计算机网络的安全和管理PPT演示文稿

1、1,第六章 计算机网络的安全和管理,2,6.1 计算机网络安全,网络信息系统按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理，“安全”一词是指使其没有危险、不受威胁、不出事故，即将服务与资源的脆弱性降到最低限度。脆弱性是指系统的任何弱点。系统的安全包括攻与防两个方面，为了有助于提升计算机网络的安全，不仅要发明新的技术来破坏系统的安全性，同时，又发展新的技术来抵御这种进攻。 从技术角度看，计算机网络安全是一个涉及计算机科学、网络技术、通信技术、密码学、数学、信息论等多种学科的边缘性综合学科,3,1. 黑客,“黑客”一词在信息安全范畴内的普遍含意是特指对电脑系统的非法侵入者。

2、黑客(hacker)：对技术的局限性有充分认识，具有操作系统和编程语言方面的高级知识，热衷编程，查找漏洞，表现自我。他们不断追求更深的知识，并公开他们的发现，与其他人分享；主观上没有破坏数据的企图。 骇客（cracker）：以破坏系统为目标。 “红客”honker：中国的一些黑客自称“红客”honker。 美国警方：把所有涉及到利用、借助、通过或阻挠计算机的犯罪行为都定为hacking。,4,2、安全隐患,a) 硬件的安全隐患； b) 操作系统安全隐患； c) 网络协议的安全隐患； d) 数据库系统安全隐患； e) 计算机病毒； f) 管理疏漏，内部作案。,5,2、安全隐患,硬件设备的安全隐患

3、 CPU: 在奔腾III CPU中加入处理器序列号，因此Intel涉嫌干涉个人隐私，但要害问题则是政府机关、重要部门非常关心由这种CPU制造的计算机在处理信息或数据时所带来的信息安全问题，即这种CPU内含有一个全球唯一的序列号，计算机所产生的文件和数据都会附着此序列号，因而由此序列号可以追查到产生文件和数据的任何机器。,6,2、安全隐患,网络设备： 我国计算机网络使用的绝大部分网络设备，如路由器、集线器、交换机、服务器、以及网络软件等都是进口的，其安全隐患不容忽视。一些交换机和路由器具有远程诊断和服务功能，既然可以远程进入系统服务、维修故障，也就可以远程进入系统了解情报、越权控制。更有甚者，国

4、外一著名网络公司以跟踪服务为由，在路由器中设下机关、可以将网络中用户的包信息同时送一份到其公司总部。,7,2、安全隐患,b)操作系统安全隐患 计算机操作系统历来被美国一些大公司所垄断，但这些操作系统的源程序都是不公开的，在安全机制方面存在着诸多漏洞和隐患。计算机黑客能轻而易举地从后门进入系统，取得系统控制权，并危及计算机处理或存储的重要数据。如Windows95存在两千多处缺陷。,8,2、安全隐患,b)操作系统安全隐患 OS的体系结构造成其本身不安全 1、I/O、系统服务程序等都可用打补丁方式进行动态连接。厂商用这种方式升级，而攻击者也用此方法。 2、为了实现通用性、可裁剪性，能够安装其他公司

5、的软件包，这些软件包往往是操作系统的一部分，需要与操作系统同样的访问特权，安装这些软件包的“抓钩”程序就是非法攻击者入侵操作系统的陷门。 3、网络上进行文件传输、加载将带来安全隐患。另外，能进行远程进程的创建与激活，这为安装“间谍”软件提供了条件。 4、操作系统存在隐蔽信道：进程间通过不受强制访问控制保护的通信途径。,9,2、安全隐患,c)网络协议的安全隐患 网络协议也都由美国等国家开发或制定标准。 其安全机制也存在先天不足，协议还具有许多安全漏洞，为攻击者提供了方便，如地址欺骗等。Internet应用协议中缺乏认证、保密等措施，也使攻击者比较容易得手。 TCP/IP协议安全漏洞：包监视、泄露

6、、地址欺骗、序列号攻击、路由攻击、拒绝服务、鉴别攻击。 应用层安全隐患：Finger、FTP、Telnet、E-mail、SNMP、RPC、NFS,10,2、安全隐患,d)数据库系统安全隐患 由于数据库平台全系引进，尽管厂商声称具有安全机制，但对国内用户犹如一个黑匣子。 数据库的攻击分直接攻击和间接攻击两大类。直接攻击是通过查询以得到几个记录来直接搜索并确定敏感字段的值，最成功的技术是形成一种特定的查询它恰与一个数据项相匹配。间接攻击是依据一种或多种统计值推断出结果。统计攻击通过使用某些明显隐匿的统计量来推导出数据，例如使用求和等统计数据来得到某些数据。,11,2、安全隐患,e)计算机病毒威胁

7、 计算机病毒是一种能够进行自我复制的程序，可以通过多种方式植入计算机中，通过Internet网植入病毒更容易。病毒运行后可能损坏文件、使系统瘫痪，造成各种难以预料的后果。由于在网络环境下，计算机病毒具有不可估量的威胁性和破坏力，因此计算机病毒的防范是网络安全性建设中重要的一环。新的病毒不仅删除文件、使数据丢失，甚至破坏系统硬件，可以造成巨大损失。1998年美国莫里斯病毒发作，一天之内使6000多台计算机感染，损失达9000万美元。,12,2、安全隐患,f) 管理疏漏，内部作案。 据权威资料片筑起网上长城介绍，互联网上的计算机犯罪、黑客攻击等非法行为来自于内部网络。金融、证券、邮电、科研院所、设

