第1章 網(wǎng)絡(luò)安全技術(shù)概述

1/21/20241精選ppt第1章網(wǎng)絡(luò)平安技術(shù)概述網(wǎng)絡(luò)安全的基本問題1.1網(wǎng)絡(luò)安全體系結(jié)構(gòu)1.2網(wǎng)絡(luò)安全模型1.3網(wǎng)絡(luò)安全防范體系及設(shè)計(jì)原則1.41/21/20242精選ppt1.1網(wǎng)絡(luò)平安的根本問題

網(wǎng)絡(luò)平安的定義：從本質(zhì)上講，網(wǎng)絡(luò)平安就是網(wǎng)絡(luò)上的信息平安，是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件和系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的攻擊而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)效勞不中斷；1/21/20243精選ppt廣義上講，但凡涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實(shí)性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)平安所要研究的領(lǐng)域。1/21/20244精選ppt網(wǎng)絡(luò)平安的特征〔1〕保密性：信息不泄露給非授權(quán)的用戶、實(shí)體或過程，或供其利用的特性?！?〕完整性：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性?！?〕可用性：可被授權(quán)實(shí)體訪問并按需求使用的特性，即當(dāng)需要時(shí)應(yīng)能存取所需的信息。〔4〕可控性：對信息的傳播及內(nèi)容具有控制能力。1/21/20245精選ppt網(wǎng)絡(luò)平安現(xiàn)狀系統(tǒng)的脆弱性Internet的無國際性TCP/IP本身在平安方面的缺陷網(wǎng)絡(luò)建設(shè)缺少平安方面的考慮〔平安滯后〕平安技術(shù)開展快、人員缺乏平安管理覆蓋面廣，涉及的層面多。1/21/20246精選ppt平安工作的目的進(jìn)不來拿不走改不了跑不了看不懂1/21/20247精選ppt網(wǎng)絡(luò)平安涉及知識領(lǐng)域1/21/20248精選ppt綜合而言，網(wǎng)絡(luò)平安的根本問題包括物理平安威脅、操作系統(tǒng)的平安缺陷、網(wǎng)絡(luò)協(xié)議的平安缺陷、應(yīng)用軟件的實(shí)現(xiàn)缺陷、用戶使用的缺陷和惡意程序六個(gè)方面。1/21/20249精選ppt1.1.1物理平安威脅物理平安是指保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其他媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯(cuò)誤及各種計(jì)算機(jī)犯罪行為導(dǎo)致的破壞過程。1/21/202410精選ppt目前主要的物理平安威脅包括以下三大類：1自然災(zāi)害、物理損壞和設(shè)備故障。這類平安威脅的特點(diǎn)是突發(fā)性、自然因素性、非針對性。這類平安威脅只破壞信息的完整性和可用性，無損信息的秘密性。2電磁輻射、乘虛而入和痕跡泄露。這類平安威脅的特點(diǎn)是難以覺察性、人為實(shí)施的成心性和信息的無意泄露性。這類平安威脅只破壞信息的秘密性，無損信息的完整性和可用性。1/21/202411精選ppt3操作失誤和意外疏忽。這類平安威脅的特點(diǎn)是人為實(shí)施的無意性和非針對性。這類平安威脅只破壞信息的完整性和可用性，無損信息的秘密性。1/21/202412精選ppt1.1.2操作系統(tǒng)的平安缺陷操作系統(tǒng)的脆弱性〔1〕操作系統(tǒng)體系結(jié)構(gòu)本身就是不平安的一種因素。〔2〕操作系統(tǒng)可以創(chuàng)立進(jìn)程，即使在網(wǎng)絡(luò)的節(jié)點(diǎn)上同樣也可以進(jìn)行遠(yuǎn)程進(jìn)程的創(chuàng)立與激活，更令人不安的是被創(chuàng)立的進(jìn)程具有可以繼續(xù)創(chuàng)立進(jìn)程的權(quán)力。〔3〕網(wǎng)絡(luò)操作系統(tǒng)提供的遠(yuǎn)程過程調(diào)用效勞以及它所安排的無口令入口也是黑客的通道。1/21/202413精選ppt1．平安缺陷的檢索CVE(CommonVulnerabilitiesandExposures)是信息平安確認(rèn)的一個(gè)列表或者詞典，它在不同的信息平安缺陷的數(shù)據(jù)庫之間提供一種公共索引，是信息共享的關(guān)鍵。有了CVE檢索之后，一個(gè)缺陷就有了一個(gè)公共的名字，從而可以通過CVE的條款檢索到包含該缺陷的所有數(shù)據(jù)庫。1/21/202414精選ppt2．UNIX操作系統(tǒng)的平安缺陷〔1〕遠(yuǎn)程過程調(diào)用〔RPC〕〔2〕Sendmail1/21/202415精選ppt3．Windows系列操作系統(tǒng)的平安缺陷〔1〕UnicodeUnicode是ISO發(fā)布的統(tǒng)一全球文字符號的國際標(biāo)準(zhǔn)編碼，它是一種雙字節(jié)的編碼。通過向IIS效勞器發(fā)出一個(gè)包括非法UnicodeUTF-8序列的URL，攻擊者可以迫使效勞器逐字“進(jìn)入或退出〞目錄并執(zhí)行任意腳本，這種攻擊稱為目錄轉(zhuǎn)換攻擊。Hfnetchk是一個(gè)用來幫助網(wǎng)絡(luò)管理員判斷系統(tǒng)所打補(bǔ)丁情況的工具。1/21/202416精選ppt〔2〕ISAPI緩沖區(qū)溢出在安裝IIS的時(shí)候，多個(gè)ISAPI被自動(dòng)安裝。ISAPI允許開發(fā)人員使用多種動(dòng)態(tài)鏈接庫DLLs來擴(kuò)展IIS效勞器的性能。如果安裝了IIS效勞器，并沒有打過補(bǔ)丁，那么該系統(tǒng)可能會(huì)受到控制IIS效勞器的這種攻擊。1/21/202417精選ppt1.1.3網(wǎng)絡(luò)協(xié)議的平安缺陷

