計算機(jī)三級網(wǎng)絡(luò)技術(shù)ppt課件

第六章,第6章網(wǎng)絡(luò)安全技術(shù),6.1網(wǎng)絡(luò)管理,.,3,6.1.1網(wǎng)絡(luò)管理概述,1網(wǎng)絡(luò)管理的定義為保證網(wǎng)絡(luò)系統(tǒng)能夠持續(xù)、穩(wěn)定、安全、可靠和高效地運(yùn)行，對網(wǎng)絡(luò)實(shí)施的一系列方法和措施。任務(wù)就是收集、監(jiān)控網(wǎng)絡(luò)中各種設(shè)備和設(shè)施的工作參數(shù)、工作狀態(tài)信息，將結(jié)果顯示給管理員并進(jìn)行處理，從而控制網(wǎng)絡(luò)中的設(shè)備、設(shè)施，工作參數(shù)和工作狀態(tài)，以實(shí)現(xiàn)對網(wǎng)絡(luò)的管理。2網(wǎng)絡(luò)管理的目標(biāo)減少停機(jī)時間，改進(jìn)響應(yīng)時間，提高設(shè)備利用率；減少運(yùn)行費(fèi)用，提高效率；減少或消除網(wǎng)絡(luò)瓶頸；使網(wǎng)絡(luò)更容易使用；安全。,.,4,6.1.1網(wǎng)絡(luò)管理概述,2網(wǎng)絡(luò)管理員的職責(zé)網(wǎng)絡(luò)管理過程包括數(shù)據(jù)收集、數(shù)據(jù)處理、數(shù)據(jù)分析和報告生成，這一過程可以是自動的，也可以是管理員的手工勞動。網(wǎng)絡(luò)管理員職責(zé)擔(dān)負(fù)著網(wǎng)絡(luò)的規(guī)劃、建設(shè)、維護(hù)、擴(kuò)展、優(yōu)化和故障檢修等任務(wù),.,5,3網(wǎng)絡(luò)管理模型,網(wǎng)絡(luò)管理者：運(yùn)行在計算機(jī)操作系統(tǒng)之上的一組應(yīng)用程序，負(fù)責(zé)從各代理處收集管理信息，進(jìn)行處理，獲取有價值的管理信息，達(dá)到管理的目的。代理：位于被管理的設(shè)備內(nèi)部，是被管對象上的管理程序。管理者和代理之間的信息交換方式：從管理者到代理的管理操作從代理到管理者的事件通知,.,6,6.1.2網(wǎng)絡(luò)管理功能,包括5大功能域：配置管理故障管理性能管理計費(fèi)管理安全管理,.,7,1配置管理,掌握和控制網(wǎng)絡(luò)的配置信息，從而保證網(wǎng)絡(luò)管理員可以跟蹤、管理網(wǎng)絡(luò)中各種設(shè)備的運(yùn)行狀態(tài)配置管理的內(nèi)容一般分為：對設(shè)備的管理對設(shè)備連接關(guān)系的管理,.,8,2故障管理,對網(wǎng)絡(luò)中的問題或故障進(jìn)行定位的過程目標(biāo)：自動監(jiān)測網(wǎng)絡(luò)硬件和軟件中的故障并通知用戶，以便網(wǎng)絡(luò)有效地運(yùn)行故障報告的形式：通常采用的故障報告形式有文字、圖形和聲音信號等。在圖形報告中，一般采用下面的顏色方案：綠色表示設(shè)備無錯誤運(yùn)行；黃色表示設(shè)備可能存在一個錯誤；紅色表示設(shè)備處于錯誤狀態(tài)；藍(lán)色表示設(shè)備運(yùn)行，但處于錯誤狀態(tài)；橙色表示設(shè)備配置不當(dāng)；灰色表示設(shè)備無信息；紫色表示設(shè)備正在被查詢。,.,9,2故障管理(續(xù)),故障管理的步驟：包括：發(fā)現(xiàn)故障，判斷故障癥狀，隔離故障，修復(fù)故障，記錄故障的檢修過程及其結(jié)果。故障管理的作用：通過提供網(wǎng)絡(luò)管理者快速地檢查問題并啟動恢復(fù)過程的工具，使網(wǎng)絡(luò)的可靠性得到增強(qiáng)故障管理功能：包括：接收差錯報告并做出反映，建立和維護(hù)差錯日志并進(jìn)行分析；對差錯地診斷測試；對故障進(jìn)行過濾，同時對故障通知進(jìn)行優(yōu)先級判斷；追蹤故障，確定糾正故障的方法措施。,.,10,3性能管理,網(wǎng)絡(luò)性能：主要包括網(wǎng)絡(luò)吞吐量、響應(yīng)時間、線路利用率、網(wǎng)絡(luò)可用性等參數(shù)。性能管理目標(biāo)：通過監(jiān)控網(wǎng)絡(luò)的運(yùn)行狀態(tài)調(diào)整網(wǎng)絡(luò)性能參數(shù)來改善網(wǎng)絡(luò)的性能，確保網(wǎng)絡(luò)平穩(wěn)運(yùn)行。從概念上講，性能管理包括監(jiān)視和調(diào)整兩大功能，具體包括：性能參數(shù)的收集和存儲性能參數(shù)的顯示和分析性能閾值的管理性能調(diào)整,.,11,4計費(fèi)管理,主要目的：記錄網(wǎng)絡(luò)資源的使用，控制和監(jiān)測網(wǎng)絡(luò)操作的費(fèi)用和代價。主要作用：能夠測量和報告基于個人或團(tuán)體用戶的計費(fèi)信息，分配資源并計算傳輸數(shù)據(jù)的費(fèi)用，然后給用戶開出賬單主要功能建立和維護(hù)計費(fèi)數(shù)據(jù)庫；建立和管理相應(yīng)的計費(fèi)策略；限量控制；信息查詢,.,12,5安全管理,目標(biāo)：提供信息的隱隱蔽、認(rèn)證和完整性保護(hù)機(jī)制，使網(wǎng)絡(luò)中的服務(wù)、數(shù)據(jù)以及系統(tǒng)免受侵?jǐn)_和破壞。主要內(nèi)容：對網(wǎng)絡(luò)資源以及重要信息的訪問進(jìn)行約束和控制主要功能：標(biāo)識重要的網(wǎng)絡(luò)資源；確定重要的網(wǎng)絡(luò)資源和用戶集之間的映射關(guān)系；監(jiān)視對重要網(wǎng)絡(luò)資源的訪問；記錄對重要網(wǎng)絡(luò)資源的非法訪問；信息加密管理。,.,13,6.1.3網(wǎng)絡(luò)管理協(xié)議,SNMP簡單網(wǎng)絡(luò)管理協(xié)議，應(yīng)用最廣泛CMISCMIP公共管理信息服務(wù)/公共管理信息協(xié)議OSI提供的網(wǎng)絡(luò)管理協(xié)議簇LMMPIEEE制定的局域網(wǎng)和城域網(wǎng)管理標(biāo)準(zhǔn)，用于管理物理層和數(shù)據(jù)鏈路層的OSI設(shè)備，它的基礎(chǔ)是CMIP。RMON主要用于網(wǎng)絡(luò)監(jiān)視的，它是對SNMP的補(bǔ)充，它定義了監(jiān)視局域網(wǎng)通信的信息庫，與SNMP協(xié)議配合可以提供更有效的管理性能。,.,14,1簡單網(wǎng)管協(xié)議（SNMP）,（1）SNMP版本SNMPv1是事實(shí)上的網(wǎng)絡(luò)管理工業(yè)標(biāo)準(zhǔn)，但在安全性和數(shù)據(jù)組織上存在一些缺陷。SNMPv2是SNMPv1的增強(qiáng)版，在系統(tǒng)管理接口、協(xié)作操作、信息格式、管理體系結(jié)構(gòu)和安全性幾個方面有較大的改善。SNMPv3在SNMPv2基礎(chǔ)之上增加、完善了安全和管理機(jī)制。