計算機網(wǎng)絡(luò)安全專題講座(編輯修改稿)
2025-04-22 03:48 本頁面
【文章內(nèi)容簡介】 od(n) 解密對于密文C，用私鑰(n，d)解密可得到明文M。M=Cd mod(n)當定義先用私鑰(n，d)進行解密后，然后用公鑰(n，e)進行加密，就是數(shù)字簽名。第三講 防火墻基礎(chǔ) 防火墻的概念防火前是設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的集合，它執(zhí)行預先制定好的訪問控制策略，決定內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的訪問方式。作為一種隔離技術(shù)，防火墻一方面要拒絕未經(jīng)授權(quán)的用戶訪問網(wǎng)絡(luò)或存取敏感數(shù)據(jù)；另一方面要保證合法用戶不受妨礙地使用 防火墻的作用1） 網(wǎng)絡(luò)安全的屏障，即通過執(zhí)行精心設(shè)計的網(wǎng)絡(luò)安全策略，防火墻可以阻止不安全的服務(wù)訪問網(wǎng)絡(luò)，最大限度地保證網(wǎng)絡(luò)安全。2） 可以強化網(wǎng)絡(luò)安全策略，即通過將網(wǎng)絡(luò)安全配置集中在防火墻進行，既減少組織與管理的麻煩，還更經(jīng)濟。3） 對網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計。在如果所有通信都必須通過防火墻來完成，則防火墻可以對通信內(nèi)容進行日志記錄和網(wǎng)絡(luò)情況統(tǒng)計。當網(wǎng)絡(luò)被攻擊時可以及時報警并采取措施。4） 防止內(nèi)部網(wǎng)絡(luò)信息的外泄。通過防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)對內(nèi)部網(wǎng)絡(luò)重點網(wǎng)段的隔離，從而減少重點網(wǎng)段敏感數(shù)據(jù)對全網(wǎng)安全帶來的影響。同時使用防火墻屏蔽內(nèi)部網(wǎng)絡(luò)的細節(jié)，可以減少諸如Finger.、DNS等服務(wù)帶來的不良影響。5） 除了安全作用，防火墻還支持VPN。 防火墻工作原理 根據(jù)防火墻功能實現(xiàn)在TCP/IP模型中的層次，防火墻工作原理可以分為三類：一是分組過濾技術(shù)，在網(wǎng)絡(luò)層實現(xiàn)防火墻功能；一是代理服務(wù)技術(shù)，在應用層實現(xiàn)防火墻功能；一是狀態(tài)檢測技術(shù)，在網(wǎng)絡(luò)層、傳輸層和應用層實現(xiàn)防火墻功能。l 分組過濾技術(shù) 本技術(shù)基于路由器技術(shù)，通常由分組過濾路由器對IP分組進行分組選擇，允許或拒絕特定的IP分組。 分組過濾的依據(jù)主要有源IP、目的IP、源端口、目的端口。 基于源或目的IP的過濾根據(jù)制定的安全規(guī)則，將具有特定IP特性的分組過濾掉，從而實現(xiàn)對內(nèi)部網(wǎng)絡(luò)的保護。分組過濾技術(shù)的優(yōu)點： 邏輯簡單；價格便宜；對網(wǎng)絡(luò)性能影響??；對用戶透明性好；與具體的應用程序無關(guān)；易于安裝。 分組過濾技術(shù)的缺點：1） 配置基于分組過濾的防火墻，需要對TCP、IP以及各種應用協(xié)議有較深入的了解，否則容易配置出錯。2） 過濾過程只能對網(wǎng)絡(luò)層的數(shù)據(jù)包進行判別，無法滿足一些特殊的安全要求，如身份鑒別機制無法實現(xiàn)。l 代理服務(wù)技術(shù)代理服務(wù)技術(shù)是由一個高層的應用網(wǎng)關(guān)作為代理服務(wù)器，接受來自外部的應用連接請求，在代理服務(wù)器上進行安全檢查后，再與被保護的應用服務(wù)器連接，使得外部用戶可以在受控制的前提下使用內(nèi)部網(wǎng)絡(luò)的服務(wù)。