电子政务网络和信息安全

,网络安全和管理,晓庄学院网络中心闵宇锋Mail:minyf,1,2,当前网络安全现状当前网络安全热点话题大规模业务网络安全系统建设网络管理,提纲,1,3,当前网络安全现状当前网络安全热点话题大规模业务网络安全系统建设网络管理,1,4,复杂程度,Internet技术的飞速增长,时间,1,5,网络发展现状,不断增加的新应用不断加入的网络互联网的广泛应用人员安全意识不足,1,6,黑客的发展趋势,1,7,CERT的报告,报告的攻击事件的发展趋势：（年增长率100%左右）,系统漏洞的发展趋势：（年增长率超过100%左右）,1,8,网络存在的安全威胁,网络,内部、外部泄密,拒绝服务攻击,逻辑炸弹,特洛伊木马,黑客攻击,计算机病毒,信息丢失、篡改、销毁,后门、隐蔽通道,蠕虫,1,9,造成安全威胁的主要根源,网络建设之初忽略了安全问题；仅仅建立了物理安全机制；TCP/IP协议族软件本身缺乏安全性；操作系统本身及其配置的安全性；安全产品配置的安全性；来自内部网用户的安全威胁；缺乏有效的手段监视、评估网络的安全性；电子邮件病毒、Web页面中存在恶意的Java/ActiveX控件；应用服务的访问控制、安全设计存在漏洞。,1,10,网络信息安全的发展阶段,三个阶段：通信保密阶段：以密码学研究为主计算机系统安全阶段：以单机操作系统安全研究为主网络信息系统安全阶段：开始进行信息安全体系研究,1,11,通信保密阶段40年代70年代,重点是通过密码技术解决通信保密问题，保证数据的保密性与完整性主要安全威胁是搭线窃听、密码学分析主要保护措施是加密重要标志1949年Shannon发表的保密通信的信息理论1977年美国国家标准局公布的数据加密标准（DES）1976年由Diffie与Hellman在“NewDirectionsinCryptography”一文中提出了公钥密码体制,1,12,计算机系统安全阶段7080年代,重点是确保计算机系统中硬件、软件及正在处理、存储、传输信息的机密性、完整性和可控性主要安全威胁扩展到非法访问、恶意代码、脆弱口令等主要保护措施是安全操作系统设计技术（TCB）主要标志是1983年美国国防部公布的可信计算机系统评估准则（TCSEC）将操作系统的安全级别分为四类七个级别（D、C1、C2、B1、B2、B3、A1），后补充TNI和TDI,1,13,网络信息系统安全阶段90年代以来,重点需要保护信息，确保信息在存储、处理、传输过程中及信息系统不被破坏，确保合法用户的服务和限制非授权用户的服务，以及必要的防御攻击的措施。强调信息的保密性、完整性、可控性、可用性主要安全威胁发展到网络入侵、病毒破坏、信息对抗的攻击等主要保护措施包括防火墙、防病毒软件、漏洞扫描、入侵检测、PKI、VPN主要标志是提出了新的安全评估准则CC（ISO15408）、IPv6安全性设计,1,14,网络信息安全的含义,网络信息安全网络系统的硬件、软件及其系统中的信息受到保护保护在通信网络中传输、交换和存储的信息的机密性、完整信和真实性对信息的传播及内容具有控制能力不受偶然的或者恶意的原因而遭到破坏、更改、泄露系统连续可靠的运行网络服务不中断,1,15,用户（企业、个人）的角度,涉及个人隐私或商业利益的信息机密性、完整性、真实性避免其他人或对手的损害和侵犯窃听、冒充、篡改、抵赖不受其他用户的非法访问非授权访问、破坏,1,16,网络运行和管理者,对本地网络信息的访问、读写等操作受到保护和控制避免出现“后门”、病毒、非法存取、拒绝服务、网络资源非法专用、非法控制制止和防御网络“黑客”的攻击,1,17,安全保密部门,非法的、有害的或涉及国家机密的信息进行过滤和防堵避免通过网络泄漏避免信息的泄密对社会的危害、对国家造成巨大的损失,1,18,网络和信息安全问题综述,系统安全,信息安全,文化安全,1,19,系统安全（狭义的网络安全）,作用点：对计算机网络与计算机系统可用性的威胁，主要表现在访问控制方面。外显行为：网络被阻塞，黑客行为，计算机病毒等，使得依赖于信息系统的管理或控制体系陷于瘫痪。防范措施：防止入侵，检测入侵，抵抗入侵，系统恢复。