網(wǎng)絡(luò)管理、安全與存儲備份技術(shù)(計算機系統(tǒng)集成)

1、1 第五章第五章 網(wǎng)絡(luò)管理網(wǎng)絡(luò)管理、安全與存儲備份技術(shù)安全與存儲備份技術(shù) 5.1 5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全概述 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 5.4 5.4 網(wǎng)絡(luò)管理概述網(wǎng)絡(luò)管理概述 5.5 5.5 網(wǎng)絡(luò)管理系統(tǒng)網(wǎng)絡(luò)管理系統(tǒng) 5.6 5.6 網(wǎng)絡(luò)存儲備份技術(shù)網(wǎng)絡(luò)存儲備份技術(shù) 2 5.1 5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全概述 一一.計算機安全計算機安全 1.定義定義(國際標準化組織國際標準化組織ISO) 計算機安全指為保護數(shù)據(jù)處理系統(tǒng)而采取的技術(shù)和管理的安全計算機安全指為保護數(shù)據(jù)處理系統(tǒng)而采取的技術(shù)和管理的安全

2、 措施，措施，保護計算機硬件、軟件和數(shù)據(jù)保護計算機硬件、軟件和數(shù)據(jù)不會因偶爾或故意的原不會因偶爾或故意的原 因而遭到破壞、更改和泄密。因而遭到破壞、更改和泄密。 2.主要內(nèi)容主要內(nèi)容 計算機硬件安全性計算機硬件安全性-計算機硬件設(shè)備、安裝和配置的安全性；計算機硬件設(shè)備、安裝和配置的安全性； 確保計算機安全的環(huán)境條件，包括機房、電源等。確保計算機安全的環(huán)境條件，包括機房、電源等。 軟件安全性軟件安全性-保護計算機系統(tǒng)軟件、應(yīng)用軟件和開發(fā)工具，使保護計算機系統(tǒng)軟件、應(yīng)用軟件和開發(fā)工具，使 它們不被非法修改、復制和感染病毒。它們不被非法修改、復制和感染病毒。 數(shù)據(jù)安全性數(shù)據(jù)安全性-保護數(shù)據(jù)不被非法訪

3、問，保護數(shù)據(jù)的完整性，數(shù)保護數(shù)據(jù)不被非法訪問，保護數(shù)據(jù)的完整性，數(shù) 據(jù)保密等。據(jù)保密等。 計算機運行安全性計算機運行安全性-計算機運行遇到突發(fā)事件（如停電）的安計算機運行遇到突發(fā)事件（如停電）的安 全處理等。全處理等。 3 3.計算機安全等級計算機安全等級 TCSECTCSEC -Trusted Computer System Evaluation Criteria 19851985年，美年，美國國防部國國防部桔皮書桔皮書TCSEC(TCSEC(可信計算機系統(tǒng)評測標準可信計算機系統(tǒng)評測標準 為為計算機安全產(chǎn)品的評測計算機安全產(chǎn)品的評測提提供供測試和方法，指測試和方法，指導導信息安全信息安全 產(chǎn)

4、品的制產(chǎn)品的制造造和應(yīng)用。和應(yīng)用。 TCSEC定定義義系統(tǒng)安全五個要系統(tǒng)安全五個要素素 . 系統(tǒng)的安全系統(tǒng)的安全策略策略 . . 系統(tǒng)的可審計機制系統(tǒng)的可審計機制 . . 系統(tǒng)安全的可操作性系統(tǒng)安全的可操作性 . . 系統(tǒng)安全的系統(tǒng)安全的生命期生命期保證保證 . . 針針對以上對以上系統(tǒng)安全要系統(tǒng)安全要素而建立并維素而建立并維護的護的相關(guān)相關(guān)文件文件 5.1 5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全概述 4 TCSEC定定義義系統(tǒng)安全等級系統(tǒng)安全等級來來描述描述以上以上所所有有要要素素的安的安 全全特特性性 . . D 最低最低保護保護minimal protection，如如未加未加任何任何

5、實實 際的安全際的安全措措施施 . . C 被被動的自主訪問動的自主訪問策略策略independent access policy enforced . . B 被被動的動的強強制訪問制訪問策略策略mandatory access policy enforced . . A 形形式化證式化證明明的安全的安全formally proven security . . 每每個等級個等級之內(nèi)還之內(nèi)還可可細細分分這些這些標準標準能能夠夠被被用用來衡來衡量量 計算機計算機平臺（如平臺（如操作系統(tǒng)及操作系統(tǒng)及其其基于的基于的硬硬件件) )的安全的安全 性。性。如如標準的標準的UNIX(只只有有l(wèi)ogin口口

6、令文件保護等安令文件保護等安 全全措措施施) )被被定定為為C1級，級，DOS被被定定為為D1級。級。 5.1 5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全概述 5 5.1 5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全概述 TCSEC具體分具體分4類類7級，其中級，其中D級不具有最低限度安全的等級，級不具有最低限度安全的等級， C1與與C2級具有最低限度安全的等級，滿足大多數(shù)應(yīng)用；級具有最低限度安全的等級，滿足大多數(shù)應(yīng)用；B1和和B2 級具有中等安全保護能力的等級，滿足大部分重要應(yīng)用；級具有中等安全保護能力的等級，滿足大部分重要應(yīng)用；B3和和 A1級具有最高安全等級，費用高，適用安全性要求極高的應(yīng)用。

7、級具有最高安全等級，費用高，適用安全性要求極高的應(yīng)用。 類類 別別 級級 別別 名名 稱稱 主主 要要 特特 征征 A A 1 驗驗 證證 設(shè)設(shè) 計計 形形 式式 化化 的的 最最 高高 級級 描描 述述 和和 驗驗 證證 ， 形形 式式 化化 的的 隱隱 蔽蔽 通通 道道 分分 析析 ， 非非 形形 式式 化化 的的 代代 碼碼 對對 應(yīng)應(yīng) 證證 明明 B3 安安 全全 區(qū)區(qū) 域域 存存 取取 監(jiān)監(jiān) 控控 ， 高高 抗抗 滲滲 透透 能能 力力 B B2 結(jié)結(jié) 構(gòu)構(gòu) 化化 保保 護護 形形 式式 化化 模模 型型 /隱隱 通通 道道 約約 束束 、 面面 向向 安安 全全 的的 體體 系系

8、結(jié)結(jié) 構(gòu)構(gòu) ， 較較 好好 的的 抗抗 滲滲 透透 能能 力力 B1 標標 識識 的的 安安 全全 保保 護護 強強 制制 存存 取取 控控 制制 、 安安 全全 標標 識識 C C 2 受受 控控 制制 的的 存存 取取 控控 制制 單單 獨獨 的的 可可 查查 性性 、 廣廣 泛泛 的的 審審 計計 跟跟 蹤蹤 C 1 自自 主主 安安 全全 保保 護護 自自 主主 存存 取取 控控 制制 D D 低低 級級 保保 護護 相相 當當 于于 無無 安安 全全 功功 能能 的的 個個 人人 微微 機機 6 二二.網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全 1.定義：計算機網(wǎng)絡(luò)安全定義：計算機網(wǎng)絡(luò)安全指通過采取各種技術(shù)和

