第7章-互联网网络安全-《物联网安全导论》要点课件

第第7章章互联网网络安全互联网网络安全 第7章互联网网络安全学习任务学习任务网络安全概述网络安全概述 防火墙技术防火墙技术入侵检测入侵检测Clicktoaddtitleinhere123本章主要涉及：本章主要涉及：4身份验证 学习任务网络安全概述防火墙技术入侵检测Clickto学习任务学习任务IPsecIPsec安全协议虚拟专网虚拟专网 （VPN VPN）黑客黑客 567本章主要涉及：本章主要涉及：8互联网互联网安全安全协议和机制协议和机制 学习任务IPsec安全协议虚拟专网（VPN）黑客7.1网络安全概述网络安全概述网络安全从其本质上来讲就是网络上的信息安全。网络安全从其本质上来讲就是网络上的信息安全。从广义来说，凡是涉及到网络上信息的保密性、从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。理论都是网络安全的研究领域。网络安全是一门涉及网络安全是一门涉及计算机科学、网络技术、通计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。数论、信息论等多种学科的综合性学科。7.1网络安全概述网络安全从其本质上来讲就是网络上的信息安7.1网络安全概述网络安全概述7.1.1网络安全威胁分析网络安全威胁分析1.物理安全物理安全网络的物理安全是整个网络系统安全的前提。在网络的物理安全是整个网络系统安全的前提。在校园网工程建设中，由于网络系统属于弱电工程，校园网工程建设中，由于网络系统属于弱电工程，耐压值很低。耐压值很低。因此，在网络工程的设计和施工中，必须优先考因此，在网络工程的设计和施工中，必须优先考虑保护人和网络设备不受电、火灾和雷击的侵害；虑保护人和网络设备不受电、火灾和雷击的侵害；7.1网络安全概述7.1.1网络安全威胁分析7.1网络安全概述网络安全概述考虑布线系统与照明电线、动力电线、通信线路、考虑布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离；暖气管道及冷热空气管道之间的距离；考虑布线系统和绝缘线、裸体线以及接地与焊接考虑布线系统和绝缘线、裸体线以及接地与焊接的安全；的安全；必须建设防雷系统，防雷系统不仅考虑建筑物防必须建设防雷系统，防雷系统不仅考虑建筑物防雷，还必须考虑计算机及其他弱电耐压设备的防雷，还必须考虑计算机及其他弱电耐压设备的防雷。雷。7.1网络安全概述考虑布线系统与照明电线、动力电线、通信线7.1网络安全概述网络安全概述总体来说物理安全的风险主要有，地震、水灾、总体来说物理安全的风险主要有，地震、水灾、火灾等环境事故；电源故障；人为操作失误或错火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获；高误；设备被盗、被毁；电磁干扰；线路截获；高可用性的硬件；双机多冗余的设计；机房环境及可用性的硬件；双机多冗余的设计；机房环境及报警系统、安全意识等，因此要尽量避免网络的报警系统、安全意识等，因此要尽量避免网络的物理安全风险。物理安全风险。7.1网络安全概述总体来说物理安全的风险主要有，地震、水灾7.1网络安全概述网络安全概述2.网络结构的安全网络结构的安全网络拓扑结构设计也直接影响到网络系统的安全性。网络拓扑结构设计也直接影响到网络系统的安全性。假如在外部和内部网络进行通信时，内部网络的机假如在外部和内部网络进行通信时，内部网络的机器安全就会受到威胁，同时也影响在同一网络上的器安全就会受到威胁，同时也影响在同一网络上的许多其他系统。许多其他系统。透过网络传播，还会影响到连上透过网络传播，还会影响到连上Internet/Intranet的其他的网络；的其他的网络；影响所及，还可能涉及法律、金融等安全敏感领域。影响所及，还可能涉及法律、金融等安全敏感领域。7.1网络安全概述2.网络结构的安全7.1网络安全概述网络安全概述因此，我们在设计时有必要将公开服务器（因此，我们在设计时有必要将公开服务器（WEB、DNS、EMAIL等）和外网及内部其它业务网络进等）和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；行必要的隔离，避免网络结构信息外泄；同时还要对外网的服务请求加以过滤，只允许正同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。在到达主机之前就应该遭到拒绝。7.1网络安全概述因此，我们在设计时有必要将公开服务器（W7.1网络安全概述网络安全概述3.系统的安全系统的安全所谓系统的安全是指整个网络操作系统和网络硬所谓系统的安全是指整个网络操作系统和网络硬件平台是否可靠且值得信任。件平台是否可靠且值得信任。目前恐怕没有绝对安全的操作系统可以选择，无目前恐怕没有绝对安全的操作系统可以选择，无论是论是Microsoft的的Windows操作系统或者其它任操作系统或者其它任何商用何商用UNIX操作系统，其开发厂商必然有其后门操作系统，其开发厂商必然有其后门（Back-Door）。因此，我们可以得出如下结论：）。因此，我们可以得出如下结论：没有完全安全的操作系统。没有完全安全的操作系统。7.1网络安全概述3.系统的安全7.1网络安全概述网络安全概述不同的用户应从不同的方面对其网络作详尽的分不同的用户应从不同的方面对其网络作详尽的分析，选择安全性尽可能高的操作系统。因此不但析，选择安全性尽可能高的操作系统。因此不但要选用尽可能可靠的操作系统和硬件平台，并对要选用尽可能可靠的操作系统和硬件平台，并对操作系统进行安全配置。操作系统进行安全配置。而且，必须加强登录过程的认证，确保用户的合而且，必须加强登录过程的认证，确保用户的合法性；其次应该严格限制登录者的操作权限，将法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。