《因特網(wǎng)安全協(xié)議》PPT課件.ppt

第七章 安全管理與審計(jì),7.1 基本概念 7.2 安全管理 7.3 安全審計(jì) 7.4 入侵檢測 7.5 小結(jié),7.1 基本概念,本節(jié)介紹有關(guān)安全管理、安全審計(jì)以及入侵檢測等方面的基本概念。,7.1.1 安全管理目標(biāo) 7.1.2 安全管理原則 7.1.3 安全管理措施 7.1.4 人員管理 7.1.5 技術(shù)管理,7.1.1 安全管理目標(biāo),嚴(yán)格的安全管理需要達(dá)到以下目標(biāo)： 防止未授權(quán)訪問 防止泄密 防止用戶拒絕系統(tǒng)的管理 保證系統(tǒng)的完整性,7.1.2 安全管理原則,1、安全管理原則 多人負(fù)責(zé)原則 任期有限原則 職責(zé)分離原則 計(jì)算機(jī)操作與計(jì)算機(jī)編程 機(jī)密資料的接收和傳送 安全管理和系統(tǒng)管理 應(yīng)用程序和系統(tǒng)程序的編制 訪問證件的管理與其他工作 計(jì)算機(jī)操作與信息處理系統(tǒng)使用媒介的保管等,2、安全管理的實(shí)現(xiàn) 根據(jù)工作的重要程度，確定該系統(tǒng)的安全等級。 根據(jù)確定的安全等級，確定安全管理的范圍。 制訂相應(yīng)的機(jī)房出入管理制度。 制訂嚴(yán)格的操作規(guī)程。 制訂完備的系統(tǒng)維護(hù)制度。 制訂應(yīng)急措施。,7.1.2 安全管理原則,3、防范黑客原則 加強(qiáng)監(jiān)控能力。 加強(qiáng)安全管理。 集中監(jiān)控。 多層次防御和部門間的物理隔離。 要隨時(shí)跟蹤最新網(wǎng)絡(luò)安全技術(shù)，采用國內(nèi)外先進(jìn)的網(wǎng)絡(luò)安全技術(shù)、工具、手段和產(chǎn)品。同時(shí)，一旦防護(hù)手段失效時(shí)，要有先進(jìn)的系統(tǒng)恢復(fù)、備份技術(shù)。,7.1.2 安全管理原則,4、安全規(guī)劃 重要信息保密 網(wǎng)絡(luò)系統(tǒng)的安全 防止外部攻擊 防止內(nèi)部篡改 檢查傳輸內(nèi)容 安全產(chǎn)品的選型,7.1.2 安全管理原則,7.1.3 安全管理措施,從整體上來講網(wǎng)絡(luò)安全可分為兩個(gè)方面： 網(wǎng)絡(luò)層：保護(hù)網(wǎng)絡(luò)服務(wù)的可用性。 應(yīng)用層：保護(hù)合法用戶對數(shù)據(jù)的合法訪問。 安全檢測：在網(wǎng)絡(luò)運(yùn)行之前和運(yùn)行當(dāng)中通過不斷的自測，發(fā)現(xiàn)系統(tǒng)存在的安全漏洞，并列出報(bào)告，告訴使用者檢修的方法，然后及時(shí)采取補(bǔ)救措施。具體功能包括兩個(gè)方面 檢測網(wǎng)絡(luò)的安全漏洞 檢測系統(tǒng)配置錯(cuò)誤。,網(wǎng)絡(luò)層的安全檢測措施，主要是預(yù)防黑客的攻擊，它是一種主動(dòng)的預(yù)防行為。 應(yīng)用層的安全措施有如下幾方面： 建立全局的電子身份認(rèn)證系統(tǒng)。 實(shí)現(xiàn)全局資源的統(tǒng)一管理。 信息傳輸加密。 實(shí)現(xiàn)審訊記錄和統(tǒng)計(jì)分析。,7.1.3 安全管理措施,7.1.4 人員管理,用戶的安全意識 系統(tǒng)管理員的安全意識。,7.1.5 技術(shù)管理,靜態(tài)安全技術(shù) 缺點(diǎn)是需要人工來實(shí)施和維護(hù)，不能主動(dòng)跟蹤入侵者。 