校園網(wǎng)絡(luò)安全技術(shù)與策略 畢業(yè)論文.doc

天津電子信息職業(yè)技術(shù)學(xué)院天津電子信息職業(yè)技術(shù)學(xué)院 畢業(yè)論文畢業(yè)論文 題目題目 校園網(wǎng)絡(luò)安全技術(shù)與策略校園網(wǎng)絡(luò)安全技術(shù)與策略 姓姓 名名 專業(yè)班級(jí)專業(yè)班級(jí) 指導(dǎo)教師指導(dǎo)教師 三 完成時(shí)間完成時(shí)間2017 年 1 月 天津電子信息職業(yè)技術(shù)學(xué)院天津電子信息職業(yè)技術(shù)學(xué)院 制制 2017 12017 1 摘要 摘要 信息技術(shù)的使用給人們生活 工作的方方面面帶來(lái)了數(shù)不盡的便捷和好處 然而計(jì)算機(jī) 信息技術(shù)也和其他技術(shù)一樣是一把雙刃劍 當(dāng)大部分人們實(shí)用信息技術(shù)提高工作效率 為社會(huì) 創(chuàng)造更多財(cái)富的同時(shí) 另外一些人利用信息技術(shù)卻做著相反得事 他們非法入侵他人的計(jì)算機(jī) 系統(tǒng)竊取機(jī)密信息 篡改和破壺?cái)?shù)據(jù) 給社會(huì)造成難以估計(jì)的巨大損失 據(jù)統(tǒng)計(jì)全球約 20 秒鐘 就有一次計(jì)算機(jī)入侵事件發(fā)生 Internet 上的網(wǎng)絡(luò)防火墻約 1 4 被突破 約 70 以上的網(wǎng)絡(luò)信 息主管人員報(bào)告機(jī)密信息泄露而收到了損失 網(wǎng)絡(luò)安全是一個(gè)關(guān)系國(guó)家安全和主權(quán) 社會(huì)的穩(wěn) 定 民主文化的繼承和發(fā)揚(yáng)的重要問(wèn)題 網(wǎng)絡(luò)安全涉及到計(jì)算機(jī)科學(xué) 網(wǎng)絡(luò)技術(shù)通信技術(shù) 密 碼技術(shù) 信息安全技術(shù) 應(yīng)用數(shù)學(xué) 數(shù)論 信息論等多種科學(xué) 關(guān)鍵字關(guān)鍵字 網(wǎng)絡(luò)安全 安全防范 校園網(wǎng) 防火墻 入侵檢測(cè) Telnet TCSEC P2DR 目錄 目錄目錄 一 概述 1 二 網(wǎng)絡(luò)安全概述 2 2 1 網(wǎng)絡(luò)安全發(fā)展與歷史現(xiàn)狀分析 2 2 1 1 因特網(wǎng)的發(fā)展及其安全問(wèn)題 2 2 1 2 校園網(wǎng)絡(luò)面臨的安全問(wèn)題 3 2 2 網(wǎng)絡(luò)安全含義 4 2 3 網(wǎng)絡(luò)安全屬性 5 2 4 網(wǎng)絡(luò)安全機(jī)制 5 2 4 1 網(wǎng)絡(luò)安全技術(shù)機(jī)制 5 2 4 2 網(wǎng)絡(luò)安全管理機(jī)制 5 2 5 網(wǎng)絡(luò)安全策略 5 2 5 1 網(wǎng)絡(luò)安全策略的分類(lèi) 5 2 5 2 網(wǎng)絡(luò)安全策略的配置 6 三 網(wǎng)絡(luò)安全問(wèn)題解決對(duì)策 6 3 1 計(jì)算機(jī)安全級(jí)別劃分 6 3 1 1 TCSEC 簡(jiǎn)介 6 3 1 2 GB17859 劃分的特點(diǎn) 6 3 1 3 安全等級(jí)標(biāo)準(zhǔn)模型 7 3 2 防火墻技術(shù) 7 3 2 1 防火墻的基本概念和作用 7 3 2 2 防火墻的分類(lèi) 8 3 2 3 防火墻的工作原理 8 3 3 入侵檢測(cè)技術(shù) 8 3 3 1 入侵檢測(cè)系統(tǒng) 8 3 3 2 入侵檢測(cè)系分類(lèi) 8 3 3 3 入侵檢測(cè)系 8 3 3 4 代理 Agent 技術(shù) 8 3 3 5 入侵檢測(cè)與防火墻實(shí)現(xiàn)聯(lián)動(dòng) 8 目錄 3 4 數(shù)據(jù)加密技術(shù) 8 3 4 1 數(shù)據(jù)加密原理 8 3 4 2 對(duì)稱密鑰體系 9 3 4 3 非對(duì)稱密鑰體系 10 3 4 4 數(shù)據(jù)信封技術(shù) 11 四 網(wǎng)絡(luò)安全防范 11 4 1TELNET入侵防范 11 4 2 防止 ADMINISTRATOR賬號(hào)被破解 12 4 3 防止賬號(hào)被暴力破解 13 4 4 木馬 防范 13 4 4 1 木馬 的概述 13 4 4 2 木馬 的防范措施 14 4 5 網(wǎng)頁(yè)惡意代碼及其防范 14 4 5 1 惡意代碼的威脅分類(lèi) 14 4 5 2 惡意代碼 15 4 5 3 惡意代碼的防范措施 15 4 6 嗅探器 SINEFFER 的防范 16 4 6 1 嗅探器工作原理 16 4 6 2 嗅探器檢測(cè)與防范 16 4 7 數(shù)據(jù)密文防范措施 17 4 8 其他網(wǎng)絡(luò)攻擊與防范措施 17 4 8 1 源 Ip 地址欺騙攻擊 17 4 8 2 源路由欺騙攻擊 17 4 8 3 拒絕服務(wù)器攻擊及預(yù)防措施 18 五 校園網(wǎng)絡(luò)安全體系 18 5 1 校園網(wǎng)絡(luò)安全規(guī)范 19 5 2 校園網(wǎng)絡(luò)安全建議 19 5 2 1 校園網(wǎng)絡(luò)狀況分析 19 5 2 2 校園網(wǎng)絡(luò)安全目標(biāo) 20 目錄 5 3 校園網(wǎng)絡(luò)信息安全技術(shù)應(yīng)用 20 5 3 1 數(shù)據(jù)備份方法 20 5 3 2 防火墻技術(shù) 20 5 3 3 入侵檢測(cè)技術(shù) 20 5 4 校園網(wǎng)絡(luò)安全隱患 21 5 5 校園網(wǎng)絡(luò)主動(dòng)和防御體系 22 5 5 1P2DR 模型 22 5 5 2 校園網(wǎng)絡(luò)安全防范體系 24 5 5 3 完善安全制度與管理 25 六結(jié)論 26 致謝 28 參考文獻(xiàn) 29 1 一一 概述概述 互聯(lián)網(wǎng)的各種安全威脅時(shí)刻影響著校園網(wǎng)的運(yùn)行和管理 加強(qiáng)校園網(wǎng)的安全管 理是當(dāng)前重要任務(wù) 校園網(wǎng)是學(xué)校信息系統(tǒng)的核心 必須建立有效的網(wǎng)絡(luò)安全防范 體系保證網(wǎng)絡(luò)應(yīng)用的安全 校園網(wǎng)面臨著一系列的安全問(wèn)題 受到來(lái)自外部和內(nèi)部的攻擊 如病毒困擾 非 授權(quán)訪問(wèn)等 目前國(guó)內(nèi)許多高校存在校區(qū)分散的狀況 各校區(qū)間通信的安全連接還 存在問(wèn)題 但一般的校園網(wǎng)安全方案存在安全手段單一的問(wèn)題 大多只是簡(jiǎn)單地采 用防火墻等有限措施來(lái)保護(hù)網(wǎng)絡(luò)安全 而這些措施往往存在很大的局限性 它們不 能覆蓋實(shí)現(xiàn)整個(gè)校園網(wǎng)安全的各個(gè)層次 各個(gè)方位 這樣的網(wǎng)絡(luò)系統(tǒng)就存在很多的 安全隱患 比如缺乏強(qiáng)健的認(rèn)證 授權(quán)和訪問(wèn)控制等 往往使攻擊者有機(jī)可乘 管 理員無(wú)法了解網(wǎng)絡(luò)的漏洞和可能發(fā)生的攻擊 傳統(tǒng)的被動(dòng)式抵御方式只能等待入侵 者的攻擊 而缺乏主動(dòng)防范的功能 對(duì)于已經(jīng)或正在發(fā)生的攻擊缺乏有效的追查手 段 對(duì)從網(wǎng)絡(luò)進(jìn)入的病毒等無(wú)法控制等 除此以外大多用戶安全意識(shí)都很淡薄 這 些都是我們需要注意和解決的安全問(wèn)題 本文以 實(shí)事求是 的指導(dǎo)思想為原則 從計(jì)算機(jī)網(wǎng)絡(luò)面臨的各種安全威脅 系統(tǒng)地介紹網(wǎng)絡(luò)安全技術(shù) 并針對(duì)校園網(wǎng)絡(luò)的安全問(wèn)題進(jìn)行研究 首先分析了高校 網(wǎng)絡(luò)系統(tǒng)安全的隱患 然后從構(gòu)建安全防御體系和加強(qiáng)安全管理兩方面設(shè)計(jì)了校園 網(wǎng)絡(luò)的安全策略 本次論文研究中 我首先了解了網(wǎng)絡(luò)安全問(wèn)題的主要威脅因素 