《第7章网络安全.pptx》由会员分享，可在线阅读，更多相关《第7章网络安全.pptx（28页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、第第7 7章章 网络安全网络安全本章导读本章导读随着计算机网络的不断发展，全球信息化已成为人类发展的大趋势。但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，致使网络易受黑客、怪客、恶意软件和其他不轨的攻击，所以网络安全问题已变得日益突出和重要。本章对网络安全相关问题进行了讨论，主要介绍了网络安全概念、数据加密技术、密钥管理、防火墙系统和入侵检测技术等。通过对本章内容的学习，应做到：l了解了解：网络安全概述。l熟悉熟悉：数据加密技术和密钥管理技术。l掌握掌握：防火墙和入侵检测的关键技术和部署方式。7.1 7.1 网络安全概述网络安全概述7.1.1 7.1.1 网
2、络安全概念网络安全概念网络安全，通常指计算机网络的安全，实际上也可以指计算机通信网络的安全。计算机通信网络是将若干台具有独立功能的计算机通过通信设备及传输媒体互连起来，在通信软件的支持下，实现计算机间的信息传输与交换的系统。而计算机网络是指以共享资源为目的，利用通信手段把地域上相对分散的若干独立的计算机系统、终端设备和数据设备连接起来，并在协议的控制下进行数据交换的系统。计算机网络的根本目的在于资源共享，通信网络是实现网络资源共享的途径，因此，计算机网络是安全的，相应的计算机通信网络也必须是安全的，应该能为网络用户实现信息交换与资源共享。下文中，网络安全既指计算机网络安全，又指计算机通信网络安
3、全。安全的基本含义：客观上不存在威胁，主观上不存在恐惧。即客体不担心其正常状态受到影响。可以把网络安全定义为：一个网络系统不受任何威胁与侵害，能正常地实现资源共享功能。要使网络能正常地实现资源共享功能，首先要保证网络的硬件、软件能正常运行，然后要保证数据信息交换的安全。从前面两节可以看到，由于资源共享的滥用，导致了网络的安全问题。因此网络安全的技术途径就是要实行有限制的共享。7.1 7.1 网络安全概述网络安全概述7.1.2 网络安全威胁网络安全威胁主要表现为：1.1.黑客的恶意攻击黑客的恶意攻击“黑客”（Hack）对于大家来说可能并不陌生，他们是一群利用自己的技术专长专门攻击网站和计算机而不
4、暴露身份的计算机用户，由于黑客技术逐渐被越来越多的人掌握和发展，目前世界上约有20多万个黑客网站，这些站点都介绍一些攻击方法和攻击软件的使用以及系统的一些漏洞，因而任何网络系统、站点都有遭受黑客攻击的可能。尤其是现在还缺乏针对网络犯罪卓有成效的反击和跟踪手段，使得黑客们善于隐蔽，攻击“杀伤力”强，这是网络安全的主要威胁1。而就目前网络技术的发展趋势来看，黑客攻击的方式也越来越多的采用了病毒进行破坏，它们采用的攻击和破坏方式多种多样，对没有网络安全防护设备（防火墙）的网站和系统（或防护级别较低）进行攻击和破坏，这给网络的安全防护带来了严峻的挑战。2.2.网络自身和管理存在欠缺网络自身和管理存在欠
5、缺?因特网的共享性和开放性使网上信息安全存在先天不足，因为其赖以生存的TCP/IP协议，缺乏相应的安全机制，而且因特网最初的设计考虑是该网不会因局部故障而影响信息的传输，基本没有考虑安全问题，因此它在安全防范、服务质量、带宽和方便性等方面存在滞后及不适应性。网络系统的严格管理是企业、组织及政府部门和用户免受攻击的重要措施。事实上，很多企业、机构及用户的网站或系统都疏于这方面的管理，没有制定严格的管理制度。据IT界企业团体ITAA的调查显示，美国90的IT企业对黑客攻击准备不足。目前美国7585的网站都抵挡不住黑客的攻击，约有75的企业网上信息失窃。7.1 7.1 网络安全概述网络安全概述3 3
