第5章电子商务安全技术课件.ppt

《第5章电子商务安全技术课件.ppt》由会员分享，可在线阅读，更多相关《第5章电子商务安全技术课件.ppt（52页珍藏版）》请在三一办公上搜索。

1、第五章 电子商务安全技术,学习目标1掌握电子商务安全的概念；2掌握古典加密学理论和方法；3掌握数字证书概念；4掌握身份认证概念；5掌握生理特征识别概念；6掌握防火墙概念。,5.1 电子商务安全概述,5.1.1 电子商务面临的安全问题1计算机安全问题（1）国际标准化委员会的定义是“为数据处理系统和采取的技术的和管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露。”（2）美国国防部国家计算机安全中心的定义是“要讨论计算机安全首先必须讨论对安全需求的陈述，.。一般说来，安全的系统会利用一些专门的安全特性来控制对信息的访问，只有经过适当授权的人，或者以这些人的名义进

2、行的进程可以读、写、创建和删除这些信息。”,5.1 电子商务安全概述,（3）我国公安部计算机管理监察司的定义是“计算机安全是指计算机资产安全，即计算机信息系统资源和信息资源不受自然和人为有害因素的威胁和危害。”计算机安全可分成三类，即保密、完整和即需。保密是指防止未授权的数据暴露并确保数据源的可靠性；完整是防止未经授权的数据修改；即需是防止延迟或拒绝服务。,5.1 电子商务安全概述,2网络安全问题（1）中断中断是指系统的部分组件遭受到破坏或使其不能发挥作用，例如，切断系统主机对外的网络连接，使其无法使用，这是对系统的可用性做攻击。（2）篡改篡改是指系统资源被未经授权的人所取得，乃至篡改内容，例

3、如，在网络上传送的订单遭到任意改变，是对数据的正确性的攻击。（3）介入介入是指未经授权者授权取得系统的资源，其中的未经授权者可以是一台计算机、一个人，或是一组程序，例如，利用窃取网络上传送的机密数据，就是对数据机密生的攻击。,5.1 电子商务安全概述,（4）假造假造是指未经授权将假造数据放入系统中，这是对数据的真实性的攻击。例如，在网络上假造身份证明文件以假冒他人。3计算机信息系统面临的威胁（1）自然灾害（2）黑客的威胁和攻击（3）计算机病毒（4）垃圾邮件和间谍软件（5）信息战的严重威胁（6）计算机犯罪,5.1 电子商务安全概述,5.1.2 电子商务对安全的基本要求1电子商务的安全控制要求（1

4、）信息保密性交易中的商务信息均有保密的要求。例如，信用卡的账号和用户名被人知悉，就可能被盗用，订货和付款的信息被竞争对手获悉，就可能丧失商机。因此在电子商务的信息传播中一般均有加密的要求。（2）交易者身份的确定性网上交易的双方很可能素昧平生，相隔千里。要使交易成功，首先要能确认对方的身份，对商家要考虑客户端不能是骗子，而客户也会担心网上的商店不是一个玩弄欺诈的黑店。因此能方便而可靠地确认对方身份是交易的前提。,5.1 电子商务安全概述,（3）不可否认性由于商情的千变万化，交易一旦达成是不能被否认的。否则必然会损害一方的利益。例如订购黄金，订货时金价较低，但收到订单后，金价上涨了，如收单方能滞认

5、收到订单的实际时间，甚至否认收到订单的事实，则订货方就会蒙受损失。因此电子交易通信过程的各个环节都必须是不可否认的。（4）不可修改性交易的文件是不可被修改的，例如，上例所举的订购黄金。供货单位在收到订单后，发现金价大幅上涨了，如其能改动文件内容，将订购数1吨改为1克，则可大幅受益，那么订货单位可能就会因此而蒙受损失。因此电子交易文件也要能做到不可修改，以保障交易的严肃和公正。,5.1 电子商务安全概述,2计算机网络安全防范策略（1）防火墙技术防火墙是网络安全的屏障，配置防火墙是实现网络安全最基本、最经济、最有效的安全措施之一。（2）数据加密与用户授权访问控制技术与防火墙相比，数据加密与用户授权

