組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理（第二版）第十二章網(wǎng)絡(luò)完全

組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 本章要點(diǎn)： 網(wǎng)絡(luò)安全的主要威脅 網(wǎng)絡(luò)安全的體系結(jié)構(gòu) 網(wǎng)絡(luò)安全策略 網(wǎng)絡(luò)病毒與防治 第 12章 網(wǎng)絡(luò)安全 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)安全概述 我們?cè)谔剿骶W(wǎng)絡(luò)安全措施之前，首先要弄清網(wǎng)絡(luò)安全的威脅所在，只有在充分了解對(duì)網(wǎng)絡(luò)安全構(gòu)成威脅的因素后，才能更加有效地對(duì)付這些威脅，以保證網(wǎng)絡(luò)安全。網(wǎng)絡(luò)中存在以下主要風(fēng)險(xiǎn)。 1. 與人有關(guān)的風(fēng)險(xiǎn) 2. 與硬件和網(wǎng)絡(luò)設(shè)計(jì)有關(guān)的風(fēng)險(xiǎn) 3. 與協(xié)議和軟件有關(guān)的風(fēng)險(xiǎn) 4. 與 網(wǎng)絡(luò)安全風(fēng)險(xiǎn) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 截獲 (或阻斷 ) 竊聽 修改 偽造 重播 (重發(fā) ) 業(yè)務(wù)否認(rèn) 網(wǎng)絡(luò)攻擊手段 網(wǎng)絡(luò)安全概述 進(jìn)行網(wǎng)絡(luò)攻擊的不法分子使用的攻擊行為包括：在未經(jīng)授權(quán)訪問的條件下，獲得對(duì)數(shù)據(jù)的訪問權(quán)限；對(duì)正常通過網(wǎng)絡(luò)系統(tǒng)的數(shù)據(jù)流實(shí)施修改或破壞，并以此達(dá)到破壞正常操作的目的；向網(wǎng)絡(luò)系統(tǒng)中注入假的或偽造的信息。在實(shí)際的網(wǎng)絡(luò)攻擊手段中，可以滿足上述攻擊行為的攻擊手段有很多，歸納起來主要有以下幾種： 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 事實(shí)上，網(wǎng)絡(luò)攻擊的手段多種多樣，要想有效的防范網(wǎng)絡(luò)攻擊，還要具體了解網(wǎng)絡(luò)攻擊的手段。 1. 拒絕服務(wù)攻擊 ( 2. 泛洪攻擊 3. 端口掃描 4. 利用 5. 分片 6. 帶源路由選項(xiàng)的 7. 8. 針對(duì)路由協(xié)議的攻擊 (1) 針對(duì) (2) 針對(duì) (3) 針對(duì) 網(wǎng)絡(luò)安全概述 網(wǎng)絡(luò)攻擊手段 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 9. 針對(duì)設(shè)備轉(zhuǎn)發(fā)表的攻擊 (1) 針對(duì) (2) 針對(duì) (3) 針對(duì)流項(xiàng)目表的攻擊 10. 網(wǎng)絡(luò)安全概述 網(wǎng)絡(luò)攻擊手段 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 機(jī)密性 完整性 可用性 真實(shí)性 不可否認(rèn)性 網(wǎng)絡(luò)安全的目標(biāo) 網(wǎng)絡(luò)安全概述 網(wǎng)絡(luò)安全通常指的是網(wǎng)絡(luò)信息的安全 ， 包括存儲(chǔ)信息的安全和傳輸信息的安全兩個(gè)方面的內(nèi)容 ， 因此 ， 網(wǎng)絡(luò)安全的目標(biāo)就是保護(hù)網(wǎng)絡(luò)信息存放的安全和在網(wǎng)絡(luò)傳輸過程中的安全 ， 也就是防止網(wǎng)絡(luò)信息被非授權(quán)地訪問 、 非法地修改和破壞 。 具體地說 ， 網(wǎng)絡(luò)信息應(yīng)該滿足以下 5個(gè)網(wǎng)絡(luò)安全目標(biāo) 。 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 一個(gè)安全的計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)該具有可靠性、可用性、完整性、保密性和真實(shí)性等特點(diǎn)。計(jì)算機(jī)網(wǎng)絡(luò)不僅要保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備的安全和計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全，還要保護(hù)數(shù)據(jù)安全等。因此，針對(duì)計(jì)算機(jī)網(wǎng)絡(luò)本身可能存在的安全問題，實(shí)施網(wǎng)絡(luò)安全保護(hù)方案以確保計(jì)算機(jī)網(wǎng)絡(luò)自身的安全性，是每一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)都要認(rèn)真對(duì)待的一個(gè)重要問題。網(wǎng)絡(luò)安全防范的重點(diǎn)主要有兩個(gè)方面：一是計(jì)算機(jī)病毒，二是黑客犯罪。 