1、计算机网络及应用（第二版）第10章 网络安全与网络管理引言随着网络的开放性、共享性及互联程度的扩大，特别是Internet网的出现，各种新业务的兴起，比如电子商务（Electronic Commerce）、电子现金（Electronic Cash）、数字货币（Digital Cash）、网络银行（Network Bank）等的兴起，以及各种专用网（比如金融网等）的建设，使得安全问题显得越来越重要，因此对网络安全的研究已成为学术界和实际应用领域中的一个热点问题。10.1网络安全概述10.2网络安全技术10.3云计算及云安全10.4Web安全10.5网络管理技术目录 CONTENTS安全问题容易被
2、忽视重要性安全性是互联网技术中最关键也最容易忽视的问题。许多组织都建立了庞大的网络体系，但在使用中却较少考虑安全问题，直到网络受到安全威胁，才不得不采取安全措施。网络安全的成因对计算机系统的过度依赖和系统自身固有的脆弱性以及管理上的漏洞共同导致的。网络安全类型病毒感染、黑客入侵、各类攻击（截获、中断、篡改、伪造等）、非授权访问、授权用户误操作等造成的安全问题，带来的影响可能是局部性的，也可能是全局性的，甚至是颠覆性的。有的可能造成巨大的经济损失，有的可能导致系统崩溃，进而导致所属单位倒闭。10.1.1网络安全的重要性10.1网络安全概述1）互联网安全3）数据的安全2）操作系统的安全4）传输线路
3、的安全1.互联网是一个开放的、无控制的网络结构。2. 协议缺乏使传输过程中的信息不被窃取的安全措施。3.网络信息的来源和去向是否真实，内容是否被改动，以及是否泄露等无法很好确认。4.电子邮件存在着被拆看、误投和伪造的可能。1. 操作系统体系结构造成的不安全性是计算机系统不安全的根本原因之一。2.操作系统不安全的另一原因在于进程的管理机制。3.无口令入口以及隐蔽通道也是黑客入侵的通道。1.网络中，数据是存放在数据库中的，供不同的用户共享。2.数据库安全而言，就是要保证数据的安全可靠和正确有效，即数据的安全性、完整性和并发控制。尽管在光缆、同轴电缆、微波、卫星通信中窃听其中指定一路的信息是很困难的
4、，但是从安全的角度来说，没有绝对安全的通信线路。10.1.2 网络安全研究的主要问题10.1网络安全概述5）网络安全管理网络系统缺少安全管理人员，缺少安全管理的技术规范，缺少定期的安全测试与检查，缺少安全监控，是网络管理主要的安全问题之一。确保计算机系统有一个良好的电磁兼容环境。抑制和防止电磁泄露是物理安全策略的一个主要问题。信息加密的目的是保护网内的数据、文件、口令和控制信息，以及网上传输的数据。网络加密常用的方法有链路加密、端点加密和节点加密三种。主要任务是保证网络资源不被非法使用和非法访问。1）入网访问控制；2）网络的权限控制3）目录级安全控制；4）属性安全控制5）网络服务器安全控制；6
5、）网络监测和锁定控制7）网络端口和节点的安全控制；8）防火墙控制确定安全管理等级和安全管理范围；制订有关网络操作使用规程和人员出入机房管理制度；制定网络系统的维护制度和应急管理措施等。物理安全策略访问控制策略信息加密策略安全管理策略10.1.3 网络安全策略10.1网络安全概述网络安全策略是指在一定特定环境里，为保证提供一定级别的安为保证提供一定级别的安全保护所必须遵守的规则全保护所必须遵守的规则。从范畴上讲，主要涉及物理安全策略、访问控制策略、信息加密策略和网络安全管理策略四个方面。定性评价美国国家计算机安全中心（NSNC）90年代提出了网络安全性标准（DoD5200.28_STD），即可信
