三级网络技术复习笔记第六章

第六章网络安全技术
网络管理包括五大功能:配置管理、故障管理、性能管理、计费管理和安全管理。
代理位于被管理设备内部。它将来自管理器的命令或信息请求转换成设备的具体指令，完成管理器的指令，或者返回所在设备的信息。
管理者与代理人之间的信息交换可以分为两种:管理者对代理人的管理操作；从代理到经理的事件通知。
配置管理的目标是掌握和控制网络和系统的配置信息，以及网络设备的状态和连接管理。现代网络设备由硬件和设备驱动程序组成。
配置管理的主要功能是加强网管对网络配置的控制，通过提供对设备配置数据的快速访问来实现。
故障是指出现大量或严重错误并需要修复的异常情况。故障管理是在计算机网络中定位问题或故障的过程。
故障管理的主要功能是通过为网络管理员提供快速检查问题和启动恢复过程的工具来增强网络的可靠性。故障标签是监控网络问题的前端过程。
性能管理的目标是测量和呈现网络特性的所有方面，以便将网络性能维持在可接受的水平。
绩效管理包括监控和调整两个功能。
计费管理的目标是跟踪个人和团体用户对网络资源的使用，并向他们收取合理的费用。
计费管理的主要功能是网络管理人员可以基于个人或集团用户测量和上报计费信息，分配资源和计算用户通过网络传输数据的费用，然后对用户进行计费。
安全管理的目标是按照一定的方法控制对网络的访问，从而保证网络不受侵犯，重要信息不被未授权的用户访问。
安全管理是对网络资源和重要信息的访问进行限制和控制。
在网络管理模型中，需要在网络管理器和代理之间交换大量的管理信息。这个过程必须遵循统一的通信规范，我们称之为网络管理协议。
网络管理协议是基于具体物理网络及其基本通信协议，服务于网络管理平台的高级网络应用协议。
目前使用的标准网络管理协议有简单网络管理协议SNMP、公共管理信息服务/协议CMIS/CMIP、局域网个人管理协议LMMP等。
SNMP采用循环监控模式。代理/管理站模式。
管理节点一般是工程应用的工作站级计算机，处理能力很强。代理可以是网络上任何类型的节点。SNMP是应用层协议。在TCP/IP网络中，它利用传输层和网络层的服务向对等层传输信息。
CMIP的优点是安全性高，功能强大。它不仅可以用于传输管理数据，还可以执行某些任务。
信息安全包括五个基本要素:机密性、完整性、可用性、可控性和可审计性。
等级3D1。D1计算机系统标准规定对用户没有认证。例如DOS。视窗3 .x窗口95(非工作组模式)。苹果的系统7。十.
4 C1级提供自主安全保护，通过分离用户和数据来满足自主需求。
C1，也称为选择性安全保护系统，描述了Unix系统上使用的典型安全级别。
C1级别需要一定级别的硬件安全，用户必须登录系统才能使用。
C1级保护的不足之处在于用户直接访问操作系统的根目录。
9 C2级比C1级系统提供更好的自主访问控制。处理敏感信息所需的最低安全级别。级别C2还包括一个受控访问环境，它有权进一步限制用户执行某些命令或访问某些文件，还包括一个身份验证级别。例如UNIX系统。XENIX .Novell 3 .0或更高。WINDOWS NT .
10 b1级称为标签安全保护，B1级支持多级安全。标记意味着互联网上的对象是可识别的，并在安全保护计划中受到保护。B1是需要大量访问控制支持的第一层。安全等级是机密，一级。
11 B2，也称为结构化保护，要求对计算机系统中的所有对象进行标记，并为设备指定安全级别。B2系统的关键安全硬件/软件组件必须基于正式的安全方法模型。
12 B3级又称安全域，要求用户的工作站或终端通过可信通道连接到网络系统。这个级别使用硬件来保护安全系统的存储区域。
B3系统的关键安全组件必须能够理解所有对象对主体的访问，能够防篡改，并且足够小，便于分析和测试。
30 A1安全级别表示系统提供表面安全，也叫验证设计。系统中的所有组件都必须有安全保证，以确保系统的完善性和安全性。安全措施还必须保证系统组件在销售过程中不会受到伤害。网络安全本质上是网络上的信息安全。所有与网络信息的机密性、完整性、可用性、真实性和可控性相关的技术和理论都是网络安全的研究领域。
安全策略是一种必须遵守的规则，以确保在特定环境中提供一定级别的安全保护。安全策略模型包括建立安全环境的三个重要组成部分:威严的法律、先进的技术和严格的管理。
网络安全是指网络系统中的硬件、软件和数据受到保护，不会因意外或恶意的原因而被破坏、更改或泄露，系统能够在不中断网络服务的情况下持续、可靠、正常地运行。
所有保证安全的机制都包括以下两部分:
1。对传输的信息进行与安全相关的转换。
2两个主体共享不想让对手知道的机密信息。
安全威胁是人、事、物或概念对资源的机密性、完整性、可用性或合法性造成的危害。攻击是威胁的具体实现。
