《[精选]第10章网络安全.pptx》由会员分享，可在线阅读，更多相关《[精选]第10章网络安全.pptx（126页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、第10章 网络安全本章内容本章内容网网络络安全的基本概念安全的基本概念信息安全技信息安全技术术防火防火墙墙技技术术网网络络病毒病毒网网络络安全的基本概念安全的基本概念 什么是网络安全？网络安全主要解决数据保密和认证的问题。数据保密就是采取复杂多样的措施对数据加以保护，以防止数据被有意或无意地泄露给无关人员。认证分为信息认证和用户认证两个方面信息认证是指信息从发送到接收整个通路中没有被第三者修改和伪造，用户认证是指用户双方都能证实对方是这次通信的合法用户。通常在一个完备的保密系统中既要求信息认证，也要求用户认证。网网络络安全包括安全包括OSI-RM各各层层事实上，每一层都可以采取一定的措施来防止
2、某些类型的网络入侵事件，在一定程度上保障数据的安全。物理物理层层可以在包容电缆的密封套中充入高压的氖气；链链路路层层可以进行所谓的链路加密，即将每个帧编码后再发出，当到达另一端时再解码恢复出来；网网络层络层可以使用防火墙技术过滤一局部有嫌疑的数据报；在传输层传输层上甚至整个连接都可以被加密。网网络络安全定安全定义义 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络效劳不中断。1运行系统安全，即保证信息处理和传输系统 的安全。2网络上系统信息的安全。3网络上信息传播的安全，即信息传播后果的安全。4网络上信息内容
3、的安全，即我们讨论的狭义的“信息安全。网网络络安全安全应应具具备备四个特征四个特征保密性保密性：信息不泄露给非授权的用户、实体或过程，或供其利用的特性；完整性完整性：数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丧失的特性；可用性可用性：可被授权实体访问并按需求使用的特性，即当需要时应能存取所需的信息，网络环境下拒绝效劳、破坏网络和有关系统的正常运行等都属于对可用性的攻击；可控性可控性：对信息的传播及内容具有控制能力。主要的网主要的网络络安全的威安全的威胁胁1非授权访问Unauthorized Access：一个非授权的人的入侵。2信息泄露Disclosure
4、 of Information：造成将有价值的和高度机密的信息暴露给无权访问该信息的人的所有问题。3拒绝效劳Denial of Service：使得系统难以或不可能继续执行任务的所有问题。网网络络安全的关安全的关键键技技术术主机安全技术身份认证技术访问控制技术密码技术防火墙技术病毒防治技术安全审计技术安全管理技术制定安全策略涉及四方面制定安全策略涉及四方面网络用户的安全责任系统管理员的安全责任正确利用网络资源检测到安全问题时的对策计计算机安全的分算机安全的分类类根据中国国家计算机安全标准，计算机的安全大致可分为三类：1实体安全。包括机房、线路、主机等；2网络安全。包括网络的畅通、准确以及网上信
5、息的安全；3应用安全。包括程序开发运行、I/O、数据库等的安全。网网络络安全分安全分类类基本安全类：包括访问控制、授权、认证、加密以及内容安全。管理与记账类安全：包括安全的策略的管理、实时监控、报警以及企业范围内的集中管理与记账。网络互联设备包括路由器、通信效劳器、交换机等，网络互联设备安全正是针对上述这些互联设备而言的，它包括路由安全管理、远程访问效劳器安全管理、通信效劳器安全管理以及交换机安全管理等等。连接控制类包括负载均衡、可靠性以及流量管理等。安全威安全威胁胁的的类类型型非授权访问假冒合法用户数据完整性受破坏病毒通信线路被窃听干扰系统的正常运行，改变系统正常运行的方向，以及延时系统的响
6、应时间计计算机系算机系统统本身的弱点本身的弱点操作系统的创立进程机制远程过程调用RPC效劳以及它所安排的无口令入口存在超级用户硬件或软件故障协议安全的脆弱性数据库管理系统安全的脆弱性 网网络络信息安全系信息安全系统组统组成成一个完整的网络信息安全系统至少包括三类措施：社会的法律政策，企业的规章制度及网络安全教育等外部环境；技术方面的措施，如防火墙技术、防病毒。信息加密、身份确认以及授权等；审计与管理措施，包括技术与社会措施。网络信息安全系统组成网网络络安全策略考安全策略考虑虑因素因素对于内部用户和外部用户分别提供哪些效劳程序；初始投资额和后续投资额新的硬件、软件及工作人员；方便程度和效劳效率；
