网络管理、安全与存储备份技术(计算机系统集成)

1、1 第五章第五章 网络管理网络管理、安全与存储备份技术安全与存储备份技术 5.1 5.1 计算机网络安全概述计算机网络安全概述 5.2 5.2 网络安全技术网络安全技术 5.3 5.3 网络安全体系设计网络安全体系设计 5.4 5.4 网络管理概述网络管理概述 5.5 5.5 网络管理系统网络管理系统 5.6 5.6 网络存储备份技术网络存储备份技术 2 5.1 5.1 计算机网络安全概述计算机网络安全概述 一一.计算机安全计算机安全 1.定义定义(国际标准化组织国际标准化组织ISO) 计算机安全指为保护数据处理系统而采取的技术和管理的安全计算机安全指为保护数据处理系统而采取的技术和管理的安全

2、 措施，措施，保护计算机硬件、软件和数据保护计算机硬件、软件和数据不会因偶尔或故意的原不会因偶尔或故意的原 因而遭到破坏、更改和泄密。因而遭到破坏、更改和泄密。 2.主要内容主要内容 计算机硬件安全性计算机硬件安全性-计算机硬件设备、安装和配置的安全性；计算机硬件设备、安装和配置的安全性； 确保计算机安全的环境条件，包括机房、电源等。确保计算机安全的环境条件，包括机房、电源等。 软件安全性软件安全性-保护计算机系统软件、应用软件和开发工具，使保护计算机系统软件、应用软件和开发工具，使 它们不被非法修改、复制和感染病毒。它们不被非法修改、复制和感染病毒。 数据安全性数据安全性-保护数据不被非法访

3、问，保护数据的完整性，数保护数据不被非法访问，保护数据的完整性，数 据保密等。据保密等。 计算机运行安全性计算机运行安全性-计算机运行遇到突发事件（如停电）的安计算机运行遇到突发事件（如停电）的安 全处理等。全处理等。 3 3.计算机安全等级计算机安全等级 TCSECTCSEC -Trusted Computer System Evaluation Criteria 19851985年，美年，美国国防部国国防部桔皮书桔皮书TCSEC(TCSEC(可信计算机系统评测标准可信计算机系统评测标准 为为计算机安全产品的评测计算机安全产品的评测提提供供测试和方法，指测试和方法，指导导信息安全信息安全 产

4、品的制产品的制造造和应用。和应用。 TCSEC定定义义系统安全五个要系统安全五个要素素 . 系统的安全系统的安全策略策略 . . 系统的可审计机制系统的可审计机制 . . 系统安全的可操作性系统安全的可操作性 . . 系统安全的系统安全的生命期生命期保证保证 . . 针针对以上对以上系统安全要系统安全要素而建立并维素而建立并维护的护的相关相关文件文件 5.1 5.1 计算机网络安全概述计算机网络安全概述 4 TCSEC定定义义系统安全等级系统安全等级来来描述描述以上以上所所有有要要素素的安的安 全全特特性性 . . D 最低最低保护保护minimal protection，如如未加未加任何任何

5、实实 际的安全际的安全措措施施 . . C 被被动的自主访问动的自主访问策略策略independent access policy enforced . . B 被被动的动的强强制访问制访问策略策略mandatory access policy enforced . . A 形形式化证式化证明明的安全的安全formally proven security . . 每每个等级个等级之内还之内还可可细细分分这些这些标准标准能能够够被被用用来衡来衡量量 计算机计算机平台（如平台（如操作系统及操作系统及其其基于的基于的硬硬件件) )的安全的安全 性。性。如如标准的标准的UNIX(只只有有login口口

6、令文件保护等安令文件保护等安 全全措措施施) )被被定定为为C1级，级，DOS被被定定为为D1级。级。 5.1 5.1 计算机网络安全概述计算机网络安全概述 5 5.1 5.1 计算机网络安全概述计算机网络安全概述 TCSEC具体分具体分4类类7级，其中级，其中D级不具有最低限度安全的等级，级不具有最低限度安全的等级， C1与与C2级具有最低限度安全的等级，满足大多数应用；级具有最低限度安全的等级，满足大多数应用；B1和和B2 级具有中等安全保护能力的等级，满足大部分重要应用；级具有中等安全保护能力的等级，满足大部分重要应用；B3和和 A1级具有最高安全等级，费用高，适用安全性要求极高的应用。

7、级具有最高安全等级，费用高，适用安全性要求极高的应用。 类类 别别 级级 别别 名名 称称 主主 要要 特特 征征 A A 1 验验 证证 设设 计计 形形 式式 化化 的的 最最 高高 级级 描描 述述 和和 验验 证证 ， 形形 式式 化化 的的 隐隐 蔽蔽 通通 道道 分分 析析 ， 非非 形形 式式 化化 的的 代代 码码 对对 应应 证证 明明 B3 安安 全全 区区 域域 存存 取取 监监 控控 ， 高高 抗抗 渗渗 透透 能能 力力 B B2 结结 构构 化化 保保 护护 形形 式式 化化 模模 型型 /隐隐 通通 道道 约约 束束 、 面面 向向 安安 全全 的的 体体 系系

8、结结 构构 ， 较较 好好 的的 抗抗 渗渗 透透 能能 力力 B1 标标 识识 的的 安安 全全 保保 护护 强强 制制 存存 取取 控控 制制 、 安安 全全 标标 识识 C C 2 受受 控控 制制 的的 存存 取取 控控 制制 单单 独独 的的 可可 查查 性性 、 广广 泛泛 的的 审审 计计 跟跟 踪踪 C 1 自自 主主 安安 全全 保保 护护 自自 主主 存存 取取 控控 制制 D D 低低 级级 保保 护护 相相 当当 于于 无无 安安 全全 功功 能能 的的 个个 人人 微微 机机 6 二二.网络安全网络安全 1.定义：计算机网络安全定义：计算机网络安全指通过采取各种技术和

