網(wǎng)絡(luò)安全實戰(zhàn)詳解

第一章網(wǎng)絡(luò)安全基礎(chǔ)網(wǎng)絡(luò)安全的現(xiàn)狀與挑戰(zhàn)1.1.1我國網(wǎng)絡(luò)安全的現(xiàn)狀（1）計算機(jī)系統(tǒng)遭受病毒感染和破壞的情況相當(dāng)嚴(yán)重。（2）黑客活動已形成嚴(yán)重威脅（3）安全意識淡薄是網(wǎng)絡(luò)安全的瓶頸。1.1.2網(wǎng)絡(luò)安全面臨的挑戰(zhàn)1、網(wǎng)絡(luò)部安全的原因（1）教育問題（2）技術(shù)方面（3）互聯(lián)網(wǎng)不安全（4）系統(tǒng)軟件自身不安全（5）網(wǎng)絡(luò)管理問題2、威脅的來源威脅網(wǎng)絡(luò)安全的主要來源包括內(nèi)部人員（信息系統(tǒng)的管理者、使用者和決策者、開發(fā)者、維護(hù)者等）、特殊身份的人員（審計人員、稽查人員、記者等）、外部黑客、競爭對手、網(wǎng)絡(luò)恐怖組織、軍事組織或國家組織等。任何威脅都可能是主機(jī)受到非法入侵者的攻擊，網(wǎng)絡(luò)中的敏感數(shù)據(jù)有可能泄露或被修改，從內(nèi)部網(wǎng)向公共網(wǎng)傳輸?shù)男畔⒖赡鼙凰烁`聽或篡改。3、安全威脅與網(wǎng)絡(luò)攻擊的類型多樣化（1）竊聽（2）重傳（3）偽造（4）篡改（5）非授權(quán)訪問（6）拒絕服務(wù)攻擊（7）行為否認(rèn)（8）旁路控制（9）電磁/射頻截獲（10）人員疏忽1.2網(wǎng)絡(luò)安全的定義從本質(zhì)上講，網(wǎng)絡(luò)安全就是網(wǎng)絡(luò)上信息的安全。網(wǎng)絡(luò)安全是指包含網(wǎng)絡(luò)信息系統(tǒng)中的軟件、硬件級信息資源，使之免受偶然或者惡意的破壞篡改和泄露，保證網(wǎng)絡(luò)系統(tǒng)的正常運行、網(wǎng)絡(luò)服務(wù)不中斷。網(wǎng)絡(luò)安全是一門涉及計算機(jī)科學(xué)、網(wǎng)絡(luò)技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論、信息論等多種學(xué)科的綜合性科學(xué)。從廣義上講，網(wǎng)絡(luò)安全包括網(wǎng)絡(luò)硬件資源和信息資源的安全性。硬件資源包括通信線路、通信設(shè)備（交換機(jī)、路由器等）、主機(jī)等，要實現(xiàn)信息快速安全的交換，一個可靠的物理網(wǎng)絡(luò)是必不可少的。信息資源包括維持網(wǎng)絡(luò)服務(wù)運行的系統(tǒng)軟件和應(yīng)用軟件，以及在網(wǎng)絡(luò)中存儲和傳輸?shù)挠脩粜畔?shù)據(jù)等。1.3典型網(wǎng)絡(luò)安全案例分析1.4網(wǎng)絡(luò)安全技術(shù)數(shù)據(jù)加密技術(shù)密碼技術(shù)是保障網(wǎng)絡(luò)安全的最基本、最核心的技術(shù)措施。加密技術(shù)是將資料加密，以防止信息泄露的技術(shù)。就體質(zhì)而言，目前的加密體制可分為：但密鑰加密體制和公鑰加密體制。單密鑰加密體制對稱加密算法、私鑰加密體制。速度快，容易用軟硬件實現(xiàn)。公鑰加密體制非對稱加密體制，RSA。防火墻技術(shù)防火墻是網(wǎng)絡(luò)訪問控制設(shè)備，用于拒絕除了明確允許通過之外的所有通信數(shù)據(jù)。大多數(shù)防火墻都采用多種功能相結(jié)合的形式來保護(hù)自己的網(wǎng)絡(luò)不受惡意傳輸?shù)墓簦渲凶盍餍械募夹g(shù)有靜態(tài)分組過濾、動態(tài)分組過濾、狀態(tài)過濾和代理服務(wù)器技術(shù)。1.4.3認(rèn)證技術(shù)認(rèn)證技術(shù)就是驗證一個用戶、系統(tǒng)或進(jìn)程的身份，當(dāng)這種驗證發(fā)生時，依據(jù)系統(tǒng)管理員制定的參數(shù)而使真正的用戶或系統(tǒng)能夠獲得相應(yīng)的權(quán)限。常用認(rèn)證技術(shù)：1.身份認(rèn)證2.報文認(rèn)證3.訪問授權(quán)4.數(shù)字簽名殺毒軟件技術(shù)殺毒軟件是最常見、最普通的安全技術(shù)方案，因為這種技術(shù)實現(xiàn)起來簡單。現(xiàn)在殺毒軟件有預(yù)防木馬和防火墻的作用。入侵檢測技術(shù)入侵檢測技術(shù)是對防火墻技術(shù)的一種邏輯補(bǔ)償技術(shù)，是一種積極主動的安全防護(hù)技術(shù)，提佛功能了對內(nèi)部入侵、外部入侵、和誤操作的實時保護(hù)，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截相應(yīng)入侵。入侵檢測技術(shù)三個發(fā)展方向:分布式入侵檢測、智能化入侵檢測、和全面的安全防御方案。1．4.6訪問控制技術(shù)每個系統(tǒng)都要確保訪問用戶是有權(quán)限的，這樣才允許他們訪問，這種機(jī)制交訪問控制。每當(dāng)用戶對系統(tǒng)進(jìn)行訪問時，參考監(jiān)視器就會查看授權(quán)數(shù)據(jù)庫，已確定準(zhǔn)備進(jìn)行操作的用戶是否確實得到了可進(jìn)行此項操作的許可。1.4.7虛擬專用網(wǎng)VPNVPN是目前解決信息安全最新、最成功的技術(shù)之一。所謂虛擬專用網(wǎng)技術(shù)就是在公網(wǎng)上建立專用網(wǎng)絡(luò)，使數(shù)據(jù)通過安全的“加密管道”在公網(wǎng)中傳輸。構(gòu)建VPN有兩種主流機(jī)制：路由過濾技術(shù)和隧道技術(shù)。目前VPN采用以下4中技術(shù)來保障安全：隧道技術(shù)、加/解密技術(shù)、密鑰管理技術(shù)、使用者和設(shè)備身份認(rèn)證技術(shù)。1.4.8其他網(wǎng)絡(luò)安全技術(shù)1.智能卡技術(shù)安全脆弱性掃描技術(shù)網(wǎng)絡(luò)數(shù)據(jù)存儲、備份及容災(zāi)規(guī)劃目前主流的網(wǎng)絡(luò)安全技術(shù)解決網(wǎng)絡(luò)安全只是相對的，不可能保證網(wǎng)絡(luò)的萬無一失，任何的網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)的防范措施都有一定的限度，還有其他很多因素影響網(wǎng)絡(luò)安全。1．5網(wǎng)絡(luò)安全體系結(jié)構(gòu)1.5.1網(wǎng)絡(luò)安全體系結(jié)構(gòu)框架一個三維的網(wǎng)絡(luò)安全體系結(jié)構(gòu)框架，反應(yīng)了信息系統(tǒng)的安全需求和系統(tǒng)結(jié)構(gòu)的共性。五大網(wǎng)絡(luò)安全服務(wù)安全服務(wù)是指采用一種或多種安全機(jī)制以抵御安全攻擊、提高機(jī)構(gòu)的數(shù)據(jù)處理系統(tǒng)安全和信息傳輸安全的服務(wù)。在對威脅進(jìn)行分析的基礎(chǔ)上，規(guī)定了五大標(biāo)準(zhǔn)網(wǎng)絡(luò)安全服務(wù)。（1） 鑒別服務(wù)身份鑒別是授權(quán)控制的基礎(chǔ)。目前一般采用的是基于對稱密鑰加密或公開密鑰加密的方法，采用高強(qiáng)度的密碼技術(shù)進(jìn)行身份認(rèn)證。比較著名的有Kerberos、PGP等方法。（2） 訪問控制服務(wù)用于防止為授權(quán)用戶非法使用系統(tǒng)資源，包括用戶身份認(rèn)證、用戶權(quán)限確認(rèn)。對訪問控制的要求有：一致性統(tǒng)一性有審計功能（3） 數(shù)據(jù)完整性數(shù)據(jù)完整性是指通過網(wǎng)上傳輸?shù)臄?shù)據(jù)應(yīng)注重非法實體對交換數(shù)據(jù)的修改、插入、刪除、替換或重發(fā)，以保證合法用戶接收和使用該數(shù)據(jù)的真實性。（4） 數(shù)據(jù)保密服務(wù)為了防止網(wǎng)絡(luò)中各個系統(tǒng)之間交換的數(shù)據(jù)被截獲的或被非法錯去的二造成泄密，提供密碼加密保護(hù)。（5） 抗抵賴服務(wù)并防止發(fā)送發(fā)在發(fā)送數(shù)據(jù)后否認(rèn)自己發(fā)送過此數(shù)據(jù)，接收方在接收數(shù)據(jù)后否認(rèn)自己受到過次數(shù)據(jù)或者偽造接收數(shù)據(jù)。一是不得否認(rèn)發(fā)送，二時不得否認(rèn)接收電子簽名的主要目的是防止抵賴，防止否認(rèn)，給仲裁提供證據(jù)。