第9章網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù)(編輯修改稿)
2025-03-22 15:24 本頁面
【文章內(nèi)容簡介】 網(wǎng) 絡(luò) 安 全 的 基 本 概 念網(wǎng) 絡(luò) 安 全 策 略 設(shè) 計對 稱 密 鑰 密 碼 體 系防 火 墻 技 術(shù)密 碼 學(xué)非 對 稱 密 鑰 密 碼 體 系數(shù) 字 信 封身 份 認(rèn) 證網(wǎng) 絡(luò) 防 攻 擊 與 攻 擊 檢 測 技 術(shù)網(wǎng) 絡(luò) 文 件 備 份 、 恢 復(fù) 與 業(yè) 務(wù) 連 續(xù) 性 技 術(shù)網(wǎng) 絡(luò) 防 病 毒 技 術(shù)網(wǎng) 絡(luò) 管 理 技 術(shù)數(shù) 字 簽 名密 碼 學(xué) 在 網(wǎng) 絡(luò) 安 全 中 的 應(yīng) 用31 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) 防火墻技術(shù) 防火墻的基本概念 ? 防火墻是在網(wǎng)絡(luò)之間執(zhí)行安全控制策略的系統(tǒng)，它包括 硬件和軟件 ； ? 設(shè)置防火墻的 目的是 保護(hù)內(nèi)部網(wǎng)絡(luò)資源不被外部非授權(quán)用戶使用，防止內(nèi)部受到外部非法用戶的攻擊。 ? 防火墻要具備哪些功能？ 外 部 網(wǎng) 絡(luò)防 火 墻內(nèi) 部 網(wǎng) 絡(luò)不 可 信 賴 的 網(wǎng) 絡(luò) 可 信 賴 的 網(wǎng) 絡(luò)32 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) ? 防火墻通過檢查所有進(jìn)出內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包，檢查數(shù)據(jù)包的合法性，判斷是否會對網(wǎng)絡(luò)安全構(gòu)成威脅，為內(nèi)部網(wǎng)絡(luò)建立安全邊界（ security perimeter）； ? 構(gòu)成防火墻系統(tǒng)的兩個基本部件是 包過濾路由器（ packet filtering router）和 應(yīng)用級網(wǎng)關(guān)（ application gateway）； ? 最簡單的防火墻由一個包過濾路由器組成，而復(fù)雜的防火墻系統(tǒng)由包過濾路由器和應(yīng)用級網(wǎng)關(guān)組合而成； ? 由于組合方式有多種，因此防火墻系統(tǒng)的結(jié)構(gòu)也有多種形式。 33 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) 包過濾路由器 （路由器工作原理） 包過濾路由器的結(jié)構(gòu) I n t e r n e t內(nèi) 部 網(wǎng) 絡(luò)服 務(wù) 器工 作 站網(wǎng) 絡(luò) 層數(shù) 據(jù) 鏈 路 層物 理 層網(wǎng) 絡(luò) 層數(shù) 據(jù) 鏈 路 層物 理 層包 過 濾規(guī) 則包 過 濾 路 由 器外 部 網(wǎng) 絡(luò)防 火 墻34 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) ? 路由器按照系統(tǒng)內(nèi)部設(shè)置的分組過濾規(guī)則（即訪問控制表），檢查每個分組的源 IP地址、目的 IP地址，決定該分組是否應(yīng)該轉(zhuǎn)發(fā)； ? 包過濾規(guī)則一般是基于部分或全部報頭的內(nèi)容。例如，對于 TCP報頭信息可以是： ? 源 IP地址 ? 目的 IP地址 ? 協(xié)議類型 ? IP選項內(nèi)容 ? 源 TCP端口號 ? 目的 TCP端口號 ? TCP ACK標(biāo)識 35 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) 包過濾的 工作流程 yNNy設(shè) 置 包 過 濾 規(guī) 則分 析 包 參 數(shù)根 據(jù) 過 濾 規(guī) 則 確 定包 是 否 允 許 轉(zhuǎn) 發(fā)是 否 是 包 過 濾的 最 后 一 個 規(guī) 則應(yīng) 用 下 一 個 包 過 濾 規(guī) 則轉(zhuǎn) 發(fā) 該 包丟 棄 該 包36 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) ? 包過濾路由器配置的基本方法 外 部 網(wǎng) 絡(luò)包 過 濾 路 由 器防 火 墻內(nèi) 部 網(wǎng) 絡(luò)E m a i l 服 務(wù) 器（ 1 9 2 . 1 . 6 . 2 ）工 作 站I n t e r n e t發(fā) 送 到 外 部網(wǎng) 絡(luò) 的 包進(jìn) 入 內(nèi) 部網(wǎng) 絡(luò) 的 包37 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) 假設(shè)網(wǎng)絡(luò)安全策略規(guī)定 ： ? 內(nèi)部網(wǎng)絡(luò)的 Email服務(wù)器（ IP地址為 ， TCP端口號為 25）可以接收來自外部網(wǎng)絡(luò)用戶的所有電子郵件； ? 允許內(nèi)部網(wǎng)絡(luò)用戶傳送到與外部電子郵件服務(wù)器的電子郵件； ? 拒絕所有與外部網(wǎng)絡(luò)中名字為 TESTHOST主機(jī)的連接。 例子 1 38 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) 規(guī)則過濾號 方向 動作 源主機(jī)地址T E S T H O S T源端口號 目的主機(jī)地址 目的端口號 協(xié)議 描述阻塞來自TESTHOST的所有數(shù)據(jù)包阻塞所有到TESTHOST的數(shù)據(jù)包允許外部用戶傳送到內(nèi)部網(wǎng)絡(luò)電子郵件服務(wù)器的數(shù)據(jù)包允許內(nèi)部郵件服務(wù)器傳送到外部網(wǎng)絡(luò)的電子郵件數(shù)據(jù)包**TCPTCP**251023*T E S T H O S T1 9 2 . 1 . 6 . 2***102325**1 9 2 . 1 . 6 . 2阻塞阻塞允許允許進(jìn)入進(jìn)入輸出輸出1234? 包過濾規(guī)則表 39 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) ? 假定 A管理一個公司網(wǎng)絡(luò) ， 且一般不允許來自公眾網(wǎng)的用戶訪問內(nèi)部網(wǎng) （ 見下表規(guī)則 R3） 。 但是 A正在與 B及其同事進(jìn)行合作 ， 而他們位于某個大學(xué)內(nèi) ， 所以 A要允許來自 B所在的大學(xué) （ 網(wǎng)址為 ） 的訪問能到達(dá)其公司網(wǎng)絡(luò)的一個特定子網(wǎng) （ 見下表規(guī)則 R1） ； ? 使問題復(fù)雜的是 ， A知道 C（ 一個有名的黑客 ）也在 B所在的大學(xué)中 ， 且 C的子網(wǎng)為 ，該子網(wǎng)是一個不安全的黑客天堂 。 因此 ， A不允許任何來自 （ 見下表規(guī)則 R2） 。 例子 2 40 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) ? 總結(jié)以上的條件 ， 得出以下的規(guī)則： 規(guī)則 源地址 目的地址 動作 注釋 R1 R2 R3 分組過濾規(guī)則 41 《計算機(jī)網(wǎng)絡(luò)》第 9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理技術(shù) 根據(jù)規(guī)則次序分組過濾的結(jié)果 數(shù)據(jù)報號 源 IP地址 目的 IP地址 希望的動作 R R R3策略的動作 R R R3策略的動作 P1 拒絕 拒絕（ R2） 拒絕（ R2） （黑客子網(wǎng)）（公司網(wǎng)絡(luò)） P2
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1