同時內(nèi)部網(wǎng)絡(luò)到外部網(wǎng)絡(luò)的連接請求也在該網(wǎng)關(guān)的監(jiān)控下進行，從而保證內(nèi)部網(wǎng)絡(luò)得到更好的保護。 代理服務(wù)技術(shù)的特點：由于代理服務(wù)作用于應用層，它能夠理解應用層上的協(xié)議，因此可以作更復雜更細致的訪問控制；由于所有進出服務(wù)器的客戶請求均要通過代理網(wǎng)關(guān)的檢查，故詳細的注冊和審計記錄變得可行；認證、授權(quán)等高層安全控制手段可以方便地應用于代理服務(wù)器上，故內(nèi)部網(wǎng)絡(luò)可以得到更好的保護。但是代理服務(wù)工作過程對用戶不透明，用戶使用時要對不同的協(xié)議和服務(wù)設(shè)置不同的代理，使用過程不方便。l 狀態(tài)檢測技術(shù) 狀態(tài)檢測技術(shù)既像分組過濾技術(shù)一樣在IP層上檢測IP地址和端口，對數(shù)據(jù)包進行過濾；也可以同代理服務(wù)一樣，在應用層上對數(shù)據(jù)包的內(nèi)容進行檢查，應用高層的網(wǎng)絡(luò)安全協(xié)議。 狀態(tài)檢測技術(shù)采用一個在網(wǎng)關(guān)上執(zhí)行網(wǎng)絡(luò)安全策略的軟件引擎(檢測模塊)，對網(wǎng)絡(luò)通信額各層實施檢測分析，提取相關(guān)的通信和狀態(tài)信息，并在一個稱作動態(tài)鏈接表的數(shù)據(jù)表中存儲和更新，為下一個通信檢查提供數(shù)據(jù)。如果一個訪問違反了網(wǎng)絡(luò)安全策略，檢測模塊將拒絕訪問并在日志中作出記錄。 狀態(tài)監(jiān)測防火墻的另一個優(yōu)點是它會監(jiān)測無連接狀態(tài)的遠程過程調(diào)用RPC和用戶數(shù)據(jù)包UDP之類端口，其安全級別就更高了。 狀態(tài)監(jiān)測防火墻安全性高，但是它會降低網(wǎng)絡(luò)的速度，安全策略配置過程也比較復雜。 防火墻體系結(jié)構(gòu)l 屏蔽路由器結(jié)構(gòu)這是最基本的結(jié)構(gòu)，可以由專門的路由器來實現(xiàn)，也可以使用主機來實現(xiàn)，屏蔽路由器作為內(nèi)外網(wǎng)連接的唯一通道，要求所有報文均在此接受檢查，過濾未授權(quán)的報文。這一結(jié)構(gòu)一旦被攻破，很難發(fā)現(xiàn)；同時這種結(jié)構(gòu)也很難識別不同德用戶。l 雙穴主機網(wǎng)關(guān)結(jié)構(gòu) 這是一臺裝有兩張網(wǎng)卡的主機做防火墻，兩塊網(wǎng)卡分別與受保護網(wǎng)絡(luò)和外部網(wǎng)絡(luò)相連，堡壘主機上運行防火墻軟件，負責對過往的數(shù)據(jù)包進行檢查。其結(jié)構(gòu)圖可表示為：本結(jié)構(gòu)優(yōu)于屏蔽路由器結(jié)構(gòu)的地方時堡壘主機系統(tǒng)可以維護系統(tǒng)日志、硬件復制日志或遠程日志，對日后檢查有利；但本結(jié)構(gòu)不能確定哪些主機可能已被入侵；另外本結(jié)構(gòu)下，如果堡壘主機被攻陷，則所有內(nèi)部網(wǎng)絡(luò)均暴露在黑客面前。l 屏蔽主機網(wǎng)關(guān)結(jié)構(gòu) 在屏蔽主機網(wǎng)關(guān)結(jié)構(gòu)中外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間增設(shè)一個包過濾路由器，并在其上建立包過濾規(guī)則，使得堡壘主機是外部網(wǎng)絡(luò)可以見到的唯一主機，從而起到保護內(nèi)部網(wǎng)絡(luò)的作用。 本結(jié)構(gòu)中，網(wǎng)關(guān)的基本控制策略均由安裝在路由器和堡壘主機上的軟件決定，如果攻擊者設(shè)法登陸到上面，則內(nèi)部網(wǎng)絡(luò)中的主機就將受到很大威脅，情
高考資料相關(guān)推薦
鄂ICP備17016276號-1