網(wǎng)絡(luò)工程師學(xué)習(xí)筆記(6)

　　訪問(wèn)控制是指確定可給予哪些主體訪問(wèn)的權(quán)力、確定以及實(shí)施訪問(wèn)權(quán)限的過(guò)程。被訪問(wèn)的數(shù)據(jù)統(tǒng)稱(chēng)為客體。

　　1、訪問(wèn)矩陣是表示安全政策的最常用的訪問(wèn)控制安全模型。訪問(wèn)者對(duì)訪問(wèn)對(duì)象的權(quán)限就存放在矩陣中對(duì)應(yīng)的交叉點(diǎn)上。

　　2、訪問(wèn)控制表(ACL)每個(gè)訪問(wèn)者存儲(chǔ)有訪問(wèn)權(quán)力表，該表包括了他能夠訪問(wèn)的特定對(duì)象和操作權(quán)限。引用監(jiān)視器根據(jù)驗(yàn)證訪問(wèn)表提供的權(quán)力表和訪問(wèn)者的身份來(lái)決定是否授予訪問(wèn)者相應(yīng)的操作權(quán)限。

　　3、粗粒度訪問(wèn)控制:能夠控制到主機(jī)對(duì)象的訪問(wèn)控制

　　細(xì)粒度訪問(wèn)控制:能夠控制到文件甚至記錄的訪問(wèn)控制

　　4、防火墻作用:防止不希望、未經(jīng)授權(quán)的通信進(jìn)出被保護(hù)的內(nèi)部網(wǎng)絡(luò)，通過(guò)邊界控制強(qiáng)化內(nèi)部網(wǎng)絡(luò)的安全政策。

　　防火墻的分類(lèi):IP過(guò)濾、線(xiàn)過(guò)濾和應(yīng)用層代理

　　路由器過(guò)濾方式防火墻、雙穴信關(guān)方式防火墻、主機(jī)過(guò)濾式防火墻、子網(wǎng)過(guò)濾方式防火墻

　　5、過(guò)濾路由器的優(yōu)點(diǎn):結(jié)構(gòu)簡(jiǎn)單，使用硬件來(lái)降低成本;對(duì)上層協(xié)議和應(yīng)用透明，無(wú)需要修改已經(jīng)有的應(yīng)用。缺點(diǎn):在認(rèn)證和控制方面粒度太粗，無(wú)法做到用戶(hù)級(jí)別的身份認(rèn)證，只有針對(duì)主機(jī)IP地址，存在著假冒IP攻擊的隱患;訪問(wèn)控制也只有控制到IP地址端口一級(jí)，不能細(xì)化到文件等具體對(duì)象;從系統(tǒng)管理角度來(lái)看人工負(fù)擔(dān)很重。

　　6、代理服務(wù)器的優(yōu)點(diǎn):是其用戶(hù)級(jí)身份認(rèn)證、日志記錄和帳號(hào)管理。缺點(diǎn):要想提供全面的安全保證，就要對(duì)每一項(xiàng)服務(wù)都建立對(duì)應(yīng)的應(yīng)用層網(wǎng)關(guān)，這就極大限制了新應(yīng)用的采納。

　　7、VPN:虛擬專(zhuān)用網(wǎng)，是將物理分布在不同地點(diǎn)的網(wǎng)絡(luò)通過(guò)公共骨干網(wǎng)，尤其是internet聯(lián)接而成的邏輯上的虛擬子網(wǎng)。

　　8、VPN的模式:直接模式VPN使用IP和編址來(lái)建立對(duì)VPN上傳輸數(shù)據(jù)的直接控制。對(duì)數(shù)據(jù)加密，采用基于用戶(hù)身份的鑒別，而不是基于IP地址。隧道模式VPN是使用IP幀作為隧道的發(fā)送分組。

　　9、IPSEC是由IETF制訂的用于VPN的協(xié)議。由三個(gè)部分組成:封裝安全負(fù)載ESP主要用來(lái)處理對(duì)IP數(shù)據(jù)包的加密并對(duì)鑒別提供某種程序的支持。，鑒別報(bào)頭(AP)只涉及到鑒別不涉及到加密，internet密鑰交換IKE主要是對(duì)密鑰交換進(jìn)行管理。

　　四、計(jì)算機(jī)病毒

　　1、計(jì)算機(jī)病毒分類(lèi):操作系統(tǒng)型、外殼型、入侵型、源碼型

　　2、計(jì)算機(jī)病毒破壞過(guò)程:最初病毒程序寄生在介質(zhì)上的某個(gè)程序中，處于靜止?fàn)顟B(tài)，一旦程序被引導(dǎo)或調(diào)用，它就被激活，變成有傳染能力的動(dòng)態(tài)病毒，當(dāng)傳染條件滿(mǎn)足時(shí)，病毒就侵入內(nèi)存，隨著作業(yè)進(jìn)程的發(fā)展，它逐步向其他作業(yè)模塊擴(kuò)散，并傳染給其他軟件。在破壞條件滿(mǎn)足時(shí)，它就由表現(xiàn)模塊或破壞模塊把病毒以特定的方針表現(xiàn)出來(lái)。

