网络对抗2安全问题概述.ppt

《网络对抗2安全问题概述.ppt》由会员分享，可在线阅读，更多相关《网络对抗2安全问题概述.ppt（36页珍藏版）》请在三一办公上搜索。

1、网络攻击与防御-绪论,2-1,第2章 安全问题概述,网络攻击与防御-绪论,2-2,防止线路上传输的信息的泄密防止连网计算机中存储的信息的泄密防止对网络运行的破坏修改参数；路由器、服务器“忙死”,国外统计：70%的安全问题出自内部好奇、恶意,安全问题,网络攻击与防御-绪论,2-3,安全威胁,消极的侵入威胁：不具破坏性（被动威胁）积极的侵入威胁：具破坏性（主动威胁）,2.1 常见的安全威胁与攻击,网络攻击与防御-绪论,2-4,1、以析出传输内容为目的的窃听。2、以获知通信参与双方（或多方）用户名为目的的窃听，推断所传信息的性质和内容。3、以获得访问口令从而进一步越权使用和推断传输数据内容为目的的窃

2、听。4、分析网络业务流（有/没有，频率，方向，序列，类型，数量等分布）的情报侦察活动，分析关键的或重要的信息源位置。,消极的侵入威胁：,网络攻击与防御-绪论,2-5,1、意在搅乱通信过程的对传输信息进行重复和增加时延的活动。2、以破坏传输内容为目的的篡改数据活动。3、以破坏通信能力为目的的蜂涌活动，如故意加入大量负荷，企图使网络拥塞等。如DOS攻击（拒绝服务攻击）4、盗用他人名义和口令越权访问(修改)重要数据的活动。5、破坏通信连接，使传输中断的活动。6、伪装他人提供欺骗数据的活动。,积极的侵入威胁：,网络攻击与防御-绪论,2-6,7、破坏网络资源的活动。如破坏路由选择过程，包括篡改路由表和恶

3、意删除文件等。8、否认参与过通信；9、使拒绝服务：妨碍或中断通信；10、内部攻击：系统的合法用户以非故意或非授权方式进行的动作（如计算机病毒）；,积极的侵入威胁（续）：,网络攻击与防御-绪论,2-7,截获,篡改,伪造,中断,消极攻击,积极攻击,目的站,源站,源站,源站,源站,目的站,目的站,目的站,被动攻击,主动攻击,网络攻击与防御-绪论,2-8,OSI 规定网络安全是通过 14 种服务和 8 种机制实现的。这 14 种服务是：1、对等实体鉴别服务用于使用户确认与之建立起会话的对等实体确确实实就是想要与之通信的用户。2、数据源鉴别服务保证所得到的数据是从真正的数据源来的，而不是来自假冒数据源。

4、3、访问控制服务保证未经授权的用户不能访问特定的资源。,补 安全服务,网络攻击与防御-绪论,2-9,4、连接保密服务使第N层用户确信它的数据在第N层连接上传送是安全的。5、无连接保密服务保证在服务数据单元(SDU)中的所有用户数据是可信的，也即安全的。6、选择字段保密服务保证一大组数据中的某个或某些特定数据元素是安全的。7、业务流保密服务可以使敌对方不可能从分析用户的业务流来获取情报。,补 安全服务（续）,网络攻击与防御-绪论,2-10,8、可恢复连接完整性服务对连接中的所有用户数据实行保护，不会被修改、删除和插入，在发生故障时还可采取恢复措施。9、无恢复连接完整性服务，在发生故障时不采取恢复

5、措施。10、选择字段连接完整性服务保证服务数据单元中选定的数据字段的内容不被篡改、删除、插入或者重复。11、无连接完整性服务提供对无连接协议数据单元的完整性保护。,补 安全服务（续）,网络攻击与防御-绪论,2-11,12、选择字段无连接完整性服务保证无连接协议数据单元中选定的数据字段不被改变。13、带源验证的来源不可否认服务能识别每一个发送源，并使发送了数据的用户无法否认。14、带交付验证的交付不可否认服务给发送用户保证数据正确地交付给目的用户，并且使得接收了数据的用户无法否认。,补 安全服务（续）,网络攻击与防御-绪论,2-12,提供上述安全服务的八种安全机制：（1）加密机制用于对数据本身进

