现代网络安全技术李兴无 第2章

《现代网络安全技术李兴无 第2章》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第2章网络安全管理第2章网络安全管理网络安全基础1网络管理2网管协议3网管安全体系4常用网管工具5本章学习目标理解网络安全的概念与特征掌握安全风险评估方法了解网络管理与安全体系了解常用网络管理协议了解网络安全策略2.1网络安全基础2.1.1网络安全概念网络安全是通过各种计算机、网络、密码技术和信息安全技术，保护在公用通信网络中传播、交换和存储的信息的机密性、完整性和真实性，并对信息的传播及内容进行控制，使整个网络系统不因偶然的或者恶意的原因仍能连续、可靠、正常地运行。2.1网络安全基础2.1.2网络安全的发展与特征（1）网络安全技术发展过程第一代信息隔离技术第二代

2、主动防卫技术第三代信息免疫技术2.1网络安全基础（2）安全网络的特征1）保密性2）完整性3）可用性4）不可否认性5）可控性6）可靠性2.1.3网络安全框架2.1.4网络安全风险与威胁（1）网络安全风险网络通信系统的安全风险隐患主要来源于硬件组件、软件组件以及网络通信协议。（2）网络安全威胁影响计算机网络安全的因素很多，归结起来主要有物理环境威胁、软硬件威胁、人为威胁。（3）风险评估定量评估、定性评估、二者相结合。2.2网络管理2.2.1配置管理2.2.2性能管理2.2.3故障管理2.2.4计费管理2.2.5安全管理网络中主要有以下几方面的安全问题：检测网络中的非正

3、常行为。安全策略的集中分发和管理。授权合法用户的使用权限。安全事件的集中监控和处理。访问控制（控制对网络资源的访问）。2.2.6网络管理方式1．集中式管理优点是简单、价格低、易维护，通信和交互行为主要发生于管理者和管理代理之间，不涉及多个管理者相互间的交互问题。缺点是网络传输量大，易成为系统的瓶颈，引起网络阻塞；可移植性差；管理中心发生故障，则整个管理系统将面临崩溃的窘境；同一网络中的设备种类繁多，所支持的协议也可能各不相同；有可能因发生网络故障而将管理者与部分被管理网络分隔开来。2.以平台为中心的管理方式优点是避免了协议复杂性和异构性的影响。还可以有效简化新的网

4、管应用的开发，提高代码的重复利用率。缺点是本质上并未脱离“集中方式”的范畴。网管平台仍然是系统潜在的单一失效点和性能瓶颈。3.分布式管理它的根本属性就是扩展整个网络的容量和可靠性，从而提高管理性能。分布管理方式又可分为两种方式：层次式(HierarchicalParadigm)和协作式(CooperativeParadigm)。2.3网络管理协议2.3.1SNMP简单网络管理协议SNMP(SimpleNetworkManagementProtocol)是流传最广、应用最多、获得支持最广泛的一个网络管理协议，它起始于20世纪70年代。它最大的一个优点就是简单，因而比

5、较容易在大型网络中实现。目前有三个版本存在，即SNMPv1（1990年）、SNMPv2（1993年）和SNMPv3（1999年）。SNMP由三部分组成：管理信息结构(SMI)、管理信息库(MIB)、SNMP通信协议（1）管理信息结构管理信息结构(StructureofManagementInformation)是SNMP的基础部分，定义了SNMP框架所使用的信息的组成、结构和表示，为描述MIB对象和协议如何交换信息奠定了基础。它包含：1）对象的标识。2）对象的语法。每个对象有五个标准属性。3）对象的编码，包含三个字段。SMI定义的SNMP数据类型分为通用数据类型和

6、泛用数据类型两种。（2）管理信息库管理信息库MIB(ManagementinformationBase)是网络管理系统的核心，它是对于通过网络管理协议可以访问管理对象信息的精确定义。第一版本的MIB称为MIB-I，在RFC1213中定义了MIB-II。MIB-II由九个组组成，它们分别是：SYSTEM、INTERFACES、AT、IP、ICMP、TCP、UDP、EGP和SNMP。（3）SNMPv3体系结构SNMPv3的诞生主要是针对前两个版本的安全性难以令人满意。它在保持了前两个版本优点（即易于理解和实现的特性）的同时，还增强了网络管理的安全性能，提供了保密、验证

7、和访问控制等安全管理特性。2.3.2CMIS/CMIPISO制定的网络管理协议标准分为CMIS（公共管理信息服务）和CMIP（公共管理信息协议）。CMIS支持管理进程和管理代理之间的通信要求，CMIP则是提供管理信息传输服务的应用层协议，二者规定了OSI系统的网络管理标准。OSI网络协议意在为所有设备在ISO参考模型的每一层提供一个公共网络结构。同样，CMIS/CMIP意在提供一个用于所有网络设备的完整网络管理协议簇。2.3.3IPSecIPSec是针对原有网络传输协议的不足和局限而被提出的。IPSec可以在IP层上对数据包进行安全处理，提供不可否认性、反重播性、

8、数据源验证