第七章 网络管理与网络安全.doc

第7章 网络管理与网络安全7.1.1 网络管理概述 (1) 网络管理的目标。网络管理的目标是最大限度地增加网络的可用时间，提高网络设备的利用率，改善网络性能、服务质量和安全性，简化多厂商混合网络环境下的管理和控制网络运行的成本，并提供网络的长期规划。(2) 网络管理员的职责。在网络的建立和运行过程中，网络管理员的职责包括：对网络进行规划、建设、维护、扩展、优化和故障检修。(3) 网络管理模型。在网络管理中，一般采用管理者-代理的管理模型。代理位于被管理的设备内部，它把来自管理者的命令或信息请求转换为设备特有指令，完成管理者的指示，或返回它所在设备的信息。管理者从各代理处收集信息，并进行处理，获得有价值的管理信息，以达到管理目的。管理者和代理之间的信息交换可分为两种：从管理者到代理的管理操作；从代理到管理的事件通知。在一般的网络管理模型中，一个网络管理者可以和多个代理进行信息交换，实现对网络的管理。7.1.2.1 配置管理（1）配置管理的目标。掌握和控制网络配置信息及跟踪、管理网络内各设备的状态和连接关系。（2）配置管理的主要作用。增强网络管理者对网络配置的控制，它可以通过对设备的配置数据提供快速的访问来实现。对设备的管理包括：识别网络中各种设备，确定设备的地理位置、名称和有关细节，记录并维护设备参数表；用适当的软件设备参数值和配置设备功能;初始化、启动和关闭网络或者网络设备。7.1.2.2 故障管理（1）故障管理的目标。自动监测网络硬件和软件中的故障并告知用户，当网络出现故障时，要进行故障的确认、记录、定位，并尽可能地排除这些故障。（2）故障管理的一般步骤。发现故障判断故障症状隔离故障修复故障记录故障的检修过程及其结果。常用的故障报告形式有文字、图形和声音信号。7.1.2.3 性能管理（1）性能管理的目标。衡量和呈现网络特性的各个方面，使网络的性能维持在一个可接受的水平上。性能管理使网络管理人员能够监视网络运行的关键参数，如吞吐率、利用率、错误率、响应时间、网络的一般可用度等。（2）性能管理的功能类别。从概念上讲，性能管理包括监视和调整两大功能，监视功能主要指跟踪网络活动，调整功能指通过改变设置来改善网络的性能。7.1.2.4 安全管理安全管理的目标是按照一定的策略对网络资源的访问进行控制，保证重要的信息不被未授权的用户访问，并防止网络遭到恶意或无意的攻击。7.1.3.1 SNMP的概述SNMP，即简单网络管理协议，位于ISO OSI参考模型的应用层，它遵循ISO的管理者-代理网络管理模型，主要由网络管理站、代理节点、管理信息库和SNMP这4个部分组成。SNMP使用的传输层协议是用户数据报协议(UDP)。SNMP是应用层协议，SNMP v2规范定义了5种传输层服务，这5种传输层映射分别为UDP、CLNS、CONS、DDP、IPX。目前SNMP主要包括了3 个版本：SNMP v1、SNMP v2和SNMP v3，SNMP v3在SNMP v2的基础上，增加、完善了安全和管理机制。其主要特点是适应性强，适用于多种操作环境。7.1.3.2 CMIS/CMIP的概述CMIS/CMIP是ISO定义的网络管理协议，它是一个复杂的协议关系，管理信息采用了面向对象的模型。CMIP的优点是安全性强，功能强大，不仅可以传输管理数据，而且可以执行一定的任务。不足之处在于对系统处理能力要求高，操作复杂，覆盖范围广，难以实现。CMIS/CMIP采用管理者-代理模型，它以委托监控的方式对网络实体进行管理监控，开销小，反应及时，但是对代理的资源要求高。7.2.1.1 信息安全的基本概念信息技术是计算机、微电子和通信技术的结合。信息安全主要包括3个方面，即物理安全、安全控制和安全服务。信息安全5个基本要素：机密性、完整性、可用性、可控性和可审查性。7.2.1.3 信息安全等级美国国防部安全准则(TCSEC) 定义了4类7个级别，安全性从低到高分别为D1、C1、C2、B1、B2、B3、A1级别。协议TCSEC级别及其安全性详见表7-1。 