第六节 网络安全技术课件

计算机网络安全技术安全基础Mr.ruiwu@网络安全技术

随着计算机网络技术的发展，网络的安全性和可靠性成为各层用户所共同关心的问题。人们都希望自己的网络能够更加可靠地运行，不受外来入侵者的干扰和破坏，所以解决好网络的安全性和可靠性，是保证网络正常运行的前提和保障。Internet防火墙学生区InfoGateIIS服务Web服务DMZ区教工区安全垃圾邮内容审计件网关过滤数据库服务器群应用服务器群Mr.ruiwu@1、网络安全要求网络安全，是指网络系统的硬件、软件及其系统中的数据受到保护,不受偶然或者恶意的攻击而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不会中断。身份认证完整性保密性授权和访问控制可用性不可抵赖性Mr.ruiwu@2、网络安全威胁

一般认为，黑客攻击、计算机病毒和拒绝服务攻击等3个方面是计算机网络系统受到的主要威胁。黑客攻击计算机病毒拒绝服务攻击黑客使用专用工具和采取各种入侵手段非法进入网络、攻击网络,并非法使用网络资源。

计算机病毒侵入网络，对网络资源进行破坏，使网络不能正常工作，甚至造成整个网络的瘫痪。攻击者在短时间内发送大量的访问请求，而导致目标服务器资源枯竭，不能提供正常的服务。Mr.ruiwu@3、网路安全漏洞

网络安全漏洞实际上是给不法分子以可乘之机的“通道”,大致可分为以下3个方面。网络的漏洞

服务器的漏洞操作系统的漏洞包括网络传输时对协议的信任以及网络传输漏洞，比如IP欺骗和信息腐蚀就是利用网络传输时对IP和DNS的信任。利用服务进程的bug和配置错误,任何向外提供服务的主机都有可能被攻击。这些漏洞常被用来获取对系统的访问权。Windows和UNIX操作系统都存在许多安全漏洞,如Internet蠕虫事件就是由UNIX的安全漏洞引发的。Mr.ruiwu@4、网络安全攻击要保证运行在网络环境中的信息安全,首先要解决的问题是如何防止网络被攻击。根据SteveKent提出的方法,网络安全攻击可分为被动攻击和主动攻击两大类，如图所示。图:网络安全攻击分类被动攻击

截获(秘密)分析信息内容通信量分析主动攻击

拒绝篡改伪造重放(可用性)(完整性)(真实性)(时效性)被动攻击不修改信息内容，所以非常难以检测，因此防护方法重点是加密。主动攻击是对数据流进行破坏、篡改或产生一个虚假的数据流。Mr.ruiwu@5、网络安全破坏

1中断（Interruption）：中断是对可利用性的威胁。例如破坏信息存储硬件、切断通信线路、侵犯文件管理系统等。2窃取（Interception）：入侵者窃取信息资源是对保密性的威胁。入侵者窃取线路上传送的数据，或非法拷贝文件和程序等。3篡改（Modification）：篡改是对数据完整性的威胁。例如改变文件中的数据，改变程序功能，修改网上传送的报文等。4假冒（Fabrication）：入侵者在系统中加入伪造的内容，如像网络用户发送虚假的消息、在文件中插入伪造的记录等。网络安全破坏的技术手段是多种多样的，了解最通常的破坏手段，有利于加强技术防患。Mr.ruiwu@网络安全的评价标准计算机系统的安全等级由低到高顺序：D；C1C2；B1B2B3；A。如图所示。TCSEC安全体系可信计算机系统评测准则C2：受控访问保护C1：自主安全保护A1：验证设计D1：最小保护B2：结构安全保护B1：标志安全保护B3：安全域C类A类D类B类Mr.ruiwu@1、国际评价标准20世纪90年代开始，一些国家和国际组织相继提出了新的安全评测准则。1991年,殴共体发布了“信息技术安全评测准则”；1993年，加拿大发布了“加拿大可信计算机产品评测准则”；1993年6月,上述国家共同起草了一份通用准则,并将CC推广为国际标准。国际安全评测标准的发展如图所示。1993年加拿大可信计算机产品评测准则1991年欧洲信息技术安全评测准则1991年美国联邦政府评测标准1983年美国国防部可信计算机评测准则1996年国际通用准则（CC）1999年CC成为国际标准国际安全评测标准的发展与联系Mr.ruiwu@2、我国评价标准分如下五个级别

