第7章计算机网络数据安全和网络管理.docx

第7章计算机网络数据安全和网络管理.docx

《第7章计算机网络数据安全和网络管理.docx》由会员分享，可在线阅读，更多相关《第7章计算机网络数据安全和网络管理.docx（27页珍藏版）》请在冰点文库上搜索。

第7章计算机网络数据安全和网络管理

第七章计算机网络数据安全和网络管理

教学内容：

7．1计算机网络安全

7．2网络管理

7．3指挥自动化计算机网络要求

教学重点：

计算机网络安全

教学难点：

计算机网络安全

教学时间：

4学时

课程性质：

计算机网络技术基础学科。

基本理念：

网络技术主要是以硬件和协议分析，以及相关的通信技术，网络互连和数据安全等各个方面的学习。

教学思路：

是以计算机网络数据的安全为主，为学生简单介绍常用的用于保护网络数据安全的策略和算法，主要是以实际应用过程和方法为主。

内容目标：

本章是要通过学习，使学生了解网络安全的基础知识，特别是用于计算机安全的相关策略、应用和特点作出说明。

实践分析：

因为内容和实际应用有一定的联系，所以可以通过实例分析和说明的方式更生动的讲述相关内容。

问题思考：

对一些重要的内容，对学生提出问题，使他们能够自己思考理解。

具体问题：

1、网络安全的威胁因素有哪些？

2、网络安全策略有哪些？

3、密钥密码体制有几种？

4、防火墙实现技术有几种？

5、如果你要组建一个网络，你会采用什么安全策略。

第七章计算机网络数据安全和网络管理

第一节计算机网络安全

计算机网络数据安全和网络管理在网络中是十分重要的概念。

包括计算机网络安全标准，数据加密技术中DES和RS基本概念以及防火墙技术等。

一、网络安全的威胁因素

威胁可分为两种：

对网络中信息的威胁和对网络中设备的威胁。

威胁网络安全的因素很多，有些因素可能是人为的破坏，也有的可能是非人为的失误。

网络安全的威胁因素：

（1）物理破坏。

对于一个网络系统而言，其网络设备可能会遇到诸如地震、雷击、火灾、水灾等一类天灾的破坏，以及由于设备被盗、鼠咬、静电烧毁等而引起的系统损坏。

（2）系统软件缺陷。

网络系统软件，包括网络操作系统和应用程序等，不可能百分之百的无缺陷和无漏洞。

无论是Windows或者UNIX都存在或多或少的安全漏洞，这些漏洞恰恰是黑客进行攻击的首选目标。

有些软件公司的设计编程人员为了方便调试程序，在软件中设置了“后门”。

（3）人为失误。

系统管理员在进行网络管理时，难免出现人为失误。

这些人为失误包括诸如对防火墙配置不当而造成安全漏洞；用户口令选择不慎或长期没有变动；访问权限设置不当；内部人员之间口令管理不严格，以及无意识的误操作。

（4）网络攻击。

网络攻击是计算机网络所面临的最大威胁。

网络攻击可以分为两种：

主动攻击和被动攻击。

主动攻击是以中断、篡改、伪造等多种方式，破坏信息的有效性和完整性，或冒充合法数据进行欺骗，以至破坏整个网络系统的正常工作。

被动攻击则是在不影响网络正常工作的情况下，通过监听、窃取、破译等非法手段，以获得重要的网络机密信息。

（5）计算机病毒。

如今网络上传播的计算机病毒，其传播范围更广，破坏性更大。

病毒对网络资源进行破坏，干扰网络的正常工作，甚至造成整个网络瘫痪，破坏硬件。

二、网络安全的要素和安全等级

1．网络安全的要素

网络安全的要素涉及保密性、完整性、可用性、可控性和可审查性。

（1）保密性：

只有获得授权的用户才允许访问数据，包括显示、打印。

（2）完整性：

只有获得授权的用户才允许增加、删除和修改数据，即确保数据传递的一致性。

（3）可用性：

获得授权的合法用户或进程，只要需要就可以随时访问相应的数据。

（4）可控性：

对授权范围内的信息可以对其流向及行为方式进行控制。

（5）可审查性：

能对出现的网络安全问题提供调查的依据和手段。

