网络安全2014第九章

基于网络体系结构的防火墙实现原理
08:02:44
防火墙与OSI 防火墙与OSI
基本防火墙
Network Transport
高级防火墙
DataLink Session Application
防火墙的原理 按照网络的分层体系结构， 按照网络的分层体系结构，在不同的分层结构 实现的防火墙不同，通常有如下几种。 上实现的防火墙不同，通常有如下几种。 1）基于网络层实现的防火墙，通常称为包过滤 ）基于网络层实现的防火墙， 防火墙。 防火墙。 2）基于传输层实现的防火墙，通常称为传输级 ）基于传输层实现的防火墙， 网关。 网关。 层次越高， 层次越高 3）基于应用层实现的防火墙，通常称为应用级 ）基于应用层实现的防火墙， ，能检测的 资源越多，越安全， 资源越多，越安全， 网关。 网关。 但执行效率变差 4）整合上述所有技术，形成混合型防火墙，根 ）整合上述所有技术，形成混合型防火墙， 据安全性能进行弹性管理。 据安全性能进行弹性管理。
08:02:44
防火墙的概念 因此按照企业内部的安全体系结构， 因此按照企业内部的安全体系结构， 防火墙应当满足如下要求。 防火墙应当满足如下要求。 1）保证对主机和应用的安全访问。 ）保证对主机和应用的安全访问。 访问 2）保证多种客户机和服务器的安全性。 ）保证多种客户机和服务器的安全性 安全 3）保护关键部门不受到来自内部和外 ） 部的攻击，为通过Internet与远程访问 部的攻击，为通过 与远程访问 的雇员、客户、供应商提供安全通道。 的雇员、客户、供应商提供安全通道。
08:02:44
防火墙的概念 因此， 因此，防火墙是在两个网络之间执 行控制策略的系统（包括硬件和软件）， 行控制策略的系统（包括硬件和软件）， 目的是保护网络不被可疑目标入侵。 目的是保护网络不被可疑目标入侵。

合法用户 合法用户
Internet
（b）截获数据 网络攻击者
合法用户
合法用户
Internet （c）篡改数据
合法用户
合法用户
11
Internet （d）伪造数据
合法用户
吴功宜 吴英 编著
电子工业出版社
21世纪计算机基础教育系列教材
网络安全服务类型
认证（Authentication）：提供对通信实体和数据来源 的认证与身份鉴别。 访问控制（Access Control）：通过对用户身份的认证 和权限的确认，防止未授权用户非法使用资源。 数据机密性（Data Confidentiality）：防止数据在传 输过程中被窃听或泄漏。 数据完整性（Data Integrity）：确保接收数据与发送 数据的一致性，防止数据被修改、删除或重放。 防抵赖（Non-reputation）：防止发送方否认发送数据， 或接收方否认接收数据。
吴功宜 吴英 编著
14
电子工业出版社
21世纪计算机基础教育系列教材
9.3 加密与认证技术
吴功宜 吴英 编著
15
电子工业出版社
21世纪计算机基础教育系列教材
9.3.1 密码学中的概念
密码技术是保证网络与信息安全的核心技术之一。 密码学（Cryptology）包括：密码编码学与密码分析学。 密码体制设计是密码学研究的主要内容。 密码编码学是指利用加密算法和密钥对信息编码进行隐 蔽，而密码分析学试图破译算法和密钥。
9.2.1 安全体系结构的概念
安全攻击（Security Attack） 安全服务（Security Service） 安全机制（Security Mechanism）
吴功宜 吴英 编著

在入侵都存在的情况下，身份鉴别变得十分复杂和困难。
1.基于共享的秘密密钥的鉴别协议
假设张三和李四已经共享一个秘密密钥Kab，这个秘密密钥可 能是通过电话协商或其他方法而设定的，而不是通过网络这种
安全的方式决定的。
一般可以采用一种称为质疑-回答的协议：
一方向另一方发送一个随机数，另一方把这个数转换后送回
密钥（key）：
加密函数以一个密钥（key）作为参数，所以可以用
C=E(P，Key) 来表达这个加密过程。
有两种入侵者：
1.被动入侵者，他只监听信息；
2.主动入侵者，他不仅监听密文信息，而且可以改变信息。
被动入侵者仅仅监听
二、传统加密 的一般模型：
主动入侵者可以改变内容
明文P 加密方法E 加密密钥Ke
设计一个鉴别协议是十分复杂的。有三个基本原则需要遵守： 在回答者给出有价值信息前，发送者首先必须证明他是谁。 发送者和回答者使用不同的密钥。
发送者和回答者的质疑取自不同的集合，比如一个是奇数， 另一个是偶数。
二、数字签名
在现实中，一些正文件上都需要有签字，签字的作用是： ● 接收者可以验证发送者。 ● 发送者不能否认被签字文件的内容。 ● 接收者不能编造被签字文件的内容。
P=D(C,Kd)
解密方法D
C=E(P,Ke)
明文P
密文C
解密密钥Kd
传统加密体制基本过程
替换 变换（transposition）
变换加密算法的破译有几个步骤： （1）确定加密方法是变换算法。 （2）确定密码长度。 （3）重新确定列序。
公开密钥体制
9.4 网络安全技术
一、 身份鉴别
鉴别（authentication）是一种查证对方真实身份的技术，

网络安全技术原理与实践第九 章：防火墙技术
目录
CONTENTS
• 防火墙技术概述 • 防火墙的工作原理 • 防火墙的部署与配置 • 防火墙技术的实践应用 • 防火墙技术的挑战与未来发展
01 防火墙技术概述
CHAPTER
防火墙的定义与功能
防火墙的定义
防火墙是部署在网络安全域之间的一 组软件和硬件的组合，用于控制网络 之间的数据传输和访问。
确保政务工作的正常运行。
02
防止机密信息泄露
政府机构涉及大量机密信息，通过防火墙的严格控制，可以降低机密信
息泄露的风险。
03
提高政府网络的整体安全性
防火墙作为网络安全的第一道防线，可以有效降低政府网络受到攻击的
风险。
云服务网络安全防护
01
保护云服务租户数据 安全
云服务提供商通过部署防火墙，可以 隔离不同租户之间的数据和流量，确 保租户数据的安全性和隐私性。
发代理程序。
有状态检测防火墙
有状态检测防火墙
原理
有状态检测防火墙不仅检查数据 包的静态属性，还跟踪数据包的 状态，判断数据包是否符合会话 的上下文。
优点
能够检测会话的状态，提供更高 的安全性。
缺点
实现复杂度较高，需要更多的系 统资源。
03 防火墙的部署与配置
CHAPTER
防火墙的部署方式
路由模式
防火墙性能瓶颈
随着网络流量的增长，传统防火墙可能面临性能瓶颈，无 法满足高并发、高速的网络安全需求。
01
威胁检测与防御
随着新型网络攻击手段的不断涌现，防 火墙需要更高效的威胁检测与防御机制， 以应对复杂的网络安全威胁。
02
03
配置与维护困难