動(dòng)態(tài)安全技術(shù) 最大優(yōu)點(diǎn)在于“主動(dòng)性”，通過將實(shí)時(shí)捕捉和分析系統(tǒng)與網(wǎng)絡(luò)監(jiān)視系統(tǒng)相結(jié)合，入侵檢測系統(tǒng)能夠發(fā)現(xiàn)危險(xiǎn)攻擊的特征，進(jìn)而探測出攻擊行為并發(fā)出警報(bào)，同時(shí)采取保護(hù)措施。 網(wǎng)絡(luò)測試技術(shù) 系統(tǒng)安全測試 Web安全測試 系統(tǒng)漏洞檢測 防火墻的測試,7.2 安全管理,1、OSI管理標(biāo)準(zhǔn)框架結(jié)構(gòu) 管理信息模型 管理信息定義 受管對象定義指南 一般管理信息 另一個(gè)標(biāo)準(zhǔn)ISO/IEC1O164 審計(jì)管理、配置管理、容錯(cuò)管理、性能管理和安全管理這五個(gè)管理功能區(qū)中定義了大量的系統(tǒng)管理功能。,7.2.1 CMIP的安全管理,2、通用管理信息協(xié)議CMIP：是一個(gè)采用了遠(yuǎn)程操作模型的請求/應(yīng)答協(xié)議，提供以下兩種服務(wù)： 傳輸由管理系統(tǒng)發(fā)起并面向受管對象的操作。 傳輸由受管對象產(chǎn)生的事件通知。 面向受管對象的操作有： 獲得關(guān)于一個(gè)受管對象或它的集合屬性值。 更改一個(gè)或多個(gè)受管對象的一個(gè)或多個(gè)屬性值。 發(fā)起并產(chǎn)生一個(gè)受管對象。 從環(huán)境中取消一個(gè)或多個(gè)受管對象。 激發(fā)一個(gè)作為受管對象一部分的預(yù)定義行為過程。 停止一個(gè)GET操作。,7.2.1 CMIP的安全管理,安全警報(bào)報(bào)告功能 安全警報(bào)能導(dǎo)致以下一些行動(dòng)：監(jiān)督可疑用戶，取消可疑用戶的權(quán)限，調(diào)用更強(qiáng)的保護(hù)機(jī)制，去掉或修復(fù)故障網(wǎng)絡(luò)或系統(tǒng)的某個(gè)組成部件。 安全警報(bào)通過M-EVENT-REPORT通知給管理系統(tǒng)。 安全警報(bào)報(bào)告中傳遞的參數(shù)分為三類 事件類型和安全警報(bào)原因的組合表明了警報(bào)的原因。 安全警報(bào)的安全參數(shù)指明了由初始受管客體發(fā)覺的警報(bào)意義。 安全警報(bào)檢測器參數(shù)是標(biāo)識檢測警報(bào)條件的實(shí)體。,7.2.1 CMIP的安全管理,4、安全審計(jì)追蹤功能 安全審計(jì)追蹤用來檢測一個(gè)安全策略的正確性，確認(rèn)與安全策略的一致性，幫助分析攻擊，并且收集用于起訴攻擊者的證據(jù)。 安全審計(jì)追蹤功能為將事件信息傳遞給維護(hù)日志并創(chuàng)建和恢復(fù)日志實(shí)體的系統(tǒng)提供了必要的支持。 安全審計(jì)追蹤功能標(biāo)準(zhǔn)另外定義了兩個(gè)特殊的通知，分別與服務(wù)報(bào)告和使用報(bào)告對應(yīng)。 服務(wù)報(bào)告表明了與一些服務(wù)的提供、拒絕或恢復(fù)有關(guān)的事件。 使用報(bào)告用于有安全意義的日志統(tǒng)計(jì)信息。,7.2.1 CMIP的安全管理,管理資源的訪問控制 訪問控制體系結(jié)構(gòu)中，發(fā)起者是管理系統(tǒng)或系統(tǒng)中的管理員，目標(biāo)是受管系統(tǒng)的信息資源。 