET的几个地区中心建立了纯IPv6的试验网络，并通过IPv4隧道实现了互连互通。东北大学在该项目中负责IPv6的安全部分，我们根据IPSec标准，设计与实现了文中描述的AH,ESP协议与简化的密钥交换协议，并在CERNET IPv6示范网上进行了测试。

目前，国际上一些主要网络和通信公司、研究机构也展开了对IPv6的研究，如法国INRIA、日本KAME、美国NRL等研究机构，IBM,Sun,微软,Trumpet等公司分别研制开发出了基于不同平台上的IPv6系统软件与应用软件，思科、北电、诺基亚等硬件厂商目前也已经开发出了IPv6路由器产品。

从Internet发展角度看，IPv6技术的关键在于实用化，在于研究与开发体现IPv6优越性的特色应用。基于IPv6的安全特色实现的网络安全应用包括防火墙和VPN（虚拟专用网络）等。由于IPSec是基于安全策略库来实现安全需求的，因此可以容易地基于安全策略将这些不同的安全应用集成在一起，实现具有整体安全性的网络安全系统。□

参考文献

1 Soh B C, Young S. Network system and World Wide Web security. Computer Communication, 1997,20(2):1431—1436

2 Jason P, Rudin H. Computer Network Security. Computer Network, 1999,31(1):785—786

3 Tanembuam A S. Computer networks. 3rd ed. New York: Prentice-Hall, 1996

4 Harris B, Hunt R.TCP/IP security threats and attack methods. Computer Communications, 1999,(20):885—897

5 ISO DIS 7498-2.ISO Information Processing Systems: Open System Interconnection Reference Model, Part 2: Security Architecture, Geneva, 1988

6 Maughan D, Schertler M, Schneider M, et al. Internet Security Association and Key Management Protocol (ISAKMP). RFC 2408, 1998

7 Orman H. The OKALEY Key Determination Protocol. RFC 2412, 1998

(收稿日期：2002-01-17)

作者简介

李信满，CERNET东北地区中心副主任，东北大学软件中心计算机应用专业博士生。主要研究领域为网络安全。曾承担与完成多项国家“863”课题，内容涉及防火墙、VPN、网络入侵检测系统、IPv6等网络安全技术。

计算机网络的信息安全体系结构研究 篇7

在使用计算机和计算机网络的过程中, 存在信息泄露、偷窃和暴漏的问题, 给社会、企业和个人的发展带来了严重的影响。计算机技术的使用其中最为主要的目的就是实现信息的共享, 在网络技术的管理中存在制度不完善和技术漏洞的问题, 这就为不法分子和黑客人员提供了破解机会, 给计算机信息安全的保护带来了一系列的问题。现在的互联网比较的开放, 人们的安全意识还比较淡薄, 在使用计算机网络的过程中, 其实很多的信息已经暴露出来, 并且很多的信息是可以很简单的获得的, 信息的不安全诱因随时都可能威胁到企业或者个人。计算机的基本操作是非常简单的, 但是其他的操作也存在一定的难题, 但是不可能每一个社会公民都能非常熟练地进行计算机网络操作, 在复杂的操作系统背后也存在信息的不安全问题。计算机资源存在一定的共享性, 在使用计算机网络的时候, 网络的安全边界有可能会受到损伤, 严重的时候也会出现信息不安全的情况。在使用计算机网络的时候, 也存在操作路径的不确定性问题。在内部资料进行传送的过程中, 从启发点到终结点当中会流经多个路径, 或者说会被多个渠道所接收, 这样因此中间节点的可靠性很难得到保证。

二、建构计算机网络技术信息安全的结构形式探究

计算机技术已经得到了一定的普及, 大量的信息在计算机网络得到共享, 新形势下确保计算机信息的安全已经成为社会性的问题。随着计算机互联网的广泛使用, 信息的安全保障势在必行, 为了有效提升计算机信息系统和计算机网络的抗攻击性, 提升数据信息的不可确认性、可控性、完整性和可用性, 就需要建构信息安全保障体系。比如安全监测软件、杀毒软件、计算机防火墙等, 这样计算机本身也会得到保护, 也会减少外来的黑客攻击等。目前比较成熟的信息安全体系建设如WPDRRC模型, 这也是确保计算机网络技术信息安全的有效结构。