　　五、網(wǎng)絡(luò)安全技術(shù)

　　1、鏈路層負(fù)責(zé)建立點(diǎn)到點(diǎn)的通信，網(wǎng)絡(luò)層負(fù)責(zé)尋徑、傳輸層負(fù)責(zé)建立端到端的通信信道。

　　2、物理層可以在通信線(xiàn)路上采用某些技術(shù)使得搭線(xiàn)偷聽(tīng)變得不可能或者容易被檢測(cè)出。數(shù)據(jù)鏈路層，可以采用通信保密機(jī)進(jìn)行加密和解密。

　　3、IP層安全性

　　在IP加密傳輸信道技術(shù)方面，IETF已經(jīng)指定了一個(gè)IP安全性工作小組IPSEC來(lái)制訂IP安全協(xié)議IPSP和對(duì)應(yīng)的internet密鑰管理協(xié)議IKMP的標(biāo)準(zhǔn)。

　　(1)IPSEC采用了兩種機(jī)制:認(rèn)證頭部AH，提前誰(shuí)和數(shù)據(jù)完整性;安全內(nèi)容封裝ESP，實(shí)現(xiàn)通信保密。1995年8月internet工程領(lǐng)導(dǎo)小組IESG批準(zhǔn)了有關(guān)IPSP的RFC作為internet標(biāo)準(zhǔn)系列的推薦標(biāo)準(zhǔn)。同時(shí)還規(guī)定了用安全散列算法SHA來(lái)代替MD5和用三元DES代替DES。

　　4、傳輸層安全性

　　(1)傳輸層網(wǎng)關(guān)在兩個(gè)通信節(jié)點(diǎn)之間代為傳遞TCP連接并進(jìn)行控制，這個(gè)層次一般稱(chēng)作傳輸層安全。最常見(jiàn)的傳輸層安全技術(shù)有SSL、SOCKS和安全RPC等。

　　(2)在internet編程中，通常使用廣義的進(jìn)程信IPC機(jī)制來(lái)同不同層次的安全協(xié)議打交道。比較流行的兩個(gè)IPC編程界面是BSD Sockets和傳輸層界面TLI。

　　(3)安全套接層協(xié)議SSL

　　在可靠的傳輸服務(wù)TCP/IP基礎(chǔ)上建立，SSL版本3，SSLv3于1995年12月制定。SSL采用公鑰方式進(jìn)行身份認(rèn)證，但是大量數(shù)據(jù)傳輸仍然使用對(duì)稱(chēng)密鑰方式。通過(guò)雙方協(xié)商SSL可以支持多種身份認(rèn)證、加密和檢驗(yàn)算法。

　　SSL協(xié)商協(xié)議:用來(lái)交換版本號(hào)、加密算法、身份認(rèn)證并交換密鑰SSLv3提供對(duì)Deffie-Hellman密鑰交換算法、基于RSA的密鑰交換機(jī)制和另一種實(shí)現(xiàn)在Frotezza chip上的密鑰交換機(jī)制的支持。

　　SSL記錄層協(xié)議:它涉及應(yīng)用程序提供的信息的分段、壓縮數(shù)據(jù)認(rèn)證和加密SSLv3提供對(duì)數(shù)據(jù)認(rèn)證用的MD5和SHA以及數(shù)據(jù)加密用的R4主DES等支持，用來(lái)對(duì)數(shù)據(jù)進(jìn)行認(rèn)證和加密的密鑰可以有通過(guò)SSL的握手協(xié)議來(lái)協(xié)商。

　　SSL協(xié)商層的工作過(guò)程:當(dāng)客戶(hù)方與服務(wù)方進(jìn)行通信之前，客戶(hù)方發(fā)出問(wèn)候;服務(wù)方收到問(wèn)候后，發(fā)回一個(gè)問(wèn)候。問(wèn)候交換完畢后，就確定了雙方采用的SSL協(xié)議的版本號(hào)、會(huì)話(huà)標(biāo)志、加密算法集和壓縮算法。

　　SSL記錄層的工作過(guò)程:接收上層的數(shù)據(jù)，將它們分段;然后用協(xié)商層約定的壓縮方法進(jìn)行壓縮，壓縮后的記錄用約定的流加密或塊加密方式進(jìn)行加密，再由傳輸層發(fā)送出去。