计算机三级网络技术7教程文件.ppt

《计算机三级网络技术7教程文件.ppt》由会员分享，可在线阅读，更多相关《计算机三级网络技术7教程文件.ppt（104页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、计算机三级网络技术7重要知识点:网络管理功能网络管理协议27.1.1 网络管理的基本概念网络管理的基本概念 l1网络管理的定义网络管理是指对网络运行状态进行监测和控制，使其能够有效、可靠、安全、经济地提供服务。任务就是通过监测可以了解网络状态是否正常，是否存在瓶颈和潜在危机；通过控制可以对网络状态进行合理调节，从而提高效率，保证服务。37.1.1 网络管理的基本概念（续）网络管理的基本概念（续）l2网络管理对象硬件资源l包括物理介质（如网卡、双绞线）、计算机设备（如打印机、存储设备等）和网络互联设备（如网桥、路由器等）软件资源l主要包括操作系统、应用软件和通信软件等。l3网络管理的目标满足运营

2、者及用户对网络的有效性、可靠性、开放性、综合性、安全性和经济性的要求。47.1.2 网络管理的功能网络管理的功能l包括包括5大功能域：大功能域：配置管理故障管理性能管理计费管理安全管理 51配置管理配置管理l功能：用于辨别、定义、控制和监视通信网络功能：用于辨别、定义、控制和监视通信网络对象对象 l负责网络的建设、业务的展开及配置数据的维负责网络的建设、业务的展开及配置数据的维护护 l目的：实现某个特定功能或是使网络性能达到目的：实现某个特定功能或是使网络性能达到最优最优 l包括资源清单管理、资源开通以及业务开通包括资源清单管理、资源开通以及业务开通62故障管理故障管理l任务是发现和排除故障l

3、主要功能包括维护并监测错误日志接收错误监测报告并作出响应跟踪辨认错误执行诊断测试和纠正错误l内容包括障碍管理故障恢复预防保障73性能管理性能管理l包括性能监测、性能分析以及性能管理控制等功能l目的是维护网络服务质量和网络运行效率。l性能管理的一些典型功能包括：收集统计信息维护并检查系统状态日志确定自然和人工状态下系统的性能改变系统的操作模式84计费管理计费管理l主要目的：记录网络资源的使用，控制和监测网络操作的费用和代价。l主要作用：能够测量和报告基于个人或团体用户的计费信息，分配资源并计算传输数据的费用，然后给用户开出账单l主要功能计算网络建设及运营成本统计网络及其所包含的资源利用率联机收集

4、计费数据计算用户应支付的网络服务费用和帐单管理 95安全管理安全管理l目标：提供信息的隐隐蔽、认证和完整性保护机制，使网络中的服务、数据以及系统免受侵扰和破坏l主要内容：对授权机制、访问控制、加密和解密关键字的管理 l主要功能：风险分析功能安全服务功能告警功能日志功能和报告功能网络管理系统保护功能107.1.3 网络管理模型网络管理模型 l网络管理的基本模型网络管理的基本模型网络管理者：运行在计算机操作系统之上的一组应用程序，负责从各代理处收集管理信息，进行处理，获取有价值的管理信息，达到管理的目的。代理：位于被管理的设备内部，是被管对象上的管理程序。管理者和代理之间的信息交换方式：l从管理者

5、到代理的管理操作l从代理到管理者的事件通知11网络管理模式 l集中式管理是所有的网管代理在管理站的监视和控制下协同工作而实现集成的网络管理。在该模式中，至少有一个结点担当管理站的角色，其他结点在网管代理模块的控制下与管理站通信。l分布式管理两种模式将数据采集、监视以及管理分散开来，它可以从网络上的所有数据源采集数据而不必考虑网络拓扑结构。127.1.4 网络管理协议网络管理协议 l网络管理协议的发展国际标准化组织ISO:CMIS和CMIPInternet工程任务组IETF:SNMP协议（简单网络管理协议），也称SNMP V1。近年来SNMP已经超越了传统的TCP/IP环境，成为网络管理方面事实

6、上的标准。在1992年IETF开始了SNMP V2的开发工作，提高了协议的安全性。1997年，IETF成立了SNMP V3工作组，其重点是安全、可管理的体系结构和远程配置。13SNMP协议(续)lSNMP是最常用的计算机网是最常用的计算机网络管理协议，可用于管理络管理协议，可用于管理目前市场上大多数的组网目前市场上大多数的组网设备。设备。SNMP位于位于ISO OSI参考模型的应用层，它遵参考模型的应用层，它遵循循ISO的管理者的管理者-代理网络代理网络管理模型。管理模型。lSNMP的体系结构主要由的体系结构主要由SNMP管理者、管理者、SNMP代理代理者两个部分组成。每一个者两个部分组成。每

