优创月刊

《安全月刊》第八期

　出刊：2005年2月25日

南京优创科技有限公司
客户服务中心

服务电话：025-84808848

服务邮箱：service@ultratech.com.cn
　

本期导读：
	\|-优创寄语
	\|-东软荣誉
	\|-产品介绍
	\|-最新病毒预告
	\|-2005年信息安全新动向
	\|-谭博士专栏

·优创寄语

新春新气象，新年新心情

迎春纳福，过年求吉祥。一年之计在于春，春天蕴育生机，春天播种希望。当雄鸡破晓迎来网络安全的又一个春天的时候，让我们从市场和技术的角度，一起来关注2005年网络安全产业的发展态势。

·东软荣誉

　东软NetEye NP架构防火墙喜获《中国计算机报》编辑选择奖

岁末年初，由中国计算机报评选的“2004年度编辑选择奖”隆重开奖，此次评选以独特的视角、客观的评价、权威的分析，全面盘点2004年IT技术、产品和应用。通过关注2004年最具特色的产品、技术与应用的发展变化，为业界总结，为市场把脉，为用户导购。在本次评选中东软NetEye全新NP架构防火墙以先进架构、卓越性能、高可靠性、高可管理性的技术优势荣获防火墙产品“编辑选择奖”。
东软NetEye NP防火墙新品于2004年11月正式面向市场销售，凭借可靠的产品质量、雄厚的技术实力和优质售后服务，NetEye NP防火墙在刚刚上市就取得了开门红，成功中标安徽人行。另外此次NP架构硬件防火墙的推出，也标志着作为软件领军企业的东软，向硬件领域的一次突破。
东软网络安全事业部总经理曹斌博士表示，NP架构防火墙是行业发展的大势所趋，刚刚推出的全新NP架构防火墙能够获奖这是业界对我们技术和产品的认可。2005年东软NetEye将继续抛弃浮夸的空洞理论，踏踏实实的用我们在安全领域积累了8年的安全知识、行业经验、专业技能和务实服务的意愿转化成为客户价值。另外东软还将不断完善网络安全系列产品，以国际水平的产品及服务满足国内企业用户的不同需求，为中国的安全产业发展做出自己应做的微薄之力。

