Network Security Tutorial
Network Security Useful Resources
Selected Reading
- Network Security – Critical Necessity
- Network Security – Firewalls
- Network Security – Access Control
- Network Security – Data Link Layer
- Network Security – Network Layer
- Network Security – Transport Layer
- Network Security – Application Layer
- Network Security – Overview
- Network Security - Home
Network Security Useful Resources
Selected Reading
- Who is Who
- Computer Glossary
- HR Interview Questions
- Effective Resume Writing
- Questions and Answers
- UPSC IAS Exams Notes
Network Security - Quick Guide
Network Security - Quick Guide
Network Security – Overview
在这个现代时代,各组织非常依赖计算机网络,以高效和富有成果的方式在整个组织分享信息。 目前,组织计算机网络正在变得庞大和不稳定。 假设每个工作人员都有一个专门的工作站,一个大型公司将拥有几千个工作站和许多网络服务器。
这些工作站可能无法集中管理,也不可能有周边保护。 它们可能拥有各种操作系统、硬件、软件和规程,用户对网络的认识程度不同。 现在可以想象,公司网络上的数千个工作站与互联网直接相关。 这种无保障的网络成为攻击的目标,它拥有宝贵的信息并显示出脆弱性。
在本章中,我们描述了网络的主要弱点和网络安全的重要性。 在随后的章节中,我们将讨论实现同样目标的方法。
Physical Network
该网络被定义为两个或两个以上的计算机设备,用于高效共享资源。 此外,将两个或多个网络连接起来,称为internetworking。 因此,互联网只是一个网络工作——一个相互联系的网络。
为了建立内部网络,一个组织有各种选择。 它可以使用无线网络或无线网络连接所有工作站。 如今,各组织大多使用无线和无线网络。
Wired & Wireless Networks
在无线网络中,装置相互连接,使用电缆。 通常情况下,无线网络是以非电网协议为基础的,在这些协议中,设备使用未经推料的Twisted Pair(UTP)电缆与不同的开关连接。 这些交换器与网络路由器进一步连接,以便上网。
在无线网络中,该装置通过无线电传输连接了一个接入点。 接入点通过电缆进一步连接到外部网络的开关/路。
无线网络因其提供的流动而变得很受欢迎。 移动设备不必与电缆挂钩,可以在无线网络范围内自由进行蒸.。 这确保了有效的信息共享和提高生产率。
Vulnerabipties & Attacks
无线和无线网络的共同脆弱性是“未经许可进入”网络。 袭击者可以通过不安全的中枢/沙米港将其装置与网络连接起来。 在这方面,无线网络被认为不如无线网络安全,因为无线网络可以在没有任何实际连接的情况下轻易进入。
攻击者在接触后可以利用这种脆弱性发动攻击,例如:
散发包装数据以偷取宝贵的信息。
拒绝向合法用户提供网络服务,淹没网络中带有假装的包裹。
Spoofing physical identity (MAC) of originalshops and subsequently在偷窃数据或进一步发动“man-in-the-middle”攻击。
Network Protocol
网络议定书是一套规范网络连接装置之间通信的规则。 其中包括建立联系的机制,以及发送和接收信息的数据包装格式规则。
为特定目的制定了若干计算机网络协议。 民众使用和广泛使用的议定书是TCP/IP及其相关的高层次和低级议定书。
TCP/IP Protocol
《传输控制议定书>(TCP)和Internet Protocol(IP)是主要共同使用的两种不同的计算机网络议定书。 由于其广受欢迎和广泛采用,在网络装置的所有运行系统中都建立了这些装置。
IP与网络层面(Layer 3)相对应,而TCP与OSI的运输层(Layer 4)相对应。 TCP/IP适用于网络通信,利用TCP运输在IP网络中提供数据。
TCP/IP规程通常与其他规程一起使用,例如吉大港山区、FTP、SSH应用层和数据链接/物理层的网络。
1980年创建了TCP/IP协议套案,作为互联网上的解决办法,对安全方面的关切很少。
它是为有限信任网络的通信而开发的。 然而,在一段时期内,该议定书成为无担保互联网通信的失法标准。
TCP/IP程序的一些共同安全弱点是:
HTTP是TCP/IP套中的一种应用层程序,用于从网络服务器上传送网页的文档。 这些转让采用便携文字进行,闯入者很容易阅读服务器与客户之间交换的数据包。
另一个吉大港山区脆弱性是用户和网络服务器在会议初期认证能力薄弱。 这种脆弱性可能导致在袭击者盗窃吉大港湾合法使用者会议时进行劫持。
结核病议定书的脆弱性是建立连接的三维双管。 攻击者可发起拒绝服务攻击“海关-通货膨胀”,以利用这种脆弱性。 他通过不完成双管齐下,建立了许多半开放的会议。 这导致服务器超负荷,并最终造成坠毁。
IP层容易受到许多脆弱性的影响。 通过IP礼宾负责人的修改,攻击者可以发动IP偷猎袭击。
除了上述之外,在《公路货运公约/IP议定书》的制定及其执行中,还有许多其他安全弱点。
顺便提一下的是,在基于TCP/IP的网络通信中,如果一层被 ha平,其他层则不了解黑板,整个通信都会受损。 因此,需要在各个层面实行安全控制,以确保无节制的安全。
DNS Protocol
主要名称系统(DNS)用于解决IP地址的东道域名。 网络用户主要依靠DNS功能,主要通过在网络浏览器打上URL。
在袭击国家安全局时,袭击者的目的是修改合法的国家安全局记录,以便它能够解决一个错误的IP地址。 它可以把该IP的所有交通引向错误的计算机。 攻击者可以利用国家安全局的礼宾弱点,或损害国家安全局的服务器,以实施攻击。
DNS cache toxicing is an attacks using a Vulnerabipty found in the DNS protocol. 攻击者可通过对由决心者向权威服务器发送的DNS复置式询问作出答复来毒害切身。 国家安全局的决心者一旦遭到毒害,东道国将前往一个恶毒的网站,并通过向该网站传递信息而损害成瘾的信息。
ICMP Protocol
因特网控制管理议定书(ICMP)是CP/IP网络的基本网络管理议定书。 它被用于发送有关网络设备状况的错误和控制信息。
ICMP是IP网络实施的一个组成部分,因此,它存在于网络建立之中。 ICMP有其自身的脆弱性,可以被滥用,对网络发动攻击。
由于《议定书》/《公约》缔约方会议的脆弱性,可能对网络进行的共同攻击是:
ICMP允许攻击者进行网络侦察,以确定网络的地形和通往网络的道路。 排泄物委员会包括发现所有在全部目标网络中活着的IP地址。
追查路线是一种受欢迎的国际CMP用途,用于通过描述从客户到边远东道国的实时道路来绘制目标联网图。
袭击者利用《公约》/《议定书》缔约方会议的脆弱性,可发起拒绝服务攻击。 这次袭击涉及向目标装置发送超过65 535 by的IPMP p。 目标计算机未能妥善处理这一包装,并可能导致操作系统rush忙。
其他议定书,如ARP、DHCP、SMTP等,也有其弱点,可被袭击者利用,破坏网络安全。 我们将在以后几章中讨论其中一些弱点。
议定书设计和执行期间对安全方面的关切最少,这已成为网络安全面临威胁的主要原因。
Goals of Network Security
如前几节所述,网络中有许多弱点。 因此,在传输过程中,数据极易受到攻击。 攻击者可以瞄准通信渠道,获取数据,阅读同一信息或重新插入虚假信息,以实现其邪恶目标。
网络安全不仅涉及通信链的每一端电脑的安全,而且旨在确保整个网络的安全。
网络安全意味着保护网络和数据的可使用性、可靠性、完整性和安全性。 有效的网络安全打败了各种威胁,无法进入或散布网络。
网络安全的主要目标是保密、廉正和可用性。 网络安全的三个支柱通常作为CIA三角洲>。
Achieving Network Security
确保网络安全似乎非常简单。 要实现的目标似乎简单明了。 但是,在现实中,实现这些目标所使用的机制非常复杂,理解这些机制需要合理的推理。
国际电信联盟(国际电联)在关于安全构架X.800的建议中确定了实现网络安全方法标准化的某些机制。 其中一些机制是:
En-cipherment 这一机制通过将数据转换为未经许可人员不可读的形式提供数据保密服务。 该机制使用带有秘密钥匙的加密-加密算法。
在建立和确定了实现网络安全的各种安全机制之后,必须决定如何适用这些机制;在实际(在什么地点)和逻辑上(在TCP/IP等结构的哪个层)。
Security Mechanisms at Networking Layers
建立了几个安全机制,可以在安全办公室网络层面的具体层面加以发展。
据认为,设计一个加密健全的应用程序非常困难,执行程序更为困难。 因此,保护网络通信的应用层安全机制更倾向于仅仅是一些时间使用的基于标准的解决办法。 申请层安全程序的一个实例是安全的多功能互联网邮件延期,通常用于加密电子邮件信息。 国家安全局是用于安全交换国家安全局查询信息的这一层的又一个议定书。
运输界的安全——这一层的安全措施可用于在两个东道国之间的一次通信会上保护数据。 运输层安全议定书最常用的用途是保护吉大港山区和西班的交通。 运输层安全(TLS)和安全地(SSL)是为此目的使用的最常见规程。
Networkosphere——这一层的安全措施可适用于所有应用;因此,这些措施并非针对特定应用。 两个东道方或网络之间的所有网络通信可在这一层得到保护,而不修改任何申请。 在某些环境中,网络层安全协议,如因特网议定书安全(IPsec)提供了比运输或应用层控制更好的解决办法,因为难以增加对个人应用的控制。 然而,这一层的安全协议减少了某些申请可能需要的通信灵活性。
顺便说一句,设计在较高层运行的安全机制不能为下层的数据提供保护,因为下层行使职能,而上层对此并不了解。 因此,可能需要部署多种安保机制,以加强网络安全。
在辅导的以下章节中,我们将讨论在联伊办不同层次的网络结构中为实现网络安全而使用的安全机制。
Network Security – Apppcation Layer
各种商业服务现在通过客户服务器申请在线提供。 最受欢迎的形式是网络应用和电子邮件。 在这两项申请中,客户都向指定服务器通信,并获取服务。
用户和服务器在使用任何服务器应用程序的服务时,交换了大量关于内联网或互联网的信息。 我们知道,这些信息交易很容易受到各种袭击。
网络安全意味着在网络中转口时,确保数据免遭攻击。 为实现这一目标,制定了许多实时安全议定书。 该议定书至少需要提供以下主要目标:
The parties can negotiate interactively to authenticate each other.
Estabpsh a secret session key before exchanging information on network.
Exchange the information in encrypted form.