,1,20,系统安全（狭义的网络安全）,因特网,网络对国民经济的影响在加强,安全漏洞危害在增大,信息对抗的威胁在增加,研究安全漏洞以防之,因特网,电力,交通,通讯,控制,广播,工业,金融,医疗,研究攻防技术以阻之,1,21,信息安全（狭义的）,作用点：对所处理的信息机密性与完整性的威胁，主要表现在加密方面。外显行为：窃取信息，篡改信息，冒充信息，信息抵赖。防范措施：加密，认证，数字签名，完整性技术（VPN),1,22,信息窃取,信息传递,信息冒充,信息篡改,信息抵赖,信息机密性,加密技术,完整性技术,认证技术,数字签名,1,23,文化安全（内容安全）,作用点：有害信息的传播对我国的政治制度及文化传统的威胁，主要表现在舆论宣传方面。外显行为：黄色、反动信息泛滥，敌对的意识形态信息涌入，互联网被利用作为串联工具，传播迅速，影响范围广。防范措施：设置因特网关，监测、控管。,1,24,对文化安全的保护,信息传送自由,有害信息泛滥,主动发现有害信息源并给予封堵,监测网上有害信息的传播并给予截获,隐患,措施,1,25,当前网络安全现状当前网络安全热点话题大规模业务网络安全系统建设网络管理,1,26,网络安全界当前的热点问题,一、病毒(蠕虫病毒)二、DOS攻击,1,27,病毒的定义,计算机病毒为什么叫做病毒。首先，与医学上的病毒不同，它不是天然存在的，是某些人利用计算机软、硬件所固有的脆弱性，编制具有特殊功能的程序。由于它与生物医学上的病毒同样有传染和破坏的特性，因此这一名词是由生物医学上的病毒概念引申而来。,1,28,直至1994年2月18日，我国正式颁布实施了中华人民共和国计算机信息系统安全保护条例，在条例第二十八条中明确指出：计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。此定义具有法律性、权威性。,病毒的定义,1,29,病毒的产生,那么究竟它是如何产生的呢？其过程可分为：程序设计-传播-潜伏-触发、运行-实行攻击。究其产生的原因不外乎以下几种：开个玩笑，一个恶作剧。产生于个别人的报复心理。用于版权保护。用于特殊目的。,1,30,病毒的历史,计算机病毒在计算机诞生不久后就出现了，其前身只不过是程序员闲来无事而编写的趣味程序；后来，才发展出了诸如破坏文件、修改系统参数、干扰计算机的正常工作等的恶性病毒,1,31,传统病毒的特性,1.计算机病毒的程序性(可执行性)2.计算机病毒的传染性3.计算机病毒的潜伏性4.计算机病毒的可触发性5.计算机病毒的破坏性6.攻击的主动性7.病毒的针对性,1,32,8.病毒的非授权性9.病毒的隐蔽性10.病毒的衍生性11.病毒的寄生性(依附性)12.病毒的不可预见性13.计算机病毒的欺骗性14.计算机病毒的持久性,传统病毒的特性,1,33,蠕虫是什么？,1,34,蠕虫,蠕虫（Worm）是通过分布式网络来扩散传播特定的信息或错误，进而造成网络服务遭到拒绝并发生死锁。1982年，Shock和Hupp根据TheShockwaveRider一书中的一种概念提出了一种“蠕虫”（Worm）程序的思想。这种“蠕虫”程序常驻于一台或多台机器中，并有自动重新定位(autorelocation)的能力。如果它检测到网络中的某台机器未被占用，它就把自身的一个拷贝（一个程序段）发送给那台机器。每个程序段都能把自身的拷贝重新定位于另一台机器中，并且能识别它占用的哪台机器。“蠕虫”由两部分组成：一个主程序和一个引导程序。主程序一旦在机器上建立就会去收集与当前机器联网的其它机器的信息。它能通过读取公共配置文件并运行显示当前网上联机状态信息的系统实用程序而做到这一点。随后，它尝试利用前面所描述的那些缺陷去在这些远程机器上建立其引导程序。“蠕虫”程序不一定是有害的。论证了“蠕虫”程序可用作为Ethernet网络设备的一种诊断工具，它能快速有效地检测网络。,1,35,无害的蠕虫（蚕）,1,36,蠕虫病毒的罪恶,1,37,蠕虫病毒的特点,蠕虫也是一种病毒，因此具有病毒的共同特征。普通病毒需要的寄生,通过自己指令的执行，将自己的指令代码写到其他程序的体内，而被感染的文件就被称为”宿主”病毒主要是感染文件，当然也还有像DIRII这种链接型病毒，还有引导区病毒。