电大 计算机网络安全与管理 复习资料.docx

电大 计算机网络安全与管理 复习资料.docx

《电大 计算机网络安全与管理 复习资料.docx》由会员分享，可在线阅读，更多相关《电大 计算机网络安全与管理 复习资料.docx（174页珍藏版）》请在冰点文库上搜索。

电大计算机网络安全与管理复习资料

计算机网络安全管理

第1章网络安全管理基础

§1.1网络体系结构概述

一个网络协议主要由以下三个要素组成：

语法，即数据与控制信息的结构或格式；语义，即需要发出何种控制信息、完成何种协议以及做出何种应答；同步，即事件实现顺序的详细说明。

§1.1网络体系结构概述

计算机网络的各层及协议的集合，称为网络的体系结构（Networkarchitecture）。

1.2.1OSI参考模型

OSI模型有七层，其分层原则如下：

根据功能的需要分层；每一层应当实现一个定义明确的功能；每一层功能的选择应当有利于制定国际标准化协议；各层界面的选择应当尽量减少通过接口的信息量；层数应足够多，以避免不同的功能混杂在同一层中；但也不能过多，否则体系结构会过于庞大。

OSI参考模型由低到高依次是物理层、数据链路层、网络层、传输层、会话层、表示层和应用层

1.2.2TCP/IP网络接口层、网络层、传输层和应用层。

1.物理层信息安全，主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击。

2.数据链路层的网络安全需要保证通过网络链路传送的数据不被窃听。

3.网络层的安全需要保证网络只给授权的客户使用授权的服务，保证网络路由正确，避免被拦截或监听。

4.操作系统安全要求保证客户资料、操作系统访问控制的安全，同时能够对该操作系统上的应用进行审计。

6.应用系统完成网络系统的最终目的-为用户服务。

应用系统使用应用平台提供的安全服务来保证基本安全如通讯内容安全，通讯双方的认证，审计等手段。

1.4TCP/IP层次安全

1.4.1Internet层的安全性

Internet层是非常适合提供基于主机对主机的安全服务的。

相应的安全协议可以用来在Internet上建立安全的IP通道和虚拟私有网。

1.4.2传输层的安全性

建立在可靠的传输服务基础上的安全套接层协议（SSL）。

1.4.3应用层的安全性

网络层（传输层）的安全协议允许为主机（进程）之间的数据通道增加安全属性。

1.5TCP/IP的服务安全

1.5.1　ＷＷＷ服务

WWW服务相对于其它服务出现比较晚，是基于超文本传输协议（HTTP），是人们最常使用的Internet服务。

1.5.2　电子邮件服务

电子邮件服务给人们提供了一种方便和快捷的服务，现在大部分人都有一个或多个E-mail地址。

1.5.3　FTP服务和TFTP服务

TFTP服务用于局域网，在无盘工作站启动时用于传输系统文件，安全性极差，常被人用来窃取密码文件/etc/passwd，因为它不带有任何安全认证。

FTP服务对于局域网和广域网都可以，可以用来下载任何类型的文件。

1.5.4　Finger服务

Finger服务于查询用户的信息，包括网上成员的真实姓名、用户名、最近的登录时间、地点等，也可以用来显示当前登录在机器上的所有用户名

注意的问题。

1.邮箱中标题不明的邮件不能随便打开。

2.在聊天室或BBS上不公开自己的IP、邮件地址等各人隐私。

3.要经常更换自己计算机的密码。

另外，不要当外人的面输入密码，密码的长度足够长。

4.一般不要让计算机记住密码，以免别人使用你的计算机使自己的机密外泄。

