网络信息安全课程v1

网络平安信息网络平安信息平安的根本概念(操作系统平安、数据库平安、网络平安、病毒防护、访问控制、加解密与鉴别等方面〕保密性和完整性非法入侵和病毒的防护信息平安的根本概念信息安全机密性：确保信息不暴露给未授权的实体或进程。完整性：只有得到允许的人才能够修改数据，并且能

够判别出数据是否已被篡改。可用性：得到授权的实体再需要时可访问数据，即攻

击者不能占用所有的资源而阻碍授权者的工

作。可控性：可以控制授权范围内的信息流向以及行为方

式。可审查性：对出现的网络平安问题提供调查的依据和

手段。信息和网络平安现状现在全球普遍存在信息平安意识欠缺的状况，着导致大多数的信息系统和网络存在着先天性的平安漏洞和平安威胁。国际上也存在着信息平安管理不标准和标准不统一的问题。在信息平安的开展过程中，企业和政府的要求有一致性的地方，也有不一致的地方。信息和网络平安的技术仍然在开展过程中，“绝对的平安是不可能的〞和“木桶原理〞也让一些使用者踌躇不前，市场上“叫好不叫卖〞的现象仍然存在。同样在国内，信息平安产品的“假、大、空〞现象在一定程度的存在，防火墙变成了“铜墙铁壁〞，产生这种情况的原因在于包括监督不力和信息安知识的普及程度不够。网络中存在的威胁非授权访问信息泄漏或丧失破坏数据完整性拒绝效劳攻击利用网络传播病毒网络平安主要组件外网防火墙入侵检测前置代理外部访问控制、身份认证效劳器动态物理隔离设备内部访问控制、身份认证效劳器防病毒网关内网防火墙访问控制系统在整个解决

方案中的地位访问控制系统处于整个解决方案的核心地位访问控制系统是网络层次的划分中不可缺少的重要边界访问控制系统是实现应用系统平安的根底，是提供统一用户管理、认证、授权、单点登陆功能的平台访问控制系统的组成外部访问控制效劳器物理隔离设备内部访问控制效劳器

内网

外网

外部服务器

内部服务器

物理隔离设备

物理隔离系统

访问控制系统的软件

到达EAL4级的操作系统身份认证与授权效劳器访问代理效劳器防病毒和内容过滤软件平安代理六大干线系统访问流程从外到内的访问通道

应用穿越平台原那么平安平台支持的协议包括：标准1.1、s应用系统向平安平台迁移时推荐B/S模式的应用系统应用系统需要从互联网访问内部效劳网的资源时必须对个人用户进行数字证书方式的身份认证用户进行数字证书方式的身份认证时必须使用CRCA签发的数字证书平安平台介绍基于PKI的统一认证与授权平台的组成及功能基于数字证书的认证方式单点登录以代理机制为根底的访问控制系统平安平台介绍对信息系统的攻击可以分为对应用的攻击和对数据的攻击两种。对应用的攻击是指通过非法获取应用访问能力的手段造成对应用的危害对数据的攻击那么是指在数据的传输或存储过程中对数据进行窃听、篡改或冒充他人发送数据。平安平台介绍铁道部网络平安工程的实施针对以上两种攻击制定了提高访问平安和数据平安的措施。对访问平安的要求是应用中所有敏感的内容和操作只能被授权的用户访问，防止用户越权操作。对数据平安的要求是重要数据在应用间的传递和存储如果不是通过平安的管道，如IPsec、SSL，必须在程序中对数据进行加密或数字签名。基于数字证书的认证方式客户端插入USBKey，并输入保护私钥的PIN码客户端和身份认证效劳器建立SSL连接身份认证效劳器对用户进行基于数字证书的认证检查用户证书是否存在于证书CRL列表中对证书进行二进制匹配证书UID与目录效劳器中用户UID进行匹配 该方法实现了对用户身份的双重认证：用户拥有什么〔证书〕和用户知道什么〔保护密钥的口令),且USBKey可确保用户私钥的平安，极大地增强了平安性单点登录Web单点登录〔SingleSignOn,简称SSO〕就是实现合法用户一次登录就可以访问多个应用程序。单点登录使用户可以基于最初访问应用时的一次身份认证，对所有被授权的应用进行无缝的访问，不需要用户屡次输入用户名和口令，减少用户的等待时间，提高用户工作效率。