6、.软件设计的漏洞或软件设计的漏洞或“后门后门”而产生的问题而产生的问题?随着软件系统规模的不断增大，新的软件产品开发出来，系统中的安全漏洞或“后门”也不可避免的存在，比如我们常用的操作系统，无论是Windows还是UNIX几乎都存在或多或少的安全漏洞，众多的各类服务器、浏览器、一些桌面软件等等都被发现过存在安全隐患。大家熟悉的一些病毒都是利用微软系统的漏洞给用户造成巨大损失,可以说任何一个软件系统都可能会因为程序员的一个疏忽、设计中的一个缺陷等原因而存在漏洞，不可能完美无缺。这也是网络安全的主要威胁之一。例如大名鼎鼎的“熊猫烧香”病毒，就是我国一名黑客针对微软Windows操作系统安全漏洞设计
7、的计算机病毒，依靠互联网迅速蔓延开来，数以万计的计算机不幸先后“中招”，并且它已产生众多变种，还没有人准确统计出此次病毒在国内殃及的计算机的数量，它对社会造成的各种损失更是难以估计。目前透露的保守数据已表明，“熊猫烧香”是最近一段时间以来少有的、传播速度较快、危害性较强的一种病毒，其主要破坏特征有：导致安装有WindowsXP、Windows2000、WindowsServer2003等操作系统的受感染计算机的.exe文件全部无法正常打开、系统运行速度减慢、常用办公软件的部分功能失效等。此外，感染了此病毒的计算机，又会通过互联网自动扫描，寻找其他感染目标，最终在这名黑客提供病毒源码的情况下，才
8、终止了此种病毒的继续传播。7.1 7.1 网络安全概述网络安全概述4 4.恶意网站设置的陷阱恶意网站设置的陷阱?互联网世界的各类网站，有些网站恶意编制一些盗取他人信息的软件，并且可能隐藏在下载的信息中，只要登录或者下载网络的信息就会被其控制和感染病毒，计算机中的所有信息都会被自动盗走，该软件会长期存在你的计算机中，操作者并不知情，如现在非常流行的“木马”病毒。因此，上互联网应格外注意，不良网站和不安全网站万不可登录，否则后果不堪设想5.5.用户网络内部工作人员的不良行为引起的安全问题用户网络内部工作人员的不良行为引起的安全问题?网络内部用户的误操作，资源滥用和恶意行为也有可能对网络的安全造成巨
9、大的威胁。由于各行业，各单位现在都在建局域网，计算机使用频繁，但是由于单位管理制度不严，不能严格遵守行业内部关于信息安全的相关规定，都容易引起一系列安全问题。7.1 7.1 网络安全概述网络安全概述7.1.3 网络安全策略网络安全策略1.采取技术防护手段物理安全策略访问控制策略信息加密技术路由器和虚拟专用网技术安装防病毒软件和防火墙2.构建信息安全保密体系信息安全保密的体系框架信息安全保密的服务支持体系信息安全保密的标准规范体系信息安全保密的技术防范体系信息安全保密的管理保障体系信息安全保密的工作能力体系7.2 7.2 数据加密技术数据加密技术7.2.1 7.2.1 数据加密概念数据加密概念所
10、谓数据加密（Data Encryption）技术是指将一个信息（或称明文，plain text）经过加密钥匙（Encryption key）及加密函数转换，变成无意义的密文（cipher text），而接收方则将此密文经过解密函数、解密钥匙（Decryption key）还原成明文。加密技术是网络安全技术的基石。密码技术是通信双方按约定的法则进行信息特殊变换的一种保密技术。根据特定的法则，变明文（Plaintext）为密文（Ciphertext）。从明文变成密文的过程称为加密（Encryption）；由密文恢复出原明文的过程，称为解密（Decryption）。随着密码学的不断成熟，大量密码产品