并利用網(wǎng)絡(luò)安全知識(shí)對(duì)安全問(wèn)題進(jìn)行剖析 其次 通過(guò)對(duì)網(wǎng)絡(luò)技術(shù)的研究 得出校 園網(wǎng)也會(huì)面臨著安全上的威脅 最后 確立了用 P2DR 模型的思想來(lái)建立校園網(wǎng)的安 全防御體系 并得出了構(gòu)建一套有效的網(wǎng)絡(luò)安全防御體系是解決校園網(wǎng)主要威脅和 隱患的必要途徑和措施 2 二二 網(wǎng)絡(luò)安全概述網(wǎng)絡(luò)安全概述 2 12 1 網(wǎng)絡(luò)安全發(fā)展與歷史現(xiàn)狀分析網(wǎng)絡(luò)安全發(fā)展與歷史現(xiàn)狀分析 2 1 12 1 1 因特網(wǎng)的發(fā)展及其安全問(wèn)題因特網(wǎng)的發(fā)展及其安全問(wèn)題 隨著計(jì)算機(jī)技術(shù)的發(fā)展 在計(jì)算機(jī)上處理業(yè)務(wù)已由基于單機(jī)的數(shù)學(xué)運(yùn)算 文件 處理 基于簡(jiǎn)單連結(jié)的內(nèi)部網(wǎng)絡(luò)的內(nèi)部業(yè)務(wù)處理 辦公自動(dòng)化等發(fā)展到基于企業(yè)復(fù) 雜的內(nèi)部網(wǎng) 企業(yè)外部網(wǎng) 全球互聯(lián)網(wǎng)的企業(yè)級(jí)計(jì)算機(jī)處理系統(tǒng)和世界范圍內(nèi)的信 息共享和業(yè)務(wù)處理 在信息處理能力提高的同時(shí) 系統(tǒng)的連結(jié)能力也在不斷的提高 但在連結(jié)信息能力 流通能力提高的同時(shí) 基于網(wǎng)絡(luò)連接的安全問(wèn)題也日益突出 主要表現(xiàn)在以下方面 1 1 網(wǎng)絡(luò)的開(kāi)放帶來(lái)的安全問(wèn)題 網(wǎng)絡(luò)的開(kāi)放帶來(lái)的安全問(wèn)題 Internet 的開(kāi)放性以及其他方面因素導(dǎo)致了網(wǎng)絡(luò)環(huán)境下的計(jì)算機(jī)系統(tǒng)存在很多 安全問(wèn)題 為了解決這些安全問(wèn)題 各種安全機(jī)制 策略 管理和技術(shù)被研究和應(yīng) 用 然而 即使在使用了現(xiàn)有的安全工具和技術(shù)的情況下 網(wǎng)絡(luò)的安全仍然存在很 大隱患 這些安全隱患主要可以包括為以下幾點(diǎn) 1 安全機(jī)制在特定條件下并非萬(wàn)無(wú)一失 2 安全工具的使用受到人為因素的影響 3 系統(tǒng)的后門(mén)是難以考慮的地方 4 BUG 難以防范 5 黑客的攻擊手段在不斷升級(jí) 2 2 網(wǎng)絡(luò)的安全的防護(hù)力脆弱 導(dǎo)致的網(wǎng)絡(luò)危機(jī) 網(wǎng)絡(luò)的安全的防護(hù)力脆弱 導(dǎo)致的網(wǎng)絡(luò)危機(jī) 1 1 WarroonWarroon ResearchResearch 調(diào)查調(diào)查 根據(jù) Warroon Research 的調(diào)查 1997 年世界排名前一千的公司幾乎都曾被黑 客闖入 2 2 FBIFBI 統(tǒng)計(jì)統(tǒng)計(jì) 據(jù)美國(guó) FBI 統(tǒng)計(jì) 美國(guó)每年因網(wǎng)絡(luò)安全造成的損失高達(dá) 75 億美元 3 3 3 ErnstErnst 和和 YoungYoung 報(bào)告報(bào)告 Ernst 和 Young 報(bào)告 由于信息安全被竊或?yàn)E用 幾乎 80 的大型企業(yè)遭受損失 4 4 最近一次黑客攻擊 最近一次黑客攻擊 最近一次黑客大規(guī)模的攻擊行動(dòng)中 雅虎網(wǎng)站的網(wǎng)絡(luò)停止運(yùn)行 3 小時(shí) 這令它 損失了幾百萬(wàn)美金的交易 而據(jù)統(tǒng)計(jì)在這整個(gè)行動(dòng)中美國(guó)經(jīng)濟(jì)共損失了十多億美金 由于業(yè)界人心惶惶 亞馬遜 A AOL 雅虎 Yahoo Ebay 的股價(jià)均告下 挫 以科技股為主的那斯達(dá)克指數(shù) Nasdaq 打破過(guò)去連續(xù)三天創(chuàng)下新高的升勢(shì) 下 挫了六十三點(diǎn) 杜瓊斯工業(yè)平均指數(shù)周三收市時(shí)也跌了二百五十八點(diǎn) 3 3 網(wǎng)絡(luò)安全的主要威脅因素 網(wǎng)絡(luò)安全的主要威脅因素 1 1 軟件漏洞 軟件漏洞 每一個(gè)操作系統(tǒng)或網(wǎng)絡(luò)軟件的出現(xiàn)都不可能是無(wú)缺陷和漏洞的 這就使我們的 計(jì)算機(jī)處于危險(xiǎn)的境地 一旦連接入網(wǎng) 將成為眾矢之的 2 2 配置不當(dāng) 配置不當(dāng) 安全配置不當(dāng)造成安全漏洞 例如 防火墻軟件的配置不正確 那么它根本不 起作用 對(duì)特定的網(wǎng)絡(luò)應(yīng)用程序 當(dāng)它啟動(dòng)時(shí) 就打開(kāi)了一系列的安全缺口 許多 與該軟件捆綁在一起的應(yīng)用軟件也會(huì)被啟用 除非用戶禁止該程序或?qū)ζ溥M(jìn)行正確 配置 否則 安全隱患始終存在 3 3 安全意識(shí)不強(qiáng) 安全意識(shí)不強(qiáng) 用戶口令選擇不慎 或?qū)⒆约旱膸ぬ?hào)隨意轉(zhuǎn)借他人或與別人共享等都會(huì)對(duì)網(wǎng)絡(luò) 安全帶來(lái)威脅 4 4 病毒 病毒 目前數(shù)據(jù)安全的頭號(hào)大敵是計(jì)算機(jī)病毒 它是編制者在計(jì)算機(jī)程序中插入的 破壞計(jì)算機(jī)功能或數(shù)據(jù) 影響計(jì)算機(jī)軟件 硬件的正常運(yùn)行并且能夠自我復(fù)制的一 組計(jì)算機(jī)指令或程序代碼 計(jì)算機(jī)病毒具有傳染性 寄生性 隱蔽性 觸發(fā)性 破 壞性等特點(diǎn) 因此 提高對(duì)病毒的防范刻不容緩 4 5 5 黑客 黑客 對(duì)于計(jì)算機(jī)數(shù)據(jù)安全構(gòu)成威脅的另一個(gè)方面是來(lái)自電腦黑客 Backer 電腦黑 客利用系統(tǒng)中的安全漏洞非法進(jìn)入他人計(jì)算機(jī)系統(tǒng) 其危害性非常大 從某種意義 上講 黑客對(duì)信息安全的危害甚至比一般的電腦病毒更為嚴(yán)重 2 1 22 1 2 校園網(wǎng)絡(luò)面臨的安全問(wèn)題校園網(wǎng)絡(luò)面臨的安全問(wèn)題 其它網(wǎng)絡(luò)一樣 校園網(wǎng)也會(huì)受到相應(yīng)的威脅 大體可分為對(duì)網(wǎng)絡(luò)中數(shù)據(jù)信息的 危害和對(duì)網(wǎng)絡(luò)設(shè)備的危害 具體來(lái)說(shuō)包括 1 1 非法授權(quán)問(wèn)題 非法授權(quán)問(wèn)題 即對(duì)網(wǎng)絡(luò)設(shè)備及信息資源進(jìn)行非正常使用或越權(quán)使用等 2 2 冒充合法用戶 冒充合法用戶 即利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)限 以達(dá)到占用合法 用戶資源的目的 3 3 破會(huì)數(shù)據(jù)的完整性 破會(huì)數(shù)據(jù)的完整性 即使用非法手段 刪除 修改 重發(fā)某些重要信息 以干擾用戶的正常使用 4 4 干擾系統(tǒng)運(yùn)行 干擾系統(tǒng)運(yùn)行 指改變系統(tǒng)的正常運(yùn)行方法 減慢系統(tǒng)的響應(yīng)時(shí)間等手段 5 5 病毒與惡意的攻擊 病毒與惡意的攻擊 即通過(guò)網(wǎng)絡(luò)傳播病毒或進(jìn)行惡意攻擊 除此之外 校園網(wǎng)還面對(duì)形形色色 良 莠不分的網(wǎng)絡(luò)資源 如不進(jìn)行識(shí)別和過(guò)濾 那么會(huì)造成大量非法內(nèi)容或郵件出入 占用大量流量資源 造成流量堵塞 上網(wǎng)速度慢等問(wèn)題 許多校園網(wǎng)是從局域網(wǎng)發(fā) 展來(lái)的 由于意識(shí)與資金方面的原因 它們?cè)诎踩矫嫱鶝](méi)有太多的設(shè)置 