第2章网络安全简介安全概念网络安全基础知识网络安全的含义网络安全从其本质上来讲就是网络上的信息安全。它涉及的领域相当广泛。这是因为在目前的公用通信网络中存在着各种各样的安全漏洞和威胁。从广义来说,凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论,都是网络安全所要研究的领域。下面给出网络安全的一个通用定义:网络安全是指网络系统的硬件、软件及其系统中的数据受到保护,不受偶然的或者恶意的原因而遭到破坏、更改、泄露,系统连续、可靠、正常地运行,网络服务不中断。3.1网络安全基础知识网络安全在不同的环境和应用中有不同的解释:(1)运行系统安全,即保证信息处理和传输系统的安全,涉及计算机系统安全、物理上的安全等。侧重于保证系统的正常运行。(2)网络上系统信息的安全,包括用户识别、访问控制、安全审计跟踪、病毒防治、加密等。(3)网络上信息传播的安全,即信息传播后果的安全,包括信息过滤等,侧重于防止和控制非法有害信息传播的后果。(4)网络上信息内容的安全,即我们讨论的狭义的“信息安全”,侧重于保护信息的保密性、完整性、真实性,以及防止假冒等。本质上是保护用户的利益和隐私。计算机网络安全的含义是通过各种密码技术和信息安全技术,保护在通信网络中传输、交换和存储信息的机密性、完整性和真实性,并对信息的传播及内容有控制能力。网络安全的结构层次包括物理安全、安全控制和安全服务。3.1网络安全基础知识网络安全的特征:(1)保密性confidentiality:信息不泄露给非授权的用户、实体或过程,或供其利用的特性。(2)完整性integrity:数据未经授权不能进行改变的特性,即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。(3)可用性availability:可被授权实体访问并按需求使用的特性,即当需要时应能存取所需的信息。网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击。(4)可控性controllability:对信息的传播及内容具有控制能力。网络安全基础知识对网络安全的威胁(1)非授权访问(UnauthorizedAccess):一个非授权用户的入侵。(2)信息泄露(DisclosureofInformation):造成将有价值的和高度机密的信息暴露给无权访问该信息的人的所有问题。(3)拒绝服务(DenialofService):使得系统难以或不可能继续执行任务的所有问题。评估这些威胁涉及到受影响用户数量和可能被泄露的信息的机密性。网络威胁并不是对计算机安全性的唯一威胁,拒绝服务也不是唯一的原因,授权用户的失误而泄露的信息多于非授权入侵泄露的信息。此外,物理安全性的投资也应给予足够的重视。网络安全基础知识网络安全的关键技术主机安全技术。身份认证技术。访问控制技术。密码技术。防火墙技术。安全审计技术。安全管理技术。网络安全基础知识网络的安全策略网络安全政策的两个方面总体策略:安全政策的总体思想具体规则:哪些是允许的,哪些是被禁止的实施安全策略应注意避免的问题全局政策过于烦琐,而不是一个决定或方针安全政策没有被真正执行,只是一纸空文策略的实施成了仅仅是管理者的事,用户不积极参与3.1网络安全基础知识网络安全性策略应包含的内容网络用户的安全责任:该策略可以要求用户每隔一段时间改变其口令;使用符合一定准则的口令;执行某些检查,以了解其账户是否被别人访问过等。重要的是,凡是要求用户做到的,都应明确地定义。系统管理员的安全责任:该策略可以要求在每台主机上使用专门的安全措施、登录标题报文、监测和记录过程等,还可列出在连接网络的所有主机中不能运行的应用程序。正确利用网络资源:规定谁可以使用网络资源,他们可以做什么,他们不应该做什么等。