《网络信息安全》教案

《网络信息安全》教案《网络信息安全》教案《网络信息安全》教案第一章:计算机网络与网络安全概述１.1计算机网络概述

从不同的角度，以不同的观点,可以给计算机网络下不同的定义。目前,比较公认的定义是;“凡将地理位置不同，并具有独立功能的多个计算机系统通过通信设备和线路连接起来，以功能完善的网络软件实现网络中的资源共享的系统，称之为计算机网络。”根据网络的定义知道,网络不仅使计算机超越了地理位置,而且更重要的是增加了计算机本身的功能。网络的功能有以下几点:1.资源共享2.提高可靠性3．分布式处理计算机网络中各台主机的类型和规格可能不同，每台主机使用的操作系统也可能不同，因此为使计算机网络能正常运行，就必须有一套网络中各节点共同遵守的规程，这就是网络协议。它是一组关于数据传输、输入输出格式和控制的规约。有了这些规约就可在物理线路的基础上,构成逻辑上的连接,实现在网络中的计算机、终端及其他设备之间直接进行数据交换。鉴于网络节点的功能有多层,网络协议也采用对应的层次结构。1978年国际标准化组织ISO提出了著名的开放系统互联参考模型OＳI将网络中的通信管理程序与其他程序分开,并按照数据在网络中传输的过程将通信管理程序分为７个层次的模块,从下往上依次为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。其中每一层都有相对独立的明确的功能;每一层的功能都依赖于它的下一层提供的服务，每一层又为它的上一层提供必要的服务;相邻的上下两层间通过界面接口(即软件接口）进行通信。该模型的第一至四层是面向数据传输的,第五至七层是面向应用的,而最下面的物理层直接负责物理线路的传输，最上面的应用层直接面向用户。网络安全概述网络安全泛指网络系统的硬件、软件及其系统中的数据受到保护,不因偶然的或者恶意的原因而遭到破坏、更改、泄漏。系统连续可靠正常地运行,网络服务不被中断。网络安全的内容包括了系统安全和信息安全两个部分。系统安全主要指网络设备的硬件、操作系统和应用软件的安全；信息安全主要指各种信息的存储、传输的安全,具体体现在保密性、完整性及不可抵赖性上。从内容看,网络安全大致包括4个方面。网络实体安全：如计算机机房的物理条件、物理环境及设施的安全标准;计算机硬件、附属设备及网络传输线路的安装及配置等。软件安全；如保护网络系统不被非法侵入,系统软件与应用软件不被非法复制、篡改、不受病毒的侵害等。数据安全：保护数据不被非法存取,确保其完整性、一致性、机密性等。安全管理：运行时突发事件的安全处理等，包括采取计算机安全技术,建立安全管理制度，开展安全审计，进行风险分析等。从特征上看,网络安全包括5个基本要素。机密性:确保内容不暴露给未授权的实体。完整性:只有得到允许的人才能够修改数据，并能判别数据是否己被篡改。可用性:得到授权的实体在需要时可访问数据，即攻击者不能占用所有资源阻碍授权者的工作。可控性：可以控制授权范围内的信息流向以及行为方式。可审查性：对出现的网络安全问题提供调查的依据和手段。由于系统自身的脆弱性使网络信息的机密性、完整性、可用性和资源的合法使用受到威胁。所谓系统的脆弱性是指系统的硬件资源、通信资源、软件及信息资源等,因可预见或不可预见甚至恶意的原因,可能导致系统受到破坏、更改、泄漏和功能失效,从而使网络处于异常状态，甚至导致崩溃、瘫痪等的根源和起因。计算机网络本身由于系统主体和客体的原因可能存在不同程度的脆弱性，为各种动机的攻击提供了入侵、骚扰或破坏系统的可利用的途径和方法。第二章:操作系统安全本章教学重点和难点:１、漏洞和后门2、NｅtWare系统安全3、ＷindoｗsNT系统安全4、ＵNＩX系统安全2.1

漏洞和后门在计算机网络安全领域，“漏洞”是指硬件、软件或策略上的缺陷，这种缺陷导致非法用户未经授权而获得访问系统的权限或提高其访问权限。有了这种访问权限，非法用户就可以为所欲为，从而造成对网络安全的威胁。安全漏洞存在不同的类型，包括：允许拒绝服务的漏洞;允许有限权限的本地用户未经授权提高其权限的漏洞;允许外来团体（在远程主机上)未经授权访问网络的漏洞。1.允许拒绝服务的漏涧２.允许有限权限的本地用户未经授权提高其权限的漏洞3.允许外来团体（在远程主机上)未经授权访问网络的漏洞随着网络经济时代的到来，网络将会成为一个无处不在、无所不用的工具。经济、文化、军事和社会活动将会强烈地依赖于网络。网络的安全和可靠性成为世界各国共同关注的焦点。而Intｅｒnｅｔ的无主管性、跨国界性、不设防性、缺少法律约束性的特点，在为各国带来发展机遇的同时，也带来了巨人的风险。目前，Internet和Ｗeｂ站点风险的无数事例可能已使一些用户坐立不安了，似乎到处都有漏洞,到处都是黑客的行迹。的确，漏洞严重地影响着Internet的安全。1.漏洞影响Intｅrnet的可靠性和可用性2．漏洞导致Iｎｔernet上黑客入侵和计算机犯罪3.漏洞致使Internet遭受网络病毒和其他软件的攻击

2.2UNIＸ系统安全UNＩX系统的安全性得到用户的公认，已在Iｎtｅrnet上广为使用。不过，UNＩX系统也存在一些安全漏洞。２．2.1ＵＮIX系统的安全等级UNIＸ系统符合国家计算机安全中心的C2级安全标准,引进了受控访问环境（用户权限级别）的增强特性。进一步限制用户执行某些系统指令；审计特性跟踪所有的“安全事件”(如登录成功或失败)和系统管理员的工作（如改变用户访问权限和密码）。２.2.2UNＩX系统的安全性1.按制台安全２.口令安全3．网络文件系统4.FTP安全2.2.3ＵNIX系统的安全漏洞UNIX系统存在以下安全漏洞:Sｅｎｄmａｉｌ漏洞Passｗd命令漏洞Ping命令问题telneｔ问题网络监听yppaｓsｗd漏洞这些己知的UNＩX安全漏洞都有具体的解决或补救方法，有兴趣的读者可查看有关书籍，这里不再赘述。2.3WｉndowsＮＴ/２000的安全2．3.1WindowsNT/２00０的安全等级作为一个标准的系统,ＷｉｎdｏwｓNTｓerｖer自３．5版就己达到了国家计算机安全中心的Ｃ２级安全级的要求。部分程序，如身份确认、审计和把操作者账号与管理员账号分开的功能，甚至达到了更高的安全级（即B2级）要求。目前，美国国家计算机安全小心将ＷindowｓNTsｅrｖer4.０评定为网络安全系统的一个组成部分。在WindowsNTsｅrver3.5上实现C２级安全标准仅仅是建立在软件基础上的为了得到符合Ｃ2级安全标淮的系统设置,必须：拥有对系统的非网络访问。去除或禁止使用软盘驱动器。更加严格地控制对标准文件系统的访问。用户利用WindowｓNＴ的资源管理工具箱中的C2配置工具,可以获得符合C2级安全标淮的系统。在WinｄｏwｓNT3.5上,最重要的C２级安全标准特性是：可以自由决定访问控制:允许管理员或用户自己定义对它们所拥有的对象的访问控制。对象重用:当内存被一个程序释放后，不再允许对它进行读访问。当对象被删除后,即使对象所在的磁盘空间已经重新进行了分配,也不再允许用户对对象进行访问。身份的确认和验证：在对系统进行访问之前，用户必须首先确认自己的身份。用户可以通过输入用户名称、口令或域的组合来完成对自己身份的确认。审计:必须创建并维护对对象的访问记录，并防止他人对此记录进行修改，必须严格规定只有指定的管理员才能访问审计信息。２.3.2ＷｉｎｄｏwｓNT／2０00的安全性WindoｗsNT的设计目的是为了帮助人们完善它们的安全机制,提供详细的访问控制、信息保护、控制“外来”访问等功能。另外，为了增强对基于Intｅrｎet的企业网络的支持,WinｄowsＮT在安全性方面也做出了许多提高。１.WinｄowｓNT安全性分析2.Ｋｅrbｅros和WindｏwsＮT3.加密文件系统第三章：黑客攻击与防范

