信息平安根底知識目錄信息平安概述信息平安風險黑客攻擊協議層平安平安體系架構平安技術和產品一些平安建議信息平安概述信息技術及其應用的開展A、通信--電報/B、計算機C、網絡D、網絡化社會的崛起--社會技術系統(人—網系統)什么是信息？ISO17799中的描述“Informationisanassetwhich,likeotherimportantbusinessassets,hasvaluetoanorganizationandconsequentlyneedstobesuitablyprotected.〞“Informationcanexistinmanyforms.Itcanbeprintedorwrittenonpaper,storedelectronically,transmittedbypostorusingelectronicmeans,shownonfilms,orspokeninconversation.強調信息：是一種資產同其它重要的商業資產一樣對組織具有價值需要適當的保護以各種形式存在：紙、電子、影片、交談等信息系統是有目的、和諧地處理信息的主要工具，它把所有形態〔原始數據、已分析的數據、知識和專家經驗〕和所有形式〔文字、視頻和聲音〕的信息進行收集、組織、存儲、處理和顯示。——?大英百科全書?信息系統的概念信息平安的定義平安的定義根本含義：客觀上不受威脅；主觀上不存在恐懼。一種能夠識別和消除不平安因素的能力，是一個持續的過程。信息平安的定義狹義：具體的信息技術體系或某一特定信息系統的平安。廣義：一個國家的社會信息化狀態不受外來的威脅和傷害，一個國家的信息技術體系不受外來的威脅和侵害。ISO的定義：為數據處理系統建立和采取的技術和管理的平安保護，保護計算機硬件、軟件、數據不因偶然和惡意的原因而遭到破壞、更改和顯露。從歷史看信息平安通信保密〔ComSEC〕計算機平安〔CompSEC〕信息平安〔INFOSEC〕信息保障〔IA〕第一階段：通信保密上世紀40年代－70年代重點是通過密碼技術解決通信保密問題，保證數據的保密性與完整性主要平安威脅是搭線竊聽、密碼學分析主要保護措施是加密重要標志1949年Shannon發表的?保密系統的通信理論?1977年美國國家標準局公布的數據加密標準〔DES〕1976年由Diffie與Hellman在“NewDirectionsinCryptography〞一文中提出了公鑰密碼體制第二階段：計算機平安上世紀70－80年代重點是確保計算機系統中硬件、軟件及正在處理、存儲、傳輸信息的機密性、完整性主要平安威脅擴展到非法訪問、惡意代碼、脆弱口令等主要保護措施是平安操作系統設計技術〔TCB〕主要標志是1985年美國國防部〔DoD〕公布的可信計算機系統評估準那么〔TCSEC，橘皮書〕將操作系統的平安級別分為四類七個級別〔D、C1、C2、B1、B2、B3、A1〕，后補充紅皮書TNI〔1987〕和紫皮書TDI〔1991〕等，構成彩虹〔Rainbow〕系列。級別描述D最低的級別。如MS-DOS，沒有安全性可言C1靈活的安全保護。系統不需要區分用戶。可提供基本的訪問控制。如目前常用的各種通用操作系統。C2靈活的訪問安全性。系統不僅要識別用戶還要考慮唯一性。系統級的保護主要存在于資源、數據、文件和操作上。如WindowsNT3.5/4.0、DigitalUNIX、OpenVMS。B1標記安全保護。系統提供更多的保護措施，包括各種的安全級別。如AT&T的SYSTEMV、UNIXwithMLS，以及IBMMVS/ESA。B2結構化保護。支持硬件保護。內容區被虛擬分割并嚴格保護。如TrustedXENIX和HoneywellMULTICS。B3安全域。支持數據隱藏和分層，可以阻止層之間的交互。如HoneywellXTS-200。A校驗級設計。需要嚴格的準確證明系統不會被傷害，而且提供所有低級別的因素。如HoneywellSCOMP。操作系統平安級別第三階段：信息平安上世紀80-90年代重點需要保護信息，確保信息在存儲、處理、傳輸過程中及信息系統不被破壞，確保合法用戶的效勞和限制非授權用戶的效勞，以及必要的防御攻擊的措施。強調信息的保密性、完整性、可控性、可用性等主要平安威脅開展到網絡入侵、病毒破壞、信息對抗的攻擊等主要保護措施包括防火墻、防病毒軟件、漏洞掃描、入侵檢測、PKI、VPN、平安管理等主要標志是提出了新的平安評估準那么CC〔ISO15408、GB/T18336〕信息平安的主要內容平安保障內容平安運行平安數據平安設備平安信息系統平安管理信息平安的層次框架體系層次層面目標安全屬性威脅保護手段系統安全設備安全對網絡與信息系統的硬件設施的保護。機密性、可用性、完整性、可靠性電磁泄露、通信干擾、信號注入、人為破壞、自然災害、設備故障加擾處理、電磁屏蔽、數據校驗、容錯、冗余、系統備份運行安全對網絡與信息系統的運行過程和運行狀態的保護。真實性、可控性、可用性、可審查性、可靠性非法使用資源、系統安全漏洞利用、網絡阻塞、網絡病毒、越權訪問、非法控制系統、黑客攻擊、拒絕服務攻擊、軟件質量差、系統崩潰防火墻與物理隔離、風險分析與漏洞掃描、應急響應、病毒防治、訪問控制、安全審計、入侵檢測、源路由過濾、降級使用、數據備份信息安全數據安全在數據收集、處理、存儲、檢索、傳輸、交換、顯示、擴散等過程中保障信息依據授權使用，不被非法冒充、竊取、篡改、抵賴。機密性、真實性、完整性、不可否認性竊取、偽造、密鑰截獲、篡改、冒充、抵賴、攻擊密鑰加密、認證、非對稱密鑰、完整性驗證、鑒別、數字簽名、秘密共享內容安全對信息在網絡內流動中的選擇性阻斷，以保證信息流動的可控能力。機密性、真實性、可控性、可用性、完整性、可靠性可對系統造成威脅的腳本病毒；因無限制擴散而導致消耗用戶資源的垃圾類郵件；導致社會不穩定的有害信息，等等密文解析或形態解析、流動信息的裁剪、信息的阻斷、信息的替換、信息的過濾、系統的控制第四階段：信息保障上世紀90年代后期“確保信息和信息系統的可用性、完整性、可認證性、保密性和不可否認性的保護和防范活動。它包括了以綜合保護、檢測、反響能力來提供信息系統的恢復。〞——1996年美國國防部〔DoD〕國防部令S-3600.1典型標志為美國國家平安局制定的?信息保障技術框架?〔IATF〕。保護網絡和根底設施主干網絡的可用性無線網絡平安框架系統互連和虛擬私有網〔VPN〕信息保障技術框架〔IATF〕保護網絡邊界登錄保護網絡遠程訪問多級平安保護計算環境終端用戶環境系統應用程序的平安支撐性根底設施密鑰管理根底設施/公共密鑰根底設施〔KMI/PKI〕檢測和響應本地計算環境本地計算環境本地計算環境viaTSPviaTSP

