第七章 计算机网络安全与管理基础

第七章第七章 计算机网络安全与管理基础计算机网络安全与管理基础 网络安全的定义 计算机网络安全是指网络系统的硬件、软件及其系统中的数据受到保 护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续 可靠正常地运行，网络系统连续可靠地正常运行网络服务不中断。从 安全主体的角度来分，网络安全包括两个方面的内容，一个是网络设 备安全，一个是网络信息(数据)安全。 网络设备安全是指人为的或自然的因素导致网络设备被破坏，进而导 致网络系统瘫痪和数据流失。网络信息安全一般是指网络信息的机密 性、完整性、可用性及真实性。网络信息的机密性是指网络信息的内 容不会被未授权的用户所知。网络信息的完整性是指信息在存储或传 输时不被修改或破坏，不出现信息包的丢失和乱序等，而且不能被未 授权的用户修改。信息的完整性是信息安全的基本要求，破坏信息的 完整性是影响信息安全的常用手段。当前，运行于互联网上的协议(如 TCP/IP等)，能够确保信息在数据包级别的完整性，但却无法制止未 授权的用户对信息包内部的修改。网络信息的可用性包括对网络静态 信息(存储于网络节点上信息资源)的可操作性及对动态信息(传播于网 络节点间的信息)的可见性。网络信息的真实性是指信息的可信度，主 要是指对信息所有者或发送者的身份的确认。 网络安全策略 物理安全策略：物理安全策略的目的是保护计算机系统、网络服务器和打印机等硬件实体 和通信链路免受自然灾害、人为破坏和搭线攻击。这种安全策略需要验证用户的身份和使 用权限、防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备 的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。 访问控制策略：访问控制策略是网络安全防范和保护的主要策略，包括入网访问控制、网 络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定 控制、网络端口和节点的安全控制，以及防火墙控制等，主要任务是保证网络资源不被非 法使用和非正常访问。它也是维护网络系统安全、保护网络资源的重要手段。各种安全策 略必须相互配合才能真正起到保护作用，但访问控制可以说是保证网络安全最重要的核心 策略之一。 信息加密策略：信息加密策略的目的是保护网络中的数据、文件、密码和控制信息，保护 网上传输的数据。网络加密常用的方法有链路加密、端点加密和节点加密3种。链路加密 的目的是保护网络节点之间的链路信息安全；端点加密的目的是对源端用户到目的端用户 的数据提供保护；节点加密的目的是对源节点到目的节点之间的传输链路提供保护。信息 加密过程是由形形色色的加密算法来具体实施，它以很小的代价提供很大的安全保护。用 户可根据网络情况酌情选择上述加密方式。 网络安全管理策略：在网络安全中，除了采用上述技术措施之外，加强网络的安全管理， 制定有关规章制度，对于确保网络安全可靠地运行将起到十分有效的作用。网络的安全管 理策略包括：确定安全管理等级和安全管理范围；制订有关网络操作使用规程和人员出入 机房管理制度；制定网络系统的维护制度和应急措施等。 网络安全的特征 保密性：信息不泄露给非授权的用户、实体或过程， 或供其利用的特性。 完整性：数据未经授权不能进行改变的特性，即信息 在存储或传输过程中保持不被修改、不被破坏和丢失 的特性。 可用性：可被授权实体访问并按需求使用的特性，即 当需要时应能存取所需的信息。网络环境下拒绝服务 、破坏网络和有关系统的正常运行等都属于对可用性 的攻击。 可控性：对信息的传播及内容具有控制能力。 网络安全防范措施 选择性能优良的服务器。服务器是网络的核心；它的 故障意味着整个网络的瘫痪，因此，要求的服务应具 有：容错能力，带电热插拔技术，智能IO技术， 以及具有良好的扩展性。 