網(wǎng)絡(luò)安全技術(shù)人員培訓(xùn)(安全基礎(chǔ))-wenkub.com
2025-01-07 00:43 本頁面
【正文】 用戶登錄進(jìn)入之后，對(duì)于每一條用戶輸入的命令， NAS都將提請(qǐng)安全服務(wù)器進(jìn)行授權(quán)。 訪問控制（ 2） ?RADIUS協(xié)議 針對(duì)遠(yuǎn)程用戶 Radius（ Remote Authentication Dialin User service） 協(xié)議，采用分布式的 Client/Server結(jié)構(gòu)完成密碼的集中管理和其他訪問控制功能；網(wǎng)絡(luò)用戶（ Client） 通過網(wǎng)絡(luò)訪問服務(wù)器（ NAS） 訪問網(wǎng)絡(luò)， NAS同時(shí)作為 Radius結(jié)構(gòu)的客戶端，認(rèn)證、授權(quán)和計(jì)帳的 3A功能通過 NAS和安全服務(wù)器（ Secutity Server） 或 Radius服務(wù)器之間的Radius協(xié)議過程完成，而用戶的控制功能在 NAS實(shí)現(xiàn)。 不足： ?準(zhǔn)確性：誤報(bào)率和漏報(bào)率 ?有效性：難以及時(shí)阻斷危險(xiǎn)行為 網(wǎng)絡(luò)防病毒 ?基本功能：串接于網(wǎng)絡(luò)中，根據(jù)網(wǎng)絡(luò)病毒的特征在網(wǎng)絡(luò)數(shù)據(jù)中比對(duì)，從而發(fā)現(xiàn)并阻斷病毒傳播 ?優(yōu)點(diǎn)：能有效阻斷已知網(wǎng)絡(luò)病毒的傳播 ?不足： ?只能檢查已經(jīng)局部發(fā)作的病毒 ?對(duì)網(wǎng)絡(luò)有一定影響 網(wǎng)絡(luò)掃描器 ?通過模擬網(wǎng)絡(luò)攻擊檢查目標(biāo)主機(jī)是否存在已知安全漏洞 ?優(yōu)點(diǎn)：有利于及早發(fā)現(xiàn)問題，并從根本上解決安全隱患 ?不足： ?只能針對(duì)已知安全問題進(jìn)行掃描 ?準(zhǔn)確性 vs 指導(dǎo)性 訪問控制（ 1） 廣義的訪問控制功能包括鑒別 、 授權(quán)和記賬等 ?鑒別 （ Authentication） ： 辨別用戶是誰的過程 。日志是對(duì)一些可能的攻擊行為進(jìn)行分析和防范的十分重要的情報(bào)。在 SSL中，身份認(rèn)證是基于證書的，屬于端到端協(xié)議，不需要中間設(shè)備如：路由器、防火墻的支持 ? SHTTP 提供身份認(rèn)證、數(shù)據(jù)加密，比 SSL靈活，但應(yīng)用很少，因 SSL易于管理 ? SMIME 一個(gè)特殊的類似于 SSL的協(xié)議，屬于應(yīng)用層安全體系，但應(yīng)用僅限于保護(hù)電子郵件系統(tǒng)，通過加密和數(shù)字簽名來保障郵件的安全，這些安全都是基于公鑰技術(shù)的，雙方身份靠，不需要 Firewall and Router 的支持 Network Interface (Data Link) IP (Interwork) TCP/UDP (Transport) S— MIME Kerberos Proxies SET IPSec (ISAKMP) SOCKS SSL,TLS IPSec (AH,ESP) Packet Filtering Tunneling Protocols CHAP,PAP,MSCHAP TCP/IP 協(xié)議棧與對(duì)應(yīng)的 VPN協(xié)議 Application 現(xiàn)有的 VPN 解決方案－－小結(jié) 1. 網(wǎng)絡(luò)層對(duì)所有的上層數(shù)據(jù)提供透明方式的保護(hù)，但無法為應(yīng)用提供足夠細(xì)的控制粒度 2. 數(shù)據(jù)到了目的主機(jī)，基于網(wǎng)絡(luò)層的安全技術(shù)就無法繼續(xù)提供保護(hù)，因此在目的主機(jī)的高層協(xié)議棧中很容易受到攻擊 3. 