计算机网络安全.ppt

计算机网络技术,第十一章 计算机网络安全,计算机网络技术及应用,一、计算机网络安全概念,计算机网络安全是指利用网络管理控制和技术措施，保证在一个网络环境里，数据的保密性、完整性及可使用性受到保护。计算机网络安全包括两个方面，即物理安全和逻辑安全。物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。逻辑安安全包括信息的完整性、保密性和可用性。,计算机网络技术及应用,一、计算机网络安全概念,计算机网络安全不仅包括组网的硬件、管理控制网络的软件，也包括共享的资源，快捷的网络服务，所以定义网络安全应考虑涵盖计算机网络所涉及的全部内容。参照ISO给出的计算机安全定义，认为计算机网络安全是指：“保护计算机网络系统中的硬件，软件和数据资源，不因偶然或恶意的原因遭到破坏、更改、泄露，使网络系统连续可靠性地正常运行，网络服务正常有序。”,计算机网络技术及应用,二、潜在威胁,对计算机信息构成不安全的因素很多，其中包括人为的因素、自然的因素和偶发的因素。其中，人为因素是指，一些不法之徒利用计算机网络存在的漏洞，或者潜入计算机房，盗用计算机系统资源，非法获取重要数据、篡改系统数据、破坏硬件设备、编制计算机病毒。人为因素是对计算机信息网络安全威胁最大的因素。计算机网络不安全因素主要表现在以下几个方面：,计算机网络技术及应用,二、潜在威胁,计算机网络的脆弱性 操作系统存在的安全问题 防火墙的脆弱性 其他方面的因素,计算机网络技术及应用,2.1计算机网络的脆弱性,互联网是对全世界都开放的网络，任何单位或个人都可以在网上方便地传输和获取各种信息，互联网这种具有开放性、共享性、国际性的特点就对计算机网络安全提出了挑战。互联网的不安全性主要有以下几项：1）网络的开放性网络的技术是全开放的，使得网络所面临的攻击来自多方面。或是来自物理传输线路的攻击，或是来自对网络通信协议的攻击，以及对计算机软件、硬件的漏洞实施攻击。2）网络的国际性意味着对网络的攻击不仅是来自于本地网络的用户，还可以是互联网上其他国家的黑客，所以，网络的安全面临着国际化的挑战。3）网络的自由性大多数的网络对用户的使用没有技术上的约束，用户可以自由的上网，发布和获取各类信息。,计算机网络技术及应用,2.2操作系统存在的安全问题,操作系统是作为一个支撑软件，使得你的程序或别的运用系统在上面正常运行的一个环境。操作系统提供了很多的管理功能，主要是管理系统的软件资源和硬件资源。操作系统软件自身的不安全性，系统开发设计的不周而留下的破绽，都给网络安全留下隐患。,计算机网络技术及应用,2.2操作系统存在的安全问题,1）操作系统结构体系的缺陷。操作系统本身有内存管理、CPU 管理、外设的管理，每个管理都涉及到一些模块或程序，如果在这些程序里面存在问题，比如内存管理的问题，外部网络的一个连接过来，刚好连接一个有缺陷的模块，可能出现的情况是，计算机系统会因此崩溃。所以，有些黑客往往是针对操作系统的不完善进行攻击，使计算机系统，特别是服务器系统立刻瘫痪。,计算机网络技术及应用,2.2操作系统存在的安全问题,2）操作系统支持在网络上传送文件、加载或安装程序，包括可执行文件，这些功能也会带来不安全因素。网络很重要的一个功能就是文件传输功能，比如FTP，这些安装程序经常会带一些可执行文件，这些可执行文件都是人为编写的程序，如果某个地方出现漏洞，那么系统可能就会造成崩溃。像这些远程调用、文件传输，如果生产厂家或个人在上面安装间谍程序，那么用户的整个传输过程、使用过程都会被别人监视到，所有的这些传输文件、加载的程序、安装的程序、执行文件，都可能给操作系统带来安全的隐患。所以，建议尽量少使用一些来历不明，或者无法证明它的安全性的软件。,计算机网络技术及应用,2.2操作系统存在的安全问题,3）操作系统不安全的一个原因在于它可以创建进程，支持进程的远程创建和激活，支持被创建的进程继承创建的权利，这些机制提供了在远端服务器上安装“间谍”软件的条件。若将间谍软件以打补丁的方式“打”在一个合法用户上，特别是“打”在一个特权用户上，黑客或间谍软件就可以使系统进程与作业的监视程序监测不到它的存在。,计算机网络技术及应用,2.2操作系统存在的安全问题,4）操作系统有些守护进程，它是系统的一些进程，总是在等待某些事件的出现。所谓守护进程，比如说用户有没按键盘或鼠标，或者别的一些处理。一些监控病毒的监控软件也是守护进程，这些进程可能是好的，比如防病毒程序，一有病毒出现就会被扑捉到。