【正文】 第 10章 網(wǎng)絡(luò)安全技術(shù) 學(xué)習(xí)目標(biāo) 了解網(wǎng)絡(luò)安全與安全威脅 了解常規(guī)密鑰密碼體制與公開(kāi)密鑰密碼體制 掌握?qǐng)?bào)文鑒別技術(shù) 掌握防火墻的概念與設(shè)計(jì)策略 了解入侵檢測(cè)技術(shù)、網(wǎng)絡(luò)安全協(xié)議 10. 1 網(wǎng)絡(luò)安全問(wèn)題概述 網(wǎng)絡(luò)安全的概念 ? 網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不會(huì)由于偶然或惡意的原因而遭到破壞、更改、泄露等意外發(fā)生，使系統(tǒng)能夠連續(xù)可靠正常地運(yùn)行，維護(hù)網(wǎng)絡(luò)服務(wù)不中斷而采取的相應(yīng)的手段和技術(shù)。網(wǎng)絡(luò)安全是一個(gè)涉及計(jì)算機(jī)科學(xué)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論和信息論等多種學(xué)科的邊緣學(xué)科。網(wǎng)絡(luò)安全包括的幾個(gè)方面 ? 物理安全、人員安全、符合瞬時(shí)電磁脈沖輻射標(biāo)準(zhǔn)（ TEMPEST）、信息安全、操作安全、通信安全、計(jì)算機(jī)安全和工業(yè)安全。如下圖所示。 網(wǎng)絡(luò)安全組成 操作安全 通信安全 TEM PEST 通信安全 物理安全 工業(yè)安全 計(jì)算機(jī)安全 人員安全 網(wǎng)絡(luò)安全 圖 101 網(wǎng)絡(luò)安全的組成 網(wǎng)絡(luò)安全的攻防體系 網(wǎng)絡(luò)安全攻擊防御體系攻擊技術(shù)網(wǎng)絡(luò)掃描網(wǎng)絡(luò)監(jiān)聽(tīng)網(wǎng)絡(luò)入侵網(wǎng)絡(luò)后門(mén)與網(wǎng)絡(luò)隱身防御技術(shù)操作系統(tǒng)安全配置技術(shù)加密技術(shù)防火墻技術(shù)入侵檢測(cè)技術(shù)網(wǎng)絡(luò)安全物理基礎(chǔ)操作系統(tǒng)：U n i x / L i n u x / W i n d o w s網(wǎng)絡(luò)協(xié)議：T C P / I P / U D P / S M T P / P O P / F T P / H T T P網(wǎng)絡(luò)安全的實(shí)施工具軟件: S n i f f e r / X S c a n / 防火墻軟件/ 入侵檢測(cè)軟件/ 加密軟件 等等編程語(yǔ)言：C / C + + / P e r l攻擊技術(shù) ? 如果不知道如何攻擊，再好的防守也是經(jīng)不住考驗(yàn)的，攻擊技術(shù)主要包括五個(gè)方面： ? 網(wǎng)絡(luò)監(jiān)聽(tīng)：自己不主動(dòng)去攻擊別人，在計(jì)算機(jī)上設(shè)置一個(gè)程序去監(jiān)聽(tīng)目標(biāo)計(jì)算機(jī)與其他計(jì)算機(jī)通信的數(shù)據(jù)。 ? 網(wǎng)絡(luò)掃描：利用程序去掃描目標(biāo)計(jì)算機(jī)開(kāi)放的端口等，目的是發(fā)現(xiàn)漏洞，為入侵該計(jì)算機(jī)做準(zhǔn)備。 ? 網(wǎng)絡(luò)入侵：當(dāng)探測(cè)發(fā)現(xiàn)對(duì)方存在漏洞以后，入侵到目標(biāo)計(jì)算機(jī)獲取信息。 ? 網(wǎng)絡(luò)后門(mén)：成功入侵目標(biāo)計(jì)算機(jī)后，為了對(duì)“戰(zhàn)利品”的長(zhǎng)期控制，在目標(biāo)計(jì)算機(jī)中種植木馬等后門(mén)。 ? 網(wǎng)絡(luò)隱身：入侵完畢退出目標(biāo)計(jì)算機(jī)后，將自己入侵的痕跡清除，從而防止被對(duì)方管理員發(fā)現(xiàn)。 防御技術(shù) ? 防御技術(shù)包括四大方面： ? 操作系統(tǒng)的安全配置：操作系統(tǒng)的安全是整個(gè)網(wǎng)絡(luò)安全的關(guān)鍵。 ? 加密技術(shù)：為了防止被監(jiān)聽(tīng)和盜取數(shù)據(jù)，將所有的數(shù)據(jù)進(jìn)行加密。 ? 防火墻技術(shù)：利用防火墻，對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行限制，從而防止被入侵。 ? 入侵檢測(cè)：如果網(wǎng)絡(luò)防線最終被攻破了，需要及時(shí)發(fā)出被入侵的警報(bào)。 網(wǎng)絡(luò)安全的攻防體系 ? 