,.,15,1簡單網(wǎng)管協(xié)議（SNMP）,（2）SNMP管理模型,.,16,1簡單網(wǎng)管協(xié)議（SNMP）,（2）SNMP管理模型網(wǎng)絡(luò)管理站：負(fù)責(zé)管理代理和管理信息庫，它以數(shù)據(jù)報表的形式發(fā)出和傳送命令，從而達(dá)到控制代理的目的。代理：收集被管理設(shè)備的各種信息并響應(yīng)網(wǎng)絡(luò)中SNMP服務(wù)器的要求，把它們傳輸?shù)街行牡腟NMP服務(wù)器的MIB數(shù)據(jù)庫中。管理信息庫MIB：負(fù)責(zé)存儲設(shè)備的信息，是SNMP分布式數(shù)據(jù)庫的分支數(shù)據(jù)庫。SNMP協(xié)議：用于網(wǎng)絡(luò)管理站與被管設(shè)備的網(wǎng)絡(luò)管理代理之間交互管理信息。兩種信息交換機(jī)制：輪詢監(jiān)控Trap（陷阱）,.,17,2CMIS/CMIP,CMIS/CMIP公共管理信息服務(wù)/公共管理信息協(xié)議，是OSI提供的網(wǎng)絡(luò)管理協(xié)議簇CIMS定義了每個網(wǎng)絡(luò)組成部分提供的網(wǎng)絡(luò)管理服務(wù)CMIP是實(shí)現(xiàn)CIMS服務(wù)的協(xié)議CMIS/CMIP采用管理者-代理模型在電信管理網(wǎng)（TMN）中，管理者和代理之間的所有的管理信息交換都是利用CMIS和CMIP實(shí)現(xiàn)的,6.2信息安全技術(shù)概述,.,19,6.2.1信息安全的組成,1物理安全在物理媒介層次上對存儲和傳輸?shù)男畔⒓右员Ｗo(hù)，它是保護(hù)計算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施免遭地震、水災(zāi)和火災(zāi)等環(huán)境事故以及人為操作錯誤或各種計算機(jī)犯罪行為而導(dǎo)致破壞的過程。保證網(wǎng)絡(luò)信息系統(tǒng)各種設(shè)備的物理安全是整個網(wǎng)絡(luò)信息系統(tǒng)安全的前提。2安全控制在操作系統(tǒng)和網(wǎng)絡(luò)通信設(shè)備上對存儲和傳輸信息的操作和進(jìn)程進(jìn)行控制和管理，主要是在信息處理層次上對信息進(jìn)行初步的安全保護(hù)。3安全服務(wù)在應(yīng)用層對信息的保密性、完整性和來源真實(shí)性進(jìn)行保護(hù)和認(rèn)證，滿足用戶的安全需求，防止和抵御各種安全威脅和攻擊。,.,20,6.2.2信息安全系統(tǒng)的設(shè)計原則,木桶原則信息均衡、全面地進(jìn)行安全保護(hù)，提高整個系統(tǒng)的“安全最低點(diǎn)”的安全性能。整體原則有一整套安全防護(hù)、監(jiān)測和應(yīng)急恢復(fù)機(jī)制。有效性與實(shí)用性原則不能影響系統(tǒng)正常運(yùn)行和合法用戶的操作。安全性評價原則系統(tǒng)是否安全取取決于系統(tǒng)的用戶需求和具體的應(yīng)用環(huán)境。等級性原則安全層次和安全級別。動態(tài)化原則整個系統(tǒng)內(nèi)盡可能引入更多可變因素，并具有良好的擴(kuò)展性。,.,21,6.2.3信息技術(shù)安全性等級,可信計算機(jī)系統(tǒng)評估準(zhǔn)則（TCSEC）由美國國防部和國家標(biāo)準(zhǔn)技術(shù)研究所制訂的，又稱桔皮書。信息技術(shù)安全評估準(zhǔn)則（ITSEC）由歐洲四國于1989年聯(lián)合提出的，俗稱白皮書。通用安全評估準(zhǔn)則（CC）由美國國家標(biāo)準(zhǔn)技術(shù)研究所和國家安全局、歐洲四國（英、法、德、荷蘭）以及加拿大等6國7方聯(lián)合提出的，已成為國際標(biāo)準(zhǔn)ISO/IEC15408。美國信息安全聯(lián)邦準(zhǔn)則（FC）計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則我國國家質(zhì)量技術(shù)監(jiān)督局也于1999年發(fā)布我國的國家標(biāo)準(zhǔn),.,22,1可信計算機(jī)系統(tǒng)評估準(zhǔn)則TCSEC,.,23,6.2.3信息技術(shù)安全性等級,2信息技術(shù)安全評測準(zhǔn)則（ITSEC）7個評估級別安全性從低到高的順序是E0、E1、E2、E3、E4、E5、E63通用安全評估準(zhǔn)則（CC）7個評估級別從低到高分為EAL1、EAL2、EAL3、EAL4、EAL5、EAL6和EAL7,6.3信息安全分析與安全策略,.,25,6.3.1信息安全的概念和模型,1網(wǎng)絡(luò)安全的基本因素保密性：確保信息不暴露給未授權(quán)的實(shí)體或進(jìn)程。完整性：只有得到允許的人才能修改數(shù)據(jù)，并能判別出數(shù)據(jù)是否已被篡改?？捎眯裕旱玫绞跈?quán)的實(shí)體在需要時可訪問數(shù)據(jù)，即攻擊者不能占用所有的資源而阻礙授權(quán)者的工作。合法性：每個想獲得訪問的實(shí)體都必須經(jīng)過鑒別或身份驗(yàn)證。2網(wǎng)絡(luò)安全的組成物理安全、人員安全、符合瞬時電磁脈沖輻射標(biāo)準(zhǔn)、數(shù)據(jù)安全操作安全、通信安全、計算機(jī)安全、工業(yè)安全,.,26,3網(wǎng)絡(luò)安全模型,.,27,4網(wǎng)絡(luò)安全的基本任務(wù),（1）設(shè)計加密算法，進(jìn)行安全性相關(guān)的轉(zhuǎn)換；（2）生成算法使用的保密信息；（3）開發(fā)分發(fā)和共享保密信息的方法；（4）指定兩個主體要使用的協(xié)議，并利用安全算法和保密信息來實(shí)現(xiàn)特定的安全服務(wù)。,.,28,6.3.2安全威脅,安全威脅是指某個人、物、事件或概念對某一資源的機(jī)密性、完整性、可用性或合法性所造成的危害。某種攻擊就是某種威脅的具體實(shí)現(xiàn)。安全威脅可分為故意的（如黑客滲透）和偶然的（如信息被發(fā)往錯誤的地址）兩類。故意威脅又可進(jìn)一步分為被動和主動兩類。,.,29,1基本的威脅,信息泄漏或丟失針對信息機(jī)密性的威脅，它指敏感數(shù)據(jù)在有意或無意中被泄漏出去或丟失包括：信息在傳輸中丟失或泄漏(如“黑客”們利用電磁泄漏或塔線竊聽等方式可截獲機(jī)密信息，或通過對信息流向、流量、通信頻度和長度等參數(shù)的分析，推出有用信息，如用戶口令、賬號等重要信息)；信息在存儲介質(zhì)中丟失或泄漏；通過建立隱蔽通道等竊取敏感信息等。破壞數(shù)據(jù)完整性以非法手段竊得對數(shù)據(jù)的使用權(quán)，刪除、修改、插入或重發(fā)某些重要信息，以取得有益于攻擊者的響應(yīng)；惡意添加、修改數(shù)據(jù)，以干擾用戶的正常使用。拒絕服務(wù)不斷對網(wǎng)絡(luò)服務(wù)系統(tǒng)進(jìn)行干擾，改變其正常的作業(yè)流程，執(zhí)行無關(guān)程序使系統(tǒng)響應(yīng)減慢甚至癱瘓，影響正常用戶的使用，甚至使合法用戶被排斥而不能進(jìn)入計算機(jī)網(wǎng)絡(luò)系統(tǒng)或不能得到相應(yīng)的服務(wù)。