第10章网络安全技术
- 格式：ppt
- 大小：595.00 KB
- 文档页数：62
下载文档原格式
合集下载
网络信息安全技术(第二版)第10章包过滤技术原理及应用
第10章 包过滤技术原理及应用
10.3.2 “往内”与“往外”
在我们制订包过滤规则时，必须准确理解“往内”与“往外” 的包和“往内”与“往外”的服务这几个词的语义。一个往外的 服务（如上面提到的Telnet）同时包含往外的包（键入信息）和 往内的包（返回的屏幕显示信息）。虽然大多数人习惯于用“服 务”来定义规定，但在制订包过滤规则时，我们一定要具体到每 一种类型的包。我们在使用包过滤时也一定要弄清“往内”与 “往外”的包和“往内”与“往外”的服务这几个词之间的区别。
第10章 包过滤技术原理及应用
包过滤不允许的操作 （１） 允许某个用户从外部网用Telnet登录而不允许其他用 户进行这种操作； （２） 允许用户传送一些文件而不允许用户传送其他文件。
第10章 包过滤技术原理及应用 图 10.1 源地址伪装
第10章 包过滤技术原理及应用
10.2.3 1． 包过滤方式的优点 包过滤方式有许多优点，而其主要优点之一是仅用一个放
第10章 包过滤技术原理及应用
路由器针对每一个接收到的包做出路由决定如何将包送达 目的地。在一般情况下，包本身不包含任何有助确定路由的信 息。包只告诉路由器要将它发往何地，至于如何将它送达，包 本身则不提供任何帮助。路由器之间通过诸如RIP和OSPF的路 由协议相互通信，并在内存中建立路由表。当路由器对包进行 路由时， 它将包的目的地址与路由表中的入口地址相比较，并 依据该表来发送这个包。在一般情况下，一个目的地的路由不 可能是固定的。同时，路由器还经常使用“默认路由”， 即把
第10章 包过滤技术原理及应用
10.3.3 “默认允许”与“默认拒绝” 网络的安全策略中有两种方法：默认拒绝（没有明确地被
允许就应被拒绝）与默认允许（没有明确地被拒绝就应被允 许）。从安全角度来看， 用默认拒绝应该更合适。 就如我们前 面讨论的，我们首先应从拒绝任何传输来开始设置包过滤规则， 然后再对某些应被允许传输的协议设置允许标志。这样做我们 会感到系统的安全性更好一些。
第章网络设备安全课件
关闭ROMMON监听模式
默认情况下利用设备加电重启期间的BREAK方式可以进入ROMMON监听模式进行口令恢复。任何人只要物理接触到设备就可以使用这个方法达到重设口令非法进去侵入的目的。通过no service password-recovery命令来关闭ROMMON监听模式，避免由此带来的安全隐患。 3640(config)#no service password-recovery 禁用ROMMON。 3640(config)#service password-recovery 启用ROMMON，Cisco未公开的两条命令，必须手工完整键入后才可以执行。 ...... 3640(config)#no service password-recovery
第10章 网络设备安全
本章重点 物理安全 口令管理 SNMP及其安全配置 HTTP管理方式安全管理 终端访问控制方式 设备安全策略
10.1 物理安全
工作环境安全 网络设备安装环境须从设备的安全与稳定运行方面考虑：防盗、防火、防静电、适当的通风和可控制的环境温度；确保设备有一个良好的电磁兼容工作环境。只有满足这些基本要求，设备才能正常、稳定、可靠、高效运行。
口令加密 禁止明文显示
enable secret用MD5加密方式来加密口令， enable secret 优先级高于enable password， enable password 以明文显示口令； 两者所设口令不能相同并且当两者均已设置时只有enable secret口令起作用，enable password口令自动失效。 service password-encryption命令采用了可逆的弱加密方式，加密后的密码可以通过一些工具进行逆向破解，enable secret采用md5方式加密，安全性较强，在建立用户与口令时建议用username / secret取代username / password（IOS12.2(8)T后可以用secret对username的密码做MD5加密）。
默认情况下利用设备加电重启期间的BREAK方式可以进入ROMMON监听模式进行口令恢复。任何人只要物理接触到设备就可以使用这个方法达到重设口令非法进去侵入的目的。通过no service password-recovery命令来关闭ROMMON监听模式，避免由此带来的安全隐患。 3640(config)#no service password-recovery 禁用ROMMON。 3640(config)#service password-recovery 启用ROMMON，Cisco未公开的两条命令，必须手工完整键入后才可以执行。 ...... 3640(config)#no service password-recovery
第10章 网络设备安全
本章重点 物理安全 口令管理 SNMP及其安全配置 HTTP管理方式安全管理 终端访问控制方式 设备安全策略
10.1 物理安全
工作环境安全 网络设备安装环境须从设备的安全与稳定运行方面考虑：防盗、防火、防静电、适当的通风和可控制的环境温度；确保设备有一个良好的电磁兼容工作环境。只有满足这些基本要求，设备才能正常、稳定、可靠、高效运行。
口令加密 禁止明文显示
enable secret用MD5加密方式来加密口令， enable secret 优先级高于enable password， enable password 以明文显示口令； 两者所设口令不能相同并且当两者均已设置时只有enable secret口令起作用，enable password口令自动失效。 service password-encryption命令采用了可逆的弱加密方式，加密后的密码可以通过一些工具进行逆向破解，enable secret采用md5方式加密，安全性较强，在建立用户与口令时建议用username / secret取代username / password（IOS12.2(8)T后可以用secret对username的密码做MD5加密）。
网络安全技术
网络安全技术大纲第1章网络脆弱性的原因1.开放性的网络环境2.协议本身的脆弱性3.操作系统的漏洞4.人为因素网络安全的定义网络安全是指网络系统的硬件、软件和系统中的数据受到保护，不因偶然的或者恶意的攻击而遭到破坏、更改、泄露，系统联系可靠正常地运行，网络服务不中断。
网络安全的基本要素1.保密性2.完整性3.可用性4.可控性5.不可否认性课后习题选择题1.计算机网络的安全是指网（络中信息的安全）。
2.嘻嘻风险主要是指（信息存储安全、信息传输安全、信息访问安全）。
3.以下（数据存储的唯一性）不是保证网络安全的要素。
