第七章 网络安全及管理（课件）-《计算机网络技术基础》同步教学（湖北科学技术出版社）

第七章 网络安全及管理 1 学习目标 知识目标 了解网络安全的定义及重要性。 了解计算机病毒的概念。 掌握计算机病毒的检测与防治。 掌握防火墙的功能以及分类。 能力目标 能够根据工作需要完成防火墙的配置。 掌握360杀毒软件的使用方式。 素质目标 培养较强的学习能力、分析与解决问题的能力。 培养良好的网络安全意识。 2 项目描述 假如你是M公司的网络管理员，最近公司的个别办公计算机遭受病毒、木马和网络攻击等骚扰，存在很多安全隐患，如系统崩溃、账号被盗、机密数据被利用和网络堵塞等。为了进一步提高公司计算机及网络的安全性，需要你为公司的办公计算机配置防火墙安全规 则，栏截一些非法访问或攻击行为，降低安全隐患，并安装功能强大的杀毒软件进行病毒查杀，确保公司计算机及网络系统的安全运行。 3 项目分析 公司或企业用户在享受网络带来的巨大便利和快捷的同时，网络安全问题也随之而来。 诸如系统破坏、黑客侵扰、信息泄露、计算机病毒导致的直接、间接的经济损失等，对企业 的信息安全构成严重的威胁。根据公司目前存在的网络安全问题及安全隐患，需要采取防火 墙技术、杀毒软件、访问控制和入侵检测等多种措施来保障公司的办公计算机和办公网络正常运行。 4 知识准备：网络面临的安全威胁 在日益网络化的社会，网络安全问题也不断涌现。网络安全面临的威胁主要表现为以下几个方面。 1.敏感信息为未授权用户所获取。 2.网络服务不能或不正常运行，甚至使合法用户不能进入计算机网络系统。 3.黑客攻击。 4.硬件或软件方面存在漏洞。 5.利用网络传播病毒。 5 知识准备：网络面临的安全威胁 1.网络安全的概念 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的因素或恶意的攻击而遭到破坏、更改、泄露，系统能连续可靠正常运行，网络服务不中断。 网络安全具备以下4个特性。 （1）保密性。 （2）完整性。 （3）可用性。 （4）可控性。 随着网络的逐步普及，网络安全已成为当今网络技术的一个重要课题，网络安全技术也不断出现。网络安全技术主要有防病毒技术、防火墙技术、加密技术、数字签名技术等。 6 知识准备：网络面临的安全威胁 2.网络安全威胁常见的安全威胁主要有以下几类。（1）信息泄露。1）网络监听 2）业务流分析3）人员有意或无意破坏 4）媒体清理5）漏洞利用6）授权侵犯7）物理入浸 8）病毒、木马、后门、流氓软件 9）网络钓鱼 7 知识准备：网络面临的安全威胁 （2）完整性破坏。 （3）拒绝服务攻击。 （4）网络滥用。 1）非法外联：即绕过安全措施（如防火墙）通过无线或Modem上网。 2）非法内联：即未授权的用户非法接入网络。 3）设备滥用：如随意拔插网络和主机上的设备，造成硬件资产的流失。 4）业务滥用：用户访问与业务无关的资源，进行与业务无关的活动，如上班时间聊天、玩游戏、访问不健康网站等。 8 知识准备：计算机网络安全的内容 网络安全主要是指网络中的信息安全，包括物理安全、逻辑安全、操作系统安全、网络传输安全等。1.物理安全 物理安全是指用来保护计算机硬件和存储介质的装置和工作程序。物理安全包括防盗、防火、防静电、防雷击和防电磁泄漏等内容。（1）防盗（2）防火 （3）防静电 （4）防雷击（5）防电磁泄漏 9 2.逻辑安全 计算机的逻辑安全主要用密码、文件许可、加密、检査日志等方法来实现。防止黑客入侵主要依赖于计算机的逻辑安全。 逻辑安全可以通过以下措施来加强。（1）限制登录的次数，对试探操作加上时间限制。（2）对重要的文档、程序和文件进行加密。（3）限制存取非本地用户自己的文件，除非得到明确的授权。（4）跟踪可疑的、未授权的存取企图。 知识准备：计算机网络安全的内容 10 知识准备：计算机网络安全的内容 3.操作系统安全 操作系统分为网络操作系统和个人操作系统，其面临的安全威胁主要包括如下几方面。（1）系统本身的漏洞。（2）内部和外部用户的安全威胁。（3）通信协议本身的安全性。（4）病毒感染。4.网络传输安全 网络传输安全是指信息在传播过程中出现丟失、泄露、受到破坏等情况。其主要内容如下。（1）访问控制服务：用来保护计算机和联网资源不被未授权使用。