8、计院、政府机关等单位几乎是天生的受攻击者，内部人员对本单位局域网的熟悉又加剧了其作案和被外部人勾结引诱的可能性。,13,3. 网络安全的基本要素,安全的内涵（要素）：机密性confidentiality、完整性integrity、可用性availability、可控性与可审查性。 1、机密性：确保信息不暴露给未授权的实体或进程。加密机制。防泄密 2、完整性：只有得到允许的人才能修改实体或进程，并且能够判别出实体或进程是否已被修改。完整性鉴别机制，保证只有得到允许的人才能修改数据 。防篡改 数据完整，hash； 数据顺序完整，编号连续，时间正确。 3、可用性：得到授权的实体可获得服务，攻击者不能

9、占用所有的资源而阻碍授权者的工作。用访问控制机制，阻止非授权用户进入网络 。使静态信息可见，动态信息可操作。 防中断,14,3. 网络安全的基本要素,4、可控性：可控性主要指对危害国家信息（包括利用加密的非法通信活动）的监视审计。控制授权范围内的信息流向及行为方式。使用授权机制，控制信息传播范围、内容，必要时能恢复密钥，实现对网络资源及信息的可控性。 5、可审查性：对出现的安全问题提供调查的依据和手段。使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“逃不脱，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。,15,3. 网络安全的基本要素,此外信息系统还应提

10、供认证、访问控制、抗抵赖安全服务。 认证：保证信息使用者和信息服务者都是真实可信的，防止冒充和重演的攻击。真实性 访问控制：这种服务保证信息资源不被非授权地使用。（是否有权使用该资源） 抗抵赖：这种服务可取二种形式。 数字签名 1）源发证明：提供给信息接收者以证据，这将使发送者谎称未发送过这些信息或者否认它的内容的企图不能得逞； 2）交付证明：提供给信息发送者以证据，这将使接收者谎称未接收过这些信息或者否认它的内容的企图不能得逞。,16,4.安全保护的内容,计算机系统安全：物理安全、 运行安全和信息安全 物理安全：环境安全，设备安全和媒体安全。 运行安全：风险分析，审计跟踪，备份与恢复，应急。

11、 信息安全：操作系统安全，数据库安全，网络安全，病毒防护，访问控制，加密与鉴别七个方面。 1、物理安全 （环境、设备、媒体） 防雷电；门禁系统，防盗、防火、防有害气体；防电磁泄漏。 2、运行安全 为保障系统功能安全实现，提供一套安全措施（如风险分析，审计跟踪，备份与恢复，应急）来保护信息处理过程的安全。,17,4.安全保护的内容,风险分析：了解影响信息系统安全运行的因素和存在的风险，找出克服这些风险的方法。 计算机信息系统常见的风险有：设计者有意建立或因偶然故障而存在的“后门”；操作过程中的人为错误、意外事故、疏漏和权限错误；硬件故障；计算机系统出错引起的拒绝使用；电磁辐射引起的信息泄漏；火灾

12、和自然灾害；非授权处理和恶意攻击；内部人员进行数据偷窃的犯罪行为；伪造文件和记录；假冒别人的防问代码进入系统；不准确的或过时的信息；故意破坏；传输路径错误；搭线窃听和乘机而入；编程错误；对已删除信息的搜寻和复原；计算机病毒等等。,18,4.安全保护的内容,审计跟踪：利用计算机信息系统所提供的审计跟踪工具，对计算机信息系统的工作过程进行详尽的跟踪记录，同时保存好审计记录和审计日志，并从中发现和及时解决问题，保证计算机信息系统安全可靠地运行。要求系统管理员保存、维护和管理好审计日志。 应急措施和备份恢复：要根据所用信息系统的功能特性和灾难特点制定包括应急反应、备份操作、恢复措施三个方面内容的应急计

13、划，一旦发生灾害事件，就可按计划方案最大限度地恢复计算机系统的正常运行。,19,4.安全保护的内容,3、信息安全 防止信息被故意的或偶然的非授权读取、更改、破坏或使信息被非法的系统辨识，控制。确保信息的完整性、保密性，可用性和可控性。 网络信息既有存储于网络节点上信息资源，即静态信息，又有传播于网络节点间的信息，即动态信息。而这些静态信息和动态信息中有些是开放的，如广告、公共信息等，有些是保密的，如:私人间的通信、政府及军事部门、商业机密等。 保护用户利益和隐私。,20,4.安全保护的内容,信息的风险级别：根据敏感性分类。 非保密的：不需保护。如出版的年度报告、新闻信件等。 内部使用的：在公司

14、和组织内部不需保护，可任意使用，但不对外。包括标准、备忘录和组织内部的电话记录本等。 受限制的：包括那些泄漏后不会损害公司和组织的最高利益的信息。例如客户数据和预算信息等。 保密的：包括那些泄漏后会严重损害公司和组织利益的信息。例如市场策略和专用软件等。保密数据根据其保密程度可分为秘密、机密、绝密三类。敏感性程度依次递增这是按照泄漏后对公司和组织利益的损害程度来排序的。,21,6.1.1 数据加密,1 概述 1） 加密和解密 消息被称为明文。用某种方法伪装消息以隐藏它的内容的过程称为加密，加了密的消息称为密文，而把密文转变为明文的过程称为解密。,22,1） 加密和解密,明文Plaintext

15、密文Cipher text 加密Encryption 解密Decryption 密钥key 明文用P或M（消息）表示，密文用C表示。加密函数E作用于P得到密文C，可以表示为：E（P）=C。相反地，解密函数D作用于C产生P：D（C）=P。 先加密后再解密消息，原始的明文将恢复出来，故有：D（E（P）=P。,23,1） 加密和解密,加密时可以使用一个参数K，称此参数K为加密密钥。K可以是很多数值里的任意值。密钥K的可能值的范围叫做密钥空间。 密码系统由加密算法、解密算法、明文空间、密文空间和密钥组成。,24,25,1） 加密和解密,1）如果加密和解密运算都使用这个密钥（即运算都依赖于密钥，并用K作

