网络与信息安全学习（一）

什么是计算机网络？

  是指地理上分散的、相互独立的多台计算机通过通信协议和通信线路连接起来，以实现信息交换和资源共享的计算机系统。

什么是网络安全？

凡是涉及到网络系统及信息的机密性、完整性、可用性、可控性等的相关技术和理论问题都是网络安全的研究领域。

从本质上讲，网络安全就是网络上的通信、设备与信息安全。

1.1、网络安全概述

1.1.1 网络安全的概念

网络安全包括两个方面：网络系统的运行安全和网络系统中的信息安全。

从技术上讲，网络安全包括多种安全技术，它由安全的操作系统和应用软件、防病毒、防火墙、入侵检测、网络监控、信息审计、通信加密、灾难恢复、安全扫描等安全组件组成。

从用户角度讲，网络安全是保障个人或企业数据在网络中的保密性、完整性、不可否认性，防止网络资源的非授权访问。

1.1.2 网络安全的属性与内容

1、网络安全的属性

           网络系统的可用性

           可控性

           完整性    

          机密性     

          不可抵赖性（如：电子商务）

          网络系统只有具备这五个方面的属性，才是安全的。

2、网络安全的内容

           物理安全、安全控制、安全服务和安全机制。

1.1.4 网络安全模型

       网络安全是一种系统的安全，需要构建一个理论上的框架，这个框架就是网络安全模型。目前最常用的是P2DR模型：即Policy（安全策略）、Protection（防护）、Detection（检测）和Response（响应）。这是一个完整的、动态的安全循环模型，在安全策略的指导下，保证网络系统的安全。 P2DR模型是基于时间的一种安全理论（Time Based Security），认为：

    与网络信息安全相关的所有活动，不管是攻击行为、防护行为、检测行为还是响应行为都要消耗时间，因此，用时间衡量一个系统的安全性。

P2DR模型用数学公式表示为：

   　　　　  Pt > Dt + Rt                          

     其中：Pt——指系统为了保护安全目标，设置各种保护后的防护时间；或者理解为在这样的保护方式下，黑客（入侵者）攻击安全目标所花费的时间。

Dt——指从入侵者开始发动入侵开始，系统能够检测到入侵行为所花费的时间。

Rt——指从发现入侵行为开始，系统能够做出足够的响应，将系统调整到正常状态的时间。

 针对于需要保护的安全目标，当防护时间>检测时间加上响应时间，能被检测到并及时得到处理。假设防护时间Pt=0，则：

                        Dt + Rt= Et                   

其中：Et ——是该安全目标的暴露时间，显然Et 越小，系统越安全。

       “安全”的定义：“及时的检测和响应就是安全”或“及时的检测和恢复就是安全”。安全是相对的！解决安全问题方法：提高系统的防护时间Pt，降低检测时间Dt和响应时间Rt。

