网络安全检测与监控技术的研究

摘要：计算机网络的发展及计算机应用的深入和广泛，使得网络安全问题日益突出和复杂。现代网络安全是网络专家分析和研究的热点课题。首先阐述因特网的安全检测技术即实时监控技术和安全扫描技术的概念、工作原理以及防火墙系统的优势和不足；然后介绍能够主动测试系统安全且已实现的网络安全自动检测系统和入侵监控预警系统；最后总结网络安全维护的重要性。
关键词：网络安全；防火墙；自动检测与监控技术；入侵预警系统

1 引言
互联网的发展，在大大拓展信息资源共享空间和时间、提高利用率的同时，存在着很多安全隐患，如正在运行的网络系统中有无不安全的网络服务；操作系统上有无漏洞可能导致遭受缓冲区溢出攻击或拒绝服务的攻击；系统中是否安装窃听程序；对于安装了防火墙系统的局域网，防火墙系统是否存在安全漏洞或配置错误等。
另外，各种计算机病毒和黑客攻击层出不穷。它们可能利用计算机系统和通信协议中的设计漏洞，盗取用户口令，非法访问计算机中的信息资源、窃取机密信息、破坏计算机系统。为了解决上述网络存在的安全问题，则必须加强网络安全检测与监控。

2 网络安全检测技术
网络安全检测技术主要包括实时安全监控技术和安全扫描技术。实时安全监控技术通过硬件或软件实时检查网络数据流并将其与系统入侵特征数据库的数据相比较，一旦发现有被攻击的迹象，立即根据用户所定义的动作做出反应。这些动作可以是切断网络连接，也可以是通知防火墙系统调整访问控制策略，将入侵的数据包过滤掉。安全扫描技术(包括网络远程安全扫描、防火墙系统扫描、Web网站扫描和系统安全扫描等技术)可以对局域网络、Web站点、主机操作系统以及防火墙系统的安全漏洞进行扫描，及时发现漏洞并予以修复，从而降低系统的安全风险。
网络安全检测技术基于自适应安全管理模式。该管理模式认为：任何一个网络都不可能安全防范其潜在的安全风险。它有两个特点：一是动态性和自适应性，这可通过网络安全扫描软件的升级及网络安全监控中的入侵特征库的更新来实现；二是应用层次的广泛性，可用于操作系统、网络层和应用层等各个层次网络安全漏洞的检测。
很多早期的网络安全扫描软件是针对远程网络安全扫描。这些扫描软件能检测并分析远程主机的安全漏洞。事实上。由于这些软件能够远程检测安全漏洞。因而也恰是网络攻击者进行攻击的有效工具。网络攻击者利用这些扫描软件对目标主机进行扫描，检测可以利用的安全性弱点，通过一次扫描得到的信息将是进一步攻击的基础。这也说明安全检测技术对于实现网络安全的重要性。网络管理员可以利用扫描软件，及时发现网络漏洞并在网络攻击者扫描和利用之前予以修补，从而提高网络的安全性。
利用网络安全检测技术可以实现网络安全检测和实时攻击识别，但它只能作为网络安全的一个重要的安全组件，还应该结合防火墙组成一个完整的网络安全解决方案。

3 防火墙系统分析
近年来随着Internet的飞速发展，很多局域网采用了防火墙系统保护内部网络安全。防火墙就是一个位于计算机和其所连接的网络之间的软硬件体系，从计算机流人流出的所有网络信息均要经此防火墙的检测和过滤。
3．1 防火墙的功能及类型
防火墙限制对被保护网络的非法访问，它是设置在被保护内网和外部网络之间的一道屏障，用来检查网络入口点通讯，根据设定的安全规则，对通过防火墙的数据流进行监测、限制和修改，这样可过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可关闭未用的端口，禁止特定端口的流出通信，封锁特洛伊木马，禁止来自特殊站点的访问，从而防止不明入侵者的所有通信。
防火墙具有不同类型，它可以是硬件自身的一部分，可以将因特网连接和计算机都插入其中；也可以在一个独立的机器上运行，该机器作为其背后网络中所有计算机的代理和防火墙，而直接连在因特网的机器可使用个人防火墙。
3．2 防火墙的局限性
个人防火墙并不是专为防范恶意攻击而设计的，微软的IE和AQL的NETSCAPE浏览器均存在黑客可以利用的安全漏洞，从而导致用户的个人数据遭到窃取。防火墙存在以下局限性：
(1)防火墙深入检测和分析网络数据流量的同时，网络的传输速度势必会受到影响；如果防火墙过于严格，可能会影响为合法用户提供连接的性能；
(2)传统的防火墙需要人工实施和维护，不能主动跟踪入侵者；
(3)不是所有的Internet访问都需经过防火墙，如内网用户为方便使用，Modem直接与Internet相连，这样防火墙就无法提供安全保护，且此连接可能会成为攻击者的后门，从而使其绕过防火墙；
(4)不是所有的威胁都来自外部网络，防火墙仅能到内网与Internet边界的流量，无法检测到网络内的流量。
(5)防火墙自身容易遭受攻击，最令人烦恼的攻击是隧道攻击和基于应用的攻击。隧道攻击是指由于防火墙根据网络协议决定数据包是否通过。然而把一种协议的信息封装在另外一种允许通过协议的信息中时，禁止通过的流量就穿越防火墙。此种攻击采用的手段类似于VPN中的隧道机制，故称隧道攻击。而基于应用的攻击指通过发送包直接与应用通信，利用这些应用的漏洞。如通过发送HTTP命令在Web应用中执行缓冲区溢出攻击来利用Web软件的漏洞。如果防火墙配置成允许HTTP流量，包含此攻击的包将通过。
总之，防火墙不是一种动态的防卫系统，对来自内部的攻击和拨号上网无能为力，也已存在许多技术优于防火墙(如IPSpoofing，IP Fragmentation)。积极的方法是主动测试系统的安全性能，及早发现安全漏洞并改进系统。