第07章-网络安全与网络管理_简化.ppt

1、第7章 网络安全与网络管理,本章学习要求： 了解：网络安全的重要性 掌握：网络防火墙的基本概念 了解：网络防病毒的基本方法 掌握：网络管理的基本概念,7.1 网络安全的重要性,计算机犯罪始于二十世纪80年代。随着网络应用范围的逐步扩大，其犯罪技巧日见“高明”，犯罪目的也向越来越邪恶的方向发展。 与网络安全有关的新名词逐渐为大众所知，例如黑客（hacker）、破解者（cracker）等。凡此种种，都传递出一个信息网络是不安全的。 据伦敦英国银行协会统计，全球每年因计算机犯罪造成的损失大约为80亿美元。而计算机安全专家则指出，实际损失金额应在100亿美元以上。,威胁网络安全的人员,故意危害Inte

2、rnet安全的主在有三种人：故意破坏者又称黑客（Hackers）、不遵守规则者(Vandals)和刺探秘密者(Crackers)。 故意破坏者企图通过各种手段去破坏网络资源与信息，例如涂抹别人的主页、修改系统配置、造成系统瘫痪 不遵守规则者企图访问不允许访问的系统，这种人可能仅仅是到网中看看、找些资料，也可能想盗用别人的计算机资源（如CPU时间）； 刺探秘密者的企图是通过非法手段侵入他人系统，以窃取重要秘密和个人资料。,网络存在的安全威胁,网络,内部、外部泄密,拒绝服务攻击,逻辑炸弹,特洛伊木马,黑客攻击,计算机病毒,信息丢失、篡改、销毁,后门、隐蔽通道,蠕虫,网络安全的重要性,网络安全问题已

3、经成为信息化社会的一个焦点问题； 每个国家只能立足于本国，研究自己的网络安全技术，培养自己的专门人才，发展自己的网络安全产业，才能构筑本国的网络与信息安全防范体系。,7.2 网络安全的概念,计算机网络安全：是指通过采取各种技术的和管理的措施，确保网络数据的可用性、完整性和保密性，其目的是确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄漏等。 网络安全的目标： 数据完整性 资源可用性 数据保密性 用户身份认证 不可否认性,网络安全的目标,数据完整性:完整性指维护信息的一致性，防止非法用户对系统数据的篡改。实现方法：采用数据加密和校验技术。 资源可用性:保证合法用户在任何时候都能使用、访问

4、资源，阻止非法用户使用系统资源。 实现方法：访问控制、防火墙、入侵检测等。 数据保密性:数据只能为合法用户所使用，让非法用户无法接触或读懂数据。实现方法：授权和访问控制、数据加密技术。 用户身份认证:保证通信对方的身份是真实的。 实现方法：帐号-口令，电子证书等。 不可否认性 :参与网络通讯过程的各方（用户、实体或者进程）无法否认其过去的参与活动； 实现方法：数字签名等。,7.3 网络安全技术研究的基本问题,网络防攻击问题 网络安全漏洞问题 网络中的信息安全保密问题 网络内部安全防范问题 网络防病毒问题 网络数据备份与恢复、灾难恢复问题,7.3.1 网络防攻击问题,网络防攻击主要问题需要研究的

5、几个问题 网络可能遭到哪些人的攻击？ 攻击类型与手段可能有哪些？ 如何及时检测并报告网络被攻击？ 如何采取相应的网络安全策略与网络安全防护体系？,攻击类型与手段,电子邮件炸弹 特洛伊木马 服务攻击: 服务攻击: 对网络提供某种服务的服务器发起攻击，造成该网络的“拒绝服务”，使网络工作不正常。 非服务攻击: 不针对某项具体应用服务，而是基于网络层等低层协议而进行的，使得网络通信设备工作严重阻塞或瘫痪。 IP欺骗攻击 病毒 扫描器，网络分析器 口令攻击,木马,计算机技术中的木马，是一种与计算机病毒类似的指令集合，它寄生在普通程序中，并在暗中进行某些破坏性操作或进行盗窃数据。木马与计算机病毒的区别是

6、，前者不进行自我复制，即不感染其他程序。,7.3.2 网络安全漏洞,网络信息系统的运行涉及到： 计算机硬件与操作系统 网络硬件与网络软件 数据库管理系统 应用软件 网络通信协议 网络安全漏洞也会表现在以上几个方面。 暗门（trapdoor）又称后门（backdoor），指隐藏在程序中的秘密功能，通常是程序设计者为了能在日后随意进入系统而设置的。,7.3.3 网络中的信息安全保密,信息存储安全与信息传输安全 信息存储安全 如何保证静态存储在连网计算机中的信息不会被未授权的网络用户非法使用； 信息传输安全 如何保证信息在网络传输的过程中不被泄露与不被攻击；,网络中的信息安全保密问题 数据加密与解密

