国家信息安全水平考试信息安全基础.ppt

信息安全基础 从概念角度了解了什么是信息安全 信息安全的标准化 管理和一些安全策略网络安全组件介绍 第一章信息安全基础 信息的定义 一般认为 信息是关于客观事实的可通讯的知识 这是因为 第一 信息是客观世界各种事物的特征的反映 这些特征包括事物的有关属性状态 如时间 地点 程度和方式等等 第二 信息是可以通讯的 大量的信息需要通过各种仪器设备获得 第三 信息形成知识 人们正是通过人类社会留下的各种形式的信息来认识事物 区别事物和改造世界的 第一章信息安全基础 信息的价值 使用信息所获得的收益 获取信息所用成本所以信息具备了安全的保护特性 第一章信息安全基础 安全 一个经验定义 通常感觉 安全就是 避免冒险和危险 在计算机科学中 安全就是防止 未授权的使用者访问信息未授权而试图破坏或更改信息安全就是一个保护系统信息和系统资源相应的机密性 完整性和可用性的能力 信息安全五要素 信息安全包括三个最基本要素 完整性 机密性 可审查性 可用性 可控性 机密性确保信息不暴露给未授权的实体或进程完整性只有得到允许的人才能修改数据 并且能够判别出数据是否已被篡改可用性得到授权的实体在需要时可访问数据 即攻击者不能占用所有的资源而阻碍授权者的工作可控性可以控制授权范围内的信息流向及行为方式可审查性对出现的网络安全问题提供调查的依据和手段 信息安全五要素 信息安全现状 信息安全意识欠缺信息安全管理不规范和标准不统一政府和企业对信息安全要求不同 网络中存在的威胁 非授权访问没有预先经过同意 就使用网络或计算机资源被看作非授权访问 信息泄漏或丢失敏感数据在有意或无意中被泄漏出去或丢失破坏数据完整性以非法手段窃得对数据的使用权 删除 修改 插入或重发某些重要信息 以取得有益于攻击者的响应恶意添加 修改数据 以干扰用户的正常使用破坏信息的可用性DOS攻击 消耗主机资源 消耗带宽资源 网络中存在的威胁 拒绝服务攻击不断对网络服务系统进行干扰 改变其正常的作业流程 执行无关程序使系统响应减慢甚至瘫痪 影响正常用户的使用 甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务 网络中存在的威胁 利用网络传播病毒通过网络传播计算机病毒 其破坏性大大高于单机系统 而且用户很难防范 主机面临的安全性挑战 面对网络中存在的各种威胁 常采用的对付手段 身份验证 访问控制 加密 防火墙 审计等 计算机的安全主要有以下两方面主机安全 主要考虑保护合法用户对于授权资源的使用 防止非法入侵者对于系统资源的侵占与破坏 常利用操作系统的功能 网络安全 主要考虑网络上主机之间的访问控制 防止来自外部网络的入侵 保护数据在网上传输时不被泄密和修改 如防火墙 两者的立足点不同 主机安全和网络安全两者立足点不同 各自为政结合主机安全和网络安全 出现主机网络安全技术 它是一种主动防御的安全技术 结合主机操作系统特性和网络特性 对访问者身份 地点 时间和行为来决定是否允许其访问 主机网络安全结合网络特性和操作系统特性 其建立在被保护的主机上 贯穿于网络体系结构中的应用层 传输层 网络层中 应用层 网络特性和操作系统特性的最佳结合点 传输层 数据加密传输网络层 实现访问控制 主机网络安全系统体系结构 主机网络安全技术难点分析 如何将防火墙模块与操作系统配合起来协同工作 是主机网络安全技术的难点 主机网络安全技术难点分析 解决问题的途径将主机网络安全系统内置在操作系统中修改网络协议栈 插入防火墙模块 和网络服务器软件 引入细粒度控制 修改主机系统函数库中的相关系统调用 引入安全控制机制 信息安全的标准 美国TCSEC 可信计算机系统安全准则 第一个计算机系统系统评估标准 划分为4个等级 