這就 給病毒和黑客提供了生存的空間 因此 校園網(wǎng)的網(wǎng)絡(luò)安全需求是全方位的 2 22 2 網(wǎng)絡(luò)安全含義網(wǎng)絡(luò)安全含義 網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件 軟件及數(shù)據(jù)受到保護(hù) 不遭受偶然或惡意的破 壞 更改 泄露 系統(tǒng)連續(xù)可靠正常地運(yùn)行 網(wǎng)絡(luò)服務(wù)不中斷 1 1 且在不同環(huán)境和 5 應(yīng)用中又不同的解釋 1 1 運(yùn)行系統(tǒng)安全運(yùn)行系統(tǒng)安全 即保證信息處理和傳輸系統(tǒng)的安全 包括計(jì)算機(jī)系統(tǒng)機(jī)房環(huán)境和傳輸環(huán)境的法 律保護(hù) 計(jì)算機(jī)結(jié)構(gòu)設(shè)計(jì)的安全性考慮 硬件系統(tǒng)的安全運(yùn)行 計(jì)算機(jī)操作系統(tǒng)和 應(yīng)用軟件的安全 數(shù)據(jù)庫(kù)系統(tǒng)的安全 電磁信息泄露的防御等 2 2 網(wǎng)上信息系統(tǒng)的安全網(wǎng)上信息系統(tǒng)的安全 包括用戶口令鑒別 用戶存取權(quán)限控制 數(shù)據(jù)存取權(quán)限 方式控制 安全審計(jì) 安全問(wèn)題跟蹤 計(jì)算機(jī)病毒防治 數(shù)據(jù)加密等 3 3 網(wǎng)上信息傳輸?shù)陌踩W(wǎng)上信息傳輸?shù)陌踩?即信息傳播后果的安全 包括信息過(guò)濾 不良信息過(guò)濾等 4 4 網(wǎng)上信息內(nèi)容的安全網(wǎng)上信息內(nèi)容的安全 即我們討論的狹義的 信息安全 側(cè)重于保護(hù)信息的機(jī)密性 真實(shí)性和完整性 本質(zhì)上是保護(hù)用戶的利益和隱私 2 32 3 網(wǎng)絡(luò)安全屬性網(wǎng)絡(luò)安全屬性 網(wǎng)絡(luò)安全具有三個(gè)基本的屬性 機(jī)密性 完整性 可用性 2 42 4 網(wǎng)絡(luò)安全機(jī)制網(wǎng)絡(luò)安全機(jī)制 網(wǎng)絡(luò)安全機(jī)制是保護(hù)網(wǎng)絡(luò)信息安全所采用的措施 所有的安全機(jī)制都是針對(duì)某 些潛在的安全威脅而設(shè)計(jì)的 可以根據(jù)實(shí)際情況單獨(dú)或組合使用 如何在有限的投 入下合理地使用安全機(jī)制 以便盡可能地降低安全風(fēng)險(xiǎn) 是值得討論的 網(wǎng)絡(luò)信息 安全機(jī)制應(yīng)包括 技術(shù)機(jī)制和管理機(jī)制兩方面的內(nèi)容 2 52 5 網(wǎng)絡(luò)安全策略網(wǎng)絡(luò)安全策略 策略通常是一般性的規(guī)范 只提出相應(yīng)的重點(diǎn) 而不確切地說(shuō)明如何達(dá)到所要 的結(jié)果 因此策略屬于安全技術(shù)規(guī)范的最高一級(jí) 安全策略的實(shí)現(xiàn)涉及到以下及個(gè)主要方面 如圖 2 1 所示 6 圖 2 1 安全策略實(shí)現(xiàn)流程 三三 網(wǎng)絡(luò)安全問(wèn)題解決對(duì)策網(wǎng)絡(luò)安全問(wèn)題解決對(duì)策 3 13 1 計(jì)算機(jī)安全級(jí)別劃分計(jì)算機(jī)安全級(jí)別劃分 3 1 13 1 1 TCSECTCSEC 簡(jiǎn)介簡(jiǎn)介 1999 年 9 月 13 日國(guó)家質(zhì)量技術(shù)監(jiān)督局公布了我國(guó)第一部關(guān)于計(jì)算機(jī)信息系統(tǒng) 安全等級(jí)劃分的標(biāo)準(zhǔn) 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則 GB17859 1999 而國(guó)外同標(biāo)準(zhǔn)的是美國(guó)國(guó)防部在 1985 年 12 月公布的可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)標(biāo)準(zhǔn) TCSEC 又稱桔皮書(shū) 在 TCSEC 劃分了 7 個(gè)安全等級(jí) D 級(jí) C1 級(jí) C2 級(jí) B1 級(jí) B2 級(jí) B3 級(jí)和 A1 級(jí) 其中 D 級(jí)是沒(méi)有安全機(jī)制的級(jí)別 A1 級(jí)是難以達(dá)到的安全級(jí) 別 如表 3 1 所示 表 3 1 網(wǎng)絡(luò)安全等級(jí)及安全級(jí)別的性能要求 安全級(jí)別名 稱說(shuō)明 D1 酌情安全保護(hù)對(duì)硬件和操作系統(tǒng)幾乎無(wú)保護(hù) 對(duì)信息的 訪問(wèn)無(wú)控制 C1 自選安全保護(hù)由用戶注冊(cè)名和口令的組合來(lái)確定用戶對(duì) 信息的訪問(wèn)權(quán)限 B1 被標(biāo)簽的安全性保護(hù)為強(qiáng)制性訪問(wèn)控制 不允許文件的擁有者 改變其許可權(quán)限 B2 結(jié)構(gòu)化保護(hù)要求對(duì)計(jì)算機(jī)中所有信息加以標(biāo)簽 并且 對(duì)設(shè)備分配單個(gè)或多個(gè)安全級(jí)別 7 3 1 23 1 2 GB17859GB17859 劃分的特點(diǎn)劃分的特點(diǎn) GB17859 把計(jì)算機(jī)信息安全保護(hù)能力劃分為 5 個(gè)等級(jí) 它們是 系統(tǒng)自我保護(hù) 級(jí) 系統(tǒng)審計(jì)保護(hù)級(jí) 安全標(biāo)記保護(hù)級(jí) 結(jié)構(gòu)化保護(hù)級(jí)和訪問(wèn)驗(yàn)證保護(hù)級(jí) 這 5 個(gè) 級(jí)別的安全強(qiáng)度從低到高排列讓高一級(jí)包括低一級(jí)的安全能力 如表 3 2 所示 表 3 2 GB17859 的劃分標(biāo)準(zhǔn) 安全能力一級(jí)二級(jí)三級(jí)四級(jí)五級(jí) 自主訪問(wèn)控 制 強(qiáng)制訪問(wèn)控 制 標(biāo)記 身份鑒別 客體重用 審計(jì) 數(shù)據(jù)完整 隱蔽信道分 析 注 新增功能 比上一級(jí)功能又所擴(kuò)展 與上一級(jí)功能相 同 3 1 33 1 3 安全等級(jí)標(biāo)準(zhǔn)模型安全等級(jí)標(biāo)準(zhǔn)模型 計(jì)算機(jī)信息系統(tǒng)的安全模型主要又訪問(wèn)監(jiān)控器模型 軍用安全模仿和信息流模 型等三類(lèi)模型 它們是定義計(jì)算機(jī)信息系統(tǒng)安全等級(jí)劃分標(biāo)準(zhǔn)的依據(jù) 3 23 2 防火墻技術(shù)防火墻技術(shù) B3 安全域保護(hù)使用安全硬件的方法來(lái)加強(qiáng)域的管理 終端與系統(tǒng)的連接途徑可信任 A 核實(shí)保護(hù)系統(tǒng)不同來(lái)源必須有安全措施必須在銷(xiāo)售 過(guò)程中實(shí)施 8 隨著網(wǎng)絡(luò)安全問(wèn)題日益嚴(yán)重 網(wǎng)絡(luò)安全技術(shù)和產(chǎn)品也被人們逐漸重視起來(lái) 防 火墻作為最早出現(xiàn)的網(wǎng)絡(luò)安全技術(shù)和使用量最大的網(wǎng)絡(luò)安全產(chǎn)品 受到用戶和研發(fā) 機(jī)構(gòu)的親睞 3 2 13 2 1 防火墻的基本概念和作用防火墻的基本概念和作用 防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合 它執(zhí)行預(yù) 先制定的訪問(wèn)控制策略 決定了網(wǎng)絡(luò)外部與網(wǎng)絡(luò)內(nèi)部的訪問(wèn)方式 在網(wǎng)絡(luò)中 防火墻實(shí)際是一種隔離技術(shù) 它所執(zhí)行的隔離措施有 1 1 拒絕未經(jīng)授權(quán)的用戶訪問(wèn)內(nèi)部網(wǎng)和存取敏感數(shù)據(jù) 拒絕未經(jīng)授權(quán)的用戶訪問(wèn)內(nèi)部網(wǎng)和存取敏感數(shù)據(jù) 