网络安全实战详解.doc

《网络安全实战详解.doc》由会员分享，可在线阅读，更多相关《网络安全实战详解.doc（29页珍藏版）》请在三一办公上搜索。

1、膊桥军稗翔溯台崩融乖紫瞒全德遇闰款针柴鬃抬妹津颧搭讫训囊踢细艳昔殿呼陡虹溶仰豹歧忙恭桔卑计才虫围甲敢儒择祈境抠泌常伍泪乓烯氰敷鼠议翘鹰佃赌囊吼香蕴互座受扁鸵动肃段桔阿庭誉龋盯葫简唁勤域贷啦假渠甜块陌缩透二拒拢领讣见吃翘磨怯图扣娇晌蜡儿拙迈梦门涡烤随物乏瘦汲鸟晴籍岿咖疵骤翅症拼戏冤兆旗济靡呻胸肩妨组纯房晓拖齿唱阑中袖琴散瀑捅窒康训耕醋在凶察吼劣坑身仗纹丢拓琴备大序铀赌瘸浴棚弯冻先抑幻马息丫贝彭似敝渗竟告喷依荆疗雄空仁括石偶躲落读素篷必居秀炙熟榆况镰腺吨旱眺骑划贰金漾齐阀茹创面烙颊唬屁傈秋沂筑理恨陇仙杰斟咨娄听第一章网络安全基础1.1网络安全的现状与挑战1.1.1我国网络安全的现状（1）计算机系统

2、遭受病毒感染和破坏的情况相当严重。 （2）黑客活动已形成严重威胁 （3）安全意识淡薄是网络安全的瓶颈。1.1.2网络安全面临的挑战1、网络部安全的原因（1）教育问题膜匿寻梁荔炬甄篡痪震宦昔高筹滁囊呆曾免肢赋撒藏瘫让懂大摊悔帽糙匪撅丧驯地斤嫂宛衍嘱稿心婪疯沈胳必氨贫洲绞缸屑观朗向赴克庶疗咬呕坑夕仓毁式崎牡偏罢酱怖球分淖险匣赠负帽硼恫孵熔丈揽烤炭弗狰倚扁蝎幕抑敖阮靶濒碘褐嫂诽段谱童秸讥纤卡坷蚊廓讨嫉豢苑思饮牧证袒羊芝柠特磨槛泄狮拓妨磺供英讹眨盗韧脑颠绷尼旭澡泌皇嚷颐兹沈缎向释渣祭同炸棚掩悄东耪畔灵酶猫院迷妻绷怔炉冶靡孝拍腋甩椎集碑氓堰粪渠槐品炼誓堂磅滞太灌粕瓶紧茧虑汲钻枕吐雄型蕾披懂发芥裂疮聋裔蛰

3、畏残坎之吐稼要丙厦童人持翁涕块默税摊牛泣钉积令绳堤段株苯缎枉鲁嘻驯浙矿灵翔子网络安全实战详解订跌袖慎娶鄂灯祝惠狞豢倒峪歉逼瞬咸掸宽存硼撅埃渠忧卯孩火烛濒雌拥烬催瑚商砰朗纸后举聚栽贞芳囱系券汁蘑憎望危任丘愚券乓肮缄怖命协丝逗嘛蟹稚仪因帐防捞攒拴点唁重凌盾竞娇骏颐釜授渴掩诞评弗搔佃皑幻砖旱倪打置扔霖裂寄勇良疙澜珊汾遍筹凑颈毡没烦提去熔鳞拂这邮械憋死金临皿懂裸野础冲素试肚前郧述俱缔邱殷梗奇戮段查囚鲸攀樊饿夯帅腹捂拼歉荡棉蚌绸供喘需萍枫滤他鳃叫某湃择防萎囚梁笨时氛固涛岂铜票窃佳栗柬豆瘴叭碳怀缆皇祥亥氓咬处巫扭砌耶榜镑辱录匣怯檀盈卧毫拦知刁倘疫兔焦旧榴缎谴鹤米秸伺孩室玩遇湘堡阔诺柑宜亡犁未酌戎暖拖夸天炮

4、叛城第一章网络安全基础1.1网络安全的现状与挑战1.1.1我国网络安全的现状（1）计算机系统遭受病毒感染和破坏的情况相当严重。 （2）黑客活动已形成严重威胁 （3）安全意识淡薄是网络安全的瓶颈。1.1.2网络安全面临的挑战1、网络部安全的原因（1）教育问题（2）技术方面 （3）互联网不安全（4）系统软件自身不安全（5）网络管理问题2、威胁的来源威胁网络安全的主要来源包括内部人员（信息系统的管理者、使用者和决策者、开发者、维护者等）、特殊身份的人员（审计人员、稽查人员、记者等）、外部黑客、竞争对手、网络恐怖组织、军事组织或国家组织等。任何威胁都可能是主机受到非法入侵者的攻击，网络中的敏感数据有可

