高级网管的有关应用.ppt
《高级网管的有关应用.ppt》由会员分享,可在线阅读,更多相关《高级网管的有关应用.ppt(77页珍藏版)》请在三一文库上搜索。
1、SNMPv3分析,一、 SNMP的安全问题 二、SNMPv3协议框架 三、 SNMPv3安全机制,一、 SNMP的安全问题,SNMP制定之初并没有过多地考虑其安全性。这使其早期版本存在安全隐患。随着网络安全的日趋重要在SNMP的发展过程中也出现了一些安全方面的增强方案。这些方案虽然没有形成统一的标准也没有得到广泛应用但是对后来SNMPv3的形成具有借鉴意义。,一、 SNMP的安全问题,1SNMP早期版本的安全机制及其缺陷 SNMPv1存在一些明显的缺陷,其中之一就是忽视了安全问题。SNMPv1只提出了基于团体(community)的安全机制。一个SNMP团体是一个SNMP代理和任意一组SNMP
2、管理站之间的一种关系,它定义了认证和访问控制的特性。 团体是定义在代理上的一个本地概念。代理为每一个必要的认证和访问控制特性的联合建立一个团体,每个团体拥有唯一一个名字。团体之中的管理站必须使用该团体的团体名进行Get和Set操作。,一、 SNMP的安全问题,(1)认证服务 认证服务用于保证通信是可信的。在SNMP消息中,认证服务将向消息接收者保证该消息的确是从它所声明的来源发出的。SNMP仅提供了一种很简单的认证方式:从管理站发往代理的每个消息都包括一个团体名,起口令的 作用。如果该团体名存在于代理已知的团体名列表中,则 该消息被认为是可信的,接收该消息。否则,消息不可信,丢弃该消息。,一、
3、 SNMP的安全问题,(2)访问控制策略 通过定义团体,代理可以限制它的MIB只能被选定的一组管理站访问。而通过定义多于一个的团体,代理能够为不同的管理站提供不同的MIB访问权限。但是,团体名 通常以明文形式随SNMP报文传输。对于熟悉SNMP的人来说,可以很容易地从网络上捕获的SNMP报文中分析得到团体名,从而盗用某些权限、进行非法的操作。,一、 SNMP的安全问题,2 SNMP面临的安全威胁 在实际中广泛使用的SNMPv1/v2c采用以明文传输的团体名作为认证手段。这种脆弱的保护机制使得SNMP面临着一系列安全威胁。这些威胁包括: (1)伪装 一些未授权的实体可以伪装为已授权实体的身份,去
4、执行只有授权实体才可以执行的管理操作,从而获得额外的特权。,一、 SNMP的安全问题,(2)信息更改 一个实体可以更改由另一授权实体产生的正在传输的报文,从而导致越权的管理操作。这种威胁的本质就是未授权的实体可以修改任何管理参数包括配置、操作和计费方面的参数。,一、 SNMP的安全问题,(3)信息泄漏 实体可以观测管理者与代理之间的信息交换,从而获得管理对象的值,并获知所报告的事件。例如,通过观测更改口令的Set命令,可以使攻击者获知新口令的内容。,一、 SNMP的安全问题,(4)消息流更改 SNMP被设计成在无连接的协议上运行。因此,SNMP消息有可能被重排、延迟或者重放(复制),从而导致越
5、权的管理操作。例如,一个重新启动设备的消息可能被复制,并在将来某一时刻重放,导致非授权的操作。,一、 SNMP的安全问题,(5)拒绝服务 阻止管理者与代理之间的信息交换,或阻止通信设备的正常使用和管理。这种攻击或者是阻止所有发往特定目的站点的消息、或者是对网络进行破坏使其不能运行、或者是发送大量消息使网络过载从而降低其性能。 (6)流量分析 分析管理者和代理之间信息交换的一般模式。,二、SNMPv3协议框架,1 SNMPv3的体系结构 SNMPv3定义了新的体系结构,并在其中包含了对SNMPv1和SNMPv2的兼容,即这个新的体系结构也适用于SNMPv1及SNMPv2,弥补了SNMP没有完整体
6、系结构的缺点。 在SNMPv3中,管理进程与代理统称为SNMP实体(entity)。SNMP实体由SNMP协议引擎(engine)和应用程序(application)组成。SNMP实体包含一系列模块,模块之间相互作用来提供服务。,二、SNMPv3协议框架,二、SNMPv3协议框架,(1) SNMP协议引擎 SNMP协议引擎负责执行SNMP协议操作,为各类SNMP应用程序提供服务。每个SNMP协议引擎由一个SNMP协议引擎ID来标识。在整体上执行两种功能:,二、SNMPv3协议框架,从SNMP应用中接收流出的PDU执行必要的处理,包括插入鉴别代码和加密,然后把PDU封装到用于传输的消息中去。 从
7、传输层接收流进的PDU,执行必要的处理,包括鉴别和解密,然后从消息取出PDU,并把PDU传送到适当的SNMP应用中去。,二、SNMPv3协议框架,(2)SNMP协议引擎包含如下模块: 调度器 调度器是同应用程序及消息处理模型进行交互,负责SNMP消息的分发、传输和接收。每个SNMPv3协议引擎含有一个调度器,它可以对多种版本的SNMP消息提供支持。,二、SNMPv3协议框架,其主要功能如下: 接收和发送SNMP消息 根据消息的版本号,将其交给相应的消息处理模型处理 从消息中得到SNMP PDU,传给应用程序 从应用程序接收需发送的SNMP PDU,二、SNMPv3协议框架,消息处理子系统 消息