表7-1 TCSEC级别及其安全性 级别安全性D1级它是计算机安全性最低的一级，该级保护措施很少，没有安全功能C1级C1级称为选择的安全保护；它可有选择的存取控制，实现用户与数据分离，数据的保护以组为单位C2级C2级称为受控的访问控制。包含所有的C1级特征，C2级具有限制用户执行某些命令或访问某些文件的权限，还加入了身份认证级别；达到C2级的操作系统有UNIX、XENIX、NetWare 3.x或更高版本及Windows NT等B1级B1级称为标记安全保护，B1级支持多级安全B2级B2级称为结构化保护，要求计算机系统中的所有对象都要加上标签，而且给设备分配安全级别B3级B3级称为安全域，要求用户工作站或终端通过可信任途径连接到网络，而且采用硬件来保护安全系统的存储区A1级最高的安全等级，又称为可验证安全设计C2级为历年考试的常考点，应当对此级重点关注。在我国，以计算机信息系统安全保护等级划分准则为指导，将信息和信息系统的安全保护分为5个等级（见表7-2）。 表7-2 我国计算机信息系统安全保护等级划分级别名称适用于危害第一级自主保护级一般的信息和信息系统会对公民、法人和其他组织的权益产生一定影响，但不危害国定安全、社会秩序、经济建设和公共利益第二级指导保护级一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统会对国家安全、社会秩序、经济建设和公共利益造成一定损害第三级监督保护级涉及国家安全、社会秩序、经济建设和公共利益的信息与信息系统会对国家安全、社会秩序、经济建设和公共利益造成较大损害第四级强制保护级涉及国家安全、社会秩序、经济建设和公共利益的重要信息与信息系统会对国家安全、社会秩序、经济建设和公共利益造成严重损害第五级专控保护级涉及国家安全、社会秩序、经济建设和公共利益的重要信息与信息系统的核心子系统会对国家安全、社会秩序、经济建设和公共利益造成特别严重的损害7.3.1.1 网络安全的目的确保网络系统的信息安全是网络安全的目标，对网络系统而言，主要包括两个方面：信息的存储安全和信息的传输安全。信息的存储安全就是指信息在静态存放状态下的安全，一般通过设置访问权限、身份识别、局部隔离等措施来保证。信息的传输安全主要是指信息在动态传输过程中的安全。为确保网络信息的传输安全，尤其需要防止出现如下状况。（1）对网络上的信息的监听。（2）对用户身份的假冒。（3）对网络上信息的篡改。（4）对发出的信息予以否认。（5）对信息进行重放7.3.1.2 安全措施网络信息安全系统并非局限于通信保密，而是涉及方方面面的一项极其复杂的系统工程。一个完整的网络信息安全系统至少包括以下3类措施。（1）社会的法律政策、企业的规章制定及网络安全教育。（2）技术方面的措施，如防火墙技术、信息加密、防病毒、身份认证及授权等。（3）审计与管理措施，包括技术与社会措施。主要有实时监控、提供安全策略改变的能力及对安全系统实施漏洞检查等。7.3.2.1 安全攻击的具体内容及分类安全攻击就是安全威胁的具体实现，其具体包括如下内容。 中断：指系统资源遭到破坏或变得不能使用，是对可用性的攻击。 截取：未经授权实体得到了资源的访问权，对机密性的攻击。 修改：未授权的实体不仅得到了访问权，而且还篡改了资源，对完整性的攻击。 捏造：未经授权实体向系统中插入了伪造的对象，对真实性的攻击。安全攻击可分为被动攻击和主动攻击，也可分为服务攻击与非服务攻击。（1）被动攻击和主动攻击被动攻击：其特点是偷听或监视传送，包括泄漏信息和内容通信量分析。主动攻击：涉及修改数据流或创建数据流，包括假冒、重放、修改信息、拒绝服务及分布式拒绝服务等。被动攻击难以检测，但可防止；主动攻击很难拒绝，但可以对攻击进行检测。通信量分析可以确定通信位置和通信主机的身份，还可以观察交换信息的频度和长度。（2) 服务攻击和非服务攻击服务攻击：是针对某种特定网络服务的攻击。非服务攻击：指不针对某项具体应用服务，而是基于网络层等低层协议而进行。非服务攻击与特定服务无关，通常利用协议或操作系统实现协议时的漏洞来达到攻击的目的。7.4.1.2 密码体制的分类通常，密码体制从以下3个独立的方面进行分类。（1）按从明文到密文的转换操作分类：置换密码和易位密码。