计算机网络的安全和管理.ppt

《计算机网络的安全和管理.ppt》由会员分享，可在线阅读，更多相关《计算机网络的安全和管理.ppt（120页珍藏版）》请在三一办公上搜索。

1、第六章 计算机网络的安全和管理,6.1 计算机网络安全,网络信息系统按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理，“安全”一词是指使其没有危险、不受威胁、不出事故，即将服务与资源的脆弱性降到最低限度。脆弱性是指系统的任何弱点。系统的安全包括攻与防两个方面，为了有助于提升计算机网络的安全，不仅要发明新的技术来破坏系统的安全性，同时，又发展新的技术来抵御这种进攻。从技术角度看，计算机网络安全是一个涉及计算机科学、网络技术、通信技术、密码学、数学、信息论等多种学科的边缘性综合学科,1.黑客,“黑客”一词在信息安全范畴内的普遍含意是特指对电脑系统的非法侵入者。黑客(hacker

2、)：对技术的局限性有充分认识，具有操作系统和编程语言方面的高级知识，热衷编程，查找漏洞，表现自我。他们不断追求更深的知识，并公开他们的发现，与其他人分享；主观上没有破坏数据的企图。骇客（cracker）：以破坏系统为目标。“红客”honker：中国的一些黑客自称“红客”honker。美国警方：把所有涉及到利用、借助、通过或阻挠计算机的犯罪行为都定为hacking。,2、安全隐患,a)硬件的安全隐患；b)操作系统安全隐患；c)网络协议的安全隐患；d)数据库系统安全隐患；e)计算机病毒；f)管理疏漏，内部作案。,2、安全隐患,硬件设备的安全隐患CPU:在奔腾III CPU中加入处理器序列号，因此I

3、ntel涉嫌干涉个人隐私，但要害问题则是政府机关、重要部门非常关心由这种CPU制造的计算机在处理信息或数据时所带来的信息安全问题，即这种CPU内含有一个全球唯一的序列号，计算机所产生的文件和数据都会附着此序列号，因而由此序列号可以追查到产生文件和数据的任何机器。,2、安全隐患,网络设备：我国计算机网络使用的绝大部分网络设备，如路由器、集线器、交换机、服务器、以及网络软件等都是进口的，其安全隐患不容忽视。一些交换机和路由器具有远程诊断和服务功能，既然可以远程进入系统服务、维修故障，也就可以远程进入系统了解情报、越权控制。更有甚者，国外一著名网络公司以跟踪服务为由，在路由器中设下机关、可以将网络中

4、用户的包信息同时送一份到其公司总部。,2、安全隐患,b)操作系统安全隐患计算机操作系统历来被美国一些大公司所垄断，但这些操作系统的源程序都是不公开的，在安全机制方面存在着诸多漏洞和隐患。计算机黑客能轻而易举地从后门进入系统，取得系统控制权，并危及计算机处理或存储的重要数据。如Windows95存在两千多处缺陷。,2、安全隐患,b)操作系统安全隐患 OS的体系结构造成其本身不安全1、I/O、系统服务程序等都可用打补丁方式进行动态连接。厂商用这种方式升级，而攻击者也用此方法。2、为了实现通用性、可裁剪性，能够安装其他公司的软件包，这些软件包往往是操作系统的一部分，需要与操作系统同样的访问特权，安装

5、这些软件包的“抓钩”程序就是非法攻击者入侵操作系统的陷门。3、网络上进行文件传输、加载将带来安全隐患。另外，能进行远程进程的创建与激活，这为安装“间谍”软件提供了条件。4、操作系统存在隐蔽信道：进程间通过不受强制访问控制保护的通信途径。,2、安全隐患,c)网络协议的安全隐患网络协议也都由美国等国家开发或制定标准。其安全机制也存在先天不足，协议还具有许多安全漏洞，为攻击者提供了方便，如地址欺骗等。Internet应用协议中缺乏认证、保密等措施，也使攻击者比较容易得手。TCP/IP协议安全漏洞：包监视、泄露、地址欺骗、序列号攻击、路由攻击、拒绝服务、鉴别攻击。应用层安全隐患：Finger、FTP、

6、Telnet、E-mail、SNMP、RPC、NFS,2、安全隐患,d)数据库系统安全隐患由于数据库平台全系引进，尽管厂商声称具有安全机制，但对国内用户犹如一个黑匣子。数据库的攻击分直接攻击和间接攻击两大类。直接攻击是通过查询以得到几个记录来直接搜索并确定敏感字段的值，最成功的技术是形成一种特定的查询它恰与一个数据项相匹配。间接攻击是依据一种或多种统计值推断出结果。统计攻击通过使用某些明显隐匿的统计量来推导出数据，例如使用求和等统计数据来得到某些数据。,2、安全隐患,e)计算机病毒威胁计算机病毒是一种能够进行自我复制的程序，可以通过多种方式植入计算机中，通过Internet网植入病毒更容易。病

