网络与信息安全技术系统访问控制与审计技术.ppt

《网络与信息安全技术系统访问控制与审计技术.ppt》由会员分享，可在线阅读，更多相关《网络与信息安全技术系统访问控制与审计技术.ppt（112页珍藏版）》请在金锄头文库上搜索。

1、1 第第3 3章章 就介绍过，就介绍过，“访问控制访问控制”和和“审计审计”均属均属于安全技术体系的安全服务的范畴于安全技术体系的安全服务的范畴, ,如下图：如下图：2n访问控制三要素访问控制三要素客体：系统控制的资源，如，文件、硬件接口等。客体：系统控制的资源，如，文件、硬件接口等。主体：某个用户、用户执行的程序和服务，它产生主体：某个用户、用户执行的程序和服务，它产生对客体的访问或操作。对客体的访问或操作。主体和客体是相对的，主体也可能成为客体。主体和客体是相对的，主体也可能成为客体。授权：规定主体对该资源执行的动作（如授权：规定主体对该资源执行的动作（如读读、写写、执行执行、从属权从属权

2、或或拒绝访问拒绝访问等）。等）。一、一、 访问控制的概念访问控制的概念 访问控制是在保障授权用户能获取所需资源的同时，访问控制是在保障授权用户能获取所需资源的同时，拒绝非授权用户的安全机制。拒绝非授权用户的安全机制。32访问控制的工作原理访问控制的工作原理 图图11.1 访问控制与其他安全措施的关系模型访问控制与其他安全措施的关系模型42访问控制的工作原理访问控制的工作原理 图图11.1 访问控制与其他安全措施的关系模型访问控制与其他安全措施的关系模型52访问控制的工作原理访问控制的工作原理从上图看出：在用户身份认证从上图看出：在用户身份认证(不一定每用户次每不一定每用户次每次都需要论证次都需

3、要论证)和授权之后，访问控制机制将根据和授权之后，访问控制机制将根据预先设定的规则对用户访问某项资源进行控制。预先设定的规则对用户访问某项资源进行控制。只有规则允许时才能访问，违反预定的安全规则只有规则允许时才能访问，违反预定的安全规则的访问行为将被拒绝。的访问行为将被拒绝。资源可以是信息资源、处理资源、通信资源或者资源可以是信息资源、处理资源、通信资源或者物理资源，访问方式可以是获取信息、修改信息物理资源，访问方式可以是获取信息、修改信息或者完成某种功能或者完成某种功能(一般可以简称为一般可以简称为读读、写写、执行执行)62访问控制的工作原理访问控制的工作原理n访问控制的目的：访问控制的目的

4、：为了限制访问主体对访问客体的访问权限，从而为了限制访问主体对访问客体的访问权限，从而使计算机系统在合法范围内使用。也为了能够安使计算机系统在合法范围内使用。也为了能够安全可控地使用数据。全可控地使用数据。n访问控制需要完成以下两个任务：访问控制需要完成以下两个任务：1)识别识别 和确认访问系统的用户；和确认访问系统的用户；2)决定该用户可以对某一系统资源进行何种类型决定该用户可以对某一系统资源进行何种类型的访问。的访问。n访问控制的类型访问控制的类型： 自主访问控制、强制访问控制、自主访问控制、强制访问控制、基于角色的访问控制。基于角色的访问控制。72访问控制的工作原理访问控制的工作原理自主

5、访问控制（自主访问控制（DACDAC）是一种常用的访问控制方式，）是一种常用的访问控制方式，它基于对主体或主体组的识别来限制对客体的访它基于对主体或主体组的识别来限制对客体的访问，这种控制是自主的。自主是指主体能够自主问，这种控制是自主的。自主是指主体能够自主的的( (可能是间接的可能是间接的) )将访问权或访问权的某个子集将访问权或访问权的某个子集授予其他主体。授予其他主体。DACDAC是一种比较宽松的访问控制，一个主体的访问是一种比较宽松的访问控制，一个主体的访问权限具有传递性。传递可能会给系统带来安全隐权限具有传递性。传递可能会给系统带来安全隐患，某个主体通过继承其他主体的权限而得到了患

6、，某个主体通过继承其他主体的权限而得到了它本身不应具有的访问权限，就可能破坏系统的它本身不应具有的访问权限，就可能破坏系统的安全性。这是自主访问控制方式的缺点。安全性。这是自主访问控制方式的缺点。 自主访问控制、强制访问控制、自主访问控制、强制访问控制、基于角色的访问控制。基于角色的访问控制。n访问控制的类型：访问控制的类型：1.自主访问的控制自主访问的控制82访问控制的工作原理访问控制的工作原理为了实现完整的自主访问系统，访问控制一般由一为了实现完整的自主访问系统，访问控制一般由一个矩阵来表示。个矩阵来表示。矩阵中的一行表示一个主体的所有权限；矩阵中的一行表示一个主体的所有权限；一列则是关于

7、一个客体的所有权限；一列则是关于一个客体的所有权限；矩阵中的元素是该元素所在行对应的主体对该元素矩阵中的元素是该元素所在行对应的主体对该元素所在列对应的客体的访问权限。所在列对应的客体的访问权限。1.自主访问的控制自主访问的控制主体主体客体客体访问权访问权92访问控制的工作原理访问控制的工作原理 访问控制表访问控制表(ACL)(ACL)是基于访问控制矩阵中是基于访问控制矩阵中列列的自主的自主访问控制机制。它在一个客体上附加一个主体对客体访问控制机制。它在一个客体上附加一个主体对客体的访问权限。的访问权限。 对系统中一个需要保护的客体对系统中一个需要保护的客体O Oj j附加的访问控制表附加的访

8、问控制表的结构如下图的结构如下图) )（S S为主体、为主体、r r为读、为读、w w为写、为写、e e为执行为执行) )1.自主访问的控制自主访问的控制访问控制表访问控制表 上图表示出：对于客体上图表示出：对于客体OjOj, ,主体主体S S0 0具有读和执行的权利；具有读和执行的权利；主体主体S S1 1只有读的权利；主体只有读的权利；主体S S2 2只有执行的权利；只有执行的权利；主体主体S Sm m具有读、写和执行的权利。具有读、写和执行的权利。 102访问控制的工作原理访问控制的工作原理 在有非常多的主体和客体的系统中，需要将它们分在有非常多的主体和客体的系统中，需要将它们分组或使用

9、通配符，以简化访问控制表和减少对内在的组或使用通配符，以简化访问控制表和减少对内在的占用。例如：占用。例如： 把一类用户作为一个组，分配一个组名把一类用户作为一个组，分配一个组名( (称为称为GN)GN)、使用通配符使用通配符”*”*”代替任何组名或者主体标识符。这时代替任何组名或者主体标识符。这时ACLACL中的主体标识为：中的主体标识为：1.自主访问的控制自主访问的控制访问控制表访问控制表主体标识主体标识=ID.GN主体标识符主体标识符主体所在的组名主体所在的组名112访问控制的工作原理访问控制的工作原理 上图中的上图中的infoinfo为组名。对于客体为组名。对于客体O Oj j, ,

10、主体主体LiuLiu具有读具有读(r)(r)、执行、执行(e)(e)和写和写(w)(w)的权利；的权利；组中所有主体都具有读组中所有主体都具有读(r)(r)和执行和执行(e)(e)的权利。的权利。无论哪个组中的无论哪个组中的zhangzhang的主体都有读的主体都有读(r)(r)的权利的权利 所有其他的组所有其他的组, ,只要主体名不为只要主体名不为zhangzhang且不属于且不属于infoinfo组，都不具备对组，都不具备对O Oj j有任何访问的权限。有任何访问的权限。 1.自主访问的控制自主访问的控制访问控制表访问控制表Liu.info.rew*.info.rezhang.*.r* .

