【正文】 計算機網(wǎng)絡安全管理 葛秀慧等 編著 高等學校計算機科學與技術教材 總目錄 第 1章 網(wǎng)絡安全管理基礎 第 2章 加密技術 第 3章 Windows NT網(wǎng)絡操作系統(tǒng)的安全管理 第 4章 Windows 操作系統(tǒng)的安全管理 第 5章 Linux網(wǎng)絡操作系統(tǒng)的安全管理 第 6章 電子郵件的安全管理 第 7章 計算機病毒 第 8章 防火墻安全管理 第 9章 電子商務網(wǎng)站的安全 第 1章 網(wǎng)絡安全管理基礎 網(wǎng)絡體系結構概述 網(wǎng)絡體系結構的參考模型 系統(tǒng)安全結構 TCP/IP層次安全 TCP/IP服務安全 個人安全 局域網(wǎng)的安全 廣域網(wǎng)的安全 網(wǎng)絡安全威脅 網(wǎng)絡系統(tǒng)安全應具備的功能 網(wǎng)絡安全的主要攻擊形式 網(wǎng)絡安全的關鍵技術 保證網(wǎng)絡安全的措施 網(wǎng)絡的安全策略 第 1章 網(wǎng)絡安全管理基礎 在信息時代，信息安全問題越來越重要，而現(xiàn)在大部分信息都是通過網(wǎng)絡來傳播，網(wǎng)絡安全成為 21世紀世界十大熱門課題之一。網(wǎng)絡安全在 IT業(yè)內可分為：網(wǎng)絡安全硬件、網(wǎng)絡安全軟件、網(wǎng)絡安全服務。網(wǎng)絡硬件包括：防火墻和 VPN、獨立的 VPN、入侵檢測系統(tǒng)、認證令牌和卡、生物識別系統(tǒng)、加密機和芯片；網(wǎng)絡安全軟件包括：安全內容管理、防火墻／ VPN、入侵檢測系統(tǒng)、安全 3A、加密，其中安全內容管理還有防病毒、網(wǎng)絡控制和郵件掃描，安全 3A包括授權、認證和管理；網(wǎng)絡安全服務包括：顧問咨詢、設計實施、支持維護、教育培訓、安全管理。目前隨著互聯(lián)網(wǎng)的日益普及，網(wǎng)絡安全正在成為一個人們關注的焦點。而要保證網(wǎng)絡安全就必須對網(wǎng)絡進行安全的管理。讓我們先了解一下網(wǎng)絡體系結構的相關知識以及在相應模型中的安全問題。再對網(wǎng)絡安全進行詳細的分析以及討論解決網(wǎng)絡安全管理問題的關鍵技術。 167。 網(wǎng)絡體系結構概述 大家知道，一個計算機網(wǎng)絡有許多互相連接的接點，在這些接點之間要不斷的進行數(shù)據(jù)交換，要做到有序的交換數(shù)據(jù)，每個接點就必須遵守一些事先約定好的規(guī)則，這些規(guī)則明確規(guī)定了所交換的數(shù)據(jù)的格式以及相關的同步問題。這些為進行網(wǎng)絡數(shù)據(jù)交換而建立的規(guī)則、標準或約定就稱為網(wǎng)絡協(xié)議。一個網(wǎng)絡協(xié)議主要由以下三個要素組成： 語法，即數(shù)據(jù)與控制信息的結構或格式； 語義，即需要發(fā)出何種控制信息、完成何種協(xié)議以及做出何種應答； 同步，即事件實現(xiàn)順序的詳細說明。 由此可見，網(wǎng)絡協(xié)議是計算機網(wǎng)絡不可缺少的部分。很多經(jīng)驗和實踐表明，對于非常復雜的計算機網(wǎng)絡協(xié)議，為了減少網(wǎng)絡設計的復雜性，大多數(shù)網(wǎng)絡都按層（ layer）或級（ level）的方式來進行組織。不同的網(wǎng)絡，其層的數(shù)量、名字、內容和功能都不盡相同。這樣分層的好處在于：每一層都實現(xiàn)相對的獨立功能，因此就能將一個難以處理的復雜問題分解為若干個較容易處理的問題。 167。 網(wǎng)絡體系結構概述 計算機網(wǎng)絡的各層及協(xié)議的集合，稱為網(wǎng)絡的體系結構（ Network architecture）。換言之，計算機網(wǎng)絡的體系結構即使這個計算機網(wǎng)絡及其部件所應該完成的功能的精確定義。