導航:首頁 > 網路設置 > 網路安全技術講解

網路安全技術講解

發布時間:2022-11-13 22:22:33

網路安全技術的概述

21世紀全世界的計算機都將通過Internet聯到一起,信息安全的內涵也就發生了根本的變化.它不僅從一般性的防衛變成了一種非常普通的防範,而且還從一種專門的領域變成了無處不在.當人類步入21世紀這一信息社會,網路社會的時候,我國將建立起一套完整的網路安全體系,特別是從政策上和法律上建立起有中國自己特色的網路安全體系。
一個國家的信息安全體系實際上包括國家的法規和政策,以及技術與市場的發展平台.我國在構建信息防衛系統時,應著力發展自己獨特的安全產品,我國要想真正解決網路安全問題,最終的辦法就是通過發展民族的安全產業,帶動我國網路安全技術的整體提高。
網路安全產品有以下幾大特點:第一,網路安全來源於安全策略與技術的多樣化,如果採用一種統一的技術和策略也就不安全了;第二,網路的安全機制與技術要不斷地變化;第三,隨著網路在社會各方面的延伸,進入網路的手段也越來越多,因此,網路安全技術是一個十分復雜的系統工程.為此建立有中國特色的網路安全體系,需要國家政策和法規的支持及集團聯合研究開發.安全與反安全就像矛盾的兩個方面,總是不斷地向上攀升,所以安全產業將來也是一個隨著新技術發展而不斷發展的產業。
網路安全產品的自身安全的防護技術網路安全設備安全防護的關鍵,一個自身不安全的設備不僅不能保護被保護的網路而且一旦被入侵,反而會變為入侵者進一步入侵的平台。
信息安全是國家發展所面臨的一個重要問題.對於這個問題,我們還沒有從系統的規劃上去考慮它,從技術上,產業上,政策上來發展它.政府不僅應該看見信息安全的發展是我國高科技產業的一部分,而且應該看到,發展安全產業的政策是信息安全保障系統的一個重要組成部分,甚至應該看到它對我國未來電子化,信息化的發展將起到非常重要的作用。

Ⅱ 什麼是網路安全技術啊

網路安全技術有
一般入侵 網路攻擊 掃描技術 拒絕服務攻擊技術 緩沖區溢出 後門技術 Sniffer技術 病毒木馬
網路安全技術,從代理伺服器、網路地址轉換、包過濾到數據加密 防攻擊,防病毒木馬等等。

1.Cookie--這種網路小甜餅是一些會自動運行的小程序。網站設計師使用它們來為你提供方便而高效的服務。但同時通過使用這些小程序,商業公司和網路入侵者能夠輕易獲得你機器上的信息。

2.JavaJava--作為一種技術,到底是否成功,一直備受爭議。但至少有一點是肯定的,有無數利用Java的漏洞成功入侵為你提供服務的伺服器的案例。

3.CGI--很難想像沒有CGI技術,網站會是什麼樣子。可能會很難看,可能使用會不太方便,但我們留在伺服器上的隱私會得到更大的保障。

4.電子郵件病毒--超過85%的人使用互聯網是為了收發電子郵件,沒有人統計其中有多少正使用直接打開附件的郵件閱讀軟體。「愛蟲」發作時,全世界有數不清的人惶恐地發現,自己存放在電腦上的重要的文件、不重要的文件以及其它所有文件,已經被刪得乾乾凈凈。

5.認證和授權--每當有窗口彈出,問使用者是不是使用本網站的某某認證時,絕大多數人會毫不猶豫地按下「Yes」。但如果商店的售貨員問:「把錢包給我,請相信我會取出合適數量的錢替您付款,您說好嗎?」你一定會斬釘截鐵地回答:「No!」這兩種情況本質上沒有不同。

6.微軟--微軟的軟體產品越做越大,發現漏洞之後用來堵住漏洞的補丁也越做越大,但是又有多少普通用戶真正會去下載它們?

7.比爾·蓋茨--很多技術高手就是因為看不慣他,專門寫病毒讓微軟程序出問題,攻擊使用微軟技術的站點。但蓋茨沒有受到太大影響,遭罪的是普通人。

8.自由軟體--有了自由軟體,才有互聯網今天的繁榮。自由軟體要求所有結果必須公開,據說讓全世界的程序員一起來查找漏洞,效率會很高。這要求網路管理員有足夠的責任心和技術能力根據最新的修補方法消除漏洞。不幸的是,跟薪水和股權相比,責任心和技術能力顯得沒有那麼重要。

9.ICP---我們提供私人信息,ICP讓我們注冊,並提供免費服務,獲得巨大的注意力,以及注意力帶來的風險投資。這是標準的注意力經濟模式。但並沒有太多人去留意有很多經濟狀況不太好的ICP把用戶的信息賣掉,換錢去了。

10.網路管理員---管理員可以得到我們的個人資料、看我們的信、知道我們的信用卡號碼,如果做些手腳的話,還能通過網路控制我們的機器。我們只能期望他們技術高超、道德高尚。

Ⅲ 網路安全的關鍵技術有哪些

一.虛擬網技術

虛擬網技術主要基於近年發展的區域網交換技術(ATM和乙太網交換)。交換技術將傳統的基於廣播的區域網技術發展為面向連接的技術。因此,網管系統有能力限制區域網通訊的范圍而無需通過開銷很大的路由器
由以上運行機制帶來的網路安全的好處是顯而易見的:信息只到達應該到達的地點。因此、防止了大部分基於網路監聽的入侵手段。通過虛擬網設置的訪問控制,使在虛擬網外的網路節點不能直接訪問虛擬網內節點。但是,虛擬網技術也帶來了新的安全問題:
執行虛擬網交換的設備越來越復雜,從而成為被攻擊的對象。
基於網路廣播原理的入侵監控技術在高速交換網路內需要特殊的設置。
基於MAC的VLAN不能防止MAC欺騙攻擊。
乙太網從本質上基於廣播機制,但應用了交換器和VLAN技術後,實際上轉變為點到點通訊,除非設置了監聽口,信息交換也不會存在監聽和插入(改變)問題。
但是,採用基於MAC的VLAN劃分將面臨假冒MAC地址的攻擊。因此,VLAN的劃分最好基於交換機埠。但這要求整個網路桌面使用交換埠或每個交換埠所在的網段機器均屬於相同的VLAN。
網路層通訊可以跨越路由器,因此攻擊可以從遠方發起。IP協議族各廠家實現的不完善,因此,在網路層發現的安全漏洞相對更多,如IP sweep, teardrop, sync-flood, IP spoofing攻擊等。

