【文章內(nèi)容簡介】 12 31=37200種 。 (4)使用常用的英文單詞作為口令 。 這種方法比前幾種方法要安全一些 。 一般用戶選擇的英文單詞幾乎都落在黑客的字典庫里 。 (5)使用 5位或 5位以下的字符作為口令 。 加強口令安全的措施： A、 禁止使用缺省口令 。 B、 定期更換口令 。 C、 保持口令歷史記錄 ， 使用戶不能循環(huán)使用舊口令 。 D、 用口令破解程序測試口令 。 口令攻擊的種類 計算資源依靠口令的方式來保護是很脆弱的 1） 網(wǎng)絡(luò)數(shù)據(jù)流竊聽 由于認證信息要通過網(wǎng)絡(luò)傳遞 ， 并且很多認證系統(tǒng)的口令是未經(jīng)加密的明文 ， 攻擊者通過竊聽網(wǎng)絡(luò)數(shù)據(jù) ， 就很容易分辨出某種特定系統(tǒng)的認證數(shù)據(jù) ， 并提取出用戶名和口令 。 口令被盜也就是用戶在這臺機器上的一切信息將全部喪失 ， 并且危及他人信息安全 ， 計算機只認口令不認人 。 最常見的是電子郵件被非法截獲 。 口令攻擊的種類 2） 認證信息截取 /重放 (Record/Replay) 有的系統(tǒng)會將認證信息進行簡單加密后進行傳輸 ，如果攻擊者無法用第一種方式推算出密碼 ， 可以使用截取 /重放方式 。 對付重放的方法有： ? 在認證交換中使用一個序數(shù)來給每一個消息報文編號 ，僅當收到的消息序號合法時才接受之； ? 使用時間戳 (A接受一個新消息僅當該消息包含一個 A認為是足夠接近 A所知道的時間戳 )。 ? 詢問 /應(yīng)答方式 (A期望從 B獲得一個新消息 ， 則先發(fā)給 B一個臨時值 ， 并要求后續(xù)從 B收到的消息包含正確的這個臨時值 ) 口令攻擊的種類 3） 字典攻擊：由于多數(shù)用戶習慣使用有意義的單詞或數(shù)字作為密碼 ， 某些攻擊者會使用字典中的單詞來嘗試用戶的密碼 。 所以大多數(shù)系統(tǒng)都建議用戶在口令中加入特殊字符 ， 以增加口令的安全性 。 4） 窮舉嘗試 (Brute Force)： 這是一種特殊的字典攻擊 ，它使用字符串的全集作為字典 。 如果用戶的密碼較短 ，很容易被窮舉出來 ， 因而很多系統(tǒng)都建議用戶使用長口令 。 5） 窺探： 攻擊者利用與被攻擊系統(tǒng)接近的機會 ， 安裝監(jiān)視器或親自窺探合法用戶輸入口令的過程 ， 以得到口令 。 口令攻擊的種類 6） 社交工程： 攻擊者冒充合法用戶發(fā)送郵件或打電話給管理人員 ， 以騙取用戶口令 。 比如 ， 在終端上發(fā)現(xiàn)如下信息： Please enter your user name to logon: Your password: 這很可能是一個模仿登錄信息的特洛伊木馬程序 ， 他會記錄口令 ， 然后傳給入侵者 。 7） 垃圾搜索： 攻擊者通過搜索被攻擊者的廢棄物 ， 得到與攻擊系統(tǒng)有關(guān)的信息 ， 如果用戶將口令寫在紙上又隨便丟棄 ， 則很容易成為垃圾搜索的攻擊對象 。 口令猜測與防止 口令猜中概率公式： P=L?R/S 其中 ， L：口令生命周期 R：進攻者單位時間內(nèi)猜測不同口令次數(shù)； S：所有可能口令的數(shù)目 。 為降低猜中的概率： ? 減少口令使用壽命 ， 即提高口令更換的頻率 。 ? 降低進攻者單位時間內(nèi)猜測嘗試口令的次數(shù) 。 ? 增加可能口令的數(shù)目 ， 即提高口令的字符個數(shù) 。 