1、mTCP/IP網(wǎng)絡(luò)安全分析m網(wǎng)絡(luò)安全概念和手段介紹m安全建議m網(wǎng)絡(luò)安全展望m本質(zhì)就是網(wǎng)絡(luò)上的信息安全。m網(wǎng)絡(luò)安全防護(hù)的目的。網(wǎng)絡(luò)安全的定義網(wǎng)絡(luò)安全的定義：是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)、可靠、正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。 保障各種網(wǎng)絡(luò)資源穩(wěn)定、可靠的運(yùn)行和受控、合法使用（1）保密性保密性confidentiality：信息不泄露給非授權(quán)的用戶、實(shí)體或過(guò)程，或供其利用的特性。（2）完整性完整性integrity：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性，即信息在存儲(chǔ)或傳輸過(guò)程中保持不被修改、不被破壞和丟失的特性。（3）可用性可用性

2、availability：可被授權(quán)實(shí)體訪問(wèn)并按需求使用的特性，即當(dāng)需要時(shí)應(yīng)能存取所需的信息。網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)和有關(guān)系統(tǒng)的正常運(yùn)行等都屬于對(duì)可用性的攻擊。（4）可控性可控性controllability：對(duì)信息的傳播及內(nèi)容具有控制能力。（5）可審查性可審查性：出現(xiàn)的安全問(wèn)題時(shí)提供依據(jù)及手段m網(wǎng)絡(luò)安全簡(jiǎn)介m網(wǎng)絡(luò)安全概念和手段介紹m安全建議m網(wǎng)絡(luò)安全展望mTCP/IP 技術(shù)的發(fā)展m設(shè)計(jì)目標(biāo) 實(shí)現(xiàn)異種網(wǎng)的網(wǎng)際互連m是最早出現(xiàn)的系統(tǒng)化的網(wǎng)絡(luò)體系結(jié)構(gòu)之一m順應(yīng)了技術(shù)發(fā)展網(wǎng)絡(luò)互連的應(yīng)用需求m采用了開(kāi)放策略mTCP/IP的成功m主要應(yīng)該歸功于其開(kāi)放性，使得最廣泛的廠商和研究者能夠不斷地尋找和開(kāi)發(fā)滿

3、足市場(chǎng)需求的網(wǎng)絡(luò)應(yīng)用和業(yè)務(wù)。 魚及熊掌總是不能兼得，也正是其體系結(jié)構(gòu)得開(kāi)放性，導(dǎo)魚及熊掌總是不能兼得，也正是其體系結(jié)構(gòu)得開(kāi)放性，導(dǎo)致了致了TCP/IP網(wǎng)絡(luò)的安全性隱患！網(wǎng)絡(luò)的安全性隱患！m網(wǎng)際互連是通過(guò) IP 網(wǎng)關(guān)（gateway）實(shí)現(xiàn)的m網(wǎng)關(guān)提供網(wǎng)絡(luò)及網(wǎng)絡(luò)之間物理和邏輯上的連通功能m網(wǎng)關(guān)是一種特殊的計(jì)算機(jī)，同時(shí)屬于多個(gè)網(wǎng)絡(luò)G1網(wǎng)絡(luò) 1網(wǎng)絡(luò) 3G1網(wǎng)絡(luò) 2mTCP/IP協(xié)議和OSI模型的對(duì)應(yīng)關(guān)系應(yīng)用層表示層會(huì)話層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層FTP、TELNET NFSSMTP、SNMP XDR RPC TCP、UDP IPEthernet, IEEE802.3,802.11等 ICMPARP

