标题：网络工程师必读网络安全系统设计
基本信息
作者： 王达  网络工程师必读网络安全系统设计出版社：电子工业出版社
ISBN：9787121083365
上架时间：2009-8-7
出版日期：2009 年8月
开本：16开
页码：749
版次：1-1
内容简介
本书从网络工程师的职业角度出发组织和安排内容，非常具有针对性。本书从网络安全系统设计全局出发，以osi/rm的7层结构为主线，层层把关，全面、系统地介绍各层的主要安全技术和方案设计思路、方法。.
本书从深层次分析了网络安全隐患存在的各个主要方面，然后从这几个方面出发，全面介绍企业局域网安全防护系统的设计方法。其中包括网络安全系统设计综述、物理层的网络安全保护方案、数据链路层的安全保护方案、网络层防火墙安全保护方案、网络层kerberos身份认证方案、网络层证书身份认证、加密和签名方案、网络层pki综合应用方案设计、网络层ipsec身份认证和加密方案、传输层tls/ssl身份认证和加密方案、应用层web服务器的综合安全系统设计与配置、wlan网络综合安全系统设计与配置，并通过实际可用的安全防护方法来实现网络安全隐患的排除或防护。这些不同方面的安全防护措施形成了一个系统的整体，使得企业网络从各个方面都得到足够的安全保证。以上这些都是网络工程师所必须掌握的基础知识和技能。..
本书适合网络工程师参考学习，也可作为高等院校及相关培训机构的教材。...
目录
第1章  网络安全系统设计综述.        1
1.1  网络安全系统设计基础        2
1.1.1  网络安全的发展        2
1.1.2  网络安全威胁基础        4
1.1.3  企业网络的主要安全隐患        6
1.1.4  网络安全系统的基本组成        7
1.2  osi/rm各层的安全保护        9
1.2.1  物理层的安全保护        9
1.2.2  数据链路层的安全保护        11
1.2.3  网络层的安全保护        12
1.2.4  传输层的安全保护        13
1.2.5  会话层和表示层的安全保护        14
1.2.6  应用层的安全保护        15
1.3  系统层的安全保护        16
1.4  网络安全系统设计        16
1.4.1  网络安全策略        16
1.4.2  网络安全系统设计的基本原则        17
1.5  网络安全系统设计的基本思路        20
1.5.1  安全隐患分析和基本系统结构信息的收集        20
1.5.2  调查和分析当前网络的安全需求        23
.1.5.3  评估现有网络安全策略        24
1.5.4  设计细化的新网络安全策略初稿        25
1.5.5  第一次小范围的测试、评估和修改        31
1.5.6  第二次中、大范围的测试、评估和修改        32
1.5.7  新网络安全策略文档终稿        32
1.5.8  新网络安全策略系统的正式应用        32
第2章  物理层的网络安全保护方案        33
2.1  物理层安全保护概述        34
2.2  物理层的线路窃听技术分析        34
2.3  计算机网络通信线路屏蔽        35
2.3.1  选择屏蔽性能好的传输介质和适配器        36
2.3.2  屏蔽机房和机柜的选择        38
2.3.3  wlan无线网络的物理层安全保护        39
2.4  物理线路隔离        40
2.4.1  主要物理隔离产品        40
2.4.2  物理隔离网闸的隔离原理        43
2.4.3  物理隔离网闸的典型应用        46
2.5  设备和线路冗余        46
2.5.1  网络设备部件冗余        47
2.5.2  网络设备整机冗余        49
2.5.3  网络线路冗余        51
2.6  机房和账户安全管理        51
2.6.1  机房安全管理        51
2.6.2  账户安全管理        52
2.7  数据安全管理        52
2.7.1  数据容灾概述        53
2.7.2  容灾与存储、容错、备份和远程复制的关系        54
2.7.3  数据容灾等级        56
2.7.4  灾难恢复的关键注意事项        60
2.8  物理层安全管理工具        61
2.8.1  泛达综合布线实时管理系统        61
2.8.2  molex综合布线实时管理系统        64
2.9  服务和服务账户安全规划        66
2.9.1  服务和服务账户安全规划概述        66
2.9.2  服务的安全漏洞和账户        67
2.9.3  windows server 2003中服务的默认安全设置更改        69
2.9.4  安全运行服务的原则        70
2.9.5  如何更安全地运行服务        72
第3章  数据链路层的安全保护方案        81
3.1  典型数据加密算法        82
3.1.1  基于“消息摘要”的算法        82
3.1.2  “对称/非对称密钥”加密算法        85
3.2  数据加密        87
3.2.1  数据加密技术        87
