計(jì)算機(jī)網(wǎng)絡(luò)網(wǎng)絡(luò)安全.ppt

1、計(jì)算機(jī)網(wǎng)絡(luò)網(wǎng)絡(luò)安全,田衛(wèi)鋒,第八章 網(wǎng)絡(luò)安全技術(shù),本章主要內(nèi)容： 網(wǎng)絡(luò)安全體系 網(wǎng)絡(luò)安全技術(shù) 網(wǎng)絡(luò)安全工具,8.1 網(wǎng)絡(luò)安全體系,名詞： 計(jì)算機(jī)網(wǎng)絡(luò)安全性：保障網(wǎng)絡(luò)信息的保密性、完整性、網(wǎng)絡(luò)服務(wù)可用性和可審查性。 即要求網(wǎng)絡(luò)保證其信息系統(tǒng)資源的完整性、準(zhǔn)確性和有限的傳播范圍，并要求網(wǎng)絡(luò)能向所有的用戶有選擇地及時提供各自應(yīng)得到的網(wǎng)絡(luò)服務(wù)。,計(jì)算機(jī)網(wǎng)絡(luò)的安全性要素,保密性：使系統(tǒng)只對被授權(quán)的使用者提供信息。 完整性：使系統(tǒng)只允許授權(quán)的用戶修改信息。 可用性：使系統(tǒng)可以及時向所有用戶提供各自應(yīng)得到的信息資源服務(wù)。 可審查性：使系統(tǒng)內(nèi)所發(fā)生的與安全有關(guān)的動作均有詳細(xì)記錄可查。,網(wǎng)絡(luò)威脅,計(jì)算機(jī)網(wǎng)絡(luò)面臨

2、的攻擊和威脅因素主要分為：人為與非人為的兩種。 非人為威脅主要指自然災(zāi)害造成的不安全因素。如地震、水災(zāi)、火災(zāi)、戰(zhàn)爭等原因造成的網(wǎng)絡(luò)中斷、系統(tǒng)破壞、數(shù)據(jù)丟失等。 人為因素往往是威脅源利用系統(tǒng)資源內(nèi)部的脆弱環(huán)節(jié)侵入而產(chǎn)生的。,人為威脅因素類型,中斷：威脅源使系統(tǒng)的資源受損或不能使用，使數(shù)據(jù)的流動或服務(wù)的提供暫停。 竊取：某個威脅源未經(jīng)許可，卻成功地獲取了對資源的訪問，從中盜取了有用的數(shù)據(jù)或服務(wù)。 更改：某個威脅源未經(jīng)許可，但成功地訪問并改動了某項(xiàng)資源，因而篡改提供的數(shù)據(jù)服務(wù)。 偽造：某個威脅源未經(jīng)許可，但成功的在系統(tǒng)中制造出了假源，從而產(chǎn)生了虛假的數(shù)據(jù)或服務(wù)。,安全服務(wù),開放某一層所提供的服務(wù)，用

3、以保證系統(tǒng)或數(shù)據(jù)傳輸足夠的安全性。 一個安全的計(jì)算機(jī)網(wǎng)絡(luò)至少提供： 實(shí)體認(rèn)證 訪問控制 數(shù)據(jù)保密性 數(shù)據(jù)完整性 防抵賴,實(shí)體認(rèn)證,防止主動攻擊的重要防御措施。 認(rèn)證：識別和證實(shí)。 識別：辨別一個實(shí)體的身份。 證實(shí)：證明該實(shí)體身份的真是性。,訪問控制,針對越權(quán)使用資源的防御措施。 分為自主訪問控制和強(qiáng)制訪問控制。,數(shù)據(jù)保密性,針對信息泄漏的防御措施， 分為： 信息保密 選擇數(shù)據(jù)段保密 業(yè)務(wù)流保密,數(shù)據(jù)完整性,針對非法地篡改信息、文件和業(yè)務(wù)流而設(shè)置的防范措施，以保證資源可獲得性。 分為： 連接完整性 無連接完整性 選擇數(shù)據(jù)段有連接完整性 選擇數(shù)據(jù)段無連接完整性,防抵賴,針對對方進(jìn)行抵賴的防范措施，