11、 * . nOj122访问控制的工作原理访问控制的工作原理 访问能力表：是最常用的基于访问控制矩阵中访问能力表：是最常用的基于访问控制矩阵中行行的的自主访问控制。自主访问控制。 能力能力- -是为主体提供的、对客体具有特定访问权限是为主体提供的、对客体具有特定访问权限的不可伪造的标志，它决定主体是否可以访问客体以的不可伪造的标志，它决定主体是否可以访问客体以及以什么方式访问客体。及以什么方式访问客体。 主体可以将能力转移、添加、修改。主体可以将能力转移、添加、修改。 访问能力表不能实现完备的自主访问控制，而访问访问能力表不能实现完备的自主访问控制，而访问控制表却可以实现。控制表却可以实现。1.

12、自主访问的控制自主访问的控制访问能力表访问能力表132访问控制的工作原理访问控制的工作原理 自主访问控制的最大优点是自主，即资源的拥有者自主访问控制的最大优点是自主，即资源的拥有者具有对资源访问策略的决策权，因此是一种限制比较具有对资源访问策略的决策权，因此是一种限制比较弱的访问控制策略。这种方式给用户带来灵活性的同弱的访问控制策略。这种方式给用户带来灵活性的同时，也带来了安全隐患。时，也带来了安全隐患。 为了达到更加强硬的控制手段，在有些系统中，就为了达到更加强硬的控制手段，在有些系统中，就采取了强制访问控制采取了强制访问控制(MAC)(MAC)。 2.强制访问控制强制访问控制142访问控制

13、的工作原理访问控制的工作原理 强制访问控制系统为所有的主体和客体指定安全强制访问控制系统为所有的主体和客体指定安全级别级别，比如，比如绝密级绝密级、机密级机密级、秘密级秘密级和和无密级无密级。不同。不同级别标记了不同重要程度和能力的实体。不同级别的级别标记了不同重要程度和能力的实体。不同级别的主体对不同级别的客体的访问是在强制的安全策略下主体对不同级别的客体的访问是在强制的安全策略下实现的。实现的。 在强制访问控制机制中，将安全级别进行排序，在强制访问控制机制中，将安全级别进行排序，如按照从高到低排列，规定高级别可以单向访问低级如按照从高到低排列，规定高级别可以单向访问低级别，也可以规定低级别

14、可以单向访问高级别。这种访别，也可以规定低级别可以单向访问高级别。这种访问可以是问可以是读读，也可以是，也可以是写写或或修改修改。2.强制访问控制强制访问控制1 1）保障信息完整性策略）保障信息完整性策略- -即即上读下写上读下写策略策略2 2）保障信息机密性策略）保障信息机密性策略- -即即下读上写下读上写策略策略152访问控制的工作原理访问控制的工作原理2.强制访问控制强制访问控制1 1）保障信息完整性策略）保障信息完整性策略- -即即上读下写上读下写策略策略2 2）保障信息机密性策略）保障信息机密性策略- -即即下读上写下读上写策略策略162访问控制的工作原理访问控制的工作原理2.强制访

15、问控制强制访问控制 自主访问控制较弱，而强制访问控制又太强，会自主访问控制较弱，而强制访问控制又太强，会给用户带来许多不便。因此，实际应用中，往往将给用户带来许多不便。因此，实际应用中，往往将自主访问控制和强制访问控制结合在一起使用。自自主访问控制和强制访问控制结合在一起使用。自主访问控制作为基础的、常用的控制手段；强制访主访问控制作为基础的、常用的控制手段；强制访问控制作为增强的、更加严格的控制手段。问控制作为增强的、更加严格的控制手段。172访问控制的工作原理访问控制的工作原理3. 基于角色访问控制基于角色访问控制 然而在现实社会中，这种访问控制方式表现出很然而在现实社会中，这种访问控制方

16、式表现出很多弱点，不能满足实际需求。主要的问题在于：多弱点，不能满足实际需求。主要的问题在于：1)同一用户在不同的场合需要以不同的权限访问系同一用户在不同的场合需要以不同的权限访问系统，变更权限都要管理员授权，不方便；统，变更权限都要管理员授权，不方便； 在传统的问控制中，主体始终和特定的实体捆绑在传统的问控制中，主体始终和特定的实体捆绑对应的。例如：用户以固定的用户名注册，系统分对应的。例如：用户以固定的用户名注册，系统分配一定的权限，该用户将始终以该用户名访问系统，配一定的权限，该用户将始终以该用户名访问系统，直至销户。其间虽然用户的权限可以变更，但必须直至销户。其间虽然用户的权限可以变更

17、，但必须在系统管理员的授权下才能进行。在系统管理员的授权下才能进行。2)当用户量大量增加时，管理员对账户的管理工作当用户量大量增加时，管理员对账户的管理工作量急剧增加，容易出错；量急剧增加，容易出错；3)按每一用户注册一个账号的方式很难实现层次化按每一用户注册一个账号的方式很难实现层次化分权管理，除非同一用户以多个用户名注册。分权管理，除非同一用户以多个用户名注册。182访问控制的工作原理访问控制的工作原理3. 基于角色访问控制基于角色访问控制 基于角色的访问控制模式基于角色的访问控制模式(RBAC)中，用户不是中，用户不是自始至终以同样的注册身份和权限访问系统，而是自始至终以同样的注册身份和

18、权限访问系统，而是以一定的角色访问以一定的角色访问，不同的角色被赋予不同的访问不同的角色被赋予不同的访问权限权限，系统的访问控制机制只看到角色，而看不到，系统的访问控制机制只看到角色，而看不到用户。用户在访问系统前，经过角色认证而充当相用户。用户在访问系统前，经过角色认证而充当相应的角色。用户获得特定角色后，系统依然可以按应的角色。用户获得特定角色后，系统依然可以按照自主访问控制或强制访问控制机制控制角色的访照自主访问控制或强制访问控制机制控制角色的访问能力。问能力。192访问控制的工作原理访问控制的工作原理3. 基于角色访问控制基于角色访问控制在基于角色的访问控制中在基于角色的访问控制中，角