2．网络安全的安全等级

为了判断一个计算机系统的安全性是否得当，帮助用户解决网络安全问题，一些组织各自制定了一套安全评估准则。

其中国外一些重要的安全评估准则有如下几种：

（1）美国国防部（DOD）的可信计算机系统评估准则（TCSEC）。

（2）欧洲共同体的信息技术安全评测准则（ITSEC）。

（3）ISO国际标准。

（4）美国联邦标准。

TCSEC准则将计算机的安全等级分为四类七级，由低到高依次为D1、C1、C2、B1、B2、B3、A1。

从D1到A1，对安全的要求逐渐变得越来越苛刻，能够得到的安全保障也越来越高，但安全处理所需费用也相应提高。

了解各级标准，有利于衡量一个计算机平台的安全性，包括系统硬件及其操作系统的安全性，以及更好地防范各种安全风险。

TCSEC准则中各级的名称如下：

Al：

可验证安全设计级

B3：

安全域级

B2：

结构化安全保护级

B1：

标记安全保护级

C2：

受控访问保护级

C1：

自主安全保护级

D1：

最低的保护级

在上述七个级别中，A1和B3级是最高安全的等级。

它们经得起程度不同的严格测试和攻击，但成本也很高，只用于极其重要的应用。

B2级和B1级属于中等安全保护级别，可满足重要应用的安全要求。

目前，我国普遍应用的计算机，其操作系统大都是引进国外的属于C1级和C2级产品。

对于一般商业环境中的操作系统，C2级安全保护已经够用了。

常见的MS-DOS、Windows3.x／Windows95（非工作组方式）计算机系统属于Dl级。

三、网络安全策略

网络安全受到多方面的威胁，必需采用必要的安全策略，以保证网络正常运行。

下面介绍几种常见的网络安全策略：

1．物理安全

物理安全是指保护网络系统，包括网络服务器、工作站和其他计算机设备等软硬件实体，以及通信链路和配套设施，不被人为破坏或免受自然灾害损害。

【加强设备运行环境的安全保护和严格安全管理制度】

2．访问控制

访问控制是网络安全防范和保护的主要策略。

其目的是保护网络资源不被非法使用和非法访问。

具体方法包括：

（1）身份认证。

身份认证是对用户入网访问时进行身份识别。

常用的技术是验证用户的用户名和口令（密码），只有全部确认无误，用户才能进入网络系统，否则系统将拒绝。

（2）权限控制。

进入系统的用户被授予一定的操作权限。

这些权限控制用户只能访问某些目录、文件和其它资源，并只能进行指定的相关操作，不能越权使用系统，因而可以防止造成系统的破坏或者泄露机密信息。

3．数据加密

数据加密技术是保证网络安全的重要手段，具体实现技术包括对称性加密和非对称性加密两类。

4．防火墙

防火墙技术是一种由软、硬件构成的安全系统。

它设置在外部网络和内部网络之间。

通过一定的安全策略，可以抵御外部网络对内部网络的非法访问和攻击。

【包过滤和代理服务】

四、数据加密技术

数据在网络中传输时，由于网络的不安全性，往往需要对数据进行加密，即将传输的明文加密成密文。

1．数据加密模型

数据加密技术中。

数据加密过程中涉及到加密密钥和解密密钥，根据加密密钥和解密密钥是否相同，

常规密钥密码体制和公开密钥密码体制。

【对称性加密和非对称性】

2．密钥密码体制

（1）常规密钥密码体制。

常规密钥密码体制中，加密密钥和解密密钥是相同的，因此又称为对称密钥体制或单密钥体制。

在常规加密的模型中，输入的信息包括明文和密钥，经加密算法操作后将输出密文。

【这种加密技术计算量小，加密效率高。

安全地传输和管理密钥是一个比较困难的工作】

常规密钥密码体制中的典型代表是计算机网络中广泛使用的DES（DigitalEncryptionStandard）算法。

其保密性主要取决于密钥的保密程度。

（2）公开密钥密码体制。

公开密钥密码体制中，加密密钥和解密密钥是不相同的。

