計算機網(wǎng)絡安全專題講座(編輯修改稿)
2025-04-22 03:48 本頁面
【文章內容簡介】 od(n) 解密對于密文C，用私鑰(n，d)解密可得到明文M。M=Cd mod(n)當定義先用私鑰(n，d)進行解密后，然后用公鑰(n，e)進行加密，就是數(shù)字簽名。第三講 防火墻基礎 防火墻的概念防火前是設置在不同網(wǎng)絡或網(wǎng)絡安全域之間的一系列部件的集合，它執(zhí)行預先制定好的訪問控制策略，決定內部網(wǎng)絡與外部網(wǎng)絡之間的訪問方式。作為一種隔離技術，防火墻一方面要拒絕未經授權的用戶訪問網(wǎng)絡或存取敏感數(shù)據(jù)；另一方面要保證合法用戶不受妨礙地使用 防火墻的作用1） 網(wǎng)絡安全的屏障，即通過執(zhí)行精心設計的網(wǎng)絡安全策略，防火墻可以阻止不安全的服務訪問網(wǎng)絡，最大限度地保證網(wǎng)絡安全。2） 可以強化網(wǎng)絡安全策略，即通過將網(wǎng)絡安全配置集中在防火墻進行，既減少組織與管理的麻煩，還更經濟。3） 對網(wǎng)絡存取和訪問進行監(jiān)控審計。在如果所有通信都必須通過防火墻來完成，則防火墻可以對通信內容進行日志記錄和網(wǎng)絡情況統(tǒng)計。當網(wǎng)絡被攻擊時可以及時報警并采取措施。4） 防止內部網(wǎng)絡信息的外泄。通過防火墻對內部網(wǎng)絡的劃分，可實現(xiàn)對內部網(wǎng)絡重點網(wǎng)段的隔離，從而減少重點網(wǎng)段敏感數(shù)據(jù)對全網(wǎng)安全帶來的影響。同時使用防火墻屏蔽內部網(wǎng)絡的細節(jié)，可以減少諸如Finger.、DNS等服務帶來的不良影響。5） 除了安全作用，防火墻還支持VPN。 防火墻工作原理 根據(jù)防火墻功能實現(xiàn)在TCP/IP模型中的層次，防火墻工作原理可以分為三類：一是分組過濾技術，在網(wǎng)絡層實現(xiàn)防火墻功能；一是代理服務技術，在應用層實現(xiàn)防火墻功能；一是狀態(tài)檢測技術，在網(wǎng)絡層、傳輸層和應用層實現(xiàn)防火墻功能。l 分組過濾技術 本技術基于路由器技術，通常由分組過濾路由器對IP分組進行分組選擇，允許或拒絕特定的IP分組。 分組過濾的依據(jù)主要有源IP、目的IP、源端口、目的端口。 基于源或目的IP的過濾根據(jù)制定的安全規(guī)則，將具有特定IP特性的分組過濾掉，從而實現(xiàn)對內部網(wǎng)絡的保護。分組過濾技術的優(yōu)點： 邏輯簡單；價格便宜；對網(wǎng)絡性能影響??；對用戶透明性好；與具體的應用程序無關；易于安裝。 分組過濾技術的缺點：1） 配置基于分組過濾的防火墻，需要對TCP、IP以及各種應用協(xié)議有較深入的了解，否則容易配置出錯。2） 過濾過程只能對網(wǎng)絡層的數(shù)據(jù)包進行判別，無法滿足一些特殊的安全要求，如身份鑒別機制無法實現(xiàn)。l 代理服務技術代理服務技術是由一個高層的應用網(wǎng)關作為代理服務器，接受來自外部的應用連接請求，在代理服務器上進行安全檢查后，再與被保護的應用服務器連接，使得外部用戶可以在受控制的前提下使用內部網(wǎng)絡的服務。同時內部網(wǎng)絡到外部網(wǎng)絡的連接請求也在該網(wǎng)關的監(jiān)控下進行，從而保證內部網(wǎng)絡得到更好的保護。 代理服務技術的特點：由于代理服務作用于應用層，它能夠理解應用層上的協(xié)議，因此可以作更復雜更細致的訪問控制；由于所有進出服務器的客戶請求均要通過代理網(wǎng)關的檢查，故詳細的注冊和審計記錄變得可行；認證、授權等高層安全控制手段可以方便地應用于代理服務器上，故內部網(wǎng)絡可以得到更好的保護。但是代理服務工作過程對用戶不透明，用戶使用時要對不同的協(xié)議和服務設置不同的代理，使用過程不方便。l 狀態(tài)檢測技術 狀態(tài)檢測技術既像分組過濾技術一樣在IP層上檢測IP地址和端口，對數(shù)據(jù)包進行過濾；也可以同代理服務一樣，在應用層上對數(shù)據(jù)包的內容進行檢查，應用高層的網(wǎng)絡安全協(xié)議。 狀態(tài)檢測技術采用一個在網(wǎng)關上執(zhí)行網(wǎng)絡安全策略的軟件引擎(檢測模塊)，對網(wǎng)絡通信額各層實施檢測分析，提取相關的通信和狀態(tài)信息，并在一個稱作動態(tài)鏈接表的數(shù)據(jù)表中存儲和更新，為下一個通信檢查提供數(shù)據(jù)。如果一個訪問違反了網(wǎng)絡安全策略，檢測模塊將拒絕訪問并在日志中作出記錄。 狀態(tài)監(jiān)測防火墻的另一個優(yōu)點是它會監(jiān)測無連接狀態(tài)的遠程過程調用RPC和用戶數(shù)據(jù)包UDP之類端口，其安全級別就更高了。 狀態(tài)監(jiān)測防火墻安全性高，但是它會降低網(wǎng)絡的速度，安全策略配置過程也比較復雜。 防火墻體系結構l 屏蔽路由器結構這是最基本的結構，可以由專門的路由器來實現(xiàn)，也可以使用主機來實現(xiàn)，屏蔽路由器作為內外網(wǎng)連接的唯一通道，要求所有報文均在此接受檢查，過濾未授權的報文。這一結構一旦被攻破，很難發(fā)現(xiàn)；同時這種結構也很難識別不同德用戶。l 雙穴主機網(wǎng)關結構 這是一臺裝有兩張網(wǎng)卡的主機做防火墻，兩塊網(wǎng)卡分別與受保護網(wǎng)絡和外部網(wǎng)絡相連，堡壘主機上運行防火墻軟件，負責對過往的數(shù)據(jù)包進行檢查。其結構圖可表示為：本結構優(yōu)于屏蔽路由器結構的地方時堡壘主機系統(tǒng)可以維護系統(tǒng)日志、硬件復制日志或遠程日志，對日后檢查有利；但本結構不能確定哪些主機可能已被入侵；另外本結構下，如果堡壘主機被攻陷，則所有內部網(wǎng)絡均暴露在黑客面前。l 屏蔽主機網(wǎng)關結構 在屏蔽主機網(wǎng)關結構中外部網(wǎng)絡與內部網(wǎng)絡之間增設一個包過濾路由器，并在其上建立包過濾規(guī)則，使得堡壘主機是外部網(wǎng)絡可以見到的唯一主機，從而起到保護內部網(wǎng)絡的作用。 本結構中，網(wǎng)關的基本控制策略均由安裝在路由器和堡壘主機上的軟件決定，如果攻擊者設法登陸到上面，則內部網(wǎng)絡中的主機就將受到很大威脅，情
高考資料相關推薦
鄂ICP備17016276號-1