7、一个支持支持SNMP的网络设备中都的网络设备中都包含一个代理，代理随时包含一个代理，代理随时记录网络设备的各种信息；记录网络设备的各种信息；网络管理程序再通过网络管理程序再通过SNMP通信协议收集代理所记录通信协议收集代理所记录的信息。从被管理设备中的信息。从被管理设备中收集数据有轮询和基于中收集数据有轮询和基于中断两种方法。断两种方法。14SNMP协议(续)l轮询方法的基本过程是：代理软件不断收集统计数据，并把这些轮询方法的基本过程是：代理软件不断收集统计数据，并把这些数据记录到一个管理信息库（数据记录到一个管理信息库（MIB）中；网络管理员通过向代理）中；网络管理员通过向代理的的MIB发出

8、查询信号可以得到这些信息。这种方法的缺点在于信发出查询信号可以得到这些信息。这种方法的缺点在于信息的实时性，尤其是处理错误的实时性，管理员必须不断地轮询息的实时性，尤其是处理错误的实时性，管理员必须不断地轮询SNMP代理，以全面地查看一天的通信流量和变化率。代理，以全面地查看一天的通信流量和变化率。l当有异常事件发生时，相对于轮询方法，基于中断的方法可以立当有异常事件发生时，相对于轮询方法，基于中断的方法可以立即通知管理工作站，实时性很强。这种方式的缺点是自陷必须转即通知管理工作站，实时性很强。这种方式的缺点是自陷必须转发大量信息，要消耗管理设备更多资源和时间。发大量信息，要消耗管理设备更多资

9、源和时间。l将以上两种方法结合的陷入制导轮询法可能是执行网络管理的最将以上两种方法结合的陷入制导轮询法可能是执行网络管理的最有效的方法。有效的方法。15CMIP协议协议l采用了报告机制 l具有即时性的特点 l所有功能要通过应用层的相关协议来实现l建立了安全管理机制l提供授权、访问机制、安全日志等功能lCMIP协议比较复杂，实施起来花费较高 16【例【例7-1】网络管理的功能是（）A）配置管理、故障管理、性能管理、计费管理、安全管理B）配置管理、故障管理、性能管理、网站管理、安全管理C）操作系统管理、故障管理、性能管理、网站管理、安全管理D）操作系统管理、故障管理、配置管理、网站管理、安全管理答

10、案答案:A【例【例7-2】网络管理的目标是最大限度地增加网络的可用时间，提高网络设备的利用率，改善网络性能、服务质量和_。答案答案:安全性安全性【例【例7-3】在故障管理的图形报告中，用哪种颜色代表设备运行正常，但处于错误状态（）A）灰色 B）蓝色 C）橙色 D）黄色答案：答案：B例题例题17【例【例7-4】下列各项中不属于配置管理的内容是（）A）网络资源之间关系的监视和控制 B）定义新的管理对象C）识别管理对象 D）接收差错报告并作出反应答案答案:D【例【例7-5】以下（）不是目前使用的标准网络管理协议A）SNMP B）CMIS/CMIP C）TCP/IP D）LMMP答案：答案：C【例【例

11、7-6】目前下列哪个网络管理协议因其简单性得到了业界的广泛支持，成为了最流行网络管理协议（）A）SNMP B）LMMP C）CMIP D）CMIS答案：答案：A例题例题187.2 信息安全技术概述 19重要知识点重要知识点:信息技术的安全等级207.2.1 信息安全的概念信息安全的概念l指信息网络的硬件、软件以及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续、可靠、正常地运行，信息服务不中断 l要实现的目标。真实性保密性完整性可用性不可抵赖性可控制性可审查性217.2.2 信息安全策略信息安全策略 l信息安全策略是指为保证提供一定级别的安全保护所必须遵守的规则

12、。l信息安全的实现要靠先进的技术、严格的安全管理、法律约束与安全教育。227.2.3 信息技术的安全性等级信息技术的安全性等级l网络安全性标准（网络安全性标准（DoD5200.28_STD），即可信任计算机标准评），即可信任计算机标准评估准则。该标准将网络安全性等级划分为估准则。该标准将网络安全性等级划分为A、B、C、D共四类，共四类，其中其中A类安全等级最高，类安全等级最高，D类安全等级最低。这类安全等级最低。这4类安全等级还可类安全等级还可以细化为以细化为7个级别，这些级别的安全性从低到高的顺序是个级别，这些级别的安全性从低到高的顺序是D1、C1、C2、B1、B2、B3和和A1。237.2

