石 樂
（濟(jì)南職業(yè)學(xué)院，山東 濟(jì)南 250103）
0 引 言
在網(wǎng)絡(luò)威脅不斷升級(jí)的時(shí)代，了解網(wǎng)絡(luò)威脅的基本原理并采取有效的技術(shù)措施，對(duì)于保護(hù)網(wǎng)絡(luò)通信中的數(shù)據(jù)信息安全至關(guān)重要。因此，文章主要闡述數(shù)據(jù)信息安全威脅的定義、范圍和類型，并提出有關(guān)保障技術(shù)，為實(shí)現(xiàn)有效的數(shù)據(jù)信息保護(hù)奠定基礎(chǔ)。
1 數(shù)據(jù)信息安全的概述
1.1 數(shù)據(jù)信息安全的定義和范圍
數(shù)據(jù)信息安全是指保證數(shù)據(jù)機(jī)密性、完整性以及可用性的保護(hù)措施和管理實(shí)踐。其中，保密性確保數(shù)據(jù)只能由授權(quán)的個(gè)人或系統(tǒng)訪問；完整性確保數(shù)據(jù)準(zhǔn)確且不被更改；可用性確保數(shù)據(jù)在用戶需要時(shí)可以進(jìn)行訪問。需要保護(hù)的數(shù)據(jù)信息包括保護(hù)靜態(tài)數(shù)據(jù)、傳輸中的數(shù)據(jù)以及處理中的數(shù)據(jù)[1]。數(shù)據(jù)信息安全的核心是保護(hù)敏感信息，包括個(gè)人、財(cái)務(wù)和專有數(shù)據(jù)，不僅要防范外部威脅，還要解決內(nèi)部漏洞和風(fēng)險(xiǎn)。因此，需要采取整體方法，整合人員、技能和技術(shù)，從而建立強(qiáng)大防御機(jī)制。
1.2 數(shù)據(jù)信息安全威脅的類型
數(shù)據(jù)信息安全的威脅可以分為多種類型。第一，惡意軟件。包括病毒、蠕蟲和勒索軟件等，會(huì)損害數(shù)據(jù)完整性，并破壞正常的系統(tǒng)功能，嚴(yán)重威脅著數(shù)據(jù)信息安全。第二，網(wǎng)絡(luò)釣魚和網(wǎng)絡(luò)攻擊。其中網(wǎng)絡(luò)釣魚電子郵件是一種常見的攻擊手段，試圖欺騙用戶泄露密碼或安裝惡意軟件。第三，內(nèi)部威脅。具有特殊訪問權(quán)限的員工或個(gè)人，可能有意或無意地?fù)p害數(shù)據(jù)安全，如未經(jīng)授權(quán)的訪問、數(shù)據(jù)泄露或敏感信息的濫用等。第四，拒絕服務(wù)（Denial of Service，DoS）攻擊。DoS 攻擊旨在通過大量流量淹沒系統(tǒng)或網(wǎng)絡(luò)，導(dǎo)致系統(tǒng)或網(wǎng)絡(luò)不可用，從而破壞服務(wù)的可用性，導(dǎo)致數(shù)據(jù)丟失或系統(tǒng)停機(jī)。第五，未打補(bǔ)丁的軟件漏洞。攻擊者利用未使用最新安全補(bǔ)丁的軟件或系統(tǒng)中存在的漏洞，以獲得未經(jīng)授權(quán)的訪問，甚至破壞系統(tǒng)。第六，物理威脅。硬件的物理損壞或竊取也會(huì)導(dǎo)致數(shù)據(jù)丟失。
2 網(wǎng)絡(luò)通信中的數(shù)據(jù)信息安全保障技術(shù)
2.1 加密技術(shù)
加密是確保數(shù)據(jù)信息安全的基礎(chǔ)，因此需要采取強(qiáng)大的保障機(jī)制來保護(hù)敏感信息，使其免遭未經(jīng)授權(quán)的訪問。
2.1.1 對(duì)稱加密算法