6、访问控制技术比较灵活，更加适用于开放的网络。用户授权访问控制主要用于对静态信息的保护，需要系统级别的支持，一般在操作系统中实现。（3）入侵检测技术入侵检测技术是一种主动保护自己免受攻击的一种网络安全技术。作为防火墙的合理补充，入侵检测技术能够帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、攻击识别和响应），提高了信息安全基础结构的完整性。,5.1 电子商务安全概述,（4）防病毒技术电脑病毒是令人头痛的问题，Internet的快速发展使得病毒造成毁灭性的灾难成为可能。因此，防止网络病毒问题是保障电子商务交易安全最重要的研究课题之一。（5）认证技术认证技术是保证电子商务安

7、全的又一重要技术手段，是防止信息被篡改、删除、重放和伪造的一种有效方法，它使发送的消息具有被验证的能力，使接收者能够识别和确认消息的真伪。,5.1 电子商务安全概述, 数字签名技术。在电子商务的安全保密系统中，数字签名技术有着特别重要的地位，安全服务中的源鉴别、完整性服务、不可否认服务，都要用到它。 身份识别技术。通过电子网络开展电子商务，身份识别是一个不得不解决的问题。只有采取一定的措施使商家可以确认对方的身份，商家才能放心地开展电子商务。 信息完整性校验。信息的完整性要靠信息认证来实现，信息认证是信息的合法接受者对信息的真伪进行判定的技术。,5.1 电子商务安全概述,（6）安全管理队伍的建

8、设在计算机网络系统中，绝对的安全是不存在的，制定健全的安全管理体制是计算机网络安全的重要保证，只有通过网络管理人员与使用人员的共同努力，运用一切可以使用的工具和技术，尽一切可能去控制、减小一切非法的行为，尽可能地把不安全的因素降到最低。,5.1 电子商务安全概述,5.1.3 交易环境的安全性1交易中存在的主要安全问题（1）信息在网络的传输过程中被截获（2）传输的文件可能被篡改（3）假冒他人身份（4）伪造电子邮件（5）抵赖行为。发信者事后否认曾经发送过某条内容；收信者事后否认曾经收到过某行消息或内容；购买者发出订货单后不承认；商家卖出的商品因价格差而不承认原有的交易。,5.1 电子商务安全概述,

9、2用户信任度分析用户的信任度对于一般的公司而言，无庸置疑，是十分重要的，同样对于目前大多数商业化程度较高的网站而言，网民的信任是不可忽视的。但是要注意的是，网络的虚幻也在一定程度上增加了虚假的可能性，从而在某种程度会使用户产生不信任感，在中国，人们对于传统媒体的信任程度要高于对网络媒体的信任程度。无论是在网上还是在网下进行商业运作，信任总是一个不可缺少的重要组成部分。消费者必须要对商家产生信任感才会进行消费。网络业务的拓展速度几乎和消费者对网络公司失去信任的速度相当。根据有关调查报告显示，只有10%的消费者认为网络购物是不存在风险的；23%的用户认为他们受到过骇客的攻击，16%的用户认为他们的

10、私人信息未经授权就会被用作商业用途。,5.1 电子商务安全概述,3建立电子商务安全保障体系，提升用户信任度的途径提升用户信任度可从以下几个途径展开。（1）技术途径 明确电子商务安全体系结构。 充分发挥电子商务安全协议作用。 增强人们对电子商务的信任度，必须加强计算机的安全技术。（2）管理途径 建立网络品牌的信任度。 完善电子商务安全管理制度。 鼓励研究开发先进的电子商务安全技术产品。,5.1 电子商务安全概述,（3）构造良好的法制环境 全球电子商务的持续发展将取决于合同法律框架的制订。 从交易安全方面看，要制定一些相关的电子商务法律。 从电子支付方面看，也需要制定相应的法律。 有关电子商务消费

11、者权益保护的法律。 有关保护个人隐私、秘密的法律。,5.2 信息安全技术,5.2.1 信息安全技术概述1信息安全的概念“安全”一词的基本含义为：“远离危险的状态或特性”，或“主观上不存在威胁，主观上不存在恐惧”。在各个领域都存在着安全问题，安全问题是普遍存在的。随着计算机网络的迅速发展，人们对信息的存储、处理和传递过程中涉及的安全问题越来越关注，信息领域的安全问题变得非常突出。信息安全是一个广泛而抽象的概念，不同领域不同方面对其概念的阐述都会有所不同。建立在网络基础之上的现代信息系统，其安全定义较为明确，那就是：保护信息系统的硬件、软件及相关数据，使之不因为偶然或者恶意侵犯而遭受破坏、更改及泄