采用服务器备份。服务器备份方式分为冷备份与热备 份二种，热备份方式由于实时性好，可以保证数据的 完整性和连续性，得以广泛采用的一种备份方式。 对重要网络设备、通信线路备份。通信故障就意味着 正常工作无法进行。所以，对于交换机、路由器以及 通信线路最好都要有相应的备份措施。 网络安全的威胁 非授权访问，这主要的是指对网络设备以及信息资源 进行非正常使用或超越权限使用； 假冒合法用户，主要指利用各种假冒或欺骗的手段非 法获得合法用户的使用权，以达到占用合法用户资源 的目的； 数据完整性受破坏； 干扰系统的正常运行，改变系统正常运行的方向，以 及延时系统的响应时间； 病毒； 通信线路被窃听等。 威胁网络安全的因素 计算机系统的脆弱性 协议安全的脆弱性 数据库管理系统安全的脆弱性 人为的因素 各种外部威胁 计算机犯罪的定义 一是政法大学信息技术立法课题组从学术角度所作的 定义，即“与计算机相关的危害社会并应当处以刑罚 的行为”；一是我们提出的定义，即“以计算机为工 具或以计算机资产为对象实施的犯罪行为”。这里所 说的工具是指计算机信息系统(包括大、守、小、微 型系统)，也包括在犯罪进程中计算机技术知识所起 的作用和非技术知识的犯罪行为。立法通常定义计算 机犯罪为通过专门的计算机知识来完成的犯罪行为。 网络犯罪分子进行网络攻击的主要途径 数据欺骗：非法篡改数据或输入假数据； 特洛伊木马术：非法装入秘密指令或程序，由计算机 执行犯罪活动； 香肠术：利用计算机从金融银行信息系统上一点点窃 取存款，如窃取各户头上的利息尾数，积少成多； 逻辑炸弹:输入犯罪指令，以便在指定的时间或条件 下抹除数据文卷，或者破坏系统功能； 网络犯罪分子进行网络攻击的主要途径（2） 线路截收：从系统通信线路上截取信息； 陷阱术：利用程序中用于调试或修改、增加程序功能 而特设的断点，插入犯罪指令或在硬件中相应的地方 增设某种供犯罪用的装置，总之是利用软件和硬件的 某些断点或接口插入犯罪指令或装置； 寄生术：用某种方式紧跟有特权的用户打入系统，或 者在系统中装入“寄生虫”； 超级冲杀：用共享程序突破系统防护，进行非法存取 或破坏数据及系统功能； 异步攻击：将犯罪指令混杂在正常作业程序中，以获 取数据文件； 网络犯罪分子进行网络攻击的主要途径（3） 电脑病毒：将具有破坏系统功能和系统服务与破坏或抹除数据文卷 的犯罪程序装入系统某个功能程序中，让系统在运行期间将犯罪程 序自动拷贝给其它系统，这就好像传染性病毒一样四处蔓延。 黑客入侵。 搭线窃听或线路干扰：将先进的电子设备连入网络，利用专门的工 具软件对网络传输的数据包进行分析，获取有用信息。 窃取：入侵者利用信任关系，冒充一方与另一方连网，以窃取信息 。 会话劫夺：入侵者首先在网络上窥探现有的会话，发现有攻击价值 的会话后，便将参与会话的一方截断，并顶替被截断方继续与另一 方连接，以获取信息。 利用操作系统漏洞：任何操作系统都有不可避免的漏洞存在，网络 犯罪分子利用操作系统本身的漏洞，对其进行攻击。 数据加密标准 数据加密技术主要分为数据传输加密和数据存储加密。数据传 输加密技术主要是对传输中的数据流进行加密，常用的有链路 加密、节点加密和端到端加密三种方式。 链路加密，是传输数据仅在物理层前的数据链路层进行加密 ，不考虑信源和信宿，它用于保护通信节点间的数据，接收 方是传送路径上的各台节点机，信息在每台节点机内都要被 解密和再加密，依次进行，直至到达目的地。 节点加密方法，是在节点处采用一个与节点机相连的密码装 置，密文在该装置中被解密并被重新加密，明文不通过节点 机，避免了链路加密节点处易受攻击的缺点。 端到端加密是为数据从一端到另一端提供的加密方式。 链路加密对用户来说比较容易，使用的密钥较少，而端到端加 密比较灵活，对用户可见。在对链路加密中各节点安全状况不 放心的情况下也可使用端到端加密方式。 