網(wǎng)絡(luò)系統(tǒng)都使用的TCP/IP協(xié)議、FTP、E-mail、NFS等都包含著許多影響網(wǎng)絡(luò)平安的因素，存在許多漏洞。1．TCP序列號預(yù)計(jì)2．路由協(xié)議缺陷3．網(wǎng)絡(luò)監(jiān)聽

1/21/202418精選ppt典型的TCP協(xié)議攻擊/平安缺陷LAND攻擊:將TCP包中的源地址、端口號和目的地址、端口號設(shè)成相同。將地址字段均設(shè)成目的機(jī)器的IP地址。假設(shè)對應(yīng)的端口號處于激活〔等待〕狀態(tài)，LAND攻擊可使目的機(jī)器死機(jī)或重新啟動(dòng)。攻擊奏效的原因出于TCP的可靠性。攻擊利用TCP初始連接建立期間的應(yīng)答方式存在的問題。攻擊的關(guān)鍵在于server和client由各自的序列號。注：i)初始序列號各方隨機(jī)自選。1/21/202419精選pptii)己方針對對方序列號發(fā)出的應(yīng)答〔確認(rèn)〕號＝對方上次的序列號+1.iii)己方發(fā)出的〔非初始〕序列號＝己方上次的序列號+1＝己方收到的應(yīng)答號。各方每次發(fā)送以上iii)和ii)。例：正常情況下的三次握手與通信：客戶端效勞端===============>客SequenceNum=1001〔初始〕1/21/202420精選ppt<==============服Ack=1001＋1＝1002服SequenceNum=4999〔初始〕===============>客SequenceNum=1001＋1＝1002客Ack=4999＋1＝5000〔以上完成三次握手〕<==============服Ack=1002＋1＝10031/21/202421精選ppt服SequenceNum=4999＋1＝5000===============>客SequenceNum=1002＋1＝1003客Ack=5000＋1＝5001<==============服Ack=1003＋1＝1004服SequenceNum=5000＋1＝5001。。。1/21/202422精選ppt1/21/202423精選ppt從第三次握手開始，因?yàn)槊看涡谄骶玫阶约旱膽?yīng)答/確認(rèn)號，即1002，而非5000，而該確認(rèn)號為自己上次發(fā)出的，認(rèn)為有錯(cuò)，那么重發(fā)〔非超時(shí)所致〕，由此無限循環(huán)。由于TCP是具有高優(yōu)先權(quán)的內(nèi)核級進(jìn)程，可中斷其它的正常操作系統(tǒng)以獲得更多的內(nèi)核資源來處理進(jìn)入的數(shù)據(jù)。這樣，無限循環(huán)很快就會(huì)消耗完系統(tǒng)資源而引起大多數(shù)系統(tǒng)死機(jī)。TCP在此的平安缺陷還在于：在連接初始化成功之后無任何形式的認(rèn)證機(jī)制。TCP收到的數(shù)據(jù)包只要有正確的序列號就認(rèn)為數(shù)據(jù)是可以接受的。一旦建立連接，就無法確定數(shù)據(jù)包源IP地址的真?zhèn)巍?/21/202424精選ppt1.1.4應(yīng)用軟件的實(shí)現(xiàn)缺陷

1．輸入確認(rèn)錯(cuò)誤2．訪問確認(rèn)錯(cuò)誤3．特殊條件錯(cuò)誤4．設(shè)計(jì)錯(cuò)誤5．配置錯(cuò)誤6．競爭條件錯(cuò)誤1/21/202425精選ppt1.1.5用戶使用的缺陷1．密碼易于被破解2．軟件使用的錯(cuò)誤3．系統(tǒng)備份不完整1/21/202426精選ppt1.1.6惡意代碼

惡意代碼是攻擊、病毒和特洛伊木馬的結(jié)合，它不但破壞計(jì)算機(jī)系統(tǒng)，給黑客流出后門，它還能夠主動(dòng)去攻擊并感染別的機(jī)器。1/21/202427精選ppt1.2網(wǎng)絡(luò)平安體系結(jié)構(gòu)

