《因特網(wǎng)安全協(xié)議》PPT課件.ppt

第七章 安全管理與審計,7.1 基本概念 7.2 安全管理 7.3 安全審計 7.4 入侵檢測 7.5 小結(jié),7.1 基本概念,本節(jié)介紹有關(guān)安全管理、安全審計以及入侵檢測等方面的基本概念。,7.1.1 安全管理目標(biāo) 7.1.2 安全管理原則 7.1.3 安全管理措施 7.1.4 人員管理 7.1.5 技術(shù)管理,7.1.1 安全管理目標(biāo),嚴格的安全管理需要達到以下目標(biāo)： 防止未授權(quán)訪問 防止泄密 防止用戶拒絕系統(tǒng)的管理 保證系統(tǒng)的完整性,7.1.2 安全管理原則,1、安全管理原則 多人負責(zé)原則 任期有限原則 職責(zé)分離原則 計算機操作與計算機編程 機密資料的接收和傳送 安全管理和系統(tǒng)管理 應(yīng)用程序和系統(tǒng)程序的編制 訪問證件的管理與其他工作 計算機操作與信息處理系統(tǒng)使用媒介的保管等,2、安全管理的實現(xiàn) 根據(jù)工作的重要程度，確定該系統(tǒng)的安全等級。 根據(jù)確定的安全等級，確定安全管理的范圍。 制訂相應(yīng)的機房出入管理制度。 制訂嚴格的操作規(guī)程。 制訂完備的系統(tǒng)維護制度。 制訂應(yīng)急措施。,7.1.2 安全管理原則,3、防范黑客原則 加強監(jiān)控能力。 加強安全管理。 集中監(jiān)控。 多層次防御和部門間的物理隔離。 要隨時跟蹤最新網(wǎng)絡(luò)安全技術(shù)，采用國內(nèi)外先進的網(wǎng)絡(luò)安全技術(shù)、工具、手段和產(chǎn)品。同時，一旦防護手段失效時，要有先進的系統(tǒng)恢復(fù)、備份技術(shù)。,7.1.2 安全管理原則,4、安全規(guī)劃 重要信息保密 網(wǎng)絡(luò)系統(tǒng)的安全 防止外部攻擊 防止內(nèi)部篡改 檢查傳輸內(nèi)容 安全產(chǎn)品的選型,7.1.2 安全管理原則,7.1.3 安全管理措施,從整體上來講網(wǎng)絡(luò)安全可分為兩個方面： 網(wǎng)絡(luò)層：保護網(wǎng)絡(luò)服務(wù)的可用性。 應(yīng)用層：保護合法用戶對數(shù)據(jù)的合法訪問。 安全檢測：在網(wǎng)絡(luò)運行之前和運行當(dāng)中通過不斷的自測，發(fā)現(xiàn)系統(tǒng)存在的安全漏洞，并列出報告，告訴使用者檢修的方法，然后及時采取補救措施。具體功能包括兩個方面 檢測網(wǎng)絡(luò)的安全漏洞 檢測系統(tǒng)配置錯誤。,網(wǎng)絡(luò)層的安全檢測措施，主要是預(yù)防黑客的攻擊，它是一種主動的預(yù)防行為。 應(yīng)用層的安全措施有如下幾方面： 建立全局的電子身份認證系統(tǒng)。 實現(xiàn)全局資源的統(tǒng)一管理。 信息傳輸加密。 實現(xiàn)審訊記錄和統(tǒng)計分析。,7.1.3 安全管理措施,7.1.4 人員管理,用戶的安全意識 系統(tǒng)管理員的安全意識。,7.1.5 技術(shù)管理,靜態(tài)安全技術(shù) 缺點是需要人工來實施和維護，不能主動跟蹤入侵者。 動態(tài)安全技術(shù) 最大優(yōu)點在于“主動性”，通過將實時捕捉和分析系統(tǒng)與網(wǎng)絡(luò)監(jiān)視系統(tǒng)相結(jié)合，入侵檢測系統(tǒng)能夠發(fā)現(xiàn)危險攻擊的特征，進而探測出攻擊行為并發(fā)出警報，同時采取保護措施。 