為了保證網(wǎng)絡(luò)的安全，在軟件方面可以有兩種選擇，一種是使用已經(jīng)成熟的工具，比如抓數(shù)據(jù)包軟件 Sniffer，網(wǎng)絡(luò)掃描工具 XScan等等，另一種是自己編制程序，目前網(wǎng)絡(luò)安全編程常用的計(jì)算機(jī)語(yǔ)言為 C、 C++或者 Perl語(yǔ)言。 ? 為了使用工具和編制程序，必須熟悉兩方面的知識(shí)：一方面是兩大主流的操作系統(tǒng)： UNIX家族和 Window系列操作系統(tǒng)，另一方面是網(wǎng)絡(luò)協(xié)議，常見(jiàn)的網(wǎng)絡(luò)協(xié)議包括： ? TCP（ Transmission Control Protocol，傳輸控制協(xié)議） ? IP（ Inter Protocol，網(wǎng)絡(luò)協(xié)議） ? UDP（ User Datagram Protocol，用戶數(shù)據(jù)報(bào)協(xié)議） ? SMTP（ Simple Mail Transfer Protocol，簡(jiǎn)單郵件傳輸協(xié)議） ? POP（ Post Office Protocol，郵局協(xié)議） ? FTP（ File Transfer Protocol，文件傳輸協(xié)議）等等。 網(wǎng)絡(luò)安全的要求 ? 保密性 ? 完整性 ? 可用性 ? 身分驗(yàn)證 ? 不可抵賴性 ? 授權(quán)和訪問(wèn)控制 網(wǎng)絡(luò)安全的層次體系 ? 從層次體系上，可以將網(wǎng)絡(luò)安全分成四個(gè)層次上的安全： ? 物理安全； ? 邏輯安全； ? 操作系統(tǒng)安全； ? 聯(lián)網(wǎng)安全； ? 應(yīng)用安全； ? 人員安全。 物理安全 ? 物理安全主要包括五個(gè)方面： ? 防盜； 防火； 防靜電； 防雷擊；防電磁泄漏。 ? 防盜：像其他的物體一樣，計(jì)算機(jī)也是偷竊者的目標(biāo)，例如盜走軟盤(pán)、主板等。計(jì)算機(jī)偷竊行為所造成的損失可能遠(yuǎn)遠(yuǎn)超過(guò)計(jì)算機(jī)本身的價(jià)值，因此必須采取嚴(yán)格的防范措施，以確保計(jì)算機(jī)設(shè)備不會(huì)丟失。 物理安全 ? 防火：計(jì)算機(jī)機(jī)房發(fā)生火災(zāi)一般是由于電氣原因、人為事故或外部火災(zāi)蔓延引起的。電氣設(shè)備和線路因?yàn)槎搪?、過(guò)載、接觸不良、絕緣層破壞或靜電等原因引起電打火而導(dǎo)致火災(zāi)。 ? 人為事故是指由于操作人員不慎，吸煙、亂扔煙頭等，使存在易燃物質(zhì)（如紙片、磁帶、膠片等）的機(jī)房起火，當(dāng)然也不排除人為故意放火。外部火災(zāi)蔓延是因外部房間或其他建筑物起火而蔓延到機(jī)房而引起火災(zāi)。 物理安全 ? 防靜電： ? 靜電是由物體間的相互摩擦、接觸而產(chǎn)生的，計(jì)算機(jī)顯示器也會(huì)產(chǎn)生很強(qiáng)的靜電。 ? 靜電產(chǎn)生后，由于未能釋放而保留在物體內(nèi)，會(huì)有很高的電位（能量不大），從而產(chǎn)生靜電放電火花，造成火災(zāi)。 ? 還可能使大規(guī)模集成電器損壞，這種損壞可能是不知不覺(jué)造成的。 物理安全 ? 利用引雷機(jī)理的傳統(tǒng)避雷針?lè)览?，不但增加雷擊概率，而且產(chǎn)生感應(yīng)雷，而感應(yīng)雷是電子信息設(shè)備被損壞的主要?dú)⑹郑彩且兹家妆繁灰计鸨闹饕颉? ? 雷擊防范的主要措施是，根據(jù)電氣、微電子設(shè)備的不同功能及不同受保護(hù)程序和所屬保護(hù)層確定防護(hù)要點(diǎn)作分類保護(hù)； ? 根據(jù)雷電和操作瞬間過(guò)電壓危害的可能通道從電源線到數(shù)據(jù)通信線路都應(yīng)做多層保護(hù)。 物理安全 ? 防電磁泄漏 ? 電子計(jì)算機(jī)和其他電子設(shè)備一樣，工作時(shí)要產(chǎn)生電磁發(fā)射。 ? 電磁發(fā)射包括輻射發(fā)射和傳導(dǎo)發(fā)射。 ? 這兩種電磁發(fā)射可被高靈敏度的接收設(shè)備接收并進(jìn)行分析、還原，造成計(jì)算機(jī)的信息泄露。 ? 屏蔽是防電磁泄漏的有效措施，屏蔽主要有電屏蔽、磁屏蔽和電磁屏蔽三種類型。 邏輯安全 ? 計(jì)算機(jī)的邏輯安全需要用口令、文件許可等方法來(lái)實(shí)現(xiàn)。 ? 可以限制登錄的次數(shù)或?qū)υ囂讲僮骷由蠒r(shí)間限制；可以用軟件來(lái)保護(hù)存儲(chǔ)在計(jì)算機(jī)文件中的信息； ? 