【文章內(nèi)容簡介】 之點– 擋住未經(jīng)授權(quán)的訪問流量– 禁止具有脆弱性的服務(wù)帶來危害– 實施保護(hù)，以避免各種 IP欺騙和路由攻擊? 防火墻提供了一個監(jiān)視各種安全事件的位置，所以，可以在防火墻上實現(xiàn)審計和報警? 對于有些 Inter功能來說，防火墻也可以是一個理想的平臺，比如地址轉(zhuǎn)換， Inter日志、審計，甚至計費功能? 防火墻可以作為 IPSec的實現(xiàn)平臺防火墻操作層次防火墻類型? 包過濾路由器? 應(yīng)用層網(wǎng)關(guān)? 電路層網(wǎng)關(guān)包過濾路由器? 基本的思想很簡單– 對于每個進(jìn)來的包，適用一組規(guī)則，然后決定轉(zhuǎn)發(fā)或者丟棄該包– 往往配置成雙向的? 如何過濾– 過濾的規(guī)則以 IP和傳輸層的頭中的域 (字段 )為基礎(chǔ)，包括源和目標(biāo) IP地址、 IP協(xié)議域、源和目標(biāo)端口號– 過濾器往往建立一組規(guī)則，根據(jù) IP包是否匹配規(guī)則中指定的條件來作出決定。? 如果匹配到一條規(guī)則，則根據(jù)此規(guī)則決定轉(zhuǎn)發(fā)或者丟棄? 如果所有規(guī)則都不匹配，則根據(jù)缺省策略安全缺省策略? 兩種基本策略，或缺省策略– 沒有被拒絕的流量都可以通過? 管理員必須針對每一種新出現(xiàn)的攻擊，制定新的規(guī)則– 沒有被允許的流量都要拒絕? 比較保守? 根據(jù)需要，逐漸開放網(wǎng)絡(luò)層鏈路層物理層外部網(wǎng)絡(luò) 內(nèi)部網(wǎng)絡(luò)包過濾路由器示意圖包過濾防火墻的優(yōu)點速度快靈活可以封鎖拒絕服務(wù)及相關(guān)攻擊實現(xiàn)簡單，對用戶透明是置于與不可信網(wǎng)絡(luò)相連的最外邊界之理想設(shè)備包過濾防火墻的缺點?不能阻止利用具體應(yīng)用的弱點或功能的攻擊? 正確制定規(guī)則并不容易?不支持高級用戶鑒別方案?不能有效防止網(wǎng)絡(luò)地址假冒攻擊?容易受配置不當(dāng)?shù)挠绊? 包過濾路由器? 應(yīng)用層網(wǎng)關(guān)? 電路層網(wǎng)關(guān)防火墻類型? 也稱為代理服務(wù)器? 特點– 所有的連接都通過防火墻，防火墻作為網(wǎng)關(guān)– 在應(yīng)用層上實現(xiàn)– 可以監(jiān)視包的內(nèi)容– 可以實現(xiàn)基于用戶的認(rèn)證– 所有的應(yīng)用需要單獨實現(xiàn)– 可以提供理想的日志功能– 非常安全，但是開銷比較大應(yīng)用層網(wǎng)關(guān)應(yīng)用層網(wǎng)關(guān)的結(jié)構(gòu)示意圖應(yīng)用層網(wǎng)關(guān)的優(yōu)缺點? 優(yōu)點– 允許用戶 “直接 ”訪問 Inter– 易于記錄日志? 缺點– 新的服務(wù)不能及時地被代理– 每個被代理的服務(wù)都要求專門的代理軟件– 客戶軟件需要修改，重新編譯或者配置– 有些服務(wù)要求建立直接連接，無法使用代理? 比如聊天服務(wù)、或者即時消息服務(wù)– 代理服務(wù)不能避免協(xié)議本身的缺陷或者限制? 包過濾路由器? 應(yīng)用層網(wǎng)關(guān)? 電路層網(wǎng)關(guān)防火墻類型? 本質(zhì)上，也是一種代理服務(wù)器– 有狀態(tài)的包過濾器– 動態(tài)包過濾器? 狀態(tài)– 上下文環(huán)境– 流狀態(tài)? 認(rèn)證和授權(quán)方案? 例子： socks電路層網(wǎng)關(guān)電路層網(wǎng)關(guān)的優(yōu)缺點? 優(yōu)點– 效率高– 精細(xì)控制，可以在應(yīng)用層上授權(quán)– 為一般的應(yīng)用提供了一個框架? 缺點– 客戶程序需要修改 (要求鏈接到 sockslibrary)防火墻本身的一些局限性? 