但是有些进程是一些病毒，一碰到特定的情况，比如碰到7 月1 日，它就会把用户的硬盘格式化，这些进程就是很危险的守护进程，平时它可能不起作用，可是在某些条件发生，比如7 月1 日，它才发生作用，如果操作系统有些守护进程被人破坏掉就会出现这种不安全的情况。,计算机网络技术及应用,2.2操作系统存在的安全问题,5）操作系统会提供一些远程调用功能，所谓远程调用就是一台计算机可以调用远程一个大型服务器里面的一些程序，可以提交程序给远程的服务器执行，如telnet。远程调用要经过很多的环节，中间的通讯环节可能会出现被人监控等安全的问题。,计算机网络技术及应用,2.2操作系统存在的安全问题,6）操作系统的后门和漏洞。后门程序是指那些绕过安全控制而获取对程序或系统访问权的程序方法。在软件开发阶段，程序员利用软件的后门程序得以便利修改程序设计中的不足。一旦后门被黑客利用，或在发布软件前没有删除后门程序，容易被黑客当成漏洞进行攻击，造成信息泄密和丢失。此外，操作系统的无口令的入口，也是信息安全的一大隐患。,计算机网络技术及应用,2.2操作系统存在的安全问题,7）尽管操作系统的漏洞可以通过版本的不断升级来克服，但是系统的某一个安全漏洞就会使得系统的所有安全控制毫无价值。当发现问题到升级这段时间，一个小小的漏洞就足以使你的整个网络瘫痪掉。,计算机网络技术及应用,2.3数据库存储的内容存在的安全问题,数据库存储的内容存在的安全问题 数据库管理系统大量的信息存储在各种各样的数据库里面，包括我们上网看到的所有信息，数据库主要考虑的是信息方便存储、利用和管理，但在安全方面考虑的比较少。例如：授权用户超出了访问权限进行数据的更改活动；非法用户绕过安全内核，窃取信息。对于数据库的安全而言，就是要保证数据的安全可靠和正确有效，即确保数据的安全性、完整性。数据的安全性是防止数据库被破坏和非法的存取；数据库的完整性是防止数据库中存在不符合语义的数据。,计算机网络技术及应用,2.4防火墙的脆弱性,防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.它是一种计算机硬件和软件的结合，使Internet 与Intranet 之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入。但防火墙只能提供网络的安全性，不能保证网络的绝对安全，它也难以防范网络内部的攻击和病毒的侵犯。并不要指望防火墙靠自身就能够给予计算机安全。防火墙保护你免受一类攻击的威胁，但是却不能防止从LAN 内部的攻击，若是内部的人和外部的人联合起来，即使防火墙再强，也是没有优势的。它甚至不能保护你免受所有那些它能检测到的攻击。随着技术的发展，还有一些破解的方法也使得防火墙造成一定隐患。这就是防火墙的局限性。,计算机网络技术及应用,2.5其他方面的因素,计算机系统硬件和通讯设施极易遭受到自然环境的影响，如：各种自然灾害（如地震、泥石流、水灾、风暴、建筑物破坏等）对计算机网络构成威胁。还有一些偶发性因素，如电源故障、设备的机能失常、软件开发过程中留下的某些漏洞等，也对计算机网络构成严重威胁。此外管理不好、规章制度不健全、安全管理水平较低、操作失误、渎职行为等都会对计算机信息安全造成威胁,计算机网络技术及应用,3、相关对策,技术层面对策 管理层面对策 物理安全层面对策,计算机网络技术及应用,3.1技术层面对策,对于技术方面，计算机网络安全技术主要有实时扫描技术、实时监测技术、防火墙、完整性检验保护技术、病毒情况分析报告技术和系统安全管理技术。综合起来，技术层面可以采取以下对策：1)建立安全管理制度。提高包括系统管理员和用户在内的人员的技术素质和职业道德修养。对重要部门和信息，严格做好开机查毒，及时备份数据，这是一种简单有效的方法。2)网络访问控制。访问控制是网络安全防范和保护的主要策略。它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。访问控制涉及的技术比较广，包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。,计算机网络技术及应用,3.1技术层面对策,3)数据库的备份与恢复。数据库的备份与恢复是数据库管理员维护数据安全性和完整性的重要操作。备份是恢复数据库最容易和最能防止意外的保证方法。恢复是在意外发生后利用备份来恢复数据的操作。