公开密钥密码技术 数据加密技术通常使用一组密码与被加密的数据进行混合运算 。未加密的数据称为明文，将明文映射成不可读、但仍不失其 原信息的密文的过程称为加密，而相反过程即为解密。 对数据信息的加解密，密钥是安全的关键。通常有两种方法， 即私人密钥法和公用密钥法。私人密钥法也称对称加密法，加 密和解密信息使用相同的密钥。 70年代中期，出现了公共密钥技术，又称非对称加密法。通过 公共密钥加密，每个人可有一对密钥，一个是公共的，一个是 私人的。每人的公共密钥将对外发行，而私人密钥被秘密保管 。当A想要送给B一个秘密报文时，他就使用B的公共密钥将它 加密发送。当B得到该报文时，他用自己的私人密钥进行解密 。这样，发送者和接收者在进行秘密通信时，就不必非得共同 拥有秘密密钥 公开密钥密码技术 加密 解密 明文 密文 原始 明文 收件人 私钥 收件人 公钥 加密 解密 明文 密文 原始 明文 发件人 私钥 发件人 公钥 口令认证 口令认证的基本思想是每一个用户都有一个标识和口 令，当用户想进入系统时，他必须先提供其标识和口 令，系统就可以检验用户的合法性。因此口令认证具 有价格低廉、容易实现且用户界面友好的特点。口令 认证被人们称为“知道即可”的认证方法，其安全性 较低，现在很多地方开始转向一种名为“拿到方可” 的认证方法，即用户必须使用智能卡之类的设备才能 认证自己。 数字签名 数字签名技术以加密技术为基础，其核心是采用加密 技术的加、解密算法体制来实现对报文的数字签名。 数字签名能够实现以下功能。 1)收方能够证实发方的真实身份； 2)发方事后不能否认所发送过的报文； 3)收方或非法者不能伪造、篡改报文。 实现数字签名的方法较多，常用的数字签名技术有两 种：私人密钥的数字签名和公用密钥的数字签名。 认证中心 数字证书就是网络通信中标志通信各方身份信息的一系列数据 ，其作用类似于现实生活中的身份证。它是由一个权威机构发 行的，人们可以在交往中用它来识别对方的身份。数字证书的 格式一般采用X.509国际标准。 使用数字证书可以建立起一套严密的身份认证系统，从而保证 ：信息除发送方和接收方外不被其他人窃取；信息在传输过程 中不被篡改；发送方能够通过数字证书来确认接收方的身份； 发送方对于自己发送的信息不能抵赖。 认证中心就是一个负责发放和管理数字证书的权威机构。对于 一个大型的应用环境，认证中心往往采用种多层次的分级结 构，各级的认证中心类似于各级行政机关，上级认证中心负责 签发和管理下级认证中心的证书，最下一级的认证中心直接面 向最终用户。 数据加解密的典型工具 加密狗，是为软件开发商提供的一种智能型的软件加密工具，它包含一个安装 在计算机并行口或USB口上的硬件，及一套适用于各种语言的接口软件和工具 软件。加密狗基于硬件加密技术，其目的是通过对软件与数据的加密防止知识 产权被非法使用。 加密狗工作原理是在被保护的软件与加密锁之间形成一一对映的关系，被保护 的软件在运行的过程当中不断通过其API函数向加密锁发指令来判断加密锁是 否存在于，软件离开保护锁不能运行。 光盘加密大师是一款光盘加密制作工具，可以用它对光盘镜像文件（ISO）进 行可视化修改，将光盘镜像文件中的目录和文件特别隐藏，将普通文件变为超 大文件，将普通目录变为文件目录。它可以修改多种格式的ISO文件系统，轻 松制作自己的个性化加密光盘。 Winzip与WinRAR，两个通用的压缩工具，可以在压缩文件的过程中，设置加 密的密码，是小巧简单的数据加密工具。 Office自带的加密，在微软的office中，都带有安全工具，通过“工具/选项/安 全性”可以设置打开与修改文档的密码。 解密工具：针对不同的加密工具，有相应的解密软件，例如针对不同的加密狗 ，有一系列相应的破解软件，俗称打狗棒；针对加密光盘有超级加密光盘破解 器等工具；针对winzip有ZipKey等工具；针对WinRAR的密码破解工具 Advanced RAR Password Recovery；针对Office的AOPR等。 