《网络安全》网络安全65.ppt
《《网络安全》网络安全65.ppt》由会员分享,可在线阅读,更多相关《《网络安全》网络安全65.ppt(63页珍藏版)》请在三一办公上搜索。
1、网络安全网络安全-6-5,网络安全网络安全-6-5,2,网络访问控制,网络边界控制把不同安全级别的网络相连接,就产生了网络边界。防止来自网络外界的入侵就要在网络边界上建立可靠的安全防御措施。非安全网络互联带来的安全问题与网络内部的安全问题是截然不同的,主要的原因是攻击者不可控,攻击是不可溯源的,也没有办法去“封杀”,一般来说网络边界上的安全问题主要有下面几个方面:信息泄密网络入侵网络病毒木马入侵边界是指网络与外界互通引起的安全问题,有入侵、病毒与攻击。边界防护技术 防火墙技术多重安全网关技术网闸技术数据交换网技术,4网络访问控制网络边界控制,3,网络访问控制,边界防护技术多重安全网关技术如果一
2、道防火墙不能解决各个层面的安全防护,就多上几道安全网关,如用于应用层入侵的IPS(Intrusion Prevention System)、用于对付病毒的AV(Antivirus Programs)。它们设计在一起就是UTM(Unified Threat Management是指全功能的安全防御设备,UTM系统将多种特性和功能集成到一个产品中,包括入侵检测与防御、网关杀毒、垃圾邮件过滤与Web内容过滤以及防火墙等传统功能),分开就是各种不同类型的安全网关。多重安全网关的安全性显然比防火墙要好些,起码对各种常见的入侵与病毒都可以抵御。但是UTM存在一个最重要的致命伤一直阻碍它的大规模推广,这就是
3、性能问题。,5网络访问控制边界防护技术,4,网络访问控制,边界防护技术IPS与IDS,6网络访问控制边界防护技术,5,网络访问控制,网闸技术GAP源于英文的Air Gap,GAP技术是一种通过专用硬件使两个或者两个以上的网络在不连通的情况下,实现安全数据传输和资源共享的技术。GAP中文名字叫做安全隔离网闸,它采用独特的硬件设计,能够显著地提高内部用户网络的安全强度网闸的安全思路来自于“不同时连接”。不同时连接两个网络,通过一个中间缓冲区来“摆渡”业务数据,业务实现了互通,“不连接”原则上入侵的可能性就小多了。网闸只是单纯地摆渡数据,通过的内容清晰可见,这样入侵与病毒没有了藏身之地,网络就相对安
4、全了。但是,网闸作为网络的互联边界,必然要支持各种业务的连通,也就是某些通讯协议的通过,所以网闸上大多开通了协议的代理服务,于是网闸的安全性就打了折扣,在对这些通道的安全检查方面,网闸比多重安全网关的检查功效不见得高明。网闸的思想是先堵上,根据需要再开一些小门,防火墙是先打开大门,对不希望的再逐个禁止,两个思路刚好相反。后来网闸设计中出现了存储通道技术、单向通道技术等等,但都不能保证数据的“单纯性”,检查技术由于没有新的突破,所以网闸的安全性受到了专家们的质疑。,7网络访问控制网闸技术,GAP技术的基本原理是:切断网络之间的通用协议连接;将数据包进行分解或重组为静态数据;对静态数据进行安全审查
5、,包括网络协议检查和代码扫描等;确认后的安全数据流入内部单元;内部用户通过严格的身份认证机制获取所需数据。安全隔离与信息交换系统SGAP一般由三部分构成:内网处理单元、外网处理单元和专用隔离硬件交换单元。系统中的内网处理单元连接内部网,外网处理单元连接外部网,专用隔离硬件交换单元在任一时刻点仅连接内网处理单元或外网处理单元,与两者间的连接受硬件电路控制高速切换。这种独特设计保证了专用隔离硬件交换单元在任一时刻仅连通内部网或者外部网,既满足了内部网与外部网网络物理隔离的要求,又能实现数据的动态交换。SGAP系统的嵌入式软件系统里内置了协议分析引擎、内容安全引擎和病毒查杀引擎等多种安全机制,可以根
6、据用户需求实现复杂的安全策略。SGAP系统可以广泛应用于银行、政府等部门的内部网络访问外部网络,也可用于内部网的不同信任域间的信息交互。,6,GAP技术的基本原理是:切断网络之间的通用协议连接;将数据包,7,9,8,网络访问控制,边界防护技术数据交换网技术数据交换网技术是基于缓冲区隔离的思想,把城门处修建了一个“数据交易市场”,形成两个缓冲区的隔离,同时引进银行系统对数据完整性保护的Clark-Wilson模型,在防止内部网络数据泄密的同时,保证数据的完整性,即没有授权的人不能修改数据,防止授权用户错误的修改,以及内外数据的一致性。数据交换网技术比其他边界安全技术有显著的优势:综合使用多重安全