4.信息安全就是要防止非法攻击和病毒的传播，保障电子信息的有效性，从具体的意义上来理解，需要保证以下（保密性、完整性、可用性、可控性、不可否认性）几个方面5.（信息在理解上出现的偏差）不是信息失真的原因。
6.（实体安全）是用来保证硬件和软件本身的安全的。
7.黑客搭线窃听属于信息（传输安全）风险。
8.（入网访问控制）策略是防止非法访问的第一档防线。
9.对企业网络最大的威胁是（内部员工的恶意攻击）。
10.在网络安全中，中断指攻击者破坏网络系统的资源，使之变成无效的或无用的，这是对（可用性的攻击）。
11.从系统整体看，“漏洞”包括（技术因素、认得因素、规划，策略和执行该过程）等几方面。
问答题网络本身存在哪些安全缺陷？1.伤害身体2.心理方面3.易惹是非4.影响学业5.安全问题6.网络内容的伤害7.社会角色及观念的改变黑客入侵攻击的一般过程1.确定攻击目标2.收集被攻击对象的有关信息3.利用适当的工具进行扫描4.建立模拟环境，进行模拟攻击5.实施攻击6.清除痕迹7.创建后门扫描器的作用1.检测主机是否在线2.扫描目标系统开放的端口3.获取目标操作系统的敏感信息4.扫描其他系统的敏感信息常用扫描器1.Nmap2.ISS3.ESM4.流光（fluxay）5.X-scan6.SSS7.LC网络监听的一个前提条件是将网卡设置为混杂模式木马的分类1.远程访问型木马2.键盘记录木马3.密码发送型木马4.破坏型木马5.代理木马6.FTP木马7.下载型木马木马的工作过程1.配置木马2.传播木马3.启动木马4.建立连接5.远程控制拒绝服务攻击的定义拒绝服务攻击从广义上讲可以指任何导致网络设备（服务器、防火请、交换机、路由器等）不能正常提供服务的攻击。
局域网组建与维护实例教程 第10章
4. IIS服务泄漏文件内容
这个问题已经在IIS 4.0 + SP6中得到解决，然而微软却让它在远 东地区版本的IIS 5.0中再度出现，但该漏洞不会影响包括英文版 在内的其他语言版本的IIS 4.0/5.0。解决这个问题的方法仍旧是到 微软的官方网站上下载补丁程序，然后修补系统的这个漏洞。
18
10.5 Windows Server 2003操作系统的漏洞及防护 如何让Windows Server 2003更加安全，成为广大 用户十分关注的问题。下面就来简单介绍一些方 法来赌塞系统漏洞、增强系统安全性能。 1. 清除默认共享隐患
20
第10章 网络安全入门
Internet是将分布于不同地点的不同局域网络进行 互联而形成的巨大的互联网络。由于Internet是一 个面向大众的开放系统，对于信息的保密和系统 的安全考虑得并不完备，而且随着计算机网络技 术的飞速发展，安全问题正日益突出，要求提高 互联网安全性的呼声也日益高涨。本章我们就来 给大家简单介绍一下网络安全方面的有关知识， 使大家对网络安全、网络防火墙、网络攻击以及 预防网络攻击的相关措施有一个较为全面的了解， 从而降低局域网遭受外来攻击的概率，保证局域 网的安全使用。
12
10.3.4 网络防火墙的安装和使用
(7) 单击【完成】按钮，弹 出如图10.12所示的提示信 息，单击【确认】按钮， 重新启动计算机。 (8) 重新启动计算机后，在 桌面的任务栏上出现“天 网防火墙”图标，如图 10.13所示。
天网装和使用
介绍完防火墙的安装过程以后， 我们接下来给大家介绍如何使用 应用程序规则 防火墙，大致过程如下。 (1) 单击【开始】|【程序】|【天 自定义IP 规则 网防火墙个人版】|【天网防火墙 个人版】，启动天网防火墙个人 系统设置 版，首先程序会弹出如图10.14 所示的天网防火墙主画面。 (2) 对防火墙进行初步的配置， 首先我们单击【系统配置】按钮， 弹出如图10.15所示的系统设置 画面。在这里，我们可以设置开 机时自动启动防火墙；可以重置 防火墙自定义规则；可以设置应 用程序权限；可以进行局域网地 址设定；还可以设定报警的声音。 (3) 对应用程序访问网络的权限 进行设定，单击【应用程序规则】 按钮，弹出如图10.16所示的对 话框。
网络安全实用技术答案
选择题部分：第一章：(1)计算机网络安全是指利用计算机网络管理控制和技术措施，保证在网络环境中数据的、完整性、网络服务可用性和可审查性受到保护。
A．保密性(2)网络安全的实质和关键是保护网络的安全。
C．信息(3)实际上，网络的安全问题包括两方面的内容：一是，二是网络的信息安全。
D．网络的系统安全(4)在短时间内向网络中的某台服务器发送大量无效连接请求，导致合法用户暂时无法访问服务器的攻击行为是破坏了。
C．可用性(5)如果访问者有意避开系统的访问控制机制，则该访问者对网络设备及资源进行非正常使用属于。
B．非授权访问(6)计算机网络安全是一门涉及计算机科学、网络技术、信息安全技术、通信技术、应用数学、密码技术和信息论等多学科的综合性学科，是的重要组成部分。
A．信息安全学科(7)实体安全包括。
B．环境安全、设备安全和媒体安全(8)在网络安全中，常用的关键技术可以归纳为三大类。
D．预防保护、检测跟踪、响应恢复第二章：(1)加密安全机制提供了数据的______.D．保密性和完整性(2)SSI．协议是______之间实现加密传输协议。
A．传输层和应用层(3)实际应用时一般利用_____加密技术进行密钥的协商和交换．利用_____加密技术进行用户数据的加密。
B．非对称对称(4)能在物理层、链路层、网络层、传输层和应用层提供的网络安全服务是。
B．数据保密性服务(5)传输层由于可以提供真正的端到端链接，因此最适宜提供安全服务。
D．数据保密性及以上各项(6)VPN的实现技术包括。
D．身份认证及以上技术第三章：(1)网络安全保障包括信息安全策略和。
D．上述三点(2)网络安全保障体系框架的外围是。
D．上述三点(3)名字服务、事务服务、时间服务和安全性服务是提供的服务。
C．CORBA网络安全管理技术(4)一种全局的、全员参与的、事先预防、事中控制、事后纠正、动态的运作管理模式是基于风险管理理念和。
A．持续改进模式的信息安全运作模式(5)我国网络安全立法体系框架分为。
网络安全实用技术答案
选择题部分：第一章：(1)计算机网络安全是指利用计算机网络管理控制和技术措施，保证在网络环境中数据的、完整性、网络服务可用性和可审查性受到保护。
A．保密性(2)网络安全的实质和关键是保护网络的安全。
C．信息(3)实际上，网络的安全问题包括两方面的内容：一是，二是网络的信息安全。
D．网络的系统安全(4)在短时间内向网络中的某台服务器发送大量无效连接请求，导致合法用户暂时无法访问服务器的攻击行为是破坏了。
C．可用性(5)如果访问者有意避开系统的访问控制机制，则该访问者对网络设备及资源进行非正常使用属于。
B．非授权访问(6)计算机网络安全是一门涉及计算机科学、网络技术、信息安全技术、通信技术、应用数学、密码技术和信息论等多学科的综合性学科，是的重要组成部分。
A．信息安全学科(7)实体安全包括。
B．环境安全、设备安全和媒体安全(8)在网络安全中，常用的关键技术可以归纳为三大类。