7、复杂程度和安全等级的平衡以及网络性能。网网络络安全关安全关键键技技术术信息包筛选基于包过滤的防火墙网网络络安全关安全关键键技技术术应用中继器代理技术网网络络安全关安全关键键技技术术加密技术网网络络安全系安全系统统提供安全的常用方法提供安全的常用方法用备份和镜像技术提高数据完整性病毒检查补丁程序，修补系统漏洞提高物理安全安装因特网防火墙废品处理守则仔细阅读日志加密执行身份鉴别，口令守则捕捉闯入者从计算机系统可靠性方面可以采取的网络安全性措施有：1选择性能优良的效劳器。2采用效劳器备份。3对重要网络设备、通信线路备份。网网络络安全的安全的评评估估网络安全评估是网络安全的必不可少的工作，评估的内容有
8、：确定有关网络安全的方案；对已有的网络安全方案进行审查；确定与网络安全方案有关的人员，并确定对网络资源可以直接存取的人或单位部门；确保所需要的技术能使网络安全方案得以落实；确定内部网络的类型确定接入互联网的方式；确定单位内部能提供互联网访问的用户，并明确互联网接入用户是固定的还是移动的；是否需要加密，如果需要加密，必须说明要求的性质。第10章 网络安全本章内容本章内容网网络络安全基本概念安全基本概念信息安全技信息安全技术术防火防火墙墙技技术术网网络络病毒病毒信息安全技信息安全技术术数据加密用户认证数字签名加密技术应用案例26数据加密数据加密P=DkEkP网网络络入侵入侵网络入侵者分为消极入侵者
9、和积极入侵者两种消极入侵者只是窃听而已，并不对数据造成破坏；积极入侵者会截获密文，篡改数据甚至伪造假数据送入网中。密密码码分析和密分析和密码码学学破译密码的技术叫做密码分析设计密码和破译密码的技术统称为密码学 密码学的一条基本原则是：必须假定破译者知道通用的加密方法，也就是说加密算法E是公开的。基本加密模型：加密算法是公开的和相对稳定的，而作为参数的密钥是保密的，并且是易于更换的。基本加密模型基本加密模型从破译者的角度来看，密码分析所面对的问题有三种主要的变型：当仅有密文而无明文时，称为“只有密文问题；当已拥有了一批相匹配的明文和密文时，称为“明文问题；当能够加密自己所选的一些明文时，称为“选
10、择明文问题。密密码码分析分析问题问题分分类类一个密码系统仅能经得起“只有密文的攻击还不能算是安全的，因为破译者完全可以从一般的通信规律中猜测出一局部的明文，从而就会拥用一些匹配的明文和密文，这对破译工作将大为有用。真正安全的密码系统应是，即使破译者能够加密任意数量的明文，也无法破译密文。安全的密安全的密码码系系统统密码学的历史非常悠久，传统的加密方法可以分成两类：替代密码换位密码传统传统加密技加密技术术 定义：替代密码就用一组密文字母来代替一组明文字母以隐藏明文，但保持明文字母的位置不变。替代密替代密码码凯撒密码最古老的地带密码凯撒密码，它用D表示a，用E表示b，用F表示c，用C表示z，也就是
11、说密文字母相对明文字母左移了3位。更一般地，可以让密文字母相对明文字母左移k位，这样k就成了加密和解密的密钥。缺点：容易破译，因为最多只需尝试25次k=125即可轻松破译密码。记法约定：用小写表示明文，用大写表示密文单字母表替换：使明文字母和密文字母之间的映射关系没有规律可循，比方将26个英文字母随意映射到其他字母上。破译者只要拥有很少一点密文，利用自然语言的统计特征，很容易就可破译密码。破译的关键在于找出各种字母或字母组合出现的频率替代密替代密码码-单单字母表替字母表替换换替代密替代密码码-多多张张密密码码字母表字母表 对明文中不同位置上的字母用不同的密码字母表来加密。如：虽然破译多字母密码
