第9章網(wǎng)絡安全與管理

27十二月2023第9章網(wǎng)絡安全與管理9.1網(wǎng)絡安全概述國際標準化組織ISO對計算機網(wǎng)絡安全（NetworkSecurity）的定義為數(shù)據(jù)處理系統(tǒng)建立和采用的安全防范技術，以保護計算機硬件、軟件和數(shù)據(jù)不因偶然和惡意的原因遭到破壞、更改和泄露。網(wǎng)絡安全威脅網(wǎng)絡安全威脅主要表現(xiàn)在：非授權訪問信息泄漏或丟失破壞數(shù)據(jù)完整性拒絕服務攻擊DoS利用網(wǎng)絡傳播病毒等網(wǎng)絡安全的五要素網(wǎng)絡安全包括五個基本要素機密性完整性可用性可控性可審查性網(wǎng)絡安全的分類根據(jù)安全需求將其分為數(shù)據(jù)保密、數(shù)據(jù)完整性、身份驗證、授權、不可抵賴和不可否認等幾個部分；根據(jù)解決手段可以分為病毒防范、防火墻、存取控制、身份鑒別、安全綜合解決方案；根據(jù)威脅來源將其劃分為網(wǎng)絡攻擊行為、安全漏洞及惡意代碼等類別。

9.2密碼學一、密碼學的發(fā)展密碼學包括（cryptology）密碼編碼學和密碼分析學。密碼編碼學是密碼體制的設計學，而密碼分析學則是在未知密碼的情況下從密文推演出明文的技術。相關術語明文：信息的原始形式（plianttext，記為P）密文：明文加密后的形式（ciphertext，記為C）加密：明文變成密文的過程（encrypt記為E）， 加密通常是由加密算法來實現(xiàn)的。解密：密文還原成明文的過程（decrypt記為D），解密通常是由解密算法來實現(xiàn)的。密鑰：為了有效地控制加密和解密算法的實現(xiàn)，在其處理過程中要有通信雙方掌握的專門信息參與，這種專門信息稱為密鑰（key，記為K）。二、對稱密鑰體制根據(jù)密鑰的特點，密碼體制分為非對稱密鑰體制和對稱密鑰體制兩種。對稱密鑰體制又稱為傳統(tǒng)密鑰、秘密密鑰、單鑰密鑰加密算法對稱密鑰體制的核心是加密和解密采用相同的密鑰。保密性僅取決于對密鑰的保密，而算法是公開的。對稱密鑰體制圖9.1對稱密鑰加密算法的執(zhí)行過程

替代密碼替代密碼將字母a,b,c,d,……,w,x,y,z的自然順序保持不變，但使之與D,E,F,G,……,X,A,B,C分別對應：密鑰為3例如：明文caesarcipher對應的密文為FDHVDUFLSKHU置換密碼置換密碼按照某一規(guī)則重新排列消息中的比特或字符的順序，密鑰的目的是對列編號。密鑰：CIPHER順序：145326舉例：明文attack