其中加密密钥是公开的，在网上公布，称为“公用密钥”；解密密钥是保密的，由接收方妥善保管，称为“私有密钥”。

因此这种密钥体制又称为非对称密钥体制或双密钥体制。

公开密钥密码体制的密钥分配简单，管理方便。

也可以进行数字签名，可以保证数据完整性和不可否认性。

这种情况下，发送方使用自己的私有密钥对数据进行加密，接收方则使用发送方已公开的公用密钥对该“数字签名”施行“解密”。

【RSA（RivetsShamirAdleman）算法】

五、防火墙技术

防火墙技术被认为是一种十分有效的防止外部入侵的工具。

防火墙是一种隔离控制技术。

设置在被保护网络和外部网络之间，通过监测、限制某些数据的进入或发出，尽可能地对外屏蔽网络内部的信息。

可以阻止外部网络对内部网络的非法访问，防止内部信息资源泄露、窃取和篡改，并且可以阻止内部信息从网络非法输出。

【采用封堵端口的方式】

防火墙是一种被动防卫技术，防止非法用户入侵内部网络，对内部的非法访问难以有效地控制。

防火墙是在内部网络Interanet和外部网络Internet之间建立一道安全屏障。

1．防火墙的实现技术

包括包过滤技术、应用网关技术。

（1）包过滤（PacketFilter）。

包过滤技术中使用的主要设备是带有包过滤功能的路由器或者是使用软件进行包过滤的主机。

通过在路由器上设置过滤规则，检查数据包中的源IP地址、目的IP地址、源TCP端口号、目的TCP端口号和TCP链路状态等信息。

路由器能进行路由选择，在网络层对数据包进行有选择地通过或阻断。

A规则表示允许130.11.0.0网络访问202.115.3.0网络。

B规则表示拒绝139.20.0.0网络访问202.115.3.0网络。

C规则表示允许150.20.0.0网络访问202.115.3.10号主机。

包过滤技术在网络层实现，具有处理速度快，对用户透明的优点。

但是配置繁琐，维护比较困难，而且阻止外部IP欺骗的能力差，因此难于防范人为攻击。

（2）应用级网关。

应用网关（ApplicationGateway）技术是建立在网络应用层上的协议过滤。

应用级网关防火墙控制着对应用程序的访问，即允许或阻止某些应用程序访问其他应用程序，在应用层上实现协议过滤和转发。

同时，还对数据包进行必要的分析和统计。

目前常用的应用网关技术是代理服务（ProxyServer）。

代理服务是运行在专用工作站（双重宿主主机）上的专用应用级程序。

这种程序使所有外部网络和内部网络的通信链路分为两段。

由于内部网络和外部网络应用层的“链接”变成了两个终止于代理服务的“链接”，因而成功地实现了防火墙的隔离功能。

代理服务包括服务器端程序和客户端程序。

对于内部网络的客户来说，它是一台服务器，而对于外部网络的服务器来说，它是一台客户机。

这种代理服务都是针对特定的应用层服务的，允许或拒绝特定的应用程序。

代理工作时，内部网络客户首先与代理服务器建立连接，经过代理确认合法后，代理服务器再与外部网络服务器建立连接。

应用网关代理是目前认为最安全的防火墙技术。

从上面的分析来看，它具有如下优点：

1）将内部网络和外部网络隔离，起到屏蔽内部网络结构和信息的作用，例如屏蔽内部网络的IP地址。

2）可实现较强的数据流监控、过滤、记录和报告等功能。

3）针对特定应用协议的过滤规则变得相对简单，并能达到更高程度的安全性要求。

但是由于应用网关代理工作在应用层，将导致网络整体性能下降。

同时应用代理是针对特定应用的，新的应用协议必须开发新的应用代理，以致于程序开发工作量大。

2．防火墙的结构

包过滤路由器和应用级网关是防火墙的两种基本技术。

它们各自有自己的优缺点。

常见的防火墙结构包括包过滤路由器、双宿主主机防火墙，以及基于包过滤和代理服务技术结合而形成的屏蔽式主机（Screened．Host）防火墙和屏蔽式子网（ScreenedSubnet）防火墙。