4、RARPOSI參考模型TCP/IP物理層m網(wǎng)絡(luò)的缺陷網(wǎng)絡(luò)的缺陷因特網(wǎng)在設(shè)計(jì)之初對(duì)共享性和開(kāi)放性的強(qiáng)調(diào)，使得其在安全性方面存在先天的不足。其賴以生存的TCP/IP 協(xié)議族在設(shè)計(jì)理念上更多的是考慮該網(wǎng)絡(luò)不會(huì)因局部故障而影響信息的傳輸，基本沒(méi)有考慮安全問(wèn)題，故缺乏應(yīng)有的安全機(jī)制。因此它在控制不可信連接、分辨非法訪問(wèn)、辨別身份偽裝等方面存在著很大的缺陷，從而構(gòu)成了對(duì)網(wǎng)絡(luò)安全的重要隱患。 例如：多數(shù)底層協(xié)議為廣播方式，多數(shù)應(yīng)用層協(xié)議為明文傳輸，缺乏保密 及認(rèn)證機(jī)制，因此容易遭到欺騙和竊聽(tīng)m軟件及系統(tǒng)的軟件及系統(tǒng)的“漏洞漏洞” 隨著軟件及網(wǎng)絡(luò)系統(tǒng)規(guī)模的不斷增大，系統(tǒng)中的安全漏洞或“后門”也不可避免的存在，

5、比如我們常用的操作系統(tǒng)，無(wú)論是Windows 還是UNIX 幾乎都存在或多或少的安全漏洞，眾多的服務(wù)器、瀏覽器、桌面軟件等等都被發(fā)現(xiàn)存在很多安全隱患。任何一個(gè)軟件系統(tǒng)都可能會(huì)因?yàn)槌绦騿T的一個(gè)疏忽或設(shè)計(jì)中的一個(gè)缺陷等原因留下漏洞。這也成為網(wǎng)絡(luò)的不安全因素之一m黑客的攻擊黑客的攻擊黑客技術(shù)不再是一種高深莫測(cè)的技術(shù)，并逐漸被越來(lái)越多的人掌握。目前，世界上有20 多萬(wàn)個(gè)免費(fèi)的黑客網(wǎng)站，這些站點(diǎn)從系統(tǒng)漏洞入手，介紹網(wǎng)絡(luò)攻擊的方法和各種攻擊軟件的使用，這樣，系統(tǒng)和站點(diǎn)遭受攻擊的可能性就變大了。加上現(xiàn)在還缺乏針對(duì)網(wǎng)絡(luò)犯罪卓有成效的反擊和跟蹤手段，這些都使得黑客攻擊具有隱蔽性好，“殺傷力”強(qiáng)的特點(diǎn)，構(gòu)成了網(wǎng)絡(luò)

6、安全的主要威脅。m網(wǎng)絡(luò)普及，安全建設(shè)滯后網(wǎng)絡(luò)普及，安全建設(shè)滯后網(wǎng)絡(luò)硬件建設(shè)如火如荼，網(wǎng)絡(luò)管理尤其是安全管理滯后，用戶安全意識(shí)不強(qiáng)，即使應(yīng)用了最好的安全設(shè)備也經(jīng)常達(dá)不到預(yù)期效果。m網(wǎng)絡(luò)安全簡(jiǎn)介mTCP/IP網(wǎng)絡(luò)安全分析m安全建議m網(wǎng)絡(luò)安全展望 網(wǎng)絡(luò)安全是一個(gè)系統(tǒng)的概念，可靠的網(wǎng)絡(luò)安全解決方案必須建立在集成網(wǎng)絡(luò)安全技術(shù)的基礎(chǔ)上，網(wǎng)絡(luò)系統(tǒng)安全策略就是基于這種技術(shù)集成而提出的，主要有三種： 1 直接風(fēng)險(xiǎn)控制策略（靜態(tài)防御）直接風(fēng)險(xiǎn)控制策略（靜態(tài)防御） 安全=風(fēng)險(xiǎn)分析+安全規(guī)則+直接的技術(shù)防御體系+安全監(jiān)控 攻擊手段是不斷進(jìn)步的，安全漏洞也是動(dòng)態(tài)出現(xiàn)的，因此靜態(tài)防御下的該模型存在著本質(zhì)的缺陷。 2 自適

