1、第11章 网络安全管理,本章学习目标11.1 计算机网络安全基础11.2 防火墙技术11.3 网络文件的备份与恢复技术11.4 网络防病毒技术11.5 NOS中的安全体系,说明： 讲义中红色字体为重点,11.1.1 计算机网络安全概述1、计算机网络的概念是由计算机为主的资源子网和通信设备及传输介质为主的通信子网两部分组成。因此，计算机网络的安全就是指这两部分的安全。,11.1 计算机网络安全基础,2、计算机网络安全的概念是指通过采用各种安全技术和管理上的安全措施，确保网络数据的可用性完整性和保密性，其目的是确保经过网络传输和交换的数据不会被增加、修改、丢失和泄露等。 3、计算机网络安全的特征网
2、络安全的基本定义是：确保网络服务的可用性和网络信息的完整性。, 保密性(security) 完整性(integrity)：数据具有未经授权不能改 变的特性。 可用性(availability)：通常是指网络中主机存放的静态信息具有可用性和可操作的特性。 实用性(utility)：即保证信息具有实用的特性； 真实性(authenticity)：是指信息的可信度； 占有性(possession)：是指存储信息的主机、磁盘和信息载体等不被盗用，并具有该信息的占有权。即保证不丧失对信息的所有权和控制权。,4、计算机网络中易受到威胁的网络资源计算机网络中可能受到威胁和需要保护的网络资源有以下几种:(1)
3、、硬件设备，如交换机、路由器、集线器等；(2)、软件系统，如操作系统、数据库系统、应用软件等；(3)、数据或信息。,5、网络安全威胁的类型和有意危害者的类型(1)、 网络安全威胁的类型： 有意造成的危害； 无意造成的危害；,(2)、有意危害网络安全的3种人： 故意破坏者(hacker)即网络“黑客”； 不遵守规则者(vandal)； 刺探秘密者(cracker)。,6、攻击计算机网络安全的主要途径(1)、 通过计算机辐射、接线头、传输线路截取信息；(2)、绕过防火墙和用户口令，进入网络，进行非法及越权操作；(3)、通过截获、窃听等手段破译数据；(4)、“黑客”通过电话网络，非法尝试进入计算机网
4、络；(5)、向计算机网络注入病毒，造成网络瘫痪。,7、攻击计算机网络安全的方法和类型(1)、假冒欺骗(2)、指定路由(3)、否认服务(4)、数据截取(5)、修改数据,11.1.2 网络安全的体系结构1、网络安全体系要求的基本安全服务网络安全体系所要求的6类安全服务是：对等实体鉴别服务、访问控制服务、数据保密服务、数据完整性服务、数据源鉴别服务和禁止否认服务。2、网络体系的安全机制 P257,11.1.3 网络安全的评估标准1983年美国国防部率先提出了一套可信计算机评估标准，它将计算机系统的安全等级划分为A、B、C、D 4大类7个小类，包括了从最简单的系统安全特性直到最高级的计算机安全模型技术
5、。1、D级D级是最低的安全保护级，它不具有任何保护措施，任何人都可以自由进出系统，没有任何系统和数据访问的限制。属于这个级别的操作系统有： DOS、Windows和Apple的Macintosh System 7.1等。,2、C1级C1级又称选择安全保护级，它描述了一种典型的用于Unix系统上的安全级别。这种级别的系统对硬件具有某种程度的保护，但硬件仍然具有受到损害的可能性。,3、C2级C2级又称受控的安全访问控制级。它除了包含C1级的特点以外，还具备访问控制环境。能够达到C2级别的操作系统有：UNIX、Windows NT/2000和Novell 3.x等操作系统。,4、B1级B1级为标志安
6、全保护级，是支持多级安全的第1个级别，该级别除了具有C2安全级别的特点之外，还增加了安全策略模型、托管访问控制和数据标志等特性，具有此级别的系统是具有保密和绝密的系统。,5、B2级B2级为结构化安全保护级，该级别的设计方案，在设计时就必须具有一个整体化的、合理的、面向安全的体系结构。应当遵循最小授权的安全原则，具有良好的抗渗透能力，并对所有的主体和客体进行访问控制型的保护等。,6、B3级B3级为安全域机制安全保护级，该级别的系统具有安全内核和高抗渗透能力，使用安装硬件的方式来加强域。,7、A级A级为可验证的安全设计保护级。它是当前的最高安全级别，包括了一个严格的设计、控制和验证过程，包含了较低