6、行加密，使其成为密文。（2）伪装业务流是一种扰乱机制，有意在网络中传输一些无意义的数据，或者在有用数据中加上一些没用的比特、字节或其它数据块等假信息。（3）数字签名是在普通数据中加上一些密文（类似指纹信息）。接收方的数字签名，发送方的数字签名。,补 安全机制,网络攻击与防御-绪论,2-13,（4）数据完整性是指数据没有被非法破坏或篡改过。类似于数据链路层的差错控制，一般是通过校验的办法来实现。（5）身份鉴别机制通信对方鉴别检验对方的身份，鉴别其真伪和访问权限。单方鉴别，只有一方检验另一方的身份。互相鉴别，每一方都要检验对方的身份。通信过程中反复进行，按规律或随机抽检。,补 安全机制（续）,网络

7、攻击与防御-绪论,2-14,数据发方鉴别防卫欺骗数据，收方鉴别发方身份。（6）访问控制机制用来防止未经授权的用户访问特定的资源，或者防止未经授权用户对特定网络资源的使用。（7）路由控制机制保证数据只在认为安全可靠的部件上传输。（8）第三方公证机制用于由第三方来保证信息内容的安全性和正确性。,补 安全机制（续）,网络攻击与防御-绪论,2-15,非法侵入检测。安全审计的目的在于跟踪和分析违反安全的行为。ISO/IEC 10164-9、ISO/IEC 10164-7。安全日志用于审计追查：,补 安全告警和审计,网络攻击与防御-绪论,2-16,安全事件的种类；事件中通信连接的双方用户标识符；事件发生的

8、时间；与通信过程有关的物理资源；通信中的密钥或口令等(如能获得)；检测到此事件的安全服务功能。,安全日志：,补 安全告警和审计（续）,网络攻击与防御-绪论,2-17,所有安全问题的根源：安全漏洞（大）薄弱环节（小）,2.2 安全问题根源,网络攻击与防御-绪论,2-18,网络漏洞可能由以下因素引起：网络物理连接网络电磁耦合网络设备的操作系统网络设备的协议栈网络设备的应用程序网络中的数据库网络用户行为,安全漏洞,网络攻击与防御-绪论,2-19,网络物理连接与外界连通就有合法者进来，要避免非法者进来网络电磁耦合没有物理连通，但通过电磁辐射可以接收，通过电磁干扰和耦合可以注入网络设备的操作系统有合法者

9、使用，要避免非法者偷用网络协议的安全缺陷避免被恶意误用,网络攻击与防御-绪论,2-20,网络设备的应用程序有合法者使用，要避免非法者偷用网络中的数据库有合法读写，要避免组合分析和非法读写网络用户行为好奇的和恶意的,网络攻击与防御-绪论,2-21,要“上锁”，提前消除漏洞要“检查”，及时发现漏洞要“监视”，及时发现入侵者,漏洞是不可避免存在的,积极防御包括：网络安全防护网络安全评估网络安全监测用假目标欺骗,内联：全内部域,专线DDN帧中继,内部域,内部专用,内部域,相对比较安全,内联：通过外部域,内部域,相对不安全,专线DDN帧中继,外部租用,外联：内部网与外部网互连,内部域,外部域,外部域,相

10、对更不安全,HackCrack,黑客,网络攻击与防御-绪论,2-25,网络信息安全的要素：保证信息的保密性（Confidentiality）完整性（Integrity）可用性（Availability）,2.3 网络信息安全的内涵,网络攻击与防御-绪论,2-26,网络信息安全的要素（新）：保证信息的保密性（Confidentiality）私有完整性（Integrity）未变可用性（Availability）随时真实性（Authenticity）可信实用性（Utility）不失占有性（Possession）版权,网络攻击与防御-绪论,2-27,面对错误和威胁，继续提供服务的能力：在遭遇攻击或错误

11、的情况下，能够继续提供核心服务，并及时恢复全部服务,可存活性 survivability,可存活系统的主要功能要求：抵抗攻击识别攻击识别伤害程度恢复受损服务自动演化（抵御新攻击）,网络攻击与防御-绪论,2-28,一、物理隔离，网闸物理隔离与逻辑隔离有很大的不同。物理隔离的哲学是不安全就不连网，要绝对保证安全。逻辑隔离的哲学:在保证网络正常使用的情况下，尽可能安全。两者是完全不同的目标。物理隔离的思路，源于两台完全不相连的计算机，使用者通过软盘从一台计算机向另一台计算机拷贝数据，有时候大家形象地称为“数据摆渡”。由于两台计算机没有直接连接，就不会有基于网络的攻击威胁。,补：信息安全的趋势,网络攻