beginsattwo密文abaaitcnwtgtetkso對稱密鑰算法分類對稱密鑰加密算法可分為兩類：一次只對明文中的單個位（或字節(jié)）運算的算法，稱為序列算法、序列密碼或流密碼（streamcipher）；對明文的一組位進行運算（這些位組稱為分組），稱為塊密碼或分組密碼（blockcipher）。分組密碼體制輸入輸出加密算法密鑰明文輸入輸出解密算法密鑰明文nbitnbitnbitnbit密文密文數(shù)據(jù)加密標準DESDES是世界上第一個公認的實用密碼算法標準，是一種典型的分組加密算法。加密前，先對整個的明文進行分組，每一個組長64位；使用密鑰64位，對每一個64位分組進行加密處理。最后將各組密文串接，得出整個的密文。DES算法描述DES經(jīng)過總共16輪的替代和換位的變換后，使得密碼分析者無法獲得該算法一般特性以外更多的信息。新一代加密標準AESAES是一個迭代的、對稱密鑰分組的密碼算法可以使用128、192和256位密鑰，并且用128位分組加密和解密數(shù)據(jù)，算法迭代次數(shù)由分組長度和密鑰長度共同決定。新一代加密標準AESAES算法在每一輪都采用置換和代替并行地處理整個數(shù)據(jù)分組，這個分組被編排為一個稱做狀態(tài)陣列(statearray)的4×4字節(jié)矩陣。AES算法的加密實際上就是對輸入狀態(tài)陣列進行一系列運算，產(chǎn)生輸出的過程。AES的加密解密流程三、公開密鑰體制相對于對稱加密算法，這種方法也叫做非對稱加密算法，需要公開密鑰（publickey）和私有密鑰（privatekey）兩個密鑰。公開密鑰（加密密鑰）和非對稱加密解密算法是公開的，但私有密鑰（解密密鑰）是保密的，由密鑰的主人妥善保管。公開密鑰體制中最著名的是RSA算法公開密鑰密碼體制接收者發(fā)送者E加密算法D解密算法加密密鑰PK解密密鑰SK明文X密文Y=EPK(X)密鑰對產(chǎn)生源明文X=DSK(EPK(X))公開密鑰算法的特點發(fā)送者用加密密鑰PK對明文X加密后，在接收者用解密密鑰SK解密，即可恢復出明文，或寫為：DSK(EPK(X))

X

公開密鑰算法的特點（2）(2)加密密鑰是公開的，但不能用它來解密，即DPK(EPK(X))

X

(3)在計算機上可容易地產(chǎn)生成對的PK和SK。(4)從已知的PK實際上不可能推導出SK。(5)加密和解密算法都是公開的。四、數(shù)字簽名和消息認證除了信息的保密之外，如何保證信息的來源方是真實的，保證收到的信息的可靠的而沒有被非法篡改，也是非常重要的。認證包括對用戶身份的認證和對消息正確性的認證兩種方式。數(shù)字簽名和消息認證用戶認證用于鑒別用戶的身份是否是合法用戶，可以利用數(shù)字簽名技術來實現(xiàn)的。消息認證（又稱報文鑒別）主要用于驗證所收到的消息確實是來自真正的發(fā)送方且未被修改的消息，也可以驗證消息的順序和及時性。1、消息認證用于消息認證最常用的是消息認證碼（MAC）和散列函數(shù)。消息認證碼是在一個密鑰的控制下將任意長的消息映射到一個簡短的定長數(shù)據(jù)分組，將它附加在消息后。接收者通過重新計算MAC來對消息進行認證。2、數(shù)字簽名當通信雙方發(fā)生了下列情況時，數(shù)字簽名技術能夠解決引發(fā)的爭端：否認：發(fā)送方不承認自己發(fā)送過某一報文。偽造：接收方自己偽造一份報文，并聲稱它來自發(fā)送方。冒充：網(wǎng)絡上的某個用戶冒充另一個用戶接收或發(fā)送報文。篡改：接收方對收到的信息進行篡改。數(shù)字簽名目前應用最為廣泛的數(shù)字簽名包括：Hash簽名DSS簽名RSA簽名ElGamal數(shù)字簽名體制等。

