第6章互聯網安全技術與防范對策(編輯修改稿)

　

【文章內容簡介】 l、GUI 市場報價 142,000RMB 80,000RMB 138,000RMB 148,000RMB 2023/2/7 28 第六章 互聯網安全技術與防范對策 第六章 互聯網安全技術與防范對策 內容提要 ? 網絡安全基礎 ? 防火墻技術 ? VPN技術 ? 網絡攻擊手段 ? 網絡入侵檢測 ? 訪問控制技術 2023/2/7 29 第六章 互聯網安全技術與防范對策 VPN ? VPN即虛擬專用網，是依靠 ISP（ Inter服務提供商）和其他 NSP（網絡服務提供商），在公用網絡中建立專用的數據通信網絡的技術。所謂虛擬，是指用戶不再需要擁有實際的長途數據線路，而是使用 Inter公眾數據網絡的長途數據線路。所謂專用網，是指用戶可以為自己制定一個最符合自己需求的網絡。 ? VPN由三個部分組成：客戶機、傳輸介質和服務器。 ? VPN的工作原理是：信息的發送進程通過可信任的內部網發送明文到 VPN服務器，由 VPN根據安全策略對數據包（包括源 IP地址和目的 IP地址等）進行加密，并附上數字簽名；然后 VPN服務器對數據包加上新的數據報頭，其中包括一些安全信息和參數，對加密后的數據包重新進行封裝。此數據包通過 Inter上的“隧道”傳輸，到達目的方的 VPN服務器，由該服務器解包，核對數字簽名，并且解密。最后，明文信息通過內部網傳輸到目的地。 2023/2/7 30 第六章 互聯網安全技術與防范對策 VPN的功能 ? 虛擬專用網至少應能提供如下功能： ? ①加密數據，以保證通過公網傳輸的信息即使被他人截獲也不會泄露。 ? ②信息認證和身份認證，保證信息的完整性、合法性，并能鑒別用戶的身份。 ? ③提供訪問控制，不同的用戶有不同的訪問權限。 2023/2/7 31 第六章 互聯網安全技術與防范對策 VPN的優缺點 ? VPN具有以下優點： ? ①低成本。企業不必租用長途專線建設專網，不必大量的網絡維護人員和設備投資。 ? ②易擴展。網絡路由設備配臵簡單，無需增加太多的設備，省時省錢。 ? ③完全控制主動權。 VPN上的設施和服務完全掌握在企業手中。 ? VPN的幾個不足： ? ①無法保護“越界”數據的安全 ? ② VPN的管理流程和平臺與其他成熟的遠程接入服務相比還不太好用 ? ③不同廠商的 IPsec VPN的管理和配臵掌握起來是最難的 2023/2/7 32 第六章 互聯網安全技術與防范對策 VPN的基本類型 ? 按接入方式劃分為兩類 ? 專線 VPN：專線 VPN是為已經通過專線接入 ISP（因特網服務提供商）邊緣路由器的用戶提供的 VPN實現方案。 ? 撥號 VPN：撥號 VPN又稱 VPDN，指的是為利用撥號方式通過 PSTN（公用電話交換網）或 ISDN（綜合業務數字網）接入 ISP的用戶提供的 VPN業務。 ? 按隧道協議所屬的層次劃分 ? 工作在鏈路層的第二層隧道協議 ? 工作在網絡層的第三層隧道協議 ? 介于第二層和第三層之間的隧道協議 ? 按 VPN發起主體不同劃分 ? 基于客戶的 VPN ? 基于網絡的 VPN ? 按業務類型劃分 ? Inter VPN ? Access VPN ? Extra VPN ? 按應用平臺劃分 ? 軟件 VPN ? 專用硬件 VPN ? 輔助硬件 VPN ? 按運營商所開展的業務類型劃分 ? 撥號 VPN業務 ? 虛擬租用線 ? 虛擬專用路由網業務 ? 虛擬專用局域網段 2023/2/7 33 第六章 互聯網安全技術與防范對策 VPN的關鍵技術 ? （ 1）隧道技術 ? 隧道技術簡單的說就是：原始報文在 A地進行封裝，到達 B地后把封裝去掉還原成原始報文，這樣就形成了一條由 A到 B的通信隧道。 ? ①一般路由封裝（ GRE） ? GRE主要用于源路由和終路由之間所形成的隧道。 GRE通常是點到點的，但和下一跳路由協議（ NextHop Routing Protocol， NHRP）結合使用可以實現點到多點。 ? GRE隧道技術是用在路由器中的，可以滿足 Extra VPN和 Intra VPN的需求。遠程訪問撥號用戶一般通過 L2TP和 PPTP訪問 VPN。 ? ② L2TP（ L2F和 PPTP的結合） ? L2TP是 L2F（ Layer 2 Forwarding）和 PPTP的結合。采用“強制”隧道模型機制（ “ NAS初始化”隧道（ Network Access Server））。 ? ③ PPTP（點對點隧道協議） ? PPTP采用“主動”隧道模型機制（“用戶初始化”隧道）。 ? 