計(jì)算機(jī)安全技術(shù)-網(wǎng)絡(luò)安全分析

計(jì)算機(jī)安全技術(shù)--網(wǎng)絡(luò)安全分析9.1網(wǎng)絡(luò)安全概述9.1.2網(wǎng)絡(luò)安全的重要性計(jì)算機(jī)系統(tǒng)經(jīng)常遭到進(jìn)攻。更令人不安的是大多數(shù)進(jìn)攻未被察覺。這些進(jìn)攻給國家安全帶來的影響程度還未確定，但已發(fā)現(xiàn)的進(jìn)攻多數(shù)是針對(duì)計(jì)算機(jī)系統(tǒng)所存放的敏感信息，其中三分之二的進(jìn)攻是成功的，入侵者（黑客）盜竊、修改或破壞了系統(tǒng)上的數(shù)據(jù)。被推薦的安全措施有：·對(duì)非法訪問的登錄進(jìn)行橫幅警告?！ゆI盤級(jí)監(jiān)控?！げ蹲?。·呼叫者ID?！そ厝?。·數(shù)據(jù)加密。·防火墻。防火墻是防止Intranet被入侵的最好方法。9.1網(wǎng)絡(luò)安全概述9.1.3信息系統(tǒng)安全的脆弱性信息系統(tǒng)在安全方面存在的問題。1．操作系統(tǒng)安全的脆弱性2．計(jì)算機(jī)網(wǎng)絡(luò)安全的脆弱性3．?dāng)?shù)據(jù)庫管理系統(tǒng)安全的脆弱性4．缺少安全管理9.1網(wǎng)絡(luò)安全概述9.1.4安全控制的種類可用于保護(hù)一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)的安全控制有兩種，即內(nèi)部和外部控制。1．內(nèi)部控制簡(jiǎn)單的說內(nèi)部控制是對(duì)計(jì)算機(jī)系統(tǒng)本身的控制。密碼、防火墻和數(shù)據(jù)加密都屬于內(nèi)部控制。內(nèi)部控制只有與某一級(jí)的外部控制相結(jié)合時(shí)才生效。2．外部控制外部控制指系統(tǒng)本身無法控制的部分。外部控制總體上有三類：·物理控制·人事控制·程序控制9.2網(wǎng)絡(luò)安全策略9.2.1最小特權(quán)或許最根本的安全原則就是最小特權(quán)原則。最小特權(quán)原則意味著任何對(duì)象僅應(yīng)具有該對(duì)象需要完成指定任務(wù)的特權(quán)，它能盡量避免你遭受侵襲，并減少侵襲造成的損失。9.2.2縱深防御不要只依靠單一安全機(jī)制，盡量建立多層機(jī)制。避免某個(gè)單一安全機(jī)制失敗后你的網(wǎng)絡(luò)會(huì)徹底地垮掉。9.2.3阻塞點(diǎn)阻塞點(diǎn)強(qiáng)迫侵襲者通過一個(gè)你可以監(jiān)控的窄小通道在因特網(wǎng)安全系統(tǒng)中，位于你的局域網(wǎng)和因特網(wǎng)之間的防火墻（假設(shè)它是你的主機(jī)和因特網(wǎng)之間的唯一連接）就是這樣一個(gè)阻塞點(diǎn)。9.2網(wǎng)絡(luò)安全策略9.2.4最薄弱環(huán)節(jié)安全保護(hù)的基本原則是鏈的強(qiáng)度取決于它的最薄弱環(huán)節(jié)，就像墻的堅(jiān)固程度取決于它的最弱點(diǎn)。聰明的侵襲者總要找出那個(gè)弱點(diǎn)并集中精力對(duì)其進(jìn)行攻擊。你應(yīng)意識(shí)到防御措施中的弱點(diǎn)，以便采取行動(dòng)消除它們，同時(shí)你也可以仔細(xì)監(jiān)測(cè)那些無法消除的缺陷。平等對(duì)待安全系統(tǒng)的所有情況，以使得此處與彼處的危險(xiǎn)性不會(huì)有太大的差異。9.2.5失效保護(hù)狀態(tài)安全保護(hù)的另一個(gè)基本原則就是在某種程度上做到失效保護(hù)，即如果系統(tǒng)運(yùn)行錯(cuò)誤，那么它們會(huì)停止服務(wù)，拒絕用戶訪問，這可能會(huì)導(dǎo)致合法用戶無法訪問該系統(tǒng)，但這是可接受的折衷方法。9.2網(wǎng)絡(luò)安全策略9.2.6普遍參與為了使安全機(jī)制更有效，絕大部分安全保護(hù)系統(tǒng)要求網(wǎng)絡(luò)用戶的普遍參與。