软件设计 -（十）网络与信息安全_网络与信息安全软件开发设计系统

计算机网络

名词解释

• bps：比特率（数据信号速率），是指单位时间内传送的比特（bit）数。

  1. bps（bit rep second）：位每秒（比特每秒）
  2. Kbps（Kilobit rep second）：千位每秒。1Kbps = 1000bps
  3. Mbps（Megabit rep second）：百万（兆）位每秒。1Mbps = 1000Kbps
  4. Gbps（Gigabit rep second）：千兆（吉）位每秒。1Gbps = 1000Mbps
  5. Tbps（Terabit rep second）：太（兆兆）位每秒。1Tbps = 1000Gbps

• ISO：国际标准化组织

  ISO/OSI：Open System Interconnection Model（开放式系统互联模型）。

• UDP：（User Datagram Protocol）用户数据报协议

• ICMP：（Internet Control Messages Protocol）因特网消息控制协议

分类

局域网（LAN）

指传输距离有限、传输速度较高、以共享网络资源为目的的网络系统。有以下特点：

• 分布范围有限。
• 有较高的通信宽带，数据传输率高。
• 数据传输可靠，误码率低。误码率一般为 $10^{-4}～10^{-6}$。
• 通常采用同轴电缆或双绞线作为传输介质，跨楼寓时使用光纤。
• 拓扑结构简单、简洁，大多才用总线、星型和环型等，系统容易配置和管理。
• 网络的控制一般趋向于分布式，从而减少对某个结点的依赖，避免并减小了一个结点故障对整个网络的影响。
• 通常，网络归单一组织所拥有和使用，不受任何公共网络管理机构的规定约束，容易进行设备的更新和新技术的应用，以不断增强网络功能。

城域网（MAN）

是规模介于局域网和广域网之间的一种较大范围的高速网络络，一般覆盖临近的多个单位和城市，从而为接入网络的企业、机关、公司及社会单位提供文字、声音和图像的集成服务。

广域网（WAN）

广域网又称远程网络，它是指覆盖范围广、传输速率相对较低、以数据通信为主要目的的数据通信网。有以下特点：

• 分布范围广。
• 数据传输率低。
• 数据传输的可靠性随着传输介质的不同而不同。
• 广域网常常借用传统的公共传输网来实现，因为单独建造一个广域网极其昂贵。
• 拓扑结构较为复杂，大多采用“分布式网络”。

网络拓扑结构

• 网络拓扑结构指网络中通信线路和结点的几何排序，用于表示整个网络的结构外貌，反映各结点之间的结构关系。
• 包含：总线型，星型，环形，树形，分布式。参考资料
• 广域网多用分布式或树型结构，局域网常用总线型、环形、星型或树型结构。
  

ISO/OSI 模型

• 层次划分：由底层至高层分别为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。

  

  1. 物理层（Physical Layer）
     在局域网上发送数据帧（Data Frame），负责管理电脑通信设备和网络媒体之间的互通。包括针脚、电压、线缆规范、集线器、中继器、网卡、主机接口卡、路由器等。
  2. 数据链路层（Data Link Layer）
     负责网络寻址、错误侦测和改错。
     数据链路层协议：以太网、无线局域网（WiFi）和介质层访问控制（GPRS）
     数据链路层设备：网卡、交换机和桥接器。
  3. 网络层（Network Layer）
     决定数据的路径选择和转寄，降网络表头（NH）加至数据包，以形成分组。
  4. 传输层（Transport Layer）
     监控数据传输服务的质量，保证报文的正确传输。
  5. 会话层（Session Layer）
     负责数据传输中设置、维护和终止计算机网络中两台计算机中的通信连接 。会话层不参与具体的传输，它提供包括访问验证和会话管理在内的建立和维护应用之间通信的机制。
  6. 表示层（Presentation Layer）
     把数据转换为能与接收者的系统格式兼容并适合传输的格式。
     功能：数据语法转换，语法表示，连接管理，数据处理（加密/解密、压缩/解压、编码/解码）
  7. 应用层（Application Layer）
     提供为应用软件而设计的接口，以设置与另一个软件之间的通信。例如：HTTP、HTTPS、FTP、SSH、SMTP、POP3、Telnet等。

• 信息流向

  如图10-4所示，设A系统的用户要向B系统的用户传送数据。A系统用户的数据先送入应用层，该层给它附加控制信息AH(头标)后，送入表示层。表示层对数据进行必要的变换并加头标PH后送入会话层。会话层也加头标SH送入传输层。传输层将长报文分段后并加头标TH送至网络层。网络层将信息变成报文分组，并加组号NH送数据链路层。数据链路层将信息加上头标和尾标(DH及DT)变成帧，经物理层按位发送到对方(B系统)。B系统接收
  到信息后，按照与A系统相反的动作，层层剥去控制信息，最后把原数据传送给B系统用户。
  可见，两系统中只有物理层是实通信，其余各层均为虚通信。因此，图10-4中只有两物理层之间有物理连接，其余各层间均无连线。
  

