【正文】 第 10章 網(wǎng)絡(luò)安全技術(shù) 學(xué)習(xí)目標(biāo) 了解網(wǎng)絡(luò)安全與安全威脅 了解常規(guī)密鑰密碼體制與公開密鑰密碼體制 掌握報文鑒別技術(shù) 掌握防火墻的概念與設(shè)計策略 了解入侵檢測技術(shù)、網(wǎng)絡(luò)安全協(xié)議 10. 1 網(wǎng)絡(luò)安全問題概述 網(wǎng)絡(luò)安全的概念 ? 網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不會由于偶然或惡意的原因而遭到破壞、更改、泄露等意外發(fā)生，使系統(tǒng)能夠連續(xù)可靠正常地運行，維護(hù)網(wǎng)絡(luò)服務(wù)不中斷而采取的相應(yīng)的手段和技術(shù)。網(wǎng)絡(luò)安全是一個涉及計算機科學(xué)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論和信息論等多種學(xué)科的邊緣學(xué)科。網(wǎng)絡(luò)安全包括的幾個方面 ? 物理安全、人員安全、符合瞬時電磁脈沖輻射標(biāo)準(zhǔn)（ TEMPEST）、信息安全、操作安全、通信安全、計算機安全和工業(yè)安全。如下圖所示。 網(wǎng)絡(luò)安全組成 操作安全 通信安全 TEM PEST 通信安全 物理安全 工業(yè)安全 計算機安全 人員安全 網(wǎng)絡(luò)安全 圖 101 網(wǎng)絡(luò)安全的組成 網(wǎng)絡(luò)安全的攻防體系 網(wǎng)絡(luò)安全攻擊防御體系攻擊技術(shù)網(wǎng)絡(luò)掃描網(wǎng)絡(luò)監(jiān)聽網(wǎng)絡(luò)入侵網(wǎng)絡(luò)后門與網(wǎng)絡(luò)隱身防御技術(shù)操作系統(tǒng)安全配置技術(shù)加密技術(shù)防火墻技術(shù)入侵檢測技術(shù)網(wǎng)絡(luò)安全物理基礎(chǔ)操作系統(tǒng)：U n i x / L i n u x / W i n d o w s網(wǎng)絡(luò)協(xié)議：T C P / I P / U D P / S M T P / P O P / F T P / H T T P網(wǎng)絡(luò)安全的實施工具軟件: S n i f f e r / X S c a n / 防火墻軟件/ 入侵檢測軟件/ 加密軟件 等等編程語言：C / C + + / P e r l攻擊技術(shù) ? 如果不知道如何攻擊，再好的防守也是經(jīng)不住考驗的，攻擊技術(shù)主要包括五個方面： ? 網(wǎng)絡(luò)監(jiān)聽：自己不主動去攻擊別人，在計算機上設(shè)置一個程序去監(jiān)聽目標(biāo)計算機與其他計算機通信的數(shù)據(jù)。 ? 網(wǎng)絡(luò)掃描：利用程序去掃描目標(biāo)計算機開放的端口等，目的是發(fā)現(xiàn)漏洞，為入侵該計算機做準(zhǔn)備。 ? 網(wǎng)絡(luò)入侵：當(dāng)探測發(fā)現(xiàn)對方存在漏洞以后，入侵到目標(biāo)計算機獲取信息。 ? 網(wǎng)絡(luò)后門：成功入侵目標(biāo)計算機后，為了對“戰(zhàn)利品”的長期控制，在目標(biāo)計算機中種植木馬等后門。 ? 網(wǎng)絡(luò)隱身：入侵完畢退出目標(biāo)計算機后，將自己入侵的痕跡清除，從而防止被對方管理員發(fā)現(xiàn)。 防御技術(shù) ? 防御技術(shù)包括四大方面： ? 操作系統(tǒng)的安全配置：操作系統(tǒng)的安全是整個網(wǎng)絡(luò)安全的關(guān)鍵。 ? 加密技術(shù)：為了防止被監(jiān)聽和盜取數(shù)據(jù)，將所有的數(shù)據(jù)進(jìn)行加密。 ? 防火墻技術(shù)：利用防火墻，對傳輸?shù)臄?shù)據(jù)進(jìn)行限制，從而防止被入侵。 ? 入侵檢測：如果網(wǎng)絡(luò)防線最終被攻破了，需要及時發(fā)出被入侵的警報。 網(wǎng)絡(luò)安全的攻防體系 ? 