1、第8章 網(wǎng)絡安全,高等學校計算機專業(yè)教材精選,李聯(lián)寧 陸麗娜,第8章 網(wǎng)絡安全,網(wǎng)絡安全從其本質(zhì)上來講就是網(wǎng)絡上的信息安全。從廣義來說，凡是涉及到網(wǎng)絡上信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論都是網(wǎng)絡安全的研究領域。 網(wǎng)絡安全是一門涉及計算機科學、網(wǎng)絡技術、通信技術、密碼技術、信息安全技術、應用數(shù)學、數(shù)論、信息論等多種學科的綜合性學科。,8.1.1 網(wǎng)絡安全威脅分析,1.物理安全 總體來說物理安全的風險主要有： 地震、水災、火災等環(huán)境事故； 電源故障； 人為操作失誤或錯誤； 設備被盜、被毀； 電磁干擾；線路截獲；,8.1.1 網(wǎng)絡安全威脅分析,2.網(wǎng)絡結構的安全 網(wǎng)絡拓撲結

2、構設計也直接影響到網(wǎng)絡系統(tǒng)的安全性。假如在外部和內(nèi)部網(wǎng)絡進行通信時，內(nèi)部網(wǎng)絡的機器安全就會受到威脅。 因此，我們在設計時有必要將公開服務器（WEB、DNS、EMAIL等）和外網(wǎng)及內(nèi)部其它業(yè)務網(wǎng)絡進行必要的隔離，避免網(wǎng)絡結構信息外泄；同時還要對外網(wǎng)的服務請求加以過濾。,8.1.1 網(wǎng)絡安全威脅分析,3.系統(tǒng)的安全 所謂系統(tǒng)的安全是指整個網(wǎng)絡操作系統(tǒng)和網(wǎng)絡硬件平臺是否可靠且值得信任。 不同的用戶應從不同的方面對其網(wǎng)絡作詳盡的分析，選擇安全性盡可能高的操作系統(tǒng)。 因此不但要選用盡可能可靠的操作系統(tǒng)和硬件平臺，并對操作系統(tǒng)進行安全配置。,8.1.1 網(wǎng)絡安全威脅分析,4. 應用系統(tǒng)的安全 （1）應用系

3、統(tǒng)的安全是動態(tài)的、不斷變化的。在應用系統(tǒng)的安全性上，主要考慮盡可能建立安全的系統(tǒng)平臺，而且通過專業(yè)的安全工具不斷發(fā)現(xiàn)漏洞，修補漏洞。 （2）應用的安全性涉及到信息、數(shù)據(jù)的安全性。對用戶使用計算機必須進行身份認證，對于重要信息的通訊必須授權，傳輸必須加密。,8.1.1 網(wǎng)絡安全威脅分析,5. 管理的安全風險 最可行的做法是制定健全的管理制度和嚴格管理相結合。 保障網(wǎng)絡的安全運行，使其成為一個具有良好的安全性、可擴充性和易管理性的信息網(wǎng)絡便成為了首要任務。,8.1.2 網(wǎng)絡安全服務的主要內(nèi)容,1.安全技術手段 物理措施：例如，保護網(wǎng)絡關鍵設備(如交換機、大型計算機等)，制定嚴格的網(wǎng)絡安全規(guī)章制度，

4、采取防輻射、防火以及安裝不間斷電源（UPS）等措施。 訪問控制：對用戶訪問網(wǎng)絡資源的權限進行嚴格的認證和控制。例如，進行用戶身份認證，對口令加密、更新和鑒別，設置用戶訪問目錄和文件的權限等等。,8.1.2 網(wǎng)絡安全服務的主要內(nèi)容,數(shù)據(jù)加密：加密是保護數(shù)據(jù)安全的重要手段。加密的作用是保障信息被人截獲后不能讀懂其含義。防止計算機網(wǎng)絡病毒，安裝網(wǎng)絡防病毒系統(tǒng)。 其他措施：其他措施包括信息過濾、容錯、數(shù)據(jù)鏡像、數(shù)據(jù)備份和審計等。 近年來，圍繞網(wǎng)絡安全問題提出了許多解決辦法，例如數(shù)據(jù)加密技術和防火墻技術等。,8.1.2 網(wǎng)絡安全服務的主要內(nèi)容,2.安全防范意識 擁有網(wǎng)絡安全意識是保證網(wǎng)絡安全的重要前提。

5、 許多網(wǎng)絡安全事件的發(fā)生都和缺乏安全防范意識有關。 整體的網(wǎng)絡安全主要表現(xiàn)在以下幾個方面：網(wǎng)絡的物理安全、網(wǎng)絡拓撲結構安全、網(wǎng)絡系統(tǒng)安全、應用系統(tǒng)安全和網(wǎng)絡管理的安全等。,8.1.3 Internet安全隱患的主要體現(xiàn),1 Internet是一個開放的、無控制機構的網(wǎng)絡，黑客（Hacker）經(jīng)常會侵入網(wǎng)絡中的計算機系統(tǒng)，或竊取機密數(shù)據(jù)和盜用特權，或破壞重要數(shù)據(jù)，或使系統(tǒng)功能得不到充分發(fā)揮直至癱瘓。 2 Internet的數(shù)據(jù)傳輸是基于TCP/IP通信協(xié)議進行的，這些協(xié)議缺乏使傳輸過程中的信息不被竊取的安全措施。,8.1.3 Internet安全隱患的主要體現(xiàn),3 Internet上的通信業(yè)務多

