局域网组建、管理与维护

局域网组建、管理与维护 第6章网络安全与管理技术课件制作人：刘永华

第6章网络安全与管理技术 *6.1 网络安全问题概述 6.1.1 网络安全的概念和安全控制模型 6.1.2 安全威胁 *6.2 病毒与病毒的防治 6.2.1 病毒的种类及特点 6.2.2 病毒的传播途径与防治 6.2.3 网络版杀毒软件 * 6.3 数据加密与认证 6.3.1 密码学的基本概念 6.3.2 常规密钥密码体制 6.3.3 公开密钥加密技术课件制作人：刘永华

第6章网络安全与管理技术 6.3.4 数字签名 6.3.5 身份认证技术 *6.4 防火墙 6.4.1 防火墙概述 6.4.2 防火墙系统结构 6.4.3 防火墙分类 6.4.4 防火墙的作用 6.4.5 防火墙的设计策略 * 6.5 入侵检测 6.5.1 入侵检测概述 6.5.2 入侵检测分类 6.5.3 入侵检测过程分析 6.5.4 检测和访问控制技术将共存共荣课件制作人：刘永华

第6章网络安全与管理技术 *6.6 网络安全协议 *6.7 网络管理技术 6.7.1 网络管理概述 6.7.2 ISO网络管理模式 6.7.3 公共管理信息协议CMIP 6.7.4 简单网络管理协议SNMP * 6.8 网络安全方案设计与选型 6.8.1 防火墙方案设计 6.8.2 网络防毒方案设计 6.8.3 入侵检测系统方案设计课件制作人：刘永华

6.1 网络安全问题概述 • 6.1.1 网络安全的概念和安全控制模型 • 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不会由于偶然或恶意的原因而遭到破坏、更改、泄露等意外发生。 • 网络安全应包括以下几个方面：物理安全、人员安全、符合瞬时电磁脉冲辐射标准(TEMPEST)、信息安全、操作安全、通信安全、计算机安全和工业安全，如图6.1所示。课件制作人：刘永华

6.1 网络安全问题概述 图6.1 网络安全的组成课件制作人：刘永华

6.1 网络安全问题概述 • 我们可以建立如图6.2所示的网络安全模型。信息需要从一方通过某种网络传送到另一方。在传送中居主体地位的双方必须合作起来进行交换。通过通信协议(如TCP/IP)在两个主体之间可以建立一条逻辑信息通道。 • 保证安全性的所有机制包括以下两部分： (1)对被传送的信息进行与安全相关的转换。图6.2中包含了信息的加密和以信息内容为基础的补充代码。 (2)两个主体共享不希望对手得知的保密信息。 • 为了实现安全传送，可能需要可信任的第三方。课件制作人：刘永华

6.1 网络安全问题概述 图6.2 网络安全模型课件制作人：刘永华

6.1 网络安全问题概述 • 这种通用模型指出了设计特定安全服务的4个基本任务： (1)设计执行与安全性相关的转换算法，该算法必须使对手不能破坏算法以实现其目的。 (2)生成算法使用的保密信息。 (3)开发分发和共享保密信息的方法。 (4)指定两个主体要使用的协议，并利用安全算法和保密信息来实现特定的安全服务。课件制作人：刘永华

6.1 网络安全问题概述 • 6.1.2 安全威胁安全威胁是指某个人、物、事件或概念对某一资源的机密性、完整性、可用性或合法性所造成的危害。某种攻击就是某种威胁的具体实现。针对网络安全的威胁主要有： (1)人为的无意失误。 (2)人为的恶意攻击。 (3)网络软件的漏洞和“后门”。课件制作人：刘永华

6.1 网络安全问题概述 1．安全攻击对于计算机或网络安全性的攻击，最好通过在提供信息时查看计算机系统的功能来记录其特性。图6.3列出了当信息从信源向信宿流动时，信息正常流动和受到各种类型攻击的情况。中断是指系统资源遭到破坏或变得不能使用，这是对可用性的攻击。截取是指未授权的实体得到了资源的访问权，这是对保密性的攻击。修改是指未授权的实体不仅得到了访问权，而且还篡改了资源，这是对完整性的攻击。课件制作人：刘永华