16、为下标表示），这样，加/解密函数现在变成： EK（P）=C DK（C）=P,26,1） 加密和解密,2）有些算法使用不同的加密密钥和解密密钥，即加密密钥K1与解密密钥K2不同，在这种情况下： EK1（P）=C DK2（C）=P DK2 （EK1（P）=P,27,2） 对称算法和公开密钥算法,基于密钥的算法通常有两类：对称算法和公开密钥算法。 1）对称算法 对称算法就是加密密钥能够从解密密钥中推算出来，反过来也成立。在大多数对称算法中，加/解密密钥是相同的。这些算法也叫秘密密钥算法或单密钥算法，它要求发送者和接收者在安全通信之前，商定一个密钥。对称算法的安全性依赖于密钥，泄漏密钥就意味着任何人都

17、能对消息进行加/解密。 对称算法可分为两类。序列密码与分组密码。,28,1）对称算法,序列密码一直是作为军事和外交场合使用的主要密码技术之一，通过有限状态机产生性能优良的伪随机序列，使用该序列加密信息流，逐比特加密得到密文序列，所以，序列密码算法的安全强度完全决定于它所产生的伪随机序列的好坏。 分组密码是将明文分成固定长度的组（块），如64比特一组，用同一密钥和算法对每一块加密，输出也是固定长度的密文。,29,2）公开密钥算法（非对称算法）,公开密钥算法中用作加密的密钥不同于用作解密的密钥，而且解密密钥不能根据加密密钥计算出来（至少在合理假定的长时间内），所以加密密钥能够公开，每个人都能用加密

18、密钥加密信息，但只有解密密钥的拥有者才能解密信息。在公开密钥算法系统中，加密密钥叫做公开密钥（简称公钥），解密密钥叫做秘密密钥（私有密钥，简称私钥）。,30,2 密码模式,电子密码本模式（Electronic Codebook Mode ，ECB） 在密码分组链模式（Cipher Block Chaining Mode ，CBC） 密码反馈模式（Cipher Feedback Mode ，CFB） 输出反馈模式（Output Feedback Mode ，OFB）,31,3 链路加密与端到端加密,链路加密是对两个节点之间的单独通信线路上数据进行加密保护。它侧重于在通信链路上而不考虑信源和信宿。

19、 端到端加密为网络提供从源到目的的传输加密保护。端到端加密则指信息由发送端自动加密，并进入TCP/IP数据包回封，然后作为不可阅读和不可识别的数据穿过互联网，当这些信息一旦到达目的地，将自动重组、解密，成为可读数据。,32,4 传统密码学,1.换位密码 换位加密是将明文字母互相换位，明文的字母保持相同，但顺序被打乱了。例如：线路加密法 明文以固定的宽度水平写出，密文按垂直方向读出。 明文：COMPUTERSYSTEMSECURITY COMPU TERSY STEMS ECURI TY 密文：CTSETOETCYMREUPSMRUYSI,33,4 传统密码学,2、代替法 ：代替密码就是明文中每

20、一个字符被替换成密文中的另外一个字符，代替后的各字母保持原来位置。对密文进行逆替换就可恢复出明文。 有四种类型的代替密码： （1）单表（简单）代替密码：就是明文的一个字符用相应的一个密文字符代替。加密过程中是从明文字母表到密文字母表的一一映射。例：恺撒（Caesar)密码。 （2）同音代替密码：它与简单代替密码系统相似，唯一的不同是单个字符明文可以映射成密文的几个字符之一同音代替的密文并不唯一。 （3）多字母组代替密码：字符块被成组加密，例如“ABA”可能对应“RTQ”，ABB可能对应“SLL”等。例：Playfair密码。 （4）多表代替密码：由多个单字母密码构成，每个密钥加密对应位置的明文

21、。 例：维吉尼亚密码。,34,4 传统密码学,3、凯撒（Caesar）密码 令26个字母分别对应于025，a=1，b=2y=25，z=0。 凯撒加密变换实际上是c (m + k) mod 26 其中m是明文对应的数据，c是与明文对应的密文数据，k是加密用的参数，叫密钥。比如明文：data security 对应数据序列：4，1，20，1，19，5，3，21，18，9，20，25 k=5时，得密文序列 9，6，25，6，24，10，8，0，23，14，25，4 密文：ifyxjhzwnyd 缺点：容易破解密码。,35,4 传统密码学,4、Playfair密码（英国曾用） 密钥由25个英文字母（J

22、与I相同）组成的5阶方阵。 每一对明文字母 m1和m2，都根据下面的6条规则进行加密。 （1）明文字母 m1和m2同行。密文是其右边字母。 （2）明文字母 m1和m2同列。密文是其下边字母。 （3）明文字母 m1和m2不同行、不同列。密文是长方形的另两个顶点。 （4）明文字母 m1和m2相同。在m1和m2之间加一个无效字母。 （5）明文有奇数个字母，末尾加一个无效字母。 （6）I、J看成是相同字母。,36,4 传统密码学,6、一次一密密码 一次一密密码：发方和收方各保存一份一次一密乱码本，它是一个大的不重复的真随机密钥字母集。发方用乱码本中的某一页密钥加密明文。加密方法：明文字符和乱码本密钥字

