寫在前面

這篇博客是我學(xué)習(xí)信息安全概論的筆記，本篇博客所使用的教材和課程連接因?qū)徍嗽驘o法闡明。由于鐘老師課程中未講解第八章網(wǎng)絡(luò)安全協(xié)議，故該筆記也不包含該部分內(nèi)容。在網(wǎng)上查閱得知筆記應(yīng)投原創(chuàng)，故本篇博客投的原創(chuàng)，但仍不清楚是否構(gòu)成侵權(quán)情況。如有侵權(quán)，請聯(lián)系我刪除。

--------------------------------------***我是分界線***------------------------------------

目錄

• 寫在前面
• 概述
• • 信息安全概念的理解
  • • 信息與信息安全
    • 信息安全發(fā)展階段
  • 信息安全的威脅
  • • 信息安全威脅的基本類型
    • 信息安全威脅主要表現(xiàn)形式
  • 互聯(lián)網(wǎng)安全性
  • • 互聯(lián)網(wǎng)發(fā)展現(xiàn)狀
    • 互聯(lián)網(wǎng)安全現(xiàn)狀
  • 信息安全體系結(jié)構(gòu)
  • • 面向目標(biāo)的信息安全知識體系結(jié)構(gòu)
    • • 圍繞CIA三元組展開的知識體系
    • 面向應(yīng)用的層次型技術(shù)體系架構(gòu)
    • 面向過程的信息安全保障體系
    • OSI開發(fā)系統(tǒng)互聯(lián)安全體系結(jié)構(gòu)
• 密碼學(xué)基礎(chǔ)
• • 密碼的分類
  • 古典替換密碼
  • • 凱撒密碼（移位密碼）
    • 乘數(shù)密碼
    • 仿射密碼
  • 對稱秘鑰密碼
  • • **對稱密鑰密碼加密模式**
    • • 分組密碼
    • 序列密碼（流密碼)
    • 數(shù)據(jù)加密標(biāo)準(zhǔn)DES
    • 分組密碼工作模式
    • • 電子編碼本模式
      • 鏈接模式（CBC）
      • 密碼反饋模式（CFB）
      • 輸出反饋模式（OFB）
  • 公開密鑰密碼
  • • 公開密鑰理論基礎(chǔ)
    • 加密模型
    • 認(rèn)證模型
    • Diffie-Hellman密鑰交換算法
    • RSA公開密鑰算法
    • • RSA安全性
    • 其他公開密鑰密碼算法簡介
  • 消息認(rèn)證
  • • 概述
    • 認(rèn)證函數(shù)
    • • 消息加密函數(shù)
      • 消息認(rèn)證碼
      • 消息編碼
    • 散列函數(shù) *（哈希函數(shù)）*
    • 數(shù)字簽名
• 物理安全
• • 概述
  • 設(shè)備安全防護(hù)
  • • 防盜
    • 防火
    • 防靜電
    • 防雷擊
  • 放信息泄露
  • • 電磁泄露
    • 竊聽
  • 物理隔離
  • • 概念
    • 表現(xiàn)
    • 物理隔離和邏輯隔離
    • 物理隔離基本形式
  • 容錯與容災(zāi)
  • • 容錯
    • 容災(zāi)
• 身份認(rèn)證
• • 概述
  • 認(rèn)證協(xié)議
  • • 基于對稱密鑰的認(rèn)證協(xié)議
    • • 基于挑戰(zhàn)-應(yīng)答方式的認(rèn)證協(xié)議
      • Needham-Schroeder認(rèn)證協(xié)議
      • Kerbero協(xié)議
      • Windows系統(tǒng)的安全認(rèn)證
    • 基于公開密鑰的認(rèn)證協(xié)議
    • • Needham-Schroeder公鑰認(rèn)證
      • 基于CA數(shù)字證書的認(rèn)證協(xié)議
      • 基于數(shù)字簽名進(jìn)行身份認(rèn)證的過程
  • 公鑰基礎(chǔ)設(shè)施PKI
  • • 基于X.509的PKI系統(tǒng)
    • • PKI系統(tǒng)功能
• 訪問控制
• • 概述
  • 訪問控制模型
  • • 自主訪問控制模型DAC
    • 強(qiáng)制訪問控制模型MAC
    • 基于角色的訪問控制模型RBAC
  • Windows系統(tǒng)的安全管理
  • • Windows系統(tǒng)安全體系結(jié)構(gòu)
    • Windows系統(tǒng)的訪問控制
    • 活動目錄和組策略
• 網(wǎng)絡(luò)威脅
• • 概述
  • 計(jì)算機(jī)病毒
  • • 計(jì)算機(jī)病毒發(fā)展史
    • 計(jì)算機(jī)病毒定義
    • 傳統(tǒng)病毒
    • 蠕蟲病毒
    • 木馬
    • 病毒防治
  • 網(wǎng)絡(luò)入侵
  • • 拒絕服務(wù)攻擊
    • 口令攻擊
    • 嗅探攻擊
    • 欺騙類攻擊
    • 利用類攻擊
  • 誘騙類威脅
  • • 網(wǎng)絡(luò)釣魚
    • 對誘騙類攻擊的防范
• 網(wǎng)絡(luò)防御
• • 概述
  • 防火墻
  • • 防火墻主要技術(shù)
    • Netfilter/IPtables防火墻
  • 入侵檢測系統(tǒng)
  • • 入侵檢測系統(tǒng)分類
    • 入侵檢測技術(shù)
    • Snort系統(tǒng)
  • 網(wǎng)絡(luò)防御的新技術(shù)
  • • VLAN技術(shù)
    • IPS和IMS
    • 云安全
• 內(nèi)容安全
• • 概述
  • • 內(nèi)容保護(hù)
    • 內(nèi)容監(jiān)管
  • 版權(quán)保護(hù)
  • • DRM概述
    • 數(shù)字水印
  • 內(nèi)容監(jiān)管
  • • 網(wǎng)絡(luò)信息內(nèi)容監(jiān)管
    • 垃圾郵件處理
• 信息安全管理
• • 概述
  • 信息安全風(fēng)險管理
  • • 風(fēng)險評估
    • 風(fēng)險控制
  • 信息安全標(biāo)準(zhǔn)
  • 信息安全產(chǎn)品標(biāo)準(zhǔn)CC
  • • 信息安全管理標(biāo)準(zhǔn)BS7799
    • 中國的有關(guān)信息安全標(biāo)準(zhǔn)
  • 信息安全法律法規(guī)

概述

信息安全概念的理解

信息與信息安全

信息概念：
信息是通過施加于數(shù)據(jù)上的某些約定而賦予這些數(shù)據(jù)的特定含義

信息安全發(fā)展階段

• 通信安全階段
  保證信息傳遞的安全
• 信息安全階段
  保證信息的機(jī)密性，完整性，可用性，可控性，不可否認(rèn)性
  • 機(jī)密性：信息只能為授權(quán)者使用，不能泄露給未經(jīng)授權(quán)者使用（不可觀看）讀權(quán)限
  • 完整性：信息在存儲和傳輸過程中未經(jīng)授權(quán)不能被改變（可觀看不能改）寫權(quán)限
  • 可用性：保證信息隨時可以為授權(quán)者提供服務(wù)（可執(zhí)行）執(zhí)行權(quán)限
  • 可控性：授權(quán)實(shí)體可以控制信息系統(tǒng)和信息使用
  • 不可否認(rèn)性：任何實(shí)體均無法否認(rèn)其實(shí)實(shí)施過的信息行為
• 信息保障階段
  保護(hù)，檢測，反應(yīng)，恢復(fù)

信息保障三大要素

• 人是信息保障的基礎(chǔ)
• 技術(shù)是信息保障的核心
• 管理是信息保障的關(guān)鍵

信息安全的威脅

信息安全威脅的基本類型

• 信息泄露：信息被有意或無意泄露給某個未授權(quán)的實(shí)體
• 信息偽造：未授權(quán)的實(shí)體冒充其他實(shí)體發(fā)布信息， 或者從事其他網(wǎng)絡(luò)行為
• 完整性破壞：非法手段竊取信息控制權(quán)，未經(jīng)授權(quán)對信息修改，插入，刪除。使得信息內(nèi)容發(fā)送不應(yīng)有的變化
• 業(yè)務(wù)否決或拒絕服務(wù)：攻擊者通過對信息系統(tǒng)進(jìn)行過量非法的訪問操作使得信息系統(tǒng)超載或崩潰，從而無法正常進(jìn)行業(yè)務(wù)或提供服務(wù)
• 未經(jīng)授權(quán)訪問：未授權(quán)的實(shí)體非法訪問信息資源，或授權(quán)實(shí)體越權(quán)訪問信息資源

信息安全威脅主要表現(xiàn)形式

• 攻擊原始材料
  • 人員泄露，廢棄介質(zhì)，竊取
• 破壞基礎(chǔ)設(shè)施
• 攻擊信息系統(tǒng)
  • 物理侵入，木馬，惡意訪問
• 攻擊信息流
  • 竊聽，業(yè)務(wù)流分析，重復(fù)
• 惡意偽造
  • 假冒，抵賴
• 自身失誤
• 內(nèi)部攻擊

互聯(lián)網(wǎng)安全性

互聯(lián)網(wǎng)發(fā)展現(xiàn)狀

略

互聯(lián)網(wǎng)安全現(xiàn)狀

略

信息安全體系結(jié)構(gòu)

面向目標(biāo)的信息安全知識體系結(jié)構(gòu)

信息安全的三個基本目標(biāo)（CIA三元組）：

機(jī)密性（Confidentialit）

完整性（Integrity）

可用性（Availability）

與之相對的三個威脅（DAD）

泄露（Disclosure)

篡改（Alteration）

破壞（Destruction）

圍繞CIA三元組展開的知識體系

密碼學(xué)是三個信息安全目標(biāo)的技術(shù)基礎(chǔ)
CIA技術(shù)存在一定程度的內(nèi)容交叉

面向應(yīng)用的層次型技術(shù)體系架構(gòu)

信息系統(tǒng)基本要素

• 人員
• 信息
• 系統(tǒng)

安全層次

• 物理安全：網(wǎng)絡(luò)及信息系統(tǒng)物理設(shè)備的保護(hù)
• 運(yùn)行安全：對運(yùn)行過程及運(yùn)行狀態(tài)的保護(hù)
• 數(shù)據(jù)安全：對數(shù)據(jù)收集，存儲，檢索，傳輸?shù)谋Ｗo(hù)
• 內(nèi)容安全：根據(jù)信息內(nèi)涵制定安全策略及安全措施
• 管理安全：對人的行為的保護(hù)

面向過程的信息安全保障體系

PDRR

• 保護(hù)
• 檢測
• 反應(yīng)
• 恢復(fù)

信息保障的動態(tài)過程

OSI開發(fā)系統(tǒng)互聯(lián)安全體系結(jié)構(gòu)

安全服務(wù)

• 鑒別服務(wù)：確保某個實(shí)體身份可靠
• 訪問控制：確保只有經(jīng)過授權(quán)的實(shí)體才能訪問受保護(hù)的資源
• 數(shù)據(jù)機(jī)密性：確保只有經(jīng)過授權(quán)的實(shí)體才能理解受保護(hù)的信息
• 數(shù)據(jù)完整性：防止對數(shù)據(jù)的未授權(quán)修改和破壞
• 抗抵賴性：防止對數(shù)據(jù)源以及數(shù)據(jù)提交的否認(rèn)

安全機(jī)制

• 加密：用于保護(hù)數(shù)據(jù)機(jī)密性
• 數(shù)字簽名：保證數(shù)據(jù)完整性和不可否認(rèn)性
• 訪問控制：訪問控制對訪問請求進(jìn)行處理，查看是否具有訪問所請求資源的權(quán)限
• 數(shù)據(jù)完整性：用于保護(hù)數(shù)據(jù)免受未經(jīng)授權(quán)的修改和破壞
• 鑒別交換：用于實(shí)現(xiàn)通信雙方的身份鑒別
• 業(yè)務(wù)流填充：針對網(wǎng)絡(luò)流量分析攻擊
• 路由控制：指定數(shù)據(jù)報文通過網(wǎng)絡(luò)的路徑
• 公證機(jī)制：由第三方確保數(shù)據(jù)完整性，數(shù)據(jù)源，時間以及目的地正確

---

密碼學(xué)基礎(chǔ)

密碼的分類

• 古典替換密碼
• 對稱秘鑰密碼
• 公開秘鑰密碼

• 分組密碼
• 序列密碼

古典替換密碼

凱撒密碼（移位密碼）

加密函數(shù) Ek（m）=（m+k) mod q
解密函數(shù) Dk（c）=（m-k）mod q

M=C={有序字母表},q=26,k=3

乘數(shù)密碼

Ek(m)=k*m mod q, gcd(k,q) = 1
Dk?=k^-1c mod q
gcd(k,q)=1代表最大公約數(shù)為1(互素才會有逆元)

k^-1為k的乘法逆元: k^-1 *k mod q = 1

求逆元的方法:
小的數(shù)窮舉
擴(kuò)展歐幾里得算法

仿射密碼

移位密碼和乘數(shù)密碼的結(jié)合

Ek(m)=(km+b) mod q
Dk?=k^-1(c-b) mod q

破解方法

基于統(tǒng)計(jì)的密碼分析
統(tǒng)計(jì)字母的使用頻率,比較正常字母使用頻度,進(jìn)行匹配分析
如果密文組構(gòu)成,很容易被破解

對稱秘鑰密碼

加密密鑰與解密密鑰是一個密鑰

發(fā)送方:生成密鑰,(或由第三方密鑰分頻中心分配)

明文通過密鑰加密

通過公網(wǎng)發(fā)送給接收方

接收方通過密鑰解密出明文

密鑰由安全信道傳遞

加密解密算法公開,密鑰不公開

攻擊者能拿到密文以及加密解密算法,但拿不到密鑰,故無法解密

安全信道成本高,只使用于傳遞少量信息,不適合傳遞大量信息

密鑰更新可以用密鑰更新算法

對稱密鑰密碼加密模式

分組密碼

將明文分成一個個塊

對每一個塊單獨(dú)加密解密

序列密碼（流密碼)

通過偽隨機(jī)數(shù)發(fā)生器產(chǎn)生偽隨機(jī)序列（密鑰流）

用密鑰流與明文字節(jié)流逐比特異或操作

異或規(guī)則

aba異或b

1	1	0
1	0	1
0	1	1
0	0	0

a異或b=c 則 b異或c=a

明文 異或 密鑰 = 密文
密文 異或 密鑰 = 明文

數(shù)據(jù)加密標(biāo)準(zhǔn)DES

分組密碼一種
分組長度64位，密鑰長度64位（56位有效）

標(biāo)準(zhǔn)方案

1. 算法提供高度安全性 2. 有詳細(xì)說明，易于理解 3. 安全性取決于密鑰，不依賴于算法 4. 適用于所有用戶和所有場合 5. 高效，經(jīng)濟(jì) 6. 被證實(shí)有效 7. 可出口

