《第七章网络安全与网络管理课件》由会员分享，可在线阅读，更多相关《第七章网络安全与网络管理课件（50页珍藏版）》请在金锄头文库上搜索。
1、1,第7章 网络安全与网络管理,主要学习内容 ： 安全威胁 安全机制及手段 防火墙技术 病毒 网络管理,2,网络安全：计算机网络环境下的信息安全。大部分网络安全问题都与TCP/IP有关。 与网络安全有关的新名词逐渐为大众所知，例如黑客（hacker）、破解者（cracker）等。凡此种种，都传递出一个信息网络是不安全的。 为网络安全担忧的人大致可分为两类，一类是使用网络资源的一般用户，另一类是提供网络资源的服务提供者。 造成网络不安全的主要原因 ： 自身缺陷（TCP/IP）开放性（网络）黑客攻击（外在原因）,7.1 网络安全隐患,3,先天性安全漏洞,Internet的前身是ARPANET ，而
2、ARPANET最初是为军事机构服务的，对网络安全的关注较少。 在进行通信时，Internet用户的数据被拆成一个个数据包，然后经过若干结点辗转传递到终点。但是TCP/IP在传递数据包时，并未对其加密。 换言之，在数据包所经过的每个结点上，都可直接获取这些数据包，并可分析、存储之。如果数据包内含有商业敏感数据或个人隐私信息，则任何人都可轻易解读。,7.1 网络安全隐患,4,计算机网络犯罪及特点,据伦敦英国银行协会统计，全球每年因计算机犯罪造成的损失大约为80亿美元，而实际损失金额应在100亿美元以上。 网络犯罪的特点是，罪犯不必亲临现场、所遗留的证据很少且有效性低。并且，与此类犯罪有关的法律还有
3、待于进一步完善。 遏制计算机犯罪的有效手段是从软、硬件建设做起，可购置防火墙（firewall）、对员工进行网络安全培训，增强其防范意识等。,7.1 网络安全隐患,5,网络攻击 网络攻击者利用目前网络通信协议（如TCP/IP协议）自身存在的或因配置不当而产生的安全漏洞 、用户使用的操作系统内在缺陷或者用户使用的程序语言本身所具有的安全隐患等，通过使用网络命令、从Internet上下载的专用软件或者攻击自己编写的软件，非法进入本地或远程用户主机系统，非法获得、修改、删除用户系统的信息以及用户系统上添加垃圾、色情或者有害信息（如特洛伊木马）等一系列过程的总称。,7.1 网络安全隐患,6,7.2 计
4、算机网络面临的安全威胁,安全威胁分类：,主动攻击,被动攻击,中断：在网络上的用户在通信时，破坏者中断他们之间的通信，如拒绝服务攻击（Denial of Service，DoS）。 篡改：当网络用户甲向乙发送包文时，包文在转发过程中被破坏者更改。 伪造：破坏者非法获取用户乙的权限并乙的名义与甲进行通信。如伪造电子邮件。,截获：当网络用户甲与乙通信时，被破坏者偷看到他们之间得到通信内容。如木马截取技术。,7,7.2 计算机网络面临的安全威胁,响应式安全防护模型：基于特定威胁的特征，目前绝大多数安全产品均基于这种模型。（通过名字识别攻击；根据需要进行响应；减轻损失；事后恢复。如防火墙） 主动式安全防
5、护模型：以识别和阻挡未知威胁为主导思想。（早期预警技术；有效的补丁管理；主动识别和阻挡技术。）,两种安全防护模型,8,7.2 计算机网络面临的安全威胁,08年全国信息网络安全状况调查分析报告（公安部、国家计算机病毒应急处理中心、国家反计算机入侵和防病毒研究中心）,网络安全事件情况 62.7%的被调查单位发生过网络安全事件，32%的单位多次发生安全事件。感染计算机病毒、蠕虫和木马程序的情况依然十分突出，占72%，其次是网络攻击和端口扫描(27%)、网页篡改(23%)和垃圾邮件(22%)。 网络安全管理情况 采取的安全防范措施主要为存储备份(64.7%)、口令加密和访问控制(64.4%)；使用的安
