网络安全技术及应用实践教程 第5版 课件 第1-6章 网络安全概述 -身份认证与访问控制

课程教学目标

理解并掌握网络安全常用的攻（攻击）、防（防范）、测（检测）、控（控制）、管（管理）、评（评估）等基本理论、管理技术方法和应用，促进深造和就业。课程教学目标十三五国家重点出版规划项目国家智慧教育平台首批入选课程第1章网络安全概述1全书目录

第2章网络安全技术基础

2第3章网络安全体系及管理3第4章黑客攻击及检测防御4

第5章密码与加密技术5第6章身份认证与访问控制6第7章计算机及手机病毒防范7第8章防火墙技术及应用8

第9章操作系统及站点安全9第10章数据库及数据安全10*第11章电子商务安全11第12章网络安全新技术及解决方案12第13章网络安全课程设计指导13十三五国家重点出版规划项目国家智慧教育平台首批入选课程第1章网络安全基础1.2案例分析网络空间安全威胁及现状分析2*1.3知识拓展实体安全与隔离技术31.4要点小结4

1.1知识要点1

*1.5实验1-1构建虚拟局域网VLAN

5*1.6实验1-2

配置虚拟局域网VLAN61.7本章小结7国家十三五重点出版规划项目国家智慧教育平台首批入选课程第1章目录●掌握网络安全的基本概念、目标和内容●掌握网络安全技术相关概念、种类和模型●理解网络安全面临的威胁及发展态势●了解网络实体安全及隔离技术及应用●学会构建虚拟局域网VLAN及设置方法第1章网络安全基础国家十三五重点出版规划项目国家智慧教育平台首批入选课程重点

教学目标重点新网络安全观:顶层设计教育部：将网络安全教育已经纳入国家安全教育

没有网络安全就没有国家安全。网络主权或网络空间主权是国家主权在网络空间的自然延伸和体现。网络安全的实质就是国家安全。主权观、国家观、发展观(技术+人才)、法治观、人民观、国际观、辩证观学习重要性“十三五”国家重点出版规划项目国家智慧教育平台首批入选课程学习网络安全重要性链接

1.网络安全相关概念、目标和特征

1.1.1网络安全的概念和内容

国际竞争加剧，全球网络犯罪每年损失10.5万亿美元。世界各国和利益集团激烈竞争及疫情等影响，网络战、黑客供应链及网站攻击、网络钓鱼等社交工程欺骗、数十亿客户信息被泄露、全球网络病毒爆发等事件频发，每年几乎所有网络用户都收到过电信网络诈骗电话、短信或邮件等。网络犯罪已经被认为是仅次于极端天气和自然灾害的全球第三大威胁，因此，各种网络用户非常迫切需要掌握相关网络安全防范知识、技术、方法和应用。。案例1-1

（1）网络安全与网络空间安全相关概念信息安全指系统硬件、软件及其信息受到保护,并持续正常运行和服务.信息安全的实质是保护信息系统和信息资源免受各种威胁、干扰和破坏,即保证信息的安全性。国际标准化组织（ISO）提出信息安全给出的定义。1.1.1网络安全的概念和内容十三五国家重点出版规划项目国家智慧教育平台首批入选课程1.网络安全相关概念、目标和特征

网络安全（NetworkSecurity）指利用网络技术、管理和控制等措施，保证网络系统和信息的保密性、完整性、可用性、可控性和可审查性受到保护。即保证网络系统的硬件、软件及系统中的数据资源得到完整、准确、连续运行与服务不受干扰破坏和非授权使用。ISO/IEC27032的网络安全定义则是指对网络的设计、实施和运营等过程中的信息及其相关系统的安全保护。

注意：网络安全不仅限于计算机网络安全，还包括手机网络安全等。实际上，世界上不存在绝对的安全，过分提高网络的安全性可能降低网络传输。

网络空间安全（CyberspaceSecurity）是针对网络空间中的信息在产生、传输、存储、处理等环节中所面临的威胁和防御措施,以及网络和系统本身的安全和防护机制。不仅包括传统信息安全所研究的信息的保密性、完整性和可用性，还包括构成网络空间基础设施的安全和可信。需要明确信息安全、网络安全、网络空间安全概念之异同，三者均属于非传统安全，均聚焦于信息安全问题。网络安全及网络空间的核心是信息安全。只是出发点和侧重点有所差别。广义网络安全（1）网络安全与网络空间安全相关概念1.1.1网络安全的概念和内容

网络安全的目标是指在网络的信息传输、存储与处理的整个过程中，提高物理上逻辑上的防护、监控、反应恢复和对抗的要求。网络安全的主要目标是通过各种技术与管理等手段，实现网络信息的保密性、完整性、可用性、可控性和可审查性（网络信息安全5大特征）。其中保密性、完整性、可用性是网络安全的基本要求。网络安全包括两大方面，一是网络系统的安全，二是网络信息（数据）的安全，网络安全的最终目标和关键是保护网络信息的安全。网络信息安全的特征反映了网络安全的具体目标要求。

（2）网络安全的目标及特征1.1.1网络安全的概念和内容网络安全主要特征网络安全5大特征：(1)保密性。也称机密性。(2)完整性。非授权不改变。(3)可用性。也称有效性。(4)可控性。有效管控能力。(5)可审查性.又称拒绝否认性、抗抵赖性或不可否认性十三五国家重点出版规划项目国家智慧教育平台首批入选课程2.网络安全的内容及侧重点从不同角度可划分网络安全内容、保护范畴及侧重点。

（1）网络安全涉及的内容

通常，网络安全的内容包括：操作系统安全、数据库安全、网络站点安全、病毒与防护、访问控制、加密与鉴别等方面，具体内容将在以后章节中分别进行详细介绍。从层次结构上，也可将网络安全所涉及的内容概括为以下五个方面。网络空间安全内容及体系见3.1.2。

1)实体安全。也称物理安全，指保护网络设备、设施及其他媒介免遭地震、水灾、火灾、有害气体和其他环境事故破坏的措施及过程。具体参见1.5介绍。主要安全防护（简称5防）：防盗、防火、防静电、防雷击、防电磁泄漏。1.1.1网络安全的概念和内容

2)系统安全。系统安全包括网络系统安全、操作系统安全和数据库系统安全。

3)运行安全。包括网络运行和网络访问控制的安全,如用防火墙实现内外网的隔离、访问控制、系统恢复。4)应用安全。由应用软件平台安全和数据安全两部分组成.