6.1 网络安全问题概述 捏造是指未授权的实体向系统中插入伪造的对象，这是对真实性的攻击。以上攻击又可分为被动攻击和主动攻击两种，如图 6.3所示。被动攻击的特点是偷听或监视传送，其目的是获得正在传送的信息。被动攻击有：泄露信息内容和通信量分析等。泄露信息内容容易理解。电话对话、电子邮件信息、传递的议价可能含有敏感的机密信息。我们要防止对手从传送中获得这些内容。课件制作人：刘永华

6.1 网络安全问题概述 通信量分析则比较微妙。我们用某种方法将信息内容隐藏起来，常用的技术是加密，这样，即使对手捕获了信息，也不能从中提取信息。对手可以确定位置和通信主机的身份，可以观察交换信息的频率和长度。这些信息可以帮助对手猜测正在进行的通信特性。主动攻击涉及修改数据或创建错误的数据流，它包括假冒、重放、修改信息和拒绝服务等。假冒是一个实体假装成另一个实体，假冒攻击通常包括一种其他形式的主动攻击。重放涉及被动捕获数据单元及其后来的重新传送，以产生未经授权的效果。修改课件制作人：刘永华

6.1 网络安全问题概述 通信量分析则比较微妙。我们用某种方法将信息内容隐藏起来，常用的技术是加密，这样，即使对手捕获了信息，也不能从中提取信息。对手可以确定位置和通信主机的身份，可以观察交换信息的频率和长度。这些信息可以帮助对手猜测正在进行的通信特性。主动攻击涉及修改数据或创建错误的数据流，它包括假冒、重放、修改信息和拒绝服务等。假冒是一个实体假装成另一个实体，假冒攻击通常包括一种其他形式的主动攻击。重放涉及被动捕获数据单元及其后来的重新传送，以产生未经授权的效果。修改息意味着改变了真实信息的部分内容，或将信息延迟或重新排序，导致未授权的操作。拒绝服务是指禁止对通信工具的正常使用课件制作人：刘永华

6.1 网络安全问题概述 或管理。这种攻击拥有特定的目标，例如，实体可以取消送往特定目的地址的所有信息(例如安全审核服务)。另一种拒绝服务的形式是整个网络的中断，这可以通过使网络失效而实现，或通过信息过载使网络性能降低。课件制作人：刘永华

6.1 网络安全问题概述 图6.3 安全攻击课件制作人：刘永华

6.1 网络安全问题概述 • 主动攻击具有与被动攻击相反的特点。虽然很难检测出被动攻击，但可以采取措施防止它的成功。相反，很难绝对预防主动攻击，因为这样需要在任何时候对所有的通信工具和路径进行完全的保护。防止主动攻击的做法是对攻击进行检测，并从它引起的中断或延迟中恢复过来。因为检测具有威慑的效果，它也可以对预防做出贡献。课件制作人：刘永华

6.1 网络安全问题概述 • 另外，从网络高层协议的角度，攻击方法可以概括地分为两大类：服务攻击与非服务攻击。 • 服务攻击(Application Dependent Attack)是针对某种特定网络服务的攻击，如针对E-mail服务，Telnet，FTP，HTTP等服务的专门攻击。目前Internet应用协议集(主要是TCP/IP协议集)缺乏认证、保密措施，是造成服务攻击的重要原因。现在有很多具体的攻击工具，如Mail Bomb(邮件炸弹)等，可以很容易实施对某项服务的攻击。 • 非服务攻击(Application Independent Attack)不针对某项具体应用服务，而是基于网络层等低层协议而进行的。TCP/IP协议(尤其是IPv4)自身的安全机制不足为攻击者提供了方便之门。课件制作人：刘永华

6.1 网络安全问题概述 • 一般认为，目前网络存在的威胁主要表现在： (1)信息泄漏或丢失。 (2)破坏数据完整性。 (3)拒绝服务攻击。 (4)非授权访问。课件制作人：刘永华