對(duì)稱加密是指使用單個(gè)密鑰進(jìn)行加密和解密操作，適合處理大量數(shù)據(jù)。數(shù)據(jù)加密標(biāo)準(zhǔn)（Data Encryption Standard，DES）是一種常見的對(duì)稱加密算法，也是一種早期的對(duì)稱加密算法，使用56 位密鑰。盡管DES 在歷史上具有重要意義，但其密鑰長(zhǎng)度較短，安全系數(shù)較低。而三重?cái)?shù)據(jù)加密算法（Triple Data Encryption Algorithm，3DES）是對(duì)DES 算法的升級(jí)，即對(duì)每個(gè)數(shù)據(jù)塊應(yīng)用3 次DES 算法。盡管3DES 算法的安全性比DES 算法強(qiáng)，但正逐漸被淘汰。對(duì)稱加密適用于對(duì)性能和效率要求嚴(yán)苛的場(chǎng)景，但密鑰管理較難，如當(dāng)多方需要安全通信時(shí)，如何安全分發(fā)和更新密鑰成為挑戰(zhàn)[2]。
2.1.2 非對(duì)稱加密算法
非對(duì)稱加密使用一對(duì)密鑰，即用于加密的公鑰和用于解密的私鑰。這種二元性提供一種安全的通信方式，無須雙方共享公共密鑰。非對(duì)稱加密算法中，RSA 算法常用于保護(hù)通信的安全。RSA 算法依賴于大數(shù)分解的數(shù)學(xué)復(fù)雜性，因此通常用于保護(hù)數(shù)字簽名和建立安全通信通道；橢圓曲線加密（Elliptic Curve Cryptography，ECC）具有效率高的優(yōu)勢(shì)，越來越受歡迎。與傳統(tǒng)的非對(duì)稱算法相比，在相同的安全級(jí)別下，ECC 算法需要的密鑰長(zhǎng)度更短，因此適合于資源受限的設(shè)備；迪菲-赫爾曼密鑰交換（Diffie-Hellman key exchange，D-H）雖然本身不是加密算法，但屬于非對(duì)稱加密算法的重要組成部分，使通信雙方順利通過不安全的通道，并安全地交換加密密鑰。
非對(duì)稱加密能夠有效解決對(duì)稱加密固有的密鑰分發(fā)挑戰(zhàn)，使每個(gè)用戶都有一對(duì)密鑰，公鑰公開共享，私鑰保密。使用公鑰加密的消息只能由相應(yīng)的私鑰解密，即使在沒有共享信息的情況下也能確保通信安全。
2.2 身份驗(yàn)證和訪問控制機(jī)制
2.2.1 基于密碼的身份驗(yàn)證
基于密碼的身份驗(yàn)證是驗(yàn)證用戶身份最古老且最常見的方法，其通過用戶輸入的密碼來獲得訪問權(quán)限。雖然該方法應(yīng)用簡(jiǎn)單且使用廣泛，但具有固有的漏洞，如弱密碼、密碼重復(fù)使用和易受網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)等。因此，使用基于密碼的身份驗(yàn)證方法驗(yàn)證用戶身份時(shí)，要考慮相關(guān)因素。第一，密碼復(fù)雜性要求，鼓勵(lì)或強(qiáng)制使用大小寫字母、數(shù)字和符號(hào)混合的復(fù)雜密碼，使攻擊者更難猜測(cè)或破解密碼，從而增強(qiáng)密碼的安全性；第二，實(shí)施定期更改密碼和多次登錄嘗試失敗后鎖定機(jī)制，以增加額外的安全層；第三，進(jìn)行多重身份驗(yàn)證（Multi-Factor Authentication，MFA）。雖然MFA 不完全基于密碼，但通過增加額外的驗(yàn)證因素，可以有效補(bǔ)充密碼身份驗(yàn)證信息。盡管基于密碼的身份驗(yàn)證方式存在諸多漏洞，但其具有簡(jiǎn)單性和熟悉性，仍然被廣泛使用。為增強(qiáng)身份驗(yàn)證的安全性，通常需要將其與其他身份驗(yàn)證方法結(jié)合使用。