其完成的操作限制在最小的范围内。7.1网络安全概述不同的用户应从不同的方面对其网络作详尽的7.1网络安全概述网络安全概述4.应用系统的安全应用系统的安全（1）应用系统的安全是动态的、不断变化的。）应用系统的安全是动态的、不断变化的。应用系统是不断发展且应用类型是不断增加的。应用系统是不断发展且应用类型是不断增加的。在应用系统的安全性上，主要考虑尽可能建立安在应用系统的安全性上，主要考虑尽可能建立安全的系统平台，而且通过专业的安全工具不断发全的系统平台，而且通过专业的安全工具不断发现漏洞，修补漏洞，提高系统的安全性。现漏洞，修补漏洞，提高系统的安全性。7.1网络安全概述4.应用系统的安全7.1网络安全概述网络安全概述（2）应用的安全性涉及到信息、数据的安全性。）应用的安全性涉及到信息、数据的安全性。对用户使用计算机必须进行身份认证，对于重要对用户使用计算机必须进行身份认证，对于重要信息的通讯必须授权，传输必须加密。采用多层信息的通讯必须授权，传输必须加密。采用多层次的访问控制与权限控制手段，实现对数据的安次的访问控制与权限控制手段，实现对数据的安全保护；全保护；采用加密技术，保证网上传输的信息（包括管理采用加密技术，保证网上传输的信息（包括管理员口令与账户、上传信息等）的机密性与完整性。员口令与账户、上传信息等）的机密性与完整性。7.1网络安全概述（2）应用的安全性涉及到信息、数据的安全7.1网络安全概述网络安全概述5.管理的安全风险管理的安全风险管理是网络中安全最最重要的部分。责权不明，管理是网络中安全最最重要的部分。责权不明，安全管理制度不健全及缺乏可操作性等都可能引安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。起管理安全的风险。最可行的做法是制定健全的管理制度和严格管理最可行的做法是制定健全的管理制度和严格管理相结合。保障网络的安全运行，使其成为一个具相结合。保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。络便成为了首要任务。7.1网络安全概述5.管理的安全风险7.1网络安全概述网络安全概述7.1.2网络安全服务的主要内容网络安全服务的主要内容1.安全技术手段安全技术手段物理措施：例如，保护网络关键设备，制定严格物理措施：例如，保护网络关键设备，制定严格的网络安全规章制度，采取防辐射、防火以及安的网络安全规章制度，采取防辐射、防火以及安装不间断电源（装不间断电源（UPS）等措施。）等措施。访问控制：对用户访问网络资源的权限进行严格访问控制：对用户访问网络资源的权限进行严格的认证和控制。例如，进行用户身份认证，对口的认证和控制。例如，进行用户身份认证，对口令加密、更新和鉴别，设置用户访问目录和文件令加密、更新和鉴别，设置用户访问目录和文件的权限，控制网络设备配置的权限，等等。的权限，控制网络设备配置的权限，等等。7.1网络安全概述7.1.2网络安全服务的主要内容7.1网络安全概述网络安全概述数据加密：数据加密：加密是保护加密是保护数据安全的重要手段。加密的作数据安全的重要手段。加密的作用是保障信息被人截获后不能读懂其含义。防止用是保障信息被人截获后不能读懂其含义。防止计算机网络病毒，安装网络防病毒系统。计算机网络病毒，安装网络防病毒系统。其他措施：其他措施：其他措施包括信息过滤、容错、数据镜像、其他措施包括信息过滤、容错、数据镜像、数据备份和审计等。近年来，围绕网络安全问题数据备份和审计等。近年来，围绕网络安全问题提出了许多解决办法，例如数据加密技术和防火提出了许多解决办法，例如数据加密技术和防火墙技术等。墙技术等。7.1网络安全概述数据加密：7.1网络安全概述网络安全概述2。安全防范意识。安全防范意识拥有网络安全意识是保证网络安全的重要前提。拥有网络安全意识是保证网络安全的重要前提。许多网络安全事件的发生都和缺乏安全防范意识许多网络安全事件的发生都和缺乏安全防范意识有关。有关。7.1网络安全概述2。安全防范意识7.1网络安全概述网络安全概述7.1.3Internet安全隐患的主要体现安全隐患的主要体现1Internet是一个开放的、无控制机构的网络，是一个开放的、无控制机构的网络，黑客（黑客（Hacker）经常会侵入网络中的计算机系统，）经常会侵入网络中的计算机系统，或窃取机密数据和盗用特权，或破坏重要数据，或窃取机密数据和盗用特权，或破坏重要数据，或使系统功能得不到充分发挥直至瘫痪。或使系统功能得不到充分发挥直至瘫痪。2Internet的数据传输是基于的数据传输是基于TCP/IP通信协议通信协议进行的，这些协议缺乏使传输过程中的信息不被进行的，这些协议缺乏使传输过程中的信息不被窃取的安全措施。窃取的安全措施。7.1网络安全概述7.1.3Internet安全隐患的主7.1网络安全概述网络安全概述3Internet上的通信业务多数使用上的通信业务多数使用Unix操作系统操作系统来支持，来支持，Unix操作系统中明显存在的安全脆弱性操作系统中明显存在的安全脆弱性问题会直接影响安全服务。问题会直接影响安全服务。4在计算机上存储、传输和处理的电子信息，在计算机上存储、传输和处理的电子信息，还没有像传统的邮件通信那样进行信封保护和签还没有像传统的邮件通信那样进行信封保护和签字盖章。信息的来源和去向是否真实，内容是否字盖章。信息的来源和去向是否真实，内容是否被改动，以及是否泄露等，在应用层支持的服务被改动，以及是否泄露等，在应用层支持的服务协议中是凭着君子协定来维系的。协议中是凭着君子协定来维系的。7.1网络安全概述3Internet上的通信业务多数使用7.1网络安全概述网络安全概述5电子邮件存在着被拆看、误投和伪造的可能电子邮件存在着被拆看、误投和伪造的可能性。使用电子邮件来传输重要机密信息会存在着性。使用电子邮件来传输重要机密信息会存在着很大的危险。