8个级别欧洲ITSEC 信息技术安全评价准则 注重完整性 保密性和可用性 将安全概念分为功能与评估两部分 其中功能10级 评估6级加拿大CTCPEC 加拿大可信计算机产品评测标准 美国联邦准则 FC 是TCSEC的升级 引入了 保护轮廓 概念 每个轮廓包括功能 开发保证和评价联合公共准则 CC ISO7498 2安全标准 ISO7498描述了各系统之间的安全必须提供的定全服务及安全机制 并说明了安全服务及相应机制在安全体系结构中的关系 从而建立了开放互连系统的安全体系结构框架 ISO7498 2提供了以下五种可选择的安全服务认证访问控制数据保密数据完整性防止否认 抗抵赖 Authentication Accesscontrol DataIntegrity DataConfidentiality Non reputation ISO17799安全标准 ISO17799是一个详细的安全标准 包括安全内容的所有准则 由十个独立的部分组成 每一节都覆盖了不同的主题和区域 ISO17799安全标准 商业持续规划系统访问控制系统开发和维护物理和环境安全符合性人员安全安全组织计算机与网络管理资产分类和控制安全政策 国内安全标准 政策制定和实施情况 2001年1月1日起由公安部主持制定 国家技术标准局发布的中华人民共和国国家标准GB17895 1999 计算机信息系统安全保护等级划分准则 开始实施 该准则将信息系统安全分为5个等级 分别是 自主保护级系统审计保护级安全标记保护级结构化保护级访问验证保护级 主要的安全考核指标有身份认证自主访问控制强制访问控制审计隐蔽信道分析数据完整性 国内安全标准 政策制定和实施情况 安全标准应用实例分析 WindowsNT4 0于1999年11月通过了美国国防部TCSECC2级安全认证 它具有身份鉴别 自主访问控制 客体共享和安全审计等安全特性 为了支持这些安全特性 WindowsNT开发了专门的安全子系统 WindowsNT的安全子系统主要由本地安全授权 LSA 安全账户管理 SAM 和安全参考监视器 SRM 等组成 安全标准应用实例分析 身份鉴别WindowsNT有一个安全登录序列 用以防止不可信应用窃取用户名和口令序列 并有用户账号和口令等管理能力 安全标准应用实例分析 自主访问控制WindowsNT使用自主访问控制 其控制粒度达到单个用户 WindowsNT的安全模式 允许用户将访问控制施用到所有的系统客体和使用WindowsNT自有NTFS文件系统的全部文件 安全标准应用实例分析 对象重用在WindowsNT的TCB TrustedComputingBase 接口 所有可见的资源都通过以下方式寻址在分配时清除对象在分配时完全初始化对象只允许己写入的部分被读取 安全标准应用实例分析 审计审计功能是由以下部件完成的 LSA安全参考监视器SRM保护服务器与Executive子系统EventLoggerEventViewer 遵照国标建设安全的网络 内部网的安全内部网的安全防范应满足两条原则内部网能根据部门或业务需要划分子网 物理子网或虚拟子网 并能实现子网隔离采取相应的安全措施后 子网间可相互访问 Internet接口安全内部网接入Internet对安全技术要求很高 应考虑以下三个原则在未采取安全措施的情况下 禁止内部网以任何形式直接接入Internet采取足够的安全措施后 允许内部网对Internet开通必要的业务对Internet公开发布的信息应采取安全措施保障信息不被篡改 遵照国标建设安全的网络 Extranet接口的安全Extranet应采取以下安全原则未采取安全措施的情况下 禁止内部网直接连接Extranet设立独立网络区域与Extranet交换信息 