单点登录采用强认证机制，提高了整体平安性。Web单点登录示意图浏览器Sun应用服务器Sun应用服务器策略代理身份认证效劳器BEA应用服务器策略代理BEA应用服务器微软WEB服务器微软WEB服务器策略代理SSOTokenSSOTokenSSOTokenSSOToken实现单点登录的原理是共享一个身份认证标识。当用户使用身份认证效劳器支持的认证机制〔如：证书〕向身份认证效劳器请求认证，认证成功后，将产生身份认证标识，身份认证标识将发送回客户端。在一个会话期间，当用户再访问其它应用时，只需出示这个身份认证标识，如果此身份认证标识合法，那么不需要用户再进行身份认证。以代理机制为根底的访问控制系统Web代理平安代理Web代理正向代理正向代理代理内部网络对Internet的连接请求，客户机必须指定代理效劳器，并将本来要直接发送到Web效劳器上的请求发送到代理效劳器中。正向代理使用用户名/口令方式认证用户，为了提供访问的平安性使用白名单的方式控制用户的访问，用户只能访问位于访问列表中的网站。Web代理反向代理当一个代理效劳器能够代理外部网络上的主机，访问内部网络时，这种代理效劳的方式称为反向代理效劳。此时代理效劳器对外就表现为一个Web效劳器，这个效劳器没有保存任何网页的真实数据，所有的静态网页或者CGI程序，都保存在内部的Web效劳器上。因此对反向代理效劳器的攻击并不会使得网页信息遭到破坏，这样就增强了Web效劳器的平安性。所有通过反向代理效劳器的访问都必须经过数字证书方式的认证。平安代理平安代理通过访问控制效劳保护内外网应用资源，提供平安的访问通路。功能如下：将请求从外网传递到内网完成访问控制，包括身份校验、数据格式校验、权限检查和身份转换等。执行传递到内网的请求，并将结果返回外网应用实施方案平安域内访问的应用系统跨平安域访问的应用系统平安域内访问的应用系统跨平安域访问的应用系统从外部效劳网访问内部效劳网从内部效劳网到外部效劳网或Internet从外部效劳网访问内部效劳网方式一：根本通道访问方式方式二：数据访问方式方式三：映射访问方式防火墙简介：防火墙作为一种放置于Internet和企业内部网Intranet之间，进行数据包的访问控制的工具，是我们进行网络平安化建设中必须考虑的要素。如果把Internet比喻成为现实生活中的大街，Intranet比喻成一所房子，数据比喻成为来往于大街和房子之间形形色色的人们，那么防火墙那么为守护这所房子忠实的保安。他会从进出房子的人们中识别出哪些是房子的主人〔正常进出网络的数据〕；哪些是企图进入房子的不法分子〔恶意的数据包〕，允许房子的主人进入房子，拒绝不法分子进入房子，从而保证了房子中的物品平安。防火墙防火墙的定义：防火墙是一种高级访问控制设备，它是置于不同网络平安域之间的一系列部件的组合，是不同网络平安域间通信流的唯一通道，能根据企业有关的平安策略控制〔允许、拒绝、监视、记录〕进出网络的访问行为。防火墙可以是硬件系统、路由器，也可以是个人主机、主系统和一批主系统，用于把网络或子网同那些可能被子网外的主系统滥用的协议和效劳隔绝，实施访问控制功能。防火墙必须部署到不同平安域之间的唯一通道。如果不同平安域之间〔例如财务子网和工程子网〕有多条通道，而只是再其中一条通道之间部署防火墙，那么此时的防火墙就没有任何意义。平安规那么，防火墙上的平安策略定义哪些数据包可以通过防火墙，哪些数据包不可以通过防火墙，平安策略是防火墙能够实施访问控制的关键因素。如果仅设立防火墙系统，而没有全面的平安策略，那么防火墙就形同虚设。防火墙第一阶段：基于路由器的防火墙第二阶段：用户化的防火墙工具集第三阶段：建立在通用操作系统上的防火墙第四阶段：具有平安操作系统的防火墙防火墙的开展防火墙防火墙的位置包过滤技术状态检测技术应用代理技术防火墙技术FirewallMail