有趣的是,这些议定书在不同层次的网络模式上开展工作。 例如,S/MPAS程序在应用层面运作,SSL协议是在运输层面开展工作的,IPsec协议在网络层面运作。
本章将讨论实现电子邮件通信和相关安全议定书安全的不同进程。 之后,保障国家安全局的方法得到了涵盖。 以后各章将介绍实现网络安全的各项议定书。
E-mail Security
如今,电子邮件已广为使用。 在开始了解电子邮件安全议定书之前,请简要讨论电子邮件基础设施。
E-mail Infrastructure
发送电子邮件的最简单方式是把发送者机器直接发送到接收人的机器。 在这种情况下,这两台机器必须同时在网络上运行。 然而,由于用户有时可能将其机器与网络连接起来,因此这种设置不切实际。
因此,建立电子邮件服务器的概念已经形成。 该邮局将邮件送至一个永久可上网的邮件服务器。 当收受机与网络连接时,从邮件服务器上读到邮件。
总的说来,电子邮件基础设施包括一个短信服务器,也称为Message Transfer agents(MTAs)和用户机器,管理一个电子邮件方案,由用户代理人(UA)和当地MTA组成。
通常,电子邮件电文从美国空运协会传送,穿过海运公会的影子,最后用收货机到达美国航空公司。
电子邮件所用的程序如下:
用于发送电子邮件信息的简单邮递转让议定书。
邮政局(POP)和互联网信息获取议定书(IMAP)被用来从服务器中检索用户的信息。
MIME
基本的互联网电子邮件标准是1982年撰写的,它描述了在因特网上交换的电子邮件信息的形式。 它主要支持作为基本罗马字母文字书写的电子邮件信息。
到1992年,人们认为有必要改进。 因此,还确定了另一个标准Multi有功能的因特网邮寄。 这是一套基本因特网电子邮件标准的延伸。 监控监提供发送电子邮件的能力,使用除基本罗马字母外的特性,如(俄文版)、希腊字母或甚至中文的图像。
监查处满足的另一个需要是发送非文本内容,如图像或录像片。 由于这一特点,通过员工和管理当局协调会的电子邮件通信标准已得到广泛采用。
E-Mail Security Services
越来越多地使用电子邮件进行重要和关键的交易,需要提供以下某些基本安保服务:
保密-电子邮箱致词不应由任何人宣读,而应由预期的收件人宣读。
Authentication-电子邮箱收受人可以确定发件人的身份。
Integrity——向接收人保证,自发送电子邮件以来,电子邮件信息没有改动。
Non-repudiation-电子邮箱收受人能够向第三方证明发件人确实发出了电文。
提交文件-电子邮箱发送人收到将电文送交邮件发送系统的确认。
交付程序——发送人收到电文的确认。
隐私、认证、信息完整性和非否定等安保服务通常通过使用公用钥匙加密法提供。
电子邮件通信通常有三种不同的情况。 我们将讨论在这些情况下实现上述安全服务的方法。
One-to-One E-mail
在这种情况下,发送人只向一名接收人发出电子邮件信息。 通常,至少有2个海运管理局参与通信。
让ender客想向接收人发出保密的电子邮件。 本案的隐私规定如下:
发送人和接收人分别拥有私人和公共钥匙(SPVT、S、PUB和(RPVT、R、PUB)。
投稿人产生一种秘密的对称钥匙,KS用于加密。 虽然发送人本来可以使用RPUB进行加密,但使用不对称钥匙实现更快的加密和加密。
发送人用关键KS发送加密信息,并贴上KS的加密信息,附有接收人的公用钥匙,RPUB。
发送人向接收人发送加密信息和加密KS。
接收人首先通过加密获取KS,使用其私人钥匙,即RPVT。
接收人随后使用对称钥匙KS进行加密。
如果在这种情况下也需要信息的完整性、认证和非否定性服务,那么上述进程将采取下列步骤。
投递人用私人钥匙SPVT生成电文并用数字表示。
投递人将这一已签署的散货单连同其他部件寄给接收人。
接收人使用公用钥匙SPUB,并提取在发件人签名下收到的散货。
接收人随后敲响了加密的电文,现在比较了两种散射值。 如果符合要求,信息的完整性就被认为可以实现。
此外,收件人确信电文是由发送人发送的(真实)。 最后,原告不能否认他没有发出信息(不拒绝)。
One-to-Multiple Recipients E-mail
在这种情况下,发送人向两个或两个以上接收者发出电子邮件信息。 名单由发送人电子邮件方案管理(UA+当地的MTA)。 所有受援者都得到同样的信息。
让我们假设,发送人希望向许多接收者发出保密的电子邮件(例如R1、R2和R3)。 本案的隐私规定如下:
发送人和所有接收人都有自己的私人和公共钥匙。
投稿人产生一种秘密的对称钥匙,Ks,并将电文与这一钥匙加以加密。
发送人随后在R1、R2和R3的公用钥匙上多次加密K、S、R2(K/S)、R2、PUB(KS)和R3 PUB(KS)。
发送人向接收人发送加密信息和相应的加密KS。 例如,接收人1(R1)收到加密信息和R1PUB(KS)。
每个接收人首先使用其私人钥匙通过加密提取关键KS。
然后,每个接收人使用对称钥匙KS对电文进行加密。
为了提供电文的完整性、真实性和非否定性,所要采取的步骤与上述单对一的电子邮件设想中的步骤相似。
One-to-Distribution List E-mail
在这种情形下,发送人向两个或两个以上接收人发出电子邮件信息,但接收人名单没有由发送人在当地管理。 总的来说,电子邮件服务器(MTA)保持了邮寄名单。
投递人寄给管理邮寄名单的海运部的邮件,然后由海运部向名单上的所有接收人发送邮件。
在此情况下,如果发送人希望向邮寄名单的接收人发出保密电子邮件(例如R1、R2和R3);隐私保障如下:
发送人和所有接收人都有自己的私人和公共钥匙。 The Exploder Server has a pair of private-pubpc key for each maipng pst (ListPUB, ListPVT) maintained by it.
投放人产生一种秘密的关键Ks,然后用这一钥匙对电文进行加密。
发送人然后将KS与清单有关的公用钥匙加密起来,获得<>项清单>(KS)。
发送者发送了加密信息和名单PUB(KS)。 这份清单使用<PVT,并获取K。
爆炸品在KS上贴有尽可能多的公共钥匙,因为名单上有成员。
探索者将所收到的加密信息和相应的加密KS转发给名单上的所有接收人。 例如,勘探者将加密电文和R1PUB(KS)转发给接收方1等。
为了提供电文的完整性、认证和不否定,所要遵循的步骤与单对一的电子邮件假设情况相同。
有趣的是,使用上述安全方法确保电子邮件的电子邮件方案预计将针对上文讨论的所有可能情况开展工作。 上述电子邮件安全机制大多由两个受欢迎的计划提供,即“维护隐私”和S/MIME。 我们在以下几节中讨论了这两个问题。
PGP
前良好隐私是一种电子邮件加密办法。 它已成为为电子邮件通信提供安保服务的标准。
如上所述,它使用公用钥匙加密法、对称钥匙加密法、散列函数和数字签名。 它提供:
Privacy
Sender Authentication
Message Integrity
Non-repudiation
除这些安保服务外,它还提供数据压缩和关键管理支助。 PGP利用现有的加密算法,如RSA、IDEA、MD5等,而不是发明新的算法。
Working of PGP
计算电文的哈希数。 (千年发展目标5算法)
由此而来的128个借方h使用投递人的私人钥匙(RSA Algorithm)签字。
数字签字被压缩为电文,结果被压缩。
生成并使用128倍测量钥匙KS将压缩电文与IDEA加密。
KS使用RSA算法使用接收人的公用钥匙进行加密,结果附在加密电文之后。
PGP信息的形式载于以下图表。 身份证上注明了哪些钥匙被用于加密KS,哪些关键是用来核实 has上签字。
在PGP计划中,在签名和加密的电文,然后在传输前编码MIME。
PGP Certificate
PGP钥匙证书通常通过信任链建立。 例如,A的公用钥匙由B使用其公用钥匙签字,B的公用钥匙由C使用其公用钥匙签字。 随着这一进程的继续,它建立了一个信任网。
在PGP环境中,任何用户都可以作为认证机构行事。 任何PGP用户都可以认证另一个PGP用户的公用钥匙。 但是,如果使用者承认证书颁发者是值得信赖的开张者,这种证书对另一个用户是有效的。
这种认证方法存在几个问题。 可能难以找到一个链条,从一个已知的、值得信赖的公共钥匙到预期的关键。 此外,可能还有多个链条,可导致用户的不同钥匙。
PGP还可以使用具有认证权的公用钥匙基础结构,公用钥匙可由CA(X.509证书)认证。
S / MIME
S/MPAS是安全的多功能互联网邮件发布站。 S/MPAS是一个安全的电子邮件标准。 其依据是早先称为“监评”的非保密电子邮件标准。
Working of S/MIME
S/MPAS办法与PGP相似。 该系统还使用公用钥匙加密法、对称钥匙加密法、洗衣机功能和数字签名。 它提供与PGP类似的安全服务,用于电子邮件通信。
S/MPAS所使用的最常用的测量层是RC2和TriDES。 通常的公共关键方法是RSA,而洗衣算法是SHA-1或MD5。
S/MIME具体说明了在加密后生成数据的“应用/pkcs7-mime”等额外的监测和评价类型。 整个监测、监测和评价实体均被加密并包装成物体。 S/MPAS有标准化加密信息格式(不同于PGP)。 事实上,为确定电文中被加密和(或)签字的部分,将采用一些关键词延长监理处。
S/MPAS依靠X.509份公用钥匙分配证书。 它需要有上下级的公用钥匙基础结构来提供认证支助。
Employabipty of S/MIME
由于要求认证机构出具履约证明,并非所有用户都能利用S/MPAS,因为有些人可能希望加密电文,并配以公/私钥匙。 例如,没有证书的参与或行政管理。
在实践中,虽然大多数电子邮件申请都实施S/MPAS,但证书注册程序很复杂。 相反,PGP的支持通常需要增加一个插头,而插头则涉及管理钥匙所需的一切。 信托网没有真正使用。 人民以另一种方式交换其公共钥匙。 一旦获得,他们就保存一份公用钥匙的副本,这些钥匙通常与他们交换电子邮件。
PGP和S/MPAS系统的网络结构中的执行层见以下形象。 这两项计划都为电子邮件通信提供了申请水平的安全。
其中一项计划,无论是PGP还是S/MPAS,都是根据环境而实施的。 可以通过适应PGP,在封闭网络中提供安全的电子邮件通信。 对于互联网上的电子邮件安全,如果邮件常常与新的不知名用户交换,则S/MPAS被视为一种很好的选择。
DNS Security
在第一章中,我们提到,攻击者可以使用DNS Cache Poisoning对目标使用者发动攻击。
Vulnerabipty of Standard DNS
在标准的国家计算机系统计划中,只要用户想要与任何域名连接,其计算机便与国家计算机系统服务器联系,并寻找相关的IP地址。 一旦获得IP地址,该计算机即与IP地址连接。
在这项计划中,没有任何核查程序。 一台计算机为其国家计算机服务器查询与网站有关的地址,国家计算机信息系统服务器对IP地址做出回应,而你的计算机无疑认为这是正当的响应,并与该网站链接。
国家安全局的调查实际上在几个阶段进行。 例如,当计算机要求“www.tutorialspoint.com”时,国家航天中心在几个阶段进行监视。
该计算机首先向当地的国家计算机服务器查询(ISP提供的)。 如果ISP在其藏匿处有这一名称,它就会向“罗特区名录”提出质询,以便找到“.com”和根基区的答复。
根据答复,该计算机然后询问“.com”目录,可以找到“辅导点。 ......
