2011年软件水平考试网络工程师全面复习笔记(30)

会计考友

2011年软件水平考试网络工程师全面复习笔记(30)
+ s. d5 m6 f( d6 J四. 网络入侵检测技术
　　网络入侵检测技术也叫网络实时监控技术，它通过硬件或软件对网络上的数据流进行实时检查，并与系统中的入侵特征数据库进行比较，一旦发现有被攻击的迹象，立刻根据用户所定义的动作做出反应，如切断网络连接，或通知防火墙系统对访问控制策略进行调整，将入侵的数据包过滤掉等。
' q4 r* Y- Y+ Q　　网络入侵检测技术的特点是利用网络监控软件或者硬件对网络流量进行监控并分析，及时发现网络攻击的迹象并做出反应。入侵检测部件可以直接部署于受监控网络的广播网段，或者直接接收受监控网络旁路过来的数据流。为了更有效地发现网络受攻击的迹象，网络入侵检测部件应能够分析网络上使用的各种网络协议，识别各种网络攻击行为。网络入侵检测部件对网络攻击行为的识别通常是通过网络入侵特征库来实现的，这种方法有利于在出现了新的网络攻击手段时方便地对入侵特征库加以更新，提高入侵检测部件对网络攻击行为的识别能力。
& _; r3 N1 M9 Q- Y* _5 r: N　　利用网络入侵检测技术可以实现网络安全检测和实时攻击识别，但它只能作为网络安全的一个重要的安全组件，网络系统的实际安全实现应该结合使用防火墙等技术来组成一个完整的网络安全解决方案，其原因在于网络入侵检测技术虽然也能对网络攻击进行识别并做出反应，但其侧重点还是在于发现，而不能代替防火墙系统执行整个网络的访问控制策略。防火墙系统能够将一些预期的网络攻击阻挡于网络外面，而网络入侵检测技术除了减小网络系统的安全风险之外，还能对一些非预期的攻击进行识别并做出反应，切断攻击连接或通知防火墙系统修改控制准则，将下一次的类似攻击阻挡于网络外部。因此通过网络安全检测技术和防火墙系统结合，可以实现了一个完整的网络安全解决方案。
$ U* ~- `7 k6 \+ W% e7 P% ^　　附:
　　一.CA中心的安全应用--数字证书颁发
2 x' E  \8 D4 l" f　　CA (Certificate Authority)
　　CA技术是安全认证技术的一种它基于公开密钥体系通过安全证书来实现 安全证书采用国际标准的X.509证书格式主要包括 证书的版本号 发证CA的身份信息 持证用户的身份信息 持证用户的公钥
　　CA中心所发放的数字安全证书可以应用于公众网络上的商务活动和行政作业活动，包括支付型和非支付型电子商务活动，其应用范围涉及需要身份认证及数据安全的各个行业，包括传统的商业、制造业、流通业的网上交易，以及公共事业、金融服务业、工商税务海关、政府行政办公、教育科研单位、保险、医疗等网上作业系统。它主要应用于网上购物、企业与企业的电子贸易、安全电子邮件、网上证券交易、网上银行等方面。
　　二. 密钥的管理内容
; I# ?! z. r' o' ^　　1.一个好的密钥管理系统应该做到
　　(1)密钥难以被窃取;
　　(2)在一定条件下窃取了密钥也没有用，密钥有使用范围和时间的限制;
; Y# z6 S8 ~/ o+ n' H9 C　　(3)密钥的分配和更换过程对用户透明，用户不一定要亲自掌管密钥.