很大的危险。6计算机病毒通过计算机病毒通过Internet的传播给上网用户带的传播给上网用户带来极大的危害，病毒可以使计算机和计算机网络来极大的危害，病毒可以使计算机和计算机网络系统瘫痪、数据和文件丢失。在网络上传播病毒系统瘫痪、数据和文件丢失。在网络上传播病毒可以通过公共匿名可以通过公共匿名FTP文件传送、也可以通过邮文件传送、也可以通过邮件和邮件的附加文件传播。件和邮件的附加文件传播。7.1网络安全概述5电子邮件存在着被拆看、误投和伪造的可7.1网络安全概述网络安全概述7.1.4网络安全攻击的形式网络安全攻击的形式主要有四种方式主要有四种方式:中断、截获、修改和伪造。如图中断、截获、修改和伪造。如图所示。所示。网络安全攻击的形式网络安全攻击的形式7.1网络安全概述7.1.4网络安全攻击的形式网络安全攻7.1网络安全概述网络安全概述（1）中断）中断中断是以可用性作为攻击目标，它毁坏系统资源，中断是以可用性作为攻击目标，它毁坏系统资源，使网络不可使用。使网络不可使用。（2）截获）截获截获是以保密性作为攻击目标，非授权用户通过截获是以保密性作为攻击目标，非授权用户通过某种手段获得对系统资源的访问。某种手段获得对系统资源的访问。7.1网络安全概述（1）中断7.1网络安全概述网络安全概述（3）修改）修改修改是以完整性作为攻击目标，非授权用户不仅修改是以完整性作为攻击目标，非授权用户不仅获得访问而且对数据进行修改。获得访问而且对数据进行修改。（4）伪造）伪造伪造是以完整性作为攻击目标，非授权用户将伪伪造是以完整性作为攻击目标，非授权用户将伪造的数据插入到正常传输的数据中。造的数据插入到正常传输的数据中。7.1网络安全概述（3）修改7.1网络安全概述网络安全概述7.1.5网络安全案例网络安全案例随着计算机技术的飞速发展，信息网络已经成为随着计算机技术的飞速发展，信息网络已经成为社会发展的重要保证。社会发展的重要保证。有很多是敏感信息，甚至是国家机密。所以难免有很多是敏感信息，甚至是国家机密。所以难免会吸引来自世界各地的各种人为攻击（例如信息会吸引来自世界各地的各种人为攻击（例如信息泄漏、信息窃取、数据篡改、数据删改、计算机泄漏、信息窃取、数据篡改、数据删改、计算机病毒等）。病毒等）。同时，网络实体还要经受诸如水灾、火灾、地震、同时，网络实体还要经受诸如水灾、火灾、地震、电磁辐射等方面的考验。电磁辐射等方面的考验。7.1网络安全概述7.1.5网络安全案例7.2防火墙技术防火墙技术古时候，人们常在寓所之间砌起一道砖墙，一旦古时候，人们常在寓所之间砌起一道砖墙，一旦火灾发生，它能够防止火势蔓延到别的寓所。自火灾发生，它能够防止火势蔓延到别的寓所。自然，这种墙被命名为然，这种墙被命名为“防火墙防火墙”。为安全起见，可以在本网络和为安全起见，可以在本网络和Internet之间插入之间插入一个中介系统，阻断来自外部通过网络对本网络一个中介系统，阻断来自外部通过网络对本网络的威胁和入侵，这种中介系统叫做的威胁和入侵，这种中介系统叫做“防火墙防火墙”。7.2防火墙技术7.2.1防火墙的基本概念防火墙的基本概念防火墙是由软件、硬件构成的系统，是一种特殊防火墙是由软件、硬件构成的系统，是一种特殊编程的编程的路由器路由器，用来在两个网络之间实施接入控，用来在两个网络之间实施接入控制策略。制策略。接入控制策略是由使用防火墙的单位自行制订的，接入控制策略是由使用防火墙的单位自行制订的，为的是可以最适合本单位的需要。为的是可以最适合本单位的需要。Internet防火墙决定了哪些内部服务可以被外界访防火墙决定了哪些内部服务可以被外界访问；外界的哪些人可以访问内部的哪些服务，以问；外界的哪些人可以访问内部的哪些服务，以及哪些外部服务可以被内部人员访问。及哪些外部服务可以被内部人员访问。7.2.1防火墙的基本概念7.2.1防火墙的基本概念防火墙的基本概念1 1、InternetInternet防火墙与安全策略的关系防火墙与安全策略的关系防火墙不仅仅是路由器、堡垒主机、或任何网防火墙不仅仅是路由器、堡垒主机、或任何网络安全的设备的组合，防火墙是安全策略的一个络安全的设备的组合，防火墙是安全策略的一个部分。部分。安全策略建立全方位的防御体系，包括：公司安全策略建立全方位的防御体系，包括：公司规定的网络访问、服务访问、本地和远地的用户规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及雇员培训等。措施，以及雇员培训等。7.2.1防火墙的基本概念7.2.1防火墙的基本概念防火墙的基本概念(1)防火墙的功能防火墙的功能防火墙的功能有两个：阻止和允许。防火墙的功能有两个：阻止和允许。“阻止阻止”就是阻止某种类型的通信量通过防火墙就是阻止某种类型的通信量通过防火墙（从外部网络到内部网络，或反过来）。（从外部网络到内部网络，或反过来）。“允许允许”的功能与的功能与“阻止阻止”恰好相反。恰好相反。防火墙必须能够识别通信量的各种类型。不过在防火墙必须能够识别通信量的各种类型。不过在大多数情况下防火墙的主要功能是大多数情况下防火墙的主要功能是“阻止阻止”。7.2.1防火墙的基本概念7.2.1防火墙的基本概念防火墙的基本概念(2)联网监控联网监控在防火墙上可以很方便的监视网络的安全性，并在防火墙上可以很方便的监视网络的安全性，并产生报警。（注意：对一个与产生报警。（注意：对一个与Internet相联的内部相联的内部网络来说，重要的问题并不是网络是否会受到攻网络来说，重要的问题并不是网络是否会受到攻击，而是何时受到攻击？谁在攻击？）击，而是何时受到攻击？谁在攻击？）网络管理员必须审计并记录所有通过防火墙的重网络管理员必须审计并记录所有通过防火墙的重要信息。如果网络管理员不能及时响应报警并审要信息。如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。