第9章网络安全精编版

《第9章网络安全精编版》由会员分享，可在线阅读，更多相关《第9章网络安全精编版（27页珍藏版）》请在金锄头文库上搜索。

1、9.1网络安全概述,9.1.1网络安全简介 网络是一条数据高速公路，它专门用来增加对计算机系统的访问，而安全性却专门用来控制访问。提供网络安全性是在公开访问与控制访问之间的一种权衡举措。在家里，通过锁门为财产提高安全性，而不是封锁街道。同样，网络安全性一般是指对单台主机提高合适的安全性，而不是直接在网络上提高安全性。 计算机安全包括物理安全和逻辑安全。对于前者要加强计算机机房的管理；而对于后者则需要用口令字、文件许可或查帐等方法来实现。 计算机安全的目标是：在安全和通信方便之间建立平衡。,9.1网络安全概述,9.1.2网络安全的重要性 计算机系统经常遭到进攻。更令人不安的是大多数进攻未被察觉。

2、这些进攻给国家安全带来的影响程度还未确定，但已发现的进攻多数是针对计算机系统所存放的敏感信息，其中三分之二的进攻是成功的，入侵者（黑客）盗窃、修改或破坏了系统上的数据 。 被推荐的安全措施有： 对非法访问的登录进行横幅警告。 键盘级监控。 捕捉。 呼叫者ID。 电话截取。 数据加密。 防火墙。 防火墙是防止Intranet被入侵的最好方法。,9.1网络安全概述,9.1.3信息系统安全的脆弱性 信息系统在安全方面存在的问题。 1操作系统安全的脆弱性 2计算机网络安全的脆弱性 3数据库管理系统安全的脆弱性 4缺少安全管理,9.1网络安全概述,9.1.4安全控制的种类 可用于保护一个计算机网络的安全

3、控制有两种，即内部和外部控制。 1内部控制 简单的说内部控制是对计算机系统本身的控制。密码、防火墙和数据加密都属于内部控制。内部控制只有与某一级的外部控制相结合时才生效。 2外部控制 外部控制指系统本身无法控制的部分。外部控制总体上有三类： 物理控制 人事控制 程序控制,9.1网络安全概述,9.1.5网络安全的方法 基本上说，处理网络的安全问题有两种方法。用户或允许某人访问某些资源，或者拒绝某人访问这些资源。对于某种装置来说，访问或者拒绝访问的标准是唯一的。 1允许访问 指定的用户具有特权才能够进行访问。这些标准在某种程度上应该与资源共有的性质相匹配。 2拒绝访问 拒绝访问是对某一网络资源访问

4、的一个拒绝。 3异常处理 网络安全中经常同时使用上述两种方法。,9.2 网络安全策略,9.2.1 最小特权 或许最根本的安全原则就是最小特权原则。最小特权原则意味着任何对象仅应具有该对象需要完成指定任务的特权，它能尽量避免你遭受侵袭，并减少侵袭造成的损失。 9.2.2 纵深防御 不要只依靠单一安全机制，尽量建立多层机制。避免某个单一安全机制失败后你的网络会彻底地垮掉。 9.2.3 阻塞点 阻塞点强迫侵袭者通过一个你可以监控的窄小通道在因特网安全系统中，位于你的局域网和因特网之间的防火墙（假设它是你的主机和因特网之间的唯一连接）就是这样一个阻塞点。,9.2 网络安全策略,9.2.4 最薄弱环节

5、安全保护的基本原则是链的强度取决于它的最薄弱环节，就像墙的坚固程度取决于它的最弱点。聪明的侵袭者总要找出那个弱点并集中精力对其进行攻击。你应意识到防御措施中的弱点，以便采取行动消除它们，同时你也可以仔细监测那些无法消除的缺陷。平等对待安全系统的所有情况，以使得此处与彼处的危险性不会有太大的差异。 9.2.5 失效保护状态 安全保护的另一个基本原则就是在某种程度上做到失效保护，即如果系统运行错误，那么它们会停止服务，拒绝用户访问，这可能会导致合法用户无法访问该系统，但这是可接受的折衷方法。,9.2 网络安全策略,9.2.6 普遍参与 为了使安全机制更有效，绝大部分安全保护系统要求网络用户的普遍参