病毒的定义 计算机病毒，是指编制或者在计算机程序中插入的破 坏计算机功能或者毁坏数据，影响计算机使用，并能 自我复制的一组计算机指令或者程序代码。”此定义 具有法律性、权威性。 病毒的工作原理 病毒是一个程序，一段人为编制的计算机程序代码。它通过想办法在 正常程序运行之前运行，并处于特权级状态。这段程序代码一旦进入 计算机并得以执行，对计算机的某些资源进行监视。它会搜寻其他符 合其传染条件的程序或存储介质，确定目标后再将自身代码插入其中 ，达到自我繁殖的目的。只要一台计算机染毒，如不及时处理，那么 病毒会在这台机子上迅速扩散，其中的大量文件（一般是可执行文件 ）会被感染。而被感染的文件又成了新的传染源，再与其他机器进行 数据交换或通过网络接触，病毒会继续进行传染。 一般正常的程序是 由用户调用，再由系统分配资源，完成用户交给的任务。其目的对用 户是可见的、透明的。而病毒具有正常程序的一切特性，它隐藏在正 常程序中，当用户调用正常程序时窃取到系统的控制权，先于正常程 序执行，病毒的动作、目的对用户时未知的，是未经用户允许的。 病毒一般是具有很高编程技巧、短小精悍的程序。通常附在正常程序 中或磁盘较隐蔽的地方，也有个别的以隐含文件形式出现。目的是不 让用户发现它的存在。 病毒的分类 按传染方式分为：引导型病毒、文件型病毒、混合型病毒、宏病毒、脚 本病毒。 文件型病毒一般只传染磁盘上的可执行文件（COM，EXE）。 混合型病毒兼有以上两种病毒的特点，既染引导区又染文件，因此扩大 了这种病毒的传染途径。 宏病毒是一种寄存在文档或模板的宏中的计算机病毒。 脚本病毒是使用VB Script或者JavaScript脚本语言编写而成，可以在 Win word、网页、电子邮件中。 网页病毒是脚本病毒的一种，使用一些SCRIPT语言编写的一些恶意代 码利用IE的漏洞来实现病毒植入。当用户登录某些含有网页病毒的网站 时，网页病毒便被悄悄激活，这些病毒一旦激活，可以利用系统的一些 资源进行破坏。轻则修改用户的注册表，使用户的首页、浏览器标题改 变，重则可以关闭系统的很多功能，装上木马，染上病毒，使用户无法 正常使用计算机系统，严重者则可以将用户的系统进行格式化。 电子邮件病毒是脚本病毒的另外一种表现形式。病毒通常是把自己作为 附件或者做成带脚本的HTML，发送给被攻击者。 病毒检测技术 病毒码扫描法 加总比对法(Check-sum) 人工智能陷阱 软件模拟扫描法 VICE(VirusInstructionCodeEmulation)-先知扫描 法 即时I/O扫描(RealtimeI/OScan) 网络黑客 黑客是那些检查网络系统完整性和完全性的人，他们 通常具有硬件和软件的高级知识，并有能力通过创新 的方法剖析系统。“黑客”能使更多的网络趋于完善 和安全，他们以保护网络为目的，而以不正当侵入为 手段找出网络漏洞。 入侵者只不过是那些利用网络漏洞破坏网络的人，他 们往往做一些重复的工作（如用暴力法破解口令）， 与黑客不同的是他们以破坏为目的，这些群体称为“ 骇客”。 网络黑客攻击手段 获取口令 放置特洛伊木马程序 WWW的欺骗技术 电子邮件攻击 通过一个节点来攻击其他节点 网络监听 寻找系统漏洞 利用账号进行攻击 偷取特权 黑客攻击防范措施 经常做Telnet、Ftp等需要传送口令的重要机密信息应用的主 机应该单独设立一个网段，以避免某一台个人机被攻破，被攻 击者装上sniffer，造成整个网段通信全部暴露。有条件的情况 下，重要主机装在交换机上，这样可以避免sniffer偷听密码。 专用主机只开专用功能，如运行网管、数据库重要进程的主机 上不应该运行如Sendmail这种bug比较多的程序。网管网段路 由器中的访问控制应该限制在最小限度，研究清楚各进程必需 的进程端口号， 关闭不必要的端口。 