企业网络安全综合设计方案PPT实用课件(共38页)

恶意攻击的潜在对手
国家
黑客
恐怖份子/计算机恐怖份子
有组织计算机犯罪
其他犯罪成员 国际新闻社 工业竞争 不满的雇员
刺探特定目标的通常动机
获取机密或敏感数据的访问权；
跟踪或监视目标系统的运行（跟踪分析）；
扰乱目标系统的正常运行；
窃取钱物或服务；
免费使用资源（例如，计算机资源或免费使 用网络）； 向安全机制进行技术挑战。
对计算机网络的主要攻击
4．内部人员攻击
攻击举例 描 述 修 改 数 据 或 安 全 内部人员直接使用网络，具有系统的访问权。因此，内部人 机制 员攻击者比较容易实施未授权操作或破坏数据。
恶
擅自连接网络
隐通道
对涉密网络具有物理访问能力的人员，擅自将机密网络与密 级较低，或公共网络连接，违背安全策略和保密规定。
网络可用性还包括在某些不正常条件下继续运行能力。
保证可用性的最有效的方法是提供一个具有普适安全服务 的安全网络环境。
避免受到攻击
避免未授权使用
防止进程失败
1.3.2 计算机网络安全目标
4．不可否认性
“不可否认性安全服务提供了向第三方证明该实体确实参 与了那次通信的能力。 数据的接收者提供数据发送者身份及原始发送时间的 证据； 数据的发送者提供数据已交付接收者（某些情况下， 包括接收时间）的证据；
1.2.2 不安全的主要原因
2．操作系统存在安全问题
操作系统软件自身的不安全性，以及系统设计时的疏 忽或考虑不周而留下的“破绽”，都给危害网络安全的 人留下了许多“后门”。 操作系统的体系结构造成了不安全性。 操作系统不安全的另一原因在于它可以创建进程，支 持进程的远程创建与激活，支持被创建的进程继承创建 进程的权利。 操作系统的无口令入口，以及隐蔽通道。

防火墙在此处的功能： 1、工作子网与外部子网的物理 隔离 2、访问控制 3、对工作子网做NAT地址转换 4、日志记录
内部子网与DMZ区的访问控制
内部WWW 一般子网 管理子网 重点子网 内部工作子网
WWW Mail DNS DMZ区域
发起访问 请求
合法请求则允 许对外访问
发起访问 请求
进行访 问规则 检查
传统安全防护思想——头疼医头，脚痛医脚
安全的 组织保障
密码机
TEMPEST
基本 安全机制
安全应用
Windows 安全
CA认证
防病毒
网络管理 物理隔离卡
安全 数据库
LAN/WAN 的安全
防火墙
个人机安全 保护
外网互连 安全
安全审计
UNIX 安全 操作系统 入侵检测
PKI
PMI
信息安全的基本概念
•信息安全的内涵和外延是什么？
数据完整性（S） 数据保密性（S） 备份与恢复（A）
信息安全体系架构
组织体系 Organization
集 服开 供 成 务发 应 商 商商 商
安全决策机构
安全执行机构 安全响应小组
安全组织架构
主管部门
管理体系 Managemen
t
安全策略方针 角色职责矩阵
安全通报机制 安全人员管理
教育培训计划 策略制定发布
实时检测
实时地监视、分析网络中所有的数据报文 发现并实时处理所捕获的数据报文
安全审计
对系统记录的网络事件进行统计分析 发现异常现象 得出系统的安全状态，找出所需要的证据
主动响应
主动切断连接或与防火墙联动，调用其他程序处理
入侵检测系统

安全威胁实例（续）
查看邮件时被录像 机器D附近的无线电接收装置接收到显示器发射的信号并
且重现出来 屏幕记录程序保存了屏幕信息 浏览邮件时的临时文件被其他用户打开 浏览器cache了网页信息 临时文件仅仅被简单删除，但是硬盘上还有信息 由于DNS攻击，连接到错误的站点，泄漏了用户名和密码 由于网络感染了病毒，主干网瘫痪，无法访问服务器 服务器被DOS攻击，无法提供服务
网络安全防护模型－PDRR
目前业界共识：“安全不是技术或产品 ，而是一个过程”。为了保障网络安全， 应重视提高系统的入侵检测能力、事件反 应能力和遭破坏后的快速恢复能力。信息 保障有别于传统的加密、身份认证、访问 控制、防火墙等技术，它强调信息系统整 个生命周期的主动防御。
与认证机制，因此容易遭到欺骗和窃听
软件及系统的“漏洞”及后门
随着软件及网络系统规模的不断增大，系统中的安全漏洞或“后门”也 不可避免的存在，比如我们常用的操作系统，无论是Windows 还是UNIX 几乎都存在或多或少的安全漏洞，众多的服务器、浏览器、桌面软件等等 都被发现存在很多安全隐患。任何一个软件系统都可能会因为程序员的一 个疏忽或设计中的一个缺陷等原因留下漏洞。这也成为网络的不安全因素 之一
国内外黑客组织
北京绿色联盟技术公司 () 中国红客联盟() 中国鹰派() 中国黑客联盟
Hackweiser Prophet Acidklown Poizonbox Prime Suspectz Subex SVUN Hi-Tech
网络病毒
红色代码 尼姆达 冲击波 震荡波
木马
工行密码盗取 ＱＱ木马 其它后门工具
网络普及，安全建设滞后 网络硬件建设如火如荼，网络管理尤其是安全管理滞后，用户安 全意识不强，即使应用了最好的安全设备也经常达不到预期效果

打字兼职万字600
南京某高校大三女生A在网上看到一家出版社招兼职打字员，报酬是1万 字给600元劳务费。A与对方联系后，对方称由于是保密文稿，需要A先交元汇款过后，对方就再也没了音讯。
家庭电话外泄
某学院曾有7名学生家长先后接到以学 校名义打来的电话，对方称这些家长的 子女发生车祸，正在留医治疗，要求家 长即刻汇款至指定帐户。诈骗者有的事 先多次拨打毕业生的手机直至该学生厌 烦而关掉手机，有的直接以公安机关办 案名义要求该学生关机，随即拨打其家 里电话行骗，家长接到诈骗电话后无法 与学生取得联系而感到恐慌，有个别家 长因而上当受骗。已掌握的7名收到此 类电话的学生家长中，有一名学生家长 受骗损失10000元。
子虚乌有的中介
某大学毕业生在网上看到一家自称是北 京某某文化发展有限公司的很多兼职信 息，便到该公司应聘兼职。他交了150 元会费后，接到了一家自称是五星级酒 店的面试通知，面试合格，告知回家等 候上岗通知。等在家呆了几天，打开该 酒店提供的网址后发现网页上边是乱七 八糟的培训信息。这才意识到自己被骗 了。
启用双重认证或多因素认证
双重认证或多因素认证为账户安全提供 了额外的保护层。它要求除了密码外， 还需要提供额外的验证信息，如手机短 信验证码、指纹识别或面部识别等。这 样，即使密码泄露，黑客也需要通过其 他方式验证身份才能访问你的账户。
讲述者：
日期：
第二部分
赴美酒店就业是骗局
广州某大四学生A在学期间学习的是酒店 管理专业。临近毕业，A在某招聘网站上 向美国一家高级酒店投递了简历。不久， A收到来自该酒店的一封邮件，要求A注 册一个网络电话，方便公司对其进行远 程面试。对方在网络上用流利的英语对A 面试后，A被录取，对方要求A开通一个 交通银行的银行卡和网银，银行卡里存 入20万元作为资产证明，并要求网银不 能设置限制，以便公司付给A薪酬。