IP安全

IP安全（共12篇）

IP安全 篇1

近年来，随着社会信息化进程的加快，企业网络化应用开始向纵深发展，各种新旧业务和应用的需求不断丰富，进而对网络带宽产生更高的需求。目前，骨干网带宽已经比较丰富，宽带接入手段多样化，城域网的安全问题作为为用户服务的根本显得越来越重要。随着宽带互联网业务的发展，在获得了越来越多企业和个人青睐的同时，网内用户数越来越多，用户类型越来越复杂，网络安全问题开始显得日益突出，如何把黑客和病毒等拒之于网外，不让其对城域网的安全造成隐患也成为了急需解决的问题。

IP城域网一般分为3个层次：核心层、汇聚层和接入层，其中的各个层次承担了不同的功能。根据不同网络层次的不同功能，每个层次都面临不同的安全问题。核心层主要面临的安全问题是路由的安全及核心层设备自身受攻击的问题;汇聚层主要面临的安全问题是路由的安全、各种异常流量的抑制、用户业务的安全，以及用户访问的控制;接入层主要由一些二层接入设备构成，其主要面临的安全问题是一些基于二层协议的用户攻击行为和广播风暴的抑制等。

核心层担负着网络核心承载的功能，所以必须充分保证网络的连通性和高度的可靠性，提供必须的网络冗余功能。在城局网关键的出口链路必须具备冗余设备，多条链路连接同时工作，确保在故障发生能够实现自动愈合，增强对病毒和黑客的防御力量，使整个网络变得更加稳定可靠。另外，核心层设备还要采用一些安全策略，以保障网络的安全可靠，例如：

1)网络设备采用多极安全密码体系，限制非法设备和用户登录;

2)实现路由认证，保证路由协议安全，支持SNMP，安全网管;采用访问控制列表策略，过滤异常流量，保证设备核心的安全;

3)采用如mrtg等流量监控手段，监测异常流量。

汇聚层负责汇集分散的接入点进行数据交换，提供流量控制和用户管理功能，作为城域网的业务提供层面，是城域网最重要的组成部分。汇聚层设备是用户管理的基本设备，也是保证城域网承载网和业务安全的基本屏障，更是保障城域网安全性能的关键。

汇聚层设备的安全特性主要体现在以下几点：

1)用户接入网络的安全控制，包括加强口令等访问控制手段;

2)调整BAS的部署策略。进行BAS边缘化，访问控制可以在边缘BAS上进行，如果仍然保持集中方式，可以考虑在BRAS后部署防火墙，可以将原有BAS访问控制功能转移到防火墙后，这样可以降低BAS负载及访问控制列表细化。限制每个VLAN下的用户数量，减少PPP建立过程中广播包的广播范围，提高网络性能，BAS放到边缘后，VLAN ID数目受到的限制问题也得到了缓解。细化的三层访问控制在BAS设备后端的三层设备上进行;

3)部署小容量BAS服务器，专线用户的VLAN在城域网汇聚层终结。充分利用宽带接入服务器BAS支持802.1q的特性，来实现对不同用户的服务，减小广播域，提高城域网的整体性能。在用户侧部署中小容量的BAS服务器，可把原来的超大二层网络分成多个小型的二层网络，降低管理的难度和复杂度;将宽带专线用户的VLAN在城域网汇聚层终结，这样可以防止用户的广播包对骨干交换机的冲击。基于LAN的专线用户，通过专线直接连到网络核心，当用户发起广播时，就会使核心网络路由表产生波动，影响核心网络设备的性能，所以建议在汇聚层终结，再把信息上传到核心层;

4)利用BAS+AAA验证服务器完成对用户的身份验证，AAA绑定一般采用的都是静态绑定方式，而动态绑定一般是在接入设备上实现的，绑定技术的有效应用，主要用于解决账号盗用，用户定位等问题。通过上述认证机制实现基于用户的访问权限控制、计费和服务类型控制;

5)对于DLSAM拨号用户可实现VLAN、端口和用户账号绑定，进而防止个人用户的帐号、密码被盗用，也可确定出用户上网的位置，为问题的解决提供线索;

6)支持限制用户端口最大接入IP地址数、PPP会话数、TCP/UDP连接数，有效防止DOS类的攻击;

7)支持访问控制列表，禁止部分用户访问或有选择地屏蔽网络服务;

8)对用户带宽进行控制。

接入层通过各种接入技术和线路资源实现对用户区域的覆盖，提供多业务用户的接入并配合完成用户流量带宽的控制功能。

设备上采用的安全手段包括：

1)使接入侧用户相互隔离，以保证接入的安全性，防止用户间的相互攻击。由于以太网技术本身的特点，端口隔离的存在是必要的。无论是物理端口还是逻辑端口，现阶段有很多技术都能实现端口隔离功能，有的采用物理手段，有的采用逻辑手段。采用物理手段则能实现完全的隔离功能;逻辑手段一般是基于2层帧结构技术，也比较安全。可以说，端口隔离是目前一种保护接入用户内部安全的有效手段。在接入层隔离开用户之间的访问并不是为了限制用户的使用，而是要防止用户之间的攻击。无论是针对哪种用户，合理而又灵活的利用端口隔离技术总能有效地控制来自内部、外部用户之间的安全问题。

2)采用一些端口检测的措施，防止用户环路的发生。很多用户不知道环路带来的危害，所以环路经常发生在缺少专业技术人员维护的网络中。越是接近用户的设备检测周期越应该短一些，上层设备的检测周期应该长一些。这样就能减少一些因为上层设备先检测到环路禁用端口造成下层整个交换机用户都被断掉的可能。

在城域网设计、建设和运行维护的各个阶段，都应采取统一的安全技术策略，而各VPN网根据所统一的安全策略和各自不同业务特点，采用相应的安全防范措施和技术手段，以满足城域网全网的整体安全要求以及各专业系统自身的安全需求。城域网的安全保障可考虑采用以下几种技术策略来实施：

预防——采用认证授权、访问控制和路由隔离等技术，防止外界对城域网网络的各种非法访问，避免入侵者对城域网网络资源的破坏和窜改;采用VPN构建虚拟专用网，为各类用户专用网提供有效隔离。

监测——通过监控和定期检测等主动防御措施，及时发现城域网在运行中可能存在的各种安全漏洞，进而采取相应措施。

调整——对各项日志和管理信息进行统计分析，发现问题时，及时对城域网进行修改，消除可能的安全隐患;根据网络安全技术的发展和各项业务新的要求，及时调整城域网全网安全策略的实施。

总之，宽带城域网的网络安全是一项艰巨而持久的任务。对网络安全问题必须通盘考虑，进行体系化的整体安全设计和实施。既要充分考虑网络的安全性能，考虑设备防攻击的性能，有效运用设备相关安全特性，又要结合专用的安全产品，采取分区、多层安全保护措施。既要考虑设备安全和技术的因素，又要重视网络安全人员在网络安全方面所起决定性的作用。

IP安全 篇2

IP地址的盗用方法多种多样，其常用方法主要有以下几种：

1、静态修改IP地址

对于任何一个TCP/IP实现来说，IP地址都是其用户配置的必选项，如果用户在配置TCP/IP或修改TCP/IP配置时，使用的不是授权机构分配的IP地址，就形成了IP地址盗用。由于IP地址是一个逻辑地址，是一个需要用户设置的值，因此无法限制用户对于IP地址的静态修改，除非使用DHCP服务器分配IP地址，但又会带来其它管理问题。

2、成对修改IP-MAC地址

对于静态修改IP地址的问题，现在很多单位都采用静态路由技术加以解决。针对静态路由技术，IP盗用技术又有了新的发展，即成对修改IP-MAC地址。MAC地址是设备的硬件地址，对于我们常用的以太网来说，即俗称的计算机网卡地址。每一个网卡的MAC地址在所有以太网设备中必须是唯一的，它由IEEE分配，是固化在网卡上的，一般不能随意改动。但是，现在的一些兼容网卡，其MAC地址可以使用网卡配置程序进行修改。如果将一台计算机的IP地址和MAC地址都改为另外一台合法主机的IP地址和MAC地址，那静态路由技术就无能为力了。

另外，对于那些MAC地址不能直接修改的网卡来说，用户还可以采用软件的办法来修改MAC地址，即通过修改底层网络软件达到欺骗上层网络软件的目的。

3、动态修改IP地址

对于一些 高手来说，直接编写程序在网络上收发数据包，绕过上层网络软件，动态修改自己的IP地址（或IP-MAC地址对），达到IP欺骗并不是一件很困难的事。

二、防范技术研究

针对IP盗用问题，网络专家采用了各种防范技术，现在比较通常的防范技术主要是根据TCP/IP的层次结构，在不同的层次采用不同的方法来防止IP地址的盗用。

1、交换机控制

解决IP地址的最彻底的方法是使用交换机进行控制，即在TCP/IP第二层进行控制：使用交换机提供的端口的单地址工作模式，即交换机的每一个端口只允许一台主机通过该端口访问网络，任何其它地址的主机的访问被拒绝，

但此方案的最大缺点在于它需要网络上全部采用交换机提供用户接入，这在交换机相对昂贵的今天不是一个能够普遍采用的解决方案。

2、路由器隔离

采用路由器隔离的办法其主要依据是MAC地址作为以太网卡地址全球唯一不能改变。其实现方法为通过SNMP协议定期扫描校园网各路由器的ARP表，获得当前IP和MAC的对照关系，和事先合法的IP和MAC地址比较，如不一致，则为非法访问。对于非法访问，有几种办法可以制止，如：

a.使用正确的IP与MAC地址映射覆盖非法的IP-MAC表项；

b.向非法访问的主机发送ICMP不可达的欺骗包，干扰其数据发送；

c.修改路由器的存取控制列表，禁止非法访问。

路由器隔离的另外一种实现方法是使用静态ARP表，即路由器中IP与MAC地址的映射不通过ARP来获得，而采用静态设置。这样，当非法访问的IP地址和MAC地址不一致时，路由器根据正确的静态设置转发的帧就不会到达非法主机。

路由器隔离技术能够较好地解决IP地址的盗用问题，但是如果非法用户针对其理论依据进行破坏，成对修改IP-MAC地址，对这样的IP地址盗用它就无能为力了。

3、防火墙与代理服务器

使用防火墙与代理服务器相结合，也能较好地解决IP地址盗用问题：防火墙用来隔离内部网络和外部网络，用户访问外部网络通过代理服务器进行。使用这样的办法是将IP防盗放到应用层来解决，变IP管理为用户身份和口令的管理，因为用户对于网络的使用归根结底是要使用网络应用。这样实现的好处是，盗用IP地址只能在子网内使用，失去盗用的意义；合法用户可以选择任意一台IP主机使用，通过代理服务器访问外部网络资源，而无权用户即使盗用IP，也没有身份和密码，不能使用外部网络。

IP安全 篇3

关键词:跨区IP专用网络;网络安全防范;网络安全防范方案

中图分类号:TP393 文献标识码:A文章编号:1007-9599 (2010) 09-0000-01

Cross-IP Specific Network Security System

Zheng Haoyu

(School of Computer,Electronic and Information,Guangxi University,Nanning530004,China)

Abstract:The Internet's open communications protocol with security holes,combined with data storage and access of its distribution and processing characteristics of the network environment,the network is vulnerable to security attacks,the attacker only attacks that may result in network transmission of data information disclosure or destruction.

Shows that a single network security products or security technology and a variety of security products sufficient to ensure network security.

And build cross-IP private network security system,network system will be able to find out all the unsafe part of security vulnerabilities,and take corresponding measures to control,effectively ensure the security of network information and the system running.

