搜索
第8章网络安全高等学校计算机专业教材精选李联宁陆丽娜第8章网络安全•网络安全从其本质上来讲就是网络上的信息安全。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。•网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。8.1.1网络安全威胁分析1.物理安全总体来说物理安全的风险主要有：•地震、水灾、火灾等环境事故；•电源故障；•人为操作失误或错误；•设备被盗、被毁；•电磁干扰；线路截获；8.1.1网络安全威胁分析2.网络结构的安全•网络拓扑结构设计也直接影响到网络系统的安全性。假如在外部和内部网络进行通信时，内部网络的机器安全就会受到威胁。•因此，我们在设计时有必要将公开服务器（WEB、DNS、EMAIL等）和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；同时还要对外网的服务请求加以过滤。8.1.1网络安全威胁分析3.系统的安全•所谓系统的安全是指整个网络操作系统和网络硬件平台是否可靠且值得信任。•不同的用户应从不同的方面对其网络作详尽的分析，选择安全性尽可能高的操作系统。•因此不但要选用尽可能可靠的操作系统和硬件平台，并对操作系统进行安全配置。8.1.1网络安全威胁分析4.应用系统的安全•（1）应用系统的安全是动态的、不断变化的。在应用系统的安全性上，主要考虑尽可能建立安全的系统平台，而且通过专业的安全工具不断发现漏洞，修补漏洞。•（2）应用的安全性涉及到信息、数据的安全性。对用户使用计算机必须进行身份认证，对于重要信息的通讯必须授权，传输必须加密。8.1.1网络安全威胁分析5.管理的安全风险•最可行的做法是制定健全的管理制度和严格管理相结合。•保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。8.1.2网络安全服务的主要内容1.安全技术手段•物理措施：例如，保护网络关键设备(如交换机、大型计算机等)，制定严格的网络安全规章制度，采取防辐射、防火以及安装不间断电源（UPS）等措施。•访问控制：对用户访问网络资源的权限进行严格的认证和控制。例如，进行用户身份认证，对口令加密、更新和鉴别，设置用户访问目录和文件的权限等等。8.1.2网络安全服务的主要内容•数据加密：加密是保护数据安全的重要手段。加密的作用是保障信息被人截获后不能读懂其含义。防止计算机网络病毒，安装网络防病毒系统。•其他措施：其他措施包括信息过滤、容错、数据镜像、数据备份和审计等。•近年来，围绕网络安全问题提出了许多解决办法，例如数据加密技术和防火墙技术等。8.1.2网络安全服务的主要内容2.安全防范意识•拥有网络安全意识是保证网络安全的重要前提。•许多网络安全事件的发生都和缺乏安全防范意识有关。•整体的网络安全主要表现在以下几个方面：网络的物理安全、网络拓扑结构安全、网络系统安全、应用系统安全和网络管理的安全等。8.1.3Internet安全隐患的主要体现•1．Internet是一个开放的、无控制机构的网络，黑客（Hacker）经常会侵入网络中的计算机系统，或窃取机密数据和盗用特权，或破坏重要数据，或使系统功能得不到充分发挥直至瘫痪。•2．Internet的数据传输是基于TCP/IP通信协议进行的，这些协议缺乏使传输过程中的信息不被窃取的安全措施。8.1.3Internet安全隐患的主要体现•3．Internet上的通信业务多数使用Unix操作系统来支持，Unix操作系统中明显存在的安全脆弱性问题会直接影响安全服务。•4．在计算机上存储、传输和处理的电子信息，还没有像传统的邮件通信那样进行信封保护和签字盖章。信息的来源和去向是否真实，内容是否被改动，以及是否泄露等，在应用层支持的服务协议中是凭着君子协定来维系的。8.1.3Internet安全隐患的主要体现•5．电子邮件存在着被拆看、误投和伪造的可能性。使用电子邮件来传输重要机密信息会存在着很大的危险。•6．计算机病毒通过Internet的传播给上网用户带来极大的危害，病毒可以使计算机和计算机网络系统瘫痪、数据和文件丢失。在网络上传播病毒可以通过公共匿名FTP文件传送、也可以通过邮件和邮件的附加文件传播。8.1.4网络安全攻击的形式•主要有四种方式:中断、截获、修改和伪造。截获篡改伪造中断被动攻击主动攻击目的站源站源站源站源站目的站目的站目的站网络安全攻击的形式8.1.4网络安全攻击的形式•中断是以可用性作为攻击目标，它毁坏系统资源，使网络不可使用。•截获是以保密性作为攻击目标，非授权用户通过某种手段获得对系统资源的访问。•修改是以完整性作为攻击目标，非授权用户不仅获得访问而且对数据进行修改。•伪造是以完整性作为攻击目标，非授权用户将伪造的数据插入到正常传输的数据中。8.2防火墙技术•古时候，人们常在寓所之间砌起一道砖墙，一旦火灾发生，它能够防止火势蔓延到别的寓所。自然，这种墙被命名为“防火墙”。•为安全起见，可以在本网络和Internet之间插入一个中介系统，阻断来自外部通过网络对本网络的威胁和入侵，这种中介系统叫做“防火墙”。8.2.1防火墙的基本概念•防火墙是由软件、硬件构成的系统，是一种特殊编程的路由器，用来在两个网络之间实施接入控制策略。•接入控制策略是由使用防火墙的单位自行制订的，为的是可以最适合本单位的需要。•Internet防火墙决定了哪些内部服务可以被外界访问；外界的哪些人可以访问内部的哪些服务，以及哪些外部服务可以被内部人员访问。8.2.1防火墙的基本概念1、Internet防火墙与安全策略的关系•防火墙不仅仅是路由器、堡垒主机、或任何网络安全的设备的组合，防火墙是安全策略的一个部分。•安全策略建立全方位的防御体系，包括：公司规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及雇员培训等。8.2.1防火墙的基本概念(1)防火墙的功能•防火墙的功能有两个：阻止和允许。