网络与信息安全技术培训教材

网络与信息安全技术

网络安全

2007年6月主要内容网络安全简介TCP/IP网络安全分析网络安全概念和手段介绍安全建议网络安全展望冒名顶替废物搜寻身份识别错误不安全服务配置初始化乘虚而入代码炸弹病毒更新或下载特洛伊木马间谍行为拨号进入算法考虑不周随意口令口令破解口令圈套窃听偷窃网络安全威胁线缆连接身份鉴别编程系统漏洞物理威胁网络安全威胁网络安全威胁中国黑客攻击美国网站(1)中国黑客攻击美国网站(2)中国黑客攻击美国网站(3)中国被黑网站一览表国内外黑客组织网络病毒红色代码尼姆达冲击波震荡波

木马工行密码盗取ＱＱ木马其它后门工具安全威胁胁实例用户使用用一台计计算机D访问位于于网络中中心服务务器S上的webmail邮件服务务，存在在的安全全威胁：：U在输入用用户名和和口令时时被录像像机器D上有keylogger程序，记记录了用用户名和和口令机器D上存放用用户名和和密码的的内存对对其他进进程可读读，其他他进程读读取了信信息，或或这段内内存没有有被清0就分配配给了别别的进程程，其他他进程读读取了信信息用户名和和密码被被自动保保存了用户名和和密码在在网络上上传输时时被监听听（共享享介质、、或arp伪造）机器D上被设置置了代理理，经过过代理被被监听安全威胁胁实例（（续）查看邮件件时被录录像机器D附近的无无线电接接收装置置接收到到显示器器发射的的信号并并且重现现出来屏幕记录录程序保保存了屏屏幕信息息浏览邮件件时的临临时文件件被其他他用户打打开浏览器cache了网页信信息临时文件件仅仅被被简单删删除，但但是硬盘盘上还有有信息由于DNS攻击，连连接到错错误的站站点，泄泄漏了用用户名和和密码由于网络络感染了了病毒，，主干网网瘫痪，，无法访访问服务务器服务器被被DOS攻击，无无法提供供服务什么是网网络安全全？本质就是是网络上上的信息息安全。。网络安全全防护的的目的。。网络安全的定义：网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续、可靠、正常地运行，网络服务不中断。

保障各种网络资源稳定、可靠的运行和受控、合法使用网络安全全的特征征（1）保保密性confidentiality：：信息不泄泄露给非非授权的的用户、、实体或或过程，，或供其其利用的的特性。。（2）完完整性integrity：：数据未经经授权不不能进行行改变的的特性，，即信息息在存储储或传输输过程中中保持不不被修改改、不被被破坏和和丢失的的特性。。（3）可可用性availability：：可被授权权实体访访问并按按需求使使用的特特性，即即当需要要时应能能存取所所需的信信息。网网络环境境下拒绝绝服务、、破坏网网络和有有关系统统的正常常运行等等都属于于对可用用性的攻攻击。（4）可可控性controllability：：对信息的的传播及及内容具具有控制制能力。。（5）可可审查性性：出现现的安全全问题时时提供依依据与手手段主要内容容网络安全全简介TCP/IP网络安全全分析网络安全全概念和和手段介介绍安全建议议网络安全全展望网络系统统结构——开放放系统互互连参考考模型（（1）ISO/OSI模型网络层数据链路层物理层传输层应用层表示层会话层网络层数据链路层物理层传输层应用层表示层会话层对等协议物理介质系统A系统B第N+1层第N层PDUSDUHPDU第N-1层SDUN+1层协议实体N+1层协议实体N层协议实体SAPSAPTCP/IP网络的体体系结构构TCP/IP技术的发发展设计目标标———实现现异种网网的网际际互连是最早出出现的系系统化的的网络体体系结构构之一顺应了技技术发展展网络互互连的应应用需求求采用了开开放策略略与最流行行的UNIX操作系统统相结合合TCP/IP的成功主要应该归归功于其开开放性，使使得最广泛泛的厂商和和研究者能能够不断地地寻找和开开发满足市市场需求的的网络应用用和业务。。