采用公鑰的數(shù)字簽名若Alice要抵賴曾發(fā)送報文給Bob，Bob可將P及DA(P)出示給第三者。第三者很容易證實Alice確實發(fā)送X給Bob。五、密鑰的分發(fā)和管理問題:如何解決兩個實體通過網(wǎng)絡實現(xiàn)對稱密鑰的共享?解決辦法:具有公信力的密鑰分發(fā)中心（keydistributioncenter(KDC)）來作為諸多實體間的中介密鑰分發(fā)中心KDCAlice,Bob需要共享對稱密鑰.KDC:為每個注冊的用戶提供不同的密鑰服務.Alice,Bob在KDC注冊后，獲取了自己的對稱密鑰,KA-KDCKB-KDC.密鑰的分發(fā)和管理問題:當Alice獲取Bob的公鑰時(可以從網(wǎng)站、e-mail,甚至軟盤),如何能夠使她相信這就是Bob的公鑰,而不是Trudy的?解決辦法:具有公信力的認證機構（certificationauthority，CA）認證機構CA認證機構(CA)為特定的實體管理公開密鑰.實體（個人或路由器）可以在CA注冊公開密鑰.實體提供“身份證明”給CA.CA創(chuàng)建信任狀將實體與公開密鑰進行綁定.由CA對信任狀進行數(shù)字簽名.認證機構CA當Alice需要Bob的公開密鑰時:獲取Bob信任狀(從Bob或其他什么地方).把CA提供的公開密鑰對Bob的信任狀進行認證和解碼,從而得到Bob的公開密鑰9.3網(wǎng)絡安全技術一、防火墻Firewall網(wǎng)絡防火墻用來加強網(wǎng)絡之間訪問控制。防止外部網(wǎng)絡用戶以非法手段通過外部網(wǎng)絡進入內(nèi)部網(wǎng)絡，訪問內(nèi)部網(wǎng)絡資源。圖9.5防火墻邏輯位置示意圖防火墻是位于兩個(或多個)網(wǎng)絡間，實施網(wǎng)絡之間訪問控制的一組組件集合。它具有以下三個方面的基本特性：內(nèi)、外網(wǎng)間的所有數(shù)據(jù)流都須經(jīng)過防火墻;只有符合安全策略的數(shù)據(jù)流才能通過防火墻；防火墻自身應具有強的抗攻擊免疫力。1、防火墻基本特征

2、防火墻的功能具體來說，防火墻主要有以下功能：創(chuàng)建一個阻塞點隔離不同網(wǎng)絡，防止內(nèi)部信息的外泄強化安全策略有效地審計和記錄內(nèi)、外部網(wǎng)絡上的活動

3、防火墻的基本類型防火墻的基本類型：包過濾型網(wǎng)絡地址轉換（NAT）代理型監(jiān)測型包過濾

Packetfiltering包過濾又稱“報文過濾”，它是防火墻最基本的過濾技術。防火墻根據(jù)數(shù)據(jù)包頭所含的源、目的IP地址、協(xié)議類型(TCP包、UDP包、ICMP包)、源、目的端口等信息，確定該數(shù)據(jù)包是否允許通過。代理型防火墻代理型防火墻也可以被稱為代理服務器，它的安全性要高于包過濾型產(chǎn)品。代理服務器位于客戶機與服務器之間，客戶首先將數(shù)據(jù)請求發(fā)給代理服務器，由代理服務器向服務器索取數(shù)據(jù)，然后再將數(shù)據(jù)傳輸給客戶機。二、網(wǎng)絡入侵與安全檢測入侵檢測IDS的定義：對主機或網(wǎng)絡系統(tǒng)的運行狀態(tài)進行監(jiān)視，發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結果，以保證系統(tǒng)資源的機密性、完整性和可用性的計算機安全技術。入侵檢測可以分為信息收集和數(shù)據(jù)分析兩個部分。入侵檢測分類根據(jù)采用的技術來分：異常檢測（Anomalydetection）特征檢測（Signature-baseddetection）按檢測的對象來分：基于主機的入侵檢測系統(tǒng)基于網(wǎng)絡的入侵檢測系統(tǒng)基于網(wǎng)關的入侵檢測系統(tǒng)異常檢測前提：入侵是異?；顒拥淖蛹脩糨喞?Profile):通常定義為各種行為參數(shù)及其閥值的集合，用于描述正常行為范圍過程： 監(jiān)控量化比較判定