ViaTSPViaTSP有密級的網絡專用網電信供應商公共網絡INTERNET公共電話網遠程訪問保護（加密器）邊界保護（防火墻等）邊界區域支持性基礎設施1、檢測與響應2、密鑰管理基礎設施、公鑰基礎設施通過電信供應商深層防御戰略的核心因素人技術操作深層防御戰略的技術模型——W“PDRR〞C一.對象〔兩個〕信息信息系統二.層面〔五個〕信息內容應用效勞局域計算環境邊界和外部連接根底設施三.信息狀態〔五個〕產生存儲處理傳輸消亡四.平安屬性〔八個+〕保密性〔Confidentiality〕完整性〔Integrity〕可用性〔Availability〕真實性或可認證性〔Authenticity〕不可否認性〔Non-repudiation〕可控性(Controllability)可審查性〔Accountability〕五.平安保障能力來源〔三個〕技術管理人六.信息保障的環節〔六個〕預警〔Warning〕保護〔Protect〕檢測〔Detect〕響應〔React〕恢復〔Restore〕還擊〔Counterattack〕可靠信息平安屬性根本屬性保密性-保證機密信息不會泄露給非授權的人或實體，或供其使用；完整性-防止信息被未經授權的篡改，保證真實的信息從真實的信源無失真地到達真實的信宿；可用性-保證信息及信息系統確實為授權使用者所用，防止由于計算機病毒或其它人為因素造成的系統拒絕效勞，或為敵手可用，信息系統能夠在規定的條件下和規定的時間內完成規定的功能。信息平安屬性其他屬性真實性-能對通訊實體身份的真實性進行鑒別；可控性-保證信息行為和過程均在信息主體的掌握和控制之下依照信息主體的意愿進行；可靠性-保證所傳輸的信息不屬于無用信息；不可否認性-建立有效的責任機制，防止實體否認其行為；可審查性-對出現的網絡平安問題提供調查的依據和手段并可追蹤到唯一的行為實體；……信息保障技術環節預警〔Warning〕：根據以前掌握系統的脆弱性和了解當前的犯罪趨勢，預測未來可能受到的攻擊和危害。保護〔Protect〕：采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和不可否認性。檢測〔Detect〕：利用高技術提供的工具檢查系統存在的可能提供黑客攻擊、白領犯罪、病毒泛濫脆弱性。反響〔React〕：對危及平安的事件、行為、過程及時作出響應處理，杜絕危害的進一步蔓延擴大，力求系統尚能提供正常效勞。恢復〔Restore〕：一旦系統遭到破壞，盡快恢復系統功能，盡早提供正常的效勞。還擊〔Counterattack〕：利用高技術工具，提供犯罪分子犯罪的線索、犯罪依據，依法偵查犯罪分子處理犯罪案件，要求形成取證能力和打擊手段，依法打擊犯罪和網絡恐怖主義分子。實施平安保障的原那么沒有絕對的平安開放最少效勞提供最小權限原那么。平安需求平衡信息平安保障的問題就是平安的效用問題，在解決或預防信息平安問題時，要從經濟、技術、管理的可行性和有效性上做出權衡和取舍。防范缺乏會造成直接的損失；防范過多又會造成間接的損失。必須根據平安目標審查平安手段。過分繁雜的平安政策將導致比沒有平安政策還要低效的平安。需要考慮一下平安政策給合法用戶帶來的影響，在很多情況下如果用戶所感受到的不方便大于所產生的平安上的提高，那么執行的平安策略是實際降低了企業的平安有效性。信息平安的目的打不跨看不懂進不來拿不走改不了跑不了可審查信息平安的根底：風險管理風險管理：基于可接受的本錢，對影響信息系統的平安風險進行識別、控制、減小或消除的過程。信息平安對策必須以風險管理為根底：平安不必是完美無缺、面面俱到的。但風險必須是能夠管理的。最適宜的信息平安策略就是最優的風險管理對策，這是一個在有限資源前提下的最優選擇問題。風險管理體系ISO17799：信息平安管理實施細那么AS/NZS4360AS/NZS4360：風險管理標準GAO/AIMD98-68：信息平安管理實施指南信息平安風險信息平安風險的定義風險遭受損害或損失的可能性。平安風險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產損失或損害的可能性。〔ISO/IECTR13335-1:1996〕信息平安風險是指信息資產的保密性、完整性和可用性等平安屬性遭到破壞的可能性。信息平安風險只考慮那些對組織有負面影響的事件。風險的四要素資產及其價值威脅脆弱性現有的和方案的控制措施價值ISO13335以風險為核心的平安模型資產資產是任何對組織有價值的東西。信息也是一種資產，對組織具有價值。資產的分類電子信息資產紙介資產軟件資產物理資產人員效勞性資產公司形象和名譽主要的信息資產終端資源： 員工工作站 威脅:病毒,木馬,XActive,applet網絡資源： 路由器,交換機,線纜 威脅:IPspoofing,systemsnooping效勞器資源： DNS,WEB,Email,FTPserveretc 威脅:非授權訪問,效勞中斷,木馬信息存儲資源： 人力資源和電子商務數據庫 威脅:獲取商業機密或用戶數據威脅威脅是可能導致信息平安事故和組織信息資產損失的活動。威脅是利用脆弱性來造成后果。威脅舉例黑客入侵和攻擊病毒和其他惡意程序軟硬件故障人為誤操作自然災害如：地震、火災、爆炸等盜竊網絡監聽供電故障未授權訪問……脆弱性是與信息資產有關的弱點或平安隱患。脆弱性本身并不對資產構成危害，但是在一定條件得到滿足時，脆弱性會被威脅加以利用來對信息資產造成危害。舉例〔技術性和非技術性的〕：系統漏洞程序Bug后門系統沒有進行平安配置缺少審計物理環境不平安缺乏平安意識缺乏專業人員不良習慣……平安威脅物理層面：機房、設備間等的設備防盜，防毀機房、設備間的環境保障鏈路老化，人為破壞，被動物咬斷等網絡設備自身故障停電導致網絡設備無法工作電磁干擾和泄漏其他根本威脅：一〕非授權訪問：沒有經過同意，就使用網絡或計算機資源。如有意避開系統訪問控制機制，對網絡設備及資源進行非正常使用。2.擅自擴大權限，越權訪問信息。如假冒、身份攻擊、非法用戶進入網絡系統進行違法操作、合法用戶以未授權方式進行操作等。平安威脅根本威脅：二〕信息泄露：敏感數據在有意或無意中被泄漏出去。如信息在傳輸中喪失或泄漏〔電磁泄漏或搭線竊聽；對信息流向、流量、通信頻度和長度等參數的分析，推出有用信息；猜測用戶口令、帳號等重要信息。〕2.信息在存儲介質中喪失或泄漏。如通過建立隱蔽隧道等竊取敏感信息等。平安威脅根本威脅：三〕破壞數據完整性：以非法手段竊得對數據的使用權，刪除、修改、插入或重發某些重要信息，以取得有益于攻擊者的響應。惡意添加，修改數據，以干擾用戶的正常使用。平安威脅根本威脅：四〕拒絕效勞攻擊不斷對網絡效勞系統進行干擾，改變其正常的作業流程。執行無關程序使系統響應減慢甚至癱瘓，影響正常用戶的使用，甚至使合法用戶被排斥而不能進入計算機網絡系統或不能得到相應的效勞。平安威脅主要可實現的威脅：★假冒某個實體〔人或系統〕假裝成另外一個不同的實體。這是滲入某個平安防線的最為通用的方法。★旁路控制為了獲得未授權的權利和特權，某個攻擊者會開掘系統的缺陷或平安上的脆弱之處。★授權侵犯被授權以某一目的使用某一系統或資源的某個人，卻將此權限用于其它未授權目的，也稱作“內部威脅〞。★特洛伊木馬軟件中含有一個覺察不出的或無害的程序段，當它被執行時，會破壞用戶的平安性。★陷門在某個系統或某個文件中設置的“機關〞，使得當提供特定的輸入數據時，允許違反平安策略。平安威脅平安威脅潛在的威脅如果在某個給定環境對任何一種根本威脅或者主要的可實現威脅進行分析，我們就能夠發現某些特定的潛在威脅，而任意一種潛在威脅都可能導致一些更根本的威脅的發生。舉例★竊聽：信息從被監視的通信過程中泄露出去★業務流分析：通過對通信業務流模式〔有，無，數量，方向，頻率〕的分析來將信息泄露給非授權個體的一種情報信息竊取方法；★人員疏忽：作為主體的人因為疏忽大意而導致的信息泄露事件；★媒體清理：通過對數據所依賴的媒體的分析而獲得信息。黑客攻擊什么是黑客通過網絡,利用系統中的一些漏洞和缺陷,對計算機系統進行入侵的人hacker與cracker:HackerCracker,但對于群眾,hacker即cracker可能的攻擊者〔cracker〕計算機黑客〔hacker〕不滿或者被解雇的雇員極端危險的罪犯工業、企業間諜對攻擊技術好奇的人。。。攻擊的一般過程第一步：信息探測—尋找目標，獲取信息第二步：進入系統—獲得初始的訪問權限第三步：權限提升—獲得更/最高訪問權限第四步：深入攻擊—攻擊其他系統/擦除痕跡/留下后門第五步：拒絕效勞—入侵未成功那么造成拒絕效勞信息探測一般是入侵過程的開始，任何有頭腦的攻擊者在嘗試獲取訪問目標系統的特權之前，都要預先進行工作量可能不少的研究，如對網絡內部或外部進行有意或無意的可攻擊目標的搜尋〔踩點、掃描〕。信息探測的目的確定目標的IP或域名確定目標操作系統類型和版本確定目標系統提供的效勞——端口信息攻擊的一般過程1：信息探測信息探測的手法利用公開信息網絡拓撲發現〔如ping、traceroute、firewalk〕端口掃描〔如nmap〕遠程操作系統識別〔如bannergrab、nmapOS指紋鑒別〕SNMP掃描〔如snmputil〕漏洞掃描〔如Nessus、商業掃描器〕手工漏洞挖掘〔如SQL注入〕社會工程攻擊的一般過程1：信息探測tracerouteTraceroute使我們知道數據包由出發點〔source〕到達目的地(destination)所走的路徑。Traceroute通過發送小的數據包到目的設備直到其返回，來測量其需要多長時間。一條路徑上的每個設備Traceroute要測3次。輸出結果中包括每次測試的時間(ms)和設備的名稱〔如有的話〕及其IP地址。在UNIX系統下為