二.防火牆枝術

網路防火牆技術是一種用來加強網路之間訪問控制,防止外部網路用戶以非法手段通過外部網路進入內部網路,訪問內部網路資源,保護內部網路操作環境的特殊網路互聯設備.它對兩個或多個網路之間傳輸的數據包如鏈接方式按照一定的安全策略來實施檢查,以決定網路之間的通信是否被允許,並監視網路運行狀態.
防火牆產品主要有堡壘主機,包過濾路由器,應用層網關(代理伺服器)以及電路層網關,屏蔽主機防火牆,雙宿主機等類型.
雖然防火牆是保護網路免遭黑客襲擊的有效手段,但也有明顯不足:無法防範通過防火牆以外的其它途徑的攻擊,不能防止來自內部變節者和不經心的用戶們帶來的威脅,也不能完全防止傳送已感染病毒的軟體或文件,以及無法防範數據驅動型的攻擊.
自從1986年美國Digital公司在Internet上安裝了全球第一個商用防火牆系統,提出了防火牆概念後,防火牆技術得到了飛速的發展.國內外已有數十家公司推出了功能各不相同的防火牆產品系列.
防火牆處於5層網路安全體系中的最底層,屬於網路層安全技術范疇.在這一層上,企業對安全系統提出的問題是:所有的IP是否都能訪問到企業的內部網路系統如果答案是"是",則說明企業內部網還沒有在網路層採取相應的防範措施.
作為內部網路與外部公共網路之間的第一道屏障,防火牆是最先受到人們重視的網路安全產品之一.雖然從理論上看,防火牆處於網路安全的最底層,負責網路間的安全認證與傳輸,但隨著網路安全技術的整體發展和網路應用的不斷變化,現代防火牆技術已經逐步走向網路層之外的其他安全層次,不僅要完成傳統防火牆的過濾任務,同時還能為各種網路應用提供相應的安全服務.另外還有多種防火牆產品正朝著數據安全與用戶認證,防止病毒與黑客侵入等方向發展.
1、使用Firewall的益處
保護脆弱的服務
通過過濾不安全的服務,Firewall可以極大地提高網路安全和減少子網中主機的風險。
例如,Firewall可以禁止NIS、NFS服務通過,Firewall同時可以拒絕源路由和ICMP重定向封包。
控制對系統的訪問
Firewall可以提供對系統的訪問控制。如允許從外部訪問某些主機,同時禁止訪問另外的主機。例如,Firewall允許外部訪問特定的Mail Server和Web Server。
集中的安全管理
Firewall對企業內部網實現集中的安全管理,在Firewall定義的安全規則可以運用於整個內部網路系統,而無須在內部網每台機器上分別設立安全策略。如在Firewall可以定義不同的認證方法,而不需在每台機器上分別安裝特定的認證軟體。外部用戶也只需要經過—次認證即可訪問內部網。
增強的保密性
使用Firewall可以阻止攻擊者獲取攻擊網路系統的有用信息,如Finger和DNS。
記錄和統計網路利用數據以及非法使用數據
Firewall可以記錄和統計通過Firewall的網路通訊,提供關於網路使用的統計數據,並且,Firewall可以提供統計數據,來判斷可能的攻擊和探測。
策略執行
Firewall提供了制定和執行網路安全策略的手段。未設置Firewall時,網路安全取決於每台主機的用戶。
2、 設置Firewall的要素
網路策略
影響Firewall系統設計、安裝和使用的網路策略可分為兩級,高級的網路策略定義允許和禁止的服務以及如何使用服務,低級的網路策略描述Firewall如何限制和過濾在高級策略中定義的服務。
服務訪問策略
服務訪問策略集中在Internet訪問服務以及外部網路訪問(如撥入策略、SLIP/PPP連接等)。
服務訪問策略必須是可行的和合理的。可行的策略必須在阻止己知的網路風險和提供用戶服務之間獲得平衡。典型的服務訪問策略是:允許通過增強認證的用戶在必要的情況下從Internet訪問某些內部主機和服務;允許內部用戶訪問指定的Internet主機和服務。
Firewall設計策略
Firewall設計策略基於特定的firewall,定義完成服務訪問策略的規則。通常有兩種基本的設計策略:
允許任何服務除非被明確禁止;
禁止任何服務除非被明確允許。
通常採用第二種類型的設計策略。
3、 Firewall的基本分類
包過濾型
包過濾型產品是防火牆的初級產品,其技術依據是網路中的分包傳輸技術.網路上的數據都是以"包"為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址,目標地址,TCP/UDP源埠和目標埠等.防火牆通過讀取數據包中的地址信息來判斷這些"包"是否來自可信任的安全站點 ,一旦發現來自危險站點的數據包,防火牆便會將這些數據拒之門外.系統管理員也可以根據實際情況靈活制訂判斷規則.
包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況下,能夠以較小的代價在一定程度上保證系統的安全.
但包過濾技術的缺陷也是明顯的.包過濾技術是一種完全基於網路層的安全技術,只能根據數據包的來源,目標和埠等網路信息進行判斷,無法識別基於應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒.有經驗的黑客很容易偽造IP地址,騙過包過濾型防火牆.
網路地址轉換(NAT)
是一種用於把IP地址轉換成臨時的,外部的,注冊的IP地址標准.它允許具有私有IP地址的內部網路訪問網際網路.它還意味著用戶不許要為其網路中每一台機器取得注冊的IP地址.
在內部網路通過安全網卡訪問外部網路時,將產生一個映射記錄.系統將外出的源地址和源埠映射為一個偽裝的地址和埠,讓這個偽裝的地址和埠通過非安全網卡與外部網路連接,這樣對外就隱藏了真實的內部網路地址.在外部網路通過非安全網卡訪問內部網路時,它並不知道內部網路的連接情況,而只是通過一個開放的IP地址和埠來請求訪問.OLM防火牆根據預先定義好的映射規則來判斷這個訪問是否安全.當符合規則時,防火牆認為訪問是安全的,可以接受訪問請求,也可以將連接請求映射到不同的內部計算機中.當不符合規則時,防火牆認為該訪問是不安全的,不能被接受,防火牆將屏蔽外部的連接請求.網路地址轉換的過程對於用戶來說是透明的,不需要用戶進行設置,用戶只要進行常規操作即可.