網(wǎng)絡(luò)測試技術(shù) 系統(tǒng)安全測試 Web安全測試 系統(tǒng)漏洞檢測 防火墻的測試,7.2 安全管理,1、OSI管理標(biāo)準(zhǔn)框架結(jié)構(gòu) 管理信息模型 管理信息定義 受管對象定義指南 一般管理信息 另一個標(biāo)準(zhǔn)ISO/IEC1O164 審計管理、配置管理、容錯管理、性能管理和安全管理這五個管理功能區(qū)中定義了大量的系統(tǒng)管理功能。,7.2.1 CMIP的安全管理,2、通用管理信息協(xié)議CMIP：是一個采用了遠程操作模型的請求/應(yīng)答協(xié)議，提供以下兩種服務(wù)： 傳輸由管理系統(tǒng)發(fā)起并面向受管對象的操作。 傳輸由受管對象產(chǎn)生的事件通知。 面向受管對象的操作有： 獲得關(guān)于一個受管對象或它的集合屬性值。 更改一個或多個受管對象的一個或多個屬性值。 發(fā)起并產(chǎn)生一個受管對象。 從環(huán)境中取消一個或多個受管對象。 激發(fā)一個作為受管對象一部分的預(yù)定義行為過程。 停止一個GET操作。,7.2.1 CMIP的安全管理,安全警報報告功能 安全警報能導(dǎo)致以下一些行動：監(jiān)督可疑用戶，取消可疑用戶的權(quán)限，調(diào)用更強的保護機制，去掉或修復(fù)故障網(wǎng)絡(luò)或系統(tǒng)的某個組成部件。 安全警報通過M-EVENT-REPORT通知給管理系統(tǒng)。 安全警報報告中傳遞的參數(shù)分為三類 事件類型和安全警報原因的組合表明了警報的原因。 安全警報的安全參數(shù)指明了由初始受管客體發(fā)覺的警報意義。 安全警報檢測器參數(shù)是標(biāo)識檢測警報條件的實體。,7.2.1 CMIP的安全管理,4、安全審計追蹤功能 安全審計追蹤用來檢測一個安全策略的正確性，確認與安全策略的一致性，幫助分析攻擊，并且收集用于起訴攻擊者的證據(jù)。 安全審計追蹤功能為將事件信息傳遞給維護日志并創(chuàng)建和恢復(fù)日志實體的系統(tǒng)提供了必要的支持。 安全審計追蹤功能標(biāo)準(zhǔn)另外定義了兩個特殊的通知，分別與服務(wù)報告和使用報告對應(yīng)。 服務(wù)報告表明了與一些服務(wù)的提供、拒絕或恢復(fù)有關(guān)的事件。 使用報告用于有安全意義的日志統(tǒng)計信息。,7.2.1 CMIP的安全管理,管理資源的訪問控制 訪問控制體系結(jié)構(gòu)中，發(fā)起者是管理系統(tǒng)或系統(tǒng)中的管理員，目標(biāo)是受管系統(tǒng)的信息資源。 基于訪問控制規(guī)則來決定是允許還是拒絕訪問請求。訪問規(guī)則本身可以表示成管理信息條目并且使用CMIP協(xié)議來管理。 一條規(guī)則的說明書中包含了許多要素，其中包括訪問的許可、發(fā)起者列表、目標(biāo)列表、時間表、狀態(tài)條件以及認證內(nèi)容等。 在訪問控制決策過程中，首先需要驗證伴隨訪問請求出現(xiàn)的任何訪問控制信息。 使用規(guī)則的方法取決于所使用的特定訪問控制機制。,7.2.1 CMIP的安全管理,CMIP的安全特性 CMIP協(xié)議格式說明中包括了最小安全特征。 CMIP會話中的所有數(shù)據(jù)的完整性和機密性由端系統(tǒng)級的安全服務(wù)來保證。,7.2.1 CMIP的安全管理,7.2.2 SNMP的安全管理,1、SNMP構(gòu)成 簡單網(wǎng)絡(luò)管理協(xié)議（SNMP）是支持基于TCP/IP的系統(tǒng)管理的一組因特網(wǎng)標(biāo)準(zhǔn)的一部分。 SNMP體系結(jié)構(gòu)的主要部件是一個網(wǎng)絡(luò)管理站和一些網(wǎng)絡(luò)要素。網(wǎng)絡(luò)管理站是一個運行了SNMP以及一些網(wǎng)絡(luò)管理應(yīng)用的主機系統(tǒng)。