3.2.2  链路加密机        90
3.2.3  网卡集成式链路加密原理        92
3.3  wlan ssid安全技术及配置方法        94
3.3.1  ssid概念及配置方法        94
3.3.2  bssid和essid        95
3.3.3  ssid的安全问题        96
3.4  wlan mac地址过滤        97
3.5  wlan wep加密        98
3.5.1  wep加密原理        98
3.5.2  wep解密原理        99
3.5.3  wep加密的不足        99
3.5.4  wep加密的配置方法        100
3.6  wpa加密        102
3.6.1  wpa的wlan链路加密        102
3.6.2  wpa中的ieee 802.1x身份认证系统        103
3.6.3  eapol消息的封装        105
3.6.4  ieee 802.1x的认证过程        107
3.7  wpa2加密        111
3.7.1  wpa2简介        111
3.7.2  aes-ccmp基础        112
3.7.3  aes算法的基本原理        113
3.7.4  wpa2 aes-ccmp加/解密原理        115
3.8  无线ap/路由器的wpa和wpa2设置        118
3.8.1  个人用户无线ap/路由器的wpa-psk或wpa2-psk设置        119
3.8.2  企业级无线ap/路由器的wpa或wpa2设置        120
3.8.3  wlan客户端第三方软件的wpa和wpa2设置        121
3.8.4  windows xp无线客户端wpa/wpa2配置        125
3.9  最新的wlan安全标准——ieee 802.11i        126
3.9.1  ieee 802.11i概述        127
3.9.2  wrap加密机制        127
3.10  mac地址欺骗防护        129
3.10.1  arp和rarp协议工作原理        130
3.10.2  arp协议帧格式        131
3.10.3  mac地址欺骗原理        132
3.10.4  mac地址欺骗预防        133
3.11  cisco设备上基于端口的mac地址绑定        136
3.11.1  基于端口的单一mac地址绑定基本配置步骤        136
3.11.2  基于端口的单一mac地址绑定配置示例        138
3.12  cisco基于端口的多mac地址绑定        138
3.12.1  基于端口的多mac地址绑定配置思路        138
3.12.2  基于端口的多mac地址绑定配置示例        139
3.13  cisco设备上基于ip的mac地址绑定        139
3.13.1  一对一的mac地址与ip地址绑定        139
3.13.2  一对多，或者多对多的mac地址与ip地址绑定示例        140
3.14  h3c s5600交换机基于端口的mac地址绑定        141
3.14.1  s5100系列交换机的security mac地址配置        141
3.14.2  s5600系列交换机的security mac地址配置        142
3.15  h3c sr8800系列业务路由器mac和ip地址绑定        144
3.15.1  mac和ip地址绑定配置        144
3.15.2  mac和ip地址绑定典型配置示例        146
3.16  h3c secpath系列防火墙上的mac和ip地址绑定        147
3.16.1  mac和ip地址绑定配置        148
3.16.2  mac和ip地址绑定典型配置示例        149
3.17  网络嗅探的防护        149
3.17.1  网络嗅探原理        149
3.17.2  网络嗅探的防范        151
第4章  网络层防火墙安全保护方案        153
4.1  防火墙的分类和技术        154
4.1.1  包过滤防火墙简介        154
4.1.2  包过滤技术的发展        155
4.1.3  包过滤原理        155
4.1.4  包过滤技术的主要优、缺点        156
4.1.5  代理防火墙        157
4.2  防火墙系统的设计        158
4.2.1  内、外部防火墙系统        158
4.2.2  防火墙在企业网络体系结构中的位置        159
4.2.3  典型防火墙系统设计        161
4.3  防火墙在网络安全防护中的主要应用        164
4.3.1  控制来自互联网对内部网络的访问        164
4.3.2  控制来自第三方局域网对内部网络的访问        166
4.3.3  控制局域网内部不同部门之间的访问        167
4.3.4  控制对服务器中心的网络访问        168
4.4  内部防火墙系统设计        169
4.4.1  内部防火墙系统概述        170