鱼与熊掌总总是不能兼兼得，也正正是其体系系结构得开开放性，导导致了TCP/IP网络的安全全性隐患！！TCP/IP的网络互连连网际互连是是通过IP网关（gateway）实现的网关提供网网络与网络络之间物理理和逻辑上上的连通功功能网关是一种种特殊的计计算机，同同时属于多多个网络G1网络1网络3G1网络2TCP/IP与OSI参考模型TCP/IP协议和OSI模型的对应应关系应用层表示层会话层传输层网络层数据链路层层物理层FTP、TELNETNFSSMTP、、SNMPXDRRPCTCP、UDPIPEthernet,IEEE802.3,802.11等ICMPARPRARPOSI参考模型Internet协议簇物理层影响网络安安全的主要要因素（1）网络的缺陷陷因特网在设设计之初对对共享性和和开放性的的强调，使使得其在安安全性方面面存在先天天的不足。。其赖以生生存的TCP/IP协议族在设设计理念上上更多的是是考虑该网网络不会因因局部故障障而影响信信息的传输输，基本没没有考虑安安全问题，，故缺乏应应有的安全全机制。因因此它在控控制不可信信连接、分分辨非法访访问、辨别别身份伪装装等方面存存在着很大大的缺陷，，从而构成成了对网络络安全的重重要隐患。。例如：多数数底层协议议为广播方方式，多数数应用层协协议为明文文传输，缺缺乏保密与与认证证机制，因因此容易遭遭到欺骗和和窃听软件及系统统的“漏洞洞”及后门门随着软件及及网络系统统规模的不不断增大，，系统中的的安全漏洞洞或“后门门”也不可可避免的存存在，比如如我们常用用的操作系系统，无论论是Windows还是UNIX几乎都存在在或多或少少的安全漏漏洞，众多多的服务器器、浏览器器、桌面软软件等等都都被发现存存在很多安安全隐患。。任何一个个软件系统统都可能会会因为程序序员的一个个疏忽或设设计中的一一个缺陷等等原因留下下漏洞。这这也成为网网络的不安安全因素之之一影响网络安安全的主要要因素（2）黑客的攻击击黑客技术不不再是一种种高深莫测测的技术，，并逐渐被被越来越多多的人掌握握。目前，，世界上有有20多多万个免费费的黑客网网站，这些些站点从系系统漏洞入入手，介绍绍网络攻击击的方法和和各种攻击击软件的使使用，这样样，系统和和站点遭受受攻击的可可能性就变变大了。加加上现在还还缺乏针对对网络犯罪罪卓有成效效的反击和和跟踪手段段，这些都都使得黑客客攻击具有有隐蔽性好好，“杀伤伤力”强的的特点，构构成了网络络安全的主主要威胁。。网络普及，，安全建设设滞后网络硬件建建设如火如如荼，网络络管理尤其其是安全管管理滞后，，用户安全全意识不强强，即使应应用了最好好的安全设设备也经常常达不到预预期效果主要内容网络安全简简介TCP/IP网络安全分分析网络安全概概念和手段段介绍安全建议网络安全展展望网络安全策策略网络安全是是一个系统统的概念，，可靠的网网络安全解解决方案必必须建立在在集成网络络安全技术术的基础上上，网络系系统安全策策略就是基基于这种技技术集成而而提出的，，主要有三三种：1直接风风险控制策策略（静态态防御）安全=风险险分析+安安全规则+直接的技技术防御体体系+安全全监控攻击手段是是不断进步步的，安全全漏洞也是是动态出现现的，因此此静态防御御下的该模模型存在着着本质的缺缺陷。2自适应应网络安全全策略（动动态性）安全=风险险分析+执执行策略+系统实施施+漏洞分分析+实时时响应该策略强调调系统安全全管理的动动态性，主主张通过安安全性检测测、漏洞监监测，自适适应地填充充“安全间间隙”，从从而提高网网络系统的的安全性。。完善的网网络安全体体系，必须须合理协调调法律、技技术和管理理三种因素素，集成防防护、监控控和恢复三三种技术，，力求增强强网络系统统的健壮性性与免疫力力。