11、应用于国计民生中，如USB Key、PIN EntryDevice、RFID 卡、银行卡等。广义上讲，包含密码功能的应用产品也是密码产品，如各种物联网产品，它们的结构与计算机类似，也包括运算、控制、存储、输入输出等部分。密码芯片是密码产品安全性的关键，它通常是由系统控制模块、密码服务模块、存储器控制模块、功 能辅助模块、通信模块等关键部件构成的。数据加密技术要求只有在指定的用户或网络下，才能解除密码而获得原来的数据，这就需要给数据发送方和接受方以一些特殊的信息用于加解密，这就是所谓的密钥。其密钥的值是从大量的随机数中选取的。按加密算法分为专用密钥和公开密钥两种。7.2 7.2 数据加密技术数据
12、加密技术7.2.2 7.2.2 数据加密技术数据加密技术一般的数据加密技术可以在通信的三个层次来实现：链路加密、节点加密和端到端加密。1.1.链路加密链路加密对于在两个网络节点间的某一次通信链路，链路加密能为网上传输的数据提供安全保证。对于链路加密（又称在线加密），所有消息在被传输之前进行加密，在每一个节点对接收到的消息进行解密，然后先使用下一个链路的密钥对消息进行加密，再进行传输。在到达目的地之前，一条消息可能要经过许多通信链路的传输。7.2 7.2 数据加密技术数据加密技术2.2.节点加密节点加密尽管节点加密能给网络数据提供较高的安全性，但它在操作方式上与链路加密是类似的：两者均在通信链路
13、上为传输的消息提供安全性；都在中间节点先对消息进行解密，然后进行加密。因为要对所有传输的数据进行加密，所以加密过程对用户是透明的。然而，与链路加密不同，节点加密不允许消息在网络节点以明文形式存在，它先把收到的消息进行解密，然后采用另一个不同的密钥进行加密，这一过程是在节点上的一个安全模块中进行。节点加密要求报头和路由信息以明文形式传输，以便中间节点能得到如何处理消息的信息。因此这种方法对于防止攻击者分析通信业务是脆弱的。7.2 7.2 数据加密技术数据加密技术3.3.端到端加密端到端加密端到端加密允许数据在从源点到终点的传输过程中始终以密文形式存在。采用端到端加密（又称脱线加密或包加密），消息
14、在被传输时到达终点之前不进行解密，因为消息在整个传输过程中均受到保护，所以即使有节点被损坏也不会使消息泄露。端到端加密系统的价格便宜些，并且与链路加密和节点加密相比更可靠，更容易设计、实现和维护。端到端加密还避免了其它加密系统所固有的同步问题，因为每个报文包均是独立被加密的，所以一个报文包所发生的传输错误不会影响后续的报文包。此外，从用户对安全需求的直觉上讲，端到端加密更自然些。单个用户可能会选用这种加密方法，以便不影响网络上的其他用户，此方法只需要源和目的节点是保密的即可。端到端加密系统通常不允许对消息的目的地址进行加密，这是因为每一个消息所经过的节点都要用此地址来确定如何传输消息。由于这种
15、加密方法不能掩盖被传输消息的源点与终点，因此它对于防止攻击者分析通信业务是脆弱的。7.2 7.2 数据加密技术数据加密技术7.2.3 7.2.3 数字签名技术数字签名技术数字签名（又称公钥数字签名）是只有信息的发送者才能产生的别人无法伪造的一段数字串，这段数字串同时也是对信息的发送者发送信息真实性的一个有效证明。它是一种类似写在纸上的普通的物理签名，但是使用了公钥加密领域的技术来实现的，用于鉴别数字信息的方法。一套数字签名通常定义两种互补的运算，一个用于签名，另一个用于验证。数字签名是非对称密钥加密技术与数字摘要技术的应用。数字签名的文件的完整性是很容易验证的（不需要骑缝章，骑缝签名，也不需要
