沈鑫剡编著(网络安全)教材配套课件第14章
合集下载
计算机网络安全教程第14章简明教程PPT课件
计算机网络安全教程
二、数据存储技术
2、NAS
NAS（Network-Attached Storage）改进了DAS技术，通过标准的 网络拓扑结构，用户只需直接与企业网络连接即可使用NAS存储提供 的服务，不依赖其它服务器。NAS是在一个小型磁盘阵列柜的基础上， 结合内置的CPU、内存、主板，自带嵌入式操作系统，工业级的部件 配合精简化的操作系统使其具备独力工作的能力。NAS通常提供易用 的操作解密，使得非计算机专业的操作人员也可轻松掌握。典型的 NAS连接模式如下图。
计算机网络安全教程
第14章 数据备份
重点内容：
数据备份分类
数据备份介质 DAS、NAS、SAN存储技术 同步、异步数据复制 Symantec Ghost应用
计算机网络安全教程
一、数据备份概述
1、数据完整性概念
数据完整性是信息安全的基本要素之一。数据完整性是指在存储、 传输信息或数据的过程中，确保信息或数据不被未授权的篡改，或在 篡改后能够被迅速发现。
计算机网络安全教程
一、数据备份概述
3、数据备份系统组成
数据备份系统由备份硬件和备份软件两个部分组成。和普通计算 机系统的硬件和软件的关系类似，两者是密不可分的，备份硬件是备 份软件运行的平台，备份软件是流动于备份硬件中的程序和数据。 ●备份软件 数据备份软件技术，就是以软件的方式来实现，将跨平台存储 的分散数据提取出来（包括静态和动态的数据），通过网络（IP Network或FC SAN）集中备份到一个或数个大容量存储设备中（如磁 盘阵列、磁带库或光盘库等）。一旦源数据受损，就可以从原先备份 的介质中恢复。数据备份软件的技术要点包括数据的提取和重导入、 数据网络传输、数据转存、集中控制与自动化处理等。
沈鑫剡编著(网络安全)教材配套课件第10章
虚拟专用网络
三、 VPN分类
Web 服务器 HTTP HTTPS 终端 SSL VPN 网关 SMTP+POP3 FTP FTP 服务器 邮件服务器
SSL VPN
远程终端通过HTTPS访问SSL VPN网关。以此实现远程终端与SSL VPN网关之间 的双向身份鉴别，保证远程终端与SSL VPN网关之间传输的数据的保密性和完整性。 SSL VPN网关作为中继设备，可以将远程终端访问内部网络资源的请求消息转 发给内部网络中的服务器，也将内部网络服务器发送的响应消息，转发给远程终端。
缺点：互连子网的专用点 对点物理链路的低效率、 高费用和不方便。
计算机网络安全
虚拟专用网络
一、企业网和远程接入
Modem PSTN 终端
实现远程接入的网络结构
可以随时随地连接到PSTN ； 可以按需建立与路由器R之间的语音信 道。
R
内部网络
缺点：需要支付昂贵的长 途费用；语音信道利用率 不高；语音信道的数据传 输速率受到严格限制。
第一次交互过程双方约定安全传输通道使用的加密算法3DES和报文摘 要算法MD5，同时完成用于生成密钥种子KS的随机数YA和YB的交换过程。
第二次交互过程双方约定安全关联使用的安全协议ESP，ESP使用的加 密算法AES和MAC算法HMAC-MD5-96。同时通过证书和数字签名完成双方身 份鉴别过程。第二次交互过程双方传输的信息是用3DES加密算法和通过密 钥种子KS推导出的密钥K加密后的密文。
虚拟专用网络
三、 VPN分类
内部网络 Web 服务器
Internet 终端 SSL VPN 网关
邮件服务器
FTP 服务器
SSL VPN
SSLVPN也是一种实现远程终端访问内部网络资源的技术，SSL VPN的 核心设备是SSL VPN网关，SSL VPN网关一端连接互联网，另一端连接内 部网络。
计算机网络安全课件(沈鑫剡)第3章
明文 P E K
密文 Y
D K
明文 P
Y=EK（P）; P=DK（Y）； P=DK（ EK（P） ）=EK（ DK（P） ）。
计算机网络安全
网络安全基础
对称密钥加密算法
加密、解密算法是公开的； 安全性完全取决于密钥K的安全性。
保证密钥安全性的两种机制： 一次一密，密钥之间没有任何相关性； 在公开加密、解密算法，获取多对明文/ 密文对的前提下，无法推导出密钥K。