9、管理的安全措施，指通過采取各種技術(shù)和管理的安全措施，確保網(wǎng)絡(luò)數(shù)據(jù)確保網(wǎng)絡(luò)數(shù)據(jù) 的可用性、完整性和保密性，的可用性、完整性和保密性，目的確保經(jīng)過目的確保經(jīng)過網(wǎng)絡(luò)傳輸和交換的數(shù)據(jù)網(wǎng)絡(luò)傳輸和交換的數(shù)據(jù)不會發(fā)生不會發(fā)生 增加、修改、丟失和泄漏等。增加、修改、丟失和泄漏等。 美國計算機安全專家提出新的安全框架，解釋各種網(wǎng)絡(luò)安全問題。美國計算機安全專家提出新的安全框架，解釋各種網(wǎng)絡(luò)安全問題。 保密性保密性(Confidentiality)-指防止靜態(tài)信息被非授權(quán)訪問和防止動態(tài)信息被截取指防止靜態(tài)信息被非授權(quán)訪問和防止動態(tài)信息被截取 解密。解密。 完整性完整性(Integrity)-指信息在存儲或傳輸時不被

10、修改、破壞，或信息包丟失、亂指信息在存儲或傳輸時不被修改、破壞，或信息包丟失、亂 序等。對于動態(tài)傳輸?shù)男畔?，確保信息完整性的方法大多是收錯重傳、丟棄序等。對于動態(tài)傳輸?shù)男畔ⅲ_保信息完整性的方法大多是收錯重傳、丟棄 后續(xù)包等，但黑客的攻擊可改變信息包的內(nèi)容。后續(xù)包等，但黑客的攻擊可改變信息包的內(nèi)容。 可靠性可靠性(Reliability)/真實性真實性(Authenticity)-指信息的可信度，包括信息的完整性、指信息的可信度，包括信息的完整性、 準確性和發(fā)送人的身份證實等方面。準確性和發(fā)送人的身份證實等方面。 實用性實用性(Utility)-即信息加密密鑰不可丟失（不是泄密），丟失密鑰的信

11、息就丟失即信息加密密鑰不可丟失（不是泄密），丟失密鑰的信息就丟失 信息的實用性。信息的實用性。 可用性可用性(Availability)-一般指主機存放靜態(tài)信息的可用性和可操作性。病毒常破一般指主機存放靜態(tài)信息的可用性和可操作性。病毒常破 壞信息的可用性，使系統(tǒng)不能正常運行，數(shù)據(jù)文件面目全非。壞信息的可用性，使系統(tǒng)不能正常運行，數(shù)據(jù)文件面目全非。 占有性占有性(Possession)-指存儲信息的主機、磁盤等信息載體被盜用，導致對信息指存儲信息的主機、磁盤等信息載體被盜用，導致對信息 占用權(quán)的喪失。保護信息占有性的方法有使用版權(quán)、專利、商業(yè)秘密、提供占用權(quán)的喪失。保護信息占有性的方法有使用版權(quán)

12、、專利、商業(yè)秘密、提供 物理和邏輯的訪問限制方法，以及維護和檢查有關(guān)盜竊文件的審計記錄、使物理和邏輯的訪問限制方法，以及維護和檢查有關(guān)盜竊文件的審計記錄、使 用標簽等。用標簽等。 7 三三.網(wǎng)絡(luò)不安全原因網(wǎng)絡(luò)不安全原因 -網(wǎng)絡(luò)自身的安全缺陷網(wǎng)絡(luò)自身的安全缺陷 協(xié)議本身泄漏口令協(xié)議本身泄漏口令 連接成為被盜用的目標連接成為被盜用的目標 服務(wù)器本身需要讀寫特權(quán)服務(wù)器本身需要讀寫特權(quán) 基于地址基于地址 密碼保密措施不強密碼保密措施不強 有些業(yè)務(wù)本身尚未完善有些業(yè)務(wù)本身尚未完善, ,難于區(qū)分出錯原因難于區(qū)分出錯原因 有些業(yè)務(wù)設(shè)置復雜有些業(yè)務(wù)設(shè)置復雜, ,很難完善地設(shè)立很難完善地設(shè)立 使用使用CGICG

13、I的業(yè)務(wù)的業(yè)務(wù) -網(wǎng)絡(luò)開放性網(wǎng)絡(luò)開放性 業(yè)務(wù)基于公開的協(xié)議業(yè)務(wù)基于公開的協(xié)議 遠程訪問使各種攻擊無需到現(xiàn)場就能得手遠程訪問使各種攻擊無需到現(xiàn)場就能得手 連接是基于主機上的社團彼此信任的原則連接是基于主機上的社團彼此信任的原則 -黑客黑客( (HACKER)HACKER) 定義：定義：“非法入侵者非法入侵者” ” 起源：起源：6060年代年代 目的：基于興趣非法入侵目的：基于興趣非法入侵; ; 基于利益非法入侵基于利益非法入侵; ; 信息戰(zhàn)信息戰(zhàn). . 8 四四.攻擊的類型攻擊的類型 口令破解口令破解: :攻擊者通過獲取口令文件攻擊者通過獲取口令文件, ,然后運用口令破解工具獲得口令然后運用口令

14、破解工具獲得口令, ,也也 可通過猜測或竊聽等方式獲取口令可通過猜測或竊聽等方式獲取口令. . 連接盜用連接盜用: :在合法的通信連接建立后在合法的通信連接建立后, ,攻擊者通過阻塞或摧毀通信的一方攻擊者通過阻塞或摧毀通信的一方 接管已經(jīng)過認證建立起來的連接接管已經(jīng)過認證建立起來的連接, ,從而假冒被接管方與對方通信從而假冒被接管方與對方通信. . 服務(wù)拒絕服務(wù)拒絕: :攻擊者直接發(fā)動攻擊攻擊者直接發(fā)動攻擊, ,也可通過控制其它主機發(fā)起攻擊使目標也可通過控制其它主機發(fā)起攻擊使目標 癱瘓癱瘓, ,如發(fā)送大量的數(shù)據(jù)洪流阻塞目標如發(fā)送大量的數(shù)據(jù)洪流阻塞目標. . 網(wǎng)絡(luò)竊聽網(wǎng)絡(luò)竊聽: :網(wǎng)絡(luò)的開放性使

15、攻擊者通過直接或間接竊聽獲取所需信息網(wǎng)絡(luò)的開放性使攻擊者通過直接或間接竊聽獲取所需信息. . 數(shù)據(jù)篡改數(shù)據(jù)篡改: :攻擊者通過截獲并修改數(shù)據(jù)或重放數(shù)據(jù)等方式破壞數(shù)據(jù)的完整攻擊者通過截獲并修改數(shù)據(jù)或重放數(shù)據(jù)等方式破壞數(shù)據(jù)的完整 性性 地址欺騙地址欺騙: :攻擊者通過偽裝成被信任的攻擊者通過偽裝成被信任的IP 址等方式騙取目標信任址等方式騙取目標信任. . 社會工程社會工程: :攻擊者通過各種社交渠道獲得有關(guān)目標的結(jié)構(gòu)、使用情況、安攻擊者通過各種社交渠道獲得有關(guān)目標的結(jié)構(gòu)、使用情況、安 全防范措施等有用信息全防范措施等有用信息, ,從而提高攻擊成功率從而提高攻擊成功率. . 惡意掃描惡意掃描: :

16、攻擊者編制或使用現(xiàn)有掃描工具發(fā)現(xiàn)目標的漏洞攻擊者編制或使用現(xiàn)有掃描工具發(fā)現(xiàn)目標的漏洞, ,發(fā)起攻擊發(fā)起攻擊. . 基礎(chǔ)設(shè)施破壞基礎(chǔ)設(shè)施破壞: :攻擊者通過破壞攻擊者通過破壞DNS或或路由信息等基礎(chǔ)設(shè)施，使目標陷路由信息等基礎(chǔ)設(shè)施，使目標陷 于孤立于孤立. . 數(shù)據(jù)驅(qū)動數(shù)據(jù)驅(qū)動：攻擊者通過施放病毒、特洛伊木馬、數(shù)據(jù)炸彈等方式破壞或攻擊者通過施放病毒、特洛伊木馬、數(shù)據(jù)炸彈等方式破壞或 遙控目標遙控目標. . 9 5.1 5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全概述 五五.安全評價標準安全評價標準 10 部門規(guī)章及規(guī)范性文件部門規(guī)章及規(guī)范性文件 . 中華人民共和國公安部令第中華人民共和國公安部令第3