6.1 网络安全问题概述 3．主要的可实现的威胁这些威胁可以使基本威胁成为可能，因此十分重要。它包括两类：渗入威胁和植入威胁。 (1) 主要的渗入威胁有：假冒、旁路控制、授权侵犯。 ① 假冒：这是大多数黑客采用的攻击方法。某个未授权实体使守卫者相信它是一个合法的实体，从而攫取该合法用户的特权。 ② 旁路控制：攻击者通过各种手段发现本应保密却又暴露出来的一些系统“特征”，利用这些“特征”，攻击者绕过守卫者防线渗入系统内部。 ③ 授权侵犯：也称为“内部威胁”，授权用户将其权限用于其他未授权的目的。课件制作人：刘永华

6.1 网络安全问题概述 (2) 主要的植入威胁有：特洛伊木马、陷门。 ① 特洛伊木马：攻击者在正常的软件中隐藏一段用于其他目的的程序，这段隐藏的程序段常常以安全攻击作为其最终目标。 ② 陷门：陷门是在某个系统或某个文件中设置的“机关”，使得当提供特定的输入数据时，允许违反安全策略。 4．潜在的威胁对基本威胁或主要的可实现的威胁进行分析，可以发现某些特定的潜在威胁，而任意一种潜在的威胁都可能导致发生一些更基本的威胁。课件制作人：刘永华

6.2 病毒与病毒的防治 • 计算机病毒是一个程序，一段可执行码。就像生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。课件制作人：刘永华

6.2 病毒与病毒的防治 • 6.2.1 病毒的种类及特点 1．病毒的种类病毒的种类多种多样，主要有以下6种。 1) 文件型病毒 2) 引导扇区病毒 3) 宏病毒 4) 欺骗病毒 5) 多形性病毒 6) 伙伴病毒课件制作人：刘永华

6.2 病毒与病毒的防治 2．网络病毒的特点 • Internet的发展孕育了网络病毒，由于网络的互联性，病毒的威力也大大增强。网络病毒具有以下特点： (1)破坏性强。 (2)传播性强。 (3)具有潜伏性和可激发性。 (4)针对性强。 (5)扩散面广。课件制作人：刘永华

6.2 病毒与病毒的防治 • 6.2.2 病毒的传播途径与防治 1．计算机病毒的传播途径第1种途径：通过不可移动的计算机硬件设备进行传播，这些设备通常有计算机专用芯片和硬盘等。第2种途径：通过移动存储设备来传播，这些设备包括软盘、磁盘等。第3种途径：通过计算机网络进行传播。第4种途径：通过点对点通信系统和无线通道传播。课件制作人：刘永华

6.2 病毒与病毒的防治 2．病毒的防治 1) 检测病毒的主要方法目前广泛使用的主要检测病毒的方法有特征代码法、校验和法、行为监测法、感染实验法等。 (1) 特征代码法被用于SCAN、CPAV等著名的病毒监测工具中。 (2) 校验和法是对正常文件的内容计算其校验和，将该校验和写入文件中或写入别的文件中保存。 (3) 行为监测法是利用病毒的行为特性来检测病毒的。 (4) 感染实验法利用了病毒的最重要的特征——感染特性。课件制作人：刘永华

6.2 病毒与病毒的防治 2) 病毒防火墙在网络病毒的防治上的优越性与传统防杀毒模式相比，病毒防火墙在网络病毒的防治上有着明显的优越性。 (1) 它对病毒的过滤有良好的实时性。 (2) 病毒防火墙能有效地阻止病毒通过网络向本地计算机系统入侵。 (3) 病毒防火墙的“双向过滤”功能保证了本系统不会向远程(网络)资源传播病毒。 (4) 病毒防火墙还具有操作更简便、更透明的好处，有了它自动、实时的保护，用户再也无须隔三差五就得停下正常工作而去费时费力地查毒、杀毒了。课件制作人：刘永华

6.2 病毒与病毒的防治 • 6.2.3 网络版杀毒软件 “安全之星”是杀毒软件与防火墙的结合，它在具备普通杀毒软件共有功能的同时有着“网络版”的独到之处，特别适合企业局域网使用。有如下特点： (1) 可以统一设置企业反病毒安全策略。 (2) 便于全网集中管理。 (3) 全网自动化智能安装。 (4) 实时获得全网的病毒通告及审计。 (5) 全网自动升级。 (6) 远程监控、管理及病毒实时报警。课件制作人：刘永华