ServerWeb

ServerInternet防火墙数据包状态检测过滤防御功能应用代理URL过滤IP地址和MAC地址绑定NAT地址转换反向地址映射日志审核

DoS/Ddos攻击防止入侵者扫描防止源路由攻击防止IP碎片攻击防止ICMP/IMP攻击抗IP假冒攻击防火墙的功能防火墙吞吐量延迟并发连接数平均无故障时间防火墙的性能指标防火墙“访问控制〞的应用防火墙在VLAN网络中的应用“内网平安分段〞的应用“动态IP分配〞的应用“多出口〞的应用“端口映射〞的应用应用案例防火墙无法防护内部用户之间的攻击无法防护基于操作系统漏洞的攻击无法防护内部用户的其他行为无法防护端口反弹木马的攻击无法防护病毒的侵袭无法防护非法通道出现缺乏之处防火墙企业部署防火墙的误区：

1.最全的就是最好的，最贵的就是最好的。

2.软件防火墙部署后不对操作系统加固。

3.一次配置，永远运行。

4.测试不够完全。

5.审计是可有可无的。入侵检测入侵检测系统IDS〔IntrusionDetectionSystem〕处于防火墙之后对网络活动进行实时检测。许多情况下，由于可以记录和禁止网络活动，所以入侵检测系统是防火墙的延续。它们可以和防火墙和路由器配合工作。例如：IDS可以重新配置来禁止从防火墙外部进入的恶意流量。平安管理员应当理解入侵检测系统是独立域防火墙工作的。入侵检测IDS的起源1.平安审计2.IDS的诞生IDS包括1.IDS信息的收集和预处理2.入侵分析引擎3.响应和恢复系统入侵检测的功能1.网络流量管理2.系统扫描，Jails和IDS3.追踪4.入侵检测系统的必要性入侵检测网络级IDS主机级IDS另一种分类方法管理者特殊的考虑管理者和代理的比例代理理想的代理布局管理和代理的通信混合入侵检测误用检测型异常检测入侵检测系统的类型入侵检测IDS存在的问题：1.如何提高入侵检测系统的检测速度，以适应网络通信的要求。2.如何减少入侵检测系统的漏报和误报。3.提高入侵检测系统的互动性能。IDS躲避技术：1.字符串匹配的弱点。2.会话拼接。3.碎片攻击。4.拒绝效劳。入侵检测技术开展方向：1.分布式入侵检测。2.智能化入侵检测。3.全面的平安防御方案。4.入侵检测应该与操作系统绑定。保密性和完整性私钥和公钥加密标准〔DES、IDEA、RSA〕认证〔数字签名、身份认证〕完整性〔SHA、MDs〕访问控制〔存取权限、口令〕加密方法的分类与识别按应用技术或历史上开展阶段划分手工密码机械密码电子机内乱密码计算机密码按保密程度划分理论上保密的密码实际上保密的密码不保密的密码按密钥方式划分对称式密码非对称式密码模拟型密码数字型密码私钥和公钥加密标准〔DES、IDEA、RSA〕私钥加密标准是一种对称加密算法，用户使用同一个密钥加密和解密，包括DES、3DES和IDEA等。公钥加密标准是一种非对称加密算法，加密和解密使用不同的密钥，RSA是其中的代表，已经成为公钥加密标准的代名词。DES〔数据加密标准〕，输入、输出均为64位，密钥为56位〔虽然总共是64位，但是其中8位是奇偶校验位，实际上密钥只有56位是有效的〕。3DES是对DES算法的三次运行，将替代DES。3DES需要高级别平安性时使用。3DES将每个数据块处理三次。采用112b的密钥。使用密钥1加密数据块，使用密钥2解密数据块，使用密钥1加密数据块私钥和公钥加密标准〔DES、IDEA、RSA〕IDEA〔国际数据加密算法〕，明文块和密文块都是64位，但密钥长128位，是目前数据加密中应用得较为广泛的一种密码体制。RSA〔根据三位创立者的名字命名〕，发送者用接受者公钥对消息加密，接受者用自己的密钥解密。DES算法的应用误区DES算法具有较高的平安性，到目前为止，除了用穷举搜索法对DES算法进行攻击外，还没有发现更有效的方法。而56位长的密钥的穷举空间为256，这意味着如果一台计算机的速度是每一秒一百万个密钥，那么它搜索完全部密钥就需要将近2285年的时间，可见，这是难以实现的，当然，随着科学技术的开展，当出现超高速计算机后，可考虑把DES密钥的长度再增长一些，以此来到达更高的保密程度。由上述DES算法介绍可以看到：DES算法中只用到64位密钥中的其中56位，而第8、16、24……64位以外的其余56位的组合变化256才得以使用其他的56位作为有效数据位，才能保证DES算法平安可靠地发挥作用。如果不了解这一点，把密钥K的8、16、24……64位作为有效数据使用，将不能保证DES加密数据的平安性，对运用DES来到达保密作用的系统产生数据被破译的危险，这正是DES算法在应用上的误区，留下了被人攻击、被人破译的极大隐患。高级平安功能虽然Internet为创立VPN提供了极大的方便，但是需要建立强大的平安功能以确保企业内部网络不受到外来攻击，确保通过公共网络传送的企业数据的平安。对称加密与非对称加密〔专用密钥与公用密钥〕：对称加密，或专用密钥〔也称做常规加密〕由通信双方共享一个秘密密钥。发送方在进行数学运算时使用密钥将明文加密成密文。接受方使用相同的密钥将密文复原成明文。RSARC4算法，数据加密标准〔DES〕，国际数据加密算法〔IDEA〕以及Skipjack加密技术都属于对称加密方式。非对称加密，或公用密钥，通讯各方使用两个不同的密钥，一个是只有发送方知道的专用密钥，另一个那么是对应的公用密钥，任何人都可以获得公用密钥。专用密钥和公用密钥在加密算法上相互关联，一个用于数据加密，另一个用于数据解密。公用密钥加密技术允许对信息进行数字签名。数字签名使用发送发送一方的专用密钥对所发送信息的某一局部进行加密。接受方收到该信息后，使用发送方的公用密钥解密数字签名，验证发送方身份。使用数字证书认证的根本原理数字证书使用了公钥体制，即利用一对互相匹配的密钥进行加解密。每个用户自己设定的一个特定的私钥用于解密和签名，公钥用来加密和验证签名，当发送一份保密文件时发送方使用接收方的公钥加密，而接收方那么使用自己的私钥解密，通过数字证书加密过程是个不可逆的过程，常见的就是一种RSA体制。认证〔数字签名、身份认证〕在信息技术中，所谓“认证〞，是指通过一定的验证技术，确认系统使用者身份，以及系统硬件〔如电脑〕的数字化代号真实性的整个过程。其中对系统使用者的验证技术过程称为“身份认证〞。身份认证一般会涉及到两方面的内容，一个是识别，一个是验证。所谓识别，就是要明确访问者是谁？即必须对系统中的每个合法〔注册〕的用户具有识别能力。要保证识别的有效性，必须保证任意两个不同的用户都不能具有相同的识别符。所谓验证是指访问者声称自己的身份后〔比方，向系统输入特定的标识符〕，系统还必须对它声称的身份进行验证，以防止冒名顶替者。识别符可以是非秘密的，而验证信息必须是秘密的。身份认证的本质是被认证方有一些信息〔无论是一些秘密的信息还是一些个人持有的特殊硬件或个人特有的生物学信息〕，除被认证方自己外，任何第三方〔在有些需要认证权威的方案中，认证权威除外〕不能伪造，被认证方能够使认证方相信他确实拥有那些秘密〔无论是将那些信息出示给认证方或者采用零知识证明的方法〕，那么他的身份就得到了认证。身份认证的理论分类单因素静态口令认证双因素认证挑战/应答机制认证时间同步机制身份认证分类实际的认证手段

Whatyouknow?

What’syouhave?