并采取有效的安全措施保障该信息交换区不受非授权访问来自Extranet的特定主机经认证身份后可访问内部网指定主机 遵照国标建设安全的网络 移动用户拨号接入内部网的安全移动用户拨号接入内部网的安全防范应满足以下原则在未采取安全措施的情况下 禁止移动用户直接拨号接入内部网移动用户在经身份认证后可访问指定的内部网主机 身份验证 遵照国标建设安全的网络 数据库安全保护对数据库安全的保护主要应考虑以下几条原则应有明确的数据库存取授权策略重要信息在数据库中应有安全保密和验证措施 遵照国标建设安全的网络 服务器安全保护服务器安全应满足以下四条原则不同重要程度的应用应在不同的服务器上实现重要服务器必须有合理的访问控制和身份认证措施保护 并记录访问日志服务器的安全措施尽量与应用无关 以便升级和维护重要的应用应采取安全措施保障信息的机密性和完整性 遵照国标建设安全的网络 客户端安全客户端的安全主要是要求能配合服务器的安全措施 提供以下功能 身份认证 加 解密 数字签名 信息完整性验证 客户端安全 遵照国标建设安全的网络 安全的局域网系统应具备以下几个方面周密完善的网络管理策略网络密钥的有效管理身份以及信息的严格验证通信信息的认真加密网络的严格访问控制先进的鉴别技术详细全面的安全审计 风险评估 组织实现信息安全的必要的 重要的步骤 风险评估的目的 了解组织的安全现状 分析组织的安全需求 建立信息安全管理体系的要求 制订安全策略和实施安防措施的依据 风险 遭受损害或损失的可能性 安全风险 是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性 信息安全风险 是指信息资产的机密性 完整性和可用性遭到破坏的可能性 信息安全风险只考虑那些对组织有负面影响的事件 风险的要素 风险的四个要素 资产及其价值威胁脆弱性现有的和计划的控制措施 资产是任何对组织有价值的东西信息也是一种资产 对组织具有价值 资产 电子信息资产纸介资产软件资产物理资产人员服务性资产公司形象和名誉 威胁 威胁是可能导致信息安全事故和组织信息资产损失的活动威胁是利用脆弱性来造成后果 威胁举例 黑客入侵和攻击病毒和其他恶意程序软硬件故障人为误操作自然灾害如 地震 火灾 爆炸等 盗窃网络监听供电故障未授权访问 脆弱性 是与信息资产有关的弱点或安全隐患 脆弱性本身并不对资产构成危害 但是在一定条件得到满足时 脆弱性会被威胁加以利用来对信息资产造成危害 脆弱性举例 技术性的和非技术性的 系统漏洞程序Bug后门系统没有进行安全配置缺少审计 物理环境不安全缺乏安全意识缺乏专业人员不良习惯 风险评估方法概述 风险评估定义 组织确认自己所拥有的资产 分析资产所面对的威胁 所具有的脆弱性 损害发生的可能性 损害的程度等 并最终得出资产所面临的风险等级的过程 识别资产及其价值确定威胁 Threat 识别脆弱性 Vulnerability 实施控制方法 原则 不管使用哪一种风险评估的方法或工具 其内容都应包括以下四个要素 要考虑影响和可能性在决定所需控制方法时 对既有控制方法的评估是必须的控制方法只能将风险降低到可接受的程度百分之百的安全 并不是安全管理的目的 安全是动态的 不是一劳永逸的 风险评估时需要考虑威胁 脆弱性和风险的变化趋势 注意 资产价值可能胁迫资产的威胁和其发生的可能性因脆弱点被威胁利用而造成冲击的容易度目前或计划中可能降低脆弱点 威胁和冲击严重性的保护措施 换句话说 风险是以下事项的作用 定量分析定性分析综合方法 风险评估的途径 定量分析 对后果和可能性进行分析采用量化的数值描述后果 估计出可能损失的金额 和可能性 概率或频率 分析的有效性取决于所用的数值精确度和完整性 定性分析适用于 初始的筛选活动 以鉴定出需要更仔细分析的风险风险程度和经济上的考虑数据不足以进行定量分析的情况 定性分析 