第十四章 网络安全管理配 置 http: //www. wenyuan. com. cn/webnew/
第十四章 网络安全管理配置 学习目的与要求 本章主要介绍计算机网络中相关网络安全的知 识，网络安全技术的应用，防火墙的配置，网络故 障 具，网络分析软件，基于Web服务的安全配置。 通过本章学习，读者可以了解网络安全的概念、网 络安全的实现技术，掌握基于Windows系统的防火 墙配置，掌握网络故障的诊断、网络分析软件的使 用，掌握Web服务的安全配置方法。 http: //www. wenyuan. com. cn/webnew/
第十四章 网络安全管理配置 n n n 14. 1 14. 2 14. 3 14. 4 14. 5 14. 6 网络安全基本概念 网络安全实现技术介绍 网络防火墙配置 网络故障诊断 具使用 网络分析软件sniffer使用 Web服务器上设置SSL协议 http: //www. wenyuan. com. cn/webnew/
14. 1 网络安全基本概念 n 14. 1. 1 网络安全的概念 – 计算机网络的安全理解为：通过采用各种技术和管理措施，使网络 系统正常运行，从而确保网络数据的可靠性、可用性、完整性和保 密性。 » » » » (1) 可靠性：是指保证网络系统不因各种因素的影响而终端正常 作。 (2) 可用性：是指在保证软件和数据完整的同时，还要能使其被正常 利用和操作。 (3) 完整性：是指保护网络系统中存储和传输的软件(程序)与数据不 被非法操作，即保证数据不被插入、替换和删除，数据分组不丢失、 乱序，数据库中的数据或系统汇总的程序不被破坏等。 (4) 保密性：主要指利用密码技术对软件和数据进行加密处理，保证 在系统中存储和网络上传输的软件和数据不被无关人员识别。 http: //www. wenyuan. com. cn/webnew/
14. 1 网络安全基本概念 n 14. 1. 2 网络安全隐患 – (1)黑客(Hacker)经常会侵入网络中的计算机系统。 – (2)TCP/IP通信协议缺乏使传输过程中的信息不被窃取的 安全措施。 – (3)Unix操作系统中明显存在的安全脆弱性问题会直接影 响安全服务。 – (4)应用层支持的服务协议缺乏足够的安全性。 – (5)使用电子邮件来传输重要机密信息会存在着很大的危险。 – (6)计算机病毒通过Internet的传播给上网用户带来极大的 危害。 http: //www. wenyuan. com. cn/webnew/
14. 1 网络安全基本概念 n 14. 1. 3 网络安全防范的内容 – 一个安全的计算机网络应该具有可靠性、可用性、完整性、保密性 和真实性等特点。网络安全防范的重点主要有如下几个方面： » (1)中断：当网络上的用户在通信时，破坏者可以中断他们之间的通信 » (2)篡改：当网络用户在发送报文时，报文在转发的过程中不被其他用户 修改 » (3)伪造：网络用户非法获取合法用户的权限并以其身份与其他用户进行 通信 » (4)截获：网络上的其他用户非法获得其他用户的通信内容 » (5)恶意程序：包含计算机病毒、蠕虫、木马、逻辑炸弹在内的各种对计 算机的正常运行产生速度、性能、存储空间影响的程序 http: //www. wenyuan. com. cn/webnew/
14. 2 网络安全实现技术介绍 n 1. 数据加密技术 – 根据密钥类型不同可以将现代密码技术分为两类：对称 加密算法(私钥密码体系)和非对称加密算法(公钥密码体 系)。目前最著名的对称加密算法有数据加密标准DES和 欧洲数据加密标准IDEA等。 – 在实际应用中通常将公钥密码体系和数字签名算法结合 使用，在保证数据传输完整性的同时完成对用户的身份 认证。 http: //www. wenyuan. com. cn/webnew/
14. 2 网络安全实现技术介绍 n 2. 防火墙技术 – 目前的防火墙系统根据其实现的方式大致可分为两种， 即包过滤防火墙和应用层网关。 » 包过滤防火墙的主要功能是接收被保护网络和外部网络之间的数 据包，根据防火墙的访问控制策略对数据包进行过滤，只准许授 权的数据包通行。 » 应用层网关位于TCP/IP协议的应用层，实现对用户身份的验证， 接收被保护网络和外部之间的数据流并对之进行检查。在防火墙 技术中，应用层网关通常由代理服务器来实现。 http: //www. wenyuan. com. cn/webnew/
14. 2 网络安全实现技术介绍 n 3. 网络安全扫描技术 – – (1)网络远程安全扫描 (2)防火墙系统扫描 (3)Web网站扫描 (4)系统安全扫描 http: //www. wenyuan. com. cn/webnew/