6、任计算机标准评估准则。安全级别对不同类型的物理安全、用户身份认证、操作系统软件的可信任性和用户应用程序进行了安全描述，标准限制了可以连接系统的系统类型。等级标定网络安全性标准将网络安全性等级划分为A、B、C、D四类7个等级（D、C1、C1、B1、B2、B3、A），其中，A类安全等级最高，D类安全等级最低。10.1.4 网络的安全标准10.1网络安全概述10.1网络安全概述10.2网络安全技术10.3云计算及云安全10.4Web安全10.5网络管理技术目录 CONTENTS网络安全的基本技术主要包括防火墙技术、网络加密技术、身份认证技术、防病毒技术、网络隔离技术、网络地址转换技术和操作系统安全内
7、核技术等。10.2 网络安全技术概述10.2 网络安全技术防火墙就是一个或一组网络设备（计算机或路由器等），可用来在两个或多个网络间加强相互间的访问控制。内部网上设立防火墙的主要目的是保护自己不受来自另外网络的攻击。要保护的是自己管理的内部网络，而要防备的则是一个外部的网络。10.2.1防火墙技术10.2 网络安全技术10.2.1防火墙技术-防火墙的作用10.2 网络安全技术1）集中化的安全管理2）方便的网络安全监视3）缓解IP地址空间的紧缺4）记录网络流量5）安全发布信息10.2.1防火墙技术-防火墙的种类10.2 网络安全技术1）包过滤防火墙 包过滤防火墙是最简单的防火墙，通常只包括对源和
8、目的IP地址及端口的检查。2）代理服务型防火墙 代理服务型防火墙使用一个客户程序与特定的中间节点（防火墙）连接，然后中间节点与服务器进行实际连接3）复合型防火墙 复合型防火墙是把前两类防火墙结合起来，形成新的产品，以发挥各自的优势，克服各自的缺点，来满足更高安全性的要求。4）智能防火墙 智能防火墙是一种更聪明、更智能的防火墙产品，它克服了传统防火墙“一管就死，一放就乱”的状况，修正了上述防火墙的重大假设。网络信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。网络加密常用的方法有链路加密、端点加密和节点加密三种。链路加密的目的是保护网络节点之间的链路信息安全：端点加密的目
9、的是对源端用户到目的端用户的数据提供加密保护；节点加密的目的是对源节点到目的节点之间的传输链路提供加密保护。网络加密技术是网络安全最有效的技术之一。一个加密网络，不但可以防止非授权用户的搭线窃听和入网，而且也是对付恶意软件（或病毒）的有效方法之一。10.2.2网络加密技术10.2 网络安全技术信息加密过程是由各种加密算法来具体实施的。信息加密是保证信息机密性的唯一方法。10.2.2网络加密技术-加密算法10.2 网络安全技术常规密码算法（对称加密算法）在常规密码算法中，收信方和发信方使用相同的密钥，即加密密钥和解密密钥是相同或等价的。在众多的常规密码中影响最大的是DES密码。常规密码算法的优点
10、是有很强的保密强度，且能经受住时间的检验和攻击，但其密钥必须通过安全的途径传送。公钥密码算法（非对称加密算法）在公钥密码算法中，收信方和发信方使用的密钥互不相同，而且不可能从加密密钥推导出解密密钥。最有影响的公钥密码算法是RSA，它能抵抗目前为止已知的所有密码攻击。公钥密码的优点是可以适应网络的开放性要求，且密钥管理问题也较为简单，尤其可方便地实现数字签名和身份验证。计算机病毒是计算机系统中一类隐藏在存储介质上蓄意破坏的捣乱程序。它具有可运行性、复制性、传染性、潜伏性、破坏性、欺骗性、隐蔽性和顽固性等特点。对计算机系统与网络的安全和正常运行具有极大的危害性。10.2.3 网络病毒防范10.2