八大網(wǎng)絡(luò)安全機(jī)制安全機(jī)制是指涉及用于檢測、預(yù)防安全攻擊后恢復(fù)系統(tǒng)的機(jī)制。（1） 加密機(jī)制加密是提供信息保密的核心方法。（2） 訪問控制機(jī)制訪問控制是通過對訪問者的有關(guān)信息進(jìn)行檢測來限制后禁止訪問者使用資源的技術(shù)。房屋內(nèi)控制還可以直接支持?jǐn)?shù)據(jù)機(jī)密性、數(shù)據(jù)完整性、可用性以及合法使用的安全目標(biāo)。（3） 數(shù)據(jù)完整性機(jī)制數(shù)字完整性包括數(shù)據(jù)單元完整性和數(shù)據(jù)字段完整性。數(shù)據(jù)單元完整性主要用hash函數(shù)生成標(biāo)記。（4） 數(shù)字簽名機(jī)制數(shù)字簽名機(jī)制主要解決以下問題否認(rèn)偽造冒充篡改數(shù)字簽名機(jī)制具有可證實性、不可否認(rèn)性、不可為偽造性和不可重用性。（5） 交換鑒別機(jī)制交換鑒別機(jī)制是通過相互交換信息的方式來確定彼此的身份。用于交換鑒別的技術(shù)有：口令和密碼技術(shù)。（6） 公證機(jī)制公證機(jī)制是在兩個和多個實體之間交換數(shù)據(jù)信息時，用戶保護(hù)各個實體安全及糾紛的仲裁。（7） 流量填充機(jī)制流量填充機(jī)制提供針對流量分析的保護(hù)，外部攻擊者有時能夠根據(jù)數(shù)據(jù)交換的出現(xiàn)，消失、數(shù)量、或頻率而提取有用的信息。（8） 路由控制機(jī)制路由控制機(jī)制使得可以指定透過網(wǎng)絡(luò)發(fā)送數(shù)據(jù)的路徑。1.5.2網(wǎng)絡(luò)安全服務(wù)層次模型開放系統(tǒng)互連參考模型的層次功能是上層利用下層提供的服務(wù)，下層為上層服務(wù)。在物理層要保證通信線路的可靠，不易被竊聽。在數(shù)據(jù)鏈路層可以采用加密技術(shù)，保證通信的安全。在互聯(lián)網(wǎng)和internet環(huán)境中，地域分布很廣，物理層的安全難以保證，鏈路層的加密技術(shù)也不完全適用。在網(wǎng)絡(luò)層，可以采用傳統(tǒng)的防火墻技術(shù)，還可適用IP加密傳輸信道技術(shù)Ipsec，在兩個結(jié)點之間建立透明的安全加密信道。在傳輸層可以實現(xiàn)進(jìn)程到進(jìn)程的安全通信。如現(xiàn)在流行的安全套接字SSL技術(shù)，是在兩個通信節(jié)點間建立安全的TCP連接。這種技術(shù)實現(xiàn)了基于進(jìn)程對進(jìn)程的安全服務(wù)和加密傳輸信道，采用公鑰體系做身份認(rèn)證，具有較高的安全度。但這種技術(shù)對應(yīng)用層不透明，需要證書授權(quán)中心，它本身不提供訪問控制。應(yīng)用層針對特定的應(yīng)用有效。1.5．3網(wǎng)絡(luò)安全層次模型分析分析從網(wǎng)絡(luò)安全層次模型基礎(chǔ)上分析網(wǎng)絡(luò)安全風(fēng)險，可以將網(wǎng)絡(luò)安全分層4個層次上的安全風(fēng)險。1.物理安全網(wǎng)絡(luò)設(shè)備、設(shè)施安全。（1）防盜（2）防火（3）防靜電（4）防雷（5）防電磁泄漏邏輯安全主要體現(xiàn)在網(wǎng)絡(luò)方面的安全性，包括網(wǎng)絡(luò)層身份認(rèn)證、網(wǎng)絡(luò)資源的訪問控制、數(shù)據(jù)傳輸?shù)谋Ｃ芘c完整性、遠(yuǎn)程接入安全、域名系統(tǒng)的安全、路由系統(tǒng)的安全、入侵檢測的手段和網(wǎng)絡(luò)設(shè)施的放病毒。操作系統(tǒng)安全主要體現(xiàn)在3個方面：一是操作系統(tǒng)本身缺陷帶來的不安全因素，主要包括身份認(rèn)證、訪問控制、系統(tǒng)漏洞等；二是操作系統(tǒng)安全配置問題；三是病毒對操作系統(tǒng)的威脅。聯(lián)網(wǎng)安全聯(lián)網(wǎng)的安全性通過兩方面來達(dá)到:訪問控制服務(wù)通信安全服務(wù)1.6網(wǎng)絡(luò)安全評估準(zhǔn)則1.6.1網(wǎng)絡(luò)安全評估準(zhǔn)則的發(fā)展可信計算機(jī)系統(tǒng)評估準(zhǔn)則美國TCSEC橘皮書信息技術(shù)安全評估準(zhǔn)則歐洲ITSEC白皮書加拿大可信計算機(jī)產(chǎn)品評個準(zhǔn)則CTCSEC美國聯(lián)邦準(zhǔn)則FC通用安全評估準(zhǔn)則CC標(biāo)準(zhǔn)第一個信息技術(shù)安全評估國際標(biāo)準(zhǔn)。計算機(jī)信息系統(tǒng)安全等級劃分標(biāo)準(zhǔn)GB17895-19991.6.2可信計算機(jī)系統(tǒng)評估準(zhǔn)則7個級別，一般操作系統(tǒng)C2級。計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則第一級為用戶自主保護(hù)級第二級為系統(tǒng)審計保護(hù)級第三極為安全標(biāo)記保護(hù)級第四級為結(jié)構(gòu)化保護(hù)級第五級為訪問驗證保護(hù)級1.6.4網(wǎng)絡(luò)安全評估服務(wù)網(wǎng)絡(luò)安全評估是一個比較泛化的概念，其核心是網(wǎng)絡(luò)安全風(fēng)險評估。企業(yè)的安全風(fēng)險信息是動態(tài)變化的，只用動態(tài)的信息安全評估才能發(fā)現(xiàn)和追蹤最新的安全風(fēng)險。所以企業(yè)的網(wǎng)絡(luò)信息安全評估是一個長期持續(xù)的工作，通常每隔1~3年就進(jìn)行一次安全風(fēng)險評估。網(wǎng)絡(luò)安全管理安全管理原則安全管理實現(xiàn)1.7網(wǎng)絡(luò)安全法律法規(guī)系統(tǒng)第二章網(wǎng)絡(luò)安全的規(guī)劃與設(shè)計一個可行的網(wǎng)絡(luò)系統(tǒng)安全規(guī)劃與設(shè)計方案應(yīng)具備三個基本特征：既充分滿足應(yīng)用需求、具有較高的性價比、最大限度保護(hù)用戶投資。網(wǎng)絡(luò)系統(tǒng)安全規(guī)劃設(shè)計概述2.1.1網(wǎng)絡(luò)系統(tǒng)安全規(guī)劃的意義2.1.2網(wǎng)絡(luò)系統(tǒng)安全規(guī)劃的任務(wù)網(wǎng)絡(luò)系統(tǒng)安全的規(guī)劃是在需求分析的基礎(chǔ)上進(jìn)行技術(shù)的論證，把用戶提出的問題和要求，用網(wǎng)絡(luò)安全方面的術(shù)語提出來，經(jīng)過技術(shù)方面的分析，提出一整套網(wǎng)絡(luò)系統(tǒng)規(guī)劃與設(shè)計的設(shè)想和方案。網(wǎng)絡(luò)安全的規(guī)劃設(shè)計要用科學(xué)的方法，對網(wǎng)絡(luò)上各種數(shù)據(jù)進(jìn)行風(fēng)險評估，然后選擇適當(dāng)?shù)木W(wǎng)絡(luò)安全機(jī)制和方法。網(wǎng)絡(luò)安全規(guī)劃和設(shè)計一般經(jīng)歷以下幾個過程：（1）問題的提出與技術(shù)化分析（2）充分調(diào)研，確定網(wǎng)絡(luò)資源，分析網(wǎng)絡(luò)資源的安全性威脅，分析安全性需求和折中方案。（3）把總體設(shè)計具體化，開發(fā)安全性方案，定義安全策略。（4）經(jīng)費概算（5）開發(fā)實現(xiàn)安全策略，選用適當(dāng)?shù)木W(wǎng)絡(luò)安全技術(shù)措施實現(xiàn)安全策略（6）編寫規(guī)劃技術(shù)文檔（7）得到用戶認(rèn)可，培訓(xùn)用戶，實現(xiàn)技術(shù)策略（8）測試安全性，發(fā)現(xiàn)問題并改正（9）通過制定周期的獨立審計，閱讀審計日志，響應(yīng)突發(fā)事件，閱讀最后的文獻(xiàn)，不斷測試和培訓(xùn)，更新安全計劃和策略。網(wǎng)絡(luò)系統(tǒng)安全規(guī)劃設(shè)計的基本原則網(wǎng)絡(luò)安全的實質(zhì)是安全立法、安全管理和安全技術(shù)的綜合實施。這三個層次體現(xiàn)了安全策略的限制、監(jiān)視和保障職能。根據(jù)防范安全攻擊的需求、需要達(dá)到的安全目標(biāo)、對應(yīng)安全機(jī)制所需的安全服務(wù)等因素，參照SSE-CMM（系統(tǒng)安全工程能力成熟度模型）和ISO17799（信息安全管理標(biāo)準(zhǔn)）等國際標(biāo)準(zhǔn)，綜合考慮可實施性，可管理性、和擴(kuò)展性、綜合完備性、系統(tǒng)均衡性等方面，子啊網(wǎng)絡(luò)安全方案整體規(guī)劃、設(shè)計過程中應(yīng)遵循下列十大原則。