需要強調的是，這些功能究竟由何種硬件或軟完成，則是一個遵循這種體系結構的實現(xiàn)的問題?？梢婓w系結構是抽象的，是存在于紙上的，而實現(xiàn)是具體的，是運行在計算機軟件和硬件之上的。常見的網(wǎng)絡層次結構如圖 11所示： 167。 網(wǎng)絡體系結構概述 圖 11層、協(xié)議和接口 167。 網(wǎng)絡體系結構的參考模型 網(wǎng)絡體系結構的參考模型主要有兩種：即 OSI模型和 TCP/IP模型。 OSI參考模型 現(xiàn)代計算機網(wǎng)絡的設計，是按高度結構化方式進行的。為減少協(xié)議設計的復雜性，大多數(shù)網(wǎng)絡都按層或級的方式來組織，每一層都建立在它的下層之上；不同的網(wǎng)絡，其層的數(shù)量，各層的名字，內容和功能都不盡相同。然而，在所有的網(wǎng)絡中，每一層的目的，都是向它的上一層提供服務的，而把這種服務是如何實現(xiàn)的細節(jié)對上層加以屏蔽。 最著名的網(wǎng)絡體系結構是國際標準化組織 ISO的開放系統(tǒng)互聯(lián) OSI（ Open System Interconnection）參考模型，即我們通常所提的 OSI模型。 OSI模型有七層，其分層原則如下： 根據(jù)功能的需要分層； 每一層應當實現(xiàn)一個定義明確的功能； 每一層功能的選擇應當有利于制定國際標準化協(xié)議； 各層界面的選擇應當盡量減少通過接口的信息量； 層數(shù)應足夠多，以避免不同的功能混雜在同一層中；但也不能過多，否則體系結構會過于龐大。 OSI參考模型由低到高依次是物理層、數(shù)據(jù)鏈路層、網(wǎng)絡層、傳輸層、會話層、表示層和應用層，其體系結構如圖： 圖 12基于 OSI參考模型 TCP/IP協(xié)議結構體系 TCP/IP協(xié)議體系結構與 OSI參考模型類似，也為分層體系結構，但比 OSI參考模型的層數(shù)要少，一般只的四層結構，從低到高，依次為網(wǎng)絡接口層、網(wǎng)絡層、傳輸層和應用層。 圖 13基于 TCP/IP的參考模型 系統(tǒng)安全結構 網(wǎng)絡系統(tǒng)的安全涉及到平臺的各個方面。按照網(wǎng)絡 OSI的 7層模型，網(wǎng)絡安全貫穿于整個 7層模型。針對網(wǎng)絡系統(tǒng)實際運行的 TCP/IP協(xié)議，網(wǎng)絡安全貫穿于信息系統(tǒng)的 4個層次。 1. 物理層 物理層信息安全，主要防止物理通路的損壞、物理通路的竊聽、對物理通路的攻擊（干擾等）。 2. 數(shù)據(jù)鏈路層 數(shù)據(jù)鏈路層的網(wǎng)絡安全需要保證通過網(wǎng)絡鏈路傳送的數(shù)據(jù)不被竊聽。主要采用劃分 VLAN（局域網(wǎng)）、加密通訊（遠程網(wǎng)）等手段。 3. 網(wǎng)絡層 網(wǎng)絡層的安全需要保證網(wǎng)絡只給授權的客戶使用授權的服務，保證網(wǎng)絡路由正確，避免被攔截或監(jiān)聽。 4. 操作系統(tǒng) 操作系統(tǒng)安全要求保證客戶資料、操作系統(tǒng)訪問控制的安全，同時能夠對該操作系統(tǒng)上的應用進行審計。 5. 應用平臺 應用平臺指建立在網(wǎng)絡系統(tǒng)之上的應用軟件服務，如數(shù)據(jù)庫服務器、電子郵件服務器、 Web服務器等。由于應用平臺的系統(tǒng)非常復雜，通常采用多種技術（如 SSL等）來增強應用平臺的安全性。 6. 應用系統(tǒng) 應用系統(tǒng)完成網(wǎng)絡系統(tǒng)的最終目的 為用戶服務。應用系統(tǒng)的安全與系統(tǒng)設計和實現(xiàn)關系密切。應用系統(tǒng)使用應用平臺提供的安全服務來保證基本安全如通訊內容安全，通訊雙方的認證，審計等手段。 TCP/IP層次安全 Inter層的安全性 Inter層是非常適合提供基于主機對主機的安全服務的。