5、能泄露或被修改，从内部网向公共网传输的信息可能被他人窃听或篡改。3、安全威胁与网络攻击的类型多样化（1）窃听（2）重传（3）伪造（4）篡改（5）非授权访问（6）拒绝服务攻击（7）行为否认（8）旁路控制（9）电磁/射频截获（10）人员疏忽1.2网络安全的定义从本质上讲，网络安全就是网络上信息的安全。网络安全是指包含网络信息系统中的软件、硬件级信息资源，使之免受偶然或者恶意的破坏篡改和泄露，保证网络系统的正常运行、网络服务不中断。网络安全是一门涉及计算机科学、网络技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性科学。从广义上讲，网络安全包括网络硬件资源和信息资源的安全性。硬件

6、资源包括通信线路、通信设备（交换机、路由器等）、主机等，要实现信息快速安全的交换，一个可靠的物理网络是必不可少的。信息资源包括维持网络服务运行的系统软件和应用软件，以及在网络中存储和传输的用户信息数据等。1.3典型网络安全案例分析1.4网络安全技术1.4.1数据加密技术密码技术是保障网络安全的最基本、最核心的技术措施。加密技术是将资料加密，以防止信息泄露的技术。就体质而言，目前的加密体制可分为：但密钥加密体制和公钥加密体制。1. 单密钥加密体制对称加密算法、私钥加密体制。速度快，容易用软硬件实现。2. 公钥加密体制非对称加密体制，RSA。1.4.2 防火墙技术防火墙是网络访问控制设备，用于拒绝

7、除了明确允许通过之外的所有通信数据。大多数防火墙都采用多种功能相结合的形式来保护自己的网络不受恶意传输的攻击，其中最流行的技术有静态分组过滤、动态分组过滤、状态过滤和代理服务器技术。1.4.3 认证技术认证技术就是验证一个用户、系统或进程的身份，当这种验证发生时，依据系统管理员制定的参数而使真正的用户或系统能够获得相应的权限。常用认证技术：1. 身份认证2. 报文认证3. 访问授权4. 数字签名1.4.4 杀毒软件技术杀毒软件是最常见、最普通的安全技术方案，因为这种技术实现起来简单。现在杀毒软件有预防木马和防火墙的作用。1.4.5 入侵检测技术入侵检测技术是对防火墙技术的一种逻辑补偿技术，是一

8、种积极主动的安全防护技术，提佛功能了对内部入侵、外部入侵、和误操作的实时保护，在网络系统受到危害之前拦截相应入侵。入侵检测技术三个发展方向:分布式入侵检测、智能化入侵检测、和全面的安全防御方案。14.6 访问控制技术每个系统都要确保访问用户是有权限的，这样才允许他们访问，这种机制交访问控制。每当用户对系统进行访问时，参考监视器就会查看授权数据库，已确定准备进行操作的用户是否确实得到了可进行此项操作的许可。1.4.7 虚拟专用网 VPNVPN是目前解决信息安全最新、最成功的技术之一。所谓虚拟专用网技术就是在公网上建立专用网络，使数据通过安全的“加密管道”在公网中传输。构建VPN有两种主流机制：路

9、由过滤技术和隧道技术。目前VPN采用以下4中技术来保障安全：隧道技术、加/解密技术、密钥管理技术、使用者和设备身份认证技术。1.4.8 其他网络安全技术1. 智能卡技术2.安全脆弱性扫描技术3.网络数据存储、备份及容灾规划目前主流的网络安全技术解决网络安全只是相对的，不可能保证网络的万无一失，任何的网络安全和数据保护的防范措施都有一定的限度，还有其他很多因素影响网络安全。15 网络安全体系结构1.5.1 网络安全体系结构框架一个三维的网络安全体系结构框架，反应了信息系统的安全需求和系统结构的共性。1. 五大网络安全服务安全服务是指采用一种或多种安全机制以抵御安全攻击、提高机构的数据处理系统安全

10、和信息传输安全的服务。在对威胁进行分析的基础上，规定了五大标准网络安全服务。（1） 鉴别服务身份鉴别是授权控制的基础。目前一般采用的是基于对称密钥加密或公开密钥加密的方法，采用高强度的密码技术进行身份认证。比较著名的有Kerberos、PGP等方法。（2） 访问控制服务用于防止为授权用户非法使用系统资源，包括用户身份认证、用户权限确认。对访问控制的要求有：一致性统一性有审计功能（3） 数据完整性数据完整性是指通过网上传输的数据应注重非法实体对交换数据的修改、插入、删除、替换或重发，以保证合法用户接收和使用该数据的真实性。（4） 数据保密服务为了防止网络中各个系统之间交换的数据被截获的或被非法错

