网络安全技术 第二章

第二章计算机网络安全体系结构第二章计算机网络安全体系结构第一节网络安全体系结构的概念第二节网络安全体系结构的内容第三节网络安全的协议与标准第四节网络安全的评估第二章计算机网络安全体系结构一、网络体系结构网络协议（protocol）为进行网络中的信息交换而建立的共同规则、标准或约定第二章计算机网络安全体系结构一、网络体系结构网络体系结构在网络的实际应用中，计算机系统与计算机系统之间许多的互连、互通、互操作过程，一般都不能只依靠一种协议，而需要执行许多种协议才能完成。全部网络协议以层次化的结构形式所构成的集合，就称为网络体系结构。A站接口接口物理层协议应用层表示层会话层传递层网络层数据链路层物理层应用层表示层会话层传递层网络层数据链路层物理层应用层协议表示层协议会话层协议传递层协议网络层协议数据链路层协议第一层第二层第三层第四层第五层第六层第七层B站图2.1开放系统互连/参考模型（OSI/RM）一、网络体系结构第二章计算机网络安全体系结构二、网络安全需求第二章计算机网络安全体系结构网络安全的需求可表述为五个主要方面：１.保密性保密性是指确保非授权用户不能获得网络信息资源的性能。为此要求网络具有良好密码体制、密钥管理、传输加密保护、存储加密保护、防电磁泄漏等功能。二、网络安全需求第二章计算机网络安全体系结构2.完整性完整性是指确保网络信息不被非法修改、删除或增添，以保证信息正确、一致的性能。为此要求网络的软件、存储媒体以及信息传递与交换过程中都具有相应的功能。性是指确保非授权用户不能获得网络信息资源的性能。为此要求网络具有良好密码体制、密钥管理、传输加密保护、存储加密保护、防电磁泄漏等功能。二、网络安全需求第二章计算机网络安全体系结构3.可用性可用性是指确保网络合法用户能够按所获授权访问网络资源、同时防止对网络非授权访问的性能。为此要求网络具有身份识别、访问控制以及对访问活动过程进行审计的功能。二、网络安全需求第二章计算机网络安全体系结构4.可控性可控性是指确保合法机构按所获授权能够对网络及其中的信息流动与行为进行监控的性能。为此要求网络具有相应的多方面的功能。二、网络安全需求第二章计算机网络安全体系结构5.真实性又称抗抵赖性，是指确保接收到的信息不是假冒的，而发信方无法否认所发信息的性能。为此要求网络具有数字取证、证据保全等功能。三、网络安全体系结构的任务第二章计算机网络安全体系结构网络安全体系结构的任务是提供有关形成网络安全方案的方法和若干必需遵循的思路、原则和标准。它给出关于网络安全服务和网络安全机制的一般描述方式，以及各种安全服务与网络体系结构层次的对应关系。第二章计算机网络安全体系结构第一节网络安全体系结构的概念第二节网络安全体系结构的内容第三节网络安全的协议与标准第四节网络安全的评估第二章计算机网络安全体系结构一、开放系统互连安全体系结构OSI安全体系结构的核心内容在于：以实现完备的网络安全功能为目标，描述了６大类安全服务，以及提供这些服务的8大类安全机制和相应的OSI安全管理，并且尽可能地将上述安全服务配置于开放系统互连/参考模型（OSI/RM）7层结构的相应层之中。第二章计算机网络安全体系结构一、开放系统互连安全体系结构由此形成的OSI安全体系结构的三维空间表示，如图2.2所示。图中所示空间的三维分别代表：安全机制、安全服务以及OSI网络结构层。图2.2OSI安全体系结构的三维空间表示第二章计算机网络安全体系结构一、开放系统互连安全体系结构1.OSI安全体系结构的安全服务OSI安全体系结构描述的６大类安全服务及其作用见表2.1。表2.1OSI安全体系结构描述的６大类安全服务及其作用序号安全服务作用1对等实体鉴别服务确保网络同一层次连接两端的对等实体身份真实、合法。2访问控制服务防止未经许可的用户访问OSI网络的资源。3数据保密服务防止未经许可暴露网络中数据的内容4数据完整性服务确保接收端收到的信息与发送端发出的信息完全一致，防止在网络中传输的数据因网络服务质量不良而造成错误或丢失，并防止其受到非法实体进行的篡改、删除、插入等攻击。