四级网络工程师重点课件ppt第10章

《四级网络工程师重点课件ppt第10章》由会员分享，可在线阅读，更多相关《四级网络工程师重点课件ppt第10章（49页珍藏版）》请在金锄头文库上搜索。

1、第10章 网络安全技术 本章要点： 10.1 基本概念 10.2 数据备份 10.3 加密技术 10.4 防火墙 10.5 防病毒 10.6 入侵检测10.1.1 信息安全威胁1窃听信息在传输过程中被直接或是间接地窃听网络 上的特定数据包，通过对其的分析得到所需的重 要信息。数据包仍然能够到到目的结点，其数据 并没有丢失。 2截获信息在传输过程中被非法截获，并且目的结点 并没有收到该信息，即信息在中途丢失了。 10.1 基本概念3伪造没有任何信息从源信息结点发出，但攻击者伪 造出信息并冒充源信息结点发出信息，目的结点 将收到这个伪造信息。 4篡改信息在传输过程中被截获，攻击者修改其截获 的特定

2、数据包，从而破坏了数据的数据的完整性 ，然后再将篡改后的数据包发送到目的结点。在 目的结点的接收者看来，数据似乎是完整没有丢 失的，但其实已经被恶意篡改过。 重点提示：网络安全是指利用各种网络监控 和管理技术，对网络系统的硬、软件和系统中的 数据资源进行保护，从而保证网络系统连续、安 全且可靠的运行。网络中存在的信息安全威胁有 窃听、截获、伪造和篡改。图10-1 信息安全威胁 10.1.2 网络攻击 1服务攻击服务攻击即指对网络中的某些服务器进行攻击 ，使其“拒绝服务”而造成网络无法正常工作。 2非服务攻击利用协议或操作系统实现协议时的漏洞来达到 攻击的目的，它不针对于某具体的应用服务，因 此

3、非服务攻击是一种更有效的攻击手段。 10.1.3 网络安全的基本要素 （1）机密性 （2）完整性 （3）可用性 （4）可鉴别性 （5）不可抵赖性10.1.4 计算机系统安全等级1D类D类的安全级别最低，保护措施最少且没有安 全功能。 2C类C类是自定义保护级，该级的安全特点是系统 的对象可自主定义访问权限。C类分为两个级别 ：C1级与C2级。（1）C1级C1级是自主安全保护级，它能够实现用户与数 据的分离。数据的保护是以用户组为单位的，并 实现对数据进行自主存取控实现制。（2）C2级C2级是受控访问级，该级可以通过登录规程、 审计安全性相关事件来隔离资源。 3B类B类是强制式安全保护类，它的特

4、点在于由系 统强制实现安全保护，因此用户不能分配权限， 只能通过管理员对用户进行权限的分配。（1）B1级B1级是标记安全保护级。该级对系统数据进行 标记，并对标记的主客体实行强制存取控制。（2）B2级B2级是结构化安全保护级。该级建立形式化的 安全策略模型，同时对系统内的所有主体和客体 ，都实现强制访问和自主访问控制。（3）B3级B3级是安全级，它能够实现访问监控器的要求 ，访问监控器是指监控器的主体和客体之间授权 访问关系的部件。该级还支持安全管理员职能、 扩充审计机制、当发生与安全相关的事件时将发 出信号、同时可以提供系统恢复过程。 4A类A类是可验证的保护级。它只有一个等级即A1 级。A

5、1级的功能与B3几乎是相同的，但是A1级 的特点在于它的系统拥有正式的分析和数学方法 ，它可以完全证明一个系统的安全策略和安全规 格的完整性与一致性。同时，A1级还规定了将完 全计算机系统运送到现场安装所遵守的程序。10.1.4 网络安全模型1基本模型在网络信息传输中，为了保证信息传输的安全 性，一般需要一个值得信任的第三方，负责向源 结点和目的结点进行秘密信息分发，同时在双方 发生争执时，也要起到仲裁的作用。在基本的安 全模型中，通信的双方在进行信息传输前，先建 立起一条逻辑通道，并提供安全的机制和服务， 来实现在开放网络环境中信息的安全传输。 （1）从源结点发出的信息，使用如信息加密等加

