第10章計(jì)算機(jī)網(wǎng)絡(luò)安全

計(jì)算機(jī)網(wǎng)絡(luò)第10章計(jì)算機(jī)網(wǎng)絡(luò)安全本章主要內(nèi)容

影響網(wǎng)絡(luò)安全的因素可以采取的安全措施信息安全體系結(jié)構(gòu)計(jì)算系統(tǒng)安全標(biāo)準(zhǔn)常用的安全技術(shù)防火墻技術(shù)影響網(wǎng)絡(luò)安全的因素內(nèi)部因素：有一定級(jí)別權(quán)限的用戶有可能威脅網(wǎng)絡(luò)安全

外部威脅：外部的非法訪問(wèn)和攻擊會(huì)威脅網(wǎng)絡(luò)安全

硬件安全：硬件本身可能會(huì)損壞，電壓、電流的突變，事故和災(zāi)害的發(fā)生，日常的消耗和磨損影響網(wǎng)絡(luò)安全的因素軟件故障

：軟件故障或病毒發(fā)作而引起的程序出錯(cuò)，軟件本身的缺陷，軟件被刪除、更改信息安全

：數(shù)據(jù)文件被刪除或丟失，數(shù)據(jù)被篡改、盜用，或者在傳輸過(guò)程中被竊取病毒的攻擊：病毒是一種影響廣泛的威脅，能通過(guò)網(wǎng)絡(luò)廣泛傳播，最終影響整個(gè)網(wǎng)絡(luò)的正常運(yùn)行可以采取的安全措施

提高安全意識(shí)采用身份認(rèn)證和控制訪問(wèn)使用防火墻采用信息加密技術(shù)做好故障恢復(fù)和網(wǎng)絡(luò)數(shù)據(jù)備份工作做好硬件設(shè)備的防泄漏處理信息安全體系結(jié)構(gòu)1989年2月15日，頒布基于OSI參考模型的七層協(xié)議之上的信息安全體系結(jié)構(gòu)標(biāo)準(zhǔn)ISO7498-2。內(nèi)容主要包括：五類安全服務(wù)：保密性、完整性、鑒別、訪問(wèn)控制、抗否認(rèn)。八類安全機(jī)制：加密、數(shù)字簽名、訪問(wèn)控制、數(shù)據(jù)完整性、鑒別交換、業(yè)務(wù)流填充、路由控制、公證）。1991年，頒布了OSI安全管理標(biāo)準(zhǔn)ITUX.800。計(jì)算系統(tǒng)安全標(biāo)準(zhǔn)“桔皮書”（美國(guó)國(guó)防部委托計(jì)算機(jī)系統(tǒng)評(píng)價(jià)規(guī)范說(shuō)明書）用途是提供專門的硬件、固件和軟件的安全規(guī)范和有關(guān)的技術(shù)評(píng)價(jià)方法，來(lái)支持綜合自動(dòng)數(shù)據(jù)處理系統(tǒng)的安全模型策略。

“桔皮書”把安全標(biāo)準(zhǔn)分為：A、B、C、D四級(jí)“紅皮書”是美國(guó)家計(jì)算機(jī)安全中心發(fā)表的“可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)規(guī)范的可信網(wǎng)絡(luò)描述”。“紅皮書”是解釋“桔皮書”的一個(gè)手冊(cè)，將C2規(guī)范的各個(gè)方面都從網(wǎng)絡(luò)角度加以描述，惟一重要的不同的是規(guī)定了網(wǎng)絡(luò)發(fā)起人的作用。常用的安全技術(shù)VPN虛擬專用網(wǎng)防火墻防病毒入侵檢測(cè)包過(guò)濾10.4防火墻技術(shù)防火墻：防火墻是在內(nèi)部網(wǎng)與外部網(wǎng)之間實(shí)施安全防范的系統(tǒng)，用于確定哪些內(nèi)部資源允許外部訪問(wèn)，以及允許哪些內(nèi)部網(wǎng)用戶訪問(wèn)哪些外部資源及服務(wù)。防火墻的優(yōu)缺點(diǎn)防火墻的優(yōu)點(diǎn)允許網(wǎng)絡(luò)管理員在網(wǎng)絡(luò)中定義一個(gè)控制點(diǎn)，將內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)隔開(kāi)；審查和記錄Internet使用情況的最佳點(diǎn)；設(shè)置網(wǎng)絡(luò)地址翻譯器（NAT）的最佳位置；作為向客戶或其他外部伙伴發(fā)送信息的中心聯(lián)系點(diǎn)；防火墻的局限性不能防范不經(jīng)過(guò)防火墻的攻擊；不能防范由于內(nèi)部的威脅；不能防止病毒攻擊；很難防止數(shù)據(jù)驅(qū)動(dòng)式攻擊；防火墻策略網(wǎng)絡(luò)服務(wù)訪問(wèn)策略一種高層次、具體到事件的策略，用于定義網(wǎng)絡(luò)中允許的或禁止的網(wǎng)絡(luò)服務(wù)，且包括對(duì)撥號(hào)訪問(wèn)等連接的限制防火墻設(shè)計(jì)策略針對(duì)具體的規(guī)則來(lái)實(shí)施的網(wǎng)絡(luò)服務(wù)訪問(wèn)策略。防火墻一般執(zhí)行下面兩種基本設(shè)計(jì)策略中的一種

未禁止的都是允許的服務(wù)未允許的都是禁止的服務(wù)防火墻的種類和應(yīng)用包過(guò)濾防火墻

能夠根據(jù)單個(gè)包的TCP、UDP、ICMP、IP報(bào)頭來(lái)決定允許或拒絕通信它審查每一個(gè)數(shù)據(jù)包以確定其是否與某一條包過(guò)濾規(guī)則匹配可以綜合考慮通信流量的方向、IP源地址和目的地址、以及TCP或UDP的源端口號(hào)和目的端口號(hào)代理服務(wù)器上安裝有特殊用途的特別應(yīng)用程序，被稱為代理服務(wù)或代理服務(wù)器程序。使用代理服務(wù)后，各種服務(wù)不再直接通過(guò)防火墻轉(zhuǎn)發(fā)，對(duì)應(yīng)用數(shù)據(jù)的轉(zhuǎn)發(fā)取決于代理服務(wù)器的配置：只支持一個(gè)應(yīng)用程序的特定功能，同時(shí)拒絕所有其他功能；支持所有的功能，比如同時(shí)支持WWW、FTP、Telnet、SMTP和DNS等。

代理服務(wù)器防火墻

屏蔽主機(jī)防火墻將所有的外部主機(jī)與一臺(tái)堡壘主機(jī)相連接，再設(shè)置一個(gè)過(guò)濾路由器作為橋梁提供的安全等級(jí)比包過(guò)濾防火墻系統(tǒng)要高實(shí)現(xiàn)了網(wǎng)絡(luò)層安全（包過(guò)濾）和應(yīng)用層安全（代理服務(wù)）屏蔽子網(wǎng)防火墻屏蔽子網(wǎng)本質(zhì)上與屏蔽主機(jī)一樣，但增加了周邊網(wǎng)絡(luò)一層保護(hù)周邊網(wǎng)絡(luò)用了兩個(gè)包過(guò)濾路由器和一臺(tái)堡壘主機(jī)