計算機網(wǎng)絡(luò)管理技術(shù)第章網(wǎng)絡(luò)安全管理

總目錄6.2網(wǎng)絡(luò)安全6.3系統(tǒng)攻擊手段及防范措施6.4網(wǎng)絡(luò)操作系統(tǒng)安全管理6.5Internet安全管理第6章網(wǎng)絡(luò)安全管理6.6網(wǎng)絡(luò)安全綜合管理技術(shù)6.1信息安全管理技術(shù)總目錄6.1信息安全管理6.1.1信息安全管理策略1.信息安全管理策略概述信息安全管理策略也稱信息安全方針，是組織對信息和信息處理設(shè)施進行管理、保護和分配的準(zhǔn)則和規(guī)劃，以及使信息系統(tǒng)免遭入侵和破壞而必須采取的措施。它告訴組織成員在日常的工作中什么是必須做的，什么是可以做的，什么是不可以做的；哪里是安全區(qū)，哪里是敏感區(qū)，就像交通規(guī)則之于車輛和行人一樣，信息安全策略是有關(guān)信息安全方面的行為規(guī)范。一個成功的安全策略應(yīng)當(dāng)綜合以下幾個因素：綜合平衡（綜合考慮需求、風(fēng)險、代價等諸多因素）。整體優(yōu)化（利用系統(tǒng)工程思想，使系統(tǒng)總體性能最優(yōu)）。易于操作和確保可靠?？偰夸?.制定信息安全策略的原則目的性。策略是為組織完成自己的信息安全使命而制定的，策略應(yīng)該反映組織的整體利益和可持續(xù)發(fā)展的要求。適用性。策略應(yīng)該反映組織的真實環(huán)境，反映當(dāng)前信息安全的發(fā)展水平?？尚行?。策略應(yīng)該具有切實可行性，其目標(biāo)應(yīng)該可以實現(xiàn)，并容易測量和審核。沒有可行性的策略不僅浪費時間還會引起策略混亂。經(jīng)濟性。策略應(yīng)該經(jīng)濟合理，過分復(fù)雜和草率都是不可取的。完整性。能夠反映組織的所有業(yè)務(wù)流程的安全需要。一致性。策略的一致性包括下面三個層次：①與國家、地方的法律法規(guī)保持一致；②與組織己有的策略、方針保持一致；③與整體安全策略保持一致，要反映企業(yè)對信息安全的一般看法，保證用戶不把該策略看成是不合理的，甚至是針對某個人的。彈性。策略不僅要滿足當(dāng)前的組織要求，還要滿足組織和環(huán)境在未來一段時間內(nèi)發(fā)展的要求?？偰夸?.信息安全策略的主要內(nèi)容(1)適用范圍：包括人員范圍和時效性，例如“本規(guī)定適用于所有員工”，“適用于工作時間和非工作時間”。不僅要消除本該受到約束的員工有認(rèn)為自己是個例外的想法，也保證策略不至于被誤解是針對某個員工的；同時也告訴員工本規(guī)定在什么時間發(fā)揮效力。(2)目標(biāo)：明確了信息安全保護對公司是有著重要意義的，而且與國家的法律法規(guī)是一致的。主題明確的策略可能會有更加確切、詳細(xì)的目標(biāo)。(3)策略主題：通常一個組織可能會考慮開發(fā)下列主題的信息安全管理策略：①設(shè)備和及其環(huán)境的安全。②信息的分級和人員責(zé)任。③安全事故的報告與響應(yīng)。④第三方訪問的安全性。⑤外圍處理系統(tǒng)的安全。⑥計算機和網(wǎng)絡(luò)的訪問控制和審核。⑦遠程工作的安全。⑧加密技術(shù)控制。⑨備份、災(zāi)難恢復(fù)和可持續(xù)發(fā)展的要求?？偰夸?4)策略簽署：信息安全管理策略是強制性的、懲罰性的，策略的執(zhí)行需要來自管理層的支持，通常是信息安全主管或總經(jīng)理簽署信息安全管理策略。簽署人的管理地位不能太低；否則會有執(zhí)行的難度，如果遭到某高層主管的抵制常會導(dǎo)致策略失敗，高層主管的簽署也表明信息安全不單單是信息安全部門的事情，還是與整個組織所有成員都是密切相關(guān)的。(5)策略的生效時間和有效期：舊策略的更新和過時策略的廢除也是很重要的，應(yīng)該保持生效的策略中包含新的安全要求。(6)重新評審策略的時機：策略除了常規(guī)的評審時機，在下列情況下也需要重新評審：①企業(yè)管理體系發(fā)生很大變化。②相關(guān)的法律法規(guī)發(fā)生了變化。③企業(yè)信息系統(tǒng)或者信息技術(shù)發(fā)生了大的變化。④企業(yè)發(fā)生了重大的信息安全事故。(7)與其他相關(guān)策略的引用關(guān)系：因為多種策略可能相互關(guān)聯(lián)，引用關(guān)系可以描述策略的層次結(jié)構(gòu)，而且在策略修改時候也經(jīng)常涉及其他相關(guān)策略的調(diào)整，清楚的引用關(guān)系可以節(jié)省查找的時間。(8)策略解釋：由于工作環(huán)境、知識背景等原因的不同，可能導(dǎo)致員工在理解策略時出現(xiàn)誤解、歧義的情況。因此，應(yīng)建立一個專門的權(quán)威的解釋機構(gòu)或指定專門的解釋人員來進行策略的解釋。(9)例外情況的處理：策略不可能做到面面俱到，在策略中應(yīng)提供特殊情況下的安全通道?？偰夸?．信息安全的具體實施技術(shù)信息安全的主要內(nèi)容有信息的加密與解密技術(shù)、消息摘要技術(shù)、數(shù)字簽名與身份認(rèn)證技術(shù)、密鑰管理技術(shù)。隨著現(xiàn)代電子技術(shù)、計算機技術(shù)及網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展，單一的加密技術(shù)在現(xiàn)代信息安全領(lǐng)域中已顯得蒼白無力，必須使用多種加密技術(shù)進行綜合利用，才能達到信息安全的目的。(1)信息加密與密鑰管理：通常使用對稱加密技術(shù)對信息進行加密，而采用公開密鑰加密技術(shù)對其密鑰進行加密后再傳輸。密鑰管理主要內(nèi)容有密鑰的產(chǎn)生、存儲、更新及銷毀的算法和協(xié)議。(2)數(shù)據(jù)完整性檢驗：使用消息摘要算法對消息進行計算得到“消息摘要”，再用公開密鑰加密技術(shù)對其“消息摘要”進行加密后再進行傳輸。(3)數(shù)字簽名與身份認(rèn)證：使用公開密鑰加密技術(shù)進行數(shù)字簽名，使用密碼學(xué)理論與密鑰分配中心KDC參與的策略進行身份認(rèn)證。(4)授權(quán)與訪問控制：授權(quán)側(cè)重于強調(diào)用戶擁有什么樣的訪問權(quán)限，這種訪問權(quán)限是系統(tǒng)預(yù)先設(shè)定的，并不關(guān)心用戶是否發(fā)生訪問請求；訪問控制是對用戶訪問行為進行控制，它將用戶的訪問行為控制在授權(quán)允許范圍之內(nèi)。授權(quán)與訪問控制策略主要有授權(quán)策略、訪問控制模型、大規(guī)模系統(tǒng)的快速訪問控制算法等。(5)審計追蹤技術(shù)：審計和追蹤是兩個密切相關(guān)的概念，審計是對用戶行為進行記錄、分析和審查，以確認(rèn)操作的歷史行為；追蹤則有追查的意思，通過審計結(jié)果追查用戶的全部行為?？偰夸?.1.2古典密碼加密體制古典密碼加密體制又叫經(jīng)典密碼加密體制，主要采用手工或機械操作實現(xiàn)加/解密。經(jīng)典密碼大體上可分為三類：單表代換密碼、多表代換密碼和多字母代換密碼。1.單表代換密碼將字母a，b，c，d，…，w，x，y，z的自然順序保持不變，但使之與d，e，f，g，…，z，a，b，c分別對應(yīng)(即將字母表中的每個字母用其后的第三個字母進行循環(huán)替換)。