采用 L2TP還是 PPTP實現 VPN取決于要把控制權放在 NAS還是用戶手中。 L2TP比 PPTP更安全，前者適合集中固定用戶，后者適合移動用戶。 ? （ 2）加密技術 ? （ 3） QoS技術（帶寬，反應時間和丟失率） 2023/2/7 34 第六章 互聯網安全技術與防范對策 VPN分類結構 VPN 撥號 VPN 專線 VPN 客戶發起的 VDPN NAS發起的 VDPS IP Tunnel VPNaware Netwares FR ATM 2023/2/7 35 第六章 互聯網安全技術與防范對策 VPN的配置結構 ? ① ATM PVC 組建方式。 ? 即利用電信部門提供的 ATM PVC來組建用戶的專用網。這種專用網的通信速率快，安全性高，支持多媒體通信。 ? ② IP Tunneling組建方式。 ? 即在多媒體通信網的 IP層組建專用網。其傳輸速率不能完全保證，不支持多媒體通信；使用國際通行的加密算法，安全性好；這種組網方式的業務在公眾通信網遍及的地方均可提供。 ? ③ Dialup Access組網方式（ VDPN）。 ? 這是一種撥號方式的專用網組建方式，可以利用已遍布全國的撥號公網來組建專用網，其接入地點在國內不限，上網可節省長途撥號的費用，對于流動性強、分支機構多、通信量小的用戶而言，這是一種理想的組網方式，它可以將用戶內部網的界限，從單位的地理所在點延伸到全國范圍。 2023/2/7 36 第六章 互聯網安全技術與防范對策 VPN的安全策略 ? 目前建造虛擬專網的國際標準有 IPSec和 L2TP。 ? VPN系統使分布在不同地方的專用網絡在不可信任的公共網絡上安全地通信。它采用復雜的算法來加密傳輸的信息，使得敏感的數據不會被竊聽，其處理過程如下： ? （ 1）要保護的主機發送明文信息到連接公共網絡的 VPN設備。 ? （ 2） VPN設備根據網管設置的規則，確定是否需要對數據進行加密或讓數據直接通過。對需要加密的數據， VPN設備對整個數據包進行加密和附上數字簽名。 ? （ 3） VPN設備加上新的數據報頭，其中包括目的地 VPN設備需要的安全信息和一些初始化參數。 VPN設備對加密后的數據、鑒別包以及源 IP地址、目標 VPN設備 IP地址進行重新封裝，重新封裝后的數據包通過虛擬通道在公網上傳輸。 ? （ 4）當數據包到達目標 VPN設備時，數據包被解封裝，數字簽名被核對無誤后，數據包被解密。 2023/2/7 37 第六章 互聯網安全技術與防范對策 第六章 互聯網安全技術與防范對策 內容提要 ? 網絡安全基礎 ? 防火墻技術 ? VPN技術 ? 網絡攻擊手段 ? 網絡入侵檢測 ? 訪問控制技術 2023/2/7 38 第六章 互聯網安全技術與防范對策 DDoS ? DDoS (Distributed Denial of Service，分布式拒絕服務攻擊 )是指，攻擊者利用拒絕服務軟件，對某一資源發送垃圾信息，導致帶寬或者資源過載產生瓶頸，從而使得其他的用戶無法享用該服務資源。當一個對資源的合理請求大大超過資源的支付能力時就會造成拒絕服務攻擊。 ? 被 DDoS攻擊時的現象 ： ? 被攻擊主機上有大量等待的 TCP連接 ? 網絡中充斥著大量的無用的數據包，源地址為假 ? 制造高流量無用數據，造成網絡擁塞，使受害主機無法正常和外界通訊 ? 利用受害主機提供的服務或傳輸協議上的缺陷，反復高速的發出特定的服務請求，使受害主機無法及時處理所有正常請求 ? 嚴重時會造成系統死機 2023/2/7 39 第六章 互聯網安全技術與防范對策 DDoS的工作原理圖 2023/2/7 40 第六章 互聯網安全技術與防范對策 DDoS的工作原理分析 ? 首先，攻擊者通過利用系統服務的漏洞或者管理員的配臵錯誤等方法，來進入一些安全措施較差的小型站點以及單位中的服務器。 ? 然后，攻擊者在所侵入的服務器上安裝攻擊軟件。其目的在于隔離網絡聯系，保護攻擊者，使其不會在攻擊進行時受到監控系統的跟蹤，同時也能夠更好地協調進攻。 ? 再后，攻擊者從攻擊控制臺向各個攻擊服務器發出對特定目標的攻擊命令。攻擊器接到攻擊命令后，就開始每一個攻擊器都會向目標主機發出大量的服務請求數據包。這些包所請求的服務往往要消耗較大的系統資源，這就會導致目標主機網絡和系統資源的耗盡，從而停止服務，甚至會導致系統崩潰。 2023/2/7 41 第六章 互聯網安全技術與防范對策 DDos的體系結構 ? DDoS采用一種三層客戶服務器結構。 ? 最下層是攻擊的執行者 。這一層由許多網絡主機構成。攻擊者通過各種辦法獲得主機的登錄權限，并在上面安裝攻擊器程序。這些攻擊器程序中一般內置了上面一層的某一個或某幾個攻擊服務器