tcpip協(xié)議浙江工業(yè)大學(xué)市公開課一等獎(jiǎng)省賽課獲獎(jiǎng)?wù)n件_第1頁
tcpip協(xié)議浙江工業(yè)大學(xué)市公開課一等獎(jiǎng)省賽課獲獎(jiǎng)?wù)n件_第2頁
tcpip協(xié)議浙江工業(yè)大學(xué)市公開課一等獎(jiǎng)省賽課獲獎(jiǎng)?wù)n件_第3頁
tcpip協(xié)議浙江工業(yè)大學(xué)市公開課一等獎(jiǎng)省賽課獲獎(jiǎng)?wù)n件_第4頁
tcpip協(xié)議浙江工業(yè)大學(xué)市公開課一等獎(jiǎng)省賽課獲獎(jiǎng)?wù)n件_第5頁
已閱讀5頁，還剩103頁未讀， 繼續(xù)免費(fèi)閱讀

下載本文檔

版權(quán)說明：本文檔由用戶提供并上傳，收益歸屬內(nèi)容提供方，若內(nèi)容存在侵權(quán)，請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)

文檔簡介

網(wǎng)絡(luò)安全陳慶章qzchen@11月29日tcpip協(xié)議浙江工業(yè)大學(xué)第1頁上次課內(nèi)容復(fù)習(xí)tcpip協(xié)議浙江工業(yè)大學(xué)第2頁文件傳輸（FTP）FTP是什么？FTP是FileTransferProtocol英文縮寫，即“文件傳輸協(xié)議”。用于在計(jì)算機(jī)之間傳送文件把文件從當(dāng)?shù)刂鳈C(jī)傳送到遠(yuǎn)程主機(jī)稱為“上載”Upload，Put把文件從遠(yuǎn)程主機(jī)傳送到當(dāng)?shù)刂鳈C(jī)稱為“下載”Download，GetFTP能夠傳輸各種類型文件：文本文件（ASCII）、二進(jìn)制文件（Binary）；壓縮文件、非壓縮文件。登錄FTP服務(wù)器用戶需要注冊(cè)才能登錄，但有FTP服務(wù)器也允許匿名（Anonymous）登錄。tcpip協(xié)議浙江工業(yè)大學(xué)第3頁HTML語言

HTML：超文本標(biāo)識(shí)語言（HypertextMarkupLanguage）加入了許多被稱為鏈接標(biāo)簽(tag)特殊字符串普通文本文件。從結(jié)構(gòu)上講，HTML文件由許各種元素(element)組成，這些元素用于組織文件內(nèi)容和指導(dǎo)文件輸出格式。絕大多數(shù)元素是“容器”，即它有起始標(biāo)識(shí)和結(jié)尾標(biāo)識(shí)。元素起始標(biāo)識(shí)叫做起始鏈接標(biāo)簽(starttag)，元素結(jié)束標(biāo)識(shí)叫做結(jié)尾鏈接標(biāo)簽(endtag)，在起始鏈接標(biāo)簽和結(jié)尾鏈接標(biāo)簽中間部分是元素體。tcpip協(xié)議浙江工業(yè)大學(xué)第4頁HTML框架<HTML><HEAD>Headerelement</HEAD><BODY>bodyofDocument</BODY></HTML>tcpip協(xié)議浙江工業(yè)大學(xué)第5頁網(wǎng)絡(luò)安全基本概念tcpip協(xié)議浙江工業(yè)大學(xué)第6頁網(wǎng)絡(luò)安全要處理主要問題網(wǎng)絡(luò)安全主要處理數(shù)據(jù)保密和認(rèn)證問題。數(shù)據(jù)保密就是采取復(fù)雜多樣辦法對(duì)數(shù)據(jù)加以保護(hù)，以預(yù)防數(shù)據(jù)被有意或無意地泄露給無關(guān)人員。認(rèn)證分為信息認(rèn)證和用戶認(rèn)證兩個(gè)方面信息認(rèn)證是指信息從發(fā)送到接收整個(gè)通路中沒有被第三者修改和偽造，用戶認(rèn)證是指用戶雙方都能證實(shí)對(duì)方是這次通信正當(dāng)用戶。通常在一個(gè)完備保密系統(tǒng)中既要求信息認(rèn)證，也要求用戶認(rèn)證。tcpip協(xié)議浙江工業(yè)大學(xué)第7頁網(wǎng)絡(luò)安全包含OSI-RM各層實(shí)際上，每一層都能夠采取一定辦法來預(yù)防一些類型網(wǎng)絡(luò)入侵事件，在一定程度上保障數(shù)據(jù)安全。物理層——能夠在包容電纜密封套中充入高壓氖氣；鏈路層——能夠進(jìn)行所謂鏈路加密，即將每個(gè)幀編碼后再發(fā)出，當(dāng)?shù)诌_(dá)另一端時(shí)再解碼恢復(fù)出來；網(wǎng)絡(luò)層——能夠使用防火墻技術(shù)過濾一部分有嫌疑數(shù)據(jù)報(bào)；在傳輸層上甚至整個(gè)連接都能夠被加密。tcpip協(xié)議浙江工業(yè)大學(xué)第8頁網(wǎng)絡(luò)安全定義