代理型
代理型防火牆也可以被稱為代理伺服器,它的安全性要高於包過濾型產品,並已經開始向應用層發展.代理伺服器位於客戶機與伺服器之間,完全阻擋了二者間的數據交流.從客戶機來看,代理伺服器相當於一台真正的伺服器;而從伺服器來看,代理伺服器又是一台真正的客戶機.當客戶機需要使用伺服器上的數據時,首先將數據請求發給代理伺服器,代理伺服器再根據這一請求向伺服器索取數據,然後再由代理伺服器將數據傳輸給客戶機.由於外部系統與內部伺服器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網路系統.
代理型防火牆的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基於應用層的侵入和病毒都十分有效.其缺點是對系統的整體性能有較大的影響,而且代理伺服器必須針對客戶機可能產生的所有應用類型逐一進行設置,大大增加了系統管理的復雜性。
監測型監測型
防火牆是新一代的產品,這一技術實際已經超越了最初的防火牆定義.監測型防火牆能夠對各層的數據進行主動的,實時的監測,在對這些數據加以分析的基礎上,監測型防火牆能夠有效地判斷出各層中的非法侵入.同時,這種檢測型防火牆產品一般還帶有分布式探測器,這些探測器安置在各種應用伺服器和其他網路的節點之中,不僅能夠檢測來自網路外部的攻擊,同時對來自內部的惡意破壞也有極強的防範作用.據權威機構統計,在針對網路系統的攻擊中,有相當比例的攻擊來自網路內部.因此,監測型防火牆不僅超越了傳統防火牆的定義,而且在安全性上也超越了前兩代產品
雖然監測型防火牆安全性上已超越了包過濾型和代理伺服器型防火牆,但由於監測型防火牆技術的實現成本較高,也不易管理,所以在實用中的防火牆產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監測型防火牆.基於對系統成本與安全技術成本的綜合考慮,用戶可以選擇性地使用某些監測型技術.這樣既能夠保證網路系統的安全性需求,同時也能有效地控制安全系統的總擁有成本.
實際上,作為當前防火牆產品的主流趨勢,大多數代理伺服器(也稱應用網關)也集成了包過濾技術,這兩種技術的混合應用顯然比單獨使用具有更大的優勢.由於這種產品是基於應用的,應用網關能提供對協議的過濾.例如,它可以過濾掉FTP連接中的PUT命令,而且通過代理應用,應用網關能夠有效地避免內部網路的信息外泄.正是由於應用網關的這些特點,使得應用過程中的矛盾主要集中在對多種網路應用協議的有效支持和對網路整體性能的影響上。
4、 建設Firewall的原則
分析安全和服務需求
以下問題有助於分析安全和服務需求:
√ 計劃使用哪些Internet服務(如http,ftp,gopher),從何處使用Internet服務(本地網,撥號,遠程辦公室)。
√ 增加的需要,如加密或拔號接入支持。
√ 提供以上服務和訪問的風險。
√ 提供網路安全控制的同時,對系統應用服務犧牲的代價。
策略的靈活性
Internet相關的網路安全策略總的來說,應該保持一定的靈活性,主要有以下原因:
√ Internet自身發展非常快,機構可能需要不斷使用Internet提供的新服務開展業務。新的協議和服務大量涌現帶來新的安全問題,安全策略必須能反應和處理這些問題。
√ 機構面臨的風險並非是靜態的,機構職能轉變、網路設置改變都有可能改變風險。
遠程用戶認證策略
√ 遠程用戶不能通過放置於Firewall後的未經認證的Modem訪問系統。
√ PPP/SLIP連接必須通過Firewall認證。
√ 對遠程用戶進行認證方法培訓。
撥入/撥出策略
√ 撥入/撥出能力必須在設計Firewall時進行考慮和集成。
√ 外部撥入用戶必須通過Firewall的認證。
Information Server策略
√ 公共信息伺服器的安全必須集成到Firewall中。
√ 必須對公共信息伺服器進行嚴格的安全控制,否則將成為系統安全的缺口。
√ 為Information server定義折中的安全策略允許提供公共服務。
√ 對公共信息服務和商業信息(如email)講行安全策略區分。
Firewall系統的基本特徵
√ Firewall必須支持.「禁止任何服務除非被明確允許」的設計策略。
√ Firewall必須支持實際的安全政策,而非改變安全策略適應Firewall。
√ Firewall必須是靈活的,以適應新的服務和機構智能改變帶來的安全策略的改變。
√ Firewall必須支持增強的認證機制。
√ Firewall應該使用過濾技術以允許或拒絕對特定主機的訪問。
√ IP過濾描述語言應該靈活,界面友好,並支持源IP和目的IP,協議類型,源和目的TCP/UDP口,以及到達和離開界面。
√ Firewall應該為FTP、TELNET提供代理服務,以提供增強和集中的認證管理機制。如果提供其它的服務(如NNTP,http等)也必須通過代理伺服器。
√ Firewall應該支持集中的SMTP處理,減少內部網和遠程系統的直接連接。
√ Firewall應該支持對公共Information server的訪問,支持對公共Information server的保護,並且將Information server同內部網隔離。
√ Firewall可支持對撥號接入的集中管理和過濾。
√ Firewall應支持對交通、可疑活動的日誌記錄。
√ 如果Firewall需要通用的操作系統,必須保證使用的操作系統安裝了所有己知的安全漏洞Patch。
√ Firewall的設計應該是可理解和管理的。
√ Firewall依賴的操作系統應及時地升級以彌補安全漏洞。
5、選擇防火牆的要點
(1) 安全性:即是否通過了嚴格的入侵測試。
(2) 抗攻擊能力:對典型攻擊的防禦能力
(3) 性能:是否能夠提供足夠的網路吞吐能力
(4) 自我完備能力:自身的安全性,Fail-close
(5) 可管理能力:是否支持SNMP網管
(6) VPN支持
(7) 認證和加密特性
(8) 服務的類型和原理
(9)網路地址轉換能力

