1、第八章 网络管理与网络安全,8.1 网络管理,8.1.1网络管理概述,1.网络管理的定义网络管理，简称网管，即为确保网络系统能够持续、稳定、安全、可靠和高效地运行，对网络实施的一系列方法和措施。,2. 网络管理的目标 减少停机时间，改进响应时间，提高设备利用率； 减少运行费用，提高效率； 减少或消除网络瓶颈； 适应新技术； 使网络更容易使用； 确保网络的安全。,网络管理模型在网络管理中，一般采用基于管理者代理的网络管理模型，如图8-1-1所示。该模型主要由管理者、管理代理和被管对象组成。网络管理为控制、协调和监视网络资源提供手段。其中管理者负责整个网络的管理，管理者与代理之间利用网络通信协议交
2、换相关信息，实现网络管理。管理者通过从各代理处收集管理信息，处理信息，从而获得有价值的管理信息，从而达到网络管理的目的。,图8-1-1 管理者代理的网络管理模型,4. 网络管理分类 根据网管软件的发展历史，可以将网管软件划分为三代： 第一代网管软件就是最常用的命令行方式，并结合一些简单的网络监测工具，它不仅要求使用者精通网络的原理及概念，还要求使用者了解不同厂商的不同网络设备的配置方法。 第二代网管软件有着良好的图形化界面。用户无须过多了解设备的配置方法，就能图形化地对多台设备同时进行配置和监控。大大提高了工作效率，但仍然存在由于人为因素造成的设备功能使用不全面或不正确的问题数增大，容易引发误
3、操作。 第三代网管软件相对来说比较智能，是真正将网络和管理进行有机结合的软件系统，具有“自动配置”和“自动调整”功能。对网管人员来说，只要把用户情况、设备情况以及用户与网络资源之间的分配关系输入网管系统，系统就能自动地建立图形化的人员与网络的配置关系，并自动鉴别用户身份，分配用户所需的资源(如电子邮件、Web、文档服务等)。,8.1.2. 网络管理的基本功能,1.故障管理2.计费管理 3. 配置管理 4. 性能管理 5.安全管理,8.1.3.网络管理协议,1.简单网络管理协议（SNMP）简单网络管理协议(SNMP)首先是由Internet工程任务组织(Internet Engineering
4、Task Force)(IETF)的研究小组为了解决Internet上的路由器管理问题而提出的。SNMP被设计成与协议无关，所以它可以在IP，IPX，AppleTalk，OSI以及其他的传输协议上使用。SNMP是一系列协议组和规范，提供了一种从网络上的设备中收集网络管理信息的方法。SNMP所管理的对象包括网桥、路由器、交换机等内存和处理能力有限的网络互联设备。,图8-1-2 SNMP V.1网络管理模型,2.通用管理信息协议（CMIP）通用管理信息协议是OSI提供的网络管理协议簇。可以提供完整的端端管理功能，它覆盖了OSI的七层。但由于其复杂性，致使其开发缓慢，很少有适用的网络管理产品。OSI
5、网络协议旨在为所有设备在OSI参考模型的每一层提供一个公共网络结构，而CMIP正是这样一个用于所有网络设备的完整网络管理协议簇。出于通用性的考虑，CMIP的功能和结构与SNMP不同，SNMP是按照简单和易于实现的原则设计的，而CMIP则能提供支持一个完整网络管理方案所需的功能。,3.局域网个人管理协议（LMMP）局域网个人管理协议（LMMP，LAN Man Management Protocol）试图为局域网的管理提供一个解决方案。局域网中的网络设备有网桥、集线器和中继器。LMMP以前被称为IEEE802逻辑链路控制上的公共管理信息服务与协议。由于该协议直接位于IEEE802逻辑链路层上，它可
6、以不依赖于任何特定的网络协议进行网络传输。,8.2 网络安全,8.2.1网络安全概述,网络安全一般是指信息的保密性、完整性、可用性、真实性和可审查性等。保密性(Confidentiality)，即信息不泄露给非授权用户、实体或过程而供其利用，也就是使系统只向已被授权的使用者提供信息，对于未被授权的使用者，这些信息是不可获得或不可理解的。完整性(Integrity)，也就是使系统只允许授权的用户修改信息，以保证所提供给用户的信息资源是完整的、正确的，即数据未经授权不能进行改变的特性。可用性(Availability)，也就是使系统可以随时向所有用户提供他们各自应得到的信息资源服务，即当需要时能否