例：設(shè)明文為student，則對應(yīng)的密文為vwxghqw(此時密鑰為3)。這就是著名的凱撒(Kaesar)密碼，也稱為移位代換密碼。總目錄總目錄總目錄總目錄總目錄2.流密碼流密碼的基本本思想是,利利用密鑰k產(chǎn)產(chǎn)生一個密鑰鑰流z=z0z1...，并使用如如下規(guī)則加密密明文串x=x0x1x2...，，加密結(jié)果是是y=y0y1y2…=ez0(x0)ez1(x1)ez2(x2)…。密鑰鑰流由密鑰流流發(fā)生器f產(chǎn)產(chǎn)生：zi=f(k，σσi)，這里里的σi是加加密器中的記記憶元件(存存儲器)在時時刻i的狀態(tài)態(tài)，f是由密密鑰k和σi產(chǎn)生的函數(shù)數(shù)，而σi則則是依賴于k，σ0,x0,x1，，…，xi-l的參數(shù)。。根據(jù)加密器中中記憶元件的的存儲狀態(tài)σσi是否依賴賴于輸入的明明文字符，流流密碼可進一一步分成同步步和自同步兩兩種。σi獨獨立于明文字字符的叫做同同步流密碼，，否則叫做自自同步流密碼碼。由于自同同步流密碼密密鑰流的生成成與明文有關(guān)關(guān)，因而較難難從理論上進進行分析。目目前大多數(shù)研研究成果都是是關(guān)于同步流流密碼的。在同步流密碼碼中，由于Zi=f(k，σi)與與明文字符無無關(guān)，因而密密文字符yi=ezi(Xi)也不不依賴于此前前的明文字符符。因此，可可將同步流密密碼的加密器器分成密鑰流流生成器和加加密變換器兩兩個部分。如如果與上述加加密變換對應(yīng)應(yīng)的解密變換換為xi=dzi(Xi)，則可給給出同步流密密碼的模型如如圖6-2所所示?？偰夸浛偰夸?.1.4公公開密鑰鑰加密體制公鑰密碼體制制采用了兩個個不同的密鑰鑰，這對在公公開網(wǎng)絡(luò)上進進行保密通信信、密鑰分配配、數(shù)字簽名名和認(rèn)證有著著深遠的影響響。公鑰密碼學(xué)有有三種體制：：RSA密碼碼體制、ElGamal密碼體制和和橢圓曲線密密碼體制。在在這里，我們們只介紹RSA密碼體制制。1.公鑰密碼碼體制的基本本原理(1)公開密密鑰加密算法法的特點：在公開密鑰密密碼體制中，，使用一個加加密算法E和和一個解密算算法D，E和和D是不相同同的，E是公公開的，一般般的用戶即使使知道了E，，也是無法推推導(dǎo)出D的。。公開密鑰體制制有三個特點點：D（E（P）））=P；由E來推斷D是極其困難難的；用已選定的明明文進行分析析，是不能破破譯E的。只要滿足了上上述三個條件件，則加密算算法E是可以以公開的。公公開密鑰密碼碼體制如圖6-4所示。。(2)如何用用公開密鑰進進行加、解密密現(xiàn)在考慮兩個個用戶A和B，兩者從未未聯(lián)系過，而而要想在A和和B之間建建立保密信道道。A所確定定的加密密鑰鑰為EA，B的加密密鑰鑰為EB，，并將EA和和EB放在網(wǎng)網(wǎng)上作為公共共可讀文件（（共享文件））內(nèi)?，F(xiàn)在A要發(fā)送報文文P給B，首首先算出C=EB（P）），并把他發(fā)發(fā)送給B。B收到密文C=EB（（P）后，使使用密鑰DB進行解密，，即：DB（EB（（P）=P在這里，EB是公開的而而DB是不公公開的，從而而達到保密的的目的。總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄總目錄6.2.1計計算機網(wǎng)網(wǎng)絡(luò)安全在信息息時代代，犯犯罪行行為逐逐步向向高科科技蔓蔓延并并迅速速擴散散，利利用計計算機機特別別是計計算機機網(wǎng)絡(luò)絡(luò)進行行犯罪罪的案案件越越來越越多。。因此此，計計算機機網(wǎng)絡(luò)絡(luò)的安安全越越來越越引起起世界界各國國的關(guān)關(guān)注。。隨著著計算算機在在人類類生活活各領(lǐng)領(lǐng)域中中的廣廣泛應(yīng)應(yīng)用，，計算算機病病毒也也在不不斷產(chǎn)產(chǎn)生和和傳播播，計計算機機網(wǎng)絡(luò)絡(luò)不斷斷被非非法入入侵，，重要要情報報資料料被竊竊，甚甚至由由此造造成網(wǎng)網(wǎng)絡(luò)系系統(tǒng)的的癱瘓瘓，給給各用用戶及及眾多多公司司造成成巨大大的經(jīng)經(jīng)濟損損失，，甚至至危及及到國國家和和地區(qū)區(qū)的安安全。。6.2網(wǎng)網(wǎng)絡(luò)絡(luò)安全全總目錄1.網(wǎng)網(wǎng)絡(luò)安安全問問題隨著人人們對對計算算機網(wǎng)網(wǎng)絡(luò)的的依賴賴性越越來越越大，，網(wǎng)絡(luò)絡(luò)安全全問題題也日日趨重重要。。1988年11月2日，美美國6000多臺計計算機機被病病毒感感染，，致使使Internet不能正正常運運行。。這是是一次次非常常典型型的病病毒入入侵計計算機機網(wǎng)絡(luò)絡(luò)的事事件，，在這這一事事件中中，遭遭受攻攻擊的的有5個計算算機中中心和和2個地區(qū)區(qū)節(jié)點點，連連接著著政府府、大大學(xué)、、研究究所和和擁有有政府府合同同的約約25萬臺計計算機機。這這次病病毒事事件，，計算算機系系統(tǒng)直直接經(jīng)經(jīng)濟損損失達達9600萬美元元。這這一事事件終終于使使人們們意識識到網(wǎng)網(wǎng)絡(luò)安安全問問題。。在競爭日益益激烈的今今天，人們們普遍關(guān)心心網(wǎng)絡(luò)安全全的問題主主要有7種：在國外外普遍稱為為7P問題。即：：Privacy（隱私）、、Piracy（盜版）、、Pornography（色情）、、Pricing（價格）、、Policing（政策制訂訂）、Psychological（心理學(xué)））、ProtectionoftheNetwork（網(wǎng)絡(luò)保護護）。這7個問題，可可以說是從從不同的角角度提出的的安全問題題。而重要要的則在于于如何創(chuàng)造造出一種安安全的環(huán)境境，使人們們不再擔(dān)心心上網(wǎng)有可可能蒙受巨巨大損失或或遭受攻擊擊。當(dāng)前，，最為火爆爆的網(wǎng)絡(luò)是是互聯(lián)網(wǎng)（（Internet），“信息息高速公路路”便是以以互聯(lián)網(wǎng)為為雛形。然然而，互聯(lián)聯(lián)網(wǎng)最大的的問題便是是安全問題題，因為從從它問世起起便是一個個以“無政政府”為口口號的公用用網(wǎng)絡(luò)，誰誰都可以上上去“漫游游”、沖浪浪?？偰夸?.網(wǎng)絡(luò)安安全的定義義網(wǎng)絡(luò)安全包包括網(wǎng)絡(luò)硬硬件資源和和信息資源源的安全性性。硬件資資源包括通通信線路、、網(wǎng)絡(luò)通信信設(shè)備、服服務(wù)器等。。信息資源源包括維持持網(wǎng)絡(luò)服務(wù)務(wù)運行的系系統(tǒng)軟件和和應(yīng)用軟件件，以及用用戶信息。。信息資源源的保密性性、完整性性、可用性性、真實性性是網(wǎng)絡(luò)安安全研究的的重要課題題。從用戶角度度看，網(wǎng)絡(luò)絡(luò)安全主要要是保證個個人數(shù)據(jù)和和信息在網(wǎng)網(wǎng)絡(luò)傳輸和和存儲中的的保密性、、完整性、、不可否認(rèn)認(rèn)性，防止止信息的泄泄露和破壞壞，防止信信息資源的的非授權(quán)訪訪問。