網(wǎng)絡(luò)要素是受管系統(tǒng)，如主機、路由器、網(wǎng)關(guān)或服務(wù)器。 在網(wǎng)絡(luò)管理站和網(wǎng)絡(luò)要素之間進行的通信中，實現(xiàn)SNMP的實體被稱為SNMP協(xié)議實體或簡單的SNMP實體。一個SNMP實體可以以管理者角色或代理角色進行的操作。 SNMP也通過代理服務(wù)器提供對設(shè)備的管理。,2、協(xié)議操作 SNMP特別適合于實現(xiàn)相對小的網(wǎng)絡(luò)系統(tǒng)，它有6個基本的SNMP協(xié)議互操作，涉及到7種類型的PDU。 3、管理功能 在SNMP版本1中，采用了基于團體的管理模型。 在SNMP版本2中，定義了加強的管理模型。 4、SNMP安全服務(wù) 兩個主要威脅是數(shù)據(jù)篡改和偽造。兩個次要的威脅是修改消息流和竊聽。因此，所要求的安全服務(wù)有：將服務(wù)的完整性和數(shù)據(jù)起源認證結(jié)合起來、序列的完整性以及數(shù)據(jù)的機密性。 這樣就導(dǎo)致了兩個SNMP安全協(xié)議的定義。 摘要認證協(xié)議提供了數(shù)據(jù)完整性、數(shù)據(jù)起源認證和序列完整性保護。 對稱秘密協(xié)議提供了數(shù)據(jù)的機密性保護。,7.2.2 SNMP的安全管理,5、摘要認證協(xié)議：通過一個認證信息數(shù)據(jù)項提供保護。該項連同一個常用的SNMP PDU結(jié)合到一個SNMP認證消息中。 認證信息項由下面三部分組成： 起源認證時間戳：該字段傳遞產(chǎn)生消息的時間，該時間根據(jù)起源成員的時鐘得到。 目的認證時間戳：該字段傳遞產(chǎn)生消息的時間，該時間根據(jù)目的成員的時鐘得到。 認證摘要：該字段傳遞一個封章，封章是通過對消息計算得到的。,7.2.2 SNMP的安全管理,6、對稱秘密協(xié)議 對稱秘密協(xié)議像摘要認證協(xié)議一樣，通過加密一個SNMP認證消息來提供秘密保護。加密使用了一個對稱密碼算法和一個預(yù)先已經(jīng)建立的秘密密鑰。推薦的算法是DES的CBC模式。密鑰長度為128比特。由56比特DES密鑰（加上8位的奇偶位）和64比特的初始向量組成。為了保證每8位組加密，消息要求補齊。,7.2.2 SNMP的安全管理,7、SNMP安全的管理 SNMP安全協(xié)議的使用依賴于下列管理功能： （1）密鑰管理，包括認證密鑰和秘密密鑰； （2）確保所有系統(tǒng)中的時鐘同步，因為序列完整性的正確功能取決于這種同步； （3）建立和維護每個系統(tǒng)的信息，這些系統(tǒng)與發(fā)生通信的SNMP成員有關(guān)。,7.2.2 SNMP的安全管理,8、訪問控制：SNMP版本2管理模型包括一個訪問控制模型，用來管理哪些SNMP PDU可以合法地在成員之間發(fā)送，該模型是關(guān)于一組特定受管對象資源。訪問控制信息以訪問控制列表的形式存在。一個訪問控制列表有下列組成部分： 目標(biāo) 主體 資源 權(quán)利,7.2.2 SNMP的安全管理,安全審計是系統(tǒng)記錄和活動的獨立復(fù)審和驗證。安全審計的目的包括 輔助辨識和分析未經(jīng)授權(quán)的活動或攻擊； 幫助并且保證那些實體響應(yīng)行動處理這些活動； 促進開發(fā)改進的損傷控制處理程序； 認可與已經(jīng)建立的安全策略的一致性； 報告那些可能與系統(tǒng)控制不相適應(yīng)的信息； 辨識可能需要的對控制、策略和處理程序的改變。,7.3 安全審計 7.3.1安全審計的目的,7.3.1 安全審計的目的,安全報警是由個人或進程發(fā)出的警告，以指示發(fā)生了異常情況，可能需要及時的行動。安全報警的目的包括： 報告實際的或明顯的違背安全的企圖； 報告各種安全相關(guān)的事件，包括“正?！