有三种主要备份策略：只备份数据库、备份数据库和事务日志、增量备份。4)应用密码技术。应用密码技术是信息安全核心技术，密码手段为信息安全提供了可靠保证。基于密码的数字签名和身份认证是当前保证信息完整性的最主要方法之一，密码技术主要包括古典密码体制、单钥密码体制、公钥密码体制、数字签名以及密钥管理,计算机网络技术及应用,3.1技术层面对策,5)切断传播途径。对被感染的硬盘和计算机进行彻底杀毒处理，不使用来历不明的U 盘和程序,不随意下载网络可疑信息。6)提高网络反病毒技术能力。通过安装病毒防火墙，进行实时过滤。对网络服务器中的文件进行频繁扫描和监测，在工作站上采用防病毒卡，加强网络目录和文件访问权限的设置。在网络中，限制只能由服务器才允许执行的文件。7)研发并完善高安全的操作系统。研发具有高安全的操作系统，不给病毒得以滋生的温床才能更安全,计算机网络技术及应用,3.2管理层面对策,计算机网络的安全管理，不仅要看所采用的安全技术和防范措施，而且要看它所采取的管理措施和执行计算机安全保护法律、法规的力度。只有将两者紧密结合，才能使计算机网络安全确实有效。计算机网络的安全管理，包括对计算机用户的安全教育、建立相应的安全管理机构、不断完善和加强计算机的管理功能、加强计算机及网络的立法和执法力度等方面。加强计算机安全管理、加强用户的法律、法规和道德观念，提高计算机用户的安全意识，对防止计算机犯罪、抵制黑客攻击和防止计算机病毒干扰，是十分重要的措施。,计算机网络技术及应用,3.2管理层面对策,这就要对计算机用户不断进行法制教育，包括计算机安全法、计算机犯罪法、保密法、数据保护法等，明确计算机用户和系统管理人员应履行的权利和义务，自觉遵守合法信息系统原则、合法用户原则、信息公开原则、信息利用原则和资源限制原则，自觉地和一切违法犯罪的行为作斗争，维护计算机及网络系统的安全，维护信息系统的安全。除此之外，还应教育计算机用户和全体工作人员，应自觉遵守为维护系统安全而建立的一切规章制度，包括人员管理制度、运行维护和管理制度、计算机处理的控制和管理制度、各种资料管理制度、机房保卫管理制度、专机专用和严格分工等管理制度。,计算机网络技术及应用,3.2物理安全层面对策,这就要对计算机用户不断进行法制教育，包括计算机安全法、计算机犯罪法、保密法、数据保护法等，明确计算机用户和系统管理人员应履行的权利和义务，自觉遵守合法信息系统原则、合法用户原则、信息公开原则、信息利用原则和资源限制原则，自觉地和一切违法犯罪的行为作斗争，维护计算机及网络系统的安全，维护信息系统的安全。除此之外，还应教育计算机用户和全体工作人员，应自觉遵守为维护系统安全而建立的一切规章制度，包括人员管理制度、运行维护和管理制度、计算机处理的控制和管理制度、各种资料管理制度、机房保卫管理制度、专机专用和严格分工等管理制度。,计算机网络技术及应用,3.2物理安全层面对策,要保证计算机网络系统的安全、可靠，必须保证系统实体有个安全的物理环境条件。这个安全的环境是指机房及其设施，主要包括以下内容：1)计算机系统的环境条件。计算机系统的安全环境条件，包括温度、湿度、空气洁净度、腐蚀度、虫害、振动和冲击、电气干扰等方面，都要有具体的要求和严格的标准。2)机房场地环境的选择。计算机系统选择一个合适的安装场所十分重要。它直接影响到系统的安全性和可靠性。选择计算机房场地，要注意其外部环境安全性、地质可靠性、场地抗电磁干扰性，避开强振动源和强噪声源，并避免设在建筑物高层和用水设备的下层或隔壁。还要注意出入口的管理。,计算机网络技术及应用,3.2物理安全层面对策,3)机房的安全防护。机房的安全防护是针对环境的物理灾害和防止未授权的个人或团体破坏、篡改或盗窃网络设施、重要数据而采取的安全措施和对策。为做到区域安全，首先，应考虑物理访问控制来识别访问用户的身份，并对其合法性进行验证；其次，对来访者必须限定其活动范围；第三，要在计算机系统中心设备外设多层安全防护圈，以防止非法暴力入侵；第四设备所在的建筑物应具有抵御各种自然灾害的设施。,计算机网络技术及应用,总结,计算机网络安全是一项复杂的系统工程，涉及技术、设备、管理和制度等多方面的因素，安全解决方案的制定需要从整体上进行把握。网络安全解决方案是综合各种计算机网络信息系统安全技术，将安全操作系统技术、防火墙技术、病毒防护技术、入侵检测技术、安全扫描技术等综合起来，形成一套完整的、协调一致的网络安全防护体系。