《网络工程与设计 教学课件 ppt 作者 毛雪涛 第7章 网络安全技术》由会员分享，可在线阅读，更多相关《网络工程与设计 教学课件 ppt 作者 毛雪涛 第7章 网络安全技术（42页珍藏版）》请在金锄头文库上搜索。
1、第7章 网络安全技术,网络安全是指对网络系统的硬件、软件及其中的数据实施保护，使网络信息不因偶然或恶意攻击而遭到破坏、更改或泄露，并且保证网络系统连续、可靠、正常地运行，保证网络服务不中断。,7.1 网络安全概述,网络安全的主体是保护网络上的数据和通信的安全。 数据安全是指利用程序和工具阻止对数据进行非授权的泄露、转移、修改和破坏。 通信安全是在通信过程中采用保密安全性及传输安全性的措施，并按照要求对具备通信安全性的信息采取物理安全性的措施。,网络面临的安全威胁,要进行网络安全策略的制定和网络安全措施的建立和实施，必须首先知道哪些因素可能对网络安全造成威胁。常见的对网络安全造成影响的威胁主要有
2、下面几点:,人员管理因素 灾难因素 逻辑问题(软件错误) 硬件故障 网络故障,直接威胁 线缆链接 身份鉴别 恶意编程 系统漏洞,网络面临的安全威胁,计算机网络安全的层次,一般认为，网络安全主要分为三个层次： 物理安全 物理安全是指在物理介质层次上对存储和传输的网络信息的安全保护，即保护计算机网络设备和其他的媒体免遭破坏。 安全控制 安全控制是指在网络信息系统中对信息存储和传输的操作进程进行控制和管理，重点在网络信息处理层次上对信息进行初步的安全保护。 安全服务 安全服务是指在应用程序层对网络信息的完整性、保密性和信源的真实性进行保护和鉴别，以满足用户的安全需求，防止和抵御各种安全威胁和攻击手段
3、。,计算机网络安全的策略,安全策略主要有3个层面： 法律层面 在网络上现在的许多行为都无法可依，必须建立与网络安全相关的法律、法规 技术层面 这是网络安全与保密的根本保证 管理层面 网络的安全管理策略包括：确定安全管理等级和安全管理范围；制订有关网络操作使用规程和人员出入机房管理制度；制定网络系统的维护制度和应急措施等,计算机网络及信息安全的目标,网络安全具有3方面内容： 保密性： 指网络能够阻止未经授权的用户读取保密信息。 完整性：包括资料的完整性和软件的完整性。 资料的完整性指在未经许可的情况下确保资料不被删除或修改。 软件的完整性是确保软件程序不会被错误、被怀有而已的用户或病毒修改。 可
4、用性： 指网络在遭受攻击时可以确保合法拥护对系统的授权访问正常进行。,计算机网络及信息安全的目标,根据上述三个方面，网络安全的目标是实现： 身份真实性，对通信实体身份的真实性进行识别； 信息机密性，保证机密信息不会泄露给非授权的人或实体； 信息完整性 ，保证数据的一致性，防止非授权用户或实体对行任何破坏； 服务可用性，防止合法拥护对信息和资源的使用被不当的拒绝； 不可否认性，建立有效的责任机智，防止实体否认其行为； 系统可控性，能够控制使用资源的人或实体的使用方式； 系统易用性，在满足安全要求的条件下，系统应该操作简单、维护方便； 可审查性，对出现问题的网络安全问题提供调查的依据和手段。,计算
5、机网络及信息安全的目标,依据处理的信息的等级和采取相应对策来划分安全等级为4类7级：,7.2 常见的网络攻击方法,网络攻击表现出如下的发展趋势： 首先，自动化程度和攻击速度提高。 其次，攻击工具越来越复杂。 再次，发现安全漏洞越来越快。 最后，越来越高的防火墙渗透率及越来越不对称的攻击技术对基础设施将形成越来越大的威胁。,网络攻击的方式主要分为四类。 第一类是服务拒绝攻击，包括死亡之 ping 、 SYN 洪水、Smurf 攻击、电子邮件炸弹、畸形消息攻击 等。 第二类是利用型攻击，包括口令猜测、特洛伊木马、缓冲区溢出。 第三类是信息收集型攻击，包括地址扫描、端口扫描、体系结构探测、 Fing