6、數(shù)使用Unix操作系統(tǒng)來支持，Unix操作系統(tǒng)中明顯存在的安全脆弱性問題會直接影響安全服務。 4在計算機上存儲、傳輸和處理的電子信息，還沒有像傳統(tǒng)的郵件通信那樣進行信封保護和簽字蓋章。信息的來源和去向是否真實，內(nèi)容是否被改動，以及是否泄露等，在應用層支持的服務協(xié)議中是憑著君子協(xié)定來維系的。,8.1.3 Internet安全隱患的主要體現(xiàn),5電子郵件存在著被拆看、誤投和偽造的可能性。使用電子郵件來傳輸重要機密信息會存在著很大的危險。 6計算機病毒通過Internet的傳播給上網(wǎng)用戶帶來極大的危害，病毒可以使計算機和計算機網(wǎng)絡系統(tǒng)癱瘓、數(shù)據(jù)和文件丟失。在網(wǎng)絡上傳播病毒可以通過公共匿名FTP文件傳送

7、、也可以通過郵件和郵件的附加文件傳播。,8.1.4 網(wǎng)絡安全攻擊的形式,主要有四種方式:中斷、截獲、修改和偽造。,網(wǎng)絡安全攻擊的形式,8.1.4 網(wǎng)絡安全攻擊的形式,中斷是以可用性作為攻擊目標，它毀壞系統(tǒng)資源，使網(wǎng)絡不可使用。 截獲是以保密性作為攻擊目標，非授權用戶通過某種手段獲得對系統(tǒng)資源的訪問。 修改是以完整性作為攻擊目標，非授權用戶不僅獲得訪問而且對數(shù)據(jù)進行修改。 偽造是以完整性作為攻擊目標，非授權用戶將偽造的數(shù)據(jù)插入到正常傳輸?shù)臄?shù)據(jù)中。,8.2 防火墻技術,古時候，人們常在寓所之間砌起一道磚墻，一旦火災發(fā)生，它能夠防止火勢蔓延到別的寓所。自然，這種墻被命名為“防火墻”。 為安全起見，可

8、以在本網(wǎng)絡和Internet之間插入一個中介系統(tǒng)，阻斷來自外部通過網(wǎng)絡對本網(wǎng)絡的威脅和入侵，這種中介系統(tǒng)叫做“防火墻” 。,8.2.1 防火墻的基本概念,防火墻是由軟件、硬件構成的系統(tǒng)，是一種特殊編程的路由器，用來在兩個網(wǎng)絡之間實施接入控制策略。 接入控制策略是由使用防火墻的單位自行制訂的，為的是可以最適合本單位的需要。 Internet防火墻決定了哪些內(nèi)部服務可以被外界訪問；外界的哪些人可以訪問內(nèi)部的哪些服務，以及哪些外部服務可以被內(nèi)部人員訪問。,8.2.1 防火墻的基本概念,1、 Internet防火墻與安全策略的關系 防火墻不僅僅是路由器、堡壘主機、或任何網(wǎng)絡安全的設備的組合，防火墻是安

9、全策略的一個部分。 安全策略建立全方位的防御體系，包括：公司規(guī)定的網(wǎng)絡訪問、服務訪問、本地和遠地的用戶認證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護措施，以及雇員培訓等。,8.2.1 防火墻的基本概念,(1) 防火墻的功能 防火墻的功能有兩個：阻止和允許。 “阻止”就是阻止某種類型的通信量通過防火墻（從外部網(wǎng)絡到內(nèi)部網(wǎng)絡，或反過來）。 “允許”的功能與“阻止”恰好相反。 防火墻必須能夠識別通信量的各種類型。不過在大多數(shù)情況下防火墻的主要功能是“阻止”。,8.2.1 防火墻的基本概念,(2) 聯(lián)網(wǎng)監(jiān)控 在防火墻上可以很方便的監(jiān)視網(wǎng)絡的安全性，并產(chǎn)生報警。（注意：對一個與Internet相聯(lián)的內(nèi)部網(wǎng)絡

10、來說，重要的問題并不是網(wǎng)絡是否會受到攻擊，而是何時受到攻擊？誰在攻擊？） 網(wǎng)絡管理員必須審計并記錄所有通過防火墻的重要信息。如果網(wǎng)絡管理員不能及時響應報警并審查常規(guī)記錄，防火墻就形同虛設。,8.2.1 防火墻的基本概念,(3) 防火墻在互連網(wǎng)絡中的位置 防火墻內(nèi)的網(wǎng)絡稱為“可信賴的網(wǎng)絡”(trusted network)，而將外部的因特網(wǎng)稱為“不可信賴的網(wǎng)絡”(untrusted network)。,8.2.1 防火墻的技術類別,1. 包過濾防火墻 采用這種技術的防火墻產(chǎn)品，通過在網(wǎng)絡中的適當位置對數(shù)據(jù)包進行過濾。 檢查數(shù)據(jù)流中每個數(shù)據(jù)包的源地址、目的地址、所有的TCP端口號和TCP鏈路狀態(tài)等

11、要素， 然后依據(jù)一組預定義的規(guī)則，以允許合乎邏輯的數(shù)據(jù)包通過防火墻進入到內(nèi)部網(wǎng)絡，而將不合乎邏輯的數(shù)據(jù)包加以刪除。,8.2.1 防火墻的技術類別,2. 代理服務器防火墻 代理服務器運行在兩個網(wǎng)絡之間，它對于客戶來說像是一臺真的服務器一樣，而對于外界的服務器來說，它又是一臺客戶機。 當代理服務器接收到用戶的請求后，會檢查用戶請求的站點是否符合公司的要求，如果公司允許用戶訪問該站點的話，代理服務器會像一個客戶一樣，去那個站點取回所需信息再轉(zhuǎn)發(fā)給客戶。,8.2.1 防火墻的技術類別,3. 狀態(tài)監(jiān)視器防火墻 這種防火墻安全特性較好，它采用了一個在網(wǎng)關上執(zhí)行網(wǎng)絡安全策略的軟件引擎，稱之為檢測模塊。 檢測

