安全网络

琅琅上口

安全网络可以理解为可信赖的网络环境。或者说传输过程中安全的网络。目前在传输信息中采取VPN SSL等手段保持网络通信安全。

中文名

安全网络

外文名

Secure Socket Layer

英文简称

SSL

研发

Netscape

定义

国际标准化组织(ISO)为计算机网络安全做如下定义:为保护数据处理系统而采取的技术的和管理的安全措施，保护计算机硬件、软件和数据不会因偶然和故意的原因而遭到破坏、更改和泄露。计算机网络由计算机和通信网络两部分组成，计算机是通信网络的终端，通信网络为计算机之问的数据传输和交换提供了必要的手段。计算机网络最重要的资源是它向用户提供了服务及其所拥有的信息。故其安全性定义为:通过采取各种技术的和管理的安全措施，确保网络服务的可用性和网络信息的完整性。也即两方而的内容:一是网络系统的安全，二是网络的信息安全。所以一个安全的计算机网络应该具有以下几个特点:可靠性、可用性、保密性、完整性。[1]

网络威胁

来自网络上的安全威胁与攻击多种多样，依照Web访问的结构，可将其分类为对Web服务器的安全威胁、对Web客户机的安全威肋和对通信信道的安全威胁三类。

Web服务器

对于Web服务器、服务器的操作系统、数据库服务器都有可能存在漏洞，恶意用户都有可能利用这些漏洞去获得重要信息在Web服务器上的机密文件或重要数据(如存放用户名、口令的文件)放置在不安全区域，被入侵后很容易得到。Web服务器本身存在的一些漏洞，也能被黑客利用侵入到系统，破坏一些重要的数据，甚至造成系统瘫痪。

Web客户机

现在网页中的活动内容己被广泛应用，活动内容的不安全性是造成客户端的主要威胁。网页的活动内容是指在静态网页中嵌入的对用户透明的程序，它可以完成一些动作，显示动态图像、下载和播放音乐、视频等当用户使用浏览器查看带有活动内容的网页时，这些应用程序会自动下载并在客户机上运行，如果这些程序被恶意使用，可以窃取、改变或删除客户机上的信息。

通信信道

Internet是连接Web客户机和服务器通信的信道，是不安全的。像Sniffer这样的嗅探程序，可对信道进行侦听，窃取机密信息，存在着对保密性的安全威胁。未经授权的用户可以改变信道中的信息流传输内容，造成对信息完整性的安全威胁。此外，还有像利用拒绝服务攻击，向网站服务器发送大量请求造成主机无法及时响应而瘫痪，或者发送大量的IP数据包来阻塞通信信道，使网络的速度变缓慢。[2]