查常规记录，防火墙就形同虚设。7.2.1防火墙的基本概念7.2.1防火墙的基本概念防火墙的基本概念(3)防火墙在互连网络中的位置防火墙在互连网络中的位置防火墙内的网络称为防火墙内的网络称为“可信赖的网络可信赖的网络”(trustednetwork)，而将外部的因特网称为，而将外部的因特网称为“不可信赖的不可信赖的网络网络”(untrustednetwork)。G内联网内联网可信赖的网络可信赖的网络不可信赖的网络不可信赖的网络分组过滤分组过滤路由器路由器 R分组过滤分组过滤路由器路由器 R应用网关应用网关外局域网外局域网内局域网内局域网防火墙防火墙因特网因特网7.2.1防火墙的基本概念(3)防火墙在互连网络中的位置7.2.2 7.2.2 防火墙的技术类别防火墙的技术类别1.1.包过滤防火墙包过滤防火墙采用这种技术的防火墙产品，通过在网络中的采用这种技术的防火墙产品，通过在网络中的适当位置对数据包进行过滤。适当位置对数据包进行过滤。检查数据流中每个数据包的源地址、目的地址、检查数据流中每个数据包的源地址、目的地址、所有的所有的TCP端口号和端口号和TCP链路状态等要素，链路状态等要素，然后依据一组预定义的规则，以允许合乎逻辑然后依据一组预定义的规则，以允许合乎逻辑的数据包通过防火墙进入到内部网络，而将不合的数据包通过防火墙进入到内部网络，而将不合乎逻辑的数据包加以删除。乎逻辑的数据包加以删除。7.2.2防火墙的技术类别1.包过滤防火墙7.2.2 7.2.2 防火墙的技术类别防火墙的技术类别2.2.代理服务器防火墙代理服务器防火墙代理服务器运行在两个网络之间，它对于客户来代理服务器运行在两个网络之间，它对于客户来说像是一台真的服务器一样，而对于外界的服务说像是一台真的服务器一样，而对于外界的服务器来说，它又是一台客户机。器来说，它又是一台客户机。当代理服务器接收到用户的请求后，会检查用户当代理服务器接收到用户的请求后，会检查用户请求的站点是否符合公司的要求，如果公司允许请求的站点是否符合公司的要求，如果公司允许用户访问该站点的话，代理服务器会像一个客户用户访问该站点的话，代理服务器会像一个客户一样，去那个站点取回所需信息再转发给客户。一样，去那个站点取回所需信息再转发给客户。7.2.2防火墙的技术类别2.代理服务器防火墙7.2.2 7.2.2 防火墙的技术类别防火墙的技术类别3.3.状态监视器防火墙状态监视器防火墙这种防火墙安全特性较好，它采用了一个在网关这种防火墙安全特性较好，它采用了一个在网关上执行网络安全策略的软件引擎，称之为检测模上执行网络安全策略的软件引擎，称之为检测模块。块。检测模块在不影响网络正常工作的前提下，采用检测模块在不影响网络正常工作的前提下，采用抽取相关数据的方法对网络通信的各层实施监测，抽取相关数据的方法对网络通信的各层实施监测，抽取部分数据，即状态信息，并动态地保存起来抽取部分数据，即状态信息，并动态地保存起来作为以后指定安全策略的参考。作为以后指定安全策略的参考。7.2.2防火墙的技术类别3.状态监视器防火墙7.2.3 7.2.3 防火墙的结构防火墙的结构在防火墙与网络的配置上，有三种典型结构：在防火墙与网络的配置上，有三种典型结构：双宿多宿主机模式、屏蔽主机模式和屏蔽子双宿多宿主机模式、屏蔽主机模式和屏蔽子网模式。网模式。堡垒主机堡垒主机(bastionhost)堡垒主机是一种配置了较为全面安全防范措堡垒主机是一种配置了较为全面安全防范措施的网络上的计算机，从网络安全上来看，堡垒施的网络上的计算机，从网络安全上来看，堡垒主机是最强壮的系统。通常情况下，堡垒主机可主机是最强壮的系统。通常情况下，堡垒主机可作为代理服务器的平台。作为代理服务器的平台。7.2.3防火墙的结构7.2.3 7.2.3 防火墙的结构防火墙的结构1.1.双宿多宿主机模式双宿多宿主机模式双宿多宿主机防火墙双宿多宿主机防火墙(Dual-HomedMulti-HomedFirewall)是一种拥有两个或多个连接到是一种拥有两个或多个连接到不同网络上的网络接口的防火墙，不同网络上的网络接口的防火墙，通常用一台装有两块或多块网卡的堡垒主机做防通常用一台装有两块或多块网卡的堡垒主机做防火墙，网卡各自与受保护网和外部网相连。火墙，网卡各自与受保护网和外部网相连。特点是主机的路由功能是被禁止的，两个网络之特点是主机的路由功能是被禁止的，两个网络之间的通信通过应用层代理服务来完成。间的通信通过应用层代理服务来完成。7.2.3防火墙的结构7.2.3 7.2.3 防火墙的结构防火墙的结构双重宿主主机的防火墙体系结构是相当简单的：双双重宿主主机的防火墙体系结构是相当简单的：双重宿主主机位于两者之间，并且被连接到外部网和重宿主主机位于两者之间，并且被连接到外部网和内部网。内部网。双重宿主主机体系结构双重宿主主机体系结构 7.2.3防火墙的结构双重宿主主机体系结构7.2.3 7.2.3 防火墙的结构防火墙的结构2 2 屏蔽主机模式屏蔽主机模式屏蔽主机防火墙屏蔽主机防火墙(ScreenedFirewall)由包过滤路由包过滤路由器和堡垒主机组成。由器和堡垒主机组成。在这种方式的防火墙中，堡垒主机安装在内部网在这种方式的防火墙中，堡垒主机安装在内部网络上，通常在路由器上设立过滤规则，并使这个络上，通常在路由器上设立过滤规则，并使这个堡垒主机成为外部网络惟一可直接到达的主机，堡垒主机成为外部网络惟一可直接到达的主机，这保证了内部网络不被未经授权的外部用户的攻这保证了内部网络不被未经授权的外部用户的攻击。击。7.2.3防火墙的结构2屏蔽主机模式7.2.3 7.2.3 防火墙的结构防火墙的结构单地址堡垒主机单地址堡垒主机 双地址堡垒主机双地址堡垒主机 7.2.3防火墙的结构单地址堡垒主机双地址堡垒主机387.2.3 7.2.3 防火墙的结构防火墙的结构3 3 屏蔽子网模式屏蔽子网模式屏蔽子网防火墙屏蔽子网防火墙(ScreenedSubnetModeFirewall)的配置采用了两个包过滤路由器和一个的配置采用了两个包过滤路由器和一个堡垒主机，在内外网络之间建立了一个被隔离的堡垒主机，在内外网络之间建立了一个被隔离的子网，定义为子网，定义为“非军事区非军事区(demilitarizedzone)”网络。