然而 ， 口令的頻繁更換增加了用戶的負擔 ， 也為資深入侵者提供了條件 (為了便于記憶 ， 人們往往選擇與其個人相關(guān)的口令 ， 如某重要的日期 )；口令字符個數(shù)的增加也會增加用戶的負擔且不會對資深入侵者有更大影響 ，因此 ， 手段 2應(yīng)是較為有效的防猜中手段 。 即： 口令猜測與防止 共 7個方法： 讓硬件解密商品不能發(fā)揮作用 。 (長度 、 混合 、 大小寫 ) 先輸入口令 ， 然后口令程序取一個 12 位的隨機數(shù)(通過讀取實時時鐘 )并把它并在用戶輸入的口令后面 。 然后加密這個復(fù)合串 。 最后把 64 位的加密結(jié)果連同 12 位的隨機數(shù)一起存入口令文件 。 口令猜測與防止 例：打入一個用戶名后 ， 不論賬戶是否存在 ， 都在相同時間里要求輸入口令 。 。 6. 系統(tǒng)中只保存口令的加密形式 口令猜測與防止 （ OTP： One Time Password） 在登錄過程中加入不確定因素 ， 使每次登錄過程中傳送的信息都不相同 ， 以對付重放攻擊 。確定口令的方式： 1） 聲稱者與驗證者兩端共同擁有一串隨機口令 ，在該串的某一位置保持同步 。 用于人工控制環(huán)境中 。 2） 兩端共同使用一個隨機序列生成器 ， 在序列生成器的初態(tài)保持同步 。 3） 使用時戳 ， 兩端維持同步的時鐘 。 防火墻 防火墻是一種用來加強網(wǎng)絡(luò)之間訪問控制的特殊網(wǎng)絡(luò)設(shè)備，常常被安裝在受保護的內(nèi)部網(wǎng)絡(luò)連接到 Inter的點上，它對傳輸?shù)臄?shù)據(jù)包和連接方式按照一定的安全策略對其進行檢查，來決定網(wǎng)絡(luò)之間的通信是否被允許。防火墻能有效得控制內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的訪問及數(shù)據(jù)傳輸，從而達到保護內(nèi)部網(wǎng)絡(luò)的信息不受外部非授權(quán)用戶的訪問和對不良信息的過濾。 什么是防火墻 (Firewall) ？ 防火墻：在兩個信任程度不同的網(wǎng)絡(luò)之間設(shè)置的、用于加強訪問控制的軟硬件保護設(shè)施。 一、防火墻的用途 1） 作為 “ 扼制點 ” ， 限制信息的進入或離開； 2） 防止侵入者接近并破壞你的內(nèi)部設(shè)施； 3） 監(jiān)視 、 記錄 、 審查重要的業(yè)務(wù)流； 4） 實施網(wǎng)絡(luò)地址轉(zhuǎn)換 ， 緩解地址短缺矛盾 。 防火墻只允許已授權(quán)的業(yè)務(wù)流通過 ， 而且本身也應(yīng)抵抗?jié)B透攻擊 。 建立防火墻必須全面考慮安全策略 ， 否則形同虛設(shè) 。 二、好的防火墻系統(tǒng) 1） 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)必須通過防火墻； 2） 只有防火墻系統(tǒng)中安全策略允許的數(shù)據(jù)可以通過防火墻； 3） 防火墻本身不受各種攻擊的影響 。 