非授權(quán)訪問沒有預(yù)先經(jīng)過同意就使用網(wǎng)絡(luò)或計算機(jī)資源被看作非授權(quán)訪問，如有意避開系統(tǒng)訪問控制機(jī)制，對網(wǎng)絡(luò)設(shè)備及資源進(jìn)行非正常使用，或擅自擴(kuò)大權(quán)限，越權(quán)訪問信息。主要形式：假冒、身份攻擊、非法用戶進(jìn)入網(wǎng)絡(luò)系統(tǒng)進(jìn)行違法操作、合法用戶以未授權(quán)方式進(jìn)行操作等。,.,30,1基本的威脅,信息泄漏或丟失敏感數(shù)據(jù)在有意或無意中被泄漏出去或丟失針對信息機(jī)密性的威脅破壞數(shù)據(jù)完整性竊取對數(shù)據(jù)的使用權(quán)，刪除、修改、插入或重發(fā)某些重要信息針對信息完整性的威脅拒絕服務(wù)執(zhí)行無關(guān)程序使系統(tǒng)響應(yīng)減慢甚至癱瘓，影響正常用戶的使用針對可用性的威脅非授權(quán)訪問沒有預(yù)先經(jīng)過同意就使用網(wǎng)絡(luò)或計算機(jī)資源被看作非授權(quán)訪問主要形式：假冒、身份攻擊、非法用戶進(jìn)入網(wǎng)絡(luò)系統(tǒng)進(jìn)行違法操作、合法用戶以未授權(quán)方式進(jìn)行操作等針對信息合法性的威脅,.,31,3滲入威脅和植入威脅,滲入威脅假冒某個未授權(quán)實(shí)體使守衛(wèi)者相信它是一個合法的實(shí)體，從而攫取該合法用戶的特權(quán)。旁路控制攻擊者通過各種手段發(fā)現(xiàn)本應(yīng)保密卻又暴露出來的一些系統(tǒng)“特征”。利用這些“特征”，攻擊者繞過防線守衛(wèi)者滲入系統(tǒng)內(nèi)部。授權(quán)侵犯也稱為“內(nèi)部威脅”，授權(quán)用戶將其權(quán)限用于其他未授權(quán)的目的。植入威脅特洛伊木馬在正常的軟件中隱藏一段用于其他目的的程序，這段隱藏的程序段常常以安全攻擊作為其最終目標(biāo)。陷門在某個系統(tǒng)或某個文件中設(shè)置的“機(jī)關(guān)”，使得在提供特定的輸人數(shù)據(jù)時，允許違反安全策略。,.,32,4潛在威脅,對基本威脅或主要的可實(shí)現(xiàn)的威脅進(jìn)行分析，可以發(fā)現(xiàn)某些特定的潛在威脅，而任意一種潛在威脅都可能導(dǎo)致發(fā)生一些更基本的威脅。例如，如果考慮信息泄露這種基本威脅，有可能找出4種潛在威脅：竊聽、通信量分析、人員疏忽、媒體清理。,.,33,5病毒,病毒的定義：計算機(jī)病毒指編制或者在計算機(jī)程序中插入的破壞計算機(jī)功能或者毀壞數(shù)據(jù)，影響計算機(jī)使用，并能自我復(fù)制的一組計算機(jī)指令或者程序代碼。反病毒技術(shù)主要分類：預(yù)防病毒技術(shù)通過自身常駐系統(tǒng)內(nèi)存，優(yōu)先獲得系統(tǒng)的控制權(quán)，監(jiān)視和判斷系統(tǒng)中是否有病毒存在主要手段：加密可執(zhí)行程序、引導(dǎo)區(qū)保護(hù)、系統(tǒng)監(jiān)控與讀寫控制（如防病毒卡）等。檢測病毒技術(shù)通過對計算機(jī)病毒的特征來進(jìn)行判斷的偵測技術(shù)主要手段：如自身校驗(yàn)、關(guān)鍵字、文件長度的變化等消除病毒技術(shù)通過對病毒的分析，殺除病毒并恢復(fù)原文件網(wǎng)絡(luò)反病毒技術(shù)對網(wǎng)絡(luò)服務(wù)器中的文件進(jìn)行頻繁地掃描和監(jiān)測；在工作站上使用防病毒芯片對網(wǎng)絡(luò)目錄及文件設(shè)置訪問權(quán)限,.,34,6.3.3安全攻擊,1安全攻擊的手段,.,35,2被動攻擊和主動攻擊,被動攻擊對信息的保密性進(jìn)行攻擊，即通過竊聽網(wǎng)絡(luò)上傳輸?shù)男畔⒉⒓右苑治鰪亩@得有價值的情報，但它并不修改信息的內(nèi)容目標(biāo)是獲得正在傳送的信息，其特點(diǎn)是偷聽或監(jiān)視信息的傳遞被動攻擊主要手段：信息內(nèi)容泄露：信息在通信過程中因被監(jiān)視竊聽而泄露，或者信息從電子或機(jī)電設(shè)備所發(fā)出的無線電磁波中被提取出來而泄露。通信量分析：通過確定通信位置和通信主機(jī)的身份，觀察交換消息的頻度和長度，并利用這些信息來猜測正在進(jìn)行的通信特性。,.,36,2被動攻擊和主動攻擊,主動攻擊攻擊信息來源的真實(shí)性、信息傳輸?shù)耐暾院拖到y(tǒng)服務(wù)的可用性有意對信息進(jìn)行修改、插入和刪除主動攻擊主要手段：假冒：一個實(shí)體假裝成另一個實(shí)體。假冒攻擊通常包括一種其他形式的主動攻擊。重放：涉及被動捕獲數(shù)據(jù)單元及其后來的重新傳送，以產(chǎn)生未經(jīng)授權(quán)的效果。修改消息：改變了真實(shí)消息的部分內(nèi)容，或?qū)⑾⒀舆t或重新排序，導(dǎo)致未授權(quán)的操作。拒絕服務(wù)：禁止通信實(shí)體的正常使用或管理。,.,37,3服務(wù)攻擊和非服務(wù)攻擊,服務(wù)攻擊針對某種特定網(wǎng)絡(luò)服務(wù)的攻擊例如：針對E-mail服務(wù)、Telnet、FTP、HTTP等服務(wù)的專門攻擊原因：TCP/IP協(xié)議缺乏認(rèn)證、保密措施。非服務(wù)攻擊不針對某項(xiàng)具體應(yīng)用服務(wù)，而是基于網(wǎng)絡(luò)層等低層協(xié)議而進(jìn)行原因：TCP/IP協(xié)議（尤其是IPv4）自身的安全機(jī)制不足,.,38,6.3.4安全策略與安全管理,1安全策略的組成威嚴(yán)的法律先進(jìn)的技術(shù)嚴(yán)格的管理2安全管理原則多人負(fù)責(zé)原則任期有限原則職責(zé)分離原則3安全管理實(shí)現(xiàn)根據(jù)工作的重要程度，確定該系統(tǒng)的安全等級根據(jù)確定的安全等級，確定安全管理的范圍制訂相應(yīng)的機(jī)房出入管理制度制訂嚴(yán)格的操作規(guī)程制訂完備的系統(tǒng)維護(hù)制度制訂應(yīng)急措施,6.4加密技術(shù),.,40,6.4.1密碼學(xué)的基本概念,保密學(xué)：研究密碼系統(tǒng)或通信安全的科學(xué)兩個分支：密碼學(xué)：對信息進(jìn)行編碼實(shí)現(xiàn)隱蔽信息的一門學(xué)問。密碼分析學(xué)：研究分析破譯密碼的學(xué)問,.,41,6.4.1密碼學(xué)的基本概念,.,42,密碼系統(tǒng)的分類,按將明文轉(zhuǎn)化為密文的操作類型分為：置換密碼易位密碼按明文的處理方法可分為：分組密碼（塊密碼）序列密碼（流密碼）按密鑰的使用個數(shù)分為：對稱密碼體制非對稱密碼體制。,.,43,1置換密碼和易位密碼,置換密碼將將明文的每個元素（如比特、字母、比特和字母的組合等）置換成其它元素愷撒密碼原始消息（明文）中的每一個字母都用該字母后的第n個字母來替換，其中n就是密鑰。例如使加密字母向右移4個字母，即，a換成E、b換成F、c換成G、z換成D。這樣，如果對明文attack進(jìn)行加密，密鑰為4，則加密后形成的密文就是EXXEGO。