第10章計算機網(wǎng)絡(luò)安全

計算機網(wǎng)絡(luò)第10章計算機網(wǎng)絡(luò)安全本章主要內(nèi)容

影響網(wǎng)絡(luò)安全的因素可以采取的安全措施信息安全體系結(jié)構(gòu)計算系統(tǒng)安全標(biāo)準(zhǔn)常用的安全技術(shù)防火墻技術(shù)影響網(wǎng)絡(luò)安全的因素內(nèi)部因素：有一定級別權(quán)限的用戶有可能威脅網(wǎng)絡(luò)安全

外部威脅：外部的非法訪問和攻擊會威脅網(wǎng)絡(luò)安全

硬件安全：硬件本身可能會損壞，電壓、電流的突變，事故和災(zāi)害的發(fā)生，日常的消耗和磨損影響網(wǎng)絡(luò)安全的因素軟件故障

：軟件故障或病毒發(fā)作而引起的程序出錯，軟件本身的缺陷，軟件被刪除、更改信息安全

：數(shù)據(jù)文件被刪除或丟失，數(shù)據(jù)被篡改、盜用，或者在傳輸過程中被竊取病毒的攻擊：病毒是一種影響廣泛的威脅，能通過網(wǎng)絡(luò)廣泛傳播，最終影響整個網(wǎng)絡(luò)的正常運行可以采取的安全措施

提高安全意識采用身份認(rèn)證和控制訪問使用防火墻采用信息加密技術(shù)做好故障恢復(fù)和網(wǎng)絡(luò)數(shù)據(jù)備份工作做好硬件設(shè)備的防泄漏處理信息安全體系結(jié)構(gòu)1989年2月15日，頒布基于OSI參考模型的七層協(xié)議之上的信息安全體系結(jié)構(gòu)標(biāo)準(zhǔn)ISO7498-2。內(nèi)容主要包括：五類安全服務(wù)：保密性、完整性、鑒別、訪問控制、抗否認(rèn)。八類安全機制：加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整性、鑒別交換、業(yè)務(wù)流填充、路由控制、公證）。1991年，頒布了OSI安全管理標(biāo)準(zhǔn)ITUX.800。計算系統(tǒng)安全標(biāo)準(zhǔn)“桔皮書”（美國國防部委托計算機系統(tǒng)評價規(guī)范說明書）用途是提供專門的硬件、固件和軟件的安全規(guī)范和有關(guān)的技術(shù)評價方法，來支持綜合自動數(shù)據(jù)處理系統(tǒng)的安全模型策略。

“桔皮書”把安全標(biāo)準(zhǔn)分為：A、B、C、D四級“紅皮書”是美國家計算機安全中心發(fā)表的“可信計算機系統(tǒng)評價規(guī)范的可信網(wǎng)絡(luò)描述”?！凹t皮書”是解釋“桔皮書”的一個手冊，將C2規(guī)范的各個方面都從網(wǎng)絡(luò)角度加以描述，惟一重要的不同的是規(guī)定了網(wǎng)絡(luò)發(fā)起人的作用。常用的安全技術(shù)VPN虛擬專用網(wǎng)防火墻防病毒入侵檢測包過濾10.4防火墻技術(shù)防火墻：防火墻是在內(nèi)部網(wǎng)與外部網(wǎng)之間實施安全防范的系統(tǒng)，用于確定哪些內(nèi)部資源允許外部訪問，以及允許哪些內(nèi)部網(wǎng)用戶訪問哪些外部資源及服務(wù)。防火墻的優(yōu)缺點防火墻的優(yōu)點允許網(wǎng)絡(luò)管理員在網(wǎng)絡(luò)中定義一個控制點，將內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)隔開；審查和記錄Internet使用情況的最佳點；設(shè)置網(wǎng)絡(luò)地址翻譯器（NAT）的最佳位置；作為向客戶或其他外部伙伴發(fā)送信息的中心聯(lián)系點；防火墻的局限性不能防范不經(jīng)過防火墻的攻擊；不能防范由于內(nèi)部的威脅；不能防止病毒攻擊；很難防止數(shù)據(jù)驅(qū)動式攻擊；防火墻策略網(wǎng)絡(luò)服務(wù)訪問策略一種高層次、具體到事件的策略，用于定義網(wǎng)絡(luò)中允許的或禁止的網(wǎng)絡(luò)服務(wù)，且包括對撥號訪問等連接的限制防火墻設(shè)計策略針對具體的規(guī)則來實施的網(wǎng)絡(luò)服務(wù)訪問策略。防火墻一般執(zhí)行下面兩種基本設(shè)計策略中的一種

未禁止的都是允許的服務(wù)未允許的都是禁止的服務(wù)防火墻的種類和應(yīng)用包過濾防火墻

能夠根據(jù)單個包的TCP、UDP、ICMP、IP報頭來決定允許或拒絕通信它審查每一個數(shù)據(jù)包以確定其是否與某一條包過濾規(guī)則匹配可以綜合考慮通信流量的方向、IP源地址和目的地址、以及TCP或UDP的源端口號和目的端口號代理服務(wù)器上安裝有特殊用途的特別應(yīng)用程序，被稱為代理服務(wù)或代理服務(wù)器程序。使用代理服務(wù)后，各種服務(wù)不再直接通過防火墻轉(zhuǎn)發(fā)，對應(yīng)用數(shù)據(jù)的轉(zhuǎn)發(fā)取決于代理服務(wù)器的配置：只支持一個應(yīng)用程序的特定功能，同時拒絕所有其他功能；支持所有的功能，比如同時支持WWW、FTP、Telnet、SMTP和DNS等。

代理服務(wù)器防火墻

屏蔽主機防火墻將所有的外部主機與一臺堡壘主機相連接，再設(shè)置一個過濾路由器作為橋梁提供的安全等級比包過濾防火墻系統(tǒng)要高實現(xiàn)了網(wǎng)絡(luò)層安全（包過濾）和應(yīng)用層安全（代理服務(wù)）屏蔽子網(wǎng)防火墻屏蔽子網(wǎng)本質(zhì)上與屏蔽主機一樣，但增加了周邊網(wǎng)絡(luò)一層保護(hù)周邊網(wǎng)絡(luò)用了兩個包過濾路由器和一臺堡壘主機