12、表要困难一些，但如果破译者手头有较多的密文，仍然是可以破译的。破译的诀窍在于猜测密钥的长度。换换位密位密码码换位有时也称为排列，它不对明文字母进行变换，只是将明文字母的次序进行重新排列。例：COMPUTER明文 pleaseexecutethelatestScheme14358726p1easeexecutethe密文PELHEHSCEUTMLCAEATEEXECDETTBSESA1atestschemeabcd换换位密位密码码的破的破译译第一步是判断密码类型是否为换位密码。第二步是猜测密钥的长度，也即列数。第三步是确定各列的顺序。秘密密秘密密钥钥算法算法在传统加密算法的基础上，充分利用计算机
13、的处理能力，将算法内部的变换过程设计的非常复杂，并使用较长的密钥，使得攻击者对密文的破译变得非常困难。甚至，在攻击者即使掌握了加密算法的本身，也会由于不知道密钥而得不到明文。由于这种体制将算法和密钥进行了别离，并且算法的保密性完全依赖于密钥的安全性，因此，被称为秘密密钥加密体制。电电路路实现实现换位密码和替代密码可以用简单的电路来实现。图a是一个实现换位密码的基本部件，称为P盒P-box，它将输入顺序映射到某个输出顺序上，只要适当改变盒内的连线，它就可以实现任意的排列。图b是一个实现替代密码的基本部件，称为S盒S-box，它由一个3-8译码器、一个P盒和一个8-3编码器组成。一个3比特的输入将
14、选择3-8译码器的一根输出线，该线经P盒换位后从另一根线上输出，再经8-3编码器转换成一个新的3比特序列。将P盒和S盒相复合构成乘积密码系统，就可以实现非常复杂的加密算法。图c是一个乘积密码系统的例子。一个12比特的明文经第一个P盒排列后，按3比特一组分成4组，分别进入4个不同的S盒进行替代，替代后的输出又经第二个P盒排列，然后再进入4个S盒进行替代，这个过程重复进行直至最后输出密文。只要级联的级数足够大，算法就可以设计得非常复杂。密密钥钥分分发问题发问题秘密密钥的一个弱点是解密密钥必须和加密密钥相同，这就产生了如何安全地分发密钥的问题。传统上是由一个中心密钥生成设备产生一个相同的密钥对，并由
15、人工信使将其传送到各自的目的地。对于一个拥有许多部门的组织来说，这种分发方式是不能令人满意的，尤其是出于安全方面的考虑需要经常更换密钥时更是如此。公开密公开密钥钥算法算法在公开密钥算法中，加密密钥和解密密钥是不同的，并且从加密密钥不能得到解密密钥。为此，加密算法E和解密算法D必须满足以下的三个条件：DEP=P；从E导出D非常困难；使用“选择明文攻击不能攻破E。如果能够满足以上三个条件，则加密算法完全可以公开。将解密算法D作用于密文EP后就可获得明文P不可能从E导出D破译者即使能加密任意数量的选择明文，也无法破译密码。公开密公开密钥钥算法的基本思想算法的基本思想如果某个用户希望接收秘密报文，他必
16、须设计两个算法：加密算法E和解密算法D，然后将加密算法放于任何一个公开的文件中广而告知，这也是公开密钥算法名称的由来，他甚至也可以公开他的解密方法，只要他妥善保存解密密钥即可。当两个完全陌生的用户A和B希望进行秘密通信时，各自可以从公开的文件中查到对方的加密算法。假设A需要将秘密报文发给B，则A用B的加密算法EB对报文进行加密，然后将密文发给B，B使用解密算法DB进行解密，而除B以外的任何人都无法读懂这个报文；当B需要向A发送消息时，B使用A的加密算法EA对报文进行加密，然后发给A，A利用DA进行解密。在这种算法中，每个用户都使用两个密钥：加密密钥是供其他人向他发送报文用的，这是公开的；解密密
17、钥是用于对收到的密文进行解密的，这是保密的。通常用公开密钥和私人密钥分别称呼公开密钥算法中的加密密钥和解密密钥，以同传统密码学中的秘密密钥相区分。由于私人密钥只由用户自己掌握，不需要分发给别人，也就不用担忧在传输的过程中或被其他用户泄密，因而是极其安全的。用公开密钥算法解决密钥分发问题：中心密钥生成设备产生一个密钥后，用各个用户公开的加密算法对之进行加密，然后分发给各用户，各用户再用自己的私人密钥进行解密，既安全又省事。两个完全陌生的用户之间，也可以使用这种方法很方便地商定一个秘密的会话密钥。RSA算法算法参数计算：1.选择两个大素数p和q典型值为大于10100；2.计算npq和zp1q1；3
