第 十 章 網(wǎng) 絡(luò) 管 理 與 網(wǎng) 絡(luò) 安 全 10.1 網(wǎng) 絡(luò) 管 理 網(wǎng) 絡(luò) 管 理 的 功 能計算機網(wǎng)絡(luò)管理系統(tǒng)的功能是管理、監(jiān)視和控制計算機網(wǎng)絡(luò)，即對計算機網(wǎng)絡(luò)進行配置，獲取信息，監(jiān)視網(wǎng)絡(luò)性能，管理故障以及進行安全控制。分類第一類是計算機網(wǎng)絡(luò)應(yīng)用程序、用戶帳號和存取權(quán)限的管理，屬于與軟件有關(guān)的計算機網(wǎng)絡(luò)管理問題。第二類是對構(gòu)成計算機網(wǎng)絡(luò)的硬件的管理，包括對工作站、服務(wù)器、網(wǎng)卡、路由器、網(wǎng)橋和集線器等的管理。 網(wǎng) 絡(luò) 管 理 模 型 代 理 的 管 理 模 型 。 網(wǎng) 絡(luò) 管 理 系 統(tǒng) 一 般 由 4個 部 分 組 成 。 1 被 管 理 設(shè) 備 2 網(wǎng) 絡(luò) 管 理 信 息 庫 3 管 理 工 作 站 4 網(wǎng) 絡(luò) 管 理 協(xié) 議 網(wǎng) 絡(luò) 管 理 模 型管 理 者 代 理 模 型 網(wǎng) 絡(luò) 管 理 的 功 能 5個 功 能 域 ： 故 障 管 理 、 配 置 管 理 、 計 費 管 理 、性 能 管 理 和 安 全 管 理 。 1 故 障 管 理 : 對 網(wǎng) 絡(luò) 中 的 問 題 或 故 障 進 行 檢 測 、 隔 離 和 糾 正 。 （ 1） 故 障 管 理 的 過 程 :發(fā) 現(xiàn) 問 題 、 找 出 故 障 的 原 因 、盡 量 排 除 故 障 。 （ 2） 故 障 管 理 的 主 要 功 能 維 護 、 使 用 和 檢 查 差 錯日 志 ， 接 受 差 錯 檢 測 的 通 報 并 做 出 反 應(yīng) ， 在 系 統(tǒng)范 圍 內(nèi) 限 定 跟 蹤 差 錯 ， 執(zhí) 行 診 斷 測 試 序 列 ， 執(zhí) 行恢 復(fù) 動 作 以 糾 正 差 錯 2 配 置 管 理 發(fā) 現(xiàn) 和 設(shè) 置 網(wǎng) 絡(luò) 設(shè) 備 的 過 程 。 （ 1） 獲 得 關(guān) 于 當(dāng) 前 網(wǎng) 絡(luò) 配 置 的 信 息 。 （ 2） 提 供 遠 程 修 改 設(shè) 備 配 置 的 手 段 。 （ 3） 存 儲 數(shù) 據(jù) 、 維 護 最 新 的 設(shè) 備 清 單 并 根據(jù) 數(shù) 據(jù) 產(chǎn) 生 報 告 。 3 計 費 管 理 測 量 和 報 告 基 于 個 人 或 團 體 用 戶 的 計 費 信 息 ，分 配 資 源 并 計 算 用 戶 通 過 網(wǎng) 絡(luò) 傳 輸 數(shù) 據(jù) 的 費用 。 統(tǒng) 計 哪 些 用 戶 、 使 用 何 信 道 、 傳 輸 多 少 數(shù) 據(jù) 、訪 問 什 么 資 源 等 信 息 ； 統(tǒng) 計 不 同 線 路 和 各 類 資 源 的 利 用 情 況 。 4 性 能 管 理 測 量 網(wǎng) 絡(luò) 中 硬 件 、 軟 件 和 媒 體 的 性 能 。 測 量 的 項 目 包 括 整 體 吞 吐 量 、 利 用 率 、 錯 誤率 或 影 響 時 間 等 。 有 監(jiān) 測 和 控 制 兩 大 功 能 ： 監(jiān) 測 功 能 實 現(xiàn) 對 網(wǎng) 絡(luò) 中 的 活 動 進 行 跟 蹤 ， 控 制 功 能 實 施 相 應(yīng) 調(diào) 整 來 提 高 網(wǎng) 絡(luò) 性 能 。 5 安 全 管 理 控 制 對 計 算 機 網(wǎng) 絡(luò) 中 信 息 的 訪 問 過 程 。 （ 1） 支 持 身 份 鑒 別 ， 規(guī) 定 身 份 鑒 別 的 過 程 。 （ 2） 控 制 和 維 護 授 權(quán) 設(shè) 施 。 （ 3） 控 制 和 維 護 訪 問 權(quán) 限 。 （ 4） 支 持 密 鑰 管 理 。 （ 5） 維 護 和 檢 查 安 全 日 志 。 6 其 他 擴 展 管 理 （ 1） 系 統(tǒng) 管 理 。 計 算 機 及 其 組 件 （ 2） 服 務(wù) 管 理 。 服 務(wù) 提 供 者 及 其 設(shè) 備 （ 3） 應(yīng) 用 管 理 。 監(jiān) 視 和 控 制 用 戶 應(yīng) 用 程 序 （ 4） 眾 多 其 他 資 源 的 管 理 。 包 括 數(shù) 據(jù) 庫 、存 儲 設(shè) 備 、 家 庭 電 子 設(shè) 備 及 電 子 郵 件 等 資 源 。 網(wǎng) 絡(luò) 管 理 的 協(xié) 議 兩 大 網(wǎng) 絡(luò) 管 理 協(xié) 議 體 系 ： 基 于 TCP/IP網(wǎng) 絡(luò) 的 簡 單 網(wǎng) 絡(luò) 管 理 協(xié) 議 SNMP 由 國 際 標 準 化 組 織 ISO制 定 的 公 共 管 理 信 息協(xié) 議 CMIP。 簡 單 網(wǎng) 絡(luò) 管 理 協(xié) 議 SNMP SNMP代 理 和 管 理 工 作 站 通 過 SNMP協(xié) 議中 的 標 準 消 息 進 行 通 信 ， 每 個 消 息 都 是 1個 單 獨 的 數(shù) 據(jù) 報 。 SNMP使 用 用 戶 數(shù) 據(jù) 報 協(xié) 議 UDP作 為 傳 輸協(xié) 議 ， 進 行 無 連 接 操 作 。 SNMP的 管 理 模 型網(wǎng) 絡(luò) 管 理 員 界 面 管 理 進 程管 理 代 理 MIB MIB MIB管 理 代 理 管 理 代 理被 管 設(shè) 備 被 管 設(shè) 備 被 管 設(shè) 備 網(wǎng) 絡(luò) 管 理 通 信 協(xié) 議 管 理 信 息庫 -MIBSNMP管理 部 件 的 管理 關(guān) 系 SNMP在 協(xié) 議 層 次 結(jié) 構(gòu) 中 的 位置 SNMP管 理 程 序UDPIP數(shù) 據(jù) 鏈 路 層 管 理 應(yīng) 用 進 程get Get-next set Get-request trap UDPIP數(shù) 據(jù) 鏈 路 層SNMP代 理 程 序 SNMP被 管 對 象被 管 資 源get Get-next set Get-request trap應(yīng) 用 進 程 進 行 管 理 SNMP報 文 因 特 網(wǎng) 管 理 系 統(tǒng) 被 管 系 統(tǒng) 10.2 網(wǎng) 絡(luò) 安 全 計 算 機 網(wǎng) 絡(luò) 面 臨 的 安 全 性 威 脅 ISO對 OSI環(huán) 境 定 義 了 以 下 幾 種 威 脅 ： （ 1） 偽 裝 （ 2） 非 法 連 接 （ 3） 非 授 權(quán) 訪 問 （ 4） 拒 絕 服 務(wù) （ 5） 抵 賴 （ 6） 信 息 泄 露 （ 7） 通 信 量 分 析 （ 8） 無 效 信 息 流 （ 9） 篡 改 /破 壞 數(shù) 據(jù) （ 10） 推 斷 或 演 繹 信 息 （ 11） 非 法 篡 改 程 序 計 算 機 網(wǎng) 絡(luò) 面 臨 的 安 全 攻 擊 1 安 全 攻 擊 的 形 式（ 1） 中 斷（ 2） 截 ?。?3） 修 改（ 4） 捏 造 信 息 源 信 息 目 的（ a） 正 常 流 動 （ b） 中 斷 （ c） 截 取 （ d） 修 改（ e） 捏 造 主 動 攻 擊 與 被 動 攻 擊主 動 攻 擊 ： 對 數(shù) 據(jù) 修 改 或 創(chuàng) 建 ， 容 易 檢 測 ， 很 難 完 全 預(yù)防 。 包 括 中 斷 、 修 改 和 捏 造被 動 攻 擊 ： 偷 聽 或 監(jiān) 視 傳 送 ， 獲 得 正 在 傳 送 的 信 息 ， 很難 被 檢 測 到 。 