5)管理安全。也称安全管理,主要指对人员、网络系统和应用与服务等要素的安全管理,涉及各种法律、法规、政策、策略、机制、规范、标准、技术手段和措施等。广义的网络安全主要内容如图1-1所示。依据网络信息安全法律法规，以实体安全为基础，以管理和运行安全保障操作系统安全、网络安全(狭义)和应用安全及正常运行与服务。图1-1网络安全主要内容

1.1.1网络安全的概念和内容网络安全相关内容及其相互关系,如图1-2所示。

图1-2网络安全相关内容及其相互关系1.1.1网络安全的概念和内容

案例1-2】在2025年哈尔滨第九届亚洲冬季运动会（亚冬会）期间，赛事信息系统及黑龙江省内关键信息基础设施遭受大规模境外网络攻击。根据中国国家计算机病毒应急处理中心发布的报告，攻击次数超过27万次，其中63.24%来自美国列首位，还以别国为跳板。多国奥运会也出现过类似攻击。案例1-2

（2）网络安全的侧重点1）网络安全工程人员。注重解决方案和新技术、工程建设开发与管理、安全防范、操作系统防护技术和安全应急处理措施等。2）网络安全研究人员。注重理论上用数学等方法描述安全问题的特征，并通过安全模型等解决具体网络安全问题。3）网络安全评估人员。关注安全评价标准与准则、安全等级划分、安全产品测评方法与工具、网络信息采集、网络攻击及防御技术和采取的有效措施等。1.1.1网络安全的概念和内容十三五国家重点出版规划项目国家智慧教育平台首批入选课程1.1网络安全管理概念和内容4）网络管理员或安全管理员。侧重网络安全管理策略、身份认证、访问控制、入侵检测、防御与加固、网络安全审计、应急响应和计算机病毒防治等安全技术和措施.主要职责配置与维护网络,在保护授权用户方便快捷地访问网络资源的同时,必须防范非法访问、病毒感染、黑客攻击、服务中断和垃圾邮件等各种威胁,一旦系统遭到破坏,致使数据或文件造成损失,采取相应的应急响应和恢复等。5）国家安全保密人员。注重网络信息泄露、窃听和过滤的各种技术手段，以避免涉及国家政治、军事、经济等重要机密信息的无意或有意泄露；抑制和过滤威胁国家安全的暴力与邪教等信息传播，以免给国家的稳定带来不利的影响，甚至危害国家安全。6）国防军事相关人员。更关心信息对抗、信息加密、安全通信协议、无线网络安全、入侵攻击、应急处理和网络病毒传播等网络安全综合技术，以此夺取网络信息优势、扰乱敌方指挥系统、摧毁敌方网络基础设施，打赢未来信息战争。

注意：所有网络用户都应关心网络安全问题，注意保护个人隐私和商业信息不被窃取、篡改、破坏和非法存取，确保网络信息的保密性、完整性、有效性和可审查性。1.网络安全技术的概念和常用技术1.1.2网络安全技术概述

（1）

网络安全技术相关概念网络安全技术(NetworkSecurityTechnology)是指为解决网络安全问题进行有效监控和管理,保障数据及系统安全的技术手段.包括实体安全技术、网络系统安全、数据安全、密码及加密技术、身份认证、访问控制、防恶意代码、检测防御、管理与运行安全技术等，以及确保安全服务和安全机制的策略等。（2）通用的网络安全技术常用的网络安全技术主要可以归纳为三大类：1）预防保护类。主要包括身份认证、访问管理、加密、防恶意代码、入侵防御和加固等。2）检测跟踪类。对网络客体访问行为需要监控、检测和审计跟踪，防止在访问过程中可能产生的安全事故的各种举措。3）响应恢复类。一旦发生重大安全故障，采取应急预案呵有效措施，确保在最短时间内对其事件应急响应和备份恢复,尽快将其损失和影响降至最低。某银行以网络安全业务价值链的概念，将网络安全的技术手段分为预防保护类、检测跟踪类和响应恢复类等三大类，如图1-3所示：（2）常用网络空间安全技术案例1-3图1-3常用的网络安全技术1.1.2网络安全技术概述

常用网络安全技术有8种：1）身份认证2）访问管理3）加密4）防恶意代码5）加固6）监控7）审核跟踪8）备份恢复1.1.1网络安全的概念和内容十三五国家重点出版规划项目国家智慧教育平台首批入选课程

常用描述网络安全整个过程和环节的网络安全模型为PDRR模型：防护(Protection)、检测(Detection)、响应(Reaction)和恢复(Recovery)如图1-4.在上述模型的基础上,以“检查准备、防护加固、检测发现、快速反映、确保恢复、反省改进”的原则,经过改进得到另一个网络系统安全生命周期模型—IPDRRR模型,如图1-5所示。2.网络安全常用模型

借助网络安全模型可构建网络安全体系和结构,进行网络安全解决方案制定、规划、设计和实施等,或研究与应用描述.图1-4网络安全PDRR模型图1-5系统安全生命周期模型(1)网络安全PDRR模型

1.1.2网络安全技术概述

（2）网络安全通用模型利用互联网将数据报文从源站主机传输到目的站主机，需要协同处理与交换。通过建立逻辑信息通道，可以确定从源站经过网络到目的站的路由及两个主体协同使用TCP/IP的通信协议。其网络安全通用模型如图1-6所示,缺点是并非所有情况都通用。

图1-6网络安全通用模型

对网络信息的安全处理，需要可信第三方两个主体在报文传输中身份认证。构建网络安全系统时，网络安全模型基本任务主要有4个：选取一个秘密信息或报文；设计一个实现安全的转换算法；开发一个分发和共享秘密信息的方法；确定两个主体使用的网络协议，以便利用秘密算法与信息，实现特定的安全服务。1.1.2网络安全技术概述

（3）网络访问安全模型

常用网络访问安全模型。针对黑客攻击两类威胁：非授权用户截获或修改数据；二是服务威胁，即服务流激增以禁止合法用户使用。对非授权访问的安全机制可分为两类：一是网闸功能，包括基于口令的登录过程可拒绝所有非授权访问，以及屏蔽逻辑用于检测、拒绝病毒、蠕虫和其他类似攻击；二是内部的安全控制，若非授权用户得到访问权，第二道防线将对其进行防御，包括各种内部监控和分析，以检查入侵者。如图1-7。图1-7网络访问安全模型防火墙1.1.2网络安全技术概述

（4）网络安全防御模型

“防患于未然”是最好的保障，网络安全的关键是预防，同时做好内网与外网的隔离保护。可以通过如图1-8的网络安全防御模型构建的系统保护内网。图1-8网络安全防御模型1.1.2网络安全技术概述

1.1.3网络安全建设发展现状及趋势

1.国外网络安全建设发展现状

1）大力加强网络安全法制化管理与保障。我国高度重视网络安全并成立“中央网络安全及信息化领导小组”且由国家主席亲自抓，并以“新时代网络安全观”多次强调“没有网络安全，就没有国家安全”,首次单独颁布实施《网络安全法》和《网络安全审查办法》,大力加强并完善了相关法律法规、保障体系、规划与策略、制度建设、管理机制与措施、队伍及素质能力建设和人才培养等。2）大力加强自主知识产权新技术研究.我国以《国家安全战略纲要》将网络空间安全纳入国家安全战略,并在重大高新技术研究项目等方面给予大量投入.3）强化网络安全标准准则及规范。我国网络安全等级保护制度2.0标准正式颁布实施，包括《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》和《信息安全技术网络安全等级保护安全设计技术要求》等，进一步强化了网络安全等级保护制度和标准化。4）提升网络安全测试评估。测试评估标准提高与完善，促进了测试评估、评估手段和工具的不断提高，渗透性测试技术方法得到增强，网络整体安全性评估进一步提高。5）应急响应与系统恢复。6）网络安全检测防御技术。

1.国外网络安全建设发展状况

7）网络安全信息关联分析。对各种复杂多变的网络攻击和威胁，只凭单一入侵监测或漏洞检测，无法快速准确掌握攻击信息并进行有效防范，还须将不同安全设施和区域安全信息关联分析并进行整体协同防范。8）密码新技术研究。我国在密码新技术等研究取得国际领先。在深入进行传统密码技术研究的同时，重点进行量子密码等新技术研究，主要包括：利用量子计算机对传统密码体制进行分析，二是利用量子密码学实现信息加密和密钥管理。

