网络管理与网络安全 课件

计算机网络技术第八章网络安全计算机网络技术第八章网络安全第2

页本章主要内容网络系统管理的概念和基本功能；网络安全的基本概念，影响网络安全的因素和网络安全对策，数据加密的基本概念、常用的加密算法和鉴别技术的应用，网络防火墙的概念、技术分类和应用。第2页本章主要内容网络系统管理的概念和基本功能；网络安2第3

页本章要求了解简单网络管理协议的组成及应用了解影响网络安全的因素和网络安全对策了解数据加密的基本概念、常用的加密方法和鉴别技术的应用了解网络防火墙的概念、技术和应用掌握网络管理的基本功能、网络安全的基本概念和内涵第3页本章要求了解简单网络管理协议的组成及应用3第4

页8.1网络管理概述网络管理的概念网络管理主要是要保障网络系统能够持续、稳定、高效和可靠的运行，对组成网络的各种网络的软硬件设施和人员进行综合的管理。网络管理的内容：

(1)数据通信网中的流量控制(2)路由选择策略管理（适应不断变化的网络）(3)网络安全保护(4)网络的故障诊断与修复第4页8.1网络管理概述网络管理的概念4第5

页网络管理系统组成一个网管系统从逻辑上包括管理进程、管理代理、管理信息库和管理协议四部分。管理对象：是指网络中设备对应的具体可以操作的数据等。管理进程：用于对网络设备和设施进行全面管理和控制的软件。管理信息库：用于记录网络中被管理对象的相关信息。管理协议：负责在管理系统和管理对象之间传输操作命令和解释管理操作命令。第5页网络管理系统组成一个网管系统从逻辑上包括管理进程5第6

页网络管理功能网络管理的能功分为配置管理、性能管理、故障管理、安全管理和计费管理五个功能集合。配置管理就是用来定义、记录、控制和检测网络中的被管理对象的集合。网络故障管理是指对网络系统故障的预防、检测(诊断)、恢复或排除等操作进行管理。第6页网络管理功能网络管理的能功分为配置管理、性能管理6第7

页网络管理功能性能管理主要是通过收集、分析和测试网络性能参数，评价网络运行过程中的主要性能指标，为管理机构提供决策依据。网络安全管理是用来保护网络资源和网络用户的安全。网络计费管理就是控制和管理用户使用的网络资源，核算用户费用等。第7页网络管理功能性能管理主要是通过收集、分析和测试网7第8

页8.2网络安全网络安全概述网络安全是指采取各种技术和管理措施防止网络中各种资源不被有意或无意地破坏和侵害等。网络系统安全主要涉及系统的可靠性、软件和数据的完整性、可用性和保密性几方面的问题。第8页8.2网络安全网络安全概述8第9

页网络系统安全系统的可靠性：保证网络系统不因各种因素的影响而中断正常工作；数据的完整性：保护网络系统中存储和传输的软件(程序)与数据不被非法操作，如删除、添加、更改等；数据的可用性：保证数据完整的同时还能被正常利用和操作；数据的保密性：数据的保密性主要是利用密码技术对数据进行加密处理，保证在系统中存储和网络上传输的数据不被无关人员识别。第9页网络系统安全系统的可靠性：保证网络系统不因各种因9第10

页网络面临的不安全因素网络系统的脆弱性操作系统的脆弱电磁泄漏数据的可访问性通信协议和通信系统的脆弱数据库系统的脆弱网络存储介质的脆弱第10页网络面临的不安全因素网络系统的脆弱性10第11

页网络面临的不安全因素网络系统的威胁无意威胁是在无预谋的情况下破坏了系统的安全性、可靠性或资源的完整性等故意威胁实际上就是“人为攻击”。如从事工业、商业或军事情报的搜集工作的间谍，对相应领域的网络信息是最感兴趣的，他们对网络系统的安全构成了主要威胁。第11页网络面临的不安全因素网络系统的威胁11第12

页被动攻击和主动攻击对网络系统的攻击，可从随便浏览信息到使用特殊技术对系统进行攻击以得到有针对性的信息。这些攻击又可分为被动攻击和主动攻击。被动攻击（窃听）是指攻击者只通过观察网络线路上的信息，而不干扰信息的正常流动，如被动地搭线窃听或非授权地阅读信息；主动攻击（篡改）是指攻击者对传输中的信息或存储的信息进行各种非法处理，如有选择地更改、插入、延迟、删除或复制信息。关键是看对信息有无篡改第12页被动攻击和主动攻击对网络系统的攻击，可从随便浏12第13