截 獲 屬 于 被 動 攻 擊 計 算 機 網(wǎng) 絡(luò) 安 全 體 系 1989年 ISO TC97技 術(shù) 委 員 會 制 訂了 ISO7498 2國 際 標 準 從 體 系 結(jié) 構(gòu) 的 觀 點 ， 描 述 了 實 現(xiàn) OSI參 考 模 型 間 安 全 通 信 必 須 提 供 的 安全 服 務(wù) 和 安 全 機 制 ， 建 立 了 OSI標 準的 安 全 體 系 結(jié) 構(gòu) 框 架 。 計 算 機 網(wǎng) 絡(luò) 安 全 體 系 5種 可 供 選 擇 的 安 全 服 務(wù)1.身 份 認 證 雙 向 認 證 2.訪 問 控 制 訪 問 權(quán) 限3.數(shù) 據(jù) 保 密 數(shù) 據(jù) 加 密4.數(shù) 據(jù) 完 整 性 修 改 、 刪 除 、 插 入 、替 換 或 重 發(fā)5.防 止 否 認 數(shù) 字 簽 名 安 全 體 系 結(jié) 構(gòu) 模 型OSI模 型 的 層 對 應(yīng) 的 安 全 服 務(wù) 模 型 的 內(nèi) 容應(yīng) 用 層 身 份 認 證 、 訪 問 控 制 、數(shù) 據(jù) 保 密 、 數(shù) 據(jù) 完 整 表 示 層會 話 層傳 輸 層 端 到 端 的 數(shù) 據(jù) 加 密網(wǎng) 絡(luò) 層 防 火 墻 、 IP安 全數(shù) 據(jù) 鏈 路 層 相 鄰 節(jié) 點 的 數(shù) 據(jù) 加 密物 理 層 安 全 物 理 信 道 網(wǎng) 絡(luò) 防 火 墻 防 火 墻 的 概 念 設(shè) 置 在 不 同 網(wǎng) 絡(luò) 或 安 全 域 間 的 部 件 組 合 。 可 以 是 軟 件 、 硬 件 ， 或 兩 者 的 結(jié) 合 可 監(jiān) 測 、 限 制 、 更 改 跨 越 防 火 墻 的 數(shù) 據(jù) 流 ，對 外 部 屏 蔽 網(wǎng) 絡(luò) 內(nèi) 部 的 信 息 、 結(jié) 構(gòu) 和 運 行 狀況 ， 實 現(xiàn) 安 全 保 護 。 邏 輯 上 ， 是 1個 分 離 器 、 限 制 器 ， 分 析 器 ，監(jiān) 控 所 隔 離 的 網(wǎng) 絡(luò) 間 的 任 何 活 動 防 火 墻 的 功 能 過 濾 掉 不 安 全 服 務(wù) 和 非 法 用 戶 。 控 制 對 特 殊 站 點 的 訪 問 。 提 供 監(jiān) 視 因 特 網(wǎng) 安 全 和 預(yù) 警 的 方 便 端 點 防 火 墻 的 局 限 性 不 能 防 范 不 經(jīng) 由 防 火 墻 的 攻 擊 不 能 防 止 病 毒 軟 件 或 文 件 的 傳 輸 不 能 防 止 數(shù) 據(jù) 驅(qū) 動 式 攻 擊 防 火 墻 的 分 類 根 據(jù) 防 范 方 式 和 側(cè) 重 點 可 分 為 包 過 濾 、應(yīng) 用 級 網(wǎng) 關(guān) 和 代 理 服 務(wù) 器 類 型 ； 按 照 體 系 結(jié) 構(gòu) 可 分 為 屏 蔽 路 由 器 、 雙 穴主 機 網(wǎng) 關(guān) 、 被 屏 蔽 主 機 網(wǎng) 關(guān) 和 被 屏 蔽 子網(wǎng) 等 。 可 有 不 同 組 合 實 現(xiàn) 防 火 墻 的 技 術(shù) 包 過 濾 技 術(shù) 報 文 過 濾 器 放 在 路 由 器 上 ， 對 用 戶 具 有 透明 性 ， 只 對 源 地 址 、 目 的 地 址 及 端 口 進 行 檢查 不 要 求 應(yīng) 用 程 序 做 任 何 改 動 ， 也 不 要 求 用戶 學(xué) 習(xí) 任 何 新 知 識 對 復(fù) 雜 的 站 點 ， 規(guī) 則 庫 會 變 得 很 大 實 現(xiàn) 防 火 墻 的 技 術(shù) 應(yīng) 用 層 網(wǎng) 關(guān) 控 制 對 應(yīng) 用 程 序 的 訪 問 3種 基 本 類 型 ： 雙 穴 主 機 網(wǎng) 關(guān) 、 屏 蔽 主 機 網(wǎng)關(guān) 、 屏 蔽 子 網(wǎng) 網(wǎng) 關(guān) 用 1臺 主 機 作 堡 壘 主 機 或 代 理 服 務(wù) 器 應(yīng) 用 層 網(wǎng) 關(guān) 雙 穴 主 機 網(wǎng) 關(guān) 1臺 裝 兩 塊 網(wǎng) 卡 的 堡 壘 主 機 做 防 火 墻 。 