我们必须做到管理和技术并重，安全技术必须结合安全措施，并加强计算机立法和执法的力度，建立备份和恢复机制，制定相应的安全标准。此外，由于计算机病毒、计算机犯罪等技术是不分国界的，因此必须进行充分的国际合作，来共同对付日益猖獗的计算机犯罪和计算机病毒等问题。,计算机网络安全实践,计算机网络技术及应用,11.1 网络安全基础知识,11.1.1 网络安全的含义网络安全从其本质上来讲就是网络上的信息安全。它涉及的领域相当广泛。这是因为在目前的公用通信网络中存在着各种各样的安全漏洞和威胁。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全所要研究的领域。下面给出网络安全的一个通用定义：网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。,计算机网络技术及应用,11.1 网络安全基础知识,（l）运行系统安全，即保证信息处理和传输系统的安全。（2）网络上系统信息的安全。（3）网络上信息传播的安全，即信息传播后果的安全。（4）网络上信息内容的安全，即我们讨论的狭义的“信息安全”。,计算机网络技术及应用,11.1 网络安全基础知识,11.1.2 网络安全的特征（1）保密性：信息不泄露给非授权的用户、实体或过程，或供其利用的特性。（2）完整性：数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。（3）可用性：可被授权实体访问并按需求使用的特性，即当需要时应能存取所需的信息。网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击。（4）可控性：对信息的传播及内容具有控制能力。,计算机网络技术及应用,11.1 网络安全基础知识,11.1.3 网络安全的威胁(1)非授权访问（unauthorized access）：一个非授权的人的入侵。(2)信息泄露（disclosure of information）：造成将有价值的和高度机密的信息暴露给无权访问该信息的人的所有问题。(3)拒绝服务（denial of service）：使得系统难以或不可能继续执行任务的所有问题。,计算机网络技术及应用,11.1 网络安全基础知识,11.1.4 网络安全的关键技术主机安全技术。身份认证技术。访问控制技术。密码技术。防火墙技术。安全管理技术。,计算机网络技术及应用,11.1 网络安全基础知识,11.1.5 网络安全的安全策略网络用户的安全责任：该策略可以要求用户每隔一段时间改变其口令；使用符合一定准则的口令；执行某些检查，以了解其账户是否被别人访问过等。重要的是，凡是要求用户做到的，都应明确地定义。系统管理员的安全责任：该策略可以要求在每台主机上使用专门的安全措施、登录标题报文、监测和记录过程等，还可列出在连接网络的所有主机中不能运行的应用程序。,计算机网络技术及应用,11.1 网络安全基础知识,正确利用网络资源：规定谁可以使用网络资源，他们可以做什么，他们不应该做什么等。如果用户的单位认为电子邮件文件和计算机活动的历史记录都应受到安全监视，就应该非常明确地告诉用户，这是其政策。检测到安全问题时的对策：当检测到安全问题时应该做什么？应该通知谁？这些都是在紧急的情况下容易忽视的事情。,计算机网络技术及应用,11.2 威胁网络安全的因素,计算机网络安全受到的威胁包括：“黑客”的攻击 计算机病毒 拒绝服务攻击（Denial of Service Attack）,计算机网络技术及应用,11.2 威胁网络安全的因素,11.2.1 安全威胁的类型 非授权访问。这主要的是指对网络设备以及信息资源进行非正常使用或超越权限使用假冒合法用户，主要指利用各种假冒或欺骗的手段非法获得合法用户的使用权，以达到占用合法用户资源的目的数据完整性受破坏干扰系统的正常运行，改变系统正常运行的方向，以及延时系统的响应时间病毒通信线路被窃听等,计算机网络技术及应用,11.2 威胁网络安全的因素,11.2.2 操作系统的脆弱性(1)其体系结构本身就是不安全的一种因素。(2)另一个原因在于它可以创建进程，即使在网络的节点上同样也可以进行远程进程的创建与激活，更令人不安的是被创建的进程具有可以继续创建过程的权力。(3)网络操作系统提供的远程过程调用（RPC）服务以及它所安排的无口令入口也是黑客的通道。,计算机网络技术及应用,11.2 威胁网络安全的因素,11.2.3 计算机系统的脆弱性(1)计算机系统的脆弱性主要来自于操作系统的不安全性，在网络环境下，还来源于通信协议的不安全性。