19、色角色(role)(role)定义为与一定义为与一个特定活动相关联的一组动作和责任。个特定活动相关联的一组动作和责任。系统中的主系统中的主体担任角色，完成角色规定的责任，具有角色拥有体担任角色，完成角色规定的责任，具有角色拥有的权限。的权限。角色的概念角色的概念一个主体可以同时担任多个角色，它的权限就是多一个主体可以同时担任多个角色，它的权限就是多个角色权限的总和。基于角色的访问控制就是通过个角色权限的总和。基于角色的访问控制就是通过各种角色的不同搭配授权来尽可能实现主体的最小各种角色的不同搭配授权来尽可能实现主体的最小权限权限( (最小授权指主体在能够完成所有必需的访问最小授权指主体在能够完

20、成所有必需的访问工作基础上的最小权限工作基础上的最小权限) ) 。202访问控制的工作原理访问控制的工作原理 基于角色的访问控制就是通过定义角色的权限，基于角色的访问控制就是通过定义角色的权限，为系统中的主体分配角色来实现访问控制的。用户为系统中的主体分配角色来实现访问控制的。用户先经认证后获得一定角色，该角色被分派了一定的先经认证后获得一定角色，该角色被分派了一定的权限，用户以特定角色访问系统资源，访问控制机权限，用户以特定角色访问系统资源，访问控制机制检查角色的权限，并决定是否允许访问。制检查角色的权限，并决定是否允许访问。基于角色的访问控制基于角色的访问控制1 1）提供了三种授权管理的控

21、制途径）提供了三种授权管理的控制途径 2 2）系统中所有角色的关系结构可以是层次化的，）系统中所有角色的关系结构可以是层次化的，便于管理。便于管理。3 3）具有较好的提供最小权利的能力，从而提高了）具有较好的提供最小权利的能力，从而提高了安全性。安全性。4 4）具有责任分离的能力。）具有责任分离的能力。这种访问控制方法的具体特点如下：这种访问控制方法的具体特点如下：212访问控制的工作原理访问控制的工作原理基于角色的访问控制基于角色的访问控制4)4)允许系统的管理者询问系统的注册项和开关系统，但允许系统的管理者询问系统的注册项和开关系统，但不允许读或修改用户的帐号信息不允许读或修改用户的帐号信

22、息; ;基于角色访问控制策略的实例：基于角色访问控制策略的实例： 在银行环境中，用户角色可以定义为出纳员、分在银行环境中，用户角色可以定义为出纳员、分行管理者、顾客、系统管理者和审计员。行管理者、顾客、系统管理者和审计员。1)1)允许一个出纳员修改顾客的帐号记录（包括存款和取允许一个出纳员修改顾客的帐号记录（包括存款和取款、转帐并允许查询所有帐号的注册项款、转帐并允许查询所有帐号的注册项; ;2)2)允许一个分行管理者修改顾客的帐号记录（包括存款允许一个分行管理者修改顾客的帐号记录（包括存款和取款，但不包括规定的资金数目的范围）并允许查询和取款，但不包括规定的资金数目的范围）并允许查询所有帐号

23、的注册项，也允许创建和终止帐号所有帐号的注册项，也允许创建和终止帐号; ;3)3)允许一个顾客只询问他自己的帐号的注册项允许一个顾客只询问他自己的帐号的注册项; ;5)5)允许一个审计员读系统中的任何数据，但不允许修改允许一个审计员读系统中的任何数据，但不允许修改任何事情。任何事情。22一、一、WindowsWindows的安全模型与基本概念的安全模型与基本概念1)1)登录过程登录过程(LP)(LP)。接受本地用户或者远程用户的登。接受本地用户或者远程用户的登录请求，处理用户信息，为用户做一些初始化工录请求，处理用户信息，为用户做一些初始化工作。作。2)2)本地安全授权机构本地安全授权机构(L

24、SA)(LSA)。根据安全账号管理器中。根据安全账号管理器中的数据处理本地或者远程用户的登录信息，并控的数据处理本地或者远程用户的登录信息，并控制审计和日志。这是整个安全子系统的核心。制审计和日志。这是整个安全子系统的核心。3)3)安全账号管理器安全账号管理器(SAM)(SAM)。维护账号的安全性管理数。维护账号的安全性管理数据库据库(SAM(SAM数据库，又称目录数据库数据库，又称目录数据库) )。4)4)安全引用监视器安全引用监视器(SRM)(SRM)。检查存取合法性，防止非。检查存取合法性，防止非法存取和修改。法存取和修改。1.安全模型安全模型这几部分在访问控制的不同阶段发挥了各自的作用

25、。这几部分在访问控制的不同阶段发挥了各自的作用。23一、一、WindowsWindows的安全模型与基本概念的安全模型与基本概念1)1)安全标识安全标识(SID)：安全标识和账号唯一对应，在账号创建时：安全标识和账号唯一对应，在账号创建时创建，账号删除时删除，而且永不再用。安全标识与对应创建，账号删除时删除，而且永不再用。安全标识与对应的用户和组的账号信息一起存储在的用户和组的账号信息一起存储在SAM数据库里。数据库里。2)2)访问令牌访问令牌(Access Token)。当用户登录时，本地安全授权。当用户登录时，本地安全授权机构为用户创建一个访问令牌，包括用户名、所在组、安机构为用户创建一个

26、访问令牌，包括用户名、所在组、安全标识等信息。全标识等信息。3)3)主体主体。用户登录到系统之后，本地安全授权机构为用户构。用户登录到系统之后，本地安全授权机构为用户构造一个访问令牌，这个令牌与该用户所有的操作相联系，造一个访问令牌，这个令牌与该用户所有的操作相联系，用户进行的操作和访问令牌一起构成一个主体。用户进行的操作和访问令牌一起构成一个主体。4)4)对象、资源、共享资源对象、资源、共享资源。对象的实质是封装了数据和处理。对象的实质是封装了数据和处理过程的一系列信息集合体。资源是用于网络环境的对象。过程的一系列信息集合体。资源是用于网络环境的对象。共享资源是在网络上共享的对象。共享资源是

27、在网络上共享的对象。5)安全描述符安全描述符（Security Descript）。）。Windows系统会为共系统会为共享资源创建安全描述符，包含了该对象的一组安全属性。享资源创建安全描述符，包含了该对象的一组安全属性。2.Windows的安全概念主要有以下几个：的安全概念主要有以下几个：安全帐号管理器安全帐号管理器24一、一、WindowsWindows的安全模型与基本概念的安全模型与基本概念5)安全描述符安全描述符（SD）。）。Windows系统会为共享资源创建安系统会为共享资源创建安全描述符，包含了该对象的一组安全属性。全描述符，包含了该对象的一组安全属性。2.Windows的安全概念

