網(wǎng)絡(luò)集成技術(shù)chppt課件(編輯修改稿)
2025-06-08 13:14 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 對(duì)方 ? 要使公鑰密碼有用，實(shí)體 (用戶(hù)、瀏覽器和路由器等 )必須能夠確定它們所得到的公鑰確實(shí)來(lái)自其通信的對(duì)方 ? 由證書(shū)權(quán)威機(jī)構(gòu) (CA)把一個(gè)特定實(shí)體與其公鑰綁定到一起， CA的職責(zé)就是使得實(shí)體身份和其發(fā)出的證書(shū)有效 ? ITU [ITU 1993]規(guī)定了證書(shū)的一種鑒別服務(wù)和特定的證書(shū)語(yǔ)法 第 8章 網(wǎng)絡(luò)安全設(shè)計(jì) 26 授權(quán)：訪(fǎng)問(wèn)控制 ? 鑒別控制誰(shuí)能訪(fǎng)問(wèn)網(wǎng)絡(luò)資源，而授權(quán)則指出一旦它們可以訪(fǎng)問(wèn)網(wǎng)絡(luò)資源時(shí)，它們能做些什么。安全管理員為進(jìn)程或用戶(hù)設(shè)置權(quán)限，授權(quán)是控制網(wǎng)絡(luò)安全的一部分。根據(jù)用戶(hù)的部門(mén)或工作性質(zhì)，能為不同用戶(hù)授予不同的權(quán)限 ? 基于角色的訪(fǎng)問(wèn)控制 (RBAC)是自主訪(fǎng)問(wèn)控制 (DAC)和強(qiáng)制訪(fǎng)問(wèn)控制 (MAC)策略的另一種選擇 – 將代表行為的“操作”與角色相關(guān)聯(lián)，而角色的成員由適當(dāng)?shù)挠脩?hù)組成，這可大大簡(jiǎn)化安全管理 第 8章 網(wǎng)絡(luò)安全設(shè)計(jì) 27 審計(jì) ? 為有效地分析網(wǎng)絡(luò)安全性和響應(yīng)安全性事件，安全過(guò)程應(yīng)當(dāng)收集有關(guān)的網(wǎng)絡(luò)活動(dòng)數(shù)據(jù)。這種收集數(shù)據(jù)的過(guò)程就被稱(chēng)為審計(jì) ? 對(duì)于使用安全性策略的網(wǎng)絡(luò)，審計(jì)數(shù)據(jù)應(yīng)當(dāng)包括任何個(gè)人獲得鑒別和授權(quán)的所有嘗試 ? 收集的數(shù)據(jù)應(yīng)當(dāng)包括試圖登錄和注銷(xiāo)的用戶(hù)名以及改變前后的訪(fǎng)問(wèn)權(quán)限。審計(jì)記錄中的每一個(gè)等級(jí)項(xiàng)都應(yīng)當(dāng)有時(shí)間戳 ? 審計(jì)過(guò)程不應(yīng)收集口令 ? 審計(jì)的進(jìn)一步擴(kuò)展是安全性評(píng)估 第 8章 網(wǎng)絡(luò)安全設(shè)計(jì) 28 惡意軟件 ? 惡意軟件就是惡意的程序代碼，通常是以某種方式悄然安裝在計(jì)算機(jī)系統(tǒng)內(nèi)的軟件。這些程序代碼具有一些人們所不希望的功能，影響網(wǎng)絡(luò)系統(tǒng)的數(shù)據(jù)安全性和資源可用性 ? 惡意軟件大體可以分為 5大類(lèi) – 病毒 – 蠕蟲(chóng) – 特洛伊木馬 – 惡意遠(yuǎn)程程序 – 追蹤 Cookie 第 8章 網(wǎng)絡(luò)安全設(shè)計(jì) 惡意軟件的定義 (中國(guó)互聯(lián)網(wǎng)協(xié)會(huì) ) ? 特征 – 強(qiáng)制安裝 – 難以卸載 – 瀏覽器劫持 – 廣告彈出 – 惡意收集用戶(hù)信息 – 惡意卸載 – 惡意捆綁 ? 流氓軟件：常常介于病毒程序和正常程序之間的程序 29 第 8章 網(wǎng)絡(luò)安全設(shè)計(jì) 30 防火墻的定義 ? 防火墻 (firewall)是把一個(gè)組織的內(nèi)部網(wǎng)絡(luò)與整個(gè)Inter隔離開(kāi)的軟件和硬件的組合，它允許一些數(shù)據(jù)分組通過(guò)，禁止另一些數(shù)據(jù)分組通過(guò) ? 