13、.3 信息技术的安全性等级（续）信息技术的安全性等级（续）l在我国，以计算机信息系统安全保护等级划分原则（GB17859-1999）为指导，将信息和信息系统的安全保护分为5个等级。自主保护级指导保护级监督保护级强制保护级专控保护级24【例【例7-77-7】按照美国国防部安全准则，UNIX系统能够达到的安全级别为（）A）C1 B）C2 C）B1 D）B2答案答案:B:B【例【例7-87-8】在欧洲的信息技术安全评测准则中要评估与安全机制对应的源代码和/或硬件设计图的评估级别是（）A）E0 B）E6 C）E3 D）E5答案：答案：C C提示：本题的同类题出现在提示：本题的同类题出现在2005200

14、5年年9 9月考试中月考试中例题例题257.3 网络安全问题与安全策略网络安全问题与安全策略 26重要知识点重要知识点:服务攻击与非服务攻击安全威胁277.3.1 网络安全的基本概念网络安全的基本概念 l保护网络程序、数据或设备，使其免受非授权使用或访问l保护内容包括：保护信息和资源、保护客户机和用户、保证私有性。l目标是确保网络系统的信息安全，主要包括信息的存储安全和信息的传输安全 信息的存储安全一般通过设置访问权限、身份识别、局部隔离等措施来保证。信息的传输安全主要是指信息在动态传输过程中的安全，主要涉及到对网络上信息的监听、对用户身份的假冒、对网上信息的篡改、对信息进行重放等问题。l网络

15、安全措施社会的法律政策、企业的规章制度以及网络安全教育。技术方面的措施。审计与管理措施。287.3.2 OSI安全框架安全框架 lOSI安全框架是由国际电信联盟推荐的X.800方案，它主要关注3部分：安全攻击l在X.800中将安全攻击分为被动攻击和主动攻击两类 l从网络高层的角度划分，攻击方法可以分为服务攻击和非服务攻击两大类。安全机制lX.800将安全机制分为特定安全机制和普遍的安全机制两大类。安全服务lX.800将安全服务定义为通信开放系统协议层提供的服务，从而保证系统或数据传输有足够的安全性。29【例【例7-97-9】网络安全的基本目标是实现信息的机密性、_、可用性和_。答案答案:完整性

16、完整性 合法性合法性【例【例7-107-10】在网络系统中，当信息从信源向信宿流动时，受到攻击的类型包括中断、截取、修改和_。答案答案:伪造或捏造伪造或捏造【例【例7-117-11】以下网络攻击中，哪种不属于主动攻击（）A）重放攻击 B）拒绝服务攻击C）通信量分析攻击 D）假冒攻击答案：答案：C C提示：本题为提示：本题为20072007年年4 4月考题月考题例题例题30被动攻击和主动攻击l被动攻击对信息的保密性进行攻击，即通过窃听网络上传输的信息并加以分析从而获得有价值的情报，但它并不修改信息的内容目标是获得正在传送的信息，其特点是偷听或监视信息的传递被动攻击主要手段：l信息内容泄露：信息在

17、通信过程中因被监视窃听而泄露，或者信息从电子或机电设备所发出的无线电磁波中被提取出来而泄露。l通信量分析：通过确定通信位置和通信主机的身份，观察交换消息的频度和长度，并利用这些信息来猜测正在进行的通信特性。31被动攻击和主动攻击被动攻击和主动攻击l主动攻击攻击信息来源的真实性、信息传输的完整性和系统服务的可用性有意对信息进行修改、插入和删除主动攻击主要手段：l假冒：一个实体假装成另一个实体。假冒攻击通常包括一种其他形式的主动攻击。l重放：涉及被动捕获数据单元及其后来的重新传送，以产生未经授权的效果。l修改消息：改变了真实消息的部分内容，或将消息延迟或重新排序，导致未授权的操作。l拒绝服务：禁止

18、通信实体的正常使用或管理。32服务攻击和非服务攻击服务攻击和非服务攻击l服务攻击针对某种特定网络服务的攻击例如：针对E-mail服务、Telnet、FTP、HTTP等服务的专门攻击原因：TCP/IP协议缺乏认证、保密措施。l非服务攻击不针对某项具体应用服务，而是基于网络层等低层协议而进行原因：TCP/IP协议（尤其是IPv4）自身的安全机制不足33【例【例7-12】从网络高层协议角度看，攻击方法可以概括为：服务攻击与_。答案答案:非服务攻击非服务攻击【例【例7-13】基于网络底层协议，利用实现协议时的漏洞达到攻击目的，这种攻击方式称为（）A）被动攻击 B）人身攻击 C）服务攻击 D）非服务攻击

19、答案：答案：D【例【例7-14】预测（假冒）TCP初始序号和利用TCP/UDP数据包的DOS攻击（非授权使用）属于TCP/IP中（）的安全性范畴。A）网络层的安全性 B）传输层的安全性C）应用层的安全性 D）以上都不是答案：答案：B【例【例7-15】有一种攻击是不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，这种攻击叫作（）A）重放攻击 B）反射攻击 C）拒绝服务攻击 D）服务攻击答案：答案：C例题例题347.3.3 网络安全模型网络安全模型 网络安全模型1网络安全模型2357.4 加密技术加密技术36重要知识点重要知识点:对称加密技术公钥加密技术377.