计算机网络安全
网络安全基础
对称密钥加密算法
流密码体制
发送端 P
接收端
P
Ki ｛K1 K2 K3，…，KN｝ 密钥集
Ki
无穷大的密钥集，密钥不可能重复，密钥之间没有任何相关性。 密文Y=P⊕Ki，因此，很容易根据明文和密文得出密钥， Ki = P⊕Y。 密钥的安全性在于不重复、不可预测。 计算机网络安全
根据上述规则，一旦满足条件MD（P）=EPKA（数字签名），得出数字签名 ＝DSKA（MD（P）），可以断定报文P由知道私钥SKA的用户发送，知道私 钥SKA的用户是和公钥PKA绑定的用户。
计算机网络安全
网络安全基础
3.4 认证协议
Kerberos； TLS； EAP和802.1X； RADIUS。
明文 明文 ） P P P‖DSKA（MD（P） 数字 签名 数字 签名
MD E PKA
相等，明文 P 认定是用户 A 所发
不相等，明文 P 无效
规则一：EPKA（DSKA（P））=P，通过公钥PKA加密还原的一定是通过私 钥SKA解密运算的结果；
规则二：无法根据报文摘要h，求出报文X，且使得MD（X）＝h；
密文 Y
D K
明文 P
Y=EK（P）; P=DK（Y）； P=DK（ EK（P） ）=EK（ DK（P） ）。
计算机网络安全
网络安全基础
对称密钥加密算法
加密、解密算法是公开的； 安全性完全取决于密钥K的安全性。
保证密钥安全性的两种机制： 一次一密，密钥之间没有任何相关性； 在公开加密、解密算法，获取多对明文/ 密文对的前提下，无法推导出密钥K。
计算机网络安全
网络安全基础
对称密钥加密算法
流密码体制
发送端 P
接收端
P
Ki ｛K1 K2 K3，…，KN｝ 密钥集
Ki
无穷大的密钥集，密钥不可能重复，密钥之间没有任何相关性。 密文Y=P⊕Ki，因此，很容易根据明文和密文得出密钥， Ki = P⊕Y。 密钥的安全性在于不重复、不可预测。 计算机网络安全
根据上述规则，一旦满足条件MD（P）=EPKA（数字签名），得出数字签名 ＝DSKA（MD（P）），可以断定报文P由知道私钥SKA的用户发送，知道私 钥SKA的用户是和公钥PKA绑定的用户。
计算机网络安全
网络安全基础
3.4 认证协议
Kerberos； TLS； EAP和802.1X； RADIUS。
明文 明文 ） P P P‖DSKA（MD（P） 数字 签名 数字 签名
MD E PKA
相等，明文 P 认定是用户 A 所发
不相等，明文 P 无效
规则一：EPKA（DSKA（P））=P，通过公钥PKA加密还原的一定是通过私 钥SKA解密运算的结果；
规则二：无法根据报文摘要h，求出报文X，且使得MD（X）＝h；
沈鑫剡编著(网络安全)教材配套课件第11章
计算机网络安全
防火墙
五、防火墙的局限性
无法防御网络内部终端发起的攻击； 无法阻止病毒传播； 无法防御利用防火墙安全策略允许的信息传输过 程实施的攻击行为。
计算机网络安全
防火墙
11.2 分组过滤器
本讲主要内容 无状态分组过滤器； 有状态分组过滤器。
计算机网络安全
防火墙
一、无状态分组过滤器
防火墙的作用是控制网络1与网络2之间传输的信息流， 所谓控制是指允许网络1与网络2之间传输某种类型的信息流， 阻断另一种类型的信息流网络1与网络2之间的传输过程。允 许和阻断操作的依据是为防火墙配置的安全策略。
计算机网络安全
防火墙
三、防火墙分类
防火墙
个人防火墙
网络防火墙
分组过滤器
分组过滤器电路层代理Biblioteka 计算机网络安全防火墙
一、引出防火墙的原因
数据交换过程 Internet 路由器 数据交 换过程 用户终端 黑客终端
内部网络
安全的网络系统既要能够保障正常的数据交换过程，又 要能够阻止用于实施攻击的数据交换过程。 防火墙一是能够检测出用于实施攻击的信息流，并阻断 这样的信息流。二是能够允许正常信息流通过。
计算机网络安全
防火墙
一、无状态分组过滤器