三.病毒防護技術

病毒歷來是信息系統安全的主要問題之一。由於網路的廣泛互聯,病毒的傳播途徑和速度大大加快。
我們將病毒的途徑分為:
(1 ) 通過FTP,電子郵件傳播。
(2) 通過軟盤、光碟、磁帶傳播。
(3) 通過Web游覽傳播,主要是惡意的Java控制項網站。
(4) 通過群件系統傳播。
病毒防護的主要技術如下:
(1) 阻止病毒的傳播。
在防火牆、代理伺服器、SMTP伺服器、網路伺服器、群件伺服器上安裝病毒過濾軟體。在桌面PC安裝病毒監控軟體。
(2) 檢查和清除病毒。
使用防病毒軟體檢查和清除病毒。
(3) 病毒資料庫的升級。
病毒資料庫應不斷更新,並下發到桌面系統。
(4) 在防火牆、代理伺服器及PC上安裝Java及ActiveX控制掃描軟體,禁止未經許可的控制項下載和安裝。

四.入侵檢測技術

利用防火牆技術,經過仔細的配置,通常能夠在內外網之間提供安全的網路保護,降低了網路安全風險。但是,僅僅使用防火牆、網路安全還遠遠不夠:
(1) 入侵者可尋找防火牆背後可能敞開的後門。
(2) 入侵者可能就在防火牆內。
(3) 由於性能的限制,防火焰通常不能提供實時的入侵檢測能力。
入侵檢測系統是近年出現的新型網路安全技術,目的是提供實時的入侵檢測及採取相應的防護手段,如記錄證據用於跟蹤和恢復、斷開網路連接等。
實時入侵檢測能力之所以重要首先它能夠對付來自內部網路的攻擊,其次它能夠縮短hacker入侵的時間。
入侵檢測系統可分為兩類:
√ 基於主機
√ 基於網路
基於主機的入侵檢測系統用於保護關鍵應用的伺服器,實時監視可疑的連接、系統日誌檢查,非法訪問的闖入等,並且提供對典型應用的監視如Web伺服器應用。
基於網路的入侵檢測系統用於實時監控網路關鍵路徑的信息,其基本模型如右圖示:
上述模型由四個部分組成:
(1) Passive protocol Analyzer網路數據包的協議分析器、將結果送給模式匹配部分並根據需要保存。
(2) Pattern-Matching Signature Analysis根據協議分析器的結果匹配入侵特徵,結果傳送給Countermeasure部分。
(3) countermeasure執行規定的動作。
(4) Storage保存分析結果及相關數據。
基於主機的安全監控系統具備如下特點:
(1) 精確,可以精確地判斷入侵事件。
(2) 高級,可以判斷應用層的入侵事件。
(3) 對入侵時間立即進行反應。
(4) 針對不同操作系統特點。
(5) 佔用主機寶貴資源。
基於網路的安全監控系統具備如下特點:
(1) 能夠監視經過本網段的任何活動。
(2) 實時網路監視。
(3) 監視粒度更細致。
(4) 精確度較差。
(5) 防入侵欺騙的能力較差。
(6) 交換網路環境難於配置。
基於主機及網路的入侵監控系統通常均可配置為分布式模式:
(1) 在需要監視的伺服器上安裝監視模塊(agent),分別向管理伺服器報告及上傳證據,提供跨平台的入侵監視解決方案。
(2) 在需要監視的網路路徑上,放置監視模塊(sensor),分別向管理伺服器報告及上傳證據,提供跨網路的入侵監視解決方案。
選擇入侵監視系統的要點是:
(1) 協議分析及檢測能力。
(2) 解碼效率(速度)。
(3) 自身安全的完備性。
(4) 精確度及完整度,防欺騙能力。
(5) 模式更新速度。

五.安全掃描技術

網路安全技術中,另一類重要技術為安全掃描技術。安全掃描技術與防火牆、安全監控系統互相配合能夠提供很高安全性的網路。
安全掃描工具源於Hacker在入侵網路系統時採用的工具。商品化的安全掃描工具為網路安全漏洞的發現提供了強大的支持。
安全掃描工具通常也分為基於伺服器和基於網路的掃描器。
基於伺服器的掃描器主要掃描伺服器相關的安全漏洞,如password文件,目錄和文件許可權,共享文件系統,敏感服務,軟體,系統漏洞等,並給出相應的解決辦法建議。通常與相應的伺服器操作系統緊密相關。
基於網路的安全掃描主要掃描設定網路內的伺服器、路由器、網橋、變換機、訪問伺服器、防火牆等設備的安全漏洞,並可設定模擬攻擊,以測試系統的防禦能力。通常該類掃描器限制使用范圍(IP地址或路由器跳數)。網路安全掃描的主要性能應該考慮以下方面:
(1) 速度。在網路內進行安全掃描非常耗時。
(2) 網路拓撲。通過GUI的圖形界面,可迭擇一步或某些區域的設備。
(3) 能夠發現的漏洞數量。
(4) 是否支持可定製的攻擊方法。通常提供強大的工具構造特定的攻擊方法。因為網路內伺服器及其它設備對相同協議的實現存在差別,所以預制的掃描方法肯定不能滿足客戶的需求。
(5) 報告,掃描器應該能夠給出清楚的安全漏洞報告。
(6) 更新周期。提供該項產品的廠商應盡快給出新發現的安生漏洞掃描特性升級,並給出相應的改進建議。
安全掃描器不能實時監視網路上的入侵,但是能夠測試和評價系統的安全性,並及時發現安全漏洞。

