《第8章 网络管理与网络安全 课件.ppt》由会员分享，可在线阅读，更多相关《第8章 网络管理与网络安全 课件.ppt（57页珍藏版）》请在三一办公上搜索。
1、计算机网络技术,第八章 网络安全,第 2 页,本章主要内容,网络系统管理的概念和基本功能；网络安全的基本概念，影响网络安全的因素和网络安全对策，数据加密的基本概念、常用的加密算法和鉴别技术的应用，网络防火墙的概念、技术分类和应用。,第 3 页,本章要求,了解简单网络管理协议的组成及应用了解影响网络安全的因素和网络安全对策了解数据加密的基本概念、常用的加密方 法和鉴别技术的应用了解网络防火墙的概念、技术和应用掌握网络管理的基本功能、网络安全的基本概念和内涵,第 4 页,8.1 网络管理概述,网络管理的概念网络管理主要是要保障网络系统能够持续、稳定、高效和可靠的运行，对组成网络的各种网络的软硬件设
2、施和人员进行综合的管理。网络管理的内容：(1)数据通信网中的流量控制(2)路由选择策略管理（适应不断变化的网络）(3)网络安全保护(4)网络的故障诊断与修复,第 5 页,网络管理系统组成,一个网管系统从逻辑上包括管理进程、管理代理、管理信息库和管理协议四部分。管理对象：是指网络中设备对应的具体可以操作的数据等。管理进程：用于对网络设备和设施进行全面管理和控制的软件。管理信息库：用于记录网络中被管理对象的相关信息。管理协议：负责在管理系统和管理对象之间传输操作命令和解释管理操作命令。,第 6 页,网络管理功能,网络管理的能功分为配置管理、性能管理、故障管理、安全管理和计费管理五个功能集合。配置管
3、理就是用来定义、记录、控制和检测网络中的被管理对象的集合。网络故障管理是指对网络系统故障的预防、检测(诊断)、恢复或排除等操作进行管理。,第 7 页,网络管理功能,性能管理主要是通过收集、分析和测试网络性能参数，评价网络运行过程中的主要性能指标，为管理机构提供决策依据。网络安全管理是用来保护网络资源和网络用户的安全。网络计费管理就是控制和管理用户使用的网络资源，核算用户费用等。,第 8 页,8.2 网络安全,网络安全概述网络安全是指采取各种技术和管理措施防止网络中各种资源不被有意或无意地破坏和侵害等。网络系统安全主要涉及系统的可靠性、软件和数据的完整性、可用性和保密性几方面的问题。,第 9 页
4、,网络系统安全,系统的可靠性：保证网络系统不因各种因素的影响而中断正常工作；数据的完整性：保护网络系统中存储和传输的软件(程序)与数据不被非法操作，如删除、添加、更改等；数据的可用性：保证数据完整的同时还能被正常利用和操作；数据的保密性：数据的保密性主要是利用密码技术对数据进行加密处理，保证在系统中存储和网络上传输的数据不被无关人员识别。,第 10 页,网络面临的不安全因素,网络系统的脆弱性操作系统的脆弱电磁泄漏数据的可访问性通信协议和通信系统的脆弱数据库系统的脆弱网络存储介质的脆弱,第 11 页,网络面临的不安全因素,网络系统的威胁无意威胁是在无预谋的情况下破坏了系统的安全性、可靠性或资源的
5、完整性等故意威胁实际上就是“人为攻击”。如从事工业、商业或军事情报的搜集工作的间谍，对相应领域的网络信息是最感兴趣的，他们对网络系统的安全构成了主要威胁。,第 12 页,被动攻击和主动攻击,对网络系统的攻击，可从随便浏览信息到使用特殊技术对系统进行攻击以得到有针对性的信息。这些攻击又可分为被动攻击和主动攻击。被动攻击（窃听）是指攻击者只通过观察网络线路上的信息，而不干扰信息的正常流动，如被动地搭线窃听或非授权地阅读信息；主动攻击（篡改）是指攻击者对传输中的信息或存储的信息进行各种非法处理，如有选择地更改、插入、延迟、删除或复制信息。关键是看对信息有无篡改,第 13 页,被动攻击和主动攻击（图示
6、）,第 14 页,对系统的故意威胁,中断（主动攻击）：指系统资源遭到破坏或变得无法使用，是对系统可靠性的攻击；窃取（被动攻击）：指未被授权的实体得到了资源的访问权，是对数据保密性的攻击；修改（主动攻击）:指未被授权的实体不仅得到了资源的访问权，而且还篡改了资源，是对数据完整性的攻击；捏造（主动攻击）:指未被授权的实体向系统中插入伪造的对象，是对数据真实性的攻击。以上四种情况除窃取属被动攻击外，其余都是主动攻击类型。,第 15 页,计算机病毒,计算机病毒是一种能破坏计算机系统资源的特殊计算机程序。它可在系统中生存、繁殖和传播。计算机病毒具有隐蔽性、传播性、潜伏性、触发性和破坏性。它一旦发作，轻者
