《网络安全与管理第二版》-第1章课件

普通高等教育“十一五”国家级规划教材网络安全与管理（第二版）戚文静主编ISBN978-7-5084-5495-5中国水利水电出版社1

1

网络安全与管理第1章网络安全概述2网络安全与管理第1章网络安全概述2学习目标理解网络安全的基本概念和术语了解目前主要的网络安全问题和安全威胁理解基本的网络安全模型及功能了解网络和信息安全的重要性了解国内外的信息安全保障体系3学习目标理解网络安全的基本概念和术语31.1网络安全的基本概念1.1.1网络安全定义及相关术语1.1.2主要的网络安全威胁1.1.3网络安全策略1.1.4网络安全模型41.1网络安全的基本概念1.1.1网络安全定义及相关术1.1.1网络安全定义及相关术语网络安全广义上：用户角度：网络管理员角度：教育和社会意识形态：网络安全是指保护网络系统中的软件、硬件及信息资源，使之免受偶然或恶意的破坏、篡改和泄露，保证网络系统的正常运行、网络服务不中断51.1.1网络安全定义及相关术语网络安全5网络安全的属性可用性机密性完整性可靠性不可抵赖1.1.1网络安全定义及相关术语6网络安全的属性1.1.1网络安全定义及相关术语61.1.2主要的网络安全威胁网络安全威胁定义及分类（１）对信息通信的威胁

（2）对信息存储的威胁（3）对信息处理的威胁71.1.2主要的网络安全威胁网络安全威胁定义及分类（１）主要的网络安全威胁图1-1

通信过程中的四种攻击方式8主要的网络安全威胁图1-1通信过程中的四种攻击方式8网络安全威胁的主要表现形式9网络安全威胁的主要表现形式9构成威胁的因素（1）环境和灾害因素易受环境和灾害的影响。温度、湿度、供电、火灾、水灾、地震、静电、灰尘、雷电、强电磁场、电磁脉冲等，均会破坏数据和影响信息系统的正常工作。10构成威胁的因素（1）环境和灾害因素10构成威胁的因素（2）人为因素在网络安全问题中，人为的因素是不可忽视的。多数的安全事件是由于人员的疏忽、恶意程序、黑客的主动攻击造成的。人为因素对网络安全的危害性更大，也更难于防御。人为因素可分为有意和无意11构成威胁的因素（2）人为因素11（3）系统自身因素计算机硬件系统的故障软件组件网络和通信协议……12（3）系统自身因素121.1.3网络安全策略1．物理安全策略硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听攻击；确保网络设备有一个良好的电磁兼容工作环境；建立完备的机房安全管理制度，妥善保管备份磁带和文档资料；防止非法人员进入机房进行偷窃和破坏活动。131.1.3网络安全策略1．物理安全策略131.1.3网络安全策略2．访问控制策略（1）入网访问控制（2）网络的权限控制（3）目录级安全控制（4）属性安全控制（5）网络服务器安全控制（6）网络监测和锁定控制（7）网络端口和节点的安全控制（8）防火墙控制141.1.3网络安全策略2．访问控制策略141.1.3网络安全策略3．信息加密策略在对称密码中，加密和解密使用相同的密钥。比较著名的对称密码算法有：美国的DES及其各种变形、欧洲的IDEA、RC4、RC5非对称密码算法中，加密和解密使用的密钥互不相同，而且很难从加密密钥推导出解密密钥。比较著名的公钥密码算法有：RSA、Diffe-Hellman、LUC、Rabin151.1.3网络安全策略3．信息加密策略151.1.3网络安全策略4．安全管理策略确定安全管理等级和安全管理范围；制订有关网络操作使用规程和人员出入机房管理制度；制定网络系统的维护制度和应急措施等

161.1.3网络安全策略4．安全管理策略161.1.4网络安全模型1.P2DR安全模型Policy——策略Protection——保护Detection——检测Response——响应171.1.4网络安全模型1.P2DR安全模型171.1.4网络安全模型P2DR模型的基本思想