(2)存在超级用户，如果入侵者得到了超级用户口令，整个系统将完全受控于入侵者。(3)计算机可能会因硬件或软件故障而停止运转，或被入侵者利用并造成损失。,计算机网络技术及应用,11.2 威胁网络安全的因素,11.2.4 协议安全的脆弱性当前计算机网络系统都使用的TCPIP协议以及FTP、E-mail、NFS等都包含着许多影响网络安全的因素，存在许多漏洞。众所周知的是 Robert Morries在 VAX机上用 C编写的一个GUESS软件，它根据对用户名的搜索猜测机器密码口令的程序自在1988年11月开始在网络上传播以后，几乎每年都给Internet造成上亿美元的损失。黑客通常采用Sock、TCP预测或使用远程访问（RPC）进行直接扫描等方法对防火墙进行攻击。,计算机网络技术及应用,11.2 威胁网络安全的因素,11.2.5 数据库管理系统安全的脆弱性由于数据管理系统（DBMS）对数据库的管理是建立在分级管理的概念上的，因此，DBMS的安全也是可想而知。另外，DBMS的安全必须与操作系统的安全配套，这无疑是一个先天的不足之处。11.2.6 人为的因素不管是什么样的网络系统都离不开人的管理，但又大多数缺少安全管理员，特别是高素质的网络管理员。此外，缺少网络安全管理的技术规范，缺少定期的安全测试与检查，更缺少安全监控。令人担忧的许多网络系统已使用多年，但网络管理员与用户的注册、口令等还是处于缺省状态。,计算机网络技术及应用,11.2 威胁网络安全的因素,11.2.7 各种外部威胁(1)物理威胁(2)网络威胁(3)身份鉴别(4)编程(5)系统漏洞,计算机网络技术及应用,11.2 威胁网络安全的因素,11.2.8 防范措施（1）用备份和镜像技术提高数据完整性（2）防毒（3）补丁程序（4）提高物理安全（5）构筑因特网防火墙（6）废品处理守则（7）仔细阅读日志（8）加密（9）提防虚假的安全,计算机网络技术及应用,11.3 网络安全分类,根据中国国家计算机安全规范，计算机的安全大致可分为三类：（1）实体安全，包括机房、线路、主机等（2）网络与信息安全，包括网络的畅通、准确以及网上信息的安全（3）应用安全，包括程序开发运行、IO、数据库等的安全,计算机网络技术及应用,11.3 网络安全分类,11.3.1 基本安全类 基本安全类包括访问控制、授权、认证、加密以及内容安全。11.3.2 管理与记账类 管理与记账类安全包括安全的策略的管理、实时监控、报警以及企业范围内的集中管理与记账。11.3.3 网络互联设备安全类 网络互联设备包括路由器、通信服务器、交换机等，网络互联设备安全正是针对上述这些互联设备而言的，它包括路由安全管理、远程访问服务器安全管理、通信服务器安全管理以及交换机安全管理等等。,计算机网络技术及应用,11.4 网络安全解决方案,11.3.4 连接控制类连接控制类包括负载均衡、可靠性以及流量管理等。由于网络安全范围的不断扩大；如今的网络安全不再是仅仅保护内部资源的安全，还必须提供附加的服务，例如，用户确认、通过保密、甚至于安全管理传统的商务交易机制，如订货和记账等。11.4.1 网络信息安全模型一个完整的网络信息安全系统至少包括三类措施：社会的法律政策，企业的规章制度及网络安全教育技术方面的措施，如防火墙技术、防病毒。信息加密、身份确认以及授权等审计与管理措施，包括技术与社会措施,计算机网络技术及应用,11.4 网络安全解决方案,11.4.2 安全策略设计依据在制定网络安全策略时应当考虑如下因素：对于内部用户和外部用户分别提供哪些服务程序初始投资额和后续投资额（新的硬件、软件及工作人员）方便程度和服务效率复杂程度和安全等级的平衡网络性能,计算机网络技术及应用,11.4 网络安全解决方案,计算机网络技术及应用,11.4 网络安全解决方案,11.4.3 网络安全解决方案(1)信息包筛选,计算机网络技术及应用,11.4 网络安全解决方案,(2)应用中继器,计算机网络技术及应用,11.4 网络安全解决方案,计算机网络技术及应用,11.4 网络安全解决方案,(3)保密与确认“保密”可以保证当一个信息被送出后，只有预定的接收者能够阅读和加以解释。它可以防止窃听，并且允许在公用网络上安全地传输机密的或者专用的信息。“确认”意味着向信息（邮件、数据、文件等）的接收者保证发送是该信息的拥有者，并且意味着，数据在传输期间不会被修改。