網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)與安全

1、第9章 計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù) 9.1網(wǎng)絡(luò)安全概述 9.2網(wǎng)絡(luò)安全技術(shù)計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)9.1 網(wǎng)絡(luò)安全概述 9.1.1 網(wǎng)絡(luò)面臨的威脅 1、人為的無意失誤2、人為的惡意攻擊3、網(wǎng)絡(luò)軟件系統(tǒng)的漏洞和后門4、 病毒感染5、隱私及機(jī)密資料的存儲(chǔ)和傳輸 冒名頂替廢物搜尋身份識(shí)別錯(cuò)誤不安全服務(wù)配置初始化乘虛而入代碼炸彈病毒更新或下載特洛伊木馬間諜行為撥號(hào)進(jìn)入算法考慮不周隨意口令口令破解口令圈套竊聽偷竊網(wǎng)絡(luò)安全威脅線纜連接身份鑒別編程系統(tǒng)漏洞物理威脅9.1.1 網(wǎng)絡(luò)安全威脅虛擬專用網(wǎng)防火墻訪問控制防病毒入侵檢測(cè)網(wǎng)絡(luò)安全整體框架(形象圖)中國被黑網(wǎng)站一覽表國內(nèi)外黑客組織網(wǎng)絡(luò)病毒紅色代碼尼姆達(dá)沖擊波震蕩波ARP病毒

2、病毒性木馬工行密碼盜取木馬其它后門工具安全威脅實(shí)例用戶使用一臺(tái)計(jì)算機(jī)D訪問位于網(wǎng)絡(luò)中心服務(wù)器S上的webmail郵件服務(wù)，存在的安全威脅：U在輸入用戶名和口令時(shí)被錄像機(jī)器D上有key logger程序，記錄了用戶名和口令機(jī)器D上存放用戶名和密碼的內(nèi)存對(duì)其他進(jìn)程可讀，其他進(jìn)程讀取了信息，或這段內(nèi)存沒有被清0就分配給了別的進(jìn)程，其他進(jìn)程讀取了信息用戶名和密碼被自動(dòng)保存了用戶名和密碼在網(wǎng)絡(luò)上傳輸時(shí)被監(jiān)聽（共享介質(zhì)、或arp偽造）機(jī)器D上被設(shè)置了代理，經(jīng)過代理被監(jiān)聽安全威脅實(shí)例（續(xù)）查看郵件時(shí)被錄像機(jī)器D附近的無線電接收裝置接收到顯示器發(fā)射的信號(hào)并且重現(xiàn)出來屏幕記錄程序保存了屏幕信息瀏覽郵件時(shí)的臨時(shí)文

3、件被其他用戶打開瀏覽器cache了網(wǎng)頁信息臨時(shí)文件僅僅被簡單刪除，但是硬盤上還有信息由于DNS攻擊，連接到錯(cuò)誤的站點(diǎn)，泄漏了用戶名和密碼由于網(wǎng)絡(luò)感染了病毒，主干網(wǎng)癱瘓，無法訪問服務(wù)器服務(wù)器被DOS攻擊，無法提供服務(wù)9.1.2 網(wǎng)絡(luò)安全的定義 理解角度網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不因偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)可以連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。個(gè)人用戶：防止他人侵犯自己的利益和隱私網(wǎng)絡(luò)運(yùn)行和管理者：保證資源安全、抵制黑客攻擊安全保密部門：過濾有害信息、避免機(jī)要信息泄露社會(huì)教育和意識(shí)形態(tài) ：控制網(wǎng)絡(luò)內(nèi)容9.1.3 網(wǎng)絡(luò)安全的特征（1）保密性c

4、onfidentiality：信息不泄露給非授權(quán)的用戶、實(shí)體或過程，或供其利用的特性。（2）完整性integrity：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性，即信息在存儲(chǔ)或傳輸過程中保持不被修改、不被破壞和丟失的特性。（3）可用性availability：可被授權(quán)實(shí)體訪問并按需求使用的特性，即當(dāng)需要時(shí)應(yīng)能存取所需的信息。網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)和有關(guān)系統(tǒng)的正常運(yùn)行等都屬于對(duì)可用性的攻擊。（4）可控性controllability：對(duì)信息的傳播及內(nèi)容具有控制能力。（5）可審查性：出現(xiàn)的安全問題時(shí)提供依據(jù)與手段9.1.4 影響網(wǎng)絡(luò)安全的主要因素（1）網(wǎng)絡(luò)的缺陷因特網(wǎng)在設(shè)計(jì)之初對(duì)共享性和開放性的強(qiáng)調(diào)，使