6、密技术对其进行安全的转，从而实现该信息的保 密性，同时也可以在该信息中附加一些特征的信 息，作为源结点的身份验证。（2）源结点与目的结点应该共享如加密密钥这样 的保密信息，这些信息除了发送双方和可信任 的第三方以外，对其他用户都是保密的。图10-2 网络安全基本模型2P2DR模型（1）安全策略（Policy）安全策略是模型中的防护、检测和响应等部分 实施的依据，一个安全策略体系的建立包括策略 的制定、评估与执行。 （2）防护（Protection）防护技术包括：防火墙、操作系统身份认证、 数据加密、访问控制、授权、虚拟专用网技术和 数据备份等，它对系统可能出现的安全问题采取 预防措施。 （3）

7、检测（Detection）检测功能使用漏洞评估、入侵检测等系统检测 技术，当攻击者穿透防护系统时，发挥功用。（4）响应（Response）响应包括紧急响应和恢复处理，而恢复又包括 系统恢复和信息恢复，响应系统在检测出入侵时 ，开始事件处理的工作。图10-3 P2DR模型 重点提示： 网络安全的基本要素包括：保密 性、完整性、可用性、可鉴别性和不可抵赖性。 美国国防部和国家标准局将计算机系统安全等级 分为A、B、C、D这4类，共有7级。网络基本安 全模型要求通信的双方在进行信息传输前，先建 立起一条逻辑通道，并提供安全的机制和服务并 且有一个可供信任的第三方进行扮演仲裁者和秘 密信息发布者的角色

8、。10.2 数据备份10.2.1 数据备份模型1物理备份物理备份是将磁盘块的数据从拷贝到备份介质 上的备份过程，它忽略了文件和结构，它也被称 为“基于块的备份”和“基于设备的备份”。 2逻辑备份逻辑备份顺序地读取每个文件的物理块，并连续 地将文件写在备份介质上，实现每个文件的恢复 ，因此，逻辑备份也被称为“基于文件的备份”。10.2.2 冷备份与热备分1冷备份冷备份是指“不在线”的备份，当进行冷备份操 作时，将不允许来自用户与应用对数据的更新。 2热备份热备份是指“在线”的备份，即下载备份的数据还 在整个计算机系统和网络中，只不过传到令一个 非工作的分区或是另一个非实时处理的业务系统 中存放。

9、 重点提示：数据备份是为了尽可能快地全盘 恢复运行计算机系统所需的数据和系统信息。数 据备份模型分为：物理备份和逻辑备份。10.2.3 数据备分的设备1磁盘阵列 2磁带机 3磁带库 4光盘塔 5光盘库 6光盘镜像服务器10.2.4 数据备份的策略1完全备份完全备份即是将用户指定的数据甚至是整个系 统的数据进行完全的备份。 2增量备份增量备份是针对完全备份，在进行增量备份， 只有那些在上次完全或者增量备份后被修改了的 文件才会被备份。 3差异备份差异备份是将最近一次完全备份后产生的所有 数据更新进行备份。差异备份将完全恢复时所涉 及到的备份文件数量限制为2 个。 表10-1 三种备份策略的比较

10、空间使用备份速度恢复速度完全备份最多最慢最快增量备份最少最快最慢 差异备份少于完全备份快于完全备份快于增量备份重点提示：数据备份的策略是用来解决何时 备份、备份何种数据以及用何种方式恢复故障的 问题。它可以分为：完全备份、增量备份和差异 备份。其中完全备份使用的空间最多，备份速度 最慢，恢复程度最快；增量备份使用空间最小， 备份速度最快，恢复速率最慢；差异备份摒除了 前两种备份方式的缺点，吸收了它们的优点。10.3 加密技术10.3.1 加密与解密 1基本流程A发送消息“Password is welcome”这样的报文 给B，但不希望有第三个人知道这个报文的内容 ，因此他使用一定的加密算法，

11、将该报文转换为 别人无法识别的密文，这个密文即使在传输的过 程中被截获，一般人也无法解密。当B收到该密 文后，使用共同协商的解密算法与密钥，则将该 密文转化为原来的报文内容。图10-4 加密与解密的流程密钥位数尝试个数密钥位数尝试个数 40112 56128 64表10-2 密钥位数与尝试密钥的个数2密钥加密与解密的操作过程都是在一组密钥的控下 进行的，这个密钥可以作为加密算法中可变参数 ，它的改变可以改变明文与密文之间的数学函数 关系。 10.3.2 对称密钥技术1工作原理对称密钥技术即是指加密技术的加密密钥与解 密密钥是相同的，或者是有些不同，但同其中一 个可以很容易地推导出另一个。 图1