　　a. 管理方式
4 M  f6 L, ]2 d. U, E　　层次化的密钥管理方式，用于数据加密的工作密钥需要动态产生;工作密钥由上层的加密密钥进行保护，最上层的密钥称为主密钥，是整个密钥管理系统的核心;多层密钥体制大大加强了密码系统的可靠性，因为用得最多的工作密钥常常更换，而高层密钥用的较少，使得破译者的难度增大。
1 {" n& m' a* s- K　　b. 密钥的生成
8 H6 K( u, J+ f# M: D! ]" q4 ~! Y, M6 v　　密钥的生成与所使用的算法有关。如果生成的密钥强度不一致，则称该算法构成的是非线性密钥空间，否则称为是线性密钥空间。
　　c. 分配、传递
* B. _7 C% e1 O  b* `　　密钥的分配是指产生并使使用者获得一个密钥的过程;密钥的传递分集中传送和分散传送两类。集中传送是指将密钥整体传送，这时需要使用主密钥来保护会话密钥的传递，并通过安全渠道传递主密钥。分散传送是指将密钥分解成多个部分，用秘密分享的方法传递，只要有部分到达就可以恢复，这种方法适用于在不安全的信道中传输。
　　d. 密钥的保存
　　密钥既可以作为一个整体保存，也可以分散保存。整体保存的方法有人工记忆、外部记忆装置、密钥恢复、系统内部保存;分散保存的目的是尽量降低由于某个保管人或保管装置的问题而导致密钥的泄漏。
　　e. 备份、销毁
　　密钥的备份可以采用和密钥的分散保存一样的方式，以免知道密钥的人太多;密钥的销毁要有管理和仲裁机制，否则密钥会被有意无意的丢失，从而造成对使用行为的否认。　
( s0 A4 b& V' P2. 密钥的分配技术
1 g3 Y1 K8 z! w5 V　　密钥的分配技术解决的是在网络环境中需要进行安全通信的端实体之间建立共享的对称密钥问题。
　　密钥分配中心方式KDC(Key Distribution Center)
　　这是当前一种主流方式。每个节点或用户只需保管与KDC之间使用的密钥加密密钥，而KDC为每个用户保管一个互不相同的密钥加密密钥。当两个用户需要通信时，需向KDC申请，KDC将工作密钥(也称会话密钥)用这两个用户的密钥加密密钥分别进行加密后送给这两个用户。在这种方式下，用户不用保存大量的工作密钥，而且可以实现一报一密，但缺点是通信量大，而且需要有较好的鉴别功能，以识别KDC和用户。
　　KDC方式还可以变形为电话号码本方式，适用于非对称密码体制。通过建立用户的公开密码表，在密钥的连通范围内进行散发，也可以采用目录方式进行动态查询，用户在进行保密通信前，首先产生一个工作密钥并使用对方的公开密钥加密传输，对方获悉这个工作密钥后，使用对称密码体制与其进行保密通信。
* F/ c1 }1 J1 |+ b6 r; a3 X4 H　　此外还有离散对数方法和智能卡方式，基本的思想是利用数学的方法使得别人无法获得密钥。
　　3. 公开密钥的全局管理机制
　　公开密钥体制主要针对开放型的大型互联网络的应用环境而设计的，这种网络环境中需要有一个协调的公开密钥管理机制，以保证公开密钥的可靠性。
　　公开密钥的管理一般基于公证机制，即需要一个通信的A、B双方都信任的第三方N来证明A和B的公开密钥的可靠性，这需要N分别对A和B的公开密钥进行数字签名，形成一个证明这个公开密钥可靠性的证书。在一个大型网络中，这样的公证中心可以有多个，另外这些公证中心若存在信任关系，则用户可以通过一个签名链去设法验证一个公证中心签发的证书。
) f4 E# w" b) G4 C$ q　　公开密钥管理的另外一个重要方面是如何撤消过去签发，但是现在已经失效的密钥证书。
$ e3 Y1 X9 B. o! r* v% R　　4.基于X.509证书的PKI(Public Key Infrastructure)
　　它是一种行业标准或者行业解决方案，在X.509方案中,默认的加密体制是公钥密码体制。为进行身份认证，X.509标准及公共密钥加密系统提供了数字签名的方案。用户可生成一段信息及其摘要(亦称作信息“指纹”)。用户用专用密钥对摘要加密以形成签名,接收者用发送者的公共密钥对签名解密,并将之与收到的信息“指纹”进行比较,以确定其真实性。
　　PKI是提供公钥加密和数字签名服务的系统或平台，目的是为了管理密钥和证书。它能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理。一个机构通过采用PKI框架管理密钥和证书可以建立一个安全的网络环境。
! i4 Z: I! r7 y" p' s　　PKIX(PublicKeyInfrastructureonX.509，简称PKIX)系列标准由IETFPKIX工作小组制定，定义了X.509证书在INTERNET上的使用，证书的生成、发布和获取，各种产生和分发密钥的机制，以及怎样实现这些标准的轮廓结构等。　　
　三.IPsec与VPN简介
　　IPSec，因特网协议安全，是由IETF(Internet Engineering Task Force)定义的一套在网络层提供IP安全性的协议。
, b+ o# X9 V0 k6 l　　1. 基于Ipsec的VPN，如阿姆瑞特VPN，由两部分组成
　　1.Internet密钥交换协议(IKE)
　　2.IPsec协议(AH/ESP/二者都有)