7、级别的所有特性。注意： 由C2开始的每一级别都拥有较低一级的所有特性，并在此基础上增加了新的安全特性。,11.1.4 网络安全保护策略所谓安全保护策略是指一个网络对安全问题所采取的原则，对安全使用网络资源的具体要求，以及保证网络系统安全运行的措施。常用的网络安全保护策略有以下几条：P259自学,11.2 防火墙技术,11.2.1 防火墙(Firewall)的基本概念1、定义：它是一种有效的网络安全机制，是限制被保护网络与外部网络之间信息访问的网络安全屏障，通常由硬件和软件系统组合而成。2、建立 Firewall的主要目的防止需要保护的子网受到来自外网的入侵、干扰和破坏。,3、Firewall的
8、主要作用(1).检查和控制来自外部网络的数据包进入内部网络；限制用户或其他人员必须从一个严格控制的点进入Intranet的内部网络，例如,使用远程登录Telnet命令登录内部网络。(2).检查和控制从内部网络发出的数据包；限制内部网络中的用户必须从一个严格控制的点离开，例如,Intranet的内部用户使用Internet上的电子邮件、WWW浏览和FTP访问等。,(3).具有抵御攻击的能力，防止进攻者接近其他防御设备；(4).执行安全策略，限制不符合安全策略要求的分组通过。,4、防火墙的组成一个防火墙可以是一个路由器、一台主机、或者是一个主机群构成。,5、防火墙的特点(1)、优点: 可以强化安全
9、策略; 记录网络活动; 限制内网段用户之间发生的问题影响到全局; 集中有效的安全策略,(2)、缺点: 不能防范恶意的知情者对于已经进入网络的人为破坏，防火墙无能为力； 不能防范不通过它的连接者; 不能防范全部的威胁; 不能防范病毒。,6、防火墙建立的基本准则(1). 未被允许的就是禁止的(2). 未被禁止的就是允许的,7、防火墙的基本类型(1).数据包过滤型(2).代理服务型(3).复合型, 复合型firewall的类型有：*双宿主机防火墙; *主机过滤防火墙; *加密路由器防火墙,11.2.2 Firewall的基本术语和实现技术类型本节内容采用自看书的方式，了解Firewall的常用术语和
10、掌握P264 表11-1的内容,11.3 网络文件的备份与恢复技术,1、网络中数据定期备份的原因和目的(1)、备份的目的是为了在数据何系统损坏之后能能够迅速地恢复文件、系统或数据。(2)、制作备份的原因.防止数据文件的意外删除；.防止恶意员工或非法入侵者的破坏；.防止硬盘或其他媒介的物理故障。,2、数据文件的备份(1).建立数据文件备份的策略 P266(2).备份设备与存储介质的选择磁带机、磁带、硬磁盘、磁鼓等。(3).备份文件是指将日常维护工作所必须保护的系统或应用数据的文件存储(复制)到指定的介质上，以备发生不测时，完成系统或数据的恢复。,(4).备份类型.整体备份，又称普通备份存储所选对
11、象上的所有文件，是最完整的备份方式，所选的文件或文件夹都会被备份；.差量备份，又称差异备份存储所选区域中，自上一次整体备份以来所有被更改过或新增的文件，该备份不改变存档文件的属性，因此再次进行差量备份或 增量备份时，仍会对备份过的文件进行备份；,.增量备份存储所选区域中，自上一次整体备份或 增量备份以来所有用户修改过或新增的文件，该备份改变存档文件的属性，因此再次进行差量备份或增量备份时，则不会对备份过而未更改的文件进行备份；.日常备份，又称每日备份存储所选区域中每天修改过或新增的文件，该备份不改变文件的属性；.归档备份，又称副本备份存储所选区域中所有被选择的文件，而不管其他文件，该备份不改变
12、文件的属性。P268 表11-2,3、Windows中备份文件的类型(1)、文件存档属性的作用Windows备份程序是利用文件存档属性来决定文件是否已经备份过的。(2)、文件存档属性的查看.利用“命令提示符”键入命令：attrib 带有A的表示为“可存档”的文件。.利用“Windows资源管理器”(3)、 Windows备份类型与文件存档属性的关系 P270 表11-3,11.4 网络防病毒技术,11.4.1 计算机病毒和网络病毒1、计算机病毒和网络病毒计算机病毒是指人为编制的、可以破坏计算机功能、计算机数据的，能够影响计算机程序或系统正常运行的一组计算机程序或指令代码。计算机病毒可以通过多种
