浅谈网络安全产品

第２４卷第６期煤炭技术Ｖ０１．２４，Ｎｏ．０６２００５年６月ＣｏａｌＴｅｃｈｎ０１０盯Ｊｕｎ，２００５浅谈网络安至产品陶铁军（黑龙江科技学院网络中心，黑龙江哈尔滨１５００２７）摘要：随着互联网的广泛应用和电子商务、电子政务的迅速发展，网络安全产品日益受到人们的重视。

文中探讨了网络安全产品中存在的问题，展望了网络安全产品未来的发展方向。

关键词：互联网；网络安全；防火墙中圈分类号：仍９３文献标识码：Ａ文章编号：１００８—８７２５（２００５）０６一００５９—０２０前言网络安全是信息安全研究内容之一，也是当前信息领域的研究热点。

互联网的普及将信息共享服务上升到一个新高度，同时互联网也使得信息安全问题日益突出而复杂。

信息安全问题使个人隐私受到挑战，并已威胁到国家的政治、经济、军事、文化、意识形态等领域。

在此着重介绍目前人们所关注网络安全产品及其的研究发展方向。

１网络安全产品目前，在市场上比较流行，而又能够代表未来发展方向的安全产品大致有以下几类：（１）防火墙。

防火墙在某种意义上可以说是一种访问控制产品。

它在内部网络与不安全的外部网络之问设置障碍，阻止外界对内部资源的非法访问，防止内部对外部的不安全访问。

主要技术有包过滤技术、应用网关技术及代理服务技术。

防火墙能够较为有力地防止黑客利用不安全的服务对内部网站的攻击，并且能够实现数据流的监控、过滤、记录和报告功能，较好地隔断内部网络与外部网络的连接。

但它本身可能存在安全问题，也可能是一个潜在的瓶颈。

（２）安全路由器。

由于ｗＡＮ连接需要专用的路由器设备，因而可通过路由器来控制网络传输，通常采用访问控制列表技术来控制网络信息流。

（３）虚拟专用网（ｖＰＮ）。

虚拟专用网（ｖＰＮ）是在公共数据网络上，通过采用数据加密技术和访问控制技术，实现两个或多个可信内部网之间的互联。

ＶＰＮ的构筑通常都要求采用具有加密功能的路电器或防火墙，以实现数据在公共信道上的可信传递。

（４）安全服务器。

安全服务器主要针对一个局域网内部信息存储、传输的安全保密问题，其实现功能包括对局域网资源的管理和控制，对局域网内用户的管理，以及局域网中所有安全相关事件的审计和跟踪。

（５）电子签证机构一ＣＡ和Ｐｌ（Ｉ产品。

电子签证机构（ｃＡ）作为通信的第三方，为各种服务提供可信任的认证服务。

ＣＡ可向用户发行电子签证证书，为用户提供成员身份验证和密钥管理等功能。

ＰⅪ产品可以提供更多的功能和更好的服务，将成为所有应用的计算基础结构的核心部件。

（６）用户认证产品。

由于Ｉｃ卡技术的日益成熟和完善，ＩＣ卡被更为广泛地用于用户认证产品中，用来存储用户的个人私钥，并与其他技术如动态口令相结合，对用户身份进行有效的识别，同时，还可以利用Ｉｃ卡上个人私钥与数字签名技术结构，实现数字签名机制。

随着模式识别技术的发展，诸如指纹、视网膜、脸部特征等高级的身份识别技术也将投入应用，并与数字签名等现有技术结合，必将使得对用户身份的认证和识别更趋于完善。

（７）安全管理中心。

由于网上的安全产品较多，且分布在不同的位置，这就需要建立一套集中管理的机制和设备，即安全管理中心，它用来给各网络安全设备分发密钥，监控网络安全设备的运行状态，负责收集网络安全设备的审计信息等。

（８）入侵检测系统（ＩＤｓ）。

入侵检测，作为传统保护机制（比如访问控制，身份识别等）的有效补充，形成了信息系统中不可或缺的反馈链。

（９）安全数据库。

大量的信息存储在计算机数据库内，有些信息是有价值的，也是敏感的，需要保护。

安全数据库可以确保数据库的完整性、可靠性、有效性、机密性、可审计性及存取控制与用户身份识别等。

（１０）安全操作系统。

给系统中的关键服务器提供安全运行平台，构成安全ＷＷＷ服务、安全丌Ｐ服务、安全ＳＭｌＰ服务等，并作为各类网络安全产品的坚实底座，确保这些安全产品的自身安全。

２当前网络安全产品存在的问题２．１目前防火墙的实现主要基于软件或者硬件软件防火墙通过直接在专用或通用操作系统上运行防火墙软件来实现安全控制存取访问。

该体系的优点是成本低、灵活性好、升级方便，只需对软件进行改动即可；但性能依赖于其运行平台的性能，会造成网络速度的严重下降，在高流量的情况下，极有可能造成系统崩溃，失去了防火墙的作用。