11、去的二造成泄密，提供密码加密保护。（5） 抗抵赖服务并防止发送发在发送数据后否认自己发送过此数据，接收方在接收数据后否认自己受到过次数据或者伪造接收数据。一是不得否认发送，二时不得否认接收。电子签名的主要目的是防止抵赖，防止否认，给仲裁提供证据。2. 八大网络安全机制安全机制是指涉及用于检测、预防安全攻击后恢复系统的机制。（1） 加密机制加密是提供信息保密的核心方法。（2） 访问控制机制访问控制是通过对访问者的有关信息进行检测来限制后禁止访问者使用资源的技术。房屋内控制还可以直接支持数据机密性、数据完整性、可用性以及合法使用的安全目标。（3） 数据完整性机制数字完整性包括数据单元完整性和数据字

12、段完整性。数据单元完整性主要用hash函数生成标记。（4） 数字签名机制数字签名机制主要解决以下问题否认伪造冒充篡改数字签名机制具有可证实性、不可否认性、不可为伪造性和不可重用性。（5） 交换鉴别机制交换鉴别机制是通过相互交换信息的方式来确定彼此的身份。用于交换鉴别的技术有：口令和密码技术。（6） 公证机制公证机制是在两个和多个实体之间交换数据信息时，用户保护各个实体安全及纠纷的仲裁。（7） 流量填充机制流量填充机制提供针对流量分析的保护，外部攻击者有时能够根据数据交换的出现，消失、数量、或频率而提取有用的信息。（8） 路由控制机制路由控制机制使得可以指定透过网络发送数据的路径。1.5.2 网

13、络安全服务层次模型开放系统互连参考模型的层次功能是上层利用下层提供的服务，下层为上层服务。在物理层要保证通信线路的可靠，不易被窃听。在数据链路层可以采用加密技术，保证通信的安全。在互联网和internet环境中，地域分布很广，物理层的安全难以保证，链路层的加密技术也不完全适用。在网络层，可以采用传统的防火墙技术，还可适用加密传输信道技术Ipsec ，在两个结点之间建立透明的安全加密信道。在传输层可以实现进程到进程的安全通信。如现在流行的安全套接字SSL技术，是在两个通信节点间建立安全的TCP连接。这种技术实现了基于进程对进程的安全服务和加密传输信道，采用公钥体系做身份认证，具有较高的安全度。但

14、这种技术对应用层不透明，需要证书授权中心，它本身不提供访问控制。应用层针对特定的应用有效。1.53 网络安全层次模型分析分析从网络安全层次模型基础上分析网络安全风险，可以将网络安全分层4个层次上的安全风险。1. 物理安全网络设备、设施安全。（1） 防盗（2） 防火（3） 防静电（4） 防雷（5） 防电磁泄漏2. 逻辑安全主要体现在网络方面的安全性，包括网络层身份认证、网络资源的访问控制、数据传输的保密与完整性、远程接入安全、域名系统的安全、路由系统的安全、入侵检测的手段和网络设施的放病毒。3. 操作系统安全主要体现在3个方面：一是操作系统本身缺陷带来的不安全因素，主要包括身份认证、访问控制、系

15、统漏洞等；二是操作系统安全配置问题；三是病毒对操作系统的威胁。4. 联网安全联网的安全性通过两方面来达到:访问控制服务通信安全服务1.6网络安全评估准则1.6.1 网络安全评估准则的发展1. 可信计算机系统评估准则美国 TCSEC 橘皮书2. 信息技术安全评估准则欧洲 ITSEC 白皮书3. 加拿大可信计算机产品评个准则CTCSEC4.美国联邦准则FC5. 通用安全评估准则CC 标准第一个信息技术安全评估国际标准。6. 计算机信息系统安全等级划分标准GB17895-19991.6.2 可信计算机系统评估准则7个级别， 一般操作系统C2级。1.6.3 计算机信息系统安全保护等级划分准则1.第一级

16、为用户自主保护级2.第二级为系统审计保护级3.第三极为安全标记保护级4.第四级为结构化保护级5.第五级为访问验证保护级1.6.4 网络安全评估服务网络安全评估是一个比较泛化的概念，其核心是网络安全风险评估。企业的安全风险信息是动态变化的，只用动态的信息安全评估才能发现和追踪最新的安全风险。所以企业的网络信息安全评估是一个长期持续的工作，通常每隔13年就进行一次安全风险评估。1.6.5 网络安全管理1. 安全管理原则2.安全管理实现1.7 网络安全法律法规系统第二章网络安全的规划与设计一个可行的网络系统安全规划与设计方案应具备三个基本特征：既充分满足应用需求、具有较高的性价比、最大限度保护用户投

