1、2022年6月2日星期四网络安全管理的基本含网络安全管理的基本含义义 网络安全管理网络安全管理 网络安全管理是传统网络管理的一网络安全管理是传统网络管理的一项重要的扩展，将依托于传统网络项重要的扩展，将依托于传统网络管理体系结构和通信协议，以网络管理体系结构和通信协议，以网络安全设备为管理对象，在安全管理安全设备为管理对象，在安全管理策略指导下实现检测、防护和响应策略指导下实现检测、防护和响应的过程的过程网络安全管理目标网络安全管理目标 l安全管理主要是为了降低企业的财政风险和由各安全管理主要是为了降低企业的财政风险和由各种情况带来的损失，如入侵、系统误操作、特权种情况带来的损失，如入侵、系统
2、误操作、特权滥用、数据篡改、欺骗以及服务中断等滥用、数据篡改、欺骗以及服务中断等 l安全管理体系结构可以提供对所需的安全组件的安全管理体系结构可以提供对所需的安全组件的管理，同其它安全元素协同工作以保护信息的机管理，同其它安全元素协同工作以保护信息的机密性，并保证所有对计算机资源的访问都是授权密性，并保证所有对计算机资源的访问都是授权和认证和认证l安全管理体系结构的具体目标是提高分布式应用安全管理体系结构的具体目标是提高分布式应用和信息的完整性、一致性以及机密性和信息的完整性、一致性以及机密性l安全管理体系结构能帮助指导系统和平台的选择，安全管理体系结构能帮助指导系统和平台的选择，并保证所有系
3、统都符合一个标准的最低安全级别并保证所有系统都符合一个标准的最低安全级别 网络安全管理含义网络安全管理含义 l网络的安全管理：通过对网络主机或网络设备网络的安全管理：通过对网络主机或网络设备进行特殊的访问配置来控制整个计算机网络的进行特殊的访问配置来控制整个计算机网络的访问点，保障整个网络设备的安全及他们之间访问点，保障整个网络设备的安全及他们之间的数据通信的安全；对涉及网络安全的访问点的数据通信的安全；对涉及网络安全的访问点进行定期的检查，维护网络安全性；提供访问进行定期的检查，维护网络安全性；提供访问控制、入侵告警事件分析和安全漏洞扫描控制、入侵告警事件分析和安全漏洞扫描 l安全的网络管理
4、：保护网络管理系统本身的安安全的网络管理：保护网络管理系统本身的安全。对网络管理用户分组管理和访问控制，网全。对网络管理用户分组管理和访问控制，网络管理系统管理员按任务将用户分成若干组，络管理系统管理员按任务将用户分成若干组，不同的用户组有不同的权限范围，对用户的操不同的用户组有不同的权限范围，对用户的操作由访问控制检查；系统日志信息分析作由访问控制检查；系统日志信息分析 网络网络设备设备主机主机系统系统防火墙、防火墙、隔离设备等隔离设备等攻击监攻击监测测病毒监病毒监视视内容分内容分析析安全审安全审计计漏洞漏洞扫描扫描战略战略预警预警风险风险评估评估安全综合管理与控制安全综合管理与控制应急应急
5、反应反应系统系统恢复恢复 安全威胁与安全服务安全威胁与安全服务l安全威胁包括窃听、篡改与重发、假冒、抵安全威胁包括窃听、篡改与重发、假冒、抵赖及其他恶意攻击；包括计算机病毒、计算赖及其他恶意攻击；包括计算机病毒、计算机蠕虫和特洛伊木马等机蠕虫和特洛伊木马等l安全服务包括：认证服务、访问控制服务、安全服务包括：认证服务、访问控制服务、保密服务、数据完整性服务、和抗抵赖服务。保密服务、数据完整性服务、和抗抵赖服务。主要的安全机制包括：加密机制、数字签名主要的安全机制包括：加密机制、数字签名机制、数据完整性机制、访问控制机制、认机制、数据完整性机制、访问控制机制、认证交换机制、通信业务流填充机制、路