中国冬奥会遭到3.8亿次网络攻击安然无恙。从中国冬奥会前准备，到冬残奥会闭幕式结束，为期2个月时间内，针对北京冬奥的网络攻击从未间断。3.8亿次网络攻击、上千个攻击组织、数万起高级持续性威胁APT事件，在开幕式、闭幕式和重要赛事期间，攻击频次更密、强度更烈。以网络安全新技术尽早发现、早预警和早处置，是系统安全保障“零事故”的前提。

案例1-41.1.3网络安全建设发展现状及趋势

2.我国网络安全建设发展现状

我国极为重视网络安全建设，并采取了一系列重大举措。我国起步晚发展快，主要体现在：1）大力加强网络安全法制化管理与保障。我国高度重视网络安全并成立“中央网络安全及信息化领导小组”且由国家主席亲自抓，并以“新时代网络安全观”多次强调“没有网络安全，就没有国家安全”，还首次单独颁布实施《网络安全法》和《网络安全审查办法》，大力加强并完善了相关法律法规、保障体系、规划与策略、制度建设、管理机制与措施、队伍及素质能力建设和人才培养等。2）大力加强自主知识产权新技术研究。我国以《国家安全战略纲要》将网络空间安全纳入国家安全战略，并在国家重大高新技术研究项目等方面给予大量投入，注重IPv9、量子通信及5G网络、密码技术、可信计算和操作系统等自主知识产权新技术研发。1.1.3网络安全建设发展现状及趋势

3）强化网络安全标准准则及规范。我国网络安全等级保护制度2.0标准正式颁布实施，包括《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》和《信息安全技术网络安全等级保护安全设计技术要求》等，进一步强化了网络安全等级保护制度和标准化。4）提升网络安全测试评估。测试评估标准提高与完善，促进了测试评估、评估手段和工具的不断提高，渗透性测试技术方法得到增强，网络整体安全性评估进一步提高。1.1.3网络安全建设发展现状及趋势

2.我国网络安全建设发展现状5）应急响应与系统恢复。应急响应能力是衡量网络系统生存性的重要指标。对智能动态精准检测系统漏洞、入侵、突发事件和应急处理的能力等研究进一步提高，在跟踪定位、现场取证、隔离等研究和产品，以及新型远程备份数据的一致性、完整性、访问控制等关键技术也取得一定进展。6）网络安全检测防御技术。网络安全检测防御是安全保障的动态措施，我国在网络安全智能检测及防御技术和方法、云安全及大数据安全等研究取得重大进展，通过智能检测防御及时发现网络安全问题，及时预警、加固和修复，防止发生重大安全事故。1.1.3网络安全建设发展现状及趋势

2.我国网络安全建设发展现状网络安全的发展趋势主要体现在以下几个方面：1）网络安全新技术创新。网络安全威胁增加和变化，技术也在不断创新和提高，可信技术、区块链、网格安全、智能检测与防御、云安全、大数据安全、虚拟技术和信息隐藏等新技术发展，具有自主知识产权的核心技术成研究重点。2）网络安全技术与智能管理高度集成。侧重优化集成，如云查杀毒软件、虚拟专用网VPN或入侵检测系统与智能防火墙集成，以及安全网关、主机安全防护系统、智能监控防御系统等，同管理智能化结合已成为发展的必然趋势。1.1.3网络安全建设发展现状及趋势

2024年勒索软件攻击数量创下历史新高，根据区块链分析公司Chainalysis发布报告，2024年被勒索软件付款总额为8.125亿美元，攻击事件数量激增，但实际支付的赎金却显著减少。这一现象引发了安全专家的广泛关注。研究表明，这与网络安全新技术和执法机构的严厉打击密不可分。案例1-53.网络安全技术的发展趋势

3）新型网络安全平台。统一威胁资源管理UTM可整合各种威胁进行整体安全防范和管理，是实现网络安全的重要手段和发展趋势，已成为集多种网络安全防护技术一体化的解决方案，在保障网络安全的同时大量降低运维成本。

4）高水平的服务和急需人才。网络安全威胁的严重性及新变化，对解决网络安全技术和经验要求更高，急需高水平的网络安全服务和专门人才。

5）网络安全特殊专用工具及产品。注重解决网络安全危害大且影响范围广的一些特殊问题，如专门针对分布式拒绝服务攻击的智能检测防御系统、云查杀毒软件，专门解决网络安全认证、授权与审计的新型认证系统等。1.1.3网络安全建设发展现状及趋势

最新证据再次表明美国是中国面临的头号网络威胁。中国网络空间安全协会发布了美国政府对中国实施网络攻击相关案例，美国政府以德国、韩国、新加坡、荷兰等为跳板对中国实施网络攻击的多起案例，透露了2024年境外国家级APT组织对中国重要单位实施超过600起网络攻击事件，对中国关键信息基础设施、重要信息系统等进行攻击渗透。这是美国政府对中国实施恶意网络攻击的新增证据，也暴露了美国在网络安全上贼喊捉贼的虚伪面目。1.2.1网络空间安全威胁及现状分析案例1-61.2案例分析网络空间安全威胁及现状分析“十三五”国家重点出版规划国家智慧教育平台首批入选课程网络空间已成为继陆、海、空、天之后第五大战略空间,是影响国家安全、社会稳定、经济发展和文化生活的核心、关键和基础,其安全性至关重要：1）法律法规、安全管理和意识欠缺。2）网络安全规范和标准不统一。3）政府与企业的侧重点及要求不一致。4）网络系统的安全威胁及隐患.5）网络安全技术和手段滞后.6）网络安全威胁新变化,黑客利益产业链惊人.1.2网络空间安全威胁及态势

1.2.1网络空间安全威胁及现状分析

中国黑客利益产业链严重。据调查显示，中国的黑客产业链年收入达百亿元，造成用户损失几十亿元。中国警方破获多起制造传播具有远程控制功能的木马病毒网络犯罪团伙，包括懵懂的大学生。黑客/病毒产业链在近年来很猖獗，包括远程攻击、窃取机密、窃取银行账号、传授黑客技能等，更多黑客团伙利用木马病毒实施敲诈等。木马程序灰鸽子产业链如图1-9所示。

案例1-71.2案例分析网络空间安全威胁及现状分析黑客木马程序灰鸽子产业链，如图1-9所示。图1-9黑客木马程序灰鸽子产业链1.2.1网络空间安全威胁及现状1.2案例分析网络空间安全威胁及现状分析

美国著名的“棱镜事件”.被曾在美国参加过全球网络监控活动的前中央情报局CIA雇员斯诺登多次曝光,包括监控其欧洲盟友政要在内的网络和电话等情报.谷歌、雅虎、微软、苹果等机构帮助其提供漏洞参数和服务器等.中国网络安全产业联盟CCIA报告,深度揭示美国情报机构针对全球移动智能终端实施大规模攻击和长期监听窃密活动,警示智能设备或芯片已经成为网络攻击目标。1.2.2网络安全威胁的种类及途径案例1-81.网络安全主要威胁的种类

网络安全面临主要威胁受人为因素、系统和运行环境的影响，包括网络系统问题和网络数据（信息）的威胁和隐患。网络安全威胁主要表现为：非法授权访问、窃听、黑客入侵、假冒合法用户、病毒破坏、干扰系统正常运行、篡改或破坏数据等。威胁性攻击大致可分为主动攻击和被动攻击两大类。1.2案例分析网络空间安全威胁及现状分析表1-1网络安全的主要威胁种类1.2案例分析网络空间安全威胁及现状分析2.网络安全威胁的主要途径世界各种网络被入侵攻击的事件频发，其途径种类各异且变化多端。目前，大量网络系统的功能、网络资源和应用服务等已经成为黑客攻击的主要目标。网络的主要应用包括：电子商务、网上银行、股票、证券、即时通信、邮件、网游、下载文件等都存在大量安全隐患。