安全威胁可以分为有意的和意外的两类。故意威胁可分为被动威胁和主动威胁。
中断意味着系统资源被破坏或变得不可用。这是对可用性的攻击。
拦截是指未经授权的实体可以访问资源。这是对保密性的攻击。
修改就是未经授权的实体不仅获得访问权，还篡改资源。这是对诚信的攻击。
伪造是指未经授权的实体在系统中插入伪造的对象。这是对真实性的攻击。
被动攻击的特点是窃听或监听传输。其目的是获取正在传输的信息。被动攻击包括泄露信息内容和流量分析等。
主动攻击涉及修改数据流或创建错误的数据流，包括伪造、重放、信息修改和拒绝服务。
模拟是指一个实体假装成另一个实体。假冒攻击通常包括其他形式的主动攻击。被动捕获数据单元的重放和随后的重传会产生未授权的效果。
修改消息意味着改变真实消息的一部分，或者延迟或重新排序消息，导致未经授权的操作。
拒绝服务禁止通信工具的正常使用或管理。这种攻击有特定的目标。拒绝服务的另一种形式是整个网络的中断，这可以通过禁用网络或通过消息过载降低网络性能来实现。
防止主动攻击的方法是检测攻击，并从攻击造成的中断或延迟中恢复。
从网络高层协议的角度来看，攻击方式可以概括为服务攻击和非服务攻击。
服务攻击是针对特定网络服务的攻击。
非服务攻击不是针对某个特定的应用服务，而是基于网络层等底层协议。
非服务攻击是一种更有效的攻击方式，它利用协议或操作系统的漏洞来达到攻击的目的。
网络安全的基本目标是实现信息的机密性、完整性、可用性和合法性。
可实现的主要威胁:
3渗透威胁:冒名顶替、绕过控制和违反授权。
4植入威胁:木马、陷阱门。
病毒是一种可以通过修改其他程序来感染它们的程序。修改后的程序包含了病毒程序的副本，这样它们就可以继续感染其他程序。
网络反病毒技术包括病毒预防、病毒检测和杀毒。
1病毒防范技术。
通过其在系统内存中的长期存在，首先获得系统的控制权，监控并判断系统中是否存在病毒，进而阻止计算机病毒进入计算机系统，破坏系统。这些技术包括:加密可执行程序、引导区保护、系统监控和读写控制。
2。病毒检测技术。
根据计算机病毒的特征进行判断的技术。如自我效能、关键词、文件长度变化等。
3。消毒技术。
通过对计算机病毒的分析，开发出可以删除病毒程序，恢复原组件的软件。
网络反病毒技术的具体实现方法包括频繁扫描检测网络服务器中的文件，在工作站上使用反病毒芯片，设置对网络目录和文件的访问权限等。
网络信息系统安全管理三原则:
1多人负责原则。
2有限保有权原则。
3职责分离原则。
保密是一门研究密码系统或通信安全的科学。它包含两个分支:密码学和密码分析。
需要隐藏的消息称为明文。转换成另一种隐藏形式的明文称为密文。这种转换称为加密。加密的逆过程称为群解密。用于加密明文的一组规则称为加密算法。用于解密密文的一组规则称为解密算法。加密和解密算法通常由一组密钥控制。加密算法中使用的密钥成为加密密钥，解密算法中使用的密钥称为解密密钥。
密码系统通常从三个独立的方面进行分类:
1根据将明文转换为密文的运算类型，分为置换密码和移位密码。
所有加密算法都基于两个一般原则:置换和移位。
2根据明文处理方式，可分为分组密码(block cipher)和序列密码(stream cipher)。
3根据使用的密钥数量，可分为对称密码体制和非对称密码体制。
如果发送方使用的加密密钥与接收方使用的解密密钥相同，或者可以很容易地从其中一个密钥导出另一个密钥，这样的系统称为对称but密钥或常规加密系统。如果发送方使用的加密密钥不同于接收方使用的解密密钥，并且很难从一个密钥推导出另一个密钥，这样的系统称为非对称、双密钥或公钥加密系统。
分组密码的加密方法是先将固定长度的明文序列分组，每组明文用相同的密钥和加密函数进行操作。
以分组密码设计为核心，构造了一个兼具可逆性和强线性的算法。
序列密码的加密过程是将消息、语音、图像、数据等原始信息转换成明文数据序列，然后与密钥序列进行异或运算。生成密文序列并将其发送给接收者。
数据加密技术可以分为三类:对称加密、非对称加密和不可逆加密。
对称加密使用单个密钥来加密或解密数据。
非对称加密算法也称为公开加密算法，其特点是两个密钥。只有两个密钥一起使用，才能完成整个加密和解密的过程。
非对称加密的另一种用法称为“数字签名”，即数据源使用其私钥对数据有效性和其他与数据内容相关的变量进行加密，而数据接收方使用相应的公钥对“数字签名”进行解读，并使用解读结果检查数据完整性。
不可逆加密算法的特点是加密过程不需要密钥，加密后的数据无法解密。只有相同的输入数据才能通过相同的不可逆算法得到相同的加密数据。
加密技术通常以两种形式应用于网络安全，即面向网络和面向应用的服务。