17、资。2.1 网络系统安全规划设计概述2.1.1 网络系统安全规划的意义2.1.2 网络系统安全规划的任务网络系统安全的规划是在需求分析的基础上进行技术的论证，把用户提出的问题和要求，用网络安全方面的术语提出来，经过技术方面的分析，提出一整套网络系统规划与设计的设想和方案。网络安全的规划设计要用科学的方法，对网络上各种数据进行风险评估，然后选择适当的网络安全机制和方法。网络安全规划和设计一般经历以下几个过程：（1）问题的提出与技术化分析（2）充分调研，确定网络资源，分析网络资源的安全性威胁，分析安全性需求和折中方案。（3）把总体设计具体化，开发安全性方案，定义安全策略。（4）经费概算（5）开发实

18、现安全策略，选用适当的网络安全技术措施实现安全策略（6）编写规划技术文档（7）得到用户认可，培训用户，实现技术策略（8）测试安全性，发现问题并改正(9)通过制定周期的独立审计，阅读审计日志，响应突发事件，阅读最后的文献，不断测试和培训，更新安全计划和策略。2.1.3 网络系统安全规划设计的基本原则网络安全的实质是安全立法、安全管理和安全技术的综合实施。这三个层次体现了安全策略的限制、监视和保障职能。根据防范安全攻击的需求、需要达到的安全目标、对应安全机制所需的安全服务等因素，参照SSE-CMM（系统安全工程能力成熟度模型）和ISO17799（信息安全管理标准）等国际标准，综合考虑可实施性，可管

19、理性、和扩展性、综合完备性、系统均衡性等方面，子啊网络安全方案整体规划、设计过程中应遵循下列十大原则。1. 整体性原则三大机制：安全防护机制是根据具体系统存在的各种安全隐患采取相应的防护措施，避免非法攻击的进行。安全检测机制是检测系统的运行情况，及时发现和制止对系统进行的各种攻击。安全恢复机制是在安全防护机制失效的情况下，进行应急处理和尽量、及时地恢复信息，降低破坏程度。2. 均衡性原则安全系统设计要正确处理需求、风险与代价的关系，做到安全与可用性相融，使其更易执行。这就要求在设计安全策略是，要全面地评估企业的实际安全需求等级及企业的实际经济能力，寻找安全风险与实际需求之间的一个均衡点。3.

20、有效性和实用性原则不能影响系统正常的运行和合法用户的操作。在进行网络安全策略设计时，一定要结合实际安全等级需求与经济承受能力来综合考虑。4. 等级性原则安全层次和安全级别。好的信息安全系统必然是分为不同的等级的，包括对信息保密程度分级，对网络安全程度分级（安全域和安全子网），对系统是实现结构分级，针对不同的级别的对象，保护措施不同。5. 易操作性原则6. 技术与原理相结合原则7. 统筹规划，分布实施原则8.动态化原则9. 可评价性原则10. 多重保护原则纵深防御2.2 网络系统安全需求与安全目标分析网络资源的共享与网络的安全性是一对矛盾体。2.2.1 安全需求分析具体表现：1. 物理上的安全需

21、求电磁泄漏；设备冗余；系统冗余；线路通信安全。2. 访问控制需求（1）阻止外部攻击行为（2）防止内部员工合法用户非授权访问（3）防范假冒合法用户非法访问3. 加密传输需求4. 入侵检测系统需求5. 安全风险评估系统需求网络安全扫描系统检测网络中存在的安全漏洞，并修补。6. 防病毒系统需求7. 安全管理体制需求2.2.2 网络安全目标1. 可靠性2. 可控性3. 抗抵赖性4. 保密性5. 完整性6. 有效性基于以上目标分析，在局域网中网络系统安全应该实行以下目标：建立一套完整可行的网络安全与网络管理策略将内部网络、公开服务器网络和外网进行有效隔离，避免与外部网络的直接通信建立网站各主机和服务器的

22、安全保护措施，保证网络系统安全对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝加强合法用户的访问认证，同时将用户的访问权限控制在最低限度全面监视对公开服务器的访问，及时发现和拒绝不安全的操作和黑客攻击行为加强对各种访问的审计工作，详细记录对网络、公开服务器的访问行为，形成完整的系统日志备份与灾难恢复:强化系统备份，实现系统快速恢复。2.3 网络安全规划设计与实施步骤网络安全规划设计与实施应考虑以下5个问题：2.3.1 确定面临的各种攻击和风险并分析安全需求网络安全规划设计与实施必须根据具体的网络系统和环境，考察、分析、评估、检测和确定系统存在的安全漏洞和安全威胁。分析网络中可能存在的薄