(一) 使用预防警示。在使用计算机网络的过程中, 信息量是比较大的, 并且人们的计算机技术参差不齐, 对信息进行安全提醒是非常必要的, 可以有效的预防信息的泄露, 为保障信息的安全提供必要的提醒、预防和评估。

(二) PKI和防火墙技术。这种技术的主要作用就是提升计算机网络的安全性能, 实现计算机信息的安全, 它能主动的防御, 对创建的新机制上予以应用, 能自动的检查网络的安全情况, 反馈网络的安全性能, 在提升网络安全和网络防御能力上主要使用了保护装置, 比如安装PKI和防火墙。

(三) 使用入侵检测。一旦计算机网络信息受到攻击, 要尽快地使用相关的技术检测出来, 对主机的IDS和网络进行应用, 将技术性的隐蔽应用到检测系统当中, 这样方能有效地起到防御的功能, 对入侵者进行有效的抵制, 并做好相关的监测和管理。在对攻击进行防止的时候, 检测是非常重要的一个环节。

(四) 响应系统的构建。计算机网络的信息受到攻击的时候, 要有所响应, 做到迅速有效。做好相关的取证、激活反击系统, 查找入侵源。

(五) 恢复和反击。防范体系构建的多么完善, 都可能存在一定的纰漏。对信息的内容利用完善的备份机制进行保障的时候, 有一定的恢复功能。可以实现对已经破坏的信息进行有效的管理和补修。采用有效的计算机技术, 可以实现对入侵的依据、线索提供出来, 通过有效的法律手段使用在入侵者身上, 并对它进行有力有效的打击。由于证据在数字形式的影响下很难获得, 一定要对证据保全、取证等技术进行发展与应用, 在破译、追踪、恢复、修复的方式上进行使用。

计算机网络信息的安全需要依靠完善的制度和高超的基础作为支撑, 但是更离不开计算机工作人员, 他们才是确保计算机信息技术和信息安全的核心要素, 人是计算机网络信息技术安全体系构建的有机组成部分, 为此还需要提升计算机使用人员和专业护理人员的综合素质, 这样才能从根本上提升网络信息的安全。

摘要：信息化社会, 互联网和计算机获得了发展, 并取得了巨大的成就。计算机网络极大的促进了各个领域的发展, 但是它所承载的信息量不可估算, 在计算机技术不断发展的今天, 信息安全已经成为困扰计算机网络发展的重要问题。在计算机应用的过程中, 牵扯到的资料和信息是爆炸式的, 常常会出现泄露和窃取的情况, 给国家、社会、企业和个人带来了巨大的困扰和麻烦。本文中, 笔者针对计算机网络的信息安全问题进行了探究, 并对信息安全的体系构建提出了自己的建议, 希望能对计算机网络信息安全的保护起到一定的促进作用。

关键词：计算机网络,信息安全,结构体系建设,健康发展

参考文献

安全策略系统体系结构 篇8

1 基于MA安全策略系统体系的提出

移动代理 (MA, Mobile Agent) 技术为获得这一目标提供了一种有希望的手段。与传统分布式客户—服务器模式 (如CORBA) 相比, 它具有更大的灵活性、适应性和自动化能力, 且由于其移动性、多样性和智能性, 可以解决当前安全策略管理中的许多固有问题[1,2]。这种对高级安全策略描述自动进行解释执行的智能性正是当前基于策略的网络安全管理所缺乏的。为此, 笔者在IETF和其他研究人员关于安全策略系统研究工作的基础上[3], 提出了一个基于移动代理 (Mobile Agent, MA) 的安全策略系统体系结构, 它将移动代理技术和基于策略的网络管理技术结合在一起, 通过安全策略的动态、灵活、可扩展管理特性, 结合移动代理的可移动性、多样性和自动化能力, 为异质网络组件构成的分布式网络环境的安全管理提供了一种具有广阔前景的商业工具和手段。

2 基于MA的安全策略系统体系结构

笔者提出的基于MA安全策略系统体系结构见图1。该体系结构的各个组件按照功能组织为层次结构, 具体功能描述如下。

1) 表示层:提供图形化的用户接口, 作为用户指定、配置和管理安全策略的中央控制台。

2) 策略层:对用户定义的和来自其他安全域的安全策略进行顺序检查、去相关、冲突检测和策略调和, 并通过策略操纵模块与访问层的交互, 实现对安全策略数据库或目录库的存取和增删改等维护管理功能。

