《網(wǎng)絡(luò)安全技術(shù)概述》PPT課件.ppt

2019/7/1,Page 1,2019/7/1,Page 2,第1章 網(wǎng)絡(luò)安全技術(shù)概述,2019/7/1,Page 3,1.1 網(wǎng)絡(luò)安全的基本問題,網(wǎng)絡(luò)安全的定義： 從本質(zhì)上講，網(wǎng)絡(luò)安全就是網(wǎng)絡(luò)上的信息安全，是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件和系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的攻擊而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷；,2019/7/1,Page 4,廣義上講，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實(shí)性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域。,2019/7/1,Page 5,網(wǎng)絡(luò)安全的特征 （1）保密性：信息不泄露給非授權(quán)的用戶、實(shí)體或過程，或供其利用的特性。 （2）完整性：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性。 （3）可用性：可被授權(quán)實(shí)體訪問并按需求使用的特性，即當(dāng)需要時(shí)應(yīng)能存取所需的信息。 （4）可控性：對(duì)信息的傳播及內(nèi)容具有控制能力。,2019/7/1,Page 6,網(wǎng)絡(luò)安全現(xiàn)狀,系統(tǒng)的脆弱性 Internet的無國(guó)際性 TCP/IP本身在安全方面的缺陷 網(wǎng)絡(luò)建設(shè)缺少安全方面的考慮（安全滯后） 安全技術(shù)發(fā)展快、人員缺乏 安全管理覆蓋面廣，涉及的層面多。,2019/7/1,Page 7,安全工作的目的,進(jìn)不來,拿不走,改不了,跑不了,看不懂,2019/7/1,Page 8,網(wǎng)絡(luò)安全涉及知識(shí)領(lǐng)域,2019/7/1,Page 9,綜合而言，網(wǎng)絡(luò)安全的基本問題包括物理安全威脅、操作系統(tǒng)的安全缺陷、網(wǎng)絡(luò)協(xié)議的安全缺陷、應(yīng)用軟件的實(shí)現(xiàn)缺陷、用戶使用的缺陷和惡意程序六個(gè)方面。,2019/7/1,Page 10,1.1.1 物理安全威脅,物理安全是指保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其他媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯(cuò)誤及各種計(jì)算機(jī)犯罪行為導(dǎo)致的破壞過程。,2019/7/1,Page 11,目前主要的物理安全威脅包括以下三大類： 1 自然災(zāi)害、物理損壞和設(shè)備故障。這類安全威脅的特點(diǎn)是突發(fā)性、自然因素性、非針對(duì)性。這類安全威脅只破壞信息的完整性和可用性，無損信息的秘密性。 2 電磁輻射、乘虛而入和痕跡泄露。這類安全威脅的特點(diǎn)是難以察覺性、人為實(shí)施的故意性和信息的無意泄露性。這類安全威脅只破壞信息的秘密性，無損信息的完整性和可用性。,2019/7/1,Page 12,3 操作失誤和意外疏忽。這類安全威脅的特點(diǎn)是人為實(shí)施的無意性和非針對(duì)性。這類安全威脅只破壞信息的完整性和可用性，無損信息的秘密性。,2019/7/1,Page 13,1.1.2 操作系統(tǒng)的安全缺陷,操作系統(tǒng)的脆弱性 （1）操作系統(tǒng)體系結(jié)構(gòu)本身就是不安全的一種因素。 （2）操作系統(tǒng)可以創(chuàng)建進(jìn)程，即使在網(wǎng)絡(luò)的節(jié)點(diǎn)上同樣也可以進(jìn)行遠(yuǎn)程進(jìn)程的創(chuàng)建與激活，更令人不安的是被創(chuàng)建的進(jìn)程具有可以繼續(xù)創(chuàng)建進(jìn)程的權(quán)力。 （3）網(wǎng)絡(luò)操作系統(tǒng)提供的遠(yuǎn)程過程調(diào)用服務(wù)以及它所安排的無口令入口也是黑客的通道。,2019/7/1,Page 14,1安全缺陷的檢索 CVE(Common Vulnerabilities and Exposures) 是信息安全確認(rèn)的一個(gè)列表或者詞典，它在不同的信息安全缺陷的數(shù)據(jù)庫之間提供一種公共索引，是信息共享的關(guān)鍵。 有了CVE檢索之后，一個(gè)缺陷就有了一個(gè)公共的名字，從而可以通過CVE的條款檢索到包含該缺陷的所有數(shù)據(jù)庫。