引导区病毒他是感染磁盘的引导区，如果是软盘被感染，这张软盘用在其他机器上后，同样也会感染其他机器，所以传播方式也是用软盘等方式。蠕虫复制自身在互联网环境下进行传播，病毒的传染能力主要是针对计算机内的文件系统而言,而蠕虫病毒的传染目标是互联网内的所有计算机.局域网条件下的共享文件夹，电子邮件email,网络中的恶意网页,大量存在着漏洞的服务器等都成为蠕虫传播的良好途径。蠕虫病毒可以在几个小时内蔓延全球!而且蠕虫的主动攻击性和突然爆发性将使得人们手足无策。,1,38,蠕虫病毒和普通病毒的对比,1,39,蠕虫病毒的传播,蠕虫和普通病毒不同的一个特征是蠕虫病毒往往能够利用漏洞，这里的漏洞或者说是缺陷，我们分为2种：第一种：软件上的缺陷和人为上的缺陷如远程溢出，微软ie和outlook的自动执行漏洞等等。第二种：社会工程学(socialengineering)计算机用户的疏忽。,1,40,蠕虫病毒特征分析,1.利用系统漏洞的恶性蠕虫病毒分析-企业用户(局域网络)红色代码,尼姆达和sql蠕虫等，共同的特征是利用微软服务器和应用程序组件的某个漏洞进行攻击。特点：这种漏洞比较普遍病毒很容易的传播攻击的对象大都为服务器造成的网络堵塞现象严重,1,41,Sql蠕虫,病毒样例：2003年1月26号爆发的sql蠕虫攻击对象：攻击的是微软数据库系MicrosoftSQLServer2000漏洞信息：利用了MSSQL2000服务远程堆栈缓冲区溢出漏洞，SQLServer监听UDP的1434端口，客户端可以通过发送消息到这个端口来查询目前可用的连接方式（连接方式可以是命名管道也可以是TCP），但是此程序存在严重漏洞，当客户端发送超长数据包时，将导致缓冲区溢出，黑客可以利用该漏洞在远程机器上执行自己的恶意代码。攻击原理：蠕虫病毒通过一段376个字节的恶意代码,远程获得对方主机的系统控制权限,取得三个Win32API地址，GetTickCount、socket、sendto，接着病毒使用GetTickCount获得一个随机数，进入一个死循环继续传播。在该循环中蠕虫使用获得的随机数生成一个随机的ip地址，然后将自身代码发送至1434端口(MicrosoftSQLServer开放端口)使用广播数据包方式发送自身代码，每次均攻击子网中所有255台可能存在机器。发布公告信息：微软在200年7月份的时候就为这个漏洞发布了一个安全公告,1,42,Sql蠕虫,攻击特性：发包密度仅和机器性能和网络带宽有关，所以发送的数据量非常大。该蠕虫对被感染机器本身并没有进行任何恶意破坏行为，也没有向硬盘上写文件，仅仅存在于内存中。对于感染的系统，重新启动后就可以清除蠕虫，但是仍然会重复感染。由于发送数据包占用了大量系统资源和网络带宽，形成UdpFlood，感染了该蠕虫的网络性能会极度下降。一个百兆网络内只要有一两台机器感染该蠕虫就会导致整个网络访问阻塞。,1,43,企业防范蠕虫病毒的策略,企业防毒的一个重要方面是是管理和策略。推荐的企业防范蠕虫病毒的策略如下：1加强网络管理员安全管理水平，提高安全意识。由于蠕虫病毒利用的是系统漏洞进行攻击，所以需要在第一时间内保持系统和应用软件的安全性,保持各种操作系统和应用软件的更新！2建立病毒检测系统。能够在第一时间内检测到网络异常和病毒攻击。3建立应急响应系统，将风险减少到最小！由于蠕虫病毒爆发的突然性，可能在病毒发现的时候已经蔓延到了整个网络，所以在突发情况下，建立一个紧急响应系统是很有必要的，在病毒爆发的第一时间即能提供解决方案。4建立灾难备份系统。对于数据库和数据系统，必须采用定期备份，多机备份措施，防止意外灾难下的数据丢失！5对于局域网而言，可以采用以下一些主要手段：（1）在因特网接入口处安装防火墙式防杀计算机病毒产品，将病毒隔离在局域网之外。（2）对邮件服务器进行监控，防止带毒邮件进行传播！（3）对局域网用户进行安全培训。（4）建立局域网内部的升级系统，包括各种操作系统的补丁升级，各种常用的应用软件升级，各种杀毒软件病毒库的升级等等！,1,44,病毒特征分析,2.以电子邮件(Email)及恶意网页为传播方式的蠕虫病毒。