如果用户的单位认为电子邮件文件和计算机活动的历史记录都应受到安全监视,就应该非常明确地告诉用户,这是其政策。检测到安全问题时的对策:当检测到安全问题时应该做什么?应该通知谁?这些都是在紧急的情况下容易忽视的事情。理解安全理念安全(security)的定义是“防范潜在的危机”。保险(safety)则稍有不同,它更侧重于可得性和连续的操作。而真正的安全是关于网络的每一个部分的。AuthenticationAuthorizationAccountingAssuranceConfidentialityDataIntegrity安全策略管理ConnectivityPerformanceEaseofUseManageabilityAvailabilityAccessSecurity网络系统安全理念安全不是纯粹的技术问题,是一项复杂的系统工程—信息安全工程论安全是策略,技术与管理的综合组织人才政策法规安全技术安全策略管理Max.安全风险投资、效率与可用性Min.Max.理解安全理念…Min.Max.安全曲线…投资额安全性最优平衡点安全要素完整性(Integrality)是指信息在存储或传输时不被修改、破坏,或信息包的丢失、乱序等。信息的完整性是信息安全的基本要求,破坏信息的完整性是影响信息安全的常用手段。可靠性(Availability)是指信息的可信度,接收者能接收到完整正确的信息,以及发送者能正确地发送信息。可靠性也是信息安全性的基本要素。机密性(Confidentiality)它主要利用现代密码技术对信息进行加密处理,防止静态信息的非授权访问和动态信息的非法泄漏或被截取。从某种意义上说,加密是实现信息安全的有效而且必不可少的技术手段。可控性可审查性不可否认性安全实务目标保障信息与网络系统稳定可靠地运行保证网络资源受控合法地使用方法安全法规、法律、政策技术方法、手段步骤信息安全工程的方法通俗的安全“进不来”使用访问控制机制,阻止非授权用户进入网络,“进不来”“拿不走”使用授权机制,实现对用户的权限控制,即不该拿走的,“拿不走”;“看不懂”使用加密机制,确保信息不暴漏给未授权的实体或进程,即“看不懂”;“改不了”使用数据完整性鉴别机制,保证只有得到允许的人才能修改数据,而其它人“改不了”;“走不脱”使用审计、监控、防抵赖等安全机制,使得攻击者、破坏者、抵赖者走不脱。安全技术网络安全的主要技术密码技术计算机病毒防治技术信息泄露防护技术鉴别,授权和身份认证技术防火墙技术VPN安全网关/信息网关技术弱点漏洞分析/渗透式分析技术监测,预警与响应技术内容安全技术应用安全技术安全路由器系统安全技术数据库安全技术物理隔离技术灾难恢复与备份技术密码技术密码技术信息安全的基础信源、信道、信宿攻击的种类:被动攻击截取(Interception)–侦听,获取消息内容,流量分析被动攻击中断(Interruption)–干扰,破坏可用性修改(Modification)–破坏完整性伪造(Fabrication)–破坏真实性角色:通信双方、可信第三方、不可信第三方介质:软件、硬件、数据病毒防治技术病毒,是指能够破坏计算机系统,影响计算机工作并能实现自我复制的一段程序或指令代码。计算机病毒/网络病毒病原体(病毒库)是病毒防止技术的关键VirusVsTrojanHorse(C/S程序)传播方式(介质/下载/邮件/软件…)信息泄露防治技术辐射线路窃听带宽的增加,威胁逐渐减少鉴别,授权和身份认证技术鉴别用来验证系统实体和系统资源(如用户、进程、应用)的身份,例如鉴别想访问数据库的人的身份,确定是谁发送了报文,防止有人假冒。授权是为完成某项任务而使用资源的权利、特权、许可证的证据,这种授权必须在系统资源的整个操作过程中始终如一地可靠地使用,还可对使用网络服务,访问一些数据的敏感部分,规定特殊的授权要求。身份认证系统加强了原有的基于账户和口令的访问控制,提供了授权、访问控制、用户身份识别、对等实体鉴别、抗抵赖等功能。