計(jì)算機(jī)信息網(wǎng)絡(luò)中文課件(已改無錯(cuò)字)
2023-02-20 11:54:03 本頁面
【正文】 ? 例子 1: 阻止具有下列特征的入和出數(shù)據(jù)報(bào)： IP 協(xié)議字段 =17并且源或目的端口號(hào) = 23. ?所有入和出 UDP流和 Tel連接將阻止 ? 例子 2: 阻止入 TCP段 (協(xié)議字段 = 6)具有 ACK=0. ?防止外部客戶機(jī)與內(nèi)部客戶機(jī)進(jìn)行 TCP連接，但允許內(nèi)部客戶機(jī)與外部連接 網(wǎng)絡(luò)安全 56 應(yīng)用網(wǎng)關(guān) ? 除了 IP/TCP/UDP字段，還過濾分組的應(yīng)用數(shù)據(jù) ? 例子： 允許選定的內(nèi)部用戶 Tel外部 主機(jī)到網(wǎng)關(guān)的Tel會(huì)話 網(wǎng)關(guān)到遠(yuǎn)程主機(jī) Tel會(huì)話 應(yīng)用網(wǎng)關(guān) 路由器和過濾器 1. 要求所有 Tel用戶通過網(wǎng)關(guān)出去 2. 對(duì)于授權(quán)的用戶，網(wǎng)關(guān)對(duì)目的主機(jī)建立 Tel連接。網(wǎng)關(guān)中繼 2個(gè)連接之間的數(shù)據(jù) 3. 路由器過濾器阻止所有不是從網(wǎng)關(guān)起始的 Tel連接 網(wǎng)絡(luò)安全 57 防火墻和網(wǎng)關(guān)的限制 ? IP哄騙 : 路由器不能知道是否數(shù)據(jù) “ 真實(shí)地 ” 來自所宣稱的源 ? 如果多個(gè)應(yīng)用程序需要特殊處理，每個(gè)都有自己的應(yīng)用網(wǎng)關(guān) ? 客戶機(jī)軟件必須知道如何與網(wǎng)關(guān)聯(lián)系 ? 如必須在 Web瀏覽器中設(shè)置 IP地址 ? 過濾器對(duì) UDP通常使用全部或全無策略 ? 折衷 : 與外界通信的程序，安全性水平 ? 許多高度保護(hù)的站點(diǎn)仍遭受攻擊 網(wǎng)絡(luò)安全 58 第 8章 要點(diǎn) 什么是網(wǎng)絡(luò)安全 ? 密碼學(xué)的原則 鑒別 完整性 密鑰分發(fā)和證書 訪問控制 : 防火墻 攻擊和防范措施 在多層次中的安全性 網(wǎng)絡(luò)安全 59 因特網(wǎng)安全性威脅 映射 : ?在攻擊之前的 “ 踩點(diǎn) ” ：找出網(wǎng)絡(luò)上實(shí)現(xiàn)了什么服務(wù) ?使用 ping 來確定網(wǎng)絡(luò)上有哪些主機(jī) ?端口掃描：試圖順序?qū)γ總€(gè)端口創(chuàng)建 TCP連接 (觀察發(fā)生的情況 ) ? nmap ( : “網(wǎng)絡(luò)探測與安全性審計(jì) ” 對(duì)策 ? 網(wǎng)絡(luò)安全 60 因特網(wǎng)安全性威脅 映射 : 對(duì)策 ?記錄進(jìn)入網(wǎng)絡(luò)的流量 ?尋找可疑的活動(dòng) (IP地址，被順序掃描的端口 ) 網(wǎng)絡(luò)安全 61 因特網(wǎng)安全性威脅 分組嗅探 : ?廣播媒體 ?混雜模式的 NIC讀通過的所有分組 ?能夠讀所有未加密的數(shù)據(jù) (如口令 ) ?如： C嗅探 B的分組 A B C src:B dest:A 負(fù)載 對(duì)策 ? 網(wǎng)絡(luò)安全 62 因特網(wǎng)安全性威脅 分組嗅探 : 對(duì)策 ?組織中的所有主機(jī)運(yùn)行軟件進(jìn)行周期性的檢查，看是否主機(jī)接口為混雜模式 ?廣播媒體的每段一臺(tái)主機(jī) (交換式以太網(wǎng) ) A B C src:B dest:A 負(fù)載 網(wǎng)絡(luò)安全 63 因特網(wǎng)安全性威脅 IP哄騙 : ?能夠直接從應(yīng)用程序生成 “raw” IP分組，在 IP源地址字段放入任何值 ?接收方不能分辨源是否哄騙 ?如 C假裝是 A B C src:B dest:A 負(fù)載 對(duì)策 ? 網(wǎng)絡(luò)安全 64 因特網(wǎng)安全性威脅 IP哄騙：入口過濾 ?路由器對(duì)于非法源地址不應(yīng)當(dāng)向外轉(zhuǎn)發(fā) (如 數(shù)據(jù)報(bào)源地址不在路由器網(wǎng)絡(luò)中 ) ?很好的方法！