5.不要在自己的计算机上运行不明的程序，这些可能是黑客程序。

1.7.1网络分段

网络分段是保证安全的一项重要措施，就是将非法用户与网络资源相互隔离，从而达到限制用户非法访问的目的。

网络分段可分为物理分段和逻辑分段两种方式：

1.物理分段

通常是指将网络从物理层和数据链路层上分为若干网段，各网段相互之间无法进行直接通讯。

2.逻辑分段、网络分段是指将整个系统在网络层上进行分段。

1.8.1加密技术

数据加密技术可以分为三类，即对称型加密、不对称型加密和不可逆加密。

1.8.2VPN技术

VPN（虚拟专网）技术的核心是采用隧道技术，将企业专网的数据加密封装后，透过虚拟的公网隧道进行传输，从而防止敏感数据的被窃。

1.8.3身份认证技术

对拨号用户的身份进行验证并记录完备的登录日志。

1.9网络安全威胁

1.安全漏洞

安全漏洞类型有物理自然的，硬件和软件的，媒介的，通信的（未加密的协议），人为的等2.乘虚攻击

一个威胁通过利用您环境中的安全漏洞就可以访问到您的资源。

另外，来自网络的威胁还有：

操作系统的安全性：

许多操作系统均存在网络安全漏洞。

防火墙的安全性：

防火墙产品是否设置错误等。

来自内部网用户的安全威胁。

缺乏有效的手段监视、评估网络系统的安全性。

采用的TCP/IP协议族软件，本身缺乏安全性。

未能对来自Internet的电子邮件挟带的病毒进行有效控制。

应用服务的安全：

应用服务系统在访问控制及安全通讯设置错误等。

1.10网络系统的安全应具备功能

访问控制；检查安全漏洞:

攻击监控:

加密通讯:

主动的加密通讯认证:

备份和恢复:

多层防御:

隐藏内部信息:

设立安全监控中心:

1.11网络安全的主要攻击形式

1.信息收集2利用技术漏洞型攻击

1.12网络安全的关键技术式

1.防电磁辐射2.访问控制技术3.安全鉴别技术4.权限控制5.通信保密：

6.数据完整性：

使用消息完整性编码MIC7.实现身份鉴别可利用8.安全审计9.病毒防范及系统安全备份；10.加密方法：

11.网络的入侵检测和漏洞扫描：

12.应用系统安全：

13.文件传送安全14.邮件安全：

1.13保证网络安全的措施

保证网络安全的措施一般包括如下几种:

1.防火墙

防火墙是一种防御技术，它网络安全是不可缺少的。

它像一道防盗门，把内部网和外部网分隔开来，转发可信的分组的数据包，丢弃不可疑的数据包。

2.身份认证

身份认证是一致性验证的一种,验证是建立一致性（Identification）证明的一种手段。

身份验证主要包括验证依据、验证系统和安全要求

3.加密

加密是通过对信息的重新组合，使得只有收发双方才能解码还原信息。

按作用不同,数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。

4.数字签名

大多数电子交易采用两个密钥加密：

密文和用来解码的密钥一起发送，而该密钥本身又被加密，还需要另一个密钥来解码。

这种组合加密被称为数字签名

6.存取控制

存取控制规定何种主体对何种客体具有何种操作权力。

存取控制是内部网安全理论的重要方面,主要包括人员限制、数据标识、权限控制、控制类型和风险分析。

7.安全协议

安全协议的建立和完善是安全保密系统走上规范化、标准化道路的基本因素。

第2章加密技术

·保密性保证信息不泄露给XX的任何人；·完整性防止信息被XX的人篡改；·可用性保证信息和信息系统确实为授权者所用；·可控性对信息和信息系统实施安全监控，防止非法利用信息和信息系统。

