第10章計算機網(wǎng)絡(luò)安全

計算機網(wǎng)絡(luò)第10章計算機網(wǎng)絡(luò)安全本章主要內(nèi)容

影響網(wǎng)絡(luò)安全的因素可以采取的安全措施信息安全體系結(jié)構(gòu)計算系統(tǒng)安全標準常用的安全技術(shù)防火墻技術(shù)影響網(wǎng)絡(luò)安全的因素內(nèi)部因素：有一定級別權(quán)限的用戶有可能威脅網(wǎng)絡(luò)安全

外部威脅：外部的非法訪問和攻擊會威脅網(wǎng)絡(luò)安全

硬件安全：硬件本身可能會損壞，電壓、電流的突變，事故和災(zāi)害的發(fā)生，日常的消耗和磨損影響網(wǎng)絡(luò)安全的因素軟件故障

：軟件故障或病毒發(fā)作而引起的程序出錯，軟件本身的缺陷，軟件被刪除、更改信息安全

：數(shù)據(jù)文件被刪除或丟失，數(shù)據(jù)被篡改、盜用，或者在傳輸過程中被竊取病毒的攻擊：病毒是一種影響廣泛的威脅，能通過網(wǎng)絡(luò)廣泛傳播，最終影響整個網(wǎng)絡(luò)的正常運行可以采取的安全措施

提高安全意識采用身份認證和控制訪問使用防火墻采用信息加密技術(shù)做好故障恢復(fù)和網(wǎng)絡(luò)數(shù)據(jù)備份工作做好硬件設(shè)備的防泄漏處理信息安全體系結(jié)構(gòu)1989年2月15日，頒布基于OSI參考模型的七層協(xié)議之上的信息安全體系結(jié)構(gòu)標準ISO7498-2。內(nèi)容主要包括：五類安全服務(wù)：保密性、完整性、鑒別、訪問控制、抗否認。八類安全機制：加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整性、鑒別交換、業(yè)務(wù)流填充、路由控制、公證）。1991年，頒布了OSI安全管理標準ITUX.800。計算系統(tǒng)安全標準“桔皮書”（美國國防部委托計算機系統(tǒng)評價規(guī)范說明書）用途是提供專門的硬件、固件和軟件的安全規(guī)范和有關(guān)的技術(shù)評價方法，來支持綜合自動數(shù)據(jù)處理系統(tǒng)的安全模型策略。

“桔皮書”把安全標準分為：A、B、C、D四級“紅皮書”是美國家計算機安全中心發(fā)表的“可信計算機系統(tǒng)評價規(guī)范的可信網(wǎng)絡(luò)描述”?！凹t皮書”是解釋“桔皮書”的一個手冊，將C2規(guī)范的各個方面都從網(wǎng)絡(luò)角度加以描述，惟一重要的不同的是規(guī)定了網(wǎng)絡(luò)發(fā)起人的作用。常用的安全技術(shù)VPN虛擬專用網(wǎng)防火墻防病毒入侵檢測包過濾10.4防火墻技術(shù)防火墻：防火墻是在內(nèi)部網(wǎng)與外部網(wǎng)之間實施安全防范的系統(tǒng)，用于確定哪些內(nèi)部資源允許外部訪問，以及允許哪些內(nèi)部網(wǎng)用戶訪問哪些外部資源及服務(wù)。防火墻的優(yōu)缺點防火墻的優(yōu)點允許網(wǎng)絡(luò)管理員在網(wǎng)絡(luò)中定義一個控制點，將內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)隔開；審查和記錄Internet使用情況的最佳點；設(shè)置網(wǎng)絡(luò)地址翻譯器（NAT）的最佳位置；作為向客戶或其他外部伙伴發(fā)送信息的中心聯(lián)系點；防火墻的局限性不能防范不經(jīng)過防火墻的攻擊；不能防范由于內(nèi)部的威脅；不能防止病毒攻擊；很難防止數(shù)據(jù)驅(qū)動式攻擊；防火墻策略網(wǎng)絡(luò)服務(wù)訪問策略一種高層次、具體到事件的策略，用于定義網(wǎng)絡(luò)中允許的或禁止的網(wǎng)絡(luò)服務(wù)，且包括對撥號訪問等連接的限制防火墻設(shè)計策略針對具體的規(guī)則來實施的網(wǎng)絡(luò)服務(wù)訪問策略。防火墻一般執(zhí)行下面兩種基本設(shè)計策略中的一種

未禁止的都是允許的服務(wù)未允許的都是禁止的服務(wù)防火墻的種類和應(yīng)用包過濾防火墻

能夠根據(jù)單個包的TCP、UDP、ICMP、IP報頭來決定允許或拒絕通信它審查每一個數(shù)據(jù)包以確定其是否與某一條包過濾規(guī)則匹配可以綜合考慮通信流量的方向、IP源地址和目的地址、以及TCP或UDP的源端口號和目的端口號代理服務(wù)器上安裝有特殊用途的特別應(yīng)用程序，被稱為代理服務(wù)或代理服務(wù)器程序。使用代理服務(wù)后，各種服務(wù)不再直接通過防火墻轉(zhuǎn)發(fā)，對應(yīng)用數(shù)據(jù)的轉(zhuǎn)發(fā)取決于代理服務(wù)器的配置：只支持一個應(yīng)用程序的特定功能，同時拒絕所有其他功能；支持所有的功能，比如同時支持WWW、FTP、Telnet、SMTP和DNS等。

代理服務(wù)器防火墻

屏蔽主機防火墻將所有的外部主機與一臺堡壘主機相連接，再設(shè)置一個過濾路由器作為橋梁提供的安全等級比包過濾防火墻系統(tǒng)要高實現(xiàn)了網(wǎng)絡(luò)層安全（包過濾）和應(yīng)用層安全（代理服務(wù)）屏蔽子網(wǎng)防火墻屏蔽子網(wǎng)本質(zhì)上與屏蔽主機一樣，但增加了周邊網(wǎng)絡(luò)一層保護周邊網(wǎng)絡(luò)用了兩個包過濾路由器和一臺堡壘主機