1、第1讲 网络安全概述与 实验环境配置,本讲主要内容,网络安全的攻防研究体系,网络安全（Network Security）是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性科学。,网络(信息)安全：是指确保网络上的信息和资源不被非授权用户使用。,网络安全的攻防体系,攻击技术,1、网络监听：自己不主动去攻击别人，在计算机上设置一个程序去监听目标计算机与其他计算机通信的数据。 2、网络扫描：利用程序去扫描目标计算机开放的端口等，目的是发现漏洞，为入侵该计算机做准备。 3、网络入侵：当探测发现对方存在漏洞以后，入侵到目标计算机获取信息。 4、网络
2、后门：成功入侵目标计算机后，为了长期控制，在目标计算机中种植木马等后门。 5、网络隐身：入侵完毕退出目标计算机后，将自己入侵的痕迹清除，从而防止被对方管理员发现。,防御技术,1、操作系统的安全配置：操作系统的安全是整个网络安全的关键。 2、加密技术：为了防止被监听和盗取数据，将所有的数据进行加密。 3、防火墙技术：利用防火墙，对传输的数据进行限制，从而防止被入侵。 4、入侵检测：如果网络防线最终被攻破了，需要及时发出被入侵的警报。,网络安全的攻防体系,为了保证网络的安全，在软件使用有两种选择： 1、使用已经成熟的工具 如抓数据包软件Sniffer 网络扫描工具X-Scan 2、是自己编制程序
3、目前网络安全编程常用的有C、C+、Perl等。注：我们常在VC下编程！,必须熟悉两方面的知识,一是:两大主流的操作系统 UNIX家族和Window系列操作系统 二是:网络协议常见的网络协议包括： TCP（Transmission Control Protocol，传输控制协议） IP（Internet Protocol，网络协议） UDP（User Datagram Protocol，用户数据报协议） SMTP（Simple Mail Transfer Protocol，简单邮件传输协议） POP（Post Office Protocol，邮局协议） FTP（File Transfer Pro
4、tocol，文件传输协议）等等。,网络安全的层次体系,1、物理安全； 2、逻辑安全； 3、操作系统安全； 4、联网安全。,物理安全保护,物理安全保护包括:,物理访问控制:只有授权的用户可以访问。可通过指纹、口令、身份证等来识别。,安全放置设备:即设备要远离水、火、电磁辐射等；,物理安全保护：对存放或处理数据的物理设备进行保护。,物理安全,物理安全主要包括五个方面：1、防盗； 2、防火； 3、防静电； 4、防雷击； 5、防电磁泄漏。,逻辑安全,计算机的逻辑安全需要用口令、文件许可等方法来实现。 可以限制登录的次数或对试探操作加上时间限制；可以用软件来保护存储在计算机文件中的信息； 限制存取的另一
5、种方式是通过硬件完成，在接收到存取要求后，先询问并校核口令，然后访问列于目录中的授权用户标志号。 此外，有一些安全软件包也可以跟踪可疑的、未授权的存取企图，例如多次登录或请求别人的文件。,操作系统安全,操作系统是计算机中最基本、最重要的软件。同一计算机可以安装几种不同的操作系统。 如果计算机系统可提供给许多人使用，操作系统必须能区分用户，以便于防止相互干扰。 一些安全性较高、功能较强的操作系统可以为计算机的每一位用户分配账户。 通常，一个用户一个账户。操作系统不允许一个用户修改由另一个账户产生的数据。,联网安全,联网的安全性通过两方面的安全服务来达到： 1、访问控制服务：用来保护计算机和联网资
6、源不被非授权使用。 2、通信安全服务：用来认证数据机要性与完整性，以及各通信的可信赖性。,信息安全基本要素,完整性,机密性,可审查性,可用性,可控性,网络安全是信息安全的重要内容之一！,信息安全基本要素,机密性 确保信息不暴露给未授权的实体或进程 完整性 只有得到允许的人才能修改数据，并且能够判别出数据是否已被篡改可用性 得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者的工作可控性 可以控制授权范围内的信息流向及行为方式 可审查性 对出现的网络安全问题提供调查的依据和手段,信息安全模型,P,M,R,R,D,安全模型 MP2DRR,访问控制机制,入侵检测机制,安全响应机制