修正特點:漏報率低，誤報率高三、虛擬專用網(wǎng)VPNVPN網(wǎng)絡的任意兩個結點之間的連接并沒有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路。VPN是架構在公用網(wǎng)絡服務商所提供的網(wǎng)絡平臺，如Internet、ATM或幀中繼之上的邏輯網(wǎng)絡。VPN的應用場景例如：員工出差到外地，他想訪問企業(yè)內(nèi)網(wǎng)的服務器資源，怎么才能讓外地員工訪問到內(nèi)網(wǎng)資源呢?解決方法：在內(nèi)網(wǎng)中架設一臺VPN服務器，VPN服務器有兩塊網(wǎng)卡，一塊連接內(nèi)網(wǎng)，一塊連接公網(wǎng)。VPN舉例設置兩個IP地址VPN的安全措施隧道技術加解密技術密鑰管理技術和使用者設備身份認證技術隧道技術第二、三層隧道（Tunneling）協(xié)議L2F（Layer2Forwarding，二層轉發(fā)協(xié)議）PPTP（PointtoPointTunnelingProtocol，點對點隧道協(xié)議）L2TP（Layer2TunnelingProtocol，二層隧道協(xié)議）VTP（VirtualTunnelingProtocol，虛擬隧道協(xié)議）IPSec（IPSecurity，IP安全協(xié)議）VPN的特點安全保障VPN通過建立一個隧道，利用加密技術對傳輸數(shù)據(jù)進行加密，以保證數(shù)據(jù)的私有和安全性。服務質(zhì)量保證VPN可以為不同要求提供不同等級的服務質(zhì)量保證。

VPN的特點（2）可擴充、靈活性VPN支持通過Internet和Extranet的任何類型的數(shù)據(jù)流。可管理性VPN可以從用戶和運營商角度方便進行管理。四、病毒防范計算機病毒是指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數(shù)據(jù)，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼。計算機病毒一般包括以下幾個部分：引導部分傳染部分表現(xiàn)部分計算機病毒分類計算機病毒分類根據(jù)病毒存在的媒體，病毒可以劃分為網(wǎng)絡病毒，文件病毒，引導型病毒；按照計算機病毒激活時間可分為定時的和隨機病毒；根據(jù)病毒特有的算法，分為伴隨型病毒、“蠕蟲”型病毒和寄生型病毒等。蠕蟲病毒（Worm）和特洛伊木馬（Trojan）

蠕蟲病毒（Worm）蠕蟲病毒是利用網(wǎng)絡從一臺機器的內(nèi)存?zhèn)鞑サ狡渌鼨C器的內(nèi)存，將自身的病毒通過網(wǎng)絡發(fā)送。傳染途徑是通過網(wǎng)絡和電子郵件，比如“紅色代碼”和“尼姆亞”、“求職信”等。計算機感染“尼姆亞”病毒后，會不斷自動撥號上網(wǎng)，并利用文件中的地址信息或者網(wǎng)絡共享進行傳播，最終破壞用戶的大部分重要數(shù)據(jù)。

特洛伊木馬（Trojan）“特洛伊木馬”（trojanhorse）簡稱“木馬”，源于希臘神話。特洛伊木馬沒有復制能力，它的特點是偽裝成一個實用工具或者一個游戲，誘使用戶將其安裝在PC或者服務器上。通過一段特定的程序（木馬程序）來控制另一臺計算機。病毒說明病毒監(jiān)測舉例9.4網(wǎng)絡安全應用一、IP安全IPsec即IP安全(Security)協(xié)議網(wǎng)絡層保密是指所有在IP數(shù)據(jù)報中的數(shù)據(jù)都是加密的。此外，網(wǎng)絡層還應提供源站鑒別，即目的站收到IP數(shù)據(jù)報時，能確信這是從該數(shù)據(jù)報的源IP地址的主機發(fā)來的。IPSec框架IPsec主要的兩個部分鑒別首部AH(AuthenticationHeader)：AH提供源站鑒別和數(shù)據(jù)完整性，但不能保密。封裝安全有效載荷ESP(EncapsulationSecurityPayload)：ESP提供源站鑒別、數(shù)據(jù)完整性和保密。鑒別首部AH在使用鑒別首部AH時，將AH首部插在原數(shù)據(jù)報數(shù)據(jù)部分的前面。當數(shù)據(jù)報到達目的站時，目的站主機處理AH字段，以鑒別源主機和檢查數(shù)據(jù)報的完整性。IP首部AH首部TCP/UDP報文段可鑒別的IP數(shù)據(jù)報原數(shù)據(jù)報的數(shù)據(jù)部分封裝安全有效載荷ESP將ESP首部插在原數(shù)據(jù)報數(shù)據(jù)部分的前面。用ESP封裝的數(shù)據(jù)報既有鑒別源站和檢查數(shù)據(jù)報完整性的功能，又能提供保密。

