第5章-网络安全设计.ppt

第5章网络安全设计 本章要点 网络安全方案的设计原则与流程网络安全系统的内容防火墙系统的设计与选购防病毒系统的设计与选购 5 1 1网络安全的定义 网络安全从其本质上来讲就是网络上的信息安全 它涉及到的领域相当广 目前都没有公认的标准定义 一般认为 网络安全是指利用网络管理控制和技术措施 保证在网络环境里信息数据的机密性 完整性及可使用性受到保护 网络安全主要是要确保经网络传送的信息 在到达目的站时没有任何增加 改变 丢失或被非法读取 网络安全在不同的环境和应用中解释 运行系统安全 即保证信息处理和传输系统的安全 网络上系统信息的安全 包括用户口令鉴别 用户存取权限控制 数据存取权限 方式控制 安全审计 安全问题跟踪 计算机病毒防治 数据加密等 网络上信息内容的安全 即常见的狭义的 信息安全 它侧重于保护信息的保密性 真实性和完整性 网络上信息传播的安全 即信息传播后的安全 包括信息过滤等 影响网络安全的隐患 网络窃听完整性破坏IP地址欺骗拒绝服务攻击计算机病毒系统漏洞 常用的安全防范技术 身份证技术数据完整性技术跟踪审计技术信息加密技术防火墙技术 网络安全等级标准 美国的 可信任计算机标准评价准则 TCSEC TrustedComputerStandardsEvaluationCriteria 即橙皮书 该标准一直是评估多用户主机和小型操作系统的主要方法 1 D级D级是最低的安全保护等级 拥有这个级别的操作系统就像一个没有门的房子 任何人可以进进出出 是完全不可信的 2 C级 级有两个子级别 C1和C2 C1低于C2 C1级不能控制进入系统的用户的访问级别 所以用户可以将系统中的数据任意移走 可以控制系统配置 获取系统管理员的权限 C2级在C1级的标准上 包含了访问控制环境 身份验证级别 能够对系统发生的事件加以审计 并写入日志当中 例如何时开机 用户从哪里登陆等 常见的C2级操作系统有 Unix Windows2000或更高版本等 美国橙皮书安全等级标准 3 级 级有 个子级别 B1级 B2级 B3级 B1低于B2 B2低于B3 B1级支持多级安全 例如 秘密和绝密 系统不允许文件的拥有者改变其许可权限 B2级要求计算机系统中所有的对象都加标签 而且给设备分配多个安全级别 B3级称为安全区域保护 使用安装硬件的方式来加强安全区域保护 4 级 级在验证设计方面是当前的最高级别 包括了一个严格的设计 控制和验证过程 在上述 个级别中 B1和B2级的级差最大 因为只有B2 B3和A级才是真正的安全等级 他们至少经得起程度不同的严格测试和攻击 目前 我国普遍使用的计算机 其操作系统大都是属于C1和C2级别的产品 橙皮书的安全等级表 网络安全方案的设计 网络安全工程的设计 不是随意的网络安全产品的堆积 其目标是如何在网络上保证合法用户对资源的安全访问 防止并杜绝黑客的蓄意攻击和破坏 同时又不至于造成过多的网络使用限制和性能的下降 或因投入过高的代价而造成实施安全性的延迟 最终影响用户的使用 对网络安全的投入要根据具体网络安全需求而定 对低级别安全需求的网络 网络安全投入过多 不仅增加网络成本 还带来网络性能的下降 相反对高级别的需求 投入过低 根本起不到对网络的保护作用 网络安全方案的设计要遵循的原则 需求 风险 代价平衡的原则综合性 整体性原则一致性原则易操作性原则应性和灵活性原则多种保护原则可评价性原则 网络安全方案设计流程 根据以上原则 网络安全设计流程主要有以下几个步骤 1 确定要保护的网络资源 2 分析安全需求 3 评估安全风险 4 制定安全策略 5 决定所需的安全服务种类 6 