D．预防保护、检测跟踪、响应恢复第二章：(1)加密安全机制提供了数据的______.D．保密性和完整性(2)SSI．协议是______之间实现加密传输协议。
A．传输层和应用层(3)实际应用时一般利用_____加密技术进行密钥的协商和交换．利用_____加密技术进行用户数据的加密。
B．非对称对称(4)能在物理层、链路层、网络层、传输层和应用层提供的网络安全服务是。
B．数据保密性服务(5)传输层由于可以提供真正的端到端链接，因此最适宜提供安全服务。
D．数据保密性及以上各项(6)VPN的实现技术包括。
D．身份认证及以上技术第三章：(1)网络安全保障包括信息安全策略和。
D．上述三点(2)网络安全保障体系框架的外围是。
D．上述三点(3)名字服务、事务服务、时间服务和安全性服务是提供的服务。
C．CORBA网络安全管理技术(4)一种全局的、全员参与的、事先预防、事中控制、事后纠正、动态的运作管理模式是基于风险管理理念和。
A．持续改进模式的信息安全运作模式(5)我国网络安全立法体系框架分为。
第10章-网络安全-沈鑫剡-清华大学出版社
虚拟专用网络（VPN）是一种通过 Internet实现企业局域网之间互连和远程终 端与内部网络之间互连，但又使其具有专用 网络所具有的安全性的技术。
计算机网络安全
虚拟专用网络
二、 VPN定义和需要解决的问题
LAN 2 R2 隧道 LAN 1 R1 IP 网络 隧道 R3 隧道 LAN 3
用IP隧道互连子网的VPN结构
计算机网络安全
虚拟专用网络
三、 VPN分类
隧道 互联网 终端
第二层隧道和IPSec
隧道用于实现PPP帧传输过程。 通过安全关联，一是可以完成隧道两端之间的双向身份鉴别过程， 二是可以实现经过安全关联传输的以隧道两端的全球IP地址为源和目的IP 地址的IP分组的保密性和完整性。
计算机网络安全
R
内部网络
虚拟专用网络
三、 VPN分类
Web 服务器 HTTP HTTPS 终端 SSL VPN 网关 SMTP+POP3 FTP FTP 服务器 邮件服务器
SSL VPN
远程终端通过HTTPS访问SSL VPN网关。以此实现远程终端与SSL VPN网关之间 的双向身份鉴别，保证远程终端与SSL VPN网关之间传输的数据的保密性和完整性。 SSL VPN网关作为中继设备，可以将远程终端访问内部网络资源的请求消息转 发给内部网络中的服务器，也将内部网络服务器发送的响应消息，转发给远程终端。
网络安全
第十章
© 2006工程兵工程学院 计算机教研室
虚拟专用网络
第10章 虚拟专用网络
本章主要内容 VPN概述； 第三层隧道和IPSec； 第二层隧道和IPSec； SSL VPN。
计算机网络安全
虚拟专用网络
10.1 VPN概述
计算机网络安全
虚拟专用网络
二、 VPN定义和需要解决的问题
LAN 2 R2 隧道 LAN 1 R1 IP 网络 隧道 R3 隧道 LAN 3
用IP隧道互连子网的VPN结构
计算机网络安全
虚拟专用网络
三、 VPN分类
隧道 互联网 终端
第二层隧道和IPSec
隧道用于实现PPP帧传输过程。 通过安全关联，一是可以完成隧道两端之间的双向身份鉴别过程， 二是可以实现经过安全关联传输的以隧道两端的全球IP地址为源和目的IP 地址的IP分组的保密性和完整性。
计算机网络安全
R
内部网络
虚拟专用网络
三、 VPN分类
Web 服务器 HTTP HTTPS 终端 SSL VPN 网关 SMTP+POP3 FTP FTP 服务器 邮件服务器
SSL VPN
远程终端通过HTTPS访问SSL VPN网关。以此实现远程终端与SSL VPN网关之间 的双向身份鉴别，保证远程终端与SSL VPN网关之间传输的数据的保密性和完整性。 SSL VPN网关作为中继设备，可以将远程终端访问内部网络资源的请求消息转 发给内部网络中的服务器，也将内部网络服务器发送的响应消息，转发给远程终端。
网络安全
第十章
© 2006工程兵工程学院 计算机教研室
虚拟专用网络
第10章 虚拟专用网络
本章主要内容 VPN概述； 第三层隧道和IPSec； 第二层隧道和IPSec； SSL VPN。
计算机网络安全
虚拟专用网络
10.1 VPN概述
计算机网络基础10章-园区网安全
授人以鱼不如授人以渔
ACL工作原理及规则 ACL工作原理及规则
ACL放置在什么位置 ACL放置在什么位置: 放置在什么位置:
宣传教育
授人以鱼不如授人以渔
课程议题
朱明工作室
zhubob@
交换机端口安全
授人以鱼不如授人以渔
交换机端口安全概述
朱明工作室
zhubob@
交换机的端口安全机制是工作在交换机二层端口上的 一个安全特性
只允许特定MAC地址的设备接入到网络中， 只允许特定MAC地址的设备接入到网络中，从而防止用户将非法或未授权的设备接入网 地址的设备接入到网络中 络。 限制端口接入的设备数量，防止用户将过多的设备接入到网络中。 限制端口接入的设备数量，防止用户将过多的设备接入到网络中。
设置端口从“err-disabled” 设置端口从“err-disabled”状态自动恢复所等待的时间
Switch(conifg)#
errdisable recovery interval time
授人以鱼不如授人以渔
朱明工作室
zhubob@
Switch(conifg-if)#
switchport port-security aging{static | time time }
配置安全地址的老化时间
Switch(conifg-if)#
关闭一个接口的安全地址老化功能（ time 关闭一个接口的安全地址老化功能（老化时间为0 no switchport port-security aging老化时间为0）
Switch(conifg-if)# 使老化时间仅应用于动态学习到的安全地址
授人以鱼不如授人以渔
端口安全的配置
Switch(conifg-if)#
第十章 网络安全
1. 信息验证 信息的验证是指利用前述秘密密钥、公开密钥和信
息摘要等加密算法对信息进行加密、解密，实现对信息 完整性的验证。
目前最常用的信息完整性验证的算法是信息摘要算 法，如MD5等。
2. 用户鉴别
常用的用户鉴别方式有如下几种:
1) 基于共享秘密密钥的鉴别 2) 基于公开密钥的鉴别 3) 基于信息摘要的鉴别 4) 基于密钥分配中心的鉴别
4.访问控制
访问控制是指网络系统对访问它的用户所实施的 控制。网络系统对于其中的数据、文件、程序、目录、 存储部件、软件系统等可访问对象，赋予用户不同等 级的权限，只有拥有权限的用户，才能对网络中的可 访问对象进行相应类型的操作。
访问控制包括三个组成元素： 可访问对象、访问用户和访问类型
5.防火墙技术
它们是判明和确认通信双方真实身份的两个重要环节，合称 为身份验证。
常用的身份验证方法有: 用户名、口令、一次性口令、数字签名、数字证书、 PAP认证(Password Authentication Protocol)、CHAP 认证(Challenge-Handshake Authentication Protocol) 以及集中式安全服务器等。