Traceroute，在Windows系統下為Tracerert。C:\>tracertTracingrouteto[5]

overamaximumof30hops:

1161ms150ms160ms7

2151ms160ms160ms5

3151ms160ms150ms70

4151ms150ms150ms0

5151ms150ms150ms

6151ms150ms150ms

7761ms761ms752msborder7-serial3-0-0.S[9]

8751ms751ms*core2-fddi-0.S[9]

9762ms771ms751msborder8-fddi-0.S[7]

10721ms*741ms[]

11*761ms751mspos4-2-155M.cr2.SNV.[37]

12771ms*771mspos1-0-2488M.hr8.SNV.[1]

13731ms741ms751msbas1r-ge3-0-hr8.snv.yahoo[2]

14781ms771ms781mswww10.yahoo[5]

Tracecomplete.

NMapNMap〔NetworkMapper〕是Linux下的網絡掃描和嗅探工具包。其根本功能有三個，一是探測一組主機是否在線；其次是掃描主機端口，嗅探所提供的網絡效勞；還可以推斷主機所用的操作系統。此外還可以將所有探測結果記錄到各種格式的日志中，供進一步分析操作。Nmap可用于掃描含有2個節點的LAN，直至500個節點以上的網絡。Nmap還允許用戶定制掃描技巧。通常，一個簡單的使用ICMP協議的ping操作可以滿足一般需求。

例如：適用于內外網的探測，以內網操作為例如(外網參數同)

簡單端口掃描：nmap-vv-sT(sS、sF、sU、sA〔-D偽造的地址)