·产品介绍

                                                                                  　　 RJ-iTOP网络隐患扫描系统

    在前面几期的月刊中，我们主要着力于介绍东软的一系统安全产品，今年优创又有新举措，我们将以主营品牌产品为基础，发展相关多元化产品业务，在做好主打产品――东软网络安全产品的同时，加强对RJ-iTOP网络隐患扫描系统的销售力度，以更广泛的产品服务为客户提供更安全的网络环境。
    在这一期中，我们主要介绍RJ-iTOP网络隐患扫描系统的产品功能、应用领域以及应用场合和时宜。
    产品功能：
    网络隐患扫描是一种积极主动地安全防护技术，在网络系统受到危害之前，及时发现安全隐患和漏洞，预先提供安全防护解决方案。网络隐患扫描产品可作为安全评估产品，网络隐患扫描系统或者系统脆弱性分析工具。
    ◇隐患扫描功能
    隐患扫描是做好安全防护的第一步，其作用是在黑客攻击之前，找出网络中存在的漏洞，防患于未然。榕基扫描器作为自动化的网络安全风险评估工具，侧重发生安全事故前这一阶段。通过模拟黑客攻击，对被检系统进行全面、彻底的漏洞和隐患扫描，提交风险评估报告，并提供相应的整改措施，可以将网络系统的运行风险降至最低。
    针对网络系统中存在的主要弱点和漏洞，系统集成了十几大类实践性方法，能全方位、多侧面的对网络安全隐患进行扫描分析，基本上覆盖了目前网络和操作系统存在的主要弱点和漏洞，具有强大的扫描分析能力。
    ◇安全管理功能
    系统将所发现的隐患和漏洞依照风险等级进行分类，向用户发出不同的警告提示，提交风险评估报告，并给出详细的解决办法。系统对可扫描IP地址进行了严格地限定，能有效地防止系统被滥用和盗用。
    ◇策略管理功能
    系统针对不同用户的需求，对扫描项进行合理的组合，更快、更有效地帮助不同用户构建自己专用的安全策略。系统中预装了多种常见的策略，可以根据不同的安全需求选取或自定义扫描策略，对相应的设备进行扫描分析。
    ◇快捷升级功能
    系统通过网络或者本地数据包升级方式，可以对漏洞库、程序、可扫描IP和策略进行升级，保持系统功能的完整性，使您能够检测最新的安全隐患，在黑客发起攻击之前修补漏洞。同时保证每周至少升级一次，以保证用户能够检测并修复最新的漏洞和隐患。
    ◇统计分析功能
    系统采用报表和图形的形式对扫描结果进行分析，可以方便直观地对用户进行安全性能评估和检查。系统不仅能发现系统存在的弱点和漏洞，还能给用户提出修补这些弱点和漏洞的建议和措施，能给用户建议保证系统安全的安全策略，最大限度地保证用户信息系统的安全。
    应用领域：
    ▲政府机关、网络管理部门；
    ▲公安、保密、安全机关等国家授权的网络安全监察部门；
    ▲金融、电信、电力、保险、海关、商检、司法机关等各行业网络管理中心；
    ▲商业、制造业领域大中型企业网络管理中心；
    ▲科研教育机构网络管理中心；
    ▲Internet互联及接入管理单位；
   ▲Internet服务提供商（各ISP、ICP、IAP）。
    应用场合和时宜
    ▲定期的网路安全自我检测、评估
    ▲安装新软件、启动新服务后的安全性检查
    ▲网络建设和网络改造前后的安全规划评估和成效检验
    ▲网络的安全系统建设方案和建设成效评估
    ▲网络承担重要任务前的安全性测试
    ▲网络安全事故后的分析调查
    ▲重大网络安全事件前的准备
    ▲公安、保密、安全机关组织的安全性检查

·最新病毒预告

                          国家计算机病毒处理中心公布最新病毒预告

　　国家计算机病毒应急处理中心公布了最新的病毒预告。一种蠕虫病毒的新变种近期在网上出现，广大计算机用户应尽早做好预防工作。
  　　这是一种MYDOOM蠕虫病毒的新变种，国家计算机病毒应急处理中心通过对该病毒变种的分析处理发现，这种病毒变种和早期的变种相似，都是利用邮件进行传播。它从受感染的系统中搜集目标邮件地址，使得发出的邮件使用虚假的发件人，并且伪装成一封发送失败的通告信，这样来诱骗计算机用户。
  　国家计算机病毒应急处理中心的专家提醒说：
  　1、计算机一旦遭受病毒感染应首先断开网络，再进行病毒的检测和清除，避免病毒在更大范围内传播，造成更严重的危害。由于邮件病毒的特征较为鲜明，信体内容为空或有简短的英文，并带有带毒附件。还是请用户了解病毒邮件的基本特征，并谨慎处理，尤其对邮件的附件，不要随便运行。
  　2、提醒广大计算机用户升级杀毒软件，启动“实时监控”和“个人防火墙”做好预防工作。
  　　病毒名称：Worm_Mydoom.M
  　病毒特性：
  　该蠕虫主要通过邮件进行传播。一旦感染机器，它会从受感染系统中的Windows地址簿、临时目录和某些固定驱动器中搜集目标邮件地址，并且该蠕虫还会在发送邮件的时候使用社会工程学技术，使得发出的邮件使用虚假的发件人，并且伪装成一封发送失败的通告信，这用来诱骗计算机用户。
　

