了与外部连接,他们或许有一些独立的终端或机器,但是这些特殊用途的机器通常被守护并将之与内部网络隔离.如果整个系统内部包含有一些分布在不同地理位置的机器,通过租赁线或共享网络可以连接各站点从而组成专用网络.如果各站点间必须通过网络相互通信,在每两个不同站点之间必须运用加密技术去组成虚拟专用网(VPN).在图1-1的虚拟模型中,四所院校通过Internet连接,三个站点(MIT,UTAustin和UCLA)形成(VPN),就可以使它们之间的信息流量自动地与Stanford的窃听行为相隔绝.
VPNStanfordFW
MIT
InternetFWFW
UCLA
UTAustin
图1-1
虚拟专用网
4
使Java2平台安全技术—结构,API
下载
但是,这样与外界隔离的方法并不理想.例如,随着人们通过Internet与外界交流需求的不断增加,E-mail已经成为Internet上的"杀手".万维网(WWW)使Internet更为流行,漫游网络寻求有用信息对提高生产率大有裨益(当然指的是正当的,合法的),这些趋势正驱使先前封闭的企事业单位有选择地开放它们的边界控制.在构筑更为有用的外围防护方面,防火墙(firewall)扮演了一个重要角色.1.3.1防火墙各种防火墙的形式和尺寸千差万别[6].但总的来说,防火墙是位于专用网络与公共网络之间的一种机器,它对网络流量起着筛选的作用,符合安全策略的特定通信量在某一方向上可以通过.安全策略可以非常简单也可以非常复杂,这通常取决于信源地和信宿地,采用的通信协议和涉及的应用程序等因素.防火墙还可以为信息分配路由,甚至在让信息通过之前对其进行某种操作.作为代理服务器,它还能加密信息.有加密技术的防火墙可以被用来构成VPN.用防火墙作为外围防护是一种有效的安全
方案.防火墙作为中心控制点,易于实现和更新公司的安全策略.但是,也存在一些不足之处:第一,防火墙不能滤除和阻止所有的网络灾难.像HTTP协议这样的信息可以巧妙地通过防火墙.通常,防火墙与移动代码作用是相反的.因为前者试图阻塞或减少流入信息,包括那些后者想获得的信息.其次,防火墙目前已经成为大企业通信的瓶颈.再者,当把防火墙作为代理服务器时,桌面上许多应用程序必须重新编写.不过,对于新的应用程序,这个问题并不重要,这主要因为应用程序内嵌有代理支持.1.3.2仅仅使用外围防护的不足之处作为一套安全方案,只用外围防护是不够的.这主要有以下几方面的原因:定位和保护所有外围站点是十分困难的,比如,直接用电话线建立连接能有效穿透外围防护[61].此外,由于企业允许雇员远程或在家中
工作,必须严密监视和充分防护内部网络的远距离站点,这常常是不切实际的.即使在企业内部,由于每件事或每个人并不是完全信任的,就需要对其加以控制.危害性很大的攻击通常发生于内部.由于内部入侵者与外部入侵者相比,有更为有利的条件,所以造成的损失更大.比如,会计部门必须加以防护,使只有被批准的雇员方可发出买单,而