計(jì)算機(jī)病毒是我們都比較熟悉的一種危害計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)安全的破壞性程序。黑客犯罪指的是個(gè)別人利用計(jì)算機(jī)高科技手段，盜取密碼以侵入他人計(jì)算機(jī)網(wǎng)絡(luò)，非法獲得信息、盜用特權(quán)等，例如非法轉(zhuǎn)移銀行資金、盜用他人銀行賬號(hào)進(jìn)行購物等。隨著網(wǎng)絡(luò)經(jīng)濟(jì)的發(fā)展和電子商務(wù)的展開，嚴(yán)防黑客入侵、切實(shí)保障網(wǎng)絡(luò)交易的安全，不僅關(guān)系到個(gè)人的資金安全和商家的貨物安全，還關(guān)系到國家的經(jīng)濟(jì)安全和國家經(jīng)濟(jì)秩序的穩(wěn)定問題，因此各級(jí)組織和部門必須給予高度重視。 網(wǎng)絡(luò)安全防范的主要內(nèi)容 網(wǎng)絡(luò)安全概述 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)安全防范體系 網(wǎng)絡(luò)安全防范體系的科學(xué)性和可行性是其可順利實(shí)施的保障。如圖12一維是安全服務(wù)，給出了 8種安全屬性 (第二維是系統(tǒng)單元，給出了信息網(wǎng)絡(luò)系統(tǒng)的組成；第三維是結(jié)構(gòu)層次，給出并擴(kuò)展了國際標(biāo)準(zhǔn)化組織 型。 框架結(jié)構(gòu)中的每一個(gè)系統(tǒng)單元都對(duì)應(yīng)于某一個(gè)協(xié)議層次，需要采取若干種安全服務(wù)才能保證該系統(tǒng)單元的安全。網(wǎng)絡(luò)平臺(tái)需要有網(wǎng)絡(luò)節(jié)點(diǎn)之間的認(rèn)證和訪問控制，應(yīng)用平臺(tái)需要有針對(duì)用戶的認(rèn)證和訪問控制，需要保證數(shù)據(jù)傳輸?shù)耐暾院捅Ｃ苄?，需要有抗抵賴和審?jì)的功能，需要保證應(yīng)用系統(tǒng)的可用性和可靠性。針對(duì)一個(gè)信息網(wǎng)絡(luò)系統(tǒng)，如果在各個(gè)系統(tǒng)單元都有相應(yīng)的安全措施來滿足其安全需求，則該信息網(wǎng)絡(luò)被認(rèn)為是安全的。 其體系結(jié)構(gòu)如下圖所示： 網(wǎng)絡(luò)安全體系結(jié)構(gòu) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)安全防范體系 網(wǎng)絡(luò)安全體系結(jié)構(gòu) 協(xié)議層次應(yīng)層用傳層輸網(wǎng)層絡(luò)鏈層路物層理對(duì)等實(shí)體認(rèn)證數(shù)據(jù)源認(rèn)證訪問控制機(jī)密性流量機(jī)密性數(shù)據(jù)完整性抗否認(rèn)服務(wù)可用性安 全 服 務(wù)通 信 平 臺(tái)網(wǎng) 絡(luò) 平 臺(tái)系 統(tǒng) 平 臺(tái)應(yīng) 用 平 臺(tái)物 理 環(huán) 境系統(tǒng)單元組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 作為全方位的 、 整體的網(wǎng)絡(luò)安全防范體系也是分層次的 ， 不同的層次反映了不同的安全問題 ， 根據(jù)網(wǎng)絡(luò)的應(yīng)用現(xiàn)狀情況和網(wǎng)絡(luò)的結(jié)構(gòu) ， 我們將安全防范體系的層次劃分為物理層安全 、 系統(tǒng)層安全 、 網(wǎng)絡(luò)層安全 、應(yīng)用層安全和安全管理 5個(gè)層次 ： 1. 物理環(huán)境的安全性 (物理層安全 ) 2. 操作系統(tǒng)的安全性 (系統(tǒng)層安全 ) 3. 網(wǎng)絡(luò)的安全性 (網(wǎng)絡(luò)層安全 ) 4. 應(yīng)用的安全性 (應(yīng)用層安全 ) 5. 管理的安全性 (管理層安全 ) 其安全防范體系層次如下圖所示： 網(wǎng)絡(luò)安全防范體系層次 網(wǎng)絡(luò)安全防范體系 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)安全防范體系層次 網(wǎng)絡(luò)安全防范體系 安 全 管 理網(wǎng)絡(luò)層安全系統(tǒng)層安全應(yīng)用層安全物 理 層 安 全組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 根據(jù)防范安全攻擊的安全需求 、 需要達(dá)到的安全目標(biāo) 、 相應(yīng)安全機(jī)制所需要的安全服務(wù)等因素 ， 參照 統(tǒng)安全工程能力成熟模型 )和 息安全管理標(biāo)準(zhǔn) )等國際標(biāo)準(zhǔn) ， 綜合考慮可實(shí)施性 、 可管理性 、 可擴(kuò)展性 、 綜合完備性 、 系統(tǒng)均衡性等方面 ， 網(wǎng)絡(luò)安全防范體系在整體設(shè)計(jì)過程中應(yīng)遵循以下 9項(xiàng)原則： 1. 網(wǎng)絡(luò)信息安全的木桶原則 2. 網(wǎng)絡(luò)信息安全的整體性原則 3. 安全性評(píng)價(jià)與平衡原則 4. 標(biāo)準(zhǔn)化與一致性原則 5. 技術(shù)與管理相結(jié)合原則 6. 統(tǒng)籌規(guī)劃 、 分步實(shí)施原則 7. 等級(jí)性原則 8. 動(dòng)態(tài)發(fā)展原則 9. 