12、模塊在不影響網(wǎng)絡正常工作的前提下，采用抽取相關數(shù)據(jù)的方法對網(wǎng)絡通信的各層實施監(jiān)測，抽取部分數(shù)據(jù)，即狀態(tài)信息，并動態(tài)地保存起來作為以后指定安全策略的參考。,8.2.2 防火墻的結構,在防火墻與網(wǎng)絡的配置上，有三種典型結構： 雙宿多宿主機模式、屏蔽主機模式和屏蔽子網(wǎng)模式。 堡壘主機(bastion host) 堡壘主機是一種配置了較為全面安全防范措施的網(wǎng)絡上的計算機，從網(wǎng)絡安全上來看，堡壘主機是最強壯的系統(tǒng)。通常情況下，堡壘主機可作為代理服務器的平臺。,8.2.2 防火墻的結構,1. 雙宿多宿主機模式 雙宿多宿主機防火墻(Dual-HomedMulti-Homed Firewall)是一種擁有兩個

13、或多個連接到不同網(wǎng)絡上的網(wǎng)絡接口的防火墻， 通常用一臺裝有兩塊或多塊網(wǎng)卡的堡壘主機做防火墻，網(wǎng)卡各自與受保護網(wǎng)和外部網(wǎng)相連。 特點是主機的路由功能是被禁止的，兩個網(wǎng)絡之間的通信通過應用層代理服務來完成。,8.2.2 防火墻的結構,雙重宿主主機的防火墻體系結構是相當簡單的：雙重宿主主機位于兩者之間，并且被連接到外部網(wǎng)和內(nèi)部網(wǎng)。,雙重宿主主機體系結構,8.2.2 防火墻的結構,2 屏蔽主機模式 屏蔽主機防火墻(Screened Firewall)由包過濾路由器和堡壘主機組成。 在這種方式的防火墻中，堡壘主機安裝在內(nèi)部網(wǎng)絡上，通常在路由器上設立過濾規(guī)則，并使這個堡壘主機成為外部網(wǎng)絡惟一可直接到達的主

14、機，這保證了內(nèi)部網(wǎng)絡不被未經(jīng)授權的外部用戶的攻擊。,8.2.2 防火墻的結構,單地址堡壘主機,雙地址堡壘主機,8.2.2 防火墻的結構,3 屏蔽子網(wǎng)模式 屏蔽子網(wǎng)防火墻(Screened Subnet Mode Firewall)的配置采用了兩個包過濾路由器和一個堡壘主機，在內(nèi)外網(wǎng)絡之間建立了一個被隔離的子網(wǎng)，定義為“非軍事區(qū)(demilitarized zone)”網(wǎng)絡。 網(wǎng)絡管理員將堡壘主機、WEB服務器、Email服務器等公用服務器放在非軍事區(qū)網(wǎng)絡中。 內(nèi)部網(wǎng)絡和外部網(wǎng)絡均可訪問屏蔽子網(wǎng)，但禁止它們穿過屏蔽子網(wǎng)通信。,8.2.2 防火墻的結構,屏蔽子網(wǎng)體系結構的最簡單的形式為，兩個屏蔽路

15、由器，每一個都連接到周邊網(wǎng)絡。一個位于周邊網(wǎng)絡與內(nèi)部的網(wǎng)絡之間，另一個位于周邊網(wǎng)絡與外部網(wǎng)絡之間（通常為Internet）。,屏蔽子網(wǎng)體系結構,8.2.3 防火墻產(chǎn)品選購策略和使用,防火墻的部署,8.3 入侵檢測,入侵檢測（Intrusion Detection）是對入侵行為的檢測。 它通過收集和分析網(wǎng)絡行為、安全日志、審計數(shù)據(jù)、其它網(wǎng)絡上可以獲得的信息以及計算機系統(tǒng)中若干關鍵點的信息，檢查網(wǎng)絡或系統(tǒng)中是否存在違反安全策略的行為和被攻擊的跡象。,8.3 入侵檢測,入侵檢測作為一種積極主動地安全防護技術，提供了對內(nèi)部攻擊、外部攻擊和誤操作的實時保護，在網(wǎng)絡系統(tǒng)受到危害之前攔截和響應入侵。 入侵檢

16、測被認為是防火墻之后的第二道安全閘門，在不影響網(wǎng)絡性能的情況下能對網(wǎng)絡進行監(jiān)測。 入侵檢測是防火墻的合理補充，幫助系統(tǒng)對付網(wǎng)絡攻擊，,8.3.1 入侵檢測技術,1 特征檢測 特征檢測 (Signature-based detection) 假設入侵者活動可以用一種模式來表示，系統(tǒng)的目標是檢測主體活動是否符合這些模式。 它可以將已有的入侵方法檢查出來，但對新的入侵方法無能為力。 其難點在于如何設計模式既能夠表達“入侵”現(xiàn)象又不會將正常的活動包含進來。,8.3.1 入侵檢測技術,2 異常檢測 異常檢測 (Anomaly detection) 的假設是入侵者活動異常于正常主體的活動。 根據(jù)這一理念建

17、立主體正?；顒拥摹盎顒雍啓n”，將當前主體的活動狀況與“活動簡檔”相比較，當違反其統(tǒng)計規(guī)律時，認為該活動可能是“入侵”行為。,8.3.2 入侵防御系統(tǒng),入侵檢測系統(tǒng)（Intrusion-detection system，下稱“IDS”）是一種對網(wǎng)絡傳輸進行即時監(jiān)視，在發(fā)現(xiàn)可疑傳輸時發(fā)出警報或者采取主動反應措施的網(wǎng)絡安全設備。 它與其他網(wǎng)絡安全設備的不同之處便在于，IDS是一種積極主動的安全防護技術。,8.3.2 入侵防御系統(tǒng),1. IDS入侵檢測系統(tǒng)是一個監(jiān)聽設備 我們做一個形象的比喻：假如防火墻是一幢大樓的門衛(wèi)，那么IDS就是這幢大樓里的監(jiān)視系統(tǒng)。一旦小偷爬窗進入大樓，或內(nèi)部人員有越界行為，只