1.整體性原則三大機(jī)制：安全防護(hù)機(jī)制是根據(jù)具體系統(tǒng)存在的各種安全隱患采取相應(yīng)的防護(hù)措施，避免非法攻擊的進(jìn)行。安全檢測機(jī)制是檢測系統(tǒng)的運行情況，及時發(fā)現(xiàn)和制止對系統(tǒng)進(jìn)行的各種攻擊。安全恢復(fù)機(jī)制是在安全防護(hù)機(jī)制失效的情況下，進(jìn)行應(yīng)急處理和盡量、及時地恢復(fù)信息，降低破壞程度。2.均衡性原則安全系統(tǒng)設(shè)計要正確處理需求、風(fēng)險與代價的關(guān)系，做到安全與可用性相融，使其更易執(zhí)行。這就要求在設(shè)計安全策略是，要全面地評估企業(yè)的實際安全需求等級及企業(yè)的實際經(jīng)濟(jì)能力，尋找安全風(fēng)險與實際需求之間的一個均衡點。有效性和實用性原則不能影響系統(tǒng)正常的運行和合法用戶的操作。在進(jìn)行網(wǎng)絡(luò)安全策略設(shè)計時，一定要結(jié)合實際安全等級需求與經(jīng)濟(jì)承受能力來綜合考慮。等級性原則安全層次和安全級別。好的信息安全系統(tǒng)必然是分為不同的等級的，包括對信息保密程度分級，對網(wǎng)絡(luò)安全程度分級（安全域和安全子網(wǎng)），對系統(tǒng)是實現(xiàn)結(jié)構(gòu)分級，針對不同的級別的對象，保護(hù)措施不同。易操作性原則技術(shù)與原理相結(jié)合原則統(tǒng)籌規(guī)劃，分布實施原則動態(tài)化原則可評價性原則多重保護(hù)原則縱深防御網(wǎng)絡(luò)系統(tǒng)安全需求與安全目標(biāo)分析網(wǎng)絡(luò)資源的共享與網(wǎng)絡(luò)的安全性是一對矛盾體。安全需求分析具體表現(xiàn)：物理上的安全需求電磁泄漏；設(shè)備冗余；系統(tǒng)冗余；線路通信安全。訪問控制需求（1）阻止外部攻擊行為（2）防止內(nèi)部員工合法用戶非授權(quán)訪問（3）防范假冒合法用戶非法訪問加密傳輸需求入侵檢測系統(tǒng)需求安全風(fēng)險評估系統(tǒng)需求網(wǎng)絡(luò)安全掃描系統(tǒng)檢測網(wǎng)絡(luò)中存在的安全漏洞，并修補(bǔ)。防病毒系統(tǒng)需求安全管理體制需求網(wǎng)絡(luò)安全目標(biāo)可靠性可控性3.抗抵賴性保密性完整性有效性基于以上目標(biāo)分析，在局域網(wǎng)中網(wǎng)絡(luò)系統(tǒng)安全應(yīng)該實行以下目標(biāo)：建立一套完整可行的網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理策略將內(nèi)部網(wǎng)絡(luò)、公開服務(wù)器網(wǎng)絡(luò)和外網(wǎng)進(jìn)行有效隔離，避免與外部網(wǎng)絡(luò)的直接通信建立網(wǎng)站各主機(jī)和服務(wù)器的安全保護(hù)措施，保證網(wǎng)絡(luò)系統(tǒng)安全對網(wǎng)上服務(wù)請求內(nèi)容進(jìn)行控制，使非法訪問在到達(dá)主機(jī)前被拒絕加強(qiáng)合法用戶的訪問認(rèn)證，同時將用戶的訪問權(quán)限控制在最低限度全面監(jiān)視對公開服務(wù)器的訪問，及時發(fā)現(xiàn)和拒絕不安全的操作和黑客攻擊行為加強(qiáng)對各種訪問的審計工作，詳細(xì)記錄對網(wǎng)絡(luò)、公開服務(wù)器的訪問行為，形成完整的系統(tǒng)日志備份與災(zāi)難恢復(fù):強(qiáng)化系統(tǒng)備份，實現(xiàn)系統(tǒng)快速恢復(fù)。網(wǎng)絡(luò)安全規(guī)劃設(shè)計與實施步驟網(wǎng)絡(luò)安全規(guī)劃設(shè)計與實施應(yīng)考慮以下5個問題：確定面臨的各種攻擊和風(fēng)險并分析安全需求網(wǎng)絡(luò)安全規(guī)劃設(shè)計與實施必須根據(jù)具體的網(wǎng)絡(luò)系統(tǒng)和環(huán)境，考察、分析、評估、檢測和確定系統(tǒng)存在的安全漏洞和安全威脅。分析網(wǎng)絡(luò)中可能存在的薄弱環(huán)節(jié)，分析這些環(huán)節(jié)可能造成的危害，分析這些危害可能造成的后果和損失。2.3.2明確網(wǎng)絡(luò)系統(tǒng)安全策略網(wǎng)絡(luò)安全最重要的一個任務(wù)就是制定一個安全策略。安全策略是指在一個特定的環(huán)境中，為保證提供一定級別的安全保護(hù)所必須遵守的規(guī)則。網(wǎng)絡(luò)安全策略是保障機(jī)構(gòu)網(wǎng)絡(luò)安全的指導(dǎo)文件，安全策略的目的是決定一個組織機(jī)構(gòu)怎樣來保護(hù)自己。一般來說網(wǎng)絡(luò)安全策略包括總體安全策略和具體安全管理實施規(guī)則。制定組織機(jī)構(gòu)的整體安全策略領(lǐng)導(dǎo)主持制定和系統(tǒng)相關(guān)的安全策略網(wǎng)絡(luò)安全策略主要確定以下幾方面內(nèi)容：安全策略的制定是為了保證信息的保密性、完整性和可用性，應(yīng)具有普遍的指導(dǎo)意義。安全策略要確定用戶的權(quán)利和責(zé)任，包括賬戶管理、資源訪問權(quán)限、口令應(yīng)用以及建立備份等。安全策略還應(yīng)提出一般性的安全防護(hù)措施:存取控制、認(rèn)證、密碼技術(shù)、防火墻技術(shù)、操作系統(tǒng)安全、數(shù)據(jù)庫安全、計算機(jī)病毒防護(hù)、審計和監(jiān)控等方面。在安全運維方面，還應(yīng)注意應(yīng)急處理策略和制度。制定安全策略的依據(jù)：對資源進(jìn)行評估，包括硬件、軟件、數(shù)據(jù)、文檔、等分出安全等級。對可能的威脅進(jìn)行分析，包括非授權(quán)訪問、信息泄露和內(nèi)部缺陷等。2.3.3建立網(wǎng)絡(luò)安全模型模型的建立可以使復(fù)雜的問題簡單化，更好的解決和安全策略有關(guān)的問題。網(wǎng)絡(luò)安全的建立主要參看P2DR模型。Policy策略，Protection防護(hù)，Detection檢測，Response響應(yīng)，這4個部分構(gòu)成了一個動態(tài)的信息安全周期。P2DR模型的基本思想是：一個系統(tǒng)的安全應(yīng)在一個統(tǒng)一的安全策略的控制和指導(dǎo)下，綜合運用各種安全技術(shù)（如防火墻技術(shù)、操作系統(tǒng)身份認(rèn)證和加密等手段）對系統(tǒng)進(jìn)行保護(hù)，同時，利用檢測工具來監(jiān)視和評估系統(tǒng)（漏洞評估和入侵檢測系統(tǒng)）的安全狀態(tài)，并通過適當(dāng)?shù)捻憫?yīng)機(jī)制來講系統(tǒng)調(diào)整到性對“更安全”和“風(fēng)險更低”的狀態(tài)。Policy策略策略是網(wǎng)絡(luò)安全模型的核心，所有的防護(hù)、檢測、響應(yīng)都是依據(jù)安全策略實施的。Protection防護(hù)缺陷掃描、訪問控制及防火墻、防病毒軟件如個人防火墻、數(shù)據(jù)加密、鑒別技術(shù)等Detection檢測IDSResponse響應(yīng)總之，防護(hù)、檢測、響應(yīng)和恢復(fù)組成了一個完整的、動態(tài)的安全循環(huán)，在安全策略的指導(dǎo)保障信息系統(tǒng)的安全。安全=風(fēng)險分析+執(zhí)行策略+系統(tǒng)實施+漏洞監(jiān)測+實施響應(yīng)2.3.4選擇并實施安全策略網(wǎng)絡(luò)安全策略的實施是具體安全技術(shù)機(jī)制和方法是實現(xiàn)。（1） 物理層安全策略設(shè)備和通信鏈路，環(huán)境。電磁泄漏。（2） 數(shù)據(jù)鏈路層安全策略保障通過鏈路傳輸?shù)臄?shù)據(jù)不被竊聽，Vlan和加密（3） 網(wǎng)絡(luò)層安全策略保證網(wǎng)絡(luò)只給授權(quán)的客戶使用授權(quán)的服務(wù)，保證網(wǎng)絡(luò)路由正確，避免攔截或監(jiān)聽。防火墻和VPN（4） 系統(tǒng)安全策略操作系統(tǒng)和業(yè)務(wù)系統(tǒng)（5） 應(yīng)用系統(tǒng)安全策略（6） 網(wǎng)絡(luò)安全管理策略2.3.5安全產(chǎn)品選型測試要求：一是安全產(chǎn)品必須符合國家有關(guān)安全管理部門的政策要求；二是安全產(chǎn)品的功能與性能要求。