網絡防火墻的部署原則及加密技術概談

1、<p>　　網絡防火墻的部署原則及加密技術概談</p><p>　　【摘要】網絡防火墻是保障網絡安全的重要技術手段。本文論述了防火墻的部署原則，并就信息加密技術及其分類作了介紹。 </p><p>　　【關鍵詞】網絡安全 防火墻 加密技術 </p><p>　　網絡防火墻作為內部網絡與外部網絡之間的第一道安全屏障，是最先受到人們重視的網絡安全技術。就其產品

2、的主流趨勢而言，大多數代理服務器（也稱應用網關）也集成了包濾技術，這兩種技術的混合應用顯然比單獨使用更具有大的優(yōu)勢。那么我們究竟應該在哪些地方部署防火墻呢？首先，應該安裝防火墻的位置是公司內部網絡與外部Internet的接口處，以阻擋來自外部網絡的入侵；其次，如果公司內部網絡規(guī)模較大，并且設置有虛擬局域網（VLAN），則應該在各個VLAN之間設置防火墻；第三，通過公網連接的總部與各分支機構之間也應該設置防火墻，如果有條件，還應該同時將總

3、部與各分支機構組成虛擬專用網（VPN）。 </p><p>　　安裝防火墻的基本原則是：只要有惡意侵入的可能，無論是內部網絡還是與外部公網的連接處，都應該安裝防火墻。選擇防火墻的標準有很多，但最重要的是以下幾條：.總擁有成本防火墻產品作為網絡系統(tǒng)的安全屏障，其總擁有成本（TCO）不應該超過受保護網絡系統(tǒng)可能遭受最大損失的成本。以一個非關鍵部門的網絡系統(tǒng)為例，假如其系統(tǒng)中的所有信息及所支持應用的總價值為10萬元，則

4、該部門所配備防火墻的總成本也不應該超過10萬元。當然，對于關鍵部門來說，它所造成的負面影響和連帶損失也應考慮在內。如果僅做粗略估算，非關鍵部門的防火墻購置成本不應該超過網絡系統(tǒng)的建設總成本，關鍵部門則應另當別論。 . </p><p>　　防火墻本身是安全的。作為信息系統(tǒng)安全產品，防火墻本身也應該保證安全，不給外部侵入者以可乘之機。如果像馬其頓防線一樣，正面雖然牢不可破，但進攻者能夠輕易地繞過防線進入系統(tǒng)內部，網

5、絡系統(tǒng)也就沒有任何安全性可言了。通常，防火墻的安全性問題來自兩個方面：其一是防火墻本身的設計是否合理，這類問題一般用戶根本無從入手，只有通過權威認證機構的全面測試才能確定。所以對用戶來說，保守的方法是選擇一個通過多家權威認證機構測試的產品。其二是使用不當。一般來說，防火墻的許多配置需要系統(tǒng)管理員手工修改，如果系統(tǒng)管理員對防火墻不十分熟悉，就有可能在配置過程中遺留大量的安全漏洞。.管理與培訓。管理和培訓是評價一個防火墻好壞的重要方面。我們

6、已經談到，在計算防火墻的成本時，不能只簡單地計算購置成本，還必須考慮其總擁有成本。人員的培訓和日常維護費用通常會在TCO中占據較大的比例。一家優(yōu)秀秀的安全產品供應商必須為其用戶提供良好的培訓和售后服務。.可擴充性。在網絡系統(tǒng)建設的初期，由于內部信息系統(tǒng)的規(guī)模較小，遭受攻擊造成的損失也較小，因此沒有必要購置過于復雜和昂貴的防火墻產品。但隨著網絡的擴容和網絡應用的增加，網絡的風險成本也</p><p>　　信息加密技

7、術分為兩類：即對稱加密和非對稱加密。.對稱加密技術。在對稱加密技術中，對信息的加密和解密都使用相同的鑰，也就是說一把鑰匙開一把鎖。這種加密方法可簡化加密處理過程，信息交換雙方都不必彼此研究和交換專用的加密算法。如果在交換階段私有密鑰未曾泄露，那么機密性和報文完整性就可以得以保證。對稱加密技術也存在一些不足，如果交換一方有N個交換對象，那么他就要維護N個私有密鑰，對稱加密存在的另一個問題是雙方共享一把私有密鑰，交換雙方的任何信息都是通過這

8、把密鑰加密后傳送給對方的。如三重DES是DES（數據加密標準）的一種變形，這種方法使用兩個獨立的56為密鑰對信息進行3次加密，從而使有效密鑰長度達到112位。.非對稱加密/公開密鑰加密。在非對稱加密體系中，密鑰被分解為一對（即公開密鑰和私有密鑰）。這對密鑰中任何一把都可以作為公開密鑰（加密密鑰）通過非保密方式向他人公開，而另一把作為私有密鑰（解密密鑰）加以保存。公開密鑰用于加密，私有密鑰用于解密，私有密鑰只能有生成密鑰的交換方掌握，公開

9、密鑰可廣泛公布，但它只對應于生成密鑰的交換方。非對稱加密方式可以使通信雙方無須事先交換密鑰就可以建立安全通信，</p><p>　　就目前而言，我國信息網絡安全已經研究歷經了通信保密、數據保護兩個階段，現已開發(fā)研制出防火墻、安全路由器、安全網關、黑客入侵檢測、系統(tǒng)脆弱性掃描軟件等。但因信息網絡安全領域是一個綜合、交叉的學科領域它綜合了利用數學、物理、生化信息技術和計算機技術的諸多學科的長期積累和最新發(fā)展成果，提出

10、系統(tǒng)的、完整的和協(xié)同的解決信息網絡安全的方案，還應從安全體系結構、安全協(xié)議、現代密碼理論、信息分析和監(jiān)控以及信息安全系統(tǒng)等方面入手，各部分相互協(xié)同形成有機整體。作為信息安全關鍵技術密碼學，近年來亦較活躍。而電子商務的安全性已是當前人們普遍關注的焦點，目前正處于研究和發(fā)展階段，由于計算機運算速度的不斷提高，各種密碼算法面臨著新的密碼體制，如量子密碼、DNA密碼、混沌理論等密碼新技術正處于探索中。在我國信息網絡安全技術的研究和產品開發(fā)仍有大