6、由选证交换机制、通信业务流填充机制、路由选择控制机制和公正机制择控制机制和公正机制 网络安全管理目标网络安全管理目标 1.防止未授权存取：防止未授权用户访问系统资源。防止未授权存取：防止未授权用户访问系统资源。用户意识、良好的口令管理、登录活动记录和报告、用户意识、良好的口令管理、登录活动记录和报告、用户和网络活动的周期检查用户和网络活动的周期检查 2.防止泄密：防止已授权或未授权的用户相互存取重防止泄密：防止已授权或未授权的用户相互存取重要信息。文件系统查帐，要信息。文件系统查帐，su登录和报告，用户意识登录和报告，用户意识和加密都是防止泄密的关键和加密都是防止泄密的关键 3.防止用户拒绝系
7、统的管理：这一方面的安全应由操防止用户拒绝系统的管理：这一方面的安全应由操作系统来完成，一个系统不应被一个有意试图使用作系统来完成，一个系统不应被一个有意试图使用过多资源的用户损坏过多资源的用户损坏 4.防止丢失系统的完整性：周期备份文件系统，系统防止丢失系统的完整性：周期备份文件系统，系统崩溃后运行崩溃后运行fsck检查，修复文件系统，当有新用户检查，修复文件系统，当有新用户时，检测该用户是否能使系统崩溃时，检测该用户是否能使系统崩溃 网络安全管理体系结构网络安全管理体系结构 安全管理要求安全管理要求l在物理安在物理安全上能防止因链路故障引起的全上能防止因链路故障引起的通信中断，能防止因自然
8、灾害或人为因通信中断，能防止因自然灾害或人为因素对数据造成的破坏素对数据造成的破坏l对重点网络设备通过冗余备份应能实现对重点网络设备通过冗余备份应能实现网络系统的容错网络系统的容错l对于重要的主机和网络设备建立相应的对于重要的主机和网络设备建立相应的访问、参观、使用和施工的制度，切实访问、参观、使用和施工的制度，切实保证安全保证安全 l在网络安全上能有效控制内外网之间的访问，在网络安全上能有效控制内外网之间的访问，能检测或阻断来自外部或内部的攻击（例如能检测或阻断来自外部或内部的攻击（例如常见的扫描攻击、拒绝服务类攻击和缓冲区常见的扫描攻击、拒绝服务类攻击和缓冲区溢出攻击等）溢出攻击等）l能有
9、效地查杀病毒，通过安全评测和进行安能有效地查杀病毒，通过安全评测和进行安全增强后，利用安全扫描软件从外面扫描，全增强后，利用安全扫描软件从外面扫描， 发现系统严重的安全漏洞发现系统严重的安全漏洞l另一方面能及时发现针对内部网的非法访问另一方面能及时发现针对内部网的非法访问等安全问题，在内部网络中按照安全等级的等安全问题，在内部网络中按照安全等级的高低划分子网，同时对内部网的信息进行监高低划分子网，同时对内部网的信息进行监控控 l在应用上能网络各个环节的安全问题进在应用上能网络各个环节的安全问题进行控制和追踪审计能保证网络的安全性行控制和追踪审计能保证网络的安全性 l从用户管理、系统管理、网络管
10、理和应从用户管理、系统管理、网络管理和应用管理等多方面实现安全的管理用管理等多方面实现安全的管理 安全控制安全控制l实施物理、技术和管理三个方面的安全控制：实施物理、技术和管理三个方面的安全控制： （1）预防控制：预防控制将尝试着避免有害活动的发）预防控制：预防控制将尝试着避免有害活动的发生，限制使用计算机，并对资源访问进行控制；生，限制使用计算机，并对资源访问进行控制； （2）监测控制：在有害活动发生时，识别它。包括审）监测控制：在有害活动发生时，识别它。包括审计跟踪、入侵检测和校验。计跟踪、入侵检测和校验。l威慑：主要是通过一些限制来使得非授权用户不能执行威慑：主要是通过一些限制来使得非授
11、权用户不能执行非授权活动，或使得他们很难进行非法活动，并在其作非授权活动，或使得他们很难进行非法活动，并在其作出相应的威慑措施出相应的威慑措施l纠错控制：对非授权用户所修改系统进行补救。例：根纠错控制：对非授权用户所修改系统进行补救。例：根除病毒和备分数据除病毒和备分数据l恢复控制：恢复丢失的计算机资源或能力恢复控制：恢复丢失的计算机资源或能力. 灾难恢复和灾难恢复和应急响应应急响应行政控制行政控制管理域的限制、操作程序、责管理域的限制、操作程序、责任说明、追加的管理控制任说明、追加的管理控制预防行政控制预防行政控制l是面向个人的技术来控制人的行为来确保机是面向个人的技术来控制人的行为来确保机
