自考《互联网及其应用》第七章 计算机网络.ppt

第七章计算机网络安全与管理技术 7 1计算机网络安全和防火墙技术 1 网络系统安全基础一 计算机安全基础计算机安全的定义 计算机系统要保护其硬件 数据不被偶然或故意的泄漏 更改和破坏 美国国防部公布了 桔皮书 可信计算机系统标准评估准则 桔皮书将计算安全由低到高分为四类七级 D1C1C2B1B2B3A1 D1级 计算机安全的最低一级 整个系统是不可信任的 硬件和操作系统很容易被侵袭 任何人都可以使用该计算机系统 主要有 MS Dos MS Windows3 x Windows95 Apple的System7 x C1级 自主安全保护级 系统要求硬件有一定的安全机制 用户在使用前必须登录到系统 并建立了访问许可权限机制 但用户直接访问操作系统的根 不能控制进入系统的用户的访问级别 主要有 早期UNIX XENIX Novell3 x C2级 受控存取保护级 引进了受控访环境 用户权限级别 进一步限制了用户执行某些系统指令 授权分级使系统管理员能够分用户分组 授予他们访问某些程序的权限或访问分级目录 数据访问为目录级 还采用了系统审计 跟踪所有安全事件及系统管理员的工作 主要有 UNIX系统 XENIX Novell3 x以上版本 WindowsNT B1级 标记安全保护级 对网络上每一对象都实施保护 支持多级安全 对象必须在访问控制下不允许拥有者自己改变所属资源的权限 B2级 结构化保护级 要求计算机系统中所有对象加标签 而且给工作站 终端和磁盘驱动器分配不同的安全级别 按照最小特权原则 任何人都不能享有操纵和管理计算机的全部权利 B3级 安全域级 要求用户工作站或终端通过可信任途径连接网络系统 必须采用硬件来保护安全系统的存储区 A1级 验证设计级 这是桔皮书中的最高安全级别 包括了以上各级的所有特性 还附加一个安全系统受监视的设计要求 合格的安全个体必须分析并通过这一设计 保证系统部件来源的安全 还规定了系统安全运送到现场安装所必须遵循的程序 二 网络安全控制措施1物理安全一是人为对网络的损害二是网络对使用者的危害2访问控制 口令网络安全的最外层防线就是网络用户的登陆 网络资源属主 属性和访问权限资源的属主体现了不同用户对网络资源的从属关系资源的属性表示了资源本身的存取特性 网络安全监视网络件事同称为 网管 他的作用主要是对整个网络的运行情况进行动态的监视并及时处理各种事件 审计和跟踪包括对网络资源的使用 网络故障 系统记账等方面的记录和分析 3传输安全 加密和数字签名网上加密分为三层 第一层位数据链路层加密 第二层是传输层的加密 第三层是应用层上的加密数字签名是数据的接收者用来证实数据的发送者确实无误的一种方法 主要是通过加密算法和证实协议而实现 目前通常采用的签名标准是DDS 数字签名主要的功能是 保证信息传输的完整性 发送者的身份认证 防止交易中的抵赖发生 防火墙 SSL协议SSL的目标是提供两个应用软件之间通信的保密性和可靠性 邮件安全一般使用加密于数字签名的技术来保证邮件的安全 2 防火墙一 防火墙的基本概念防火墙是两个网络之间执行访问 控制策略的系统 他在内部网络与外部网络之间设置障碍 以阻止外界对内部资源的非法访问 也可以防止内部对外部的不安全的访问 二 防火墙技术分类防火墙技术大体分为两类 网络层和应用层网络层技术根据针对网络层和传输层的原则对传输的信息进行过滤 网络层技术的一个范例就是包过滤技术 他在网络的出入口队通过的数据包进行过滤 只有满足条件的数据报才能允许通过 否则被抛弃 这样可以有效的防治恶意用户利用不安全的服务对内部网进行攻击 应用层技术控制对应用程序的访问 应用层防火墙也称为代理服务器 它能够代替网络用户完成特定的TCP IP功能 网络层防火墙和应用层防火墙的比较 课本163表7 2 三 防火墙应用系统1单一网络过滤2双宿主网关3主机过滤4子网过滤课本164 165图7 37 47 57 67 1 3 网络黑客与网络病毒一 网络黑客与入侵者黑客是指对于任何计算机操作系统的奥秘都有强烈兴趣的人入侵者是指怀着不良的企图 闯入甚至破坏远程机器系统完整性的人两者动机不同二 网络病毒 4 系统安全设计一 WindowsNT4Server安全特性WindowsNT4Server具备C2级安全性二 UNIX系统安全特性1 口令安全 etc passwd是存放用户的基本信息的口令文件 该口令文件的每一行都包含由6个冒号分隔的7个域 username