16、笔迹专家），而且数字签名具有不可抵赖性（不可否认性）。7.2 7.2 数据加密技术数据加密技术7.2.3 7.2.3 数字签名数字签名技术技术1.鉴权鉴权2.完整完整性性3.不可不可抵赖抵赖特点7.3 7.3 密钥管理密钥管理密钥，即密匙，一般泛指生产、生活所应用到的各种加密技术，能够对个人资料、企业机密进行有效的监管，密钥管理就是指对密钥进行管理的行为，如加密、解密、破解等等。密钥管理包括，从密钥的产生到密钥的销毁的各个方面。主要表现于管理体制、管理协议和密钥的产生、分配、更换和注入等。1.密钥密钥生成生成2.密钥密钥分发分发4.更新更新密钥密钥5.密钥密钥存储存储6.备份备份密钥密钥7.密
17、钥密钥有效期有效期8.销毁销毁密钥密钥7.3 7.3 密钥管理密钥管理7.3.1 7.3.1 密钥管理流程密钥管理流程7.3 7.3 密钥管理密钥管理7.3.2 7.3.2 对称密钥管理对称密钥管理对称加密是基于共同保守秘密来实现的。采用对称加密技术的贸易双方必须要保证采用的是相同的密钥，要保证彼此密钥的交换是安全可靠的，同时还要设定防止密钥泄密和更改密钥的程序。这样，对称密钥的管理和分发工作将变成一件潜在危险的和繁琐的过程。通过公开密钥加密技术实现对称密钥的管理使相应的管理变得简单和更加安全，同时还解决了纯对称密钥模式中存在的可靠性问题和鉴别问题。贸易方可以为每次交换的信息（如每次的EDI交
18、换）生成唯一一把对称密钥并用公开密钥对该密钥进行加密，然后再将加密后的密钥和用该密钥加密的信息（如EDI交换）一起发送给相应的贸易方。由于对每次信息交换都对应生成了唯一一把密钥，因此各贸易方就不再需要对密钥进行维护和担心密钥的泄露或过期。这种方式的另一优点是，即使泄露了一把密钥也只将影响一笔交易，而不会影响到贸易双方之间所有的交易关系。这种方式还提供了贸易伙伴间发布对称密钥的一种安全途径。7.3 7.3 密钥管理密钥管理7.3.3 7.3.3 公开密钥管理公开密钥管理贸易伙伴间可以使用数字证书（公开密钥证书）来交换公开密钥。国际电信联盟（ITU）制定的标准X.509，对数字证书进行了定义该标准
19、等同于国际标准化组织（ISO）与国际电工委员会（IEC）联合发布的ISO/IEC 9594-8：195标准。数字证书通常包含有唯一标识证书所有者（即贸易方）的名称、唯一标识证书发布者的名称、证书所有者的公开密钥、证书发布者的数字签名、证书的有效期及证书的序列号等。证书发布者一般称为证书管理机构（CA），它是贸易各方都信赖的机构。数字证书能够起到标识贸易方的作用，是目前电子商务广泛采用的技术之一。7.4 7.4 防火墙系统防火墙系统7.4.1 7.4.1 防火墙概述防火墙概述所谓“防火墙”是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种建立在现代通信网络技术和信息安全
20、技术基础上的应用性安全技术，隔离技术。越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入Internet网络为最甚。防火墙主要是借助硬件和软件的作用于内部和外部网络的环境间产生一种保护的屏障，从而实现对计算机不安全网络因素的阻断。只有在防火墙同意情况下，用户才能够进入计算机内，如果不同意就会被阻挡于外，防火墙技术的警报功能十分强大，在外部的用户要进入到计算机内部时，防火墙就会迅速的发出相应的警报，并提醒用户的行为，并进行自我的判断来决定是否允许外部的用户进入到内部，只要是在网络环境内的用户，这种防火墙都能够进行有效的查询，同时把查到信息向用户进行显示，然后用户需要按照自身需要对防火墙
