分析关于网络安全之上下文访问控制技术

《分析关于网络安全之上下文访问控制技术》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、分析关于网络安全之上下文访问控制技术---随着金融电子化应用的普及和深入，银行中间业务、代理业务等得到了充分的发展，银行计算机业务系统与外单位的计算机应用系统要通过计算机网络互联，防护银行计算机网络免受外单位的侵害，保证银行信息和资金的安全，是银行计算机安全建设的重要课题。对于规模较小而又分散的支行级网点，做好与外单位的网络安全隔离显得尤为重要，采用专用防火墙固然可以起到安全隔离的作用，但投入较大，难以大规模地应用于为数众多的这一类网点。在这种情况下，使用CiscoIOS防火墙特性集便是一种性价比非常高的

2、选择。一、CiscoIOS安全技术----CiscoIOS防火墙特性集作为CiscoIOS软件的一个选项，提供了一个先进的安全解决方案，这种集成化路由器安全解决方案是CiscoSystems安全解决方案系统中的一个部件。----CiscoIOS安全服务包括一系列特性，能使管理人员将一台Cisco路由器配置成为一个防火墙，而CiscoIOS防火墙特性集则可以为现有的CiscoIOS安全解决方案增加更大的深度和灵活性。表1为CiscoIOS防火墙特性集相关新特性的概述。二、基于上下文的访问控制----基于上下

3、文的访问控制(CBAC)是CiscoIOS防火墙特性集最显著的新增特性。CBAC技术的重要性在于:使管理员能够将防火墙配置为一个智能化、集成化的单框解决方案的一部分。CBAC通过严格审查源和目的地址，增强了使用众所周知端口的TCP和UDP应用程序的安全。----1．CBAC工作原理----CBAC是一个适用于IP通信的、基于每一个应用的控制机制，包括标准TCP和UDPInternet应用程序、多媒体应用程序(包括H.323应用程序、CU-SeeME、VDOLive、Streamworks及其他应用程序)以

4、及Oracle数据库。CBAC检查TCP和UDP包，并跟踪它们的“状态”或连接状态。----TCP是一个面向连接的协议。在传输数据之前，源主机与一个目的主机洽谈连接，通常被称为“三向握手”。这种握手过程确保有效的TCP连接和无错的传输。在连接建立期间，TCP穿过几个“状态”或阶段(由数据包头标识的)。标准和扩展的访问控制列表(ACL)从包头状态来决定是否允许通信通过一个连接。----CBAC通过检查整个(数据)包了解应用程序状态信息，给ACL功能增加了检查智能。CBAC利用这种信息创建一个暂时的、会话（S

5、ession）特定的ACL入口，从而允许回返通信进入可靠网络。这种暂时的ACL有效地在防火墙中打开了一个大门。当一个会话结束时，ACL入口被删除，大门关闭。标准和扩展的ACL不能创建暂时的ACL入口，因此直至目前，管理员一直被迫针对信息访问要求衡量安全风险。----CBAC比目前的ACL解决方案更加安全，因为它根据应用类型决定是否允许一个会话通过防火墙，并决定是否为回返通信流量选择某一通道。在CBAC之前，管理员仅通过编写基本上使防火墙大门洞开的永久性ACL，就能够许可先进的应用通信，因此大多数管理员选择

6、否决所有这类应用通信。现在，有了CBAC，在需要时通过打开防火墙大门和其他时候关闭大门，安全地许可多媒体和其他应用通信。例如，如果CBAC被配置成允许MicrosoftNetMeeting，那么当一个内部用户初始化一次连接时，防火墙允许回返通信。但是，如果一个外部NetMeeting来源于一个内部用户初始化连接时，CBAC将否决进入，并撤消数据包。----2．CBAC使用的加强机制----数据包检查监视数据包控制通道，识别控制通道中的应用专用指令，检测和预防应用级攻击。----通过检查，包将被转发，而CB

7、AC创建一个状态表来维护会话状态信息。如果状态表存在，表明(数据)包属于一个有效会话，回返通信流量将仅被许可通过集成化的防火墙。这种可配置的特性负责监视定义的会话。----当会话结束时，状态表被删除。在UDP(一种非连接的服务)情况下，CBAC通过根据地址/端口配对检查包来决定UDP会话，相应地中止UDP“会话”访问。----CBAC根据状态表中的信息，动态地创建和删除每一个路由器接口的访问控制列表入口。这些入口在集成的防火墙中创建暂时的“开口”，允许有效的回返通信流量进入网络。与状态表相似，动态ACL在

8、会话结束时不被保存。----3．CBAC适用于何处BT无线网络破解教程----CBAC是针对每个接口进行配置的，可以被用于控制源于防火墙另一方的通信(双向);但是，大多数客户将CBAC用于仅源于一方的通信(单向)。----将CBAC配置为一个单向控制，其中客户会话是在内部网内启动的，必须穿过防火墙才能访问一个主机。例如，一个分支办事处可能需要跨一个广域网连接或Internet访问企业服务器。CBAC可根据需要打开连接，并监视回