7、毒运行后可能损坏文件、使系统瘫痪，造成各种难以预料的后果。由于在网络环境下，计算机病毒具有不可估量的威胁性和破坏力，因此计算机病毒的防范是网络安全性建设中重要的一环。新的病毒不仅删除文件、使数据丢失，甚至破坏系统硬件，可以造成巨大损失。1998年美国莫里斯病毒发作，一天之内使6000多台计算机感染，损失达9000万美元。,2、安全隐患,f)管理疏漏，内部作案。据权威资料片筑起网上长城介绍，互联网上的计算机犯罪、黑客攻击等非法行为来自于内部网络。金融、证券、邮电、科研院所、设计院、政府机关等单位几乎是天生的受攻击者，内部人员对本单位局域网的熟悉又加剧了其作案和被外部人勾结引诱的可能性。,3.网络

8、安全的基本要素,安全的内涵（要素）：机密性confidentiality、完整性integrity、可用性availability、可控性与可审查性。1、机密性：确保信息不暴露给未授权的实体或进程。加密机制。防泄密 2、完整性：只有得到允许的人才能修改实体或进程，并且能够判别出实体或进程是否已被修改。完整性鉴别机制，保证只有得到允许的人才能修改数据。防篡改 数据完整，hash；数据顺序完整，编号连续，时间正确。3、可用性：得到授权的实体可获得服务，攻击者不能占用所有的资源而阻碍授权者的工作。用访问控制机制，阻止非授权用户进入网络。使静态信息可见，动态信息可操作。防中断,3.网络安全的基本要素,

9、4、可控性：可控性主要指对危害国家信息（包括利用加密的非法通信活动）的监视审计。控制授权范围内的信息流向及行为方式。使用授权机制，控制信息传播范围、内容，必要时能恢复密钥，实现对网络资源及信息的可控性。5、可审查性：对出现的安全问题提供调查的依据和手段。使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“逃不脱，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。,3.网络安全的基本要素,此外信息系统还应提供认证、访问控制、抗抵赖安全服务。认证：保证信息使用者和信息服务者都是真实可信的，防止冒充和重演的攻击。真实性访问控制：这种服务保证信息资源不被非授权地使用。（

10、是否有权使用该资源）抗抵赖：这种服务可取二种形式。数字签名1）源发证明：提供给信息接收者以证据，这将使发送者谎称未发送过这些信息或者否认它的内容的企图不能得逞；2）交付证明：提供给信息发送者以证据，这将使接收者谎称未接收过这些信息或者否认它的内容的企图不能得逞。,4.安全保护的内容,计算机系统安全：物理安全、运行安全和信息安全物理安全：环境安全，设备安全和媒体安全。运行安全：风险分析，审计跟踪，备份与恢复，应急。信息安全：操作系统安全，数据库安全，网络安全，病毒防护，访问控制，加密与鉴别七个方面。1、物理安全（环境、设备、媒体）防雷电；门禁系统，防盗、防火、防有害气体；防电磁泄漏。2、运行安全

11、 为保障系统功能安全实现，提供一套安全措施（如风险分析，审计跟踪，备份与恢复，应急）来保护信息处理过程的安全。,4.安全保护的内容,风险分析：了解影响信息系统安全运行的因素和存在的风险，找出克服这些风险的方法。计算机信息系统常见的风险有：设计者有意建立或因偶然故障而存在的“后门”；操作过程中的人为错误、意外事故、疏漏和权限错误；硬件故障；计算机系统出错引起的拒绝使用；电磁辐射引起的信息泄漏；火灾和自然灾害；非授权处理和恶意攻击；内部人员进行数据偷窃的犯罪行为；伪造文件和记录；假冒别人的防问代码进入系统；不准确的或过时的信息；故意破坏；传输路径错误；搭线窃听和乘机而入；编程错误；对已删除信息的搜

12、寻和复原；计算机病毒等等。,4.安全保护的内容,审计跟踪：利用计算机信息系统所提供的审计跟踪工具，对计算机信息系统的工作过程进行详尽的跟踪记录，同时保存好审计记录和审计日志，并从中发现和及时解决问题，保证计算机信息系统安全可靠地运行。要求系统管理员保存、维护和管理好审计日志。应急措施和备份恢复：要根据所用信息系统的功能特性和灾难特点制定包括应急反应、备份操作、恢复措施三个方面内容的应急计划，一旦发生灾害事件，就可按计划方案最大限度地恢复计算机系统的正常运行。,4.安全保护的内容,3、信息安全 防止信息被故意的或偶然的非授权读取、更改、破坏或使信息被非法的系统辨识，控制。确保信息的完整性、保密性

