计算机网络安全体系结构

第二章计算机网络平安体系结构第二章计算机网络平安体系结构第一节网络平安体系结构的概念第二节网络平安体系结构的内容第三节网络平安的协议与标准第四节网络平安的评估第二章计算机网络平安体系结构第一节网络安全体系结构的概念一、网络体系结构网络协议〔protocol〕为进行网络中的信息交换而建立的共同规那么、标准或约定第二章计算机网络平安体系结构第一节网络安全体系结构的概念一、网络体系结构网络体系结构

在网络的实际应用中，计算机系统与计算机系统之间许多的互连、互通、互操作过程，一般都不能只依靠一种协议，而需要执行许多种协议才能完成。全部网络协议以层次化的结构形式所构成的集合，就称为网络体系结构。A站接口接口物理层协议应用层表示层会话层传递层网络层数据链路层物理层应用层表示层会话层传递层网络层数据链路层物理层应用层协议表示层协议会话层协议传递层协议网络层协议数据链路层协议第一层第二层第三层第四层第五层第六层第七层B站图2.1开放系统互连/参考模型〔OSI/RM〕一、网络体系结构第二章计算机网络平安体系结构第一节网络安全体系结构的概念二、网络安全需求第二章计算机网络平安体系结构第一节网络安全体系结构的概念网络平安的需求可表述为五个主要方面：１.保密性

保密性是指确保非授权用户不能获得网络信息资源的性能。为此要求网络具有良好密码体制、密钥管理、传输加密保护、存储加密保护、防电磁泄漏等功能。二、网络安全需求第二章计算机网络平安体系结构第一节网络安全体系结构的概念2.完整性

完整性是指确保网络信息不被非法修改、删除或增添，以保证信息正确、一致的性能。为此要求网络的软件、存储媒体以及信息传递与交换过程中都具有相应的功能。性是指确保非授权用户不能获得网络信息资源的性能。为此要求网络具有良好密码体制、密钥管理、传输加密保护、存储加密保护、防电磁泄漏等功能。二、网络安全需求第二章计算机网络平安体系结构第一节网络安全体系结构的概念

3.可用性

可用性是指确保网络合法用户能够按所获授权访问网络资源、同时防止对网络非授权访问的性能。为此要求网络具有身份识别、访问控制以及对访问活动过程进行审计的功能。二、网络安全需求第二章计算机网络平安体系结构第一节网络安全体系结构的概念

4.可控性

可控性是指确保合法机构按所获授权能够对网络及其中的信息流动与行为进行监控的性能。为此要求网络具有相应的多方面的功能。二、网络安全需求第二章计算机网络平安体系结构第一节网络安全体系结构的概念

5.真实性又称抗抵赖性，是指确保接收到的信息不是假冒的，而发信方无法否认所发信息的性能。为此要求网络具有数字取证、证据保全等功能。三、网络安全体系结构的任务第二章计算机网络平安体系结构第一节网络安全体系结构的概念网络平安体系结构的任务是提供有关形成网络平安方案的方法和假设干必需遵循的思路、原那么和标准。它给出关于网络平安效劳和网络平安机制的一般描述方式，以及各种平安效劳与网络体系结构层次的对应关系。第二章计算机网络平安体系结构第一节网络平安体系结构的概念第二节网络平安体系结构的内容第三节网络平安的协议与标准第四节网络平安的评估第二章计算机网络平安体系结构

第二节网络安全体系结构的内容一、开放系统互连安全体系结构OSI平安体系结构的核心内容在于：以实现完备的网络平安功能为目标，描述了６大类平安效劳，以及提供这些效劳的8大类平安机制和相应的OSI平安管理，并且尽可能地将上述平安效劳配置于开放系统互连/参考模型〔OSI/RM〕7层结构的相应层之中。第二章计算机网络平安体系结构

第二节网络安全体系结构的内容一、开放系统互连安全体系结构由此形成的OSI平安体系结构的三维空间表示，如图2.2所示。图中所示空间的三维分别代表：平安机制、平安效劳以及OSI网络结构层。图2.2OSI平安体系结构的三维空间表示第二章计算机网络平安体系结构

第二节网络安全体系结构的内容一、开放系统互连安全体系结构OSI平安体系结构的平安效劳OSI平安体系结构描述的６大类平安效劳及其作用见表2.1。表2.1OSI平安体系结构描述的６大类平安效劳及其作用序号安全服务作用1对等实体鉴别服务确保网络同一层次连接两端的对等实体身份真实、合法。2访问控制服务防止未经许可的用户访问OSI网络的资源。3数据保密服务防止未经许可暴露网络中数据的内容4数据完整性服务确保接收端收到的信息与发送端发出的信息完全一致，防止在网络中传输的数据因网络服务质量不良而造成错误或丢失，并防止其受到非法实体进行的篡改、删除、插入等攻击。5数据源点鉴别服务由OSI体系结构的第N层向其上一层即第（N＋１）层提供关于数据来源为一对等（N＋１）层实体的鉴别。6不容否认服务，又称抗抵赖服务防止数据的发送者否认曾经发送过该数据或数据中的内容，防止数据的接收者否认曾经收到过该数据或数据中的内容第二章计算机网络平安体系结构