本章教学重点和难点:

1、黑客的特点、影响和危害ﻫ２、黑客的攻击过程ﻫ３、黑客常用的攻击手段ﻫ4、防范黑客的方法3.1黑客的影响和危害黑客是英文“Hacker”的英文译音,我国台湾地区译为“骇客”，它起源于美国麻省理工学院的计算机实验室中。早期的黑客是指那些精力旺盛,智力超群，具有高超编程能力的计算机程序员。他们的行为主要包括设计黑客软件、盗打长途电话以及利用电话进行欺诈。目前,按照公安部19９７年黑客的特点(１)充当黑客的年轻人居多黑客年龄一般在１0余岁到30岁之间，其中有许多未成年的小孩，如美国号称“世界头号计算机黑客”的KevinＭitniｃk,13岁迷上计算机，１5岁闯入“北美空中防务指挥系统”；英国的MatｈewＢｅｖａｎ1４岁侵入英国的电信公司;我国呼和浩特市一个10岁的初中生破译了该市通信公司的系统管理员的账号，等等。(2)人员的构成相对集中70%以上的黑客事件是由内部人员或外部与内部合谋进行的。一般来说，外部黑客入侵的目的主要是破坏系统，而内部或内外勾结的入侵多数是为了获取信息;外部黑客对一个站点可能只入侵一次，内部或内外勾结的入侵可能会连续几次。（3）黑客活动时间相对固定黑客活动主要是在晚上到凌晨、周末或节假日。因为职业化的黑客很少，一般黑客多有自己的工作，实施黑客活动需要利用休息时间，又因为在这些时间里,工作场所的人员少,便于隐蔽。（４）从发展趋势看，黑客正在不断地走向系统化、组织化和年轻化黑客甚至定期召开会议，如他们每四年在荷兰举行一次Ｈack－Ｔiｃ会议、每年在纽约举行“２600公文”、在拉斯维加斯举行DefＣｏn会议和在加利福尼亚的LaｋeTaｈｏe举行“黑客大会”。黑客攻击危害程度的划分黑客攻击所使用的方法不同,产生的危害程度也不同,一般分为八个层次：第一层:邮件炸弹攻击;第二层：简单拒绝服务；第三层:本地用户获得非授权的读访问;第四层：本地用户获得他们非授权的文件写权限；第五层：远程用户获得了非授权的账号；第六层：远程用户获得了特权文件的读权限;第七层：远程用户获得了特权文件的写权限；第八层：远程用户拥有了根权限（黑客已经攻克了系统)。在这八层中,随着层号增大，危害的程度加重。3.2黑客的特点及攻击手段黑客攻击的手段目前，黑客攻击网络的手段种类繁多，而且新的手段层出不穷,黑客攻击可以分为以下两大类:一类是主动攻击，这种攻击以各种方式获取攻击目标的相关信息,找出系统漏洞，侵入系统后，将会有选择地破坏信息的有效性和完整性。例如:邮件炸弹。另一类是被动攻击，这种攻击是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息，其中包括窃听和通信流量分析。例如:扫描器。当前黑客攻击采用的主要手段是利用目前网络系统以及各种网络软件的漏洞,比如基于TＣＰ/ＩP协议本身的不完善、操作系统的种种缺陷等；防火墙设置不当;电子欺诈；拒绝服务(包括DDoＳ)；网络病毒;使用黑客工具软件；利用用户自己安全意识薄弱，比如口令设置不当;或直接将口令文件放在系统等等。下面简单介绍几种黑客常用的方法：(1）扫描器所谓扫描器，实际是一种自动检测目标计算机安全性弱点的程序。黑客通过使用扫描器,可以不留痕迹的发现远程服务器的各种TCＰ端口的分配及提供的服务、使用的软件版本以及其他一些服务信息。（2）口令破解黑客进行攻击常常是从破解用户口令开始的。（3)炸弹攻击与病毒炸弹攻击是指黑客利用自编的炸弹攻击程序或工具软件，集中在一段时间内，向攻击的目标机器发出大量信息,使机器出现负载过重、网络堵塞,最终使系统崩溃的一种网络攻击手段。（４）电子欺骗(Spoofinｇ）电子欺骗一般包括任何使用计算机进行欺骗的行为。（5)监听法网络监听是局域网中的一种黑客技术，由于在进行监听时，不与其他主机交换信息，也不修改密码，因此,网络监听是一种被动的攻击方式,仅用于局域网中。（６）拒绝服务攻击(ＤenialｏfService)拒绝服务攻击是指攻击者占有大量的共享资源，使系统无法为其他用户提供资源或以过多的请求造成“溢出”,便服务器或路由器过载，甚至迫使服务器关闭,终止为用户提供服务的一种攻击方法。拒绝服务攻击是一种主动的破坏性攻击。从造成的危害上划分，拒绝服务攻击可分为两类,一是破坏或毁坏系统资源，使用户无法使用；第二类是过载系统服务或消耗系统资源，阻止其他用户使用这些服务。3.3黑客的防范防范黑客的攻击,保证计算机网络的正常运行,是一个困难但又必须努力研究和探索的问题。目前,还不能靠某种单一的方法完全阻止黑客的攻击,但是可以采取一个综合的策略或系统,多层次的设防。包括管理、制度、法律和技术等方面，以阻止和减少黑客攻击计算机网络事件的发生。防范黑客,保障网络安全,应该制定一个完善的网络安全策略,其中包括安全标准规范体系、安全技术防范体系和安全管理保障体系这三大方面。目前主要防范黑客措施有以下几种:3．3.１安全管理网络的安全管理包括:确定安全管理等级和安全管理范围;制订有关网络操作使用规程和人员出入机房管理制度；制定网络系统的维护制度和应急措施等。3．３.2黑客的防范技术防范黑客的技术措施有很多，下面介绍几种基本的防范技术。(１)防火墙技术建立“防火墙”是一种常见的实用技术措施。“防火墙”是一种形象的说法，其实它是一种计算机硬件和软件的组合体。防火墙使互联网与内部网之间建立起一个安全网关,从而保护内部网免受外部非法用户的侵入。防火墙就是因特网与内部网隔开的屏障。虽然防火墙是防范外部黑客的最重要的手段之一,但是,如果设置不当,会留下漏洞,成为黑客攻击网络的桥梁。在目前黑客智能程度越来越高的情况之下，一个要访问因特网的防火墙，如果不使用先进认证装置或者不包含使用先进验证装置的连接工具的话,这样的防火墙几乎是没有意义的。因此,现代防火墙必须采用综合安全技术，有时还需加入信息的加密存贮和加密传输技术以及数字签名、数字邮戳、数字认证等安全技术方能有效地保护系统的安全。需要特别注意的是防火墙并不能防范内部黑客。(２)入侵检测技术防火墙不是完整解决安全问题的方法。一个有经验的攻击者会利用网络的漏洞，采用“好”的黑客工具穿透防火墙。因此，应该结合使用入侵检测技术，共同防范黑客。“入侵检测系统”是对入侵行为的发觉,是进行入侵检测的硬件与软件的结合。它是通过从计算机系统的关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。它的主要任务是监视、分析用户及系统活动;系统构造和弱点的审计;识别反映已知进攻的活动模式并向相关人员报警；对异常行为模式的统计分析;评估重要系统和数据文件的完整性；对操作系统进行审计跟踪管理，并识别用户违反安全策略的行为等。入侵检测是防火墙的合理补充，它作为一种积极主动的安全防护技术,提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。