1级用户自主保护级：它的安全保护机制使用户具备自主安全保护的能力，保护用户的信息免受非法的读写破坏。2级系统审计保护级：除具备第一级外，要求创建和维护访问的审计跟踪记录，使所有的用户对自己的行为的合法性负责。3级安全标记保护级：除具备上一级外，要求以访问对象标记的安全级别限制访问者的访问权限，实现对访问对象的强制保护。4级结构化保护级：在继承前面功能基础上，将安全保护机制划分为关键部分和非关键部分，从而加强系统的抗渗透能力。5级访问验证保护级：这一个级别特别增设了访问验证功能，负责仲裁访问者对访问对象的所有访问活动。Mr.ruiwu@网络安全措施

在网络设计和运行中应考虑一些必要的安全措施，以便使网络得以正常运行。网络的安全措施主要从物理安全、访问控制、传输安全和网络安全管理等4个方面进行考虑。

1、物理安全措施

物理安全性包括机房的安全、所有网络的网络设备（包括服务器、工作站、通信线路、路由器、网桥、磁盘、打印机等）的安全性以及防火、防水、防盗、防雷等。网络物理安全性除了在系统设计中需要考虑之外，还要在网络管理制度中分析物理安全性可能出现的问题及相应的保护措施。

2、访问控制措施

访问控制措施的主要任务是保证网络资源不被非法使用和非常规访问。其包括以下８个方面：Mr.ruiwu@网络安全措施

1入网访问控制：控制哪些用户能够登录并获取网络资源，控制准许用户入网的时间和入网的范围。2网络的权限控制：是针对网络非法操作所提出的一种安全保护措施，用户和用户组被授予一定的权限。3目录级安全控制：系统管理权限、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限和存取控制权限8种。4属性安全控制：网络管理员给文件、目录等指定访问属性，将给定的属性与网络服务器的文件、目录和网络设备联系起来。5网络服务器安全控制：包括设置口令锁定服务器控制台，设定登录时间限制、非法访问者检测和关闭的时间间隔等。Mr.ruiwu@网络安全措施

6网络检测和锁定控制：网络管理员对网络实施监控，服务器应记录用户对网络资源的访问，对于非法访问应报警。7

网络端口和节点的安全控制：网络服务器端口使用自动回呼设备、静默调制解调器加以保护,并以加密形式识别节点的身份。8防火墙控制：防火墙成为是互连网络上的首要安全技术，是设置在网络与外部之间的一道屏障。

3、网络通信安全措施

⑴建立物理安全的传输媒介

⑵对传输数据进行加密：保密数据在进行数据通信时应加密，包括链路加密和端到端加密。Mr.ruiwu@网络安全管理措施除了技术措施外，加强网络的安全管理，制定相关配套检查和互协渗透测试安全设计设备配置安全漏洞分析安全策略安全需求安全结构安全评估安全评估安全评估的规章制度、确定安全管理等级、明确安全管理范围、采取系统维护方法和应急措施等,对网络安全、可靠地运行，将起到很重要的作用。实际上，网络安全策略是一个综合,要从可用性、实用性、完整性、可靠性和保密性等方面综合考虑，才能得到有效的安全策略。Mr.ruiwu@防火墙的逻辑结构示意图

1、什么是防火墙

为了防止病毒和黑客，可在该网络和Internet之间插入一个中介系统，竖起一道用来阻断来自外部通过网络对本网络的威胁和入侵的安全屏障，其作用与古代防火砖墙有类似之处，人们把这个屏障就叫做“防火墙”，其逻辑结构如下图所示。防火墙技术