12、露，保证信息系统能够连续、可靠、正常地运行。在商业和经济领域，信息安全主要强调的是消减并控制风险，保持业务操作的连续性，并将风险造成的损失和影响降低到最低程度。,5.2 信息安全技术,2信息安全的威胁信息安全的威胁是指某个人、物、事件或概念对信息资源的保密性、完整性、可用性或合法使用所造成的危险。攻击就是对安全威胁的具体体现。目前还没有统一的方法来对各种威胁进行分类，也没有统一的方法来对各种威胁加以区别。信息安全所面临的威胁与环境密切相关，不同威胁的存在及重要性是随环境的变化而变化的。下面给出一些常见的安全威胁。（1）服务干扰服务干扰是指以非法手段窃得对信息的使用权，恶意添加、修改、插入、删除

13、或重复某些无关信息，不断对网络信息服务系统进行干扰，使系统响应减慢甚至瘫痪，影响用户的正常使用，如一些不法分子在国外干扰我国正常卫星通信等。,5.2 信息安全技术,（2）恶意访问恶意访问是指没有预先经过授权同意，就使用网络或计算机资源被看作恶意访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息等。（3）自身失误自身失误是指网络管理员或网络用户都拥有相应的权限，利用这些权限破坏网络安全的可能性也是存在的。如操作口令被泄露，磁盘上的机密文件被人利用及未将临时文件删除导致重要信息被窃取，都有可能使网络安全机制失效，从内部遭受严重破坏。（4）信息泄露信息泄露

14、是指信息被泄露或透露给某个非授权的实体。（5）破坏信息的完整性破坏信息的完整性是指数据被非授权地进行增删、修改或破坏而受到损失。,5.2 信息安全技术,（6）拒绝服务拒绝服务是指对信息或其他资源的合法访问被无缘无故拒绝。（7）非法使用非法使用是指某一资源被某个非授权的人，或以非授权的方式使用。（8）窃听窃听是指用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。（9）业务流分析业务流分析是指通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信问题的变化等参数进行研究，从中发现有价值的信息和规律。（10）假冒假冒是指通过欺骗通信系统达到非法用户冒充成为合法用户，或者特权小的用户冒

15、充成特权大的用户的目的。（11）旁路控制旁路控制是指攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段发现原本应该保密，但是却又暴露出来的一些系统“特性”，利用这些“特性”，攻击者可以绕过防线守卫者侵入到系统的内部。,5.2 信息安全技术,（12）内部攻击内部攻击是指被授权以某一目的的使用某一系统或资源的某个个人，却将此权限用于其他非授权的目的。（13）特洛伊木马特洛伊木马是指软件中含有一个察觉不出的或者无害的程序段，当其被执行时，会破坏用户的安全。这种应用程序称为特洛伊木马（Trojan Horse）。（14）陷阱门陷阱门是指在某个系统或某个部件

16、中设置的“机关”，使得在特定的数据输入时，允许违反安全策略。（15）抵赖抵赖是指这是一种来自用户的攻击，比如：否认自己曾经发布过的某条消息，伪造一份对方来信等。（16）重放重放是指出于非法目的，将所截获的某次合法的通信数据进行复制，并重新发送。（17）电脑病毒电脑病毒是指一种人为编制的特定程序。它可以在计算机系统运行过程中实现传染和侵害功能。它可以通过电子邮件、软件下载、文件服务器、防火墙等侵入网络内部，删除、修改文件，导致程序运行错误、死机，甚至毁坏硬件。网络的普及为病毒检测与消除带来很大的难度，用户很难防范。,5.2 信息安全技术,（18）员工泄露员工泄露是指某个授权的人，为了金钱或某种利

17、益，或由于粗心，将信息泄露给某个非授权的人。（19）媒体废弃媒体废弃是指信息被从废弃的磁盘、光盘或纸张等存储介质中获得。（20）物理侵入物理侵入是指侵入者绕过物理控制而获得对系统的访问。（21）窃取窃取是指重要的安全物品（如身份卡等）被盗用。（22）业务欺骗业务欺骗是指某一伪系统或系统部件欺骗合法的用户或系统自愿放弃敏感信息等。,5.2 信息安全技术,3信息安全需求（1）法律法规与合同条约的要求与信息安全相关的法律法规是对组织的强制性要求，组织应该对现有的法律法规加以识别，将适用于组织的法律法规转化为组织的信息安全需求。这里所说的法律法规有3个层次，即国家法律、行政法规和各部委和地方的规章及规