5、得其在安全性方面存在先天的不足。其賴以生存的TCP/IP 協(xié)議族在設(shè)計(jì)理念上更多的是考慮該網(wǎng)絡(luò)不會(huì)因局部故障而影響信息的傳輸，基本沒有考慮安全問題，故缺乏應(yīng)有的安全機(jī)制。因此它在控制不可信連接、分辨非法訪問、辨別身份偽裝等方面存在著很大的缺陷，從而構(gòu)成了對(duì)網(wǎng)絡(luò)安全的重要隱患。 例如：多數(shù)底層協(xié)議為廣播方式，多數(shù)應(yīng)用層協(xié)議為明文傳輸，缺乏保密 與認(rèn)證機(jī)制，因此容易遭到欺騙和竊聽軟件及系統(tǒng)的“漏洞”及后門 隨著軟件及網(wǎng)絡(luò)系統(tǒng)規(guī)模的不斷增大，系統(tǒng)中的安全漏洞或“后門”也不可避免的存在，比如我們常用的操作系統(tǒng)，無論是Windows 還是UNIX 幾乎都存在或多或少的安全漏洞，眾多的服務(wù)器、瀏覽器、桌面

6、軟件等等都被發(fā)現(xiàn)存在很多安全隱患。任何一個(gè)軟件系統(tǒng)都可能會(huì)因?yàn)槌绦騿T的一個(gè)疏忽或設(shè)計(jì)中的一個(gè)缺陷等原因留下漏洞。這也成為網(wǎng)絡(luò)的不安全因素之一影響網(wǎng)絡(luò)安全的主要因素（2）黑客的攻擊黑客技術(shù)不再是一種高深莫測(cè)的技術(shù)，并逐漸被越來越多的人掌握。目前，世界上有20 多萬個(gè)免費(fèi)的黑客網(wǎng)站，這些站點(diǎn)從系統(tǒng)漏洞入手，介紹網(wǎng)絡(luò)攻擊的方法和各種攻擊軟件的使用，這樣，系統(tǒng)和站點(diǎn)遭受攻擊的可能性就變大了。加上現(xiàn)在還缺乏針對(duì)網(wǎng)絡(luò)犯罪卓有成效的反擊和跟蹤手段，這些都使得黑客攻擊具有隱蔽性好，“殺傷力”強(qiáng)的特點(diǎn)，構(gòu)成了網(wǎng)絡(luò)安全的主要威脅。網(wǎng)絡(luò)普及，安全建設(shè)滯后網(wǎng)絡(luò)硬件建設(shè)如火如荼，網(wǎng)絡(luò)管理尤其是安全管理滯后，用戶安全意識(shí)

7、不強(qiáng)，即使應(yīng)用了最好的安全設(shè)備也經(jīng)常達(dá)不到預(yù)期效果9.2 網(wǎng)絡(luò)安全保障體系安全管理與審計(jì)物理層安全網(wǎng)絡(luò)層安全傳輸層安全應(yīng)用層安全鏈路層物理層網(wǎng)絡(luò)層傳輸層應(yīng)用層表示層會(huì)話層審計(jì)與監(jiān)控身份認(rèn)證數(shù)據(jù)加密數(shù)字簽名完整性鑒別端到端加密訪問控制鏈路加密物理信道安全物理隔離訪問控制數(shù)據(jù)機(jī)密性數(shù)據(jù)完整性用戶認(rèn)證防抵賴安全審計(jì)網(wǎng)絡(luò)安全層次層次模型網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)安全目標(biāo)用戶安全服務(wù)可用9.2 網(wǎng)絡(luò)安全機(jī)制安全機(jī)制可分為兩類 ：安全服務(wù)與安全系統(tǒng)管理 加密機(jī)制 數(shù)字簽名機(jī)制 訪問控制機(jī)制 數(shù)據(jù)完整性機(jī)制 認(rèn)證交換機(jī)制 防業(yè)務(wù)流分析機(jī)制 路由控制機(jī)制 公證機(jī)制 2、網(wǎng)絡(luò)安全技術(shù)1、安全機(jī)制數(shù)據(jù)加密技術(shù)物理隔離防火墻

