项目九 计算机网络安全（课件）《计算机网络基础》（电子工业出版社）

1.理解网络安全的概念及保护策略。 2.了解访问控制的概念、分类及基本原理。 3.熟悉数据加密与解密、防火墙和数字签名等常用的网络安全技术。 4.掌握常见的主机故障、线路故障、路由器故障等网络故障。 项目九 计算机网络安全 1 任务一 了解网络安全 2 一、网络安全的概念 网络安全从本质上讲就是网络上的信息安全,是指网络系统的硬件、软件及系统中的数据受到保护,不因偶然或恶意的原因而遭到泄露、破坏或更改,系统能够保持连续、可靠、正常地运行,网络服务不会中断。 网络安全研究的领域涉及网络上信息的保密性、可用性、完整性、真实性和可控性等相关技术和理论。 网络安全措施包含口令与访问控制方式、防火墙、应用网关与代理服务器、密码、IP 加密和数字签名等技术。 3 二、网络安全的现状 为了应对网络中存在的多元、多层次的安全威胁,必须构建一个完备的安全分析模型,在模型架构下层层设防,才能够将安全问题各个击破,实现全网安全 (一)集中管理,重点防护 每个系统都有它的薄弱环节,正是这些环节使系统许多资源闲置甚至浪费,发挥不了应有的作用。 黑客的攻击点就是系统中最薄弱的环节。 考虑单个系统的安全问题并不能真正有效地保证安全,而需要从整体网络体系层次建立网络安全架构、合理规划、全面防护,让系统中最薄弱的环节得以改善 (二)结合实际,合理规划 这并不是强制性的管理模式,而是根据企业的需要,结合员工的具体要求来实施,从而避免人为的网络安全隐患,提升互联网使用率 (三)强化用户上网行为管理,确保互联网资源的合理使用 今后网络安全发展的必然趋势是从管理和技术两个方面解决网络安全问题 4 三、网络安全的保护策略 1.简单性原则 2.系统性原则 3.适应性原则 4.动态性原则 (一)制定网络安全策略遵循的原则 (1)使计算机网络系统免受自然灾害、人为破坏和搭线攻击。 (2)验证用户的身份和使用权限,防止用户越权操作。 (3)确保计算机系统有一个良好的电磁兼容工作环境。 (4)建立完备的安全管理制度,防止非法进入计算机控制室和各种偷窃、破坏活动的发生。 (二)物理安全策略 信息加密的目的是保护网内的数据、文件、口令和控制信息,保护网络上传输的数据。 网 络加密常用的方法有端到端加密、节点加密和链路加密 (三)信息加密策略 1.入网访问控制 2.网络的权限控制 3.网络服务器安全控制 4.属性安全控制 5.防火墙控制 6.网络监测和锁定控制 7.网络端口和节点的安全控制 (四)访问控制策略 5 2 1 3 4 6 5 四、对网络管理与维护人员的要求 指当网络中的信息被授权用户或实体访问时,用户或实体能及时获取网络信息服务的特性 可用性 指网络中的数据、程序等信息不会泄露给非授权的用户或实体,即信息只能给被授权的用户使用 保密性 指在网络系统的信息交互过程中,确认参与者身份的真实性 不可抵赖性 指对网络信息的传播和内容具有控制能力的特性 可控性 指网络系统能够在特定的时间和特定的条件下完成特定功能的特性 可靠性 指网络中的数据、程序等信息未经授权保持不变的特性,即网络中的数据、程序等信息在传输过程中不会被篡改、删除、伪造和重放 完整性 6 五、网络的安全管理 安全管理的功能包括产生、删除和控制安全服务,发放与安全相关的信息,报告与安全相关的事件。 对网络数据信息的保护主要表现在以下 4 个方面。 1.操作系统逻辑访问管理 2.关键设备 3.病毒防治 4.访问控制 (一)网络安全管理的措施 1.信息完整性是指用户未经授权,不得对数据信息进行更改 2.信息保密性又称信息机密性,是指网络系统只向已被授权的用户提供信息,对于未被授权的用户,这些信息不可以获得或不可以理解 3.信息可用性是指网络系统可以向所有合法的用户提供他们所需要的信息服务 4.