20、4.1 密码学基本术语密码学基本术语 l明文：原始的消息。l密文：加密后的消息。l加密：从明文到密文的变换过程。l解密：从密文到明文的变换过程。l密码编辑学：研究各种加密方案的学科。l密码分析学：研究破译密码获得消息的学科。l密码学：密码编码学和密码分析学统称为密码学。38密码编码学密码编码学 l密码编码学系统具有以下3个独立特征转换明文为密文的运算类型l所有的加密算法都基于代换和置换两个原理。所用的密钥数l如果发送法和接收方使用相同的密钥，这种密码就称为对称密码、单密钥密码或传统密码；如果收发双方使用不同的密钥，这种密码就称为非对称密码、双钥密码或公钥密码。处理明文的方法l加密算法可以分为分

21、组密码和流密码。分组密码每次处理一个输入分组，相应地输出一个输出分组；而流密码则是连续地处理输入元素，每次输出一个元素。39密码分析学密码分析学 l密码分析学依赖于算法的性质和明文的一般特征或某些明密文对 l穷举攻击 需要对一条密文尝试所有可能的密钥，直到把它转化为可读的有意义的明文。l基于密码分析者知道的信息类型，密码攻击的类型主要有：惟密文攻击、已知明文攻击、选择明文攻击、选择密文攻击、和选择文本攻击。40加密算法的安全性加密算法的安全性l若一个加密算法能满足以下两个条件之一就认为该算法是在计算上是安全的：一是破译的代价超出加密信息本身的价值二是破译的时间超出了信息的有效期41代换与置换技

22、术代换与置换技术l代换法是将明文字母替换成其他字符、数字或符号的方法。典型的算法包括Caesar密码、单表代换密码、playfair密码、Hill密码、多表代换密码以及一次一密等。l置换密码的加密方法是通过置换而形成新的排列。如栅栏技术，按照对角线的顺序写入明文，而按行的顺序读出作为密文。427.4.2 对称加密技术对称加密技术 l对称加密的模型对称加密模型由5个组成部分：明文、加密算法、密钥、密文和解密算法。43数据加密标准数据加密标准l数据加密标准DESDES数据加密标准DES是一种分组密码l在加密前，先对整个明文进行分组。每一个组长为64位。然后对每个64位二进制数据进行加密处理，产生一

23、组64位密文数据使用的密钥为64位，实际密钥长度为56位，有8位用于奇偶校验。44lDES加密的过程为：64位的明文经过初始置换而被重新排列。进行16轮的相同函数的作用，每轮的作用中都有置换和代换，最后一轮迭代的输出有64位，将其左半部分和右半部分互换产生预输出，预输出再被与初始置换互逆的逆初始置换作用产生64位的密文。45其他常用的对称加密算法其他常用的对称加密算法 l目前经常使用的对称加密算法还有：三重DES、高级加密标准（AES）、Blowfish算法和RC5算法。三重DES：使用多个密钥对DES进行三次加密，克服了DES不能抵御穷举攻击的弱点，但该算法用软件实现起来速度比较慢。高级加密

24、标准（AES）：2001年NIST将Rijndael作为AES算法，它的密钥长度为128、192或256位，分组长度为128位。AES性能不低于3DES，同时具有良好的执行性能。46 lBlowfish算法该算法由Bruce Schneier设计的，是一个可变密钥长度的分组密码算法，分组长度为64位。算法由密钥扩展和数据加密两部分组成，密钥扩展把长度可达448位的密钥转变成总共4168字节的几个子密钥；数据加密由一个简单函数迭代16轮，每一轮由密钥相关的置换、密钥相关和数据相关的代换组成。lRC5RC5的分组长度和密钥长度都是可变的可以在速度和安全性之间进行折中477.4.3 公钥加密公钥加密

25、 l公钥密码体制l公钥算法依赖于一个加密密钥和一个与之相关的解密密钥。l公钥加密体制有6个组成部分：明文、加密算法、公钥、私钥、密文和解密算法。487.4.3 公钥加密公钥加密(续续)l公钥加密的步骤如下：每个用户都生成一对加密和解密时使用的密钥。每个用户都把他的公钥放在一个公共地方，私钥自己妥善保管。发送用户要向接收用户发送机密消息，就用接收用户的公钥加密消息。当接收用户收到消息时，可以用自己的私钥进行解密。49公钥密码体制的应用公钥密码体制的应用 l公钥密码体制的应用可分为以下3种：加密/解密。数字签名。发送方利用其私钥对消息“签名”。密钥交换50RSA算法算法 lRSA算法是算法是197