14. 2 网络安全实现技术介绍 n 4. 网络入侵检测技术 – 网络入侵检测技术也叫网络实时监控技术，它通过硬件 或软件对网络上的数据流进行实时检查，并与系统中的 入侵特征数据库进行比较，一旦发现有被攻击的迹象， 立刻根据用户所定义的动作做出反应，如切断网络连接， 或通知防火墙系统对访问控制策略进行调整，将入侵的 数据包过滤掉等。 http: //www. wenyuan. com. cn/webnew/
14. 2 网络安全实现技术介绍 n 5. 黑客诱骗技术 – 黑客诱骗技术是近期发展起来的一种网络安全技术，通 过一个由网络安全专家精心设置的特殊系统来引诱黑客， 并对黑客进行跟踪和记录。这种黑客诱骗系统通常也称 为蜜罐(Honeypot)系统，其最重要的功能是特殊设置的 对于系统中所有操作的监视和记录，网络安全专家通过 精心的伪装使得黑客在进入到目标系统后，仍不知晓自 己所有的行为已处于系统的监视之中。 http: //www. wenyuan. com. cn/webnew/
14. 2 网络安全实现技术介绍 n 6. 网络安全技术的综合利用 – 目前常用的自适应网络安全管理模型，通过防火墙、网 络安全扫描、网络入侵检测等技术的结合来实现网络系 统动态的可适应的网络安全目标。这种网络安全管理模 型认为任何网络系统都不可能防范所有的安全风险，因 此在利用防火墙系统实现静态安全目标的基础上，必须 通过网络安全扫描和实时的网络入侵检测，实现动态的、 自适应的网络安全目标。该模型利用网络安全扫描主动 找出系统的安全隐患，对风险作半定量的分析，提出修 补安全漏洞的方案，并自动随着网络环境的变化，通过 入侵特征的识别，对系统的安全作出校正，从而将网络 安全的风险降低到最低点。 http: //www. wenyuan. com. cn/webnew/
14. 3 网络防火墙配置 n 14. 3. 1 Windows XP SP 2自带防火墙简介 – Windows XP SP 2在安全方面做了重大的调整，安全设计 融合到整个操作系统中，防火墙屏障、操作系统补丁和 更新病毒库等理念形成一个安全体系，而防火墙是这个 安全体系的第一道屏障，它提供了一个强大的保护层， 可以阻止恶意用户和程序依靠未经请求的传入流量攻击 计算机。Windows XP SP 2防火墙又称ICF(Internet Connection frewall)，已经具备个人防火墙的基本功能， 它是一种能够阻截所有传入的未经请求的流量的状态防 火墙。这些流量既不是响应计算机请求而发送的流量(请 求流量)，也不是事先指定允许传入的未经请求的流量(异 常流量)。 http: //www. wenyuan. com. cn/webnew/
14. 3 网络防火墙配置 n 14. 3. 2 Windows XP SP 2自带防火墙的配置 – 点击【开始】－【设置】－【控制面板】－【Windows防 火墙】将进入ICF配置界面，如图所示。 http: //www. wenyuan. com. cn/webnew/
14. 3 网络防火墙配置 – 1. 【常规】 » 用于防火墙的启停设置。 n (1)【启用(推荐)】为启动本机防火墙； n (2)【关闭(不推荐)】为关闭本机防火墙； n (3)【不允许例外】选项选中时，Windows防火墙将阻止所有 连接到本计算机的请求，即使请求来自【例外】选项卡上列 出的程序或服务也是如此。 http: //www. wenyuan. com. cn/webnew/
14. 3 网络防火墙配置 – 2. 【例外】 » 例外选项卡用于添加程序和端口例外，以允许特定类型的传入通 信。在此选项卡中，可以为每个例外设置范围，如图所示。 http: //www. wenyuan. com. cn/webnew/
14. 3 网络防火墙配置 » (1)【添加程序(R)】 n 用于进行有互联网访问要求的例外程序的添加，如QQ程序等， 点击按钮后系统显示如图所示界面，用户可选择需要添加的 已注册可执行程序。 http: //www. wenyuan. com. cn/webnew/
14. 3 网络防火墙配置 n n 如果程序列表中没有所需程序，可点击【浏览】按钮手动添 加一个可执行文件如图所示。 选中需添加的文件，点击【打开】添加入程序列表。 http: //www. wenyuan. com. cn/webnew/
14. 3 网络防火墙配置 n 用户选定程序后，可点击【更改范围】，改变选定程序可访 问的地址访问，界面如图所示，用户可根据需要选择任何计 算机，我的网络(子网)或自定义IP地址。 http: //www. wenyuan. com. cn/webnew/
14. 3 网络防火墙配置 » (2)【添加端口(O)】 n 用户如需开放本机端口供其他用户访问，可点击此按钮，弹 出如图所示界面。 http: //www. wenyuan. com. cn/webnew/