單字母表替換,.,44,1置換密碼和易位密碼,易位密碼易位是將明文的元素進(jìn)行重新布置。,.,45,2分組密碼和序列密碼,分組密碼將明文劃分成固定的n比特的數(shù)據(jù)塊，然后以塊為單位，在密鑰的控制下進(jìn)行一系列的線性或非線性的變化而得到密文，每個明文輸入塊生成一個密文輸出塊優(yōu)點(diǎn)：明文信息良好的擴(kuò)散性；對插入的敏感性；不需要密鑰同步；較強(qiáng)的適用性，適合作為加密標(biāo)準(zhǔn)缺點(diǎn)：加密速度慢；錯誤擴(kuò)散和傳播。主要算法：DES（數(shù)據(jù)加密標(biāo)準(zhǔn)）和IDEA（國際數(shù)據(jù)加密算法）序列密碼每次處理明文的1比特，然后立刻輸出相應(yīng)的密文比特。優(yōu)點(diǎn)：處理速度快，實(shí)時性好；錯誤傳播小；不易被破譯；適用于軍事、外交等保密信道。缺點(diǎn)：明文擴(kuò)散性差；插入信息的敏感性差；需要密鑰同步。,.,46,3對稱加密和非對稱加密,對稱加密發(fā)送方使用的加密密鑰和接受方使用的解密密鑰相同，或從其中一個密鑰易于得出另一個密鑰其特點(diǎn)：計算量小、加密效率高缺點(diǎn)：在分布式系統(tǒng)上使用較為困難，主要是密鑰管理困難常用算法：DES、IDEA、TDEA、RC2、RC4、RC5等算法非對稱加密發(fā)送方使用的加密密鑰和接受方使用的解密密鑰不相同，從其中一個密鑰難以推出另一個密鑰特點(diǎn)：有兩個密鑰（即公用密鑰和私有密鑰），只有二者搭配使用才能完成加密和解密的全過程“數(shù)字簽名”：用于防止通信一方的抵賴行為主要算法：RSA、DSA、Diffie-Hellman、ECC等不可逆加密算法又稱為單向散列算法加密過程不需要密鑰，并且經(jīng)過加密的數(shù)據(jù)無法被解密，只有同樣的輸入數(shù)據(jù)經(jīng)過同樣的不可逆加密算法才能得到相同的加密數(shù)據(jù)常用的單向散列算法主要有：MD5、SHA等,.,47,4網(wǎng)絡(luò)中的加密技術(shù),鏈路加密每條通信鏈路上的加密是獨(dú)立實(shí)現(xiàn)節(jié)點(diǎn)到節(jié)點(diǎn)加密解決在節(jié)點(diǎn)中數(shù)據(jù)是明文的缺點(diǎn)在中間節(jié)點(diǎn)里裝有加、解密的保護(hù)裝置，由這個裝置來完成一個密鑰向另一個密鑰的變換,.,48,4網(wǎng)絡(luò)中的加密技術(shù)(續(xù)),端到端加密端到端加密是在源結(jié)點(diǎn)和目的結(jié)點(diǎn)中對傳送的PDU（協(xié)議數(shù)據(jù)單元）進(jìn)行加密和解密報文的安全性不會因中間結(jié)點(diǎn)的不可靠而受到影響PDU的控制信息部分（如源結(jié)點(diǎn)地址、目的結(jié)點(diǎn)地址、路由信息等）不能被加密，否則中間結(jié)點(diǎn)就不能正確選擇路由,.,49,（1）密碼分析攻擊類型,基于一個基本假設(shè)：秘密必須全寓于密鑰中上述四種攻擊類型的強(qiáng)度按序遞增,.,50,（2）加密算法的安全性,若一個加密算法能滿足以下兩個條件之一就認(rèn)為該算法是在計算上是安全的：一是破譯的代價超出加密信息本身的價值二是破譯的時間超出了信息的有效期蠻力攻擊嘗試任何可能的密鑰，直到能夠?qū)⒚芪恼_解釋為明文為止一般情況下，要試一半的可能密鑰才能成功例如，某計算機(jī)的處理解密速度為1密鑰/微秒，要破譯用56比特密鑰生成的密文，則需要的時間為256/1（微秒）=7.21016/(365243600106)r（年）2.3103（年）,.,51,6.4.2對稱加密技術(shù),1對稱加密的模型,.,52,6.4.2對稱加密技術(shù),2對稱加密的要求需要強(qiáng)大的加密算法算法至少應(yīng)該滿足：即使對手知道了算法并能訪問一些或更多的密文，也不能譯出全部密文或得出密鑰。發(fā)送方和接收方必須用安全的方式來獲得保密密鑰的副本，必須保證密鑰的安全。算法不必是秘密的，而只需要對密鑰進(jìn)行保密即可。對稱密鑰密碼體制的安全性取決于密鑰的安全性，而不是算法的安全性，即破密者知道密文和加密/解密算法，解密也是不可能的。,.,53,3常用的對稱加密算法,DESDES數(shù)據(jù)加密標(biāo)準(zhǔn)DES是一種分組密碼在加密前，先對整個明文進(jìn)行分組。每一個組長為64位。然后對每個64位二進(jìn)制數(shù)據(jù)進(jìn)行加密處理，產(chǎn)生一組64位密文數(shù)據(jù)使用的密鑰為64位，實(shí)際密鑰長度為56位，有8位用于奇偶校驗(yàn)。,.,54,3常用的對稱加密算法(續(xù)),TDEATDEA（三重DEA，或稱為3DES）使用兩個密鑰，執(zhí)行三次DES算法在三重DES，加密時是E-D-E，解密時是D-E-D，其密鑰長度是112位加密時用E-D-E，而不使用E-E-E的目的是與現(xiàn)有DES系統(tǒng)的向后兼容，當(dāng)K1=K2時，三重DES的效果與現(xiàn)在DES的效果完全一樣。,.,55,3常用的對稱加密算法(續(xù)),RC5RC5的分組長度和密鑰長度都是可變的可以在速度和安全性之間進(jìn)行折中IDEAIDEA國際數(shù)據(jù)加密算法IDEA使用128位密鑰采用3種運(yùn)算：異或、模加、模乘，容易用軟件和硬件實(shí)現(xiàn)與DES相似，IDEA也是先將明文劃分成多個64bit長的數(shù)據(jù)分組，然后經(jīng)過8次迭代和一次變換，得出64bit密文。,.,56,6.4.3公鑰加密技術(shù),1公鑰密碼體制的模型有兩種模型：加密模型、認(rèn)證模型,.,57,6.4.3公鑰加密技術(shù),幾點(diǎn)錯誤觀點(diǎn)：公鑰加密比常規(guī)加密更具有安全性公鑰加密是一種通用機(jī)制，常規(guī)加密已經(jīng)過時,.,58,2常用的公鑰體制,公鑰安全基礎(chǔ)：數(shù)學(xué)中的難解問題兩大類：基于大整數(shù)因子分解問題，如RSA體制；基于離散對數(shù)問題，如Elgamal體制、橢圓曲線密碼體制等。RSA基本原原理：尋找大素數(shù)是相對容易的，而分解兩個大素數(shù)的積在計算上是不可行的RSA算法的安全性建立在難以對大數(shù)提取因子的基礎(chǔ)上。與DES相比，缺點(diǎn)是加密、解密的速度太慢RSA體制很少用于數(shù)據(jù)加密，而多用在數(shù)字簽名、密鑰管理和認(rèn)證等方面,.,59,2常用的公鑰體制(續(xù)),Elgamal公鑰體制基于離散對數(shù)的公鑰密碼體制密文不僅信賴于待加密的明文，而且信賴于用戶選擇的隨機(jī)參數(shù)，即使加密相同的明文，得到的密文也是不同的。加密算法的非確定性背包公鑰體制基本原理：背包問題,.,60,6.4.4密鑰管理,主要涉及到兩方面的問題：密鑰的生存周期授權(quán)使用該密鑰的周期密鑰分發(fā)技術(shù)將密鑰發(fā)送到數(shù)據(jù)交換的兩方，而其他人無法看到的方法實(shí)現(xiàn)方法KDC（密鑰分發(fā)中心）技術(shù)：保密密鑰的分發(fā)CA（證書權(quán)威機(jī)構(gòu)）技術(shù)：公鑰和保密密鑰的分發(fā),.,61,1密鑰的生存周期,密鑰要有生存周期的原因：一個密鑰使用得太多，會給攻擊者增大收集密文的機(jī)會，擁有大量的密文有助于密碼分析，易于破解密文；假定一個密鑰受到危及或一個特定密鑰的加密/解密過程被分析，則限定密鑰的使用期限就相當(dāng)于限制危險的發(fā)生。