-个人用户爱虫病毒等，此类病毒往往是通过邮件传播的，在vbscript中调用邮件发送功能也非常的简单，病毒往往采用的方法是向outlook中的地址薄中的邮件地址发送带有包含自身的邮件来达到传播目的。恶意网页确切的讲是一段黑客破坏代码程序，它内嵌在网页中，当用户在不知情的情况下打开含有病毒的网页时，病毒就会发作。这种病毒代码镶嵌技术的原理并不复杂，所以会被很多怀不良企图者利用，在很多黑客网站竟然出现了关于用网页进行破坏的技术的论坛，并提供破坏程序代码下载，从而造成了恶意网页的大面积泛滥，也使越来越多的用户遭受损失。,1,45,个人用户的防范策略,网络蠕虫病毒对个人用户的攻击主要还是通过社会工程学，而不是利用系统漏洞！所以防范此类病毒需要注意以下几点：1购合适的杀毒软件网络蠕虫病毒的发展已经使传统的杀毒软件的“文件级实时监控系统”落伍，杀毒软件必须向内存实时监控和邮件实时监控发展！2.经常升级病毒库杀毒软件对病毒的查杀是以病毒的特征码为依据的,而病毒每天都层出不穷,尤其是在网络时代,蠕虫病毒的传播速度快,变种多,所以必须随时更新病毒库,以便能够查杀最新的病毒!3提高防杀毒意识不要轻易去点击陌生的站点，有可能里面就含有恶意代码！当运行IE时，点击“工具Internet选项安全Internet区域的安全级别”，把安全级别由“中”改为“高”。、因为这一类网页主要是含有恶意代码的ActiveX或Applet、JavaScript的网页文件，所以在IE设置中将ActiveX插件和控件、Java脚本等全部禁止就可以大大减少被网页恶意代码感染的几率4不随意查看陌生邮件尤其是带有附件的邮件，由于有的病毒邮件能够利用ie和outlook的漏洞自动执行，所以计算机用户需要升级ie和outlook程序，及常用的其他应用程序！,1,46,小结,网络蠕虫病毒作为一种互联网高速发展下的一种新型病毒，必将对网络产生巨大的危险。在防御上，已经不再是由单独的杀毒厂商所能够解决，而需要网络安全公司，系统厂商，防病毒厂商及用户共同参与，构筑全方位的防范体系！蠕虫和黑客技术的结合，使得对蠕虫的分析，检测和防范具有一定的难度，同时对蠕虫的网络传播性，网络流量特性建立数学模型也是有待研究的工作！,1,47,拒绝服务攻击,DoS攻击land,teardrop,SYNfloodICMP:smurfRouter:remotereset,UDPport7,Windows:Port135,137,139(OOB),terminalserverSolaris:Linux:其他.,1,48,“拒绝服务”的例子:LAND攻击,攻击者172.18.1.1,目标204.241.161.12,欺骗性的IP包源地址204.241.161.12Port139目的地址204.241.161.12Port139TCPOpen,G.MarkHardy,1,49,“拒绝服务”的例子:LAND攻击,攻击者172.18.1.1,目标204.241.161.12,IP包欺骗源地址204.241.161.12Port139目的地址204.241.161.12Port139包被送回它自己,G.MarkHardy,1,50,“拒绝服务”的保护:代理类的防火墙,攻击者172.18.1.1,目标204.241.161.12,IP包欺骗源地址204.241.161.12Port139目标地址204.241.161.12Port139TCPOpen,防火墙,防火墙把有危险的包阻隔在网络外,G.MarkHardy,1,51,TCP同步泛滥,攻击者172.18.1.1,目标192.0.2.1,欺骗性的IP包源地址不存在目标地址是192.0.2.1TCPOpen,G.MarkHardy,1,52,TCPSYN泛滥,攻击者172.18.1.1,目标192.0.2.1,同步应答响应源地址192.0.2.1目标地址不存在TCPACK,G.MarkHardy,1,53,Smuff攻击示意图,第一步：攻击者向被利用网络A的广播地址发送一个ICMP协议的echo请求数据报，该数据报源地址被伪造成10.254.8.9,第二步：网络A上的所有主机都向该伪造的源地址返回一个echo响应，造成该主机服务中断。