13、，可用性和可控性。网络信息既有存储于网络节点上信息资源，即静态信息，又有传播于网络节点间的信息，即动态信息。而这些静态信息和动态信息中有些是开放的，如广告、公共信息等，有些是保密的，如:私人间的通信、政府及军事部门、商业机密等。保护用户利益和隐私。,4.安全保护的内容,信息的风险级别：根据敏感性分类。非保密的：不需保护。如出版的年度报告、新闻信件等。内部使用的：在公司和组织内部不需保护，可任意使用，但不对外。包括标准、备忘录和组织内部的电话记录本等。受限制的：包括那些泄漏后不会损害公司和组织的最高利益的信息。例如客户数据和预算信息等。保密的：包括那些泄漏后会严重损害公司和组织利益的信息。例如市

14、场策略和专用软件等。保密数据根据其保密程度可分为秘密、机密、绝密三类。敏感性程度依次递增这是按照泄漏后对公司和组织利益的损害程度来排序的。,6.1.1 数据加密,1 概述1）加密和解密消息被称为明文。用某种方法伪装消息以隐藏它的内容的过程称为加密，加了密的消息称为密文，而把密文转变为明文的过程称为解密。,1）加密和解密,明文Plaintext 密文Cipher text加密Encryption 解密Decryption密钥key明文用P或M（消息）表示，密文用C表示。加密函数E作用于P得到密文C，可以表示为：E（P）=C。相反地，解密函数D作用于C产生P：D（C）=P。先加密后再解密消息，原始

15、的明文将恢复出来，故有：D（E（P）=P。,1）加密和解密,加密时可以使用一个参数K，称此参数K为加密密钥。K可以是很多数值里的任意值。密钥K的可能值的范围叫做密钥空间。密码系统由加密算法、解密算法、明文空间、密文空间和密钥组成。,1）加密和解密,1）如果加密和解密运算都使用这个密钥（即运算都依赖于密钥，并用K作为下标表示），这样，加/解密函数现在变成：EK（P）=CDK（C）=P,1）加密和解密,2）有些算法使用不同的加密密钥和解密密钥，即加密密钥K1与解密密钥K2不同，在这种情况下：EK1（P）=CDK2（C）=PDK2（EK1（P）=P,2）对称算法和公开密钥算法,基于密钥的算法通常有两

16、类：对称算法和公开密钥算法。1）对称算法对称算法就是加密密钥能够从解密密钥中推算出来，反过来也成立。在大多数对称算法中，加/解密密钥是相同的。这些算法也叫秘密密钥算法或单密钥算法，它要求发送者和接收者在安全通信之前，商定一个密钥。对称算法的安全性依赖于密钥，泄漏密钥就意味着任何人都能对消息进行加/解密。对称算法可分为两类。序列密码与分组密码。,1）对称算法,序列密码一直是作为军事和外交场合使用的主要密码技术之一，通过有限状态机产生性能优良的伪随机序列，使用该序列加密信息流，逐比特加密得到密文序列，所以，序列密码算法的安全强度完全决定于它所产生的伪随机序列的好坏。分组密码是将明文分成固定长度的组

17、（块），如64比特一组，用同一密钥和算法对每一块加密，输出也是固定长度的密文。,2）公开密钥算法（非对称算法）,公开密钥算法中用作加密的密钥不同于用作解密的密钥，而且解密密钥不能根据加密密钥计算出来（至少在合理假定的长时间内），所以加密密钥能够公开，每个人都能用加密密钥加密信息，但只有解密密钥的拥有者才能解密信息。在公开密钥算法系统中，加密密钥叫做公开密钥（简称公钥），解密密钥叫做秘密密钥（私有密钥，简称私钥）。,2 密码模式,电子密码本模式（Electronic Codebook Mode，ECB）在密码分组链模式（Cipher Block Chaining Mode，CBC）密码反馈模式（

18、Cipher Feedback Mode，CFB）输出反馈模式（Output Feedback Mode，OFB）,3 链路加密与端到端加密,链路加密是对两个节点之间的单独通信线路上数据进行加密保护。它侧重于在通信链路上而不考虑信源和信宿。端到端加密为网络提供从源到目的的传输加密保护。端到端加密则指信息由发送端自动加密，并进入TCP/IP数据包回封，然后作为不可阅读和不可识别的数据穿过互联网，当这些信息一旦到达目的地，将自动重组、解密，成为可读数据。,4 传统密码学,1.换位密码换位加密是将明文字母互相换位，明文的字母保持相同，但顺序被打乱了。例如：线路加密法 明文以固定的宽度水平写出，密文按

