第7章 互联网网络安全-《物联网安全导论》

7.2.1防火墙的基本概念
1、 Internet防火墙与安全策略的关系 • 防火墙不仅仅是路由器、堡垒主机、或任何网 络安全的设备的组合，防火墙是安全策略的一个 部分。
•
安全策略建立全方位的防御体系，包括：公司 规定的网络访问、服务访问、本地和远地的用户 认证、拨入和拨出、磁盘和数据加密、病毒防护 措施，以及雇员培训等。
7.1 ห้องสมุดไป่ตู้络安全概述
• 不同的用户应从不同的方面对其网络作详尽的分
析，选择安全性尽可能高的操作系统。因此不但
要选用尽可能可靠的操作系统和硬件平台，并对
操作系统进行安全配置。
• 而且，必须加强登录过程的认证，确保用户的合
法性；其次应该严格限制登录者的操作权限，将
其完成的操作限制在最小的范围内。
7.1 网络安全概述
7.2.3
防火墙的结构
1. 双宿／多宿主机模式 • 双宿／多宿主机防火墙(Dual-Homed／MultiHomed Firewall)是一种拥有两个或多个连接到 不同网络上的网络接口的防火墙， • 通常用一台装有两块或多块网卡的堡垒主机做防 火墙，网卡各自与受保护网和外部网相连。 • 特点是主机的路由功能是被禁止的，两个网络之 间的通信通过应用层代理服务来完成。
7.2.3
防火墙的结构
• 在防火墙与网络的配置上，有三种典型结构： 双宿／多宿主机模式、屏蔽主机模式和屏蔽子 网模式。 • 堡垒主机(bastion host)
堡垒主机是一种配置了较为全面安全防范措 施的网络上的计算机，从网络安全上来看，堡垒 主机是最强壮的系统。通常情况下，堡垒主机可 作为代理服务器的平台。
7.2.1防火墙的基本概念
(1) 防火墙的功能 • 防火墙的功能有两个：阻止和允许。
• “阻止”就是阻止某种类型的通信量通过防火墙 （从外部网络到内部网络，或反过来）。 • “允许”的功能与“阻止”恰好相反。
• 防火墙必须能够识别通信量的各种类型。不过在 大多数情况下防火墙的主要功能是“阻止”。
7.2.1防火墙的基本概念
火灾等环境事故；电源故障；人为操作失误或错
误；设备被盗、被毁；电磁干扰；线路截获；高
可用性的硬件；双机多冗余的设计；机房环境及
报警系统、安全意识等，因此要尽量避免网络的 物理安全风险。
7.1 网络安全概述
2.网络结构的安全 • 网络拓扑结构设计也直接影响到网络系统的安全 性。假如在外部和内部网络进行通信时，内部网 络的机器安全就会受到威胁，同时也影响在同一 网络上的许多其他系统。
可信赖的网络
内联网
内局域网
7.2.2
防火墙的技术类别
1. 包过滤防火墙
• • 采用这种技术的防火墙产品，通过在网络中的 适当位置对数据包进行过滤。 检查数据流中每个数据包的源地址、目的地址、 所有的TCP端口号和TCP链路状态等要素，
•
然后依据一组预定义的规则，以允许合乎逻辑 的数据包通过防火墙进入到内部网络，而将不合 乎逻辑的数据包加以删除。
7.1 网络安全概述
• 考虑布线系统与照明电线、动力电线、通信线路、
暖气管道及冷热空气管道之间的距离；
• 考虑布线系统和绝缘线、裸体线以及接地与焊接
的安全；
• 必须建设防雷系统，防雷系统不仅考虑建筑物防 雷，还必须考虑计算机及其他弱电耐压设备的防 雷。
7.1 网络安全概述
• 总体来说物理安全的风险主要有，地震、水灾、
7.1 网络安全概述
7.1.2 网络安全服务的主要内容 1.安全技术手段 • 物理措施：例如，保护网络关键设备，制定严格 的网络安全规章制度，采取防辐射、防火以及安 装不间断电源（UPS）等措施。 • 访问控制：对用户访问网络资源的权限进行严格 的认证和控制。例如，进行用户身份认证，对口 令加密、更新和鉴别，设置用户访问目录和文件 的权限，控制网络设备配置的权限，等等。
常通信的数据包到达相应主机，其它的请求服务 在到达主机之前就应该遭到拒绝。
7.1 网络安全概述
3.系统的安全
• 所谓系统的安全是指整个网络操作系统和网络硬 件平台是否可靠且值得信任。
• 目前恐怕没有绝对安全的操作系统可以选择，无 论是Microsoft 的Windows操作系统或者其它任 何商用UNIX操作系统，其开发厂商必然有其后 门（Back-Door）。因此，我们可以得出如下结 论：没有完全安全的操作系统。
7.2.1防火墙的基本概念
(3) 防火墙在互连网络中的位置 • 防火墙内的网络称为“可信赖的网络”(trusted
network)，而将外部的因特网称为“不可信赖的
网络”(untrusted network)。
防火 墙 不可信赖的网络 因特网
外局域网
分组过滤 路由器 R
应用网关
G
分组过滤 路由器 R
7.1 网络安全概述