对用户开放的各个主机的日志文件全部定向到一个服务器上， 集中管理。该服务器可以由一台拥有大容量存贮设备的Unix或 NT主机承当。定期检查备份日志主机上的数据。 网管不得访问Internet。并建议设立专门机器使用ftp或WWW 下载工具和资料。 黑客攻击防范措施（2） 提供电子邮件、WWW、DNS的主机不安装任何开发 工具，避免攻击者编译攻击程序。 网络配置原则是“用户权限最小化”，例如关闭不必 要或者不了解的网络服务， 不用电子邮件寄送密码。 下载安装最新的操作系统及其它应用软件的安全和升 级补丁，安装几种必要的安全加强工具，限制对主机 的访问，加强日志记录，对系统进行完整性检查，定 期检查用户的脆弱口令，并通知用户尽快修改。重要 用户的口令应该定期修改（不长于三个月），不同主 机使用不同的口令。 黑客攻击防范措施（3） 期检查系统日志文件，在备份设备上及时备份。制定 完整的系统备份计划，并严格实施。 定期检查关键配置文件（最长不超过一个月）。 制定详尽的入侵应急措施以及汇报制度。发现入侵迹 象，立即打开进程记录功能，同时保存内存中的进程 列表以及网络连接状态，保护当前的重要日志文件， 有条件的话，立即打开网段上另外一台主机监听网络 流量，尽力定位入侵者的位置。如有必要，断开网络 连接。在服务主机不能继续服务的情况下，应该有能 力从备份磁带中恢复服务到备份主机上。 杀毒的基本原理 目前的大多数杀病毒软件采用的方法主要是特征码查毒 方案与人工解毒并行，亦即在查病毒时采用特征码查毒 ，在杀病毒时采用人工编制解毒代码。如特征码技术， 它是基于对已知病毒分析、查解的反病毒技术。 杀毒软件简介 瑞星 金山毒霸 江民杀毒 卡巴斯基 诺顿 防火墙的工作原理 计算机网络防火墙是设置在被保护网络和外部网络之 间的一道屏障，以防止发生不可预测的、潜在破坏性 的侵入，如黑客供给、病毒破坏、资源被盗用或文件 被篡改等。它可以通过监测、限制、更改跨越防火墙 的数据流，尽可能地对外部屏蔽网络内部的信息、结 构和运行状况，以此来实现网络的安全保护。 防火墙的类型 数据包过滤防火墙 应用级网关 代理服务器防火墙 混合型防火墙 防火墙的实现方式 分组过滤路由器 双穴防范网关 过滤主机网关 过滤子网防火墙 吊带式防火墙 防火墙软件 天网防火墙 瑞星个人防火墙 金山网镖 计算机网络管理功能 1）故障管理(Fault Management) 2）配置管理(Configuration Management) 3）计费管理(Accounting Management) 4）性能管理(Performance Management) 5）安全管理(Security Management) 网络管理体系结构 用于定义网络管理系统的结构及系统成员间相互关系 的一套规则。根据网络管理体系结构的定义可知，网 络管理体系结构需要研究以下的问题：研究单个网管 系统内部的结构及其成员间的关系，研究多个网管系 统如何连接构成管理网络以管理复杂的网络。 网络管理协议 简单网络管理协议SNMP(Simple Net-work Management Protocol)； 公共管理信息服务和公共管理信息协议 CMIS/CMIP(Coommon Management Information Sever/Common Maagement Information Protocol)。 SNMP SNMP协议的工作机制非常简单，主要通过各种不 同类型的消息，即PDU（协议数据单位）实现网络 信息的交换。PDU实际上就是一种变量对象，其中 每一个变量都是由标题和变量值两部分组成。 SNMP主要使用5种类型的PDU对网络实施监控，两 种用于读取终端信息，两种可以设置终端数据，最后 一种被用来监视各种终端事件，如终端的启动和关闭 等。 SNMP协议的优点 设计简单，既不需要复杂的实现过程，也不会占用太 多的网络资源，非常便于使用。 