它能够帮助系统对付网络攻击,扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应)，提高了信息安全基础结构的完整性。入侵检测被认为是防火墙之后的第二道防线，在不影响网络性能的情况下能对网络进行监测,从而提供对内部攻击、外部攻击和误操作的实时保护。如果说,防火墙防的是从“大门”进入的黑客,入侵检测系统则可以监控来自“大门”以外或内部黑客,防火墙和入侵检测系统的共同使用，就好比在加有防火墙门锁的屋子中安装了监控装置。（3)加密技术在通信时进行加密和验证，是保证信息安全的重要措施之一。信息加密的目的是保护网内的数据、文件、口令和控制信息,保护网上传输的数据。网络加密常用的方法有链路加密、端点加密和节点加密三种。链路加密的目的是保护网络节点之间的链路信息安全；端点加密的目的是对源端用户到目的端用户的数据提供保护；节点加密的目的是对源节点到目的节点之间的传输链路提供保护。数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。用户可根据网络情况酌情选择上述加密方式。与数据加密技术紧密相关的另一项技术则是智能卡技术。所谓智能卡就是密钥的一种媒体，一般就像信用卡一样，由授权用户所持有并由该用户赋予它一个口令或密码字。该密码与内部网络服务器上注册的密码一致。当口令与身份特征共同使用时,智能卡的保密性能还是相当有效的。(4）身份识别和数字签名技术身份识别和数字签名技术是网络中进行身份证明和数据真实性、完整性的一种重要手段。现在身份认证的方式有三种：一是利用本身特征进行认证，比如人类生物学提供的指纹、声音、面像鉴别；二是利用所知道的事进行认证,比如口令；三是利用物品进行认证,比如使用智能卡。网络通信中的认证除了口令、标识符等,目前主要是采用公钥密码技术实现的。除了以上技术措施外,还可以使用其他措施，比如:在网络设计中,为了保证共享服务器的安全,设置网络出入口交换机，对出入的信息进行过滤;为了保证内部网的安全,在网络接通因特网时,应通过路由器,利用路由器进行包过滤；为了防止“IP”欺骗，抛弃网络管理中基于地址信任的策略，不使用远程调用命令;针对网络安全的实际，选择使用防范黑客的工具软件(包括防病毒软件)等等。任何一个网络系统都有漏洞,流行的、技术细节公开的软件所暴露的漏洞可能更多些;另外,从理论上讲，没有不可解密的密码,只是由于为解密或入侵所要付出的代价,致使人们在目前阶段还不可能实现或没人愿意去实现而已。应该说,网络系统的方便易用、高效、安全这三者在某种程度上是互相制约的，用户要根据自己的实际需求做出取舍。随着信息技术的发展,网络安全与信息保密日益引起人们的关注。目前各国除了从法律上、管理上加强数据的安全保护外，从技术上分别在软件和硬件两方面采取措施，推动着数据加密技术和物理防范技术的不断发展。第四章：计算机病毒本章教学重点和难点：１、计算机病毒概念、分类和特征２、蠕虫病毒与一般病毒的区别3、蠕虫病毒的特点4、计算机病毒的防治第4章计算机病毒4.1概述Intｅｒnｅt上也到处传播和蔓延着攻击方法和恶意代码，使得连入Iｎｔeｒnｅｔ的任何系统都处于将被攻击的风险之中。在Iｎｔｅrnｅt安全事件中,计算机病毒造成的经济损失占有最大的比例。日益严重的计算机病毒问题，不仅使企业及用户蒙受了巨大经济损失，而且使国家的安全面临着严重威胁。“计算机病毒,是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用,并能自我复制的一组计算机指令或者程序代码。”计算机病毒具有以下特征：（1)传染性；(２）隐蔽性；(3）潜伏性；(４）多态性；（5)破坏性。按传染方式可以分为引导型病毒、文件型病毒和混合型病毒。按连接方式可以分为源码型病毒、入侵型病毒、操作系统型病毒、外壳型病毒。按其传染对象来分可以分为BIOS、硬盘引导区、操作系统与应用程序病毒。计算机病毒主要由潜伏机制、传染机制和表现机制构成。4.2蠕虫病毒蠕虫也是一种病毒，因此具有病毒的共同特征。蠕虫一般不采取利用pe格式插入文件的方法，而是复制自身在互联网环境下进行传播，蠕虫病毒的传染目标是互联网内的所有计算机，局域网条件下的共享文件夹，电子邮件email，网络中的恶意网页，大量存在着漏洞的服务器等都成为蠕虫传播的良好途径。蠕虫病毒的发展速度非常快,而且造成了巨大的损失。蠕虫病毒的发展趋势如下：1、利用操作系统和应用程序的漏洞主动进行攻击２、传播方式多样3、病毒制作技术与传统的病毒不同4、与黑客技术相结合,潜在的威胁和损失更大４.3计算机病毒的防治措施防治病毒，一是“防”,二是“治”。“防”是主动的,“治”是被动的。病毒预防是指在病毒尚未入侵或刚刚入侵还未发作时，就进行拦截阻击或立即报警。要做到这一点，首先要清楚病毒的传播途径和寄生场所,然后对可能的传播途径严加防守,对可能的寄生场所实时监控,达到封锁病毒入口，杜绝病毒载体的目的。病毒免疫技术就是利用病毒传染这一机理,给正常对象加上这种标记,使之具有免疫力,从而可以不受病毒的传染。因此,当感染标记用作免疫时,也叫做免疫标记。病毒免疫方法有两种：针对某一种病毒进行的免疫方法和基于自我完整性检查的免疫方法。病毒检测就是采用各种检测方法将病毒识别出来。识别病毒包括对已知病毒的和对未知病毒的识别。目前，对已知病毒的识别主要采用特征判定技术，即静态判定技术；对未知病毒的识别除了特征判定技术外，还有行为判定技术,即动态判定技术。病毒消除的目的是消除受害系统中的病毒，恢复系统的原始无毒状态。具体来讲,就是针对系统中的病毒寄生场所或感染对象进行一一杀毒。对于不同的病毒类型及其感染对象，采取不同的杀毒措施。病毒防治不仅是技术问题，更是社会问题、管理问题和教育问题。作为社会问题，涉及国家法律和行政法规；作为管理问题，涉及管理制度、行为规章和操作规程；作为教育问题，涉及宣传和培训。4．4病毒程序实例分析随着Ｉnteｒnet的迅猛发展，电子邮件成为人们相互交流最常使用的工具，于是它也成为新型病毒——电子邮件型病毒的重要载体。这些病毒的特征就是危害较大,主要是利用电子邮件作为传播途径，而且这类病毒一般都是专挑Wｉndows平台上应用最普遍的邮件客户端——ＭiｃrｏsｏｆtOｕtlook来下手，其发作和破坏主要是通过利用Oｕｔloｏk的可编程特性来完成的，在收件人使用Outlook打开邮件或邮件附件时，里面的病毒就会自动激活并向“通讯簿”的所有人发带有病毒附件的邮件，类似于蠕虫一样“蠕动”,从而导致病毒的大规模迅速传播。本节主要分析了最近出现的Homｅｐage病毒,了解它的运行机制，以便对症下药，防毒治毒。本章教学重点和难点：1、防火墙的基本概念2、防火墙的组成３、防火墙的发展过程、未来趋势4、防火墙存在的问题5、防火墙的实现技术和最新技术

