计算机网络安全.ppt

1、计算机网络安全,南京农业大学2004.2,提纲,1，网络安全概况 2，网络安全工具简述 3，平台和安全 4，操作系统安全管理 5，Windows2000安全 6，网络扫描技术 7，浏览器安全,提纲,8，恶作剧程序与安全 9，网络攻击与防范(黑客、木马） 10，入侵检测与响应 11，防火墙技术 12，数据安全 13，安全防范技术,课程安排,课堂授课（占3/5）1-3周，第3周后逢单上课上机实习（占2/5)从第4周始，逢双上机如有调整，另行通知,网络安全概述,什么是计算机信息系统安全 计算机安全的基本要求 网络安全应考虑的一般原则 侵袭的类型 计算机安全的衡量指标 安全对策 安全级别的划分 相关概

2、念,什么是计算机信息系统安全,计算机信息系统安全是指计算机系统的硬件、软件、数据受到保护，不因偶然的或恶意的原因而遭到破坏、更改、显露，系统连续正常运行。 我们要保护的：计算机系统的硬件、软件、数据； 我们需要的：稳定而合乎要求的运行环境； 我们要防止的：因偶然的或恶意的原因而遭到破坏、更改、显露； 我们的目标：系统能连续正常运行。,计算机安全的基本要求,安全保密(Secrecy/Confidentiality)安全保密是指防止对信息的非授权访问。这也许是信息安全最重要的要求。 完整性(Integrity)/精确性(Accuracy完整性是指信息在存储或传输过程中不被破坏、不丢失、或不被未经授

3、权的恶意的或偶然的修改。 可用性(Availability)可用性是指计算机系统的硬件和软件保持有效的运行，并且系统在发生灾难时能够快速完全的恢复。,网络安全应考虑的一般原则,需求、风险、代价平衡分析的原则 综合性、整体性原则 一致性原则 易操作性原则 适应性、灵活性原则 可评价性原则,侵袭的类型,入侵：侵袭者通过非法途径进入计算机系统，向合法用户一样使用计算机。如盗用口令、使用系统后门。 拒绝服务：是一种旨在彻底地阻止用户合法使用自己的计算机资源的一种侵袭。如邮件炸弹、TCP SYN淹没等。 盗窃信息：偷盗有用的数据信息。,计算机安全的衡量指标,脆弱点（vulnerability）：脆弱点是

4、系统中容易被攻击的地方。 威胁（threat）：威胁是系统可能的的危险，危险可能是利用系统弱点的人（系统破坏者和间谍）、事（不完善的设备）和事件（火灾和洪水）。 对策（countermeasure）：对策是保护系统的技术。,物理：大楼和机房。锁、门卫和生物测定设备（如指纹、声波纹、签名）可以提供重要的第一道防线以防止侵入。 自然：自然灾难和环境威胁。如火灾、洪水、地震、灰尘、湿度等。 硬件和软件：硬件故障、软件错误、以及硬件连接不正确和软件安装不正确等。 媒体：磁盘、磁带和打印品可能被偷和毁坏等。 辐射：电子设备发射的电信号和电磁辐射可能被破译。 通信：信息被截取、错投和伪造等，通信线路被分接

5、、破坏等。 人：系统管理员没有被培训、或犯罪等。,威胁,自然和物理威胁：使每一个物理设备处于危险中的威胁，如火灾、洪水、电力故障以及其它灾难。 无意的威胁：因无知带来的危险。 有意的威胁：这就是安全产品极力防止的危险，它来自两个方面：外部人士与内部人员。,对策,计算机安全：保护存放在计算机系统中信息的安全。计算机安全主要关心控制系统及系统中数据的访问权限的操作系统特征。 通信安全：保护信息通过电话、电缆、微波、卫星等传输时的安全。通信安全主要关心对计算机系统的网络访问，和增进连接到外部世界的系统的安全的技术。 物理安全：保护物理计算机设备不受自然灾难和入侵者破坏。物理安全方法包括传统的锁和钥匙

6、，以及先进的技术，如智能卡和生物测定设备。,安全对策,避免(Avoidance) 转移(Transfer) 减少威胁(Reduction of Threat) 减少脆弱点(Reduction of Vulnerability) 实时发现(Real-time Detection) 非实时发现(Non-real-time Detection) 减少影响(Reduction of Impact) 实时恢复(Real-time Recovery) 非实时恢复(Non-real-time Recovery),安全级别的划分,NCSC（National Computer Security Center）领

