網(wǎng)絡安全防范體系網(wǎng)絡安全技術1網(wǎng)絡安全防范體系5/9/2024

網(wǎng)絡安全防范體系

為了能夠準確了解用戶的安全需求，選擇各種安全產(chǎn)品和策略，必須建立一些系統(tǒng)的方法來進行網(wǎng)絡安全防范。網(wǎng)絡安全防范體系的科學性、可行性是其可順利實施的保障。2網(wǎng)絡安全防范體系5/9/20241.1網(wǎng)絡安全防范層次3網(wǎng)絡安全防范體系5/9/20241.1網(wǎng)絡安全防范層次1．物理安全保證計算機網(wǎng)絡各種設備的物理安全是整個網(wǎng)絡安全的前提。物理安全是指保護計算機通信線路、網(wǎng)絡設備、設施等免遭地震、水災、火災等環(huán)境事故帶來的破壞以及減少由于人為操作失誤或錯誤和各種計算機犯罪等行為導致的破壞。此外，除了在網(wǎng)絡規(guī)劃時要滿足場地、環(huán)境等要求之外，還要防止信息在空間的擴散。物理層的安全主要體現(xiàn)在通信線路的可靠性（線路備份、網(wǎng)管軟件、傳輸介質(zhì)）、軟硬件設備的安全性（替換設備、拆卸設備、增加設備）、設備的備份、防災害能力、防干擾能力和設備的運行環(huán)境（溫度、濕度、煙塵）、不間斷電源保障等。4網(wǎng)絡安全防范體系5/9/20241.1網(wǎng)絡安全防范層次2．系統(tǒng)安全作為計算機系統(tǒng)安全功能的管理者和執(zhí)行者，操作系統(tǒng)負責對計算機系統(tǒng)的各種資源、操作、運算、用戶進行管理和控制。該層次的安全問題來自網(wǎng)絡內(nèi)使用的操作系統(tǒng)的安全，如WindowsNT、WindowsXP、UNIX等操作系統(tǒng)的安全。5網(wǎng)絡安全防范體系5/9/20241.1網(wǎng)絡安全防范層次3．網(wǎng)絡安全隨著網(wǎng)絡上信息傳輸?shù)娜找骖l繁，網(wǎng)絡的傳輸量大大增加，而且越來越多的用戶選擇網(wǎng)絡作為機密信息的傳輸工具。為了應對可能出現(xiàn)的安全問題，網(wǎng)絡層提供了訪問控制、安全傳輸和連接服務，在實際應用中主要采用防火墻技術和VPN技術。6網(wǎng)絡安全防范體系5/9/20241.1網(wǎng)絡安全防范層次4．應用安全應用層的安全主要是針對用戶身份進行認證，有效地解決諸如電子郵件、Web服務、DNS等特定應用的安全問題。通過提供包括身份認證、不可否認、數(shù)據(jù)保密、數(shù)據(jù)完整性檢查乃至訪問控制等功能，使合法用戶能夠?qū)μ囟ǖ臄?shù)據(jù)進行可控的操作。7網(wǎng)絡安全防范體系5/9/20241.1網(wǎng)絡安全防范層次5．安全管理安全管理包括安全技術和設備的管理、安全管理制度、部門與人員的組織規(guī)則等，管理的制度化在很大程度上影響著整個網(wǎng)絡的安全。嚴格的安全管理制度、明確的部門安全職責劃分、合理的人員角色配置都可以在很大程度上減少其他層次的安全漏洞。8網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)為了保證以上5個層次的安全，同時也為了適應網(wǎng)絡技術的發(fā)展，國際標準化組織（ISO）根據(jù)開放系統(tǒng)互連（OSI）參考模型制定了一個網(wǎng)絡安全體系結(jié)構(gòu)，在這個體系結(jié)構(gòu)中規(guī)定了5種安全服務和9種安全機制，來解決網(wǎng)絡中的信息安全與保密問題。9網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)1．安全服務網(wǎng)絡安全體系結(jié)構(gòu)中規(guī)定的5種安全服務包括認證服務、訪問控制服務、數(shù)據(jù)保密性服務、數(shù)據(jù)完整性服務以及防抵賴服務。10網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)1）認證服務對象認證服務是防止主動攻擊的重要措施，這種安全服務提供對通信中的對等實體和數(shù)據(jù)來源的鑒別，它對開放系統(tǒng)環(huán)境中的各種信息安全有著重要的作用。認證就是識別和證實。識別是辨別一個對象的身份，證實是證明該對象的身份就是其聲明的身份。OSI參考模型可提供對等實體認證的安全服務和數(shù)據(jù)源認證的安全服務。11網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)2）訪問控制服務這種服務可以防止未經(jīng)授權的用戶非法使用系統(tǒng)資源。訪問控制可以分為自主訪問控制和強制訪問控制兩類。訪問控制服務主要位于應用層、傳輸層和網(wǎng)絡層。它可以放在通信源、通信目標或兩者之間的某一部分。這種服務不僅可以提供給單個用戶，也可以提供給封閉的用戶組中的所有用戶。12網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)3）數(shù)據(jù)保密性服務數(shù)據(jù)保密性服務是針對信息泄露、竊聽等威脅的防御措施，目的是保護網(wǎng)絡中各系統(tǒng)之間交換的數(shù)據(jù)，防止因數(shù)據(jù)被截獲而造成的泄密。這種服務又分為信息保密、選擇段保密和業(yè)務流保密。信息保密是保護通信系統(tǒng)中的信息或網(wǎng)絡數(shù)據(jù)庫的數(shù)據(jù)；選擇段保密是保護信息中被選擇的部分數(shù)據(jù)段；業(yè)務流保密是防止攻擊者通過觀察業(yè)務流，如信源、信宿、傳送時間、頻率和路由等來得到敏感的信息。13網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)4）數(shù)據(jù)完整性服務這種服務用來防止非法用戶的主動攻擊，以保證數(shù)據(jù)接收方收到的信息與發(fā)送方發(fā)送的信息一致。數(shù)據(jù)完整性服務又分為連接完整性服務、選擇段有連接完整性服務、無連接完整性服務以及選擇段無連接完整性服務。14網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)5）防抵賴服務防抵賴服務又稱不可否認性服務，主要是用來防止發(fā)送數(shù)據(jù)方發(fā)送數(shù)據(jù)后否認自己發(fā)送過數(shù)據(jù)，或接收數(shù)據(jù)方收到數(shù)據(jù)后否認自己收到過數(shù)據(jù)。