6、er 服务等。 第四类是假消息攻击，主要包括：DNS 高速缓存污染、伪造电子邮件等。,计算机病毒,病毒，是指一段可执行的程序代码，通过对其它程序进行修改，可以“感染”这些程序，使它们成为含有该病毒程序的一个拷贝。,拒绝服务攻击（Denial of Service）,拒绝服务攻击（ DoS ）是指一个用户占据了大量的共享资源，使系统没剩余的资源给其他用户再提供服务的一种攻击方式。拒绝服务的类型有以下两种： 使用 IP 欺骗，迫使服务器把合法用户的链接复位，影响合法用户的链接 过载一些系统服务或者消耗一些资源，但这种情况有时候是攻击者攻击造成的，也有时候是因为系统错误造成的,拒绝服务攻击（Deni
7、al of Service）,拒绝服务攻击的方式有以下几种：,SYN FLOOD 利用服务器的链接缓冲区（ Backlog Queue ），使用特殊的程序设置 TCP 的 Header ，向服务器端不断地成倍发送只有 SYN 标志的 TCP 链接请求。 带宽 DoS 攻击 自身消耗的 DoS 攻击,日志 DoS 其它攻击方式 分布式拒绝服务攻击 利用多台己经被攻击者所控制的机器对某一台单机发起攻击，在这样的带宽相比之下被攻击的主机很容易失去反应能力。,p164,端口扫描,一个端口就是一个潜在的通信通道，也就是一个入侵通道。 扫描并不是一个直接的攻击网络漏洞的程序，它仅仅能帮助用户发现目标机的某
8、些内在的弱点。一个好的扫描器能对它得到的数据进行分析，帮助查找目标主机的漏洞。 扫描大致可分为端口扫描、系统信息扫描、漏洞扫描几种。,特洛伊木马,木马的攻击手段，就是将一些“后门”、“特殊通道”程序隐藏在某个软件里，使使用该软件的人无意识地中圈套，致使计算机成为被攻击、被控制的对象。 现在这种木马程序越来越并入“病毒”的概念，大部分杀毒软件具有检查和清除“木马”的功能。 由于木马是客户端/服务器程序，所以黑客一般是利用别的途径如函件、共享将木马安放到被攻击的计算机中。 典型的木马程序有 BO ， NetXray ，冰河、流光等,网络监听攻击,由于局域网中采用广播方式，因此，在某个广播域中可以监
9、听到所有的信息包。而黑客通过对信息包进行分析，就能获取局域网上传输的一些重要信息。 网络监听是很难被发现的。运行监听程序的主机在监听的过程中，只是被动地接收在以太网中传输的信息，它不会跟其他的主机交换信息，也不能修改在网络中传输的信息包。这就说明了网络监听的检测是比较麻烦的事情。,缓冲区溢出攻击,缓冲区溢出的原理 攻击者向一个有限空间的缓冲区中写入超长的字符串。这时可能会出现两个结果：一是过长的字符串覆盖了相邻的存储单元，引起程序运行失败，严重的可导致系统崩溃；另有一个结果就是利用这种漏洞可以执行任意指令，甚至可以取得系统特级权限。,缓冲区溢出攻击,缓冲区溢出漏洞攻击方式 在程序的地址空间里安
10、排代码。 向要攻击的程序里输入一个特定的字符串，程序就会把这个字符串放到缓冲区里，这个字符串包含的数据是可以在这个所攻击的目标的硬件平台上运行的指令序列。 将控制程序转移到攻击代码。 植入综合代码和流程控制。,电子邮件攻击,有两种形式： 一是通常所说的邮件炸弹，指的是用伪造的 IP 地址和电子邮件地址向同一信箱发送数以千计、万计甚至无穷多次的垃圾邮件，致使受害人邮箱被“炸”，严重者可能会给电子邮件服务器操作系统带来危险，甚至瘫痪 二是电子邮件欺骗，攻击者佯称自己为系统管理员（邮件地址和系统管理员完全相同），给用户发送邮件要求用户修改口令（口令可能为指定字符串）或在貌似正常的附件中加载病毒或其他
11、木马程序,口令攻击,口令攻击是黑客最喜欢采用的入侵网络的方法。 口令攻击一般有三种方法： 通过网络监听非法得到用户口令 在知道用户的账号后（如电子邮件前面的部分）利用一些专门软件强行破解用户口令 在获得一个服务器上的用户口令文件（此文件成为 Shadow 文件）后，用暴力破解程序破解用户口令,口令攻击,字典攻击 强行破解口令的方法是采用逐个试口令直到成功为止。黑客根据统计规律制作口令“字典”，根据字典，用专门的破解软件对系统的用户名和口令进行猜测性的攻击，一般的弱口令（长度太短或有一定规律）可以很快地被破解。,网页攻击,网页攻击指一些恶意网页利用软件或系统操作平台等的安全漏洞，通过执行嵌入在网