易操作性原則 網(wǎng)絡(luò)安全防范體系設(shè)計(jì)準(zhǔn)則 網(wǎng)絡(luò)安全防范體系 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 安全策略概略說明什么資產(chǎn)是值得保護(hù)和什么行動(dòng)或不行動(dòng)將威脅資產(chǎn) ， 所以安全策略是安全的基礎(chǔ) ， 策略將會(huì)權(quán)衡預(yù)期的威脅對(duì)個(gè)人的生產(chǎn)力和效率的破壞程度 ， 根據(jù)價(jià)值不同確認(rèn)保護(hù)水平 ， 因此 ， 安全策略的制定是網(wǎng)絡(luò)安全的前提 ， 網(wǎng)絡(luò)安全策略確定了結(jié)構(gòu)中預(yù)期計(jì)算機(jī)的適當(dāng)配置 、 使用的網(wǎng)絡(luò)和用以防止與回應(yīng)安全事件程序 。 1. 物理安全策略 2. 訪問控制策略 (1)入網(wǎng)訪問控制 (2) 網(wǎng)絡(luò)的權(quán)限控制 (3) 目錄級(jí)安全控制 (4) 屬性安全控制 (5) 網(wǎng)絡(luò)服務(wù)器安全控制 (6) 網(wǎng)絡(luò)監(jiān)測(cè)和鎖定控制 (7) 網(wǎng)絡(luò)端口和節(jié)點(diǎn)的安全控制 網(wǎng)絡(luò)安全防范策略 網(wǎng)絡(luò)安全防范體系 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 3. 信息加密策略 4. 防病毒技術(shù) 5. 防火墻技術(shù) 6. 網(wǎng)絡(luò)入侵檢測(cè)技術(shù) 7. 網(wǎng)絡(luò)安全管理策略 網(wǎng)絡(luò)安全防范體系 網(wǎng)絡(luò)安全防范策略 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)安全技術(shù) 防火墻是近期發(fā)展起來的一種保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)安全的技術(shù)性措施 ，它是阻止網(wǎng)絡(luò)中的黑客訪問某個(gè)機(jī)構(gòu)網(wǎng)絡(luò)的屏障 ， 也可以將它稱為控制進(jìn) /出兩個(gè)方向通信的門檻 。 防火墻系統(tǒng)是一種網(wǎng)絡(luò)安全部件 ， 它可以是硬件 ， 也可以是軟件 ， 也可能是硬件和軟件的結(jié)合 ， 這種安全部件處于被保護(hù)網(wǎng)絡(luò)和其他網(wǎng)絡(luò)的邊界 ， 接收被保護(hù)網(wǎng)絡(luò)的進(jìn)出數(shù)據(jù)流 ， 并根據(jù)防火墻所配置的訪問控制策略進(jìn)行過濾或做出其他操作 ， 防火墻系統(tǒng)不僅能夠保護(hù)網(wǎng)絡(luò)資源不受外部的侵入 ， 而且還能夠攔截從被保護(hù)網(wǎng)絡(luò)向外傳送有價(jià)值的信息 。 防火墻系統(tǒng)可以用于內(nèi)部網(wǎng)絡(luò)與 也可以用于內(nèi)部網(wǎng)絡(luò)的不同網(wǎng)段的隔離 ， 后者通常被稱為 1. 防火墻的分類 根據(jù)防火墻所采用技術(shù)的不同 ， 目前的防火墻主要有包過濾防火墻 、代理防火墻 、 種 。 (1) 包過濾防火墻 防火墻 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 (2) 代理防火墻 (3) 網(wǎng)絡(luò)地址轉(zhuǎn)換 (4) 監(jiān)測(cè)型防火墻 2. 常見防火墻產(chǎn)品 (1)(2) (3) 3(4) 網(wǎng)絡(luò)安全技術(shù) 防火墻 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 數(shù)據(jù)加密技術(shù)是最基本的網(wǎng)絡(luò)安全技術(shù) ， 被譽(yù)為信息安全的核心 ，最初主要用于確保數(shù)據(jù)在存儲(chǔ)和傳輸過程中的保密性 。 它通過變換和置換等方法將被保護(hù)信息置換成密文 ， 然后再進(jìn)行信息的存儲(chǔ)或傳輸 ， 即使加密信息在存儲(chǔ)或傳輸過程被非授權(quán)人員所獲得 ， 也可以保證這些信息不被其認(rèn)知 ， 從而達(dá)到保護(hù)信息的目的 。 該方法的保密性直接取決于所采用的密碼算法和密鑰長(zhǎng)度 。 加密技術(shù) 網(wǎng)絡(luò)安全技術(shù) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)用特別是電子商務(wù)應(yīng)用的飛速發(fā)展，對(duì)數(shù)據(jù)完整性和身份鑒定技術(shù)提出了新的要求，數(shù)字簽名和身份認(rèn)證就是為了適應(yīng)這種需要而在密碼學(xué)中派生出來的新技術(shù)和新應(yīng)用。數(shù)據(jù)傳輸?shù)耐暾酝ǔＭㄟ^數(shù)字簽名的方式來實(shí)現(xiàn)，即數(shù)據(jù)的發(fā)送方在發(fā)送數(shù)據(jù)的同時(shí)利用單向的 算出所傳輸數(shù)據(jù)的消息文摘，并將該消息文摘作為數(shù)字簽名隨數(shù)據(jù)一同發(fā)送。