17、2號號 計算機信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證計算機信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證 管理辦法管理辦法 . . 中華人民共和國公安部令第中華人民共和國公安部令第33號號 計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法 . . 中華人民共和國公安部令第中華人民共和國公安部令第51號號 計算機病毒防治管理辦法計算機病毒防治管理辦法 . . 中華人民共和國公共安全行業(yè)標準計算機信息中華人民共和國公共安全行業(yè)標準計算機信息 系統(tǒng)安全專用產(chǎn)品分類原則系統(tǒng)安全專用產(chǎn)品分類原則 11 行政法規(guī)行政法規(guī) . 中華人民共和國國務(wù)院令中華人民共和國國務(wù)院令147147號號 中

18、華人民共和國計算機信息系統(tǒng)安全保護條例中華人民共和國計算機信息系統(tǒng)安全保護條例 . . 中華人民共和國國務(wù)院令第中華人民共和國國務(wù)院令第195195號號 中華人民共和國計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定中華人民共和國計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定 . . 中華人民共和國計算機信息網(wǎng)絡(luò)中華人民共和國計算機信息網(wǎng)絡(luò) 國際聯(lián)網(wǎng)管理暫行規(guī)定實施辦法國際聯(lián)網(wǎng)管理暫行規(guī)定實施辦法 . . 中華人民共和國國務(wù)院令第中華人民共和國國務(wù)院令第273273號號 商用密碼管理條例商用密碼管理條例 . . 中華人民共和國國務(wù)院令第中華人民共和國國務(wù)院令第291291號號 中華人民共和國電信條例中華人民共和國電信條

19、例 12 安全標準安全標準 . GB/T 15843-1999 信息技術(shù)安全技術(shù)實體鑒別信息技術(shù)安全技術(shù)實體鑒別 . . GB/T 15851-1995 信息技術(shù)安全技術(shù)帶消息恢復的安全技信息技術(shù)安全技術(shù)帶消息恢復的安全技 術(shù)要求術(shù)要求 . . GB/T 15852-1995 信息技術(shù)安全技術(shù)用塊密碼算法做密碼信息技術(shù)安全技術(shù)用塊密碼算法做密碼 校驗函數(shù)的數(shù)據(jù)完整性機制校驗函數(shù)的數(shù)據(jù)完整性機制 . . GB/T 15852-1995 信息技術(shù)安全技術(shù)密鑰管理信息技術(shù)安全技術(shù)密鑰管理 . . GB/T 15852-1995 信息技術(shù)安全技術(shù)帶附錄的數(shù)字簽名信息技術(shù)安全技術(shù)帶附錄的數(shù)字簽名 . .

20、 GB/T 15852-1995 信息技術(shù)安全技術(shù)抗抵賴信息技術(shù)安全技術(shù)抗抵賴 13 安全標準安全標準 GB/T 17900-1999 網(wǎng)絡(luò)代理服務(wù)器安全技術(shù)要網(wǎng)絡(luò)代理服務(wù)器安全技術(shù)要 求求 GB/T 18018-1999 路由器安全技術(shù)要求路由器安全技術(shù)要求 GB/T 18019-1999 信息技術(shù)包過濾防火墻安全信息技術(shù)包過濾防火墻安全 技術(shù)要求技術(shù)要求 GB/T 18020-1999 信息技術(shù)應(yīng)用級防火墻安全信息技術(shù)應(yīng)用級防火墻安全 技術(shù)要求技術(shù)要求 14 安全標準安全標準 GB17859-1999 計算機信息系統(tǒng)安全保護等級劃分準則計算機信息系統(tǒng)安全保護等級劃分準則 第一級用戶自主保護

21、級第一級用戶自主保護級 第二級系統(tǒng)審計保護級第二級系統(tǒng)審計保護級 第三級安全標記保護級第三級安全標記保護級 第四級結(jié)構(gòu)化保護級第四級結(jié)構(gòu)化保護級 第五級訪問驗證保護級第五級訪問驗證保護級 15 信息系統(tǒng)安全保密研究特點信息系統(tǒng)安全保密研究特點 信息系統(tǒng)的組成復雜，覆蓋面廣；信息處理既有集中式信息系統(tǒng)的組成復雜，覆蓋面廣；信息處理既有集中式 又有分布式；又有分布式； 構(gòu)成其基礎(chǔ)的計算機操作系統(tǒng)和網(wǎng)絡(luò)可能同構(gòu)或異構(gòu)；實構(gòu)成其基礎(chǔ)的計算機操作系統(tǒng)和網(wǎng)絡(luò)可能同構(gòu)或異構(gòu)；實 現(xiàn)計算機聯(lián)接的網(wǎng)絡(luò)結(jié)構(gòu)可能多種拓撲結(jié)構(gòu)的混合；所現(xiàn)計算機聯(lián)接的網(wǎng)絡(luò)結(jié)構(gòu)可能多種拓撲結(jié)構(gòu)的混合；所 用的網(wǎng)絡(luò)組件繁雜，通信介質(zhì)多種多

22、樣。因此信息系統(tǒng)用的網(wǎng)絡(luò)組件繁雜，通信介質(zhì)多種多樣。因此信息系統(tǒng) 的安全保密必然是所有安全保密學科的綜合運用的結(jié)果。的安全保密必然是所有安全保密學科的綜合運用的結(jié)果。 信息系統(tǒng)安全保密研究的對象是系統(tǒng)，系統(tǒng)內(nèi)所有元素信息系統(tǒng)安全保密研究的對象是系統(tǒng)，系統(tǒng)內(nèi)所有元素 或成份都是研究的內(nèi)容。從系統(tǒng)內(nèi)看研究內(nèi)容包括通信或成份都是研究的內(nèi)容。從系統(tǒng)內(nèi)看研究內(nèi)容包括通信 安全安全( ( COMESC), COMESC), 計算機安全計算機安全, ,操作安全操作安全( (OPSEC), OPSEC), 信息信息 安全安全, ,人事安全人事安全, ,工業(yè)安全工業(yè)安全, ,資源保護和實體安全。從系資源保護和實

23、體安全。從系 統(tǒng)外看統(tǒng)外看, , 研究內(nèi)容還包括管理和法律兩個方面研究內(nèi)容還包括管理和法律兩個方面, ,兩者綜兩者綜 合構(gòu)成一個合理的研究結(jié)構(gòu)和層次。合構(gòu)成一個合理的研究結(jié)構(gòu)和層次。 按照系統(tǒng)平衡的觀點按照系統(tǒng)平衡的觀點, ,信息系統(tǒng)安全保密追求均勻性信息系統(tǒng)安全保密追求均勻性, ,因因 而各子項的研究深度要相互協(xié)調(diào)而各子項的研究深度要相互協(xié)調(diào), ,不能重此輕彼不能重此輕彼. . 16 5.1 5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全概述 六六. .國標主要安全指標國標主要安全指標-涵蓋了不同級別的安全要求涵蓋了不同級別的安全要求 身份認證、自主訪問控制、數(shù)據(jù)完整性、審計、隱蔽信道分析、身份認