7、会影响系统的工作效率，占用系统资源，重者会毁坏系统的重要信息，甚至使整个网络系统陷于瘫痪。,第 16 页,一些经典的计算机病毒,黑色星期五（4.25）小球病毒（我国.1988年）CIH（1998年,第一个破坏硬件的病毒）尼姆达病毒（2001年）求职信病毒（2001年10月）冲击波病毒（2003）振荡波病毒（2004）熊猫烧香（2006）,第 17 页,网络安全策略和措施,安全策略模型一个常用的网络安全策略模型是PDRR模型，。PDRR是四个英文单词的字头：Protection(防护)Detection(检测)Response(响应)Recovery(恢复)。,第 18 页,防护,安全策略的第一
8、关就是防护。防护就是根据系统已知的可能安全问题采取一些预防措施，如打补丁、访问控制、数据加密等，不让攻击者顺利入侵。防护是PDRR模型中最重要的部分。防护可以预防大多数的入侵事件。防护可分为三类：系统安全防护、网络安全防护和信息安全防护。,第 19 页,检测,安全策略的第二关是检测。攻击者如果穿过防护系统，检测系统就会检测出来。防护系统可以阻止大多数的入侵事件，但不能阻止所有的入侵事件。特别是那些利用新的系统缺陷、新攻击手段的入侵。如果入侵事件发生，就启动检测系统进行检测。该系统叫IDS(入侵检测系统)。,第 20 页,响应一旦检测出入侵，响应系统则开始响应，进行事件处理。响应工作由特殊部门(
9、计算机紧急响应小组)负责。恢复系统恢复是指事件发生后，把系统恢复到原来状态或比原来更安全的状态。恢复也分为系统恢复和信息恢复两方面内容。系统恢复是指修补缺陷和消除后门。信息恢复是指恢复丢失的数据。,第 21 页,网络安全策略,安全立法安全管理网络实体安全系统访问控制数据加密保护,第 22 页,网络安全机制和安全服务,文件中规定网络安全机制有八项：加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、信息量填充机制、路由控制机制公证机制。,第 23 页,网络安全机制和安全服务,文件中规定的网络安全服务有六项：对等实体鉴别服务、访问控制服务、数据保密性服务、数据完整性服务、数据源鉴别
10、服务非否认服务。,第 24 页,8.2.2数据加密技术,密码学的基本概念 密码学从其发展来看，可分为两大阶段：传统密码学和计算机密码学。第一阶段：传统密码学。主要是靠人工进行信息加密、传输和破译第二阶段：计算机密码学。1.传统方式计算机密码学2.现代方式计算机密码学对称密钥密码体制公开密钥密码体制,第 25 页,密码学的分类,密码学包括密码编码学和密码分析学两部分，这两部分相互对立，但也相互促进，相辅相成。密码编码学研究的是通过编码技术来改变被保护信息的形式，使得编码后的信息除指定接收者之外的其他人都不可理解密码分析学研究的是如何攻破一个密码系统，恢复被隐藏起来的信息的本来面目,第 26 页,
11、概念,加密：把信息从一个可理解的明文形式变换成一个错乱的、不可理解的密文形式的过程解密：将密文还原为明文的过程明文(Plain Text)：原来的信息(报文)、消息，就是网络中所说的报文(Message)密文(Cipher Text)：经过加密后得到的信息密钥(Key)：加密时所使用的参数,第 27 页,简单的密码系统示意图,第 28 页,加密实际上是要完成某种函数运算C=(P,K)，对于一个确定的加密密钥Ke，加密过程可看作是只有一个自变量的函数，记作Ek，加密变换为：C=Ek(P)(加密变换作用于明文P后得到密文C)同样，解密也完成某种函数的运算P=g(C,K)对于确定的解密密钥Kd，解密
12、过程为：P=Dk(C)(解密变换作用于密文C后得到明文P),第 29 页,传统密钥密码体制和公开密钥密码体制,如果加密密钥和解密密钥相同或相近，由其中一个很容易地得出另一个，这样的系统称为对称密钥系统，加密和解密密钥都是保密的；如果加密密钥与解密密钥不同，且由其中一个不容易得到另一个，则这种密码系统是非对称密钥系统，往往其中一个密钥是公开的，另一个是保密的。,第 30 页,通信加密方式,链路加密链路加密(Link Encryption)是传输数据仅在相邻节点的数据链路层上进行加密。端-端加密端-端加密(End-to-End Encryption)是传输数据在应用层上完成加密的。与链路加密相比，
