网络与信息安全培训课件(PPT 33页).pptVIP

网络与信息安全A; [1] 张世永.网络安全原理与应用.科学出版社,2003,5 [2] William Stallings．密码编码学与网络安全：原理与实践（第2版）．北京：电子工业出版社，2001． [3] 冯登国.密码分析学.清华大学出版社,2000 . [4] 胡建伟．网络安全与保密．西安：西安电子科技大学出版社，2002．;考核方式（暂定） 书面考试 (50%) 实验 (20%) 考勤 (30%);学习目标;依赖信息进行研究和决策 网络安全、信息安全和计算机安全之间的关系: 计算机、网络和信息这三个概念已变得唇齿相依、相辅相成、不可分割 . 探讨和研究三者中的任何一个问题，都离不开另外的两者。 涉及到网络安全的问题，也都与信息安全和计算机安全相关。 ;;; ;1.2 网络安全威胁1.2.1 网络安全威胁的类型;1.2.2 网络安全威胁的动机;网络安全的结构层次主要包括：物理安全、安全控制和安全服务。 1.3.1 物理安全 物理安全是指在物理介质层次上对存储和传输的网络信息的安全保护。物理安全是网络信息安全的最基本保障。该层次上常见的不安全因素包括三大类： (1) 自然灾害 (2) 电磁辐射 (3) 操作失误 ;安全控制是指在网络信息系统中对存储和传输信息的操作和进程进行控制和管理，重点是在网络信息处理层次上对信息进行初步的安全保护。安全控制可以分为以下三个层次： (1) 操作系统的安全控制。包括对用户的合法身份进行核实(比如，开机时要求键入口令)和对文件的读/写存取的控制( 比如，文件属性控制机制)等。 (2) 网络接口模块的安全控制。指在网络环境下对来自其它机器的网络通信进程进行安全控制。此类控制主要包括身份认证、客户权限设置与判别、审计日志等。 (3) 网络互联设备的安全控制。指对整个子网内的所有设备（主机、路由器、交换机）的传输信息和运行状态进行安全监测和控制。此类控制主要通过网管软件或路由器配置实现。 ;安全服务是指在应用程序层对网络信息的保密性、完整性和信源的真实性进行保护和鉴别，以满足用户的安全需求，防止和抵御各种安全威胁和攻击手段。 安全服务可以在一定程度上弥补和??善现有操作系统和网络信息系统的安全漏洞。 安全服务的主要内容包括： 安全机制、安全连接、安全协议、安全策略。;安全服务;1.4.1 可信计算机系统评估准则 为了保障计算机系统的信息安全，1985年，美国国防部发表了《可信计算机系统评估准则》，它依据处理的信息等级采取相应的对策，划分了四类七个安全等级。 依照各类、级的安全要求从低到高，依次是D、C1、C2、B1、B2、B3和A1级。;●D级——最低安全保护(Minimal Protection)。没有任何安全性防护，如DOS和Windows 95/98等操作系统。 ●C1级——自主安全保护(Discretionary Security Protection)。 这一级的系统必须对所有的用户进行分组；每个用户必须注册后才能使用；系统必须记录每个用户的注册活动；系统对可能破坏自身的操作将发出警告。 用户可保护自己的文件不被别人访问，如典型的多用户系统。;●C2级——可控访问保护(Controled Access Protection)。 在C1级基础上，增加了以下要求： 所有的客体都只有一个主体；所有者？　 对于每个试图访问客体的操作，都必须检验权限； 仅有主体和主体指定的用户才可以更改权限； 管理员可以取得客体的所有权，但不能再归还； 系统必须保证自身不能被管理员以外的用户改变； 系统必须有能力对所有的操作进行记录，并且只有管理员和由管理员指定的用户可以访问该记录。 具备审计功能，不允许访问其他用户的内存内容和恢复其他用户已删除的文件。SCO UNIX和Windows NT属于C2级。;●B1级——标识的安全保护(Labeled Security Protection)。增加以下几条要求： 不同组的成员不能访问对方创建的客体，但管理员许可的除外； 管理员不能取得客体的所有权。 允许带级别的访问控制，如一般、秘密、机密、绝密等。Windows NT的定制版本可以达到B1级。 ●B2级——结构化保护(Structured Protection)。增加以下几条要求： 所有的用户都被授予一个安全等级； 安全等级较低的用户不能访问高等级用户创建的客体。 银行的金融系统通常达到B2级。提供结构化的保护措施，对信息实现分类保护。;●B3级——安全域保护(Security Domain)。　增加以下要求： 系统有自己的执行域，不