24、證、自主訪問控制、數(shù)據(jù)完整性、審計、隱蔽信道分析、 客體重用、強制訪問控制、安全標記、可信路徑、可信恢復等客體重用、強制訪問控制、安全標記、可信路徑、可信恢復等. . 七七. .網(wǎng)絡(luò)主要安全指標網(wǎng)絡(luò)主要安全指標 身份認證身份認證-主要考主要考慮慮用戶主機和節(jié)用戶主機和節(jié)點點的的身身份認份認證證 訪問控制訪問控制-采采用自主訪問控制用自主訪問控制策略策略 數(shù)據(jù)完整性數(shù)據(jù)完整性-考考慮慮存存儲傳輸儲傳輸和使用中和使用中不被篡改不被篡改和和泄泄密密 審計審計-主要考主要考慮慮訪問的主體訪問的主體客客體體時間時間成成敗敗情情況況等等 隱蔽信道分析隱蔽信道分析-主要考主要考慮采慮采用安全用安全監(jiān)監(jiān)控和安

25、全控和安全漏洞漏洞檢測檢測來來加加強強 對對隱蔽隱蔽信信道道的防范的防范 17 安全技術(shù)架構(gòu) 18 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 安全理論與技術(shù) 密碼理論與技術(shù)加密標記 認證識別理論與技術(shù) 授權(quán)與訪問控制理論與技術(shù) 審計追蹤技術(shù) 網(wǎng)間隔離與訪問代理技術(shù) 反病毒技術(shù) 19 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 一一.密碼技術(shù)密碼技術(shù) 1.1.數(shù)據(jù)加密數(shù)據(jù)加密 密碼密碼: :是一組含有參數(shù)的變換是一組含有參數(shù)的變換. . 明文明文( (plaintext) :作為加密輸入的原始信息作為加密輸入的原始信息. . 加密算法加密算法: :變換函數(shù)變換函數(shù). . 密文密文( (cipher

26、text):明文變換結(jié)果明文變換結(jié)果. . 密鑰密鑰( (key):參與變換的參數(shù)參與變換的參數(shù). . 20 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 2.2.信息加密算法信息加密算法 對稱算法對稱算法: :加密密鑰和解密密鑰相同加密密鑰和解密密鑰相同 數(shù)據(jù)加密標準數(shù)據(jù)加密標準DESDES是一種對二元數(shù)據(jù)進行加密的算法是一種對二元數(shù)據(jù)進行加密的算法, ,數(shù)據(jù)分組長數(shù)據(jù)分組長 度為度為6464位位, ,密文分組長度也是密文分組長度也是6464位位, ,使用的密鑰為使用的密鑰為6464位位, ,有效密鑰有效密鑰 長度為長度為5656位位( (有有8 8位用于奇偶校驗位用于奇偶校驗).).解密時的過

27、程和加密時相似解密時的過程和加密時相似, , 但密鑰的順序正好相反但密鑰的順序正好相反. .DESDES的整個體制是公開的的整個體制是公開的, ,安全性完全靠安全性完全靠 密鑰的保密密鑰的保密. . DESDES算法是在一個初始置換算法是在一個初始置換IPIP后后, ,明文組被分成右半部分和左半部明文組被分成右半部分和左半部 分分, ,每部分每部分3232位以位以L L0 0和和R R0 0表示表示, ,然后是然后是1616輪迭代的乘積變換輪迭代的乘積變換, ,將數(shù)將數(shù) 據(jù)和密鑰結(jié)合起來據(jù)和密鑰結(jié)合起來.16.16輪之后左右兩部分連接起來輪之后左右兩部分連接起來, ,經(jīng)過一個初經(jīng)過一個初 始逆

28、置換始逆置換IPIP-1 -1, , 算法結(jié)束算法結(jié)束. . 初始置換與初始逆置換在密碼意義上作用不大初始置換與初始逆置換在密碼意義上作用不大, ,其作用在于打亂原其作用在于打亂原 輸入輸入x x的的ASCIIASCII碼字劃分關(guān)系碼字劃分關(guān)系, ,并將原來明文的校驗位變成置換輸并將原來明文的校驗位變成置換輸 出的一個字節(jié)出的一個字節(jié). 21 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 對稱密鑰的分組密碼算法對稱密鑰的分組密碼算法 -一種是對一種是對DES進行復合進行復合, ,強化其抗攻擊強化其抗攻擊能能力力. -另一種是開另一種是開辟新辟新的方法的方法, ,即即象象DES那那樣加解密樣加解密速

29、速度度快快, 又又具具有有抗差抗差分等分等攻擊攻擊的能的能力力.這些算法有這些算法有三重三重DES， IDEA， RC5， RC6等等 非對稱算法非對稱算法( (公鑰密碼/雙鑰密碼) 有兩個密鑰有兩個密鑰,公用密鑰和私用密鑰。在進行數(shù)據(jù)通信時，公用密鑰和私用密鑰。在進行數(shù)據(jù)通信時， 發(fā)送方利用公用密鑰將信息加密，對方收到信息后使發(fā)送方利用公用密鑰將信息加密，對方收到信息后使 用私人密鑰進行解密。常用算法用私人密鑰進行解密。常用算法RSA是基于數(shù)論中素是基于數(shù)論中素 數(shù)因數(shù)分解的難度數(shù)因數(shù)分解的難度,若整數(shù)若整數(shù)n達到達到100位（十進制）以上，位（十進制）以上， 則分解成大素數(shù)因子則分解成大素

30、數(shù)因子p和和q及其困難，即不能在有效時及其困難，即不能在有效時 間內(nèi)破譯間內(nèi)破譯RSA。RSA系統(tǒng)中大素數(shù)的生成通常有兩種系統(tǒng)中大素數(shù)的生成通常有兩種 方法：構(gòu)造法與隨機法。構(gòu)造法因其素數(shù)的產(chǎn)生具有方法：構(gòu)造法與隨機法。構(gòu)造法因其素數(shù)的產(chǎn)生具有 規(guī)律性、隨機性較差而不常用。規(guī)律性、隨機性較差而不常用。 22 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 3.3.數(shù)字簽名算法數(shù)字簽名算法 信息加密函數(shù)作認證信息加密函數(shù)作認證 23 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 雙密鑰雙密鑰仲裁仲裁數(shù)數(shù)字字簽名技術(shù)簽名技術(shù) (1) XA: IDx | EKRxIDx | EKUy (EKRxM) X 對消

31、息對消息M雙重加密雙重加密首先首先用用X的的私私有密鑰有密鑰KRx , 然后用然后用Y的公開密鑰的公開密鑰KUy,形形成一個簽名的保密成一個簽名的保密 的消息的消息. .然后將然后將該該信息以信息以及及X的的標標識識符符一一起起用用 KRx簽名后簽名后, ,與與IDx 一一起起發(fā)送給發(fā)送給A 這種內(nèi)這種內(nèi)部部雙重雙重 加密的消息對加密的消息對A以以及及對除對除Y以以外外的其它人的其它人都都是是 安全的安全的. . (2) AY: EKRaIDx| EKUyEKRxM | T A檢查檢查X的公開的公開/私私有密鑰對是否有密鑰對是否仍仍然有然有效效,是是, , 則認證消息則認證消息, ,并并將將包