8、技術(shù)入侵檢測(cè)技術(shù)病毒防護(hù)技術(shù)跟蹤審計(jì)技術(shù) 9.2.1 物理隔離主要分兩種：雙網(wǎng)隔離計(jì)算機(jī)物理隔離網(wǎng)閘雙網(wǎng)隔離計(jì)算機(jī)解決每人2臺(tái)計(jì)算機(jī)的問題1臺(tái)計(jì)算機(jī)，可以分時(shí)使用內(nèi)網(wǎng)或外網(wǎng)關(guān)鍵部件硬盤網(wǎng)線軟盤/USB/MODEM等共享部件顯示器鍵盤/鼠標(biāo)主板/電源硬盤*原理切換關(guān)鍵部件簡單雙網(wǎng)隔離計(jì)算機(jī)外網(wǎng)硬盤內(nèi)網(wǎng)硬盤外網(wǎng)網(wǎng)線內(nèi)網(wǎng)網(wǎng)線公共部件控制卡控制開關(guān)復(fù)雜雙網(wǎng)隔離計(jì)算機(jī)內(nèi)網(wǎng)硬盤外網(wǎng)網(wǎng)線內(nèi)網(wǎng)網(wǎng)線公共部件控制卡遠(yuǎn)端設(shè)備使用控制卡上的翻譯功能將硬盤分為邏輯上獨(dú)立的部分充分使用UTP中的8芯，減少一根網(wǎng)線物理隔離網(wǎng)閘的基本原理采用數(shù)據(jù)“擺渡”的方式實(shí)現(xiàn)兩個(gè)網(wǎng)絡(luò)之間的信息交換在任意時(shí)刻，物理隔離設(shè)備只能與一個(gè)網(wǎng)絡(luò)的

9、主機(jī)系統(tǒng)建立非TCP/IP協(xié)議的數(shù)據(jù)連接，即當(dāng)它與外部網(wǎng)絡(luò)相連接時(shí)，它與內(nèi)部網(wǎng)絡(luò)的主機(jī)是斷開的，反之亦然。任何形式的數(shù)據(jù)包、信息傳輸命令和TCP/IP協(xié)議都不可能穿透物理隔離設(shè)備。物理隔離設(shè)備在網(wǎng)絡(luò)的第7層講數(shù)據(jù)還原為原始數(shù)據(jù)文件，然后以“擺渡文件”形式傳遞原始數(shù)據(jù)。物理隔離實(shí)現(xiàn)基本原理（1）物理隔離實(shí)現(xiàn)基本原理（2）內(nèi)外網(wǎng)模塊連接相應(yīng)網(wǎng)絡(luò)實(shí)現(xiàn)數(shù)據(jù)的接收及預(yù)處理等操作；交換模塊采用專用的高速隔離電子開關(guān)實(shí)現(xiàn)與內(nèi)外網(wǎng)模塊的數(shù)據(jù)交換，保證任意時(shí)刻內(nèi)外網(wǎng)間沒有鏈路層連接；數(shù)據(jù)只能以專用數(shù)據(jù)塊方式靜態(tài)地在內(nèi)外網(wǎng)間通過網(wǎng)閘進(jìn)行“擺渡”，傳送到網(wǎng)閘另一側(cè)；集成多種安全技術(shù)手段，采用強(qiáng)制安全策略，對(duì)數(shù)據(jù)內(nèi)容

10、進(jìn)行安全檢測(cè)，保障數(shù)據(jù)安全、可靠的交換。物理隔離技術(shù)的應(yīng)用涉密網(wǎng)和非涉密網(wǎng)之間物理隔離技術(shù)的優(yōu)缺點(diǎn)優(yōu)點(diǎn)： 中斷直接連接 強(qiáng)大的檢查機(jī)制 最高的安全性 缺點(diǎn)： 對(duì)協(xié)議不透明，對(duì)每一種協(xié)議都要一種具體的實(shí)現(xiàn) 效率低9.2.2 防火墻技術(shù) 防火墻的概念和功能 1、防火墻的概念 ：防火墻是設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它是建立在兩個(gè)網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域邊界上的實(shí)現(xiàn)安全策略和網(wǎng)絡(luò)通信監(jiān)控的系統(tǒng)或系統(tǒng)集，它強(qiáng)制執(zhí)行對(duì)內(nèi)部網(wǎng)絡(luò)（如校園網(wǎng)）和外部網(wǎng)絡(luò)（如Internet）的訪問控制，是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的唯一出入口，并通過建立一整套規(guī)則和策略來監(jiān)測(cè)、限制、轉(zhuǎn)換跨越防火墻的數(shù)據(jù)流，實(shí)現(xiàn)保護(hù)

