下载

1下载券

加入VIP
  • 专属下载券
  • 上传内容扩展
  • 资料优先审核
  • 免费资料无限下载

上传资料

关闭

关闭

关闭

封号提示

内容

首页 校园网络安全问题及对策研究毕业论文(设计)(可编辑)

校园网络安全问题及对策研究毕业论文(设计)(可编辑).doc

校园网络安全问题及对策研究毕业论文(设计)(可…

新筠雪
2017-09-16 0人阅读 举报 0 0 0 暂无简介

简介:本文档为《校园网络安全问题及对策研究毕业论文(设计)(可编辑)doc》,可适用于项目管理领域

校园网络安全问题及对策研究毕业论文(设计)(可编辑)校园网络安全问题及对策研究毕业论文(设计)苏州大学计算机科学与技术学院专升本毕业设计论文题目校园网络安全问题及对策研究学生姓名学号所学专业指导老师苏州大学计算机科学与技术学院专升本毕业论文(设计)任务书论文设计题目:校园网络安全问题及对策研究指导教师:职称:副教授类别:毕业设计学生:学号:论文设计类型:应用型专业:计算机科学与技术班级:级是否隶属于科研项目:否论文(设计)的主要任务及目标网络安全发展历史与现状分析网络安全概述网络安全问题解决对策网络安全防范校园网络安全体系论文(设计)的主要内容计算机网络面临的各种安全威胁,系统地介绍网络安全技术。并针对校园网络的安全问题进行研究,首先分析了高校网络系统安全的隐患,然后从构建安全防御体系和加强安全管理两方面设计了校园网络的安全策略。本次论文研究中,我首先了解了网络安全问题的主要威胁因素,并利用网络安全知识对安全问题进行剖析。其次,通过对网络技术的研究,得出校园网也会面临着安全上的威胁。最后,确立了用PDR模型的思想来建立校园网的安全防御体系。并得出了构建一套有效的网络安全防御体系是解决校园网主要威胁和隐患的必要途径和措施。论文(设计)的基本要求严格遵守学校和学院有关毕业设计的各项规章制度。以认真负责的态度,严格按照毕业设计的内容要求和进度安排开展毕业设计工作。要理论联系实际、以实事求是、勇于探索、不断创新的科学态度对待毕业设计。要按照学校有关毕业论文的撰写要求,认真撰写毕业论文。主要参考文献《网络入侵检测》编著:宋劲松国防工业出版社《网络安全性设计》编著:美MerikeKaeo人民邮电出版社第二版)《计算机网络安全技术》编著:蔡立军中国水利水电出版社)《防火墙与VPN:原理与实践》编著:RichardTibbs,EdwardOakes清华大学出版社)《企业的网络安全:微软的ISAServer》编著:萧文龙中国铁道出版社)《网络安全技术与解决方案》编著:美YusufBhaiji人民邮电出版社进度安排计算机科学与技术学院专升本毕业论文(设计)成绩评定表论文(设计)题目:校园网络安全问题及对策研究学生学号指导教师评语成绩:签字:年月日答辩小组评语成绩:组长签字:年月日综合成绩:等第:目录摘要iABSTRACTii第一章前言网络安全发展历史与现状分析校园网存在的安全问题校园网安全建设的原则第二章网络安全概述网络安全的含义网络安全的属性网络安全机制网络安全策略网络安全发展趋势第三章网络安全问题解决对策计算机安全级别的划分防火墙技术入侵检测技术数据加密技术反病毒技术第四章网络安全防范TELNET入侵防范防止ADMINISTRATOR账号被破解防止账号被暴力破解“木马”防范措施网页恶意代码及防范嗅探器(SNIFFER)的防范数据密文防范措施其它网络攻击与防范措施第五章校园网络安全体系校园网络安全规范安全方案建议校园网络安全技术的应用校园安全隐患校园网主动防御体系其他网络安全解决方案结束语致谢参考文献附录摘要本论文从计算机网络面临的各种安全威胁,系统地介绍网络安全技术。并针对校园网络的安全问题进行研究,首先分析了高校网络系统安全的隐患,然后从构建安全防御体系和加强安全管理两方面设计了校园网络的安全策略。本次论文研究中,我首先了解了网络安全问题的主要威胁因素,并利用网络安全知识对安全问题进行剖析。其次,通过对网络技术的研究,得出校园网也会面临着安全上的威胁。最后,确立了用PDR模型的思想来建立校园网的安全防御体系。并得出了构建一套有效的网络安全防御体系是解决校园网主要威胁和隐患的必要途径和措施。