對于繞過防火墻的攻擊，它無能為力，例如，在防火墻內(nèi)部通過撥號出去? 防火墻不能防止內(nèi)部的攻擊，以及內(nèi)部人員與外部人員的聯(lián)合攻擊 (比如，通過 tunnel進(jìn)入 )? 防火墻不能防止被病毒感染的程序或者文件、郵件等網(wǎng)絡(luò)安全技術(shù)? 防火墻技術(shù)? 入侵檢測技術(shù)? 網(wǎng)絡(luò)安全評估系統(tǒng)? 虛擬專用網(wǎng) VPN技術(shù)? IPSec? 安全備份和系統(tǒng)災(zāi)難恢復(fù)IDS: Intrusion Detection System? 入侵檢測系統(tǒng)介紹? 入侵檢測系統(tǒng)分類? 入侵檢測系統(tǒng)用到的一些技術(shù)? 入侵檢測系統(tǒng)的研究和發(fā)展入侵檢測 (IDS)? 防火墻和 IDS是網(wǎng)絡(luò)安全中互為補充的兩項工具? 實時監(jiān)控網(wǎng)絡(luò)流量– 檢查審計信息 ,尋找入侵活動– 當(dāng)發(fā)現(xiàn)入侵特征后 ,告警? IDS通常很昂貴 ,會產(chǎn)生相當(dāng)多的誤報IDS的功能IDS通常執(zhí)行以下任務(wù)? 監(jiān)視分析用戶及系統(tǒng)活動? 系統(tǒng)構(gòu)造和弱點的審計? 識別反映已知進(jìn)攻的活動模式并報警? 異常行為模式的統(tǒng)計分析? 評估重要系統(tǒng)和數(shù)據(jù)文件的完整性? 操作系統(tǒng)的審計跟蹤管理并識別用戶違反安全策略的行為? 防火墻不能 ：– 抵擋來自內(nèi)部的攻擊– 防止 “ 社會工程 ”– 防范繞過防火墻的攻擊。內(nèi)部提供撥號服務(wù)– 病毒威脅掃描器：好與壞– 提供行動計劃和依據(jù)– 需要資源修復(fù)漏洞– 修復(fù)漏洞的同時又出現(xiàn)其他漏洞– 無法確定與某一特定應(yīng)用相關(guān)的 為什么需要入侵檢測IDS的用途攻擊工具攻擊命令攻擊機(jī)制目標(biāo)網(wǎng)絡(luò)網(wǎng)絡(luò)漏洞目標(biāo)系統(tǒng)系統(tǒng)漏洞攻擊者漏洞掃描評估加固攻擊過程實時入侵檢測 入侵檢測系統(tǒng)的實現(xiàn)過程? 信息收集，來源：– 網(wǎng)絡(luò)流量– 系統(tǒng)日志文件– 系統(tǒng)目錄和文件的異常變化– 程序執(zhí)行中的異常行為? 信息分析– 模式匹配– 統(tǒng)計分析– 完整性分析，往往用于事后分析入侵檢測系統(tǒng)的通用模型數(shù)據(jù)源模式匹配器 系統(tǒng)輪廓分析引擎數(shù)據(jù)庫入侵模式庫 異常檢測器響應(yīng)和恢復(fù)機(jī)制入侵檢測系統(tǒng)的分類? IDS一般從實現(xiàn)方式上分為兩種基于主機(jī)的 IDS和基于網(wǎng)絡(luò)的 IDS， 一個完備的入侵檢測系統(tǒng) IDS一定是基于主機(jī)和基于網(wǎng)絡(luò)兩種方式兼?zhèn)涞姆植际较到y(tǒng)? 基于主機(jī)– 安全操作系統(tǒng)必須具備一定的審計功能，并記錄相應(yīng)的安全性日志? 基于網(wǎng)絡(luò)– IDS可以放在防火墻或者網(wǎng)關(guān)的后面，以網(wǎng)絡(luò)嗅探器的形式捕獲所有的對內(nèi)對外的數(shù)據(jù)包基于網(wǎng)絡(luò)的 IDS? 基于網(wǎng)絡(luò)的 IDS使用原始的網(wǎng)絡(luò)分組數(shù)據(jù)包作為進(jìn)行攻擊分析的數(shù)據(jù)源，一般利用一個網(wǎng)絡(luò)適配器來實時監(jiān)視和分析所有通過網(wǎng)絡(luò)進(jìn)行傳輸?shù)耐ㄐ?。一旦檢測到攻擊， IDS應(yīng)答模塊通過通知報警以及中斷連接等方式來對攻擊作出反應(yīng)? 基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)的主要優(yōu)點有1成本低2攻擊者轉(zhuǎn)移證據(jù)很困難3實時檢測和應(yīng)答。