Whoareyou?

Where

areyou?认证技术的完整性〔SHA、MDS〕报文摘要MD4：创立128位散列值并由RSADataSecurity,Inc开发的散列算法。报文摘要MD5：消息摘要5(MD5)基于RFC1321，它是针对MD4中发现的薄弱环节而开发的。MD5通过数据块〔MD4完成三项传递〕完成四项传递，对每一项传递的消息中的每个字采用一种不同的数字常量。MD5计算中使用的32位常量的个数等于64，最终会产生一个用于完整性校验的128位的哈希。但是MD5比较消耗资源，它可比MD4提供更强的完整性。平安散列算法SHA：以任意长度报文作为输入，按512b的分组进行处理。产生160b的报文摘要输出。数字签名与身份认证数字签名是通过一个单向函数对要传送的报文进行处理得到的用以认证报文来源并核实报文是否发生变化的一个字母数字串。数字证书采用公钥体制，利用一对互相匹配的密钥进行加密解密。在公钥密码体制中，常用的一种是RSA体制。证书格式遵循ITUX.509国际标准。证书由某个可信的证书发放机构CA建立。访问控制〔存取权限、口令〕访问控制管理指的是平安性处理过程，即阻碍或促进用户或系统间的通信，支持各种网络资源如计算机、Web效劳器、路由器或任何其它系统或设备间的相互作用。认证过程主要包含两个步骤：认证：登录过程；自主访问控制〔DiscretionaryAccessControl〕:校验用户决定他们是否有权访问具有更高平安控制权限的敏感区域和文件的认证级别。