19、垂直方向读出。明文：COMPUTERSYSTEMSECURITYCOMPUTERSYSTEMSECURITY密文：CTSETOETCYMREUPSMRUYSI,4 传统密码学,2、代替法：代替密码就是明文中每一个字符被替换成密文中的另外一个字符，代替后的各字母保持原来位置。对密文进行逆替换就可恢复出明文。有四种类型的代替密码：（1）单表（简单）代替密码：就是明文的一个字符用相应的一个密文字符代替。加密过程中是从明文字母表到密文字母表的一一映射。例：恺撒（Caesar)密码。（2）同音代替密码：它与简单代替密码系统相似，唯一的不同是单个字符明文可以映射成密文的几个字符之一同音代替的密文并不唯一。

20、（3）多字母组代替密码：字符块被成组加密，例如“ABA”可能对应“RTQ”，ABB可能对应“SLL”等。例：Playfair密码。（4）多表代替密码：由多个单字母密码构成，每个密钥加密对应位置的明文。例：维吉尼亚密码。,4 传统密码学,3、凯撒（Caesar）密码 令26个字母分别对应于025，a=1，b=2y=25，z=0。凯撒加密变换实际上是c(m+k)mod 26其中m是明文对应的数据，c是与明文对应的密文数据，k是加密用的参数，叫密钥。比如明文：data security 对应数据序列：4，1，20，1，19，5，3，21，18，9，20，25k=5时，得密文序列9，6，25，6，24

21、，10，8，0，23，14，25，4密文：ifyxjhzwnyd缺点：容易破解密码。,4 传统密码学,4、Playfair密码（英国曾用）密钥由25个英文字母（J与I相同）组成的5阶方阵。每一对明文字母 m1和m2，都根据下面的6条规则进行加密。（1）明文字母 m1和m2同行。密文是其右边字母。（2）明文字母 m1和m2同列。密文是其下边字母。（3）明文字母 m1和m2不同行、不同列。密文是长方形的另两个顶点。（4）明文字母 m1和m2相同。在m1和m2之间加一个无效字母。（5）明文有奇数个字母，末尾加一个无效字母。（6）I、J看成是相同字母。,4 传统密码学,6、一次一密密码一次一密密码：发

22、方和收方各保存一份一次一密乱码本，它是一个大的不重复的真随机密钥字母集。发方用乱码本中的某一页密钥加密明文。加密方法：明文字符和乱码本密钥字符的模26加法。每个密钥仅对一个消息使用一次。发方对所发的消息加密，然后销毁乱码本中用过的一页。收方有一个同样的乱码本，并依次使用乱码本上的每个密钥去解密密文的每个字符，然后销毁乱码本中用过的一页。,6.1.2 数字签名,1999年美国参议院已通过了立法，规定数字签名与手写签名的文件、邮件在美国具有同等的法律效力。数字签名实现的基本原理很简单，假设A要发送一个电子文件给B，则A、B双方只需经过下面三个步骤：1）A用其私钥加密文件，这便是签名过程 2）A将加

23、密的文件送到B3）B用A的公钥解开A送来的文件,6.1.2 数字签名,以上方法符合Schneier总结的五个签名特征：1）签名是可信的，因为B是用A的公钥解开加密文件的，这说明原文件只能被A的私钥加密而只有A才知道自己的私钥。2）签名是无法被伪造的，因为只有A知道自己的私钥。因此只有A能用自己的私钥加密一个文件。3）签名是无法重复使用的，签名在这里就是一个加密过程，自己无法重复使用。4）文件被签名以后是无法被篡改的，因为加密后的文件被改动后是无法被A的公钥解开的。5）签名具有不可否认性，因为除A以外无人能用A的私钥加密一个文件。,6.1.3 身份认证,1 身份认证基本原理身份认证是对网络中的主

24、体进行验证的过程，用户必须提供他是谁的证明。身份认证分为单向认证和双向认证。如果通信的双方只需要一方被另一方鉴别身份，这样的认证过程就是一种单向认证。在双向认证过程中，通信双方需要互相认证对方的身份。,1 身份认证概述,从用户角度来看，非法用户常采用以下手段对身份认证过程中攻击：数据流窃听(Sniffer)：由于认证信息要通过网络传递，并且很多认证系统的口令是未经加密的明文，攻击者通过窃听网络数据，就很容易分辨出某种特定系统的认证数据，并提取出用户名和口令。拷贝/重传：非法用户截获信息，然后再传送给接收者。修改或伪造：非法用户截获信息，替换或修改信息后再传送给接收者，或者非法用户冒充合法用户发

25、送信息。,1.身份认证概述,在计算机网络中，通常采用三种方法验证主体身份。一是只有该主体了解的秘密，如口令、密钥；二是主体携带的物品，如智能卡；三是只有该主体具有的独一无二的特征或能力，如指纹、声音、视网膜血管分布图或签字等。,2 认证协议,基于口令的身份认证用户名/口令认证技术：最简单、最普遍的身份识别技术，如：各类系统的登录等。口令具有共享秘密的属性，是相互约定的代码，只有用户和系统知道。例如，用户把他的用户名和口令送服务器，服务器操作系统鉴别该用户。口令有时由用户选择，有时由系统分配。通常情况下，用户先输入某种标志信息，比如用户名和ID号，然后系统询问用户口令，若口令与用户文件中的相匹配