7、存取所需信息。 真实性(Authenticity)，即信息可靠真实。 可审查性(Accountability)，也就是使系统内所发生的与安全有关的动作均有说明性记录可查。,8.2.2 网络安全的威胁因素,网络不安全因素具体有以下几点： （1）操作系统的安全性。目前流行的许多操作系统均存在网络安全漏洞，如Unix服务器、NT服务器及Windows桌面PC。 （2）防火墙的安全性。防火墙产品自身是否安全，是否设置错误，需要经过检验。 （3）来自内部网用户的安全威胁。网络的管理制度不健全，任其自然。如缺少管理者的日常维护、数据备份管理、用户权限管理以及应用软件的维护等。 （4）缺乏有效的手段，监视、
8、评估网络系统的安全性，网络认证环节薄弱。 （5）由于大型网络系统内运行多种网络协议，如TCP/IP、IPX/SPX、NETBEUA等，而这些网络协议并非专为安全通信而设计的，协议本身缺乏安全性。 （6）未能对来自Internet的电子邮件挟带的病毒及Web浏览可能存在的恶意Java/ActiveX控件进行有效控制。 （7）应用服务的安全。许多应用服务系统在访问控制及安全通信方面考虑不周，如果系统设置错误，则很容易造成损失。 （8）最重要的一条是没有正视黑客、病毒和计算机犯罪所造成的严重后果，不舍得投入必要的人力、财力和物力来加强网络的安全性。,8.2.3 安全服务,安全服务(Security
9、Services)，是指开放某一层所提供的服务，用以保证系统或数据传输的安全性。根据ISO7498-2中提出的建议，一个安全的计算机网络应当能够提供以下的安全服务：,1对象认证(Entity Authentication) 2访问控制(Access Control) 3数据保密性(Data Confidentiality) 4数据完整性(Data Integrity) 5防否认(Non-repudiation),8.2.4网络安全技术,物理层：物理层信息安全主要包括防止物理通路的损坏、通过物理通路窃听、对物理通路的攻击(干扰)等； 链路层：链路层的网络安全需要保证通过网络链路传送的数据不被窃听
10、，主要采用划分VLAN(局域网)、加密通信(远程网)等手段； 网络层：网络层的安全需要保证网络只给授权的客户提供授权的服务，保证网络路由正确，避免被拦截或监听，设置防火墙； 操作系统：操作系统安全指保证客户资料、操作系统访问控制的安全，同时能够对该操作系统上的应用进行审计； 应用平台：应用平台指建立在网络系统之上的应用软件服务，如数据库服务器、电子邮件服务器、Web服务器等，由于应用平台的系统非常复杂，通常采用多种技术(如SSL等)来增强应用平台的安全性； 应用系统：应用系统完成网络系统的最终目的为用户服务。,8.2.5. 安全机制,1.加密机制2数字签名机制 3访问控制机制 4数据完整性机制
11、 5认证交换机制 6防业务流分析机制 7路由控制机制 8公证机制,8.2.6 增强网络安全意识刻不容缓,随着计算机技术的飞速发展，信息网络已经成为社会发展的重要保证。信息网络涉及到国家的政府、军事、文教等诸多领域。其中存贮、传输和处理的信息有许多是重要的政府宏观调控决策、商业经济信息、银行资金转帐、股票证券、能源资源数据、科研数据等重要信息。有很多是敏感信息，甚至是国家机密。所以难免会吸引来自世界各地的各种人为攻击（例如信息泄漏、信息窃取、数据篡改、数据删添、计算机病毒等）。同时，网络实体还要经受诸如水灾、火灾、地震、电磁辐射等方面的考验。,8.2.7物理安全,物理安全主要指计算机、通信线路和