23、符的模26加法。 每个密钥仅对一个消息使用一次。发方对所发的消息加密，然后销毁乱码本中用过的一页。收方有一个同样的乱码本，并依次使用乱码本上的每个密钥去解密密文的每个字符，然后销毁乱码本中用过的一页。,37,6.1.2 数字签名,1999年美国参议院已通过了立法，规定数字签名与手写签名的文件、邮件在美国具有同等的法律效力。数字签名实现的基本原理很简单，假设A要发送一个电子文件给B，则A、B双方只需经过下面三个步骤： 1）A用其私钥加密文件，这便是签名过程 2）A将加密的文件送到B 3）B用A的公钥解开A送来的文件,38,6.1.2 数字签名,以上方法符合Schneier总结的五个签名特征： 1

24、）签名是可信的，因为B是用A的公钥解开加密文件的，这说明原文件只能被A的私钥加密而只有A才知道自己的私钥。 2）签名是无法被伪造的，因为只有A知道自己的私钥。因此只有A能用自己的私钥加密一个文件。 3）签名是无法重复使用的，签名在这里就是一个加密过程，自己无法重复使用。 4）文件被签名以后是无法被篡改的，因为加密后的文件被改动后是无法被A的公钥解开的。 5）签名具有不可否认性，因为除A以外无人能用A的私钥加密一个文件。,39,6.1.3 身份认证,1 身份认证基本原理 身份认证是对网络中的主体进行验证的过程，用户必须提供他是谁的证明。 身份认证分为单向认证和双向认证。如果通信的双方只需要一方被

25、另一方鉴别身份，这样的认证过程就是一种单向认证。在双向认证过程中，通信双方需要互相认证对方的身份。,40,1 身份认证概述,从用户角度来看，非法用户常采用以下手段对身份认证过程中攻击： 数据流窃听(Sniffer)：由于认证信息要通过网络传递，并且很多认证系统的口令是未经加密的明文，攻击者通过窃听网络数据，就很容易分辨出某种特定系统的认证数据，并提取出用户名和口令。 拷贝/重传：非法用户截获信息，然后再传送给接收者。 修改或伪造：非法用户截获信息，替换或修改信息后再传送给接收者，或者非法用户冒充合法用户发送信息。,41,1. 身份认证概述,在计算机网络中，通常采用三种方法验证主体身份。 一是只

26、有该主体了解的秘密，如口令、密钥； 二是主体携带的物品，如智能卡； 三是只有该主体具有的独一无二的特征或能力，如指纹、声音、视网膜血管分布图或签字等。,42,2 认证协议,基于口令的身份认证 用户名/口令认证技术：最简单、最普遍的身份识别技术，如：各类系统的登录等。 口令具有共享秘密的属性，是相互约定的代码，只有用户和系统知道。例如，用户把他的用户名和口令送服务器，服务器操作系统鉴别该用户。 口令有时由用户选择，有时由系统分配。通常情况下，用户先输入某种标志信息，比如用户名和ID号，然后系统询问用户口令，若口令与用户文件中的相匹配，用户即可进入访问。 口令有多种，如一次性口令；还有基于时间的口

27、令,43,基于口令的身份认证,1、安全与不安全的口令 UNIX系统口令密码都是用8位(新的是13位)DES算法进行加密的，即有效密码只有前8位，所以一味靠密码的长度是不可以的。安全的口令要求： 1) 位数6位。 2) 大小写字母混合。 3)字母与数字混合。 4) 口令有字母、数字以外的符号。,44,1、安全与不安全的口令,不安全的口令则有如下几种情况： (1)使用用户名（帐号）作为口令。 (2)使用用户名（帐号）的变换形式作为口令。将用户名颠倒或者加前后缀作为口令，比如说著名的黑客软件John，如果你的用户名是fool，那么它在尝试使用fool作为口令之后，还会试着使用诸如fool123、lo

28、of、loof123、lofo等作为口令，只要是你想得到的变换方法，John也会想得到。,45,1、安全与不安全的口令,(3)使用自己或者亲友的生日作为口令。这种口令很脆弱，因为这样往往可以得到一个6位或者8位的口令，但实际上可能的表达方式只有1001231=37200种。 (4)使用常用的英文单词作为口令。这种方法比前几种方法要安全一些。一般用户选择的英文单词几乎都落在黑客的字典库里。 (5)使用5位或5位以下的字符作为口令。,46,加强口令安全的措施：,A、禁止使用缺省口令。 B、定期更换口令。 C、保持口令历史记录，使用户不能循环使用旧口令。 D、用口令破解程序测试口令。,47,2、口令

29、攻击的种类,计算资源依靠口令的方式来保护是很脆弱的 1）网络数据流窃听 由于认证信息要通过网络传递，并且很多认证系统的口令是未经加密的明文，攻击者通过窃听网络数据，就很容易分辨出某种特定系统的认证数据，并提取出用户名和口令。口令被盗也就是用户在这台机器上的一切信息将全部丧失，并且危及他人信息安全，计算机只认口令不认人。最常见的是电子邮件被非法截获。,48,2、口令攻击的种类,2）认证信息截取/重放(Record/Replay) 有的系统会将认证信息进行简单加密后进行传输，如果攻击者无法用第一种方式推算出密码，可以使用截取/重放方式。 对付重放的方法有： 在认证交换中使用一个序数来给每一个消息报

30、文编号 ，仅当收到的消息序号合法时才接受之； 使用时间戳 (A接受一个新消息仅当该消息包含一个 A认为是足够接近 A所知道的时间戳 ); 询问 /应答方式 (A期望从 B获得一个新消息 ，则先发给 B一个临时值 ，并要求后续从 B收到的消息包含正确的这个临时值 ),49,2、口令攻击的种类,3）字典攻击：由于多数用户习惯使用有意义的单词或数字作为密码，某些攻击者会使用字典中的单词来尝试用户的密码。所以大多数系统都建议用户在口令中加入特殊字符，以增加口令的安全性。 4）穷举尝试(Brute Force)： 这是一种特殊的字典攻击，它使用字符串的全集作为字典。如果用户的密码较短，很容易被穷举出来，

