《计算机网络 基础》-第九章 网络安全

9.1网络安全概述9.1.1网络安全的定义网络安全的实质是信息安全，在信息社会中，信息主权是一个国家继政治主权和经济主权之后的新主权。如果一个国家的信息主权操控在他人乎中，那么政治主权和经济主权也会削弱甚至丧失。掌控信息主权是一个国家独立的要求，也是一个国家独立的标志之一。对于个人来讲，私人信息的安全也是至关重要的。从广义上讲，网络安全是利用网络管理控制和技术措施，保证在网络环境里信息数据的机密性、完整性和可使用性受到保护。下一页9.1网络安全概述9.1.2常见的攻击手段1.拒绝服务攻击拒绝服务(DenialofService)攻击主要是用来攻击域名服务器、路由器以及其他网络操作服务的，攻击之后能够造成被攻击者无法正常运行和工作，严重的可以使网络一度瘫痪。下面介绍几种网络中的常见的拒绝服务攻击的方式。(1)信息数据包流量式(2)SYN-Flooding攻击(3)“Paste”式攻击(4)服务过载式(5)分布式拒绝服务(DDos)攻击下一页上一页9.1网络安全概述9.1.2常见的攻击手段2.过载攻击过载攻击可分为进程过载攻击、系统过载攻击、磁盘过载攻击等。(1)进程过载攻击是最简单的拒绝服务攻击。(2)系统过载攻击是一种基于进程的攻击，当一个用户产生了许多进程，消耗了大量的CPU的时间，这样就减少了其他用户可用的CPU处理时间。下一页上一页9.1网络安全概述9.1.2常见的攻击手段3.电子邮件的攻击过多的垃圾邮件往往会加剧网络的负载并消耗大量的空间资源来储存它们，过多的垃圾邮件还将导致系统的log文件变得很大，甚至有可能溢出文件系统，这样会给UN1X、Windows等系统带来危险。除了系统有崩溃的可能之外，大量的垃圾邮件还会占用大量的CPU时间和网络带宽，造成正常用户的访问速度成了问题。电子邮件攻击有很多种，主要表现有以下几个方面。A.窃取、篡改数据B.伪造邮件C.拒绝服务D.病毒下一页上一页9.1网络安全概述9.1.2常见的攻击手段4.口令猜测当攻击者识别了一台主机而目发现了基于NetBIOS、Telnet或NFS这样的服务以及可利用的用户账号，成功的口令猜测能提供对机器的控制。因此，用户应选用难以猜测的口令。另一方面确保NFS、NetBIOS和Telnet这样可利用的服务不暴露在公共范围。5.特洛伊木马特洛伊木马是一种在用户计算机上安装客户端程序，然后通过这个程序远程控制用户的计算机。通常入侵者通过邮件、下载文件等方法将客户端下载到目标计算机，并用欺骗的手段将程序安装在目标计算机上。这个客户端程序就是木马。下一页上一页9.1网络安全概述9.1.2常见的攻击手段6.缓冲区溢出由于在很多的服务程序中大意的程序员使用像strcpy()，strcat()类似的不进行有效位检查的函数，最终可能导致恶意用户编写一小段应用程序来进一步打开安全豁口，然后将该代码缀在缓冲区有效载荷末尾，这样当发生缓冲区溢出时，返回指针指向恶意代码，这样系统的控制权就会被夺取。7.扫描技术(1)地址扫描(2)端口扫描(3)反响映射(4)慢速扫描下一页上一页9.1网络安全概述9.1.2常见的攻击手段8.体系结构探测黑客使用具有已知响应类型的数据库的自动工具，对来自目标主机的、对坏数据包传送所作出的响应进行检查。9.利用信息服务(1)DNS域转换。(2)Finger服务。(3)LDAP服务。10.假消息攻击(1)DNS高速缓存污染。(2)伪造电子邮件。下一页上一页9.1网络安全概述9.1.3网络安全的关键技术从广义上讲，计算机网络安全的技术卞要有：主机安全技术；身份认证技术；访问控制技术；密码技术；防火墙技术；安全审计技术；安全管理技术。所谓“道高一尺，魔高一丈”，计算机网络安全的技术伴随着攻击手段的不断更新而提高，同时对计算机网络安全的危害也会因为安全手段的不断提高而提高。下一页上一页9.1网络安全概述9.1.4网络安全的等级标准在TCSEC准则中将计算机系统的安全分为了四大类，依次为D、B、C和A，A是最高的一类，每一类都代表一个保护敏感信息的评判准则，并目一类比一类严格。在C和B中又分若干个子类，称为级。D类：最小的保护。C类：无条件的保护。B类：属强制保护，A类：经过验证的保护，A1：经过验证保护。TCSEC共定义了四类7级可信计算机系统准则，银行界一般都使用满足C2级或更高的计算机系统。上一页返回9.2防火墙技术9.2.1防火墙的定义和工作原理防火墙是一套可以增强机构内部网络资源的安全系统，用于加强网络间的访问控制，防止外部用户非法使用内部网的资源，保护内部网络的设备不被破坏，防止内部网络的敏感数据被窃取。