第9章节 网络安全.ppt

第九章 计算机网络安全 本章主要内容 9.1 网络安全问题概述 9.2 防火墙 9.3 VPN 9.4 计算机病毒 9.1 网络安全问题概述 9.1.1 什么是网络安全 网络安全是指网络系统的硬件，软件以及系统中的数据受到保护，不会由于偶然或恶意的原因而遭到破坏、更改、泄露，系统能连续、可靠和正常的运行，网络服务不中断。 9.1.2 网络所面临的安全威胁 安全威胁分为故意的和偶然的两类。 故意威胁又可以分为被动和主动两类。 被动攻击的特点是偷听或监视传送。其目的是获得正在传送的信息。被动攻击有：泄露信息内容和通信量分析等。 主动攻击涉及修改数据流或创建错误的数据流，它包括中断、截取、修改、捏造、假冒，重放，修改信息和拒绝服务等。 9.1.3 网络安全的内容 根据计算机网络所面临的威胁，计算机网络的安全工作主要集中在以下方面： 保密； 鉴别； 访问控制； 病毒防范。 9.1.4 网络安全的层次模型 ISO定义了OSI/RM七层网络参考模型，不同的网络层次完成不同的功能。 从安全角度来看，各层能提供一定的安全手段，针对不同层次的安全措施是不同的。没有哪个层次能够单独提供全部的网络安全服务，每个层次都有自己的贡献。 9.2 防火墙 9.2.1防火墙的功能 防火墙并不是真正的墙，而是一种重要的访问控制措施，一种有效的网络安全模型，是机构总体安全策略的一部分，它阻挡的是对内、对外的非法访问和不安全数据的传递。在因特网上，通过它隔离风险区域（即Internet或有一定风险的网络）与安全区域（内部网）的连接，能够增强内部网络的安全性。 9.2 防火墙 9.2.1防火墙的功能 通常防火墙具有以下功能： 过滤进出的数据。 管理进出的访问行为。 封堵某些禁止的业务。 记录通过防火墙的信息内容和活动。 对网络攻击进行检测和报警。 9.2.2 防火墙的类型 1．网络级防火墙 网络级防火墙又称为包过滤型防火墙，是基于数据包过滤的防火墙。 网络级防火墙可以将从数据包中获取的信息（源地址、目标地址、所用端口等）同规则表进行比较。在规则表中定义了各种规则来表明是否同意或拒绝包的通过。网络级防火墙检查每一条规则直至发现包中的信息与某规则相符。 9.2.2 防火墙的类型 2．应用级防火墙 应用级防火墙又称为应用级网关，它的另外一个名字就是代理服务器。网络级防火墙可以按照IP地址禁止外部对内部的访问，但不能控制内部人员对外的访问。 代理服务器隔离在风险网络与内部网络之间，内外不能直接交换数据，数据交换由代理服务器“代理”完成 9.2.3防火墙的配置 1．屏蔽路由器方式 这是防火墙的最基本的配置，它可以由厂家专门生产的路由器实现，也可以用主机来实现。屏蔽路由器作为内外网络连接的唯一通道，要求所有的报文都必须在此通过检查。路由器上安装分组过滤软件，可以实现分组过滤的功能。 9.2.3防火墙的配置 2．双穴主机网关方式（Dual-homed） 双穴主机网关放置在两个网络之间，又称为堡垒主机。通常是用一台装有两个网卡的堡垒主机实现，在主机上运行防火墙软件，各自与内外部网络相连。 9.2.3防火墙的配置 3．被屏蔽主机网关方式 该方式用一个分组过滤路由器连接外部网络，再通过一个堡垒主机连接内部网络。这种方式中的屏蔽路由器为保护堡垒主机的安全建立了一道屏障，屏蔽路由器只接受来自堡垒主机的数据作为出去的数据，并将由外部进入的数据送往堡垒主机。 9.2.3防火墙的配置 4．被屏蔽子网方式 这种方法是在内部网络和外部网络之间建立一个被隔离的子网。它包含两个分组过滤路由器和一个堡垒主机。两台分组过滤路由器在公共网络和私有网络之间构成了一个隔离网，称之为“停火区” , 也称为非军事区，堡垒主机放置在“停火区”内。 9.3 虚拟专用网VPN技术 虚拟专用网VPN（Virtual Private Network）是随着Internet的发展而迅速发展起来的一种技术。现代企业越来越多地利用Internet资源来进行促销、销售、售后服务，乃至培训、合作等活动。许多企业趋向于利用Internet来替代它们私有数据网络。这种利用Internet来传输私有信息而形成的逻辑网络就称为虚拟专用网。 1．隧道技术 隧道技术是一种通过使用互联网络的基础设施在网络之间传递数据的方式。使用隧道传递的数据（或负载）可以是不同协议的数据帧或包。隧道协议将这些其它协议的数据帧或包重新封装在新的包头中发送。新的包头提供了路由信息，从而使封装的负载数据能够通过互联网络传递。 2。加解密技术 对通过公共互联网络传递的数据必须经过加密，确保网络其他未授权的用户无法读取该信息。加解密技术是数据通信中一项较成熟的技术，VPN可直