10.3 数据加密技术
数据安全的基础是数据加密，其核心是设计高强 度的加密算法。它由加密和解密两部分组成。密钥是 加密算法的核心。只要将密钥保护好，即使攻击者掌
握了加密算法，也无法得到由此密钥产生的密文。
10.3.1 10.3.2 10.3.3 10.3.4
传统加密算法 秘密密钥加密算法 公开密钥加密算法 信息摘要算法
代理服务器的主要功能：
中转数据
记录日志
对用户进行分级管理，设置不同用户的访问权限，对外界或内部 的Internet地址进行过滤，设置不同的访问权限。
息摘要等加密算法对信息进行加密、解密，实现对信息 完整性的验证。
目前最常用的信息完整性验证的算法是信息摘要算 法，如MD5等。
2. 用户鉴别
常用的用户鉴别方式有如下几种:
1) 基于共享秘密密钥的鉴别 2) 基于公开密钥的鉴别 3) 基于信息摘要的鉴别 4) 基于密钥分配中心的鉴别
4.访问控制
访问控制是指网络系统对访问它的用户所实施的 控制。网络系统对于其中的数据、文件、程序、目录、 存储部件、软件系统等可访问对象，赋予用户不同等 级的权限，只有拥有权限的用户，才能对网络中的可 访问对象进行相应类型的操作。
访问控制包括三个组成元素： 可访问对象、访问用户和访问类型
5.防火墙技术
它们是判明和确认通信双方真实身份的两个重要环节，合称 为身份验证。
常用的身份验证方法有: 用户名、口令、一次性口令、数字签名、数字证书、 PAP认证(Password Authentication Protocol)、CHAP 认证(Challenge-Handshake Authentication Protocol) 以及集中式安全服务器等。
10.3 数据加密技术
数据安全的基础是数据加密，其核心是设计高强 度的加密算法。它由加密和解密两部分组成。密钥是 加密算法的核心。只要将密钥保护好，即使攻击者掌
握了加密算法，也无法得到由此密钥产生的密文。
10.3.1 10.3.2 10.3.3 10.3.4
传统加密算法 秘密密钥加密算法 公开密钥加密算法 信息摘要算法
代理服务器的主要功能：
中转数据
记录日志
对用户进行分级管理，设置不同用户的访问权限，对外界或内部 的Internet地址进行过滤，设置不同的访问权限。
第十章网络信息安全
第十章网络信息安全练习题一、单项选择题1．下列选项中，不是网络信息安全的技术特征。
A．可靠性B．可用性C．保密性D．可行性2．下列选项中，不是网络信息安全所面临的自然威胁。
A.自然灾难B. 恶劣的场地环境C. 电磁辐射和电磁干扰D. 偶然事故3．下列选项中，不是计算机犯罪的特点。
A. 犯罪智能化B. 犯罪分子低龄化C. 犯罪手段公开D. 跨国性4．下列选项中，不是计算机病毒的特点。
A. 可执行性B. 破坏性C. 遗传性D. 潜伏性5．计算机病毒通常分为引导区型、、混合型和宏病毒等四类。
A．恶性B．扩展名C．文件型 D.潜伏型6．下列选项中，不是黑客行为特征的表现形式。
A．恶作剧型B．隐蔽攻击型C．定时炸弹型 D.解决矛盾型7．密码学中，发送方要发送的消息称做。
A．原文B．密文C．明文D．数据8．非法接收者试图从密文分析出明文的过程称为。
A．破译B．解密C．读取D．翻译9．以下不是单钥密码算法的是________。
A．DES B．RSA C．IDEA D．LOKI10．下列选项中，不是防火墙的类型。
A．网络层防火墙B．应用层防火墙C．链路层防火墙D．物理层防火墙11. 信息安全所面临的威胁来自于很多方面。
这些威胁大致可分为自然威胁和人为威胁。
下列不属于人为威胁的是____。
A．人为攻击B．安全缺陷C．结构隐患D．电磁辐射和电磁干扰12. 我国的第一个计算机安全法规，也是我国计算机安全工作的总纲是94年颁布的___。
A．《计算机软件保护条例》B。
《计算机软件著作权登记办法》C．《中华人民共和国计算机信息系统安全保护条例》D。
《互联网著作权行政保护办法》13. 防火墙不具有基本功能是______。
A．过滤进出网络的数据包B．管理进出网络的访问行为，封堵某些禁止的访问行为C．防止感染了病毒的软件或文件的传输D．记录通过防火墙的信息内容和活动；对网络攻击进行检测和告警二、填空题1．可靠性是指网络信息系统能够在规定条件下和规定时间内完成规定功能的特性。
网络安全实用技术答案
选择题部分：第一章：(1)计算机网络安全是指利用计算机网络管理控制和技术措施，保证在网络环境中数据的、完整性、网络服务可用性和可审查性受到保护。
A．保密性(2)网络安全的实质和关键是保护网络的安全。
C．信息(3)实际上，网络的安全问题包括两方面的内容：一是，二是网络的信息安全。
D．网络的系统安全(4)在短时间内向网络中的某台服务器发送大量无效连接请求，导致合法用户暂时无法访问服务器的攻击行为是破坏了。
C．可用性(5)如果访问者有意避开系统的访问控制机制，则该访问者对网络设备及资源进行非正常使用属于。
B．非授权访问(6)计算机网络安全是一门涉及计算机科学、网络技术、信息安全技术、通信技术、应用数学、密码技术和信息论等多学科的综合性学科，是的重要组成部分。
A．信息安全学科(7)实体安全包括。
B．环境安全、设备安全和媒体安全(8)在网络安全中，常用的关键技术可以归纳为三大类。
D．预防保护、检测跟踪、响应恢复第二章：(1)加密安全机制提供了数据的______.D．保密性和完整性(2)SSI．协议是______之间实现加密传输协议。
A．传输层和应用层(3)实际应用时一般利用_____加密技术进行密钥的协商和交换．利用_____加密技术进行用户数据的加密。
B．非对称对称(4)能在物理层、链路层、网络层、传输层和应用层提供的网络安全服务是。
B．数据保密性服务(5)传输层由于可以提供真正的端到端链接，因此最适宜提供安全服务。
D．数据保密性及以上各项(6)VPN的实现技术包括。
D．身份认证及以上技术第三章：(1)网络安全保障包括信息安全策略和。
D．上述三点(2)网络安全保障体系框架的外围是。
D．上述三点(3)名字服务、事务服务、时间服务和安全性服务是提供的服务。
C．CORBA网络安全管理技术(4)一种全局的、全员参与的、事先预防、事中控制、事后纠正、动态的运作管理模式是基于风险管理理念和。
A．持续改进模式的信息安全运作模式(5)我国网络安全立法体系框架分为。
网络信息安全第10章 IPSec协议
整个IP包和验证密钥作为Hash算法的输入，散列值和AH头部的“验证数据”比较，一致说明该数据包未被篡改
*
*
隧道模式的AH实现
内部头 通信终点
内部头 通信终点
外部头 IPSec终点
外部头 IPSec终点
*
*
AH隧道模式的优缺点
• 子网所有用户都可透明享受安全网关提供的安全保护； • 子网内部可使用私有IP地址，无须公有IP地址； • 子网内部的拓扑结构被保护。 • 增大网关的处理负荷，容易形成通信瓶颈； • 对内部诸多安全问题（如篡改等）不可控。