Keywords:Cross-IP private network;Network security;Network security program

跨区IP专用网络是内部管理及对外交流的重要平台。但在进行信息资源共享的同时,跨区IP专用网络系统却也处于被病毒攻击侵害的威胁,随时都可能出现信息丢失、数据损坏、系统瘫痪的局面。所以,我们要对跨区IP专用网络的安全的框架体系、安全防范的层次结构进行细致的分析研究,合理的设计设置,提高跨区网络安全防范水平,减少系统与数据的安全风险。

一、跨区IP专用网络安全存在的问题

(一)网络缺陷

IP专用网络不可或缺的TCP/IP协议,没有相应的安全保障机制,而且最初设计因特网时考虑的是局部故障不会影响信息的传输,几乎没有意识到安全问题。因此,在安全可靠性及服务质量等方面它存在不适应性。

(二)系统漏洞

网络系統安全性取决于网络各主机系统的安全性,而各主机系统的安全性又是由操作系统的安全性所决定的。这也是网络容易被人为破坏的不安全因素。

(三)病毒传播

大多数病毒具有传播快,扩散广,难以防范,难于清除彻底等特点。令人防不胜防。

(四)黑客入侵

黑客借助挖掘逻辑漏洞,采用欺骗手段进行信息搜集,寻找薄弱环节和介入机会,迅速窃取到网络用户的身份信息,进而实施对整个网络的入侵和攻击,致使内部信息被盗,甚至机密泄露。

二、跨区IP专用网络安全防范体系设计思路

安全服务、系统单元、结构层次的分项交叉的三维立体的框架结构设计,能使网络安全防范体系更具备科学性和可行性。

(一)体系框架设计思路

框架结构中每个系统单元都要与某个协议层次相对应,并采取多种安全服务以保证其系统单元的安全性;网络平台要有网络节点之间的认证和访问控制;应用平台要有针对用户的认证和访问控制;数据传输要保证完整性和保密性;应用系统要保证可用性和可靠性;要有抗抵赖及审计功能。这样一个在各个系统单元都有对应的安全措施满足其安全需求的信息网络系统,应该是安全的。

(二)体系层次设计思路

作为整体的、全方位的网络安全防范体系,不仅要对横向系统单元进行防范设计,还需对其纵向进行分层次考量。针对不同层次所反映的不同安全问题,根据网络应用现状情况及网络结构,可将安全防范体系的层次划分为物理环境的安全性、操作系统的安全性、网络的安全性、应用的安全性、管理的安全性等。

三、构建跨区IP专用网络安全防范体系方案

(一)安全组件

1.路由器:通过在路由器上安装必要的过滤,滤掉被屏蔽的IP地址与服务协议,并屏蔽存在安全隐患的协议。

2.入侵监测系统:监测网络上的所有包,捕捉有恶意或危险的目标,及时发出警告。

3.防火墙:可以防止“黑客”入侵网络防御体系,限制外部用户进入内部网,并过滤掉可能危及网络的不安全服务,拒绝非法用户进入。

4.物理隔离与信息交换系统:具有比防火墙和入侵检测技术更强的安全性能。对内部网络和不可信网络实行物理隔断,阻止各种已知与未知网络层及操作系统层的攻击。

5.交换机:利用访问控制列表,实现用户以不同要求进行的对数据包源和目的地址和协议以及源和目的端口各项的筛选与过滤。

6.应用系统的认证和授权支持:实行在输入级、对话路径级与事务处理三级无漏洞。使集成的系统具有良好恢复能力,避免系统因受攻击而瘫痪、数据被破坏或丢失。

(二)安全设计

可有效利用和发挥系统平台自身的安全环节,保证系统及数据库的使用安全。

1.身份标识和鉴别:计算机初始时,系统首先会对用户标识的身份及提供的证明依据进行鉴别。

2.访问控制:分“自主访问控制”与“强制访问控制”两种。“自主访问控制”Unix及Windows NT操作系统都使用DAC。“强制访问控制”能防范特洛伊木马,阻止用户滥用权限,具备更高的安全性。

3.审计:安全系统使用审计把包括主题与对象标识、日期和时间、访问权限请求、参考请求结果等活动信息记录下来。

(三)安全机制

采用有针对性的技术,提高系统的安全可控性,以建立高度安全的信息系统。

1.安全审核:通过完善系统基本安全设计,包括安全机制的实现和使用,增强了系统安全性,如设置网络扫描器,对系统运行周期性安全问题进行统计分析,研判针对性方案节省防护投入提高使用功效。

2.信息加密:增设可信系统内部加密存储、跨越不可信系统在可信系统间传输受控信息等机制。考虑建设环境和经费预算控制,结合使用自建CA与第三方CA对专用网络通道进行加密认证,常应用信息加密技术和基于加密与通道技术上的VPN系统。

3.灾难恢复:对重要数据定期进行备份,保证重要数据在系统出现故障时仍能准确无误。

四、结束语

保证跨区IP专用网络安全,需要在采用相应的技术措施的基础上,加强网络安全管理;制定相关的规章制度、使用规程以及应急措施,在提高工作人员的业务能力的同时,增强网络安全防范意识、保密观念与责任心,使网络安全防范体系有效发挥作用;引入安全风险评估体系,定期进行风险评估和检查,对内外部环境变化产生的新安全问题进行快速评估以改进完善安全设计方案,建立专用网络安全的长效机制。

参考文献:

[1]贾金岭.构建跨区IP专用网络安全防范体系的探讨[J].网络与信息.2010,5

[2]徐涛.网络安全防范体系及设计原则分析[J].电脑知识与技术,2009,9

[3]刘宏培,余斌.论网络安全体系下的安全防范技术[J].科技风,2009,13

基于IP的网络安全性研究 篇4

一、IP网络安全隐患的分析

随着互联网时代的到来, 人们在网络中的活动逐渐增多, 并在最终程度上实现了资源信息的共享, 但是这种现象的出现导致网络安全受到了一定的制约性。而且, 在研究中可以发现IP安全网络隐患主要可以分为以下几点:第一, IP协议中的数据流主要采用了明文传输的方式, 因此, 在信息内容传输的过程中容易被窃听及篡改, 而攻击者很容易获得文件传输者的用户账号、口令数据包等。第二, 源地址欺骗, 主要是将IP地址作为网络节点中的唯一标识, 但是其IP地址并不是固定的, 因此, 网络攻击者可以根据这一特点进行IP地址的修改, 从而使用户的信息遭到侵袭。第三, 路由选择信息协议攻击, 对于这种信息的攻击方式而言, 主要是在局域网络中所发布的动态信息, 但是, 对于所发的布信息, 管理系统并不会检查其真实性, 这就导致网络信息在运行的过程中出现了一定安全因素。第四, 鉴别攻击, IP协议只可以对IP地址进行鉴定, 却不能对该节点中用户的身份进行认证, 所以服务器在登陆的过程中不能显示身份的有效性。例如, UNIX系统在应用的过程中会采用用户名、口令的识别形式, 但是由于其口令是静态的, 所以在应用的过程中无法有效的抵制窃听。

二、网络安全检测中的基本原则及流程

2.1 网络安全检测的原则

第一, 整体性原则, 在通信系统安全处理的过程中, 应该充分考虑其整体性的原则, 所以在任何检测环节都应该有效减少网络系统运行中的安全问题。第二, 相对性原则的分析, 在绝对安全可靠的通信环境之下, 网络环境中的安全性是相对存在的, 因此, 要想实现网络安全性的运行, 就不能偏离其成本以及片面的追求网络安全性能。第三, 目的原则, 对于目的原则而言, 主要是在网络安全环境构建的过程中应该树立明确性的目标。第四, 动态性原则, 网络安全是在信息环境逐渐发展中所形成的, 通过平衡性、动态化网络环境的营造, 在检测的过程中可以实现动态化的检测目标。但是, 如果安全攻击超过了网络安全的防护技术, 就会导致安全周期出现重复的现象。

2.2 网络安全检测流程分析

在网络安全检测流程分析的过程中, 应该构建完整性的工作流程, 如图所示。检测人员在安全问题分析的过程中, 应该对用户的需求进行安全性的分析, 并通过针对性检测目标的构建达到预期检测价值, 而测试人员也应该根据用户的需求进行安全检测, 测试人员在检测的过程中应该有效获得检测的基本标准, 并在最终程度上实现测试的规范性, 为整个网络环境的安全性运行奠定良好的基础。与此同时, 在安全检测的过程中, 检测人员也应该根据测试或是评估中的数据对被测试对象进行评价, 充分保证网络系统运行的安全性。

三、IP的网络安全性检测方法

3.1 网络安全中的协议检测

IP网络中的整个通信系统主要是将IP协议作为基础, 解决IP网络的安全问题。因此, 在现阶段网络环境营造的过程中, 应该对安全维度进行分析及维护, 强调IP协议的安全性。在IP协议检测的过程中, 充分保证通信设备的正确性, 使通信协议在应用的过程中遵守基本的互通原则。协议测试中最基本的内容是黑盒测试, 不需要检测其内部代码, 所以应该通过对通信协议的分析, 观察外部行为的基本内容。在现阶段协议测试的过程中, 其基本的形式主要包括协议一致性测试以及互操作性测试。首先, 协议一致性测试主要是在确定被测试以及标准协议中的符合现象。在一些特定的网络环境下, 可以在黑盒测试的同时进行被测内容与实际内容的比较, 合理分析预测数值与所测数值的异同性。而且, 在协议一致性测试以及互操作性测试的过程中, 其技术的应用是十分重要的, 而且两者是相互依存以及相互补充的, 所以, 在网络安全检测中要认清这两种协议的基本性能, 从而为网络环境的营造奠定良好的基础。与此同时, 在协议一致性检测的过程中, 检测人员通常情况下会选用较为知名的协议一致性的测试系统, 从而有效监测被测设备协议规范的安全性。其次, 在互操作性测试评价及分析的过程中, 主要是为了实现网络操作环境中的正确性交互, 有效确定被测设备是否可以支持所需要的基本功能。在互操作性测试的过程中, 测试人员会搭建一种实际性的检测环境, 其主要的内容包括认证的设备以及被测的设备通信, 并将整个技术形式应用在被测设备是否可以正常工作的预测中。

3.2 网络安全中的功能测试

功能测试主要是为了保证IP网络、设备以及安全技术的完整性, 所以, 在检测技术应用中应该在网络安全检测中保证其功能的测试。其中功能测试主要是对协议测试的有效补充, 在协议测试的过程中其最基本的功能是在现实角度对其安全问题进行分析, 而功能测试则是在用户角度以及业务过程进行分析。与此同时, 在IP安全功能检测的过程中, 其检测的目的可以分为两种, 首先, IP功能的检测可以通过对真实环境的模拟有效防御攻击者的操作行为, 判断IP网络以及设备的安全性功能。其次, 通过管理员的操作可以逐渐提高网络的安全性, 并按照用户的实际需求进行网络安全的检测。

3.3 网络安全性的性能测试

网络安全中性能检测的对象主要是在极限安全压力下所进行的测试, 这一测试应该在功能测试之后进行, 通常情况下性能测试可以测出功能中的缺陷, 这两者之间存在一定的关联性, 而在分析的过程中, 应该注意其包括基本性能可以分为以下几点:首先, 常规性能的测试应该在通常情况下进行安全工作的检测, 其次, 负载压力测试是在一定条件下被测得的所承担攻击的数量, 负载的压力应该包括并发性能的测试、疲劳强度的测试以及大数据测量等相关内容。最后, 应该充分保证可靠性测试, 其中的可靠性测试主要是在一定时间内进行的安全约束, 因此, 在性能检测的过程中可以保证网络系统的安全性, 实现网络环境的安全性运行。

3.4 网络物理安全测试

物理安全测试主要是被测对象在特定物理环境下进行的安全工作, 其主要的内容可以分为以下三点, 第一, 是电气安全, 主要是指被测对象的电气性能, 技术应用中主要包括人身安全以及设备安全, 人身安全主要是被测对象对使用者人身安全的考虑, 而设备安全主要是被测对象本身受电力影响的能力分析。第二, 电子兼容, 是指电磁波对被测对象的影响分析, 在检测的过程中应该包括被测对象所经受的电磁影响以及被测对象的外部影响因素等。但是在整个检测的过程中应该保证重要信息不能外漏, 有效避免电信网络安全对用户造成的影响。第三, 是环境可靠性的分析, 通过环境可靠性问题的分析, 应该充分考虑到通信设备对恶劣环境的承受能力等因素的限制, 并在物理检测的同时处理好相关问题, 从而为网络的安全运行营造良好的空间。

四、结束语

总而言之, 在现阶段全球化网络信息发展的过程中, 不论是政府网络还是企业网络都逐渐渗透到了人们的生活之中。在整个环境中, 用户在网络信息应用的过程中主要是通过操作系统对网络信息进行的获取, 因此, 网络环境的安全性是十分重要的。而在现阶段网络信息应用的过程中, 网络漏洞成为网络安全领域中较为重要的问题, 所以应该强化网络安全漏洞的检测及分析, 有效弥补网络运行中的安全问题, 充分保证IP技术在不断完善及优化的基础上, 实现网络环境的安全运行。.