12、网络设备的安全，即为保证数据不会从物理设备上被窃取所采取的保护措施。计算机网络的连接在不同的房间之间、楼房之间、各单位及各部门之间，窃密者只要设法找到计算机之间的连接线，就可以进行窃密。解决的办法是密封电缆并加上检测器和报警器，对电压等参数进行检测。由于物理上的安全受到技术、资金等方面的限制，不能完全杜绝采取的入侵手段。所以，对网络传输数据的加密是保证网络通信安全的一个十分重要的手段。,8.2.8网络安全协议,在非安全的网络中传输加密文档，在传输之前加密整个文档，传输的数据由底层协议加密(SSL)。此种方式不必改变应用层协议，也不必改变传输层协议，它是在应用层与传输层之间加一层安全加密协议，达
13、到安全传输的目的。,8.3密码学,8.3.1密码学基本概念,密码学包括密码编码学和密码分析学。密码体制的设计是密码编码学的主要内容，密码体制的破译是密码分析学的主要内容。密码编码技术和密码分析技术是相互依存、相互支持、密不可分的两个方面。要加密的信息称为明文（plaintext），经过以密钥（key）为参数的函数加以转换。加密过程的输出，即密文（cipher text），再由传令兵或无线电进行发送。假定敌人，或称侵犯者（intruder），听到或准确复制了全部的密文。但是他不像合法接收者那样能知道密钥，因而不能轻易地破译密文，有时候侵犯者不仅收听通信信道（被动侵犯者），而且还要记录信息供以后重
14、放，并要在信息到达接收者之前插入自己的信息或修改合法信息（主动侵犯者）。破译密码被称作密码分析（cryptanalysis）。 设计密码（加密）和破译密码（解码）的技术统称为密码学（cryptokgy）。,密码学的起源最早的密码学应用可追溯到公元前2000 年古埃及人使用的象形文字。这种文字由复杂的图形组成，其含义只被为数不多的人掌握着。而最早将现代密码学概念运用于实际的人是恺撒大帝（尤利西斯.恺撒公元前100年 44 年）。他不太相信负责他和他手下将领通讯的传令官，因此他发明了一种简单的加密算法把他的信件加密。,2. 什么是加密算法所谓加密算法就是指将信息变成密文的计算方法。有的加密算法就是
15、对信息进行简单的替换或乱序，这种加密算法最明显的缺陷就是，算法本身必须保证是保密的。现代加密算法通常都需要密钥来完成对信息的加密运算，算法本身可以公开，理论上，只要保证密钥的安全就能保证信息的安全。,8.3.2传统加密技术,传统的加密方法可分为两类：替代密码和换位密码。 1.替代密码 替代密码即在替代密码中，用一组密文字母来代替一组明文字母以隐藏明文，但保持明文字母的位置不变。下面介绍两种具体的替代加密法。 （1）单表替代密码：单表替代密码的一种典型方法是凯撒（Caesar）密码，又叫循环移位密码。它的加密方法就是把明文中所有字母都用它右边的第k个字母替代，并认为Z后面又是A。,（2）多表替代
16、密码：周期替代密码是一种常用的多表替代密码，又称为维吉尼亚（Vigenere）密码。这种替代法是循环的使用有限个字母来实现替代的一种方法。这种加密的加密表是以字母表移位为基础把26个英文字母进行循环移位，排列在一起，形成2626的方阵，该方阵被称为多维吉尼亚表。,2.换位密码 换位密码（transposition cipher）要对明文字母作重新排序，但不隐蔽它们。图8-3-1所示介绍了一种常用的变位密码列变位密码。该密码的密钥是一个不含任何重复字母的单词或短语。破译分为三步。 第一步是判断密码类型。检查密文中E、T、O、A、N、I等字母出现的频率，如果符合自然语言的特征，则说明密文是用换位密
17、码书写的。第二步是猜测密钥的长度，即列数。在许多情况下，破以者能根据消息的上下文来猜测出消息中可能包含的单词和短语。 第三步是确定各列的顺序。,图8-3-1 变位密码举例,8.3.3 对称加密（秘密密钥密码体系）,对称加密体制是指在对信息的加密和解密过程中使用相同的密钥。换句话说就是，一把钥匙开一把锁。使用对称加密方法可以简化加密的处理，每个交易方都无须彼此研究和交换专用的加密算法，而是采用相同的加密算法并只交换共享的专用密钥。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文的完整性就可以通过对称加密方法加密机密信息和通过随报文一起发送报文摘要或报文散列值来实现。,8
