信息与网络安全技术与产品课件

1、信息安全博士后科研工作站 马东平 博士 2001-10-25,信息与网络安全技术与产品 Version 3,日程安排,安全概念 安全技术 安全产品 安全服务 结束语,安 全 概 念,机密数据包括什么内容,数据是怎样产生、存储和传输的,网络各部分是怎样协同工作的（关联性、依赖性）,它是怎样满足每一项工作需要的（应用、数据）,网络是怎样增长的(建设、扩展),网络怎样“平滑”地完成工作,什么样的资源需要保护,什么是威胁,怎样尽量减少风险对于系统内脆弱的威胁,什么是脆弱性,考察网络安全的每一个细节,理解安全概念,安全（security）的定义是“防范潜在的危机”。 保险（safety）则稍有不同，它更

2、侧重于可得性和连续的操作。 而真正的安全是关于网络的每一个部分的,Authentication Authorization Accounting Assurance Confidentiality Data Integrity,安全策略管理,Connectivity Performance Ease of Use Manageability Availability,Access,Security,Max,Min,Max,理解安全概念,Min,Max,安全曲线,投资额,安全性,最优平衡点,安全要素,完整性(Integrality) 是指信息在存储或传输时不被修改、破坏，或信息包的丢失、乱序等。

3、信息的完整性是信息安全的基本要求，破坏信息的完整性是影响信息安全的常用手段。 可靠性(Availability) 是指信息的可信度，接收者能接收到完整正确的信息，以及发送者能正确地发送信息。可靠性也是信息安全性的基本要素。 机密性(Confidentiality) 它主要利用现代密码技术对信息进行加密处理，防止静态信息的非授权访问和动态信息的非法泄漏或被截取。从某种意义上说，加密是实现信息安全的有效而且必不可少的技术手段。 可控性 可审查性 不可否认性,安全实务,目标 保障信息与网络系统稳定可靠地运行 保证网络资源受控合法地使用 方法 安全法规、法律、政策 技术方法、手段 步骤 信息安全工程的

4、方法,通俗的安全,进不来” 使用访问控制机制，阻止非授权用户进入网络，“进不来” “拿不走” 使用授权机制，实现对用户的权限控制，即不该拿走的，“拿不走”； “看不懂” 使用加密机制，确保信息不暴漏给未授权的实体或进程，即“看不懂”； “改不了” 使用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而其它人“改不了”； “走不脱” 使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者走不脱,应用层,应用层,内部网络,外部网络,内部接口,外部接口,应用层,应用层,OSI七层参考模型,IP HDR,DATA,ISO7498-2，信息安全体系结构,访问控制服务,鉴别服务,数据完整性服务

5、,数据保密服务,信息流安全,数据源点鉴别,数字签名机制,加密机制,数据完整性机制,访问控制机制,交换鉴别机制,路由控制机制,流量填充机制,公证机制,OSI安全管理,ISO7498-2到TCP/IP的映射,小结,保障信息与网络系统稳定可靠地运行 保证网络资源受控合法地使用,Public WWW Server,Campus Backbone,Hua-Tech Firewall,Intranet Servers,Gateway,Sales Office,Headquarters,Internet,Mainframe,CSS Secure,安 全 技 术,网络安全的主要技术,密码技术 计算机病毒防治技

6、术 信息泄露防护技术 鉴别，授权和身份认证技术 防火墙技术 VPN安全网关/信息网关技术 弱点漏洞分析/渗透式分析技术 监测，预警与响应技术 内容安全技术 应用安全技术 安全路由器 系统安全技术 数据库安全技术 物理隔离技术 灾难恢复与备份技术,密码技术,密码技术信息安全的基础 信源、信道、信宿 攻击的种类： 被动攻击 截取（Interception) 侦听，获取消息内容，流量分析 被动攻击 中断（Interruption) 干扰，破坏可用性 修改（Modification） 破坏完整性 伪造（Fabrication) 破坏真实性 角色：通信双方、可信第三方、不可信第三方 介质：软件、硬件、数

7、据,病毒防治技术,病毒，是指能够破坏计算机系统，影响计算机工作并能实现自我复制的一段程序或指令代码。 计算机病毒/网络病毒 病原体(病毒库)是病毒防止技术的关键 Virus Vs Trojan Horse(C/S程序) 传播方式（介质/下载/邮件/软件,信息泄露防治技术,辐射 线路窃听 带宽的增加，威胁逐渐减少,鉴别，授权和身份认证技术,鉴别 用来验证系统实体和系统资源(如用户、进程、应用)的身份，例如鉴别想访问数据库的人的身份，确定是谁发送了报文，防止有人假冒。 授权 是为完成某项任务而使用资源的权利、特权、许可证的证据，这种授权必须在系统资源的整个操作过程中始终如一地可靠地使用，还可对使用

8、网络服务，访问一些数据的敏感部分，规定特殊的授权要求。 身份认证系统 加强了原有的基于账户和口令的访问控制，提供了授权、访问控制、用户身份识别、对等实体鉴别、抗抵赖等功能。 OTP:一次一密的认证机制 动态口令：有基于时钟的动态口令机制 生物技术：生理特征的认证机制，眼睛或手指 IC卡：作为身份的秘密信息存储在IC卡,AAA,Kerberos RADIUS TACACS MS Login OTP PKI/Certificates COPS/DIAMETER DHCP/DNS mapping LDAP,Identify Server,统一口令,规则/配置,内部访问,拨号访问,Internet 访

