计算机三级网络技术7-网络管理与网络安全

《计算机三级网络技术7-网络管理与网络安全》由会员分享，可在线阅读，更多相关《计算机三级网络技术7-网络管理与网络安全（87页珍藏版）》请在金锄头文库上搜索。

1、第7章,网络管理与网络安全,7.1 网络管理,3,7.1.1 网络管理的基本概念,1网络管理的定义 网络管理是指对网络运行状态进行监测和控制，使其能够有效、可靠、安全、经济地提供服务。 任务就是通过监测可以了解网络状态是否正常，是否存在瓶颈和潜在危机；通过控制可以对网络状态进行合理调节，从而提高效率，保证服务。,4,7.1.1 网络管理的基本概念（续）,2网络管理对象 硬件资源 包括物理介质（如网卡、双绞线）、计算机设备（如打印机、存储设备等）和网络互联设备（如网桥、路由器等） 软件资源 主要包括操作系统、应用软件和通信软件等。 3网络管理的目标 满足运营者及用户对网络的有效性、可靠性、开放性

2、、综合性、安全性和经济性的要求。,5,7.1.2 网络管理的功能,包括5大功能域： 配置管理 故障管理 性能管理 计费管理 安全管理,6,1配置管理,功能：用于辨别、定义、控制和监视通信网络对象 负责网络的建设、业务的展开及配置数据的维护 目的：实现某个特定功能或是使网络性能达到最优 包括资源清单管理、资源开通以及业务开通,7,2故障管理,任务是发现和排除故障 主要功能包括 维护并监测错误日志 接收错误监测报告并作出响应 跟踪辨认错误 执行诊断测试和纠正错误 内容包括 障碍管理 故障恢复 预防保障,8,3性能管理,包括性能监测、性能分析以及性能管理控制等功能 目的是维护网络服务质量和网络运行效

3、率。 性能管理的一些典型功能包括： 收集统计信息 维护并检查系统状态日志 确定自然和人工状态下系统的性能 改变系统的操作模式,9,4计费管理,主要目的： 记录网络资源的使用，控制和监测网络操作的费用和代价。 主要作用： 能够测量和报告基于个人或团体用户的计费信息，分配资源并计算传输数据的费用，然后给用户开出账单 主要功能 计算网络建设及运营成本 统计网络及其所包含的资源利用率 联机收集计费数据 计算用户应支付的网络服务费用和帐单管理,10,5安全管理,目标： 提供信息的隐隐蔽、认证和完整性保护机制，使网络中的服务、数据以及系统免受侵扰和破坏 主要内容： 对授权机制、访问控制、加密和解密关键字的

4、管理 主要功能： 风险分析功能 安全服务功能 告警功能 日志功能和报告功能 网络管理系统保护功能,11,7.1.3 网络管理模型,网络管理的基本模型 网络管理者：运行在计算机操作系统之上的一组应用程序，负责从各代理处收集管理信息，进行处理，获取有价值的管理信息，达到管理的目的。 代理：位于被管理的设备内部，是被管对象上的管理程序。 管理者和代理之间的信息交换方式： 从管理者到代理的管理操作 从代理到管理者的事件通知,12,网络管理模式,集中式管理 是所有的网管代理在管理站的监视和控制下协同工作而实现集成的网络管理。 在该模式中，至少有一个结点担当管理站的角色，其他结点在网管代理模块的控制下与管

5、理站通信。 分布式管理两种模式 将数据采集、监视以及管理分散开来，它可以从网络上的所有数据源采集数据而不必考虑网络拓扑结构。,13,7.1.4 网络管理协议,网络管理协议的发展 国际标准化组织ISO:CMIS和CMIP Internet工程任务组IETF:SNMP协议（简单网络管理协议），也称SNMP V1。 近年来SNMP已经超越了传统的TCP/IP环境，成为网络管理方面事实上的标准。 在1992年IETF开始了SNMP V2的开发工作，提高了协议的安全性。 1997年，IETF成立了SNMP V3工作组，其重点是安全、可管理的体系结构和远程配置。,14,SNMP协议(续),SNMP是最常用