9、管理的安全措施，指通过采取各种技术和管理的安全措施，确保网络数据确保网络数据 的可用性、完整性和保密性，的可用性、完整性和保密性，目的确保经过目的确保经过网络传输和交换的数据网络传输和交换的数据不会发生不会发生 增加、修改、丢失和泄漏等。增加、修改、丢失和泄漏等。 美国计算机安全专家提出新的安全框架，解释各种网络安全问题。美国计算机安全专家提出新的安全框架，解释各种网络安全问题。 保密性保密性(Confidentiality)-指防止静态信息被非授权访问和防止动态信息被截取指防止静态信息被非授权访问和防止动态信息被截取 解密。解密。 完整性完整性(Integrity)-指信息在存储或传输时不被

10、修改、破坏，或信息包丢失、乱指信息在存储或传输时不被修改、破坏，或信息包丢失、乱 序等。对于动态传输的信息，确保信息完整性的方法大多是收错重传、丢弃序等。对于动态传输的信息，确保信息完整性的方法大多是收错重传、丢弃 后续包等，但黑客的攻击可改变信息包的内容。后续包等，但黑客的攻击可改变信息包的内容。 可靠性可靠性(Reliability)/真实性真实性(Authenticity)-指信息的可信度，包括信息的完整性、指信息的可信度，包括信息的完整性、 准确性和发送人的身份证实等方面。准确性和发送人的身份证实等方面。 实用性实用性(Utility)-即信息加密密钥不可丢失（不是泄密），丢失密钥的信

11、息就丢失即信息加密密钥不可丢失（不是泄密），丢失密钥的信息就丢失 信息的实用性。信息的实用性。 可用性可用性(Availability)-一般指主机存放静态信息的可用性和可操作性。病毒常破一般指主机存放静态信息的可用性和可操作性。病毒常破 坏信息的可用性，使系统不能正常运行，数据文件面目全非。坏信息的可用性，使系统不能正常运行，数据文件面目全非。 占有性占有性(Possession)-指存储信息的主机、磁盘等信息载体被盗用，导致对信息指存储信息的主机、磁盘等信息载体被盗用，导致对信息 占用权的丧失。保护信息占有性的方法有使用版权、专利、商业秘密、提供占用权的丧失。保护信息占有性的方法有使用版权

12、、专利、商业秘密、提供 物理和逻辑的访问限制方法，以及维护和检查有关盗窃文件的审计记录、使物理和逻辑的访问限制方法，以及维护和检查有关盗窃文件的审计记录、使 用标签等。用标签等。 7 三三.网络不安全原因网络不安全原因 -网络自身的安全缺陷网络自身的安全缺陷 协议本身泄漏口令协议本身泄漏口令 连接成为被盗用的目标连接成为被盗用的目标 服务器本身需要读写特权服务器本身需要读写特权 基于地址基于地址 密码保密措施不强密码保密措施不强 有些业务本身尚未完善有些业务本身尚未完善, ,难于区分出错原因难于区分出错原因 有些业务设置复杂有些业务设置复杂, ,很难完善地设立很难完善地设立 使用使用CGICG

13、I的业务的业务 -网络开放性网络开放性 业务基于公开的协议业务基于公开的协议 远程访问使各种攻击无需到现场就能得手远程访问使各种攻击无需到现场就能得手 连接是基于主机上的社团彼此信任的原则连接是基于主机上的社团彼此信任的原则 -黑客黑客( (HACKER)HACKER) 定义：定义：“非法入侵者非法入侵者” ” 起源：起源：6060年代年代 目的：基于兴趣非法入侵目的：基于兴趣非法入侵; ; 基于利益非法入侵基于利益非法入侵; ; 信息战信息战. . 8 四四.攻击的类型攻击的类型 口令破解口令破解: :攻击者通过获取口令文件攻击者通过获取口令文件, ,然后运用口令破解工具获得口令然后运用口令

14、破解工具获得口令, ,也也 可通过猜测或窃听等方式获取口令可通过猜测或窃听等方式获取口令. . 连接盗用连接盗用: :在合法的通信连接建立后在合法的通信连接建立后, ,攻击者通过阻塞或摧毁通信的一方攻击者通过阻塞或摧毁通信的一方 接管已经过认证建立起来的连接接管已经过认证建立起来的连接, ,从而假冒被接管方与对方通信从而假冒被接管方与对方通信. . 服务拒绝服务拒绝: :攻击者直接发动攻击攻击者直接发动攻击, ,也可通过控制其它主机发起攻击使目标也可通过控制其它主机发起攻击使目标 瘫痪瘫痪, ,如发送大量的数据洪流阻塞目标如发送大量的数据洪流阻塞目标. . 网络窃听网络窃听: :网络的开放性使

15、攻击者通过直接或间接窃听获取所需信息网络的开放性使攻击者通过直接或间接窃听获取所需信息. . 数据篡改数据篡改: :攻击者通过截获并修改数据或重放数据等方式破坏数据的完整攻击者通过截获并修改数据或重放数据等方式破坏数据的完整 性性 地址欺骗地址欺骗: :攻击者通过伪装成被信任的攻击者通过伪装成被信任的IP 址等方式骗取目标信任址等方式骗取目标信任. . 社会工程社会工程: :攻击者通过各种社交渠道获得有关目标的结构、使用情况、安攻击者通过各种社交渠道获得有关目标的结构、使用情况、安 全防范措施等有用信息全防范措施等有用信息, ,从而提高攻击成功率从而提高攻击成功率. . 恶意扫描恶意扫描: :