页被动攻击和主动攻击（图示）发送方接收方攻击者(a)被动攻击发送方接收方攻击者(b)主动攻击第13页被动攻击和主动攻击（图示）发送方接收方攻击者(13第14

页对系统的故意威胁中断（主动攻击）：指系统资源遭到破坏或变得无法使用，是对系统可靠性的攻击；窃取（被动攻击）：指未被授权的实体得到了资源的访问权，是对数据保密性的攻击；修改（主动攻击）:指未被授权的实体不仅得到了资源的访问权，而且还篡改了资源，是对数据完整性的攻击；捏造（主动攻击）:指未被授权的实体向系统中插入伪造的对象，是对数据真实性的攻击。以上四种情况除窃取属被动攻击外，其余都是主动攻击类型。第14页对系统的故意威胁中断（主动攻击）：指系统资源遭14第15

页计算机病毒计算机病毒是一种能破坏计算机系统资源的特殊计算机程序。它可在系统中生存、繁殖和传播。计算机病毒具有隐蔽性、传播性、潜伏性、触发性和破坏性。它一旦发作，轻者会影响系统的工作效率，占用系统资源，重者会毁坏系统的重要信息，甚至使整个网络系统陷于瘫痪。第15页计算机病毒计算机病毒是一种能破坏计算机系统资源15第16

页一些经典的计算机病毒黑色星期五（4.25）小球病毒（我国.1988年）CIH（1998年,第一个破坏硬件的病毒）尼姆达病毒（2001年）求职信病毒（2001年10月）冲击波病毒（2003）振荡波病毒（2004）熊猫烧香（2006）第16页一些经典的计算机病毒黑色星期五16第17

页网络安全策略和措施安全策略模型一个常用的网络安全策略模型是PDRR模型，。PDRR是四个英文单词的字头：Protection(防护)Detection(检测)Response(响应)Recovery(恢复)。

第17页网络安全策略和措施安全策略模型17第18

页防护安全策略的第一关就是防护。防护就是根据系统已知的可能安全问题采取一些预防措施，如打补丁、访问控制、数据加密等，不让攻击者顺利入侵。防护是PDRR模型中最重要的部分。防护可以预防大多数的入侵事件。防护可分为三类：系统安全防护、网络安全防护和信息安全防护。第18页防护安全策略的第一关就是防护。防护就是根据系统18第19

页检测安全策略的第二关是检测。攻击者如果穿过防护系统，检测系统就会检测出来。防护系统可以阻止大多数的入侵事件，但不能阻止所有的入侵事件。特别是那些利用新的系统缺陷、新攻击手段的入侵。如果入侵事件发生，就启动检测系统进行检测。该系统叫IDS(入侵检测系统)。第19页检测安全策略的第二关是检测。攻击者如果穿过防护19第20

页响应一旦检测出入侵，响应系统则开始响应，进行事件处理。响应工作由特殊部门(计算机紧急响应小组)负责。恢复系统恢复是指事件发生后，把系统恢复到原来状态或比原来更安全的状态。恢复也分为系统恢复和信息恢复两方面内容。系统恢复是指修补缺陷和消除后门。信息恢复是指恢复丢失的数据。第20页响应20第21

页网络安全策略安全立法安全管理网络实体安全系统访问控制数据加密保护第21页网络安全策略安全立法21第22

页网络安全机制和安全服务文件中规定网络安全机制有八项：加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、信息量填充机制、路由控制机制公证机制。第22页网络安全机制和安全服务文件中规定网络安全机制有22第23

页网络安全机制和安全服务文件中规定的网络安全服务有六项：对等实体鉴别服务、访问控制服务、数据保密性服务、数据完整性服务、数据源鉴别服务非否认服务。第23页网络安全机制和安全服务文件中规定的网络安全服务23第24

页8.2.2数据加密技术密码学的基本概念密码学从其发展来看，可分为两大阶段：传统密码学和计算机密码学。第一阶段：传统密码学。主要是靠人工进行信息加密、传输和破译第二阶段：计算机密码学。1.传统方式计算机密码学2.现代方式计算机密码学对称密钥密码体制公开密钥密码体制第24页8.2.2数据加密技术密码学的基本概念24第25

页密码学的分类密码学包括密码编码学和密码分析学两部分，这两部分相互对立，但也相互促进，相辅相成。密码编码学研究的是通过编码技术来改变被保护信息的形式，使得编码后的信息除指定接收者之外的其他人都不可理解密码分析学研究的是如何攻破一个密码系统，恢复被隐藏起来的信息的本来面目第25页密码学的分类密码学包括密码编码学和密码分析学两25第26

页概念加密：把信息从一个可理解的明文形式变换成一个错乱的、不可理解的密文形式的过程解密：将密文还原为明文的过程明文(PlainText)：原来的信息(报文)、消息，就是网络中所说的报文(Message)密文(CipherText)：经过加密后得到的信息密钥(Key)：加密时所使用的参数第26页概念加密：把信息从一个可理解的明文形式变换成26第27

