【计算机网络培训】网络安全

风络培训班

网络安全

一清华大学计算机与信息管理中心.

电话：62781849传真：62782728

版权所有，1998(c)清华大学计算机与信息管理中心蒋东兴.

:网络安全

置网络安全概述

同安全技术

同网络常用攻击工具简介

目防火墙系统介绍

鼠网络安全实例分析

2012年2月21日3时15网络安全2

分

:网络安全概述

囿什么是计算机信息系统安全

凰计算机安全的基本要求

f网络安全应考虑的一般原则

鼠侵袭的类型

鼠计算机安全的衡量指标

凰安全对策

囿安全级别的划分

2012年2月21日3时15网络安全3

分

::什么是计算机信息系统安

口计算机信息系统安全是指计算机系统的

硬件、软件、数据受到保护，不因偶然

的或恶意的原因而遭到破坏、更改、显

露，系统连续正常运行。

-我们要保护的：计算机系统的硬件、软件、数据；

-我们需要的：稳定而合乎要求的运行环境；

-我们要防止的：因偶然的或恶意的原因而遭到破坏、

更改、显露；

-我们的目标：系统能连续正常运行。

2012年2月21日3时15网络安全4

分

计算机安全的基本要求0肥

凰安全保密(Secrecy/Con行dentiality)

安全保密是指防止对信息的非授权访问。这也许是信

息安全最重要的要求。

凰完整性(Integrity)/精确性(Accuracy

完整性是指信息在存储或传输过程中不被破坏、不丢

失、或不被未经授权的恶意的或偶然的修改。

副可用性(Availability)

可用性是指计算机系统的硬件和软件保持有效的运行,

并且系统在发生灾难时能够快速完全的恢复。。

2012年2月21日3时15网络安全5

分

:网络安全应考虑的一般原

富需求、风险、代价平衡分析的原则

■综合性、整体性原则

口一致性原则

可易操作性原则

■适应性、灵活性原则

解可评价性原则

2012年2月21日3时15网络安全6

分

:侵袭的类型

常入侵：侵袭者通过非法途径进入计算机

系统，向合法用户一样使用计算机。如

盗用口令、使用系统后门。

目拒绝服务：是一种旨在彻底地阻止用户

合法使用自己的计算机资源的一种侵袭。

如邮件炸弹、TCPSYN淹没等。

冒盗窃信息：偷盗有用的数据信息。

2012年2月21日3时15网络安全7

分

:计算机安全的衡量指标

廓脆弱点(vulnerability)：脆弱点是系统

中容易被攻击的地方。

削威胁(threat)：威胁是系统可能的的危

险，危险可能是利用系统弱点的人(系

统破坏者和间谍)、事(不完善的设备

和事件(火灾和洪水)。

富对策(countermeasure)：对策是保护系

统的技术。

2012年2月21日3时15网络安全8

分

:脆弱点

物理：大楼和机房。锁、门卫和生物测定设备（如指

纹、声波纹、签名）可以提供重要的第一道防线以防

止侵入。

副自然：自然灾难和环境威胁。如火灾、洪水、地震、

灰尘、湿度等。

硬件和软件：硬件故障、软件错误、以及硬件连接不

正确和软件安装不正确等。

媒体：磁盘、磁带和打印品可能被偷和毁坏等。

辐射：电子设备发射的电信号和电磁辐射可能被破译。

通信：信息被截取、错投和伪造等，通信线路被分接、

破坏等。

人：系统管理员没有被培训、或犯罪等。

2012年2月21日3时15网络安全9

分

:威胁

富自然和物理威胁：使每一个物理设备处

于危险中的威胁，如火灾、洪水、电力

故障以及其它灾难。

目无意的威胁：因无知带来的危险。

目有意的威胁：这就是安全产品极力防止

的危险，它来自两个方面：外部人士与

内部人员。

2012年2月21日3时15网络安全10

分

:对策

匐计算机安全：保护存放在计算机系统中信息的

安全。计算机安全主要关心控制系统及系统中

数据的访问权限的操作系统特征。

通信安全：保护信息通过电话、电缆、微波、

卫星等传输时的安全。通信安全主要关心对计

算机系统的网络访问，和增进连接到外部世界

的系统的安全的技术。

物理安全：保护物理计算机设备不受自然灾难

和入侵者破坏。物理安全方法包括传统的锁和

钥匙，以及先进的技术，如智能卡和生物测定

设备。

2012年2月21日3时15网络安全11

分

安全对策

避免(Avoidance)

与转移(Transfer)

减少威胁(ReductionofThreat)