第5章

防火墙技术

５.1防火墙的概念防火墙不仅是一种路由器、主系统或一批向网络提供安全性的系统,还是一种获取安全性的方法,是保障网络安全的手段,它有助于建立一个比较广泛的网络安全性策略，通过网络配置、主机系统、路由器及诸如身份验证等手段来实现安全策略,以便确定允许提供的服务和访问。使用防火墙的一般论证是,没有防火墙,子网系统往往会把自己完全暴露在一些本身并不安全的服务（如NFS或ＮIS等)面前,并且受到网络上其他地方主系统的试探和攻击。虽然防火墙的体系结构和技术多种多样,但防火墙产品基本上可分成三种：包过滤防火墙、应用代理防火墙和混合型防火墙。包过滤防火墙分为两种：1)普通包过滤防火墙;2)基于状态检测包过滤防火墙。应用代理(ApplｉcaｔionPｒoxｙ）防火墙也叫应用网关，它作用在应用层，即OSI模型的最高层，掌握着应用系统中可作安全决策的全部信息,能够实现较高安全性。混合型防火墙结合了包过滤防火墙和应用代理防火墙的特点。它同包过滤防火墙一样能够通过IP地址和端口号过滤进出数据包，也能够检查SYN和ACＫ标记和序列数字是否逻辑有序。另一方面,它也能像应用代理防火墙一样，在应用层上检查数据包的内容，查看这些内容是否能符合既定的网络安全规则。防火墙的发展经历了五代：第一代防火墙技术几乎与路由器同时出现,采用了包过滤(Pacｋetｆilteｒ)技术。19８9年，贝尔实验室的DaveＰresotto和HowarｄTｒｉckey推出了第二代防火墙,即电路层防火墙,同时提出了第三代防火墙——应用层防火墙(代理防火墙）的初步结构。１９92年，ＵSC信息科学院的ＢｏｂBｒａden开发出了基于动态包过滤（Dynaｍｉcpacｋetfiltｅr)技术的第四代防火墙１9９８年,NAＩ公司推出了一种自适应代理(Adａptｉveｐroxy)技术,并在其产品ＧaunｔｌｅtFiｒewaｌｌfoｒNT中得以实现，给代理类型的防火墙赋予了全新的意义，随着新的网络攻击的出现，防火墙技术也有一些新的发展趋势。这主要可以从包过滤技术、防火墙体系结构和防火墙系统管理三方面来体现。

5．2防火墙的构成防火墙的主要组成部分有:网络策略、验证工具、包过滤、应用网关。网络策略有高级策略、低级策略两种。先进的验证措施，如智能卡、验证令牌、生物统计学和基于软件的工具被用于克服传统口令的不足之处。验证技术虽各不相同,但都是相类似，都使用先进的验证装置产生口令，而这类口令不能由临时连接的攻击者重新使用。ＩP包过滤通常是用包过滤路由器生成。这种包过滤可以在信息包通过路由器的接口时用来过滤信息包。包过滤虽然有不少可取之处，但它也有很多弱点。包过滤规则规定起来较为复杂，而且通常没有测试工具来检验规则的正确性,有些还不具备任何记录能力。为了克服与包过滤路由器相关联的某些不足之处,防火墙需要使用应用软件来转发和过滤TＥLNＥT和FＴP等服务的连接。这样一种的应用叫做代理服务，而运行代理服务软件的主系统叫应用网关。应用网关和包过滤路由器可以组合在一起使用,以获得高于单独使用的安全性和灵活性。

5.3防火墙设计防火墙是这样的一个系统(或一组系统)，它能增强机构内部网络的安全性,决定哪些内都服务可以被外界访问,外界的哪些人可以访问内部的那些可以访问的服务，以及哪些外部服务可以被内部人员访问。如果要使一个防火墙有效,那么，对所有来往于因特网的信息都必须绕过防火墙,接受防火墙的检查。防火墙必须只允许授权的数据通过,并且防火墙本身也必须能够免于渗透。因此，在设计因特网防火墙时,网络管理员必须确定防火墙的姿态（Stanｃｅ）、机构的整体安全策略、防火墙的经济费用、防火墙系统的组件或构件。防火墙的姿态从根本上阐述了一个机构对安全的看法。网络防火墙可能会扮演两种完全相反的姿态:拒绝没有特别允许的任何事情、允许没有特别拒绝的任何事情。网络防火墙并不是独立的,它是机构总体安全策略的一部分。机构总体安全策略定义了安全防御的各个方面。在确定了防火墙的姿态、安全策略及经费预算后,就可以确定防火墙系统的特定组件。典型的防火墙有一个或多个构件组成，包括包过滤、应用层网关(或代理服务器）、电路级网关等。

5.４分布式防火墙技术因为传统的防火墙设置在网络边界，外于内、外部互联网之间，所以称为“边界防火墙(PｅrimｅterFirewalｌ）”。随着人们对网络安全防护要求的提高,边界防火墙明显感觉到力不从心，因为给网络带来安全威胁的不仅是外部网络,更多的是来自内部网络。但边界防火墙无法对内部网络实现有效地保护,除非对每一台主机都安装防火墙，这是不可能的。基于此,一种新型的防火墙技术,分布式防火墙（ＤistｒiｂutedFiｒｅwａlls)技术产生了。它可以很好地解决边界防火墙以上的不足，当然不是为每对路主机安装防火墙，而是把防火墙的安全防护系统延伸到网络中各台主机。一方面有效地保证了用户的投资不会很高，另一方面给网络所带来的安全防护是非常全面的。这种新的防火墙技术具有以下几个主要特点：（1）主机驻留、（2)嵌入操作系统内核、（3)类似于个人防火墙、（4）适用于服务器托管。分布式防火墙主要优势如下:（1)增强的系统安全性;（2）提高了系统性能；(3)系统的扩展性；(4)实施主机策略;(5）应用更为广泛，支持ＶPＮ通信。分布式防火墙的主要功能体现在以下几个方面：(1）Interneｔ访问控制;（２)应用访问控制;(3）网络状态监控；（4)黑客攻击的防御；(5)日志管理;（6）系统工具。

第六章:密码学本章教学重点和难点:1、加密、解密、密码体制的概念2、密码分析和密码攻击类型3、替代密码和置换密码4、Feｉstｅｌ分组密码和DＥS的加密、解密思想5、公钥密码体制的基本概念

第６章

密码学

６.1密码学概述密码学是在编码与破译的斗争实践中逐步发展起来的,并随着先进科学技术的应用，已成为一门综合性的尖端技术科学。它与语言学、数学、电子学、声学、信息论、计算机科学等有着广泛而密切的联系。密码学是研究如何通过编码来保证信息的机密性和如何对密码进行破译的科学。密码学由编码学和密码分析学两部分构成。一个密码系统通常可以完成信息的加密变换和解密变换。加密变换是采用一种算法将原信息变为一种不可理解的形式，从而起到保密的作用。而解密变换则是采用与加密变换相反的过程，利用与加密变换算法相关的算法将不可理解的信息还原为原来的信息。密码体制涉及加密和解密过程中所采用的方法的种类。通常人们按照在加密解密过程中使用的加密密钥和解密密钥是否相同将密码体制分为对称密码体制和非对称密码体制。对称密码体制又称为常规密钥密码体制、单密钥密码体制、秘密密钥密码体制。非对称密码体制又称为公开密钥密码体制、双密钥密码体制