18、范性文件。（2）组织的原则、目标和规定组织应该根据既定的信息安全方针、要求实现的安全目标和标准来确定组织的信息安全要求，确保支持业务运作的信息处理活动的安全性。（3）风险评估的结果除了以上两个信息安全需求的来源之外，确定安全需求最主要的一个途径就是进行风险评估，组织对信息资产的保护程度和控制方式的确定都应建立在风险评估的基础之上。一般来讲，通过综合考虑每项资产所面临的威胁、自身的弱点、威胁造成的潜在影响和发生的可能性等因素，组织可以分析并确定具体的安全需求。风险评估是信息安全管理的基础。,5.2 信息安全技术,4信息安全技术归纳起来，典型的信息安全技术包括以下几种。（1）物理安全技术，包括环境

19、安全、设备安全、媒体安全等。（2）系统安全技术，包括操作系统及数据库系统的安全性等。（3）网络安全技术，包括网络隔离、访问控制、VPN、入侵检测、扫描评估等。（4）应用安全技术，包括Email 安全、Web 访问安全、内容过滤、应用系统安全等。（5）数据加密技术，包括硬件和软件加密，实现身份认证和数据信息的CIA 特性等。（6）认证授权技术，包括口令认证、SSO 认证（例如Kerberos）、证书认证等。（7）访问控制技术，包括防火墙、访问控制列表等。（8）审计跟踪技术，包括入侵检测、日志审计、辨析取证等。（9）防病毒技术，包括单机防病毒技术逐渐发展成整体防病毒体系等。（10）灾难恢复和备份技

20、术，包括业务连续性技术，前提就是对数据的备份等。,5.3 数字证书和身份认证,5.3.1 数字证书概述1什么是数字证书为了保证互联网上电子交易及支付的安全性，保密性等，防范交易及支付过程中的欺诈行为，必须在网上建立一种信任机制。这就要求参加电子商务的买方和卖方都必须拥有合法的身份，并且在网上能够有效无误的被进行验证。数字证书是一种权威性的电子文档。它提供了一种在Internet上验证身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。数字身份认证是基于国际PKI标准的网上身份认证系统，数字证书相当于网上的身份证，它以数字签名的方式通过第三方权威认证有效地进行网上身份认证，帮助各个实体识

21、别对方身份和表明自身的身份，具有真实性和防抵赖功能。与物理身份证不同的是，数字证书还具有安全、保密、防篡改的特性，可对企业网上传输的信息进行有效保护和安全的传递。,5.3 数字证书和身份认证,它由一个由权威机构-CA证书授权（Certificate Authority）中心发行的，人们可以在互联网交往中用它来识别对方的身份。当然在数字证书认证的过程中，证书认证中心（CA）作为权威的、公正的、可信赖的第三方，其作用是至关重要的。数字证书采用公钥密码体制，即利用一对互相匹配的密钥进行加密、解密。每个用户拥有一把仅为本人所掌握的私有密钥（私钥），用它进行解密和签名；同时拥有一把公共密钥（公钥）并可以

22、对外公开，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无法进行解密。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制。,5.3 数字证书和身份认证,2数字签名的概念在金融和商业等系统中，许多业务都要求在单据上进行签名或加盖印章，证实其真实性，以备日后检查，可是在利用计算机网络来传送报文时，显然不能用手签的方法，在计算机中我们可以采用数字签名的方法，利用公开密钥来实现数字签名，从而代替传统的

23、签名。为使数字签名能代替传统的签名，必须满足下面三个条件：（1）接收者能够核实发送者对报文的签名；（2）发送者事后不能抵赖对其报文的签名；（3）接收者无法伪造对报文的签名。,5.3 数字证书和身份认证,3数字签名的基本形式对于交换信息的双方而言，数字签名的最基本形式是该信息基于某种特定的附加信息（如密钥或标识等的信息摘录）。发送方对发送的报文签名并随同报文一起发送，以担保报文的内容，若需接收方也对报文的内容进行担保，则要求接收方向发送方返回一个签名的回执（可以是对报文的再签名）。4数字签名的实现数字签名的简单实例是直接利用RSA算法和发送方的秘密密钥。对被签名的数据进行加密。当接收方收取本块密