7、,加密技术,采用密码技术保护网络中存储和传输的数据，是一种非常实用、经济、有效的方法。 Encryption Decryption 将明文变换成密文的过程称为加密； 将密文经过逆变换恢复成明文的过程称为解密。,密码体制,对称密码体制（传统密码体制） 加密和解密采用相同或相近的密钥。常见加密标准为DES、IDEA和三重DES等。该密钥不公开，称为秘密密钥，其效率高。 非对称密码体制 加密和解密使用不同的密钥 。Kpub公开，Kpriv由密钥持有人保密。加密密钥公开，而解密密钥保密。非对称加密算法有RSA 算法等, 加密强度很高。,对称密码体制 秘密钥匙加密,其特点是加密明文和解读密文时使用的是同

8、一把钥匙，如图所示。,缺点：由于至少有两个人持有钥匙，所以任何一方都不能完全确定对方手中的钥匙是否已经透露给第三者。,非对称密码体制 公用钥匙加密,公用钥匙加密法又称非对称式（asymmetric）加密。公用钥匙加密法的特色是完成一次加、解密操作时，需要使用一对钥匙。假定这两个钥匙分别为A和B，则用A加密明文后形成的密文，必须用B方可解回明文，反之，用B加密后形成的密文必须用A解密。 将其中的一个钥匙称为私有钥匙（private key），由个人妥善收藏，与之成对的另一把钥匙称为公用钥匙，公用钥匙可以像电话号码一样被公之于众。,假如X需要传送数据给A，X可将数据用A的公用钥匙加密后再传给A，A

9、收到后再用私有钥匙解密。如图所示。,缺点：利用公用钥匙加密虽然可避免钥匙共享而带来的问题，但其使用时，需要的计算量较大。,7.3.4 网络内部安全防范问题,网络内部安全防范是防止内部具有合法身份的用户有意或无意地做出对网络与信息安全有害的行为； 对网络与信息安全有害的行为包括：有意或无意地泄露网络用户或网络管理员口令；违反网络安全规定，绕过防火墙，私自和外部网络连接，造成系统安全漏洞；违反网络使用规定，越权查看、修改和删除系统文件、应用程序及数据；违反网络使用规定，越权修改网络系统配置，造成网络工作不正常； 解决来自网络内部的不安全因素必须从技术与管理两个方面入手。,7.3.5 网络防病毒问题

10、,病毒是一种寄生在普通程序中、且能够将自身复制到其他程序、并通过执行某些操作，破坏系统或干扰系统运行的“坏”程序。 目前，70%的病毒发生在计算机网络上； 联网微型机病毒的传播速度是单机的20倍，网络服务器消除病毒所花的时间是单机的40倍； 电子邮件病毒可以轻易地使用户的计算机瘫痪，有些网络病毒甚至会破坏系统硬件。,7.3.6 网络数据备份与恢复、灾难恢复问题,如果出现网络故障造成数据丢失，数据能不能被恢复？ 如果出现网络因某种原因被损坏，重新购买设备的资金可以提供，但是原有系统的数据能不能恢复？,7.4 网络安全标准,电子计算机系统安全规范，1987年10月 计算机软件保护条例，1991年5

11、月 计算机软件著作权登记办法，1992年4月 中华人民共和国计算机信息与系统安全保护条例， 1994年2月 计算机信息系统保密管理暂行规定，1998年2月 关于维护互联网安全决定，全国人民代表大会常 务委员会通过，2000年12月 国外也有相应的法规,国外安全评估标准的发展历程,安全级别的分类,可信计算机系统评估准则TC-SEC-NCSC是1983年公布的，1985年公布了可信网络说明（TNI）； 可信计算机系统评估准则将计算机系统安全等级分为4类7个等级，即D、C1、C2、B1、B2、B3与A1； D级系统的安全要求最低，A1级系统的安全要求最高。 D类是最低保护等级，即无保护级 C类为自主

12、保护级 B类为强制保护级 A类为验证保护级,我国的计算机信息系统安全保护等级划分准则,公安部组织制订了计算机信息系统安全保护等级划分准则国家标准 于1999年9月13日由国家质量技术监督局审查通过并正式批准发布 于 2001年1月1日执行 准则规定了计算机系统安全保护能力的五个等级，即： 第一级：用户自主保护级 第二级：系统审计保护级 第三级：安全标记保护级 第四级：结构化保护级 第五级：访问验证保护级,7.5 网络防火墙技术,7.5.1 防火墙的基本概念 最初含义：当房屋还处于木制结构的时侯，人们将石块堆砌在房屋周围用来防止火灾的发生。这种墙被称之为防火墙 。 防火墙是在网络之间执行安全控制