2.2.2 雙因素認(rèn)證
雙因素認(rèn)證（Two-factor authentication，2FA）要求用戶提供2 種不同類型的身份驗(yàn)證因素，以增加額外的安全層。常見的2FA 實(shí)現(xiàn)方式主要包括3 種。第一，短信和電子郵件代碼，用戶在注冊(cè)的移動(dòng)設(shè)備或電子郵件上收到一次性代碼時(shí)，必須將其與密碼一起輸入。第二，基于時(shí)間的一次性密碼（Time-Based One-Time Password，TOTP），用戶使用移動(dòng)應(yīng)用程序生成臨時(shí)登錄驗(yàn)證碼。第三，生物識(shí)別身份驗(yàn)證，利用指紋、面部識(shí)別或其他生物識(shí)別數(shù)據(jù)來確認(rèn)用戶的身份。2FA 要求用戶提供多個(gè)身份驗(yàn)證因素，以增強(qiáng)數(shù)據(jù)信息安全性，即使密碼泄露，未經(jīng)額外驗(yàn)證也能阻止未經(jīng)授權(quán)的訪問[3]。
2.2.3 基于角色的訪問控制
基于角色的訪問控制（Role-Based Access Control，RBAC）是一種強(qiáng)大的訪問控制機(jī)制，可根據(jù)用戶在組織中的角色向用戶分配權(quán)限。每個(gè)角色都與特定的職責(zé)和訪問權(quán)限相關(guān)聯(lián)，并根據(jù)用戶的工作職能為其分配角色。RBAC 簡(jiǎn)化訪問權(quán)限的管理，降低人為錯(cuò)誤的風(fēng)險(xiǎn)，并通過限制每個(gè)角色所需的訪問來增強(qiáng)安全性。RBAC 的主要特性包括以下4 點(diǎn)：定義與特定工作職能或職責(zé)相關(guān)的權(quán)限集；將訪問權(quán)限授予角色，明確指定其可以訪問哪些操作或資源；根據(jù)用戶的工作要求為用戶分配對(duì)應(yīng)的角色；用戶被授予執(zhí)行其工作職能所需的最低訪問級(jí)別，從而降低帳戶受損的風(fēng)險(xiǎn)。RBAC 尤其適用于具有復(fù)雜訪問要求的大型企業(yè)。
2.3 防火墻和入侵檢測(cè)系統(tǒng)
2.3.1 包過濾防火墻
數(shù)據(jù)包過濾防火墻在開放式系統(tǒng)互聯(lián)（Open System Interconnect，OSI）模型的網(wǎng)絡(luò)層（第3 層）運(yùn)行，并根據(jù)網(wǎng)絡(luò)數(shù)據(jù)包的屬性做出決策。通過檢查源地址和目標(biāo)地址、端口和協(xié)議類型，確定是允許還是阻止流量。這種類型的防火墻通常是無狀態(tài)的，即不保留有關(guān)活動(dòng)連接狀態(tài)的信息。包過濾防火墻的主要特性包括以下3 點(diǎn)：訪問控制列表（Access Control List，ACL），根據(jù)源和目標(biāo)網(wǎng)際互連協(xié)議（Internet Protocol，IP）地址、端口和協(xié)議定義規(guī)則，如果數(shù)據(jù)符合這些規(guī)則，則允許通過，否則被阻止；不維護(hù)有關(guān)連接狀態(tài)的信息，即每個(gè)數(shù)據(jù)包都獨(dú)立評(píng)估，這既是優(yōu)點(diǎn)也是限制；數(shù)據(jù)包過濾非常高效，且具有簡(jiǎn)單性，適用于高速網(wǎng)絡(luò)流量。雖然包過濾防火墻在基本流量過濾方面很有效，但在處理更復(fù)雜的場(chǎng)景（如應(yīng)用層過濾和對(duì)用戶訪問的精細(xì)控制）方面存在局限性。