32、含包含IDx, 雙重加密的消息和雙重加密的消息和 時間時間戳戳構(gòu)成的消息用構(gòu)成的消息用KRa簽名后發(fā)送給簽名后發(fā)送給Y. 24 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 二二. .系統(tǒng)安全技術(shù)系統(tǒng)安全技術(shù) 1.1.身份認證身份認證-證實客戶的真實身份與其所聲稱的身份證實客戶的真實身份與其所聲稱的身份 是否相符的過程是否相符的過程 依據(jù)依據(jù): : Something the user know (所知所知) ) 密碼密碼 口令等口令等 Something the user possesses (擁有擁有) ) 身份證身份證 護照護照 密鑰盤等密鑰盤等 Something the user is

33、or (How he behaves) (特征特征) ) 指紋指紋 筆跡筆跡 聲紋聲紋 虹膜虹膜 DNA等等 方式：口令認證方式：口令認證 挑戰(zhàn)挑戰(zhàn)/應(yīng)答方式應(yīng)答方式 Kerberos認證認證 25 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 2.2.訪問控制和授權(quán)訪問控制和授權(quán): :針對越權(quán)使用資源的防御措施針對越權(quán)使用資源的防御措施 自主訪問控制自主訪問控制-根據(jù)主體的身份和授權(quán)決定訪問模根據(jù)主體的身份和授權(quán)決定訪問模 式式 強制訪問控制強制訪問控制-將主體和客體分級將主體和客體分級, ,根據(jù)主體和客體根據(jù)主體和客體 的級別標記決定訪問模式的級別標記決定訪問模式. .如絕密級如絕密級, ,機

34、密級機密級, ,秘密秘密 級級, ,無密級無密級. . 基于角色的訪問控制基于角色的訪問控制-用戶集用戶集+ +權(quán)限集權(quán)限集 角色角色-A role can be defined as a set of actions and responsibilities associated with a particular working activity 3.3.審計審計-根據(jù)一定的策略根據(jù)一定的策略, ,通過記錄分析歷史操作事通過記錄分析歷史操作事 件件, ,發(fā)現(xiàn)和改進系統(tǒng)性能和安全發(fā)現(xiàn)和改進系統(tǒng)性能和安全 26 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 三三. .網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 1.

35、1.防火墻定義防火墻定義 位于兩個位于兩個(或多個或多個)網(wǎng)絡(luò)間實施網(wǎng)間訪問控制的一組組網(wǎng)絡(luò)間實施網(wǎng)間訪問控制的一組組 件的集合件的集合, ,滿足以下條件滿足以下條件: : 內(nèi)部和外部之間的所有網(wǎng)絡(luò)數(shù)據(jù)流必須經(jīng)過防火墻內(nèi)部和外部之間的所有網(wǎng)絡(luò)數(shù)據(jù)流必須經(jīng)過防火墻 只有符合安全政策的數(shù)據(jù)流才能通過防火墻只有符合安全政策的數(shù)據(jù)流才能通過防火墻 防火墻自身應(yīng)對滲透防火墻自身應(yīng)對滲透(peneration)免疫免疫 2 2.為什么需要防火墻為什么需要防火墻 保護內(nèi)部不受來自保護內(nèi)部不受來自Internet的攻擊的攻擊 為了創(chuàng)建安全域為了創(chuàng)建安全域 為了增強機構(gòu)安全策略為了增強機構(gòu)安全策略 27 5.2

36、 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 3.3.防火墻體系結(jié)構(gòu)防火墻體系結(jié)構(gòu) 雙宿雙宿/多多宿宿主機模式主機模式(dual-homed/multi-homed) 屏蔽主機模式屏蔽主機模式 屏蔽屏蔽子子網(wǎng)模式網(wǎng)模式 28 29 30 31 32 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 4.4.防火墻相關(guān)技術(shù)防火墻相關(guān)技術(shù) 靜態(tài)靜態(tài)包過包過濾濾 動動態(tài)態(tài)包過包過濾濾 應(yīng)用程序網(wǎng)關(guān)應(yīng)用程序網(wǎng)關(guān)(代理代理服務(wù)服務(wù)器器) 電電路級網(wǎng)關(guān)路級網(wǎng)關(guān) 虛擬專虛擬專用網(wǎng)用網(wǎng) 33 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 靜態(tài)靜態(tài)包過包過濾濾 根根據(jù)流經(jīng)據(jù)流經(jīng)該設(shè)備該設(shè)備的數(shù)據(jù)包地的數(shù)據(jù)包地址址信息信息決決定是定是

37、否允許否允許 該該數(shù)據(jù)包通過數(shù)據(jù)包通過, ,判斷依判斷依據(jù)據(jù): : 數(shù)據(jù)包數(shù)據(jù)包協(xié)協(xié)議議類類型型TCP UDP ICMP IGMP等等 源目源目的的IP地地址址 源目源目的的端口端口FTP HTTP DNS等等 IP選項源選項源路由記錄路由等路由記錄路由等 TCP選項選項SYN ACK FIN RST等等 其其它它協(xié)協(xié)議議選項選項ICMP ECHO ICMP ECHO REPLY 等等 數(shù)據(jù)包流向數(shù)據(jù)包流向in或或out 數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)接口接口eth0 eth1 34 35 36 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 動動態(tài)態(tài)包過包過濾濾 -Check point一一項稱項稱

38、為為“Stateful Inspection”的技術(shù)的技術(shù) -可動可動態(tài)生態(tài)生成成/刪除規(guī)刪除規(guī)則則 -分析高層協(xié)分析高層協(xié)議議 應(yīng)用程序網(wǎng)關(guān)應(yīng)用程序網(wǎng)關(guān) -網(wǎng)關(guān)理網(wǎng)關(guān)理解解應(yīng)用應(yīng)用協(xié)協(xié)議可以實施議可以實施更細粒度更細粒度的訪問控制的訪問控制 -對對每每一一類類應(yīng)用都需要一個應(yīng)用都需要一個專門專門的代理的代理 -靈靈活活性性不不夠夠 37 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 電電路級網(wǎng)關(guān)路級網(wǎng)關(guān) -拓撲拓撲結(jié)構(gòu)同應(yīng)用程序網(wǎng)關(guān)相同結(jié)構(gòu)同應(yīng)用程序網(wǎng)關(guān)相同 -接收客戶端接收客戶端連連接請接請求代理求代理客戶端完客戶端完成網(wǎng)絡(luò)連成網(wǎng)絡(luò)連接接 -在客戶在客戶和和服務(wù)服務(wù)器間器間中轉(zhuǎn)中轉(zhuǎn)數(shù)據(jù)數(shù)據(jù) -

39、通用通用性性強強 電電路級網(wǎng)關(guān)實路級網(wǎng)關(guān)實現(xiàn)現(xiàn)方式方式 -簡單重簡單重定向定向 -根根據(jù)據(jù)客戶客戶的地的地址址及所及所請請求求端口將該端口將該連連接重接重定向定向到指到指定定 的的服務(wù)服務(wù)器地器地址址及及端口端口上上 -對對客戶端客戶端應(yīng)用應(yīng)用完完全透全透明明 -在轉(zhuǎn)在轉(zhuǎn)發(fā)發(fā)前前同同客戶端交換客戶端交換連連接接信息信息 -需對需對客戶端客戶端應(yīng)用應(yīng)用作適當修改作適當修改 電電路級網(wǎng)關(guān)的一路級網(wǎng)關(guān)的一些些實實現(xiàn)現(xiàn) Socks Winsock Dante 38 39 40 5.2 5.2 網(wǎng)絡(luò)安全技術(shù)網(wǎng)絡(luò)安全技術(shù) 5.防火墻產(chǎn)品防火墻產(chǎn)品 著名廠家著名廠家Check Point，Sun Soft，