7、导着计算机和网络安全的研究工作，研制计算机安全技术标准，它在1983年提出了“可信计算机系统评测标准”(TCSEC-Trusted Computer System Evaluation Criteria)，规定了安全计算机的基本准则。1987年又发布了“可用网络说明”(TNI-Trusted Network Interpretation)，规定了一个安全网络的基本准则，根据不同的安全强度要求，将网络分为四级安全模型。在TCSEC准则中将计算机系统的安全分为了四大类，依次为D、C、B和A，A是最高的一类，每一类都代表一个保护敏感信息的评判准则，并且一类比一类严格。,安全级别的划分,D类：最小的保

8、护。这是最低的一类，不再分级，这类是那些通过评测但达不到较高级别安全要求的系统。早期商用系统属于这一类。 C类：无条件的保护。C类提供的无条件的保护也就是“需要则知道”(need-to-known)的保护，又分两个子类。 C1：无条件的安全保护。这是C类中较低的一个子类，提供的安全策略是无条件的访问控制，具有识别与授权的责任。早期的UNIX系统属于这一类。 C2：有控制的存取保护。这是C类中较高的一个子类，除了提供C1中的策略与责任外，还有访问保护和审计跟踪功能。如SCO UNIX。,安全级别的划分,B类：属强制保护，要求系统在其生成的数据结构中带有标记，并要求提供对数据流的监视，B类又分三个

9、子类： B1：标记安全保护，是B类中的最低子类，除满足C类要求外，要求提供数据标记。 B2：结构安全保护，是B类中的中间子类，除满足B1要求外，要实行强制性的控制。 B3：安全域保护，是B类中的最高子类，提供可信设备的管理和恢复，即使计算机崩溃，也不会泄露系统信息。,安全级别的划分,A类：经过验证的保护，是安全系统等级的最高类，这类系统可建立在具有结构、规范和信息流密闭的形式模型基础之上。 A1：经过验证保护。TCSEC共定义了四类7级可信计算机系统准则，银行界一般都使用满足C2级或更高的计算机系统。,为什么网络安全变得非常重要,为什么网络安全变得非常重要 进行网络攻击变得越来越简单 越来越多

10、的个人或公司连入Internet 并不是所有的用户都具有基本的安全知识,造成安全缺陷的两个最普遍的原因,受入侵主机的错误配置 安全缺陷的主要原因是受入侵主机的错误配置。大多数操作系统都处于一种不可靠的状态中。可以归纳为：安装软件不可靠性的主动状态和被动状态。,受入侵主机的错误配置,主动状态 当某些网络应用在使能的时候就会产生安全方面的危险。在许多软件安装的时候，这些应用选项都是使能的，这种危险将持续到系统管理员关掉或者正确配置该应用为止。 管理员往往不知道系统中有这种应用！,受入侵主机的错误配置,主动状态 在被安装软件不可靠性的主动状态中，用户不知道某个网络应用程序能被使能。这些程序一旦被使能

11、，就产生了大量的安全漏洞。当以这种方式配置的机器连到网络上时，“入侵”的事件就会发生。,受入侵主机的错误配置,主动状态 解决不可靠问题的方法就是关掉（或者正确）配置那些会犯错误的程序或服务。 常见的主动状态不可靠问题的例子有： 网络打印服务程序 文件共享服务程序 缺省口令 联网程序实例,受入侵主机的错误配置,被动状态 被动状态涉及具有安全程序的操作系统。这些安全程序再使能状态下很有用，但是如果系统管理远不激活它们的话，它们将毫无用处。 安全程序要占用更多的资源，给用户更多的限制。 必须根据网络数据的敏感性，依靠可行的安全度量方法去权衡利弊。,受入侵主机的错误配置,软件中不可靠的主动和被动状态都

12、源于用户知识的不足。 系统本身的缺陷或销售商的反应能力不强 系统缺陷是指程序中能够引起程序出现如下问题的任何因素： 工作不正常（在一般和特殊情况下） 别入侵者利用，去破坏或获得系统控制的弱点（或不正确的操作）,受入侵主机的错误配置,系统缺陷 “纯”缺陷：它存在安全结构本身，是与安全相关的程序内部所固有的缺陷。利用它，入侵者可以轻松的获得对一个系统或其数据的非法访问。 程序中产生的所有完全与安全性无关的缺陷，但却在系统的某处打开一个安全缺口。简单地说，程序员负责完成程序的功能，但并没有负责安全性。,受入侵主机的错误配置,系统缺陷 对Internet领域来说，这两种缺陷都是及其危险的，因为它们经常