密鑰的生存周期密鑰的產(chǎn)生；密鑰分發(fā)；啟用密鑰/停用密鑰；替換密鑰或更新密鑰；撤銷密鑰；銷毀密鑰。,.,62,2保密密鑰的分發(fā),.,63,3公鑰的分發(fā),主要手段：數(shù)字證書，在數(shù)字證書中包含用戶的公鑰證書權(quán)威機(jī)構(gòu)（CA）：數(shù)字證書由證書權(quán)威機(jī)構(gòu)（CA）通常是政府部門或金融機(jī)構(gòu)，它保證證書的有效性，并負(fù)責(zé)證書注冊、分發(fā)，并當(dāng)證書包含的信息變得無效之后撤消（收回）證書。數(shù)字證書X.509公鑰證書簡單PKI證書PGP證書屬性證書,.,64,X.509版本的證書結(jié)構(gòu),6.5認(rèn)證技術(shù),.,66,6.5.1認(rèn)證技術(shù)概述,認(rèn)證技術(shù)主要解決網(wǎng)絡(luò)通信過程中通信雙方的身份認(rèn)可，它對于開放環(huán)境中的各種信息系統(tǒng)的安全有重要作用。認(rèn)證過程通常涉及到加密和密鑰交換。認(rèn)證、授權(quán)和訪問控制都與網(wǎng)絡(luò)上的實(shí)體有關(guān)：認(rèn)證：驗(yàn)證一個最終用戶或設(shè)備（例如客戶機(jī)、服務(wù)器、交換機(jī)、路由器、防火墻等）的身份的過程，即建立信息發(fā)送者和/或接收者的身份。授權(quán)：把訪問權(quán)限授予某一個用戶、用戶組或指定系統(tǒng)的過程。授權(quán)是在用戶標(biāo)識出自己的身份之后，系統(tǒng)確認(rèn)并允許用戶做哪些事情。訪問控制：限制系統(tǒng)資源中的信息只能流到網(wǎng)絡(luò)中的授權(quán)個人或系統(tǒng)。認(rèn)證技術(shù)主要有：消息認(rèn)證、身份認(rèn)證、數(shù)字簽名,.,67,6.5.2消息認(rèn)證,1消息認(rèn)證的目的消息認(rèn)證：對付主動攻擊中的篡改和偽造，使得通信的接收方能夠驗(yàn)證所收到的報文（發(fā)送者和報文內(nèi)容、發(fā)送時間、序列等）的真?zhèn)蜗⒄J(rèn)證方法：報文摘要2消息認(rèn)證的工作原理消息認(rèn)證的基礎(chǔ)是安全單向的散列函數(shù)，以變長的信息輸入，把其壓縮成一個定長的值輸出。若輸入的信息改變了，則輸出的定長值（摘要）也會相應(yīng)改變。從數(shù)據(jù)完整性保護(hù)的角度來看，報文摘要可為制定的數(shù)據(jù)產(chǎn)生一個不可仿造的特征，偽造一個報文并使其具有相同的報文摘要是計算不可行的。,.,68,2消息認(rèn)證的工作原理,.,69,3常用的摘要算法,MD5對任意長度的報文進(jìn)行運(yùn)算，最后得到128位的MD報文摘要代碼MD5的算法大致的過程如下：先將任意長的報文按模264計算其余數(shù)(64位)，追加在報文的后面。這就是說，最后得出的MD代碼已包含了報文長度的信息；在報文和余數(shù)之間填充1512位，使得填充后的總長度是512的整數(shù)倍。填充比特的首位是1，后面都是0；將追加和填充后的報文分割為一個個512位的數(shù)據(jù)塊，512位的報文數(shù)據(jù)分成4個128位的數(shù)據(jù)塊依次送到不同的散列函數(shù)進(jìn)行4輪計算。每一輪又都按32位的小數(shù)據(jù)塊進(jìn)行復(fù)雜的運(yùn)算；最后計算出128位MD5報文摘要代碼Radius(撥號認(rèn)證協(xié)議)、OSPF(路由協(xié)議)、SNMP的安全協(xié)議等都是使用共同密鑰加上MD5進(jìn)行認(rèn)證的SHA與MD5相似，用512位長的數(shù)據(jù)塊經(jīng)過復(fù)雜運(yùn)算，產(chǎn)生的散列值是160位SHA比MD5更安全，但計算速度要比MD5慢,.,70,6.5.3身份認(rèn)證,身份認(rèn)證是指可靠地驗(yàn)證某個通信參與方的身份是否與他所聲稱的身份一致的過程。網(wǎng)絡(luò)安全的一切東西都是建立在身份認(rèn)證的基礎(chǔ)之上，在確定用戶的身份之前，網(wǎng)絡(luò)不會把訪問權(quán)限授權(quán)給用戶身份認(rèn)證大致可分為3種：一是個人知道的某種事物，如口令、賬號、個人識別碼等；二是個人持證（也稱令牌），如圖章、標(biāo)志、鑰匙、護(hù)照等；三是個人特征，如指紋、聲紋、手形、視網(wǎng)膜、血型、基因、筆跡、習(xí)慣性簽字等。,.,71,1口令機(jī)制,過程不加密，即口令容易被監(jiān)聽和解密?？诹钍怯蓴?shù)字、字母組成的長為58的字符串口令系統(tǒng)最嚴(yán)重的脆弱點(diǎn)是外部泄露和口令猜測，另外還有線路竊聽、威脅驗(yàn)證者和重放等。保護(hù)口令措施：對用戶和系統(tǒng)管理者進(jìn)行教育，增強(qiáng)他們的安全意識；建立嚴(yán)格的組織管理辦法和執(zhí)行手續(xù)；確?？诹畋仨毐欢ㄆ诘馗淖?；保證每個口令只與一個人有關(guān)；確?？诹顝膩聿槐辉佻F(xiàn)在終端上；使用易記的口令。,.,72,1口令機(jī)制,被猜測措施：限制非法認(rèn)證的次數(shù)；實(shí)時延遲插入到口令驗(yàn)證過程阻止一個計算機(jī)自動口令猜測程序的生產(chǎn)串防止太短的口令以及與用戶名賬戶名或用戶特征相關(guān)的口令確?？诹畋欢ㄆ诘馗淖儯蝗∠惭b系統(tǒng)時所用的預(yù)設(shè)口令；使用機(jī)器產(chǎn)生的而不是用戶選擇的口令。,.,73,6.5.3身份認(rèn)證,2個人持證持證為個人持有物，如磁卡、智能卡等磁卡常和個人標(biāo)識號PIN一起使用智能卡將微處理器芯片嵌在宿卡上來代替無源存儲磁條，存儲信息遠(yuǎn)遠(yuǎn)大于磁條的250字節(jié)，且具有處理功能，卡上的處理器有4K字節(jié)的小容量EPROM3個人特征主要技術(shù)有：指紋識別、聲音識別、筆跡識別、虹膜識別和手形等。,.,74,6.5.4數(shù)字簽名,1數(shù)字簽名概述用于確認(rèn)發(fā)送者身份和消息完整性的一個加密的消息摘要，它應(yīng)該滿足以下4點(diǎn)要求：收方能夠確認(rèn)發(fā)方的簽名，但不能偽造；發(fā)方發(fā)出簽名的消息后，就不能再否認(rèn)他所簽發(fā)的消息；收方對已收到的簽名消息不能否認(rèn)，即有收報認(rèn)證；第三者可以確認(rèn)收發(fā)雙方之間的消息傳送，但不能偽造這一過程。數(shù)字簽名方法：對稱密碼體系（如DES）公鑰密碼體系公證體系,.,75,6.5.4數(shù)字簽名,1數(shù)字簽名概述最常用的實(shí)現(xiàn)方法：建立在公鑰密碼體系和單向散列函數(shù)算法（如MD5、SHA）的組合基礎(chǔ)上數(shù)字簽名與消息認(rèn)證的區(qū)別：消息認(rèn)證使收方能驗(yàn)證消息發(fā)送者及其所發(fā)的消息是否被篡改過。