路由器R1接口1输入方向的过滤规则集如下。 ①协议类型＝TCP，源IP地址＝192.1.1.1/32，源端口号＝*， 目的IP地址＝192.1.2.7/32，目的端口号＝80；正常转发。 ②协议类型＝TCP，源IP地址＝192.1.1.7/32，源端口号＝21， 目的IP地址＝192.1.2.1/32，目的端口号＝*；正常转发。 ③协议类型＝TCP，源IP地址＝192.1.1.7/32，源端口号＝20， 目的IP地址＝192.1.2.1/32，目的端口号＝*；正常转发。 ④协议类型＝*，源IP地址＝any，目的IP地址＝any；丢弃。
沈鑫剡编著《路由和交换技术》(第2版)配套课件第10章
IPv6
二、复杂的分组首部
随着链路带宽的提高，结点转发操作已经 成为性能瓶颈； 每一个转发结点需要重新计算检验和； 每一个转发结点需要处理可选项。
路由和交换技术
IPv6
三、QoS实现困难
没有单独的流标识字段，需要通过源和目 的IP地址、源和目的端口号确定属于同一 流的IP分组； 流分类由转发结点完成，增加了转发结点 的处理负担。
路由和交换技术
IPv6
二、IPv6地址分类
10bit 1111111010 54bit 0 64bit 接口标识符
链路本地地址
128bit地址长度为IPv6地址分类提供了方便； 链路本地地址是传输网络内有效的地址，只能用 于同一传输网络内两个端点之间的IPv6分组的传 输； 链路本地地址能够通过链路层地址，如 MAC地址， 自动生成。
路由和交换技术
IPv6
10.4 IPv6网络实现通信过程
本讲主要内容 网络结构和基本配置； 邻站发现协议； 路由器建立路由表过程。
路由和交换技术
IPv6
一、网络结构和基本配置
路由器 R1 路由表 目的网络 距离 下一跳路由器 转发端口 2001::/64 1 直接 1 2002::/64 2 FE80::2E0:FCFF:FE00:3 2 2001::1/64 2 1 R1 路由器 R2 路由表 目的网络 距离 下一跳路由器 转发端口 2001::/64 2 FE80::2E0:FCFF:FE00:2 1 2002::/64 1 直接 2 1 R2 2002::1/64 2
路由和交换技术
IPv6
二、IPv6地址分类
MAC地址为0012:3400:ABCD
沈鑫剡编著教材配套课件第章2
计算机网络安全 第二十九页，编辑于星期五：十二点 四十五分
。
黑客攻击机制
四、 ARP欺骗攻击
2．ARP欺骗攻击过程
计算机网络安全 第三十页，编辑于星期五：十二点 四十五分。
黑客攻击机制
四、 ARP欺骗攻击
2．ARP欺骗攻击过程
① 黑客终端发送将IP A和MAC C绑定的ARP请求报 文；
② 路由器缓冲区中记录IP A和MAC C绑定项； ③ 路由器将目的IP地址为IP A的IP分组封装成以
转发项，这些转发项耗尽交换机 转发表的存储空间，当交换机接 收到终端B发送的源MAC地址为
MAC B的MAC帧时，由于转发表 的存储空间已经耗尽，因此， 无法添加新的MAC地址为MAC B 的转发项，导致交换机以广播 方式完成MAC帧终端A至终端B传
输过程。
计算机网络安全 第十五页，编辑于星期五：十二点 四十五分。
黑客攻击机制
一、 嗅探攻击原理和后果
2．嗅探攻击后果 嗅探攻击后果有以下三点。一是破坏
信息的保密性。二是嗅探攻击是实现数据 流分析攻击的前提。三是实施重放攻击。
计算机网络安全 第十二页，编辑于星期五：十二点 四十五分。
黑客攻击机制
二、集线器和嗅探攻击
由于集线器接收到MAC
帧后，通过除接收端口以外
MAC C为目的MAC地址的MAC帧。
计算机网络安全 第三十一页，编辑于星期五：十二点 四十五分
。
黑客攻击机制
四、 ARP欺骗攻击
3．ARP欺骗攻击防御机制
终端没有鉴别ARP请求和响应报文中IP地址 与MAC地址绑定项真伪的功能，因此，需要以太 网交换机提供鉴别ARP请求和响应报文中IP地 址与MAC地址绑定项真伪的功能，以太网交换机 只继续转发包含正确的IP地址与MAC地址绑定项 的ARP请求和响应报文。
。
黑客攻击机制
四、 ARP欺骗攻击
2．ARP欺骗攻击过程
计算机网络安全 第三十页，编辑于星期五：十二点 四十五分。
黑客攻击机制
四、 ARP欺骗攻击
2．ARP欺骗攻击过程
① 黑客终端发送将IP A和MAC C绑定的ARP请求报 文；
