信息安全管理第5讲网络安全技术(一

《信息安全管理第5讲网络安全技术(一》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第5讲网络安全技术（一）FW、VPN1引言意义：信息安全主要内容信息安全管理重要技术保证内容网络安全技术网络的攻与防网络漏洞和补丁范围：认证机制：PKI访问控制：FW、保密通信：IPSec、SSL、SHTTP、SMIME各种网络攻防技术2防火墙基本概念关键技术体系结构网络隔离基本概念防火墙概念WilliamCheswick和SteveBeilovin（1994）：防火墙是放置在两个网络之间的一组组件，这组组件共同具有下列性质：只允许本地安全策略授权的通信信息通过双向通信信息必须通过防火墙防火墙本身不会影响信息的流通防火墙是位于两个信任程度不同的网络

2、之间（如企业内部网络和Internet之间）的软件或硬件设备的组合，它对两个网络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资源的非法存取和访问以达到保护系统安全的目的。防火墙缺陷使用不便，认为防火墙给人虚假的安全感对用户不完全透明，可能带来传输延迟、瓶颈及单点失效不能替代墙内的安全措施不能防范恶意的知情者不能防范不通过它的连接不能防范全新的威胁不能有效地防范数据驱动式的攻击当使用端-端加密时，其作用会受到很大的限制防火墙分类软件防火墙、硬件防火墙Windows、Linux防火墙主机防火墙、网络防火墙基于不同技术的防火墙关键技术数

3、据包过滤依据事先设定的过滤规则，对所接收的每个数据包做允许拒绝的决定。数据包过滤优点：速度快，性能高对用户透明数据包过滤缺点：维护比较困难(需要对TCP/IP了解）安全性低（IP欺骗等）不提供有用的日志，或根本就不提供不防范数据驱动型攻击不能根据状态信息进行控制不能处理网络层以上的信息无法对网络上流动的信息提供全面的控制互连的物理介质应用层表示层会话层传输层应用层表示层会话层传输层网络层数据链路层物理层网络层数据链路层物理层网络层数据链路层物理层NAT（NetworkAddressTranslation）网络地址转就是在防火墙上装一个合法IP地址集

4、，然后当内部某一用户要访问Internet时，防火墙动态地从地址集中选一个未分配的地址分配给该用户；同时，对于内部的某些服务器如Web服务器，网络地址转换器允许为其分配一个固定的合法地址。地址翻译主要用在两个方面：网络管理员希望隐藏内部网络的IP地址。这样互联网上的主机无法判断内部网络的情况。内部网络的IP地址是无效的IP地址。这种情况主要是因为现在的IP地址不够用，要申请到足够多的合法IP地址很难办到，因此需要翻译IP地址。源IP目的IP10.0.0.108202.112.108.50源IP目的IP202.112.108.3202.112.108

5、.50源IP目的IP202.112.108.50202.112.108.3源IP目的IP202.112.108.5010.0.0.108防火墙网关应用层代理网关理解应用协议，可以实施更细粒度的访问控制对每一类应用，都需要一个专门的代理灵活性不够客户网关服务器发送请求转发请求请求响应转发响应电路级网关拓扑结构同应用程序网关相同接收客户端连接请求，代理客户端完成网络连接在客户和服务器间中转数据通用性强体系结构双宿主主机体系双重宿主主机的特性：安全至关重要（唯一通道），其用户口令控制安全是关键。必须支持很多用户的访问（中转站），其性能非常重要。缺点：双重

6、宿主主机是隔开内外网络的唯一屏障，一旦它被入侵，内部网络便向入侵者敞开大门。Internet防火墙双重宿主主机内部网络……屏蔽主机体系屏蔽主机体系结构由防火墙和内部网络的堡垒主机承担安全责任。一般这种防火墙较简单，可能就是简单的路由器。典型构成：包过滤路由器＋堡垒主机。包过滤路由器配置在内部网和外部网之间，保证外部系统对内部网络的操作只能经过堡垒主机。堡垒主机配置在内部网络上，是外部网络主机连接到内部网络主机的桥梁，它需要拥有高等级的安全。因特网屏蔽子网体系屏蔽子网体系结构在本质上与屏蔽主机体系结构一样，但添加了额外的一层保护体系——周边网络。堡垒

7、主机位于周边网络上，周边网络和内部网络被内部路由器分开。原因：堡垒主机是用户网络上最容易受侵袭的机器。通过在周边网络上隔离堡垒主机，能减少在堡垒主机被侵入的影响。Internet周边网络内部网络……外部路由器堡垒主机内部路由器周边网络是一个防护层，在其上可放置一些信息服务器，它们是牺牲主机，可能会受到攻击，因此又被称为非军事区（DMZ）。周边网络的作用：即使堡垒主机被入侵者控制，它仍可消除对内部网的侦听。例:netxray等的工作原理。堡垒主机堡垒主机位于周边网络，是整个防御体系的核心。堡垒主机可被认为是应用层网关，可以运行各种代理服务程序。对于出

8、站服务不一定要求所有的服务经过堡垒主机代理，但对于入站服务应要求所有服务都通过堡垒主机。网络隔离物理隔离的指导思想与防火墙