13、出现于常用的基本程序中。这些关键的应用程序形成了Internet的核心，即使它们存在安全缺陷，也不可能马上放弃不用。,受入侵主机的错误配置,销售商的反应能力 有时并不可能立刻得到安全修正 有问题的应用程序与操作系统内部联系很多 有问题的应用程序使用广泛，或是一种标准 有问题的应用程序是第三方软件，并且第三方提供的支持很少，或已不再从事这方面的业务，或已找不到它们了。 对自己的网络应用、漏洞及“补丁”很了解的用户对“入侵”防备的很好，而那些不具备这些知识的用户就可能成为“牺牲品”。,黑客和入侵者,黑客和入侵者的区别 “黑客”（Hacker）指对于任何计算机操作系统奥秘都有强烈兴趣的人。“黑客”大

14、都是程序员，他们具有操作系统和变成语言方面的高级知识，知道系统中的漏洞及其原因所在；他们不断追求更深的知识，并公开他们的发现，与其他分享；并且从来没有破坏数据的企图。,黑客和入侵者,“入侵者”（Cracker）是指坏着不良企图，闯入甚至破坏远程机器系统完整性的人。“入侵者”利用获得的非法访问权，破坏重要数据，拒绝合法用户服务请求，或为了自己的目的制造麻烦。“入侵者”很容易识别，因为他们的目的是恶意的。,黑客和入侵者,Randal Schwartz 对Perl语言有巨大的贡献，也许仅次于Perl语言的创造者Larry Wall。他写的Learning Perl是学习Perl的经典书籍。 1993

15、年秋天，Schwartz担任Intel公司网络安全顾问，他承担了完成某些安全程序。 1993年10月28日，Intel公司的另一个系统管理员注意到，他控制下的一台机器正在运行一些负载很重的程序。 通过检查这些程序，系统管理员断定运行的程序是入侵程序，常用于破解Intel公司和至少另一家公司的网络口令。,黑客和入侵者,进一步的调查证明这个程序是由Schwartz或是用他的登录名的某个人运行的。 管理员从上级部门得到证实，Schwartz并没有授权破解Intel公司这个网络口令。 1993年11月1日，Schwartz的家被依法搜查，Schwartz被逮捕。,为什么存在“入侵者”,Phreaker

16、（电话耗子） Red box: 模拟钱币投入电话的声音 Blue box: 在电话干线加入2600MHz信号 Daygle box:允许用户连接和利用邻近的电话线。 Aque box:可以消耗线路电压 ,为什么存在“入侵者”,1988年11月3日，第一个“蠕虫”被放到了Internet上。 在几小时之内，数千台机器被传染，Internet陷入瘫痪。 “蠕虫”的作者Robert Morris J.r被判有罪，接受三年监护并被罚款。,为什么存在“入侵者”,“Morris蠕虫”的出现改变了许多人对Internet安全性的看法。一个单纯的程序有效地摧毁了数百台（或数千台）机器，那一天标志着Intern

17、et安全性研究的开始。,“黑客”,Richard Stallman GNU计划的创始人 Dennis Richie、Ken Thompson and Brian Kernighan Unix和C语言的开发者 Linus Torvalds Linux Kernel开发者,“入侵者”,Kevin Mitink 从电话耗子开始，入侵过军事、金融、软件公司和其他技术公司。已经获释。 Justin Tanner Peterson 在试图获得6位数的欺骗性电汇时被捕。,究竟谁会被侵入,“被侵入”的含义 “被侵入”指的是网络遭受非法闯入的情况。 入侵者只获得访问权 入侵者获得访问权，并毁坏、侵蚀或改变数据。

18、 入侵者获得访问权，并捕获系统一部分或整个系统的控制权，拒绝拥有特权的用户的访问。 入侵者没有获得访问权，而是用不良的程序，引起网络持久性或暂时性的运行失败、重新启动、挂起或者其他无法操作的状态。,究竟谁会被侵入,政府 公司 Quake 1.0源代码泄漏 公众,究竟谁会被侵入,Kevin Mitink Mitink曾经侵入的一些目标： Pacific Bell 一个加利福尼亚的电话公司 The California Department of Motor Vehices 一个Pentagon系统 The Santa Cruz Operation 一个软件销售商 Digital Equipmen

