第10章 网络安全
• 从计算机系统可靠性方面可以采取的网络安全性措施有：
1）选择性能优良的服务器。 2）采用服务器备份。 3）对重要网络设备、通信线路备份。
网络安全的评估
• 网络安全评估是网络安全的必不可少的工作，评估的内容有：
• 确定有关网络安全的方案， • 对已有的网络安全方案进行审查； • 确定与网络安全方案有关的人员，并确定对 网络资源可以直接存取的人或单位（部门）； • 确保所需要的技术能使网络安全方案得以落 实；
第10章 网络安全
本章内容
网络安全基本概念 信息安全技术 防火墙技术 网络病毒
网络安全基本概念 什么是网络安全？
网络安全主要解决数据保密和认证 的问题。
数据保密就是采取复杂多样的措施对数据加 以保护，以防止数据被有意或无意地泄露给 无关人员。
认证分为信息认证和用户认证两个方面
信息认证是指信息从发送到接收整个通路中没有 被第三者修改和伪造，
程中保持不被修改、不被破坏和丢失的特性；
• 可用性：可被授权实体访问并按需求使用的特性，即当需要时应能存
取所需的信息，网络环境下拒绝服务、破坏网络和有关系统的正常运 行等都属于对可用性的攻击；
• 可控性：对信息的传播及内容具有控制能力。
主要的网络安全的威胁
（1）非授权访问（unauthorized access）：
制定安全策略涉及四方面
•网络用户的安全责任 •系统管理员的安全责任 •正确利用网络资源 •检测到安全问题时的对策
计算机安全的分类
• 根据中国国家计算机安全规范，计算机的安全大致可分为三类：
1）实体安全。包括机房、线路、主机等； 2）网络安全。包括网络的畅通、准确以及网上信息的安全； 3）应用安全。包括程序开发运行、I/O、数据库等的安全。
网络安全分类
• 基本安全类：包括访问控制、授权、认证、加密以 及内容安全。
• 管理与记账类安全：包括安全的策略的管理、实时 监控、报警以及企业范围内的集中管理与记账。
• 网络互联设备包括路由器、通信服务器、交换机等， 网络互联设备安全正是针对上述这些互联设备而言 的，它包括路由安全管理、远程访问服务器安全管 理、通信服务器安全管理以及交换机安全管安全系统至少包括三类措施：
• 社会的法律政策，企业的规章制度及网络安全教育等外部环境； • 技术方面的措施，如防火墙技术、防病毒。信息加密、身份确认以及授权
等；
。 • 审计与管理措施，包括技术与社会措施
网络信息安全系统组成
网络安全策略考虑因素
• 对于内部用户和外部用户分别提供哪些服务程 序；
用户认证是指用户双方都能证实对方是这次通信 的合法用户。通常在一个完备的保密系统中既要 求信息认证，也要求用户认证。
网络安全包括OSI-RM各层
• 事实上，每一层都可以采取一定的措施来防止某 些类型的网络入侵事件，在一定程度上保障数据 的安全。
物理层——可以在包容电缆的密封套中充入高压 的氖气;
• 确定内部网络的类型。 • 确定接入互联网的方式 • 确定单位内部能提供互联网访问的用户，并 明确互联网接入用户是固定的还是移动的；
• 是否需要加密，如果需要加密，必须说明要 求的性质
第10章 网络安全
本章内容
网络安全基本概念 信息安全技术 防火墙技术 网络病毒
信息安全技术
• 数据加密 • 用户认证 • 数字签名 • 加密技术应用案例
（1）运行系统安全，即保证信息处理和传输系统 的安全。 （2）网络上系统信息的安全。 （3）网络上信息传播的安全，即信息传播后果的安全。 （4）网络上信息内容的安全，即我们讨论的狭义的“信息安全”。
网络安全应具备四个特征
• 保密性：信息不泄露给非授权的用户、实体或过程，或供其利用的特
性；
• 完整性：数据未经授权不能进行改变的特性，即信息在存储或传输过
一个非授权的人的入侵。
（2）信息泄露（disclosure of information）：
造成将有价值的和高度机密的信息暴露给无权访问该信息的人的所有问题。
（3）拒绝服务（denial of service）：
使得系统难以或不可能继续执行任务的所有问题。
