网络安全模型与体系结构

网络平安模型与体系结构胡道元清华大学hdy@2004年4月网络平安模型与体系结构网络平安概念网络平安模型网络平安体系结构平安的历史回忆通信平安解决数据传输的平安密码技术计算机平安解决计算机信息载体及其运行的平安正确实施主体对客体的访问控制网络平安解决在分布网络环境中对信息载体及其运行提供平安保护完整的信息平安保障体系IP网的平安问题IP平安DNS平安拒绝效劳(DOS)攻击发送SYN信息分组邮件炸弹分布式拒绝效劳(DDOS)攻击DefiningInformationSecurityKnowledgeobtainedfrominvestigation,study,orinstruction,intelligence,news,facts,data,asignalorcharacter(asinacommunicationsystemorcomputer)representingdata,something(asaplanortheory)thatrepresentsphysicalormentalexperienceoranotherconstructFreedomfromdanger,safety;freedomfromfearoranxietyMeasuresadoptedtopreventtheunauthorizeduse,misuse,modification,ordenialofuseofknowledge,facts,data,orcapabilities网络平安定义网络平安是在分布网络环境中，对信息载体〔处理载体、存储载体、传输载体〕和信息的处理、传输、存储、访问提供平安保护，以防止数据、信息内容或能力被非授权使用、篡改和拒绝效劳。网络平安属性机密性〔confidentiality〕完整性〔integrity〕可用性〔availability〕可审性〔accountability〕机密性保证信息与信息系统不被非授权者获取与使用保证系统不以电磁方式向外泄露信息电磁屏蔽技术、加扰技术使系统任何时候不被非授权人使用漏洞扫描、隔离、防火墙、访问控制、入侵检测、审计取证保证数据在传输、存储过程中不被获取、解析数据加密技术完整性保证信息是真实可信的，发布者不被冒充，来源不被伪造、内容不被篡改保证数据在传输、存储过程中不被非法修改完整性标识的生成与检验技术保证数据源头不被伪造身份认证技术、路由认证技术可用性保证信息与信息系统可被授权人正常使用保证信息系统在恶劣工作环境下正常运行抗干扰、加固技术保证系统时刻能为授权人提供效劳过载保护、防拒绝效劳攻击、生存技术可审性身份鉴别机制你知道什么你有什么你是什么双因子身份鉴别身份识别和鉴别机制是各种平安效劳的关键审计提供过去事件的记录，必须基于适宜的身份识别和鉴别效劳什么是风险〔1〕风险是丧失需要保护的资产的可能性，风险是构成平安根底的根本观念资产类型物理资源知识资源时间资源信誉资源风险的两个组成局部漏洞：攻击的可能的途径威胁：可能破坏网络系统环境平安的动作或事件什么是风险〔2〕威胁的3个组成局部目标：可能受到攻击的方面代理：发出威胁的人或组织具有访问、知识、动机3个特性事件：做出威胁的动作类型威胁+漏洞=风险没有漏洞的威胁没有风险没有威胁的漏洞也没有风险风险识别与测量识别漏洞识别威胁对策和预防措施识别风险测量风险测量风险识别漏洞识别威胁风险级别已有的预防测量的风险代价网络平安处理过程评估阶段策略制订阶段实施阶段培训阶段审计阶段网络平安模型与体系结构网络平安概念网络平安模型网络平安体系结构PPDRR处理模型平安策略(Policy)平安等级评估技术如何评估系统处于用户自主、系统审计、平安标记、结构化、访问验证等五个保护级的哪一级？漏洞扫描与弱点分析基于关联的弱点分析技术基于用户权限提升的风险等级量化技术拓扑结构发现技术拓扑结构综合探测技术〔发现黑洞的存在〕基于应用协议的网络拓扑结构发现技术PPDRR处理模型防护技术(Protection)防火墙技术联动技术及误报警攻击防范技术病毒防护：网络病毒制导遏制技术隔离技术基于协议的平安岛技术：协议的变换与解析单向路径技术：确保没有直通路径访问控制技术多态、综合性访问控制技术基于攻击检验的强制性口令保护技术PPDRR处理模型入侵检测(Detection)大规模入侵检测技术面向异常检测的基于数据流的数据挖掘技术面向误用检测的状态自适应监测预报警防攻击技术分布式入侵检测入侵检测信息交换协议IDS的自适应信息交换与防攻击技术特洛伊木马检测技术守护进程存在状态的审计守护进程激活条件的审计PPDRR处理模型攻击反响(Response)密罐技术漏洞再现及状态模拟应答技术沙盒技术，诱捕攻击行为僚机技术动态身份替换，攻击的截击技术被攻系统躲避技术，异常负载的转配灾难恢复(Restore)〔生存技术〕