一般来说， SNMP协议所使用的各种变量主要包含以下信息： 变量标题；变量数据类型，如整数，字串等；变量是 否具有信息读取或读写功能；变量值。 使用广泛，几乎所有的网络管理人员都使用简单的 SNMP来完成工作操作。这就促使各大网络硬件产 品商在设计和生产网桥、路由器等网络设备时都加入 了对SNMP协议的支持。 良好的可扩展性，因为协议本身非常简单，所以对协 议的任何升级或扩展也非常方便，从而能够满足今后 网络的发展需求。 SNMP协议的缺点 SNMP协议存在一些 安全 漏洞，网络入侵者很容易获取正在通过网络 传递的各种信息，设置可以关闭某些终端。对此，SNMP提出了自己 的解决方案，在新版本SNMPv2中增加了一些安全机制，可以有效的 解决以下几种安全性问题：数据的保密性，可以防止网络入侵者获取 网络信息；验证，可以防止网络入侵者通过网络发送虚假数据；访问 控制，限制不同用户可以使用的变量类型，从而避免由于单个用户的 错误操作所引发的网络崩溃。 SNMP太过简单而无法处理各种细节信息，无法满足当今日益膨胀的 网络的发展需要。同样，SNMPv2对这一问题也进行了改进。新版本 的协议允许使用更多，更加详细的变量规范，并且加入了两种新的 PDU可以对方便数据读取的表数据结构对象进行管理和控制。事实上 ，SNMPv2中融入了如此多的新功能，以至使协议规范从最初的36页 猛增到416页。也有人认为SNMPv2已经丧失了原先的简单性，但是 从另一方面来说，对SNMP的改造也是必需的，在网络飞速发展了几 十年之后，SNMP必须能够适应新时代的网络要求。 CMIP CMIP在设计上以SNMP为基础，对SNMP的缺陷进 行了改进，是一种更加复杂，更加详细的网络管理协 议。CMIP同样使用PDU变量对网络进行监控，但是 相对于SNMP所具有的5种不同类型的PDU，CMIP 进行了扩充，一共包含11种PDU。 CMIP协议所使用的变量是一种非常复杂的数据结构 ，具有许多不同的属性。其中包括：变量属性：表示 变量的各种特征，如数据类型，是否可写等；变量行 为：变量可以触发的行为类型；提示：变量可以在特 定事件发生时产生事件报告。例如，当有终端关闭时 就会触发变量提示事件。 CMIP的特点 协议所使用的变量不仅可以象SNMP那样在网络管理系统和终 端之间传递信息，还可以被用来执行各种在SNMP中不可能实 现的任务。例如，如果网络上的一台终端在预先设定的时间内 无法访问文件服务器，CMIP就可以及时向有关人员发出事件 提示，从而避免了整个过程中的人工干预。因此，CMIP可以 说是一种更加有效的网络管理系统，可以大大简化用户对网络 的人工监控。 解决了SNMP协议中所存在的许多问题。例如，CMIP内置了 安全 管理设备，支持验证、访问控制和安全日志等安全防范措 施，从而使CMIP协议本身成为一种安全的系统，不必再象 SNMP那样需要进行安全升级。 CMIP的不足在于，CMIP协议所占用的网络系统资源相当于 SNMP的十倍。也就是说，如果不进行大规模的改造，很少有 网络系统能够全面的支持CMIP。 SNMP 简单网络管理协议(SNMP)是最早提出的网络管理协 议之一，它一推出就得到了广泛的应用和支持，特别 是很快得到了数百家厂商的支持，其中包括IBM， HP，SUN等大公司和厂商。目前SNMP已成为网络 管理领域中事实上的工业标准，并被广泛支持和应用 ，大多数网络管理系统和平台都是基于SNMP的。 SNMP的前身是简单网关监控协议(SGMP)，用来对 通信线路进行管理 SNMP的体系结构 保持管理代理(agent)的软件成本尽可能低；最大限 度地保持远程管理的功能，以便充分利用Internet的 网络资源；体系结构必须有扩充的余地；保持 SNMP的独立性，不依赖于具体的计算机、网关和 网络传输协议。在最近的改进中，又加入了保证 SNMP体系本身安全