21、实施相应设置，对不允许的用户行为进行阻断。通过防火墙还能够对信息数据的流量实施有效查看，并且还能够对数据信息的上传和下载速度进行掌握，便于用户对计算机使用的情况具有良好的控制判断，计算机的内部情况也可以通过这种防火墙进行查看，还具有启动与关闭程序的功能，而计算机系统的内部中具有的日志功能，其实也是防火墙对计算机的内部系统实时安全情况与每日流量情况进行的总结和整理。7.4 7.4 防火墙系统防火墙系统防火墙是在两个网络通讯时执行的一种访问控制尺度，能最大限度阻止网络中的黑客访问你的网络。是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网
22、络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。7.4 7.4 防火墙系统防火墙系统7.4.2 防火墙的功能1.1.入侵检测入侵检测网络防火墙技术的主要功能之一就是入侵检测功能，主要有反端口扫描、检测拒绝服务工具、检测CGI/IIS服务器入侵、检测木马或者网络蠕虫攻击、检测缓冲区溢出攻击等功能，可以极大程度上减少网络威胁因素的入侵，有效阻挡大
23、多数网络安全攻击。2.2.网络地址转换网络地址转换利用防火墙技术可以有效实现内部网络或者外部网络的IP地址转换，可以分为源地址转换和目的地址转换，即SNAT和NAT。SNAT主要用于隐藏内部网络结构，避免受到来自外部网络的非法访问和恶意攻击，有效缓解地址空间的短缺问题，而DNAT主要用于外网主机访问内网主机，以此避免内部网络被攻击。3.3.网络操作的审计监控网络操作的审计监控通过此功能可以有效对系统管理的所有操作以及安全信息进行记录，提供有关网络使用情况的统计数据，方便计算机网络管理以进行信息追踪。4.4.强化网络安全强化网络安全防火墙技术管理可以实现集中化的安全管理，将安全系统装配在防火墙上
24、，在信息访问的途径中就可以实现对网络信息安全的监管。7.4 7.4 防火墙系统防火墙系统7.4.3 防火墙的主要类型1 1.过滤型防火墙过滤型防火墙过滤型防火墙是在网络层与传输层中，可以基于数据源头的地址以及协议类型等标志特征进行分析，确定是否可以通过。在符合防火墙规定标准之下，满足安全性能以及类型才可以进行信息的传递，而一些不安全的因素则会被防火墙过滤、阻挡。2.2.应用代理类型防火墙应用代理类型防火墙应用代理防火墙主要的工作范围就是在OIS的最高层，位于应用层之上。其主要的特征是可以完全隔离网络通信流，通过特定的代理程序就可以实现对应用层的监督与控制。这两种防火墙是应用较为普遍的防火墙，其
25、他一些防火墙应用效果也较为显著，在实际应用中要综合具体的需求以及状况合理的选择防火墙的类型，这样才可以有效地避免防火墙的外部侵扰等问题的出现。3.3.复合型复合型目前应用较为广泛的防火墙技术当属复合型防火墙技术，综合了包过滤防火墙技术以及应用代理防火墙技术的优点，譬如发过来的安全策略是包过滤策略，那么可以针对报文的报头部分进行访问控制；如果安全策略是代理策略，就可以针对报文的内容数据进行访问控制，因此复合型防火墙技术综合了其组成部分的优点，同时摒弃了两种防火墙的原有缺点，大大提高了防火墙技术在应用实践中的灵活性和安全性。7.4 7.4 防火墙系统防火墙系统7.4.4 防火墙的关键技术1.1.包
26、过滤技术包过滤技术防火墙的包过滤技术一般只应用于OSI7层的模型网络层的数据中，其能够完成对防火墙的状态检测，从而预先可以把逻辑策略进行确定。逻辑策略主要针对地址、端口与源地址，通过防火墙所有的数据都需要进行分析，如果数据包内具有的信息和策略要求是不相符的，则其数据包就能够顺利通过，如果是完全相符的，则其数据包就被迅速拦截。计算机数据包传输的过程中，一般都会分解成为很多由目和地质等组成的一种小型数据包，当它们通过防火墙的时候，尽管其能够通过很多传输路径进行传输，而最终都会汇合于同一地方，在这个目地点位置，所有的数据包都需要进行防火墙的检测，在检测合格后，才会允许通过，如果传输的过程中，出现数据
