毕业设计开题报告浅析网络安全技术Word文档格式.docx
- 文档编号:22190837
- 上传时间:2023-02-03
- 格式:DOCX
- 页数:11
- 大小:28.32KB
毕业设计开题报告浅析网络安全技术Word文档格式.docx
《毕业设计开题报告浅析网络安全技术Word文档格式.docx》由会员分享,可在线阅读,更多相关《毕业设计开题报告浅析网络安全技术Word文档格式.docx(11页珍藏版)》请在冰豆网上搜索。
本文就进行初步探讨计算机网络安全的管理及其技术措施。
认真分析网络面临的威胁,我认为,计算机网络系统的安全防范工作是一个极为复杂的系统工程,是一个安全管理和技术防范相结合的工程。
在目前法律法规尚不完善的情况下,首先是各计算机网络应用部门领导的重视,加强工作人员的责任心和防范意识,自觉执行各项安全制度,在此基础上,再采用先进的技术和产品,构造全方位的防御机制,使系统在理想的状态下运行。
第二章概述
21世纪全世界的计算机都将通过Internet联到一起,信息安全的内涵也就发生了根本的变化。
它不仅从一般性的防卫变成了一种非常普通的防范,而且还从一种专门的领域变成了无处不在。
当人类步入21世纪这一信息社会、网络社会的时候,我国将建立起一套完整的网络安全体系,特别是从政策上和法律上建立起有中国自己特色的网络安全体系。
一个国家的信息安全体系实际上包括国家的法规和政策,以及技术与市场的发展平台。
我国在构建信息防卫系统时,应着力发展自己独特的安全产品,我国要想真正解决网络安全问题,最终的办法就是通过发展民族的安全产业,带动我国网络安全技术的整体提高。
网络安全产品有以下几大特点:
第一,网络安全来源于安全策略与技术的多样化,如果采用一种统一的技术和策略也就不安全了;
第二,网络的安全机制与技术要不断地变化;
第三,随着网络在社会个方面的延伸,进入网络的手段也越来越多,因此,网络安全技术是一个十分复杂的系统工程。
为此建立有中国特色的网络安全体系,需要国家政策和法规的支持及集团联合研究开发。
安全与反安全就像矛盾的两个方面,总是不断地向上攀升,所以安全产业将来也是一个随着新技术发展而不断发展的产业。
信息安全是国家发展所面临的一个重要问题。
对于这个问题,我们还没有从系统的规划上去考虑它,从技术上、产业上、政策上来发展它。
政府不仅应该看见信息安全的发展是我国高科技产业的一部分,而且应该看到,发展安全产业的政策是信息安全保障系统的一个重要组成部分,甚至应该看到它对我国未来电子化、信息化的发展将起到非常重要的作用。
第三章网络安全初步分析
第一节.网络安全的必要
第二节.网络的安全管理
面对网络安全的脆弱性,除了在网络设计上增加安全服务功能,完善系统的安全保密设施外,还必须花大力气加强网络的安全管理,因为诸多的不安全因素恰恰反映在组织管理和人员录用等方面,而这又是计算机网络安全所必须考虑的基本问题。
(1)安全管理原则
网络信息系统的安全管理主要基于3个原则。
① 多人负责原则
每一项与安全有关的活动,都必须有两人或多人在场。
这些人应是系统主管领导指派的,他们忠诚可靠,能胜任此项工作;
他们应该签署工作情况记录以证明安全工作以得到保障。
与安全有关的活动有:
访问控制使用证件的发放与回收;
信息处理系统使用的媒介发放与回收;
处理保密信息;
硬件和软件的维护;
系统软件的设计、实现和修改;
重要程序和数据的删除和销毁等。
② 任期有限原则
一般来讲,任何人最好不要长期担任与安全有关的职务,以免使他认为这个职务是专有的或永久性的。
为遵循任期有限原则,工作人员应不定期地循环任职,强制实行休假制度,并规定对工作人员进行轮流培训,以使任期有限制度切实可行。
③ 职责分离原则
除非经系统主管领导批准,在信息处理系统工作的人员不要打听、了解或参与职责以外的任何与安全有关的事情。
出与对安全的考虑,下面每组内的两项信息处理工作应当分开:
计算机操作与计算机编程;
机密资料的接收与传送;
安全管理和系统管理;
应用程序和系统程序的编制;
访问证件的管理与其他工作;
计算机操作与信息处理系统使用媒介的保管等。