7、网关与网闸,采用多层次的安全关卡。有了缓冲空间,可以增加安全监控与审计,用专家来对付黑客的入侵,边界处于可控制的范围内。业务的代理保证数据的完整性,业务代理也让外来的访问者止步于网络的交换区,就象是来访的人只能在固定的接待区洽谈业务,不能进入到内部的办公区。数据交换网技术针对的是大数据互通的网络互联,一般来说适合于下面的场合:频繁业务互通的要求高密级网络的对外互联,Clark-wilson integrity model):在普通商业活动中提供数据完整性的方法,包括抽象数据类型、权力分离、分配最小权力和非任意访问控制等软件工程概念。,10网络访问控制边界防护技术Clark-wilson int
8、,9,网络访问控制,物理安全主要是指通过物理隔离实现网络安全。国家保密局2000年1月1日起颁布实施的计算机信息系统国际联网保密管理规定第二章保密制度第六条规定:“涉及国家秘密的计算机信息系统,不得直接或间接地与国际互联网或其他公共信息网络相连接,必须实行物理隔离。” 为确保物理隔离技术和新产品的安全保密,国家保密局对物理隔离提出了明确的保密技术要求:在物理传导上使内外网隔离,确保外部网络不能通过网络连接而入侵内部网络,同时防止内部网络的信息通过网络连接泄露到外部网络。计算机屏幕上应有当前处于内网还是外网的明显标识。内外网络的接口处应有明确的标识。内外网络切换时应重新启动计算机,以清除内存、处
9、理器等暂存部件残余信息,防止秘密信息串到外网上。移动存储介质未从计算机取出时,不能进行内外网络切换。防止内部网络信息通过电磁辐射泄露到外部网络上。,11网络访问控制物理安全主要是指通过物理隔离实现网络安全。,10,网络访问控制,物理安全主要是指通过物理隔离实现网络安全。国家保密局2000年1月1日起颁布实施的计算机信息系统国际联网保密管理规定第二章保密制度第六条规定:“涉及国家秘密的计算机信息系统,不得直接或间接地与国际互联网或其他公共信息网络相连接,必须实行物理隔离。” 为确保物理隔离技术和新产品的安全保密,国家保密局对物理隔离提出了明确的保密技术要求:在物理传导上使内外网隔离,确保外部网络
10、不能通过网络连接而入侵内部网络,同时防止内部网络的信息通过网络连接泄露到外部网络。计算机屏幕上应有当前处于内网还是外网的明显标识。内外网络的接口处应有明确的标识。内外网络切换时应重新启动计算机,以清除内存、处理器等暂存部件残余信息,防止秘密信息串到外网上。移动存储介质未从计算机取出时,不能进行内外网络切换。防止内部网络信息通过电磁辐射泄露到外部网络上。,12网络访问控制物理安全主要是指通过物理隔离实现网络安全。,11,网络访问控制,电磁辐射泄密进入80年代以来,随着各类电子设备在军事及民用领域的普遍应用,解决电磁辐射泄密的问题也随之被提上了日程。就象河里的水必然有渗透漏一样,所有电子设备如计算
11、机、电子打字机、通信机、电话机、扩音机、投影机等在信息传递过程中都存在不同程序的电磁辐射泄漏问题,其中尤以带有显示器(CRT)的电子设备泄漏更为严重。据有关资料介绍,国外接收和还原电磁辐射信息的距离已超过1000米。因此,采用技术手段防止秘密信息由电磁辐射形式泄漏已是迫切需要解决的问题。使用计算机处理涉密信息时,应当使用低辐射计算机设备或者采取屏蔽或干扰等防辐射的保密技术措施。就目前的技术手段讲,主要方法有降低电子设备的电磁辐射强度、屏蔽,安装干扰器,控制安全距离和降低电子设备安放楼层的高度等。,13网络访问控制电磁辐射泄密,12,网络访问控制,电磁辐射泄密使用低辐射计算机 使用低辐射计算机设
12、备是防止计算机辐射泄密的根本措施。因为这些设备在设计和生产时,已经对可能产生电磁辐射的元器件、集成电路、连接线等采取了防辐射措施,使计算机设备的电磁辐射降到最低限度。国外对计算机辐射问题认识比较早,制定了一系列安全标准 ,生产厂家也严格按规定生产符合标准的设备,但这些低辐射计算机是禁止出售给我国的。目前我国已能生产有相对屏蔽措施的显示屏和主机箱内套有金属屏蔽柜的设备,电磁辐射较小。 采取计算机电磁屏蔽技术 根据计算机辐射量的大小和客观环境的需要,对计算机机房或主机部件加以屏蔽,是防止涉密计算机群体电磁辐射泄密的有效措施。将计算机房用金属屏蔽笼(又称法拉第笼)封闭起来,并将金属屏蔽笼接地,能有效