加密IP载荷， 认证IP载荷
加密内部IP包， 认证内部IP包
*
*
AH和ESP的嵌套使用
发送方封装时：先用ESP对原始报文加密 再用AH进行完整性计算 接收方解封时：先对数据进行完整性验证 再对通过验证的数据解密 （因为解密非常耗时） IP头+AH头+ESP头+被保护数据包
外部 IP头部
*
*
隧道模式的ESP实现
*
*
ESP传输模式和隧道模式报文的格式
*
*
传输模式和隧道模式中AH和ESP功能的比较
认证服务方式
传输模式SA
隧道模式SA
AH
认证IP载荷和 IP头中的一部分
认证整个内部IP包和 部分外部IP包头部分
不带认证的 ESP
加密IP载荷
加密内部IP包
带认证的 ESP
*
*
（2） AH隧道模式
AH头部插入到新IP头部和原始IP头部之间。 AH验证整个IP包，即隧道模式AH也不能穿越NAT。 发送方 接收方
数据完整性 验证过程
整个IP包和验证密钥作为Hash算法的输入，散列值填充到AH头部的“验证数据”中
*
*
隧道模式的AH实现
内部头 通信终点
内部头 通信终点
外部头 IPSec终点
外部头 IPSec终点
*
*
AH隧道模式的优缺点
• 子网所有用户都可透明享受安全网关提供的安全保护； • 子网内部可使用私有IP地址，无须公有IP地址； • 子网内部的拓扑结构被保护。 • 增大网关的处理负荷，容易形成通信瓶颈； • 对内部诸多安全问题（如篡改等）不可控。
加密IP载荷， 认证IP载荷
加密内部IP包， 认证内部IP包
*
*
AH和ESP的嵌套使用
发送方封装时：先用ESP对原始报文加密 再用AH进行完整性计算 接收方解封时：先对数据进行完整性验证 再对通过验证的数据解密 （因为解密非常耗时） IP头+AH头+ESP头+被保护数据包
外部 IP头部
*
*
隧道模式的ESP实现
*
*
ESP传输模式和隧道模式报文的格式
*
*
传输模式和隧道模式中AH和ESP功能的比较
认证服务方式
传输模式SA
隧道模式SA
AH
认证IP载荷和 IP头中的一部分
认证整个内部IP包和 部分外部IP包头部分
不带认证的 ESP
加密IP载荷
加密内部IP包
带认证的 ESP
*
*
（2） AH隧道模式
AH头部插入到新IP头部和原始IP头部之间。 AH验证整个IP包，即隧道模式AH也不能穿越NAT。 发送方 接收方
数据完整性 验证过程
整个IP包和验证密钥作为Hash算法的输入，散列值填充到AH头部的“验证数据”中
第十章+互联网安全-电子邮件的安全性
建立秘密密钥
通过带外方式传输，但参与者很多时就没有办法使用了。 Alice设法从某个KDC获得BOB的门票，并且在发送给BOB第一个消息 时将门票发送给BOB。
5
网络与信息安全
私有性
面临的威胁：
搭线者能够获取在网络上传输的邮件消息。 中继结点可能安装了保存邮件消息的软件，并将邮件 泄漏给第三者。这种的情况的发生一是由于该中继结 点已经被攻击者侵入，也可能是该结点故意设定了这 样的功能。如中继节点可能是安全网关，出于安全的 考虑，网关的拥有者希望能够监视进出网络的邮件消 息。 安全需求之间经常存在冲突。例如，Alice希望保证其发 送给bob的邮件内容的保密性，但Alice的领导可能希望 能够监视她的邮件内容，以确保Alice没有泄漏公司的 商业秘密。
邮件提交证据 邮件投递证据
消息流的机密性（message flow confidentiality):隐私保护 的扩展。Carol不仅无法知道Alice发送给bob的邮件中的 内容，甚至不能确定Alice是否给bob发过邮件。
3 网络与信息安全
电子邮件的安全服务
匿名性（anonymity):邮件的接收者无法得知发送者的身份 防泄漏（containment):网络能够保证具有某种安全级别的 信息不泄漏到特定区域的能力。 审计（audit):网络具有的能够记录安全相关事件的能力。 计费（accounting)：邮件系统维护系统使用记录的能力。 自毁（self destruct):系统提供的一个选项，发方可规定邮 件到达收方后邮件被销毁，这样Alice就可给bob发一个bob 不能转发和存储的邮件，邮件系统能够解密并显示该信息， 然后将其删除。该特性可以采用这样的方式实现：把邮件 消息标志为自毁消息，收方的邮件程序配合工作，显示该 消息之后将其删除。 消息序列完整性（Message sequency integrity):保证一系列 消息按照传输顺序到达，不会丢失。
网络安全技术 习题及答案 第10章上网行为管理
第10章上网行为管理1、简答题（1）上网行为管理系统有哪些基本功能？⏹记录上网轨迹满足法规要求⏹上网行为控制，规范员工上网，提高工作效率⏹管控外发信息，降低泄密风险⏹防止带宽资源滥用（2）一直以来，很多用户国外的产品和技术要优于国内厂商，所以用户在选择产品时将优先用国外的产品，你认为正确吗？为什么？一直以来，很多用户都认为国外的产品和技术要优于国内厂商，但是上网行为管理产品并不如此。
上网行为管理产品是用来管理互联网访问内容和互联网使用者的，这与企业的文化、管理制度、人文环境、法律法规都非常相关，例如：国外与中国在成人内容上的分级不同，导致对成人内容的过滤结果不同;国外与中国的流行网络应用不同，有很多是只有中国用户使用的网络应用，而国外的产品往往不能支持对这些应用的控制和管理;建议国内用户尽量选择使用国内厂商推出的上网行为管理产品，毕竟中国的厂商更了解中国用户的互联网环境和互联网使用习惯。
（3）上网行为管理的部署模式有哪几种？它们之间有什么区别？部署模式用于设置设备的工作模式，可把设备设定为路由模式、网桥模式或旁路模式。
选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。
●路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；●网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能；●旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。
（4）上网行为管理系统国在内主流的产品有哪些？国内的有深信服，网康，华为等。
大学生安全知识教育-第10章习题答案
第十章网络安全思考与练习一、简答题1. 如何扫除网络心理障碍？答：（1）网恋。
“网恋”是在躲过“熟人社会”的视线和将恋爱的权利义务“虚拟”后，让人怦然心动、跃跃欲试、欲罢不能的现象。
在许多大学生看来，“网恋”既虚幻又浪漫，似乎能给生活增添不少色彩。
但是，对涉世未深的大学生来说，如果没有良好的心理素质和相应的精神准备是很容易受到伤害的。
因此，应对“网恋”进行理性分析和正确认识。
（2）网络成瘾综合征。
网络成瘾综合征是指在无成因物质的作用下的上网行为冲动失控，网络操作时间失控，个体沉溺于网络世界，难以自拔，而导致明显的社会、心理功能损害。