特殊计算机植入黑客软件，中国已成为被监控重要目标。美国《纽约时报》曾曝光美国国家安全局NSA“量子”项目，利用一种特殊黑客技术将远程监控程序植入脱网计算机,可以对机构和个人计算机、服务器等进行监控或攻击。从十几年前已经开始实施，主要用计算机等芯片和数据线发送无线电波实现监视，早已经在全球10万台计算机上植入其软件，最重要的监控对象包括中国。案例1-91.2案例分析网络空间安全威胁及现状分析

网络安全威胁的主要途径，可以很直观地用图示方式进行表示，如图1-10所示。图1-10网络安全主要威胁及途径U1.2案例分析网络空间安全威胁及现状分析1.网络系统安全威胁及风险（1）网络系统面临威胁和风险

1)网络开放隐患多.2)网络共享风险大。3)系统结构复杂有漏洞。4)身份认证难。5)边界难确定受威胁.6)传输路径与结点隐患多.7)信息高度聚集易受攻击“十三五”国家重点出版规划国家智慧教育平台首批入选课程1.2网络空间安全威胁及态势

网络安全的风险及脆弱性涉及网络设计、结构、层次、范畴和管理机制等方面。

1.网络系统安全威胁及风险1）网络系统面临的威胁和风险互联网创建初期只用于计算和科学研究，其设计及技术基础并不安全。现代互联网的快速发展和广泛应用，使其具有开放性、国际性和自由性等特点。

2）网络服务协议的安全威胁。常用的互联网服务安全包括：Web浏览服务安全、文件传输FTP服务安全、Email服务安全、远程登陆Telnet安全、DNS域名安全和设备实体安全。网络的运行机制依赖网络协议。TCP/IP协议在设计初期只注重异构网的互联，并没考虑安全问题，互联网协议TCP/IP、FTP、E-mail和NFS(网络文件系统)等不仅公开且存在安全漏洞。

1.2.3网络安全的威胁及风险分析1.2案例分析网络空间安全威胁及现状分析2.操作系统的漏洞及隐患操作系统安全是指其本身及运行安全是网络系统中最基本、最重要的系统软件。1）体系结构和研发漏洞。2）创建进程的隐患。3）服务及设置的风险.4）配置和初始化错误.“十三五”国家重点出版规划国家智慧教育平台首批入选课程1.2网络空间安全威胁及态势“十三五”国家重点出版规划全国高校”十四五”规划教材3.防火墙的局限性及风险防火墙能较好地阻止外网基于IP包头攻击和非信任地址的访问，却无法阻止基于数据内容的攻击和病毒入侵，也无法控制内网之间的攻击行为。其安全局限性还需要入侵检测系统、入侵防御系统、统一威胁管理等弥补.1.2网络空间安全威胁及态势4.网络数据库的安全风险数据库是信息资源管理和数据处理的核心技术，也是各种系统处理业务数据的关键，数据库安全不仅包括数据库系统本身的安全，还包括最核心和关键的数据（信息）安全，需要确保数据的安全可靠和正确有效，确保数据安全性、完整性和并发控制.“十三五”国家重点出版规划国家智慧教育平台首批入选课程1.2网络空间安全威胁及态势1.2.3网络安全的威胁及风险分析

5.网络安全管理及其他问题

网络安全是一项系统工程，需要各方面协同管理。安全管理产生的漏洞和疏忽属于人为因素，如果缺乏完善的相关法律法规、管理技术规范和安全管理组织及人员，缺少安全检查、测试和实时有效地安全监控，将是网络安全的最大问题。

美情报机构频繁对我国防军工领域实施网络攻击窃密。

国家互联网应急中心（CNCERT）监测发现，近年来，美国情报机构将网络攻击窃密的重点目标瞄准我高科技军工类的高校、科研院所及企业，试图窃取我军事领域相关的科研数据或设计、研发、制造等环节的核心生产数据等敏感信息，更有针对性、手法更加隐蔽，频繁猖獗对我国防军工领域实施网络窃密攻击，严重威胁我国防军工领域的科研生产安全甚至国家安全。。案例1-101.2案例分析网络空间安全威胁及现状分析

网络安全风险现状分析1）网络安全相关法律法规和管理政策、制度、安全意识问题。2）管理漏洞和操作人员问题。3）实体管理、运行环境及传输安全是网络安全的重要基础。“十三五”国家重点出版规划国家智慧教育平台首批入选课程1.2网络空间安全威胁及态势1.2.4网络空间安全威胁的发展态势我国监管机构对网络安全威胁和新网络攻击手段等进行深入分析和研究,攻击工具更加简单化,智能化、自动化.攻击手段更加复杂多变,攻击直指网络基础协议和操作系统,黑客培训广泛.提出新课题与挑战。中国网络安全研究机构，在对国内外网络安全问题进行认真分析研究的基础上提出未来网络安全威胁趋势主要包括：1）国际利益集团利用网络空间竞争和军备竞赛加剧。2）对于网络空间技术、标准和管控的国际话语权争夺更激烈。3）有组织的大规模网络攻击将进一步加剧。4）世界各国移动互联网安全事件不断增加。5）智能互联设备成为网络攻击的新目标。6）工业控制系统等基础设施安全风险加大。7）可能发生更大大规模数据泄露事件。8）网络安全事件将造成更大损失和影响。9）黑客攻击技术、方式和方法变化多端。

著名未来学家阿尔文.托夫勒:谁掌握了信息,谁控制了网络,谁就将拥有整个世界。1.2案例分析网络空间安全威胁及现状分析1.3.1实体安全的概念及内容

*1.3知识拓展实体安全与隔离技术

1.实体安全的概念

实体安全（PhysicalSecurity）也称物理安全，指保护网络设备、设施及其他媒体免遭地震、水灾、火灾、有害气体和其他环境事故破坏的措施及过程。主要是对计算机及网络系统的环境、场地、设备和人员等方面，采取的各种安全技术和措施。实体安全是整个网络系统安全的重要基础和保障。主要侧重环境、场地和设备的安全，以及实体访问控制和应急处置计划等。计算机网络系统受到的威胁和隐患，很多是与计算机网络系统的环境、场地、设备和人员等方面有关的实体安全问题。

1.3.1实体安全的概念及内容

实体安全的目的是保护计算机、网络服务器、交换机、路由器、打印机等硬件实体和通信设施免受自然灾害、人为失误、犯罪行为的破坏，确保系统有一个良好的电磁兼容工作环境，将有害的攻击进行有效隔离。

2.实体安全的内容及措施实体安全的内容主要包括环境安全、设备安全和媒体安全三个方面，主要指五项防护（简称5防）：防盗、防火、防静电、防雷击、防电磁泄漏。特别是，应当加强对重点数据中心、机房、服务器、网络及其相关设备和媒体等实体安全的防护。*1.3知识拓展实体安全与隔离技术