為了保證網(wǎng)絡(luò)的安全，在軟件方面可以有兩種選擇，一種是使用已經(jīng)成熟的工具，比如抓數(shù)據(jù)包軟件 Sniffer，網(wǎng)絡(luò)掃描工具 XScan等等，另一種是自己編制程序，目前網(wǎng)絡(luò)安全編程常用的計算機語言為 C、 C++或者 Perl語言。 ? 為了使用工具和編制程序，必須熟悉兩方面的知識：一方面是兩大主流的操作系統(tǒng)： UNIX家族和 Window系列操作系統(tǒng)，另一方面是網(wǎng)絡(luò)協(xié)議，常見的網(wǎng)絡(luò)協(xié)議包括： ? TCP（ Transmission Control Protocol，傳輸控制協(xié)議） ? IP（ Inter Protocol，網(wǎng)絡(luò)協(xié)議） ? UDP（ User Datagram Protocol，用戶數(shù)據(jù)報協(xié)議） ? SMTP（ Simple Mail Transfer Protocol，簡單郵件傳輸協(xié)議） ? POP（ Post Office Protocol，郵局協(xié)議） ? FTP（ File Transfer Protocol，文件傳輸協(xié)議）等等。 網(wǎng)絡(luò)安全的要求 ? 保密性 ? 完整性 ? 可用性 ? 身分驗證 ? 不可抵賴性 ? 授權(quán)和訪問控制 網(wǎng)絡(luò)安全的層次體系 ? 從層次體系上，可以將網(wǎng)絡(luò)安全分成四個層次上的安全： ? 物理安全； ? 邏輯安全； ? 操作系統(tǒng)安全； ? 聯(lián)網(wǎng)安全； ? 應(yīng)用安全； ? 人員安全。 物理安全 ? 物理安全主要包括五個方面： ? 防盜； 防火； 防靜電； 防雷擊；防電磁泄漏。 ? 防盜：像其他的物體一樣，計算機也是偷竊者的目標(biāo)，例如盜走軟盤、主板等。計算機偷竊行為所造成的損失可能遠(yuǎn)遠(yuǎn)超過計算機本身的價值，因此必須采取嚴(yán)格的防范措施，以確保計算機設(shè)備不會丟失。 物理安全 ? 防火：計算機機房發(fā)生火災(zāi)一般是由于電氣原因、人為事故或外部火災(zāi)蔓延引起的。電氣設(shè)備和線路因為短路、過載、接觸不良、絕緣層破壞或靜電等原因引起電打火而導(dǎo)致火災(zāi)。 ? 人為事故是指由于操作人員不慎，吸煙、亂扔煙頭等，使存在易燃物質(zhì)（如紙片、磁帶、膠片等）的機房起火，當(dāng)然也不排除人為故意放火。外部火災(zāi)蔓延是因外部房間或其他建筑物起火而蔓延到機房而引起火災(zāi)。 物理安全 ? 防靜電： ? 靜電是由物體間的相互摩擦、接觸而產(chǎn)生的，計算機顯示器也會產(chǎn)生很強的靜電。 ? 靜電產(chǎn)生后，由于未能釋放而保留在物體內(nèi)，會有很高的電位（能量不大），從而產(chǎn)生靜電放電火花，造成火災(zāi)。 ? 還可能使大規(guī)模集成電器損壞，這種損壞可能是不知不覺造成的。 物理安全 ? 利用引雷機理的傳統(tǒng)避雷針防雷，不但增加雷擊概率，而且產(chǎn)生感應(yīng)雷，而感應(yīng)雷是電子信息設(shè)備被損壞的主要殺手，也是易燃易爆品被引燃起爆的主要原因。 ? 雷擊防范的主要措施是，根據(jù)電氣、微電子設(shè)備的不同功能及不同受保護(hù)程序和所屬保護(hù)層確定防護(hù)要點作分類保護(hù)； ? 根據(jù)雷電和操作瞬間過電壓危害的可能通道從電源線到數(shù)據(jù)通信線路都應(yīng)做多層保護(hù)。 物理安全 ? 防電磁泄漏 ? 電子計算機和其他電子設(shè)備一樣，工作時要產(chǎn)生電磁發(fā)射。 ? 電磁發(fā)射包括輻射發(fā)射和傳導(dǎo)發(fā)射。 ? 這兩種電磁發(fā)射可被高靈敏度的接收設(shè)備接收并進(jìn)行分析、還原，造成計算機的信息泄露。 ? 屏蔽是防電磁泄漏的有效措施，屏蔽主要有電屏蔽、磁屏蔽和電磁屏蔽三種類型。 邏輯安全 ? 計算機的邏輯安全需要用口令、文件許可等方法來實現(xiàn)。 ? 