面向网络服务的加密技术通常工作在网络层或传输层，使用加密的数据包来传输和认证网络路由等网络协议所需的信息，从而保证网络的连通性和可用性不受侵犯。对网络应用服务使用加密技术是目前流行的加密技术方法。
从通信网络传输的角度来看，数据加密技术可以分为三类:链路加密、节点到节点和端到端方法。
链路加密是一般网络通信安全中使用的主要方法。
节点到节点加密用于解决节点中的数据是明文的问题。中间节点有一个加密解密的保护装置，完成一个密钥到另一个密钥的转换。
在端到端保密模式下，发送方加密的数据在到达最终目的节点之前不会被解密。
试图发现明文或密钥的过程称为密码分析。
算法的实际替换和转换是由密钥决定的。
密文由密钥和明文决定。
对称加密有两个安全要求:
1需要强加密算法。
2发送方和接收方必须以安全的方式获得密钥的副本。
常规秘密的安全性取决于密钥的保密性，而不是算法。
IDEA算法被认为是当今最安全的分组密码算法。
公钥加密也称为非对称加密。
公钥密码系统有两种基本模型，一种是加密模型，另一种是认证模型。
通常，一个密钥用于公钥加密，另一个不同但相关的密钥用于解密。
传统加密中使用的密钥称为密钥。公钥加密中使用的密钥对称为公钥或私钥。
RSA系统被认为是理论上最成熟、最完善的公钥密码系统。
密钥的生存期是指授权使用密钥的期间。
实际上，存储密钥最安全的方法是将其放在物理上安全的地方。
密钥注册包括将生成的密钥与特定的应用程序绑定。
密钥管理的重要内容是解决密钥分发问题。
密钥销毁包括清除密钥的所有痕迹。
密钥分发技术就是在数据交换中把密钥发给双方，但是其他人看不到。
数字证书是经过数字签名的消息，通常用于证明实体公钥的有效性。证书是一种具有通用格式的数字结构，它将成员的标识符与公钥值绑定在一起。人们使用数字证书来分发公钥。
序列号:由证书颁发者分配的该证书的标识符。
认证是防止主动攻击的重要技术，在开放环境下的各种信息系统的安全中发挥着重要作用。
身份验证是验证终端用户或设备声明身份的过程。
主要目的是:
4验证信息的发送者是真实的，而不是冒名顶替的，这叫来源识别。
5验证信息的完整性，确保信息在传输过程中没有被篡改、重放或延迟。
身份验证过程通常涉及加密和密钥交换。
帐户名和密码验证是最常用的验证方法。
授权是授予某个用户、用户组或指定系统访问权限的过程。
访问控制是将系统中的信息限制在网络中授权的个人或系统中。
认证使用的技术主要有:消息认证、身份认证和数字签名。
消息认证的内容包括:
1确认消息的来源和目的地。
2邮件的内容正在或已经被意外或故意篡改。
3消息的序号和时效性。
消息身份验证的一般方法是生成附件。
认证大致可以分为3类:
1一个人知道的东西。
两个人被许可
三个人的特征。
密码或PIN机制是一种被广泛研究和使用的身份验证方法，也是最实用的身份验证系统所依赖的机制。
为了使密码更安全，可以通过加密密码或修改加密方法来提供更健壮的方法。这就是一次性密码方案，常见的有S/KEY和token密码认证方案。
证书是个人财产。
数字签名的两种格式:
2密码转换后的全部签名信息。
3附加到签名邮件或特定位置的签名模式。
对于一个连接，保持身份验证的方法是同时使用连接完整性服务。
一般来说，防火墙分为过滤器、应用级网关和代理服务。
数据过滤技术是在网络层选择数据包。
应用层网关是在网络应用层建立协议过滤和转发功能。
代理服务也叫链路级网关或TCP通道，也有人将其归为应用层网关。
防火墙是在不同网络或网络安全域之间设置的一系列缺失组合。它能够检测、限制和改变穿越防火墙的数据流，尽可能地从外部屏蔽网络的信息、结构和运行，从而实现网络的安全保护。
防火墙的设计目标是:
1进出内网的流量必须经过防火墙。
2只有内部网安全策略中定义的合法流量才能进出防火墙。
3防火墙本身要防渗透。
防火墙可以有效防止外部入侵，它在网络系统中的作用是:
1控制进出网络的信息流和数据包。
2提供使用和流量的日志和审计。
3隐藏内部IP和网络结构细节。
4提供虚拟专用网络功能。
通常有两个设计约定:除非明确禁止，否则允许所有服务；除非明确允许，否则禁止所有服务。
防火墙实现站点安全策略的技术:
3服务控制。确定可以在围栏内外访问的互联网服务类型。
4方向控制。发起特定的服务请求，并允许它通过防火墙。这些动作是有方向性的。
5用户控件。根据请求访问的用户，确定是否提供服务。
6行为控制。控制如何使用特定的服务。
影响防火墙系统的设计、安装和使用的网络策略可分为两个级别:
高级网络策略定义允许和禁止的服务以及如何使用它们。
低级网络策略描述防火墙如何限制和过滤高级策略中定义的服务。