網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)硬件、軟件及其系統(tǒng)中數(shù)據(jù)受到保護(hù)，不受偶然或者惡意原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中止。（1）運(yùn)行系統(tǒng)安全，即確保信息處理和傳輸系統(tǒng)安全。（2）網(wǎng)絡(luò)上系統(tǒng)信息安全。（3）網(wǎng)絡(luò)上信息傳輸安全，即信息傳輸后果安全。（4）網(wǎng)絡(luò)上信息內(nèi)容安全，即我們討論狹義“信息安全”。tcpip協(xié)議浙江工業(yè)大學(xué)第9頁網(wǎng)絡(luò)安全應(yīng)具備四個(gè)特征保密性：信息不泄露給非授權(quán)用戶、實(shí)體或過程，或供其利用特征；完整性：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變特征，即信息在存放或傳輸過程中保持不被修改、不被破壞和丟失特征；可用性：可被授權(quán)實(shí)體訪問并按需求使用特征，即當(dāng)需要時(shí)應(yīng)能存取所需信息，網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)和相關(guān)系統(tǒng)正常運(yùn)行等都屬于對(duì)可用性攻擊；可控性：對(duì)信息傳輸及內(nèi)容含有控制能力。tcpip協(xié)議浙江工業(yè)大學(xué)第10頁主要網(wǎng)絡(luò)安全威脅（1）非授權(quán)訪問（UnauthorizedAccess）：一個(gè)非授權(quán)人入侵。（2）信息泄露（DisclosureofInformation）：造成將有價(jià)值和高度機(jī)密信息暴露給無權(quán)訪問該信息人全部問題。（3）拒絕服務(wù)（DenialofService）：使得系統(tǒng)難以或不可能繼續(xù)執(zhí)行任務(wù)全部問題。tcpip協(xié)議浙江工業(yè)大學(xué)第11頁計(jì)算機(jī)安全分類依據(jù)中國國家計(jì)算機(jī)安全規(guī)范，計(jì)算機(jī)安全大致可分為三類：1）實(shí)體安全。包含機(jī)房、線路、主機(jī)等；2）網(wǎng)絡(luò)安全。包含網(wǎng)絡(luò)通暢、準(zhǔn)確以及網(wǎng)上信息安全；3）應(yīng)用安全。包含程序開發(fā)運(yùn)行、I/O、數(shù)據(jù)庫等安全。tcpip協(xié)議浙江工業(yè)大學(xué)第12頁安全威脅常見現(xiàn)象非授權(quán)訪問假冒正當(dāng)用戶數(shù)據(jù)完整性受破壞病毒通信線路被竊聽干擾系統(tǒng)正常運(yùn)行，改變系統(tǒng)正常運(yùn)行方向，以及延時(shí)系統(tǒng)響應(yīng)時(shí)間tcpip協(xié)議浙江工業(yè)大學(xué)第13頁數(shù)據(jù)安全tcpip協(xié)議浙江工業(yè)大學(xué)第14頁密碼分析和密碼學(xué)P=Dk（Ek（P））破譯密碼技術(shù)叫做密碼分析設(shè)計(jì)密碼和破譯密碼技術(shù)統(tǒng)稱為密碼學(xué)

tcpip協(xié)議浙江工業(yè)大學(xué)第15頁密碼學(xué)一條基本標(biāo)準(zhǔn)是：必須假定破譯者知道通用加密方法，也就是說加密算法E是公開。基本加密模型：加密算法是公開和相對(duì)穩(wěn)定，而作為參數(shù)密鑰是保密，而且是易于更換。基本加密模型tcpip協(xié)議浙江工業(yè)大學(xué)第16頁XOR加密tcpip協(xié)議浙江工業(yè)大學(xué)第17頁

定義：替換密碼就用一組密文字母來代替一組明文字母以隱藏明文，但保持明文字母位置不變。傳統(tǒng)加密方法：替換密碼tcpip協(xié)議浙江工業(yè)大學(xué)第18頁凱撒密碼——最古老地帶密碼凱撒密碼，它用D表示a，用E表示b，用F表示c，……，用C表示z，也就是說密文字母相對(duì)明文字母左移了3位。更普通地，能夠讓密文字母相對(duì)明文字母左移k位，這么k就成了加密和解密密鑰。缺點(diǎn)：輕易破譯，因?yàn)樽疃嘀恍鑷L試25次（k=1～25）即可輕松破譯密碼。記法約定：用小寫表示明文，用大寫表示密文tcpip協(xié)議浙江工業(yè)大學(xué)第19頁替換密碼

