計算機網(wǎng)絡第10章計算機網(wǎng)絡安全本章主要內容

影響網(wǎng)絡安全的因素可以采取的安全措施信息安全體系結構計算系統(tǒng)安全標準常用的安全技術防火墻技術影響網(wǎng)絡安全的因素內部因素：有一定級別權限的用戶有可能威脅網(wǎng)絡安全

外部威脅：外部的非法訪問和攻擊會威脅網(wǎng)絡安全

硬件安全：硬件本身可能會損壞，電壓、電流的突變，事故和災害的發(fā)生，日常的消耗和磨損影響網(wǎng)絡安全的因素軟件故障

：軟件故障或病毒發(fā)作而引起的程序出錯，軟件本身的缺陷，軟件被刪除、更改信息安全

：數(shù)據(jù)文件被刪除或丟失，數(shù)據(jù)被篡改、盜用，或者在傳輸過程中被竊取病毒的攻擊：病毒是一種影響廣泛的威脅，能通過網(wǎng)絡廣泛傳播，最終影響整個網(wǎng)絡的正常運行可以采取的安全措施

提高安全意識采用身份認證和控制訪問使用防火墻采用信息加密技術做好故障恢復和網(wǎng)絡數(shù)據(jù)備份工作做好硬件設備的防泄漏處理信息安全體系結構1989年2月15日，頒布基于OSI參考模型的七層協(xié)議之上的信息安全體系結構標準ISO7498-2。內容主要包括：五類安全服務：保密性、完整性、鑒別、訪問控制、抗否認。八類安全機制：加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整性、鑒別交換、業(yè)務流填充、路由控制、公證）。1991年，頒布了OSI安全管理標準ITUX.800。計算系統(tǒng)安全標準“桔皮書”（美國國防部委托計算機系統(tǒng)評價規(guī)范說明書）用途是提供專門的硬件、固件和軟件的安全規(guī)范和有關的技術評價方法，來支持綜合自動數(shù)據(jù)處理系統(tǒng)的安全模型策略。

“桔皮書”把安全標準分為：A、B、C、D四級“紅皮書”是美國家計算機安全中心發(fā)表的“可信計算機系統(tǒng)評價規(guī)范的可信網(wǎng)絡描述”?！凹t皮書”是解釋“桔皮書”的一個手冊，將C2規(guī)范的各個方面都從網(wǎng)絡角度加以描述，惟一重要的不同的是規(guī)定了網(wǎng)絡發(fā)起人的作用。常用的安全技術VPN虛擬專用網(wǎng)防火墻防病毒入侵檢測包過濾10.4防火墻技術防火墻：防火墻是在內部網(wǎng)與外部網(wǎng)之間實施安全防范的系統(tǒng)，用于確定哪些內部資源允許外部訪問，以及允許哪些內部網(wǎng)用戶訪問哪些外部資源及服務。防火墻的優(yōu)缺點防火墻的優(yōu)點允許網(wǎng)絡管理員在網(wǎng)絡中定義一個控制點，將內部網(wǎng)絡與外部網(wǎng)絡隔開；審查和記錄Internet使用情況的最佳點；設置網(wǎng)絡地址翻譯器（NAT）的最佳位置；作為向客戶或其他外部伙伴發(fā)送信息的中心聯(lián)系點；防火墻的局限性不能防范不經(jīng)過防火墻的攻擊；不能防范由于內部的威脅；不能防止病毒攻擊；很難防止數(shù)據(jù)驅動式攻擊；防火墻策略網(wǎng)絡服務訪問策略一種高層次、具體到事件的策略，用于定義網(wǎng)絡中允許的或禁止的網(wǎng)絡服務，且包括對撥號訪問等連接的限制防火墻設計策略針對具體的規(guī)則來實施的網(wǎng)絡服務訪問策略。防火墻一般執(zhí)行下面兩種基本設計策略中的一種

未禁止的都是允許的服務未允許的都是禁止的服務防火墻的種類和應用包過濾防火墻

能夠根據(jù)單個包的TCP、UDP、ICMP、IP報頭來決定允許或拒絕通信它審查每一個數(shù)據(jù)包以確定其是否與某一條包過濾規(guī)則匹配可以綜合考慮通信流量的方向、IP源地址和目的地址、以及TCP或UDP的源端口號和目的端口號代理服務器上安裝有特殊用途的特別應用程序，被稱為代理服務或代理服務器程序。使用代理服務后，各種服務不再直接通過防火墻轉發(fā)，對應用數(shù)據(jù)的轉發(fā)取決于代理服務器的配置：只支持一個應用程序的特定功能，同時拒絕所有其他功能；支持所有的功能，比如同時支持WWW、FTP、Telnet、SMTP和DNS等。

代理服務器防火墻

屏蔽主機防火墻將所有的外部主機與一臺堡壘主機相連接，再設置一個過濾路由器作為橋梁提供的安全等級比包過濾防火墻系統(tǒng)要高實現(xiàn)了網(wǎng)絡層安全（包過濾）和應用層安全（代理服務）屏蔽子網(wǎng)防火墻屏蔽子網(wǎng)本質上與屏蔽主機一樣，但增加了周邊網(wǎng)絡一層保護周邊網(wǎng)絡用了兩個包過濾路由器和一臺堡壘主機