,1,54,网络攻击举例,UDP攻击原理UDP攻击的原理是使两个或两个以上的系统之间产生巨大的UDP数据包。首先使这两种UDP服务都产生输出，然后让这两种UDP服务（例如chargen服务(UDP)和echo服务(UDP)）之间互相通信，使一方的输出成为另一方的输入。这样会形成很大的数据流量。当多个系统之间互相产生UDP数据包时，最终将导致整个网络瘫痪。如果涉及的主机数目少，那么只有这几台主机会瘫痪。,1,55,网络攻击举例,TCP/SYN攻击原理当一台黑客机器A要与另外一台ISP的主机B建立连接时，它的通信方式是先发一个SYN包告诉对方主机B说“我要和你通信了”，当B收到时，就回复一个ACK/SYN确认请求包给A主机。如果A是合法地址，就会再回复一个ACK包给B主机，然后两台主机就可以建立一个通信渠道了。可是黑客机器A发出的包的源地址是一个虚假的IP地址，或者可以说是实际上不存在的一个地址，ISP主机B发出的那个ACK/SYN包当然就找不到目标地址了。如果这个ACK/SYN包一直没有找到目标地址，那么也就是目标主机无法获得对方回复的ACK包。而在缺省超时的时间范围以内，主机的一部分资源要花在等待这个ACK包的响应上，假如短时间内主机A接到大量来自虚假IP地址的SYN包，它就要占用大量的资源来处理这些错误的等待，最后的结果就是系统资源耗尽以至瘫痪。,1,56,网络攻击举例,ICMP/PING攻击原理ICMP/PING攻击是利用一些系统不能接受超大的IP包或需要资源处理这一特性。如在Linux下输入Ping-t66510IP（未打补丁的Win95/98的机器），机器就会瘫痪。ICMP/SMURF攻击原理ICMP/SMURF攻击利用的是网络广播的原理来发送大量的地址，而包的源地址就是要攻击的机器本身的地址。因而所有接收到此包的主机都将给发包的地址发送一个ICMP回复包。,1,57,网络攻击举例,TARGA3攻击(IP堆栈突破)原理TARGA3攻击的基本原理是发送TCP/UDP/ICMP的碎片包，其大小、标记、包数据等都是随机的。一些有漏洞的系统内核由于不能正确处理这些极端不规范数据包，便会使其TCP/IP堆栈出现崩溃，从而导致无法继续响应网络请求（即拒绝服务）。,1,58,分布式拒绝服务（DDOS）,以破坏系统或网络的可用性为目标常用的工具：Trin00,TFN/TFN2K,Stacheldraht很难防范伪造源地址，流量加密，因此很难跟踪,client,target,1,59,分布式拒绝服务攻击网络结构图,客户端,客户端,主控端,主控端,主控端,主控端,代理端,代理端,代理端,代理端,代理端,代理端,代理端,代理端,1,60,分布式拒绝服务攻击步骤1,ScanningProgram,不安全的计算机,Hacker,Internet,1,61,Hacker,被控制的计算机(代理端),黑客设法入侵有安全漏洞的主机并获取控制权。这些主机将被用于放置后门、sniffer或守护程序甚至是客户程序。,2,分布式拒绝服务攻击步骤2,Internet,1,62,Hacker,黑客在得到入侵计算机清单后，从中选出满足建立网络所需要的主机，放置已编译好的守护程序，并对被控制的计算机发送命令。,3,被控制计算机（代理端）,MasterServer,分布式拒绝服务攻击步骤3,Internet,1,63,Hacker,UsingClientprogram,黑客发送控制命令给主机，准备启动对目标系统的攻击,4,被控制计算机（代理端）,TargetedSystem,MasterServer,分布式拒绝服务攻击步骤4,Internet,1,64,Internet,Hacker,主机发送攻击信号给被控制计算机开始对目标系统发起攻击。,5,MasterServer,分布式拒绝服务攻击步骤5,TargetedSystem,被控制计算机（代理端）,1,65,TargetedSystem,Hacker,目标系统被无数的伪造的请求所淹没，从而无法对合法用户进行响应，DDOS攻击成功。,6,MasterServer,User,分布式拒绝服务攻击步骤6,Internet,被控制计算机（代理端）,1,66,（分布式）拒绝服务攻击,DDOS攻击的效果由于整个过程是自动化的，攻击者能够在5秒钟内入侵一台主机并安装攻击工具。