3) 访问层:屏蔽安全策略数据库的具体系统实现、物理存储结构以及存取访问方式, 为数据库的访问提供统一的操纵接口。

4) 存储层:安全策略数据库的具体物理实现, 是安全策略数据模型以关系、目录甚至部分策略元素以代码的形式存储。

5) 应用层:针对安全策略的具体应用领域, 提供与应用有关的决策服务。

6) 适配层:隐藏了各种具体策略执行设备 (PEP) 及其策略交换所使用的协议细节, 向上提供统一的安全策略服务访问接口。

7) 执行层:利用移动代理, 将安全策略的高级描述翻译解释为各种具体安全设备的实现级策略描述形式, 并根据这些策略执行安全保护功能。

3 安全策略的存储和访问

在安全策略系统中, 每个安全域必须有安全域策略库, 它维护关于本安全域的安全策略以及与安全策略有关的信息[4]。一个安全域策略数据库由本地策略数据库、缓冲策略数据库和安全域数据库3个逻辑数据库组成。

3.1 本地策略数据库

本地策略数据库由安全域主文件信息组成。主文件必须含有下面指定的信息:管理员;证书或预共享密钥ID;策略服务器;节点;网关;安全域和策略。

主文件中的策略在进入本地策略数据库之前必须经过有效的排序和去相关, 以及不影响执行的策略组织过程。

3.2 缓冲策略数据库

缓冲策略数据库包含的是本地安全策略与非本地安全策略经过策略协调后被合并的策略。非本地安全策略是使用安全策略交换协议学习到的。被合并的结果是策略必须被逻辑地与本地策略分开保存。这样, 被缓冲的策略数据就可以被用于回答以后关于相同策略信息的查询了。缓冲策略数据库中的每个策略项必须含有一个生存期。较长的生存期应该与较不可能变化的策略相关联, 而较短的生存期应该与很可能变化的策略相关联。

3.3 安全域数据库

安全策略数据库中最好还能够存储网络的拓扑模型, 这不仅利于安全管理员手工指定这些网络元素到相应的安全策略, 而且还是不同层次安全策略自动映射的前提基础。一个网络拓扑模型可以表示为一个五元组, 即G= (N, PE, LE, NC, EC) , 其中:N为所有网络节点的集合, PE为任意两个具有直接物理连接的网络节点之间的无向边的集合, LE为任意两个具有逻辑连结的网络节点之间的有向边的集合, NC是关于每个节点配置参数的集合, EC是关于所有逻辑连结向边配置参数的集合。这些信息不一定完全是手工配置的, 部分信息可以通过在交换设备或服务设备上安装感知器Sensor来自动获得。

在文章提出的体系结构中, 安全策略数据库属于存储层, 安全策略数据的生产者和消费者主体通过访问层提供的统一数据库访问接口来访问策略库。访问层通过屏蔽策略库的物理实现和访问方式等技术细节, 把策略的逻辑表示和策略的物理存储分离开来, 使得一个厂商开发的策略库管理工具可以支持不同厂商开发的安全策略管理工具, 或者一个厂商开发的安全策略管理工具也可以使用不同厂商开发的策略库管理工具, 从而达到策略库管理工具和安全策略管理工具开发的独立性。这种设计思想也体现在了适配层中, 用于屏蔽关于各种PDP应用设备和PEP安全设备的具体实现技术细节, 达到相应系统开发的独立性, 并提供不同厂商产品之间的良好互操作性。

4 安全策略的编辑和管理

为大规模分布式网络指定安全策略是一项繁重而复杂的工作。为了使安全策略的指定、编辑和管理简单化, 在表示层最好为用户提供图形接口, 并提供基于业务流的高级安全策略描述方法。另外, 应该支持网络管理员对各种安全策略组成元素根据它们的特征来进行分组, 不仅可以简化策略指定的过程, 极大地减少工作量, 而且还使得对于随网络环境变化而做出的策略修改造成的影响局部化。表示层还应该提供多种策略查询模式, 以利于用户从不同角度来了解安全策略的指定是否完备, 以及是否符合系统的安全需求。表示层不直接与安全策略数据库发生关系, 而是通过策略引擎中的策略库操纵模块对策略库进行存取操作。这一方面是由于策略的管理操作通常都要涉及策略引擎提供的检测功能, 另一方面也可以达到代码重用的目的, 不必为表示层、策略层和应用层分别编写重复的数据库操作代码。管理控制台是中心组件, 为了表达设备和服务模型的方便并保持与工业标准的兼容性, 管理控制台和策略引擎之间的交互最好采用XML编码。