27、包的丢失以及地址的变化等情况，则就会被抛弃。2.2.加密技术加密技术计算机信息传输的过程中，借助防火墙还能够有效的实现信息的加密，通过这种加密技术，相关人员就能够对传输的信息进行有效的加密，其中信息密码是信息交流的双方进行掌握，对信息进行接受的人员需要对加密的信息实施解密处理后，才能获取所传输的信息数据，在防火墙加密技术应用中，要时刻注意信息加密处理安全性的保障。在防火墙技术应用中，想要实现信息的安全传输，还需要做好用户身份的验证，在进行加密处理后，信息的传输需要对用户授权，然后对信息接收方以及发送方要进行身份的验证，从而建立信息安全传递的通道，保证计算机的网络信息在传递中具有良好的安全性，非
28、法分子不拥有正确的身份验证条件，因此，其就不能对计算机的网络信息实施入侵。7.4 7.4 防火墙系统防火墙系统3 3.防病毒技术防病毒技术防火墙具有着防病毒的功能，在防病毒技术的应用中，其主要包括病毒的预防、清除和检测等方面。防火墙的防病毒预防功能来说，在网络的建设过程中，通过安装相应的防火墙来对计算机和互联网间的信息数据进行严格的控制，从而形成一种安全的屏障来对计算机外网以及内网数据实施保护。计算机网络要想进行连接，一般都是通过互联网和路由器连接实现的，则对网络保护就需要从主干网的部分开始，在主干网的中心资源实施控制，防止服务器出现非法的访问，为了杜绝外来非法的入侵对信息进行盗用，在计算机连
29、接的端口所接入的数据，还要进行以太网和IP地址的严格检查，被盗用IP地址会被丢弃，同时还会对重要信息资源进行全面记录，保障其计算机的信息网络具有良好安全性。4.4.代理服务器代理服务器代理服务器是防火墙技术引用比较广泛的功能，根据其计算机的网络运行方法可以通过防火墙技术设置相应的代理服务器，从而借助代理服务器来进行信息的交互。在信息数据从内网向外网发送时，其信息数据就会携带着正确IP，非法攻击者能够分局信息数据IP作为追踪的对象，来让病毒进入到内网中，如果使用代理服务器，则就能够实现信息数据IP的虚拟化，非法攻击者在进行虚拟IP的跟踪中，就不能够获取真实的解析信息，从而代理服务器实现对计算机网
30、络的安全防护。另外，代理服务器还能够进行信息数据的中转，对计算机内网以及外网信息的交互进行控制，对计算机的网络安全起到保护。7.4 7.4 防火墙系统防火墙系统7.4.5 防火墙的部署方式1.1.桥模式桥模式桥模式也可叫作透明模式。最简单的网络由客户端和服务器组成，客户端和服务器处于同一网段。为了安全方面的考虑，在客户端和服务器之间增加了防火墙设备，对经过的流量进行安全控制。正常的客户端请求通过防火墙送达服务器，服务器将响应返回给客户端，用户不会感觉到中间设备的存在。工作在桥模式下的防火墙没有IP地址，当对网络进行扩容时无需对网络地址进行重新规划，但牺牲了路由、VPN等功能。2.2.网关模式网
31、关模式网关模式适用于内外网不在同一网段的情况，防火墙设置网关地址实现路由器的功能，为不同网段进行路由转发。网关模式相比桥模式具备更高的安全性，在进行访问控制的同时实现了安全隔离，具备了一定的私密性。7.4 7.4 防火墙系统防火墙系统3.NAT3.NAT模式模式NAT（Network Address Translation）地址翻译技术由防火墙对内部网络的IP地址进行地址翻译，使用防火墙的IP地址替换内部网络的源地址向外部网络发送数据；当外部网络的响应数据流量返回到防火墙后，防火墙再将目的地址替换为内部网络的源地址。NAT模式能够实现外部网络不能直接看到内部网络的IP地址，进一步增强了对内部网
