1、一 防火墙技术,从计算机网络安全技术的角度看，防火墙是一个连接两个或更多物理网络，并把分组从一个网络转发到另一个网络的意义上的路由器，它将网络分成内部网络和外部网络。,1. 防火墙的定义,在被保护网络和外部网络之间建立一道屏障，通过相应的访问控制策略（允许、拒绝、监测、记录）控制进出网络的访问行为。,2. 防火墙的目的,通常意义下的防火墙具有以下三个方面的特征： 所有的网络数据流都必须经过防火墙：不同安全级别的网络或安全域之间的唯一通道。,3. 防火墙的特征,防火墙是安全策略的检查站：只有被防火墙策略明确授权的通信才可以通过。,防火墙具有非常强的抗攻击能力。,防火墙系统自身具有高安全性和高可靠
2、性。这是防火墙能担当企业内部网络安全防护重任的先决条件。 一般采用Linux、UNIX或FreeBSD系统作为支撑其工作的操作系统。,4 防火墙的功能,限定内部用户访问特殊站点； 防止未授权用户访问内部网络；,1. 过滤和管理,允许内部网络中的用户访问外部网络的服务和资源； 不泄漏内部网络的数据和资源；,2. 保护和隔离,5 防火墙分类,通过软件的方式来达到，价格便宜，但这类防火墙只能通过一定的规则来达到限制一些非法用户访问内部网的目的。,1. 软件防火墙,采用电路级设计，通常使算法设计专用芯片，效率最高，但价格较贵，一般小型企业和个人很难实现。,2. 硬件防火墙,基于专门的硬件平台，没有操作
3、系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂商有NetScreen、FortiNet、Cisco等。这类防火墙由于是专用OS（操作系统），因此防火墙本身的漏洞比较少，不过价格相对比较高昂。,3.芯片级防火墙,5 工作方式,防火墙的工作方式主要分为包过滤型、应用代理型和状态检测型。,包过滤（Packet filtering）防火墙是最简单的防火墙，通常只包括对源和目的的IP地址及端口的检查。,1. 包过滤型,包过滤防火墙工作在OSI网络参考模型的网络层和传输层，它根据数据包头源地址、目的地址、端口号和协议类型等标志确定是否允许通过。只
4、有满足过滤条件的数据包才被转发到相应的目的地，其余数据包则被从数据流中丢弃。,包过滤防火墙的原理,包过滤型防火墙,包过滤防火墙逻辑简单、价格便宜、网络性能和透明性好。 它的不足之处也显而易见，包过滤防火墙配置困难，且无法满足各种安全要求，缺少审计和报警机制。,包过滤防火墙的优缺点,应用代理型防火墙（Application Proxy）工作在OSI的最高层，即应用层。 其特点是完全阻隔了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。,2. 应用代理型,6 防火墙结构,从防火墙结构分为单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。,单一主机防火墙是最为
5、传统的防火墙，独立于其它网络设备，它位于网络边界。与一台计算机结构差不多，价格昂贵。,1. 单一主机防火墙,单一主机防火墙,这种防火墙通常是较低级的包过滤型。许多中、高档路由器中集成了防火墙功能，如CiscoIOS防火墙系列。这样企业就不用再同时购买路由器和防火墙，大大降低了网络设备购买成本。,2. 路由器集成式防火墙,分布式防火墙不只是位于网络边界，而是渗透于网络的每一台主机，对整个内部网络的主机实施保护。在网络服务器中，通常会安装一个用于防火墙系统管理软件，在服务器及各主机上安装有集成网卡功能的PCI防火墙卡。,3. 分布式防火墙,7 防火墙在网络中的位置,1. 安装防火墙以前的网络,2.