关键词:网络安全,安全防范,校园网ABSTRACTInthispaper,avarietyofcomputernetworksecuritythreatsfacedbythesystemtointroducethenetworksecuritytechnologyAndforthesafetyofthecampusnetworktostudy,firstofallananalysisofthesafetyofcollegesanduniversitieshiddennetworkandthenbuildasecuritydefensesystemandstrengthenthesecuritymanagementofboththedesignofthecampusnetworksecuritypolicyTheresearchpaper,IfirstlearnedaboutthemajorissuesofnetworksecuritythreatsandtakeadvantageofnetworksecurityknowledgetoanalyzethesecurityissuesSecondly,throughthenetworktechnology,willcometocampusnetworkisfacedwithsecuritythreatsFinally,PDRmodelestablishedwiththeideatocreateacampusnetworksecuritydefensesystemAndcometobuildaneffectivenetworksecuritydefensesystemtoaddressmajorthreatstothecampusnetworkandthehiddenwaysandmeasuresnecessaryKeywords:NetworkSecurity,SafetyPrecautions,CampusNetwork第一章前言网络安全发展历史与现状分析因特网的发展及其安全问题随着计算机技术的发展,在计算机上处理业务已由基于单机的数学运算、文件处理,基于简单连结的内部网络的内部业务处理、办公自动化等发展到基于企业复杂的内部网、企业外部网、全球互联网的企业级计算机处理系统和世界范围内的信息共享和业务处理。在信息处理能力提高的同时,系统的连结能力也在不断的提高。但在连结信息能力、流通能力提高的同时,基于网络连接的安全问题也日益突出。主要表现在以下方面:(一)网络的开放性带来的安全问题Internet的开放性以及其他方面因素导致了网络环境下的计算机系统存在很多安全问题。为了解决这些安全问题,各种安全机制、策略、管理和技术被研究和应用。然而,即使在使用了现有的安全工具和技术的情况下,网络的安全仍然存在很大隐患,这些安全隐患主要可以包括为以下几点:安全机制在特定环境下并非万无一失。比如防火墙,它虽然是一种有效的安全工具,可以隐蔽内部网络结构,限制外部网络到内部网络的访问。但是对于内部网络之间的访问,防火墙往往是无能为力的。因此,对于内部网络到内部网络之间的入侵行为和内外勾结的入侵行为,防火墙是很难发觉和防范的。安全工具的使用受到人为因素的影响。一个安全工具能不能实现期望的效果,在很大程度上取决于使用者,包括系统管理者和普通用户,不正当的设置就会产生不安全因素。例如,WindowsNT在进行合理的设置后可以达到C级的安全性,但很少有人能够对WindowsNT本身的安全策略进行合理的设置。虽然在这方面,可以通过静态扫描工具来检测系统是否进行了合理的设置,但是这些扫描工具基本上也只是基于一种缺省的系统安全策略进行比较,针对具体的应用环境和专门的应用需求就很难判断设置的正确性。系统的后门是难于考虑到的地方。防火墙很难考虑到这类安全问题,多数情况下,这类入侵行为可以堂而皇之经过防火墙而很难被察觉比如说,众所周知的ASP源码问题,这个问题在IIS服务器以前一直存在,它是IIS服务的设计者留下的一个后门,任何人都可以使用浏览器从网络上方便地调出ASP程序的源码,从而可以收集系统信息,进而对系统进行攻击。对于这类入侵行为,防火墙是无法发觉的,因为对于防火墙来说,该入侵行为的访问过程和正常的WEB访问是相似的,唯一区别是入侵访问在请求链接中多加了一个后缀。BUG难以防范。甚至连安全工具本身也可能存在安全的漏洞。几乎每天都有新的BUG被发现和公布出来,程序设计者在修改已知的BUG的同时又可能使它产生了新的BUG。系统的BUG经常被黑客利用,而且这种攻击通常不会产生日志,几乎无据可查。比如说现在很多程序都存在内存溢出的BUG,现有的安全工具对于利用这些BUG的攻击几乎无法防范。黑客的攻击手段在不断地升级。安全工具的更新速度慢,且绝大多数情况需要人为的参与才能发现以前未知的安全问题,这就使得它们对新出现的安全问题总是反应迟钝。当安全工具刚发现并努力更正某方面的安全问题时,其他的安全问题又出现了。因此,黑客总是可以使用先进的、安全工具不知道的手段进行攻击。(二)网络安全的防护力脆弱,导致的网络危机根据WarroonResearch的调查,年世界排名前一千的公司几乎都曾被黑客闯入。据美国FBI统计,美国每年因网络安全造成的损失高达亿美元。Ernst和Young报告,由于信息安全被窃或滥用,几乎的大型企业遭受损失。