13、途径进行自动地复制、再生、变种、运行和传播。,网络病毒：指通过网络进行传播的计算机病毒，其传染与发作过程与单个计算机的病毒基本相同。,2、计算机病毒的特征计算机病毒具有以下一些明显的特征:. 传染性；. 未授权性；. 隐蔽性；. 潜伏性. 破坏性,3、网络病毒的主要来源和特征(1)、常见的网络病毒主要采用多种传播途径：第1，通过FTP下载的文件进行传播；第2，通过用户收发的电子邮件进行传播；第3，通过网络用户的软盘或其他活动介质进行传播。,(2)、网络病毒除了具有计算机病毒的基本特征外，还具有如下特征： 传染方式多样； 传染速度快； 清除难度大； 破坏性强； 网络病毒还具有可激发性和潜在性。,
14、11.4.2 网络计算机病毒的防治技术在实际中，除了应用网络总体的安全策略和安全技术之外，最主要的防治技术是使用网络防病毒软件。1、网络中常用的防病毒措施从服务器和工作站两个方面着手2、网络防病毒软件的基本功能网络防病毒软件的基本功能是： 对服务器或工作站进行查毒、检查、隔离和报警，发现病毒时，由网络管理员负责清除。,11.5 NOS中的安全体系,1、文件和目录的安全性网络中最主要的资源就是文件和目录。因此，所有OS的访问控制机制的安全特性都取决于目录和文件的安全性。(1)、通过共享许可(权限)保护网络资源. 共享的基本概念：共享是一种开放共享资源的操作，而所开放的目录资源就被称为共享目录。,
15、. 共享许可(权限)：共享许可：在共享许可情况下，用户可以通过共享目录(文件夹)来访问网络的程序、数据和用户的宿主文件夹，但不能对目录下的文件具有单独和特定的权限。它只适用于文件夹。此外，当用户从本地登录访问资源时，共享目录设置的权限(许可)是无效的。共享许可使用的目的：*避免网络中的每个用户都安装同样的文件和目录； *是将安全性运用于网络的共享资源上。, 在FAT和FAT32分区上，“共享许可”是使得网络资源获得安全性的惟一方法；在NTFS分区上，可以通过“共享权限”与“文件许可和目录许可”（NTFS权限）两种途径来对网络中的文件和目录资源进行保护。 (2)、共享目录许可(权限)的类型有4种
16、：由高到低依次为：完全控制、更改、读取与拒绝访问。,用户的共享权限,2、用户和组的共享许可要控制用户对共享目录的访问，就要给用户分配共享目录的访问权限。 获得某个目录使用权限的方法：(1)、一个用户可以直接获得某个目录的使用权限；(2)、用户可以作为组的成员获得该目录的使用权限。一般情况下，用户对某个资源的有效权限为用户权限和组权限的组合，即取用户和组权限中的较高权限。,注意：“拒绝访问”权限是个例外，因为，“拒绝访问”权限总会覆盖掉其他权限。 3、共享目录的权限的应用: P282(1)、创建共享目录在共享名后加一个$可以创建一个隐藏的共享目录。例：C$,特殊共享的说明： 是专供管理员和系统使
17、用的，由系统自动完成； 是由内部的访问控制表来保护的； $符号是使共享隐藏，在浏览“网上邻居”中是不会出现，但可以输入共享名来访问；若想创建隐藏的共享，只需在共享名之后加上$符号就可以了； 通常不要删除或修改特殊共享。,4、通过NTFS权限保护网络资源. NTFS许可(权限)。NTFS许可NTFS许可(权限)就是只能在NTFS文件系统分区上使用的权限。适用于对特定对象如目录和文件(只适用于NTFS卷)的操作。使用NTFS权限(许可)的目的共享许可只能控制网络资源的访问，而不能阻止从本地登录时对硬盘的任何操作。 NTFS许可类型可以按文件和目录许可分为两大类，即文件许可和目录许可两类。,.文件许
18、可：用于控制对文件的访问，又分为标准文件许可和特殊访问文件许可。 标准文件许可的类型：拒绝访问(None)、读取(RX)、更改(RWXD)和完全控制(All) 4种。 特殊访问文件许可的类型：读取(R)、写入(W)、执行(X)、删除(D)、更改许可权(P)和获得所有权(O) 6种。,R显示文件数据、属性、所有者和许可； X运行文件； W写文件； D删除文件； P改变文件许可； O获得文件许可。,文件许可权限,拒绝访问(None)、读取(RX)、更改(RWXD)和完全控制(All),.目录许可：用于控制对NTFS分区中各目录的访问，又分为标准目录许可和特殊访问目录许可。标准目录许可的类型(文件和