1）防盗。由于网络核心部件是偷窃者的主要目标，而且，这些设备存放大量重要资料，被偷窃所造成的损失可能远远超过计算机及网络设备本身的价值，因此，必须采取严格防范措施，以确保计算机、服务器及网络等相关设备不丢失。2）防火。网络中心的机房发生火灾一般是由于电气原因、人为事故或外部火灾蔓延等引起的。3）防静电。一般静电由物体间的相互摩擦、接触而产生,计算机显示器也会产生很强的静电。静电产生后,由于未能释放而保留在物体内会有很高的电位其能量不断增加,从而产生静电放电火花，造成火灾，可能使大规模集成电器损坏。4）防雷击。由于传统避雷针防雷，不仅增大雷击可能性，而且产生感应雷，可能使电子信息设备被损坏，也是易燃易爆物品被引燃起爆的主要原因。5）防电磁泄漏。电脑、服务器及网络等设备，工作时会产生电磁发射。电磁发射主要包括辐射发射和传导发射.可能被高灵敏度的接收设备进行接收、分析、还原，造成信息泄露。2.实体安全的内容及措施*1.3知识拓展实体安全与隔离技术

1.3.2媒体安全与物理隔离技术

1.媒体及其数据的安全保护媒体及其数据安全保护,是指对媒体数据和媒体本身的安全保护。1)媒体安全。媒体安全主要指对媒体及其数据的安全保管，目的是保护存储在媒体上重要资料。保护媒体的安全措施主要有两个方面：媒体的防盗与防毁，防毁指防霉和防砸及其他可能的破坏或影响。2)媒体数据安全.媒体数据安全主要指对媒体数据的保护.为了防止被删除或被销毁的敏感数据被他人恢复,必须对媒体机密数据进行安全删除或安全销毁.保护媒体数据安全的措施主要有三个方面：1）媒体数据的防盗，如防止媒体数据被非法拷贝；2）媒体数据的销毁，包括媒体的物理销毁（如媒体粉碎等）和媒体数据的彻底销毁（如消磁等），防止媒体数据删除或销毁后被他人恢复而泄露信息；3）媒体数据的防毁，防止媒体数据的损坏或丢失等。*1.3知识拓展实体安全与隔离技术

1.3.2媒体安全与物理隔离技术

2.物理隔离技术物理隔离技术是一种以隔离方式进行防护的手段。目的是在现有安全技术的基础上，将威胁隔离在可信网络之外，保证可信网络内部信息安全的前提下，完成内外网络数据的安全交换。(1)物理隔离的安全要求物理隔离的安全要求主要有3点：1）隔断内外网络传导。在物理传导上使内外网络隔断，确保外部网不能通过网络连接而侵入内部网；同时防止内部网信息通过网络连接泄漏到外部网。2）隔断内外网络辐射。在物理辐射上隔断内部网与外部网，确保内部网信息不会通过电磁辐射或耦合方式泄漏到外部网。3）隔断不同存储环境。在物理存储上隔断两个网络环境，对于断电后会遗失信息的部件，如内存等。*1.3知识拓展实体安全与隔离技术

1.3.2媒体安全与物理隔离技术

(2)物理隔离技术的三个阶段第一阶段：彻底物理隔离。利用物理隔离卡、安全隔离计算机和交换机使网络隔离，两个网络之间无信息交流，所以也就可以抵御所有的网络攻击，适用于一台终端（或一个用户）需要分时访问两个不同的、物理隔离的网络的应用环境。第二阶段：协议隔离。协议隔离是采用专用协议（非公共协议）来对两个网络进行隔离，并在此基础上实现两个网络之间的信息交换。协议隔离技术由于存在直接的物理和逻辑连接，仍然是数据包的转发，一些攻击依然出现。第三阶段：网闸隔离技术。主要通过网闸等隔离技术对高速网络进行物理隔离，使高效的内外网数据仍然可以正常进行交换，而且控制网络的安全服务及应用。(3)物理隔离的性能要求采取安全措施可能对性能产生一定影响，物理隔离将导致网络性能和内外数据交换不便。*1.3知识拓展实体安全与隔离技术

技术手段优点缺点典型产品彻底的物理隔离能够抵御所有的网络攻击两网络间无信息交流联想网御物理隔离卡、开天双网安全电脑、伟思网络安全隔离集线器协议隔离能抵御基于TCP/IP协议的网络扫描与攻击等行为有些攻击可穿越网络京泰安全信息交流系统2.0、东方DF-NS310物理隔离网关物理隔离网闸不但实现了高速的数据交换，还有效地杜绝了基于网络的攻击行为应用种类受到限制伟思ViGAP、天行安全隔离网闸(TopWalk-GAP)和联想网御SIS3000系列安全隔离网闸表1-5物理隔离主要技术手段

*1.3知识拓展实体安全与隔离技术

1.4要点小结要点小结主要结合典型案例概述了网络空间安全的威胁及发展态势、威胁途径及种类并对产生网络安全的风险及隐患的系统问题、操作系统漏洞、网络数据库问题、防火墙局限性、管理和其他各种因素进行了概要分析.着重介绍了信息安全概念和属性特征,以及网络安全的概念、目标、内容和侧重点.重点概述了网络安全技术的概念、常用的网络安全技术（身份认证、访问管理、加密、防恶意代码、加固、监控、审核跟踪和备份恢复）和网络安全模型。介绍了国内外网络安全建设与发展的概况，概要分析了国际领先技术、国内存在的主要差距和网络安全技术的发展趋势。最后，概述了实体安全的概念、内容、媒体安全与物理隔离技术，以及网络安全实验前期准备所需的构建虚拟网的过程和主要方法等。网络安全的最终目标和关键是保护网络系统信息资源安全,做好预防“防患于未然”是确保网络安全的最好举措.世界上并没有绝对的安全,网络安全是个系统工程,需要多方面互相密切配合、综合防范才能收到实效。

虚拟局域网(VLAN)是一种将局域网设备从逻辑上划分成多个网段，从而实现虚拟工作组的数据交换技术。主要用于交换机和路由器。虚拟机（VM）是运行于主机的虚拟系统。可模拟硬件控制模式，具有系统运行的大部分功能和部分扩展功能。虚拟技术不仅经济，而且可用于模拟具有一定风险性的与网络安全相关的各种实验或测试。1.5.1实验目的

通过安装和配置虚拟机,并建立一个虚拟局域网,主要3个目的：

1）为网络安全试验做准备。利用虚拟机软件可以构建虚拟网，模拟复杂的网络环境，可以让用户在单机上实现多机协同作业，进行网络协议分析等功能。2）网络安全实验可能对系统具有一定破坏性，虚拟局域网可以保护物理主机和网络的安全。而且一旦虚拟系统瘫痪后，也可以在数秒内得到恢复。3）利用VMwareWorkstationPro虚拟机安装Windows，可以实现在一台机器上同时运行多个操作系统，以及一些其他操作功能，例如屏幕捕捉、历史重现等。*1.5实验1-1构建虚拟局域网实验VLAN1.5.2实验要求及方法1．实验准备及要求(1)预习准备由于本实验内容是为了后续的网络安全实验做准备，因此，最好提前做好虚拟局域网“预习”或对有关内容进行一些了解。1）Windows11原版光盘镜像：Windows11开发者预览版下载。2）VMware16虚拟机软件下载：VMwareWorkstationPro16。(2)注意事项及特别提醒安装VMware时，需要将设置中的软盘移除，以免可能影响Windows10声音或网络。由于网络安全技术更新快、技术、方法和软硬件产品种类繁多，可能具体版本和界面等方面不尽一致或有所差异。特别是在具体实验步骤中更应当多注重关键的技术方法，做到“举一反三、触类旁通”，不要死钻“牛角尖”过分扣细节。(3)注意实验步骤和要点安装完成虚拟软件和设置以后，需要重新启动才可正常进行使用。实验用时：2学时（90–120分钟）*1.5实验1-1构建虚拟局域网实验VLAN以太网交换机A4B1以太网交换机VLAN3C3B3VLAN1VLAN2C1A2A1A3C2B2以太网交换机以太网交换机三个虚拟局域网VLAN1,VLAN2和VLAN3

