第5讲网络安全结构设计.ppt

Thank you * * * * * * * * * * * * * * * * * * 4 4 4 * Lesson Aim Enter lesson aim here. * * 课程目标 在此处输入课程目标。 * * * Windows 是 C2 级别的操作系统，下面介绍作为C2级别的操作系统中所包含的安全组件： 访问控制判断（Discretion access control） 按照C2级别的定义，Windows 支持对象的访问控制的判断。这些需求包括允许对象的所有者可以控制谁被允许访问该对象以及访问的方式。 对象重用（Object reuse） 当资源（内存、磁盘等）被某应用访问时，Windows 禁止所有的系统应用访问该资源，这也就是为什么Windows NT禁止undelete已经被删除的文件的原因。 强制登陆（Mandatory log on） 与Windows for Workgroups，Windwows 95，Windows 98不同，Windows2K/ NT要求所有的用户必须登陆，通过认证后才可以访问资源。由于网络连接缺少强制的认证，所以Windows 作为C2级别的操作系统必须是未连网的。 审核（Auditing） Windows NT 在控制用户访问资源的同时，也可以对这些访问作了相应的记录。 对象的访问控制（Control of access to object） Windows NT不允许直接访问系统的某些资源。必须是该资源允许被访问，然后是用户或应用通过第一次认证后再访问。 Windows 系统的安全组件 组策略 Active Directory 服务 用户 本地安全策略 Kerberos 审核 日志 SRM 内核 MSV1_0 Netlogon Windows NT 客户和服务器 Windows 2003 客户和服务器 SAM 登录 本地安全授权（LSA） 提供Windows 2003目录服务和复制。它支持轻量级目录访问协议（LDAP）和数据的管理部分 Windows 2003中默认的身份验证协议。它用于Windows 2003计算机之间以及支持Kerberos身份验证的客户之间的所有身份验证。 安全子系统的中心组件，它促使访问令牌、管理本地计算机上的安全策略并向用户登录提供身份验证 用于Windows NT身份验证的身份验证包。它用于为不支持Kerberos身份验证的Windows客户提供兼容支持 一个内核模式组件，它可以避免任何用户或进程直接访问对象而且还可以验证所有对象访问，它还生成相应的审核消息 是本地用户和工作组的一个数据库，用于对本地用户的登录身份进行验证以及对所有登录的用户权限进行设置 Windows 2003 安全子系统结构 5．5．1．4提高Win2003安全性的措施 1.确定服务器的角色 2.物理安全 3.创建基线 4.修改内建用户账号 5.服务账号（权限最小化） 6.系统服务（最小化） 网络操作系统安全性概述 5.6 网络体系安全 网络接口层安全及防御 网络层安全及防御 传输层安全及防御 应用层安全及防御 * 网络接口层安全 损坏 干扰 电磁泄漏 搭线窃听 欺骗 * 拒绝服务 嗅探 * 网络接口层安全 损坏：自然灾害、动物破坏、老化、误操作 干扰：大功率电器/电源线路/电磁辐射 电磁泄漏：传输线路电磁泄漏 搭线窃听：物理搭线 欺骗：ARP欺骗 嗅探：常见二层协议是明文通信的（以太、arp等） 拒绝服务：mac flooding，arp flooding等 * * ARP 欺骗 * DAI（Dynamic ARP Inspection）是思科交换机的一个安全特性。 DAI能够检查arp数据包的真实性，自动过滤虚假的arp包。 利用DAI防御arp欺骗 * IP层安全 拒绝服务 欺骗 窃听 伪造 * IP是TCP/IP协议族中最为核心的协议 不可靠（unreliable）通信 无连接（connectionless）通信 提供分层编址体系（ip地址） IP协议简介 * * 互联网络层安全 拒绝服务：分片攻击（teardrop）/死亡之ping 欺骗：IP源地址欺骗 窃听：嗅探 伪造：IP数据包伪造 * * 分片攻击（teardrop） Teardrop的工作原理是利用分片重组漏洞进行攻击而造成目标系统的崩溃或挂起。 例如，第一个分片从偏移0开始，而第二个分片在tcp首部之内。 理想的解决方案是对ip分片进行重组时，保证TCP/IP实现不出现安全方面的问题。启用路由器、防火墙、IDS/IPS的安全特性能够防御tear drop攻击。 * * smurf攻击 攻击者使用广播地址发送大量的欺骗icmp echo请求，如果路由器执行了三层广播到