② 路由器缓冲区中记录IP A和MAC C绑定项； ③ 路由器将目的IP地址为IP A的IP分组封装成以
转发项，这些转发项耗尽交换机 转发表的存储空间，当交换机接 收到终端B发送的源MAC地址为
MAC B的MAC帧时，由于转发表 的存储空间已经耗尽，因此， 无法添加新的MAC地址为MAC B 的转发项，导致交换机以广播 方式完成MAC帧终端A至终端B传
输过程。
计算机网络安全 第十五页，编辑于星期五：十二点 四十五分。
黑客攻击机制
一、 嗅探攻击原理和后果
2．嗅探攻击后果 嗅探攻击后果有以下三点。一是破坏
信息的保密性。二是嗅探攻击是实现数据 流分析攻击的前提。三是实施重放攻击。
计算机网络安全 第十二页，编辑于星期五：十二点 四十五分。
黑客攻击机制
二、集线器和嗅探攻击
由于集线器接收到MAC
帧后，通过除接收端口以外
MAC C为目的MAC地址的MAC帧。
计算机网络安全 第三十一页，编辑于星期五：十二点 四十五分
。
黑客攻击机制
四、 ARP欺骗攻击
3．ARP欺骗攻击防御机制
终端没有鉴别ARP请求和响应报文中IP地址 与MAC地址绑定项真伪的功能，因此，需要以太 网交换机提供鉴别ARP请求和响应报文中IP地 址与MAC地址绑定项真伪的功能，以太网交换机 只继续转发包含正确的IP地址与MAC地址绑定项 的ARP请求和响应报文。
沈鑫剡编著(网络安全)教材配套课件第12章
计算机网络安全
入侵防御系统
三、网络入侵检测机制
Web 服务器 请求终端 SYN,SEQ=X SYN,SEQ=Y,ACK（X+1） ACK（Y+1） HTTP 请求 HTTP 响应 FIN,SEQ=U ACK（U+1） FIN,SEQ=V ACK （V+1）
计算机网络安全
应用层协议 检测将监测HTTP 请求、响应过程 是否如图所示， 响应消息内容和 请求消息内容是 否一致，一旦发 现异常，确定为 攻击信息。
计算机网络安全
入侵防御系统
四、入侵检测系统的两种应用方式
关键链路 关键链路 IDS 关键链路 IDS
在线方式
杂凑方式
在线方式下，IDS位于关键链路的中间，所以经过该 关键链路传输的信息必须经过IDS。 杂凑方式下，IDS不会影响信息流在关键链路的传输 过程，只是被动地获取信息，对获取的信息进行检测。
无法防御以下攻击过程 内部网络终端遭受的 XSS攻击； 内部网络蔓延蠕虫病毒； 内部网络终端发送垃圾 邮件。
计算机网络安全
入侵防御系统
二、引出IDS的原因
引入入侵检测系统（IDS），IDS可以获取流 经内部网络中和非军事区中的关键链路的信息， 能够对这些信息进行检测，发现包含在这些信息 中与实施上述攻击过程有关的有害信息，并予以 反制。
计算机网络安全
入侵防御系统
七、入侵检测系统不足
主机入侵防御系统是被动防御，主动防御 是在攻击信息到达主机前予以干预，并查 出攻击源，予以反制。另外，每一台主机 安装主机入侵防御系统的成本和使安全策 略一致的难度都是主机入侵防御系统的不 足； 网络入侵防御系统能够实现主动防御，但 只保护部分网络资源，另外对未知攻击行 为的检测存在一定的难度。
入侵防御系统
三、网络入侵检测机制
Web 服务器 请求终端 SYN,SEQ=X SYN,SEQ=Y,ACK（X+1） ACK（Y+1） HTTP 请求 HTTP 响应 FIN,SEQ=U ACK（U+1） FIN,SEQ=V ACK （V+1）
计算机网络安全
应用层协议 检测将监测HTTP 请求、响应过程 是否如图所示， 响应消息内容和 请求消息内容是 否一致，一旦发 现异常，确定为 攻击信息。
计算机网络安全
入侵防御系统
四、入侵检测系统的两种应用方式
关键链路 关键链路 IDS 关键链路 IDS
在线方式
杂凑方式
在线方式下，IDS位于关键链路的中间，所以经过该 关键链路传输的信息必须经过IDS。 杂凑方式下，IDS不会影响信息流在关键链路的传输 过程，只是被动地获取信息，对获取的信息进行检测。
无法防御以下攻击过程 内部网络终端遭受的 XSS攻击； 内部网络蔓延蠕虫病毒； 内部网络终端发送垃圾 邮件。
计算机网络安全
入侵防御系统
二、引出IDS的原因