典型的企業(yè)網(wǎng)絡(luò)安全規(guī)劃設(shè)計案例某小型企業(yè)網(wǎng)絡(luò)安全規(guī)劃設(shè)計方案網(wǎng)絡(luò)應(yīng)用概述該企業(yè)的網(wǎng)絡(luò)系統(tǒng)是典型的intranet系統(tǒng)，總部的主網(wǎng)絡(luò)系統(tǒng)通過DDN專線與互聯(lián)網(wǎng)相連，企業(yè)有網(wǎng)站服務(wù)器系統(tǒng)、郵件服務(wù)器系統(tǒng)和intranet服務(wù)器和內(nèi)部服務(wù)器，分別用于發(fā)布公司的網(wǎng)站、構(gòu)建公司的EmaiI系統(tǒng)及實現(xiàn)本地和遠(yuǎn)程網(wǎng)絡(luò)化辦公，其中總部的主網(wǎng)絡(luò)系統(tǒng)和分支機(jī)構(gòu)的子網(wǎng)絡(luò)系統(tǒng)的數(shù)據(jù)通信是通過互聯(lián)網(wǎng)公網(wǎng)來完成的。此外，公司的研發(fā)中心等重要部門設(shè)置在總部。企業(yè)網(wǎng)絡(luò)結(jié)構(gòu)示意圖如下:安全需求分析為確保公司的整個網(wǎng)絡(luò)系統(tǒng)能夠安全穩(wěn)定運行，需要對重要服務(wù)器、重要子網(wǎng)進(jìn)行安全保護(hù)，對傳輸?shù)臄?shù)據(jù)進(jìn)行加密，對用戶的身份進(jìn)行鑒別等，必須主要解決以下方面的安全問題：（1） 服務(wù)器系統(tǒng)的安全：包括網(wǎng)站服務(wù)器、郵件服務(wù)器、內(nèi)部服務(wù)器等（2） 公司總部和分支機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)安全：防備來自互聯(lián)網(wǎng)的攻擊，如病毒、木馬、黑客等（3） 用戶的身份確定：包括公司員工、網(wǎng)站訪客和網(wǎng)絡(luò)會員。（4） 數(shù)據(jù)傳輸安全：包括總部和分支機(jī)構(gòu)之間、內(nèi)部網(wǎng)用戶到服務(wù)器、移動用戶和家庭用戶到服務(wù)器（5） 保護(hù)重要部門：研發(fā)中心等有產(chǎn)品源代碼安全策略制定（1） 物理安全策略：如機(jī)房環(huán)境、門禁系統(tǒng)、設(shè)備鎖、數(shù)據(jù)備份、CMOS安全設(shè)置等。（2） 訪問控制策略：為公司總部內(nèi)部網(wǎng)與互聯(lián)網(wǎng)之間、公司總部與分支機(jī)構(gòu)之間、互聯(lián)網(wǎng)用戶與公司網(wǎng)絡(luò)之間等需要進(jìn)行互聯(lián)的網(wǎng)絡(luò)制定訪問控制規(guī)則。（3） 安全配置及更新策略：對操作系統(tǒng)、應(yīng)用系統(tǒng)、安全產(chǎn)品等進(jìn)行升級更新，設(shè)置用戶訪問權(quán)限及信任關(guān)系等。（4） 管理員和用戶策略：制定機(jī)房出入管理制度，實行安全責(zé)任制等（5） 安全管理策略：安全規(guī)劃設(shè)置、安全審計、日志分析、漏洞檢測及修等。（6） 密碼安全策略：密碼復(fù)雜度、密碼更改周期、密碼有效期等（7） 緊急事件策略：針對打擊和入侵可能導(dǎo)致的結(jié)果制定應(yīng)急處理流程和災(zāi)難恢復(fù)計劃。產(chǎn)品選擇及部署使用安全產(chǎn)品是貫徹安全策略的有效手段，能夠解決大多數(shù)的安全問題。但這并不代表使用了安全產(chǎn)品就一定安全了，往往需要把安全產(chǎn)品與安全管理和服務(wù)有機(jī)地結(jié)合起來，才能達(dá)到較高的安全水平。（1） 交換機(jī)：劃分VIan進(jìn)行子網(wǎng)隔離，抵抗嗅探類程序，提高網(wǎng)絡(luò)傳輸效率（2） 防火墻：解決內(nèi)外網(wǎng)隔離及服務(wù)器安全防范等問題，主要部署在網(wǎng)絡(luò)的互聯(lián)網(wǎng)接點和重要部門的子網(wǎng)與其他內(nèi)部子網(wǎng)之間，其中個人防火墻系統(tǒng)安裝在客戶端。（3） VPN：解決網(wǎng)絡(luò)間數(shù)據(jù)傳輸?shù)陌踩Ｃ埽饕渴鹪谛枰踩Ｃ艿木€路兩端的接點處，如防火墻和客戶端。（4） 身份認(rèn)證：解決用戶身份鑒別問題，主要部署在專用認(rèn)證服務(wù)器或需要認(rèn)證的服務(wù)器系統(tǒng)中。（5） 反病毒：防范病毒、木馬、蠕蟲等有害程序的感染和傳播，主要部署在服務(wù)器系統(tǒng)和客戶端系統(tǒng)上入侵檢測系統(tǒng)：安全監(jiān)控和黑客入侵實時報警攔截，主要部署在需要保護(hù)的服務(wù)器主機(jī)和需要保護(hù)的子網(wǎng)上。安全教育培訓(xùn)在網(wǎng)絡(luò)安全方案中，安全教育也是比較重要的一個環(huán)節(jié)，安全教育能使用戶掌握基本的安全知識，有利于安全意識的提高，能夠及時制止或避免有可能發(fā)生的安全事件的發(fā)生，能夠是安全產(chǎn)品能夠更好的發(fā)揮其作用，也方便了安全管理和服務(wù)的實施。一般來說，主要是對一般網(wǎng)絡(luò)用戶和網(wǎng)絡(luò)管理員及信息主管等對象實施安全培訓(xùn)，內(nèi)容至少要包含以下一些方面：基本網(wǎng)絡(luò)知識0SI7層網(wǎng)絡(luò)模型及TCP/IP協(xié)議(3)計算機(jī)病毒及防治技術(shù)(4)常見網(wǎng)絡(luò)入侵手段的分析和防范(5)操作系統(tǒng)及其應(yīng)用的安全設(shè)置(6)安全產(chǎn)品的安全和配置企業(yè)網(wǎng)絡(luò)系他的安全管理和維護(hù)(8)數(shù)據(jù)備份與恢復(fù)大型企業(yè)網(wǎng)絡(luò)安全規(guī)劃設(shè)計1.項目概況(1)項目背景某大型企業(yè)有6個子公司，各子公司的因為通過一個信息平臺進(jìn)行統(tǒng)一管理、協(xié)調(diào)處理(2)建設(shè)目標(biāo)實現(xiàn)現(xiàn)代化網(wǎng)絡(luò)辦公，提供信息共享和交流的環(huán)境，提高協(xié)同工作的能力，保證公司業(yè)務(wù)有序進(jìn)行，產(chǎn)生增值效應(yīng)。(3)系統(tǒng)安全建設(shè)的意義滿足業(yè)務(wù)應(yīng)用需要，根本上解決企業(yè)安全問題，營造一個安全的企業(yè)網(wǎng)絡(luò)環(huán)境，提供整體安全實施策略。2.需求分析(1)網(wǎng)絡(luò)系統(tǒng)基本需求包括：多業(yè)務(wù)的承載能力和可靠的網(wǎng)絡(luò)性能先進(jìn)的流量管理能力和合理分配網(wǎng)絡(luò)資源靈活的組網(wǎng)能力和合服務(wù)質(zhì)量保證能夠提供各種網(wǎng)絡(luò)接入方式網(wǎng)絡(luò)擴(kuò)展性好，能夠方便的進(jìn)行網(wǎng)絡(luò)擴(kuò)容和優(yōu)化支持多種網(wǎng)絡(luò)安全策略，在保證網(wǎng)絡(luò)系統(tǒng)具有高度保密性的同時，確保網(wǎng)絡(luò)的互聯(lián)互通性對平臺的傳輸通道加密和對傳輸?shù)臄?shù)據(jù)進(jìn)行加密實現(xiàn)靈活的訪問控制功能和完備的安全審計功能統(tǒng)一的網(wǎng)絡(luò)管理，使網(wǎng)絡(luò)系統(tǒng)能更加有效的運行保證企業(yè)網(wǎng)絡(luò)平臺穩(wěn)定有效地運行，能快速解決出現(xiàn)的故障，確保該系統(tǒng)的運行，節(jié)約運營資金。(2)安全保障體系要求包括：建立完備的備份、恢復(fù)機(jī)制合理劃分安全域，控制用戶的訪問區(qū)域與權(quán)限提供多種數(shù)據(jù)傳輸模式，優(yōu)先使用國產(chǎn)設(shè)備和軟件建立計算機(jī)病毒防護(hù)體系，建立統(tǒng)一的身份認(rèn)證機(jī)制加強(qiáng)對安全事件的檢測與審計，建立完善的安全保證組織機(jī)構(gòu)，建立完善的安全管理機(jī)制，建立完善的安全管理咨詢、評估、規(guī)劃、實施及培訓(xùn)制度3.設(shè)計方案（1）安全體系結(jié)構(gòu)分析物理安全網(wǎng)絡(luò)的物理安全主要是指地震、水災(zāi)、火災(zāi)等環(huán)境事故；電源故障，認(rèn)為操作失誤或錯誤，設(shè)備被盜、被毀；電磁干擾，線路截獲，以及高可用性的硬件、雙機(jī)多冗余設(shè)計、機(jī)房環(huán)境及報警系統(tǒng)、安全意識等。它是整個網(wǎng)絡(luò)系統(tǒng)安全的前提，在這個企業(yè)網(wǎng)絡(luò)內(nèi)，由于網(wǎng)絡(luò)的物理跨度大，只制定健全的安全管理制度是不能完全避免的，還要做好備份，并加強(qiáng)網(wǎng)絡(luò)設(shè)備和機(jī)房的管理。