,计算机网络技术及应用,11.4 网络安全解决方案,7.4.4 网络安全性措施 要实施一个完整的网络安全系统，至少应该包括三类措施：社会的法律、法规以及企业的规章制度和安全教育等外部软件环境技术方面的措施，如网络防毒、信息加密、存储通信、授权、认证以及防火墙技术审计和管理措施，这方面措施同时也包含了技术与社会措施。,计算机网络技术及应用,11.4 网络安全解决方案,为网络安全系统提供适当安全的常用的方法：修补系统漏洞病毒检查加密执行身份鉴别防火墙捕捉闯入者直接安全空闲机器守则废品处理守则口令守则,计算机网络技术及应用,7.4 网络安全解决方案,可以采取的网络安全性措施有：选择性能优良的服务器。服务器是网络的核心；它的故障意味着整个网络的瘫痪，因此，要求的服务应具有：容错能力。带电热插拔技术，智能IO技术，以及具有良好的扩展性采用服务器备份。服务器备份方式分为冷备份与热备份二种，热备份方式由于实时性好，可以保证数据的完整性和连续性，得以广泛采用的一种备份方式对重要网络设备、通信线路备份。通信故障就意味着正常工作无法进行。所以，对于交换机、路由器以及通信线路最好都要有相应的备份措施,计算机网络技术及应用,7.4 网络安全解决方案,7.4.5 Internet安全管理(1)应解决的安全问题(2)对Internet网的安全管理措施安全保密遵循的基本原则：根据所面临的安全问题，决定安全的策略。根据实际需要综合考虑，适时地对现有策略进行适当的修改，每当有新的技术时就要补充相应的安全策略。构造企业内部网络，在Intranet和 Internet之间设置“防火墙”以及相应的安全措施。完善管理功能加大安全技术的开发力度,计算机网络技术及应用,11.4 网络安全解决方案,11.4.6 网络安全的评估 确定单位内部是否已经有了一套有关网络安全的方案，如果有的话，将所有有关的文档汇总；如果没有的话，应当尽快制订对已有的网络安全方案进行审查确定与网络安全方案有关的人员，并确定对网络资源可以直接存取的人或单位（部门）确保所需要的技术能使网络安全方案得以落实确定内部网络的类型。因为网络类型的不同直接影响到安全方案接口的选择,计算机网络技术及应用,11.4 网络安全解决方案,如果需要接入互联网；则需要仔细检查联人互联网后可能出现的影响网络安全的事项确定接入互联网的方式，是拔号接入，还是低速的专线，是一条T1中速专线，还是一条T3高速专线确定单位内部能提供互联网访问的用户，并明确互联网接入用户是固定的还是移动的是否需要加密，如果需要加密，必须说明要求的性质，比如，是对国内的还是对国外的，以便使安全系统的供应商能够做出正确的反应,计算机网络技术及应用,11.5 防火墙基本概念,11.5.1 因特网防火墙1防火墙的基本知识防火墙是在两个网络之间执行访问控制策略的一个或一组系统，包括硬件和软件，目的是保护网络不被他人侵扰。本质上，它遵循的是一种允许或阻止业务来往的网络通信安全机制，也就是提供可控的过滤网络通信，只允许授权的通信。通常，防火墙就是位于内部网或Web站点与因特网之间的一个路由器或一台计算机，又称为堡垒主机。其目的如同一个安全门，为门内的部门提供安全，控制那些可被允许出入该受保护环境的人或物。就像工作在前门的安全卫士，控制并检查站点的访问者。,计算机网络技术及应用,11.5 防火墙基本概念,防火墙是由管理员为保护自己的网络免遭外界非授权访问但又允许与因特网联接而发展起来的。从网际角度，防火墙可以看成是安装在两个网络之间的一道栅栏，根据安全计划和安全策略中的定义来保护其后面的网络。由软件和硬件组成的防火墙应该具有以下功能。（1）所有进出网络的通信流都应该通过防火墙。（2）所有穿过防火墙的通信流都必须有安全策略和计划的确认和授权。（3）理论上说，防火墙是穿不透的。,计算机网络技术及应用,11.5 防火墙基本概念,内部网需要防范的三种攻击有：间谍：试图偷走敏感信息的黑客、入侵者和闯入者。盗窃：盗窃对象包括数据、Web表格、磁盘空间和CPU资源等。破坏系统：通过路由器或主机服务器蓄意破坏文件系统或阻止授权用户访问内部网（外部网）和服务器。这里，防火墙的作用是保护Web站点和公司的内部网，使之免遭因特网上各种危险的侵犯。,计算机网络技术及应用,11.5 防火墙基本概念,防火墙在因特网与内部网中的位置 从逻辑上讲，防火墙是分离器、限制器和分析器。从物理角度看，各站点防火墙物理实现的方式有所不同。通常防火墙是一组硬件设备，即路由器、主计算机或者是路由器、计算机和配有适当软件的网络的多种组合。