网络。网络管理员将堡垒主机、网络管理员将堡垒主机、WEB服务器、服务器、Email服服务器等公用服务器放在非军事区网络中。务器等公用服务器放在非军事区网络中。内部网络和外部网络均可访问屏蔽子网，但禁止内部网络和外部网络均可访问屏蔽子网，但禁止它们穿过屏蔽子网通信。它们穿过屏蔽子网通信。7.2.3防火墙的结构3屏蔽子网模式7.2.3 7.2.3 防火墙的结构防火墙的结构屏蔽子网体系结构的最简单的形式为，两个屏蔽屏蔽子网体系结构的最简单的形式为，两个屏蔽路由器，每一个都连接到周边网络。一个位于周路由器，每一个都连接到周边网络。一个位于周边网络与内部的网络之间，另一个位于周边网络边网络与内部的网络之间，另一个位于周边网络与外部网络之间（通常为与外部网络之间（通常为Internet）。）。屏蔽子网体系结构屏蔽子网体系结构 7.2.3防火墙的结构屏蔽子网体系结构7.2.4 7.2.4 防火墙产品选购策略和使用防火墙产品选购策略和使用防火墙的部署防火墙的部署 7.2.4防火墙产品选购策略和使用防火墙的部署某市政府网络中心防火墙部署案例某市政府网络中心防火墙部署案例 某市政府网络中心防火墙部署案例某市政府安全系统技术方案某市政府安全系统技术方案某市政府安全系统技术方案7.3 7.3 入侵检测入侵检测入侵检测（入侵检测（IntrusionDetection）是对入侵行为）是对入侵行为的检测。的检测。它通过收集和分析网络行为、安全日志、审计数它通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息，检查网络或系统中是否存中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。在违反安全策略的行为和被攻击的迹象。7.3入侵检测7.3 7.3 入侵检测入侵检测入侵检测作为一种积极主动地安全防护技术，入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。护，在网络系统受到危害之前拦截和响应入侵。入侵检测被认为是防火墙之后的第二道安全闸入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监门，在不影响网络性能的情况下能对网络进行监测。测。入侵检测是防火墙的合理补充，帮助系统对付入侵检测是防火墙的合理补充，帮助系统对付网络攻击，网络攻击，7.3入侵检测7.3.1 7.3.1 入侵检测技术入侵检测技术1 1 特征检测特征检测 特征检测特征检测(Signature-baseddetection)假设假设入侵者活动可以用一种模式来表示，系统的目标入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。入侵方法无能为力。其难点在于如何设计模式既能够表达其难点在于如何设计模式既能够表达“入侵入侵”现象又不会将正常的活动包含进来。现象又不会将正常的活动包含进来。7.3.1入侵检测技术1特征检测7.3.1 7.3.1 入侵检测技术入侵检测技术2 2 异常检测异常检测异常检测异常检测(Anomalydetection)的假设是入侵的假设是入侵者活动异常于正常主体的活动。者活动异常于正常主体的活动。根据这一理念建立主体正常活动的根据这一理念建立主体正常活动的“活动简档活动简档”，将当前主体的活动状况与，将当前主体的活动状况与“活动简档活动简档”相比相比较，当违反其统计规律时，认为该活动可能是较，当违反其统计规律时，认为该活动可能是“入侵入侵”行为。行为。7.3.1入侵检测技术2异常检测7.3.2 7.3.2 入侵防御系统入侵防御系统入侵检测系统（入侵检测系统（Intrusion-detectionsystem，下称，下称“IDS”）是一种对网络传输进行即时监视，）是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。的网络安全设备。它与其他网络安全设备的不同之处便在于，它与其他网络安全设备的不同之处便在于，IDS是一种积极主动的安全防护技术。是一种积极主动的安全防护技术。7.3.2入侵防御系统7.3.2 7.3.2 入侵防御系统入侵防御系统1.IDS1.IDS入侵检测系统是一个监听设备入侵检测系统是一个监听设备我们做一个形象的比喻：假如防火墙是一幢大楼我们做一个形象的比喻：假如防火墙是一幢大楼的门卫，那么的门卫，那么IDS就是这幢大楼里的监视系统。一就是这幢大楼里的监视系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。只有实时监视系统才能发现情况并发出警告。不同于防火墙，不同于防火墙，IDS入侵检测系统是一个监听设备，入侵检测系统是一个监听设备，没有跨接在任何链路上，无须网络流量流经它便没有跨接在任何链路上，无须网络流量流经它便可以工作。可以工作。7.3.2入侵防御系统1.IDS入侵检测系统是一个监听7.3.2 7.3.2 入侵防御系统入侵防御系统对对IDS的部署，唯一的要求是：的部署，唯一的要求是：IDS应当挂接在所有所关注流量都必须流经的应当挂接在所有所关注流量都必须流经的链路上。链路上。在这里，在这里，所关注流量所关注流量指的是来自高危网络区指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。域的访问流量和需要进行统计、监视的网络报文。