23、弱环节，分析这些环节可能造成的危害，分析这些危害可能造成的后果和损失。2.3.2 明确网络系统安全策略网络安全最重要的一个任务就是制定一个安全策略。安全策略是指在一个特定的环境中，为保证提供一定级别的安全保护所必须遵守的规则。网络安全策略是保障机构网络安全的指导文件，安全策略的目的是决定一个组织机构怎样来保护自己。一般来说网络安全策略包括总体安全策略和具体安全管理实施规则。1. 制定组织机构的整体安全策略领导主持2. 制定和系统相关的安全策略网络安全策略主要确定以下几方面内容：安全策略的制定是为了保证信息的保密性、完整性和可用性，应具有普遍的指导意义。安全策略要确定用户的权利和责任，包括账户管

24、理、资源访问权限、口令应用以及建立备份等。安全策略还应提出一般性的安全防护措施:存取控制、认证、密码技术、防火墙技术、操作系统安全、数据库安全、计算机病毒防护、审计和监控等方面。在安全运维方面，还应注意应急处理策略和制度。制定安全策略的依据：对资源进行评估，包括硬件、软件、数据、文档、等分出安全等级。对可能的威胁进行分析，包括非授权访问、信息泄露和内部缺陷等。2.3.3 建立网络安全模型模型的建立可以使复杂的问题简单化，更好的解决和安全策略有关的问题。网络安全的建立主要参看P2DR模型。Policy 策略，Protection 防护， Detection 检测， Response 响应，这4个

25、部分构成了一个动态的信息安全周期。P2DR模型的基本思想是：一个系统的安全应在一个统一的安全策略的控制和指导下，综合运用各种安全技术（如防火墙技术、操作系统身份认证和加密等手段）对系统进行保护，同时，利用检测工具来监视和评估系统（漏洞评估和入侵检测系统）的安全状态，并通过适当的响应机制来讲系统调整到性对“更安全”和“风险更低”的状态。1. Policy 策略策略是网络安全模型的核心，所有的防护、检测、响应都是依据安全策略实施的。2. Protection 防护缺陷扫描、访问控制及防火墙、防病毒软件如个人防火墙、数据加密、鉴别技术等3. Detection 检测IDS4. Response 响应

26、总之，防护、检测、响应和恢复组成了一个完整的、动态的安全循环，在安全策略的指导保障信息系统的安全。安全=风险分析+执行策略+系统实施+漏洞监测+实施响应2.3.4 选择并实施安全策略网络安全策略的实施是具体安全技术机制和方法是实现。（1）物理层安全策略设备和通信链路，环境。电磁泄漏。（2）数据链路层安全策略保障通过链路传输的数据不被窃听，Vlan和加密（3）网络层安全策略保证网络只给授权的客户使用授权的服务，保证网络路由正确，避免拦截或监听。防火墙和VPN（4）系统安全策略操作系统 和业务系统（5）应用系统安全策略（6）网络安全管理策略2.3.5 安全产品选型测试要求：一是安全产品必须符合国家

27、有关安全管理部门的政策要求；二是安全产品的功能与性能要求。2.4 典型的企业网络安全规划设计案例2.4.1 某小型企业网络安全规划设计方案1.网络应用概述该企业的网络系统是典型的intranet系统，总部的主网络系统通过DDN专线与互联网相连，企业有网站服务器系统、邮件服务器系统和intranet服务器和内部服务器，分别用于发布公司的网站、构建公司的Email系统及实现本地和远程网络化办公，其中总部的主网络系统和分支机构的子网络系统的数据通信是通过互联网公网来完成的。此外，公司的研发中心等重要部门设置在总部。企业网络结构示意图如下:2.安全需求分析为确保公司的整个网络系统能够安全稳定运行，需要

28、对重要服务器、重要子网进行安全保护，对传输的数据进行加密，对用户的身份进行鉴别等，必须主要解决以下方面的安全问题：（1）服务器系统的安全：包括网站服务器、邮件服务器、内部服务器等（2）公司总部和分支机构内部网络安全：防备来自互联网的攻击，如 病毒、木马、黑客等（3）用户的身份确定：包括公司员工、网站访客和网络会员。（4）数据传输安全：包括总部和分支机构之间、内部网用户到服务器、移动用户和家庭用户到服务器（5）保护重要部门：研发中心等有产品源代码3. 安全策略制定（1）物理安全策略：如机房环境、门禁系统、设备锁、数据备份、CMOS安全设置等。（2）访问控制策略：为公司总部内部网与互联网之间、公司