13、地防止计算机和辅助设备的电磁波辐射。不具备屏蔽条件的计算机机房,也可将计算机辐射信号的区域控制起来,避免辐射信号被截收。 采取计算机电磁辐射干扰技术 根据电子对抗原理,采用一定的技术措施,对计算机的辐射信息进行干扰,增加接收还原解读的难度,是防止计算机电磁辐射泄密的有效措施。目前对电磁辐射实施干扰的方法,主要有白噪声干扰和相关干扰两种。,14网络访问控制电磁辐射泄密,13,网络访问控制,为什么需要物理隔离?在实行物理隔离之前,我们对网络的信息安全有许多措施,如在网络中增加防火墙、防病毒系统,对网络进行入侵检测、漏洞扫描等。由于这些技术的极端复杂性与有限性,这些在线分析技术无法提供某些机构(如军
14、事、政府、金融等)提出的高度数据安全要求。而且,此类基于软件的保护是一种逻辑机制,对于逻辑实体而言极易被操纵。后面的逻辑实体指黑客、内部用户等。 正因为如此,涉密网不能把机密数据的安全完全寄托在用概率来作判断的防护上,必须有一道绝对安全的大门,保证涉密网的信息不被泄露和破坏,这就是物理隔离所起的作用。,15网络访问控制为什么需要物理隔离?,14,网络访问控制,什么是物理隔离?物理隔离技术实质就是一种将内外网络从物理上断开,伹保持逻辑连接的信息安全技术。这里,物理断开表示任何时候内外网络都不存在连通的物理连接,逻辑连接表示能进行适度的数据交换。物理隔离是指内部网不直接通过有线或无线等任何手段连接
15、到公共网,从而使内部网络和外部公共网络在物理上处于隔离状态的一种物理安全技术。,16网络访问控制什么是物理隔离?,15,网络访问控制,物理隔离的含义它可以阻断网络的直接连接,即没有两个网络同时连在隔离设备上;隔离设备的传输机制具有不可编程的特性,因此不具有感染的特性;任何数据都是通过两级移动代理的方式来完成,两级移动代理之间是物理隔离的;物理隔离系统具有管理和控制功能,隔离设备具有审查的功能。,17网络访问控制物理隔离的含义,16,网络访问控制,物理隔离从广义上分为网络隔离和数据隔离,它们都称为物理隔离。网络隔离网络隔离就是把被保护的网络从开放、无边界、自由的环境中独立出来,使得Interne
16、t上的黑客和计算机病毒都无从入手,也就谈不上入侵了。数据隔离不管网络隔离采用的是真正的物理隔离还是逻辑隔离,如果在使用中出现一台计算机能够连接两个或多个网络,那么所有的网络隔离就没多大意义,因为同一台计算机连接两个网络,而没有把存储设备隔离,使同一个操作系统能连接不同的网络,计算机病毒很容易从一个网络流向另一个网络,这样即使做了网络隔离,但是网络安全的威胁同样存在。所以数据的隔离是非常重要的。,18网络访问控制物理隔离从广义上分为网络隔离和数据隔离,它们,17,网络访问控制,物理隔离在网络上的要求主要有3点:在物理传导上使内外网络隔断,确保外部网不能通过网络连接而侵入内部网,同时防止内部网信息
17、通过网络连接泄漏到外部网。在物理辐射上隔断内部网与外部网,确保内部信息不会通过电磁辐射或祸合方式泄露到外部网。在物理存储上隔断两个网络环境,对于断电后会遗失信息的部件,如内存、处理器等暂存部件,要在网络转换时做清除处理,防止残留信息泄漏;对于断电非遗失性设备(如磁带机、硬盘等存储设备),内部网与外部网信息要分开存储。,19网络访问控制物理隔离在网络上的要求主要有3点:,18,网络访问控制,物理隔离技术原理数据二极管技术这是一种在物理断开的网络之间进行单向桥接的专用安全技术。这种单向桥接技术是通过单工的连接完成的。这种连接只在数据源计算机具有一个数据发送源,在数据目标计算机上有一个数据接收器。存
