网络与信息安全技术..ppt

《网络与信息安全技术..ppt》由会员分享，可在线阅读，更多相关《网络与信息安全技术..ppt（33页珍藏版）》请在课桌文档上搜索。

1、网络与信息安全技术,第1章概论,1.1网络信息安全 1.1.1网络信息安全 1网络信息安全的定义 网络信息安全是一个涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的边缘学科。从广义上讲，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络信息安全所要研究的领域。通用的定义为：网络信息安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统能够连续、可靠、正常地运行，网络服务不中断。,2网络信息安全的含义（1）信息系统安全，即信息处理和传输系统的安全。（2）系统信息安全

2、。（3）信息传播安全。（4）信息内容安全。如果从普通用户、网络管理员、安全保密部门、教育以及社会意识形态等不同的角度来理解，网络信息安全的含义也会有差别。本书所涉及的网络信息安全的含义是通过各种计算机、网络、加密技术和信息安全技术，保护在公共通信网络中传输、交换和存储的信息的机密性、完整性和真实性，并对信息的传播及内容具有控制能力。,1保密性2完整性3可用性 4不可否认性5可控性,1.1.2网络信息安全的特征,1.1.3网络信息安全技术,1主动防御技术（1）数据加密。加密技术被认为是解决网络安全问题的最好途径，是目前最有效的数据保护的手段。（2）CA认证。CA中心是具有权威性和公正性的第三方信

3、任机构，采用PKI公共密钥基础架构技术，提供网络身份认证服务，确保通信双方的真实、可靠。（3）访问控制。访问控制主要分为自主访问控制和强制访问控制两种，即通过身份认证来控制用户对资源的访问和通过规定主体对客体的操作权限来保证信息的安全。（4）虚拟网络技术。使用VPN或VLAN技术，通过网段的划分、控制数据流向等手段实现防范的目的。（5）入侵检测。入侵检测是使用软件(或硬件)技术监视和分析网络信息系统中发生的事件，当系统受到攻击时，它可以检测出来并做出积极的响应。,2、被动防御技术,（1）防火墙技术。防火墙是一种置于可信网络与不可信网络之间的安全防御系统，可以认为是一种访问控制机制，用于控制非授

4、权的访问进出防火墙。（2）安全扫描。可自动检测远程或本地主机安全弱点的程序，用于观察网络的工作情况、收集主机的信息。（3）密码检查器。通过口令验证程序检查薄弱的口令。（4）安全审计。在网络信息系统中有记录与安全相关事件的日志文件，可供日后调查、分析、追查有关不信任的人，发现系统安全的弱点和漏洞等。（5）路由过滤。路由器中的过滤器对所接收的每一个数据包根据包过滤规则做出允许或拒绝的决定。（6）安全管理技术。通过制定规章制度和条例等安全策略来减少人为因素对网络信息系统的影响。,1.2威胁网络信息安全的因素1.2.1物理威胁,1偷窃 网络信息安全中的偷窃包括设备偷窃、信息偷窃和服务偷窃等内容。2废物

5、搜寻 指的是在扔掉的打印材料、废弃软盘等废物中搜寻所需要的信息。3身份识别错误 非法建立文件或记录，企图把它们作为有效的、正式生产的文件或记录。4间谍行为是一种为了省钱或获取有价值的机密、采用不道德的手段获取信息。,1.2.2漏洞威胁,1不安全服务 由于缺陷或错误使系统本身存在漏洞，这些问题可能导致一些服务程序绕过安全系统，从而对信息系统造成不可预料的损失。2配置和初始化错误 服务器的关闭或重新启动可能是不可避免的，当服务器启动时系统要重新初始化，如果安全系统没有随之正确的初始化，就会留下安全漏洞被人利用；类似的问题在木马程序修改了系统的安全配置文件时也会发生。3乘虚而入 计算机之间的通信是通

6、过特定的端口实现的。如在FTP服务中，用户暂时停止了与某个系统的通信，但由于该端口仍处于激活状态，那么，其他用户就可以乘虚而入利用这个端口与这个系统通信，这样就会绕过例行的申请和安全检查程序。,1.2.3身份鉴别威胁,1口令圈套 口令圈套是网络安全的一种诡计，与冒名顶替有关。2口令破解 破解口令就是通过某种策略对口令进行分析和猜测，在该领域中已形成许多能提高成功率的技巧。3编辑口令 编辑口令需要依靠操作系统漏洞，如果企业内部的人建立了一个虚设的账户或修改了一个隐含账户的口令，这样，任何知道那个账户的用户名和口令的人便可以访问该主机了。4算法考虑不周 口令验证系统必须在满足一定的条件下才能正常工