對于于網(wǎng)絡(luò)管理理員來說，，網(wǎng)絡(luò)安全全的主要任任務(wù)是保障障用戶正常常使用網(wǎng)絡(luò)絡(luò)資源，避避免病毒、、拒絕非授授權(quán)訪問等等安全威脅脅，及時發(fā)發(fā)現(xiàn)安全漏漏洞，制止止攻擊行為為等。從教育和和意識形形態(tài)方面面看，網(wǎng)網(wǎng)絡(luò)安全全主要是是保障信信息內(nèi)容容的合法法和健康康，控制制含不良良內(nèi)容的的信息在在網(wǎng)絡(luò)中中傳播。。在此，對對網(wǎng)絡(luò)安安全下一一個定義義：網(wǎng)絡(luò)安全全是指保保護網(wǎng)絡(luò)絡(luò)系統(tǒng)中中的軟件件、硬件件及數(shù)據(jù)據(jù)信息資資源，使使之免受受偶然或或惡意的的破壞、、盜用、、暴露和和篡改，，保證網(wǎng)網(wǎng)絡(luò)系統(tǒng)統(tǒng)的正常常運行、、網(wǎng)絡(luò)服服務(wù)不受受中斷而而所采取取的措施施和行為為?？偰夸?.網(wǎng)網(wǎng)絡(luò)安安全服服務(wù)(1)認(rèn)證證服務(wù)務(wù)；(2)訪問問控制制；(3)數(shù)據(jù)據(jù)機密密性服服務(wù)；；(4)數(shù)據(jù)據(jù)完整整性服服務(wù)；；(5)不可可否認(rèn)認(rèn)服務(wù)務(wù)?？偰夸?.2.2網(wǎng)網(wǎng)絡(luò)絡(luò)脆弱弱性及及網(wǎng)絡(luò)絡(luò)威脅脅1.網(wǎng)網(wǎng)絡(luò)的的脆弱弱性(1)網(wǎng)絡(luò)絡(luò)漏洞洞；(2)電磁磁輻射射；(3)線路路竊聽聽；(4)串音音干擾擾；(6)軟件件故障障；(7)人為為因素素；(8)網(wǎng)絡(luò)絡(luò)規(guī)模模；(9)網(wǎng)絡(luò)絡(luò)物理理環(huán)境境；(10)通通信系系統(tǒng)。?？偰夸?.網(wǎng)絡(luò)安安全威威脅安全威威脅可可分為為故意意的（（如系系統(tǒng)入入侵））和偶偶然的的（如如將信信息發(fā)發(fā)到錯錯誤地地址））兩類類。故故意威威脅又又可進進一步步分成成被動動威脅脅和主主動威威脅兩兩類。。被動動威脅脅只對對信息息進行行監(jiān)聽聽和竊竊取，，而不不對其其修改改和破破壞；；主動動威脅脅則要要對信信息進進行故故意篡篡改和和破壞壞，使使合法法用戶戶得不不到可可用信信息。。(1)基基本本的的安安全全威威脅脅l信息息泄泄露露：：信信息息泄泄露露給給某某個個未未經(jīng)經(jīng)授授權(quán)權(quán)的的實實體體。。l完整整性性破破壞壞：：數(shù)數(shù)據(jù)據(jù)的的一一致致性性由由于于受受到到未未授授權(quán)權(quán)的的修修改改和和破破壞壞。。l拒絕絕服服務(wù)務(wù)：：對對資資源源的的合合法法訪訪問問被被阻阻斷斷。。l非法法使使用用：：某某一一資資源源被被非非授授權(quán)權(quán)人人以以授授權(quán)權(quán)方方式式使使用用。?？偰夸?2)可可實實現(xiàn)現(xiàn)的的威威脅脅可實實現(xiàn)現(xiàn)的的威威脅脅可可以以直直接接導(dǎo)導(dǎo)致致某某一一基基本本威威脅脅的的實實現(xiàn)現(xiàn)，，包包括括滲滲入入威威脅脅和和植植入入威威脅脅。。主要的滲入威威脅有：l假冒：即某個個實體假裝成成另外一個不不同的實體。。這個未授權(quán)權(quán)實體以一定定的方式使安安全守衛(wèi)者相相信它是一個個合法實體，，從而獲得合合法實體對資資源的訪問權(quán)權(quán)限。這是大大多數(shù)黑客常常用的攻擊方方法。如甲和和乙同為網(wǎng)絡(luò)絡(luò)上的合法用用戶，網(wǎng)絡(luò)能能為他們服務(wù)務(wù)。丙也想獲獲得這些服務(wù)務(wù)，于是丙向向網(wǎng)絡(luò)發(fā)出：：“我是乙””。l篡改：乙給甲甲發(fā)了如下一一份報文：““請給丁匯10000元元錢。乙”。。報文在轉(zhuǎn)發(fā)發(fā)過程中經(jīng)過過丙，丙把““丁”改為““丙”。結(jié)果果是丙而不是是丁收到了這這10000元錢。這就就是報文篡改改。l旁路：攻擊者者通過各種手手段發(fā)現(xiàn)一些些系統(tǒng)安全缺缺陷，并利用用這些安全缺缺陷繞過系統(tǒng)統(tǒng)防線滲入到到系統(tǒng)內(nèi)部。。l授權(quán)侵犯：對對某一資源具具有一定權(quán)限限的實體，將將此權(quán)限用于于未被授權(quán)的的實體，也稱稱“內(nèi)部威脅脅”。總目錄主要的植入威威脅有：l計算機病毒：：計算機病毒毒是一種會““傳染”其他他程序并具有有破壞能力的的程序，“傳傳染”是通過過修改其他程程序來把自身身或其變種復(fù)復(fù)制進去完成成的。如：““特洛伊木馬馬（Trojanhorse）”，是一種種執(zhí)行超出程程序定義之外外的程序，如如一個編譯程程序除了執(zhí)行行編譯任務(wù)以以外，還把用用戶的源程序序偷偷地復(fù)制制下來，這種種編輯程序就就是一個特洛洛伊木馬。l陷門：在某個個系統(tǒng)或某個個文件中預(yù)先先設(shè)置“機關(guān)關(guān)”，誘你掉掉入“陷門””之中，一旦旦你提供特定定的輸入時，，允許你違反反安全策略，，將自己機器器上的秘密自自動傳送到對對方的計算機機上。總目錄3.網(wǎng)絡(luò)安全全的技術(shù)對策策網(wǎng)絡(luò)安全是對對付威脅、克克服脆弱性、、保護網(wǎng)絡(luò)資資源的所有措措施的總和，，涉及政策、、法律、管理理、教育和技技術(shù)等方面的的內(nèi)容。網(wǎng)絡(luò)絡(luò)安全是一項項系統(tǒng)工程，，針對來自不不同方面的安安全威脅，需需要采取不同同的安全對策策。從法律、、制度、管理理和技術(shù)上采采取綜合措施施，以便相互互補充，達到到較好的安全全效果。技術(shù)術(shù)措施是最直直接的屏障，，目前常用而而有效的網(wǎng)絡(luò)絡(luò)安全技術(shù)對對策有如下幾幾種。(1)加密；；(2)數(shù)字簽簽名；(3)鑒別；；(4)訪問控控制技術(shù)；(5)防火墻墻技術(shù)。總目錄6.2.3局局域網(wǎng)絡(luò)絡(luò)安全管理1.局域域網(wǎng)絡(luò)安全性性分析局域網(wǎng)絡(luò)的安安全涉及多個個方面，不僅僅有局域網(wǎng)本本身的因素，，還有來自外外界的惡意破破壞。局域網(wǎng)的安全全性主要包括括三個方面：：l局域網(wǎng)本身的的安全性，如如TCP/IP協(xié)議存在的缺缺陷，局域網(wǎng)網(wǎng)建設(shè)不規(guī)范范帶來的安全全隱患，或來來自局域網(wǎng)內(nèi)內(nèi)部的人為破破壞；l當(dāng)局域網(wǎng)網(wǎng)和Internet連接時，，受到來來自外界界惡意的的攻擊，，局域網(wǎng)網(wǎng)對不安安全站點點的訪問問控制；；l建設(shè)局局域網(wǎng)網(wǎng)所用用的媒媒介和和設(shè)備備所存存在的的問題題?？