6.2 病毒与病毒的防治 • “安全之星企业版”的工作原理如下：“安全之星”分为服务器版和工作站版两套软件，分别安装在局域网中的服务器和普通工作站上。工作站端“安全之星”防火墙可以像其他杀毒软件一样，实现本地病毒的查杀和实时监控；服务器端“安全之星”防火墙会在服务器上启动名为NTVRV的服务，基于该服务，并结合有着良好用户界面的监视器程序，便可以实现服务器对工作站的远程监控，包括统一设置反病毒安全策略，即时获取全网病毒通告及审计，升级病毒库，病毒报警等。课件制作人：刘永华

6.3 数据加密与认证 • 密码学(或称密码术)是保密学的一部分。保密学是研究密码系统或通信安全的科学，它包含两个分支：密码学和密码分析学。密码学是对信息进行编码实现隐蔽信息的一门学问，密码分析学是研究分析破译密码的学问。两者相互独立，而又相互促进。 • 采用密码技术可以隐藏和保护需要保密的信息，使未授权者不能提取信息。需要隐藏的信息称为明文。明文被变换成另一种隐藏形式称为密文。这种变换称为加密。加密的逆过程，即从密文恢复出明文的过程称为解密。对明文进行加密时采用的一组规则称为加密算法。对密文解密时采用的一组规则称为加密密钥，解密算法所使用的密钥称为解密密钥。课件制作人：刘永华

6.3 数据加密与认证 • 密码系统通常从3个独立的方面进行分类： (1)按将明文转换成密文的操作类型可分为：置换密码和易位密码。 (2)按明文的处理方法可分为：分组密码和序列密码。 (3)按密钥的使用个数可分为：对称密码体制和非对称密码体制。课件制作人：刘永华

6.3 数据加密与认证 1．置换密码和易位密码 • 在置换密码(substation cipher)中，每个或每组字母由另一个或另一组伪装字母所替换。最古老的一种置换密码是Julius Caesar发明的凯撒密码，这种密码算法对于原始信息(明文)中的每一个字母都用该字母后的第n个字母来替换，其中n就是密钥。例如使加密字母向右移3个字母，即a换成D，b换成E，c换成F…z换成C。 • 由于凯撒密码的整个密钥空间只有26个密钥，只要知道圆圈密码算法采用的是凯撒密码，对其进行破译就是轻而易举的事了，因为破译者最多只需尝试25次就可以知道正确的密钥。课件制作人：刘永华

6.3 数据加密与认证 • 对凯撒密码的一种改进方法是把明文中的字符换成另一个字符，如将26个字母中的每一个字母都映射成另一个字母。例如： • 明文：a b c d e f g h i j k l m n o p q r s t u v w x y z • 密文：Q B E L C D F H G I A J N M K O P R S Z U T W V Y X • 这种方法称为单字母表替换，其密钥是对应于整个字母表的26个字母串。按照此例中的密钥，明文attack加密后形成的密文是QZZQEA。 • 采用单字母表替换时，密钥的个数有26！=4×1026个。虽然破译者知道加密的一般原理，但他并不知道使用的是哪一个密钥。即使使用1μs试一个密钥的计算机，试遍全部密钥也要用1013年的时间。课件制作人：刘永华

6.3 数据加密与认证 • 易位密码(transposition cipher)只对明文字母重新排序，但不隐藏它们。列易位密码是一种常用的易位密码，该密码的密钥是一个不含任何重复字母的单词或词语。 • 要破译易位密码，破译者首先必须知道密文是用易位密码写的。通过查看E，T，A，O，I，N等字母的出现频率，容易知道它们是否满足明文的普通模式，如果满足，则该密码就是易位密码，因为在这种密码中，各字母就表示其自身。 • 破译者随后猜测列的个数，即密钥的长度，最后确定列的顺序。在许多情形下，从信息的上下文可猜出一个可能的单词或短语。破译者通过寻找各种可能性，常常能轻易地破解易位密码。课件制作人：刘永华