28、主要有以下几个：的安全概念主要有以下几个：SD分为分为4个部分：个部分：所有者安全标识所有者安全标识。拥有该对象的用户或者用户组的。拥有该对象的用户或者用户组的SD。组安全标识组安全标识(GroupSecurity)。自主访问控制表自主访问控制表(DAC)。该对象的访问控制表，由对。该对象的访问控制表，由对象的所有者控制。象的所有者控制。系统访问控制表系统访问控制表(SACL)。定义操作系统将产生何种类。定义操作系统将产生何种类型的审计信息，由系统的安全管理员控制。型的审计信息，由系统的安全管理员控制。25一、一、WindowsWindows的安全模型与基本概念的安全模型与基本概念5)安全描述

29、符安全描述符（SD）。）。Windows系统会为共享资源创建安系统会为共享资源创建安全描述符，包含了该对象的一组安全属性。全描述符，包含了该对象的一组安全属性。2.Windows的安全概念主要有以下几个：的安全概念主要有以下几个：其中，安全描述符中的每一个访问控制表其中，安全描述符中的每一个访问控制表(ACL)(ACL)都由都由访问控制项访问控制项(Access Control Entries(Access Control Entries，ACEsACEs) )组成，组成，用来描述用户或者组对对象的访问或审计权限。用来描述用户或者组对对象的访问或审计权限。ACEsACEs有三种类型：有三种类型

30、：Access AllowedAccess Allowed、Access DeniedAccess Denied和和System AuditSystem Audit。前两种用于自主访问控制；后一种。前两种用于自主访问控制；后一种用于记录安全日志。用于记录安全日志。 262 2WindowsWindows的访问控制过程的访问控制过程 每次用户登录时，登录主机每次用户登录时，登录主机( (通常为工作站通常为工作站) )的系统首先的系统首先把用户输入的用户名、口令和用户希望登录的服务器域信把用户输入的用户名、口令和用户希望登录的服务器域信息送给安全账号管理器，安全账号管理器将这些信息与息送给安全账号

31、管理器，安全账号管理器将这些信息与SAMSAM数数据库中的信息进行比较，如果匹配，服务器发给工作站允许据库中的信息进行比较，如果匹配，服务器发给工作站允许访问的信息，并返回用户的安全标识和用户所在组的安全标访问的信息，并返回用户的安全标识和用户所在组的安全标识，工作站系统为用户生成一个进程。服务器还要记录用户识，工作站系统为用户生成一个进程。服务器还要记录用户账号的特权、主目录位置、工作站参数等信息。账号的特权、主目录位置、工作站参数等信息。 当一个账号被创建时，当一个账号被创建时，WindowsWindows系统为它分配一个系统为它分配一个SIDSID，并与其他账号信息一起存入并与其他账号信

32、息一起存入SAMSAM数据库。数据库。 然后，本地安全授权机构为用户创建访问令牌，包括用然后，本地安全授权机构为用户创建访问令牌，包括用户名、所在组、安全标识等信息。此后用户每新建一个进程，户名、所在组、安全标识等信息。此后用户每新建一个进程，都将访问令牌复制作为该进程的访问令牌。都将访问令牌复制作为该进程的访问令牌。 当用户或者用户生成的进程要访问某个对象时，安全引当用户或者用户生成的进程要访问某个对象时，安全引用监视器将用户进程的访问令牌中的用监视器将用户进程的访问令牌中的SIDSID与对象安全描述符与对象安全描述符中的自主访问控制表进行比较，从而决定用户是否有权访问中的自主访问控制表进行

33、比较，从而决定用户是否有权访问对象。对象。 272 2WindowsWindows的访问控制过程的访问控制过程 WindowsWindows系统中共享对象的访问权是由对象所有者系统中共享对象的访问权是由对象所有者决定。如果用户想共享某个对象，他首先要为对象选决定。如果用户想共享某个对象，他首先要为对象选择惟一的名字，然后为其他的用户和组分配访问权限。择惟一的名字，然后为其他的用户和组分配访问权限。然后，系统会以此为共享对象创建安全描述符。然后，系统会以此为共享对象创建安全描述符。 一个没有访问控制表的对象可以被任何用户以任何一个没有访问控制表的对象可以被任何用户以任何方式访问。共享资源的访问权

34、限共有以下四种：方式访问。共享资源的访问权限共有以下四种： 1 1）完全控制）完全控制 2 2）拒绝访问）拒绝访问 3 3）读取）读取 4 4）更改）更改283 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置 一定要禁用一定要禁用“GuestGuest”用户用户( (来宾或访客来宾或访客) )。因为黑客。因为黑客和病毒常利用它来进行攻击或开后门。和病毒常利用它来进行攻击或开后门。1. 用户管理用户管理 删除所有不需要的账号，禁用所有暂时不用的账号。删除所有不需要的账号，禁用所有暂时不用的账号。( (在账号管理器界面中选择在账号管理器界面中选择

35、“此用户已禁用此用户已禁用”再再 确定确定 ) )。293 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置 一定要禁用一定要禁用“GuestGuest”用户用户( (来宾或访客来宾或访客) )。因为黑客。因为黑客和病毒常利用它来进行攻击或开后门。和病毒常利用它来进行攻击或开后门。1. 用户管理用户管理 删除所有不需要的账号，禁用所有暂时不用的账号。删除所有不需要的账号，禁用所有暂时不用的账号。( (在账号管理器界面中选择在账号管理器界面中选择“此用户已禁用此用户已禁用”再再 确定确定 ) )。点击此按纽即可启用点击此按纽即可启用303 3Wi

36、ndows2003 ServerWindows2003 Server系统安全设置系统安全设置 一定要禁用一定要禁用“GuestGuest”用户用户( (来宾或访客来宾或访客) )。因为黑客。因为黑客和病毒常利用它来进行攻击或开后门。和病毒常利用它来进行攻击或开后门。1. 用户管理用户管理 删除所有不需要的账号，禁用所有暂时不用的账号。删除所有不需要的账号，禁用所有暂时不用的账号。( (在账号管理器界面中选择在账号管理器界面中选择“此用户已禁用此用户已禁用”再再 确定确定 ) )。 WindowsWindows系统默认的管理员账户系统默认的管理员账户 “AdministratorAdminist

37、rator”，此账户的口令经常会被黑客破解，建议将这个用户重命名；此账户的口令经常会被黑客破解，建议将这个用户重命名；然后再创建一个名为然后再创建一个名为“AdministratorAdministrator”的用户，并分配给的用户，并分配给这个新用户一个复杂无比的口令，并且不让它划归任何组。这个新用户一个复杂无比的口令，并且不让它划归任何组。313 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置 一定要禁用一定要禁用“GuestGuest”用户用户( (来宾或访客来宾或访客) )。因为黑客。因为黑客和病毒常利用它来进行攻击或开后门。和病毒常

38、利用它来进行攻击或开后门。1. 用户管理用户管理 删除所有不需要的账号，禁用所有暂时不用的账号。删除所有不需要的账号，禁用所有暂时不用的账号。( (在账号管理器界面中选择在账号管理器界面中选择“此用户已禁用此用户已禁用”再再 确定确定 ) )。 WindowsWindows系统默认的管理员账户系统默认的管理员账户 “AdministratorAdministrator”，此账户的口令经常会被黑客破解，建议将这个用户重命名；此账户的口令经常会被黑客破解，建议将这个用户重命名；然后再创建一个名为然后再创建一个名为“AdministratorAdministrator”的用户，并分配给的用户，并分配