24、文时，使用发送方的公开密钥进行解密，如果能够还原明文，则根据公开密钥体制的特点（公开密钥加密的密文只能用秘密密钥解密，秘密密钥加密的密文只能用公开密钥解密），可以认为该数据确实来自于希望的发送方。,5.3 数字证书和身份认证,5数字证书的申请一般来讲，用户要携带有关证件到各地的证书受理点，或者直接到证书发放机构即CA中心填写申请表并进行身份审核，审核通过后交纳一定费用就可以得到装有证书的相关介质（磁盘或Key）和一个写有密码口令的密码信封。6数字证书该的使用用户在进行需要使用证书的网上操作时，必须准备好装有证书的存储介质。如果用户是在自己的计算机上进行操作，操作前必须先安装CA根证书。一般所访

25、问的系统如果需要使用数字证书会自动弹出提示框要求安装根证书，用户直接选择确认即可；当然也可以直接登陆CA中心的网站，下载安装根证书。操作时，一般系统会自动提示用户出示数字证书或者插入证书介质（IC卡或Key），用户插入证书介质后系统将要求用户输入密码口令，此时用户需要输入申请证书时获得的密码信封中的密码，密码验证正确后系统将自动调用数字证书进行相关操作。使用后，用户应记住取出证书介质，并妥善保管。当然，根据不同系统数字证书会有不同的使用方式，但系统一般会有明确提示，用户使用起来都较为方便。,5.3 数字证书和身份认证,7数字证书的收费作为一种第三方认证服务，数字证书是需要收取一定费用的。就像我

26、们在日常生活中进行证件公正需要支付公正费用，进行通讯需要支付通讯费一样，CA数字证书作为网上身份认证和安全信息传递的工具一样是有偿进行的。从服务提供方的角度来讲，CA中心需要对几十万用户的数据进行维护，同时对随时发生的网上操作调用进行处理运作，成本是可观的。针对这一点，国外CA证书的收费也相对有较高标准，例如，目前国际社会使用较为普遍的Verisign 企业CA证书的收费标准为890美元/年，以此来维持其高额的运作成本。国内其他CA中心也针对证书服务收取一定的费用。,5.3 数字证书和身份认证,5.3.2 数字证书的功能与应用1数字证书的功能数字证书有以下几个功能。（1）信息的保密性（2）网络

27、通讯双方身份的确定性（3）不可否认性（4）不可修改性,5.3 数字证书和身份认证,2数字证书的应用数字证书可以应用到以下多个领域中。（1）网上银行（2）电子商务（3）手机移动支付（4）网上证券,5.3 数字证书和身份认证,5.3.3 身份认证概述1身份认证定义声称者向验证者出示自己的身份的证明过程。证实客户的真实身份与其所声称的身份是否相符的过程。身份认证又叫身份鉴别、实体认证、身份识别。认证目的是使别的成员（验证者）获得对声称者所声称的事实的信任。身份认证是获得系统服务所必须的第一道关卡。2身份认证分类身份认证可以分为本地和远程两类。（1）本地，实体在本地环境的初始化鉴别（就是说，作为实体个

28、人只和设备物理接触，不和网络中的其他设备通信）。（2）远程，连接远程设备、实体和环境的实体鉴别。实体鉴别可以是单向的也可以是双向的。单向认证是指通信双方中只有一方向另一方进行鉴别。双向认证是指通信双方相互进行鉴别。,5.3 数字证书和身份认证,3认证技术认证技术是计算机网络安全中的一个重要内容，一般可以分为两种：（1）消息认证，用于保证信息的完整性和抗否认性；在很多情况下，用户要确认网上信息是不是假的，信息是否被第三方修改或伪造，这就需要消息认证。消息认证的有关内容参见加密解密部分和数字签名部分。（2）身份认证，用于鉴别用户身份。包括 识别，明确并区分访问者的身份； 验证，对访问者声称的身份进