5 安全策略的请求处理和分发

在体系结构中, 策略层为一个安全域的主机、子网和网络提供关于安全策略的发现、访问和处理所需要的机制。这种功能是通过各种关于不同安全应用的PDP来完成的, 在此以VPN PDP的功能进行描述。VPN PDP的功能是:一是处理来自安全设备或其他安全域的策略查询请求;二是处理来自其他安全域的策略查询应答;三是处理中央控制台的关于策略分发的控制命令。

VPN PDP可以处理来自安全设备或其他安全域的策略查询请求。在确定了查询请求的有效性后并做出应答。适配层负责协议的解析和打包, 以及通过安全机制和安全模型来保证策略请求者身份的真实性 (源发真实性) 和策略请求报文的完整性。

6 安全策略的解释和执行

安全策略最后在执行层被解释和执行。PEP可以通过外购和供应两种形式来获得执行安全功能所需的安全策略。

1) 外购模型:PEP在需要一个即时的策略决策时, 它向外部的策略服务器PDP发出策略请求, 并等待PDP根据策略请求做出决策, 然后进行应答。

2) 供应模型:PDP策略决策与PEP策略请求之间并没有直接的关系, PDP可以主动为PEP提供策略决策, 这通常是对外部事件 (如用户输入) 、PEP请求或任何两者组合做出的反应。PEP也可以在状态改变的情况下主动发送通告给PDP, 供应可整块 (如全部相关IPSec策略配置) 或部分 (如被更新的IPSec策略) 地进行。

7 结束语

移动代理机制通过自动适应网络元素的变化减少了PDP的复杂性, 减少了PDP和PEP之间的报文传递。此外, 它还通过实现条件监视服务的MA代码来引入关于新机制、新应用或与设备有关的策略;条件监视服务还可以被裁减拼装以实现复杂的策略条件。所有这些意味着可以作为被普遍应用的策略管理体系结构。

摘要：为快速并自动化地完成安全策略管理任务和服务, 笔者提出了一个基于移动代理的安全策略体系结构, 从安全策略的存储和访问、安全策略的编辑和管理、安全策略的检测和协调、安全策略的请求和分发、安全策略的执行和移动代理技术的应用几个方面对整体体系结构进行了详细的描述。

关键词：网络,网络管理,网络安全,安全策略,体系结构

参考文献

[1]Yang K, Galis A, Mota T, et al.A:Mobile Agent Security Facilities for Safe Configuration of IP Network.In Proceedings of the 2nd International Workshop on Security in Mobile Multi-agent Systems (SEMAS) [J].Bologna, 2002 (7) :12.

[2]杨博, 杨鲲, 刘大有.面向网络管理的移动主体安全设施[J].软件学报, 2003, 14 (10) :1761-1767.

[3]秦超, 陈钟, 段云所.Chinese Wall策略及其在多级安全环境中的扩展[J].北京大学学报, 2002, 38 (3) :369-374.

网络安全体系结构 篇9

计算机网络发展速度是有目共睹的, 几十年间从无到有, 从简单到复杂, 且对社会和企业的贡献是比较大的, 尤其是以计算机网络为主体的网络互连格局, 其优势是全球分布较广、开放集成, 承载量较大, 对世界各国的政治、经济、科技和文化等方面都有重要的影响。但是随着互联网商业化进程的加快、网络技术的层出不穷、互联网应用的快速发展及新的应用需求的不断提高, 正在运行的互联网和其体系结构存在的问题也日益凸显出来。这种情况下, 有必要对互联网和互联网体系结构存在的问题进行分析并解决。

2 计算机网络演变及发展趋势

近年来, 越来越多的国内外专家投身于网络体系结构和探索研究中, 经过反复的研究和实践, 得出未来互联网研究与发展的趋势:

