《第9章网络设备安全.ppt》由会员分享，可在线阅读，更多相关《第9章网络设备安全.ppt（31页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、第第9章章 网络设备安全网络设备安全本章内容网络设备安全旨在保证网络中各种硬件设备的正常网络设备安全旨在保证网络中各种硬件设备的正常运行。本章介绍网络设备安全的有关技术，主要运行。本章介绍网络设备安全的有关技术，主要有保证网络设备运行环境的物理安全，还有网络有保证网络设备运行环境的物理安全，还有网络设备配置安全的技术，包括交换机的安全配置技设备配置安全的技术，包括交换机的安全配置技术、路由器的安全配置技术、操作系统的安全配术、路由器的安全配置技术、操作系统的安全配置技术以及置技术以及WEB服务器的安全配置和管理技术。服务器的安全配置和管理技术。通过以上深入的分析和一些实用的技术手段，来通过以上
2、深入的分析和一些实用的技术手段，来提供网络设备的抗攻击性和安全性。还介绍了可提供网络设备的抗攻击性和安全性。还介绍了可信计算平台的概念和方法，以构建真正安全的网信计算平台的概念和方法，以构建真正安全的网络设备。络设备。9.19.1网络设备安全概述网络设备安全概述从网络资源方面来看，网络面临的安全威胁大从网络资源方面来看，网络面临的安全威胁大体可分为两种：一是对网络数据的威胁；体可分为两种：一是对网络数据的威胁；二二是对网络设备的威胁。网络设备的安全也是是对网络设备的威胁。网络设备的安全也是通信网络安全的一个重要部分。除了网络设通信网络安全的一个重要部分。除了网络设备运行的环境需要得到安全保证以
3、外，网络备运行的环境需要得到安全保证以外，网络设备的配置、网络设备的管理也是保证网络设备的配置、网络设备的管理也是保证网络设备安全不可或缺的因素设备安全不可或缺的因素。9.1.1 9.1.1 网络设备安全的基本概念网络设备安全的基本概念网络设备包括主机（服务器、工作站、网络设备包括主机（服务器、工作站、PCPC）和网络设施（交换机、路由器等）。网络设和网络设施（交换机、路由器等）。网络设备的安全始终是通信网络安全的一个重要方备的安全始终是通信网络安全的一个重要方面，攻击者往往通过损坏网络中的设备来破面，攻击者往往通过损坏网络中的设备来破坏网络的运行，或者控制网络中设备来扩大坏网络的运行，或者控
4、制网络中设备来扩大已有的破坏。要实现通信网络的安全，不能已有的破坏。要实现通信网络的安全，不能不考虑网络中所有设备的安全。不考虑网络中所有设备的安全。网络设备的安全通常是指物理安全，物理安网络设备的安全通常是指物理安全，物理安全是保护通信网络设备、设施以及其他介质全是保护通信网络设备、设施以及其他介质等硬件免遭地震、水灾、火等硬件免遭地震、水灾、火 灾等环境事故以灾等环境事故以及人为操作失误及各种计算机犯罪行为导致及人为操作失误及各种计算机犯罪行为导致破坏的过程。破坏的过程。如果设备本身存在安全上的脆弱性，往往会成为如果设备本身存在安全上的脆弱性，往往会成为攻击目标。设备的安全脆弱性包括：（攻
5、击目标。设备的安全脆弱性包括：（1 1）提供不）提供不必要的网络服务，提高了攻击者的攻击机会；必要的网络服务，提高了攻击者的攻击机会；（2 2）存在不安全的配置，带来不必要的安全隐患；）存在不安全的配置，带来不必要的安全隐患；（3 3）不适当的访问控制；（）不适当的访问控制；（4 4）存在系统软件上的）存在系统软件上的安全漏洞；（安全漏洞；（5 5）物理上没有安全存放，遭受临近）物理上没有安全存放，遭受临近攻击（攻击（close-in attackclose-in attack）。）。对网络设备进行安全加固可以减少攻击者的攻击对网络设备进行安全加固可以减少攻击者的攻击成功的机会。针对上述安全弱
6、点，可采用如下的设成功的机会。针对上述安全弱点，可采用如下的设备安全加固技术建议：（备安全加固技术建议：（1 1）禁用不必要的网络服）禁用不必要的网络服务；（务；（2 2）修改不安全的配置；（）修改不安全的配置；（3 3）利用最小权限）利用最小权限原则严格对设备的访问控制；（原则严格对设备的访问控制；（4 4）及时对系统进）及时对系统进行软件升级；（行软件升级；（5 5）提供符合安全要求的物理保护）提供符合安全要求的物理保护环境。环境。9.2 9.2 物理安全物理安全物理安全是整个通信网络系统安全的前提，是保物理安全是整个通信网络系统安全的前提，是保护计算机通信网络设备、设施以及其他媒体免护计