32、络的安全防护。同时，在NAT模式的网络中，内部网络可以使用私网地址，可以解决IP地址数量受限的问题。如果在NAT模式的基础上需要实现外部网络访问内部网络服务的需求时，还可以使用地址/端口映射（MAP）技术，在防火墙上进行地址/端口映射配置，当外部网络用户需要访问内部服务时，防火墙将请求映射到内部服务器上；当内部服务器返回相应数据时，防火墙再将数据转发给外部网络。使用地址/端口映射技术实现了外部用户能够访问内部服务，但是外部用户无法看到内部服务器的真实地址，只能看到防火墙的地址，增强了内部服务器的安全性。4.4.高可靠性设计高可靠性设计防火墙都部署在网络的出入口，是网络通信的大门，这就要求防火墙
33、的部署必须具备高可靠性。一般IT设备的使用寿命被设计为3至5年，当单点设备发生故障时，要通过冗余技术实现可靠性，可以通过如虚拟路由冗余协议（VRRP）等技术实现主备冗余。目前，主流的网络设备都支持高可靠性设计。7.5 7.5 入侵检测技术入侵检测技术7.5.1 7.5.1 入侵检测简介入侵检测简介入侵检测系统（IDS）可以被定义为对计算机和网络资源的恶意使用行为进行识别和相应处理的系统。包括系统外部的入侵和内部用户的非授权行为,是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。入侵检测技术是为保证计算机系
34、统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。进行入侵检测的软件与硬件的组合便是入侵检测系统（IntrusionDetectionSystem，简称IDS）。7.5 7.5 入侵检测技术入侵检测技术7.5.2 7.5.2 入侵检测系统的入侵检测系统的分类分类1.按技术划分（1）异常检测模型）异常检测模型（2）误用检测模型）误用检测模型2.按对象划分（1）基于主机）基于主机（2）基于网络）基于网络（3）混合型）混合型7.5 7.5 入侵检测技术入侵检测技术7.5.3 入侵检测系统的部署1.1.基于主机的基于主机的IDS
35、IDS基于主机的IDS只能够监控一个系统，它运行在你需要保护的主机之中，它能够读取主机的日志并寻找异常。但需要注意的是，当攻击发生之后，基于主机的IDS才能够检测到异常。基于网络的IPS能够检测到网段中的数据包，如果基于网络的IPS设计得当的话，它也许能够代替基于主机的IPS。基于主机的IDS其另一个缺点就是，网络中的每一台主机都需要部署一个基于主机的IDS系统。你可以设想一下，如果你的环境中有5000台主机，这样一来你的部署成本就会非常高了。2.2.基于设备的基于设备的IDSIDS你可以在一台物理服务器或虚拟服务器中安装IDS，但你需要开启两个接口来处理流入和流出的网络流量。除此之外，你还可
36、以在Ubuntu服务器（虚拟机）上安装类似Snort的IDS软件。3.3.基于路由器的基于路由器的IDSIDS在一个网络中，几乎所有的流量都要经过路由器。路由器作为一个网络系统的网关，它是系统内主机与外部网络交互的桥梁。因此在网络安全设计架构中，路由器也是IDS和IPS系统可以考虑部署的地方。目前有很多可以整合进路由器的第三方软件，而它们可以构成网络系统抵御外部威胁的最前线。4.4.基于防火墙的基于防火墙的IDSIDS防火墙与IDS之间的区别在于，防火墙看起来可以防止外部威胁进入我们的网络，但它并不能监控网络内部所发生的攻击行为。很多厂商会在防火墙中整合IPS和IDS，这样就可以给防火墙又添加了一层保护功能。