第2章 网络安全体系结构课件.ppt

《第2章 网络安全体系结构课件.ppt》由会员分享，可在线阅读，更多相关《第2章 网络安全体系结构课件.ppt（36页珍藏版）》请在三一办公上搜索。

1、,第2章 网络安全体系结构,指导教师：李云亮,第2章 网络安全体系结构指导教师：李云亮,网络安全基本概念,网络安全体系结构框架,网络安全系统的功能,OSI参考模型的安全问题,第2章 网络安全体系结构,网络安全基本概念网络安全体系结构框架网络安全系统的功能OSI,中国网络安全形势严峻,据2005年的统计，全球每天有15万台PC处于随时可能被攻击的失控状态，而其中20%的PC机来自中国。1.盗版软件无法升级成软肋 2.网民应该采取预防措施 当前，计算机和互联网在中国十分普及。用户接入互联网的方式直接影响到病毒的传播力度。通常，黑客主要攻击的是宽带接入用户。,社会背景,中国网络安全形势严峻 据200

2、5年的统计，全球,网络安全面临的威胁,1.主机C对主机A或主机B的授权访问。2.主机C冒用主机A或者主机B的身份对网络上的其他主机进行访问。3.主机C使主机A或主机B无法使用网络等。,网络安全面临的威胁主机A主机C主机B1.主机C对主机A或主,网络安全面临的威胁,认证authentication,所谓认证是指在计算机网络中,进行通信的双方在通信之前需要彼此确认对方就是要通信的对象,而不是假冒的通信对象.,网络安全面临的风险,当主机A和主机B通信时,在不安全的计算机网络环境中,他们的通信内容有可能被第三方主机C截取,这可以通过下面几种典型的情况实现:电磁辐射监听线路中搭线窃听共享网络中的信息监听

3、,网络安全面临的威胁 保密性认证所谓认证是指在计算机网络中,进,网络安全面临的威胁,不可否认性,在基于计算机网络的电子商务中,如果主机A向主机B了发出了一个订单,或者主机A收到了主机B的一笔汇款,如何确保主机A或主机B无法否认在计算机网线处做过上述操作:因此,在基于计算机网络的电子商务活动中确保信息的不可否认性是十分重要的.,网络安全面临的风险,不可否认性是指在电子交易过程中,发出信息的一方无法否认其行为.,网络安全面临的威胁 不可否认性不可否认性在基于计算机网络的电,目前网络中出现的攻击和破坏,拒绝服务(denial of service),入 侵(intrusion),扫 描(scan),

4、滥用(misuse),目前网络中出现的攻击和破坏拒绝服务(denial of se,2.1 网络安全的基本概念,计算机网络安全是指计算机及其网络系统资源和信息资源不受自然和人为有害因素威胁和危害，即是指计算机、网络系统的硬件、软件及其系统中的数据受到保护，不因偶然或者恶意的原因而受到破坏和更改、泄露，确保系统能连续可靠正常地运行，使网络服务不中断。计算机网络安全从本质上讲，就是系统上的信息安全。,2.1 网络安全的基本概念 计算机网络安全是指计,网络安全涵盖的内容：,计算机网络基础操作系统的理论知识及各种系统的使用,了解常用操作系统（Unix Linux Windows）的安全漏洞及解决方法。

5、数据库的理论及常用数据库（Oracle,Db2,Sql server）的安全问题。数据安全与数据加密技术 病毒防治及防火墙技术 常见攻击手段及防范方法 至少一种编程语言,网络安全涵盖的内容：计算机网络基础,网络安全组织与机构,IETF(www.ieft.org)Internet Engineering Task Force 因特网工程任务组，由网络设计、网络运行、网络研究和网络厂商等方面的人员组成CERT/CC(www.cert.org)计算机安全应急响应/协同中心是由美国政府资助，提供各种网络安全方面的技术支持和信息。NSA(www.nsa.gov)和NIST(www.nist.gov)美国

6、国家安全局（National Security Agency,NSA）和美国国家标准局（NIST）ISO/ITU 国际标准化组织（International Standard Organization,ISO）,网络安全组织与机构IETF(www.ieft.org),网络安全基本概念,网络安全体系结构框架,网络安全系统的功能,OSI参考模型的安全问题,第2章 网络安全体系结构,网络安全基本概念网络安全体系结构框架网络安全系统的功能OSI,计算机网络安全是一个涉及面很广的研究领域。通常人们只在这个领域中的一个小范围内从事自己的研究工作，开发出某些能够解决特殊网络安全问题的方案，有人研究数据加密和