参考文献

[1]吴训吉.专用IP网络信息安全技术研究[D].西安电子科技大学, 2012.

TCP-IP协议和IP地址 篇5

TCP/IP是Transmission Control Protocol/Internet Protocol的简写，中文译名为传输控制协议/互联网络协议）协议是Internet最基本的协议，简单地说，就是由底层的IP协议和TCP协议组成的。在Internet没有形成之前，各个地方已经建立了很多小型的网络，称为局域网。Internet的中文意义是“网际网”，它实际上就是将全球各地的局域网连接起来而形成的一个“网之间的网（即网际网）”。然而，在连接之前的各式各样的局域网却存在不同的网络结构和数据传输规则，将这些小网连接起来后各网之间要通过什么样的规则来传输数据呢？这就象世界上有很多个国家，各个国家的人说各自的语言，世界上任意两个人要怎样才能互相沟通呢？如果全世界的人都能够说同一种语言（即世界语），这个问题不就解决了吗？TCP/IP协议正是Internet上的“世界语”。

TCP/IP的参考模型

要理解Internet，并不是一件非常容易的事，TCP/IP协议的开发研制人员将Internet分为五个层次，以便于理解，它也称为互联网分层模型或互联网分层参考模型，如下表：

应用层（第五层）

传输层（第四层）

互联网层（第三层）

网络接口层（第二层）

物理层（第一层）

下面对这五个层次作一些讲解，初学者对这些概念有一个感性的认识就可以了，如果想深入学习这些内容，可以参考有关计算机网络底层知识方面的书籍。

·物理层：对应于网络的基本硬件，这也是Internet物理构成，即我们可以看得见的硬件设备，如PC机、互连网服务器、网络设备等，必须对这些硬件设备的电气特性作一个规范，使这些设备都能够互相连接并兼容使用。

·网络接口层：它定义了将数据组成正确帧的规程和在网络中传输帧的规程，帧是指一串数据，它是数据在网络中传输的单位。

·互联网层：本层定义了互联网中传输的“信息包”格式，以及从一个用户通过一个或多个路由器到最终目标的“信息包”转发机制。

·传输层：为两个用户进程之间建立、管理和拆除可靠而又有效的端到端连接。·应用层：它定义了应用程序使用互联网的规程。

TCP/IP 通信协议1--网际协议IP

Internet 上使用的一个关键的低层协议是网际协议，通常称IP协议。我们利用一个共同遵守的通信协议，从而使 Internet 成为一个允许连接不同类型的计算机和不同操作系统的网络。要使两台计算机彼此之间进行通信，必须使两台计算机使用同一种“语言”。通信协议正像两台计算机交换信息所使用的共同语言，它规定了通信双方在通信中所应共同遵守的约定。计算机的通信协议精确地定义了计算机在彼此通信过程的所有细节。例如，每台计算机发送的信息格式和含义，在什么情况下应发送规定的特殊信息，以及接收方的计算机应做出哪些应答等等。网际协议IP协议提供了能适应各种各样网络硬件的灵活性，对底层网络硬件几乎没有任何要求，任何一个网络只要可以从一个地点向另一个地点传送二进制数据，就可以使用IP协议加入 Internet 了。

如果希望能在 Internet 上进行交流和通信，则每台连上 Internet 的计算机都必须遵守IP协议。为此使用 Internet 的每台计算机都必须运行IP软件，以便时刻准备发送或接收信息。IP协议对于网络通信有着重要的意义：网络中的计算机通过安装IP软件，使许许多多的局域网络构成了一个庞大而又严密的通信系统。从而使 Internet 看起来好像是真实存在的，但实际上它是一种并不存在的虚拟网络，只不过是利用IP协议把全世界上所有愿意接入 Internet 的计算机局域网络连接起来，使得它们彼此之间都能够通信。

TCP/IP通信协议2--传输控制协议TCP

尽管计算机通过安装IP软件，从而保证了计算机之间可以发送和接收数据，但IP协议还不能解决数据分组在传输过程中可能出现的问题。因此，若要解决可能出现的问题，连上 Internet 的计算机还需要安装TCP协议来提供可靠的并且无差错的通信服务。

TCP协议被称作一种端对端协议。这是因为它为两台计算机之间的连接起了重要作用：当一台计算机需要与另一台远程计算机连接时，TCP协议会让它们建立一个连接、发送和接收数据以及终止连接。传输控制协议TCP协议利用重发技术和拥塞控制机制，向应用程序提供可靠的通信连接，使它能够自动适应网上的各种变化。即使在 Internet 暂时出现堵塞的情况下，TCP也能够保证通信的可靠。

众所周知，Internet 是一个庞大的国际性网络，网路上的拥挤和空闲时间总是交替不定的，加上传送的距离也远近不同，所以传输数据所用时间也会变化不定。TCP协议具有自动调整“超时值”的功能，能很好地适应 Internet 上各种各样的变化，确保传输数值的正确。因此，从上面我们可以了解到：IP协议只保证计算机能发送和接收分组数据，而TCP协议则可提供一个可靠的、可流控的、全双工的信息流传输服务。

综上所述，虽然IP和TCP这两个协议的功能不尽相同，也可以分开单独使用，但它们是在同一时期作为一个协议来设计的，并且在功能上也是互补的。只有两者的结合，才能保证 Internet 在复杂的环境下正常运行。凡是要连接到 Internet 的计算机，都必须同时安装和使用这两个协议，因此在实际中常把这两个协议统称作TCP/IP协议。

IP地址

在Internet上连接的所有计算机，从大型机到微型计算机都是以独立的身份出现，我们称它为主机。为了实现各主机间的通信，每台主机都必须有一个唯一的网络地址。就好像每一个住宅都有唯一的门牌一样，才不至于在传输数据时出现混乱。

Internet的网络地址是指连入Internet网络的计算机的地址编号。所以，在Internet网络中，网络地址唯一地标识一台计算机。

我们都已经知道，Internet是由几千万台计算机互相连接而成的。而我们要确认网络上的每一台计算机，靠的就是能唯一标识该计算机的网络地址，这个地址就叫做IP（Internet Protocol的简写）地址，即用Internet协议语言表示的地址。

目前，在Internet里，IP地址是一个32位的二进制地址，为了便于记忆，将它们分为4组，每组8位，由小数点分开，用四个字节来表示，而且，用点分开的每个字节的数值范围是0~255，如202.116.0.1，这种书写方法叫做点数表示法。

IP地址可确认网络中的任何一个网络和计算机，而要识别其他网络或其中的计算机，则是根据这些IP地址的分类来确定的。一般将IP地址按节点计算机所在网络规模的大小分为A，B，C三类，默认的网络掩码是根据IP地址中的第一个字段确定的。

1.A类地址

A类地址的表示范围为：0.0.0.0~126.255.255.255，默认网络掩码为：255.0.0.0；A类地址分配给规模特别大的网络使用。A类网络用第一组数字表示网络本身的地址，后面三组数字作为连接于网络上的主机的地址。分配给具有大量主机（直接个人用户）而局域网络个数较少的大型网络。例如IBM公司的网络。

2.B类地址

B类地址的表示范围为：128.0.0.0~191.255.255.255，默认网络掩码为：255.255.0.0；B类地址分配给一般的中型网络。B类网络用第一、二组数字表示网络的地址，后面两组数字代表网络上的主机地址。

3.C类地址

C类地址的表示范围为：192.0.0.0~223.255.255.255，默认网络掩码为：255.255.255.0；C类地址分配给小型网络，如一般的局域网和校园网，它可连接的主机数量是最少的，采用把所属的用户分为若干的网段进行管理。C类网络用前三组数字表示网络的地址，最后一组数字作为网络上的主机地址。

实际上，还存在着D类地址和E类地址。但这两类地址用途比较特殊，在这里只是简单介绍一下：D类地址称为广播地址，供特殊协议向选定的节点发送信息时用。E类地址保留给将来使用。

从上两节的知识可以知道，连接到Internet上的每台计算机，不论其IP地址属于哪类都与网络中的其他计算机处于平等地位，因为只有IP地址才是区别计算机的唯一标识。所以，以上IP地址的分类只适用于网络分类。

IP管理员如何挑选有价值的IP 篇6

今年，电影《何以笙箫默》导演杨文军和黄斌在接受媒体采访时提到，他们有把电影《致青春》改编成电视剧的打算：“《致青春》是一个超级IP。”改变就发生在这两年。如今，影视剧制作有了另外一层含义，那就是IP开发：《爸爸去哪儿》变成IP后，可以在综艺和电影两种形式间自由切换；《平凡的世界》当年通过电波影响数亿人，当然也是个好IP，所以变成热门电视剧也不算意外惊喜；迪士尼乐园本身就是超级IP，所以可以在主题园区、影视剧，以及其他衍生品之间自由切换（比如电影《明日世界》）……这些都称得上IP开发的成功案例，当然这一切的前提是，你要有个好IP。某种程度上，“IP管理员”的诞生，是市场呼唤的结果。对于“IP管理员”究竟是什么职位，媒体人，《大众电影》策划总监梅雪风在微信朋友圈分享过这样一个段子：他的一个女性朋友有个当记者的朋友，某天跑到网络公司管IP去了，她当时吓了一跳，“只听说有由理转文的，怎么你深藏不露还能由文转理？”原来她把IP管理员的工作理解成了管理IP地址。这是今年3月份的事，其时对于很多电影媒体圈的人来说，究竟什么是IP，大家都一头雾水。

6月30日，小马奔腾公司副总裁李立功先生和文学总监齐欣女士接待了来自“儒意欣欣版权中心”的两位客人，她们随身带着几本册子，里面是该司从2011年到2015年策划出版的图书明细，从图书品类来看，既有青春文学，也有大众社科。“你们挑吧。”驰宇和张子晴把册子递过去，笑着说。这两位的身份，便是很多媒体人好奇的“IP管理员”，顾名思义，她们的工作是“管IP”。不过在现实工作职务中，驰宇和张子晴分别担任影视版权中心的总监和影视版权经理。北京儒意欣欣文化发展有限公司的影视版权中心目前有5个人，代理了上百部经过读者考验的小说，上百个故事，换句话说，上百个IP。 “它们未来或许会转化为影视剧。”毫无疑问，我们今天处于一个娱乐当道的时代，对票房和收视率的追求已经变成某种原教旨主义，IP就是在这样的时代背景下诞生的。不可避免地，它天生就带有“商业就是这样”的傲慢基因，这种基因在很多把影视作品当艺术的“传统手艺人”——比如冯小刚看来，简直和崔永元眼中的转基因没有什么区别，所以他才会在一些场合对IP冷嘲热讽。在IP处境颇为微妙的当下，也许所有的赞弹都有站队嫌疑，所以倒不如让与IP零距离的前方人士谈谈自己的工作，不失为一次深度了解IP价值如何实现的好机会。

IP管理员，你其实并不陌生

Q：我们最好奇的一个问题，就是影视版权总监和影视版权经理这两个职位，主要负责哪方面的内容？还有现在有个新的职位叫IP管理员，我们是否可以理解，说的就是你俩所从事的工作？

A： IP管理只是版权推广的一个环节，在它之前和之后还有许多工作，比如引进和评估，比如渠道建设和输出，比如包装和孵化。“儒意欣欣”过去主要做图书，而未来70%的业务会以版权内容为主，我们是一家专业的内容服务公司。图书公司成立以来一直在做自有产品版权，而从4月份开始做代理和孵化版权。部门的工作重点是如何将好的内容转化成影视、游戏、舞台剧等，同时影视作品也可以转换成图书走向出版市场，是所谓全版权的IP开发。

Q：把一个好的IP变成产品，你们是怎么操作的？

A：不一定所有的故事都能叫做IP，我们需要筛选，从输入到输出，中间有一个评估机制和流程。引入一个选题后，要评估它是否具备转化的价值和可能性，如果它具备，就有可能成为一个IP。每周五版权经理们把选题引入“儒意欣欣”，总监和总经理进行评估、打分。评估合格后，就签进来代理推广，这之后又要考虑输出的问题。“儒意影业”是我们的一个客户，也从我们这里买了一些IP，但更多的是推荐给其他制作方和出品方。在这个过程中，不断积累资源和渠道，更好地服务于作者和影视公司。