網(wǎng)絡(luò)安全指在數(shù)據(jù)傳輸和網(wǎng)絡(luò)連接方面存在安全隱患。涉及的方面包括：數(shù)據(jù)傳輸安全和網(wǎng)絡(luò)邊界安全。系統(tǒng)安全指企業(yè)網(wǎng)絡(luò)所采用的操作系統(tǒng)、數(shù)據(jù)庫及相關(guān)商用軟件產(chǎn)品的安全漏洞和計算機(jī)病毒對應(yīng)用系統(tǒng)造成的威脅。涉及的方面包括：系統(tǒng)漏洞風(fēng)險、病毒入侵和非法入侵風(fēng)險。應(yīng)用安全指角色及用戶管理、身份認(rèn)證、權(quán)限管理和數(shù)據(jù)傳輸?shù)确矫娴耐{。涉及的方面包括：角色管理、用戶管理、授權(quán)管理、用戶認(rèn)證和數(shù)據(jù)安全網(wǎng)絡(luò)管理安全涉及的方面包括：組織管理、制度管理、人員管理和安全審計系統(tǒng)（2）安全方案設(shè)計整體方案企業(yè)網(wǎng)絡(luò)的管理信息平臺分為內(nèi)部和外部。其中內(nèi)部為數(shù)據(jù)中心，外部為信息平臺的使用者和項目參與方。如圖安全管理方案制定健全的安全管理體制將使網(wǎng)絡(luò)安全得意實現(xiàn)的重要保證。企業(yè)網(wǎng)絡(luò)根據(jù)自身的實際情況，制定如安全操作流程、安全事故獎罰制度，以及安全管理人員的考察等。構(gòu)建安全管理平臺將會減低很多因為無意的人為因素而造成的風(fēng)險。構(gòu)建安全管理平臺從技術(shù)上，組成安全管理子網(wǎng)，安裝集中統(tǒng)一的安全管理軟件，如病毒軟件管理系統(tǒng)、網(wǎng)絡(luò)設(shè)備管理系統(tǒng)及網(wǎng)絡(luò)安全設(shè)備管理軟件。通過安全管理平臺實現(xiàn)全網(wǎng)的安全管理。企業(yè)內(nèi)部應(yīng)該經(jīng)常對單位員工進(jìn)行網(wǎng)絡(luò)安全防范意識的培訓(xùn)，全面提高員工的整體安全防范意識。（3）網(wǎng)絡(luò)安全技術(shù)方案網(wǎng)絡(luò)安全技術(shù)方案總體設(shè)計結(jié)構(gòu)示意圖如下全面動態(tài)的安全策略全面的安全策略包含的要素：網(wǎng)絡(luò)邊界安全、數(shù)據(jù)傳輸安全、操作系統(tǒng)安全、應(yīng)用服務(wù)器的安全和網(wǎng)絡(luò)防病毒動態(tài)的安全策略包含的要素：內(nèi)部網(wǎng)絡(luò)入侵檢測和操作系統(tǒng)入侵檢測實現(xiàn)安全策略的技術(shù)和產(chǎn)品：防火墻、加密與認(rèn)證技術(shù)、入侵檢測技術(shù)、漏洞檢測技術(shù)和網(wǎng)絡(luò)防毒產(chǎn)品防火墻與VPN技術(shù)防火墻是使用最為廣泛的安全技術(shù)，是第一道安全防線，可以實現(xiàn)網(wǎng)絡(luò)邊界安全。防火墻提供VPN功能：在兩個網(wǎng)關(guān)上的防火墻之間建立VPN通道。VNP采用4項技術(shù)：隧道技術(shù)、加/解密技術(shù)、密鑰管理技術(shù)、身份認(rèn)證技術(shù)選擇和設(shè)置防火墻的考慮因素：包括安全性、配置便利性、管理的難易性、可靠性、可擴(kuò)展性。認(rèn)證和加密技術(shù)：包括數(shù)字證書提供認(rèn)證、數(shù)字證書的技術(shù)原理。解決方案:政府CA入侵檢測：IDS對各種攻擊行為實時做出反應(yīng)。IDS工作方式、基于主機(jī)的入侵檢測、基于網(wǎng)絡(luò)的入侵檢測、IDS能實現(xiàn)動態(tài)的安全要素。漏洞檢測：模擬黑客的攻擊行為對內(nèi)部網(wǎng)絡(luò)或主機(jī)進(jìn)行掃描，然后給出安全漏洞報告。網(wǎng)絡(luò)防毒方案：包括多層病毒防護(hù)體系、客戶端防病毒系統(tǒng)、服務(wù)器端的防病毒系統(tǒng)、互聯(lián)網(wǎng)的防病毒系統(tǒng)。（4）網(wǎng)絡(luò)防護(hù)體系的實施分步實施。第三章網(wǎng)絡(luò)安全漏洞掃描系統(tǒng)漏洞掃描系統(tǒng)概述漏洞的概念漏洞是可以在攻擊中利用的弱點，可以是軟件、硬件、程序缺點、功能設(shè)計或配置不當(dāng)?shù)?。漏洞掃描系統(tǒng)簡介漏洞掃描系統(tǒng)定義漏洞掃描是一種自動檢測計算機(jī)安全脆弱點的技術(shù)。掃描程序集成了已知的常用攻擊方法，針對系統(tǒng)可能存在的各種脆弱點進(jìn)行掃描，輸出掃描結(jié)果，以便人工分析并發(fā)現(xiàn)系統(tǒng)存在的漏洞。漏洞掃描系統(tǒng)的必要性分析防火墻的局限性：（1） 防火墻不能防范不經(jīng)過防火墻的攻擊。（2） 防火墻不能解決來自內(nèi)部網(wǎng)絡(luò)的攻擊和安全問題。（3） 防火墻不能防止最新的未設(shè)置策略或錯誤配置引起的安全威脅。（4） 防火墻布不能防止可接觸的人為或自然的破壞。（5） 防火墻無法解決TCP/IP等協(xié)議的漏洞。（6） 防火墻對服務(wù)器合法開放端口的攻擊大多無法阻止。（7） 防火墻不能阻止受病毒感染的文件的傳輸。（8） 防火墻不能防止數(shù)據(jù)驅(qū)動式攻擊。（9） 防火墻不能防止內(nèi)部的泄密行為。（10） 防火墻不能防止本身漏洞的威脅。漏洞掃描系統(tǒng)組成漏洞掃描系統(tǒng)個組成部分功能說明如下：（1）漏洞數(shù)據(jù)庫模塊：（2）用戶配置控制臺模塊（3）掃描引擎模塊（4）當(dāng)前活動的掃描知識庫模塊（5）結(jié)果存儲器和報告生成工具3.1.3網(wǎng)絡(luò)漏洞掃描器漏洞掃描器的工作原理掃描工作原理是，首先探測目標(biāo)系統(tǒng)的活動主機(jī)，對活動主機(jī)進(jìn)行端口掃描，確定系統(tǒng)開放的端口，同時根基協(xié)議指紋技術(shù)識別出主機(jī)的操作系統(tǒng)類型。然后掃描器對開放的端口進(jìn)行網(wǎng)絡(luò)服務(wù)類型測識別，確定其提供的網(wǎng)絡(luò)服務(wù)。漏洞掃描器根據(jù)目標(biāo)系統(tǒng)的操作系統(tǒng)平臺和提供的網(wǎng)絡(luò)服務(wù)，調(diào)用漏洞資料庫中已知的各種漏洞進(jìn)行逐一檢查，通過對探測響應(yīng)數(shù)據(jù)包的分析判斷是否存在已知漏洞。掃描器應(yīng)有的三項能力：發(fā)現(xiàn)一個主機(jī)和網(wǎng)絡(luò)的能力；發(fā)現(xiàn)什么服務(wù)正在主機(jī)上運行的能力；發(fā)現(xiàn)服務(wù)漏洞的能力。漏洞掃描技術(shù)漏洞掃描主要有4種技術(shù)：（1） 基于主機(jī)的漏洞掃描技術(shù)（2） 基于應(yīng)用的漏洞掃描技術(shù)（3） 基于目標(biāo)的漏洞掃描技術(shù)（4） 基于網(wǎng)絡(luò)的漏洞掃描技術(shù)防火墻的防御技術(shù)是被動防御，而漏洞掃描技術(shù)則是主動防御。漏洞掃描器的選用按照漏洞掃描技術(shù)的標(biāo)準(zhǔn)，可以將漏洞掃描器分為兩種類型：主機(jī)漏洞掃描器和網(wǎng)絡(luò)漏洞掃描器。主機(jī)漏洞掃描器：COPS、tripewire、tiger等網(wǎng)絡(luò)漏洞掃描器：NSS、ISS等。漏洞掃描系統(tǒng)實施策略一個完善的漏洞系統(tǒng)實施方案應(yīng)包括6部分：安全應(yīng)用策略漏洞預(yù)警漏洞檢測漏洞統(tǒng)計分析漏洞修補(bǔ)漏洞審計跟蹤漏洞掃描系統(tǒng)常用工具網(wǎng)絡(luò)安全掃描器NSS超級優(yōu)化TCP端口檢測程序Strobe安全管理員的網(wǎng)絡(luò)分析工具SATAN為Unix設(shè)計的。X-scanWindows免安裝3.3Windows系統(tǒng)漏洞的檢測與修補(bǔ)3.3.1Windows系統(tǒng)常見漏洞Windows2000（1）登錄輸入法漏洞MS00-069（2）系統(tǒng)崩潰特性（3） 系統(tǒng)管理權(quán)限漏洞（4） IIS5.0/5.1驗證漏洞Windows2003（1）自動保存隱患調(diào)用應(yīng)用程序錯誤的調(diào)試信息會自動保存。修改方法：1.Regedit中HKLM\Software\Microsoft\WindosNT\CurrentVersion\AeDebug分支中Auto的鍵值改為0；2.刪掉DocumentandSetting\AllUsers\SharedDocumets\DrWatson\Drwatson中的User.dmp和Drwtsn32.log文件；3.