第七章 计算机网络安全与管理基础.ppt

第七章计算机网络安全与管理基础 网络安全的定义 计算机网络安全是指网络系统的硬件 软件及其系统中的数据受到保护 不受偶然的或者恶意的原因而遭到破坏 更改 泄露 系统连续可靠正常地运行 网络系统连续可靠地正常运行网络服务不中断 从安全主体的角度来分 网络安全包括两个方面的内容 一个是网络设备安全 一个是网络信息 数据 安全 网络设备安全是指人为的或自然的因素导致网络设备被破坏 进而导致网络系统瘫痪和数据流失 网络信息安全一般是指网络信息的机密性 完整性 可用性及真实性 网络信息的机密性是指网络信息的内容不会被未授权的用户所知 网络信息的完整性是指信息在存储或传输时不被修改或破坏 不出现信息包的丢失和乱序等 而且不能被未授权的用户修改 信息的完整性是信息安全的基本要求 破坏信息的完整性是影响信息安全的常用手段 当前 运行于互联网上的协议 如TCP IP等 能够确保信息在数据包级别的完整性 但却无法制止未授权的用户对信息包内部的修改 网络信息的可用性包括对网络静态信息 存储于网络节点上信息资源 的可操作性及对动态信息 传播于网络节点间的信息 的可见性 网络信息的真实性是指信息的可信度 主要是指对信息所有者或发送者的身份的确认 网络安全策略 物理安全策略 物理安全策略的目的是保护计算机系统 网络服务器和打印机等硬件实体和通信链路免受自然灾害 人为破坏和搭线攻击 这种安全策略需要验证用户的身份和使用权限 防止用户越权操作 确保计算机系统有一个良好的电磁兼容工作环境 建立完备的安全管理制度 防止非法进入计算机控制室和各种偷窃 破坏活动的发生 访问控制策略 访问控制策略是网络安全防范和保护的主要策略 包括入网访问控制 网络的权限控制 目录级安全控制 属性安全控制 网络服务器安全控制 网络监测和锁定控制 网络端口和节点的安全控制 以及防火墙控制等 主要任务是保证网络资源不被非法使用和非正常访问 它也是维护网络系统安全 保护网络资源的重要手段 各种安全策略必须相互配合才能真正起到保护作用 但访问控制可以说是保证网络安全最重要的核心策略之一 信息加密策略 信息加密策略的目的是保护网络中的数据 文件 密码和控制信息 保护网上传输的数据 网络加密常用的方法有链路加密 端点加密和节点加密3种 链路加密的目的是保护网络节点之间的链路信息安全 端点加密的目的是对源端用户到目的端用户的数据提供保护 节点加密的目的是对源节点到目的节点之间的传输链路提供保护 信息加密过程是由形形色色的加密算法来具体实施 它以很小的代价提供很大的安全保护 用户可根据网络情况酌情选择上述加密方式 网络安全管理策略 在网络安全中 除了采用上述技术措施之外 加强网络的安全管理 制定有关规章制度 对于确保网络安全可靠地运行将起到十分有效的作用 网络的安全管理策略包括 确定安全管理等级和安全管理范围 制订有关网络操作使用规程和人员出入机房管理制度 制定网络系统的维护制度和应急措施等 网络安全的特征 保密性 信息不泄露给非授权的用户 实体或过程 或供其利用的特性 完整性 数据未经授权不能进行改变的特性 即信息在存储或传输过程中保持不被修改 不被破坏和丢失的特性 可用性 可被授权实体访问并按需求使用的特性 即当需要时应能存取所需的信息 网络环境下拒绝服务 破坏网络和有关系统的正常运行等都属于对可用性的攻击 可控性 对信息的传播及内容具有控制能力 网络安全防范措施 选择性能优良的服务器 服务器是网络的核心 它的故障意味着整个网络的瘫痪 因此 要求的服务应具有 容错能力 带电热插拔技术 智能I O技术 以及具有良好的扩展性 采用服务器备份 服务器备份方式分为冷备份与热备份二种 热备份方式由于实时性好 