引入入侵检测系统（IDS），IDS可以获取流 经内部网络中和非军事区中的关键链路的信息， 能够对这些信息进行检测，发现包含在这些信息 中与实施上述攻击过程有关的有害信息，并予以 反制。
计算机网络安全
入侵防御系统
七、入侵检测系统不足
主机入侵防御系统是被动防御，主动防御 是在攻击信息到达主机前予以干预，并查 出攻击源，予以反制。另外，每一台主机 安装主机入侵防御系统的成本和使安全策 略一致的难度都是主机入侵防御系统的不 足； 网络入侵防御系统能够实现主动防御，但 只保护部分网络资源，另外对未知攻击行 为的检测存在一定的难度。
计算机网络安全课件(沈鑫剡)第4章PPT课件
LAN 4
终端 A IP A
R1 IP H
LAN4 1
黑客终端
R2
R3
终端 B
IP B
黑客终端伪造路由项过程
• 黑客终端伪造和LAN4直接相连的路由项，并通过路由消息将该路由 项组播给路由器R1、R2；
• 路由器R1将通往LAN4传输路径的下一跳改为黑客终端； • 所有LAN1中终端发送给LAN4中终端的IP分组都被错误地转发给黑客
路由器 R1 正确路由表
路由器 R1 错误路由表
子网 距离 LAN 1 1 LAN 2 1 LAN 3 2 LAN 4 3
下一跳 直接 直接
IP R IP R
子网 距离 LAN 1 1 LAN 2 1 LAN 3 2 LAN 4 2
下一跳 直接 直接
IP R IP HLAN 1LAN 2 IP RLAN 3
第1页/共38页
4.1 以太网安全技术
• 以太网接入控制 ➢ 访问控制列表； ➢ 安全端口； ➢ 802.1X接入控制过程。 • 以太网其他安全功能 ➢ 防站表溢出攻击功能； ➢ 防DHCP欺骗； ➢ 防ARP欺骗攻击。
第2页/共38页
以太网接入控制
• 黑客攻击内部网络的第一步是接入内部网络，而以太网是最常见的直接用于接入用 户终端的网络，只允许授权用户终端接入以太网是抵御黑客攻击的关键步骤；
IP 接口
VLAN 2 VLAN 3
192.1.2.254 192.1.3.254
192.1.2.0/24
192.1.3.0/24
终端 B 终端 C
Web 接口 192.1.1.0/24
终端 A
终端 A 终端 B 终端 C 终端 D
物理网络
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
一、入站规则和出站规则
对于UDP会话，传输第一个UDP报文时创建UDP 会话，并用该UDP报文的两端插口唯一标识该UDP会 话，所有两端插口与标识该UDP会话的两端插口相 同的UDP报文都是属于该会话的UDP报文。如果规定 时间内，一直没有传输两端插口与标识该UDP会话 的两端插口相同的UDP报文，删除该UDP会话。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
一、入站规则和出站规则
对于TCP连接，会话分为三个阶段，一是TCP连 接建立阶段，二是数据传输阶段，三是TCP连接释 放阶段。通过TCP连接建立过程创建会话，并用两 端插口唯一标识创建的会话，插口由标识终端的32 位IP地址和标识进程的16位端口号组成。创建会话 后，所有两端插口与标识该会话的两端插口相同的 TCP报文都是属于该会话的TCP报文。通过TCP连接 释放过程删除会话。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
三、审计
日志记录器以二进制或可读的形式记录事件或统计数据。 日志通常记录与以下活动有关的事件。 用于检测已知攻击模式； 用于检测异常行为和异常信息流。 对于每一个事件，日志记录以下信息：事件发生的日期和 时间，引发事件的用户，事件源的位置，事件类型，事件成败 等。
一、基本术语
主体（Subject）是指主动的实体，该实体造成了信息 的流动和系统状态的改变。 客体（Object）是指包含或接受信息的被动实体。对客 体的访问意味着对其中所包含的信息的访问。 访问是使信息在主体和客体间流动的一种交互方式。 访问控制是一种具有以下功能的安全机制，一是能保障 授权用户获取所需资源，二是能拒绝非授权用户非法获取资 源。 身份鉴别一是需要对主体分配唯一标识符，二是主体能 够提供证明身份的标识信息，授权是为每一个用户设置访问 权限，某个用户的访问权限是指该用户允许访问的客体和允 许对客体进行的操作。