OS檢測：nmap-vv-sS-O

RPC鑒別：nmap-sS-sRLinux上的portmap就是一個簡單的RPC效勞，監聽端口為111〔默認〕

Ping掃射：nmap-sPsnmp掃描SNMP〔SimpleNetworkManagementProtocol，簡單網絡管理協議〕是用于管理IP網絡上的結點的一種協議。幾乎所有的網絡設備和網絡操作系統都支持SNMP。communitystring〔社團字串〕是基于SNMP協議信息通信時使用的一種“查詢密碼〞，當使用特殊的客戶端應用程序，通過communitystring的驗證，將獲得對應的權限〔只讀或讀寫)對SNMP中管理信息庫〔MIB〕進行訪問。而管理信息庫〔MIB〕中那么保存了系統所有的重要信息。很多網絡設備廠商以及操作系統廠商，在初始狀態下，都使用統一的communitystring“public〞。Snmputil——命令行方式的SNMP掃描工具snmputilwalk對方ippublic...2.1.2列出系統進程snmputilwalk對方ippublic...列系統用戶列表snmputilget對方ippublic...4.1.0列出域名snmputilwalk對方ippublic...3.1.2列出安裝的軟件snmputilwalk對方ippublic..2.1.1列出系統信息漏洞掃描什么是漏洞掃描漏洞掃描是一種自動檢測遠程或本地主機平安性弱點的操作。通過使用掃描器你可以不留痕跡的發現遠程效勞器的各種TCP/UDP端口的分配、所提供的效勞及其軟件版本，能夠讓我們間接的或直觀的了解到遠程主機所存在的平安問題。Nessus是一款可以運行在Linux、BSD、Solaris以及其他一些系統上的遠程平安掃描軟件。它是多線程、基于插入式的軟件，擁有很好的圖形操作界面，能夠完成超過1200項的遠程平安檢查，具有強大的報告輸出能力，可以產生HTML、XML、LaTeX和ASCII文本等格式的平安報告，并且會為每一個發現的平安問題提出解決建議。攻擊者在進行信息探測后確定了在其知識范疇內比較容易實現的攻擊目標嘗試對象，然后開始對目標主機的技術或管理漏洞進行深入分析和驗證，試圖獲得系統的初始訪問權。攻擊者常用的手段主要是漏洞校驗和口令猜解，如：專用的CGI漏洞掃描工具、登錄口令破解等等。一般步驟：1.掃描目標主機。2.檢查開放的端口，獲得效勞軟件及版本。3.檢查效勞是否存在漏洞，如果是，利用該漏洞遠程進入系統。4.檢查效勞軟件是否存在脆弱帳號或密碼，如果是，利用其進入系統。5.效勞軟件是否泄露系統敏感信息，如果是，檢查能否利用。6.掃描相同子網主機，重復以上步驟，直到進入目標主機或放棄。攻擊的一般過程2：進入系統攻擊的一般過程3：權限提升攻擊者成功從原先沒有權限的系統獲取了一個訪問權限從而進入系統，但這個權限可能是受限制的，于是攻擊者就會采取各種措施，使得當前的權限得到提升，最理想的就是獲得最高權限〔如Admin或者Root權限〕，這樣攻擊者才能進行深入攻擊。這個過程就是權限提升。攻擊者常用的手段主要是通過緩沖區溢出的攻擊方式。一般步驟：1.檢查目標主機上的SUID和GUID程序是否存在漏洞，如果是，利用該漏洞提升權限(unix)。2.檢查本地效勞是否存在漏洞，如果是，利用該漏洞提升權限。3.檢查本地效勞是否存在脆弱帳號或密碼，如果是，利用該帳號或密碼提升權限。4.檢查重要文件的權限是否設置錯誤，如果是，利用該漏洞提升權限。5.檢查配置目錄中是否存在敏感信息可以利用。6.檢查用戶目錄中是否存在敏感信息可以利用。7.檢查其它目錄是否存在可以利用的敏感信息。8.重復以上步驟，直到獲得root權限或放棄。攻擊的一般過程4：深入攻擊攻擊者通過權限提升后，一般是控制了單臺主機，從而獨立的入侵過程根本完成。但是，攻擊者也會考慮如何將留下的入侵痕跡消除，同時開辟一條新的路徑便于日后再次進行更深入地攻擊，或者以被控制主機為跳板去攻擊網絡上其他主機。主要技術手段包括木馬植入、日志更改或替換、跳板攻擊等等。相關日志對守護進程掃描時留下的日志系統登陸產生的日志文件訪問產生的日志更改系統設置留下的日志安裝黑客工具留下的日志攻擊的一般過程5：拒絕效勞如果目標主機的防范措施比較好，前面的攻擊過程可能不起效果。作為局部惡意的攻擊者還會采用拒絕效勞的攻擊方式，模擬正常的業務請求來阻塞目標主機對外提供效勞的網絡帶寬或消耗目標主機的系統資源，使正常的效勞變得非常困難，嚴重的甚至導致目標主機宕機，從而到達攻擊的效果。目前，拒絕效勞〔DoS〕成為非常流行的攻擊手段，甚至結合木馬程序開展成為分布式拒絕效勞攻擊〔DDoS〕，其攻擊威力更大。常見拒絕效勞攻擊類型SYN溢出Smurf和FragglePingofdeathLandattack什么是DoS/DDoS攻擊？攻擊者利用因特網上成百上千的“Zombie〞(僵尸)-即被利用主機，對攻擊目標發出海量數據包造成動威力巨大的拒絕效勞攻擊。DenialofService(DoS)拒絕效勞攻擊DistributedDenialofService(DDoS)分布式拒絕效勞攻擊攻擊者利用系統自身漏洞或者協議漏洞，耗盡可用資源乃至系統崩潰，而無法對合法用戶作出響應。Trinoo、TFN、TFN2K和Stacheldraht。常用攻擊工具DDoS攻擊過程主控主機（中間人handler）合法用戶掃描程序黑客Internet非平安主機被控主機〔代理agent)應用服務器服務請求服務響應洪流(ICMPFlood/SYNFlood/UDPFlood)協議層平安OSI參考模型和TCP/IP協議簇網絡設施操作系統應用效勞TCP/IP和因特網平安TheARPAnetsince1966Internet起于研究工程,平安不是主要的考慮少量的用戶，多是研究人員,可信的用戶群體可靠性(可用性)、計費、性能、配置、平安網絡協議的開放性與系統的通用性目標可訪問性，行為可知性攻擊工具易用性Internet和TCP/IPv4沒有考慮平安因素IPv6的設計中考慮了平安因素Internet沒有集中的管理權威和統一的政策平安政策、計費政策、路由政策識別網絡通訊中存在的風險網絡監視數據修改身份欺騙中間人劫持竊取密碼識別與物理網絡相關的風險Hub網段1網段1網段1網段2Sniffer所有連接都可見僅網段2通訊可見Switch截取、捕獲數據網段1網段2僅允許網段3訪問Telnet網段3RouterRouterTelnetServer非法用戶遠程登錄物理層平安問題對線纜上傳輸的信號做文章〔Composethesignalstransmitoverthewire〕威脅:搭線竊聽&Sniffer防護:數據加密/流量填充〔encryption/datalabels/trafficpadding〕優化網絡拓撲〔交換、VLAN、防火墻〕網絡層平安問題提供邏輯地址和路由IP,ICMP…InternetProtocol(IP)32-bit,unique,identifyhost頭部(20bytes):信息和控制字段威脅:IPspoofing，Smurfattack網際控制消息協議(ICMP)在IP層檢查錯誤和其它條件。一般的ICMP信息是非常有用的。威脅:〔TFN,利用ICMP協議來消耗網絡帶寬〕〔Winnuke發送畸形的ICMP數據包〕保護:firewall,systempatch傳輸層平安問題控制主機之間信息的傳輸TCP,UDP協議TCP:面向連接的協議〔FTP,HTTP,SMTP〕flags:SYN,FIN,ACK,PSH,RST,URGEstablishing/TerminatingaTCPconnectionTCP威脅:SYNfloodUDP:面向無連接的協議(Audio,video,TFTP)端口(IANA)Web(80),FTP(20,21),DNS(53),SNMP(161,162)…保存端口(Wellknownports):<1024注冊端口:1024~49151私有端口:49152~65535TCP/IP三次握手SYN標志，目的端口號，初始序列號(ISN)SYN標志，ISN，確認標志(ACK)ACKSYNFlooding攻擊1、攻擊客戶端向被攻擊效勞器發起帶有假冒IP地址的SYN請求.2、效勞器試圖發送SYN/ACK應答到那個不可達的IP地址.3、客戶端不會收到ACK,效勞器一直發下去應用層平安問題〔1〕最難以實現平安的層次簡單的郵件傳輸協議(SMTP)威脅:mailfloodsendingvirusesandTrojanUsernameleak(vrfy,expn,rcptto:)防護:病毒網關Anti-virusesgatewayUsingsecureSMTPsoftwareeducatingemailusers文件傳輸協議(FTP)威脅:利用上載填充硬盤空間，使硬盤空間溢出上傳攻擊工具到效勞器用戶名和密碼是明文的防護:僅允許匿名連接將數據置于單獨分區超文本傳輸協議(HTTP)威脅:惡意的activeX或Javaapplet腳本Extendedapplications(Java,CGI,ASP..)防護：教育用戶不要下載未被檢驗過的應用程序。應用層平安問題〔2〕SNMPUDP161162Communityname〔SNMP僅由此提供認證〕控制Communityname，就可以控制所有節點明文傳輸DNSDNS請求使用UDP53端口區域傳輸使用TCP53端口獲取zone文件附屬DNS向主DNS請求區域傳輸保護：防火墻過濾、區域傳輸時使用認證應用層平安問題〔3〕Telnet〔rsh、rlogin〕用于遠程終端訪問并可用來管理UNIX機器。WindowsNT默認無Telnet效勞，但很容易參加一個第三方的效勞。以明文的方式發送所有的用戶名和密碼。威脅：有經驗的黑客可以劫持一個Telnet會話。保護：盡量不在互聯網上傳輸Telnet流量用SecureShell(SSH)代替應用層平安問題〔4〕平安體系架構平安是…..,怎么說?平安的組織保障密碼機物理隔離卡根本平安機制LAN/WAN的平安TEMPEST外網互連平安網絡管理防火墻平安應用平安數據庫CA認證個人機平安保護平安審計Windows平安UNIX平安操作系統PKI入侵檢測防病毒PMI建立一個有效的平安矩陣平安矩陣一個平安矩陣由單個操作系統平安特征、日志效勞和其他的裝備包括防火墻、入侵檢測系統、審查方案等構成。平安矩陣系統最主要的幾個方面特點描述