,2019/7/1,Page 15,2UNIX操作系統(tǒng)的安全缺陷 （1）遠(yuǎn)程過程調(diào)用（RPC） （2）Sendmail,2019/7/1,Page 16,3Windows系列操作系統(tǒng)的安全缺陷 （1）Unicode Unicode是ISO發(fā)布的統(tǒng)一全球文字符號(hào)的國(guó)際標(biāo)準(zhǔn)編碼，它是一種雙字節(jié)的編碼。通過向IIS服務(wù)器發(fā)出一個(gè)包括非法Unicode UTF-8序列的URL，攻擊者可以迫使服務(wù)器逐字“進(jìn)入或退出”目錄并執(zhí)行任意腳本，這種攻擊稱為目錄轉(zhuǎn)換攻擊。 Hfnetchk是一個(gè)用來幫助網(wǎng)絡(luò)管理員判斷系統(tǒng)所打補(bǔ)丁情況的工具。,2019/7/1,Page 17,（2）ISAPI緩沖區(qū)溢出 在安裝IIS的時(shí)候，多個(gè)ISAPI被自動(dòng)安裝。 ISAPI允許開發(fā)人員使用多種動(dòng)態(tài)鏈接庫DLLs來擴(kuò)展IIS服務(wù)器的性能。如果安裝了IIS服務(wù)器，并沒有打過補(bǔ)丁，那么該系統(tǒng)可能會(huì)受到控制IIS服務(wù)器的這種攻擊。,2019/7/1,Page 18,1.1.3 網(wǎng)絡(luò)協(xié)議的安全缺陷,網(wǎng)絡(luò)系統(tǒng)都使用的TCP/IP協(xié)議、FTP、E-mail、NFS等都包含著許多影響網(wǎng)絡(luò)安全的因素，存在許多漏洞。 1TCP序列號(hào)預(yù)計(jì) 2路由協(xié)議缺陷 3網(wǎng)絡(luò)監(jiān)聽,2019/7/1,Page 19,典型的TCP協(xié)議攻擊 /安全缺陷 LAND攻擊: 將TCP包中的源地址、端口號(hào)和目的地址、端口號(hào)設(shè)成相同。將地址字段均設(shè)成目的機(jī)器的IP地址。若對(duì)應(yīng)的端口號(hào)處于激活（等待）狀態(tài)，LAND攻擊可使目的機(jī)器死機(jī)或重新啟動(dòng)。攻擊奏效的原因出于TCP的可靠性。攻擊利用TCP初始連接建立期間的應(yīng)答方式存在的問題。攻擊的關(guān)鍵在于server和client由各自的序列號(hào)。 注：i) 初始序列號(hào)各方隨機(jī)自選。,2019/7/1,Page 20,ii) 己方針對(duì)對(duì)方序列號(hào)發(fā)出的應(yīng)答（確認(rèn)）號(hào)對(duì)方上次的序列號(hào)+1. iii) 己方發(fā)出的（非初始）序列號(hào)己方上次的序列號(hào)+1己方收到的應(yīng)答號(hào)。 各方每次發(fā)送以上iii) 和ii)。 例：正常情況下的三次握手與通信： 客戶端 服務(wù)端 = 客SequenceNum=1001 （初始）,2019/7/1,Page 21, 客SequenceNum=100111002 客 Ack=499915000 （以上完成三次握手） = 服Ack=100211003,2019/7/1,Page 22,服 SequenceNum=499915000 = 客SequenceNum=100211003 客 Ack=500015001 = 服Ack=100311004 服 SequenceNum=500015001 。,2019/7/1,Page 23,2019/7/1,Page 24,從第三次握手開始，因?yàn)槊看畏?wù)器均得到自己的應(yīng)答/確認(rèn)號(hào)，即1002，而非5000，而該確認(rèn)號(hào)為自己上次發(fā)出的，認(rèn)為有錯(cuò)，則重發(fā)（非超時(shí)所致），由此無限循環(huán)。由于TCP是具有高優(yōu)先權(quán)的內(nèi)核級(jí)進(jìn)程，可中斷其它的正常操作系統(tǒng)以獲得更多的內(nèi)核資源來處理進(jìn)入的數(shù)據(jù)。這樣，無限循環(huán)很快就會(huì)消耗完系統(tǒng)資源而引起大多數(shù)系統(tǒng)死機(jī)。 TCP在此的安全缺陷還在于：在連接初始化成功之后無任何形式的認(rèn)證機(jī)制。 TCP收到的數(shù)據(jù)包只要有正確的序列號(hào)就認(rèn)為數(shù)據(jù)是可以接受的。一旦建立連接，就無法確定數(shù)據(jù)包源IP地址的真?zhèn)巍?2019/7/1,Page 25,1.1.4 應(yīng)用軟件的實(shí)現(xiàn)缺陷,1輸入確認(rèn)錯(cuò)誤 2訪問確認(rèn)錯(cuò)誤 3特殊條件錯(cuò)誤 4設(shè)計(jì)錯(cuò)誤 5配置錯(cuò)誤 6競(jìng)爭(zhēng)條件錯(cuò)誤,2019/7/1,Page 26,1.1.5 用戶使用的缺陷,1密碼易于被破解 2軟件使用的錯(cuò)誤 3系統(tǒng)備份不完整,2019/7/1,Page 27,1.1.6 惡意代碼,惡意代碼是攻擊、病毒和特洛伊木馬的結(jié)合，它不但破壞計(jì)算機(jī)系統(tǒng)，給黑客流出后門，它還能夠主動(dòng)去攻擊并感染別的機(jī)器。