當(dāng)收發(fā)雙方之間有利害沖突時，單純用消息認(rèn)證就無法解決他們之間的糾紛，此時，必須借助于數(shù)字簽名技術(shù)。數(shù)字簽名與數(shù)據(jù)加密的區(qū)別：數(shù)字簽名使用的是公鑰密碼體制中的認(rèn)證模型，發(fā)送者使用自己的私鑰加密消息，接收者使用發(fā)送者的公鑰解密消息。數(shù)據(jù)加密使用的是公鑰密碼體制中的加密模型，發(fā)送者使用接收者的公鑰加密消息接收者使用自己的私鑰解密消息。,.,76,2基于公鑰密碼體系的數(shù)字簽名,數(shù)字簽名的創(chuàng)建利用公鑰密碼體制，數(shù)字簽名是一個加密的消息摘要，附加在消息后面。過程如下：首先是生成被簽名的電子文件，然后對電子文件用哈希算法做數(shù)字摘要，再對數(shù)字摘要用簽名私鑰做非對稱加密，即作數(shù)字簽名；之后是將以上的簽名和電子文件原文以及簽名證書的公鑰加在一起進(jìn)行封裝，形成簽名結(jié)果發(fā)送給收方，待收方驗(yàn)證。數(shù)字簽名的驗(yàn)證接收方首先用發(fā)方公鑰解密數(shù)字簽名，導(dǎo)出數(shù)字摘要，并對電子文件原文作同樣哈希算法得一個新的數(shù)字摘要，將兩個摘要的哈希值進(jìn)行結(jié)果比較，相同簽名得到驗(yàn)證，否則無效。,6.6安全技術(shù)應(yīng)用,.,78,6.6.1身份認(rèn)證協(xié)議,身份認(rèn)證是用來獲得對誰或?qū)κ裁词虑樾湃蔚囊环N方法。身份認(rèn)證的方法分為兩種：本地控制可信任的第三方提供確認(rèn)常用的認(rèn)證機(jī)制：S/Key口令協(xié)議、令牌口令認(rèn)證、PPP、TACACS+、RADIUS、Kerberos、DCE和X.509,.,79,6.6.1身份認(rèn)證協(xié)議(續(xù)),1S/Key口令協(xié)議基于MD4和MD5的一次性口令生成方案用于對付重放攻擊2PPP認(rèn)證協(xié)議用于建立電話線或ISDN撥號連接的協(xié)議三種標(biāo)準(zhǔn)認(rèn)證機(jī)制：口令認(rèn)證協(xié)議（PAP）易于實(shí)現(xiàn)，但口令是以明文傳送的，沒有重放保護(hù)挑戰(zhàn)握手協(xié)議（CHAP）口令加密，有重放保護(hù)可擴(kuò)展認(rèn)證協(xié)議支持更強(qiáng)健的認(rèn)證，比較靈活，但使用不廣泛,.,80,6.6.1身份認(rèn)證協(xié)議(續(xù)),3Kerberos協(xié)議為分布式計算環(huán)境提供了一種對用戶雙方進(jìn)行驗(yàn)證的認(rèn)證方法一種對稱密碼網(wǎng)絡(luò)認(rèn)證協(xié)議，建立在對稱加密（DES）的基礎(chǔ)上采用可信任的第3方密鑰分配中心（KDC）保存與所有密鑰持有者通信的主密鑰主要目標(biāo)：身份認(rèn)證、計費(fèi)和審計。,.,81,6.6.2電子郵件的安全,1PGP完整的電子郵件安全軟件包，包括加密、鑒別、電子簽名和壓縮等技術(shù)，也可用于文件存儲PGP沒有使用什么新的概念，只是將現(xiàn)有的一些算法如MD5、RSA以及IDEA等綜合在一起,.,82,6.6.2電子郵件的安全(續(xù)),2S/MIMEMIME：多用途Internet郵件擴(kuò)展協(xié)議，允許以標(biāo)準(zhǔn)化的格式在電子郵件消息中包含文本、音頻、圖形、視頻和類似的信息。S/MIME在MIME的基礎(chǔ)上添加了安全性元素。,.,83,6.6.3Web安全,1Web服務(wù)器的安全Web服務(wù)器的安全問題服務(wù)器向公眾提供了不應(yīng)該提供的服務(wù)服務(wù)器把本應(yīng)私有的數(shù)據(jù)放到了可公開訪問的區(qū)域服務(wù)器信賴了來自不可信賴數(shù)據(jù)源的數(shù)據(jù)Web站點(diǎn)的訪問控制的級別：IP地址限制用戶驗(yàn)證Web權(quán)限NTFS權(quán)限,.,84,2瀏覽器的安全,如何保護(hù)自己的計算機(jī)AetiveX控件、Java小程序被惡意使用，會給用戶的計算機(jī)帶來危害將因特網(wǎng)世界劃分成幾個區(qū)域：如Internet區(qū)域、本地Intranet區(qū)域、可信站點(diǎn)區(qū)域、受限站點(diǎn)區(qū)域等如何驗(yàn)證站點(diǎn)的真實(shí)性借助于CA安全認(rèn)證中心發(fā)放的證書來實(shí)現(xiàn)如何避免他人假冒自己的身份在因特網(wǎng)中活動CA安全認(rèn)證中心申請自己的證書表明自己身份在與Web站點(diǎn)交互敏感信息時如何避免第三方偷看或篡改等對敏感信息進(jìn)行保護(hù)，避免第三方偷看或篡改,.,85,3Web的通信安全,超文本傳輸協(xié)議HTTP，不能提供數(shù)據(jù)的保密性、完整性以及認(rèn)證服務(wù)Web服務(wù)器與瀏覽器通信安全的方案主要有：SSL（安全套接層協(xié)議）IPSec（IP安全）,.,86,SSL,SSLSecureSocketsLayer，安全套接層協(xié)議用于保護(hù)傳輸層安全的開放協(xié)議，在應(yīng)用層協(xié)議和低層的TCPIP之間提供數(shù)據(jù)安全為TCPIP連接提供數(shù)據(jù)加密、服務(wù)器認(rèn)證、消息完整性和可選的客戶機(jī)認(rèn)證工作過程：瀏覽器請求與服務(wù)器建立安全會話；Web服務(wù)器將自己的證書和公鑰發(fā)給瀏覽器；Web服務(wù)器與瀏覽器協(xié)商密鑰位數(shù)(40位或128位；瀏覽器產(chǎn)生會話密鑰，并用Web服務(wù)器的公鑰加密傳給Web服務(wù)器；Web服務(wù)器用自己的私鑰解密；Web服務(wù)器和瀏覽器用會話密鑰加密和解密，實(shí)現(xiàn)加密傳輸。,.,87,SSL的工作過程,.,88,IPSec,IPSecIPSecurity，IP安全一套用于網(wǎng)絡(luò)層安全的協(xié)議在IP層上提供訪問控制、無連接完整性、數(shù)據(jù)源認(rèn)證、拒絕重放包、加密和流量保密服務(wù)IPSec想專門用于IPv6，但也可以用于IPv4,6.7防火墻技術(shù),.,90,6.7.1防火墻的基本概念,1防火墻的定義防火墻是指設(shè)置在不同網(wǎng)絡(luò)（如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的惟一出入口，能根據(jù)企業(yè)的安全政策，控制（允許、拒絕、監(jiān)測）出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊能力。防火墻可通過監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流，盡可能地對外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運(yùn)行狀況，以此來實(shí)現(xiàn)網(wǎng)絡(luò)的安全保護(hù)。