12、页 HTML 超文本标记语言内的 Java Applet 小应用程序、 Javascript 脚本语言程序、 ActiveX 软件部件交互技术支持可自动执行的代码程序，强行修改用户操作系统的注册表及系统实用配置程序，从而达到非法控制系统资源、破坏数据、格式化硬盘、感染水马程序的目的。,IP 欺骗与逻辑炸弹,IP 欺骗攻击就是伪造他人的源 IP 地址。 通常发生于一台主机被确信在安全性方面存在漏洞之后。 逻辑炸弹 逻辑炸弹是嵌入到合法程序中的代码段，当遇到某些特定的条件时就会“爆炸”（即执行）。,7.3 常见的网络安全防御技术,根据近几年网络安全领域的发展情况，网络安全防御技术大致可以分为两类：
13、 传统防御 主动防御,传统防御技术,传统防御技术主要包括： 防火墙 认证技术 访问控制 病毒防范 入侵检测 漏洞扫描 信息加密技术 灾难恢复,防火墙,防火墙技术是一种由计算机硬件和软件组成的一个或一组系统，用于增强内部可信网络和外部不可信网络之间的访问控制 从狭义上讲，防火墙是安装了防火墙软件的主机或路由器系统； 从广义上来看，防火墙还应该包括整个网络的安全策略和安全行为。,认证技术,认证技术 认证的主要目的有两个： 验证信息的发送者是合法的； 验证信息的完整性，保证信息在传送过程中未被篡改、重放或延迟等。 目前有关认证的主要技术有： 消息认证 身份认证 数字签名,认证技术,消息认证使约定的接
14、收者能够认证消息是否是约定发信者送出的且在通信过程中未被篡改过的消息。 身份认证使得用户的身份能够被正确判定。最简单但却最常用的身份确认方法有：个人识别号、口令、个人特征（如指纹）等。 数字签名不但能使消息接收者确认消息是否来自合法方，而且可以为仲裁者提供发信者对消息签名的证据。,认证技术,用于消息认证和身份认证中的常用算法有： EIGamal 签名、数字签名标准（ DSS ）、One-time 签名、Undeniable 签名、Fail-stop 签名、Schnorr 确认方案、Okamoto 确认方案、Guillou Quisquater 确认方案、Snefru、Nhash、MD4、MD5
15、 等等。其中最著名的算法是数字签名标准（DSS）算法。,访问控制,访问控制是网络安全防范和保护的主要策略，主要任务是保证网络资源不被非法使用和非法访问，控制用户可以访问的网络资源的范围，为网络访问提供限制，只允许具有访问权限的用户访问网络资源，也是维护网络系统安全、保护网络资源的重要手段，是保证网络安全最重要的核心策略之一。,访问控制,访问控制主要可分为自主访问控制和强制访问控制两大类： 自主访问控制是指由用户有权对自身所创建的访问对象(文件、数据表等)进行访问，并可将对这些对象的访问权授予其他用户和从授予权限的用户收回其访问权限。 强制访问控制，是指由系统(通过专门设置的系统安全员)对用户所
16、创建的对象进行统一的强制性控制，按照规定的规则决定哪些用户可以对哪些对象进行什么样操作系统类型的访问，即使是创建者用户，在创建一个对象后，也可能无权访问该对象。,访问控制,常见的访问控制模型包括 基于任务的访问控制模型 基于角色的访问控制模型 基于对象的访问控制模型 基于属性的访问控制模型 风险自适应访问控制模型,信息加密技术,如果按照收发双方密钥是否相同来分类，可以将这些加密算法分为常规密码算法和公钥密码算法。 在常规密码中，接收方和发送方使用相同的密钥，即加密密钥和解密密钥是相同或等价的。 在公钥密码中，接收方和发送方使用的密钥互不相同，而且几乎不可能从加密密钥推导出解密密钥。 在实际应用中人们通常将常规密码和公钥密码结合在一起使用，比如：利用DES或者IDEA来加密信息，而采用RSA来传递会话密钥。,入侵检测技术,通过对计算机网络或计算机系统中的若干关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象 从技术上划分，入侵监测有两种检测模型： 异常检测模型 特征检测模型 入侵检测利用的信息一般来自系统日志、目录以及文件中的异常改变、