最小运行系统，系统的平滑切割恢复技术基于数据流的通用恢复技术，体外循坏技术远程存储技术，互连的物理介质应用层表示层会话层传输层网络层数据链路层物理层应用层表示层会话层传输层网络层数据链路层物理层身份认证访问控制数据保密数据完整性端到端的加密防火墙，IP加密信道点到点链路加密平安物理信道网络平安效劳层次模型9/26/202322链路层平安安装或租用专门通信设施点到点身份认证、保密性提供数据流平安不提供终端用户认证和用户间保密链路层保护网络的特征优

点缺

点能达到的速率最高最高的通信成本对流分析能提供最高的保护性对网络级联（cascading）没有保护对隐通道能提供最高的保护性对内部攻击人员无保护基于网络攻击的途径最少只能对点和点间进行身份认证连续的点对点身份认证新节点加入时要求电信公司重新配置网络网络层平安IP数据网的平安IP处理DNSICMP路由信息Boot/DHCP网络管理防火墙IPSec防火墙防火墙是建立在内外网络边界上的过滤封锁机制。内部网络被认为是平安和可信赖的。而外部网络〔通常是Internet〕被认为是不平安和不可信赖的。防火墙的作用是防止不希望的、未经授权的通信进出被保护的内部网络，通过边界控制强化内部网络的平安策略。IP加密传输信道技术IPSEC技术在两个网络结点间建立透明的平安加密信道IPAH(AuthenticationHeader)提供认证和数据完整性IPESP(EncapsulatingSecurityPayload)平安内容封装实现通信保密优点对应用透明提供主机对主机的平安效劳建立平安的IP通道和虚拟的专用网问题需要建立标准密钥管理产品兼容性降低性能InternetProtocolSecurity,RFC2401在不平安网上提供平安通信提供数据加密、端点认证、数据完整性、防止非授权的重传等效劳。IPSec运行在IP层和传送层TCP、UDP之间。两种模式传送模式：两个IPSec主机间通信，保护TCP/UDP内容及各种应用。隧道模式：典型的VPN，数据加密通过隧道传至目的地。频宽代价较大。IPSec9/26/202328传送模式的IPSec隧道模式的IPSecVPN9/26/202331VPN是企业网络花费较小能满足平安需求的方案73％Fortune1000的企业采用VPN，从租线转为VPN可节省60％费用，至2002年VPN业务达100亿美金。VPN组成防火墙：作为局域网的前沿保护代理效劳器：防火墙后的第二道防线加密：即使数据被截获，难以破译隧道：通过隧道将两个LAN连接成专网，PPTP、L2TP、IPSec认证和访问控制：双向认证CA：著名的公共CA使VPN适应大量合作伙伴和客户的企业监控和管理：层次控制结构和集中控制传输层平安技术----SSL在两个通信结点间建立平安的TCP连接SSL协商层约定加密算法、版本号身份认证，交换密钥SSL记录层分段、压缩、加密优点基于进程对进程的平安效劳和加密传输信道用公钥体系做身份认证缺点对应用层不透明不适用基于UDP的通信需要证书授权中心CA不提供访问控制9/26/202333SSL应用层平安技术专用应用层平安效劳私用增强邮件PEM：基于公钥根底设施PKI超文本传输协议平安增强版S-HTTP：提供文件级的平安机制平安电子交易SET提供身份认证、数据保密、数据完整性等通用应用层平安效劳通过中间件实现平安效劳定义统一的平安效劳接口，向应用层提供身份认证、访问控制、数据加密等平安效劳通用平安效劳API-GSS-APIMITKerberosOSFDCE-WebHPCORBA-WebWWW应用平安技术HTTP1.0基于明文传输口令的根本认证方法HTTP1.1采用摘要认证方法(DigestAuthenticationScheme)口令经散列函数变换后传递S-HTTP提供身份认证，数据保密，数据完整，防止否认等需对现有通信协议作一定改变WWWProxy技术使用中间件提供的平安机制对应用透明DCE-WebCORBA-WebDCE-Web结构浏览器SLP浏览器浏览器SDGWAND效劳器普通www效劳器SSLHTTP平安RPCRPCHTTPHTTPCA+AAs证书鉴别中心〔CA〕证书的签发和管理。提供加密、数字签名等与证书相关的平安模块。平安效劳的根底设施。应用平安中心〔AAs〕证书的使用。提供面向应用的整套平安效劳。平安效劳的具体实现。CA+AAs整体平安框架：CA+AAsCA是核心。AAs是纽带。应用是目标。CAAAs应用应用应用AAsAAsAAs应用应用应用应用应用CA+AAs安全框架安全功能安全机制名称内容CA+AAs证书的签发和管理证书鉴别中心（CA）证书鉴别（CertificateAuthority）证书的使用应用安全中心（AAs）身份鉴别（AuthenticationAuthority）授权（AuthorizationAuthority）审计（AuditAuthority）管理（AdministrationAuthority）等面向应用的其他安全机制AAs的效劳模式分析〔1〕纵向平安效劳模式平安系统位置：纵向切入应用系统与操作系统之间应用系统需要二次开发横向平安效劳模式平安系统位置：横向切入应用客户端与应用效劳器之间应用系统无需二次开发应用系统操作系统安全系统APIAPI应用客户端安全系统应用服务器横向平安效劳模式横向平安效劳模式工作原理：