6.2经典密码学常规加密是出现最早而且当前仍在广泛使用的加密体制。常规加密又称为对称加密。在使用常规加密的通信系统中，安全通信的双方共享同一个密钥Ｋ。加密和解密算法公开，密钥保密。经典加密技术是早期使用的密码技术，其基本的加密思想和方法在现代加密技术中仍在使用。经典加密主要采用了两种加密技术:替代技术和置换技术。替代技术是将明文中的每个元素（字母、比特、比特组合或字母组合）映射为另一个元素的技术。明文的元素被其他元素所代替而形成密文。在经典加密技术中使用的元素一般为字母或数字。置换是在不丢失信息的前提下对明文中的元素进行重新排列。

６.3对称加密技术现代对称加密技术和经典加密技术一样，使用替代和置换模块作为其基本构件。但现代常规加密技术引入了计算机对信息进行加密解密处理。因此、加密和解密都反对二进制位进行处理，加密算法的强度大大提高,可以对信息进行反复地替代和置换操作,密钥长度也大大增加。Feistel分组密码是当前使用的几乎所有对称加密算法的基础。DES是DataＥnｃryptiｏnＳtandard（数据加密标准）的缩写。1９73年5月15日美国国家标准局(NSA）公开征集对密码体制的联邦注册,这最终导致了数据加密标准(DES）的出现,它已成为世界上最广泛使用的密码体制。DES由ＩBＭ开发，它是早期被称为Lucｉｆeｒ体制的改进，1975年3月17日首次公开在联邦注册上,在经过大量的公开讨论后，1977年2月１5日ＤＥＳ被采纳为“非密级”应用的一个标准。自从采用之后，美国国家标准局大约每5年就要对DES进行一次审查。最近一次的审查更新在１994年2月,19９９年后被AES所取代。为了适应不同的应用需求,DES定义了四种操作模式。这四种操作模式是：电子密码本模式EＣＢ（EｌectｒoｎｉｃCodｅBook)、密码分组链接模式CBC(ＣiｐｈｅrBlocｋChainｉng）、密码反馈模式ＣFB(CipherFｅedback）和输出反馈模式ＯFB(OutputFeedｂack)。

６.４公钥密码体制公钥密码体制的思想是：可能找到一种密码体制，在该体制中从给定的ek中计算dｋ是计算上不可行的。如果这样,那么加密规则ek就能公布在一本目录上（因此有了公开密钥体制的术语)。公开密钥体制的优点是发送方能利用公开的加密规则ek来发送加密后的报文给接收方（没有秘密密钥的预通信)。接收方将是唯一能利用他的秘密解密规则ｄk来解密密文的人。19７6年，Difｆie和Heｌlmａn提出了公开密钥体制思想，公开密钥体制的第一个实现是在1977年由Riｖest，Ｓｈamｉr和Aｄｌeman发明的。这就是著名的RSA密码体制。RＳA体制的安全性是基于大的整数因子分解的困难性。RSA的安全性是基于希望加密函数eK（x)=xｂmｏｄn是一个单向函数，所以对敌人来说要解密密文将是计算上不可能的。

第七章:VPN技术本章教学重点和难点：1、VPN的概念和类型2、VPＮ技术概述3、隧道技术的基本概念４、第二层索道协议------L2TP隧道协议５、第三层隧道协议－-----GRE隧道协议

第7章

VPN技术

7．1VＰN概述ＶＰN（ＶirｔuａlPrivateNetwork)是将物理分布在不同地点的网络通过公用骨干网，尤其是Ｉnterｎet连接而成的逻辑上的虚拟子网。为了保障信息的安全，VＰN技术采用了鉴别、访问控制、保密性、完整性等措施,以防止信息被泄露、篡改和复制。VPN有３种类型:AccｅｓsVPN(远程访问VＰＮ）、ＩｎｔｒanｅtＶPN（企业内部VPN)和ExtｒanｅtVPN(企业扩展VＰN），这３种类型的ＶPN分别对应于传统的远程访问网络、企业内部的Intranｅｔ以及企业和合作伙伴的网络所构成的Extｒanｅt。AccｅssVPN即所谓的移动ＶＰN，适用于企业内部人员流动频繁或远程办公的情况。如果要进行企业内部异地分支机构的互联,可以使用ＩntranetＶＰＮ方式，这是所谓的网关对网关VPＮ。如果一个企业希望将客户、供应商、合作伙伴或兴趣群体连接到企业内部网,可以使用ExtranetVPN，它对应于传统的Exｔrａｎet解决方案。

7.2ＶPＮ主要技术VＰＮ利用Iｎternet的基础设施传输企业私有的信息，因此传递的数据必须经过加密,从而确保网络上未授权的用户无法读取该信息,因此可以说密码技术是实现VＰＮ的关键核心技术之一。大体上,密码技术可以分为两类：对称密钥加密和非对称密钥加密。对称密钥加密,也叫做共享密钥加密，是指加密和解密用的密钥是相同的，数据的发送者和接收者拥有共同的单个密钥。非对称密钥加密使用两个密钥：一个公钥和一个私钥，这两个密钥在数学上是相关的。这种算法也叫做公钥加密。第二种技术是身份认证技术。ＶＰN需要解决的首要问题就是网络上用户与设备的身份认证，如果没有一个万无一失的身份认证方案,不管其他安全设施有多严密,整个VPN的功能都将失效。非PKＩ体系的身份认证基本上采用的是UID十ＰAＳSＷORＤ模式。PKI体系的身份认证的例子有电子商务中用到的SSL安全通信协议的身份认证、Kerbｅros等。第三种技术是隧道技术。隧道技术通过对数据进行封装，在公共网络上建立一条数据通道(隧道）让数据包通过这条隧道传输。

7.3第二层隧道协议——Ｌ2F、PＰTP和L２ＴP第二层隧道协议用于传输第二层网络协议，它主要应用于构建AccｅｓｓVPN。第二层隧道协议主要有3种：一种是由Cｉsco、Noｒtel等公司支持的Ｌ２Ｆ协议，Cisco路由器中支持此协议;另一种是Mｉcｒoｓｏft、Ascｅｎd、3COM等公司支持的PPTP协议，ＷiｎdowsNＴ４.0以上版本中支持此协议;而成为二层隧道协议工业标准的是由IETF起草并由Microｓoft、Ａsｃeｎｄ、Cｉsco、3COM等公司参与制定的L２TP协议,它结合了上述两个协议的优点。隧道协议,其数据包格式都是由乘客协议、封装协议和传输协议3部分组成的。L2F(LayｅrTwｏForwaｒｄingPｒｏｔocol，二层转发协议）是由Cisco公司提出的隧道技术，可以支持多种传输协议，如IP、ＡTＭ、帧中继。PPＴP(Poｉnt－to-PoｉnｔTunnelｉngＰrotocol，点到点隧道协议）在RFC2637中定义，该协议将ＰPP数据包封装在ＩP数据包内通过IP网络（如Inteｒneｔ或Intranｅt）进行传送。PPＴＰ协议可看作是PPP协议的一种扩展,它提供了一种在Iｎteｒｎet上建立多协议的ＶPN的通信方式,远端用户能够通过任何支持ＰPＴP的IＳP访问公司的专用网络。L2TP(ＬayerTwoＰrotocol,第二层隧道协议)由RＦＣ２６６1定义,它结合了L2F和PPTＰ的优点,可以让用户从客户端或访问服务器端发起VPN连接。L2TP是由Cｉsco、Micrｏｓoｆｔ等公司在19９9年联合制定的，已经成为二层隧道协议的工业标准,并得到了众多网络厂商的支持。PPTP和L2ＴＰ都使用PＰP协议对数据进行封装。然后添加附加包头用于数据在互联网络上的传输。尽管两个协议非常相似，但是仍存在以下几方面的不同：（1）PＰTP要求互联网络为ＩＰ网络,Ｌ2ＴＰ只要求隧道媒介提供面向数据包的点对点的连接。(2）PPTＰ只能在两端点间建立单一隧道。(3)Ｌ2TＰ可以提供包头压缩。（4）L2TＰ可以提供隧道验证,而PPTＰ则不支持隧道验证。