对后果和可能性进行分析采用文字形式或叙述性的数值范围描述风险的影响程度和可能性的大小 如高 中 低等 分析的有效性取决于所用的数值精确度和完整性 后果或影响的定性量度 示例 可能性的定性量度 示例 风险分析矩阵 风险程度 E 极度风险H 高风险M 中等风险L 低风险 E 极度风险 要求立即采取措施H 高风险 需要高级管理部门的注意M 中等风险 必须规定管理责任L 低风险 用日常程序处理 风险的处理措施 示例 半定量分析 在半定量分析中 上述的那些定性数值范围均为已知值 每项说明所指的数字并不一定与后果或可能性的实际大小程度具有精确的关系 半定量分析的目的是为了得到比通常在定性分析中所得到的更为详细的风险程度 但并非要提出任何在定量分析中所得到的风险实际值 风险分析方法许多方法都会使用表格并结合主观和经验判断目前并没有使用所谓正确或错误的方法重要的是选择使用一个适合本组织的方法同一组织内 也可以根据不同等级的风险 运用不同的风险分析方法对信息安全的评估很难量化推荐使用风险评估工具因为工具具有评判的规范性和一致性CRAMM风险评估工具英国Insight公司基于BS7799标准开发的产品 网络安全的风险管理 风险管理风险评估安全工程再评估 PDCA循环 PDCA循环 Plan Do Check Act 计划 实施 检查 改进 又称 戴明环 PDCA循环是能使任何一项活动有效进行的工作程序 P 计划 方针和目标的确定以及活动计划的制定 D 执行 具体运作 实现计划中的内容 C 检查 总结执行计划的结果 分清哪些对了 哪些错了 明确效果 找出问题 A 改进 或处理 对总结检查的结果进行处理 成功的经验加以肯定 并予以标准化 或制定作业指导书 便于以后工作时遵循 对于失败的教训也要总结 以免重现 对于没有解决的问题 应提给下一个PDCA循环中去解决 风险管理体系介绍 ISO17799 信息安全管理体系AS NZS4360 风险管理标准GAO AIMD98 68 信息安全管理实施指南 ISO17799信息安全管理体系 ISO17799信息安全管理体系 是协助组织以 风险管理 为基础建立 信息安全管理体系 的国际标准 信息安全管理体系建立步骤 BS7799 2 AS NZS4360 1 建立环境2 识别风险3 分析风险4 评估和评价风险5 处理风险 AS NZS4360 建立风险管理系统的步骤 监控和审查信息交流和咨询 Australian NewZealandStandardforRiskManagement 1 建立环境建立在风险过程中将出现的策略 组织和风险管理的背景 应建立对风险进行评价的准则 并规定分析的结构 2 鉴别风险鉴定出会出现什么风险 为什么会出现和如何出现 作为进一步分析的基础 3 风险分析确定现有的控制 并根据在这些控制的环境中的后果和可能性对风险进行分析 这种分析应考虑到潜在后果的范围和这些后果发生的可能性有多大 可将后果和可能性结合起来得到一个估计的风险程度 4 评价风险将估计的风险程度与预先建立的标准进行比较 这样可将风险安等级排列 以便鉴别管理的优先顺序 如果所建立的风险程度很低 此时的风险可以列入可接受的范畴 而不需作处理 5 处理风险接受并监控低优先顺序的风险 对于其他风险 则建立并实施一个特定管理计划 其中包括考虑到资金的提供 6 监控和检查对于风险管理系统的运作情形以及可能影响其运行的那些变化进行监控和检查 7 信息交流和咨询在风险管理过程的每个阶段以及整个过程中 适时与内部和外部的风险承担者 Stakeholder 进行信息交流和咨询 GAO AIMD98 68信息安全管理实施指南 RiskManagementCycle风险管理循环 建立核心管理焦点 识别风险和确定安全需求 安全意识和知识培训 