passwd uid gid comments directory shellusername 是用户登陆使用的名字 passwd 是口令密文域 密文是加密过的口令 uid 系统用于唯一标识用户名的数字gid 表示用户所在默认组号 comments 描述用户的个人信息 directory 定义用户的初始工作目录 shell 就是指定用户登陆到系统后启动的外壳程序 2 文件许可权文件许可模型允许三种基本的不同类型的访问 读 写和执行 对每个文件而言 同样也存在着三种许可访问集 它们分别属于用户 组以及其它类型 3 目录许可在UNIX系统中 目录也是一个文件 用ls l列出时 目录文件的属性前面带一个d 目录许可也类似于文件许可 用ls列目录要有读许可 在目录中增删文件要有写许可 进入目录或将该目录作路径分量时要有执行许可 故要使用任一个文件 必须有该文件及找到该文件的路径上所有目录分量的相应许可 仅当要打开一个文件时 文件的许可才开始起作用 4 umask命令当最初登录到系统中时 umask命令确定了你创建文件的缺省模式 这一命令实际上和chmod命令正好相反 你的系统管理员必须要为你设置一个合理的umask值 以确保你创建的文件具有所希望的缺省权限 防止其他非同组用户对你的文件具有写权限 该命令的一般形式为 umasknnn其中nnn为umask置000 777 5 设置用户ID和同组用户ID许可Unix中UID是文件的所有者 GID 组ID 是文件的组 有时没有特权的用户需要完成需要超出他们权限的任务 例如密码程序 需要你改变密码并且需要修改 etc passwd文件中的密码域 然而 如果你直接访问这个文件 你会把其他所有人的密码都改变 为了解决这些问题 Unix允许程序在运行时采用另一个UID或GID 改变UID的程序是SUID程序 改变组ID的称为SGID 6 cp和mv命令7 su和newgrp命令su可让用户暂时变更登入的身份 变更时须输入所要变更的用户帐号与密码 Newgrp用于修改当前所处的组名 8 文件加密crypt程序用于加密一个文件 crypt程序从标准输入读文件 以用户提供的密钥用加密 解密 算法处理文件 并将结果写至标准输出 命令格式为 crypt 密钥 例 cryptSecretKey1cypherfile对文件加了密后不要忘记将明文文件删去 9 其它安全问题 7 1 5网络系统可靠性设计网络可靠性主要指系统的容错能力 既当网络系统突然发生故障时 系统能够继续工作既迅速恢复的能力一 系统容错与冗余设计1 软件容错容错系统有两套设备构成 一台作为主机 另一台最为备份机2 硬件容错3 容错存储4 数据备份5 容错电源 7 2网络管理 1 计算机网络管理功能网络管理任务分为 配置管理 性能管理 故障管理 计费管理 安全管理2 简单网络管理协议SNMP一 网络管理核心技术目前网络管理工具的核心主要由SNMP技术和RMON技术构成 1 简单网络管理协议SNMP简单网络管理模型SNMP是在应用层上进行网络设备间的管理 可以进行网络状态监视 网络参数设定 网络流量统计与分析 发现网络故障等 2 SNMP管理模型课本171图7 8网络管理站 NMC 是系统的核心 负责管理代理和MIB库 它以数据报表的形式发出和传送命令 从而达到控制代理的目的 它与任何代理之间都不存在逻辑链路关系 因而网络系统负载很低 代理 Agent 收集被管理设备的各种信息并响应网络中SNMP服务器的要求 把它们传送到中心的SNMP服务器的MIB数据库中 MIB 消息信息库 负责存储设备的信息 它是SNMP分布式数据库的分支数据库 SNMP定义了四种操作 get getnext set trap 二 SNMP的弱点 没有伸缩性 在大型网络中 轮讯会产生巨大的网络管理通信量 因而导致通信拥挤的情况发生 他将收集数据的负担加在网络管理控制台上 在管理几个网段时也许能轻松的收集网络信息 当他们监控许多网段时 就非常困难了7 2 3 远程监控RMONRMONMIB的目的在于使SNMP更有效更积极主动的监控远程设备 RMONMIB是由一组统计数据 分析数据和诊断数据构成 利用许多供应商生产的标准工具都可以显示出这些数据 因而它具有独立于供应商的远程网络分析的功能 RMON分为嵌入式和分布式两种 4 常用网络管理软件集成 局域网网管主要用于小规模的局域网 分布式网管平台用于中大规模网络管理一 HPOpenViewHPOpenView是第一个综合的 开