,2019/7/1,Page 28,1.2 網(wǎng)絡(luò)安全體系結(jié)構(gòu),1.2.1 安全控制 1網(wǎng)絡(luò)安全總體框架 2安全控制 （1）微機(jī)操作系統(tǒng)的安全控制 （2）網(wǎng)絡(luò)接口模塊的安全控制 （3）網(wǎng)絡(luò)互連設(shè)備的安全控制,2019/7/1,Page 29,1.2.2 安全服務(wù),1認(rèn)證服務(wù) 2訪問控制服務(wù) 3數(shù)據(jù)保密性服務(wù) 4數(shù)據(jù)完整性服務(wù) 5防抵賴服務(wù),2019/7/1,Page 30,1.2.3 安全需求,1保密性 2安全性 3完整性 4服務(wù)可用性 5可控性 6信息流保護(hù),2019/7/1,Page 31,1.3 網(wǎng)絡(luò)安全模型,一個(gè)最常見的安全模型就是PDRR模型。PDRR由4個(gè)英文單詞的頭一個(gè)字符組成：Protection（防護(hù)）、Detection（檢測(cè)）、Response（響應(yīng)）和Recovery（恢復(fù)）。這四個(gè)部分組成了一個(gè)動(dòng)態(tài)的信息安全周期，是完整的安全策略。,2019/7/1,Page 32,1.3.1 防護(hù) 這是網(wǎng)絡(luò)安全策略PDRR模型中最重要的部分。 防護(hù)可以分為三大類：系統(tǒng)安全防護(hù)、網(wǎng)絡(luò)安全防護(hù)和信息安全防護(hù)。 1風(fēng)險(xiǎn)評(píng)估與缺陷掃描 2訪問控制及防火墻 3防病毒軟件與個(gè)人防火墻 4數(shù)據(jù)備份和歸檔 5數(shù)據(jù)加密 6鑒別技術(shù) 7使用安全通信 8系統(tǒng)安全評(píng)估標(biāo)準(zhǔn),2019/7/1,Page 33,1.3.2 檢測(cè) 安全政策的第二個(gè)屏障是檢測(cè)，即如果入侵發(fā)生就將其檢測(cè)出來，這個(gè)工具就是入侵檢測(cè)系統(tǒng)(IDS) 。 入侵檢測(cè)系統(tǒng)是一種對(duì)網(wǎng)絡(luò)傳輸進(jìn)行即時(shí)監(jiān)視，在發(fā)現(xiàn)可疑傳輸時(shí)發(fā)出警報(bào)或者采取主動(dòng)反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備。,2019/7/1,Page 34,響應(yīng)是已知一個(gè)入侵攻擊事件發(fā)生之后，進(jìn)行處理。 恢復(fù)是入侵事件發(fā)生之后，把系統(tǒng)恢復(fù)到原來的狀態(tài)，或者比原來更安全的狀態(tài)。,1.3.3 響應(yīng)與恢復(fù),2019/7/1,Page 35,1.4 網(wǎng)絡(luò)安全防范體系及設(shè)計(jì)原則,1網(wǎng)絡(luò)信息安全的木桶原則 2網(wǎng)絡(luò)信息安全的整體性原則 3安全性評(píng)價(jià)與平衡原則 4標(biāo)準(zhǔn)化與一致性原則 5技術(shù)與管理相結(jié)合原則 6統(tǒng)籌規(guī)劃，分步實(shí)施原則 7等級(jí)性原則 8動(dòng)態(tài)發(fā)展原則 9易操作性原則,2019/7/1,Page 36,網(wǎng)絡(luò)安全解決方案,網(wǎng)絡(luò)信息安全模型 一個(gè)完整的網(wǎng)絡(luò)信息安全系統(tǒng)至少包括三類措施： 社會(huì)的法律政策，企業(yè)的規(guī)章制度及網(wǎng)絡(luò)安全教育 技術(shù)方面的措施，如防火墻技術(shù)、防病毒。信息加密、身份確認(rèn)以及授權(quán)等 審計(jì)與管理措施，包括技術(shù)與社會(huì)措施,2019/7/1,Page 37,2019/7/1,Page 38,政策、法律、法規(guī)是安全的基石，它是建立安全管理的標(biāo)準(zhǔn)和方法。 第二部分為增強(qiáng)的用戶認(rèn)證，它是安全系統(tǒng)中屬于技術(shù)措施的首道防線。用戶認(rèn)證的主要目的是提供訪問控制。用戶認(rèn)證方法按其層次的不同可以根據(jù)以下3種情況提供認(rèn)證。 （1）用戶持有的證件，如大門鑰匙、門卡等。 （2）用戶知道的信息，如密碼。 （3）用戶特有的特征，如指紋、聲音和視網(wǎng)膜掃描等。,2019/7/1,Page 39,授權(quán)主要是為特許用戶提供合適的訪問權(quán)限，并監(jiān)控用戶的活動(dòng)，使其不越權(quán)使用。 加密主要滿足如下的需求。 （1）認(rèn)證。識(shí)別用戶身份，提供訪問許可。 （2）一致性。保證數(shù)據(jù)不被非法篡改。 （3）隱密性。保證數(shù)據(jù)不被非法用戶查看。 （4）不可抵賴。使信息接收者無法否認(rèn)曾經(jīng)收到的信息。