局限性性在于：只只考虑增强强系统的健健壮性，仅仅综合了技技术和管理理因素，仅仅采用了技技术防护。。网络络安安全全策策略略（（续续））3智智能能网网络络系系统统安安全全策策略略（（动动态态免免疫疫力力））安全全=风风险险分分析析+安安全全策策略略+技技术术防防御御体体系系+攻攻击击实实时时检检测测+安安全全跟跟踪踪+系系统统数数据据恢恢复复+系系统统学学习习进进化化技术术防防御御体体系系包包括括漏漏洞洞检检测测和和安安全全缝缝隙隙填填充充；；安安全全跟跟踪踪是是为为攻攻击击证证据据记记录录服服务务的的，，系系统统学学习习进进化化是是旨旨在在改改善善系系统统性性能能而而引引入入的的智智能能反反馈馈机机制制。。模型型中中，，““风风险险分分析析+安安全全策策略略””体体现现了了管管理理因因素素；；““技技术术防防御御体体系系+攻攻击击实实时时检检测测+系系统统数数据据恢恢复复+系系统统学学习习进进化化””体体现现了了技技术术因因素素；；技技术术因因素素综综合合了了防防护护、、监监控控和和恢恢复复技技术术；；““安安全全跟跟踪踪+系系统统数数据据恢恢复复+系系统统学学习习进进化化””使使系系统统表表现现出出动动态态免免疫疫力力。。网络安全防护护模型－PDRR目前业界共识识：“安全不不是技术或产产品，而是一一个过程”。。为了保障网网络安全，应应重视提高系系统的入侵检检测能力、事事件反应能力力和遭破坏后后的快速恢复复能力。信息息保障有别于于传统的加密密、身份认证证、访问控制制、防火墙等等技术，它强强调信息系统统整个生命周周期的主动防防御。网络安全防护护模型－PDRR（续）保护(PROTECT)传统安全概念念的继承，包包括信息加密密技术、访问问控制技术等等等。检测(DETECT)从监视、分析析、审计信息息网络活动的的角度，发现现对于信息网网络的攻击、、破坏活动，，提供预警、、实时响应、、事后分析和和系统恢复等等方面的支持持，使安全防防护从单纯的的被动防护演演进到积极的的主动防御。网络安全防护护模型－PDRR（续）响应(RESPONSE)在遭遇攻击和和紧急事件时时及时采取措措施，包括调调整系统的安安全措施、跟跟踪攻击源和和保护性关闭闭服务和主机机等。恢复(RECOVER)评估系统受到到的危害与损损失，恢复系系统功能和数数据，启动备备份系统等。。网络安全保障障体系安全管理与审审计物理层安全网络层安全传输层安全应用层安全链路层物理层网络层传输层应用层表示层会话层审计与监控身份认证数据加密数字签名完整性鉴别端到端加密访问控制链路加密物理信道安全全物理隔离访问控制数据机密性数据完整性用户认证防抵赖安全审计网络安全层次次层次模型网络安全技术术实现安全目标标用户安全服务可用安全技术选择择--根据据协议层次物理层：物理理隔离链路层:链链路加密技术术、PPTP/L2TP网络层:IPSec协议（VPN）、防火墙TCP层:SSL协议、基于公公钥的认证和和对称钥加密密技术应用层:SHTTP、、PGP、S/MIME、SSH(Secureshell)、、开发专用协议议（SET）网络安全工具具物理隔离设备备交换机/路由由器安全模块块防火墙(Firewall)网络扫描器入侵检测系统统(IntrusionDetectionSystem)网络防毒虚拟专用网（（VPN）病毒防护网络3A……物理隔离主要分两种：：双网隔离计算算机物理隔离网闸闸双网隔离计算算机解决每人2台台计算机的问问题1台计算机，，可以分时使使用内网或外外网关键部件硬盘网线软盘/USB/MODEM等共享部件显示器键盘/鼠标主板/电源硬盘*原理切换关键部件件简单双网隔离离计算机外网硬盘内网硬盘外网网线内网网线公共部件控制卡控制开关复杂双网隔离离计算机内网硬盘外网网线内网网线公共部件控制卡远端设备使用控制卡上上的翻译功能能将硬盘分为为逻辑上独立立的部分充分使用UTP中的8芯，减减少一根网线线物理隔离网闸闸的基本原理理采用数据“摆摆渡”的方式式实现两个网网络之间的信信息交换在任意时刻，，物理隔离设设备只能与一一个网络的主主机系统建立立非TCP/IP协议的数据连连接，即当它它与外部网络络相连接时，，它与内部网网络的主机是是断开的，反反之亦然。