主体 禁止读 S 允许读 允许读 客体 T S C 主体 T 允许写 禁止写 客体 T S C
Bell-LaPadula模型简称为BLP模型，BLP模型的访问原则 是不上读/不下写，以此保证数据的保密性。不上读意味着只 有当主体安全级别高于等于客体安全级别时，才允许主体对客 体进行读操作。不下写意味着只有当主体安全级别低于等于客 体安全级别时，才允许主体对客体进行写操作。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
一、入站规则和出站规则
个人防火墙的核心功能是阻止会话建立。对于 会话发起方，阻止会话建立的方法是禁止输出会话 发起方发送的用于创建会话的报文。对于会话响应 方，阻止会话建立的方法是禁止输入会话发起方发 送的用于创建会话的报文。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统一、入站规则和出站规则
对于ICMP ECHO请求、响应过程，一次ICMP ECHO请求、响应过程属于一个会话，会话用ICMP ECHO报文两端IP地址和序号（或标识符）唯一标识。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
一、入站规则和出站规则
操作
向上读（RU）当主体安全级别低于客体安全级别时，允许主体对客体进行 读操作。
向下写（WD）当主体安全级别高于客体安全级别时，允许主体对客体进行 写操作。
向上写（WU）当主体安全级别低于客体安全级别时，允许主体对客体进行 写操作。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
二、访问控制模型
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
二、访问控制模型
主体 禁止写 S 允许写 允许写 客体 T S C 主体 T 允许读 禁止读 客体 T S C
Biba模型的访问原则是不下读/不上写，以此保证数据的 完整性。不下读意味着只有当主体安全级别低于等于客体安全 级别时，才允许主体对客体进行读操作。不上写意味着只有当 主体安全级别高于等于客体安全级别时，才允许主体对客体进 行写操作。
14.1 计算机安全威胁和安全技术
本讲主要内容 安全威胁； 安全技术。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
一、安全威胁
Internet 计算机 黑客
如图所示的应用环境下，计算机面临以下安全威胁： 病毒； 黑客； 越权访问。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
计算机安全技术 病毒防御技术 入侵防御系统
二、访问控制模型
自主访问控制 模型（DAC） 访问矩阵 模型 访问控制表 （ACL） 访问能力表 （Capacity List） Bell-Lapudula 模型
访问控制 模型
强制访问控制 模型（MAC）
保密性 模型 完整性 模型
Biba 模型
基于角色访问控 制模型（RBAC）
二、安全技术
基于主机的防御技术 ： 病毒防御技术； 个人防火墙； 主机入侵检测系统 访问控制。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
14.2 访问控制
本讲主要内容 基本术语； 访问控制模型； 审计； Windows 7访问控制机制。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
一、基本术语
授权 数据库 系统管理员 身份 鉴别 用户 访问 控制 客体
引用监视器
审计