OTP:一次一密的认证机制动态口令:有基于时钟的动态口令机制生物技术:生理特征的认证机制,眼睛或手指IC卡:作为身份的秘密信息存储在IC卡IdentifyServer统一口令规则/配置•内部访问•拨号访问•Internet访问•RADIUS/TACACS•MSLogin•OTP•PKI/Certificates•COPS/DIAMETER•DHCP/DNSmapping•LDAP防火墙技术防火墙是作为网络安全的第一道防线,是把内部网和公共网分隔的特殊网络互连设备,可以用于网络用户访问控制、认证服务、数据过滤等…安全区划/安全级别防火墙技术要点包过滤(PacketFilter)地址转换NAT/端口转换PAT地址绑定(Mac)端口映射PMap/地址映射NMap地址过滤/内容过滤/时间段控制应用代理/传输代理日志/审计/响应/日志处理VPN/入侵检测/地址欺骗身份认证/OTP流量管理/计费管理/动态路由TCP/IP/IPX透明接入/非透明接入双机冷备/双机热备/负载均衡本地管理/远程管理/集中管理/用户分权界面(CLI/GUI/WEB)防火墙职责…防火墙应该作什么?安全边界访问控制保护敏感的数据服务器机群/关键的应用防火墙不用该作什么?深层次入侵检测病毒过滤其他防火墙技术发展趋势与IDS的连动/互动连动的风险/利弊得失弱点漏洞分析/渗透式分析技术基于弱点漏洞的安全管理(风险管理)入侵成功三要素机会/动机/机会黑客的机会=企业的风险风险=弱点漏洞+错误(不恰当)配置/误操作风险识别风险度量风险控制风险管理入侵检测技术基于网络行为的安全管理(行为管理)防火墙技术的补充模式发现技术前提:所有入侵行为和手段(及其变种)都能够表达为一种模式或特征关键:如何表达入侵的模式,把真正的入侵与正常行为区分开来局限:它只能发现已知的攻击,对未知的攻击无能为力入侵检测技术异常发现技术前提:所有入侵行为都是与正常行为不同的关键:异常阀值与特征的选择局限:并非所有的入侵都表现为异常,而且系统的轨迹难于计算和更新入侵检测技术信息采集技术分片重组(Fragment)技术会话跟踪技术解码技术自定义规则……入侵检测技术Honeypot/Honeynet主动防御的主机、僚机网络模型网络攻击的诱骗方法实时追踪攻击行为,快速查找定位攻击源主机与僚机的动态自动切换僚机对攻击来源的吸收与反击模型自动瘫痪攻击路径信息监控与过滤技术网络作为媒体的网络,它在舆论、道德和文化等层面威胁和损害国家利益;网络作为一种信息通道和国家运行管理环境,它为境外敌对势力和间谍情报组织提供手段,从而威胁和损害国家利益。基于信息流的安全管理(内容管理)信息挖掘技术信息过滤技术反路由技术VPN技术虚拟专用网(VirutalPrivateNetwork,VPN)技术指一种特殊的私有数据通信网络,特殊之处在于VPN是建立在Internet等公共网络上而非通过物理的专线连接而成,它通过一个安全私用的通道来将远程用户、公司分支机构、公司的业务伙伴等和公司的企业网连接起来,构成一个扩展的公司企业网。VPN技术VPN采用了密码学领域的成熟技术数据机密性:用加密来隐藏明文信息,防范窃听者;数据完整性:证实数据报文在传输过程中未被修改过;数据源认证:证实数据报文是所声称的发送者发出的。IPSecIPSec提供:•数据验证•数据机密性•防止重播•安全通道建立基于标准的Internet访问IPSec技术关键技术:IPSec技术是目前最重要的加密技术。IPSec在两个端点之间通过建立安全联盟(SA)进行数据传输。SA定义了数据保护中使用的协议和算法以及安全联盟的有效时间等属性。IPSec有隧道和传输两种工作方式。能够解决的安全问题:与VPN技术结合保证用户数据传输的私有性、完整性、真实性和防重放性EncryptedIPHDRIPHDRDATAIPSecHDRDATATransportMo