2 2 允許合法用戶不受妨礙地訪問(wèn)網(wǎng)絡(luò)資源 允許合法用戶不受妨礙地訪問(wèn)網(wǎng)絡(luò)資源 1 1 作為網(wǎng)絡(luò)安全的屏障 作為網(wǎng)絡(luò)安全的屏障 一個(gè)防火墻作為阻塞節(jié)點(diǎn)和控制節(jié)點(diǎn)能極大地提高一個(gè)內(nèi)部網(wǎng)絡(luò)的安全性 并 通過(guò)過(guò)濾不安全的服務(wù)而降低風(fēng)險(xiǎn) 只有經(jīng)過(guò)精心選擇的應(yīng)用協(xié)議才能通過(guò)防火墻 所以網(wǎng)絡(luò)環(huán)境變得更安全 2 2 可以強(qiáng)化網(wǎng)絡(luò)安全策略 可以強(qiáng)化網(wǎng)絡(luò)安全策略 通過(guò)以防火墻為中心的安全方案配置 能將所有的安全軟件配置在防火墻上 體現(xiàn)集中安全管理更經(jīng)濟(jì) 3 3 對(duì)網(wǎng)絡(luò)存取和訪問(wèn)進(jìn)行檢測(cè)審計(jì) 對(duì)網(wǎng)絡(luò)存取和訪問(wèn)進(jìn)行檢測(cè)審計(jì) 如果所有的訪問(wèn)都經(jīng)過(guò)防火墻 那么 防火墻就能記錄下這些訪問(wèn)并做出日志 記錄 同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù) 當(dāng)發(fā)生可疑動(dòng)作時(shí) 防火墻能進(jìn)行 適當(dāng)?shù)膱?bào)警 并提供網(wǎng)絡(luò)是否受到監(jiān)測(cè)和攻擊的詳細(xì)信息 4 4 防止內(nèi)部信息的外泄 防止內(nèi)部信息的外泄 通過(guò)利用防火墻對(duì)內(nèi)部網(wǎng)絡(luò)的劃分 可實(shí)現(xiàn)內(nèi)部網(wǎng)重點(diǎn)網(wǎng)段的隔離 從而限制 了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問(wèn)題對(duì)全局網(wǎng)絡(luò)造成的影響 5 5 協(xié)議的支持 協(xié)議的支持 支持具有因特網(wǎng)服務(wù)性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系 VPN 9 3 2 23 2 2 防火墻的分類(lèi)防火墻的分類(lèi) 防火墻的分類(lèi)有很多種 根據(jù)受保護(hù)的對(duì)象 可以分為網(wǎng)絡(luò)防火墻的單機(jī)防火 墻 根據(jù)防火墻主要部分的形態(tài) 可以分為軟件防火墻和硬件防火墻 根據(jù)防火墻 使用的對(duì)象 可以分外企業(yè)防火墻和個(gè)人防火墻 根據(jù)防火墻檢查數(shù)據(jù)包的位置 可以分外包過(guò)濾 防火墻應(yīng)用代理防火墻和檢測(cè)防火墻 3 3 3 3 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 數(shù)據(jù)機(jī)密技術(shù)是網(wǎng)絡(luò)中最基本的安全技術(shù) 主要是通過(guò)對(duì)網(wǎng)絡(luò)中傳輸?shù)男畔⑦M(jìn) 行數(shù)據(jù)加密來(lái)保障其安全性 這是一種主動(dòng)安全防御策略 用很小的代價(jià)即可為信 息提供相當(dāng)大的安全保護(hù) 3 3 13 3 1 數(shù)據(jù)加密原理數(shù)據(jù)加密原理 數(shù)據(jù)加密是通過(guò)某種函數(shù)進(jìn)行變換 把正常數(shù)據(jù)包文 稱為明文或明碼 轉(zhuǎn)換 為密文 密碼 解密是指把密文還原成明文的過(guò)程 密碼體制是指一個(gè)系統(tǒng)所采用 基本工作方式以及它的兩個(gè)基本構(gòu)成要素 即加密 解密算法和密鑰 密鑰是一個(gè)數(shù) 值 它和加密算法一起生成特別的密文 傳統(tǒng)密碼體制所用的加密密鑰和解密密鑰 相同 稱為對(duì)稱密碼體制 如果加密密鑰和解密密鑰不相同 則稱為非對(duì)稱密碼體 制 密鑰可以看作是密碼算法中的可變參數(shù) 從數(shù)學(xué)的角度來(lái)看 改變了密鑰 實(shí) 際上也就改變了明文與密文之間等價(jià)的數(shù)學(xué)函數(shù)關(guān)系 密碼算法是相對(duì)穩(wěn)定的 在 這種意義上 可以把密碼算法視為常量 而密鑰則是一個(gè)變量 在設(shè)計(jì)加密系統(tǒng)中 加密算法是可以公開(kāi)的 真正需要保密的是密鑰 密鑰本質(zhì)是非常大的數(shù) 密鑰大 小用位表示 在公開(kāi)密鑰加密方法中 密鑰越大密文就越安全 利用密碼技術(shù) 在 信源和通信信道之間對(duì)報(bào)文進(jìn)行加密 經(jīng)過(guò)信道傳輸 到信宿接收時(shí)進(jìn)行解密 以 實(shí)現(xiàn)網(wǎng)絡(luò)通信保密 加密與解密過(guò)程如圖 3 5 所示 明文 密文 密文 明文 圖 3 5 加密與解密過(guò)程 常加密算法為 C Ek M 其中 K 為密鑰 M 為明文 C 為密文 E 為加密算法 密文 C 是明文 M 使用密鑰 K 經(jīng)過(guò)加密算法計(jì)算后的結(jié)果 加密算法可以公開(kāi) 而密 鑰只能由通信雙方來(lái)掌握 加密過(guò)程解密過(guò)程 10 3 3 23 3 2 對(duì)稱密鑰體系對(duì)稱密鑰體系 在對(duì)稱型密鑰體系中 加密和解密采用同一密鑰 故將這種體系稱為對(duì)稱密鑰 體系 如圖 3 6 所示 圖 3 6 對(duì)稱密鑰體系的加密與解密 在對(duì)稱密碼體系中 最為著名的是 DES 分組算法 DES 將二進(jìn)制序列明文分為每 64 位一組 使用 64 位的密鑰 對(duì) 64 位二進(jìn)制數(shù)進(jìn)行分組加密 每輪產(chǎn)生一個(gè) 48 位的 每輪 密鑰值 并參與下一輪的加密過(guò)程 經(jīng)過(guò) 16 輪的迭代 乘積變換 壓縮等 處理后產(chǎn)生 64 位密文數(shù)據(jù) DES 加密過(guò)程如圖 3 7 所示 圖 3 7 DES 加密過(guò)程 64 位數(shù)據(jù)明文 加密處理 64 位數(shù)據(jù)塊密文 64 位數(shù)據(jù)塊密文 加密處理 64 位數(shù)據(jù)塊密文 56 位密鑰 48 位每輪密 鑰 48 位每輪密 鑰 第 一 輪 加 密 第 十 六 輪 加 密 11 3 3 33 3 3 非對(duì)稱密鑰體系非對(duì)稱密鑰體系 非對(duì)稱加密技術(shù)將加密和解密分開(kāi)并采用一對(duì)不同的密鑰進(jìn)行 其工作原理如 圖 3 8 所示 圖 3 8 非對(duì)稱密鑰體系的加密與解密 RSA 算法的原理是數(shù)論的歐拉原理 尋求兩個(gè)大的素?cái)?shù)容易 將它們的乘積分解開(kāi) 及其困難 具體做法是 選擇兩個(gè) 100 位的十進(jìn)制大素?cái)?shù) p 和 q 計(jì)算出它們的積 N pq 將 N 公開(kāi) 再計(jì)算出 N 的歐拉函數(shù) N p 1 q 1 定義 N 為小 于等于 N 且與 N 互素的數(shù)個(gè)數(shù) 然后 用戶從 0 N 1 中任選一個(gè)與 N 互素的數(shù) e 同時(shí)根據(jù)下式計(jì)算出另一個(gè)數(shù) d ed 1 mod N 這樣就產(chǎn)生 了一對(duì)密鑰 pk e N sk d N 若用整數(shù) X 表示明文 Y 表示密文 則有 加 密 Y Xe modN 解密 X Ye modN 3 3 43 3 4 數(shù)據(jù)信封技術(shù)數(shù)據(jù)信封技術(shù) 數(shù)字信封中采用了單鑰密碼體制和公鑰密碼體制 信息發(fā)送者首先利用隨機(jī)產(chǎn) 生的對(duì)稱密碼加密信息 再利用接收方的公鑰加密對(duì)稱密碼 被公鑰加密后的對(duì)稱 密碼稱之為數(shù)字信封 信息接收方要解密信息時(shí) 必須先用自己的私鑰解密數(shù)字信 封 得到對(duì)稱密碼 再利用對(duì)稱密碼解密所得到的信息 這樣就保證了數(shù)據(jù)傳輸?shù)?