(2)安全管理的实现
信息系统的安全管理部门应根据管理原则和该系统处理数据的保密性,制订相应的管理制度或采用相应的规范。
具体工作是:
① 根据工作的重要程度,确定该系统的安全等级。
② 根据确定的安全等级,确定安全管理范围。
③ 制订相应的机房出入管理制度,对于安全等级要求较高的系统,要实行分区控制,限制工作人员出入与己无关的区域。
出入管理可采用证件识别或安装自动识别系统,采用磁卡、身份卡等手段,对人员进行识别、登记管理。
第三节.采用先进的技术和产品
要保证计算机网络系统的安全性,还要采用一些先进的技术和产品。
目前主要采用的相关技术和产品有以下几种。
(1)防火墙技术
为保证网络安全,防止外部网对内部网的非法入侵,在被保护的网络和外部公共网络之间设置一道屏障这就称为防火墙。
它是一个或一组系统,该系统可以设定哪些内部服务可已被外界访问,外界的哪些人可以访问内部的哪些服务,以及哪些外部服务可以被内部人员访问。
它可监测、限制、更改跨越防火墙的数据流,确认其来源及去处,检查数据的格式及内容,并依照用户的规则传送或阻止数据。
其主要有:
应用层网关、数据包过滤、代理服务器等几大类型。
(2)数据加密技术
与防火墙配合使用的安全技术还有数据加密技术,是为提高信息系统及数据的安全性和保密性,防止秘密数据被外部破析所采用的主要技术手段之一。
随着信息技术的发展,网络安全与信息保密日益引起人们的关注。
目前各国除了从法律上、管理上加强数据的安全保护外,从技术上分别在软件和硬件两方面采取措施,推动着数据加密技术和物理防范技术的不断发展。
按作用不同,数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。
(3)认证技术
认证技术是防止主动攻击的重要手段,它对于开放环境中的各种信息的安全有重要作用。
认证是指验证一个最终用户或设备的身份过程,即认证建立信息的发送者或接收者的身份。
认证的主要目的有两个:
第一,验证信息的发送者是真正的,而不是冒充的,这称为信号源识别;
第二,验证信息的完整性,保证信息在传送过程中未被窜改或延迟等。
目前使用的认证技术主要有:
消息认证、身份认证、数字签名。
(4)计算机病毒的防范
首先要加强工作人员防病毒的意识,其次是安装好的杀毒软件。
合格的防病毒软件应该具备以下条件:
①、较强的查毒、杀毒能力。
在当前全球计算机网络上流行的计算机病毒有4万多种,在各种操作系统中包括Windows、UNIX和Netware系统都有大量能够造成危害的计算机病毒,这就要求安装的防病毒软件能够查杀多种系统环境下的病毒,具有查毒、杀毒范围广、能力强的特点。
②、完善的升级服务。
与其它软件相比,防病毒软件更需要不断地更新升级,以查杀层出不穷的计算机病毒。
第四章网络拓朴结构的安全设计
第一节.网络拓扑结构分析
网络的拓扑结构首先应因地制宜,根据组网单位的实际情况按照单位的各部门安全性要求划分,尽量使同一安全级别的上网计算机处于同一网段的安全控制域中。
局域网中的拓扑结构主要有总线型,星型,环形等,而目前大多数都采用载波侦听多路访问/冲突检测(CarrierSenseMultipleAccesswithCollisionDetection,CSMA/CD)也就是发展到现在的IEEE802.3规范,利用这一方法建成的网络,我们称之为以太网,在以太网的通信方式中,每一个工作站都可以读取电缆上传输的所有数据,将以太网卡(支持IEEE802.3规范的网卡)设置为混杂模式,网卡便会将电缆上传输的所有的数据读入缓冲区,以供系统和程序调用.但是入侵者还是可能通过割开网线,非法接入等手段来侦听网络,截获数据,根据线路中的数据流量找到网络的信息中心,因此布线要杜绝经过不可靠的区域,以防止非法接入,在各网段的控制器上设置网段内所有主机的介质访问控制器(MAC)地址,该地址为6个字节,是用来区分网络设备的唯一标志.此外,对于每一个接入网络中的计算机都必须先登记后连线接入,网段监控程序一旦发现有陌生的MAC地址便发出警告,网管人员立即查找该设备,因此在局域网中应该采用以下三种组网方式来加强安全防范.