31、因而很多系统都建议用户使用长口令。 5）窥探： 攻击者利用与被攻击系统接近的机会，安装监视器或亲自窥探合法用户输入口令的过程，以得到口令。,50,2、口令攻击的种类,6）社交工程： 攻击者冒充合法用户发送邮件或打电话给管理人员，以骗取用户口令。比如，在终端上发现如下信息： Please enter your user name to logon: Your password: 这很可能是一个模仿登录信息的特洛伊木马程序，他会记录口令，然后传给入侵者。 7）垃圾搜索： 攻击者通过搜索被攻击者的废弃物，得到与攻击系统有关的信息，如果用户将口令写在纸上又随便丢弃，则很容易成为垃圾搜索的攻击对象。,5

32、1,3、口令猜测与防止,口令猜中概率公式： P=LR/S 其中，L：口令生命周期 R：进攻者单位时间内猜测不同口令次数；S：所有可能口令的数目。 为降低猜中的概率： 减少口令使用寿命 ，即提高口令更换的频率 ; 降低进攻者单位时间内猜测尝试口令的次数 ; 增加可能口令的数目 ，即提高口令的字符个数。 然而，口令的频繁更换增加了用户的负担 ，也为资深入侵者提供了条件 (为了便于记忆 ，人们往往选择与其个人相关的口令 ，如某重要的日期 )；口令字符个数的增加也会增加用户的负担且不会对资深入侵者有更大影响 ，因此 ，手段 2应是较为有效的防猜中手段。即：,52,3、口令猜测与防止,共7个方法： 1.

33、选择很难破译的加密算法 让硬件解密商品不能发挥作用。 2.控制用户口令的强度(长度、混合、大小写) 3.掺杂口令 先输入口令，然后口令程序取一个 12 位的随机数(通过读取实时时钟)并把它并在用户输入的口令后面。然后加密这个复合串。最后把 64 位的加密结果连同 12 位的随机数一起存入口令文件。,53,3、口令猜测与防止,4.不要暴露账户是否存在的信息 例：打入一个用户名后，不论账户是否存在，都在相同时间里要求输入口令。 5.限制口令尝试次数。 6. 系统中只保存口令的加密形式,54,3、口令猜测与防止,7.一次性口令 （OTP：One Time Password） 在登录过程中加入不确定因

34、素，使每次登录过程中传送的信息都不相同，以对付重放攻击。确定口令的方式： 1）声称者与验证者两端共同拥有一串随机口令，在该串的某一位置保持同步。用于人工控制环境中。 2）两端共同使用一个随机序列生成器，在序列生成器的初态保持同步。 3）使用时戳，两端维持同步的时钟。,55,6.2 防火墙,防火墙是一种用来加强网络之间访问控制的特殊网络设备，常常被安装在受保护的内部网络连接到Internet的点上，它对传输的数据包和连接方式按照一定的安全策略对其进行检查，来决定网络之间的通信是否被允许。防火墙能有效得控制内部网络与外部网络之间的访问及数据传输，从而达到保护内部网络的信息不受外部非授权用户的访问和

35、对不良信息的过滤。,56,什么是防火墙(Firewall) ？,防火墙：在两个信任程度不同的网络之间设置的、用于加强访问控制的软硬件保护设施。,57,一、防火墙的用途,1）作为“扼制点”，限制信息的进入或离开； 2）防止侵入者接近并破坏你的内部设施； 3）监视、记录、审查重要的业务流； 4）实施网络地址转换，缓解地址短缺矛盾。 防火墙只允许已授权的业务流通过，而且本身也应抵抗渗透攻击。 建立防火墙必须全面考虑安全策略，否则形同虚设。,58,二、好的防火墙系统,1）内部网络和外部网络之间传输的数据必须通过防火墙； 2）只有防火墙系统中安全策略允许的数据可以通过防火墙； 3）防火墙本身不受各种攻击

36、的影响。,59,三、防火墙的特点,1、广泛的服务支持：通过将动态的、应用层的过滤能力和认证相结合，可实现WWW浏览器、HTTP服务器、 FTP等； 2、对私有数据的加密支持：保证通过Internet进行虚拟私人网络和商务活动的安全； 3、客户端认证：只允许指定的用户访问内部网络或选择服务：企业本地网与分支机构、商业伙伴和移动用户间安全通信的附加部分；,60,三、防火墙的特点,4、反欺骗：欺骗是从外部获取网络访问权的常用手段，它使数据包好似来自网络内部。防火墙能监视这样的数据包并能扔掉它们； 5、C/S模式和跨平台支持：能使运行在一平台的管理模块控制运行在另一平台的监视模块。,61,四、防火墙的

37、优点,1.防止易受攻击的服务 通过过滤不安全的服务来降低子网上主系统的风险。 可以禁止某些易受攻击的服务(如NFS)进入或离开受保护的子网。 可以防护基于路由选择的攻击，如源路由选择和企图通过ICMP改向把发送路径转向遭致损害的网点。,62,四、防火墙的优点,2.控制访问网点系统 可以提供对系统的访问控制。如允许从外部访问某些主机(Mail Server和Web Server) ，同时禁止访问另外的主机。 3.集中安全性 防火墙定义的安全规则可用于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略。 可以定义不同的认证方法，而不需要在每台机器上分别安装特定的认证软件。外部用户只需要经过