硬件防火墙采用专用集成芯片（ＡＳＩｃ）来处理数据。

这种防火墙的特点是具有较高的系统吞吐量，但是基于ＡＳＩＣ的体系结构也有其缺点。

一旦指令或逻辑被嵌入芯片，那么改变这些指令使之增加新的安全功能时十分困难，甚至需要重新设计芯片。

２．２实现Ⅵ啊功能ＶＰＮ的发展趋势就是实现端到端的安全ｖＰＮ，因为这样才能真正做到完全的加密。

、ｒＰＮ实际上是通过软件实现的技术，作为ＶＰＮ载体的硬件可以有以下几种：一种是路由器，就是通过把ⅥＩＮ软件加载在路由器上，使它既是一台路由器，又是一台ｖＰＮ设备，也就是所谓的安全路由器，这是目前最常见的；再有就是防火墙，在企业防火墙上实现ｖＰＮ的功能；最后一种是专用的ｖＰＮ硬件，在这种设备中，加密也通过硬件实现，可以大大提高安全效率。

在路由器上通过软件实现Ⅵ＇Ｎ功能，具有一定的局限性。

因为路由器的ＣＰＵ和内存资源都是有限的，在用软件实现ｖＰＮ时，它们既要负担路由协议的运行，又要完成ｖＰＮ加密算法，而安全加密算法是收稿日期：２００５一０３一１５；修订日期：２００５—０４一１５作者简介：陶铁军（１９６３一），男，黑龙江鸡西人，高级经济师，吉林大学计算机学院硕士研究生，研究方向为计算机软件技术，Ｔｅｌ：０４５ｌ一８８０３７７６０Ｅ—ｍａｉｌ：９０Ｖｅ瑚ｅｎｔ＿ｈｋ＠ｈｏｔｎｌａｉｌ．ｃｏｍ。

　万方数据万方数据第２４卷第６期煤炭技术Ｖ０１．２４，Ｎｏ．０６２００５年６月ＣｏａｌＴｅｃｈｎｏｌｏ耵Ｊｕｎ·２００５竣德甲、乙线频：苗自喜人邑田击的原因与对策魏义岭（鹤岗矿业集团公司水电热力公司，黑龙江鹤岗１５４１００）摘要：竣德甲、乙线作为矿井变电所的电源，其供电可靠性至关重要，但由于种种原因每年都会发生雷击跳闸事故。

为保证煤矿的安全生产，必须采取防范措施。

关键词：电力线路；雷击；接地极；接地电阻中图分类号：ＴＭ７５文献标识码：Ｂ文章编号：１００８—８７２５（２００５）０６—００６０—０２０引言电力线路遭雷击的后果是人所共知的，所以防止雷击一直是电力系统研究的一项重要课题。

鹤岗矿业集团水电热力公司所属竣德甲、乙线是向竣德煤矿送电的两条３５ｋｖ输电线路，由于途径野外开扩地带和高冈，频繁因雷击而跳闸，庆幸的是没出现两条线路同时跳闸的事故。

一旦这两条线路同时跳闸不能向竣德矿供电，则在雨季水大季节，井下没有准备的最不利情况下，将在３０ｍｉｎ发生灾难性的淹井事故，后果不堪设想。

因此，分析研究竣德甲、乙线频遭雷击的原因，积极采取防范措施是十分必要的。

１竣德甲、乙线频遭雷击的原因１．１不利的地理条件是频遭雷击的首要条件ｑ４—口ｅ＾—Ｌ—一＃与芒＾—‘ｑ４１；亡弋—Ｌｑ亡——｝ｑ４＾—Ｌ口芒＾—Ｌ百芒＾—Ｌｑ芒——Ｌ守吐—；４弋—Ｌ喵４弋—Ｌ噶４＾，｝ｑ４＾—｝ｑ亡—；芒＾ｒｅｑ毒—ｉ４＾—Ｌ冒４＾—Ｌ写４—；皂弋—ｏ苜吐１；４＾—Ｌｑ４＾—｝ｑ４“；ｅ１—Ｌ１日－ｏ非常复杂的，需要占用大量的系统资源，这必然严重影响路由器的工作速度。

２．３安全服务器一种方案是用普通服务器加防火墙等软件来实现，另一种方案是在内部加入ｌ台“牺牲服务器”，使外部恶意攻击掉入陷阱，从而保护内部网不受攻击。

银行、铁路等行业的服务器要求有很高的可用性，这种要求常由“高可用（ＨＡ）服务器”来满足。

解决方案是２台服务器共享磁盘阵列。

当一台服务器出现故障，其当前正在运行的任务可在几秒钟之内转移到另一台上执行，与此同时对出现故障的服务器进行修复。

大规模信息服务和数据银行服务使主服务器难于兼顾处理和Ｉ／０需求，而由一种专用的存储服务器专门承担数据（或文件）服务工作。

这种服务器多具有ＨＡ结构，系统内每台服务器有大容量的内存、强大的Ｌ／０能力和海量磁盘阵列或磁带库。

这种服务器似乎像以前的“外围机”，但与后者比较有质的飞跃。

２．４ＩＤＳ入侵检测系统（１）攻击者不断增加的知识，日趋成熟多样自动化工具，以及越来越复杂细致的攻击手法，使ＩＤｓ必须不断跟踪最新的安全技术，才能不致被攻击者远远超越。