4、可用來證實(shí)發(fā)生過的操作。 分為： 對發(fā)送防抵賴 對遞交防抵賴 公證,安全機(jī)制,分為兩類一類與安全服務(wù)有關(guān)，用來實(shí)現(xiàn)安全服務(wù)。另一類與管理功能有關(guān)，用于加強(qiáng)對安全系統(tǒng)的管理。 ISO74982安全機(jī)制包括： 加密機(jī)制 數(shù)字簽名機(jī)制 訪問控制機(jī)制 數(shù)據(jù)完整性機(jī)制 認(rèn)證交換機(jī)制 防業(yè)務(wù)流分析機(jī)制 路由控制機(jī)制 公證機(jī)制,常規(guī)密鑰體制（單密鑰系統(tǒng)）,即加密和解密是相同的密碼體制。 常見加密算法 替代密碼 置換密碼 DES（美國的數(shù)據(jù)加密標(biāo)準(zhǔn)） IDEA（國際數(shù)據(jù)加密算法）,公開密鑰密碼體制,即使用不同的加密密鑰和解密密鑰，是一種由已加密密鑰推導(dǎo)出解密密鑰在計(jì)算機(jī)上是不可行的密碼體制。 典型的如：RSA

5、公開密鑰密碼體制。,網(wǎng)絡(luò)安全的評估標(biāo)準(zhǔn),美國國防部計(jì)算機(jī)安全中心發(fā)布的桔皮書，即“可信計(jì)算機(jī)系統(tǒng)評估標(biāo)準(zhǔn)”。 系統(tǒng)中計(jì)算機(jī)安全程度分為A、B、C、D四類（分A1、A2、B1、B2、B3、C1、C2、D共8個等級）。D級最低。,網(wǎng)絡(luò)安全五層體系,用戶層安全 應(yīng)用層安全 操作系統(tǒng)層安全 數(shù)據(jù)鏈路層安全 網(wǎng)絡(luò)層安全,用戶層安全,解決：是否只有真正被授權(quán)的用戶才能夠使用系統(tǒng)中的資源和數(shù)據(jù)。 用戶層安全包括：保護(hù)合法用戶安全權(quán)限和限制非法用戶的不安全進(jìn)入途徑。 如操作系統(tǒng)中對文件資源的權(quán)限管理： 授權(quán) 訪問特定許可的資源 受口令保護(hù)的共享特定的資源 如操作系統(tǒng)中的權(quán)限控制（Novell、Windows

6、NT）,應(yīng)用層安全,解決只有合法的用戶才能夠?qū)μ囟ǖ臄?shù)據(jù)進(jìn)行合法的操作。 涉及兩個方面問題： 應(yīng)用程序?qū)?shù)據(jù)的合法訪問授權(quán)； 應(yīng)用程序?qū)τ脩舻暮戏?quán)限。,操作系統(tǒng)層的安全,操作系統(tǒng)的安全問題主要： 用戶口令的設(shè)置與保護(hù) 同一局域網(wǎng)或VLAN內(nèi)的共享文件和數(shù)據(jù)庫的訪問控制權(quán)限的設(shè)置等 系統(tǒng)安全問題中，主要考慮的問題： 病毒對于網(wǎng)絡(luò)的威脅，進(jìn)行反病毒； 黑客對于網(wǎng)絡(luò)的破壞和侵入，進(jìn)行風(fēng)險(xiǎn)評估，入侵檢測和審計(jì)分析等。,數(shù)據(jù)鏈路層的安全,數(shù)據(jù)鏈路層的安全主要涉及：傳輸過程中的數(shù)據(jù)加密及數(shù)據(jù)的修改，即數(shù)據(jù)完整性問題。 物理地址盜用問題。,網(wǎng)絡(luò)層安全,網(wǎng)絡(luò)層的安全性問題核心在于網(wǎng)絡(luò)是否得到控制，即是不是任