39、给这个新用户一个复杂无比的口令，并且不让它划归任何组。这个新用户一个复杂无比的口令，并且不让它划归任何组。将此帐号重命名将此帐号重命名再新建一个管理再新建一个管理员帐号并设置复员帐号并设置复杂的口令杂的口令323 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置2. 使用使用NTFS文件系统文件系统 1)FAT 1)FAT 系统系统- -即文件分配表系统，采用的是倒立的树形目录即文件分配表系统，采用的是倒立的树形目录结构；有结构；有FAT16FAT16和和FAT32FAT32，分别适用于字长，分别适用于字长1616位和字长位和字长3232位位计

40、算机的文件系统。计算机的文件系统。FAT16FAT16的缺陷是为硬盘分区时，每个的缺陷是为硬盘分区时，每个逻辑分区最大容量只有逻辑分区最大容量只有20G20G。2)NTFS 2)NTFS 系统系统- -即即NTNT文件系统，是特别为网络和磁盘配额、文件系统，是特别为网络和磁盘配额、文件加密等安全管理特性设计的文件系统。可用于网络文件加密等安全管理特性设计的文件系统。可用于网络和个人计算机。和个人计算机。 先介绍一下先介绍一下Windows系统的文件系统，共分为两类：系统的文件系统，共分为两类：333 3Windows2003 ServerWindows2003 Server系统安全设置系统安全

41、设置2. 使用使用NTFS文件系统文件系统 FAT32FAT32无法提供用户所需的针对于本地的单个文件无法提供用户所需的针对于本地的单个文件与目录的权限设置。与目录的权限设置。NTFSNTFS格式是服务器必须的，使用格式是服务器必须的，使用FAT32FAT32文件系统没有安全性可言。文件系统没有安全性可言。 通过修改通过修改“管理工具管理工具”中的中的“本地安全策略本地安全策略”的相的相应选项或修改系统注册表来实现。应选项或修改系统注册表来实现。3. 不让系统显示上次登录的用户名不让系统显示上次登录的用户名343 3Windows2003 ServerWindows2003 Server系统安

42、全设置系统安全设置2. 使用使用NTFS文件系统文件系统3. 不让系统显示上次登录的用户名不让系统显示上次登录的用户名4. 禁止建立空连接禁止建立空连接 默认情况下，系统允许任何用户通过空连接连上服默认情况下，系统允许任何用户通过空连接连上服务器，容易让人枚举账号或猜测密码。可以通过修改务器，容易让人枚举账号或猜测密码。可以通过修改注册表和修改注册表和修改“本地安全策略本地安全策略”来实现。来实现。353 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置2. 使用使用NTFS文件系统文件系统3. 不让系统显示上次登录的用户名不让系统显示上次登录

43、的用户名4. 禁止建立空连接禁止建立空连接 Windows Windows 的安全审计功能在默认安装时是关闭的。的安全审计功能在默认安装时是关闭的。激活此功能有利于管理员很好的掌握机器的状态，有激活此功能有利于管理员很好的掌握机器的状态，有利于系统的入侵检测。你可以从日志中了解到机器是利于系统的入侵检测。你可以从日志中了解到机器是否在被人蛮力攻击、非法的文件访问等。否在被人蛮力攻击、非法的文件访问等。5. 打开安全审核打开安全审核 设置设置“本地安全策略本地安全策略”中中“本地策略本地策略”的的“审核策审核策略略”，建议设置如下：，建议设置如下：36审核策略审核策略设置设置账户登录事件账户登录

44、事件成功，失败成功，失败账户管理账户管理成功，失败成功，失败登录事件登录事件成功，失败成功，失败对象访问对象访问失败失败策略更改策略更改成功，失败成功，失败特权使用特权使用成功，失败成功，失败系统事件系统事件失败失败表表11.1 建议的策略设置列表建议的策略设置列表373 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置2. 使用使用NTFS文件系统文件系统3. 不让系统显示上次登录的用户名不让系统显示上次登录的用户名4. 禁止建立空连接禁止建立空连接 安装好安装好Windows 2000Windows 2000后，一般开放了数十项系统后，一般

45、开放了数十项系统或应用服务，做为一个管理员，应该知道各种服务都或应用服务，做为一个管理员，应该知道各种服务都是做什么用的，例如有人入侵后须及时发现是否运行是做什么用的，例如有人入侵后须及时发现是否运行了一些入侵者留下的服务。了一些入侵者留下的服务。5. 打开安全审核打开安全审核6. 关闭不必要的危险的系统服务关闭不必要的危险的系统服务 管理方法是打开管理方法是打开“管理工具管理工具” “服务服务”，根据要，根据要求启动求启动/ /停止相应的服务。停止相应的服务。383 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置393 3Windows20

46、03 ServerWindows2003 Server系统安全设置系统安全设置 如有必要才需要此操作，默认为如有必要才需要此操作，默认为33893389，可随意修，可随意修改为改为1 16553565535的端口。打开注册表的方法是的端口。打开注册表的方法是: :7. 修改终端的默认端口修改终端的默认端口 在在 开始开始-运行运行 的窗口中输入的窗口中输入: :RegeditRegedit40413 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置 看具体情况配置看具体情况配置( (正常情况下不需要做此项配置正常情况下不需要做此项配置) )。

47、操作的方法是操作的方法是: :通过网卡通过网卡“属性属性”- -“TCP/IPTCP/IP协议属性协议属性”- -“高级高级”- -“选项选项”- -“TCP/IPTCP/IP筛选属性筛选属性”来设置。来设置。7. 修改终端的默认端口修改终端的默认端口8. 网卡的端口筛选网卡的端口筛选423 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置 IISIIS安全操作步骤：配置安全操作步骤：配置“开始开始”“程序程序”- -“管理工具管理工具”- -“Internet Internet 服务管理器服务管理器”。删除。删除“默认默认站点站点”的站点。默

48、认的的站点。默认的IISIIS发布目录为发布目录为C:C:InetpubInetpub，请，请将这个目录删除。在将这个目录删除。在d d盘或盘或e e盘新建一个目录盘新建一个目录( (目录名随目录名随意意) )，然后新建一个站点，将主目录指向你新建的目录。，然后新建一个站点，将主目录指向你新建的目录。7. 修改终端的默认端口修改终端的默认端口8. 网卡的端口筛选网卡的端口筛选9. IIS安全配置安全配置433 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置 建议在网络属性中关闭建议在网络属性中关闭“MicrosoftMicrosoft网络客户