11、网络安全技术1）潜伏阶段2）繁殖阶段3）触发阶段4）执行阶段病毒生存期10.2.3 网络病毒防范-病毒的类型10.2 网络安全技术1）引导型病毒引导型病毒是最普通的病毒种类。它驻留在软磁盘的引导扇区，并且被传输到磁盘的分区2）宏病毒宏病毒是采用字处理或扩展性电子表格的宏形式的一种病毒。它在用户运行字处理或扩展性电子表格程序时可能运行。3）文件型病毒文件型病毒通常附着在可执行文件上，当运行被传染上病毒的可执行文件时，病毒就把自身拷贝进内存。4）网络病毒网络病毒可以通过网络协议、命令、消息发布程序和数据连接等各种方式传播。5）蠕虫病毒蠕虫病毒并不是技术意义上的病毒，而是一种能够独立运行并通过网络在
12、计算机间进行传递的程序。6）特洛伊木马病毒该病毒宣称自己能够做有益的事情，而实际上却危害众多的计算机或系统。10.2.3 网络病毒防范-网络防病毒技术10.2 网络安全技术1）预防病毒技术。通过自身常驻系统内存，优先获得系统的控制权，监视和判断系统中是否有病毒存在，进而阻止计算机病毒进入计算机系统和对系统进行破坏。其技术手段包括：加密可执行程序、引导区保护、系统监控与读写控制（如防病毒卡）等。2）检测病毒技术。是通过对计算机病毒的特征分析来进行判断的侦测技术，如自身校验、关键字、文件长度的变化等。3）消除病毒技术。通过对计算机病毒特征的分析，开发出具有查杀病毒程序并恢复原文件的软件。网络防病毒
13、技术包括预防病毒、检测病毒和消除病毒等主要技术。认证技术是信息安全理论与技术的一个重要方面。身份认证是安全系统中的第一道关卡，如图所示。用户在访问安全系统之前，首先经过身份认证系统识别身份，然后访问监控设备。10.2.4 身份认证技术10.2 网络安全技术用户与主机之间的认证有如下几种方式。 基于用户所知道的安全信息，如口令的认证方式。 基于用户所拥有的物品，如智能卡的认证方式。 基于用户所具有的生物特征，如指纹、声音、视网膜扫描等认证方式。数字证书是网络通信中标志通信各方身份信息的一系列数据，提供了一种在Internet上验证身份的方式，是由一个权威机构CA机构，又称为证书授权（Certif
14、icate Authority，CA）中心发行的。10.2.4 身份认证技术-CA认证10.2 网络安全技术CA必须行使以下职能。管理和维护客户的证书和CRL；维护自身的安全；提供安全审计的依据等。PKI(Public Key Infrastructure，公钥基础设施)。基于公钥密码体制的确立始于1976年。Diffie和Hellman首次提出了不基于秘密信道的密钥分发技术，即著名的D-H密钥交换协议，这标志着公钥密码体制的出现。10.2.4 身份认证技术-PKI技术10.2 网络安全技术公钥密码体制的优点是可以简化密钥的管理，并且可以通过公开系统如公开目录服务来分配密钥。但公钥密码体制具有
15、加、解密的速度太慢和密钥长度太长等缺陷。网络隔离（Network Isolation），主要是指把两个或两个以上可路由的网络（如：TCP/IP）通过不可路由的协议（如：IPX/SPX、NetBEUI等）进行数据交换而达到隔离目的。由于其原理主要是采用了不同的协议，所以通常也叫协议隔离（Protocol Isolation）。网络隔离技术的目标是确保把有害的攻击隔离，在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换。网络隔离技术的重点是在网络隔离的环境下如何交换数据。10.2.5 网络隔离技术10.2 网络安全技术第一代隔离技术完全的隔离。第二代隔离技术硬件卡隔离。第三