2.1 计算机网络演变过程

最初的传统互联网核心功能相对简单, 需要适当的进行加强。分组交换技术的出现并在互联网上运用, 改变了互联网核心单一的局面, 奠定分组交换技术在互联网中作用同时, 也为TCP/IP协议设计的成功、实现和边缘智能化体系结构格局的变化奠定了坚实的基础。特别是二十世纪八十年代初期, “端到端原则”的提出, 不仅在原来基础上强化了/互联网核心保持简单的原则, 而且实现了端系统复杂处理观念。然而, 从二十世纪九十年代以来多种网络应用和服务的快速发展, 传统互联网核心功能简单的缺点逐渐被人们所认识, 并针对该问题展开一系列研究, 接满足所有上层需求的方法在长期实践中证明其是不可行的, 毕竟应用的需求形式多样, 所以网络中的“one-size-fit-all”的技术几乎是不可能存在的。

2.2 计算机网络发展趋势

从目前服务趋势来看, 新一代网络将会给互联网带来前所未有的契机, 特别是分布计算领域的深入研究和与之相关支持技术的逐渐成熟, 网络科技人员网络端系统着手为强化互联网服务提供了新的思路, 并拓宽了研究范围和研究方法, 相关的研究工作几乎涵盖了最近几年计算机网络领域大部分热点, 其中包括覆盖网。而Web Ser vices与之不同的是其比较侧重于互联网服务的本质, 主要研究的是利用标准网络协议与数据格式来描述、发布、定位和调用网络服务等。从上面的研究中可以看出, 现代化计算机网络研究的关键是利用通信服务来跃迁, 基于服务角度来探索未来一代网络目前已经是互联网时代新的契机。

3 基于新角度全方位认识网络计算机体系内涵

从对计算机网络发展现状和相关研究来看, 是传统网络体系结构的延伸, 但与现代化网络体系结构相比较, 还有明显的区别, 是对原有网络体系结构不足之处的补充, 且与原有网络体系结构应用环境之间的矛盾日益激烈和激化。主要表现在现在的计算机网络面临严峻的考验, 这要求与计算机相关的人员必须对计算机网络结构的本质和概念有明确的了解和深刻的认识, 以便为研究和探索新一代网络发展需求的网络体系结构提供有利依据。但是在这里需要注意的是即便网络体系结构在计算机网络和与之相关的领域出现的词汇出现的很多, 但是并不被大多数人所熟悉的定义。根据人们不同的需求, 以及不同的研究目的和表述需求, 将名词“网络体系结构、抽象、具体、理性、感性、宽泛、窄化”等名词普遍用于计算机网络不同场合。如何将网络体系结构系统全面、完整的进行定义, 便于人们理解和认识就显得十分重要。从现在国内外网络体系结构系统现状开看, Tanenbaum对网络体系的分析研究结果被多数计算机网络专业人员所赞同。原因之一是OSI/RM的设计思想和TCP/IP参考模型协议的实现, 对计算机网络专业人员的影响相对较深, 原因之二是现在的分层和协议的概念知道的人相对较多, 较容易被大家所接受, 但是最新研究发现, 若将网络体系结构作为分层和协议的结合来分析理解, 可能让人被繁琐的细节所扰乱, 结果也只能见树木, 却难以看到森林。也不能仅仅单纯的运用较为严格的结构分层原则而带来的一系列弊端来认识一些事物, 换句话来说结构分层原则只是在原有网络体系结构基础上进行的设计, 且自身也面临着众多的争议。所以, 不应该对结构分层原则不加修改就运用到新网络体系结构设计之中, 这样不仅会影响网络体系结构设计进程, 也会影响其效果。综上所述, 只有全面、系统的对计算机网络的发展史和现状进行分析, 并在此基础上对计算机网络体系结构进行完善。从多年对计算机网络结构系统的分析研究来看, 对“网络体系结构”这一名词进行全面的了解和把握, 对计算机互联网的运用有重要的意义。为了将计算机网络体系结构更好的运用于互联网, 对网络体系结构进行如下的定义:一, 网络系统结构对计算机网络研究有统领性和普适性;二, 对某一特定计算机网络具有特指性的;三, 与网络其他技术相比较, 尤其是实现技术的抽象性方面有明显的区别;四, 网络体系结构从最初由需求到实践是具有连贯的过程性的;五, 网络系统结构是随着时代的发展而不断变化的;六, 网络体系结构是含义丰富且具外延性的系统。