7、算机通信网络设备、设施以及其他媒体免遭地震、水灾、火灾等环境事故、人为操作失遭地震、水灾、火灾等环境事故、人为操作失误或人为损坏导致被破坏的过程。误或人为损坏导致被破坏的过程。物理安全主要考虑的问题是环境、场地和设备硬物理安全主要考虑的问题是环境、场地和设备硬件的安全及物理访问控制和应急处置计划等。件的安全及物理访问控制和应急处置计划等。物理安全措施主要包括：安全制度、数据备份、物理安全措施主要包括：安全制度、数据备份、辐射防护、屏幕口令保护、隐藏销毁、状态检辐射防护、屏幕口令保护、隐藏销毁、状态检测、报警确认、应急恢复、加强机房管理、运测、报警确认、应急恢复、加强机房管理、运行管理、安全组织
8、和人事管理等手段。行管理、安全组织和人事管理等手段。9.39.3交换机安全防范技术交换机安全防范技术交换机作为局域网信息交换的主要设备，特别交换机作为局域网信息交换的主要设备，特别是核心交换机和汇聚交换机承载着极高的数据是核心交换机和汇聚交换机承载着极高的数据流量，在突发异常数据或攻击时，极易造成负流量，在突发异常数据或攻击时，极易造成负载过重或宕机现象。为了尽可能抑制攻击带来载过重或宕机现象。为了尽可能抑制攻击带来的影响，减轻交换机的负载，使局域网稳定运的影响，减轻交换机的负载，使局域网稳定运行，交换机厂商在交换机上应用了一些安全防行，交换机厂商在交换机上应用了一些安全防范技术，网络管理人员
9、应该根据不同的设备型范技术，网络管理人员应该根据不同的设备型号，有效地启用和配置这些技术，净化局域网号，有效地启用和配置这些技术，净化局域网环境。利用交换机的流量控制功能，可以把流环境。利用交换机的流量控制功能，可以把流经端口的异常流量限制在一定的范围内。经端口的异常流量限制在一定的范围内。9 9.4 4路由器安全路由器安全 路由器在每个网络中起到关键的作用，如果某路路由器在每个网络中起到关键的作用，如果某路由器被破坏或者某路由被成功的欺骗，网络的由器被破坏或者某路由被成功的欺骗，网络的完整性将受到严重的破坏。如果使用路由的主完整性将受到严重的破坏。如果使用路由的主机没有使用加密通信那就更为严
10、重，因为这样机没有使用加密通信那就更为严重，因为这样的主机被控制的话，路由器面临的威胁有：将的主机被控制的话，路由器面临的威胁有：将路由器作为攻击平台；拒绝服务；截获明文传路由器作为攻击平台；拒绝服务；截获明文传输配置信息等。输配置信息等。保护路由器安全需要：（保护路由器安全需要：（1 1）禁止明文传输配置）禁止明文传输配置信息。（信息。（2 2）限制系统物理访问。（）限制系统物理访问。（3 3）加强口）加强口令安全。（令安全。（4 4）应用身份验证功能。（）应用身份验证功能。（5 5）禁用）禁用不必要服务。（不必要服务。（6 6）限制逻辑访问。（）限制逻辑访问。（7 7）有限）有限使用使用I
11、CMPICMP消息类型。（消息类型。（8 8）控制流量有限进入网）控制流量有限进入网络。（络。（9 9）安全使用）安全使用SNMP/TELNETSNMP/TELNET。9.5 9.5 服务器与操作系统安全服务器与操作系统安全操作系统，是各种工作站、服务操作系统，是各种工作站、服务器上的基本软件，服务器的安全，器上的基本软件，服务器的安全，首先是物理安全，然后是操作系首先是物理安全，然后是操作系统的安全和服务软件的安全。下统的安全和服务软件的安全。下面以面以WINDOWSWINDOWS操作系统为例说明操作系统为例说明操作系统安全的安全问题，以操作系统安全的安全问题，以WEB服务器为例说明服务器软