16、代隔离技术数据转播隔离。第四代隔离技术空气开关隔离。第五代隔离技术安全通道隔离。当外网有数据需要送达到内网的时候，网闸的外端机先接收数据，并发起对网闸固态存储介质的非TCP/IP协议的数据连接，将原始的数据写入固态存储介质，如图10.11所示。一旦数据全部写入存储介质，网闸的固态存储介质立即中断与网闸的外端机的连接，恢复到图10.11所示的状态。网闸的固态存储介质将数据发送给内端机。内端机收到数据后，并发送给内网，如图10.12所示。当数据交换完成之后，网闸的固态存储介质立即切断与内端机的直接连接。恢复到网络断开的初始状态。10.2.5 网络隔离技术-数据交换原理10.2 网络安全技术网闸的外
17、端机与外网相连，内端机与内网相连，外网与内网是完全断开的。123网络开关是比较容易理解的一种。在一个系统里安装两套虚拟系统和一个数据系统，数据被写入到一个虚拟系统，然后交换到数据系统，再交换到另一个虚拟系统。这种系统只适合于简单的文件交换，没有复杂的应用。实时交换是一个网关处的设备可以通过物理断开的方式连接两个网络，并且在两个网络间做到了网络协议终止，即只交换应用层数据。单向连接，早期指数据向一个方向流动，一般指从安全性高的网络向安全性低的网络流动，这种系统只能用于数据的单向传输，可以通过物理断开的方式连接两个网络，并且在两个网络间做到了网络协议终止，即只交换应用层数据。10.2.5 网络隔离
18、技术-技术路线10.2 网络安全技术实施网络隔离的技术路线有三种：网络开关、实时交换和单向连接。10.1网络安全概述10.2网络安全技术10.3云计算及云安全10.4Web安全10.5网络管理技术目录 CONTENTS云计算思想可追溯到20世纪60年代，那时候人们希望“计算机有一天变成一种公共基础设施”，像煤气、水电一样，可以作为一种商品进行流通，取用方便，费用低廉。Gartner早在2011年1月发布的IT行业十大战略技术报告中就将云计算技术列为十大战略技术之首。2014年，全球云计算报告显示，IaaS（基础设施即服务）与SaaS（软件即服务）已经成为广泛使用的云服务。云计算为日常生活带来了
19、许多便利。但与此同时，云环境的安全威胁风险也日益突出，云环境中如何保证用户的数据在云端不被非法访问和泄露、如何防范滥用和恶意使用云资源、如何进行身份认证及访问控制策略等问题也日益成为研究和关注热点。10.3 云计算及云安全-概述10.3云计算及云安全美国国家标准与技术研究院（NIST）中对云计算做了如下定义：云计算是一种能够通过网络可便利的、按需定制的方式来使用各类资源（包括网络、服务器、存储、应用功能等）并能提高其可用性的模式。资源被集成于一个共享的、可配置的资源池，能够以最省力和无人干预的方式获取，并能释放。10.3 云计算及云安全-体系架构10.3云计算及云安全五个基本特征五个基本特征1
20、）按需自助服务2）多形式网络访问3）资源池化4）快速伸缩扩展性5）服务可计量三三种种服务模式服务模式1）软件即服务（SaaS）2）平台即服务（PaaS）3）基础设施即服务（IaaS）IaaS涵盖了从机房设备到其中的硬件平台等所有的基础设施资源层面。PaaS位于IaaS之上，又增加了一个层面，用以与应用开发框架、中间件能力以及数据库、消息和队列等功能集成。类似地，SaaS又位于底层的IaaS和PaaS之上。SaaS能够提供独立的运行环境，用以交付完整的用户体验，包括内容、展现、应用和管理能力等。基本定义基本定义1）公有云：云基础设施提供服务给一般公众或某个大型行业团体。它由销售云计算服务的组织所
21、有。2）私有云：云基础设施专为一个单一的组织运作。它可以由该组织或某个第三方管理并可以位于组织内部或外部。3）社区云：云基础设施由若干个组织共享，支持某个特定的社区。社区是指有共同诉求和追求的团体（例如使命、安全要求、政策或合规性考虑等）。它可以由该组织或某个第三方机构管理，并可以位于组织内部或外部。4）混合云：云基础设施由两个或多个云（私有、社区、或公共）组成，以独立实体存在，但是通过标准的或私有的技术绑定在一起，这些技术促进了数据和应用的可移植性（例如，云间负载均衡的cloudbursting技术）。10.3 云计算及云安全-部署模式10.3云计算及云安全四中部署模式四中部署模式当前，基于