密鑰需要足夠長，不然很容易受到密鑰窮舉攻擊，一般認(rèn)為80位以上的密鑰是安全的，而DES因?yàn)槊荑€長度只有56位有效，故存在缺陷

DES替代者

• 3-DES*（使用DES用三個不同密鑰加密三次，但因此加密解密速度慢）*
• IDEA
• AES*(分組長度128位，密鑰長度128/192/256)*
• RC5
• 國密算法SM1，SM4，SM7，SSF33

分組密碼工作模式

分組密碼才有工作模式，流密碼沒有，流密碼只有逐比特異或

電子編碼本模式

明文分組切塊

每個分組獨(dú)立地加密解密

問題：相同的明文分組會被加密成相同的密文分組
導(dǎo)致暴露明文里的同一信息

鏈接模式（CBC）

IV：初始向量，跟分組長度一致，隨機(jī)生成的序列，不需要保密

IV與明文分組1逐比特異或，再用密鑰加密，得到密文分組1

密文分組1和明文分組2異或，再用密鑰加密，得到密文分組2

重復(fù)上述步驟，依次進(jìn)行

密碼反饋模式（CFB）

密碼反饋模式反饋的是加密并逐比特異或后的密文

加密過程

IV用密鑰加密

選擇高S位與分組長度為S的明文分組逐位異或

將密文分組i放到第i+1個移位寄存器中

用密鑰加密

選擇高S位與明文分組逐比特異或

輸出反饋模式（OFB）

輸出反饋模式完全取決于IV以及密鑰，反饋的是密鑰加密后的IV前S位，其余模式與CFB相同

公開密鑰密碼

• 又稱為非對稱密鑰密碼或雙密鑰密碼
• 加密密鑰和解密密鑰兩個獨(dú)立密鑰
• 公開密鑰的安全性取決于私鑰的保密性
• 私鑰需要保密，公鑰不需要保密，每個人都可獲取
• 公鑰用于加密，私鑰用于解密，用公鑰加密的信息只能用私鑰解密

過程

收信人生成一對公鑰與私鑰

收信人保管好私鑰，將公鑰發(fā)送給發(fā)信人

發(fā)信人用收信人的公鑰對信息加密，然后發(fā)送給收信人

收信人用私鑰將密文解密

公開密鑰理論基礎(chǔ)

公開密鑰密碼核心思想

單向陷門函數(shù)：1. 給定x，計(jì)算f（x）是容易的2. 給定y，計(jì)算x使得y=f（x）是很困難的3. 存在δ，已知δ時對給定的任何y，若相應(yīng)的x存在，則計(jì)算x使得y=f（x）是容易的

加密模型

如上

認(rèn)證模型

• 收信人要確認(rèn)發(fā)信人的身份
• 發(fā)信人獲取一個信息，用發(fā)信人密鑰加密
• 收信人用發(fā)信人公鑰解密，若解密成功，則身份認(rèn)證成功
• 要點(diǎn)保證公鑰的真實(shí)性(而非保密性)
• 黑客可以假冒公鑰來進(jìn)行偽造身份

Diffie-Hellman密鑰交換算法

只能用于交換密鑰，不能用于加密,可以為對稱加密算法建立安全的密鑰通道

原根
定義：如果a是素?cái)?shù)p的原根，則a mod p，a^2 mod p，···，a^p-1 mod p 是不同的且包含1到p-1之間的所有整數(shù)（包含所有且不重復(fù)），對任意的整數(shù)b，可以找到唯一的冪i，滿足b≡a^i mod p

• b≡a mod p 等價于 b mod p = a mod p 稱為b與a模p同余
• 素?cái)?shù)一定存在原根

例子：
p=7 a=2
2^1 mod 7 =2
2^2 mod 7 =4
2^3 mod 7 =1
2^4 mod 7 =2
2^5 mod 7 =4
在2 4 1之間循環(huán)，故2不是7的原根
p=7 a=3
3^1 mod 7=3
3^2 mod 7=2
3^3 mod 7=6
3^4 mod 7=4
3^5 mod 7=5
3^6 mod 7=1
覆蓋了1到7的所有數(shù)，所以3是素?cái)?shù)7的一個原根

離散對數(shù)

若a是素?cái)?shù)p的一個原根，對于任意整數(shù)b（b mod p≠0），必然存在唯一的整數(shù)i（1≤i≤p-1），使得b≡a^i mod p，i稱為b的以a為基數(shù)且模p的冪指數(shù)，即離散對數(shù)。

對于函數(shù)y≡g^x mod p ，其中，g為素?cái)?shù)p的原根，y與x均為正整數(shù)，一致g，x，p，計(jì)算y是容易的，而已知y，g，p，計(jì)算x是困難的，即求解y的離散對數(shù)是困難的，可作為單向陷門函數(shù)。
求解y的離散對數(shù)x是數(shù)學(xué)界公認(rèn)的困難問題

運(yùn)行流程

首先雙方協(xié)商好大素?cái)?shù)p，和p的一個大整數(shù)原根g，1<g<p，p和g無需保密

收信人選取大整數(shù)x<p，并計(jì)算Y=g^x(mod P);

發(fā)信人選取大整數(shù)x’<p,并計(jì)算Y’=g^x’(mod P);

兩個互換Y與Y’

收信人計(jì)算K=Y’^x(mod p)

發(fā)信人計(jì)算K’=Y^x’(mod p)

顯而易見K=K’=g^xx’(mod p),所以雙方得到了相同的秘密值K，可作為對稱密鑰

• 公開的參數(shù)：p，g，Y，Y’
• 保密的參數(shù):x,x’,k,k’

RSA公開密鑰算法

歐拉函數(shù)
對于任意一個正整數(shù)n，小于n且與n互素的正整數(shù)構(gòu)成的集合為Zn,這個集合叫做n的完全余數(shù)集合。Zn包含的元素個數(shù)基座φ（n），稱為歐拉函數(shù)，其中φ（1）為1，但是沒有任何實(shí)質(zhì)的意義。
其實(shí)歐拉函數(shù)就是比n小且互素的元素的個數(shù)

歐拉定理
正整數(shù)a與n互素，則a^φ(n）≡1 mod n

推論
給定兩個素?cái)?shù)p和q，以及兩個整數(shù)m和n，使得n=p×q，且0<m<n，對于任意整數(shù)k滿足：
m^{(kφ（n)+1)=m}(k（p-1)(q-1)+1)≡m mod n

大整數(shù)分解
大整數(shù)分解問題：
已知p和q兩個大素?cái)?shù)，求解N=p×q是容易的，但將N分解為p和q兩個大素?cái)?shù)，在計(jì)算上是很困難的，其運(yùn)算時間復(fù)雜度接近于不可行，其算法時間復(fù)雜度為O（2^n），為指數(shù)的。

RSA密碼體制
是一種分組密碼，明文和密文均是0到n之間的整數(shù)

步驟：

選取兩個不同的素?cái)?shù)p和q，計(jì)算n=pq，φ(n)=(p-1)(q-1)；

選擇整數(shù)e，使得gcd(φ（n）,e)=1,且1<e<φ（n);

計(jì)算d，d≡e^-1 mod φ（n），即d為模φ（n）下e的乘法逆元

gcd(φ（n）,e)代表最大公約數(shù)為1

公鑰Pk={e，n} 私鑰=Sk{d，φ（n），p，q}
加密：c=m^e mod n
解密：m=c^d mod n
密文為c，明文為m
由公鑰計(jì)算私鑰模的是φ（n），加密解密模的是n
過程

• 已知p，q
• 得到 φ（n）=（p-1）（q-1），n =pq
• 選擇e
• 根據(jù)*φ（n）*求出來e的乘法逆元d（拓展歐幾里得算法求出e^-1,d≡e-1 mod φ（n））
• 根據(jù)e進(jìn)行乘數(shù)密碼加密
• 根據(jù)e的乘法逆元d進(jìn)行乘數(shù)密碼解密

例子：

p=101，q=113，n=11413,φ(n)=100*112=11200
e=3533,求得d≡e^-1 mod 11200 ≡6597 mod 11200,d=6597
公開n = 11413和e=3533
明文9726，計(jì)算9726^3533 mod 11413 = 5761,發(fā)送密文5761
密文5761時，用d=6597解密，計(jì)算5761^6597(mod 11413)=9726

RSA安全性

• RSA是基于單向函數(shù)ek（x）=x^e mod n，求逆計(jì)算不可行
• 解密的關(guān)鍵是了解陷門信息，即能夠分解n=pq，從而得到φ（n）=（p-1）（q-1），從而解出解密密鑰d
• 如果要求RSA是安全的，p與q必須為足夠大的素?cái)?shù)，使得分析者沒有辦法在多項(xiàng)式時間內(nèi)將n分解出來
• 模n的求冪運(yùn)算：
  著名的“平方-和-乘法”方法將計(jì)算x^c mod n的模乘法的次數(shù)縮短到至多為2/,/是指數(shù)c二進(jìn)制表示的位數(shù)，即log2。

其他公開密鑰密碼算法簡介

• 基于大整數(shù)因子分解問題
  • RSA密碼，Rabin密碼
• 基于有限域上的離散對數(shù)問題
  • Differ-Hellman公鑰交換體制，ElGamal密碼
• 基于橢圓曲線上的離散對數(shù)問題
  • Differ-Hellman公鑰交換體制，ElGamal密碼

消息認(rèn)證

概述

威脅信息完整性的行為主要包括：

• 偽造：假冒他人信息源向網(wǎng)絡(luò)中發(fā)布信息
• 內(nèi)容修改：對信息內(nèi)容插入，刪除，變化，修改
• 順序修改：對信息插入，刪除，重組序列
• 時間修改：延遲或重復(fù)
• 否認(rèn)：接受者否認(rèn)收到信息，發(fā)送者否認(rèn)發(fā)送過消息

消息認(rèn)知是保證信息完整性的重要措施
目的包括：

• 證明信息的信源和信宿的真實(shí)性
• 消息內(nèi)容是否曾受篡改
• 消息的序號和時間性是否正確

消息認(rèn)證是由具有認(rèn)證功能的函數(shù)實(shí)現(xiàn)的

• 消息加密，用消息的完整密文作為消息的認(rèn)證符
• 消息認(rèn)證碼MAC，也稱為密碼校驗(yàn)和，使用密碼對消息加密，生成固定長度的認(rèn)證符
• 消息編碼，是針對信源消息的編碼函數(shù)，使用編碼抵抗針對消息的攻擊

認(rèn)證函數(shù)

認(rèn)證計(jì)算功能上分為兩層

• 下層包含一個產(chǎn)生認(rèn)證符的函數(shù)，認(rèn)證符是一個用來認(rèn)證消息的值。
• 上層是以認(rèn)證函數(shù)為原語，接收方可以通過認(rèn)證函數(shù)來驗(yàn)證消息的真?zhèn)巍?/li>

消息加密函數(shù)

對稱密鑰密碼對消息加密，不僅有機(jī)密性，同時有可認(rèn)證性
公開密鑰密碼本身提供認(rèn)證功能，即私鑰加密，公鑰解密的特性

消息認(rèn)證碼

基本思想：
利用事先約定的密碼，加密生成一個固定長度的短數(shù)據(jù)塊MAC，并將MAC附加到消息之后，一起發(fā)送給接受者
接受者使用相同密碼對消息原文進(jìn)行加密得到新的MAC，比較新的MAC和隨消息一同發(fā)過來的MAC，如果相同則沒有被篡改

生成消息認(rèn)證碼的方法
基于加密函數(shù)的認(rèn)證碼和消息摘要（散列函數(shù)）

消息認(rèn)證符可以是整個64位的On，也可以是On最左邊的M位

消息編碼

基本思想：
引入冗余度，使得通過信道傳輸可能序列集M（編碼集）,大于消息集S（消息集）。
發(fā)送方從M中選出代表信息的可用序列Li，即對信息進(jìn)行編碼。
接收方根據(jù)編碼規(guī)則，進(jìn)行解碼，還原出發(fā)送方按此規(guī)則向他傳來的信息。
竄擾者不知道被選定的編碼規(guī)則，因而所偽造的假碼字多是M中的禁用序列，接收方將以很高的概率將其檢測出來，并拒絕通過認(rèn)證。

散列函數(shù) （哈希函數(shù)）

目的：
將任意長的消息映射為一個固定長度的散列值（hash值），也稱為消息摘要。消息摘要可以作為認(rèn)證符，完成消息認(rèn)證
散列函數(shù)的健壯性：

• 弱無碰撞特性
  • 在明文空間中給定消息x∈X，在計(jì)算上找不到相同的x’∈X，使得h（x）=h（x’）
• 強(qiáng)無碰撞特性
  • 在計(jì)算上難以找到與x相異的x’，滿足h(x)=h(x’)，x’可以不屬于X
• 單向性
  • 通過h的你函數(shù)h^-1來求得散列值h(x)的消息原文x，在計(jì)算上不可行

消息摘要的長度應(yīng)不低于128位

第一段為消息

第二段為填充值

第三段為消息長度

進(jìn)行切塊，每一塊長度為512位

然后依次與IV進(jìn)行壓縮，最后得到散列值

常用的散列函數(shù)

• MD5（128位）
• SHA-1（160位）
• SHA-2(sh2-224,sh2-256,sh2-384,sh2-512)
• SHA-3(sh3-224,sh3-256,sh3-384,sh3-512)
• SM3(256位)

數(shù)字簽名

Digital Signature

定義：通過某種密碼運(yùn)算，生成一系列符號和代碼，用于確認(rèn)數(shù)據(jù)單元來源以及完整性

兩種形式：

• 一種是對整個消息的簽名
• 一種是對壓縮消息的簽名
  他們都是附加在被簽名信息之后某一特定位置上的一段數(shù)據(jù)信息

目的：保證接收方能夠確認(rèn)或驗(yàn)證發(fā)送方的簽名，但不能偽造；發(fā)送方發(fā)出簽名消息后，不能否認(rèn)所簽發(fā)的消息。

三點(diǎn)目的：

• 收信人可以驗(yàn)證發(fā)信人身份
• 對消息完整性進(jìn)行認(rèn)證
• 抗抵賴服務(wù)

數(shù)字簽名滿足以下條件

簽名基于一個待簽名信息的位串模板

簽名使用對發(fā)送方來說是唯一的消息，不能重復(fù)