授权数据库中为每一个用户设置了访问权限，通常由系统管理员为每一个用户 分配访问权限。引用监视器根据已经完成身份鉴别过程的用户和授权数据库，确定 该用户允许访问的客体和允许对客体进行的操作。访问控制保障该用户只能访问允 许访问的客体，且只能对允许访问的客体进行允许进行的操作。审计对用户使用何 种信息资源、在何时使用、以及如何使用（执行何种操作）进行记录和分析。 计算机网络安全
网络安全
第十四章
© 2006工程兵工程学院 计算机教研室
计算机安全技术 病毒防御技术 入侵防御系统
第14章 计算机安全技术
本章主要内容 计算机安全威胁和安全技术； 访问控制； Windows 7防火墙； Windows 7网络管理和监测命令。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
访问控制模型分类
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
二、访问控制模型
操作 操作
客体
资源 X 读、修改、管理
资源 Y
资源 Z 读、修改、管理
主体
用户 A 用户 B 用户 C 读 读、修改、管理 读、修改
访问控制矩阵中的每一行代表一个主体，每一列 代表一个客体，行列交叉的单元格给出该行代表的主 体允许对该列代表的客体进行的操作。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
三、审计
分析器以日志数据为输入，完成以下分析过程。 潜在侵害分析。可以事先为分析器制定一些规则，这些规则 描述了发生入侵时的事件模式，一旦分析器在日志记录的事件 中，发现与规则匹配的事件模式，意味着系统存在入侵的可能 性。 异常分析。分析器可以通过阈值和规则描述用户的正常行为， 一旦日志记录的与某个用户有关的统计数据与描述该用户正常 行为的阈值相差甚远，可以确定该用户的行为异常。 入侵行为分析。分析器可以加载入侵特征库，入侵特征库中 给出已知入侵的事件模式，一旦日志记录的事件与入侵特征库 中某个已知攻击的事件模式匹配，确定系统发生该入侵行为。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
二、访问控制模型
操作
用户 A
资源 Z 读、修改、管理 读、修改、管理 资源 Y 读、修改、管理
资源 X
用户 B
用户 C
资源 X 读
资源 Y 读、修改
访问能力表（ACCL）以主体为中心，为每一个主体分配访 问权限。如图所示，主体用户A具有对客体资源X和资源Z进行 读、修改和管理等访问操作的访问权限。
对于TCP连接，会话发起方是发送请求建立TCP连接 的请求报文的一方，响应方是发送同意建立TCP连 接的响应报文的一方。 对于UDP报文，会话发起方是发送创建UDP会话的第 一个UDP报文的一方，响应方是接收创建UDP会话的 第一个UDP报文的一方。 对于ICMP ECHO请求、响应过程，会话发起方是发 送ICMP ECHO请求报文的一方，响应方是发送对应 的ICMP ECHO响应报文的一方。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
二、访问控制模型
在强制访问控制中，每一个主体和客体赋予一个安全级别。安全级别 通常分为绝密级（T）、秘密级（S）、机密级（C）、限制级（R）和无密 级（U）。这些安全级别之间满足以下关系：T＞S＞C＞R＞U，T＞S表示绝 密级高于秘密级。 强制访问控制根据主体和客体的安全级别决定以下访问模式。 向下读（RD）当主体安全级别高于客体安全级别时，允许主体对客体进行 读操作。
资源 Y 计算机 B ③票据
资源 Z 计算机 C
①身份 鉴别
资源 X 资源 Z （读、修改、管理） （读、修改、管理） 访问控制主机 用户 B 资源 Y （读、修改、管理） 用户 C 资源 X 资源 Y （读） （读、修改） ②票据
用户 用户 A
授权
用户 A
访问能力表一般用于对客体分布式管理的应用环境，这种 应用环境下，如果采用访问控制表实施访问控制过程，用户A 访问资源X和资源Z时，需要分别由计算机A和计算机C完成身份 鉴别过程。如果采用访问能力表实施访问控制过程，可以由访 问控制主机统一完成身份鉴别过程。
计算机网络安全