7.3.2入侵防御系统7.3.2 7.3.2 入侵防御系统入侵防御系统IDS在交换式网络中的位置一般选择在：在交换式网络中的位置一般选择在：（1）尽可能靠近攻击源）尽可能靠近攻击源（2）尽可能靠近受保护资源）尽可能靠近受保护资源这些位置通常是：这些位置通常是：服务器区域的交换机上服务器区域的交换机上Internet接入路由器之后的第一台交换机上接入路由器之后的第一台交换机上重点保护网段的局域网交换机上重点保护网段的局域网交换机上7.3.2入侵防御系统7.3.2 7.3.2 入侵防御系统入侵防御系统IDS网络监听网络监听 7.3.2入侵防御系统IDS网络监听7.3.2 7.3.2 入侵防御系统入侵防御系统2.2.系统组成系统组成一个入侵检测系统分为四个组件：一个入侵检测系统分为四个组件：事件产生器（事件产生器（Eventgenerators）；）；事件分析器（事件分析器（Eventanalyzers）；）；响应单元（响应单元（Responseunits）；）；事件数据库（事件数据库（Eventdatabases）。）。7.3.2入侵防御系统7.3.2 7.3.2 入侵防御系统入侵防御系统事件产生器事件产生器的目的是从整个计算环境中获得事件，的目的是从整个计算环境中获得事件，并向系统的其他部分提供此事件。并向系统的其他部分提供此事件。事件分析器事件分析器分析得到的数据，并产生分析结果。分析得到的数据，并产生分析结果。响应单元响应单元则是对分析结果作出反应的功能单元，则是对分析结果作出反应的功能单元，它可以作出切断连接、改变文件属性等强烈反应，它可以作出切断连接、改变文件属性等强烈反应，也可以只是简单的报警。也可以只是简单的报警。事件数据库事件数据库是存放各种中间和最终数据的地方的是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的统称，它可以是复杂的数据库，也可以是简单的文本文件。文本文件。7.3.2入侵防御系统7.3.2 7.3.2 入侵防御系统入侵防御系统3.3.系统分类系统分类IDS入侵检测系统以信息来源的不同和检测方入侵检测系统以信息来源的不同和检测方法的差异分为几类。法的差异分为几类。根据信息来源可分为基于主机根据信息来源可分为基于主机IDS和基于网络和基于网络的的IDS。根据检测方法又可分为异常入侵检测和滥用根据检测方法又可分为异常入侵检测和滥用入侵检测。入侵检测。7.3.2入侵防御系统3.系统分类7.3.3 7.3.3 入侵检测系统的工作步骤入侵检测系统的工作步骤1.1.信息收集信息收集入侵检测的第一步是信息收集，内容包括系入侵检测的第一步是信息收集，内容包括系统、网络、数据及用户活动的状态和行为。统、网络、数据及用户活动的状态和行为。(1)系统和网络日志文件系统和网络日志文件(2)目录和文件中的不期望的改变目录和文件中的不期望的改变(3)程序执行中的不期望行为程序执行中的不期望行为(4)物理形式的入侵信息物理形式的入侵信息7.3.3入侵检测系统的工作步骤1.信息收集7.3.3 7.3.3 入侵检测系统的工作步骤入侵检测系统的工作步骤2.2.信号分析信号分析对上述四类收集到的有关系统、网络、数据及对上述四类收集到的有关系统、网络、数据及用户活动的状态和行为等信息，一般通过三种技用户活动的状态和行为等信息，一般通过三种技术手段进行分析：模式匹配，统计分析和完整性术手段进行分析：模式匹配，统计分析和完整性分析。分析。其中前两种方法用于实时的入侵检测，而完整其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。性分析则用于事后分析。7.3.3入侵检测系统的工作步骤7.3.3 7.3.3 入侵检测系统的工作步骤入侵检测系统的工作步骤(1)模式匹配模式匹配模式匹配就是将收集到的信息与已知的网络模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。违背安全策略的行为。如通过字符串匹配寻找一个简单的条目，又如利如通过字符串匹配寻找一个简单的条目，又如利用正规的数学表达式来表示安全状态的变化）。用正规的数学表达式来表示安全状态的变化）。一种进攻模式可以用一个过程（如执行一条指令）一种进攻模式可以用一个过程（如执行一条指令）或一个输出（如获得权限）来表示。或一个输出（如获得权限）来表示。7.3.3入侵检测系统的工作步骤(1)模式匹配7.3.3 7.3.3 入侵检测系统的工作步骤入侵检测系统的工作步骤(2)统计分析统计分析统计分析方法首先给系统对象（如用户、文统计分析方法首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。败次数和延时等）。测量属性的平均值将被用来与网络、系统的行为测量属性的平均值将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就进行比较，任何观察值在正常值范围之外时，就认为有入侵发生。认为有入侵发生。7.3.3入侵检测系统的工作步骤(2)统计分析7.3.3 7.3.3 入侵检测系统的工作步骤入侵检测系统的工作步骤(3)完整性分析完整性分析完整性分析主要关注某个文件或对象是否被完整性分析主要关注某个文件或对象是否被更改，这经常包括文件和目录的内容及属性，它更改，这经常包括文件和目录的内容及属性，它在发现被更改的、被病毒侵入的应用程序方面特在发现被更改的、被病毒侵入的应用程序方面特别有效。别有效。完整性分析利用强有力的加密机制，称为消息完整性分析利用强有力的加密机制，称为消息摘要函数（例如摘要函数（例如MD5-消息摘要算法第五版消息摘要算法第五版），），它能识别哪怕是微小的变化。它能识别哪怕是微小的变化。7.3.3入侵检测系统的工作步骤(3)完整性分析7.3.4 7.3.4 入侵检测系统典型代表入侵检测系统典型代表入侵检测系统的典型代表是入侵检测系统的典型代表是ISS公司（国际互联网公司（国际互联网安全系统公司）的安全系统公司）的RealSecure。