信息可审查性是指网络系统内所发生的与安全有关的操作均有说明性记录,可以进行审查 (二)网络安全管理的目标 7 六、常见的网络安全工具 Nessus 是比较流行的系统漏洞扫描和分析程序,也是一个免费的、功能强大的和使用方便的远程安全扫描器 (一)Nessus Nmap 是一种开源软件网络勘察和安全审计的工具,是许多网络管理员用来映射和测试网络安全漏洞的工具 (二)Nmap Wireshark 是一款网络包分析工具。 网络包分析工具的主要作用是尝试捕获网络包,并尝试显示最为详细的网络封包信息。 分析数据包有 3 个步骤:选择数据包、分析协议和分析数据包内容 (三)Wireshark 8 任务二 熟悉访问控制与设备安全 9 一、访问控制技术 指主体依据某些控制策略或权限对客体本身及其资源进行的不同授权访问。访问控制包括主体、客体和控制策略 3 个要素 (一)访问控制的概念 目的是限制主体对客体的访问权限,从而使计算机系统在合法范围内使用 (二)访问控制原理 1.自主访问控制(DAC)是基于对主体或主体所属主体组的识别来限制客体的访问,这种控制是自主的。 自主是指主体能够自主地将访问权或访问权的某个子集授予其他主体。 2.强制访问控制(MAC)系统为所有的主体和客体指定安全级别,如绝密级、机密级、秘密级和无密级。 不同级别标记了不同重要程度和能力的实体。 不同级别的主体对不同级别客体的访问是在强制安全策略(保障信息保密性策略和保障信息完整性策略)下实现的。 3.基于角色的访问控制(RBAC)，用户在访问系统前,经过角色认证而充当相应的角色。 用户获得特定角色后,系统依然可以按照自主访问控制或强制访问控制机制控制角色的访问能力。 (三)访问控制的分类 访问控制原理 10 二、设备安全 网络设备的访问控制安全主要目的是防止非法用户进入网络设备并对其配置进行非法修改,避免网络“瘫痪”。 1.网络设备的访问控制安全 (1)提供安全的物理环境。 (2)控制到设备的直接访问。 (3)在可能的情况下为机架上锁,并且在控制台和辅助端口设置口令。 2.网络设备的物理安全 11 任务三 熟悉网络安全技术 12 一、数据加密与解密技术 密码算法的目的是保护信息的保密性、完整性安全性。 密码技术主要包括以下 5 个方面。 (1)加密是通过对信息的重新组合,使得只有收发双方才能解码还原信息。 (2)解密就是把密文还原成明文的过程。 (3)认证就是识别个人、网络上的机器或机构。 (4)数字签名是将发送文件与特定的密钥绑定。 (5)签名识别是数字签名的反过程,它证明签名有效。 (一)密码学概述 密码算法可分为传统密码算法和现代密码算法。传统密码算法又 称对称密码算法，现代密码算法又 称非对称密码算法或公钥密码算法。 按照加密时对明文的处理方式,密码算法又可分为分组密码算法和序列密码算法。 对称密钥密码体制从加密模式上分为分组密码和序列密码。 (二)密码算法的分类 在网络中,由于任何人都可获得公开密钥,公开密钥存在的问题是能否信任使用公开密钥 的密钥持有者,即公开密钥认证问题。每个密钥都有自己的标识( keyID),keyID 是一个 8 位十六进制数,两个密钥具有相同keyID 的可能性是几十亿分之一。 (三)公开密钥认证 13 二、防火墙技术 ,防火墙是一种由计算机硬件和软件组成的系统,用于增强内部网络和 Internet 之间的访问控制。 防火墙在被保护网络和外部网络之间形成一道屏障,使互联网与内部网之间建立起一个安全网关 (一)防火墙概述 根据防火墙所采用技术的不同,可以将它分为 3 种:动态包过滤防火墙、数据包过滤防火墙和应用代理服务器防火墙。 (二)防火墙分类 防火墙由网关(安全策略)和数据包过滤器组成。 (三)防火墙的组成 代理服务器是指运行代理服务程序的计算机,由服务器端程序和客户端程序两部分构成。代理服务器一般采用两种体系结构:屏蔽主机网关和屏蔽子网网关 (四)代理服务器防火墙技术 代理服务器防火墙 屏蔽主机网关防火墙 屏蔽子网网关防火墙 14 三、数字签名技术 指使用密码算法对待发的数据(如报文)进行加密处理,生成一段信息,附着在原文上一起发送。 (一)数字签名的概念 数字签名的算法很多,应用最为广泛的是 Hash 签名和 RSA 签名。RSA 既可以用于加密数据,也可以用于身份认证。 和 Hash 签名相比,在公钥系统中,由于生成签名的密钥只存储于用户的计算机中,因此 RSA 安全系数更大。 (二)数字签名的算法 实现数字签名有很多方法,目前采用较多的是非对称加密技术和对称加密技术。 (三)数字签名的应用与实施 15 四、网络病毒的防范 计算机网络病毒就是编程人员人为编写的一段特殊的代码程序,能对特定的计算机网络进行破坏,从而达到盗取数据及私人账户信息的目的 (一)网络病毒概述 安装的病毒防治软件应具备以下 4 个特性。 (1)集成性。(2)单点管理。(3)自动化。(4)多层分布。 (二)网络病毒的防治 网络安全防护工具主要是病毒防护软件和电脑管家等。其主要功能为软件和系统补丁更新、垃圾邮件拦截、漏洞分析、木马程序防护、检测和删除计算机病毒等。 (三)网络安全防护工具 16 五、入侵检测与预警技术 网络入侵活动是由不同类型的个人或组织,怀着不同的目的,采用不同的技术,于不同的地点和时间,针对不同的目标而发动的。 诸多的不同及其不同的组合,构成了检测对象的多样性 (一)入侵检测的目标 预警的复杂性表现在对来源的识别、企图的判定、网络技术的跟踪、软件设计、硬件的适应性、危害程度和潜在能力的判断等 (二)预警的复杂性 网络预警技术研究的内容主要包括入侵技术研究、检测模型研究和审计分析策略研究等。这些技术组合起来可以形成一个互动发展的有机体 (三)预警研究的主要内容 17 任务四 掌握网络维护与故障检测 18 一、常见的网络故障 常见的主机故障现象是主机的配置不当，还可能是主机安全故障。发现主机故障一般可以通过监视主机的流量或扫描主机端口和服务来防止可能的漏洞 (一)主机故障 线路不通是最常见的线路故障,诊断这种故障可用 ping 命令检查线路远端的路由器端口是否还能响应,或者检测该线路上是否还有流量。如果线路仍然不通,那么一种可能是线路中间断开，另一种可能是路由器配置出错 (二)线路故障 由于线路涉及两端的路由器,所以在考虑线路故障时要涉及路由器。 有些路由器故障仅仅涉及它本身,如路由器 CPU 温度过高、CPU 利用率过高和路由器内存余量太小 (三)路由器故障 19 二、常用的网络故障测试程序 连通性测试程序就是 ping,这是一种网络管理员最常见的网络工具。ping 命令的原理很简单,就是从源端向目的端发出一定数量的数据包,然后从目的端返回这些数据包的响应。 如果在一定的时间内收到响应,则程序返回从数据包发出到收到的时间间隔,这样根据时间间隔就可以统计网络的延迟。 如果数据包的响应在一定时间间隔内没有收到,则程序认为数据包丢失,返回请求超时的结果。 (一)连通性测试程序 Trace Route 是把端到端的线路按线路所经过的路由器分成多段,然后以每段返回响应与延迟。 若端到端不通,则用该工具可以检查到哪个路由器之前能正常响应和到哪个路由器不能响应,这样很容易检测线路故障出在哪里。 如果在线路中某个路由器的路由配置不当,则将导致路由循环,可以用 Trace Route 工具方便地发现问题。 (二)路由跟踪程序 Trace Route 20 三、常用的网络故障诊断工具 01 数字电压表(DVM)是一种测量电阻两端电压的仪表。在网络环境中,它的基本作用是进行连续性测试 数字电压表 03 高级电缆测试器不仅能够查出电缆断路和性能缺陷,还能显示有关电阻、阻抗和信号衰减 等方面的信息 高级电缆测试器 05 协议分析器可以检测有故障的网络设备、连接错误、协议问题、广播风暴等 协议分析器 04 时域反射计(TDR)沿电缆定时发送脉冲,用于寻找电缆中的断路或可能妨碍电缆在网络上传输信号的其他问题 时域反射计 02 示波器是一种电子设备,用来测量并连续显示每单位时间的信号电压及信号的波形 示波器 21 感谢您的观看指导 22 $$