网络系统集成（第二版） 课件第六章 网络安全方案设计

第六章网络安全方案设计【内容介绍】本章介绍了网络安全现状，我们从现状分析得到应该采取什么样的策略，然后围绕策略，结合常见安全技术进行详细地讲解了网络准入控制及相关产品，防火墙技术及相关产品，网络入侵检测技术及相关产品，网络防病毒技术及相关产品，统一威胁管理及相关产品，网络传输安全及相关产品。最后通过具体的方案案例给予网络安全补充讲解。7.1网络安全基础随着互联网的飞速发展，网络安全逐渐成为一个潜在的巨大问题。网络安全性是一个涉及面很广泛的问题，其中也会涉及到是否构成犯罪行为的问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。大多数安全性问题的出现都是由于有恶意的人试图获得某种好处或损害某些人而故意引起的。可以看出保证网络安全不仅仅是使它没有编程错误。它包括要防范那些聪明的，通常也是狡猾的、专业的，并且在时间和金钱上是很充足、富有的人。同时，必须清楚地认识到，能够制止偶然实施破坏行为的敌人的方法对那些惯于作案的老手来说，收效甚微。6.2网络安全设计的步骤6.2.1信息安全的三要素信息安全的中心问题是要能够保障信息的合法持有和使用者能够在任何需要该信息时获得保密的，没有被非法更改过的“原装的”信息。在英文的文献中，信息安全的目的常常用Confidentiality(保密性),Integrity（完整性）,和Availability（可用性）,三个词概括。简而言之，叫CIA-Triad。6.2.2风险分析和管理网络安全风险分析主要是指：由于网络存在的安全漏洞，黑客们所制造的各类新型的风险将会不断产生，这些风险由多种因素引起，与网络系统结构和系统的应用等因素密切相关。（1）物理（2）网络（3）系统（4）应用1、物理安全风险分析网络物理安全是整个网络系统安全的前提。物理安全的风险主要有：地震、水灾、火灾等环境事故造成整个系统毁灭。电源故障造成设备断电以至操作系统引导失败或数据库信息丢失。电磁辐射可能造成数据信息被窃取或偷阅。不能保证几个不同机密程度网络的物理隔离。2、网络安全风险分析内部网络与外部网络间如果在没有采取一定的安全防护措施，内部网络容易遭到来自外部网络的攻击。包括来自internet上的风险和下级单位的风险。内部局域网不同部门或用户之间如果没有采用相应一些访问控制，也可能造成信息泄漏或非法攻击。据调查统计，已发生的网络安全事件中，70%的攻击是来自内部。因此内部网的安全风险更严重。内部员工对自身企业网络结构、应用比较熟悉，自己攻击或泄露重要信息内外勾结，都将可能成为导致系统受攻击的最致命安全威胁。3、系统的安全风险分析所谓系统安全通常是指网络操作系统、应用系统的安全。目前的操作系统或应用系统无论是Windows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统，其开发厂商必然有其后门（Back-Door），而且系统本身必定存在安全漏洞。这些“后门”或安全漏洞都将存在重大安全隐患。因此应正确估价自己的网络风险并根据自己的网络风险大小做出相应的安全解决方案。4、应用的安全风险分析应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。比如新增了一个新的应用程序，肯定会出现新的安全漏洞，必须在安全策略上做一些调整，不断完善。6.2.3安全策略设计为了有效的解决网络安全问题，不能单单从安全技术策略出发，而应该多方面的考虑整体策略，即网络安全的定义、范围、总体目标、安全管理措施和安全技术等几个方面。而在本文中，我们主要侧重于两方面来考虑，即安全管理、安全技术。下面将通过两方面的介绍来了解网络安全策略，1、安全管理通常所说的网络安全建设“三分技术，七分管理”，也就是突出了“管理”在网络安全建设中所处的重要地位。长期以来，由于管理的不完善、人员责任心差等因素导致网络安全事件时时发生。虽然现在有安全管理建设，真正实行还是有一定的难度，但是，安全管理在一定的程度上还是非常的重要，所以，我同样要加强安全管理建设，是实现安全技术的有效方式2、安全技术安全技术及安全产品在现时的网络安全建设中投入的成本比例是最大的，而且安全技术具有强制性手段，能杜绝许多不安全事件的发生，具有事前预防和事后修复的能力，还能实现安全事件的取证。6.3常见的网络安全手段随着计算机的普及和网络技术的迅速发展，人们也越来越依赖于计算机和网络。因此，网络安全应该也必须引起注意。网络安全是一门涉及计算机、网络、通讯、密码、信息安全、应用数学、数论、信息论等多种学科的综合性学科，涉及面极广，而且不断更新和发展。国家对信息产业的扶持，使国内的网络状况逐渐好转，更多的服务器的开通，更快的宽带网得逐渐普及，各种各样的攻击行为在网上也越来越频繁化和简单化。因此，网络安全的严峻性对网络管理员的水平提出了极高的要求。