根据所收到的资料,该计算机查询了“辅导点.com”,可以找到www.o.org。 辅导员。
DNSSEC Defined
国家安全局在利用国家情报和安全局进行查询时,要求答复实体签署答复。 DNSSEC是以公用钥匙加密为基础的。
在英国航天中心标准中,每个英国航天中心区都有公私营钥匙。 国家安全局服务器发送的所有信息都与原产区确保真实性的私人钥匙签署。 国家航天中心客户需要了解该区的公共钥匙,以检查签名。 客户可能与所有顶级域的公共钥匙或国家基本标准混在一起。
与国家安全局一道,调查程序如下:
当您的计算机查询其能够找到的根区时,复函由根区服务器签署。
计算机检查了根区签署钥匙,确认它是有真实信息的合法根基区。
复函中,根区提供了资料,说明C.com区服务器的签名钥匙及其所在地,使计算机能够与.com目录联系,并确保其合法。
之后,该名录提供辅导点.com的签字钥匙和资料,使其能够与Google.com联系,并核实你与真正的辅导点相关联,如上述地区所证实的。
发送的信息是资源记录。 下表显示了高级“com”服务器域名“辅导点.com”的RSet实例。
| Domain Name | Time to pve | Type | Value |
|---|---|---|---|
| tutorialspoint.com | 86400 | NS | dns.tutorialspoint.com |
| dns.tutorialspoint.com | 86400 | A | 36..1.2.3 |
| tutorialspoint.com | 86400 | KEY | 3682793A7B73F731029CE2737D... |
| tutorialspoint.com | 86400 | SIG | 86947503A8B848F5272E53930C... |
KEY记录是“辅导”的公开关键。
SIG记录是SNS、A和KEY记录的顶级服务器,以核实其真实性。 其价值为Kcompvt(H(NS,A,KEY)。
因此,据认为,当国家安全局全面展开工作时,用户的计算机能够证实国家安全局的反应是合法和真实的,并避免通过国家安全局的毒害处发起的国家安全局攻击。
Summary
电子邮件的安全过程确保了通信的终端至终端安全。 它提供保密、质认证、信息完整性和非否定的安全服务。
为电子邮件安全制定了两项计划:PGP和S/MPAS。 这两种办法都使用秘密和公共钥匙的加密。
标准的国家抽样调查很容易受到诸如国家抽样调查/毒害等攻击。 通过使用使用公用钥匙加密法的国家安全局,确保国家安全局的监视是可行的。
在本章中,我们讨论了应用层面为终端到终端通信提供网络安全的机制。
Network Security – Transport Layer
网络安全意味着在网络中转口时,确保数据免遭攻击。 为实现这一目标,制定了许多实时安全议定书。 实时网络安全协议,如S/MIME、SSL/TLS、SSH和IPsec,都适用民众标准。 如前所述,这些议定书在不同层次的网络模式中开展工作。
在最后一章中,我们讨论了一些旨在保障应用层安全的民众议定书。 在这一章中,我们将讨论在运输界实现网络安全的进程以及相关的安全议定书。
对于基于TCP/IP协议的网络,在用户终端和网络卡硬件中通常使用物理和数据链接层。 TCP和IP层在操作系统中实施。 上文TCP/IP的任何内容都是作为用户程序实施的。
Need for Transport Layer Security
请允许我讨论典型的基于互联网的商业交易。
访问Apce网站出售货物。 该网站以表格形式输入所需质量和数量、地址和付款卡细节。 Bob点击分机,等待从他的账户提取价格的货款。 所有这一切都是好的,但在缺乏网络安全的情况下,博博博可能有一些意外。
如果交易不使用保密(加密),攻击者可以获得付款卡信息。 攻击者然后可以以博博钱购买。
如果不使用数据完整性措施,攻击者可按货物类型或数量修改Bob的订单。
最后,如果没有使用服务器认证,服务器可以显示Apce s著名的标识,但该站点可能是一个由攻击者维持的恶意网站,他正像Apce。 在接到Bobs的命令后,他可以带钱逃走。 或者,他可以通过收集博博博人的名字和信用卡细节来进行身份盗窃。
运输层安全计划可以通过加强基于TCP/IP网络的保密、数据完整性、服务器认证和客户认证来解决这些问题。
这一层的安全主要用来确保以吉大港山区为基础的网络交易。 然而,任何从TCP上运行的申请都可以使用。
Philosophy of TLS Design
运输界安全(TLS)议定书在TCP层面运作。 议定书的制定利用大众应用方案(API)到TCP,称为“袖珍”与TCP层相互连接。
申请现已与运输安全层连接起来,而不是直接与公路运输网连接。 运输安全舱提供简单的、有袖珍的电文,与快乐器类似。
在上述图表中,尽管从共同的角度来看,TLS技术在应用和运输层之间有技术居住点,但这是一个运输协议,随着安全服务而增强TCP层。
TLS旨在通过TCP,即可靠的第4级议定书(而不是《英国民主党议定书》)运作,使TLS的设计更加简单,因为没有必要担心“刺激”和“减少损失数据”。 TCP层继续照常行事,满足技转中心的需要。
Why TLS is Popular?
普遍使用运输界的安全是简单明了的。 设计和部署这一层的安全并不要求改变在运作系统中实施的TCP/IP议定书。 只需要设计/修改用户流程和应用程序,这不太复杂。
Secure Socket Layer (SSL)
在这一节中,我们讨论了为图瓦卢经济、社会、文化权利委员会制定的各项议定书。 家庭包括第2版和第3版《特别生活法》和《个人生活标准议定书》。 SSLv2现已由SSLv3取代,因此我们将侧重于SSL v3和TLS。
Brief History of SSL
1995年,网上替罪羊网开发了SSLv2,并用于网上替罪羊人。 从未出版和使用过SSL版本。 后来,Microsoft在SSLv2上改进,并引入了另一个称为“私人通信技术”的类似议定书。
归罪网大大改善了关于各种安全问题的SSLv2,1999年部署了SSLv3。 随后,因特网工程工作队(IETF)将类似TLS(运输业安全)议定书作为公开标准。 TLS 议定书与SSLv3是不可调用的。
TLS修改了关键扩展和认证的加密算法。 另外,土耳其航天中心建议使用开放式加密法Diffie-Hellman(DH)和数字签名标准(DSS),以取代SSL中使用的经专利认证的RSA加密法。 但是,由于RSA专利于2000年到期,没有强烈理由让用户从广泛部署的SSLv3转向TLS。
Sapent Features of SSL
国家安全法议定书的主要特点如下:
安保部通过下列方式提供网络连接安全:
保密——以加密形式交换信息。
所有的TCP应用都可以获得SSL。
在几乎所有网络浏览器的支持下。
方便与新的在线实体开展业务。
主要为网络电子商务开发。
Architecture of SSL
南太平洋区域渔业管理组织是专门针对TCP的,并不与UDP合作。 SSL向申请提供应用规划接口。 C和Java SSL的图书馆/馆藏随时可查。
SSL 议定书的目的是在应用层面与运输层面之间进行协作,如下图所示:
卫军本身不是形象描述的单层协议;事实上,它由两个子站组成。
低分站由SSL议定书的一个部分组成,称为SSL记录议定书。 本构成部分提供廉正和保密服务。
上层子站由3个与SSL有关的议定书组成部分和申请议定书组成。 申请部分提供客户/服务器互动之间的信息传输服务。 从技术上讲,它也可以在中层中运作。 三个与《蒙特利尔议定书》有关的议定书组成部分:
SSL Handshake Protocol
Change Cipher Spec Protocol
Alert Protocol.
这三项议定书管理着所有SSL信息交流,下文将讨论。
Functions of SSL Protocol Components
SSL协议的4个次级组成部分处理客户机器和服务器之间安全通信的各种任务。
记录议定书
记录层形成上层礼宾信息的形式。
它将数据分解成可管理的区块(最长为16KB)。 选择压缩数据。
保存数据。
提供每个电文和散列(MAC)的头盔。
处理环形块向TCP层传播。
SSL Handshake Protocol
它是最复杂的SSL部分。 在转交任何申请数据之前,均援引该数据。 该科在客户和服务器之间开设SSL课程。
届会的设立 服务器认证、钥匙和算法谈判,确定钥匙和客户认证(备选方案)。
会议由一套独特的加密安全参数确定。
客户与服务器之间的多条有保障的TCP联系可以分享同一届会议。
• 通过四个阶段开展处理沙克议定书行动。 下一节讨论这些问题。
2. 变化中西光谱仪
《SSL议定书》的简单部分。 它包括两个通信实体、客户和服务器之间交换的单一信息。
由于每个实体都发出“变革圈子”信号,因此按照商定的意见,将其部分连接变为安全状态。
有待国家的西半球参数被并入目前状态。
交换这一信息表明,今后所有数据交流都是加密的,完整性受到保护。
SSLert Protocol
该议定书被用于报告错误——例如意想不到的信息、不良的记录、安全参数谈判失败等。
它还用于其他目的——例如通知关闭TCP的连接、通知收到坏或未知的证明等。
Estabpshment of SSL Session
如上文所述,在设立特别立法会议方面有四个阶段。 这些主要由SSL Handshake议定书处理。
第1阶段——建立安全能力。
这一阶段包括交换两个信息:Cpent_hello和Server_hello。
Cpent_hello载有由客户支持的加密算法清单,以减少优惠。
Server_hello 载有选定的锡半球规格和新的session_id。
CipherSpec包含的领域有:
Cipher Algorithm (DES, 3DES,RC2 and RC4)
MAC Algorithm(基于MD5,SHA-1)
公用钥匙算法
这两条信息都“不发生”来防止再起攻击。
第2阶段——服务器认证和关键交换。
服务器发给证书。 客户软件与各种“委托”组织(CAs)的公用钥匙相配,以检查证书。
服务器发送了选定的电离层镜。
服务器可申请客户证书。 通常没有这样做。
服务器显示Server_hello。
第3阶段——客户认证和关键交换。
只有在服务器提出要求时,客户才发给证书。
该系统还发送了与服务器的公用钥匙加密的“预秘”(PMS)。
客户还发出Certificate_verification电文,如果他发给证明他有与本证书有关的私人钥匙的证明。 基本上,客户在以前发出的信息中有一根 has。
第4阶段——芬兰。
客户和服务器向对方发送了Change_cipher_spec电文,以便把待决的西半球国家复制到目前状态。
从现在起,所有数据都进行了加密和保护完整性。
每一端的“Finished”电文均确认,关键交换和认证程序是成功的。
上文讨论的所有四个阶段都是在设立技术方案会议过程中进行的。 SSL会议是在TCP SYN/SYNACK之后成立的,在TCP Fin之前完成。
Resuming a Disconnected Session
如果客户向服务器发送了
然后,服务器确定session_id是否有效。 如经验证,它会与客户交换变异光谱和成的信息,并恢复安全通信。
这避免重新计算会议边缘参数,节省服务器和客户终端的计算费用。
SSL Session Keys
我们已经看到,在SSL届会的第3阶段,客户向使用服务器的公用钥匙加密的服务器发送了首席秘书。 主要秘密和各种会议钥匙如下:
生成主秘密(通过假体随机生成)时使用——
The pre-master Secret.