2.3.2 應(yīng)用級(jí)網(wǎng)關(guān)
應(yīng)用級(jí)網(wǎng)關(guān)也稱為代理防火墻，在OSI 模型的應(yīng)用程序?qū)樱ǖ? 層）運(yùn)行。應(yīng)用級(jí)網(wǎng)關(guān)不僅檢查數(shù)據(jù)包標(biāo)頭，還分析整個(gè)應(yīng)用程序級(jí)數(shù)據(jù)，從而實(shí)現(xiàn)更精細(xì)的控制和過濾。應(yīng)用級(jí)網(wǎng)關(guān)的主要功能包括：代替服務(wù)器充當(dāng)客戶端和服務(wù)器之間的中介，反映客戶端處理請(qǐng)求，檢查、修改并過濾請(qǐng)求和響應(yīng)，從而提供更高級(jí)別的控制；根據(jù)應(yīng)用程序特定的規(guī)則檢查和過濾內(nèi)容，以支持更高級(jí)的安全策略，如阻止特定網(wǎng)站或應(yīng)用程序；對(duì)應(yīng)用程序?qū)舆M(jìn)行更深入的檢查，可以增強(qiáng)某些攻擊的安全性。然而，使用代理服務(wù)器可能會(huì)帶來延遲，且管理特定于應(yīng)用程序的規(guī)則，因此會(huì)變得更為復(fù)雜，可能會(huì)給大規(guī)模部署帶來挑戰(zhàn)。
2.3.3 入侵檢測(cè)和防御系統(tǒng)
入侵檢測(cè)和防御系統(tǒng)（Intrusion Detection and Prevention Systems，IDPS）旨在檢測(cè)和響應(yīng)潛在的安全威脅或事件。其在OSI 模型的各個(gè)層運(yùn)行，主要分為兩種類型，即網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)（Network Intrusion Detection System，NIDS）、基于主機(jī)型入侵檢測(cè)系統(tǒng)（Host-based Intrusion Detection System，HIDS）。IDPS 的主要特征包括：分析網(wǎng)絡(luò)或主機(jī)活動(dòng)，以識(shí)別與既定基線的偏差，如果檢測(cè)異常，則表明可能存在潛在的安全事件；使用預(yù)定義的簽名或已知攻擊模式，識(shí)別和響應(yīng)特定威脅；根據(jù)配置向管理員發(fā)出警報(bào)、記錄事件，或采取自動(dòng)操作來防止或減輕威脅；與防火墻集成，對(duì)檢測(cè)到的威脅做出更協(xié)調(diào)的響應(yīng)。IDPS 在識(shí)別和減輕威脅方面發(fā)揮著至關(guān)重要的作用，入侵防御系統(tǒng)（Intrusion Prevention System，IPS）通過主動(dòng)阻止已識(shí)別的威脅，使該功能更進(jìn)一步[4]。
3 發(fā)展趨勢(shì)與考慮因素
3.1 數(shù)據(jù)安全中的人工智能和機(jī)器學(xué)習(xí)