六. 認證和數宇簽名技術

認證技術主要解決網路通訊過程中通訊雙方的身份認可,數字簽名作為身份認證技術中的一種具體技術,同時數字簽名還可用於通信過程中的不可抵賴要求的實現。
認證技術將應用到企業網路中的以下方面:
(1) 路由器認證,路由器和交換機之間的認證。
(2) 操作系統認證。操作系統對用戶的認證。
(3) 網管系統對網管設備之間的認證。
(4) VPN網關設備之間的認證。
(5) 撥號訪問伺服器與客戶間的認證。
(6) 應用伺服器(如Web Server)與客戶的認證。
(7) 電子郵件通訊雙方的認證。
數字簽名技術主要用於:
(1) 基於PKI認證體系的認證過程。
(2) 基於PKI的電子郵件及交易(通過Web進行的交易)的不可抵賴記錄。
認證過程通常涉及到加密和密鑰交換。通常,加密可使用對稱加密、不對稱加密及兩種加密方法的混合。
UserName/Password認證
該種認證方式是最常用的一種認證方式,用於操作系統登錄、telnet、rlogin等,但由於此種認證方式過程不加密,即password容易被監聽和解密。
使用摘要演算法的認證
Radius(撥號認證協議)、路由協議(OSPF)、SNMP Security Protocol等均使用共享的Security Key,加上摘要演算法(MD5)進行認證,由於摘要演算法是一個不可逆的過程,因此,在認證過程中,由摘要信息不能計算出共享的security key,敏感信息不在網路上傳輸。市場上主要採用的摘要演算法有MD5和SHA-1。
基於PKI的認證
使用公開密鑰體系進行認證和加密。該種方法安全程度較高,綜合採用了摘要演算法、不對稱加密、對稱加密、數字簽名等技術,很好地將安全性和高效率結合起來。後面描述了基於PKI認證的基本原理。這種認證方法目前應用在電子郵件、應用伺服器訪問、客戶認證、防火牆驗證等領域。
該種認證方法安全程度很高,但是涉及到比較繁重的證書管理任務。

Ⅳ 什麼是網路安全網路安全的主要內容是什麼。

網路安全的主要內容:

1、操作系統沒有進行相關的安全配置

不管使用的是哪一種操作系統,安裝不完全的情況下都會存在一些安全問題,只有專門針對操作系統安全性進行相關的和嚴格的安全配置,才能達到一定的安全程度。千萬不要以為操作系統預設安裝後,只要自己設置的密碼很強就沒有問題。網路軟體的漏洞和「後門」是進行網路攻擊的首選目標。

2、沒有進行CGI程序代碼審計

如果是通用的CGI問題,防範起來還稍微容易一些,但是對於網站或軟體供應商專門開發的一些CGI程序,很多存在嚴重的CGI問題,對於電子商務站點來說,會出現惡意攻擊者冒用他人賬號進行網上購物等嚴重後果。

3、拒絕服務(DoS,DenialofService)攻擊

現在的網站對於實時性的要求是越來越高,DoS或DDoS對網站的威脅越來越大。如果一個網路攻擊是以網路癱瘓為目標的,那麼它的襲擊效果是很強烈的,破壞性很大,造成危害的速度和范圍也是我們預料不到的,而襲擊者本身的風險卻非常小,甚至可以在襲擊開始前就已經消失得無影無蹤。

4、安全產品使用不當

雖然很多網站都採用了基本的網路安全設備,但由於安全產品本身的問題或使用問題,這些產品並沒有發揮到應有的作用。很多安全廠商的產品對配置人員的技術要求很高,就算是廠家在最初給用戶做了正確的安裝、配置,但一旦系統改動,需要改動相關安全產品的設置時,很容易產生許多安全問題。

5、缺少嚴格的網路安全管理制度

網路安全最重要的還是要有相應的制度去保障,建立和實施嚴密的計算機網路安全制度與策略是真正實現網路安全的基礎。

Ⅳ 什麼是網路安全網路安全的主要內容是什麼。

網路安全是指網路系統的硬體、軟體及其系統中的數據受到保護,不因偶然的或者惡意的原因而遭受到破壞、更改、泄露,系統連續可靠正常地運行,網路服務不中斷。
網路安全從其本質上來講就是網路上的信息安全。廣義來說,凡是涉及到網路上信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論都是網路安全的研究領域。網路安全是一門涉及計算機科學、網路技術、通信技術、密碼技術、信息安全技術、應用數學、數論、資訊理論等多種學科的綜合性學科。