最近一次黑客大规模的攻击行动中,雅虎网站的网络停止运行小时,这令它损失了几百万美金的交易。而据统计在这整个行动中美国经济共损失了十多亿美金。由于业界人心惶惶,亚马逊Amazon、AOL、雅虎Yahoo!、eBay的股价均告下挫,以科技股为主的那斯达克指数Nasdaq打破过去连续三天创下新高的升势,下挫了六十三点,杜琼斯工业平均指数周三收市时也跌了二百五十八点。(三)网络安全的主要威胁因素软件漏洞:每一个操作系统或网络软件的出现都不可能是无缺陷和漏洞的。这就使我们的计算机处于危险的境地,一旦连接入网,将成为众矢之的。配置不当:安全配置不当造成安全漏洞,例如,防火墙软件的配置不正确,那么它根本不起作用。对特定的网络应用程序,当它启动时,就打开了一系列的安全缺口,许多与该软件捆绑在一起的应用软件也会被启用。除非用户禁止该程序或对其进行正确配置,否则,安全隐患始终存在。安全意识不强:用户口令选择不慎,或将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。病毒:目前数据安全的头号大敌是计算机病毒,它是编制者在计算机程序中插入的破坏计算机功能或数据,影响计算机软件、硬件的正常运行并且能够自我复制的一组计算机指令或程序代码。计算机病毒具有传染性、寄生性、隐蔽性、触发性、破坏性等特点。因此,提高对病毒的防范刻不容缓。黑客:对于计算机数据安全构成威胁的另一个方面是来自电脑黑客backer。电脑黑客利用系统中的安全漏洞非法进入他人计算机系统,其危害性非常大。从某种意义上讲,黑客对信息安全的危害甚至比一般的电脑病毒更为严重。我国网络安全现状及发展趋势因特网在我国的迅速普及,我国境内信息系统的攻击事件也正在呈现快速增长的势头。据了解,从年底到现在,我国的政府部门、证券公司、银行、ISP,ICP等机构的计算机网络相继遭到多次攻击。因此,加强网络信息安全保障已成为当前的迫切任务。目前我国网络安全的现状和面临的威胁主要有:计算机网络系统使用的软、硬件很大一部分是国外产品,我们对引进的信息技术和设备缺乏保护信息安全所必不可少的有效管理和技术改造。全社会的信息安全意识虽然有所提高,但将其提到实际日程中来的依然很少。目前关于网络犯罪的法律、法规还不健全。我国信息安全人才培养还不能满足其需要。校园网存在的安全问题与其它网络一样,校园网也会受到相应的威胁,大体可分为对网络中数据信息的危害和对网络设备的危害。具体来说包括:非授权访问即对网络设备及信息资源进行非正常使用或越权使用等。冒充合法用户即利用各种假冒或欺骗的手段非法获得合法用户的使用权限,以达到占用合法用户资源的目的。破坏数据的完整性即使用非法手段,删除、修改、重发某些重要信息,以干扰用户的正常使用。干扰系统正常运行指改变系统的正常运行方法,减慢系统的响应时间等手段。病毒与恶意的攻击即通过网络传播病毒或进行恶意攻击。除此之外,校园网还面对形形色色、良莠不分的网络资源,如不进行识别和过滤,那么会造成大量非法内容或邮件出入,占用大量流量资源,造成流量堵塞、上网速度慢等问题。许多校园网是从局域网发展来的,由于意识与资金方面的原因,它们在安全方面往往没有太多的设置,这就给病毒和黑客提供了生存的空间。因此,校园网的网络安全需求是全方位的。校园网安全建设的原则计算机网络所具有的开发性、互连性和共享性等特征使网上信息安全存在先天的不足,加上系统软件本身的安全漏洞以及所欠缺的严格管理,致使网络易受黑客,恶意软件的攻击,因此对网络的安全所采取的措施,应能全方位地针对各种威胁,保障网络信息的保密性、完整性和可用性。本文针对目前网络安全存在的威胁,利用计算机网络安全技术知识对网络安全问题进行系统地研究,并在此基础上总结校园网存在的安全问题,通过安全系统需求,进行深入研究,找出存在的威胁,结合网络安全技术和网络攻防技术提出解决方案及措施第二章网络安全概述网络安全的含义网络安全从其本质来讲就是网络上信息安全,它涉及的领域相当广泛,这是因为目前的公用通信网络中存在着各式各样的安全漏洞和威胁。广义上讲,凡是涉及到网络上信息的保密性、完整性、可用性和可控性的相关技术和理论,都是网络安全的研究领域。网络安全是指网络系统的硬件,软件及数据受到保护,不遭受偶然或恶意的破坏、更改、泄露,系统连续可靠正常地运行,网络服务不中断。且在不同环境和应用中又不同的解释。()运行系统安全:即保证信息处理和传输系统的安全,包括计算机系统机房环境和传输环境的法律保护、计算机结构设计的安全性考虑、硬件系统的安全运行、计算机操作系统和应用软件的安全、数据库系统的安全、电磁信息泄露的防御等。()网络上系统信息的安全:包括用户口令鉴别、用户存取权限控制、数据存取权限、方式控制、安全审计、安全问题跟踪、计算机病毒防治、数据加密等。()网络上信息传输的安全:即信息传播后果的安全、包括信息过滤、不良信息过滤等。