页简单的密码系统示意图明文P解密密钥Kd解密(D)加密密钥Ke加密(E)明文P密文C攻击者第27页简单的密码系统示意图明文P解密密钥Kd解密(27第28

页加密实际上是要完成某种函数运算C=ƒ(P,K)，对于一个确定的加密密钥Ke，加密过程可看作是只有一个自变量的函数，记作Ek，加密变换为：

C=Ek(P)

(加密变换作用于明文P后得到密文C)同样，解密也完成某种函数的运算P=g(C,K)对于确定的解密密钥Kd，解密过程为：

P=Dk(C)(解密变换作用于密文C后得到明文P)第28页加密实际上是要完成某种函数运算C=ƒ(P,K28第29

页传统密钥密码体制和公开密钥密码体制如果加密密钥和解密密钥相同或相近，由其中一个很容易地得出另一个，这样的系统称为对称密钥系统，加密和解密密钥都是保密的；如果加密密钥与解密密钥不同，且由其中一个不容易得到另一个，则这种密码系统是非对称密钥系统，往往其中一个密钥是公开的，另一个是保密的。第29页传统密钥密码体制和公开密钥密码体制如果加密密钥29第30

页通信加密方式链路加密链路加密(LinkEncryption)是传输数据仅在相邻节点的数据链路层上进行加密。端--端加密端--端加密(End-to-EndEncryption)是传输数据在应用层上完成加密的。与链路加密相比，端—端加密具有成本低、保密性强、灵活性好等优点，应用场合较多。第30页通信加密方式链路加密30第31

页鉴别技术鉴别(Authentication也叫验证)是防止主动攻击的重要技术。鉴别的目的就是验证一个用户身份的合法性和用户间传输信息的完整性与真实性。鉴别包括报文鉴别和身份验证。报文鉴别是为了确保数据的完整性和真实性，对报文的来源、时间性及目的地进行验证。身份验证是验证进入网络系统者是否是合法用户，以防非法用户访问系统。第31页鉴别技术鉴别(Authentication也31第32

页数字签名数字签名(DigitalSignature)可解决手写签名中的签字人否认签字或其他人伪造签字等问题。因此，被广泛用于银行的信用卡系统、电子商务系统、电子邮件以及其他需要验证、核对信息真伪的系统中。数字签名的功能：收方能够确认发方的签名，但不能伪造；发方发出签过名的信息后，不能再否认；收方对收到的签名信息也不能否认；一旦收发方出现争执，仲裁者可有充足的证据进行评判。第32页数字签名数字签名(DigitalSignat32第33

页一个典型的由公开密钥密码体制实现的、带有加密功能的数字签名过程如下图KBd加密(E)KBe解密(D)C信道签名验证KAdKAeABMSSM第33页一个典型的由公开密钥密码体制实现的、带有加密功33第34

页8.2.3防火墙防火墙(Firewall)是在两个网络之间执行访问控制策略的一个或一组安全系统。它是一种计算机硬件和软件系统的集合，是实现网络安全策略的有效工具之一，被广泛地应用到Internet与Intranet之间。第34页8.2.3防火墙防火墙(Firewall)是34第35

页防火墙的位置内部网外部网LAN1服务器Web服务器千兆网交换机网管工作站Internet数据库服务器邮件服务器集线器防火墙LAN2第35页防火墙的位置内部网外部网LAN1服务器Web35第36

页防火墙具有的功能强化网络安全策略，集中化的网络安全管理；记录和统计网络访问活动；限制暴露用户点，控制对特殊站点的访问；网络安全策略检查。第36页防火墙具有的功能强化网络安全策略，集中化的网络36第37

页防火墙技术及分类防火墙技术大体上分为两类：网络层防火墙技术（包过滤防火墙）和应用层防火墙技术（代理服务器滤防火墙）。包过滤是在网络的出口(如路由器上)对通过的数据包进行检测，只有满足条件的数据包才允许通过，否则被抛弃。这样可以有效地防止恶意用户利用不安全的服务对内部网进行攻击。代理服务位于内部用户和外部服务之间。代理程序在幕后处理所有用户和Internet服务之间的通信以代替相互间的直接交谈。第37页防火墙技术及分类防火墙技术大体上分为两类：网37第38

页防火墙应用系统一般，构成防火墙的体系结构有三种：双穴主机结构、主机过滤结构和子网过滤结构。按照这三种体系结构构建的防火墙应用系统是双穴主机防火墙、主机过滤防火墙和子网过滤防火墙。第38页防火墙应用系统一般，构成防火墙的体系结构有三种38第39

页双穴主机防火墙双穴(接口)主机分别与受保护的内部子网及Internet网络连接，起着监视和隔离应用层信息流的作用，彻底隔离了所有的内部主机与外部主机的可能连接。双穴主机可与内部网系统通信，也可与外部网系统通信。借助于双穴主机，防火墙内外两网的计算机便可(间接)通信了。即内外网的主机不能直接交换信息，信息交换要由该双穴主机“代理”并“服务”，因此该主机也相当于代理服务器。第39页双穴主机防火墙双穴(接口)主机分别与受保护的内39第40