Q：你们是怎样发现一个作者的，或者说好IP？

A：有些资源差不多都已经形成了，我们以前都做过出版，手里有一定的作者资源，他们有些投稿，另外认识一些网站内容的负责人，他们也希望有些网络小说可以转变成书或者影视作品。所以他们会源源不断地给我们提供资源。另外还有出版社的资源，因为很多出版社是不做影视版权的，但是他们会顺便把影视版权签到社里。很多图书公司也是这样的情况，影视这一块有就做，没有就不做。“儒意欣欣”的影视版权部门是在去年正式成立的，那时IP才刚刚兴起。

Q：到目前为止，你们版权合作的项目做成多少？

A：这个“做成”没有很清晰的界定，因为有些项目，我们把IP输出之后，会参与电影的票房分成，而不是买断价格。但是怎么说，创造的利润也过千万了。

Q：能给我们讲些具体的成功案例吗？

A：像蓝白色的作品《世界只有一个你》，风为裳的《别低估了梁红玉》，午歌的《这个世界上的一切都是胖子的》，晴空蓝兮的《良辰讵可待》等，都是自有产品，还有一些代理产品和自有孵化产品。

nlc202309042317

和IP打交道，悟性最重要

Q：电视剧做得比较成功的案例有哪些？

A：有个电视剧叫《心灵解码》，是个行业剧，最近正在开发。相对于小说版权，电视剧版权的利润要高一些。我们去年的主要任务是储备选题，因为去年的市场情况还是比较好的，也看到了IP资源的优势，所以签了大量的选题进来，今年的重点是往外推，是这样一个发展战略。今年也会进行人才的储备。形成一个良性循环。今年收获比较大的是，很多影视公司都过来和我们谈，市场前景十分看好。

Q：你们刚才谈到人才储备的问题，那么，什么样的人才符合影视版权管理者这样一个职位？影视版权管理者需要具备哪些条件？

A：首先要有敏锐的悟性，判断选题的时候要判断它的转化率，当然大咖的作者更好了，但是大咖对我们来说往外推的难度也比较大，因为大咖一般会谈个保底价，比如在合同里会有很多约束。做IP不是那么容易就能签进来的，因为有可能你看了很多，最后代理的只有两个。尤其是网络文学，它比较水，你要看到它的故事核，所以这是一个悟性的东西。还有要看应聘者对影视版权这个部门的需求性有多强，你是否希望在这个部门里面成长，认为这个团队的利益尤为重要，愿意跟大家绑定，还是只是来看一下是怎么回事……现在有很多人对影视版权不了解，他可能进来就是来看看怎么回事，不感兴趣的就走了。我们对员工的稳定性还是有要求的。

Q： 你们会有业绩考核吧？

A：当然有。我们还有半年时间，今年的任务就基本上快完成了，今年的市场确实比较好。

Q：最近IP的处境有点微妙，一方面，业内对像《爸爸去哪儿》这样的IP电影的商业前景普遍看好，另一方面，很多人又对这种有点急功近利的心态不太认同。二位怎么看IP的这种处境？

A：很有可能到明年就没有IP这个词了，不过也有人说这个词还有三年热度，有些公司已经开始在调整战略。大家提IP也不是坏事，因为以前大家可能没有注意到传统内容这一块，所以发现后才出现疯抢，像发现宝藏一样。有些大公司储备能力比较强，它会买很多IP ，不在乎转化率，可能最后就砸在手里了，所以现在也是个比较混乱的状态。IP就是一个很快能转化成影视的东西。但是话又说回来，即使IP这种说法有天消失了，它可能也会以新的名目出现，好东西是不会消失的。

Q：“儒意欣欣”今年重推的一部小说，名字叫《赦免之日》，能谈谈你们是怎样发现这个IP的吗？顺便谈谈你们与作者签约和推广的过程吧。

A：是这样的，《赦免之日》之所以现在在我们手里，也和“儒意欣欣”的品牌吸引力有关。除了主动寻找有潜力的作者和好故事，也会有一些作者慕名而来，因为我们的联系方式就印在书上，所以会有些自由来稿；还有一种是我们去寻找，比如有些作者他本来已经有出版经验了，看到他出的书特别有潜力，但是他可能第一本做得不好，这种情况我们也会去联系他，问他近来有没有写新长篇的打算，然后我们再进行包装。

一个IP开发的成功案例

Q：对于影视版权经理来说，找到一个好的IP确实很难。

A：是的。像《赦免之日》，它的最早名字叫《谁扔的第一块砖头》，这个作者最早是慕名而来，刚好他的一本书和我们公司的书是放在一起的，他在书店看到了，他拿起来觉得这个书的品相做得不错，就翻了一下，然后联系了我们公司的营销总监。营销总监又转到内容中心，因为我之前是做出版的，所以就转到我那儿去了。我一看，写得非常好，其中有个短篇，《当初恋遇见初恋》。内容中心也是有评估机制的，每周三报选题，每周五开选题会，会上老总看到这个选题拍案叫绝，说这个肯定要和他签，当时就把这个长篇签下来了。签下之后，你要尽量去开发他的潜能。我们这边有很多影视公司的资源，有一家比较大的影视公司，跟日本很多知名导演签过战略协议。《入殓师》导演泷田洋二郎，正好需要拍摄一个中国题材的电影，就来公司和我们谈了诉求，我当时一下就想到这个作者了，然后把故事的题材和方向和他讨论了。

《赦免之日》是8月份出版，如果他跟导演签了的话，我们的出版也可以借势，宣传上可以做到同步，对书的销量也是个好事。作者四天就把一万字的故事写完了，泷田导演一看，当时就决定改导演本。这个项目就成了。我当时做这个项目是带点侠义心肠的，因为作者家里比较特殊，他父亲得了重病，要化疗，我当时就跟他说，如果你需要钱的话，我可以把稿费预支给你，他说不用。所以要有意培养自己的作者，像顾漫、辛夷坞这些作者十年前就已经养成了，现在你再去找他们谈IP代理和购买就比较难了。所以你要去有意识地培养作者。

Q：最后一个问题，寻找IP和管理IP的成本，哪个更高一些？

A：应该是后者更高一些。因为选IP我们有的是资源，无论是花的时间还是金钱相对比较少，但是转化和推出去则要做很多工作，比如要做推荐资料、影视推荐表，然后要做梳理，重点项目是要做PPT的，从市场的角度去做，比如匹配的导演、演员、编剧，是要给客户看的。大项目会有PPT宣讲，会把很多公司的负责人请过来，我们会做得很全。其实我们最主要还是做服务，我们就是中间人的角色。

TCP/IP协议的安全问题初探 篇7

TCP负责发现传输的问题, 一有问题就发出信号, 要求重新传输, 直到所有数据安全正确地传输到目的地。而IP是给因特网的每一台电脑规定一个地址。TCP/IP协议数据流采用明文传输。TCP/IP协议组本身存在很多安全性方面的漏洞。这些弱点正导致了攻击者的拒绝服务 (DOS) 、Connection Hijacking以及其它一系列攻击行为。

TCP/IP主要存在以下几个方面的安全问题:

(1) 源地址欺骗 (Source address spoofing) 或IP欺骗 (IP spoofing) 。

(2) 源路由选择欺骗 (Source Routing spoofing) 。

(3) 路由选择信息协议攻击 (RIP Attacks) 。

(4) 鉴别攻击 (Authentication Attacks) 。

(5) TCP序列号欺骗 (TCP Sequence number spoofing) 。

(6) TCP序列号轰炸攻击 (TCP SYN Flooding Attack) , 简称SYN攻击。

(7) 易欺骗性 (Ease of spoofing) 等等。

2 对TCP/IP所受的攻击类型

2.1 TCP SYN attacks或SYN Flooding

TCP利用序列号以确保数据以正确顺序对应特定的用户。在三向握手 (Three-Way Handshake) 方式的连接打开阶段, 序列号就已经建立好。TCP SYN攻击者利用大多数主机执行三次握手中存在的漏洞展开攻击行为。当主机B接收到来自A的SYN请求, 那么它必须以“Listen Queue”跟踪那部分打开的连接, 时间至少维持75秒钟, 并且一台主机可以只跟踪有限数量的连接。一台非法主机通过向其它主机发送SYN请求, 但不答复SYN&ACK, 从而形成一个小型的Listen Queue, 而另一台主机则发送返回。这样, 另一台主机的Listen Queue迅速被排满, 并且它将停止接收新连接, 直到队列中打开的连接全部完成或超出时间。至少在75秒内将主机撤离网络的行为即属于拒绝服务 (Denialof-Service) 攻击, 而在其它攻击中也常发生这样的行为, 如伪IP。

IP Spoofing——伪IP技术是指一种获取对计算机未经许可的访问的技术, 即攻击者通过伪IP地址向计算机发送信息, 并显示该信息来自于真实主机。IP层假设它所接收到的任何IP数据包上的源地址都与实际发送数据包的系统IP地址 (没有经过认证) 相同。很多高层协议和应用程序也会作这样的假设, 所以似乎每个伪造IP数据包源地址的人都可以获得非认证特免。伪IP技术包含多种数据类型, 如Blind和Non-Blind Spoofing、Man-in-theMiddle-Attack (Connection Hijacking) 等。

2.2 Routing Attacks

该攻击利用路由选择信息协议 (RIP:TCP/IP网络中的基本组成) 。RIP主要用来为网络分配路由选择信息 (如最短路径) 并将线路传播出局域网络。与TCP/IP一样, RIP没有建立认证机制, 所以在无需校验的情况下就可以使用RIP数据包中的信息。RIP攻击会改变数据发送目的地, 而不能改变数据源位置。例如, 攻击者可以伪造一个RIP数据包, 并声称他的主机“X”具有最快网外路径。所有从网络中发送出去的数据包可以通过“X”发送, 并且进行修改或检查。攻击者还可以通过RIP高效模仿任何主机, 并导致所有将要发送到那台主机上的通信流量全部发送到了攻击者机器上。

2.3 ICMP Attacks

IP层通常使用Internet控制信息协议 (ICMP:Internet Control Message Protocol) 向主机发送单行道信息, 如“ping”信息。ICMP中不提供认证, 这使得攻击者有机会利用ICMP漏洞攻击通信网络, 从而导致拒绝服务 (Denial of Service) 或数据包被截取等攻击。拒绝服务基本上利用ICMP Time Exceeded或Destination Unreachable信息, 使得主机立即放弃连接。攻击者可以伪造其中一个ICMP信息, 然后将它发送给通信主机双方或其中一方, 以取消通信双方之间的连接。

2.4 ARP欺骗

在局域网中, 是通过ARP协议来完成IP地址转换为第二层物理地址 (即MAC地址) 的。ARP协议对网络安全具有极其重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗, 能够在网络中产生大量的ARP通信量使网络阻塞。

ARP协议是“Address Resolution Protocol” (地址解析协议) 的缩写。在局域网中, 网络中实际传输的是“帧”, 帧里面是有目标主机的MAC地址的。在以太网中, 一个主机要和另一个主机进行直接通信, 必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢?它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。

3 总结

基于IP的智能电网网络安全体系 篇8

由于智能电网技术发展, 网络安全对电网也变得非常重要。这些技术将网络信息系统应用扩展到了以前只是需要人工操作而不能远程访问的电网和用户资产。智能电网技术可以显著提高输电网效率和环境绩效, 但同时也要保证电网的坚强。这以目标可以通过不同标准技术的实施来实现。智能电网用户和运营商应采取协同行动保证输电网安全。

电网的安全性要求一个降低对电网物理攻击和网络攻击的脆弱性并快速从供电中断中恢复的全系统的解决方案。智能电网将展示被攻击后快速恢复的能力, 设计和运行都将阻止攻击, 最大限度地降低其后果和快速恢复供电服务, 也能同时承受对电力系统的几个部分的攻击和在一段时间内多重协调的攻击。智能电网的安全策略将包含威慑、预防、检测、反应, 以尽量减少和减轻对电网和经济发展的影响。

1 基于IP的智能电网网络安全体系及其层次

为了保护电网运行, 智能电网应根据深度防御原则实施安全策略。深度防御是指在多层次上实施安全规则, 以保证任一层次或多层次的入侵不会破坏系统。该方案应基于IP的解决方案, 充分利用相关成熟研究成果, 并支持网络安全系统远程升级到最新标准。