7、作，这个验证过程需要通过某种算法来实现。如果算法考虑不周全，验证的过程和结果就不可靠。,1.2.4有害程序威胁,1病毒 病毒是一种把自己的拷贝附着于其它正常程序上的一段代码，通过这种方式病毒可以进行自我复制，并随着它所附着的程序在网络及计算机之间传播。2特洛伊木马 特洛伊木马是一种远程控制工具，一旦被安装到某台主机上，该主机便可以被监视和控制。特洛伊木马可以在该主机上上传、下载文件，偷窥私人文件、密码及口令信息，甚至能够摧毁数据。中了木马的主机，其一切秘密都将暴露在别人面前，隐私将不复存在。3代码炸弹 代码炸弹是一种具有杀伤力的代码，当满足预设的条件时，代码炸弹就被触发并产生破坏性结果。,1.

8、2.5网络连接威胁,1窃听 对通信过程进行窃听可达到收集信息的目的，通过检测从连线上发射出来的电磁辐射就能拾取所要的信号。为了使机构内部的通信有一定的保密性，可以使用加密技术来防止信息被解密。2冒充 通过使用别人的密码和账号，获得对网络及其数据、程序的使用能力。这种办法实现起来并不容易，而且一般需要有机构内部的、了解网络和操作过程的人参与。3拨号进入 拥有一个调制解调器和一个电话号码，每个人都可以试图通过远程拨号访问网络，尤其是拥有所期望攻击的网络的用户账户时，就会对网络造成很大的威胁，这种方法可以使防火墙失去作用。,1.3网络信息安全的基本原则 1.3.1最小特权原则,最小特权原则是指一个对

9、象(或实体)应该只拥有为执行其分配的任务所必要的最小特权，并绝对不超越此限。最小特权原则是最基本的网络信息安全原则。网络管理员在为用户分配初始权限时，通常只赋予其相应服务的最小权限“只读”，然后再根据实际需求以及对用户的了解程度提升其权限。因为对于大多数用户来讲，不可能需要获得系统中的所有服务，也没有必要去修改系统中的文件。实际上，安全是靠对信息系统中主体和客体的限制来实现的，限制越严格，安全越容易保证。然而，单纯通过限制来确保安全是没有任何意义的，在工作中不能因为最小特权原则而影响正常的网络服务。,1.3.2纵深防御原则,纵深防御是另一个重要的原则，是指不能只依靠单一的安全机制，而应该通过多

10、种机制互相支撑以实现安全的目的。如果系统中只存在惟一的安全机制，该机制一旦失败，系统的安全就无从谈起，也可能连“亡羊补牢”的机会也会失去。防火墙是一种好的安全机制，可以保护内部网络免受外部的侵袭。但是防火墙只是安全策略的一部分，不能把所有的安全仅寄托在一个防火墙身上。因为防火墙无法防止绕过防火墙的攻击，也不能防范冒充和欺骗等攻击，更不能防范来自内部的攻击。相反，如果除了防火墙以外还存在备份、代理、认证、入侵检测技术等多层防御措施，那么安全风险就会大大降低。,1.3.3阻塞点原则,所谓阻塞点就是设置一个窄道，目的是强迫攻击者使用这个窄道，以对其进行监视和控制。我们所熟悉的防火墙就是阻塞点原则的典

11、型代表。防火墙的位置处于内部网和外部网的边界处，它监视和控制着进出网络信息系统的惟一通道，任何不良的信息都将被它过滤掉。但要注意的是，即使有了阻塞点，攻击者还是可以采用其他合法的方法进行攻击的，这时阻塞点就没有多大价值了。正如“马其诺防线”无法防范来自非正面的攻击一样，如果管理员为了自己方便在防火墙上私设“后门”，或者允许个别部门拨号上网，那么攻击者也会有机会绕过阻塞点。这时防火墙就形同虚设，失去它的意义了。,1.3.4最薄弱链接原则,最薄弱链接原则是指链的强度取决于它的最薄弱链接，墙的坚固程度取决于它的最薄弱处，即网络信息安全中的“短板原理”。系统之所以能够被攻击，正是由于其本身存在着某种缺