使用一個(gè)符號(hào)來替換另一個(gè)，比如單字符密碼:用一個(gè)字母來替換另一個(gè)明文:abcdefghijklmnopqrstuvwxyz密文:mnbvcxzasdfghjklpoiuytrewq明文:bob.iloveyou.alice密文:nkn.sgktcwky.mgsbc比如：XOR是最簡單和有效加密方法?規(guī)則tcpip協(xié)議浙江工業(yè)大學(xué)第20頁換位密碼換位有時(shí)也稱為排列，它不對(duì)明文字母進(jìn)行變換，只是將明文字母次序進(jìn)行重新排列。例：COMPUTER明文pleaseexecutethelatestScheme14358726p1easeexecutethe密文PELHEHSCEUTMLCAEATEEXECDETTBSESA1atestschemeabcdtcpip協(xié)議浙江工業(yè)大學(xué)第21頁密鑰分發(fā)問題秘密密鑰一個(gè)弱點(diǎn)是解密密鑰必須和加密密鑰相同，這就產(chǎn)生了怎樣安全地分發(fā)密鑰問題。傳統(tǒng)上是由一個(gè)中心密鑰生成設(shè)備產(chǎn)生一個(gè)相同密鑰對(duì)，并由人工信使將其傳送到各自目標(biāo)地。對(duì)于一個(gè)擁有許多部門組織來說，這種分發(fā)方式是不能令人滿意，尤其是出于安全方面考慮需要經(jīng)常更換密鑰時(shí)更是如此。tcpip協(xié)議浙江工業(yè)大學(xué)第22頁公開密鑰算法在公開密鑰算法中，加密密鑰和解密密鑰是不一樣，而且從加密密鑰不能得到解密密鑰。為此，加密算法E和解密算法D必須滿足以下三個(gè)條件：①D（E（P））=P；②從E導(dǎo)出D非常困難；③使用“選擇明文”攻擊不能攻破E。假如能夠滿足以上三個(gè)條件，則加密算法完全能夠公開。tcpip協(xié)議浙江工業(yè)大學(xué)第23頁公開密鑰算法基本思想假如某個(gè)用戶希望接收秘密報(bào)文，他必須設(shè)計(jì)兩個(gè)算法：加密算法E和解密算法D，然后將加密算法放于任何一個(gè)公開文件中廣而通知，這也是公開密鑰算法名稱由來，他甚至也能夠公開他解密方法，只要他妥善保留解密密鑰即可。當(dāng)兩個(gè)完全陌生用戶A和B希望進(jìn)行秘密通信時(shí)，各自能夠從公開文件中查到對(duì)方加密算法。若A需要將秘密報(bào)文發(fā)給B，則A用B加密算法EB對(duì)報(bào)文進(jìn)行加密，然后將密文發(fā)給B，B使用解密算法DB進(jìn)行解密，而除B以外任何人都無法讀懂這個(gè)報(bào)文；當(dāng)B需要向A發(fā)送消息時(shí)，B使用A加密算法EA對(duì)報(bào)文進(jìn)行加密，然后發(fā)給A，A利用DA進(jìn)行解密。tcpip協(xié)議浙江工業(yè)大學(xué)第24頁在這種算法中，每個(gè)用戶都使用兩個(gè)密鑰：加密密鑰是供其它人向他發(fā)送報(bào)文用，這是公開；解密密鑰是用于對(duì)收到密文進(jìn)行解密，這是保密。通慣用公開密鑰和私人密鑰分別稱呼公開密鑰算法中加密密鑰和解密密鑰，以同傳統(tǒng)密碼學(xué)中秘密密鑰相區(qū)分。因?yàn)樗饺嗣荑€只由用戶自己掌握，不需要分發(fā)給他人，也就不用擔(dān)心在傳輸過程中或被其它用戶泄密，因而是極其安全。著名算法：RSA算法tcpip協(xié)議浙江工業(yè)大學(xué)第25頁公鑰私鑰體制tcpip協(xié)議浙江工業(yè)大學(xué)第26頁用戶認(rèn)證tcpip協(xié)議浙江工業(yè)大學(xué)第27頁用戶認(rèn)證概念定義：通信雙方在進(jìn)行主要數(shù)據(jù)交換前，經(jīng)常需要驗(yàn)證對(duì)方身份，這種技術(shù)稱為用戶認(rèn)證。在實(shí)際操作中，除了認(rèn)證對(duì)方身份外，同時(shí)還要在雙方間建立一個(gè)秘密會(huì)話密鑰，該會(huì)話密鑰用于對(duì)其后會(huì)話進(jìn)行加密。每次連接都使用一個(gè)新隨機(jī)選擇密鑰tcpip協(xié)議浙江工業(yè)大學(xué)第28頁基于共享秘密密鑰用戶認(rèn)證

假設(shè)在A和B之間有一個(gè)共享秘密密鑰KAB

。某個(gè)時(shí)候A希望和B進(jìn)行通信，于是雙方采取如圖所表示過程進(jìn)行用戶認(rèn)證。使用共享秘密密鑰進(jìn)行用戶認(rèn)證tcpip協(xié)議浙江工業(yè)大學(xué)第29頁使用密鑰分發(fā)中心用戶認(rèn)證要求通信雙方含有共享秘密密鑰有時(shí)是做不到，另外假如某個(gè)用戶要和n個(gè)用戶進(jìn)行通信，就需要有n個(gè)不一樣密鑰，這給密鑰管理也帶來很大麻煩。處理方法是引進(jìn)一個(gè)密鑰分發(fā)中心（KeyDistributionCenter，KDC）。KDC是能夠信賴，而且每個(gè)用戶和KDC間有一個(gè)共享秘密密鑰，用戶認(rèn)證和會(huì)話密鑰管理都經(jīng)過KDC來進(jìn)行。tcpip協(xié)議浙江工業(yè)大學(xué)第30頁KDC舉例如圖所表示，A希望和B進(jìn)行通信

一個(gè)用KDC進(jìn)行用戶認(rèn)證協(xié)議tcpip協(xié)議浙江工業(yè)大學(xué)第31頁使用公開密鑰算法用戶認(rèn)證協(xié)議