18、.选择一个与z互质的数，令其为d；4.找到一个e使其满足ed=1mod z。RSA加密加密过过程程首先将明文看成是一个比特串，将其划分成一个个的数据块P且有0Pn。对数据块P进行加密，计算C=Pemod n，C即为P的密文；对C进行解密，计算P=Cdmod n。公开密钥由e，n组成，私人密钥由d，n组成。例例题题假设取p=3，q11 np q=33 zp-1 q-1=20取d=7，解方程7e=1mod 20 e=3 公开密钥为3，33 私人密钥为7，33例例题题假设明文：M=4 C=Memod n=43mod 3331 即密文为C31。对密文解密：M=Cdmod n317mod 33=4 即可
19、恢复出原文。RSA算法的安全性算法的安全性RSA算法的安全性建立在难以对大数提取因子的基础上，如果破译者能对的n提取出因子p和q就能求出z，知道了z和e，就能求出d。所幸的是，300多年来虽然数学家们已对大数的因式分解问题作了大量研究，但并没有取得什么进展，到目前为止这仍是一个极其困难的问题。用用户认证户认证定义：通信双方在进行重要的数据交换前，常常需要验证对方的身份，这种技术称为用户认证。在实际的操作中，除了认证对方的身份外，同时还要在双方间建立一个秘密的会话密钥，该会话密钥用于对其后的会话进行加密。每次连接都使用一个新的随机选择的密钥基于共享秘密密基于共享秘密密钥钥的用的用户认证协议户认证
20、协议 假设在A和B之间有一个共享的秘密密钥KAB。某个时候A希望和B进行通信，于是双方采用如下图的过程进行用户认证。使用共享秘密密钥进行用户认证使用密使用密钥钥分分发发中心的用中心的用户认证协议户认证协议要求通信的双方具有共享的秘密密钥有时是做不到的，另外如果某个用户要和n个用户进行通信，就需要有n个不同的密钥，这给密钥的管理也带来很大的麻烦。解决的方法是引进一个密钥分发中心Key Distribution Center，KDC。KDC是可以信赖的，并且每个用户和KDC间有一个共享的秘密密钥，用户认证和会话密钥的管理都通过KDC来进行。KDC举举例例如下图，A希望和B进行通信 一个用KDC进行
21、用户认证的协议重复攻击问题：假设有个C，当他为A提供了一定的效劳后，希望A用银行转账的方式支付他的酬金，于是A和B银行建立一个会话，指令B将一定数量的金额转至C的账上。这时C将KDC发给B的密文和随后A发给B的报文复制了下来，等会话结束后，C将这些报文依次重发给B，而B无法区分这是一个新的指令还是一个老指令的副本，因此又将相同数量的金额转至C的账上，这个问题称为重复攻击问题。为解决这个问题，可以在每个报文中放一个一次性的报文号，每个用户都记住所有已经用过的报文号，并将重复编号的报文丢弃。另外还可以在报文上加一个时间戳，并规定一个有效期，当接收方收到一个过期的报文时就将它丢弃。使用公开密使用公开
22、密钥钥算法的用算法的用户认证协议户认证协议 使用公开密钥进行用户认证数字数字签签名名一个可以替代手迹签名的系统必须满足以下三个条件：接收方通过文件中的签名能认证发送方的身份；发送方以后不能否认发送过签名文件；接收方不可能伪造文件内容。数字数字签签名的名的实现实现方法方法使用秘密密使用秘密密钥钥算法的数字算法的数字签签名名使用公开密使用公开密钥钥算法的数字算法的数字签签名名 报报文文 使用秘密密使用秘密密钥钥算法的数字算法的数字签签名名这种方式需要一个可以信赖的中央权威机构Centra1 Authority，以下简称CA的参与，每个用户事先选择好一个与CA共享的秘密密钥并亲自交到CA，以保证只有
23、用户和CA知道这个密钥。除此以外，CA还有一个对所有用户都保密的秘密密钥KCA。使用秘密密使用秘密密钥钥算法的数字算法的数字签签名名当A想向B发送一个签名的报文P时，它向CA发出KAB，RA，t，P，其中RA为报文的随机编号，t为时间戳；CA将其解密后，重新组织成一个新的密文KBA，RA，t，P，KCAA，t，P发给B，因为只有CA知道密钥KCA，因此其他任何人都无法产生和解开密文KCAA，t，P；B用密钥KB解开密文后，首先将KCAA，t，P放在一个安全的地方，然后阅读和执行P。验证验证当过后A试图否认给B发过报文P时，B可以出示KCAA，t，P来证明A确实发过P，因为B自己无法伪造出KCA