基于IP的安全规则用于保护许多需要高度可靠性和安全性的产业的关键数据和资产。基于IP的安全机制应包涵最新的关键安全测试技术, 并能够保持与现有系统和未来系统的互操作性, 主要包括网络、主机、应用和个人等层次的网络安全。

(1) 网络层安全。

智能电网网络应支持采用多种通信介质来满足不同电网用户的安全需求和性能需求。例如, 无线网络能够满足农村地区每天抄表的功能, 但不能满足实时分布式控制的需求。任一电网都会使用多种通信技术, 因此安全防护应能够在所有网络中工作, 能够保证终端的通信安全, 并支持在非安全网络通道条件下的安全访问, 为电网提供更多较低成本的通信选择。

为了降低通信网络的脆弱性, 应将网络划分为与每一通信设备相连的独立链路。在网络管理应用和网络设备通信方面可采用了SNMPv3和AES-128加密标准实现完全身份验证和加密。即使在查找故障时需要直接进行设备登录, 也只能限制在SSH2 (Secure Shell 2) 层次。除SNMP v3和SSH2之外的管理协议都不能执行。SNMP v3是目前最安全的SNMP版本。IPSEC则负责提供用户鉴权、访问控制、设备鉴权和指令鉴权。

这些策略保证通信设备能够作为安全中断, 并将安全性扩展到接入通信网络的电力设备, 如电容器组控制器、重合器等同时也支持多通信介质上的网络设备的安全互操作。

(2) 主机和应用层安全。

基于深度防御原则, 主机可理解为接入网络的单个设备, 如服务器和PC, 而应用层是指智能电网服务的执行层。主要安全规则如下。

(1) 基于角色的访问控制:为不同类型用户提供了不同层次的访问权限级别。基于角色的访问控制允许限制个人对智能电网和信息网络的访问。这主要通过采用电网规定的职能权限和物理地址确定的分类结构实现。这些权限控制通过轻量级目录访问协议LDAP集中进行控制, 并可限制内部供给或意外误操作造成的安全风险。

(2) 非活动设备置无效:将未运行的软件包和服务置为无效, 以限制外部主体侵入和威胁电网运行。同时, 网络设备登陆也将被置为无效, 严格限制缺省配置。只有活动端口可开放, 并且限制IP转发和路由。这些策略都被工具化以支持避免服务威胁供给。对于单个网络服务器, 将非必须服务和端口在自动安装过程中置为无效。

(3) 防火墙兼容性:本智能电网体系应支持主机和应用层内的多层次IP和XML防火墙, 以保护电网访问接口点。除了实施IP和端口限制的多层次防火墙, 还应支持XML防火墙以对应用API进行鉴权。这一方法可捕获可能威胁网络信任域安全的潜在危险指令, 还支持面向服务体系结构下企业服务总线上的WEB服务接口防火墙。

(4) 加密:在主机和应用层上, 通过SNMPv3为每个设备分配设备唯一的加密和鉴权密钥。SNMPv3通信通过AES-128进行加密。通过唯一密钥, 能够检测出外部攻击。为了支持故障查找时用户对主机或应用的安全访问, 可采用公共—个体密钥机制增强SSH-2协议。这两种情况下, 都应采用AES-128加密方法保护通信链路。

(5) 可追踪和审计:系统能够追踪和审计所有智能电网部件或应用的行为。电网用户需要采用复合口令登陆系统用户界面, 该口令应满足电网安全策略要求。一旦登陆后, 该用户将被严格限制于基于角色授权的功能集。并且, 所有访问都会被记入日志并打上时间标记。用户界面和网络设备之间的通信链路由IPSEC隧道保证安全。在网络设备接受任一指令前, 用户界面和终端设备都需要相互鉴权。鉴权确认后, 才能执行相应操作。操作完成后, 即拆除相应链路和退出用户界面。所有过程都可追踪, 并能够用于事后审计。

(6) 访问日志:系统对所有访问企图、指令和响应都记入日志和打上时间标记。日志服务器作为历史记录可以支持安全监测和诊断分析。

(7) 警告:除了检查日志检测安全威胁, 还监测所有网络设备发出的警告。所有警告都被记录并可用于安全性分析, 并可转发给其它应用系统。

(3) 个人/C IP兼容。

深度防御最重要的层次是对个人安全策略的支持。常用的策略包括:关键网络资产标识、安全管理工具、个人化基于角色的账户、电子安全卡、关键网络资产的物理安全、系统安全管理、事故报告和响应规划、关键网络资产的恢复规划等。

2 结语

基于IP的网络安全防护体系将是智能电网未来发展的方向。因为, IP层将成为电力系统通信及应用体系的基础协议层。电力系统将在此层次上实现数据、业务流程和应用层的统一和集成。这一领域还有很多有待研究的问题。

摘要：本文在分析智能电网安全重要性的基础上, 提出了包括网络、主机、应用和个人等多层次的智能电网网络安全体系, 并分别对各层次的必要安全策略进行了分析。

IP安全 篇9

通常, 人们通过在电脑上安装杀毒软件, 及时更新电脑的补丁包等方式来对网络攻击进行防范, 这种防范技术具有大众性, 无论是在局域网还是广域网中都适用, 但并没有考虑到局域网使用范围小且应用需求特殊等条件。通常, 企业为提高内网的安全性, 会要求局域网内部电脑不允许访问互联网, 不允许在内网私自搭建游戏平台, 不允许开放部分敏感且易受攻击的端口等。那么, 如何通过简单且经济的方式来尽可能提升局域网内电脑的安全性呢?

为此需要控制电脑使用的网络范围, 防止与非法用户进行信息交互, 关闭电脑中一些与工作无关、具有安全隐患、易受黑客攻击的端口等, 可以通过计算机自带的IP安全策略来实现。

IP安全策略是一个给予通讯分析的策略, 它会将通讯内容与设定好的规则进行比较, 以判断通讯是否与预期相符合, 以此决定允许还是拒绝通讯的传输。IP安全策略的功能类似于交换机中的ACL (Access Control List, 访问控制列表) 或是网络防火墙, 当用户配置好策略后, 如同为自己的电脑安装了一个免费且功能完善的个人防火墙。

1 IP安全策略的匹配原则

IP安全策略可以视为数据通讯时应遵循的规则, 只有符合规则的数据才能与计算机进行通信。如果只有一条策略, 那么只需要将通讯的数据与该策略进行比对, 符合要求则放行, 否则将拒绝该数据的传输;然而, 在多条策略同时应用时, 策略究竟是以怎样的顺序或是优先级来对数据进行筛选的呢?

在IP安全策略中, 任何一条策略都包含以下筛选条件:IP寻址 (源IP和目的IP) 、通讯协议 (包含协议和端口号) 、筛选器操作 (允许或者拒绝) 。当通讯数据传输至本机时, 首先会由IP安全策略进行审核, 查看其源IP和目的IP是否对应某条策略;然后再检查其要求通讯的端口号, 经匹配成功后再根据IP安全策略中对应的筛选器操作, 决定该通讯数据是拒绝还是放行。当出现多条IP安全策略时, 根据IP寻址范围的区别, 可以将其匹配规则分为宽度匹配和深度匹配。

1.1 宽度匹配

宽度匹配是指当多条策略的IP寻址范围互不干涉或者完全相同时, 通讯数据会根据IP安全策略中每条策略的确认应用时间顺序来进行匹配, 如图1和图2所示。只有在跟第一条策略不匹配时, 才会被交给第二条策略, 一旦数据找到匹配的策略, 则会根据策略的筛选条件被拒绝或允许通讯。当然, 若经过查找, 未发现匹配的策略, 则该数据会自动被允许与计算机进行通讯。

1.2 深度匹配

深度匹配是指当多条IP安全策略的IP寻址范围属于包含与被包含的关系时, 通讯数据此时将不再考虑策略生效的时间顺序, 而是根据策略中IP寻址范围最小的那条策略进行匹配。如图3所示, 当策略的IP寻址单位包含了策略2时, 通讯数据会自动匹配策略2, 而不考虑策略1。

IP安全策略是根据宽度匹配与深度匹配相结合而使用的, 最终决定了策略在执行过程中的优先等级。

2 局域网IP安全策略的制作

根据局域网自身的条件, 可以做出如下要求:

允许本机与局域网内部计算机进行通讯;禁止在个人电脑上开放指定的端口;拒绝本机与任何非内部网络的IP进行通讯。

具体步骤如下:

电脑开启后, 点击“开始”—“控制面板”—“管理工具”—“本地安全策略”, 选中“IP安全策略, 在本地计算机”, 再点击右键, 选择“创建IP安全策略”, 如图4所示。

根据“IP安全策略向导”依次往下执行, 当遇见提示“激活默认相应规则”时, 不需要勾选此项。

当新的IP安全策略创建完成后, 会弹出此项IP安全策略对应的属性编辑框, 需要通过编辑其属性来实现多条策略的制定。此处假设局域网的IP范围为10.0.0.0/8, 电脑不允许开放与WEB服务相关的常见端口 (80、8080、8000、443) 。

对于“允许访问局域网内部IP地址段10.0.0.0/8”, 可将该策略的源IP设置为“我的IP地址”, 目的IP为10.0.0.0/28, 并且选择“任意”协议的数据均会被允许访问。

对于“禁止在个人电脑上开放指定的端口”, 此处以80、8080、8000、443端口为例。只需要将协议选择为“TCP”, 并将源端口选择为“任意”端口, 目的端口选择为WEB服务常见的端口。

对于“拒绝本机与任何非内部网络的IP进行通讯”, 将该条子策略的源IP设置为“我的IP地址”, 目的IP设置为“任何IP”。并且选择“任意”协议的数据均会被拒绝访问。

策略制定完成后, 便可将其应用于本地计算机。由于IP安全策略在同一台计算机上只能指派一条, 因此其他所有的策略只能作为子策略集中在一条IP安全策略中被指派。该策略只有在电脑重启之后方能生效, 因此, 在完成策略的指派后需要重启计算机。

3 结语

IP安全策略可以根据计算机使用环境的差异而制定不同的策略。对于局域网电脑而言, 整个网络的安全隐患, 绝大多数来自于终端安全, 维护终端安全对网络安全性的提高起着至关重要的作用。而IP安全策略就像一个私人保镖一样守护着用户的电脑, 为个人计算机在进行数据通讯时把好第一道关。

参考文献

[1]唐普霞.通过IP安全策略关闭计算机端口技巧分析[J].数字技术与应用, 2011 (04) :139-140.

[2]赵一鸣.Web服务在信息系统中的应用及其安全机制研究[D].武汉:武汉理工大学, 2006.

[3]郭利.S-BGP协议安全机制研究[D].西安:西安电子科技大学, 2005.

[4]代闻.面向Web2.0聚合应用的浏览器安全机制研究[D].北京:北京邮电大学, 2009.