49、端网络客户端”和和“MicrosoftMicrosoft网络文件与打印机共享网络文件与打印机共享”的选项。的选项。建议去掉系统的默认共享。可通过建议去掉系统的默认共享。可通过NetNet命令、命令、“计算机管计算机管理理”或修改注册表实现。或修改注册表实现。7. 修改终端的默认端口修改终端的默认端口8. 网卡的端口筛选网卡的端口筛选9. IIS安全配置安全配置10. 禁用不必要的网络协议和网络共享禁用不必要的网络协议和网络共享443 3Windows2003 ServerWindows2003 Server系统安全设置系统安全设置 建议仔细查看建议仔细查看“本地安全策略本地安全策略”、“计算机

50、管理计算机管理”及及“组策略组策略”等相关组件的功能，了解这些组件对系等相关组件的功能，了解这些组件对系统安全的影响。统安全的影响。7. 修改终端的默认端口修改终端的默认端口8. 网卡的端口筛选网卡的端口筛选9. IIS安全配置安全配置10. 禁用不必要的网络协议和网络共享禁用不必要的网络协议和网络共享11. 其他其他451 1安全审计概述安全审计概述 审计是对访问控制的必要补充审计是对访问控制的必要补充，是访问控制的一个重是访问控制的一个重要内容要内容。审计会对用户使用何种信息资源、使用的时间，审计会对用户使用何种信息资源、使用的时间，以及如何使用（执行何种操作）进行记录与监控以及如何使用（

51、执行何种操作）进行记录与监控。审计和审计和监控是实现系统安全的最后一道防线，处于系统的最高层。监控是实现系统安全的最后一道防线，处于系统的最高层。审计与监控能够再现原有的进程和问题，这对于责任追查审计与监控能够再现原有的进程和问题，这对于责任追查和数据恢复非常有必要。和数据恢复非常有必要。 审计跟踪是系统活动的流水记录。该记录按事件从始审计跟踪是系统活动的流水记录。该记录按事件从始至终的途径，顺序检查、审查和检验每个事件的环境及活至终的途径，顺序检查、审查和检验每个事件的环境及活动。动。 审计跟踪记录系统活动和用户活动。审计跟踪可以发审计跟踪记录系统活动和用户活动。审计跟踪可以发现违反安全策略

52、的活动、影响运行效率的问题以及程序中现违反安全策略的活动、影响运行效率的问题以及程序中的错误。审计跟踪不但有助于帮助系统管理员确保系统及的错误。审计跟踪不但有助于帮助系统管理员确保系统及其资源免遭非法授权用户的侵害，同时还能帮助恢复数据。其资源免遭非法授权用户的侵害，同时还能帮助恢复数据。462 2审计内容审计内容1)个人职能个人职能审计跟踪是管理人员用来维护个人职能的技术手段。如果用户审计跟踪是管理人员用来维护个人职能的技术手段。如果用户被知道他们的行为活动被记录在审计日志中，相应的人员需要被知道他们的行为活动被记录在审计日志中，相应的人员需要为自己的行为负责，他们就不太会违反安全策略和绕过

53、安全控为自己的行为负责，他们就不太会违反安全策略和绕过安全控制措施制措施。2)事件重建事件重建在发生故障后，审计跟踪可以用于重建事件和数据恢复。在发生故障后，审计跟踪可以用于重建事件和数据恢复。3)入侵检测入侵检测审计跟踪记录可以用来协助入侵检测工作。如果将审计的每一审计跟踪记录可以用来协助入侵检测工作。如果将审计的每一笔记录都进行上下文分析，就可以实时发现或是过后预防入侵笔记录都进行上下文分析，就可以实时发现或是过后预防入侵检测活动。检测活动。4)故障分析故障分析审计跟踪可以用于实时审计或监控。审计跟踪可以用于实时审计或监控。473 3安全审计的目标安全审计的目标1)应为安全人员提供足够多的

54、信息，使他们能够定位问题所应为安全人员提供足够多的信息，使他们能够定位问题所在；但另一方面，提供的信息应不足以使他们自己也能够在；但另一方面，提供的信息应不足以使他们自己也能够进行攻击。进行攻击。2)应优化审计追踪的内容，以检测发现的问题，而且必须能应优化审计追踪的内容，以检测发现的问题，而且必须能从不同的系统资源收集信息。从不同的系统资源收集信息。3)应能够对一个给定的资源应能够对一个给定的资源(其他用户也被视为资源其他用户也被视为资源)进行审进行审计分析，分辨看似正常的活动，以发现内部计算机系统的计分析，分辨看似正常的活动，以发现内部计算机系统的不正当使用；不正当使用；4)设计审计机制时，

55、应将系统攻击者的策略也考虑在内。设计审计机制时，应将系统攻击者的策略也考虑在内。 概括而言，审计系统的目标至少包括：概括而言，审计系统的目标至少包括：确定和保持系统活确定和保持系统活动中每个人的责任动中每个人的责任；确认重建事件的发生确认重建事件的发生；评估损失评估损失；临临测系统问题区测系统问题区；提供有效的灾难恢复依据提供有效的灾难恢复依据；提供阻止不正提供阻止不正当使用系统行为的依据当使用系统行为的依据；提供案件侦破证据。；提供案件侦破证据。484 4安全审计系统安全审计系统 审计通过对所关心的事件进行记录和分析来实现。因此审计通过对所关心的事件进行记录和分析来实现。因此审计过程包括审计

56、过程包括审计发生器审计发生器、日志记录器日志记录器、日志分析器日志分析器和和报报告机制告机制几部分。几部分。1.1. 日志的内容日志的内容 通常，对于一个事件，日志应包括事件发生的通常，对于一个事件，日志应包括事件发生的日期和时间、引发事件的用户日期和时间、引发事件的用户( (地址地址) )、事件和源和、事件和源和目的的位置、事件类型、事件成败等。目的的位置、事件类型、事件成败等。2.2. 安全审计的记录机制安全审计的记录机制 不同的系统可采用不同的机制记录日志。日志不同的系统可采用不同的机制记录日志。日志的记录可能由操作系统完成，也可以由应用系统或的记录可能由操作系统完成，也可以由应用系统或

57、其他专用记录系统完成。但是，大部分情况都可用其他专用记录系统完成。但是，大部分情况都可用系统调用系统调用SyslogSyslog来记录日志。来记录日志。494 4安全审计系统安全审计系统3.3. 安全审计分析安全审计分析 通过对日志进行分析，发现所需事件信息和规律通过对日志进行分析，发现所需事件信息和规律是安全审计的根本目的。主要内容有：是安全审计的根本目的。主要内容有：1 1）潜在侵害分析；）潜在侵害分析；2 2）基于异常检测的轮廓；）基于异常检测的轮廓；3 3）简单攻击探测；）简单攻击探测；4 4）复杂攻击探测。）复杂攻击探测。504 4安全审计系统安全审计系统4.4. 安全事件查阅安全事

