网络安全技术概述

韩山师院网络与教育技术中心,网络安全技术概述,内容提要,网络安全概述,可使用的安全技术,网络安全防范策略,建议和忠告,网络安全建设案例,据联邦调查局统计，美国每年因网络安全造成的损失高达75亿美元。据美国金融时报报道，世界上平均每20秒就发生一次入侵国际互联网络的计算机安全事件，三分之一的防火墙被突破。,美国联邦调查局计算机犯罪组负责人吉姆塞特尔称：给我精选10名“黑客”，组成个小组，90天内，我将使美国趴下。超过50%的攻击来自内部，其次是黑客。,网络安全事件的报导,操作系统本身的安全漏洞防火墙存在安全缺陷和规则配置不合理来自内部网用户的安全威胁缺乏有效的手段监视、评估网络的安全性TCP/IP协议族软件本身缺乏安全性电子邮件病毒、Web页面中存在恶意的Java/ActiveX控件应用服务的访问控制、安全设计存在漏洞线路窃听。指利用通信介质的电磁泄漏或搭线窃听等手段获取非法信息,网络中存在的安全威胁,网络设备种类繁多当前使用的有各种各样的网络设备，从WindowsNT和UNIX服务器到防火墙、路由器和Web服务器,每种设备均有其独特的安全状况和保密功能；访问方式的多样化一般来说,网络环境存在多种进出方式,许多拔号登录点以及新的Internet访问方式可能会使安全策略的设立复杂化；网络的不断变化网络不是静态的,一直都处于发展变化中。启用新的硬件设备和操作系统,实施新的应用程序和Web服务器时,安全配置也有不同；用户安全专业知识的缺乏许多组织所拥有的对网络进行有效保护的保安专业知识十分有限,这实际上是造成安全漏洞最为主要的一点。,网络存在的安全漏洞的原因,相对性只有相对的安全，没有绝对的安全系统安全性在系统的不同部件间可以转移,网络安全的特征,时效性新的漏洞与攻击方法不断发现（Windows2000业发现很多漏洞,针对Outlook的病毒攻击非常普遍)配置相关性日常管理中的不同配置会引入新的问题（安全测评只证明特定环境与特定配置下的安全）新的系统部件会引入新的问题(新的设备的引入、防火墙配置的修改),攻击的不确定性攻击发起的时间、攻击者、攻击目标和攻击发起的地点都具有不确定性复杂性网络安全是一项系统工程，需要技术的和非技术的手段，涉及到安全管理、教育、培训、立法、国际合作与互不侵犯协定、应急反应等,网络安全的特征(续),层次一：物理环境的安全性（物理层安全）层次二：操作系统的安全性（系统层安全）层次三：网络的安全性（网络层安全）层次四：应用的安全性（应用层安全）层次五：管理的安全性（管理层安全）,网络安全的层次架构,网络安全概述,可使用的安全技术,网络安全防范策略,建议和忠告,网络安全建设案例,防火墙技术,最初含义：当房屋还处于木制结构的时侯，人们将石块堆砌在房屋周围用来防止火灾的发生。这种墙被称之为防火墙。防火墙是指设置在不同网络或网络安全域（公共网和企业内部网）之间的软件或硬件设备的组合，它是不同网络间的唯一出入口，能根据预先制定的安全策略（允许、拒绝、监测）来控制出入网络的信息流，防止对重要信息资源的非法存取和访问，以达到保护系统安全的目的，是实现网络和信息安全的基础设施。,防火墙示意图,防火墙的功能,应用程序代理,包过滤从企业内部进行评估:考察内部网络系统中的计算机;从应用系统进行评估:考察每台硬件设备上运行的操作系统。,从哪些方面进行安全评估,操作系统、数据库系统、应用软件系统以及一些网络设备系统均不同程度存在一些安全漏洞和一些未知的“后门”，这些漏洞和后门是黑客攻击得手的关键因素。因此，确保操作系统、数据库系统安全，对服务器、网络设备进行安全加固是非常重要的。,系统安全加固,关闭不必要、不常用的服务和端口，慎重开放比较敏感的端口；及时对系统升级或安装相应的系统安全补丁；强化系统中各种密码的设置与管理，对一些保存有用户信息及其口令的关键文件（如UNIX下：/.rhost、etc/host、passwd、shadow、group等；WindowsNT下的LMHOST、SAM等）使用权限进行严格限制，防止对系统的非法访问；加强日志管理和审计工作，开启操作系统、数据库系统、网络设备、安全产品的日志管理功能，并定期对日志文件进行审计。,系统安全加固措施,分类使用产品利用系统本身设置优点增强系统的的抗攻击性较大的提高系统本身安全和审计能力缺点目前不便于普遍的实施系统易用性会下降，管理成本上升,系统安全加固,网络应用迅速发展和扩充在带来方便性的同时，也带来了许多严重的安全问题，不仅仅是各种网络攻击行为会破坏网络信息系统的正常运行。滥用内部网络资源，泄漏内部信息等现象也非常严重，传递和发布非法信息，不仅影响正常的工作秩序，甚至会造成一定的政治和社会影响。加强安全审计，不仅是及时和发现网络攻击行为，确定和追踪攻击来源提供有力证据，重要的是加强对内部人员网络行为的审计，防止滥用网络资源和非授权访问。