可以保证数据的完整性和连续性 得以广泛采用的一种备份方式 对重要网络设备 通信线路备份 通信故障就意味着正常工作无法进行 所以 对于交换机 路由器以及通信线路最好都要有相应的备份措施 网络安全的威胁 非授权访问 这主要的是指对网络设备以及信息资源进行非正常使用或超越权限使用 假冒合法用户 主要指利用各种假冒或欺骗的手段非法获得合法用户的使用权 以达到占用合法用户资源的目的 数据完整性受破坏 干扰系统的正常运行 改变系统正常运行的方向 以及延时系统的响应时间 病毒 通信线路被窃听等 威胁网络安全的因素 计算机系统的脆弱性协议安全的脆弱性数据库管理系统安全的脆弱性人为的因素各种外部威胁 计算机犯罪的定义 一是政法大学信息技术立法课题组从学术角度所作的定义 即 与计算机相关的危害社会并应当处以刑罚的行为 一是我们提出的定义 即 以计算机为工具或以计算机资产为对象实施的犯罪行为 这里所说的工具是指计算机信息系统 包括大 守 小 微型系统 也包括在犯罪进程中计算机技术知识所起的作用和非技术知识的犯罪行为 立法通常定义计算机犯罪为通过专门的计算机知识来完成的犯罪行为 网络犯罪分子进行网络攻击的主要途径 数据欺骗 非法篡改数据或输入假数据 特洛伊木马术 非法装入秘密指令或程序 由计算机执行犯罪活动 香肠术 利用计算机从金融银行信息系统上一点点窃取存款 如窃取各户头上的利息尾数 积少成多 逻辑炸弹 输入犯罪指令 以便在指定的时间或条件下抹除数据文卷 或者破坏系统功能 网络犯罪分子进行网络攻击的主要途径 2 线路截收 从系统通信线路上截取信息 陷阱术 利用程序中用于调试或修改 增加程序功能而特设的断点 插入犯罪指令或在硬件中相应的地方增设某种供犯罪用的装置 总之是利用软件和硬件的某些断点或接口插入犯罪指令或装置 寄生术 用某种方式紧跟有特权的用户打入系统 或者在系统中装入 寄生虫 超级冲杀 用共享程序突破系统防护 进行非法存取或破坏数据及系统功能 异步攻击 将犯罪指令混杂在正常作业程序中 以获取数据文件 网络犯罪分子进行网络攻击的主要途径 3 电脑病毒 将具有破坏系统功能和系统服务与破坏或抹除数据文卷的犯罪程序装入系统某个功能程序中 让系统在运行期间将犯罪程序自动拷贝给其它系统 这就好像传染性病毒一样四处蔓延 黑客入侵 搭线窃听或线路干扰 将先进的电子设备连入网络 利用专门的工具软件对网络传输的数据包进行分析 获取有用信息 窃取 入侵者利用信任关系 冒充一方与另一方连网 以窃取信息 会话劫夺 入侵者首先在网络上窥探现有的会话 发现有攻击价值的会话后 便将参与会话的一方截断 并顶替被截断方继续与另一方连接 以获取信息 利用操作系统漏洞 任何操作系统都有不可避免的漏洞存在 网络犯罪分子利用操作系统本身的漏洞 对其进行攻击 数据加密标准 数据加密技术主要分为数据传输加密和数据存储加密 数据传输加密技术主要是对传输中的数据流进行加密 常用的有链路加密 节点加密和端到端加密三种方式 链路加密 是传输数据仅在物理层前的数据链路层进行加密 不考虑信源和信宿 它用于保护通信节点间的数据 接收方是传送路径上的各台节点机 信息在每台节点机内都要被解密和再加密 依次进行 直至到达目的地 节点加密方法 是在节点处采用一个与节点机相连的密码装置 密文在该装置中被解密并被重新加密 明文不通过节点机 避免了链路加密节点处易受攻击的缺点 端到端加密是为数据从一端到另一端提供的加密方式 链路加密对用户来说比较容易 使用的密钥较少 而端到端加密比较灵活 对用户可见 在对链路加密中各节点安全状况不放心的情况下也可使用端到端加密方式 公开密钥密码技术 数据加密技术通常使用一组密码与被加密的数据进行混合运算 