網絡安全與安全體系的建立

安全或者說是保密，并不是一個新鮮的話題。自古以來，人們就一直探讨如何加強保密的手段。而在軍事活動當中則表現得最為明顯，密碼的産生就歸結于戰争中對機密資訊傳遞的需要。那麼，到底安全是什麼，資訊安全的概念怎樣了解呢？安全是有關你所不知道的東西的，你不可能求正一個負數……（101邏輯）就像我們不可能證明：“我們沒有侵入事件”、“沒有發生過未得到授權的通路”、“證書的安全性不可能被危害”等等諸如此類的論斷。而我們經常提到的風險管理，就是如何去防範那些未發生、卻又可能發生的事件。即風險管理是有關了解和超越你所不知道的東西。

由于網絡的定義有許多種，是以各種關于網絡安全的定義也不同，有的定義說：網絡安全就是保護網上儲存和流動的資料，不被他人偷看、竊取或修改，也有的認為：網絡資訊安全是指保護資訊财産，以防止偶然的或未授權者對資訊的洩漏、修改和破壞，進而導緻資訊的不可行或無法處理。根據分析問題的角度，可以從商業和技術兩個角度來描述網絡安全。

從商業角度看，安全是以一種使風險最小化的方式保護資産。從技術角度看又包括三個方面的内容：

其一，計算機安全，即計算機實體系統的良好狀态；

其二，資訊安全，資訊的良好狀态，該資訊可能是存儲在某台計算機上的；

其三，實體安全，實體環境的良好狀态，包括系統及使用者。

是以，網絡安全的一個比較完整的定義是：利用網絡管理控制和技術措施，保證在一個網絡環境裡，資訊資料的機密性完整性及可使用性受到保護，網絡安全的主要目标是要確定經網絡傳送的資訊，在到達目的地時沒有任何增加，改變，丢失或被非法讀取以及保證存儲于計算機硬體環境裡的資料、檔案等資訊資産不受到竊取、破壞或非法通路。

在傳統的資訊安全領域，關于安全有3個原則：即古老相傳的C.I.A原則。

C是指機密性。即確定資訊不暴露給未授權的實體或程序。也就是說，是指網絡中有保密要求的資訊隻能供經過允許的人員，以經過允許的方式使用。

I是指完整性。隻有得到允許的人才能修改資料，并且能夠判别出資料是否已被篡改。網絡中的資訊安全、精确與有效，不因種種不安全因素而改變資訊原有的内容、形式與流向。這應是我們評判的重中之重。因為完整性的破壞是對網絡安全的主要危害。

A是指可用性。得到授權的實體在需要時通路資料，即必須保證所有的資源不能被占用而阻礙授權者的工作。網絡資源在需要時即可使用，不因系統故障或誤操作等使資源丢失或妨礙對資源的使用。網絡可用性還包括具有在某些不正常條件下繼續運作的能力。對網絡可用性的影響包括合法的使用者不能正常通路網絡的資源和有嚴格時間要求的服務不能得到及時響應。

而在基于開放網絡的網際網路時代，安全的原則在PKI的3要素基礎上還必須加上一個非常重要的A，即認證（Authentication）。認證是判别通路資訊系統的使用者的權限，或者通過網絡進行通信的對方身份真實性的手段。

那麼，作為網絡安全的一個課題，我們要保護的對象到底有哪些呢？一個商業資訊系統的運作依賴于硬體、作業系統、應用軟體、外圍裝置、通訊裝置等多種要素所構成的資訊網絡環境。可以說，成功的破壞上述任何一種，将危及系統及存儲在系統上的資訊的安全。是以說我們的網絡安全工程的實施，應該包含以下幾個方面：

1）網絡實體安全。

如計算機機房的實體條件、實體環境及設施的安全标準，計算機硬體、附屬裝置及網絡傳輸線路的安裝及配置等。

2）軟體安全。

如保護網絡系統不被非法侵入，系統軟體與應用軟體不被非法複制、篡改、不受病毒的侵害等。

3）網絡中的資料安全。

如保護存儲或傳輸于網絡當中的資訊的資料安全，不被非法存取，保護其完整、一緻等。

可以說，我們實作任何的安全功能都是梳理使用者通路某個資源的特定的規程的規範，即：向主體（人，應用軟體，系統，網絡，資料庫，等等）提供對受保護的資源（目标）的通路權。如果上述CIA要素哪一個出現問題的話，就會導緻資訊資料的丢失、損壞或被竊取，都不能保證網際網路上的資訊的安全性。然而，我們必須注意到大部分資訊系統是不夠安全的。因為計算機硬體和網絡裝置的運作是建立在人工編寫的軟體的基礎之上。各種安全方面的疏忽是不可避免的。同時，因為網絡原理先天性的互聯、共享的特點，就決定了大部分計算機系統是不安全的。在1994年美國政府曾經對美國國防部的9000個大小系統進行了一項暗中安全測試，結果，測試後所作的弱點評估發現：88%的系統可以利用黑客手段非法侵入；95%的入侵行為自始至終沒有被相關人員覺察；隻有5%被探測到的入侵行為彙報到了責任部門。

同時，CSIFBI有關“頻繁的攻擊點”的研究發現，作為調查對象的國際網際網路系統在2000年有59%的系統在沒有任何覺察的情況下被入侵。而到了2001年這個比率更是上升到了79%。從以上執行個體我們可以看出，大部分的系統的安全性是非常差的。是以，我們可以認識到安全不是某一個點的問題，而必須是由一系列的環節組成的安全體系。而其核心就是加密與認證。