选择相应的安全机制 7 进行安全系统设计 选型和集成 8 安全性测试验收 9 用户 管理者及相关人员培训 5 3网络安全系统内容 软件系统的安全 1 网络操作系统的安全 2 数据库管理系统 DBMS 的安全 3 Web服务器的安全 4 应用系统的安全硬件系统的安全 1 节点的安全 2 链路的安全管理安全 5 4防火墙系统的设计与选型 防火墙实质上是一种隔离控制技术 从逻辑上看它既是一个分析器又是一个限制器 它要求所有进出网络的数据流都应该通过它 并且 所有通过它的数据流都必须有安全策略和授权 其工作原理是 按照事先规定好的配置和规则 监测并过滤所有通向外部网或从外部网传来的信息 只允许授权的数据通过 防火墙还应该能够记录有关连接的信息 服务器和通信量以及试图闯入者的任何企图 以方便管理员的监测和跟踪 防火墙本身也必须具有比较高的抗攻击性 防火墙通常部署在Internet和Intranet之间的位置 防火墙的类型与使用场合防火墙的体系结构设计防火墙的体系结构一般有以下几种 双重宿主主机体系结构 被屏蔽主机体系结构 被屏蔽子网体系体结构 防火墙系统选型 防火墙产品选购原则 1 安全性 2 功能完备 3 带宽要求 4 高可用性 5 配置方便 6 可扩展和可升级性强 7 品牌因素 防火墙产品介绍 1 CiscoPIX515E防火墙CiscoPIX515E防火墙是被广泛采用的CiscoPIX515平台的增强版本 它可以提供业界领先的状态防火墙和IP安全 IPSec 虚拟专用网服务 是针对中小型企业和企业远程办公机构而设计 具有更强的处理能力和集成化的 基于硬件的IPSec加速功能 该功能的核心是种基于自适应安全算法 ASA 的保护机制 可以提供针对状态的 面向连接的防火墙功能 同时阻截常见的拒绝服务 DOS 攻击 2 易尚ES1000网关防火墙易尚ES1000网关防火墙是在网络边界提供完整网络安全保护的硬件产品 它采用新一代ASIC硬件设计体系 通过内容处理芯片和内容处理加速单元 与其它专用硬件一起 利用易尚专有操作系统ESOS的实时分析和协调处理能力 通过优化内容搜索 模式识别和数据分析 来达到病毒扫描 VPN 内容过滤和基于网络的入侵检测处理的高性能 创造了业界性能新纪录 网络防毒系统选型与设计 计算机病毒是一种可以自我复制 传播的具有一定破坏型或干扰性的计算机程序 由于Internet技术及信息技术的普及和发展 病毒的传染速度越来越快 在网络环境下 计算机病毒有不可估量的威胁性和破坏力 因此病毒的防范也是网络安全建设中应该考虑的重要环节 网络环境下防病毒系统的管理模式 1 分散式管理模式 即每一系列产品都有一个自己的管理平台 与其他系列的产品管理平台互不联系 一个管理平台只能管理一个系列的产品 管理平台是嵌入到产品内部的 这种管理模式适用于服务器较少的小型计算机网络 目前很多国内外厂商的防毒产品都采取这种模式 2 直接集中控制管理模式 即把所有系列的产品集中在一个单独设立的防毒服务器上进行分发和管理 其典型的代表是Symantec控制中心 SymantecSystemCenter SSC Symantec通过该控制中心为Intranet防毒软件的安装 维护 更新及报表等提供集中管理工具 这种管理模式比较适合于服务器较多的中型计算机网络 3 多级分布式管理模式 这种模式是以上两种模式的结合 趋势公司的解决方案就采用这种模式 它的各系列防毒产品都各有一个内嵌式管理平台 而且都有适合远程管理的Web方式 而这一系列管理平台又由另外一个独立的网络防毒管理平台 TVCS 来进行统一全面的管理 这种模式适合大型跨网段跨平台网络的集中