[高等教育]计算机网络课件 第7章.pptVIP

第7章:网络安全 1.网络安全概念,内容 2.防火墙技术 3.IDS 4.漏洞扫描 5.病毒 6.其他网络安全措施 1.网络安全概念,内容 网络安全5要素:机密性,完整性,可用性,可控性,可审查性 网络不安全5要素:非授权访问,信息泄密或丢失,破坏数据完整性, DoS, 病毒 常规安全技术6措施:防火墙技术, 加密,用户识别,访问控制, 反病毒, 漏洞扫描, IDS 常见攻击:口令入侵,木马, DOS, 端口扫描, 网络监听, 欺骗(WEB,ARP,IP), 电子邮件攻击 2.防火墙相关概念 非信任网络(公共网络,外网) 信任网络(内网) DMZ 可信HOST 公网IP 保留IP(内网IP) 包过滤 地址转换NAT 防火墙(Firewall) 防火墙的基本设计目标 对于一个网络来说，所有通过“内部”和“外部”的网络流量都要经过防火墙 通过一些安全策略，来保证只有经过授权的流量才可以通过防火墙 防火墙本身必须建立在安全操作系统的基础上 防火墙的控制能力 服务控制，确定哪些服务可以被访问 方向控制，对于特定的服务，可以确定允许哪个方向能够通过防火墙 用户控制，根据用户来控制对服务的访问 行为控制，控制一个特定的服务的行为 防火墙能为我们做什么 定义一个必经之点 挡住未经授权的访问流量 禁止具有脆弱性的服务带来危害 实施保护，以避免各种IP欺骗和路由攻击 防火墙提供了一个监视各种安全事件的位置，所以，可以在防火墙上实现审计和报警 对于有些Internet功能来说，防火墙也可以是一个理想的平台，比如地址转换，Internet日志、审计，甚至计费功能 防火墙可以作为IPSec的实现平台 防火墙本身的一些局限性 对于绕过防火墙的攻击，它无能为力，例如，在防火墙内部通过拨号出去 防火墙不能防止内部的攻击，以及内部人员与外部人员的联合攻击(比如，通过tunnel进入) 防火墙不能防止被病毒感染的程序或者文件、邮件等 防火墙的性能要求 防火墙的分类 包过滤技术(静态) 应用网关技术 状态检测防火墙(动态包过滤,电路网关) 未来的防火墙 数据包过滤技术 基本的思想很简单 对于每个进来的包，适用一组规则，然后决定转发或者丢弃该包 往往配置成双向的 如何过滤 过滤的规则以IP和传输层的头中的域(字段)为基础，包括源和目标IP地址、IP协议域、源和目标端口号 过滤器往往建立一组规则，根据IP包是否匹配规则中指定的条件来作出决定 如果匹配到一条规则，则根据此规则决定转发或者丢弃 如果所有规则都不匹配，则根据缺省策略 包过滤路由器示意图 包过滤防火墙 在网络层和传输层上对源和目标IP地址、IP协议域、源和目标端口号进行监测 并没有考虑连接状态信息 通常在路由器上实现 实际上是一种网络的访问控制机制 优点： 实现简单 对用户透明 效率高 缺点： 正确制定规则并不容易 不可能引入认证机制 包过滤防火墙的设置(1) 从内往外的telnet 包过滤防火墙的设置(2) 从外往内的telnet 针对telnet服务的防火墙规则 *: 第一个ACK=0, 其他=1 针对包过滤防火墙的攻击 IP地址欺骗，例如，假冒内部的IP地址 对策：在外部接口上禁止内部地址 源路由攻击，即由源指定路由 对策：禁止这样的选项 小碎片攻击，利用IP分片功能把TCP头部切分到不同的分片中 对策：丢弃分片太小的分片 利用复杂协议和管理员的配置失误进入防火墙 例如，利用ftp协议对内部进行探查 应用层网关 也称为代理服务器 特点 所有的连接都通过防火墙，防火墙作为网关 在应用层上实现 可以监视包的内容 可以实现基于用户的认证 所有的应用需要单独实现 可以提供理想的日志功能 非常安全，但是开销比较大 应用层网关的结构示意图 代理服务器工作原理 应用层网关实现 编写代理软件 代理软件一方面是服务器软件 但是它所提供的服务可以是简单的转发功能 另一方面也是客户软件 对于外面真正的服务器来说，是客户软件 针对每一个服务都需要编写模块或者单独的程序 实现一个标准的框架，以容纳各种不同类型的服务 软件实现的可扩展性和可重用性 客户软件 软件需要定制或者改写 对于最终用户的透明性？ 协议对于应用层网关的处理 协议设计时考虑到中间代理的存在，特别是在考虑安全性，比如数据完整性的时候 应用层网关的优缺点 优点 中转数据，节省IP地址，减少网络流量，通过对代理服务器的监控和防守，从而防止入侵者侵入内部系统。 易于记录日志 缺点 新的服务不能及时地被代理 每个被代理的服务都要求专门的代理软件 客户软件需要修改，重新编译或者配置 有些服务要求建立直接连接，无法使用代理 代理服务不能避免协议本身的缺陷或者限制 状态检测防火墙(电路网关) 本质上，也是一种代理服务器 有状态的包过滤器 动态包过滤器 状态 上下文环