网络安全的关键技术
• 主机安全技术 • 身份认证技术 • 访问控制技术 • 密码技术 • 防火墙技术 • 病毒防治技术 • 安全审计技术 • 安全管理技术
• 连接控制类包括负载均衡、可靠性以及流量管理等。
安全威胁的类型
• 非授权访问 • 假冒合法用户 • 数据完整性受破坏 • 病毒 • 通信线路被窃听 • 干扰系统的正常运行，改变系统正常运行的方向，以 及延时系统的响应时间
计算机系统本身的弱点
• 操作系统的创建进程机制 • 远程过程调用（RPC）服务以及它所安排的无口 令入口 • 存在超级用户 • 硬件或软件故障 • 协议安全的脆弱性 • 数据库管理系统安全的脆弱性
链路层——可以进行所谓的链路加密，即将每个 帧编码后再发出，当到达另一端时再解码恢复出来;
网络层——可以使用防火墙技术过滤一部分有嫌 疑的数据报;
在传输层上甚至整个连接都可以被加密。
网络安全定义
网络安全是指网络系统的硬件、软件及其系 统中的数据受到保护，不受偶然的或者恶意的原 因而遭到破坏、更改、泄露，系统连续可靠正常 地运行，网络服务不中断。
26
数据加密
P=Dk（Ek（P））
网络入侵
• 网络入侵者分为消极入侵者和积极入侵者两种
• 消极入侵者只是窃听而已，并不对数据造成破坏； • 积极入侵者会截获密文，篡改数据甚至伪造假数据送入网中。
密码分析和密码学
• 初始投资额和后续投资额（新的硬件、软件及 工作人员）；
• 方便程度和服务效率； • 复杂程度和安全等级的平衡以及网络性能。
网络安全关键技术
信息包筛选（基于包过滤的防火墙）
网络安全关键技术 应用中继器（代理技术）
网络安全关键技术
•加密技术
网络安全系统提供安全的常用方法
• 用备份和镜像技术提高数据完整性 • 病毒检查 • 补丁程序，修补系统漏洞 • 提高物理安全 • 安装因特网防火墙 • 废品处理守则 • 仔细阅读日志 • 加密 • 执行身份鉴别，口令守则 • 捕捉闯入者
第章网络设备安全课件
默认情况下利用设备加电重启期间的BREAK方式可以进入ROMMON监听模式进行口令恢复。任何人只要物理接触到设备就可以使用这个方法达到重设口令非法进去侵入的目的。通过no service password-recovery命令来关闭ROMMON监听模式，避免由此带来的安全隐患。 3640(config)#no service password-recovery 禁用ROMMON。 3640(config)#service password-recovery 启用ROMMON，Cisco未公开的两条命令，必须手工完整键入后才可以执行。 ...... 3640(config)#no service password-recovery
第10章 网络设备安全
本章重点 物理安全 口令管理 SNMP及其安全配置 HTTP管理方式安全管理 终端访问控制方式 设备安全策略
10.1 物理安全
工作环境安全 网络设备安装环境须从设备的安全与稳定运行方面考虑：防盗、防火、防静电、适当的通风和可控制的环境温度；确保设备有一个良好的电磁兼容工作环境。只有满足这些基本要求，设备才能正常、稳定、可靠、高效运行。
口令加密 禁止明文显示
enable secret用MD5加密方式来加密口令， enable secret 优先级高于enable password， enable password 以明文显示口令； 两者所设口令不能相同并且当两者均已设置时只有enable secret口令起作用，enable password口令自动失效。 service password-encryption命令采用了可逆的弱加密方式，加密后的密码可以通过一些工具进行逆向破解，enable secret采用md5方式加密，安全性较强，在建立用户与口令时建议用username / secret取代username / password（IOS12.2(8)T后可以用secret对username的密码做MD5加密）。
第10章 计算机信息系统安全 习题与答案