26、8年由年由Rivest、Shamir和和Adleman三三个人提出的，被认为是迄今为止理论上最为成熟完善个人提出的，被认为是迄今为止理论上最为成熟完善的一种公钥密码体制。的一种公钥密码体制。l该体制的构造基于该体制的构造基于Euler定理，它利用了如下的基本事定理，它利用了如下的基本事实：寻找大素数是相对容易的，而分解两个大素数的实：寻找大素数是相对容易的，而分解两个大素数的积在计算上是不可行的。积在计算上是不可行的。lRSA算法的安全性建立在难以对大数提取因子的基础算法的安全性建立在难以对大数提取因子的基础上。与上。与DES相比，缺点是加密、解密的速度太慢。相比，缺点是加密、解密的速度太慢。

27、51lRSA是一种分组密码，其明文和密文均是0至n-1之间的整数（n的大小为1024位二进制数或309位十进制数）。明文以分组为单位进行加密，每个分组的二进制值均小于n。l密钥的选取过程如下：选取两个大质数p和q。计算n=pq，z=（p-t）（q-1）。选择小于n的整数e，并且和z没有公约数。找到数d，满足ed-1被z整除。公钥是数对（n，e），私钥是数对（n，d）。52其他的公钥加密算法其他的公钥加密算法 lElgamal公钥体制基于离散对数的公钥密码体制密文不仅信赖于待加密的明文，而且信赖于用户选择的随机参数，即使加密相同的明文，得到的密文也是不同的。加密算法的非确定性l背包公钥体制基本原

28、理：背包问题537.4.4 密钥管理 l密钥的分发 密钥分发中心（KDC）是一个独立的可信网络实体，是一个服务器，它同每个注册用户共享不同的秘密对称密钥。KDC知道每个用户的秘密密钥，每个用户可以通过这个秘密密钥同KDC进行安全通信 54密钥的验证密钥的验证 l认证中心（认证中心（CA）用于验证一个公共密钥是否属于一个）用于验证一个公共密钥是否属于一个特殊实体（一个个人或者网络实体）。一旦一个公共特殊实体（一个个人或者网络实体）。一旦一个公共密钥被认证了，那么它就可以从任何地方发出，包括密钥被认证了，那么它就可以从任何地方发出，包括一个公共密钥服务器、一个个人网页或者一张磁盘。一个公共密钥服务

29、器、一个个人网页或者一张磁盘。lCA的主要作用有两个方面。一是验证实体的身份；二的主要作用有两个方面。一是验证实体的身份；二是产生一个证书，将这个公共密钥和身份进行绑定，是产生一个证书，将这个公共密钥和身份进行绑定，这个证书由这个证书由CA进行数字签名。证书中包括公共密钥和进行数字签名。证书中包括公共密钥和关于公共密钥所有者的全球唯一的标识信息。关于公共密钥所有者的全球唯一的标识信息。55【例【例7-16】下面关于加密的说法正确的是（）。A）经过变换后得到的数据称为明文B）加密是将原数据变换成一种隐藏的形式的过程C）需要进行变换的原数据称为密文D）以上都不对答案：答案：B【例【例7-17】下面

30、哪一种加密算法属于对称加密算法（）A）RSA B）DSA C）DES D）RAS答案：答案：C提示：本题的同类题出现在提示：本题的同类题出现在2006年年4月考试中月考试中【例【例7-18】下面加密算法中,属于公钥加密技术的是（）A）DES B）TDEA C）RC-5 D）RSA答案：答案：D例题例题567.5 认证技术认证技术57重要知识点重要知识点:消息认证身份认证数字签名587.5.1 消息认证消息认证 l1消息认证的概念消息认证就是使意定的接收者能够检验收到的消息是否真实的方法，又称为完整性校验，它在银行业称为消息认证，在OSI安全模型中称为封装。消息认证的内容应包括：证实消息的信源和

31、信宿；消息内容是否曾经受到偶然或有意地篡改；消息的序号和时间性是否正确。l2消息认证的方法 认证信息的来源 认证信息的完整性认证信息的序号和时间59l3.消息认证的模式消息认证的模式有单向认证和双向认证。在单向认证中，由接收者验证发送者的身份和发送消息的完整性；在双向认证中，接收双方互相确定对方的身份和发送消息的完整性。l4.认证函数 可用做认证的函数有信息加密函数、信息认证码和散列函数3种。607.5.2 数字签名数字签名 l数字签名的需求签名必须依赖于要签名报文的比特模式签名必须使用对发送者来说是唯一的信息，以防伪造和抵赖。数字签名的产生必须相对简单。数字签名的识别和证实必须相对简单。伪造