18、有實時監(jiān)視系統(tǒng)才能發(fā)現(xiàn)情況并發(fā)出警告。 不同于防火墻，IDS入侵檢測系統(tǒng)是一個監(jiān)聽設備，沒有跨接在任何鏈路上，無須網(wǎng)絡流量流經(jīng)它便可以工作。,8.3.2 入侵防御系統(tǒng),對IDS的部署，唯一的要求是： IDS應當掛接在所有所關注流量都必須流經(jīng)的鏈路上。 在這里，所關注流量指的是來自高危網(wǎng)絡區(qū)域的訪問流量和需要進行統(tǒng)計、監(jiān)視的網(wǎng)絡報文。,8.3.2 入侵防御系統(tǒng),IDS在交換式網(wǎng)絡中的位置一般選擇在： （1）盡可能靠近攻擊源 （2）盡可能靠近受保護資源 這些位置通常是： 服務器區(qū)域的交換機上 Internet接入路由器之后的第一臺交換機上 重點保護網(wǎng)段的局域網(wǎng)交換機上,8.3.2 入侵防御系統(tǒng),I

19、DS網(wǎng)絡監(jiān)聽,8.3.2 入侵防御系統(tǒng),2. 系統(tǒng)組成 一個入侵檢測系統(tǒng)分為四個組件： 事件產(chǎn)生器（Event generators）； 事件分析器（Event analyzers）； 響應單元（Response units ）； 事件數(shù)據(jù)庫（Event databases ）。,8.3.2 入侵防御系統(tǒng),事件產(chǎn)生器的目的是從整個計算環(huán)境中獲得事件，并向系統(tǒng)的其他部分提供此事件。 事件分析器分析得到的數(shù)據(jù)，并產(chǎn)生分析結果。 響應單元則是對分析結果作出反應的功能單元，它可以作出切斷連接、改變文件屬性等強烈反應，也可以只是簡單的報警。 事件數(shù)據(jù)庫是存放各種中間和最終數(shù)據(jù)的地方的統(tǒng)稱，它可以是復雜的

20、數(shù)據(jù)庫，也可以是簡單的文本文件。,8.3.2 入侵防御系統(tǒng),3. 系統(tǒng)分類 IDS入侵檢測系統(tǒng)以信息來源的不同和檢測方法的差異分為幾類。 根據(jù)信息來源可分為基于主機IDS和基于網(wǎng)絡的IDS。 根據(jù)檢測方法又可分為異常入侵檢測和濫用入侵檢測。,8.3.3 入侵檢測系統(tǒng)的工作步驟,1. 信息收集 入侵檢測的第一步是信息收集，內(nèi)容包括系統(tǒng)、網(wǎng)絡、數(shù)據(jù)及用戶活動的狀態(tài)和行為。 (1) 系統(tǒng)和網(wǎng)絡日志文件 (2) 目錄和文件中的不期望的改變 (3) 程序執(zhí)行中的不期望行為 (4) 物理形式的入侵信息,8.3.3 入侵檢測系統(tǒng)的工作步驟,2. 信號分析 對上述四類收集到的有關系統(tǒng)、網(wǎng)絡、數(shù)據(jù)及用戶活動的狀

21、態(tài)和行為等信息，一般通過三種技術手段進行分析：模式匹配，統(tǒng)計分析和完整性分析。 其中前兩種方法用于實時的入侵檢測，而完整性分析則用于事后分析。,8.3.3 入侵檢測系統(tǒng)的工作步驟,(1) 模式匹配 模式匹配就是將收集到的信息與已知的網(wǎng)絡入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進行比較，從而發(fā)現(xiàn)違背安全策略的行為。 如通過字符串匹配尋找一個簡單的條目，又如利用正規(guī)的數(shù)學表達式來表示安全狀態(tài)的變化）。 一種進攻模式可以用一個過程（如執(zhí)行一條指令）或一個輸出（如獲得權限）來表示。,8.3.3 入侵檢測系統(tǒng)的工作步驟,(2) 統(tǒng)計分析 統(tǒng)計分析方法首先給系統(tǒng)對象（如用戶、文件、目錄和設備等）創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常

22、使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等）。 測量屬性的平均值將被用來與網(wǎng)絡、系統(tǒng)的行為進行比較，任何觀察值在正常值范圍之外時，就認為有入侵發(fā)生。,8.3.3 入侵檢測系統(tǒng)的工作步驟,(3) 完整性分析 完整性分析主要關注某個文件或?qū)ο笫欠癖桓?，這經(jīng)常包括文件和目錄的內(nèi)容及屬性，它在發(fā)現(xiàn)被更改的、被病毒侵入的應用程序方面特別有效。 完整性分析利用強有力的加密機制，稱為消息摘要函數(shù)（例如MD5-消息摘要算法第五版 ），它能識別哪怕是微小的變化。,8.3.4 入侵檢測系統(tǒng)典型代表,入侵檢測系統(tǒng)的典型代表是ISS公司（國際互聯(lián)網(wǎng)安全系統(tǒng)公司）的Real Secure。 由于入侵檢測系