笔录?報告達到一定門限后觸發(fā)產(chǎn)生的事件。,7.3.2 系統(tǒng)記賬與日志,審計是記錄用戶使用計算機網(wǎng)絡(luò)系統(tǒng)進行所有活動的過程，它是提高安全性的重要工具。它不僅能夠識別誰訪問了系統(tǒng)，還能指出系統(tǒng)正被怎樣地使用。 審計日志是記錄信息系統(tǒng)安全狀態(tài)和問題的依據(jù)。 各級信息系統(tǒng)必須制定保存和調(diào)閱審計日志的管理制度。,7.3.3 安全審計的功能,支持一個安全審計和報警服務(wù)需要多種功能： 事件辨別器：它提供事件的初始分析，確定是否將該事件轉(zhuǎn)送給審計記錄器或報警處理器。 事件記錄器：它將接收到的消息生成審計記錄，并把該記錄存入一個安全審計跟蹤。 報警處理器：它產(chǎn)生一個審計消息，同時產(chǎn)生合適的行動以響應(yīng)一個安全報警。 審計分析器：它檢查一個安全審計跟蹤，如果合適的話，生成安全報警和安全審計消息。 審計跟蹤驗證器：它從一個或多個安全審計跟蹤產(chǎn)生安全審計報告。 審計提供器：它按照某些準(zhǔn)則提供審計記錄。 審計歸檔器：它將安全審計跟蹤歸檔。,附加的支持分布式安全審計跟蹤和報警的功能也是必需的，這些功能包括： 審計跟蹤收集器：將一個分布式審計跟蹤的記錄匯集成一個安全審計跟蹤。 審計調(diào)度器：將分布式安全審計跟蹤的某些部分或全部，傳輸?shù)皆搶徲嫺櫴占δ?。,7.3.3 安全審計的功能,7.3.4 安全檢查,網(wǎng)絡(luò)系統(tǒng)安全檢測是對系統(tǒng)及其網(wǎng)絡(luò)進行風(fēng)險評估的重要措施。 本小節(jié)以Unix系統(tǒng)為例，說明安全檢查的方法。 1、記賬 2、系統(tǒng)檢查命令 3、查著歷史文件 4、查屬主為root并且?guī)位的程序 5、找出隱藏文件,7.3.5 安全分析,安全分析的目的在于可以再次確認在系統(tǒng)安裝時是否疏忽了某些配置問題；建立一套安全標(biāo)準(zhǔn)，并使系統(tǒng)現(xiàn)在建立的安全標(biāo)準(zhǔn)可作為以后對系統(tǒng)進行安全分析時的對比依據(jù)。 一般均具有如下功能： 檢查系統(tǒng)是否存在安全漏洞。在系統(tǒng)安裝時，系統(tǒng)管理員的疏忽會給入侵者以可乘之機。 建立一個關(guān)于系統(tǒng)中所有文件的數(shù)據(jù)庫。這樣，系統(tǒng)管理員將來可以經(jīng)常對這些文件進行檢查，辨別文件是否有異常變化。,7.4 入侵檢測 7.4.1 入侵檢測目的,入侵檢測的目的就是及時發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)中所存在的最薄弱的環(huán)節(jié)，使用最有效的方法定期對網(wǎng)絡(luò)系統(tǒng)進行安全性檢測與分析，及時發(fā)現(xiàn)并修正存在的弱點和漏洞，最大限度地保證網(wǎng)絡(luò)系統(tǒng)的安全。,7.4.2 入侵檢測技術(shù),網(wǎng)絡(luò)入侵檢測實際上也是一種信息識別與檢測技術(shù) 基于審計信息的檢測技術(shù) 基于統(tǒng)計的入侵檢測 統(tǒng)計數(shù)據(jù)測量點的選取 統(tǒng)計數(shù)據(jù)的分析和入侵判斷 自動學(xué)習(xí) 基于神經(jīng)網(wǎng)絡(luò)的入侵檢測 基于規(guī)則的入侵檢測,7.4.3 入侵檢測系統(tǒng),入侵檢測系統(tǒng)是實時網(wǎng)絡(luò)違規(guī)自動識別和響應(yīng)系統(tǒng)。它位于有敏感數(shù)據(jù)需要保護的網(wǎng)絡(luò)上或網(wǎng)絡(luò)上