24、A，t，P，它是由CA发来的，而CA是可以信赖的，如果A没有给CA发过P，CA就不会将P发给B，这只要用KCA对KCAA，t，P进行解密，一切就可真相大白。为了防止重复攻击，协议中使用了随机报文编号RA和时间戳t。B能记住最近收到的所有报文编号，如果RA和其中的某个编号相同，则P就被当成是一个复制品而丢弃，另外B也根据时间戳t丢弃旧报文，以防止攻击者经过很长一段时间后，再用旧报文来重复攻击。使用公开密使用公开密钥钥算法的数字算法的数字签签名名使用公开密钥算法的数字签名，其加密算法和解密算法要同时满足DEP=P；EDP=P。这个假设是可能的，因为RSA算法就具有这样的特性。数字签名的过程如下图。
25、EBDAP验证验证 当A过后试图否认给B发过P时，B可以出示DAP作为证据，因为B没有A的私人密钥DA，除非A确实发过DAP，否则B是不会有这样一份密文的，只要用A的公开密钥EA解开DAP，就可以知道B说的是真话。算法存在的算法存在的问题问题这种数字签名看上去很好，但在实际的使用中也存在一些问题，这些问题不是算法本身的问题，而是和算法的使用环境有关。首先只有DA仍然是秘密的，B才能证明A确实发送过DAP，如果A试图否认这一点，他只需公开他的私人密钥，并声称他的私人密钥被盗了，这样任何人包括B都有可能发送DAP；其次是A改变了他的私人密钥，出于安全因素的考虑，这种做法显然是无可非议的，但这时如果
26、发生纠纷的话，裁决人用新的EA去解老的DAP，就会置B于非常不利的地位。报报文文 使用一个单向的哈希Hash函数，将任意长的明文转换成一个固定长度的比特串，然后仅对该比特串进行加密。这样的方法通常称为报文 Message Digest，MD，它必须满足以下三个条件：给定P，很容易计算出MDP；给出MDP，很难计算出P；任何人不可能产生出具有相同报文 的两个不同的报文。为满足条件3，MDP至少必须到达128位，实际上有很多函数符合以上三个条件。报报文文 -CAKCAA，t，MDP报报文文 -公开密公开密钥钥密密码码系系统统在公开密钥密码系统中，使用报文 进行数字签名的过程如下图。使用报文摘要的数
27、字签名P,DAMDP加密技加密技术应术应用案例用案例第10章 网络安全本章内容本章内容网网络络安全基本概念安全基本概念信息安全技信息安全技术术防火防火墙墙技技术术网网络络病毒病毒防火防火墙墙技技术术防火墙Firewall是在两个网络之间执行访问控制策略的硬件或软件系统，目的是保护网络不被他人侵扰。本质上，它遵循的是一种数据进行过滤的网络通信安全机制，只允许授权的通信，而禁止非授权的通信。通常，防火墙就是位于内部网或Web站点与因特网之间的一台路由器或计算机。通常，部署防火墙的理由包括：防止入侵者干扰内部网络的正常运行；防止入侵者删除或修改存储再内部网络中的信息；防止入侵者偷窃内部的秘密信息。防
28、火墙应该有以下功能：所有进出网络的通信流都应该通过防火墙。所有穿过防火墙的通信流都必须有安全策略和方案确实认和授权。理论上说，防火墙是穿不透的。内部网需要防范的三种攻内部网需要防范的三种攻击击 间谍、试图偷走敏感信息的黑客、入侵者和闯入者。盗窃，盗窃对象包括数据、Web表格、磁盘空间和CPU资源等。破坏系统：通过路由器或主机效劳器蓄意破坏文件系统或阻止授权用户访问内部网外部网和效劳器。防火防火墙墙在因特网与内部网中的位置在因特网与内部网中的位置 防火防火墙墙体系体系结结构构1双重宿主主机体系结构2主机过滤体系结构3子网过滤体系结构4.堡垒主机的安全防护双重宿主主机双重宿主主机双重宿主主机结构是
29、围绕具有双重宿主的计算机而构筑的。该计算机至少有两个网络接口，这样的主机可以充当与之相连的网络之间的路由器，并能够在网络之间转发IP数据包。防火墙内部的网络系统能与双重宿主主机通信，同时防火墙外部的网络系统在因特网上也能与双重宿主主机通信。通过双重宿主主机，防火墙内外的计算机便可进行通信了，但是这些系统不能直接互相通信，它们之间的IP通信被完全阻止这意味着双重宿主主机具有两个不同的IP地址，一个属于外网，另一个属于内网。双重宿主主机防火双重宿主主机防火墙结墙结构构双重宿主主机防火墙结构是相当简单的，双重宿主主机位于两者之间，并且被连接到因特网和内部的网络。主机主机过滤过滤体系体系结结构构 在主