12、服务器为例说明服务器软件系统的安全问题件系统的安全问题。9.5.1 WINDOWS9.5.1 WINDOWS操作系统安全操作系统安全作为操作系统，特别是网络操作系统，作为操作系统，特别是网络操作系统，在设计中采用了一系列的安全技术，例在设计中采用了一系列的安全技术，例如登录、访问控制、如登录、访问控制、PKIPKI证书、加密的文证书、加密的文件系统、防火墙、甚至还有杀毒软件。件系统、防火墙、甚至还有杀毒软件。在设备安全方面，操作系统的安全主要在设备安全方面，操作系统的安全主要是安全配置和安全管理。这里以是安全配置和安全管理。这里以WINDOWS为例说明操作系统安全配置为例说明操作系统安全配置和
13、安全管理。和安全管理。1、限制用户数量、限制用户数量2、管理员帐号设置、管理员帐号设置3、安全密码、安全密码4、屏幕保护、屏幕保护/屏幕锁定屏幕锁定 密码密码5、安全文件管理、安全文件管理6、防病毒软件、防病毒软件7、备份盘的安全、备份盘的安全8、禁止不必要的服务、禁止不必要的服务9、使用、使用IPSec来控制端口访问来控制端口访问 10、定期查看日志、定期查看日志11、经常访问微软升级程序站点，、经常访问微软升级程序站点，了解补丁的最新发布情况。了解补丁的最新发布情况。9.5.3WEB9.5.3WEB服务器的安全服务器的安全World Wide WebWorld Wide Web称为万维网，
14、简称称为万维网，简称Web。它的基本结构是采用开放式的客户它的基本结构是采用开放式的客户/服务器服务器结构结构(Client/Server)，分成服务器端、客户，分成服务器端、客户机及通讯协议三个部分。建立安全的机及通讯协议三个部分。建立安全的Web网站，要全盘考虑网站，要全盘考虑Web服务器的安全设计服务器的安全设计和实施，包括系统的安全需求等等。根据和实施，包括系统的安全需求等等。根据对对Web系统进行的安全评估，制定安全策系统进行的安全评估，制定安全策略的基本原则和管理规定，对员工的安全略的基本原则和管理规定，对员工的安全培训，培养员工主动学习安全知识的意识培训，培养员工主动学习安全知识
15、的意识和能力。和能力。9.69.6可信计算可信计算对于微机等网络设备来说，只有对芯对于微机等网络设备来说，只有对芯片、主板等硬件和片、主板等硬件和BIOSBIOS、操作系统、操作系统等系统软件是安全的，才能保证微等系统软件是安全的，才能保证微机是安全的，正是基于这样的思想，机是安全的，正是基于这样的思想，产生了可信计算的概念。可信计算产生了可信计算的概念。可信计算是安全领域的一个新分支。采用可是安全领域的一个新分支。采用可信计算可以构造可信的网络设备，信计算可以构造可信的网络设备，可信的网络设备才是可以安全使用可信的网络设备才是可以安全使用的网络设备。的网络设备。&所谓可信是指计算机系统所提供
16、所谓可信是指计算机系统所提供的服务是可靠的、可用的、信息和的服务是可靠的、可用的、信息和行为上是安全的。行为上是安全的。&可信计算平台是能够提供可信计可信计算平台是能够提供可信计算服务的计算机软硬件实体，它能算服务的计算机软硬件实体，它能够提供系统的可靠性、可用性、信够提供系统的可靠性、可用性、信息和行为的安全性。息和行为的安全性。9.6.1可信计算概念可信计算概念信任包括：信任包括：l值得信任（值得信任（worthy of trust）：采用）：采用物理保护以及其他技术在一定程度上保物理保护以及其他技术在一定程度上保护计算平台不被敌手通过直接物理访问护计算平台不被敌手通过直接物理访问手段进行
17、恶意操作。手段进行恶意操作。l选择信任（选择信任（choose to trust）：依赖）：依赖方（通常是远程的）可以信任在经过认方（通常是远程的）可以信任在经过认证的且未被攻破的设备上进行的计算。证的且未被攻破的设备上进行的计算。信任是一种二元关系，它可以是一对信任是一种二元关系，它可以是一对一、一对多一、一对多(个体对群体个体对群体)、多对一、多对一(群体群体对个体对个体)或多对多或多对多(群体对群体群体对群体)的。的。信任具有二重性，既具有主观性又具信任具有二重性，既具有主观性又具有客观性。有客观性。信任不一定具有对称性。信任不一定具有对称性。信任可度量，也就是说信任的程度可信任可度量，