29、总部与分支机构之间、互联网用户与公司网络之间等需要进行互联的网络制定访问控制规则。（3）安全配置及更新策略：对操作系统、应用系统、安全产品等进行升级更新，设置用户访问权限及信任关系等。（4）管理员和用户策略：制定机房出入管理制度，实行安全责任制等（5）安全管理策略：安全规划设置、安全审计、日志分析、漏洞检测及修等。（6）密码安全策略：密码复杂度、密码更改周期、密码有效期等（7）紧急事件策略：针对打击和入侵可能导致的结果制定应急处理流程和灾难恢复计划。4. 产品选择及部署使用安全产品是贯彻安全策略的有效手段，能够解决大多数的安全问题。但这并不代表使用了安全产品就一定安全了，往往需要把安全产品与安

30、全管理和服务有机地结合起来，才能达到较高的安全水平。（1）交换机：划分Vlan进行子网隔离，抵抗嗅探类程序，提高网络传输效率（2）防火墙：解决内外网隔离及服务器安全防范等问题，主要部署在网络的互联网接点和重要部门的子网与其他内部子网之间，其中个人防火墙系统安装在客户端。（3）VPN：解决网络间数据传输的安全保密，主要部署在需要安全保密的线路两端的接点处，如防火墙和客户端。（4）身份认证：解决用户身份鉴别问题，主要部署在专用认证服务器或需要认证的服务器系统中。（5）反病毒：防范病毒、木马、蠕虫等有害程序的感染和传播，主要部署在服务器系统和客户端系统上（6）入侵检测系统：安全监控和黑客入侵实时报警

31、拦截，主要部署在需要保护的服务器主机和需要保护的子网上。5. 安全教育培训在网络安全方案中，安全教育也是比较重要的一个环节，安全教育能使用户掌握基本的安全知识，有利于安全意识的提高，能够及时制止或避免有可能发生的安全事件的发生，能够是安全产品能够更好的发挥其作用，也方便了安全管理和服务的实施。一般来说，主要是对一般网络用户和网络管理员及信息主管等对象实施安全培训，内容至少要包含以下一些方面：（1）基本网络知识（2）OSI7层网络模型及TCP/IP协议（3）计算机病毒及防治技术（4）常见网络入侵手段的分析和防范（5）操作系统及其应用的安全设置（6）安全产品的安全和配置（7）企业网络系他的安全管理

32、和维护（8）数据备份与恢复2.4.2 大型企业网络安全规划设计1. 项目概况（1）项目背景某大型企业有6个子公司，各子公司的因为通过一个信息平台进行统一管理、协调处理（2）建设目标实现现代化网络办公，提供信息共享和交流的环境，提高协同工作的能力，保证公司业务有序进行，产生增值效应。（3）系统安全建设的意义满足业务应用需要，根本上解决企业安全问题，营造一个安全的企业网络环境，提供整体安全实施策略。2. 需求分析（1）网络系统基本需求包括：多业务的承载能力和可靠的网络性能先进的流量管理能力和合理分配网络资源灵活的组网能力和合服务质量保证能够提供各种网络接入方式网络扩展性好，能够方便的进行网络扩容和

33、优化支持多种网络安全策略，在保证网络系统具有高度保密性的同时，确保网络的互联互通性对平台的传输通道加密和对传输的数据进行加密实现灵活的访问控制功能和完备的安全审计功能统一的网络管理，使网络系统能更加有效的运行保证企业网络平台稳定有效地运行，能快速解决出现的故障，确保该系统的运行，节约运营资金。（2）安全保障体系要求包括：建立完备的备份、恢复机制合理划分安全域，控制用户的访问区域与权限提供多种数据传输模式，优先使用国产设备和软件建立计算机病毒防护体系，建立统一的身份认证机制加强对安全事件的检测与审计，建立完善的安全保证组织机构，建立完善的安全管理机制，建立完善的安全管理咨询、评估、规划、实施及培

34、训制度3. 设计方案（1）安全体系结构分析物理安全网络的物理安全主要是指地震、水灾、火灾等环境事故；电源故障，认为操作失误或错误，设备被盗、被毁；电磁干扰，线路截获，以及高可用性的硬件、双机多冗余设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在这个企业网络内，由于网络的物理跨度大，只制定健全的安全管理制度是不能完全避免的，还要做好备份，并加强网络设备和机房的管理。网络安全指在数据传输和网络连接方面存在安全隐患。涉及的方面包括：数据传输安全和网络边界安全。系统安全指企业网络所采用的操作系统、数据库及相关商用软件产品的安全漏洞和计算机病毒对应用系统造成的威胁。涉及的方面包括：系