重啟系統(tǒng)（2）資源共享隱患修改方法:1.網(wǎng)絡(luò)中“本地連接”屬性中取消“Microsoft網(wǎng)絡(luò)的文件和打印機(jī)共享”（3）遠(yuǎn)程訪問隱患遠(yuǎn)程通信登錄密碼是明文傳輸。加固方法：“我的電腦”屬性中遠(yuǎn)程，取消“允許遠(yuǎn)程用戶連接到這臺計算機(jī)”（4）用戶切換隱患加固方法：在用戶賬戶中取消“使用快速用戶切換”（5）頁面交換隱患加固方法：1.regedit中HKLM\system\currentControlSet\Control\SessionManager\MemoryManagerment的ClearPapeFileAtShutdown的鍵值改為1。2.reboot。WindowsXPWindows系統(tǒng)漏洞的檢測微軟基準(zhǔn)安全分析器MBSA免費的漏洞檢測評估軟件。使用病毒防火墻自帶的系統(tǒng)漏洞掃描工具利用網(wǎng)絡(luò)系統(tǒng)安全工具自帶的系統(tǒng)漏洞掃描工具在線漏洞掃描工具軟件3.4操作系統(tǒng)更新3.4.1系統(tǒng)補(bǔ)丁部署原則所安裝的補(bǔ)丁不能與所使用的應(yīng)用軟件沖突根據(jù)實際需要安全補(bǔ)丁在部署補(bǔ)丁前，應(yīng)做好以下工作在運行補(bǔ)丁前要閱讀說明文檔，充分了解補(bǔ)丁的功能、用法、對應(yīng)用的漏洞情況，對安裝補(bǔ)丁后發(fā)生的后果要做到心中有數(shù)在安全補(bǔ)丁前，最好將相應(yīng)文件進(jìn)行備份注意補(bǔ)丁程序?qū)?yīng)的操作系統(tǒng)和應(yīng)用軟件的版本。注意補(bǔ)丁來源要安全選擇十適當(dāng)?shù)陌惭b模式。在線；下載安裝操作系統(tǒng)補(bǔ)丁更新實戰(zhàn)手動安裝windows補(bǔ)丁程序windows系統(tǒng)補(bǔ)丁自動更新Update服務(wù)WSUS系統(tǒng)自動更新服務(wù)Windowsserverupdateservices是微軟公司提供的一款免費軟件，提供部分windows操作系統(tǒng)關(guān)鍵更新的分發(fā)。網(wǎng)絡(luò)漏洞掃描系統(tǒng)在企業(yè)網(wǎng)絡(luò)安全實施中的應(yīng)用實戰(zhàn)根據(jù)現(xiàn)代企業(yè)網(wǎng)絡(luò)現(xiàn)狀及發(fā)展趨勢，對主要安全措施從以下幾個方面進(jìn)行考慮：網(wǎng)絡(luò)傳輸保護(hù)，主要是數(shù)據(jù)加密保護(hù)網(wǎng)絡(luò)安全隔離，主要措施是采用防火墻技術(shù)網(wǎng)絡(luò)病毒防護(hù)，主要是采用網(wǎng)絡(luò)防病毒系統(tǒng)廣域網(wǎng)接入部分的入侵檢測，采用入侵檢測系統(tǒng)網(wǎng)絡(luò)安全漏洞分析，采用漏洞掃描分析設(shè)備定期安全審計，主要包括兩部分：內(nèi)容審計和網(wǎng)絡(luò)通信審計重要數(shù)據(jù)的備份，重要信息點的防電磁泄漏網(wǎng)絡(luò)安全結(jié)構(gòu)的可伸縮性，包括安全設(shè)備的可伸縮性，即根據(jù)用戶的需要隨時進(jìn)行規(guī)模、功能擴(kuò)展。網(wǎng)絡(luò)防雷措施第四章網(wǎng)絡(luò)訪問控制技術(shù)網(wǎng)絡(luò)訪問控制技術(shù)是網(wǎng)絡(luò)安全防范和保護(hù)的主要核心策略，他的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和訪問。訪問控制規(guī)定了主體對客體訪問的限制，并在身份標(biāo)識的基礎(chǔ)上，根據(jù)身份對提出資源訪問的請求加以控制。網(wǎng)絡(luò)訪問控制概述4.1.1訪問控制的概念訪問控制是策略和機(jī)制的集合，它允許對限定資源的授權(quán)訪問。訪問控制3要素,即主體、客體和控制策略。4.1.2訪問控制的策略入網(wǎng)訪問控制策略操作權(quán)限控制策略目錄安全控制策略屬性安全控制策略網(wǎng)絡(luò)服務(wù)器安全控制策略網(wǎng)絡(luò)監(jiān)測和鎖定控制策略網(wǎng)絡(luò)端口和節(jié)點的安全控制策略防火墻控制策略4.1.3訪問控制策略管理分布式策略管理集中式策略管理4.1.4訪問控制的模型訪問控制一般是基于安全策略和安全模型的。Bell-LaPadula模型保密模型。上讀：不可讀高級別的數(shù)據(jù)下寫：不可寫低級別的數(shù)據(jù)Lattice模型Biba模型完整性下讀屬性：不能讀低級別數(shù)據(jù)上寫屬性：不能寫入高級別數(shù)據(jù)4.2訪問控制分類常用訪問控制類型：4.2.1自主訪問控制DAC4.2.2強(qiáng)制訪問控制MAC4.2.3基于角色的訪問控制RBAC4.2.4基于任務(wù)的訪問控制TBAC4.2.5基于對象的訪問控制OBAC訪問控制應(yīng)用類型訪問控制主要應(yīng)用一下3個方面：4.3.1網(wǎng)絡(luò)訪問控制機(jī)制防火墻的網(wǎng)絡(luò)訪問控制機(jī)制路由器的網(wǎng)絡(luò)訪問控制機(jī)制4.3.2主機(jī)-操作系統(tǒng)訪問控制機(jī)制4.3.3應(yīng)用程序訪問控制機(jī)制企業(yè)網(wǎng)絡(luò)的訪問控制實施過程構(gòu)建企業(yè)網(wǎng)絡(luò)安全體系一般來說，網(wǎng)絡(luò)的安全訪問控制體系分為企業(yè)內(nèi)部網(wǎng)絡(luò)的控制體系和企業(yè)外部網(wǎng)絡(luò)的控制體系這兩大部分。從技術(shù)角度而言。主要采用虛擬局域網(wǎng)技術(shù)、路由器訪問控制列表、TACACA+或RADIUS認(rèn)證服務(wù)和防火墻技術(shù)等。構(gòu)建企業(yè)網(wǎng)絡(luò)安全體系，需要注意如下方面：（1） 明確網(wǎng)絡(luò)資源（2） 確定網(wǎng)絡(luò)訪問點（3） 限制用戶訪問范圍（4） 明確安全設(shè)想（5） 充分考慮人的因素（6） 實現(xiàn)深層次安全企業(yè)內(nèi)部的安全訪問控制企業(yè)內(nèi)部安全問題主要在于：如何控制網(wǎng)絡(luò)不同部門之間的相互訪問如何對不斷變更的用戶進(jìn)行有效的管理如何防止網(wǎng)絡(luò)風(fēng)暴影響系統(tǒng)關(guān)鍵業(yè)務(wù)的正常運行，甚至導(dǎo)致系統(tǒng)崩潰。如何加強(qiáng)遠(yuǎn)程撥號用戶的安全認(rèn)證管理一般企業(yè)內(nèi)部系統(tǒng)采用的安全技術(shù)如下：（1） VLAN技術(shù)（2） 路由器訪問控制列表（3） 加強(qiáng)內(nèi)部撥號用戶的安全認(rèn)證管理一般常采用TACACS+或RADIUS協(xié)議，能夠支持鑒別、授權(quán)和記賬功能。企業(yè)外部安全訪問控制一般用防火墻技術(shù)，防火墻分三類：包過濾防火墻、應(yīng)用級網(wǎng)關(guān)和狀態(tài)監(jiān)視器第五章防火墻技術(shù)防火墻技術(shù)基礎(chǔ)防火墻的概述防火墻是在內(nèi)部網(wǎng)與外部網(wǎng)之間實施安全防范的系統(tǒng)，包括硬件和軟件，目的是保護(hù)網(wǎng)絡(luò)不被可疑人侵?jǐn)_。防火墻的功能一般防火墻有如下功能：防火墻是網(wǎng)絡(luò)安全的屏障防火墻可以強(qiáng)化網(wǎng)絡(luò)安全策略對網(wǎng)絡(luò)存儲和訪問進(jìn)行監(jiān)控審計防止內(nèi)部信息外泄防御功能支持防病毒功能、支持內(nèi)容過濾功能管理功能5.1.3防火墻的優(yōu)缺點防火墻優(yōu)點（1）防火墻能強(qiáng)化安全策略（2）保護(hù)易受攻擊的服務(wù)（3）防火墻能有效地記錄Internet上的活動（4）增強(qiáng)的保密性（5）防火墻是一個安全策略的檢查站防火墻的缺點（1）防火墻防內(nèi)不防外的策略限制（2）不能防范IP地址欺騙（3）無法檢測加密的web流量（4）防火墻不能防范病毒防火墻發(fā)展史五個發(fā)展階段第一代防火墻與路由器同時出現(xiàn)，包過濾技術(shù)第二三代防火墻二代：電路層防火墻；三代：應(yīng)用層防火墻（代理防火墻）第四代防火墻動態(tài)包過濾技術(shù)，狀態(tài)監(jiān)視技術(shù)第五代防火墻自適應(yīng)代理技術(shù)，智能防火墻5.2網(wǎng)絡(luò)防火墻技術(shù)防火墻的分類從防火墻產(chǎn)品形態(tài)分3類：軟件防火墻；硬件防火墻；芯片級防火墻從防火墻采用的技術(shù)分3類：包過濾型防火墻；代理型防火墻；檢測型防火墻從網(wǎng)絡(luò)體系結(jié)構(gòu)分4類：網(wǎng)絡(luò)級防火墻；應(yīng)用級網(wǎng)關(guān)；電路級網(wǎng)關(guān)；規(guī)則檢查防火墻從應(yīng)用部署位置分3類：邊界防火墻；個人防火墻；混合式防火墻、分布式防火墻、嵌入式防火墻防火墻的技術(shù)防火墻所采用的技術(shù)主要有：包過濾技術(shù)對數(shù)據(jù)包實施有選擇的通過的技術(shù)。