1.2 网络安全体系结构

1.2.1 网络分层结构

     1、计算机网络分层

        计算机网络系统是一个复杂系统，将一个复杂的系统分解为若干容易处理的子系统，逐个加以解决，是网络工程设计中常用的结构化设计方法，其中分层是系统分解的最好办法之一。

       从功能的角度对系统进行描述，并对所完成功能有精确定义，是层次和协议的一个集合。

        协议：

         协议是通信双方关于如何通信达成的一致规则，各层协议按层次顺序排列的协议序列称为协议栈。协议包含以下三个要素：

             1）语法：以二进制形式表示的命令和相应的结构；

             2）语义：由发出的命令请求，完成的动作和回送的响应组成的集合；

             3）定时关系：有关事件顺序的说明。    

        主机1的第n层只能与网络上的主机2的第n层进行通信，通信规则就是第n层协议。

 1.2.3 网络安全体系结构

        网络安全体系结构划分为：物理层安全、系统层安全、网络层安全、应用层安全和安全管理等层次。

        1. 物理层安全

        包括：通信线路的安全、物理设备的安全、机房的安全等。通信线路的可靠性，软硬件设备安全性，设备的备份，防灾害能力，防干扰能力，设备的运行环境，不间断电源保障等。

        2.系统层安全

       包括：一是操作系统安全，身份认证、访问控制、系统漏洞等；二是操作系统的安全配置；三是病毒对操作系统的攻击。

     3. 网络层安全

       包括：网络层身份认证、网络资源的访问控制、数据传输的保密与完整性、域名的安全、路由的安全、入侵检测的手段、网络防病毒等。 

     4. 应用层安全

             包括：由提供服务所采用的应用软件和数据的安全性产生，包括：Web服务、电子邮件系统、DNS服务、QQ等。

     5. 管理层安全

             包括：安全技术和设备的管理、严格的安全管理制度、部门与人员的组织、安全职责划分、人员角色配置等。

1.3 、网络安全体系结构实例

1.3.1 OSI安全体系结构

        国际标准化组织（ISO）于1989年2月给出（OSI)开放系统互联参考安全体系结构文件：ISO 7498—2。  核心是保证异构计算机系统之间远距离交换信息的安全。

    1.OSI参考模型及各层的主要功能

        开放系统互联参考模型（Open System Interconnection Reference Model）是由国际标准化组织（ISO）制定的，标准化、开放式计算机网络层次结构模型。

          OSI采用分层结构，把整个通信网络自下而上划分为七层，依次为：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。

1）物理层

             规定通信设备的机械的、电气的、功能的和规程的特性，用以建立、维护和拆除物理链路连接。

2）数据链路层

        在物理层提供比特流服务的基础上，建立相邻结点之间的数据链路，通过差错控制提供数据帧在信道上无差错的传输，并进行各电路上的动作系列。　

 3）网络层

      网络层将数据链路层提供的帧组成数据包，包中封装有网络层包头，其中含有源站点和目的站点地址的网络地址等信息。

4）传输层

　　    传输层负责实现端到端的数据报文的传递。传输层提供两端点之间可靠、透明的数据传输、执行端到端的差错控制、流量控制及管理多路复用。

5）会话层

　　    会话层提供包括访问验证和会话管理在内的建立，以及维护应用之间通信的机制。如：服务器验证用户登录由会话层完成。

6）表示层

　　 将准备交换的数据从适合于某一用户的抽象语法，转换为适合于OSI系统内部使用的传送语法。

7）应用层

　　应用层是用户与网络的接口，它直接为网络用户或应用程序提供各种网络服务。提供的网络服务包括：文件服务、事物管理服务、网络管理服务、数据库服务等。

    2.OSI模型的安全服务

        ISO定义了：认证服务、访问控制服务、数据机密性服务、数据完整性服务和抗否认服务。

1）认证服务：  鉴别实体身份的真实性，分为：对等实体认证和数据源认证。

 2）访问控制服务： 控制只有经过授权的实体才能访问受保护的资源，用于防治未授权用户非法使用系统资源。

3）数据机密性服务：  提供加密保护。

4）数据完整性服务： 应对主动威胁，保障数据从起点到终点的传输过程中，不因机器故障或人为的原因而造成数据的丢失和篡改，接收端能够知道或恢复这些改变，保证接收端的数据真实性。

5）抗否认性服务： 防止发送方在发送数据后否认发送，接收方在收到数据后否认收到或伪造数据的行为。

3.OSI模型的安全机制

       在ISO 7498-2“网络安全体系结构”文件中规定：网络安全机制有8种（加密、数字签名、访问控制、数据完整性、鉴别交换、业务流填充、路由控制和公证）。

1）加密机制： 用于数据存储和传输的保密性。

2）数字签名机制： 数字签名用于解决否认、伪造、冒充和篡改问题。      

 3）访问控制机制：  该机制控制可访问资源的用户，以及可访问的资源，拒绝非法用户访问资源。

 4）数据完整性机制：保护存储和传输的数据及软件不被非法篡改。

 5）交换鉴别机制：  通过相互交换信息来确定彼此的身份。主要有站点鉴别、报文鉴别、用户和进程的认证等。

6）业务流填充机制： 为防范攻击者分析网络中某一路径上的数据流量，该机制在一些关键站点间无正常数据传送时，持续填充传输一些随机数据（业务流），使攻击者无法分清哪些是真实的数据。