40、IBM，Trusted Information System等，國內(nèi)常見防火墻產(chǎn)品有等，國內(nèi)常見防火墻產(chǎn)品有Sun Soft 公司的公司的 Solstice Firewall-1，該軟件核心是該軟件核心是Check Point公公 司開發(fā)的同名產(chǎn)品。司開發(fā)的同名產(chǎn)品。 Firewall-1由由包過濾模塊和控制模塊包過濾模塊和控制模塊兩部分組成，包過濾模塊兩部分組成，包過濾模塊 的工作獨立于控制模塊，相當于在鏈路層和網(wǎng)絡(luò)層之間插入的工作獨立于控制模塊，相當于在鏈路層和網(wǎng)絡(luò)層之間插入 一個數(shù)據(jù)包過濾器，截獲出入網(wǎng)點的所有數(shù)據(jù)包，然后根據(jù)一個數(shù)據(jù)包過濾器，截獲出入網(wǎng)點的所有數(shù)據(jù)包，然后根據(jù) 用戶設(shè)置

41、的安全規(guī)則決定是轉(zhuǎn)發(fā)用戶設(shè)置的安全規(guī)則決定是轉(zhuǎn)發(fā)/阻塞該數(shù)據(jù)包；控制模塊阻塞該數(shù)據(jù)包；控制模塊 可監(jiān)測、控制多個包過濾模塊，包過濾模塊和控制模塊可安可監(jiān)測、控制多個包過濾模塊，包過濾模塊和控制模塊可安 裝在同一臺主機裝在同一臺主機/不同主機上。不同主機上。Firewall-1包括包括應(yīng)用級過濾能應(yīng)用級過濾能 力力，將，將Firewall-1所在網(wǎng)關(guān)配置成混合型網(wǎng)關(guān)，由應(yīng)用網(wǎng)關(guān)所在網(wǎng)關(guān)配置成混合型網(wǎng)關(guān)，由應(yīng)用網(wǎng)關(guān) 運行專用程序代碼對應(yīng)用級數(shù)據(jù)包進行過濾，利用代理服務(wù)運行專用程序代碼對應(yīng)用級數(shù)據(jù)包進行過濾，利用代理服務(wù) 代替客戶向服務(wù)器發(fā)出請求和為用戶提供認證服務(wù)。代替客戶向服務(wù)器發(fā)出請求和為用戶

42、提供認證服務(wù)。 Firewall-1還還支持支持DES等加密技術(shù)等加密技術(shù),既是一個公共防護系統(tǒng)，既是一個公共防護系統(tǒng)， 也是一個專用防衛(wèi)系統(tǒng)，達到也是一個專用防衛(wèi)系統(tǒng)，達到 Unix級防護能力級防護能力。 41 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 一. .安全方案設(shè)計要素安全方案設(shè)計要素 明確的需求分析明確的需求分析 合理的設(shè)計原則合理的設(shè)計原則 可信的安全等級可信的安全等級 良好的指導方法良好的指導方法 全面的理論模型全面的理論模型 正確的技術(shù)選擇正確的技術(shù)選擇 可靠的支撐產(chǎn)品可靠的支撐產(chǎn)品 實用的功能性能實用的功能性能 可行的評價措施可行的評價措施 完善的管理手段完善的管理

43、手段 長遠的維護升級長遠的維護升級 42 安全設(shè)計總目標 保保障障網(wǎng)絡(luò)網(wǎng)絡(luò)安全可靠、高效、可控、持續(xù)安全可靠、高效、可控、持續(xù)地地運運行行 保保障障信息信息機密、完整、不可否認機密、完整、不可否認地地傳輸傳輸和使用和使用 需要保護的對象需要保護的對象 安全層次分析安全層次分析 隱患分析隱患分析 43 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 1.安全需求分析 -安全層次分析 44 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 -安全監(jiān)測安全監(jiān)測 監(jiān)測方法監(jiān)測方法 異常檢測系統(tǒng)異常檢測系統(tǒng)( (Anomaly)Anomaly) 統(tǒng)計方法統(tǒng)計方法 預(yù)測模式生成法預(yù)測模式生成法 神經(jīng)網(wǎng)絡(luò)

44、法神經(jīng)網(wǎng)絡(luò)法 濫用檢測系統(tǒng)濫用檢測系統(tǒng)( (Misuse)Misuse) 專家系統(tǒng)專家系統(tǒng) 模型匹配模型匹配 狀態(tài)轉(zhuǎn)換分析狀態(tài)轉(zhuǎn)換分析 混合檢測系統(tǒng)混合檢測系統(tǒng)( (Hybrid)Hybrid) 監(jiān)測要求監(jiān)測要求 實時實時 全面全面 準確準確 45 46 -安全防護安全防護( (需要保護的對象需要保護的對象) ) 硬件硬件 路由器路由器 工作站工作站 服務(wù)器服務(wù)器 數(shù)據(jù)設(shè)備等數(shù)據(jù)設(shè)備等 軟件軟件 操作系統(tǒng)操作系統(tǒng) 應(yīng)用軟件應(yīng)用軟件 源代碼源代碼 實用程序?qū)嵱贸绦?數(shù)據(jù)數(shù)據(jù) 電子郵件電子郵件 辦公自動化辦公自動化 信息發(fā)布信息發(fā)布 業(yè)務(wù)系統(tǒng)業(yè)務(wù)系統(tǒng) -安全評估安全評估 風險分析風險分析 評估標準

45、評估標準 驗收指標驗收指標 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 47 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 2.2.設(shè)計原則設(shè)計原則 先進與實用相統(tǒng)一先進與實用相統(tǒng)一 投入與產(chǎn)出相匹配投入與產(chǎn)出相匹配-國際慣例占總投入的國際慣例占總投入的10%-15%10%-15% 成熟與升級相銜接成熟與升級相銜接( (時效性時效性) ) 3.3.網(wǎng)絡(luò)安全設(shè)計方法網(wǎng)絡(luò)安全設(shè)計方法 邏輯層設(shè)計邏輯層設(shè)計( (應(yīng)用透明性應(yīng)用透明性) ) 最小實體保護最小實體保護 產(chǎn)品與技術(shù)分離產(chǎn)品與技術(shù)分離 4.4.網(wǎng)絡(luò)安全等級設(shè)計網(wǎng)絡(luò)安全等級設(shè)計 應(yīng)達到等級應(yīng)達到等級: : B1 B1級級 理由理由:

46、 :C2C2級自主訪問級自主訪問, ,安全性低安全性低 B1 B1級提供安全標記級提供安全標記+ +強制訪問控制強制訪問控制 B2 B2級要求確認隱蔽通道級要求確認隱蔽通道, ,難于實現(xiàn)難于實現(xiàn) 48 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 5.5.安全技術(shù)選擇安全技術(shù)選擇 - 根據(jù)網(wǎng)絡(luò)層次根據(jù)網(wǎng)絡(luò)層次 鏈路層鏈路層 鏈鏈路路加加密技術(shù)密技術(shù) 網(wǎng)絡(luò)層網(wǎng)絡(luò)層 包過濾包過濾 IPSECIPSEC協(xié)協(xié)議議 VPN.VPN. TCP層層 SSLSSL協(xié)協(xié)議議 基于公鑰的基于公鑰的認認證和證和對稱對稱鑰鑰加加 密技術(shù)密技術(shù) 應(yīng)用層應(yīng)用層 SHTTP PGP SHTTP PGP 開發(fā)專用開發(fā)專用