6、全服务主要是系统维护(70%)、安全检测(51.5%)和容灾备份与恢复(30%)。防火墙和计算机病毒防治产品仍是最普及的网络安全产品，占75%，其次是入侵监测和漏洞扫描产品(33%)。,9,7.3 盗窃数据或侵入网络的方法,1.窃听(Eavesdropping) 最简易的窃听方式是将计算机连入网络，利用专门的工具软件对在网络上传输的数据包进行分析。进行窃听的最佳位置是网络中的路由器，特别是位于关卡处的路由器,它们是数据包的集散地。 窃听程序的基本功能是收集、分析数据包，高级的窃听程序还提供生成假数据包、解码等功能，甚至可锁定某源服务器（或目标服务器）的特定端口，自动处理与这些端口有关的数据包。
7、,10,假设数据由网络传送至网络，可被窃听的位置至少包括：,7.3 盗窃数据或侵入网络的方法,网络中的计算机 数据包在Internet上途经的每一路由器。 网络中的计算机。,11,2.窃取(Spoofing),这种入侵方式一般出现在使用支持信任机制网络中。在这种机制下，通常用户只需拥有合法帐号即可通过认证，因此入侵者可以利用信任关系，冒充一方与另一方连网，以窃取信息。 假设某入侵者欲利用主机A入侵某公司的的内部网络主机B，则其步骤大致如下： 1.确定要入侵的主机B。 2.确定主机B所信任的主机A。,7.3 盗窃数据或侵入网络的方法,12,3.利用主机X在短时间内发送大量的数据包给A，使之穷于应
8、付。 4.利用主机X向B发送源地址为A的数据包。,7.3 盗窃数据或侵入网络的方法,13,3.会话窃夺(Spoofing),入侵者首先在网络上窥探现有的会话，发现有攻击价值的会话后，便将参与会话的一方截断，并顶替被截断方继续与另一方进行连接，以窃取信息。 会话窃夺不像窃取那样容易防范。对于由外部网络入侵内部网络的途径，可用防火墙切断，但对于内、外部网络之间的会话，除了采用数据加密手段外，没有其他方法可保绝对安全。,7.3 盗窃数据或侵入网络的方法,14,例如，当主机A正与主机B进行会话时，X切入会话，并假冒B的名义发送数据包给A，通知其中断会话，然后X顶替A继续与B进行会话。,7.3 盗窃数据
9、或侵入网络的方法,15,4.利用操作系统漏洞,操作系统的漏洞大致可分为两部分：,另一部分则是由于使用不得法所致。这种由于系统管理不善所引发的漏洞主要是系统资源或帐户权限设置不当。,微软的操作系统RPC漏洞 冲击波病毒 Outlook的邮件预览漏洞-“求职信”病毒,一部分是由设计或实现缺陷造成的。包括协议方面的、网络服务方面的、共用程序库方面的等等。,7.3 盗窃数据或侵入网络的方法,16,5.盗用密码,盗用密码是最简单的技巧。通常有下列方式：,密码被盗用，通常是因为用户不小心被他人“发现”了。而“发现”的方法一般是“猜测”。猜密码的方式有多种，最常见的是在登录系统时尝试不同的密码，系统允许用户
10、登录就意味着密码被猜中了。-字典攻击,另一种比较常见的方法是先从服务器中获得被加密的密码表，再利用公开的算法进行计算，直到求出密码为止，这种技巧最常用于Unix系统。,木马窃取密码。,7.3 盗窃数据或侵入网络的方法,17,计算机技术中的木马，是一种与计算机病毒类似的指令集合，它寄生在普通程序中，并在暗中进行某些破坏性操作或进行盗窃数据。木马与计算机病毒的区别是，前者不进行自我复制，即不感染其他程序。 完整的木马程序一般由两个部份组成：一个是服务器程序，一个是控制器程序。 “中了木马” ：安装了木马的服务器程序，若你的电脑被安装了服务器程序，则拥有控制器程序的人就可以通过网络控制你的电脑、为所
11、欲为，这时你电脑上的各种文件、程序，以及在你电脑上使用的帐号、密码就无安全可言了 木马种类：键盘记录木马 、程序杀手木马等。,7.3 盗窃数据或侵入网络的方法,6. 木马、暗门、病毒和逻辑炸弹,18,暗门（trapdoor）又称后门（backdoor）、陷门，指隐藏在程序中的秘密功能，通常是程序设计者为了能在日后随意进入系统而设置的。 最早的后门是 Ken Thompson 在其早期发展的Unix login 程序中隐藏暗门，当输入特定名称时，可取得超权限授权。,7.3 盗窃数据或侵入网络的方法,病毒是一种寄生在普通程序中、且能够将自身复制到其他程序、并通过执行某些操作，破坏系统或干扰系统运行