（1）包过滤路由器。

这种防火墙是将外部网络和内部网络通过一个包过滤路由器连接起来。

包过滤路由器除完成路由功能以外，还利用其上的过滤规则，实现防火墙功能。

这是一种常见的最简单的防火墙。

包过滤路由器防火墙系统

双宿主主机防火墙系统

（2）双宿主主机。

双宿主主机是指一台安装了两块网络接口卡（NIC）的主机，其中一块网卡连接外部网络，另一块连接内部网络，每块网卡上都有一个IP地址。

双宿主主机运行代理软件而构成代理服务器时，同时要求关闭操作系统的IP路由功能。

此时，内部网络和外部网络的通信完全由防火墙的代理服务程序进行转发。

（3）屏蔽式主机。

屏蔽式主机防火墙系统由一台包过滤路由器和一台“堡垒主机”组成。

包过滤路由器与外部网络Internet相联，堡垒主机安装在内部网络上，如图7-5所示。

屏蔽式主机防火墙系统

所谓堡垒主机是指采取了相应的保护措施，可以防御外界进攻的，形如“堡垒”的计算机。

这种主机位于内部网络之上。

通常，运行通用的操作系统和代理程序，为内部网络主机提供代理服务。

包过滤路由器只允许堡垒主机和外部网络通信，使堡垒主机成为外部网络所能达到的惟一结点。

并且通过其上设立的过滤规则，控制内部网络和外部网络之间的通信，从而确保内部网络不受未授权者的外部攻击。

（4）屏蔽式子网。

通过建立一个屏蔽式子网将外部网络Internet和内部网络分开。

屏蔽式子网由两台包过滤路由器和一台堡垒主机构成。

一台路由器和外部网络相连，称为外部路由器；另一台与内部网络相连，称为内部路由器。

屏蔽式子网中不仅可以有堡垒主机，还可以包括WWW服务器、FTP服务器等，如图7-6所示。

屏蔽式子网防火墙系统

由于屏蔽式子网可以构成一个禁止穿行区，即外部网络和内部网络均可访问屏蔽式子网，但禁止它们穿过屏蔽子网进行通信，因此屏蔽式子网又称为非军事区（DMZ），保护内部网络不受到安全威胁。