网络分段网络分段通常被认为是控制网络广播风暴的一种基本手段,实际上也是保证网络安全的一项重要措施.其目的是将非法用户与敏感的网络资源相互隔离,从而防上可能的非法侦听.
以交换式集线器代替共享式集线器对局域网的中心计算机进行分段后,以太网的侦听的危险仍然存在.这是因为网络最终用户的接入往往是通过分支集线器而不是中心交换机,而使用最广泛的分支集线器通常是共享式集线器.这样,当用户与主机进行数据通信时,两台机器之间的数据包(称为单播包UnicastPacket)还是会被同一台集线器上的其他用户所侦听.因此应该以交换式集线器代替共享式集线器,使单播包公在两个节点之间传送,从而防止非法侦听.
VLAN(虚拟局域网)的划分为了克服以太网的广播问题,除上述方法外,还可以运用VLAN技术,将以太网通信变为点到点通信,以防止大部分基于网络侦听的入侵.
基于以上拓扑结构的连接方式,用电缆和集线器连接而成的网络始终是同一网段,在网上传播的数据可以被所有的连接设备接收,为了防止网络的入侵嗅探,可以把网络分段,隔离网络通信合用桥接器,交换器,路由器,应用网关都可以实现各网段的通信隔离,同时将多个局域网进行互联,拓展网络形成广域网,还可将本地局域网与因特网连接从而成为全球最大的广域网.但对于网络拓朴结构的安全技术是加强对外界的攻击的防范和应策.
第二节.网络攻击浅析
攻击是指非授权行为。
攻击的范围从简单的使服务器无法提供正常的服务到安全破坏、控制服务器。
在网络上成功实施的攻击级别以来于拥护采取的安全措施。
在此先分析下眼下比较流行的攻击Ddos分布式拒绝服务攻击:
DoS是DenialofService的简称,即拒绝服务,造成DoS的攻击行为被称为DoS攻击,其目的是使计算机或网络无法提供正常的服务。
最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。
带宽攻击指以极大的通信量冲击网络,使得所有可用网络资源都被消耗殆尽,最后导致合法的用户请求就无法通过。
连通性攻击指用大量的连接请求冲击计算机,使得所有可用的操作系统资源都被消耗殆尽,最终计算机无法再处理合法用户的请求。
而分布式拒绝服务(DDoS:
DistributedDenialofService)攻击是借助于客户/服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动DoS攻击,从而成倍地提高拒绝服务攻击的威力。
通常,攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上,在一个设定的时间主控程序将与大量代理程序通讯,代理程序已经被安装在Internet上的许多计算机上。
代理程序收到指令时就发动攻击。
利用客户/服务器技术,主控程序能在几秒钟内激活成百上千次代理程序的运行。
(见图一)而且现在没有有限的方法来避免这样的攻击
因为此攻击基于TCP/IP协议的漏洞,要想避免除非不使用此协议,显然这是很难做到的那我们要如何放置呢?
1.确保所有服务器采用最新系统,并打上安全补丁。
计算机紧急响应协调中心发现,几乎每个受到DDoS攻击的系统都没有及时打上补丁。
2.确保管理员对所有主机进行检查,而不仅针对关键主机。
这是为了确保管理员知道每个主机系统在运行什么?
谁在使用主机?
哪些人可以访问主机?
不然,即使黑客侵犯了系统,也很难查明。
3.确保从服务器相应的目录或文件数据库中删除未使用的服务如FTP或NFS。
Wu-Ftpd等守护程序存在一些已知的漏洞,黑客通过根攻击就能获得访问特权系统的权限,并能访问其他系统——甚至是受防火墙保护的系统。
4.确保运行在Unix上的所有服务都有TCP封装程序,限制对主机的访问权限。
5.禁止内部网通过Modem连接至PSTN系统。
否则,黑客能通过电话线发现未受保护的主机,即刻就能访问极为机密的数据。
6.禁止使用网络访问程序如Telnet、Ftp、Rsh、Rlogin和Rcp,以基于PKI的访问程序如SSH取代。
SSH不会在网上以明文格式传送口令,而Telnet和Rlogin则正好相反,黑客能搜寻到这些口令,从而立即访问网络上的重要服务器。
此外,在Unix上应该将.rhost和hosts.equiv文件删除,因为不用猜口令,这些文件就会提供登录访问!