8、处理子系统由一个或多个消息处理模型组成主要负责完成以下功能: 准备要发送的消息 从接收到的消息中提取数据,二、SNMPv3协议框架,消息处理子系统包括SNMPv1、SNMPv2c、SNMPv3等消息处理模型,分别处理不同版本的消息。消息处理模型定义了特定版本的SNMP消息的格式,以及如何对该版本的SNMP消息进行解析、从中提取数据和如何构造该版本的SNMP消息。,二、SNMPv3协议框架,安全子系统 安全子系统提供SNMP消息的认证和加密服务。它可以包含多个安全模型,标准协议使用的安全模型为RFC3414定义的基于用户的安全模型(USM)。用户也可以定义自己的安全模型。安全模型要指出它所防范的
9、安全威胁、服务的目标和为提供安全服务所采用的安全协议。安全协议的内容包括一系列安全机制和为实现安全服务所定义的MIB对象等。,二、SNMPv3协议框架,访问控制子系统 访问控制子系统通过一个或多个访问控制模型提供确认对被管理对象的访问是否合法的服务。SNMPv3默认的访问控制模型为RFC3415所描述的基于视图的访问控制模型(VACM)。 访问控制模型还可以定义访问控制处理过程中使用的MIB模块,以实现对访问控制策略的远程配置。,二、SNMPv3协议框架,(3)SNMP应用程序 SNMP应用程序利用SNMP协议引擎提供的服务完成特定的网络管理任务。不同SNMP实体的应用程序相互间通过SNMP消
10、息进行通信。应用程序主要包括以下几类:,二、SNMPv3协议框架,命令产生器:产生SNMP请求消息并处理对这些请求的响应。 命令响应器:提供对SNMP请求消息的应答。 通知产生器:产生和发送异步的通知消息。 通知接收器:接收并处理异步的通知消息。当通知消息需要确认时通知接收器应用程序还需生成相应的应答消息。 委托转发器:用于在网管实体之间转发网管消息。,二、SNMPv3协议框架,2 SNMPv3协议操作,三、 SNMPv3安全机制,SNMPv3的安全机制包括:认证、加密、访问控制 1基于用户的安全模型: SNMPv3提出了四个安全目标: (1)对每一个接收到的SNMP消息进行认证检查,确认其在
11、传输过程中没有被修改(包括非故意修改),即数据完整性认证。,三、 SNMPv3安全机制,(2)提供对发送消息的用户的身份认证,防止伪装用户。 (3)提供对过时消息的检测,防止消息的重定向、延迟或重发。 (4)必要时提供对消息的加密保护,避免管理信息的暴露。,三、 SNMPv3安全机制,为实现上述目标,SNMPv3采用了基于用户的安全模型(USM)。定义了USM的规范,包括: 鉴别:提供数据整体性和数据发送源鉴别。消息鉴别代码HMAC和散列函数MD_5或SHA-1一起来提供鉴别。 及时性:保护消息在传输过程中不被延时或重播。 保密:保护消息有效内容不被泄密。,三、 SNMPv3安全机制,发现:定
12、义一个SNMP引擎获得关于另一个SNMP引擎的信息的过程。 密钥管理:定义了密钥产生、更新和使用的过程。,三、 SNMPv3安全机制,基本概念: (1)用户 SNMPv3用户是一个发出SNMP操作的实体,可以是一个或一些管理员,或是执行网管操作的应用程序等。用户的身份和目标代理的相关配置一起决定了将要调用的安全机制认证、加密和访问控制等。,三、 SNMPv3安全机制,(2)权威的SNMP协议引擎 为了防御重放、延迟等攻击,在参与通信的SNMP协议引擎中应有一方被指定为权威的SNMP协议引擎。当一个SNMP消息需要应答时,消息接收方的SNMP协议引擎就是权威的SNMP协议引擎当SNMP消息不需要
13、应答时,则消息发送方的SNMP协议引擎是权威的SNMP协议引擎。相应的,通信中另一方的SNMP协议引擎被称为非权威的SNMP协议引擎。,三、 SNMPv3安全机制,(3)本地化密钥 USM的认证和加密机制需要在通信的两个协议引擎之间共享认证密钥和加密密钥。为了简化密钥的管理,SNMPv3允许管理员不直接指定每个用户的实际密钥,而是为用户配置口令(password)。口令经过处理生成中间密钥,然后再由中间密钥和权威引擎ID一起进行密钥的本地化,将中间密钥转换成用户相对于某个权威引擎的本地化密钥,以区别于用户在其它SNMP协议引擎上的密钥。这样即使已知某个用户对应某个SNMP协议引擎的密钥,也不能
14、猜测出该用户对应其它SNMP协议引擎的密钥。,三、 SNMPv3安全机制,2认证 USM采用HMAC(Keyed-Hashing for Message Authentication)来实现消息的数据完整性和数据源身份认证。它使用一个安全的HASH函数和一个认证密钥来生成消息的身份鉴别码。标准协议使用MD5和SHA1作为HASH函数,并截取HASH值的前96比特作为有效认证码,因此被相应地称为HMAC-MD5-96认证协议和HMAC-SHA-96认证协议。,三、 SNMPv3安全机制,(1)数据完整性认证 通信的两个SNMP实体共享一个认证密钥。发送方在发送SNMP消息之前利用认证密钥和HAS
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 高级 网管 有关 应用
链接地址:https://www.31doc.com/p-2999853.html