7、,备份与恢复机制,管理,P,安全策略,信息安全要素,审计,管理,加密,访问控制,用户验证,安全策略,安全威胁,信息安全威胁：指某个人、物、事件或概念对信息资源的保密性、完整性、可用性或合法使用性等等所造成的危险。,攻击就是对安全威胁的具体体现。虽然人为因素和非人为因素都可以对通信安全构成威胁，但是精心设计的人为攻击威胁最大。,网络安全性威协,（1）截获(interception)（2）中断(interruption)（3）篡改(modification)（4）伪造(fabrication),网络安全攻击的形式,网络安全攻击,截获 以保密性作为攻击目标，表现为非授权用户通过某种手段获得对系统资源
8、的访问，如搭线窃听、非法拷贝等中断 以可用性作为攻击目标，表现为毁坏系统资源，切断通信线路等,网络安全攻击,修改 以完整性作为攻击目标，非授权用户通过某种手段获得系统资源后，还对文件进行窜改，然后再把篡改过的文件发送给用户。伪造 以完整性作为攻击目标，非授权用户将一些伪造的、虚假的数据插入到正常系统中,被动攻击：目的是窃听、监视、存储数据，但是不修改数据。很难被检测出来，通常采用预防手段来防止被动攻击，如数据加密。主动攻击： 修改数据流或创建一些虚假数据流。常采用数据加密技术和适当的身份鉴别技术。,主动与被动攻击,主动攻击又可进一步划分为三种，即： （1）更改报文流（：篡改） （2）拒绝报文服
9、务（：中断） （3）伪造连接初始化（：伪造）,主动攻击,安全威胁的后果,安全漏洞危害在增大,信息对抗的威胁在增加,电力,交通,医疗,金融,工业,广播,控制,通讯,因特网,（1）防止析出报文内容； （2）防止信息量分析； （3）检测更改报文流； （4）检测拒绝报文服务； （5）检测伪造初始化连接。,通信安全的目标,安全威胁分类,物理环境：自然灾害 ,电源故障、设备被盗 通信链路：安装窃听装置或对通信链路进行干扰 网络系统：互联网的开放性、国际性 操作系统：系统软件或硬件芯片中的植入威胁 应用系统：木马、陷阱门、逻辑炸弹 管理系统：管理上杜绝安全漏洞,“安全是相对的，不安全才是绝对的”,常见的安全
10、威胁,1信息泄露：信息被泄露或透露给某个非授权的实体。2破坏完整性：数据被非授权地进行增删、修改或破坏而受到损失。3拒绝服务：对信息或其它资源的合法访问被无条件地阻止。4非法使用：某一资源被某个非授权的人，或以非授权的方式使用。5窃听：用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。,常见的安全威胁,6业务流分析：通过对系统进行长期监听来分析方法对通信频度、信息流向等发现有价值的信息和规律。7假冒：通过欺骗通信系统（或用户）达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒攻击。8旁路控制：攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非
11、授权的权利或特权。9授权侵犯：被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其它非授权的目的，也称作“内部攻击”。,常见的安全威胁,10特洛伊木马：软件中含有一个察觉不出的或者无害的程序段，当它被执行时，会破坏用户的安全。这种应用程序称为特洛伊木马。11陷阱门：在某个系统或某个部件中设置的“机关”，使得当提供特定的输入数据时，允许违反安全策略。12抵赖：这是一种来自用户的攻击，比如：否认自己曾经发布过的某条消息、伪造一份对方来信等。13重放：所截获的某次合法的通信数据拷贝，出于非法的目的而被重新发送。,常见的安全威胁,14计算机病毒：是一种在计算机系统运行过程中能够实现传染和侵害的