非法入侵和病毒的防护防火墙入侵检测平安协议〔IPSec、SSL、ETS、PGP、S-HTTP、TLS、Kerberos〕可信任系统硬件平安性计算机病毒保护文件的备份和恢复个人信息控制匿名不可跟踪性网络设备可靠性应付自然灾害环境平安性UPS平安协议密码身份验证协议(PAP)Shiva密码身份验证协议(SPAP)质询握手身份验证协议(CHAP)Microsoft质询握手身份验证协议(MS-CHAP)Microsoft质询握手身份验证协议版本2(MS-CHAPv2)Microsoft点对点加密(MPPE)可扩展身份验证协议(EAP)KerberosSSL和IPSecSHTTP和SET平安协议－PAP密码身份验证协议(PasswordAuthenticationProtocol,PAP)是一种简单的身份验证协议，在该协议中，用户名和密码以明文〔不加密的〕形式发送到远程访问效劳器。强烈建议您不要使用PAP，因为在身份验证过程中，您的密码可以被很容易地从点对点协议(PPP)数据包中读取。PAP一般只用于连接到不支持任何其他身份验证协议的较早的基于UNIX的远程访问效劳器。注意：如果将PAP用于对连接进行身份验证，那么将无法使用Microsoft点对点加密(MPPE)。如果将连接配置为需要平安密码，并且连接到只配置了PAP的效劳器，那么WindowsXP远程访问客户端将终止连接。平安协议－SPAPShiva密码身份验证协议(SPAP)是Shiva使用的一种可逆加密机制。运行Windows2000Professional的计算机在连接到ShivaLANRover时会使用SPAP，就象Shiva客户机连接到运行Windows2000的远程访问效劳器一样。这种身份验证方式比明文身份验证更平安，但没有CHAP或MS-CHAP平安。在启用SPAP作为身份验证协议时，同一用户密码总是以相同的可逆加密形式发送。这使得SPAP身份验证容易受到重现攻击，该攻击中有恶意的用户通过捕获身份验证过程数据包并重现响应，来获得对Intranet的身份验证访问。不鼓励使用SPAP，特别是对虚拟专用网络连接。平安协议－CHAP“质询握手身份验证协议〞(ChallengeHandshakeAuthenticationProtocol,CHAP)是一种被广泛支持的身份验证方法，在该方法的验证过程中，将发送用户密码的消息〔而非密码本身〕。通过CHAP，远程访问效劳器将质询字符串发送给远程访问客户端。远程访问客户端使用质询字符串和用户密码，计算出“消息摘要5〞(MD5)散列。散列函数和算法是单向加密方法。因为对于数据块，计算散列的结果是很简单的；但是对于散列结果，要确定它的原始数据块是不可行的〔从数学角度讲〕。将MD5散列发送到远程访问效劳器。远程访问效劳器〔可以访问用户密码〕执行相同的散列计算，并将计算的结果与客户端发回的散列相比较。如果两者匹配，那么认为远程访问客户端的身份凭据可信。注意：如果曾使用CHAP执行连接时的身份验证，那么不能使用“Microsoft点对点加密〞(MPPE)。如果正在使用CHAP并连接到运行Windows2000以及“路由和远程访问效劳〞的远程访问效劳器，那么连接客户端的用户帐户必须被配置为允许以可逆加密格式存储密码。平安协议－MS-CHAPMicrosoft创立的MS-CHAP是为了对远程Windows工作站进行身份验证，在集成用于Windows网络的散列算法的同时提供LAN用户所熟悉的功能。与CHAP类似，MS-CHAP使用质询响应机制来防止在身份验证过程中发送密码。MS-CHAP使用"消息摘要4"(MD4)散列算法和"数据加密标准"(DES)加密算法生成质询和响应，并提供用于报告连接错误和更改用户密码的机制。在设计响应数据包的格式时，尤其考虑了与Windows95、Windows98、WindowsMillenniumEdition、WindowsNT、Windows2000和WindowsXP中的网络产品的协作。平安协议－MS-CHAPv2WindowsXP支持Microsoft质询握手身份验证协议版本2(MS-CHAPv2)。MS-CHAPv2可以提供双重身份验证、为“Microsoft点对点加密(MPPE)〞生成更强的初始数据加密密钥，以及在发送和接收数据时使用不同的加密密钥。为降低更改密码时密码泄漏的风险，较旧的MS-CHAP密码更改方法不再受支持。因为MS-CHAPv2比MS-CHAP更加平安，所以对于所有连接，它将在MS-CHAP〔如果已启用〕之前提供。运行WindowsXP、Windows2000、Windows98、WindowsMillenniumEdition和WindowsNT4.0的计算机支持MS-CHAPv2。对于运行Windows95的计算机，MS-CHAPv2仅支持VPN连接，不支持拨号连接。MS-CHAPv2是一种双重身份验证协议，即客户端和效劳器都需证明它们知道用户的密码。首先，远程访问效劳器通过向远程客户端发送质询的方式寻求证据。然后，远程访问客户端通过向远程效劳器发送质询的方式寻求证据。如果效劳器无法通过正确答复客户端的质询证实它知道用户的密码，那么客户端会中断连接。如果没有双重身份验证，那么远程访问客户端将无法检测出是否连接到了假扮的远程访问效劳器。平安协议－MPPEMicrosoft点对点加密(MPPE)加密基于PPP拨号连接或PPTPVPN连接中的数据。可支持增强〔128位密钥〕和标准的〔40位密钥〕MPPE加密方案。MPPE为您的PPTP连接和隧道效劳器之间的数据提供平安保障。MPPE需要由MS-CHAP或EAP身份验证生成的公用的客户端和效劳器密钥。平安协议－EAP可扩展身份验证协议(EAP)是点对点协议(PPP)的扩展，该协议允许那些使用任意长度的凭据和信息交换的任意身份验证方法。EAP的开发是为了适应对身份验证方法日益增长的需求，这些身份验证方法使用其他平安设备并提供支持PPP内其他身份验证方法的工业标准结构。通过使用EAP，可以支持被称为EAP类型的许多特殊身份验证方案，其中包括令牌卡、一次性密码、使用智能卡的公钥身份验证、证书及其他方案。EAP〔与强大的EAP类型一起〕构成平安的虚拟专用网络(VPN)连接的重要技术组成局部。强大的EAP类型〔例如那些基于证书的类型〕在对抗野蛮攻击、词典攻击和密码猜测方面比基于密码的身份验证协议〔如CHAP或MS-CHAP〕更加平安。WindowsXP包括对两种EAP类型的支持：EAP-MD5CHAP〔等同于CHAP身份验证协议〕和EAP-TLS，用于基于用户证书的身份验证。EAP-TLS是一种双重身份验证方法，这意味着客户端和效劳器都向对方证明自己的身份。在EAP-TLS交换过程中，远程访问客户端发送其用户证书，而远程访问效劳器发送其计算机证书。如果其中一个证书未发送或无效，那么连接将终止。在EAP-TLS身份验证过程中，将为Microsoft点对点加密(MPPE)生成共享的机密加密密钥。平安协议－Kerberos用于确认用户或主机身份的身份验证机制。KerberosV5身份验证协议是用于Windows2000的默认身份验证效劳。Internet协议平安(IPSec)和QoS许可控制效劳使用该Kerberos协议进行身份验证。平安协议－SSLSSL是一个协议独立的加密方案，在应用层和传输层之间提供了平安的通道，又叫“平安套接层〔SecureSocketsLayer〕〞。SSL的整个概念可以被总结为：一个保证任何安装了平安套接字的客户和效劳器间事务平安的协议，它涉及所有TCP/IP应用程序。SSL平安协议主要提供三方面的效劳：平安套接层协议是一个保证计算机通信平安的协议，对通信对话过程进行平安保护，其实现过程主要经过如下几个阶段：〔1〕接通阶段：客户机通过网络向效劳器打招呼，效劳器回应；〔2〕密码交换阶段：客户机与效劳器之间交换双方认可的密码，一般选用