成都優創信安,專業的網路和信息安全服務提供商,專注於網路安全評估、網站安全檢測、安全應急響應。

Ⅵ 網路安全的技術原理

網路安全性問題關繫到未來網路應用的深入發展,它涉及安全策略、移動代碼、指令保護、密碼學、操作系統、軟體工程和網路安全管理等內容。一般專用的內部網與公用的互聯網的隔離主要使用「防火牆」技 術。
「防火牆」是一種形象的說法,其實它是一種計算機硬體和軟體的組合,使互聯網與內部網之間建立起 一個安全網關,從而保護內部網免受非法用戶的侵入。
能夠完成「防火牆」工作的可以是簡單的隱蔽路由器,這種「防火牆」如果是一台普通的路由器則僅能起到一種隔離作用。隱蔽路由器也可以在互聯網協議埠級上阻止網間或主機間通信,起到一定的過濾作用。 由於隱蔽路由器僅僅是對路由器的參數做些修改,因而也有人不把它歸入「防火牆」一級的措施。
真正意義的「防火牆」有兩類,一類被稱為標准「防火牆」;一類叫雙家網關。標准」防火牆」系統包括一個Unix工作站,該工作站的兩端各有一個路由器進行緩沖。其中一個路由器的介面是外部世界,即公用網;而另一個則聯接內部網。標准「防火牆」使用專門的軟體,並要求較高的管理水平,而且在信息傳輸上有一定的延遲。而雙家網關則是對標准「防火牆」的擴充。雙家網關又稱堡壘主機或應用層網關,它是一個單個的系統,但卻能同時完成標准「防火牆」的所有功能。其優點是能運行更復雜的應用,同時防止在互聯網和內部系統之間建立的任何直接的連接,可以確保數據包不能直接從外部網路到達內部網路,反之亦然。
隨著「防火牆」技術的進步,在雙家網關的基礎上又演化出兩種「防火牆」配置,一種是隱蔽主機網關,另一種是隱蔽智能網關(隱蔽子網)。隱蔽主機網關當前也許是一種常見的「防火牆」配置。顧名思義,這種配置一方面將路由器進行隱藏,另一方面在互聯網和內部網之間安裝堡壘主機。堡壘主機裝在內部網上,通過路由器的配置,使該堡壘主機成為內部網與互聯網進行通信的唯一系統。目前技術最為復雜而且安全級別最高的」防火牆」當屬隱蔽智能網關。所謂隱蔽智能網關是將網關隱藏在公共系統之後,它是互聯網用戶唯一能見到的系統。所有互聯網功能則是經過這個隱藏在公共系統之後的保護軟體來進行的。一般來說,這種「防火牆」是最不容易被破壞的。
與「防火牆」配合使用的安全技術還有數據加密技術。數據加密技術是為提高信息系統及數據的安全性和保密性,防止秘密數據被外部破壞所採用的主要技術手段之一。隨著信息技術的發展,網路安全與信息保密日益引起人們的關注。各國除了從法律上、管理上加強數據的安全保護外,從技術上分別在軟體和硬體兩方面採取措施,推動著數據加密技術和物理防範技術的不斷發展。按作用不同,數據加密技術主要分為數據傳輸、數據存儲、數據完整性的鑒別以及密鑰管理技術4種。
與數據加密技術緊密相關的另一項技術則是智能卡技術。所謂智能卡就是密鑰的一種媒體,一般就像信用卡一樣,由授權用戶所持有並由該用戶賦予它一個口令或密碼字。該密碼字與內部網路伺服器上注冊的密碼一致。當口令與身份特徵共同使用時,智能卡的保密性能還是相當有效的。
這些網路安全和數據保護的防範措施都有一定的限度,並不是越安全就越可靠。因而,看一個內部網是否安全時不僅要考慮其手段,而更重要的是對該網路所採取的各種措施,其中不僅是物理防範,而且還有人員素質等其他「軟」因素,進行綜合評估,從而得出是否安全的結論。
安全服務
對等實體認證服務
訪問控制服務
數據保密服務
數據完整性服務
數據源點認證服務
禁止否認服務
安全機制
加密機制
數字簽名機制
訪問控制機制
數據完整性機制
認證機制
信息流填充機制
路由控制機制
公證機制

Ⅶ 什麼是網路安全網路安全應包括幾方面內容

網路安全是指網路系統的硬體、軟體及其系統中的數據受到保護,不受偶然的或者惡意的原因而遭到破壞、更改、泄露,系統連續可靠正常地運行,網路服務不中斷。

網路安全應包括:企業安全制度、數據安全、傳輸安全、伺服器安全、防火牆安全(硬體或軟體實現、背靠背、DMZ等)、防病毒安全;

在網路上傳輸的個人信息(如銀行賬號和上網登錄口令等)不被他人發現,這就是用戶對網路上傳輸的信息具有保密性的要求。 在網路上傳輸的信息沒有被他人篡改,這就是用戶對網路上傳輸的信息具有完整性的要求。

(7)網路安全技術講解擴展閱讀:

網路傳輸的安全與傳輸的信息內容有密切的關系。信息內容的安全即信息安全,包括信息的保密性、真實性和完整性。

其中的信息安全需求,是指通信網路給人們提供信息查詢、網路服務時,保證服務對象的信息不受監聽、竊取和篡改等威脅,以滿足人們最基本的安全需要(如隱秘性、可用性等)的特性。

網路安全側重於網路傳輸的安全,信息安全側重於信息自身的安全,可見,這與其所保護的對象有關。

Ⅷ 網路安全技術

計算機網路攻擊的常見手法

互聯網發展至今,除了它表面的繁榮外,也出現了一些
不良現象,其中黑客攻擊是最令廣大網民頭痛的事情,它是
計算機網路安全的主要威脅。只有了解這些攻擊方式,才能
大大降低受到攻擊的可能性,下面著重分析行網路攻擊的幾
種常見手法,

(一)利用網路系統漏洞進行攻擊

許多網路系統都存在著這樣那樣的漏洞,這些漏洞有可
能是系統本身所有的,如
WindowsNT

UNIX
等都有數量不等
的漏洞,也有可能是由於網管的疏忽而造成的。黑客利用這
些漏洞就能完成密碼探測、系統入侵等攻擊。

對於系統本身的漏洞,可以安裝軟體補丁;另外網管也
需要仔細工作,盡量避免因疏忽而使他人有機可乘。

(二)通過電子郵件進行攻擊

電子郵件是互聯網上運用得十分廣泛的一種通訊方式。
黑客可以使用一些郵件炸彈軟體或
CGI
程序向目的郵箱發送
大量內容重復、無用的垃圾郵件,從而使目的郵箱被撐爆而
無法使用。當垃圾郵件的發送流量特別大時,還有可能造成
郵件系統對於正常的工作反映緩慢,甚至癱瘓,這一點和後
面要講到的「拒絕服務攻擊(
DDoS
)比較相似。