19、目录的访问权利)：拒绝访问、列表(RX和未指定)、读取(RX和RX)、添加(WX和未指定)、添加与读取(RWX和RX)、更改(RWXD和RWXD)和完全控制(All) 7种。,目录许可权限,特殊访问目录许可的类型：完全控制(All)、读取(R)、写入(W)、执行(X)、删除(D)、更改许可权(P)和获得所有权(O) 7种。,R显示目录数据、属性、所有者和许可； X在目录中运行(执行)文件； W在目录创建新文件，改变目录属性； D在目录中删除文件； P改变目录许可； O获得目录所有权。,如果对目录有Execute(X)权限，则表示可以穿越目录，进入其子目录。FAT文件卷只有共享权限，无许可权限。
20、,5、Windows 2000网络用户的最终有效权(补充知识)由于可以给每个用户账号与组账号指派不同的权限，因此针对某个资源，可能某个用户同时被指派了多个权限。例如，如果用户A与SALES组和MANAGER组都分别被指派了不同的NTFS权限，那么用户A的最后有效权限是什么呢？下面针对有效权限加以说明。,(1)、权限是有累加性的用户对某个资源的有效权是其所有权限来源的总和。例如，下表中若用户A同时属于SALES和MANAGER组，并且其权限分别如表所示，则用户A最后的有效权为这三个用户权限的总和，也就是“写入+读取+运行”，事实上这个权限就是“更改”所具备的权限。,(2)、“拒绝”权限会覆盖其他
21、所有权限虽然用户对某个资源的有效权限是其所有权限来源的总和，但是只要其中有一个权限被拒绝访问，则用户最后的有效权将是无法访问此资源。例如，在下表中，若用户A同时属于SALES和MANAGER组，并且其权限分别如表所示，则用户A最后的有效权为“拒绝”。,(3)、文件权限会覆盖目录的权限如果针对某个目录设置了NTFS权限，同时也对该目录内的文件设置了NTFS权限，则以文件的权限设置优先。以C:TESTReadme.txt为例来说明，若用户A对C:TEST目录的权限为“拒绝访问”，但是却对其中的Readme.txt文件具有“读取”的权限，则其仍然可以读取该文件。既然连目录TEST都无法访问，如何能够
22、看到其中的Readme.txt文件，又如何能够读取Readme.txt的内容呢？一般用户可通过完整的路径来访问，例如C:TESTReadme.txt。,(4)、从父目录继承的权限不能修改如果某个用户对某个目录或文件的权限是从父目录的权限继承来的，则该用户对该目录或文件的权限无法修改，除非把该用户对该目录或文件的权限的选项“允许将来自父系的可继承权限传播给该对象”去掉。,(5)、文件和目录的所有权在Windows NT/2000的NTFS中，每个文件和目录独有其“所有者”。系统创建文件或目录时的用户，就是该文件或目录的所有者。不论对该文件或目录的权限是什么，文件和目录的所有者永远具有更改文件或目
23、录权限的能力。,(6)、复制后的新文件或目录权限有可能改变对于NTFS磁盘分区内的文件或目录，从某个目录复制或移动文件到另一个目录后，其权限的设置变化根据以下情况而有所不同：.文件或目录从一个目录复制到另一个目录时，由于文件或目录的复制等于产生另一个新的文件或目录，因此，新的文件或目录的权限继承目的地的权限。例如，若对C:test.txt具有“读取”的权限，对目录C:Work具有“完全控制”的权限，则当test.txt被复制到C:Work目录中后，此新文件将具有“完全控制”的权限。,. 文件或目录从一个目录移动到另一个目录时，* 如果移动到同一磁盘分区的另一个目录中，则仍保持原来的权限；*如果
24、移动到另一个磁盘分区的目录中，则该文件或目录将继承目的地的权限；*将文件或目录移动或复制到目的地的用户将成为该文件的所有者；*如果将文件或目录从NTFS移动或复制到FAT或FAT32磁盘分区内，则原有的权限设置将被删除，因为FAT/FAT32不支持文件与目录NTFS权限的设置。,例：若某用户对C:readme.txt具有“读取”的权限，对目录C:Work具有“完全控制(RXWDPO)”的权限，对目录D:TC具有“更改(RXWD)”的权限，现将readme.txt复制到C:Work目录中，用户对此新文件具有什么权限？ 复制到D:TC目录呢？,“完全控制(RXWDPO)”的权限,“更改(RXWD)”的权限,作业： 1、名词解释计算机网络安全、防火墙、备份文件、网络病毒 2、建立防火墙的目的是什么？ 3、防火墙的作用是什么？ 4、防火墙的基本类型分为： 、 、。 5、常用备份文件的类型有哪些？ 6、常见的网络病毒主要采用哪些传播途径? 7、网络病毒的特征是什么？ 8、共享目录许可(权限)的类型有哪4种： 、 、 、 。,再 见,谢谢大家,
