第十二章 网络安全与网络管理

第十二章网络安全与网络管理

第一节网络安全概述

12.1.1计算机网络面临的威胁具体表现：1身份窃取:指用户的身份在通信时被他人非法截取2非授权访问:指对网络设备及信息资源进行非正常使用或越权使用等3冒充合法用户:主要指各种假冒或欺骗的手段非法获得合法用户的使用权限，以达到占用合法用户资源的目的4数据窃取:指非法用户截取通信网络中的某些重要信息

5破坏数据的完整性:指使用非法手段，删除、修改、重发某些重要的信息，以干扰用户的正常使用。6拒绝服务:指通信被终止或时实操作被延迟7否认:指通信的双方有一方事后否认曾参与某次活动8数据流分析:指分析通信线路中的信息流向、流量和流速等，从中或得有用信息9干扰系统正常运行:指改变系统的正常运行方法，减慢系统的响应时间等手段10病毒与恶意攻击:指通过网络传播病毒或恶意攻击等

12.1.2计算机网络安全的内容①保密性。②安全协议的设计。③接入控制。展开说见书216-217第二节数据加密概述计算机密码学时解决网络安全问题的技术基础，是一个专门的研究领域。密码技术主要包括以下几个方面：（1）加密，把明文转换成密文的过程。（2）解密，把密文转换成明文的过程。（3）认证，识别个人、网络上的机器或机构。（4）数字签名，是把密文和用来解码的密钥一起发送，而该密钥本身又被加密，还需要另一个密钥来解密。（5）签名识别。数字签名的反过程，它证明签名有效。12.2.1对称密钥密码体制对称密钥密码体制定义：只用一个密钥对信息进行加密和解密。优点：使用的加密算法比较简便高效，密钥剪短，破译极其困难，因此具有很高的保密强度。12.2.1对称密钥密码体制缺点:①密钥使用一段时间后就要更换，加密方每次启动新密码时，都要经过某种秘密渠道把密钥传给解密方，而密钥在传递过程中很容易泄露。②网络通信时，如果网内的所有用户都使用同样的密钥，就失去了保密的意义，但如果网内任意两个用户通信时都使用互不相同的密钥，则密钥量太大，难于管理。③无法满足互不相识的人进行私人谈话时的保密要求，Internet中，有时互不相识的两方需要传送加密信息。④难于解决数字签名验证的问题。12.2.2公开密钥密码体制定义（考过名词解释）：如果将一个加密系统的加密密钥和解密密钥分开，则加密和解密分别由两个密钥来实现，并使得由加密密钥推导出解密密钥在计算机上是不可行的。加密密钥公之于众，谁都可以用，解密密钥只有解密人自己知道，分别称为“公开密钥”和“私密密钥”。公开密钥密码体质称为部队称密钥密码体制。12.2.2公开密钥密码体制优点：①密钥分配简单。由于加密密钥和解密密钥不同，且不能由加密密钥推导出解密密钥，而解密密钥则由用户自己掌握。②密钥的保存量少。网络中的每一密码通信成员只需秘密保存自己的解密密钥，N个成员只需产生N对密钥，便于密钥管理。③可以满足互不相识的人之间进行私人谈话时的保密性要求。④可以完成数字签名和数字鉴别，发信人使用只有自己知道的密钥进行签名，收信人利用公开密钥进行检查，既方便又安全。12.2.3密钥分配密钥管理包括密钥的产生、分配、注入、验证和使用。密钥的网内分配方式有两种：一种是在用户之间只按实现分配，另一种是设立一个密钥分配中心KDC(KeyDistributionCenter)，通过KDC来分配密钥。后一种方法已成为使用得较多的密钥分配方法。第三节网络环境下的威胁和安全措施12.3.1网络安全的威胁网络环境下对网络安全的威胁有三类：①未经许可地析出信息；②未经许可地篡改信息；③未经许可地拒绝或中止一些用户对资源的使用。主动攻击有三种：更改报文流；拒绝报文服务；伪造连接初始化。对于更改报文流的抗击采取哪些措施：对于更改报文流的抗击就是要检测报文的完整性，真实性和有序性。为保证报文的完整性，必须采用鉴别技术；为保证报文的真实性，应在所有时间内使每个连接都有唯一的标识符，并将此标识符加到通过此连接的每一个PDU上，为了防止对有序性的攻击，可在每一个PDU中增加一个序号，同时不能再某个连接唯一标识符存在期间重复使用该符号。