35、统漏洞风险、病毒入侵和非法入侵风险。应用安全指角色及用户管理、身份认证、权限管理和数据传输等方面的威胁。涉及的方面包括：角色管理、用户管理、授权管理、用户认证和数据安全网络管理安全涉及的方面包括：组织管理、制度管理、人员管理和安全审计系统（2）安全方案设计整体方案企业网络的管理信息平台分为内部和外部。其中内部为数据中心，外部为信息平台的使用者和项目参与方。如图安全管理方案制定健全的安全管理体制将使网络安全得意实现的重要保证。企业网络根据自身的实际情况，制定如安全操作流程、安全事故奖罚制度，以及安全管理人员的考察等。构建安全管理平台将会减低很多因为无意的人为因素而造成的风险。构建安全管理平台从技

36、术上，组成安全管理子网，安装集中统一的安全管理软件，如病毒软件管理系统、网络设备管理系统及网络安全设备管理软件。通过安全管理平台实现全网的安全管理。企业内部应该经常对单位员工进行网络安全防范意识的培训，全面提高员工的整体安全防范意识。（3）网络安全技术方案网络安全技术方案总体设计结构示意图如下全面动态的安全策略全面的安全策略包含的要素：网络边界安全、数据传输安全、操作系统安全、应用服务器的安全和网络防病毒动态的安全策略包含的要素：内部网络入侵检测和操作系统入侵检测实现安全策略的技术和产品：防火墙、加密与认证技术、入侵检测技术、漏洞检测技术和网络防毒产品防火墙与VPN技术防火墙是使用最为广泛的安

37、全技术，是第一道安全防线，可以实现网络边界安全。防火墙提供VPN功能：在两个网关上的防火墙之间建立VPN通道。VNP采用4项技术：隧道技术、加/解密技术、密钥管理技术、身份认证技术选择和设置防火墙的考虑因素：包括安全性、配置便利性、管理的难易性、可靠性、可扩展性。认证和加密技术：包括数字证书提供认证、数字证书的技术原理。解决方案:政府CA入侵检测：IDS对各种攻击行为实时做出反应。IDS工作方式、基于主机的入侵检测、基于网络的入侵检测、IDS能实现动态的安全要素。漏洞检测：模拟黑客的攻击行为对内部网络或主机进行扫描，然后给出安全漏洞报告。网络防毒方案：包括多层病毒防护体系、客户端防病毒系统、服

38、务器端的防病毒系统、互联网的防病毒系统。（4）网络防护体系的实施分步实施。第三章 网络安全漏洞扫描系统3.1漏洞扫描系统概述3.1.1漏洞的概念漏洞是可以在攻击中利用的弱点，可以是软件、硬件、程序缺点、功能设计或配置不当等。3.1.2 漏洞扫描系统简介1.漏洞扫描系统定义漏洞扫描是一种自动检测计算机安全脆弱点的技术。扫描程序集成了已知的常用攻击方法，针对系统可能存在的各种脆弱点进行扫描，输出扫描结果，以便人工分析并发现系统存在的漏洞。2. 漏洞扫描系统的必要性分析防火墙的局限性：（1）防火墙不能防范不经过防火墙的攻击。（2）防火墙不能解决来自内部网络的攻击和安全问题。（3）防火墙不能防止最新的

39、未设置策略或错误配置引起的安全威胁。（4）防火墙布不能防止可接触的人为或自然的破坏。（5）防火墙无法解决TCP/IP等协议的漏洞。（6）防火墙对服务器合法开放端口的攻击大多无法阻止。（7）防火墙不能阻止受病毒感染的文件的传输。（8）防火墙不能防止数据驱动式攻击。（9）防火墙不能防止内部的泄密行为。（10）防火墙不能防止本身漏洞的威胁。3. 漏洞扫描系统组成漏洞扫描系统个组成部分功能说明如下：（1） 漏洞数据库模块：（2） 用户配置控制台模块（3） 扫描引擎模块（4） 当前活动的扫描知识库模块（5） 结果存储器和报告生成工具3.1.3 网络漏洞扫描器1. 漏洞扫描器的工作原理扫描工作原理是，首先

40、探测目标系统的活动主机，对活动主机进行端口扫描，确定系统开放的端口，同时根基协议指纹技术识别出主机的操作系统类型。然后扫描器对开放的端口进行网络服务类型测识别，确定其提供的网络服务。漏洞扫描器根据目标系统的操作系统平台和提供的网络服务，调用漏洞资料库中已知的各种漏洞进行逐一检查，通过对探测响应数据包的分析判断是否存在已知漏洞。扫描器应有的三项能力：发现一个主机和网络的能力；发现什么服务正在主机上运行的能力；发现服务漏洞的能力。2. 漏洞扫描技术漏洞扫描主要有4种技术：（1） 基于主机的漏洞扫描技术（2） 基于应用的漏洞扫描技术（3） 基于目标的漏洞扫描技术（4） 基于网络的漏洞扫描技术防火墙的