（2）按明文的处理方法分类：分组密码和序列密码。（3）按密钥的使用个数分类：对称密码体制和非对称密码体制。7.4.1.3 不可逆加密算法不可逆加密算法又称为单向散列算法。加密过程不需要密钥，无法从密文解密出明文，因此不可逆加密算法不适合数据加密，而是用于数据完整性校验和身份验证等，代表算法有：MD5算法和安全散列算法(SHA) 。7.5.1.3 常用的对称加密算法其中，DES是最常用的对称加密算法，几乎是事实上的国际标准。DES的分组长度为64位，密码长度为56位。7.6.1.1 公钥密码体制的模型公钥密码体制有两个不同的密钥，一个称为私钥，被秘密保存；另一个称为公钥，公开，不需要保密。公钥加密的算法和公钥是公开的。公钥密码体制有加密模型和认证模型两种基本模型。7.6.1.2 公钥加密的基本步骤公钥加密是建立在数学难题的基础上的。公钥加密的基本步骤如下：（1）每个用户都生成一对加密和解密时使用的密钥。（2）每个用户都把他的公钥放在一个公共地方，私钥自己妥善保管。（3）发送用户要向接收用户发送机密消息，就用接收用户的公钥加密消息。（4）当接收用户收到消息时，可用自己的私钥进行解密。在公钥密码体制中，所有参与者都可以获得公钥，而私钥却由每个参与者个人生成并保密，不需传送。只要用户能保护好自己的私钥，接收的消息就是安全的。7.6.1.3 常用的公钥加密体制(1) RSA公钥体制。1978年提出，该体制被认为是到目前为止理论上最为成熟完善的一种公钥密码体制，缺点是加密、解密速度太慢。因此，RSA体制很少用于数据加密，主要用在数字签名、密钥管理和认证方面。(2) Elgamal体制。1985年Elgamal构造了一种基于离散对数的公钥密码体制，称为Elgamal公钥体制。它的密文不仅依赖于待加密的明文，而且依赖于用户选择的随机参数，即加密相同的明文，得到不同的密文。(3) 背包公钥体制。背包问题是不可计算问题，背包体制以其加密解密速度快而引人注目，但是大多是背包体制均被破译了，因此很少使用。7.7.1.2 保密密钥的分发密钥分发技术将密钥发送到数据交换的两方，而其他人无法看到的方法。通常使用的密钥分发技术有：KDC技术和CA技术。KDC(密钥分发中心)技术可用于保密密钥的分发；CA(证书权威机构)技术可以用于公钥和保密密钥的分发。KDC分发密钥时，进行通信的两台主机都需向KDC申请会话密钥。每个需要保密通信安全的主机都与KDC共享一个密钥。7.7.1.3 公钥的分发公钥是公开的，不需保密，但要保证公钥的完整性。目前通常使用数字证书来分发公钥，数字证书要求使用可信任的第三方，即证书权威机构(CA) 。用户以安全的方式向权威机构出具其公钥并取得证书，此后用户可公开这个证书。任何需要用户公钥的人都可得到这个证书。7.8.1.2 消息认证（1) 消息认证的概念消息认证又称消息完整性校验，是接收方能够验证收到的消息是否真实的方法。在银行业称为消息认证，在OSI安全模型中称为封装。消息认证主要包括：证实消息的信源和信宿；消息内容是否曾收到偶然或有意地篡改；消息的序号和时间是否正确。（2) 安全单向散列函数在实际中通常利用安全单向散列函数来产生消息摘要。安全单向散列函数的特性包括：必须一致，相同的输入有相同的输出；必须是随机的；必须唯一；必须是单向的，已知消息摘要求原始消息困难；必须易于实现高速计算，硬件实现成本低，或者便于软件实现。（3) 常用的摘要算法常用的摘要算法包括：消息摘要4算法(MD4)、消息摘要5算法(MD5)和安全散列算法(SHA) 。MD5和SHA是最常用的散列函数，建立在MD4的基础上。MD5按512比特块来处理其输入，生成一个128位的消息摘要。Radius(拨号认证协议)、OSPF(路由协议)、SNMP的安全协议都是使用共享密钥加上MD5认证的。7.8.1.4 数字签名数字签名是用于确认发送者身份和消息完整性的一个加密的消息摘要。数字签名可以利用公钥密码体制、对称密码体制和公证系统实现。最常见的实现方法是建立在公钥密码体制和单向安全散列算法的组合基础上。常用的公钥数字签名算法包括：RSA算法和数字签名标准算法(DSS)。