12、密性、计算机数据和程序的有效性：密性、计算机数据和程序的有效性： （1 1）安全意识和技术训练；）安全意识和技术训练； （2 2） 权利分配；权利分配； （3 3）招募或辞退新的雇员的过程；）招募或辞退新的雇员的过程； （4 4）安全策略和过程；）安全策略和过程； （5 5）监督；）监督； （6 6）灾难恢复和应急响应；）灾难恢复和应急响应； （7 7）计算机录入的用户注册。）计算机录入的用户注册。监测行政控制监测行政控制l决定安全策略和程序是否遵照设计要求，并决定安全策略和程序是否遵照设计要求，并且检测欺骗，避免雇员发起不可接受的安全且检测欺骗，避免雇员发起不可接受的安全攻击：攻击： （1
13、1）安全评价和审计；识别策略和过程是）安全评价和审计；识别策略和过程是否令人满意，并修改不足。否令人满意，并修改不足。 （2 2）性能评价；）性能评价； （3 3）必须的休假；）必须的休假； （4 4）背景调查；）背景调查； （5 5）职责的转移）职责的转移录入控制录入控制l原则原则 （ 1 1）确保录入控制能很充分地保护组织的资源；确保录入控制能很充分地保护组织的资源； （ 2 2 ）基于组织策略，包括责权的分离和最小的权限；）基于组织策略，包括责权的分离和最小的权限； （ 3 3）不影响日常工作，不对管理者、审计者或授权用）不影响日常工作，不对管理者、审计者或授权用户设置很多障碍。户设置很
14、多障碍。l实现实现 （1 1）对资源分类；对资源分类； （2 2）强制的或任意的录入控制；）强制的或任意的录入控制； （3 3）实体创建；）实体创建； （4 4）降低数据分类等级；）降低数据分类等级； （5 5）设置标签设置标签资源分类资源分类l通过策略建立敏感性等级（绝密、机密、通过策略建立敏感性等级（绝密、机密、秘密、不保密）并通过标签标记；用户秘密、不保密）并通过标签标记；用户只能访问它相应的或敏感等级相对较低只能访问它相应的或敏感等级相对较低的资源的资源l录入控制策略将基于资源划分。并根据录入控制策略将基于资源划分。并根据访问类型进行区分访问类型进行区分强制控制强制控制l对于管理者：只
15、有管理者能决定如何对策略进行操对于管理者：只有管理者能决定如何对策略进行操作，改变资源的种类，其他人将不能在录入控制策作，改变资源的种类，其他人将不能在录入控制策略禁止的情况下保证访问权限。略禁止的情况下保证访问权限。l对于程序：对于程序：（1）只能是应用编程者访问应用程序；只能是应用编程者访问应用程序；（2）只能是系统编程者访问系统程序；只能是系统编程者访问系统程序；（3 3）只能是数据库管理员访问应用数据库；）只能是数据库管理员访问应用数据库；（4 4）只能通过应用数据库程序访问活动的数据）只能通过应用数据库程序访问活动的数据录入控制的管理录入控制的管理l包括创建和维护录入控制法则；包括创
16、建和维护录入控制法则；l有效的管理主要包括：有效的管理主要包括： （1）经济有效地描述法则；）经济有效地描述法则； （2）对不相关的事情不要考虑太多；）对不相关的事情不要考虑太多； （3）减少可管理权限所覆盖的范围；）减少可管理权限所覆盖的范围；l通过组机构和管理接口来维护管理通过组机构和管理接口来维护管理 （1） 组实体和组主体组实体和组主体 通过资源分类来表征组实体，并且还可以通过命名的方式来标通过资源分类来表征组实体，并且还可以通过命名的方式来标志用户。一个说明一个用户可以有所有的访问类型或每个访问有不同志用户。一个说明一个用户可以有所有的访问类型或每个访问有不同的判断的单一的法则。其他