·2005年信息安全新动向

                         　多层保护主动防护——看2005年信息安全新动向

    网络安全是企业网至关重要的组成部分，其功能正从被动式（出错时发出报警）转向主动式（防止多样的侵入等），控制也从独立式，转变为集中式。保护网络最好的方式是集中管理和多层保护。随着网络的不断扩大，2005年最重要的保护网络方式将是多层保护，即使某种网络保护技术非常出色，最好也只是将它作为多层安全中的一层，而不是惟一的一种保护手段。
　　全方位立体安全防护安全市场紧需　　
　　根据IDC的报告，从2001年起到2005年，世界网络安全市场将加速发展，营销额年增长率可达23%，到2005年，收入预计将超过140亿美元。从2002年中国的网络安全市场来看，总的市场规模达到50多亿元，呈高速增长状态。在一项有关2003年安全开支准备的调查中，调查对象79%的人表示，他们所在的机构将在防火墙硬件和软件上进行投资，网关防病毒产品被排在第二的位置。采用在Internet入口就封杀“毒源”的高效益的网关防毒产品已成为企业的网络管理员的迫切需求，同时这种需求也将成为防病毒软件市场新的增长点。　　
　　 IDS倾向主动防护
　　入侵检测系统IDS是网络攻击警报的基本来源，也是网络安全体系的关键部分，它可以提供详细的攻击、侵入和不明网络活动的记录信息。对于多数企业来说，IDS已经成为安全硬件的核心。但是，IDS的功能正在发生着变化，很多IDS开发商正在改进他们的产品，使IDS不仅仅能够提供已经发生的事件的信息，还能够在事件发生的一开始就帮助阻止入侵。在报告方面，IDS也变得更加主动，提供了异常检测和弱点评估等报告。由于攻击的数目和种类不断增加，IDS同日志及其他网络安全设备产生的报告之间的关联变得更加重要。在思科的网络管理控制NAC和微软的网络接入保护NAP机制中，IDS和防火墙都可以同入侵预防系统IPS共享一些功能，IDS可以将控制信息反馈给一个控制中心，控制中心向防火墙提供指令来重置连接和实施阻塞。
　　应用防火墙成为必需
　　与多层入侵检测和预防机制相对应的是多层的防火墙机制。网络的基本防火墙同应用防火墙（特别是Web应用防火墙）一起来保护Web应用后面的系统和数据库。受标准发展的影响，以及对于能够检查网络数据包内容的功能的需要，应用防火墙已经成为保护应用数据、防止恶意命令的必需组件。2004年基于客户端的防火墙已经被认可为企业安全体系的一部分，而在2005年，它们将很快会变成加强企业网络连接性所必需的增强策略。
　　交换机走向安全
　　随着设备生产商将防火墙转移到核心交换机上，核心网络的组件将会在保护网络方面发挥更大的作用。由策略增强软件控制的安全功能的智能集成将成为2005年的一个重要发展方向。虽然策略增强软件并不是新事务，但是将其更紧密地集成到网络设备中，却是一种新的发展趋势。
　　随之而来的一个必须关注的问题是，企业安全体系中的中央管理平台究竟能够控制哪些产品。几个工业巨头已经发布了它们的策略和接入控制系统，兼容性问题将得到逐步解决。思科的NAC和微软的NAP都是在现有的技术和产品的基础上开发的。虽然思科和微软在控制网络安全方面有相互竞争的计划，但是它们的产品相互兼容，并且，它们正努力同其它的安全设备生产商建立联盟，将更多的设备归到它们的中央安全程序的控制之下，这将是一个长期的发展过程，2005年仅仅是一个开始。
　　数据安全很重要
　　网络的设施和组成固然重要，然而企业网中最有价值的却是数据。越来越多新的法律和规则都在强调保护用户信息的重要性。为了满足各种标准，数据必须得到很好的保护，要做到即使在恶意侵入成功的情况下都不能让数据泄漏。因此，IDS和IPS必须检查进出的流量，以保护数据库和各种应用。
　　对于保护数据来说，便携式存储设备也是安全管理者必须考虑的问题，移动硬盘和小型USB存储设备已经取代了软盘，成为主要的便携式存储媒质。一些安全管理人员禁止用户使用这些设备，但是，随着具有相似功能的MP3播放器、PDA和移动电话的出现，使得这种禁用措施失去了作用。更有效的方法是，通过操作系统的设置来实现，可以关闭USB、Fireware或者其他的外接端口，这样就能够降低重要数据丢失的可能性。
　　所有的发展和变化都有一个相似的趋势，那就是从以前传统的被动反应模式变成超前反应的主动模式，能够在威胁刚出现的时候就保护网络和数据，而不是仅仅在攻击发生后对其进行描述。多种功能集成在一起产生了一个必然的结果，那就是整个网络将更加依赖于核心网络对用户及应用的接入控制能力。思科、凯创等生产商已经将防火墙和IDS的功能集成到了核心交换机中。也许将来安全就不再是单独的产品领域，而是植入网络核心设备中的一系列功能了。
　　新名词
　　越来越多的专业人员不再使用网络安全（Network Security）这个词，取而代之的是数据保险（Data Assurance），网络保险（Network Assurance）甚至是商业保险（Business Assurance）。这些名词是指那些有助于保护信息免受网络入侵、物理事故和设备丢失等行为的影响而造成损失的措施。从安全转到保险意味着，专业人员不再仅仅关注IDS和防火墙，而开始关注网络性能，物理接入和事故反应等。从某种角度来讲，随着安全功能集成到核心网络，以及网络安全专业人员进入到网络管理队伍中，网络的发展将会经历一次关键的革命。
　