7、應(yīng)網(wǎng)絡(luò)安全策略（動(dòng)態(tài)性）自適應(yīng)網(wǎng)絡(luò)安全策略（動(dòng)態(tài)性） 安全=風(fēng)險(xiǎn)分析+執(zhí)行策略+系統(tǒng)實(shí)施+漏洞分析+實(shí)時(shí)響應(yīng) 該策略強(qiáng)調(diào)系統(tǒng)安全管理的動(dòng)態(tài)性，主張通過(guò)安全性檢測(cè)、漏洞監(jiān)測(cè)，自適應(yīng)地填充“安全間隙”，從而提高網(wǎng)絡(luò)系統(tǒng)的安全性。完善的網(wǎng)絡(luò)安全體系，必須合理協(xié)調(diào)法律、技術(shù)和管理三種因素，集成防護(hù)、監(jiān)控和恢復(fù)三種技術(shù)，力求增強(qiáng)網(wǎng)絡(luò)系統(tǒng)的健壯性及免疫力。局限性在于：只考慮增強(qiáng)系統(tǒng)的健壯性，僅綜合了技術(shù)和管理因素，僅采用了技術(shù)防護(hù)。 3 智能網(wǎng)絡(luò)系統(tǒng)安全策略（動(dòng)態(tài)免疫力）智能網(wǎng)絡(luò)系統(tǒng)安全策略（動(dòng)態(tài)免疫力） 安全=風(fēng)險(xiǎn)分析+安全策略+技術(shù)防御體系+攻擊實(shí)時(shí)檢測(cè)+安全跟蹤+系統(tǒng)數(shù)據(jù)恢復(fù)+系統(tǒng)學(xué)習(xí)進(jìn)化 技術(shù)防御

8、體系包括漏洞檢測(cè)和安全縫隙填充；安全跟蹤是為攻擊證據(jù)記錄服務(wù)的，系統(tǒng)學(xué)習(xí)進(jìn)化是旨在改善系統(tǒng)性能而引入的智能反饋機(jī)制。 模型中，“風(fēng)險(xiǎn)分析+安全策略”體現(xiàn)了管理因素；“技術(shù)防御體系+攻擊實(shí)時(shí)檢測(cè)+系統(tǒng)數(shù)據(jù)恢復(fù)+系統(tǒng)學(xué)習(xí)進(jìn)化”體現(xiàn)了技術(shù)因素；技術(shù)因素綜合了防護(hù)、監(jiān)控和恢復(fù)技術(shù)；“安全跟蹤+系統(tǒng)數(shù)據(jù)恢復(fù)+系統(tǒng)學(xué)習(xí)進(jìn)化”使系統(tǒng)表現(xiàn)出動(dòng)態(tài)免疫力。 目前業(yè)界共識(shí)：“安全不是技術(shù)或產(chǎn)品，而是一個(gè)過(guò)程”。為了保障網(wǎng)絡(luò)安全，應(yīng)重視提高系統(tǒng)的入侵檢測(cè)能力、事件反應(yīng)能力和遭破壞后的快速恢復(fù)能力。信息保障有別于傳統(tǒng)的加密、身份認(rèn)證、訪問(wèn)控制、防火墻等技術(shù)，它強(qiáng)調(diào)信息系統(tǒng)整個(gè)生命周期的主動(dòng)防御。m保護(hù) ( Protec

9、t ) 傳統(tǒng)安全概念的繼承，包括信息加密技術(shù)、訪問(wèn)控制技術(shù)等等。m檢測(cè) ( Detect ) 從監(jiān)視、分析、審計(jì)信息網(wǎng)絡(luò)活動(dòng)的角度，發(fā)現(xiàn)對(duì)于信息網(wǎng)絡(luò)的攻擊、破壞活動(dòng)，提供預(yù)警、實(shí)時(shí)響應(yīng)、事后分析和系統(tǒng)恢復(fù)等方面的支持，使安全防護(hù)從單純的被動(dòng)防護(hù)演進(jìn)到積極的主動(dòng)防御。 m響應(yīng) ( React ) 在遭遇攻擊和緊急事件時(shí)及時(shí)采取措施，包括調(diào)整系統(tǒng)的安全措施、跟蹤攻擊源和保護(hù)性關(guān)閉服務(wù)和主機(jī)等。m恢復(fù) ( Restore ) 評(píng)估系統(tǒng)受到的危害及損失，恢復(fù)系統(tǒng)功能和數(shù)據(jù)，啟動(dòng)備份系統(tǒng)等。物理層：物理隔離 鏈路層: 鏈路加密技術(shù)、PPTP/L2TP 網(wǎng)絡(luò)層: IPSec協(xié)議（VPN）、防火墻 TCP

