第9章网络安全技术.ppt

《第9章网络安全技术.ppt》由会员分享，可在线阅读，更多相关《第9章网络安全技术.ppt（55页珍藏版）》请在三一文库上搜索。

1、,第9章 网络安全技术,本章主要学习内容： 信息安全的威胁与风险 加密认证技术 防火墙技术 VPN技术 计算机病毒防护技术 网络入侵检测与安全评估 安全认证,9.1 信息安全的威胁与风险,9.1.1 信息安全的重要性和严峻性,1.信息安全的重要性 社会发展三要素的物质、能源和信息的关系发生了深刻的变化。信息要素已成为支配人类社会发展进程的决定性力量之一 。 互联网已经成为了一个继电视、电台、报刊之后的第四媒体。 社会信息化提升了信息的地位 社会对信息技术的依赖性增强 虚拟的网络财富日益增长 信息安全已经成为社会的焦点问题,9.1 信息安全的威胁与风险,截至2007年12月31日，我国网民总人数

2、达到2.1亿人,仅以500万人之差次于美国，居世界第二，CNNIC预计在2008年初中国将成为全球网民规模最大的国家。,9.1 信息安全的威胁与风险,9.1.1 信息安全的重要性和严峻性,2.信息安全的严峻性 系统的安全漏洞不断增加 黑客攻击搅得全球不安 计算机病毒肆虐 网络仿冒危害巨大 “僵尸网络”（BOTNET）使得网络攻击规模化 木马和后门程序泄漏秘密 信息战阴影威胁数字化和平 白领犯罪造成巨大商业损失,9.1 信息安全的威胁与风险,9.1 信息安全的威胁与风险,9.1 信息安全的威胁与风险,9.1 信息安全的威胁与风险,9.1 信息安全的威胁与风险,9.1 信息安全的威胁与风险,9.1

3、 信息安全的威胁与风险,Impacto de Blaster（冲击波）,275,000台/7小时 1,000,000台/48小时,9.1 信息安全的威胁与风险,感染一万台所需小时,布置对抗措施所需时间,1991 : Michelangelo : 6 月 1997 : WM/Cap : 2 月 1999 : WM/Melissa : 1 天 2000 : VBS/Loveletter : 4 小时 2001 : CodeRed/Nimda : 1 小时 2003 : Slammer : 10分钟,9.1 信息安全的威胁与风险,9.1 信息安全的威胁与风险,defaced Whitehouse w

4、ebsite,伊拉克战争,9.1 信息安全的威胁与风险,9.1 信息安全的威胁与风险,图9-1 网络安全漏洞数量统计,9.1 信息安全的威胁与风险,图9-3 2006年木马与僵尸网络监测到的规模分布,9.1 信息安全的威胁与风险,9.1.2 网络系统面临的威胁 可分为两种： 对网络中信息的威胁 对网络中设备的威胁 按威胁的对象、性质则可以细分为四类： 第一类是针对硬件实体设施 第二类是针对软件、数据和文档资料 第三类是兼对前两者的攻击破坏 第四类是计算机犯罪,9.1 信息安全的威胁与风险,9.1.2 网络系统面临的威胁 安全威胁的来源 不可控制的自然灾害，如地震、雷击 自恶意攻击、违纪、违法和

5、计算机犯罪 人为的无意失误和各种各样的误操作 计算机硬件系统的故障 软件的“后门”和漏洞,9.1 信息安全的威胁与风险,安全威胁的表现形式 1) 伪装 2) 非法连接 3) 非授权访问 4) 拒绝服务 5) 抵赖 6) 信息泄露 7) 业务流分析 8) 改动信息流 9) 篡改或破坏数据 10)推断或演绎信息 11)非法篡改程序,9.1 信息安全的威胁与风险,9.1.2 网络系统面临的威胁 实施安全威胁的人员 排除非人为的因素，各种威胁必须被各类人员发现、施用后才能真正对网络系统产生不良影响。 这些人员包括心存不满的员工、软硬件测试人员、技术爱好者、好奇的年青人，也包括黑客（Hacker）和破坏