相應的安全協(xié)議可以用來在 Inter上建立安全的 IP通道和虛擬私有網(wǎng)。例如，利用它對 IP包的加密和解密功能，可以簡捷地強化防火墻系統(tǒng)的防衛(wèi)能力。 傳輸層的安全性 在 Inter中提供安全服務的首先一個想法便是強化它的 IPC界面，如 BSD Sockets等，具體做法包括雙端實體的認證，數(shù)據(jù)加密密鑰的交換等。 Netscape通信公司遵循了這個思路，制定了建立在可靠的傳輸服務 (如 TCP/IP所提供 )基礎上的安全套接層協(xié)議 (SSL)。 SSL版本 3(SSL v3)于 1995年 12月制定。 應用層的安全性 網(wǎng)絡層 (傳輸層 )的安全協(xié)議允許為主機 (進程 )之間的數(shù)據(jù)通道增加安全屬性。 TCP/IP的服務安全 ＷＷＷ服務 WWW服務相對于其它服務出現(xiàn)比較晚，是基于超文本傳輸協(xié)議（HTTP），是人們最常使用的 Inter服務。隨著 Netscape公司推出安全套接字層（ SSL）， WWW服務器和瀏覽器的安全性得到大大的提高，現(xiàn)在人們已經(jīng)把這種技術應用于電子商務 (Ebusiness)，例如在美國，人們可以在因特網(wǎng)上買賣股票和使用信用卡購物。 電子郵件服務 電子郵件服務給人們提供了一種方便和快捷的服務，現(xiàn)在大部分人都有一個或多個 Email地址?，F(xiàn)在，任何一個大型網(wǎng)站上都有免費或收費電子郵件的申請。電子郵件附件中的 Word文件或其他文件中有可能會帶有病毒，電子郵件炸彈也是一個令人頭疼的問題，收到了一大堆垃圾郵件，直到郵件箱被塞滿，也會使用戶。所以電子郵件的安全我們將在第七章中講述。希望對讀者的電子郵件安全起到一定作用。 FTP服務和 TFTP服務 這兩個服務都是用于傳輸文件的，但用的場合不同，安全程度也不同。 TFTP服務用于局域網(wǎng)，在無盤工作站啟動時用于傳輸系統(tǒng)文件，安全性極差，常被人用來竊取密碼文件 /etc/passwd，因為它不帶有任何安全認證。 FTP服務對于局域網(wǎng)和廣域網(wǎng)都可以，可以用來下載任何類型的文件。 Finger服務 Finger服務于查詢用戶的信息，包括網(wǎng)上成員的真實姓名、用戶名、最近的登錄時間、地點等，也可以用來顯示當前登錄在機器上的所有用戶名，這對于入侵者來說是無價之寶，因為它能告訴他在本機上的有效的登錄名，然后入侵就可以注意其活動。 其它的服務 除了上面提到的 Finger和 TFTP，還有 XWindow服務，基于 RPC的NFS服務， BSD Unix的以“ r‖開頭的服務，如 Rlogin， rsh， rexec。這些服務在設計上安全性很差，一般只在內部網(wǎng)使用。如果有防火墻，應把這些服務限制在內部網(wǎng)中。 關于個人網(wǎng)絡的安全是很重要的，如果你的網(wǎng)上免費信箱被炸，上網(wǎng)帳號被偷用那對用戶就造成了損失，下面簡單介紹一下應該注意的問題。 1. 郵箱中標題不明的郵件不能隨便打開。 2. 在聊天室或 BBS上不公開自己的 IP、郵件地址等各人隱私。 3. 要經(jīng)常更換自己計算機的密碼。另外，不要當外人的面輸入密碼，密碼的長度足夠長。 4. 一般不要讓計算機記住密碼，以免別人使用你的計算機使自己的機密外泄。 5. 不要在自己的計算機上運行不明的程序，這些可能是黑客程序。 局域網(wǎng)的安全 局域網(wǎng)安全方法有如下幾種： 網(wǎng)絡分段 網(wǎng)絡分段是保證安全的一項重要措施，就是將非法用戶與網(wǎng)絡資源相互隔離，從而達到限制用戶非法訪問的目的。 網(wǎng)絡分段可分為物理分段和邏輯分段兩種方式： 1. 物理分段 通常是指將網(wǎng)絡從物理層和數(shù)據(jù)鏈路層（ ISO/OSI模型中的第一層和第二層）上分為若干網(wǎng)段，各網(wǎng)段相互之間無法進行直接通訊。