這種服務又可細分為不得否認發(fā)送、不得否認接收和依靠第三方。15網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)2．安全機制安全服務依賴于安全機制的支持。安全機制是利用密碼算法對重要而敏感的信息進行處理。OSI參考模型提供的安全機制主要有加密機制、數(shù)字簽名機制、訪問控制機制、數(shù)據(jù)完整性機制、認證機制、業(yè)務流量填充機制、路由控制機制、公證機制和安全審計跟蹤機制共9種。16網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)1）加密機制加密機制主要用來加密存儲數(shù)據(jù)，是保護數(shù)據(jù)最常用的方法。加密機制既可以單獨使用，也可以與其他機制結(jié)合起來使用。加密機制通過密鑰的管理機制來實現(xiàn)，需要在相應的加密體制下完成。17網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)2）數(shù)字簽名機制數(shù)據(jù)加密是保護數(shù)據(jù)最常用的方法，但這種方法只能防止第三者獲得真實數(shù)據(jù)，而無法防止通信雙方在通信時否認發(fā)送或接收過數(shù)據(jù)，發(fā)生偽造數(shù)據(jù)、篡改數(shù)據(jù)、假冒發(fā)送者或接收者等問題，解決這些問題的最好方法是使用數(shù)字簽名機制。數(shù)字簽名機制由兩個過程組成：對信息進行簽字的過程和對已簽字信息進行證實的過程。數(shù)字簽名機制必須保證簽名只能由簽名者的私有信息產(chǎn)生。18網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)3）訪問控制機制訪問控制機制是從計算機系統(tǒng)的處理能力方面對信息提供保護。它根據(jù)實體的身份及其信息，來決定該實體的訪問權限。訪問控制按照事先確定的規(guī)則決定主體對客體的訪問是否合法。當某一主體試圖非法使用一個未經(jīng)授權的資源時，訪問控制將拒絕這一企圖，并將這一事件報告給審計跟蹤系統(tǒng)，審計跟蹤系統(tǒng)將給出報警并記錄日志檔案。19網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)4）數(shù)據(jù)完整性機制在網(wǎng)絡中傳輸或存儲數(shù)據(jù)可能會因為一些因素，使數(shù)據(jù)的完整性受到破壞。例如，有時數(shù)據(jù)在信道中傳輸時受到信道干擾，有時數(shù)據(jù)在傳輸和存儲過程中被非法入侵者篡改，有時傳輸或存儲的程序和數(shù)據(jù)感染上了計算機病毒。要避免這樣的問題，應使用數(shù)據(jù)完整性機制。一般所說的數(shù)據(jù)完整性包括兩種形式：數(shù)據(jù)單元的完整性和數(shù)據(jù)單元序列的完整性。保證數(shù)據(jù)完整性的一般方法是：發(fā)送實體在一個數(shù)據(jù)單元上加一個標記，這個標記是數(shù)據(jù)本身的函數(shù)，如一個分組校驗或密碼校驗函數(shù)，它是經(jīng)過加密的。接收實體產(chǎn)生一個對應的標記，并將所產(chǎn)生的標記與接收的標記相比較，以確定在傳輸過程中數(shù)據(jù)是否被修改過。20網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)5）認證機制在計算機網(wǎng)絡中認證主要有站點認證、報文認證、用戶和進程的認證等。多數(shù)認證過程采用加密技術和數(shù)字簽名技術。隨著科學技術的發(fā)展，用戶生理特性認證技術將得到越來越多的應用。21網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)6）業(yè)務流量填充機制攻擊者攻擊的方法之一就是流量分析。攻擊者通常通過分析網(wǎng)絡中某一路徑上的業(yè)務流量和流向來判斷某些事件的發(fā)生。應付這種攻擊，可以在無信息傳輸時，連續(xù)發(fā)送偽隨機數(shù)據(jù)進行填充，使攻擊者不知道哪些是有用信息哪些是無用信息，從而挫敗業(yè)務流量分析攻擊。但填充的信息只有經(jīng)過加密保護才有效。22網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)7）路由控制機制在大型計算機網(wǎng)絡中，數(shù)據(jù)從源結(jié)點到達目的結(jié)點可能存在多條路徑，其中有些路徑是安全的，而有些路徑是不安全的。路由控制機制可根據(jù)信息發(fā)送者的申請選擇安全路徑，以確保數(shù)據(jù)安全。為了使用安全的子網(wǎng)、中繼站和鏈路，既可預先安排網(wǎng)絡中的路由，也可對其動態(tài)地進行選擇。23網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)8）公證機制在大型計算機網(wǎng)絡中可能會存在一些安全問題。例如，因為系統(tǒng)故障等原因使網(wǎng)絡中的數(shù)據(jù)丟失。再如，網(wǎng)絡中的有些用戶不誠實、不可信。為了解決這些問題，需要有一個各方都信任的第三方，它就像是一個國家設立的公證機構(gòu)，來提供公證服務，仲裁出現(xiàn)的問題。24網(wǎng)絡安全防范體系5/9/20241.2網(wǎng)絡安全體系結(jié)構(gòu)9）安全審計跟蹤機制審計跟蹤機制能創(chuàng)建和維護受保護客體的訪問審計跟蹤記錄，并能阻止非授權的用戶對它進行訪問或破壞。審計跟蹤機制提供了一種不可忽視的安全機制，它潛在的價值在于經(jīng)事后的安全審計可以檢測和調(diào)查網(wǎng)絡中的安全漏洞。安全服務與安全機制有著密切的聯(lián)系，安全服務由安全機制來實現(xiàn)，它體現(xiàn)了網(wǎng)絡安全模型的功能。一個安全服務可以由一個或幾個安全機制來實現(xiàn)，同樣，一個安全機制也可用于實現(xiàn)不同的安全服務中。25網(wǎng)絡安全防范體系5/9/20241.3網(wǎng)絡安全策略