任何形式的数数据包、信息息传输命令和和TCP/IP协议都不可能能穿透物理隔隔离设备。物物理隔离设备备在网络的第第7层讲数据据还原为原始始数据文件，，然后以“摆摆渡文件”形形式传递原始始数据。物理隔离实现现基本原理（（1）物理隔离实现现基本原理（（2）内外网模块连连接相应网络络实现数据的的接收及预处处理等操作；；交换模块采用用专用的高速速隔离电子开开关实现与内内外网模块的的数据交换，，保证任意时时刻内外网间间没有链路层层连接；数据只能以专专用数据块方方式静态地在在内外网间通通过网闸进行行“摆渡”，，传送到网闸闸另一侧；集成多种安全全技术手段，，采用强制安安全策略，对对数据内容进进行安全检测测，保障数据据安全、可靠靠的交换。物理隔离技术术的应用涉密网和非涉涉密网之间物理隔离技术术的优缺点优点：中断直接连接接强大的检查机机制最高的安全性性缺点：对协议不透明明，对每一种种协议都要一一种具体的实实现效率低交换机安全模模块MAC绑定QOS设置多VLAN划分日志其他…路由器安全功功能访问控制链表表基于源地址/目标地址/协议端口号号路径的完整性性防止IP假冒和拒绝服服务（Anti-spoofing/DDOS）检查源地址：：ipverifyunicastreverse-path过滤RFC1918地址空间的所所有IP包；关闭源路由：：noipsource-route路由协议的过过滤与认证Flood管理日志其他抗攻击功功能VPN通过一个私有有的通道来创创建一个安全全的私有连接接，将远程用用户、公司分分支机构、公公司的业务伙伙伴等跟企业业网连接起来来，形成一个个扩展的公司司企业网提供高性能、、低价位的因因特网接入VPN是企业网在公公共网络上的的延伸VPN简介网上数据泄漏漏的风险Internet内部网恶意修改通道道终点到：假假冒网关外部段（公共因特网网）ISP接入设备原始终点为：：安全网关数据在到达终终点之前要经经过许多路由由器，明文传传输的报文很很容易在路由由器上被查看看和修改监听者可以在在其中任一段段链路上监听听数据逐段加密不能能防范在路由由器上查看报报文，因为路路由器需要解解密报文选择择路由信息，，然后再重新新加密发送恶意的ISP可以修改通道道的终点到一一台假冒的网网关远程访问搭线监听攻击者ISPISP窃听正确通道VPN功能数据机密性保保护数据完整性保保护数据源身份认认证重放攻击保护护远程访问Internet内部网合作伙伴分支机构虚拟私有网虚拟私有网虚拟私有网VPN是企业网在因因特网上的延延伸VPN的典型应用现有的VPN解决方案基于IPSec的VPN解决方案基于第二层的的VPN解决方案非IPSec的网络层VPN解决方案非IPSec的应用层解决决方案基于IPSec的VPN解决方案在通信协议分分层中，网络络层是可能实实现端到端安安全通信的最最低层，它为为所有应用层层数据提供透透明的安全保保护，用户无无需修改应用用层协议。该方案能解决决的问题：数据源身份认认证：证实数数据报文是所所声称的发送送者发出的。。数据完整性：：证实数据报报文的内容在在传输过程中中没被修改过过，无论是被被故意改动或或是由于发生生了随机的传传输错误。数据保密：隐隐藏明文的消消息，通常靠靠加密来实现现。重放攻击保护护：保证攻击击者不能截获获数据报文，，且稍后某个个时间再发放放数据报文，，而不会被检检测到。