一旦發(fā)生惡意訪問或攻擊基于網(wǎng)絡(luò)的 IDS檢測可 以隨時發(fā)現(xiàn)它們因此能夠更快地作出反應(yīng)從而將入侵活動對系統(tǒng)的破壞減到最低4能夠檢測未成功的攻擊企圖5操作系統(tǒng)獨立?；诰W(wǎng)絡(luò)的 IDS并不依賴主機(jī)的操作系統(tǒng)作為檢測資源。而基于主機(jī)的系統(tǒng)需要特定的操作系統(tǒng)才能發(fā)揮作用基于主機(jī)的 IDS? 基于主機(jī)的 IDS一般監(jiān)視 WindowsNT上的系統(tǒng)、事件、安全日 志 以及 UNIX環(huán)境中的 syslog文件。一旦發(fā)現(xiàn) 這些 文件發(fā) 生 任 何變化 IDS將比較 新的日 志記錄 與攻擊簽名以發(fā)現(xiàn) 它們 是否 匹 配。 如果匹 配的 話 檢測系統(tǒng)就向 管理員發(fā)出入侵報警并 且 發(fā)出 采取相 應(yīng)的行動? 基于主機(jī)的 IDS的主要優(yōu)勢有(1)非常適用于加密和交換環(huán)境(2)接近實時的檢測和應(yīng)答(3)不需要額外的硬件? 異常檢測 (anomalydetection)– 也稱為基于行為的檢測– 首先建立起用戶的正常使用模式，即知識庫– 標(biāo)識出不符合正常模式的行為活動– 難點正常模式的知識庫難以建立難以明確劃分正常模式和異常模式? 誤用檢測 (misusedetection)– 也稱為基于特征的檢測– 建立起已知攻擊的知識庫– 判別當(dāng)前行為活動是否符合已知的攻擊模式– 難點： 如何做到動態(tài)更新，自適應(yīng)IDS的技術(shù)IDS的兩個指標(biāo)? 漏報率– 指攻擊事件沒有被 IDS檢測到? 誤報率 (falsealarmrate)– 把正常事件識別為攻擊并報警– 誤報率與檢出率成正比例關(guān)系0檢出率 (detectionrate)100%100%誤報率IDS與響應(yīng)和恢復(fù)技術(shù)? IDS屬于檢測的環(huán)節(jié)，一旦檢測到入侵或者攻擊，必須盡快地做出響應(yīng)，以保證信息系統(tǒng)的安全? IDS的響應(yīng)機(jī)制，可以從基本的管理角度來考慮，也可以從技術(shù)角度來實施，包括與其他防護(hù)系統(tǒng)的互操作，比如防火墻? 對于一個企業(yè)而言， IDS與 DRP(DisasterRecoveryPlanning)需要一起來制訂和實施? DRP包括– 業(yè)務(wù)影響分析 (BIA,BusinessImpactAnalysis)– 數(shù)據(jù)必須定期備份– 信息系統(tǒng)的根本目的是提供便利的服務(wù)– 災(zāi)難評估– 明確責(zé)任人? 防火墻技術(shù)? 入侵檢測技術(shù)? 網(wǎng)絡(luò)安全評估系統(tǒng)? 虛擬專用網(wǎng) VPN技術(shù)? IPSec? 安全備份和系統(tǒng)災(zāi)難恢復(fù)網(wǎng)絡(luò)安全技術(shù)無 法量化的 東 西是 無 法管理的！什么是風(fēng)險評估 ? “ 我 們 有多安全？ ”v 查找已知的弱 點與 漏洞v 檢 查 制定的 安全策略是否被 執(zhí)行v 檢驗已實施的 安全策略的有效性v 提供有效的建議方案v 自動修復(fù)s 評估企業(yè)范圍內(nèi)的安全風(fēng)險和漏洞 (包括網(wǎng)絡(luò) )s 檢測違反安全策略的行為s 確保企業(yè)安全策略的一致性s 提供全企業(yè)范圍內(nèi)的、集成的安全管理構(gòu)架我們的網(wǎng)絡(luò)我們的網(wǎng)絡(luò)有多安全有多安全 ?? 如何知道如何知道 ?? 