网络安全隔离课件

2022/12/20总结网络隔离的主要方法网络隔离的基本内容网络隔离的基本概念第3章网络隔离技术路由器与安全体系结构2022/12/20总结网络隔离的主要方法网络隔离的基本内容网络隔离的基本概念第3章网络隔离技术路由器与安全体系结构2022/12/20目标掌握路由器的工作原理掌握路由器在信息安全体系结构中的作用了解路由器与防火墙的协同工作方法2022/12/20TCP/IP基础（续）协议数据的封装2022/12/20路由器的基本概念路由器（Router）是用于连接两个或者多个网络的网络互连设备路由器工作在TCP/IP协议栈中的IP层Network1Network12022/12/20路由器的工作原理（续）路由器的协议层次应用层传输层网络层数据链路层物理层应用层传输层网络层数据链路层物理层网络层数据链路层物理层2022/12/20路由器的工作原理（续）路由器的路由功能202.115.22202.115.24202.115.23IP地址？2022/12/20路由器与安全体系结构（续）路由器作为安全体系结构的一部分路由器执行最基本的操作：报文转发包过滤入口过滤出口过滤基于网络的应用程序识别（Network-BasedApplicationRecognition:NBAR):对流媒体信息进行标记处理；更深层次的概念涉及“服务质量”（QoS）2022/12/20路由器与安全体系结构（续）路由器的位置路由器作为外部网络和内部网络的分隔设备内部网络外部网络路由器是作为内部子网的分隔设备内部网络1内部网络1内部网络12022/12/20路由器的加固路由器加固指提高路由器自身的安全性加固方法有：加固操作系统锁住管理点：Telnet：远程登录SSH：安全脚本T：文件传输SNMP：简单网络管理认证和口令禁止服务器（如Bootp，HTTP等）2022/12/20路由器的加固（续）禁止不必要的服务：如NTP，finger等阻断因特网控制消息协议（ICMP）禁止源路由路由器日志查看2022/12/20结论路由器既是网络连接设备，也可作为网络安全设备路由器可以作为整个安全体系的一部分，也可作为唯一的边界安全设备路由器可以放置在内网和外网的中间，也可作为内部子网的分隔设备在路由器在安全体系结构中的作用需要特别重视国家信息安全漏洞共享平台当攻击者利用浏览器来访问一个无需授权认证的特定功能页面后，如发送HTTP请求到start_art.html，攻击者就可以引导路由器自动从攻击者控制的TFTP服务器下载一个nart.out文件，并以root权限运行。而一旦攻击者以root身份运行成功后，便可以控制该无线路由器了。2022/12/202022/12/20总结网络隔离的主要方法网络隔离的基本内容网络隔离的基本概念第3章网络隔离技术路由器与安全体系结构2022/12/20资源隔离技术（续）为什么需要进行资源隔离？资源隔离的主要目的是将入侵行为带来的影响控制在特定的区域资源隔离有助于更好的实施安全策略资源隔离有助于实施管理2022/12/20资源隔离的内容资源隔离的内容子网隔离主机隔离服务隔离用户隔离数据隔离广义的资源隔离包括网络隔离2022/12/20资源隔离的内容（续）主机隔离DBMailMailDB2022/12/20资源隔离的内容（续）服务隔离Mail&DBMailDB2022/12/20资源隔离的内容（续）数据隔离DB&DOCDBDOC2022/12/20资源隔离的主要依据资源敏感度不同敏感度的资源属于不同的安全区域资源受到损害的可能性易受损害的资源和不易受损害的资源属于不同的安全区域易管理性资源分隔应该有利于管理设计者自己的分类标准根据安全策略进行资源分隔2022/12/20资源隔离的基本方法同一子网内的资源隔离不同子网的资源隔离2022/12/20资源隔离的基本方法（续）不同子网的资源隔离广播子网与其他子网隔离2022/12/20资源隔离的基本方法（续）不同子网的资源隔离公共子网和内部子网隔离内部服务器外部服务器工作站内部服务器外部服务器工作站2022/12/20实现资源隔离的技术路由器防火墙交换机VLAN2022/12/20实现资源隔离的技术（续）路由器Internet2022/12/20实现资源分隔的技术（续）防火墙Internet2022/12/20实现资源分隔的技术（续）防火墙Internet2022/12/20实现资源分隔的技术（续）VLANVLAN是实现资源隔离的有效方法VLAN1VLAN3VLAN22022/12/20实现资源分隔的技术（续）VLAN的原理AppTCP,UDPIPDLPhysicalAppTCP,UDPIPDLPhysical传统的交换机：两层交换VLAN中的交换机：三层交换2022/12/20实现资源分隔的技术（续）VLAN的原理AppTCP,UDPIPDLPhysicalVLAN中的交换机：三层交换路由ACL。。。2022/12/20资源隔离实例分析邮件服务器分隔Internet内部邮件服务中心服务器公共邮件中继服务器2022/12/20资源隔离实例分析DNS服务器分隔Internet内部DNS服务器公共DNS服务器2022/12/20资源隔离实例分析（续）无线接入分隔Internet内部服务器区公共服务器区边界防火墙内部防火墙2022/12/20总结广义的资源隔离包括网络隔离资源隔离可以在一定程度上降低安全风险，从而优化安全体系结构资源隔离的内容包括：子网隔离、主机隔离、服务隔离、用户隔离、数据隔离资源隔离的技术包括：路由器、防火墙，交换机和VLAN网络地址转换(NAT:NetworkAddressTranslation)将每个局域网节点的地址转换成一个IP地址，反之亦然。交换机port:5133port:5134port:5120路由器(NAT)Internet3:51333:51343:5120网络地址转换与网络安全如果改变源地址的话，数字签名不再有效给网络取证带来了巨大的困难依赖于IP和端口的防火墙过滤规则需要改变…解决方案指处于不同安全域的网络之间不能以直接或间接的方式相连接。物理隔离物理隔离(cont.)单向隔离在端上依靠由硬件访问控制信息交换分区实现信息在不同的安全域信息单向流动。协议隔离通过协议转换的手段保证受保护信息在逻辑上是隔离的，只有被系统要求传输的、内容受限的信息可以通过网闸网闸（gap）是位于两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息可以通过。（最常用）2022/12/20教材与参考书教材：周世杰陈伟罗绪成，计算机系统与网络安全技术，高等教育出版社，2011参考书李毅超曹跃，网络与系统攻击技术电子科大出版社