第10章计算机信息系统安全习题（P257-258）一、复习题1、计算机网络系统主要面临哪些威胁？答：由于黑客的攻击、管理的欠缺、网络的缺陷、软件的漏洞或“后门”，还有网络内部的威胁（比如用户的误操作，资源滥用和恶意行为使得再完善的防火墙也无法抵御来自网络内部的攻击，也无法对网络内部的滥用做出反应）等安全问题的根源。
网络信息安全主要面临以下威胁。
非授权访问：非授权访问主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
非授权访问的威胁涉及到受影响的用户数量和可能被泄露的信息。
入侵是一件很难办的事，它将动摇人的信心。
而入侵者往往将目标对准政府部门或学术组织。
信息泄漏或丢失：指敏感数据在有意或无意中被泄漏出去或丢失，它通常包括，信息在传输中丢失或泄漏，信息在存储介质中丢失或泄漏，通过建立隐蔽隧道等窃取敏感信息等。
具有严格分类的信息系统不应该直接连接Internet。
破坏数据完整性：以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用。
拒绝服务攻击：拒绝服务攻击不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。
利用网络传播病毒，通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范。
2、简述计算机网络信息系统的安全服务与安全机制。
答：通常将为加强网络信息系统安全性及对抗安全攻击而采取的一系列措施称为安全服务。
ISO7498-2中定义的5类安全服务是：数据完整性，鉴别，数据保密，访问控制，不可否认，这5类安全服务同面的安全目标的5个方面基本对应。
安全机制是实现安全服务的技术手段，表现为操作系统、软硬件功能部件、管理程序以及它们的任意组合。
信息系统的安全是一个系统的概念，为了保障整个系统的安全可以采用多种机制。
网络安全实用技术答案
选择题部分：第一章：(1)计算机网络安全是指利用计算机网络管理控制和技术措施，保证在网络环境中数据的、完整性、网络服务可用性和可审查性受到保护。
A．保密性(2)网络安全的实质和关键是保护网络的安全。
C．信息(3)实际上，网络的安全问题包括两方面的内容：一是，二是网络的信息安全。
D．网络的系统安全(4)在短时间内向网络中的某台服务器发送大量无效连接请求，导致合法用户暂时无法访问服务器的攻击行为是破坏了。
C．可用性(5)如果访问者有意避开系统的访问控制机制，则该访问者对网络设备及资源进行非正常使用属于。
B．非授权访问(6)计算机网络安全是一门涉及计算机科学、网络技术、信息安全技术、通信技术、应用数学、密码技术和信息论等多学科的综合性学科，是的重要组成部分。
A．信息安全学科(7)实体安全包括。
B．环境安全、设备安全和媒体安全(8)在网络安全中，常用的关键技术可以归纳为三大类。
D．预防保护、检测跟踪、响应恢复第二章：(1)加密安全机制提供了数据的______.D．保密性和完整性(2)SSI．协议是______之间实现加密传输协议。
A．传输层和应用层(3)实际应用时一般利用_____加密技术进行密钥的协商和交换．利用_____加密技术进行用户数据的加密。
B．非对称对称(4)能在物理层、链路层、网络层、传输层和应用层提供的网络安全服务是。
B．数据保密性服务(5)传输层由于可以提供真正的端到端链接，因此最适宜提供安全服务。
D．数据保密性及以上各项(6)VPN的实现技术包括。
D．身份认证及以上技术第三章：(1)网络安全保障包括信息安全策略和。
D．上述三点(2)网络安全保障体系框架的外围是。
D．上述三点(3)名字服务、事务服务、时间服务和安全性服务是提供的服务。
C．CORBA网络安全管理技术(4)一种全局的、全员参与的、事先预防、事中控制、事后纠正、动态的运作管理模式是基于风险管理理念和。
A．持续改进模式的信息安全运作模式(5)我国网络安全立法体系框架分为。