易于生成，識別和驗(yàn)證數(shù)字簽名

偽造數(shù)字簽名在計(jì)算復(fù)雜性意義上具有不可行性

數(shù)字簽名的生成和驗(yàn)證

消息報文散列后用私鑰加密，得到數(shù)字簽名

將消息報文與數(shù)字簽名連接，發(fā)送給對方

另一方得到消息后將消息報文散列，并將數(shù)字簽名用公鑰解密

對比散列后的消息報文與解密后的數(shù)字簽名是否相同

相同則消息完整，不同則無法驗(yàn)證發(fā)送者及完整性

---

物理安全

概述

物理安全：實(shí)體安全與環(huán)境安全
實(shí)體安全：

• 防火
• 防盜
• 防靜電
• 防雷擊

環(huán)境安全：

• 防電磁泄露
• 防竊聽
• 物理隔離

解決兩個方面問題：
對信息系統(tǒng)實(shí)體的保護(hù)
對可能造成信息泄露的物理問題進(jìn)行防范

物理安全技術(shù)包括：
防盜，防火，防靜電，防雷擊，防信息泄露，物理隔離
基于物理環(huán)境的容災(zāi)技術(shù)也屬于物理安全技術(shù)范疇

物理安全是信息安全的必要前提

設(shè)備安全防護(hù)

防盜

• 安全保護(hù)設(shè)備：紅外報警器，微波報警器、
  根據(jù)系統(tǒng)安全等級安裝相應(yīng)報警系統(tǒng)
• 防盜技術(shù)
  • 標(biāo)識
  • 防盜接線板
  • 火災(zāi)報警系統(tǒng)
  • 監(jiān)控

防火

原因：電氣原因，人為因素，外部火災(zāi)蔓延
措施：

• 計(jì)算機(jī)中心選址
• 建筑物耐火等級
• 不間斷供電系統(tǒng)，自備供電系統(tǒng)
• 防雷設(shè)施，抗靜電地板
• 嚴(yán)禁存放腐蝕性或易燃易爆物品
• 禁止吸煙

防靜電

略

防雷擊

措施：

• 接閃
• 接地
• 分流
• 屏蔽

放信息泄露

電磁泄露

• 電磁干擾EMI：一切與信號無關(guān)的對電器及電子設(shè)備產(chǎn)生不良影響的電磁發(fā)射
• 防止EMI：減少設(shè)備電磁發(fā)射；提高設(shè)備電磁兼容性EMC

電磁兼容性EMC：電子設(shè)備在自己正常工作時產(chǎn)生的電磁環(huán)境，與其他設(shè)備之間不相互影響的電磁特性

TEMPEST技術(shù)：
了解即可

防電磁信息泄露

抑制電磁發(fā)射，減小紅區(qū)電路電磁發(fā)射

屏蔽隔離，在周圍用屏蔽材料使紅信號電磁發(fā)射場衰減到足夠小

相關(guān)干擾，采取措施使相關(guān)電磁發(fā)射泄露即使被接受到也無法識別

竊聽

檢測：主動檢查是否存在竊聽器（電纜加壓技術(shù)，電磁輻射檢測法，激光檢測技術(shù)）

防御：對原始信息進(jìn)行加密處理，電磁信號屏蔽。

物理隔離

概念

早期為斷開線路
現(xiàn)在指通過制造物理的豁口，達(dá)到物理隔離的目的

表現(xiàn)

阻斷網(wǎng)絡(luò)的直接鏈接

阻斷網(wǎng)絡(luò)的Internet邏輯鏈接

隔離設(shè)備的傳輸機(jī)制有不可編程的特性

任何數(shù)據(jù)都是通過兩級移動代理的方式完成

隔離設(shè)備具有審查的功能

隔離設(shè)備為傳輸?shù)脑紨?shù)據(jù)，不具有攻擊或?qū)W(wǎng)絡(luò)安全有害的特性

強(qiáng)大的管理和控制功能

從隔離的內(nèi)容看，隔離分為網(wǎng)絡(luò)隔離和數(shù)據(jù)隔離

物理隔離和邏輯隔離

物理隔離：
不安全就不聯(lián)網(wǎng)，要保證絕對安全
邏輯隔離：
在保證網(wǎng)絡(luò)正常使用下，盡可能安全

內(nèi)部網(wǎng)和外網(wǎng)之間實(shí)現(xiàn)物理隔離，外網(wǎng)和公網(wǎng)之間實(shí)現(xiàn)邏輯隔離

物理隔離基本形式

內(nèi)外網(wǎng)絡(luò)無連接

客戶端物理隔離

網(wǎng)絡(luò)設(shè)備端物理隔離

服務(wù)端物理隔離

容錯與容災(zāi)

容錯

保證信息系統(tǒng)可靠性三條途徑：

避錯：完善設(shè)計(jì)和制造，設(shè)計(jì)一個故障盡量少的系統(tǒng)

糾錯：出現(xiàn)故障，則通過檢測，排除來消除故障

容錯：即使出現(xiàn)了錯誤，系統(tǒng)也可執(zhí)行一組規(guī)定的程序，來減少錯誤造成的損失

容錯系統(tǒng)可分為五種類型：

高可用度系統(tǒng)：可用度用系統(tǒng)在某時刻可以運(yùn)行的概率衡量，用于執(zhí)行無法預(yù)測的用戶程序，主要面向商業(yè)市場

長壽命系統(tǒng)：在其生命期內(nèi)不能進(jìn)行人工維修，常用于航天領(lǐng)域

延遲維修系統(tǒng)：一段時間內(nèi)不需要維修，也用于航天領(lǐng)域

高性能系統(tǒng)：對故障非常敏感，要求具有瞬間故障的自行恢復(fù)能力

關(guān)鍵人物系統(tǒng)：出錯可能造成重大損失，要求確保無誤，故障恢復(fù)時間短

常用的數(shù)據(jù)容錯技術(shù)：

空閑設(shè)備：也叫雙件熱備，備份兩套相同的部件

鏡像：一個工作交給兩個相同的部件執(zhí)行

復(fù)現(xiàn)：兩個系統(tǒng)，源系統(tǒng)和輔助系統(tǒng)，輔助系統(tǒng)接受數(shù)據(jù)存在一定延遲

負(fù)載均衡：將一個任務(wù)分解為多個子任務(wù)，分配給不同的服務(wù)器執(zhí)行。

容災(zāi)

解決方案：

• 對服務(wù)的維護(hù)與恢復(fù)
• 保護(hù)或恢復(fù)丟失的，被破壞的或被刪除的信息
• 數(shù)據(jù)和系統(tǒng)的備份和還原

---

身份認(rèn)證

概述

什么是身份認(rèn)證？
身份認(rèn)證是證實(shí)用戶的真實(shí)身份和其所聲稱的身份是否相符的過程
身份認(rèn)證的依據(jù)應(yīng)包含只有該用戶特有的，并可以驗(yàn)證的特定信息

• 用戶所知道或所掌握的信息，如密碼，口令(基于口令的認(rèn)證技術(shù))
• 用戶所擁有的特定東西，如身份證，護(hù)照，密鑰（基于密碼學(xué)的認(rèn)證技術(shù)）
• 用戶所擁有的個人特征，如指紋，虹膜，DNA,人臉等（基于生物特征的認(rèn)證技術(shù)）

身份認(rèn)證的分類
根據(jù)認(rèn)證條件的數(shù)目分類：
單因子認(rèn)證，雙因子認(rèn)證，多因子認(rèn)證
根據(jù)認(rèn)證數(shù)據(jù)的狀態(tài)來看：

• 靜態(tài)數(shù)據(jù)認(rèn)證：用于識別用戶身份的認(rèn)證數(shù)據(jù)事先已產(chǎn)生并保存在特定的存儲介質(zhì)上，如密碼
• 動態(tài)數(shù)據(jù)認(rèn)證：用于識別用戶身份的認(rèn)證數(shù)據(jù)不斷動態(tài)變化，每次認(rèn)證使用不同的認(rèn)證數(shù)據(jù)，即動態(tài)密碼，如驗(yàn)證碼

認(rèn)證協(xié)議

• 以網(wǎng)絡(luò)為背景的認(rèn)證技術(shù)的核心技術(shù)是密碼學(xué)，對稱密碼和公開密碼是主要技術(shù)
• 實(shí)現(xiàn)認(rèn)證必須要求示證方和驗(yàn)證方遵循一個特定的規(guī)則來實(shí)施認(rèn)證，這個規(guī)則叫做認(rèn)證協(xié)議
• 認(rèn)證過程的安全取決于認(rèn)證協(xié)議的完整性和健壯性

基于對稱密鑰的認(rèn)證協(xié)議

• 示證方和驗(yàn)證方共享密鑰，通過共享密鑰來維系彼此的信任關(guān)系，實(shí)際上認(rèn)證就是建立某種信任關(guān)系的過程
• 在只有少量用戶的封閉式網(wǎng)絡(luò)系統(tǒng)中，共享密鑰的數(shù)量有限，可以采用挑戰(zhàn)-應(yīng)答方式實(shí)現(xiàn)認(rèn)證
• 在規(guī)模較大的網(wǎng)絡(luò)系統(tǒng)，采用密鑰服務(wù)器實(shí)現(xiàn)認(rèn)證，即依靠可信的第三方完成認(rèn)證

基于挑戰(zhàn)-應(yīng)答方式的認(rèn)證協(xié)議

A->B:IDa||IDb 用戶a給用戶b發(fā)送了a和b的ID表示通信請求

B->A:Nb 用戶b驗(yàn)證用戶a的身份，生成一個隨機(jī)數(shù)Nb發(fā)送給a

**A->B:Ek（Nb）**用戶a用共享密鑰Ek加密Nb發(fā)回給b

b用共享密鑰Ek解密a發(fā)給它的信息，解密后與Nb相同則說明有相同的共享密鑰，證明對方為a，挑戰(zhàn)應(yīng)答成功

Needham-Schroeder認(rèn)證協(xié)議

• 所有的使用者信任一個公正的第三方，第三方被稱為認(rèn)證服務(wù)
• 每個使用者需要在認(rèn)證服務(wù)器AS上完成注冊
• AS保存每一個用戶的信息并與每一個用戶共享一個對稱密鑰

**A->KDC: IDa||IDb||N1 **

• A通知KDC（AS，密鑰分配中心）要與B進(jìn)行通信，同時發(fā)送隨機(jī)數(shù)N1

KDC->A:Eka[Ks||IDb||N1||Ekb[Ks||IDa]]

• KDC應(yīng)答A一組用a的密鑰加密的信息，包含A與B通話的密鑰Ks，用戶b的ID，隨機(jī)數(shù)N1，用用戶b密鑰加密的Ks以及用戶A的ID

A->B: Ekb[Ks||IDa]

• 用戶a解密KDC發(fā)過來的信息，得到共享密鑰Ks，并將其中的Ekb[Ks||IDa]原樣不動地發(fā)給用戶b（用戶a轉(zhuǎn)發(fā)KDC給b的內(nèi)容）

B->A: Eks[N2]

• 用戶b用ks加密挑戰(zhàn)值N2，并發(fā)送給A等待A的回復(fù)認(rèn)證信息

A->B: Eks[f(N2)]

• 用戶A還原N2后，根據(jù)事先約定好的約定f（x），計(jì)算f（N2），再用Ks加密后，發(fā)給N2，回應(yīng)b的挑戰(zhàn)，完成認(rèn)證，隨后a和b使用Ks進(jìn)行加密通信

該協(xié)議的漏洞

攻擊方C掌握a和吧之間的一個老的會話密鑰Ks
C可以在第三步冒充A用老的會話密鑰欺騙b，以a的身份與b進(jìn)行會話重放攻擊

Kerbero協(xié)議

Kerberos是通過對稱密鑰系統(tǒng)為用戶機(jī)/服務(wù)器應(yīng)用程序提供強(qiáng)大的第三方認(rèn)證服務(wù)

• 每個用戶或應(yīng)用服務(wù)器與Kerberos分享一個對稱密鑰
• 由兩部分組成：
  • 認(rèn)證服務(wù)器AS
  • 票據(jù)授予服務(wù)器TGS
• 允許一個用戶通過交換加密信息在整個網(wǎng)絡(luò)與另一個用戶或應(yīng)用服務(wù)器互相證明身份，Kerberos為通訊雙方提供對稱密鑰
• 票據(jù)Ticket是客戶端用于證明自己身份并可以傳遞通訊會話密鑰的認(rèn)證資料
  • AS負(fù)責(zé)簽發(fā)訪問TGS服務(wù)器的票據(jù)
  • TGS負(fù)責(zé)簽發(fā)訪問其他應(yīng)用服務(wù)器的票據(jù)

第一階段：身份驗(yàn)證服務(wù)交換 （完成身份認(rèn)證，獲得訪問TGS的票據(jù)）

• C->AS: IDc||IDtgs||TS1
  • 用戶c向as發(fā)送c和tgs的id，代表訪問tgs的請求，TS1是時間戳，代表發(fā)送請求的時間，用于防止重放攻擊
• AS->C: Ekc[KC,tgs||Dtgs||TS2||Lifetime2||Tickettgs]
  • as收到請求后返回用Kc（as和用戶c的共享密鑰）加密的信息，第一條Kc，tgs是用戶c和tgs通信的會話密鑰，第二個IDtgs是tgs的ID，第二個是as返回消息的時間戳，Lifetime是這一條消息的有效時間，Tickettgs是用戶c訪問tgs的票據(jù)
• Tickettgs = Ektgs[Kc,tgs||IDc||ADc||IDtgs||TS2||Lifetime2]
  • 用戶c用于訪問tgs的票據(jù)，用EKtgs加密，用戶c無法解密，第一條是用戶Kc，tgs是用戶c和tgs通信的會話密鑰，第二條IDc是用戶c的ID，ADc是用戶c的網(wǎng)絡(luò)地址，IDtgs是tgs的ID，TS2是as返回用戶c的時間戳，Lifetime是有效時間，用于防止重放攻擊

第二階段：票據(jù)授予服務(wù)交換 （獲取訪問服務(wù)器V的票據(jù)）

• C->TGS: IDv||Tickettgs||Authenticator
  • 用戶c向TGS發(fā)送消息，用于申請?jiān)L問服務(wù)器v，第一條IDv代表用戶要訪問服務(wù)器v，第二條是as簽發(fā)的訪問票據(jù)，Authenticatorc是由Ekc（as簽發(fā)的c與tgs之間的會話密鑰）加密的信息。
• TGS->C: EKc,tgs[Kc,v||IDv||TS4||Ticketv]
  • TGS向用戶c回復(fù)了c和tgs會話密鑰加密的信息，第一部分Kc,v是用戶c與服務(wù)器v的會話密鑰，第二部分IDv是服務(wù)器v的id，第三部分TS4是這一條消息的時間戳，Ticketv是用戶c訪問服務(wù)器v的票據(jù)
• Authenticatorc=EKc,tgs[IDc||ADc||TS3]
  • 用于驗(yàn)證時效性
• Ticketv=Ekv[Ec,v||IDc||ADc||IDv||TS4||Lifetime4]
  • 用服務(wù)器v的密鑰加密，第一條消息Kc，v是用戶c與服務(wù)器v之間通信的會話密鑰，IDc是用戶c的id，ADc是用戶c的網(wǎng)絡(luò)地址，IDv是服務(wù)器v的id，TS4是tgs向用戶c返回消息的時間戳，Lifetime是有效時間，用于防止重放攻擊