23、統(tǒng)的市場在近幾年中飛速發(fā)展，許多公司投入到這一領域上來。Venustech(啟明星辰）、Internet Security System（ISS）、思科、賽門鐵克等公司都推出了自己的產(chǎn)品。,8.4 身份驗證和數(shù)據(jù)加密,1. 身份驗證 身份驗證是指通過一定的手段，完成對用戶身份的確認。身份驗證的目的是確認當前所聲稱為某種身份的用戶，確實是所聲稱的用戶。 身份驗證的方法有很多，基本上可分為： 基于共享密鑰的身份驗證、 基于生物學特征的身份驗證、 基于公開密鑰加密算法的身份驗證。,8.4 身份驗證和數(shù)據(jù)加密,(1) 基于共享密鑰的身份驗證 基于共享密鑰的身份驗證是指服務器端和用戶共同擁有一個或一組密

24、碼。當用戶需要進行身份驗證時，用戶通過輸入或通過保管有密碼的設備提交由用戶和服務器共同擁有的密碼。 使用基于共享密鑰的身份驗證的服務有很多，如：絕大多數(shù)的網(wǎng)絡接入服務、絕大多數(shù)的BBS以及維基百科等等。,8.4 身份驗證和數(shù)據(jù)加密,(2) 基于生物學特征的身份驗證 基于生物學特征的身份驗證是指基于每個人身體上獨一無二的特征，如指紋、虹膜等等。 (3) 基于公開密鑰加密算法的身份驗證 雙方分別持有公開密鑰和私有密鑰，由其中的一方采用私有密鑰對特定數(shù)據(jù)進行加密，而對方采用公開密鑰對數(shù)據(jù)進行解密。 使用基于公開密鑰加密算法的身份驗證的服務有：SSL、數(shù)字簽名等等。,8.4 身份驗證和數(shù)據(jù)加密,2.

25、數(shù)據(jù)加密 數(shù)據(jù)加密是計算機系統(tǒng)對信息進行保護的一種最可靠的辦法。它利用密碼技術對信息進行交換，實現(xiàn)信息隱蔽，從而保護信息的安全。 考慮到有人可能試圖旁路系統(tǒng)的情況，如物理地取走數(shù)據(jù)庫，在通訊線路上竊聽。對這樣的威脅最有效的解決方法就是數(shù)據(jù)加密，即以加密格式存儲和傳輸敏感數(shù)據(jù)。,8.4 身份驗證和數(shù)據(jù)加密,數(shù)據(jù)加密的術語有： 明文，即原始的或未加密的數(shù)據(jù)。通過加密算法對其進行加密，加密算法的輸入信息為明文和密鑰； 密文，明文加密后的格式，是加密算法的輸出信息。加密算法是公開的，而密鑰則是不公開的。密文，不應為無密鑰的用戶理解，用于數(shù)據(jù)的存儲以及傳輸。,8.4.2 訪問控制和口令,1. 訪問控制

26、訪問控制通常用于系統(tǒng)管理員控制用戶對服務器、目錄、文件等網(wǎng)絡資源的訪問。 (1) 訪問控制的功能主要有以下： 防止非法的主體進入受保護的網(wǎng)絡資源。 允許合法用戶訪問受保護的網(wǎng)絡資源。 防止合法的用戶對受保護的網(wǎng)絡資源進行非授權的訪問。,8.4.2 訪問控制和口令,(2) 訪問控制實現(xiàn)的策略： 入網(wǎng)訪問控制 網(wǎng)絡權限限制 目錄級安全控制 屬性安全控制 網(wǎng)絡服務器安全控制 網(wǎng)絡監(jiān)測和鎖定控制 網(wǎng)絡端口和節(jié)點的安全控制 防火墻控制,8.4.2 訪問控制和口令,2. 訪問控制的類型 訪問控制可分為自主訪問控制和強制訪問控制兩大類。 自主訪問控制，是指由用戶有權對自身所創(chuàng)建的訪問對象(文件、數(shù)據(jù)表等)進

27、行訪問，并可將對這些對象的訪問權授予其他用戶和從授予權限的用戶收回其訪問權限。,8.4.2 訪問控制和口令,強制訪問控制，是指由系統(tǒng)(通過專門設置的系統(tǒng)安全員)對用戶所創(chuàng)建的對象進行統(tǒng)一的強制性控制，按照規(guī)定的規(guī)則決定哪些用戶可以對哪些對象進行什么樣操作系統(tǒng)類型的訪問， 即使是創(chuàng)建者用戶，在創(chuàng)建一個對象后，也可能無權訪問該對象。,8.4.2 訪問控制和口令,3. 口令 通過用戶ID和口令進行認證是操作系統(tǒng)或應用程序通常采用的。對口令的攻擊包括以下幾種： （1）網(wǎng)絡數(shù)據(jù)流竊聽(Sniffer) ：攻擊者通過竊聽網(wǎng)絡數(shù)據(jù)，如果口令使用明文傳輸，則可被非法截獲。,8.4.2 訪問控制和口令,（2）認

28、證信息截取/重放(Record/Replay)：有的系統(tǒng)會將認證信息進行簡單加密后進行傳輸，如果攻擊者無法用第一種方式推算出密碼，可以使用截取/重放方式，需要的是重新編寫客戶端軟件以使用加密口令實現(xiàn)系統(tǒng)登錄。,8.4.2 訪問控制和口令,（3）字典攻擊：大部份的人為了方便記憶選用的密碼都與自己周遭的事物有關，例如：身份證字號、生日、車牌號碼、其他有意義的單詞或數(shù)字，某些攻擊者會使用字典中的單詞來嘗試用戶的密碼。 4）窮舉攻擊(Brute Force)：它使用字符串的全集作為字典。如果用戶的密碼較短，很容易被窮舉出來，因而很多系統(tǒng)都建議用戶使用長口令。,8.4.2 訪問控制和口令,（5）窺探：攻