26、，用户即可进入访问。口令有多种，如一次性口令；还有基于时间的口令,基于口令的身份认证,1、安全与不安全的口令 UNIX系统口令密码都是用8位(新的是13位)DES算法进行加密的，即有效密码只有前8位，所以一味靠密码的长度是不可以的。安全的口令要求：1)位数6位。2)大小写字母混合。3)字母与数字混合。4)口令有字母、数字以外的符号。,1、安全与不安全的口令,不安全的口令则有如下几种情况：(1)使用用户名（帐号）作为口令。(2)使用用户名（帐号）的变换形式作为口令。将用户名颠倒或者加前后缀作为口令，比如说著名的黑客软件John，如果你的用户名是fool，那么它在尝试使用fool作为口令之后，还会

27、试着使用诸如fool123、loof、loof123、lofo等作为口令，只要是你想得到的变换方法，John也会想得到。,1、安全与不安全的口令,(3)使用自己或者亲友的生日作为口令。这种口令很脆弱，因为这样往往可以得到一个6位或者8位的口令，但实际上可能的表达方式只有1001231=37200种。(4)使用常用的英文单词作为口令。这种方法比前几种方法要安全一些。一般用户选择的英文单词几乎都落在黑客的字典库里。(5)使用5位或5位以下的字符作为口令。,加强口令安全的措施：,A、禁止使用缺省口令。B、定期更换口令。C、保持口令历史记录，使用户不能循环使用旧口令。D、用口令破解程序测试口令。,2、

28、口令攻击的种类,计算资源依靠口令的方式来保护是很脆弱的1）网络数据流窃听由于认证信息要通过网络传递，并且很多认证系统的口令是未经加密的明文，攻击者通过窃听网络数据，就很容易分辨出某种特定系统的认证数据，并提取出用户名和口令。口令被盗也就是用户在这台机器上的一切信息将全部丧失，并且危及他人信息安全，计算机只认口令不认人。最常见的是电子邮件被非法截获。,2、口令攻击的种类,2）认证信息截取/重放(Record/Replay)有的系统会将认证信息进行简单加密后进行传输，如果攻击者无法用第一种方式推算出密码，可以使用截取/重放方式。对付重放的方法有：在认证交换中使用一个序数来给每一个消息报文编号，仅当

29、收到的消息序号合法时才接受之；使用时间戳(A接受一个新消息仅当该消息包含一个 A认为是足够接近 A所知道的时间戳);询问/应答方式(A期望从 B获得一个新消息，则先发给 B一个临时值，并要求后续从 B收到的消息包含正确的这个临时值),2、口令攻击的种类,3）字典攻击：由于多数用户习惯使用有意义的单词或数字作为密码，某些攻击者会使用字典中的单词来尝试用户的密码。所以大多数系统都建议用户在口令中加入特殊字符，以增加口令的安全性。4）穷举尝试(Brute Force)：这是一种特殊的字典攻击，它使用字符串的全集作为字典。如果用户的密码较短，很容易被穷举出来，因而很多系统都建议用户使用长口令。5）窥探

30、：攻击者利用与被攻击系统接近的机会，安装监视器或亲自窥探合法用户输入口令的过程，以得到口令。,2、口令攻击的种类,6）社交工程：攻击者冒充合法用户发送邮件或打电话给管理人员，以骗取用户口令。比如，在终端上发现如下信息：Please enter your user name to logon:Your password:这很可能是一个模仿登录信息的特洛伊木马程序，他会记录口令，然后传给入侵者。7）垃圾搜索：攻击者通过搜索被攻击者的废弃物，得到与攻击系统有关的信息，如果用户将口令写在纸上又随便丢弃，则很容易成为垃圾搜索的攻击对象。,3、口令猜测与防止,口令猜中概率公式：P=LR/S 其中，L：口令

31、生命周期 R：进攻者单位时间内猜测不同口令次数；S：所有可能口令的数目。为降低猜中的概率：减少口令使用寿命，即提高口令更换的频率;降低进攻者单位时间内猜测尝试口令的次数;增加可能口令的数目，即提高口令的字符个数。然而，口令的频繁更换增加了用户的负担，也为资深入侵者提供了条件(为了便于记忆，人们往往选择与其个人相关的口令，如某重要的日期)；口令字符个数的增加也会增加用户的负担且不会对资深入侵者有更大影响，因此，手段 2应是较为有效的防猜中手段。即：,3、口令猜测与防止,共7个方法：1.选择很难破译的加密算法让硬件解密商品不能发挥作用。2.控制用户口令的强度(长度、混合、大小写)3.掺杂口令 先输