接收方在接收到數(shù)據(jù)的同時(shí)也收到該數(shù)據(jù)的數(shù)字簽名，接收方使用相同的算法計(jì)算出所接收到的數(shù)據(jù)的數(shù)字簽名，并將該數(shù)字簽名和所接收到的數(shù)字簽名進(jìn)行比較，如果兩者相同，則說明數(shù)據(jù)在傳輸過程中未被修改，數(shù)據(jù)完整性得到了保證。常用的消息文摘算法包括 根據(jù)密鑰類型的不同，可以將現(xiàn)代密碼技術(shù)分為兩類：對(duì)稱加密算法 (私鑰密碼體系 )和非對(duì)稱加密算法 (公鑰密碼體系 )。 網(wǎng)絡(luò)安全技術(shù) 加密技術(shù) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 在對(duì)稱加密算法中，數(shù)據(jù)加密和解密采用是同一個(gè)密鑰，因此，其安全性依賴于所持有密鑰的安全性。這種加密方法可簡(jiǎn)化加密處理的過程，信息交換雙方都不必彼此研究和交換專用的加密算法。如果在交換階段私有密鑰未曾泄露，那么機(jī)密性和報(bào)文完整性就可以得到保證。對(duì)稱加密算法的主要優(yōu)點(diǎn)是加密和解密速度快，加密強(qiáng)度高，且算法公開，但其最大的缺點(diǎn)是實(shí)現(xiàn)密鑰的秘密分發(fā)比較困難，在大量用戶的情況下，密鑰管理復(fù)雜，而且無法完成身份認(rèn)證等功能，不便于應(yīng)用于網(wǎng)絡(luò)開放的環(huán)境中。目前最著名的對(duì)稱加密算法有數(shù)據(jù)加密標(biāo)準(zhǔn) 網(wǎng)絡(luò)安全技術(shù) 加密技術(shù) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 在公鑰密碼體系中，數(shù)據(jù)加密和解密采用不同的密鑰，而且用加密密鑰進(jìn)行加密的數(shù)據(jù)，只有采用相應(yīng)的解密密鑰才能進(jìn)行解密，更重要的是，從加密密碼來求解解密密鑰十分困難。在實(shí)際應(yīng)用中，用戶通常將密鑰對(duì)中的加密密鑰公開 (稱為公鑰 )，而秘密持有解密密鑰 (稱為私鑰 )。利用公鑰體系可以方便地實(shí)現(xiàn)對(duì)用戶的身份認(rèn)證，即用戶在信息傳輸前，首先使用所持有的私鑰對(duì)傳輸?shù)男畔⑦M(jìn)行加密，信息接收者在收到這些信息之后，利用該用戶向外公布的公鑰進(jìn)行解密，如果能夠解開密碼，說明信息確實(shí)是該用戶所發(fā)送，這樣就方便地實(shí)現(xiàn)了對(duì)信息發(fā)送方身份的鑒別和認(rèn)證。在實(shí)際應(yīng)用中，通常將公鑰密碼體系和數(shù)字簽名算法結(jié)合使用，在保證數(shù)據(jù)傳輸完整性的同時(shí)完成對(duì)用戶的身份認(rèn)證。 網(wǎng)絡(luò)安全技術(shù) 加密技術(shù) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 目前的公鑰密碼算法都是基于一些復(fù)雜的數(shù)學(xué)難題，例如，目前廣泛使用的 前常用的非對(duì)稱加密算法包括整數(shù)因子分解 (以 、橢圓曲線離散對(duì)數(shù)和離散對(duì)數(shù) (以 3種。公鑰密碼體系的優(yōu)點(diǎn)是能夠適應(yīng)網(wǎng)絡(luò)的開放性要求，密鑰管理簡(jiǎn)單，并且可以方便地實(shí)現(xiàn)數(shù)字簽名和身份認(rèn)證等功能，它是目前電子商務(wù)等技術(shù)的核心基礎(chǔ)。其缺點(diǎn)是算法復(fù)雜，加密數(shù)據(jù)的速度和效率較低，因此，在實(shí)際應(yīng)用中，通常將對(duì)稱加密算法和非對(duì)稱加密算法結(jié)合起來使用，利用 采用 過這種方法，可以有效地提高加密的效率并能簡(jiǎn)化對(duì)密鑰的管理。 網(wǎng)絡(luò)安全技術(shù) 加密技術(shù) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)入侵檢測(cè)技術(shù)也稱為網(wǎng)絡(luò)實(shí)時(shí)監(jiān)控技術(shù) ， 它通過硬件或軟件對(duì)網(wǎng)絡(luò)上的數(shù)據(jù)流進(jìn)行實(shí)時(shí)檢查 ， 并與系統(tǒng)中的入侵特征數(shù)據(jù)庫進(jìn)行比較 ，一旦發(fā)現(xiàn)有被攻擊的跡象 ， 立刻根據(jù)用戶所定義的動(dòng)作做出反應(yīng) ， 例如切斷網(wǎng)絡(luò)連接 ， 或通知防火墻系統(tǒng)對(duì)訪問控制策略進(jìn)行調(diào)整 ， 將入侵的數(shù)據(jù)包進(jìn)行過濾等 。 入侵檢測(cè)技術(shù)簡(jiǎn)介 : (1) (2). 異常性檢測(cè)方法 2. 搭建一個(gè)基于網(wǎng)絡(luò)的 (1) 獲取 (2) 構(gòu)建并配置探測(cè)器 ， 實(shí)現(xiàn)數(shù)據(jù)采集功能 (3) 建立數(shù)據(jù)分析模塊 (4) 構(gòu)建控制臺(tái)子系統(tǒng) (5) 構(gòu)建數(shù)據(jù)庫管理子系統(tǒng) (6) 聯(lián)調(diào) 入侵檢測(cè)技術(shù) 網(wǎng)絡(luò)安全技術(shù) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 身份驗(yàn)證是一致性驗(yàn)證的一種，驗(yàn)證是建立一致性證明的一種手段。身份驗(yàn)證主要包括驗(yàn)證依據(jù)、驗(yàn)證系統(tǒng)和安全要求。