11、內(nèi)部網(wǎng)絡(luò)的目的。9.2.2 防火墻技術(shù) 防火墻的概念和功能 強(qiáng)化網(wǎng)絡(luò)安全策略 對(duì)網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計(jì) 防止易受攻擊的服務(wù) 防止內(nèi)部信息的外泄 2、防火墻的功能防火墻的類型總體分為兩大類：包過濾型防火墻、應(yīng)用代理型防火墻包過濾型：分包傳輸包具有特定信息（數(shù)據(jù)源地址、目標(biāo)地址、TCP/UDP源端口和目標(biāo)端口等）優(yōu)點(diǎn)是簡單實(shí)用，缺點(diǎn)是無法識(shí)別惡意侵入應(yīng)用代理型：代理服務(wù)器位于客戶機(jī)與服務(wù)器之間，完全阻擋了二者間的數(shù)據(jù)交流。 優(yōu)點(diǎn)是安全性高，缺點(diǎn)是影響系統(tǒng)整體性能不能防范繞過防火墻的攻擊 不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊。 難以避免來自內(nèi)部的攻擊。 防火墻的缺陷一般的防火墻不能防止受到病毒感染的軟件或文件

12、的傳輸。 9.2.3 網(wǎng)絡(luò)病毒防護(hù)網(wǎng)絡(luò)病毒病毒是一種寄生在普通程序中、且能夠?qū)⒆陨韽?fù)制到其他程序、并通過執(zhí)行某些操作，破壞系統(tǒng)或干擾系統(tǒng)運(yùn)行的“壞”程序。 網(wǎng)絡(luò)傳播途徑:文件下載(瀏覽或FTP下載) 電子郵件(郵件附件)9.2.3 網(wǎng)絡(luò)病毒防護(hù)網(wǎng)絡(luò)病毒的特點(diǎn)1、傳染方式多 2、傳染速度快 3、清除難度大 4、破壞性強(qiáng) 5、針對(duì)性強(qiáng) 6、激發(fā)形式多樣 9.2,3 網(wǎng)絡(luò)病毒防護(hù)常見的網(wǎng)絡(luò)病毒 1、電子郵件病毒 2、Java程序病毒 3、ActiveX病毒 4、網(wǎng)頁病毒 9.2.3 網(wǎng)絡(luò)病毒防護(hù)9.2.3 網(wǎng)絡(luò)病毒的防治以網(wǎng)為本，多層防御，有選擇地加載保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)安全的網(wǎng)絡(luò)防病毒產(chǎn)品 病毒防范計(jì)算

13、機(jī)網(wǎng)絡(luò)病毒的防治1、盡量少用超級(jí)用戶登錄 2、嚴(yán)格控制用戶的網(wǎng)絡(luò)使用權(quán)限 3、對(duì)某些頻繁使用或非常重要的文件屬性加以控制，以免被病毒傳染 4、對(duì)遠(yuǎn)程工作站的登錄權(quán)限嚴(yán)格限制 9.2.4 入侵檢測(cè)技術(shù) （第二防線） 入侵者常用手段1、 信息收集 2、 對(duì)系統(tǒng)安全薄弱點(diǎn)的探測(cè)3、 網(wǎng)絡(luò)攻擊SNMP、TraceRout程序、Whois服務(wù)、DNS服務(wù)、Finger協(xié)議、Ping實(shí)用程序利用自編的程序 利用公開的工具目標(biāo)系統(tǒng)中安裝探測(cè)軟件 在受損系統(tǒng)中獲得訪問權(quán)9.2.4 入侵檢測(cè)技術(shù)（第二防線） 入侵防范措施選用安全的密碼，并經(jīng)常修改密碼；應(yīng)及時(shí)取消調(diào)離或停止工作的雇員帳號(hào)，及無用帳號(hào)；實(shí)施存取控制

14、措施；確保數(shù)據(jù)的安全性和完整性；原有數(shù)據(jù)要和現(xiàn)行數(shù)據(jù)保持完全一致。安裝防火墻或入侵檢測(cè)系統(tǒng)，及時(shí)發(fā)現(xiàn)并阻止入侵行為。個(gè)人其它防范措施 ：使用不同密碼、不透露個(gè)人信息9.2.5 訪問控制（1）廣義的訪問控制功能包括鑒別、授權(quán)和記賬等鑒別（Authentication）：辨別用戶是誰的過程。 授權(quán)（Authorization）對(duì)完成認(rèn)證過程的用戶授予相應(yīng)權(quán)限，解決用戶能做什么的問題。在一些訪問控制的實(shí)現(xiàn)中，認(rèn)證和授權(quán)是統(tǒng)一在一起的 記賬（Accounting）；統(tǒng)計(jì)用戶做過什么的過程，通常使用消耗的系統(tǒng)時(shí)間、接收和發(fā)送的數(shù)據(jù)量來量度。Tacacs、Tacacs+、Radius等技術(shù)能實(shí)現(xiàn)這三種功能