4 结语

上文通过对基于互联网的计算机网络当前所面临的现状进行简要的分析, 及近年来对传统网络体系结构和新型网络体系结构的探索研究, 总结和概括了近年来计算机网络的变化和发展趋势。但是不可置否的是当前人们对网络体系结构概念的认识还不够全面, 甚至处于含糊不清状态。为此, 上文着重网络体系结构方面的内容进行综合全面的分析, 至于其他方面的研究, 还需要与之相关的学者和专家继续进行互联网网络体系结构的探索, 在不久的将来, 通过对网络体系结构的不断研究, 能将互联网的优势充分全面的展现出来。

摘要：随着互联网不断的发展和演化, 传统的网络体系结构因自身的缺陷不足已经无法满足新时期互联网的需求。这种情况下, 有必要分析一下计算机互联网发展现状和了解网络体系结构概念, 并在此基础上研究新一代网络体系结构, 以便为互联网事业创造有利的条件。为了更好的了解计算机现状及网络体系结构, 下文对基于互联网的计算机网络现状和几年来网络变化和发展的趋势进行简要的分析。

关键词：计算机网络,互联网,网络体系结构,网络体系

参考文献

[1]杨鹏, 刘业.互联网体系结构剖析.计算机科学, 2006, 33 (6) :15-20.

[2]Clark D, Wroclawski J, Sollins D, etal.Tussle in Cyb erspace:definingtomorrow.s Internet.In:Proc.of ACMS IGCOMM.02.2002.

网络安全体系结构 篇10

1 计算机网络的发展现状

计算机在经历了第一代电子管计算机时代、第二代晶体管计算机时代、第三代中小型集成电路计算机时代和第四代大中型集成电路计算机时代的发展之后, 已逐渐形成了一个较为完善的计算机网络结构。随着PC个人电脑的推广, 计算机网络已经成为人们工作生活中的重要工具。计算机网络是全球覆盖范围最广、运行效果最好的现实网络, 所以本文所涉及的网络发展现状主要针对互联网, 对其他一些有代表性的网络体系结构也有一定的涉猎。计算机网络的成功不仅与其在重大决策方面的准确性有关, 还离不开其网络体系结构的支撑。但在互联网高速发展的过程中, 其体系结构所存在的缺陷和不足也逐渐凸显出来, 现总结如下。

1.1 缺乏有效的网络控制能力

早在20世纪70年代, 互联网体系结构就已经建立。互联网体系主要采用了统计复用和分组交换技术, 网络只用来进行数据传输, 因为设计人员在对现有的计算机网络进行设计时, 对网络资源的控制和管理方面没有足够的重视, 所以计算机网络在资源和信息的处理能力方面较弱, 无法对全网范围内的资源进行有效控制。随着计算机技术的不断进步, 视频会议, 在线点播等功能的被越来越多的用户青睐, 互联网逐渐不能适应用户增长的需求。互联网对网络的控制能力不足, 意味着网络信息安全问题以及用户管理问题不能得到解决, 尽管研究人员对网络安全检测等技术进行了研究开发, 但还不足以解决目前泛滥的网络病毒及垃圾邮件等网络安全问题, 这一情况严重影响了用户对互联网的信任。

1.2 缺乏有效的用户管理能力

互联网的早期用户多为受过高等教育的知识分子, 在使用网络和保证网络安全上有一定的专业素质, 管理相对容易, 所以互联网企业并未设计针对互联网用户管理以及安全管理的方案。随着互联网的飞速发展, 网络用户越来越多, 使用人员的构成也越来越复杂, 导致用户的综合素质参差不齐, 甚至大部分用户完全不具备网络安全意识, 再加上网络的有效控制管理策略的缺乏, 在出现较为复杂的多媒体问题时无法及时有效地制定方法进行解决, 这就容易给网络用户造成难以挽回的直接或间接经济损失。例如2007年1月流行的“熊猫烧香”病毒, 因为缺乏及时应对能力, 造成了各个国家的巨大损失。除了网络病毒之外, 还有很多网络不良信息、垃圾邮件等问题威胁着互联网的正常运行。要想解决这些问题, 就需要建立一个完整的网络安全体系, 加强对互联网用户的管理能力。

1.3 缺乏全面的用户服务能力

互联网在早期仅仅提供通信与数据传输的服务, 随着互联网的商业化和民用化, 网络在人们的生产生活中占据的比重越来越大, 人们为了生产生活的便利对互联网提出的要求也越来越多。这就造成了互联网实际提供的服务功能和人们的实际需求脱节, 满足不了用户多样化的服务需求。虽然目前已经开展了新型网络的研究, 但这些问题还没有得到很好的解决。