外部网络内部网络Mr.ruiwu@防火墙的基本概念2、防火墙的基本特性

①所有内部和外部网络之间传输的数据必须通过防火墙。②只有被授权的合法数据即防火墙系统中安全策略允许的数据可以通过防火墙。③防火墙本身不受各种攻击的影响。

3、防火墙的基本准则

⑴过滤不安全服务：防火墙应封锁所有的信息流,然后对希望提供的安全服务逐项开放，把不安全的服务或可能有安全隐患的服务一律扼杀在萌芽之中。

⑵过滤非法用户和访问特殊站点：防火墙允许所有用户和站点对内部网络进行访问，然后网络管理员按照IP地址对未授权的用户或不信任的站点进行逐项屏蔽。Mr.ruiwu@防火墙的基本功能

1、作为网络安全的屏障

防火墙作为阻塞点、控制点，能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。

2、可以强化网络安全策略

通过以防火墙为中心的安全方案配置，能将所有安全软件（口令、加密、身份认证、审计等）配置在防火墙上。

3、对网络存取和访问进行监控审计

所有的外部访问都经过防火墙时，防火墙就能记录下这些访问，为网络使用情况提供统计数据。当发生可疑信息时防火墙能发出报警，并提供网络是否受到监测和攻击的详细信息。

4、可以防止内部信息的外泄

利用防火墙可以实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。Mr.ruiwu@防火墙的基本类型1、网络级防火墙（NetworkGateway）网络级防火墙主要用来防止整个网络出现外来非法的入侵。包过滤路由器的工作原理示意图内部网络物理层分组过滤规则数据链跑层Internet外部网络网络层物理层数据链跑层网络层包过滤路由器Mr.ruiwu@防火墙的基本类型

2、应用级防火墙（ApplicationGateway）

这种类型的防火墙被网络安全专家和媒体公认为是最安全的防火墙。它的核心技术就是代理服务器技术。在外部网络向内部网络申请服务时发挥了中间转接的作用。代理防火墙的最大缺点是速度相对比较慢。应用级代理工作原理下图所示。应用级代理工作原理示意图内部网络真正服务器代理服务器实际的连接实际的连接外部网络客户虚拟的连接Internet防火墙Mr.ruiwu@防火墙的基本类型

3、电路级防火墙（Gateway）

电路级防火墙也称电路层网关,是一个具有特殊功能的防火墙。电路级网关只依赖于TCP连接，并不进行任何附加的包处理或过滤。与应用级防火墙相似,电路级防火墙也是代理服务器,只是它不需要用户配备专门的代理客户应用程序。另外,电路级防火墙在客户与服务器间创建了一条电路,双方应用程序都不知道有关代理服务的信息。

4、状态监测防火墙（StatefuinspectionGateway）

状态检测是比包过滤更为有效的安全控制方法。对新建的应用连接,状态检测检查预先设置的安全规则,允许符合规则的连接通过,并在内存中记录下该连接的相关信息,生成状态表。对该连接的后续数据包,只要符合状态表就可以通过。Mr.ruiwu@防火墙的基本结构

1、双宿主机网关（DualHomedGateway）双宿主机网关是用一台装有两个网络适配器的双宿主机做防火墙,其中一个是网卡,与内网相连；另一个可以是网卡、调制解调器或ISDN卡。双宿主机网关的弱点是一旦入侵者攻入堡垒主机并使其具有路由功能，则外网用户均可自由访问内网。双宿主机网关工作原理图如图7-13所示。双宿堡垒主机Internet双宿堡垒主机内网Mr.ruiwu@防火墙的基本结构

2、屏蔽主机网关（ScreenedHostGateway）

⑴单宿堡垒主机：是屏蔽主机网关的一种简单形式,单宿堡垒主机只有一个网卡，并与内部网络连接。通常在路由器上设立过滤规则，并使这个单宿堡垒主机成为可以从Internet上访问的唯一主机。而Intranet内部的客户机，可以受控地通过屏蔽主机和路由器访问Internet,其工作原理图如下图所示。屏蔽主机网关单宿堡垒主机Internet双宿堡垒主机内网Mr.ruiwu@防火墙的基本结构

⑵双宿堡垒主机：是屏蔽主机网关的另一种形式,与单宿堡垒主机相比，双宿堡垒主机有两块网卡，一块连接内部网络，一块连接路由器。双宿堡垒主机在应用层提供代理服务比单宿堡垒主机更加安全。屏蔽主机网关双宿堡垒主机工作原理图如下图所示。屏蔽主机网关双宿堡垒主机Internet双宿堡垒主机内网Mr.ruiwu@防火墙的安全标准与产品