也就是说，在短短的一小时内可以入侵数千台主机。并使某一台主机可能要遭受1000MB/S数据量的猛烈攻击，这一数据量相当于1.04亿人同时拨打某公司的一部电话号码。,1,67,（分布式）拒绝服务攻击,预防DDOS攻击的措施确保主机不被入侵且是安全的；周期性审核系统；检查文件完整性；优化路由和网络结构；优化对外开放访问的主机；在网络上建立一个过滤器（filter）或侦测器（sniffer），在攻击信息到达网站服务器之前阻挡攻击信息。,1,68,（分布式）拒绝服务攻击,分布式拒绝服务攻击的今后的发展趋势：如何增强自身的隐蔽性和攻击能力；采用加密通讯通道、ICMP协议等方法避开防火墙的检测；采用对自身进行数字签名等方法研究自毁机制，在被非攻击者自己使用时自行消毁拒绝服务攻击数据包，以消除证据。,1,69,当前网络安全现状当前网络安全热点话题大规模业务网络安全系统建设网络管理,1,70,大规模业务网络特点,开放性与公网互联，直接对话。大规模性规模庞大，节点众多。复杂性多种应用，大数据量，使用人员身份复杂。,因为如上的众多特点，大规模业务网络存在着众多安全风险!,1,71,大规模业务网络中需要保护的资源,硬件资源,数据资源,软件资源,用户资源,1,72,大规模业务网络常见的安全事件,网站被黑数据被篡改数据被偷窃秘密泄漏,越权浏览非法删除被病毒感染系统自身故障,1,73,大规模业务网络安全隐患,物理风险,无意错误风险,有意破坏,管理风险,边界安全风险,链路传输安全风险,横向,纵向,其它风险,如自然灾害，电力供应突然中断，静电、强磁场破坏硬件设备以及设备老化等引起的风险。,指由于人为或系统错误而影响信息的完整性、机密性和可用性。,指内部和外部人员有意通过物理手段破坏信息系统而影响信息的机密性、完整性、可用性和可控性。比如：有意破坏基础设施、扩散计算机病毒、电子欺骗等。这种风险带来的破坏一般而言是巨大的。严重时会引起整个系统的瘫痪和不可恢复,它是指因为口令和密钥管理不当、制度遗漏，岗位、职责设置不全面等因素引起信息泄露、系统无序运行等。,是指除上述所列举的一些风险外，一切可能危及信息系统的机密性、完整性、可用性、可控性和系统正常运行的风险。,1,74,标准安全产品架构,Internet,总部,办事处,分公司,公众用户,分公司,防火墙和VPN体系,入侵检测系统,病毒防护系统,风险评估系统,备份恢复系统,网络综合安全管理系统,1,75,防火墙及VPN策略,Internet,总部,办事处,分公司,VPN客户端用户,分公司,部署防火墙和VPN在网络边界处，对进出边界的信息做访问控制，同时采用VPN对网络中传输的信息进行加密处理，以保证数据在传输过程中的安全性,利用防火墙的包过滤、应用代理、NAT、访问控制等技术对网络边界进行安全防护。利用VPN的加密方式对信息做加密，再传输到网络中，可采用网关网关或网关到客户端两种模式。,01010101010,!$!#%$%4,010101010101,1,76,防火墙（Firewall）,注解：防火墙类似一堵城墙，将服务器与客户主机进行物理隔离，并在此基础上实现服务器与客户主机之间的授权互访、互通等功能。,1,77,防火墙概念,防火墙是指设置在不同网络或网络安全域（公共网和企业内部网）之间的一系列部件的组合。它是不同网络（安全域）之间的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有很高的抗攻击能力，它是提供信息安全服务，实现网络和信息安全的基础设施。,1,78,防火墙特征,保护脆弱和有缺陷的网络服务集中化的安全管理加强对网络系统的访问控制加强隐私对网络存取和访问进行监控审计,1,79,保护脆弱和有缺陷的网络服务一个防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。,防火墙特征(cont.),1,80,防火墙特征(cont.),集中化的安全管理通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。