未加密的数据称为明文 将明文映射成不可读 但仍不失其原信息的密文的过程称为加密 而相反过程即为解密 对数据信息的加解密 密钥是安全的关键 通常有两种方法 即私人密钥法和公用密钥法 私人密钥法也称对称加密法 加密和解密信息使用相同的密钥 70年代中期 出现了公共密钥技术 又称非对称加密法 通过公共密钥加密 每个人可有一对密钥 一个是公共的 一个是私人的 每人的公共密钥将对外发行 而私人密钥被秘密保管 当A想要送给B一个秘密报文时 他就使用B的公共密钥将它加密发送 当B得到该报文时 他用自己的私人密钥进行解密 这样 发送者和接收者在进行秘密通信时 就不必非得共同拥有秘密密钥 公开密钥密码技术 口令认证 口令认证的基本思想是每一个用户都有一个标识和口令 当用户想进入系统时 他必须先提供其标识和口令 系统就可以检验用户的合法性 因此口令认证具有价格低廉 容易实现且用户界面友好的特点 口令认证被人们称为 知道即可 的认证方法 其安全性较低 现在很多地方开始转向一种名为 拿到方可 的认证方法 即用户必须使用智能卡之类的设备才能认证自己 数字签名 数字签名技术以加密技术为基础 其核心是采用加密技术的加 解密算法体制来实现对报文的数字签名 数字签名能够实现以下功能 1 收方能够证实发方的真实身份 2 发方事后不能否认所发送过的报文 3 收方或非法者不能伪造 篡改报文 实现数字签名的方法较多 常用的数字签名技术有两种 私人密钥的数字签名和公用密钥的数字签名 认证中心 数字证书就是网络通信中标志通信各方身份信息的一系列数据 其作用类似于现实生活中的身份证 它是由一个权威机构发行的 人们可以在交往中用它来识别对方的身份 数字证书的格式一般采用X 509国际标准 使用数字证书可以建立起一套严密的身份认证系统 从而保证 信息除发送方和接收方外不被其他人窃取 信息在传输过程中不被篡改 发送方能够通过数字证书来确认接收方的身份 发送方对于自己发送的信息不能抵赖 认证中心就是一个负责发放和管理数字证书的权威机构 对于一个大型的应用环境 认证中心往往采用 种多层次的分级结构 各级的认证中心类似于各级行政机关 上级认证中心负责签发和管理下级认证中心的证书 最下一级的认证中心直接面向最终用户 数据加解密的典型工具 加密狗 是为软件开发商提供的一种智能型的软件加密工具 它包含一个安装在计算机并行口或USB口上的硬件 及一套适用于各种语言的接口软件和工具软件 加密狗基于硬件加密技术 其目的是通过对软件与数据的加密防止知识产权被非法使用 加密狗工作原理是在被保护的软件与加密锁之间形成一一对映的关系 被保护的软件在运行的过程当中不断通过其API函数向加密锁发指令来判断加密锁是否存在于 软件离开保护锁不能运行 光盘加密大师是一款光盘加密制作工具 可以用它对光盘镜像文件 ISO 进行可视化修改 将光盘镜像文件中的目录和文件特别隐藏 将普通文件变为超大文件 将普通目录变为文件目录 它可以修改多种格式的ISO文件系统 轻松制作自己的个性化加密光盘 Winzip与WinRAR 两个通用的压缩工具 可以在压缩文件的过程中 设置加密的密码 是小巧简单的数据加密工具 Office自带的加密 在微软的office中 都带有安全工具 通过 工具 选项 安全性 可以设置打开与修改文档的密码 解密工具 针对不同的加密工具 有相应的解密软件 例如针对不同的加密狗 有一系列相应的破解软件 俗称打狗棒 针对加密光盘有超级加密光盘破解器等工具 针对winzip有ZipKey等工具 针对WinRAR的密码破解工具AdvancedRARPasswordRecovery 针对Office的AOPR等 病毒的定义 计算机病毒 