使用公開密鑰進(jìn)行用戶認(rèn)證tcpip協(xié)議浙江工業(yè)大學(xué)第32頁數(shù)字署名tcpip協(xié)議浙江工業(yè)大學(xué)第33頁數(shù)字署名概念一個(gè)能夠替換手跡署名系統(tǒng)必須滿足以下三個(gè)條件：①接收方經(jīng)過文件中署名能認(rèn)證發(fā)送方身份；②發(fā)送方以后不能否定發(fā)送過署名文件；③接收方不可能偽造文件內(nèi)容。tcpip協(xié)議浙江工業(yè)大學(xué)第34頁使用秘密密鑰算法數(shù)字署名這種方式需要一個(gè)能夠信賴中央權(quán)威機(jī)構(gòu)（Centra1Authority，以下簡稱CA）參加，每個(gè)用戶事先選擇好一個(gè)與CA共享秘密密鑰并親自交到CA，以確保只有用戶和CA知道這個(gè)密鑰。除此以外，CA還有一個(gè)對(duì)全部用戶都保密秘密密鑰KCA。tcpip協(xié)議浙江工業(yè)大學(xué)第35頁使用秘密密鑰算法數(shù)字署名當(dāng)A想向B發(fā)送一個(gè)署名報(bào)文P時(shí)，它向CA發(fā)出KA（B，RA，t，P），其中RA為報(bào)文隨機(jī)編號(hào)，t為時(shí)間戳；CA將其解密后，重新組織成一個(gè)新密文KB（A，RA，t，P，KCA（A，t，P））發(fā)給B，因?yàn)橹挥蠧A知道密鑰KCA，所以其它任何人都無法產(chǎn)生和解開密文KCA（A，t，P）；B用密鑰KB解開密文后，首先將KCA（A，t，P）放在一個(gè)安全地方，然后閱讀和執(zhí)行P。tcpip協(xié)議浙江工業(yè)大學(xué)第36頁驗(yàn)證當(dāng)過后A試圖否定給B發(fā)過報(bào)文P時(shí)，B能夠出示KCA（A，t，P）來證實(shí)A確實(shí)發(fā)過P，因?yàn)锽自己無法偽造出KCA（A，t，P），它是由CA發(fā)來，而CA是能夠信賴，假如A沒有給CA發(fā)過P，CA就不會(huì)將P發(fā)給B，這只要用KCA對(duì)KCA（A，t，P）進(jìn)行解密，一切就可真相大白。為了防止重復(fù)攻擊，協(xié)議中使用了隨機(jī)報(bào)文編號(hào)RA和時(shí)間戳t。B能記住最近收到全部報(bào)文編號(hào)，假如RA和其中某個(gè)編號(hào)相同，則P就被當(dāng)成是一個(gè)復(fù)制品而丟棄，另外B也依據(jù)時(shí)間戳t丟棄舊報(bào)文，以預(yù)防攻擊者經(jīng)過很長一段時(shí)間后，再用舊報(bào)文來重復(fù)攻擊。tcpip協(xié)議浙江工業(yè)大學(xué)第37頁加密技術(shù)應(yīng)用案例tcpip協(xié)議浙江工業(yè)大學(xué)第38頁防火墻tcpip協(xié)議浙江工業(yè)大學(xué)第39頁防火墻技術(shù)防火墻（Firewall）是在兩個(gè)網(wǎng)絡(luò)之間執(zhí)行訪問控制策略硬件或軟件系統(tǒng)，目標(biāo)是保護(hù)網(wǎng)絡(luò)不被他人侵?jǐn)_。本質(zhì)上，它遵照是一個(gè)數(shù)據(jù)進(jìn)行過濾網(wǎng)絡(luò)通信安全機(jī)制，只允許授權(quán)通信，而禁止非授權(quán)通信。通常，防火墻就是位于內(nèi)部網(wǎng)或Web站點(diǎn)與因特網(wǎng)之間一臺(tái)路由器或計(jì)算機(jī)。tcpip協(xié)議浙江工業(yè)大學(xué)第40頁通常，布署防火墻理由包含：預(yù)防入侵者干擾內(nèi)部網(wǎng)絡(luò)正常運(yùn)行；預(yù)防入侵者刪除或修改存放再內(nèi)部網(wǎng)絡(luò)中信息；預(yù)防入侵者偷竊內(nèi)部秘密信息。防火墻應(yīng)該有以下功效：全部進(jìn)出網(wǎng)絡(luò)通信流都應(yīng)該經(jīng)過防火墻。全部穿過防火墻通信流都必須有安全策略和計(jì)劃確實(shí)認(rèn)和授權(quán)。理論上說，防火墻是穿不透。tcpip協(xié)議浙江工業(yè)大學(xué)第41頁內(nèi)部網(wǎng)需要防范三種攻擊

間諜、試圖偷走敏感信息黑客、入侵者和闖進(jìn)者。偷竊，偷竊對(duì)象包含數(shù)據(jù)、Web表格、磁盤空間和CPU資源等。破壞系統(tǒng)：經(jīng)過路由器或主機(jī)／服務(wù)器蓄意破壞文件系統(tǒng)或阻止授權(quán)用戶訪問內(nèi)部網(wǎng)（外部網(wǎng)）和服務(wù)器。tcpip協(xié)議浙江工業(yè)大學(xué)第42頁防火墻在因特網(wǎng)與內(nèi)部網(wǎng)中位置

tcpip協(xié)議浙江工業(yè)大學(xué)第43頁

防火墻類型

1）從軟、硬件形式上分為：軟件防火墻和硬件防火墻以及芯片級(jí)防火墻。2）從防火墻技術(shù)分為：“包過濾型”、“狀態(tài)檢測型”和“應(yīng)用代理型”三大類。3）從防火墻結(jié)構(gòu)分為：單一主機(jī)防火墻、路由器集成式防火墻和分布式防火墻三種。4）按防火墻應(yīng)用布署位置分為：邊界防火墻、個(gè)人防火墻和混合防火墻三大類。5）按防火墻性能分為：百兆級(jí)防火墻和千兆級(jí)防火墻兩類。tcpip協(xié)議浙江工業(yè)大學(xué)第44頁包（分組）過濾型防火墻

包過濾（PacketFiltering）是防火墻最基本實(shí)現(xiàn)形式，它控制哪些數(shù)據(jù)包能夠進(jìn)出網(wǎng)絡(luò)而哪些數(shù)據(jù)包應(yīng)被網(wǎng)絡(luò)拒絕。包過濾防火墻通常是放置在因特網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間一個(gè)具備包過濾功效簡單路由器，這是因?yàn)榘^濾是路由器固有屬性。tcpip協(xié)議浙江工業(yè)大學(xué)第45頁包過濾可依據(jù)以下三類條件允許或阻止數(shù)據(jù)包經(jīng)過路由器：包源地址及源端口；包目標(biāo)地址及目標(biāo)端口；包傳送協(xié)議，如FTP、SMTP、rlogin等。tcpip協(xié)議浙江工業(yè)大學(xué)第46頁包過濾優(yōu)點(diǎn)簡單、易于實(shí)現(xiàn)、對(duì)用戶透明、路由器無償提供此功效。僅用一個(gè)放置在內(nèi)部網(wǎng)與因特網(wǎng)邊界上包過濾路由器就可保護(hù)整個(gè)內(nèi)部網(wǎng)絡(luò)。tcpip協(xié)議浙江工業(yè)大學(xué)第47頁包過濾缺點(diǎn)編制邏輯上嚴(yán)密無漏洞包過濾規(guī)則比較困難，對(duì)編制好規(guī)則進(jìn)行測試維護(hù)也較麻煩。維護(hù)復(fù)雜包過濾規(guī)則也是一件很麻煩事情包過濾規(guī)則判別會(huì)降低路由器轉(zhuǎn)發(fā)速度對(duì)包中應(yīng)用數(shù)據(jù)無法過濾它總是假定包頭部信息是正當(dāng)有效。以上這些缺點(diǎn)使得包過濾技術(shù)通常不單獨(dú)使用，而是作為其它安全技術(shù)一個(gè)補(bǔ)充。tcpip協(xié)議浙江工業(yè)大學(xué)第48頁包過濾規(guī)則在配置包過濾路由器時(shí)，首先要確定哪些服務(wù)允許經(jīng)過而哪些服務(wù)應(yīng)被拒絕，并將這些要求翻譯成相關(guān)包過濾規(guī)則（在路由器中，包過濾規(guī)則又被稱為訪問控制表（AccessList））。tcpip協(xié)議浙江工業(yè)大學(xué)第49頁包過濾處理流程