如果某個(gè)用戶可以輕易地從你的安全保護(hù)機(jī)制中退出，那么侵襲者很有可能會(huì)先侵襲內(nèi)部人員系統(tǒng)，然后再從內(nèi)部侵襲你的網(wǎng)絡(luò)。9.2.7防御多樣化正如你可以通過使用大量的系統(tǒng)提供縱深防御一樣，你也可以通過使用大量不同類型的系統(tǒng)得到額外的安全保護(hù)。如果你的系統(tǒng)都相同，那么只要知道怎樣侵入一個(gè)系統(tǒng)就會(huì)知道怎樣侵入所有系統(tǒng)。9.2網(wǎng)絡(luò)安全策略9.2.8簡(jiǎn)單化簡(jiǎn)單化也是一個(gè)安全保護(hù)戰(zhàn)略，這有兩個(gè)原因：第一，簡(jiǎn)單的事情易于理解，如果你不了解某事，你就不能真正了解它是否安全；第二，復(fù)雜化會(huì)提供隱藏的角落和縫隙，一間工作室比一揀大廈更容易保證其安全性。復(fù)雜程序有更多的小毛病，任何小毛病都可能引發(fā)安全問題。9.3防火墻的作用與設(shè)計(jì)從邏輯上講，防火墻是分離器、限制器和分析器；從物理角度看，各個(gè)防火墻的物理實(shí)現(xiàn)方式可以有所不同，它通常是一組硬件設(shè)備（路由器、主機(jī)）和軟件的多種組合?！穹阑饓Φ膬?yōu)點(diǎn)：(1)防火墻能強(qiáng)化安全策略(2)防火墻能有效地記錄因特網(wǎng)上的活動(dòng)(3)防火墻可以實(shí)現(xiàn)網(wǎng)段控制(4)防火墻是一個(gè)安全策略的檢查站●防火墻的缺點(diǎn)：(1)防火墻不能防范惡意的知情者(2)防火墻不能防范不通過它的連接9.3防火墻的作用與設(shè)計(jì)(3)防火墻不能防備全部的威脅(4)防火墻不能防范病毒防火墻要檢測(cè)隨機(jī)數(shù)據(jù)中的病毒十分困難，它要求：·確認(rèn)數(shù)據(jù)包是程序的一部分·確定程序的功能·確定病毒引起的改變9.3.2防火墻的功能防火墻通常具有以下幾種功能：·數(shù)據(jù)包過濾·代理服務(wù)9.3防火墻的作用與設(shè)計(jì)1．?dāng)?shù)據(jù)包過濾數(shù)據(jù)包過濾系統(tǒng)在內(nèi)部網(wǎng)絡(luò)與外部主機(jī)之間發(fā)送數(shù)據(jù)包，但它們發(fā)送的數(shù)據(jù)包是有選擇的。它們按照自己的安全策略允許或阻止某些類型的數(shù)據(jù)包通過，這種控制由路由器來完成，所以數(shù)據(jù)包過濾系統(tǒng)通常也稱之為屏蔽路由器。普通路由器只是簡(jiǎn)單地查看每一個(gè)數(shù)據(jù)包的目標(biāo)地址，然后選擇發(fā)往目標(biāo)地址的最佳路徑。處理數(shù)據(jù)包目標(biāo)地址的方法一般有兩種：·如果路由器知道如何將數(shù)據(jù)包發(fā)送到目標(biāo)地址，則發(fā)送?！と绻酚善鞑恢廊绾螌?shù)據(jù)包發(fā)送到目標(biāo)地址，則返回?cái)?shù)據(jù)包，經(jīng)由ICMP向源地址發(fā)送不能到達(dá)的消息。9.3防火墻的作用與設(shè)計(jì)屏蔽路由器有以下特點(diǎn)：·屏蔽路由器比普通的路由器擔(dān)負(fù)更大的責(zé)任，它不但要執(zhí)行轉(zhuǎn)發(fā)任務(wù)，還要執(zhí)行確定轉(zhuǎn)發(fā)的任務(wù)。·如果屏蔽路由器的安全保護(hù)失敗，內(nèi)部的網(wǎng)絡(luò)將被暴露?！ず?jiǎn)單的屏蔽路由器不能修改任務(wù)?！て帘温酚善髂茉试S或拒絕服務(wù)，但它不能保護(hù)服務(wù)之內(nèi)的單獨(dú)操作。如果一個(gè)服務(wù)沒有提供安全的操作，或者這個(gè)服務(wù)由不安全的服務(wù)器提供，那么屏蔽路由器就不能保證它的安全。9.3防火墻的作用與設(shè)計(jì)9.3.3防火墻的體系結(jié)構(gòu)防火墻的體系結(jié)構(gòu)一般有以下幾種·雙重宿主主機(jī)體系結(jié)構(gòu)·屏蔽主機(jī)體系結(jié)構(gòu)·屏蔽子網(wǎng)體系結(jié)構(gòu)1．