912网络安全技术研究的主要问题.pptVIP

第9章 网络安全与网络管理技术 9.2.6 身份认证技术的发展 身份认证可以通过3种基本途径之一或它们的组合实现： 所知（knowledge）:个人所掌握的密码、口令 所有（possesses）:个人身份证、护照、信用卡、钥匙 个人特征（characteristics）:人的指纹、声纹、笔迹、手型、脸型、血型、视网膜、虹膜、DNA，以及个人动作方面的特征 新的、广义的生物统计学是利用个人所特有的生理特征来设计的,目前人们研究的个人特征主要包括：容貌、肤色、发质、身材、姿势、手印、指纹、脚印、唇印、颅相、口音、脚步声、体味、视网膜、血型、遗传因子、笔迹、习惯性签字、打字韵律，以及在外界刺激下的反应等 第9章 网络安全与网络管理技术 9.3 防火墙技术9.3.1 防火墙的基本概念 第9章 网络安全与网络管理技术 9.3 防火墙技术9.3.1 防火墙的基本概念 防火墙是在网络之间执行安全控制策略的系统，它包括硬件和软件 设置防火墙的目的是保护内部网络资源不被外部非授权用户使用，防止内部受到外部非法用户的攻击? 防火墙通过检查所有进出内部网络的数据包，检查数据包的合法性，判断是否会对网络安全构成威胁，为内部网络建立安全边界（security perimeter） 构成防火墙系统的两个基本部件是包过滤路由器（packet filtering router）和应用级网关（application gateway） 最简单的防火墙由一个包过滤路由器组成，而复杂的防火墙系统由包过滤路由器和应用级网关组合而成 由于组合方式有多种，因此防火墙系统的结构也有多种形式。 第9章 网络安全与网络管理技术 9.3.2 包过滤路由器 1、包过滤路由器的结构 第9章 网络安全与网络管理技术 9.3.2 包过滤路由器 1、包过滤路由器的结构 路由器按照系统内部设置的分组过滤规则（即访问控制表），检查每个分组的源IP地址、目的IP地址，决定该分组是否应该转发 包过滤规则一般是基于部分或全部报头的内容。例如，对于TCP报头信息可以是： 源IP地址 目的IP地址 协议类型 IP选项内容 源TCP端口号 目的TCP端口号 TCP ACK标识 第9章 网络安全与网络管理技术 9.3.2 包过滤路由器 2、包过滤的工作流程 第9章 网络安全与网络管理技术 9.3.2 包过滤路由器 3、包过滤路由器作为防火墙的结构 第9章 网络安全与网络管理技术 9.3.2 包过滤路由器 4、假设网络安全策略规定 内部网络的E-mail服务器（IP地址为192.1.6.2，TCP端口号为25）可以接收来自外部网络用户的所有电子邮件 允许内部网络用户传送到与外部电子邮件服务器的电子邮件 拒绝所有与外部网络中名字为TESTHOST主机的连接 第9章 网络安全与网络管理技术 9.3.2 包过滤路由器 5、包过滤规则表 第9章 网络安全与网络管理技术 9.3.3 应用级网关的概念 1、多归属主机（multihomed host） 多归属主机又称多宿主主机，通常有两个以上的网络接口，可以连接多个网络。具有多个网络之间交换数据的路由能力，因此也称为网关。如果将多宿主主机做为防火墙，在应用层上用来进行用户身份认证和服务请求合法性检查，这种多宿主主机称为应用级网关。 第9章 网络安全与网络管理技术 9.3.3 应用级网关的概念 2、应用级网关 ?如果双宿主主机连接的两个网络的应用访问规则能够确定，就可以将该双宿主主机做为应用级网关。应用级网关可以通过运行在其上的应用程序访问控制软件，控制两个网络间对访问特定主机的数据包是否转发。 第9章 网络安全与网络管理技术 9.3.3 应用级网关的概念 3、应用代理（application proxy） ?应用代理是应用级网关的一种形式，但他们的工作方式不同。应用级网关采用存储转发工作方式。应用代理完全接管了用户与服务器的访问。 第9章 网络安全与网络管理技术 9.3.4 防火墙的系统结构 1、堡垒主机的概念 一个双归属主机作为应用级网关可以起到防火墙作用 处于防火墙关键部位、运行应用级网关软件的计算机系统叫做堡垒主机 第9章 网络安全与网络管理技术 9.3.4 防火墙的系统结构 2、典型防火墙系统系统结构分析 1）、采用一个过滤路由器与一个堡垒主机组成的S-B1防火墙系统结构 第9章 网络安全与网络管理技术 9.3.4 防火墙的系统结构 2）、包过滤路由器的转发过程 第9章 网络安全与网络管理技术 9.3.4 防火墙的系统结构 3）、S-B1配置的防火墙系统中数据传输过程 第9章 网络安全与网络管理技术 9.3.4 防火墙的系统结构 4）