47、協(xié)協(xié)議議 - 根據(jù)網(wǎng)絡(luò)根據(jù)網(wǎng)絡(luò)拓撲拓撲 網(wǎng)絡(luò)隔離網(wǎng)絡(luò)隔離 防火墻防火墻 訪問代理訪問代理 安全網(wǎng)關(guān)安全網(wǎng)關(guān) 入侵監(jiān)測入侵監(jiān)測 日志審計入侵檢測日志審計入侵檢測 漏洞掃描漏洞掃描 追蹤追蹤 49 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 50 51 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 6.6.安全管理安全管理 加加強強內(nèi)部人員內(nèi)部人員的安全的安全知識培訓及職知識培訓及職業(yè)道業(yè)道 德教育德教育 制制定定安全安全政策政策和法規(guī)和法規(guī) 從從技術(shù)技術(shù)上上實現(xiàn)系統(tǒng)管理分實現(xiàn)系統(tǒng)管理分權(quán)權(quán)制制約約 從從技術(shù)技術(shù)上上保證保證口令口令的安全性的安全性 從從程序程序上上規(guī)規(guī)范范安全管理安全管

48、理 52 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 7.7.安全升級安全升級 跟蹤跟蹤和和研究研究網(wǎng)絡(luò)網(wǎng)絡(luò)攻擊攻擊手段手段 及及時時更新更新和和使使用安全產(chǎn)品的升級用安全產(chǎn)品的升級版本版本 及及時時采納新采納新出現(xiàn)的出現(xiàn)的必須必須的安全產(chǎn)品的安全產(chǎn)品 應(yīng)應(yīng)在年度在年度運行預(yù)運行預(yù)算中留算中留出安全保出安全保障障和維護和維護 經(jīng)經(jīng)費費 保保持持與安全技術(shù)支與安全技術(shù)支持單位持單位的良好合作關(guān)系的良好合作關(guān)系 53 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 二二.設(shè)計實例設(shè)計實例( (典典型型局域局域網(wǎng)安全設(shè)計網(wǎng)安全設(shè)計) ) 54 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計

49、 1.1.代理服務(wù)器代理服務(wù)器 55 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 2.2.安全安全客客戶戶 56 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 3.3.代理代理接接口口安全安全 57 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 4.4.廣域廣域傳輸傳輸安全安全 58 5.3 5.3 網(wǎng)絡(luò)安全體系設(shè)計網(wǎng)絡(luò)安全體系設(shè)計 5.5.撥撥號號接接入入安全安全 59 60 5.4 5.4 網(wǎng)絡(luò)管理概述網(wǎng)絡(luò)管理概述 一一.網(wǎng)絡(luò)管理定義網(wǎng)絡(luò)管理定義 網(wǎng)絡(luò)管理指用軟件手段對網(wǎng)絡(luò)進行配置監(jiān)視和控網(wǎng)絡(luò)管理指用軟件手段對網(wǎng)絡(luò)進行配置監(jiān)視和控 制，以保證網(wǎng)絡(luò)的正常運行，減少故障發(fā)生的制，

50、以保證網(wǎng)絡(luò)的正常運行，減少故障發(fā)生的 概率，最終使網(wǎng)絡(luò)性能達到最優(yōu)，減少網(wǎng)絡(luò)維概率，最終使網(wǎng)絡(luò)性能達到最優(yōu)，減少網(wǎng)絡(luò)維 護費用。護費用。 網(wǎng)絡(luò)管理分為兩類。第一類網(wǎng)絡(luò)應(yīng)用程序、用戶帳號和存網(wǎng)絡(luò)管理分為兩類。第一類網(wǎng)絡(luò)應(yīng)用程序、用戶帳號和存 取權(quán)限的管理，是與軟件相關(guān)的網(wǎng)絡(luò)管理；第二類構(gòu)取權(quán)限的管理，是與軟件相關(guān)的網(wǎng)絡(luò)管理；第二類構(gòu) 成網(wǎng)絡(luò)的硬件組成，包括工作站、服務(wù)器、網(wǎng)卡、路成網(wǎng)絡(luò)的硬件組成，包括工作站、服務(wù)器、網(wǎng)卡、路 由器、網(wǎng)橋（交換機）和集線器。通常網(wǎng)絡(luò)管理指第由器、網(wǎng)橋（交換機）和集線器。通常網(wǎng)絡(luò)管理指第 二類，即網(wǎng)絡(luò)硬件設(shè)備的管理。二類，即網(wǎng)絡(luò)硬件設(shè)備的管理。 ISO定義：網(wǎng)絡(luò)管理

51、指規(guī)劃、監(jiān)督、設(shè)計和控制定義：網(wǎng)絡(luò)管理指規(guī)劃、監(jiān)督、設(shè)計和控制 網(wǎng)絡(luò)資源的使用和網(wǎng)絡(luò)的各種活動，使網(wǎng)絡(luò)的網(wǎng)絡(luò)資源的使用和網(wǎng)絡(luò)的各種活動，使網(wǎng)絡(luò)的 性能達到最優(yōu)。性能達到最優(yōu)。 61 二二.網(wǎng)絡(luò)管理功能網(wǎng)絡(luò)管理功能 1用戶管理用戶管理，管理用戶標識、用戶賬戶、用戶口令、文件目錄、，管理用戶標識、用戶賬戶、用戶口令、文件目錄、 地址和用戶個人信息以及工作站信息等。地址和用戶個人信息以及工作站信息等。 2配置管理配置管理，監(jiān)視網(wǎng)絡(luò)的運行環(huán)境和狀態(tài)，改變和調(diào)整網(wǎng)絡(luò)設(shè)，監(jiān)視網(wǎng)絡(luò)的運行環(huán)境和狀態(tài)，改變和調(diào)整網(wǎng)絡(luò)設(shè) 備的配置，確保網(wǎng)絡(luò)有效可靠地運行。包括識別被管網(wǎng)絡(luò)的拓備的配置，確保網(wǎng)絡(luò)有效可靠地運行。包括

52、識別被管網(wǎng)絡(luò)的拓 撲結(jié)構(gòu)，監(jiān)視網(wǎng)絡(luò)設(shè)備的運行狀態(tài)和參數(shù)，自動修改指定設(shè)備撲結(jié)構(gòu)，監(jiān)視網(wǎng)絡(luò)設(shè)備的運行狀態(tài)和參數(shù)，自動修改指定設(shè)備 的配置，動態(tài)維護網(wǎng)絡(luò)等。的配置，動態(tài)維護網(wǎng)絡(luò)等。 3性能管理性能管理，指通過監(jiān)控網(wǎng)絡(luò)的運行狀態(tài)調(diào)整網(wǎng)絡(luò)性能參數(shù)來，指通過監(jiān)控網(wǎng)絡(luò)的運行狀態(tài)調(diào)整網(wǎng)絡(luò)性能參數(shù)來 改善網(wǎng)絡(luò)的性能，確保網(wǎng)絡(luò)平穩(wěn)運行改善網(wǎng)絡(luò)的性能，確保網(wǎng)絡(luò)平穩(wěn)運行,包括網(wǎng)絡(luò)吞吐量、響應(yīng)包括網(wǎng)絡(luò)吞吐量、響應(yīng) 時間、線路利用率、網(wǎng)絡(luò)可用性等參數(shù)。時間、線路利用率、網(wǎng)絡(luò)可用性等參數(shù)。 4故障管理故障管理，包括故障檢測、故障診斷和故障恢復。通過故障，包括故障檢測、故障診斷和故障恢復。通過故障 檢測確定發(fā)生何故障，位于

