网络工程师学习笔记(共11章)-第7章

按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！



　　4、Trap操作，是一种捕捉事件并报告的操作，实际上几乎所有网络管理系统和管理协议都具有这种机制。

　四、网络管理系统

　　1、HP…Open　View

　　不能处理因为某一网络对象故障而误导致的其他对象的故障，不具备理解所有网络对象在网络中相互关系的能力。也不能把服务的故障与设备的故障区分开来。性能的轮与状态的轮询是截然分开的，这样导致一个网络对象响应性能轮询失败但不触发一个报警。

　　2、IBM…Net　View

　　不能对故障事件进行归并，它不能找出相关故障卡片的内在关系，因此对一个失效设备，即使是一个重要的路由器，将导致大量的故障卡片和一系列类似的告警。不具备在掌握整个网络结构情况下管理分散对象的能力。性能轮询与状态轮询也是彻底分开的，这将导致故障响应的延迟。

　　3、SUN…SunNet　Manager

　　是第一个重要的基于UNIX的网络管理系统。

　　4、Cabletron　SPECTRUM

　　是一个可扩展的、智能的网络管理系统，它使用了面向对象的方法和客户服务器体系结构。SPECTRUM构筑在一个人工智能的引擎之上，IMT（Inductive　Modeling　Technology）。它是所有四种网络管理软件中惟一具备处理网络对象相关性能力的系统。

　　SPECTRUM服务器提供了两种类型的轮询：自动轮询和手动轮询。

　　SPECTRUM提供了多种形式的告警手段，包括弹出窗口，发出报警声响等。

　　SPECTRUM能自动的发现拓扑结构，但相对比较慢。

　　五、网络日常管理和维护

　　1、VLAN的管理

　　2、WAN接入的管理

　　3、网络故障诊断和排除

　　物理故障：

　　逻辑故障：

　　路由器故障：

　　主机故障：

　　4、网络管理工具

　　连通性测试程序Ping　：

　　路由跟踪程序Traceroute：在Windows中是tracert

　　MIB变量浏览器：

第8章　网络安全与信息安全

　　主要内容：1、密码学、鉴别

　　2、访问控制、计算机病毒

　　3、网络安全技术

　　4、安全服务与安全机制

　　5、信息系统安全体系结构框架

　　6、信息系统安全评估准则

　　一、密码学

　　1、密码学是以研究数据保密为目的，对存储或者传输的信息采取秘密的交换以防止第三者对信息的窃取的技术。

　　2、对称密钥密码系统（私钥密码系统）：在传统密码体制中加密和解密采用的是同一密钥。常见的算法有：DES、IDEA

　　3、加密模式分类：

　　（1）序列密码：通过有限状态机产生性能优良的伪随机序列，使用该序列加密信息流逐位加密得到密文。

　　（2）分组密码：在相信复杂函数可以通过简单函数迭代若干圈得到的原则，利用简单圈函数及对合等运算，充分利用非线性运算。

　　4、非对称密钥密码系统（公钥密码系统）：现代密码体制中加密和解密采用不同的密钥。

　　实现的过程：每个通信双方有两个密钥，K和K'，在进行保密通信时通常将加密密钥K公开（称为公钥），而保留解密密钥K'（称为私钥），常见的算法有：RSA

　　二、鉴别

　　鉴别是指可靠地验证某个通信参与方的身份是否与他所声称的身份一致的过程，一般通过某种复杂的身份认证协议来实现。

　　1、口令技术

　　身份认证标记：PIN保护记忆卡和挑战响应卡

　　分类：共享密钥认证、公钥认证和零知识认证

　　（1）共享密钥认证的思想是从通过口令认证用户发展来了。

　　（2）公开密钥算法的出现为

　　2、会话密钥：是指在一次会话过程中使用的密钥，一般都是由机器随机生成的，会话密钥在实际使用时往往是在一定时间内都有效，并不真正限制在一次会话过程中。

　　签名：利用私钥对明文信息进行的变换称为签名

　　封装：利用公钥对明文信息进行的变换称为封装

　　3、Kerberos鉴别：是一种使用对称密钥加密算法来实现通过可信第三方密钥分发中心的身份认证系统。客户方需要向服务器方递交自己的凭据来证明自己的身份，该凭据是由KDC专门为客户和服务器方在某一阶段内通信而生成的。凭据中包括客户和服务器方的身份信息和在下一阶段双方使用的临时加密密钥，还有证明客户方拥有会话密钥的身份认证者信息。身份认证信息的作用是防止攻击者在将来将同样的凭据再次使用。时间标记是检测重放攻击。

