网络安全整体解决方案课件.ppt

《网络安全整体解决方案课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络安全整体解决方案神州数码DCN产品规划部王景辉网络安全建设原则网络安全体系结构P2DR模型网络安全技术不同行业中应用的安全技术主要内容网络安全的建设原则需求、风险、代价平衡的原则综合性、整体性原则一致性原则易操作性原则适应性、灵活性原则多重保护原则可评价性原则安全体系结构可用性审计管理不可抵赖数据完整数据保密访问控制身份鉴别应用层表示层会话层传输层网络层链路层物理层信息处理单元通信网络三维安全体系结构框架物理环境安全管理结构层次安全特性系统单元P2DR模型的组成部分Protection（保护）Dete

2、ction（检测）Response（响应）Policy（安全策略）P2DR模型的应用MPDRR模型PMRRDManagement安全管理Protect安全保护Reaction安全响应Recovery安全恢复安全模型MPDRR访问控制机制入侵检测机制安全响应机制备份与恢复机制网络系统现状潜在的安全风险安全需求与目标安全体系安全解决方案分析后得出提出依照风险制定出进行安全集成/应用开发安全服务安全方案设计建立相应的安全风险分析物理层安全风险分析网络层安全风险分析应用层安全风险分析管理安全风险分析物理层安全风险

3、网络的物理安全风险主要指网络周边环境和物理特性引起的网络设备和线路的不可用,而造成网络系统的不可用。它是整个网络系统安全的前提。如：设备被盗、被毁坏链路老化或被有意或者无意的破坏因电子辐射造成信息泄露设备意外故障、停电地震、火灾、水灾等自然灾害网络层安全风险分析数据传输安全网络边界安全网络设备安全数据传输安全由于在同级局域网和上下级网络数据传输线路之间存在被窃听的威胁，同时局域网络内部也存在着内部攻击行为，其中包括登录通行字和一些敏感信息，可能被侵袭者搭线窃取和篡改，造成泄密。由于目前尚无安全的数据库及个

4、人终端安全保护措施，还不能抵御来自网络上的各种对数据库及个人终端的攻击。同时一旦不法分子针对网上传输数据作出伪造、删除、窃取、窜改等攻击，都将造成十分严重的影响和损失。网络边界安全严格的说网络上的任何一个节点，其它所有网络节点都是不可信任域，都可能对该系统造成一定的安全威胁。网络设备的安全网络设备可能存在系统漏洞网络设备可能存错误的配置网络设备的安全风险以CISCO为例说明：对于网络设备本身访问认证的攻击对于网络设备运行的专有操作系统攻击对于网络设备的拒绝服务攻击不必要的IOS服务或潜在的安全问题"Mul

5、tipleVendorSNMPWorldWriteableCommunityVulnerability":对于已知的缺省SNMP社区，任何用户都可以进行写入或读取操作。"CiscoIOSHTTP%%Vulnerability":当正在利用Web接口时，如果在普通的URL上加上特定的字符串时，将陷入DoS状态。"CiscoRouterOnlineHelpVulnerability":在线帮助中显示不应泄漏的信息。系统层安全风险分析操作系统安全漏洞数据库系统安全漏洞操作系统(如Windows2000serve

6、r/professional，WindowsNT/Workstation，WindowsME，Windows95/98、UNIX)、服务器(如DOMINO)、数据库(如SYBASE)等产品可能会因为设计、编码的原因存在各种各样的安全漏洞(有已知的、未知的)，还可能留有隐蔽通道或后门。操作系统(如NT、UNIX)、服务器(如DOMINO)、数据库(如SQL、SYBASE、ORACLE)等商用产品本身安全级别较低。操作人员对系统功能、系统服务、数据库管理系统和Web服务器等的误操作或者配置，不可避免会给信息网

7、系统带来一定的安全风险。网络管理人员和用户的终端极易感染病毒（如外来文件的拷贝，盗版软件，从外部站点下载的文件或应用软件的非法安装等），而一旦感染病毒，就有可能造成整个系统感染病毒。电子邮件系统的邮件收发，极易感染恶意病毒程序。病毒可肆意进行删除、篡改和拷贝操作，从而导致巨大的危害。应用层安全风险身份认证漏洞DNS服务威胁WWW服务漏洞电子邮件系统漏洞身份认证漏洞网络服务系统登录和主机登录使用的是静态口令，口令在一定时间内是不变的，且在数据库中有存储记录，可重复使用。这样非法用户通过网络窃听，非法数据库访

8、问，穷举攻击，重放攻击等手段很容易得到这种静态口令，然后，利用口令，可对业务系统和OA系统中的资源非法访问和越权操作。DNS服务威胁Internet域名服务为Internet/Intranet应用提供了极大的灵活性。几乎所有的网络应用均利用域名服务。但是，域名服务通常为hacker提供了入侵网络的有用信息，如服务器的IP、操作系统信息、推导出可能的网络结构等。例如，新发现的针对BIND-DNS实现的安全漏洞也开始发现，而绝大多