16、攻击者编制或使用现有扫描工具发现目标的漏洞攻击者编制或使用现有扫描工具发现目标的漏洞, ,发起攻击发起攻击. . 基础设施破坏基础设施破坏: :攻击者通过破坏攻击者通过破坏DNS或或路由信息等基础设施，使目标陷路由信息等基础设施，使目标陷 于孤立于孤立. . 数据驱动数据驱动：攻击者通过施放病毒、特洛伊木马、数据炸弹等方式破坏或攻击者通过施放病毒、特洛伊木马、数据炸弹等方式破坏或 遥控目标遥控目标. . 9 5.1 5.1 计算机网络安全概述计算机网络安全概述 五五.安全评价标准安全评价标准 10 部门规章及规范性文件部门规章及规范性文件 . 中华人民共和国公安部令第中华人民共和国公安部令第3

17、2号号 计算机信息系统安全专用产品检测和销售许可证计算机信息系统安全专用产品检测和销售许可证 管理办法管理办法 . . 中华人民共和国公安部令第中华人民共和国公安部令第33号号 计算机信息网络国际联网安全保护管理办法计算机信息网络国际联网安全保护管理办法 . . 中华人民共和国公安部令第中华人民共和国公安部令第51号号 计算机病毒防治管理办法计算机病毒防治管理办法 . . 中华人民共和国公共安全行业标准计算机信息中华人民共和国公共安全行业标准计算机信息 系统安全专用产品分类原则系统安全专用产品分类原则 11 行政法规行政法规 . 中华人民共和国国务院令中华人民共和国国务院令147147号号 中

18、华人民共和国计算机信息系统安全保护条例中华人民共和国计算机信息系统安全保护条例 . . 中华人民共和国国务院令第中华人民共和国国务院令第195195号号 中华人民共和国计算机信息网络国际联网管理暂行规定中华人民共和国计算机信息网络国际联网管理暂行规定 . . 中华人民共和国计算机信息网络中华人民共和国计算机信息网络 国际联网管理暂行规定实施办法国际联网管理暂行规定实施办法 . . 中华人民共和国国务院令第中华人民共和国国务院令第273273号号 商用密码管理条例商用密码管理条例 . . 中华人民共和国国务院令第中华人民共和国国务院令第291291号号 中华人民共和国电信条例中华人民共和国电信条

19、例 12 安全标准安全标准 . GB/T 15843-1999 信息技术安全技术实体鉴别信息技术安全技术实体鉴别 . . GB/T 15851-1995 信息技术安全技术带消息恢复的安全技信息技术安全技术带消息恢复的安全技 术要求术要求 . . GB/T 15852-1995 信息技术安全技术用块密码算法做密码信息技术安全技术用块密码算法做密码 校验函数的数据完整性机制校验函数的数据完整性机制 . . GB/T 15852-1995 信息技术安全技术密钥管理信息技术安全技术密钥管理 . . GB/T 15852-1995 信息技术安全技术带附录的数字签名信息技术安全技术带附录的数字签名 . .

20、 GB/T 15852-1995 信息技术安全技术抗抵赖信息技术安全技术抗抵赖 13 安全标准安全标准 GB/T 17900-1999 网络代理服务器安全技术要网络代理服务器安全技术要 求求 GB/T 18018-1999 路由器安全技术要求路由器安全技术要求 GB/T 18019-1999 信息技术包过滤防火墙安全信息技术包过滤防火墙安全 技术要求技术要求 GB/T 18020-1999 信息技术应用级防火墙安全信息技术应用级防火墙安全 技术要求技术要求 14 安全标准安全标准 GB17859-1999 计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则 第一级用户自主保护

21、级第一级用户自主保护级 第二级系统审计保护级第二级系统审计保护级 第三级安全标记保护级第三级安全标记保护级 第四级结构化保护级第四级结构化保护级 第五级访问验证保护级第五级访问验证保护级 15 信息系统安全保密研究特点信息系统安全保密研究特点 信息系统的组成复杂，覆盖面广；信息处理既有集中式信息系统的组成复杂，覆盖面广；信息处理既有集中式 又有分布式；又有分布式； 构成其基础的计算机操作系统和网络可能同构或异构；实构成其基础的计算机操作系统和网络可能同构或异构；实 现计算机联接的网络结构可能多种拓扑结构的混合；所现计算机联接的网络结构可能多种拓扑结构的混合；所 用的网络组件繁杂，通信介质多种多

22、样。因此信息系统用的网络组件繁杂，通信介质多种多样。因此信息系统 的安全保密必然是所有安全保密学科的综合运用的结果。的安全保密必然是所有安全保密学科的综合运用的结果。 信息系统安全保密研究的对象是系统，系统内所有元素信息系统安全保密研究的对象是系统，系统内所有元素 或成份都是研究的内容。从系统内看研究内容包括通信或成份都是研究的内容。从系统内看研究内容包括通信 安全安全( ( COMESC), COMESC), 计算机安全计算机安全, ,操作安全操作安全( (OPSEC), OPSEC), 信息信息 安全安全, ,人事安全人事安全, ,工业安全工业安全, ,资源保护和实体安全。从系资源保护和实