允許訪問控制通過只允許合法用戶訪問來達到你的目的最大擴展通信的功能同時最小化黑客訪問的可能性黑客已經訪問到你的資源時盡可能地減小破壞性容易使用如果一個安全系統很難使用，員工可能會想辦法繞開它合理的花費你不僅要考慮初始的花費還要考慮以后升級所需要的費用，你還要考慮用于管理所要花的費用；需要多少員工，達到什么樣的水平來成功的實施和維護系統。靈活性和伸縮性你的系統要能讓你的公司按其想法做一些商業上的事情你的系統要隨著公司的增長而加強優秀的警報和報告當一個安全破壞發生時，系統要能快速地通知管理員足夠詳細的內容平安體系〔一〕：ISO7498-2標準GB/T9387.2?信息處理系統開放系統互連根本參考模型第2局部:平安體系結構?等同于ISO7498-2概述目的：是讓異構型計算機系統的互連能到達應用進程之間的有效通信。任務:a.提供平安效勞與有關機制的一般描述b.確定在參考模型內部可以提供這些效勞與機制的位置三維結構圖authenticationAccesscontrolDataintegrityDataconfidentialityNon-repudiationencipermentDigitalsignatureDataintegrityDataExchangeAccesscontrolTrafficPaddingRoutecontrolnotarizationApplicationlayerRepresentationlayerSessionlayerTransportlayerNetworklayerLinklayerPhysicallayerSecurityLabelDetectionSecurityAuditTrailSecurityRestorationTrustedfunctionality管理相關效勞相關平安效勞鑒別效勞authentication訪問控制效勞Accesscontrol數據完整性效勞Dataintegrity數據機密性效勞Dataconfidentiality抗抵賴性效勞Non-repudiation提供對通信中的對等實體和數據來源的鑒別

對等實體鑒別數據原發鑒別這種效勞提供保護以對付OSI可訪問資源的非授權使用。這種效勞對數據提供保護使之不被非授權地泄露連接機密性無連接機密性選擇字段機密性通信業務流機密性這種效勞對付主動威脅,可取如下所述的各種形式之一。帶恢復的連接完整性不帶恢復的連接完整性選擇字段的連接完整性無連接完整性選擇字段無連接完整性這種效勞可取如下兩種形式,或兩者之一有數據原發證明的抗抵賴有交付證明的抗抵賴效勞相關：特定的平安機制加密數字簽名數據完整訪問控制鑒別交換為數據或業務流提供機密性。加密算法可逆：對稱加密、非對稱加密不可逆密鑰管理確定兩個過程:a.對數據單元簽名b.驗證簽過名的數據單元。防止對資源的未授權使用,可以建立在使用以下所舉的一種或多種手段之上:訪問控制信息庫鑒別信息權力平安標記試圖訪問的時間試圖訪問的路由訪問持續期。數據完整性有兩個方面單個數據單元或字段的完整性數據單元流或字段流的完整性。

通信業務流填充路由選擇控制公證通過信息交換來保證實體身份。a.使用鑒別信息,例如口令,由發送實體提供而由接收實體驗證;b.密碼技術;c.使用該實體的特征或占有物。

制造通信的假實例,產生欺騙性數據單元或數據單元中的偽數據。用來抵抗通信業務分析，只有在通信業務填充受到機密效勞保護時才是有效的。在路由選擇過程中應用規那么,以便具體地選取或回避某些網絡、鏈路或中繼。由可信賴的第三方對數據進行登記,以便保證數據的特征如內容,原發,時間,交付等的準確性不致改變。OSI效勞和平安機制間關系服務機制加密數字簽字訪問控制數據完整性鑒別交換通信業務填充路由控制公證對等實體鑒別數據原發鑒別訪問控制服務連接機密性無連接機密性選擇字段機密性通信業務流機密性帶恢復的連接完整性不帶恢復的連接完整性選擇字段連接完整性無連接完整性選擇字段無連接完整性抗抵賴，帶數據原發證據抗抵賴，帶交付證據平安效勞同ISO協議層關系安全服務協議層1234567對等實體鑒別數據原發鑒別訪問控制服務連接機密性無連接機密性選擇字段機密性通信業務流機密性帶恢復的連接完整性不帶恢復的連接完整性選擇字段連接完整性無連接完整性選擇字段無連接完整性抗抵賴，帶數據原發證據抗抵賴，帶交付證據平安體系〔二〕：CCISO15408:1999，GB/T18336:2001，通常簡稱CC－通用準那么定義了評估信息技術產品和系統平安性所需的根底準那么，是度量信息技術平安性的基準；國際標準化組織統一現有多種準那么的努力；1993年開始，1996年出V1.0,1998年出V2.0；1999年5月，成為ISO-15408；主要思想和框架取自ITSEC和FC；充分突出“保護輪廓PP〞，將評估過程分為“功能〞和“保證〞兩局部；是目前最全面的評價準那么；描述IT產品/系統平安要求的統一語言IT平安要求的目錄對已有平安準那么的總結和兼容靈活的架構，可以定義自己的要求擴展CC要求分為3個局部：第一局部：簡介和一般模型第二局部：平安功能要求第三局部：平安保證要求評估保證級別EAL2結構測試級EAL1功能測試級EAL3方法測試和校驗級EAL4系統地設計、測試和評審級EAL5半形式化設計和測試級EAL6半形式化驗證的設計和測試級EAL7形式化驗證的設計和測試級平安體系〔三〕：ISMS信息平安管理體系〔InformationSecurityManagementSystem，ISMS〕是系統地對組織的敏感信息進行管理，涉及到人、程序和信息技術(IT)的系統。是在信息平安方面指揮和控制組織以實現信息平安目標的相互關聯和相互作用的一組要素。信息平安目標應是可測量的要素可能包括信息平安方針、策略信息平安組織結構各種活動、過程信息平安控制措施人力、物力等資源………相關標準ISO17799:2000信息技術-信息平安管理實施規那么采納BS7799-1:1999，為如何進行平安管理實踐的指導ISO17799:2000：10類控制域，36個控制目標，127項控制措施ISO17799:2005：11個控制域，39個控制目標，133個控制措施預計2007年將更名為ISO27002ISO27001:2005信息技術-平安技術-信息平安管理體系要求采納BS7799-2:1999〔->BS7799-2:2002〕，為建立信息平安管理體系必須符合的要求ISO17799一、安全方針（SecurityPolicy）（1,2）（附注）二、安全組織（SecurityOrganization）(3,10)三、資產分類與控制(AssetclassificationandControl)(2,3)四、人員安全(PersonnelSecurity)(3,10)五、物理與環境安全(PhysicandEnvironmentSecurity)(3,13)六、通信與運行管理(CommunicationandOperationManagement)(7,24)八、系統開發與維護(Systemdevelopandmaintenance)(5,18)七、訪問控制(Accesscontrol)(8,31)九、業務持續性管理(Businesscontinuitymanagement)(1,5)十、符合性(Compliance)(3,11)附注：(m，n)－m：執行目標的數目n：控制方法的數目ISO27001PDCA循環Plan—Do—Check—Act又稱“戴明環〞,是能使任何一項活動有效進行的工作程序:P方案〔建立ISMS〕根據組織的整體方針和目標，建立平安策略、目標以及與管理風險和改進信息平安相關的過程和程序，以獲得結果。D實施〔實施和運行ISMS〕實施和運行平安策略、控制、過程和程序。C檢查〔監視和評審ISMS〕適用時，根據平安策略、目標和慣有經驗評估和測量過程業績，向管理層報告結果，進行評審。A改進〔保持和改進ISMS〕根據內部ISMS審核和管理評審或其他信息，采取糾正和預防措施，以實現ISMS的持續改進建立ISMS的步驟第六步第五步第四步第三步第二步威脅、漏洞和影響機構的風險管理方法所要求到達的保障程度17799-2〔BS7799〕中的第四章所列的平安控制目標和措施不在BS7799的其它平安控制策略文件ISMS的范圍風險評估適用性說明書信息資產結果與結論選定的控制選項選定的控制目標及控制第一步定義策略定義信息平安管理系統〔ISMS〕的范圍進行風險評估管理這些風險選擇控制目標以及要實現的控制撰寫適用性說明書信息平安管理的過程網絡將相互關聯的過程作為一個系統來識別、理解和管理一個過程的輸出構成隨后過程輸入的一局部過程之間的相互作用形成相互依賴的過程網絡PDCA循環可用于單個過程，也可用于整個過程網絡制定信息安全方針確定ISMS的范圍安全風險評估風險管理選擇控制目標和控制措施準備適用聲明實施測量、改進安全需求安全信息平安管理的四個重要原那么領導重視√組織保障√指明方向和目標