13、策略的系统，它包括硬件和软件； 设置防火墙的目的是保护内部网络资源不被外部非授权用户使用，防止内部受到外部非法用户的攻击。,防火墙的位置与作用,防火墙通过检查所有进出内部网络的数据包，检查数据包的合法性，判断是否会对网络安全构成威胁，为内部网络建立安全边界； 在逻辑上，防火墙是分离器，限制器，也是一个分析器，有效地监控了内部网和外部网之间的任何活动，保证了内部网络的安全。 在物理上，防火墙通常是一组硬件设备路由器、主计算机，或者是路由器、计算机和配有软件的网络的组合。,防火墙的缺点,防火墙并非万能，影响网络安全的因素很多，对于以下情况它无能为力： （1）不能防范绕过防火墙的攻击。 （2）一般的

14、防火墙不能防止受到病毒感染的软件或文件的传输。 （3）不能防止数据驱动式攻击。 （4）难以避免来自内部的攻击。 再次指出，防火墙只是网络安全防范策略的一部分，而不是解决所有网络安全问题的灵丹妙药。,7.5.2 防火墙的主要类型,目前防火墙按照防护原理可以分为二种类型，每类防火 墙保护Intranet的方法各不相同。 包过滤路由器 系统是一台路由器或是一台主机，其中用于过滤数据包的路由器称为屏蔽路由器。数据包过滤一般用屏蔽路由器实现。 大多数数据包过滤系统在数据本身上不做任何事，即它们不做基于内容的决定。,包过滤规则一般是基于部分或全部报头的内容。例如，对于TCP报头信息可以是：源IP地址、目的

15、IP地址、协议类型 、IP选项内容 、源TCP端口号 、目的TCP端口号 、TCP ACK标识等。 缺点： 安全性低（IP欺骗等） 不能根据状态信息进行控制 不能处理网络层传输层以上的信息 伸缩性差 维护不直观,包过滤路由器的结构,应用级网关,多归属主机又称为多宿主主机，它具有两个或两个以上的网络接口，每个网络接口与一个网络连接，具有在不同网络之间交换数据的路由能力。 如果多归属主机连接了两个网络，它可以叫做双归属主机。只要能确定应用程序访问控制规则，就可以采用双归属主机作为应用级网关，在应用层过滤进出内部网络特定服务的用户请求与响应。 应用代理是应用级网关的另一种形式，它完全接管了用户对服务

16、器的访问，隔离内部和外部网络。它的功能由代理服务器实现。,应用级网关的结构,应用代理的工作原理,7.5.3 主要的防火墙产品,Checkpoint公司的Firewall-1防火墙 Sonic System公司的Sonicwall防火墙 NetScreen公司的NetScreen防火墙 Alkatel公司的Internet Device防火墙 NAI公司的Gauntlet防火墙,7.6 网络防病毒技术,7.6.1 造成网络感染病毒的主要原因 70%的病毒发生在网络上； Internet/Intranet的迅速发展和广泛应用给病毒增加了新的传播途径，网络将正逐渐成为病毒的第一传播途径。 Inter

17、net/Intranet带来了两种不同的安全威胁： 一种威胁来自文件下载，这些被浏览的或是通过FTP下载的文件中可能存在病毒；另一种威胁来自电子邮件。,7.6.2 网络病毒的特点,网络环境中，计算机病毒具有如下特点。 传染方式多。病毒入侵网络的主要途径是通过工作站传播到服务器硬盘，再由服务器的共享目录传播到其他工作站。 传染速度快。在单机上，病毒只能通过磁盘、光盘等从一台计算机传播到另一台计算机，而在网络中病毒则可通过网络通信机制迅速扩散。 清除难度大。尤其在网络中，只要一台工作站未消灭病毒就可能使整个网络全部被病毒重新感染。,破坏性强。网络上的病毒将直接影响网络的工作状况，轻则降低速度，影响

18、工作效率，重则造成网络瘫痪，破坏服务系统的资源，使多年工作成果毁于一旦。 激发形式多样。可用于激发网络病毒的条件较多，可以是内部时钟，系统的日期和用户名，也可以是网络的一次通信等。一个病毒程序可以按照设计者的要求，在某个工作站上激活并发出攻击。 潜在性。网络一旦感染了病毒，即使病毒已被清除，其潜在的危险也是巨大的。有研究表明，在病毒被消除后，85%的网络在30天内会被再次感染,7.6.3 常见的网络病毒,电子邮件病毒。有毒的通常不是邮件本身，而是其附件。 Java程序病毒。Java是目前网页上最流行的程序设计语言，由于它可以跨平台执行，因此不论是Windows 9X/NT还是Unix工作站，甚