身份驗(yàn)證技術(shù)是在計(jì)算機(jī)中最早應(yīng)用的安全技術(shù)，目前仍在廣泛的被應(yīng)用，它是網(wǎng)絡(luò)信息安全的第一道門。 在現(xiàn)實(shí)生活中，個(gè)人的身份主要通過各種證件來確認(rèn)的，例如身份證或者戶口簿等等。在計(jì)算機(jī)世界里，各種計(jì)算機(jī)資源也需要認(rèn)證機(jī)制，從而能夠確保被能夠使用這些資源的人使用。然而，目前各類計(jì)算機(jī)資源主要是依靠固定的口令方式來進(jìn)行驗(yàn)證。這種方式存在著很多問題，例如會(huì)被黑客進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)流竊聽、認(rèn)證信息截取、字典攻擊、窮舉嘗試等等。鑒于這些問題，一次性口令身份驗(yàn)證技術(shù)出現(xiàn)了。 身份驗(yàn)證和存取控制 網(wǎng)絡(luò)安全技術(shù) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 所謂的一次性口令身份驗(yàn)證技術(shù)主要是在登陸過程中，加入不確定的因素，是每次登陸過程中傳送的信息都不相同，以提高登陸過程的安全性。例如：登陸密碼 =戶名 +密碼 +時(shí)間），系統(tǒng)接收到登陸口令后做一個(gè)驗(yàn)算即可驗(yàn)證用戶的合法性。例如 存取控制規(guī)定何種主體對(duì)何種客體具有何種操作權(quán)力。存取控制主要包括人員限制、數(shù)據(jù)標(biāo)識(shí)、權(quán)限控制、類型控制和風(fēng)險(xiǎn)分析等等。它也是比較早的一種安全技術(shù)，與身份驗(yàn)證同時(shí)使用，賦予不同身份的用戶以不同的操作權(quán)限，以實(shí)現(xiàn)不同安全級(jí)別的信息分級(jí)管理。 存取控制是對(duì)所有的直接存取活動(dòng)通過授權(quán)的方式進(jìn)行控制，從而保證了計(jì)算機(jī)的系統(tǒng)安全保密。一般來說有兩種方式：一是隔離技術(shù)法，二是限制權(quán)限法。 網(wǎng)絡(luò)安全技術(shù) 身份驗(yàn)證和存取控制 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 所謂的隔離技術(shù)法就是在電子數(shù)據(jù)處理成分的周圍建立屏障，從而在該環(huán)境中實(shí)施存取規(guī)則。隔離技術(shù)也分為物理隔離、時(shí)間隔離、邏輯隔離和密碼技術(shù)隔離。傳統(tǒng)的多網(wǎng)環(huán)境一般通過運(yùn)行兩臺(tái)計(jì)算機(jī)實(shí)現(xiàn)的就是物理隔離。目前，我國已經(jīng)擁有了自主知識(shí)產(chǎn)權(quán)的涉密計(jì)算機(jī)，它采用雙硬盤物理隔離技術(shù)，通過運(yùn)行一臺(tái)涉密計(jì)算機(jī)，即可在物理隔離的狀態(tài)下切換涉密信息網(wǎng)和公共信息網(wǎng)，實(shí)現(xiàn)一機(jī)雙網(wǎng)或一機(jī)多網(wǎng)的功能。另外，還有一種方式就是在電腦中加裝隔離卡，一塊隔離卡帶一塊硬盤、一塊網(wǎng)卡，使用不同的網(wǎng)絡(luò)環(huán)境。當(dāng)然，物理隔離方式對(duì)于系統(tǒng)的要求比較高。 所謂的限制權(quán)限法就是限制特權(quán)以便有效地進(jìn)入系統(tǒng)的用戶所進(jìn)行的操作。其實(shí)，這也是對(duì)用戶進(jìn)行分類，不同級(jí)別的用戶安全密級(jí)授權(quán)不同，對(duì)于資源的訪問的權(quán)限也就不同。 網(wǎng)絡(luò)安全技術(shù) 身份驗(yàn)證和存取控制 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 虛擬專用網(wǎng) (近年來隨著代企業(yè)越來越多地利用售和售后服務(wù)，乃至培訓(xùn)、合作等活動(dòng)。許多企業(yè)趨向于利用 種利用 虛擬專用網(wǎng)實(shí)際上就是將 種公有網(wǎng)和 用戶觀點(diǎn)來看，數(shù)據(jù)都能夠被正確傳送到了目的地。相應(yīng)地，企業(yè)在這種公共數(shù)據(jù)網(wǎng)上建立的用以傳輸企業(yè)內(nèi)部信息的網(wǎng)絡(luò)被稱為私有網(wǎng)。 目前 項(xiàng)技術(shù)來保證安全，這 4項(xiàng)技術(shù)分別是隧道技術(shù)(加 /解密技術(shù) (密鑰管理技術(shù)(使用者與設(shè)備身份認(rèn)證技術(shù) ( 網(wǎng)絡(luò)安全技術(shù) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 1. 隧道技術(shù) 2. 加 /解密技術(shù) 3. 密鑰管理技術(shù) 4. 使用者與設(shè)備身份認(rèn)證技術(shù) 網(wǎng)絡(luò)安全技術(shù) 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)安全協(xié)議 安全協(xié)議的建立和完善是安全保密系統(tǒng)走上規(guī)范化、標(biāo)準(zhǔn)化道路的基本因素。根據(jù)計(jì)算機(jī)專用網(wǎng)多年的實(shí)踐經(jīng)驗(yàn)，一個(gè)較為完善的內(nèi)部網(wǎng)和安全保密系統(tǒng)，至少要實(shí)現(xiàn)加密機(jī)制、驗(yàn)證機(jī)制和保護(hù)機(jī)制。