 7）路由控制机制：为信息发送选择适当的安全路径，保证数据安全。

 8）公正机制： 对传输中信息的丢失或延迟等，采用各方都认可的第三方提供公证仲裁。

 1.3.2 基于TCP/IP的安全体系结构

    1.TCP/IP体系结构的分层

        TCP/IP体系结构共分4层，从上往下依次为应用层、传输层、网络层和网络接口层。每一层提供特定功能，层与层之间相对独立。  与OSI七层模型相比，TCP/IP没有表示层和会话层，这两层的功能由应用层提供，OSI的物理层和数据链路层功能由网络接口层完成。

       1）应用层

             是TCP/IP模型的最高层。负责面向用户的各种应用软件，是用户访问网络的界面。

       2）传输层

             传输层提供了在应用程序的客户机和服务器之间，传输应用层报文的服务，有TCP和UDP两个传输协议。

       3）网络层

             网络层负责为数据报传输选择路径，它具有定义IP数据报的功能，主要是IP协议。

       4）网络接口层

             网络接口层对应OSI的数据链路层和物理层，是TCP/IP模型的最低层。

   2.TCP/IP体系结构各层次的安全

       1）网络接口层的安全

                  一般指：设备驱动程序、局域网的网络接口、X.25中的网络接口等。采用划分VLAN或对远程通信加密来保证安全。

       2）网络层的安全

                 网络层安全提供基于主机的安全服务，用安全协议建立安全的IP通道和虚拟专网VPN。

          （1）防火墙           

           （2）IP安全协议(IPSec)

          （3）入侵检测

      3）传输层的安全

         可在两个通信节点之间，设置一个传递TCP连接并进行控制的传输层网关，并采用SSL（安全套接层）、SOCKS和安全RPC等协议。

  4）应用层的安全

       采用S—HTTP协议（HTTP的安全增强版）提供文件级的安全，S—HTTP提供对单钥加密和数字签名的支持。

1.4    网络安全服务

1.4.1 认证服务

       1.非密码认证服务

               1)口令机制

　　        2)一次性口令

　           3)询问-应答机制

              4)个人特征机制

     2. 密码的认证服务

         1）基于对称密码的认证

         2）基于非对称密码（公钥）的认证

1.4.2 访问控制服务

       1.访问控制策略

           1）基于身份的策略

           2）基于规则的策略

           3）访问控制技术

       自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制（RBAC）。

    2.访问控制列表

        访问控制列表是实体及其对资源的访问权限列表，该表给出了每个用户对给定目标的访问权限。反映一个目标对应于访问矩阵列中的内容。

 1.4.3 机密性服务

　    机密性服务提供对信息的保密，防止非授权用户对信息的非法访问。

　    1.提供机密性服务的方法

             1）访问控制方法

　          2）隐藏信息方法

       2.机密性服务   

              1）加密服务

             2）数据填充

             3）业务流填充

  1.4.4 完整性服务

　　 完整性是指数据的完整性，即保护数据不被被未授权的用户修改、删除和替换。

　  1.保证数据完整性

     2.数据完整性服务

　　     1）测试字服务

           2）封装和签名服务

           3）加密               

           4）序列完整性

           5）复制和恢复

  1.4.5 抗否认服务

　　　抗否认性服务又称不可抵赖性服务。当不能防止一个用户否认另一个用户所声称发生某事时，该服务以证据支持纠纷的解决。

　　 1.起源的抗否认性服务

　 　2.传递的抗否认性服务.

 

点此查看网络信息安全面试复习（二）