38、一次认证即可访问内部网。例如对于密码口令系统或其他的身份认证软件等，放在防火墙系统中更是优于放在每个Internet能访问的机器上。,63,四、防火墙的优点,4.增强的保密、强化私有权 使用防火墙系统，站点可以防止finger 以及DNS域名服务。Finger能列出当前用户，上次登录时间，以及是否读过邮件等。 5.有关网络使用、滥用的记录和统计 防火墙可以记录各次访问，并提供有关网络使用率等有价值的统计数字。 网络使用率统计数字可作为网络需求研究和风险分析的依据；收集有关网络试探的证据，可确定防火墙上的控制措施是否得当，能否抵御试探和攻击。,64,五、防火墙的局限性,1）防火墙防外不防内 防火

39、墙可以禁止系统用户经过网络连接发送专有的信息，但用户可以将数据复制到磁盘、磁带上，放在公文包中带出去。如果入侵者已经在防火墙内部，防火墙是无能为力的。内部用户偷窃数据，破坏硬件和软件，并且巧妙地修改程序而不接近防火墙。对于来自知情者的威胁只能要求加强内部管理，如主机安全和用户教育、管理、制度等。,65,五、防火墙的局限性,2）不能防范绕过防火墙的攻击 防火墙能够有效地防止通过它进行传输信息，然而不能防止不通过它而传输的信息。例如，如果站点允许对防火墙后面的内部系统进行拨号访问，那么防火墙绝对没有办法阻止入侵者进行拨号入侵。 3）防火墙配置复杂，容易出现安全漏洞 4）防火墙往往只认机器（IP地址

40、）不认人（用户身份），并且控制粒度较粗。,66,五、防火墙的局限性,5）防火墙不能防范病毒 防火墙不能防止感染了病毒的软件或文件的传输。这只能在每台主机上装反病毒软件。 6）防火墙不能防止数据驱动式攻击。 当有些表面看来无害的数据被邮寄或复制到内部网主机上并被执行而发起攻击时，就会发生数据驱动攻击。特别是随着Java、JavaScript、ActiveX的应用，这一问题更加突出。,67,六、防火墙的基本结构,分组（包）过滤路由器 应用层网关 电路层网关,68,七、基本作用,网络层防火墙：保护整个网络不受非法入侵，采用的是分配过滤技术即采用IP数据报来设置分组过滤规则。 应用层防火墙：控制对应用

41、程序的访问，即允许访问某些应用程序而阻止访问其他应用程序，办法是安装代理软件。 电路层网络防火墙：根据规则建立一个网络到另一个网络的连接，不作任何审查，过滤，只是拷贝数据。,69,八、防火墙的配置,分组（包）过滤路由器 双宿主网关 主机过滤防火墙 子网过滤防火墙,70,6.3 网络管理基本知识,上一个,当前计算机网络的发展特点是：网络规模不断扩大，复杂性不断增加，网络的异构性越来越高。一个网络往往由若干大大小小的子网组成，集成了多种网络操作系统平台，包括不同厂家、公司的网络设备和通信设备等。同时，网络中还有许多网络软件提供各种服务。随着用户对网络的性能要求越来越高。如果没有一个高效的网络管理系

42、统对网络系统进行管理，那么很难保证为广大用户提供令人满意的服务。网络管理已成为网络发展中一个很重要的关键技术，对网络的发展有着很大的影响，并已成为现代信息网络中最重要的问题之一。,71,6.3 网络管理基本知识,到底什么叫网络管理，目前还没有严格统一的定义。一般来说，网络管理是以提高整个网络系统的工作效率、管理水平和维护水平为目标的，主要涉及对一个网络系统的活动及资源进行监测、分析、控制和规划的系统。 通常我们所讨论的网络管理主要是指计算机网络管理，但广义而言，它还包括电信网络管理。为了与传统网络管理区分，可以把目前的网络管理称为现代网络管理，其追求目标应是集成化、开放型、分布式的网络管理。,

43、72,6.3 网络管理基本知识,上一个,1.网络管理面临的网络运行状况 （1）网络的设备不断更新 （2）网络的协议不断发展 （3）网络的拓扑结构不断变化 （4）用户动态的加入和退出,73,6.3 网络管理基本知识,2.网络管理的任务目标 保障网络在任何情况下都能够有效地提供资源共享服务，实现网络正常、经济、可靠和安全的运行。,74,6.3.1 网络管理的基本功能,目前网络管理的功能可概括为网络的运行（Operation）、处理（Administration）、维护（Maintenance）和服务提供（Provisioning）等所需要的各种活动。即OAM&P。有时也狭义地只考虑前三项，即把网络

44、管理的功能归结为OAM。计算机网络管理的目的是实现GERS，即网络运行的General（正常）、 Economy（经济）、 Reliability（可靠）和Security（安全）.。,75,6.3.1 网络管理的基本功能,网络的“运行”包括网络的记费和通信量管理；“处理”包括收集和分析设备利用率、通信量等数据，并作出相应控制优化网络资源的使用效率；“维护”包括报警和性能监控、测试及故障修复等；“服务提供”包括向用户提供新业务和通过增加网络设备和设施来提高网络性能。 随着网络管理的日益重要，现在设计规划一个网络的时候也要考虑网络管理的需求。所以实际上网络管理的范围已经扩大到网络中通信活动的规划

45、和组织中。因为科学地规划和组织好一个网络是对它实施有效检测、计费和控制的前提。,76,6.3.1 网络管理的基本功能,由于网络设备，以及不同厂商开发的网络管理产品（软件或硬件）各不相同，而大家又是互连在一起的，所以网络管理需要标准化。 ISO很早就为网络管理制订了一个标准框架（ISO7498-4）。ISO将网络管理分为系统管理、层管理和层操作三个层次。层操作是对层次管理中的一个通信实例进行管理；层管理是对OSI的一个功能层的管理；系统管理则是对整个OSI系统的管理。在系统管理中，OSI提出了计算机网络管理的五个基本功能域（FCAPS）.,77,6.3.1 网络管理的基本功能,（1）性能管理 （