29、擊者利用與被攻擊系統(tǒng)接近的機會，安裝監(jiān)視器或親自窺探合法用戶輸入口令的過程，以得到口令。 （6）社交工程：比如冒充是局長騙取管理員信任得到口令等等。冒充合法用戶發(fā)送郵件或打電話給管理人員，以騙取用戶口令等。 （7）垃圾搜索：攻擊者通過搜索被攻擊者的廢棄物，得到與攻擊系統(tǒng)有關的信息。,8.4.2 訪問控制和口令,為防止攻擊猜中口令。安全口令應具有以下特點： （1）位數(shù)6位。 （2）大小寫字母混合。如果用一個大寫字母，既不要放在開頭，也不要放在結尾。 （3）可以把數(shù)字無序的加在字母中。 （4）系統(tǒng)用戶一定用8位口令，而且包括!?:等特殊符號。,8.4.3 數(shù)據(jù)加密,1. 背景簡介 直到現(xiàn)代以前，密

30、碼學幾乎專指加密算法：將普通信息（明文）轉(zhuǎn)換成難以理解的資料（密文）的過程；解密算法則是其相反的過程：由密文轉(zhuǎn)換回明文； 2. 密鑰的定義 密鑰：正確讀音為【mi yue】，統(tǒng)一四聲。密鑰是一種參數(shù)，它是在明文轉(zhuǎn)換為密文或?qū)⒚芪霓D(zhuǎn)換為明文的算法中輸入的數(shù)據(jù)。,8.4.3 數(shù)據(jù)加密,3. 密鑰密碼體系的分類 密鑰技術提供的加密服務可以保證在開放式環(huán)境中網(wǎng)絡傳輸?shù)陌踩?通常大量使用的兩種密鑰加密技術是： 私用密鑰（對稱加密） 公共密鑰（非對稱加密）。,8.4.3 數(shù)據(jù)加密,4. 私鑰加密 私鑰加密又稱為秘密密鑰（Secret Key）技術，是指發(fā)送方和接收方依靠事先約定的密鑰對明文進行加密和解密

31、的算法，它的加密密鑰和解密密鑰相同，只有發(fā)送方和接收方才知道這一密鑰。,8.4.3 數(shù)據(jù)加密,在通用密碼體制中，目前得到廣泛應用的典型算法是DES算法。 DES是由“轉(zhuǎn)置”方式和“換字”方式合成的通用密鑰算法，先將明文按64位分組，再逐組將64位的明文，用56位的密鑰（另有8位奇偶校驗位，共64位），經(jīng)過各種復雜的計算和變換，生成64位的密文，（密文變換則相反）。該算法屬于分組密碼算法。,8.4.3 數(shù)據(jù)加密,5. 公鑰加密 公開密鑰密碼體制最主要的特點就是加密和解密使用不同的密鑰，每個用戶保存著一對密鑰：公開密鑰PK和私有密鑰SK，因此，這種體制又稱為雙鑰或非對稱密鑰碼體制。,8.4.3 數(shù)

32、據(jù)加密,這種數(shù)字簽名方法必須同時使用收、發(fā)雙方的解密密鑰和公開密鑰才能獲得原文，也能夠完成發(fā)送方的身份認證和接收方無法偽造報文的功能。 公鑰機制靈活，但加密和解密速度卻比對稱密鑰加密慢得多。,8.4.4 數(shù)字證書和電子簽證機關( CA ),1.證書 數(shù)字證書（Digital ID）又稱為數(shù)字憑證。數(shù)字證書是用電子手段來證實一個用戶的身份和對網(wǎng)絡資源訪問權限。 互聯(lián)網(wǎng)絡的用戶群從法律角度講用戶彼此之間都不能輕易信任。 將公鑰和公鑰的主人名字聯(lián)系在一起，再請一個大家都信得過有信譽的公正、權威機構確認，并加上這個權威機構的簽名。這就形成了證書。,8.4.4 數(shù)字證書和電子簽證機關( CA ),數(shù)字證

33、書就是一個數(shù)字文件，通常由四個部分組成： 第一是證書持有人的姓名、地址等關鍵信息； 第二是證書持有人的公開密鑰； 第三是證書序號、證書的有效期限； 第四是發(fā)證單位的數(shù)字簽名。 由于證書上有權威機構的簽字，所以大家都認為證書上的內(nèi)容是可信任的。,8.4.4 數(shù)字證書和電子簽證機關( CA ),2. 電子簽證機關CA ( Certificate Authority) 所謂CA是采用PKI（Public Key Infrastructure：公開密鑰體系）公開密鑰技術，專門提供網(wǎng)絡身份認證服務，負責簽發(fā)和管理數(shù)字證書，且具有權威性和公正性的第三方信任機構，它的作用就像頒發(fā)證件的部門，如護照辦理機構。

34、,8.4.4 數(shù)字證書和電子簽證機關( CA ),如果用戶想得到一份屬于自己的證書，他應先向CA提出申請。 在CA判明申請者的身份后，便為他分配一個公鑰，并且CA將該公鑰與申請者的身份信息綁在一起，并為之簽字后，便形成證書發(fā)給那個用戶（申請者）。,8.4.4 數(shù)字證書和電子簽證機關( CA ),如果一個用戶想鑒別另一個證書的真?zhèn)?，他就用CA的公鑰對那個證書上的簽字進行驗證 （如前所述，CA簽字實際上是經(jīng)過CA私鑰加密的信息，簽字驗證的過程還伴隨使用CA公鑰解密的過程）， 一旦驗證通過，該證書就被認為是有效的。,8.4.4 數(shù)字證書和電子簽證機關( CA ),3.公開密鑰算法RSA RSA使用兩