tcpip協(xié)議浙江工業(yè)大學(xué)第50頁包過濾規(guī)則設(shè)計(jì)示例假設(shè)網(wǎng)絡(luò)策略安全規(guī)則確定：從外部主機(jī)發(fā)來因特網(wǎng)郵件由特定網(wǎng)關(guān)“Mail-GW”接收，而且要拒絕從不信任主機(jī)“CREE-PHOST”發(fā)來數(shù)據(jù)流。在這個(gè)例子中，SMTP使用網(wǎng)絡(luò)安全策略必須翻譯成包過濾規(guī)則。為便于了解，把網(wǎng)絡(luò)安全規(guī)則翻譯成以下漢字形式：[過濾器規(guī)則1]：不相信從CREE-PHOST來連接。[過濾器規(guī)則2]：允許與郵件網(wǎng)關(guān)Mail-GW連接。tcpip協(xié)議浙江工業(yè)大學(xué)第51頁以上規(guī)則被編成以下表形式。其中星號(hào)（*）表明它能夠匹配該列任何值。這些規(guī)則應(yīng)用次序與它們?cè)诒碇写涡蛳嗤?。假如一個(gè)包不與任何規(guī)則匹配，它就會(huì)遭到拒絕。序號(hào)動(dòng)作內(nèi)部主機(jī)內(nèi)外部主機(jī)外說明1阻塞**Cree-phost*阻塞來自Cree-phost流量2允許Mail-GW25**允許郵件網(wǎng)關(guān)Mail-GW連接3允許***25允許輸出SMTP至遠(yuǎn)程郵件網(wǎng)關(guān)tcpip協(xié)議浙江工業(yè)大學(xué)第52頁狀態(tài)監(jiān)測型防火墻

采取動(dòng)態(tài)設(shè)置包過濾規(guī)則方法，防止了靜態(tài)包過濾所含有問題。采取這種技術(shù)防火墻對(duì)經(jīng)過其建立每一個(gè)連接都進(jìn)行跟蹤，而且依據(jù)需要可動(dòng)態(tài)地在過濾規(guī)則中增加或更新條目。tcpip協(xié)議浙江工業(yè)大學(xué)第53頁應(yīng)用代理型防火墻

應(yīng)用代理型防火墻是工作在OSI最高層，即應(yīng)用層。其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流，經(jīng)過對(duì)每種應(yīng)用服務(wù)編制專門代理程序，實(shí)現(xiàn)監(jiān)視和控制應(yīng)用層通信流作用。代理服務(wù)就是指定一臺(tái)有訪問因特網(wǎng)能力主機(jī)作為網(wǎng)絡(luò)中客戶端代理去與因特網(wǎng)中主機(jī)進(jìn)行通信。

tcpip協(xié)議浙江工業(yè)大學(xué)第54頁安全問題來自何方？tcpip協(xié)議浙江工業(yè)大學(xué)第55頁黑客入侵國家利益、商業(yè)利益、個(gè)人謀利內(nèi)部攻擊病毒侵入秘密信息泄露硬件和軟件后門安全威脅tcpip協(xié)議浙江工業(yè)大學(xué)第56頁黑客概念英文：Hacker、Intruder(入侵者)、Cracker(破壞者)簡單了解：是資料竊取者或信息系統(tǒng)入侵者原意：熟悉某種電腦系統(tǒng)，并含有極高技術(shù)能力，長時(shí)間將心力投注在信息系統(tǒng)研發(fā)，而且樂此不疲人。當(dāng)前共識(shí)：在信息/網(wǎng)絡(luò)世界中，仰仗著自己技術(shù)能力，咨意非法進(jìn)出他人信息系統(tǒng)，視法律與社會(huì)規(guī)范于不顧角色。tcpip協(xié)議浙江工業(yè)大學(xué)第57頁誰是黑客業(yè)余電腦興趣者。多半是對(duì)網(wǎng)絡(luò)技術(shù)有興趣學(xué)生，可能是信息技術(shù)相關(guān)行業(yè)從業(yè)人員。職業(yè)入侵者。這些人把入侵當(dāng)成事業(yè)，認(rèn)真系統(tǒng)地整理全部可能發(fā)生系統(tǒng)弱點(diǎn)，熟悉各種信息安全攻防工具。電腦高手?？赡苁翘觳艑W(xué)生，也可能是熟練電腦工程師，他們對(duì)網(wǎng)絡(luò)、操作系統(tǒng)運(yùn)作了若指掌。Hacker級(jí)Cracker?？赡苣闼褂貌僮飨到y(tǒng)就是出自他設(shè)計(jì)，可能你使用系統(tǒng)安全工具就是他開發(fā)。tcpip協(xié)議浙江工業(yè)大學(xué)第58頁黑客目標(biāo)信息戰(zhàn)-國家利益商業(yè)對(duì)手-竊取機(jī)密資料個(gè)人謀利-盜用他人錢財(cái)好奇心與成就感盜用系統(tǒng)資源tcpip協(xié)議浙江工業(yè)大學(xué)第59頁危害實(shí)例詆毀政府-企業(yè)形象商業(yè)機(jī)密泄露電子坑騙抵賴破壞主機(jī)聯(lián)邦調(diào)查局主頁被修改當(dāng)當(dāng)書店遭遇黑客入侵破壞,狀告8848網(wǎng)站BillGates信用卡在利用電子商務(wù)登記會(huì)員時(shí)被盜用