是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据 影响计算机使用 并能自我复制的一组计算机指令或者程序代码 此定义具有法律性 权威性 病毒的工作原理 病毒是一个程序 一段人为编制的计算机程序代码 它通过想办法在正常程序运行之前运行 并处于特权级状态 这段程序代码一旦进入计算机并得以执行 对计算机的某些资源进行监视 它会搜寻其他符合其传染条件的程序或存储介质 确定目标后再将自身代码插入其中 达到自我繁殖的目的 只要一台计算机染毒 如不及时处理 那么病毒会在这台机子上迅速扩散 其中的大量文件 一般是可执行文件 会被感染 而被感染的文件又成了新的传染源 再与其他机器进行数据交换或通过网络接触 病毒会继续进行传染 一般正常的程序是由用户调用 再由系统分配资源 完成用户交给的任务 其目的对用户是可见的 透明的 而病毒具有正常程序的一切特性 它隐藏在正常程序中 当用户调用正常程序时窃取到系统的控制权 先于正常程序执行 病毒的动作 目的对用户时未知的 是未经用户允许的 病毒一般是具有很高编程技巧 短小精悍的程序 通常附在正常程序中或磁盘较隐蔽的地方 也有个别的以隐含文件形式出现 目的是不让用户发现它的存在 病毒的分类 按传染方式分为 引导型病毒 文件型病毒 混合型病毒 宏病毒 脚本病毒 文件型病毒一般只传染磁盘上的可执行文件 COM EXE 混合型病毒兼有以上两种病毒的特点 既染引导区又染文件 因此扩大了这种病毒的传染途径 宏病毒是一种寄存在文档或模板的宏中的计算机病毒 脚本病毒是使用VBScript或者JavaScript脚本语言编写而成 可以在Winword 网页 电子邮件中 网页病毒是脚本病毒的一种 使用一些SCRIPT语言编写的一些恶意代码利用IE的漏洞来实现病毒植入 当用户登录某些含有网页病毒的网站时 网页病毒便被悄悄激活 这些病毒一旦激活 可以利用系统的一些资源进行破坏 轻则修改用户的注册表 使用户的首页 浏览器标题改变 重则可以关闭系统的很多功能 装上木马 染上病毒 使用户无法正常使用计算机系统 严重者则可以将用户的系统进行格式化 电子邮件病毒是脚本病毒的另外一种表现形式 病毒通常是把自己作为附件或者做成带脚本的HTML 发送给被攻击者 病毒检测技术 病毒码扫描法加总比对法 Check sum 人工智能陷阱软件模拟扫描法VICE VirusInstructionCodeEmulation 先知扫描法即时I O扫描 RealtimeI OScan 网络黑客 黑客是那些检查网络系统完整性和完全性的人 他们通常具有硬件和软件的高级知识 并有能力通过创新的方法剖析系统 黑客 能使更多的网络趋于完善和安全 他们以保护网络为目的 而以不正当侵入为手段找出网络漏洞 入侵者只不过是那些利用网络漏洞破坏网络的人 他们往往做一些重复的工作 如用暴力法破解口令 与黑客不同的是他们以破坏为目的 这些群体称为 骇客 网络黑客攻击手段 获取口令放置特洛伊木马程序WWW的欺骗技术电子邮件攻击通过一个节点来攻击其他节点网络监听寻找系统漏洞利用账号进行攻击偷取特权 黑客攻击防范措施 经常做Telnet Ftp等需要传送口令的重要机密信息应用的主机应该单独设立一个网段 以避免某一台个人机被攻破 被攻击者装上sniffer 造成整个网段通信全部暴露 有条件的情况下 重要主机装在交换机上 这样可以避免sniffer偷听密码 专用主机只开专用功能 如运行网管 数据库重要进程的主机上不应该运行如Sendmail这种bug比较多的程序 网管网段路由器中的访问控制应该限制在最小限度 研究清楚各进程必需的进程端口号 关闭不必要的端口 对用户开放的各个主机的日志文件全部定向到一个服务器上 