实施适合的安全策略和控制措施 监督并审查安全策略和措施三的有效性 信息与网络安全组件 网络的整体安全是由安全操作系统 应用系统 防火墙 网络监控 安全扫描 信息审计 通信加密 灾难恢复 网络反病毒等多个安全组件共同组成的 每一个单独的组件只能完成其中部分功能 而不能完成全部功能 防火墙 防火墙通常被比喻为网络安全的大门 用来鉴别什么样的数据包可以进出企业内部网 在应对黑客入侵方面 可以阻止基于IP包头的攻击和非信任地址的访问 但防火墙无法阻止和检测基于数据内容的黑客攻击和病毒入侵 同时也无法控制内部网络之间的违规行为 扫描器 扫描器可以说是入侵检测的一种 主要用来发现网络服务 网络设备和主机的漏洞 通过定期的检测与比较 发现入侵或违规行为留下的痕迹 当然 扫描器无法发现正在进行的入侵行为 而且它还有可能成为攻击者的工具 防毒软件 防毒软件是最为人熟悉的安全工具 可以检测 清除各种文件型病毒 宏病毒和邮件病毒等 在应对黑客入侵方面 它可以查杀特洛伊木马和蠕虫等病毒程序 但对于基于网络的攻击行为 如扫描 针对漏洞的攻击 却无能为力 安全审计系统 安全审计系统通过独立的 对网络行为和主机操作提供全面与忠实的记录 方便用户分析与审查事故原因 IDS 一 IDS的主要功能包括检测并分析用户在网络中的活动 识别已知的攻击行为 统计分析异常行为 核查系统配置和漏洞 评估系统关键资源和数据文件的完整性 管理操作系统日志 识别违反安全策略的用户活动等 IDS IDS 二 主机型入侵检测系统 HostIntrusionDetectionSystem HIDS 往往以系统日志 应用程序日志等作为数据源 当然也可以通过其他手段从所在的主机收集信息 并进行分析 HIDS主要针对其所在的系统进行非法行为的检测 IDS 三 网络型入侵检测系统 NetworkIntrusionDetectionSystem NIDS 的数据源来自网络上的数据包 一般地 用户可将某台主机网卡设定为混杂模式 以监听本网段内所有数据包 判断其是否合法 NIDS担负着监视整个网段的任务 IDS 四 HIDS的缺点必须为不同平台开发不同的应用程序 增加了网络系统运行负荷 而且所需安装的产品数量众多HIDS的优点其内在结构不受任何约束它可利用操作系统本身提供的功能 结合异常分析 更准确地报告攻击行为 IDS 五 NIDS的优点主要是使用简便 不会给运行关键业务的主机和网络增加任何负担 安全策略的制定与实施 安全策略是指在一个特定的环境里 为保证提供一定级别的安全保护所必须遵守的规则 该安全策略模型包括了建立安全环境的三个重要组成部分 即威严的法律 先进的技术 严格的管理 安全策略的制定与实施 安全策略的实施 一 重要的商务信息和软件的备份应当存储在受保护 限制访问且距离源地点足够远的地方 这样备份数据就能逃脱本地的灾害需要给网络外围设置打上最新的补丁 安全策略的实施 二 安装入侵检测系统并实施监视启动最小级别的系统事件日志 安全服务 机制与技术 安全服务的实现需要一定的安全机制予以支撑和规范 而安全机制离不开具体的安全技术 安全技术的应用就可以实现安全服务 安全服务 机制与技术 安全服务包括 数据机密性服务 访问控制服务 数据完整性服务 对象认证服务 防抵赖服务 安全服务 安全服务 机制与技术 安全机制包括 安全机制 加密机制 认证交换机制 数字签名机制 防业务流分析机制 路由控制机制 访问控制机制 安全服务 机制与技术 安全技术包括 安全技术 加密技术 防火墙技术 鉴别技术 病毒防治技术 审计监控技术 数字签名技术 安全工作目的 一 安全工作的目的就是为了在安全法律 法规 政策的支持与指导下 通过采用合适的安全技术与安全管理措施 完成以下任务使用访问控制机制 阻止非授权用户进入网络 