网络空间安全基础（三）

数据单元完整性涉及两个过程，一是发送实体，另一个是接收实体。
发送实体给数据单元附加上一个量（通常是哈希值），且这个量本身可以被加密；

接收实体根据数据单元产生一个相应的量，且与发送方的量进行比较，以此确定发送的数据单元是否受到篡改。

数据流完整性可以采取顺序号、时间标记或密码链等手段。

5.鉴别交换机制

鉴别交换是通信过程中一方鉴别另一方身份的过程。常见的实现方式有：口令鉴别、数据加密确认、通信中的“握手”协议、数字签名和公证机构辩认，以及通过利用该实体特征鉴别（如语言、指纹）。

6.通信业务填充机制

通信业务填充机制是指在正常通信流中增加冗余信息，能抵抗通信业务分析。这种机制往往提供通信业务的保密性服务。

7.路由选择控制机制

路由能动态地设定，以便物理上安全的子网络、中继站或链路使用。在使用时可基于安全属性，禁止某些属性的数据通过某子网络、中继站或链路以确保这些通信网络的安全。

8.公证机制

公正机制是指由于第一方和第二方互不相信，于是寻找一个双方都信任的第三方，通过第三方背书在第一方和第二方之间建立信任。在网络中，数据完整性，发送方身份、时间和目的方身份都能通过公主机制得到确保。

四. 安全服务与安全机制的关系

五. 安全产品

1. 防火墙

辞海中的解释“用非燃烧材料砌筑的墙，设在建筑物的两端或在建筑物内将建筑物分割成区段同，以防止火灾蔓延”。在当今网络环境下，常借用这个概念使用防火墙来保护敏感的数据不被窃取和篡改。这里的防火墙通信由计算机系统构成。

防火墙类似一道护栏隔在内部网络和不安全的外部网络之间，是一种保护机制阻断来自外部的网络入侵，保护内部网络安全。
所有进入内部的通信，必须经过防火墙，所有经过防火墙的通信，必须经过安全策略，前提是防火墙自身是安全可靠，不易攻破。

防火墙的功能
1.访问控制功能：是防火墙最基本也是最重要的功能
2.内容控制功能：如过滤垃圾邮件
3.安全日志功能：可以记录网络通信情况，包括什么用户在什么时间进行了什么操作
4.集中管理功能：在一个组织中可能有多台防火墙需要集中统一管理，避免出现配置上的安全漏洞。
5.其它功能：如VPN(虚拟专用网络)、NAT(网络地址转换)

防火墙局限性：无法检测内部攻击

2. 入侵检测系统(Intrusion Detection System,IDS)

IDS通过监视受保护系统或网络的状态，可发现正进行或已发生的网络攻击。

IDS功能:

1. 监视用户和系统的活动，IDS通过获取进出某台主的数据、或某网段的数据或某主机的日志等监视用户和系统的活动。

2. 发现入侵行为，包含两方面：
（1）通过分析用户和系统的活动，判断是否存在对系统的入侵行为；
（2）评估系统关键资源和数据文件的完整性，判断系统是否遭到入侵；

3. 记录和报警，DS在检测到入侵行为后，记录入侵行为的基本情况，并采取相应措施发出报警，甚至实现防火墙的联动。

入侵检测系统的分类：

1. 基于主机的IDS。用于保护运行关键应用的主机，它通过监视与分析主机的审计记录和日志文件来检测入侵。日志中包含发生在系统上的不寻常和不期望的活动证据。