30、机过滤体系结构中提供安全保护的主机仅仅与内部网相连。主机过滤结构有一台单独的路由器过滤路由器。在这种体系结构中，主要的安全能力由路由器的数据包过滤特性提供，其结构双重宿主主机防火墙结构类似，只是双重宿主主机由路由器替代。子网子网过滤结过滤结构构子网过滤体系结构添加了额外的安全层到主机过滤体系结构中，即通过添加参数网络，更进一步地把内部网络与因特网隔离开。参数网参数网络络 参数网络是在内外部网之间另加的一层安全保护网络层。如果入侵者成功地闯过外层保护网到达防火墙，参数网络就能在入侵者与内部网之间再提供一层保护。如果入侵者仅仅侵入到参数网络的堡垒主机，他只能偷看到参数网络的信息流，看不到内部网的信
31、息，而参数网络的信息流仅从参数网络往来于外部网或者从参数网络往来于堡垒主机。因为没有纯粹的内部信息流内部主机间互传的重要和敏感的信息在参数网络中流动，所以即使堡垒主机受到损害也不会让入侵者破坏内部网的信息流。堡堡垒垒主机主机 在子网过滤结构中，堡垒主机与参数网络相连，而这台主机是外部网效劳于内部网的主节点。它为内部网效劳的主要功能有：它接收外来的电子邮件再分发给相应的站点；它接收外来的FTP，并连到内部网的匿名FTP效劳器；它接收外来的有关内部网站点的域名效劳。向外的效劳功能可用以下方法来实施：在内、外部路由器上建立包过滤，以便内部网的用户可直接操作外部效劳器；在主机上建立代理效劳，在内部网的
32、用户与外部的效劳器之间建立间接的连接。内部路由器内部路由器内部路由器的主要功能是保护内部网免受来自外部网与参数网络的侵扰。内部路由器完成防火墙的大局部包过滤工作，它允许某些站点的包过滤系统认为符合安全规则的效劳在内外部网之间互传。根据各站点的需要和安全规则，可允许的效劳是以下这些外向效劳中的假设干种，如：Telnet、FTP、WAIS、Archie、Gopher或者其他效劳。外部路由器外部路由器外部路由器既可保护参数网络又保护内部网。实际上，在外部路由器上仅做一小局部包过滤，它几乎让所有参数网络的外向请求通过，而外部路由器与内部路由器的包过滤规则是基本上相同的。外部路由器的包过滤主要是对参数网
33、络上的主机提供保护。然而，一般情况下，因为参数网络上主机的安全主要通过主机安全机制加以保障，所以由外部路由器提供的很多保护并非必要。外部路由器真正有效的任务就是阻断来自外部网上伪造源地址进来的任何数据包。这些数据包自称是来自内部网，而其实它是来自外部网。堡堡垒垒主机的安全防主机的安全防护护 堡垒主机目前一般有以下三种类型：1.无路由双宿主主机2.牺牲主机3.内部堡垒主机堡堡垒垒主机主机应应提供的效提供的效劳类劳类型型1无风险效劳，仅仅通过包过滤便可实施的效劳。2低风险效劳，在有些情况下这些效劳运行时有安全隐患，但加以一些安全控制措施便可消除安全问题。3高风险效劳，在使用这些效劳时无法彻底消除安
34、全隐患；这类效劳一般应被禁用，特别需要时也只能放置在主机上使用。4禁用效劳，应被彻底禁止使用的效劳。壁壁垒垒主机主机应应提供的具体效提供的具体效劳劳 FTP：文件传输效劳；WAIS：基于关键字的信息浏览效劳；：超文本方式的信息浏览效劳；NNTP：Usenet新闻组效劳；Gopher：菜单驱动的信息浏览效劳；6)SMTP：电子邮件效劳；7)DNS：域名效劳。建立堡建立堡垒垒主机的步主机的步骤骤 1给堡垒主机一个安全的运行环境。2关闭机器上所有不必要的效劳软件。3安装或修改必需的效劳软件。4根据最终需要重新配置机器。5核查机器上的安全保障机制。6将堡垒主机连入网络。建立堡垒主机应该注意以下几点：1
35、要在机器上使用最小的、干净的和标准的操作系统。2应该认真对待每一条从计算机紧急救援协作中心获得的针对用户目前工作平台的安全建议。3要经常使用检查列表Checklist。4要保护好系统的日志。对对堡堡垒垒主机主机进进行行监测监测 主要的监视内容有：l一般在同一时刻大概会有几个作业在运行？2每个作业一般花费多少CPU时间？3一天内哪些时间是系统重载的时间？有条件还可采用专门的软件对堡垒主机进行自动监测。防火防火墙类墙类型型 1从软、硬件形式上分为：软件防火墙和硬件防火墙以及芯片级防火墙。2从防火墙技术分为：“包过滤型、“状态检测型和“应用代理型三大类。3从防火墙结构分为：单一主机防火墙、路由器集成