即 进不来 从而保证网络系统的可用性使用授权机制 实现对用户的权限控制 即不该拿走的 拿不走 同时结合内容审计机制 实现对网络资源及信息的可控性 安全工作目的 二 使用加密机制 确保信息不暴漏给未授权的实体或进程 即 看不懂 从而实现信息的保密性使用数据完整性鉴别机制 保证只有得到允许的人才能修改数据 而其它人 改不了 从而确保信息的完整性使用审计 监控 防抵赖等安全机制 使得攻击者 破坏者 抵赖者 走不脱 并进一步对网络出现的安全问题提供调查依据和手段 实现信息安全的可审查性 小结 从概念角度了解了什么是信息安全 信息安全的标准化 管理和一些安全策略 高级TCP IP分析 1TCP IP协议栈2物理层的安全威胁3网络层的安全威胁4传输层的安全威胁5应用层的安全威胁6IPSec协议 TCP IP协议栈 TCP IP协议的起源和发展TCP IP协议集TCP IP的体系结构和特点VLSM和CIDR技术 协议 协议是为了在两台计算机之间交换数据而预先规定的标准 TCP IP并不是一个协议 而是许多协议 而TCP和IP只是其中两个基本协议而已以寄信为例 正确的地址 姓名 邮政编码以及正确的格式才可以让信寄到收信人手中 TCP IP协议起源和发展 在TCP IP协议成为工业标准之前 TCP IP协议经历了近12年的实际测试1980年 高研署在它的网络上首先采用TCP IP协议 TCP IP协议集 TCP IP 传输控制协议 网间协议 是一组网络通信协议 它规范了网络上的所有通信设备 尤其是一个主机与另一个主机之间的数据往来格式以及传送方式 描述的是计算机之间交换数据的过程 IPTCPUDP TCP IP体系结构和特点 ISO OSI网络的七层结构模型TCP IP网络的四层结构模型 OSI七层示意图 OSI参考模型从上到下共分为七层 最上层为用户面对的应用层任何一次两个用户之间的通信都需要经过这七层的数据转换 ISO OSI参考模型各层的功能 我们需要注意的是 OSI参考模型本身不是网络体系结构的全部内容 这是因为它并未描述用于各层的协议和服务 它仅仅告我们每一层应该做什么 它仅仅是一种网络教学模型 TCP IP网络的四层结构模型 OSI参考模型与TCP IP模型对比 TCP IP 理解TCP IP的三个关键点 1 TCP IP是一族把不同的物理网络联在一起构成网际网的协议 2 使用多层结构 该结构定义了每个协议的不同责任 3 封装与解封装 TCP IP层次结构图 TCP IP层次结构 一 TCP IP层次结构 二 TCP IP层次结构 三 VLSM和CIDR技术 IP地址VLSM可变长子网掩码CIDR无类别编址 IP地址 一 IP网络使用32位地址 通常由点分十进制表示如 202 112 14 1它主要由两部分组成一部分是用于标识所属网络的网络地址另一部分是用于标识给定网络上的某个特定的主机的主机地址 IP地址 二 有类地址的局限性 IPv4使用32位的地址 即在IPv4的地址空间中只有232 4 294 967 296 低于43亿 个地址可用IPv4的地址是按照网络的大小 所使用的IP地址数 来分类的 它的寻址方案使用 类 的概念 A B C三类IP地址的定义很容易理解 也很容易划分 但是在实际网络规划中 他们并不利于有效地分配有限的地址空间 子网 一 一般地 32的IP地址被分为两部分 即网络号和主机号为提高IP地址的使用效率 子网编址的思想是将主机号部分进一步划分为子网号和主机号 引入子网模式后 网络号部分加上子网号才能全局唯一地标识一个物理网络 子网 二 子网编制模式下的路由表条目变为 子网掩码 目的网络地址 下一路由器地址 可以用子网掩码的设置来区分不同的情况 使路由算法更为简单子网结构设子网掩码 子网掩码与目的地址相与 