网络安全有以下几种常见的技术手段：密码技术、网络嗅探、安全扫描技术6.3.1密码技术随着密码学商业应用的普及，密码学受到前所未有的重视。除传统的密码应用系统外，PKI系统以公钥密码技术为主，提供加密、签名、认证、密钥管理、分配等功能。6.3.2网络嗅探网络嗅探是指局域网环境下网络数据的截获，针对不同的局域网环境嗅探的技术有所不同，分共享式网络和交换式网络。6.3.3安全扫描技术安全扫描技术主要分为两类：主机安全扫描技术和网络安全扫描技术。主机安全扫描技术是通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞。网络安全扫描技术主要针对系统中不合适的设置脆弱的口令，以及针对其它同安全规则抵触的对象进行检查等。网络安全扫描技术是一类重要的网络安全技术。6.3.4无线网络安全问题安全问题是无线网络的核心问题，也是由它的固有的属性决定的。其中一些安全威胁和有线网络相同，另一些则是无线网络特有的。由于无线局域网采用公共的电磁波作为载体，电磁波能够穿过天花板、玻璃、楼层、砖、墙等物体，因此在一个无线局域网接入点(AccessPoint)所服务的区域中，任何一个无线客户端都可以接受到此接入点的电磁波信号，这样就可能包括一些恶意用户也能接收到其他无线数据信号。这样恶意用户在无线局域网中相对于在有线局域网当中，去窃听或干扰信息就来得容易得多。无线网络所面临的安全威胁主要有以下几类：1、网络窃听2、中间人欺骗3、WEP破解4、MAC地址欺骗5、地址欺骗和会话拦截6、高级入侵6.3.5网络操作系统安全加固如何保护通用操作系统的安全，主要有下列防范措施：1、使用强密码2、做好边界防御3、更新软件，打补丁4、关闭没有使用的服务5、使用数据加密6.3.6防火墙技术从分布式来看，有个人防火墙、边界网络防火墙和分布式防火墙。其中个人防火墙是最简单，也是应用最为广泛的，比如360个人防火墙和；边界防火墙属于企业内网与外网的安全隔离的传统技术，几乎所有的企业网络都有，称为网络防火墙；分布式防火墙相对于传统防火墙，分布式防火墙要负责对网络边界、各子网和网络内部各节点之间的安全防护，是一个完整的防护系统，而不是单一的产品，根据其所需完成的功能，分布式防火墙体系结构包含网络防火墙、主机防火墙、中心管理。从防火墙的实现层次上可以分两种：包过滤防火墙和应用层网关级防火墙。包过滤是在IP层实现的，主要表现为报文过滤，根据报文的源IP地址、目的IP地址、协议类型（TCP包、UDP包、ICMP包）、源端口、目的端口及报文传递方向等报头信息来判断是否允许报文通过，现在在此基础上有更强的过滤技术：基于内容的智能型和基于网络连接状态的状态型。防火墙应用示例6.3.7入侵检测技术基于网络的入侵检测系统的主要特点为：广泛适用于各种网络环境，不影响现有网络性能实时的检测和响应监控来源于网络的入侵行为和攻击企图使得攻击者转移证据困难独立的系统，不需改变原有网络结构，不需在任何主机上安装程序2、入侵检测工作流程通常，入侵检测系统在分析和判断攻击行为、特定行为或违反策略的异常行为时，需要经过下列四个阶段：（1）数据采集，网络入侵检测系统（NIDS）利用处于混杂模式的网卡来获得通过网络的数据，采集必要的数据用于入侵分析。（2）数据过滤，根据预设的阈值，进行必要的数据过滤，从而提高检测、分析的效率。（3）攻击检测/分析，根据定义的安全策略，来实时监测并分析通过网络的所有通信业务，使用采集的网络包作为数据源进行攻击辨别，通常采用模式匹配、表达式或字节匹配、频率或穿越阀值、事件的相关性和统计异常检测等技术来识别攻击。（4）事件报警/响应，当IDS一旦检测到了攻击行为，其响应模块就提供多种选项以通知、报警并对攻击采取相应的反应，例如通知管理员、记录数据库等。3、入侵检测的基本体系结构传感器管理平台事件分析数据库TCP/IP网络传感器……信息分析事件收集响应控制图6.2入侵检测基本体系结构4、常见的入侵检测技术(1)模式匹配(2)异常检测(3)协议分析(4)会话检测(5)实时关联检测6.3.8病毒防范主要采用防病毒软件6.4传统网络安全产品及选型6.4.1防火墙1、防火墙产品选型：在选择网络防火墙时，应主要考虑网络的规模、网络的架构、网络的安全需求、在网络中的位置，以及网络端口的类型等要素，选择性能、功能、结构、接口、价格都最为适宜的网络安全产品。（1）系统性能（2）接口（3）并发连接数（4）吞吐量（5）安全过滤带宽（6）支持用户数华为USG2000防火墙产品图华为USG6300防火墙产品图6.4.2入侵检测图6.5RG-IDS入侵检测系统产品图6.4.3统一威胁图6.6UTM功能集合6.4.4桌面安全管理系统桌面安全管理（又称终端安全管理）是为企业级用户提供全面高效的计算机设备管理手段，监控企业内IT环境的变化，保障计算机设备正常运行，大幅度降低维护成本，帮助