19、至是CRAY超级电脑，都可被Java病毒感染。 ActiveX病毒。当使用者浏览含有病毒的网页时，就可能通过ActiveX控件将病毒下载至本地计算机上。 网页病毒。上面介绍过Java及ActiveX病毒，它们大部分都保存在网页中，所以网页当然也能传染病毒。,7.6.4 典型网络防病毒软件的应用,网络防病毒可以从以下两方面入手：一是工作站，二是服务器； 网络防病毒软件的基本功能是：对文件服务器和工作站进行查毒扫描、检查、隔离、报警，当发现病毒时，由网络管理员负责清除病毒； 网络防病毒软件一般允许用户设置三种扫描方式：实时扫描、预置扫描与人工扫描； 一个完整的网络防病毒系统通常由以下几个部分组成：

20、客户端防毒软件、服务器端防毒软件、针对群件的防毒软件、针对黑客的防毒软件。,7.7 网络管理技术,7.7.1 网络管理的基本概念 为什么需要网络管理？人们需要检测网络的运行状况，需要保证网络安全、可靠、高效地运行，而由于以下因素，网络复杂程度已超出了人们手工的控制范围： 规模不断扩大：节点数从几十到几千 复杂性不断增加：设备类型增多、功能增强 异构性：不同的操作系统、通信协议（TCP/IP， IPX， X25等）。,网络管理的基本概念,网络管理的目的：对组成网络的各种硬软件设施的综合管理，以达到充分利用这些资源的目标，并保证网络向用户提供可靠的通信服务(当网络出现故障时，能及时报告和处理)。

21、网络管理涉及以下三个方面： 网络服务提供是指向用户提供新的服务类型、增加网络设备、提高网络性能； 网络维护是指网络性能监控、故障报警、故障诊断、故障隔离与恢复； 网络处理是指网络线路、设备利用率数据的采集、分析，以及提高网络利用率的各种控制。 网管的最终效果体现在对网络服务的质量保证上.,网络管理系统的基本结构：,管理对象 管理对象是经过抽象的网络元素，对应于网络中具体可以操作的数据。 管理进程 管理进程是负责对网络设备进行全面的管理与控制的软件。 管理协议 管理协议负责在管理系统与被管理对象之间传递与负责操作命令。,管理信息库,管理信息库（MIB）是管理进程的一部分，用于记录网络中被管理对象

22、的状态参数值； 一个网络的管理系统只能有一个管理信息库，但管理信息库可以是集中存储的，也可以由各个网络设备记录本地工作参数； 网络管理员只要查询有关的管理信息库，就可获得有关网络设备的工作状态和工作参数； 在网络管理过程中，使网络管理信息库中数据与实际网络设备的状态、参数保持一致的方法主要有两种：事件驱动与轮询驱动方法。,7.7.2 OSI管理功能域,故障管理（fault management） 是网络管理最基本的功能，指系统出现异常情况下的管理操作，简单地说，就是找出故障的位置并进行恢复。其目标是自动监测、记录网络故障并通知用户，以便网络有效地运行。 在实际运用中，网络故障管理包括以下几个步

23、骤： 检测故障、判断故障症状：依赖于对网络设备的状态监测； 隔离故障：通过诊断、测试辨别故障根源，对根源故障进行隔离； 故障修复：不严重的简单故障通常由网络设备通过本身具有的故障检测、诊断和恢复措施予以解决； 记录故障的监测及其结果,计费管理（accounting management）,负责记录网络资源的使用情况和使用这些资源的代价，包括: 统计已被使用的网络资源和估算用户应付的费用； 设置网络资源的使用计费限制，控制用户占用和使用过多的网络资源； .对为了实现某个特定通信目的所引用的多个网络资源进行联合收费的能力。 计费管理的目标是衡量网络的利用率，以便一个或一组用户可以按规则利用网络资源

24、，这样的规则使网络故障降低到最小（因为网络资源可以根据其能力的大小而合理地分配），也可使所有用户对网络的访问更加公平。为了实现合理的计费，计费管理必须和性能管理相结合。,配置管理（configuration management） 定义、收集、监测和管理系统的配置参数，使得网络性能达到最优。 配置参数包括（但不局限于）设备资源、它们的容量和属性，以及它们之间的关系。 配置管理的功能包括: 设置开放系统中有关路由操作的参数 修改被管对象的属性 初始化或关闭被管对象 根据要求收集系统当前状态的有关信息 更改系统的配置 配置管理的目的在于随时了解系统网络的拓扑结构以及所交换的信息，包括连接前静态设定的和连接后动态更新的。,性能管理（performance management） 主要是收集和统计数据（如网络的吞吐量、用户的响应时间和线路的利用率等），以便评价网络资源的运行状况和通信效率等系统性能，分析各系统之间的通信操作的趋势，或者平衡系统之间