获得子网地址特定主机掩码32位为全 1 将32位地址全部截下缺省路由掩码为全 0 目的地址也为全 0 将报文直接送往缺省端口地址无子网结构 未划分子网 掩码中 1 的个数与网络号位数相同 可变长子网掩码 VLSM VariableLengthSubnetMask 可变长子网掩码 这是一种产生不同大小子网的网络分配机制 VLSM将允许给点到点的链路分配子网掩码255 255 255 252 而给Ethernet网络分配255 255 255 0 VLSM技术对高效分配IP地址 较少浪费 以及减少路由表大小都起到非常重要的作用 但是需要注意的是使用VLSM时 所采用的路由协议必须能够支持它 这些路由协议包括RIP2 OSPF EIGRP和BGP CIDR无类别编址 一 CIDR无类别编址 ClasslessInterDomainRouting VLSM技术可以在一定程度上避免IP的浪费 但不可避免的是随着网络的划分 路由表条目爆炸式增长 同时 A B类IP地址分配待尽 如何解决为一个组织分配连续的 超过254台主机的网络地址范围的问题 基本思想 取消地址的分类结构 取而代之的是允许以可变长分界的方式分配网络数 引入 网络前缀 无类别的意思是现在的选路决策是基于整个32位IP地址的掩码操作 而不管其IP地址是A类 B类还是C类 CIDR无类别编址 二 把许多C类地址合起来作B类地址分配 采用这种分配多个IP地址的方式 使其能够将路由表中的许多表项归并 summarization 成更少的数目 要使用这种归并 必须满足以下三种特性为进行选路要对多个IP地址进行归并时 这些IP地址必须具有相同的高位地址比特 路由表和选路算法必须扩展成根据32位IP地址和32位掩码做出选路决策的算法 必须扩展选路协议使其除了32位地址外 还要有32位掩码 OSPF和RIP 2都能够携带第4版BGP所提出的32位掩码 TCP IP协议栈 物理层的安全威胁 物理层介绍物理层的安全风险分析 物理层介绍 第一层称为物理层 PhysicalLayer 这一层负责传送比特流提供建立 维护和拆除物理链路所需的机械 电气 功能和规程特性通过传输介质进行数据流的物理传输 故障检测和物理层管理其面临的风险 物理设备的老化 破坏 干扰 以及网络窃听 物理层的安全风险分析 网络分段网络拓扑 网络分段 网络分段可分为物理分段和逻辑分段两种方式 物理分段通常是指将网络从物理层和数据链路层 ISO OSI模型中的第一层和第二层 上分为若干网段 各网段相互之间无法进行直接通讯目前 许多交换机都有一定的访问控制能力 可实现对网络的物理分段 网络拓扑 安全管理员必须了解他们保护的网络的所有布局 黑客最常用的攻击和渗透到网络中的 种方法是在公司内部主机上安装一个packetsniffer 最普通的网络拓扑结构是星型 总线型 环型 和复合型 网络层的安全威胁 网络层介绍网络层的安全威胁网络层的安全性网络层的安全防护 网络层介绍 网络层主要用于寻址和路由 它并不提供任何错误纠正和流控制的方法 网络层使用较高效的服务来传送数据报文 Internet协议 IP 07152331 版本号 IHL 服务类型 总长度 识别码 标志 片偏置位 寿命 协议 报头校验和 源地址 目的地址 选项 填空 网络层的安全威胁 IP欺骗Internet控制信息协议 ICMP IP欺骗 一 黑客经常利用一种叫做IP欺骗的技术 把源IP地址替换成 个错误的IP地址 接收主机不能判断源IP地址是不正确的使用IP欺骗的一种攻击很有名的一种是Smurf攻击Smurf攻击是 种拒绝服务攻击 IP欺骗 二 一个Smurf攻击向大量的远程主机发送一系列的ping请求命令 黑客把源IP地址换成想要攻击目标主机的IP地址 