网络安全教程9章.ppt

第9章Web服务安全及网络安全防护 9.1 WEB服务 9.1.1 概述 Web服务是基于超文本传输协议（即HTTP协议）的服务，HTTP协议是一个面向连接的无状态的协议，在TCP的端口80上进行信息的传输。大多数Web服务器和浏览器都对HTTP协议进行了必要的扩展，一些新的技术，如CGI通用网关程序、Java小程序、ActiveX控件、虚拟现实等，也开始应用于Web服务，使现在的Web文本看上去更生动、更形象，信息交互也显得更加容易，但同时使得Web有了许多的不安全因素。 9.1.2 Web服务所面临的两类安全威胁 机密信息的安全威胁 主机面临的威胁 CGI程序所带来的威胁 Java小程序所带来的威胁 ASP所带来的威胁 Cooks所带来的安全威胁 ActiveX控件所带来的威胁 9.1.3 防御措施 为了确保Web服务的安全，通常采用下列技术措施：在现有的网络上安装防火墙，对需要保护的资源建立隔离区；对机密敏感的信息进行加密存储和传输；在现有网络协议的基础上，为C/S通信双方提供身份认证并通过加密手段建立秘密通道；对没有安全保证的软件实施数字签名，提供审计、追踪手段，保证一旦出现问题，可立即根据审计日志进行追查等。 9.1.4 网络安全协议 SSL协议简介 安全套接层协议SSL（Secure Socket Layer）是一个用来保证安全传输文件的协议，它主要是使用公开密钥体制和Ｘ.509数字证书技术保护信息传输的机密性和完整性，但它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输。 SET协议简介 安全电子交易（Secure Electronic Transaction，简称SET）采用公钥密码体制和X.509数字证书标准，主要应用于B2C模式中保障支付信息的安全性,保证信息传输的机密性、真实性、完整性和不可否认性 。 SET已成为国际上所公认的在Internet电子商业交易中的安全标准。 9.2网络安全防护 在进行安全方案设计、规划时，应遵循以下原则： （1）体系性：制定完整的安全体系，应包括安全管理体系、安全技术体系和安全保障体系。 （2）系统性：安全模块和设计的引入应该体现其系统统一的运行和管理的特性，以确保安全策略配置、实施的正确性和一致性。应该避免安全设备各自独立配置和管理的工作方式。 （3）层次性：安全设计应该按照相关应用安全需求，在各个层次上采用安全机制来实现所需的安全服务，从而达到网络信息安全的目的。 （4）综合性：网络信息安全的设计包括从完备性、先进性和可扩展性方面的技术方案，以及根据技术管理、业务管理和行政管理要求相应的安全管理方案，形成网络安全工程设计整体方案，供工程分阶段实施和安全系统运行作为指导。 （5）动态性：由于网络信息系统的建设和发展是逐步进行的，而安全技术和产品也不断更新和完善，因此，安全设计应该在保护现有资源的基础上，体现必威体育精装版、最成熟的安全技术和产品，以满足网络安全系统的安全目标。 9.2.2具体的网络安全策略 1、物理安全策略 2、访问控制策略 访问控制是保证网络安全最重要的核心策略之一 ： （1）入网访问控制 （2）网络的权限控制 （3）客户端安全防护策略 3、安全的信息传输 4、网络服务器安全策略 5、操作系统及网络软件安全策略 6、网络安全管理 9.2.3常用安全防范技术 1、防毒软件 2、防火墙 3、密码技术 4、虚拟专有网络（VPN） 5、安全检测 9.2.4网络安全防范产品 1、防火墙 2、虚拟专用网VPN 3、入侵检测系统IDS 4、杀毒软件 小结 主要讲述： Web服务的存在的安全威胁以及应采取的防御措施 网络安全防范 的策略和技术以及安全防范产品。 * * 9.2.1网络安全策略 *