SSL

SSL[3] (Secure Socket Layer) 　为Netscape所研发，用以保障在Internet上数据传输之安全，利用数据加密(Encryption)技术，可确保数据在网络 　上之传输过程中不会被截取及窃听。一般通用之规格为40 bit之安全标准，美国则已推出128 bit之更高安全 　标准，但限制出境。只要3.0版本以上之I.E.或Netscape浏览器即可支持SSL。 　当前版本为3.0。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输。 　SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层： SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。 SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。 　SSL协议提供的服务主要有： 　1）认证用户和服务器，确保数据发送到正确的客户机和服务器； 　2）加密数据以防止数据中途被窃取； 　3）维护数据的完整性，确保数据在传输过程中不被改变。 　SSL协议的工作流程： 　服务器认证阶段：1）客户端向服务器发送一个开始信息“Hello”以便开始一个新的会话连接；2）服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的“Hello”信息时将包含生成主密钥所需的信息；3）客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；4）服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。 　用户认证阶段：在此之前，服务器已经通过了客户认证，这一阶段主要完成对客户的认证。经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。 　从SSL 协议所提供的服务及其工作流程可以看出，SSL协议运行的基础是商家对消费者信息保密的承诺，这就有利于商家而不利于消费者。在电子商务初级阶段，由于运作电子商务的企业大多是信誉较高的大公司，因此这问题还没有充分暴露出来。但随着电子商务的发展，各中小型公司也参与进来，这样在电子支付过程中的单一认证问题就越来越突出。虽然在SSL3.0中通过数字签名和数字证书可实现浏览器和Web服务器双方的身份验证，但是SSL协议仍存在一些问题，比如，只能提供交易中客户与服务器间的双方认证，在涉及多方的电子交易中，SSL协议并不能协调各方间的安全传输和信任关系。在这种情况下，Visa和 MasterCard两大信用卡公组织制定了SET协议，为网上信用卡支付提供了全球性的标准。 　https介绍 　HTTPS（Secure Hypertext Transfer Protocol）安全超文本传输协议 　它是由Netscape开发并内置于其浏览器中，用于对数据进行压缩和解压操作，并返回网络上传送回的结果。HTTPS实际上应用了Netscape的完全套接字层（SSL）作为HTTP应用层的子层。（HTTPS使用端口443，而不是象HTTP那样使用端口80来和TCP/IP进行通信。）SSL使用40 位关键字作为RC4流加密算法，这对于商业信息的加密是合适的。HTTPS和SSL支持使用X.509数字认证，如果需要的话用户可以确认发送者是谁。。 　https是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，https的安全基础是SSL，因此加密的详细内容请看SSL。 　它是一个URI scheme(抽象标识符体系)，句法类同http:体系。用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间）。这个系统的最初研发由网景公司进行，提供了身份验证与加密通讯方法，它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。 　限制 　它的安全保护依赖浏览器的正确实现以及服务器软件、实际加密算法的支持. 　一种常见的误解是“银行用户在线使用https:就能充分彻底保障他们的银行卡号不被偷窃。”实际上，与服务器的加密连接中能保护银行卡号的部分，只有用户到服务器之间的连接及服务器自身。并不能绝对确保服务器自己是安全的，这点甚至已被攻击者利用，常见例子是模仿银行域名的钓鱼攻击。少数罕见攻击在网站传输客户数据时发生，攻击者尝试窃听数据于传输中。 　商业网站被人们期望迅速尽早引入新的特殊处理程序到金融网关，仅保留传输码(transaction number)。不过他们常常存储银行卡号在同一个数据库里。那些数据库和服务器少数情况有可能被未授权用户攻击和损害

V3系统

桌面虚拟化是虚拟化技术的浪潮。桌面虚拟化的目的是从底层构建不同的工作区（最终用户的应用程序，数据，网络负载和设置）。桌面虚拟化，和现有许多虚拟化解决方案概念相似，本文只在介绍成功的虚拟化架构技术。 虚拟机（VM）技术，为所有虚拟桌面解决方案的基础，使计算机能够同时支持和执行两个或两个以上的计算机环境，其中“环境”包括操作系统以及用户应用程序和数据。虚拟机是一个虚拟的运算系统，借用计算机资源（CPU，硬盘，内存等），让主机工作的同时，也作为客户计算机而存在。 计算机资源共享的好处可以提供给最终用户，包括：

隔离 – 工作区在不同的计算环境独立运作，虽然有些资源可以共享（例如，键盘，鼠标和屏幕），同时其他的却可以得到保护（例如，数据文件）。在一个虚拟环境中，主机资源需要从并发访问到双方的宾主控制的保护，在传统的虚拟系统中，这种隔离和控制是通过一个特殊的软件程序提供的，称为虚拟机监视器（VMM）。VMM可以自主监控主机计算机环境或者主机和客户计算机行为。资源平衡 -如果有需要的话，可以对每个功能自主的运行环境进行资源消耗监控和限制。可移动/迁移 - 某些虚拟机的配置被认为是可移动的，也就是说，整个计算机环境，可从一个移动到另一个不同的主机。今天世界上越来越多的移动应用得益于这种虚拟机技术，流动性是虚拟桌面解决方案的关键，虽然今天存在的软件产品，都提供基本的虚拟机能力，但是这些产品仅提供有限的或者根本没有移动虚拟化的支持。 今天我们有许多方法来实现VMM以及配套软件。本文将说明各种不同的VMM技术优劣点，并重点介绍V3专业安全版所采用的工作区虚拟引擎技术：