6、与。如果某个用户可以轻易地从你的安全保护机制中退出，那么侵袭者很有可能会先侵袭内部人员系统，然后再从内部侵袭你的网络。 9.2.7防御多样化 正如你可以通过使用大量的系统提供纵深防御一样，你也可以通过使用大量不同类型的系统得到额外的安全保护。如果你的系统都相同，那么只要知道怎样侵入一个系统就会知道怎样侵入所有系统。,9.2 网络安全策略,9.2.8简单化 简单化也是一个安全保护战略，这有两个原因：第一，简单的事情易于理解，如果你不了解某事，你就不能真正了解它是否安全；第二，复杂化会提供隐藏的角落和缝隙，一间工作室比一拣大厦更容易保证其安全性。 复杂程序有更多的小毛病，任何小毛病都可能引发安全问

7、题。,9.3防火墙的作用与设计,9.3.1 防火墙的作用 Internet的迅速发展为人们发布和检索信息提供了方便，但它也使污染和破坏信息变得更容易。人们为了保护数据和资源的安全，创建了防火墙。 防火墙从本质上来说是一种保护装置，用来保护网络数据、资源和用户的声誉。 防火墙服务用于多个目的： 限定人们从一个特别的节点进入。 防止入侵者接近你的防御设施。 限定人们从一个特别的节点离开。 有效的阻止破坏者对你的计算机系统进行破坏。,9.3防火墙的作用与设计,从逻辑上讲，防火墙是分离器、限制器和分析器；从物理角度看，各个防火墙的物理实现方式可以有所不同，它通常是一组硬件设备（路由器、主机）和软件的多

8、种组合。 防火墙的优点： (1)防火墙能强化安全策略 (2)防火墙能有效地记录因特网上的活动 (3)防火墙可以实现网段控制 (4)防火墙是一个安全策略的检查站 防火墙的缺点： (1)防火墙不能防范恶意的知情者 (2)防火墙不能防范不通过它的连接,9.3防火墙的作用与设计,(3)防火墙不能防备全部的威胁 (4)防火墙不能防范病毒 防火墙要检测随机数据中的病毒十分困难，它要求： 确认数据包是程序的一部分 确定程序的功能 确定病毒引起的改变 9.3.2防火墙的功能 防火墙通常具有以下几种功能： 数据包过滤 代理服务,9.3防火墙的作用与设计,1数据包过滤 数据包过滤系统在内部网络与外部主机之间发送数

9、据包，但它们发送的数据包是有选择的。它们按照自己的安全策略允许或阻止某些类型的数据包通过，这种控制由路由器来完成，所以数据包过滤系统通常也称之为屏蔽路由器。 普通路由器只是简单地查看每一个数据包的目标地址，然后选择发往目标地址的最佳路径。处理数据包目标地址的方法一般有两种： 如果路由器知道如何将数据包发送到目标地址，则发送。 如果路由器不知道如何将数据包发送到目标地址，则返回数据包，经由ICMP向源地址发送不能到达的消息。,9.3防火墙的作用与设计,屏蔽路由器有以下特点： 屏蔽路由器比普通的路由器担负更大的责任，它不但要执行转发任务，还要执行确定转发的任务。 如果屏蔽路由器的安全保护失败，内部

10、的网络将被暴露。 简单的屏蔽路由器不能修改任务。 屏蔽路由器能允许或拒绝服务，但它不能保护服务之内的单独操作。如果一个服务没有提供安全的操作，或者这个服务由不安全的服务器提供，那么屏蔽路由器就不能保证它的安全。,9.3防火墙的作用与设计,2代理服务 代理服务是运行在防火墙主机上的专门的应用程序（服务器程序）。防火墙主机可以是一个同时拥有内部网络接口和外部网络接口的双重宿主主机，也可以是一些内部网络中唯一可以与因特网通信的堡垒主机。 代理服务程序接受用户对因特网服务的请求，并按照安全策略转发它们的请求。所谓代理就是一个提供替代连接并且充当服务的网关。由于这个原因，代理也称之为应用级网关。 代理服

11、务位于内部用户和外部服务之间，它在幕后处理所有用户和因特网服务之间的通信，以代替它们之间的直接交谈。,9.3防火墙的作用与设计,9.3.3防火墙的体系结构 防火墙的体系结构一般有以下几种 双重宿主主机体系结构 屏蔽主机体系结构 屏蔽子网体系结构 1双重宿主主机体系结构 双重宿主主机体系结构是具有双重宿主功能的主机而构筑的。该计算机至少有两个网络接口，一个是内部网络接口，一个是因特网接口。,9.3防火墙的作用与设计,2屏蔽主机体系结构 双重宿主主机体系结构提供内部网络和外部网络之间的服务（但是路由关闭），屏蔽主机体系结构使用一个单独的路由器来提供内部网络主机之间的服务。在这种体系结构中，主要的安