19、t Corporation TRW,究竟谁会被侵入,1994年12月25日，Mitink侵入了Tsutomu Shimomura，一位San Diego超级计算中心的安全专家的计算机网络，接着是持续数月的网络瘫痪。 侵入的目标是一位安全专家，他编写的特殊安全工具对公众是保密的。 闯入使用的方法及其复杂，引起了安全界的轰动。 Mitink被Shimomura和FBI逮捕。,理解Internet领域,Internet为什么不安全 Internet的设计思想 专用主义 技术泄密,理解Internet领域,Internet的设计思想 开放式、流动的和可访问 异构的网络 多数应用是客户机/服务器模式 网

20、络允许部分匿名用户,理解Internet领域,专用主义 ActiveX 应该进行安全检查的语言： JavaScript VBScript ActiveX,理解Internet领域,技术泄密 普通用户可以得到各种攻击工具,理解Internet领域,TCP/IP的简短回顾 什么是TCP/IP TCP/IP指的是应用于Internet上的两个网络协议（或称数据传输方法），它们是传输控制协议和网络互连协议。这些协议属于一个大的协议集，或者说一个协议族，它们统称为TCP/IP协议族。,理解Internet领域,网络层协议 管理数据传输的具体结构，这些协议对于用户一般是不可见的。 应用层协议 对用户是可见

21、的。比如ftp协议。,理解Internet领域,TCP/IP的发展历史 1961：UCLA的Leonard Kleinrock发表了第一篇关于包交换的论文。 1962：ARPA的计算机规划开始实施。 1965： Larry Roberts完成了第一个实际环境的网络试验，从Lincoln Labs（现在是MIT的一部分）到SDC的Q32。 1966-67：ARPAnet规划开始实施。 1968： BBN的Bob Karn领导的小组完成了第一个Interface Message Processor（IMP），就是后来我们说的路由器。,理解Internet领域,1969：第一篇RFC完成。 1970

22、：ARPAnet在美国扩展到了10个界点。 1972：Email,ftp发明。 1973：Xerox的Bob Metcalfe设计了以太网。 1974：Vint Cerf & Kahn实现了第一版的TCP，ARPAnet的路由进行了调整。 1977-1978：TCP分裂成TCP和IP。 1980-1983：ARPAnet被分成了ARPAnet和MILNET，并且开始向大学提供廉价的软件。NSF建立了CSNET网用于连接各个大学的计算机系。,理解Internet领域,1983： UC Berkeley和BBN把TCP/IP集成进了UNIX 4.2 BSD。 Berkeley开发了网络工具和套接字

23、API。 1985-1987：分散域名和地址。NFS让地区性的网络通过一个主干网NFSnet连接到ARPAnet。 1987-1990：商业公司开始介入Internet。EBONE（欧洲）和NFSnet相连。 Van Jacobson增强了TCP来解决拥塞问题。 1990-1993： Van Jacobson在IETF开始了组播和IPv6的研究工作。 Marc Andresson 完成了第一版Mosaic浏览器。,理解Internet领域,1993-现在：Internet保持着幂指数增长。NFSnet私有化。ATM和千兆以太网的出现给Internet带来新的发展。Internet已经可以通过电

24、话线、有线电视、电缆等接入家庭。ISPs，电子商务，网络安全，虚拟公司等已经成为人们聊天的话题。,理解Internet领域,1983： UC Berkeley和BBN把TCP/IP集成进了UNIX 4.2 BSD。 Berkeley开发了网络工具和套接字API。 1985-1987：分散域名和地址。NFS让地区性的网络通过一个主干网NFSnet连接到ARPAnet。 1987-1990：商业公司开始介入Internet。EBONE（欧洲）和NFSnet相连。 Van Jacobson增强了TCP来解决拥塞问题。 1990-1993： Van Jacobson在IETF开始了组播和IPv6的研究工作。 Marc Andresson 完成了第一版Mosaic浏览器。,理解Internet领域,TCP/IP如何工作,TCP/IP,OSI,NetWare,理解Internet领域,各个协议 网络层协议 地址解析协议 网络互连控制报文协议 网络互连协议 传输控制协议 Inetd 端口,理解Internet领域,Telnet FTP SMTP HTTP,