偰夸?1)局域網(wǎng)網(wǎng)結(jié)構(gòu)構(gòu)特點點及安安全性性分析析TCP/IP協(xié)議是是一組組協(xié)議議的總總稱，，即是是Internet網(wǎng)上的的協(xié)議議族，，在Internet上，除除了常常用的的TCP和IP協(xié)議之之外，，還包包括其其他的的各種種協(xié)議議。應(yīng)應(yīng)用層層有傳傳輸控控制協(xié)協(xié)議TCP和用戶戶數(shù)據(jù)據(jù)包協(xié)協(xié)議UDP；網(wǎng)絡(luò)絡(luò)層有有IP和ICMP協(xié)議，，用于于負(fù)責(zé)責(zé)相鄰鄰主機機之間間的通通信。。很多局局域網(wǎng)網(wǎng)是基基于TCP/IP協(xié)議的的，由由于TCP/IP協(xié)議本本身的的不安安全性性，導(dǎo)導(dǎo)致局局域網(wǎng)網(wǎng)存在在如下下安全全方面面的缺缺陷：：l數(shù)據(jù)容容易被被竊聽聽和截截??；；lIP地址容容易被被欺騙騙；l缺乏足足夠的的安全全策略略；l局域網(wǎng)網(wǎng)配置置的復(fù)復(fù)雜性性?？偰夸?2)操操作系系統(tǒng)安安全性性分析析從終端端用戶戶的程程序到到服務(wù)務(wù)器應(yīng)應(yīng)用服服務(wù)以以及網(wǎng)網(wǎng)絡(luò)安安全的的很多多技術(shù)術(shù)，都都是運運行在在操作作系統(tǒng)統(tǒng)上的的，因因此，，保證證操作作系統(tǒng)統(tǒng)的安安全是是整個個安全全系統(tǒng)統(tǒng)的根根本。。操作作系統(tǒng)統(tǒng)安全全也稱稱主機機的安安全。。一方方面，，由于于現(xiàn)代代操作作系統(tǒng)統(tǒng)的代代碼龐龐大，，從而而不同同程度度上都都存在在一些些安全全漏洞洞；另另一方方面，，系統(tǒng)統(tǒng)管理理員或或使用用人員員對復(fù)復(fù)雜的的操作作系統(tǒng)統(tǒng)和安安全機機制了了解不不夠，，配置置不當(dāng)當(dāng)也會會造成成安全全隱患患。因因此，，需不不斷增增加系系統(tǒng)安安全補補丁之之外，，還需需要建建立一一套對對系統(tǒng)統(tǒng)的監(jiān)監(jiān)控系系統(tǒng)，，并對對合法法用戶戶給予予授權(quán)權(quán)訪問問和對對安全全資源源的使使用，，防止止非法法入侵侵者對對系統(tǒng)統(tǒng)資源源的侵侵占與與破壞壞，其其最常常用的的辦法法是利利用操操作系系統(tǒng)提提供的的功能能，如如用戶戶認(rèn)證證、訪訪問權(quán)權(quán)限控控制、、記帳帳審計計等。。總目錄2.局局域域網(wǎng)安安全技技術(shù)(1)流量量控制制在局域域網(wǎng)內(nèi)內(nèi)，必必須對對數(shù)據(jù)據(jù)的流流量加加以控控制，，否則則用戶戶和數(shù)數(shù)據(jù)為為爭奪奪訪問問權(quán)而而產(chǎn)生生混亂亂，會會發(fā)生生碰撞撞和數(shù)數(shù)據(jù)淹淹沒，，會引引起信信息丟丟失或或者網(wǎng)網(wǎng)絡(luò)掛掛起等等故障障。(2)信息息加密密對于局局域網(wǎng)網(wǎng)，加加密同同樣是是保護護信息息的最最有效效方法法之一一，局局域網(wǎng)網(wǎng)加密密重點點是數(shù)數(shù)據(jù)。?？梢砸圆捎糜眉用苊苘浖姆椒椒?，，也可可采用用PGP加加密算算法、、RSA加加密算算法、、DES加加密算算法或或IDEA加密密算法法。(3)網(wǎng)絡(luò)絡(luò)管理理在一個個局域域網(wǎng)中中，為為了保保證網(wǎng)網(wǎng)絡(luò)安安全、、可靠靠地運運行、、必須須要有有網(wǎng)絡(luò)絡(luò)管理理。其其主要要任務(wù)務(wù)針對對網(wǎng)絡(luò)絡(luò)資源源、網(wǎng)網(wǎng)絡(luò)性性能和和密鑰鑰進行行管理理，對對網(wǎng)絡(luò)絡(luò)進行行監(jiān)視視和訪訪問控控制。。(4)計算算機病病毒的的防御御在局域域網(wǎng)中中，由由于計計算機機直接接面向向用戶戶，而而且操操作系系統(tǒng)也也比較較簡單單，與與廣域域網(wǎng)相相比，，更容容易被被計算算機病病毒感感染。。病毒毒會造造成計計算機機軟、、硬件件系統(tǒng)統(tǒng)、網(wǎng)網(wǎng)絡(luò)系系統(tǒng)以以及信信息系系統(tǒng)的的破壞壞，因因此，，對計計算機機病毒毒的預(yù)預(yù)防和和消除除是非非常重重要的的，解解決的的辦法法應(yīng)該該是制制定相相應(yīng)的的管理理和預(yù)預(yù)防措措施，，對網(wǎng)網(wǎng)絡(luò)上上傳輸輸?shù)臄?shù)數(shù)據(jù)嚴(yán)嚴(yán)格檢檢查。?？偰夸?.2.4網(wǎng)網(wǎng)絡(luò)安安全策略略與實施施面對網(wǎng)絡(luò)絡(luò)的脆弱弱性，除除了在網(wǎng)網(wǎng)絡(luò)設(shè)計計上增加加安全服服務(wù)功能能，完善善系統(tǒng)的的安全保保密措施施外，還還必須花花大力氣氣加強網(wǎng)網(wǎng)絡(luò)的安安全管理理，因為為諸多的的不安全全因素恰恰恰反映映在組織織管理和和人員錄錄用等方方面。據(jù)據(jù)統(tǒng)計，，在整個個網(wǎng)絡(luò)安安全的發(fā)發(fā)生原因因中，管管理占60%，實體占占20%，法律和和技術(shù)各各占10%，因此安安全管理理是計算算機網(wǎng)絡(luò)絡(luò)安全所所必須考考慮的重重要內(nèi)容容，應(yīng)該該引起各各計算機機網(wǎng)絡(luò)部部門領(lǐng)導(dǎo)導(dǎo)和技術(shù)術(shù)人員的的高度重重視?？偰夸?.安全全策策略略網(wǎng)絡(luò)絡(luò)安安全全管管理理是是基基于于其其安安全全策策略略的的，，在在一一定定技技術(shù)術(shù)條條件件下下的的切切合合實實際際的的安安全全策策略略，，必必須須基基于于網(wǎng)網(wǎng)絡(luò)絡(luò)的的具具體體來來確確定定開開放放性性與與安安全全性性的的最最佳佳結(jié)結(jié)合合點點。。(1)安全全策策略略的的制制定定原原則則制定定安安全全策策略略應(yīng)應(yīng)把把握握以以下下幾幾個個基基本本原原則則：：l平衡衡性性原原則則；；l整體體性性原原則則；；l一致致性性原原則則；；l易操操作作性性原原則則；；l層次次性性原原則則；；l可評評價價性性原原則則。?？偰夸?.安全全管管理理的的實實施施網(wǎng)絡(luò)絡(luò)安安全全管管理理是是以以技技術(shù)術(shù)為為基基礎(chǔ)礎(chǔ)，，配配以以行行政政手手段段的的管管理理活活動動。。(1)安全全管管理理的的類類型型l系統(tǒng)安全管理理：管理整個個網(wǎng)絡(luò)環(huán)境的的安全。l安全服務(wù)管理理：對單個的的安全服務(wù)進進行管理。l安全機制管理理：管理安全全機制中的有有用信息。lOSI管理的安全：：所有OSI網(wǎng)絡(luò)管理函數(shù)數(shù)、控制參數(shù)數(shù)和管理信息息的安全都是是OSI的安全核心，，其安全管理理能確保OSI管理協(xié)議和信信息能安全的的保護?？