三、防火墻的特點 廣泛的服務(wù)支持：通過將動態(tài)的 、 應(yīng)用層的過濾能力和認證相結(jié)合 ， 可實現(xiàn) WWW瀏覽器 、HTTP服務(wù)器 、 FTP等； 對私有數(shù)據(jù)的加密支持：保證通過 Inter進行虛擬私人網(wǎng)絡(luò)和商務(wù)活動的安全； 客戶端認證：只允許指定的用戶訪問內(nèi)部網(wǎng)絡(luò)或選擇服務(wù)：企業(yè)本地網(wǎng)與分支機構(gòu) 、 商業(yè)伙伴和移動用戶間安全通信的附加部分； 三、防火墻的特點 反欺騙：欺騙是從外部獲取網(wǎng)絡(luò)訪問權(quán)的常用手段 ， 它使數(shù)據(jù)包好似來自網(wǎng)絡(luò)內(nèi)部 。 防火墻能監(jiān)視這樣的數(shù)據(jù)包并能扔掉它們； C/S模式和跨平臺支持：能使運行在一平臺的管理模塊控制運行在另一平臺的監(jiān)視模塊 。 四、防火墻的優(yōu)點 通過過濾不安全的服務(wù)來降低子網(wǎng)上主系統(tǒng)的風險 。 可以禁止某些易受攻擊的服務(wù) (如 NFS)進入或離開受保護的子網(wǎng) 。 可以防護基于路由選擇的攻擊 ， 如源路由選擇和企圖通過 ICMP改向把發(fā)送路徑轉(zhuǎn)向遭致?lián)p害的網(wǎng)點 。 四、防火墻的優(yōu)點 可以提供對系統(tǒng)的訪問控制 。 如允許從外部訪問某些主機 (Mail Server和 Web Server) ， 同時禁止訪問另外的主機 。 防火墻定義的安全規(guī)則可用于整個內(nèi)部網(wǎng)絡(luò)系統(tǒng) ，而無須在內(nèi)部網(wǎng)每臺機器上分別設(shè)立安全策略 。 可以定義不同的認證方法 ， 而不需要在每臺機器上分別安裝特定的認證軟件 。 外部用戶只需要經(jīng)過一次認證即可訪問內(nèi)部網(wǎng) 。 例如對于密碼口令系統(tǒng)或其他的身份認證軟件等 ， 放在防火墻系統(tǒng)中更是優(yōu)于放在每個 Inter能訪問的機器上 。 四、防火墻的優(yōu)點 、 強化私有權(quán) 使用防火墻系統(tǒng) ， 站點可以防止 finger 以及 DNS域名服務(wù) 。 Finger能列出當前用戶 ， 上次登錄時間 ， 以及是否讀過郵件等 。 、 濫用的記錄和統(tǒng)計 防火墻可以記錄各次訪問 ， 并提供有關(guān)網(wǎng)絡(luò)使用率等有價值的統(tǒng)計數(shù)字 。 網(wǎng)絡(luò)使用率統(tǒng)計數(shù)字可作為網(wǎng)絡(luò)需求研究和風險分析的依據(jù)；收集有關(guān)網(wǎng)絡(luò)試探的證據(jù) ， 可確定防火墻上的控制措施是否得當 ， 能否抵御試探和攻擊 。 五、防火墻的局限性 1） 防火墻防外不防內(nèi) 防火墻可以禁止系統(tǒng)用戶經(jīng)過網(wǎng)絡(luò)連接發(fā)送專有的信息 ， 但用戶可以將數(shù)據(jù)復(fù)制到磁盤 、磁帶上 ， 放在公文包中帶出去 。 如果入侵者已經(jīng)在防火墻內(nèi)部 ， 防火墻是無能為力的 。 內(nèi)部用戶偷竊數(shù)據(jù) ， 破壞硬件和軟件 ， 并且巧妙地修改程序而不接近防火墻 。 對于來自知情者的威脅只能要求加強內(nèi)部管理 ， 如主機安全和用戶教育 、 管理 、 制度等 。 五、防火墻的局限性 2） 不能防范繞過防火墻的攻擊 防火墻能夠有效地防止通過它進行傳輸信息 ， 然而不能防止不通過它而傳輸?shù)男畔?。 例如 ， 如果站點允許對防火墻后面的內(nèi)部系統(tǒng)進行撥號訪問 ， 那么防火墻絕對沒有辦法阻止入侵者進行撥號入侵 。 3） 防火墻配置復(fù)雜 ， 容易出現(xiàn)安全漏洞 4） 防火墻往往只認機器 （ IP地址 ） 不認人 （ 用戶身份 ） ， 并且控制粒度較粗 。 