22、云计算架构的IT解决方案越来越多，让人们看到了云计算使网络计算成为普通的社会公共基础服务的曙光，但是云计算在提供“无限”服务能力以及便利访问使用的同时，云环境中的云安全也变得日益突出。安全性、可用性和性能将成为用户使用云计算最关注的三个方面。10.3 云计算及云安全-云安全及参考模型10.3云计算及云安全七条云计算安全风险：特权用户访问风险；法规遵守风险；数据位置不确定风险；共享存储数据风险；数据恢复风险；调查支持（数据跟踪功能）风险；长期发展风险。要将云安全集成到云计算架构体系的解决方案中，其困难度和复杂度都非常大，甚至会使云计算方案变得僵化，从而影响服务的灵活性。关注点风险点集成点10.3
23、 云计算及云安全-云安全及参考模型10.3云计算及云安全云安全治理问题云安全运行问题安全即服务SecaaS是云安全防护的一种新形式。将安全资源进行集中化管理，对外提供可供定制的安全服务，称为安全即服务SecaaS。10.3 云计算及云安全-防护控制新形式(SecaaS)10.3云计算及云安全SecaaS定义为：通过云提供安全应用以及服务，既可以为云基础设施以及软件提供服务，也可以为从云端到 消 费 者 的 预 置 系 统 提 供 服 务（CSA）。CSA将用户和安全专业人员最可能感兴趣的基于云的服务类型表述为：身份服务和访问管理服务；数据泄漏保护（DLP）；Web安全；Email安全；安全评估
24、；入侵管理、检测和防护（IDS/IPS）；安全信息和事件管理；加密；业务连续性和灾难恢复；网络安全。新形式定义云安全要点10.1网络安全概述10.2网络安全技术10.3云计算及云安全10.4Web安全10.5网络管理技术目录 CONTENTS伴随着互联网应用的发展，Web安全也日益引起了人们的重视。基于B-S的Web应用所对应的安全事件可分为在客户端的脚本安全和在服务器端应用安全。常见的客户端的安全技术主要包括浏览器安全、CSS、CSRF等，服务器端的安全技术有注入攻击、DDOS、认证权限等。10.4 Web安全10.4 Web安全1）浏览器安全2）跨站脚本攻击3）跨站请求伪造4）点击劫持主要
25、类型客户端脚本安全服务器端应用安全1）注入攻击2）拒绝服务攻击（DDOS）3）文件上传漏洞4）认证与会话5）访问控制10.1网络安全概述10.2网络安全技术10.3云计算及云安全10.4Web安全10.5网络管理技术目录 CONTENTS网络管理是对组成网络的各种软硬件设施进行综合管理，以达到充分利用资源和提高网络性能的目的。10.5 网络管理技术10.5 网络管理技术一般地，当出现下列情况之一时，需采用管理系统：1）网络的物理分布较广，用户不在同一房间或不在附近，彼此看不见，听不着。2）随着网络用户的增加，网络性能开始下降，在此之前，就应引入网络管理。3）需要区别对待用户时，例如只允许某些用
26、户可访问某些信息。4）需要访问广域网或企业内的其他计算机设备。目的问题需求来源主要目标主要目标是最大限度地增加网络的可用时间，提高网络设备的利用率、网络性能、服务质量和安全性，简化多厂商混合网络环境下的管理和控制网络运行的成本，并提供网络的长期规划。管理模型在实际网络管理过程中，网络管理应具有的功能非常广泛，包括了很多方面。在OSI网络管理标准中定义了网络管理的5大功能：配置管理、性能管理、故障管理、安全管理和计费管理10.5 网络管理技术-网络管理功能10.5 网络管理技术配置管理的目标是掌握和控制网络和系统的配置信息以及网络内各设备的状态和连接关系。五大功能（1）配置管理）配置管理（2）性