所有应用客户端请求

经平安通道

到平安过滤器过滤后

才可进入平安域

到达应用效劳器

WebST的工作原理鉴别身份注册用户授予权限复制权限获得权限数字证书

访问请求访问资源平安鉴别效劳器用户注册数据库平安管理控制台平安管理效劳器授权策略主数据库授权策略从数据库应用

服务器安全控制服务器用户凭证平安通道平安审计访问控制双向

身份鉴别平安管理数字证书应用

客户端数字证书平安客户端网络平安模型与体系结构网络平安概念网络平安模型网络平安体系结构平安体系结构定义定义描述信息系统体系结构在满足平安需求方面各根本元素之间的关系。要求反映计算机信息系统平安需求和信息系统体系结构的共性。平安体系结构要素平安政策与策略平安保护等级标准平安效劳与平安机制信息系统单元开放系统互连参考模型信息系统平安保护等级标准可信计算机系统系统评估准那么〔TCSEC〕信息技术平安评定标准〔ITSEC〕加拿大可信计算机产品评价准那么〔CTCPEC〕组合的联邦标准〔FC〕通用的信息平安产品和系统平安性评估准那么〔CC〕计算机信息系统平安保护等级划分准那么〔GB17859〕计算机信息系统平安保护等级划分准那么目的·为平安法规制定提供依据·为平安产品研制提供技术支持·为平安系统建设提供技术指导平安保护能力的五个等级第一级：用户自主保护级第二级：系统审计保护级第三级：平安标记保护级第四级：结构化保护级第五级：访问验证保护级用户自主保护级自主访问控制用户自主地定义对客体的访问权限用户与数据〔访问客体的隔离〕身份鉴别用户标识身份使用保护机制鉴别身份数据完整性阻止非授权用户修改或破坏敏感信息系统审计保护级自主访问控制访问控制粒度是单个用户，并控制访问权扩散身份鉴别为用户提供唯一标识，使用户对自己行为负责客体重用增加客体重用平安机制审计创立和维护受保护客体的访问审计跟踪记录数据完整性平安标记保护级强制访问控制对主体及其控制的客体实施强制访问控制。指定敏感标记，为主体、客体确定平安等级的依据1)仅当sclass(s)oclass(o),oεs那么主体s可读客体o2)仅当sclass(s)oclass(o),sεo那么主体s能写客体o身份鉴别客体重用审计数据完整性结构化保护级强制访问控制访问控制扩展到所有的主体和客体为所有主体、客体指定敏感标记明确定义的形式化平安保护策略身份鉴别客体重用审计数据完整性隐蔽信道分析可信通信路径访问验证保护级访问监控器仲裁主体对客体的全部访问抗篡改必须足够小，能分析和测试扩充审计机制提供系统恢复机制系统具有很高的抗渗透能力ISO7498-2平安效劳身份鉴别〔Authentication〕访问控制〔AccessControl〕数据保密〔DataConfidentiality〕数据完整性〔Dataintegrity〕防止否认〔Non-reputation〕身份认证应用层代理或网管用户授权与访问控制电路层防火墙〔如SOCKS〕应用层平安通信协议传输层平安通信协议数字签名第三方公证主机和效劳的审计记录分析应用系统的容错容灾、效劳管理应用系统主机