目前，許多交換機都有一定的訪問控制能力，可實現(xiàn)對網(wǎng)絡的物理分段。 2. 邏輯分段 網(wǎng)絡分段是指將整個系統(tǒng)在網(wǎng)絡層（ ISO/OSI模型中的第三層）上進行分段。例如，對于 TCP/IP網(wǎng)絡，可把網(wǎng)絡分成若干 IP子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交換機、網(wǎng)關或防火墻等設備進行連接，利用這些中間設備（含軟件、硬件）的安全機制來控制各子網(wǎng)間的訪問。在實際應用過程中，通常采取物理分段與邏輯分段相結合的方法來實現(xiàn)對網(wǎng)絡系統(tǒng)的安全性控制。 以交換式集線器代替共享式集線器 對局域網(wǎng)的中心交換機進行網(wǎng)絡分段后，以太網(wǎng)偵聽的危險仍然存在。這是因為網(wǎng)絡最終用戶的接入往往是通過分支集線器而不是中心交換機，而使用最廣泛的分支集線器通常是共享式集線器。這樣，當用戶與主機進行數(shù)據(jù)通信時，兩臺機器之間的數(shù)據(jù)包（為單播包 Unicast Packet）還是會被同一臺集線器上的其他用戶所偵聽。一種很危險的情況是：用戶 TELNET到一臺主機上，由于 TELNET程序本身缺乏加密功能，用戶所鍵入的每一個字符（包括用戶名、密碼等重要信息），都將被明文發(fā)送，這就給黑客提供了機會。 因此，應該以交換式集線器代替共享式集線器，使單播包僅在兩個節(jié)點之間傳送，從而防止非法偵聽。 虛擬專用網(wǎng) 虛擬網(wǎng)技術主要基于近年發(fā)展的局域網(wǎng)交換技術 (ATM和以太網(wǎng)交換 )。交換技術將傳統(tǒng)的基于廣播的局域網(wǎng)技術發(fā)展為面向連接的技術。因此，網(wǎng)管系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無需通過開銷很大的路由器。 廣域網(wǎng)的安全 加密技術 加密型網(wǎng)絡安全技術的基本思想是不依賴于網(wǎng)絡中數(shù)據(jù)通道的安全性來實現(xiàn)網(wǎng)絡系統(tǒng)的安全，而是通過對網(wǎng)絡數(shù)據(jù)的加密來保障網(wǎng)絡的安全可靠性。數(shù)據(jù)加密技術可以分為三類，即對稱型加密、不對稱型加密和不可逆加密。 VPN技術 VPN（虛擬專網(wǎng)）技術的核心是采用隧道技術，將企業(yè)專網(wǎng)的數(shù)據(jù)加密封裝后，透過虛擬的公網(wǎng)隧道進行傳輸，從而防止敏感數(shù)據(jù)的被竊。 VPN可以在 Inter、服務提供商的 IP、幀中繼或 ATM網(wǎng)上建立。企業(yè)通過公網(wǎng)建立 VPN，就如同通過自己的專用網(wǎng)建立內部網(wǎng)一樣，享有較高的安全性、優(yōu)先性、可靠性和可管理性，同時還為移動計算提供了可能。因此， VPN技術一經(jīng)推出，深得人心， VPN技術是一種很好的安全技術。 身份認證技術 對于從外部撥號訪問總部內部網(wǎng)的用戶，由于使用公共電話網(wǎng)進行數(shù)據(jù)傳輸所帶來的風險，必須更加嚴格控制其安全性。一種常見的做法是采用身份認證技術，對撥號用戶的身份進行驗證并記錄完備的登錄日志。較常用的身份認證技術，有 Cisco公司提出的 TACACS＋以及業(yè)界標準的 RADIUS等。 網(wǎng)絡安全威脅 1. 安全漏洞 安全漏洞是資源容易遭受攻擊的位置。它可以被視為是一個弱點。安全漏洞通常按表 12的方法進行分類。 安全漏洞類型有物理自然的，硬件和軟件的，媒介的，通信的（未加密的協(xié)議），人為的等2. 乘虛攻擊 一個威脅通過利用您環(huán)境中的安全漏洞就可以訪問到您的資源。這種類型的攻擊也