√權威√預算保障，提供所需的資源√監督檢查全員參與√信息平安不僅僅是IT部門的事√讓每個員工明白隨時都有信息平安問題√每個員工都應具備相應的平安意識和能力√讓每個員工都明確自己承擔的信息平安責任持續改進√實現信息平安目標的循環活動√信息平安是動態的，時間性強√持續改進才能有最大限度的平安√組織應該為員工提供持續改進的方法和手段文件化√文件的作用：有章可循，有據可查√文件的類型：手冊、標準、指南、記錄信息平安管理的實踐經驗反映組織業務目標的平安方針、目標和活動；符合組織文化的平安實施方法；管理層明顯的支持和承諾；平安需求、風險評估和風險管理的正確理解；有效地向所有管理人員和員工推行平安措施；向所有的員工和簽約方提供本組織的信息平安方針與標準；提供適當的培訓和教育；一整套用于評估信息平安管理能力和反響建議的測量系統系統平安工程能力成熟模型〔ISO21827〕適用于信息系統平安的工程組織、采購組織和評估機構。發起者美國國防部美國國家平安局開發SSE-CMM的目的降低開發和維護系統的花費；提高工程進度和預算的一致性；選擇適宜的承包者。11個過程域，5個能力級別平安體系〔四〕：SSE-CMM平安工程過程保證論據風險信息產品或效勞工程過程Engineering保證過程Assurance風險過程Risk風險PA04：評估威脅威脅信息threat脆弱性信息vulnerability影響信息impact風險信息PA05：評估脆弱性PA02：評估影響PA03：評估平安風險風險就是有害事件發生的可能性一個有害事件有三個局部組成：威脅、脆弱性和影響。工程平安工程與其它科目一樣，它是一個包括概念、設計、實現、測試、部署、運行、維護、退出的完整過程。SSE-CMM強調平安工程是一個大的工程隊伍中的一局部，需要與其它科目工程師的活動相互協調。PA10指定平安要求需求、策略等配置信息解決方案、指導等風險信息PA08監視平安態勢PA07協調平安PA01管理平安控制PA09提供平安輸入保證證據證據保證論據PA11驗證和證實平安指定平安要求其他多個PAPA06建立保證論據保證是指平安需要得到滿足的信任程度SSE-CMM的信任程度來自于平安工程過程可重復性的結果質量。方案執行標準化執行跟蹤執行驗證執行定義標準過程協調平安實施執行已定義的過程建立可測量的質量目標客觀地管理過程的執行1非正式執行2方案與跟蹤3充分定義4量化控制5連續改進執行根本實施改進組織能力改進過程的有效性能力級別——

代表平安工程組織的成熟級別公共特性0未實施平安技術和產品平安技術和產品物理平安技術加密認證訪問控制平安審計防火墻VPN入侵檢測平安掃描病毒防護技術備份與恢復機房平安出入記錄報警系統：IC卡技術、指紋技術、虹膜技術、面紋技術等錄像監控系統：報警系統：門磁窗磁、紅外報警機房屏蔽采用屏蔽室：不銹鋼絲網屏蔽室、鋼板屏蔽室、屏蔽門、屏蔽窗、通風波導窗信號線的濾波電源線的濾波防電磁干擾和泄漏電源系統采用多路供電的方法，市電、動力電、專有電網、UPS供電等多路電源同時接入。采用電源凈化系統。傳輸屏蔽屏蔽布線光纜傳輸終端設備輻射防范采用自噪聲干擾技術點相關加擾技術同步仿真干擾技術物理平安技術加密加密技術分類：對稱密鑰加密技術〔Symmetric〕非對稱密鑰加密技術〔Asymmetric〕哈希加密技術〔Hash〕對稱加密DES/3DESRC2、RC4、RC5、RC6IDEABlowfish和TwofishSkipjackMarsRijndael和SerpentAES:Rijndael允許建立128、192、256位密鑰多平臺支持〔智能卡、8/32/64位處理器〕速度快非對稱加密三個普通的組件：RSA數字簽名算法〔DigitalSignatureAlgorithm〕Diffie-Hellma/Station-to-Station(STS)特點：使用密鑰對，一半用來加密、一半用來解密速度慢HASH加密HASH算法:MD2、MD4、MD5平安哈希算法SHA-1〔160位哈希值、抗攻擊能力強〕用MD5sum命令實現哈希算法：Host#md5sum/usr/sbin/named5we5odble392,eoc97mbmd0003ndodom3xep實用加密程序和協議IIS、PGPMicrosoftExchangeServer、Windows2000PGP/MIME和S/MIME平安HTTP〔SecureHTTP〕平安套接字層SSL加密強度算法強度 工業標準的算法密鑰的保密性 注意區分密鑰和算法〔后者不需保密〕密鑰的長度 2的n次方種破解可能性. 2的40次－1，099，511，627，776加密的優勢數據保密性確保只有特定的接受者才能查看內容數據完整性通過Hash算法確保數據不被篡改認證數字簽名提供認證效勞不可否認性數字簽名允許用戶證明信息交換確實發生過基于PKI的加密原理〔一〕Bob公鑰A私鑰BAlice公鑰Y私鑰ZBob給Alice的消息消息摘要隨機對稱密鑰M被加密的文本被加密的摘要被加密的對稱密鑰用隨機的對稱密鑰M加密用Bob的私有密鑰B加密用Alice的對稱密鑰Y加密基于PKI的加密原理〔二〕Bob公鑰Y私鑰ZAlice公鑰A私鑰BBob給Alice的消息消息摘要隨機對稱密鑰M被加密的對稱密鑰被加密的文本簽名用Alice的私有密鑰Z解密用隨機對稱密鑰M解密用Bob的公用密鑰A解密消息摘要消息摘要算法認證你知道什么密碼認證 你有什么智能卡/數字證書

ISO7816

你是誰

物理、遺傳或生物測定學

你在哪兒

源IP(用于rlogin,rsh)DNS反向查找認證機制

基于口令、用戶名的身份認證基于主體特征的身份認證：如指紋基于IC卡+PIN號碼的認證基于CA證書的身份認證其他的認證方式基于口令、用戶名的身份認證UsernamePasswordPermissionroot~!@@#4RAdmin3458rRWwebmaste234REdd2342RWEServer

Enduser

Username=rootPassword=~!@##$發起訪問請求基于口令、用戶名的簡單身份鑒別驗證用戶名與口令回應訪問請求，允許訪問驗證通過基于主體特征的身份認證UsernameFeaturePermissionRootSdffRAdmin8990RWWeb8668REftp8965RWEServer