12、击与防御-绪论,2-29,二、逻辑隔离，防火墙在技术上，实现逻辑隔离的方式有很多，但主要是防火墙。防火墙在体系结构上有不同的类型:有双网口、有多网口。不同类型的防火墙在协议层次和工作机理上有明显的不同。防火墙的主要评价指标：性能、安全性和功能。实际上，这三者是相互矛盾、相互制约的。功能多、安全性好的技术，往往性能受影响;功能多也影响到系统的安全性。,补：信息安全的趋势,网络攻击与防御-绪论,2-30,三、防御来自网络的攻击，抗攻击网关网络攻击特别是拒绝服务攻击（DoS），利用TCP/IP协议的缺陷，有的DoS攻击是消耗带宽，有的是消耗网络设备的CPU和内存。抗攻击网关能识别正常服务的包，区分攻

13、击包。目前DDoS的攻击能力可达到10万以上的并发攻击，因此抗攻击网关的防御能力必须达到10万以上。,补：信息安全的趋势,网络攻击与防御-绪论,2-31,四、防止来自网络上的病毒，防病毒网关传统的病毒检测和杀病毒是在客户端完成。但是这种方式存在致命的缺点，如果某台计算机发现病毒，说明病毒已经在单位内部几乎所有的计算机感染了。如果病毒是新的，旧的杀病毒软件一般不能检测和清除。应在单位内部的计算机网络和互联网的连接处放置防病毒网关。如果出现新病毒，只需要更新防病毒网关，而不用更新每一个终端软件。,补：信息安全的趋势,网络攻击与防御-绪论,2-32,五、身份认证，网络的鉴别、授权和管理（AAA）系统

14、80%的攻击发生在内部。内部网的管理和访问控制，相对外部的隔离来讲要复杂得多。外部网的隔离，基本上是禁止和放行，是一种粗颗粒的访问控制。内部的网络管理，要针对用户来设置，你是谁？怎么确认你是谁？你属于什么组？该组的访问权限是什么？这是一种细颗粒的访问控制。根据IDC的报告，单位内部的AAA系统是目前安全市场增长最快的部分。,补：信息安全的趋势,网络攻击与防御-绪论,2-33,六、加密通信和虚拟专用网，VPN单位的员工外出、移动办公、单位和合作伙伴之间、分支机构之间通过公用的互联网通信是必需的。因此加密通信和虚拟专用网（VPN）有很大的市场需求。IPSec已经成为市场的主流和标准，不是IPSec

15、的VPN在国际上已经基本退出了市场。VPN的另外一个方向是向轻量级方向发展。,补：信息安全的趋势,网络攻击与防御-绪论,2-34,七、入侵检测和主动防卫，IDS互联网暴露出不可避免的缺点:易被攻击，技术人员的好奇和技术恐怖主义使金融机构、企业、学校等单位很难避免。针对黑客的攻击，从技术路线上来讲，早期的思路是加强内部的网络安全、系统安全和应用安全，安全扫描工具就是这样一类产品。但是，扫描是一种被动检测的方式，入侵检测和主动防卫（IDS）则不同，是一种实时交互的监测和主动防卫手段。,补：信息安全的趋势,网络攻击与防御-绪论,2-35,八、网管、审计和取证，集中网管网络安全越完善，体系架构就越复杂。管理网络的多台安全设备就越复杂，集中安全网管是目前安全市场的一大趋势。没有一种技术可以绝对保证网络安全，如果执行人员出现失误，网络安全也就无法保障。技术越先进，审计功能就越重要。对审计的数据进行系统的挖掘，还有其他作用，比如，可了解内部人员使用网络的情况，或对外部用户感兴趣的公司产品和内容进行总结，了解用户的兴趣和需求等。,补：信息安全的趋势,网络攻击与防御-绪论,2-36,思考题,安全威胁分为哪2类，每一类的特点是什么？信息安全的要素是什么？TCP/IP协议的不安全因素有哪些（本章书上没有讲的）？,