軍隊計算機網(wǎng)絡(luò)的安全性分析

隨著我軍信息化程度的提高，我軍的計算機網(wǎng)絡(luò)應(yīng)用越來越廣，計算機網(wǎng)絡(luò)安全已成為軍隊?wèi)?zhàn)斗力建設(shè)的重要內(nèi)容，是贏得戰(zhàn)爭勝利的重要保障。增強網(wǎng)絡(luò)安全保密意識，既是時代發(fā)展的客觀要求，也是做好“打贏”準(zhǔn)備的迫切需要，本文將從技術(shù)的角度，分析我軍計算機網(wǎng)絡(luò)的漏洞及解決方法。

1 物理隔離網(wǎng)絡(luò)后的安全威脅及防范

目前我軍計算機網(wǎng)絡(luò)和民用計算機網(wǎng)絡(luò)采用相同的技術(shù)，為保障軍網(wǎng)的安全，防止互聯(lián)網(wǎng)上的各種攻擊對軍網(wǎng)造成危害，一般采用物理隔離的措施，即軍用計算機信息系統(tǒng)不直接或間接地與國際互聯(lián)網(wǎng)或者其他公共信息網(wǎng)絡(luò)相連接。

實施物理隔離可以最大限度地阻止來自于互聯(lián)網(wǎng)的直接攻擊。但物理隔離并不能徹底解決軍網(wǎng)的安全問題。物理隔離的軍網(wǎng)面臨的威脅主要有內(nèi)部攻擊、“擺渡”攻擊、非法外聯(lián)和非法接入等。

1.1“擺渡”攻擊及危害

“擺渡”攻擊是利用移動存儲介質(zhì)對隔離網(wǎng)絡(luò)進(jìn)行的攻擊。應(yīng)用最新的攻擊技術(shù)，攻擊者首先攻擊控制連接到互聯(lián)網(wǎng)的計算機，當(dāng)發(fā)現(xiàn)移動存儲介質(zhì)接入時，就會將“擺渡”木馬植入其中。該移動存儲介質(zhì)一旦在軍網(wǎng)使用就會激活“擺渡”木馬，自動收集內(nèi)網(wǎng)計算機上的涉密文檔等信息，可以進(jìn)一步向內(nèi)網(wǎng)滲透，將收集到的信息加密隱藏在移動存儲介質(zhì)上。當(dāng)該移動存儲介質(zhì)再次在接入互聯(lián)網(wǎng)的計算機上使用時，木馬就會自動把收集的秘密文件交給攻擊者。

防止“擺渡”攻擊的方法是加強對存儲介質(zhì)的分類管理：涉密介質(zhì)應(yīng)該有專人管理，秘密信息在移動介質(zhì)中要加密存儲；禁止用非涉密存儲介質(zhì)來存儲和處理涉密信息。目前，“擺渡”攻擊利用的存儲介質(zhì)主要是U盤。據(jù)資料介紹，利用可刻錄光盤進(jìn)行“擺渡”攻擊的例子目前還不多見，但技術(shù)上是完全可行的，因此，利用可刻錄光盤進(jìn)行“擺渡”攻擊，只是時間上的問題。

1．2防非法外聯(lián)

非法外聯(lián)的形式有兩種：一是私自將計算機同時連接軍網(wǎng)和互聯(lián)網(wǎng)。按照相關(guān)規(guī)定，軍隊涉密信息系統(tǒng)不能與互聯(lián)網(wǎng)相連，但有人為了便利，可能把計算機一邊接入軍網(wǎng)，一邊接入互聯(lián)網(wǎng)，由于這條接入互聯(lián)網(wǎng)的線路幾乎沒有網(wǎng)絡(luò)安全防御措施，外部攻擊者很容易通過這條線路獲取計算機的控制權(quán)，進(jìn)而滲透到軍隊內(nèi)部網(wǎng)絡(luò)，竊取軍網(wǎng)的秘密信息。非法外聯(lián)的第二種形式是將涉密計算機接入互聯(lián)網(wǎng)。有些同志在辦公時將便攜式計算機接入軍隊計算機網(wǎng)絡(luò)處理涉密信息，回家后又將便攜式計算機接入互聯(lián)網(wǎng)，查閱資料、處理電子郵件。從表面上看，只要接入互聯(lián)網(wǎng)前把機器上的涉密信息清除掉，這種行為的危害不大。然而，計算機一旦接入互聯(lián)網(wǎng)就有可能遭受攻擊。如果攻擊者入侵并控制計算機，就可以利用磁盤恢復(fù)技術(shù)將清除的涉密信息還原出來。同時，入侵者還可以通過對機器上信息的分析，判斷出該主機是否曾接入軍網(wǎng)，并在其中植入特殊的木馬。計算機回到軍網(wǎng)后，這種木馬就會自動收集軍網(wǎng)內(nèi)的信息，并且加密存儲起來，等到計算機再次上互聯(lián)網(wǎng)時，主動把收集的信息加密發(fā)送到事先指定的郵箱等地，達(dá)到竊取軍事秘密的目的。

