搜索
计算机网络安全技术第九章网络安全第一节计算机网络安全的概念◆开放的、分布式协同计算环境中，原有的安全措施很难奏效（特别是以后的ComputingGrid环境，问题更多）●结构松散，异地分散，无法有效管理●用户透明，资源共享，面临多种攻击◆网络系统规模日益庞大，必然导致系统安全性、可靠性降低●设计缺陷，给安全带来影响无法消除，如操作系统的管理员权限，TCP/IP协议等●软件的可靠性有限，存在缺陷和后门，给攻击者机会网络安全的面临挑战系统复杂带来的安全问题•系统和网络的复杂性–Internet跨越无数组织和国家，网络互连设备和通信介质多种多样–连接在Internet上的计算机和操作系统种类繁多–很难从根本上解决全部安全问题系统设计带来的安全问题•系统设计中的缺陷–操作系统、网络协议和应用系统的设计中都或多或少的存在缺陷–早期的系统设计中对安全问题考虑较少、缺乏足够的安全知识和经验、没有形成严密的安全体系，随着网络的不断庞大，很难从根本上完全消除这些缺陷系统实现带来的安全问题系统实现中的缺陷•即使在系统设计中考虑周全，也可能出现对设计的理解上不一致，使得实现的系统并不是设计时所想象的系统，在实现细节上考虑不周•系统实现中的缺陷还往往出现在程序的错误上，由于时间所限，加之测试工具限制，许多系统未经充分测试就投入运行系统管理带来的安全问题•即使在系统设计和系统实现过程中都较好地避免缺陷存在，但是系统管理员和安全员是否正确地安装、配置了系统？•是否做好有效的安全隔离？•是否清楚信任主机的安全状况？•是否定期检查重要系统文件？•其它著名的例子：蠕虫病毒•Internet蠕虫•RobertT.Morris编写的一组C语言程序，它能通过网络传输和繁殖，导致计算机速度减慢并停机•1988年10月25日，Morris使用Guesses程序在Cornell和Standford上搜索到336个口令•1988年10月29日，Morris已经发现435个可以用来进入网络的口令蠕虫扩散的经过•1988年11月2日下午5点，Worm进入Cornell大学的计算机中，几小时之内，就传播到Berkeley，Harvard，MIT，Princeton，Purdue，Standford等大学以及NASA研究中心等几百个其它研究中心•1988年11月2日晚上10点，LawrenceLivermore国家实验室800台计算机的网络感染Worm。Morris试图通过Internet发出一个告警信息，但大学的计算机系统已经瘫痪。•几小时之内，全国范围内的6000多台机器受到了感染蠕虫的技术攻击特点•漏洞：通过精心设计的邮件给sendmail系统，可以强制sendmail以超级用户的权限执行命令；可以确定远程主机操作系统信息、以及可运行的程序。•缓冲溢出：利用finger可以看到系统中的敏感信息；由于系统调用get()时不检查参数的长度，用户控制下出现缓冲区溢出；如果熟悉操作系统，可以在遇到缓冲区溢出时转而执行另一程序（如Shell，成为root用户）网络安全一、网络计算引起的革命和问题“网络就是计算机”，“数字化地球”，“系统就是网络、网络就是系统”1.世界网络化世界缩小，时空缩小，高科技社会中，高科技技术的应用与高技术犯罪并存.第一节计算机网络安全的概念网络安全2.系统开放性分散和分布式计算环境基于开放性技术，但开放不是公开开放性与安全性的矛盾和对抗，系统开放与系统保密成为矛盾中的统一。3.信息共享、资源共享共享的概念，不是所有信息都共享信息是有价值的，有价信息的拥有权敏感信息、私有信息与垃圾信息第一节计算机网络安全的概念网络安全全球通讯均遭英美操纵的监察系统截查英美合作截查全球通讯，截听长话，利用声音辨认系统监听目标人物的对话内容。情报处理系统从军事监察扩展至非军事用途，对政府、商业及其他机构进行例行及非选择性的监察。由于大部分互联网服务器都分布在美国或必须途经美国分布信息，因此，大部分透过互联网发放的国际通讯或信息都以美国为交汇点，随时可能受到美国国家安全局截查。