6、 安装防火墙后的网络,数据备份概述 随着信息化建设的进展，各种应用系统的运行，必然会产生大量的数据，而这些数据作为企业和组织最重要的资源，越来越受到大家的重视。同样，由于数据量的增大和新业务的涌现，如何确保数据的一致性、安全性和可靠性；如何解决数据集中管理后的安全问题，建立一个强大的、高性能的、可靠的数据备份平台是当务之急。数据遭到破坏，有人为的因素，也有各种不可预测的因素。有专业机构的研究数据表明：丢失300MB的数据对于市场营销部门就意味着13万元人民币的损失，对财务部门意味着16万的损失，对工程部门来说损失可达80万。而丢失的关键数据如果15天内仍得不到恢复，企业就有可能被淘汰出局。,二
7、 数据备份与恢复,数据备份概述数据备份就是将数据以某种方式加以保留，以便在系统需要时重新恢复和利用。其作用主要体现在如下两个方面：1在数据遭到意外事件破坏时，通过数据恢复还原数据。2数据备份是历史数据保存归档的最佳方式。,备份的最基本问题是：为保证能恢复全部系统，需要备份多少以及何时进行备份。目前常用的备份方法备份策略有：（1）全盘备份 ；（2）增量备份 ；（3）差异备份 ；（4）按需备份,传统存储模式与现代存储模式传统的企业业务数据存储备份和灾难恢复思想是每天将企业业务数据备份在磁带库中，以在发生紧急情况时实现保护和恢复。但是近年来，关键数据的范围正在日益扩大，处于常规生产系统之外的电子邮件
8、、知识产权、客户关系管理、企业计划资源、电子业务、电子商务、供应链和交易记录都存放在网络数据库中，再加上“911”事件之后，提出了对数据安全存储更高的要求，这种基于磁带的传统数据备份和灾难恢复模式已经不能再满足新的客户需求。因此，采用最新技术信息基础架构或存储网络的新业务连续性计划，从而将员工解放出来，转而去从事更富生产力的工作，提高人员和资源重新部署的效率，并缩短重新恢复关键性业务功能的时间成为了新的追求。,异地备份为了有效地进行灾难恢复，重要的网络系统和应用系统的数据库必须进行异地备份，这里指的“异地”，指的是在两个以上不同城市甚至是不同国家之间进行热备份。比如，中国人民银行总行网络系统的
9、中心主机设在北京，可同时在上海和广州设立实时热备份的主机，即将银行资料同时备份在三个城市的计算机上，如下图所示。如果北京中心主机或主机房被破坏，则可及时地从上海和广州的存储介质上恢复系统程序和数据，而且还可用广州或上海的主机代替北京中心主机继续进行银行交易活动。,目前比较常见的远程备份方式有： （1）定期磁带备份数据远程磁带库、光盘库备份。即将数据传送到远程备份中心制作完整的备份磁带或光盘。 采用磁带备份数据，生产机实时向备份机发送关键数据。 （2）远程数据库备份就是在与主数据库所在生产机相分离的备份机上建立主数据库的一个拷贝。 （3）网络数据镜像这种方式是对生产系统的数据库数据和所需跟踪的重
10、要目标文件的更新进行监控与跟踪，并将更新日志实时通过网络传送到备份系统，备份系统则根据日志对磁盘进行更新。,（4）远程镜像磁盘通过高速光纤通道线路和磁盘控制技术将镜像磁盘延伸到远离生产机的地方，镜像磁盘数据与主磁盘数据完全一致，更新方式为同步或异步。,数据备份必须要考虑到数据恢复的问题，包括采用双机热备、磁盘镜像或容错、备份磁带异地存放、关键部件冗余等多种灾难预防措施。这些措施能够在系统发生故障后进行系统恢复。但是这些措施一般只能处理计算机单点故障，对区域性、毁灭性灾难则束手无策，也不具备灾难恢复能力。 对计算机系统进行全面的备份，并不只是简单地进行文件拷贝。一个完整的系统备份方案，应由备份硬
11、件、备份软件、日常备份制度和灾难恢复措施四个部份组成。选择了备份硬件和软件后，还需要根据本单位的具体情况制定日常备份制度和灾难恢复措施，并由系统管理人员切实执行备份制度。,系统还原卡 系统还原卡可以在硬盘非物理损坏的情况下，让硬盘系统数据恢复到预先设置的状态。可以利用系统还原卡，在受到病毒、误删除、故意破坏硬盘的数据时，都可以轻易地还原系统。,克隆大师Ghost克隆大师Norton Ghost是最著名的硬盘备份工具，Ghost 对现有的操作系统都有良好的支持，包括DOS、Windows、 Linux 、Unix等操作系统。 Ghost主要功能有： 1硬盘备份Ghost对硬盘进行备份是按照簇方式