6、者（Cracker），还包括以政治或经济利益为目的的间谍。 这些人员为了达到他们的目的，刻意查找系统漏洞，制造各种故障，并加以利用。,9.1 信息安全的威胁与风险,9.1.3 网络攻击的层次与步骤 可以将网络攻击分成以下6个层次： 第一层：基于应用层的操作。如拒绝服务或邮件炸弹攻击。 第二层：指本地用户获得不应获得的文件(或目录)读权限。 第三层：指本地用户获得不应获得的文件(或目录)写权限。 第四层：指外部用户获得访问内部文件的权利。 第五层：指获得特权文件的写权限。 第六层：指获得系统管理员的权限或根权限。,9.1 信息安全的威胁与风险,9.1.3 网络攻击的层次与步骤 网络攻击的主要手段

7、 有据可查的网络安全事件主要是由网站篡改、垃圾邮件、蠕虫、网页恶意代码、木马、网络仿冒、拒绝服务攻击、主机入侵、物理攻击和社会工程学等几种手段引起的。,图9-4 2006年主要攻击手段分布情况,9.1 信息安全的威胁与风险,9.1.3 网络攻击的层次与步骤 网络攻击的步骤：典型的攻击由以下5个步骤构成，当然有的攻击可能直接跳过了某些步骤。 隐藏IP：黑客非常清楚自我保护的重要性。 踩点扫描：对攻击目标的多方位了解，确定攻击的时机。 获得系统或管理员权限：通过各种方法获得目标系统的控制权。 种植后门：专供自己访问的后门，目的是为了长期保持对目标系统的控制。 在网络中隐身：清除入侵痕迹，也是自我保

8、护的重要步骤。,9.1 信息安全的威胁与风险,9.1.4 网络安全防护技术 1信息安全的目标 信息安全的基本目标应该是保护信息的机密性、完整性、可用性、可控性和不可抵赖性。 信息保障模型：针对信息的生存周期，技术上以“信息保障”模型作为信息安全的目标，即信息的保护技术、信息使用中的检测技术、信息受影响或攻击时的响应技术和受损后的恢复技术为系统模型的主要组成元素（简称PDRR模型） 综合的安全解决方法 ：PDRR模型，结合信息安全管理因素，形成立体化纵深防护机制。,9.1 信息安全的威胁与风险,9.1.4 网络安全防护技术 2信息安全防护机制：5重屏障共10大领域,图9-6 信息安全多重保护机制

9、,9.1 信息安全的威胁与风险,9.1.4 网络安全防护技术 3信息安全体系结构 信息系统安全的总需求是物理安全、网络安全、信息内容安全、应用系统安全的总和 完整的信息系统安全体系框架由技术体系、组织机构体系和管理体系共同构建 技术体系是全面提供信息系统安全保护的技术保障系统。 组织机构体系是信息系统安全的组织保障系统，由机构、岗位和人事三个模块构成一个体系。 管理是信息系统安全的灵魂。信息系统安全的管理体系由法律管理、制度管理和培训管理三个部分组成。,9.1 信息安全的威胁与风险,9.1.4 网络安全防护技术 4、信息安全技术 安全防范技术体系划分为物理层安全、系统层安全、网络层安全、应用层

10、安全和管理层安全等五个层次。 (1)物理安全技术（物理层安全）。该层次的安全包括通信线路的安全、物理设备的安全、机房的安全等。 (2)系统安全技术（操作系统的安全性）。该层次的安全问题来自网络内使用的操作系统的安全。主要表现在：一是操作系统本身的缺陷带来的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是对操作系统的安全配置问题；三是病毒对操作系统的威胁。 (3)网络安全技术（网络层安全）。该层次的安全问题主要体现在网络方面的安全性，包括网络层身份认证、网络资源的访问控制、数据传输的保密与完整性、远程接入的安全、域名系统的安全、路由系统的安全、入侵检测的手段、网络设施防病毒等。 (4)应

11、用安全技术（应用层安全）。该层次的安全问题主要由提供服务所采用的应用软件和数据的安全性产生，包括Web服务、电子邮件系统等，还包括病毒对系统的威胁。 (5)管理安全性（管理层安全）。安全管理包括安全技术和设备的管理、安全管理制度、部门与人员的组织规则等，可以在很大程度上降低其他层次的安全漏洞。,9.1 信息安全的威胁与风险,9.1.4 网络安全防护技术 主要应用的信息安全技术如下： 反病毒软件 防火墙 基于服务的访问控制技术 入侵检测系统 数据传输加密 帐户与登录口令控制 入侵防御系统 文件加密技术 卡片认证与一次性密码技术 公钥基础设施系统 生物特征技术,9.2 加密认证技术,9.2.1 加