第一节计算机网络安全的概念网络安全美国每年平均发生了数十万起重大的网络入侵和恶意攻击事件，其中约十分之一的攻击成功地侵入了系统（美联邦调查局统计），因此每年造成平均上百亿美元的经济损失。网络入侵问题是困扰所有网络专家、信息专家和计算机安全专家们的重要的问题，网络入侵包含了很多技术问题、管理问题和应用问题，其中，网络中断、非法访问、信息窃取、数据篡改、信息侦察等频繁发生在当前网络应用中，“黑客”技术在不知不觉中被正常地和非正常地使用。第一节计算机网络安全的概念网络安全三、网络的入侵者*黑客(Hacker)：网络入侵者通称“黑客”，公众对这个字眼带有强烈的贬意和否定，其实黑客的原意是泛指对任何计算机系统、操作系统、网络系统的奥秘都具有强烈兴趣的人。他们大部分都具有计算机操作系统和编程语言方面的高级知识，了解系统中的漏洞及其原因，他们不断追求新的、更深的知识和技术，并公开他们的发现，与其他人分享，他们自己宣称决不、也从来没有破坏数据的企图。第一节计算机网络安全的概念网络安全恶意黑客（骇客）渗入计算机系统和网络系统并获取其内部工作的情况和知识，非法访问、寻找、窃取资源和信息。恶意黑客会有目的的篡改系统数据和资源，修改系统配置，甚至远程控制目标系统。第一节计算机网络安全的概念网络安全*窃客(Phreaker)：即“电信黑客”或“电信窃客”。他们与网络黑客不同，主要与电话公司打交道。采用不同的种种“手段”和“诡计”，如拦截传输信号，从而操纵电话公司，并机盗打用户移动电话，免费拨打区域和长途电话等。并从电信网站、电信传输和用户通信中某利，获取所需敏感信息。第一节计算机网络安全的概念网络安全*怪客(Cracker)：网络上的匿名攻击者，专门进行网络入侵攻击，发布干扰信息，传输网络垃圾等,并以此为乐。第一节计算机网络安全的概念网络安全“黑客”与“黑客技术”目前带有贬意，实际上在计算机安全的领域内，国外对计算机和网络“黑客”的看法，也有两种观点。1）“黑客”是非法使用计算机系统和网络系统的人，会给网络安全带来极大影响。2）“黑客”是一群计算机迷，他们以查找网络和系统缺陷为荣，有利于网络安全的。我们认为，基于信息对抗、计算机对抗的基础，我们必须既要防御非法“黑客”的攻击，也要研究和利用“黑客”技术来维护网络安全，不断地发现网络的漏洞，不断地改进安全系统。第一节计算机网络安全的概念网络安全四、网络犯罪特点网络犯罪与传统犯罪有很多不同，网络犯罪有如下一些特点：①网络犯罪高技术化、专业化。犯罪者具有高智商，熟悉并掌握电脑技术、电信技术或者网络技术，了解电子数据资料结构和数据库，作案手段复杂隐蔽，有的情况下使正常操作与犯罪活动很难区分。第一节计算机网络安全的概念网络安全②网络犯罪动机复杂化。它既包含了传统犯罪中的谋财害命、发泄报复、恐怖暴力、欺诈拐骗等，还渗入了更深厚的政治、军事、经济、宗教色彩。第一节计算机网络安全的概念网络安全③网络犯罪的覆盖面更广，日趋国际化。利用网络的互联，缩短了时间和空间，犯罪分子在作案、通信、交易、逃匿等方面可以易地进行异地作案的可能性极大，使得作案隐蔽性更强，危害更大。第一节计算机网络安全的概念网络安全④网络犯罪人员趋于年青化。调查统计，电脑犯罪者的平均年龄约在25岁左右。青年人聪明好动、虚荣心大、探索意识强，但也最容易在网络上掉入网络陷阱，受到邪恶引诱而误入歧途。第一节计算机网络安全的概念网络安全⑤网络犯罪的形式多样化。它既具有传统犯罪中的各种形式，还包含了更严重的犯罪教唆、展示、指导、引诱、服务等等。网络色情的泛滥、网络邪教的诱惑、没落文化和反动文化的泛起都威胁到整个网络世界。第一节计算机网络安全的概念网络安全五、网络安全的技术特点1.资源共享与分布是网络的主要目的，也是网络的脆弱性，分布的广域性增大了受攻击的可能性，单机系统的安全控制已不足以保证网络全局的安全。2.网络系统的复杂性系统互连、控制分散、异构结点。