偰夸?2)安全管理基本本內(nèi)容信息系統(tǒng)的安安全部門應(yīng)根根據(jù)管理原則則和該系統(tǒng)處處理數(shù)據(jù)的保保密性，制定定相應(yīng)的安全全制度和采用用相應(yīng)的規(guī)范范。其基本內(nèi)內(nèi)容如下：l根據(jù)工作的重重要程度，確確定該系統(tǒng)的的安全等級。。l根據(jù)確定的安安全等級，確確定安全管理理的范圍。l制定相關(guān)的管管理制度。l制定嚴(yán)格的操操作規(guī)范。l制定緊急措施施，當(dāng)緊急事事件發(fā)生時，，確保損失減減少至最小。。l制定完備的系系統(tǒng)維護制度度?？偰夸?.3.1系系統(tǒng)攻擊擊概述1.系統(tǒng)攻擊擊的三個階段段(1)收集信信息：收集要要攻擊的目標(biāo)標(biāo)系統(tǒng)的信息息，包括目標(biāo)標(biāo)系統(tǒng)的位置置、路由、目目標(biāo)系統(tǒng)的結(jié)結(jié)構(gòu)及技術(shù)細(xì)細(xì)節(jié)等。(2)探測系系統(tǒng)安全弱點點：入侵者根根據(jù)收集到的的目標(biāo)網(wǎng)絡(luò)有有關(guān)信息，對對目標(biāo)網(wǎng)絡(luò)上上主機進行探探測，以發(fā)現(xiàn)現(xiàn)系統(tǒng)的弱點點和安全漏洞洞。①利用“補補丁”找到突突破口；②利用掃描描器發(fā)現(xiàn)安全全漏洞。(3)實施攻攻擊：攻擊者者通過上述方方法找到系統(tǒng)統(tǒng)的弱點后，，就可以對系系統(tǒng)進行攻擊擊。6.3系系統(tǒng)攻擊手段段及防范措施施總目錄2.網(wǎng)絡(luò)入侵侵的對象網(wǎng)絡(luò)入侵對象象主要包括以以下幾個方面面：(1)固有有的安全漏洞洞任何軟件系統(tǒng)統(tǒng)，包括系統(tǒng)統(tǒng)軟件和應(yīng)用用軟件都無法法避免地存在在安全漏洞。。這些漏洞主主要來源于程程序設(shè)計方面面的錯誤和疏疏忽。(2)維護措措施不完善的的系統(tǒng)當(dāng)發(fā)現(xiàn)漏洞時時，管理人員員需要仔細(xì)分分析有漏洞的程序序，并采取補救救措施。(3)缺乏乏良好安全體體系的系統(tǒng)一些系統(tǒng)不重重視信息的安安全，在設(shè)計計時沒有建立立有效的、多多層次的防御御體系，這樣樣的系統(tǒng)不能能防御復(fù)雜的的安全攻擊手手段和方法。。總目錄6.3.2系系統(tǒng)攻擊擊的方法及防防范（1））訪問問攻擊擊訪問攻攻擊是是攻擊擊者試試圖獲獲得沒沒有訪訪問權(quán)權(quán)限的的信息息。這這種攻攻擊也也可能能在信信息傳傳輸過過程中中出現(xiàn)現(xiàn)。這這種類類型的的攻擊擊是對對信息息保密密性的的攻擊擊。（2））修改改攻擊擊修改攻攻擊是是攻擊擊者試試圖修修改其其沒有有修改改權(quán)限限的信信息。。這種種類型型的攻攻擊是是對信信息完完整性性的攻攻擊。。（3））拒絕絕服務(wù)務(wù)攻擊擊拒絕絕服服務(wù)務(wù)攻攻擊擊是是指指拒拒絕絕網(wǎng)網(wǎng)絡(luò)絡(luò)的的合合法法用用戶戶使使用用網(wǎng)網(wǎng)絡(luò)絡(luò)系系統(tǒng)統(tǒng)，，是是對對信信息息或或功功能能等等資資源源的的攻攻擊擊。。拒拒絕絕服服務(wù)務(wù)攻攻擊擊也也是是一一種種故故意意破破壞壞行行為為。。（4））否否認(rèn)認(rèn)攻攻擊擊否認(rèn)認(rèn)攻攻擊擊是是一一種種針針對對信信息息記記錄錄實實施施的的攻攻擊擊。。換換言言之之，，否否認(rèn)認(rèn)攻攻擊擊試試圖圖給給出出錯錯誤誤的的信信息息或或者者否否認(rèn)認(rèn)曾曾經(jīng)經(jīng)發(fā)發(fā)生生過過真真實實事事件件或或事事務(wù)務(wù)。。總目錄6.3.3黑黑客客攻攻擊擊與與防防范范1.黑黑客客與與入入侵侵者者“黑黑客客””原原意意指指的的是是對對于于任任何何操操作作系系統(tǒng)統(tǒng)的的奧奧秘秘都都有有強強烈烈興興趣趣的的人人。?！啊昂诤诳涂汀薄贝蟠蠖级际鞘歉吒呒壖壋坛绦蛐騿T員，，他他們們具具有有操操作作系系統(tǒng)統(tǒng)和和編編程程方方面面的的高高級級知知識識，，精精通通計計算算機機硬硬件件結(jié)結(jié)構(gòu)構(gòu)及及軟軟件件的的內(nèi)內(nèi)核核結(jié)結(jié)構(gòu)構(gòu)，，熟熟悉悉計計算算機機軟軟件件硬硬件件系系統(tǒng)統(tǒng)中中的的漏漏洞洞及及其其原原因因所所在在，，并并在在網(wǎng)網(wǎng)絡(luò)絡(luò)結(jié)結(jié)構(gòu)構(gòu)及及其其原原理理方方面面有有著著很很深深的的造造旨旨。。他他們們不不斷斷追追求求更更深深的的知知識識，，并并向向世世人人展展示示他他們們的的研研究究與與發(fā)發(fā)現(xiàn)現(xiàn)，，與與他他人人分分享享，，并并且且沒沒有有破破壞壞數(shù)數(shù)據(jù)據(jù)的的企企圖圖。。這這是是人人們們早早期期對對““黑黑客客””的的認(rèn)認(rèn)識識與與定定義義。。可可以以說說，，““黑黑客客””是是計計算算機機和和網(wǎng)網(wǎng)絡(luò)絡(luò)的的““天天才才””。?！叭肭终摺薄敝傅氖菓褢阎涣嫉牡钠髨D、非非法闖入甚甚至破壞遠遠程計算機機完整性的的人?！叭肴肭终摺崩毛@得的的非法訪問問權(quán)，破硬幣有正反兩面，黑客也有好壞之分。有協(xié)助人們研究系統(tǒng)安全的“正面黑客”，也有專門窺探他人隱私，非法篡改和破壞他人的程序和數(shù)據(jù)的“反面黑客”?，F(xiàn)在，有許多人經(jīng)常把黑客與入侵者混淆。多年來，人們誤用“黑客”這個名詞來表達“入侵者”的意思。其實，他們之間有著本質(zhì)的不同。在本書中，我們介紹的“黑客”是“反面黑客”，也就是“非法入侵者”?？偰夸?.黑客的的分類第一種：好好奇型。許許多少年黑黑客往往是是這方面的的代表，他他們年齡不不大，社會會經(jīng)驗少，，思想性格格還不很成成熟，缺乏乏社會約束束力，在充充分自由的的網(wǎng)絡(luò)環(huán)境境中無法辨辨別自己行行為的正確確性，憑一一時的興趣趣、好奇潛潛入一些不不該進入的的網(wǎng)站，甚甚至獲取了了高度機密密的資料，，更有甚者者對網(wǎng)站或或網(wǎng)絡(luò)造成成破壞，而而他們的內(nèi)內(nèi)心之中，，實際上卻卻是非常的的單純，不不是好奇就就是好玩而而已。第二種：功功利型。往往往是指那那些想在網(wǎng)網(wǎng)絡(luò)上一舉舉成名者，，他們專門門選擇一些些比較著名名的網(wǎng)站進進行攻擊，，制造混亂亂，惟恐天天下不亂，，以便自己己“亂世出出英雄”，，名揚天下下。對于功功利型黑客客可以區(qū)分分為求名與與求利兩種種，求利又又可分為利利己與利人人兩種。前前一種為了了自己的某某種利益，，比如盜取取銀行賬號號與密碼，，竊取不義義之財；后后一種為某某種利益，，受他人指指使，或為為某種政治治目的對別別的網(wǎng)站進進行攻擊。。第三種：仇恨恨型。這類人人往往處于嫉嫉妒心理或是是因某網(wǎng)站對對自己的利益益造成某種損損害或威脅而而采取的攻擊擊行動，造成成別的網(wǎng)站無無法訪問或癱癱瘓。總目錄3.黑客的防防范技術(shù)對黑客的有效效防護技術(shù)有有如下幾種：：l防火墻技術(shù)；；l陷井；l對計算機目錄錄和文件加鎖鎖；l對關(guān)鍵數(shù)據(jù)進進行加密；l對系統(tǒng)和數(shù)據(jù)據(jù)進行備份。?？