()网络上信息内容的安全:即我们讨论的狭义的“信息安全”侧重于保护信息的机密性、真实性和完整性。本质上是保护用户的利益和隐私。网络安全的属性网络安全具有三个基本的属性:机密性、完整性、可用性。()机密性:是指保证信息与信息系统不被非授权者所获取与使用,主要范措施是密码技术。()完整性:是指保证信息与信息系统可被授权人正常使用,主要防范措施是确保信息与信息系统处于一个可靠的运行状态之下。以上可以看出:在网络中,维护信息载体和信息自身的安全都包括了机密性、完整性、可用性这些重要的属性网络安全机制网络安全机制是保护网络信息安全所采用的措施,所有的安全机制都是针对某些潜在的安全威胁而设计的,可以根据实际情况单独或组合使用。如何在有限的投入下合理地使用安全机制,以便尽可能地降低安全风险,是值得讨论的,网络信息安全机制应包括:技术机制和管理机制两方面的内容。网络安全技术机制网络安全技术机制包含以下内容:()加密和隐藏。加密使信息改变,攻击者无法了解信息的内容从而达到保护隐藏则是将有用信息隐藏在其他信息中,使攻击者无法发现。()认证和授权。网络设备之间应互认证对方的身份,以保证正确的操作权力赋予和数据的存取控制同时网络也必须认证用户的身份,以授权保证合法的用户实施正确的操作。()审计和定位。通过对一些重要的事件进行记录,从而在系统中发现错误或受到攻击时能定位错误并找到防范失效的原因,作为内部犯罪和事故后调查取证的基础。()完整性保证。利用密码技术的完整性保护可以很好地对付非法篡改,当信息源的完整性可以被验证却无法模仿时,可提供不可抵赖服务。()权限和存取控制:针对网络系统需要定义的各种不同用户,根据正确的认证,赋予其适当的操作权力,限制其越级操作。()任务填充:在任务间歇期发送无用的具有良好模拟性能的随机数据,以增加攻击者通过分析通信流量和破译密码获得信息难度。网络安全管理机制网络信息安全不仅仅是技术问题,更是一个管理问题,要解决网络信息安全问题,必须制定正确的目标策略,设计可行的技术方案,确定合理的资金技术,采取相应的管理措施和依据相关法律制度。网络安全策略策略通常是一般性的规范,只提出相应的重点,而不确切地说明如何达到所要的结果,因此策略属于安全技术规范的最高一级。安全策略的分类安全策略分为基于身份的安全策略和基于规则的安全策略两种。基于身份的安全策略是过滤对数据或资源的访问,有两种执行方法:若访问权限为访问者所有,典型的作法为特权标记或特殊授权,即仅为用户及相应活动进程进行授权若为访问数据所有则可以采用访问控制表(ACL)。这两种情况中,数据项的大小有很大的变化,数据权力命名也可以带自己的ACL。基于规则的安全策略是指建立在特定的,个体化属性之上的授权准则,授权通常依赖于敏感性。在一个安全系统中,数据或资源应该标注安全标记,而且用户活动应该得到相应的安全标记。安全策略的配置开放式网络环境下用户的合法权益通常受到两种方式的侵害:主动攻击和被动攻击,主动攻击包括对用户信息的窃取,对信息流量的分析。根据用户对安全的需求才可以采用以下的保护:()身份认证检验用户的身份是否合法、防止身份冒充、及对用户实施访问控制数据完整性鉴别、防止数据被伪造、修改和删除。()信息保密防止用户数据被泄、窃取、保护用户的隐私。()数字签名防止用户否认对数据所做的处理。()访问控制对用户的访问权限进行控制。()不可否认性也称不可抵赖性,即防止对数据操作的否认。安全策略的实现流程安全策略的实现涉及到以下及个主要方面,如图所示。图安全策略实现流程()证书管理。主要是指公开密银证书的产生、分配更新和验证。()密银管理。包括密银的产生、协商、交换和更新,目的是为了在通信的终端系统之间建立实现安全策略所需的共享密银。()安全协作。是在不同的终端系统之间协商建立共同采用的安全策略,包括安全策略实施所在层次、具体采用的认证、加密算法和步骤、如何处理差错。()安全算法实现:具体算法的实现,如PES、RSA()安全策略数据库:保存与具体建立的安全策略有关的状态、变量、指针。网络安全发展趋势总的看来,对等网络将成为主流,与网格共存。网络进化的未来绿色网络呼唤着新的信息安全保障体系。国际互联网允许自主接入,从而构成一个规模庞大的,复杂的巨系统,在如此复杂的环境下,孤立的技术发挥的作用有限,必须从整体的和体系的角度,综合运用系统论,控制论和信息论等理论,融合各种技术手段,加强自主创新和顶层设计,协同解决网络安全问题。保证网络安全还需严格的手段,未来网络安全领域可能发生三件事,其一是向更高级别的认证转移其二,目前存储在用户计算机上的复杂数据将“向上移动”,由与银行相似的机构确保它们的安全第三,是在全世界的国家和地区建立与驾照相似的制度,它们在计算机销售时限制计算机的运算能力,或要求用户演示在自己的计算机受到攻击时抵御攻击的能力。