第8章 网络安全

因为网络中每一个用户所需要的服务和信息经常是 不一样的，它们对安全保障的要求也不一样，所以我们 可以将网络组织结构的一部分与其余站点隔离（比如， 财务部分要与其它部分分开）。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
1．试验网络
在大多数情况下，应该在内部防火墙中设置这样的
网络，并给每个试验网络配置一台路由器并连接到参数
网络。而主要的包过滤工作在连接参数网络与内部主网
的路由器上完成。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
2．低保密网络 试验网络比较危险，但它对整个内部网的安全构成
的威胁还不是最大的。而许多内部网组织结构里面的资 源本身就固有一些非安全因素。比如，校园网中那些包 含学生公寓网点的部分就被认为是不安全的，单位企业 网中的那些演示网部分、客户培训网部分和开放实验室 网部分都被认为是安全性比较差的。但这些网又比纯粹 的外部网与内部网其它部分的交互要多得多。这些网络 称为低保密网。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
内部网需要防范的三种攻击有： 间谍：试图偷走敏感信息的黑客、入侵者和闯入者。 盗窃：盗窃对象包括数据、Web表格、磁盘空间和CPU 资源等。 破坏系统：通过路由器或主机／服务器蓄意破坏文件系 统或阻止授权用户访问内部网 （外部网）和服务器。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
8.1.6 内部防火墙
但有时为了某些原因，我们还需要对内部网的部分 站点再加以保护以免受其它站点的侵袭。因此，有时我 们需要在同一结构的两个部分之间，或者在同一内部网 的两个不同组织结构之间再建立防火墙（也被称为内部 防火墙）。

软件嗅探器便宜易于使用，缺点是往往无 法抓取网络上所有的传输数据(比如碎片)，也 就可能无法全面了解网络的故障和运行情况；
������ 硬件嗅探器的通常称为协议分析仪，它 的优点恰恰是软件嗅探器所欠缺的，但是价格 昂贵。
������ 目前主要使用的嗅探器是软件的。
2．Sniffer软件的主要工作机制及常用软件 需要一个直接与网卡驱动程序接口的驱动模
块，作为网卡驱动与上层应用的“中间人”，它 将网卡设置成混杂模式，并从上层Sniffer接收 下达的各种抓包请求，对来自网卡驱动程序的数 据帧进行过滤，最终将符合Sniffer要求的数据 返回给Sniffer。
链路层的网卡驱动程序上传的数据帧就有了
两个去处：一个是正常的协议栈，另一个就是分 组捕获即过滤模块，对于非本地的数据包，前者 会丢弃（通过比较目的IP地址），而后者则会根 据上层应用的要求来决定上传还是丢弃。
2．交换机 (1) 交换机的原理：
交换机是一种网络开关（Switch），也称交 换器，由于和电话交换机对出入线的选择有相似 的原理，因此被人称为交换机。
交换机在局域网的环境下，工作在比集线器
更高一层链路层上。交换机被定义成一个能接收 发来的信息帧，加以暂时存储，然后发到另一端 的网络部件，其本质上就是具有流量控制能力的 多端口网桥。
点到点网络传输技术：点到点网络由一对对 机器之间的多条连接构成，分组的传输是通 过这些连接直接发往目标机器，因此不存在 发送分组被多方接收的问题。
3．网卡的四种工作模式
（1）广播模式：该模式下的网卡能够接收网络中 的广播信息。
（2）组播模式：该模式下的网卡能够接受组播数 据。
（3）直接模式：在这种模式下，只有匹配目的 MAC地址的网卡才能接收该数据帧。

网络安全第八章1、不属于IDS体系结构的组件是（）A、事件产生器B、自我防护单元(正确答案)C、事件分析器D、事件数据库2、下面（）不属于误用检测技术的特点A、发现一些未知的入侵行为(正确答案)B、误报率低，准确率高C、对系统依赖性较强D、漏报率高3、入侵检测系统按数据来源可以分为基于（）和基于（）两种A、主机网络(正确答案)B、主机服务器C、网络服务器D、服务器客户机4、在 IDS 中，将收集到的信息与数据库中已有的记录进行比较，从而发现违背安全策略的行为，这类操作方法称为（）A、模式匹配(正确答案)B、统计分析C、完整性分析D、不确定5、以下哪一种方式是入侵检测系统所通常采用的是（）。