36、式防火墙和分布式防火墙三种。4按防火墙的应用部署位置分为：边界防火墙、个人防火墙和混合防火墙三大类。5按防火墙性能分为：百兆级防火墙和千兆级防火墙两类。包包 分分组组 过滤过滤型防火型防火墙墙 包过滤Packet Filtering 是防火墙最基本的实现形式，它控制哪些数据包可以进出网络而哪些数据包应被网络拒绝。包过滤防火墙通常是放置在因特网与内部网络之间的一个具备包过滤功能的简单路由器，这是因为包过滤是路由器的固有属性。包过滤可依据以下三类条件允许或阻止数据包通过路由器：包的源地址及源端口；包的目的地址及目的端口；包的传送协议，如FTP、SMTP、rlogin等。包包过滤过滤的的优优点点简单
37、、易于实现、对用户透明、路由器免费提供此功能。仅用一个放置在内部网与因特网边界上的包过滤路由器就可保护整个内部网络。包包过滤过滤的缺点的缺点编制逻辑上严密无漏洞的包过滤规则比较困难，对编制好的规则进行测试维护也较麻烦。维护复杂的包过滤规则也是一件很麻烦的事情包过滤规则的判别会降低路由器的转发速度对包中的应用数据无法过滤 它总是假定包头部信息是合法有效的。以上这些缺点使得包过滤技术通常不单独使用，而是作为其他安全技术的一种补充。包包过滤规则过滤规则在配置包过滤路由器时，首先要确定哪些效劳允许通过而哪些效劳应被拒绝，并将这些规定翻译成有关的包过滤规则在路由器中，包过滤规则又被称为访问控制表Acce
38、ss List。下面给出将有关效劳翻译成包过滤规则时非常重要的几个概念。协议的双向性“往内与“往外的含义“默认允许与“默认拒绝包包过滤处过滤处理流程理流程 包包过滤规则设计过滤规则设计例如例如假设网络策略安全规则确定：从外部主机发来的因特网邮件由特定网关“Mail-GW接收，并且要拒绝从不信任的主机“CREE-PHOST发来的数据流。在这个例子中，SMTP使用的网络安全策略必须翻译成包过滤规则。为便于理解，把网络安全规则翻译成以下中文形式：过滤器规则1：不相信从CREE-PHOST来的连接。过滤器规则2：允许与邮件网关Mail-GW的连接。以上规则被编成如下表的形式。其中星号*说明它可以匹配该
39、列的任何值。这些规则应用的顺序与它们在表中的顺序相同。如果一个包不与任何规则匹配，它就会遭到拒绝。状状态监测态监测型防火型防火墙墙 采用动态设置包过滤规则的方法，防止了静态包过滤所具有的问题。采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪，并且根据需要可动态地在过滤规则中增加或更新条目。应应用代理型防火用代理型防火墙墙 应用代理型防火墙是工作在OSI的最高层，即应用层。其特点是完全“阻隔了网络通信流，通过对每种应用效劳编制专门的代理程序，实现监视和控制应用层通信流的作用。代理效劳就是指定一台有访问因特网能力的主机作为网络中客户端的代理去与因特网中的主机进行通信。代理效代理效劳劳器的工作
40、器的工作代理效劳器判断从客户端来的请求并决定哪些请求允许传送而哪些应被拒绝。当某个请求被允许时，代理效劳器就代表客户与真正的效劳器进行交谈，并将从客户端来的请求传送给真实效劳器，将真实效劳器的答复传送给客户。代理的工作代理的工作过过程程 代理型防火代理型防火墙墙版本版本第一代：应用网关型代理防火第二代：自适应代理防火墙。代理代理类类型防火型防火墙优墙优缺点缺点优点：安全防止了入侵者使用数据驱动类型的攻击方式入侵内部网 缺点：速度相比照较慢 代理效代理效劳劳器特殊器特殊类类型型应用级与电路级代理公共与专用代理效劳器智能代理效劳器 防火防火墙墙的的应应用用因特网因特网应应用的代理特点用的代理特点
41、选择选择防火防火墙墙的原的原则则 电电子子邮邮件件 E-mail 的代理特点的代理特点 一个效劳器，用来向外部主机发送邮件或从外部主机接收邮件。发信代理，用于将邮件正确地放入本地主机邮箱中。用户代理，用于让收信人阅读邮件并编排出站邮件。简单邮简单邮件件传输协议传输协议 SMTP 的代理特点的代理特点 由于任何一个SMTP效劳器都有可能为其它站点进行邮件转发，因而很少将它设置成一个单独的代理。大多数站点将输入的SMTP连接到一台安全运行SMTP效劳的堡垒主机上，该堡垒主机就是一个代理。邮邮局局协议协议 POP 的代理特点的代理特点 邮局协议POP对于代理系统来说非常简单，因为它采用单个连接。内置