第三章网络安全问题解决对策计算机安全级别的划分TCSEC简介年月日国家质量技术监督局公布了我国第一部关于计算机信息系统安全等级划分的标准“计算机信息系统安全保护等级划分准则”(GB)。而国外同标准的是美国国防部在年月公布的可信计算机系统评价标准TCSEC又称桔皮书。在TCSEC划分了个安全等级:D级、C级、C级、B级、B级、B级和A级。其中D级是没有安全机制的级别,A级是难以达到的安全级别,如表所示:表网络安全等级及安全级别的性能要求安全级别名称说明D酌情安全保护对硬件和操作系统几乎无保护,对信息的访问无控制C自选安全保护由用户注册名和口令的组合来确定用户对信息的访问权限B被标签的安全性保护为强制性访问控制,不允许文件的拥有者改变其许可权限B结构化保护要求对计算机中所有信息加以标签,并且对设备分配单个或多个安全级别B安全域保护使用安全硬件的方法来加强域的管理终端与系统的连接途径可信任A核实保护系统不同来源必须有安全措施必须在销售过程中实施下面对下各个安全级别进行介绍:D类安全等级:D类安全等级只包括D一个级别。D的安全等级最低。D系统只为文件和用户提供安全保护。D系统最普通的形式是本地操作系统,或者是一个完全没有保护的网络。C类安全等级:该类安全等级能够提供审慎的保护,并为用户的行动和责任提供审计能力。C类安全等级可划分为C和C两类。C系统的可信任运算基础体制(TrustedComputingBase,TCB)通过将用户和数据分开来达到安全的目的。在C系统中,所有的用户以同样的灵敏度来处理数据,即用户认为C系统中的所有文档都具有相同的机密性。C系统比C系统加强了可调的审慎控制。在连接事件和资源隔离来增强这种控制。C系统具有C系统中所有的安全性特征。B类安全等级:B类安全等级可分为B、B和B三类。B类系统具有强制性保护功能。强制性保护意味着如果用户没有与安全等级相连,系统就不会让用户存取对象。B系统满足下列要求:系统对网络控制下的每个对象都进行灵敏度标记系统使用灵敏度标记作为所有强迫访问控制的基础系统在把导入的、非标记的对象放入系统前标记它们灵敏度标记必须准确地表示其所联系的对象的安全级别当系统管理员创建系统或者增加新的通信通道或IO设备时,管理员必须指定每个通信通道和IO设备是单级还是多级,并且管理员只能手工改变指定单级设备并不保持传输信息的灵敏度级别所有直接面向用户位置的输出(无论是虚拟的还是物理的)都必须产生标记来指示关于输出对象的灵敏度系统必须使用用户的口令或证明来决定用户的安全访问级别系统必须通过审计来记录未授权访问的企图。B系统必须满足B系统的所有要求。另外,B系统的管理员必须使用一个明确的、文档化的安全策略模式作为系统的可信任运算基础体制。B系统必须满足下列要求:系统必须立即通知系统中的每一个用户所有与之相关的网络连接的改变只有用户能够在可信任通信路径中进行初始化通信可信任运算基础体制能够支持独立的操作者和管理员。B系统必须符合B系统的所有安全需求。B系统具有很强的监视委托管理访问能力和抗干扰能力。B系统必须设有安全管理员。B系统应满足以下要求:aB必须产生一个可读的安全列表,每个被命名的对象提供对该对象没有访问权的用户列表说明bB系统在进行任何操作前,要求用户进行身份验证cB系统验证每个用户,同时还会发送一个取消访问的审计跟踪消息设计必须正确区分可信任的通信路径和其他路径可信任的通信基础体制为每一个被命名的对象建立安全审计跟踪可信任的运算基础体制支持独立的安全管理。A类安全等级:A系统的安全级别最高。目前,A类安全等级只包含A一个安全类别。A类与B类相似,对系统的结构和策略不作特别要求。A系统的显著特征是,系统的设计者必须按照一个正式的设计规范来分析系统。对系统分析后,设计者必须运用核对技术来确保系统符合设计规范。A系统必须满足下列要求:系统管理员必须从开发者那里接收到一个安全策略的正式模型所有的安装操作都必须由系统管理员进行系统管理员进行的每一步安装操作都必须有正式文档。GB划分的特点GB把计算机信息安全保护能力划分为个等级,它们是:系统自我保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。这个级别的安全强度从低到高排列让高一级包括低一级的安全能力,GB的划分标准安全能力一级二级三级四级五级自主访问控制强制访问控制标记身份鉴别客体重用审计数据完整隐蔽信道分析可信路径可信恢复注:“”:新增功能“”:比上一级功能又所扩展“”:与上一级功能相同。安全等级标准模型计算机信息系统的安全模型主要又访问监控器模型、军用安全模仿和信息流模型等三类模型,它们是定义计算机信息系统安全等级划分标准的依据。()访问监控模型:是按TCB要求设计的,受保护的客体要么允许访问,要么不允许访问。