页双穴主机结构防火墙（图示）客户机客户机服务器内部网络

客户机Internet双穴主机防火墙第40页双穴主机结构防火墙（图示）客户机客户机服务器内40第41

页主机过滤防火墙主机过滤结构中提供安全保障的主机在内部网中，加上一台单独的过滤路由器，一起构成该结构的防火墙。堡垒主机是Internet主机连接内部网系统的桥梁。任何外部系统试图访问内部网系统或服务，都必须连接到该主机上。因此该主机需要高级别安全。第41页主机过滤防火墙主机过滤结构中提供安全保障的主41第42

页主机过滤防火墙（图示）堡垒主机内部网络Internet路由器防火墙客户机客户机服务器第42页主机过滤防火墙（图示）堡垒主机内部网络42第43

页子网过滤防火墙子网过滤结构是在主机过滤体系结构中又增加了一个额外的安全层次而构成。增加的安全层次包括一台堡垒主机和一台路由器。两路由起之间是一个被称为周边网络或参数网络的安全子网，更进一步地把内部网络与Internet隔离开。堡垒主机通过内部、外部两个路由器与内部、外部网络隔开，这样可减少堡垒主机被侵袭的影响。被保护的内部子网主机置于内部包过滤路由器内，堡垒主机被置于内部和外部包过滤路由器之间。第43页子网过滤防火墙子网过滤结构是在主机过滤体系结构43第44

页在内、外部两个路由器上都设置了包过滤规则，两者的包过滤规则基本上相同。内部路由器完成防火墙的大部分包过滤工作，它的主要功能就是保护内部网免受来自外部网与周边网络的侵扰。外部路由器既可保护参数网络又保护内部网。实际上，在外部路由器上仅做一小部分包过滤。第44页在内、外部两个路由器上都设置了包过滤规则，两者448.2.5黑客攻击及防范黑客：黑客最早源自英文hacker，早期在美国的电脑界是带有褒义的。但在媒体报导中，黑客一词往往指那些“软件骇客”(softwarecracker)。黑客一词，原指热心于计算机技术，水平高超的电脑专家，尤其是程序设计人员。但今天黑客一词已被用于泛指那些专门利用电脑网络搞破坏或恶作剧的家伙。对这些人的正确英文叫法是Cracker，有人翻译成“骇客”。第45

页8.2.5黑客攻击及防范黑客：黑客最早源自英文hacker45黑客攻击的动机贪心－偷窃或者敲诈恶作剧–无聊的计算机程序员名声–显露出计算机经验与才智，以便证明他们的能力和获得名气报复/宿怨–解雇、受批评或者被降级的雇员，或者其他任何认为其被不公平地对待的人无知/好奇–失误和破坏了信息还不知道破坏了什么黑客道德-这是许多构成黑客人物的动机仇恨-国家和民族原因间谍－政治和军事目的谍报工作商业－商业竞争，商业间谍第46

页黑客攻击的动机贪心－偷窃或者敲诈第46页46黑客入侵攻击的一般过程

1.

确定攻击的目标。2.

收集被攻击对象的有关信息。3.

利用适当的工具进行扫描。4.

建立模拟环境，进行模拟攻击。5.

实施攻击。6.清除痕迹。第47

页黑客入侵攻击的一般过程1.

确定攻击的目标。47DDoSDoS（拒绝服务式攻击）的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使服务器无法处理合法用户的指令。单一的DoS攻击一般是采用一对一方式的，当被攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高,它的效果是明显的。DDoS（分布式的拒绝服务）攻击手段就应运而生了。理解了DoS攻击的话，它的原理就很简单。如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者使用10台攻击机同时攻击呢？用100台呢？DDoS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。第48

页DDoSDoS（拒绝服务式攻击）的攻击方式有很多种，最基本的48木马（Trojanhorse）木马是一种基于远程控制的黑客工具隐蔽性潜伏性危害性非授权性第49

页木马（Trojanhorse）木马是一种基于远程控制的黑客49木马与病毒、远程控制的区别病毒程序是以自发性的败坏为目的木马程序是依照黑客的命令来运作，主要目的是偷取文件、机密数据、个人隐私等行为。木马和一般的远程控制软件的区别在于其隐蔽、非授权性。第50

页木马与病毒、远程控制的区别病毒程序是以自发性的败坏为目的第50木马的工作原理实际就是一个C/S模式的程序（里应外合）操作系统被植入木马的PC（server程序）TCP/IP协议端口控制木马的PC（client程序）操作系统TCP/IP协议端口控制端端口处于监听状态木马的工作原理实际就是一个C/S模式的程序（里应外合）操作系51木马的分类1.远程访问型2.键盘记录型3.密码发送型4.破坏型5.代理型6.FTP型第52