1.2.1平安控制1．網(wǎng)絡(luò)平安總體框架2．平安控制〔1〕微機(jī)操作系統(tǒng)的平安控制〔2〕網(wǎng)絡(luò)接口模塊的平安控制〔3〕網(wǎng)絡(luò)互連設(shè)備的平安控制1/21/202428精選ppt1.2.2平安效勞

1．認(rèn)證效勞2．訪問控制效勞3．?dāng)?shù)據(jù)保密性效勞4．?dāng)?shù)據(jù)完整性效勞5．防抵賴效勞1/21/202429精選ppt1.2.3平安需求

1．保密性2．平安性3．完整性4．效勞可用性5．可控性6．信息流保護(hù)1/21/202430精選ppt1.3網(wǎng)絡(luò)平安模型一個(gè)最常見的平安模型就是PDRR模型。PDRR由4個(gè)英文單詞的頭一個(gè)字符組成：Protection〔防護(hù)〕、Detection〔檢測〕、Response〔響應(yīng)〕和Recovery〔恢復(fù)〕。這四個(gè)局部組成了一個(gè)動(dòng)態(tài)的信息平安周期，是完整的平安策略。1/21/202431精選ppt1.3.1防護(hù)這是網(wǎng)絡(luò)平安策略PDRR模型中最重要的局部。防護(hù)可以分為三大類：系統(tǒng)平安防護(hù)、網(wǎng)絡(luò)平安防護(hù)和信息平安防護(hù)。1．風(fēng)險(xiǎn)評估與缺陷掃描2．訪問控制及防火墻3．防病毒軟件與個(gè)人防火墻4．?dāng)?shù)據(jù)備份和歸檔5．?dāng)?shù)據(jù)加密6．鑒別技術(shù)7．使用平安通信8．系統(tǒng)平安評估標(biāo)準(zhǔn)

1/21/202432精選ppt1.3.2檢測

平安政策的第二個(gè)屏障是檢測，即如果入侵發(fā)生就將其檢測出來，這個(gè)工具就是入侵檢測系統(tǒng)(IDS)。

入侵檢測系統(tǒng)是一種對網(wǎng)絡(luò)傳輸進(jìn)行即時(shí)監(jiān)視，在發(fā)現(xiàn)可疑傳輸時(shí)發(fā)出警報(bào)或者采取主動(dòng)反響措施的網(wǎng)絡(luò)平安設(shè)備。

1/21/202433精選ppt響應(yīng)是一個(gè)入侵攻擊事件發(fā)生之后，進(jìn)行處理。恢復(fù)是入侵事件發(fā)生之后，把系統(tǒng)恢復(fù)到原來的狀態(tài)，或者比原來更平安的狀態(tài)。1.3.3響應(yīng)與恢復(fù)1/21/202434精選ppt1.4網(wǎng)絡(luò)平安防范體系及設(shè)計(jì)原那么

1．網(wǎng)絡(luò)信息平安的木桶原那么2．網(wǎng)絡(luò)信息平安的整體性原那么3．平安性評價(jià)與平衡原那么4．標(biāo)準(zhǔn)化與一致性原那么5．技術(shù)與管理相結(jié)合原那么6．統(tǒng)籌規(guī)劃，分步實(shí)施原那么7．等級性原那么8．動(dòng)態(tài)開展原那么9．易操作性原那么1/21/202435精選ppt網(wǎng)絡(luò)平安解決方案網(wǎng)絡(luò)信息平安模型 一個(gè)完整的網(wǎng)絡(luò)信息平安系統(tǒng)至少包括三類措施： ●社會(huì)的法律政策，企業(yè)的規(guī)章制度及網(wǎng)絡(luò)平安教育 ●技術(shù)方面的措施，如防火墻技術(shù)、防病毒。信息加密、身份確認(rèn)以及授權(quán)等 ●審計(jì)與管理措施，包括技術(shù)與社會(huì)措施1/21/202436精選ppt1/21/202437精選ppt政策、法律、法規(guī)是平安的基石，它是建立平安管理的標(biāo)準(zhǔn)和方法。第二局部為增強(qiáng)的用戶認(rèn)證，它是平安系統(tǒng)中屬于技術(shù)措施的首道防線。用戶認(rèn)證的主要目的是提供訪問控制。用戶認(rèn)證方法按其層次的不同可以根據(jù)以下3種情況提供認(rèn)證。〔1〕用戶持有的證件，如大門鑰匙、門卡等?！?〕用戶知道的信息，如密碼?！?〕用戶特有的特征，如指紋、聲音和視網(wǎng)膜掃描等。1/21/202438精選ppt授權(quán)主要是為特許用戶提供適宜的訪問權(quán)限，并監(jiān)控用戶的活動(dòng)，使其不越權(quán)使用。加密主要滿足如下的需求?！?〕認(rèn)證。識別用戶身份，提供訪問許可?！?〕一致性。保證數(shù)據(jù)不被非法篡改。〔3〕隱密性。保證數(shù)據(jù)不被非法用戶查看?！?〕不可抵賴。使信息接收者無法否認(rèn)曾經(jīng)收到的信息。審計(jì)與監(jiān)控，這