網(wǎng) 卡各 與 受 保 護 網(wǎng) 和 外 部 網(wǎng) 相 連 。 其 上 運 行 防 火墻 軟 件 ， 可 轉(zhuǎn) 發(fā) 應(yīng) 用 程 序 ， 提 供 服 務(wù) 等 易 于 安 裝 ， 硬 件 設(shè) 備 簡 單 ， 能 保 護 網(wǎng) 絡(luò) 與外 界 完 全 隔 離 ， 日 志 功 能 ， 發(fā) 現(xiàn) 入 侵 ； 系 統(tǒng) 特 權(quán) 泄 露 ， 安 全 系 數(shù) 惡 意 修 改 或 堡 壘主 機 癱 瘓 ， 防 火 墻 即 被 破 壞 雙 穴 主 機 網(wǎng) 關(guān) 因 特 網(wǎng) 堡 壘 主 機網(wǎng) 卡 網(wǎng) 卡 內(nèi) 聯(lián) 網(wǎng) 屏 蔽 主 機 網(wǎng) 關(guān) 因 特 網(wǎng) 堡 壘 主 機 網(wǎng) 卡 路 由 器 內(nèi) 聯(lián) 網(wǎng)堡 壘 主 機 上 運 行 防 火 墻 軟 件 ， 路 由 器 只 允許 外 部 網(wǎng) 絡(luò) 訪 問 內(nèi) 部 網(wǎng) 絡(luò) 中 的 堡 壘 主 機 屏 蔽 子 網(wǎng) 網(wǎng) 關(guān) 內(nèi) 部 路 由 器 堡 壘 主 機 堡 壘 主 機 內(nèi) 聯(lián) 網(wǎng)因 特 網(wǎng) 外 部 路 由 器形 成 了 1個 獨 立 的 小 型 堡 壘 主 機 子 網(wǎng) 代 理 服 務(wù) 將 所 有 跨 越 防 火 墻 的 網(wǎng) 絡(luò) 通 信 鏈 路 分 為 兩 段 外 部 計 算 機 的 網(wǎng) 絡(luò) 鏈 路 只 能 到 達 代 理 與 內(nèi) 部 計 算 機 的 網(wǎng) 絡(luò) 鏈 路 的 所 有 通 信 都 通 過 代 理 完成 對 通 信 的 數(shù) 據(jù) 包 進 行 分 析 、 注 冊 登 記 、 形 成 報 告 發(fā) 現(xiàn) 被 攻 擊 跡 象 時 向 網(wǎng) 絡(luò) 管 理 員 發(fā) 出 警 報 ， 并 保 存被 攻 擊 痕 跡 防 火 墻 代 理請 求 請 求 轉(zhuǎn) 發(fā)應(yīng) 答轉(zhuǎn) 發(fā) 應(yīng) 答外 部 網(wǎng) 站 點 被 保 護 網(wǎng) 站 點 10.3 計 算 機 網(wǎng) 絡(luò) 病 毒 計 算 機 病 毒 定 義 中 華 人 民 共 和 國 計 算 機 信 息 系 統(tǒng) 安 全 保 護 條 例 中 的定 義 為 ： “指 編 制 或 者 在 計 算 機 程 序 中 插 入 的 破 壞 計 算 機功 能 或 者 數(shù) 據(jù) ， 影 響 計 算 機 使 用 并 且 能 夠 自 我 復(fù) 制 的 一組 計 算 機 指 令 或 者 程 序 代 碼 ” 計 算 機 病 毒 的 特 點 傳 染 性 ， 破 壞 性 ， 隱 蔽 性 ， 潛 伏 性 計 算 機 病 毒 的 分 類 系 統(tǒng) 引 導(dǎo) 病 毒 文 件 型 病 毒 復(fù) 合 型 病 毒 宏 病 毒 計 算 機 網(wǎng) 絡(luò) 病 毒 網(wǎng) 絡(luò) 病 毒 的 特 點 （ 1） 傳 染 方 式 多 （ 2） 傳 播 速 度 快 （ 3） 清 除 難 度 大 （ 4） 破 壞 性 強 網(wǎng) 絡(luò) 病 毒 的 傳 播 （ 1） 文 件 病 毒 在 局 域 網(wǎng) 絡(luò) 上 的 傳 播 （ 2） 文 件 病 毒 在 對 等 網(wǎng) 絡(luò) 上 的 傳 播 （ 3） 文 件 病 毒 在 因 特 網(wǎng) 上 的 傳 播 （ 4） 引 導(dǎo) 病 毒 在 網(wǎng) 絡(luò) 服 務(wù) 器 上 的 表 現(xiàn)