由于入侵检测系统的市场在近几年中飞速发展，由于入侵检测系统的市场在近几年中飞速发展，许多公司投入到这一领域上来。许多公司投入到这一领域上来。Venustech(启明启明星辰）、星辰）、InternetSecuritySystem（ISS）、思）、思科、赛门铁克等公司都推出了自己的产品。科、赛门铁克等公司都推出了自己的产品。7.3.4入侵检测系统典型代表7.4身份验证身份验证7.4.1身份验证的基本概念身份验证的基本概念身份验证是指通过一定的手段，完成对用户身份身份验证是指通过一定的手段，完成对用户身份的确认。的确认。身份验证的目的是确认当前所声称为某种身份的身份验证的目的是确认当前所声称为某种身份的用户，确实是所声称的用户。用户，确实是所声称的用户。在日常生活中，身份验证并不罕见；比如，通过在日常生活中，身份验证并不罕见；比如，通过检查对方的证件，我们一般可以确信对方的身份，检查对方的证件，我们一般可以确信对方的身份，但但“身份验证身份验证”一词更多地被用在计算机、通信一词更多地被用在计算机、通信等领域。等领域。7.4身份验证7.4.1身份验证的基本概念7.4身份验证身份验证1.基于共享密钥的身份验证基于共享密钥的身份验证基于共享密钥的身份验证是指服务器端和用户共基于共享密钥的身份验证是指服务器端和用户共同拥有一个或一组密码。同拥有一个或一组密码。当用户需要进行身份验证时，用户通过输入或通当用户需要进行身份验证时，用户通过输入或通过保管有密码的设备提交由用户和服务器共同拥过保管有密码的设备提交由用户和服务器共同拥有的密码。有的密码。服务器在收到用户提交的密码后，检查用户所提服务器在收到用户提交的密码后，检查用户所提交的密码是否与服务器端保存的密码一致，如果交的密码是否与服务器端保存的密码一致，如果一致，就判断用户为合法用户。如果用户提交的一致，就判断用户为合法用户。如果用户提交的密码与服务器端所保存的密码不一致时，则判定密码与服务器端所保存的密码不一致时，则判定身份验证失败。身份验证失败。7.4身份验证1.基于共享密钥的身份验证7.4身份验证身份验证2.基于生物学特征的身份验证基于生物学特征的身份验证基于生物学特征的身份验证是指基于每个人身体上基于生物学特征的身份验证是指基于每个人身体上独一无二的特征，如指纹、虹膜等等。独一无二的特征，如指纹、虹膜等等。3.基于公开密钥加密算法的身份验证基于公开密钥加密算法的身份验证基于公开密钥加密算法的身份验证是指通信中的双基于公开密钥加密算法的身份验证是指通信中的双方分别持有公开密钥和私有密钥，由其中的一方采方分别持有公开密钥和私有密钥，由其中的一方采用私有密钥对特定数据进行加密，而对方采用公开用私有密钥对特定数据进行加密，而对方采用公开密钥对数据进行解密，如果解密成功，就认为用户密钥对数据进行解密，如果解密成功，就认为用户是合法用户，否则就认为是身份验证失败。是合法用户，否则就认为是身份验证失败。7.4身份验证2.基于生物学特征的身份验证7.4身份验证身份验证7.4.2访问控制和口令访问控制和口令1.访问控制访问控制按用户身份及其所归属的某预设的定义组限制用按用户身份及其所归属的某预设的定义组限制用户对某些信息项的访问，或限制对某些控制功能户对某些信息项的访问，或限制对某些控制功能的使用。的使用。访问控制通常用于系统管理员控制用户对服务器、访问控制通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。目录、文件等网络资源的访问。7.4身份验证7.4.2访问控制和口令7.4身份验证身份验证(1)访问控制的功能主要有以下：访问控制的功能主要有以下：防止非法的主体进入受保护的网络资源。防止非法的主体进入受保护的网络资源。允许合法用户访问受保护的网络资源。允许合法用户访问受保护的网络资源。防止合法的用户对受保护的网络资源进行非授防止合法的用户对受保护的网络资源进行非授权的访问。权的访问。7.4身份验证(1)访问控制的功能主要有以下：7.4身份验证身份验证(2)访问控制实现的策略主要有以下几种：访问控制实现的策略主要有以下几种：入网访问控制入网访问控制网络权限限制网络权限限制目录级安全控制目录级安全控制属性安全控制属性安全控制网络服务器安全控制网络服务器安全控制网络监测和锁定控制网络监测和锁定控制网络端口和节点的安全控制网络端口和节点的安全控制防火墙控制防火墙控制7.4身份验证(2)访问控制实现的策略主要有以下几种：7.4身份验证身份验证2.访问控制的类型访问控制的类型访问控制可分为自主访问控制和强制访问控制两访问控制可分为自主访问控制和强制访问控制两大类。大类。自主访问控制，是指由用户有权对自身所创建的自主访问控制，是指由用户有权对自身所创建的访问对象访问对象(文件、数据表等文件、数据表等)进行访问，并可将对进行访问，并可将对这些对象的访问权授予其他用户和从授予权限的这些对象的访问权授予其他用户和从授予权限的用户收回其访问权限用户收回其访问权限强制访问控制，是指由系统对用户所创建的对象强制访问控制，是指由系统对用户所创建的对象进行统一的强制性控制，按照规定的规则决定哪进行统一的强制性控制，按照规定的规则决定哪些用户可以对哪些对象进行什么样操作系统类型些用户可以对哪些对象进行什么样操作系统类型的访问的访问7.4身份验证2.访问控制的类型7.4身份验证身份验证3.口令口令通过用户通过用户ID和口令进行认证是操作系统或应用程和口令进行认证是操作系统或应用程序通常采用的。序通常采用的。如果非法用户获得合法用户身份的口令，他就可如果非法用户获得合法用户身份的口令，他就可以自由访问未授权的系统资源，所以需要防止口以自由访问未授权的系统资源，所以需要防止口令泄露。令泄露。易被猜中的口令或缺省口令也是一个很严重的问易被猜中的口令或缺省口令也是一个很严重的问题，但一个更严重的问题是有的帐号根本没有口题，但一个更严重的问题是有的帐号根本没有口令。