網(wǎng)絡(luò)安全及其體系構(gòu)成-文庫(kù)吧
2025-09-13 11:27 本頁(yè)面
【正文】 TP,NNTP服務(wù)器等放在非軍事化區(qū)，并放置代理服 務(wù)器。將內(nèi)部使用的各種應(yīng)用服務(wù)器統(tǒng)統(tǒng)放在內(nèi)網(wǎng) ,將各種危險(xiǎn)的服務(wù)器屏蔽在外網(wǎng) 。 通過(guò)防火墻和路由器的配置，這樣 ,用戶從外網(wǎng)訪問(wèn)內(nèi)網(wǎng)時(shí)，都通過(guò)防火墻來(lái)訪問(wèn)關(guān)鍵 的數(shù)據(jù)，這就保障了網(wǎng)絡(luò)應(yīng)用的安全。 如果需要，在各個(gè)子網(wǎng)的出口也安裝防火墻，進(jìn)一步保障子網(wǎng)的安全。上述三網(wǎng)段安全結(jié)構(gòu)也可以應(yīng)用于各獨(dú)立的子網(wǎng)。 常見(jiàn)的攻擊與威協(xié) ? 黑客 ? 病毒 ? 特洛伊木馬 ? 后門 ? 拒絕服務(wù) ? 指令操作 ? 工具軟件 ? 編程 攻擊者與攻擊活動(dòng) ? 黑客 ? 不滿的內(nèi)部人員 (據(jù)大量統(tǒng)計(jì)表明占 80%,應(yīng)引超重視 ) ? 罪犯與商業(yè)間諜 (這是最危險(xiǎn)的一類應(yīng)時(shí)刻警惕 ) ? 執(zhí)行進(jìn)程 ? 獲取數(shù)據(jù) ? 修改數(shù)據(jù) ? 暴露信息 ? 獲取超級(jí)用戶權(quán)限或特定權(quán)限 ? 發(fā)動(dòng)拒絕服務(wù)攻擊 攻擊手法舉例 ? 弱口令 ? 網(wǎng)絡(luò)監(jiān)聽 監(jiān)聽工具 (如 Snifft NetXRay 管理員 /黑客 ) 以太網(wǎng) FDDI Tcp/IP ? 緩沖區(qū)溢出 passwd(uidsuid) ? 惡意破壞的代碼 :病毒 ? Web欺騙 ? 利用程序錯(cuò)誤的攻擊 淚滴 (Teardrop)攻擊 網(wǎng)絡(luò)安全技術(shù)與產(chǎn)品 ? 防火墻 (包過(guò)濾 ,應(yīng)用代理 ,狀態(tài)監(jiān)測(cè) ) ? 入侵檢測(cè) ? 漏洞掃描 ,安全評(píng)估 ? 3A ? 密碼機(jī) /卡 VPN ? 物理隔離 ? 取證 信息偽裝 ? 安全管理平臺(tái) ? 密碼技術(shù) ? 帶寬 /高性能 (算法與硬件技術(shù) ) ? 人工智能 /數(shù)據(jù)挖掘 /輔助決策 ? 系統(tǒng) 工程 (規(guī)化與布置 ) 案例之一 威協(xié)分析 對(duì)公司和企業(yè)的網(wǎng)絡(luò)應(yīng)用而言，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)主要來(lái)自兩個(gè)方面： ? 來(lái)自 Inter的攻擊與破壞：由于 OA辦公網(wǎng)直接接入Inter，將面臨來(lái)自 Inter的網(wǎng)絡(luò)入侵、黑客攻擊和病毒傳播。 ? 來(lái)自網(wǎng)絡(luò)內(nèi)部的攻擊和破壞：移動(dòng)通信公司公司對(duì)于來(lái)自內(nèi)部網(wǎng)絡(luò)的攻擊或破壞的防范能力相當(dāng)脆弱。尤其是如何有效控制從 OA辦公網(wǎng)的用戶訪問(wèn)業(yè)務(wù)管理網(wǎng)內(nèi)的主機(jī)（直接攻擊或通過(guò)宿主機(jī)間接發(fā)起入侵攻擊 ) 是重點(diǎn)問(wèn)題。 措施 ? 功能子網(wǎng) VLAN劃分（重點(diǎn)針對(duì) OA辦公網(wǎng)）。利用現(xiàn)有的 L3/L2交換機(jī)，設(shè)置 VLAN： ? VLAN1—— 包括所有的 Windows桌面 PC，以及不需要特殊防護(hù)的 NT服務(wù)器 ? VLAN2—— 需要實(shí)施保護(hù)的 NT、 UNIX服務(wù)器，本身需要訪問(wèn) OMCSub與 BillingSub，或?yàn)?VLAN1內(nèi)的桌面 PC提供代理訪問(wèn) OMCSub與 BillingSub的UNIX工作站，應(yīng)歸入 VLAN2。 ? OMCSub—— 運(yùn)營(yíng)管理子網(wǎng)。 ? BillingSub—— 計(jì)費(fèi)管理子網(wǎng)。 ? 在中心服務(wù)上切斷 VLAN1與 VLAN2之間的動(dòng)態(tài)路由，使兩個(gè) VLAN不能進(jìn)行直接訪問(wèn)。 ? 設(shè)置高性能防火墻，連接兩臺(tái)中心交換機(jī)（ SSR86001和 SSR86002），提供 VLAN1與 VLAN2的網(wǎng)絡(luò)層訪問(wèn)控制。 ? 將 DMZ與高性能防火墻連接，在 DMZ中部署 WWW、 EMAIL、 DNS、 PROXY等服務(wù)器。 ? 設(shè)置獨(dú)立的安全管理子網(wǎng)，與高性能防火墻連接，部署網(wǎng)絡(luò)安全的管理服務(wù)器、安全管理終端、網(wǎng)絡(luò)管理終端等。 ? 設(shè)置 WebST安全服務(wù)器子網(wǎng)，與高性能防火墻連接，提供應(yīng)用層安全管理服務(wù)。 ? 結(jié)合防火墻配置安全監(jiān)測(cè)軟件，實(shí)時(shí)監(jiān)測(cè)并阻斷網(wǎng)絡(luò)上的攻擊事件的發(fā)生。 ? 結(jié)合防火墻配置防病毒網(wǎng)關(guān)，對(duì)流經(jīng)防火墻的數(shù)據(jù)包進(jìn)行病毒監(jiān)測(cè)和過(guò)濾。 ? 實(shí)現(xiàn)全網(wǎng)集中的網(wǎng)絡(luò)安全策略部署和管理。 ? 以下是我們?yōu)橐苿?dòng)通信公司總公司所設(shè)計(jì)的網(wǎng)絡(luò)層安全結(jié)構(gòu)： 網(wǎng)絡(luò)層安全結(jié)構(gòu)示意圖 網(wǎng)絡(luò)安全產(chǎn)品部署示意圖 關(guān)于網(wǎng)絡(luò)安全的一些觀念誤區(qū) ? 網(wǎng)絡(luò)安全是一次性投資可以完成的 . ? 網(wǎng)絡(luò)安全純粹是技術(shù)人員的工作 ? 網(wǎng)絡(luò)安全只要買一批好產(chǎn)品就能完成 ? 應(yīng)該由自己?jiǎn)挝坏募夹g(shù)人員全部完成 ? 攻防技術(shù)是在對(duì)抗中不斷發(fā)展的 ? 組織 (制訂制度 ),技術(shù) ,管理 (執(zhí)行制度 ) ? 系統(tǒng)工程 ? 根據(jù)情況 ,大的趨勢(shì)是社會(huì)分工越來(lái)越細(xì) ,一個(gè)實(shí)例是 專業(yè) 保安公司的出現(xiàn) 安全技術(shù)體系 協(xié)議 層次安 全 管 理安 全管 理認(rèn)證訪問(wèn)控制數(shù)據(jù)完整性數(shù)據(jù)保密抗抵賴審計(jì)可用性安全 服務(wù)通 信 平 臺(tái)網(wǎng) 絡(luò) 平 臺(tái)系 統(tǒng) 平 臺(tái)應(yīng) 用 平 臺(tái)物 理 環(huán) 境安理管全層用應(yīng)傳層層層層鏈絡(luò)網(wǎng)輸理物路系統(tǒng) 單元安全技術(shù)體系框架 安全 基 礎(chǔ) 信息網(wǎng)絡(luò)安全 工程 體系結(jié)構(gòu)模型 1． 安全組織 ? 這個(gè)層面是網(wǎng)絡(luò)安全建設(shè)的關(guān)鍵 ， 網(wǎng)絡(luò)安全是一個(gè)綜合性的系統(tǒng)工程 ， 必須加強(qiáng)統(tǒng)一領(lǐng)導(dǎo) ， 建立健全組織體系 。 包括網(wǎng)絡(luò)安全領(lǐng)導(dǎo)體系 、 技術(shù)指導(dǎo)體系和管理體系 。 （ 1）安全領(lǐng)導(dǎo)體系 （ 2）技術(shù)指導(dǎo)體系 （ 3）安全管理體系 總部首長(zhǎng) 總部領(lǐng)導(dǎo)小組 總部管理中心 總部專家組 二級(jí)部主管首長(zhǎng) 二級(jí)部領(lǐng)導(dǎo)小組 二級(jí)部 管理分中心 二級(jí)部技術(shù)組 三級(jí)部領(lǐng)導(dǎo) 三級(jí)部技術(shù)組 三級(jí)部管理組 組織體系結(jié)構(gòu)模型 ? 安全策略包括 兩部分：總體的策略和具體的規(guī)則?？傮w的策略用于闡述單位安全政策的總體思想，而具體的規(guī)則用于說(shuō)明什么活動(dòng)是被允許的，什么活動(dòng)是被禁止的。 （ 1）、安全管理與技術(shù)防范并重的策略 信息系統(tǒng)安全保密主要策略 信息系統(tǒng)安全保密工作，必須堅(jiān)持管理與技術(shù)兩手抓的原則。網(wǎng)絡(luò)信息安全保密的實(shí)現(xiàn)，管理措施和技術(shù)手段兩者不能偏廢，缺一不可。既要建立起一套嚴(yán)格、完整的網(wǎng)絡(luò)安全管理制度、規(guī)定，又要有一套先進(jìn)、完善的技術(shù)防范措施，這樣才能有效保障網(wǎng)絡(luò)信息安全。 （ 2）、整體技術(shù)防范策略 信息網(wǎng)絡(luò)的安全保密系統(tǒng)建設(shè)，要通盤考慮整體網(wǎng)絡(luò)結(jié)構(gòu)、各種鏈接層次以及信息組織等各個(gè)環(huán)節(jié)的保密需求，貫徹整體技術(shù)防范的策略。 重點(diǎn)： 一是運(yùn)用密碼技術(shù)，對(duì)傳輸信道實(shí)施鏈路層或網(wǎng)絡(luò)層加密，構(gòu)建保密虛擬專網(wǎng)，防止黑客攻擊，
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1