《网络安全整体设计方案》由会员分享，可在线阅读，更多相关《网络安全整体设计方案（73页珍藏版）》请在金锄头文库上搜索。
1、,网络安全整体设计方案,技术创新，变革未来,网络安全建设原则 网络安全体系结构 P2DR模型 网络安全技术 不同行业中应用的安全技术,主要内容,网络安全的建设原则,需求、风险、代价平衡的原则 综合性、整体性原则 一致性原则 易操作性原则 适应性、灵活性原则 多重保护原则 可评价性原则,安全体系结构,P2DR模型的组成部分,Protection（保护）,Detection（检测）,Response（响应）,Policy（安全策略）,P2DR模型的应用,MPDRR模型,网络系统现状,潜在的安全风险,安全需求与目标,安全体系,安全解决方案,分析后得出,提出,依照风险制定出,进行,安全集成 / 应用开
2、发,安全服务,安全方案设计,建立相应的,安全风险分析,物理层安全风险分析 网络层安全风险分析 应用层安全风险分析 管理安全风险分析,物理层安全风险,网络的物理安全风险主要指网络周边环境和物理特性引起的网络设备和线路的不可用,而造成网络系统的不可用。它是整个网络系统安全的前提。如： 设备被盗、被毁坏 链路老化或被有意或者无意的破坏 因电子辐射造成信息泄露 设备意外故障、停电 地震、火灾、水灾等自然灾害,网络层安全风险分析,数据传输安全 网络边界安全 网络设备安全,数据传输安全,由于在同级局域网和上下级网络数据传输线路之间存在被窃听的威胁，同时局域网络内部也存在着内部攻击行为，其中包括登录通行字和
3、一些敏感信息，可能被侵袭者搭线窃取和篡改，造成泄密。 由于目前尚无安全的数据库及个人终端安全保护措施，还不能抵御来自网络上的各种对数据库及个人终端的攻击。同时一旦不法分子针对网上传输数据作出伪造、删除、窃取、窜改等攻击，都将造成十分严重的影响和损失。,网络边界安全,严格的说网络上的任何一个节点，其它所有网络节点都是不可信任域，都可能对该系统造成一定的安全威胁。,网络设备的安全,网络设备可能存在系统漏洞 网络设备可能存错误的配置,网络设备的安全风险,以CISCO为例说明： 对于网络设备本身访问认证的攻击 对于网络设备运行的专有操作系统攻击 对于网络设备的拒绝服务攻击 不必要的IOS服务或潜在的安
4、全问题 Multiple Vendor SNMP World Writeable Community Vulnerability:对于已知的缺省SNMP社区，任何用户都可以进行写入或读取操作。 Cisco IOS HTTP % Vulnerability:当正在利用Web接口时，如果在普通的URL上加上特定的字符串时，将陷入DoS状态。 Cisco Router Online Help Vulnerability:在线帮助中显示不应泄漏的信息。,系统层安全风险分析,操作系统安全漏洞 数据库系统安全漏洞,操作系统(如Windows 2000 server/professional，Windows
5、 NT/Workstation，Windows ME，Windows 95/98、UNIX)、服务器(如DOMINO)、数据库(如SYBASE)等产品可能会因为设计、编码的原因存在各种各样的安全漏洞(有已知的、未知的)，还可能留有隐蔽通道或后门。 操作系统(如NT、UNIX)、服务器(如DOMINO)、数据库(如SQL、SYBASE、ORACLE)等商用产品本身安全级别较低。,操作人员对系统功能、系统服务、数据库管理系统和Web服务器等的误操作或者配置，不可避免会给信息网系统带来一定的安全风险。 网络管理人员和用户的终端极易感染病毒（如外来文件的拷贝，盗版软件，从外部站点下载的文件或应用软件的
6、非法安装等），而一旦感染病毒，就有可能造成整个系统感染病毒。 电子邮件系统的邮件收发，极易感染恶意病毒程序。病毒可肆意进行删除、篡改和拷贝操作，从而导致巨大的危害。,应用层安全风险,身份认证漏洞 DNS服务威胁 WWW服务漏洞 电子邮件系统漏洞,身份认证漏洞,网络服务系统登录和主机登录使用的是静态口令，口令在一定时间内是不变的，且在数据库中有存储记录，可重复使用。这样非法用户通过网络窃听，非法数据库访问，穷举攻击，重放攻击等手段很容易得到这种静态口令，然后，利用口令，可对业务系统和OA系统中的资源非法访问和越权操作。,DNS服务威胁,Internet域名服务为Internet/Intranet
7、应用提供了极大的灵活性。几乎所有的网络应用均利用域名服务。但是，域名服务通常为hacker提供了入侵网络的有用信息，如服务器的IP、操作系统信息、推导出可能的网络结构等。 例如，新发现的针对BIND-DNS实现的安全漏洞也开始发现，而绝大多数的域名系统均存在类似的问题。如由于DNS查询使用无连接的UDP协议，利用可预测的查询ID可欺骗域名服务器给出错误的主机名-IP对应关系。,WWW服务漏洞,Web Server经常成为Internet用户访问企业内部资源的通道之一，如Web server通过中间件访问主机系统，通过数据库连接部件访问数据库，利用CGI访问本地文件系统或网络系统中其它资源。但W
8、eb服务器越来越复杂，其被发现的安全漏洞越来越多。为了防止Web服务器成为攻击的牺牲品或成为进入内部网络的跳板，我们需要给予更多的关心。,电子邮件系统漏洞,电子邮件为网络系统用户提供电子邮件应用。内部网用户可够通过拔号或其它方式进行电子邮件发送和接收这就存在被黑客跟踪或收到一些恶意程序（如，特洛伊木马、蠕虫等）、病毒程序等，由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，给入侵者提供机会，给系统带来不安全因至素。,安全管理,再安全的网络设备也离不开人的管理，再好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环，尤其是对于一个比较庞大和复杂的网络，更是如此。因此