46、2）故障管理 （3）配置管理 （4）记帐管理 （5）安全管理,78,（1）性能管理,自动发现网络拓扑结构和网络配置的变化，实时监测设备状态进行网络及相关设备的性能统计，包括网络节点设备的可用率、网络节点设备的CPU利用率、网络节点设备的故障率、中继线路流量统计、网络上各种业务量的统计、网络时延统计等。周期性地收集、并向网管中心报告被监控网络资源的这些性能测量数据，该数据作为性能历史记录在网管中心保存一段时间，以便分析网络运行效率并及时发现瓶颈，为优化系统性能提供依据。,79,（2）故障管理,对来自硬件设备或路径结点的报警信息进行监控、报告和存储，以及进行故障的诊断、定位与处理。即接收错误监测报

47、告并作出响应，跟踪识别错误，执行诊断测试，维护并检查错误日志，形成故障统计。,80,（3）配置管理,涉及网络配置的收集、监视和修改等任务。如网络拓扑结构的规划、设备内各插件板的配置、路径的建立与拆除，网络接点设备部件和端口的配置，网络接点设备系统软件的配置， 配置操作过程的记录统计。以及通过插入、修改和删除操作来修改网络资源的配置(重构网络资源)等。,81,（4）记帐管理,管理各种电信业务资费标准，以及管理用户业务使用情况和费用等。,82,（5）安全管理,保护网络资源与设备不被非法访问，以及对加密机构中的密钥进行管理。,83,6.3.2 网络管理系统,上一个,网络管理系统组成： 从网络管理的角

48、度看，网络由线路和节点构成，节点由网络设备（包括软硬件）构成。网络管理有两个概念，即网元管理（ems）和网络管理（nms）。网元管理系统一般均由设备原厂商提供，实现对网络设备的故障管理、配置管理和性能管理。网络管理系统则需要对全网进行管理，要有拓朴发现功能、设备变化感知功能等等。,84,6.3.2 网络管理系统,网管通信方式： 网管的通信方式分为带外网管和带内网管。 带外网管是指通过专门的网管通道实现对网络的管理，将网管数据与业务数据分开，为网管数据建立独立的通道。 带内网管使得网络中的网管数据和业务数据在相同的链路中传输。,85,6.3.2 网络管理系统,3.网络管理模型： 网络管理模型是从

49、管理什么、由谁管理和如何管理等不同的侧面或观点来考察整个系统，而对原始系统的不同角度的抽象。 功能模型 信息模型 组织模型 通信模型,86,6.3.3 网络管理模型,1）功能模型：网络管理任务包括网络资源的规划和配置、系统工作负荷的测量、性能数据的收集和评价、故障的诊断和排除、用户访问权限检查和保护等。,87,6.3.3 网络管理模型,2）信息模型：涉及网络资源的数据表示。以统一的观点来看待所有与网络管理有关的网络资源及它们的关系。要管理的资源抽象为管理对象(Managed Object，MO)；资源的有关信息抽象为被管理对象的属性(Attribute)；资源之间的关系定义为管理对象的关系(R

50、elationship)；具有相同属性的管理对象集合称为对象类(Object Class)；具体的某一管理对象称为对象实例(Object Instance)。对象类的定义包括：从外部所看到的属性；作用于管理对象上的网管操作；管理对象对操作所做出的反应(即行为)，以及操作完毕后管理对象向管理者发回的通报。 MIB(Management Information Base)，MIB仅是一个概念上的数据库，实际中并不存在这样一个数据库。,88,6.3.3 网络管理模型,3）组织模型：涉及网管系统中管理进程所扮演的角色及其相互关系。通常管理进程可扮演三种角色：管理者(Manager)、代理(Agent)

51、和委托代理(Proxy Agent)。 4）通信模型：描述了网管系统中通信实体之间进行信息交换时所涉及的功能、协议和报文等。在OSI参考模型的最高应用层所使用的协议是CMIP和FTAM(文件传输、访问及管理协议)。CMIP是一个面向事务的协议，用于报警信息的传输、以及用户数据的交换。FTAM用来传输大量数据，如计费数据和统计数据。,89,6.3.4 网管系统工作原理,上一个,网络管理是建立在一个管理者和若干代理之间进行交互式会话方式的基础上，对网络资源(如网桥、网关、路由器、集线器、工作站、机柜中的插件板、通信软件等)的监控是采用管理者代理模式实现的。也就是说，每次网管活动都是通过网管请求的发

52、起者(网管中心的管理者进程)和网管请求的接收者(代理系统中的代理进程)之间的交互式会话实现的。作为管理者的软件实例(Instance)驻留在作为网管中心的系统中(UNIX操作系统居多)；而被网管中心监控的、作为代理的软件实例驻留在代理系统中。,90,6.3.4 网管系统工作原理,在管理者和代理之间可存在一对多的关系，即某一管理者可与若干个代理交换；反之，某一代理也可与若干个管理者交换信息进行信息。 为了在各网管系统中能彼此交换信息，管理者和代理必须使用相同的网管协议、功能模型、信息模型和通信模型，否则必须进行管理信息的转换，通常把这个过程称为迁移(Migration)。,91,6.3.5 网络