隨著數(shù)據(jù)量和復(fù)雜性不斷增長(zhǎng)，人工智能（Artificial Intelligence，AI）和機(jī)器學(xué)習(xí)（Machine Learning，ML）已成為確保數(shù)據(jù)信息安全不可或缺的工具。這些技術(shù)提高檢測(cè)和應(yīng)對(duì)威脅的能力，實(shí)現(xiàn)自動(dòng)化的安全流程，并加強(qiáng)整體的網(wǎng)絡(luò)安全態(tài)勢(shì)[5]。第一，威脅檢測(cè)和異常檢測(cè)。AI 和ML 可以分析大量數(shù)據(jù)，識(shí)別潛在的安全威脅模式和異常情況。行為分析有助于識(shí)別正常用戶或系統(tǒng)行為的偏差，從而及早檢測(cè)到惡意活動(dòng)。第二，預(yù)測(cè)分析。ML 模型可以根據(jù)歷史數(shù)據(jù)預(yù)測(cè)潛在的安全事件，從而在漏洞被利用之前主動(dòng)解決漏洞并降低風(fēng)險(xiǎn)。第三，自動(dòng)事件響應(yīng)。AI驅(qū)動(dòng)的安全解決方案，可以自動(dòng)化事件響應(yīng)流程，從而更快、更有效地響應(yīng)安全事件，積極采取相關(guān)措施，降低安全漏洞的影響。第四，自適應(yīng)身份驗(yàn)證。AI通過不斷學(xué)習(xí)和適應(yīng)用戶行為的變化，增強(qiáng)自適應(yīng)身份驗(yàn)證系統(tǒng)，以平衡安全性和用戶體驗(yàn)。
雖然AI 和ML 具有顯著優(yōu)勢(shì)，但必須解決試圖操縱或欺騙機(jī)器學(xué)習(xí)模型的對(duì)抗性攻擊等挑戰(zhàn)。AI在網(wǎng)絡(luò)安全領(lǐng)域不斷發(fā)展，只有不斷學(xué)習(xí)和適應(yīng)數(shù)據(jù)與網(wǎng)絡(luò)的變化，才能有效應(yīng)對(duì)復(fù)雜的威脅。
3.2 云計(jì)算安全考慮
云計(jì)算的采用，改變存儲(chǔ)、處理和訪問數(shù)據(jù)的方式。云服務(wù)在提供可擴(kuò)展性和靈活性的同時(shí)，給數(shù)據(jù)信息安全帶來新的挑戰(zhàn)和考慮。第一，數(shù)據(jù)加密，對(duì)靜態(tài)數(shù)據(jù)和動(dòng)態(tài)傳輸中的數(shù)據(jù)實(shí)施強(qiáng)大的加密機(jī)制至關(guān)重要。云提供商通常會(huì)提供加密服務(wù)，而相關(guān)組織也需要安全地管理并加密密鑰。第二，身份識(shí)別和訪問管理（Identity and Access Management，IAM）。正確的IAM 實(shí)踐對(duì)于控制用戶對(duì)云資源的訪問至關(guān)重要。例如，實(shí)施最小權(quán)限原則、多因素身份驗(yàn)證和定期訪問審查等。第三，安全共享責(zé)任模型。雖然云提供商能夠保障基礎(chǔ)設(shè)施的安全，但客戶有責(zé)任保護(hù)數(shù)據(jù)和配置的安全。第四，安全監(jiān)控和事件響應(yīng)。云環(huán)境需要具備持續(xù)監(jiān)控安全事件和主動(dòng)事件響應(yīng)能力。第五，容器安全。隨著容器化在云環(huán)境中變得越來越普遍，保護(hù)容器化應(yīng)用程序和編排器對(duì)于防止漏洞以及未經(jīng)授權(quán)的訪問至關(guān)重要。
4 結(jié) 論
文章通過分析網(wǎng)絡(luò)通信中的數(shù)據(jù)信息安全保障技術(shù)，為相關(guān)從業(yè)人員提供參考和借鑒。因此，堅(jiān)持基本原則、利用先進(jìn)的技術(shù)措施，對(duì)于確保網(wǎng)絡(luò)通信數(shù)據(jù)信息安全至關(guān)重要。只有這樣才能增強(qiáng)通信網(wǎng)絡(luò)安全，以抵御不斷變化的威脅，確保數(shù)據(jù)的機(jī)密性和完整性。