應(yīng)用層的安全技術(shù)可以保護(hù)堆棧高層的數(shù)據(jù)，但在傳遞過程中，無法抵抗常用的網(wǎng)絡(luò)層攻擊手段，如源地址、目的地址欺騙 4. 應(yīng)用層安全幾乎更加智能，但更復(fù)雜且效率低 5. 因此可以在具體應(yīng)用中采用多種安全技術(shù)，取長(zhǎng)補(bǔ)短 防火墻的主要功能 ?監(jiān)控并限制訪問 針對(duì)黑客攻擊的不安全因素，防火墻采取控制進(jìn)出內(nèi)外網(wǎng)的數(shù)據(jù)包的方法，實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)上數(shù)據(jù)包的狀態(tài)，并對(duì)這些狀態(tài)加以分析和處理，及時(shí)發(fā)現(xiàn)存在的異常行為；同時(shí)，根據(jù)不同情況采取相應(yīng)的防范措施，從而提高系統(tǒng)的抗攻擊能力。 5. 自動(dòng)的密鑰管理和安全關(guān)聯(lián)管理：保證只需少量或根本不需要手工配置，就可以在擴(kuò)展的網(wǎng)絡(luò)上方便精確地實(shí)現(xiàn)公司的虛擬使用網(wǎng)絡(luò)方針 ? AH協(xié)議（ 頭部認(rèn)證 ） ? ESP協(xié)議（ IPsec 封裝安全負(fù)載 ） ? ISAKMP/Oakley協(xié)議 基于 IPSec 的 VPN解決方案需要用到如下的協(xié)議： IPSec 框架的構(gòu)成 基于第二層的 VPN解決方案 公司內(nèi)部網(wǎng) 撥號(hào)連接 因特網(wǎng) L2 T P 通道 用于該層的協(xié)議主要有： ? L2TP： Lay 2 Tunneling Protocol ? PPTP： PointtoPoint Tunneling Protocol ? L2F： Lay 2 Forwarding L2TP的缺陷： 1. 僅對(duì)通道的終端實(shí)體進(jìn)行身份認(rèn)證，而不認(rèn)證通道中流過的每一個(gè)數(shù)據(jù)報(bào)文，無法抵抗插入攻擊、地址欺騙攻擊。 該方案能解決的問題： 1. 數(shù)據(jù)源身份認(rèn)證：證實(shí)數(shù)據(jù)報(bào)文是所聲稱的發(fā)送者發(fā)出的。 ?任何形式的數(shù)據(jù)包、信息傳輸命令和 TCP/IP協(xié)議都不可能穿透物理隔離設(shè)備。 ? 檢測(cè) ( DETECT ) 從監(jiān)視、分析、審計(jì)信息網(wǎng)絡(luò)活動(dòng)的角度，發(fā)現(xiàn)對(duì)于信息網(wǎng)絡(luò)的攻擊、破壞活動(dòng)，提供預(yù)警、實(shí)時(shí)響應(yīng)、事后分析和系統(tǒng)恢復(fù)等方面的支持，使安全防護(hù)從單純的被動(dòng)防護(hù)演進(jìn)到積極的主動(dòng)防御 。 網(wǎng)絡(luò)安全防護(hù)模型－ PDRR 目前業(yè)界共識(shí)：“安全不是技術(shù)或產(chǎn)品，而是一個(gè)過程”。完善的網(wǎng)絡(luò)安全體系，必須合理協(xié)調(diào)法律、技術(shù)和管理三種因素，集成防護(hù)、監(jiān)控和恢復(fù)三種技術(shù)，力求增強(qiáng)網(wǎng)絡(luò)系統(tǒng)的健壯性與免疫力。目前，世界上有 20 多萬個(gè)免費(fèi)的黑客網(wǎng)站，這些站點(diǎn)從系統(tǒng)漏洞入手，介紹網(wǎng)絡(luò)攻擊的方法和各種攻擊軟件的使用，這樣，系統(tǒng)和站點(diǎn)遭受攻擊的可能性就變大了。因此它在控制不可信連接、分辨非法訪問、辨別身份偽裝等方面存在著很大的缺陷，從而構(gòu)成了對(duì)網(wǎng)絡(luò)安全的重要隱患。 （ 4） 可控性 controllability： 對(duì)信息的傳播及內(nèi)容具有控制能力 。 保障各種網(wǎng)絡(luò)資源穩(wěn)定、可靠的
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1