目前，已開發(fā)并應(yīng)用的協(xié)議有以下幾種： (1)加密協(xié)議 (2)身份驗(yàn)證協(xié)議 (3)密鑰管理協(xié)議 (4)數(shù)據(jù)驗(yàn)證協(xié)議 (5)安全審計(jì)協(xié)議 (6)防護(hù)協(xié)議 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)安全協(xié)議 一種為了在不安全的網(wǎng)絡(luò)上提供安全的遠(yuǎn)程登錄和安全的網(wǎng)絡(luò)服務(wù)而設(shè)計(jì)的協(xié)議。它包括以下 3個(gè)主要部分： (1)傳輸層協(xié)議提供一些認(rèn)證、信任和完整性。 (2)用戶認(rèn)證協(xié)議層認(rèn)證連接到服務(wù)器的客戶端用戶。 (3)當(dāng)安全的傳輸層連接建立之后，客戶端將發(fā)送一個(gè)服務(wù)請(qǐng)求。 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 它之上可以疊加各種網(wǎng)路應(yīng)用，而 術(shù)識(shí)別對(duì)方的身份， 如 方在連線建立之初即商定一個(gè)用以對(duì)后續(xù)連線加密的秘密鑰匙 (加密演算法，例如 訊息認(rèn)證碼 ( 式，例如 網(wǎng)絡(luò)安全協(xié)議 于 頗具彈性，許多國際知名廠商的多數(shù)產(chǎn)品都支持此協(xié)定，包括微軟的，而 信賴的傳輸服務(wù)，安全表示透過 以防范外界任何可能的竊聽或監(jiān)控，可信賴表示經(jīng)由 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 驗(yàn)證方須持有某發(fā)證機(jī)關(guān)(證書 (其中內(nèi)含其持有者的公眾鑰匙， 持有者的私有鑰匙和證書即可證明自己的身份，在實(shí)際應(yīng)用上， 戶端可選擇性的持有自己的證書，此種做法主要在于保護(hù)一般用戶不會(huì)被欺騙。 網(wǎng)絡(luò)安全協(xié)議 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 靈活簡(jiǎn)潔的 但是這種簡(jiǎn)潔產(chǎn)生了一個(gè)重大的問題：缺少 目前 ， 由 ， 瞄準(zhǔn)了直接在 個(gè)主要范圍上的安全：鑒定性 ， 它用于驗(yàn)證正在通信的個(gè)體；完整性 ， 它用于確保數(shù)據(jù)不被改變；保密性 ， 它用于確保數(shù)據(jù)不被截獲和查看 。 1. 議不是一個(gè)單獨(dú)的協(xié)議 ， 它給出了應(yīng)用于 的 一 整 套 體 系 結(jié) 構(gòu) ， 包 括 網(wǎng) 絡(luò) 認(rèn) 證 協(xié) 議 H) 、 封 裝 安 全 載 荷 協(xié) 議 密鑰管理協(xié)議 用于網(wǎng)絡(luò)認(rèn)證及加密的一些算法等 。 定了如何在對(duì)等層之間選擇安全協(xié)議 、 確定安全算法和密鑰交換 ， 向上層提供訪問控制 、 數(shù)據(jù)源認(rèn)證 、 數(shù)據(jù)加密等網(wǎng)絡(luò)安全服務(wù) 。 網(wǎng)絡(luò)安全協(xié)議 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 不可否認(rèn)性 反重播性 數(shù)據(jù)完整性 數(shù)據(jù)可靠性 (加密 ) 認(rèn)證數(shù)據(jù)源發(fā)送信任狀 ， 由接收方驗(yàn)證信任狀的合法性 ， 只有通過認(rèn)證的系統(tǒng)才可以建立通信連接 。 網(wǎng)絡(luò)安全協(xié)議 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 2. 可以看作是對(duì)包過濾防火墻的一種擴(kuò)展 ， 如圖 12 當(dāng)接收到一個(gè) 包過濾防火墻使用其頭部在一個(gè)規(guī)則表中進(jìn)行匹配 ， 當(dāng)找到一個(gè)相匹配的規(guī)則時(shí) ，包過濾防火墻就按照該規(guī)則制訂的方法對(duì)接收到的 這里的處理工作只有兩種：丟棄或轉(zhuǎn)發(fā) 。 其工作原理圖如下所示： 網(wǎng)絡(luò)安全協(xié)議 I P s e c 處理 塊 網(wǎng)卡驅(qū)動(dòng)程序 T C P 模塊 I P P C U T C P P C U 原決定對(duì)接收到的 但是 ， 繞過 ， 還有一種即進(jìn)行 正是這個(gè)新增添的處理方法提供了比包過濾防火墻更進(jìn)一步的網(wǎng)絡(luò)安全性 。 網(wǎng)絡(luò)安全協(xié)議 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)安全協(xié)議 進(jìn)行 過濾防火墻只能控制來自或去往某個(gè)站點(diǎn)的 以拒絕來自某個(gè)外部站點(diǎn)的可以拒絕某個(gè)內(nèi)部站點(diǎn)對(duì)某些外部網(wǎng)站的訪問。但是，包過濾防火墻不能保證從內(nèi)部網(wǎng)絡(luò)出去的數(shù)據(jù)包不被截取，也不能保證進(jìn)入內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包未經(jīng)過篡改。