网络互连硬件

• 网络设备

  1. 网路传输介质互连设备
     网络线路与用户结点具体连接时，需要网络传输介质的互连设备。
  2. 物理层的互连设备
     • 中继器：它是在物理层上实现局域网网段互连的，用于扩展局域网网段的长度。
     • 集线器：可以看成是一种特殊的多路中继器，也具有放大信号的功能。
  3. 数据链路层的互连设备
     • 网桥：实现物理层和数据链路层协议转换。
     • 交换机
  4. 网络层互连设备
     • 路由器：用于连接多个逻辑上分开的网络。
  5. 应用层互连设备
     - 网关（Gateway）

• 网络的传输介质

  传输介质是信号传输的媒体，常用的介质分为有线介质和无线介质 。

  • 有线介质
    • 双绞线：屏蔽双绞线，非屏蔽双绞线。
    • 同轴电缆
    • 光纤
  • 无线介质
    • 微波
    • 红外线和激光
    • 卫星

网络的协议

• NCP（Network Control Protocol）网络控制协议
• LCP（Link Control Protocol）链路控制协议
• IPCP（IP Control Protocol， IP控制协议）：包括静态配置协商和动态配置协商。

局域网协议

广域网协议

• PPP（Point to Point Protocol，点对点协议）

  PPP 点对点协议主要用于“拨号上网”这种广域网连接模式。 PPP认证类型：支持 PAP 和
  CHAP两种认证方式。【参考】

  • PAP（Password Authentication Protocoal，密码认证协议）为两次握手认证协议，密码已明文的方式在链路上发送。
  • CHAP（Challenge-Handshake Authentication Protoco，咨询-握手协议） 认证过程需要三次报文的交互。被认证方的密码是被加密后才进行传输的 ，极大的提高了安全性。

• xDSL（数字用户线）

  xDSL是各种数字用户线的统称。数字用户线是从用户到本地电话交换中心（中心局）的一对铜双绞线。xDSL技术上按上行（用户到交换局）和下行（交换局到用户）的速率是否相同分为速率对称型和非对称型两种。

  xDSL	说明
  ADSL	Asymmetric DSL，非对称数字用户线	非对称
  HDSL	High bite rate DSL，高比特率数字用户线	对称
  VDSL	Very high bite rate DSL， 甚高速数字用户线
  SDSL	Single Pair DSL，单对线数字用户环路
  RADSL	Rate adaptive DSL，速率自适应非对称型数字用户线	非对称

• DDN（Digital Data Network，数字数据网）

  DDN 采用数字传输信道传输数据信号的通信网。 特点：网络传输率高、延时小、质量好、网络透明度高、可支持任何规程、安全可靠。

• FR（Frame Relay，帧中继）

  帧中继是在用户网络接口之间提供用户信息流的双向传送，并保持顺序不变的一种承载业务。用户信息以帧为单位进行传输，并对用户信息流统计复用。
  
  优点：包括降低网络互连费用、简化网络功能、提高网络性能、采用国际标准、各厂商产品相互兼容等。

• ATM（Asynchronous Transfer Mode，异步传输模式）

  ATM 是 B-ISDN 的关键核心技术。是一种交换技术，将数字数据切割成多个固定长度的分组。以信元（cell）为单位，每个信元长53字节，其中头部信息占5字节。

• X.25协议

  X.25在本地 DTE（Data Terminal Equipment，数据终端设备） 和远程 DTE 之间提供一个全双工、同步的透明信道，并定义了3个相互
  独立的控制层：物理层、数据链路层和分组层，它们分别对应于 ISO/OSI 的物理层、链路层和网络层。
  X.25是在公用数据网上以分组方式进行操作的 DTE 和 DCE（数据通信设备）之间的接口。X.25只是对公用分组交换网络的接口规范说明，并不涉及网络的内部实现， 它是面向连接的，支持交换式虚电路和永久虚电路。