自动的密钥管管理和安全关关联管理：保保证只需少量量或根本不需需要手工配置置，就可以在在扩展的网络络上方便精确确地实现公司司的虚拟使用用网络方针AH协议ESP协议ISAKMP/Oakley协议基于IPSec的VPN解决方方案需需要用用到如如下的的协议议：IPSec框架的的构成成基于第第二层层的VPN解决方方案公司内部网拨号连接因特网L2TP通道用于该该层的的协议议主要要有：：L2TP：：Lay2TunnelingProtocolPPTP：：Point-to-PointTunnelingProtocolL2F：Lay2ForwardingL2TP的缺陷陷：仅对通通道的的终端端实体体进行行身份份认证证，而而不认认证通通道中中流过过的每每一个个数据据报文文，无无法抵抵抗插插入攻攻击、、地址址欺骗骗攻击击。没有针针对每每个数数据报报文的的完整整性校校验，，就有有可能能进行行拒绝绝服务务攻击击：发发送假假冒的的控制制信息息，导导致L2TP通道或或者底底层PPP连接的的关闭闭。虽然PPP报文的的数据据可以以加密密，但但PPP协议不不支持持密密密钥的的自动动产生生和自自动刷刷新，，因而而监听听的攻攻击者者就可可能最最终破破解密密钥，，从而而得到到所传传输的的数据据。L2TP通道非IPSec的网络络层VPN解决方方案网络地地址转转换由于AH协议需需要对对整个个数据据包做做认证证，因因此使使用AH协议后后不能能使用用NAT包过滤滤由于使使用ESP协议将将对数数据包包的全全部或或部分分信息息加密密，因因此基基于报报头或或者数数据区区内容容进行行控制制过滤滤的设设备将将不能能使用用服务质质量由于AH协议将将IP协议中中的TOS位当作作可变变字段段来处处理，，因此此，可可以使使用TOS位来控控制服服务质质量非IPSec的应用用层VPN解决方方案SOCKS位于OSI模型的的会话话层，，在SOCKS协议中中，客客户程程序通通常先先连接接到防防火墙墙1080端口口，然然后由由Firewall建立立到到目目的的主主机机的的单单独独会会话话，，效效率率低低，，但但会会话话控控制制灵灵活活性性大大SSL属于于高高层层安安全全机机制制，，广广泛泛用用于于WebBrowseandWebServer，，提供供对对等等的的身身份份认认证证和和应应用用数数据据的的加加密密。。在在SSL中，，身身份份认认证证是是基基于于证证书书的的，，属属于于端端到到端端协协议议，，不不需需要要中中间间设设备备如如：：路路由由器器、、防防火火墙墙的的支支持持S-HTTP提供供身身份份认认证证、、数数据据加加密密，，比比SSL灵活活，，但但应应用用很很少少，，因因SSL易于于管管理理S-MIME一个个特特殊殊的的类类似似于于SSL的协协议议，，属属于于应应用用层层安安全全体体系系，，但但应应用用仅仅限限于于保保护护电电子子邮邮件件系系统统，，通通过过加加密密和和数数字字签签名名来来保保障障邮邮件件的的安安全全，，这这些些安安全全都都是是基基于于公公钥钥技技术术的的，，双双方方身身份份靠靠X.509证书书来来标标识识，，不不需需要要FirewallandRouter的支支持持NetworkInterface(DataLink)IP(Internetwork)TCP/UDP(Transport)S——MIMEKerberosProxiesSETIPSec(ISAKMP)SOCKSSSL,TLSIPSec(AH,ESP)PacketFilteringTunnelingProtocolsCHAP,PAP,MS-CHAPTCP/IP协议议栈栈与与对对应应的的VPN协议议Application现有有的的VPN解决决方方案案－－－－小小结结网络络层层对对所所有有的的上上层层数数据据