- z" ?( ?6 F; o8 {7 [: }! v* R4 w% Z　　第一部分，IKE是初始协商阶段，两个VPN端点在这个阶段协商使用哪种方法为下面的IP数据流提供安全。而且，通过定义一套安全联盟(SA)，IKE用于管理连接;SA面向每个连接的。SA是单向的，因此每个Ipsec连接至少有2个SA。在IKE(因特网密钥交换)部分对此有更详细的描述。
　　另一部分是IKE协商后，用加密和认证方法实际传输的IP数据。有几种方法，如IPsec协议ESP, AH或两者结合在一起都可以做到这一点。IPsec协议(ESP/AH)部分对此进行了解释。
　　2. 建立VPN事件的流程可做如下简要描述
# r1 h9 j8 P# m- M# w　　IKE协商如何保护IKE
! V: _. W8 i( _$ k6 `% T　　IKE协商如何保护Ipsec
　　Ipsec在VPN中传输数据
　　Internet密钥交换协议(IKE)
　　这部分描述IKE，因特网密钥交换协议，及其使用的参数。
/ U8 V3 W3 j" ^; \9 e; q　　加密和认证数据比较直接，唯一需要的是加密和认证算法，及其使用的密钥。因特网密钥交换协议(IKE)，用作分配这些对话用密钥的一种方法，而且在VPN端点间，规定了如何保护数据的方法。
　　3.IKE主要有三项任务
　　a.为端点间的认证提供方法
　　b.建立新的IPsec连接(创建一对SA)
, A# L! r- ?+ @3 m% ]0 K% f, Y　　c.管理现有连接
. M+ c$ D# y6 v. k　　IKE跟踪连接的方法是给每个连接分配一组安全联盟(SA)。SA描述与特殊连接相关的所有参数，包括使用的Ipsec协议(ESP/AH/二者兼有)，加密/解密和认证/确认传输数据使用的对话密钥。SA本身是单向的，每个连接需要一个以上的SA。大多数情况下，只使用ESP或AH，每个连接要创建2个SA，一个描述入站数据流，另一个描述出站数据流。同时使用ESP和AH的情况中就要创建4个SA。
　　4.IKE 协商
- W$ S+ x3 N2 @/ P9 u) \4 K2 A　　协商对话参数过程中包含许多阶段和模式。下面对其进行具体描述。
& i/ h( }1 j" J7 s& z' J　　事件流程如下描述：
7 H/ r1 x, w1 v3 |: P& C　　IKE阶段1 协商应该如何保护IKE
" w0 z+ N* B5 _* S  |* Z　　IKE阶段2 协商应该如何保护Ipsec
1 D! G6 {+ c+ h　　源自阶段1的密钥交换生成一些新的加密信息，以提供VPN数据流加密和认证中使用的对话密钥。
　　IKE和Ipsec连接都有使用期限的限制，使用时间(秒)和数据大小(KB)来描述。使用期限用于防止连接建立的时间过长，从密码学的角度看，这是有必要的。
　　IPSec的使用期限一般要比IKE的使用期限短。这样通过进行阶段2协商时，对Ipsec连接再次加密。不必进行另外的阶段1协商直至到IKE使用期限。
4 e+ h$ v6 D* ^7 R: L& b& }. i% a5.IKE 协议
+ L( j7 j6 a; D1 \! L2 }　　IKE提议是如何保护数据的建议。发起IPsec连接的VPN网关，作为发起者会发出提议列表，提议表建议了不同的护连接的方法。
) O) ^4 f' v/ a　　协商连接可以是通过VPN来保护数据流的Ipsec连接，或是IKE连接，保护IKE协商本身。
$ ?" I+ F! N7 q* I+ H2 c0 Z3 u8 z8 r6 J　　响应的VPN网关，在接收到此提议表后，就会根据自己的安全策略选择最适合的提议，并根据已选择的提议做出响应。如果没有找到可接受的提议，就会做出没有可接受提议的响应，并可能提供原因。提议包括需要的全部参数，如加密和认证数据使用的算法，以及IKE参数中描述的其他参数。
　　IKE 阶段1 - IKE安全协商
6 }. \+ l. l4 b1 S　　一个IKE协商可分两个阶段。第一阶段(阶段1)，通过确认远端网关是否具有匹配的Pre-Shared密钥，来进行2个VPN网关或VPN客户端的相互认证。
. _/ w- Q; F6 @( s, F　　可是，因为我们不希望以明文方式公布太多的协商信息，所以我们还是要保护其余的IKE协商信息。可以用前面描述的方法做到这一点，即通过发起者向响应者发送提议列表来完成。一旦这个工作完成，响应者选择并接受其中的一个提议后，将尝试着认证VPN的另一端，以确保它就是要认可的一端，并校验远端网关正是所期望的。
0 |. W0 Z7 S0 k  {, j% O7 I! z& i　　通过Pre-Shared密钥、证书或公开密钥加密能够完成认证。Pre-Shared密钥是目前最常见的认证方法。阿姆瑞特防火墙VPN模式支持Pre-Shared密钥和证书两种方式。
% s3 L' V) M8 k3 E  `　　IKE 阶段2 - IPsec安全协商
　　另一个协商是在阶段2进行的，详细说明了Ipsec的连接参数。
　　在阶段2，我们将从阶段1的Diffie-Hellman密钥交换中摘取新的密钥信息，并将其作为保护VPN数据流的会话密钥。
　　如果使用PFS(完善的转发机密)，每个阶段2协商中，会进行新的Diffie-Hellman交换。虽然这种操作比较慢，但可确保密钥不依赖于以前用过的任何密钥，不从同样的初始密钥材料中摘取密钥。这就保证了在不太安全的事件中，危及了某些密钥安全时，而不衍生出并发的密钥。
1 u. Y4 e) N  v2 r8 m( I/ c　　一旦完成阶段2协商，就会建立VPN连接，以备使用。