集中管理 该服务器可以由一台拥有大容量存贮设备的Unix或NT主机承当 定期检查备份日志主机上的数据 网管不得访问Internet 并建议设立专门机器使用ftp或WWW下载工具和资料 黑客攻击防范措施 2 提供电子邮件 WWW DNS的主机不安装任何开发工具 避免攻击者编译攻击程序 网络配置原则是 用户权限最小化 例如关闭不必要或者不了解的网络服务 不用电子邮件寄送密码 下载安装最新的操作系统及其它应用软件的安全和升级补丁 安装几种必要的安全加强工具 限制对主机的访问 加强日志记录 对系统进行完整性检查 定期检查用户的脆弱口令 并通知用户尽快修改 重要用户的口令应该定期修改 不长于三个月 不同主机使用不同的口令 黑客攻击防范措施 3 期检查系统日志文件 在备份设备上及时备份 制定完整的系统备份计划 并严格实施 定期检查关键配置文件 最长不超过一个月 制定详尽的入侵应急措施以及汇报制度 发现入侵迹象 立即打开进程记录功能 同时保存内存中的进程列表以及网络连接状态 保护当前的重要日志文件 有条件的话 立即打开网段上另外一台主机监听网络流量 尽力定位入侵者的位置 如有必要 断开网络连接 在服务主机不能继续服务的情况下 应该有能力从备份磁带中恢复服务到备份主机上 杀毒的基本原理 目前的大多数杀病毒软件采用的方法主要是特征码查毒方案与人工解毒并行 亦即在查病毒时采用特征码查毒 在杀病毒时采用人工编制解毒代码 如特征码技术 它是基于对已知病毒分析 查解的反病毒技术 杀毒软件简介 瑞星金山毒霸江民杀毒卡巴斯基诺顿 防火墙的工作原理 计算机网络防火墙是设置在被保护网络和外部网络之间的一道屏障 以防止发生不可预测的 潜在破坏性的侵入 如黑客供给 病毒破坏 资源被盗用或文件被篡改等 它可以通过监测 限制 更改跨越防火墙的数据流 尽可能地对外部屏蔽网络内部的信息 结构和运行状况 以此来实现网络的安全保护 防火墙的类型 数据包过滤防火墙应用级网关代理服务器防火墙混合型防火墙 防火墙的实现方式 分组过滤路由器双穴防范网关过滤主机网关过滤子网防火墙吊带式防火墙 防火墙软件 天网防火墙瑞星个人防火墙金山网镖 计算机网络管理功能 1 故障管理 FaultManagement 2 配置管理 ConfigurationManagement 3 计费管理 AccountingManagement 4 性能管理 PerformanceManagement 5 安全管理 SecurityManagement 网络管理体系结构 用于定义网络管理系统的结构及系统成员间相互关系的一套规则 根据网络管理体系结构的定义可知 网络管理体系结构需要研究以下的问题 研究单个网管系统内部的结构及其成员间的关系 研究多个网管系统如何连接构成管理网络以管理复杂的网络 网络管理协议 简单网络管理协议SNMP SimpleNet workManagementProtocol 公共管理信息服务和公共管理信息协议CMIS CMIP CoommonManagementInformationSever CommonMaagementInformationProtocol SNMP SNMP协议的工作机制非常简单 主要通过各种不同类型的消息 即PDU 协议数据单位 实现网络信息的交换 PDU实际上就是一种变量对象 其中每一个变量都是由标题和变量值两部分组成 SNMP主要使用5种类型的PDU对网络实施监控 两种用于读取终端信息 两种可以设置终端数据 最后一种被用来监视各种终端事件 如终端的启动和关闭等 SNMP协议的优点 设计简单 既不需要复杂的实现过程 也不会占用太多的网络资源 非常便于使用 一般来说 