12、功能程序。15人员不慎：一个授权的人为了钱或利益，或由于粗心，将信息泄露给一个非授权的人。16媒体废弃：信息被从废弃的磁的或打印过的存储介质中获得。17物理侵入：侵入者通过绕过物理控制而获得对系统的访问；,常见的安全威胁,18窃取：重要的安全物品，如令牌或身份卡被盗；19业务欺骗：某一伪系统或系统部件欺骗合法的用户或系统自愿地放弃敏感信息。,互联网安全事件,全世界传媒关注的美国著名网站被袭事件 雅虎、亚马逊书店、eBay、ZDNet；谷歌被黑在1998年内试图闯入五角大楼计算机网络的尝试达25万次之多，其中60%的尝试达到了目的；每年美国政府的计算机系统遭非法入侵的次数至少有30万次之多；微软
13、公司承认，有黑客闯入了该公司的内部计算机网络，并获取了正在开发中的软件蓝图，这起攻击对微软影响重大。,我国的历史数据,1998年9月22日，黑客入侵某银行电脑系统，将72万元注入其户头，提出26万元。为国内首例利用计算机盗窃银行巨款案件。1999年11月14日至17日：新疆乌鲁木齐市发生首起针对银行自动提款机的黑客案件，被盗用户的信用卡被盗1.799万元。2000年3月8日：山西日报国际互联网站遭到黑客数次攻击，被迫关机，这是国内首例黑客攻击省级党报网站事件,我国的历史数据,2000年3月25日：重庆某银行储户的个人帐户被非法提走5万余元。2000年6月7日：ISS安氏(中国)有限公司在国内以
14、及ISP的虚拟主机上的网站被中国黑客所攻击，该公司总裁为克林顿网络安全顾问，而ISS为全球最大的网络安全公司。2000年6月11、12日：中国香港特区政府互联网服务指南主页遭到黑客入侵，服务被迫暂停。,大规模蠕虫事件,2003年我国网络安全事件报告SQL SLAMMER 蠕虫 口令蠕虫 CodeRed.F MSBlast/MSBlast.REMOVE Sobig,网络安全成全球化问题,2000年2月 Yahoo!等被攻击案件 2001年8月 红色代码事件 2001年9月 尼姆达事件 2003年1月 SQL SLAMMER事件 2003年3月 口令蠕虫事件 2003年3月 红色代码F变种事件 2
15、003年8月 冲击波蠕虫事件,黑客入侵和破坏的危险,黑客在网上的攻击活动每年以十倍速增长。修改网页进行恶作剧、窃取网上信息兴风作浪。非法进入主机破坏程序、阻塞用户、窃取密码。串入银行网络转移金钱、进行电子邮件骚扰。黑客可能会试图攻击网络设备，使网络设备瘫痪他们利用网络安全的脆弱性，无孔不入！美国每年因黑客而造成的经济损失近百亿美元,黑客（ Hacker ）,凯文 米特尼克,凯文 米特尼克,“头号电脑黑客” Kevin Mitnick1964年出生。3岁父母离异，致性格内向、沉默寡言。4岁玩游戏达到专家水平。 13岁喜欢上无线电活动，开始与世界各地爱好者联络。编写的电脑程序简洁实用、倾倒教师。
16、15岁闯入“北美空中防务指挥系统”主机，翻阅了美国所有的核弹头资料、令大人不可置信。 不久破译了美国“太平洋电话公司”某地的客户密码，随意更改用户的电话号码。并与中央联邦调查局的特工恶作剧。 被电脑信息跟踪机发现第一次被逮捕,凯文 米特尼克,出狱后，又连续非法修改多家公司电脑的财务帐单。1988年再次入狱，被判一年徒刑。 1993年（29岁）逃脱联邦调查局圈套。 1994年向圣地亚哥超级计算机中心发动攻击，该中心安全专家下村勉决心将其捉拿归案。 期间米特尼克还入侵了美国摩托罗拉、NOVELL、SUN公司及芬兰NOKIA公司的电脑系统，盗走各种程序和数据（价4亿美金）。 下村勉用“电子隐形化”技
17、术跟踪，最后准确地从无线电话中找到行迹，并抄获其住处电脑,凯文 米特尼克,1995年2月被送上法庭，“到底还是输了”。 2000年1月出狱，3年内被禁止使用电脑、手机及互联网。,莫里斯,1965年生，父为贝尔实验室计算机安全专家。 从小对电脑兴趣，有自己账号。 初中时（16岁）发现UNIX漏洞，获取实验室超级口令并提醒其父。 1983年入哈佛大学，一年级改VAX机为单用户系统。 可以一连几个小时潜心阅读2000多页的UNIX手册，是学校里最精通UNIX的人。学校为他设专线。 1988年成为康奈尔大学研究生，获“孤独的才华横溢的程序专家”称号。,莫里斯,1988年10月试图编写一个无害病毒，要尽