§2.2对称加密技术

对称加密算法是一种传统的加密算法，原理：

在对称加密中，数据信息的传送，加密及接收解密都需用到这个共享的钥匙，也就是说加密和解密共用一把钥匙。

对称加密最常用的一种方式是资料加密标准（DES）。

所有的参与者都必须彼此了解，而且完全的互相信任，

§2.2.1DES算法

DES使用56位密钥对64位的数据块进行加密，并对64位的数据块进行16轮编码。

与每轮编码时，一个48位的“每轮”密钥值由56位的完整密钥得出来。

§2.3不对称加密技术

一个钥匙用来将数据信息加密，而用另一把不同的钥匙来解密。

这两把钥匙之间有些数学关系，所以用一个钥匙加密过的资料只能用相对的另一个钥匙来解密。

公钥：

它可以给任何请求它的应用程序或用户。

私钥：

只有它的所有者知道。

§2.4RSA算法简介

RSA算法，是既能用于数据加密也能用于数字签名的算法。

还可利用RSA来完成对电文的数字签名以对抗电文的否认与抵赖；同时还可以利用数字签名较容易地发现攻击者对电文的非法篡改，以保护数据信息的完整性。

§2.4.1RSA算法

RSA算法如下：

1．选两个大素数，r1和r2，通常均大于10100。

2．计算n=r1*r2和x=（r1-1）*（r2-1）。

3．选这一个与x互质的数令其为d。

4．找到一个e，满足e*d=1（modx）。

5．选好这些参数后，将明文划分成块使得每个明文报文P长度m满足0

§2.4.7RSA的缺点

RSA的缺点如下：

1.产生密钥很麻烦，受到素数产生技术的限制，因而难以做到一次一密。

2.分组长度太大，不利于数据格式的标准化。

§2.5RSA算法和DES算法的比较

DES使用56位密钥对64位数据块进行加密DES算法的加密和解密的流程是完全相同的，区别仅仅是加密与解密使用子密钥序列的顺序正好相反。

RSA算法的安全性是建立在具有大素数因子的合数其因子分解困难这一法则之上的。

RSA算法中加密密钥和解密密钥不相同，其中加密密钥公开，解密密钥保密，并且不能从加密密钥或密文中推出解密密钥。

§2.9PKI管理机制

它是由公开密钥技术、数字证书、证书发行机构（CA）和相关的公钥安全策略等组成。

PKI即公共密钥体系。

它建立一套证书发放、管理和使用的体系，来支持和完成网络系统中的身份认证、信息加密、保证数据完整性和抗抵赖性。

§2.9.1认证机构

CA是证书的签发机构。

构建密码服务系统的核心内容是如何实现密钥管理。

目前较好的解决方案是引进证书机制。

§2.9.2加密标准

对称加密算法：

DES，Tripl－DES，RC2，RC4，CAST等。

非对称加密算法：

RSA，DSA，Diffie－Hellman等。

散列算法：

SHA－1，MD5等。

3.证书库

证书库是证书的集中存放地，是网上的一种公共信息库，用户可从此处获得其他用户的证书和公钥。

§3.1Windows2000的安全性设计

Windows2000在安全特性主要体现在三个方面：

1.对Internet上的新型服务的支持2.使用安全性框架3.实现对WindowsNT4.0的网络的支持

§3.2Windows2000中的验证服务架构

Kerberos的验证机制

Kerberos是在Internet上广泛采用的一种安全验证机制，它基于公钥技术。

Kerberos协议规定了客户机/密钥发布中心（KeyDistributionCenter，KDC）/服务器三者之间获得和使用Kerberos票证进行通信规则和过程。