優(yōu)點：一個過濾路由器協(xié)助防護(hù)整個網(wǎng)絡(luò)；數(shù)據(jù)包過濾對用戶透明；速度快效率高缺點：安全性相對不高；配置繁瑣應(yīng)用代理技術(shù)也叫應(yīng)用層網(wǎng)關(guān)技術(shù)，在應(yīng)用層實現(xiàn)，針對每一個特定的應(yīng)用進(jìn)行檢測。代理技術(shù)的優(yōu)點：易于配置；能生成各項記錄；靈活；能過濾數(shù)據(jù)內(nèi)容缺點：代理速度比路由慢；代理對用戶不透明；對于每個服務(wù)，代理可能要求不同的服務(wù)器；代理服務(wù)通常要求對客戶或過程進(jìn)行限制；代理服務(wù)器受協(xié)議弱點的限制；代理不能改進(jìn)低層協(xié)議的安全性。一種改進(jìn)的防火墻技術(shù)（復(fù)合型防火墻技術(shù)）由于過濾型防火墻安全性不高，代理型防火墻速度慢。因而出現(xiàn)了一種綜合兩種技術(shù)優(yōu)點的改進(jìn)型防火墻技術(shù)。5.3防火墻安全設(shè)計策略5.3.1防火墻的體系結(jié)構(gòu)3種雙宿主主機(jī)體系結(jié)構(gòu)雙宿主機(jī)、堡壘主機(jī)，是一臺至少配有兩個網(wǎng)卡的主機(jī)，充當(dāng)路由器用被屏蔽主機(jī)體系結(jié)構(gòu)需要一臺堡壘主機(jī)和一個有屏蔽功能的路由器被屏蔽子網(wǎng)體系結(jié)構(gòu)需兩個路由器，構(gòu)建一個DMZ區(qū)防火墻安全設(shè)計策略及要求如何解決防火墻效率和安全之間的矛盾為了解決效率和安全間的矛盾，防火墻采用如下安全策略：（1）除非明確允許否則禁止；常用（2）除非明確禁止，否則允許如何正確選用、合理配置防火墻應(yīng)遵循4個步驟：（1）風(fēng)險分析（2） 需求分析（3） 確立安全政策（4）選擇正確的防護(hù)手段，并使之與安全政策保持一致需要正確評估防火墻的實效狀態(tài)防火墻必須進(jìn)行動態(tài)維護(hù)如何對防火墻進(jìn)行測試驗證防火墻常見應(yīng)用方案邊界防火墻邊界防火墻的應(yīng)用方案邊界防火墻具體可以實現(xiàn)的任務(wù)如下：邊界防火墻系統(tǒng)設(shè)計規(guī)則規(guī)則如下：5.4.2內(nèi)部防火墻系統(tǒng)網(wǎng)絡(luò)體系結(jié)構(gòu)分為：邊界網(wǎng)絡(luò)、外圍網(wǎng)絡(luò)、內(nèi)部網(wǎng)絡(luò)內(nèi)部防火墻的應(yīng)用方案內(nèi)部防火墻具體應(yīng)用方案可以實現(xiàn)如下功能：常見防火墻的選購5.5.1常見防火墻產(chǎn)品廠家國外防火墻廠家思科(CiscoPIX)、Checkpoint、NetScreen等國內(nèi)一線廠家東軟、天融信、聯(lián)想、方正、安氏、華為、綠盟等國內(nèi)二線廠家億陽、東方龍馬、中網(wǎng)、天網(wǎng)、網(wǎng)威、得實等國內(nèi)三鮮廠家其他如何選購合適的防火墻產(chǎn)品防火墻自身安全性系統(tǒng)的穩(wěn)定性3.高效性4.可靠性功能靈活性配置和管理方便性是否可以抵抗拒絕服務(wù)攻擊是否可以針對用戶身份過濾是否可擴(kuò)展、可升級5.5.3防火墻產(chǎn)品功能指標(biāo)詳解LAN口接口類型、數(shù)量協(xié)議支持加密支持認(rèn)證支持技術(shù)支持防御功能支持病毒掃描；支持內(nèi)容過濾；能防御DoS攻擊類型；阻止ActiveX、Java、Cookies、JavaScript入侵安全特性支持ICMP；提供入侵實時報警；防止IP欺騙管理功能記錄和報表功能典型防火墻安裝與設(shè)置網(wǎng)絡(luò)安全隔離技術(shù)3中解決方案劃分子網(wǎng)VLAN技術(shù)網(wǎng)絡(luò)隔離技術(shù)5.7.1劃分子網(wǎng)5.7.2Vlan技術(shù)在物理拓?fù)浣Y(jié)構(gòu)基礎(chǔ)上建立邏輯網(wǎng)絡(luò)。1.VLAN技術(shù)的特性（1）簡化終端的刪除移動和改動（2）控制通信活動（3）增強(qiáng)網(wǎng)絡(luò)安全性（4）隔離網(wǎng)絡(luò)廣播風(fēng)暴（5）簡化網(wǎng)絡(luò)管理和維護(hù)，提高網(wǎng)絡(luò)性能VALN劃分方式（1） 基于端口的劃分（2） 基于MAC地址的劃分（3）基于網(wǎng)絡(luò)層的VLAN基于網(wǎng)絡(luò)層協(xié)議或IP地址（4）基于組播的VLANVLAN技術(shù)的應(yīng)用網(wǎng)絡(luò)隔離技術(shù)網(wǎng)絡(luò)隔離網(wǎng)卡、集線器、網(wǎng)閘VPN技術(shù)與解決方案VPN技術(shù)基礎(chǔ)VPN的概念在公網(wǎng)上實現(xiàn)專網(wǎng)的效果。VPN的安全技術(shù)4項：隧道技術(shù)、加解密技術(shù)、密鑰管理技術(shù)和使用者與設(shè)備身份認(rèn)證技術(shù)VPN的類型（1）遠(yuǎn)程訪問虛擬網(wǎng)AccessVPN（2） 企業(yè)內(nèi)部虛擬網(wǎng)IntranetVPN（3） 企業(yè)擴(kuò)展虛擬網(wǎng)ExtranetVPNVPN的優(yōu)點與不足（1）優(yōu)點VPN致力于為網(wǎng)絡(luò)提供整體的安全性，是性價比較高的安全方式。VPN可以透明配置管理性能好提高業(yè)務(wù)質(zhì)量減低陳本（2）不足VPN技術(shù)解決方案第六章網(wǎng)絡(luò)病毒的防治技術(shù)網(wǎng)絡(luò)計算機(jī)冰毒的概述網(wǎng)絡(luò)計算機(jī)病毒的定義計算機(jī)病毒是一段附著在其他程序上的可以實現(xiàn)自我復(fù)制的程序代碼。計算機(jī)病毒的發(fā)展計算機(jī)病毒的分類6.1.4計算機(jī)病毒的特點主動通過網(wǎng)絡(luò)和電子郵件系統(tǒng)傳播傳播速度快危害性大4.變種多難于控制清除難度大具有病毒、蠕蟲和后門程序的功能網(wǎng)絡(luò)計算機(jī)病毒的破壞行為網(wǎng)絡(luò)病毒的生命周期與命名網(wǎng)絡(luò)病毒的生命周期（1）隱藏階段（2）傳播階段（3）觸發(fā)階段（4）執(zhí)行階段網(wǎng)絡(luò)病毒的命名命名方式：病毒前綴.病毒名.病毒后綴前綴是病毒的類型；病毒名是一個病毒家族的特征；后綴是變種特征?，F(xiàn)代網(wǎng)絡(luò)計算機(jī)病毒的流行特征1.病毒與黑客程序相結(jié)合蠕蟲病毒更加泛濫病毒破壞性大制作病毒方法更簡單病毒傳播速度開，傳播渠道更多病毒實時監(jiān)測更困難網(wǎng)關(guān)防毒已成趨勢網(wǎng)絡(luò)計算機(jī)病毒防范及查殺常見的網(wǎng)絡(luò)病毒防治產(chǎn)品6.3.1計算機(jī)防病毒軟件的功能產(chǎn)品體系完整、檢測率高軟件控制臺功能完善病毒庫可自動更新報表功能方便易用實時掃描隨著系統(tǒng)啟動而自動防護(hù)6.3.2流行的防病毒軟件產(chǎn)品國外防病毒軟件Kaspersky卡巴斯基、McAfee、NortonAntiVirus賽門鐵克、rend趨勢科技、熊貓衛(wèi)士、NOD322.國內(nèi)防病毒軟件瑞星、360、江民、金山、冠群金辰、網(wǎng)絡(luò)病毒防治技術(shù)單機(jī)環(huán)境下的網(wǎng)絡(luò)病毒防治技術(shù)單機(jī)環(huán)境下的網(wǎng)絡(luò)病毒防治技巧（1）安裝殺毒軟件，及時更新軟件（2）不要打開不明來源的郵件（3）使用比較復(fù)雜的密碼（4）使用防火墻，防止電腦受到來自互聯(lián)網(wǎng)攻擊（5）不要上陌生用戶連接到個人計算機(jī)上（6）不使用互聯(lián)網(wǎng)時及時斷開連接（7）備份電腦數(shù)據(jù)（8）定期下載安全更新補(bǔ)?。?）定期檢查計算機(jī)（10）主要防護(hù)工作檢查BIOS設(shè)置，將引導(dǎo)次序改為硬盤優(yōu)先在word中將“宏病毒防護(hù)打開”并打開“提示保存Normal模板”退出word，然后將Normal.dot文件的屬性改為只讀。