但入口過濾不能強(qiáng)制所有網(wǎng)絡(luò)實(shí)行 A B C src:B dest:A 負(fù)載 網(wǎng)絡(luò)安全 65 因特網(wǎng)安全性威脅 拒絕服務(wù) (DOS): ?產(chǎn)生的大量敵意分組淹沒了接收方 ?分布式 DOS (DDOS): 多個(gè)協(xié)同的源淹沒接收方 ?如 C和遠(yuǎn)程主機(jī) SYN攻擊 A A B C SYN SYN SYN SYN SYN SYN SYN 對(duì)策 ? 網(wǎng)絡(luò)安全 66 因特網(wǎng)安全性威脅 拒絕服務(wù) (DOS): 對(duì)策 ?在到達(dá)主機(jī)前 過濾出 洪泛分組 (如 SYN)：扔掉 ?溯源 (traceback)到洪泛的源 (許多可能是無辜的、被連累的機(jī)器 ) A B C SYN SYN SYN SYN SYN SYN SYN 網(wǎng)絡(luò)安全 67 第 8章 要點(diǎn) 什么是網(wǎng)絡(luò)安全 ? 密碼學(xué)的原則 鑒別 完整性 密鑰分發(fā)和證書 訪問控制 : 防火墻 攻擊和防范措施 在多層次中的安全性 . 安全電子郵件 . 安全套接字 . IPsec . 在 網(wǎng)絡(luò)安全 68 安全電子郵件 Alice: ? 生成隨機(jī) 對(duì)稱 私鑰 KS ? 用 KS 加密報(bào)文 (為了提高效率 ) ? 也用 Bob的公鑰加密 KS ? 向 Bob發(fā)送 KS(m)和 KB(KS) ? Alice要向 Bob發(fā)送機(jī)密的電子郵件 , m KS( ) . KB( ) . + + KS(m ) KB(KS ) + m KS KS KB + 因特網(wǎng) KS( ) . KB( ) . KB KS m KS(m ) KB(KS ) + 網(wǎng)絡(luò)安全 69 安全電子郵件 Bob: ? 使用他的私鑰解密并恢復(fù) KS ? 使用 KS 解密 KS(m)以恢復(fù) m ? Alice要向 Bob發(fā)送機(jī)密電子郵件 m KS( ) . KB( ) . + + KS(m ) KB(KS ) + m KS KS KB + 因特網(wǎng) KS( ) . KB( ) . KB KS m KS(m ) KB(KS ) + 網(wǎng)絡(luò)安全 70 安全電子郵件 (續(xù) ) ? Alice要提供發(fā)送方鑒別和報(bào)文完整性 ? Alice數(shù)字簽名報(bào)文 ? 發(fā)送報(bào)文 (以明文方式 )并數(shù)字簽名 H( ) . KA( ) . + H(m ) KA(H(m)) m KA 因特網(wǎng) m KA( ) . + KA + KA(H(m)) m H( ) . H(m ) 比較 網(wǎng)絡(luò)安全 71 安全電子郵件 (續(xù) ) ? Alice要提供安全性，發(fā)送方 鑒別，報(bào)文完整性 . Alice使用 3個(gè)密鑰 : 她的私鑰， Bob的公鑰，新生成的 對(duì)稱密鑰 H( ) . KA( ) . + KA(H(m)) m KA m KS( ) . KB( ) . + + KB(KS ) + KS KB + 因特網(wǎng) KS 網(wǎng)絡(luò)安全 72 Pretty good privacy (PGP) ? 因特網(wǎng)電子郵件解密方案，事實(shí)上的標(biāo)準(zhǔn) ? 使用前面所述的對(duì)稱密鑰密碼學(xué) , 公鑰密碼學(xué) , 散列函數(shù) , 和數(shù)字簽名 ? 提供安全性，發(fā)送方鑒別 , 完整性 ? 發(fā)明者 Phil Zimmerman被聯(lián)邦調(diào)查局調(diào)查 3年 BEGIN PGP SIGNED MESSAGE Hash: SHA1 Bob:My husband is out of town yours, Alice BEGIN PGP SIGNATURE Version: PGP Charset: noconv yhHJRHhGJGhgg/12EpJ+lo8gE4vB3mqJhFEvZP9t6n7G6m5Gw2 END PGP SIGNATURE 一份 PGP簽名的報(bào)文 : 網(wǎng)絡(luò)安全 73 第 8章 要點(diǎn) 什么是網(wǎng)絡(luò)安全 ? 密碼學(xué)的原則 鑒別 完整性 密鑰分發(fā)和證書 訪問控制 : 防火墻 攻擊和防范措施 在多層次中的安全
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1