23、体安全。从系 统外看统外看, , 研究内容还包括管理和法律两个方面研究内容还包括管理和法律两个方面, ,两者综两者综 合构成一个合理的研究结构和层次。合构成一个合理的研究结构和层次。 按照系统平衡的观点按照系统平衡的观点, ,信息系统安全保密追求均匀性信息系统安全保密追求均匀性, ,因因 而各子项的研究深度要相互协调而各子项的研究深度要相互协调, ,不能重此轻彼不能重此轻彼. . 16 5.1 5.1 计算机网络安全概述计算机网络安全概述 六六. .国标主要安全指标国标主要安全指标-涵盖了不同级别的安全要求涵盖了不同级别的安全要求 身份认证、自主访问控制、数据完整性、审计、隐蔽信道分析、身份认

24、证、自主访问控制、数据完整性、审计、隐蔽信道分析、 客体重用、强制访问控制、安全标记、可信路径、可信恢复等客体重用、强制访问控制、安全标记、可信路径、可信恢复等. . 七七. .网络主要安全指标网络主要安全指标 身份认证身份认证-主要考主要考虑虑用户主机和节用户主机和节点点的的身身份认份认证证 访问控制访问控制-采采用自主访问控制用自主访问控制策略策略 数据完整性数据完整性-考考虑虑存存储传输储传输和使用中和使用中不被篡改不被篡改和和泄泄密密 审计审计-主要考主要考虑虑访问的主体访问的主体客客体体时间时间成成败败情情况况等等 隐蔽信道分析隐蔽信道分析-主要考主要考虑采虑采用安全用安全监监控和安

25、全控和安全漏洞漏洞检测检测来来加加强强 对对隐蔽隐蔽信信道道的防范的防范 17 安全技术架构 18 5.2 5.2 网络安全技术网络安全技术 安全理论与技术 密码理论与技术加密标记 认证识别理论与技术 授权与访问控制理论与技术 审计追踪技术 网间隔离与访问代理技术 反病毒技术 19 5.2 5.2 网络安全技术网络安全技术 一一.密码技术密码技术 1.1.数据加密数据加密 密码密码: :是一组含有参数的变换是一组含有参数的变换. . 明文明文( (plaintext) :作为加密输入的原始信息作为加密输入的原始信息. . 加密算法加密算法: :变换函数变换函数. . 密文密文( (cipher

26、text):明文变换结果明文变换结果. . 密钥密钥( (key):参与变换的参数参与变换的参数. . 20 5.2 5.2 网络安全技术网络安全技术 2.2.信息加密算法信息加密算法 对称算法对称算法: :加密密钥和解密密钥相同加密密钥和解密密钥相同 数据加密标准数据加密标准DESDES是一种对二元数据进行加密的算法是一种对二元数据进行加密的算法, ,数据分组长数据分组长 度为度为6464位位, ,密文分组长度也是密文分组长度也是6464位位, ,使用的密钥为使用的密钥为6464位位, ,有效密钥有效密钥 长度为长度为5656位位( (有有8 8位用于奇偶校验位用于奇偶校验).).解密时的过

27、程和加密时相似解密时的过程和加密时相似, , 但密钥的顺序正好相反但密钥的顺序正好相反. .DESDES的整个体制是公开的的整个体制是公开的, ,安全性完全靠安全性完全靠 密钥的保密密钥的保密. . DESDES算法是在一个初始置换算法是在一个初始置换IPIP后后, ,明文组被分成右半部分和左半部明文组被分成右半部分和左半部 分分, ,每部分每部分3232位以位以L L0 0和和R R0 0表示表示, ,然后是然后是1616轮迭代的乘积变换轮迭代的乘积变换, ,将数将数 据和密钥结合起来据和密钥结合起来.16.16轮之后左右两部分连接起来轮之后左右两部分连接起来, ,经过一个初经过一个初 始逆

28、置换始逆置换IPIP-1 -1, , 算法结束算法结束. . 初始置换与初始逆置换在密码意义上作用不大初始置换与初始逆置换在密码意义上作用不大, ,其作用在于打乱原其作用在于打乱原 输入输入x x的的ASCIIASCII码字划分关系码字划分关系, ,并将原来明文的校验位变成置换输并将原来明文的校验位变成置换输 出的一个字节出的一个字节. 21 5.2 5.2 网络安全技术网络安全技术 对称密钥的分组密码算法对称密钥的分组密码算法 -一种是对一种是对DES进行复合进行复合, ,强化其抗攻击强化其抗攻击能能力力. -另一种是开另一种是开辟新辟新的方法的方法, ,即即象象DES那那样加解密样加解密速

29、速度度快快, 又又具具有有抗差抗差分等分等攻击攻击的能的能力力.这些算法有这些算法有三重三重DES， IDEA， RC5， RC6等等 非对称算法非对称算法( (公钥密码/双钥密码) 有两个密钥有两个密钥,公用密钥和私用密钥。在进行数据通信时，公用密钥和私用密钥。在进行数据通信时， 发送方利用公用密钥将信息加密，对方收到信息后使发送方利用公用密钥将信息加密，对方收到信息后使 用私人密钥进行解密。常用算法用私人密钥进行解密。常用算法RSA是基于数论中素是基于数论中素 数因数分解的难度数因数分解的难度,若整数若整数n达到达到100位（十进制）以上，位（十进制）以上， 则分解成大素数因子则分解成大素