在一个统一的安全策略（Policy）的控制和指导下，综合运用各种安全技术（如防火墙、操作系统身份认证、加密等手段）对系统进行保护，同时利用检测工具（如漏洞评估、入侵检测等系统）来监视和评估系统的安全状态，并通过适当的响应机制来将系统调整到相对“最安全”和“风险最低”的状态。181.1.4网络安全模型P2DR模型的基本思想181.1.4网络安全模型P2DR的应用实例：1997年，美国互联网安全系统有限公司（InternetSecuritySystems，简称ISS）推出了可适应性网络安全解决方案——SAFESuite套件系列。SAFEsuite包括三个部分：1.风险评估（RiskAssement），2.入侵探测（IntrusionDetection），3.安全管理（SecurityManagent）。包括Internet扫描器（InternetScanner）、系统扫描器（SystemScanner）、数据库扫描器（DBSScanner）、实时监控（RealSecure）和SAFESuite套件决策软件（SAFESuiteDecisions）。191.1.4网络安全模型P2DR的应用实例：191.1.4网络安全模型2．PDRR安全模型是美国国防部提出的“信息安全保护体系”中的重要内容，概括了网络安全的整个环节。Protection（防护）、Detection（检测）、Response（响应）、Recovery（恢复）。201.1.4网络安全模型2．PDRR安全模型201.1.4网络安全模型PDRR在网络安全模型中引入了时间的概念Pt--系统受保护的时间Dt--系统检测到攻击所需的时间Rt--系统对攻击进行响应所需要的时间若Pt>Rt+Dt，则系统是安全的211.1.4网络安全模型PDRR在网络安全模型中引入了时间的1.2网络体系结构及各层的安全性1.2.1网络结构1.2.2OSI-RM及所提供的安全服务1.2.3TCP/IP参考模型221.2网络体系结构及各层的安全性1.2.1网络结构21.2.1网络结构1．网络的层次结构层次结构的好处:每一层实现一种相对独立的功能每一层向上一层提供服务接受下一层提供的服务。231.2.1网络结构1．网络的层次结构层次结构的好处:231.2.2OSI-RM及所提供的安全服务1．OSI-RM的层次结构241.2.2OSI-RM及所提供的安全服务1．OSI-RM1.2.2OSI-RM及所提供的安全服务OSI协议有三个主要的概念服务、接口和协议。服务定义了某一层应该做什么接口则告诉处于上一层的进程如何访问该层协议则定义实体间数据通信的规则。251.2.2OSI-RM及所提供的安全服务OSI协议有三个1.2.2OSI-RM及所提供的安全服务2．OSI-RM的数据格式261.2.2OSI-RM及所提供的安全服务2．OSI-RM3．OSI模型的安全服务认证服务访问控制数据机密性服务数据完整性服务不可否认服务。273．OSI模型的安全服务271.2.3TCP/IP参考模型1．TCP/IP参考模型的层次结构

TCP/IP网络的层次结构及信息格式281.2.3TCP/IP参考模型1．TCP/IP参考模型的层1.2.3TCP/IP参考模型TCP/IP模型各层包括的主要协议及其与OSI层次模型的对应关系291.2.3TCP/IP参考模型TCP/IP模型各层包括的主1.2.3TCP/IP参考模型2．TCP/IP模型各层的功能应用层：是面向用户的各种应用软件，是用户访问网络的界面。传输层：实现源主机和目的主机上的实体之间的通信。网络层：负责数据包的路由选择功能网络接口层：负责接收IP数据包并通过网络传输介质发送数据包。

301.2.3TCP/IP参考模型2．TCP/IP模型各层的功1.2.3TCP/IP参考模型3.TCP/IP的安全体系(1)链路层安全(2)网络层安全(3)传输层保护的网络(4)应用层安全性311.2.3TCP/IP参考模型3.TCP/IP的安全体系1.3网络安全现状1.3.1网络安全现状1.3.2研究网络安全的意义321.3网络安全现状1.3.1网络安全现状321.3.1网络安全现状历年网络入侵及病毒数量比较

331.3.1网络安全现状历年网络入侵及病毒数量比较331.3.1网络安全现状年份事件报道数目年份事件报道数目19886199524121989132199625731990252199721341991406199837341992773199998591993133420002175619942340200152658CERT有关安全事件的统计

341.3.1网络安全现状年份事件报道数目年份事件报道数目11.3.2研究网络安全的意义1.网络安全与政治、军事2．网络安全与经济3．网络安全与社会稳定351.3.2研究网络安全的意义1.网络安全与政治、军事31.4网络安全保障体系及相关立法1.4.1美国政府信息系统的安全防护体系1.4.2中国网络安全保障体系361.4网络安全保障体系及相关立法361.4.1美国政府信息系统的安全防护体系1．信息安全机构的设置情况商务部属下的国家标准与技术局主要负责非保密信息系统的信息安全工作国防部属下的国家安全局主要负责保密信息系统）的信息安全工作计算机应急处理小组协调中心