只有在對(duì) 能保證在外部網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)包的機(jī)密性、真實(shí)性、完整性，通過 只進(jìn)行認(rèn)證，也可以同時(shí)實(shí)施兩者。但無論是進(jìn)行加密還是進(jìn)行認(rèn)證， 種是與其前一節(jié)提到的協(xié)議工作方式類似的隧道模式；另一種是傳輸模式。 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 3. 個(gè)主要協(xié)議 為了進(jìn)行加密和認(rèn)證， 便向加密和認(rèn)證提供所需要的密鑰，并對(duì)密鑰的使用進(jìn)行管理。以上3方面的工作分別由 個(gè)協(xié)議進(jìn)行規(guī)定。為了介紹這 3個(gè)協(xié)議，首先需要引人一個(gè)術(shù)語： 全關(guān)聯(lián) )。所謂安全關(guān)聯(lián)指的是安全服務(wù)與它服務(wù)的載體之間的一個(gè) “ 連接 ” 。 A，而 A。主要實(shí)現(xiàn) 網(wǎng)絡(luò)安全協(xié)議 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 對(duì)使用的協(xié)議 、 加密算法和密鑰進(jìn)行協(xié)商 。 方便的密鑰交換機(jī)制 (這可能需要周期性的進(jìn)行 )。 跟蹤對(duì)以上約定的實(shí)施 。 網(wǎng)絡(luò)安全協(xié)議 通信雙方如果要利用 需要事先協(xié)商好將要采用的安全策略 ， 包括使用的加密算法 、 密鑰 、 密鑰的生存期等 。 當(dāng)雙方協(xié)商好使用的安全策略后 ， 我們就說雙方建立了一個(gè) 可以由 當(dāng)給定了一個(gè) 就確定了 例如加密 、 認(rèn)證等 。 輸臨近和嵌套隧道 。 (1) (2) (3) 它主要包括以下 3個(gè)功能： 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 所謂的 廣義上來講，就是提供公鑰加密和數(shù)字簽名服務(wù)的系統(tǒng)， 可以為用戶建立起一個(gè)安全的網(wǎng)絡(luò)運(yùn)行環(huán)境，使用戶可以在多種應(yīng)用環(huán)境下方便的使用加密和數(shù)字簽名技術(shù)，從而保證網(wǎng)上數(shù)據(jù)的機(jī)密性、完整性、有效性。 一個(gè)典型、完整、有效的 分別為公鑰密碼證書管理、黑名單的發(fā)布和管理、密鑰的備份和恢復(fù)、自動(dòng)更新密鑰、自動(dòng)管理歷史密鑰。 由公開密鑰密碼技術(shù)、數(shù)字證書、證書發(fā)放機(jī)構(gòu)和關(guān)于公開密鑰的安全策略等基本部分組成。它是利用公鑰技術(shù)實(shí)現(xiàn)電子商務(wù)安全的一種體系，是一種基礎(chǔ)設(shè)施。 網(wǎng)絡(luò)安全協(xié)議 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 所謂 是由美國 同開發(fā)研制了安全電子交易協(xié)議。它是能夠公鑰密碼體制和 要應(yīng)用于保障網(wǎng)上購物信息的安全性。 由于 家和銀行之間的認(rèn)證，確保了交易數(shù)據(jù)的安全性、完整性、可靠性和交易不可否認(rèn)性，特別是保證不將消費(fèi)者銀行卡號(hào)暴露給商家等等的優(yōu)點(diǎn)，因此成為了目前公認(rèn)的信用卡 /借記卡的網(wǎng)上交易額國際安全標(biāo)準(zhǔn)。 網(wǎng)絡(luò)安全協(xié)議 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)病毒與防治 計(jì)算機(jī)病毒指的是一些具有 “ 病毒 ” 功能的程序或程序段，它們可以把自己的一個(gè)副本附加到另一個(gè)程序或轉(zhuǎn)移到另一臺(tái)計(jì)算機(jī)系統(tǒng)中，通過網(wǎng)絡(luò)或存貯介質(zhì) (光盤、軟盤 )交換進(jìn)行傳播。結(jié)果是干擾計(jì)算機(jī)正常運(yùn)行，占用系統(tǒng)資源、降低傳輸運(yùn)行速度，有些 “ 病毒 ” 還在一定條件下破壞、刪改數(shù)據(jù)，產(chǎn)生嚴(yán)重的后果。 病毒是由一些計(jì)算機(jī)軟件設(shè)計(jì)者出于惡作劇、蓄意破壞或反人類、反社會(huì)因素等目的專門設(shè)計(jì)的特殊程序，病毒絕不會(huì)自己產(chǎn)生。伴隨著計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展，目前計(jì)算機(jī)病毒主要通過網(wǎng)絡(luò)進(jìn)行傳播，而且危害性空前擴(kuò)大。像 “ 沖擊波 ” 、 “ 蠕蟲 ” 等病毒，讓很多人體會(huì)到了病毒的危害和嚴(yán)重性。 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 在現(xiàn)階段，由于計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的各個(gè)組成部分、接口以及各個(gè)連接層次的相互轉(zhuǎn)換環(huán)節(jié)都不同程度地存在著某些漏洞或薄弱環(huán)節(jié)，在網(wǎng)絡(luò)軟件方面存在的薄弱環(huán)節(jié)更多，所以使得網(wǎng)絡(luò)病毒有機(jī)可乘，能夠突破網(wǎng)絡(luò)的安全保護(hù)機(jī)制，通過感染網(wǎng)絡(luò)服務(wù)器進(jìn)而在網(wǎng)絡(luò)上快速蔓延。