《通信网络安全与防护》课件1-2.ppt

1、通信网络按划分为哪三个子网？网络的安全目标有哪些？知识回顾网络安全体系结构是网络安全最高层的抽象描述，它从系统化的角度去理解安全问题的解决方案，对研究、实现和管理网络安全的工作有全局指导的作用，对于网络安全的理解、设计、实现和管理有着重要的意义。1.3 网络安全体系结构1.3 网络安全体系结构uOSI安全体系结构的研究始于1982年，其成果标志是ISO发布了ISO 7498-2标准，作为OSI参考模型的新补充。u1990年，ITU决定采用IS0 7498-2作为它的X.800推荐标准。u不是为解决某一特定安全问题，而是为网络安全共同体提供一组公共的概念和术语，用来描述和讨论安全问题和解决方案1

2、.3 网络安全体系结构OSI安全体系结构主要包括三部分内容：u安全服务：一个系统各功能部件所提供的安全功能的总和。OSI安全体系结构定义了五组安全服务，主要包括认证、数据保密、数据完整性、访问控制和抗抵赖服务。1.3 网络安全体系结构 （1）认证服务 认证服务是提供某个实体的身份保证，常见的认证方法是口令。认证服务有对等实体认证对等实体认证和数据起源数据起源认证认证两种类型。a.对等实体认证服务是在一个实体与实本的连接中，每一方确认对方的身份。可分为单向认证和双向认证。b.数据起源认证是在通信的某个环节中，确认某个数据是由某个发送者发送的。（4）访问控制服务 访问控制服务是对某些确知身份限制对

3、某些资源的访问，访问控制服务可以防止未授权的实体访问资源。（3）数据完整性服务数据完整性服务保护数据在存储和传输中的完整1.3 网络安全体系结构 （2）数据保密性服务数据保密性服务保护信息不泄漏或不暴露给那些未授权掌握该信息的实体。（5）抗抵赖服务 抗抵赖服务与其它安全服务有根本的不同，它主要保护通信系统不会遭到来自系统中其它合法用户的威胁，而不是来自未知攻击者的威胁。抗抵赖服务包括数据起源的抗抵赖和传递过程的抗抵赖。1.3 网络安全体系结构1.3 网络安全体系结构OSI安全体系结构主要包括三部分内容：u安全服务：一个系统各功能部件所提供的安全功能的总和。u安全机制：指安全服务的实现机制，一种

4、安全服务可以由多种安全机制来实现，一种安全机制也可以为多种安全服务所用。u安全管理：包括两方面的内容，一是安全的管理，网络和系统中各种安全服务和安全机制的管理，如认证或加密服务的激活，密钥等参数的分配、更新等；二是管理的安全，是指各种管理活动自身的安全，如管理系统本身和管理信息的安全。1.3 网络安全体系结构从(X，Y，Z)三个平面各取一点，例如：“认证服务、网络层和计算机”，表示计算机 系统在网络层采取的认证服务，如端到端的、基于主机地址的认证等；“认证服务、应用层和计算机”是指计算机操作系统在应用层应对用户身份进行认证，如系统登录时的 用户名口令保护等1.3 网络安全体系结构一个网络系统的

5、安全需求包括以下几个方面：u主体、客体的标识与认证；u主体的授权与访问控制；u数据存储与传输的完整性；u可用性保证；u抗抵赖服务。各种安全需求之间存在相互依赖关系，孤立地选取某种安全服务常常是无效的。1.3 网络安全体系结构Policy：即安全政策或安全策略，是一套文档化的规则，用来限制由一组或多组元素组成的一组或多组与安全相关的行为。在整体安全策略的控制和指导下，综合运用防护工具（如防火墙、加密机、防病毒等手段）的同时，利用检测工具（如隐患扫描、入侵检测等）了解和评估系统的安全状态，通过适当的安全响应，将系统保持或恢复到“最安全”和“风险最低”的状态。1.PDRR网络安全模型防护是PDRR模

6、型中的最重要的部分，防护是阻止攻击可以发生的条件产生，让攻击者无法顺利的入侵。防护可以分为三大类：系统安全防护、网络安全防护和信息安全防护。防护主要包括以下几种措施：（1）风险评估缺陷扫描风险评估即发现并修补系统和网络存在的安全缺陷和漏洞。1.PDRR网络安全模型（2）访问控制和防火墙访问控制技术属于网络安全防护类型。（3）防病毒软件与个人防火墙防病毒软件和个人防火墙都是系统安全工具，属于系统安全防护类型。（4）数据备份和归档：属于信息安全防护类型。（5）数据加密：信息安全防护的重要技术。（6）鉴别技术（7）使用安全通信 1.PDRR网络安全模型系统安全评估标准系统安全评估标准根据计算机安全评

7、估标准，系统安全程度被分为四等七级，其安全性从低到高分别是D、C1、C2、B1、B2、B3、A1。其中，D经为最低保护等级，C1级为无条件安全防护系统，C2引进了用户权限级别且有系统的审计记录。1.PDRR网络安全模型防护系统只能阻止大多数入侵事件的发生，但不能阻止所有的入侵，特别是利用新的系统缺陷、新的攻击手段的入侵。因些安全政策的第二个安全屏障就是检测，即如果入侵发生就检测出来，这个工具是入侵检测系统（IDS，Intrusion detection system）。IDS是一个硬件系统或软件程序，它的功能是检测出正在发生或者已经发生的入侵事件。1.PDRR网络安全模型 根据检测环境不同，I