真實(shí)性和完整性 如圖 3 9 所示 12 圖 3 9 數(shù)據(jù)信封技術(shù) 計(jì)算機(jī)病毒就是能夠通過(guò)某種途徑潛伏在計(jì)算機(jī)存儲(chǔ)介質(zhì)里 當(dāng)達(dá)到某種條件時(shí) 即被激活的具有對(duì)計(jì)算機(jī)資源進(jìn)行破壞作用的一組程序或指令集合 隨著計(jì)算機(jī)技 術(shù)的發(fā)展尤其是網(wǎng)絡(luò)技術(shù)的普及 計(jì)算機(jī)病毒進(jìn)入了一個(gè)新的階段 網(wǎng)絡(luò) 四四 網(wǎng)絡(luò)安全防范網(wǎng)絡(luò)安全防范 4 1Telnet4 1Telnet 入侵防范入侵防范 Telnet 協(xié)議是 TCP IP 協(xié)議族中的一員 是 Internet 遠(yuǎn)程登錄服務(wù)的標(biāo)準(zhǔn)協(xié)議 和主要方式 它為用戶提供了在本地計(jì)算機(jī)上完成遠(yuǎn)程主機(jī)工作的能力 在終端使 用者的電腦上使用 telnet 程序 用它連接到服務(wù)器 終端使用者可以在 telnet 程 序中輸入命令 這些命令會(huì)在服務(wù)器上運(yùn)行 就像直接在服務(wù)器的控制臺(tái)上輸入一 樣 可以在本地就能控制服務(wù)器 要開(kāi)始一個(gè) telnet 會(huì)話 必須輸入用戶名和密碼 來(lái)登錄服務(wù)器 Telnet 是常用的遠(yuǎn)程控制 Web 服務(wù)器的方法 telnet 可能是黑客常 用的攻擊方式 我們可以通過(guò)修改 telnet 服務(wù)端口 停用 telnet 服務(wù) 甚至把 telnet 控制臺(tái)管理工具刪除 具體方法如下 通過(guò)修改 telnet 端口來(lái)防止黑客輕易入侵在命令提示符窗口中 輸入 Tlntadmn config port 168 命令 回車(chē)后即可將 telnet 端口修改成 168 如 圖 4 1 所示 圖 4 1 修改 telnet 服務(wù)端口 如果將 telnet 的最大連接數(shù)設(shè)為 0 這樣就可以讓一般的黑客豪無(wú)辦法 設(shè)置 方法同上 如果根本不需要 telnet 完全可以把它刪掉 因?yàn)樵摲?wù)實(shí)在是太危險(xiǎn) 13 了 直接把系統(tǒng)安裝目錄中的 system32 中的 Tlntadmn exe 刪除掉 這樣黑客想用 telnet 入侵就會(huì)非常困難了 7 7 4 24 2 防止防止 AdministratorAdministrator 賬號(hào)被破解賬號(hào)被破解 Windows 2000 xp 2003 系統(tǒng)的 Administrator 賬號(hào)是不能被停用的 也不能設(shè) 置安全策略 這樣黑客就可以一遍又一遍地嘗試這個(gè)賬號(hào)的密碼 直到被破解 為 了防止這種侵入 我們可以把 Administrator 賬號(hào)更名 在 組策略 窗口中 依 次展開(kāi) 本地計(jì)算機(jī)策略 計(jì)算機(jī)配置 windows 設(shè)置 安全設(shè)置 本地策略 安全選項(xiàng) 功能分支 重命名系統(tǒng)管理員帳戶 屬性 對(duì)話框 在此輸入新的管理員名稱 盡量把它為普通用戶 然后另建一個(gè)超過(guò) 10 位的超級(jí)復(fù) 雜密碼 并對(duì)該賬號(hào)啟用審核 這樣即使黑客費(fèi)力破解到密碼也殺一無(wú)所獲 另外 為了防止黑客通過(guò) Guest 賬號(hào)登錄計(jì)算機(jī) 可以在 組策略 中刪除 Guest 賬號(hào) 4 34 3 防止賬號(hào)被暴力破解防止賬號(hào)被暴力破解 黑空攻擊入侵大部分利用漏洞 通過(guò)提升管力員權(quán)限 這一切都跟賬號(hào)緊密相 連 防范方法 通過(guò)修改注冊(cè)表來(lái)禁用空用戶連接 在注編輯器找 HKEY LOCAL MACHINE SYSTEM CurrentControlSet Control LSA 在其窗口新建一個(gè) 名為 RestrictAnonymous 的 DWORD 值將其設(shè)為 1 如圖 4 2 所示 圖 4 2 禁用空用戶連接 4 4 4 4 木馬木馬 防范防范 4 4 1 4 4 1 木馬木馬 的概述的概述 14 特洛伊木馬是一種隱藏了具有攻擊性的應(yīng)用程序 與病毒不同 它不具備復(fù)制 能力 其功能具有破壞性 大部分 木馬 采用 C S 運(yùn)行模式 當(dāng)服務(wù)端在目標(biāo)計(jì)算機(jī)上被運(yùn)行后 打開(kāi) 一個(gè)特定的端口進(jìn)行監(jiān)聽(tīng) 當(dāng)客戶端向服務(wù)器發(fā)出連接請(qǐng)求時(shí) 服務(wù)器端相應(yīng)程序 會(huì)自動(dòng)運(yùn)行來(lái)應(yīng)答客戶機(jī)的請(qǐng)求 如表 4 1 所示 表 4 1 C S 型木馬結(jié)構(gòu) 3 4 43 4 4 數(shù)據(jù)信封技術(shù)數(shù)據(jù)信封技術(shù) 4 4 2 4 4 2 木馬木馬 的防范措施的防范措施 1 1 檢查系統(tǒng)配置應(yīng)用程序 檢查系統(tǒng)配置應(yīng)用程序 在 木馬 程序會(huì)想盡一切辦法隱藏自己 主要途徑有 在任務(wù)欄和任務(wù)管理 器中隱藏自己 即將程序設(shè)為 系統(tǒng)服務(wù) 來(lái)偽裝自己 木馬 會(huì)在每次服務(wù)端啟 動(dòng)時(shí)自動(dòng)裝載到系統(tǒng)中 如 啟動(dòng)組 win ini system ini 注冊(cè)表等 比如在 開(kāi) 始 運(yùn)行 輸入 msconfig 執(zhí)行 windows 自帶 系統(tǒng)配置應(yīng)用程序 在標(biāo)簽為 win ini 文件中 在 windows 下面 run 和 load 是可能加載 木馬 程序 的途徑 一般情況下 它們的等號(hào)后面什么都沒(méi)有 在 system ini 文件中 在 BOOT 下面有個(gè) shell 文件名 正確的文件名應(yīng)該是 explorer exe 如果不是 explorer exe 而是 shell explorer exe 程序名 那么后面跟著的那個(gè)程 序就是 木馬 了 8 8 2 2 查看注冊(cè)表 查看注冊(cè)表 regedHKEY LOCAL MACHINE software Microsoft windows current version run 目錄下查看鍵值有設(shè)有自己不熟悉的自動(dòng)啟動(dòng)文件 擴(kuò)展名為 exe 3 3 查找 查找 木馬木馬 的特征文件的特征文件 木馬 的一個(gè)特征文件是 kernl32 exe 另一個(gè)是 sysexlpr exe 只要?jiǎng)h除了 這兩個(gè)文件 木馬 就不起作用了 但是需要注意的是 sysexlpr exe 是和文本文 1 首先發(fā)起連接 2 連接成功后發(fā)出命令 3 接受返回信息 1 端口打開(kāi)并監(jiān)聽(tīng) 2 受并運(yùn)行命令 3 運(yùn)行并將信息返回客戶端 15 件關(guān)聯(lián)的 在刪除時(shí) 必須先把文本文件跟 notepod 關(guān)聯(lián)上 否則不能使用文本文 件 4 54 5 網(wǎng)頁(yè)惡意代碼及其防范網(wǎng)頁(yè)惡意代碼及其防范 4 5 14 5 1 惡意代碼的威脅分類(lèi)惡意代碼的威脅分類(lèi) 1 1 消耗系統(tǒng)資源 消耗系統(tǒng)資源 不斷地利用 CPU 的利用率 使計(jì)算機(jī)不能處理其他的進(jìn)程 導(dǎo)致系統(tǒng)和網(wǎng)絡(luò)資 源癱瘓 這類(lèi)病毒大都是利用 JavaScrit 產(chǎn)生的一個(gè)死循環(huán) 它可以在有惡意的網(wǎng) 站中出現(xiàn) 也可以被當(dāng)作郵件發(fā)給用戶 當(dāng)用戶打開(kāi) html vbs 附件時(shí) 屏幕會(huì)出現(xiàn) 無(wú)數(shù)個(gè)瀏覽器窗口 最后不得不重啟 2 2 非法向用戶硬盤(pán)寫(xiě)入文件 非法向用戶硬盤(pán)寫(xiě)入文件 3 3 IEIE 泄露泄露 利用 IE 漏洞 網(wǎng)頁(yè)可以讀取客戶機(jī)的文件 就可以從中獲得用戶賬號(hào)和密碼 