企业信息管理师信息网络构建中级.ppt

* （2）明确安全策略 系统整体安全性，由应用环境和用户需求决定，包括各个安全机制的子系统的安全目标和性能指标 对原系统运行造成的负荷和影响（如网络通信时延、数据扩展等） 便于网络管理人员进行控制、管理和配置 可扩展的编程接口，便于更新和升级 用户界面的友好性和使用方便性 投资总额和工程时间等 * （3）建立安全模型 安全体制 网络安全连接 网络安全传输 * 安全算法库：包括私钥算法库、公钥算法库、Hash函数库、密钥生成程序、随机数生成程序等等安全处理算法。 安全信息库：包括用户口令和密钥、安全管理参数及权限、系统当前运行状态等等安全信息。 用户接口界面：包括安全服务操作界面和安全信息管理界面等。 安全体制 * 安全协议：包括安全连接协议、身份验证协议、密钥分配协议等。 网络通信接口模块：网络通信模块根据安全协议实现安全连接。一般有两种方式实现：第一，安全服务和安全体制在应用层实现，经过安全处理后的加密信息送到网络层和数据链路层，进行透明的网络传输和交换，这种方式的优点是实现简单，不需要对现有系统做任何修改，用户投资数额较小；第二，对现有的网络通信协议进行修改，在应用层和网络层之间加一个安全子层，实现安全处理和操作的自动性和透明性。 网络安全连接 * 网络安全管理系统：安装于用户终端或网络节点上，是由若干可执行程序所组成的软件包，提供窗口化、交互化的“安全管理器”界面，由用户或网管人员配置、控制和管理数据信息的安全传输，兼容现有通信网络管理标准，实现安全功能。 网络安全支撑系统：整个网络安全系统的可信方是由网络安全管理人员维护和管理的安全设备和安全信息的总和。包括密钥管理分配中心，认证鉴别中心。 网络安全传输系统：包括防火墙、安全控制、流量控制、路由选择和审计报警等。 网络安全传输 * （四）网络安全技术措施 身份验证 访问授权（Authorization） 安全通信 实时侵入检测技术 * （1）身份验证 系统一般给每个用户提供唯一的用户标识符，而且提供一种验证手段，来验证登录的用户是不是真正拥有该用户标识符的合法用户，这种验证一般通过口令、卡片密钥、签名或指纹来实现，通过身份验证确保客户机与服务器的相互身份。 口令是最常用的验证手段，一般采用加长口令字、使用较大字符集构造口令、限制用户键入口令次数以及限制用户注册时间等方法，一些安全级较高的系统还要求验证过程中口令不得以明文方式传输，不得以明文方式存放于系统中，以及口令驻留内存时间应尽可能短等。 * （2）访问授权（Authorization） 访问授权是指用户的身份通过认证后，确定该用户可以访问哪些资源以及可以进行何种方式的操作访问等。 大多数系统都通过在每个资源上加上ACL（Access Control List）来处理访问的授权问题。ACL指定哪些用户或用户组可以进行访问操作。这些访问操作包括读/写、可执行、修改ACL、插人、删除、连接、测试等。每个目标对象都有一个ACL，目标对象可以是文件、目录、图形或数据库记录等，以此实现细致的访问控制。 * （3）安全通信 安全通信包括数据完整性与数据保密性两方面的问题。其中，数据完整性保证信息不被破坏，即送到网上的数据在传输过程中不被篡改。它是数据传输过程中在原来数据和现行数据之间保持完全一致的证明手段。 而加密技术要解决的是保证网络中传输的数据本身的安全，比如不被篡改、保持完整、确认身份等。 加密技术： 保证网络上除了指定接收者外其他人不得阅读（私有性） 保证信息来自于该发送人而不是别的人（身份确认） 加密的基本原理很简单，就是将原文在一段收发双方都知道的信息的作用下产生编码信息的过程。其中原文称为明文，双方都知道的信息是密钥，而最后产生的编码信息为密文。 密钥提供唯一的一个数，它使密文成为独一元二的密文，只有特定的密钥才能将密文解密转换回原明文。 * (4)实时侵入检测技术 实时侵入检测系统在网络安全中不仅可对用户活动进行跟踪，实现侵入检测，而且可起到报警器和安全摄像机的作用。当检测到侵入时，系统便根据事件记录的文字或图像消息，通知有关的管理人员。通知的方式可以是电子邮件，对相应人员的屏幕提示，寻呼机、简单的事件记录、攻击情况的自动打印输出以及基于简单网络管理协议（SNMP）的网络管理系统的自动联系。 * 3.6 网络安全 3.6.1 网络保护策略和安全技术措施 3.6.2 防火墙技术 3.6.3 网络安全设计 * 3.6.2 防火墙技术 一、学习目标 二、技能、方法和知识 * 一、学习目标 了解防火墙原理、使用防火墙的益处和不足； 了解防火墙系统的实现技术。包括分组过滤、应用网关和代理服务。 * 3.6.2 防火墙技术 一、学习目标 二、技能、方法和知识