42、的支持代理的POP客户程序还很少，主要原因是POP多用于局域网，而很少用于因特网。文件文件传输传输FTP两个端口反向方式 远程登录Telnet、存储转发协议NNTP、超文本传输协议 都可以很好的支持代理的方案。域名效域名效劳劳 DNS DNS具有这样的结构：可以使效劳器充当客户程序的代理。利用DNS能够转发自身的特点，可以使一个DNS效劳器成为另一个DNS效劳器的代理。在真正的实现时，大多数情况可以修改DNS库来使用修改的客户程序代理。在不支持动态连接的机器上，使用DNS的修改客户程序的代理需要重新编译网络中使用的每个程序。选择选择防火防火墙墙的原的原则则 选择防火墙的原则如下：1.防火墙自身
43、的安全性2.考虑特殊的需求1IP地址转换IP Address Translation。2双重DNS。3虚拟企业网络VPN。4病毒扫描功能。5特殊控制需求。第10章 网络安全本章内容本章内容网网络络安全基本概念安全基本概念信息安全技信息安全技术术防火防火墙墙技技术术网网络络病毒病毒网络病毒什么是什么是计计算机病毒算机病毒?计算机病毒是一种“计算机程序，它不仅能破坏计算机系统，而且还能够传播、感染到其他系统。它通常隐藏在其它看起来无害的程序中，能复制自身并将其插入其他的程序中，执行恶意的行动。计计算机病毒分算机病毒分类类1文件病毒2引导扇区病毒3多裂变病毒4秘密病毒5变异病毒6宏病毒宏病毒及网宏病
44、毒及网络络病毒病毒宏病毒宏是软件设计者为了在使用软件工作时，防止一再的重复相同的动作而设计出来的一种工具。它利用简单的语法，把常用的动作写成宏，当再工作时，就可以直接利用事先写好的宏自动运行，去完成某项特定的任务，而不必再重复相同的动作。“宏病毒，就是利用宏命令编写成的具有复制、传染能力的宏。宏病毒是一种新形态的计算机病毒，也是一种跨平台的计算机病毒，可以在Windows 9X、Windows NT、OS/2和Macintosh System 7等操作系统上执行病毒行为。宏病毒特征宏病毒特征 宏病毒会感染.doc文档和.dot模板文件。宏病毒的传染通常是Word在翻开一个带宏病毒的文档或模板时
45、，激活宏病毒。病毒宏将自身复制到Word通用Normal模板中，以后在翻开或关闭文件时宏病毒就会把病毒复制到该文件中。多数宏病毒包含AutoOpen、AutoClose、AutoNew和AutoExit等自动宏，通过这些自动宏病毒取得文档模板操作权。宏病毒特征宏病毒特征 宏病毒中总是含有对文档读写操作的宏命令。宏病毒在.doc文档、.dot模板中以.BFFBinary File Format格式存放，这是一种加密压缩格式，不同Word版本格式可能不兼容。宏病毒的防治和去除方法宏病毒的防治和去除方法 1使用选项“提示保存Normal模板 2不要通过Shift键来禁止运行自动宏3查看宏代码并删除
46、4使用DisableAutoMacros宏5使用Word的报警设置6设置Normal.dot的只读属性 7Normal.dot的密码保护 病毒入侵网病毒入侵网络络的途径的途径病毒入侵网络的途径主要有两种：局域网因特网局域网方面局域网方面 病毒入侵局域网的主要途径是通过工作站传播到效劳器硬盘，再由效劳器的共享目录传播到其他工作站。还有很多病毒可以通过特殊的网络协议在局域网内传播，如ARP病毒。因特网方面因特网方面 主要有以下四类：1木马病毒Trojan horse virus2蠕虫病毒Worm virus3恶意软件Malicious software4电子邮件病毒 防治方法防治方法通过采取技术上和管理上的措施，计算机病毒是完全可以防范的。目前最有效的防治方法是购置商业化的病毒防御解决方案及其效劳，享受专业公司提供的不断升级的防病毒产品及效劳。较为成熟的方案和产品有诺顿多层次病毒防御方案、KV系列防病毒软件、金山系列防病毒软件和瑞星系列防病毒软件等。小小 结结 网网络络管理管理网网络络安全安全密密码码学学防火防火墙墙代理效代理效劳劳网网络络病毒的防治病毒的防治