,1,81,加强对网络系统的访问控制一个防火墙的主要功能是对整个网络的访问控制。比如防火墙可以屏蔽部分主机，使外部网络无法访问，同样可以屏蔽部分主机的特定服务，使得外部网络可以访问该主机的其它服务，但无法访问该主机的特定服务。防火墙不应向外界提供网络中任何不需要服务的访问权，这实际上是安全政策的要求了。控制对特殊站点的访问：如有些主机或服务能被外部网络访问，而有些则需被保护起来，防止不必要的访问。,防火墙特征(cont.),1,82,加强隐私隐私是内部网络非常关心的问题。一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。,防火墙特征(cont.),1,83,对网络存取和访问进行监控审计如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。,防火墙特征(cont.),1,84,从总体上看，防火墙应具有以下五大基本功能：过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的检测和告警。,防火墙功能,1,85,VPN即虚拟专用网，是指一些节点通过一个公用网络（通常是因特网）建立的一个临时的、安全的连接，它们之间的通信的机密性和完整性可以通过某些安全机制的实施得到保证特征虚拟(V)：并不实际存在，而是利用现有网络，通过资源配置以及虚电路的建立而构成的虚拟网络专用(P)：只有企业自己的用户才可以联入企业自己的网络网络(N)：既可以让客户连接到公网所能够到达的任何地方，也可以方便地解决保密性、安全性、可管理性等问题，降低网络的使用成本,什么是VPN,1,86,VPN（虚拟专用网络）是通过公共介质如Internet扩展公司的网络VPN可以加密传输的数据，保障数据的机密性、完整性、真实性防火墙是用来保证内部网络不被侵犯，相当于银行的门卫；而VPN则是保证在网络上传输的数据不被窃取，相当于运钞车。,VPN的用途,1,87,VPN的隧道协议,VPN的关键技术在于通信隧道的建立，数据包通过通信隧道进行封装后的传送以确保其机密性和完整性通常使用的方法有：使用点到点隧道协议PPTP、第二层隧道协议L2TP、第二层转发协议L2F等在数据链路层对数据实行封装使用IP安全协议IPSec在网络层实现数据封装使用介于第二层和第三层之间的隧道协议，如MPLS隧道协议,1,88,PPTP/L2TP,1996年，Microsoft和Ascend等在PPP协议的基础上开发了PPTP，并将它集成于WindowsNTServer4.0中，同时也提供了相应的客户端软件PPTP可把数据包封装在PPP包中，再将整个报文封装在PPTP隧道协议包中，最后，再嵌入IP报文或帧中继或ATM中进行传输PPTP提供流量控制,采用MPPE加密算法,1,89,1996年，Cisco提出L2F（Layer2Forwarding）隧道协议1997年底，Micorosoft和Cisco公司把PPTP协议和L2F协议的优点结合在一起，形成了L2TP协议L2TP协议综合了PPTP协议和L2F（Layer2Forwarding）协议的优点,并且支持多路隧道，这样可以使用户同时访问Internet和企业网。L2TP可以实现和企业原有非IP网的兼容，支持MP（MultilinkProtocol），可以把多个物理通道捆绑为单一逻辑信道,PPTP/L2TP,1,90,优点：支持其他网络协议（如Novell的IPX，NetBEUI和AppleTalk协议）支持流量控制缺点：通道打开后，源和目的用户身份就不再进行认证，存在安全隐患限制同时最多只能连接255个用户端点用户需要在连接前手工建立加密信道，另外认证和加密受到限制，没有强加密和认证支持。PPTP和L2TP最适合用于远程访问虚拟专用网。,PPTP/L2TP,1,91,IPSecVPN,IPSec是一种由IETF设计的端到端的确保基于IP通讯的数据安全性的机制。IPSEC支持对数据加密，同时确保数据的完整性。