在客户_hello和服务器_hello电文中交换了两个非电文(RA和RB)。
6项秘密价值从这一主秘中得出,即:
MAC所使用的秘密钥匙(服务器发送的数据)
MAC(客户发送的数据)使用的秘密钥匙
(服务器)
用于加密的秘密钥匙和四(客户)
TLS Protocol
为了提供SSL的开放式互联网标准,1999年1月,欧洲运输工作队发布了《运输界安全议定书》。 TLS被定义为LFC 5246中的拟议互联网标准。
Sapent Features
TLS议定书的目标与SSL相同。
它通过认证、防止偷窃和抵制信息修改,使客户/服务器的申请能够安全地进行沟通。
低温潜能值议定书在网络层中排在可靠的面向连接的运输中。
TLS议定书的结构类似于SSLv3议定书。 它有两个次级议定书:TLS记录议定书和TLS Handshake议定书。
虽然SSLv3和TLS议定书的结构相似,但在结构和运作方面,特别是在手法议定书方面,还是发生了一些变化。
Comparison of TLS and SSL Protocols
最低生活水平协定和SSLv3议定书之间主要有8个差异。 如下:
计算前线和主子秘密的方法类似。 但是,在TLS议定书中,总秘密的计算使用了HMAC标准和假冒功能(PRF)而不是临时性的MAC。
计算会议关键值和启动值的算法(四)与SSL议定书不同。
警示
《生命线议定书》支持SSL警备议定书使用的所有信息,但无证书的警示信息是多余的。 在不需要客户认证的情况下,客户发放了空档。
其他 关于其他错误条件,如record_overflow, decode_error,警报电文载于TLS议定书。 等等。
认证和信用信息——
在SSL中,复杂的电文程序被用于certificate_verification/i>的电文。 借助TLS,经核实的信息载于手法中,从而避免了这一复杂程序。
信用社和SSLv3以不同方式计算出的讯息。
下表概述了TLS和SSLv3议定书之间的上述差异。
Secure Browsing - HTTPS
在本节中,我们将讨论使用SSL/TLS程序进行安全的网络浏览。
HTTPS Defined
文本超文本转让议定书用于网络浏览。 HTTPS的职能类似于吉大港山区。 唯一的区别是,皇家警察部队提供“安全”网络浏览。 HTTPS在SSL上支持吉大港山区。 该议定书用于提供客户网络浏览器和网站服务器之间的加密和认证链接。
通过皇家警察部队的安全浏览确保了以下内容得到加密:
URL of the requested web page.
Web page contents provided by the server to the user cpent.
Contents of forms filled in by user.
Cookies estabpshed in both directions.
Working of HTTPS
HTTPS应用议定书通常使用两种大众运输层安全议定书之一,即SSL或TLS。 以下各点介绍了安全浏览过程。
您通过进入https://,然后在浏览器地址栏中加入URL,请求使用HTTPS与网页链接。
网络浏览器开始与网络服务器连接。 使用https援引使用SSL议定书。
在这种情况下,使用该系统的浏览器是443港而不是80港(在http://www.un.org上使用)。
《SSL议定书》通过了一份手法议定书,以建立一个前面各节所讨论的安全会议。
该网站最初将其SSL数字证书寄给你的浏览器。 在核查证书时,国家安全局在交换本届会议的共同秘密方面取得进展。
当服务器使用可信赖的SSL数字证书时,用户会看到浏览器地址的星钟。 当一个网站安装了扩大的认证证书时,地址会转绿色。
会议一旦设立,即由网络服务器和浏览器之间的许多安全连接组成。
Use of HTTPS
使用高频通信系统为用户提供保密、服务器认证和电文完整性。 它使电子商务能够在互联网上安全进行。
防止数据偷窃和否认身份盗窃,这是对吉大港山区的共同攻击。
目前的网络浏览器和网络服务器都配备了高频和高频通信系统的支助。 然而,对吉大港山区使用HTTPS需要增加客户的计算能力,而服务器最终要进行加密和SSL举手。
Secure Shell Protocol (SSH)
SSH的主要特征如下:
SSH是一个网络协议,在TCP/IP层之上运行。 该系统旨在取代TELNET,该网为遥远的标志设施提供了不可靠的手段。
SSH提供有保障的客户/服务器通信,可用于档案转移和电子邮件等工作。
SSH2是一种普遍的规程,它为较早版本SSH1提供更好的网络通信安全。
SSH Defined
SSH是作为三个亚protocol组织的。
Session Key Estabpshment——经认证后,服务器和客户同意使用电离层。 会议钥匙由客户和服务器生成。 在用户认证之前生成会议钥匙,以便用户名称和密码能够加密。 在会议期间,这些钥匙通常每隔一段时间(即每小时)替换,并在使用后立即销毁。
SSH Services
SSH提供三个主要服务,能够提供许多安全的解决办法。 这些服务简述如下:
Secure Front-Shell (Remotelogon)- 这使得用户能够编辑档案,查看目录内容,并查阅有关装置的申请。 系统管理员可以远程开办/调查/停机服务和程序,建立用户账户,变更档案/指令许可等等。 所有在机器指挥台上可行的任务现在都可以从使用安全遥控标志的遥控机器中安全完成。
福利 & 限制
运输层使用通信安全的好处和限制如下:
福利
运输业的安全对申请具有透明度。
服务器是认证的。
应用层头目是隐蔽的。
它比第三层(IPsec)的安保机制更为细致,因为它在运输连接层面运作。
限制
仅适用于基于TCP的申请(而不是UDP)。
TCP/IP头目很清楚。
客户与服务器之间直接沟通。 使用服务器链条(例如电子邮件)不满足安全应用程序的需要
由于客户认证是任择性的,因此国家扫盲委员会不提供不休的补偿。
如有必要,客户认证需要高于SSL。
Summary
过去十年,互联网上出现了大量网络应用。 许多电子治理和电子商业门户已经上网。 这些应用要求服务器与客户之间的会议确保会议保密、认证和完整性。
减少用户会议期间潜在攻击的一种办法是使用安全通信议定书。 本章将讨论其中两项通信议定书,即《保障臭氧层公约》和《运输界安全》。 这两项议定书均在运输层面运作。
另一个运输层议定书,即安全壳牌(SSH),旨在取代TELNET,为遥测设施提供了可靠的手段。 它能够提供各种服务,例如安全指挥壳牌和SFTP。
运输层安全的就业有许多好处。 然而,在这些层面设计的安全议定书只能与TCP使用。 它们没有为利用民主力量联盟实施的通信提供安全保障。
Network Security – Network Layer
网络层安全控制经常用于确保通信的安全,特别是在因特网等共享网络上,因为它们可以一劳永逸地保护许多应用。
在前几章中,我们讨论了许多实时安全议定书的演变,以确保网络安全的基本原则,如隐私、原籍认证、信息完整性和不拒绝。
大部分这些议定书仍然集中在SI礼宾的较高层次上,以弥补标准互联网议定书中固有的缺乏安全。 虽然这些方法很有价值,但不能轻易加以普及,以便加以应用。 例如,特别制定特别安全法,以确保诸如吉大港定居和移民归化局等申请的安全。 但还有一些其他申请也需要安全通信。
这一需要导致在IP层面制定安全解决办法,以便所有更高级别的议定书都能利用这一解决办法。 1992年,互联网工程工作队开始界定“IPsec”标准。
在本章中,我们将讨论如何利用这一非常受欢迎的一套IPsec议定书在网络层面实现安全。
Security in Network Layer
为提供网络安全而制定的任何计划都需要在下文图表中描述的礼宾栏中的某些层次实施——
| Layer | Communication Protocols | Security Protocols |
|---|---|---|
| Apppcation Layer | HTTP FTP SMTP | PGP. S/MIME, HTTPS |
| Transport Layer | TCP /UDP | SSL, TLS, SSH |
| Network Layer | IP | IPsec |
为确保网络层面的安全而制定的民众框架是《因特网议定书》安全。
Features of IPsec
IPsec并非仅仅与作为运输议定书的TCP合作。 它与联合国开发计划署合作,以及除IP以外的任何其他议定书,如ICMP、OSPF等。
IPsec保护向IP层提出的整个包装,包括高层头盔。
由于高层头目隐藏着港口号码,交通分析更为困难。
IPsec从一个网络实体到另一个网络实体,而不是从申请程序到申请程序。 因此,可以在不需要改动个人用户电脑/应用程序的情况下采用安全。
IPsec虽然被广泛用来提供网络实体之间的安全通信,但也可以提供东道方之间的安全。
IPsec的最常见用途是提供虚拟私人网络,在两个地点之间(门对门道),或在遥远用户与企业网络之间(门对门)。
Security Functions
警察署提供的重要安全职能如下:
保密
能够传递信号灯以加密信息。
防止第三方偷窃。
来源认证和数据完整性。
提供保证,被确认为包装头盔来源的当事一方实际发送了收到的包装。
确认包装没有改变或以其他方式改变。
主要管理。
允许安全交换钥匙。
防止某些类型的安全攻击,如再起攻击。
Virtual Private Network
理想的情况是,任何机构都想要自己的私人通信网络来确保安全。 然而,在地理分散的地区建立和维持这种私人网络可能非常昂贵。 这需要管理复杂的通信连接基础设施、路由器、国家定位仪等。
IPsec为这类机构提供了实施虚拟私人网络的便利机制。 互联网技术允许通过在进入公共互联网之前对交通进行加密,从逻辑上将其与其他交通相分离,将机构间交通从公共互联网上发送。 缩略语
Overview of IPsec
IPsec是一个框架/程序,在IP层面提供安全保障。
Origin
1990年代初,很少有机构使用互联网,主要是用于学术目的。 但是,由于网络扩大,以及若干组织利用网络进行通信和其他目的,互联网的发展成指数。
随着互联网的大规模增长,加上《国际公路货运公约/国际公路货运公约议定书》固有的安全弱点,人们感到需要一个能够在因特网上提供网络安全的技术。 1994年,因特网建筑委员会发表了题为“因特网建筑安全”的报告。 它确定了安全机制的关键领域。
国际不动产业协会将认证和加密列为知识产权下一代知识产权的基本安全特征。 所幸的是,这些安保能力的定义是,可以与目前的IPv4和假冒的IPv6共同实施。
安全框架在几个“要求发表意见”中界定了IPsec。 一些区域渔委会具体规定了议定书的某些部分,而另一些则涉及整个解决办法。
Operations Within IPsec
警察分遣队可视为有两处单独行动,在协同工作时提供全套安保服务。 这两项行动是IPsec通信和互联网钥匙交换。
IPsec 通信
它通常与标准的IPsec功能有关。 它涉及cap、加密、洗衣IP数据表和处理所有包装过程。
它负责根据在沟通各方之间建立的现有安全协会(SA)管理来文。
它采用诸如Austhentication Header(AH)和简化特殊产品(ESP)等安全程序。
IPsec通信没有参与钥匙的建立或其管理。
IPsec通信业务本身通常称为IPsec。
互联网钥匙交换(IKE)
IKE是用于IPsec的自动关键管理协议。
从技术上讲,关键管理对于IPsec通信并不重要,关键内容可以人工管理。 然而,大型网络并不需要人工的关键管理。
IKE负责创建IPsec的钥匙,并在关键建立过程中提供认证。 虽然IPsec可用于任何其他关键管理协议,但IKE却被缺席使用。
IKE界定了两项议定书(Oakley和SKEME),将使用已经界定的关键管理框架因特网安全协会关键管理议定书。
国际AKMP不是IPsec的特例,而是为任何议定书建立SA的框架。
本章主要讨论IPsec通信以及为实现安全而使用的相关议定书。
IPsec 通信 Modes
IPsec 通信 has two modes of functioning; transport and tunnel modes. These modes can be used in combination or used inspanidually depending upon the type of communication desired.