按照实体性质分类，防火墙可分为硬件方式和软件方式，其中硬件方式是在内部网与Internet之间放置一个硬件设备，以隔离或过滤外部人员对内部网络的访问；而软件方式则是在Web主机上或单独一台计算机上运行一类软件，监测、侦听来自网络上的信息，对访问内部网的数据起到过滤的作用，从而保护内部网免受破坏。防火墙实质上是一种隔离控制技术，从逻辑上看它既是一个分析器又是一个限制器。下一页9.2防火墙技术9.2.2防火墙的主要技术1.包过滤技术数据包过滤(PacketFiltering)技术是在网络层对数据流中的每一个数据包进行分析、选择，根据数据包的源地址、目标地址，以及包所使用的端口确定是否允许该类数据包通过，选择的依据是系统内事先设置好的过滤逻辑，称为访问控制表(AccessControlTable)。数据包过滤技术的优点是速度快、逻辑简单、成本低、易于安装和使用、网络性能和透明度好。数据包过滤技术的缺点是配置困难、容易出现漏洞，而且为特定的服务开放的端口存在着潜在危险。下一页上一页9.2防火墙技术9.2.2防火墙的主要技术2.代理技术应用代理服务技术能够将所有跨越防火墙的网络通信链路分为两段。它使网络内部的客户不直接与外部的服务器通信。防火墙内外计算机系统间应用层的连接，由两个代理服务器之间的连接来实现，外部计算机的网络链路只能到达代理服务器，从而起到隔离防火墙内外计算机系统的作用。不过它的缺点也很明显：执行速度慢，操作系统容易遭到攻击。应用代理防火墙需要在一定范围内定制用户的系统，这取决于所使用的应用程序，而一些应用程序可能根本不支持代理连接。下一页上一页9.2防火墙技术9.2.2防火墙的主要技术3.状态检测技术状态检测技术又称动态包过滤技术。状态检测防火墙在网络层由一个检查引擎截获数据包并抽取出与应用层状态有关的信息，并以此作为依据决定对该连接是接受还是拒绝。状态检测防火墙克服了包过滤防火墙和应用代理服务器的局限性，状态检测防火墙根据协议、端口及源、目的地址的具体情况决定数据包是否可以通过。下一页上一页9.2防火墙技术9.2.2防火墙的主要技术4.地址翻译技术当受保护网连到Internet上时，受保护网用户若要访问Internet，必须使用一个合法的IP地址。但合法InternetIP地址有限，而且受保护网络往往有自己的一套IP地址规划。网络地址转换器就是在防火墙上装一个合法IP地址集。5.SOCKS技术SOCKS是一个电路层网关的标准，遵循SOCKS协议。SOCKS是一种非常强大的电路级网关防火墙，它只中继基于TCP的数据包。如果一个基于TCP的应用要通过SOCKS代理进行中继，则首先须将客户端的程序SOCKS化。下一页上一页9.2防火墙技术9.2.3防火墙的体系结构1.屏蔽路由器屏蔽路由器(ScreeningRouter)又称筛选路由器、包过滤防火墙等。屏蔽路由器一般由专门的路由器充当，但也可以用主机来实现。如图9-1所示。采用屏蔽路由器的防火墙处理包的速度快，对用户来说是一种透明的服务。其缺点表现在维护困难、安全性较差，一旦遭到攻击很难发现，而且不能识别不同的用户。2.双宿网关双宿网关(DualHomedGateway)又称双穴主机网关，是用一台装有两块网卡的堡垒主机做防火墙。如图9-2所示。下一页上一页9.2防火墙技术9.2.3防火墙的体系结构3.被屏蔽主机网关(ScreenedGatewy)屏蔽主机网关易于实现也最为安全。一个堡垒主机安装在内部网络上，通常在路由器上设立过滤规则，并使这个堡垒主机成为从外部网络惟一可直接到达的主机，这确保了内部网络不受未被授权的外部用户的攻击。如图9-3所示。4.被屏蔽子网被屏蔽了网(ScreenedSubnet)就是在内部网络和外部网络之间建立一个被隔离的子网，用两台分组过滤路由器将这一子网分别与内部网络和外部网络分开。如图9-4所示。下一页上一页9.2防火墙技术9.2.3防火墙的体系结构建造防火墙时，一般很少采用单一的技术，通常是多种解决不同问题的技术的组合。一般有以下几种形式：(1)使用多堡垒主机；(2)合并内部路由器与外部路由器；(3)合并堡垒主机与外部路由器；(4)合并堡垒主机与内部路由器；(5)使用多台内部路由器；(6)使用多台外部路由器；(7)使用多个周边网络；(8)使用双宿主机与屏蔽子网。下一页上一页9.2防火墙技术9.2.4防火墙的发展趋势1.高速应用ASIC、FPGA和网络处理器是实现高速防火墙的主要方法，但尤以采用网络处理器最优。实现高速防火墙，算法也是一个关键。2.多功能化多功能也是防火墙的发展方向之一，鉴于目前路由器和防火墙价格都比较高，组网环境也越来越复杂，一般用户总希望防火墙可以支持更多的功能，满足组网和节省投资的需要。3.安全未来防火墙的操作系统会更安全。随着算法和芯片技术的发展，防火墙会更多地参与应用层分析，为应用提供更安全的保障。上一页返回本章小结9.2.4防火墙的发展趋势本章主要介绍了以下几方面的内容