IP安全 篇10

关键词：移动IP,AAA,安全机制

随着Internet的发展, 人们对于Internet的访问方式逐渐从单一的PC访问方式向多种终端类型发展, 出现了移动电话、PDA、笔记本电脑等多种可移动的终端。在即将到来的3G网络时代, 移动分组业务占据了主要位置, 随着用户不断移动, 用户的IP地址需要重新分配, 使得用户无法在移动过程中实现不中断的业务, 这就刺激了移动IP[1]技术的迅速发展。但是由于移动IP[1,2,3]本身在设计之处并没有对安全性做很好的支持, 在实际运行过程当中产生了很多的安全问题。

移动IP[1,2,3]的设计目标是移动节点在改变网络接入点时, 不必改变节点的IP地址, 能够在移动过程中保持通信的连续性。 AAA[4,5]是指认证、授权和记账。认证要解决的是用户身份问题, 对用户所宣称的身份进行验证, 并且记录该用户的一些属性, 比如角色、安全标识、组成员信息等。基于AAA的移动IP (以下简称Mobile IP AAA) [6]基本模型是以跨域的AAA模型为基础的, 如图1所示。

与移动IP协议不同的是, 基本的Mobile IP AAA使得移动IP的认证和注册过程相互独立, 由AAA服务器 (AAAF和AAAH) 来完成移动节点的认证、授权和计费, 而家乡代理和外地代理不再参与认证过程, 它们只是负责移动节点的注册和绑定更新。利用AAA技术不仅可以满足移动IP的大规模商业部署所需要的认证、授权和计费的能力, 而且还可以解决移动IP通信过程当中所面临的安全性问题。

1 移动IP节点面临的安全威胁

安全性是当前网络中最令人关注的问题之一, 移动IP带来极大方便的同时, 也隐藏着巨大的安全隐患。拒绝服务攻击:攻击者向家乡代理发送伪造的注册消息, 把自己的IP地址当做移动节点的转交地址。注册成功以后, 发往移动节点的消息均有攻击者接受, 而真正的移动节点却被拒绝服务。重放攻击:攻击者通过窃听会话, 截取数据包, 把有效的注册请求信息存储起来, 然后利用存储的注册请求向家乡代理注册伪造的转交地址。被动窃听与会话窃取:移动IP注册过程当中, 攻击者在一个合法节点进行认证并开始会话后, 通过偷听合法节点的数据包, 以窃取数据包中可能包含的机密和私有信息, 如果是感兴趣的通信会话, 攻击者就假冒合法节点将会话窃取过去。中间人攻击:中间人攻击是指攻击者拦截网络中的分组, 经过修改之后再送回到网络中去。

2 基于AAA的安全改进方案的设计

协议中使用的符号为MN:移动节点;HA:家乡代理;FA:外地代理;Mi:消息i;ChallengeA:A产生的随机数;AAAH:家乡域AAA服务器;AAAF外地域AAA服务器;AccountA:A的账户;KA-B:A和B之间的会话密钥; (M) K:利用K来加密消息M;MAC (M, K) :消息认证码, 密钥K下消息M的消息认证码 (MAC) 值, 是消息M和密钥K的一个计算函数;NAI:网络访问标示, 它有下面的格式:user@realm;COAMN:MN的转交地址。

2.1 AAA认证注册过程的改进

2.1.1 家乡域通信

(1) MN→HA: M1 MN随机产生的ChallengeMN, M1= (ChallengeMN) KAAAH-MN。

(2) HA→AAAH: M2 M2= (M1, ChallengeHA)

KHA-AAAH。

(3) AAAH→HA: M3, M4 AAAH收到M2后, 用私钥解密, AAAH建立MN的账户AccountMN, 产生ChallengeAAAH, 发放MN和HA之间的共享会话密钥KMN-HA。计算MAC (AccountMN, KAAAH-HA) 。得到:M3= (AccountMN, ChallengeAAAH, ChallengeMN, KMN-HA, MAC (AccountMN, KAAAH-MN) ) KAAAH-HA。

M4= (KHA-MN, ChallengeHA) KAAAH-HA。

(4) HA→MN: M3 HA收到消息后, 用私钥解密M4, 验证ChallengeHA保证信息的新鲜性。并将M3发送给MN。这样HA就得到了KHA-MN。

(5) MN→HA: MN收到消息之后, 用私钥解密消息, MN利用得到的AccountMN以及KMN-AAAH, 计算MAC与接收到的值进行比较验证。同时验证ChallengeMN, 保证消息的新鲜性。验证通过以后, 然后MN就可以安全的访问Internet网络了。

2.1.2 外地域间通信

当MN漫游到一个新的管理域时, 只有AAAH才拥有MN的全部认证、授权及计费信息, MN只与AAAH共享一个密钥KMN-AAAH。因此, 域间切换过程仍然要通过家乡域对MN进行认证。第一次漫游到外地时:

(1) FA1→MN:代理广播和Challenge 外地代理周期性地发送代理广播, 广播消息中包含新的转交地址COAMN和FA1的身份标识NAIFA1, 它能够使MN判断是否移动到外地域, ChallengeFA1是由FA1所产生的一个随机数。

(2) MN→FA1:M1+M2 MN收到广播消息后, 判断NAIFA1是否与原来域的realm值是否相投, 如果不同, 启动域间切换过程, MN向FA1发送认证注册信息, 并对关键信息进行加密。得到:M1= (COA, AccountMN, NAIMN, ChallengeMN, ChallengeAAAH) 。KMN-AAAH, MAC (AccountMN, KMN-AAAH) 。M2=NAIMN, ChallengeFA1。

(3) FA1→AAAF:M3 FA1收到M1, M2消息后:首先检查M2中的ChallengeFA1是否是它刚广播的Challenge, 如果不是则认为该消息是非法的, 将其抛弃。若正确, 则用KAAAF-FA1加密收到的信息M1, 计算MAC (M1, KFA1-AAAF) , 然后通过RADIUS或DIAMETER协议将消息M3发送给AAAF。M3= (M1, ChallengeFA1) KAAAF-FA1, MAC (AccountMN, KFA1-AAAF) 。

(4) AAAF→AAAH:M4 AAAF收到消息后, 用自己的私钥解密信息, 并计算解密信息的MAC值, 与接收到的MAC进行比较, 如果正确, 则AAAF根据NAIMN的realm部分将MN的请求发送到AAAH。M4= (M1, ChallengeAAAF) KAAAH-AAAF, MAC (AccountMN, KAAAF-AAAH) 。

(5) AAAH→AAAF:M5 AAAH→HA:M6

收到消息M4后, AAAH用私钥解密收到消息, 得到COA, AccountMN, ChallengeAAAF, ChallengeAAAH, ChallengeMN, ChallengeFA1。计算MAC并验证MAC (AccountMN, KAAAF-AAAH) , 如果验证成功, 则检查ChallengeAAAH, 如果为上次认证过程当中的消息, 说明消息是新鲜的。由于在上次认证过程当中, AAAH将Challenge用KMN-AAAH加密后发送给MN的, 因此也只有MN才能解出ChallengeAAAH, 再与AccountMN进行比较验证, 则可以证明MN的身份。

AAAH向AAAF提供MN客户消息和公钥以及其它消息。在家乡域中, 每个AAAH可能管理着多个HA的认证和注册过程, 也就是说可能有很多个HA的认证和注册过程都是通过同一个AAAH来完成的。AAAH掌握每个HA的负载情况。为了保持负载平衡, AAAH根据每个HA的负载情况动态地选择行HA;产生MH和HA之间的会话密钥KMN-HA., KMN-FA1, KMN-HA, 并产生新的ChallengeAAAH’, M5= (AccountMN, KFA1-HA, ChallengeAAAF, ChallengeMN, ChallengeAAAH’) KAAAF-AAAH, MAC (AccountMN, KMN-AAAH) , MAC (AccountMN, KMN-AAAF) 。M6= (COA, KMN-HA, KHA-FA1, ChallengeAAAH’) KAAAH-HA。

(6) AAAF→FA1:M7 HA→FA1 :M8 AAAF收到消息M5后, 用私钥解密, 验证ChallengeAAAF, 并保存MN信息至MN离开此管理域。产生并分发FA1和MN的会话密钥KMN-FA1, 产生一个新的随机数ChallengeAAAF, 以便验证MN之后发来的域内切换请求消息。M7= ( ( (AccountMN, KMN-FA1, KMN-HA, ChallengeMN, ChallengeFA1, Challenge AAAF) KMN-AAAH) , KFA1-HA) KAAAF-FA1, MAC (AccountMN, KAAAF-FA1) , MAC (AccountMN, KMN-AAAH) 。HA收到消息M6后, 保存AAAH分配的会话密钥KMN-HA, KHA-FA1, 照COA重新绑定MN的信息, 更新转交地址。生成注册应答消息Registration reply。M8= (Registration reply) KHA-MN, MAC (Registration reply, KHA-MN) 。

(7) FA1→MN: M9+M10 FA1收到M7后, 自己的私钥解密验证消息完整性以及新鲜性, 若验证成功, 则保存KMN-FA1, KFA1-HA, M9= (AccountMN, KMN-HA, ChallengeMN, ChallengeFA1, Challenge AAAF’) KMN-AAAH, KMN-AAAF, MAC (AccountMN, KMN-AAAH) (KMN-FA1, ChallengeAAAF) KMN-AAAF。FA1收到M8后, 发送M10= (Registration reply) KFA1-MN, MAC (Registration reply, KFA1-MN) 。

(8) MN→FA1 MN收到消息M9后, 用与AAAH共享的密钥KMN-AAAH解密 (M9) 得到KMN-AAAF, KMN-HA, ChallengeMN, ChallengeAAAH’。验证解密出的ChallengeMN是否是自己注册开始时产生的随机数, 如果是则说明消息是新鲜的, 并且来自AAAH。用刚得到的KMN-AAAF解密 (KMN-FA1, ChallengeAAAF) KMN-AAAF, 得到KMN-FA1, ChallengeAAAF。此时MN的认证过程已经完成。收到消息M10以后, 验证M10的完整性, 用得到的密钥KMN-FA1, 解密出Registration reply。至此, 认证注册过程完成。

2.1.3 外地域内通信

当MN在相同外地域中从FA1微移动到FA2, 由于AAAF现在已经有足够的信息来证明MN的证书, 所以它不需要依靠MN的AAAH来对MN进行身份认证。从第二步开始, 域内切换过程开始启动, 从而外地域内的通信就与外地域间通信过程产生了不同。

(1) FA2→MN:代理广播和Challenge。

(2) MN→FA2:M1+M2 MN收到广播消息后, 判断NAIFA2是否与原来域的realm值是否相投, 如果相同, 启动域内切换过程, MN向FA2发送认证注册信息, 并对关键信息进行加密。得到:M1= (COA, AccountMN, NAIMN, ChallengeMN, ChallengeAAAF) KMN-AAAF, MAC (AccountMN, KMN-AAAF) 。M2=NAIMN, ChallengeFA2。

(3) FA2→AAAF:M3 FA2收到M1, M2消息后:首先检查M2中的ChallengeFA2是否是它刚广播的Challenge, 如果不是则认为该消息是非法的, 将其抛弃。若正确, 则用KAAAF-FA2加密收到的信息M1, 计算MAC (M1, KFA2-AAAF) , 然后通过RADIUS或DIAMETER协议将消息M3发送给AAAF。M3= (M1, ChallengeFA2) KAAAF-FA2, MAC (AccountMN, KFA2-AAAF) 。

(4) AAAF→FA2:M4 AAAF-HA :M5

AAAF收到消息M3后, 用私钥解密, 得到COA, ChallengeMN, ChallengeAAAF, 并验证ChallengeAAAF。产生并分发FA2和MN的会话密钥KMN-FA2, MN和HA的会话密钥KMN-HA, 产生一个新的随机数ChallengeAAAF’, 以便验证MN之后发来的域内切换请求消息。M4= ( ( (AccountMN, KMN-FA2, KMN-HA, ChallengeMN, ChallengeFA2, Challenge AAAF’) KAAAF-MN) , KFA2-HA) KAAAF-FA2, MAC (AccountMN, KAAAF-FA2) , MAC (AccountMN, KAAAF-MN) 。M5= (COA, KMN-HA, KHA-FA2, Challenge AAAF’) KAAAH-HA。

(5) HA→FA2 :M6 HA收到M5后, 验证M5的完整性与新鲜性, 完成COA绑定, 并获得KHA-FA2, KHA-MN, 生成注册应答消息Registration reply。M6= (Registration reply) KHA-FA2, MAC (Registration reply, KHA-FA2) 。

(6) FA2→MN: M7+M8 FA2收到M4后, 自己的私钥解密验证消息完整性以及新鲜性, 若验证成功, 则保存KMN-FA2, KFA2-HA, M7= (AccountMN, KMN-FA2, KMN-HA, ChallengeMN, ChallengeFA2, Challenge AAAF’) KAAAF-MN, MAC (AccountMN, KAAAF-MN) 。FA2收到M6后, M8= (Registration reply) KFA2-MN, MAC (Registration reply, KFA2-MN) 。

(7) MN→FA2 MN收到消息M7后, 用与AAAF共享的密钥KMN-AAAF解密 (M9) 得到KMN-HA, KMN-FA2ChallengeMN, ChallengeAAAH’。验证解密出的ChallengeMN是否是自己注册开始时产生的随机数, 如果是则说明消息是新鲜的, 并且来自AAAH。用刚得到的KMN-AAAF解密 (KMN-FA, ChallengeAAAF) KMN-AAAF, 得到KMN-FA1, ChallengeAAAF。此时MN的认证过程已经完成。收到消息M8以后, 验证M10的完整性, 用得到的密钥KMN-FA, 解密出Registration reply。至此, 认证注册过程完成。