14. 3 网络防火墙配置 » (3)【编辑(E)…】 n 用户如需对已有程序和服务的访问规则进行修改，可点击【 编辑】按钮进行变更。 » (4)【删除(D)】 n 用户如需删除已有程序或服务的访问规则，可点击此按钮进 行删除。 – 3. 【高级】 » 高级选项卡用于进行防火墙的进一步设置，用户可进行网卡相关 的访问规则设定、安全日志的记录、ICMP的设置等更高级特性。 http: //www. wenyuan. com. cn/webnew/
14. 4 网络故障诊断 具使用 n 14. 4. 1 IP测试 具Ping – 使用Ping命令可以向计算机发送ICMP(Internet控制消息 协议)数据包并监听回应数据包，以校验与远程计算机或 本地计算机的连接；Ping还可以测试计算机名/域名和IP 地址，如果能够成功校验IP地址却不能成功校验计算机名 或域名，则说明名称解析存在问题。 – 1. 命令格式 » ping [-t] [-a] [-n count] [-l size] [-f] [-i TTL] [-v TOS] [-r count] [-s count] [[-j host-list] | [-k host-list]] [-w timeout] target_name http: //www. wenyuan. com. cn/webnew/
14. 4 网络故障诊断 具使用 返回值 – 2. 返回值 意义 Request Timed Out 这个信息表示对方主机可以到达到TIME OUT，这种情 况通常是为对方拒绝接收你发给它的数据包造成数 据包丢失。大多数的原因可能是对方装有防火墙或 已下线。 Destination Net Unreachable 这个信息表示对方主机不存在或者没有跟对方建立连接。 这里要说明一下”destination host unreachable”和 ”time out”的区别，如果所经过的路由器的路由表中 具有到达目标的路由，而目标因为其他原因不可到 达，这时候会出现”time out”，如果路由表中连到达 目标的路由都没有，那就会出现”destination host unreachable” Bad IP address 这个信息表示你可能没有连接到DNS服务器所以无法解 析这个IP地址，也可能是IP地址不存在 Source quench received 此信息比较特殊，它出现的机率很少。它表示对方或中 途的服务器繁忙无法回应 http: //www. wenyuan. com. cn/webnew/
14. 4 网络故障诊断 具使用 n 14. 4. 2 测试TCP/IP协议配置 具ipconfig – IPConfig实用程序可用于显示当前的TCP/IP配置的设置值。 这些信息一般用来检验人 配置的TCP/IP设置是否正确。 IPConfig可以让我们了解自己的计算机是否成功的租用到 一个IP地址，如果租用到则可以了解它目前分配到的是什 么地址。了解计算机当前的IP地址、子网掩码和缺省网关 实际上是进行测试和故障分析的必要项目。 – 命令格式如下： » ipconfig [/? | /all | /renew [adapter] | /release [adapter] | /flushdns | /displaydns | /registerdns | /showclassid adapter | /setclassid adapter [classid] ] http: //www. wenyuan. com. cn/webnew/
14. 4 网络故障诊断 具使用 参数 意义 /? 显示帮助信息 /all 显示所有配置信息 /release 释放指定网络适配器的IP地址 /renew 刷新指定网络适配器的IP地址 /flushdns 清空DNS解析缓存 /registerdns 刷新所有DHCP地址信息并重新注册DNS名称 /displaydns 显示DNS解析缓存 /showclassid 显示指定适配器的DHCP Class. ID /setclassid 设置指定适配器的DHCP Class. ID Adapter 网络适配器名称，即在Windows 2000网络连接中所看到的连接名称， 支持? /*通配符 http: //www. wenyuan. com. cn/webnew/