RSA密码算法，也有的选用Diffie-Hellmanf和Fortezza-KEA密码算法；〔3〕会谈密码阶段：客户机器与效劳器间产生彼此交谈的会谈密码；〔4〕检验阶段：客户机检验效劳器取得的密码；〔5〕客户认证阶段：效劳器验证客户机的可信度；〔6〕结束阶段：客户机与效劳器之间相互交换结束的信息。1.用户和效劳器的合法性认证2.加密数据以隐藏被传送的数据3.保护数据的完整性平安协议－IPSecIPSec是指以RFC形式公布的一组平安IP协议，支持加密和认证效劳。目前已经成为最流行的VPN解决方案。IPSec包括AH和ESP。AH验证头，提供数据源身份认证、数据完整性保护、重放攻击保护功能；ESP平安负载封装，提供数据保密、数据源身份认证、数据完整性、重放攻击保护功能。SA平安连接平安协议－PGPPGP〔PrettyGoodPrivacy〕使用一个被成为IDEA〔InternationalDataEncryptionAlgorithm〕的块密码算法来加密数据。该算法使用128位密钥，它是在瑞士被设计出来的，当时DES已经被认为不够平安了，而AES尚未创造。从概念上讲，IDEA非常类似于DES和AES：它也运行许多轮，在每一轮中将数据位尽可能地混合起来，但是，它的混合函数与DES和AES中的不同。PGP的密钥管理使用RSA，数据完整性使用MD5。PGP支持4种RSA密钥长度。它可以由用户来选择一种最为适宜的长度：1.临时的〔384位〕：今天很容易被破解。2.商用的〔512位〕：可以被三字母组织破解。3.军用的〔1024位〕：地球上的人任何人都无法破解。4.星际的〔2048位〕：其他行星上的任何人也无法破解。平安协议－SHTTP和SETSHTTP是HTTP协议的扩展，目的是保证商业贸易的传输平安。SHTTP是应用层协议，只限于WEB使用，默认使用TCP443端口。SET〔平安电子交易〕是一个平安协议和格式的集合，是用户可以以一种平安的方式，在开放网络上进行交易。SET在交易各方之间提供平安的通信信道，通过使用x.509数字证书来提供信任。SET的关键特征信息的机密性数据的完整性信用卡用户帐号的鉴别商家的鉴别。可信任系统为了加强计算机系统的信息平安，1985年美国国防部发表了?可信计算机系统评估准那么?〔缩写为TCSEC〕，它依据处理的信息等级采取的相应对策，划分了4类7个平安等级。依照各类、级的平安要求从低到高，依次是D、C1、C2、B1、B2、B3和A1级。即：D级：无任何平安保护。C1级：自主平安保护〔无条件平安保护〕。C2级：自主访问保护。B1级：有标号的平安保护。B2级：结构化保护。B3级：强制平安区域保护。A1级：验证设计平安保护。

我国公布了?计算机信息系统平安保护等级划分准那么?(GB17859_1999)，定义了计算机信息系统平安保护能力的五个等级：第一级到第五级。实际上，国标中将国外的最低级D级和最高级A1级取消，余下的分为五级。TCSEC中的B1级与GB17859的第三级对应。中国计算机信息系统平安保护等级GB17859-1999第一级：用户自主保护级；第二级：系统审计保护级；第三级：平安标记保护级；第四级：结构化保护级；第五级：访问验证保护级。计算机病毒保护病毒定义：计算机病毒是一个程序，一段可执行行码。就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以铲除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户是，它们就随同文件一起蔓延开来。计算机病毒保护病毒产生的背景：计算机病毒是计算机犯罪的一种新的衍化形式计算机软硬件产品的脆弱性是根本的技术原因

微机的普及应用是计算机病毒产生的必要环境计算机病毒保护感染机制触发机制有效载荷计算机病毒的结构计算机病毒保护计算机病毒的四大机制：计算机病毒的寄生对象计算机病毒的寄生方式计算机病毒的引导过程驻留内存窃取系统控制权恢复系统功能计算机病毒的引导机制计算机病毒保护计算机病毒的四大机制：计算机病毒的传染方式计算机病毒的传染过程系统型病毒的传染机理文件型病毒的传染机理文件型病毒通过与磁盘文件有关的操作进行传染计算机病毒的传染机制计算机病毒保护计算机病毒的四大机制：计算机病毒的破坏机制：破坏机制在设计原那么、工作原理上与传染机制根本相同。它也是通过修改某一中断向量入口地址〔一般为时钟中断INT8H，或与时钟中断有关的其他中断，如INT1CH〕，使该中断向量指向病毒程序的破坏模块。计算机病毒保护计算机病毒的四大机制：日期触发时间触发键盘触发感染触发启动触发访问磁盘次数触发调用中断功能触发CPU型号/主板型号触发计算机病毒的触发机制：触发条件计算机病毒保护平时运行正常的计算机突然经常性无缘无故地死机操作系统无法正常启动运行速度明显变慢以前能正常运行的软件经常发生内存缺乏的错误打印和通讯发生异常无意中要求对软盘进行写操作以前能正常运行的应用程序经常发生死机或者非法错误系统文件的时间、日期、大小发生变化运行Word，翻开Word文档后，该文件另存时只能以模板方式保存磁盘空间迅速减少网络驱动器卷或共享目录无法调用根本内存发生变化陌生人发来电子邮件自动链接到一些陌生的网站计算机病毒发作前的表现现象计算机病毒保护提示一些不相干的话发出一段音乐产生特定的图像硬盘灯不断闪烁进行游戏算法Windows桌面图标发生变化计算机突然死机或重启系统文件的时间、日期、大小发生变化自动发送电子邮件鼠标自己在动计算机病毒发作时的表现现象计算机病毒保护硬盘无法启动，数据丧失系统文件丧失或被破坏文件目录发生混乱局部文档丧失或者被破坏局部文档自动加密码修改Autoexec.bat文件，增加FormatC:一项使局部软件升级主板的BIOS程序混乱，主板被破坏网络瘫痪，无法提供正常的效劳计算机病毒发作后的表现现象计算机病毒保护比较法加总比照法搜索法分析法人工智能陷阱技术和宏病毒陷阱技术软件仿真扫描法先知扫描法计算机病毒的检测方法：硬件平安性物理平安：防止意外事件或人为破坏具体的物理设备，如效劳器、交换机、路由器、机柜、线路等。机房和机柜的钥匙一定要管理好，不要让无关人员随意进入机房，尤其是网络中心机房，防止人为蓄意破坏