32、数字签名具有很高的计算复杂行。保留一个数字签名的备份在存储上现实可行的。61数字签名的创建数字签名的创建 l利用公钥密码体制，数字签名是一个加密的消息摘要，附加在消息后面。如果A想在发给B的消息中创建一个数字签名，操作过程如下：A创建一个公钥/私钥对，并将公钥给接收方B。A把消息作为一个单项散列函数的输入，散列函数的输出就是消息摘要。A用私钥加密信息摘要，就得到数字签名。62数字签名的验证数字签名的验证 l在接收方，B需要遵循以下步骤来验证A的数字签名。B把收到的数据分离成消息和数字签名。B使用A的公钥对数字签名解密，从而得到消息摘要。B把消息作为A所使用的相同散列函数的输入，得到一个消息摘要

33、。B比较这两个信息摘要，看它们是否相互匹配。637.5.3 身份认证身份认证 l身份认证又称身份识别，它是通信和数据系统中正确识别通信用户或终端身份的重要途径。l身份认证的常用方法有口令认证持证认证生物识别641口令机制口令机制l口令是由数字、字母组成的长为58的字符串，有时也包括特殊字符和控制字符等。l常用于操作系统登录、Telnet和rlogin等 l口令系统最严重的脆弱点是外部泄露和口令猜测，另外还有线路窃听、威胁验证者和重放等。l保护口令措施：对用户和系统管理者进行教育，增强他们的安全意识；建立严格的组织管理办法和执行手续；确保口令必须被定期地改变；保证每个口令只与一个人有关；确保口令

34、从来不被再现在终端上；使用易记的口令。651口令机制口令机制l被猜测措施：限制非法认证的次数；实时延迟插入到口令验证过程阻止一个计算机自动口令猜测程序的生产串防止太短的口令以及与用户名账户名或用户特征相关的口令确保口令被定期地改变；取消安装系统时所用的预设口令；使用机器产生的而不是用户选择的口令。66l2持证认证 持证为个人持有物，如磁卡、智能卡等磁卡常和个人标识号PIN一起使用智能卡将微处理器芯片嵌在宿卡上来代替无源存储磁条，存储信息远远大于磁条的250字节，且具有处理功能，卡上的处理器有4K字节的小容量EPROMl3生物识别生物识别 生物识别依据人类自身所固有的生理或行为特性特征，包括指纹

35、识别、虹膜识别、脸像识别、掌纹识别、声音识别、签名识别、笔迹识别、手形识别、步态识别以及多种生物特征融合识别等。677.5.4 常用的身份认证协议常用的身份认证协议 l一个安全的身份识别协议至少应满足以下两个条件：识别者A能向验证者B证明他的确是A。在识别者A向验证者提供了证明他的身份信息后，验证者B不能取得A的任何有用的信息。l目前满足上述条件的协议主要有：一次一密机制X.509认证协议Kerberos认证协议 68l一次一密机制请求应答机制：用户登录时，系统随即提示一条信息，用户根据信息产生一个口令，完成一次登录。询问应答方式：验证者提出问题，由识别者回答，然后由验证者验证其真伪。lX.5

36、09认证协议X.509定义了一种通过X.500目录提供认证服务的框架。X.500是对分布式网络中存储用户信息的数据库所提供的目录检索服务的协议标准，而X.509是利用公钥加密技术对X.500的服务所提供认证服务的协议标准。lKerberos认证协议Kerberos基于对称密钥体制，一般采用DES，它与网络上的每个实体共享一个不同的密钥，通过是否知道秘密密钥来验证身份。69【例【例7-19】以下哪项不属于防止口令猜测的措施（）。A）严格限定从一个给定的终端进行非法认证的次数B）确保口令不在终端上再现C）防止用户使用太短的口令D）使用机器产生的口令答案：答案：B【例【例7-20】以下哪种方法不属于

37、身份认证（）A）口令机制 B）个人特征 C）个人持证 D）消息认证答案：答案：D【例【例7-21】用户A通过计算机网络向用户B发送消息，表示自己同意签订某个合同，随后用户A反悔，不承认自己发过该条消息。为了防止这种情况，应采用（）A）数字签名技术 B）消息认证技术 C）数据加密技术 D）身份认证技术答案：答案：A例题例题707.6 安全技术应用安全技术应用71重要知识点:身份认证协议电子邮件的安全727.6.1 安全电子邮件安全电子邮件 l1PGPPGP是Phil Zimmermann在1991年提出的一个安全电子邮件加密方案，它已经成为事实上的标准。PGP的操作由5种服务组成：鉴别、机密性、

38、压缩、电子邮件的兼容性和分段。PGP利用了4种类型的密钥：一次性会话的常规密钥、公开密钥、私有密钥和基于口令短语的常规密钥。当PGP安装之后，为用户产生一个公共密钥对，这个密钥可以公布在用户的个人网站或者放在公共密钥服务器上。私密密钥用密码进行保护，每次用户访问这个密钥的时候必须输入密码。737.6.1 安全电子邮件安全电子邮件(续续)l2S/MIMES/MIME的功能如下：加密的数据。对于一个或多个接收者而言，它是由任意类型的加密内容和加密内容的加密密钥组成的。签名的数据。通过取得要签名的内容的报文摘要，然后使用签名者的私钥对该摘要进行加密，形成数字签名。透明签名的数据。签名的数据形成了内容

