网络安全问题及其防范措施幻灯片课件.ppt

防火墙的功能 防火墙是阻塞点。强迫所有进出信息通过唯一的检查点，以便进行集中的安全策略实施 防火墙可以实行强制安全策略。允许某些服务通过，某些服务禁止通过，以便防止入侵者利用存在严重安全缺陷的服务 防火墙可以记录网上的活动情况，以便管理人员通过阅读日志来跟踪和发现入侵者 防火墙可以用来进行内部隔离，防止一个网段的问题向另一个网段传播 防火墙选型和设置 选型 价格因素 带宽支持 连接数支持 速度和稳定性 安全策略 安放位置 有可能和外界通信的每一个通路 需要不同安全策略的网段 防火墙的安全策略（一） 网络服务访问策略 允许从内部站点访问外界，不允许从外界访问内部 只允许从外部访问内部特定系统 策略的制定必须具有现实性和完整性 现实性：在降低风险和为用户提供合理资源之间取得平衡 完整性：防止其他途径；取得用户和管理层的理解和支持 防火墙的安全策略（二） 防火墙设计策略 除非明确不允许，否则允许某种服务（宽松型） 除非明确允许，否则禁止某种服务（限制型） 宽松型策略给入侵者更多绕过防火墙的机会 限制性策略虽然更安全，但是更难于执行，并且对用户的约束存在重复 安全性和灵活性需要综合考虑 防火墙的安全策略（三） 通常需要考虑的问题： 需要什么服务 在哪里使用这些服务 是否应当支持拨号入网和加密等服务 提供这些服务的风险是什么 若提供这种保护，可能会导致网络使用上的不方便等负面影响，这些影响会有多大，是否值得付出这种代价 和可用性相比，公司把安全性放在什么位置 防火墙的物理实现方式 防火墙通常由主计算机、路由器等一组硬件设备构成，实现方式主要有： 软件实现形式 NT, Unix 硬件实现方式 工业标准服务器实现方式* 采用可扩展式工业标准服务器 防火墙产品内置操作系统 防火墙的其他话题 防火墙的局限性 社会工程攻击 内部攻击 “协议嵌套”式攻击 个人防火墙 针对个人主机的加强防护 更加灵活、更符合用户个人的安全策略需求 对用户个人要求较高 入侵检测 工作方式： 基于主机的入侵检测 基于网络的入侵检测 实现方式： 误用检测：对已知的攻击行为模式进行判定 异常检测：对非正常的行为模式进行判定 分布式入侵检测 很多现实网络中必须的一种模式 需要重点考虑的问题 方案设计的合理性 位置、配置的选择 个数、层次的选择 产品选择的合理性 指标和目标的一致性 管理和使用策略的合理性 计算机系统安全的级别 1983年8月，美国国防部计算机安全局出版了“可信任的计算机安全评估标准” 一书，被称为“橘黄皮书”。该书为计算机安全的不同级别定义了D、C、B、A四级标准。 C级：自主性保护 D级：未经安全评估 A级：确定性保护 B级：强制性保护 A级：确定性保护 B级：强制性保护 C级：自主性保护 D级：未经安全评估 A级：确定性保护 验证保护级。其每一 个安全个体都必须得到信任，包括每一个部件从生产开始就被跟踪；每一个合格的安全个体必须分析并通过一个附加的设计要求。 B级：强制性保护 B1：带标签的安全保护级，支持多级安全，按用户区分许可级别 经过配置的IBM大型机用的MVS操作系统 B2：结构化防护级，所有对象(包括外设)均有标签。 B3：安全域级，通过可信途径联网。 C级：自主性保护 C1级：酌情安全保护，设置访问权限，但允许用户访问系统的ROOT，不能控制进入系统的用户的访问权限。 UNIX、XENIX、Novell、Windows NT UNIX、XENIX、Novell、 Windows NT，VMS C2级：访问控制保护，额外具有审计特性，用户权限级别限制。 D级：未经安全评估 整个计算机是不可信任的。硬件与操作系统都容易被侵袭。系统对用户没有验证。 MSDOS，Windows3x, Windows 95 防毒系统 比较器 通用操作系统类病毒防护系统 引导 系统 病毒 病毒执行 病毒驻留 。 。 。 。 。 病毒 防毒系统 病毒体 。 防毒系统 。 . 不同 。 。 防毒系统 防毒系统 比较器 。 相同 . 。 。 引导 正常执行 接收客户程序A 发来 的命令 运行客户程序A来控制机器 机器被A控制 活跃线程 运行客户程序A来捕获信息 机器被A监视 杀死指定进程 捕获发出信息 系统欺骗（后门） 对任意用户进行FTP请求 对FANG用户进行FTP请求 LOGOUT前释放权限 对一般用户正常响 应，保持原功能 识别是用户FANG， 将之赋予ROOT权限 拥有ROOT权限 LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT LOGOUT