14. 4 网络故障诊断 具使用 n 14. 4. 3 跟踪 具Tracert – tracert 命令显示用于将数据包从计算机传递到目标位置 的一组 IP 路由器，以及每个跃点所需的时间。如果数据 包不能传递到目标，tracert 命令将显示成功转发数据包 的最后一个路由器。当数据报从我们的计算机经过多个 网关传送到目的地时，Tracert命令可以用来跟踪数据报 使用的路由(路径)。命令格式如下： » tracert [-d] [-h maximum_hops] [-j host-list] [-w timeout] target_name http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 n 14. 5. 1 sniffer简介 – 1. 作原理 » SNIFFER要捕获的东西必须是要物理信号能收到的报文信息。 » 交换HUB记住一个口的MAC是通过接收来自这个口的数据后并记 住其源MAC，就像一个机器的IP与MAC对应的ARP列表，交换 HUB维护一个物理口(就是HUB上的网线插口，这之后提到的所有 HUB口都是指网线插口)与MAC的表，所以可以欺骗交换HUB的。 » Sniffer就是一种能将本地网卡状态设成‘杂收’状态的软件，当网卡 处于这种”杂收”方式时，该网卡具备”广播地址”，它对遇到的每 一个帧都产生一个硬件中断以便提醒操作系统处理流经该物理媒 体上的每一个报文包。 http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 – 2. 危害 » 嗅探器能够捕获口令。这大概是绝大多数非法使用sniffer的理由， sniffer可以记录到明文传送的userid和passwd。 » 能够捕获专用的或者机密的信息。比如金融账号，许多用户很放 心在网上使用自己的信用卡或现金账号，然而sniffer可以很轻松 截获在网上传送的用户姓名、口令、信用卡号码、截止日期、账 号和pin。比如偷窥机密或敏感的信息数据，通过拦截数据包，入 侵者可以很方便记录别人之间敏感的信息传送，或者干脆拦截整 个的email会话过程。 » 可以用来危害网络邻居的安全，或者用来获取更高级别的 访问权限。 » 窥探低级的协议信息。 http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 n 14. 5. 2 sniffer配置 – 下面以Sniffer. Pro 4. 7界面为例，简要介绍一下sniffer的配 置过程 – 1. 捕获数据包前的准备 作 – 在默认情况下，sniffer将捕获其接入碰撞域中流经的所有 数据包，为了快速定位网络问题所在，有必要对所要捕 获的数据包作过滤。Sniffer提供了捕获数据包前的过滤规 则的定义，过滤规则包括 2、3层地址的定义和几百种协 议的定义。定义过滤规则的做法一般如下： http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 » (1)在主界面选择capture－define filter选项，选择Address属性页， 这是最常用的定义。其中包括MAC地址、ip地址和ipx地址的定义。 以定义IP地址过滤为例，如图所示。 http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 » (2) 选择Advance属性页，定义希望捕获的相关协议的数据包。如 图所示。 http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 » (3)选择Buffer属性页，定义捕获数据包的缓冲区。如图所示。 » 最后点击Profiles进行配置信息保存，以供随后使用。 http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 » (4)选择菜单中Capture－Select Filter选择过滤器，选择适当的过 滤器，如图所示。 http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 – 2. 进行数据捕获 » 选择Capture－Start，启动捕获引擎。Sniffer可以实时监控主机、 协议、应用程序、不同包类型等的分布情况，选择Monitor菜单， 如图所示。 http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 » (1)Dashboard：可以实时统计每秒钟接收到的包的数量、出错包 的数量、丢弃包的数量、广播包的数量、多播包的数量以及带宽 的利用率等。 » (2)Host Table：可以查看通信量最大的前10位主机。 » (3)Matrix: 通过连线，可以形象的看到不同主机之间的通信。 » (4)Application Response Time：可以了解到不同主机通信的最小、 最大、平均响应时间方面的信息。 » (5)History Samples：可以看到历史数据抽样出来的统计值。 » (6)Protocol distribution：可以实时观察到数据流中不同协议的分 布情况。 » (7)Global Statics：可以获取全局数据报信息。 http: //www. wenyuan. com. cn/webnew/