9、问,RADIUS/TACACS MS Login OTP PKI/Certificates COPS/DIAMETER DHCP/DNS mapping LDAP,防火墙技术,防火墙是作为网络安全的第一道防线，是把内部网和公共网分隔的特殊网络互连设备，可以用于网络用户访问控制、认证服务、数据过滤等 安全区划/安全级别,防火墙技术要点,包过滤（Packet Filter） 地址转换NAT/端口转换PAT 地址绑定(Mac) 端口映射PMap/地址映射NMap 地址过滤/内容过滤/时间段控制 应用代理/传输代理 日志/审计/响应/日志处理 VPN/入侵检测/地址欺骗 身份认证/OTP 流量管理/计

10、费管理/动态路由 TCP/IP/IPX 透明接入/非透明接入 双机冷备/双机热备/负载均衡 本地管理/远程管理/集中管理/用户分权 界面（CLI/GUI/WEB,防火墙职责,防火墙应该作什么？ 安全边界 访问控制 保护敏感的数据服务器机群/关键的应用 防火墙不用该作什么？ 深层次入侵检测 病毒过滤 其他,防火墙技术发展趋势,与IDS的连动/互动 连动的风险/利弊得失,弱点漏洞分析/渗透式分析技术,基于弱点漏洞的安全管理（风险管理） 入侵成功三要素 机会/动机/机会 黑客的机会=企业的风险 风险=弱点漏洞+错误（不恰当）配置/误操作 风险识别 风险度量 风险控制 风险管理,BUGTRAQ/CVE

11、/ISS,BUGTRAQ CVE ISS,渗透式分析技术,零知识测试（黑盒测试 ） 对目标环境的信息毫无了解的前提下进行测试，是提供尽可能现实的模拟测试。 Probing Exploiting Vulerability Mapping Intruding,入侵检测技术,基于网络行为的安全管理（行为管理） 防火墙技术的补充 模式发现技术 前提：所有入侵行为和手段（及其变种）都能够表达为一种模式或特征 关键：如何表达入侵的模式，把真正的入侵与正常行为区分开来 局限：它只能发现已知的攻击，对未知的攻击无能为力 异常发现技术 前提：所有入侵行为都是与正常行为不同的 关键：异常阀值与特征的选择 局限：并

12、非所有的入侵都表现为异常，而且系统的轨迹难于计算和更新,入侵检测技术,信息采集技术 分片重组(Fragment)技术 会话跟踪技术 解码技术 自定义规则,入侵检测技术,Honeypot/Honeynet 主动防御的主机、僚机网络模型 网络攻击的诱骗方法 实时追踪攻击行为，快速查找定位攻击源 主机与僚机的动态自动切换 僚机对攻击来源的吸收与反击模型 自动瘫痪攻击路径,信息监控与过滤技术,网络作为媒体的网络，它在舆论、道德和文化等层面威胁和损害国家利益； 网络作为一种信息通道和国家运行管理环境，它为境外敌对势力和间谍情报组织提供手段，从而威胁和损害国家利益。 基于信息流的安全管理（内容管理） 信息

13、挖掘技术 信息过滤技术 反路由技术,VPN技术,虚拟专用网（Virutal Private Network, VPN）技术 指一种特殊的私有数据通信网络，特殊之处在于VPN是建立在Internet等公共网络上而非通过物理的专线连接而成，它通过一个安全私用的通道来将远程用户、公司分支机构、公司的业务伙伴等和公司的企业网连接起来，构成一个扩展的公司企业网。 VPN采用了密码学领域的成熟技术 数据机密性：用加密来隐藏明文信息，防范窃听者； 数据完整性：证实数据报文在传输过程中未被修改过； 数据源认证：证实数据报文是所声称的发送者发出的,IPSec,IPSec 提供: 数据验证 数据机密性 防止重播

14、安全通道 建立基于标准的Internet访问,Encrypted,IP HDR,IP HDR,DATA,IPSec HDR,DATA,Transport Mode,IP HDR,DATA,IPSec HDR,IP HDR,New IP HDR,DATA,Tunnel Mode,Encrypted,IPSec Modes,安全路由器,提供了某些基于地址或服务的过滤机制，可以在一定程度上限制网络访问。（具有防火墙的功能） 带信息加密的路由器。（成对使用,安全操作系统,操作系统的安全是网络系统安全的基础 级别定义（DOD橘皮书） A级：确定性保护 B级：强制性保护 C级：自主性保护 D级：未经安全评

15、估,操作系统安全,操作系统安全是对安全级别较低的操作系统的一个安全增强或加固 接管系统命令/系统调用 Sec-Shell 接管Shell SSH,安全网关,面向信息的安全网关 面向用户的安全网关 VPN,应用安全技术,基于安全协议的应用安全技术开发 SSL(Security Socket Layer) SSL记录协议 ：它涉及应用程序提供的信息和分段、压缩、数据认证和加密。 SSL握手协议：用来交换版本号、加密算法、（相互）身份认证并交换密钥。 SET(Security Electric Tralsate) Visa、Mastercard和微软等联手开发 ; 规定了信用卡持卡人用其信用卡通过Internet进行付费的方法； 后台有一个证书颁发的基础结构； 支持X509证书。 SHTTP(Security HTTP) 企业集成技术公司开发; 文件级的安全机制 ; 对多种单向散列（Hash）函数的支持，如：MD2、MD5和SHA； 对多种单钥体制的支持，如：DES、3DES、RC2、RC4和CDMF； 对数字签名体制的支持，如RSA和DSS。 SSH(Security Shell) SSH允许其用户安全地登录到远程主机上，执行命令，传输文件。 它实现了密钥交换协议以及主机及客户端认证协议,安 全 产 品