的构成当B1

向VLAN2

工作组内成员发送数据时，工作站B2和B3将会收到广播的信息。虚拟局域网2．实验方法构建虚拟局域网VLAN方法很多。可用Windows自带连接设置方式,也可在WindowsServer环境下，安装虚拟机软件。主要利用虚拟存储空间和操作系统提供的技术支持，使虚拟机上的操作系统通过网卡和实际操作系统通信。真实机和虚拟机可以通过以太网通信，形成小型的局域网环境。1）利用虚拟机软件在一台计算机中安装多台虚拟主机，构建虚拟局域网，可以模拟复杂的真实网络环境，让用户在单机上实现多机协同作业。2）由于虚拟局域网是个“虚拟系统”，所以一旦遇到网络攻击甚至造成系统瘫痪，实际的物理网络系统并没有受到影响和破坏，所以，虚拟局域网可在较短时间内得到恢复。3）在虚拟局域网络上，可以实现在一台机器上同时运行多个操作系统。*1.5实验1-1构建虚拟局域网实验VLAN1.5.3实验内容及步骤VMwareWorkstation是一款功能强大桌面虚拟软件，可在虚拟机中运行多种操作系统和应用软件，为用户提供同时运行不同的操作系统和进行开发、测试、部署新的应用程序的最佳解决方案。每台虚拟机相当于包含网络地址PC机建立VLAN。VMware基于VLAN，可为分布在不同范围、不同物理位置的计算机组建虚拟局域网，形成一个具有资源共享、数据传送、远程访问等功能的局域网。利用VMware虚拟机安装Windows，并可以建立虚拟局域网VLAN。（1）安装VMware.安装及使用虚拟机向导界面,如图1-11及1-12所示。

*1.5实验1-1构建虚拟局域网实验VLAN1.5.3实验内容及步骤图1-12使用新建虚拟机向导面

*1.5实验1-1构建虚拟局域网实验VLAN图1-11VMware16安装界面

（2）用Workstation“虚拟机向导”，从磁盘或ISO映像在虚拟机中安装Windows，分别如图1-13及图1-14所示。

图1-13使用新建虚拟机向导界面*1.5实验1-1构建虚拟局域网实验VLAN

图1-14选择Windows界面*1.5实验1-1构建虚拟局域网实验VLAN

（3）借助Workstation16Pro，可以充分利用Windows最新功能（如私人数字助理Cortana、新的Edge网络浏览器中的墨迹书写功能）,还可开始为Windows设备构建通用应用.甚至可要求Cortana直接从Windows启动VMwareWorkstation。（4）设置虚拟机名称及虚拟机放置位置，具体如图1-15。

图1-15设置虚拟机名称及放置位置*1.5实验1-1构建虚拟局域网实验VLAN

图1-16配置虚拟机大小界面*1.5实验1-1构建虚拟局域网实验VLAN（5）配置虚拟机大小,确定创建（磁盘空间需留有余地）,如图1-16（6）完成虚拟机创建，启动虚拟机，如图1-17所示，可查看有关信息，并解决出现的问题：进入放置虚拟机的文件夹，找到后缀.vmx文件,以记事本打开,如图1-18,然后保存再重新启动。图1-17完成虚拟机配置*1.5实验1-1构建虚拟局域网实验VLAN图1-18查看有关信息并处理有问题*1.5实验1-1构建虚拟局域网实验VLAN1.6.1实验目的1）进一步理解虚拟局域网VLAN的应用2）掌握虚拟局域网VLAN的基本配置方法3）了解VLAN中继协议VTP的应用1.6.2预备知识VLAN技术是交换技术和交换机重要组成部分.将物理上直接相连的网络从逻辑上划分成多个子网,如图1-30。

*1.6实验1-2配置虚拟局域网VLAN图1-30将网络从逻辑上划分成多个子网1.VLAN的特点优势(1)广播控制(2)安全控制同一VLAN中的主机才可以直接互相通信的特性，可以在不用关心设备的位置的前提下，控制非授权用户访问VLAN。(3)灵活性与可扩展性2．VLAN的配置方式1)静态VLAN：由网络管理人员使用网络管理软件或直接设置交换机的端口中，使其直接从属某个VLAN。2)动态VLAN3)多VLAN端口3．VLAN的识别方法

*1.6实验1-2配置虚拟局域网VLAN4．VLAN中继协议在VTP域中的交换机有三种操作模式：1)服务器模式（Server）.对大部分交换机这是默认的模式。在VTP域中，至少需要一台服务器模式的交换机，以便在整个域中传播VLAN信息。2)客户机模式(Client)。在客户机模式下，交换机不能创建、添加、改动或删除VLAN。只能接收VLAN信息更新。如果想让一台交换机到服务器模式,可以先让其成为客户机模式,以便它接收所有VLAN的正确信息并自我更新后,然后再改到服务器模式。3)透明模式(Transparent)。5．VLAN之间的通信VLAN在OSI模型的第2层创建网络分段，并分隔数据流，如果要在VLAN之间进行通信，则必须使用第3层设备，如使用路由器或三层交换机。

*1.6实验1-2配置虚拟局域网VLAN1.6.3实验要求及配置

Cisco3750交换机、PC、串口线、交叉线等。1．单一交换机上VLAN的配置

图1-31单一交换机上VLAN配置实现拓扑图*1.6实验1-2配置虚拟局域网VLAN2．跨交换机VLAN的配置1）实现拓扑图如图1-32所示，三组交换机使用交叉线互联后，配置Trunk链路。2）测试相同VLAN主机间的连通性，并测试不同VLAN间的主机的连通性，分别记录测试结果。3）删除建立的VLAN和端口VLAN划分，恢复设备配置原状。

图1-32跨交换机VLAN的配置实现拓扑图*1.6实验1-2配置虚拟局域网VLAN1.6.4实验步骤主要介绍单一交换机上VLAN的配置操作：1.测试两台电脑连通性在windows点击开始,输入cmd进入命令提示符界面,如图1-33。

图1-33输入cmd进入提示符的ping命令界面*1.6实验1-2配置虚拟局域网VLAN2.配置VLAN的具体方法下面以第一组、第一行操作为例介绍配置VLAN方法。（1）添加第一个VLAN并端口划入VLAN，如图1-34和图1-35.