2 计算机网络结构体系涵义的分析

为了解决互联网目前在网络控制、用户管理和用户服务等方面存在的不足, 科研人员开始研究一些新型网络体系结构, 以期改变传统网络结构, 解决传统网络结构存在的缺陷。计算机网络是按照高精度结构化设计方法设计, 采用功能分层原理, 由多个结点相互连接所组成, 各个结点之间能够不间断地交换数据和控制信息, 且每个结点都需要遵守一整套合理严谨的结构化体系管理规定, 以此实现其信息的安全传输功能。目前对计算机网络体系结构涵义尚无统一严格的定义, 本文结合计算机网络的发展现状, 对计算机网络体系结构涵义进行了较为具体的分析。

2.1 计算机网络体系结构具有独特性

不同应用环境对网络体系结构的要求也不同, 网络体系结构的差异导致了其适用范围的差异, 这就使网络体系结构具有独特性。对于具体网络系统的网络结构来说, 如何将普适的理论与方法应用于不同需求的具体网络系统中, 形成并发展成具有对应特色的网络体系结构, 是其目前的主要研究方向。

2.2 计算机网络体系系统具有普适性

网络体系从功能上划分为层次型、面向对象型、基于角色型等, 不同类型的网络体系, 设计开发的侧重点也不相同。但其设计开发的主要目的都是为了实现网络通信和资源共享, 所以各类计算机在网络方面存在许多共同特征, 即网络体系结构的普适性。计算机网络系统的普适性主要体现在各类网络系统都会涉及到路由技术、网络管理、信息传输以及网络层次结构划分上。网络系统的普适性要求对网络体系构成、命名以及性能和资源管理控制等方面都具有很大影响[1]。

2.3 计算机网络体系结构具有抽象性

网络体系结构是对多网络系统的研究和总体概况的一个总结, 与具体的网络实现技术的对比, 网络体系结构具有抽象性。如OSI网络体系结构中采用的模型和一些抽象概念都属于网络体系结构的一部分, 且已广泛应用于众多的网络算法和操作系统的设计开发中。

2.4 计算机网络体系结构具有过程性

计算机网络体系结构的相关规程制定需要经历一个漫长的过程, 在特定背景下经过一步一步的实验和研究才能得到[2]。人们通常习惯把很多已经制定的技术规范所组成的集合与某些网络体系结构等同。实际上, 特定网络体系结构的规范标准制定与实施都需要以某一特定背景条件和需求为基础, 根据具体的设计原则和标准逐步实现, 所以网络体系结构的形成具有过程性, 这一特性对其可持续发展有着至关重要的作用。

2.5 计算机网络体系结构具有发展性

因为网络体系结构的建立是一个过程, 所以网络体系结构的建立必然具有发展性。随着人类的发展, 社会经济与科技进步相互推动, 网络体系结构也在不断的发展[3]。与此同时, 用户对网络的要求也促进着网络体系为了满足用户而完善自身, 成为其推动自身发展的动力, 因此网络体系结构应当具有发展性。

2.6 计算机网络体系结构具有延展性

有发展就会有延伸, 因此网络体系结构应该具有延展性[4]。计算机网络涉及多种学科知识, 随着其在信息社会的应用越来越广泛, 计算机网络也涉及到的学科知识也随之增多。所以, 为了满足社会的发展和用户的需求, 计算机网络体系结构需要具有延展性。

3 结语

计算机网络体系结构的发展直接影响着计算机网络的发展, 对计算机网络体系结构涵义进行分析, 以计算机网络发展现状为切入点, 发现计算机网络发展过程中存在的问题, 并寻找解决方案, 从而促进计算机网络的发展, 对计算机网络的可持续发展具有重要意义。

参考文献

[1]王鹏, 姚远.计算机网络的发展现状及网络体系结构研究[J].电子制作, 2014 (11) :159-160.

[2]张倩楠.计算机网络体系结构的分析和思考[J].内蒙古科技与经济, 2014 (06) :66-68.

[3]叶林兵.计算机网络技术的发展现状和趋势分析[J].计算机光盘软件与应用, 2012 (04) :94.