基于訪問控制規(guī)則來決定是允許還是拒絕訪問請求。訪問規(guī)則本身可以表示成管理信息條目并且使用CMIP協(xié)議來管理。 一條規(guī)則的說明書中包含了許多要素，其中包括訪問的許可、發(fā)起者列表、目標(biāo)列表、時(shí)間表、狀態(tài)條件以及認(rèn)證內(nèi)容等。 在訪問控制決策過程中，首先需要驗(yàn)證伴隨訪問請求出現(xiàn)的任何訪問控制信息。 使用規(guī)則的方法取決于所使用的特定訪問控制機(jī)制。,7.2.1 CMIP的安全管理,CMIP的安全特性 CMIP協(xié)議格式說明中包括了最小安全特征。 CMIP會(huì)話中的所有數(shù)據(jù)的完整性和機(jī)密性由端系統(tǒng)級的安全服務(wù)來保證。,7.2.1 CMIP的安全管理,7.2.2 SNMP的安全管理,1、SNMP構(gòu)成 簡單網(wǎng)絡(luò)管理協(xié)議（SNMP）是支持基于TCP/IP的系統(tǒng)管理的一組因特網(wǎng)標(biāo)準(zhǔn)的一部分。 SNMP體系結(jié)構(gòu)的主要部件是一個(gè)網(wǎng)絡(luò)管理站和一些網(wǎng)絡(luò)要素。網(wǎng)絡(luò)管理站是一個(gè)運(yùn)行了SNMP以及一些網(wǎng)絡(luò)管理應(yīng)用的主機(jī)系統(tǒng)。網(wǎng)絡(luò)要素是受管系統(tǒng)，如主機(jī)、路由器、網(wǎng)關(guān)或服務(wù)器。 在網(wǎng)絡(luò)管理站和網(wǎng)絡(luò)要素之間進(jìn)行的通信中，實(shí)現(xiàn)SNMP的實(shí)體被稱為SNMP協(xié)議實(shí)體或簡單的SNMP實(shí)體。一個(gè)SNMP實(shí)體可以以管理者角色或代理角色進(jìn)行的操作。 SNMP也通過代理服務(wù)器提供對設(shè)備的管理。,2、協(xié)議操作 SNMP特別適合于實(shí)現(xiàn)相對小的網(wǎng)絡(luò)系統(tǒng)，它有6個(gè)基本的SNMP協(xié)議互操作，涉及到7種類型的PDU。 3、管理功能 在SNMP版本1中，采用了基于團(tuán)體的管理模型。 在SNMP版本2中，定義了加強(qiáng)的管理模型。 4、SNMP安全服務(wù) 兩個(gè)主要威脅是數(shù)據(jù)篡改和偽造。兩個(gè)次要的威脅是修改消息流和竊聽。因此，所要求的安全服務(wù)有：將服務(wù)的完整性和數(shù)據(jù)起源認(rèn)證結(jié)合起來、序列的完整性以及數(shù)據(jù)的機(jī)密性。 這樣就導(dǎo)致了兩個(gè)SNMP安全協(xié)議的定義。 摘要認(rèn)證協(xié)議提供了數(shù)據(jù)完整性、數(shù)據(jù)起源認(rèn)證和序列完整性保護(hù)。 對稱秘密協(xié)議提供了數(shù)據(jù)的機(jī)密性保護(hù)。,7.2.2 SNMP的安全管理,5、摘要認(rèn)證協(xié)議：通過一個(gè)認(rèn)證信息數(shù)據(jù)項(xiàng)提供保護(hù)。該項(xiàng)連同一個(gè)常用的SNMP PDU結(jié)合到一個(gè)SNMP認(rèn)證消息中。 認(rèn)證信息項(xiàng)由下面三部分組成： 起源認(rèn)證時(shí)間戳：該字段傳遞產(chǎn)生消息的時(shí)間，該時(shí)間根據(jù)起源成員的時(shí)鐘得到。 