30、数因子p和和q及其困难，即不能在有效时及其困难，即不能在有效时 间内破译间内破译RSA。RSA系统中大素数的生成通常有两种系统中大素数的生成通常有两种 方法：构造法与随机法。构造法因其素数的产生具有方法：构造法与随机法。构造法因其素数的产生具有 规律性、随机性较差而不常用。规律性、随机性较差而不常用。 22 5.2 5.2 网络安全技术网络安全技术 3.3.数字签名算法数字签名算法 信息加密函数作认证信息加密函数作认证 23 5.2 5.2 网络安全技术网络安全技术 双密钥双密钥仲裁仲裁数数字字签名技术签名技术 (1) XA: IDx | EKRxIDx | EKUy (EKRxM) X 对消

31、息对消息M双重加密双重加密首先首先用用X的的私私有密钥有密钥KRx , 然后用然后用Y的公开密钥的公开密钥KUy,形形成一个签名的保密成一个签名的保密 的消息的消息. .然后将然后将该该信息以信息以及及X的的标标识识符符一一起起用用 KRx签名后签名后, ,与与IDx 一一起起发送给发送给A 这种内这种内部部双重双重 加密的消息对加密的消息对A以以及及对除对除Y以以外外的其它人的其它人都都是是 安全的安全的. . (2) AY: EKRaIDx| EKUyEKRxM | T A检查检查X的公开的公开/私私有密钥对是否有密钥对是否仍仍然有然有效效,是是, , 则认证消息则认证消息, ,并并将将包

32、含包含IDx, 双重加密的消息和双重加密的消息和 时间时间戳戳构成的消息用构成的消息用KRa签名后发送给签名后发送给Y. 24 5.2 5.2 网络安全技术网络安全技术 二二. .系统安全技术系统安全技术 1.1.身份认证身份认证-证实客户的真实身份与其所声称的身份证实客户的真实身份与其所声称的身份 是否相符的过程是否相符的过程 依据依据: : Something the user know (所知所知) ) 密码密码 口令等口令等 Something the user possesses (拥有拥有) ) 身份证身份证 护照护照 密钥盘等密钥盘等 Something the user is

33、or (How he behaves) (特征特征) ) 指纹指纹 笔迹笔迹 声纹声纹 虹膜虹膜 DNA等等 方式：口令认证方式：口令认证 挑战挑战/应答方式应答方式 Kerberos认证认证 25 5.2 5.2 网络安全技术网络安全技术 2.2.访问控制和授权访问控制和授权: :针对越权使用资源的防御措施针对越权使用资源的防御措施 自主访问控制自主访问控制-根据主体的身份和授权决定访问模根据主体的身份和授权决定访问模 式式 强制访问控制强制访问控制-将主体和客体分级将主体和客体分级, ,根据主体和客体根据主体和客体 的级别标记决定访问模式的级别标记决定访问模式. .如绝密级如绝密级, ,机

34、密级机密级, ,秘密秘密 级级, ,无密级无密级. . 基于角色的访问控制基于角色的访问控制-用户集用户集+ +权限集权限集 角色角色-A role can be defined as a set of actions and responsibilities associated with a particular working activity 3.3.审计审计-根据一定的策略根据一定的策略, ,通过记录分析历史操作事通过记录分析历史操作事 件件, ,发现和改进系统性能和安全发现和改进系统性能和安全 26 5.2 5.2 网络安全技术网络安全技术 三三. .网络安全技术网络安全技术 1.

35、1.防火墙定义防火墙定义 位于两个位于两个(或多个或多个)网络间实施网间访问控制的一组组网络间实施网间访问控制的一组组 件的集合件的集合, ,满足以下条件满足以下条件: : 内部和外部之间的所有网络数据流必须经过防火墙内部和外部之间的所有网络数据流必须经过防火墙 只有符合安全政策的数据流才能通过防火墙只有符合安全政策的数据流才能通过防火墙 防火墙自身应对渗透防火墙自身应对渗透(peneration)免疫免疫 2 2.为什么需要防火墙为什么需要防火墙 保护内部不受来自保护内部不受来自Internet的攻击的攻击 为了创建安全域为了创建安全域 为了增强机构安全策略为了增强机构安全策略 27 5.2

36、 5.2 网络安全技术网络安全技术 3.3.防火墙体系结构防火墙体系结构 双宿双宿/多多宿宿主机模式主机模式(dual-homed/multi-homed) 屏蔽主机模式屏蔽主机模式 屏蔽屏蔽子子网模式网模式 28 29 30 31 32 5.2 5.2 网络安全技术网络安全技术 4.4.防火墙相关技术防火墙相关技术 静态静态包过包过滤滤 动动态态包过包过滤滤 应用程序网关应用程序网关(代理代理服务服务器器) 电电路级网关路级网关 虚拟专虚拟专用网用网 33 5.2 5.2 网络安全技术网络安全技术 静态静态包过包过滤滤 根根据流经据流经该设备该设备的数据包地的数据包地址址信息信息决决定是定是

37、否允许否允许 该该数据包通过数据包通过, ,判断依判断依据据: : 数据包数据包协协议议类类型型TCP UDP ICMP IGMP等等 源目源目的的IP地地址址 源目源目的的端口端口FTP HTTP DNS等等 IP选项源选项源路由记录路由等路由记录路由等 TCP选项选项SYN ACK FIN RST等等 其其它它协协议议选项选项ICMP ECHO ICMP ECHO REPLY 等等 数据包流向数据包流向in或或out 数据包流经网络数据包流经网络接口接口eth0 eth1 34 35 36 5.2 5.2 网络安全技术网络安全技术 动动态态包过包过滤滤 -Check point一一项称项称