18、可能感染开。11月2日病毒开始扩散，但一台台机器陷入瘫痪！10%互联网上的主机受影响，莫里斯受到控告，被判3年缓刑、1万元罚金和400小时的社区服务，也停顿了康奈尔大学的学习。,什么是黑客 ？,黑客（Hacker）是那些检查（网络）系统完整性和安全性的人，他们通常非常精通计算机硬件和软件知识，并有能力通过创新的方法剖析系统。“黑客”通常会去寻找网络中漏洞，但是往往并不去破坏计算机系统。 入侵者（Cracker）只不过是那些利用网络漏洞破坏网络的人，他们往往会通过计算机系统漏洞来入侵，他们也具备广泛的电脑知识，但与黑客不同的是他们以破坏为目的。,现在Hacker和Cracker已经混为一谈，通常
19、将入侵计算机系统的人统称为黑客.,安全策略,安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。该安全策略模型包括了建立安全环境的三个重要组成部分，即威严的法律、先进的技术、严格的管理。,安全策略,安全策略是建立安全系统的第一道防线,确保安全策略不与公司目标和实际活动相抵触,给予资源合理的保护,安全工作目的（一）,安全工作的目的就是为了在安全法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，完成以下任务使用访问控制机制，阻止非授权用户进入网络，即“进不来”，从而保证网络系统的可用性。,使用授权机制，实现对用户的权限控制，即不该拿走 的“拿不走”，同
20、时结合内容审计机制，实现对网络资 源及信息的可控性。,安全工作目的（二）,使用加密机制，确保信息不暴漏给未授权的实体或进程，即“看不懂”，从而实现信息的保密性。使用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而其它人“改不了”，从而确保信息的完整性。使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“走不脱”，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。,研究网络安全的社会意义,目前研究网络安全已经不只为了信息和数据的安全性。 网络安全已经渗透到国家的政治、经济、军事等领域。,我国立法情况,目前网络安全方面的法规已经写入中华人民共和国宪法。 电子
21、认证服务管理办法（2005年4月1日） 计算机信息网络国际联网保密管理规定（2000年1月1日） 中国互联网络域名管理办法（2004年12月20日） 中华人民共和国计算机信息系统安全保护条例（94年2月18日） 互联网著作权行政保护办法（2005年5月30日）,国际立法情况,美国和日本是计算机网络安全比较完善的国家，一些发展中国家和第三世界国家的计算机网络安全方面的法规还不够完善。 欧洲共同体是一个在欧洲范围内具有较强影响力的政府间组织。 为在共同体内正常地进行信息市场运做，该组织在诸多问题上建立了一系列法律，如：竞争法；知识产权保护、数据保护等；,国际评价标准,根据美国国防部开发的计算机安全
22、标准可信任计算机标准评价准则（Trusted Computer Standards Evaluation Criteria：TCSEC），也就是网络安全橙皮书，一些计算机安全级别被用来评价一个计算机系统的安全性。自从1985年橙皮书成为美国国防部的标准以来，就一直没有改变过，多年以来一直是评估多用户主机和小型操作系统的主要方法。其他子系统（如数据库和网络）也一直用橙皮书来解释评估。橙皮书把安全的级别从低到高分成4个类别：D类、C类、B类和A类，每类又分几个级别，,安全级别,安全级别,D级是最低的安全级别，拥有这个级别的操作系统就像一个门户大开的房子，任何人都可以自由进出，是完全不可信任的。 对