7、解密算法，有人研究入侵和检测技术等。为了从整体上研究计算机网络安全问题，必须研究网络安全体系结构，从系统整体的角度去理解网络安全问题的解决方案。,计算机网络安全是一个涉及面很广的研究领域。通常人,2.2 网络安全总体框架,OSI参考模型和TCP/IP协议对应关系,2.2 网络安全总体框架ISO的OSI参考模型TCP/IP协,网络安全基本概念,网络安全体系结构框架,网络安全系统的功能,OSI参考模型的安全问题,第2章 网络安全体系结构,网络安全基本概念网络安全体系结构框架网络安全系统的功能OSI,2.3 网络安全系统功能,身份识别,存取权限控制,身份识别是安全系统应具备的最基本功能。这是验证通信

8、双方身份的有效手段。验证用户身份与其所称的身份是否一致的过程，最常见的是口令认证。,防止非法用户进入系统及合法对系统资源的非法使用。在开放系统中，网上资源的使用应制定一些规定：一是定义哪些用户可以访问哪些资源；二是定义可以访问的用户具备的读、写等操作权限。,2.3 网络安全系统功能 身份识别 存取权限控制 身份识别是,2.3 网络安全系统功能,数字签名,保护数据完整性,主要是消息摘要和非对称加密算法的组合应用通过一定的机制如RSA公开密钥加密算法等，使信息接收方能够做出“该信息是来自某一数据源且只可能来自该数据源”的判断。,通过一定的机制，如加入消息摘要等，以发现信息是否被非法修改，避免用户或

9、主机被伪信息所欺骗。,2.3 网络安全系统功能数字签名 保护数据完整性 主要是消息,2.3 网络安全系统功能,审计追踪,密钥管理,审计是指对用户的行为进行记录、分析和审查，以确认操作的历史行为。追踪则有追查的意思，通过审计结果追查用户的全程行踪。使系统在出现安全问题时能够追查原因。,数据加密是一种数学变换，在选定参数（密钥）的参与下，将信息从易于理解的明文加密成不易理解的密文，同时也可以将密文解密为明文。信息加密是信息安全的重要途径。有效的控制密钥管理机制，对增强网络的安全性和搞攻击性是非常重要的。,2.3 网络安全系统功能审计追踪 密钥管理 审计是指对用户的,网络安全基本概念,网络安全体系结

10、构框架,网络安全系统的功能,OSI参考模型的安全问题,第2章 网络安全体系结构,网络安全基本概念网络安全体系结构框架网络安全系统的功能OSI,2.4 OSI参考模型的安全问题,安全服务认证（authentication）安全服务访问控制(access control)安全服务数据保密性（data confidentiality）安全服务数据完整性(data integrity)安全服务防抵赖(non-repution)安全服务,2.4 OSI参考模型的安全问题安全服务,安 全 服 务,提供某个实体的身份保证。在网络通信的某一个特定过程中，如果某一个实体声称具有特定的身份时，认证服务就提供一种方

11、法来证实这个声称是否正确。认证的一个常用方法是口令。认证就是识别和证实。识别是辨别一个对象的身份，证实是证明该对象的身份就是其声明的身份。,认证服务,安 全 服 务 提供某个实体的身份保证。在网络通,安 全 服 务,访问控制服务就是提供对网络中某些受限制资源的访问方法。访问控制服务可以防止未授权的实体访问计算机网络中的资源，从而避免对网络未经授权的使用、修改、删除以及运行程序和命令等。访问控制服务主要位于应用层、传输层和网络层。它可以放在通信源、通信目标或者两者之间的某一部分。,访问控制服务,安 全 服 务 访问控制服务就是提供对网络中某些,安 全 服 务,数据保密性服务是指保证信息不被泄露给

12、非授权的用户、实体或过程，或供其利用（即使非授权用户得到信息也无法知晓信息内容，因此不能使用）。这种服务主要由连接保密性、无连接保密性、选择字段保密性和业务流保密性组成。实现方式：数据加密,数据保密性服务,安 全 服 务 数据保密性服务是指保证信息不被,安 全 服 务,数据完整性服务的目的是保护数据在存储和传输过程中的完整性。主要是维护信息的一致性，即信息在生成、传输、存储和使用过程中不应发生人为或非人为的非授权篡改。实现方式：消息摘要算法,数据完整性服务,安 全 服 务 数据完整性服务的目的是保护数据,安 全 服 务,在基于计算机网络的电子商务活动中确保信息的不可否认性是十分重要的。防抵赖服