17、的实体将通过设备、目录和数据库来组成的判断的单一的法则。其他的实体将通过设备、目录和数据库来组成组。组。 当主体组和资源分类组匹配，在一个单一的法则中，使得用户当主体组和资源分类组匹配，在一个单一的法则中，使得用户能访问资源并选择特定的内容访问。能访问资源并选择特定的内容访问。 （2）一致的接口）一致的接口 接口和管理上下文相关。如果管理者处理一个下层系统，它将向接口和管理上下文相关。如果管理者处理一个下层系统，它将向管理者提供一个管理接口；如果要处理多个子系统，他们将向管理者管理者提供一个管理接口；如果要处理多个子系统，他们将向管理者提供一个接口来管理数据。提供一个接口来管理数据。 l对每个
18、对象，实现多目标参考监视来决定是否确保对每个对象，实现多目标参考监视来决定是否确保或拒绝对资源的访问。它必须收集、存储和使用管或拒绝对资源的访问。它必须收集、存储和使用管理者所确定的录入原则。它将包括访问的类型、数理者所确定的录入原则。它将包括访问的类型、数据的有效存储和函数值据的有效存储和函数值l法则必须简洁、通用法则必须简洁、通用l访问控制信息可以看为是一个矩阵，给出实体和主访问控制信息可以看为是一个矩阵，给出实体和主体之间的关系体之间的关系l访问控制的列表存储访问控制的列表存储l定义一个实体和能访问它的类型定义一个实体和能访问它的类型网络安全管理体系结构网络安全管理体系结构 l目前，存在
19、多种网络管理软件，针对计目前，存在多种网络管理软件，针对计算机网络设备有算机网络设备有SNMPSNMP协议协议l针对电信网络设备有针对电信网络设备有TMNTMN和和CMIPCMIP管理协管理协议；针对桌面系统存在议；针对桌面系统存在DMIDMI管理协议管理协议l另外还有一些其他针对应用的管理协议。另外还有一些其他针对应用的管理协议。这些协议之间没有必然的联系，管理信这些协议之间没有必然的联系，管理信息模型也各不相同息模型也各不相同l如果要将使用不同管理协议的网络管理如果要将使用不同管理协议的网络管理组织在一起几乎是不太可能的事情组织在一起几乎是不太可能的事情 CIM & WBEMCIM 发展史
20、l1996年年7月月 ，WBEM组织成立组织成立l1996年年9月，月，CIM委员会在委员会在DMTF成立成立l1997年年4月，月，CIMv1发布发布l1998年年1月，月，CIMv2发布发布l1998年年4月，包括月，包括BMC在内的几个厂商宣布支在内的几个厂商宣布支持用持用WBEM来管理来管理Window NT v5.0l1998年年6月，月，WBEM由五个成立厂商转交给由五个成立厂商转交给DMTF 发展，以寻求标准的更快发展和更多厂发展，以寻求标准的更快发展和更多厂商的支持商的支持l采用当前先进的完全面向对象的管理数据模采用当前先进的完全面向对象的管理数据模型型CIMCIM，用，用WB
21、EMWBEM来实现一个完整的，兼容各来实现一个完整的，兼容各类管理协议的，管理范围广（服务器，主机，类管理协议的，管理范围广（服务器，主机，各类安全产品），灵活交互性的完整的网络各类安全产品），灵活交互性的完整的网络管理平台管理平台l WBEM WBEM 作为一项业界倡议，起始于作为一项业界倡议，起始于 96 96 年年, ,是由分布式管理任务组（是由分布式管理任务组（DMTFDMTF）开发的，目）开发的，目的是更加容易地创建与受管资源交互的环境，的是更加容易地创建与受管资源交互的环境，规范企业网络中受管资源的描述与使用规范企业网络中受管资源的描述与使用 需求需求l企业级管理的需求企业级管理的