()常用安全模型:是一种多级安全模型,即它所控制的信息分为绝密、机密、秘密和无密种敏感级。()信息流模型:是计算机中系统中系统中信息流动路径,它反映了用户在计算机系统中的访问意图。信息流分直接的和间接的两种。防火墙技术随着网络安全问题日益严重,网络安全技术和产品也被人们逐渐重视起来,防火墙作为最早出现的网络安全技术和使用量最大的网络安全产品,受到用户和研发机构的亲睐。防火墙的基本概念与作用防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合,它执行预先制定的访问控制策略,决定了网络外部与网络内部的访问方式。在网络中,防火墙实际是一种隔离技术,它所执行的隔离措施有:()拒绝未经授权的用户访问内部网和存取敏感数据。()允许合法用户不受妨碍地访问网络资源。而它的核心思想是在不安全的因特网环境中构造一个相对安全的子网环境,其目的是保护一个网络不受另一个网络的攻击,所以防火墙又有以下作用:()作为网络安全的屏障。一个防火墙作为阻塞节点和控制节点能极大地提高一个内部网络的安全性,并通过过滤不安全的服务而降低风险,只有经过精心选择的应用协议才能通过防火墙,所以网络环境变得更安全。()可以强化网络安全策略。通过以防火墙为中心的安全方案配置,能将所有的安全软件配置在防火墙上,体现集中安全管理更经济。()对网络存取和访问进行监控审计。如果所有的访问都经过防火墙,那么,防火墙就能记录下这些访问并做出日志记录,同时也能提供网络使用情况的统计数据,当发生可疑动作时,防火墙能进行适当的报警,并提供网络是否受到监测和攻击的详细信息。()防止内部信息的外泄。通过利用防火墙对内部网络的划分,可实现内部网重点网段的隔离,从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。()支持具有因特网服务性的企业内部网络技术体系VPN。防火墙的工作原理从防火墙的作用可以看出,防火墙必须具备两个要求:保障内部网安全和保障内部网和外部网的联通。因此在逻辑上防火墙是一个分离器、限制器、分析器。有效地监控了内部网和外部网的任何活动,保证了内部网络的安全,其一般逻辑位置如图所示。图防火墙的逻辑示意图防火墙根据功能实现在TCPIP网络模型中的层次,其实现原理可以分为三类:在网络层实现防火墙功能为分组过滤技术在应用层实现防火墙功能为代理服务技术在网络层,IP层,应用层三层实现防火墙为状态检测技术。分组过滤技术实际上是基于路由器技术,它通常由分组过滤路由器对IP分组进行分组选择,允许或拒绝特定的IP数据包,工作于IP层。如表所示。表分组过滤技术工作特点、应用层、TCP层、IP层、数据链路层、物理层过滤一般基于一个IP分组的以下各域:第一、源目的IP地址第二、TCPUDP源目的端口。前者的过滤,即根据制定的安全规则,过滤掉具有特定IP地址的数据分组,从而保护内部网络后者则是为分组过滤提供了更大的灵活性。代理服务技术以一个高层的应用网关作为代理服务器,接受外来的应用连接请求,在代理服务器上进行安全检查后,再与被保护的应用服务器连接,使外部用户可以在受控制的前提下使用内部网络的服务,如图所示。图代理服务器原理示意代理服务技术工作在应用层,代理服务技术工作特点。、应用层、TCP层、IP层、数据链路层、物理层由于代理服务作用于应用层,它能解释应用层上的协议,能够作复杂和更细粒度的访问控制同时,由于所有进出服务器的客户请求必须通过代理网关的检查,可以作出精细的注册和审计记录,并且可以与认证、授权等安全手段方便地集成,为客户和服务提供更高层次的安全保护。()状态检测技术此技术工作在IPTCP应用层,它结合了分组过滤和代理服务技术的特点,它同分组过滤一样,在应用层上检查数据包的内容,分析高层的协议数据,查看内容是否符合网络安全策略。状态检测技术工作情况、应用层、TCP层、IP层、数据链路层、物理层入侵检测技术仅仅依赖防火墙并不能保证足够的安全,为了解决非法入侵所造成的各种安全问题,安全厂商提出了建立入侵检测系统的解决方法。入侵检测技术是防火墙技术的有效补充,通过对计算机或计算机系统中的若干关键点收集信息并对其进行分析,从中发现网络中或系统中潜在的违反安全策略的行为和被攻击的迹象。入侵检测系统入侵检测系统功能构成,包括事件提取、入侵分析、入侵响应和远程管理四部分如图所示。图入侵检测系统组成入侵检测所利用的信息一般来自以下四个方面:系统和网络日志文件、目录和文件中的不期望的改变、程序执行中的不期望行为、物理形式的入侵信息。常用的分析方法有模式匹配、统计分析、完整性分析。模式匹配是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较,从而发现违背安全策略的行为。统计分析方法首先给系统对象如用户、文件、目录和设备等创建一个统计描述,统计正常使用时的一些测量属性。