1．3 防非法接入

非法接入是指外部信息系統(tǒng)非法接入軍用計算機網(wǎng)絡(luò)。對軍網(wǎng)而言，綜合布線時在各個可能聯(lián)網(wǎng)的位置都預(yù)留了網(wǎng)絡(luò)接口，一些網(wǎng)絡(luò)接口可能出現(xiàn)失控。這些失控的接口被人非法使用，會導(dǎo)致外部計算機進(jìn)入內(nèi)部網(wǎng)絡(luò)。另外，軍網(wǎng)的主機如果對外提供撥號接入服務(wù)，也有可能被非法用戶使用，使得外部計算機進(jìn)入內(nèi)部網(wǎng)絡(luò)。惡意用戶非法接入軍網(wǎng)，會對軍隊內(nèi)部網(wǎng)絡(luò)進(jìn)行攻擊，竊取秘密情報。

防止非法接入，要嚴(yán)格控制接入軍網(wǎng)內(nèi)的每臺終端，防止未授權(quán)的計算機接入軍網(wǎng)。網(wǎng)絡(luò)管理員應(yīng)該對接入的計算機進(jìn)行監(jiān)控，通過安全策略對內(nèi)網(wǎng)計算機的身份進(jìn)行認(rèn)證，對計算機和用戶的權(quán)限進(jìn)行管理。

2 服務(wù)器的攻擊

服務(wù)器攻擊的目的是使服務(wù)器停止網(wǎng)絡(luò)服務(wù)，造成網(wǎng)絡(luò)癱瘓。服務(wù)器攻擊在軍網(wǎng)時常發(fā)現(xiàn)，出現(xiàn)的原因主要有兩種，一是安裝盜版軟件帶來的病毒，二是復(fù)制文件帶來的病毒。服務(wù)器攻擊在軍網(wǎng)上有多種形式，常見形式有拒絕服務(wù)攻擊、假消息攻擊、緩沖區(qū)溢出和遠(yuǎn)程緩沖區(qū)溢出等。拒絕服務(wù)攻擊指攻擊者想辦法讓目標(biāo)機器停止提供服務(wù)或資源訪問，是黑客常用的攻擊手段之一。拒絕服務(wù)攻擊問題一直得不到合理的解決，原因是因為網(wǎng)絡(luò)協(xié)議本身的安全缺陷造成的。攻擊者進(jìn)行拒絕服務(wù)攻擊，實際上讓服務(wù)器實現(xiàn)兩種效果：一是迫使服務(wù)器的緩沖區(qū)滿，不接收新的請求；二是使用IP欺騙，迫使服務(wù)器把合法用戶的連接復(fù)位，影響合法用戶的連接。假消息攻擊用于攻擊目標(biāo)配置不正確的主機，主要包括：DNS高速緩存污染、偽造電子郵件。緩沖區(qū)溢出和遠(yuǎn)程緩沖區(qū)溢出是一種系統(tǒng)攻擊的手段，通過往程序的緩沖區(qū)寫超出其長度的內(nèi)容，造成緩沖區(qū)溢出，黑客可以獲得其他用戶的非授權(quán)讀、寫的訪問。緩沖區(qū)溢出攻擊占了遠(yuǎn)程網(wǎng)絡(luò)攻擊的絕大多數(shù)。目前有幾種方法可防止緩沖區(qū)溢出的攻擊：要編寫正確的代碼；數(shù)組邊界檢查能防止所有的緩沖區(qū)溢出的產(chǎn)生和攻擊；要對程序指針進(jìn)行完整性的檢查；通過操作系統(tǒng)使被攻擊程序的數(shù)據(jù)地址空間不執(zhí)行。