第三階段：用戶與服務(wù)器身份驗(yàn)證交換

• C->V: Ticketv||Authenticatorc
  • 用戶c向服務(wù)器v發(fā)送訪問服務(wù)器v的票據(jù)以及驗(yàn)證時效性的信息，作為服務(wù)請求
• V->C: Ekc,v[TS5+1]
  • 客戶端v向用戶c發(fā)起可選的身份驗(yàn)證，用于實(shí)現(xiàn)雙向認(rèn)證
• Authenticatorc=EKc,v[IDc||ADc||TS5]

Windows系統(tǒng)的安全認(rèn)證

• 兩種類型：
  • 本機(jī)登錄（不聯(lián)網(wǎng)）
  • 登錄域服務(wù)器
• 客戶端與域控制器有共享口令
• 用戶如想登錄操作系統(tǒng)，首先創(chuàng)建賬號，賬號信息保留在系統(tǒng)內(nèi)部，每次登錄由Winlogon輸入用戶名口令
• 口令會被散列函數(shù)求散列值，同時Winlogon向域控制器請求登錄
• 域控制器取用戶口令散列，然后產(chǎn)生8字節(jié)的質(zhì)詢，向客戶端發(fā)送質(zhì)詢
• 客戶端收到挑戰(zhàn)后用口令的散列值對質(zhì)詢進(jìn)行散列，然后把散列后的值發(fā)給域控制器
• 同時域控制器也對用戶口令散列，對質(zhì)詢進(jìn)行散列
• 然后域控制器比對兩個散列值，如果相同，登錄成功，否則失敗。
• 用戶登錄時的口令并沒有在網(wǎng)絡(luò)上傳輸，極大地提高了安全性

基于公開密鑰的認(rèn)證協(xié)議

基于公開密鑰身份認(rèn)證協(xié)議有兩種形式：

• 方式一是實(shí)體a需要認(rèn)證實(shí)體b，a發(fā)送一個明文挑戰(zhàn)消息（挑戰(zhàn)因子，通常是隨機(jī)數(shù)）給b，b收到挑戰(zhàn)后，用自己私鑰對挑戰(zhàn)明文消息加密，稱為簽名，b將簽名消息發(fā)送給a，a使用b的公鑰來解密簽名消息，稱為驗(yàn)證簽名，以此來確定b是否具有合法身份
• 方式二是實(shí)體a將挑戰(zhàn)因子用實(shí)體b的公鑰加密后發(fā)送給b，b收到后用自己的私鑰解密還原出挑戰(zhàn)因子，并將挑戰(zhàn)因子原文發(fā)還給a，a可以根據(jù)挑戰(zhàn)因子內(nèi)容的真?zhèn)蝸砗藢?shí)b的身份

Needham-Schroeder公鑰認(rèn)證

不需要可信的第三方

A->B:EK∪b[IDa||Ra]

• a給b發(fā)送用b的公鑰加密的a的id IDa和挑戰(zhàn)因子Ra，確保只有b才能使用私鑰解密，即a對b進(jìn)行挑戰(zhàn)應(yīng)答

B->A:Ek∪a[Ra||Rb]

• b用自己私鑰解密出Ra后用a的公鑰加密，并給a發(fā)送用a的公鑰加密的a的挑戰(zhàn)因子Ra和b的挑戰(zhàn)因子Rb，確保只有a才能使用私鑰解密，即b回復(fù)a的挑戰(zhàn)應(yīng)答，同時b對a進(jìn)行挑戰(zhàn)應(yīng)答

A->B:Ek∪b[Rb]

• a用自己私鑰解密出Rb后用b的公鑰加密，發(fā)送給b，即回復(fù)b的挑戰(zhàn)應(yīng)答。這樣，雙向的挑戰(zhàn)應(yīng)答完成。

有一個問題：如何確定對方的公鑰是真實(shí)的？
如果黑客用自己的公鑰替代b的公鑰，則可以冒充b的身份

基于CA數(shù)字證書的認(rèn)證協(xié)議

數(shù)字證書是一個經(jīng)過權(quán)威的可信賴的公正的第三方機(jī)構(gòu)（CA認(rèn)證中心）簽名的包含擁有者信息及公開密鑰的文件

范疇內(nèi)容

-	版本，證書序列號
簽名算法標(biāo)識	算法，參數(shù)
-	簽發(fā)者
有效期	生效時間，終止時間
主題公鑰信息	算法，參數(shù)，密鑰
-	發(fā)行商唯一標(biāo)識
-	證書主體唯一標(biāo)識
-	拓展
簽名	算法，參數(shù)，密鑰

基于數(shù)字簽名進(jìn)行身份認(rèn)證的過程

示證方向CA中心申請數(shù)字證書

CA向示證方頒發(fā)數(shù)字證書

A簽名的信息+A的數(shù)字證書發(fā)送給驗(yàn)證方

驗(yàn)證方從CA獲取示證方公鑰

驗(yàn)證方驗(yàn)證數(shù)字證書和簽名信息

公鑰基礎(chǔ)設(shè)施PKI

公鑰基礎(chǔ)設(shè)施PKI是一種遵循一定標(biāo)準(zhǔn)的密鑰管理基礎(chǔ)平臺，為所有網(wǎng)絡(luò)應(yīng)用提供加密和數(shù)字簽名等密碼服務(wù)所必須的密鑰和證書管理

• PKI就是利用公鑰理論和技術(shù)建立的提供安全服務(wù)的基礎(chǔ)設(shè)施
• 用戶可利用PKI平臺提供的服務(wù)進(jìn)行安全的電子交易，通信和互聯(lián)網(wǎng)上的各種活動

• 最外層是PKI應(yīng)用接口，面向應(yīng)用程序和面向用戶提供密鑰和證書管理服務(wù)的接口
• 中間一層是PKI組成部分
  • 認(rèn)證機(jī)構(gòu)CA
  • 證書庫
  • 證書撤銷處理
  • 密鑰備份以及恢復(fù)
• 核心是公鑰算法和數(shù)字證書

基于X.509的PKI系統(tǒng)

X.509是數(shù)字證書標(biāo)準(zhǔn)格式

• 包含一組按預(yù)定義排列的強(qiáng)制字段
• 還包括可選拓展字段
• 它為大多數(shù)數(shù)字段提供了多種編碼方案
  

分層次，A為上層，BHP為中層，依次往下

用戶a的證書鏈：KRa < CAb > KRb < CAc > KRc < CAd > KRd < CAa >
其實(shí)是A->B->C->D->a

一種典型的PKI模型

• RA服務(wù)器處理證書申請，證書審核
• 安全服務(wù)器負(fù)責(zé)監(jiān)控RA和CA的安全
• 數(shù)據(jù)庫服務(wù)器用于存儲用戶信息和密鑰
• LDAP是輕量級分布式目錄訪問協(xié)議，用于實(shí)現(xiàn)證書下載和查詢
• CRL是證書撤銷列表，查詢CRL可以得知證書是否撤銷

PKI系統(tǒng)功能

• 接收驗(yàn)證用戶數(shù)字證書的申請
• 確定是否接收用戶數(shù)字證書的申請
• 向申請者頒發(fā)或拒絕頒發(fā)數(shù)字證書
• 接收，處理用戶的數(shù)字證書更新請求
• 接收用戶數(shù)字證書的查詢和撤銷
• 產(chǎn)生和發(fā)布數(shù)字證書的有效期
• 數(shù)字證書的歸檔
• 密鑰歸檔
• 歷史數(shù)據(jù)歸檔

---

訪問控制

概述

• 身份認(rèn)證：識別用戶是誰的問題
• 訪問控制：管理用戶對資源的訪問

訪問控制模型基本構(gòu)成：主題，客體，訪問控制策略

• 主體：是指提出訪問請求的實(shí)體，是動作的發(fā)起者，但不一定是動作的執(zhí)行者。主體可以是用戶或其他代理用戶行為的實(shí)體（如進(jìn)程，作業(yè)和程序等）
• 客體：是指可以接收主體訪問的被動實(shí)體。客體的內(nèi)涵很廣泛，凡是可以被操作的信息，資源對象都可以認(rèn)為是客體（如音視頻服務(wù)，打印服務(wù)，文件服務(wù)，數(shù)據(jù)庫服務(wù)）
• 訪問控制策略：是指主體對客體的操作行為和約束條件的關(guān)聯(lián)集合。簡單地說，訪問策略是主體對客體的訪問規(guī)則集合，這個規(guī)則集合可以直接決定主體是否可以對客體實(shí)施特定的操作

訪問控制模型

• 可信計(jì)算機(jī)系統(tǒng)評估準(zhǔn)則TCSEC描述了兩種著名的訪問控制模型
  • 自主訪問控制DAC（Discretionary Access Control）
  • 強(qiáng)制訪問控制MAC（Mandatory Access Control）
• 基于角色的訪問控制RBAC(Role Based Access Control)模型

自主訪問控制模型DAC

• 根據(jù)自主訪問策略建立的一種模型
• 允許合法用戶以用戶或用戶組的身份來訪問系統(tǒng)控制策略許可的客體，同時組織非授權(quán)用戶訪問客體
• 某些用戶還可以自主地把自己所擁有的的客體訪問權(quán)限授予其他用戶
• 在UNIX,LINUX,Windows NT 等操作系統(tǒng)都提供自主訪問控制的功能

訪問權(quán)限信息存儲

• 訪問控制表ACL（Access Control Lists）
• 訪問控制能力表ACCL（Access Control Capability Lists）
• 訪問控制矩陣ACM（Access Control Matrix）

訪問控制列表ACL
以訪問客體為觀察對象，考察各個訪問主體（用戶）對其的權(quán)限（讀，寫，執(zhí)行）

訪問控制能力表ACCL
以訪問主體（用戶）為觀察對象，考察它對各個訪問客體的權(quán)限（讀，寫，執(zhí)行）

訪問控制矩陣ACM
從訪問客體和訪問主體兩個維度共同考察權(quán)限

強(qiáng)制訪問控制模型MAC

強(qiáng)制訪問控制MAC是一種多級訪問控制策略

• 系統(tǒng)事先給訪問主體和受控客體分配不同的安全級別屬性
• 在實(shí)施訪問控制時，系統(tǒng)先對訪問主體和受控客體的安全級別進(jìn)行比較，再決定訪問主體能否訪問該受控客體

MAC模型形式化描述

• 主體類S和客體類O
• 安全類SC（x）=<L,C>
  • L為有層次的安全級別Level
  • C為無層次的安全范疇Category

主體和客體均可以用安全類進(jìn)行形式化描述

訪問的四種形式

向下讀（RD，Read Down）

• 主體安全級別高于客體信息資源的安全級別時SC（s）≥SC（o），允許讀操作

向上讀（RU，Read Up）

• 主體安全級別低于客體信息資源的安全級別時SC（s）≤SC（o），允許讀操作

向下寫（WD，Write Down）

• 主體安全級別高于客體信息資源的安全級別時SC（s）≥SC（o），允許寫操作

向上寫（WU，Write Up）

• 主體安全級別低于客體信息資源的安全級別時SC（s）≤SC（o），允許寫操作

MAC的兩種常用模型

Bell-LaPadula模型

• 向下讀
• 向上寫
• 防止信息向下級泄露，包含機(jī)密性

Bida模型

• 向下寫
• 向上讀
• 保護(hù)數(shù)據(jù)完整性

基于角色的訪問控制模型RBAC

組Group的概念，一般認(rèn)為Group是具有某些相同特質(zhì)的用戶集合
在UNIX操作系統(tǒng)中Group可以被看成是擁有相同訪問權(quán)限的用戶集合

• 定義用戶組時會為該組授予相應(yīng)的訪問權(quán)限
• 如果一個用戶加入了該組，則該用戶具有了該用戶組的訪問權(quán)限

角色Role是一個與特定工作活動相關(guān)聯(lián)的行為和責(zé)任的集合

• Role不是用戶的集合，這就與組Group不同
• 當(dāng)一個角色與一個組綁定，這個組就擁有了該角色擁有的特定工作的行為能力和責(zé)任
• 組Group和用戶User都可以看成是角色分配的單位和載體
• 而一個角色Role可以看成具有某種能力或某些屬性的主體的一個抽象

引入角色Role的目的

• 為了隔離User與Privilege
• Role作為一個用戶與權(quán)限的代理層，所有的授權(quán)應(yīng)該授予Role而不是直接給User或Group
• RBAC模型的基本思想是將訪問權(quán)限分配給一定的角色，用戶通過飾演不同的角色獲得角色所擁有的訪問許可權(quán)

例子
在一個公司中，用戶角色Role可以定義為經(jīng)理，會計(jì)，出納員，審計(jì)員，具體的權(quán)限如下：

• 經(jīng)理：允許查詢公司的經(jīng)營情況和財(cái)務(wù)信息，但不允許修改具體的財(cái)務(wù)信息，必要時可以根據(jù)財(cái)務(wù)憑證支付和收取現(xiàn)金，并編制銀行帳和現(xiàn)金帳
• 會計(jì)：允許根據(jù)實(shí)際情況編制各種財(cái)務(wù)憑證和賬簿，但不包括銀行帳和現(xiàn)金帳
• 出納員：允許根據(jù)財(cái)務(wù)憑證支付和收取現(xiàn)金，并編制銀行帳和現(xiàn)金賬
• 審計(jì)員：允許查詢審查公司的經(jīng)營狀況和財(cái)務(wù)信息，但不允許修改任何賬目

RBAC的策略陳述易于被非技術(shù)的組織策略者理解，既具有基于身份策略的特征，也具有基于規(guī)則策略的特征
在基于組或角色的訪問控制中，一個用戶可能不只是一個組或角色的成員，有時又可能有所限制
例如經(jīng)理也可以充當(dāng)出納員的角色，但不能負(fù)責(zé)會計(jì)工作，即各角色直接存在相容和相斥的關(guān)系

制定訪問控制策略的三個基本原則
最小特權(quán)原則

• 是指主體執(zhí)行操作時，按照主體所需權(quán)利的最小化原則分配給主體權(quán)利
• 最小權(quán)限原則的優(yōu)點(diǎn)是最大限度地限制了主體實(shí)施授權(quán)行為，可以減少來自突發(fā)事件和錯誤操作帶來的危險

最小泄露原則

• 是指主體執(zhí)行任務(wù)時，按照主體所需要的最小化原則分配給主體訪問權(quán)限

多級安全策略

• 是指主體和客體間的數(shù)據(jù)流方向必須受到安全等級的約束。多級安全策略的優(yōu)點(diǎn)是避免敏感信息的擴(kuò)散
• 對于具有安全級別的信息資源，只有安全級別比他高的主體才能對其訪問

Windows系統(tǒng)的安全管理

Windows系統(tǒng)安全體系結(jié)構(gòu)