58、件查阅 由于审计系统是追踪、恢复的直接依据，甚至由于审计系统是追踪、恢复的直接依据，甚至是司法依据，因此其自身的安全性十分重要。审计是司法依据，因此其自身的安全性十分重要。审计系统的安全主要是查阅和存储的安全。审计事件的系统的安全主要是查阅和存储的安全。审计事件的查阅应该受到严格的限制，不能篡改日志。查阅应该受到严格的限制，不能篡改日志。 通常通过以下的不同层次保证查阅的安全：通常通过以下的不同层次保证查阅的安全： 1 1）审计查阅；）审计查阅；2 2）有限审计查阅；）有限审计查阅；3 3）可选审计查阅。）可选审计查阅。514 4安全审计系统安全审计系统5.5. 审计事件存储审计事件存储审计事

59、件的存储也有安全要求，主要有：审计事件的存储也有安全要求，主要有：1）受保护的审计踪迹存储；）受保护的审计踪迹存储；2）审计数据的可用性保证；）审计数据的可用性保证； 3）防止审计数据丢失。）防止审计数据丢失。 525 5安全审计应用实例安全审计应用实例5.5. 审计事件存储审计事件存储 流行的操作系统都提供审计的功能。下面以流行的操作系统都提供审计的功能。下面以Windows 2003 Windows 2003 ServerServer操作系统为例，在操作系统为例，在NTFSNTFS格式的支持下，说明安全审计格式的支持下，说明安全审计的应用实例。的应用实例。1. 审计子系统结构审计子系统结构

60、在在“资源管理器资源管理器”中，选择右键菜单中的中，选择右键菜单中的 属性属性-安安全全-高级高级 ，再选择，再选择“审核审核”以激活目录审核对话框，以激活目录审核对话框，系统管理员可以在这个窗口选择跟踪有效和无效的文系统管理员可以在这个窗口选择跟踪有效和无效的文件访问。件访问。535 5安全审计应用实例安全审计应用实例5.5. 审计事件存储审计事件存储1. 审计子系统结构审计子系统结构 在在“本地安全策略本地安全策略”中，系统管理员可以根据各中，系统管理员可以根据各种用户事件的成功和失败选择审计策略，如登录和退种用户事件的成功和失败选择审计策略，如登录和退出、文件访问、权限非法和关闭系统等。

61、出、文件访问、权限非法和关闭系统等。 系统管理员可以使用事件查看器的筛选选项根据一系统管理员可以使用事件查看器的筛选选项根据一定条件选择要查看的日志条目。查看条件包括类别、定条件选择要查看的日志条目。查看条件包括类别、用户和消息类型。用户和消息类型。545 5安全审计应用实例安全审计应用实例1. 审计子系统结构审计子系统结构 WindowsWindows的日志文件很多，但主要是系统日志、应用的日志文件很多，但主要是系统日志、应用程序日志和安全日志三个。程序日志和安全日志三个。1 1）系统日志系统日志。跟踪各种各样的系统事件，比如跟踪跟踪各种各样的系统事件，比如跟踪系统启动过程中的事件或者硬件和

62、控制器的故障。系统启动过程中的事件或者硬件和控制器的故障。2 2）应用程序日志应用程序日志。跟踪应用程序关联的事件，比如应跟踪应用程序关联的事件，比如应用程序产生的象装载用程序产生的象装载dlldll（动态链接库）失败的信息将（动态链接库）失败的信息将出现在日志中。出现在日志中。3 3）安全日志安全日志。跟踪事件如登录上网、下网、改变访问跟踪事件如登录上网、下网、改变访问权限以及系统启动和关闭。注意：安全日志的默认状权限以及系统启动和关闭。注意：安全日志的默认状态是关闭的。态是关闭的。555 5安全审计应用实例安全审计应用实例2.审计日志和记录格式审计日志和记录格式 WindowsWindow

63、s的审计日志由一系列的事件记录组成。的审计日志由一系列的事件记录组成。每一个事件记录分为三个功能部分：头、事件描述每一个事件记录分为三个功能部分：头、事件描述和可选的附加数据项和可选的附加数据项。565 5安全审计应用实例安全审计应用实例3.事件日志管理特证事件日志管理特证 Windows提供了大量特征给系统管理员去管理系提供了大量特征给系统管理员去管理系统事件日志机制。当系统开始运行时，系统和应用统事件日志机制。当系统开始运行时，系统和应用事件日志也自动开始。当日志文件满并且系统配置事件日志也自动开始。当日志文件满并且系统配置规定它们必须被手工清除时，日志停止。规定它们必须被手工清除时，日志

64、停止。575 5安全审计应用实例安全审计应用实例4.安全日志的审计策略安全日志的审计策略 审计规则既可以审计成功操作，又可以审计失败审计规则既可以审计成功操作，又可以审计失败操作。包括：操作。包括：1 1）登录及注销；）登录及注销；2 2）用户及组管理；）用户及组管理；3 3）文件及对象访问；）文件及对象访问；4 4）安全性规则更改；）安全性规则更改；5 5）重新启动、关机及系统级事件；）重新启动、关机及系统级事件；6 6）进程追踪；）进程追踪；7 7）文件和目录审计。）文件和目录审计。585 5安全审计应用实例安全审计应用实例5.管理和维护审计管理和维护审计 通常情况下，通常情况下，Wind

65、owsWindows不是将所有的事件都记录不是将所有的事件都记录日志，而需要手动启动审计的功能。选择日志，而需要手动启动审计的功能。选择“本地安本地安全策略全策略”，选择设置相应的项目即可。，选择设置相应的项目即可。 当需要审查审计日志以跟踪网络或机器上的异常当需要审查审计日志以跟踪网络或机器上的异常事件时，采用一些第三方提供的工具是一个较有效事件时，采用一些第三方提供的工具是一个较有效率的选择。率的选择。 59606162Internet总公司（北京）总公司（北京）分公司（沈阳）分公司（沈阳）分公司（上海）分公司（上海）VPN的需求之一：的需求之一：数据机密性保护数据机密性保护63信息在传输

66、中可能泄密信息在传输中可能泄密数据被黑客窃听数据被黑客窃听总总总总 部部部部分支机构分支机构分支机构分支机构移动用户移动用户A黑黑黑黑 客客客客我的密码是我的密码是CAF我的密码是我的密码是CAF移动用户移动用户BInternet64信息在传输中可能失真信息在传输中可能失真总总总总 部部部部分支机构分支机构分支机构分支机构移动用户移动用户-叶孤城叶孤城黑黑黑黑 客客客客同意同意2000元成交元成交VPN的需求之二的需求之二 ：数据完整性保护数据完整性保护移动用户移动用户-西门吹雪西门吹雪Internet黑客篡改数据黑客篡改数据同意同意 5000 元成交元成交65信息的来源可能伪造的信息的来源可

67、能伪造的总总总总 部部部部分支分支机构机构机构机构黑黑黑黑 客客客客交易服务器交易服务器VPN的需求之三：的需求之三：数据源发性保护数据源发性保护移动用户移动用户Internet谁是真的死神？谁是真的死神？谁是真的死神？谁是真的死神？我是死神，请求交易我是死神，请求交易“我是死神我是死神”，请求交易，请求交易66信息传输的成本可能很高信息传输的成本可能很高移动用户移动用户APSTNPSTNPSTNPSTN长途拨号：长途拨号：010-163市话拨号：市话拨号：163上海的拨上海的拨号服务器号服务器沈阳沈阳北京的拨北京的拨号服务器号服务器10010010101010数据在公网传数据在公网传输不安全