12、密技术概述 信息安全主要包括系统安全和数据安全两个方面。系统安全一般采用防火墙、防病毒及其他安全防范技术等措施，是属于被动型的安全措施；数据安全则主要采用现代密码技术对数据进行主动的安全保护，如数据保密、数据完整性、身份认证等技术。 为了有效控制加密、解密算法的实现，在这些算法的实现过程中，需要有某些只被通信双方所掌握的专门的、关键的信息参与，这些信息就称为密钥。,9.2 加密认证技术,图9-7 保密通信系统模型,9.2 加密认证技术,9.2.2 常用密码体制与密码算法 密码体制 对称算法：加密密钥和解密密钥相同，或实质上等同（即从一个可以推出另外一个），我们称其为对称密钥、私钥或单钥密码体制

13、。 非对称算法：若加密密钥和解密密钥不相同，从其中一个难以推出另一个，则称为非对称密钥或双钥密码体制。 常用密码算法 古典密码算法 ：代码加密、替换加密、变位加密 单钥加密算法：DES算法、IDEA算法 双钥加密算法：RSA算法,9.2 加密认证技术,9.2.3 加密技术的应用 数字签名：数字签名就是信息发送者使用公开密钥算法技术，产生别人无法伪造的一段数字串。发送者用自己的私有密钥加密数据传给接收者，接收者用发送者的公钥解开数据后，就可以确定消息来自于谁，同时也是对发送者发送信息的真实性的一个证明。发送者对所发信息不能抵赖。 身份认证：是指被认证方在没有泄露自己身份信息的前提下，能够以电子的

14、方式来证明自己的身份。 消息认证（也称数字指纹）：消息认证是指通过对消息或消息相关信息进行加密或签名变换进行的认证，目的是为防止传输和存储的消息被有意或无意地篡改 。 数字水印：数字水印就是将特定的标记隐藏在数字产品中，用以证明原创者对产品的所有权。,9.3 防火墙技术,9.3.1 防火墙技术概述 概念： 防火墙是位于两个(或多个)网络间，实施网络之间访问控制的一组组件的集合。它是隔离在本地网络与外界网络之间执行访问控制策略的一道防御系统。 基本特性： 内部网络和外部网络之间的所有网络数据流都必须经过防火墙 只有符合安全策略的数据流才能通过防火墙 防火墙自身应具有非常强的抗攻击免疫力,9.3

15、防火墙技术,9.3.1 防火墙技术概述 防火墙的功能 (1)限定内部用户访问特殊站点。 (2)防止未授权用户访问内部网络。 (3)允许内部网络中的用户访问外部网络的服务和资源而不泄漏内部网络的数据和资源。 (4)记录通过防火墙的信息内容和活动。 (5)对网络攻击进行监测和报警。 防火墙的访问控制可通过源MAC地址、目的MAC地址、源IP地址、目的IP地址、源端口、目的端口实现，还能基于方向、时间、用户、流量、内容进行控制。一般地，防火墙还具有路由功能和NAT功能，用来保护内部网络的安全。,9.3 防火墙技术,9.3.1 防火墙技术概述 DMZ区 DMZ区（demilitarized zone，

16、也称非军事区），是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。,9.3 防火墙技术,9.3.2 防火墙分类,图9-12 防火墙实体分类,9.3 防火墙技术,9.3.2 防火墙分类 从技术上特征上区分，防火墙一般可以分为包过滤型防火墙、应用网关型防火墙、电路级网关型防火墙、代理服务型防火墙、状态检测型防火墙、自适应代理型防火墙等几种类型。,9.3 防火墙技术,9.3.3 防火墙工作模式 防

17、火墙的工作模式分成路由模式、透明桥模式和混合模式三大类型。 路由模式：防火墙可以充当路由器，提供路由功能。 透明桥模式：防火墙可以方便的接入到网络，而且保持所有的网络设备配置完全不变。 混合模式：防火墙同时工作在路由模式和桥模式。,9.4 VPN技术,9.4.1 概述 VPN（Virtual Private Network）即虚拟专用网络，最简单的定义就是“在公众数据网络上建立属于自己的私有数据网络” 。 通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。 隧道是一种利用公网设施，在一个网络之上的“网络”传输数据的方法，被传输的数据可以是另