4.4.2  内部防火墙规则        170
4.4.3  内部防火墙的可用性需求        171
4.4.4  内部容错防火墙集配置        174
4.4.5  内部防火墙系统设计的其他因素要求        175
4.5  外围防火墙系统设计        177
4.5.1  外围防火墙系统概述        178
4.5.2  外围防火墙规则        178
4.5.3  外围防火墙系统的可用性要求        179
第5章  网络层kerberos身份认证方案        181
5.1  身份认证概述        182
5.1.1  单点登录身份认证执行方式        182
5.1.2  主要的身份认证类型        183
5.2  kerberos身份认证基础        183
5.2.1  kerberos v5身份认证机制        184
5.2.2  kerberos v5身份认证的优点与缺点        187
5.2.3  kerberos v5协议标准        188
5.2.4  kerberos v5身份认证所用端口        190
5.3  kerberos ssp认证        190
5.4  kerberos物理结构        192
5.4.1  kerberos中的密钥        192
5.4.2  kerberos票证        195
5.4.3  认证符        199
5.4.4  凭证缓存        200
5.4.5  密钥分发中心（kdc）        200
5.5  kerberos v5交换和消息摘要        204
5.5.1  kerberos v5身份认证的3个子协议        204
5.5.2  身份认证服务（as）交换        205
5.5.3  票证许可服务（tgs）交换        206
5.5.4  客户端/服务器（cs）交换        207
5.6  kerberos交换消息详解        207
5.6.1  身份认证服务交换消息详解        208
5.6.2  票证许可服务交换消息详解        211
5.6.3  客户端/服务器身份认证交换消息详解        214
5.7  kerberos身份认证应用示例        216
5.7.1  本地登录示例        216
5.7.2  域登录示例        217
5.7.3  域用户的工作站登录        217
5.7.4  单域身份认证示例        223
5.7.5  用户到用户的身份认证        226
5.8  kerberos v5身份认证的启用与策略配置        228
第6章  网络层证书身份认证、加密和签名方案        231
6.1  证书和证书服务基础        232
6.1.1  证书概述        232
6.1.2  证书的主要功能        233
6.1.3  证书的主要应用        235
6.1.4  证书客户端角色        239
6.1.5  证书服务概述        240
6.2  ca证书        241
6.2.1  ca证书简介        241
6.2.2  ca证书应用的情形        242
6.3  证书结构        243
6.3.1  证书体系架构        243
6.3.2  证书模板        245
6.3.3  证书的物理和逻辑存储        250
6.3.4  证书存储区        253
6.4  ca证书进程和交互        255
6.4.1  根ca证书是如何被创建的        256
6.4.2  根ca证书是如何被更新的        257
6.4.3  从属ca证书是如何被创建的        258
6.4.4  合格的从属策略是如何被应用的        259
6.5  证书服务体系架构        260
6.5.1  证书服务引擎        261
6.5.2  策略模块        262
6.5.3  客户端策略模块        263
6.5.4  退出模块        263
6.5.5  证书数据库        264
6.5.6  cryptoapi接口        264
6.5.7  证书服务协议        264
6.6  证书服务接口        265
6.7  证书服务物理结构        266
6.7.1  证书数据库和ca日志文件        267
6.7.2  注册表        267
6.7.3  活动目录        267
6.7.4  文件系统        269
6.8  证书服务进程和交互        270
6.8.1  证书是如何创建的        270
6.8.2  证书的自动注册        272
6.8.3  证书的手动注册        277
6.8.4  自定义证书注册和更新应用        279
6.8.5  使用可选组件注册和续订        281
6.8.6  证书是如何吊销的        283
6.9  证书模板属性选项和设计        287
6.9.1  证书模板属性选项        287
6.9.2  证书模板设计方面的考虑        294
6.9.3  证书模板规划注意事项        296
