网络与信息安全技术

《网络与信息安全技术》由会员分享，可在线阅读，更多相关《网络与信息安全技术（33页珍藏版）》请在装配图网上搜索。

1、,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,网络与信息平安技术,陈广山编著,机械工业出版社,2007年7月,第1章概论,1.1网络信息平安,网络信息平安,1网络信息平安的定义,网络信息平安是一个涉及计算机科学、网络技术、通信技术、密码技术、信息平安技术、应用数学、数论、信息论等多种学科的边缘学科。从广义上讲，但凡涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络信息平安所要研究的领域。通用的定义为：,网络信息平安是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统能够连

2、续、可靠、正常地运行，网络效劳不中断。,2网络信息平安的含义,1信息系统平安，即信息处理和传输系统的平安。,2系统信息平安。,3信息传播平安。,4信息内容平安。,如果从普通用户、网络管理员、平安保密部门、教育以及社会意识形态等不同的角度来理解，网络信息平安的含义也会有差异。本书所涉及的网络信息平安的含义是通过各种计算机、网络、加密技术和信息平安技术，保护在公共通信网络中传输、交换和存储的信息的机密性、完整性和真实性，并对信息的传播及内容具有控制能力。,1保密性,2完整性,3可用性,4不可否认性,5可控性,网络信息平安的特征,网络信息平安技术,1主动防御技术,1数据加密。加密技术被认为是解决网络

3、平安问题的最好途径，是目前最有效的数据保护的手段。,2CA认证。CA中心是具有权威性和公正性的第三方信任机构，采用PKI公共密钥根底架构技术，提供网络身份认证效劳，确保通信双方的真实、可靠。,3访问控制。访问控制主要分为自主访问控制和强制访问控制两种，即通过身份认证来控制用户对资源的访问和通过规定主体对客体的操作权限来保证信息的平安。,4虚拟网络技术。使用VPN或VLAN技术，通过网段的划分、控制数据流向等手段实现防范的目的。,5入侵检测。入侵检测是使用软件(或硬件)技术监视和分析网络信息系统中发生的事件，当系统受到攻击时，它可以检测出来并做出积极的响应。,2、被动防御技术,1防火墙技术。防火

4、墙是一种置于可信网络与不可信网络之间的平安防御系统，可以认为是一种访问控制机制，用于控制非授权的访问进出防火墙。,2平安扫描。可自动检测远程或本地主机平安弱点的程序，用于观察网络的工作情况、收集主机的信息。,3密码检查器。通过口令验证程序检查薄弱的口令。,4平安审计。在网络信息系统中有记录与平安相关事件的日志文件，可供日后调查、分析、追查有关不信任的人，发现系统平安的弱点和漏洞等。,5路由过滤。路由器中的过滤器对所接收的每一个数据包根据包过滤规那么做出允许或拒绝的决定。,6平安管理技术。通过制定规章制度和条例等平安策略来减少人为因素对网络信息系统的影响。,1.2威胁网络信息平安的因素物理威胁,

5、1偷窃,网络信息平安中的偷窃包括设备偷窃、信息偷窃和效劳偷窃等内容。,2废物搜寻,指的是在扔掉的打印材料、废弃软盘等废物中搜寻所需要的信息。,3身份识别错误,非法建立文件或记录，企图把它们作为有效的、正式生产的文件或记录。,4间谍行为,是一种为了省钱或获取有价值的机密、采用不道德的手段获取信息。,漏洞威胁,1不平安效劳,由于缺陷或错误使系统本身存在漏洞，这些问题可能导致一些效劳程序绕过平安系统，从而对信息系统造成不可预料的损失。,2配置和初始化错误,效劳器的关闭或重新启动可能是不可防止的，当效劳器启动时系统要重新初始化，如果平安系统没有随之正确的初始化，就会留下平安漏洞被人利用；类似的问题在木

6、马程序修改了系统的平安配置文件时也会发生。,3乘虚而入,计算机之间的通信是通过特定的端口实现的。如在FTP效劳中，用户暂时停止了与某个系统的通信，但由于该端口仍处于激活状态，那么，其他用户就可以乘虚而入利用这个端口与这个系统通信，这样就会绕过例行的申请和平安检查程序。,身份鉴别威胁,1口令圈套,口令圈套是网络平安的一种诡计，与冒名顶替有关。,2口令破解,破解口令就是通过某种策略对口令进行分析和猜测，在该领域中已形成许多能提高成功率的技巧。,3编辑口令,编辑口令需要依靠操作系统漏洞，如果企业内部的人建立了一个虚设的账户或修改了一个隐含账户的口令，这样，任何知道那个账户的用户名和口令的人便可以访问