計(jì)算機(jī)網(wǎng)絡(luò)病毒的特點(diǎn)如下： 1. 破壞性強(qiáng) 2. 傳播性強(qiáng) 3. 具有潛伏性和可激發(fā)性 4. 針對(duì)性強(qiáng) 5. 擴(kuò)散面廣、傳播途徑多變 網(wǎng)絡(luò)病毒的特點(diǎn) 網(wǎng)絡(luò)病毒與防治 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 屏幕異常滾動(dòng)，和行同步無關(guān)。 系統(tǒng)文件長(zhǎng)度發(fā)生變化。 出現(xiàn)異常信息、異常圖形。 運(yùn)行速度減慢，系統(tǒng)引導(dǎo)、打印速度變慢。 存儲(chǔ)容量異常減少。 系統(tǒng)不能由硬盤引導(dǎo)。 系統(tǒng)出現(xiàn)異常死機(jī)。 數(shù)據(jù)丟失。 執(zhí)行異常操作。 網(wǎng)絡(luò)病毒的主要癥狀 網(wǎng)絡(luò)病毒與防治 計(jì)算機(jī)網(wǎng)絡(luò)病毒和人體病毒一樣，都有本身的典型癥狀，主要有： 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 破壞文件分配表，使磁盤上的用戶信息丟失。 改變磁盤分配，造成數(shù)據(jù)的錯(cuò)誤。 刪除磁盤上特定的文件，或破壞文件的數(shù)據(jù)。 影響內(nèi)存中的常駐程序。 自我繁殖，侵占大量的存儲(chǔ)空間。 改變正常運(yùn)行的程序。 竊用用戶的主要數(shù)據(jù)。 網(wǎng)絡(luò)病毒與防治 網(wǎng)絡(luò)病毒的主要癥狀 病毒本身各具有不同特性，病毒的癥狀也是五花八門。有的病毒表現(xiàn)欲非常強(qiáng)，它進(jìn)入到內(nèi)存后，針對(duì)系統(tǒng)做一些定點(diǎn)操作。有的病毒則不會(huì)有太大的動(dòng)靜，會(huì)對(duì)文件進(jìn)行改寫。雖然病毒形式多種多樣，但它們發(fā)作的目的都是為了破壞程序的完整性，篡改文件的精確性，使系統(tǒng)及所支持的數(shù)據(jù)和服務(wù)發(fā)生失效。主要的表現(xiàn)形式有如下： 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)病毒的防治是一個(gè)系統(tǒng)性的工程 ， 它既包括技術(shù)方面的措施 ，又包括管理方面的措施 。 1. 選擇有效的防毒 /殺毒軟件 2. 增加安全意識(shí) 3. 健全管理制度并落實(shí)執(zhí)行 4. 定期對(duì)網(wǎng)絡(luò)中的設(shè)備進(jìn)行查毒 網(wǎng)絡(luò)病毒的防治 網(wǎng)絡(luò)病毒與防治 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 選擇有效的防毒 /殺毒軟件是防治網(wǎng)絡(luò)病毒的有效措施。目前，主要的殺毒 /防毒軟件有主機(jī)版和網(wǎng)絡(luò)版兩種版本，主機(jī)版主要用于單機(jī)系統(tǒng)的防毒和殺毒，網(wǎng)絡(luò)版可以實(shí)現(xiàn)網(wǎng)絡(luò)系統(tǒng)的殺毒與防毒。 1. 網(wǎng)絡(luò)防毒 /殺毒系統(tǒng)的特點(diǎn) (1) 集中式管理、分布式殺毒。 (2) 數(shù)據(jù)庫技術(shù)、 (3) 多引擎支持。 (4) 從入口處攔截病毒。 (5) 全面解決方案。 (6) 客戶化定制。 (7) 擴(kuò)展性。 (8) 遠(yuǎn)程安裝或分發(fā)安裝。 網(wǎng)絡(luò)防毒 /殺毒軟件 網(wǎng)絡(luò)病毒與防治 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 2. 常見網(wǎng)絡(luò)防毒 /殺毒產(chǎn)品 (1) (2) (3) (4) (5)卡巴斯基殺毒軟件 網(wǎng)絡(luò)病毒與防治 網(wǎng)絡(luò)防毒 /殺毒軟件 組網(wǎng)技術(shù)與網(wǎng)絡(luò)管理 網(wǎng)絡(luò)機(jī)房安全 計(jì)算機(jī)機(jī)房的場(chǎng)地環(huán)境，即各種因素對(duì)計(jì)算機(jī)設(shè)備的影響。 計(jì)算機(jī)機(jī)房用電安全技術(shù)的要求。 計(jì)算機(jī)機(jī)房的訪問人員控制。 計(jì)算機(jī)設(shè)備及場(chǎng)地的防雷、防火和防水。 計(jì)算機(jī)系統(tǒng)的靜電防護(hù)。 計(jì)算機(jī)設(shè)備及軟件、數(shù)據(jù)的防盜防破壞措施。 存儲(chǔ)著計(jì)算機(jī)中重要信息的磁介質(zhì)的處理、存儲(chǔ)和處理手續(xù)的有關(guān)問題。 計(jì)算機(jī)系統(tǒng)在遭受災(zāi)害時(shí)的應(yīng)急措施。 機(jī)房安全范圍 保證計(jì)算機(jī)系統(tǒng)的機(jī)房安全涉及的范圍很廣泛，不但要保證計(jì)算機(jī)安全運(yùn)行，還要保證整個(gè)設(shè)施的安全；不但要保證設(shè)備的正常運(yùn)轉(zhuǎn)，還要保證數(shù)據(jù)信息的安全可靠；不但要保證硬件安全還要保證軟件安全。 計(jì)算機(jī)系統(tǒng)