第二节网络安全体系结构的内容一、开放系统互连安全体系结构

以上所述OSI平安体系结构提供的６大类平安效劳，是配置在OSI/RM7层结构的相应层中来实现的。表2.2列举了OSI平安体系结构中平安效劳按网络层次的配置。表中有符号“√〞处，表示在该层能提供该项效劳。表2.2OSI平安体系结构中平安效劳按网络层次的配置安全服务

网络层次物理层数据链路层网络层传送层会话层表示层应用层对等实体鉴别√√√访问控制√√√√数据保密√√√√

√√数据完整性√√√数据源点鉴别√√√√不容否认√第二章计算机网络平安体系结构

第二节网络安全体系结构的内容一、开放系统互连安全体系结构

2．OSI平安体系结构的平安机制按照OSI平安体系结构，为了提供以上所列６大类平安效劳，采用以下8大类平安机制来实现：加密机制、数据签名机制、公证机制、数据完整性机制、交换鉴别机制、业务流填充机制、路由控制机制、访问控制机制。第二章计算机网络平安体系结构

第二节网络安全体系结构的内容一、开放系统互连安全体系结构平安机制是用来实现和提供平安效劳的，但给定一种平安效劳，往往需要多种平安机制联合发挥作用来提供；而某一种平安机制，往往又为提供多种平安效劳所必需。表2.3指明了OSI平安体系结构中平安机制与平安效劳的对应关系。表中有符号“√〞处，表示该平安机制支持该平安效劳。

第二章计算机网络平安体系结构

第二节网络安全体系结构的内容一、开放系统互连安全体系结构表2.3OSI平安体系结构中平安机制与平安效劳的对应关系

安全服务

安全机制数据加密数据签名访问控制数据完整性交换鉴别业务流填充路由控制公证对等实体鉴别

√

√√

√访问控制√数据保密√√√数据完整性√√√数据源点鉴别√√

不容否认√√

√第二章计算机网络平安体系结构

第二节网络安全体系结构的内容

二、美国防部目标安全体系结构

与国防信息系统安全计划1．DISSP的目的〔1〕保证国防部对DISSP的利用和管理；〔2〕将所有的网络和信息系统高度自动化，以便使用；〔3〕确保网络和信息系统的有效、平安、可互操作；〔4〕促进国防信息系统的协调、综合开发；〔5〕建立能使各个国防机构、各军种以及北约和美盟国的所有网络和信息系统彼此之间具有良好互操作性的平安结构。美国防部早在1992年就制定了“21世纪设想——国防信息系统平安方案〞〔DISSP〕。这一庞大的方案包括了5个目的和8项任务，是一个为到达上述目标、实现向目标平安体系结构〔DGSA〕过渡的方案。第二章计算机网络平安体系结构

第二节网络安全体系结构的内容

2．DISSP的任务〔1〕确定一个统一、协调的网络平安策略；〔2〕开发全美国防网络和信息系统平安结构；〔3〕开发基于上述平安结构的网络平安标准和协议；〔4〕确定统一的网络平安认证标准；〔5〕开发先进的网络平安技术；〔6〕建立网络和信息系统的开发者、实现者与使用者之间的有效协调；〔7〕制定达成预定目的的过渡方案；〔8〕将有关信息及时通报供给商。二、美国防部目标安全体系结构

与国防信息系统安全计划第二章计算机网络平安体系结构

第二节网络安全体系结构的内容

二、美国防部目标安全体系结构

与国防信息系统安全计划

3．DISSP提供的平安体系结构及其特点DISSP提供的平安体系结构框架可用如图2.３所示的三维空间模型来表示。图中所示空间的三维分别代表：网络平安特性与局部操作特性，网络与信息系统的组成局部，以及OSI网络结构层及其扩展层。图2.3DISSP的平安体系结构框架第二章计算机网络平安体系结构