1、防火墙的安全标准

⑴Secure/WAN（S/WAN）标准⑵FWPD（FireWallProductDeveloper）联盟制订的防火墙测试标准

2、常见的防火墙产品Mr.ruiwu@网络病毒的类型

1、GPI（GetPasswordI）病毒

GPI病毒是由欧美地区兴起的专攻网络的一类病毒，该病毒的威力在于“自上而下”，可以“逆流而上”的传播。

2、电子邮件病毒由于电子邮件的广泛使用，E-mail已成为病毒传播的主要途径之一。

3、网页病毒网页病毒主要指Java及ActiveX病毒，它们大部分都保存在网页中，所以网页也会感染病毒。

4、网络蠕虫程序是一种通过间接方式复制自身的非感染型病毒，它的传播速度相当惊人，给人们带来难以弥补的损失。Mr.ruiwu@网络管理技术

1、网络管理的定义网络管理是一项复杂的系统工程,它涉及到以下3个方面。

⑴网络服务提供：是指向用户提供新的服务类型、增加网络设备、提高网络性能等。

⑵网络维护：是指网络性能监控、故障报警、故障诊断、故障隔离与恢复等。

⑶网络处理：是指网络线路、设备利用率、数据的采集、分析，以及提高网络利用率的各种控制。

2、网络管理标准化

在ISO的OSI-RM的基础上，由AT&T、英国电信等100多著名大公司组成的OSI/NMF(网络管理论坛）定义了OSI网络管理框架下的5个管理功能区域，并形成了多项协议。7.6.1网络管理的基本概念Mr.ruiwu@网络管理的逻辑结构

被管系统管理信息库进程管理代理被管对象管理系统管理协议通知执行管理操作通知操作图7-24网络管理系统逻辑模型1、网络管理系统的逻辑模型

⑴被管对象：经过抽象的网络元素，对应于网络中具体可以操作的数据。⑵管理进程：负责对网络设备进行全面管理与控制的软件。⑶管理信息库：可看作为管理进程的一部分,用于记录网络中被管理对象的状态参数值。⑷管理协议：负责在管理系统与被管对象之间传递命令和负责解释管理操作命令。Mr.ruiwu@网络管理的逻辑结构图7-25Internet网络管理逻辑模型2、Internet网络管理逻辑模型由于TCP/IP的广泛使用，Internet网络管理模型也受到了广泛的重视，几乎成了事实上的国际标准。Internet的网络管理模型如图7-25所示。

这种管理机构能为管理进程提供透明的管理环境,一个外部代理能够管理多个网络资源。网络管理进程（网控中心）管理代理被管对象管理代理被管对象外部代理被管对象Mr.ruiwu@ISO网路管理功能域

配置管理性能管理计费管理安全管理故障管理系统管理功能：对象管理状态管理关系属性日志控制负荷监测告警报告事件报告测试管理/测试报告记账表安全审查追踪等图7-26OSI网络管理功能模块之间的关系

为了实现对网络中的所有对象进行管理，OSI定义了网络管理统一的国际性标准（5个基本功能域），基本模块的相互关系如图7-26所示。Mr.ruiwu@ISO网路管理功能域

1、配置管理（ConfigurationManagement，CM）配置管理是ISO网络管理功能域中的第一个管理模块,它具有以下4项基本功能。

1配置信息具有自动获取功能：一个大型网络需要管理的设备很多，因此，网络管理系统应该具有配置信息自动获取的功能。2具有自动配置功能：通过网络管理协议标准设置配置信息、自动登录到设备进行配置的信息、修改管理性能配置信息。3配置一次性检查：在网络配置中，对网络正常运行影响最大的主要是路由器端口配置和路由器信息配置和检查。4用户操作记录功能：在配置管理中对用户操作进行记录并保存,以便管理人员随时查看用户在特定时间进行特定配置操作。Mr.ruiwu@ISO网路管理功能域2、性能管理（PerformanceManagement，PM）性能管理的功能是负责监视整个网络的性能，性能管理的目标是收集和统计数据。性能管理主要包括以下内容：