（3）网络孤独症。
大学是大学生踏入社会之前的缓冲期，在这期间大学生除了学习专业知识以外，开始更全面地学习社会中人与人之间的交往。
沉溺于网络的大学生缺少了对人际交往技能的学习，从而影响了正常的人际交往。
对大学生本身而言，长时间处于虚拟世界之中，自身情感的发展也会受到影响，离开网络之后往往会产生抑郁感和孤独感。
（4）网络依赖症。
在网络世界里，很多学生犹如迷途的羔羊，有意识或无意识地将网络看成自己最好的家，把上网当成人生最大的快乐。
不少患上了网络依赖症的大学生为了能够上网，有的对家长说谎，有的偷钱上网，有的为网友离家出走，有的终日恍恍惚惚、萎靡不振，有的甚至走向色情和暴力犯罪。
2. 如何预防网络犯罪？答：（1）应当加强对大学生的网络道德教育，从思想上来遏制网络犯罪的发生。
（2）大学生应当多学习网络犯罪的法律知识，领会法律的精神，自觉抵制网络色情等不良诱惑。
（3）仅有法律意识和法律常识是不够的，还应加强大学生的网络安全防范教育工作。
3. 如何进行数据的保护？答：（一）计算机硬盘的保护计算机硬盘的保护措施包括免受物理性伤害和病毒性攻击两类：1. 要保证硬盘免受物理性伤害（1）尽量在平稳的状态下使用计算机，避免在容易晃动的地方操作。
（2）开关机过程中是硬盘最为脆弱的时候，建议在开关机后等待十秒钟左右再移动计算机。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
n 由于凯撒密码的整个密钥空间只有26个密钥，只要知 道圆圈密算法采用的是凯撒密码，对其进行破译就是 轻而易举的事了，因为破译者最多只需尝试25次就可 以知道正确的密钥。
第10章网络安全技术
n 对凯撒密码的一种改进方法是把明文中的字符 换成另一个字符，如将26个字母中的每一个字 母都映射成另一个字母。例如：
第10章网络安全技术
n 不对称型加密算法也称公开密钥算法，其特点是有两
个密钥（即公用密钥和私有密钥），只有两者搭配使
用才能完成加密和解密的全过程。由于不对称算法拥
有两个密钥，它特别适用于分布式系统中的数据加密，
在Internet中得到广泛应用。其中公用密钥在网上公布，
为数据发送方对数据加密时使用，而用于解密的相应
加密算法、要解密的密文、密码分析人员选择的明文消息，以及使用 保密密钥生成的对应的密文对
加密算法、要解密的密文、密码分析人员选择的密文，以及使用保密 密钥生成的对应的解密明文
加密算法、要解密的密文、密码分析人员选择的明文消息，以及使用 保密密钥生成的对应的密文对、密码分析人员选择的密文，以及 使用保密密钥生成的对应的解密明文
第10章网络安全技术
n 分组密码的优点是：明文信息良好的扩 散性，对插入的敏感性，不需要密钥同 步，较强的适用性，适合作为加密标准。
n 分组密码的缺点是：加密速度慢；错误 扩散和传播。
第10章网络安全技术
n 序列密码的加密过程是把报文、话音、图像、 数据等原始信息转换成明文数据序列，然后将 它同密钥序列进行逐位模2加（即异或运算）， 生成密文序列发送给接收者。接收者用相同密 钥序列进行逐位解密来恢复明文序列。
n 序列密码的安全性主要依赖于密钥序列。密钥 序列是由少量的制乱素（密钥）通过密钥序列 产生器产生的大量伪随机序列。布尔函数是密 钥序列产生器的重要组成部分。
第10章网络安全技术
n 序列密码的优点是：处理速度快，实时 性好，错误传播小，不易被破译，适用 于军事、外交等保密信道。
n 序列密码的缺点是：明文扩散性差，需 要密钥同步。
第10章网络安全技术
n 分组密码设计的核心是构造既具有可逆性又有 很强的非线性的算法。加密函数重复地使用替 换和易位两种基本的加密变换，也就是香农在 1949年发现的隐蔽信息的两种技术：打乱和扩 散。打乱（confusion）是改变信息块使输出位 与输入位之间无明显的统计关系。扩散 （diffusion）是通过密钥的效应把一个明文位 转移到密文的其它位上。另外，在基本加密算 法前后，还要进行移位和扩展等。
用安全算法和保密信息来实现特定的安 全服务。
第10章网络安全技术
10.1.2 安全威胁
n 安全威胁是指某个人、物、事件或概念 对某一资源的机密性、完整性、可用性 或合法性所造成的危害。某种攻击就是 某种威胁的具体实现。
n 安全威胁可分为故意的（如黑客渗透） 和偶然的（如信息被发往错误的地址） 两类。故意威胁又可进一步分为被动和 主动两类。
n 服务攻击（Application Dependent Attack）是 针对某种特定网络服务的攻击，如针对E-mail 服务，Telnet，FTP，HTTP等服务的专门攻击。
n 非服务攻击（Application Independent Attack） 不针对某项具体应用服务，而是基于网络层等 低层协议而进行的。TCP/IP协议（尤其是Ipv4） 自身的安全机制不足为攻击者提供了方便之门。
第10章网络安全技术
2．基本的威胁
n 网络安全的基本目标是实现信息的机密性、完 整性、可用性和合法性。4个基本的安全威胁 直接反映了这4个安全目标。一般认为，目前 网络存在的威胁主要表现在：
n （1）信息泄漏或丢失。 n （2）破坏数据完整性。 n （3）拒绝服务攻击。 n （4）非授权访问。
第10章网络安全技术
第10章网络安全技术
n 加密技术用于网络安全通常有两种形式， 即面向网络或面向应用服务。
n 从通信网络的传输方面，数据加密技术 还可分为以下3类：链路加密方式、节点 到节点方式和端到端方式。
第10章网络安全技术
4．密码分析
n 试图发现明文或密钥的过程称为密码分 析。密码分析人员使用的策略取决于加 密方案的特性和分析人员可用的信息。
用的不常规加密算法有RSA算法和美国国家标准局提出
的DSA算法（Digital signature Algorithm）。不常规加
密法在分布式系统中应用时需注意的问题是第10章网络安全技术
n 不可逆加密算法和特征是加密过程不需要密钥，并且 经过加密的数据无法被解密，只有同样的输入数据经 过同样的不可逆加密算法才能得到相同的加密数据。 不可逆加密算法不存在密钥保管和分发问题，适合于 分布式网络系统上使用，但是其加密计算机工作量相 当可观，所以通常用于数据量有限的情形下的加密， 例如计算机系统中的口令就是利用不可逆算法加密的。 近来随着计算机系统性能的不断改善，不可逆加密的 应用逐渐增加。在计算机网络中应用较多的有RSA公司 发明的MD5算法和由美国国家标准局建议的可靠不可 逆加密标准（SHS，Secure Hash Standard）。
第10章网络安全技术
图 11-1 网络安全的组成
第10章网络安全技术
图11-2网络安全模型
第10章网络安全技术
这种通用模型指出了设计特定 安全服务的4个基本任务：
n （1）设计执行与安全性相关的转换算法， 该算法必须使对手不能破坏算法以实现 其目的。
n （2）生成算法使用的保密信息。 n （3）开发分发和共享保密信息的方法。 n （4）指定两个主体要使用的协议，并利