所有的远程计算机都响应这些ping请求 然后对目标地址进行回复而不是回复给攻击者的IP地址用 目标IP地址将被大量的ICMP包淹没而不能有效的工作防御 为了防止黑客利用你的网络攻击他人 关闭外部路由器或防火墙的广播地址特性 为防止被攻击 在防火墙上设置规则 丢弃掉ICMP包 iptables aINPUT picmp jDROP Internet控制信息协议 ICMP 当用户ping一台主机想看它是否运行时 用户端就正在产生了一条ICMP信息 远程主机将用它自己的ICMP信息对ping请求作出回应 这种过程在多数网络中不成问题 然而 ICMP信息能够被用于攻击远程网络或主机 网络层的安全协议 网络层安全协议的共同点 使用IP封装技术 即将纯文本的包加密 封在外层的IP报头里 用来对加密的包进行INTERNET上的路由选择 到达另一端 外层的IP报头被拆开 报文被解密 然后送到收报地点 Ipsec的主要目的是使需要安全措施的用户能够使用相应的加密安全体制 IPSEC IPAH提供IP包的真实性和完整性认证头指一段消息认证代码MAC MessageAuthenticationCode 加解密算法SHA 1 取代MD5IPESP封装安全有效负荷根据不同的应用级别 对整个IP包进行封装加密 或者只对ESP上层协议的数据 传输层 进行封装加密 加解密算法采用DES3 取代DES加解密涉及到相应的加解密密钥管理IKMP IPSEC采用OAKLEY作为ISAKMP的主要密钥管理协议 网络层的安全性 主要优点 透明性 也就是说 安全服务的提供不需要应用程序 其他通信层次和网络部件做任何改动主要缺点 网络层一般对属于不同进程和相应条例的包不作区别 对所有去往同一地址的包 它将按照同样的加密密钥和访问控制策略来处理 这可能导致提供不了所需的功能 也会导致性能下降 网络层的安全威胁 网络分段 网络安全扫描技术 入侵检测技术 VPN技术 加密技术 数字签名和认证技术 防火墙服务 VLAN的实现 网络层的安全防护 网络层的安全防护 网络分段VLAN的实施节约路由器的开支 保护VLAN内的资源防火墙保护脆弱服务控制对系统的访问集中的安全管理及策略执行记录和统计加密技术使系统的安全不依赖于数据路径的安全性 而是数据本身的加密加密技术两个层次 基于网络层或传输层 基于应用层 网络层的安全防护 认证技术认证技术主要解决网络通讯双方的身份认可方式 明文密码认证 常用在登录摘要认证md5基于PKI 公共密钥基础设施 的认证 结合了摘要算法 对称加密 不对称加密 数字签名技术 VPN技术替代专线技术 利用INTERNET 节约通讯成本 网络层的安全防护 传输层的安全威胁 传输层介绍传输层的安全性 传输层介绍 传输层控制主机间传输的数据流 传输层存在两个协议 传输控制协议 TCP 和用户数据报协议 UDP 传输层TCP和UDP TCP是一个面向连接的协议UDP是一个非面向连接的协议 传输控制协议 TCP 一 传输层协议 由上层协议接收任意长度的报文 并提供面向连接的传输服务TCP接收数据流 并分成段 然后将这些段送给IP 因IP为无连接的 所以TCP必须为每个段提供顺序同步 传输控制协议 TCP 二 TCP握手 用户数据报协议 UDP 传输层协议 为无确认的数据报服务 只是简单的接收和传输数据UDP比TCP传输数据快 端口 TCPUDP都使用端口的概念 利用端口 主机间的不同应用程序实现通讯 唯一地标志出INTERNET中的一个连接 一个连接 171 16 165 19 1250 11 1 2 3 80 传输层的安全性 传输层安全机制的缺点要对传输层IPC界面和应用程序两端都进行修改基于UDP的通信很难在传输层建立起安全机制来传输层安全机制的主要优点它提供基于进程对进程的 而不是主机对