• 最外層是用戶認(rèn)證，驗(yàn)證用戶的身份，誰能登錄，誰不能登錄（基礎(chǔ)）
• 最內(nèi)層是安全策略，決定了系統(tǒng)安全各個組件如何配合工作（核心）
• 第二層是加密和訪問控制，加密實(shí)現(xiàn)用戶和系統(tǒng)直接通信的機(jī)密性，訪問控制能決定主體對客體的訪問權(quán)限，誰能做什么，誰能訪問什么資源（重要組成部分）
• 第三層管理和審計(jì)，管理是系統(tǒng)配置，提供用戶控制系統(tǒng)的接口，審計(jì)是在發(fā)生安全事件時追責(zé)，通過查看日志查看安全事件是如何發(fā)生的

安全主體
Windows系統(tǒng)的安全性主要圍繞安全主體展開，保護(hù)其安全性
安全主體包括用戶，組，計(jì)算機(jī)，域

• 用戶是Windows系統(tǒng)中操作計(jì)算機(jī)資源的主體，每個用戶必須先行加入Windows操作系統(tǒng)，并被指定為唯一的用戶
• 組是用戶賬戶集合的一種容器，同時組也被授予了一定的訪問權(quán)限，防盜一個組中的所有賬戶都會繼承這些權(quán)限
• 計(jì)算機(jī)是指一臺獨(dú)立計(jì)算機(jī)的全部主體和客體資源的集合，也是Windows系統(tǒng)管理的獨(dú)立單元
• 域是使用域控制器（DC，Domain Controller）進(jìn)行集中管理的網(wǎng)絡(luò)，域控制器是共享的域信息的安全存儲倉庫，同時也作為域用戶認(rèn)證的中央控制機(jī)構(gòu)

安全子系統(tǒng)

• windows安全服務(wù)由安全子系統(tǒng)提供
• 最底層交安全參考監(jiān)視器SRM，運(yùn)行在內(nèi)核模式，是Windows安全子系統(tǒng)核心，負(fù)責(zé)身份認(rèn)證，訪問控制和審計(jì)
• 上部分交本地安全機(jī)構(gòu)LSA，運(yùn)行在用戶模式，主要有系統(tǒng)登錄進(jìn)程WInlogon，本地安全機(jī)構(gòu)子系統(tǒng)LSASS
• Winlogon是負(fù)責(zé)用戶登錄的進(jìn)程，會調(diào)用圖形化識別和認(rèn)證進(jìn)程Gina（就是登錄界面）
• 本地安全機(jī)構(gòu)子系統(tǒng)由SAM服務(wù)，NetLogon和LSA服務(wù)組成
  • SAM服務(wù)是一個數(shù)據(jù)庫，用于存儲用戶賬戶和口令（密碼）信息的數(shù)據(jù)庫
  • NetLogon是進(jìn)行域登錄，網(wǎng)絡(luò)登錄的數(shù)據(jù)庫
  • LSA服務(wù)負(fù)責(zé)訪問控制和審計(jì)，審計(jì)是通過一定策略記錄系統(tǒng)中發(fā)生的事件，故用到事件記錄器
  • 他們調(diào)用了兩個dll文件：
    • Mav1_0.dll負(fù)責(zé)登錄
    • Kerberos負(fù)責(zé)網(wǎng)絡(luò)身份認(rèn)證

Windows登錄認(rèn)證流程

• Winlogon調(diào)用GINA進(jìn)行（圖形化登錄進(jìn)程）
• GINA調(diào)用本地安全服務(wù)LSA實(shí)現(xiàn)登錄認(rèn)證
• 本地安全服務(wù)會加載認(rèn)證包（Authentication Packages）
• 認(rèn)證包提供認(rèn)證服務(wù)
• SSPI安全服務(wù)提供者接口是用于登錄的接口
• SAM安全賬戶管理器
• Netlogon網(wǎng)絡(luò)登錄

Windows系統(tǒng)的訪問控制

訪問控制的組成：

• 訪問令牌（AccessToken）和安全描述符（Security Descriptor），他們分別被訪問者和被訪問者持有。通過訪問令牌和安全描述符的內(nèi)容，Windows可以確定持有令牌的訪問者能否訪問持有安全描述符的對象

訪問控制的基本控制單元“賬戶”

• 賬戶是一種參考上下文，是一個具有特定約束條件的容器，也可以理解為背景環(huán)境
• 操作系統(tǒng)在這個上下文描述符上運(yùn)行該賬戶的大部分代碼
• 那些在登錄之前就運(yùn)行的代碼（例如服務(wù)）運(yùn)行在一個賬戶（特殊的本地系統(tǒng)賬戶SYSTEM）的上下文中

安全標(biāo)識符SID
Windows中的每個賬戶或賬戶組都有一個安全標(biāo)識符SID（Security Identity）
Administrator和Users等賬戶或者賬戶組在Windows內(nèi)部均采用SID來標(biāo)識的
每個SID在同一個系統(tǒng)中都是唯一的

• 例如S-1-5-21-1507001333-1204550764-1011284298-500就是一個完整的SID
• 第一個數(shù)字1是修訂版本編號
• 第二個數(shù)字5是標(biāo)識符頒發(fā)機(jī)構(gòu)代碼
• 4個子頒發(fā)機(jī)構(gòu)代碼
• 最后一個數(shù)叫相對標(biāo)識符RID（Relative Identifier）RID 500代表Administrator賬戶，RID501是Guest賬戶，從1000開始的RID代表用戶賬戶

訪問令牌

• 每個訪問令牌都與特定的Windows賬戶相關(guān)聯(lián)，訪問令牌包含該賬戶的SID，所屬組的SID以及賬戶的特權(quán)信息
• 查看當(dāng)前登錄用戶訪問令牌的命令whoami /all
• 當(dāng)一個賬戶登錄的時候，LSA從內(nèi)部數(shù)據(jù)庫里讀取該用戶的信息，然后使用這些信息生成一個訪問令牌
• 令牌相當(dāng)于用戶訪問系統(tǒng)資源的票證，在該用戶環(huán)境中啟動的進(jìn)程或線程，都會獲得這個令牌的一個副本
• 當(dāng)用戶試圖訪問系統(tǒng)資源時，需要將令牌提供給SRM，SRM檢查用戶試圖訪問的資源的ACL如果用戶允許訪問該資源，會給用戶分配適當(dāng)?shù)臋?quán)限

• 兩個訪問者線程A和B，他們分別具有對應(yīng)的訪問令牌
• 線程A有Smith和組ABC的訪問令牌
• 線程B有Bob和組A的訪問令牌
• 左部分是安全描述符，包括對象擁有者的SID，范圍控制列表（自主訪問控制列表，系統(tǒng)訪問控制列表）
  • 禁止Smith讀寫執(zhí)行
  • 允許組A讀
  • 允許所有人讀執(zhí)行

活動目錄和組策略

活動目錄AD

• 活動目錄AD（Active Directory）是一個面向網(wǎng)絡(luò)對象管理的綜合目錄服務(wù)
• 網(wǎng)絡(luò)對象包括用戶，用戶組，計(jì)算機(jī)，打印機(jī)，應(yīng)用服務(wù)器，域，組織單元（OU）以及安全策略等
• AD提供的是各種網(wǎng)絡(luò)對象的索引集合，可以看做是數(shù)據(jù)存儲的視圖
• 將分散的網(wǎng)絡(luò)對象有效地組織起來，建立網(wǎng)絡(luò)對象索引目錄，并存儲在活動目錄的數(shù)據(jù)庫內(nèi)

活動目錄AD的管理劃分

組策略GP

• 活動目錄AD是Windows網(wǎng)絡(luò)中重要的安全管理平臺，組策略GP是其安全性的重要體現(xiàn)。
• 組策略可以理解為依據(jù)特定的用戶或計(jì)算機(jī)的安全需求定制的安全配置規(guī)則
• 管理員針對每個組織單元OU定制不同的組策略，并將這些組策略存儲在活動目錄的相關(guān)數(shù)據(jù)庫內(nèi)，可以強(qiáng)制推送到客戶端實(shí)施組策略
• 活動目錄AD可以使用組策略命令來通知和改變已經(jīng)登錄的用戶的組策略，并執(zhí)行相關(guān)安全配置

組策略工作流程
網(wǎng)絡(luò)管理員根據(jù)組策略模板定制組策略，生成組策略庫，為域中的每個OU制定不同的組策略，制定好后推送給每臺計(jì)算機(jī)

組策略的實(shí)施

• 注冊表是Windows系統(tǒng)中保存系統(tǒng)應(yīng)用軟件配置的數(shù)據(jù)庫
• 很多配置都是可以自定義設(shè)置的，但這些配置會發(fā)布在每個注冊表的各個角落，如果是手工配置，會非常的困難繁瑣
• 組策略可以將系統(tǒng)中重要的配置功能匯集成一個配置集合，管理人員通過配置并實(shí)施組策略，達(dá)到直接管理計(jì)算機(jī)的目的
• 簡單的說，實(shí)施組策略就是修改注冊表中的相關(guān)配置

組策略和活動目錄AD配合

• 組策略分為基于活動目錄的和基于本地計(jì)算機(jī)的兩種
  • AD組策略存儲在域控制器上活動目錄AD的數(shù)據(jù)庫中，它的定制實(shí)施由域管理員來執(zhí)行，而本地組策略存放在本地計(jì)算機(jī)內(nèi)，由本地管理員來定制實(shí)施
  • AD組策略實(shí)施的對象是整個組織單元OU，本地組策略只負(fù)責(zé)本地計(jì)算機(jī)
• 組策略和活動目錄AD配合
  • 組策略部署在OU，站點(diǎn)或域的范圍內(nèi)，也可以部署在本地計(jì)算機(jī)上，部署在本地計(jì)算機(jī)時，組策略不能發(fā)揮其全部功能，只有和AD配合，組策略才可以發(fā)揮出全部潛力

組策略的主要工作

部署軟件

設(shè)置用戶權(quán)利

軟件限制策略：管理員可以通過配置組策略，限制某個用戶只能運(yùn)行特定的程序或執(zhí)行特定的任務(wù)

控制系統(tǒng)設(shè)置：允許管理員統(tǒng)一部署網(wǎng)絡(luò)用戶的Windows服務(wù)

設(shè)置登錄，注銷，關(guān)機(jī)，開機(jī)腳本

通用桌面控制

安全策略：批量待定客戶端計(jì)算機(jī)的安全選項(xiàng)，包括密碼設(shè)置，審核，IP安全策略等

重定向文件夾

基于注冊表的策略設(shè)置

---

網(wǎng)絡(luò)威脅

概述

• 威脅：使用威力逼迫恫嚇使人屈服
• 網(wǎng)絡(luò)威脅：是網(wǎng)絡(luò)安全受到威脅，存在著危險
• 隨著互聯(lián)網(wǎng)的不斷發(fā)展，網(wǎng)絡(luò)安全威脅也呈現(xiàn)了一種新的趨勢
  • 最初的病毒，比如“CIH”，“大麻”等傳統(tǒng)病毒
  • 逐漸發(fā)展成為包括特洛伊木馬，后門程序，流氓軟件，間諜軟件，廣告軟件，網(wǎng)絡(luò)釣魚，垃圾郵件等等
  • 目前的網(wǎng)絡(luò)威脅往往是集多種特征于一體的混合型威脅

網(wǎng)絡(luò)威脅的三個階段

• 第一階段：1998年以前，網(wǎng)絡(luò)威脅主要來源于傳統(tǒng)的計(jì)算機(jī)病毒，特征是通過媒介復(fù)制進(jìn)行傳染，以破壞個人電腦為目的
• 第二階段：1998年以后，網(wǎng)絡(luò)威脅主要以蠕蟲病毒和黑客攻擊為主，其表現(xiàn)為蠕蟲病毒通過網(wǎng)絡(luò)大面積爆發(fā)及黑客攻擊一些服務(wù)網(wǎng)站
• 第三階段：2005年以來，網(wǎng)絡(luò)威脅多樣化，多數(shù)以偷竊資料，控制利用主機(jī)等手段謀取經(jīng)濟(jì)利益為目的

網(wǎng)絡(luò)威脅分類
從攻擊發(fā)起者的角度來看：

• 一類是主動攻擊型威脅，如網(wǎng)絡(luò)監(jiān)聽和黑客攻擊等，這些威脅都是對方人為通過網(wǎng)絡(luò)通信連接進(jìn)行的
• 另一類是被動型威脅，一般是用戶通過某種途徑訪問了不當(dāng)?shù)男畔⒍艿降墓?/li>

依據(jù)攻擊手段及破壞方式進(jìn)行分類

• 第一類以傳統(tǒng)病毒，蠕蟲，木馬為代表的計(jì)算機(jī)病毒
• 第二類是以黑客攻擊為代表的網(wǎng)絡(luò)入侵
• 第三輪是以間諜軟件，廣告軟件，網(wǎng)絡(luò)釣魚軟件為代表的欺騙類威脅

分別對應(yīng)三小節(jié)

計(jì)算機(jī)病毒

計(jì)算機(jī)病毒發(fā)展史

略

計(jì)算機(jī)病毒定義

病毒是指“編制或者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者破壞數(shù)據(jù)，影響計(jì)算機(jī)使用并且能夠自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼”

計(jì)算機(jī)病毒特征：

非授權(quán)性

寄生性

傳染性

潛伏性

破壞性

觸發(fā)性

計(jì)算機(jī)病毒新的發(fā)展趨勢

無國界

多樣化

破壞性更強(qiáng)

智能化

更加隱蔽化

計(jì)算病毒可以根據(jù)其工作原理和傳播方式劃分成

傳統(tǒng)病毒

蠕蟲病毒

木馬

傳統(tǒng)病毒

代表：巴基斯坦智囊Brain，大麻病毒，磁盤殺手，CIH
傳統(tǒng)病毒一般有三個主要模塊組成，包括啟動模塊，傳染模塊，破壞模塊

CIH病毒

• 傳染W(wǎng)indows95/98環(huán)境下PE格式的EXE文件
• 病毒發(fā)作時直接攻擊和破壞計(jì)算機(jī)硬件系統(tǒng)
• 該病毒通過文件復(fù)制進(jìn)行傳播
• 計(jì)算機(jī)開機(jī)后，運(yùn)行了帶病毒的文件，其病毒就駐留在Windows核心內(nèi)存里
• 組成：初始化駐留模塊，傳染模塊和破壞模塊

蠕蟲病毒

蠕蟲和傳統(tǒng)病毒的區(qū)別：

• 傳統(tǒng)病毒需要寄生的，通過感染其他文件進(jìn)行傳播
• 蠕蟲病毒一般不需要寄生在宿主文件中，傳播途徑主要包括局域網(wǎng)內(nèi)的共享文件夾，電子郵件，網(wǎng)絡(luò)中的惡意網(wǎng)頁和大量存在著漏洞的服務(wù)器等
• 可以說蠕蟲病毒以計(jì)算機(jī)為載體，以網(wǎng)絡(luò)為攻擊對象
• 蠕蟲病毒能夠利用漏洞，分為軟件漏洞和人為缺陷
• 軟件漏洞主要指程序員由于習(xí)慣不規(guī)范，錯誤理解或想當(dāng)然，在軟件中留下存在安全隱患的代碼
• 人為缺陷主要指計(jì)算機(jī)用戶的疏忽，這就是所謂的社會工程學(xué)問題