13、务主要是指保护网络通信系统不会遭到来自系统内部其他合法用户的威胁，而不是对会来自外部网络的未知攻击者的威胁。所谓“抵赖”是指在计算机网络通信中参与某次通信的一方事后不承认曾进行过的操作，抗否认服务是用来对付这种情况的，它能够提供的证据，证明通信双方做过某种操作。防抵赖安全服务能保障用户无法在事后否认曾经对信息进行的生成、签发、接收等行为，是针对通信各方信息真实同一性的安全要求。实现方式:数字签名,防抵赖安全服务,安 全 服 务 在基于计算机网络的电子商务活动,2.4 OSI参考模型的安全问题,安全机制加密机制数字签名机制访问控制机制数据完整性机制鉴别交换机制通信业务填充机制路由控制机制公证机制

14、,2.4 OSI参考模型的安全问题安全机制,安全机制一：加密机制,加密机制可以利用加密算法对存储的数据或传输中的数据进行加密。在网络中它既可以单独使用，也可以与其他安全机制配合使用。,安全机制一：加密机制 加密机制可以利用加密算法对存,安全机制一：加密机制,加密机制的特点能够保护存储数据和业务流信息的机密性。数据加密算法分为可逆算法和不可逆算法两种。加密算法通常都是分开的，只有密钥需要保密。常见可逆加密算法对称加密算法（传统加密算法）非对称加密算法,安全机制一：加密机制加密机制的特点,安全机制二：数字签名机制,数据加密机制是保护数据的最基本方法，这种方法能防止通信双方之外的人获得真实内容，但对

15、于诸如否认、伪造数据和假冒身份等网络安全问题，数据加密机制则无能为力。为了解决这些安全问题，在现实社会中，通信双方是利用在纸质文件亲笔签名并加盖分章的方法实现的。但是，在计算机网络中操作的对象是数据，无法在这些数据上亲笔签名，因此必有引入数字签名机制。数字签名机制由签名过程和验证过程组成。,安全机制二：数字签名机制 数据加密机制是保护数据的,安全机制三：访问控制机制,访问控制机制主要支持访问控制服务，它可以根据实体的身份和其他相关信息决定分配给实体的访问权限。访问控制机制是计算机网络信息保护的重要措施。,安全机制三：访问控制机制 访问控制机制主要支持访问,安全机制四：数据完整性机制,数据完整性

16、机制主要支持数据完整性服务。,安全机制四：数据完整性机制 数据完整性机制主要支持,安全机制五：鉴别交换机制,鉴别交换机制是以交换信息的方式来确认实体身份的。,安全机制五：鉴别交换机制 鉴别交换机制是以交换信息,安全机制六：业务流填充机制,业务流填充机制可以防止第三者在线路上通过窃听和分析数据流量而推测出数据内容。具体做法是在发送数据的间隙由保密装置连续地发出随机序列，窃听者收到数据流之后不知哪些是有用信息、哪些是无用信息。特别注意，业务流填充机制要求无论是真实数据还是填充数据都要经过加密保护才能作用。,安全机制六：业务流填充机制 业务流填充机制可以防止,安全机制七：路由控制机制,在计算机网络中

17、，从源端到目的端可能有多条链路，有些链路可能是安全的，有些链路可能不安全。路由控制机制既可以预先选择安全的静态路由，也可以根据需要选择安全的动态路由，还可以利用安全策略禁止带有特定安全标志的信息通过指定的路由。,安全机制七：路由控制机制 在计算机网络中，从源端到,安全机制八：公证机制,在验证数字签名时需要有权威的第三方机构证明，利用OSI的公证机制就可以建立一个这样的有权威的第三方认证机构，从而保证通信双方身份的真实性、数据的完整性等。提供公证的第三方必须是通信双方所信任的，并掌握必要信息以一种可以证实的方式提供所需的保证。通信双方可以使用数字签名机制、数据加密机制和数据完整性机制以适应公证机制。,安全机制八：公证机制 在验证数字签名时需要有权威的,2.4 OSI参考模型的安全问题,安全管理系统安全管理安全服务管理安全机制管理,2.4 OSI参考模型的安全问题安全管理,谢谢大家！,谢谢大家！,