图1-34添加第一个VLAN显示界面*1.6实验1-2配置虚拟局域网VLAN

图1-35在端口划入VLAN显示界面*1.6实验1-2配置虚拟局域网VLAN在DOS使用ping命令测试两台电脑连通性,并记录结果,如图1-36。

图1-36添加第一个vlan后测试两电脑连通性

*1.6实验1-2配置虚拟局域网VLAN（2）添加第二个vlan，并把端口划入vlan。在DOS下使用ping命令测试两台主机连通性，并且记录结果，如图1-37所示。

图1-37添加第二个vlan后测试两电脑连通性*1.6实验1-2配置虚拟局域网VLAN（3）检查配置查看当前交换机上已配上的端口，如图1-38所示。3.删除VLAN

注意：两个交换机相连的端口分别配置TRUNK封装。图1-38查看当前交换机上已配上的端口*1.6实验1-2配置虚拟局域网VLAN网络安全技术及应用实践教程（第5版.慕课-微课版）机械工业出版社诚挚谢意！“十三五”国家重点出版规划项目国家智慧教育平台首批入选课程全国计算机优秀教学资源案例特等奖国家智慧教育平台首批入选课程主编第2章网络安全技术基础2.2案例分析无线网络空间应用2*2.3知识拓展常用网络安全管理命令32.4要点小结4

2.1知识要点1

2.5实验2无线网络安全设计5国家十三五重点出版规划项目国家智慧教育平台首批入选课程第2章目录教学目标国家十三五重点出版规划项目国家智慧教育平台首批入选课程重点

教学目标重点●了解网络协议的安全风险及Ipv6的安全性●理解虚拟专用网(VPN)技术特点及应用●掌握无线局域网安全技术及安全设置●学会常用的网络安全管理工具及应用

智能合约漏洞成Web3安全最大威胁。2025年7月，零时科技发布2025上半年Web3链上安全态势分析报告，报告指出，上半年，Web3区块链领域发生重大安全事件87起，因黑客攻击、钓鱼诈骗等造成的经济损失达22.9亿美元，Bybit和Cetus两起事件占72%，凸显中心化交易所和DeFi协议的脆弱性。值得注意的是，智能合约漏洞（如权限控制、数学函数缺陷）仍是主要攻击入口，占全部攻击事件的60%，而跨链操作和预言机机制成为新型风险点。

2.1知识要点

2.1.1网络协议安全概述案例2-12.1.1网络协议安全概述

1.网络协议的安全风险网络协议（Protocol）是实现网络功能的最基本机制和规则，是进行网络通信和数据交换而建立的规则、标准或约定的集合，是一种特殊的软件。网络体系层次结构模型主要有两种：开放系统互连参考模型OSI（OpenSystemInterconnection）模型和TCP/IP模型。国际标准化组织ISO的OSI模型共有七层，由低到高依次是物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。其设计之初是期望为网络体系与协议发展提供一种国际标准，由于其过于庞杂，使TCP/IP协议成为了Internet的基础协议和实际应用的“网络标准”。TCP/IP模型与OSI参考模型不同，由低到高依次由网络接口层、网络层、传输层和应用层4部分组成。常用协议的对应关系如图2-1。2.1.1网络协议安全概述

图2-1OSI模型和TCP/IP模型及协议对应关系

1.

网络协议的安全风险各种网络依靠其协议实现互连通信与数据交换，网络协议是网络实现连接与交互极为重要的组成部分,在设计之初只注重异构网互联,忽略安全性问题，网络各层协议是一个开放体系,具有计算机网络及其部件所能够完成的基本功能,这种开放性及缺陷将网络系统处于安全风险和隐患的环境。2.1.1网络协议安全概述

1.网络协议的安全风险网络协议的安全风险可归结为3个方面：1）设计缺陷。网络协议设计没有充分考虑到安全因素，存在一些固有的安全漏洞，容易受到攻击，如Telnet明文传输等。2）实现漏洞。网络协议实现过程中，代码层面存在的逻辑错误或边界处理缺陷而引入的安全隐患，如缓冲区溢出等。3）运行环境不安全。网络协议运行环境存在安全漏洞或配置不当，影响网络协议的安全性。如ACL配置错误等。

图2-2TCP/IP网络安全技术层次体系

TCP/IP网络安全层次体系如图2-2。各层为一个含有多个特征的实体，可以增加不同的安全策略和措施。如：在传输层提供传输层安全TLS（TransportLayerSecurity），在网络层提供虚拟专用网（VPN）等。2.TCP/IP层次安全性2.1.1网络协议安全概述

（1）TCP/IP网络接口层的安全性

2.1.1网络协议安全概述

TCP/IP模型的网络接口层对应着OSI模型的物理层和数据链路层。网络接口层安全是指由于网络环境及物理特性产生的网络设施和线路安全导致的网络系统安全风险，如ARP欺骗、MAC泛洪、Wi-Fi嗅探、VLAN跳跃攻击等。可采用MACsec链路层加密、动态ARP检测、端口安全、STP防护等技术。保护链路上的设施安全极为重要，物理层的安全措施较少，最好采用“隔离技术”将每两个网络在逻辑上连通，同时从物理上隔断，并加强实体安全管理与维护。2.1.1网络协议安全概述

（2）TCP/IP网络层的安全性网络层的主要功能主要用于数据包的网络传输，其中IP协议是整个TCP/IP协议体系结构的重要基础，TCP/IP中所有协议的数据都以IP数据包形式进行传输。TCP/IP协议族常用的两种IP版本是IPv4和IPv6。IPv4在设计之初根本没有考虑到网络安全问题，通信双方无法保证收到IP数据报的真实性且IP包本身无任何安全措施，致使网络上传输的数据包很容易受到攻击或泄漏，如伪造IP包地址、拦截、窃取、篡改、重播、ICMP攻击都是针对IP层的攻击手段。IPv6简化了IP头结构，并增加了安全性。通常采用IPsec协议提升网络层的安全性。控制消息协议2.1.1网络协议安全概述

（3）TCP/IP传输层的安全性TCP/IP传输层主要包括传输控制协议TCP和用户数据报协议UDP,其安全措施主要取决于具体的协议。传输层的安全主要包括:传输与控制安全、数据交换与认证安全、数据保密性与完整性等。TCP是面向连接协议，用于多数互联网服务：HTTP、FTP和SMTP。为了保证传输层的安全设计了安全套接层协议SSL（后升级为传输层协议TLS），主要包括SSL握手协议和记录协议。SSL协议用于数据认证和数据加密的过程，利用多种有效密钥交换算法和机制。SSL记录协议对应用程序提供的信息分段、压缩、认证和加密.此协议提供了身份验证、完整性检验和保密性服务,密钥管理的安全服务可为各种传输协议重复使用。2.1.1网络协议安全概述

（4）TCP/IP应用层的安全性网络安全性问题主要重点解决的常用应用系统（协议），包括HTTP、FTP、SMTP、DNS、Telnet等。1)超文本传输协议（HTTP）安全HTTP是互联网上应用最广泛的协议。使用80端口建立连接,进行浏览、数据传输和对外服务.其客户端使用浏览器访问并接受从服务器返回的Web网页.下载破坏性的控件或插件,在用户的终端上运行并含有恶意代码、病毒或特洛伊木马，注意不下载未经过检验的程序。2)文件传输协议（FTP）安全FTP是建立在TCP/IP连接上的文件发送与接受协议。由服务器和客户端组成，每个TCP/IP主机都有内置的FTP客户端，且多数服务器都有FTP程序。FTP通常使用20和21两个端口，由21端口建立连接，使连接端口在整个FTP会话中保持开放，用于在客户端和服务器之间发送控制信息和客户端命令.在FTP主动模式下,常用20端口数据传输，在客户端和服务器之间每传输一个文件都要建立一个数据连接。2.1.1网络协议安全概述

3)简单邮件传输协议（SMTP）安全。不法分子可以利用SMTP对E-mail服务器进行干扰和破坏。如通过SMTP对E-mail服务器发送大量的垃圾邮件和聚集数据包，致使服务器不能正常处理合法用户的使用请求，导致拒绝服务。目前，绝大部分的计算机病毒基本都是通过邮件或其附件进行传播的。因此，SMTP服务器应增加过滤、扫描及设置拒绝指定邮件等功能。4)域名系统（DNS）安全。网络通过DNS在解析域名请求时使用其53端口。黑客可以进行区域传输或利用攻击DNS服务器窃取区域文件，并从中窃取区域中所有系统的IP地址和主机名。可采用防火墙保护DNS服务器并阻止各种区域传输，还可通过配置系统限制接受特定主机的区域传输。5)远程登录协议（Telnet）安全。Telnet的功能是进行远程终端登录访问，曾用于管理UNIX设备。允许远程用户登录是产生Telnet安全问题的主要问题，另外，Telnet以明文方式发送所有用户名和密码，给非法者以可乘之机，只要利用一个Telnet会话即可远程作案，现已成为防范重点。