Love病毒當(dāng)日感染用戶40萬，

全球損失$100million

危害tcpip協(xié)議浙江工業(yè)大學(xué)第60頁內(nèi)部攻擊計(jì)算機(jī)犯罪、黑客攻擊等非法攻擊行為70%來自于內(nèi)部網(wǎng)絡(luò);內(nèi)部攻擊頻發(fā)原因：①局域網(wǎng)是黑客和計(jì)算機(jī)迷學(xué)習(xí)練習(xí)最好場所；②被害單位財(cái)富和信息過于集中而又疏于內(nèi)部管理；③個(gè)別品質(zhì)低下內(nèi)部人員對(duì)本單位信息環(huán)境熟悉又加劇了其作案和被外部人勾結(jié)引誘可能性；④管理者信息安全意識(shí)不強(qiáng)，缺乏對(duì)職員信息安全教育；內(nèi)部攻擊主要伎倆有：冒名頂替、修改網(wǎng)卡內(nèi)碼、使用黑客工具等。tcpip協(xié)議浙江工業(yè)大學(xué)第61頁病毒感染：計(jì)算機(jī)病毒定義計(jì)算機(jī)病毒，是指編制或者在計(jì)算機(jī)程序中插入破壞計(jì)算機(jī)功效或者數(shù)據(jù)，影響計(jì)算機(jī)使用，并能自我復(fù)制一組計(jì)算機(jī)指令或者程序代碼。摘自《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》第28條tcpip協(xié)議浙江工業(yè)大學(xué)第62頁病毒感染：經(jīng)典現(xiàn)象Word、Excel文件打不開；主要文件被破壞或丟失；打開郵件后，系統(tǒng)死機(jī)；計(jì)算機(jī)莫迷奇妙奏起音樂；計(jì)算機(jī)分區(qū)丟失；內(nèi)存不足、速度越來越慢；……tcpip協(xié)議浙江工業(yè)大學(xué)第63頁病毒感染：感染現(xiàn)象舉例WIN95.HPS病毒發(fā)作現(xiàn)象tcpip協(xié)議浙江工業(yè)大學(xué)第64頁病毒感染：感染現(xiàn)象舉例現(xiàn)在BO黑客工具只要你在網(wǎng)上，你機(jī)器內(nèi)部主要文件隨時(shí)有可能被其它懷有不良企圖人所竊取。WIN95.Murburg病毒發(fā)作現(xiàn)象tcpip協(xié)議浙江工業(yè)大學(xué)第65頁病毒感染：傳輸過程示意病毒1創(chuàng)造2感染3傳輸4發(fā)病5發(fā)覺6處理方法7滅絕tcpip協(xié)議浙江工業(yè)大學(xué)第66頁秘密信息泄露各類電磁輻射：顯示設(shè)備、通信線路等；涉密設(shè)備或網(wǎng)絡(luò)連入因特網(wǎng)；存放介質(zhì)和設(shè)備硬件；設(shè)備和軟件漏洞…tcpip協(xié)議浙江工業(yè)大學(xué)第67頁硬件和軟件后門國內(nèi)流行操作系統(tǒng)：例Win98計(jì)算機(jī)主要集成電路芯片：例PIIICPU一些國外進(jìn)口應(yīng)用軟件；主要網(wǎng)絡(luò)互連設(shè)備，如路由器…tcpip協(xié)議浙江工業(yè)大學(xué)第68頁隱患成因難以控制知識(shí)產(chǎn)權(quán)；如路由器、OS、集成電路高端網(wǎng)絡(luò)安全產(chǎn)品國外廠商一統(tǒng)天下：如防火墻信息安全意識(shí)淡薄，疏于防范；信息社會(huì)職業(yè)道德教育內(nèi)容和體系不健全；對(duì)信息安全技術(shù)研究缺乏和浮躁……FastSwitcHub-8mi30+201051100MTx/RxFullDuplexSelect/LinkPWRCollisionStatusUtil%Forward%Filter%DemoDiagFull/HalfConfig1234567890+705035201051LinkRate%SNMP1X2X3X4X5X6X7X8MDI-X-or-8MDI10M/100Mtcpip協(xié)議浙江工業(yè)大學(xué)第69頁迫切要處理問題—認(rèn)證XIP數(shù)據(jù)包IP數(shù)據(jù)包IP數(shù)據(jù)包IP數(shù)據(jù)包IP數(shù)據(jù)包IP數(shù)據(jù)包是誰在網(wǎng)絡(luò)