•“阻止”就是阻止某种类型的通信量通过防火墙（从外部网络到内部网络，或反过来）。•“允许”的功能与“阻止”恰好相反。•防火墙必须能够识别通信量的各种类型。不过在大多数情况下防火墙的主要功能是“阻止”。8.2.1防火墙的基本概念(2)联网监控•在防火墙上可以很方便的监视网络的安全性，并产生报警。（注意：对一个与Internet相联的内部网络来说，重要的问题并不是网络是否会受到攻击，而是何时受到攻击？谁在攻击？）•网络管理员必须审计并记录所有通过防火墙的重要信息。如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。8.2.1防火墙的基本概念(3)防火墙在互连网络中的位置•防火墙内的网络称为“可信赖的网络”(trustednetwork)，而将外部的因特网称为“不可信赖的网络”(untrustednetwork)。G内联网可信赖的网络不可信赖的网络分组过滤路由器R分组过滤路由器R应用网关外局域网内局域网防火墙因特网8.2.1防火墙的技术类别1.包过滤防火墙•采用这种技术的防火墙产品，通过在网络中的适当位置对数据包进行过滤。•检查数据流中每个数据包的源地址、目的地址、所有的TCP端口号和TCP链路状态等要素，•然后依据一组预定义的规则，以允许合乎逻辑的数据包通过防火墙进入到内部网络，而将不合乎逻辑的数据包加以删除。8.2.1防火墙的技术类别2.代理服务器防火墙•代理服务器运行在两个网络之间，它对于客户来说像是一台真的服务器一样，而对于外界的服务器来说，它又是一台客户机。•当代理服务器接收到用户的请求后，会检查用户请求的站点是否符合公司的要求，如果公司允许用户访问该站点的话，代理服务器会像一个客户一样，去那个站点取回所需信息再转发给客户。8.2.1防火墙的技术类别3.状态监视器防火墙•这种防火墙安全特性较好，它采用了一个在网关上执行网络安全策略的软件引擎，称之为检测模块。•检测模块在不影响网络正常工作的前提下，采用抽取相关数据的方法对网络通信的各层实施监测，抽取部分数据，即状态信息，并动态地保存起来作为以后指定安全策略的参考。8.2.2防火墙的结构•在防火墙与网络的配置上，有三种典型结构：双宿／多宿主机模式、屏蔽主机模式和屏蔽子网模式。•堡垒主机(bastionhost)堡垒主机是一种配置了较为全面安全防范措施的网络上的计算机，从网络安全上来看，堡垒主机是最强壮的系统。通常情况下，堡垒主机可作为代理服务器的平台。8.2.2防火墙的结构1.双宿／多宿主机模式•双宿／多宿主机防火墙(Dual-Homed／Multi-HomedFirewall)是一种拥有两个或多个连接到不同网络上的网络接口的防火墙，•通常用一台装有两块或多块网卡的堡垒主机做防火墙，网卡各自与受保护网和外部网相连。•特点是主机的路由功能是被禁止的，两个网络之间的通信通过应用层代理服务来完成。8.2.2防火墙的结构•双重宿主主机的防火墙体系结构是相当简单的：双重宿主主机位于两者之间，并且被连接到外部网和内部网。双重宿主主机体系结构8.2.2防火墙的结构2屏蔽主机模式•屏蔽主机防火墙(ScreenedFirewall)由包过滤路由器和堡垒主机组成。•在这种方式的防火墙中，堡垒主机安装在内部网络上，通常在路由器上设立过滤规则，并使这个堡垒主机成为外部网络惟一可直接到达的主机，这保证了内部网络不被未经授权的外部用户的攻击。8.2.2防火墙的结构单地址堡垒主机双地址堡垒主机8.2.2防火墙的结构3屏蔽子网模式•屏蔽子网防火墙(ScreenedSubnetModeFirewall)的配置采用了两个包过滤路由器和一个堡垒主机，在内外网络之间建立了一个被隔离的子网，定义为“非军事区(demilitarizedzone)”网络。•网络管理员将堡垒主机、WEB服务器、Email服务器等公用服务器放在非军事区网络中。•内部网络和外部网络均可访问屏蔽子网，但禁止它们穿过屏蔽子网通信。8.2.2防火墙的结构•屏蔽子网体系结构的最简单的形式为，两个屏蔽路由器，每一个都连接到周边网络。一个位于周边网络与内部的网络之间，另一个位于周边网络与外部网络之间（通常为Internet）。屏蔽子网体系结构8.2.3防火墙产品选购策略和使用防火墙的部署8.3入侵检测•入侵检测（IntrusionDetection）是对入侵行为的检测。•它通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。8.3入侵检测•入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。•入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测。•入侵检测是防火墙的合理补充，帮助系统对付网络攻击，8.3.1入侵检测技术1．特征检测•特征检测(Signature-baseddetection)假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。•它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。•其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。8.3.1入侵检测技术2．异常检测•异常检测(Anomalydetection)的假设是入侵者活动异常于正常主体的活动。•根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。8.3.2入侵防御系统•入侵检测系统（Intrusion-detectionsystem，下称“IDS”）是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。•它与其他网络安全设备的不同之处便在于，IDS是一种积极主动的安全防护技术。8.3.2入侵防御系统1.IDS入侵检测系统是一个监听设备•我们做一个形象的比喻