13、端端加密具有成本低、保密性强、灵活性好等优点，应用场合较多。,第 31 页,鉴别技术,鉴别(Authentication 也叫验证)是防止主动攻击的重要技术。鉴别的目的就是验证一个用户身份的合法性和用户间传输信息的完整性与真实性。鉴别包括报文鉴别和身份验证。报文鉴别是为了确保数据的完整性和真实性，对报文的来源、时间性及目的地进行验证。身份验证是验证进入网络系统者是否是合法用户，以防非法用户访问系统。,第 32 页,数字签名,数字签名(Digital Signature)可解决手写签名中的签字人否认签字或其他人伪造签字等问题。因此，被广泛用于银行的信用卡系统、电子商务系统、电子邮件以及其他需要验
14、证、核对信息真伪的系统中。数字签名的功能：收方能够确认发方的签名，但不能伪造；发方发出签过名的信息后，不能再否认；收方对收到的签名信息也不能否认；一旦收发方出现争执，仲裁者可有充足的证据进行评判。,第 33 页,一个典型的由公开密钥密码体制实现的、带有加密功能的数字签名过程如下图,第 34 页,8.2.3 防火墙,防火墙(Firewall)是在两个网络之间执行访问控制策略的一个或一组安全系统。它是一种计算机硬件和软件系统的集合，是实现网络安全策略的有效工具之一，被广泛地应用到Internet与Intranet之间。,第 35 页,防火墙的位置,第 36 页,防火墙具有的功能,强化网络安全策略，
15、集中化的网络安全管理；记录和统计网络访问活动；限制暴露用户点，控制对特殊站点的访问；网络安全策略检查。,第 37 页,防火墙技术及分类,防火墙技术大体上分为两类：网络层防火墙技术（包过滤防火墙）和应用层防火墙技术（代理服务器滤防火墙）。包过滤是在网络的出口(如路由器上)对通过的数据包进行检测，只有满足条件的数据包才允许通过，否则被抛弃。这样可以有效地防止恶意用户利用不安全的服务对内部网进行攻击。代理服务位于内部用户和外部服务之间。代理程序在幕后处理所有用户和Internet服务之间的通信以代替相互间的直接交谈。,第 38 页,防火墙应用系统,一般，构成防火墙的体系结构有三种：双穴主机结构、主机
16、过滤结构和子网过滤结构。按照这三种体系结构构建的防火墙应用系统是双穴主机防火墙、主机过滤防火墙和子网过滤防火墙。,第 39 页,双穴主机防火墙,双穴(接口)主机分别与受保护的内部子网及Internet网络连接，起着监视和隔离应用层信息流的作用，彻底隔离了所有的内部主机与外部主机的可能连接。双穴主机可与内部网系统通信，也可与外部网系统通信。借助于双穴主机，防火墙内外两网的计算机便可(间接)通信了。即内外网的主机不能直接交换信息，信息交换要由该双穴主机“代理”并“服务”，因此该主机也相当于代理服务器。,第 40 页,双穴主机结构防火墙（图示）,第 41 页,主机过滤防火墙,主机过滤结构中提供安全保
17、障的主机在内部网中，加上一台单独的过滤路由器，一起构成该结构的防火墙。堡垒主机是Internet主机连接内部网系统的桥梁。任何外部系统试图访问内部网系统或服务，都必须连接到该主机上。因此该主机需要高级别安全。,第 42 页,主机过滤防火墙（图示）,第 43 页,子网过滤防火墙,子网过滤结构是在主机过滤体系结构中又增加了一个额外的安全层次而构成。增加的安全层次包括一台堡垒主机和一台路由器。两路由起之间是一个被称为周边网络或参数网络的安全子网，更进一步地把内部网络与Internet隔离开。堡垒主机通过内部、外部两个路由器与内部、外部网络隔开，这样可减少堡垒主机被侵袭的影响。被保护的内部子网主机置于
18、内部包过滤路由器内，堡垒主机被置于内部和外部包过滤路由器之间。,第 44 页,在内、外部两个路由器上都设置了包过滤规则，两者的包过滤规则基本上相同。内部路由器完成防火墙的大部分包过滤工作，它的主要功能就是保护内部网免受来自外部网与周边网络的侵扰。外部路由器既可保护参数网络又保护内部网。实际上，在外部路由器上仅做一小部分包过滤。,8.2.5 黑客攻击及防范,黑客：黑客最早源自英文hacker，早期在美国的电脑界是带有褒义的。但在媒体报导中，黑客一词往往指那些“软件骇客”(software cracker)。黑客一词，原指热心于计算机技术，水平高超的电脑专家，尤其是程序设计人员。但今天黑客一词已被