6、的计算机网络管理协议，可用于管理目前市场上大多数的组网设备。SNMP位于ISO OSI参考模型的应用层，它遵循ISO的管理者-代理网络管理模型。 SNMP的体系结构主要由SNMP管理者、SNMP代理者两个部分组成。每一个支持SNMP的网络设备中都包含一个代理，代理随时记录网络设备的各种信息；网络管理程序再通过SNMP通信协议收集代理所记录的信息。从被管理设备中收集数据有轮询和基于中断两种方法。,15,SNMP协议(续),轮询方法的基本过程是：代理软件不断收集统计数据，并把这些数据记录到一个管理信息库（MIB）中；网络管理员通过向代理的MIB发出查询信号可以得到这些信息。这种方法的缺点在于信息的

7、实时性，尤其是处理错误的实时性，管理员必须不断地轮询SNMP代理，以全面地查看一天的通信流量和变化率。 当有异常事件发生时，相对于轮询方法，基于中断的方法可以立即通知管理工作站，实时性很强。这种方式的缺点是自陷必须转发大量信息，要消耗管理设备更多资源和时间。 将以上两种方法结合的陷入制导轮询法可能是执行网络管理的最有效的方法。,16,CMIP协议,采用了报告机制 具有即时性的特点 所有功能要通过应用层的相关协议来实现 建立了安全管理机制 提供授权、访问机制、安全日志等功能 CMIP协议比较复杂，实施起来花费较高,7.2 信息安全技术概述,18,7.2.1 信息安全的概念,指信息网络的硬件、软件

8、以及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续、可靠、正常地运行，信息服务不中断 要实现的目标。 真实性 保密性 完整性 可用性 不可抵赖性 可控制性 可审查性,19,7.2.2 信息安全策略,信息安全策略是指为保证提供一定级别的安全保护所必须遵守的规则。 信息安全的实现要靠先进的技术、严格的安全管理、法律约束与安全教育。,20,7.2.3 信息技术的安全性等级,网络安全性标准（DoD5200.28_STD），即可信任计算机标准评估准则。该标准将网络安全性等级划分为A、B、C、D共四类，其中A类安全等级最高，D类安全等级最低。这4类安全等级还可以细化为7个

9、级别，这些级别的安全性从低到高的顺序是D1、C1、C2、B1、B2、B3和A1。,21,7.2.3 信息技术的安全性等级（续）,在我国，以计算机信息系统安全保护等级划分原则（GB17859-1999）为指导，将信息和信息系统的安全保护分为5个等级。 自主保护级 指导保护级 监督保护级 强制保护级 专控保护级,7.3 网络安全问题与安全策略,23,7.3.1 网络安全的基本概念,保护网络程序、数据或设备，使其免受非授权使用或访问 保护内容包括：保护信息和资源、保护客户机和用户、保证私有性。 目标是确保网络系统的信息安全，主要包括信息的存储安全和信息的传输安全 信息的存储安全一般通过设置访问权限、

10、身份识别、局部隔离等措施来保证。 信息的传输安全主要是指信息在动态传输过程中的安全，主要涉及到对网络上信息的监听、对用户身份的假冒、对网上信息的篡改、对信息进行重放等问题。 网络安全措施 社会的法律政策、企业的规章制度以及网络安全教育。 技术方面的措施。 审计与管理措施。,24,7.3.2 OSI安全框架,OSI安全框架是由国际电信联盟推荐的X.800方案，它主要关注3部分： 安全攻击 在X.800中将安全攻击分为被动攻击和主动攻击两类 从网络高层的角度划分，攻击方法可以分为服务攻击和非服务攻击两大类。 安全机制 X.800将安全机制分为特定安全机制和普遍的安全机制两大类。 安全服务 X.80

11、0将安全服务定义为通信开放系统协议层提供的服务，从而保证系统或数据传输有足够的安全性。,25,被动攻击和主动攻击,被动攻击 对信息的保密性进行攻击，即通过窃听网络上传输的信息并加以分析从而获得有价值的情报，但它并不修改信息的内容 目标是获得正在传送的信息，其特点是偷听或监视信息的传递 被动攻击主要手段： 信息内容泄露：信息在通信过程中因被监视窃听而泄露，或者信息从电子或机电设备所发出的无线电磁波中被提取出来而泄露。 通信量分析：通过确定通信位置和通信主机的身份，观察交换消息的频度和长度，并利用这些信息来猜测正在进行的通信特性。,26,被动攻击和主动攻击,主动攻击 攻击信息来源的真实性、信息传输