偰夸?.3.4病病毒侵襲襲與防范1.計算機病病毒的檢測當(dāng)一臺計算機機染上病毒之之后，會有許許多明顯的特特征。例如，，文件的長度度和日期忽然然改變、系統(tǒng)統(tǒng)執(zhí)行速度下下降、出現(xiàn)一一些奇怪的信信息、無故死死機，更為嚴(yán)嚴(yán)重的是硬盤盤已經(jīng)被格式式化了。常見的防毒軟軟件是如何去去發(fā)現(xiàn)它們的的呢？就是利利用所謂的病病毒碼（VirusPattern）。病毒碼其實可可以想象成是是犯人的指紋紋，當(dāng)防毒軟軟件公司收集集到一個新的的病毒時，就就會從這個病病毒程序中，，截取一小段段獨一無二足足以表示這個個病毒的二進進制程序碼，，來當(dāng)作掃毒毒程序辨認(rèn)病病毒的依據(jù)，，而這段獨一一無二的二進進制程序碼就就是所謂的病病毒碼?？偰夸浄床《拒浖Ｓ靡韵孪?種技術(shù)術(shù)來查找病病毒：(1)病毒毒碼掃描法法將新發(fā)現(xiàn)的的病毒加以以分析，根根據(jù)其特征征，編成病病毒碼，加加入病毒碼碼資料庫中中。以后每每當(dāng)執(zhí)行掃掃描病毒程程序時，就就能立刻掃掃描目標(biāo)文文件，并做做出與病毒毒代碼對比比，即能偵偵察到是否否有病毒。。大多數(shù)防防毒軟件均均采用這種種方式，其其缺點是無無法掃描新新病毒及以以變種病毒毒。(2)加總總比對法根據(jù)每個程程序的文件件名稱、大大小、時間間及內(nèi)容，，加總為一一個檢查碼碼，再將檢檢查碼附于于程序的后后面或是將將所有檢查查碼放在同同一個資料料庫中，再再利用Check-sum系系統(tǒng)，追蹤蹤并記錄每每個程序的的檢查碼是是否遭受到到更改，以以判斷是否否中毒。這這種技術(shù)可可偵察到各各種病毒，，但最大的的缺點是誤誤判較高，，且無法確確認(rèn)是哪種種病毒感染染的。(3)人工工智能陷阱阱人工智能陷陷阱是一種種監(jiān)測電腦腦行為的常常駐式掃描描技術(shù)。它它將所有病病毒所產(chǎn)生生的行為歸歸納起來，，一旦發(fā)現(xiàn)現(xiàn)內(nèi)存的程程序有任何何不當(dāng)?shù)男行袨?，系統(tǒng)統(tǒng)就會有所所警覺。這這種技術(shù)的的優(yōu)點是執(zhí)執(zhí)行速度快快，手續(xù)簡簡便，且可以偵察察到各種病病毒；其缺缺點是程序序設(shè)計難，，且不容易易考慮周全全?？偰夸?4)軟件件模擬掃描描法軟件模擬掃掃描技術(shù)專專門用來對對付千面人人病毒（Polymorphic/Mutationvirus））。千面人人病毒在每每次傳染時時，都以不不同的隨機機亂數(shù)加密密于每個中中毒文件中中，傳統(tǒng)病病毒碼比對對方式根本本就無法找找到這種病病毒。(5)VICE（VirusInstructionCodeEmulation））先知掃描描法既然軟件模模擬可以建建立一個保保護模式下下的DOS虛擬機機器，模擬擬CPU動動作并通過執(zhí)行程序以以解開變體體引擎病毒毒，那么應(yīng)應(yīng)用類似的的技術(shù)也可可以用來分分析一般程程序檢查可可疑的病毒毒碼。因此此，VICE可用來來判斷程序序有無病毒毒碼存在的的方法，分分析專家系系統(tǒng)知識庫庫，再利用用軟件工程程模擬技術(shù)術(shù)（softwareemulation））加上病毒毒運行機制制，則可分分析出新的的病毒碼以以對付以后后的病毒。。(6)實時時I/O掃掃描實時I/O掃描（realtimeI/Oscan）的目的的是在于即即時地對數(shù)數(shù)據(jù)的輸入入輸出動作作做病毒碼碼對比的動動作，希望望能夠能在在病毒尚未未被執(zhí)行之之前，就能能夠堵截下下來。理論論上，這樣樣的實時掃掃描技術(shù)會會影響到數(shù)數(shù)據(jù)的輸入入輸出速度度。但使用用實時掃描描技術(shù)，文文件傳輸過過來之后，，就等于掃掃描和清除除過一次毒毒了。總目錄2.計算機網(wǎng)網(wǎng)絡(luò)病毒的防防范防范網(wǎng)絡(luò)病毒毒的過程實際際上就是技術(shù)術(shù)對抗的過程程，反病毒技技術(shù)也得適應(yīng)應(yīng)病毒繁衍和和傳播方式的的發(fā)展而不斷斷調(diào)整。網(wǎng)絡(luò)絡(luò)防毒應(yīng)該利利用網(wǎng)絡(luò)的優(yōu)優(yōu)勢，使網(wǎng)絡(luò)絡(luò)防病毒逐漸漸成為網(wǎng)絡(luò)安安全體系的一一部分。重在在防，從防病病毒、防黑客客和防災(zāi)難恢恢復(fù)等幾個方方面綜合考慮慮，形成一整整套安全機制制，才可最有有效的保障整整個網(wǎng)絡(luò)的安安全。(1)系統(tǒng)防防毒措措施l制定系系統(tǒng)的的防毒毒策略略。l部署多多層防防御戰(zhàn)戰(zhàn)略。。l定期更更新防防毒定定義文文件和和引擎擎。l定期備備份文文件。。l預(yù)訂可可發(fā)布布新病病毒威威脅警警告的的電子子郵件件?？偰夸?2)終端用用戶防防毒l某些電電子郵郵件程程序，，如Outlook有一個個允許許用戶戶不打打開的的信息息，而而是在在一個個單獨獨窗口口查看看此信信息的的功能能，但但是因因為預(yù)預(yù)覽窗窗口具具有處處理嵌嵌套腳腳本的的能力力，某某些病病毒程程序只只需預(yù)預(yù)覽就就能夠夠執(zhí)行行。所所以，，對于于來歷歷不明明的郵郵件，，最好好是將將其直直接刪刪除。。l如果將將MicrosoftWord當(dāng)作電電子編編輯使使用，，就需需要將將NORMAL.DOT在操作作系統(tǒng)統(tǒng)級設(shè)設(shè)置只只讀文文件。。同時時將MicrosoftWord的設(shè)置置更改改為““PrompttoSaveNormalTemplate（保存存常規(guī)規(guī)模板板）””。許許多病病毒通通過更更改NORMAL.DOT文件進進行自自我傳傳播，，采取取上述述措施施可產(chǎn)產(chǎn)生阻阻止作作用。。l存儲介介質(zhì)的的寫保保護功功能。?？偰夸?3)郵件服務(wù)器防病病毒病毒也可以以通過多種種方式進入入電子郵件件服務(wù)器。。這時，就就只有基于于電子郵件件服務(wù)器的的解決方案案才能檢測測和刪除受受感染的文文件。從以以下幾個方方面可以做做到防毒：：攔截受感染染的附件；；設(shè)置全面的的隨機掃描描；試探隨機掃掃描；重要數(shù)據(jù)定定期保存、、備份。(4)多層層防御機制制多層防御體體系將病毒毒檢測、多多層數(shù)據(jù)保保護和集中中式管理集集成起來，，提供全面面的病毒防防護能力。。多層次防防御軟件使使用了三層層保護功能能：實時掃掃描、完整整性保護、、完整性檢檢驗。后臺實時掃掃描驅(qū)動器器能對未知知的異形病病毒和秘密密病毒進行行連續(xù)的檢檢測。完整性保護護可阻止病病毒從一個個感染的工工作站擴散散到服務(wù)器器，還可以以防止受病病毒感染有有關(guān)的文件件崩潰。(5)在網(wǎng)網(wǎng)關(guān)、服務(wù)務(wù)器上防御御措施防范手段應(yīng)應(yīng)集中在網(wǎng)網(wǎng)絡(luò)整體上上，在個人人計算機的的硬件和軟軟件，LAN服務(wù)器器、服務(wù)器器上的網(wǎng)關(guān)關(guān)、Internet及Internet的網(wǎng)網(wǎng)站上，層層層設(shè)防，，對每種病病毒都實行行隔離，過過濾?？