9、我们有必要认真的分析管理所带来的安全风险，并采取相应的安全措施。,OSI七层参考模型,物理层安全技术,网络层安全技术,应用层安全技术,系统层安全技术,安全管理,物理层安全技术,物理隔离技术,双机双网 双硬盘隔离卡 单硬盘隔离卡 安全网闸,网络层安全技术,防火墙分类,Application,Presentation,Session,Transport,Network,Data Link,Physical,Application Layer Gateway (Proxy) Application Level Packet Filtering Network Level Stateful Inspe
10、ction Before Network Level,Packet Filtering（包过滤防火墙的优点）,Pros Inexpensive Application Transparency Quicker than application layer gateways,Application,Presentation,Session,Transport,Network,Data Link,Physical,Packet Filtering（包过滤防火墙的缺点）,Cons Low Security Limited access to packet header Limited screeni
11、ng above network layer Limited ability to manipulate information Difficult to configure Inadequate logging Subject to IP Spoofing,Application,Presentation,Session,Transport,Network,Data Link,Physical,Application Layer Gateway的优点,Pros Good Security Full application-layer awareness,Application,Present
12、ation,Session,Transport,Network,Data Link,Physical,Application Layer Gateway的缺点,Cons State information partial. Poor Scalability Detrimental Performance Proxies cannot provide for UDP Most proxies non-transparent Vulnerable to OS Overlooks lower level info Expensive performance cost,Application,Pres
13、entation,Session,Transport,Network,Data Link,Physical,Stateful Inspection的特点,Good Security Full Application-layer awareness High Performance Scalability Extensible Transparency,Application,Presentation,Session,Transport,Network,Data Link,Physical,防火墙功能,访问控制功能 NAT功能 PAT功能 流量管理功能 地址绑定 双机热备和负载均衡 支持入侵检测
14、 支持动态路由 支持身份认证等等,动态防火墙安全模型,Policy网络访问控制策略的制订 Protection传统防火墙，可以定义防火墙允许流过的服务数据，定义基本的访问控制限制 Detection 实时入侵检测系统，可以动态地发现那些透过防火墙的入侵行为 Response根据发现的安全问题，在统一策略的指导下，动态地调整防火墙,动态防火墙安全模型示例,Host C,入侵检测 控制台,Host B,Host A,受保护网络,IDS主机,黑客,发起攻击,验证报文并采取措施,识别出攻击行为,阻断连接或者报警等,Protection,Detection,Response,Policy,Interne
15、t,Internet,返回,Intranet,省局,各地市局,各电厂,移动办公用户,防火墙配置方案,入侵检测技术 Intrusion Detection System,入侵的定义 破坏系统资源可用性、完整性和保密性的行为 入侵检测系统的定义 检测侵入系统或非法使用系统资源行为的系统 机理：基于某种策略或规则 推理的方法 知识库方法 模式匹配方法 自学习的方法 响应机制：日志、报警、通讯阻断、事后审计,IDS 的 分 类,按数据源： 基于主机IDS：数据源来自单个主机-文件系统、帐户系统、进程分析 分布式IDS：多主机系统 基于网络IDS：网络数据-数据包分析和嗅探器技术 按数据处理方式： 单包
16、分析 与 上下文分析 按模型： 异常（anomaly)检测模型-偏离正常的行为检测 违规 (misuse)检测模型-具有入侵特征或利用系统漏洞的行为检测,IDS 具备的攻击检测能力,按服务划分 监视E-Mail攻击 监视Web攻击 监视远程过程攻击 监视NFS攻击 监视FTP攻击 监视Telnet攻击 监视非授权网络传输 按技术途径划分 监视口令攻击 监视扫描攻击 监视特洛伊攻击 监视拒绝服务攻击 监视防火墙攻击 监视daemon攻击 监视非授权网络访问,网络入侵检测示意图,VPN概述,什么是VPN VPN，英文全称是virtual Private Network，中文名称一般称为虚拟专用网或虚拟私有网。它指的是以公用开放的网络(如Internet)作为基本传输媒体，通过加密和验证网络流量