解减少脆弱点(ReductionofVulnerability)

实时发现(Real-timeDetection)

与非实时发现(Non-real-timeDetection)

减少影响(ReductionofImpact)

菖实时恢复(Real-timeRecovery)

非实时恢复(Non-real-timeRecovery)

2012年2月21日3时15网络安全12

分

安全级别的划分

NCSC(NationalComputerSecurityCenter)领导着计

算机和网络安全的研究工作，研制计算机安全技术标

准，它在1983年提出了“可信计算机系统评测标

准“(TCSEC-TrustedComputerSystemEvaluation

Criteria),规定了安全计算机的基本准则。1987年又发

布了“可用网络说明"(TNLTrustedNetwork

Interpretation),规定了一个安全网络的基本准则，根据

不同的安全强度要求，将网络分为四级安全模型。

解在TCSEC准则中将计算机系统的安全分为了四大类,

依次为D、C、B和A,A是最高的一类，每一类都代表

一个保护敏感信息的评判准则，并且一类比一类严格。

2012年2月21日3时15网络安全13

分

安全级别的划分

D类：最小的保护。这是最低的一类，不再分

级，这类是那些通过评测但达不到较高级别安

全要求的系统。早期商用系统属于这一类。

C类：无条件的保护。C类提供的无条件的保护

也就是“需要则知道"(need-to-known)的保护,

又分两个子类。

-C1：无条件的安全保护。这是C类中较低的一个子

类，提供的安全策略是无条件的访问控制，具有识

别与授权的责任。早期的UNIX系统属于这一类。

-C2：有控制的存取保护。这是C类中较高的一个子

类，除了提供C1中的策略与责任外，还有访问保护

和审计跟踪功能。如SCOUNIXo

2012年2月21日3时15网络安全14

分

安全级别的划分

囿B类：属强制保护，要求系统在其生成的

数据结构中带有标记，并要求提供对数

据流的监视，B类又分三个子类：

-B1：标记安全保护，是B类中的最低子类，

除满足C类要求外，要求提供数据标记。

-B2：结构安全保护，是B类中的中间子类，

除满足B1要求外，要实行强制性的控制。

-B3：安全域保护，是B类中的最高子类，提

供可信设备的管理和恢复，即使计算机崩溃,

也不会泄露系统信息。

2012年2月21日3时15网络安全15

分

:安全级别的划分

[fA类：经过验证的保护，是安全系统等级

的最高类，这类系统可建立在具有结构

规范和信息流密闭的形式模型基础之上

-A1：经过验证保护。

TCSEC共定义了四类7级可信计算机

系统准则，银行界一般都使用满足C2级

或更高的计算机系统。

2012年2月21日3时15网络安全16

分

::安全技术

i身份验证

副访问控制

鼠加密

匐防火墙技术

・记帐

2012年2月21日3时15网络安全17

分

:身份验证

冒身份验证(IdentificationandAuthentication)是

一致性验证的一种，验证是建立一致性

证明的一种手段。身份验证主要包括验

证依据、验证系统和安全要求。

fIdentification是指用户向系统出示自己的

身份证明，最简单的方法是输入UserID

和password。而Authentication则是系统查

验用户的身份证明。

2012年2月21日3时15网络安全18

分

:访问控制

目访问控制(AccessControl)功能控制和定义

一个对象对另一个对象的访问权限。在

面向对象的安全系统中，所有资源、程

序甚至用户都是对象。安全系统必须有

一组规划，当一个对象要访问另一个对

象时，系统可根据这些规划确定是否允

许这一访问。

冒最常见的访问控制是Unix系统的文件与

目录的访问权限控制。

2012年2月21日3时15网络安全19

分

:加密

[I加密是一种很古老的保护信息安全的方

法，在现代计算机安全中，它也起着很

重要的作用。如PGP(PrettyGoodPrivacy)>

数据加密标准(DES)等。

[i加密方法有两种：公共密钥加密和专用

密钥加密。

2012年2月21日3时15网络安全20

分

:专用密钥加密

冒专用密钥加密具有对称性，即加密密钥

也可以用作解密。最有名的专用密钥加

密系统就是数据加密标准(DES),这个标

准现在由美国国家安全局和国家标准与

技术局来管理。另一个系统是国际数据

加密算法(IDEA),它比DES的加密性好,

而且商要的计算机功能也不么强。IDEA

加密标准由PGP(PrettyGoodPrivacy)系统

使用。

2012年2月21日3时15网络安全21

分

:公共密钥加密

冒公共密钥加密使用两个不同的密钥，因