371.4.1美国政府信息系统的安全防护体系1．信息安全机构1.4.1美国政府信息系统的安全防护体系2．信息安全防护政策《联邦政府信息资源管理OMBA一130号通告》1985《计算机安全法案》1987《保卫美国的计算机空间——保护信息的国家计划Vl.0》2001《联邦信息安全管理法案》2002381.4.1美国政府信息系统的安全防护体系2．信息安全防护1.4.1美国政府信息系统的安全防护体系3．信息安全技术标准《可信计算机安全评价标准》，即著名的“桔皮书”1985《可信网络解释》《计算机安全系统解释》《可信数据库解释》美国计算机系统安全评价标准系列——彩虹系列

391.4.1美国政府信息系统的安全防护体系3．信息安全技术《可信计算机安全评价标准》为计算机信息系统的安全定义了7个安全级别，从最高的A级到最低的D级。A级提供核查保护，只适用于军用计算机B级为强制保护，采用TCB可信计算基准方法B级系统必须在主要数据结构和对象中带有敏感性标签，B1表示被标签的安全性，B2表示结构化保护B3表示安全领域；C级为酌情保护，C1表示酌情安全保护、C2表示访问控制保护；D级为最纸级别。40《可信计算机安全评价标准》为计算机信息系统的安全定义了7个安1.4.1美国政府信息系统的安全防护体系4．信息安全防护技术措施“政府专用网”（GOVNET）研究计划-2003建立独立的政府内部网络将是“在技术层面加强美国国家安全最核心的战略选择之一”

--------美国本土安全防御办公室主任汤姆•里奇

411.4.1美国政府信息系统的安全防护体系4．信息安全防护1.4.2中国网络安全保障体系1．中国信息安全等级保护《计算机信息系统安全保护等级划分准则》GB17859-1999第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。421.4.2中国网络安全保障体系1．中国信息安全等级保护41.4.2中国网络安全保障体系安全等级保护制度五个关键环节：法律规范管理与技术规范实施过程控制结果控制监督管理431.4.2中国网络安全保障体系安全等级保护制度五个关键环1.4.2中国网络安全保障体系PDR模型第一，防范与保护：对于大网络系统可引入安全域和边界的概念，即大域和子域。第二，监控与检查：包括对系统的安全等级保护状况的监控和检查，对服务器、路由器、防火墙等网络部件、系统安全运行状态、信息（包括有害信息和数据）的监控和检查。第三，响应与处置：事件发现、响应、处置、应急恢复441.4.2中国网络安全保障体系PDR模型441.4.2中国网络安全保障体系2．中国的网络安全立法情况：计算机犯罪主要包括以下几个方面：“黑客”非法侵入，破坏计算机信息系统；网上制作、复制、传播和查阅有害信息；利用计算机实施金融诈骗盗窃、贪污、挪用公款；非法盗用、使用计算机资源；五是利用互联网进行恐吓、敲诈等其它犯罪。451.4.2中国网络安全保障体系2．中国的网络安全立法情况1.4.2中国网络安全保障体系1991年《计算机软件保护条例》1998年《软件知识管理办法》1997年《计算机信息网络国际联网安全保护办法》1997年新《刑法》首次界定了计算机犯罪1998年《金融机构计算机信息系统安全保护工作暂行规定》1999年《商用密码管理条例》2000年《互联网信息服务管理办法》2000年《我国人大常委会关于网络安全和信息安全的决定》461.4.2中国网络安全保障体系46

普通高等教育“十一五”国家级规划教材网络安全与管理（第二版）戚文静主编ISBN978-7-5084-5495-5中国水利水电出版社47

1

网络安全与管理第1章网络安全概述48网络安全与管理第1章网络安全概述2学习目标理解网络安全的基本概念和术语了解目前主要的网络安全问题和安全威胁理解基本的网络安全模型及功能了解网络和信息安全的重要性了解国内外的信息安全保障体系49学习目标理解网络安全的基本概念和术语31.1网络安全的基本概念1.1.1网络安全定义及相关术语1.1.2主要的网络安全威胁1.1.3网络安全策略1.1.4网络安全模型501.1网络安全的基本概念1.1.1网络安全定义及相关术1.1.1网络安全定义及相关术语网络安全广义上：用户角度：网络管理员角度：教育和社会意识形态：网络安全是指保护网络系统中的软件、硬件及信息资源，使之免受偶然或恶意的破坏、篡改和泄露，保证网络系统的正常运行、网络服务不中断511.1.1网络安全定义及相关术语网络安全5网络安全的属性可用性机密性完整性可靠性不可抵赖1.1.1网络安全定义及相关术语52网络安全的属性1.1.1网络安全定义及相关术语61.1.2主要的网络安全威胁网络安全威胁定义及分类（１）对信息通信的威胁