18、储池交换技术这也是一种桥接隔离网络之间连接的专用安全技术。这种技术使用一个可交换方向的电子存储池。存储池每次只能与内外网络的一方相连。通过内外网络向存储池拷贝数据块和存储池的摆渡完成数据传输。这种技术实际上是一种数据镜像技术。它在实现内外网络数据交换的同时,保持内网网络的物理断开。,20网络访问控制物理隔离技术原理,19,网络访问控制,物理隔离技术原理数据二极管技术这是一种在物理断开的网络之间进行单向桥接的专用安全技术。这种单向桥接技术是通过单工的连接完成的。这种连接只在数据源计算机具有一个数据发送源,在数据目标计算机上有一个数据接收器。存储池交换技术这也是一种桥接隔离网络之间连接的专用安全技
19、术。这种技术使用一个可交换方向的电子存储池。存储池每次只能与内外网络的一方相连。通过内外网络向存储池拷贝数据块和存储池的摆渡完成数据传输。这种技术实际上是一种数据镜像技术。它在实现内外网络数据交换的同时,保持内网网络的物理断开。,21网络访问控制物理隔离技术原理,一个典型的物理隔离方案(隔离设备处于与外网相连状态),一个典型的物理隔离方案(隔离设备处于与外网相连状态),一个典型的物理隔离方案(隔离设备处于与内网相连状态),一个典型的物理隔离方案(隔离设备处于与内网相连状态),22,网络访问控制,物理隔离技术分类物理隔离技术自问世以来,已历经了3个发展阶段,每个阶段都产生了一种具有代表性的产品或
20、解决方案。第一代物理隔离技术第一代物理隔离主要采用双机双网的技术,即采用配置两台计算机、分别连接内外两个网络的做法。这种方法虽然能够有效保证内外网的物理隔离,符合国家有关网络安全隔离的规定,但是它具有成本高、设置复杂、维护困难等缺点,性能问题也是其需要进一步解决的问题。在实现双网物理隔离手段上,还有一种采用切换开关的方案,即用一台电脑通过开关切换不同的网络。这种方式结构简单,但是不能保证内外网的可靠隔离。它只实现了网络隔离,而不满足数据隔离的条件。,24网络访问控制物理隔离技术分类物理隔离技术自问世以来,已,23,网络访问控制,物理隔离技术分类第二代物理隔离技术第二代物理隔离技术采用双硬盘隔离
21、卡,主要在原有计算机上增加一块硬盘和一块隔离卡来实现物理隔离,两块硬盘分别对应内外网,用户启动外网时关闭内网硬盘,启动内网时关闭外网硬盘。二代双硬盘物理隔离卡是一种功能相对简单但较为经济的物理隔离产品。根据网络隔离技术可以将双硬盘物理隔离技术分为两种:基于主板的隔离技术和基于隔离卡的隔离技术。基于主板的隔离技术的核心是双硬盘技术,基本方式是将内外网络转换功能做入BIOS中,并将插槽分为内网和外网。基于隔离卡的隔离技术的核心也是双硬盘技术,它不仅适用于两个网络物理隔离的情况,也可用于存有保密资料的计算机上网的情况。安全计算机在传统PC主板结构上形成了两个物理隔离的网络终端接入环境,分别对应于国际
22、互联网和内部局域网,保证局域网信息不会被互联网上的黑客和病毒破坏。主板BIOS控制由网卡和硬盘构成,网络接入和信息存储环境各自独立,并只能在相应的网络环境下工作,不可能在一种网络环境下使用在另一网络环境才使用的设备。网络安全隔离卡的功能是以物理方式将一台PC虚拟为两台计算机。网络安全隔离卡实际是被设置在物理层上,通过卡上一边的IDE总线连接主板,另一边连接IDE硬盘。内外网的连接都需要通过网络安全隔离卡,PC机硬盘被物理分割为两个区域,在IDE总线物理层上,在固件中控制磁盘通道,在任何时候,数据只能通往一个分区。在安全状态时,主机只能使用硬盘的安全区与内部网连接,而此时外部网(如Interne
23、t)连接是断开的,且硬盘的公共区的通道是封闭的;在公共状态时,主机只能使用硬盘的公共区与外部网连接,而此时与内部网是断开的,且硬盘安全区是封闭的。当这两种状态转换时,是通过鼠标点击操作系统上的切换键,即进入一个热启动过程完成的。两种状态分别有独立的操作系统,并独立导入,两种硬盘分区不会被同时激活。为了保证安全,两个分区不能直接交换数据,但是用户可以通过在两个分区外,在硬盘上另外设置一个功能区,在两种状态下功能区均表现为硬盘的D盘,各个分区可以通过功能区作为一个过渡区来交换数据。根据用户需要,也可创建单向的安全通道,即数据只能从公共区向安全区转移,但不能逆向转移,从而保证安全区的数据安全。,25
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络安全 65
链接地址:https://www.31ppt.com/p-1298852.html