计算机网络通信安全的五个目标：①防止析出报文内容；②防止信息量分析；③检测更改报文流；④检测拒绝报文服务；⑤检测伪造连接初始化。12.3.2实现通信安全的加密策略1链路加密在采用链路加密的网络中，每条通信链路上的加密是独立实现的。通常对每条链路使用不同的加密密钥。最大缺点是在中间节点都暴露了信息的内容。2端到端加密端到端加密是在源结点和目的结点中对传送的PDU进行加密和解密为了获得更好的安全性，可将链路加密与端到端加密结合在一起使用。链路加密用来对PDU的目的地址进行加密，而端到端加密则提供了对端到端的数据进行保护。12.3.3在端到端加密下的若干措施一被动攻击防止析出报文内容应直接采用加密技术。运输层是实现端到端加密的最低层二主动攻击1对于更改报文流要检测报文的完整性、真实性和有序性。保证报文的完整性采用鉴别技术。保证报文的真实性，在所有时间内使每个连接都有唯一的标识符。保证报文的有序性，在每一个PDU中增加一个序号。2对于拒绝报文服务要增加一个请求应答机构。3伪造连接初始化攻击有两种：A以假的身份建立一个连接。解决方法：使连接必须按某种方法来建立。B重发一个以前是合法的连接初始化序列的记录。解决方法：验证初始化过程是否是实时的。第四节网络防火墙概述需要保护的数据有三个典型的特征：1）保密性；2）完整性；3）可用性。防火墙是用来保护网络数据、资源和用户声誉的。防火墙能够确保如电子邮件、文件传输、远程登录或在特定的系统间信息交换的安全。逻辑上讲，防火墙是分离器、限制器、分析器。物理角度看，防火墙是一组硬件设备——路由器、主计算机或路由器、计算机和配有适当软件的网络的多种组合。12.4.1Internet防火墙防火墙主要的优点：1、防火墙能强化安全策略2、防火墙能有效地记录Internet上的活动3、防火墙限制暴露用户点4、防火墙是一个安全策略的检查站防火墙的缺点：1、防火墙不能防范恶意的知情者2、防火墙不能防范不通过它的连接3、防火墙不能防备全部的威胁4、防火墙不能防范病毒12.4.2防火墙设计防火墙设计主要有以下几种类型：1双重宿主主机，有至少两个网络接口的计算机系统。2屏蔽主机。3屏蔽子网。基本概念：1.数据包过滤在内部与外部的主机之间有选择的发送数据包，但它们是有选择地执行。它们按照自己站点的安全策略允许或阻止某些类型的数据包通过，控制由路由器执行。称为屏蔽路由器屏蔽路由器与普通路由器的区别：主要在于普通路由器只是简单地查看每一个数据包的目标地址，而且选取数据包发往目标地址的最佳路径。如何处理数据包上的目标地址，一般有两种情况出现：1路由器知道如何发送数据包到起目标，则发送。2路由器不知道如何发送数据包到其目标，则退还数据包，经由ICHP向源地址发送“不能到达目标”的消息。屏蔽路由器放置在内部网络与interner直接，作用为：1屏蔽路由器将负担更大的责任，它不但需要执行转发及确定转发的任务，而且它是唯一的保护系统。2如果安全保护失败，内部的网络将被暴露。3简单的屏蔽路由器不能修改任务。4屏蔽路由器能容许或否认服务，但它不能保护在一个服务之内的单独操作。2.代理服务是运行在防火墙主机上的专门的应用程序，或者称服务程序。代理就是一个提供替代连接并且充当服务的网关。透明是代理服务的一大优点。代理服务有两个主要的部件：代理服务器和代理客户。12.4.3防火墙体系结构防火墙的体系结构，一般有：双重宿主主机体系结构，被屏蔽主机体系结构和被屏蔽子网体系结构。见书225-226屏蔽子网体系的组成：（出简答题）1周边网络2堡垒主机3内部路由器4外部路由器。代理服务的优点1代理服务允许用户直接访问因特网2代理服务适合于做日志代理服务的缺点：①代理服务落后于非代理服务。②每个代理服务要求不同的服务器。③代理服务一般要求对客户或程序进行修改。④代理服务对某些服务来说是不合适的。⑤代理服务不能保护用户不受协议本身缺点的限制。