网络审计数据库审计,安全审计,网络审计系统通过对各种应用协议的网络数据进行分析、剥离、恢复，判断网络违规访问行为的发生，能够实现对FTP协议传送文件、SMTP协议发送邮件、POP3协议接收邮件、HTTP协议远程浏览（WEB）、TELNET协议（BBS）、UDP协议通讯的监控，能够对文件传输、发送和接收的邮件内容、远程登录过程等进行真实的恢复，具有强大的统计、分析和报表功能，管理员能够清楚的知道网络上正在发生的各种事件，实现对内部网络信息交换的全方位监控，从而实现对内部网络全面的控制和有效的管理。,网络审计,数据库审计系统从数据库访问操作入手，对特定的数据库远程连接数据包进行语法分析，从而审计对数据库中的哪些数据进行操作，可以对特定的数据操作制定规则，产生报警事件。,数据库审计,通过安全审计系统，管理员可以监视所有的连接及登录信息、用户发出的命令、系统返回的数据、交换文件信息等，从而可以清楚的了解内部网络的通信情况和信息交换状况，为追查网上违规行为提供了技术保证。,安全审计小结,分类生物特征：指纹、虹膜智能卡：IC、Token/USBKey一次性口令方式：基于时间同步、基于事件同步认证协议：CHAP、Radius、TACACS、LDAP、CA（SSL、SSH、IKE、自定制）单点登陆：通过认证授权服务器优点很好的解决口令泄漏的问题便于实施统一的口令管理,认证技术,建立可靠的容灾备份系统，可以确保在本地出现意外事件甚至灾难时，如主机发生故障、数据丢失等现象发生时，可在可控的时间内对业务系统进行恢复，以保证网络服务的顺利进行。,备份与容灾,设备备份主要是为了防止因设备损坏造成网络中断，保证网络系统的高可靠性和高可用性。设备备份一般通过设备冗余、部件冗余来实现。1、网络设备备份：对骨干交换机和接入路由器采用冷备，防止当一台出现故障时，可采用人工方式进行快速恢复，保证网络连接畅通。也可以作热备和双机容错处理，以保障核心网络设备能够不间断运行。2、服务器备份：对重要的服务器进行双机热备，当主设备发生故障时，能够自动快速的切换到备份设备，确保整个系统正常运行。3、防火墙备份：对防火墙进行双机热备，保证不会对正常业务造成影响。还可以冷备份一些防火墙，对其中防火墙出现故障时，及时用冷备的防火墙替换。,设备备份,随着计算机存储信息量的不断增长，数据备份和灾难恢复就成为引人关注的话题。数据备份恢复主要是为了防止因意外或受攻击时造成系统数据和业务数据丢失、损毁，保证数据的安全、可靠、准确。目前数据备份管理已经在网络系统管理中占有非常重要的地位。一般来说，各种操作系统所附带的备份程序都有着这样或那样的缺陷，若想对数据进行可靠的备份及管理，必须选择专门的备份软、硬件，并制定相应的备份管理及恢复方案。如果每一台服务器或每一个局域网络都配置了数据备份设备以及相应的备份软件，那么无论网络硬件还是软件出了问题，都能够很轻松地恢复，保证系统的正常运行。,数据备份,通过部署备份服务器、磁带库和专业备份恢复软件来实现对数据库服务器、邮件服务器和重要的应用服务器的系统数据和业务数据的高效全自动备份和灾难恢复。,数据备份的部署,利用假日或晚上系统相对空闲的时间，对重要数据每周进行一次全备份，每天进行差分备份；对非重要数据每月进行一次全备份，每个星期进行一次增量或差分备份；同时每月采用光盘备份方式对所有数据冷备份两份，其中一份异地保存，以防止本地备份数据意外损坏。,数据备份策略,网络安全概述,网络安全防范策略,建议和忠告,可使用的安全技术,网络安全建设案例,P2DR模型包含4个主要部分：Policy（安全策略）Protection（防护）Detection（检测）Response（响应）,网络安全的P2DR模型,确定系统安全的脆弱性分析系统潜在的安全威胁评估安全攻击的后果估计安全攻击的代价估价安全防护措施根据风险评估制定合理的安全策略与需求选用合适安全机制和技术手段实现安全,实施网络安全的步骤,物理措施：使用低辐射计算机设备、屏蔽干扰环境保密措施访问控制技术：入网访问控制、网络的权限控制安全的信息传输网络服务器的主机安全操作系统及网络软件安全网络安全管理,网络安全的防范措施,网络安全概述,建议和忠告,可使用的安全技术,网络安全防范策略,网络安全建设案例,(1).系统要尽量与公网隔离，要有相应的安全连接措施.(2).不同的工作范围的网络既要采用防火墙、安全路由器、保密网关等相互隔离，又要在政策允许时保证互通。(3).为了提供网络安全服务，各相应的环节应根据需要配置可单独评价的加密、数字签名、访问控制、数据完整性、业务流填充、路由控制、公证、鉴别审计等安全机制，并有相应的安全管理。(4).远程客户访问重要的应用服务要有鉴别服务器严格执行鉴别过程和访问控制。,网络安全的防范建议,(5).网络和网络安全设备要经受住相应的安全测试。(6).在相应的网络层次和级别上设立密钥管理中心、访问控制中心、安全鉴别服务器、授权服务器等，负责访问控制以及密钥、证书等安全材料的产生、更换、配置和销毁等相应的安全管理活动。(7).信息传递系统要具有抗侦听、抗截获能力能对抗传输信息的纂改、删除、插入、重放、选取明文密码破译等主动攻击和被