6.3 数据加密与认证 • 2．分组密码和序列密码 • 分组密码的加密方式是首先将明文序列以固定长度进行分组，每一组明文用相同的密钥和加密函数进行运算。一般为了减少存储量和提高运算速度，密钥的长度有限，因而加密函数的复杂性成为系统安全的关键。 • 分组密码设计的核心是构造既具有可逆性又有很强的非线性的算法。加密函数重复地使用替换和易位两种基本的加密变换，也就是香农在1949年发现的隐蔽信息的2种技术：打乱和扩散。打乱(confusion)是改变信息块使输出位与输入位之间无明显的统计关系。扩散(diffusion)是通过密钥的效应把一个明文位转移到密文的其他位上。课件制作人：刘永华

6.3 数据加密与认证 • 分组密码的优点是：明文信息良好的扩散性，对插入的敏感性，不需要密钥同步，较强的适用性，适合作为加密标准。分组密码的缺点是：加密速度慢；错误扩散和传播。 • 序列密码的加密过程是把报文、语音、图像、数据等原始信息转换成明文数据序列，然后将它同密钥序列进行逐位模2加(即异或运算)，生成密文序列发送给接收者，接收者用相同密钥序列进行逐位解密来恢复明文序列。 • 序列密码的安全性主要依赖于密钥序列。密钥序列是由少量的制乱素(密钥)通过密钥序列产生器产生的大量伪随机序列。布尔函数是密钥序列产生器的重要组成部分。 • 序列密码的优点是：处理速度快，实时性好，错误传播小，不易被破译，适用于军事、外交等保密信道。 • 序列密码的缺点是：明文扩散性差，需要密钥同步。课件制作人：刘永华

6.3 数据加密与认证 3．加密技术 1) 三类数据加密技术简介数据加密技术可以分为3类： (1) 对称型加密：使用单个密钥对数据进行加密或解密，其特点是计算量小、加密效率高。 (2) 非对称型加密算法：也称公开密钥算法，其特点是有两个密钥(即公用密钥和私有密钥)，只有两者搭配使用才能完成加密和解密的全过程。 (3) 不可逆加密算法：特征是加密过程不需要密钥，并且经过加密的数据无法被解密，只有同样的输入数据经过同样的不可逆加密算法才能得到相同的加密数据。课件制作人：刘永华

6.3 数据加密与认证 2) 用于网络安全的两种加密技术加密技术用于网络安全通常有两种形式，即面向网络和面向应用服务。 (1) 面向网络服务的加密技术通常工作在网络层或运输层，使用经过加密的数据包传送、认证网络路由及其他网络协议所需的信息，从而保证网络的连通性和可用性不受损害。 (2) 面向网络应用服务的加密技术使用则是目前较为流行的加密技术的使用方法，这一类加密技术的优点在于实现相对较为简单，不需要对电子信息(数据包)所经过的网络的安全性能提出特殊要求，对电子邮件数据实现了端到端的安全保障。课件制作人：刘永华

6.3 数据加密与认证 从通信网络的传输方面，数据加密技术还可分为以下3类：链路加密方式、结点到结点方式和端到端方式。 (1)链路加密方式：它对网络上传输的数据报文进行加密。不但对数据报文的正文进行加密，而且把路由信息、校验码等控制信息全部加密。所以，当数据报文到某个中间结点时，必须被解密以获得路由信息和校验码，进行路由选择、差错检测，然后再被加密，发送到下一个结点，直到数据报文到达目的结点为止。课件制作人：刘永华

6.3 数据加密与认证 (2)结点到结点加密方式是为了解决在结点中数据是明文的缺点，在中间结点里装有加、解密的保护装置，由这个装置来完成一个密钥向另一个密钥的交换。因而，除了在保护装置内，即使在结点内也不会出现明文。但是这种方式和链路加密方式一样，有一个共同的缺点：需要目前的公共网络提供者配合，修改他们的交换结点，增加安全单元或保护装置。课件制作人：刘永华