12、的“坏”程序。病毒程序可从事破坏活动，间谍活动等，如将服务器内的数据传往某个主机等，宏病毒，网络病毒Melissa，LoveLetter，HappyTime。,免受木马、病毒和暗门威胁的最有效的方法是不要运行来历不明的程序。,19,数据保密（data confidentiality） 身份认证（authentication） 数据完整（data integrity） 防抵赖（non-repudiation） 访问控制（access control）,7.4 安全机制,20,7.5 数据加解密,加密指改变数据的表现形式。加密的目的是只让特定的人能解读密文，对一般人而言，其即使获得了密文，也不解其
13、义。 加密旨在对第三者保密，如果信息由源点直达目的地，在传递过程中不会被任何人接触到，则无需加密。Internet是一个开放的系统，穿梭于其中的数据可能被任何人随意拦截，因此，将数据加密后再传送是进行秘密通信的最有效的方法。,21,下图示意了加密、解密的过程。其中，“This is a book”称为明文（plaintext或cleartext）；“!# $% & *()-”称为密文（ciphertext）。将明文转换成密文的过程称为加密（encryption），相反的过程则称为解密（decryption）。,7.5 数据加解密,22,当代加密技术趋向于使用一套公开算法及秘密键值（key，又称
14、钥匙）完成对明文的加密。 公开算法的前提是，如果没有用于解密的键值，即使知道算法的所有细节也不能破解密文。由于需要使用键值解密，故遍历所有可能的键值便成为最直接的破解方法。键值的长度决定了破解密文的难易程度，显然键值越长，越复杂，破解就越困难。 目前加密数据涉及到的算法有秘密钥匙（secret key）和公用钥匙（public key）加密算法，上述算法再加上Hash函数，构成了现代加密技术的基础。,7.5 数据加解密,23,1.秘密钥匙加密,秘密钥匙加密法又称为对称式加密法或传统加密法。其特点是加密明文和解读密文时使用的是同一把钥匙。,缺点：由于至少有两个人持有钥匙，所以任何一方都不能完全确
15、定对方手中的钥匙是否已经透露给第三者。,7.5 数据加解密,24,2.公用钥匙加密,公用钥匙加密法又称非对称式（asymmetric）加密，是近代密码学新兴的一个领域。,公用钥匙加密法的特色是完成一次加、解密操作时，需要使用一对钥匙。假定这两个钥匙分别为A和B，则用A加密明文后形成的密文，必须用B方可解回明文，反之，用B加密后形成的密文必须用A解密。 通常，将其中的一个钥匙称为私有钥匙（private key），由个人妥善收藏，不外泄于人，与之成对的另一把钥匙称为公用钥匙，公用钥匙可以像电话号码一样被公之于众。,7.5 数据加解密,25,假如X需要传送数据给A，X可将数据用A的公用钥匙加密后再
16、传给A，A收到后再用私有钥匙解密。如图所示。,缺点：利用公用钥匙加密虽然可避免钥匙共享而带来的问题，但其使用时，需要的计算量较大。,7.5 数据加解密,26,数字签名技术,单向散列函数：MD5、SHA1、。 加解密：RSA、ECC、。,7.5 数据加解密,27,身份认证（authentication）,A,B,B成功认证A,BB认证A失败,7.5 数据加解密,28,防火墙是指用来连接两个网络（内部网络和外部网络）并控制两个网络之间相互访问的系统，即在内部网络和外部网络之间实现控制策略的系统，它是一类防范措施的总称，防火墙可以是简单的路由器、主机、子网或应用软件等。从而防止有害信息进入受保护网，为网络提供安全保障。,可以在IP层设置屏障，对进出的所有数据进行分析。 也可以用应用层软件来阻止外来攻击，对用户进行认证。,7.6.1 防火墙技术概述,29,防火墙的主要功能： 过滤不安全服务和非法用户，禁止未授权的用户访问受保护网络。 控制对特殊站点的访问，如受保护的Email、FTP、WWW服务器等