在excel和powerpoint中將“宏病毒防護(hù)”打開若使用outlook,應(yīng)關(guān)閉信件預(yù)覽功能在IE等瀏覽器中設(shè)置適合的Internet安全級別，防范來自ActiveX和JavaScript的惡意代碼對外來的U盤、光盤和網(wǎng)上下載的軟件等應(yīng)先查殺病毒再使用啟用病毒軟件的實時監(jiān)控功能單機(jī)版防病毒軟件的安裝設(shè)置網(wǎng)絡(luò)環(huán)境下的網(wǎng)絡(luò)病毒防止技術(shù)企業(yè)網(wǎng)絡(luò)防病毒系統(tǒng)的主要功能需求（1） 貫徹“層層設(shè)防、集中管控、以防為主、防治結(jié)合”的企業(yè)防毒策略。（2） 應(yīng)用先進(jìn)的實時監(jiān)控技術(shù)（3） 智能安裝、遠(yuǎn)程識別（4） 對新病毒的反應(yīng)能力（5） 對現(xiàn)用資源的占用情況企業(yè)中安裝和設(shè)置防病毒服務(wù)器企業(yè)網(wǎng)絡(luò)防病毒系統(tǒng)解決方案企業(yè)網(wǎng)絡(luò)防病毒系統(tǒng)方案概述企業(yè)防病毒系統(tǒng)應(yīng)貫徹如下4點基本思想防病毒系統(tǒng)一定要實現(xiàn)全方位、多層次防病毒。網(wǎng)關(guān)防病毒是整體防病毒的首要防線沒有集中管理的防病毒系統(tǒng)是無效的防病毒系統(tǒng)服務(wù)是整體防病毒系統(tǒng)中極為重要的一環(huán)第七章入侵檢測系統(tǒng)與入侵防護(hù)系統(tǒng)入侵檢測系統(tǒng)概述部署防火墻可以可以提高網(wǎng)絡(luò)通過能力并阻擋一般性的攻擊行為。而采用IDS入侵檢測系統(tǒng)，則可以對越過防火墻的攻擊行為以及來自網(wǎng)絡(luò)內(nèi)部的違規(guī)操作進(jìn)行檢測和響應(yīng)。7.1.1入侵檢測系統(tǒng)的基本概念入侵檢測系統(tǒng)入侵檢測系統(tǒng)（IDSIntrusionDetectiveSystem）是從計算機(jī)網(wǎng)絡(luò)系統(tǒng)中的若干關(guān)鍵點收集信息，并分析這些信息，檢查網(wǎng)絡(luò)中是否有違反安全策略的行為和遭到攻擊的跡象。入侵檢測系統(tǒng)的通用模型一個入侵檢測系統(tǒng)分為以下組件：（1）事件產(chǎn)生器（2）事件分析器（3）響應(yīng)單元（4）事件數(shù)據(jù)庫入侵檢測系統(tǒng)的主要功能（1）監(jiān)視用戶和系統(tǒng)的運行狀況，查找非法用戶和合法用戶的越權(quán)操作（2）檢測系統(tǒng)配置的正確性和安全漏洞（3）對用戶的正?；顒舆M(jìn)行統(tǒng)計分析（4）檢查系統(tǒng)程序和數(shù)據(jù)的一致性與正確性（5）檢測和記錄網(wǎng)絡(luò)中的安全違規(guī)行為（6）評估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性（7）識別已知的攻擊行為和統(tǒng)計分析異常行為（8）操作系統(tǒng)日志管理，并識別違反安全策略的用戶活動7.1.2入侵檢測系統(tǒng)的體系結(jié)構(gòu)主要分為三種：集中式、層次式和分布式。入侵檢測系統(tǒng)的主要檢測技術(shù)數(shù)據(jù)分析技術(shù)主要分兩大類：異常檢測和誤用檢測7.2.1基于異常的入侵檢測技術(shù)也稱為基于行為的入侵檢測技術(shù)、特征檢測，是目前IDS的主要研究方向。7.2.2基于誤用的入侵檢測技術(shù)入侵檢測系統(tǒng)的分類按照檢查對象分為3類：基于主機(jī)的入侵檢測系統(tǒng)基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)混合型入侵檢測系統(tǒng)典型入侵檢測系統(tǒng)產(chǎn)品的選購與使用入侵檢測系統(tǒng)的性價比特征庫升級與維護(hù)的費用部署入侵檢測系統(tǒng)的環(huán)境入侵檢測系統(tǒng)的實際性能產(chǎn)品的可伸縮性運行與維護(hù)系統(tǒng)的開銷產(chǎn)品的入侵響應(yīng)方式是否通過對了國家權(quán)威機(jī)構(gòu)的評測入侵檢測系統(tǒng)安、配置管理的方便性常見入侵檢測系統(tǒng)綠盟的冰之眼入侵檢測系統(tǒng)中科網(wǎng)威的天眼網(wǎng)絡(luò)入侵檢測系統(tǒng)啟明星辰的天闐入侵檢測系統(tǒng)金諾網(wǎng)安的金諾網(wǎng)安入侵檢測系統(tǒng)KIDS瑞星的瑞星入侵檢測系統(tǒng)RIDS-100McAfee的McAfeeIntruShield4000IDSISS的BlackICE主機(jī)入侵檢測系統(tǒng)7.4.9入侵檢測系統(tǒng)產(chǎn)品應(yīng)用的部署策略入侵檢測系統(tǒng)部署步驟：確定入侵檢測需求：即網(wǎng)絡(luò)安全需求分析，給入侵檢測系統(tǒng)設(shè)置提供信息設(shè)計入侵檢測系統(tǒng)在網(wǎng)絡(luò)中的拓?fù)湮恢茫捍_定入侵檢測點配置入侵檢測系統(tǒng)入侵檢測系統(tǒng)磨合入侵檢測系統(tǒng)的使用于自調(diào)節(jié)入侵防御系統(tǒng)概述IDS只能被動地檢測攻擊，IPS是一種智能化的入侵檢測和防御產(chǎn)品，它不但能檢測入侵的發(fā)生，而且能通過一定的響應(yīng)方式，實時地中止入侵行為的發(fā)生和發(fā)展，實時地保護(hù)信息系統(tǒng)不受實質(zhì)性的攻擊。簡單的理解IPS是IDS加防火墻，但不能替代。入侵防御系統(tǒng)工作原理IPS串聯(lián)于通信線路之內(nèi)，是既具有IDS的檢測功能，用能夠?qū)崟r中止網(wǎng)絡(luò)入侵行為的新型安全設(shè)備。常用IPS杭州榮騰軟件技術(shù)有限公司的網(wǎng)核入侵防御系統(tǒng)網(wǎng)核IPS3000第八章數(shù)字證書與認(rèn)證機(jī)構(gòu)信息密碼學(xué)基礎(chǔ)密碼學(xué)發(fā)展史古代密碼學(xué)手工古典密碼學(xué)密碼算法保密近代密碼學(xué)密鑰保密公鑰密碼學(xué)密碼學(xué)基本概念消息明文密文；密鑰；加密算法；解密算法；鑒別；完整性；抗抵賴；密碼系統(tǒng)；密碼體制信息密碼技術(shù)對稱密鑰密碼技術(shù)加解密用同一個密鑰DES;3DES；RC系列；速度快密鑰管理和分發(fā)問題；數(shù)字簽名的困難；雙方必須統(tǒng)一密鑰才能通信；多方通信時，密鑰數(shù)大；公開密鑰密碼技術(shù)非對稱密鑰RSA速度慢密鑰分發(fā)容易；公鑰公開；每人一對密鑰；實現(xiàn)數(shù)字簽名網(wǎng)絡(luò)安全認(rèn)證技術(shù)認(rèn)證指的是證實被認(rèn)證對象是否屬實和是否有效的一個過程。其基本思想是通過驗證對象的屬性來達(dá)到確認(rèn)被認(rèn)證對象是否真實有效的目的。一般分為：消息認(rèn)證：保證消息完整性和抗抵賴性身份認(rèn)證：鑒別用戶身份身份認(rèn)證技術(shù)身份認(rèn)證是指計算機(jī)和網(wǎng)絡(luò)系統(tǒng)確認(rèn)操作者身份的過程。一般三個要素可以用于認(rèn)證過程即：用戶的知識：口令等用戶的物品：IC卡等用戶的特征：指紋等常用的身份認(rèn)證方法：（1） 基于口令的認(rèn)證方法（2） 雙因素認(rèn)證口令+卡（3） 一次口令機(jī)制動態(tài)口令技術(shù)（4） 生物特征（5） USBKey認(rèn)證消息認(rèn)證技術(shù)MAC消息認(rèn)證碼保證完整性和抗抵賴8.1.5電子簽名和數(shù)字簽名電子簽名：主要解決電子文件的簽字蓋章問題，用于標(biāo)識電子文件簽署者的身份，保證文件的完整性，確保文件的真實性和抗抵賴。數(shù)字簽名：確定發(fā)信者身份。用摘要算法對消息運算生成數(shù)字摘要，用私鑰對摘要進(jìn)行加密生成數(shù)字簽名。8.2PKI/CA建設(shè)8.2.1PKI/CA概述公鑰基礎(chǔ)設(shè)施什么是PKI技術(shù)PKI技術(shù)采用證書管理公鑰，通過第三方的可信任機(jī)構(gòu)認(rèn)證中心CA,把用戶的公鑰和用戶的其他標(biāo)識信息捆綁在一起，在Internet上驗證用戶的身份。采用建立在PKI基礎(chǔ)上的數(shù)字證書，通過把要傳輸?shù)臄?shù)據(jù)進(jìn)行加密和簽名，保證信息傳輸?shù)臋C(jī)密性、真實性、完整性和不可否認(rèn)性，從而保證信息的安全傳輸。PKI把公鑰密碼和對稱密碼結(jié)合起來，在Internet上實現(xiàn)密鑰的自動管理，保證網(wǎng)上數(shù)據(jù)的安全傳輸。廣義上講，PKI是通過使用公開密鑰技術(shù)和數(shù)字證書來確保