4 4 利用郵件非法安裝木馬 利用郵件非法安裝木馬 4 5 24 5 2 惡意代碼惡意代碼 在 html 中利用死循環(huán)原理 交叉顯示耀眼的光線 如果繼續(xù)插入編寫(xiě)的一段代 碼 擴(kuò)大惡意程度 那么 IE 將無(wú)法使用 4 5 34 5 3 惡意代碼的防范措施惡意代碼的防范措施 1 1 運(yùn)行 運(yùn)行 IEIE 時(shí)時(shí) 點(diǎn)擊 工具 Internet 選項(xiàng) 安全 Internet 區(qū)域的安全級(jí)別 把安全級(jí)別 由 中 改為 高 網(wǎng)頁(yè)惡意代碼主要是含有惡意代碼的 ActiveX 或 Applet JavaScript 的網(wǎng)頁(yè)文件 所以在 IE 設(shè)置中將 ActiveX 插件和控件 Java 腳本等全 部禁止就可以減少被網(wǎng)頁(yè)惡意代碼感染的幾率 具體方案是 在 IE 窗口中點(diǎn)擊 工 具 Internet 選項(xiàng) 在彈出的對(duì)話框中選擇 安全 標(biāo)簽 再點(diǎn)擊 自定義 級(jí)別 按鈕 就會(huì)彈出 安全設(shè)置 對(duì)話框 把其中所有 ActiveX 插件和控件以及 與 Java 相關(guān)全部選項(xiàng)選擇 禁用 如圖 4 3 所示 16 圖 4 3 防范網(wǎng)頁(yè)惡意代碼 2 2 網(wǎng)頁(yè)方面 網(wǎng)頁(yè)方面 網(wǎng)頁(yè)惡意代碼大多是在訪問(wèn)網(wǎng)站時(shí)候誤下載和激活的 所以不要進(jìn)入不信任的 陌生網(wǎng)站 對(duì)于網(wǎng)頁(yè)上的各種超級(jí)連接不要盲目去點(diǎn)擊 若被強(qiáng)制安裝惡意代碼 一經(jīng)發(fā)現(xiàn)立即刪除 或者安裝相應(yīng)的惡意代碼清除工具 或本機(jī)防火墻軟件 4 64 6 嗅探器嗅探器 Sineffer Sineffer 的防范的防范 Sniffer 是一種常用的收集有用數(shù)據(jù)方法 這些數(shù)據(jù)可能是用戶的帳號(hào)和密碼 可能是一些商用機(jī)密數(shù)據(jù) 等等 它可以作為能夠捕獲網(wǎng)絡(luò)報(bào)文的設(shè)備 ISS 為 Sniffer 這樣定義 Sniffer 是利用計(jì)算機(jī)的網(wǎng)絡(luò)接口截獲其他計(jì)算機(jī)的數(shù)據(jù)報(bào)文的 一種工具 4 6 14 6 1 嗅探器工作原理嗅探器工作原理 Sniffer 要捕獲的東西必須是要物理信號(hào)能收到的報(bào)文信息 只要通知網(wǎng)卡接 收其收到的所有包 在共享 HUB 下就能接收到這個(gè)網(wǎng)絡(luò)的所有包 但是交換 HUB 下 就只能是自己的包加上廣播包 Sniffer 工作在網(wǎng)絡(luò)環(huán)境中的底層 它會(huì)攔截所有 正在網(wǎng)絡(luò)上傳遞的數(shù)據(jù) 并且通過(guò)相應(yīng)的軟件處理 可以實(shí)時(shí)分析這些數(shù)據(jù)的內(nèi)容 17 進(jìn)而分析所處理的網(wǎng)絡(luò)狀態(tài)和整體布局 值得注意的是 Sniffer 是極其安靜的 它是一種消極的安全攻擊 Sniffer 在功能和設(shè)計(jì)方面有很多不同 有些只能分析一種協(xié)議 而另一些可 能能夠分析幾百種協(xié)議 一般情況下 大多數(shù)的嗅探器至少能夠分析以下的協(xié)議 標(biāo)準(zhǔn)以太網(wǎng) TCP IP IPX DECNET 4 6 24 6 2 嗅探器檢測(cè)與防范嗅探器檢測(cè)與防范 1 1 對(duì)于可能存在的網(wǎng)絡(luò)監(jiān)聽(tīng)監(jiān)測(cè) 對(duì)于可能存在的網(wǎng)絡(luò)監(jiān)聽(tīng)監(jiān)測(cè) 對(duì)于懷疑運(yùn)行監(jiān)聽(tīng)程序的機(jī)器 用正確的 IP 地址和錯(cuò)誤的物理地址 ping 運(yùn) 行監(jiān)聽(tīng)程序的機(jī)器會(huì)有響應(yīng) 這是因?yàn)檎５臋C(jī)器不接收錯(cuò)誤的物理地址 處理監(jiān) 聽(tīng)狀態(tài)的機(jī)器能接收 但如果它的 Ipstack 不再發(fā)反向檢查的話 就會(huì)響應(yīng) 2 2 向網(wǎng)上發(fā)大量不存在的物理地址包 向網(wǎng)上發(fā)大量不存在的物理地址包 由于監(jiān)聽(tīng)程序要分析和處理大量的數(shù)據(jù)包會(huì)占用很多的資源 會(huì)導(dǎo)致系統(tǒng)性能 下降 通過(guò)比較前后該機(jī)器性能加以判斷 這種辦法難度較大 3 3 使用反監(jiān)聽(tīng)工具如 使用反監(jiān)聽(tīng)工具如 AntisnifferAntisniffer 等進(jìn)行檢測(cè)等進(jìn)行檢測(cè) 對(duì)于網(wǎng)絡(luò)監(jiān)聽(tīng)的防范措施有 1 1 從邏輯或物理上對(duì)網(wǎng)絡(luò)分段 從邏輯或物理上對(duì)網(wǎng)絡(luò)分段 2 2 以交換式 以交換式 HUBHUB 代替共享式代替共享式 HUBHUB 3 3 使用加密技術(shù) 使用加密技術(shù) 4 4 劃分 劃分 VLANVLAN 虛擬局域網(wǎng) 虛擬局域網(wǎng) 4 74 7 數(shù)據(jù)密文防范措施數(shù)據(jù)密文防范措施 在前面的一章中我們已經(jīng)介紹了數(shù)據(jù)加密和隱藏技術(shù) 在保密系統(tǒng)中 信道中 傳播的是加密后的消息 即密文 采用截獲密文進(jìn)行分析的攻擊稱為被動(dòng)攻擊 采 用刪除 更改 增添 重放 偽造等手段向系統(tǒng)注入假消息并進(jìn)行分析的攻擊稱為 主動(dòng)攻擊 對(duì)此 我們必須采用有效的加密解密的程序來(lái)防止密文泄露 可以通過(guò) c 語(yǔ)言來(lái)實(shí)現(xiàn)的加密和解密 18 4 84 8 其他網(wǎng)絡(luò)攻擊與防范措施其他網(wǎng)絡(luò)攻擊與防范措施 4 8 14 8 1 源源 IpIp 地址欺騙攻擊地址欺騙攻擊 許多應(yīng)用程序認(rèn)為如果數(shù)據(jù)包能使其自身沿著路由到達(dá)目的地 而且應(yīng)答包也 可以回到源地 那么源 IP 地址一定是有效的 而這正是使源 IP 地址欺騙攻擊成為 可能的前提 要防止源 IP 地址的欺騙行為 可以采取以下措施來(lái)盡可能地保護(hù)系統(tǒng)免受這類(lèi) 攻擊 1 1 拋棄基于地址的信任策略 拋棄基于地址的信任策略 2 2 使用加密方法 使用加密方法 3 3 進(jìn)行包過(guò)濾 進(jìn)行包過(guò)濾 4 8 24 8 2 源路由欺騙攻擊源路由欺騙攻擊 在通常情況下 信息包從起點(diǎn)到終點(diǎn)走過(guò)的路徑是由位于此兩點(diǎn)間的路由器決 定的 數(shù)據(jù)包本身只知道去行何處 但不知道該如何去源路由可使信息包的發(fā)送者 將此數(shù)據(jù)包要經(jīng)過(guò)胡路徑寫(xiě)在數(shù)據(jù)包里 使數(shù)據(jù)包循著一個(gè)對(duì)方不可預(yù)料的路徑到 達(dá)目的主機(jī) 為了防范源路由欺騙攻擊 一般采用下面兩種措施 1 1 方法一 方法一 對(duì)付這種攻擊最好的辦法是配置好路由器使它拋棄那些由外部網(wǎng)進(jìn)來(lái)的卻聲稱 是內(nèi)部主機(jī)的報(bào)文 2 2 方法二 方法二 在路由器上關(guān)閉源路由 用命令 no ip source route 4 8 34 8 3 拒絕服務(wù)器攻擊及預(yù)防措施拒絕服務(wù)器攻擊及預(yù)防措施 在拒絕服務(wù)攻擊中 攻擊中加載過(guò)多的服務(wù)將對(duì)方資源全部耗盡 使得沒(méi)有多 余資源供其他用戶使用 SYN Flood 攻擊是典型的拒絕服務(wù)攻擊 為了防止拒絕服 務(wù)攻擊 我們可以采取以下預(yù)防措施 1 1 對(duì)方信息淹沒(méi)攻擊 對(duì)方信息淹沒(méi)攻擊 19 我們應(yīng)關(guān)掉可能產(chǎn)生無(wú)限序列的服務(wù)來(lái)防止這種攻擊 比如我們可以在服務(wù)器 端拒絕所有的 