防火墻允許網(wǎng)絡(luò)管理員控制對(duì)外部網(wǎng)絡(luò)和被管理網(wǎng)絡(luò)內(nèi)部資源之間的訪(fǎng)問(wèn)，這種控制是通過(guò)管理流入和流出這些資源的流量實(shí)現(xiàn)的 ? 兩種類(lèi)型 – 分組過(guò)濾防火墻 – 應(yīng)用程序級(jí)網(wǎng)關(guān) – 電路級(jí)網(wǎng)關(guān) Inter 分組過(guò)濾 路由器 (a)屏蔽的主機(jī)防火墻 (單地址堡壘主機(jī) ) 堡壘主機(jī) 信息服務(wù)器 內(nèi)部網(wǎng)主機(jī) Inter 分組過(guò)濾 路由器 (b)屏蔽的主機(jī)防火墻 (雙地址堡壘主機(jī) ) 堡壘主機(jī) 信息服務(wù)器 內(nèi)部網(wǎng)主機(jī) Inter 分組過(guò)濾 路由器 (c)屏蔽的子網(wǎng)防火墻系統(tǒng) 堡壘主機(jī) 信息服務(wù)器 內(nèi)部網(wǎng) 內(nèi)部 路由器 31 第 8章 網(wǎng)絡(luò)安全設(shè)計(jì) 32 入侵檢測(cè) ? 網(wǎng)絡(luò)內(nèi)部人員濫用職權(quán)往往對(duì)網(wǎng)絡(luò)安全危害性很大 ? 入侵檢測(cè)用于識(shí)別未經(jīng)授權(quán)使用計(jì)算機(jī)系統(tǒng)資源的行為；識(shí)別有權(quán)使用計(jì)算機(jī)系統(tǒng)資源但濫用特權(quán)的行為 (如內(nèi)部威脅 )；識(shí)別未成功的入侵嘗試行為 ? 即使一個(gè)系統(tǒng)中不存在某個(gè)特定的漏洞，入侵檢測(cè)系統(tǒng)仍然可以檢測(cè)到特定的攻擊事件，并自動(dòng)調(diào)整系統(tǒng)狀態(tài)對(duì)未來(lái)可能發(fā)生的侵入做出警告預(yù)報(bào) ? 它是一種利用入侵留下的痕跡，如試圖登錄的失敗記錄等信息來(lái)有效地發(fā)現(xiàn)來(lái)自外部或內(nèi)部的非法入侵的技術(shù)。它以探測(cè)、控制為技術(shù)本質(zhì)，起著主動(dòng)防御的作用 第 8章 網(wǎng)絡(luò)安全設(shè)計(jì) 33 入侵檢測(cè)系統(tǒng)的類(lèi)型 ? 通常分為基于主機(jī)和基于網(wǎng)絡(luò)兩類(lèi) ? 基于主機(jī)的 IDS – 早期用于審計(jì)用戶(hù)的活動(dòng)，如用戶(hù)的登錄、命令操作行和應(yīng)用程序使用等。一般主要使用操作系統(tǒng)的審計(jì)跟蹤日志作為輸入 ? 基于網(wǎng)絡(luò)的 IDS – 在網(wǎng)絡(luò)中某點(diǎn)被動(dòng)地監(jiān)聽(tīng)網(wǎng)絡(luò)上傳輸?shù)脑剂髁?，通過(guò)對(duì)俘獲的網(wǎng)絡(luò)分組進(jìn)行處理，從中得到有用信息 ? 入侵檢測(cè)方法一般可以分為基于異常的入侵檢測(cè)和基于特征的入侵檢測(cè)兩種方式 第 8章 網(wǎng)絡(luò)安全設(shè)計(jì) 虛擬專(zhuān)用網(wǎng) VPN ? 基本思想：跨越費(fèi)用低廉的公網(wǎng)來(lái)擴(kuò)展信任關(guān)系而不犧牲安全性。理想的 VPN應(yīng)當(dāng)像一個(gè)專(zhuān)網(wǎng)一樣，它應(yīng)當(dāng)是安全的、高度可用的和具有可預(yù)測(cè)的性能 34 因特網(wǎng)路由器V PN 設(shè)備局域網(wǎng)局域網(wǎng)第 8章 網(wǎng)絡(luò)安全設(shè)計(jì) 35 物理安全性 ? 指將資源保護(hù)在加鎖的門(mén)里來(lái)限制對(duì)網(wǎng)絡(luò)關(guān)鍵資源的訪(fǎng)問(wèn) ? 也指保護(hù)資源免受諸如洪水、火災(zāi)、暴風(fēng)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1