一般利用漏洞傳播

尼姆達(dá)病毒
尼米達(dá)病毒激活后，使用其副本替換系統(tǒng)文件，將系統(tǒng)的各驅(qū)動器設(shè)為開發(fā)共享，降低系統(tǒng)安全性，創(chuàng)建Guest賬戶并將其加入到管理員組中，安裝Guest用戶后門

由于尼姆達(dá)病毒通過網(wǎng)絡(luò)大量傳播，產(chǎn)生大量異常的網(wǎng)絡(luò)流量和大量的垃圾郵件，網(wǎng)絡(luò)性能受到嚴(yán)重影響

尼姆達(dá)病毒可以通過web服務(wù)器，郵件服務(wù)器，本地網(wǎng)絡(luò)共享區(qū)傳播

• 通過web服務(wù)器傳播，通過攻擊代碼感染主頁，通過訪問主頁感染本地PE格式文件
• 通過郵件服務(wù)器傳播，依靠病毒郵件
• 通過本地網(wǎng)絡(luò)共享區(qū)傳播，依靠病毒文件

木馬

木馬病毒，潛伏偽裝的網(wǎng)絡(luò)病毒

• 木馬是有隱藏性，傳播性的可用被用來進(jìn)行惡意行為的程序，因此，也被看做是一種計(jì)算機(jī)病毒
• 木馬一般不會直接對計(jì)算機(jī)產(chǎn)生危害，以控制電腦為目的，當(dāng)然電腦一旦被木馬所控制，后果不堪設(shè)想

木馬的傳播方式

• 主要通過電子郵件附件，被掛載木馬的網(wǎng)頁以及捆綁了木馬程序的應(yīng)用軟件
• 木馬被下載安裝后完成修改注冊表，駐留內(nèi)存，安裝后門程序，設(shè)置開機(jī)加載項(xiàng)等，甚至能夠使殺毒程序，個人防火墻等防范軟件失效

木馬病毒分類

盜號類木馬

網(wǎng)頁點(diǎn)擊類木馬

下載類木馬

代理類木馬

木馬病毒程序組成

• 控制端程序（客戶端）
  • 是黑客常用來控制遠(yuǎn)程計(jì)算機(jī)中的木馬的程序
• 木馬程序（服務(wù)器端）
  • 是木馬病毒的核心，是潛入被感染的計(jì)算機(jī)內(nèi)部，獲取其操作權(quán)限的程序
• 木馬配置程序
  • 通過修改木馬名稱，圖標(biāo)等來偽裝隱藏木馬程序，并配置端口號，回送地址等信息確定反饋信息的傳播路徑

灰鴿子木馬

• 被動植入是指植入過程必須依賴受害用戶的手工操作
• 主動植入是將灰鴿子程序通過程序自動安裝到目標(biāo)系統(tǒng)

灰鴿子病毒的隱藏技術(shù)（服務(wù)器端程序）

• 隱藏文件
• 隱藏進(jìn)程
• 隱藏通迅
  • 通訊端口復(fù)用技術(shù)是將自己的通訊直接綁定到正常用戶進(jìn)程的端口，接收數(shù)據(jù)后，根據(jù)數(shù)據(jù)包的格式判斷是不是木馬的，如果是，自己處理，否則通過127.0.0.1的地址交給真正的服務(wù)器應(yīng)用進(jìn)行處理
  • 反彈端口技術(shù)是指木馬程序啟動后主動連接客戶，為了隱蔽起見，控制端的被動端口一般設(shè)置為80端口，對內(nèi)部網(wǎng)絡(luò)到外部網(wǎng)絡(luò)的訪問請求，防火墻一般不進(jìn)行過于嚴(yán)格的檢查，加之其連接請求有可能偽造成對外部資源的正常訪問，因此可以通過防火墻

客戶端程序
定制生成服務(wù)器端程序

• 首先利用客戶端程序配置生成一個服務(wù)器端程序文件，服務(wù)器端文件的名字默認(rèn)為G_Server.exe，然后開始在網(wǎng)絡(luò)中傳播植入這個程序
  控制遠(yuǎn)程的服務(wù)器端
• 當(dāng)木馬植入成功后，系統(tǒng)啟動是木馬就會加載運(yùn)行，然后反彈窗口技術(shù)主動連接客戶控制端
  客戶控制端程序的功能：
• 對遠(yuǎn)程計(jì)算機(jī)文件管理
• 遠(yuǎn)程捕獲命令
• 捕獲屏幕，實(shí)時控制
• 注冊表模擬器

病毒防治

• 病毒防治技術(shù)略滯后于病毒技術(shù)
• 對于大多數(shù)計(jì)算機(jī)用戶來說，防治病毒首先需要選擇一個有效的防病毒產(chǎn)品，并及時進(jìn)行升級
• 計(jì)算機(jī)病毒防治技術(shù)主要包括：
  • 檢測，清除，預(yù)防和免疫
  • 檢測和清除是根治病毒的有力手段
  • 預(yù)防和免疫也是保證計(jì)算機(jī)系統(tǒng)安全的重要措施

檢測

• 病毒檢測方法主要包括：特征代碼法，校驗(yàn)和法，行為檢測法以及軟件模擬法等。
• 特征代碼法
  • 特征代碼查毒就是檢查文件中是否含有病毒數(shù)據(jù)庫中的病毒特征代碼
• 校驗(yàn)和法
  • 對正常狀態(tài)下的重要文件進(jìn)行計(jì)算，取得其校驗(yàn)和，以后定期檢查這些文件的校驗(yàn)和與原來保存的校驗(yàn)和是否一致
• 行為檢測法
  • 利用病毒的特有行為特征來監(jiān)測病毒的方法，稱為行為檢測法。當(dāng)一個可疑程序運(yùn)行時，監(jiān)測其行為，如果發(fā)現(xiàn)了病毒行為，立即報警
• 軟件模擬法
  • 軟件模擬法是為了對付多態(tài)型病毒。軟件模擬法是通過模擬病毒的執(zhí)行環(huán)境，為其構(gòu)造虛擬機(jī)，然后在虛擬機(jī)中執(zhí)行病毒引擎解碼程序，安全地將多態(tài)型病毒解開并還原其本來面目，再加以掃描。軟件模擬法的優(yōu)點(diǎn)是可以識別未知病毒，病毒定位準(zhǔn)確，誤報率低，缺點(diǎn)是檢測速度受到一定影響，消耗系統(tǒng)資源較高

計(jì)算機(jī)中毒的常見癥狀

• 系統(tǒng)運(yùn)行速度減慢
• 系統(tǒng)經(jīng)常無故死機(jī)
• 文件長度發(fā)生變化
• 存儲容量異常減少
• 丟失文件或文件損壞
• 屏幕上出現(xiàn)異常提示
• 系統(tǒng)的蜂鳴器出現(xiàn)異常聲響
• 磁盤卷標(biāo)發(fā)生變化
• 系統(tǒng)不識別磁盤
• 對存儲系統(tǒng)異常訪問
• 鍵盤輸入異常
• 文件的日期，時間，屬性等發(fā)生變化
• 文件無法正確讀取，復(fù)制或打開
• 命令執(zhí)行出現(xiàn)錯誤
• Windows操作系統(tǒng)無故頻繁出現(xiàn)錯誤
• 系統(tǒng)異常重新啟動
• 一些外部設(shè)備工作異常
• 出現(xiàn)異常的程序駐留內(nèi)存

清除
清除病毒主要分為：

• 使用防病毒軟件和手工清除病毒兩種方法
• 防病毒軟件由安全廠商精心研制，可以有效查殺絕大多數(shù)計(jì)算機(jī)病毒，多數(shù)用戶應(yīng)采用防病毒軟件來清除病毒
• 防病毒軟件對檢測到的病毒一般采取三種處理方案，分別是清除，隔離和刪除
• 清除是指在發(fā)現(xiàn)文件被感染病毒時，采取的清除病毒并保留文件的動作
• 隔離是指在發(fā)現(xiàn)病毒后，無法確認(rèn)清除動作會帶來什么后果，又不想直接刪除文件，故采取監(jiān)視病毒并阻止病毒運(yùn)行的方法
• 某類病毒清除失敗，刪除失敗，隔離失敗，對個人用戶來講，格式化硬盤，重建系統(tǒng)可能是最后的有效選擇

蠕蟲，木馬病毒的清除

• 結(jié)束所有可能的進(jìn)程
• 刪除病毒文件并恢復(fù)注冊表
• 內(nèi)核級后門的清除
• 重啟后掃描
• 除了以上三步，隨后需要重啟啟動系統(tǒng)，并使用帶有最新病毒庫的防病毒軟件對全盤進(jìn)行掃描

預(yù)防

• 安裝殺毒軟件
  • 打開你的防毒軟件的自動升級服務(wù)，定期掃描計(jì)算機(jī)
• 注意軟盤，光盤，U盤等存儲媒介
  • 在使用軟盤，光盤，U盤等活動硬盤前，病毒掃描
• 關(guān)注下載安全
  • 下載要從比較可靠的網(wǎng)站進(jìn)行，下載后做病毒掃描
• 關(guān)注電子郵件安全
  • 來歷不明的郵件決不要打開，絕不要輕易運(yùn)行附件
• 使用基于客戶端的防火墻
• 警惕欺騙性的病毒
• 備份

免疫
計(jì)算機(jī)病毒免疫

• 提高計(jì)算機(jī)系統(tǒng)對計(jì)算機(jī)病毒的抵抗力，從而達(dá)到防止病毒侵害的目的
• 一是提高計(jì)算機(jī)系統(tǒng)的健壯性，二是給計(jì)算機(jī)注射“病毒疫苗”
• 提高系統(tǒng)健壯性的主要途徑包括以下內(nèi)容：
  • 及時升級操作系統(tǒng)，保證系統(tǒng)安裝最新的補(bǔ)丁
  • 安裝防病毒軟件，及時升級病毒定義文件和防病毒引擎
  • 定期掃描系統(tǒng)和磁盤文件
  • 打開個人防火墻
  • 使用軟盤或U盤寫保護(hù)
  • 重要的數(shù)據(jù)信息寫入只讀光盤

注射病毒疫苗
實(shí)施免疫的主要方法包括以下幾個方面：

• 感染標(biāo)識免疫
  • 人為地為正常對象加上病毒感染標(biāo)識，使計(jì)算機(jī)病毒誤以為已經(jīng)感染從而達(dá)到免疫的目的
• 文件拓展名免疫
  • 將拓展名改為非COM，EXE，SYS，BAT等形式
  • 將系統(tǒng)默認(rèn)的可執(zhí)行文件后綴名改為非COM，EXE,SYS,BAT等形式
• 外部加密免疫
  • 外部加密免疫是指在文件的存儲權(quán)限和存取路徑上進(jìn)行加密保護(hù)，以防止文件被非法閱讀和修改
• 內(nèi)部加密免疫
  • 對文件內(nèi)容加密變換后進(jìn)行存儲，在使用時再進(jìn)行解密

網(wǎng)絡(luò)入侵

• 入侵是指在非授權(quán)的情況下，試圖存取消息，處理消息和破壞系統(tǒng)，以使系統(tǒng)不可靠或不可用的故意行為
• 網(wǎng)絡(luò)入侵一般是指具有熟練編寫，調(diào)試和使用計(jì)算機(jī)程序的技巧的人，利用這些技巧來獲得非法或未授權(quán)的網(wǎng)絡(luò)或文件的訪問，進(jìn)入內(nèi)部網(wǎng)的行為
• 對信息的非授權(quán)訪問一般被稱為破解cracking

網(wǎng)絡(luò)攻擊三個階段
一般分為：前期準(zhǔn)備，實(shí)施入侵，后期處理

• 準(zhǔn)備階段需要完成的工作主要包括明確入侵目的，確定入侵對象，選擇入侵手段
  • 入侵目的一般分為控制主機(jī)，癱瘓主機(jī)和癱瘓網(wǎng)絡(luò)
  • 入侵對象一般分為主機(jī)和網(wǎng)絡(luò)兩類
  • 根據(jù)目的和后果分為：拒絕服務(wù)攻擊，口令攻擊，嗅探攻擊，欺騙攻擊，利用型攻擊
• 實(shí)施入侵階段是真正的攻擊階段，主要包括掃描探測和攻擊
  • 掃描探測主要用來收集信息，為下一步攻擊奠定基礎(chǔ)
  • 攻擊：根據(jù)入侵目的，采用相應(yīng)的入侵手段向入侵對象實(shí)施入侵
• 后期處理主要是指由于大多數(shù)入侵攻擊行為都會留下痕跡，攻擊者為了清除入侵痕跡而進(jìn)行現(xiàn)場清理

拒絕服務(wù)攻擊

• 拒絕服務(wù)攻擊DoS（Denial of Service）
  • DoS并不是某一種具體的攻擊方式，而是攻擊所表現(xiàn)出來的結(jié)果最終使得目標(biāo)系統(tǒng)因遭受某種程度的破壞而不能繼續(xù)提供正常的服務(wù)，甚至導(dǎo)致物理上的癱瘓或崩潰
• 通常拒絕服務(wù)攻擊可分為兩種類型
  • 第一類攻擊是利用網(wǎng)絡(luò)協(xié)議的缺陷，通過發(fā)送一些非法數(shù)據(jù)包致使主機(jī)系統(tǒng)癱瘓
  • 第二類攻擊是通過構(gòu)造大量的網(wǎng)絡(luò)流量致使主機(jī)通訊或網(wǎng)絡(luò)堵塞，使系統(tǒng)或網(wǎng)絡(luò)不能響應(yīng)正常的服務(wù)

Ping of Death

• TCP/IP的規(guī)范，一個包的長度最大為65536字節(jié)
• 利用多個IP包分片的疊加能做到構(gòu)造長度大于65536的IP數(shù)據(jù)包
• 攻擊者通過修改IP分片中的偏移量和段長度，使系統(tǒng)在接收到全部分段后重組報文時總的長度超過了65535字節(jié)
• 一些操作系統(tǒng)在對這類超大數(shù)據(jù)包的處理上存在缺陷，當(dāng)安裝這些操作系統(tǒng)的主機(jī)收到了長度大于65536字節(jié)的數(shù)據(jù)包時，會出現(xiàn)內(nèi)存分配錯誤，從而導(dǎo)致TCP/IP堆棧崩潰，造成死機(jī)