另一端？InternetIP數(shù)據(jù)包tcpip協(xié)議浙江工業(yè)大學(xué)第70頁關(guān)于安全處理方案tcpip協(xié)議浙江工業(yè)大學(xué)第71頁網(wǎng)絡(luò)安全基本要求通信保密性要求通信雙方通信內(nèi)容是保密。這首先要求通信內(nèi)容不能被第三方所竊?。灰惨笕f一被他人竊取后，也不能得到信息詳細(xì)內(nèi)容。tcpip協(xié)議浙江工業(yè)大學(xué)第72頁網(wǎng)絡(luò)安全基本要求數(shù)據(jù)完整性要確保接收到信息是完整。這不是指收到信息是不是有完整意義，而是說在傳輸過程中數(shù)據(jù)沒有被修改。要求接收到信息或數(shù)據(jù)和發(fā)送方所發(fā)出信息是完全一致。假如發(fā)出信息是“請(qǐng)付給甲100元”，收到信息是“請(qǐng)付給甲10000元”，數(shù)據(jù)完整性就被破壞了。tcpip協(xié)議浙江工業(yè)大學(xué)第73頁網(wǎng)絡(luò)安全基本要求身份確實(shí)認(rèn)性在網(wǎng)絡(luò)通信中怎樣確定通信者身份也是一個(gè)主要問題。打電話能夠從語音識(shí)別身份，寫信能夠從字跡識(shí)別身份，網(wǎng)絡(luò)通信中怎樣識(shí)別身份？(生理特征？持有物？)

假如收到總經(jīng)理郵件：“請(qǐng)付給乙方10000元”。怎樣確認(rèn)此信一定是總經(jīng)剪發(fā)來？tcpip協(xié)議浙江工業(yè)大學(xué)第74頁網(wǎng)絡(luò)安全基本要求通信不可抵賴性網(wǎng)絡(luò)通信全部是電子形式文檔。收到信息經(jīng)打印機(jī)打印出來后和普通文檔沒有什么不一樣。甲給乙一份郵件，“請(qǐng)發(fā)貨100件”。等乙發(fā)完貨向甲收款時(shí)，甲說我沒有要你發(fā)貨。有什么方法使甲不能抵賴所發(fā)信息？tcpip協(xié)議浙江工業(yè)大學(xué)第75頁安全對(duì)策對(duì)網(wǎng)站攻擊修改主頁，拒絕服務(wù)商業(yè)機(jī)密泄露電子坑騙破壞主機(jī)系統(tǒng)竊取信息防火墻產(chǎn)品入侵檢測產(chǎn)品

數(shù)據(jù)加密VPNPKI認(rèn)證機(jī)構(gòu)CA安全支付網(wǎng)關(guān)電子商務(wù)安全軟件網(wǎng)絡(luò)防病毒網(wǎng)關(guān)tcpip協(xié)議浙江工業(yè)大學(xué)第76頁安全對(duì)策系統(tǒng)后門政府-企業(yè)上網(wǎng)單機(jī)上網(wǎng)產(chǎn)品內(nèi)外網(wǎng)安全隔離卡安全主機(jī)防火墻安全路由器安全服務(wù)器Linux方案tcpip協(xié)議浙江工業(yè)大學(xué)第77頁屏蔽與干擾從信號(hào)源上防護(hù)防幅射（主機(jī)、顯示器）通信線路輸入與輸出設(shè)備tcpip協(xié)議浙江工業(yè)大學(xué)第78頁防病毒產(chǎn)品可查出各類文件形式中病毒擁有很好啟發(fā)式掃描技術(shù)經(jīng)過安全認(rèn)證安裝前先對(duì)系統(tǒng)進(jìn)行查毒良好去除病毒能力快速查毒速度實(shí)時(shí)監(jiān)控功效完善升級(jí)設(shè)計(jì)tcpip協(xié)議浙江工業(yè)大學(xué)第79頁加密傳輸密鑰技術(shù)加密設(shè)備

網(wǎng)絡(luò)層、鏈路層加密機(jī)身份認(rèn)證tcpip協(xié)議浙江工業(yè)大學(xué)第80頁訪問控制物理隔離設(shè)備硬盤隔離卡、網(wǎng)閘訪問控制權(quán)設(shè)置防火墻tcpip協(xié)議浙江工業(yè)大學(xué)第81頁在不安全網(wǎng)絡(luò)環(huán)境中結(jié)構(gòu)一個(gè)相對(duì)安全子網(wǎng)環(huán)境路由器客戶端國際互聯(lián)網(wǎng)FTP/HTTP代理服務(wù)器應(yīng)用服務(wù)器SMTP服務(wù)器FTP服務(wù)器防火墻防火墻tcpip協(xié)議浙江工業(yè)大學(xué)第82頁安全檢測和監(jiān)控漏洞掃描

OS漏洞、應(yīng)用服務(wù)漏洞、木馬偵測網(wǎng)絡(luò)配置漏洞、口令漏洞等在線入侵檢測系統(tǒng)IDStcpip協(xié)議浙江工業(yè)大學(xué)第83頁備份數(shù)據(jù)備份設(shè)備備份電源異地備份冗災(zāi)管理人員備份tcpip協(xié)議浙江工業(yè)大學(xué)第84頁當(dāng)前有效路徑IP數(shù)據(jù)包IP數(shù)據(jù)包IP數(shù)據(jù)包IP數(shù)據(jù)包IP數(shù)據(jù)包IP數(shù)據(jù)包是誰讀到了我信？internetIP數(shù)據(jù)包——加密我截獲了無數(shù)個(gè)passwordtcpip協(xié)議浙江工業(yè)大學(xué)第85頁網(wǎng)絡(luò)攻擊tcpip協(xié)議浙江工業(yè)大學(xué)第86頁攻防技術(shù)發(fā)展背景信息技術(shù)迅猛發(fā)展，是黑客產(chǎn)生基礎(chǔ)