19、用于泛指那些专门利用电脑网络搞破坏或恶作剧的家伙。对这些人的正确英文叫法是Cracker，有人翻译成“骇客”。,第 45 页,黑客攻击的动机,贪心 偷窃或者敲诈恶作剧 无聊的计算机程序员名声 显露出计算机经验与才智，以便证明他们的能力和获得名气报复/宿怨 解雇、受批评或者被降级的雇员，或者其他任何认为其被不公平地对待的人无知/好奇 失误和破坏了信息还不知道破坏了什么黑客道德-这是许多构成黑客人物的动机仇恨-国家和民族原因间谍 政治和军事目的谍报工作商业 商业竞争，商业间谍,第 46 页,黑客入侵攻击的一般过程,1.确定攻击的目标。2.收集被攻击对象的有关信息。3.利用适当的工具进行扫描。4.建
20、立模拟环境，进行模拟攻击。5.实施攻击。6.清除痕迹。,第 47 页,DDoS,DoS（拒绝服务式攻击）的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使服务器无法处理合法用户的指令。单一的DoS攻击一般是采用一对一方式的，当被攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高,它的效果是明显的。DDoS（分布式的拒绝服务）攻击手段就应运而生了。理解了DoS攻击的话，它的原理就很简单。如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者使用10台攻击机同时攻击呢？用100台呢？DDoS就是利用更多的傀儡机来发起进
21、攻，以比从前更大的规模来进攻受害者。,第 48 页,木马（Trojan horse）,木马是一种基于远程控制的黑客工具隐蔽性潜伏性危害性 非授权性,第 49 页,木马与病毒、远程控制的区别,病毒程序是以自发性的败坏为目的木马程序是依照黑客的命令来运作，主要目的是偷取文件、机密数据、个人隐私等行为。木马和一般的远程控制软件的区别在于其隐蔽、非授权性。,第 50 页,木马的工作原理,实际就是一个C/S模式的程序（里应外合）,操作系统,被植入木马的PC（server程序）,TCP/IP协议,端口,控制木马的PC（client程序）,操作系统,TCP/IP协议,端口,控制端,端口处于监听状态,木马的分
22、类,1.远程访问型2.键盘记录型3.密码发送型4.破坏型5.代理型6.FTP型,第 52 页,木马实施攻击的步骤,1.配置木马木马伪装：信息反馈：2.传播木马3.启动木马4.建立连接5.远程控制,第 53 页,木马的启动方式,win.inisystem.ini启动组注册表捆绑方式启动 伪装在普通文件中设置在超级连接中,第 54 页,木马防御,发现木马：检查系统文件、注册表、端口不要轻易使用来历不明的软件 不熟悉的E-MAIL不打开常用杀毒软件并及时升级合理使用防火墙在安装新的软件之前，请先备份注册表，在安装完软件以后，立即用杀毒软件查杀Windows文件夹和所安装的软件的所在文件夹。如果杀毒软
23、件报告有病毒，这时请将它杀掉，杀毒完成后，重新启动计算机。,第 55 页,木马传播方式,主动与被动：主动种入通过Email文件下载浏览网页,第 56 页,流氓软件,“流氓软件”其实起源于国外的“Badware”一词，在著名的StopBadware.org网站上，对“Badware”的定义为：是一种跟踪你上网行为并将你的个人信息反馈给“躲在阴暗处的”市场利益集团的软件，并且，他们可以通过该软件能够向你弹出广告。将“Badware”分为“间谍软件（spyware）、恶意软件（malware）和欺骗性广告软件（deceptive adware）。“流氓软件”是介于病毒和正规软件之间的软件，通俗地讲是指在使用电脑上网时，不断跳出的窗口让自己的鼠标无所适从；有时电脑浏览器被莫名修改增加了许多工作条，当用户打开网页却变成不相干的奇怪画面，甚至是黄色广告。有些流氓软件只是为了达到某种目的,比如广告宣传,这些流氓软件不会影响用户计算机的正常使用,只不过在启动浏览器的时候会多弹出来一个网页，从而达到宣传的目的。,第 57 页,