12、将硬盘上的所有内容全部备份下来，并可采用映像文件形式保存在另外一个硬盘上，在需要恢复整个硬盘数据时，就可以利用这个映像文件，还原原硬盘上的所有数据。,2硬盘恢复硬盘恢复就是在硬盘上的系统文件受到严重破坏的情况下，用已备份的映像文件，恢复被破坏的硬盘。 3硬盘复制利用Ghost中的硬盘复制功能可以迅速地将一个硬盘上的所有数据和内容复制到其它硬盘上。4分区复制Ghost还允许以硬盘分区为单位，对硬盘上某个分区进行复制、备份恢复，为用户提供了更灵活的硬盘保护方式。目标分区容量要大于原始分区。,10.5 数据恢复数据恢复就是把遭到破坏、删除和修改的数据还原为可使用数据的过程。 10.5.1 数据恢复概
13、述可以将数据恢复分为两种情况：（1）因为计算机病毒破坏、人为破坏和人为误操作造成当前的系统数据或用户数据丢失或损坏，但存储数据的物理介质没有遭到破坏，原始的备份数据也保存良好，这种情况下只要使用备份软件或应用程序的还原功能，就基本上可以恢复所损坏的数据；,（2）当前数据和原始的备份数据都遭到破坏，甚至存储数据的物理介质也出现逻辑或物理上的故障，这种情况将会引起灾难性后果。数据恢复比较困难的是后一种情况，如硬盘故障。为了提高数据的修复率，在发现硬盘数据丢失或遭到破坏时，最重要的就是注意“保护好现场”，要立即禁止对硬盘再进行新的写操作。,进行数据恢复之前，首要的一点就是认真、细致地制订恢复计划，对
14、每一步操作都有一个明确的目的。在进行每一步操作之前就考虑好做完该步之后能达到什么目的，可能造成什么后果，能不能回退至上一状态。特别是对于一些破坏性操作，一定要考虑周到。只要条件允许，就一定要在操作之前对要恢复的数据进行镜像备份，以防止数据恢复失败和误操作。要注意的是，应该先抢救那些最有把握能恢复的数据，恢复一点，就备份一点。,硬盘数据恢复对硬盘来说，如果整个系统瘫痪、系统无法启动，恢复数据可以先从硬盘的5个区域入手，首先恢复MBR（主引导记录区），然后恢复DBR（ 操作系统引导记录区），FAT（文件分配表），FDT（文件目录表），最后恢复数据文件。必要时，系统需要检测磁道，修复0磁道和其他坏磁
15、道。,对信息进行加密可以防止攻击者窃取网络机密信息，可以使系统信息不被无关者识别，也可以检测出非法用户对数据的插入、删除、修改及滥用有效数据的各种行为。 基于数据加密的数字签名和鉴别技术除具有保密功能外，还可以进行用户的身份验证和数据源及其内容的鉴别。,三 数据加密概述,加密在网络上的作用就是防止有价值的信息在网上被窃取并识别； 基于加密技术的鉴别的作用是用来确定用户身份的真实性和数据的真实性。,加密 ：把信息从一个可理解的明文形式变换成一个错乱的、不可理解的密文形式的过程 明文(Plain Text)：原来的信息(报文)、消息，就是网络中所说的报文(Message) 密文(Cipher Te
16、xt)：经过加密后得到的信息 解密：将密文还原为明文的过程,密钥(Key)：加密和解密时所使用的一种专门信息(工具) 密码算法(Algorithm)：加密和解密变换的规则(数学函数)，有加密算法和解密算法 加密系统：加密和解密的信息处理系统 加密过程是通过某种算法并使用密钥来完成的信息变换,简单的密码系统示意图,传统密码技术,数据的表示 替代密码 移位密码 一次一密钥密码,数据的表示 传统加密方法加密的对象是文字信息。文字由字母表中的字母组成，在表中字母是按顺序排列的，赋予它们相应的数字标号，即可用数学方法进行运算(变换)了。将字母表中的字母看作是循环的，则字母的加减形成的代码可用求模运算来表
17、示了。如 A+4=E，X+6=D (mod 26),替代密码 替代也叫置换。替代密码就是明文中的每个或每组字符由另一个或另一组字符所替换，即形成密文。,简单替代密码 简单替代的就是明文的一个字母，用相应的密文字母代替。规律是根据密钥形成一个新的字母表，与原明文字母表有相应的对应关系。,典型的一种替代密码是凯撒密码，又叫循环移位密码。其加密方法就是将明文中的每个字母都用其右边固定步长的字母代替，构成密文。 例如：步长为4，则明文A、B、C、Y、Z可分别由E、F、G、C、D代替。如果明文是“about”，则变为密文“efsyx”，其密钥k=+4。两个循环的字母表对应。,移位密码 移位密码变换：只对