14. 5 网络分析软件sniffer使用 – 3. 捕获数据包后的分析 作 » 要停止sniffer捕获包时，点选Capture－Stop或者Capture－Stop and Display，前者停止捕获包，后者停止捕获包并把捕获的数据 包进行解码和显示，如图所示。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 n n n 安全套接字层(SSL)是用于服务器之上的一个加密系统，它 可以确保在客户机与服务器之间传输的数据仍然是安全与隐 密的。要使服务器和客户机使用 SSL 进行安全的通信，服务 器必须有两样东西： 密钥对(Key pair) —— 一个密钥对包括一个公钥和一个私钥。 这两个密钥用来对消息进行加密和解密，以确保在因特网上 传输时的隐密性和机密性。 证书(Certificate) —— 证书用来进行身份验证或者身份确认。 证书可以是自签(self-signed)证书，也可以是颁发(issued)证 书。自签证书是为自己私有的 Web 网络创建的证书。颁发 证书是认证中心(certificate authority，CA)或者证书签署者 提供(颁发)给你的证书。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 n SSL 使用安全握手来初始化客户机与服务器之间的 安全连接。在握手期间，客户机和服务器对它们将 要为此会话使用的密钥及加密方法达成一致。客户 机使用服务器证书验证服务器。握手之后，SSL 被 用来加密和解密 HTTPS(组合 SSL 和 HTTP 的一个 独特协议)请求和服务器响应中的所有信息，包括： – – 客户机正在请求的 URL。 提交的表单的内容。 访问授权信息(比如用户名和密码)。 所有在客户机与服务器之间发送的数据。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 n 下面以Windows 2003 Server平台上，IIS(Internet Information Server) 6. 0 Web服务器中建立支持SSL 协议的站点为例，说明SSL协议的配置和使用。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 – 1. 在服务器上生成密钥 » (1)点击【开始】－【控制面板】－【管理 具】－【Internet信 息服务管理器】，显示如图所示界面，选择需增加SSL支持的站 点(此例中为Web 1)。鼠标右键选择【属性】，显示如图所示的界 面。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 » (2)点击【服务器证书】，开始创建密钥，显示如图所示，点击【 下一步】。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 » (3) 如图所示，选择新建证书，点击【下一步】继续。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 » (4)如图所示，选择【现在准备证书请求，但稍后发送】，选择【 下一步】继续。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 » (5)如图所示，输入证书名称，并选择密钥位数，点击【下一步】 继续。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 » (6)如图所示，输入本服务器所在单位名称及部门名称，此为证书 验证所必须的，应填写真实信息，输入完成后点击【下一步】继 续。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 » (7) 如图所示，输入公用名称，注意此公用名称应为此Web服务 器在互联网上或局域网上的访问地址(域名或主机名)，如访问名 称变更(如域名变更或主机名变更)则证书需要重新申请。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 » (8)如图所示，录入公司所在地理位置后，点击【下一步】继续。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 » (9)如图所示，选择所生成密钥文件的存储路径和文件名，点击【 下一步】继续。 http: //www. wenyuan. com. cn/webnew/
14. 6 Web服务器上设置SSL协议 » (10) 如图所示，选择【下一步】完成证书生成。 http: //www. wenyuan. com. cn/webnew/
http: //www. wenyuan. com. cn/webnew/
Скачать презентацию 第十四章 网络安全管理配 置 http www wenyuan com cn webnew
00e375cf03f66be3c039aa7317fa6261.ppt