实际上，所有使用弱口令，缺省口令和没有令。实际上，所有使用弱口令，缺省口令和没有口令的帐号都应从系统中清除。口令的帐号都应从系统中清除。7.4身份验证3.口令7.4身份验证身份验证对口令的攻击包括以下几种：对口令的攻击包括以下几种：（1）网络数据流窃听）网络数据流窃听(Sniffer)：攻击者通过窃听网络数据，如果口令使用明文传攻击者通过窃听网络数据，如果口令使用明文传输，则可被非法截获。输，则可被非法截获。大量的通讯协议比如大量的通讯协议比如Telnet、Ftp、基本、基本HTTP都都使用明文口令，而入侵者只需使用协议分析器就使用明文口令，而入侵者只需使用协议分析器就能查看到这些信息，从而进一步分析出口令。能查看到这些信息，从而进一步分析出口令。7.4身份验证对口令的攻击包括以下几种：7.4身份验证身份验证（2）认证信息截取）认证信息截取/重放重放(Record/Replay)：有的系统会将认证信息进行简单加密后进行传有的系统会将认证信息进行简单加密后进行传输，如果攻击者无法用第一种方式推算出密码，输，如果攻击者无法用第一种方式推算出密码，可以使用截取可以使用截取/重放方式，需要的是重新编写客户重放方式，需要的是重新编写客户端软件以使用加密口令实现系统登录。端软件以使用加密口令实现系统登录。截取/重放7.4身份验证（2）认证信息截取/重放(Record/Re7.4身份验证身份验证（3）字典攻击：）字典攻击：根据调查结果可知，大部份的人为了方便记忆根据调查结果可知，大部份的人为了方便记忆选用的密码都与自己周遭的事物有关，例如：身选用的密码都与自己周遭的事物有关，例如：身份证字号、生日、车牌号码、其他有意义的单词份证字号、生日、车牌号码、其他有意义的单词或数字，某些攻击者会使用字典中的单词来尝试或数字，某些攻击者会使用字典中的单词来尝试用户的密码。用户的密码。所以大多数系统都建议用户在口令中加入特殊所以大多数系统都建议用户在口令中加入特殊字符，以增加口令的安全性。字符，以增加口令的安全性。7.4身份验证（3）字典攻击：7.4身份验证身份验证（4）穷举攻击）穷举攻击(BruteForce)：也称蛮力破解。这是一种特殊的字典攻击，它使也称蛮力破解。这是一种特殊的字典攻击，它使用字符串的全集作为字典。如果用户的密码较短，用字符串的全集作为字典。如果用户的密码较短，很容易被穷举出来，因而很多系统都建议用户使很容易被穷举出来，因而很多系统都建议用户使用长口令。用长口令。（5）窥探：）窥探：攻击者利用与被攻击系统接近的机会，安装监视攻击者利用与被攻击系统接近的机会，安装监视器或亲自窥探合法用户输入口令的过程，以得到器或亲自窥探合法用户输入口令的过程，以得到口令。口令。7.4身份验证（4）穷举攻击(BruteForce)：7.4身份验证身份验证（6）社交工程：）社交工程：社会工程就是指采用非隐蔽方法盗用口令等，比社会工程就是指采用非隐蔽方法盗用口令等，比如冒充是处长或局长骗取管理员信任得到口令等如冒充是处长或局长骗取管理员信任得到口令等等。冒充合法用户发送邮件或打电话给管理人员，等。冒充合法用户发送邮件或打电话给管理人员，以骗取用户口令等。以骗取用户口令等。（7）垃圾搜索：）垃圾搜索：攻击者通过搜索被攻击者的废弃物，得到与攻击攻击者通过搜索被攻击者的废弃物，得到与攻击系统有关的信息，如果用户将口令写在纸上又随系统有关的信息，如果用户将口令写在纸上又随便丢弃，则很容易成为垃圾搜索的攻击对象。便丢弃，则很容易成为垃圾搜索的攻击对象。7.4身份验证（6）社交工程：7.4身份验证身份验证为防止攻击猜中口令。安全口令应具有以下特为防止攻击猜中口令。安全口令应具有以下特点：点：（1）位数）位数6位。位。（2）大小写字母混合。如果用一个大写字母，）大小写字母混合。如果用一个大写字母，既不要放在开头，也不要放在结尾。既不要放在开头，也不要放在结尾。（3）可以把数字无序的加在字母中。）可以把数字无序的加在字母中。（4）系统用户一定用）系统用户一定用8位口令，而且包括位口令，而且包括!?:等特殊符号。等特殊符号。7.4身份验证为防止攻击猜中口令。安全口令应7.4身份验证身份验证不安全的口令则有如下几种情况：不安全的口令则有如下几种情况：（1）使用用户名（帐号）作为口令。）使用用户名（帐号）作为口令。（2）用用户名（帐号）的变换形式作为口令。）用用户名（帐号）的变换形式作为口令。（3）使用自己或者亲友的生日作为口令。）使用自己或者亲友的生日作为口令。（4）使用常用的英文单词作为口令。）使用常用的英文单词作为口令。7.4身份验证不安全的口令则有如下几种情况：7.5IPsec安全协议安全协议7.5.1IPsec安全协议简介安全协议简介IPsec（IPSecurity）是）是IETF制定的三层隧道加制定的三层隧道加密协议，它为密协议，它为Internet上传输的数据提供了高质上传输的数据提供了高质量的、可互操作的、基于密码学的安全保证。量的、可互操作的、基于密码学的安全保证。特定的通信方之间在特定的通信方之间在IP层通过加密与数据源认证层通过加密与数据源认证等方式，提供了安全服务等方式，提供了安全服务.7.5IPsec安全协议7.5.1IPsec安全协议简介7.5IPsec安全协议安全协议1.IPsec协议特点协议特点数据机密性（数据机密性（Confidentiality）：）：IPsec发送方在通过网络传输包前对包进行加密。发送方在通过网络传输包前对包进行加密。数据完整性（数据完整性（DataIntegrity）：）：IPsec接收方对发送方发送来的包进行认证，以接收方对发送方发送来的包进行认证，以确保数据在传输过程中没有被篡改。确保数据在传输过程中没有被篡改。7.5IPsec安全协议1.IPsec协议特点7.5IPsec安全协议安全协议数据来源认证（数据来源认证（DataAuthentication）：）：IPsec在接收端可以认证发送在接收端可以认证发送IP