雙重宿主主機(jī)體系結(jié)構(gòu)雙重宿主主機(jī)體系結(jié)構(gòu)是具有雙重宿主功能的主機(jī)而構(gòu)筑的。該計(jì)算機(jī)至少有兩個(gè)網(wǎng)絡(luò)接口，一個(gè)是內(nèi)部網(wǎng)絡(luò)接口，一個(gè)是因特網(wǎng)接口。9.3防火墻的作用與設(shè)計(jì)2．屏蔽主機(jī)體系結(jié)構(gòu)雙重宿主主機(jī)體系結(jié)構(gòu)提供內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的服務(wù)（但是路由關(guān)閉），屏蔽主機(jī)體系結(jié)構(gòu)使用一個(gè)單獨(dú)的路由器來提供內(nèi)部網(wǎng)絡(luò)主機(jī)之間的服務(wù)。在這種體系結(jié)構(gòu)中，主要的安全機(jī)制由數(shù)據(jù)包過濾系統(tǒng)來提供。3．屏蔽子網(wǎng)體系結(jié)構(gòu)屏蔽子網(wǎng)體系結(jié)構(gòu)在屏蔽主機(jī)體系結(jié)構(gòu)的基礎(chǔ)上添加額外的安全層，它通過添加周邊網(wǎng)絡(luò)把內(nèi)部網(wǎng)絡(luò)更進(jìn)一步地與因特網(wǎng)隔離開。周邊網(wǎng)絡(luò)堡壘主機(jī)內(nèi)部路由器外部路由器9.3防火墻的作用與設(shè)計(jì)4．防火墻體系結(jié)構(gòu)的不同形式①使用多堡壘主機(jī)②合并內(nèi)部路由器與外部路由器③合并堡壘主機(jī)與外部路由器④合并堡壘主機(jī)與內(nèi)部路由器⑤使用多臺(tái)內(nèi)部路由器⑥使用多臺(tái)外部路由器⑦使用多個(gè)周邊網(wǎng)絡(luò)⑧使用雙重宿主主機(jī)與屏蔽子網(wǎng)9.3防火墻的作用與設(shè)計(jì)9.3.4內(nèi)部防火墻①實(shí)驗(yàn)室網(wǎng)絡(luò)②不安全的網(wǎng)絡(luò)③特別安全的網(wǎng)絡(luò)④合作共建防火墻⑤共享周邊網(wǎng)絡(luò)⑥堡壘主機(jī)可有可無9.3防火墻的作用與設(shè)計(jì)9.3.5發(fā)展趨勢(shì)被稱為“第三代防火墻”的系統(tǒng)正在成為現(xiàn)實(shí)，它綜合了數(shù)據(jù)包過濾與代理系統(tǒng)的特點(diǎn)與功能。目前，人們正在設(shè)計(jì)新的IP協(xié)議（也被稱為IPversion6）。IP協(xié)議的變化將對(duì)防火墻的建立與運(yùn)行產(chǎn)生深刻的影響，大多數(shù)網(wǎng)絡(luò)上的信息流都有可能被泄漏，但新式的網(wǎng)絡(luò)技術(shù)如幀中繼、異步傳輸模式（ATM）可將數(shù)據(jù)包從源地址直接發(fā)送給目的地址，從而防止信息流在傳輸中途被泄露。9.4.1Web與HTTP協(xié)議HTTP是應(yīng)用級(jí)的協(xié)議，主要用于分布式、協(xié)作的超媒體信息系統(tǒng)。HTTP協(xié)議是通用的、無狀態(tài)的，其系統(tǒng)建設(shè)與傳輸?shù)臄?shù)據(jù)無關(guān)。HTTP也是面向?qū)ο蟮膮f(xié)議，可用于各種任務(wù)，包括（并不局限于）名字服務(wù)、分布式對(duì)象管理、請(qǐng)求方法的擴(kuò)展和命令等等。1．Web的訪問控制2．HTTP安全考慮3．安全超文本傳輸協(xié)議4．安全套接層5．緩存的安全性9.4.6Java與JavaScript1．Javaapplet的安全性問題2．JavaScript的安全性問題9.4.7ActiveX的安全性ActiveX是Microsoft公司開發(fā)的用來在Internet上分發(fā)軟件的技術(shù)。像Javaapplet一樣，Active的控件能結(jié)合進(jìn)Web頁