数字签名与消息认证的区别是消息认证使收方能验证消息发送者及其所发的消息是否被篡改过。数字签名不但可以保证信息传输过程中信息的完整性，而且提供信息发送者本身的身份证，防止抵赖行为的发生。7.9.1.1 身份认证协议从实用角度而言，一个安全的身份识别协议至少应满足以下两个条件。 识别者A能向验证者B证明他的确是A。 在识别者A向验证者提供了证明他的身份信息后，验证者B不能取得A的任何有用的信息，即B不能模仿A向第三方证明他是A。目前已设计出了许多满足上述条件的认证协议，主要有这几类：一次一密机制、X.509认证协议、Kerberos认证协议。（1） 一次一密机制。采用请求应答机制：用户登录时，系统随机提示一条信息，用户根据信息产生一个口令，完成一次登录；询问应答方式：验证者提出问题，由识别者回答，然后由验证者验证其真伪。（2） X.509认证协议。X.509定义了一种通过X.500目录提供认证服务的框架。该目录可以看成是公钥证书（Certificate）的数据库，每个证书包含了一个可信机构签名的用户公钥（通过可信第三方实现认证）。（3） Kerberos认证协议。Kerberos基于对称密钥体制（一般采用DES，但也可以采用其他算法）。它与网络上的每个实体共享一个不同的密钥，通过是否知道秘密密钥来验证身份。7.9.1.2 电子邮件的安全目前广泛使用的电子邮件安全的方案有两种：PGP和S/MIME。(1) PGP方案。PGP是一种不依赖于任何组织和权威的应用方案，适合个人和团体组织使用。它提供了机密性和身份认证服务，可用于电子邮件和文件存储。(2) S/MIME方案。MIME(多用途因特网邮件扩展)是一种因特网邮件标准，它允许以标准化的格式在电子邮件消息中包含文本、音频、图形和类似的信息。S/MIME(安全MIME)在MIME的基础上添加了安全性元素。7.9.1.3 Web的安全(1) Web服务器的安全。Web服务器的安全内容包括：服务器向公众提供了不应该提供的服务；服务器把本应私有的数据放到了可公开访问的区域；服务器信赖了来自不可信赖数据源的数据。Web站点限制用户访问Web服务器资源的访问控制级别，主要包括：IP地址限制、用户验证、Web权限和硬盘分区权限。(2) 浏览器的安全。在使用浏览器访问Web资源时，用户可以对Java、Java Applet脚本、ActiveX控件和插件的使用进行限制，以提高安全性。(3) Web的通信安全。Web浏览利用TCP/IP在两台机器间提供了一个匿名的数据流，但它不提供保密性、完整性和认证服务，加强Web通信安全的方案有SSL及IPSec等。具体方案内容介绍如下： SSL(安全套接层)为TCP/IP连接提供数据加密、服务器认证、消息完整性和可选的客户机认证。 IPSec(IP安全协议)在IP层上提供访问控制、无连接完整性、数据源认证、拒绝重放包、加密和流量保密服务。IPSec专门用于IPv6，但它也可以用于IPv4。7.10.1.1 防火墙介绍防火墙设置在可信任的企业内部网和不可信任的公众访问网之间。防火墙总体上分为数据包过滤和应用网关两大类。其他有关防火墙的内容包括：进出内部网的通信量必须通过防火墙；只有在内部网安全策略中定义了的合法通信量，才能进出防火墙；防火墙自身能够防止渗透。7.10.1.2 防火墙的功能防火墙能够有效地防止外来入侵，能够控制进出网络的信息流向和信息包；提供使用和流量的日志及审计；隐藏内部IP地址及网络结构的细节；提供虚拟专用网(VPN)的功能。7.10.1.3 防火墙的类型最常用的防火墙主要包括3种：包过滤路由器、应用级网关和电路级网关。7.11.1.1 计算机病毒计算机病毒是一个程序、一段可执行代码，它对计算机的正常使用进行破坏，使得计算机无法正常使用，甚至整个操作系统或硬盘损坏。计算机病毒不是独立存在的，它隐藏在其他可执行的程序中，既有破坏性，又有传染性和潜伏性。除了复制能力外，某些计算机病毒还有其他一些共同特性：一个被感染的病毒能传送病毒载体。（1）病毒的生命周期计算机病毒的完整工作过程包括以下4个环节。 潜伏阶段：这一阶段病毒处于休眠状态。病毒要通过某个事件来激发。 繁殖阶段：病毒将与自身完全相同的副本放入其他