10、層: SSL 協(xié)議、基于公鑰的認(rèn)證和對(duì)稱鑰加密技術(shù) 應(yīng)用層: SHTTP、PGP、S/MIME、 SSH(Secure shell)、開(kāi)發(fā)專用協(xié)議（SET）m 物理隔離設(shè)備m 交換機(jī)/路由器安全模塊m 防火墻(Firewall)m 漏洞掃描器m 入侵檢測(cè)系統(tǒng)IDS、入侵防御系統(tǒng)IPS、安全審計(jì)系統(tǒng)、日志審計(jì)系統(tǒng)m綠盟遠(yuǎn)程安全評(píng)估系統(tǒng)m 虛擬專用網(wǎng)（VPN）、上網(wǎng)行為管理系統(tǒng)m 病毒防護(hù)（防病毒軟件、防毒墻、防木馬軟件等）m 網(wǎng)絡(luò)加速，負(fù)載均衡、流量控制m主要分兩種：m雙網(wǎng)隔離計(jì)算機(jī)m物理隔離網(wǎng)閘解決每人2臺(tái)計(jì)算機(jī)的問(wèn)題1臺(tái)計(jì)算機(jī)，可以分時(shí)使用內(nèi)網(wǎng)或外網(wǎng)關(guān)鍵部件硬盤網(wǎng)線軟盤/USB/MODEM等

11、共享部件顯示器鍵盤/鼠標(biāo)主板/電源硬盤*原理切換關(guān)鍵部件m優(yōu)點(diǎn)： 中斷直接連接 強(qiáng)大的檢查機(jī)制 最高的安全性 m缺點(diǎn)： 對(duì)協(xié)議不透明，對(duì)每一種協(xié)議都要一種具體的實(shí)現(xiàn) ,效率低mMAC綁定mQOS設(shè)置m多VLAN劃分m日志m其他m訪問(wèn)控制鏈表m基于源地址/目標(biāo)地址/協(xié)議端口號(hào)m路徑的完整性m防止IP假冒和拒絕服務(wù)（Anti-spoofing/DDOS）m檢查源地址： ip verify unicast reverse-pathm 過(guò)濾RFC1918 地址空間的所有IP包；m關(guān)閉源路由： no ip source-routem路由協(xié)議的過(guò)濾及認(rèn)證mFlood 管理m日志m其他抗攻擊功能v VPN通

12、過(guò)一個(gè)私有的通道來(lái)創(chuàng)建一個(gè)安全的私有連接，將遠(yuǎn)程用戶、公司分支機(jī)構(gòu)、公司的業(yè)務(wù)伙伴等跟企業(yè)網(wǎng)連接起來(lái)，形成一個(gè)擴(kuò)展的公司企業(yè)網(wǎng)v 提供高性能、低價(jià)位的因特網(wǎng)接入v VPN是企業(yè)網(wǎng)在公共網(wǎng)絡(luò)上的延伸VPN功能v 數(shù)據(jù)機(jī)密性保護(hù)v 數(shù)據(jù)完整性保護(hù)v 數(shù)據(jù)源身份認(rèn)證v 重放攻擊保護(hù)m監(jiān)控并限制訪問(wèn)針對(duì)黑客攻擊的不安全因素，防火墻采取控制進(jìn)出內(nèi)外網(wǎng)的數(shù)據(jù)包的方法，實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)上數(shù)據(jù)包的狀態(tài)，并對(duì)這些狀態(tài)加以分析和處理，及時(shí)發(fā)現(xiàn)存在的異常行為；同時(shí)，根據(jù)不同情況采取相應(yīng)的防范措施，從而提高系統(tǒng)的抗攻擊能力。m控制協(xié)議和服務(wù)針對(duì)網(wǎng)絡(luò)先天缺陷的不安全因素，防火墻采取控制協(xié)議和服務(wù)的方法，使得只有授權(quán)的協(xié)議和