18、一种类型协议的帧。,9.4 VPN技术,9.4.1 概述 VPN的基本功能： 加密数据。以保证通过公网传输的信息即使被他人截获也不会泄露。 信息验证和身份识别。保证信息的完整性、合理性，并能鉴别用户的身份。 提供访问控制。不同的用户有不同的访问权限。 地址管理。VPN方案必须能够为用户分配专用网络上的地址并确保地址的安全性。 密钥管理。VPN方案必须能够生成并更新客户端和服务器的加密密钥。 多协议支持。VPN方案必须支持公共因特网络上普遍使用的基本协议，包括IP、IPX等。 VPN产品可分为网络连接型VPN和基于应用层SSL协议的SSL VPN两大类。,9.4 VPN技术,9.4.2 网络连接

19、型VPN的协议 VPN使用的隧道协议主要有三种：点到点隧道协议（PPTP）、第二层隧道协议（L2TP）以及IPSec。 PPTP协议允许对IP、IPX或NetBEUI数据流进行加密，然后封装在IP包头中通过企业IP网络或公共因特网络发送。 L2TP协议允许对IP，IPX或NetBEUI数据流进行加密，然后通过支持点对点数据报传递的任意网络发送，如IP，X.25，帧中继或ATM。 IPSec隧道模式允许对IP负载数据进行加密，然后封装在IP包头中通过企业IP网络或公共IP因特网络如Internet发送。,9.4 VPN技术,9.4.3 网络连接型VPN的产品类型 VPN的分类方法比较多，实际使用

20、中，需要通过客户端与服务器端的交互实现认证与隧道建立。 基于二层、三层的VPN，都需要安装专门的客户端系统（硬件或软件），完成VPN相关的工作。 VPN从应用的方式上分，有两种基本类型：拨号式VPN与专用式VPN。,9.4 VPN技术,9.4.4 面向应用层协议的SSL VPN SSL是Secure Socket Layer的缩写，即安全套接层协议。是由网景（Netscape）公司推出的一种安全通信协议，它能够对信用卡和个人信息提供较强的保护。 SSL是对计算机之间整个会话进行加密的协议。在SSL中，采用了公开密钥和私有密钥两种加密方法。 SSL协议的优势在于：高层的应用协议能透明地建立于SS

21、L协议之上。其在应用层协议通信之前就已经完成加密算法、通信密钥的协商以及服务器认证工作。在此之后应用层协议所传送的数据都会被加密，从而保证通信的安全性。,9.5 计算机病毒防护技术,9.5.1 计算机病毒的演变 20 世纪 80 年代出现了第一批计算机病毒后，随着更多的人开始研究病毒技术，病毒的数量、被攻击的平台数以及病毒的复杂性和多样性都开始显著提高。 1990年，网上出现了病毒交流布告栏，成为病毒编写者合作和共享知识的平台。 进入二十一世纪后，计算机病毒传播、生产的网络化特征日趋明显，甚至逐渐形成互联网的地下“黑色产业链”。,9.5 计算机病毒防护技术,9.5.2 计算机病毒的定义和特征

22、计算机病毒是指“编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码” 特征： 1) 可执行性 2) 传染性 3) 潜伏性 4) 可触发性 5) 针对性 6) 隐蔽性,9.5 计算机病毒防护技术,9.5.3 计算机病毒的分类 传染性是计算机病毒的本质属性，根据寄生部位或传染对象分类，可以归纳为两大类：一类是引导扇区型传染的计算机病毒；另一类是可执行文件型传染的计算机病毒。 按照计算机病毒的传播媒介来分类，可分为单机病毒和网络病毒。,9.5 计算机病毒防护技术,9.5.4 计算机病毒的检测和防范 计算机病毒防范技术的工作原理主要有签名