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，它有效地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動，保證了內(nèi)部網(wǎng)絡(luò)的安全。,.,91,2防火墻的分類,包過濾防火墻在網(wǎng)絡(luò)層依據(jù)系統(tǒng)的過濾規(guī)則，對數(shù)據(jù)包進(jìn)行選擇和過濾，這種規(guī)則又稱為訪問控制表（ACLs）通過檢查數(shù)據(jù)流中的每個數(shù)據(jù)包的源地址、目標(biāo)地址、源端口、目的端口及協(xié)議狀態(tài)或它們的組合來確定是否允許該數(shù)據(jù)包通過通常安裝在路由器上應(yīng)用網(wǎng)關(guān)也稱代理服務(wù)器在應(yīng)用層上建立協(xié)議過濾和轉(zhuǎn)發(fā)功能針對特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議使用指定的數(shù)據(jù)過濾邏輯，并在過濾的同時，對數(shù)據(jù)包進(jìn)行必要的分析、登記和統(tǒng)計，形成報告通常安裝在專用工作站系統(tǒng)上,.,92,6.7.1防火墻的基本概念,3防火墻的設(shè)計目標(biāo)進(jìn)出內(nèi)部網(wǎng)的通信量必須通過防火墻。只有那些在內(nèi)部網(wǎng)安全策略中定義了的合法的通信才能夠進(jìn)出防火墻。防火墻自身應(yīng)該能夠防止?jié)B透。4防火墻的不足防火墻不能對付來自內(nèi)部的攻擊。防火墻對網(wǎng)絡(luò)病毒的攻擊通常無能為力。防火墻無法阻止繞過防火墻的攻擊。5防火墻的功能防火墻定義了惟一的一個瓶頸，以禁止脆弱的服務(wù)進(jìn)入或離開網(wǎng)絡(luò)；通過防火墻可以監(jiān)視與安全有關(guān)的事件；防火墻可以為幾種與安全無關(guān)的Internet服務(wù)提供方便的平臺，例如地址轉(zhuǎn)換（NAT）、網(wǎng)絡(luò)管理功能部；防火墻可以作為諸如IPSec的平臺。,.,93,6.7.2防火墻的設(shè)計策略,1防火墻的設(shè)計策略兩種基本的設(shè)計策略：允許任何服務(wù)除非被明確禁止禁止任何服務(wù)除非被明確允許按照其特征，防火墻的設(shè)計策略網(wǎng)絡(luò)策略服務(wù)訪問策略,.,94,2防火墻的技術(shù),服務(wù)控制確定在圍墻外面和里面可以訪問的因特網(wǎng)服務(wù)類型方向控制。確定數(shù)據(jù)包的流向用戶控制根據(jù)請求訪問的用戶來確定是否提供該服務(wù)行為控制控制如何使用某種特定的服務(wù),.,95,3防火墻的部署,在局域網(wǎng)內(nèi)的VLAN之間控制信息流向時加入防火墻。Intranet與Internet之間連接時加入防火墻。在廣域網(wǎng)系統(tǒng)中，總部局域網(wǎng)與分支機(jī)構(gòu)一般通過公共網(wǎng)（如DDN、FrameRelay）連接，需要采用防火墻隔離，并利用某些軟件提供的功能構(gòu)成虛擬專網(wǎng)VPN。如果總部的局域網(wǎng)和分支機(jī)構(gòu)的局域網(wǎng)是通過Internet連接的，需要各自安裝防火墻，并組成虛擬專網(wǎng)。在遠(yuǎn)程用戶撥號訪問時，需要加入防火墻。利用一些防火墻軟件提供的負(fù)載平衡功能，ISP可在公共訪問服務(wù)器和客戶端間加入防火墻進(jìn)行負(fù)載分擔(dān)、存取控制、用戶認(rèn)證、流量控制、日志記錄等功能。兩網(wǎng)對接時可利用硬件防火墻作為網(wǎng)關(guān)設(shè)備實(shí)現(xiàn)地址轉(zhuǎn)換（NAT）、地址映射（MAP）、網(wǎng)絡(luò)隔離（DMZ，De-MilitarizedZone，非軍事區(qū)）、存取安全控制，消除傳統(tǒng)軟件防火墻的瓶頸問題。,典型考題分析,.,97,【例6-1】網(wǎng)絡(luò)管理的目標(biāo)是最大限度地增加網(wǎng)絡(luò)的可用時間，提高網(wǎng)絡(luò)設(shè)備的利用率，改善網(wǎng)絡(luò)性能、服務(wù)質(zhì)量和_。（2004年9月）答案：安全性,.,98,【例6-2】有關(guān)網(wǎng)絡(luò)管理員的職責(zé)，下列哪種說法是不正確的？_。（2003年4月）A）網(wǎng)絡(luò)管理員應(yīng)該對網(wǎng)絡(luò)的總體布局進(jìn)行規(guī)劃B）網(wǎng)絡(luò)管理員應(yīng)該對網(wǎng)絡(luò)故障進(jìn)行檢修C）網(wǎng)絡(luò)管理員應(yīng)該對網(wǎng)絡(luò)設(shè)備進(jìn)行優(yōu)化配置D）網(wǎng)絡(luò)管理員應(yīng)該負(fù)責(zé)為用戶編寫網(wǎng)絡(luò)應(yīng)用程序答案：D,.,99,【例6-3】在因特網(wǎng)中，一般采用的網(wǎng)絡(luò)管理模型是_。（2006年4月）A）瀏覽器/服務(wù)器B）客戶機(jī)/服務(wù)器C）管理者/代理D）服務(wù)器/防火墻答案：C,.,100,【例6-4】在一般網(wǎng)絡(luò)管理模型中，一個管理者可以和多個_進(jìn)行信息交換，實(shí)現(xiàn)對網(wǎng)絡(luò)的管理。（2006年9月）答案：代理,.,101,【例6-5】以下的網(wǎng)絡(luò)管理功能中，哪一個不屬于配置管理？_（2005年4月）A）初始化設(shè)備B）關(guān)閉設(shè)備C）記錄設(shè)備故障D）啟動設(shè)備答案：C,.,102,【例6-6】在網(wǎng)絡(luò)管理中，通常在圖形報告中使用顏色指示網(wǎng)絡(luò)設(shè)備的運(yùn)行狀態(tài)，在配色方案中，表示設(shè)備處于錯誤狀態(tài)使用的顏色為_。（2003年4月）A）綠色B）紅色C）黃色D）藍(lán)色答案：B,.,103,【例6-7】網(wǎng)絡(luò)故障管理的一般步驟包括：發(fā)現(xiàn)故障、判斷故障、_故障、修復(fù)故障、記錄故障。（2006年4月）答案：隔離,.,104,【例6-8】下面哪個網(wǎng)絡(luò)管理功能使得網(wǎng)絡(luò)管理人員可以通過改變網(wǎng)絡(luò)設(shè)置來改善網(wǎng)絡(luò)性能？_（2005年9月）A）配置管理B）計費(fèi)管理C）性能管理D）故障管理答案：C,.,105,【例6-9】以下有關(guān)網(wǎng)絡(luò)管理功能的描述中，哪個是錯誤的？_（2006年9月）A）配置管理是掌握和控制網(wǎng)絡(luò)的配置信息B）故障管理是對網(wǎng)絡(luò)中的故障進(jìn)行定位C）性能管理監(jiān)視和調(diào)整工作參數(shù)，改善網(wǎng)絡(luò)性能D）安全管理是使網(wǎng)絡(luò)性能維持在較好水平答案：D,.,106,【例6-10】下面哪一種不是網(wǎng)絡(luò)管理協(xié)議？