1

信息收集：要实现性能管理，首先必须要从被管对象中收集与性能有关的那些数据，然后进行信息统计、分析和监测。2信息统计：统计被管对象与性能有关的历史数据的产生、记录和维护。3信息分析：分析被管的性能数据和网络线路质量，以判断是否处于正常水平，为网络进一步规划与调整提供依据。4信息监测：监测网络对象的性能，为每个重要的变量决定一个合适的性能阀值，超过该限值时将报警发送到网络管理系统。Mr.ruiwu@ISO网路管理功能域3、故障管理（FaultManagement，FM）故障管理是在系统出现异常情况下的管理操作，找出故障的位置并进行恢复。故障管理包括以下4个步骤。

1检测故障：通过检测来判断故障类型或被动接收网络上的各种事件信息，对其中的关键部分保持跟踪,并生成网络故障记录。2隔离故障：通过诊断、测试，识别故障根源，对根源故障进行隔离。3修复故障：对不严重的简单故障由网络设备进行检测、诊断和恢复；对于严重的故障，报警提醒管理者进行维修和更换。4记录故障监测结果：记录排除故障的步骤和与故障相关的值班员日志，构造排错行记录，以反映故障整个过程的各个方面。Mr.ruiwu@ISO网路管理功能域4、安全管理（SecurityManagement，SM）安全管理模块的功能分为网络管理本身的安全和被管网络对象的安全。安全管理的功能主要包括以下4个方面：

1授权管理：分配权限给所请求的实体。2访问控制管理：访问控制管理：分配口令、进入或修改访问控制表和能力表。3安全管理：安全检查跟踪和事件处理。4密钥管理：进行密钥分配。Mr.ruiwu@ISO网路管理功能域

5、计费管理（AccountingManagement，AM）计费管理模块的功能是在有偿使用的网络上统计有哪些用户，使用何种信道，传输多少数据，访问什么资源信息，即统计不同线路和各类资源的利用情况。计费管理的目标是提高网络资源的利用率，以便使一个或一组用户可以按规则利用网络资源。由于网络资源可以根据其能力的大小而合理地分配，这样的规则使网络故障降低到最小限度，也可以使所有用户对网络的访问更加公平。为了实现合理计费，计费管理必须和性能管理相结合。计费管理包括：计费数据采集、数据管理与数据维护、政策比较与决策支持、数据分析与费用计算等。Mr.ruiwu@简单网络管理协议

为了更好地进行网络管理，许多国际标准化组织都提出了自己的网络管理标准和网络管理方案，网络管理协议主要有CMIP、SNMP和CMOT三种。目前使用最广泛的网络管理协议是简单网络管理协议（SNMP）。

1、SNMP的结构为了提高网络管理系统的效率，SNMP在传输层采用了用户数据报协议（UDP)，针对Internet飞速发展和协议的不断扩充和完善，SNMP尽可能地降低管理代理的软件成本和资源要求,提供较强的远程管理,以适应对Internet资源的管理。并且,SNMP结构具有可扩充性,以适应网络系统的发展。SNMP的结构如图7-27所示。Mr.ruiwu@简单网络管理协议图7-27SNMP的功能结构主机管理代理MIB网关MIB终端服务器管理代理MIB管理进程管理代理

⑴管理进程（manager）：协助网络管理员对整个网络或网络中的设备进行日常管理的一组软件，一般运行在网络管理站（网络管理中心）的主机上。

⑵管理代理（agent）：是一种在被管理的网络设备中运行的软件，负责执行管理进程的管理操作。

⑶管理信息库：是一个概念上的数据库,由管理对象组成,每个管理代理属于本地的管理对象，各管理代理控制的管理对象共同组成全网管理信息库。Mr.ruiwu@简单网络管理协议图7-28SNMP工作方式示意图中心MIB本地MIB本地MIB应答应答请求请求AgentManagerAgent2、SNMP的工作方式管理进程（Manager）和管理代理（Agent）之间主要以请求/应答方式工作。Manager向Agent发出请求命令，获取或设置网络元素（被管设备）参数；Agent向Manager返回“应答”响应，报告“请求”的执行结果。Interne