计算机网络安全技术.ppt

1、计算机网络安全技术,第1章 计算机网络安全概述,本章要点： 网络安全的概念及涵义 网络安全的特性与安全威胁 网络分层模型及各层的安全性 安全网络的体系结构模型 OSI体系结构的安全机制与安全服务 网络安全体系结构模型分析 核心：安全并非是一件产品，而是一个完整的过程。,1.1 网络安全概述,1.1.1 网络安全案例 1.1.2 计算机安全和网络安全的含义 1.1.3 安全网络的特征 1.1.4 网络的安全威胁与安全网络的实现,1.1.1 网络安全案例,国外计算机网络出现的安全问题案例 我国计算机网络出现的安全问题案例,从案例中可以看到的问题： 随着网络互联程度的扩大，基于物理上的安全机制对于网

2、络环境几乎是行同虚设。 目前网络上使用的协议（如TCP/IP）在设计之初就没有将网络安全问题考虑在设计之中。 网络的开放性和资源共享也是安全问题的主要根源之一，加密、网络用户身份鉴别、存取控制策略等技术手段还不完善。,1.1.2 计算机安全和网络安全的含义,网络安全的定义： 网络系统的硬件、软件及其系统中运行的数据受到保护，不因偶然的或者恶意的原因遭到破坏、更改、泄漏，系统可连续、可靠、正常地运行，网络服务不中断。,网络安全在不同应用环境下的不同解释,网络安全在不同应用环境下的不同解释,运行系统安全保证信息处理和传输系统的安全。本质上是保护系统的合法操作和正常运行。 网络上系统信息安全包括用口

3、令鉴别、用户存取权限控制、数据存取权限、存储方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密等。 网络上信息传播安全信息传播后果的安全性，主要是信息过滤。侧重于防止和控制非法、有害的信息进行传播。本质上是维护道德、法律和国家利益。 网络上信息内容的安全狭义的“信息安全”，侧重于保护信息的保密、真实性和完整性。本质上是保护用户的利益和隐私。,1.1.3 网络安全的特性,保密性保证只有授权用户可以访问数据，而限制其他用户对数据的访问。数据的保密性分为网络传输的保密性和数据存储保密性两个方面。网络传输保密性通过对传输数据进行加密处理来实现；数据存取保密性主要通过访问控制来实现。 完整性数据

4、未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。一般通过访问控制、数据备份和冗余设置来实现数据的完整性。,1.1.3 网络安全的特性,可用性可被授权实体访问并按需求使用的特性，即当需要时能否存取和访问所需的信息。网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击。 不可否认性（不可抵赖性）在信息交互过程中确信参与者的真实同一性，所有参与者都不能否认和抵赖曾经完成的操作和承诺。数字签名技术是解决不可否认性的重要手段之一。 可控性人们对信息的传播途径、范围及其内容所具有的控制能力。,1.1.4 网络的安全威胁与安全网络的实现,网络的安全威

5、胁 无意的威胁人为操作错误、设备故障、自然灾害等不以人的意志为转移的事件。有意的威胁窃听、计算机犯罪等人为的破坏。目前网络的主要威胁: 自然灾害、意外事故。 个人行为，比如使用不当、安全意识差等。 黑客行为，由于黑客入侵或侵扰，造成非法访问、拒绝服务、计算机病毒、非法链接等。 内部泄密和外部的信息泄密、信息丢失等。 电子间谍活动，比如流量分析、信息窃取等。 信息战。 网络协议中的缺陷，例如TCP/IP协议的安全问题等。,1.1.4 网络的安全威胁与安全网络的实现,安全网络的实现 先进的网络安全技术是网络安全的根本保证。（技术） 严格的安全管理。（制度） 制定严格的法律规范体系。（法律）,1.2

6、 网络安全体系结构,1.2.1 OSI安全服务 1.2.2 OSI安全机制 1.2.3 OSI安全服务的层配置 1.2.4 TCP/IP网络安全体系结构,OSI安全体系结构是在分析对开放系统威胁和其脆弱性的基础上提出来的。 在OSI安全参考模型中主要包括安全服务（Security Service）、安全机制（Security Mechanism）和安全管理（Security Management），并给出了OSI网络层次、安全服务和安全机制之间的逻辑关系。,1.2.1 OSI安全服务,对等实体认证服务用于两个开放系统同等层实体建立连接或数据传输阶段，对对方实体（包括用户或进程）的合法性、真实性