,计算机网络技术及应用,11.5 防火墙基本概念,2防火墙的基本功能（1）防火墙能够强化安全策略（2）防火墙能有效地记录因特网上的活动（3）防火墙限制暴露用户点（4）防火墙是一个安全策略的检查站3防火墙的不足之处（1）不能防范恶意的知情者（2）防火墙不能防范不通过它的连接（3）防火墙不能防备全部的威胁（4）防火墙不能防范病毒,计算机网络技术及应用,11.5 防火墙基本概念,11.5.2数据包过滤防火墙通常是一个具备包过滤功能的简单路由器，支持因特网安全。这是使因特网联接更加安全的一种简单方法，因为包过滤是路由器的固有属性。包是网络上信息流动的单位。在网上传输的文件一般在发出端被划分成一串数据包，经过网上的中间站点，最终传到目的地，然后这些包中的数据又重新组成原来的文件。每个包有两个部分：数据部分和包头。包头中含有源地址和目标地址等信息。包过滤一直是一种简单而有效的方法。通过拦截数据包，读出并拒绝那些不符合标准的包头，过滤掉不应入站的信息。,计算机网络技术及应用,11.5 防火墙基本概念,每个数据包都包含有特定信息的一组报头，其主要信息是：（1）IP协议类型（TCP、UDP，ICMP等）；（2）IP源地址；（3）IP目标地址；（4）IP选择域的内容；（5）TCP或UDP源端口号；（6）TCP或UDP目标端口号；（7）ICMP消息类型。路由器也会得到一些在数据包头部信息种没有得到的关于数据包得其他信息。,计算机网络技术及应用,11.5 防火墙基本概念,过滤路由器放置在内部网络与因特网之间，作用为：（l）过滤路由器将担负更大的责任，它不但需要执行转发及确定转发的任务，而且它是唯一的保护系统；（2）如果安全保护失败（或在侵袭下失败），内部的网络将被暴露；（3）简单的过滤路由器不能修改任务；（4）过滤路由器能容许或否认服务，但它不能保护在一个服务之内的单独操作。如果一个服务没有提供安全的操作要求，或者这个服务由不安全的服务器提供，数据包过滤路由器则不能保护它。,计算机网络技术及应用,11.5 防火墙基本概念,11.5.3 代理服务代理服务是运行在防火墙主机上的一些特定的应用程序或者服务程序。防火墙主机可以是有一个内部网络接口和一个外部网络接口的双重宿主主机，也可以是一些可以访问因特网并可被内部主机访问的堡垒主机。这些程序接受用户对因特网服务的请求（诸如文件传输FTP和远程登录Telnet等），并按照安全策略转发它们到实际的服务。所谓代理就是一个提供替代连接并且充当服务的网关。代理也称之为应用级网关。代理服务位于内部用户（在内部的网络上）和外部服务（在因特网上）之间。代理在幕后处理所有用户和因特网服务之间的通信以代替相互间的直接交谈。,计算机网络技术及应用,11.5 防火墙基本概念,代理的实现过程,计算机网络技术及应用,11.5 防火墙基本概念,11.5.4 防火墙体系结构1双重宿主主机体系结构双重宿主主机体系结构是围绕具有双重宿主的主体计算机而构筑的。该计算机至少有两个网络接口，这样的主机可以充当与这些接口相连的网络之间的路由器，并能够从一个网络到另一个网络发送IP数据包。防火墙内部的网络系统能与双重宿主主机通信，同时防火墙外部的网络系统（在因特网上）也能与双重宿主主机通信。通过双重宿主主机，防火墙内外的计算机便可进行通信了，但是这些系统不能直接互相通信，它们之间的IP通信被完全阻止。,计算机网络技术及应用,11.5 防火墙基本概念,双重宿主主机的防火墙体系结构是相当简单的，双重宿主主机位于两者之间，并且被连接到因特网和内部的网络。右图显示这种体系结构。,计算机网络技术及应用,11.5 防火墙基本概念,2主机过滤体系结构在主机过滤体系结构中提供安全保护的主机仅仅与内部网相连。另外，主机过滤结构还有一台单独的路由器（过滤路由器）。在这种体系结构中，主要的安全由数据包过滤提供，其结构如右图所示。,计算机网络技术及应用,11.5 防火墙基本概念,3子网过滤体系结构子网过滤体系结构添加了额外的安全层到主机过滤体系结构中，即通过添加参数网络，更进一步地把内部网络与因特网隔离开。子网过滤体系结构的最简单的形式为两个过滤路由器，每一个都连接到参数网，一个位于参数网与内部的网络之间，另一个位于参数网与外部网络之间。,计算机网络技术及应用,11.5 防火墙基本概念,（1）参数网络参数网络是在内外部网之间另加的一层安全保护网络层。如果入侵者成功地闯过外层保护网到达防火墙，参数网络就能在入侵者与内部网之间再提供一层保护。