5数据源点鉴别服务由OSI体系结构的第N层向其上一层即第（N＋１）层提供关于数据来源为一对等（N＋１）层实体的鉴别。6不容否认服务，又称抗抵赖服务防止数据的发送者否认曾经发送过该数据或数据中的内容，防止数据的接收者否认曾经收到过该数据或数据中的内容第二章计算机网络安全体系结构一、开放系统互连安全体系结构以上所述OSI安全体系结构提供的６大类安全服务，是配置在OSI/RM7层结构的相应层中来实现的。表2.2列举了OSI安全体系结构中安全服务按网络层次的配置。表中有符号“√”处，表示在该层能提供该项服务。表2.2OSI安全体系结构中安全服务按网络层次的配置安全服务网络层次物理层数据链路层网络层传送层会话层表示层应用层对等实体鉴别√√√访问控制√√√√数据保密√√√√√√数据完整性√√√数据源点鉴别√√√√不容否认√第二章计算机网络安全体系结构一、开放系统互连安全体系结构2．OSI安全体系结构的安全机制按照OSI安全体系结构，为了提供以上所列６大类安全服务，采用下列8大类安全机制来实现：加密机制、数据签名机制、公证机制、数据完整性机制、交换鉴别机制、业务流填充机制、路由控制机制、访问控制机制。第二章计算机网络安全体系结构一、开放系统互连安全体系结构安全机制是用来实现和提供安全服务的，但给定一种安全服务，往往需要多种安全机制联合发挥作用来提供；而某一种安全机制，往往又为提供多种安全服务所必需。表2.3指明了OSI安全体系结构中安全机制与安全服务的对应关系。表中有符号“√”处，表示该安全机制支持该安全服务。第二章计算机网络安全体系结构一、开放系统互连安全体系结构表2.3OSI安全体系结构中安全机制与安全服务的对应关系安全服务安全机制数据加密数据签名访问控制数据完整性交换鉴别业务流填充路由控制公证对等实体鉴别√√√√访问控制√数据保密√√√数据完整性√√√数据源点鉴别√√不容否认√√√第二章计算机网络安全体系结构二、美国防部目标安全体系结构与国防信息系统安全计划1．DISSP的目的（1）保证国防部对DISSP的利用和管理；（2）将所有的网络和信息系统高度自动化，以便使用；（3）确保网络和信息系统的有效、安全、可互操作；（4）促进国防信息系统的协调、综合开发；（5）建立能使各个国防机构、各军种以及北约和美盟国的所有网络和信息系统彼此之间具有良好互操作性的安全结构。美国防部早在1992年就制定了“21世纪构想——国防信息系统安全计划”（DISSP）。这一庞大的计划包括了5个目的和8项任务，是一个为达到上述目标、实现向目标安全体系结构（DGSA）过渡的计划。第二章计算机网络安全体系结构2．DISSP的任务（1）确定一个统一、协调的网络安全策略；（2）开发全美国防网络和信息系统安全结构；（3）开发基于上述安全结构的网络安全标准和协议；（4）确定统一的网络安全认证标准；（5）开发先进的网络安全技术；（6）建立网络和信息系统的开发者、实现者与使用者之间的有效协调；（7）制定达成预定目的的过渡计划；（8）将有关信息及时通报供应商。二、美国防部目标安全体系结构与国防信息系统安全计划第二章计算机网络安全体系结构二、美国防部目标安全体系结构与国防信息系统安全计划3．DISSP提供的安全体系结构及其特点DISSP提供的安全体系结构框架可用如图2.３所示的三维空间模型来表示。图中所示空间的三维分别代表：网络安全特性与部分操作特性，网络与信息系统的组成部分，以及OSI网络结构层及其扩展层。图2.3DISSP的安全体系结构框架第二章计算机网络安全体系结构与OSI安全体系结构（ISO7498—2）相比，DISSP提供的安全体系结构具有如下的特点：1.从最高层着眼，统筹解决全部国防网络与信息系统的安全问题，不允许任何下属层次各自为政、分别建立自己的安全体系。二、美国防部目标安全体系结构与国防信息系统安全计划第二章计算机网络安全体系结构2.