偰夸?.4.1Windows2000操作作系統(tǒng)安全全管理1.Windows2000的安全全機制(1)Windows2000的的安全性設(shè)設(shè)計①對于基于于Internet的新型企業(yè)業(yè)的支持。。Windows2000的設(shè)計突破破了原有的的企業(yè)網(wǎng)絡(luò)絡(luò)和Internet的界限，滿滿足移動辦辦公、遠程程工作和隨隨時隨地接接入Internet進行通信和和電子商務(wù)務(wù)的需要。。②微軟在Windows2000中提供的是是一個安全全性框架，，并不偏重重于任何一一種特定的的安全特性性、新的安安全協(xié)議、、加密服務(wù)務(wù)提供者或或者第三方方的驗證技技術(shù)，可以以方便地使使其結(jié)合到到Windows2000的安全服務(wù)務(wù)提供者的的接口中，，供用戶選選用。③考慮到用用戶向下兼兼容的需要要，Windows2000可以完全無無縫地對WindowsNT

4.0的網(wǎng)絡(luò)提供供支持，提提供對WindowsNT

4.0中采用的NTLM(NTLANManager)安全驗證證機制的的支持。。6.4網(wǎng)網(wǎng)絡(luò)絡(luò)操作系系統(tǒng)安全全管理總目錄(2)Windows2000數(shù)據(jù)的安安全性①用戶登錄錄時的安安全性從用戶登登錄網(wǎng)絡(luò)絡(luò)開始，，Windows

2000借助Kerberos和PKI等驗證協(xié)協(xié)議提供供了強有有力的口口令保護護和單點點登錄。。②網(wǎng)絡(luò)數(shù)據(jù)據(jù)的保護護本地網(wǎng)絡(luò)絡(luò)中的數(shù)數(shù)據(jù)是由由驗證協(xié)協(xié)議來保保證其安安全性的的。如果果需要更更高的安安全性，，還可以以通過IPSEC的方法，，提供點點到點的的數(shù)據(jù)加加密安全全性。③存儲數(shù)據(jù)據(jù)的保護護可以采用用數(shù)字簽簽名來簽簽署軟件件產(chǎn)品或或者加密密文件系系統(tǒng)。加加密文件件系統(tǒng)基基于Windows

2000中的CryptoAPI架構(gòu)，實實施DES加密算法法，對每每個文件件都采用用隨機密密鑰來加加密。加加密文件件系統(tǒng)不不但可以以加密本本地的NTFS文件或文文件夾，，還可以以加密遠遠程文件件。其恢恢復(fù)策略略由Windows

2000的整體安安全性策策略決定定，具有有恢復(fù)權(quán)權(quán)限的管管理員才才可以恢恢復(fù)數(shù)據(jù)據(jù)，但是是不能恢恢復(fù)用來來加密的的密鑰。。總目錄(3)安全模型型①用戶身份份驗證Windows2000身身份驗證證賦予用用戶登錄錄系統(tǒng)訪訪問網(wǎng)絡(luò)絡(luò)資源的的能力。。在這種種身份驗驗證模型型中，安安全性系系統(tǒng)提供供了兩種種類型的的身份驗驗證：交交互式登登錄和網(wǎng)網(wǎng)絡(luò)身份份驗證。。為提供供這種類類型的身身份驗證證。Windows2000安安全系統(tǒng)統(tǒng)包括了了三種不不同的身身份驗證證機制：：安全套套接字層層、傳傳輸層安安全性和和身份驗驗證。②訪問控控制通過用戶戶身份驗驗證，Windows2000允允許管管理員控控制對網(wǎng)網(wǎng)上資源源或?qū)ο笙蟮脑L問問。Windows2000通通過允許許管理員員為存儲儲在ActiveDirectory中的的對象分分配安全全描述符符實現(xiàn)訪訪問控制制。安全全描述符符列出了了允許訪訪問對象象的用戶戶和組，，以及分分配給這這些用戶戶和組的的特殊權(quán)權(quán)限。安安全描述述符還指指定了需需要為對對象審核核的不同同訪問事事件，文文件、打打印機和和服務(wù)都都是對象象的實例例。通過過管理對對象的屬屬性，管管理員可可以分配配訪問權(quán)權(quán)以及監(jiān)監(jiān)視用戶戶訪問。。管理員不僅可可以控制對特特殊對象的訪訪問，也可以以控制對該對對象特定屬性性的訪問。例例如，通過適適當(dāng)配置對象象的安全描述述符，用戶允允許訪問一部部分信息，如如只能訪問員員工姓名和辦辦公電話號碼碼，而不能訪訪問他們的家家庭住址和住住宅電話?？偰夸?.Windows2000的安安全漏洞(1)telnet漏洞洞telnet程序讓使用用者借助一部部PC機登錄錄到網(wǎng)絡(luò)服務(wù)務(wù)器，并執(zhí)行行遠程服務(wù)器器上的命令。。問題就出在在登錄功能上上，這原本是是為了省去使使用者每次用用telnet連接都必必須在重新輸輸入用戶名稱稱及密碼的麻麻煩，而改用用自動提供使使用者名稱和和加密密碼的的方式，黑客客可在網(wǎng)頁或或電子郵件中中植入連接，，然后啟動受受害者的telnet程程序，以竊取取密碼。一旦旦加密的密碼碼被黑客攔截截，就可用密密碼破解程序序判斷出實際際密碼。telnet的的安全漏洞可可能導(dǎo)致黑客客懷有惡意的的攻擊行為。。黑客進入受受害者計算機機，當(dāng)受害者者的計算機請請示第三方計計算機認(rèn)證時時，又可獲取取第三者的密密碼。(2)本地操操作漏洞telnet漏洞是一個個計算機上網(wǎng)網(wǎng)后會被黑客客襲擊的漏洞洞，更不幸的的是Windows2000中還還有本地操作作漏洞。簡單單地說，Windows2000在啟動后出出現(xiàn)一個登錄錄窗口，不同同的用戶用不不同的用戶名名和密碼登錄錄，獲得不同同的使用權(quán)限限。由于Windows2000登錄漏洞的的存在，使得得任何個人只只要在本地計計算機接觸到到計算機，就就能訪問本地地計算機中的的信息，其登登錄驗證窗口口竟然形同虛虛設(shè)?？偰夸?.4.2UNIX/Linux操作作系統(tǒng)安安全管理理UNIX/Linux是一種種適用于于多種硬硬件平臺臺的多用用戶、多多任務(wù)操操作系統(tǒng)統(tǒng)，其安安全性是是很高的的。系統(tǒng)統(tǒng)提供了了三層的的防御體體系：賬賬號安全全、權(quán)限限安全和和文件系系統(tǒng)安全全。1.用戶戶賬號和和口令①默認(rèn)賬賬號所有的UNIX系統(tǒng)安安裝完畢畢后都有有默認(rèn)賬賬號，有有時這些些賬號有有默認(rèn)的的口令或或者根本本沒有口口令。這這樣，它它們就成成為攻擊擊者最好好的突破破口。②共享賬號UNIX系統(tǒng)統(tǒng)的每個用戶戶都應(yīng)該有自自己的專用賬賬號。如果允允許用戶使用用共享，即多多個用戶使用用相同的賬號號，該賬號的的安全就被破破壞了。③口令安全任何登錄UNIX系統(tǒng)的的人，都必須須輸入口令，，而口令文件件只有超級用用戶可以讀寫寫?？偰夸?.用戶和用用戶組雖然每個UNIX用戶都都有一個長達達8個字符的的用戶名，但但在UNIX／Linux內(nèi)部只用用一個數(shù)字來來標(biāo)識每個用用戶：用戶的的標(biāo)識符(UID)。通通常，系統(tǒng)為為每一個用戶戶分配一個不不同的UID。UID被規(guī)定定為一個無符符號的16位位整數(shù)，這意意味著它的取取值范圍是0-65535。0-19之間的UID被用來來標(biāo)識系統(tǒng)函函數(shù)，分配給給用戶使用的的UID通常常是從20開開始。