五、防火墻的局限性 5） 防火墻不能防范病毒 防火墻不能防止感染了病毒的軟件或文件的傳輸 。 這只能在每臺主機上裝反病毒軟件 。 6） 防火墻不能防止數(shù)據(jù)驅(qū)動式攻擊 。 當有些表面看來無害的數(shù)據(jù)被郵寄或復(fù)制到內(nèi)部網(wǎng)主機上并被執(zhí)行而發(fā)起攻擊時 ， 就會發(fā)生數(shù)據(jù)驅(qū)動攻擊 。 特別是隨著 Java、JavaScript、 ActiveX的應(yīng)用 ， 這一問題更加突出 。 六、防火墻的基本結(jié)構(gòu) ?分組（包）過濾路由器 ?應(yīng)用層網(wǎng)關(guān) ?電路層網(wǎng)關(guān) 七、基本作用 ? 網(wǎng)絡(luò)層防火墻：保護整個網(wǎng)絡(luò)不受非法入侵，采用的是分配過濾技術(shù)即采用 IP數(shù)據(jù)報來設(shè)置分組過濾規(guī)則。 ? 應(yīng)用層防火墻：控制對應(yīng)用程序的訪問，即允許訪問某些應(yīng)用程序而阻止訪問其他應(yīng)用程序，辦法是安裝代理軟件。 ? 電路層網(wǎng)絡(luò)防火墻：根據(jù)規(guī)則建立一個網(wǎng)絡(luò)到另一個網(wǎng)絡(luò)的連接，不作任何審查，過濾，只是拷貝數(shù)據(jù)。 八、防火墻的配置 ?分組（包）過濾路由器 ?雙宿主網(wǎng)關(guān) ?主機過濾防火墻 ?子網(wǎng)過濾防火墻 網(wǎng)絡(luò)管理基本知識 上一個 章首 當前計算機網(wǎng)絡(luò)的發(fā)展特點是：網(wǎng)絡(luò)規(guī)模不斷擴大 ， 復(fù)雜性不斷增加 ， 網(wǎng)絡(luò)的異構(gòu)性越來越高 。 一個網(wǎng)絡(luò)往往由若干大大小小的子網(wǎng)組成 ， 集成了多種網(wǎng)絡(luò)操作系統(tǒng)平臺 ， 包括不同廠家 、 公司的網(wǎng)絡(luò)設(shè)備和通信設(shè)備等 。 同時 ， 網(wǎng)絡(luò)中還有許多網(wǎng)絡(luò)軟件提供各種服務(wù) 。 隨著用戶對網(wǎng)絡(luò)的性能要求越來越高 。 如果沒有一個高效的網(wǎng)絡(luò)管理系統(tǒng)對網(wǎng)絡(luò)系統(tǒng)進行管理 ，那么很難保證為廣大用戶提供令人滿意的服務(wù) 。 網(wǎng)絡(luò)管理已成為網(wǎng)絡(luò)發(fā)展中一個很重要的關(guān)鍵技術(shù) ， 對網(wǎng)絡(luò)的發(fā)展有著很大的影響 ， 并已成為現(xiàn)代信息網(wǎng)絡(luò)中最重要的問題之一 。 網(wǎng)絡(luò)管理基本知識 到底什么叫網(wǎng)絡(luò)管理 ， 目前還沒有嚴格統(tǒng)一的定義 。 一般來說 ， 網(wǎng)絡(luò)管理是以提高整個網(wǎng)絡(luò)系統(tǒng)的工作效率 、 管理水平和維護水平為目標的 ， 主要涉及對一個網(wǎng)絡(luò)系統(tǒng)的活動及資源進行監(jiān)測 、 分析 、 控制和規(guī)劃的系統(tǒng) 。 通常我們所討論的網(wǎng)絡(luò)管理主要是指計算機網(wǎng)絡(luò)管理 ， 但廣義而言 ， 它還包括電信網(wǎng)絡(luò)管理 。