3.IPv6的安全性概述（1）IPv6的优势及特点

1)扩展地址空间及应用。IPv6设计之初主要是解决互联网迅速发展使IPv4地址空间将被耗尽问题,以免影响整个互联网进一步扩展.由于IPv4采用32位地址长度,大约只有43亿个地址，而IPv6采用128位地址长度，极大地扩展了IP地址空间。IPv6的研发还解决了IPv4的其他多种问题，如安全性、端到端IP连接、服务质量（QoS）、多播、移动性和即插即用等功效。IPv6还对报头进行重新设计,由一个简化长度固定的基本报头和多个可选的扩展报头组成。既可加快路由速度，又能灵活地支持多种应用，便于扩展新的应用。IPv4和IPv6的报头如图2-3和图2-4所示。2.1.1网络协议安全概述

图2-3IPV4的IP报头

图2-4IPV6基本报头

2.1.1网络协议安全概述

2)提高网络整体性能。IPv6的数据包增大,使应用程序可用最大传输单元MTU获得更快、更可靠的数据传输，并在设计上改进选路结构，采用简化的报头定长结构和更合理的分段方法，使路由器加快数据包处理速度，从而提高了转发效率，并提高了网络的整体吞吐量等性能。3)加强网络安全性能。IPv6用内嵌安全机制要求强制实现IP安全协议IPSec,提供支持数据源发认证、完整性和保密性能力,同时可抗重放攻击.安全机制主要由两个扩展报头实现:认证头AH和封装安全载荷ESP.

4)提供更好服务质量。IPv6在分组的头部中定义业务流类别字段和流标签字段两个重要参数，以提供对服务质量（QoS）的支持。业务流类别字段将IP分组的优先级分为16个等级。对于需要特殊QoS的业务，可在IP数据包中设置相应的优先级,路由器根据IP包的优先级来分别对这些数据进行不同处理。流标签用于定义任意一个传输的数据流，以便网络中各结点可对此数据进行识别与特殊处理。2.1.1网络协议安全概述

5)实现更好地组播功能。组播是一种将信息传递给已登记且计划接收该消息的主机功能，可同时给大量用户传递数据，传递过程只占用一些公共或专用带宽开销而不在整个网络广播，以减少带宽。IPv6还具有限制组播传递范围的一些特性，组播消息可被限于一特定区域、公司、位置或其他约定范围，从而减少带宽的使用并提高安全性。6)支持即插即用和移动性。当联网设备接入网络后，以自动配置可自动获取IP地址和必要的参数，实现即插即用，简化了网络管理，易于支持移动结点。IPv6不仅从IPv4中借鉴了很多概念和术语，还提供了移动IPv6所需的新功能。7)提供必选的资源预留协议（ResourceReservationProtocol，RSVP）功能，用户可在从源点到目的地的路由器上预留带宽，以便提供确保服务质量的图像和其他实时业务。

（2）IPv4与IPv6安全问题比较

对比IPv4和IPv6下的安全性，原理和特征基本未发生变化的安全问题可划分为三类：1)网络层以上的安全问题：主要是各种应用层的攻击，其原理和特征无任何变化。2)网络层数据保密性和完整性相关的安全问题：主要是窃听和中间人攻击。由于IPSec没有解决大规模密钥分配和管理的难点，缺乏广泛的部署，在IPv6网络中，仍可存在相同安全问题。3)网络层可用性相关安全问题：主要是指网络系统的洪泛攻击，如TCPSYNflooding攻击等。

2.1.1网络协议安全概述

2.1.1网络协议安全概述

原理和特征发生明显变化的安全问题,主要4个方面:

①踩点探测。是一种基本攻击方式，也是其他网络攻击方式的初始步骤。黑客为攻击得手，需要获得被攻击网络地址、服务、应用等尽可能多的情报。IPv6的默认子网地址空间为天文数字，相对安全很多。②非授权访问。IPv6下的访问控制同IPv4下情形类似，依赖防火墙或路由器访问控制表(ACL)等控制策略，由地址、端口等信息实施控制。③篡改分组头部和分段信息。在IPv4网络中的设备和端系统都可对分组进行分片，常见的分片攻击有两种：一是利用分片躲避网络监控，如防火墙等。二是直接利用网络设备中协议栈实现中的漏洞，以错误的分片分组头部信息直接对网络设备发动攻击。④伪造源地址。IPv4网络伪造源地址的攻击较多，而且防范和追踪难度也比较大。在IPv6网络中，一方面由于地址汇聚，对于过滤类方法实现相对简单且负载更小；二是由于转换网络地址少且容易追踪。防止伪造源地址的分组穿越隧道成为一个研究重要。2.1.1网络协议安全概述

（3）IPv6的安全机制

1)协议安全。如上所述，在协议安全层面，IPv6全面支持认证头AH认证和封装安全有效载荷ESP扩展头。支持数据源发认证、完整性和抗重放攻击等。2)网络安全。IPv6安全主要体现在4个方面：①实现端到端安全。两端主机对报文IPSec封装,中间路由器实现对有IPSec扩展头IPv6报文封装传输即可实现.②提供内网安全。当内部主机与Internet其他主机通信时,可通过配置IPSec网关实现内网安全。③由安全隧道构建安全VPN。通过IPv6的IPSec隧道实现的VPN，可在路由器之间建立IPSec安全隧道。④以隧道嵌套实现网络安全。3）其他安全保障。由于网络的安全威胁为多层且分布于各层之间。对物理层的安全隐患，可通过配置冗余设备、冗余线路、安全供电、保障电磁兼容环境和加强安全管理进行防护。2.1.1网络协议安全概述

（4）移动IPv6的安全性1)移动IPv6的特性从IPv4到IPv6使移动IP技术发生根本性变化，IPv6的许多新特性也为结点移动性提供更好支持。IPv6组网技术极大简化网络重组,更有效促进因特网移动性。2)移动IPv6面临的安全威胁移动IPv6基本工作流程只针对于理想状态的互联网，并未考虑现实网络的安全问题。且移动性的引入也会带来新安全威胁，如对报文窃听、篡改和拒绝服务攻击等。因此,在移动IPv6的具体实施中须谨慎处理这些安全威胁,以免降低网络安全级别。移动IP主要用于无线网络，不仅要面对无线网络所有的安全威胁，还要处理由移动性带来的新安全问题，所以，移动IP相对有线网络更脆弱和复杂。2.1.1网络协议安全概述

讨论思考：（1）从互联网发展角度看，网络安全问题的主要原因是什么？（2）IPv6在安全性方面具有哪些优势？3）移动IPv6的安全机制移动IPv6（MIPv6）通过多层次的安全机制设计来应对协议特有的安全威胁，其安全体系融合了密码学认证、协议级防护和网络层控制。在基础安全框架上，通过‌IPsecESP集成，绑定更新强制认证，将MN的公钥哈希嵌入IPv6接口标识符，加密生成地址。在协议级防护方面，通过序列号验证、绑定刷新限制等实现绑定管理安全，通过SEND协议实现