39、的数字签名。签名并且加密的数据。只签名和只加密的实体可以递归使用，因此加密的数据可以被签名，签名或透明的签名数据可以被加密。747.6.2 网络层安全网络层安全IPSec lIP安全协议（简称为IPSec）是在网络层提供安全的一组协议。在IPSec协议族中，有两个主要的协议：身份认证头（AH）协议和封装安全负载（ESP）协议。AH协议提供了源身份认证和数据完整性，但是没有提供秘密性ESP协议提供了数据完整性、身份认证和秘密性。l对于AH和ESP协议，源主机在向目的主机发送安全数据报之前，源主机和网络主机进行握手，并建立网络层逻辑连接，这个逻辑连接称为安全协定（SA）。SA唯一定义为一个三元组，

40、包括安全协议标识符、单工连接的源IP地址和称为安全参数索引的32位连接标识符。75lAH协议在发送数据报时，AH头在原有IP数据报数据和IP头之间。这样，AH头增加了原有数据字段，被封装为标准的IP数据报。在IP头的协议字段，值51用来表明数据报包含AH头。当目的主机接收到带有AH头的IP数据报后，它确定数据报的SA，通过处理身份验证数据段来验证数据报的完整性。lESP协议采用ESP协议，源主机可以向目的主机发送安全数据报。安全数据报是用头部、尾部字段来封装原来的IP数据报，然后将封装后的数据插入到IP数据报的数据字段。对于IP数据报头的协议字段，值50用来表示数据报包含ESP头和ESP尾。7

41、67.6.3 Web安全安全 lWeb所面临的威胁Web服务器安全威胁Web浏览器安全威胁及浏览器与服务器之间的网络通信量安全威胁77Web流量安全性方面流量安全性方面lWeb流量安全性方法可以分为网络级、传输级、应用级。网络级。提供Web安全性的一种方法是使用IPSec协议。IPSec具有过滤功能，以便仅用IPSec处理所选的流量。传输级。提供Web安全性的另一个相对通用的解决方法是在TCP上实现安全性。这种方法的例子有安全套接层（SSL）和运输层安全（TLS）的Internet SSL标准。应用级。与应用有关的安全服务被嵌入到特定的应用程序中，这种方法的一个重要的例子是安全的电子交易（SE

42、T）。787.7 入侵检测技术与防火墙入侵检测技术与防火墙 79重要知识点重要知识点:防火墙的基本概念防火墙的设计策略807.7.1 入侵者入侵者 l入侵者通常是指黑客和解密高手。入侵者大致分为3类。假冒者：指未经授权使用计算机的人和穿透系统的存取控制冒用合法账号的人。非法者：指未经授权访问数据、程序和资源的合法用户；或者已经获得授权访问，但是错误使用权限的合法用户。秘密用户：夺取系统超级控制并使用这种控制权逃避审计和访问控制或者抑制审计记录的个人。817.7.2 入侵检测技术入侵检测技术 l入侵检测技术可以分为统计异常检测和基于规则的检测。统计异常检测：收集一段时间内合法用户的行为，然后用统

43、计测试来观测其行为，判定该行为是否是合法用户的行为。基于规则的检测：包括尝试定义用于确定给定行为是否是入侵者行为的规则集合。82审计记录审计记录l入侵检测的一个基础工具是审计记录。用户活动的记录应作为入侵检测系统的输入，记录的获得有两种方法。原有的审计记录：几乎所有的多用户操作系统都有收集用户行为的审计软件，通过这种方法获得的审计记录可能没有包含需要的信息。专门用于检测的审计记录：可以实现一个收集机制来生成只包含入侵检测系统所需信息的审计记录。83统计异常检测统计异常检测 l统计异常检测分为两大类：阈值检测和基于轮廓的检测。阈值检测与在一个时间区间内对专门的事件类型的出现次数有关。如果次数超出

44、了被认为是合理的数值，那么就假定出现了入侵。阈值分析本身效率不高，并且阈值和时间区间必须是提前选定的。基于轮廓的异常检测集中于刻画单独用户或相关用户组的过去行为特性，然后检测出明显的偏差。这种方法的基础在于对审计记录的分析，入侵检测模型会分析进入的审计记录以确定与平均行为的偏差。可用于基于轮廓的入侵检测的度量机制有计数器、标准值、间隔定时器、资源利用。利用这些度量机制，可以进行不同的检测来确定当前行为是否在可接受的限度之内。84基于规则的入侵检测基于规则的入侵检测 l基于规则的技术通过观察系统中的事件，应用一个决定给定活动模式是否可疑的规则集来检测入侵行为，分为异常检测和渗透鉴别两个方面。基于