7、该主机了。,4算法考虑不周,口令验证系统必须在满足一定的条件下才能正常工作，这个验证过程需要通过某种算法来实现。如果算法考虑不周全，验证的过程和结果就不可靠。,有害程序威胁,1病毒,病毒是一种把自己的拷贝附着于其它正常程序上的一段代码，通过这种方式病毒可以进行自我复制，并随着它所附着的程序在网络及计算机之间传播。,2特洛伊木马,特洛伊木马是一种远程控制工具，一旦被安装到某台主机上，该主机便可以被监视和控制。特洛伊木马可以在该主机上上传、下载文件，偷窥私人文件、密码及口令信息，甚至能够摧毁数据。中了木马的主机，其一切秘密都将暴露在别人面前，隐私将不复存在。,3代码炸弹,代码炸弹是一种具有杀伤力的

8、代码，当满足预设的条件时，代码炸弹就被触发并产生破坏性结果。,网络连接威胁,1窃听,对通信过程进行窃听可到达收集信息的目的，通过检测从连线上发射出来的电磁辐射就能拾取所要的信号。为了使机构内部的通信有一定的保密性，可以使用加密技术来防止信息被解密。,2冒充,通过使用别人的密码和账号，获得对网络及其数据、程序的使用能力。这种方法实现起来并不容易，而且一般需要有机构内部的、了解网络和操作过程的人参与。,3拨号进入,拥有一个调制解调器和一个 号码，每个人都可以试图通过远程拨号访问网络，尤其是拥有所期望攻击的网络的用户账户时，就会对网络造成很大的威胁，这种方法可以使防火墙失去作用。,1.3网络信息平安

9、的根本原那么 最小特权原那么,最小特权原那么是指一个对象(或实体)应该只拥有为执行其分配的任务所必要的最小特权，并绝对不超越此限。,最小特权原那么是最根本的网络信息平安原那么。网络管理员在为用户分配初始权限时，通常只赋予其相应效劳的最小权限“只读，然后再根据实际需求以及对用户的了解程度提升其权限。因为对于大多数用户来讲，不可能需要获得系统中的所有效劳，也没有必要去修改系统中的文件。,实际上，平安是靠对信息系统中主体和客体的限制来实现的，限制越严格，平安越容易保证。然而，单纯通过限制来确保平安是没有任何意义的，在工作中不能因为最小特权原那么而影响正常的网络效劳。,纵深防御原那么,纵深防御是另一个

10、重要的原那么，是指不能只依靠单一的平安机制，而应该通过多种机制互相支撑以实现平安的目的。如果系统中只存在惟一的平安机制，该机制一旦失败，系统的平安就无从谈起，也可能连“亡羊补牢的时机也会失去。,防火墙是一种好的平安机制，可以保护内部网络免受外部的侵袭。但是防火墙只是平安策略的一局部，不能把所有的平安仅寄托在一个防火墙身上。因为防火墙无法防止绕过防火墙的攻击，也不能防范冒充和欺骗等攻击，更不能防范来自内部的攻击。相反，如果除了防火墙以外还存在备份、代理、认证、入侵检测技术等多层防御措施，那么平安风险就会大大降低。,阻塞点原那么,所谓阻塞点就是设置一个窄道，目的是强迫攻击者使用这个窄道，以对其进行

11、监视和控制。我们所熟悉的防火墙就是阻塞点原那么的典型代表。防火墙的位置处于内部网和外部网的边界处，它监视和控制着进出网络信息系统的惟一通道，任何不良的信息都将被它过滤掉。,但要注意的是，即使有了阻塞点，攻击者还是可以采用其他合法的方法进行攻击的，这时阻塞点就没有多大价值了。正如“马其诺防线无法防范来自非正面的攻击一样，如果管理员为了自己方便在防火墙上私设“后门，或者允许个别部门拨号上网，那么攻击者也会有时机绕过阻塞点。这时防火墙就形同虚设，失去它的意义了。,最薄弱链接原那么,最薄弱链接原那么是指链的强度取决于它的最薄弱链接，墙的巩固程度取决于它的最薄弱处，即网络信息平安中的“短板原理。系统之所