35、個密鑰，一個公共密鑰，一個專用密鑰。如用其中一個加密，則可用另一個解密. 密鑰長度從40到2048bit可變，加密時把明文分成塊，RSA算法把每一塊明文轉(zhuǎn)化為與密鑰長度相同的密文塊。 密鑰越長，加密效果越好，在安全與性能之間折衷考慮，一般64位是較合適的。,8.4.5 數(shù)字簽名,數(shù)字簽名（又稱公鑰數(shù)字簽名、電子簽章）是一種類似寫在紙上的普通的物理簽名，但是使用了公鑰加密領域的技術實現(xiàn)，用于鑒別數(shù)字信息的方法。 一套數(shù)字簽名通常定義兩種互補的運算，一個用于簽名，另一個用于驗證。 數(shù)字簽名不是指將你的簽名掃描成數(shù)字圖像，或者用觸摸板獲取的簽名，更不是你的落款。,8.4.5 數(shù)字簽名,1.數(shù)字簽名的

36、概念 簡單地說, 所謂數(shù)字簽名就是附加在數(shù)據(jù)單元上的一些數(shù)據(jù), 或是對數(shù)據(jù)單元所作的密碼變換。 這種數(shù)據(jù)或變換允許數(shù)據(jù)單元的接收者用以確認數(shù)據(jù)單元的來源和數(shù)據(jù)單元的完整性并保護數(shù)據(jù),防止被人(例如接收者)進行偽造。 數(shù)字簽名主要的功能是：保證信息傳輸?shù)耐暾?、發(fā)送者的身份認證、防止交易中的抵賴發(fā)生。,8.4.5 數(shù)字簽名,2. 數(shù)字簽名技術 數(shù)字簽名（Digital Signature）技術是不對稱加密算法的典型應用。 數(shù)字簽名技術是將摘要信息用發(fā)送者的私鑰加密，與原文一起傳送給接收者。 接收者只有用發(fā)送的公鑰才能解密被加密的摘要信息，然后用HASH函數(shù)對收到的原文產(chǎn)生一個摘要信息，與解密的摘

37、要信息對比。,8.4.5 數(shù)字簽名,如果相同，則說明收到的信息是完整的，在傳輸過程中沒有被修改，否則說明信息被修改過，因此數(shù)字簽名能夠驗證信息的完整性。 數(shù)字簽名是個加密的過程，數(shù)字簽名驗證是個解密的過程。,8.4.5 數(shù)字簽名,2. 數(shù)字簽名的使用 (1)鑒權 數(shù)字簽名能夠讓信息接收者確認發(fā)送者的身份。鑒權的重要性在財務數(shù)據(jù)上表現(xiàn)得尤為突出。 (2) 完整性 傳輸數(shù)據(jù)的雙方都總希望確認消息未在傳輸?shù)倪^程中被修改。,8.4.5 數(shù)字簽名,(3) 不可抵賴 抵賴這個詞指的是不承認與消息有關的舉動。消息的接收方可以通過數(shù)字簽名來防止所有后續(xù)的抵賴行為。 (4) 實現(xiàn) 數(shù)字簽名算法依靠公鑰加密技術來

38、實現(xiàn)的。公鑰可以自由發(fā)布，但私鑰則秘密保存；還有一個要求就是要讓通過公鑰推算出私鑰的做法不可能實現(xiàn)。,8.5 病毒檢測和防范,計算機病毒定義 計算機病毒(Computer Virus)指利用計算機軟件與硬件的缺陷,編制或在計算機程序中插入的破壞計算機功能或者破壞數(shù)據(jù)，影響計算機使用并且能夠自我復制的一組計算機指令或者程序代碼。,8.5 病毒檢測和防范,從1987年發(fā)現(xiàn)第1例計算機病毒以來，計算機病毒的發(fā)展經(jīng)歷了以下幾個主要階段： DOS引導階段、DOS可執(zhí)行文件階段、混合型階段、伴隨及批次性階段、多形性階段、生成器及變體機階段、網(wǎng)絡及蠕蟲階段、視窗階段、宏病毒階段和互聯(lián)網(wǎng)階段。,8.5 病毒檢

39、測和防范,1. 計算機病毒的產(chǎn)生 病毒是由人為故意編寫的。 病毒作者主要情況和目的是：一些天才的程序員為了表現(xiàn)自己和證明自己的能力，出于對上司的不滿，為了好奇，為了軟件拿不到報酬預留的陷阱等。也有因政治，軍事，宗教，民族,專利等方面的需求而專門編寫的，也包括一些病毒研究機構和黑客的測試病毒。,8.5 病毒檢測和防范,2. 計算機病毒的特點 計算機病毒具有以下幾個特點： （1） 寄生性 （2） 傳染性 （3） 潛伏性 （4） 隱蔽性 （5）破壞性 （6）計算機病毒的可觸發(fā)性,8.5.2 計算機病毒分類與特征,（1）根據(jù)病毒存在的媒體，病毒可以劃分為網(wǎng)絡病毒，文件病毒，引導型病毒。 （2）根據(jù)病毒

40、傳染的方法可分為駐留型病毒和非駐留型病毒 （3） 根據(jù)病毒破壞的能力可劃分為以下幾種： 無害型 無危險型 危險型 非常危險型:,8.5.2 計算機病毒分類與特征,（4）根據(jù)病毒特有的算法，病毒可以劃分為： 伴隨型病毒 “蠕蟲”型病毒 寄生型病毒 詭秘型病毒 變型病毒（又稱幽靈病毒）,8.5.3 計算機病毒的危害性,1. 病毒的破壞行為 （1）攻擊系統(tǒng)數(shù)據(jù)區(qū) （2）攻擊內(nèi)存 （3）干擾系統(tǒng)運行 （4）攻擊磁盤 （5）擾亂屏幕顯示 （6） 鍵盤病毒 （7）喇叭病毒 （8）攻擊CMOS （9）干擾打印機,8.5.3 計算機病毒的危害性,2. 用戶計算機中毒的癥狀 - 計算機系統(tǒng)運行速度減慢。 - 計