6.9.4  证书模板的部署        299
第7章  网络层pki综合应用方案设计        303
7.1  本章概述        304
7.1.1  部署pki的必要性和本章所使用的技术        304
7.1.2  规划和部署pki的基本流程        306
7.2  定义证书需求        307
7.2.1  确定安全应用需求        308
7.2.2  确定证书需求        312
7.2.3  文档化证书策略和证书实施声明        314
7.2.4  定义证书应用需求示例        315
7.3  设计证书颁发机构层次结构        316
7.3.1  规划核心ca选项——设计根ca        317
7.3.2  规划核心ca选项——选择内部与第三方ca        318
7.3.3  规划核心ca选项——评估ca容量、性能和可扩展需求        320
7.3.4  规划核心ca选项——pki管理模式        322
7.3.5  规划核心ca选项——ca类型和角色        323
7.3.6  规划核心ca选项——整体活动目录结构        327
7.3.7  规划核心ca选项——ca安全性        329
7.3.8  规划核心ca选项——确定ca数量..        333
7.3.9  选择信任模式        334
7.3.10  在信任层次结构中定义ca角色        338
7.3.11  建立命名协定        338
7.3.12  选择ca数据库位置        338
7.3.13  ca结构设计示例        339
7.4  扩展证书颁发机构结构        341
7.4.1  评估影响扩展信任的因素        341
7.4.2  选择扩展ca结构配置        344
7.4.3  限制计划外的信任        346
7.5  定义证书配置文件        348
7.5.1  选择证书模板        349
7.5.2  选择证书安全选项        350
7.5.3  使用合格的从属来限制证书        354
7.5.4  配置证书示例        359
7.6  创建证书管理规划        360
7.6.1  选择注册和续订方法        361
7.6.2  将证书映射到身份        363
7.6.3  创建证书吊销策略        368
7.6.4  规划密钥和数据恢复        372
7.6.5  创建证书管理规划示例        375
第8章  网络层ipsec身份认证和加密方案        377
8.1  ipsec基础        378
8.1.1  什么是ipsec        378
8.1.2  ipsec的设计初衷        379
8.1.3  ipsec的优势        381
8.2  ipsec提供的安全服务        382
8.2.1  ipsec提供的安全属性        382
8.2.2  kerberos v5身份认证协议        383
8.2.3  基于公钥证书的身份认证        383
8.2.4  预共享密钥验证        384
8.2.5  采用哈希函数的数据完整性验证        384
8.2.6  具有加密功能的数据保密性        385
8.2.7  密钥管理        386
8.2.8  密钥保护        386
8.3  ipsec的使用模式        388
8.3.1  传输模式        388
8.3.2  隧道模式        389
8.4  ipsec协议类型        389
8.4.1  ipsec ah协议        390
8.4.2  ipsec esp协议        394
8.5  windows server 2003中的ipsec        397
8.5.1  ipsec逻辑体系架构        398
8.5.2  ipsec身份认证和组件        401
8.5.3  策略代理体系架构        402
8.5.4  ike模块体系架构        405
8.5.5  ipsec驱动体系架构        407
8.5.6  ipsec策略数据结构        407
8.5.7  ipsec分配的网络端口和协议        410
8.5.8  ipsec策略规则        411
8.6  ipsec密钥安全关联和密钥交换原理        415
8.6.1  安全关联基本原理和类型        415
8.6.2  主模式协商sa        417
8.6.3  快速模式协商sa        424
8.6.4  密钥交换原理        426
8.6.5  sa生存期        427
8.7  ipsec驱动工作原理        427
8.7.1  ipsec驱动的职责        427
8.7.2  ipsec驱动通信        428
8.7.3  ipsec驱动程序模式        428
8.7.4  ipsec驱动的包处理        430
8.8  ipsec策略及策略筛选器        431
8.8.1  ipsec策略        431
8.8.2  ipsec策略规则        433
8.8.3  默认响应规则        434