_（2002年9月）A）SNMPB）LAPBC）CMIS/CMIPD）LMMP答案：B,.,107,【例6-11】SNMP是最常用的計算機(jī)網(wǎng)絡(luò)管理協(xié)議。SNMPv3在SNMPv2基礎(chǔ)上增加、完善了_和管理機(jī)制。（2006年9月）答案：安全,.,108,【例6-12】在電信管理網(wǎng)中，管理者和代理之間的管理信息交換是通過CMIS和_實(shí)現(xiàn)的。（2005年9月）答案：CMIP,.,109,【例6-13】保護(hù)計算機(jī)網(wǎng)絡(luò)設(shè)備免受環(huán)境事故的影響屬于信息安全的哪個方面？_（2005年9月）A）人員安全B）物理安全C）數(shù)據(jù)安全D）操作安全答案：B,.,110,【例6-14】有一種原則是對信息進(jìn)行均衡、全面的防護(hù)，提高整個系統(tǒng)的“安全最低點(diǎn)”的安全性能，該原則稱為_。（2005年4月）A）木桶原則B）整體原則C）等級性原則D）動態(tài)化原則答案：A,.,111,【例6-15】下面哪些操作系統(tǒng)能夠達(dá)到C2安全級別？_（2006年9月）.Windows3.x.AppleSystem7.x.WindowsNT.NetWare3.xA）和B）和C）和D）和答案：D,.,112,【例6-16】保證數(shù)據(jù)的完整性就是_。（2003年4月）A）保證因特網(wǎng)上傳送的數(shù)據(jù)信息不被第三方監(jiān)視和竊取B）保證因特網(wǎng)上傳送的數(shù)據(jù)信息不被篡改C）保證電子商務(wù)交易各方的真實(shí)身份D）保證發(fā)送方不能抵賴曾經(jīng)發(fā)送過某數(shù)據(jù)信息答案：B,.,113,【例6-17】在以下網(wǎng)絡(luò)威脅中，哪個不屬于信息泄露？_（2004年9月）A）數(shù)據(jù)竊聽B）流量分析C）拒絕服務(wù)攻擊D）偷竊用戶帳號答案：C,.,114,【例6-18】某種網(wǎng)絡(luò)安全威脅是通過非法手段取得對數(shù)據(jù)的使用權(quán)，并對數(shù)據(jù)進(jìn)行惡意地添加和修改。這種安全威脅屬于_。（2005年9月）A）竊聽數(shù)據(jù)B）破壞數(shù)據(jù)完整性C）拒絕服務(wù)D）物理安全威脅答案：B,.,115,【例6-19】對網(wǎng)絡(luò)的威脅包括：假冒特洛伊木馬旁路控制陷門授權(quán)侵犯在這些威脅中，屬于滲入威脅的為_。（2003年4月）A）、和B）和C）和D）、和答案：A,.,116,【例6-20】網(wǎng)絡(luò)反病毒技術(shù)主要有3種，它們是預(yù)防病毒技術(shù)、_病毒技術(shù)和消除病毒技術(shù)。（2004年4月）答案：檢測,.,117,【例6-21】以下哪個方法不能用于計算機(jī)病毒檢測？_（2006年9月）A）自身校驗(yàn)B）加密可執(zhí)行程序C）關(guān)鍵字檢測D）判斷文件的長度答案：B,.,118,【例6-22】當(dāng)信息從信源向信宿流動時可能會受到攻擊。其中中斷攻擊是破壞系統(tǒng)資源，這是對網(wǎng)絡(luò)_性的攻擊。（2006年4月）答案：可用,.,119,【例6-23】截取是指未授權(quán)的實(shí)體得到了資源的訪問權(quán)，這是對下面哪種安全性的攻擊？_（2005年4月）A）可用性B）機(jī)密性C）合法性D）完整性答案：B,.,120,【例6-24】下面哪種攻擊方法屬于被動攻擊？_（2006年9月）A）拒絕服務(wù)攻擊B）重放攻擊C）通信量分析攻擊D）假冒攻擊答案：C,.,121,【例6-25】下面哪個（些）攻擊屬于非服務(wù)攻擊？_（2006年9月）.郵件炸彈攻擊.源路由攻擊.地址欺騙攻擊A）僅B）和C）和D）和答案：C,.,122,【例6-26】如果使用凱撒密碼，在密鑰為4時attack的密文為_。（2004年4月）A）ATTACKB）DWWDFNC）EXXEGOD）FQQFAO答案：C,.,123,【例6-27】按密鑰的使用個數(shù)，密碼系統(tǒng)可以分為_。（2003年9月）A）置換密碼系統(tǒng)和易位密碼系統(tǒng)B）分組密碼系統(tǒng)和序列密碼系統(tǒng)C）對稱密碼系統(tǒng)和非對稱密碼系統(tǒng)D）密碼學(xué)系統(tǒng)和密碼分析學(xué)系統(tǒng)答案：C,.,124,【例6-28】以下哪一項(xiàng)不是分組密碼的優(yōu)點(diǎn)？_（2003年9月）A）良好的擴(kuò)散性B）對插入的敏感程度高C）不需要密鑰同步D）加密速度快答案：D,.,125,【例6-29】端到端加密方式是網(wǎng)絡(luò)中進(jìn)行數(shù)據(jù)加密的一種重要方式，其加密、解密在何處進(jìn)行？_（2006年9月）A）源結(jié)點(diǎn)、中間結(jié)點(diǎn)B）中間結(jié)點(diǎn)、目的結(jié)點(diǎn)C）中間結(jié)點(diǎn)、中間結(jié)點(diǎn)D）源結(jié)點(diǎn)、目的結(jié)點(diǎn)答案：D,.,126,【例6-30】如果采用“蠻力攻擊”對密文進(jìn)行破譯，假設(shè)計算機(jī)的處理速度為1密鑰/微秒，那么大約多長時間一定能破譯56比特密鑰生成的密文？_（2003年9月）A）71分鐘B）1.1103年C）2.3103年D）5.41024年答案：C,.,127,【例6-31】關(guān)于加密技術(shù)，下列哪種說法是錯誤的？_（2003年9月）A）對稱密碼體制中加密算法和解密算法是保密的B）密碼分析的目的就是千方百計地尋找密鑰或明文C）對稱密碼體制的加密密鑰和解密密鑰是相同的D）所有的密鑰都有生存周期答案：A,.,128,【例6-32】下面哪種加密算法不屬于對稱加密？_（2006年4月）A）DESB）IDEAC）TDEAD）RSA答案：D,.,129,【例6-33】DES是一種常用的對稱加密算法，其一般的分組長度為_。（2006年9月）A）32位B）56位C）64位D）128位答案：C,.,130,【例6-34】如果發(fā)送方使用的加密密鑰和接收方使用的解密密鑰不相同，從其中一個密鑰難以推出另一個密鑰，這樣的系統(tǒng)稱為_。（2002年9月）A）常規(guī)加密系統(tǒng)B）單密鑰加密系統(tǒng)C）公鑰加密系統(tǒng)D）對稱加密系統(tǒng)答案：C,.,131,【例6-35】在公鑰密碼體系中，下面哪個（些）是不可以公開的？_（2005年9月）A）公鑰B）公鑰和加密算法C）私鑰D）私鑰和加密算法答案：C,.,132,【例6-36】下面哪個不是RSA密碼體制的特點(diǎn)？_（2006年9月）A）它的安全性基于大整數(shù)因子分解問題B）它是一種公鑰密碼體制C）它的加密速度比DES快D）它常用于數(shù)字簽名、認(rèn)證答案：C,.,133,【例6-37】Elgamal公鑰體制的加密算法具有不確定性，它的密文不僅依賴于待加密的明文，而且依賴于用戶選擇的_。（2006年4月）答案：隨機(jī)參數(shù),.,134,【例6-38】常用的密鑰分發(fā)技術(shù)有CA技術(shù)和_技術(shù)。（2005年9月）答案：KDC,.,135,【例6-39】KD