45、规则的异常检测方法是基于对过去行为的观察，分析历史的审计记录来识别出使用模式，并自动生成描述那些模式的规则；然后观察当前的行为，每个事务都和规则集相匹配，以确定它是否符合任何观察的历史行为模式。基于规则的渗透鉴别采用了基于专家系统技术的方法。这样的系统的关键特征是要使用规则来鉴别已知的渗透，或利用已知弱点的渗透，也可以定义鉴别可以行为的规则。这样的规则不是通过对审计记录的自动分析生成的，而是由“专家”生成的。这种方法的强度依赖于在建立规则时所涉及的人的技能。85分布式入侵检测分布式入侵检测 l分布式入侵检测是要保护局域网内或内部互联网络内所有的主机安全。l加利福尼亚大学建立的互联网安全监视器是

46、分布式入侵检测系统的一个很好的例子。867.7.3 防火墙的特性防火墙的特性 l防火墙的定义防火墙是指为了增强驻地网的安全性而嵌入到驻地网和Internet之间，从而建立受控制的连接并形成外部安全墙或者说是边界，用来防止驻地网收到来自Internet的攻击，并在安全性将受到影响的地方形成阻塞点。l防火墙的设计目标所有从内到外和从外到内的通信量都必须经过防火墙。只有被授权的通信才能通过防火墙。防火墙对于渗透是免疫的。872防火墙的分类防火墙的分类l包过滤防火墙在网络层依据系统的过滤规则，对数据包进行选择和过滤，这种规则又称为访问控制表（ACLs）通过检查数据流中的每个数据包的源地址、目标地址、源

47、端口、目的端口及协议状态或它们的组合来确定是否允许该数据包通过通常安装在路由器上l应用网关也称代理服务器在应用层上建立协议过滤和转发功能针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告通常安装在专用工作站系统上884种常用技术种常用技术l防火墙用来控制访问和执行站点安全策略有4种常用技术。服务控制：确定可以访问Internet服务的类型。方向控制：决定哪些特定的方向上服务请求可以被发起并通过防火墙。用户控制：根据哪个用户尝试访问服务来控制对一个服务的访问。行为控制：控制怎样使用特定的服务。89防火墙的功能防火墙的功能l防火墙定义了单

48、个阻塞点，通过它就可以把未授权用防火墙定义了单个阻塞点，通过它就可以把未授权用户隔离到受保护网络之外，禁止危及安全的服务进入户隔离到受保护网络之外，禁止危及安全的服务进入或离开网络，防止各种或离开网络，防止各种IP盗用和路由攻击。盗用和路由攻击。l通过防火墙可以监视与安全有关的事件。在防火墙系通过防火墙可以监视与安全有关的事件。在防火墙系统中可以采用监听和警报技术。统中可以采用监听和警报技术。l防火墙可以为几种与安全无关的因特网服务提供方便防火墙可以为几种与安全无关的因特网服务提供方便的平台。其中包括网络地址翻译和网络管理功能部件，的平台。其中包括网络地址翻译和网络管理功能部件，前者把本地地址

49、映射成因特网地址，后者用来监听或前者把本地地址映射成因特网地址，后者用来监听或记录因特网的使用情况。记录因特网的使用情况。l防火墙可以用作防火墙可以用作IPSec平台。平台。907.7.4 防火墙的分类防火墙的分类 l最常用的防火墙有包过滤路由器、应用级网关和电路级网关。l1.包过滤路由器 包过滤路由器依据一套规则对收到的IP包进行处理，决定是转发还是丢弃。过滤的具体处理方法视数据包所包含的信息而定，如源IP地址、目的IP地址、源和目的传输层地址、IP协议域和接口等。包过滤器可以看作一个规则表，由规则表和IP报头或TCP数据头内容的匹配情况来执行过滤操作。如果有一条规则与数据包的状态匹配，就按

50、照这条规则来执行过滤操作；如果不匹配就执行默认操作。默认的策略有两种：默认丢弃策略：所有未明确允许转发的数据包都被丢弃。默认转发策略：所有未明确规定丢弃的数据包都被转发。91l2.应用级网关应用级网关也称代理服务器，其工作的过程大致为：用户使用Telnet和FTP之类的TCP/IP应用程序时，建立一个到网关的连接，网关要求用户出示将要访问的异地机器的正确名称。若用户给出了一个有效的用户ID和验证信息，网关就建立一个到异地机器的应用连接，并开始在访问者和被访问者之间传递包含着应用数据的TCP数据段。如果网关无法执行某个应用程序的代理码，服务就无法执行，也不能通过防火墙发送。92l3.电路级网关电