CNNIC和为互联网络的管理和服务性机构，其主要工作包括负责"CN"下的域名注册、IP地址分配、自治系统号分配及中国互联网络的有关信息和技术服务。随着互联网络在我国的发展，CNNIC的地位和作用越来越重要，CNNIC的安全将关系到整个中国互联网络运行的安全。为了更好地保证CNNIC的安全，由国家投资建设CNNIC网络安全系统。经过一年多的努力，已经完成了预期的目标，研究成果在CNNIC全面使用，提高了CNNIC的总体安全性。

    CNNIC作为国家级网络信息中心，与各部委、企事业等单位的各级网络信息中心在业务上有着相似的地方。因此，CNNIC网络安全系统同样适合于各级网络信息中心。其特点如下：

1、 保证WWW、FTP、DNS、Whois等服务器的安全运行；
2、 实现对WWW、FTP、DNS、Whois服务器的安全监测及故障恢复；
3、 实现对内部网络服务器及外部网络服务器的多级安全保障；
4、 实现对重要文件、命令、数据的安全性保护；
5、 自动、及时地恢复各种服务器的异常运行；
6、 采用Web界面方式，容易操作；
7、 完整、准确、及时的监测和故障情况报告；
8、 实时监测非法侵入攻击，及时发出警告；
9、 IP利用级的地址限制和IDEA加算法实现对安全系统自身运行安全性的保证；
10、按关联性分级检测安全漏洞，隐患扫描；
11、对Tftp, rsh, rex, ypbind, rpc, showmount, xhost, TCPscan, UDPscan, nfs-chk, ftp, dns, finger, sendmail等多种存在安全隐患的部分进行检测；

CNNIC安全系统结构：

CNNIC安全系统各模块功能介绍：

"用户安全信息控制"实现了对用户身份的验证和用户信息的加密。
"数据安全传输"保证了业务信息在传输过程中的安全、可靠、完整。
"网络监测和故障恢复"监测网络信息中心的重要服务和数据，服务和重要数据的恢复在5分钟内就可完成，系统级的恢复在20分钟内就可完成。
"网络安全隐患扫描"检查一些常见的安全漏洞，提醒安全管理员的注意，同时通过定期运行该系统可以防止由于系统管理员误操作而引起的安全隐患。

用户安全信息控制

    本系统通过采用身份验证的方式，使得用户可以通过联机方式进行注册登记和修改信息，并保证用户注册的信息不被非授权的其他人员修改。即保证用户注册、修改的信息是真实的、可用的。

    本系统采用口令和PGP技术，有效地进行了用户身份的验证。其中，口令方式简单易用，PGP 方式安全性最强。

    目前，本系统处于试运行阶段，接受用户的在线注册和更改域名信息，为CNNIC进一步处理用户信息提供了数据资源准确性的保障，即保证只有授权的用户能够更改他所负责的域名信息。

    本系统为在线进行信息注册和更改提供了数据的安全性和可靠性，适用于信息服务领域，保护只有授权才能够访问的服务和数据。

数据安全传输

    此模块实现在两台UNIX主机之间传输数据，数据以文件方式传送。在网络上传送的文件都经过加密处理，用以保证隐蔽传送。在发送和接受端还有对数据文件的校验操作，用以保证正确传送。两机的通信过程分为发起端和接受端，在接受端能够对对方的IP地址进行检验，以防止其它机器干扰正常能信。

网络监测和故障恢复

    作为国家级的互联网络信息中，CNNIC提供DNS、WHOIS、FTP和WWW服务。以上四项基本服务的可靠性、可用性和有效性，一直是CNNIC的宗旨。另外，UNIX主机的系统安全也一直是安全领域关注的焦点之一。

    CNNIC网络监测和故障恢复系统对上述四种服务的可靠性和可用性提供了很大的保障，同时还能够保障在有大量访问请求时基本服务的有效性。对一运行UNIX操作系统的堡垒主机的系统安全，网络监测和恢复系统也提供了及时监测和有效的恢复功能。

    网络监测系统定时轮询堡垒主机上的服务器进程，检验服务的可用性和有效性。同时采用先时的消息摘要算法定时验证系统数据和服务关键数据的完整性，这在很大程度上保证了服务的可靠性和UNIX主机的系统安全。在发现异常情况之时，故障恢复系统会立刻被监测系统激活，进行相应在的恢复工作。对于基本服务可用性和有效性的监测与恢复可以在5分钟或是更短的时间内自动完成。网络监测系统所发现的异常以及邦联恢复的每一次动作都将以电子邮件的方式通知给系统管理人员。另外系统还提供了详细分类的运行报告和日志文件，这为管理员检查服务和操作系统的运行状况以及追踪异常事件提供了可靠的依据。

    系统设计采用加入认证机制的远过程调用（Remote Procedure Call）作为核心技术，客户/服务器模式作为基本机构，通用网关接口（Common Gateway Interface）实现用户界面，可以很容易地移到所有UNIX操作系统平台上。

网络安全隐患扫描

    对提供信息服务的整个系统的安全性进行检查是确保安全有效地提供信息服务必不可少的方面，使防患于未然成为现实。网络安全隐患扫描系统检查、查询一些常见的安全漏洞，提醒安全管理员的注意，同时通过定期运行该系统可以防止由于系统管理员误操作而引起的安全隐患。为了使网络同及系统管理员增加其系统的安全性，网络界有许多组织及各种厂家不断公布各个系统及应用软件的安全漏洞，但这些信息经常被入侵者利用，他们密切注视各种信息。如果我们针对各系统漏洞开发软件查询弱点，并可针对这些漏洞得出防范措施，以便其他系统及时补充完善功能，消除整个系统的不安全隐患，对CNNIC系统的安全起监督作用，这样可大大增加CNNIC整个系统对入侵者的抵抗能力。

    这正是网络安全隐患扫描系统要达到的目的。

    此系统的实现机制可完成一定程度的智能弱点查询，即不只是对某一单个主机实施多种弱点查询，还有以下查询特点：

    1、可设定查询程度，查询程序分为：轻级、一般级和重级，每一级分别对应相应的查询程序集。

    2、可按域名限定查询范围，设定扫描在某一子域内进行或扫描不涉及某一子域。

    3、具有推断机制，可根据事实,推断产生新的主机、新的查询要求等等。

    "魔高一尺，道高一丈"，网络安全将成我们必须长期面对的一个战略任务，CNNIC愿意与大家一起来解决它，促进互联网络在我国健康发展，使互联网络更好地为我们服务。

（文：CNNIC安全应对小组）