32、入口令，然后口令程序取一个 12 位的随机数(通过读取实时时钟)并把它并在用户输入的口令后面。然后加密这个复合串。最后把 64 位的加密结果连同 12 位的随机数一起存入口令文件。,3、口令猜测与防止,4.不要暴露账户是否存在的信息 例：打入一个用户名后，不论账户是否存在，都在相同时间里要求输入口令。5.限制口令尝试次数。6.系统中只保存口令的加密形式,3、口令猜测与防止,7.一次性口令（OTP：One Time Password）在登录过程中加入不确定因素，使每次登录过程中传送的信息都不相同，以对付重放攻击。确定口令的方式：1）声称者与验证者两端共同拥有一串随机口令，在该串的某一位置保持同步

33、。用于人工控制环境中。2）两端共同使用一个随机序列生成器，在序列生成器的初态保持同步。3）使用时戳，两端维持同步的时钟。,6.2 防火墙,防火墙是一种用来加强网络之间访问控制的特殊网络设备，常常被安装在受保护的内部网络连接到Internet的点上，它对传输的数据包和连接方式按照一定的安全策略对其进行检查，来决定网络之间的通信是否被允许。防火墙能有效得控制内部网络与外部网络之间的访问及数据传输，从而达到保护内部网络的信息不受外部非授权用户的访问和对不良信息的过滤。,什么是防火墙(Firewall)？,防火墙：在两个信任程度不同的网络之间设置的、用于加强访问控制的软硬件保护设施。,一、防火墙的用途

34、,1）作为“扼制点”，限制信息的进入或离开；2）防止侵入者接近并破坏你的内部设施；3）监视、记录、审查重要的业务流；4）实施网络地址转换，缓解地址短缺矛盾。防火墙只允许已授权的业务流通过，而且本身也应抵抗渗透攻击。建立防火墙必须全面考虑安全策略，否则形同虚设。,二、好的防火墙系统,1）内部网络和外部网络之间传输的数据必须通过防火墙；2）只有防火墙系统中安全策略允许的数据可以通过防火墙；3）防火墙本身不受各种攻击的影响。,三、防火墙的特点,1、广泛的服务支持：通过将动态的、应用层的过滤能力和认证相结合，可实现WWW浏览器、HTTP服务器、FTP等；2、对私有数据的加密支持：保证通过Interne

35、t进行虚拟私人网络和商务活动的安全；3、客户端认证：只允许指定的用户访问内部网络或选择服务：企业本地网与分支机构、商业伙伴和移动用户间安全通信的附加部分；,三、防火墙的特点,4、反欺骗：欺骗是从外部获取网络访问权的常用手段，它使数据包好似来自网络内部。防火墙能监视这样的数据包并能扔掉它们；5、C/S模式和跨平台支持：能使运行在一平台的管理模块控制运行在另一平台的监视模块。,四、防火墙的优点,1.防止易受攻击的服务通过过滤不安全的服务来降低子网上主系统的风险。可以禁止某些易受攻击的服务(如NFS)进入或离开受保护的子网。可以防护基于路由选择的攻击，如源路由选择和企图通过ICMP改向把发送路径转向

36、遭致损害的网点。,四、防火墙的优点,2.控制访问网点系统 可以提供对系统的访问控制。如允许从外部访问某些主机(Mail Server和Web Server)，同时禁止访问另外的主机。3.集中安全性防火墙定义的安全规则可用于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略。可以定义不同的认证方法，而不需要在每台机器上分别安装特定的认证软件。外部用户只需要经过一次认证即可访问内部网。例如对于密码口令系统或其他的身份认证软件等，放在防火墙系统中更是优于放在每个Internet能访问的机器上。,四、防火墙的优点,4.增强的保密、强化私有权使用防火墙系统，站点可以防止finger 以及DNS域

37、名服务。Finger能列出当前用户，上次登录时间，以及是否读过邮件等。5.有关网络使用、滥用的记录和统计防火墙可以记录各次访问，并提供有关网络使用率等有价值的统计数字。网络使用率统计数字可作为网络需求研究和风险分析的依据；收集有关网络试探的证据，可确定防火墙上的控制措施是否得当，能否抵御试探和攻击。,五、防火墙的局限性,1）防火墙防外不防内防火墙可以禁止系统用户经过网络连接发送专有的信息，但用户可以将数据复制到磁盘、磁带上，放在公文包中带出去。如果入侵者已经在防火墙内部，防火墙是无能为力的。内部用户偷窃数据，破坏硬件和软件，并且巧妙地修改程序而不接近防火墙。对于来自知情者的威胁只能要求加强内部