把网络与信息系统的组成简化归结为４个部分，即：端系统、网络、接口、安全管理。这样便于网络与信息系统的管理人员与安全体系设计人员之间的协商与协作，便于安全策略的落实和安全功能的完善。这是该安全体系结构的一大创新。二、美国防部目标安全体系结构与国防信息系统安全计划第二章计算机网络安全体系结构二、美国防部目标安全体系结构与国防信息系统安全计划3.在网络安全特性中增列了“物理、规程及人员安全特性”，从而第一次将有关安全的法律、法令、规程以及人事管理等工作都纳入安全体系结构，由此使安全问题能够更有效地全面统筹解决。第二章计算机网络安全体系结构二、美国防部目标安全体系结构与国防信息系统安全计划4.把网络安全体系受到局部破坏或功能降低情况下仍能继续工作且受敌危害最小的特性，列作要求的安全特性。5.从多个角度，特别强调了在确保网络安全性的同时，要保证网络具有足够的互操作性。第二章计算机网络安全体系结构表2.4TCP/IP体系结构与OSI体系结构的对应关系三、基于TCP/IP的网络安全体系结构TCP/IP体系结构也是一种分层结构，其中的每一层，都对应于OSI体系结构的某一层或某几层。其具体的对应关系，如表2.4所示。TCP/IP体系结构OSI体系结构应用层FTP（文件传输协议）Telent（远程登录协议）SMT（简单邮件传输协议）SNMT（简单网络管理协议）应用层（AL）表示层（PL）会话层（SL）传送层TCP（传输控制协议）、UDP（用户数据报文协议）传送层（TL）互联网层路由协议IP（网际协议）ICMP（网络互联控制报文协议）网络层（NL）ARP（地址解析协议）、RARP（反向地址解析协议）网络接口层不指定数据链路层（DLL）物理层（PHL）第二章计算机网络安全体系结构表2.5基于TCP/IP的网络安全体系结构中安全服务按网络层次的配置基于TCP/IP的网络安全体系结构中，安全服务按网络层次的配置情况如表2.5所示。表中有符号“√”处，表示在该层能提供该项服务。安全服务TCP/IP体系结构层次网络接口层互联网层传送层应用层对等实体鉴别√√√访问控制√√√数据保密√√√√数据完整性√√√数据源点鉴别√√√不容否认√三、基于TCP/IP的网络安全体系结构第二章计算机网络安全体系结构第一节网络安全体系结构的概念第二节网络安全体系结构的内容第三节网络安全的协议与标准第四节网络安全的评估第二章计算机网络安全体系结构一、网络安全协议与标准的基本概念协议是网络的同一层次实体之间、为了相互配合完成本层次功能而作的约定。所以，协议是网络体系结构的最终体现形式。对于网络安全体系结构而言，它的基本构成成分和最终体现形式就是网络安全协议。第二章计算机网络安全体系结构二、网络安全协议与标准举例美军JTA的信息系统安全标准JTA的信息系统安全标准本身又包括四个方面的标准，即：1.信息处理安全标准。2.信息传送安全标准。3.信息建模与信息安全标准。4.人-计算机接口（HCI）安全标准。第二章计算机网络安全体系结构第一节网络安全体系结构的概念第二节网络安全体系结构的内容第三节网络安全的协议与标准第四节网络安全的评估第二章计算机网络安全体系结构一、美国NCSC的“可信计算机系统评估准则”“可信计算机系统评估准则”（TCSEC-trustedcomputersystemevaluationcriteria）通常被称为“桔皮书”。“桔皮书”将计算机系统的安全等级分为4档８个等级，在安全策略、责任、保证、文档等4个方面共设定了27条评估准则。第二章计算机网络安全体系结构一、美国NCSC的“可信计算机系统评估准则”不同的计算机信息系统即可以此为依据，按系统的实际需要和可能，从中选取具有不同安全保密强度的安全等级标准。现将该标准的4档８个安全等级，由低到高依次简述如下：1．D档D档为无保护档级，是安全等级的最低档。其主要特征是没有专门的安全保护，此档只有一个级别，即D级。D级：安全保护欠缺级。第二章计算机网络安全体系结构一、美国NCSC的“