18、明文字母重新排序，位置变化了，而不隐藏它们。是一种打乱原文顺序的替代法。 把明文按行写出，读出时按列进行，得到的即为密文。,如明文为“this is a bookmark”，将其分为三行五列，则为以下形式：t h i s is a b o ok m a r k 按列从左至右读，可得到密文： tskhamibasoriok,一次一密钥密码 一次一密钥密码是一种理想的加密方案。就是一个随机密码字母集，包括多个随机密码，这些密码就好象一个本，其中每页上记录一条密码。类似日历的使用过程，每使用一个密码加密一条信息后，就将该页撕掉作废，下次加密时再使用下一页的密码。,发送者使用密钥本中每个密钥字母串去加
19、密一条明文字母串 接收者有一个同样的密钥本，并依次使用密钥本上的每个密钥去解密密文的每个字母串。接收者在解密信息后也销毁密钥本中用过的一页密钥。,一次一密密码在今天仍有应用场合，主要用于高度机密的低带宽信道。美国与前苏联之间的热线电话据说就是用一次一密密钥本加密的，许多前苏联间谍传递的信息也是用一次一密钥密码加密的。至今这些信息仍是保密的，并将一直保密下去。,公开密钥密码体制,公钥密钥密码体制的概念 加密密钥与解密密钥不同，且由其中一 个不容易得到另一个，则这种密码系统是非对称密钥系统。往往其中一个密钥是公开的，另一个是保密的。因此，相应的密码体制叫公开密钥密码体制。,网络保密通信,通信安全
20、要保证系统的通信安全，就要充分认识到网络系统的脆弱性，特别是网络通信系统和通信协议的弱点，估计到系统可能遭受的各种威胁，采取相应的安全策略，尽可能地减少系统面临的各种风险，保证计算机网络系统具有高度的可靠性、信息的完整性和保密性。,网络通信系统可能面临各种各样的威胁，如来自各种自然灾害、恶劣的系统环境、人为破坏和误操作等。所以，要保护网络通信安全，不仅必须要克服各种自然和环境的影响，更重要的是要防止人为因素造成的威胁。,通信加密 (1) 硬件加密和软件加密 网络中的数据加密可分为两个途径，一种是通过硬件实现数据加密，一种是通过软件实现数据加密。通过硬件实现网络数据加密有三种方式：链路加密、节点
21、加密和端-端加密；软件数据加密就是指使用前述的加密算法进行的加密。,硬件加密：所有加密产品都有特定的硬件形式。这些加、解密硬件被嵌入到通信线路中，然后对所有通过的数据进行加密。虽然软件加密在今天正变得很流行，但硬件加密仍是商业和军事等领域应用的主要选择。选用硬件加密的原因有：,快速。加密算法中含有许多复杂运算，采用硬件措施将提高速度，而用软件实现这些复杂运算将影响速度； 安全。使用硬件加密设备可将加密算法封装保护，以防被修改。 易于安装。将专用加密硬件放在电话、传真机中比设置在微处理器中更方便。安装一个加密设备比修改配置计算机系统软件更容易。,软件加密：任何加密算法都可用软件实现。软件实现的劣
22、势是速度、开销和易于改动，而优势是灵活性和可移植性，易使用，易升级。软件加密程序很大众化，并可用于大多数操作系统。这些加密程序可用于保护个人文件，用户通常用手工加/解密文件。软件加密的密钥管理很重要，密钥不应该存储在磁盘中，密钥和未加密文件在加密后应删除。,鉴别与认证技术,网络安全系统的一个重要方面是防止非法用户对系统的主动攻击。 鉴别(Authentication 也叫验证)是防止主动攻击的重要技术。鉴别的目的就是验证一个用户身份的合法性和用户间传输信息的完整性与真实性。,鉴别包括报文鉴别和身份验证。 报文鉴别是为了确保数据的完整性和真实性，对报文的来源、时间性及目的地进行验证。 身份验证是
23、验证进入网络系统者是否是合法用户，以防非法用户访问系统 报文鉴别和身份验证可采用数字签名技术来实现。,数字签名 数字签名(Digital Signature)可解决手写签名中的签字人否认签字或其他人伪造签字等问题。因此，被广泛用于银行的信用卡系统、电子商务系统、电子邮件以及其他需要验证、核对信息真伪的系统中。,手工签名是模拟的，因人而异，而数字签名数字式的(0、1数字串)，因信息而异。 数字签名的功能： 收方能够确认发方的签名，但不能伪造； 发方发出签过名的信息后，不能再否认； 收方对收到的签名信息也不能否认； 一旦收发方出现争执，仲裁者可有充足的证据进行评判。,数字签名的主要方式是：报文的发送方利用单向散列函数从报文文本中生成一个128位的散列值。发送方用自己的私人密钥对这个散列值进行加密来形成发送方的数字签名。然后，该数字签名将作为报文的附件和报文一起发送给报文的接收方。,报文的接收方首先从接收到的原始报文中计算出128位的散列值，接着再用发送方的公开密钥来对报文附加的数字签名进行解密得到原散列值。如果这两个散列值相同，则接收方就能确认该数字签名是发送方的。,