（2）通信安全服务：用来认证数据的保密性和完整性，以及各通信的可信赖性。 11 知识准备：网络安全的关键技术 1.数据加密技术 在多数情况下，信息加密是保证信息机密性的唯一方法。现有的加密算法有很多，如果按照收发双方密钥是否相同来分类，可以将这些加密算法分为对称加密算法（私钥密码体系）和非对称加密算法（公钥密码体系）。 在私钥密码中，收信方和发信方使用相同的密钥，即加密密钥和解密密钥是相同或等价的。在众多的常规密码中，影响较大的是DES密码。 在公钥密码中，收信方和发信方使用的密钥互不相同，而且几乎不可能由加密密钥推导出解密密钥。较有影响的公钥加密算法是RSA，它能够抵抗到目前为止已知的几乎所有密码攻击。 12 知识准备：网络安全的关键技术 2.信息确认技术 信息确认技术通过严格限定信息的共享范围来防止信息被非法伪造、篡改和假冒。一个安全的信息确认方案应该能做到以下几点。（1）合法的接收者能够验证其收到的消息是否真实。（2）发信者无法抵赖自己发出的消息。（3）除合法发信者外，别人无法伪造消息。（4）发生争执时可由第三人仲裁。 信息确认系统可分为消息确认、身份确认和数字签名。用于消息确认的常用算法有EIGamal签名、数字签名标准、One-time签名、Undeniable 签名、Fail-stop签名、Schnorr确认方案、Okamoto确认方案、Guillou-Quisquater确认方案、Snefru、Nhash、MD4、MD5等，其中最著名的算法应该是数字签名标准算法。 13 知识准备：网络安全的关键技术 3.防火墙技术 防火墙系统是一种网络安全部件，它可以是硬件，也可以是软件，也可能是硬件和软件的结合。这种安全部件处于被保护网络和其他网络的边界，接收进出被保护网络的数据流，并根据防火墙所配置的访问控制策略进行过滤或做出其他操作。 防火墙系统根据其实现方式大致可分为两种。即包过滤防火墙和应用层网关。 防火墙无法避免某些安全风险。例如，网络内部的攻击，内部网络与Internet的直接连接等。 14 知识准备：网络安全的关键技术 4.网络安全扫描技术 网络安全扫描技术是为使系统管理员能够及时了解系统中存在的安全漏洞，并采取相应防范措施，从而降低系统安全风险而发展起来的一种安全技术。 网络安全扫描技术主要有网络远程安全扫描、防火墙系统扫描、Web网站扫描、系统安全扫描等。 5.网络入侵检测技术 也叫作网络实时监控技术，它通过硬件或软件对网络中的数据流进行实时检査，并与系统中的入侵特征数据库进行比较，一旦发现有被攻击的迹象，立刻根据用户所定义的动作做出反应，如切断网络连接，或通知防火墙系统对访问控制策略逬行调整，将入侵的数据包过滤掉等。 15 知识准备：网络安全的关键技术 6.黑客诱骗技术 黑客诱骗技术是指通过一个由网络安全专家精心设置的特殊系统来引诱黑客，并对黑客进行跟踪和记录。这种黑客诱骗系统通常也称为蜜罐（Honeypot）系统，其最重要的是提供了一种特殊设置，用来对系统中的所有操作进行监视和记录。 16 知识准备：防火墙技术 1.防火墙的定义 防火墙是置于不同网络安全域之间的一系列部件的组合，它是不同网络安全域间通信流的唯一通道，能根据企业有关的安全政策（允许、拒绝、监视、记录）控制进出网络的访问行为。 防火墙本身具有较强的抗攻击能力，是提供信息安全服务、实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器、限制器，也是一个分析器，它能够有效地监控内部网和Internet之间的任何活动，保证内部网络的安全。 防火墙本身不是单独的一个计算机程序或设备，而是能提高安全策略及其实现方式的 完整系统。 17 知识准备：防火墙技术 2.防火墙的分类（1）按形态分类 按形态可将防火墙分为软件防火墙和硬件防火墙，其比较见表7-1。 比较项目 软件防火墙 硬件防火墙 使用环境 只有防火墙软件，需要额外的操作系统 硬件和软件的集合，不需要额外的操作系统 安全依赖性 依赖低层操作系统 依赖于专用的操作系统 网络适应性 弱 强 稳定性 高 较高 软件升级 方便灵活 不太灵活 18 知识准备：防火墙技术 （2）按保护对象分类 按保护对象可将防火墙分为单机防火墙和网络防火墙，其比较见表7-2。 