53、何處檢測確定發(fā)生何故障，位于何處,找出發(fā)生故障的原因和解決找出發(fā)生故障的原因和解決 辦法；還包括避免發(fā)生故障，提出減少故障的措施。辦法；還包括避免發(fā)生故障，提出減少故障的措施。 5計費管理計費管理，包括統(tǒng)計用戶使用網(wǎng)絡(luò)資源的情況，根據(jù)資費標，包括統(tǒng)計用戶使用網(wǎng)絡(luò)資源的情況，根據(jù)資費標 準計算使用費用；統(tǒng)計網(wǎng)絡(luò)通信資源和信息資源的使用情況，準計算使用費用；統(tǒng)計網(wǎng)絡(luò)通信資源和信息資源的使用情況， 分析預(yù)測網(wǎng)絡(luò)業(yè)務(wù)量。分析預(yù)測網(wǎng)絡(luò)業(yè)務(wù)量。 6安全管理安全管理，防止用戶網(wǎng)絡(luò)資源的非法訪問，確保網(wǎng)絡(luò)資源和，防止用戶網(wǎng)絡(luò)資源的非法訪問，確保網(wǎng)絡(luò)資源和 網(wǎng)絡(luò)用戶的安全。網(wǎng)絡(luò)用戶的安全。 62 5.4 5.4

54、 網(wǎng)絡(luò)管理概述網(wǎng)絡(luò)管理概述 3.網(wǎng)絡(luò)管理標準化組織網(wǎng)絡(luò)管理標準化組織 ISO（International Standardization Organization）：）： 1947 年成立，總部設(shè)在日內(nèi)瓦，世界最大的國際標準化機構(gòu)。年成立，總部設(shè)在日內(nèi)瓦，世界最大的國際標準化機構(gòu)。 ISO制定網(wǎng)絡(luò)管理標準化始于制定網(wǎng)絡(luò)管理標準化始于1979年，其標準有公共管理信年，其標準有公共管理信 息服務(wù)協(xié)議息服務(wù)協(xié)議CMIS（Common Management Information Service Protocol）和公共管理信息協(xié)議和公共管理信息協(xié)議CMIP（Common Management Inf

55、ormation Protocol）。）。 國際電聯(lián)電信標準化部門國際電聯(lián)電信標準化部門ITU-T： ITU（International Telecommunication Union）成立于成立于 1934年，年，ITU電信標準電信標準 由其電信標準化部門由其電信標準化部門ITU-T制定。制定。ITU-T制定的網(wǎng)絡(luò)管理標準制定的網(wǎng)絡(luò)管理標準 為電信管理網(wǎng)為電信管理網(wǎng) TMN(Telecommunication Management Network）。）。 IETF（Internet Engineering Task Force）工程任務(wù)組：制定工程任務(wù)組：制定 兩個基于兩個基于 TCP/IP

56、的網(wǎng)絡(luò)管理協(xié)議：簡單網(wǎng)絡(luò)管理協(xié)議的網(wǎng)絡(luò)管理協(xié)議：簡單網(wǎng)絡(luò)管理協(xié)議 SNMP （Simple Network Management Protocol）和公共管理信和公共管理信 息服務(wù)與協(xié)議息服務(wù)與協(xié)議CMOT（Common Management information service and protocol Over TCP/IP）。SNMP是目前最流行是目前最流行 網(wǎng)絡(luò)管理協(xié)議。網(wǎng)絡(luò)管理協(xié)議。 63 ISO/OSI CMIS和和CMIP（公共管理信息服務(wù)協(xié)議和公共管理公共管理信息服務(wù)協(xié)議和公共管理 信息協(xié)議）信息協(xié)議） 公共管理信息服務(wù)元素公共管理信息服務(wù)元素CMISE，定義用于網(wǎng)絡(luò)管理操作

57、的服務(wù)定義用于網(wǎng)絡(luò)管理操作的服務(wù) 元素和參數(shù)（變量），負責網(wǎng)絡(luò)管理信息的邏輯通信，元素和參數(shù)（變量），負責網(wǎng)絡(luò)管理信息的邏輯通信，7類服類服 務(wù)為：務(wù)為： M-EVENT-REPORT服務(wù)：用于向服務(wù)用戶報告發(fā)現(xiàn)服務(wù)：用于向服務(wù)用戶報告發(fā)現(xiàn)/發(fā)生的事件。發(fā)生的事件。 M-GET服務(wù)：用于從對等實體中獲取管理信息。服務(wù)：用于從對等實體中獲取管理信息。 M-CANCEL-GET服務(wù)：用于要求對等實體取消以前發(fā)送的服務(wù)：用于要求對等實體取消以前發(fā)送的M-GET請求。請求。 M-SET服務(wù)：用于請求另一個管理進程（或管理代理）修改管理對象屬性值。服務(wù)：用于請求另一個管理進程（或管理代理）修改管理對象屬

58、性值。 M-ACTION服務(wù)：用于一個用戶需要請求另一個用戶（管理進程或管理代理）服務(wù)：用于一個用戶需要請求另一個用戶（管理進程或管理代理） 對管理對象執(zhí)行一些操作。對管理對象執(zhí)行一些操作。 M-CREATE服務(wù)：用于用戶創(chuàng)建管理對象實例。服務(wù)：用于用戶創(chuàng)建管理對象實例。 M-DELETE服務(wù)：用干刪除管理對象實例。服務(wù)：用干刪除管理對象實例。 公共管理信息協(xié)議公共管理信息協(xié)議CMIP，基于基于OSI七層協(xié)議，采用管理者七層協(xié)議，采用管理者/代理代理 模型，作為模型，作為CMISE之間的通信協(xié)議。規(guī)定不同網(wǎng)絡(luò)管理系統(tǒng)之間的通信協(xié)議。規(guī)定不同網(wǎng)絡(luò)管理系統(tǒng) 之間的信息交換方式和規(guī)則，例如對網(wǎng)絡(luò)文件

59、進行監(jiān)控時，之間的信息交換方式和規(guī)則，例如對網(wǎng)絡(luò)文件進行監(jiān)控時， 管理者只需向代理發(fā)出一監(jiān)控請求，代理自動監(jiān)視指定的管管理者只需向代理發(fā)出一監(jiān)控請求，代理自動監(jiān)視指定的管 理者，并在異常情況發(fā)生時向管理者報告。理者，并在異常情況發(fā)生時向管理者報告。 64 簡單網(wǎng)絡(luò)管理協(xié)議簡單網(wǎng)絡(luò)管理協(xié)議SNMP 1990年，年，IETF制定制定SNMP V1。 1993年，年，IETF制定制定SNMP V2，該版本受到各網(wǎng)絡(luò)廠商廣泛歡該版本受到各網(wǎng)絡(luò)廠商廣泛歡 迎，并成為事實上的網(wǎng)絡(luò)管理工業(yè)標準。迎，并成為事實上的網(wǎng)絡(luò)管理工業(yè)標準。 1999年年5月公布月公布SNMP的第三代標準的第三代標準CMOT（Comm

60、on Management Information Service and Protocol Over TCP/IP），），也稱也稱 SNMP V3, 實際上是實際上是OSI CMIP的的TCP/IP版。版。 SNMP模型模型 被管理站點被管理站點:運行運行SNMP代理程序，維護一個本地數(shù)據(jù)庫，描代理程序，維護一個本地數(shù)據(jù)庫，描 述站點的狀態(tài)和歷史，并影響站點的運行。述站點的狀態(tài)和歷史，并影響站點的運行。 管理站點管理站點: 運行專門的網(wǎng)絡(luò)管理軟件，使用管理協(xié)議和被管運行專門的網(wǎng)絡(luò)管理軟件，使用管理協(xié)議和被管 理站點上的理站點上的SNMP代理通信，維護管理信息庫。代理通信，維護管理信息庫。 管