18、.3.4 非对称加密（公钥密码体系）,所谓非对称加密是指密钥被分解为一对密钥，这对密钥的任何一把都可作为公开密钥（加密密钥）通过非保护方式向他人公开，而另一把则作为秘密密钥（解密密钥）加以保存。公开密钥用于对机密性信息加密，秘密密钥用于对加密信息的解密。加密算法E和解密算法D必须满足以下三个条件：D(F(P)=P，即解密算发作用于密文后可得到明文；从E导出D非常困难；使用“选择明文”攻击不能攻破E，即使破译者能加密明文，也无法破译密文。如果能够满足以上三个条件，那么加密算法完全可以公开。,8.3.5. 数字证书技术,1. 口令认证口令认证的基本思想是每一个用户都有一个标识和口令，当用户想进入系
19、统时，他必须先提供其标识和口令，系统就可以检验用户的合法性。因此口令认证具有价格低廉、容易实现且用户界面友好的特点。,2什么是数字证书数字证书也称为公开密钥证书，是网络通信中标志通信各方身份信息的一系列数据，其作用类似于现实生活中的身份证。它是由一个权威机构发行的，用以在交往中识别对方的身份。交易伙伴之间可以用数字证书来交换公开密钥。国际电信联盟（ITU）制定的标准X.509对数字证书进行了定义，该标准等同于国际标准化组织（ISO）与国际电工委员会（IEC）联合发布的的ISO/IEC 9594-8:195标准。,3.数字证书功能我们以电子邮件为例来说明数字证书所具有的四大功能： （1）保密性
20、（2） 认证身份 （3） 完整性 （4）不可否认性,4.数字证书的原理数字证书采用公钥密码体制，即利用一对相互匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的解密密钥，用它解密和签名。同时设定一把加密密钥并由本人公开，为其他用户共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的加密密钥对数据加密，而接收方则使用自己的解密密钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用解密密钥才能解密。,5. 数字证书的类型 （1） 个人数字证书（2） 企业数字证书（3） 软件数字证书,6. 认证中心 证书的版本信息； 证书的
21、序列号，每个用户都有一个唯一的证书序列号； 证书所使用的签名算法； 证书的发行机构名称，命名规则一般采用X.400格式； 证书的有效期，现在通用的证书一般采用UTC时间格式，它的计时范围为19502049； 证书所有人的名称，命名规则一般采用X.400格式； 证书所有人的公开密钥； 证书发行者对证书的签名。,8.3.6.数字签名,数字签名技术以加密技术为基础，其核心是采用加密技术的加、解密算法体制来实现对报文的数字签名。数字签名能够实现以下功能。1)收方能够证实发方的真实身份； 2)发方事后不能否认所发送过的报文； 3)收方或非法者不能伪造、篡改报文。,可以采用多种方法来实现数字签名，下面介绍
22、三种： 1. 采用秘密密钥的数字签名,图8-3-2 数字签字方法,2. 采用公开密钥的数字签名,DA(P) EA(DA(P) DA(P) 图8-3-3 采用公开密钥的数字签名,3. 报文摘要,图8-6 报文摘要,8.4 防火墙技术,8.4.1防火墙概念,所谓防火墙(Firewall)，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，能最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。,图8-4-1 防火墙的功能模型,8.4.2防火墙的特点,防火墙具有以下特点： （1） 把安全网络
23、连接到不安全网络上。 （2） 保护安全网络最大程度地访问不安全网络。 （3） 将不安全网络转变为安全网络。 （4） 所有风险可集中到防火墙系统上，安全管理者可针对网络的某个方面进行管理，而采取的安全措施对网络中的其他区域并不会有多大影响。 （5） 检测与控制装置仅需安装在防火墙系统中。 （6） 内部网与外部网的一切联系都必须通过防火墙系统进行，因此，防火墙系统能够监视与控制所有的联系过程。,8.4.3防火墙的类型,实现防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。 1.网络级防火墙,图8-4-2 网络级防火墙的工作原理,2.应用级网关应用层