13、服務(wù)才可以通過(guò)防火墻，從而大大降低了因某種服務(wù)、協(xié)議的漏洞而引起災(zāi)難性安全事故的可能性。m保護(hù)網(wǎng)絡(luò)內(nèi)部針對(duì)軟件及系統(tǒng)的漏洞或“后門”，防火墻采用了及受保護(hù)網(wǎng)絡(luò)的操作系統(tǒng)、應(yīng)用軟件無(wú)關(guān)的體系結(jié)構(gòu)，其自身建立在安全操作系統(tǒng)之上；同時(shí)，針對(duì)受保護(hù)的內(nèi)部網(wǎng)絡(luò)，防火墻能夠及時(shí)發(fā)現(xiàn)系統(tǒng)中存在的漏洞，進(jìn)行訪問(wèn)上的限制；防火墻還可以屏蔽受保護(hù)網(wǎng)絡(luò)的相關(guān)信息，使黑客無(wú)從下手。m日志記錄及審計(jì)當(dāng)防火墻系統(tǒng)被配置為所有內(nèi)部網(wǎng)絡(luò)及外部Internet 連接均需經(jīng)過(guò)的安全節(jié)點(diǎn)時(shí)，防火墻系統(tǒng)就能夠?qū)λ械木W(wǎng)絡(luò)請(qǐng)求做出日志記錄。日志是對(duì)一些可能的攻擊行為進(jìn)行分析和防范的十分重要的情報(bào)。另外,防火墻系統(tǒng)也能夠?qū)φ５木W(wǎng)絡(luò)使用

14、情況做出統(tǒng)計(jì)。這樣網(wǎng)絡(luò)管理員通過(guò)對(duì)統(tǒng)計(jì)結(jié)果進(jìn)行分析，掌握網(wǎng)絡(luò)的運(yùn)行狀態(tài)，繼而更加有效的管理整個(gè)網(wǎng)絡(luò)。m可屏蔽內(nèi)部服務(wù)，避免相關(guān)安全缺陷被利用m27層訪問(wèn)控制（集中在3-4層）m解決地址不足問(wèn)題m抗網(wǎng)絡(luò)層、傳輸層一般攻擊不足m防外不防內(nèi)m對(duì)網(wǎng)絡(luò)性能有影響m對(duì)應(yīng)用層檢測(cè)能力有限基本原理：利用sniffer方式獲取網(wǎng)絡(luò)數(shù)據(jù)，根據(jù)已知特征判斷是否存在網(wǎng)絡(luò)攻擊。是一種基于被動(dòng)偵聽(tīng)原理的網(wǎng)絡(luò)分析方式。使用這種技術(shù)方式，可以監(jiān)視網(wǎng)絡(luò)的狀態(tài)、數(shù)據(jù)流動(dòng)情況以及網(wǎng)絡(luò)上傳輸?shù)男畔?。?yōu)點(diǎn)：能及時(shí)獲知網(wǎng)絡(luò)安全狀況，借助分析發(fā)現(xiàn)安全隱患或攻擊信息，便于及時(shí)采取措施。不足：m準(zhǔn)確性：誤報(bào)率和漏報(bào)率m有效性：難以及時(shí)阻斷危險(xiǎn)

15、行為m基本功能：串接于網(wǎng)絡(luò)中，根據(jù)網(wǎng)絡(luò)病毒的特征在網(wǎng)絡(luò)數(shù)據(jù)中比對(duì)，從而發(fā)現(xiàn)并阻斷病毒傳播m優(yōu)點(diǎn)：能有效阻斷已知網(wǎng)絡(luò)病毒的傳播m不足：m只能檢查局部已經(jīng)發(fā)作的病毒m對(duì)網(wǎng)絡(luò)有一定影響m通過(guò)模擬網(wǎng)絡(luò)攻擊檢查目標(biāo)主機(jī)是否存在已知安全漏洞m優(yōu)點(diǎn)：有利于及早發(fā)現(xiàn)問(wèn)題，并從根本上解決安全隱患m不足：m只能針對(duì)已知安全問(wèn)題進(jìn)行掃描m準(zhǔn)確性 vs 指導(dǎo)性m網(wǎng)絡(luò)安全簡(jiǎn)介mTCP/IP網(wǎng)絡(luò)安全分析m網(wǎng)絡(luò)安全概念和手段介紹m網(wǎng)絡(luò)安全展望m經(jīng)常關(guān)注安全信息發(fā)布mMicrosoft、Sun、hp、ibm等公司的安全公告m安全焦點(diǎn) m綠盟網(wǎng)站 m經(jīng)常性檢查重要服務(wù)器、網(wǎng)絡(luò)設(shè)備