68、？输不安全？长途拨号，长途拨号，成本太高？成本太高？VPN的需求之四：的需求之四：降低远程传输成本降低远程传输成本Internet67图图10-1VPN的隧道技术的隧道技术68VPN 的类型的类型 按按VPNVPN的服务类型大致分为三类的服务类型大致分为三类 内部网内部网VPNVPN4.4. 按按VPNVPN的服务类型分类的服务类型分类 下面从下面从5 5种不同的角度介绍种不同的角度介绍VPNVPN的分类。的分类。外联网外联网VPNVPN 远程访问远程访问VPNVPN69VPN 的类型的类型 按按VPNVPN的服务类型大致分为三类的服务类型大致分为三类4.4. 按按VPNVPN的服务类型分类的

69、服务类型分类 下面从下面从5 5种不同的角度介绍种不同的角度介绍VPNVPN的分类。的分类。 远程访问远程访问VPNVPN70VPN 的类型的类型 按按VPNVPN的服务类型大致分为三类的服务类型大致分为三类4.4. 按按VPNVPN的服务类型分类的服务类型分类 下面从下面从5 5种不同的角度介绍种不同的角度介绍VPNVPN的分类。的分类。 外联网外联网VPNVPN71SSLVPN4.4. SSL VPN SSL VPN 的应用模式及特点的应用模式及特点 ： Web浏览器模式解决方案浏览器模式解决方案SSLSSL握手开始握手开始Web浏浏览览器器SSLVPN服服务务器器WWW服服务务器器安全通

70、道内安全通道内的数据传送的数据传送SSLSSL握手结束握手结束SSLSSL安全通道安全通道内数据传送内数据传送图图10.9 Web10.9 Web浏览器模式工作流程浏览器模式工作流程72SSLVPN4.4. SSL VPN SSL VPN 的应用模式及特点的应用模式及特点 ： SSL VPN 客户端模式解决方案客户端模式解决方案图图10.10 SSL VPN 10.10 SSL VPN 客户端模式工作流程客户端模式工作流程建立连接建立连接应应用用客客户户端端SSLVPN客客户户端端应应用用服服务务器器内部通道内内部通道内的数据传送的数据传送本机通道内本机通道内的数据传送的数据传送SSLVPN服

71、服务务器器SSLSSL握手开始握手开始SSLSSL握手结束握手结束SSLSSL安全通道安全通道内数据传送内数据传送73SSLVPN4.4. SSL VPN SSL VPN 的应用模式及特点的应用模式及特点 ： LAN到到 LAN 模式的解决方案模式的解决方案建立连接建立连接应应用用客客户户端端SSLVPN服服务务端端应应用用服服务务器器内部通道内内部通道内的数据传送的数据传送本机通道内本机通道内的数据传送的数据传送图图10.11 LAN 10.11 LAN 到到 LAN LAN 模式工作流程模式工作流程SSLVPN服服务务器器SSLSSL握手开始握手开始SSLSSL握手结束握手结束SSLSSL

72、安全通道安全通道内数据传送内数据传送747576公共传输网络公共传输网络一般连接通道一般连接通道隧隧 道道77图示_02单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字内容单击此处添加标题文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字内容单击

73、此处添加标题文字内容78图图10-1VPN的隧道技术的隧道技术79图示_04单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容01020304050607080901020304050607文字内容文字内容文字内容文字内容文字内容文字内容80图示_05单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加

74、文字内容单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容81图01单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容82图示_02单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此

75、处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容83图示_03单击此处添加文字单击此处添加文字单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添

76、加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容84图示_04876570619083加拿大加拿大俄罗斯俄罗斯美国美国中国中国荷兰荷兰德国德国85图示_05单击此处单击此处添加文字添加文字86感谢您的关注感谢您的关注 87图示_01单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容

77、单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容88图示_02单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字89图示_03单击此处添加文字单击此处添加文字n段落一：单击添加内容文字单击添加段落文字单击添加段落文字。n段落二：单击添加内容文字单

78、击添加段落文字单击添加段落文字。n段落三：单击添加内容文字单击添加段落文字单击添加段落文字单击添加段落文字单击添加段落文字。90图示_04文字内容文字内容01020304050607080文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容454136575439文字内容文字内容48文字内容文字内容60单击此处添加文字单击此处添加文字91图示_05单击此处单击此处添加文字添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加内容文字单击此处添加内容文字单击此处添加内容文字单击此处添加内容文字单击此处添加内容文字单击此处添

79、加内容文字92图示_01单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容93图示_02单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单

80、击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容94图示_03单击此处添加文字单击此处添加文字单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加文字单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击

81、此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容95图示_04876570619083加拿大加拿大俄罗斯俄罗斯美国美国中国中国荷兰荷兰德国德国96图示_05单击此处单击此处添加文字添加文字97图示_01单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容98图示_02单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加

82、文字内容单击此处添单击此处添加文字内容加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添单击此处添加文字内容加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添单击此处添加文字内容加文字内容文字内容文字内容99图示_03100图示_04010203040506070809文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内

83、容文字内容101图示_01单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字单击此处添加标题文字单击此处添加文字内容单击此处添加文字内容

84、单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容102图示_02l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字单击此处添加标题文字l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字单击此处添加标题文字1

85、03图示_03单击此处添加标题文字单击此处添加标题文字单击此处添加标题文字单击此处添加标题文字l单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容 单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容104图示_04010203040506070809单单击击此此处处添添加加文文字字内

86、内容容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容单单击击添添加加文文字字105图示_05单击此处单击此处添加文字添加文字单击此处单击此处添加文字添加文字单击此处单击此处添加文字添加文字单击此处单击此处添加文字添加文字单击此处单击此处添加文字添加文字l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字单击

87、此处添加标题文字106图示_01单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容107图示_04单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容单击此处添加文字内容01020304050607080901020304050607文字内容文字内容文字内容文字内容文字内容文字内容108图示_05109因特网因特网加密通道加密通道总部局域网总部局域网合作伙伴局域网合作伙伴局域网VPN服务器服务器图图10.8 外部网外部网VPN公共服务器公共服务器防火墙防火墙VPN服务器服务器防

88、火墙防火墙110图示_04010203040506070809单单击击此此处处添添加加文文字字内内容容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容文字内容单单击击添添加加文文字字111图示_05单击此处单击此处添加文字添加文字单击此处单击此处添加文字添加文字单击此处单击此处添加文字添加文字单击此处单击此处添加文字添加文字单击此处单击此处添加文字添加文字l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容l单击此处添加文字内容单击此处添加文字内容单击此处添加标题文字单击此处添加标题文字112