38、为为“Stateful Inspection”的技术的技术 -可动可动态生态生成成/删除规删除规则则 -分析高层协分析高层协议议 应用程序网关应用程序网关 -网关理网关理解解应用应用协协议可以实施议可以实施更细粒度更细粒度的访问控制的访问控制 -对对每每一一类类应用都需要一个应用都需要一个专门专门的代理的代理 -灵灵活活性性不不够够 37 5.2 5.2 网络安全技术网络安全技术 电电路级网关路级网关 -拓扑拓扑结构同应用程序网关相同结构同应用程序网关相同 -接收客户端接收客户端连连接请接请求代理求代理客户端完客户端完成网络连成网络连接接 -在客户在客户和和服务服务器间器间中转中转数据数据 -

39、通用通用性性强强 电电路级网关实路级网关实现现方式方式 -简单重简单重定向定向 -根根据据客户客户的地的地址址及所及所请请求求端口将该端口将该连连接重接重定向定向到指到指定定 的的服务服务器地器地址址及及端口端口上上 -对对客户端客户端应用应用完完全透全透明明 -在转在转发发前前同同客户端交换客户端交换连连接接信息信息 -需对需对客户端客户端应用应用作适当修改作适当修改 电电路级网关的一路级网关的一些些实实现现 Socks Winsock Dante 38 39 40 5.2 5.2 网络安全技术网络安全技术 5.防火墙产品防火墙产品 著名厂家著名厂家Check Point，Sun Soft，

40、IBM，Trusted Information System等，国内常见防火墙产品有等，国内常见防火墙产品有Sun Soft 公司的公司的 Solstice Firewall-1，该软件核心是该软件核心是Check Point公公 司开发的同名产品。司开发的同名产品。 Firewall-1由由包过滤模块和控制模块包过滤模块和控制模块两部分组成，包过滤模块两部分组成，包过滤模块 的工作独立于控制模块，相当于在链路层和网络层之间插入的工作独立于控制模块，相当于在链路层和网络层之间插入 一个数据包过滤器，截获出入网点的所有数据包，然后根据一个数据包过滤器，截获出入网点的所有数据包，然后根据 用户设置

41、的安全规则决定是转发用户设置的安全规则决定是转发/阻塞该数据包；控制模块阻塞该数据包；控制模块 可监测、控制多个包过滤模块，包过滤模块和控制模块可安可监测、控制多个包过滤模块，包过滤模块和控制模块可安 装在同一台主机装在同一台主机/不同主机上。不同主机上。Firewall-1包括包括应用级过滤能应用级过滤能 力力，将，将Firewall-1所在网关配置成混合型网关，由应用网关所在网关配置成混合型网关，由应用网关 运行专用程序代码对应用级数据包进行过滤，利用代理服务运行专用程序代码对应用级数据包进行过滤，利用代理服务 代替客户向服务器发出请求和为用户提供认证服务。代替客户向服务器发出请求和为用户

42、提供认证服务。 Firewall-1还还支持支持DES等加密技术等加密技术,既是一个公共防护系统，既是一个公共防护系统， 也是一个专用防卫系统，达到也是一个专用防卫系统，达到 Unix级防护能力级防护能力。 41 5.3 5.3 网络安全体系设计网络安全体系设计 一. .安全方案设计要素安全方案设计要素 明确的需求分析明确的需求分析 合理的设计原则合理的设计原则 可信的安全等级可信的安全等级 良好的指导方法良好的指导方法 全面的理论模型全面的理论模型 正确的技术选择正确的技术选择 可靠的支撑产品可靠的支撑产品 实用的功能性能实用的功能性能 可行的评价措施可行的评价措施 完善的管理手段完善的管理

43、手段 长远的维护升级长远的维护升级 42 安全设计总目标 保保障障网络网络安全可靠、高效、可控、持续安全可靠、高效、可控、持续地地运运行行 保保障障信息信息机密、完整、不可否认机密、完整、不可否认地地传输传输和使用和使用 需要保护的对象需要保护的对象 安全层次分析安全层次分析 隐患分析隐患分析 43 5.3 5.3 网络安全体系设计网络安全体系设计 1.安全需求分析 -安全层次分析 44 5.3 5.3 网络安全体系设计网络安全体系设计 -安全监测安全监测 监测方法监测方法 异常检测系统异常检测系统( (Anomaly)Anomaly) 统计方法统计方法 预测模式生成法预测模式生成法 神经网络

44、法神经网络法 滥用检测系统滥用检测系统( (Misuse)Misuse) 专家系统专家系统 模型匹配模型匹配 状态转换分析状态转换分析 混合检测系统混合检测系统( (Hybrid)Hybrid) 监测要求监测要求 实时实时 全面全面 准确准确 45 46 -安全防护安全防护( (需要保护的对象需要保护的对象) ) 硬件硬件 路由器路由器 工作站工作站 服务器服务器 数据设备等数据设备等 软件软件 操作系统操作系统 应用软件应用软件 源代码源代码 实用程序实用程序 数据数据 电子邮件电子邮件 办公自动化办公自动化 信息发布信息发布 业务系统业务系统 -安全评估安全评估 风险分析风险分析 评估标准

45、评估标准 验收指标验收指标 5.3 5.3 网络安全体系设计网络安全体系设计 47 5.3 5.3 网络安全体系设计网络安全体系设计 2.2.设计原则设计原则 先进与实用相统一先进与实用相统一 投入与产出相匹配投入与产出相匹配-国际惯例占总投入的国际惯例占总投入的10%-15%10%-15% 成熟与升级相衔接成熟与升级相衔接( (时效性时效性) ) 3.3.网络安全设计方法网络安全设计方法 逻辑层设计逻辑层设计( (应用透明性应用透明性) ) 最小实体保护最小实体保护 产品与技术分离产品与技术分离 4.4.网络安全等级设计网络安全等级设计 应达到等级应达到等级: : B1 B1级级 理由理由:

46、 :C2C2级自主访问级自主访问, ,安全性低安全性低 B1 B1级提供安全标记级提供安全标记+ +强制访问控制强制访问控制 B2 B2级要求确认隐蔽通道级要求确认隐蔽通道, ,难于实现难于实现 48 5.3 5.3 网络安全体系设计网络安全体系设计 5.5.安全技术选择安全技术选择 - 根据网络层次根据网络层次 链路层链路层 链链路路加加密技术密技术 网络层网络层 包过滤包过滤 IPSECIPSEC协协议议 VPN.VPN. TCP层层 SSLSSL协协议议 基于公钥的基于公钥的认认证和证和对称对称钥钥加加 密技术密技术 应用层应用层 SHTTP PGP SHTTP PGP 开发专用开发专用

47、协协议议 - 根据网络根据网络拓扑拓扑 网络隔离网络隔离 防火墙防火墙 访问代理访问代理 安全网关安全网关 入侵监测入侵监测 日志审计入侵检测日志审计入侵检测 漏洞扫描漏洞扫描 追踪追踪 49 5.3 5.3 网络安全体系设计网络安全体系设计 50 51 5.3 5.3 网络安全体系设计网络安全体系设计 6.6.安全管理安全管理 加加强强内部人员内部人员的安全的安全知识培训及职知识培训及职业道业道 德教育德教育 制制定定安全安全政策政策和法规和法规 从从技术技术上上实现系统管理分实现系统管理分权权制制约约 从从技术技术上上保证保证口令口令的安全性的安全性 从从程序程序上上规规范范安全管理安全管

48、理 52 5.3 5.3 网络安全体系设计网络安全体系设计 7.7.安全升级安全升级 跟踪跟踪和和研究研究网络网络攻击攻击手段手段 及及时时更新更新和和使使用安全产品的升级用安全产品的升级版本版本 及及时时采纳新采纳新出现的出现的必须必须的安全产品的安全产品 应应在年度在年度运行预运行预算中留算中留出安全保出安全保障障和维护和维护 经经费费 保保持持与安全技术支与安全技术支持单位持单位的良好合作关系的良好合作关系 53 5.3 5.3 网络安全体系设计网络安全体系设计 二二.设计实例设计实例( (典典型型局域局域网安全设计网安全设计) ) 54 5.3 5.3 网络安全体系设计网络安全体系设计

49、 1.1.代理服务器代理服务器 55 5.3 5.3 网络安全体系设计网络安全体系设计 2.2.安全安全客客户户 56 5.3 5.3 网络安全体系设计网络安全体系设计 3.3.代理代理接接口口安全安全 57 5.3 5.3 网络安全体系设计网络安全体系设计 4.4.广域广域传输传输安全安全 58 5.3 5.3 网络安全体系设计网络安全体系设计 5.5.拨拨号号接接入入安全安全 59 60 5.4 5.4 网络管理概述网络管理概述 一一.网络管理定义网络管理定义 网络管理指用软件手段对网络进行配置监视和控网络管理指用软件手段对网络进行配置监视和控 制，以保证网络的正常运行，减少故障发生的制，

50、以保证网络的正常运行，减少故障发生的 概率，最终使网络性能达到最优，减少网络维概率，最终使网络性能达到最优，减少网络维 护费用。护费用。 网络管理分为两类。第一类网络应用程序、用户帐号和存网络管理分为两类。第一类网络应用程序、用户帐号和存 取权限的管理，是与软件相关的网络管理；第二类构取权限的管理，是与软件相关的网络管理；第二类构 成网络的硬件组成，包括工作站、服务器、网卡、路成网络的硬件组成，包括工作站、服务器、网卡、路 由器、网桥（交换机）和集线器。通常网络管理指第由器、网桥（交换机）和集线器。通常网络管理指第 二类，即网络硬件设备的管理。二类，即网络硬件设备的管理。 ISO定义：网络管理

51、指规划、监督、设计和控制定义：网络管理指规划、监督、设计和控制 网络资源的使用和网络的各种活动，使网络的网络资源的使用和网络的各种活动，使网络的 性能达到最优。性能达到最优。 61 二二.网络管理功能网络管理功能 1用户管理用户管理，管理用户标识、用户账户、用户口令、文件目录、，管理用户标识、用户账户、用户口令、文件目录、 地址和用户个人信息以及工作站信息等。地址和用户个人信息以及工作站信息等。 2配置管理配置管理，监视网络的运行环境和状态，改变和调整网络设，监视网络的运行环境和状态，改变和调整网络设 备的配置，确保网络有效可靠地运行。包括识别被管网络的拓备的配置，确保网络有效可靠地运行。包括

52、识别被管网络的拓 扑结构，监视网络设备的运行状态和参数，自动修改指定设备扑结构，监视网络设备的运行状态和参数，自动修改指定设备 的配置，动态维护网络等。的配置，动态维护网络等。 3性能管理性能管理，指通过监控网络的运行状态调整网络性能参数来，指通过监控网络的运行状态调整网络性能参数来 改善网络的性能，确保网络平稳运行改善网络的性能，确保网络平稳运行,包括网络吞吐量、响应包括网络吞吐量、响应 时间、线路利用率、网络可用性等参数。时间、线路利用率、网络可用性等参数。 4故障管理故障管理，包括故障检测、故障诊断和故障恢复。通过故障，包括故障检测、故障诊断和故障恢复。通过故障 检测确定发生何故障，位于

