網(wǎng)絡安全技術(shù)人員培訓(安全基礎)(編輯修改稿)
2025-02-06 00:43 本頁面
【文章內(nèi)容簡介】 網(wǎng)絡層 傳輸層 應用層 表示層 會話層 審計與監(jiān)控 身份認證 數(shù)據(jù)加密 數(shù)字簽名 完整性鑒別 端到端加密 訪問控制 鏈路加密 物理信道安全 物理隔離 ?訪問控制 ?數(shù)據(jù)機密性 ?數(shù)據(jù)完整性 ?用戶認證 ?防抵賴 ?安全審計 網(wǎng)絡安全層次 層次 模型 網(wǎng)絡安全技術(shù) 實現(xiàn)安全目標 用戶 安全 ?服務可用 安全技術(shù)選擇 根據(jù)協(xié)議層次 物理層：物理隔離 鏈路層 : 鏈路加密技術(shù)、 PPTP/L2TP 網(wǎng)絡層 : IPSec協(xié)議（ VPN）、 防火墻 TCP 層 : SSL 協(xié)議、基于公鑰的認證和對稱鑰加密技術(shù) 應用層 : SHTTP、 PGP、 S/MIME、 SSH(Secure shell)、 開發(fā)專用協(xié)議（ SET） 網(wǎng)絡安全工具 ? 物理隔離設備 ? 交換機 /路由器安全模塊 ? 防火墻 (Firewall) ? 漏洞掃描器 ? 入侵檢測系統(tǒng) IDS、入侵防御系統(tǒng) IPS、安全審計系統(tǒng)、日志審計系統(tǒng) ?綠盟遠程安全評估系統(tǒng) ? 虛擬專用網(wǎng)（ VPN） 、上網(wǎng)行為管理系統(tǒng) ? 病毒防護（防病毒軟件、防毒墻、防木馬軟件等） ? 網(wǎng)絡加速，負載均衡、流量控制 ?…… 物理隔離 主要分兩種： ?雙網(wǎng)隔離計算機 ?物理隔離網(wǎng)閘 雙網(wǎng)隔離計算機 ? 解決每人 2臺計算機的問題 ? 1臺計算機，可以分時使用內(nèi)網(wǎng)或外網(wǎng) ? 關(guān)鍵部件 ? 硬盤 ? 網(wǎng)線 ? 軟盤 /USB/MODEM等 ? 共享部件 ? 顯示器 ? 鍵盤 /鼠標 ? 主板 /電源 ? 硬盤 * ? 原理 ? 切換關(guān)鍵部件 簡單雙網(wǎng)隔離計算機 外網(wǎng)硬盤 內(nèi)網(wǎng)硬盤 外網(wǎng)網(wǎng)線 內(nèi)網(wǎng)網(wǎng)線 公共部件 控制卡 控制開關(guān) 復雜雙網(wǎng)隔離計算機 內(nèi)網(wǎng)硬盤 外網(wǎng)網(wǎng)線 內(nèi)網(wǎng)網(wǎng)線 公共部件 控制卡 遠端設備 使用控制卡上的翻譯功能將硬盤分為邏輯上獨立的部分 充分使用 UTP中的 8芯，減少一根網(wǎng)線 物理隔離網(wǎng)閘的基本原理 ?采用數(shù)據(jù)“擺渡”的方式實現(xiàn)兩個網(wǎng)絡之間的信息交換 ?在任意時刻，物理隔離設備只能與一個網(wǎng)絡的主機系統(tǒng)建立非 TCP/IP協(xié)議的數(shù)據(jù)連接，即當它與外部網(wǎng)絡相連接時，它與內(nèi)部網(wǎng)絡的主機是斷開的，反之亦然。 ?任何形式的數(shù)據(jù)包、信息傳輸命令和 TCP/IP協(xié)議都不可能穿透物理隔離設備。物理隔離設備在網(wǎng)絡的第 7層講數(shù)據(jù)還原為原始數(shù)據(jù)文件，然后以“擺渡文件”形式傳遞原始數(shù)據(jù)。 