设置平安：在设备上进行必要的设置〔如效劳器、交换机的密码等〕，防止黑客取得硬件设备的远程控制权。对于路由器等接入设备，由于经常暴露在黑客攻击的视野之中，因此需要采取更为严格的平安管理措施，比方口令加密、加载严格的访问列表等文件的备份和恢复选择备份策略：完全备份〔必须〕，增量备份「节约」，磁盘镜像『利于快速恢复』，网络备份〔经济、方便、快速、集约〕。选择备份介质：磁带「适合完全备份、整个系统恢复」，dump＋restoreCD、DVD『适合增量、单个文件恢复，保存时间长，适合经常改变的数据』，包括cdrecord,dvdrecord,devdump,isodump,isoinfo,isovfy,readcd命令，创立文件系统映射文件：mkisofs-R-o/var/tmp/dai.iso/home/dai「—R保存文件的所有权和访问权，—r不保存文件权限，适合创立发布光盘」查看SCSI总线号、设备ID号、光驱的逻辑单元号LUN：cdrecord-scanbus刻盘：cdrecord-vspeed=40dev=0,0,0-data/var/tmp/dai.iso或dvdrecord-vspeed=40dev=0,0,0-data/var/tmp/dai.iso硬盘〔快速、频繁的备份〕，一种是RAID1；另一种是mirrordir命令mirrordir/home/mirror/home『第一次时完全备份目录，第二次运行此命令为更新』，mirrordir/mirror/home/home为恢复。个人信息控制控制您的个人信息：拥有个人隐私的权利是我们生活方式的根底之一。在Internet时代的初期，控制您的个人信息比以往更重要也更复杂。我们利用Internet进行商务、娱乐、金融、教育、卫生保健以及其他活动越多，他人跟踪和存储有关我们日常生活的信息的可能性也就越大。保持联机平安最需要的是要像对待钱财那样照管个人信息。在某种意义上，它就是钱财。Internet的货币未必只与钱有关－－它还与您的信息有关。个人信息控制保密个人信息：确保密码保密和平安。您进入Internet的密码是进入您的整个联机生活的钥匙，请不要把它透露给其他人员。请您经常问问自己：“为什么这个Web站点需要我的信息呢？〞请记住：当您在Internet上输入自己的信息时，那些您不认识的人可能会存储这些信息并将这些信息与从其他来源获得的有关您的信息联系起来使用。输入自己的信息之前，请您阅读每个Web站点上的“隐私策略〞。如果它们没有隐私策略或者想以您不喜欢的方式使用您的信息，那么请您转到其他的站点进行交易。个人信息控制保密个人信息：请格外小心不要泄露某些类型的个人信息。您的名字、银行帐号和驾驶执照号码都是您应很少〔如果发生过的话〕联机泄露的信息类型。保密级别较低、但仍需注意的信息有电子邮件地址、年龄、性别、家庭号码和家庭地址。如果在Web站点上输入个人信息，请确保该站点使用加密技术通过Internet发送这些信息。有两种方法可以确保Web站点对您的数据进行加密：在计算机屏幕的边缘寻找一个关闭的锁状小图标。查看Web地址(URL)。平安的Web站点使用s协议而不是。末尾的“s〞代表“secure〞〔平安〕。

个人信息控制保密个人信息：请记住：电子邮件是不平安的。电子邮件可以被截取、被您的老板阅读〔在发送到您的公司地址的情况下〕、转发给其他人，甚至发布到Web站点上。不在电子邮件中放入您不希望发布到社区中心公告牌上的任何内容是个好主意。当您参与新闻组或聊天时，请小心。当您与联机朋友交谈时可能会产生麻痹而有一种平安感。但一定要记住两件事情：人们并不总是他们所声称的那种人，而且联机“对话〞被视为公开的，有时会被存档并打印出来供他人阅读和搜索。如果您的孩子也使用Internet，那么请您与他们一起回忆这些应对措施。确保他们了解在其联机共享任何个人信息之前获得您的许可的重要性。请注意：Microsoft对第三方Web站点、产品或效劳的引用并不表示对其认可。提供指向第三方站点的链接仅是为了便于您获取信息。网络设备可靠性可靠性是进行通信网络规划设计与性能评价的重要指标。通信网络的可靠性一般包括网络的生存性、抗毁性及有效性等多个方面，涉及到网络通信设备、拓扑结构、通信协议等多方面因素。计算机网络和通信网络密不可分，它们已经完全融合。网络设备可靠性计算机网络可靠性的要素：计算机网络可靠性是计算机网络系统的固有特征之一，它说明一个计算机网络系统按照用户的要求和设计的目标，执行其功能的正确程度。计算机网络可靠性与网络软件可靠性、硬件可靠性及所处环境有关。计算机网络可靠性应包含以下3个要素。(1)无故障运行时间。计算机网络可靠性只是表达在其运行阶段，用“无故障运行时间〞来度量。由于网络运行环境、网络程序路径选取及所受进攻的随机性，软件的失效为随机事件，因此无故障运行时间属于随机变量。(2)环境条件。环境条件指计算机网络的运行环境。它涉及网络系统运行时所需的各种支持要素，如硬件、协议软件、操作系统、可能受到攻击的手段、所采取的防护措施以及操作规程等。不同的环境条件下信息网络的可靠性是不同的。(3)规定的功能。计算机网络可靠性还与规定的任务和功能有关。由于要完成的任务不同，信息网络的运行剖面会有所区别，那么调用的网络子模块就不同，其可靠性也就可能不同，因此要准确度量计算机网络的可靠性，首先必须明确它的任务和功能。网络设备可靠性计算机网络可靠性分析：交换机的可靠性交换机应具有较强的微分段能力

