网络工程设计与应用第7章.pptVIP

容错电源是网络安全设计中的主要内容之一。 没有电力，网络就会瘫痪 电压过高或过低，网络设备就会损坏，特别是如果服务器遭受破坏，损失就可能难以估计 能够保持电源的稳定供给的设备有： 电涌抑制器；稳压电源；交流滤波器；不间断电源(UPS) UPS通常能够提供上述几种设备的功能，因此得到了广泛的使用 * * 目前在计算机网络中多采用报文摘要MD(Message Digest)来实现对报文的鉴别 即是说仅对计算出的报文摘要进行加密，不用对整个报文加密，这样既减少了开销，又达到了鉴别真伪的目的 网络的安全取决于密钥和密钥分配的安全，密钥分发属于密钥管理 密钥管理的内容有： 密钥的产生、分配、注入、验证和使用 7.4.1 访问控制技术 7.4.2 审计和恶意软件的防护 7.4.3 防火墙技术 7.4.4 入侵检测技术 7.4.5 虚拟专用网VPN 7.4.6 物理安全性 7.4.7 网络隔离技术 7.4.8 网络安全保密管理制度 7.4.9 提供网络安全性例子 用于控制网络用户对网络资源访问的权限。 访问控制主要通过访问控制列表ACL配置用户对网络系统及其资源的访问。 网络用户的注册信息放置在ACL中。 ACL的种类包括： 自主访问控制(Discretionary Access Control, DAC)； 强制访问控制(Mandatory Access Control, MAC)； 基于角色的访问控制(Roll Base Access Control, RBAC)。 安全过程应当收集有关的网络活动数据。这种收集数据的过程就被称为审计。 恶意软件是恶意的程序代码，恶意软件就是计算机病毒 。 恶意软件具有的特征是： 强制安装；难以卸载；浏览器劫持；广告弹出；恶意收集用户信息；恶意卸载；恶意捆绑。 反病毒软件的研制经历了4代： 简单扫描程序；启发式扫描程序；行为陷阱机制；多方位保护机制。 防火墙(firewall)用来作为内网和外网之间的屏障 防火墙是由软件、硬件构成的系统 防火墙有两种基本类型： 1、包过滤型(packet filter) 2、代理服务型(proxy service) 1、仅赋予最小特权 2、构建纵深防御，构建安全的网络不能只依靠单一的安全机制 3、阻塞点原则，阻塞点强迫侵袭者通过一个受到监控的窄小通道 4、尽量消除最薄弱环节，防火墙的强度取决于系统中最薄弱的环节，要尽量消除系统中的薄弱环节 5、失效时的保护状态，防火墙系统应明确当系统崩溃时所采取的保护措施 6、简单化原则，因为简单的事情易于理解 防火墙的结构主要有： 单个路由器；单个堡垒主机（双宿主机）；路由器加堡垒主机；屏蔽子网防火墙 入侵是指违背访问目标的安全策略的行为 入侵检测是对企图入侵﹑正在进行的入侵或者已经发生的入侵进行识别的过程 非法入侵的方式主要有4种： 1、扫描端口，通过已知的系统Bug攻入主机； 2、种植木马，利用木马开辟的后门进入主机； 3、采用数据溢出手段，迫使主机提供后门进入主机； 4、利用某些软件设计的漏洞，直接或间接控制主机。 IDS常用的入侵检测方法有： 特征检测、统计检测与专家系统。 入侵检测的类型通常分为基于主机和基于网络两类： 基于主机的IDS，早期用于审计用户的活动，如用户的登录、命令操作行和应用程序使用等。一般主要使用操作系统的审计跟踪日志作为输入； 基于网络的IDS，在网络中某点被动地监听网络上传输的原始流量，通过对俘获的网络分组进行处理，从中得到有用信息。 从数据分析手段看，入侵检测通常可以分为两类： 误用(Misuse)入侵检测； 异常(Anomaly)入侵检测。 IDS系统可以部署在网络中各个关键节点，它们的工作效果大不相同的。 虚拟专用网指的是依靠ISP（Internet服务提供商）和其他NSP（网络服务提供商） 在公用网络中建立专用的数据通信网络的技术。 在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路 而是利用某种公众网的资源动态组成的。 基于IP的VPN为使用IP机制仿真出一个私有的广域网 是通过私有的隧道技术在公共数据网络上仿真一条点到点的专线技术。 VPN是在Internet上临时建立的安全专用虚拟网络，用户就节省了租用专线的费用 VPN采用的安全技术有： 隧道技术、加密和解密技术、密钥管理技术、用户与设备认证技术 物理安全性通常的做法是把物理设备和网络数据进行隔离和异地存放 网络物理隔离采用的方法有： 集中上因特网 完全冗余的主机 启动时，选择某台机器与某网络相连 对物理设备的监视、防火、防水和防盗等措施 网络数据的异地备份 技术文档的物理安全性 网络隔离的技术可以采用 网络物理隔离卡 协议隔离技术 安全隔离网闸（GAP）是通过专用软硬件技术