７.4第三层隧道协议——GＲＥ和IPSｅc第三层隧道协议用于传输第三层网络协议。其实第三层隧道协议并不是一项很新的技术，早在199４年就出现的GＲE(RＦCl701）协议就是一个第三层隧道协议。由ＩＥＴF制定的新一代Internet安全标准IPＳｅc协议也是第三层隧道协议。GＲE(GｅneｒicRoｕtingEｎcapsｕｌaｔion，通用路由封装协议)支持全部的路由协议（如RIP2、OSＰF等）,用于在IP包中封装任何协议的数据包，包括IP、IＰX、NetBEUＩ、ＡｐpleＴalk、BａｎyanVｌNES、DＥCnet等。IPSec（Inteｒnet协议安全)是一个工业标准网络安全协议，为ＩP网络通信提供透明的安全服务,保护TCP/IP通信免遭窃听和篡改,可以有效抵御网络攻击，同时保持易用性。IPSec协议不是一个单独的协议，它给出了应用于IP层上网络数据安全的一整套体系结构,包括网络认证协议AｕtｈeｎｔiｃatioｎHｅａｄeｒ(AH)、封装安全载荷协议EncａpsulatingSecurityPａylｏａｄ（ESP）、密钥管理协议ＩｎteｒnetKeｙExｃｈange(IKE)和用于网络认证及加密的一些算法等。IPＳeｃ规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换,向上提供了访问控制、数据源认证、数据加密等网络安全服务。

第八章入侵检测

本章教学重点和难点:1、入侵检测系统的概念及分类2、两种入侵检测系统的部署3、常用入侵检测技术4、Sｎoｒt入侵检测系统

第8章

入侵检测

8.1

概述入侵检测ID(Iｎｔrusion

Detecｔiｏｎ）是对入侵行为的发觉,它通过计算机网络或计算机系统中的若干关键点搜集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和遭到袭击的迹象的一种机制。入侵检测系统IDＳ（Ｉntrusion

Ｄeｔｅction

Sｙsteｍ）是使用入侵检测技术对网络与其上的系统进行监视,并根据监视结果进行不同的安全动作，最大限度地降低可能的入侵危害。简单地说，入侵检测系统是这样工作的,若有一个计算机系统，它与网络连接着,或许也与Ｉnternet连接,由于一些原因,允许网络上的授权用户访问该计算机。入侵检测系统基本上不具有访问控制的能力,通过对数据包流的分析,可以从数据流中过滤出可疑数据包，通过与已知的入侵方式进行比较，确定入侵是否发生以及入侵的类型并进行报警。目前，大部分网络攻击在攻击前有资料搜集的过程。入侵检测一般采用旁路侦听的机制，因此不会产生对网络带宽的大量占用,系统的使用对网内外的用户来说是透明的,不会有任何的影响。入侵检测系统可以在攻击的前期准备时期或是在攻击刚刚开始的时候进行确认并发出警报。入侵检测的研究最早可追溯到JaｍesPＡndersoｎ在198０年的工作。198６年,为检测用户对数据库异常访问，ＷＴTener在IＢM主机上用CＯBＯＬ开发的Ｄiscoｖery系统，成为最早的基于主机的入侵检测雏形之一。198７年,乔治敦大学的DｏrothｙE.Dｅnniｎg提出了一个实时的入侵检测系统抽象模型——IＤES（IｎtrｕｓiｏｎＤｅtｅcｔionＥxpertSystem),首次将入侵检测的概念作为一种计算机系统安全防御问题的措施提出。1990年是入侵检测系统发展史上的一个分水岭,提出了一个新的概念:基于网络的入侵检测——ＮＳM(NetwoｒkSｅcｕritｙＭonitor)。近些年来，入侵检测的主要创新包括：Fｏｒreｓt等将免疫原理运用到分布式入侵检测领域。1998年RosｓAndersoｎ和AbidａKhattａk将信息检索技术引进到入侵检测。CIDF（CｏmｍｏnＩnｔｒuｓionＤetecｔionFramewoｒk）阐述了一个入侵检测系统的通用模型，定义了检测体系结构、入侵描述语言规范和应用程序接口规范。入侵检测系统是企业安全防御系统中的重要部件，但入侵检测系统并不是万能的。入侵检测对于部分事件可以处理得很好，但对于另一些情况则无能为力。

8.2

入侵检测系统分类

根据入侵检测系统的检测对象和工作方式的不同,入侵检测系统主要分为两大类：基于主机的入侵检测系统和基于网络的入侵检测系统。基于主机的入侵检测系统用于保护单台主机不受网络攻击行为的侵害,需要安装在被保护的主机上。这一类入侵检测系统直接与操作系统相关,它控制文件系统以及重要的系统文件，确保操作系统不会被随意地删改。该类入侵检测系统能够及时发现操作系统所受到的侵害,并且由于它保存一定的校验信息和所有系统文件的变更记录,所以在一定程度上还可以实现安全恢复机制。基于网络的入侵检测系统通常是作为一个独立的个体放置于被保护的网络上,它使用原始的网络分组数据包作为进行攻击分析的数据源,一般利用一个网络适配器来实时监视和分析所有通过网络进行传输的通信。一旦检测到攻击，入侵检测系统应答模块通过通知、报播以及中断连接等方式来对攻击做出反应。基于网络的入侵检测系统和基于主机的入侵检测系统都有各自的优势和不足，这两种方式各自都能发现对方无法检测到的一些网络入侵行为,如果同时使用互相弥补不足会起到良好的检测效果。因此它们在确定攻击是否已经取得成功时,与基于网络的检测系统相比具有更大的准确性。在这方面,基于主机的入侵检测系统对基于网络的入侵检测系统是一个很好的补充，可以使用基于网络的入侵检测系统提供早期报警，使用基于主机的入侵检测系统来验证攻击是否取得成功。

8.３

入侵检测系统的部署入侵检测系统有不同的部署方式和特点。根据所掌握的网络检测和安全需求,选取各种类型的入侵检测系统。将多种入侵检测系统按照预定的计划进行部署,确保每个入侵检测系统都能够在相应部署点上发挥作用,共同防护,保障网络的安全运行。部署工作包括对网络入侵检测和主机入侵检测等不同类型入侵检测系统的部署规划。同时,根据主动防御网络的需求，还需要对入侵检测系统的报警方式进行部署和规划。基于网络的入侵检测系统可以在网络的多个位置进行部署。根据检测器部署位置的不同，入侵检测系统具有不同的工作特点。在基于网络的入侵检测系统部署并配置完成后，基于主机的入侵检测系统的部署可

以给系统提供高级别的保护。但是,将基于主机的入侵检测系统安装在企业中的每一个主机上是一种相当大的时间和资金的浪费，同时每一台主机都需要根据自身的情况进行特别的安装和设置,相关的日志和升级维护是巨大的。入侵检测系统在检测到入侵行为的时候，需要报警并进行相应的反应。如何报警和选取什么样的报警,需要根据整个网络的环境和安全的需求进行确定。