• 数据加密： 加密是保护数据安全的重要手段。加密的作 用是保障信息被人截获后不能读懂其含义。防止 计算机网络病毒，安装网络防病毒系统。 • 其他措施： 其他措施包括信息过滤、容错、数据镜像、 数据备份和审计等。近年来，围绕网络安全问题 提出了许多解决办法，例如数据加密技术和防火 墙技术等。
7.2.2
防火墙的技术类别
3. 状态监视器防火墙
• 这种防火墙安全特性较好，它采用了一个在网关 上执行网络安全策略的软件引擎，称之为检测模 块。 • 检测模块在不影响网络正常工作的前提下，采用 抽取相关数据的方法对网络通信的各层实施监测， 抽取部分数据，即状态信息，并动态地保存起来 作为以后指定安全策略的参考。
信息的通讯必须授权，传输必须加密。采用多层
次的访问控制与权限控制手段，实现对数据的安
全保护；
• 采用加密技术，保证网上传输的信息（包括管理
员口令与账户、上传信息等）的机密性与完整性。
7.1 网络安全概述
5. 管理的安全风险
• 管理是网络中安全最最重要的部分。责权不明， 安全管理制度不健全及缺乏可操作性等都可能引 起管理安全的风险。 • 最可行的做法是制定健全的管理制度和严格管理 相结合。保障网络的安全运行，使其成为一个具 有良好的安全性、可扩充性和易管理性的信息网 络便成为了首要任务。
从广义来说，凡是涉及到网络上信息的保密性、
完整性、可用性、真实性和可控性的相关技术和
理论都是网络安全的研究领域。
• 网络安全是一门涉及计算机科学、网络技术、通
信技术、密码技术、信息安全技术、应用数学、 数论、信息论等多种学科的综合性学科。
7.1 网络安全概述
7.1.1网络安全威胁分析
1.物理安全
• 网络的物理安全是整个网络系统安全的前提。在 校园网工程建设中，由于网络系统属于弱电工程， 耐压值很低。 • 因此，在网络工程的设计和施工中，必须优先考 虑保护人和网络设备不受电、火灾和雷击的侵害；
7.1 网络安全概述
7.1.4 网络安全攻击的形式 • 主要有四种方式:中断、截获、修改和伪造。如 图所示。
网络安全攻击的形式
7.1 网络安全概述
（1）中断
• 中断是以可用性作为攻击目标，它毁坏系统资源，
使网络不可使用。
（2）截获
• 截获是以保密性作为攻击目标，非授权用户通过
某种手段获得对系统资源的访问。
• 透过网络传播，还会影响到连上Internet/Intranet 的其他的网络；
• 影响所及，还可能涉及法律、金融等安全敏感领 域。
7.1 网络安全概述
• 因此，我们在设计时有必要将公开服务器
（WEB、DNS、EMAIL等）和外网及内部其它
业务网络进行必要的隔离，避免网络结构信息外
泄；
• 同时还要对外网的服务请求加以过滤，只允许正
第7章 互联网网络安全
学习任务
本章主要涉及：
1 2 3 4
网络安全概述 防火墙技术 入侵检测 身份验证
Click to add title in here
学习任务
本章主要涉及：
5 6 7 8
IPsec安全协议 虚拟专网 （ VPN ） 黑客 互联网安全协议和机制
7.1 网络安全概述
• 网络安全从其本质上来讲就是网络上的信息安全。
7.1 网络安全概述
2。安全防范意识
• 拥有网络安全意识是保证网络安全的重要前提。
许多网络安全事件的发生都和缺乏安全防范意识
有关。
7.1 网络安全概述
7.1.3 Internet安全隐患的主要体现 • 1．Internet是一个开放的、无控制机构的网络， 黑客（Hacker）经常会侵入网络中的计算机系 统，或窃取机密数据和盗用特权，或破坏重要数 据，或使系统功能得不到充分发挥直至瘫痪。 • 2．Internet的数据传输是基于TCP/IP通信协议 进行的，这些协议缺乏使传输过程中的信息不被 窃取的安全措施。
• 防火墙是由软件、硬件构成的系统，是一种特殊 编程的路由器，用来在两个网络之间实施接入控 制策略。 • 接入控制策略是由使用防火墙的单位自行制订的， 为的是可以最适合本单位的需要。 • Internet防火墙决定了哪些内部服务可以被外界 访问；外界的哪些人可以访问内部的哪些服务， 以及哪些外部服务可以被内部人员访问。
7.2.2
防火墙的技术类别
2. 代理服务器防火墙 • 代理服务器运行在两个网络之间，它对于客户来 说像是一台真的服务器一样，而对于外界的服务 器来说，它又是一台客户机。 • 当代理服务器接收到用户的请求后，会检查用户 请求的站点是否符合公司的要求，如果公司允许 用户访问该站点的话，代理服务器会像一个客户 一样，去那个站点取回所需信息再转发给客户。
7.2 防火墙技术
• 古时候，人们常在寓所之间砌起一道砖墙，一旦 火灾发生，它能够防止火势蔓延到别的寓所。自 然，这种墙被命名为“防火墙”。 • 为安全起见，可以在本网络和Internet之间插入 一个中介系统，阻断来自外部通过网络对本网络 的威胁和入侵，这种中介系统叫做“防火墙” 。