23、于硬件来说，是没有任何保护措施的，操作系统容易受到损害，没有系统访问限制和数据访问限制，任何人不需任何账户都可以进入系统，不受任何限制可以访问他人的数据文件。 属于这个级别的操作系统有： DOS和Windows98等。,安全级别,C1是C类的一个安全子级。C1又称选择性安全保护（Discretionary Security Protection）系统，它描述了一个典型的用在Unix系统上安全级别 这种级别的系统对硬件又有某种程度的保护，如用户拥有注册账号和口令，系统通过账号和口令来识别用户是否合法，并决定用户对程序和信息拥有什么样的访问权，但硬件受到损害的可能性仍然存在。 用户拥有的访问权是指
24、对文件和目标的访问权。文件的拥有者和超级用户可以改变文件的访问属性，从而对不同的用户授予不通的访问权限。,安全级别,使用附加身份验证就可以让一个C2级系统用户在不是超级用户的情况下有权执行系统管理任务。授权分级使系统管理员能够给用户分组，授予他们访问某些程序的权限或访问特定的目录。 能够达到C2级别的常见操作系统有： （1）Unix系统 （2）Novell 3.X或者更高版本 （3）Windows NT、Win 2K和Win 2003,安全级别,B级中有三个级别，B1级即标志安全保护（Labeled Security Protection），是支持多级安全（例如：秘密和绝密）的第一个级别，这个
25、级别说明处于强制性访问控制之下的对象，系统不允许文件的拥有者改变其许可权限。 安全级别存在保密、绝密级别，这种安全级别的计算机系统一般在政府机构中，比如国防部和国家安全局的计算机系统。,安全级别,B2级即结构保护级(Structured Protection)，它要求计算机系统中所有的对象都要加上标签，而且给设备（磁盘、磁带和终端）分配单个或者多个安全级别。 B3级即安全域级别(Security Domain)，使用安装硬件的方式来加强域的安全，例如，内存管理硬件用于保护安全域免遭无授权访问或更改其他安全域的对象。该级别也要求用户通过一条可信任途径连接到系统上。,安全级别,A级:验证设计级别（
26、Verified Design），是当前橙皮书的最高级别，它包含了一个严格的设计、控制和验证过程。该级别包含了较低级别的所有的安全特性 设计必须从数学角度上进行验证，而且必须进行秘密通道和可信任分布分析。 橙皮书也存在不足。TCSEC是针对孤立计算机系统，特别是小型机和主机系统。假设有一定的物理保障，该标准适合政府和军队，不适合企业，这个模型是静态的。,我国评价标准,在我国根据计算机信息系统安全保护等级划分准则，1999年10月经过国家质量技术监督局批准发布准则将计算机安全保护划分为以下五个级别第一级为用户自主保护级：它的安全保护机制使用户具备自主安全保护的能力，保护用户的信息免受非法的读写破
27、坏。第二级为系统审计保护级：除具备第一级所有的安全保护功能外，要求创建和维护访问的审计跟踪记录，使所有的用户对自己的行为的合法性负责。,我国评价标准,第三级为安全标记保护级：除继承前一个级别的安全功能外，还要求以访问对象标记的安全级别限制访问者的访问权限，实现对访问对象的强制保护。第四级为结构化保护级：在继承前面安全级别安全功能的基础上，将安全保护机制划分为关键部分和非关键部分，对关键部分直接控制访问者对访问对象的存取，从而加强系统的抗渗透能力第五级为访问验证保护级：这一个级别特别增设了访问验证功能，负责仲裁访问者对访问对象的所有访问活动。,实验环境配置,网络安全是一门实践性很强的学科，包括许
28、多试验。 良好的实验配置是必须的。网络安全实验配置最少应该有两个独立的操作系统，而且两个操作系统可以通过以太网进行通信。,考虑两个方面的因素： 1、许多计算机不具有联网的条件。 2、网络安全实验对系统具有破坏性。,实验设备,实验设备,在计算机上安装Windows 2000 Server，并且打上相关的布丁，IP地址设置为172.18.25.110，根据需要可以设置为其他的IP地址。,虚拟机软件VMware,安装虚拟机软件VMWare 7.1绿色汉化版。虚拟机上的操作系统，可以通过网卡和实际的操作系统进行通信。通信的过程和原理，与真实环境下的两台计算机一样。,配置VMware虚拟机,选择菜单栏“