TCP/IP 协议

• TCP：网络传输协议
• IP：国际协议 - 计算机之间的通信
• DHCP：动态主机配置协议（Dynamic Host Configuration Protocol）。用于向网络中的计算机动态分配IP地址。
• SNPM：简单网络管理协议。用于计算机网路的管理。
• LDAP：轻量级目录访问协议。
• ICMP：因特网消息控制协议。负责网络中的错误处理。
• ARP：地址解析协议。用于通过 IP 查找基于 IP 地址的计算机网卡的硬件地址。
• RARP ：反向地址解析协议 。通过 IP 查找基于硬件地址的计算机网卡的 IP 地址。
• BOOTP：自举协议（Boot Protocol）。用于从网络启动计算机。
• HTTP：超文本传输协议
• HTTPS：安全的HTTP
• SSL：安全套接字层（Secure Sockets Layer） - 传输加密数据
• SMTP：简易邮件传输协议（Simple Mail Transfer Protocol）
• MIME：多用途因特网邮件扩展。使 SMTP 有能力通过 TCP/IP 网络传输多媒体文件。
• IMAP：因特网消息访问协议（Internet Message Access Protocol）。用于存储P和取回电子邮件。
• POP：邮局协议（Post Office Protocol）。用于从电子邮件服务器向个人电脑下载电子邮件。
• FTP：文件传输协议
• NTP：网络时间协议（Network Time Protocol）。用于计算机之间同步时间。
• PPTP：点对点隧道协议 （Point to Point Tunneling Protocol）。用于私人网络之间的链接。

基本特性：逻辑编址、路由选择、域名解析、错误检测和流量控制等。

TCP/IP 分层模型：

Internet 及应用

IPv4

参考

• IP 地址共有 32 位，4 字节。两种表示格式：二进制格式，十进制格式
• 功能：标识主机、网络寻址。
• IP 地址可分为：A、B、C、D、E 五大类。在A类、B类、C类IP地址中，全 0 代表是网络， 全 1 代表是广播。

VLSM（可变长子网掩码）

VLSM（Variable-Length Subnet Masks）十分直管的表示方法，在IP地址后面加上“/网络号及子网络编址位数”。例如：193.168.125.0/27 就表示前 27 位表示网络号。

特殊用途的地址

• CIDR（Classless Inter-Domain Routing，无类别域间路由）
• NAT（Network Address Translator，网络地址转换）

信息安全&网络安全

信息安全存储安全

• 信息安全包括 5 个基本要素：

  • 机密性：确保信息不暴露给未授权的实体或进程。
  • 完整性：只有得到允许的人才能修改数据 ，并且能够判别出数据是否已被篡改。
  • 可用性：得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者工作。
  • 可控性：可以控制授权范围内的信息流向及行为方式。
  • 可审查性：对出现的信息安全问题提供调查的依据和手段。

• 存储安全包括：

  • 信息使用的安全（如用户的标识与验证、用户存取权限限制、安全问题跟踪等）
  • 系统安全监控
  • 计算机病毒防治
  • 数据的加密
  • 防治非法的攻击

  计算机病毒具有隐蔽性、传染性、潜伏性、触发性和破坏性等特点。

数据加密原理

一般保密通信模型：C = E(K, P) => P = D(K, C)。

网络安全威胁

1. 非授权访问。假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
2. 信息泄露或丢失。
3. 破坏数据完整性。
4. 拒绝服务攻击。
   它不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。
5. 利用网络传播病毒。

网络安全控制技术

1. 防火墙（Firewall）

   防火墙是建立在内外网络边界上的过滤封锁机制，它认为内部网络是安全和可信赖的，而外部网络是不安全和不可信赖的。 三个发展阶段：

   1. 包过滤防火墙
   2. 应用代理网关防火墙
   3. 状态检测技术防火墙

2. 加密

   加密手段一般分为：软件加密和硬件加密。
   算法：

   1. 私钥算法：基于对称密钥的加密算法。
   2. 公钥算法：基于非对称密钥的加密算法。

   类型：

   • 公钥加密：RSA、EIGama、背包算法。
   • 流加密（对称）：RC4、ORYX、SEAL。
   • 分组加密（对称）：DES、AES。
   • 信息摘要 /数字摘要（单向Hash加密）：MD、SHA、MAC。

3. 用户识别

   一般采用基于对称密钥加密或公开密钥加密的方法，采用高强度的密码技术来进行身份认证。著名的有Kerberos、PGP等方法。

4. 访问控制

   访问控制是控制不同用户对信息资源的访问权限。

5. 网络反病毒

   • 木马病毒
     主要寻找计算机后门，窃取被控制计算机中的密码和重要文件。木马病毒可以发作的必要条件是客户端和服务端必须建立起网络通信，这种通信是基于IP地址和端口号的。

     • 灰鸽子

   • 蠕虫病毒

     • 莫里斯、红色警戒、Sasser、WannaCry。

   • 宏病毒

   • 感染病毒

     • 引导区的病毒：Brain、stoned。
     • 感染文件的病毒：CIH、熊猫烧香、Sality。

6. 网络安全漏洞扫描技术

   包括网络模拟攻击、漏洞检测、报告服务进程、提取对象信息及评测风险、提供安全建议和改进措施等功能。

7. 入侵检测

   入侵行为住要是指对系统资源的非授权使用。 外部入侵者，内部入侵者