53、何处检测确定发生何故障，位于何处,找出发生故障的原因和解决找出发生故障的原因和解决 办法；还包括避免发生故障，提出减少故障的措施。办法；还包括避免发生故障，提出减少故障的措施。 5计费管理计费管理，包括统计用户使用网络资源的情况，根据资费标，包括统计用户使用网络资源的情况，根据资费标 准计算使用费用；统计网络通信资源和信息资源的使用情况，准计算使用费用；统计网络通信资源和信息资源的使用情况， 分析预测网络业务量。分析预测网络业务量。 6安全管理安全管理，防止用户网络资源的非法访问，确保网络资源和，防止用户网络资源的非法访问，确保网络资源和 网络用户的安全。网络用户的安全。 62 5.4 5.4

54、 网络管理概述网络管理概述 3.网络管理标准化组织网络管理标准化组织 ISO（International Standardization Organization）：）： 1947 年成立，总部设在日内瓦，世界最大的国际标准化机构。年成立，总部设在日内瓦，世界最大的国际标准化机构。 ISO制定网络管理标准化始于制定网络管理标准化始于1979年，其标准有公共管理信年，其标准有公共管理信 息服务协议息服务协议CMIS（Common Management Information Service Protocol）和公共管理信息协议和公共管理信息协议CMIP（Common Management Inf

55、ormation Protocol）。）。 国际电联电信标准化部门国际电联电信标准化部门ITU-T： ITU（International Telecommunication Union）成立于成立于 1934年，年，ITU电信标准电信标准 由其电信标准化部门由其电信标准化部门ITU-T制定。制定。ITU-T制定的网络管理标准制定的网络管理标准 为电信管理网为电信管理网 TMN(Telecommunication Management Network）。）。 IETF（Internet Engineering Task Force）工程任务组：制定工程任务组：制定 两个基于两个基于 TCP/IP

56、的网络管理协议：简单网络管理协议的网络管理协议：简单网络管理协议 SNMP （Simple Network Management Protocol）和公共管理信和公共管理信 息服务与协议息服务与协议CMOT（Common Management information service and protocol Over TCP/IP）。SNMP是目前最流行是目前最流行 网络管理协议。网络管理协议。 63 ISO/OSI CMIS和和CMIP（公共管理信息服务协议和公共管理公共管理信息服务协议和公共管理 信息协议）信息协议） 公共管理信息服务元素公共管理信息服务元素CMISE，定义用于网络管理操作

57、的服务定义用于网络管理操作的服务 元素和参数（变量），负责网络管理信息的逻辑通信，元素和参数（变量），负责网络管理信息的逻辑通信，7类服类服 务为：务为： M-EVENT-REPORT服务：用于向服务用户报告发现服务：用于向服务用户报告发现/发生的事件。发生的事件。 M-GET服务：用于从对等实体中获取管理信息。服务：用于从对等实体中获取管理信息。 M-CANCEL-GET服务：用于要求对等实体取消以前发送的服务：用于要求对等实体取消以前发送的M-GET请求。请求。 M-SET服务：用于请求另一个管理进程（或管理代理）修改管理对象属性值。服务：用于请求另一个管理进程（或管理代理）修改管理对象属

58、性值。 M-ACTION服务：用于一个用户需要请求另一个用户（管理进程或管理代理）服务：用于一个用户需要请求另一个用户（管理进程或管理代理） 对管理对象执行一些操作。对管理对象执行一些操作。 M-CREATE服务：用于用户创建管理对象实例。服务：用于用户创建管理对象实例。 M-DELETE服务：用干删除管理对象实例。服务：用干删除管理对象实例。 公共管理信息协议公共管理信息协议CMIP，基于基于OSI七层协议，采用管理者七层协议，采用管理者/代理代理 模型，作为模型，作为CMISE之间的通信协议。规定不同网络管理系统之间的通信协议。规定不同网络管理系统 之间的信息交换方式和规则，例如对网络文件

59、进行监控时，之间的信息交换方式和规则，例如对网络文件进行监控时， 管理者只需向代理发出一监控请求，代理自动监视指定的管管理者只需向代理发出一监控请求，代理自动监视指定的管 理者，并在异常情况发生时向管理者报告。理者，并在异常情况发生时向管理者报告。 64 简单网络管理协议简单网络管理协议SNMP 1990年，年，IETF制定制定SNMP V1。 1993年，年，IETF制定制定SNMP V2，该版本受到各网络厂商广泛欢该版本受到各网络厂商广泛欢 迎，并成为事实上的网络管理工业标准。迎，并成为事实上的网络管理工业标准。 1999年年5月公布月公布SNMP的第三代标准的第三代标准CMOT（Comm

60、on Management Information Service and Protocol Over TCP/IP），），也称也称 SNMP V3, 实际上是实际上是OSI CMIP的的TCP/IP版。版。 SNMP模型模型 被管理站点被管理站点:运行运行SNMP代理程序，维护一个本地数据库，描代理程序，维护一个本地数据库，描 述站点的状态和历史，并影响站点的运行。述站点的状态和历史，并影响站点的运行。 管理站点管理站点: 运行专门的网络管理软件，使用管理协议和被管运行专门的网络管理软件，使用管理协议和被管 理站点上的理站点上的SNMP代理通信，维护管理信息库。代理通信，维护管理信息库。 管