测量属性的平均值将被用来与网络、系统的行为进行比较。当观察值超出正常值范围时,就有可能发生入侵行为。入侵检测分类入侵检测通过对入侵和攻击行为的检测,查出系统的入侵者或合法用户对系统资源的滥用和误用。根据不同的检测方法,将入侵检测分为异常入侵检测和误用人侵检测。异常检测又称为基于行为的检测。其基本前提是:假定所有的入侵行为都是异常的。首先建立系统或用户的“正常”行为特征轮廓,通过比较当前的系统或用户的行为是否偏离正常的行为特征轮廓来判断是否发生了入侵。此方法不依赖于是否表现出具体行为来进行检测,是一种间接的方法。常用的具体方法有:统计异常检测方法、基于特征选择异常检测方法、基于贝叶斯推理异常检测方法、基于贝叶斯网络异常检测方法、基于模式预测异常检测方法、基于神经网络异常检测方法、基于机器学习异常检测方法、基于数据采掘异常检测方法等。采用异常检测的关键问题有如下两个方面:特征量的选择在建立系统或用户的行为特征轮廓的正常模型时,选取的特征量既要能准确地体现系统或用户的行为特征,又能使模型最优化,即以最少的特征量就能涵盖系统或用户的行为特征。参考阈值的选定由于异常检测是以正常的特征轮廓作为比较的参考基准,因此,参考阈值的选定是非常关键的。阈值设定得过大,那漏警率会很高阈值设定的过小,则虚警率就会提高。合适的参考阈值的选定是决定这一检测方法准确率的至关重要的因素。由此可见,异常检测技术难点是“正常”行为特征轮廓的确定、特征量的选取、特征轮廓的更新。由于这几个因素的制约,异常检测的虚警率很高,但对于未知的入侵行为的检测非常有效。此外,由于需要实时地建立和更新系统或用户的特征轮廓,这样所需的计算量很大,对系统的处理性能要求很高。(二)误用检测又称为基于知识的检测。其基本前提是:假定所有可能的入侵行为都能被识别和表示。首先,对已知的攻击方法进行攻击签名攻击签名是指用一种特定的方式来表示已知的攻击模式表示,然后根据已经定义好的攻击签名,通过判断这些攻击签名是否出现来判断入侵行为的发生与否。这种方法是依据是否出现攻击签名来判断入侵行为,是一种直接的方法。常用的具体方法有:基于条件概率误用入侵检测方法、基于专家系统误用入侵检测方法、基于状态迁移分析、误用入侵检测方法、基于键盘监控误用入侵检测方法、基于模型误用入侵检测方法。误用检测的关键问题是攻击签名的正确表示。误用检测是根据攻击签名来判断入侵的,根据对已知的攻击方法的了解,用特定的模式语言来表示这种攻击,使得攻击签名能够准确地表示入侵行为及其所有可能的变种,同时又不会把非入侵行为包含进来。由于多数入侵行为是利用系统的漏洞和应用程序的缺陷,因此,通过分析攻击过程的特征、条件、排列以及事件间的关系,就可具体描述入侵行为的迹象。这些迹象不仅对分析已经发生的入侵行为有帮助,而且对即将发生的入侵也有预警作用。误用检测将收集到的信息与已知的攻击签名模式库进行比较,从中发现违背安全策略的行为。由于只需要收集相关的数据,这样系统的负担明显减少。该方法类似于病毒检测系统,其检测的准确率和效率都比较高。入侵检测系统入侵检测就是通过对系统数据的分析、发现非授权的网络访问和攻击行为,然后采取报警、切断入侵线路等对抗措施。为此目的而设计的系统称为入侵检测系统。一个简单的入侵检测系统。入侵检测系统的基本任务:通过实时检测网络系统状态,判断入侵行为发生,并产生报警。从功能实现的角度可以把这个系统划分为三大模块:信息收集模块、信息处理与通讯模块、入侵判断与反应模块。其中信息收集模块与特定的环境,监视的对象有比较密切的关系:信息处理与通讯模块,是对所收集到的数据进行预处理和分类,然后把处理的结果按照一定的格式传输给检测判断模块。最后由检测判断模块根据一定的安全策略判断入侵行为的发生并采取相应的反击。随着网络系统结构的复杂化和大型化,系统的弱点或漏洞将趋向于分布式。另外,入侵行为不再是单一的行为,而是表现出相互协作入侵的特点。入侵检测系统要求可适应性、可训练性、高效性、容错性、可扩展性等要求。不同的IDS之间也需要共享信息,协同检测。代理Agent技术代理Ageni是指能在特定的环境下无须人工干预和监督完成某项工作的实体。它具有自适应性、智能性和协作性。代理既能独立地完成自己的工作,又能与其它代理协作共同完成某项任务,且代理能够接受控制并能感知环境的变化而影响环境。代理分布于系统中的关键点及关键服务器,包括防火墙、对外提供各项服务的服务器、内部网关和服务器,完成绝大多数的入侵检测和响应任务。代理可以针对特定的应用环境进行配置和编程,使得代理占用负载最小。同时,代理可以与其它代理和中心服务器进行有限的交互,交换数据和控制信息。由于代理是独立的功能实体,在一个多代理系统中,单个的功能代理能够增加到系统中去或从系统中删除,并且能够对某个代理进行重配置,而不会影响到系统的其它部分。