第10章 网络安全
2016/2/29
2
网络安全的特征
1．保密性 保密性是指信息按给定要求，信息不泄露给非授权 的用户、实体或过程，或供其利用的特性，即杜绝 有用信息泄漏给非授权个人或实体，强调有用信息 只被授权对象使用的特征。 2．完整性 完整性是指信息在传输、交换、存储和处理过程中， 保持不被修改、不被破坏和丢失的特性，即保持信 息原样性，使信息能正确生成、存储、传输，这是 最基本的安全特征。
第10章 网络安全 计算机网络 18
2016/2/29
状态监测防火墙
这种防火墙具有非常好的安全性，它使用了一 个在网关上执行网络安全策略的软件模块，称 为监测引擎。 监测引擎在不影响网络正常运行的前提下，采 用抽取有关数据的方法对网络通信的各层实施 监测。抽取状态信息后，将其动态地保存起来 以作为以后执行安全策略的参考。 监测引擎支持多种协议和应用程序，并可以很 容易地实现应用和服务的扩充。
2016/2/29
第10章 网络安全
计算机网络
13
网络安全管理策略
在网络安全中，除了采用上述技术之外，加强 网络的安全管理，制定有关规章制度，对于确 保网络的安全和可靠地运行，都将起到十分有 效的作用。 网络的安全管理策略包括：确定安全管理等级 和安全管理范围，制订有关网络操作规程和人 员出入机房管理制度，制定网络系统的维护制 度和应急措施等。
第10章
网络安全
主编：袁宗福 机械工业出版社
本章内容
1 网络安全概述
2 网络安全的特征 3 网络安全的威胁 4 网络安全策略 5 防火墙技术
6 局域网安全防范技术
第10章计算机网络安全
选用口令应遵循的原则 增强口令安全性措施 其他方法
选择性访问控制技术
2013年7月
计算机网络基础
14
设备安全
调制解调器安全 通信介质的安全 计算机与网络设备的物理安全
2013年7月
计算机网络基础
15
防火墙技术
使用防火墙可用于“安全隔离”，其实质就是限制什么数据可以“通 过”防火墙进入到另一个网络 防火墙使用硬件平台和软件平台来决定什么请求可以从外部网络 进入到内部网络或者从内部到外部，其中包括的信息有电子邮件 消息、文件传输、登录到系统以及类似的操作等。
第10章 计算机网络安全
本章主要内容
计算机网络安全的概念； 计算机网络对安全性的要求； 访问控制技术和设备安全； 防火墙技术； 网络安全攻击及解决方法； 计算机网络安全的基本解决方案。
2013年7月
计算机网络基础
2
计算机网络安全概述
背景介绍 对计算机网络安全性问题的研究总是围绕着信息 系统进行，其主要目标就是要保护计算资源，免 受毁坏、替换、盗窃和丢失，而计算资源包括了 计算机及网络设备、存储介质、软硬件、信息数 据等。
无安全防卫； 模糊安全防卫； 主机安全防卫； 网络安全防卫 ；
2013年7月
计算机网络基础
27
常用的安全措施原则
建立最小特权； 多种安全机制； 控制点原则； 解决系统的弱点； 失败时的安全策略； 全体人员的共同参与；
2013年7月
计算机网络基础
28
2013年7月
计算机网络基础
7
计算机网络安全的要求——可用性
第10章-网络安全-沈鑫剡-清华大学出版社
计算机网络安全
虚拟专用网络
二、 VPN定义和需要解决的问题
LAN 2 R2 隧道 LAN 1 R1 IP 网络 隧道 R3 隧道 LAN 3
用IP隧道互连子网的VPN结构
计算机网络安全
虚拟专用网络
三、 VPN分类
隧道 互联网 终端
第二层隧道和IPSec
隧道用于实现PPP帧传输过程。 通过安全关联，一是可以完成隧道两端之间的双向身份鉴别过程， 二是可以实现经过安全关联传输的以隧道两端的全球IP地址为源和目的IP 地址的IP分组的保密性和完整性。
计算机网络安全
R
内部网络
虚拟专用网络
三、 VPN分类
Web 服务器 HTTP HTTPS 终端 SSL VPN 网关 SMTP+POP3 FTP FTP 服务器 邮件服务器
SSL VPN