3 數(shù)據(jù)傳輸中的加密

目前的計算機網(wǎng)絡(luò)多使用TCP/IP作為通信協(xié)議。由于TCP/IP協(xié)議在其設(shè)計之初并沒有太多地考慮安全問題，在復(fù)雜的網(wǎng)絡(luò)應(yīng)用環(huán)境中其安全性問題顯得尤其突出。該協(xié)議的安全問題歸納起來主要有兩個方面：一是缺乏有效的身份鑒別機制；二是缺乏信息加密機制，通信內(nèi)容易被第三方截獲。TCP/IP協(xié)議的安全問題給軍網(wǎng)的信息傳輸帶來極大的安全隱患。攻擊者可以從通信通道上截獲或劫持信息流。

3．1嗅探器的危害

嗅探器是能夠捕獲網(wǎng)絡(luò)報文的工具，它能夠利用計算機的網(wǎng)絡(luò)接口截獲經(jīng)過該接口的所有報文。終端通過網(wǎng)卡來接收網(wǎng)絡(luò)數(shù)據(jù)。正常情況下，網(wǎng)卡只會接收廣播數(shù)據(jù)或者目標(biāo)是自己主機的數(shù)據(jù)。在運行嗅探器后，嗅探器將命令網(wǎng)卡接收所有的網(wǎng)絡(luò)數(shù)據(jù)，在接收到網(wǎng)絡(luò)數(shù)據(jù)后，嗅探器使用自己的數(shù)據(jù)分析程序還原其中的信息。

嗅探器的危害主要有：攻擊者可利用嗅探器竊取網(wǎng)絡(luò)中傳輸?shù)男畔ⅲ苋菀椎貜木W(wǎng)絡(luò)數(shù)據(jù)中還原出傳輸?shù)男畔ⅲ瑥闹姓页雒芗壩募粡男崽降降木W(wǎng)絡(luò)數(shù)據(jù)包中，攻擊者還可以找到其它有利于攻擊的信息，比如登陸服務(wù)器的計算機名、用戶口令、登陸帳號，域名服務(wù)器的地址、終端的網(wǎng)卡硬件地址等。對于攻擊者來說，了解到這些底層協(xié)議的信息，會為其展開進(jìn)一步的攻擊提供方便。

3．2預(yù)防嗅探器的方法

涉密信息的網(wǎng)絡(luò)傳輸應(yīng)著眼于信息的加密。加密傳輸使得攻擊者即使能夠得到傳輸數(shù)據(jù)，也難以還原其中的密級信息。網(wǎng)絡(luò)加密常用的方法有鏈路加密、端點加密和節(jié)點加密三種。需要注意的是密碼算法的安全同樣是相對的。目前的加密算法并不能保證在計算能力大幅度提高后仍然安全。在網(wǎng)絡(luò)信息的加密傳輸過程中，信息的保密性還很大程度依賴于密鑰的安全性，因此，密鑰的安全也至關(guān)重要。此外，發(fā)送方、接收方終端的安全同樣是加密傳輸安全的基礎(chǔ)。如果軍網(wǎng)終端被攻擊者控制，則信息安全、密鑰安全，乃至整個加密機制的安全都會受到威脅。

4 軍隊計算機網(wǎng)絡(luò)安全管理策略

在軍隊計算機網(wǎng)絡(luò)安全中，除了采用上述技術(shù)措施之外，還要加強網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度。網(wǎng)絡(luò)的安全管理策略包括：制定有關(guān)網(wǎng)絡(luò)操作使用規(guī)程；制定網(wǎng)絡(luò)系統(tǒng)的維護(hù)制度和應(yīng)急措施；嚴(yán)格遵守軍人使用互聯(lián)網(wǎng)的規(guī)定；嚴(yán)格遵守軍人使用移動存儲介質(zhì)的規(guī)定等。

參考文獻(xiàn)

[1] Stuart McClure，Joel Scambray，George Kurtz.王吉軍，張玉亭，周維續(xù)，譯.黑客大曝光——網(wǎng)絡(luò)安全機密與解決方案（第5版）.清華大學(xué)出版社，北京科海電子出版社，2006.

[2] Bruce Schneier.吳世忠，馬芳，譯.網(wǎng)絡(luò)信息安全的真相.機械工業(yè)出版社，2001.

[3]秦立軍.信息安全保密系列談.金城出版社，2002.11.