（2）对信息存储的威胁（3）对信息处理的威胁531.1.2主要的网络安全威胁网络安全威胁定义及分类（１）主要的网络安全威胁图1-1

通信过程中的四种攻击方式54主要的网络安全威胁图1-1通信过程中的四种攻击方式8网络安全威胁的主要表现形式55网络安全威胁的主要表现形式9构成威胁的因素（1）环境和灾害因素易受环境和灾害的影响。温度、湿度、供电、火灾、水灾、地震、静电、灰尘、雷电、强电磁场、电磁脉冲等，均会破坏数据和影响信息系统的正常工作。56构成威胁的因素（1）环境和灾害因素10构成威胁的因素（2）人为因素在网络安全问题中，人为的因素是不可忽视的。多数的安全事件是由于人员的疏忽、恶意程序、黑客的主动攻击造成的。人为因素对网络安全的危害性更大，也更难于防御。人为因素可分为有意和无意57构成威胁的因素（2）人为因素11（3）系统自身因素计算机硬件系统的故障软件组件网络和通信协议……58（3）系统自身因素121.1.3网络安全策略1．物理安全策略硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听攻击；确保网络设备有一个良好的电磁兼容工作环境；建立完备的机房安全管理制度，妥善保管备份磁带和文档资料；防止非法人员进入机房进行偷窃和破坏活动。591.1.3网络安全策略1．物理安全策略131.1.3网络安全策略2．访问控制策略（1）入网访问控制（2）网络的权限控制（3）目录级安全控制（4）属性安全控制（5）网络服务器安全控制（6）网络监测和锁定控制（7）网络端口和节点的安全控制（8）防火墙控制601.1.3网络安全策略2．访问控制策略141.1.3网络安全策略3．信息加密策略在对称密码中，加密和解密使用相同的密钥。比较著名的对称密码算法有：美国的DES及其各种变形、欧洲的IDEA、RC4、RC5非对称密码算法中，加密和解密使用的密钥互不相同，而且很难从加密密钥推导出解密密钥。比较著名的公钥密码算法有：RSA、Diffe-Hellman、LUC、Rabin611.1.3网络安全策略3．信息加密策略151.1.3网络安全策略4．安全管理策略确定安全管理等级和安全管理范围；制订有关网络操作使用规程和人员出入机房管理制度；制定网络系统的维护制度和应急措施等

621.1.3网络安全策略4．安全管理策略161.1.4网络安全模型1.P2DR安全模型Policy——策略Protection——保护Detection——检测Response——响应631.1.4网络安全模型1.P2DR安全模型171.1.4网络安全模型P2DR模型的基本思想

在一个统一的安全策略（Policy）的控制和指导下，综合运用各种安全技术（如防火墙、操作系统身份认证、加密等手段）对系统进行保护，同时利用检测工具（如漏洞评估、入侵检测等系统）来监视和评估系统的安全状态，并通过适当的响应机制来将系统调整到相对“最安全”和“风险最低”的状态。641.1.4网络安全模型P2DR模型的基本思想181.1.4网络安全模型P2DR的应用实例：1997年，美国互联网安全系统有限公司（InternetSecuritySystems，简称ISS）推出了可适应性网络安全解决方案——SAFESuite套件系列。SAFEsuite包括三个部分：1.风险评估（RiskAssement），2.入侵探测（IntrusionDetection），3.安全管理（SecurityManagent）。包括Internet扫描器（InternetScanner）、系统扫描器（SystemScanner）、数据库扫描器（DBSScanner）、实时监控（RealSecure）和SAFESuite套件决策软件（SAFESuiteDecisions）。651.1.4网络安全模型P2DR的应用实例：191.1.4网络安全模型2．PDRR安全模型是美国国防部提出的“信息安全保护体系”中的重要内容，概括了网络安全的整个环节。Protection（防护）、Detection（检测）、Response（响应）、Recovery（恢复）。661.1.4网络安全模型2．PDRR安全模型201.1.4网络安全模型PDRR在网络安全模型中引入了时间的概念Pt--系统受保护的时间Dt--系统检测到攻击所需的时间Rt--系统对攻击进行响应所需要的时间若Pt>Rt+Dt，则系统是安全的671.1.4网络安全模型PDRR在网络安全模型中引入了时间的1.2网络体系结构及各层的安全性1.2.1网络结构1.2.2OSI-RM及所提供的安全服务1.2.3TCP/IP参考模型681.2网络体系结构及各层的安全性1.2.1网络结构21.2.1网络结构1．网络的层次结构层次结构的好处:每一层实现一种相对独立的功能每一层向上一层提供服务接受下一层提供的服务。691.2.1网络结构1．网络的层次结构层次结构的好处:231.2.2OSI-RM及所提供的安全服务1．OSI-RM的层次结构701.2.2OSI-RM及所提供的安全服务1．OSI-RM1.2.2OSI-RM及所提供的安全服务OSI协议有三个主要的概念服务、接口和协议。服务定义了某一层应该做什么接口则告诉处于上一层的进程如何访问该层协议则定义实体间数据通信的规则。711.2.2OSI-RM及所提供的安全服务OSI协议有三个1.2.2OSI-RM及所提供的安全服务2．OSI-RM的数据格式721.2.2OSI-RM及所提供的安全服务2．OSI-RM3．OSI模型的安全服务认证服务访问控制数据机密性服务数据完整性服务不可否认服务。733．OSI模型的安全服务271.2.3TCP/IP参考模型1．TCP/IP参考模型的层次结构