Tear drop

• IP數(shù)據(jù)包在網(wǎng)絡(luò)傳輸是，數(shù)據(jù)包可能被分成更小的IP分片
• 攻擊者可以通過發(fā)送兩個或多個IP分片數(shù)據(jù)包來實(shí)現(xiàn)Tear drop攻擊
• 第一個IP分片包偏移量為0，長度為N，第二個分片包的偏移量小于N，未超過第一個IP分片包的尾部，就出現(xiàn)了偏移量重疊現(xiàn)象
• 一下操作系統(tǒng)無法處理這些偏移量重疊的IP分片的重組，TCP/IP堆棧會出現(xiàn)內(nèi)存分配錯誤，造成操作系統(tǒng)崩潰

Syn Flood

• 攻擊者偽裝TCP的連接請求，向被攻擊的設(shè)備正在監(jiān)聽的端口發(fā)送大量的SYN連接請求報文
• 被攻擊的設(shè)備按照正常的處理過程，回應(yīng)這個請求報文，同時為它分配了相應(yīng)的資源
• 攻擊者不需要建立TCP連接，因此服務(wù)器根本不會接收到第三個ACK報文，現(xiàn)有分配的資源只能等待超時釋放
• 如果攻擊者能夠在超時時間到達(dá)之前發(fā)出足夠多的攻擊報文，被攻擊的系統(tǒng)所預(yù)留所有TCP緩存將被耗盡

Smurf攻擊

• Smurf攻擊是以最初發(fā)動這種攻擊的程序Smurf來命名的，這種攻擊方法，結(jié)合使用了IP地址欺騙和ICMP協(xié)議
• 當(dāng)一臺網(wǎng)絡(luò)主機(jī)通過廣播地址將ICMP ECHO請求包發(fā)送給網(wǎng)絡(luò)中的所有機(jī)器，網(wǎng)絡(luò)主機(jī)接收到請求數(shù)據(jù)包后，會回應(yīng)一個ICMP ECHO相應(yīng)包，這樣發(fā)送一個包會接受到許多的相應(yīng)包
• Smurf構(gòu)造并發(fā)送原地址為受害主機(jī)地址，目的地址為廣播地址的ICMP ECHO請求包，收到請求包的網(wǎng)絡(luò)主機(jī)會同時相應(yīng)并發(fā)送大量的信息給受害主機(jī)，致使受害主機(jī)崩潰
• 如果Smurf攻擊將回復(fù)地址設(shè)置為受害網(wǎng)絡(luò)的廣播地址，則網(wǎng)絡(luò)中會充斥大量的ICMP ECHO響應(yīng)包，導(dǎo)致網(wǎng)絡(luò)堵塞

電子郵件炸彈
實(shí)施電子郵件炸彈攻擊的特殊程序稱為Email Bomber

• 郵箱容量是有限的，用戶在短時間內(nèi)收到成千上萬封電子郵件，美國電子郵件容量也較大，那么經(jīng)過一輪郵件炸彈轟炸后電子郵箱的容量可能被占滿
• 另一方面，這些電子郵件炸彈所攜帶的大容量信息不斷在網(wǎng)絡(luò)上來回傳輸，很容易堵塞網(wǎng)絡(luò)
• 而且郵件服務(wù)器需要不停地處理大量的電子郵件，如果承受不了這樣的疲勞工作，服務(wù)器隨時有崩潰的可能

分布式拒絕服務(wù)攻擊DDoS

• DDoS攻擊就是很多DoS攻擊源疫情攻擊某臺服務(wù)器或網(wǎng)絡(luò)，迫使服務(wù)器停止提供服務(wù)或網(wǎng)絡(luò)堵塞
• DDoS攻擊需要眾多攻擊源，而黑客獲得攻擊源的主要途徑就是傳播木馬，網(wǎng)絡(luò)計(jì)算機(jī)一旦中了木馬，這臺計(jì)算機(jī)就會被后臺操作的人控制，也就成為了所謂的肉雞，即黑客的幫兇
• 使用肉雞進(jìn)行DDoS攻擊還可以在一定程度上保護(hù)攻擊者，使其不易被發(fā)現(xiàn)

對DoS的防御

• 及時為系統(tǒng)升級，減少系統(tǒng)漏洞，很多DoS攻擊對應(yīng)新的操作系統(tǒng)已經(jīng)失效，如Ping of Death攻擊
• 關(guān)掉主機(jī)或網(wǎng)絡(luò)中不必要的服務(wù)和端口，如對于非WEB主機(jī)關(guān)掉80端口
• 局域網(wǎng)應(yīng)該加強(qiáng)防火墻和入侵檢測系統(tǒng)的應(yīng)用和管理，過濾掉非法的網(wǎng)絡(luò)數(shù)據(jù)包

口令攻擊

口令攻擊過程一般包括以下幾個步驟

• 步驟一，獲取目標(biāo)系統(tǒng)的用戶賬戶和其他有關(guān)信息
  • 獲取目標(biāo)系統(tǒng)的用戶賬號及其他有關(guān)信息一般可以利用一些網(wǎng)絡(luò)服務(wù)來實(shí)現(xiàn)，如Finger，Whois，LDAP等信息服務(wù)
• 步驟二，根據(jù)用戶信息猜測用戶口令
• 步驟三，采用字典攻擊方式探測口令
  • 使用一些程序，自動地從電腦字典中取出一個單詞，作為用戶的口令輸入給遠(yuǎn)端的主機(jī)，進(jìn)入系統(tǒng)
  • 如果口令錯誤，就按序取出下一個單詞，進(jìn)行下一個嘗試，并一直循環(huán)下去，直到找到正確的口令或字典的單詞試完為止
  • 由于這個破譯過程由計(jì)算機(jī)程序自動完成，幾個小時就可以把字典的所有單詞都試一遍
• 步驟四，探測目標(biāo)系統(tǒng)的漏洞，伺機(jī)取得口令文件，破解取得用戶口令

系統(tǒng)中可以用作口令的有95個：

• 10個數(shù)字，33個標(biāo)點(diǎn)符號，52個大小寫字母
• 采用任意5個字母加上一個數(shù)字或符號則可能的排列數(shù)為163億
• 這個數(shù)字對于每秒可以進(jìn)行上百萬次浮點(diǎn)運(yùn)算的計(jì)算機(jī)不是什么難事，也就是說一個6位的口令將是不安全的
• 一般建議使用十位以上并且是字母數(shù)字加上標(biāo)點(diǎn)符號的混合體

防范口令攻擊的方法

口令長度不少于10個字符

口令中要有一些非字母

口令不在英文字典中

不要將口令寫下來

不要將口令存于電腦文件中

不要選擇易猜測的信息做口令

不要在不同系統(tǒng)上使用同一口令

不要讓其他人得到口令

經(jīng)常改變口令

用于不要對自己口令過于自信

嗅探攻擊

• 嗅探攻擊又稱為網(wǎng)絡(luò)嗅探，是指利用計(jì)算機(jī)的網(wǎng)絡(luò)接口截獲目的地為其他計(jì)算機(jī)的數(shù)據(jù)包的一種手段
• 網(wǎng)絡(luò)嗅探的工具被稱為嗅探器（sniffer），是一種常用的收集網(wǎng)絡(luò)上傳輸?shù)挠杏玫臄?shù)據(jù)的方法
• 嗅探攻擊一般是指黑客利用嗅探器獲取網(wǎng)絡(luò)傳輸中的重要數(shù)據(jù)。網(wǎng)絡(luò)嗅探也形象的稱為網(wǎng)絡(luò)竊聽

共享網(wǎng)絡(luò)環(huán)境
以太網(wǎng)有四種工作模式：

• 廣播模式：網(wǎng)卡能夠接收網(wǎng)絡(luò)中的廣播數(shù)據(jù)
• 組播模式：網(wǎng)卡能夠接收組播數(shù)據(jù)
• 直接模式：只有目的網(wǎng)卡才能接收該數(shù)據(jù)
• 混雜模式：網(wǎng)卡能夠接收一切通過它的數(shù)據(jù)

如果攻擊者獲得其中一臺主機(jī)的root權(quán)限，并將其網(wǎng)卡置于混雜模式，這就意味著不必打開配線盒來安裝偷聽設(shè)備，就可以在對共享環(huán)境下的其他計(jì)算機(jī)的通信進(jìn)行竊聽，在共享網(wǎng)絡(luò)中網(wǎng)絡(luò)通信沒有任何安全性可言

交換網(wǎng)絡(luò)環(huán)境
Arp協(xié)議
實(shí)現(xiàn)網(wǎng)絡(luò)地址到物理地址映射
當(dāng)主機(jī)接收到ARP應(yīng)答數(shù)據(jù)包的時候，就使用應(yīng)答數(shù)據(jù)包的數(shù)據(jù)對本地的ARP緩存進(jìn)行更新或添加

Arp欺騙

• 欺詐服務(wù)器D向服務(wù)器ABC發(fā)送192.16.1.13->ee-ee-ee-ee-ee-ee，則AB認(rèn)為網(wǎng)絡(luò)地址192.16.1.13是物理地址ee-ee-ee-ee-ee-ee，然后服務(wù)器D把自己的物理地址改為ee-ee-ee-ee-ee-ee，就可以達(dá)到冒充服務(wù)器C的目的
• 當(dāng)其他服務(wù)器發(fā)送信息給C時，會發(fā)送到ee-ee-ee-ee-ee-ee，故會被欺詐服務(wù)器D截獲，然后再發(fā)回給cc-cc-cc-cc-cc-cc服務(wù)器C，防止被發(fā)現(xiàn)。從而達(dá)到截獲信息的目的。

防范嗅探攻擊

• 嗅探檢測器
  • 檢測混雜模式網(wǎng)卡來檢查嗅探器的存在，AntiSniff
• 安全的拓?fù)浣Y(jié)構(gòu)
  • 嗅探器只能在當(dāng)前網(wǎng)絡(luò)段上進(jìn)行數(shù)據(jù)捕獲，將網(wǎng)絡(luò)分段工作進(jìn)行的越細(xì)，嗅探器能夠收集到的信息越少
• 會話加密
  • 計(jì)時嗅探器嗅探到數(shù)據(jù)報文，也不能識別其內(nèi)容
• 地址綁定
  • 在客戶端使用arp命令綁定網(wǎng)關(guān)的真實(shí)MAC地址
  • 在交換器上做端口與MAC地址的靜態(tài)綁定
  • 在路由器上做IP地址與MAC地址的靜態(tài)綁定
  • 用靜態(tài)的ARP信息代替動態(tài)的ARP信息

欺騙類攻擊

• 欺騙類攻擊是指構(gòu)造虛假的網(wǎng)絡(luò)消息，發(fā)送給網(wǎng)絡(luò)主機(jī)或網(wǎng)絡(luò)設(shè)備，企圖用假消息替代真實(shí)消息，實(shí)現(xiàn)對網(wǎng)絡(luò)及主機(jī)正常工作的干擾破壞
• 常見的假消息攻擊有IP欺騙，ARP欺騙，DNS欺騙，偽造電子郵件等

IP欺騙

• IP欺騙簡單地說就是一臺主機(jī)冒充另外一臺主機(jī)的IP地址與其他設(shè)備通信
• IP欺騙主要是基于遠(yuǎn)程過程調(diào)用RPC的命令，比如rlogin，rcp，rsh等
• 這些命令僅僅根據(jù)信源IP地址進(jìn)行用戶身份確認(rèn)，以便允許或拒絕用戶RPC
• IP欺騙的目的主要是獲取遠(yuǎn)程主機(jī)的信任和訪問特權(quán)

IP欺騙攻擊主要步驟

選定主機(jī)并發(fā)現(xiàn)被該主機(jī)信任的其他主機(jī)

使得被信任的主機(jī)喪失工作能力（例如采用SYN flood攻擊）

使用被目標(biāo)主機(jī)信任的主機(jī)的IP地址，偽造建立TCP連接的SYN請求報文，試圖以此數(shù)據(jù)報文建立與目標(biāo)主機(jī)的TCP連接

序列號取樣和猜測

使用被目標(biāo)主機(jī)信任的主機(jī)的IP地址和計(jì)算出的TCP序列號，構(gòu)造TCP連接的ACK報文，發(fā)送給目標(biāo)主機(jī)，建立起與目標(biāo)主機(jī)基于地址驗(yàn)證的應(yīng)用連接

• 如果成功，攻擊者可以使用一種簡單的命令放置一個系統(tǒng)后門，以進(jìn)行非授權(quán)操作

TCP連接三次握手：

• 攻擊人主機(jī)向目標(biāo)主機(jī)發(fā)送SYN包
• 目標(biāo)主機(jī)返回SYN+ACT包給被信任的主機(jī)
• 被信任主機(jī)已經(jīng)癱瘓
• 攻擊人主機(jī)截獲SYN+ACT包
• 攻擊人主機(jī)以被信任主機(jī)IP地址給目標(biāo)主機(jī)回ACT包，目標(biāo)主機(jī)認(rèn)為TCP連接建立成功

DNS欺騙

• DNS服務(wù)器轉(zhuǎn)換url（www.baidu.com）到ip地址(202.108.22.5)，稱為DNS應(yīng)答
• DNS欺騙分為兩種：監(jiān)聽式主機(jī)欺騙，DNS服務(wù)器污染
• 監(jiān)聽式主機(jī)欺騙
  • 欺騙者用ARP欺騙，成為中間人
  • 受害者發(fā)送DNS請求，獲得查詢ID和端口號
  • 欺騙者偽造并發(fā)送DNS應(yīng)答
  • 欺騙者轉(zhuǎn)發(fā)DNS請求給真實(shí)的DNS服務(wù)器
  • DNS把可能的真實(shí)的DNS應(yīng)答
• DNS服務(wù)器污染
  • 欺騙者向DNS發(fā)送大量的請求數(shù)據(jù)包
  • 本地DNS向上級DNS發(fā)送DNS請求數(shù)據(jù)包
  • 在上級DNS回答之前，欺騙者向本地DNS發(fā)送偽造的DNS應(yīng)答數(shù)據(jù)包
  • 本地DNS根據(jù)偽造的DNS應(yīng)答數(shù)據(jù)包更新自己緩存
  • 在上級DNS回答之前，如果有主機(jī)請求DNS解析，本地DNS就會把假的地址發(fā)送給主機(jī)

偽造電子郵件

• 由于SMTP并不對郵件的發(fā)送者身份進(jìn)行鑒定，攻擊者可以冒充別的郵件地址偽造電子郵件
• 攻擊者偽造電子郵件的目的包括
  • 攻擊者想隱藏自己的身份，匿名傳播虛假消息，如造謠中傷某人
  • 攻擊者想假冒別人身份，提高可信度，如冒充領(lǐng)導(dǎo)發(fā)布通知
  • 偽造用戶可能關(guān)注的發(fā)件人的郵件，引誘收件人接收并閱讀，如傳播病毒，木馬等

