網(wǎng)絡(luò)安全訪問控制與防火墻技術(shù)-wenkub
2023-02-27 11:14:12 本頁面
【正文】 墻常見的有三種類型：數(shù)據(jù)包過濾路由器、應(yīng)用層網(wǎng)關(guān)、電路層網(wǎng)關(guān)。 （ 5）防火墻無法防范數(shù)據(jù)驅(qū)動型的攻擊。 3． 防火墻的局限性 （ 1）限制有用的網(wǎng)絡(luò)服務(wù)。 （ 3）防火墻可以方便地監(jiān)視網(wǎng)絡(luò)的安全性并報警。 4． 基于口令的機制 （ 1）與目標(biāo)的內(nèi)容相關(guān)的訪問控制 （ 2）多用戶訪問控制 （ 3）基于上下文的控制 對于用戶而言， Windows NT/2K有以下幾種管理手段： 1． 用戶帳號和用戶密碼 3． 1． 4 Windows NT/2K 安全訪問控制手段 2． 域名管理 3． 用戶組權(quán)限 4． 共享資源權(quán)限 3． 2 防火墻技術(shù) 基礎(chǔ) 1． 防火墻（ FireWall） ?一個防火墻的基本目標(biāo)為： 1）對于一個網(wǎng)絡(luò)來說，所有通過“內(nèi)部”和“外部”的網(wǎng)絡(luò)流量都要經(jīng)過防火墻； 2）通過一些安全策略，來保證只有經(jīng)過授權(quán)的流量才可以通過防火墻； 3）防火墻本身必須建立在安全操作系統(tǒng)的基礎(chǔ)上。 1. 訪問控制表 (ACL) ?優(yōu)點： 控制粒度比較小，適用于被區(qū)分的用戶數(shù)比較小的情況，并且這些用戶的授權(quán)情況相對比較穩(wěn)定的情形。 多級策略給每個目標(biāo)分配一個密級，一般安全屬性可分為四個級別：最高秘密級（ Top Secret）、秘密級（ Secret）、機密級（Confidene）以及無級別級（ Unclassified ）。 ? 特點：靈活性高 ， 被大量采用 。 3. 訪問控制的作用 （ 1）訪問控制對機密性、完整性起直接 的作用。退出 網(wǎng)絡(luò)安全技術(shù) ?學(xué)習(xí)目的： ? 了解 訪問控制技術(shù) 的基本概念 ? 熟悉 防火墻技術(shù)基礎(chǔ) ? 初步掌握 防火墻安全設(shè)計策略 ? 了解防火墻攻擊策略 ? 了解 第四代防火墻的主要技術(shù) ? 了解 防火墻發(fā)展的新方向 ? 了解防火墻選擇原則與常見產(chǎn)品 ?學(xué)習(xí)重點： ? Windows NT/2K安全訪問控制手段 ? 防火墻安全設(shè)計策略 ? 防火墻攻擊策略 ? 防火墻選擇原則 3． 1 訪問控制技術(shù) 3． 1． 1 訪問控制技術(shù)概述 1. 訪問控制的定義 訪問控制是針對越權(quán)使用資源的防御措施，是網(wǎng)絡(luò)安全防范和保護的主要策略，主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非常訪問。 （ 2）對于可用性的有效控制 3． 1． 2 訪問控制策略 訪問控制策略 (Access Control Policy)是在系統(tǒng)安全策略級上表示授權(quán)，是對訪問如何控制、如何作出訪問決定的高層指南。 ? 缺點：安全性最低 。 3． 1． 3 訪問控制的常用實現(xiàn)方法 訪問控制的常用實現(xiàn)方法是指訪問控制策略的軟硬件低層實現(xiàn)。 2. 訪問能力表 授權(quán)機構(gòu)針對每個限制區(qū)域，都為用戶維護它的訪問控制能力。 3． 2． 1 防火墻概述 ?所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾網(wǎng)絡(luò)（如Inter）分開的方法，它實際上是一種隔離技術(shù)，是在兩個網(wǎng)絡(luò)通信時執(zhí)行的一種訪問控制手段，它能允許用戶“同意”的人和數(shù)據(jù)進入網(wǎng)絡(luò)，同時將用戶“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來訪問自己的網(wǎng)絡(luò)，防止他們更改、復(fù)制和毀壞自己的重要信息。 （ 4）可以作為部署網(wǎng)絡(luò)地址轉(zhuǎn)換（ Network Address Translation ）的地點，利用 NAT 技術(shù)，可以緩解地址空間的短缺，隱藏內(nèi)部網(wǎng)的結(jié)構(gòu)。 （ 2）無法防護內(nèi)部網(wǎng)絡(luò)用戶的攻擊。 （ 6）不能防備新的網(wǎng)絡(luò)安全問題。 3． 2． 2 防火墻的類型 （ 1）數(shù)據(jù)包過濾原理 ?數(shù)據(jù)包過濾技術(shù)是防火墻最常用的技術(shù)。 ? 包過濾檢查模塊深入到系統(tǒng)的網(wǎng)絡(luò)層和數(shù)據(jù)鏈路層之間。 ② 按地址過濾 ?比如說，認(rèn)為網(wǎng)絡(luò) ，那么就可以用源地址過濾禁止內(nèi)部主機和該網(wǎng)絡(luò)進行通信。 （ 2）數(shù)據(jù)包過濾特性分析 ?主要優(yōu)點：是僅一個關(guān)健位置設(shè)置一個數(shù)據(jù)包過濾路由器就可以保護整個網(wǎng)絡(luò)，而且數(shù)據(jù)包過濾對用戶是透明的，不必在用戶機上再安裝特定的軟件 ?缺點和局限性：包過濾規(guī)則配置比較復(fù)雜，而且?guī)缀鯖]有什么工具能對過濾規(guī)則的正確性進行測試；包過濾也沒法查出具有數(shù)據(jù)驅(qū)動攻擊這一類潛在危險的數(shù)據(jù)包；由于 數(shù)據(jù)包過濾是通過源地址來做判斷的，但 IP地址是很容易改變的，所以源地址欺騙用數(shù)據(jù)包過濾的方法不能查出來。代理能提供部分與傳輸有關(guān)的狀態(tài)，能完全提供與應(yīng)用相關(guān)的狀態(tài)和部分傳輸方面的信息，代理也能處理和管理信息。當(dāng)決定轉(zhuǎn)發(fā)時，代理服務(wù)器上的 Tel客戶進程向真正的 Tel服務(wù)器發(fā)出請求， Tel服務(wù)器返回的數(shù)據(jù)是由代理服務(wù)器轉(zhuǎn)發(fā)給 Tel客戶機。 ④ 提供代理服務(wù)的防火墻可以被配置成惟一的可被外部看見的主機，這樣可以隱藏內(nèi)部網(wǎng)的 IP地址，可以保護內(nèi)部主機免受外部主機的進攻。 ② 有限的技術(shù)。 （ 2）數(shù)據(jù)包過濾與代理服務(wù)的比較 ? 代理服務(wù)在安全方面比包過濾強，但它們在性能和透明度上比較差。 （ 3）應(yīng)用層網(wǎng)關(guān)實現(xiàn) ?編寫代理軟件 ?客戶軟件 ?協(xié)議對于應(yīng)用層網(wǎng)關(guān)的處理 （ 4）應(yīng)用層網(wǎng)關(guān)的特點和發(fā)展方向 ?智能代理 3． 電路級網(wǎng)關(guān)技術(shù) ?電路級網(wǎng)關(guān)（ Circuit Level Gateway）也是一種代理，但是只能是建立起一個回路，對數(shù)據(jù)包只起轉(zhuǎn)發(fā)的作用。 ?優(yōu)點：它可以對各種不同的協(xié)議提供服務(wù)，但這種代理需要改進客戶程序。路由器上可以安裝基于 IP層的報文過濾軟件，實現(xiàn)報文過濾功能。 3． 被屏蔽主機網(wǎng)關(guān) (ScreenedGatewy) ?屏蔽主機網(wǎng)關(guān)易于實現(xiàn)也最為安全。 3． 3． 2 網(wǎng)絡(luò)服務(wù)訪問權(quán)限策略 安全策略分為兩個層次：網(wǎng)絡(luò)服務(wù)訪問策略和防火墻設(shè)計策略。 比如，在最高層，某個組織機構(gòu)的總體策略： (1) 內(nèi)部信息對于一個組織的經(jīng)濟繁榮是至關(guān)重要的； (2) 應(yīng)使用各種經(jīng)濟實惠的辦法來保證我們的信息的機密性、完整性、真實性、和可用性； (3) 保護數(shù)據(jù)信息的機密性、完整性和可用性是高于一切的，是不同層次的員工的責(zé)任； (4) 所有信息處理的設(shè)備將被用于經(jīng)過授權(quán)的任務(wù)。 ?兩種基本設(shè)計策略： 第一種，除非明確不允許，否則允許某種服務(wù)。 總之，防火墻好壞取決于安全性和靈活性的要求，所以在實施防火墻之前，考慮一下策略是至關(guān)重要的。防火墻能夠?qū)⑹跈?quán)用戶的數(shù)據(jù)進行加密并使這個信息穿過防火墻而進入公共網(wǎng)絡(luò)。 3． 4． 2 通過防火墻認(rèn)證機制策略 通過防火墻認(rèn)證機制策略，是指采取地址欺騙、TCP序號攻擊等方法繞過防火墻的認(rèn)證機制，從而對防火墻和內(nèi)部網(wǎng)絡(luò)破壞。這種攻擊難度比較大，可是破壞性很大。 3． 4． 3 利用防火墻漏洞策略 3． 5 第四代防火
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1