2.2 AAA节点之间SA周期性更新

移动节点与外地代理之间考虑到AAA 协议的处理时间问题, 为了避免给予攻击者足够的时间进行分析, 破译移动IP 和AAA 之间的安全关联, 它们之间的安全关联必须周期性的进行更新[7,8]。

对于MN与AAAH之间的安全关联进行周期性更新。

2.2.1 MN→FA: M1 移动节点MN 生成目标地址为AAAH 的安全关联更新请求消息, 其中包含MN 的NAI, 在认证注册过程当中获得的ChallengeAAAH, 以及提交给AAAH 用以生成它们之间新的安全关联的随机数ChallengeMN, 得到Request Message= (NAIMN, ChallengeAAAH, ChallengeMN) 并使用其与AAAH 共享的密钥KMN-AAAH对这些域进行签名, 产生一个MAC (Request Message, KMN-AAAH) 值, 对消息进行封装, 表明目标地址为HA, 随后将消息传递给FA。M1= (Request Message) KMN-AAAH, MAC ( Request Message, KMN-AAAH) 。

2.2.2 FA→HA : M1 FA 通过隧道将消息传递给HA。

2.2.3 HA→AAAH: M1 HA 通过接触封装得知该消息为发给AAAH 的安全关联更新请求, 于是将消息转交给AAAH。

2.2.4 AAAH→HA:M2 AAAH 利用KMN-AAAH确认请求消息中的MAC (Request Message, KMN-AAAH) , 若该操作失败, 则丢弃该消息。这样, AAAH 就确认了MN 的身份。随后AAAH 利用自己产生的一个随机数Challenge AAAH’以及得到的ChallengeMN, 采用DES加密算法, 生成新的会话密钥DES (ChallengeMN, ChallengeAAAH’) , 从而得到新的安全关联K’MN–AAAH 。然后AAAH 生成发给MN 的应答消息, 其中含有AAAH生成的随机数Challenge AAAH, 以及对ChallengeAAAH 的签名, 并使用KMN-AAAH 对这些域产生一个MAC值, 将消息传递给HA。M2= (K’MN-AAAH, ChallengeMN, ChallengeAAAH’) KMN-AAAH, MAC ( (K’MN-AAAH, ChallengeMN, ChallengeMN, ChallengeAAAH’) , KMN-AAAH) 。

2.2.5 HA→FA:M2 HA 将发给MN 的应答消息通过隧道交给FA。

2.2.6 FA→MN:M2 FA 进而将消息传递给MN。

2.2.7 MN→FA:M3 MN 接到来自AAAH 的应答消息, 用原始的共享密钥KMN-AAAH确认其中的签名, 验证ChallengeMN, 如果失败了则丢弃消息, 在一个时间间隔后重发安全关联更新请求信号, 如果成功, 随后根据消息中所含的ChallengeAAAH’以及新的会话密钥K’MN-AAAH, 计算其签名, 与接收到的签名相比较, 若不同, 则同样丢弃消息, 在一个时间间隔后重发安全关联更新请求信号, 如果相同便存储它与AAAH 间的新的安全关联K’MN-AAAH, 并按同样方法计算出K’MN-HA和K’MN-FA, 分别作为MN 和FA 间以及MN 和HA 间的安全关联, 生成随机数KFA-HA 作为HA 和FA 间的安全关联。同时需要向AAAH 发出应答信号, 告知自己已正确接收消息, 于是将消息发给FA。M3= ( ChallengeMN, ChallengeAAAH’) KMN-AAAH, MAC ( ChallengeMN, ChallengeAAAH’, KMN-AAAF) 。

2.2.8 FA→HA : M3 FA 将消息通过隧道发送给HA。

2.2.9 HA→AAAH :M3 HA 再将消息转交给AAAH。

2.2.10 AAAH→HA:M4 AAAH 接收到消息后, 利用新的会话密钥KMN-AAAH’, 对消息中的签名MAC值进行确认, 如果没有通过则将消息丢弃, 认为安全关联更新没有成功, 仍采用原来的安全关联, 其他会话密钥也都维持不变, 并不再进行进一步的动作;如果通过则认为安全关联更新成功, 进而产生发给MN 的应答消息, 其中应包含上一步得到并存储的会话密钥K’MN-HA, K’FA-HA, K’MN-FA, 并利用其与HA 的安全关联加密并转交给HA, M4= ( (ChallengeMN) KMN-AAAH’, K’MN-HA, K’FA–HA, K’MN-FA) KHA-AAAH, MAC (K’MN-HA, K’FA –HA) 。

2.2.11 HA→FA:M5 HA 解密并存储K’MN-HA 和K’FA-HA作为新的会话密钥, 然后利用与FA 之间的安全关联加密消息, 其中含有K’MN-FA, K’FA-HA, M5= ( (ChallengeMN) KMN-AAAH’, K’FA –HA, K’MN-FA) KHA-FA, MAC (K’FA –HA, K’MN-FA) 。

2.2.12 FA→MN:M6 FA 解密并存储K’MN-FA, K’FA-HA作为新的会话密钥, 并将应答信号传递给MN, M6= ( (ChallengeMN) KMN-AAAH’) KFA-MN。MN 收到应答信息后, 利用新的安全关联KMN-AAAH’计算ChallengeMN, 与收到的应答消息做验证, 如果验证通过, 则认为安全关联更新过程结束, 废弃原来的安全关联, 代之为K’MN –AAAH, K’MN-FA, K’MN-HA, 如果错误则在一个时间间隔后重发。

3 方案分析

(1) 方案能够抗重放攻击:首先, MN必须使用外部代理所广播的Challenge作为随机数。这样外部代理就能防止别的移动结点重放MN的注册消息。其次, MN利用Challenge作为挑战来对网络进行认证, 防止攻击者假冒网络。

(2) 方案能防MN和FA之间的中间人攻击。由于MN和网络之间所传送的消息它们能够相互认证, 中间人不可能伪造这些消息, 所以该攻击不可能成功。

(3) MN在外地域中只有初次注册才需AAAH对其进行认证, 随后在该外地域中的重新认证过程中基本上都不需要到AAAH的参与, 从而增加了AAAH安全性, 提高了注册效率。

(4) 由于实行MN与AAAH之间安全关联的周期性更新, 可以减少安全关联被破解的危险, 增加了通信过程当中的安全性。

4 结论

针对原有方案的不足, 在该改进方案的设计中, 主要采取了AAA注册过程的改进, 在该改进的AAA模型中, 对于所传递的字段做了改进, 增加了传递过程当中对于所传递字段的安全确认, 从而提高移动IP注册过程的安全性, 并且提高认证注册过程的效率。另外在本改进解决方案中, 对于认证注册过程完成后, 增加了对安全关联进行更新以及建立VPN通信隧道等措施。通过本改进方案, 可以有效地增加移动IP的安全性, 解决移动IP在通信过程当中所面临的安全问题。

参考文献

[1]移动IP.裘晓峰, 译.北京:机械工业出版社, 2000

[2]熊可成, 王刚.移动IP技术.北京:网络通信世界, 2000

[3]Perkins C.IP Mobility Support for IPv4.http://www.ietf.org/rfc/rfc3344.txt, 2002-08-08

[4]Glass S, Hilbert, Jacobs S, et al.Mobile IP Authentication, Authori-zation, and Accounting Requirements.http://www.ietf.org/rfc/rfc2977.txt, 2000-10-15

[5]Perkins C.Mobile IP Joins Forces with AAA.IEEE Personal Com-munications, 2000;7 (4) :59—61

[6]Glass S, Hiller T, Jacobs S, et al.Mobile IP authentication, authoriza-tion, and accounting requirements.IETF RFC2977, Oct., 2000

[7]范小源, 陆际光.基于AAA的移动IP安全关联更新方案.中南民族大学学报 (自然科学版) , 2007; (3) :81—83

TCP/IP将死？ 篇11

丹麦奥尔堡大学、麻省理工学院和加利福尼亚理工学院的研究人员认为，如果能够改善TCP/IP协议中数据包错误校验修正的方法，互联网中的数据传输可以变得更快、更安全。这是由于错误校正会减缓数据的传输效率，因为在多数情况下，数据块不得不多次传输。

研究人员正在考虑用一种新的数学方法来代替传统的错误校正方式，具体办法是由公式精确计算出哪个部分的数据出现了传输错误，然后再单独传输该部分数据。相比传统每个数据包都要校正的方式，使用新技术后对于提升网络传输效率无疑会有帮助。

Steinwurf就是这样一家公司，致力于推动相关技术的发展。其CEO Janus Heide和奥尔堡大学电子工程专业教授Frank Fitzek举了一个汽车通过十字路口的例子来说明新技术所带来的变化。他们说，采用该技术后，汽车可以同时从四面八方驶入路口，而无需考虑互相礼让。因为没有交通信号灯，路口的通行效率也会更高。

据悉，整个流程的关键在于网络编码和解码，也称为RLNC或随机线性网络编码。目前，Steinwurf公司已经为RLNC技术申请了专利，并计划将该技术出售给相关硬件设备制造商。

根据Steinwurf发布的报告显示，使用该技术后数据传输效果提升明显。在实际测试中，他们先后采用传统方式及新技术下载一段4分钟时长的视频，通过测算，使用该技术后下载同一段视频所用的时间比使用传统方式快5倍。Fitzek表示该技术可应用于人造卫星、移动互联网和互联网等多种场景。

当然，事情有利也有弊。抛弃TCP/IP协议使用新技术后，尽管互联网将变得更快，但伴随而来的则是复杂性的上升，而且这将比你在Windows系统网络对话框中看到的TCP/IP协议堆栈复杂得多。

总的来说，这是一项有趣的技术。对于由重复数据发送所引起的网络传输效率降低等方面的问题，其却有帮助。在当下这个追求效率的时代，每一种能够提高网络传输效率的解决方案都值得尝试。

除此之外，该技术还可以使网络节点变得更加智能。这是因为在TCP/IP协议中，数据只能通过相同的路径进行传输。而在实施网络编码后，数据能够被路由至多个不同的路径，甚至同时路由至多个路径，从而使数据传输更有效、更安全。

如果你想理解其中的专利技术，包括数学方程式如何应用，以及他们如何工作，或许还有些困难。不过如果你想进一步学习掌握其中的技术，Fitzek承诺会提供技术培训课程，而且Steinwurf公司也会在其网站提供详细的文档资料。

不可否认，一项新技术的诞生会遭到众多质疑。该技术也不例外，目前就有大量的负面评论。其中有人认为网络速度受限于交换机的功率，通过编解码无法提升传输速度；也有人表示，无论如何新技术都会导致网络质量下降。当然，最终该技术能否普及还有待市场的检验。（编译/刘贝贝）

IP安全 篇12

随着业务应用的不断变化, 各单位间设备互联增多,IP网络成为越来越复杂的不确定系统。 信息安全系统确保了数据安全、高效传输,作为基础性的支撑平台直接影响数据的可靠传输。 必须深入细致地研究网络管理模式、强化管理手段,保障系统的安全。 随着信息安全风险的产生, 网络信息技术的自主可控问题日益凸显。 在网络的管理过程中应职责明确,建立正常的业务处理机制及快速响应机制,畅通信息沟通渠道。 同时岗位需要精通专业技术的高素质人才,以避免造成信息技术应用滞后或影响信息安全产品效能的发挥的问题。 在人才培养过程中,应运用信息化训练手段,加强人员的动手能力和实践能力培养,使大家能解决一些网络安全中的实际问题,以适应未来发展的需求。

2 IP网络信息安全系统管理现状

北京航天飞行控制中心的信息安全系统在保障数据安全、高效传输的过程中发挥了重要的作用,但同时也存在一些问题。 比如,海量安全事件需要花费维护者大量的时间和精力、 对历史数据不进行存储和备份,当出现安全事件时,后期的取证和分析变得困难等。 因此系统急需具备主动智能性,对系统的安全状态进行重点监控、科学分析,从而快速有效定位非法事件,使工作人员从繁杂的评估工作中解放出来。 从日常保障情况来看,网络管理模式在顶层设计和统筹规划上还存在需改进的地方,主要表现在几个方面。