系统管理程序 – 该VMMs程序采取拦截和陷阱将违背隔离或者导致系统不稳定的低级别CPU指令，模拟的任何指令的方式。管理程序可以提供一个完整的虚拟桌面，但是带来不同程度的资源开销和性能降低。半虚拟化 –该 VMMS程序采取拦截和陷阱将违背隔离或者导致系统不稳定的低级别CPU指令，没有任何指示的方式。半虚拟化可以要求来宾桌面操作系统进行修改，以避免这些特权指令。半虚拟化系统，可以提供一个完整的虚拟桌面，有不同程度的资源开销和性能损失。工作区虚拟引擎（名为WVE） - 该VMMs程序采取拦截和陷阱，模拟或重定向将违背隔离或导致系统不稳定低级别的OS API调用的方式。有些WVEs可以在一个内核中提供虚拟化的能力，使工作区嵌入一个包含企业域级别的特权代码模块和子系统的完整的操作系统，有独立的网络堆栈和支持，如端点安全应用，数据库应用和电脑管理软件，需要的驱动和安全服务。 WVEs可以提供一个完整的虚拟桌面，很少或根本没有性能损失。应用程序容器 – 该系统采取拦截和陷阱，模仿那些违背隔离或导致系统不稳定的最高等级OS API调用。应用容器一般不能提供一个完整的虚拟桌面。仿真 - 模拟整个系统的硬件系统，包括中央处理器，I / O设备等模拟器可以提供一个完整的虚拟化桌面，但存在巨大的性能损失。

加密运行

全透明加密运行技术的原理是通过映射大的加密文件成动态的s虚拟磁盘分区而让V3虚拟系统整体透明加密运行。

安全管理器

安全资源管理器技术的原理是通过重写s资源管理器，实现重写过资源管理器中的文件访问完全可控的目的，以配合文件之间交换的特殊需要而设计

安全网络

企业的IT部门在选择安全网络工具时候经常会困惑，到底是选择软件类型的还是硬件类型的，但说到底还是得综合考虑自己企业的预算和网络部署情况。许多企业一边在寻找更好的解决方案，一方面不断和网络安全公司进行各种改进的合作尝试。

　　这些不断的安全网络测试同时也提高了企业IT平台的安全性，特别是在专业人士的充分地考虑到测试范围和底层系统、网络设施的情况下，这也会影响企业对安全网络设备的选择。

　　但在这些的背后，却经常会忽略最基本的安全网络问题：你的测试是针对整个安全网络的，还是单个设备安全网络，或者是两者的安全网络结合？

　　技术人员用隔离设备，如SIP服务器，将要进行测试的设备和安全网络中的其他设备隔离开来，再进行各种漏洞攻击或者基于软件的安全网络漏洞扫描。

　　如果安全网络测试的对象是整个安全网络或者是安全网络的一部分，而非单个设备，就需要对测试软件做不同的配置。例如，渗透测试将使用设备或者某些文件为测试安全网络目标。入侵者必须通过一些中转设备来进行跳转，这是一种间隔攻击测试。安全网络漏洞扫描器可以提供不同的模块，专注于一个特定的区域的 模块——如Web服务器的漏洞，SMTP服务协议漏洞等等——这些是安全网络具体协议的测试模块。另外如SIP服务器的安全网络测试，漏洞扫描部署VOIP类型的模块进行安全网络漏洞检测。然而，整个安全网络的测试，却需要根据设备的数量和类型，分配几个不同的模块共同协助工作。

　　安全网络测试，一旦确定好安全网络测试的访问和目的，就会面对一个安全网络问题：你需要用什么安全网络工具和设备进行测试？或许应该这么说：有哪些安全网络测试方法是既经济又适用的？

　　对安全网络测试工具的正确选择，需要测试人员定好测试的目的和设备，而这些往往是和企业的预算有关。

　　物理设备和虚拟化设备进行安全网络测试的时候需要用不同的测试方法。

　　路由器的安全网络测试一般只需要一台基于软件的漏洞扫描客户端进行测试。

　　一些企业购买硬件类的安全网络评估设备进行安全性评估。安全网络硬件设备的成本一般都比较高，比软件扫描高多了。因为安全网络硬件安全类设备主要是专用的计算机，包括安全网络有专用的软件版本，固定的升级，还有良好的售后服务，

　　这些安全网络设备的选择没法一下子就总结完，但事情都是这样，都是从一个坑挖到另一个坑，挖对了就是个正确的选择，挖错了就只能当买经验。

　　一些安全网络专家喜欢购买一个硬件安全设备进行安全评估工作，因为这样能最大程度的避免操作系统的影响-比如系统驱动问题、链接库文件、软件包依赖等等，这些问题都会导致安全网络测试工具的缺陷和测试问题，而专用物理设备则是专用开发的，不受这些影响。还有一个原因，就是物理测试设备不受环境的影响，可以即插即用，在某些场合用处大很多，而且由于专用性的原因，测试质量高很多。

