计算机网络安全沈鑫剡第９章课件教学.pptVIP

计算机网络安全 第九章 第9章 网络管理和监测 SNMP和网络管理； 网络综合监测系统。 网络管理是保证网络正常运行的必要手段，网络管理过程中需要在网络管理工作站和网络结点之间传输命令和响应消息，这些消息的正确传输是网络管理工作正常进行的基础。真正的安全控制需要监测到网络上发生的一切事情及这些事情对网络安全的影响，网络综合监测系统就用于实现这一点。 9.1 SNMP和网络管理 网络管理系统结构； SNMPv1基本功能； SNMPv1缺陷； SNMPv3的安全机制。 　网络管理包含对网络设备的配置、网络运行情况的监测、故障诊断和恢复、网络安全状态的监测和控制等，实现网络管理需要多个系统协调工作，系统之间需要相互交换命令和响应，必须对这些消息的发送者进行认证，对消息的完整性进行检测。 网络管理系统结构 网络结点，如交换机、路由器和终端； 一个网络结点通常寄生一个管理代理，由管理代理管理被管理对象； 网络结点分解为多个被管理代象，如交换机被分解为多个交换机端口。每一个交换机端口就是一个被管理对象； 网络管理工作站负责向管理代理发送命令，并接收被管理代理发送的响应，以此生成网络设备配置情况、流量分布情况等，以用户友好界面提供给用户； 网络管理工作站通过网络管理协议和被管理代理交换命令和响应。 SNMPv1基本功能 SNMP的功能是在管理工作站和管理代理之间传输命令和响应； GET、GET NEXT、SET命令用于查询和配置被管理代象；Trap命令用于管理代理主动报告发生在被管理对象上的变化； GET Resp用于管理代理发送被管理对象的状态； 管理工作站的身份需要认证，命令和响应消息的完整性需要检测。 SNMPv1的缺陷 安全问题 管理工作站需要事先授权管理指定被管理对象和对被管理对象实施的操作； 管理代理在执行管理工作站发送的命令前，需要核对管理工作站的权限，是否具有向指定被管理对象进行命令指定操作的权限； SNMPv1用共同体绑定权限，通过检查用明文方式包含在SNMP消息中的共同体来确定SNMP消息指定的操作是否超越权限； 对被管理对象的操作直接影响网络的运行，这样简单地判别操作的合法性将严重影响网络的安全。 SNMPv1的缺陷 只能集中管理，不能构成分布式的网络管理系统； 安全性、可靠性和管理工作站的负荷都成问题。 SNMPv3的安全机制 网络管理工作站和某个网络结点共享密钥K； 网络管理工作站用密钥计算消息认证码，将消息认证码附在SNMP消息后面发送给网络结点； 网络结点同样用密钥再次计算消息认证码，并于附在SNMP消息后面的消息认证码比较，如果相等，发送者身份得到确认； 用消息认证码完成消息完整性检测。 SNMPv3的安全机制 发送端通过DES加密算法对SNMP消息进行加密； 接收端通过DES解密算法对密文进行解密。 SNMPv3的安全机制 防中继攻击（重放攻击） 中继攻击（也称重放攻击）是指黑客截获SNMP消息后，延迟一段时间，再予以转发，在延迟时间中，可能网络工作站对某个网络结点的配置已经发生改变，或者网络结点报告的事件已经结束，因此，将已经失效的配置命令发送给网络结点，或者，将已经结束的事件通报给网络工作站，可能严重影响网络的正常运行； 鉴别中继攻击的方法是对SNMP消息的传输时间进行限制，对发送时间和接收时间之间的差值设置阈值； 为了同步，需要在发送给对方的SNMP消息中，用和对方时钟同步的时间作为发送时间。 SNMPv3的安全机制 不同的认证者使用不同的密钥； 用单一用户口令产生不同的、和认证者对应的密钥。 9.2 网络综合监测系统 网络综合监测系统功能； 网络综合监测系统实现机制； 网络综合监测系统应用实例。 　网络综合监测系统的目标是监测网络上发生的一切事情，并对这些事情对网络运行和网络安全的影响作出评估。 网络综合监测系统功能 自动获悉网络中存在的一切设备； 自动获悉网络的资源访问模式和信息流分布情况； 自动监控网络用户通过Internet下载软件的过程； 自动获悉终端和服务器使用的软件的类型和版本，安全状态； 自动进行入侵检测并跟踪入侵者； 主动提示网络安全漏洞； 以友好界面向用户提供整个网络的设备情况、运行情况、安全情况等。 网络综合监测系统实现机制 探测网络中终端和服务器使用的软件和安全状态 主动探测机制； 被动探测机制。 集成SNMP网络管理系统 集成防火墙功能 集成入侵防御系统功能 策略配置和关联检索 网络综合监测系统应用实例 监测网络安全漏洞 配置安全策略； SNMP代理通报新发现的主机； 探测主机软件的类型或版本； 隔离存在安全漏洞的主机。 网络综合监测系统应用实例 禁止访问非法网站 配置安全策略； 防火墙通报HTTP请求报文； 定位访问非法网站的终端； 隔离访问非法网站的终端。 网络综合监测