第二节网络安全体系结构的内容

与OSI平安体系结构〔ISO7498—2〕相比，DISSP提供的平安体系结构具有如下的特点：

1.从最高层着眼，统筹解决全部国防网络与信息系统的平安问题，不允许任何下属层次各自为政、分别建立自己的平安体系。二、美国防部目标安全体系结构

与国防信息系统安全计划

第二章计算机网络平安体系结构2.把网络与信息系统的组成简化归结为４个局部，即：端系统、网络、接口、平安管理。这样便于网络与信息系统的管理人员与平安体系设计人员之间的协商与协作，便于平安策略的落实和平安功能的完善。这是该平安体系结构的一大创新。第二节网络安全体系结构的内容

二、美国防部目标安全体系结构

与国防信息系统安全计划

第二章计算机网络平安体系结构

第二节网络安全体系结构的内容

二、美国防部目标安全体系结构

与国防信息系统安全计划

3.在网络平安特性中增列了“物理、规程及人员平安特性〞，从而第一次将有关平安的法律、法令、规程以及人事管理等工作都纳入平安体系结构，由此使平安问题能够更有效地全面统筹解决。第二章计算机网络平安体系结构

第二节网络安全体系结构的内容

二、美国防部目标安全体系结构

与国防信息系统安全计划4.把网络平安体系受到局部破坏或功能降低情况下仍能继续工作且受敌危害最小的特性，列作要求的平安特性。5.从多个角度，特别强调了在确保网络平安性的同时，要保证网络具有足够的互操作性。第二章计算机网络平安体系结构

第二节网络安全体系结构的内容

表2.4TCP/IP体系结构与OSI体系结构的对应关系三、基于TCP/IP的网络安全体系结构TCP/IP体系结构也是一种分层结构，其中的每一层，都对应于OSI体系结构的某一层或某几层。其具体的对应关系，如表2.4所示。TCP/IP体系结构OSI体系结构应用层FTP（文件传输协议）Telent（远程登录协议）SMT（简单邮件传输协议）SNMT（简单网络管理协议）应用层（AL）表示层（PL）会话层（SL）传送层TCP（传输控制协议）、UDP（用户数据报文协议）传送层（TL）互联网层路由协议IP（网际协议）ICMP（网络互联控制报文协议）网络层（NL）ARP（地址解析协议）、RARP（反向地址解析协议）网络接口层不指定数据链路层（DLL）物理层（PHL）第二章计算机网络平安体系结构表2.5基于TCP/IP的网络平安体系结构中平安效劳按网络层次的配置第二节网络安全体系结构的内容

基于TCP/IP的网络平安体系结构中，平安效劳按网络层次的配置情况如表2.5所示。表中有符号“√〞处，表示在该层能提供该项效劳。安全服务TCP/IP体系结构层次网络接口层互联网层传送层应用层对等实体鉴别√√√访问控制√√√数据保密√√√√数据完整性√√√数据源点鉴别√√√不容否认√三、基于TCP/IP的网络安全体系结构第二章计算机网络平安体系结构第一节网络平安体系结构的概念第二节网络平安体系结构的内容第三节网络平安的协议与标准第四节网络平安的评估第二章计算机网络平安体系结构第三节网络安全的协议与标准一、网络安全协议与标准的基本概念协议是网络的同一层次实体之间、为了相互配合完本钱层次功能而作的约定。所以，协议是网络体系结构的最终表达形式。对于网络平安体系结构而言，它的根本构成成分和最终表达形式就是网络平安协议。第二章计算机网络平安体系结构第三节网络安全的协议与标准

二、网络安全协议与标准举例美军JTA的信息系统平安标准JTA的信息系统平安标准本身又包括四个方面的标准，即：1.信息处理平安标准。2.信息传送平安标准。3.信息建模与信息平安标准。4.人-计算机接口〔HCI〕平安标准。第二章计算机网络平安体系结构第一节网络平安体系结构的概念第二节网络平安体系结构的内容第三节网络平安的协议与标准第四节网络平安的评估第二章计算机网络平安体系结构第四节网络安全的评估

一、美国NCSC的“可信计算机系统评估准那么〞“可信计算机系统评估准那么〞〔TCSEC-trustedcomputersystemevaluationcriteria〕通常被称为“桔皮书〞。“桔皮书〞将计算机系统的平安等级分为4档８个等级，在平安策略、责任、保证、文档等4个方面共设定了27条评估准那么。第二章计算机网络平安体系结构第四节网络安全的评估

一、美国NCSC的“可信计算机系统评估准那么〞不同的计算机信息系统即可以此为依据，按系统的实际需要和可能，从中选取具有不同平安保密强度的平安等级标准。现将该标准的4档８个平安等级，由低到高依次简述如下：1．D档D档为无保护档级，是平安等级的最低档。其主要特征是没有专门的平安保护，此档只有一个级别，即D级。D级：平安保护欠缺级。第二章计算机网络平安体系结构第四节网络安全的评估

一、美国NCSC的“可信计算机系统评估准那么〞

2．Ｃ