页木马的分类1.远程访问型第52页52木马实施攻击的步骤1.配置木马木马伪装：信息反馈：2.传播木马3.启动木马4.建立连接5.远程控制第53

页木马实施攻击的步骤1.配置木马第53页53木马的启动方式

win.inisystem.ini启动组注册表捆绑方式启动伪装在普通文件中设置在超级连接中第54

页木马的启动方式win.ini第54页54木马防御发现木马：检查系统文件、注册表、端口不要轻易使用来历不明的软件不熟悉的E-MAIL不打开常用杀毒软件并及时升级合理使用防火墙在安装新的软件之前，请先备份注册表，在安装完软件以后，立即用杀毒软件查杀Windows文件夹和所安装的软件的所在文件夹。如果杀毒软件报告有病毒，这时请将它杀掉，杀毒完成后，重新启动计算机。第55

页木马防御发现木马：检查系统文件、注册表、端口第55页55木马传播方式主动与被动：主动种入通过E－mail文件下载浏览网页第56

页木马传播方式主动与被动：第56页56流氓软件“流氓软件”其实起源于国外的“Badware”一词，在著名的StopB网站上，对“Badware”的定义为：是一种跟踪你上网行为并将你的个人信息反馈给“躲在阴暗处的”市场利益集团的软件，并且，他们可以通过该软件能够向你弹出广告。将“Badware”分为“间谍软件（spyware）、恶意软件（malware）和欺骗性广告软件（deceptiveadware）。“流氓软件”是介于病毒和正规软件之间的软件，通俗地讲是指在使用电脑上网时，不断跳出的窗口让自己的鼠标无所适从；有时电脑浏览器被莫名修改增加了许多工作条，当用户打开网页却变成不相干的奇怪画面，甚至是黄色广告。有些流氓软件只是为了达到某种目的,比如广告宣传,这些流氓软件不会影响用户计算机的正常使用,只不过在启动浏览器的时候会多弹出来一个网页，从而达到宣传的目的。第57

页流氓软件“流氓软件”其实起源于国外的“Badware”一词，57计算机网络技术第八章网络安全计算机网络技术第八章网络安全第59

页本章主要内容网络系统管理的概念和基本功能；网络安全的基本概念，影响网络安全的因素和网络安全对策，数据加密的基本概念、常用的加密算法和鉴别技术的应用，网络防火墙的概念、技术分类和应用。第2页本章主要内容网络系统管理的概念和基本功能；网络安59第60

页本章要求了解简单网络管理协议的组成及应用了解影响网络安全的因素和网络安全对策了解数据加密的基本概念、常用的加密方法和鉴别技术的应用了解网络防火墙的概念、技术和应用掌握网络管理的基本功能、网络安全的基本概念和内涵第3页本章要求了解简单网络管理协议的组成及应用60第61

页8.1网络管理概述网络管理的概念网络管理主要是要保障网络系统能够持续、稳定、高效和可靠的运行，对组成网络的各种网络的软硬件设施和人员进行综合的管理。网络管理的内容：

(1)数据通信网中的流量控制(2)路由选择策略管理（适应不断变化的网络）(3)网络安全保护(4)网络的故障诊断与修复第4页8.1网络管理概述网络管理的概念61第62

页网络管理系统组成一个网管系统从逻辑上包括管理进程、管理代理、管理信息库和管理协议四部分。管理对象：是指网络中设备对应的具体可以操作的数据等。管理进程：用于对网络设备和设施进行全面管理和控制的软件。管理信息库：用于记录网络中被管理对象的相关信息。管理协议：负责在管理系统和管理对象之间传输操作命令和解释管理操作命令。第5页网络管理系统组成一个网管系统从逻辑上包括管理进程62第63

页网络管理功能网络管理的能功分为配置管理、性能管理、故障管理、安全管理和计费管理五个功能集合。配置管理就是用来定义、记录、控制和检测网络中的被管理对象的集合。网络故障管理是指对网络系统故障的预防、检测(诊断)、恢复或排除等操作进行管理。第6页网络管理功能网络管理的能功分为配置管理、性能管理63第64

页网络管理功能性能管理主要是通过收集、分析和测试网络性能参数，评价网络运行过程中的主要性能指标，为管理机构提供决策依据。网络安全管理是用来保护网络资源和网络用户的安全。网络计费管理就是控制和管理用户使用的网络资源，核算用户费用等。第7页网络管理功能性能管理主要是通过收集、分析和测试网64第65

页8.2网络安全网络安全概述网络安全是指采取各种技术和管理措施防止网络中各种资源不被有意或无意地破坏和侵害等。网络系统安全主要涉及系统的可靠性、软件和数据的完整性、可用性和保密性几方面的问题。第8页8.2网络安全网络安全概述65第66