　　4、数字签名：

　　加密过程为C=EB（DA（m））　用户A先用自己的保密算法（解密算法DA）对数据进行加密DA（m），再用B的公开算法（加密算法EB）进行一次加密EB（DA（m））。

　　解密的过程为m=　EA　（DB　（C））　用户B先用自己的保密算法（解密算DB）对密文C进行解密DB　（C），再用A的公开算法（加密算法EA）进行一次解密EA　（DB　（C））。只有A才能产生密文C，B是无法依靠或修改的，所以A是不得抵赖的DA（m）被称为签名。

三、访问控制

　　访问控制是指确定可给予哪些主体访问的权力、确定以及实施访问权限的过程。被访问的数据统称为客体。

　　1、访问矩阵是表示安全政策的最常用的访问控制安全模型。访问者对访问对象的权限就存放在矩阵中对应的交叉点上。

　　2、访问控制表（ACL）每个访问者存储有访问权力表，该表包括了他能够访问的特定对象和操作权限。引用监视器根据验证访问表提供的权力表和访问者的身份来决定是否授予访问者相应的操作权限。

　　3、粗粒度访问控制：能够控制到主机对象的访问控制

　　细粒度访问控制：能够控制到文件甚至记录的访问控制

　　4、防火墙作用：防止不希望、未经授权的通信进出被保护的内部网络，通过边界控制强化内部网络的安全政策。

　　防火墙的分类：IP过滤、线过滤和应用层代理

　　路由器过滤方式防火墙、双穴信关方式防火墙、主机过滤式防火墙、子网过滤方式防火墙

　　5、过滤路由器的优点：结构简单，使用硬件来降低成本；对上层协议和应用透明，无需要修改已经有的应用。缺点：在认证和控制方面粒度太粗，无法做到用户级别的身份认证，只有针对主机IP地址，存在着假冒IP攻击的隐患；访问控制也只有控制到IP地址端口一级，不能细化到文件等具体对象；从系统管理角度来看人工负担很重。

　　6、代理服务器的优点：是其用户级身份认证、日志记录和帐号管理。缺点：要想提供全面的安全保证，就要对每一项服务都建立对应的应用层网关，这就极大限制了新应用的采纳。

　　7、VPN：虚拟专用网，是将物理分布在不同地点的网络通过公共骨干网，尤其是internet联接而成的逻辑上的虚拟子网。

　　8、VPN的模式：直接模式VPN使用IP和编址来建立对VPN上传输数据的直接控制。对数据加密，采用基于用户身份的鉴别，而不是基于IP地址。隧道模式VPN是使用IP帧作为隧道的发送分组。

　　9、IPSEC是由IETF制订的用于VPN的协议。由三个部分组成：封装安全负载ESP主要用来处理对IP数据包的加密并对鉴别提供某种程序的支持。，鉴别报头（AP）只涉及到鉴别不涉及到加密，internet密钥交换IKE主要是对密钥交换进行管理。

　　四、计算机病毒

　　1、计算机病毒分类：操作系统型、外壳型、入侵型、源码型

　　2、计算机病毒破坏过程：最初病毒程序寄生在介质上的某个程序中，处于静止状态，一旦程序被引导或调用，它就被激活，变成有传染能力的动态病毒，当传染条件满足时，病毒就侵入内存，随着作业进程的发展，它逐步向其他作业模块扩散，并传染给其他软件。在破坏条件满足时，它就由表现模块或破坏模块把病毒以特定的方针表现出来。

　　五、网络安全技术

　　1、链路层负责建立点到点的通信，网络层负责寻径、传输层负责建立端到端的通信信道。

　　2、物理层可以在通信线路上采用某些技术使得搭线偷听变得不可能或者容易被检测出。数据链路层，可以采用通信保密机进行加密和解密。

　　3、IP层安全性

　　在IP加密传输信道技术方面，IETF已经指定了一个IP安全性工作小组IPSEC来制订IP安全协议IPSP和对应的internet密钥管理协议IKMP的标准。

　　（1）IPSEC采用了两种机制：认证头部AH，提前谁和数据完整性；安全内容封装ESP，实现通信保密。1995年8月internet工程领导小组IESG批准了有关IPSP的RFC作为internet标准系列的推荐标准。同时还规定了用安全散列算法SHA来代替MD5和用三元DES代替DES。