Workstation

傳送特征信息發起訪問請求基于主體特征的身份鑒別驗證用戶特征信息回應訪問請求，允許訪問驗證通過指紋識別器讀取特征信息獲得特征信息基于IC卡+PIN號碼的認證UsernameInformationPermissionAdmin1234RRitt8990RWRoot8668REweb8965RWEServer

Workstation

傳送身份驗證信息發起訪問請求基于IC卡+PIN號碼的身份鑒別驗證用戶身份回應訪問請求，允許訪問驗證通過讀卡器輸入PIN號碼插入IC卡讀取用戶信息獲得用戶信息基于CA證書的身份認證基于CA證書的身份鑒別CA中心證書發布效勞器用戶證書服務器證書用戶證書傳送證書給對方用于身份認證服務器證書傳送證書給對方用于身份認證開始數字證書的簽名驗證開始數字證書的簽名驗證查找共同可信的CA查詢黑名單驗證都通過查找共同可信的CA查詢黑名單驗證通過開始平安通訊特殊的認證技術Kerberos美國麻省理工學院為Athena工程而設計的，為分布式計算環境提供一種平安的雙向身份認證方法，并強調了客戶機對效勞器的認證，而別的身份認證技術往往只解決了效勞器對客戶機的認證。Kerberos有效地防止了來自效勞器端身份冒領的欺騙。One-timepasswords在登錄過程中參加不確定因素，使每次登錄過程中傳送的信息都不相同，以提高登錄過程平安性。例如：登錄密碼為MD5(用戶名+密碼+時間)，系統接收到登錄口令后做—個運算即可驗證用產的合法性。訪問控制訪問控制機制確保每個系統只有它們想要的個體〔按照平安策略〕才能夠訪問。訪問控制發生在認證過程之后，控制用戶在系統中能訪問些什么，這種機制能用于賦予或拒絕權限。一個形象的比喻把訪問控制看作是一個公司大樓的門禁系統。大多公司都有一個接待室并且任何人都能進入，這個接待室可以看作是一個開放的WEB效勞器，允許未授權的用戶訪問其主頁。要進入公司真正的辦公室，人們需要出示身份卡，只有經過認證的員工才能進入辦公區域，根據不同的身份只能允許他們進入相關的辦公室。所有的操作系統都支持訪問控制，訪問控制是保護效勞器的根本機制，你必須在效勞端上限制哪些用戶可以訪問效勞和守護進程。訪問控制列表訪問控制列表〔ACL〕信息系統把資源處理成有著某些特征和屬性的對象，資源可以是像打印機或磁盤這樣的設備，也可以是操作系統，應用程序或內存，計算機上的文件，等等，與這些資源平安相關的特性就是訪問控制列表(ACL)。一個ACL是標識個人用戶或組的清單，系統維護著一個ACL數據庫，每個用戶或組都被分配一個訪問級別，并根據這個數據庫所包含的內容定義這些用戶或組能夠執行什么。一個通過認證的用戶仍必須通過ACL來取得相應的權限。執行控制列表執行控制列表(ECL)限制應用程序運行時可以操作的資源和行為。用于特殊的應用程序，如NetscapeNavigator，微軟的InternetExplorer，IBM的Notes。沒有商業的操作系統或平臺實施一個完全的ECL策略。UNIX系統包含了一些對于rexec，rlogin和rshell程序的執行控制列表版本。這些程序都使用執行控制列表來確定在主機A上的哪些用戶可以在不登陸的情況下在B主機上執行程序。但是這種形式的執行控制列表只能在遠程系統上工作。執行控制列表的一個好處就是能對于那些惡意的ActiveX控件程序的破壞起到一定的保護作用。例如，你可以進一步地控制.java小程序。軟件商們已開始開發能夠執行更多任務的ECL程序，來允許用戶自己決定程序的參數。審計多數系統以日志文件的形式記錄下所有的活動，幫助判斷是否發生了不允許的活動以及是怎樣發生的。被動審計簡單的記錄一些活動，不作處理；非實時檢測，必須查看這些日志然后根據其包含的內容采取措施。主動審計主動地響應非法訪問和入侵結束一個登陸會話拒絕一些主機的訪問(包括WEB站點，FTP效勞器和e-mail效勞器)跟蹤非法活動的源位置從邏輯上講，防火墻既是一個別離器、限制器也是一個分析器，有效地監控內外網之間的任何活動；從具體實現上講，防火墻是一個獨立的進程或一組緊密聯系的進程，運行在路由器或效勞器上；定義：防火墻是位于兩個或多個網絡之間，執行訪問控制策略的一個或一組系統，是一類防范措施的總稱。防火墻根本要求：內部和外部之間的所有網絡數據流必須經過防火墻；只有符合平安政策的數據流才能通過防火墻；防火墻自身應對滲透(penetration)免疫。防火墻內部可信任網絡外部非信任網絡防火墻的根本作用Internet防火墻過濾進出網絡的非法數據防火墻的其它作用 確保一個單位內的網絡與因特網的通信符合該單位的平安方針，為管理人員提供以下問題的答案: –誰在使用網絡？ –他們在網絡上做什么？

–他們什么時間使用了網絡？ –他們上網去了何處？ –誰要上網沒有成功？管理進出網絡的訪問行為3.封堵某些不平安的效勞如NIS、NFS4.記錄通過防火墻的訪問行為和信息內容5.對網絡攻擊進行檢測和告警防火墻的其它作用防火墻的分類體系結構屏蔽路由器防火墻雙宿主主機防火墻被屏蔽主機防火墻被屏蔽子網防火墻實現技術包過濾防火墻應用代理防火墻電路網關防火墻作用在網絡層和傳輸層，根據分組包頭源地址，目的地址和端口號、協議類型等標志確定是否允許數據包通過。只有滿足過濾邏輯的數據包才被轉發到相應目的地的出口端，其余數據包則被從數據流中丟棄。作用在應用層，其特點是完全“阻隔”了網絡通信流，通過對每種應用服務編制專門的代理程序，實現監視和控制應用層通信流的作用。又稱應用網關。工作在會話層，可以看成是傳輸層TCP協議的代理網關，監控內外網主機間的TCP握手信息，轉發合法的會話(Session)數據包。又稱電路中繼(CircuitRelay)或TCP代理（TCP－Proxy）。使用單個具有包過濾功能的路由器。使用具有兩個網絡接口分別連接內外網的一臺主機，可提供從包過濾到應用代理的安全功能。由一個具有包過濾功能的屏蔽路由器和一個運行代理服務的雙宿主主機組成