---個(gè)人計(jì)算機(jī)性能提升

---應(yīng)用軟件，應(yīng)用水平提升

---互聯(lián)網(wǎng)成為人們從事各項(xiàng)活動(dòng)主要舞臺(tái)互聯(lián)網(wǎng)缺乏安全控制機(jī)制，

是黑客存在條件

---互聯(lián)網(wǎng)不為某個(gè)政府或組織所控制

---最初考慮主要是網(wǎng)絡(luò)連接，而不是網(wǎng)絡(luò)安全

---互聯(lián)網(wǎng)缺乏必要安全控制機(jī)制互聯(lián)網(wǎng)資源為黑客滋生提供了技術(shù)條件

---互聯(lián)網(wǎng)上很輕易查找到黑客網(wǎng)址。

---無償下載各種黑客軟件，網(wǎng)上閱讀及交流

tcpip協(xié)議浙江工業(yè)大學(xué)第87頁當(dāng)代攻擊者特點(diǎn)技術(shù)化

---掌握網(wǎng)絡(luò)技術(shù)進(jìn)行網(wǎng)絡(luò)攻擊前提

---一些黑客甚至是“高手”年輕化

---1998年7年江西省169信息網(wǎng)全線癱瘓，嫌疑人僅19歲

---ISS創(chuàng)始人16歲便攻入聯(lián)邦調(diào)查局網(wǎng)絡(luò)社會(huì)化

---來自于各個(gè)層次、來自于不一樣年紀(jì)段

---動(dòng)機(jī)各自不一樣地點(diǎn)復(fù)雜化

---上網(wǎng)路徑復(fù)雜化、可能是世界上任何一個(gè)地方

---追查攻擊起源十分困難

tcpip協(xié)議浙江工業(yè)大學(xué)第88頁網(wǎng)絡(luò)攻擊防范

提升網(wǎng)絡(luò)安全意識(shí)

---采取必要防范辦法

依法強(qiáng)化管理

---健全完善發(fā)規(guī)，強(qiáng)化網(wǎng)絡(luò)管理

加強(qiáng)網(wǎng)絡(luò)出口管理

---網(wǎng)絡(luò)邊界采取必要訪問控制機(jī)制防火墻

---完善加密，身份認(rèn)證體制

開發(fā)先進(jìn)網(wǎng)絡(luò)安全產(chǎn)品

---不依靠進(jìn)口產(chǎn)品

---大力開發(fā)自主知識(shí)版權(quán)信息安全產(chǎn)品

加強(qiáng)國際合作tcpip協(xié)議浙江工業(yè)大學(xué)第89頁經(jīng)典網(wǎng)絡(luò)攻擊

拒絕服務(wù)攻擊

IP炸彈、郵件炸彈

惡意程序碼

病毒(Virus)和后門程序(Backdoor)

BO(BackOrifice)攻擊

網(wǎng)絡(luò)監(jiān)聽

網(wǎng)絡(luò)信息包監(jiān)聽、電腦系統(tǒng)監(jiān)聽

密碼破解tcpip協(xié)議浙江工業(yè)大學(xué)第90頁網(wǎng)絡(luò)中常見攻擊特洛伊木馬（Trojanhorse）

一個(gè)執(zhí)行超出程序定義之外程序。如一個(gè)編譯程序除了執(zhí)行編譯任務(wù)以外，還把用戶源程序偷偷地copy下來，這種編譯程序就是一個(gè)特洛伊木馬。tcpip協(xié)議浙江工業(yè)大學(xué)第91頁網(wǎng)絡(luò)中常見攻擊

邏輯炸彈（logicbomb）一個(gè)當(dāng)運(yùn)行環(huán)境滿足某種特定條件時(shí)執(zhí)行其它特殊功效程序。如CIH，每當(dāng)系統(tǒng)時(shí)間為26日時(shí)候，便在BIOS中寫入一大堆垃圾信息，造成系統(tǒng)癱瘓。邏輯炸彈是計(jì)算機(jī)病毒一個(gè)。計(jì)算機(jī)病毒（computervirus），一個(gè)會(huì)“傳染”和起破壞作用程序。tcpip協(xié)議浙江工業(yè)大學(xué)第92頁網(wǎng)絡(luò)中常見攻擊主機(jī)坑騙黑客能夠發(fā)送虛假路由信息到他想進(jìn)行坑騙一臺(tái)主機(jī)，如主機(jī)A。這種假冒信息也將發(fā)送到目標(biāo)主機(jī)A路徑上全部網(wǎng)關(guān)。主機(jī)A和這些網(wǎng)關(guān)收到虛假路由信息經(jīng)常表示到網(wǎng)絡(luò)上一臺(tái)不工作或沒有使用主機(jī)，如主機(jī)B。這么，任何要發(fā)送到主機(jī)B信息都會(huì)轉(zhuǎn)送到黑客計(jì)算機(jī)，而主機(jī)A和網(wǎng)關(guān)還認(rèn)為信息是流向了主機(jī)B。一旦黑客成功地將他或她計(jì)算機(jī)取代了網(wǎng)絡(luò)上一臺(tái)實(shí)際主機(jī)，就實(shí)現(xiàn)了主機(jī)坑騙。tcpip協(xié)議浙江工業(yè)大學(xué)第93頁網(wǎng)絡(luò)中常見攻擊Java和ActiveX攻擊黑客會(huì)將“特洛伊木馬”程序插入到Java對(duì)象庫。當(dāng)一個(gè)用戶瀏覽器下載Java對(duì)象庫時(shí)，隱藏“特洛伊木馬”程序就會(huì)和類庫一起進(jìn)入用戶系統(tǒng)并伺機(jī)發(fā)作。當(dāng)某種鍵入組合或鼠標(biāo)點(diǎn)擊組合發(fā)生時(shí)，“特洛伊木馬”程序就會(huì)發(fā)作和起作用。一旦“特洛伊木馬”竊取了用戶口令并將他傳送到黑客所在機(jī)器tcpip

溫馨提示

  • 1. 本站所有資源如無特殊說明，都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等，如果需要附件，請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙，網(wǎng)頁內(nèi)容里面會(huì)有圖紙預(yù)覽，若沒有圖紙預(yù)覽就沒有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網(wǎng)僅提供信息存儲(chǔ)空間，僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理，對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯，并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
  • 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容，請(qǐng)與我們聯(lián)系，我們立即糾正。
  • 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。

最新文檔

評(píng)論

0/150

提交評(píng)論