12、以能够被攻击，正是由于其本身存在着某种缺陷或漏洞，如果对自己的系统不了解，注意不到这些最薄弱“链接处，并无法消除它们，那么平安也就无从保证。,然而，最薄弱链接还会经常存在的，解决方法是：,1使最薄弱链接处尽量巩固并在发生危险前保持强度的均衡。,2平等对待平安的各个方面而不能有偏重。如不能只防外部入侵，而无视内部攻击。,3注意平安产品的升级，补丁的及时更新。,失效保护状态原那么,失效保护原那么是指当系统失效以后应该自动处于平安保护状态，能够拒绝入侵者的入侵。网络中的许多应用都是以保护失效原那么设计的。如，假设包过滤路由器出现故障，那么将会禁止任何数据包进入；如果代理效劳器坏了，那么将不提供任何效

13、劳。,在平安决策和平安策略中有两个状态可供选择：,l默认拒绝状态：只指明所允许的事情，而其它一切皆禁止。这种方法是当失败时只允许执行预先决定的那些应用，除此以外的所有应用都被禁止。默认拒绝从平安的角度看是能奏效的，大局部人都愿意选择它。,l默认许可状态：只指明所禁止的事情，而允许其它一切事情。这种方法是预先决定哪些应用是要禁止的，失败时除这些禁止的不能执行外，其它的全部都是允许的，这种方法用户是欢送的。,普遍参与原那么,为了使平安机制更有效，应该要求包括官员、管理者、普通职工和用户等每一成员都能有意识地普遍参与。因为如果某个成员轻易地从平安保护机制中退出，那么入侵者就有时机找到入侵的突破口，先

14、侵袭内部豁免的系统，然后再以其为跳板进行内部攻击。况且，黑客攻击的时间、地点和方式等都是不确定的，即使配备入侵检测系统，管理员也不可能及时觉察到平安事件的发生，系统的异常和变化如果没有“全民皆兵意识是不可能被及时发现和处理的。,平安问题的本质是人的问题，除了有一个好的平安策略以外，更要重视加强对全体成员进行平安教育，使每个成员都能自觉地维护平安是一个事半功倍的好策略。,防御多样化原那么,纵深防御是信息系统平安的原那么之一。但假设使用n个完全相同的防火墙来实现该原那么结果会如何呢？一旦第一个防火墙被突破，其它n-1个形成的纵深就没有任何意义可言了。相反，如果其它n-1个纵深使用不同的技术或产品，

15、结果又如何呢？后者就是防御多样化原那么。,防御多样化的含义是使用从不同厂商那里得到的平安保护系统可以降低因产品缺陷或配置错误而危及整个系统的时机。但是操作中要注意提防虚假多样化。,简单化原那么,随着企业规模的扩大，信息系统的功能也变得越来越复杂，其平安需求也越来越难以充分满足；又由于攻击和防御技术在矛盾中不断开展，平安产品会变得越来越专业，平安策略也会变得晦涩难懂，影响平安方案的实施。,复杂的程序往往存在些小毛病，而任何小“bug都可能成为平安隐患，对一个复杂的网络信息系统来讲更是如此，复杂化将会直接影响其平安性。因为事情复杂化会使它们难于理解，如果不了解某事，就不能真正了解它是否平安；复杂化

16、也会为平安的“天敌提供隐藏的角落和缝隙。所以，无论是信息系统的平安策略，还是实施方案都要力求简单，既要使管理员清楚，也要让普通职员理解，更不能人为的复杂化。,1.4信息平安体系结构与模型OSI平安体系结构,1平安效劳,在对威胁进行分析的根底上，规定了5种标准的平安效劳：,1对象认证平安效劳。,2访问控制平安效劳。,3数据保密性平安效劳。,4数据完整性平安效劳。,5防抵赖性平安效劳。,2平安机制,一个平安策略和平安效劳可以单个使用，也可以组合起来使用，在上述提到的平安效劳中可以借助以下平安机制：,1加密机制。,2数字签名。,3访问控制机制。,4数据完整性机制。,5认证交换机制。,6防业务流量分析机制。,7路由控制机制。,8公证机制。,3平安管理,为了更有效地运用平安效劳，需要有其它措施来支持它们的操作，这些措施即为平安管理。平安管理是对平安效劳和平安机制进行管理，把管理信息分配到有关的平安效劳和平安机制中去，并收集与它们的操作有关的信息。,OSI概念化的平安体系结构是一个多层次的结构，它本身是面向对象的，给用户提供了各种平安应用，平安应用由平安效劳来实现，而平安效劳又是由各种平安机制来实