·谭博士专栏

人脸识别技术：希望和挑战

　　人脸识别技术（Face Recognition Technique, FRT）是一种重要的生物测定技术。其应用领域非常广泛，包括身份控制、安全系统、人力资源管理、各种证件（如信用证、护照、驾照等）管理、嫌疑犯照片匹配、目击证人人脸重构等。从上世纪90年代以来，由于各方面对人脸自动识别系统的迫切要求，人脸识别的研究变得十分热门。目前，国际上对这方面的研究工作非常关注，有许多专门从事人脸识别的研究小组，他们的研究受到军方、警方及大公司的高度重视和巨额资助。在这些应用需求的推动下，不少人脸识别系统已走向市场，Biometric Technology Today杂志的一篇综述列出了来自13个公司的近25种人脸识别系统。
　　FRT之所以会受到市场欢迎，与其本身的特点分不开。我们对人脸、指纹、虹膜、ＤＮＡ、手形、声音等常用的几种人体生物特征识别技术进行了比较，发现，人脸识别相对其他几种生物特征而言，在进行人脸识别时最为方便、直接，不会给被识别者造成任何心理负担，因而能够提供最为舒适的人机接口。但是，我们也注意到，人脸的识别准确度总体上虽然优于语音，而远低于指纹、虹膜等特征。对人类而言，对不同人脸的识别上界是99%（即排除1%的双胞胎)。99%的识别精度尽管对安全级别要求较高的应用，或需要在庞大人脸库中作穷尽搜索的应用而言稍嫌不足，但足以满足大多数一般应用的要求。那么一个很自然的问题就是，我们能否设计出这样的算法，使得机器人脸识别能够逼近99%的识别率呢？
　　经过近30余年的发展，研究者们已提出多种技术以期解决人脸识别问题，虽然在某些特定应用上取得了部分成功，然而，由于人脸识别问题的复杂性，一般的、无约束环境下的人脸识别问题远未解决。其主要原因在于：人脸的外观总是处于不断的变化之中，如表情、发型、头部姿态、光照、甚至摄影镜头的远近等，各种变化的不稳定因素给识别系统的范化能力和准确度带来极大的挑战。

谭博士信箱：txy@ultratech.com.cn 欢迎大家与我共同探讨安全问题
　

·订阅《安全月刊》