远程终端通过HTTPS访问SSL VPN网关。以此实现远程终端与SSL VPN网关之间 的双向身份鉴别，保证远程终端与SSL VPN网关之间传输的数据的保密性和完整性。 SSL VPN网关作为中继设备，可以将远程终端访问内部网络资源的请求消息转 发给内部网络中的服务器，也将内部网络服务器发送的响应消息，转发给远程终端。
网络安全
第十章
© 2006工程兵工程学院 计算机教研室
虚拟专用网络
第10章 虚拟专用网络
本章主要内容 VPN概述； 第三层隧道和IPSec； 第二层隧道和IPSec； SSL VPN。
计算机网络安全
虚拟专用网络
10.1 VPN概述
计算机网络基础10章-园区网安全
授人以鱼不如授人以渔
ACL工作原理及规则 ACL工作原理及规则
ACL放置在什么位置 ACL放置在什么位置: 放置在什么位置:
宣传教育
授人以鱼不如授人以渔
课程议题
朱明工作室
zhubob@
交换机端口安全
授人以鱼不如授人以渔
交换机端口安全概述
朱明工作室
zhubob@
交换机的端口安全机制是工作在交换机二层端口上的 一个安全特性
只允许特定MAC地址的设备接入到网络中， 只允许特定MAC地址的设备接入到网络中，从而防止用户将非法或未授权的设备接入网 地址的设备接入到网络中 络。 限制端口接入的设备数量，防止用户将过多的设备接入到网络中。 限制端口接入的设备数量，防止用户将过多的设备接入到网络中。
设置端口从“err-disabled” 设置端口从“err-disabled”状态自动恢复所等待的时间
Switch(conifg)#
errdisable recovery interval time
授人以鱼不如授人以渔
朱明工作室
zhubob@
Switch(conifg-if)#
switchport port-security aging{static | time time }
配置安全地址的老化时间
Switch(conifg-if)#
关闭一个接口的安全地址老化功能（ time 关闭一个接口的安全地址老化功能（老化时间为0 no switchport port-security aging老化时间为0）
Switch(conifg-if)# 使老化时间仅应用于动态学习到的安全地址
授人以鱼不如授人以渔
端口安全的配置
Switch(conifg-if)#
第十章 网络安全
息摘要等加密算法对信息进行加密、解密，实现对信息 完整性的验证。
目前最常用的信息完整性验证的算法是信息摘要算 法，如MD5等。
2. 用户鉴别
常用的用户鉴别方式有如下几种:
1) 基于共享秘密密钥的鉴别 2) 基于公开密钥的鉴别 3) 基于信息摘要的鉴别 4) 基于密钥分配中心的鉴别
4.访问控制
访问控制是指网络系统对访问它的用户所实施的 控制。网络系统对于其中的数据、文件、程序、目录、 存储部件、软件系统等可访问对象，赋予用户不同等 级的权限，只有拥有权限的用户，才能对网络中的可 访问对象进行相应类型的操作。
访问控制包括三个组成元素： 可访问对象、访问用户和访问类型
5.防火墙技术
它们是判明和确认通信双方真实身份的两个重要环节，合称 为身份验证。
常用的身份验证方法有: 用户名、口令、一次性口令、数字签名、数字证书、 PAP认证(Password Authentication Protocol)、CHAP 认证(Challenge-Handshake Authentication Protocol) 以及集中式安全服务器等。
10.3 数据加密技术
数据安全的基础是数据加密，其核心是设计高强 度的加密算法。它由加密和解密两部分组成。密钥是 加密算法的核心。只要将密钥保护好，即使攻击者掌
握了加密算法，也无法得到由此密钥产生的密文。
10.3.1 10.3.2 10.3.3 10.3.4
传统加密算法 秘密密钥加密算法 公开密钥加密算法 信息摘要算法
代理服务器的主要功能：
中转数据
记录日志
对用户进行分级管理，设置不同用户的访问权限，对外界或内部 的Internet地址进行过滤，设置不同的访问权限。
第十章网络信息安全