對於遭受此類攻擊的郵箱,可以使用一些垃圾郵件清除
軟體來解決,其中常見的有
SpamEater

Spamkiller
等,

Outlook
等收信軟體同樣也能達到此目的。

(三)解密攻擊

在互聯網上,使用密碼是最常見並且最重要的安全保護
方法,用戶時時刻刻都需要輸入密碼進行身份校驗。而現在
的密碼保護手段大都認密碼不認人,只要有密碼,系統就會
認為你是經過授權的正常用戶,因此,取得密碼也是黑客進
行攻擊的一重要手法。

取得密碼也還有好幾種方法,一種是對網路上的數據進
行監聽。因為系統在進行密碼校驗時,用戶輸入的密碼需要
從用戶端傳送到伺服器端,而黑客就能在兩端之間進行數據
監聽。

但一般系統在傳送密碼時都進行了加密處理,即黑客所
得到的數據中不會存在明文的密碼,這給黑客進行破解又提
了一道難題。這種手法一般運用於區域網,一旦成功攻擊者
將會得到很大的操作權益。

另一種解密方法就是使用窮舉法對已知用戶名的密碼
進行暴力解密。這種解密軟體對嘗試所有可能字元所組成的
密碼,但這項工作十分地費時,不過如果用戶的密碼設臵得
比較簡單,如「
12345
」、「
ABC
」等那有可能只需一眨眼的
功夫就可搞定。

為了防止受到這種攻擊的危害,用戶在進行密碼設臵時
一定要將其設臵得復雜,也可使用多層密碼,或者變換思路

使用中文密碼,並且不要以自己的生日和電話甚至用戶名作
為密碼,因為一些密碼破解軟體可以讓破解者輸入與被破解
用戶相關的信息,如生日等,然後對這些數據構成的密碼進
行優先嘗試。另外應該經常更換密碼,這樣使其被破解的可
能性又下降了不少。

(四)後門軟體攻擊

後門軟體攻擊是互聯網上比較多的一種攻擊手法。
Back
Orifice2000
、冰河等都是比較著名的特洛伊木馬,它們可
以非法地取得用戶電腦的超級用戶級權利,可以對其進行完
全的控制,除了可以進行文件操作外,同時也可以進行對方
桌面抓圖、取得密碼等操作。

這些後門軟體分為伺服器端和用戶端,當黑客進行攻擊
時,會使用用戶端程序登陸上已安裝好伺服器端程序的電
腦,這些伺服器端程序都比較小,一般會隨附帶於某些軟體
上。有可能當用戶下載了一個小游戲並運行時,後門軟體的
伺服器端就安裝完成了,而且大部分後門軟體的重生能力比
較強,給用戶進行清除造成一定的麻煩。

當在網上下載數據時,一定要在其運行之前進行病毒掃
描,並使用一定的反編譯軟體,查看來源數據是否有其他可
疑的應用程序,從而杜絕這些後門軟體。

(五)拒絕服務攻擊

互聯網上許多大網站都遭受過此類攻擊。實施拒絕服務

攻擊(
DDoS
)的難度比較小,但它的破壞性卻很大。它的具
體手法就是向目的伺服器發送大量的數據包,幾乎佔取該服
務器所有的網路寬頻,從而使其無法對正常的服務請求進行
處理,而導致網站無法進入、網站響應速度大大降低或服務
器癱瘓。

現在常見的蠕蟲病毒或與其同類的病毒都可以對服務
器進行拒絕服務攻擊的進攻。它們的繁殖能力極強,一般通

Microsoft

Outlook
軟體向眾多郵箱發出帶有病毒的郵
件,而使郵件伺服器無法承擔如此龐大的數據處理量而癱
瘓。

對於個人上網用戶而言,也有可能遭到大量數據包的攻
擊使其無法進行正常的網路操作,所以大家在上網時一定要
安裝好防火牆軟體,同時也可以安裝一些可以隱藏
IP
地址
的程序,這樣才能大大降低受到攻擊的可能性。
攻擊步驟
第一步:隱藏己方位置
普通攻擊者都會利用別人的計算機隱藏他們真實的IP地址。老練的攻擊者還會利用800電話的無人轉接服務聯接ISP,然後再盜用他人的帳號上網。
第二步:尋找並分析
攻擊者首先要尋找目標主機並分析目標主機。在Internet上能真正標識主機的是IP地址,域名是為了便於記憶主機的IP地址而另起的名字,只要利用域名和 IP地址就能順利地找到目標主機。當然,知道了要攻擊目標的位置還是遠遠不夠的,還必須將主機的操作系統類型及其所提供服務等資料作個全方面的了解。此時,攻擊者們會使用一些掃描器工具,輕松獲取目標主機運行的是哪種操作系統的哪個版本,系統有哪些帳戶,WWW、FTP、Telnet 、SMTP等伺服器程式是何種版本等資料,為入侵作好充分的准備。
第三步:帳號和密碼
攻擊者要想入侵一台主機,首先要該獲取主機的一個帳號和密碼,否則連登錄都無法進行。這樣常迫使他們先設法盜竊帳戶文件,進行破解,從中獲取某用戶的帳戶和口令,再尋覓合適時機以此身份進入主機。當然,利用某些工具或系統漏洞登錄主機也是攻擊者常用的一種技法。
第四步:獲得控制權
攻擊者們用FTP、Telnet等工具利用系統漏洞進入進入目標主機系統獲得控制權之後,就會做兩件事:清除記錄和留下後門。他會更改某些系統設置、在系統中置入特洛伊木馬或其他一些遠程操縱程式,以便日後能不被覺察地再次進入系統。大多數後門程式是預先編譯好的,只需要想辦法修改時間和許可權就能使用了,甚至新文件的大小都和原文件一模相同。攻擊者一般會使用rep傳遞這些文件,以便不留下FTB記錄。清除日誌、刪除拷貝的文件等手段來隱藏自己的蹤跡之後,攻擊者就開始下一步的行動。
第五步:資源和特權
攻擊者找到攻擊目標後,會繼續下一步的攻擊,竊取網路資源和特權。如:下載敏感信息;實施竊取帳號密碼、信用卡號等經濟偷竊;使網路癱瘓。