8、DS可以分为基于主机的IDS（Host-based）和基于网络的IDS（Network-based）。根据检测所使用的方法，IDS还可分为两种：误用检测（Misuse Detection）和异常检测（Anomaly Detection）。1.PDRR网络安全模型PDRR模型的第三个环节是响应。在一个大规模网络中，响应都是由一个特殊部门负责，即计算机紧急响应小组（CERT）。1.PDRR网络安全模型CERT（Computer Emergency Response Team）1988年Morris 蠕虫事件直接导致了CERT/CC的诞生。“紧急响应”对应的英文是“Incident Response

9、”或“Emergency Response”等，通常是指一个组织为了应对各种安全事件的发生所做的准备以及在事件发生后所采取的措施。国内应急响应组织国内应急响应组织国内的应急响应服务还处在起步阶段u CCERT（1999年5月），中国第一个安全事件响应组织u NJCERT（1999年10月）u 中国电信ChinaNet安全小组u 公安部u 安全救援服务公司中国计算机应急响应组/协调中心CNCERT/CCu 信息产业部安全管理中心，2000年3月，北京1.PDRR网络安全模型CERT/CC服务的内容u安全事件响应u安全事件分析和软件安全缺陷研究u缺陷知识库开发u信息发布：缺陷、公告、总结、统计、补

10、丁、工具u教育与培训：CSIRT管理、CSIRT技术培训、系统和网络管理员安全培训u指导其它CSIRT（也称IRT、CERT）组织建设1.PDRR网络安全模型入侵追踪入侵追踪qnetstat命令q日志数据q捕获原始数据报文q入口过滤(Ingress Filtering)q链路测试(Link Testing)q日志记载(Logging)qICMP追踪方法q报文标记(Packet Marking)追踪1.PDRR网络安全模型 2000年初，全球著名网站如yahoo、eBay、E-Trade、Amazon等相继被黑客用DDoS（分布式拒绝服务）的方法攻破，由于备份措施不力导致损失惨重，短短三天，这些

11、公司的损失就高达10亿美元。2001年的911事件至今让人记忆犹新，美国国防部受袭后整个网络系统陷入瘫痪，可仅仅数小时后就恢复运行；另据统计世贸大楼倒塌后相关机构仅有43%恢复营业，大部分由于没有计算机网络的备份而毁灭了数据资料，以至宣布破产。1.PDRR网络安全模型美国德克萨斯州大学的调查显示：“只有6%的公司可以在数据丢失后生存下来，43%的公司会彻底关门，51%的公司会在两年之内消失。”“数据是下一个Intel Inside”，信息已成为当今社会最重要的资产。灾备是确保信息安全的一个关键策略。1.PDRR网络安全模型容灾备份和恢复容灾备份和恢复 以下哪些因素会对数据完整性形成威胁。A.硬

12、件故障；B.网络故障；C.自然灾难；D.人为威胁（使用者经验不足，网络黑客等）1.PDRR网络安全模型(1)网络系统备份备份是一种古老的、安全的、简单有效的预防灾难的手段。将数据复制到磁盘或磁带中保存下来，出错时再复制回去。数据保护措施 数据备份的几种方式全备份：备份系统中所有的数据增量备份：只备份上次备份以后有变化的数据差分备份：只备份上次完全备份以后有变化的数据按需备份：根据临时需要有选择地进行数据备份1.PDRR网络安全模型数据备份的技术措施:RAID Redundant arrays of inexpensive disks，冗余的廉价磁盘阵列，是一种容灾备份的技术。它有许多等级用于不

13、同方面，但在实际中RAID1(磁盘镜像方式)和RAID5(磁盘条块化方式)在灾难预防与恢复中运用最为广泛。SAN Storage Area Network，存储区域网络是一种高速网络或子网络，提供在计算机与存储系统之间的数据传输。数据保护措施 1.PDRR网络安全模型归档是将文件从网络的在线存储器上删除，并拷贝到磁盘或其它介质上，以便长期保存的过程。(2)归档与分级存储分级存储是将软件从在线存储器上归档到离线存储器上的自动系统，也可以进行相反的选择。数据保护措施 1.PDRR网络安全模型冗余的意思是“不必要的重复”，对于一个正常的对于一个正常的系统来说，冗余的部件（如UPS）并不能带来好处，可

14、以说是不必要的，因此冗余这个定义是十分恰当的。但从可靠性的角度来说冗余是必要的，(3)冗余数据保护措施 1.PDRR网络安全模型 冗余现在已经深入到各个层次，如:u外部电源冗余（UPS）;u内部部件冗余（双电源，双CPU）;u存储器冗余（RAID等级阵列）;u软件冗余（安装并行系统）;u数据冗余（数据镜像）等。(3)冗余数据保护措施 1.PDRR网络安全模型 集群技术是使用特定的连接技术，将许多的计算机设备结合起来，提供与超级计算机性能相当的并行处理技术。集群系统优点是容错性好，例如在两个节点的集群中，如果一个节点失效了，另一个节点可以通过检查缓冲区中的内容将失效节点的任务接管过去。(4)集群(Cluster)数据保护措施 1.PDRR网络安全模型1.5 网络安全基本原则u纵深防御;u防御多样化；u阻塞点;u最薄弱链接；u失效保护状态；u最小特权；u普遍参与；u简单化。经常有人讲，“通信安全嘴上讲非常重要，实际落实起来可以不要”；还有人说“最欠缺懂通信安全的人”，大家怎么看？在工作生活中，如何落实通信安全和通信防护呢？