38、管理，如主机安全和用户教育、管理、制度等。,五、防火墙的局限性,2）不能防范绕过防火墙的攻击防火墙能够有效地防止通过它进行传输信息，然而不能防止不通过它而传输的信息。例如，如果站点允许对防火墙后面的内部系统进行拨号访问，那么防火墙绝对没有办法阻止入侵者进行拨号入侵。3）防火墙配置复杂，容易出现安全漏洞4）防火墙往往只认机器（IP地址）不认人（用户身份），并且控制粒度较粗。,五、防火墙的局限性,5）防火墙不能防范病毒防火墙不能防止感染了病毒的软件或文件的传输。这只能在每台主机上装反病毒软件。6）防火墙不能防止数据驱动式攻击。当有些表面看来无害的数据被邮寄或复制到内部网主机上并被执行而发起攻击时，

39、就会发生数据驱动攻击。特别是随着Java、JavaScript、ActiveX的应用，这一问题更加突出。,六、防火墙的基本结构,分组（包）过滤路由器应用层网关电路层网关,七、基本作用,网络层防火墙：保护整个网络不受非法入侵，采用的是分配过滤技术即采用IP数据报来设置分组过滤规则。应用层防火墙：控制对应用程序的访问，即允许访问某些应用程序而阻止访问其他应用程序，办法是安装代理软件。电路层网络防火墙：根据规则建立一个网络到另一个网络的连接，不作任何审查，过滤，只是拷贝数据。,八、防火墙的配置,分组（包）过滤路由器双宿主网关主机过滤防火墙子网过滤防火墙,6.3 网络管理基本知识,上一个,当前计算机网

40、络的发展特点是：网络规模不断扩大，复杂性不断增加，网络的异构性越来越高。一个网络往往由若干大大小小的子网组成，集成了多种网络操作系统平台，包括不同厂家、公司的网络设备和通信设备等。同时，网络中还有许多网络软件提供各种服务。随着用户对网络的性能要求越来越高。如果没有一个高效的网络管理系统对网络系统进行管理，那么很难保证为广大用户提供令人满意的服务。网络管理已成为网络发展中一个很重要的关键技术，对网络的发展有着很大的影响，并已成为现代信息网络中最重要的问题之一。,6.3 网络管理基本知识,到底什么叫网络管理，目前还没有严格统一的定义。一般来说，网络管理是以提高整个网络系统的工作效率、管理水平和维护

41、水平为目标的，主要涉及对一个网络系统的活动及资源进行监测、分析、控制和规划的系统。通常我们所讨论的网络管理主要是指计算机网络管理，但广义而言，它还包括电信网络管理。为了与传统网络管理区分，可以把目前的网络管理称为现代网络管理，其追求目标应是集成化、开放型、分布式的网络管理。,6.3 网络管理基本知识,上一个,1.网络管理面临的网络运行状况（1）网络的设备不断更新（2）网络的协议不断发展（3）网络的拓扑结构不断变化（4）用户动态的加入和退出,6.3 网络管理基本知识,2.网络管理的任务目标保障网络在任何情况下都能够有效地提供资源共享服务，实现网络正常、经济、可靠和安全的运行。,6.3.1 网络管

42、理的基本功能,目前网络管理的功能可概括为网络的运行（Operation）、处理（Administration）、维护（Maintenance）和服务提供（Provisioning）等所需要的各种活动。即OAM&P。有时也狭义地只考虑前三项，即把网络管理的功能归结为OAM。计算机网络管理的目的是实现GERS，即网络运行的General（正常）、Economy（经济）、Reliability（可靠）和Security（安全）.。,6.3.1 网络管理的基本功能,网络的“运行”包括网络的记费和通信量管理；“处理”包括收集和分析设备利用率、通信量等数据，并作出相应控制优化网络资源的使用效率；“维护”包

43、括报警和性能监控、测试及故障修复等；“服务提供”包括向用户提供新业务和通过增加网络设备和设施来提高网络性能。随着网络管理的日益重要，现在设计规划一个网络的时候也要考虑网络管理的需求。所以实际上网络管理的范围已经扩大到网络中通信活动的规划和组织中。因为科学地规划和组织好一个网络是对它实施有效检测、计费和控制的前提。,6.3.1 网络管理的基本功能,由于网络设备，以及不同厂商开发的网络管理产品（软件或硬件）各不相同，而大家又是互连在一起的，所以网络管理需要标准化。ISO很早就为网络管理制订了一个标准框架（ISO7498-4）。ISO将网络管理分为系统管理、层管理和层操作三个层次。层操作是对层次管理

44、中的一个通信实例进行管理；层管理是对OSI的一个功能层的管理；系统管理则是对整个OSI系统的管理。在系统管理中，OSI提出了计算机网络管理的五个基本功能域（FCAPS）.,6.3.1 网络管理的基本功能,（1）性能管理（2）故障管理（3）配置管理（4）记帐管理（5）安全管理,（1）性能管理,自动发现网络拓扑结构和网络配置的变化，实时监测设备状态进行网络及相关设备的性能统计，包括网络节点设备的可用率、网络节点设备的CPU利用率、网络节点设备的故障率、中继线路流量统计、网络上各种业务量的统计、网络时延统计等。周期性地收集、并向网管中心报告被监控网络资源的这些性能测量数据，该数据作为性能历史记录在网