A、基于网络的入侵检测(正确答案)B、基于IP的入侵检测C、基于服务的入侵检测D、基于域名的入侵检测6、以下哪一项属于基于主机的入侵检测方式的优势：（）A、监视整个网段的通信B、不要求在大量的主机上安装和管理软件C、适应交换和加密(正确答案)D、具有更好的实时性7、入侵检测利用的信息包括（）A、系统和网络日志文件B、目录和文件中的不期望的改变和程序执行中的不期望的行为C、物理形式的入侵信息D、以上所有信息(正确答案)8、入侵检测系统在进行信号分析时，一般通过三种常用的技术手段，以下哪一种不属于通常的三种技术手段（）A、模式匹配B、统计分析C、完整性分析D、密文分析(正确答案)9、以下哪一项不属于入侵检测系统的功能：（）A、监视网络上的通信数据流B、捕捉可疑的网络活动C、提供安全审计报告D、过滤非法的数据包(正确答案)10、关于入侵检测技术，下列哪一项描述是错误的（）A、入侵检测系统不对系统或网络造成任何影响(正确答案)B、审计数据或系统日志信息是入侵检测系统的一项主要信息来源C、入侵检测信息的统计分析有利于检测到未知的入侵和更为复杂的入侵D、基于网络的入侵检测系统无法检查加密的数据流11、按照检测数据的来源可将入侵检测系统（IDS）分为（）？A、基于主机的IDS和基于网络的IDS(正确答案)B、基于主机的IDS和基于域控制器的IDSC、基于服务器的IDS和基于域控制器的IDSD、基于浏览器的IDS和基于网络的IDS12、入侵检测系统的第一步是：（）A、信号分析B、信息收集(正确答案)C、数据包过滤D、数据包检查13、关于入侵检测技术，下列哪一项描述是错误的是（）？A、入侵检测系统不对系统或网络造成任何影响(正确答案)B、审计数据或系统日志信息是入侵检测系统的一项主要信息来源C、入侵检测信息的统计分析有利于检测到未知的入侵和更为复杂的入侵D、基于网络的入侵检测系统无法检查加密的数据流14、入侵检测系统(IDS，Intrusion Detection System)是对（）的合理补充，帮助系统对付网络攻击。

2 之 2
误用检测模型
目录>>IDS的分类>>按照分析方法分
2 之 1
网络数据
日志数据
误用检测
入侵行为
攻击模式描述库
规则匹配
动态产生新描述动态更新描述
特 点
目录>>IDS的分类>>按照分析方法分
2 之 2
误报率低，漏报率高。攻击特征的细微变化，会使得误用检测无能为力。
按照数据来源分
目录
10 之 8
建立预警机制采取灾备措施提高保障意识
从预警到保障
IDS发展过程
— 概念的诞生
目录
10 之 9
1980年4月，James P. Anderson为美国空军做了一份题为《Computer Security Threat Monitoring and Surveillance》（计算机安全威胁监控与监视）：
异常检测模型
目录>>IDS的分类>>按照分析方法分
2 之 1
网络数据
日志数据
异常检测
入侵行为
正常行为描述库
规则不匹配
动态产生新描述动态更新描述
特 点
目录>>IDS的分类>>按照分析方法分
异常检测系统的效率取决于用户轮廓的完备性和监控的频率；因为不需要对每种入侵行为进行定义，因此能有效检测未知的入侵；系统能针对用户行为的改变进行自我调整和优化，但随着检测模型的逐步精确，异常检测会消耗更多的系统资源；漏报率低，误报率高。
统计分析
目录>>IDS的基本结构>>信息分析
统计分析方法首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。 测量属性的平均值和偏差将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生。