8.4

入侵检测技术入侵检测系统的检测分析技术主要分为两大类,异常检测和误用检测。异常检测技术（AnomalyDetecｔiｏｎ)也称为基于行为的检测技术，是指根据用户的行为和系统资源的使用状况判断是否存在网络入侵。误用检测技术（ＭisｕsｅＤetecｔion）也称为基于知识的检测技术或者模式匹配检测技术,它的前提是假设所有的网络攻击行为和方法都具有一定的模式或特征，如果把以往发现的所有网络攻击的特征总结出来并建立一个入侵信息库，那么入侵检测系统可以将当时捕获到的网络行为特征与入侵信息库中的特征信息相比较，如果匹配，则当前行为就被认定为入侵行为。无论哪种入侵检测技术都需要搜集总结有关网络入侵行为的各种知识,或者系统及其用户的各种行为的知识。随着大量高速网络(如ATM、千兆以太网、G比特光纤网)技术的出现，各种宽带网络技术大量涌现。其中一种就是攻击策略分析(AttackSｔratｅgyAnalysis)方法。它采用了分布式智能代理的结构方式,由几个中央智能代理和大量分布的本地代理组成,其中本地代理负责处理本地事件，中央代理负责整体的分析工作。数据融合能够从多个异质分布式传感器处得到的各种数据和信息,并综合成为一个统一的处理进程，来评估整个网络环境的安全性能。计算机免疫技术是直接受到生物免疫机制的启发而提出的。根据这种理论,由于计算机网络受到安全策略、计算机程序以及系统配置等多种因素中所可能包含的错误的影响,所以总是处于易受入侵的状态。神经网络技术在入侵检测中的应用历史比较长，并且一直在不断的发展。遗传算法在入侵检测中的应用历史还比较短,所取得的成果也有限。在一些研究实验中,用若干字符串序列来定义用于分析检测的指令组。用于检测识别正常或者异常行为的这些指令在初始训练阶段中不断变化,以提高分析能力。

8.５

Ｓnｏrt入侵检测系统sｎort是一个强大的轻量级的网络入侵检测系统。它具有实时数据流量分析和日志IP网络数据包的能力,能够进行协议分析，对内容进行搜索/匹配。它能够检测各种不同的攻击方式，对攻击进行实时报警。此外,snoｒｔ具有很好的扩展性和可移植性。这个软件遵循通用公共许可证ＧPＬ,所以只要遵守GPL任何组织和个人都可以自由使用。

第九章构造网络安全体系

本章教学重点和难点：1、网络安全体系的内容2、网络安全体系的设计和实施３、网络安全管理

第9章

构造网络安全体系

9.１网络安全体系概述目前尚无被广泛认可的有关网络安全体系结构方面的国际标准，仅有国际标准化组织(ＩSO)提出的一个建议性标准文件IＳO７４９8-2(OSＩ参考模型的第二部分:安全性体系结构）。安全性体系结构作为开放系统互连(OSI)标准的一部分，ISO7４9８-2把这些内容映射到了ＯSＩ的七层模型中，这个体系结构是国际上一个非常重要的网络安全技术架构基础，在网络系统安全性方面可以提供重要的指导作用。在考虑网络安全问题的过程中，应该主要充分考虑以下五个方面的问题：网络是否安全、操作系统是否安全、用户是否安全、应用程序是否安全以及数据是否安全。目前,这个五层次的网络系统安全体系已得到了网络安全界的基本认同，并已将其应用在某些产品之中。明确网络安全体系结构和相关的内容,是构建网络安全体系的第一步，对指导以后的安全性工作、从整体看待网络安全问题至关重要。上述的五层安全体系并非孤守分散,而是一个有机的整体.对其中任何一个方面的疏忽，都会导致整个安全体系的崩溃,造成大量投资的浪费。

9.2设计网络安全体系网络安全所要达到的目标对网络应用所追求的目标影响很大，两者密切相关。不重视安全的网络应用是危险的，然而夸大安全威胁的防范措施是愚蠢的。过度的安全性措施将会严重浪费网络资源,降低网络性能,甚至会使网络产生错误结果。因此,网络安全设计的第一步就是要用科学的方法，对网络中各种数据进行风险评估，选择运用适当的网络安全机制和方法,才可能为用户设计出适用的网络安全系统。根据防范安全攻击的安全需求、需要达到的安全目标、对应安全机制所需的安全服务等因素,参照SSＥ-CＭＭ(“系统安全工程能力成熟模型”)和ISO1779９（信息安全管理标准)等国际标准,综合考虑可实施性、可管理性、可扩展性、综合完备性、系统均衡性等方面,网络安全防范体系在整体设计过程中应遵循以下９项原则：在网络上保证合法用户对资源的安全访问，防止并杜绝黑客的蓄意攻击与破坏，同时又不至于造成过多的网络使用限制和性能下降,已成为当前网络安全技术所追求的目标。与早期的集中式应用不同的是，现在的银行业务系统大多基于客户／服务器模式和Ｉｎteｒnet/Inｔｒａnet网络计算模式的分布式应用，在这样的环境中，企业的数据库服务器、电子邮件服务器、WＷW服务器、文件服务器、应用服务器等都是供用户出入的“门户”，只要有一个“门户”没有完全保护好，“黑客”就会通过这道门进入系统,窃取或破坏所有资源。绝对安全与可靠的信息系统并不存在。一个所谓的安全系统实际上应该是“使入侵者花费不可接受的时间与金钱,并且承受很高的风险才能闯入”。安全是一个过程而不是目的，安全的努力依赖于许多因素,例如职员的调整、新业务应用的实施、新攻击技术与工具的导入和安全漏洞评估。银行业务系统的安全分为网络安全、服务器安全、用户安全、应用程序和服务安全、数据安全五个部分。

9.3网络安全方案的实施前面已经讨论了网络安全体系的设计过程及相关的安全实现机制，用户可以根据自己的实际情况选择专业系统安全集成商进行实施，或是自己购买设备自行实施。但有一点必须注意的是，实施过程必须有对网络安全比较精通的人参与,以保证设计与实施的一致性。实施原则包括：(1）经济性；（２）策略性；（3）综合性和整体性;(4）尽量降低对原有网络系统性能的影响;（5)避免复杂性;(6）扩展性、适应性；(7)兼容性;（8)保障网络安全系统自身的安全；（9）稳定性。安全连接方案包括:Internet安全连接;拨号访问安全连接；内部网络安全连接;用户服务安全性;内外网安全连接。

9．4网络安全管理设计和部署网络安全体系只是建立网络安全防护的第一步，当一切安装部署到位并开始进入实际使用阶段之后,安全工作的重点应转移到维护工作上来。从行政管理的角度建立网络安全管理体系，其主要内容包括建立网络安全管理机构、建立各项安全管理制度、明确安全管理责任和建立监督机制、对人员的安全管理等网络信息系统的安全管理主要基于（1)多人负责原则;(2)任期有限原则；(3)职责分离原则。网络安全工作是一个过程,单靠部署几个安全解决方案就撒手不管是非常危险的。网络安全工作必须常抓不懈,永无休止。只要放松了对系统的监控和维护工作,迟早会有人利用漏洞让企业蒙受巨大损失。网络安全性评估可以用来查找现有的弱点,帮助用户有目标地判断还需要在哪些方面加以保护和改进。安全性评估可以弄清楚当前都存在着哪些网络级的弱点,弱到什么程度；还可以弄清楚企业监测和响应网络攻击的能力到底是怎样的。安全审计说的是以安全体系、策略、人和流程等为对象的深入细致的核查，目的是为了找出安全体系中的薄弱环节并给出相应的解决方案。对安全事件做出切实可行的内应是企业安全体系的最后一个组成部分。有了它,在预防、检测和应付攻击网络资源的行为时就有章可循,能够迅速反应。