第10章网络安全技术
n 采用单字母表替换时，密钥的个数有26！ =4×1026个。虽然破译者知道加密的一般原 理，但他并不知道使用的是哪一个密钥。即使 使用1μs试一个密钥的计算机，试遍全部密钥 也要用1013年的时间。
n 这似乎是一个很安全的系统，但破译者通过统 计所有字母在密文中出现的相对频率，猜测常 用的字母、2字母组、3字母组，了解元音和辅 音的可能形式，破译者就可逐字逐句地破解出 明文。
n 破译者随后猜测列的个数，即密钥的长度，最后确定 列的顺序。在许多情形下，从信息的上下文可猜出一 个可能的单词或短语。破译者通过寻找各种可能性， 常常能轻易地破解易位密码。
第10章网络安全技术
2．分组密码和序列密码
n 分组密码的加密方式是首先将明文序列 以固定长度进行分组，每一组明文用相 同的密钥和加密函数进行运算。一般为 了减少存储量和提高运算速度，密钥的 长度有限，因而加密函数的复杂性成为 系统安全的关键。
第10章网络安全技术
3．加密技术
n 数据加密技术可以分为3类，即对称型加密、 非对称型加密和不可逆加密。
n 对称型加密使用单个密钥对数据进行加密或解 密，其特点是计算量小、加密效率高。但是此 类算法在分布式系统上使用较为困难，主要是 密钥管理困难，从而使用成本较高，安全性能 也不易保证。这类算法的代表是在计算机网络 系统中广泛使用的DES算法（Digital Encryption Standard）。
私有密钥则由数据的接收方妥善保管。不对称加密的
另一用法称为“数字签名”（digital signature），即
数据源使用其私有密钥对数据的校验和（checksum）
或其它与数据内容有关的变量进行加密，而数据接收
方则用相应的公用密钥解读“数字签字”，并将解读
结果用于对数据完整性的检验。在网络系统中得到应
第10章网络安全技术
1．安全攻击
n 对于计算机或网络安全性的攻击，最好 通过在提供信息时查看计算机系统的功 能来记录其特性。当信息从信源向信宿 流动时，图11-3列出了信息正常流动和 受到各种类型的攻击的情况。
第10章网络安全技术
图11-3
安全攻击
第10章网络安全技术
n 另外，从网络高层协议的角度，攻击方法可以 概括地分为两大类：服务攻击与非服务攻击。
n 密码分析的过程通常包括：分析（统计 所截获的消息材料）、假设、推断和证 实等步骤。
第10章网络安全技术
表11-1总结了各类加密消息的破译类型， 这些破译是以分析人员所知的信息总量为 基础的。
破译类型 仅密文 已知明文 选择明文 选择密文 选择文本
密码分析人员已知的内容
加密算法、要解密的密文
加密算法、要解密的密文、使用保密密钥生成的一个或多个明文-密 文对
3．主要的可实现的威胁
n 这些威胁可以使基本威胁成为可能，因 此十分重要。它包括两类：渗入威胁和 植入威胁。
n （1）主要的渗入威胁有：假冒、旁路控 制、授权侵犯。
n （2）主要的植入威胁有：特洛伊木马、 陷门。
第10章网络安全技术
4．潜在的威胁
n 对基本威胁或主要的可实现的威胁进行 分析，可以发现某些特定的潜在威胁， 而任意一种潜在的威胁都可能导致发生 一些更基本的威胁。
第10章网络安全技术
10.2 加密与认证技术
n 11.2.1密码学的基本概念 n 密码学（或称密码术）是保密学的一部
分。保密学是研究密码系统或通信安全 的科学，它包含两个分支：密码学和密 码分析学。密码学是对信息进行编码实 现隐蔽信息的一门学问。密码分析学是 研究分析破译密码的学问。两者相互独 立，而又相互促进。
第10章网络安全技术
密码系统通常从3个独立的方面 进行分类
n （1）按将明文转换成密文的操作类型可 分为：置换密码和易位密码。
n （2）按明文的处理方法可分为：分组密 码和序列密码。
n （3）按密钥的使用个数可分为：对称密 码体制和非对称密码体制。
第10章网络安全技术
1．转换密码和易位密码
n 在转换密码（substation cipher）中，每个或每组字母 由另一个或另一组伪装字母所替换。最古老的一种置 换密码是Julius Caesar发明的凯撒密码，这种密码算法 对于原始消息（明文）中的每一个字母都用该字母后 的第n个字母来替换，其中n就是密钥。例如使加密字 母向右移3个字母，即a换成D，b换成E，c换成F…z换 成C。
第10章网络安全技术
n 对凯撒密码的一种改进方法是把明文中的字符 换成另一个字符，如将26个字母中的每一个字 母都映射成另一个字母。例如：
第10章网络安全技术
n 不对称型加密算法也称公开密钥算法，其特点是有两
个密钥（即公用密钥和私有密钥），只有两者搭配使
用才能完成加密和解密的全过程。由于不对称算法拥
有两个密钥，它特别适用于分布式系统中的数据加密，
在Internet中得到广泛应用。其中公用密钥在网上公布，
为数据发送方对数据加密时使用，而用于解密的相应
加密算法、要解密的密文、密码分析人员选择的明文消息，以及使用 保密密钥生成的对应的密文对
加密算法、要解密的密文、密码分析人员选择的密文，以及使用保密 密钥生成的对应的解密明文
加密算法、要解密的密文、密码分析人员选择的明文消息，以及使用 保密密钥生成的对应的密文对、密码分析人员选择的密文，以及 使用保密密钥生成的对应的解密明文
第10章网络安全技术
n 分组密码的优点是：明文信息良好的扩 散性，对插入的敏感性，不需要密钥同 步，较强的适用性，适合作为加密标准。
n 分组密码的缺点是：加密速度慢；错误 扩散和传播。
第10章网络安全技术
n 序列密码的加密过程是把报文、话音、图像、 数据等原始信息转换成明文数据序列，然后将 它同密钥序列进行逐位模2加（即异或运算）， 生成密文序列发送给接收者。接收者用相同密 钥序列进行逐位解密来恢复明文序列。
n 序列密码的安全性主要依赖于密钥序列。密钥 序列是由少量的制乱素（密钥）通过密钥序列 产生器产生的大量伪随机序列。布尔函数是密 钥序列产生器的重要组成部分。
第10章网络安全技术
n 序列密码的优点是：处理速度快，实时 性好，错误传播小，不易被破译，适用 于军事、外交等保密信道。
n 序列密码的缺点是：明文扩散性差，需 要密钥同步。
第10章网络安全技术
n 分组密码设计的核心是构造既具有可逆性又有 很强的非线性的算法。加密函数重复地使用替 换和易位两种基本的加密变换，也就是香农在 1949年发现的隐蔽信息的两种技术：打乱和扩 散。打乱（confusion）是改变信息块使输出位 与输入位之间无明显的统计关系。扩散 （diffusion）是通过密钥的效应把一个明文位 转移到密文的其它位上。另外，在基本加密算 法前后，还要进行移位和扩展等。
用安全算法和保密信息来实现特定的安 全服务。
第10章网络安全技术
10.1.2 安全威胁
n 安全威胁是指某个人、物、事件或概念 对某一资源的机密性、完整性、可用性 或合法性所造成的危害。某种攻击就是 某种威胁的具体实现。