Kerberos验证机制加强了Windows2000的安全性，它使网络应用服务验证速度更快捷，同时可以建立域信任以及在建立域信任的域中传递信任关系

§3.3Windows2000的安全特性

Windows2000有数据安全性、企业间通信的安全性、企业和Internet网的单点安全登录、以及易用和良好扩展性的安全管理等安全特性。

1.数据安全性

数据安全是指数据的保密性和完整性，Windows2000的数据安全性表现在：

（1）用户登录时的安全性

（2）网络数据的保护

（3）存储数据的保护

2.通信的安全性

它支持虚拟专用网技术以及使用公钥体制并可以使用电子证书来把外部用户映射成为目录服务中的一个用户账户。

3.单点安全登录

Windows2000的用户单点登录网络后，通过网络验证之后，它就可以根据自己拥有的权限访问其相应的服务，Windows2000透明地管理一个用户的安全属性

4.安全的管理性

Windows2000使用安全性模板对计算机进行安全性配置和分析。

§3.4Windows2000组策略的管理安全

在Windows2000中的组策略有如下几种：

·帐户策略\密码策略·帐户策略\帐户锁定策略·帐户策略\Kerberos策略配置票证寿命

·本地策略\审计策略启用/禁用特定事件的记录·本地策略\用户权限定义权限

·本地策略\安全选项修改与注册表值有关的特定安全选项·事件日志启用成功或失败监视·受限制的组管理员可控制谁属于特定组·系统服务控制每个服务的启动模式·注册表·文件系统对文件夹、子文件夹和文件配置权限

3.3.1Windows2000中的组策略

1.密码策略

将对域中的所有服务器强制执行一个标准密码策略。

2.帐户锁定策略

有效的帐户锁定策略有助于防止攻击者猜出你帐户的密码。

3.成员服务器基准策略

一旦配置了域级别的设置，就该为所有成员服务器定义公用的设置了。

成员服务器的基准组策略如下：

·审计策略·安全选项·注册表访问控制列表·文件访问控制列表·服务配置

4.禁用自动运行功能

自动运行功能的设置NoDriveTypeAutoRunDWORD0xFF。

5.成员服务器基准文件访问控制列表策略

为加强文件系统安全，应确保对域中的所有成员服务器公用的目录和文件应用限制性更强的权限。

§3.3.3组策略的安全模板

1.组策略的配置设置存储位置

组策略的存储位置是GPO位于ActiveDirectory中；安全模板文件位于本地文件系统中。

对GPO所做的更改直接保存在ActiveDirectory中，而对安全模板文件所作的更改必须先导回到ActiveDirectory内的GPO中，才能应用所作的更改。