TCP/IP网络的层次结构及信息格式741.2.3TCP/IP参考模型1．TCP/IP参考模型的层1.2.3TCP/IP参考模型TCP/IP模型各层包括的主要协议及其与OSI层次模型的对应关系751.2.3TCP/IP参考模型TCP/IP模型各层包括的主1.2.3TCP/IP参考模型2．TCP/IP模型各层的功能应用层：是面向用户的各种应用软件，是用户访问网络的界面。传输层：实现源主机和目的主机上的实体之间的通信。网络层：负责数据包的路由选择功能网络接口层：负责接收IP数据包并通过网络传输介质发送数据包。

761.2.3TCP/IP参考模型2．TCP/IP模型各层的功1.2.3TCP/IP参考模型3.TCP/IP的安全体系(1)链路层安全(2)网络层安全(3)传输层保护的网络(4)应用层安全性771.2.3TCP/IP参考模型3.TCP/IP的安全体系1.3网络安全现状1.3.1网络安全现状1.3.2研究网络安全的意义781.3网络安全现状1.3.1网络安全现状321.3.1网络安全现状历年网络入侵及病毒数量比较

791.3.1网络安全现状历年网络入侵及病毒数量比较331.3.1网络安全现状年份事件报道数目年份事件报道数目19886199524121989132199625731990252199721341991406199837341992773199998591993133420002175619942340200152658CERT有关安全事件的统计

801.3.1网络安全现状年份事件报道数目年份事件报道数目11.3.2研究网络安全的意义1.网络安全与政治、军事2．网络安全与经济3．网络安全与社会稳定811.3.2研究网络安全的意义1.网络安全与政治、军事31.4网络安全保障体系及相关立法1.4.1美国政府信息系统的安全防护体系1.4.2中国网络安全保障体系821.4网络安全保障体系及相关立法361.4.1美国政府信息系统的安全防护体系1．信息安全机构的设置情况商务部属下的国家标准与技术局主要负责非保密信息系统的信息安全工作国防部属下的国家安全局主要负责保密信息系统）的信息安全工作计算机应急处理小组协调中心

831.4.1美国政府信息系统的安全防护体系1．信息安全机构1.4.1美国政府信息系统的安全防护体系2．信息安全防护政策《联邦政府信息资源管理OMBA一130号通告》1985《计算机安全法案》1987《保卫美国的计算机空间——保护信息的国家计划Vl.0》2001《联邦信息安全管理法案》2002841.4.1美国政府信息系统的安全防护体系2．信息安全防护1.4.1美国政府信息系统的安全防护体系3．信息安全技术标准《可信计算机安全评价标准》，即著名的“桔皮书”1985《可信网络解释》《计算机安全系统解释》《可信数据库解释》美国计算机系统安全评价标准系列——彩虹系列

851.4.1美国政府信息系统的安全防护体系3．信息安全技术《可信计算机安全评价标准》为计算机信息系统的安全定义了7个安全级别，从最高的A级到最低的D级。A级提供核查保护，只适用于军用计算机B级为强制保护，采用TCB可信计算基准方法B级系统必须在主要数据结构和对象中带有敏感性标签，