IP首部ESP首部TCP/UDP報文段可鑒別的保密的IP數(shù)據(jù)報原數(shù)據(jù)報的數(shù)據(jù)部分ESP尾部ESP鑒別數(shù)據(jù)加密的部分鑒別的部分二、電子郵件安全PGP(PrettyGoodPrivacy)標準PGP是一個完整的電子郵件安全軟件包，包括加密、鑒別、電子簽名和壓縮等技術。PGP通過單向散列算法對郵件內(nèi)容進行簽名，以保證信件內(nèi)容無法修改，使用公鑰和私鑰技術保證郵件內(nèi)容保密且不可否認。PGP的報文格式EB的標識符MD5散列函數(shù)KMEA的標識符簽字首部時間類型報文首部文件名時間報文報文部分簽字部分密鑰部分IDEA加密，壓縮Base64編碼的PGP報文用DA加密用EB加密PEM標準PEM(PrivacyEnhancedMail)

PEM是因特網(wǎng)的郵件加密建議標準，由四個RFC文檔來描述RFC1421：報文加密與鑒別過程RFC1422：基于證書的密鑰管理RFC1423：PEM的算法、工作方式和標識符RFC1424：密鑰證書和相關的服務S/MIME標準S/MIME（SecureMulti－PartIntermailMailExtension）標準S/MIME也利用單向散列算法和公鑰與私鑰的加密體系。整個信任關系基本是樹狀的TreeofTrust三、Web安全安全套接層協(xié)議（SecuritySocketLayer，SSL）

SSL協(xié)議是用來保護網(wǎng)絡傳輸信息的，它工作在傳輸層之上，應用層之下。SSL協(xié)議是一個分層協(xié)議，由底層的記錄層協(xié)議（RecordProtocol）和上層的消息子層組成

Web安全（2）安全電子交易協(xié)議（SecureElectonicTranscation，SET）

SET主要是為了解決用戶、商家和銀行之間通過信用卡支付的交易而設計的，SET支付系統(tǒng)主要由持卡人、商家、發(fā)卡行、收單銀行、支付網(wǎng)關、認證中心等六個部分組成。雙重簽名技術（DualSignatures）

Web安全舉例四、無線網(wǎng)絡安全無線網(wǎng)絡的開放性使得網(wǎng)絡更容易受到惡意攻擊。WEP（WiredEquivalentPrivacy，有線對等保密）協(xié)議WPA（Wi-FiProtectedAccess，無線保護接入）

9.5網(wǎng)絡管理網(wǎng)絡管理是控制一個網(wǎng)絡系統(tǒng)使得它具有最高的效率和生產(chǎn)力的過程，網(wǎng)絡管理系統(tǒng)的本質(zhì)是管理網(wǎng)絡的軟件系統(tǒng)。我們常說的“網(wǎng)管系統(tǒng)”，應該理解為保障整個IT系統(tǒng)順利運作的管理系統(tǒng)。

網(wǎng)絡管理的目標解決異構設備的統(tǒng)一管理提供高可靠的服務提高網(wǎng)絡的效率提供公共的管理平臺提供友好的維護界面

網(wǎng)絡管理的五大功能域配置管理CM（ConfigurationManagement）故障管理FM（FaultManagement）性能管理PM（PerformanceManagement）計費管理AM（AccountingManagement）安全管理SM（SecurityManagement）

網(wǎng)絡管理模型在網(wǎng)絡管理中，一般采用管理者-代理的管理模型。管理者它負責發(fā)出管理操作的指令，并接收來自代理的信息。代理則位于被管理的設備內(nèi)部，把來自管理者的命令或信息請求轉換為本設備特有的指令。管理者/代理之間的通信二、SNMP協(xié)議常用的網(wǎng)絡管理協(xié)議包括：簡單網(wǎng)絡管理協(xié)議（SimpleNetworkManagementProtocol，SNM