计算机网络技术（第5版） 课件模块6　网络安全技术

汇报人：XXX汇报日期：XXX模块六01网络安全基础网络安全概念网络安全定义网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续、可靠、正常地运行，网络服务不中断。网络安全重要性在信息社会中，信息具有和能源同等的价值，甚至更高。企业机密泄漏会给企业甚至国家造成严重经济损失。网络安全需从网络系统安全、局域网安全、Internet互连安全和数据安全等方面考虑。010204030102利用型攻击利用型攻击是一类试图直接对机器进行控制的攻击，如特洛伊木马。防御方法是避免下载可疑程序并拒绝执行可疑程序，运用网络扫描软件定期监视内部主机上的监听TCP服务。信息收集型攻击信息收集型攻击并不对目标本身造成危害，这类攻击被用来为进一步入侵提供有用的信息，如地址扫描。防御方法是在防火墙上过滤掉ICMP应答消息。假消息攻击假消息攻击用于攻击目标配置不正确的消息，如伪造电子邮件。防御方法是使用PGP等安全工具并安装电子邮件证书。服务拒绝攻击服务拒绝攻击企图通过使服务计算机崩溃来阻止向用户提供服务，如电子邮件炸弹。防御方法是对邮件地址进行配置，自动删除来自同一主机过量或重复的消息。网络攻击类型02数据加密与数字签名数据加密加密是将计算机中的信息进行一组可逆的数学变换的过程。明文是信息的原始形式，密文是明文经过加密后的形式，解密是授权的接收者接收到密文后，进行与加密相逆的变换去掉密文的伪装，恢复明文的过程。加密基本概念传统加密算法包括替代密码和换位密码。私钥密码体制如DES，其加密和解密时所用的密钥是相同或者相似的。公钥密码体制需要使用一对密钥来分别完成加密和解密操作，如RSA。加密算法分类数字签名数字签名概念数字签名是把Hash函数和公钥算法结合起来，在提供数据完整性的同时来保证数据的真实性。它模拟手写签名，为电子商务提供不可否认服务。数字签名过程创建数字签名包括两个步骤：首先创建一个消息的散列值，然后创建签名，即利用签名者的私有密钥对该散列值进行加密。验证数字签名需要同时获得原始消息和数字签名，通过比较散列值来验证。03防火墙技术防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全策略控制出入网络的信息流，且本身具有较强的抗攻击能力。防火墙基本概念防火墙定义防火墙在逻辑上是一个分离器、一个限制器，也是一个分析器。它有效地监控了内部网和Internet之间的任何活动，保障了内部网络的安全。防火墙作用包过滤防火墙可以用一台屏蔽路由器来实现，对所接收的每个数据包做出允许或拒绝的决定。它根据包头信息中的IP源地址、IP目的地址、内装协议等信息来判断数据包是否符合过滤规则。包过滤防火墙屏蔽主机防火墙强迫所有的外部主机与一个堡垒主机相连接，而不让它们直接与内部主机相连。它通过过滤路由器把所有外部到内部的连接都路由到堡垒主机上。屏蔽主机防火墙屏蔽子网防火墙在本质上和屏蔽主机是一样的，但增加了一层保护体系——周边网络。周边网络处于Internet和内部网络之间，网络管理员可以将堡垒主机、信息服务器等放在其中。屏蔽子网防火墙防火墙体系结构123防火墙配置原则配置防火墙的基本原则有3个：简单实用、全面深入、内外兼顾。简单实用意味着防火墙环境设计越简单越好；全面深入体现在防火墙系统的部署和多种安全措施的结合；内外兼顾则强调要树立防内的观念。配置基本原则例如，对于一个企业网络，可以采用多层次的防火墙部署体系，包括互联网边界防火墙、部门边界防火墙和主机防火墙。同时，结合入侵检测、网络加密、病毒查杀等多种安全措施，形成多层安全体系。在配置过程中，要根据企业的安全策略，合理设置防火墙的规则，如允许或拒绝特定的流量类型。配置实例010204防黑客攻击123常见黑客技术当有些表面看来无害的数据被邮寄或复制到Internet主机上并被执行发起攻击时，就会发生数据驱动攻击。例如，一种数据驱动的攻击会造成一台主机修改与安全相关的文件，从而使入侵者下一次更容易入侵该系统。驱动攻击操作系统可执行文件的目录可由所有用户进行访问，攻击者可以从可执行文件中得到其版本号，从而知道它具有什么样的漏洞，并针对这些漏洞发动攻击。系统漏洞攻击攻击者通过发送伪造的路由信息，构造源主机和目的主机的虚假路径，从而使流向目的主机的数据包均经过攻击者的主机，攻击者可获取敏感信息和有用的密码。信息攻击法常见黑客技术信息协议弱点攻击法IP源路径选项允许IP数据报自己选择一条通往目的主机的路径。攻击者可利用此选项，使报文到达防火墙后被允许通过，进而到达本不可到达的主机。系统管理员失误攻击法网络安全的重要因素之一是人，人为的失误，如WWW服务器系统的配置差错、普通用户使用权限扩大等，会给黑客造成可乘之机。防范黑客入侵措施用户在设置口令时应该含有大小写字母、数字，最好有控制符；不要用admin、生日、电话号码等便于猜测的字符组作为口令；应秘密保存口令并经常改变口令。选用安全口令存取控制规定何种主体对何种实体具有何种操作权力。管理人员应管理好用户权限，在不影响用户工作的情况下，尽量减小用户对服务器的权限。实施存取控制最好通过加密算法对数据处理过程进行加密，并采用数字签名及认证来确保数据的安全。确保数据安全123防范黑客入侵措施开放的服务越多，系统被攻破的风险就越大，应以尽量少的服务来提供最大的功能。谨慎开放端口1一般黑客在攻击系统之前会进行扫描，管理人员可以通过记录进行预测，做好应对准备。定期分析系统日志2很多服务器系统会被发现有不少漏洞，服务商会不断地在网上发布系统的修复程序。为了保证系统的安全性，应随时关注这些信息，及时完善自己的系统。升级系统安全性能3动态站点监控应及时发现网络遭受攻击情况并加以追踪和防范，避免对网络造成更大损失。测试网络安全的最好方法是自己定期地尝试进攻自己的系统，最好能在入侵者发现安全漏洞之前先发现，并对其进行修复。做好数据备份这是非常关键的一个步骤，有了完整的数据备份，当遭