29、行确认。,5.3 数字证书和身份认证,4基于秘密信息的身份认证方法（1）口令核对口令核对的基本做法是，让每一个合法用户都有系统给的一个用户名/口令对，用户进入时，系统要求输入用户名、口令，如果正确，则该用户的身份得到了验证。（2）单向认证单向认证是指通信的双方只要一方被另一方鉴别，这样的身份认证过程就是一种单向认证。口令核对其实也是一种单向认证，只是这种认证方法还没有与密钥分发相结合。解决方案： 采用对称密钥加密体制，通过一个可信任的第三方通常称为KDC（密钥分发中心），由这个第三方来实现通信双方的身份认证和密钥分发； 采用非对称的密钥加密体制，无需第三方的参与。,5.3 数字证书和身份认证,

30、（3）双向认证双向认证是指通信双方需要互相鉴别各自的身份，然后交换会话密钥。（4）身份的零知识证明通常的身份认证都要求传输口令或身份信息，但如果能够不传输这些信息身份也得到认证就好了。零知识证明就是这样一种技术。被认证方A掌握某些秘密信息，A想设法让认证方B相信他确实掌握那些信息，但又不想让认证方B知道那些信息。5基于物理安全的身份认证方法前面提出的一些身份认证方法，它们有一个共同的特点，就是只依赖于用户知道的某个秘密的信息，与此对应的是依赖于用户特有的基于用户特有的某些生物学信息或用户持有的硬件。基于生物学的方案包括基于指纹识别的身份认证、基于声音识别的身份认证以及基于虹膜识别的身份认证等技

31、术。基于智能卡的身份认证机制在认证时需要一个硬件智能卡（智能卡中存有秘密信息，通常是一个随机数），只有持卡人才能被认证。这样可以有效地防止口令猜测，有卡有密码的用户会被得到认证。,5.4 防火墙,5.4.1 防火墙概述1防火墙概述所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，将“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。防火墙最初含义是，当房屋还处于木制结构的时侯，人们将石块堆砌在房屋

32、周围用来防止火灾的发生，这种墙被称之为防火墙。防火墙是一种访问控制技术，在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问。换句话说，防火墙是一道门槛，用来控制进/出两个方向的通信。图5-5所示的是防火墙示意图。,5.4 防火墙,5.4 防火墙,2防火墙的作用防火墙具有以下几个作用。（1）作为网络安全的屏障只有经过精心选择的应用协议才能通过防火墙，可使网络环境变得更安全。如防火墙可以禁止NFS协议进出受保护的网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应

33、该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。,5.4 防火墙,（2）可以强化网络安全策略通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙身上。（3）可以对网络存取和访问进行监控审计如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外

34、，收集一个网络的使用和误用情况也是非常重要的。可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等也是非常重要的。（4）可以防止内部信息的外泄通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。,5.4 防火墙,3防火墙的优点（1）防火墙可以通过执行访问控制策略而保护整个网络的安全，并且可以将通信约束在一个可管理和可靠性高的范围之内。（2）防火墙可以用于限制对某些特殊服务的访问。（3）防火墙功能单一，不需要在安全性，可用性和功能上做取舍。（4）防火墙有审记和报警功能

35、，有足够的日志空间和记录功能，可以延长安全响应的周期。4防火墙的缺点防火墙具有以下几个弱点。（1）不能防御已经授权的访问，以及存在于网络内部系统间的攻击。（2）不能防御合法用户恶意的攻击.以及社交攻击等非预期的威胁。（3）不能修复脆弱的管理措施和存在问题的安全策略。（4）不能防御不经过防火墙的攻击和威胁。,5.4 防火墙,5.4.2 分组过滤式防火墙1分组过滤式防火墙概念分组过滤器是目前使用最为广泛的防火墙，其原理很简单。（1）有选择地允许数据分组穿过防火墙，实现内部和外部主机之间的数据交换；（2）作用在网络层和传输层；（3）根据分组的源地址、目的地址、端口号、协议类型等标志确定是否允许数据包

36、通过。满足过滤逻辑的数据包才被转发，否则丢弃。2分组过滤式防火墙工作原理分组过滤式防火墙工作原理示意如下图所示。,5.4 防火墙,5.4 防火墙,（1）分组过滤软件通常集成到路由器上，允许用户根据某种安全策略进行设置，允许特定的分组穿越防火墙。（2）路由器对每个分组进行分析，并为分组选择一条最佳的路径。（3）普通路由器只执行两种操作：如果它知道分组的目的地址的路由，就转发该分组；否则丢弃或者退回分组。增加了分组过滤功能的路由器则检查更多的内容。（4）接入因特网的每台主机都有一个IP地址，并且内部网的应用一般都与特定的端口号有关，例如：远程登录（Telnet）的TCP端口号的默认值为23。（5）