　　在安全网络测试里面，成本和效率总是不可以得兼的。许多情况下，基于软件的安全网络漏洞扫描工具效率是比硬件专用安全网络漏洞扫描工具低的。如果企业已经购买和部署了安全网络测试工具，其实就是慢一点，没什么区别。如果企业是涉及互联网业务和网络，计算机设备较多的，更多的建议是购买安全网络硬件安全扫描设备；其他的企业其实用软件安全网络漏洞扫描工具都没什么问题，区别不大。[4]

软件定义

物理安全网络的老路子正在让位给逻辑技术。网络流量正在不断变化，从东到西、以数据中心为中心、软件定义安全网络模型要求有新的安全规划。

　　从互联网曙光初现开始，安全网络就一直与企业紧紧联系。

　　软件定义的网络为安全网络带来了戏剧性变化。从长期来看，公司将受益于更智能、更安全的安全网络管理。但短期内，新的安全网络功能可能引发新漏洞，进而影响软件定义安全网络的推广。

　　安全网络基础设施——以太网交换机与路由器——通常工作在七层网络模型的第二层与第三层。安全网络设施——防火墙、入侵检测、VP虚拟专用网(VPN)在第四至第七层运行。但是，基础设施与安全网络之间是互相依赖的。

　　一般任何对潜在安全威胁的安全网络反应就是阻止其网络访问。企业试图创建一个用于环绕数据中心的安全网络护城河系统；安全网络可以通过高级工具来识别威胁并从底层阻断这些流量。传统物理设备与顶层控制软件之间要想协调工作，还需要经过大量安全网络设置。

　　最近的技术进步已经能够撕开外围的安全网络封锁。黑客通过底层的安全网络检查点，进而取得高层数据的事件日益增长。软件定义安全网络则可以将底层硬件安全抛开。

　　软件定义安全网络技术将控制平面从数据平面分离。控制器现在可以不受物理设备与专有软件限制，管理通往不同网络的流量。安全网络流通常(但不总是)可以通过OpenFlow协议控制。

内部与外部

　　软件定义的网络安全网络处理内部与外部威胁。

　　安全网络外部威胁——个人试图进入未授权的网络——正变得越来越复杂。传统上，如防火墙、入侵检测系统与入侵防御系统，沙盒与深度数据包检测工具等都被用来确保数据安全网络。

　　软件定义安全网络引入了这些系统不具备的新变量。安全网络通过现有物理基础设施架构运行虚拟连接。因此，软件定义的安全网络设备需要能够解封装流量。例如，如何正确的检查安全网络传入流量，新的安全网络工具需要能够解封装流量，或者依赖于网关与交换机，将软件定义安全网络封装和解封装协议传输到各个VLAN，用于处理内容。

　　安全网络内部威胁的复杂性与数量不断增加。企业需要监控从一个系统传输到另一个系统的安全网络信息，如两台虚拟机之间或服务器到存储系统的安全网络信息。

　　安全网络积极的一面，软件定义安全网络建立在开放API上，是很开放的OpenFlow。安全网络可编程特性可以让控制器基于正在运行的应用程序，安全网络设定行为与性能。

　　传统物理安全网络策略被定义为将静态区域映射到物理接口上。软件定义的安全网络策略无须捆绑到基础设施。

　　在一个更动态的软件定义安全网络中，安全网络区域被从物理平面分离，安全网络或主机“对象”都是可以编程定义的。数据流被通过安全设备进行相应的编程。此外，安全网络检查还会处理应用程序与虚拟机逻辑挑战。

　　企业还可以建立更加自动化与复杂的软件定义安全网络配置。例如系统监控流量模式、异常情况识别，并在发生前就修复潜在的问题。

先后顺序

先有软件定义的网络才有软件定义的安全网络

　　首先，软件定义的完全基础设施必须对于软件定义的安全网络来应用。传统方案无法监控这些新的数据传输，所以需要升级现有的安全网络系统。

　　企业目前还没有办法协调跨越多款控制器之间的安全服务，这是成熟的软件定义安全网络中一项重要功能。

　　安全网络新工具会从何而来？一种可能是FRESCO，FRESCO是一个应用程序开发框架，为了方便快速设计与组合具备OpenFlow功能的安全模块。该框架是一个OpenFlow应用程序，其提供了脚本语言用于开发与共享安全网络检测与缓解模块。研究人员编写模块，然后是原型以及更多复杂的安全网络服务。部署时，这些服务由不同控制器进行操作，以确保控制器能够确保流控规则与安全网络策略应用。[5]

 阅读原文