可以看到,在一个由多代理组成的入侵检测系统中,单个代理的失效只会影响到该代理和与之协作的部分代理,系统的其它部分仍能正常工作。如果能将入侵检测系统的功能合理地分配给各个代理,就能大大减少系统失效的风险。多代理系统所具有的这些优点使之能较好地解决常规入侵检测系统的缺陷。入侵检测与防火墙实现联动防火墙与入侵检测这两种技术具有较强的互补性。目前,实现入侵检测和防火墙之间的联动有两种方式可以实现,一种是实现紧密结合,即把入侵检测系统嵌入到防火墙中,即入侵检测系统的数据来源不再来源于抓包,而是流经防火墙的数据流。所有通过的包不仅要接受防火墙检测规则的验证,还需要经过入侵检测,判断是否具有攻击性,以达到真正的实时阻断,这实际上是把两个产品合成一体。但是,由于入侵检测系统本身也是一个很庞大的系统,所以无论从实施难度、合成后的性能等方面都会因此受到很大影响。所以,目前还没有厂商做到这一步,仍处于理论研究阶段。但是不容否认,各个安全产品的紧密结合是一种趋势。第二种方式是通过开放接口来实现联动,即防火墙或者入侵检测系统开放一个接口供对方调用,按照一定的协议进行通讯、警报和传输。目前开放协议的常见形式有:安全厂家提供IDS的开放接口,供各个防火墙厂商使用,以实现互动。这种方式比较灵活,不影响防火墙和入侵检测系统的性能。数据加密技术数据加密技术是网络中最基本的安全技术,主要是通过对网络中传输的信息进行数据加密来保障其安全性,这是一种主动安全防御策略,用很小的代价即可为信息提供相当大的安全保护。数据加密原理数据加密是通过某种函数进行变换,把正常数据包文(称为明文或明码)转换为密文(密码)。解密是指把密文还原成明文的过程。密码体制是指一个系统所采用基本工作方式以及它的两个基本构成要素,即加密解密算法和密钥。密钥是一个数值,它和加密算法一起生成特别的密文。传统密码体制所用的加密密钥和解密密钥相同,称为对称密码体制。如果加密密钥和解密密钥不相同,则称为非对称密码体制,密钥可以看作是密码算法中的可变参数。从数学的角度来看,改变了密钥,实际上也就改变了明文与密文之间等价的数学函数关系。密码算法是相对稳定的,在这种意义上,可以把密码算法视为常量,而密钥则是一个变量。在设计加密系统中,加密算法是可以公开的,真正需要保密的是密钥,密钥本质是非常大的数,密钥大小用位表示。在公开密钥加密方法中,密钥越大密文就越安全。利用密码技术,在信源和通信信道之间对报文进行加密,经过信道传输,到信宿接收时进行解密,以实现网络通信保密。通常加密算法为:CEkM。其中,K为密钥,M为明文,C为密文E为加密算法,密文C是明文M使用密钥K经过加密算法计算后的结果。加密算法可以公开,而密钥只能由通信双方来掌握。对称密钥体系在对称型密钥体系中,加密和解密采用同一密钥,故将这种体系称为秘密密钥密码体制或私钥密码体制。在对称密码体系中,最为著名的是DES分组算法,DES将二进制序列明文分为每位一组,使用位的密钥,对位二进制数进行分组加密,每轮产生一个位的“每轮”密钥值,并参与下一轮的加密过程,经过轮的迭代、乘积变换、压缩等处理后产生位密文数据。另一个成功的分组加密算法,它的核心是一个乘法加法非线性构件,通过轮迭代,能使明码数据更好地扩散和混淆。非对称密钥体系非对称加密技术将加密和解密分开并采用一对不同的密钥进行。RSA算法的原理是数论的欧拉原理:寻求两个大的素数容易,将它们的乘积分解开及其困难,具体做法是:选择两个位的十进制大素数p和q,计算出它们的积Npq,将N公开再计算出N的欧拉函数,Φ(N)p*q,定义Φ(N)为小于等于N且与N互素的数个数然后,用户从,Φ(N)中任选一个与Φ(N)互素的数e,同时根据下式计算出另一个数d:edmodΦ(N)这样就产生了一对密钥:pk(e,N),skd,N若用整数X表示明文,Y表示密文,则有,加密:YXemodN解密:XYemodN。数据信封技术数字信封中采用了单钥密码体制和公钥密码体制。信息发送者首先利用随机产生的对称密码加密信息,再利用接收方的公钥加密对称密码,被公钥加密后的对称密码称之为数字信封。信息接收方要解密信息时,必须先用自己的私钥解密数字信封,得到对称密码,再利用对称密码解密所得到的信息,这样就保证了数据传输的真实性和完整性。反病毒技术计算机病毒的介绍计算机病毒就是能够通过某种途径潜伏在计算机存储介质里,当达到某种条件时,即被激活的具有对计算机资源进行破坏作用的一组程序或指令集合。随着计算机技

用户评价(0)

关闭

新课改视野下建构高中语文教学实验成果报告(32KB)

抱歉,积分不足下载失败,请稍后再试!

提示

试读已结束,如需要继续阅读或者下载,敬请购买!

评分:

/27

VIP

在线
客服

免费
邮箱

爱问共享资料服务号

扫描关注领取更多福利