页网络系统安全系统的可靠性：保证网络系统不因各种因素的影响而中断正常工作；数据的完整性：保护网络系统中存储和传输的软件(程序)与数据不被非法操作，如删除、添加、更改等；数据的可用性：保证数据完整的同时还能被正常利用和操作；数据的保密性：数据的保密性主要是利用密码技术对数据进行加密处理，保证在系统中存储和网络上传输的数据不被无关人员识别。第9页网络系统安全系统的可靠性：保证网络系统不因各种因66第67

页网络面临的不安全因素网络系统的脆弱性操作系统的脆弱电磁泄漏数据的可访问性通信协议和通信系统的脆弱数据库系统的脆弱网络存储介质的脆弱第10页网络面临的不安全因素网络系统的脆弱性67第68

页网络面临的不安全因素网络系统的威胁无意威胁是在无预谋的情况下破坏了系统的安全性、可靠性或资源的完整性等故意威胁实际上就是“人为攻击”。如从事工业、商业或军事情报的搜集工作的间谍，对相应领域的网络信息是最感兴趣的，他们对网络系统的安全构成了主要威胁。第11页网络面临的不安全因素网络系统的威胁68第69

页被动攻击和主动攻击对网络系统的攻击，可从随便浏览信息到使用特殊技术对系统进行攻击以得到有针对性的信息。这些攻击又可分为被动攻击和主动攻击。被动攻击（窃听）是指攻击者只通过观察网络线路上的信息，而不干扰信息的正常流动，如被动地搭线窃听或非授权地阅读信息；主动攻击（篡改）是指攻击者对传输中的信息或存储的信息进行各种非法处理，如有选择地更改、插入、延迟、删除或复制信息。关键是看对信息有无篡改第12页被动攻击和主动攻击对网络系统的攻击，可从随便浏69第70

页被动攻击和主动攻击（图示）发送方接收方攻击者(a)被动攻击发送方接收方攻击者(b)主动攻击第13页被动攻击和主动攻击（图示）发送方接收方攻击者(70第71

页对系统的故意威胁中断（主动攻击）：指系统资源遭到破坏或变得无法使用，是对系统可靠性的攻击；窃取（被动攻击）：指未被授权的实体得到了资源的访问权，是对数据保密性的攻击；修改（主动攻击）:指未被授权的实体不仅得到了资源的访问权，而且还篡改了资源，是对数据完整性的攻击；捏造（主动攻击）:指未被授权的实体向系统中插入伪造的对象，是对数据真实性的攻击。以上四种情况除窃取属被动攻击外，其余都是主动攻击类型。第14页对系统的故意威胁中断（主动攻击）：指系统资源遭71第72

页计算机病毒计算机病毒是一种能破坏计算机系统资源的特殊计算机程序。它可在系统中生存、繁殖和传播。计算机病毒具有隐蔽性、传播性、潜伏性、触发性和破坏性。它一旦发作，轻者会影响系统的工作效率，占用系统资源，重者会毁坏系统的重要信息，甚至使整个网络系统陷于瘫痪。第15页计算机病毒计算机病毒是一种能破坏计算机系统资源72第73

页一些经典的计算机病毒黑色星期五（4.25）小球病毒（我国.1988年）CIH（1998年,第一个破坏硬件的病毒）尼姆达病毒（2001年）求职信病毒（2001年10月）冲击波病毒（2003）振荡波病毒（2004）熊猫烧香（2006）第16页一些经典的计算机病毒黑色星期五73第74

页网络安全策略和措施安全策略模型一个常用的网络安全策略模型是PDRR模型，。PDRR是四个英文单词的字头：Protection(防护)Detection(检测)Response(响应)Recovery(恢复)。

第17页网络安全策略和措施安全策略模型74第75

页防护安全策略的第一关就是防护。防护就是根据系统已知的可能安全问题采取一些预防措施，如打补丁、访问控制、数据加密等，不让攻击者顺利入侵。防护是PDRR模型中最重要的部分。防护可以预防大多数的入侵事件。防护可分为三类：系统安全防护、网络安全防护和信息安全防护。第18页防护安全策略的第一关就是防护。防护就是根据系统75第76

页检测安全策略的第二关是检测。攻击者如果穿过防护系统，检测系统就会检测出来。防护系统可以阻止大多数的入侵事件，但不能阻止所有的入侵事件。特别是那些利用新的系统缺陷、新攻击手段的入侵。如果入侵事件发生，就启动检测系统进行检测。该系统叫IDS(入侵检测系统)。第19页检测安全策略的第二关是检测。攻击者如果穿过防护76第77

页响应一旦检测出入侵，响应系统则开始响应，进行事件处理。响应工作由特殊部门(计算机紧急响应小组)负责。恢复系统恢复是指事件发生后，把系统恢复到原来状态或比原来更安全的状态。恢复也分为系统恢复和信息恢复两方面内容。系统恢复是指修补缺陷和消除后门。信息恢复是指恢复丢失的数据。第20页响应77第78

