網(wǎng)絡安全技術人員培訓(安全基礎)-閱讀頁
2025-01-25 00:43本頁面
【正文】 進行安全檢測，保障數(shù)據(jù)安全、可靠的交換。 該方案能解決的問題： 1. 數(shù)據(jù)源身份認證：證實數(shù)據(jù)報文是所聲稱的發(fā)送者發(fā)出的。 3. 數(shù)據(jù)保密：隱藏明文的消息，通?？考用軄韺崿F(xiàn)。 5. 自動的密鑰管理和安全關聯(lián)管理：保證只需少量或根本不需要手工配置，就可以在擴展的網(wǎng)絡上方便精確地實現(xiàn)公司的虛擬使用網(wǎng)絡方針 ? AH協(xié)議（ 頭部認證 ） ? ESP協(xié)議（ IPsec 封裝安全負載 ） ? ISAKMP/Oakley協(xié)議 基于 IPSec 的 VPN解決方案需要用到如下的協(xié)議： IPSec 框架的構成 基于第二層的 VPN解決方案 公司內部網(wǎng) 撥號連接 因特網(wǎng) L2 T P 通道 用于該層的協(xié)議主要有： ? L2TP： Lay 2 Tunneling Protocol ? PPTP： PointtoPoint Tunneling Protocol ? L2F： Lay 2 Forwarding L2TP的缺陷： 1. 僅對通道的終端實體進行身份認證，而不認證通道中流過的每一個數(shù)據(jù)報文，無法抵抗插入攻擊、地址欺騙攻擊。 3. 雖然 PPP報文的數(shù)據(jù)可以加密，但 PPP協(xié)議不支持密密鑰的自動產(chǎn)生和自動刷新，因而監(jiān)聽的攻擊者就可能最終破解密鑰，從而得到所傳輸?shù)臄?shù)據(jù)。在 SSL中，身份認證是基于證書的，屬于端到端協(xié)議，不需要中間設備如：路由器、防火墻的支持 ? SHTTP 提供身份認證、數(shù)據(jù)加密，比 SSL靈活，但應用很少，因 SSL易于管理 ? SMIME 一個特殊的類似于 SSL的協(xié)議，屬于應用層安全體系，但應用僅限于保護電子郵件系統(tǒng)，通過加密和數(shù)字簽名來保障郵件的安全，這些安全都是基于公鑰技術的，雙方身份靠，不需要 Firewall and Router 的支持 Network Interface (Data Link) IP (Interwork) TCP/UDP (Transport) S— MIME Kerberos Proxies SET IPSec (ISAKMP) SOCKS SSL,TLS IPSec (AH,ESP) Packet Filtering Tunneling Protocols CHAP,PAP,MSCHAP TCP/IP 協(xié)議棧與對應的 VPN協(xié)議 Application 現(xiàn)有的 VPN 解決方案－－小結 1. 網(wǎng)絡層對所有的上層數(shù)據(jù)提供透明方式的保護，但無法為應用提供足夠細的控制粒度 2. 數(shù)據(jù)到了目的主機，基于網(wǎng)絡層的安全技術就無法繼續(xù)提供保護，因此在目的主機的高層協(xié)議棧中很容易受到攻擊 3. 應用層的安全技術可以保護堆棧高層的數(shù)據(jù)，但在傳遞過程中，無法抵抗常用的網(wǎng)絡層攻擊手段，如源地址、目的地址欺騙 4. 應用層安全幾乎更加智能，但更復雜且效率低 5. 因此可以在具體應用中采用多種安全技術，取長補短 防火墻的主要功能 ?監(jiān)控并限制訪問 針對黑客攻擊的不安全因素，防火墻采取控制進出內外網(wǎng)的數(shù)據(jù)包的方法，實時監(jiān)控網(wǎng)絡上數(shù)據(jù)包的狀態(tài)，并對這些狀態(tài)加以分析和處理，及時發(fā)現(xiàn)存在的異常行為；同時，根據(jù)不同情況采取相應的防范措施，從而提高系統(tǒng)的抗攻擊能力。 防火墻的主要功能（續(xù)） ?保護網(wǎng)絡內部 針對軟件及系統(tǒng)的漏洞或 “ 后門 ” ，防火墻采用了與受保護網(wǎng)絡的操作系統(tǒng)、應用軟件無關的體系結構，其自身建立在安全操作系統(tǒng)之上；同時，針對受保護的內部網(wǎng)絡，防火墻能夠及時發(fā)現(xiàn)系統(tǒng)中存在的漏洞，進行訪問上的限制；防火墻還可以屏蔽受保護網(wǎng)絡的相關信息，使黑客無從下手。日志是對一些可能的攻擊行為進行分析和防范的十分重要的情報。這樣網(wǎng)絡管理員通過對統(tǒng)計結果進行分析，掌握網(wǎng)絡的運行狀態(tài)，繼而更加有效的管理整個網(wǎng)絡。 不足： ?準確性：誤報率和漏報率 ?有效性：難以及時阻斷危險行為 網(wǎng)絡防病毒 ?基本功能：串接于網(wǎng)絡中，根據(jù)網(wǎng)絡病毒的特征在網(wǎng)絡數(shù)據(jù)中比對，從而發(fā)現(xiàn)并阻斷病毒傳播 ?優(yōu)點：能有效阻斷已知網(wǎng)絡病毒的傳播 ?不足： ?只能檢查已經(jīng)局部發(fā)作的病毒 ?對網(wǎng)絡有一定影響 網(wǎng)絡掃描器 ?通過模擬網(wǎng)絡攻擊檢查目標主機是否存在已知安全漏洞 ?優(yōu)點：有利于及早發(fā)現(xiàn)問題，并從根本上解決安全隱患 ?不足： ?只能針對已知安全問題進行掃描 ?準確性 vs 指導性 訪問控制（ 1） 廣義的訪問控制功能包括鑒別 、 授權和記賬等 ?鑒別 （ Authentication） ： 辨別用戶是誰的過程 。 在一些訪問控制的實現(xiàn)中， 認證和授權是統(tǒng)一在一起的 ?記賬 （ Accounting） ； 統(tǒng)計用戶做過什么的過程 ， 通常使用消耗的系統(tǒng)時間 、 接收和發(fā)送的數(shù)據(jù)量來量度 。 訪問控制（ 2） ?RADIUS協(xié)議 針對遠程用戶 Radius（ Remote Authentication Dialin User service） 協(xié)議，采用分布式的 Client/Server結構完成密碼的集中管理和其他訪問控制功能；網(wǎng)絡用戶（ Client） 通過網(wǎng)絡訪問服務器（ NAS） 訪問網(wǎng)絡， NAS同時作為 Radius結構的客戶端，認證、授權和計帳的 3A功能通過 NAS和安全服務器（ Secutity Server） 或 Radius服務器之間的Radius協(xié)議過程完成，而用戶的控制功能在 NAS實現(xiàn)。 TACACS對數(shù)據(jù)并不加密，因此它的安全性要差一些，針對這種情況，又設計了 TACACS+和 RADIUS協(xié)議。用戶登錄進入之后，對于每一條用戶輸入的命令， NAS都將提請安全服務器
試題試卷相關推薦
鄂ICP備17016276號-1