如果入侵者仅仅侵入到参数网络的堡垒主机，他只能偷看到这层网络（参数网络）的信息流（看不到内部网的信息），而这层网络的信息流仅从参数网络往来于外部网或者从参数网络往来于堡垒主机。因为没有纯粹的内部信息流（内部主机间互传的重要和敏感的信息）在参数网络中流动，所以即使堡垒主机受到损害也不会让入侵者破坏内部网的信息流。,计算机网络技术及应用,11.5 防火墙基本概念,（2）堡垒主机在子网过滤结构中，我们将堡垒主机与参数网络相连，而这台主机是外部网服务于内部网的主节点。它为内部网服务的主要功能有：它接收外来的电子邮件再分发给相应的站点；它接收外来的FTP，并连到内部网的匿名FTP服务器；它接收外来的有关内部网站点的域名服务。向外的服务功能可用以下方法来实施：在内、外部路由器上建立包过滤，以便内部网的用户可直接操作外部服务器；在主机上建立代理服务，在内部网的用户与外部的服务器之间建立间接的连接。,计算机网络技术及应用,（3）内部路由器内部路由器的主要功能是保护内部网免受来自外部网与参数网络的侵扰。内部路由器完成防火墙的大部分包过滤工作，它允许某些站点的包过滤系统认为符合安全规则的服务在内外部网之间互传。根据各站点的需要和安全规则，可允许的服务是以下这些外向服务中的若干种，如：Telnet、FTP、WAIS、Archie、Gopher或者其它服务。内部路由器可以设定，使参数网络上的堡垒主机与内部网之间传递的各种服务和内部网与外部网之间传递的各种服务不完全相同。,11.5 防火墙基本概念,计算机网络技术及应用,11.5 防火墙基本概念,（4）外部路由器外部路由器既可保护参数网络又保护内部网。实际上，在外部路由器上仅做一小部分包过滤，它几乎让所有参数网络的外向请求通过，而外部路由器与内部路由器的包过滤规则是基本上相同的。外部路由器的包过滤主要是对参数网络上的主机提供保护。然而，一般情况下，因为参数网络上主机的安全主要通过主机安全机制加以保障，所以由外部路由器提供的很多保护并非必要。外部路由器真正有效的任务就是阻断来自外部网上伪造源地址进来的任何数据包。这些数据包自称是来自内部网，而其实它是来自外部网。,计算机网络技术及应用,11.5 防火墙基本概念,11.5.5 防火墙的各种变化和组合（l）使用多堡垒主机；（2）合并内部路由器与外部路由器；（3）合并堡垒主机与外部路由器；（4）合并堡垒主机与内部路由器；（5）使用多台内部路由器；（6）使用多台外部路由器；（7）使用多个参数网络；（8）使用双重宿主主机与子网过滤。,计算机网络技术及应用,11.5 防火墙基本概念,11.5.6 内部防火墙但有时为了某些原因，我们还需要对内部网的部分站点再加以保护以免受其它站点的侵袭。因此，有时我们需要在同一结构的两个部分之间，或者在同一内部网的两个不同组织结构之间再建立防火墙（也被称为内部防火墙）。因为网络中每一个用户所需要的服务和信息经常是不一样的，它们对安全保障的要求也不一样，所以我们可以将网络组织结构的一部分与其余站点隔离（比如，财务部分要与其它部分分开）。,计算机网络技术及应用,11.5 防火墙基本概念,1试验网络在大多数情况下，应该在内部防火墙中设置这样的包过滤：允许内部网的其它站点主动地连接试验网络，而对试验网络，只允许建立与被认为是安全内部网的其它站点的连接。在有些情况下，我们也可能要防止内部网其它站点的某些类型的信息流干扰试验网络，因此要设置允许所有的外向连接（对试验网络而言）而控制内向连接的包过滤。如果有几个试验网络，最好的方法是设置一个参数网络，并给每个试验网络配置一台路由器并连接到参数网络。而主要的包过滤工作在连接参数网络与内部主网的路由器上完成。,计算机网络技术及应用,11.5 防火墙基本概念,2低保密网络试验网络比较危险，但它对整个内部网的安全构成的威胁还不是最大的。而许多内部网组织结构里面的资源本身就固有一些非安全因素。比如，校园网中那些包含学生公寓网点的部分就被认为是不安全的，单位企业网中的那些演示网部分、客户培训网部分和开放实验室网部分都被认为是安全性比较差的。但这些网又比纯粹的外部网与内部网其它部分的交互要多得多。这些网络称为低保密网。,计算机网络技术及应用,11.5 防火墙基本概念,3高保密网络内部网的某些站点可能需要很高的安全保障。比如校园网中的教务网、招生信息网，商业网中的财务网、新品开发网都应具有相当高的保密度。当高保密网的信息流通过内部网的其它部分时，可以用对信息进行加密的方法对它们加以保护。也可将高保密