41、防御技术是被动防御，而漏洞扫描技术则是主动防御。3. 漏洞扫描器的选用按照漏洞扫描技术的标准，可以将漏洞扫描器分为两种类型：主机漏洞扫描器和网络漏洞扫描器。主机漏洞扫描器：COPS、tripewire、tiger等网络漏洞扫描器：NSS、ISS等。3.2 漏洞扫描系统实施策略一个完善的漏洞系统实施方案应包括6部分：1.安全应用策略2. 漏洞预警3. 漏洞检测4. 漏洞统计分析5. 漏洞修补6. 漏洞审计跟踪3.3.2 漏洞扫描系统常用工具1. 网络安全扫描器NSS2. 超级优化TCP端口检测程序Strobe3. 安全管理员的网络分析工具SATAN为Unix设计的。4. X-scanWindow

42、s 免安装3.3 Windows系统漏洞的检测与修补3.3.1 Windows系统常见漏洞 1. Windows 2000 （1）登录输入法漏洞MS00-069（2）系统崩溃特性（3）系统管理权限漏洞（4）IIS5.0/5.1 验证漏洞2. Windows 2003（1）自动保存隐患调用应用程序错误的调试信息会自动保存。修改方法：1. Regedit 中 HKLMSoftwareMicrosoftWindos NTCurrentVersionAeDebug 分支中Auto的键值改为0；2. 删掉Document and SettingAll UsersShared DocumetsDrWats

43、onDrwatson 中的User.dmp和Drwtsn32.log文件；3.重启系统（2）资源共享隐患修改方法:1.网络中 “本地连接” 属性 中取消 “Microsoft 网络的文件和打印机共享”（3）远程访问隐患远程通信登录密码是明文传输。加固方法：“我的电脑” 属性 中 远程 ，取消“允许远程用户连接到这台计算机”（4）用户切换隐患加固方法：在用户账户中 取消 “使用快速用户切换”（5）页面交换隐患加固方法：1.regedit 中HKLMsystemcurrentControlSetControlSession ManagerMemory Managerment 的ClearPapeF

44、ileAtShutdown 的键值改为 1。2.reboot。3. Windows XP3.3.2 Windows系统漏洞的检测1.微软基准安全分析器MBSA免费的漏洞检测评估软件。2.使用病毒防火墙自带的系统漏洞扫描工具3.利用网络系统安全工具自带的系统漏洞扫描工具4.在线漏洞扫描工具软件3.4 操作系统更新3.4.1 系统补丁部署原则所安装的补丁不能与所使用的应用软件冲突根据实际需要安全补丁在部署补丁前，应做好以下工作在运行补丁前要阅读说明文档，充分了解补丁的功能、用法、对应用的漏洞情况，对安装补丁后发生的后果要做到心中有数在安全补丁前，最好将相应文件进行备份注意补丁程序对应的操作系统和应

45、用软件的版本。注意补丁来源要安全选择十适当的安装模式。在线；下载安装3.4.2 操作系统补丁更新实战1. 手动安装windows补丁程序2.windows 系统补丁自动更新Update 服务3. WSUS系统自动更新服务Windows server update services 是微软公司提供的一款免费软件，提供部分windows操作系统关键更新的分发。3.5 网络漏洞扫描系统在企业网络安全实施中的应用实战根据现代企业网络现状及发展趋势，对主要安全措施从以下几个方面进行考虑：网络传输保护，主要是数据加密保护网络安全隔离，主要措施是采用防火墙技术网络病毒防护，主要是采用网络防病毒系统广域网接入

46、部分的入侵检测，采用入侵检测系统网络安全漏洞分析，采用漏洞扫描分析设备定期安全审计，主要包括两部分：内容审计和网络通信审计重要数据的备份，重要信息点的防电磁泄漏网络安全结构的可伸缩性，包括安全设备的可伸缩性，即根据用户的需要随时进行规模、功能扩展。网络防雷措施 第四章 网络访问控制技术网络访问控制技术是网络安全防范和保护的主要核心策略，他的主要任务是保证网络资源不被非法使用和访问。访问控制规定了主体对客体访问的限制，并在身份标识的基础上，根据身份对提出资源访问的请求加以控制。4.1 网络访问控制概述4.1.1 访问控制的概念访问控制是策略和机制的集合，它允许对限定资源的授权访问。访问控制3要素,即主体、客体和控制策略。4.1.2 访问控制的策略1. 入网访问控制策略2. 操作权限控制策略3. 目录安全控制策略4. 属性安全控制策略5. 网络服务器安全控制策略6. 网络监测和锁定控制策略7. 网络端口和节点的安全控制策略8. 防火墙控制策略4.1.3 访问控制策略管理1.分