（２）恶意信息采用加密的方法传输。

网络入侵检测系统通过匹配网络数据包发现攻击行为，ＩＤｓ往往假设攻击信息是通过明文传输的，因此对信息的稍加改变便可能骗过ＩＤｓ的检测。

ＴＦＮ现在便已经通过加密的方法传输控制信息。

还有许多系统通过ＶＰＮ（虚拟专用网）进行网络之间的互联，如果ＩＤＳ不了解其所用的隧道机制，会出现大量的误报和漏报。

（３）不断增大的网络流量。

用户往往要求ＩＤｓ尽可能快的报警，因此需要对获得的数据进行实时分析，这导致对所在系统的要求越来越高，商业产品一般都建议采用当前最好的硬件环境（如ＮＦＲ５．Ｏ要求主频最少７００以上的机器）。

尽管如此，对百兆以上的流量，单一的ＩＤｓ系统仍很难应付。

随着网络流量的进一步加大（许多大型ＩｃＰ目前都有数百兆的带宽），对ＩＤｓ将提出更大的挑战，在ＰＣ机上运行纯软件系统的方式需要突破。

３网络安全产品的发展趋势（１）由过去单一的网络安全产品，向多种安全产品及多种安全技术的综合应用进行转变。

随着网络处理器（ＮＰ）技术的成熟和发展，基于ＮＰ技术的网络安全产品以其优异的运行速度和良好的升级能力，使得在原来防火墙／ｖＰＮ产品线基础上，增加ＩＤｓ、内容过滤网关、防御攻击、深度检测、内容安全、流量控制、高可用性、安全管理等网络安全产品，从而构建覆盖网络七层协议的全方位多层次安全防御系统。

（２）由以防火墙为核心的”联动”安全解决方案发展为以企业安全平台（简称ＥＳＰ）为核心的全面联动安全解决方案，使各种安全产品协同工作，并提供智能的、主动的、全面的防护手段。

（３）以全程安全服务为核心构建企业信息安全保障体系，真正体现信息安全行业“三分技术，七分管理”的硬道理。

Ｎｅｔ、７｜ｌ协ｒｋＳｅｃｕｒｉｔｖＰｒｏｄｕｃｔｓＴＡ０Ｔｉｅ—ｉｕｎ（ＮｅｔｗｏｒｋＣｅｎｔｅｒ，Ｈｅｉｌｏｎ舀ｉａｎｇＩｎｓｔｉｔｕｔｅｏｆｓｃｉｅｎｃｅ锄ｄＴｅｃｈｎｏｌｏｇｙ，Ｈａｒｂｉｎ１５００２７，Ｃｈｉｎａ）Ａｂｓｔｒ粕ｔ：ｗｉＩｈｔｈｅｒａｐｉｄｄｅｖｅｌｏｐｍｅｎｔｏｆＩｎｔｅｍｅｔａＩｌｄｅ—ｃｏｍｍｅｒｃｉａｌ，ｅ—Ｇｏｖｅｍｍｅｎｔ盘ｉｒ，ｐｅｏｐｌｅｐａｙｇｒｅａｔｅｒａｔｔｅｌＩｔｉｏｎｔｏｍｅｎｅｔｗｏｒｋｓｅｃｌＩｒｉ—ｔｙｐｍｄｕｃｔｓ．Ｔｈｉｓｐａｐｅｒｐｒｏｂｅｓｉｎｔｏｔｈｅｐｒｏｂｌｅｍｓｅｘｉ８ｔｉｎｇｉｎｔｈｅｎｅｔｗｏｒｋｓｅｃＩｌｒｉｔｙｐｒｏｄｕｃｔｓ，ｐｕｔｓｆｏｒｗａｒｄｔｈｅｄｅｖｅｌｏｐｍｅｎｔｔｒｅｎｄｏｆｔｌｌｅｎｅｔｗｏｒｋｃｕｒｉｔｙｐｒｏｄｕｃｔｓ．Ｋｅｙｗｏｒｄｓ：ｉｎｔｅｍｅｔ；ｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙｐｒｏｄｕｃｔｓ；ｆｈｗａｎ收稿日期：２００５—０２—１５；修订日期：２００５一０４—１４作者简介：魏义岭（１９７１一），男，工程师，１９９５年毕业于中国矿业大学电气自动化专业，现工作于鹤岗矿业集团水电热力公司，Ｔｅｌ：０４６８—３７１１９９１。