18、也就是说信任的程度可划分等级。划分等级。信任可传递，但不绝对。信任可传递，但不绝对。信任具有动态性，即信任与环境信任具有动态性，即信任与环境(上下上下文文)和时间因素相关。和时间因素相关。信任的获得方法主要有：信任的获得方法主要有：l直接方法直接方法l间接方法间接方法&设设A和和B以前有过交往，则以前有过交往，则A对对B的可信度可以通过考察的可信度可以通过考察B以以往的表现来确定。往的表现来确定。称这种通过称这种通过直接交往得到的信任值为直接信直接交往得到的信任值为直接信任值。任值。直接信任值直接信任值&设设A和和B以前没有任何交往，以前没有任何交往，A可以去询问一个与可以去询问一个与B比较熟
19、悉的实比较熟悉的实体体C来获得来获得B的信任值，并且要求的信任值，并且要求实体实体C与与B有过直接的交往经验。有过直接的交往经验。称之为间接信任值称之为间接信任值间接信任值间接信任值信任根和信任链是可信计算平台信任根和信任链是可信计算平台的关键技术。的关键技术。一个可信计算机系统组成：一个可信计算机系统组成：l可信根可信根l可信硬件平台可信硬件平台l可信操作系统可信操作系统l可信应用系统可信应用系统9.6.2可信计算机系统可信计算机系统&信任链是通过构建一个信任根，从信任链是通过构建一个信任根，从信任根开始到硬件平台、到操作系统、信任根开始到硬件平台、到操作系统、再到应用，一级认证一级，一级信
20、任再到应用，一级认证一级，一级信任一级，从而把这种信任扩展到整个计一级，从而把这种信任扩展到整个计算机系统算机系统图图 可信可信PC的信任链的信任链 可信测量、存储、报告机制可信测量、存储、报告机制 可信测量、存储、报告机制是可信计算的另一个可信测量、存储、报告机制是可信计算的另一个关键技术。关键技术。可信计算平台对请求访问的实体进行可信测量，可信计算平台对请求访问的实体进行可信测量，并存储测量结果，实体询问时由平台提供报告。并存储测量结果，实体询问时由平台提供报告。可信支撑软件可信支撑软件TSS(TCG software stack)是是可信计算平台上可信计算平台上TPM的支撑软件的支撑软件
21、TSS的作用主要是为应用软件的作用主要是为应用软件提供兼容异构可信平台模块的开提供兼容异构可信平台模块的开发环境发环境图图 9.6.3 可信软件栈可信软件栈-TSS结构结构TSS的结构可的结构可分为：分为：l内核层内核层(TDD)l系统服务层系统服务层(TDDL TCS)l用户程序层用户程序层 9.6.4 可信网络连接可信网络连接TNC&可信网络连接可信网络连接TNC(Trusted network connect)的目的是确的目的是确保网络连接的可信性保网络连接的可信性图图 TNC 结构结构&TNC通过网络访问请求，搜集和验证通过网络访问请求，搜集和验证请求者的完整性信息，依据一定的安全请求
22、者的完整性信息，依据一定的安全策略对这些信息进行评估，决定是否允策略对这些信息进行评估，决定是否允许请求者与网络连接，从而确保网络连许请求者与网络连接，从而确保网络连接的可信性。接的可信性。9.6.5 可信计算的基本特征可信计算的基本特征一个计算机终端要实现可信一个计算机终端要实现可信计算，必须具备以下计算，必须具备以下4个基本特个基本特征：征：1.安全输入与输出（安全输入与输出（Secure I/O）2.存储器屏蔽（存储器屏蔽（Memory Curtaining）3.封闭存储（封闭存储（Sealed storage）4.远程证明（远程证明（Remote attestation）可信计算应用可
23、信计算应用 可信计算的实际应用，主要是针可信计算的实际应用，主要是针对安全要求较高的场合，可信计算平对安全要求较高的场合，可信计算平台能够为用户提供更加有效的安全防台能够为用户提供更加有效的安全防护。护。8.6 小结小结 本讲从可信计算的概念着手，解释本讲从可信计算的概念着手，解释了为什么引入可信计算，并给出了可信了为什么引入可信计算，并给出了可信计算的基本特征。计算的基本特征。在可信计算技术一节里，分别介绍在可信计算技术一节里，分别介绍了可信电路、可信计算基和可信计算平了可信电路、可信计算基和可信计算平台。台。最后，可信计算仍然有很多的相关最后，可信计算仍然有很多的相关问题值得研究。问题值得研究。复习思考题：复习思考题：