農(nóng)林牧漁第5章-網(wǎng)絡(luò)隔離技術(shù)

電子科技大學計算機科學與工程學院計算系統(tǒng)與網(wǎng)絡(luò)安全

ComputerSystemandNetworkSecurity2024/8/16總結(jié)網(wǎng)絡(luò)隔離的主要方法網(wǎng)絡(luò)隔離的基本內(nèi)容網(wǎng)絡(luò)隔離的基本概念第5章網(wǎng)絡(luò)隔離技術(shù)路由器與安全體系結(jié)構(gòu)2024/8/16總結(jié)網(wǎng)絡(luò)隔離的主要方法網(wǎng)絡(luò)隔離的基本內(nèi)容網(wǎng)絡(luò)隔離的基本概念第5章網(wǎng)絡(luò)隔離技術(shù)路由器與安全體系結(jié)構(gòu)2024/8/16目標掌握路由器的工作原理掌握路由器在信息安全體系結(jié)構(gòu)中的作用了解路由器與防火墻的協(xié)同工作方法2024/8/16TCP/IP基礎(chǔ)TCP/IP協(xié)議棧2024/8/16TCP/IP基礎(chǔ)（續(xù)）協(xié)議數(shù)據(jù)的封裝2024/8/16路由器的基本概念路由器（Router）是用于連接兩個或者多個網(wǎng)絡(luò)的網(wǎng)絡(luò)互連設(shè)備路由器工作在TCP/IP協(xié)議棧中的IP層Network1Network22024/8/16路由器的工作原理（續(xù)）路由器的協(xié)議層次應(yīng)用層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層應(yīng)用層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層2024/8/16路由器的工作原理（續(xù)）路由器的路由功能202.115.22202.115.24202.115.23IP地址？2024/8/16路由器與安全體系結(jié)構(gòu)路由器作為安全體系結(jié)構(gòu)的邊界控制組建兩種部署方案：路由器作為整個安全體系的一部分路由器作為唯一的邊界安全設(shè)備其他安全設(shè)備路由器作為安全體系的一部分路由器是唯一的邊界安全設(shè)備2024/8/16路由器與安全體系結(jié)構(gòu)（續(xù)）路由器作為安全體系結(jié)構(gòu)的一部分路由器執(zhí)行最基本的操作：報文轉(zhuǎn)發(fā)包過濾入口過濾出口過濾基于網(wǎng)絡(luò)的應(yīng)用程序識別（Network-BasedApplicationRecognition:NBAR):對流媒體信息進行標記處理；更深層次的概念涉及“服務(wù)質(zhì)量”（QoS）2024/8/16路由器與安全體系結(jié)構(gòu)（續(xù)）路由器作為唯一的邊界安全設(shè)備需要解決幾個關(guān)鍵問題：路由器的位置根據(jù)應(yīng)用需求不同，路由器的位置也不盡相同功能選擇如何合理的選擇路由器功能2024/8/16路由器與安全體系結(jié)構(gòu)（續(xù)）路由器的位置路由器作為外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的分隔設(shè)備內(nèi)部網(wǎng)絡(luò)外部網(wǎng)絡(luò)路由器是作為內(nèi)部子網(wǎng)的分隔設(shè)備內(nèi)部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)2024/8/16路由器與安全體系結(jié)構(gòu)（續(xù)）如何合理的選擇路由器功能？網(wǎng)絡(luò)地址轉(zhuǎn)換包過濾狀態(tài)包過濾訪問控制2024/8/16路由器的加固路由器加固指提高路由器自身的安全性加固方法有：加固操作系統(tǒng)鎖住管理點：Telnet：遠程登錄SSH：安全腳本TFTP/FTP：文件傳輸SNMP：簡單網(wǎng)絡(luò)管理認證和口令禁止服務(wù)器（如Bootp，HTTP等）2024/8/16路由器的加固（續(xù)）禁止不必要的服務(wù)：如NTP，finger等阻斷因特網(wǎng)控制消息協(xié)議（ICMP）禁止源路由路由器日志查看2024/8/16結(jié)論路由器既是網(wǎng)絡(luò)連接設(shè)備，也可作為網(wǎng)絡(luò)安全設(shè)備路由器可以作為整個安全體系的一部分，也可作為唯一的邊界安全設(shè)備路由器可以放置在內(nèi)網(wǎng)和外網(wǎng)的中間，也可作為內(nèi)部子網(wǎng)的分隔設(shè)備在路由器在安全體系結(jié)構(gòu)中的作用需要特別重視2024/8/16總結(jié)網(wǎng)絡(luò)隔離的主要方法網(wǎng)絡(luò)隔離的基本內(nèi)容網(wǎng)絡(luò)隔離的基本概念第5章網(wǎng)絡(luò)隔離技術(shù)路由器與安全體系結(jié)構(gòu)2024/8/16資源隔離技術(shù)什么是資源隔離？