n 安全威胁可分为故意的（如黑客渗透） 和偶然的（如信息被发往错误的地址） 两类。故意威胁又可进一步分为被动和 主动两类。
n 服务攻击（Application Dependent Attack）是 针对某种特定网络服务的攻击，如针对E-mail 服务，Telnet，FTP，HTTP等服务的专门攻击。
n 非服务攻击（Application Independent Attack） 不针对某项具体应用服务，而是基于网络层等 低层协议而进行的。TCP/IP协议（尤其是Ipv4） 自身的安全机制不足为攻击者提供了方便之门。
第10章网络安全技术
2．基本的威胁
n 网络安全的基本目标是实现信息的机密性、完 整性、可用性和合法性。4个基本的安全威胁 直接反映了这4个安全目标。一般认为，目前 网络存在的威胁主要表现在：
n （1）信息泄漏或丢失。 n （2）破坏数据完整性。 n （3）拒绝服务攻击。 n （4）非授权访问。
第10章网络安全技术
第10章网络安全技术
n 加密技术用于网络安全通常有两种形式， 即面向网络或面向应用服务。
n 从通信网络的传输方面，数据加密技术 还可分为以下3类：链路加密方式、节点 到节点方式和端到端方式。
第10章网络安全技术
4．密码分析
n 试图发现明文或密钥的过程称为密码分 析。密码分析人员使用的策略取决于加 密方案的特性和分析人员可用的信息。
用的不常规加密算法有RSA算法和美国国家标准局提出
的DSA算法（Digital signature Algorithm）。不常规加
密法在分布式系统中应用时需注意的问题是第10章网络安全技术
n 不可逆加密算法和特征是加密过程不需要密钥，并且 经过加密的数据无法被解密，只有同样的输入数据经 过同样的不可逆加密算法才能得到相同的加密数据。 不可逆加密算法不存在密钥保管和分发问题，适合于 分布式网络系统上使用，但是其加密计算机工作量相 当可观，所以通常用于数据量有限的情形下的加密， 例如计算机系统中的口令就是利用不可逆算法加密的。 近来随着计算机系统性能的不断改善，不可逆加密的 应用逐渐增加。在计算机网络中应用较多的有RSA公司 发明的MD5算法和由美国国家标准局建议的可靠不可 逆加密标准（SHS，Secure Hash Standard）。
第10章网络安全技术
图 11-1 网络安全的组成
第10章网络安全技术
图11-2网络安全模型
第10章网络安全技术
这种通用模型指出了设计特定 安全服务的4个基本任务：
n （1）设计执行与安全性相关的转换算法， 该算法必须使对手不能破坏算法以实现 其目的。
n （2）生成算法使用的保密信息。 n （3）开发分发和共享保密信息的方法。 n （4）指定两个主体要使用的协议，并利
第10章网络安全技术
n 采用单字母表替换时，密钥的个数有26！ =4×1026个。虽然破译者知道加密的一般原 理，但他并不知道使用的是哪一个密钥。即使 使用1μs试一个密钥的计算机，试遍全部密钥 也要用1013年的时间。
n 这似乎是一个很安全的系统，但破译者通过统 计所有字母在密文中出现的相对频率，猜测常 用的字母、2字母组、3字母组，了解元音和辅 音的可能形式，破译者就可逐字逐句地破解出 明文。
n 破译者随后猜测列的个数，即密钥的长度，最后确定 列的顺序。在许多情形下，从信息的上下文可猜出一 个可能的单词或短语。破译者通过寻找各种可能性， 常常能轻易地破解易位密码。
第10章网络安全技术
2．分组密码和序列密码
n 分组密码的加密方式是首先将明文序列 以固定长度进行分组，每一组明文用相 同的密钥和加密函数进行运算。一般为 了减少存储量和提高运算速度，密钥的 长度有限，因而加密函数的复杂性成为 系统安全的关键。
第10章网络安全技术
3．加密技术
n 数据加密技术可以分为3类，即对称型加密、 非对称型加密和不可逆加密。
n 对称型加密使用单个密钥对数据进行加密或解 密，其特点是计算量小、加密效率高。但是此 类算法在分布式系统上使用较为困难，主要是 密钥管理困难，从而使用成本较高，安全性能 也不易保证。这类算法的代表是在计算机网络 系统中广泛使用的DES算法（Digital Encryption Standard）。
私有密钥则由数据的接收方妥善保管。不对称加密的
另一用法称为“数字签名”（digital signature），即
数据源使用其私有密钥对数据的校验和（checksum）
或其它与数据内容有关的变量进行加密，而数据接收
方则用相应的公用密钥解读“数字签字”，并将解读
结果用于对数据完整性的检验。在网络系统中得到应
第10章网络安全技术
1．安全攻击
n 对于计算机或网络安全性的攻击，最好 通过在提供信息时查看计算机系统的功 能来记录其特性。当信息从信源向信宿 流动时，图11-3列出了信息正常流动和 受到各种类型的攻击的情况。
第10章网络安全技术
图11-3
安全攻击
第10章网络安全技术
n 另外，从网络高层协议的角度，攻击方法可以 概括地分为两大类：服务攻击与非服务攻击。
n 密码分析的过程通常包括：分析（统计 所截获的消息材料）、假设、推断和证 实等步骤。
第10章网络安全技术
表11-1总结了各类加密消息的破译类型， 这些破译是以分析人员所知的信息总量为 基础的。
破译类型 仅密文 已知明文 选择明文 选择密文 选择文本
密码分析人员已知的内容
加密算法、要解密的密文
加密算法、要解密的密文、使用保密密钥生成的一个或多个明文-密 文对
3．主要的可实现的威胁
n 这些威胁可以使基本威胁成为可能，因 此十分重要。它包括两类：渗入威胁和 植入威胁。
n （1）主要的渗入威胁有：假冒、旁路控 制、授权侵犯。
n （2）主要的植入威胁有：特洛伊木马、 陷门。
第10章网络安全技术
4．潜在的威胁
n 对基本威胁或主要的可实现的威胁进行 分析，可以发现某些特定的潜在威胁， 而任意一种潜在的威胁都可能导致发生 一些更基本的威胁。
第10章网络安全技术
10.2 加密与认证技术
n 11.2.1密码学的基本概念 n 密码学（或称密码术）是保密学的一部
分。保密学是研究密码系统或通信安全 的科学，它包含两个分支：密码学和密 码分析学。密码学是对信息进行编码实 现隐蔽信息的一门学问。密码分析学是 研究分析破译密码的学问。两者相互独 立，而又相互促进。
第10章网络安全技术
密码系统通常从3个独立的方面 进行分类
n （1）按将明文转换成密文的操作类型可 分为：置换密码和易位密码。
n （2）按明文的处理方法可分为：分组密 码和序列密码。
n （3）按密钥的使用个数可分为：对称密 码体制和非对称密码体制。
第10章网络安全技术
1．转换密码和易位密码
n 在转换密码（substation cipher）中，每个或每组字母 由另一个或另一组伪装字母所替换。最古老的一种置 换密码是Julius Caesar发明的凯撒密码，这种密码算法 对于原始消息（明文）中的每一个字母都用该字母后 的第n个字母来替换，其中n就是密钥。例如使加密字 母向右移3个字母，即a换成D，b换成E，c换成F…z换 成C。