此是一种不对称的加密系统。它的一个

密钥是公开的，而系统的基本功能也是

有公共密钥的人可以访问的，公共密钥

可以保存在系统目录内或保存在未加密

的电子邮件信息中。它的另一个密钥是

专用的，它用来加密信息但公共密钥可

以解密该信息，它也可以对公共密钥加

密的信息解密。

2012年2月21日3时15网络安全22

分

::防火墙技术

副防火墙是在内部网与外部网之间实施安

全防范的系统，可被认为是一种访问控

制机制，用于确定哪些内部服务允许外

部访问，以及允许哪些外部服务访问内

部服务。

目防火墙有三种类型：包过滤路由器、应

用级网关（或代理服务器）、线路级网关。

2012年2月21日3时15网络安全23

分

:记帐

冒在系统中保留一个日志文件，与安全相

关的事件可以记在日志文件中，以便于

事后调查和分析，追查有关责任者，发

现系统安全的弱点。

凰如Unix的syslog可以记录系统的一些日志。

另外，可以采用专用的记帐程序来对关

心的网络系统进行记帐。

2012年2月21日3时15网络安全24

分

:网络常用攻击工具简介

鼠扫描器

鼠口令“入侵者”

鼠特洛伊木马

囿Sniffer

匐其它工具

2012年2月21日3时15网络安全25

分

:扫描器

冒扫描器是自动检测远程或本地主机安全

性弱点的程序。真正的扫描器是TCP端

口扫描器，这种程序可以选通TCP/IP端

口和服务（如telnet或FTP）,并记录目

标的回答。通过这种胃法，可以收集到

关于目标主机的有用信息。

置扫描器的主要属性有：

-寻找一台机器或一个网络；

-一旦发现一台机器，可以找出机器正在运行

的服务；

-测试具有漏洞的那些服务。

2012年2月21日3时15网络安全26

分

:流行的扫描器

fNSS（网络安全扫描器）

NSS是一个Perl语言写的扫描器，它可以

执行下列常规检查：

*^Sendmail

令匿名FTP

令NFS出口

令TFTP

令Hosts.equiv

OXhost

dStrobe（超级优化TCP端口检测程序）

Strobe是一个TCP端口扫描器，它可以记

录指定机器的所有开放端口。

2012年2月21日3时15网络安全27

分

:流行的扫描器

fSATAN（安全管理员的网络分析工具）

SATAN用于扫描远程主机的许多已知的

漏洞，其中：

-FTPD弱点和可写的FTP目录

-NFS弱点

-NIS弱点

-RSH弱点

-Sendmail

-X服务器弱点

2012年2月21日3时15网络安全28

分

:防御扫描器的办法

鼠使用详细的日志；

••

副定期分析日志，特别是关心其中的异常

事件。

2012年2月21日3时15网络安全29

分

:口令“入侵者”

f口令入侵者是指任何可以解开口令或者

屏蔽口令保护的程序。口令入侵者都使

用“蛮力”——以很高的速度，一个口

令接一个口令地去试，最终找到正确的

口令。它经常利用有问题的而缺乏保护

的口令进行攻击，这是最常见的攻击方

式之一。

2012年2月21日3时15网络安全30

分

:常用口令入侵者程序

0AlecMuffett的Crack用于破解加密

UNIX口令的最著名的工具，它现已程序

检查网络口令弱点的工业标准。

囿Jackal的CrackerJack是一个专为DOS

平台设计的、著名的UNIX口令入住多

常SolarDesigner的JohntheRipper可运彳亍于

DOS/Windows95平台的UNIX口令入侵

者。

富MichaelA.Quinlan的ZipCrack是用于破

解后缀是.zip的文件的口令。

2012年2月21日3时15网络安全31

分

:防止口令入侵者的办法

常使用安全的口令（不是字典中的词，字

••母、数字、特殊字符混合使用）；

鼠经常修改口令。

2012年2月21日3时15网络安全32

分

:特洛伊木马

[I特洛伊木马是包含在正常程序中的未经

*授权的代码或程序，它提供了一些用户

不知道的（也可能是不希望实现的）功

能。

1防止特洛伊木马的办法：

-不轻易使用不明底细的可执行文件；

-检测文件完整性（利用时间、长度等信息）；

-使用工具（如MD5、Hobgoblin等）。

2012年2月21日3时15网络安全33

分

:Sniffer（嗅探器）

冒Sniffer既可以是硬件，也可以是软件，它

用来接收在网络上传输的信息。Sniffer是

一种很危险的工具，因为它们：

-可以截获口令；

-可以截获秘密的或专有的信息；

-可以被用来攻击相邻的网络。

-如何挫败一个Sniffer：

_力口密

口使用.全的网络拓扑结构

2012年2月21日3时15网络安全34

分

:其它工具

自邮件炸弹和列表链接；

••

鼠拒绝服务(Denial-of-Service)工具;