物理隔離實現(xiàn)基本原理（ 1） 物理隔離實現(xiàn)基本原理（ 2） ?內(nèi)外網(wǎng)模塊連接相應網(wǎng)絡實現(xiàn)數(shù)據(jù)的接收及預處理等操作； ?交換模塊采用專用的高速隔離電子開關(guān)實現(xiàn)與內(nèi)外網(wǎng)模塊的數(shù)據(jù)交換，保證任意時刻內(nèi)外網(wǎng)間沒有鏈路層連接； ?數(shù)據(jù)只能以專用數(shù)據(jù)塊方式靜態(tài)地在內(nèi)外網(wǎng)間通過網(wǎng)閘進行“擺渡”，傳送到網(wǎng)閘另一側(cè)； ?集成多種安全技術(shù)手段，采用強制安全策略，對數(shù)據(jù)內(nèi)容進行安全檢測，保障數(shù)據(jù)安全、可靠的交換。 物理隔離技術(shù)的應用 ?涉密網(wǎng)和非涉密網(wǎng)之間 物理隔離技術(shù)的優(yōu)缺點 ?優(yōu)點： 中斷直接連接 強大的檢查機制 最高的安全性 ?缺點： 對協(xié)議不透明，對每一種協(xié)議都要一種具體的實現(xiàn) 效率低 交換機安全模塊 ?MAC綁定 ?QOS設置 ?多 VLAN劃分 ?日志 ?其他 … 路由器安全功能 ?訪問控制鏈表 ?基于源地址 /目標地址 /協(xié)議端口號 ?路徑的完整性 ?防止 IP假冒和拒絕服務（ Antispoofing/DDOS） ? 檢查源地址： ip verify unicast reversepath ? 過濾 RFC1918 地址空間的所有 IP包； ?關(guān)閉源路由： no ip sourceroute ?路由協(xié)議的過濾與認證 ?Flood 管理 ?日志 ?其他抗攻擊功能 ? VPN通過一個私有的通道來創(chuàng)建一個安全的私有連接，將遠程用戶、公司分支機構(gòu)、公司的業(yè)務伙伴等跟企業(yè)網(wǎng)連接起來，形成一個擴展的公司企業(yè)網(wǎng) ? 提供高性能、低價位的因特網(wǎng)接入 ? VPN是企業(yè)網(wǎng)在公共網(wǎng)絡上的延伸 VPN簡介 網(wǎng)上數(shù)據(jù)泄漏的風險 Inter 內(nèi)部網(wǎng) 惡意修改通道終點到：假冒網(wǎng)關(guān) 外部段 （公共因特網(wǎng)） ISP接入設備 原始終點為： 安全網(wǎng)關(guān) 1. 數(shù)據(jù)在到達終點之前要經(jīng)過許多路由器，明文傳輸?shù)膱笪暮苋菀自诼酚善魃媳徊榭春托薷? 2. 監(jiān)聽者可以在其中任一段鏈路上監(jiān)聽數(shù)據(jù) 3. 逐段加密不能防范在路由器上查看報文，因為路由器需要解密報文選擇路由信息，然后再重新加密發(fā)送 4. 惡意的 ISP可以修改通道的終點到一臺假冒的網(wǎng)關(guān) 遠程訪問 搭線監(jiān)聽 攻擊者 ISP ISP竊聽 正確通道 VPN功能 ? 數(shù)據(jù)機密性保護 ? 數(shù)據(jù)完整性保護 ? 數(shù)據(jù)源身份認證 ? 重放攻擊保護 遠程訪問 Inter 內(nèi)部網(wǎng) 合作伙伴 分支機構(gòu) 虛擬私有
試題試卷相關(guān)推薦
鄂ICP備17016276號-1