Transport Mode
IPsec并不包含从上层收到的包装。
原有的IP负责人得到保留,数据根据上层议定书规定的原始属性转交。
以下图表显示礼宾栏中的数据流。
运输模式的局限性是无法提供网关服务。 它保留在以下图像中描述的点对点通信。
Tunnel Mode
这种IPsec模式与其他安全部门一道提供资本化服务。
在隧道模式操作中,在适用安全协议之前,从上层整块包装都被封起来。 增加了新的IP负责人。
以下图表显示礼宾栏中的数据流。
隧道模式通常与网关活动有关。 资本通过单一网关提供多次会议的能力。
典型的隧道模式通信如以下图表所示。
就终点而言,它们有直接的运输层连接。 从一个系统向关口发送的数据图被封起来,然后转交边远关。 遥远的相关网关从数据中排出,然后将数据输入内部网络的终点。
利用IPsec,在网关和个人终端系统之间也可以建立隧道模式。
IPsec Protocols
计生联利用安全议定书提供理想的安保服务。 这些议定书是IPsec行动的核心,其他一切都旨在支持IPsec的该议定书。
通讯实体之间的安全协会由所采用的安全议定书设立和维持。
IPsec(Athentication Header)和Encapsulating Security Payload(ESP)规定了两项安全议定书。
Authentication Header
AH议定书提供了数据完整性和原产地认证服务。 它选择性地满足了信息的抗拒。 但是,它不提供任何形式的保密。
AH是一种程序,通过增加一张头盔来认证数据表的所有内容或部分内容。 头盔是根据数据表中的数值计算的。 计算时所使用的数据表的哪些部分以及标题的位置取决于模式合作(通道或运输)。
《AH议定书》的实施非常简单。 它可以被认为类似于计算检查或对发现错误进行儿童权利委员会检查所用的算法。
AH背后的概念是一样的,但AH不使用简单的算法,而是使用特殊的洗衣算法和只为通信方所知的秘密钥匙。 建立了两个装置之间的安全协会,具体规定了这些细节。
AH进程进入以下阶段。
当从高级礼宾部门收到IP包时,IPsec从包装上的现有信息中确定相关的安全协会;例如IP地址(来源和目的地)。
从SA来看,一旦确定安全协议是AH,就计算了AH负责人的参数。 AH负责人由以下参数组成:
标题领域具体规定了AH头盔后的包装。 定期参数指数是从通信当事人之间现有的SA获得的。
计算和插入序号。 这些数字提供了抗拒再次攻击的任择能力。
认证数据根据通信方式的不同计算。
在运输方式中,以下图表说明了认证数据和最后IP包装的吸收。 在最初的IP负责人中,仅将注册编号改为51,以表示应用AH。
在隧道模式中,上述过程按以下图示。
Encapsulation Security Protocol (ESP)
环保署提供保密、廉正、原产地认证和选择性再感抵制等安全服务。 所提供的一套服务取决于在安全协会成立时选定的选择。
在ESP中,用于加密和生成认证器的算法由创建SA的特性确定。
ESP进程如下。 头两个步骤与上文所述的AH进程相似。
一旦确定ESP涉及,ESP包装的田地即计算出来。 ESP的外地安排按以下图表说明。
运输模式中的加密和认证程序在以下图表中作了说明。
就隧道模式而言,加密和认证程序在以下图表中作了描述。
虽然认证和保密是ESP提供的主要服务,但两者都是任择性的。 从技术上讲,我们可以在没有认证的情况下使用NUL加密。 然而,在实践中,必须实施其中一项措施,以便有效地使用ESP。
基本概念是当人们想要认证和加密时使用ESP,并在有人想要在无加密的情况下扩大认证时使用AH。
Security Associations in IPsec
安全协会是IPsec通信的基础。 SA的特征是:
在发送数据之前,发送实体与接收实体之间建立了虚拟联系,称为“安全协会”。
IPsec为网络加密和认证提供了许多选择。 每个IPsec连接可提供加密、完整性、真实性或所有三个服务。 在确定安全部门时,两个IPsec同级实体必须确定哪一种算法(例如,DES或3DES用于加密;MD5或SHA-1用于廉正)。 在决定算法后,这两个装置必须共享会议钥匙。
SA是上述通信参数的一套,它为建立IPsec会议提供了两个或两个以上系统之间的关系。
SA是简单的,因此需要两个SA,用于双向通信。
安全参数指数在安全议定书负责人中确定。
发送和接收实体都保持关于SA的国家信息。 这与TCP终端点相似,后者也保持国家信息。 IPsec与TCP等联系。
Parameters of SA
任何SA都由以下三个参数独特确定:
安全参数指数。
这是对SA的32倍值。 它用于区分在同一目的地终止的不同SA公司和使用相同的IPsec议定书。
IPsec的每包裹都有一个含有SPI的头盔。 消费物价指数用于向一家农业公司绘制即将到来的包装图。
消费物价指数是发价人随机抽出的,以向受款人确定受款人。
安全议定书> 它表明协会是阿拉伯卫生协会还是欧洲卫生联合会。
以下图表显示参与IPsec通信的两名航道之间的SA例。
Security Administrative Databases
在IPsec,有两个数据库控制IPsec数据表的处理。 一个是安全协会数据库,另一个是安全政策数据库。 使用IPsec的每个通信终端点都应具有逻辑上分离的SAD和SPD。
Security Association Database
在IPsec通信中,终点站在安全协会数据库中拥有南非州。 SAD数据库的每个SA条目包含9个参数,见下表:
| Sr.No. | Parameters & Description |
|---|---|
| 1 | 进口通信。 这是AH或ESP负责人提供的32倍序列号。 |
| 2 | 规定使用特定SA防止进一步通信的选择旗 |
| 3 | 32-bit anti-replaydow 用于确定甲型六氯环己烷或甲型六氯环己烷包装是否是一种再作用 |
| 4 | 时间到南非仍然活跃 |
| 5 | Algorithm - AH 在AH中使用的和相关的关键 |
| 6 | Algorithm - ESP Auth 用于认证ESP负责人部分 |
| 7 | Algorithm - ESP 加密 在ESP及其相关关键信息的加密中使用 |
| 8 | IPsec Approach 运输或隧道模式 |
| 9 | Path MTU(PMTU) 任何观测到的道路最大传输单位(以避免碎裂) |
SAD的所有SA条目都按照三个SA参数编制索引:Destination IP Address, Security Protocol Identifier和SPI。
Security Popcy Database
SPD用于处理离去包装。 它有助于决定应当使用SAD条目。 如果没有SAD入境,SPD就被用来制造新的入境点。
任何特别民主党入境都将包含:
活跃的SA站在SAD。
选择领域——从上层进入的包裹中选取的田地,用于决定知识产权的适用。 挑选人员可以包括源头和目的地地址、相关港口号码、应用识别器、程序等。
即将推出的IP数据表从SPD输入到特定SA,以获得编码参数。 登出的IPsec数据表直接使用SPI/DEST IP/《议定书》三倍,并从中提取相关的SAD条目。
住房和财产局还可以规定绕过IPsec的交通。 如果所决定的行动是启动SA程序,那么SPD可被视为一种包装过滤器。
Summary
IPsec是一套确保网络连接的议定书。 这是一种复杂的机制,因为它不是简单地界定具体的加密算法和认证功能,而是提供了一个框架,可以实施两种通信目的商定的任何内容。
认证主任(AH)和保有权安全有效载荷(ESP)是IPsec使用的两项主要通信协议。 虽然AH只有认证,但ESP可以加密和认证通过链接传送的数据。
运输模式在两个终点之间提供了安全的联系,而没有改变IP的头盔。 隧道 模式概括了整个有效载荷IP包装。 它增加了新的IP负责人。 后者被用于形成一种传统信使,因为它在不信任的互联网上提供了虚拟的安全通道。
建立IPsec联系涉及各种加密选择。 认证通常建立在诸如MD5或SHA-1等加密带上。 加密算法为DES、3DES、Blowfish和AES。 其他算法也是可能的。
传递终点都需要了解洗刷或加密中使用的秘密价值。 手册的关键要求手工输入这两个目的的秘密价值,这些数值一般是由一些离班机制所传达的,而国际电算中心(因特网钥匙交换)是在线进行这一工作的先进机制。
Network Security – Data Link Layer
我们已经看到,互联网的迅速增长引起了对网络安全的重大关切。 制定了几种方法,以保障网络的应用、运输或网络层面的安全。
很多组织将安全措施纳入从应用层到IP层的更高层次。 然而,一个通常无人居住的地区是数据链接层的硬化。 这可为各种攻击和妥协打开网络。
在这一章中,我们将讨论数据链接层的安全问题和对付这些问题的方法。 我们的讨论将侧重于“太网”网络。
Security Concerns in Data Link Layer
外界网络的数据链接极易受到几次袭击。 最常见的袭击是:
ARP Spoofing
解决议定书(ARP)是用于将IP地址绘制成可在当地外联网识别的物理机器地址的议定书。 当一个接收机需要找到一个媒体出入控制地址时,它播放了ARP的要求。 拥有IP地址的另一个东道方寄发了ARP的答复信息及其实际地址。
每个网络接收机都设有一个表格,称为“ARP切身”。 该表载有该网络其他东道方的IP地址和相关的MAC地址。
由于ARP是一个无国籍议定书,每当东道国收到另一个东道国的ARP答复时,即使没有发出ARP的请求,它承认ARP入境并更新ARP藏匿点。 修改目标东道方的ARP藏匿处,改名为ARP中毒或ARP偷渡。
RP的偷窃可允许攻击者将泥.成合法的东道国,然后拦截网络的数据框架,加以修改或阻止。 袭击往往被用来发动其他攻击,如人对手、劫持会议或拒绝服务。
MAC Flooding
非正式网络的每个开关都有一张内容可承受的记忆表,储存MAC地址、开关港口号码和其他信息。 该表有固定规模。 在MAC洪水袭击中,袭击者用伪造的ARP包裹与MAC的地址交接,直到海安会的桌上满为止。