由于計算機網(wǎng)絡具有連接形式多樣性、終端分布不均勻性和網(wǎng)絡的開放性、互連性等特征，致使網(wǎng)絡易受黑客、惡意軟件的攻擊，所以網(wǎng)上信息的安全是一個至關重要的問題。因此，網(wǎng)絡必須有足夠強的安全策略。26網(wǎng)絡安全防范體系5/9/20241．物理安全策略制定物理安全策略的目的是保護計算機系統(tǒng)、網(wǎng)絡服務器、打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用權限，防止用戶越權操作；確保計算機系統(tǒng)有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發(fā)生。抑制和防止電磁泄漏是物理安全策略的一個主要問題。目前，主要防護措施有兩類：一類是對傳導發(fā)射的防護，主要采取對電源線和信號線加裝性能良好的濾波器；另一類是對輻射的防護。27網(wǎng)絡安全防范體系5/9/20242．訪問控制策略

訪問控制是網(wǎng)絡安全防范和保護的主要策略，它的主要任務是保證網(wǎng)絡資源不被非法使用和非正常訪問，也是維護網(wǎng)絡系統(tǒng)安全、保護網(wǎng)絡資源的重要手段。1）入網(wǎng)訪問控制入網(wǎng)訪問控制為網(wǎng)絡訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務器并獲取網(wǎng)絡資源，控制準許用戶入網(wǎng)的時間和在哪臺工作站入網(wǎng)。用戶的入網(wǎng)訪問控制可分為用戶名的識別與驗證、用戶口令的識別與驗證、用戶賬號的缺省限制檢查。2）目錄級安全訪問控制網(wǎng)絡應允許控制用戶對目錄、文件、設備的訪問。用戶在目錄一級指定的權限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的權限。28網(wǎng)絡安全防范體系5/9/20243．加密策略

信息加密的目的是保護網(wǎng)內(nèi)的數(shù)據(jù)、文件、口令和控制信息，保護網(wǎng)上傳輸?shù)臄?shù)據(jù)。信息加密