页网络安全策略安全立法安全管理网络实体安全系统访问控制数据加密保护第21页网络安全策略安全立法78第79

页网络安全机制和安全服务文件中规定网络安全机制有八项：加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、信息量填充机制、路由控制机制公证机制。第22页网络安全机制和安全服务文件中规定网络安全机制有79第80

页网络安全机制和安全服务文件中规定的网络安全服务有六项：对等实体鉴别服务、访问控制服务、数据保密性服务、数据完整性服务、数据源鉴别服务非否认服务。第23页网络安全机制和安全服务文件中规定的网络安全服务80第81

页8.2.2数据加密技术密码学的基本概念密码学从其发展来看，可分为两大阶段：传统密码学和计算机密码学。第一阶段：传统密码学。主要是靠人工进行信息加密、传输和破译第二阶段：计算机密码学。1.传统方式计算机密码学2.现代方式计算机密码学对称密钥密码体制公开密钥密码体制第24页8.2.2数据加密技术密码学的基本概念81第82

页密码学的分类密码学包括密码编码学和密码分析学两部分，这两部分相互对立，但也相互促进，相辅相成。密码编码学研究的是通过编码技术来改变被保护信息的形式，使得编码后的信息除指定接收者之外的其他人都不可理解密码分析学研究的是如何攻破一个密码系统，恢复被隐藏起来的信息的本来面目第25页密码学的分类密码学包括密码编码学和密码分析学两82第83

页概念加密：把信息从一个可理解的明文形式变换成一个错乱的、不可理解的密文形式的过程解密：将密文还原为明文的过程明文(PlainText)：原来的信息(报文)、消息，就是网络中所说的报文(Message)密文(CipherText)：经过加密后得到的信息密钥(Key)：加密时所使用的参数第26页概念加密：把信息从一个可理解的明文形式变换成83第84

页简单的密码系统示意图明文P解密密钥Kd解密(D)加密密钥Ke加密(E)明文P密文C攻击者第27页简单的密码系统示意图明文P解密密钥Kd解密(84第85

页加密实际上是要完成某种函数运算C=ƒ(P,K)，对于一个确定的加密密钥Ke，加密过程可看作是只有一个自变量的函数，记作Ek，加密变换为：

C=Ek(P)

(加密变换作用于明文P后得到密文C)同样，解密也完成某种函数的运算P=g(C,K)对于确定的解密密钥Kd，解密过程为：

P=Dk(C)(解密变换作用于密文C后得到明文P)第28页加密实际上是要完成某种函数运算C=ƒ(P,K85第86

页传统密钥密码体制和公开密钥密码体制如果加密密钥和解密密钥相同或相近，由其中一个很容易地得出另一个，这样的系统称为对称密钥系统，加密和解密密钥都是保密的；如果加密密钥与解密密钥不同，且由其中一个不容易得到另一个，则这种密码系统是非对称密钥系统，往往其中一个密钥是公开的，另一个是保密的。第29页传统密钥密码体制和公开密钥密码体制如果加密密钥86第87

页通信加密方式链路加密链路加密(LinkEncryption)是传输数据仅在相邻节点的数据链路层上进行加密。端--端加密端--端加密(End-to-EndEncryption)是传输数据在应用层上完成加密的。与链路加密相比，端—端加密具有成本低、保密性强、灵活性好等优点，应用场合较多。第30页通信加密方式链路加密87第88

页鉴别技术鉴别(Authentication也叫验证)是防止主动攻击的重要技术。鉴别的目的就是验证一个用户身份的合法性和用户间传输信息的完整性与真实性。鉴别包括报文鉴别和身份验证。报文鉴别是为了确保数据的完整性和真实性，对报文的来源、时间性及目的地进行验证。身份验证是验证进入网络系统者是否是合法用户，以防非法用户访问系统。第31页鉴别技术鉴别(Authentication也88第89

页数字签名数字签名(DigitalSignature)可解决手写签名中的签字人否认签字或其他人伪造签字等问题。因此，被广泛用于银行的信用卡系统、电子商务系统、电子邮件以及其他需要验证、核对信息真伪的系统中。数字签名的功能：收方能够确认发方的签名，但不能伪造；发方发出签过名的信息后，不能再否认；收方对收到的签名信息也不能否认；一旦收发方出现争执，仲裁者可有充足的证据进行评判。第32页数字签名数字签名(DigitalSignat89第90

页一个典型的由公开密钥密码体制实现的、带有加密功能的数字签名过程如下图KBd加密(E)KBe解密(D)C信道签名验证KAdKAeABMSSM第33页一个典型的由公开密钥密码体制实现的、带有加密功90第91

页8.2.3防火墙防火墙(Firewall)是在两个网络之间执行访问控制策略的一个或一组安全系统。它是一种计算机硬件和软件系统的集合，是实现网络安全策略的有效工具之一，被广泛地应用到Internet与Intranet之间。第34页8.2.3防火墙防火墙(Firewall)是91第92

