[前言]

　　隨著計算機網(wǎng)絡(luò)的發(fā)展，其開放性，共享性，互連程度擴大，網(wǎng)絡(luò)的重要性和對社會的影響也越來越大。寬帶網(wǎng)作為企業(yè)主要的數(shù)據(jù)業(yè)務(wù)承載網(wǎng)絡(luò)，特別是電子商務(wù)(E-Commerce)、企業(yè)數(shù)據(jù)專線、網(wǎng)絡(luò)互聯(lián)、Internet接入服務(wù)等應(yīng)用在社會經(jīng)濟生活的地位日益凸現(xiàn)。網(wǎng)絡(luò)的安全性直接影響到社會的經(jīng)濟效益。例如，2003年1月份的SQL殺手蠕蟲事件，中國有兩萬多臺數(shù)據(jù)庫服務(wù)器受到影響，使國內(nèi)眾多企業(yè)網(wǎng)絡(luò)全部處于癱瘓或半癱瘓狀態(tài);2003年8月份的沖擊波蠕蟲，使成千上萬的用戶計算機變慢，被感染的計算機反復(fù)重啟，有的還導(dǎo)致了系統(tǒng)崩潰，受到“沖擊波”病毒感染的計算機反過來又會影響到網(wǎng)絡(luò)的正常運行。

　　隨著網(wǎng)絡(luò)安全問題重要性增加，如何設(shè)計一個穩(wěn)定、可靠、安全和經(jīng)濟的企業(yè)網(wǎng)，應(yīng)對日益增多的網(wǎng)絡(luò)攻擊、病毒破壞和黑客入侵等問題已成為企業(yè)網(wǎng)絡(luò)建設(shè)和運營所關(guān)注的重點。本文從網(wǎng)絡(luò)互連七層協(xié)議、城域網(wǎng)的分層和網(wǎng)絡(luò)安全管理體系三個方面來闡述寬帶網(wǎng)絡(luò)的安全性。

　　[網(wǎng)絡(luò)安全服務(wù)層次模型]

　　國際標準化組織ISO在開放系統(tǒng)互連標準中定義了七個層次的網(wǎng)絡(luò)互連參考模型，它們分別是物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、會話層、表示層和應(yīng)用層。不同的網(wǎng)絡(luò)層次有不同的功能，例如鏈路層負責(zé)建立點到點通信，網(wǎng)絡(luò)層負責(zé)路由，傳輸層負責(zé)建立端到端的進程通信信道。相應(yīng)地，在各層需要提供不同的安全機制和安全服務(wù)。

　　在物理層要保證通信線路的可靠，不易被竊聽。在鏈路層可以采用加密技術(shù)，保證通信的安全。在Internet、Intranet環(huán)境中，地域分布很廣，物理層的安全難以保證，鏈路層的加密技術(shù)也不完全適用。

　　在網(wǎng)絡(luò)層，可以采用傳統(tǒng)的防火墻技術(shù)，如TCP/IP 網(wǎng)絡(luò)中。采用IP過濾功能的路由器，以控制信息在內(nèi)外網(wǎng)絡(luò)邊界的流動。還可使用IP加密傳輸信道技術(shù)IP SEC，在兩個網(wǎng)絡(luò)結(jié)點間建立透明的安全加密信道。這種技術(shù)對應(yīng)用透明，提供主機對主機的安全服務(wù)。適用于在公共通信設(shè)施上建立虛擬的專用網(wǎng)。這種方法需要建立標準密鑰管理，目前在產(chǎn)品兼容性和性能上尚存在較多問題。

　　在傳輸層可以實現(xiàn)進程到進程的安全通信，如現(xiàn)在流行的安全套接字層SSL技術(shù)，是在兩個通信結(jié)點間建立安全的TCP連接。這種技術(shù)實現(xiàn)了基于進程對進程的安全服務(wù)和加密傳輸信道，采用公鑰體系做身份認證;有高的安全強度。但這種技術(shù)對應(yīng)用層不透明，需要證書授權(quán)中心，它本身不提供訪問控制。

　　針對專門的應(yīng)用，在應(yīng)用層實施安全機制，對特定的應(yīng)用是有效的，如基于SMTP電子郵件的安全增強型郵件PEM提供了安全服務(wù)的電子郵件。又如用于Web的安全增強型超文本傳輸協(xié)議S-HTTP提供了文件級的安全服務(wù)機制。由于它是針對特定應(yīng)用的，缺乏通用性，且須修改應(yīng)用程序。

　　[企業(yè)寬帶網(wǎng)的層次安全模型]

　　企業(yè)寬帶網(wǎng)的安全風(fēng)險主要在于設(shè)備遭受攻擊或病毒引發(fā)的網(wǎng)絡(luò)流量突然增大對設(shè)備性能的沖擊，與業(yè)務(wù)相關(guān)的數(shù)據(jù)庫服務(wù)器受到病毒的攻擊，影響業(yè)務(wù)的正常運行，安全建設(shè)應(yīng)更多地采用技術(shù)來保證網(wǎng)絡(luò)和設(shè)備安全，并以用戶管理作為輔助手段。

　　安全模型將企業(yè)寬帶網(wǎng)分成三個區(qū)域：信任域、非信任域和隔離區(qū)域(非軍事區(qū))。信任域是企業(yè)內(nèi)部的基礎(chǔ)網(wǎng)絡(luò)，通常采用防火墻等設(shè)備與企業(yè)業(yè)務(wù)網(wǎng)隔離，包括企業(yè)內(nèi)部的各個不同的域;隔離區(qū)域是信任域和非信任域之間進行數(shù)據(jù)交互的平臺，包括企業(yè)對外提供的各種業(yè)務(wù)平臺，如Web服務(wù)平臺、FTP服務(wù)器、用戶查詢平臺、Mail服務(wù)器等;非信任域是指企業(yè)之外的廣泛的互聯(lián)網(wǎng)絡(luò)，是企業(yè)不能完全控制的網(wǎng)絡(luò)。作為安全模型中的非信任域，需要重點考慮。

文章作者：國脈電子政務(wù)網(wǎng)