37、提供分组过滤功能的路由器可以通过分析IP地址和端口号来决定是否转发一个分组。例如：可以建立一个对应端口号为23的防火墙过滤器来阻止向内部计算机上发送远程登录分组；建立一个对应端口号为21的防火墙过滤器来阻止外部用户向内部计算机发送文件传输分组（FTP）等。（6）基于分组过滤的防火墙的安全性依赖于用户制定的安全策略。（7）由于分组过滤防火墙是由用户来设置安全策略的，因此根据系统对用户设置的理解，目前的产品又为两类：“不允许的就是禁止”和“不禁止的就是允许”。,5.4 防火墙,3分组过滤式防火墙的优缺点（1）优点 能有效地控制对站点的访问。 能有效地保护易受攻击的服务。 简单、价廉。（2）缺点 不

38、能防止假冒。 只能在网络层和运输层实现。 缺乏可审核性。,5.4 防火墙,5.4.3 代理防火墙1代理服务式防火墙概念代理防火墙运行在两个网络之间，它对于客户来说像是一台真的服务器一样，而对于外界的服务器来说，它又是一台客户机。当代理服务器接收到用户的请求后，会检查用户请求的站点是否符合公司的要求，如果公司允许用户访问该站点的话，代理服务器会像一个客户一样，去那个站点取回所需信息再转发给客户。,5.4 防火墙,2代理服务式防火墙工作原理代理服务式防火墙工作原理示意如下图所示。,5.4 防火墙,从图5-7中可知：（1）当外部网的用户希望访问内部网某个应用服务器时，实际上是向运行在防火墙上的代理服

39、务软件提出请求，建立连接。（2）由代理服务器代表它向要访问的应用系统提出请求，建立连接。（3）应用系统给予代理服务器响应。（4）代理服务器给予外部网用户以响应。外部网用户与应用服务器之间的数据传输全部由代理服务器中转，外部网用户无法直接与应用服务器交互，避免了来自外部用户的攻击。通常代理服务是针对特定的应用服务而言的，不同的应用服务可以设置不同的代理服务器，如FTP代理服务器、TELNET代理服务器等。目前，很多内部网络都同时使用分组过滤路由器和代理服务器来保证内部网络的安全性，并且取得了较好的效果。,5.4 防火墙,3代理服务式防火墙的优缺点（1）优点 代理易于配置。 代理能生成各项记录。

40、代理能灵活、完全地控制进出流量、内容。 代理能过滤数据内容。 代理能为用户提供透明的加密机制。 代理可以方便地与其他安全手段集成。（2）缺点 代理速度较路由器慢。 代理对用户不透明。 对于每项服务代理可能要求不同的服务器。 代理服务不能保证免受所有协议弱点的限制。 代理不能改进底层协议的安全性。,5.4 防火墙,5.4.4 状态监视式防火墙1状态监视式防火墙工作原理这种防火墙安全特性非常好，它采用了一个在网关上执行网络安全策略的软件引擎，称之为检测模块。检测模块在不影响网络正常工作的前提下，采用抽取相关数据的方法对网络通信的各层实施监测，抽取部分数据，即状态信息，并动态地保存起来作为以后指定安

41、全决策的参考。2状态监视式防火墙的优缺点（1）优点 检测模块支持多种协议和应用程序，并可以很容易地实现应用和服务的扩充。 它会监测RPC和UDP之类的端口信息，而包过滤和代理网关都不支持此类端口。 性能坚固。（2）缺点 配置非常复杂。 会降低网络的速度。,5.4 防火墙,3防火墙的位置一般讲，企业内部网常采用局域网技术，外部网常为广域网，用路由器来互连内部网和外部网，因此路由器所在的位置也应是防火墙的位置；有时，路由器中也集成了防火墙的功能。防火墙设施通常具有2个或者1个端口；双端口时，分别接外部网和内部网如下图所示。,5.4 防火墙,单端口防火墙时，需交换设备的端口绑定，如下图所示。,本次课程结束，谢谢合作！,