8.8.4  ipsec策略筛选器        435
8.8.5  ipsec筛选器的应用顺序        437
8.8.6  ipsec筛选中的默认排除        438
8.8.7  ipsec筛选器的设计考虑        440
8.9  windows server 2003 ipsec系统的部署        441
8.9.1  windows server 2003 ipsec部署的简易性        441
8.9.2  部署windows server 2003 ipsec前所需的确认        442
8.9.3  ipsec策略设计与规划的最佳操作        442
8.9.4  建立ipsec安全计划        445
8.9.5  策略配置        446
8.9.6  默认筛选器列表        446
8.9.7  默认响应规则        448
8.9.8  ipsec策略的应用方法        450
8.10  ipsec应用方案设计        453
8.10.1  ipsec安全通信方案的主要应用        454
8.10.2  不推荐的ipsec方案        458
8.10.3  管理使用仅在windows server 2003家族中可用的新增功能的策略        458
8.10.4  ip筛选器配置的考虑        459
8.10.5  筛选器操作的配置考虑        461
8.11  ipsec策略的应用方案配置        462
8.11.1  ipsec方案配置前的准备        462
8.11.2  ipsec安全方案配置的基本步骤        463
8.11.3  ipsec在web服务器访问限制中的应用示例        464
8.11.4  ipsec在数据库服务器访问限制中的应用示例        475
8.11.5  ipsec在阻止netbios攻击中的应用示例        476
8.11.6  ipsec在保护远程访问通信中的应用示例        478
第9章  传输层tls/ssl身份认证和加密方案        481
9.1  tls/ssl基础        482
9.1.1  tls/ssl简介        482
9.1.2  tls/ssl标准的历史        483
9.1.3  tls与ssl的区别        483
9.1.4  tls/ssl所带来的好处        484
9.1.5  tls/ssl的局限性        485
9.1.6  常见的tls/ssl应用        485
9.1.7  安全通道技术        487
9.1.8  tls和ssl的依从        487
9.2  tls/ssl体系架构        488
9.2.1  安全通道sspi体系架构        488
9.2.2  tls/ssl体系架构        490
9.2.3  tls/ssl握手协议        491
9.2.4  记录层        495
9.3  tls/ssl工作原理        495
9.3.1  tls/ssl进程和交互机制        495
9.3.2  tls的完整握手过程        497
9.3.3  客户端hello消息        498
9.3.4  服务器hello消息        501
9.3.5  客户端响应hello消息        503
9.3.6  计算主密钥和子系列密钥        504
9.3.7  完成消息        505
9.3.8  应用数据流        506
9.3.9  恢复安全会话        507
9.3.10  重新协商方法        507
9.3.11  安全通道的证书映射        509
9.3.12  tls/ssl所使用的网络端口        510
9.4  wtls        511
9.4.1  wap的主要特点和体系架构        511
9.4.2  wap架构与www架构的比较        514
9.4.3  wap安全机制        516
9.4.4  wtls体系架构        518
9.4.5  wtls的安全功能        519
9.4.6  wtls与tls的区别        520
9.5  ssl在iis web服务器中的应用        522
9.5.1  安装ca        522
9.5.2  生成证书申请        524
9.5.3  提交证书申请        527
9.5.4  证书的颁发和导出        530
9.5.5  在web服务器上安装证书        532
9.5.6  在web服务器上启用ssl        534
9.6  ssl vpn        535
9.6.1  ssl vpn网络结构和主要应用        536
9.6.2  ssl vpn的主要优势和不足        537
第10章  应用层web服务器的综合 安全系统设计与配置        541
10.1  我国网站安全现状        542
10.2  web服务器的身份验证技术选择        543
10.2.1  ntlm身份验证机制选择和配置方法        543
10.2.2  kerberos身份验证机制选择和配置方法        547