12、0-5 对称密钥技术 2常用对称密钥技术常用的对称密钥算法有DES算法与IDES算法。（1）DES算法DES算法是一种迭代的分组密码，它的输入与 输出都是64，包括一个56位的密钥和附加的8位 奇偶校验位。 （2）IDEA算法IDEA算法的明文与密文都是64位的，密钥的长 度为128位，它是比DEA算法更有效的算法。10.3.3 非对称密钥技术1工作原理不可能从任何一个密钥推导出另一个密钥。同 时加密密钥为公钥是可以公开的，而解密密钥为 私钥是保密的。在此，非对称密钥技术也被称为 公钥加密加技术。 图10-6 非对称密钥技术2常用非对称密钥技术常用的非对称密钥算法包括RSA算法、DSA算 法、

13、PKCS算法与PGP算法。其中最常见的技术 即为RSA算法，它的理论基础是数论中大素数分 解，它的保密性随着密钥的长度的增加而增强。 但是，现在使用这种算法来加密大量的数据，其 实现的速度太慢了，因此该算法现在广泛应用于 密钥的分发。重点提示：加密的基本思想即是将明文转变 为密文，而解密则是将密文转变为明文，这样保 证了信息传输的保密性。密钥是加重密算法中的 可变参数，密钥的位数长度决定了加密算法的安 全性。传统的密码体制包括对称密码体制和非对 称密码体制。10.4 防火墙10.4.1 防火墙的基本概念（1）所有的从外部到内部的通信都必须经过它。（2）只有有内部访问策略授权的通信才能被允许 通

14、过。（3）系统本身具有很强的高可靠性。 图10-7 防火墙的安装位置10.4.2 防火墙的基本类型1包过滤路由器图10-8 包过滤路由器的工作原理2应用网关图10-9 应用网关的工作原理3应用代理图10-10 应用代理的工作原理4状态检测状态检测能通过状态检测技术，动态地维护各 个连接的协议状态。 重点提示：防火墙在网络之间通过执行控制 策略来保护网络系统，防火墙包括硬件和软件两 部分。防火墙根据其实现技术可以分为：包过滤 路由器、应用网关、应用代理和状态检测4类。10.4.3 防火墙的结构 1包过滤型结构包过滤型结构是通过专用的包过滤路由器或是 安装了包过滤功能的普通路器来实现的。包过滤 型

15、结构对进出内部网络的所有信息进行分析，按 照一定的安全策略对这些信息进行分析与限制。 2双宿网关结构连接了两个网络的多宿主机称为双宿主机。多 宿主机是具有多个网络接口卡的主机，每个接口 都可以和一个网络连接，因为它能在不同的网络 之间进行数据交换换，因此也称为网关。双宿网 关结构即是一台装有两块网卡的主机作为防火墙 ，将外部网络与同部网络实现物理上的隔开。图10-11 双宿网关结构3屏蔽主机结构屏蔽主机结构将所有的外部主机强制与一个堡 垒主机相连，从而不允许它们直接与内部网络的 主机相连，因此屏撇主机结构是由包过滤路由器 和堡垒主机组成的。 4屏蔽子网结构屏蔽子网结构使用了两个屏蔽路由器和两个

16、堡 垒主机。在该系统中，从外部包过滤由器开始的 部分是由网络系统所属的单位组建的，属于内部 网络，也称为“DMZ网络”。外部包过滤路由器与 外部堡垒主机构成了防火墙的过滤子网；内部包 过滤路由器和内部堡垒主机则用于对内部网络进 行进一步的保护。 图10-12 包过滤路由器的数据包转发过程 图10-13 屏蔽子网结构示意图10.4.4 防火墙的安装与配置1防火墙的网络接口（1）内网内网一般包括企业的内部网络或是内部网络的 一部分。（2）外网外网指的是非企业内部的网络或是Internet，内 网与外网之间进行通信，要通过防火墙来实现访 问限制。（3）DMZ （非军事化区）DMZ是一个隔离的网络，可以在这个网络中放 置Web服务器或是E-mail服务器等，外网的用户 可以访问DMZ。2防火墙的安装与初始配置 给防火墙加电令它启动。 将防火墙的Console口连接到计算机的串口上，