目的認(rèn)證時(shí)間戳：該字段傳遞產(chǎn)生消息的時(shí)間，該時(shí)間根據(jù)目的成員的時(shí)鐘得到。 認(rèn)證摘要：該字段傳遞一個(gè)封章，封章是通過對消息計(jì)算得到的。,7.2.2 SNMP的安全管理,6、對稱秘密協(xié)議 對稱秘密協(xié)議像摘要認(rèn)證協(xié)議一樣，通過加密一個(gè)SNMP認(rèn)證消息來提供秘密保護(hù)。加密使用了一個(gè)對稱密碼算法和一個(gè)預(yù)先已經(jīng)建立的秘密密鑰。推薦的算法是DES的CBC模式。密鑰長度為128比特。由56比特DES密鑰（加上8位的奇偶位）和64比特的初始向量組成。為了保證每8位組加密，消息要求補(bǔ)齊。,7.2.2 SNMP的安全管理,7、SNMP安全的管理 SNMP安全協(xié)議的使用依賴于下列管理功能： （1）密鑰管理，包括認(rèn)證密鑰和秘密密鑰； （2）確保所有系統(tǒng)中的時(shí)鐘同步，因?yàn)樾蛄型暾缘恼_功能取決于這種同步； （3）建立和維護(hù)每個(gè)系統(tǒng)的信息，這些系統(tǒng)與發(fā)生通信的SNMP成員有關(guān)。,7.2.2 SNMP的安全管理,8、訪問控制：SNMP版本2管理模型包括一個(gè)訪問控制模型，用來管理哪些SNMP PDU可以合法地在成員之間發(fā)送，該模型是關(guān)于一組特定受管對象資源。訪問控制信息以訪問控制列表的形式存在。一個(gè)訪問控制列表有下列組成部分： 目標(biāo) 主體 資源 權(quán)利,7.2.2 SNMP的安全管理,安全審計(jì)是系統(tǒng)記錄和活動(dòng)的獨(dú)立復(fù)審和驗(yàn)證。安全審計(jì)的目的包括 輔助辨識和分析未經(jīng)授權(quán)的活動(dòng)或攻擊； 幫助并且保證那些實(shí)體響應(yīng)行動(dòng)處理這些活動(dòng)； 促進(jìn)開發(fā)改進(jìn)的損傷控制處理程序； 認(rèn)可與已經(jīng)建立的安全策略的一致性； 報(bào)告那些可能與系統(tǒng)控制不相適應(yīng)的信息； 辨識可能需要的對控制、策略和處理程序的改變。,7.3 安全審計(jì) 7.3.1安全審計(jì)的目的,7.3.1 安全審計(jì)的目的,安全報(bào)警是由個(gè)人或進(jìn)程發(fā)出的警告，以指示發(fā)生了異常情況，可能需要及時(shí)的行動(dòng)。安全報(bào)警的目的包括： 報(bào)告實(shí)際的或明顯的違背安全的企圖； 報(bào)告各種安全相關(guān)的事件，包括“正?！笔录?； 報(bào)告達(dá)到一定門限后觸發(fā)產(chǎn)生的事件。,7.3.2 系統(tǒng)記賬與日志,審計(jì)是記錄用戶使用計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)進(jìn)行所有活動(dòng)的過程，它是提高安全性的重要工具。它不僅能夠識別誰訪問了系統(tǒng)，還能指出系統(tǒng)正被怎樣地使用。 審計(jì)日志是記錄信息系統(tǒng)安全狀態(tài)和問題的依據(jù)。 各級信息系統(tǒng)必須制定保存和調(diào)閱審計(jì)日志的管理制度。,7.3.3 安全審計(jì)的功能,支持一個(gè)安全審計(jì)和報(bào)警服務(wù)需要多種功能： 事件辨別器：它提供事件的初始分析，確定是否將該事件轉(zhuǎn)送給審計(jì)記錄器或報(bào)警處理器。 事件記錄器：它將接收到的消息生成審計(jì)記錄，并把該記錄存入一個(gè)安全審計(jì)跟蹤。 