2.1各单位管理职能有待进一步明确

信息安全系统管理尚处于起步阶段, 网络配置管理、安全风险评估、事件追踪和策略管理等事务管理仍处于探索发展阶段。 主要体现在一级管理中心、二级管理中心及三级延伸节点的上下级管理职能不明确,缺少交流沟通;信息安全事件处置联动机制欠缺;缺少必要的网络运行评估与对策管理以及绩效评价与奖惩管理; 在网络故障应急和信息安全事件处置时缺少高效的组织指挥平台。 急需IP网络信息安全系统运行维护管理规定,构建层次清晰的全过程动态管理模式。

2.2海量的异构数据,分析工具较少,系统判断能力有限

目前系统中各单位的IP网络, 大多数安装部署了防火墙、入侵检测等信息安全设备,且配备有独立的管理操作中心。 虽然这些传统的安全产品构成了基本的防护、分析和取证体系,但由于这些产品由不同的厂商提供,每家厂商的安全模型都不是完全一致,甚至有些存在较大的差异,所以,产品提供给用户的也是不同类型的安全信息、不同格式的事件和日志。 这些异构的安全日志形成了海量的数据。 现有的分析技术无力应对这些大规模增长的数据,通常产生很多误报,或者无法处理而丢弃,引起漏报。

2.3信息安全岗位人才缺乏

目前专门从事信息安全管理工作的人员较少,信息安全人员基本上是其他岗位人员兼任,都是在进入岗位后根据职能要求逐步熟悉、 掌握信息安全技术知识,虽然具备了一定的信息安全技术与管理能力,但普遍存在安全知识零散、缺乏知识储备和经验积累等不足,造成缺乏懂技术、会管理和熟悉业务的信息安全人才。 岗位人员综合素质有待提高,岗位人员快速响应及处置突发事件的能力有待提升,复合型人才和专业化人才相对缺乏,这必将严重影响信息安全自主创新能力和信息安全保障体系建设。

2.4部分信息安全产品未能充分发挥效能

当前, 信息安全已经从传统的网络层上升到应用层,越来越多的信息安全技术已经和应用相结合。 防火墙的访问控制、入侵检测的预警判断、网闸的数据传输控制以及安全审计信息的合规性判断均来自业务应用需要和明确的策略要求。 但是有些系统在软件开发时缺乏明确的安全需求,应用安全需求说不清楚,造成了信息安全产品安全策略权限开放过大或无安全控制,安全告警无法有效判断。 所以,信息安全产品未能充分发挥其应有的作用。

2.5新技术运用、设备软硬件升级频繁,熟练掌握装备的难度增大

由于业务的应用有时几乎苛刻,应用场景越来越复杂,对设备的功能性要求也越来越全面,导致设备软硬性升级频繁,在升级的同时又出现新问题,存在有些设备未能尽其用、岗位人员不会用的现象。

3信息安全系统全过程高效管理模式研究

IP网络信息安全系统的管理应立足于现有实际,从健全管理职能、规范事务管理、创新技术科学控制、激励人才培养出发,构建并完善涵盖四大管理模块的网络管理模式,实现系统全过程高效管理。

3.1制定管理规定,明确管理关系,健全管理职能

为规范信息安全系统的维护管理工作,提高网络安全保障能力,应制定信息安全系统维护管理规定,使全体人员树立全网整体安全观念并密切协作。 信息安全系统的维护管理工作由通信业务主管部门牵头,其它业务部门参加,各单位各部门各司其职。 建立有效的业务响应机制,保证信息安全系统设备安全、可靠运行,保证设备的技术性能和各项质量指标符合标准。 迅速、准确地排除故障,减少损失,提升重大突发事件的处理能力,预防重大故障和事故的发生。

3.2健全信息安全系统的管理模式,规范各项事务管理

安全事件处置管理。 主要负责建立安全事件处理申告制度。 日常业务处理工作,由各级安防中心按职责分工组织各级节点站实施,对系统进行经常性的网络运行状态管理、信息安全状态管理,增强网络的可靠性。 当需要查证网络安全事件涉及的IP地址、单位、网络连接情况时,因开展风险评估、安全审计、灾难恢复等工作需要开放网络端口、协议服务时,对已确定网络安全事件的IP地址、网络设备等需进行处理时,安防中心可向网管中心申请发出协查通告。

态势监控管理。 态势监控主要由各级安防中心实施, 针对安全事件、网络入侵、病毒侵害、网络异常、非法接入和外联等安全事件管理。 监控平台应全时开通运行,准确判断网络入侵、病毒侵害、非法接入和外联等安全事件的发生时间、IP地址、性质、影响范围及危害程度等。

病毒防范管理。 病毒防范工作应遵循“统一组织、预防为主”的指导原则,采取“先隔离后清除,最小代价隔离”的处理办法。 各级安防中心应及时收集网络病毒信息,跟踪病毒发展趋势,不断更新病毒特征库,建立有效的病毒防护系统、病毒特征库分发和升级技术体系。

应急响应管理。 应急响应是对影响网络安全的突发性事件所采取的一系列措施和行动。 各级单位必须按职责分工制定相关应急响应预案。 网络应急响应工作在各级业务主管部门统一领导下,由各级网络信息安全领导小组负责组织协调,各级业务管理机构、各级节点站和用户共同实施。

网络安全防护和绩效考核管理。 考核工作应在通信业务主管部门的组织领导下, 由一级或二级中心通过网络安全管理平台具体实施。 主要考核内容为网络访问控制能力、网络攻击检测能力、网络病毒防范能力、主机安全管控能力。绩效考核系统采用统一的标准,做出客观预测、评估管理员的工作表现,对于管理员的工作和全网安全情况进行量化的分析,帮助管理层或相关人员对管理员的工作做出系统的评价,以便决策者做出判定,同时以最佳的方案,提高管理工作效率。

网络参数配置管理。 通过一级防火墙管理中心、 IDS管理中心、私有云管理平台、主机管理系统及信息安全管理平台、 防保密机配管中心和密钥分发中心的管理平台实现对全网的网络参数、 信息安全策略、保密策略等配置信息的分析、规划与管理。

3.3创新技术,实现科学高效的运行维护管理

通过应用系统的技术手段, 对信息安全系统的状态管理、系统评估、安全事件处置实现真正智能化。

3.3.1构建网络信息安全主动防御体系,增强网络信息安全管控能力

网络主动防御技术主要包括主动认证技术、沙箱技术、蜜罐技术、虚拟机技术、主动诱骗技术、移动目标防御技术、 可信计算技术和安全风险评估技术等。 主动防御网络应包括三个主要环节,具体情况如图1所示。 通过主动防御产品与技术实现更加主动、及时地攻击检测;通过安全检测系统实现对攻击的准确定位与分析;通过与被动防御技术与产品的联动实现及时地遏制攻击,为实现“主动检测、主动响应、主动恢复”为基础的主动防御体系奠定坚实的基础。

3.3.2构建网络安全管理和风险评估平台, 为运行维护提供丰富数据

风险评估是开发适当的安全规范的基础, 可以帮助实现更为精确的安全方案。 在安全方案花费和安全提升带来的资产获益之间取得平衡。 安全水平的提升和相应的开销不是线性的关系。 一般来说风险评估主要包括: (1)IP网络资产评估,IP网络中设备、业务、操作系统、数据等均可列为资产;(2)IP网络脆弱性识别,网络脆弱性识别和获取可以有多种方式,例如工具扫描、策略文档分析、安全审计、应用软件分析等;(3)IP网络威胁评估, 威胁评估是对信息资产有可能受到的危害进行分析,一般从威胁来源、威胁途径、威胁意图、损失等几个方面来分析。 在对系统的风险评估过程中,评估资产、威胁和脆弱性后,它们之间的关联如图2所示。

3.3.3构建大数据安全分析中心,为维护人员做出决策提供支撑

分析中心是对目标网络实现网络安全态势监测预警的系统,由网络病毒系统(VDS)检测探头设备、关联分析挖掘系统、追影高级威胁鉴定器、可视化态势展示系统等组成。 其部署方案如图3所示。

系统可以实现对网络流量的恶意威胁监测与捕获, 对数据以及恶意文件等样本进行威胁鉴定与深度分析, 对网络威胁事件进行关联统计分析与高危敏感事件挖掘。分析中心数据来源于各单位的采集与分析平台。大数据安全分析系统依托分布式计算集群(云平台)部署各类分析引擎、数据库服务器、数据接收服务器和分析管理服务器,通过用户端实现大数据安全分析功能,包括全文索引、大数据实时分析、大数据快速统计报表分析、网络流量元数据存储与行为分析、 全包存储与原始流量还原与分析、历史数据的关联分析和溯源、攻击路径分析、威胁情报管理与共享和海量数据可视化展示等。

3.4科学规划,形成以能力培养为核心的人才培养模式

在制定训练大纲的基础上,各单位依据确定关键训练内容和控制点,要坚持体能、智能、技能和潜能“四能合一”。

3.4.1创新训练内容,适应新技术发展的需求

搭建信息安全实训平台, 通过理论的学习掌握信息安全专业的相关基础,并在此基础上,通过实训课程得到实际锻炼。 提高维护人员基本动手能力的训练,帮助理解与掌握所学的基本原理和方法。 未来的信息化战场将始终围绕“通”和“扰”展开对抗,为此我们不但要训练基础技能,同时还要追踪前沿的新技术,不断探索训练的新特点和新内容。例如搭建攻防演练平台进行人才培养。通过建立平台,进行人员能力培训、开展集安全技术研究、攻防对抗、漏洞验证为一体的攻防对抗实验和演练、进行网络安全工具、设备的评测。 其总体架构如图4所示。

传统的信息安全仿真训练中,长期存在着诸如实验环境设置过于简单、 安全对抗知识缺乏连续性等问题, 参训人员掌握的仅仅是一些零散的知识点,安全对抗知识缺乏连续性,无法将这些零散的知识结合起来成为一套真正能够在实际业务中使用的攻防方法。 而维护人员对于安全工作中到底需要掌握哪些方面的技能也不够了解,因此,需从岗位需求、技能需求等不同视角选择学习内容。 岗位、技能、课件之间均为多对多的关系,以图5为例进行说明,例如,管理员为学员分配一个综合渗透测试任务,学员下载工具执行任务,整个过程中管理员可以观看演示和进度,最后结束练习,学员和管理员都可以查看得分情况。

3.4.2健全考核奖惩机制,形成 “激励式”人才培养机制

按照“全员普及、重点突出、多措并举”的思路,抓好人才培养。 建立竞争机制,通过引入定性与定量的人才测评手段,把优秀的人才推到合适的岗位上,让人才尽快在重要岗位上历练成长。 一是扩大依托培养的广度。 充分利用地方资源抓好人才的培养, 广泛开展学术交流、参观见学、骨干帮带等活动,适时邀请专家、学者定期举办知识讲座,以开阔人才视野。 二是进行资质认证培训。 对于在网络安全方面有着执著的爱好和追求,技术过硬的维护人员,单位应提供资质培训,帮助他们顺利提高业务水平,使其成为全面了解、掌握网络主要安全防护技术的技术人员,或者成为专项安全技术专家,使其具备丰富网络知识的技术负责人,全面了解掌握各种网络安全技术与应用, 有能力制定实施安全方案并监控调整安全防范体系的运行。 或者将人员培养成网络安全技术专家,使他们能够成为严守相关法规,并依据信息安全规范协助组建安全团队、制定整体安全策略。 总之,人才培养训练考核机制的完善改进是一个长期过程,需要用不断创新发展的方式,促进其又快又好地发展。

4结束语

本文从实际出发, 分析了IP网络信息安全系统的管理现状。 从健全组织机构、明确职责、规范事务管理、 人才培养等关键问题入手,研究了信息安全系统层次清晰的全过程动态管理模式, 为后续的管理提供了借鉴。 信息安全系统的管理是一个持续的错综复杂的过程,后续仍需我们共同努力。

参考文献

[1]魏为民,袁仲雄.网络攻击与防御技术的研究与实践[J].信息网络安全,2012年12月.

[2]张二超.系统安全防护技术的研究[D].北京:北京邮电大学,2013.

[3]周国强.信息安全评估模型的研究与应用[J].计算机应用与软件,2007年11月.

[4]张弛.网络安全态势量化评估算法研究[J].河南科学,2013,31(7):985~987.

[5]魏为民,袁仲雄.网络攻击与防御技术的研究与实践[J].信息网络安全,2012,(12):53~56.