6.3 数据加密与认证 (3) 在端到端加密方式中，由发送方加密的数据在没有到达最终目的结点之前是不被解破的。加、解密只在源、宿结点进行，因此，这种方式可以实现按各种通信对象的要求改变加密密钥以及按应用程序进行密钥管理等，而且采用这种方式可以解决文件加密问题。链路加密方式和端到端加密方式的区别是：链路加密方式是对整个链路的通信采用保护措施，而端到端方式则是对整个网络系统采取保护措施。因此，端到端加密方式是将来的发展趋势。课件制作人：刘永华

6.3 数据加密与认证 4．密码分析 • 试图发现明文或密钥的过程称为密码分析。密码分析人员使用的策略取决于加密方案的特性和分析人员可用的信息。 • 密码分析的过程通常包括：分析(统计所截获的信息材料) 假设推断证实课件制作人：刘永华

6.3 数据加密与认证 • 表6-1总结了各类加密信息的破译类型，这些破译是以分析人员所知的信息总量为基础的。当一切都具备时，最困难的问题就是密文了。在一些情况下，分析人员可能根本就不知道加密算法，但一般可以认为已经知道了加密算法。这种情况下，最可能的破译就是用蛮用攻击(或称为穷举攻击)来尝试各种可能的密钥。如果密钥空间很大，这种方法就行不通了，因此，必须依赖于对密文本身的分析，通常会对它使用各种统计测试。为了使用这种方法，人们必须对隐藏明文的类型有所了解，如英文或法语文本、MS-DOS TXT文本、Java源程序清单、记账文本等。课件制作人：刘永华

6.3 数据加密与认证 表6-1 加密信息的破译类型课件制作人：刘永华

6.3 数据加密与认证 • 6.3.2 常规密钥密码体制常规加密也叫作对称加密、保密密钥或单密钥加密。1．常规加密的模型常规加密又称对称加密，该方案有5个组成部分。 (1)明文：作为算法输入的原始信息。 (2)加密算法：加密算法可以对明文进行多种置换和转换。 (3)共享的密钥：共享的保密密钥也是对算法的输入，算法实际进行的置换和转换由保密密钥决定。 (4)密文：作为输出的混合信息。它由明文和保密密钥决定。对于给定的信息来讲，两种不同的密钥会产生2 种不同的密文。课件制作人：刘永华

6.3 数据加密与认证 (5) 解密算法：这是加密算法的逆向算法。它以密文同样的保密密钥作为输入，并生成原始明文。目前经常使用的一些常规加密算法有：数据加密标准(Data Encryption Standard, DES)，三重DES(3DES，或称TDEA)，Rivest Cipher 5(RC-5)，国际数据加密算法(International Data Encryption Algorithm, IDEA)。课件制作人：刘永华

6.3 数据加密与认证 2．常规加密的要求 (1) 需要强大的加密算法。算法至少应该满足：即使对手知道了算法并能访问一些或更多的密文，也不能破译密文或得出密钥。 (2) 发送方和接收方必须用安全的方式来获得保密密钥的副本，必须保证密钥的安全。如果有人发现了密钥，并知道了算法，则使用此密钥的所有通信便都是可读取的。最重要的是要注意，常规机密的安全性取决于密钥的保密性，而不是算法的保密性。也就是说，如果知道了密文和加密及解密算法的知识，解密信息也是不可能的。课件制作人：刘永华

6.3 数据加密与认证 • 6.3.3 公开密钥加密技术公开密钥加密又叫作非常规加密，公钥加密算法可用于下面一些方面：数据完整性、数据保密性、发送者不可否认和发送者认证。 1．公钥加密体制的模型公钥密码体制有两种基本的模型，一种是加密模型，另一种是认证模型，如图6.4 所示。课件制作人：刘永华

6.3 数据加密与认证 图6.4 公钥密码体制模型课件制作人：刘永华

6.3 数据加密与认证 • 公钥加密方案由6个部分组成，如图6.5和图6.6 所示。图6.5 常规加密体制模型课件制作人：刘永华

局域网组建、管理与维护

局域网组建、管理与维护

Presentation Transcript