資源隔離是將不同的資源劃歸為同一個安全區(qū)域。什么是安全區(qū)域（SecureZone）？安全區(qū)域是屬于同一個物理或者邏輯組織的一組資源集合劃分安全區(qū)域的目的是：更好的規(guī)劃和設(shè)計安全策略什么是資源？物理設(shè)備：網(wǎng)絡(luò)設(shè)備、主機設(shè)備、電子設(shè)備。。。。應(yīng)用和程序：Web服務(wù)器，Mail服務(wù)器，。。。數(shù)據(jù)：文檔，數(shù)據(jù)庫。。。。2024/8/16資源隔離技術(shù)（續(xù)）為什么需要進行資源隔離？資源隔離的主要目的是將入侵行為帶來的影響控制在特定的區(qū)域資源隔離有助于更好的實施安全策略資源隔離有助于實施管理2024/8/16資源隔離的內(nèi)容資源隔離的內(nèi)容子網(wǎng)隔離主機隔離服務(wù)隔離用戶隔離數(shù)據(jù)隔離廣義的資源隔離包括網(wǎng)絡(luò)隔離2024/8/16資源隔離的內(nèi)容（續(xù)）子網(wǎng)隔離安全性要求不同的部門屬于不同子網(wǎng)不同的業(yè)務(wù)部門屬于不同子網(wǎng)物理距離大的部門屬于不同的子網(wǎng)財務(wù)部市場部財務(wù)部市場部信息部生產(chǎn)部信息部生產(chǎn)部財務(wù)部市場部財務(wù)部市場部2024/8/16資源隔離的內(nèi)容（續(xù)）主機隔離DBMailMailDB2024/8/16資源隔離的內(nèi)容（續(xù)）服務(wù)隔離Mail&DBMailDB2024/8/16資源隔離的內(nèi)容（續(xù)）用戶隔離管理員&其他用戶管理員其他用戶2024/8/16資源隔離的內(nèi)容（續(xù)）數(shù)據(jù)隔離DB&DOCDBDOC2024/8/16資源隔離的主要依據(jù)資源敏感度不同敏感度的資源屬于不同的安全區(qū)域資源受到損害的可能性易受損害的資源和不易受損害的資源屬于不同的安全區(qū)域易管理性資源分隔應(yīng)該有利于管理設(shè)計者自己的分類標準根據(jù)安全策略進行資源分隔2024/8/16資源隔離的基本方法同一子網(wǎng)內(nèi)的資源隔離不同子網(wǎng)的資源隔離2024/8/16資源隔離的基本方法（續(xù)）同一子網(wǎng)內(nèi)的資源隔離如果不同的服務(wù)確實需要運行在同一主機之上，可以采用以下方法：不同服務(wù)用不同的用戶身份進行管理使用特定的工具進行安全區(qū)域的劃分：如目錄分隔，磁盤分區(qū)分隔等使用專用服務(wù)器來提供安全區(qū)域不同服務(wù)盡可能運行在不同的服務(wù)器上2024/8/16資源隔離的基本方法（續(xù)）不同子網(wǎng)的資源隔離廣播子網(wǎng)與其他子網(wǎng)隔離2024/8/16資源隔離的基本方法（續(xù)）不同子網(wǎng)的資源隔離公共子網(wǎng)和內(nèi)部子網(wǎng)隔離內(nèi)部服務(wù)器外部服務(wù)器工作站內(nèi)部服務(wù)器外部服務(wù)器工作站2024/8/16實現(xiàn)資源隔離的技術(shù)路由器防火墻交換機VLAN2024/8/16實現(xiàn)資源隔離的技術(shù)（續(xù)）路由器Internet2024/8/16實現(xiàn)資源分隔的技術(shù)（續(xù)）防火墻Internet2024/8/16實現(xiàn)資源分隔的技術(shù)（續(xù)）防火墻Internet2024/8/16實現(xiàn)資源分隔的技術(shù)（續(xù)）VLANVLAN是實現(xiàn)資源隔離的有效方法VLAN1VLAN3VLAN22024/8/16實現(xiàn)資源分隔的技術(shù)（續(xù)）VLAN的原理AppTCP,UDPIPDLPhysicalAppTCP,UDPIPDLPhysical傳統(tǒng)的交換機：兩層交換VLAN中的交換機：三層交換2024/8/16實現(xiàn)資源分隔的技術(shù)（續(xù)）VLAN的原理AppTCP,UDPIPDLPhysicalVLAN中的交換機：三層交換路由ACL。。。2024/8/16資源隔離實例分析郵件服務(wù)器分隔Internet內(nèi)部郵件服務(wù)中心服務(wù)器公共郵件中繼服務(wù)器2024/8/16資源隔離實例分析DNS服務(wù)器分隔Internet內(nèi)部DNS服務(wù)器公共DNS服務(wù)器2024/8/16資源隔離實例分析（續(xù)）無線接入分隔Internet內(nèi)部服務(wù)器區(qū)公共服務(wù)器區(qū)邊界防火墻內(nèi)部防火墻2024/8/16總結(jié)廣義的資源隔離包括網(wǎng)絡(luò)隔離資源隔離可以在一定程度上降低安全風險，從而優(yōu)化安全體系結(jié)構(gòu)資源隔離的內(nèi)容包括：子網(wǎng)隔離、