12、陷或漏洞，如果对自己的系统不了解，注意不到这些最薄弱“链接”处，并无法消除它们，那么安全也就无从保证。然而，最薄弱链接还会经常存在的，解决方法是：（1）使最薄弱链接处尽量坚固并在发生危险前保持强度的均衡。（2）平等对待安全的各个方面而不能有偏重。如不能只防外部入侵，而忽视内部攻击。（3）注意安全产品的升级，补丁的及时更新。,1.3.5失效保护状态原则,失效保护原则是指当系统失效以后应该自动处于安全保护状态，能够拒绝入侵者的入侵。网络中的许多应用都是以保护失效原则设计的。如，若包过滤路由器出现故障，那么将会禁止任何数据包进入；如果代理服务器坏了，那么将不提供任何服务。在安全决策和安全策略中有两个

13、状态可供选择：l默认拒绝状态：只指明所允许的事情，而其它一切皆禁止。这种方法是当失败时只允许执行预先决定的那些应用，除此以外的所有应用都被禁止。默认拒绝从安全的角度看是能奏效的，大部分人都愿意选择它。l默认许可状态：只指明所禁止的事情，而允许其它一切事情。这种方法是预先决定哪些应用是要禁止的，失败时除这些禁止的不能执行外，其它的全部都是允许的，这种方法用户是欢迎的。,1.3.6普遍参与原则,为了使安全机制更有效，应该要求包括官员、管理者、普通职工和用户等每一成员都能有意识地普遍参与。因为如果某个成员轻易地从安全保护机制中退出，那么入侵者就有机会找到入侵的突破口，先侵袭内部豁免的系统，然后再以其

14、为跳板进行内部攻击。况且，黑客攻击的时间、地点和方式等都是不确定的，即使配备入侵检测系统，管理员也不可能及时察觉到安全事件的发生，系统的异常和变化如果没有“全民皆兵”意识是不可能被及时发现和处理的。安全问题的本质是人的问题，除了有一个好的安全策略以外，更要重视加强对全体成员进行安全教育，使每个成员都能自觉地维护安全是一个事半功倍的好策略。,1.3.7防御多样化原则,纵深防御是信息系统安全的原则之一。但假如使用n个完全相同的防火墙来实现该原则结果会如何呢？一旦第一个防火墙被突破，其它n-1个形成的纵深就没有任何意义可言了。相反，如果其它n-1个纵深使用不同的技术或产品，结果又如何呢？后者就是防御

15、多样化原则。防御多样化的含义是使用从不同厂商那里得到的安全保护系统可以降低因产品缺陷或配置错误而危及整个系统的机会。但是操作中要注意提防虚假多样化。,1.3.8简单化原则,随着企业规模的扩大，信息系统的功能也变得越来越复杂，其安全需求也越来越难以充分满足；又由于攻击和防御技术在矛盾中不断发展，安全产品会变得越来越专业，安全策略也会变得晦涩难懂，影响安全方案的实施。复杂的程序往往存在些小毛病，而任何小“bug”都可能成为安全隐患，对一个复杂的网络信息系统来讲更是如此，复杂化将会直接影响其安全性。因为事情复杂化会使它们难于理解，如果不了解某事，就不能真正了解它是否安全；复杂化也会为安全的“天敌”提

16、供隐藏的角落和缝隙。所以，无论是信息系统的安全策略，还是实施方案都要力求简单，既要使管理员清楚，也要让普通职员理解，更不能人为的复杂化。,1.4信息安全体系结构与模型1.4.1OSI安全体系结构,1安全服务在对威胁进行分析的基础上，规定了5种标准的安全服务：（1）对象认证安全服务。（2）访问控制安全服务。（3）数据保密性安全服务。（4）数据完整性安全服务。（5）防抵赖性安全服务。,2安全机制 一个安全策略和安全服务可以单个使用，也可以组合起来使用，在上述提到的安全服务中可以借助以下安全机制：（1）加密机制。（2）数字签名。（3）访问控制机制。（4）数据完整性机制。（5）认证交换机制。（6）防业

17、务流量分析机制。（7）路由控制机制。（8）公证机制。,3安全管理 为了更有效地运用安全服务，需要有其它措施来支持它们的操作，这些措施即为安全管理。安全管理是对安全服务和安全机制进行管理，把管理信息分配到有关的安全服务和安全机制中去，并收集与它们的操作有关的信息。OSI概念化的安全体系结构是一个多层次的结构，它本身是面向对象的，给用户提供了各种安全应用，安全应用由安全服务来实现，而安全服务又是由各种安全机制来实现的。OSI提供了每一类安全服务所需要的各种安全机制，而安全机制如何提供安全服务的细节可以在安全框架内找到。表1.1表明了安全机制和安全服务的关系。,OSI各种安全机制和安全服务的关系表,