　　4、传输层安全性

　　（1）传输层网关在两个通信节点之间代为传递TCP连接并进行控制，这个层次一般称作传输层安全。最常见的传输层安全技术有SSL、SOCKS和安全RPC等。

　　（2）在internet编程中，通常使用广义的进程信IPC机制来同不同层次的安全协议打交道。比较流行的两个IPC编程界面是BSD　Sockets和传输层界面TLI。

　　（3）安全套接层协议SSL

　　在可靠的传输服务TCP/IP基础上建立，SSL版本3，SSLv3于1995年12月制定。SSL采用公钥方式进行身份认证，但是大量数据传输仍然使用对称密钥方式。通过双方协商SSL可以支持多种身份认证、加密和检验算法。

　　SSL协商协议：用来交换版本号、加密算法、身份认证并交换密钥SSLv3提供对Deffie…Hellman密钥交换算法、基于RSA的密钥交换机制和另一种实现在Frotezza　chip上的密钥交换机制的支持。

　　SSL记录层协议：它涉及应用程序提供的信息的分段、压缩数据认证和加密SSLv3提供对数据认证用的MD5和SHA以及数据加密用的R4主DES等支持，用来对数据进行认证和加密的密钥可以有通过SSL的握手协议来协商。

　　SSL协商层的工作过程：当客户方与服务方进行通信之前，客户方发出问候；服务方收到问候后，发回一个问候。问候交换完毕后，就确定了双方采用的SSL协议的版本号、会话标志、加密算法集和压缩算法。

　　SSL记录层的工作过程：接收上层的数据，将它们分段；然后用协商层约定的压缩方法进行压缩，压缩后的记录用约定的流加密或块加密方式进行加密，再由传输层发送出去。

　　5、应用层安全性

　　6、WWW应用安全技术

　　（1）解决WWW应用安全的方案需要结合通用的internet安全技术和专门针对WWW的技术。前者主要是指防火墙技术，后者包括根据WWW技术的特点改进HTTP协议或者利用代理服务器、插入件、中间件等技术来实现的安全技术。

　　（2）HTTP目前三个版本：HTTP0。9、HTTP1。0、HTTP1。1。HTTP0。9是最早的版本，它只定义了最基本的简单请求和简单回答；HTTP1。0较完善，也是目前使用广泛的一个版本；HTTP1。1增加了大量的报头域，并对HTTP1。0中没有严格定义的部分作了进一步的说明。

　　（3）HTTP1。1提供了一个基于口令基本认证方法，目前所有的WEB服务器都可以通过〃基本身份认证〃支持访问控制。在身份认证上，针对基本认证方法以明文传输口令这一最大弱点，补充了摘要认证方法，不再传递口令明文，而是将口令经过散列函数变换后传递它的摘要。

　　（4）针对HTTP协议的改进还有安全HTTP协议SHTTP。最新版本的SHTTP1。3它建立在HTTP1。1基础上，提供了数据加密、身份认证、数据完整、防止否认等能力。

　　（5）DEC…Web

　　WAND服务器是支持DCE的专用Web服务器，它可以和三种客户进行通信：第一是设置本地安全代理SLP的普通浏览器。第二种是支持SSL浏览器，这种浏览器向一个安全网关以SSL协议发送请求，SDG再将请求转换成安全RPC调用发给WAND，收到结果后，将其转换成SSL回答，发回到浏览器。第三种是完全没有任何安全机制的普通浏览器，WANS也接受它直接的HTTP请求，但此时通信得不到任何保护。

六、安全服务与安全与机制

　　1、ISO7498…2从体系结构的观点描述了5种可选的安全服务、8项特定的安全机制以及5种普遍性的安全机制。

　　2、5种可选的安全服务：鉴别、访问控制、数据保密、数据完整性和防止否认。

　　3、8种安全机制：加密机制、数据完整性机制、访问控制机制、数据完整性机制、认证机制、通信业务填充机制、路由控制机制、