9.5网络安全方案介绍中国的证券行业基本上是基于以太网的结构发展起来的，并几乎经历了整个以太网的各个技术阶段。同轴电缆共享以太网、同轴电缆加集线器共享以太网、交换机加集线器直至今日的高速核心交换机加二级交换机结构,构成了证券公司局域网的整个发展历程。由于证券业对计算机网络的依赖性,基本上每２~3年就需要根据网络技术的发展进行技术升级更新,以保证在最有效率的网络基础上开展证券业务。随着证券行业的不断发展壮大，广域互联也成为证券行业网络通信技术的发展趋势。各证券公司，由独立的营业部网络加卫星通信独立报盘交易，正在通过证券公司建设的全国性大型广域互联网络演变为营业部网络互联、开展集中交易、网上交易、网上办公等综合业务的统一应用网络体系。目前证券业，除了继续通过卫星地面线路与交易所的连接外,为了开展网上交易、网上信息发布等业务的需要，还与国际互联网internｅt建立了联系。由于国际互联网的应用广泛性,由此也产生了安全上的巨大威胁。同时，由于证券公司统一网络的形成,各办公机构、营业部、证券用户都进入了证券公司的统一网络中,因此来自内部人员的不法侵害也成为不可忽视的安全隐患。

第十章数据备份

本章教学重点和难点:1、数据完整性的定义2、提高数据完整性的方法3、数据备份系统及RAID技术4、基于SAＮ的备份系统5、归档和分级存储6、数据容灾系统

第10章

数据备份

10.1

概述数据完整性用来泛指与损坏和丢失相对的数据状态，即数据处于一种未受损的状态，接收方收到的数据与原始定义的数据严格相同，数据不能被非授权地修改或删除,且在数据受损的情况下应能通过数据的备份完全恢复。它包括数据的正确性、一致性及有效性。四个对数据完整性最常见的威胁包括人为威胁、硬件故障、网络故障和灾难事故。一些恢复数据完整性或防止数据完整性丧失的技术包括:1.备份2.归档3．分级存储管理4.廉价冗余磁盘阵列（RＡID）5.容灾计划。

10.２

数据备份系统数据备份系统有多种分类方法,按其接口可分为总线备份系统和网络备份系统。备份系统按其应用流量与备份流量是否分开可分为混合流量备份系统和独立流量备份系统。当有大量数据需要备份时,性能就很重要了。ＲAＩD(RedundaｎtAｒrayofIndependeｎtDiｓk)，意思是廉价磁盘冗余阵列。目的是为了组合小的廉价磁盘来代替大的昂贵磁盘，以降低大批量数据存储的费用,同时也希望采用冗余信息的方式，使得磁盘受损时不会使数据缺失，从而开发出一定水平的数据保护技术。RAID技术降低了成本,提高了执行效率,并提供了系统运行的稳定性。ＲAＩＤ系统最大的优点是“热交换”能力：用户可以取出一个存在缺陷的驱动器,同时插入一个新的进行更换。对大多数类型的RAID来说,可以从剩余的驱动器重建数据而不必中断服务器或系统,这一点对服务器用户以及其他高要求的用户是至关重要的。备份的最基本问题是:为保证能恢复全部系统,需要备份多少以及何时进行备份。恢复操作通常可以分成三类。第一类是全盘备份恢复，第二类是个别文件恢复。第三类中重定向恢复。一般来说，恢复操作比备份操作更容易出问题。备份只是将信息从磁盘上拷贝出来,而恢复则要在目标系统上创建文件

10.３

基于SAＮ的数据备份系统存储区域网络ＳAN(ＳtorａgeAｒeａNetwoｒk）是199７年由ＣOMＰＡQ公司领先业界提出的，它是一种采用了光纤接口将磁盘阵列、磁带以及相关服务器连接起来的高速专用子网。SAN结构允许服务器连接任何存储阵列或磁带，这样不管数据放置在哪里，服务器都可直接存取所需的数据。SAN提供一个专用的、高可靠性的基于光通道的存储网络，允许独立地增加它们的存储容量,也使得管理及集中控制（特别是对于全部存储设备都集群在一起的时候）简化。ＳAN作为一种配置网络化存储的解决方案,在物理布局上是通过专用的交换机、集线器和网关在服务器和存储设备之间建立连接的SAＮ和LAN的根本区别在于：LAN是计算机之间的互联,只要发送小批量数据就会增加间接通信量,从而降低通信带宽;SAN是计算机之间及其与存储器之间的互联,消除了服务器的处理瓶颈,能够在间接通信量较低的情况下运用SＣSＩ存储协议传输大宗的数据管理一个大型的SAN需要一个健壮的管理配置系统,强有力的监控能力对于集中管理广泛的资源相当必要,ＳAN管理软件还应具备从网络或存储设备提供的数据中检测出即将产生的故障或即将发生的传输瓶颈的能力,从而可以提前进行预防。许多SAN的部件，如磁盘系统、磁带系统以及连接部件都有一定程度的管理能力,并且都提供管理接口。SAN中的存储系统和光纤通道交换机以及存储服务器也具备各自的管理能力,所以ＳAN的智能是分布在全网中的。

10.4

基于因特网的数据备份技术因特网备份还提供了只传输文件的一部分的功能，而不是必须传送整个文件。这种技术是差异备份技术，这意味着客户端软件可以识别一个文件的哪一个部分发生了改变，目前有两种技术用于提供文件部分备份的功能：ｄelta块技术和二进制补丁技术。delta块技术将文件拆成小块范围，并计算每一块范围的校验和。当备份时,对每一块数据进行新的校验和计算，并与旧的校验和比较。如果两者有差异，则传输该小块的数据。二进制补丁技术采用同样的方法来识别一个文件中变化的数据。

10.5

归档和分级存储管理移动数据的两种不同方法:归档和分级存储管理归档是指将数据拷贝或打包以便能进行长时间的历史性保存。分级存储管理HSM（HｉeraｒchicａｌＳｔoｒageManagｅment），是一种对用户和管理员都透明的、提供归档功能的自动系统。将HＳＭ和归档区别开来的一个重要的特点是：HＳM本质上并不将文件删除,而是在文件原来的地方留下一个很小的文件。当最终用户想要访问原文件时，这个文件就被用来自动地将原始文件找回来。另一个不同之处是：HSM系统用“迁移”一词代替术语“归档”。

10.6

数据容灾系统数据备份系统可以避免由于各种软硬件故障、人为操作失误和病毒所造成的数据完整性的破坏，保障数据安全。但是，当面临大范围的突发性灾难，如地震、火灾、恐怖袭击时，上述技术就无能为力了。此时要想迅速恢复应用系统的数据和服务,就必须建立异地的灾难备份系统，即容灾系统。一个完整的容灾系统应该有以下几个部分组成:本地的高可用系统;数据备份系统;数据远程复制系统;远程的高可用管理系统。系统容灾的目的是产生一个灾难恢复计划。它通过给恢复小组中的每个成员一个指定的、遵照执行的责任和处理过程清单,便整个灾难恢复过程能够有条不紊地进行。制定容灾计划的第一步：风险分析。灾难发生之后,首先要明白要恢复哪些应用程序。制订容灾计划过程中这一步骤的关键是：决定使基本服务重新运行的,可接受而又可达到的时间长度。创建许多人都能遵照执行的文本是制定容灾计划中极为关键的一步。在计划写好后要对其进行测试，必须证明该计划确实可行。最后,当有一个经过测试的计划时,需要将其分发给需要它的人。

１0．6．3

容灾案例（1）TOM.COM网站(2)光大银行（３)SIＮA.COM网站

第十一章