23、扫描和启发式扫描两种： 签名扫描：通过搜索目标（宿主计算机、磁盘驱动器或文件）来查找表示恶意软件的模式。 启发式扫描：通过查找通用的恶意软件特征，来尝试检测新形式和已知形式的恶意软件。 检测和防范 用防病毒软件来防范病毒需要定期自动更新或者下载最新的病毒定义、病毒特征。 恶意软件防护方法：在针对恶意软件尝试组织有效的防护之前，需要了解组织基础结构中存在风险的各个部分以及每个部分的风险程度。,9.6 网络入侵检测与安全评估,9.6.1 概述 入侵检测（Intrusion Detection）技术是一种动态的网络检测技术，主要用于识别对计算机和网络资源的恶意使用行为，包括来自外部用户的入侵行为和内

24、部用户的未经授权活动。一旦发现网络入侵现象，则应当做出适当的反应。 对于正在进行的网络攻击，则采取适当的方法来阻断攻击（与防火墙联动），以减少系统损失。对于已经发生的网络攻击，则应通过分析日志记录找到发生攻击的原因和入侵者的踪迹，作为增强网络系统安全性和追究入侵者法律责任的依据。 入侵检测系统（IDS）由入侵检测的软件与硬件组合而成，被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，提供对内部攻击、外部攻击和误操作的实时保护。,9.6 网络入侵检测与安全评估,9.6.2 入侵检测的的技术特征和产品 IDS是网络上的一个监听设备(或一个专用主机)，通过监听网络上的所有

25、报文，根据协议进行分析，并报告网络中的非法使用者信息。根据判断方法的不同，基本分为两大类：基于知识的数据模式判断方法和基于行为的行为判断方法。,图9-17 网络IDS工作模型,9.6 网络入侵检测与安全评估,9.6.2 入侵检测的的技术特征和产品 IDS采用的技术：常见有静态配置分析、异常检测和误用检测。 静态配置分析是通过检查系统的当前系统配置，诸如系统文件的内容或系统表，来检查系统是否已经或者可能会遭到破坏。 通过对系统审计数据的分析建立起系统主体的正常行为特征轮廓；检测时，如果系统中的审计数据与已建立的主体的正常行为特征有较大出入就认为是一个入侵行为。 通过检测用户行为中的那些与某些已知

26、的入侵行为模式类似的行为或那些利用系统中缺陷或是间接地违背系统安全规则的行为，来检测系统中的入侵活动，是一种基于已有的知识的检测。,9.6 网络入侵检测与安全评估,9.6.3 系统脆弱性分析与评估 “木桶原则”：一个木桶能盛多少水，不在于组成它的最长的那根木料，而取决于它身上最短的那一根。同样对于一个信息系统来说，它的安全性不在于它是否采用了最新的加密算法或最先进的设备，而是由系统本身最薄弱之处，即漏洞所决定的。 漏洞是指硬件、软件或策略上存在的的安全缺陷，从而使得攻击者能够在未授权的情况下访问、控制系统。 信息系统存在许多漏洞 ： 缓冲区溢出 DoS/DDoS攻击 木马和后门 应用系统漏洞

27、口令脆弱性 其他,9.6 网络入侵检测与安全评估,9.6.3 系统脆弱性分析与评估 综合扫描和安全评估工具是一种自动检测系统和网络安全性弱点的程序。 它是一种主要的网络安全防御技术，它与防火墙技术、入侵检测技术、加密和认证技术处于同等重要地位。其作用是在发生网络攻击事件前，系统管理员可利用综合扫描和安全评估工具检测系统和网络配置的缺陷和漏洞，及时发现可被黑客进行入侵的漏洞隐患和错误配置，给出漏洞的修补方案，使系统管理员可以根据方案及时进行漏洞的修补。 目前主要有两种类型的扫描工具，即主机扫描器和网络扫描器 。,9.7 安全认证,信息安全等级保护需要不同安全级别的产品、系统、服务资质和人力资源。 我国的信息系统安全测评认证工作由中国信息安全产品测评认证中心负责，目前开展的认证业务主要包括四个方面：信息安全产品认证、信息系统安全认证、信息安全服务资质认证和注册信息安全专业人员资质认证。,小结,本章从分析信息安全重要性和严峻性入手，结合信息安全保障体系，提出了信息安全的目标和保证实现这些目标的技术体系支持。 针对网络安全问题，详细介绍了加密技术、防火墙技术、VPN技术、防病毒技术、入侵检测技术和系统漏洞扫描技术，通过这些技术的使用，使我们的网络系统更加安全。最后介绍了安全认证的相关知识，读者可以根据各自情况参与相应的认证。,