7.限制在防火墙外与网络文件共享。
这会使黑客有机会截获系统文件,并以特洛伊木马替换它,文件传输功能无异将陷入瘫痪。
8.确保手头有一张最新的网络拓扑图。
这张图应该详细标明TCP/IP地址、主机、路由器及其他网络设备,还应该包括网络边界、非军事区(DMZ)及网络的内部保密部分。
9.在防火墙上运行端口映射程序或端口扫描程序。
大多数事件是由于防火墙配置不当造成的,使DoS/DDoS攻击成功率很高,所以定要认真检查特权端口和非特权端口。
10.检查所有网络设备和主机/服务器系统的日志。
只要日志出现漏洞或时间出现变更,几乎可以肯定:
相关的主机安全受到了危胁。
第五章防火墙技术
第一节.防火墙的定义和由来
网络防火墙技术是一种用来加强网络之间访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络,访问内部网络资源,保护内部网络操作环境的特殊网络互联设备。
它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查,以决定网络之间的通信是否被允许,并监视网络运行状态。
目前的防火墙产品主要有堡垒主机、包过滤路由器、应用层网关(代理服务器)以及电路层网关、屏蔽主机防火墙、双宿主机等类型。
虽然防火墙是目前保护网络免遭黑客袭击的有效手段,但也有明显不足:
无法防范通过防火墙以外的其它途径的攻击,不能防止来自内部变节者和不经心的用户们带来的威胁,也不能完全防止传送已感染病毒的软件或文件,以及无法防范数据驱动型的攻击。
自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统,提出了防火墙概念后,防火墙技术得到了飞速的发展。
国内外已有数十家公司推出了功能各不相同的防火墙产品系列。
防火墙处于5层网络安全体系中的最底层,属于网络层安全技术范畴。
在这一层上,企业对安全系统提出的问题是:
所有的IP是否都能访问到企业的内部网络系统?
如果答案是“是”,则说明企业内部网还没有在网络层采取相应的防范措施。
作为内部网络与外部公共网络之间的第一道屏障,防火墙是最先受到人们重视的网络安全产品之一。
虽然从理论上看,防火墙处于网络安全的最底层,负责网络间的安全认证与传输,但随着网络安全技术的整体发展和网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务。
另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。
第二节.防火墙的选择
选择防火墙的标准有很多,但最重要的是以下几条:
2.1.总拥有成本防火墙产品作为网络系统的安全屏障,其总拥有成本(TCO)不应该超过受保护网络系统可能遭受最大损失的成本。
以一个非关键部门的网络系统为例,假如其系统中的所有信息及所支持应用的总价值为10万元,则该部门所配备防火墙的总成本也不应该超过10万元。
当然,对于关键部门来说,其所造成的负面影响和连带损失也应考虑在内。
如果仅做粗略估算,非关键部门的防火墙购置成本不应该超过网络系统的建设总成本,关键部门则应另当别论。
2.2.防火墙本身是安全的
作为信息系统安全产品,防火墙本身也应该保证安全,不给外部侵入者以可乘之机。
如果像马其顿防线一样,正面虽然牢不可破,但进攻者能够轻易地绕过防线进入系统内部,网络系统也就没有任何安全性可言了。
通常,防火墙的安全性问题来自两个方面:
其一是防火墙本身的设计是否合理,这类问题一般用户根本无从入手,只有通过权威认证机构的全面测试才能确定。
所以对用户来说,保守的方法是选择一个通过多家权威认证机构测试的产品。
其二是使用不当。
一般来说,防火墙的许多配置需要系统管理员手工修改,如果系统管理员对防火墙不十分熟悉,就有可能在配置过程中遗留大量的安全漏洞。
2.3.可扩充性
在网络系统建设的初期,由于内部信息系统的规模较小,遭受攻击造成的损失也较小,因此没有必要购置过于复杂和昂贵的防火墙产品。
但随着网络的扩容和网络应用的增加,网络的风险成本也会急剧上升,此时便需要增加具有更高安全性的防火墙产品。
如果早期购置的防火墙没有可扩充性,或扩充成本极高,这便是对投资的浪费。
好的产品应该留给用户足够的弹性空间,在安全水平要求不高的情况下,可以只选购基本系统,而随着要求的提高,用户仍然有进一步增加选件的余地。