第十章网络信息安全练习题一、单项选择题1．下列选项中，不是网络信息安全的技术特征。
A．可靠性B．可用性C．保密性D．可行性2．下列选项中，不是网络信息安全所面临的自然威胁。
A.自然灾难B. 恶劣的场地环境C. 电磁辐射和电磁干扰D. 偶然事故3．下列选项中，不是计算机犯罪的特点。
A. 犯罪智能化B. 犯罪分子低龄化C. 犯罪手段公开D. 跨国性4．下列选项中，不是计算机病毒的特点。
A. 可执行性B. 破坏性C. 遗传性D. 潜伏性5．计算机病毒通常分为引导区型、、混合型和宏病毒等四类。
A．恶性B．扩展名C．文件型 D.潜伏型6．下列选项中，不是黑客行为特征的表现形式。
A．恶作剧型B．隐蔽攻击型C．定时炸弹型 D.解决矛盾型7．密码学中，发送方要发送的消息称做。
A．原文B．密文C．明文D．数据8．非法接收者试图从密文分析出明文的过程称为。
A．破译B．解密C．读取D．翻译9．以下不是单钥密码算法的是________。
A．DES B．RSA C．IDEA D．LOKI10．下列选项中，不是防火墙的类型。
A．网络层防火墙B．应用层防火墙C．链路层防火墙D．物理层防火墙11. 信息安全所面临的威胁来自于很多方面。
这些威胁大致可分为自然威胁和人为威胁。
下列不属于人为威胁的是____。
A．人为攻击B．安全缺陷C．结构隐患D．电磁辐射和电磁干扰12. 我国的第一个计算机安全法规，也是我国计算机安全工作的总纲是94年颁布的___。
A．《计算机软件保护条例》B。
《计算机软件著作权登记办法》C．《中华人民共和国计算机信息系统安全保护条例》D。
《互联网著作权行政保护办法》13. 防火墙不具有基本功能是______。
A．过滤进出网络的数据包B．管理进出网络的访问行为，封堵某些禁止的访问行为C．防止感染了病毒的软件或文件的传输D．记录通过防火墙的信息内容和活动；对网络攻击进行检测和告警二、填空题1．可靠性是指网络信息系统能够在规定条件下和规定时间内完成规定功能的特性。
网络安全实用技术答案
选择题部分：第一章：(1)计算机网络安全是指利用计算机网络管理控制和技术措施，保证在网络环境中数据的、完整性、网络服务可用性和可审查性受到保护。
A．保密性(2)网络安全的实质和关键是保护网络的安全。
C．信息(3)实际上，网络的安全问题包括两方面的内容：一是，二是网络的信息安全。
D．网络的系统安全(4)在短时间内向网络中的某台服务器发送大量无效连接请求，导致合法用户暂时无法访问服务器的攻击行为是破坏了。
C．可用性(5)如果访问者有意避开系统的访问控制机制，则该访问者对网络设备及资源进行非正常使用属于。
B．非授权访问(6)计算机网络安全是一门涉及计算机科学、网络技术、信息安全技术、通信技术、应用数学、密码技术和信息论等多学科的综合性学科，是的重要组成部分。
A．信息安全学科(7)实体安全包括。
B．环境安全、设备安全和媒体安全(8)在网络安全中，常用的关键技术可以归纳为三大类。
D．预防保护、检测跟踪、响应恢复第二章：(1)加密安全机制提供了数据的______.D．保密性和完整性(2)SSI．协议是______之间实现加密传输协议。
A．传输层和应用层(3)实际应用时一般利用_____加密技术进行密钥的协商和交换．利用_____加密技术进行用户数据的加密。
B．非对称对称(4)能在物理层、链路层、网络层、传输层和应用层提供的网络安全服务是。
B．数据保密性服务(5)传输层由于可以提供真正的端到端链接，因此最适宜提供安全服务。
D．数据保密性及以上各项(6)VPN的实现技术包括。
D．身份认证及以上技术第三章：(1)网络安全保障包括信息安全策略和。
D．上述三点(2)网络安全保障体系框架的外围是。
D．上述三点(3)名字服务、事务服务、时间服务和安全性服务是提供的服务。
C．CORBA网络安全管理技术(4)一种全局的、全员参与的、事先预防、事中控制、事后纠正、动态的运作管理模式是基于风险管理理念和。
A．持续改进模式的信息安全运作模式(5)我国网络安全立法体系框架分为。