24、网关并不是一张简单的访问控制表来说明那些访问允许，那些访问不允许，而是运行一个接受连接的程序，需要进行口令确认和身份验证。该类防火墙对用户不透明。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。实际中的应用网关通常安装在专用工作站系统上。,3.电路级网关电路级网关用来监控受信任的客户或服务器与不受信任的主机间的TCP握手信息，这样来决定该会话(Session) 是否合法，电路级网关是在OSI模型中会话层上来过滤数据包。可以实现OSI参考模型不同层次上的过滤。,4.规则检查防火墙规则检查防火墙结合了网络级网关、电路级网关和应用级网
25、关的特点。同网络级防火墙一样，规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。它也象电路级网关一样，能够检查SYN和ACK标记和序列数字是否逻辑有序。当然它也象应用级网关一样，可以在OSI应用层上检查数据包的内容，查看这些内容是否能符合公司网络的安全规则。,8.4.4. 防火墙的实现方式,1.分组过滤路由器2.双穴防范网关 3.过滤主机网关4.过滤子网防火墙5.吊带式防火墙,8.5 网络病毒的防治,8.5.1.计算机病毒概述,1.什么是计算机病毒计算机病毒是指在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。就像
26、生物病毒一样，计算机病毒有独特的复制能力。计算机病毒可以很快地蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上。当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。,2.计算机病毒的分类计算机病毒的分类方法有多种，按病毒对计算机破坏的程度和传染方式来分。按前者分类，主要有良性病毒和恶性病毒两大种；若按后者，即病毒在计算机中的传播方式来分有引导型病毒、文件型病毒及深入型病毒三种。,3. 新型计算机病毒的技术特征 传统型病毒的共同特色，就是一定有一个“宿主”程序，所谓宿主程序就是指那些让计算机病毒藏身的地方。最常见的如一些可执行文件（.EXE和.COM）。但是由于微软的
27、WORD愈来愈流行，且所提供的宏功能又很強，使用WORD宏写出来的病毒也愈來愈多，使得后缀名为.DOC的也会成为宿主程序。尤其是近年来流行的宏病毒。相对于传统病毒，新型病毒完全不需要宿主程序，如果硬要说它寄生在哪里，或许只能说它是寄生在Internet上吧。 4. 近年主要计算机病毒回顾：,5. 计算机病毒的表现现象 （1）发作前 （2）发作时 （3）发作后,8.5.2.防病毒技术概述,1. 病毒预防技术（1）计算机病毒的技术预防措施：（2）计算机网络的安全使用（3）预防引导型病毒，通常采用的方法： （4）文件型病毒的防范 （5）宏病毒的防范：(6)电子邮件病毒的防范,2. 病毒测试技术 防毒
28、软体常使用的病毒测试技术如下： （1）病毒码扫描法 （2）加总比对法 (Check-sum) （3）人工智慧陷阱(Rule-based) （4）软件模拟扫描法 （5）VICE(Virus Instruction Code Emulation)-先知扫描法 （6）即时的I/O扫描(Real time I/O Scan) （7）文件宏病毒陷阱(Macro Trap TM),8.5.3网络防病毒技术的基本方法(1) 基于工作站的防治方法(2) 基于服务器的防治方法 （3）基于网络操作系统的防治方法(4) 单机的防范（5）小型局域网的防范（a）简单对等网络的防范（b）Windows NT网络的防毒: （6）大型网络的防范,