15、。 9.2.5 訪問控制（2）RADIUS協(xié)議 針對(duì)遠(yuǎn)程用戶Radius（Remote Authentication Dialin User service）協(xié)議，采用分布式的Client/Server結(jié)構(gòu)完成密碼的集中管理和其他訪問控制功能；網(wǎng)絡(luò)用戶（Client）通過網(wǎng)絡(luò)訪問服務(wù)器（NAS）訪問網(wǎng)絡(luò)，NAS同時(shí)作為Radius結(jié)構(gòu)的客戶端，認(rèn)證、授權(quán)和計(jì)帳的3A功能通過NAS和安全服務(wù)器（Secutity Server）或Radius服務(wù)器之間的Radius協(xié)議過程完成，而用戶的控制功能在NAS實(shí)現(xiàn)。 訪問控制（3）TACAS協(xié)議 TACACS （Terminal Access Contr

16、oller Access Control System-終端訪問控制系統(tǒng)）是歷史上用于UNIX系統(tǒng)的認(rèn)證協(xié)議，它使遠(yuǎn)程訪問服務(wù)器將用戶的登錄信息發(fā)送到認(rèn)證服務(wù)器以確定用戶是否可以訪問給定系統(tǒng)。TACACS對(duì)數(shù)據(jù)并不加密，因此它的安全性要差一些，針對(duì)這種情況，又設(shè)計(jì)了TACACS+和RADIUS協(xié)議。 訪問控制（4）TACACS+協(xié)議 由Cisco公司提出，在此協(xié)議中，當(dāng)用戶試圖登錄時(shí)，NAS將詢問安全服務(wù)做什么，安全服務(wù)器通常知NAS輸入用戶名和密碼，然后，發(fā)送接受或拒絕響應(yīng)信息給NAS。用戶登錄進(jìn)入之后，對(duì)于每一條用戶輸入的命令，NAS都將提請(qǐng)安全服務(wù)器進(jìn)行授權(quán)。訪問控制（5）TACACS+

17、協(xié)議的應(yīng)用 9.2.6 數(shù)據(jù)加密概述9.2.6 數(shù)據(jù)加密技術(shù) （最后防線）數(shù)據(jù)加密就是按照確定的密碼算法將敏感的明文數(shù)據(jù)變換成難以識(shí)別的密文數(shù)據(jù)，通過使用不同的密鑰，可用同一加密算法將同一明文加密成不同的密文。 只有指定的用戶和網(wǎng)絡(luò)設(shè)備才能解譯加密數(shù)據(jù)，從根本上解決網(wǎng)絡(luò)安全的兩大主要需求，即網(wǎng)絡(luò)服務(wù)的可用性和信息的完整性。 9.2.6 密碼技術(shù)的基本概念 9.2.6 數(shù)據(jù)加密技術(shù) （最后防線）密碼技術(shù)是網(wǎng)絡(luò)信息安全與保密的核心和關(guān)鍵。通過密碼技術(shù)的變換或編碼，可以將機(jī)密、敏感的消息變換成難以讀懂的亂碼型文字，以此達(dá)到兩個(gè)目的：其一，使不知道如何解密的“黑客”不可能從其截獲的亂碼中得到任何有意義

18、的信息其二，使“黑客”不可能偽造或篡改任何亂碼型的信息。9.2.6 常用數(shù)據(jù)加密方法 9.2.6 數(shù)據(jù)加密技術(shù) （最后防線）單鑰或?qū)ΨQ密碼體制：加密密鑰和解密密鑰相同，或從一個(gè)可以推出另一個(gè)。 雙鑰或非對(duì)稱密碼體制 ：加密密鑰和解密密鑰不相同，從一個(gè)難于推出另一個(gè) 。優(yōu)點(diǎn)：不存在密鑰管理問題 、擁有數(shù)字簽名功能 缺點(diǎn)：算法比較復(fù)雜，加、解密速度慢 優(yōu)點(diǎn)：加、解密速度快缺點(diǎn)：密鑰管理難；無法解決消息確認(rèn)問題； 缺乏自動(dòng)檢測(cè)密鑰泄露的能力 著名密碼算法介紹 9.2.6 數(shù)據(jù)加密技術(shù) （最后防線）1、DES加密算法：DES是一種典型的按分組方式工作的密碼。其基本思想是將二進(jìn)制序列的明文分成每64位一組，用長為56位的密鑰對(duì)其進(jìn)行16輪代換和換位加密，最后形成密文。 優(yōu)點(diǎn)：加密和解密的步驟完