。由兩臺屏蔽路由器和一臺運行代理服務的雙宿主主機構成。基于路由器的防火墻將過濾功能從路由器中獨立出來，并加上審計和告警功能針對用戶需求，提供模塊化的軟件包軟件可通過網絡發送，用戶可根據需要構造防火墻與第一代防火墻相比，平安性提高了，價格降低了利用路由器本身對分組的解析,進行分組過濾過濾判斷依據：地址、端口號、IP旗標及其它網絡特征防火墻與路由器合為一體，只有過濾功能適用于對平安性要求不高的網絡環境是批量上市的專用防火墻產品包括分組過濾或者借用路由器的分組過濾功能裝有專用的代理系統，監控所有協議的數據和指令保護用戶編程空間和用戶可配置內核參數的設置平安性和速度大為提高。防火墻廠商具有操作系統的源代碼，并可實現平安內核去掉了不必要的系統特性，加固內核，強化平安保護在功能上包括了分組過濾、應用網關、電路級網關增加了許多附加功能：加密、鑒別、審計、NAT轉換透明性好，易于使用基于安全操作系統的防火墻基于通用操作系統的防火墻用戶化的防火墻工具套防火墻的開展防火墻的體系結構傳統防火墻技術：簡單包過濾技術狀態檢測包過濾技術應用代理技術目前市場上主流產品的形態：集成了狀態檢測包過濾和應用代理的混合型產品簡單包過濾PacketFilter優點：速度快，性能高對應用程序透明實現簡單缺點：平安性比較差伸縮性差維護不直觀從網段到Internet的HTTP訪問？放行/禁止通行！狀態檢測技術StatefulInspection協議源地址目的地址SYNACKTCP:3456:8010002000應用網關〔代理〕型Proxy優點：平安性非常高提供給用層的平安提供用戶級的控制缺點：性能很差只支持有限的應用對用戶不透明平安性依賴于底層OS一般用于代理內部網到外部網的訪問想從內部網訪問外部的效勞器？我幫你發請求吧。防火墻的功能——訪問控制進行訪問規那么檢查發起訪問請求合法請求那么允許對外訪問將訪問記錄寫進日志文件合法請求那么允許對外訪問發起訪問請求防火墻在此處的功能：1、工作子網與外部子網的物理隔離2、訪問控制3、對工作子網做NAT地址轉換4、日志記錄

Internet區域Internet邊界路由器DMZ區域WWWMailDNS內部工作子網管理子網一般子網內部WWW重點子網內部工作子網與外網的訪問控制

Internet區域Internet邊界路由器進行訪問規那么檢查發起訪問請求合法請求那么允許對外訪問將訪問記錄寫進日志文件禁止對外發起連結請求發起訪問請求防火墻在此處的功能：1、DMZ網段與外部子網的物理隔離2、訪問控制3、對DMZ子網做MAP映射4、日志記錄DMZ區域WWWMailDNS內部工作子網管理子網一般子網內部WWW重點子網DMZ區域與外網的訪問控制防火墻的功能——訪問控制進行訪問規那么檢查發起訪問請求合法請求那么允許對外訪問將訪問記錄寫進日志文件禁止對工作子網發起連結請求防火墻在此處的功能：1、DMZ網段與工作子網的物理隔離2、訪問控制3、日志記錄發起訪問請求

Internet區域Internet邊界路由器DMZ區域WWWMailDNS內部工作子網管理子網一般子網內部WWW重點子網內部工作子網與DMZ區的訪問控制防火墻的功能——訪問控制防火墻的功能——地址轉換目的解決IP地址空間缺乏問題將現有的私有TCP/IP網絡連接到公共網絡時的IP編址問題向外界隱藏內部網結構方式靜態轉換1-1：簡單的地址翻譯動態轉換M-N：多個內部網地址翻譯到N個外部IP地址池端口映射〔PAT〕M-1：多個內部網地址翻譯到1個外部IP地址負載均衡1-M：1個外部IP地址對應多個內部效勞器防火墻的其他功能身份認證內容過濾平安審計防火墻的作用STOP!阻止非法進入1.驗明正身2.檢查權限防火墻辦不到的事病毒等惡性程序可利用email夾帶等攻擊形式夾帶闖關、入侵成功！VPN(VirtualPrivateNetwork)指的是以公用開放的網絡(如Internet)作為根本傳輸媒體，通過加密和驗證網絡流量來保護在公共網絡上傳輸的私有信息不會被竊取和篡改，從而向最終用戶提供類似于私有網絡(PrivateNetwork)性能的網絡效勞技術。遠程訪問Internet內部網分支機構虛擬私有網虛擬私有網虛擬私有網合作伙伴虛擬專用網〔VPN〕VPN技術的分類OSI七層模型VPN技術應用層S-HTTP/S-MIME表示層會話層SOCKSv5傳輸層SSL/TLS網絡層GRE/IPSEC/MPLS數據鏈路層PPTP/L2F/L2TP物理層信道加密信源加密IPSECVPNIPv4本身并不具任何平安特性，很容易便可偽造出IP包的地址、修改其內容、重播以前的包以及在傳輸途中攔截并查看包的內容。IPSec解決IPv4以下平安需求：數據機密性/有限的數據流機密性：隱藏明文數據內容或整個IP包，通常靠加密來實現；數據完整性驗證：證實數據報文的內容在傳輸過程中沒被修改正，無論是被成心改動或是由于發生了隨機的傳輸錯誤；數據源的身份認證：證實數據報文是所聲稱的發送者發出的；抗重放攻擊保護：保證攻擊者不能截獲數據報文后某個時間再重新發放數據報文〔改動過或未改動過〕；自動的密鑰管理和平安關聯管理：保證只需少量或根本不需要手工配置，就可以在擴展的網絡上方便精確地實現公司的虛擬使用網絡方針。數據機密性保護撥號效勞器PSTN

Internet區域Internet邊界路由器內部工作子網管理子網一般子網內部WWW重點子網下屬機構DDN/FRX.25專線DMZ區域WWWMailDNS密文傳輸明文傳輸明文傳輸數據完整性保護內部工作子網管理子網一般子網內部WWW重點子網下屬機構DDN/FRX.25專線原始數據包對原始數據包進行Hash加密后的數據包摘要Hash摘要對原始數據包進行加密加密后的數據包加密加密后的數據包摘要加密后的數據包摘要摘要解密原始數據包Hash原始數據包與原摘要進行比較，驗證數據的完整性數據源身份認證內部工作子網管理子網一般子網內部WWW重點子網下屬機構DDN/FRX.25專線原始數據包對原始數據包進行HashHash摘要加密摘要摘要取出DSS原始數據包Hash原始數據包兩摘要相比較私鑰原始數據包DSSDSS將數字簽名附在原始包后面供對方驗證簽名得到數字簽名原始數據包DSS原始數據包DSSDSS解密相等嗎？驗證通過VPN根本功能特性Web、Mail效勞器等因特網分支機構加密隧道&1%$*)!？？？平安區域劃分增強內網平安VPN網關保護內網及信息傳輸平安……工作站域效勞器域VPN網關間建立加密隧道VPN移動客戶端保證移動辦公平安入侵檢測系統〔IDS〕入侵行為——對信息系統資源的非授權使用，它可以造成系統數據的喪失和破壞、可以造成系統拒絕對合法用戶效勞等危害。入侵檢測——對指向計算機網絡資源的惡意行為的識別和響應的過程。入侵檢測系統——是通過從計算機網絡或計算機系統中的假設干關鍵點收集信息并對其進行分析，從中發現網絡或系統中是否有違反平安策略的行為和遭到襲擊的跡象的一種平安技術。〔ICSA入侵檢測系統論壇〕是一套監控和識別計算機系統或網絡系統中發生的事件，根據規那么進行平安審計和響應的軟件或硬件系統。為什么需要IDS？防火墻不能保證絕對的平安可以阻止一類人群的進入，但無法阻止混淆一類人群中的破壞分子。不能防范利用效勞器漏洞或通信協議的缺陷進行的攻擊。一般不提供對內網攻擊的防范。策略配置不當或自身漏洞會導致平安隱患。不能防范內部用戶主動泄密的行為。無法防范數據驅動型的攻擊。確保網絡的平安,就要對網絡系統內部通信進行實時的檢測,這就需要IDS無時不在的防護！數據驅動型攻擊訪