8應對策略
在對網路攻擊進行上述分析和識別的基礎上,我們應當認真制定有針對性的策略。明確安全對象,設置強有力的安全保障體系。有的放矢,在網路中層層設防,發揮網路的每層作用,使每一層都成為一道關卡,從而讓攻擊者無隙可鑽、無計可使。還必須做到未雨稠繆,預防為主 ,將重要的數據備份並時刻注意系統運行狀況。以下是針對眾多令人擔心的網路安全問題,提出的幾點建議
提高安全意識
(1)不要隨意打開來歷不明的電子郵件及文件,不要隨便運行不太了解的人給你的程式,比如「特洛伊」類黑客程式就需要騙你運行。 中國.網管聯盟
(2)盡量避免從Internet下載不知名的軟體、游戲程式。即使從知名的網站下載的軟體也要及時用最新的病毒和木馬查殺軟體對軟體和系統進行掃描。
(3)密碼設置盡可能使用字母數字混排,單純的英文或數字非常容易窮舉。將常用的密碼設置不同,防止被人查出一個,連帶到重要密碼。重要密碼最佳經常更換。
(4)及時下載安裝系統補丁程式。
(5)不隨便運行黑客程式,不少這類程式運行時會發出你的個人信息。
(6)在支持HTML的BBS上,如發現提交警告,先看原始碼,非常可能是騙取密碼的陷阱。
防火牆軟體
使用防毒、防黑等防火牆軟體。防火牆是個用以阻止網路中的黑客訪問某個機構網路的屏障,也可稱之為控制進/出兩個方向通信的門檻。在網路邊界上通過建立起來的相應網路通信監視系統來隔離內部和外部網路,以阻檔外部網路的侵入。
代理伺服器
設置代理伺服器,隱藏自已IP地址。保護自己的IP地址是非常重要的。事實上,即便你的機器上被安裝了木馬程式,若沒有你的IP地址,攻擊者也是沒有辦法的,而保護IP地址的最佳方法就是設置代理伺服器。代理伺服器能起到外部網路申請訪問內部網路的中間轉接作用,其功能類似於一個數據轉發器,他主要控制哪些用戶能訪問哪些服務類型。當外部網路向內部網路申請某種網路服務時,代理伺服器接受申請,然後他根據其服務類型、服務內容、被服務的對象、服務者申請的時間、申請者的域名范圍等來決定是否接受此項服務,如果接受,他就向內部網路轉發這項請求。
其他策略
將防毒、防黑當成日常例性工作,定時更新防毒組件,將防毒軟體保持在常駐狀態,以完全防毒;
由於黑客經常會針對特定的日期發動攻擊,計算機用戶在此期間應特別提高警戒;
對於重要的個人資料做好嚴密的保護,並養成資料備份的習慣。

Ⅸ 網路安全技術的內容簡介

《網路安全技術》內容共9章,包含網路安全理論基礎、網路攻擊與防護、網路安全應用及網路安全實驗4個部分。網路安全理論基礎部分講解了網路安全的基礎知識、網路安全體系結構、網路協議的安全性以及網路系統平台安全,、使讀者初步了解網路安全並掌握網路安全技術的架構。網路攻擊與防護部分從攻與防兩個角度講解網路安全技術,包括網路攻擊原理及技術、網路安全防護技術。網路安全應用部分講解了密碼技術在網路安全中的應用、網路安全應用。網路安全實驗部分從搭建網路安全實驗環境開始,分11個項目比較全面地講解了攻與防等實驗:使課程理論與實踐緊密地結合起來。
《網路安全技術》內容豐富,技術性強,實現了網路安全理論與應用完美的結合,給讀者以實用和最新的網路安全技術。
《網路安全技術》適用范圍廣,既可以作為高等院校網路安全課程的教材和教學參考書,又可作為網路安全培訓教材或自學參考書;對於具有一定網路管理、網路安全基礎,並希望進一步提高網路安全技術水平的讀者,也是一本理想的技術參考書。

Ⅹ 網路安全技術

計算機網路安全技術簡稱網路安全技術,指致力於解決諸如如何有效進行介入控制,以及如何保證數據傳輸的安全性的技術手段,主要包括物理安全分析技術,網路結構安全分析技術,系統安全分析技術,管理安全分析技術,及其它的安全服務和安全機制策略。...

閱讀全文

與網路安全技術講解相關的資料

熱點內容
網路共享中心沒有網卡 瀏覽:518
電腦無法檢測到網路代理 瀏覽:1370
筆記本電腦一天會用多少流量 瀏覽:565
蘋果電腦整機轉移新機 瀏覽:1373
突然無法連接工作網路 瀏覽:1048
聯通網路怎麼設置才好 瀏覽:1219
小區網路電腦怎麼連接路由器 瀏覽:1023
p1108列印機網路共享 瀏覽:1207
怎麼調節台式電腦護眼 瀏覽:683
深圳天虹蘋果電腦 瀏覽:922
網路總是異常斷開 瀏覽:608
中級配置台式電腦 瀏覽:980
中國網路安全的戰士 瀏覽:627
同志網站在哪裡 瀏覽:1409
版觀看完整完結免費手機在線 瀏覽:1454
怎樣切換默認數據網路設置 瀏覽:1105
肯德基無線網無法訪問網路 瀏覽:1280
光纖貓怎麼連接不上網路 瀏覽:1463
神武3手游網路連接 瀏覽:962
局網列印機網路共享 瀏覽:995