SNMP协议所使用的各种变量主要包含以下信息 变量标题 变量数据类型 如整数 字串等 变量是否具有信息读取或读写功能 变量值 使用广泛 几乎所有的网络管理人员都使用简单的SNMP来完成工作操作 这就促使各大网络硬件产品商在设计和生产网桥 路由器等网络设备时都加入了对SNMP协议的支持 良好的可扩展性 因为协议本身非常简单 所以对协议的任何升级或扩展也非常方便 从而能够满足今后网络的发展需求 SNMP协议的缺点 SNMP协议存在一些安全漏洞 网络入侵者很容易获取正在通过网络传递的各种信息 设置可以关闭某些终端 对此 SNMP提出了自己的解决方案 在新版本SNMPv2中增加了一些安全机制 可以有效的解决以下几种安全性问题 数据的保密性 可以防止网络入侵者获取网络信息 验证 可以防止网络入侵者通过网络发送虚假数据 访问控制 限制不同用户可以使用的变量类型 从而避免由于单个用户的错误操作所引发的网络崩溃 SNMP太过简单而无法处理各种细节信息 无法满足当今日益膨胀的网络的发展需要 同样 SNMPv2对这一问题也进行了改进 新版本的协议允许使用更多 更加详细的变量规范 并且加入了两种新的PDU可以对方便数据读取的表数据结构对象进行管理和控制 事实上 SNMPv2中融入了如此多的新功能 以至使协议规范从最初的36页猛增到416页 也有人认为SNMPv2已经丧失了原先的简单性 但是从另一方面来说 对SNMP的改造也是必需的 在网络飞速发展了几十年之后 SNMP必须能够适应新时代的网络要求 CMIP CMIP在设计上以SNMP为基础 对SNMP的缺陷进行了改进 是一种更加复杂 更加详细的网络管理协议 CMIP同样使用PDU变量对网络进行监控 但是相对于SNMP所具有的5种不同类型的PDU CMIP进行了扩充 一共包含11种PDU CMIP协议所使用的变量是一种非常复杂的数据结构 具有许多不同的属性 其中包括 变量属性 表示变量的各种特征 如数据类型 是否可写等 变量行为 变量可以触发的行为类型 提示 变量可以在特定事件发生时产生事件报告 例如 当有终端关闭时就会触发变量提示事件 CMIP的特点 协议所使用的变量不仅可以象SNMP那样在网络管理系统和终端之间传递信息 还可以被用来执行各种在SNMP中不可能实现的任务 例如 如果网络上的一台终端在预先设定的时间内无法访问文件服务器 CMIP就可以及时向有关人员发出事件提示 从而避免了整个过程中的人工干预 因此 CMIP可以说是一种更加有效的网络管理系统 可以大大简化用户对网络的人工监控 解决了SNMP协议中所存在的许多问题 例如 CMIP内置了安全管理设备 支持验证 访问控制和安全日志等安全防范措施 从而使CMIP协议本身成为一种安全的系统 不必再象SNMP那样需要进行安全升级 CMIP的不足在于 CMIP协议所占用的网络系统资源相当于SNMP的十倍 也就是说 如果不进行大规模的改造 很少有网络系统能够全面的支持CMIP SNMP 简单网络管理协议 SNMP 是最早提出的网络管理协议之一 它一推出就得到了广泛的应用和支持 特别是很快得到了数百家厂商的支持 其中包括IBM HP SUN等大公司和厂商 目前SNMP已成为网络管理领域中事实上的工业标准 并被广泛支持和应用 大多数网络管理系统和平台都是基于SNMP的 SNMP的前身是简单网关监控协议 SGMP 用来对通信线路进行管理 SNMP的体系结构 保持管理代理 agent 的软件成本尽可能低 最大限度地保持远程管理的功能 以便充分利用Internet的网络资源 体系结构必须有扩充的余地 保持SNMP的独立性 不依赖于具体的计算机 网关和网络传输协议 在最近的改进中 又加入了保证SNMP体系本身安全性的目标