第二节网络管理

为了使计算机网络正常运转，各种网络资源高效利用，并能及时报告和处理网络故障，必须采用高效的网络管理系统对网络进行管理。

二、网络管理功能

在OSI网络管理标准中，网络管理功能分为5个基本模块：

（1）配置管理模块，完成定义和删除网络资源，监测和控制网络资源的活动状态和相互关系等。

（2）故障管理模块，完成对故障的检测、诊断、恢复，对资源运行的跟踪，差错报告和分析等。

（3）性能管理模块，持续收集网络性能数据，评判网络系统的主要性能指标，以检验网络服务水平，并作预测分析，发现潜在问题等。

（4）安全管理模块，利用多种安全措施，如权限设置、安全记录、密钥分配等，以保证网络资源的安全。

（5）计费管理模块，根据用户使用网络资源的情况，按照一定的计费方法，自动进行费用核收。

二、简单网络管理协议（SNMP）

目前，Internet上广泛使用的一种网络管理协议是简单网络管理协议（SNMP）。

SNMP建立在TCP/IP协议簇中的UDP协议之上，提供无连接服务。

尽管这是一种不可靠的服务，但保证了信息快速传递。

SNMP模型由3部分组成：

管理进程（Manager）、管理代理（Agent）和管理信息库（MIB）。

1．管理进程

管理进程处于管理模型的核心。

它是一组运行于网络管理中心主机上的软件程序。

它可以在SNMP的支持下，通过管理代理来对各种资源执行监测、配置等管理操作。

管理进程可以通过图形介面显示网络中各管理代理的配置及其它网络信息，为管理人员管理网络提供方便。

2．管理代理

管理代理是运行在被管理设备中的软件。

网络中被管理的设备可以是主机、路由器、集线器等。

它监视设备的工作状态、使用状况等，并收集相关网络管理信息。

这些信息都存储在管理信息库（MIB）中。

每一个管理代理都拥有一个包含代管设备相关信息的本地管理信息库。

在管理进程的指令下，管理代理一方面从MIB中读取信息提交给管理进程，另一方面修改MIB中的信息。

3．管理信息库

管理信息库包括的数据项因管理设备不同而不同，例如一个路由器的管理信息可能包括关于路由选择表的信息。

每个管理代理，管理MIB中属于本地的管理对象。

各管理代理控制的被管理对象共同构成全网的管理信息库。

SNMP管理模型

第三节指挥自动化计算机网络安全要求

一、范围

1.主题内容和适用范围

（1）本标准规定了全军指挥自动化计算机网络在实体、网络和管理等方面的安全要求（未涉及可靠性安全要求）。

可作为论证、招标、研制、验收和应用的基本依据。

其它计算机网络，特别是国家重点要害部门的计算机网络也可参照采用。

（2）本标准适用于指挥自动化广域网和局域网。

二、引用文件

GB2887计算站场地技术要求

GB4943数据处理设备的安全

GB9361计算站场地安全要求

GJB141.1用于数据传输的一般专用标准电话电路特性

GJB141.2用于数据传输的优质专用标准电话电路特性

GJB148数据传输质量维护极限及维护标准

GJB151军用设备和分系统电磁发射和敏感度要求

GJB663军用通信系统、设备安全要求

三、定义

1.信息破坏

由于偶然事故或人为因素而破坏信息的正确性、完整性和可用性。

2.网络实体

计算机网络中各类设备（包括节点机设备、通信设备、终端设备、存储设备、电源系统等）以及为此服务的其他硬件设备的总称。

3.计算机病毒

依附在计算机程序中的一种可以繁衍的程序。

它象生物病毒一样使计算机程序感染,并在计算机网络中再生和扩散，造成其紊乱或瘫痪。

4.最小特权

在完成某种操作时所赋予网络中每个主体（用户或进程）必不可少的特权。

5.主动威胁

非法占用网络处理信息、侵入文件、修改程序，造成在错误状态下运行。

6.被动威胁

当网络正常运行时，由于系统单元暴露或输入输出等管理不严造成信息泄露或被非法截取而产生的威胁。

7.实体安全（物理安全）

为确保网络在信息的采集、处理、传输、存储过程中，不致受到人为或自然因素的危害，而对网络设备、设施、环境、人员等所采取的安全措施。

8.灾难事件

因人为或自然灾害造成的涉及全局的一时难以恢复的破坏性事件。

四、一般要求

1.目标

网络安全设计应与论证、招标、研制、验收和应用工作同步进行，并根据需求，分阶段、分层次逐步实施和完善，以达到如下目标：

a.保证网络正常运行，避免各种非故意的错误与损失；

b.保证信息的正确性、完整性和可用性，防止网络及数据遇到偶然的、被动的和主动的威胁，以及自然灾害的破坏；

c.对影响网络的意外事故具有应急措施。

2.基本原则

（1）特权分散原理

把实现某一重要功能的特权分散给若干个程序、节点或用户，必须由规定的若干个具有特权的程序、节点或用户到齐后才能实现该功能。

（2）最小特权原理应限定网络中每个主体所必须的最小特权，确保可能的事故、错误、网络部件的篡改等原因造成的损失最小。

（3）安全控制和对象的独立性

安全控制的设计、实现和操作应隔离。

（4）分割和分区化