页防火墙的位置内部网外部网LAN1服务器Web服务器千兆网交换机网管工作站Internet数据库服务器邮件服务器集线器防火墙LAN2第35页防火墙的位置内部网外部网LAN1服务器Web92第93

页防火墙具有的功能强化网络安全策略，集中化的网络安全管理；记录和统计网络访问活动；限制暴露用户点，控制对特殊站点的访问；网络安全策略检查。第36页防火墙具有的功能强化网络安全策略，集中化的网络93第94

页防火墙技术及分类防火墙技术大体上分为两类：网络层防火墙技术（包过滤防火墙）和应用层防火墙技术（代理服务器滤防火墙）。包过滤是在网络的出口(如路由器上)对通过的数据包进行检测，只有满足条件的数据包才允许通过，否则被抛弃。这样可以有效地防止恶意用户利用不安全的服务对内部网进行攻击。代理服务位于内部用户和外部服务之间。代理程序在幕后处理所有用户和Internet服务之间的通信以代替相互间的直接交谈。第37页防火墙技术及分类防火墙技术大体上分为两类：网94第95

页防火墙应用系统一般，构成防火墙的体系结构有三种：双穴主机结构、主机过滤结构和子网过滤结构。按照这三种体系结构构建的防火墙应用系统是双穴主机防火墙、主机过滤防火墙和子网过滤防火墙。第38页防火墙应用系统一般，构成防火墙的体系结构有三种95第96

页双穴主机防火墙双穴(接口)主机分别与受保护的内部子网及Internet网络连接，起着监视和隔离应用层信息流的作用，彻底隔离了所有的内部主机与外部主机的可能连接。双穴主机可与内部网系统通信，也可与外部网系统通信。借助于双穴主机，防火墙内外两网的计算机便可(间接)通信了。即内外网的主机不能直接交换信息，信息交换要由该双穴主机“代理”并“服务”，因此该主机也相当于代理服务器。第39页双穴主机防火墙双穴(接口)主机分别与受保护的内96第97

页双穴主机结构防火墙（图示）客户机客户机服务器内部网络

客户机Internet双穴主机防火墙第40页双穴主机结构防火墙（图示）客户机客户机服务器内97第98

页主机过滤防火墙主机过滤结构中提供安全保障的主机在内部网中，加上一台单独的过滤路由器，一起构成该结构的防火墙。堡垒主机是Internet主机连接内部网系统的桥梁。任何外部系统试图访问内部网系统或服务，都必须连接到该主机上。因此该主机需要高级别安全。第41页主机过滤防火墙主机过滤结构中提供安全保障的主98第99

页主机过滤防火墙（图示）堡垒主机内部网络Internet路由器防火墙客户机客户机服务器第42页主机过滤防火墙（图示）堡垒主机内部网络99第100

页子网过滤防火墙子网过滤结构是在主机过滤体系结构中又增加了一个额外的安全层次而构成。增加的安全层次包括一台堡垒主机和一台路由器。两路由起之间是一个被称为周边网络或参数网络的安全子网，更进一步地把内部网络与Internet隔离开。堡垒主机通过内部、外部两个路由器与内部、外部网络隔开，这样可减少堡垒主机被侵袭的影响。被保护的内部子网主机置于内部包过滤路由器内，堡垒主机被置于内部和外部包过滤路由器之间。第43页子网过滤防火墙子网过滤结构是在主机过滤体系结构100第101

页在内、外部两个路由器上都设置了包过滤规则，两者的包过滤规则基本上相同。内部路由器完成防火墙的大部分包过滤工作，它的主要功能就是保护内部网免受来自外部网与周边网络的侵扰。外部路由器既可保护参数网络又保护内部网。实际上，在外部路由器上仅做一小部分包过滤。第44页在内、外部两个路由器上都设置了包过滤规则，两者1018.2.5黑客攻击及防范黑客：黑客最早源自英文hacker，早期在美国的电脑界是带有褒义的。但在媒体报导中，黑客一词往往指那些“软件骇客”(softwarecracker)。黑客一词，原指热心于计算机技术，水平高超的电脑专家，尤其是程序设计人员。但今天黑客一词已被用于泛指那些专门利用电脑网络搞破坏或恶作剧的家伙。对这些人的正确英文叫法是Cracker，有人翻译成“骇客”。第102

页8.2.5黑客攻击及防范黑客：黑客最早源自英文hacker102黑客攻击的动机贪心－偷窃或者敲诈恶作剧–无聊的计算机程序员名声–显露出计算机经验与才智，以便证明他们的能力和获得名气报复/宿怨–解雇、受批评或者被降级的雇员，或者其他任何认为其被不公平地对待的人无知/好奇–失误和破坏了信息还不知道破坏了什么黑客道德-这是许多构成黑客人物的动机仇恨-国家和民族原因间谍－政治和军事目的谍报工作商业－商