22、需求CIM的目的主要是在于自由地、无损地交换信息的目的主要是在于自由地、无损地交换信息CIM试图包容现在所有的管理应用模型，在最大程试图包容现在所有的管理应用模型，在最大程度上减少模型集成时带来的信息损失度上减少模型集成时带来的信息损失 l面向对象的设计及其它一些特性面向对象的设计及其它一些特性CIM 具备面向对象语言的抽象、继承、重载等概具备面向对象语言的抽象、继承、重载等概念念引入关联类、描述符引入关联类、描述符定义了一些标准操作定义了一些标准操作lWBEMWBEM就是这样一套管理标准技术以整就是这样一套管理标准技术以整合企业级网络环境的管理。用合企业级网络环境的管理。用WBEMWBEM构
23、构建的开放的，面向对象的，基于策略的建的开放的，面向对象的，基于策略的系统能够实现具有很好灵活性和交互性系统能够实现具有很好灵活性和交互性的网络管理。可以简单，快速和低成本的网络管理。可以简单，快速和低成本地实现：升级网络管理工具；对网络添地实现：升级网络管理工具；对网络添加安全服务和安全设备加安全服务和安全设备 CIM 应用领域应用领域CIM 核心标准核心标准l通用信息模型通用信息模型 Common Information Modell编码规范编码规范 XMLCIM 编码规范编码规范l传输机制传输机制 CIM Operations over HTTP 网络安全管理策略l策略需求策略需求 自动
24、配置自动配置 资源分配资源分配 设备联动设备联动 权限控制权限控制l组成部分组成部分 策略框架策略框架 策略描述策略描述 冲突检测冲突检测IETF 策略框架策略框架l管理工具管理工具l决策点决策点l执行点执行点l策略仓库策略仓库策略描述策略描述l业务层描述业务层描述l技术层描述技术层描述冲突检测冲突检测l策略分解策略分解l将策略分解成将策略分解成 相互独立的单元。相互独立的单元。l策略分析策略分析l将策略看作是由这些独立单元组成的一个多维将策略看作是由这些独立单元组成的一个多维空间。空间。l冲突分析冲突分析l分析各个空间是否有交集，以判断是否存在潜分析各个空间是否有交集，以判断是否存在潜在冲突
25、。在冲突。网络安全管理平台主要功能网络安全管理平台主要功能 以以PKI/CAPKI/CA体系为安全支撑，实现管理信息加密、体系为安全支撑，实现管理信息加密、主机认证、用户认证、密钥认证功能；实现对安全主机认证、用户认证、密钥认证功能；实现对安全设备如防火墙、入侵检测设备、设备如防火墙、入侵检测设备、VPNVPN设备管理及和这设备管理及和这些设备一起联动，实现网络安全管理；实现安全审些设备一起联动，实现网络安全管理；实现安全审计；应急相应的功能；实现安全策略。计；应急相应的功能；实现安全策略。 l安全措施有关的信息分发（如密钥的分发和访问权安全措施有关的信息分发（如密钥的分发和访问权设置）；设置
26、）；l与安全有关的事件通知（如网络有非法侵入、无权与安全有关的事件通知（如网络有非法侵入、无权用户对特定信息的访问企图）；用户对特定信息的访问企图）；l安全服务设施的创建、控制和删除，与安全有关的安全服务设施的创建、控制和删除，与安全有关的网络操作事件的记录、维护和查阅等日志管理工作网络操作事件的记录、维护和查阅等日志管理工作等等等等 。网络访问安全保护管理网络访问安全保护管理 l数据加密数据加密 l包过滤技术包过滤技术 l主机认证主机认证 l用户认证用户认证 l 密钥认证密钥认证 防火墙的管理防火墙的管理 l功能：功能： IPIP包过滤包过滤 地址转换地址转换l访问控制访问控制l防火墙系统的
27、配置采用如下安全机制：防火墙系统的配置采用如下安全机制：用户可访问的范围，即指明用户可以访问的主用户可访问的范围，即指明用户可以访问的主机和网络机和网络; ;指明用户在可访问的范围内可以使用的协议、指明用户在可访问的范围内可以使用的协议、服务服务; ;防火墙系统对违反规则网络行为的响应动作防火墙系统对违反规则网络行为的响应动作; ;入侵检测系统的管理入侵检测系统的管理 l入侵检测可以作为网络管理的一项功能入侵检测可以作为网络管理的一项功能 l网络安全管理平台和入侵检测设备一起主动网络安全管理平台和入侵检测设备一起主动监视和审计网络异常情况。提供详细的日志监视和审计网络异常情况。提供详细的日志信