7、进行确认，以防假冒。 访问控制服务用于防止未授权用户非法使用系统资源，包括用户身份认证和用户权限确认。 数据保密服务防止网络中各系统之间交换的数据被截获或被非法存取而泄密，提供密码保护。同时对有可能从观察信息流就能推导出的信息提供用户可选字段的数据保护和信息流安全。,1.2.1 OSI安全服务,数据完整性服务用于阻止非法实体对交换数据的修改、插入、删除以及在数据交换过程中的数据丢失。通过多种完整性服务以适应不同要求。 数据源点认证服务用于确保数据发自真正的原点，防止假冒。 信息流安全服务通过路由选择使信息流经过安全的路径，通过数据加密使信息流不泄漏，通过流量填充阻止流量分析。 不可否认服务用于

8、防止发送方在发送数据后否认自己发送过此数据，接收方在收到数据后否认自己收到过此数据或伪造接收数据。（实际上是一种数字签名）,1.2.2 OSI安全机制,加密机制确保数据安全性的基本方法。在OSI安全体系结构中应根据加密所处的层次及加密对象的不同，而采用不同的密码和加密方法。 数字签名机制确保数据真实性的基本方法。利用数字签名技术可进行报文认证和用户身份认证。 访问控制机制从计算机系统的处理能力方面对信息提供保护。访问控制机制按照事先确定的规则决定主体对客体的访问是否合法。,1.2.2 OSI安全机制,数据完整性机制 认证机制计算机网络中的认证主要有站点认证、报文认证、用户和进程认证等。多数认证

9、过程采用密码技术和数字签名技术,1.2.2 OSI安全机制,信息流填充控机制为了对付流量分析攻击，在无正常信息传送时，持续传送一些随机数据。 路由控制机制可根据信息发送者的申请选择安全路径，以确保数据安全。 公正机制为了解决大型计算机网络中，部分不可靠用户和由于设备故障等技术原因造成的信息丢失、延迟等而引起的责任纠纷，采取使用各方都信任的第三方实体提供仲裁，常用仲裁数字签名技术。,1.2.3 OSI安全服务的层配置,网络安全服务与网络层次关系,1.2.3 OSI安全服务的层配置,OSI的建议没有对安全服务的实现提出具体规定，在具体的系统上，安全服务的选择因考虑下列因素：,选择能满足安全方针和安

10、全目标的最小安全服务子集。 选择最少的层数来实现安全服务，使受影响的层数最小。 选择适当的层实现适当的安全服务功能，利用现有的功能实现的代价最小。,1.2.4 TCP/IP网络安全体系结构,TCP/IP协议的网络安全体系结构的基础框架,1.2.4 TCP/IP网络安全体系结构,PEP: Privacy Enhanced Mail 私用强化邮件 PGP: Pretty Good Privacy 基于RSA的公钥加密体系邮件 S-HTTP: HTTP的安全增强版 SSH: Secure Shell 安全配置 SSL: Secure Socket Layer 安全套接层 PCT: 私人通信技术 TL

11、S: Transport Layer Security SKIP: Internet 协议的简单密钥管理 ISAKMP: Internet 安全协议/密钥管理协议 SKEME: 安全密钥交换机制 OAKLEY: 密钥决定协议,1.2.4 TCP/IP网络安全体系结构,IP层的安全性优点：透明性，安全服务的提供不需要应用程序，其他通信层次和网络部件做任何改动；缺点：对属于不同的进程和相应条例的包不做区别。 传输层的安全性优点：提供基于进程对进程（而不是主机对主机）的安全服务；缺点：要对传输层IPC（界面）和应用程序两端都进行修改，基于UDP的通信很难在传输层建立起安全机制。 应用层的安全性对每个应用（及应用协议）分别进行修改。,1.3 网络安全体系结构模型分析,1.3.1 网络安全体系结构模型 1.3.2 网络安全体系结构框架,1.3.1 网络安全体系结构模型,安全体系结构框架,1.3.1 网络安全体系结构模型,物理安全构架,1.3.1 网络安全体系结构模型,网络安全构架,1.3.1 网络安全体系结构模型,信息安全构架,1.3.2 网络安全体系结构框架,安全特性,层次结构,可靠性 可用性 审计管理防止否认数据完