对网络中受保护的内容分割成几个部分，并分别加以保护。

（5）参数化

安全控制设计应参数化，以便授权时加以调节。

（6）隐蔽

对工作人员和受控对象（用户）隐蔽控制手段及其操作详情。

（7）经济性

对网络中须保密的设备，采用经济有效的控制设计达到要求。

所占资源应少于系统资源的10%。

（8）安全形象

全网络在用户和公众面前应具有完整的安全形象。

3.基本要求

（1）应具有对全网网络拓扑、网络配置及网络参数的统一管理，监督与控制功能。

（2）对网络实体的环境安全、电磁干扰和辐射的保护应有安全措施。

（3）网络系统应有技术安全手段，确保数据传输、交换、存储处理及通信控制的安全。

（4）网络应具有计算机病毒的预防措施。

（5）对灾难性事件应有应急措施。

（6）网络应具有必要的冗余度和降级处理能力。

（7）网络安全设施的接口设备应方便用户并实现透明操作。

（8）网络应具有承受允许的最严重错误的能力。

（9）在确保安全的前提下应充分发挥资源共享的效能。

（10）网络应采取多重安全控制手段。

每个安全控制手段均能产生充分的证据，以表明所完成操作的正确性。

（11）网络应登记用户进入网络的各种活动，以提供事后检查。

（12）存取控制应是逐级授权的。

网络在为授权用户提供合法服务的同时，应具有拒绝非法访问的功能。

（13）应具有监视和控制网络负载状态的功能，以防止其崩溃和瘫痪。

五、详细要求

1.实体安全（物理安全）

威胁实体安全的具体表现如下：

a.人为破坏；

b.各种自然灾害；

c.各类媒体失窃和散失；

d.设备故障；

e.环境和场地因素；

f.电磁发射及敏感度；

g.战争的破坏等。

（1）网络节点场地环境安全要求

网络节点中心应设专用机房，装备空调、在线式不间断供电电源、报警、防水、防盗、防鼠和消防设备以及电磁防护、接地及避雷装置。

1）设计或改建网络节点机房时必须符合GB2887和GB9361的规定。

2）网络节点机房建筑和结构还应注意下列问题：

a.宜为专用建筑；

b.在电梯或楼梯应设置不能直接进入机房的场所；

c.应与外部人员频繁出入的场所隔离；

d.周围应设有防止非法进入的设施；

e.建筑物周围应有足够照度的照明设施；

f.外部容易接近的窗口应采取防范措施。

无人值守时应有自动报警设备；

g.应只有一个出入口，并在合适的位置上开设应急出入口，作为应急疏散通道。

出入口处均应安装出入控制装置；

h.内部设计应便于出入控制和分区控制。

3）安全设备除符合GB9361规定外，还应满足下列要求：

a.机房进出口须设置应急电话；

b.各房间应有声光报警装置；

c.进出口应派警卫或设置识别与记录进出人员的设备及防范措施；

d.机房内用于动力、照明的供电线路应与计算机系统的供电线路分开；

e.机房内不同电压的供电系统应安装互不兼容的插座；f.应配备温、湿度自动记录仪及温、湿度报警设备和碎纸机；

g.机房及疏散通道须配备应急照明装置（5勒克斯）。

（2）网络终端场地环境安全要求

1）终端室的环境

a.应具备适当的通风和空调；

b.应清洁无尘；

c.应具备防静电措施；

d.应设置温、湿度计、吸尘器以及碎纸机；

e.终端宜采取屏蔽措施，如屏蔽罩等；

f.处理密级数据的远程终端应放置在相应的安全环境中。

2）终端室电源防护应根据需要选用离线式或在线式不间断供电电源。

3）防火、防烟、防水和防鼠害

a.应设置灭火器，并根据需要安装火灾探测器；

b.将当地消防队电话号码张贴在电话机附近；

c.定期检查火灾探测设备或灭火器以及水敏传感器，并保存这类检查的书面报告。

d.指定并训练人员担任扑灭小火或闷燃火灾的消防员；

e.终端室严禁吸烟；

f.禁止使用延伸接线盒和多通电源插座；

g.机房窗帘使用阻燃材料制作；

h.应有应急供电的备用照明；

i.设备不得紧靠墙壁放置；

j.在设备周围不要堆积大量纸张，以免堵住设备的通风孔；

k.设备上严禁放置无关物品；

l.终端室不要有水管、蒸汽管道通过天花板；

m.如果终端室屋顶有水塔或冷却器，必须采用防护装置；

n.每台设备应配置防水罩；

o.在易受鼠害的场所，电缆和电线上应涂驱鼠药剂；

p.应设置捕鼠和驱鼠装置。

4）防盗

a.采用特殊门锁；

b.每个设备都应附有标签或标记；

c.应设警报器；

d.可采用锚式锁固定终端设备；

e.可在终端上加装锁式电源开关；

f.如果用户不愿在设备上打孔安装锁或开关，可在靠近终端处安装独立的锁式电源开关。

开关的导线应联至电源插座，终端电源线联到开关。

（3）网络通信系统安全要求

1）网络通信系统安全应符合GJB663规定。

2）网络通信系统传输线路的安全应注意下列问题：

a.传输线路应符合标准。

用于数据传输的电话电路特性应符合GJB147.1和GJB147.2。

定期检查各线段及接点，更换老化变质的电缆；

b.传输线路应采用屏蔽电缆并有露天保护或埋于地下，要求远离强电线路或强电磁场发射源，以减