提提供供透透明明方方式式的的保保护护，，但但无无法法为为应应用用提提供供足足够够细细的的控控制制粒粒度度数据据到到了了目目的的主主机机，，基基于于网网络络层层的的安安全全技技术术就就无无法法继继续续提提供供保保护护，，因因此此在在目目的的主主机机的的高高层层协协议议栈栈中中很很容容易易受受到到攻攻击击应用用层层的的安安全全技技术术可可以以保保护护堆堆栈栈高高层层的的数数据据，，但但在在传传递递过过程程中中，，无无法法抵抵抗抗常常用用的的网网络络层层攻攻击击手手段段，，如如源源地地址址、、目目的的地地址址欺欺骗骗应用层安安全几乎乎更加智智能，但但更复杂杂且效率率低因此可以以在具体体应用中中采用多多种安全全技术，，取长补补短防火墙的的主要功功能监控并限限制访问问针对黑客客攻击的的不安全全因素，，防火墙墙采取控控制进出出内外网网的数据据包的方方法，实实时监控控网络上上数据包包的状态态，并对对这些状状态加以以分析和和处理，，及时发发现存在在的异常常行为；；同时，，根据不不同情况况采取相相应的防防范措施施，从而而提高系系统的抗抗攻击能能力。控制协议议和服务务针对网络络先天缺缺陷的不不安全因因素，防防火墙采采取控制制协议和和服务的的方法，，使得只只有授权权的协议议和服务务才可以以通过防防火墙，，从而大大大降低低了因某某种服务务、协议议的漏洞洞而引起起灾难性性安全事事故的可可能性。。防火墙的的主要功功能（续续）保护网络络内部针对软件件及系统统的漏洞洞或“后后门”，，防火墙墙采用了了与受保保护网络络的操作作系统、、应用软软件无关关的体系系结构，，其自身身建立在在安全操操作系统统之上；；同时，，针对受受保护的的内部网网络，防防火墙能能够及时时发现系系统中存存在的漏漏洞，进进行访问问上的限限制；防防火墙还还可以屏屏蔽受保保护网络络的相关关信息，，使黑客客无从下下手。日志记录录与审计计当防火墙墙系统被被配置为为所有内内部网络络与外部部Internet连接均需需经过的的安全节节点时，，防火墙墙系统就就能够对对所有的的网络请请求做出出日志记记录。日日志是对对一些可可能的攻攻击行为为进行分分析和防防范的十十分重要要的情报报。另外外,防火火墙系统统也能够够对正常常的网络络使用情情况做出出统计。。这样网网络管理理员通过过对统计计结果进进行分析析，掌握握网络的的运行状状态，继继而更加加有效的的管理整整个网络络。防火墙的的优点与与不足可屏蔽内内部服务务，避免免相关安安全缺陷陷被利用用2－7层层访问控控制（集集中在3-4层层）解决地址址不足问问题抗网络层层、传输输层一般般攻击不足防外不防防内对网络性性能有影影响对应用层层检测能能力有限限入侵检测测基本原理理：利用用sniffer方式获取取网络数数据，根根据已知知特征判判断是否否存在网网络攻击击优点：能能及时获获知网络络安全状状况，借借助分析析发现安安全隐患患或攻击击信息，，便于及及时采取取措施。。不足：准确性：：误报率率和漏报报率有效性：：难以及及时阻断断危险行行为网络防病病毒基本功能能：串接接于网络络中，根根据网络络病毒的的特征在在网络数数据中比比对，从从而发现现并阻断断病毒传传播优点：能能有效阻阻断已知知网络病病毒的传传播不足：只能检查查已经局局部发作作的病毒毒对网络有有一定影影响网络扫描描器通过模拟拟网络攻攻击检查查目标主主机是否否存在已已知安全全漏洞优点：有有利于及及早发现现问题，，并从根根本上解解决安全全隐患不足：只能针对对已知安安全问题题进行扫扫描准确性vs指导性访问控制制（1））广义的访访问控制制功能包包括鉴别别、授权权和记账账等鉴别（Authentication）：：辨别用户户是谁的的过程。。授权（Authorization）对完成认认证过程程的用户户授予相相应权限限，解决决用户能能做什