12、的完整性和系统服务的可用性 有意对信息进行修改、插入和删除 主动攻击主要手段： 假冒：一个实体假装成另一个实体。假冒攻击通常包括一种其他形式的主动攻击。 重放：涉及被动捕获数据单元及其后来的重新传送，以产生未经授权的效果。 修改消息：改变了真实消息的部分内容，或将消息延迟或重新排序，导致未授权的操作。 拒绝服务：禁止通信实体的正常使用或管理。,27,服务攻击和非服务攻击,服务攻击 针对某种特定网络服务的攻击 例如：针对E-mail服务、Telnet、FTP、HTTP等服务的专门攻击 原因：TCP/IP协议缺乏认证、保密措施。 非服务攻击 不针对某项具体应用服务，而是基于网络层等低层协议而进行

13、原因：TCP/IP协议（尤其是IPv4）自身的安全机制不足,28,7.3.3 网络安全模型,网络安全模型1,网络安全模型2,7.4 加密技术,30,7.4.1 密码学基本术语,明文：原始的消息。 密文：加密后的消息。 加密：从明文到密文的变换过程。 解密：从密文到明文的变换过程。 密码编辑学：研究各种加密方案的学科。 密码分析学：研究破译密码获得消息的学科。 密码学：密码编码学和密码分析学统称为密码学。,31,密码编码学,密码编码学系统具有以下3个独立特征 转换明文为密文的运算类型 所有的加密算法都基于代换和置换两个原理。 所用的密钥数 如果发送法和接收方使用相同的密钥，这种密码就称为对称密码

14、、单密钥密码或传统密码；如果收发双方使用不同的密钥，这种密码就称为非对称密码、双钥密码或公钥密码。 处理明文的方法 加密算法可以分为分组密码和流密码。分组密码每次处理一个输入分组，相应地输出一个输出分组；而流密码则是连续地处理输入元素，每次输出一个元素。,32,密码分析学,密码分析学 依赖于算法的性质和明文的一般特征或某些明密文对 穷举攻击 需要对一条密文尝试所有可能的密钥，直到把它转化为可读的有意义的明文。 基于密码分析者知道的信息类型，密码攻击的类型主要有：惟密文攻击、已知明文攻击、选择明文攻击、选择密文攻击、和选择文本攻击。,33,加密算法的安全性,若一个加密算法能满足以下两个条件之一就

15、认为该算法是在计算上是安全的： 一是破译的代价超出加密信息本身的价值 二是破译的时间超出了信息的有效期,34,代换与置换技术,代换法是将明文字母替换成其他字符、数字或符号的方法。典型的算法包括Caesar密码、单表代换密码、playfair密码、Hill密码、多表代换密码以及一次一密等。 置换密码的加密方法是通过置换而形成新的排列。如栅栏技术，按照对角线的顺序写入明文，而按行的顺序读出作为密文。,35,7.4.2 对称加密技术,对称加密的模型 对称加密模型由5个组成部分：明文、加密算法、密钥、密文和解密算法。,36,数据加密标准,数据加密标准DES DES数据加密标准 DES是一种分组密码 在

16、加密前，先对整个明文进行分组。每一个组长为64位。然后对每个64位二进制数据进行加密处理，产生一组64位密文数据 使用的密钥为64位，实际密钥长度为56位，有8位用于奇偶校验。,37,DES加密的过程为： 64位的明文经过初始置换而被重新排列。 进行16轮的相同函数的作用，每轮的作用中都有置换和代换，最后一轮迭代的输出有64位，将其左半部分和右半部分互换产生预输出， 预输出再被与初始置换互逆的逆初始置换作用产生64位的密文。,38,其他常用的对称加密算法,目前经常使用的对称加密算法还有：三重DES、高级加密标准（AES）、Blowfish算法和RC5算法。 三重DES：使用多个密钥对DES进行

17、三次加密，克服了DES不能抵御穷举攻击的弱点，但该算法用软件实现起来速度比较慢。 高级加密标准（AES）：2001年NIST将Rijndael作为AES算法，它的密钥长度为128、192或256位，分组长度为128位。AES性能不低于3DES，同时具有良好的执行性能。,39,Blowfish算法 该算法由Bruce Schneier设计的，是一个可变密钥长度的分组密码算法，分组长度为64位。算法由密钥扩展和数据加密两部分组成，密钥扩展把长度可达448位的密钥转变成总共4168字节的几个子密钥；数据加密由一个简单函数迭代16轮，每一轮由密钥相关的置换、密钥相关和数据相关的代换组成。 RC5 RC5的分组长度和密钥长度都是可变的 可以在速度和安全性之间进行折中,