2.Windows2000的安全模板

Windows2000的安全模板有如下几种：

·Basicwk.inf适用于Windows2000Professional。

·Basicsv.inf适用于Windows2000Server。

·Basicdc.inf适用于基于Windows2000的域控制器。

·Securedc.inf和Hisecdc.inf—适用于域控制器。

·Securews.inf和Hisecws.inf—适用于成员服务器和工作站。

4.策略的验证

策略的验证有以下两种方法。

·使用“本地安全策略”MMC验证策略

步骤1，启动本地安全策略MMC。

步骤2，在安全设置下，单击本地策略，然后单击安全选项。

步骤3，在右窗格中，查看有效设置列。

“有效设置”列应当显示在模板中为选定服务器角色配置的设置。

·使用命令行工具验证策略

Secedit

§3.5审计与入侵检测

审计的一个主要目标是识别攻击者对你的网络所采取的操作。

分为两类：

成功事件和失败事件。

几种：

·登录事件·帐户登录事件·对象访问·目录服务访问·特权使用·进程跟踪·系统事件·策略更改

§3.5.2入侵检测

1.扫描端口

2.通过事件查看器中的筛选器

·被动式检测方法被动式侵入检测系统涉及对事件日志和应用程序日志进行手动检查。

·事件查看器可以用来查看应用程序日志、安全日志和系统日志。

3.DumpEventLogTool（转储事件日志工具）（Dumpel.exe）

4.ISAServer的侵入检测功能

·所有端口扫描

攻击者在判断目标计算机或网络上打开的端口时所使用的一种方法。

·IP半扫描

它利用了TCP通信是一个三步骤过程这一事实。

“IP半扫描”攻击不发送第三个数据包“TCP三向握手”以避免被检测到。

·陆地攻击

将向计算机发送一个数据包，它带有欺骗性源IP地址，还带有与目标地址和端口的端口号匹配的端口号。

欺骗性数据包导致目标计算机进入一个循环，最终导致计算机崩溃。

·死亡之Ping

此攻击涉及向一台计算机发送大量异常大的ICMP回应请求（ping）数据包。

目标计算机试图响应所有的数据包，导致缓冲区溢出，从而使计算机崩溃。

·UDP炸弹

以某些字段中的非法值构造的UDP数据包将导致一些较旧的操作系统在收到该数据包时崩溃。

如果目标计算机崩溃，则常常很难确定崩溃的原因。

·Windows带外

这是一种可用于将Windows网络禁用的拒绝服务攻击，也称为WinNuke。

§3.6修补程序

Hfnetchk–［开关］

§4.2WindowsServer2003的新安全机制

·授权管理器：

是基于角色安全管理的改进，它可以定义角色以及角色执行的任务。

·存储用户名和密码：

WindowsServer 2003的存储用户名和密码功能允许用户连接服务器时使用的用户名和密码与登录网络时使用的用户名和密码不同。

·软件限制策略：

防止软件应用程序基于软件的哈希算法、软件的相关文件路径、软件发行者的证书或寄宿该软件的Internet区域来运行。

·证书颁发机构：

新的PKI功能，旨在展示证书模板编辑功能和为用户和计算机的证书进行自动注册。

·受限委派：

可指定要信任的服务用以委派服务器。

·有效权限工具：

此工具将计算授予指定用户或组的权限。

·加密文件系统（EFS）：

在WindowsServer2003中不再需要恢复代理。

·Everyone成员身份。

·基于操作的审核：

基于操作的审核提供了更多描述性的审核事件，并提供用户选择在审核对象访问时要审核的操作。

·重新应用安全默认值：

此过程可以使用用户重新应用WindowsServer 2003家族的默认安全设置。

4.6.1WindowsServer2003的安全策略

对安全性有着极大的影响：

·用户帐号和用户密码·域名管理·用户组权限·共享资源的权限；·机制对系统操作的影响。

第5章Linux网络操作系统的安全管理

§5.1.1C1/C2安全级设计框架

TCSEC（TDI）将系统划分为四组（division）七个等级，依次是D；C（C1，C2）；B（B1，B2，B3）；A（A1），安全级别从左至右逐步提高，各级之间向下兼容，也就是说高级别必须拥有低级别的一切特性。