27、能管理）性能管理性能管理功能允许网络管理者了解网络运行的好坏。性能管理的目标是衡量和呈现网络特性的各个方面，使网络的性能维持在一个可以接受的水平上。（3）故障管理）故障管理故障就是出现大量或者严重错误需要修复的异常情况。故障管理是对计算机网络中的问题或故障进行定位的过程。（4）安全管理）安全管理安全管理的目标是按照一定的策略控制对网络资源的访问，以保证网络不被侵害，并保证重要的信息不被未授权的用户访问。（5）计费管理）计费管理计费管理的目标是跟踪个人和团体用户对网络资源的使用情况，对其收取合理的费用。目前使用的标准网络协议包括：简单网络管理系统（SNMP）、通用管理信息协议（CMIP）和局域网
28、个人管理协议（LMMP）等。10.5 网络管理技术-网络管理协议10.5 网络管理技术简单网络管理协议（Simple Network Management Protocol，SNMP）是最早提出，也是最基本的网络管理协议。网络管理协议（1）简单网络管理协议（）简单网络管理协议（SNMP）（2）通用网络管理协议（）通用网络管理协议（CMIP）通用管理信息协议（CMIP）可以提供完全的端-端管理功能，它覆盖了OSI的七层。但由于其复杂性，致使其开发速度缓慢，少有适用的网络管理产品。（3）公共管理信息服务与协议（）公共管理信息服务与协议（CMOT）公共管理信息服务与协议（CMOT）是在TCPIP协议
29、簇上实现CMIS服务，它是一种过渡性的解决方案，直到OSI网络管理协议被广泛采用。（4）局域网个人管理协议（）局域网个人管理协议（LMMP）局域网个人管理协议试图为LAN环境提供一个网络管理方案。LMMP以前被称为IEEE802逻辑链路控制上的公共管理信息服务与协议（CMOL）。由于不要求任何网络层协议，LMMP比CMIS/CMIP或CMOT都易于实现，然而没有网络层提供路由信息，LMMP信息不能跨越路由器，从而限制了它只能在局域网中发展。（1）网络安全主要包括互联网络的安全、操作系统的安全、数据的安全、传输线路的安全以及网络管理安全。（2）网络安全的基本技术主要包括防火墙技术、网络加密技术、
30、身份认证技术、网络防病毒技术。网络防火墙实现不同网络的访问隔离；网络加密技术主要保护网络内数据的安全性与完整性；身份认证是网络安全的第一道关卡，可实现多重目的不同类型的用户策略管理；网络防病毒是通过预防、检测、消除等技术手段保障网络内设备与用户资料的安全。（3）云计算与云安全是计算服务架构发展的新热点。云计算实现了网络中计算资源与存储资源的按需自助、多形态访问、快速伸缩以及服务可计量，在不同服务层次上分别通过IaaS、PaaS、SaaS服务模式提供云服务。云安全是云计算当前面临的重要挑战。由于云计算在服务模型、部署模型以及用户使用模式上与传统IT服务相比有所不同，使得面临的风险有所差异，集中体现在数据位置不确定风险、共享存储分析、数据隐私风险以及长期可持续服务风险。（4）基于B-S的Web安全也日益引起了人们的重视，常见的安全问题包括：跨站脚本攻击、请求伪造、点击劫持、注入攻击、拒绝服务。养成良好的网站访问习惯、安装个人电脑防火墙、及时更新系统补丁是个人用户应对日常Web安全的重要手段。（5）大规模的网络需要科学的网络管理。网络管理涉及工作非常广泛，OSI定义的5大网络管理功能，包括：配置管理、性能管理、故障管理、安全管理和计费管理。使用的网络管理协议主要包括：简单网络管理系统、通用管理信息协议和局域网个人管理协议。本章小结本章小结