53、管理系统的评价,首先，网管系统应尽可能开放。由于绝对标准是不可能的，因此越接近标准越好，不要因一个产品而限制了整个网络系统的发展。 其次，产品必须经过证明，是确实可以应用的产品。 第三，除能将用户今天的网络环境很好地管理外，还要能配合其环境的成长，也就是在能很好利用现有环境的功能外，还能够满足用户系统在结点增长、增加设备、对新功能加入等方面不断发展的需求，即对投资的保护。 第四，要了解厂家的支持及服务，包括厂家是否有很好的技术培训及售后服务，其合作伙伴是否能有效地提供服务，在当地是否有人员来支持等等。,92,6.3.6 网络管理协议,上一个,网络管理协议是联系网络管理系统各个网元之间的纽带。是

54、网元之间交换管理信息的规则。 网管协议中管理资源的表示方法：管理信息库MIB（Management Information Base）是对于通过网络管理协议可以访问信息的精确定义。网络中存在许多被管理的实体，实体中可访问的管理信息使用MIB中的对象来标示，这些对象为网络管理者提供了相关网络实体中有关状态的信息。,93,6.3.6 网络管理协议,管理信息库MIB逻辑上是一个层次型、结构化的数据信息库。它存放被管设备上所有被管理对象与被管对象的值。不同的被管设备在MIB中有相同和不同的对象。如对一个路由器来说，MIB库可能包含关于路由选择表、接收包和发送包的总数等信息；而对于一个交换机来说，MIB

55、库可能包含关于转发包的数目和过滤表等信息。,94,6.3.6 网络管理协议,一个MIB描述了包含在数据库中的对象或表项。每一个对象或表项都有以下四个属性： 1）对象类型（Object Type） 2）语法（Syntax） 3）存取（Access） 4）状态（Status）,95,6.3.6 网络管理协议,上一个,MIB以树型结构描述，每一个数据项就是树型结构的叶子，对象标识符唯一地标识树型结构中的一个MIB对象。对象标识符结构是采用层次的方法构成的，每一层的对象由不同的机构来设定。 MIB树的根节点是没有编号的，它下面有三个子树： ccitt（0），由CCITT管理 iso（1），由ISO管理

56、 joint-iso-ccitt，由ISO和CCITT共同管理,97,6.3.7 网络管理关键技术,上一个,1.建模技术 根据ISO标准，采用OSI系统管理信息建模技术来建立信息模型。OSI系统管理试图从统一的角度去管理非常广泛的网络资源，这些资源既有物理的(如通信线路、网桥、网关、路由器、集线器、机柜内的插件板、通信软件等)，也有逻辑上的(如事件报告、策略、算法等)。这些网络资源被抽象为管理对象，并具有自己的属性，通过面向对象的方法，采用ASN.1(抽象语法表示法1)来描述这些资源。,98,6.3.7 网络管理关键技术,2.集成技术 网络管理包括网络管理功能集成和网络管理应用集成。网管系统的

57、集成方法主要有层次化集成和集成化网管平台两种。其中，集成化网管平台是现代网络管理系统的发展方向，它为网络管理应用提供了统一便捷的软件支撑环境。由于集成化网管平台可提供面向对象的标准应用编程接口(API)，因此网络设备厂商和用户可以利用API接口开发自己的网管应用软件。,99,6.3.7 网络管理关键技术,3.迁移技术 异构型互连网络在网管中心实现统一的网络管理。实现不同网管系统间管理信息的共享。两种方法，第一种是对由于历史原因还没有实现统一管理的网管系统进行迁移；第二种是采用标准化网管平台。迁移方法通常有以下三种：协议迁移、接口迁移与MIB迁移。,100,6.3.7 网络管理关键技术,上一个,

58、4.IP网络管理技术 基于SNMP的网络管理系统是由IETF提出并广泛应用于Internet，它的主要标准由一系列RFC组成，其特点为面向功能、集中控制、协议简单和支持广泛。 基于CMIP的网络管理系统由ISO提出并被ITU-T的TMN所采用，它的主要标准由ISO9595/9596及 ITU-T M.3000系列建议组成，其特点为面向对象、分布控制、协议复杂和支持较少。 网络管理系统的发展趋势是在TMN框架下结合SNMP和CMIP的优点向层次化、集成化、WEB化和智能化发展。,101,4.IP网络管理技术,在建设SNMP网管系统中主要存在如下问题需要考虑： 1网络管理系统的规模.网管系统的规模

59、遵循公式：NT/D 其中： N为代理数，它代表了网络及网络管理系统的规模； T为轮询周期，即对同一个代理的期望轮询间隔，它在一定程度上决定了网络管理系统的性能； D为执行一个完整的操作所需的平均时间。,102,4.IP网络管理技术,D它取决于如下因素： 网管工作站产生一个请求的时间 网管工作站到网管代理的网络时延 网管代理解释消息的处理时间 网管代理产生响应的处理时间 网管代理到网管工作站的网络时延 网管工作站接收和解释响应的处理时间 从一个网管代理处得到完整的期望信息所需的请求/响应次数,103,4.IP网络管理技术,2单一管理者和树形管理结构问题 由于基于SNMP的网管系统主要基于轮询方式，使得在满足一定性能要求的情况下可管理的设备数量是受限的，因此当网络规模超过最大数量时，可采用分割管理域方式或树形管理结构方式来解决。 3监测信息的收集和控制指令的发出及其充分性 网管系统所操作的信息项取决于设备所支持的MIB，目前在INTERNET上的主要MIB为MIB2，另外各个厂商还可定义其专用MIB。,104,6.3.8 计算机网络管理的体系结构,计算机网络包括通信子网和资源子网。计算机网络管理包括对资源子网的管理和对通信子网的管理。资源子网是由各个不同用户构成的，所以资源子网的