南极海委会一旦淹没,便转而采用类似中枢的方式,并开始广播没有海委会进入的交通。 攻击者在同一网络上,现在只接收一个特定东道国。
Port Steapng
过度网关有能力向港口学习并约束MAC地址。 当开关从有MAC源地址的港口接收交通时,它约束港口号码和MAC地址。
港口偷窃袭击利用了开关者的这种能力。 袭击者洪水用伪造的ARP框架与目标东道方的MAC地址作为源头。 交换机冷静地相信目标东道方是港口,实际上袭击者与港口有联系。
现在,针对目标东道国的所有数据框架都发送给攻击者的开关港,而不是目标东道国。 因此,袭击者现在只得到目标东道国的所有实际目标。
DHCP Attacks
动态的《东道国保密议定书》并不是一个数据链接议定书,但解决人权和人民党袭击事件的办法也有助于挫败第2次袭击。
DHCP用于在一定时期内积极将IP地址分配给计算机。 有可能攻击人权方案服务器,造成网络服务被拒或冒用人权方案服务器。 在一次苏人解的饥民袭击中,袭击者要求所有现有的人运地址。 这导致拒绝向网络的合法东道国提供服务。
在DHCP策划的袭击中,袭击者可以部署一个手无寸铁的DHCP服务器,向客户提供地址。 在此,袭击者可以向东道机器提供一条通往人权和人民党的应急通道。 东道国的数据框架现在被引导到路边,袭击者可以拦截所有包裹,对实际的网关做出答复,或将其 drop走。
Other Attacks
除了上述民众攻击之外,还有其他攻击,如2台广播、登机、MAC克隆。
在广播攻击中,袭击者向网络的东道方寄发了ARP的答复。 这些ARP的答复将MAC的地址定在广播地址的缺省门上。 这使得所有外来交通都能够进行广播,使袭击者能够在同一外联网上播音。 这种攻击也影响到网络的能力。
在以2为基地的DoS袭击中,袭击者在网络中更新了ARP藏匿处,没有MAC地址。 该网络中每个网络接口卡的MAC地址应具有全球独特性。 然而,通过允许使用MAC克隆技术,可以很容易地改变这种做法。 袭击者通过DoS攻击使袭击对象的东道国丧失能力,然后使用目标东道国的IP和MAC地址。
袭击者实施袭击,以发动更高层次的袭击,以危害网络上的信息安全。 他可以拦截所有框架,并读到框架数据。 攻击者可以充当中风的人,修改数据,或简单地放弃导致多功能的基线。 他可以劫持目标主机和其他机器之间的本届会议,并完全传达错误的信息。
Securing Ethernet LANs
我们在前一节讨论了对数据链接层的一些广为人知的攻击。 为了减轻这些类型的攻击,已经制定了几种方法。 一些重要的方法是:
Port Security
它是一层2级安全特征,可在电离层交换器上查阅。 它涉及将一个实际港口连接到一个具体MAC地址/es。 任何人都能够通过将东道国与现有交换港口之一连接起来,进入一个不安全的网络。 但是,港口安全可以确保二层通道的安全。
违约时,港口安全将现行海运公会的地址限为一。 然而,允许不止一个经授权的东道国通过配置连接该港口。 允许的每个接口的MAC地址可以固定配置。 一种方便的替代办法是,在港口达到最大限额之前,能够让“标准”的海运局处理将动态地从开关港学到MAC地址的学习问题。
为确保安全,对港口或港口超载地址上具体MAC地址/地址变化的反应可以多种不同的方式加以控制。 港口可以配置,以关闭或阻挡超过规定限额的排雷中心地址。 建议的最佳做法是关闭港口。 港口安全防止了MAC洪水和克隆攻击。
DHCP Snooping
我们已经看到,人权促进会的偷猎是一种攻击,袭击者们在网络上听听了人权促进会的要求,并在人权促进会的授权反应到东道国之前用假的人权促进会反应来回答。
防止此类攻击的“DHCP”。 DHCP 选择是一种交换特征。 可以配置开关,以确定哪些开关港口可以响应DHCP的要求。 港口被确认为可信赖或不信任的港口。
只有与特许的DHCP服务器连接的港口被配置为“委托”,并允许发送所有类型的DHCP信息。 其余所有开关的港口都是不信任的,只能寄送人权促进委员会的要求。 如果在无人信任的港口看到人权与和平中心的反应,该港口就会关闭。
Preventing ARP Spoofing
港口安全的方法可以防止水银洪水和克隆攻击。 然而,这并不妨碍ARP的偷渡。 港口安全验证了基准头上的MAC源地址,但ARP框架在数据有效载荷中增加了一个MAC源领域,而东道方利用这个领域为其ARP藏匿点。 防止ARP偷渡的一些方法如下。
入侵探测系统 防卫方法是利用安装的入侵探测系统,以发现高数量的ARP交通。 然而,国际发展学会很容易报告虚假的正面。
Securing Spanning Tree Protocol
《 Spa树议定书》是2层连接管理议定书。 STP的主要目的是确保在网络有多余的道路时不出现数据流 lo。 一般来说,建造多余的道路是为了为网络提供可靠性。 但是,它们可以形成致命的 lo,可能导致DoS在网络中发动攻击。
Spanning Tree Protocol
为了提供所希望的道路 red余,以及避免出现 lo状态,STP界定了一个横跨网络所有开关的树木。 STP把某些多余的数据连接到一个被封锁的国家,并在一个前沿国家保持其他联系。
如果前线的连接中断,STP重新配置了网络,并通过启动适当的备用道路重新界定了数据途径。 STP在网络部署的桥梁和开关上。 所有开关者都交换了信息,用于进行根本开关选择和随后的网络配置。 礼宾数据单位(BPDU)掌握这一信息。 通过交换BPDU,网络的所有开关者都选择了成为网络协调中心的根桥/itch,控制被封锁和转口的链接。
Attacks on STP
战胜根桥。 它是在层次上最具破坏性的攻击类型之一。 2. 违约时,一个局域网开关从相邻的开关处发送的任何BPDU,其面值不变。 顺便说一句,STP是信任的、无国籍的,没有提供任何健全的认证机制。
一旦发生根本攻击,袭击的开关每2个都派一名BPDU,其优先程度与目前的根桥相同,但MAC地址在数量上略低,以确保它在深层选举过程中取得胜利。 攻击者开关可以发动DoS攻击,要么不承认造成BPDU洪水的其他开关,要么把开关转向超处理过程的BPDUS,一方面声称是扎根,一度重新接手。
DoS 利用Flood of Configuration BPDU。 攻击开关并不试图把它作为根基。 相反,它每秒就会产生大量的BPDU,导致CPU在开关上的使用率很高。
Preventing Attacks on STP
幸运的是,彻底接管袭击的反措施简单明了。 有两个特点有助于打败根本的接管袭击。
BPDU-Guard——BPDU卫兵用于保护网络免受在出入港口接收BPDUs可能产生的问题。 这些港口不应接收这些港口。 BPDU卫兵最好部署在使用设施的港口,以防止攻击者插入流ogue。
Securing Virtual LAN
在地方网络中,虚拟地方网络(VLANs)有时被组合为安全措施,以限制易受2级攻击的东道方数目。 VLANs建立了网络边界,因此广播(ARP、DHCP)交通无法穿越。
Virtual Local Area Network
可以配置一个网络,利用转换/支持局域网能力,在单一有形局域网基础设施上界定多个局域网。
通用的VLAN是一种基于港口的VLAN。 在这一局域网结构中,使用转换管理软件将开关港口分成局域网。 因此,单一物理开关可以作为多个虚拟开关。
就业局提供交通隔离。 它把大型广播层2网络分成较小的逻辑层2网络,从而缩小了ARP/DHCP Spoofing等攻击的范围。 只有一个VLAN的数据框架只能从属于同一局域网的港口内部转移。 两个局域网之间的框架通过路线进行。
如上文图表所示,VLAN一般跨越多个开关。 干地港口之间的联系包含所有由多个物理开关界定的局域网。 因此,转换器之间传输的VLAN框架不能简单地成为第802.1次网络格式框架。 由于这些框架具有同样的物理联系,现在需要携带VLAN ID信息。 782.1Q 议定书增加了/将更多的主干区移至停泊港之间的浅层。
当两个IP地址之后的田间为0x8100(>1500)时,这个框架被确定为802.1Q框架。 2-byte Tag Protocol Identifier(TPI)的价值为81-00。 TCI领域包括3项优先信息、1项标准指标(DEI)和12项标准指标。 这3个优先领域和多功能环境倡议领域与区域局无关。 优先参数用于提供服务质量。
如果框架不属于任何局域网,则有违约的局域网,该框架被认为与它有关。
Attack on VLAN & Prevention Measures
在袭击VLAN时,袭击VLAN的一名袭击者可以进入通常无法进入的其他VLAN。 在从一个局域网向另一个局进行通信时,它将绕过第3层装置(路段),从而打败了局域网制作的目的。
可通过两种方法进行局域网制图;转换信道和双重标记。
Switch Spoofing
当袭击者与之连接的开关港,无论是在“停泊”模式中,还是“谈判”模式中,都会发生。 袭击者充当开关,在离队的偏远局域网标上增加了802.1Q的cap头。 接收人转口将这些框架解释为来自另一个802.1Q转换,并将框架推向目标VLAN。
防止转口攻击的两种预防措施是将港口置于固定准入模式的边缘,并对所有港口进行可拆卸的汽车谈判。
Double Tagging
在这次袭击中,一名与本土的VLAN交换港连接的攻击者在设计负责人中预先发放了两个VLAN标记。 第一个标的是本土的VLAN,第二个标的是VLAN。 当第一个开关接收袭击者的框架时,它便拆除了第一个tag子,因为本地的VLAN框架在停泊港未经tag子转交。
由于第一个交换点从未拆除第二个标签,接收交换台将其余标记确定为局域网的目的地,并将框架推向该局的目标东道方。 双重攻击利用了当地VLAN的概念。 由于VLAN 1 是港口的缺省VLAN,而本地的VLAN是干.的,因此这是一个容易实现的目标。
第一项预防措施是,将所有出入港口从违约的VLAN 1上移走,因为袭击者的港口必须符合开关的原局。 第二项预防措施是将本地VLAN分配给一些未使用的VLAN,即VLAN id 999。 最后,所有开关都要进行配置,以便在停泊港明确划定本地的VLAN框架。
Securing Wireless LAN