任何一个结点的安全漏洞都可能导致整个系统的不安全，信息爆炸使存储和传输不堪重负；攻击的入口增多、破坏面增大、检测困难且开销很大。第一节计算机网络安全的概念网络安全3.安全的可信性网络的可扩展性使网络边界具有不确定性；网络安全的可信性随网络扩展而下降；不可信结点、恶意结点的严重威胁4.安全不确定性网络分支广，存在多条可能的安全漏洞；不安全的路径存在不确定性；故障定位的不确定性。第一节计算机网络安全的概念网络安全5.信息安全的特殊性信息的真实性，网络通信只保证了无差错传输，无法保证信息的真实性、完整性，收发双方无法对传输信息加以控制和监视。6.网络安全的长期性矛盾贯穿始终，长期对抗。不可能存在一劳永逸、绝对安全的系统安全策略和安全机制，安全的目标和安全策略，是在一定条件（环境与技术）下的合理性。第一节计算机网络安全的概念网络安全六、网络安全性范围1.网络类型电信网络、电视网络、计算机网络，重点在计算机网络2.计算机网络的组成＊计算机系统、通信系统、网络互连设备＊系统运行平台、网络管理软件系统第一节计算机网络安全的概念网络安全3.网络安全领域⑴计算机系统安全系统硬件安全、存储系统安全、操作系统安全、软件安全⑵通信系统安全通信系统与部件可靠性、无线与有线安全、网络互连设备安全。⑶网络系统安全网管软件安全、网络协议安全性网络运行环境安全、网络开发与应用安全第一节计算机网络安全的概念网络安全⑷计算机病毒与恶意程序计算机病毒对抗、攻击与反攻击⑸网络安全的社会性网络垃圾与信息垃圾、反动、色情、颓废文化。信息安全与信息战第一节计算机网络安全的概念网络安全七、网络安全的类别“网络就是计算机”，因此，计算机系统安全的几乎所有领域都在网络安全中得以体现。网络系统安全的主要威胁也来源于各个方面，有自然的、硬件的、软件的、也有人为的疏忽、失误等。一个没有设防的系统或者防御性不好的系统，对合法用户与非法用户实际上提供了同样的计算和通信能力，两者都直接面对系统信息资源。这样，合法用户将难以信赖系统的安全价值，产生了系统的可信度(trust)问题。第一节计算机网络安全的概念网络安全㈠网络可信：保证网络可靠运行，防止系统崩溃，主要解决硬件故障和软件故障。㈡网络阻塞：主要解决网络配置、网络调度不合理，防止网络广播风暴和噪声。㈢网络滥用：合法用户超越权限使用计算机，获取网络资源。㈣网络入侵：非法用户非法进入系统和网络，获取控制权和网络资源。第一节计算机网络安全的概念网络安全㈤网络干扰：出于某种目的对计算机和网络系统运行进行干扰，干扰方式多种，使系统不可信、操作员和系统管理员心理压力增加、心理战。施放各种假的和期骗信息，扰乱社会、经济、金融等。㈥网络破坏:系统攻击、删除数据、毁坏系统。非法窃取、盗用、复制系统文件、数据、资料、信息，造成泄密。第一节计算机网络安全的概念网络安全第二节计算机网络实体安全网络安全组成计算机网络的硬件设备有计算机系统、通信交换设备（交换机、程控机）、网络互连设备（如收发器、中继器、集线器、网桥、路由器、网关等）、存储设备等，在网络系统集成中，它们的可靠性和安全性必须自始至终考虑。网络安全一、网络互连设备安全必须注意互连设备及其工作层次物理层：中继器repeater，集线器hub数链层：网桥bridge，桥路器brouter交换机switcher网络层：路由器router，路桥器roudger传输层：网关gateway，防火墙firewall网络安全1.中继器及物理层的安全性中继器作为一个双向放大器用于驱动长距离通信，只能用于连接具有相同物理层协议的局域网，主要用于扩充LAN电缆段(segment)的距离限制。它不具有安全功能，不具备任何过滤功能，不能隔离网段间不必要的网络流量和网络信息。网络安全2.网桥及链路层的安全性网桥通过数据链路层的逻辑链路子层(LLC)来选择子网路径，接收完全的链路层数据帧，并对帧作校验，同时，在源地址表中查找介质存取控制子层(MAC)的源和目的地址，以决定该帧是否转发或者