§5.1.2身份认证

身份认证系统最基本的实现是Linuxlogin程序，不过其他各种应用程序也一样要通过身份认证来确定用户身份。

1.Shadow身份认证体系

最基本的身份认证系统由口令验证构成。

用户输入一个口令，与系统进行比较，如果合法，就可以进入系统。

（1）系统记录用户的原始口令，并将其加密保存在系统中，口令原文则被丢弃。

（2）当用户登录系统的时候，输入口令，系统用同样的加密算法将用户输入的口令转换成密文。

（3）比较保存的密文和现在得到的密文，如果相同，允许用户登录系统。

2.　PAM身份认证体系

可插拔认证模块，只有在程序编写时选择了PAM库支持的时候，才能使用PAM认证。

PAM认证部分是由一组模块构成的，相互可以堆叠，堆叠的意思就是说，可以连续执行多个模块或者让一个模块多次使用。

可以在一个PAM认证过程中使用多种认证模块，后面的认证过程的执行依赖于前面的认证模块结果。

§5.1.4存储空间安全

内存以及外存储设备的安全，包括越过文件系统直接访问裸设备的保护。

最重要的是内存安全性。

内存安全性可以分成两个部分，一个是禁止内存中的重要数据被窥探到，另一个是保证进程不去执行非法指令。

基本的溢出攻击方式按照其使用的程序空间类型可以分成三种：

·堆栈溢出

堆栈溢出是最重要的缓冲区溢出攻击手段，它的思路是利用堆栈返回地址。

·函数指针

C语言可以定义函数指针，执行某个地址上的任何函数。

但是这个指针可以指向任何地址空间。

所以攻击者可以用缓冲区溢出的办法改写指针内容，指向自己准备的shell代码，当程序执行到调用函数指针的部分的时候，攻击者就取得了控制权。

·长跳转点

setjmp/longjmp是一个C语言的非结构化跳转系统，它允许程序员设定一个跳转点，然后可以从任何函数内部直接跳入这个跳转点。

§5.1.5数据的加密

原因是交换数据的需要。

如果你要通过某种不可信的方式交换数据，必须保证不能让一般人随便窥探数据。

基于权限的保护方式已经不能使用，只能通过加密来提供额外的保护。

PGP：

首先，B和A各生成一对密匙，然后通过一个可信的机构，交换自己的公用密匙，如果B想要向A发送自己的信息，那么，他首先要用md5算法计算出整个信息（在PGP中，计算的是信息+发送者的ID+日期时间等等）的校验和，然后用自己的私用密匙加密这个校验和并且附加在整个信息后面；接着，再用A的公开密匙加密得到的全部数据，最后发送给A。

而当A接收到这个数据的时候，他首先用自己的私用密匙解开密文，得到原文和加密后的校验和；然后再用B的公匙解密校验和；最后重新计算校验和，判断信息是否被修改过。

·入侵防护

它可以对系统中重要的文件、进程和设备进行保护，保证这些对象不会被入侵者操纵，即使是入侵者已经拿到了root账号。

·入侵检测

LIDS可以提供对于端口扫描的检测。

·入侵响应

当发现系统受到攻击之后，它可以将必要的信息记录到日志文件中。

§5.1.7日志

日志就是对系统行为的记录。

1.连接时间日志

用来记录用户的登录信息，利用它来跟踪谁在什么时候进入了系统。

2.进程记账

用来记录系统中执行的进程信息。

3.syslog

它是各种程序对运行中发生的事件的描述。

我们分别来讨论这些日志。

§5.2网络安全

5.2.1网络接口层

1.监听

许多网络接口卡（NIC）被电缆和集线器连接在一起。

当某一台机器准备发送数据的时候，它首先根据电缆电平判断一下当前是否有其它网卡在工作，如果没有，就开始发送一段数据（称为以太网帧），然后暂停一下，再重复上述操作。

如果有两台机器同时发送数据，会导致网络冲突，这种情况下双方都会暂停一下（具体暂停的时间是个随机量），然后继续发送。

监听的主要目的是了解对方传输的信息内容，特别是对于www/mail/ftp/telnet等协议，其中很多东西是简单文本传输

2.SSL

SSL安全套接层协议的协议来强化http的安全性，它实际是基于socket的，安装在传输层和应用层之间，可以提供数据的加密传输。

它并不包含数据签名功能，后者需要浏览器另外实现。

利用SSL进行www传输的协议有个专门的名字，叫做https。

3.SSH

ssh是一个用来解决TELNET/FTP协议安全性的工具，它支持两种协议：

ssh和sftp,简单的说就是telnet和ftp的加密传输版本。

4.VPN

虚拟专用网（VPN）被定义为通过一个公用网络建立一个临时的、安全的连接。

它在Internet的一些机器之间建立一个虚拟连接，从而这些机器看上去就像是处在一个独立的网络中，其他系统无法加入。

1.ARP

ARP即地址解析协议，用来在一个局部网内找到和某个IP地址对应的机器。

即由IP地址找到对应的MAC地址。

2.ICMP重定向

Icmp网间报文控制协议，IP层用它来与其他主机或路由器交换错误报文和其他重要控制信息。

ICMP报文是在IP数据报内部被传输的，主要用来对系统中的错误进行分析和控制。

PingofDeath攻击，许多系统对ICMP包规定了一个尺寸上限，一般是在64KB左右。

当操作系统接收到ICMP报文的时候，需要按照报文标题中的尺寸信息来分配TCP/IP缓冲区。

如果接收到一个错误或者畸形的ICMP报文，其中的尺寸信息是错误的，比如超出了64KB，缓冲区分配就可能出现问题，严重的情况下会导致TCP/IP栈崩溃。

3.I