45、管中心保存一段时间，以便分析网络运行效率并及时发现瓶颈，为优化系统性能提供依据。,（2）故障管理,对来自硬件设备或路径结点的报警信息进行监控、报告和存储，以及进行故障的诊断、定位与处理。即接收错误监测报告并作出响应，跟踪识别错误，执行诊断测试，维护并检查错误日志，形成故障统计。,（3）配置管理,涉及网络配置的收集、监视和修改等任务。如网络拓扑结构的规划、设备内各插件板的配置、路径的建立与拆除，网络接点设备部件和端口的配置，网络接点设备系统软件的配置，配置操作过程的记录统计。以及通过插入、修改和删除操作来修改网络资源的配置(重构网络资源)等。,（4）记帐管理,管理各种电信业务资费标准，以及管理用

46、户业务使用情况和费用等。,（5）安全管理,保护网络资源与设备不被非法访问，以及对加密机构中的密钥进行管理。,6.3.2 网络管理系统,上一个,网络管理系统组成：从网络管理的角度看，网络由线路和节点构成，节点由网络设备（包括软硬件）构成。网络管理有两个概念，即网元管理（ems）和网络管理（nms）。网元管理系统一般均由设备原厂商提供，实现对网络设备的故障管理、配置管理和性能管理。网络管理系统则需要对全网进行管理，要有拓朴发现功能、设备变化感知功能等等。,6.3.2 网络管理系统,网管通信方式：网管的通信方式分为带外网管和带内网管。带外网管是指通过专门的网管通道实现对网络的管理，将网管数据与业务数

47、据分开，为网管数据建立独立的通道。带内网管使得网络中的网管数据和业务数据在相同的链路中传输。,6.3.2 网络管理系统,3.网络管理模型：网络管理模型是从管理什么、由谁管理和如何管理等不同的侧面或观点来考察整个系统，而对原始系统的不同角度的抽象。功能模型信息模型组织模型通信模型,6.3.3 网络管理模型,1）功能模型：网络管理任务包括网络资源的规划和配置、系统工作负荷的测量、性能数据的收集和评价、故障的诊断和排除、用户访问权限检查和保护等。,6.3.3 网络管理模型,2）信息模型：涉及网络资源的数据表示。以统一的观点来看待所有与网络管理有关的网络资源及它们的关系。要管理的资源抽象为管理对象(M

48、anaged Object，MO)；资源的有关信息抽象为被管理对象的属性(Attribute)；资源之间的关系定义为管理对象的关系(Relationship)；具有相同属性的管理对象集合称为对象类(Object Class)；具体的某一管理对象称为对象实例(Object Instance)。对象类的定义包括：从外部所看到的属性；作用于管理对象上的网管操作；管理对象对操作所做出的反应(即行为)，以及操作完毕后管理对象向管理者发回的通报。MIB(Management Information Base)，MIB仅是一个概念上的数据库，实际中并不存在这样一个数据库。,6.3.3 网络管理模型,3）组织

49、模型：涉及网管系统中管理进程所扮演的角色及其相互关系。通常管理进程可扮演三种角色：管理者(Manager)、代理(Agent)和委托代理(Proxy Agent)。4）通信模型：描述了网管系统中通信实体之间进行信息交换时所涉及的功能、协议和报文等。在OSI参考模型的最高应用层所使用的协议是CMIP和FTAM(文件传输、访问及管理协议)。CMIP是一个面向事务的协议，用于报警信息的传输、以及用户数据的交换。FTAM用来传输大量数据，如计费数据和统计数据。,6.3.4 网管系统工作原理,上一个,网络管理是建立在一个管理者和若干代理之间进行交互式会话方式的基础上，对网络资源(如网桥、网关、路由器、集

50、线器、工作站、机柜中的插件板、通信软件等)的监控是采用管理者代理模式实现的。也就是说，每次网管活动都是通过网管请求的发起者(网管中心的管理者进程)和网管请求的接收者(代理系统中的代理进程)之间的交互式会话实现的。作为管理者的软件实例(Instance)驻留在作为网管中心的系统中(UNIX操作系统居多)；而被网管中心监控的、作为代理的软件实例驻留在代理系统中。,6.3.4 网管系统工作原理,在管理者和代理之间可存在一对多的关系，即某一管理者可与若干个代理交换；反之，某一代理也可与若干个管理者交换信息进行信息。为了在各网管系统中能彼此交换信息，管理者和代理必须使用相同的网管协议、功能模型、信息模型