41、算機系統(tǒng)經(jīng)常無故發(fā)生死機。 - 計算機系統(tǒng)中的文件長度發(fā)生變化。 - 計算機存儲的容量異常減少。 - 系統(tǒng)引導速度減慢。 - 丟失文件或文件損壞。 - 計算機屏幕上出現(xiàn)異常顯示。 - 計算機系統(tǒng)的蜂鳴器出現(xiàn)異常聲響。,8.5.3 計算機病毒的危害性,- 磁盤卷標發(fā)生變化。 - 系統(tǒng)不識別硬盤。 - 對存儲系統(tǒng)異常訪問。 - 鍵盤輸入異常。 - 文件的日期、時間、屬性等發(fā)生變化。 - 文件無法正確讀取、復制或打開。 - 命令執(zhí)行出現(xiàn)錯誤。 - 虛假報警。 - 換當前盤。有些病毒會將當前盤切換到C盤。,8.5.3 計算機病毒的危害性,- 換當前盤。有些病毒會將當前盤切換到C盤。 - 時鐘倒轉(zhuǎn)。有些

42、病毒會命名系統(tǒng)時間倒轉(zhuǎn)，逆向計時。 - WINDOWS操作系統(tǒng)無故頻繁出現(xiàn)錯誤。 - 系統(tǒng)異常重新啟動。 - 一些外部設備工作異常。 - 異常要求用戶輸入密碼。 - WORD或EXCEL提示執(zhí)行“宏”。 - 是不應駐留內(nèi)存的程序駐留內(nèi)存。,8.5.3 計算機病毒的危害性,3. 計算機病毒的傳染途徑 （1）通過軟盤 （2）通過硬盤 （3）通過光盤 （4）通過網(wǎng)絡,8.5.5 病毒檢測和防護,1. 工作原理 (1) 簽名掃描 通過搜索目標（宿主計算機、磁盤驅(qū)動器或文件）來查找表示惡意軟件的模式。 這些模式通常存儲在被稱為“簽名文件”的文件中，簽名文件由軟件供應商定期更新。 此技術的主要問題是，防病

43、毒軟件必須已更新為應對惡意軟件，之后掃描器才可識別它。,8.5.5 病毒檢測和防護,(2) 啟發(fā)式掃描 通過查找通用的惡意軟件特征，來嘗試檢測新形式和已知形式的惡意軟件。但是，啟發(fā)式掃描具有許多特定問題，包括： 1）錯誤警報。 2）慢速掃描。 3）新特征可能被遺漏。 4）行為阻止。,8.5.5 病毒檢測和防護,2. 檢測和防范 人們對惡意代碼的查找和分類的根據(jù)是：對惡意代碼的理解和對惡意代碼“簽名”的定位來識別惡意代碼。然后將這個簽名加入到識別惡意代碼的簽名列表中，這就是防病毒軟件的工作原理。 惡意代碼基本上可以分為兩類：腳本代碼和自執(zhí)行代碼。,8.5.5 病毒檢測和防護,下面的所列包括典型組

44、織中最容易受到惡意軟件攻擊的區(qū)域。 1）外部網(wǎng)絡。 2）來賓客戶端。 3）可執(zhí)行文件。 4）文檔。 5）電子郵件。 6）可移動媒體。,8.5.5 病毒檢測和防護,3. 深層防護安全模型,8.6 虛擬專網(wǎng) （ VPN ）,虛擬專網(wǎng)（Virtual Private Network VPN ）指依靠ISP和其他NSP（網(wǎng)絡服務提供者）在公用網(wǎng)絡（如Internet、Frame Relay、ATM）建立專用的數(shù)據(jù)通信網(wǎng)絡的技術。在虛擬網(wǎng)中，任意兩個節(jié)點之間的連接并沒有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路。 VPN適用于大中型企業(yè)的總公司和各地分公司或分支機構的網(wǎng)絡互聯(lián)和企業(yè)同商業(yè)合作伙伴之間的網(wǎng)絡互聯(lián)。,8

45、.6.1 虛擬專網(wǎng)（VPN）技術基礎,1. VPN功能 VPN可以通過特殊的加密的通訊協(xié)議在連接在Internet上的位于不同地方的兩個或多個企業(yè)內(nèi)部網(wǎng)之間建立一條專有的通訊線路，就好比是架設了一條專線一樣，但是它并不需要真正的去鋪設光纜之類的物理線路。 VPN的核心是在利用公共網(wǎng)絡建立虛擬私有網(wǎng)。,8.6.1 虛擬專網(wǎng)（VPN）技術基礎,虛擬專用網(wǎng)（VPN）,8.6.1 虛擬專網(wǎng)（VPN）技術基礎,2. 網(wǎng)絡協(xié)議 常用的虛擬私人網(wǎng)絡協(xié)議是：IPSec (英文IP Security的縮寫)是保護IP協(xié)議安全通信的標準，它主要對IP協(xié)議分組進行加密和認證。 3. VPN安全技術 由于傳輸?shù)氖撬接行畔?，VPN用戶對數(shù)據(jù)的安全性都比較關心。 目前VPN主要采用四項技術來保證安全。,8.6.1 虛擬專網(wǎng)（VPN）技術基礎,（1）隧道技術（Tunneling）： 隧道技術是VPN的基本技術，類似于點對點連接技術。 它在公用網(wǎng)建立一條數(shù)據(jù)通道（隧道），讓數(shù)據(jù)包通過這條隧道傳輸。 隧道是由隧道協(xié)