UID是操作作系統(tǒng)用于識識別用戶的實實際信息，系系統(tǒng)提供用戶戶名僅僅是出出于方便用戶戶的考慮。如如果兩個用戶戶被分配給相相同的UID，系統(tǒng)將他他們視為同一一個用戶，即即使他們有不不同的用戶名名和口令。兩兩個具有相同同UID的用用戶可以自由由地讀取和刪刪除對方的文文件。出于管理理的方便便，UNIX／／Linux系系統(tǒng)還劃劃分了用用戶組，，每個用用戶都位位于一個個或者多多個用戶戶組中。。與用戶戶標(biāo)識一一樣，每每一個用用戶組在在系統(tǒng)內(nèi)內(nèi)部也用用了一個個整數(shù)標(biāo)標(biāo)識，稱稱為用戶戶組標(biāo)識識(GID)。。每一個UNIX／Linux系統(tǒng)都都有一個個UID為0的的特殊用用戶，它它被稱作作超級用用戶并且且被賦予予用戶名名“root””，其口口令通常常稱為““root口令令”。總目錄6.5.1Internet安安全概概述1.網(wǎng)絡(luò)絡(luò)安全現(xiàn)現(xiàn)狀隨著網(wǎng)絡(luò)絡(luò)應(yīng)用領(lǐng)領(lǐng)域的不不斷拓展展，互聯(lián)聯(lián)網(wǎng)在全全球的迅迅猛發(fā)展展，社會會的政治治、經(jīng)濟濟、文化化、教育育等各個個領(lǐng)域都都在向網(wǎng)網(wǎng)絡(luò)化的的方面發(fā)發(fā)展。與與此同時時，“信信息垃圾圾”、““郵件炸炸彈”、、“電腦腦病毒””、“黑黑客”等等也開始始在網(wǎng)上上橫行，，不僅造造成了巨巨額的經(jīng)經(jīng)濟損失失，也在在用戶的的心理及及網(wǎng)絡(luò)發(fā)發(fā)展的道道路上投投下巨大大的陰影影。2.網(wǎng)絡(luò)絡(luò)軟件自自身的安安全及補補丁網(wǎng)絡(luò)系統(tǒng)統(tǒng)軟件是是運行管管理其他他網(wǎng)絡(luò)軟軟、硬件件資源的的基礎(chǔ)，，因而其其自身的的安全性性直接關(guān)關(guān)系到網(wǎng)網(wǎng)絡(luò)的安安全。網(wǎng)網(wǎng)絡(luò)系統(tǒng)統(tǒng)軟件由由于安全全功能欠欠缺或由由于系統(tǒng)統(tǒng)在設(shè)計計時的疏疏忽和考考慮不周周而留下下安全漏漏洞，都都會給攻攻擊者以以可乘之之機，危危害網(wǎng)絡(luò)絡(luò)的安全全性。許許多軟件件存在著著安全漏漏洞，一一般生產(chǎn)產(chǎn)商會針針對已發(fā)發(fā)現(xiàn)的漏漏洞發(fā)布布“補丁丁(Patch)”程程序。6.5Internet安全管管理總目錄6.5.2FTP安全管管理1.FTP的的工工作作原原理理(1)FTP連連接接模模式式FTP使使用用兩兩個個獨獨立立的的TCP連連接接：：一一個個在在服服務(wù)務(wù)器器和和客客戶戶端端之之間間傳傳遞遞命命令令(通通常常稱稱為為命命令令通通道道)；；另另一一個個用用來來傳傳送送文文件件和和目目錄錄列列表表(通通常常稱稱為為數(shù)數(shù)據(jù)據(jù)通通道道)。。數(shù)數(shù)據(jù)據(jù)通通道道為為端端口口號號20和和端端口口號號21，，客客戶戶端端則則是是用用大大于于1023的的端端口口。。FTP支支持持兩兩種種連連接接模模式式，，一一種種叫叫做做standard(也也就就是是active，，主主動動方方式式)，，另另一一個個叫叫passive模模式式(也也就就是是pasv，，被被動動方方式式)。。lStandard模式式：：FTP客戶戶端端首首先先和和FTPServer的TCP21端口口建建立立連連接接，，通通過過這這個個信信道道發(fā)發(fā)送送命命令令，，客客戶戶端端需需要要接接收收資資料料的的時時候候在在這這個個信信道道上上發(fā)發(fā)送送port命令。。lPassive模式：：在建建立控控制信信道的的時候候和Standard模式類類似，，當(dāng)客客戶端端通過過這個個信道道發(fā)送送PASV命令的的時候候，F(xiàn)TPserver開啟一一個位位于1024和5000之間的的隨機機Port并且通通知客客戶端端在這這個Port上傳送送資料料的請請求，，然后后FTPserver將通過過這個個Port進行資資料的的傳送送?？偰夸?2)匿匿名FTP當(dāng)我們們登錄錄到匿匿名FTP服務(wù)務(wù)器后后，可可多次次使用用cd和dir來查查看資資料信信息。。許多多FTP服服務(wù)器器一般般把Anonymous用戶戶能訪訪問的的文件件放在在pub子子目錄錄下。。許多多目錄錄都含含有readme或或index文文件，，閱讀讀這些些文件件可以以看到到對該該目錄錄所包包含內(nèi)內(nèi)容的的說明明。列列出文文件看看看是是否有有需要要的資資料后后，把把需要要的資資料拷拷貝到到本地地計算算機中中。一些站站點經(jīng)經(jīng)常為為匿名名FTP提提供空空間，，以便便外部部用戶戶能用用它上上傳文文件，，這個個可寫寫空間間是非非常有有用的的，但但也有有不完完美的的地方方。如如果這這個可可寫路路徑被被心懷懷不軌軌的人人得知知，就就會被被Internet上的的非法法用戶戶作為為非法法資料料的集集散和和中轉(zhuǎn)轉(zhuǎn)地，，網(wǎng)上上有很很多盜盜版軟軟件包包括黃黃色影影像文文件通通常就就是通通過這這種方方法傳傳播的的。既然匿名FTP會對網(wǎng)絡(luò)絡(luò)安全造成影影響，在提供供匿名FTP服務(wù)時就應(yīng)應(yīng)該格外小心心。可以通過過以下方法提提高匿名FTP安全性。。檢查系統(tǒng)上上FTP服服務(wù)的所有有缺省配置置情況。不不是所有版版本的FTP服務(wù)器器都是可配配置的。如如果運行的的是可配置置的FTP，要確保保所有的delete、overwrite、、rename、chmod和umask選項項都是guests和anonymous用戶戶不能執(zhí)行行的?？偰夸?.FTP的漏洞及其其防范措施施(1)密密碼保護（（ProtectingPassword））存在漏洞：：l在FTP標(biāo)標(biāo)準(zhǔn)“PR85””中，F(xiàn)TP服務(wù)器器允許無限限次輸入密密碼。l“pass”命令以以明文傳送送密碼。對此此漏漏洞洞能能夠夠有有兩兩種種強強力力攻攻擊擊方方式式：：l在同同一一連連接接上上直直接接強強力力攻攻擊擊。。l和服服務(wù)務(wù)器器建建立立多多個個、、并并行行的的連連接接進進行行強強力力攻攻擊擊。。防范范措措施施：：服服務(wù)務(wù)器器應(yīng)應(yīng)限限制制嘗嘗試試輸輸入入口口令令的的次次數(shù)數(shù)，，在在幾幾次次失失敗敗后后服服務(wù)務(wù)器器應(yīng)應(yīng)關(guān)關(guān)閉閉和和用用戶戶的的控控制制連連接接。。在在關(guān)關(guān)閉閉之之前前，，服服務(wù)務(wù)器器有有發(fā)發(fā)送送返返回回信信息息碼碼421（（服服務(wù)務(wù)器器不不可可用用，，關(guān)關(guān)閉閉控控制制連連接接））。。另另外外，，服服務(wù)務(wù)器器在在響響應(yīng)應(yīng)無無效效的的““pass””命命令令之之前前應(yīng)應(yīng)暫暫停停幾幾秒秒鐘鐘來來消消除除強強力力攻攻擊擊的的有有效效性性。?？偰夸?2)訪訪問問控控制制存在在漏漏洞洞：：從從安安全全角角度度出出發(fā)發(fā)，，對對一一