无线局域网是有限地理区域内无线节点网络,如办公楼或学校校园。 des能够进行无线电通信。
Wireless LAN
无线局域网通常作为现有无线局域网的延伸而实施,以提供网络接入,提供设备流动。 最广泛实施的无线局域网技术基于ISO 802.11标准及其修正。
无线局域网的两个主要组成部分是:
无用户 这些是配备无线网络界面卡的计算机设备。 Laptops、IP Telephones、PDAs是无线客户的典型例子。
许多组织实施了无线局域网。 这些网络正在急剧增长。 因此,必须了解无线局域网中的威胁,并学习确保网络安全的共同预防措施。
Attacks in Wireless LAN
对无线局域网进行的典型攻击是:
Denial of Service - 袭击者阻止或限制无线局域网或网络装置的正常使用或管理。
Security Measures in Wireless LAN
安全措施为击败袭击和管理网络风险提供了手段。 这些是网络管理、运作和技术措施。 下文介绍为确保通过无线局传送的数据的保密性、可用性和完整性而采取的技术措施。
在无线局域网中,应配置所有仪器,通过加密和客户认证提供安保。 无线局域网用于提供安保的各类计划如下:
Wired Equivalent Privacy (WEP)
这是在802.11标准中建立的加密算法,以确保无线网络的安全。 WEP 加密使用RC4(Rivest Cipher 4)流层,具有40-bit/104-bit钥匙和24-bit初始化矢量。 它还可以提供最终认证。
然而,这是最薄弱的加密安全机制,因为在该系统的加密中发现了一些缺陷。 WEP也没有认证程序。 因此,使用“最佳环境标准”的建议并不高。
802.11i Protocol
在该议定书中,有可能出现多种更强有力的加密形式。 已经制定这一计划,以取代弱小的妇女就业计划。 它提供了关键的分配机制。 它支持每个站的一个钥匙,对所有人不使用同样的钥匙。 它使用独立于接入点的认证服务器。
237. 工发组织授权使用一个称为CBC-MAC议定书的反制模式的议定书。 CCMP提供所转让数据的保密性和完整性以及发送人的真实性。 其依据是高级加密标准。
《电子计算法》802.11i议定书有四个运行阶段。
STA和AP交流并发现相互的安全能力,例如辅助算法。
STA和AS相互认证,共同产生主(MK)。 行动方案是“绕行”。
STA产生Pairwise Master Key(PMK)。 AS也拥有同样的PMK,并寄给AP。
STA, AP利用PMK来获取用于加密和数据完整性的温度钥匙。
Other Standards
Wi-Fi Protected Access (WPA) - 该议定书执行了大部分的ISO 802.11i标准。 它存在于第802.11i号电子文件之前,并用于加密的RC4算法。 它有两个运作方式。 在“Enterprise”模式中,邮管处使用认证程序802.1x与认证服务器通信,因此,主机钥匙(PMK)是客户站特有的。 在“Personal”模式中,它没有使用802.1x,PMK被一个预先共享的钥匙所取代,用于小型办公室家庭办公室无线局域网环境。
邮电局还包括一个声音完整性检查,以取代《电离辐射标准》中所用的“电离破”。
WPA2-WPA2取而代之。 WPA2执行E 802.11i计划的所有强制性内容。 具体来说,这包括强制性支持《议定书》/《公约》缔约方会议,这是一个基于《京都议定书》的、具有强大安全性的加密模式。 因此,就这些袭击而言,WPA2 /IE802.11i提供了适当的解决办法,以防范WEP的弱点、人为的中途袭击、伪造包装单伪造和再起攻击。 然而,DoS的袭击没有得到适当处理,没有制止这种攻击的坚实议定书,其基本原因是这种攻击所针对的是身体上层,如干扰频带。
Summary
在本章中,我们认为,攻击和缓解技术假定是采用IP的转子网络。 如果您的网络不使用太网作为第2级议定书,则其中一些攻击可能不适用,但这种网络可能受到不同类型的攻击。
安全只是最薄弱的环节。 在联网方面,第2层可能是一个非常薄弱的环节。 本章提及的2项安全措施在保护网络免遭各种袭击方面大有可为。
Network Security – Access Control
网络接入控制是加强私营组织网络安全的一种方法,其方法是限制网络资源的供应,以终止符合本组织安全政策的装置。 典型的网络出入控制计划由两个主要组成部分组成,如限制出入和网络边界保护。
通过用户认证和授权控制,对网络系统的不同用户进行识别和认证,实现了对网络装置的限制。 授权是颁发或拒绝获得受保护资源的具体许可。
网上边界保护 控制网络与网络之间和网络外的逻辑连接。 例如,可以部署多个防火墙,防止未经授权进入网络系统。 也可以部署入侵探测和预防技术,以防互联网上的攻击。
在本章中,我们将讨论各种类型防火墙和入侵探测系统的网络接入用户识别和认证方法。
Securing Access to Network Devices
限制使用网络上的装置是保障网络安全的关键步骤。 由于网络装置包括通信和计算设备,因此,这些装置有可能减少整个网络及其资源。
自相矛盾的是,许多组织确保其服务器和应用程序的高度安全,但将网络设备与基本安全连接起来。
网络装置安全的一个重要方面是出入控制和授权。 制定了许多议定书,以满足这两项要求,并将网络安全提高到更高的水平。
User Authentication and Authorization
用户认证对于控制网络系统的利用,特别是网络基础设施装置的使用是必要的。 认证有两个方面:一般准入认证和功能授权。
一般准入认证是控制某一用户是否拥有“任何”进入他试图连接的系统的权利的方法。 通常,这种准入与用户有“账户”与该系统的联系。 授权涉及个人用户“权利”。 例如,它决定用户一旦认证后可做些什么;用户可被授权没收该装置或只查看数据。
用户认证取决于他知道的内容(密码)、他掌握的东西(密码)或他掌握的东西(生物鉴别)。 使用不止一个因素进行身份查验和认证,为多要素认证提供了依据。
Password Based Authentication
在最低一级,所有网络装置都应有用户名密码认证。 密码应当是非属地(至少10个性、字母、数字和符号)。
在用户远程访问的情况下,应当使用一种方法确保用户名称和密码不会在网络上通过。 此外,口号也应作一些合理的改动。
Centrapzed Authentication Methods
个人设备认证制度提供了基本出入控制措施。 然而,当网络拥有大量用户使用这些装置的仪器时,集中认证方法被认为更为有效。
传统上,集中认证用于解决远程网络接入所面临的问题。 在远程访问系统(RAS)中,网络装置上的用户管理并不实际。 将所有用户信息贴在所有装置中,然后不断更新信息,是一种行政梦.。
集中认证制度,如RADIUS和Kerberos,解决这一问题。 这些集中的方法使得用户信息能够储存和管理在一个地方。 这些系统通常可以与诸如微软的主动名录或LDAP名录等其他用户账户管理计划紧密结合。 大部分RADIUS服务器可以与正常的RADIUS协议中的其他网络装置进行通信,然后安全地获得存放在名录上的账户信息。
例如,微软的互联网Austhentication服务器(IAS)将RADIUS和主动名录连接起来,为装置用户提供中央认证。 该系统还确保用户账户信息与微软域账户统一。 以上图表显示,一台视窗域控制器既是主动名录服务器,又是RADIUS的服务器,用于将网络要素认证为活跃的名录域。
Access Control Lists
许多网络装置可以与访问清单混在一起。 这些清单界定了获准使用该装置的东道名称或IP地址。 例如,除了网络管理人外,通常限制从执行伙伴获得网络设备。
这样就可以防止任何可能未经许可的进入。 这些类型的准入清单是重要的最后防御,对不同的准入议定书有不同的规则的某些装置来说,这些清单是相当强大的。
Network Security – Firewalls
几乎每个中型和大型组织都在互联网上存在,并有一个与其相关的组织网络。 外部互联网和内部网络之间的边界上的网络分割对于网络安全至关重要。 有时,内联网(内联网)被称为“被信任的”一方,外部因特网则称为“未信任的”方面。
Types of Firewall
防火墙是一种网络装置,它把组织的内部网络从外部网络/因特网连接起来。 它可以是一个硬件、软件或综合系统,防止未经授权进入或从内部网络进入。
进入或离开内部网络的所有数据包都通过防火墙,该墙检查每个包裹,并禁止不符合具体安全标准的人。
在网络边界部署防火墙,就好像把安全集中起来。 类似的做法是在入口处lock一个公寓,不一定在门边。
由于以下原因,防火墙被视为实现网络安全的基本要素:
内部网络和东道国不太可能得到适当保障。
互联网是犯罪分子、竞争公司用户、不受干扰的前雇员、不友好国家的间谍、破坏等的危险场所。
防止攻击者对网络资源进行拒绝服务攻击。
防止外部攻击者非法修改/获取内部数据。
防火墙分为三种基本类型:
Packet filter (Stateless & Stateful)
Apppcation-level gateway
Circuit-level gateway
然而,这三类并非相互排斥。 现代防火墙具有各种能力,可将其归入三个以上类别之一。
Stateless & Stateful Packet Filtering Firewall
在这种类型的防火墙部署中,内部网络通过路道防火墙与外部网络/因特网连接。 防火墙检查和过滤数据包装。
Packet-filtering firewall 允许或阻挡包装单,主要依据的是来源和/或目的地IP地址、礼宾、源和/或目的地港号等标准,以及IP头盔内的其他各种参数。
该决定可以基于除IP头盔领域以外的因素,如ICMP信息类型、TCP SYN和ACK bits等。
包装过滤器规则有两个部分:
包装过滤器通常通过在路由器或开关上配置出入控制清单来完成。 ACL是包装过滤规则的表。
由于交通进入或离开接口,防火墙将ACL从上向下适用于每台coming,找到匹配标准,或者允许或否认个人包装。