可以限制登錄的次數(shù)或?qū)υ囂讲僮骷由蠒r間限制；可以用軟件來保護(hù)存儲在計算機文件中的信息； ? 限制存取的另一種方式是通過硬件完成，在接收到存取要求后，先詢問并校核口令，然后訪問列于目錄中的授權(quán)用戶標(biāo)志號。 ? 此外，有一些安全軟件包也可以跟蹤可疑的、未授權(quán)的存取企圖，例如，多次登錄或請求別人的文件。 操作系統(tǒng)安全 ? 操作系統(tǒng)是計算機中最基本、最重要的軟件。 ? 同一計算機可以安裝幾種不同的操作系統(tǒng)。 ? 如果計算機系統(tǒng)可提供給許多人使用，操作系統(tǒng)必須能區(qū)分用戶，以便于防止相互干擾。 ? 一些安全性較高、功能較強的操作系統(tǒng)可以為計算機的每一位用戶分配賬戶。 ? 通常，一個用戶一個賬戶。操作系統(tǒng)不允許一個用戶修改由另一個賬戶產(chǎn)生的數(shù)據(jù)。 聯(lián)網(wǎng)安全 ? 聯(lián)網(wǎng)的安全性通過兩方面的安全服務(wù)來達(dá)到： ? 訪問控制服務(wù)：用來保護(hù)計算機和聯(lián)網(wǎng)資源不被非授權(quán)使用。 ? 通信安全服務(wù)：用來認(rèn)證數(shù)據(jù)機要性與完整性，以及各通信的可信賴性。 應(yīng)用安全 ? 常指主機上安裝的應(yīng)用軟件的安全問題，如安全漏洞、自己編制的程序中的一些端口打開造成安全問題。 ? 從網(wǎng)上一些不可靠的站點下載未經(jīng)嚴(yán)格驗證的應(yīng)用軟件也可能帶來特洛伊木馬或者一些病毒等。 人員安全 ? 系統(tǒng)管理員嚴(yán)格執(zhí)行規(guī)定的網(wǎng)絡(luò)安全策略以及人員管理策略。 ? 制定安全策略時，要考慮防止外部人員對內(nèi)部網(wǎng)絡(luò)的攻擊，還要考慮如何防止內(nèi)部人員的攻擊。 計算機網(wǎng)絡(luò)的安全策略 ? 物理安全策略 ：物理安全策略的目的是保護(hù)計算機系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機等硬件實體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗證用戶的身份和使用權(quán)限、防止用戶越權(quán)操作；確保計算機系統(tǒng)有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進(jìn)入計算機控制室和各種偷竊、破壞活動的發(fā)生。 ? 訪問控制策略：訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非法訪問。它也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護(hù)作用，但訪問控制可以說是保證網(wǎng)絡(luò)安全最重要的核心策略之一。 ? 信息加密策略：信息加密的目的是保護(hù)網(wǎng)內(nèi)的數(shù)據(jù)、文件、口令和控制信息，保護(hù)網(wǎng)上傳輸?shù)臄?shù)據(jù)。網(wǎng)絡(luò)加密常用的方法有鏈路加密、端點加密和節(jié)點加密三種。鏈路加密的目的是保護(hù)網(wǎng)絡(luò)節(jié)點之間的鏈路信息安全；端 端加密的目的是對源端用戶到目的端用戶的數(shù)據(jù)提供保護(hù)；節(jié)點加密的目的是對源節(jié)點到目的節(jié)點之間的傳輸鏈路提供保護(hù)。用戶可根據(jù)網(wǎng)絡(luò)情況酌情選擇上述加密方式。 ? 網(wǎng)絡(luò)安全管理策略：在網(wǎng)絡(luò)安全中，除了采用上述技術(shù)措施之外，還可以加強網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度，對于確保網(wǎng)絡(luò)的安全、可靠地運行，將起到十分有效的作用。 環(huán)境配置 ? 網(wǎng)絡(luò)安全是一門實踐性很強的學(xué)科，包括許多試驗。 ? 良好的實驗配置是必須的。網(wǎng)絡(luò)安全實驗配置最少應(yīng)該有兩個獨立的操作系統(tǒng)，而且兩個操作系