風(fēng)險評估的作用 風(fēng)險評估的類型 基于主機(jī)（ HostBased） 基于網(wǎng)絡(luò)（ NetworkBased）HostBased 評估– 由內(nèi)而外的 角度– 在每臺系 統(tǒng) 上 詳細(xì)檢查 可能的 風(fēng)險– 可 產(chǎn) 生整 個網(wǎng)絡(luò) 的安全 評 估 報 告– 調(diào)度 定期 執(zhí)行 ， 對網(wǎng)絡(luò)沖擊極小HostBased 評 估些 什么 ？? 口令強(qiáng)度? 帳號配置? 網(wǎng)絡(luò)參數(shù)? NT RAS? ? ftp? tel? 其他 網(wǎng)絡(luò) port 與問題? 文件 保 護(hù) 配置? Patch 等 級 太 舊 ? 特定 O/S 問題? Windows NT registry? NetWare NDS 問題? UNIX suid 文件系統(tǒng)漏洞掃描數(shù)據(jù)庫漏洞掃描NetworkBased 評 估– 由外而內(nèi)的 觀點– 以黑客的角度 來檢測網(wǎng)絡(luò)– 無 法提供用 戶 使用 不當(dāng) 的 風(fēng)險評估– 可 針對無 法部署 host 軟 件的 網(wǎng)絡(luò)設(shè)備進(jìn) 行 評 估，如： routers,switches, 網(wǎng)絡(luò) 打印 機(jī) ,網(wǎng)絡(luò)存儲設(shè)備 等。網(wǎng)絡(luò)漏洞掃描集成基于主機(jī) 基于網(wǎng)絡(luò)安全評估基于主機(jī)基于主機(jī)風(fēng)險評估風(fēng)險評估基于網(wǎng)絡(luò)基于網(wǎng)絡(luò)風(fēng)險評估風(fēng)險評估 * Insidethesystem point of view* Employees are cause of 80% of info sec crime* View systems from local privileged perspective* Scalability* Highlevel summaries to convey status * Scheduled, safe assessments* Minimal impact to work and performance* Unobtrusive to end users* Highest levels of confidence in accuracy * View work from external perspective* Periodic checks to understand “hacker’s” view* Quick turn around time on scans* Often can include more “outofthebox” checks* Ease of implementation and use* Test critical work devices that do not run hostsoftware like routers, switches, firewalls? 防火墻技術(shù)? 入侵檢測技術(shù)? 網(wǎng)絡(luò)安全評估系統(tǒng)? 虛擬專用網(wǎng) VPN技術(shù)? IPSec? 安全備份和系統(tǒng)災(zāi)難恢復(fù)網(wǎng)絡(luò)安全技術(shù)虛擬專用網(wǎng) VPN技術(shù)? VPN介紹? VPN目標(biāo)? VPN關(guān)鍵技術(shù)? VPN實施VPN介紹? 什么是 VPN？– 是指在公共網(wǎng)絡(luò)上通過遂道和 /或加密技術(shù)，為企業(yè)所建立的邏輯上的專用網(wǎng)絡(luò) ? 它是虛擬的網(wǎng)，即沒有固定的物理連接，網(wǎng)路只有用戶需要時才建立。? 它是利用公眾網(wǎng)設(shè)施構(gòu)成的專用網(wǎng) ,構(gòu)建在公共網(wǎng)絡(luò)上的 VPN如同企業(yè)私有的網(wǎng)絡(luò)一樣提供安全性、可靠性和可管理性等。VPN介紹? 解釋： Virtual Private Network， 即為 “ 虛擬專用網(wǎng) ” 。