10.2.3  摘要式身份验证机制选择和配置方法        548
10.2.4  公钥加密身份认证机制选择        553
10.2.5  证书身份认证机制选择和配置方法        555
10.3  web服务器传输层安全技术选择        558
10.4  web服务器的安全威胁与对策        559
10.4.1  主机枚举        560
10.4.2  拒绝服务        562
10.4.3  未经授权的访问        562
10.4.4  随意代码执行        563
10.4.5  特权提升        563
10.4.6  病毒、蠕虫和特洛伊木马        564
10.5  安全web服务器检查表        564
10.6  windows server 2003 web服务器安全策略设计        580
10.6.1  web服务器的匿名访问和sslf设置        581
10.6.2  web服务器审核策略设置        582
10.6.3  web服务器用户权限分配策略设置        591
10.6.4  web服务器的安全选项策略设置        600
10.6.5  web服务器的事件日志策略设置        617
10.6.6  web服务器的其他安全策略设置        619
第11章  wlan网络综合安全系统设计与配置        629
11.1  选择wlan的安全策略        630
11.1.1  wlan面临的主要安全问题        630
11.1.2  wlan安全策略的决策        631
11.1.3  如何真正确保wlan的安全        633
11.1.4  wlan的身份验证和授权        634
11.1.5  wlan的数据保护        635
11.1.6  使用wlan数据保护的ieee 802.1x的优点        637
11.2  wlan安全方案选择        637
11.2.1  不部署wlan技术        638
11.2.2  使用基于802.11静态wep的基本安全        638
11.2.3  使用eap和动态加密密钥的ieee 802.1x        639
11.2.4  使用eap-tls的ieee 802.1x        640
11.2.5  使用peap的ieee 802.1x        640
11.2.6  使用vpn技术保护wlan网络        641
11.2.7  使用ipsec保护wlan        643
11.2.8  主要wlan安全方案比较        644
11.3  使用ieee 802.1x设计wlan安全系统        645
11.3.1  ieee 802.1x waln安全方案设计基本思路        645
11.3.2  使用ieee 802.1x和加密确保wlan安全        646
11.3.3  使用证书或密码        646
11.3.4  解决方案的先决条件        647
11.3.5  wlan安全选项考虑        648
11.3.6  确定ieee 802.1x wlan所需的软件设置        654
11.3.7  其他注意事项        658
11.4  使用ieee 802.1x实现wlan安全性        659
11.4.1  方案实现基本思路        659
11.4.2  ieee 802.1x wlan计划工作表        660
11.4.3  准备安全wlan的环境        661
11.4.4  配置和部署wlan身份验证证书        662
11.4.5  配置wlan访问基础结构        671
11.4.6  让用户和计算机能够访问安全wlan        675
11.4.7  配置ieee 802.1x网络的无线接入点        680
11.4.8  测试和验证        681
11.5  ieee 802.1x eap-tls wlan安全方案网络结构设计        681
11.5.1  ieee 802.1x eap-tls身份验证解决方案概述        681
11.5.2  ieee 802.1x eap-tls wlan网络安全结构方案设计标准        684
11.5.3  ieee 802.1x eap-tls方案网络结构逻辑设计与评估        686
11.6  使用peap和密码确保无线lan的安全        692
11.6.1  解决方案的基本思路        692
11.6.2  peap解决方案的优势和工作原理        693
11.6.3  组织结构和it环境计划        696
11.6.4  方案设计标准计划        697
11.6.5  wlan体系结构部署计划        698
11.6.6  针对大型组织的扩展计划        710
11.6.7  解决方案体系结构的变化计划        712
11.6.8  准备安全wlan网络环境        715
11.6.9  方案网络证书颁发机构构建        725
11.6.10  wlan安全的基础结构构建        728
11.6.11  wlan客户端配置        741
后   记 ...         747