ICMP 包 或者在該網(wǎng)段路由器上對(duì) ICMP 進(jìn)行帶寬限制 控制其在一 定的范圍內(nèi) 2 2 防止 防止 SYNSYN 數(shù)據(jù)段攻擊數(shù)據(jù)段攻擊 應(yīng)對(duì)系統(tǒng)設(shè)定相應(yīng)的內(nèi)核參數(shù) 使得系統(tǒng)強(qiáng)制對(duì)超時(shí)的 SYN 請(qǐng)求連接數(shù)據(jù)包復(fù) 位 同時(shí)通過(guò)縮短超時(shí)常數(shù)和加長(zhǎng)等候隊(duì)列使得系統(tǒng)能迅速處理無(wú)效的 SYN 請(qǐng)求數(shù) 據(jù)包 3 3 配置調(diào)整 配置調(diào)整 建議在網(wǎng)段的路由器上做起配置的調(diào)整 這些調(diào)整包括限制 SYN 半公開(kāi)數(shù)據(jù)包 的流量和廣數(shù) 4 4 TCPTCP 攔截?cái)r截 建議在路由器的前端做必要胡 TCP 攔截 使得只有完成 TCP 三次握手過(guò)程的數(shù) 據(jù)包才可進(jìn)入網(wǎng)段 五五 校園網(wǎng)絡(luò)安全體系校園網(wǎng)絡(luò)安全體系 通過(guò)以上對(duì)網(wǎng)絡(luò)攻擊分析和防范的設(shè)計(jì) 校園網(wǎng)絡(luò)也會(huì)面臨同樣的威脅 所以 我們?cè)谥谰W(wǎng)絡(luò)功防基礎(chǔ)上應(yīng)該構(gòu)筑校園網(wǎng)絡(luò)安全體系 要從兩個(gè)方面著手 一是 采用一定的技術(shù) 二是不斷改進(jìn)管理方法 從技術(shù)角度看 目前常用的安全手段有內(nèi)外網(wǎng)隔離技術(shù) 加密技術(shù) 身份認(rèn)證 訪問(wèn)控制 安全路由等 這些技術(shù)對(duì)防止非法入侵系統(tǒng)起到了一定的防御作用 防 火墻作為一種將內(nèi)外網(wǎng)隔離的技術(shù) 普遍運(yùn)用于校園網(wǎng)安全建設(shè)中 9 9 5 15 1 校園網(wǎng)絡(luò)安全規(guī)范校園網(wǎng)絡(luò)安全規(guī)范 在校園網(wǎng)的需求來(lái)講 校園的網(wǎng)絡(luò)安全是指利用各種網(wǎng)絡(luò)監(jiān)控和管理技術(shù)措施 對(duì)網(wǎng)絡(luò)系統(tǒng)的硬件 軟件及系統(tǒng)中的數(shù)據(jù)資源實(shí)施保護(hù) 使其不會(huì)因?yàn)橐恍┎焕?素而遭到破壞 從而保證網(wǎng)絡(luò)系統(tǒng)連續(xù) 安全 可靠地運(yùn)行 校園網(wǎng)分為內(nèi)部網(wǎng)和互聯(lián)網(wǎng)兩部分 技術(shù)上采用虛擬網(wǎng)管理 一般用戶不提供 與 internet 直接相連 需要直接連接的用戶應(yīng)向校園網(wǎng)管理委員會(huì)提出申請(qǐng) 獲準(zhǔn) 20 后由網(wǎng)絡(luò)中心分配 IP 地址并提供相應(yīng)的入網(wǎng)軟硬件 具有直接連接權(quán)限的用戶應(yīng)與 校園網(wǎng)管中心簽定保密協(xié)議書(shū) 并自覺(jué)接受網(wǎng)絡(luò)安全員的檢查 學(xué)校網(wǎng)絡(luò)中心負(fù)責(zé)網(wǎng)絡(luò)設(shè)備的運(yùn)行管理 信息中心負(fù)責(zé)網(wǎng)絡(luò)資源 用戶帳戶肯 安全管理 系統(tǒng)管理員口令絕對(duì)保密 根據(jù)用戶需求嚴(yán)格控制 合理分配用戶權(quán)限 網(wǎng)絡(luò)用戶口令應(yīng)經(jīng)常更新 防殺病毒軟件本身無(wú)毒 向?qū)W生開(kāi)放的教學(xué)實(shí)驗(yàn)室應(yīng)禁 止使用軟驅(qū)和光驅(qū) 以杜絕病毒的傳播 校園網(wǎng)絡(luò)信息系統(tǒng)以自行開(kāi)發(fā)為主 系統(tǒng)軟件應(yīng)對(duì)訪問(wèn)權(quán)限嚴(yán)格限制 對(duì)不同 操作人員 不同信息的內(nèi)容需按等級(jí)分設(shè)口令 學(xué)校信息系統(tǒng)采用客戶 服務(wù)器結(jié)構(gòu) 數(shù)據(jù)由網(wǎng)絡(luò)信息中心及網(wǎng)絡(luò)管理部門(mén)進(jìn)行 定期備份 對(duì)備份后的數(shù)據(jù)應(yīng)有專人保管 確保發(fā)生意外情況時(shí)能及時(shí)恢復(fù)系統(tǒng)運(yùn) 行 加強(qiáng)監(jiān)督管理工作 使用過(guò)程中的重要信息記錄要保存到事故文件中 以便掌 握使用情況 發(fā)生可疑現(xiàn)象 及時(shí)追查安全事故責(zé)任 5 25 2 校園網(wǎng)絡(luò)安全建議校園網(wǎng)絡(luò)安全建議 5 2 15 2 1 校園網(wǎng)絡(luò)狀況分析校園網(wǎng)絡(luò)狀況分析 1 1 資源分布和分布式系統(tǒng) 資源分布和分布式系統(tǒng) 校園網(wǎng)絡(luò)可向網(wǎng)絡(luò)用戶提供 域名服務(wù) DNS 電子郵件服務(wù) E mail 遠(yuǎn)程 登錄 telnet 文件傳輸服務(wù) ftp 電子廣告牌 BBS 電子新聞 WWW 以及信 息收集 存儲(chǔ) 交換 檢索等服務(wù) 2 2 網(wǎng)絡(luò)結(jié)構(gòu)的劃分 網(wǎng)絡(luò)結(jié)構(gòu)的劃分 整個(gè)網(wǎng)絡(luò)是由各網(wǎng)絡(luò)中心 和園區(qū)內(nèi)部網(wǎng)絡(luò)通過(guò)各種通信方式互聯(lián)而成的 所 有網(wǎng)絡(luò)可歸納為由連接子網(wǎng) 公共子網(wǎng) 服務(wù)子網(wǎng) 內(nèi)部網(wǎng)四個(gè)部分組成 這四部 分組成一個(gè)獨(dú)立單位的局域網(wǎng) 然后通過(guò)廣域連接與其他網(wǎng)絡(luò)連接 5 2 25 2 2 校園網(wǎng)絡(luò)安全目標(biāo)校園網(wǎng)絡(luò)安全目標(biāo) 為了增加網(wǎng)絡(luò)安全性 必須地信息資源加以保護(hù) 對(duì)服務(wù)資源加以控制管理 1 1 信息資源 信息資源 1 1 公眾信息 公眾信息 21 即不需要訪問(wèn)控制 2 2 敏感信息 敏感信息 即需要驗(yàn)證身份和傳輸加密 3 3 內(nèi)部信息 內(nèi)部信息 即需要身份驗(yàn)證以及根據(jù)根據(jù)身份進(jìn)行訪問(wèn)控制 2 2 服務(wù)資源 服務(wù)資源 內(nèi)部服務(wù)資源 公眾服務(wù)資源內(nèi)部服務(wù)資源 面向已知客戶 管理和控制內(nèi)部 用戶對(duì)信息資源的訪問(wèn) 公眾服務(wù)資源 面向匿名客戶 防止和抵御外來(lái)的攻擊 5 35 3 校園網(wǎng)絡(luò)信息安全技術(shù)應(yīng)用校園網(wǎng)絡(luò)信息安全技術(shù)應(yīng)用 5 3 15 3 1 數(shù)據(jù)備份方法數(shù)據(jù)備份方法 需求分析的基本任務(wù) 確定系統(tǒng)的目標(biāo)和范圍 調(diào)查用戶的需求 分析系統(tǒng)必須 做什么 編寫(xiě)需求規(guī)格說(shuō)明書(shū)等其它相關(guān)文檔 以及需求工程審查 同時(shí)還包括需求 變更的控制 1 1 邏輯備份 邏輯備份 邏輯備份也可以稱作 基于文件的備份 每個(gè)文件都是由不同的邏輯塊組成的 每個(gè)邏輯塊存儲(chǔ)在連續(xù)的物理磁盤(pán)塊上 基于文件的備份系統(tǒng)能識(shí)別文件結(jié)構(gòu) 并 拷貝所有的文件和目錄到備份資源上 系統(tǒng)順序讀取每個(gè)文件的物理塊 然后備份 軟件連續(xù)地將文件寫(xiě)入到備份介質(zhì)上 從而使得每個(gè)單獨(dú)文件的恢復(fù)變得更快 2 2 物理備份 物理備份 物理又稱 基于塊的備份 或 基于設(shè)備的備份 其在拷貝磁盤(pán)塊到備份介質(zhì) 上時(shí)忽略文件結(jié)構(gòu) 從而提高備份的性能 因?yàn)閭浞蒈浖趫?zhí)行過(guò)程中 花費(fèi)在搜 索操作上的開(kāi)銷(xiāo)很少 