耳病毒。

2012年2月21日3时15网络安全35

分

防火墙系统介绍

副防火墙星连接网络到因特网同时又保护

那个网落的最有效的办法。

冒定义：所谓防火墙就是一个或一组网络

设备（计算机或路由器等），可用来在两上

或多个网络间加强访问校制。

-在学术界，也有人持不同的意见，他们认为

防火墙应是完全不同于路由器的设备，是可

在应用层对报文分组进行处理的网络安全设

备，如双宿主机、应用层网关等。而把硬件

加密设备、筛选路由器等工作在网络层以下

的设备只看作防火墙的组成部件。

2012年2月21日3时15网络安全36

分

[I防火墙是安全决策的焦点：把防火墙看

做阻塞点，所有进出的信息必须穿过这

个唯一的、狭窄的检查点。防火墙为网

络安全起到了把关的作用。

[I防火墙能强制安全策略：因特网的许多

服务是不安全的，防火墙是这些服务中

的“交通警察”，它执行站点的安全策

略，仅仅允许“认可的”和符合规则的

服务通过。

2012年2月21日3时15网络安全37

分

:防火墙能做什么

口防火墙能有效地记录因特网活动：作为

访问的唯一点，防火墙能在被保护的网

络和外部网络之间进行记录。

tI防火墙可以限制信息的显露：防火墙可

以用来隔离两个网段，它能防止影响一

个网段的问题拿过整个网络传播。

I防火墙是设置网络地址翻译器(NAT)的最

住改置：网址翻译器官助于缓和地址空

间的不足，并向使一个机构变换Internet

服务提供商时不必重新编号。

2012年2月21日3时15网络安全38

分

1防火墙不能防范恶意的知情者；

1防火墙对不通过它的连接难有作为;

鼠防火墙不能防备完全新的威胁；

鼠防火墙不能防备病毒；

鼠防火墙不能防止数据驱动式的攻击。

2012年2月21日3时15网络安全39

分

防火墙的基本准则

匐一切未被允许的就是禁止的。基于该准则，防火墙应

封锁所有信息流，然后对希望提供的服务逐项开放。

这是一种非常实用的方法，可以造成一种十分安全的

环境，因为只有经过仔细挑选的服务才被允许使用。

其弊端是，安全性高于用户使用的方便性，用户所能

使用的服务范围受限制。

解一切未被禁止的就是允许的。基于该准则，防火墙应

转发所有信息流，然后逐项屏蔽可能有害的服务。这

种方法构成了一种更为灵活的应用环境，可为用户提

供更多的服务。其弊端是，在日益增多的网络服务面

前，网管人员疲于奔命，特别是受保护的网络范围增

大时，很难提供可靠的安全防护。

2012年2月21日3时15网络安全40

分

::防火墙的结构

防火墙的结构分为三种：基于路由器的过滤器、

主计算机网关和一个独立的隔离网络。

-建立防火墙的最简单方法是使用可编程路由器作为

包过滤器，这种方案是目前用得最普遍的网络互连

安全结构。路由器根据源/目的地址或包头部的信息,

有选择地使数据包通过或阻塞。

-基于主机的防火墙，具有更大的能力。通常用路由

器的防火墙监控IP层的数据包，用计算机在应用层

实施控制。

-隔离网络是位于外部网络和内部网络之间的网络，

它使Internet和内部网络都能对它进行存取，避免了

内部网络与外部网络的直接访问。

2012年2月21日3时15网络安全41

分

:防火墙的基本类型

口包过滤型(PacketFilter)

♦口代理服务型(ProxyService)

:匐双端主机防火墙(Dual-HomedHostFirewall)

•鼠屏蔽主机防火墙(ScreenedHostFirewall)

•解屏蔽子网防火墙(ScreenedSubnetFirewall)

2012年2月21日3时15网络安全

分

:包过滤型

通

路-H

，

因

J力

一

过

商mHX

力

一

。

酚^

一

U苴

宁1

s色5

规MW

自U

包

。W

Hsaw包I.PI

锵.IP

TsAAW

TP港JDCN/

口

TTC卷^

ne、

TC的

IP端

出

入

口

DP包

P/口I

rc口

一

u>n输^

IC如

居

接P.J

到

规

口W

仃

允

鲁

，