交换机应具有很强的容错特性

交换机还应提供先进的网络诊断工具

交换机应具有支持构建虚拟网的能力路由器的可靠性路由器是网络层的互连设备，应用它不仅可实现不同类型局域网的互连，而且还可以实现局域网与广域网以及广域网之间的互连。因此，在考虑路由器的可靠性时，首先要考虑的问题就是如何选择协议。设计路由器可靠性的首要目标就是去除一些不支持的协议，建立一致的局域网和广域网协议。在路由器硬件本身的选择上也要考虑其一致性。提高路由器可靠性的最保险的方法是采用冗余路由技术，即通过布线系统、集线器和交换机，使每个网段都连接到两个路由器上，这两个路由器保持相同的配置；连接在相同网络上的端口分配相同的IP地址。这样，当主路由器正常工作时，由于次路由器具有相同的路由表和IP地址，因此不会影响网络正常运行；假设主路由器出现故障，次路由器立即能自动代替其工作。网络设备可靠性链路的可靠性分析：提高链路的可靠性往往通过链路的冗余设计来实现，即采用一条主链路和一条备链路。这种冗余设计构思简单而且廉价。链路的冗余可以通过多种技术实现，目前最流行的是链路聚合技术和生成树技术。链路冗余还有一个好处是可以做到均衡负载。这种方法可以充分利用两条链路，当网络正常时，所有的数据流随机地分配到任何一线路上(根据线路的综合情况，如带宽等)，简单地说，就是将两条线路看成一条带宽较宽的线路，当其中一条线路或设备出现故障时，所有的数据流自动选择另一条线路。网络设备可靠性协议的可靠性分析：协议的可靠性技术就是采用相关的软、硬件切换技术(如STP和VRRP)来保证核心应用系统的快速切换，防止局部故障导致整个网络系统的瘫痪，防止网络出现单点失效，从而保证用户端在网络失效时能快速透明地切换。生成树协议：最早的生成树协议(STP)——IEEE802.1d规定可在50s内恢复连接。但是随着视频和语音的应用要求，网络必须具有更快的自恢复能力，因而IEEE随后又开发了802.1w定义的快速生成树协议(RSTP)以及802.1s定义的多路生成树协议(MST)。生成树协议通过网格化物理拓扑结构而构建一个无环路逻辑转发拓扑结构，提供了冗余连接，消除了数据流量环路的威胁。可靠的网络必须具备有3个典型特点有效地传输流量提供冗余故障快速恢复能力网络设备可靠性协议的可靠性分析：虚拟路由冗余协议：虚拟路由冗余协议(VRRP)是对共享多存取访问介质(如以太网)上终端IP设备的默认网关(DefaultGateway)进行冗余备份，从而在其中一台路由设备宕机时，备份路由设备及时接管转发工作，向用户提供透明的切换，提高了网络效劳质量。简单来说，VRRP是一种容错协议，它保证假设主机的下一跳路由器故障时能及时由另一台路由器来代替，从而保持通信的连续性和可靠性。为了使VRRP工作，需要在路由器上配置虚拟路由器号和虚拟IP地址，同时产生一个虚拟MAC地址，这样在这个网络中就参加了一个虚拟路由器。虚拟路由冗余协议工作原理如下图。网络设备可靠性虚拟路由冗余协议工作原理：UPSUPS的汉语意思为“不间断电源〞，是英语“UninterruptablePowerSupply〞的缩写，它可以保障计算机系统在停电之后继续工作一段时间以使用户能够紧急存盘，防止数据丧失。UPS按其工作方式分类离线式〔OffLine〕在线式〔OnLine〕在线互动式〔Line-Interactive〕UPS离线式UPS：优点：运行效率高、噪音低、价格相对廉价，主要适用于市电波动不

大，对供电质量要求不高的场合，比较适合家庭使用。缺点：存在一个切换时间问题，因此不适合用在关键性的供电不能中断

的场所。不过实际上这个切换时间很短，一般介于2至10毫秒，

而计算机本身的交换式电源供给器在断电时应可维持10毫秒左

右，所以个人计算机系统一般不会因为这个切换时间而出现问题。UPS在线式UPS：优点：供电持续长，一般为几个小时，也有大到十几个小时的，

它的主要功能是可以让您在停电的情况可像平常一样工作，显

然，由于其功能的特殊，价格也明显要贵一大截。这种在线式

UPS比较适用于计算机、交通、银行、证券、通信、医疗、工业

控制等行业，因为这些领域的电脑一般不允许出现停电现象。UPS在线互动式：优点：保护功能较强，逆变器输出电压波形较好，一般为正弦波，具有较强的软件功能，可以方便地上网，进行UPS的远程控制和智能化管理。可自动侦测外部输入电压是否处于正常范围之内，与计算机之间可以通过数据接口〔如RS-232串口〕进行数据通讯，通过监控软件，用户可直接从电脑屏幕上监控电源及UPS状况，简化、方便管理工作，并可提高计算机系统的可靠性。效率高、供电质量高。缺点：稳频特性能不是十分理想，不适合做常延时的UPS电源。UPSUPS的开展方向：1.智能化、网络化全数字控制方式，通过UPS内部的CPU对机器参数进行编程控制；一台UPS可以同时连接多台电脑系统；可利用通讯接口与计算机通讯，并配合智能化监控软件及网络协议使用户方便、高效的在本地甚至远程分析及管理整个计算机及UPS系统。2.高可靠性与平安性自动侦测：开机时UPS即开始进行元件〔逆变器、电池