18、1.4.2网络信息安全体系结构框架,1安全特性 安全特性描述了信息系统的安全机制，包括身份鉴别、访问控制、数据保密、数据完整、防止否认、审计管理、可用性和可靠性等。2系统单元 系统单元除包括网络信息系统各组成部分外，还包括使用和管理信息系统的物理和行政环境。具体分为信息处理单元、通信网络、安全管理和物理环境四个部分。（1）系统处理单元安全主要考虑计算机系统的安全，通过物理和行政管理的安全机制提供安全的本地用户环境，保护硬件的安全；通过防干扰、防辐射、容错检错等手段，保护软件的安全；通过用户身份鉴别、访问控制、完整性等机制保护信息的安全。（2）通信网络安全为传输中的信息提供保护。通信网络安全涉及

19、安全通信协议、密码机制、安全管理应用进程、安全管理数据库、分布式管理系统等内容。（3）安全管理包括安全域的设置和管理、端系统的安全管理、安全服务管理和安全机制管理等。（4）物理环境与行政管理安全包括人员管理、物理环境管理和行政管理，还涉及环境安全服务配置以及系统管理员职责等。,3OSI参考模型的结构层次 各信息系统单元需要在OSI模型的各层次上采取不同的安全服务和安全机制，以满足不同的安全需求。网络体系的不同层次的主体和客体及其控制是不同的。（1）链路层负责建立点到点通信，主体是链路的端节点，客体是 数据帧，可采用链路加密保证通信安全。（2）网络层负责流量的路由控制，主体是网络或主机，客体是数

20、据包或分组，可以采用防火墙技术控制流量在网络边界的传输；采用IP加密传输信道技术IPsec，在两个网络节点间建立透明的安全加密信道。（3）传输层负责建立端到端的进程通信，主体是进程，客体是虚电路，可采用安全套接层SSL技术实现进程间的安全服务和加密信道。（4）应用层的主体是用户及其应用，客体是文件，可采用能提供各种安全服务的中间件技术，提供身份鉴别、访问控制、数据保密和数据完整性等安全服务，以保证信息和应用的安全。,1.4.3动态自适应的信息安全模型,安全策略,保护,响应,检测,Protection,Policy,Response,Dection,1.5信息安全等级与标准,1.5.1国际信息安

21、全评价标准1TCSEC标准 2欧洲ITSEC 3加拿大CTCPEC评价标准 4美国联邦准则FC 5CC标准 6BS 7799标准,1.5.2我国信息安全等级与评价标准,我国将计算机安全保护划分为以下5个级别 第一级：用户自主保护级。它的安全保护机制使用户具备自主安全保护的能力，保护用户的信息免受非法的读写破坏。第二级：系统审计保护级。除具备第一级所有的安全保护功能外，要求创建和维护访问的审计跟踪记录，使所有的用户对自己行为的合法性负责。第三级：安全标记保护级。除继承前一个级别的安全功能外，还要求以访问对象标记的安全级别限制访问者的访问权限，实现对访问对象的强制访问。第四级：结构化保护级。在继承

22、前面安全级别安全功能的基础上，将安全保护机制划分为关键部分和非关键部分，对关键部分直接控制访问者对访问对象的存取，从而加强系统的抗渗透能力。第五级：访问验证保护级。这一个级别特别增设了访问验证功能，负责仲裁访问者对访问对象的所有访问活动。,1.6信息安全法规,1.6.1我国信息安全立法情况 1.6.2国际信息安全立法情况 1打击网络犯罪的国际合作与立法 2信息资源版权保护与法律 3世贸活动中的网络安全法规 4其他相关立法,1.7网络信息安全形势与发展趋势1.7.1网络信息安全形势,1国外网络信息安全形势 2国内网络信息安全形势,1.7.2网络信息安全技术研究现状,1国际上网络信息安全的研究2我国网络信息安全的研究,1.7.3网络信息安全的发展趋势,1网络信息安全攻击的发展趋势（1）自动化程度和速度提高（2）工具越来越复杂（3）安全漏洞的发现越来越快（4）攻击网络基础设施产生的威胁越来越大2网络信息安全防御的发展趋势（1）安全防御技术（2）安全管理,