第五节代理服务简介第六节网络管理12.6.1网络管理的功能与网络管理标准简介为实现开放系统的互连，国际电信联盟制定了电信管理网标准，该标准包括的五个方面：性能管理、故障管理、配置管理、计费管理和安全管理。---出简答题性能管理：性能管理是对网络管理性能的管理，要求做到对网络的特性、资源利用率和有关通信活动进行分析，以帮助网络管理人员评价网络资源及相关的通信活动和效率。有效的性能管理能优化网络性能，最大限度的满足不同层次用户对网络的需求。网络性能包括：系统资源的运行状况和通信效率等系统性能，其功能包括：监事和分析被官网络及其所提供的服务的性能机制。性能管理收集、分析有关被管网络当前状况的数据信息，并维护和分析性能日志，其典型的功能包括：①收集信息。②维护并检查系统状态日志。③确定自然和人工和人工状态下的性能。④改变系统操作模式以进行系统系能管理。故障管理包括以下五项性能：①维护并检查错误日志；②接受错误检测报告并做出相应；③跟踪、辨认错误；④执行诊断测试；纠正错误。故障管理主要是对网络设备和服务器故障进行检测、诊断、故障排除、维修和报告。故障主要发生在三个方面：硬件、软件和电缆系统。故障检查主要检查网络参数，如帧头长度、帧顺序、CRC错、冲突发生的频度等。配置管理：是维护网络正常有序运行的重要手段，它初始化网络并配置网络，以使其提供网络服务。目的是实现某个特定功能或网络性能达到最优。配置管理的任务：是识别网上设别和而用户，收集必要的数据，为通信系统的初始化提供数据，而且要提供连续可靠的连接。文件管理的任务：帮助用户查询文件而不必使用文件的全名或具体的目录位置。计费管理：负责记录网络资源的使用，目的是控制和检测网络操作的费用和代价，它对一些公共商业网络尤为重要。安全管理：是网络管理中非常重要的内容。网络中主要有以下几大安全问题：网络数据的私有性、授权、访问控制。网络安全管理应包括：对授权机制、访问控制、加密和加密关键字的管理，另外，还要维护和检查安全日志。对数据的保护应注意以下几点：①局域网上承受安全危险最大的是工作站的电缆。②网络操作系统对逻辑访问的管理包括两个部分，一是控制用户对网络的访问；二是保护文件不被不该访问的用户访问，不被随意修改和删除。③访问控制的目的是控制用户对网上文件的访问。④病毒是威胁信息安全的大敌，应该高度重视。12.6.2网络管理协议简述1.SNMP简述是一个简单网络管理协议，是使用户能够通过轮询、设置一些关键字和监视某些网络时间来达到网络管理的目的的一种网络协议。SNMP的结构：SNMP管理者和SNMP代理以及管理信息裤MBI。早期的SNMP有许多不足之处，主要表现在：①由于SNMP是基于TCP/IP的一种网络管理协议，所以它不超过TCP/IP的范围。②像所有TCP/IP协议族中的协议一样，SNMP对安全问题考虑甚少。③当SNMP刚刚面世时，SNMP没有提供允许管理程序共享信息和互相通信的机制，因此降低了管理灵活性，并增加了网络负载。该进后的SNMP有以下的特点：①PDU在改进后的SNMP中增加了两种新的数据原语。②改进或的SNMP支持SNMP中的集中式网络管理机制，用一台管理器进行全网络管理，或者将网络分割成若干小单元，每个小单元中使用一台管理器进行管理。③通过加密和鉴别技术、改进后的SNMP提供更强的安全功能。2.CIMP简述CIMP协议：是在OSI制订的网络管理框架基础上提出的网络协议，与其说它是一个网络管理协议还不如说它是一个网络管理体系。这个体系包括以下组成部分：一套用于描述协议的模型，一组用于描述被管对象的注册、标志和定义的管理信息结构，被管理对象的详细说明以及用于远程管理的原语和服务。CIMP和SNMP一样，也是由被管代理和管理者、管理协议和管理信息库组成。CIMP管理模型可以用三种模型进行描述：组织模型用于描述管理任务如何分配；功能模型描述了各种网络管理功能合它们之间的关系；信息模型提供了描述被管对象和相关管理信息的准则。从组织模型来说，所有CIMP的管理者和被管理者存在一个或多