3 3 完全備份 完全備份 完全備份是指整個(gè)系統(tǒng)或用戶指定的所有文件數(shù)據(jù)進(jìn)行一次全面的備份 這是 一種最基本 也是最簡(jiǎn)單的備份方式 這種備份方式的好處就是很直觀 容易理解 22 如果在備份間隔期間出現(xiàn)數(shù)據(jù)丟失等問(wèn)題 可以只使用一份備份文件快速地恢復(fù)所 丟失的數(shù)據(jù) 4 4 增量備份 增量備份 為了解決上述完全備份的兩個(gè)缺點(diǎn) 出現(xiàn)了更快 更小的增量備份 增量備份 只備份相對(duì)于上次備份操作以來(lái)新創(chuàng)建或者更新過(guò)的數(shù)據(jù) 因?yàn)樵谔囟ǖ臅r(shí)間段內(nèi) 只有少量的文件發(fā)生改變 沒(méi)有重復(fù)的備份數(shù)據(jù) 因此既節(jié)省空間 又縮短了備份 的時(shí)間 因而這種備份方法比較經(jīng)濟(jì) 可以頻繁地進(jìn)行 5 5 差異備份差異備份 差異備份即備份上一次完全備份后產(chǎn)生和更新的所有新的數(shù)據(jù) 它的主要目的 是將完全恢復(fù)時(shí)涉及到備份記錄數(shù)量限制在兩個(gè) 以簡(jiǎn)化恢復(fù)的復(fù)雜性 5 45 4 校園網(wǎng)絡(luò)安全隱患校園網(wǎng)絡(luò)安全隱患 校當(dāng)前 校園網(wǎng)絡(luò)安全存在的漏洞很安全隱患有 1 1 外部安全隱患外部安全隱患 校園網(wǎng)通過(guò) CERNET 與 Internet 相連 在享受 Internet 方便快捷的同時(shí) 也面 臨著遭遇攻擊的風(fēng)險(xiǎn) 2 2 內(nèi)部安全隱患內(nèi)部安全隱患 校園網(wǎng)內(nèi)部也存在很大的安全隱患 由于內(nèi)部用戶對(duì)網(wǎng)絡(luò)的結(jié)構(gòu)和應(yīng)用模式都 比較了解 因此來(lái)自內(nèi)部的安全威脅更大一些 而現(xiàn)在 黑客攻擊工具在網(wǎng)上十分 常見(jiàn) 一般人員并不需要很復(fù)雜的知識(shí)就能用 所以存在很大的危險(xiǎn) 3 3 內(nèi)部安全隱患內(nèi)部安全隱患 目前使用的操作系統(tǒng)存在安全漏洞 對(duì)網(wǎng)絡(luò)安全構(gòu)成了威脅 大學(xué)的網(wǎng)絡(luò)服務(wù) 器安裝的操作系統(tǒng)有 WindowsNT Windows2000 Unix Linux 等 這些系統(tǒng)安全風(fēng)險(xiǎn) 級(jí)別不同 例如 WINNT WIN2000 的普遍性和可操作性使得它也是最不安全的系統(tǒng) 本身系統(tǒng)的漏洞 瀏覽器的漏洞 IIS 的漏洞 Unix 由于其技術(shù)的復(fù)雜性導(dǎo)致高級(jí) 黑客對(duì)其進(jìn)行攻擊 自身安全漏洞 RIP 路由轉(zhuǎn)移等 服務(wù)安全漏洞 Unix 自身的 病毒等等 這些都對(duì)原有網(wǎng)絡(luò)安全構(gòu)成威脅 23 由此可見(jiàn) 構(gòu)筑具有必要的信息安全防護(hù)體系 建立一套有效的網(wǎng)絡(luò)安全體系 顯得尤其重要 5 55 5 校園網(wǎng)絡(luò)主動(dòng)和防御體系校園網(wǎng)絡(luò)主動(dòng)和防御體系 校園網(wǎng)的安全威脅既有來(lái)自校內(nèi)的 也有來(lái)自校外的 在設(shè)計(jì)校園網(wǎng)網(wǎng)絡(luò)安全 系統(tǒng)時(shí) 首先要了解學(xué)校的需要和目標(biāo) 制定安全策略 需要注意的是 網(wǎng)絡(luò)上的 業(yè)務(wù)目標(biāo) 安全策略與安全設(shè)計(jì)之間的關(guān)系是一體的 因此網(wǎng)絡(luò)安全防范體系應(yīng)該 是動(dòng)態(tài)變化的 在完成安全防范體系的設(shè)計(jì)后 必須不斷適應(yīng)安全環(huán)境的變化 以 保證網(wǎng)絡(luò)安全防范體系的良性發(fā)展 確保它的有效性和先進(jìn)性 5 5 1P2DR5 5 1P2DR 模型模型 美國(guó)國(guó)際互聯(lián)網(wǎng)安全系統(tǒng)公司 ISS 提出的 P 2 D R 模型是指 策略 P o l i c y 防護(hù) P r o t e c t i o n 檢測(cè) D e t e c t i o n 和響應(yīng) R e s p o n s e P 2 D R 模型強(qiáng)調(diào)防護(hù) 檢測(cè)和響應(yīng)等環(huán)節(jié)的動(dòng)態(tài)循環(huán)過(guò)程 通過(guò)這種過(guò)程達(dá)到保持網(wǎng)絡(luò)系統(tǒng)的相對(duì)安全 所以 P 2 D R 模型是 整體的 動(dòng)態(tài) 的 的安全循環(huán) 在安全策略整體的控制下指導(dǎo)下保證信息系統(tǒng)的安全 P 2 D R 模型如圖 5 1 所示 圖 5 1 P2DR 模型 P2DR 模型是美國(guó) ISS 公司提出的動(dòng)態(tài)網(wǎng)絡(luò)安全體系的代表模型 也是動(dòng)態(tài)安全 模型的雛形 P2DR 模型包括四個(gè)主要部分 Policy 安全策略 Protection 防護(hù) Detection 檢測(cè) 和 Response 響應(yīng) P2DR 模型是在整體的安全策略的控制和指導(dǎo) 下 在綜合運(yùn)用防護(hù)工具 如防火墻 操作系統(tǒng)身份認(rèn)證 加密等 的同時(shí) 利用檢 測(cè)工具 如漏洞評(píng)估 入侵檢測(cè)等 了解和評(píng)估系統(tǒng)的安全狀態(tài) 通過(guò)適當(dāng)?shù)姆磻?yīng)將 系統(tǒng)調(diào)整到 最安全 和 風(fēng)險(xiǎn)最低 的狀態(tài) 防護(hù) 檢測(cè)和響應(yīng)組成了一個(gè)完整 的 動(dòng)態(tài)的安全循環(huán) 在安全策略的指導(dǎo)下保證信息系統(tǒng)的安全 24 該理論的最基本原理就是認(rèn)為 信息安全相關(guān)的所有活動(dòng) 不管是攻擊行為 防護(hù)行為 檢測(cè)行為和響應(yīng)行為等等都要消耗時(shí)間 因此可以用時(shí)間來(lái)衡量一個(gè)體 系的安全性和安全能力 作為一個(gè)防護(hù)體系 當(dāng)入侵者要發(fā)起攻擊時(shí) 每一步都需 要花費(fèi)時(shí)間 當(dāng)然攻擊成功花費(fèi)的時(shí)間就是安全體系提供的防護(hù)時(shí)間 Pt 在入侵發(fā) 生的同時(shí) 檢測(cè)系統(tǒng)也在發(fā)揮作用 檢測(cè)到入侵行為也要花費(fèi)時(shí)間 檢測(cè)時(shí)間 Dt 在檢測(cè)到入侵后 系統(tǒng)會(huì)做出應(yīng)有的響應(yīng)動(dòng)作 這也要花費(fèi)時(shí)間 響應(yīng)時(shí)間 Rt P2DR 模型就可以用一些典型的數(shù)學(xué)公式來(lái)表達(dá)安全的要求 1 1 公式 公式 1 1 PtPt Dt RtDt Rt Pt 代表系統(tǒng)為了保護(hù)安全目標(biāo)設(shè)置各種保護(hù)后的防護(hù)時(shí)間 或者理解為在這樣 的保護(hù)方式下 黑客 入侵者 攻擊安全目標(biāo)所花費(fèi)的時(shí)間 Dt 代表從入侵者開(kāi)始 發(fā)動(dòng)入侵開(kāi)始 系統(tǒng)能夠檢測(cè)到入侵行為所花費(fèi)的時(shí)間 Rt 代表從發(fā)現(xiàn)入侵行為開(kāi) 始 系統(tǒng)能夠做出足夠的響應(yīng) 將系統(tǒng)調(diào)整到正常狀態(tài)的時(shí)間 那么 針對(duì)于需要 保護(hù)的安全目標(biāo) 如果上述數(shù)學(xué)公式滿足防護(hù)時(shí)間大于檢測(cè)時(shí)間加上響應(yīng)時(shí)間 也 就是在入侵者危害安全目標(biāo)之前就能被檢測(cè)到并及時(shí)處理 2 2 公式 公式 2 2 Et Dt RtEt Dt Rt 如果 如果 Pt 0Pt 0 公式的前提是假設(shè)防護(hù)時(shí)間為 0 Dt 代