報(bào)警處理器：它產(chǎn)生一個(gè)審計(jì)消息，同時(shí)產(chǎn)生合適的行動(dòng)以響應(yīng)一個(gè)安全報(bào)警。 審計(jì)分析器：它檢查一個(gè)安全審計(jì)跟蹤，如果合適的話，生成安全報(bào)警和安全審計(jì)消息。 審計(jì)跟蹤驗(yàn)證器：它從一個(gè)或多個(gè)安全審計(jì)跟蹤產(chǎn)生安全審計(jì)報(bào)告。 審計(jì)提供器：它按照某些準(zhǔn)則提供審計(jì)記錄。 審計(jì)歸檔器：它將安全審計(jì)跟蹤歸檔。,附加的支持分布式安全審計(jì)跟蹤和報(bào)警的功能也是必需的，這些功能包括： 審計(jì)跟蹤收集器：將一個(gè)分布式審計(jì)跟蹤的記錄匯集成一個(gè)安全審計(jì)跟蹤。 審計(jì)調(diào)度器：將分布式安全審計(jì)跟蹤的某些部分或全部，傳輸?shù)皆搶徲?jì)跟蹤收集功能 。,7.3.3 安全審計(jì)的功能,7.3.4 安全檢查,網(wǎng)絡(luò)系統(tǒng)安全檢測是對系統(tǒng)及其網(wǎng)絡(luò)進(jìn)行風(fēng)險(xiǎn)評估的重要措施。 本小節(jié)以Unix系統(tǒng)為例，說明安全檢查的方法。 1、記賬 2、系統(tǒng)檢查命令 3、查著歷史文件 4、查屬主為root并且?guī)位的程序 5、找出隱藏文件,7.3.5 安全分析,安全分析的目的在于可以再次確認(rèn)在系統(tǒng)安裝時(shí)是否疏忽了某些配置問題；建立一套安全標(biāo)準(zhǔn)，并使系統(tǒng)現(xiàn)在建立的安全標(biāo)準(zhǔn)可作為以后對系統(tǒng)進(jìn)行安全分析時(shí)的對比依據(jù)。 一般均具有如下功能： 檢查系統(tǒng)是否存在安全漏洞。在系統(tǒng)安裝時(shí)，系統(tǒng)管理員的疏忽會(huì)給入侵者以可乘之機(jī)。 建立一個(gè)關(guān)于系統(tǒng)中所有文件的數(shù)據(jù)庫。這樣，系統(tǒng)管理員將來可以經(jīng)常對這些文件進(jìn)行檢查，辨別文件是否有異常變化。,7.4 入侵檢測 7.4.1 入侵檢測目的,入侵檢測的目的就是及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)中所存在的最薄弱的環(huán)節(jié)，使用最有效的方法定期對網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全性檢測與分析，及時(shí)發(fā)現(xiàn)并修正存在的弱點(diǎn)和漏洞，最大限度地保證網(wǎng)絡(luò)系統(tǒng)的安全。,7.4.2 入侵檢測技術(shù),網(wǎng)絡(luò)入侵檢測實(shí)際上也是一種信息識別與檢測技術(shù) 基于審計(jì)信息的檢測技術(shù) 基于統(tǒng)計(jì)的入侵檢測 統(tǒng)計(jì)數(shù)據(jù)測量點(diǎn)的選取 統(tǒng)計(jì)數(shù)據(jù)的分析和入侵判斷 自動(dòng)學(xué)習(xí) 基于神經(jīng)網(wǎng)絡(luò)的入侵檢測 基于規(guī)則的入侵檢測,7.4.3 入侵檢測系統(tǒng),入侵檢測系統(tǒng)是實(shí)時(shí)網(wǎng)絡(luò)違規(guī)自動(dòng)識別和響應(yīng)系統(tǒng)。它位于有敏感數(shù)據(jù)需要保護(hù)的網(wǎng)絡(luò)上或網(wǎng)絡(luò)上