比较项目 单机防火墙 网络防火墙 产品形态 软件 硬件或软件 安装点 单台主机 网络边界 安全策略 分散在各安全点 对整个网络有效 保护范围 单台主机 一个网段 管理方式 分散管理 集中管理 功能 单一 复杂多样 安全措施 单点 全局 （3）按使用核心技术分类 按使用的核心技术可把防火墙分为包过滤防火墙（根据流经防火墙的数据包头信息，决定是否允许该数据包通过）、状态检测防火墙、应用代理防火墙和复合型防火墙。 19 知识准备：防火墙技术 3.防火墙的特性 一个好的防火墙系统应具有以下3方面的特性。（1）所有在内部网络和外部网络之间传输的数据必须通过防火墙。（2）只有被授权的合法数据，即防火墙系统中安全策略允许的数据可以通过防火墙。（3）防火墙本身不易受各种攻击的影响。4.防火墙的局限性 防火墙能过滤进出网络的数据包，能管理进出网络的访问行为。但防火墙不是万能的，还存在一定程度的局限性，具体表现如下。（1）防火墙不能防范不经过防火墙的攻击，如拨号访问攻击、内部攻击等。（2）防火墙不能防范利用电子邮件夹带的病毒等恶性程序。（3）防火墙不能解决来自内部网络的攻击和安全问题。（4）防火墙不能防止策略配置不当或错误配置引起的安全威胁。（5）防火墙不能防止利用标准网络协议中的缺陷进行的攻击。（6）防火墙不能防止利用服务器系统漏洞所进行的攻击。（7）防火墙不能防止数据驱动式的攻击，有些表面看来无害的数据邮寄或复制到内部网的主机上并被执行时，可能会发生数据驱动式的攻击。（8）防火墙不能防止本身安全漏洞的威胁。 20 知识准备：防火墙技术 5.常用的防火墙实现策略（1）允许所有除明确拒绝之外的通信或服务。很少考虑这种策略，因为这样的防火墙可能带来许多风险和安全问题。攻击者完全可以使用一种拒绝策略中没有定义的服务而被允许并攻击网络。（2）拒绝所有除明确允许之外的通信或服务。通常使用该策略，但操作困难，并有可能拒绝网络用户的正常需求与合法服务。 21 知识准备：网络防病毒技术 计算机病毒，指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。它通常潜伏在计算机存储介质里，当被激活时，它用修改其他程序的方法将自己复制或者变种的形式放入其他程序中，从而感染它们，对计算机软硬件资源进行破坏。1. 防毒技术的分类 从反病毒产品对计算机病毒的作用来讲，防毒技术可以直观地分为：（1）预防技术（2）检测病毒技术（3）清除病毒技术 22 2.网络防病毒的基本方法 在网络上对付病毒有以下四种基本方法：（1）基于网络目录和文件安全性方法（2）采用工作站防病毒芯片（3）采用Station Lock网络防毒方法 （4）基于服务器的防毒技术 3.杀毒软件介绍 杀毒软件，也称反病毒软件或防毒软件，是用于消除电脑病毒、特洛伊木马和恶意软件等计算机威胁的一类软件。目前流行的杀毒软件有很多，功能也各有差异，如百度杀毒、腾讯电脑管家、360杀毒等。 项目实训 实训任务7.1 Windows防火墙的配置与管理【实训目标】1.通过对windows 10自带防火墙的设置和管理，了解防火墙的功能和工作原理。 2.掌握配置防火墙的基本方法。【实训环境】硬件环境：每人一台计算机，能够接入Internet的局域网络。【实训内容】防火墙通过控制本地和互联网访问的权限来保证用户的上网安全。本实训主要内容包括启用和关闭防火墙、允许应用规则配置和防火墙属性设置等内容。【实训步骤】略 24 项目实训 实训任务7.2杀毒软件的设置和使用【实训目标】1.通过360杀毒软件的使用，了解杀毒软件的功能和工作原理。 2.掌握杀毒软件的使用方法。【实训环境】硬件环境：每人一台计算机，能够接入Internet的局域网络。软件环境：360杀毒软件【实训内容】反病毒软件的任务是实时监控和扫描磁盘。本实训主要内容包括下载并安装360杀毒软件、病毒查杀和软件设置等内容。【实训步骤】略 25 项目小结 在本项目，我们主要学习了网络面临的安全威胁、计算机网络安全的内容、网络安全的关键技术。重点学习了防火墙技术和网络防病毒技术。 通过项目实训，我们基本掌握了windows 10系统自带防火墙的设置和管理方法，学会了杀毒软件的使用方法。 26 感谢聆听，谢谢！ 27 $$