7、何IP來源的用戶都可以進(jìn)入網(wǎng)絡(luò)。 用于解決網(wǎng)絡(luò)層安全性問題的產(chǎn)品主要有： 防火墻 VPN,網(wǎng)絡(luò)層安全涉及部分,它是Internet網(wǎng)絡(luò)安全中最重要的部分，涉及： IP協(xié)議本身的安全性。 網(wǎng)管協(xié)議的安全性。 網(wǎng)絡(luò)交換設(shè)備的安全性（最重要）。,8.2 網(wǎng)絡(luò)安全技術(shù),防火墻的特征 所有內(nèi)部對外部的通信都必須通過防火墻。反之亦然； 只有按安全策略定義的授權(quán)通信才允許通過； 防火墻本身具有抗入侵能力； 防火墻是網(wǎng)絡(luò)的要塞點(diǎn)，是達(dá)到網(wǎng)絡(luò)安全目的的有效手段，因此盡可能將安全策略都集中于這一點(diǎn)上； 防火墻可以強(qiáng)化安全策略的實(shí)施； 防火墻可以記錄內(nèi)、外網(wǎng)絡(luò)通信時所發(fā)生的一切。,防火墻功能,防火墻必須具有以下功能

8、才能保證網(wǎng)絡(luò)安全性要求： 防火墻應(yīng)該執(zhí)行安全策略； 嚴(yán)格執(zhí)行“未經(jīng)許可，不得入內(nèi)”； 應(yīng)容易擴(kuò)充新的服務(wù)和機(jī)構(gòu)，以便更改所需要的安全策略； 應(yīng)具有代理服務(wù)，包含陷阱的鑒別技術(shù)； 采用陷阱的過濾技術(shù)，根據(jù)需求進(jìn)行允許或拒絕某些服務(wù)； 防火墻界面友好；,防火墻功能,具有緩沖存儲功能，以獲得高效快速訪問； 應(yīng)能界奶對本地網(wǎng)的公共訪問，本地網(wǎng)的公共信息服務(wù)被防火墻保護(hù)。 具有對撥號訪問內(nèi)部網(wǎng)的集中處理和過濾能力； 具有記錄和審計(jì)的功能； 防火墻設(shè)備上所使用的操作系統(tǒng)和開發(fā)工具都應(yīng)該具備相當(dāng)?shù)羌壍陌踩裕?防火墻應(yīng)該時可檢驗(yàn)和可管理的。,防火墻基本實(shí)現(xiàn)技術(shù),防火墻：是用一個或一組網(wǎng)絡(luò)設(shè)備，在兩個或多個網(wǎng)

9、絡(luò)間加強(qiáng)訪問控制，以保護(hù)網(wǎng)絡(luò)免于來自其他網(wǎng)絡(luò)的攻擊的安全技術(shù)。 防火墻過濾器安全策略 防火墻是一種被動的技術(shù)，它假設(shè)了網(wǎng)絡(luò)邊界和服務(wù)，因此，對內(nèi)部的非法訪問難以有效控制。 防火墻適合于相對獨(dú)立的網(wǎng)絡(luò)。,防火墻的目的,訪問控制：限制他人進(jìn)入內(nèi)部網(wǎng)絡(luò) ，過濾掉不安全的服務(wù)和非法用戶。 抗攻擊：限定人們訪問特殊站點(diǎn)； 審計(jì)：為監(jiān)視Internet安全提供方便，對網(wǎng)絡(luò)訪問進(jìn)行記錄，建立完備的日值、審計(jì)和追蹤網(wǎng)絡(luò)訪問，并可以根據(jù)需要產(chǎn)生報(bào)表、報(bào)警和入侵檢測等。,防火墻的局限性,不能完全防范外部可以的認(rèn)為攻擊； 不能方位內(nèi)部用戶攻擊； 不能防止內(nèi)部用戶因誤操作而造成口令失密受到的攻擊； 很難防止病毒或者受病毒感染的文件的傳輸。,局域網(wǎng)的保密,信息泄漏是局域網(wǎng)的主要保密隱患之一，局域網(wǎng)在保密方面有3個脆弱性： 數(shù)據(jù)的可訪問性。 信息的聚生性。 設(shè)防的困難性。,局域網(wǎng)的泄密渠道,電磁泄漏 非法終端 搭線竊取 介