29、File”下的“New”菜单项，再选择子菜单“New Virtual Machine”，如图所示。,配置VMware虚拟机,配置VMware虚拟机,设置将来要安装的操作系统类型。,配置VMware虚拟机,安装目录选择界面。,配置VMware虚拟机,配置VMware虚拟机,进入网络连接方式选择界面。,配置VMware虚拟机,VMWare的常用的是两种联网方式： （1）Used Bridged networking 虚拟机操作系统的IP地址可设置成与主机操作系统在同一网段，虚拟机操作系统相当于网络内的一台独立的机器，网络内其他机器可访问虚拟机上的操作系统，虚拟机的操作系统也可访问网络内其他机器。
30、（2）User network address translation（NAT） 实现主机的操作系统与虚拟机上的操作系统的双向访问。但网络内其他机器不能访问虚拟机上的操作系统，虚拟机可通过主机操作系统的NAT协议访问网络内其他机器。,配置VMware虚拟机,配置VMware虚拟机,有三种选择： 1、Create a new virtual disk 虚拟机将重新建立一个虚拟磁盘，该磁盘在实际计算机操作系统上就是一个文件，而且这个文件还可以随意的拷贝。 2、Use an existing virtual disk 使用已经建立好的虚拟磁盘。 3、Use a physical disk 使用实际的
31、磁盘，这样虚拟机可以方便的和主机进行文件交换，但是这样的话，虚拟机上的操作系统受到损害的时候会影响外面的操作系统。,配置VMware虚拟机,硬盘空间分配界面。,配置VMware虚拟机,配置VMware虚拟机,配置VMware虚拟机,配置VMware虚拟机,看到VMware的启动界面，相当于一台独立的计算机,配置VMware虚拟机,按下功能键“F2”进入系统设置界面，进入虚拟机的BIOS（Basic Input and Out System）设置界面,配置VMware虚拟机,为了使所有的网络安全攻击实验都可以成功完成，在虚拟上安装没有打过任何补丁的Windows Advanced Server
32、2000。,配置VMware虚拟机,配置虚拟机上操作系统的IP地址172.18.25.109 ，使之和主机能够通过网络进行通信。,配置VMware虚拟机,网络抓包软件Sniffer,利用Sniffer抓包,进入Sniffer主界面，抓包之前必须首先设置要抓取数据包的类型。选择主菜单Capture下的Define Filter菜单。,利用Sniffer抓包,在Address下拉列表中，选择抓包的类型是IP，在Station1下面输入主机的IP地址172.18.25.110；在Station2下面输入虚拟机的IP地址172.18.25.109。,利用Sniffer抓包,设Advanced选项卡，拖
33、动滚动条找到IP项，将IP和ICMP选中,利用Sniffer抓包,选中TCP下的FTP和Telnet和UDP下的DNS。,利用Sniffer抓包,点Start启动抓包后，在主机的DOS窗口中Ping虚拟机。,利用Sniffer抓包,等Ping指令执行完毕后，点击“停止并分析”按钮。,利用Sniffer抓包,选择Decode后可以看到数据包在两台计算机间的传递过程,主机的配置,虚拟机配置,实验中的很多程序属于木马和病毒程序，除了做实验以外，在主机上和虚拟机上要加载任何的防火墙或者防病毒监控软件。,本章总结,本章介绍了： 网络安全的攻防研究体系 研究网络安全的必要性、及社会意义。 概述了： 网络安全国内和国际的相关法规 安全的评价标准。 最后着重的介绍了：安全实验环境的配置和测试。,本章习题,1、自己安装并配置好VMware5.5.1，要求彼此要ping通； 2、安装SnifferPro4.7，配置好后能抓取主机到虚拟机或者PC的数据包，并做简要分析。 注： 1、 (中国vmware) 2、 (绿色下载) 3、( 网络分析专家论坛),