限制存取的另一種方式是通過(guò)硬件完成，在接收到存取要求后，先詢問(wèn)并校核口令，然后訪問(wèn)列于目錄中的授權(quán)用戶標(biāo)志號(hào)。 ? 此外，有一些安全軟件包也可以跟蹤可疑的、未授權(quán)的存取企圖，例如，多次登錄或請(qǐng)求別人的文件。 操作系統(tǒng)安全 ? 操作系統(tǒng)是計(jì)算機(jī)中最基本、最重要的軟件。 ? 同一計(jì)算機(jī)可以安裝幾種不同的操作系統(tǒng)。 ? 如果計(jì)算機(jī)系統(tǒng)可提供給許多人使用，操作系統(tǒng)必須能區(qū)分用戶，以便于防止相互干擾。 ? 一些安全性較高、功能較強(qiáng)的操作系統(tǒng)可以為計(jì)算機(jī)的每一位用戶分配賬戶。 ? 通常，一個(gè)用戶一個(gè)賬戶。操作系統(tǒng)不允許一個(gè)用戶修改由另一個(gè)賬戶產(chǎn)生的數(shù)據(jù)。 聯(lián)網(wǎng)安全 ? 聯(lián)網(wǎng)的安全性通過(guò)兩方面的安全服務(wù)來(lái)達(dá)到： ? 訪問(wèn)控制服務(wù)：用來(lái)保護(hù)計(jì)算機(jī)和聯(lián)網(wǎng)資源不被非授權(quán)使用。 ? 通信安全服務(wù)：用來(lái)認(rèn)證數(shù)據(jù)機(jī)要性與完整性，以及各通信的可信賴性。 應(yīng)用安全 ? 常指主機(jī)上安裝的應(yīng)用軟件的安全問(wèn)題，如安全漏洞、自己編制的程序中的一些端口打開(kāi)造成安全問(wèn)題。 ? 從網(wǎng)上一些不可靠的站點(diǎn)下載未經(jīng)嚴(yán)格驗(yàn)證的應(yīng)用軟件也可能帶來(lái)特洛伊木馬或者一些病毒等。 人員安全 ? 系統(tǒng)管理員嚴(yán)格執(zhí)行規(guī)定的網(wǎng)絡(luò)安全策略以及人員管理策略。 ? 制定安全策略時(shí)，要考慮防止外部人員對(duì)內(nèi)部網(wǎng)絡(luò)的攻擊，還要考慮如何防止內(nèi)部人員的攻擊。 計(jì)算機(jī)網(wǎng)絡(luò)的安全策略 ? 物理安全策略 ：物理安全策略的目的是保護(hù)計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機(jī)等硬件實(shí)體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗(yàn)證用戶的身份和使用權(quán)限、防止用戶越權(quán)操作；確保計(jì)算機(jī)系統(tǒng)有一個(gè)良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進(jìn)入計(jì)算機(jī)控制室和各種偷竊、破壞活動(dòng)的發(fā)生。 ? 訪問(wèn)控制策略：訪問(wèn)控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非法訪問(wèn)。它也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護(hù)作用，但訪問(wèn)控制可以說(shuō)是保證網(wǎng)絡(luò)安全最重要的核心策略之一。 ? 信息加密策略：信息加密的目的是保護(hù)網(wǎng)內(nèi)的數(shù)據(jù)、文件、口令和控制信息，保護(hù)網(wǎng)上傳輸?shù)臄?shù)據(jù)。網(wǎng)絡(luò)加密常用的方法有鏈路加密、端點(diǎn)加密和節(jié)點(diǎn)加密三種。鏈路加密的目的是保護(hù)網(wǎng)絡(luò)節(jié)點(diǎn)之間的鏈路信息安全；端 端加密的目的是對(duì)源端用戶到目的端用戶的數(shù)據(jù)提供保護(hù)；節(jié)點(diǎn)加密的目的是對(duì)源節(jié)點(diǎn)到目的節(jié)點(diǎn)之間的傳輸鏈路提供保護(hù)。用戶可根據(jù)網(wǎng)絡(luò)情況酌情選擇上述加密方式。 ? 網(wǎng)絡(luò)安全管理策略：在網(wǎng)絡(luò)安全中，除了采用上述技術(shù)措施之外，還可以加強(qiáng)網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度，對(duì)于確保網(wǎng)絡(luò)的安全、可靠地運(yùn)行，將起到十分有效的作用。 環(huán)境配置 ? 網(wǎng)絡(luò)安全是一門(mén)實(shí)踐性很強(qiáng)的學(xué)科，包括許多試驗(yàn)。 ? 良好的實(shí)驗(yàn)配置是必須的。網(wǎng)絡(luò)安全實(shí)驗(yàn)配置最少應(yīng)該有兩個(gè)獨(dú)立的操作系統(tǒng)，而且兩個(gè)操作系