这样不仅能够保护用户的投资,对提供防火墙产品的厂商来说,也扩大了产品覆盖面。
第三节.加密技术
信息交换加密技术分为两类:
即对称加密和非对称加密。
3.1.对称加密技术
在对称加密技术中,对信息的加密和解密都使用相同的钥,也就是说一把钥匙开一把锁。
这种加密方法可简化加密处理过程,信息交换双方都不必彼此研究和交换专用的加密算法。
如果在交换阶段私有密钥未曾泄露,那么机密性和报文完整性就可以得以保证。
对称加密技术也存在一些不足,如果交换一方有N个交换对象,那么他就要维护N个私有密钥,对称加密存在的另一个问题是双方共享一把私有密钥,交换双方的任何信息都是通过这把密钥加密后传送给对方的。
如三重DES是DES(数据加密标准)的一种变形,这种方法使用两个独立的56为密钥对信息进行3次加密,从而使有效密钥长度达到112位。
3.2.非对称加密/公开密钥加密
在非对称加密体系中,密钥被分解为一对(即公开密钥和私有密钥)。
这对密钥中任何一把都可以作为公开密钥(加密密钥)通过非保密方式向他人公开,而另一把作为私有密钥(解密密钥)加以保存。
公开密钥用于加密,私有密钥用于解密,私有密钥只能有生成密钥的交换方掌握,公开密钥可广泛公布,但它只对应于生成密钥的交换方。
非对称加密方式可以使通信双方无须事先交换密钥就可以建立安全通信,广泛应用于身份认证、数字签名等信息交换领域。
非对称加密体系一般是建立在某些已知的数学难题之上,是计算机复杂性理论发展的必然结果。
最具有代表性是RSA公钥密码体制。
3.3.RSA算法
RSA算法是Rivest、Shamir和Adleman于1977年提出的第一个完善的公钥密码体制,其安全性是基于分解大整数的困难性。
在RSA体制中使用了这样一个基本事实:
到目前为止,无法找到一个有效的算法来分解两大素数之积。
RSA算法的描述如下:
公开密钥:
n=pq(p、q分别为两个互异的大素数,p、q必须保密)
e与(p-1)(q-1)互素
私有密钥:
d=e-1{mod(p-1)(q-1)}
加密:
c=me(modn),其中m为明文,c为密文。
解密:
m=cd(modn)
利用目前已经掌握的知识和理论,分解2048bit的大整数已经超过了64位计算机的运算能力,因此在目前和预见的将来,它是足够安全的。
第四节.注册与认证管理
4.1.认证机构
CA(CertificationAuthorty)就是这样一个确保信任度的权威实体,它的主要职责是颁发证书、验证用户身份的真实性。
由CA签发的网络用户电子身份证明—证书,任何相信该CA的人,按照第三方信任原则,也都应当相信持有证明的该用户。
CA也要采取一系列相应的措施来防止电子证书被伪造或篡改。
构建一个具有较强安全性的CA是至关重要的,这不仅与密码学有关系,而且与整个PKI系统的构架和模型有关。
此外,灵活也是CA能否得到市场认同的一个关键,它不需支持各种通用的国际标准,能够很好地和其他厂家的CA产品兼容。
4.2.注册机构
RA(RegistrationAuthorty)是用户和CA的接口,它所获得的用户标识的准确性是CA颁发证书的基础。
RA不仅要支持面对面的登记,也必须支持远程登记。
要确保整个PKI系统的安全、灵活,就必须设计和实现网络化、安全的且易于操作的RA系统。
4.3.密钥备份和恢复
为了保证数据的安全性,应定期更新密钥和恢复意外损坏的密钥是非常重要的,设计和实现健全的密钥管理方案,保证安全的密钥备份、更新、恢复,也是关系到整个PKI系统强健性、安全性、可用性的重要因素。
4.4.证书管理与撤消系统
证书是用来证明证书持有者身份的电子介质,它是用来绑定证书持有者身份和其相应公钥的。
通常,这种绑定在已颁发证书的整个生命周期里是有效的。
但是,有时也会出现一个已颁发证书不再有效的情况这就需要进行证书撤消,证书撤消的理由是各种各样的,可能包括工作变动到对密钥怀疑等一系列原因。
证书撤消系统的实现是利用周期性的发布机制撤消证书或采用在线查询机制,随时查询被撤消的证书。
第六章安全技术的研究
第一节.安全技术的研究现状和动向
我国信息网络安全研究历经了通信保密、数据保护两个阶段,正在进入网络信息安
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 毕业设计 开题 报告 浅析 网络安全 技术
![提示](https://static.bdocx.com/images/bang_tan.gif)