28、息，并在攻击发生时实时报警信息，并在攻击发生时实时报警l同时，网络安全管理平台能够通过集中统一同时，网络安全管理平台能够通过集中统一的界面对入侵检测系统进行策略配置、日志的界面对入侵检测系统进行策略配置、日志查询、系统告警等操作，并保证入侵检测设查询、系统告警等操作，并保证入侵检测设备不被恶意用户攻击备不被恶意用户攻击安全审计管理安全审计管理 l安全审计定义为系统中发生安全事件的记录安全审计定义为系统中发生安全事件的记录和分析处理过程。记录系统被访问的过程及和分析处理过程。记录系统被访问的过程及系统保护机制的运行，利用收集的信息分析系统保护机制的运行，利用收集的信息分析安全事件，分析系统上的安
29、全证据是否与前安全事件，分析系统上的安全证据是否与前面记录的事故迹象相一致面记录的事故迹象相一致 l网络安全管理员可以通过进程记账、系统检网络安全管理员可以通过进程记账、系统检查命令、察看历史文件、找出宿主为查命令、察看历史文件、找出宿主为rootroot且且带有带有s s位的程序、找出隐藏文件等手段发现位的程序、找出隐藏文件等手段发现安全隐患。最终安全响应人员应能分析出入安全隐患。最终安全响应人员应能分析出入侵者利用了什么办法入侵系统以及尽可能查侵者利用了什么办法入侵系统以及尽可能查出入侵的源头出入侵的源头 l风险评估风险评估 l脆弱性测试脆弱性测试 l自评估自评估 l性能审计性能审计 应急
30、响应及管理应急响应及管理 l组建事故响应小组组建事故响应小组 l跟踪最新的事故和入侵迹象，将事故通跟踪最新的事故和入侵迹象，将事故通知给其他人知给其他人 l估计事故损失并应付事故；从事故中恢估计事故损失并应付事故；从事故中恢复系统复系统 防病毒系统防病毒系统管理管理l根据公安部发布的计算机病毒防治管根据公安部发布的计算机病毒防治管理办法和标准理办法和标准GA2432000 ：计：计算机病毒防治产品评级准则，对所有算机病毒防治产品评级准则，对所有病毒的可能入侵点加以控制病毒的可能入侵点加以控制 l计算机病毒防治系统应当具备定期扫描计算机病毒防治系统应当具备定期扫描功能和实时检测功能功能和实时检测
31、功能 l应当优先选用能够自动网上升级的病毒应当优先选用能够自动网上升级的病毒防治系统防治系统安全管理的制度安全管理的制度 l安全管理机构的设立安全管理机构的设立 l安全管理原则安全管理原则 ： 多人原则多人原则 ； 任期有限原则任期有限原则 ； 职责分离原则职责分离原则 ；l网络安全管理员制度网络安全管理员制度 口令管理制度口令管理制度 ； 授权访问管理制度授权访问管理制度 ； 网络系统监控制度网络系统监控制度 ； 安全事件响应制度；安全事件响应制度； 审计管理制度审计管理制度 ；l系统运行期间的定期检测和升级制度系统运行期间的定期检测和升级制度 网络安全管理工作的考核网络安全管理工作的考核
32、l考核依据：考核依据： 根据互联网维护规程和互联网省际骨干网运行维根据互联网维护规程和互联网省际骨干网运行维护管理办法（暂行），对各级安全组织的安全策略执护管理办法（暂行），对各级安全组织的安全策略执行情况实施考核行情况实施考核 l考核目的：考核目的： 建立安全系统的考核奖惩规定。通过实施考核管理使各建立安全系统的考核奖惩规定。通过实施考核管理使各级组织能有效保证安全运行。坚持考核与奖励、处罚挂级组织能有效保证安全运行。坚持考核与奖励、处罚挂钩，奖励先进、处罚落后的原则钩，奖励先进、处罚落后的原则 l考核范围：考核范围： 考核范围包括相关的省级安全组织、人员、安全管理制考核范围包括相关的省级安全组织、人员、安全管理制度、工作流程、具体安全措施等度、工作流程、具体安全措施等