无国家防火墙>是一种硬工具。 它检查包装,如果它符合标准,即使它不属于任何既定的持续通信。
因此,这些防火墙被现代网络中的状态防火墙>所取代。 这类防火墙为仅以ACL为基础的无国籍防火墙检查方法提供了更深入的检查方法。
国有防火墙监测连接的安装和冲破过程,以在TCP/IP一级检查连接情况。 这使得他们能够跟踪连接状态,确定哪些东道国在任何特定时间都有开放、授权的联系。
只有在要求建立新联系时,才会参考规则基础。 现有连接的包裹与防火墙的开放式连接表相比较,决定允许或阻挡。 这一过程节省了时间,也提供了更多的安全。 不允许任何包裹绕过防火墙,除非它属于已经建立的联系。 它可以在防火墙上断绝无用的连接,此后,它不再为这种连接接受包装。
Apppcation Gateways
申请级网关是申请一级交通的中继点。 他们拦截了寄出的包裹,操作该包件和向关发送信息,并充当proxy服务器,防止被信任的服务器或客户与未信任的东道方之间有任何直接联系。
轴心是具体应用。 他们可以在SI模式的应用层过滤包装。
Apppcation-specific Proxies
针对具体申请的代理人只接受设计复制、转发和过滤的具体申请所产生的包装。 例如,只有一家Telnet代理人能够复制、转发和过滤Telnet的交通。
如果一个网络仅靠一个应用级网关,则接收和发送的包装单不能获得没有配置的轴心的服务。 例如,如果一个门户运行FTP和Telnet轴心,只有这些服务产生的包装才能通过防火墙。 所有其他服务都受阻。
Apppcation-level Filtering
申请级代理网关、检查和过滤个人包装单,而不是简单复制,盲目通过网关。 具体应用的轴线检查通过网关的每包裹,通过申请层核实包装内容。 这些轴线可在申请程序中过滤特定种类的指挥或信息。
申请网关可以限制具体行动的实施。 例如,可以配置网关,防止用户进行“FTP”的指挥。 这可以防止攻击者改变服务器上储存的信息。
Transparent
虽然申请一级的网关可以透明,但许多安装需要用户认证,才能使用户能够进入一个没有信任的网络,从而减少真正的透明度。 如果用户来自内部网络或互联网,则其认证可能有所不同。 对于内部网络,可以允许一个简单的IP地址清单与外部应用连接。 但是,从互联网方面来说,应当实行强有力的认证。
在两个方向(Cpent ↔ Proxy ↔服务器)上,应用网关实际上将TCP的两部分连接起来。
对于有出入的包装箱,网关可以用自己的IP地址取代来源IP地址。 这一过程称为网络地址翻译(NAT)。 它确保内部IP地址不受互联网的影响。
Circuit-Level Gateway
电路级网关是包装过滤器与应用网关之间的中间解决方案。 该系统在运输层运行,因此可作为任何应用的代理。
与申请网关类似,电路级网关也不允许连接关口的终端至终端链路。 它建立了两个TCP链接,并将TCP部分从一个网络转至另一个网络。 但是,它没有审查申请网关等申请数据。 因此,有时被称为“Pipe Proxy”。
SOCKS
SOCKS(RFC 1928)提到一个电路级门户。 这是一种网络代理机制,使SOCKS服务器的一个侧的东道方能够在不要求直接的IP可达性的情况下充分接触对方的东道方。 客户与防火墙的SOCKS服务器连接。 然后,客户就认证方法进行谈判,并以选定的方法认证。
客户向SOCKS服务器发出连接转发要求,该服务器载有理想的目的地IP地址和运输港。 服务器在检查客户是否符合基本的过滤标准后接受这一请求。 之后,该网关代表客户打开了与所请求的未信任的东道方的联系,然后密切监测随后的TCP手脚。
SOCKS服务器向客户提供信息,如果成功,则开始在两个链接之间传送数据。 当本组织信任内部用户时,使用巡回门槛,并且不想检查互联网上发送的内容或应用数据。
Firewall Deployment with DMZ
防火墙是用来控制一个组织内部网络的网络交通“into”和“out”的机制。 在大多数情况下,这些系统有两个网络接口,一个是因特网等外部网络,另一个是内部网络。
防火墙过程可以严格控制允许从一方向另一方转移的东西。 一个希望提供外部接入其网络服务器的组织可以限制抵达80港(标准http://port)的防火墙的所有交通。 所有其他交通,如邮递交通、FTP、SNMP等,都不得通过防火墙进入内部网络。 下面图表显示一个简单的防火墙的例子。
在上述简单部署中,尽管外部的所有其他准入都受到阻碍,但袭击者可能不仅与一个网络服务器联系,而且与因事故或其他原因离开80港的国内网络的任何其他东道方联系。
因此,大多数组织面临的问题是,如何在保持内部网络的严密安全的同时,能够合法地获得公共服务,如网络、私人旅游和电子邮件。 典型的办法是在网络中部署防火墙,以提供一个非军事化区。
在这一装置中(按图表细分),部署了2个防火墙;1个在外部网络与DMZ之间,另一个在DMZ与内部网络之间。 所有公共服务器都设在管理部。
通过这一设置,有可能制定防火墙规则,使公众能够使用公共服务器,但内地防火墙可以限制所有新接线。 通过配备债务管理和金融分析系统,公共服务器得到适当的保护,而不是直接放在外部网络上。
Intrusion Detection / Prevention System
包装过滤防火墙仅根据涉及TCP/UDP/IP头盔的规则运作。 它们并不试图在不同届会之间建立相互关系检查。
入侵检测/预防系统(IDS/IPS)通过检查包装材料进行深层包装检查。 例如,对照已知病毒数据库,检查包装中的特性扼杀。
申请网关的确看着包装内容,但只看具体应用。 他们并不在包装单中发现可疑数据。 IDS/IPS检查包装单中的可疑数据,并努力研究多包装单之间的相互关系,以查明港口扫描、网络测绘和拒绝服务等攻击。
Difference between IDS and IPS
IDS和IPS在发现网络中的异常现象方面类似。 IDS是一种“视力”工具,而IPS则被视为一种“控制”工具。
入侵探测系统与网络相邻,监测许多不同点的交通,并使网络的安全情况出现可见度。 如果信息和安全局报告异常情况,网络管理人或网络内的其他装置将采取纠正行动。
入侵预防 该系统像防火墙一样,在两个网络之间坐在一线,控制通过这些网络的交通。 它执行了一项具体政策,查明网络交通中的异常现象。 一般来说,在署长处理异常现象之前,它放弃了所有包裹,把整个网络的交通捆绑在一起。
Types of IDS
有两种基本类型的国际数据系统。
它需要一个有其签名的已知袭击数据库。
签字按特定攻击的包装类型和顺序界定。
对这种类型的国际数据系统的限制是,只能发现已知的攻击。 国际流离失所人士联合会也可以发出虚假警报。 当一个正常的包装群与攻击的签字相匹配时,会发生枪声。
众所周知的公开源码信息系统就是“Snort” IDS。
Anomaly-based IDS
这类信息管理系统形成了正常网络运行的交通模式。
在综合发展模式期间,它审视了统计上不寻常的交通模式。 例如,ICMP非同寻常的负荷、港口扫描的指数增长等。
发现任何异常交通模式都会引起警惕。
在这种类型的国际数据交换部署中面临的主要挑战是难以区分正常交通和异常交通。
Summary
在本章中,我们讨论了用于控制网络接入的各种机制。 通过出入控制实现网络安全的方法在技术上不同于本辅导的前几章讨论的不同网络层面实施安全控制。 然而,尽管执行办法不同,但两者相辅相成。
网络出入控制由两个主要部分组成:用户认证和网络边界保护。 RADIUS是提供网络中央认证的民众机制。
防火墙通过将内部网络与公共互联网分开来提供网络边界保护。 防火墙可以在不同层次的网络规程上发挥作用。 IDS/IPS允许监测网络交通中的异常情况,以发现袭击,并采取预防行动。
Network Security – Critical Necessity
信息和高效沟通是每个企业取得成功的两个最重要的战略问题。 随着电子通讯和储存手段的出现,越来越多的企业转向利用数据网络进行通信、储存信息和获取资源。 用于经营业务的网络基础设施有不同的类型和水平。
可以指出,在现代世界,与网络计算机相比,对企业的影响不大。 但是,联网带来了安全威胁,如果能够减轻这些威胁,网络的好处就能够超过风险。
Role of Network in Business
现在,几乎所有的企业都认为计算机网络是一种资源。 这一资源使它们能够收集、分析、组织和传播对其获利至关重要的信息。 大多数企业已经安装了网络,以保持竞争力。
计算机网络的最明显作用是,各组织可在中心地点储存几乎所有类型的信息,并通过网络在所期望的地点检索这些信息。
福利 of Networks
计算机网络使人们能够轻易地分享信息和想法,以便他们能够更有效地工作。 网络改进采购、销售和客户服务等活动。 联网使传统业务流程更有效率、更易管理、成本较低。
企业从计算机网络中获得的主要好处是:
Streampned business processes——计算机网络使企业能够简化内部业务程序。
建立联系可产生许多其他具体业务效益。 这种好处使得所有类型的企业都有必要采用计算机网络。
Necessity for Network Security
由于计算机网络能力不断提高的现代技术的进步,对无线或无线网络的威胁大大增加。 当今世界大量使用互联网进行各种商业交易,对信息盗窃和对商业知识资产的其他攻击构成了挑战。
在当今时代,大多数企业都是通过网络应用进行的,因此所有网络都有可能受到攻击。 对商业网络的大多数共同安全威胁是数据拦截和盗窃以及身份盗窃。
网络安全是一个专门领域,涉及挫败这种威胁,保护企业计算机网络基础设施的可使用性、可靠性、完整性和安全性。
Importance of Network Security for Business
保护企业资产> 这是网络安全的主要目标。 资产指储存在计算机网络的信息。 信息与该公司的任何其他有形资产一样重要和宝贵。 网络安全涉及保密信息的完整性、保护和安全获取。
Gaining Competitive Advantage——为网络建立一个有效的安全系统,为组织提供竞争优势。 在互联网金融服务和电子商务领域,网络安全具有至关重要的意义。