IPSEC使用验证包头（AH，在RFC2402中定义）提供来源验证（sourceauthentication），确保数据的可靠性；IPSec使用封装安全负载（ESP，在RFC1827中定义）进行加密，从而确保数据机密性。在IPSec协议下，只有发送方和接受方知道秘密密钥。如果验证数据有效，接受方就可以知道数据来自真实的发送方，并且在传输过程中没有受到破坏。IPSec有两种应用模式：传送模式和隧道模式,1,92,传输模式：传输模式使用原始明文IP头，并且只加密数据，包括它的TCP和UDP头。这种模式适用于小型网络和移动客户端。隧道模式：隧道模式处理整个IP数据包：包括全部TCP/IP或UDP/IP头和数据，它用自己的地址做为源地址加入到新的IP头。隧道模式被用在两端或是一端是安全网关的架构中，例如装有IPSec的防火墙。使用了隧道模式，防火墙内很多主机不需要安装IPSec也能安全地与外界通信，并且还可以提供更多的便利来隐藏内部服务器主机和客户机的地址。,IPSecVPN,1,93,优点：可提供高强度的安全性（数据加密和身份验证）对上层应用完全透明支持网络与网络、用户与用户、网络与用户多种应用模式缺点：只支持IP协议目前防火墙产品中集成的VPN多为使用IPSec协议，在中国其发展处于蓬勃状态。,IPSecVPN,1,94,MPLSVPN,是在网络路由和交换设备上应用MPLS(MultiprotocolLabelSwitching)技术，简化核心路由器的路由选择方式，利用结合传统路由技术的标记交换实现的IP虚拟专用网络（IPVPN）MPLSVPN主要应用领域是用于建设全网状结构的数据专线，保证局域网互联的带宽与服务质量。总部与下面分支机构互联时，如果使用公网，则带宽、时延等很大程度上受公网的网络状况制约。而布署MPLSVPN后，可以保证网络服务质量，从而保证一些对时延敏感的应用稳定运行，如分布异地的实时交易系统、视频会议、IP电话等等。,1,95,MPLSVPN,优点：运行在IP+ATM或者IP环境下，对应用完全透明缺点：MPLSVPN并未提供加密、认证等安全机制当信息的安全性是VPN网络设计考虑的首要因素时，应当采用IPSecVPN。,1,96,与其他VPN协议的对比,L2TP、PPTP：主要用于客户端接入专用网络。本身的安全性比较弱，需要依靠IPSec来提供进一步的安全性。MPLS：能够提供与传统的ATM，FR同等的安全性，但本身没有加密，认证机制，对数据的机密性等保证需要依靠IPSec来进一步保证。IPSec是弥补其他VPN技术的安全性的有效保证。,1,97,11001110010100010100101010010001001001000001000000,11001110010100010100101010010001001001000001000000,明文,加密,解密,明文,保证数据在传输中的机密性,发起方,接受方,支持IKE密钥协商密钥自动刷新128位对称加密1024位非对称加密设备之间采用证书认证支持CA认证,VPN的主要作用之一,1,98,发起方,接受方,1001000101010010100001000000110110001010,10001010,1001000101010010100001000000110110001010,Hash,Hash,10001010,1001000101010010100001000000110110001010,是否一样？,验证数据来源的完整性和真实性,支持透明模式支持路由模式,VPN的主要作用之二,1,99,实时入侵检测策略,Internet,总部,办事处,分公司,分公司,在网络中部署网络入侵检测系统，实时对网络中的数据流进行检测，对于可疑的数据，将及时报警，入侵检测系统同时与防火墙交互信息，共同防范来自于网外的攻击。具体策略如下：基于网络的入侵检测策略基于主机的入侵检测策略,报警,攻击,1,100,什么是入侵检测系统,IDS（IntrusionDetectionSystem）就是入侵检测系统，它通过抓取网络上的所有报文，分析处理后，报告异常和重要的数据模式和行为模式，使网络安全管理员清楚地了解网络上发生的事件，并能够采取行动阻止可能的破坏。,1,101,什