12、全机制由数据包过滤系统来提供 。 3屏蔽子网体系结构 屏蔽子网体系结构在屏蔽主机体系结构的基础上添加额外的安全层，它通过添加周边网络把内部网络更进一步地与因特网隔离开。 周边网络 堡垒主机 内部路由器 外部路由器,9.3防火墙的作用与设计,4防火墙体系结构的不同形式 使用多堡垒主机 合并内部路由器与外部路由器 合并堡垒主机与外部路由器 合并堡垒主机与内部路由器 使用多台内部路由器 使用多台外部路由器 使用多个周边网络 使用双重宿主主机与屏蔽子网,9.3防火墙的作用与设计,9.3.4内部防火墙 实验室网络 不安全的网络 特别安全的网络 合作共建防火墙 共享周边网络 堡垒主机可有可无,9.3防火墙

13、的作用与设计,9.3.5发展趋势 被称为“第三代防火墙”的系统正在成为现实，它综合了数据包过滤与代理系统的特点与功能。 目前，人们正在设计新的IP协议（也被称为IP version 6）。IP协议的变化将对防火墙的建立与运行产生深刻的影响，大多数网络上的信息流都有可能被泄漏，但新式的网络技术如帧中继、异步传输模式（ATM）可将数据包从源地址直接发送给目的地址，从而防止信息流在传输中途被泄露。,9.4 WWW的安全性,本节讨论有关WWW方面的安全性问题，包括以下几方面的内容： * HTTP协议 * SSL加密和安全HTTP * WWW服务器及配置问题 * JAVA applet 和 JavaSc

14、ript * CGI程序 * Perl语言 * Plug-in * ActiveX * Cookie,9.4 WWW的安全性,9.4.1 Web 与 HTTP 协议 HTTP是应用级的协议，主要用于分布式、协作的超媒体信息系统。HTTP协议是通用的、无状态的，其系统建设与传输的数据无关。HTTP也是面向对象的协议，可用于各种任务，包括（并不局限于）名字服务、分布式对象管理、请求方法的扩展和命令等等。 1Web的访问控制 2HTTP安全考虑 3安全超文本传输协议 4安全套接层 5缓存的安全性,9.4 WWW的安全性,9.4.2 WWW服务器的安全漏洞 1NCSA服务器的安全漏洞 2Apache

15、WWW月务器的安全问题 3NetscaPe的WWW服务器的安全问题 9.4.3 CGI程序的安全性问题 1CGI程序的编写应注意的问题 2CGI脚本的激活方式 3不要依赖于隐藏变量的值 4WWW客户应注意的问题 5使用Perl的感染检查,9.4 WWW的安全性,6CGI的权限问题 7Plug-in的安全性 9.4.5 SSL的加密的安全性 SSL用公共密钥加密，来在客户与服务器之间交换一个进程密钥，这个密钥用来加密HTTP传输过程（包括请求和响应）。每次传输采用不同的密钥，因而即使某些人能够破译某次传输，并不意味着他们发现了服务器的密码，如果他们想要破译下一次，他们就必须付出像第一次那样的时间

16、和努力。,9.4 WWW的安全性,9.4.6 Java与JavaScript 1Java applet的安全性问题 2JavaScript的安全性问题 9.4.7 ActiveX的安全性 ActiveX是Microsoft公司开发的用来在Internet上分发软件的技术。像Java applet一样，Active的控件能结合进Web页中，典型的表现是一个漂亮的可交互的图形。有许多为 Microsoft Internet ExPlorer（目前唯一支持它们的浏览器）而做的是ActiveX控件，包括滚动的字幕、背景声发生器和执行Java applet的ActiveX控件。不像Java那样是独立于平台的编程语言，ActiveX控件是以可执行的二进制码分发的，必须为各种目标机器和操作系统分别编译。,9.4 WWW的安全性,9.4.8 Cookies的安全性 Cookie是Netscape公司开发的一种机制，用来改善HTTP协议的无状态性。通常，每次浏览器从Web服务器请求网页的URL时，这个请求都被认为是一次全新的交互。