對欺騙類攻擊的防范方法

• 拋棄基于地址的信任策略，不允許使用r類遠(yuǎn)程調(diào)用命令
• 配置防火墻，拒絕網(wǎng)絡(luò)外部與本網(wǎng)內(nèi)具有相同IP地址的連接請求，過濾掉入站的DNS更新
• 地址綁定，在網(wǎng)關(guān)上綁定IP地址和MAC地址，在客戶端使用arp命令綁定網(wǎng)關(guān)的真實(shí)MAC地址命令
• 使用PGP等安全工具并安裝電子郵件證書

利用類攻擊

• 利用類攻擊是通過非法技術(shù)手段，試圖獲得某網(wǎng)絡(luò)計(jì)算機(jī)的控制權(quán)和使用權(quán)，達(dá)到利用該機(jī)從事非法行為的一類攻擊行為的總稱
• 利用類攻擊常用的技術(shù)手段包括：
  • 口令猜測，木馬病毒，僵尸病毒，緩沖區(qū)溢出等

僵尸病毒

• 僵尸病毒（Bot）是通過特定協(xié)議（如HTTP，P2P）的信道連接僵尸網(wǎng)絡(luò)服務(wù)器的客戶端程序
  • 被安裝了僵尸程序的機(jī)器稱為僵尸主機(jī)
  • 僵尸網(wǎng)絡(luò)（BotNet）是由這些受控的僵尸主機(jī)依據(jù)特定協(xié)議所組成的網(wǎng)絡(luò)
• 僵尸病毒的程序結(jié)構(gòu)和木馬程序基本一致
  • 木馬程序是被控制端連接的服務(wù)器端程序
  • 僵尸程序是向控制服務(wù)器發(fā)起連接的客戶端程序
• 僵尸病毒的傳播和木馬相似
  • 途徑包括電子郵件，含有病毒的WEB網(wǎng)頁，捆綁了僵尸程序的應(yīng)用軟件以及利用系統(tǒng)漏洞攻擊加載等
• 黑客經(jīng)常利用其發(fā)起大規(guī)模的網(wǎng)絡(luò)攻擊
  • 如分布式拒絕服務(wù)攻擊（DDoS），海量垃圾郵件等

緩沖區(qū)溢出攻擊

• 緩沖區(qū)溢出是指當(dāng)計(jì)算機(jī)向緩沖區(qū)內(nèi)填充數(shù)據(jù)位數(shù)時超過了緩沖區(qū)本身的容量，溢出的數(shù)據(jù)覆蓋了合法數(shù)據(jù)
• 緩沖區(qū)溢出是一種非常普遍，非常危險的程序漏洞，在各種操作系統(tǒng)，應(yīng)用軟件中廣泛存在
• 利用緩沖區(qū)溢出攻擊，可以導(dǎo)致程序運(yùn)行失敗，系統(tǒng)宕機(jī)，重新啟動等后果，更為嚴(yán)重的是可以利用它執(zhí)行非授權(quán)指令，甚至可以取得系統(tǒng)授權(quán)并控制主機(jī)，進(jìn)行各種非法操作

緩沖區(qū)的理論基礎(chǔ)

• 緩沖區(qū)溢出的產(chǎn)生存在必然性，現(xiàn)代計(jì)算機(jī)程序的運(yùn)行機(jī)制，c語言的開放性及編譯問題是其產(chǎn)生的理論基礎(chǔ)
  • 程序在4GB或更大邏輯地址空間內(nèi)運(yùn)行時，一般會被裝載到相對固定的地址空間，使得攻擊者可以估算用于攻擊的代碼的邏輯地址
  • 程序調(diào)用時，可執(zhí)行代碼和數(shù)據(jù)共同存儲在一個地址空間中（堆棧），攻擊者可以精心編制輸入的數(shù)據(jù)，通過運(yùn)行時緩沖區(qū)溢出，得到運(yùn)行權(quán)
  • CPU call調(diào)用時的返回地址和C語言函數(shù)使用的局部變量均在堆棧中保存，而且c語言不進(jìn)行數(shù)據(jù)邊界檢查，當(dāng)數(shù)據(jù)被覆蓋是也不能被發(fā)現(xiàn)

利用型攻擊的防范

• 及時更新系統(tǒng)，減少系統(tǒng)漏洞，可有效阻止木馬，僵尸，緩沖區(qū)溢出類的入侵
• 安裝殺毒軟件，可有效防范木馬，僵尸等病毒的入侵
• 加強(qiáng)安全防范意識，主動了解安全知識，有意識加固系統(tǒng)，對不安全的電子郵件，網(wǎng)頁進(jìn)行識別抵制。

誘騙類威脅

• 誘騙類威脅是指攻擊者利用社會工程學(xué)的思想，利用人的弱點(diǎn)（如人的本能反應(yīng)，好奇心，信任，貪便宜等）通過網(wǎng)絡(luò)散布虛假消息，誘使受害者上當(dāng)受騙，從而達(dá)到攻擊者目的的一種網(wǎng)絡(luò)攻擊行為
• 準(zhǔn)確的說，社會工程學(xué)不是一門科學(xué)，而是一門藝術(shù)與敲門，他利用人的弱點(diǎn)，以順從你的意愿，滿足你的欲望的方式，讓你上當(dāng)受騙

網(wǎng)絡(luò)釣魚

• phishing是英文單詞fishing和phone的綜合體，所以稱為網(wǎng)絡(luò)釣魚
• phishing是指攻擊者通過偽造以假亂真的網(wǎng)站和發(fā)送誘惑受害者按攻擊者意圖執(zhí)行某些操作的電子郵件等防范，使得受害者“自愿”交出重要信息（如銀行賬號和密碼）的手段

電子郵件誘騙
電子郵件服務(wù)是合法的Internet經(jīng)典服務(wù)，攻擊者進(jìn)行電子郵件詐騙，一般有以下步驟：

選定目標(biāo)用戶群

構(gòu)造欺騙性電子郵件

搭建欺騙性網(wǎng)站

群發(fā)郵件，等待上當(dāng)?shù)氖芎φ?/li>

假冒網(wǎng)站

• 建立假冒網(wǎng)站，騙取用戶賬戶，密碼實(shí)施盜竊，這是對用戶造成經(jīng)濟(jì)損失最大的惡劣手段
• 為了迷惑用戶，攻擊者有意把網(wǎng)站域名注冊成與真實(shí)機(jī)構(gòu)的域名很相似

虛假電子商務(wù)

• 攻擊者建立電子商務(wù)網(wǎng)站，或者是在比較知名，大型電子商務(wù)網(wǎng)站上發(fā)布虛假的商品銷售信息
• 網(wǎng)上交易多是異地交易，通常需要匯款
  • 不法分子一般要求消費(fèi)者先付部分款，再以各種理由誘騙消費(fèi)者支付其余款或者其他各種名目的款項(xiàng)，得到錢財(cái)或被識破時，犯罪分子就銷聲匿跡。

對誘騙類攻擊的防范

• 誘騙類威脅不屬于傳統(tǒng)信息安全的范疇，傳統(tǒng)信息安全辦法解決不了非傳統(tǒng)信息安全的威脅
  • 一般認(rèn)為，解決非傳統(tǒng)信息安全威脅需要動用社會工程學(xué)來反制
  • 防范誘騙類威脅的首要方法是加強(qiáng)安全防范意識。
• 另外，用戶還應(yīng)當(dāng)注意以下幾點(diǎn)：
  • 確認(rèn)對方身份
  • 慎重對待個人信息
  • 謹(jǐn)防電子郵件泄密
  • 注意網(wǎng)站的url地址

---

網(wǎng)絡(luò)防御

概述

網(wǎng)絡(luò)防御是一個綜合性的安全工程，不是幾個網(wǎng)絡(luò)安全產(chǎn)品能夠完成的任務(wù)

• 防御需要解決多個層面的問題，除了安全技術(shù)之外，安全管理也十分重要，實(shí)際上提高用戶群的安全防范意識，加強(qiáng)安全管理所能起到的效果遠(yuǎn)遠(yuǎn)高于應(yīng)用幾個網(wǎng)絡(luò)安全產(chǎn)品

• 防火墻位于外網(wǎng)和內(nèi)網(wǎng)之間，在網(wǎng)絡(luò)入口部署，與網(wǎng)絡(luò)是串聯(lián)關(guān)系
• 入侵檢測系統(tǒng)與網(wǎng)絡(luò)之間是并聯(lián)的關(guān)系，在核心交換機(jī)上部署
• 入侵防御系統(tǒng)與網(wǎng)絡(luò)之間是串聯(lián)的關(guān)系

防火墻

• 防火墻指的是一個由硬件和軟件設(shè)備結(jié)合而成，在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間構(gòu)造的安全保護(hù)屏障，從而保護(hù)內(nèi)部網(wǎng)絡(luò)免受外部網(wǎng)絡(luò)非法用戶的侵入
• 簡單的說，防火墻是位于兩個或多個網(wǎng)絡(luò)之間，執(zhí)行訪問控制策略的一個或一組系統(tǒng)，是一類防范措施的總稱
• 防火墻的設(shè)計(jì)目的是有效地控制內(nèi)外網(wǎng)之間的網(wǎng)絡(luò)數(shù)據(jù)流量，做到御敵于外
• 防火墻的結(jié)構(gòu)和部署考慮
  • 內(nèi)網(wǎng)和外網(wǎng)之間的所有網(wǎng)絡(luò)數(shù)據(jù)流必須經(jīng)過防火墻
    • 阻塞點(diǎn)可以理解為連通兩個或多個網(wǎng)絡(luò)的唯一路徑上的點(diǎn)，當(dāng)這個點(diǎn)被刪除后，各網(wǎng)絡(luò)之間不存在連通
  • 只有符合安全策略的數(shù)據(jù)流才能通過防火墻
    • 要求防火墻具有審計(jì)和管理的功能，具有可擴(kuò)展性和健壯性

分類

• 從應(yīng)用對象上看，分為企業(yè)防火墻和個人防火墻
  • 企業(yè)防火墻的主要作用是保護(hù)整個企業(yè)網(wǎng)絡(luò)免受外部網(wǎng)絡(luò)的攻擊
  • 個人防火墻是保護(hù)個人計(jì)算機(jī)系統(tǒng)的安全
• 從存在形式上，可以分為硬件防火墻和軟件防火墻
  • 硬件防火墻采用特殊的硬件設(shè)備，有較高性能，可作為獨(dú)立的設(shè)備部署，企業(yè)防火墻多數(shù)是硬件防火墻
  • 軟件防火墻是一套安裝在某臺計(jì)算機(jī)系統(tǒng)上用來執(zhí)行防護(hù)任務(wù)的安全軟件，個人防火墻都是軟件防火墻
    防火墻的主要作用
• 網(wǎng)絡(luò)流量過濾
  • 通過在防火墻上進(jìn)行安全規(guī)則配置，可以對流經(jīng)防火墻的網(wǎng)絡(luò)流量進(jìn)行過濾
• 網(wǎng)絡(luò)監(jiān)控審計(jì)
  • 防火墻記錄訪問生成網(wǎng)絡(luò)訪問日志，提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)
• 支持NAT部署
  • NAT（Network Address Translation）是網(wǎng)絡(luò)地址翻譯的縮寫，是用來緩解地址空間短缺的主要技術(shù)之一
• 支持DMZ
  • DMZ是英文“Demilitarized Zone”的縮寫，它是設(shè)立在非安全系統(tǒng)和安全系統(tǒng)之間的緩沖區(qū)。目的是解決安裝了防火墻之后外部網(wǎng)絡(luò)不能訪問內(nèi)部網(wǎng)絡(luò)服務(wù)器的問題
• 支持VPN
  • 通過VPN，企業(yè)可以將分布在各地的局域網(wǎng)有機(jī)地練成一個整體，企業(yè)分支機(jī)構(gòu)或在外出差員工可以通過VPN訪問內(nèi)網(wǎng)服務(wù)器資源

典型企業(yè)防火墻的應(yīng)用

局限性

• 防火墻無法檢測不經(jīng)過防火墻的流量，如通過內(nèi)部提供撥號服務(wù)接入公網(wǎng)的流量
• 防火墻不能防范來自內(nèi)部人員的惡意攻擊
• 防火墻不能阻止被病毒感染的和有害的程序或文件的傳遞，如木馬
• 防火墻不能防止數(shù)據(jù)驅(qū)動式攻擊，如緩沖區(qū)溢出攻擊

防火墻主要技術(shù)

包過濾防火墻

• 面向網(wǎng)絡(luò)底層數(shù)據(jù)流（網(wǎng)絡(luò)層和傳輸層）進(jìn)行審計(jì)和控管
• 其安全策略主要是根據(jù)數(shù)據(jù)包包頭的源地址，目的地址，端口號，協(xié)議類型等標(biāo)志來制定，可見其主要工作在網(wǎng)絡(luò)層和傳輸層
• 網(wǎng)絡(luò)層數(shù)據(jù)包有源IP地址，目的IP地址
• 傳輸層數(shù)據(jù)包有端口號和協(xié)議類型

代理防火墻

• 基于代理（Proxy）技術(shù)，使防火墻參與到每一個內(nèi)外網(wǎng)絡(luò)之間的連接過程
• 防火墻需要理解用戶使用的協(xié)議，對內(nèi)部節(jié)點(diǎn)向外部節(jié)點(diǎn)的請求進(jìn)行還原審查后，轉(zhuǎn)發(fā)給外部服務(wù)器
• 外部節(jié)點(diǎn)發(fā)送來的數(shù)據(jù)也需要進(jìn)行還原審查，然后封裝轉(zhuǎn)發(fā)給內(nèi)部節(jié)點(diǎn)

個人防火墻

• 目前普通用戶最常使用的一種，常見如天網(wǎng)個人防火墻
  • 個人防火墻是一種能夠保護(hù)個人計(jì)算機(jī)系統(tǒng)安全的軟件
  • 直接在用戶的計(jì)算機(jī)上運(yùn)行，幫助普通用戶對系統(tǒng)進(jìn)行監(jiān)控及管理，使個人計(jì)算機(jī)免受各種攻擊

訪問控制列表ACL

• Access Control List 是允許和拒絕匹配規(guī)則的集合
• 規(guī)則告訴防火墻那些數(shù)據(jù)包允許通過，哪些被拒絕

包過濾

• 包過濾分為靜態(tài)包過濾和動態(tài)包過濾
• 靜態(tài)包過濾是指防火墻根據(jù)定義好的包過濾規(guī)則審查每個數(shù)據(jù)包，確定其是否與某一條過濾規(guī)則匹配
• 動態(tài)包過濾是指防火墻采用動態(tài)配置包過濾規(guī)則的方法，根據(jù)動態(tài)需求添加或刪除ACL中的過濾規(guī)則，并通過對其批準(zhǔn)建立的每一個連接進(jìn)行追蹤，更靈活地實(shí)施對網(wǎng)絡(luò)連接的訪問控制，基于對話

代理網(wǎng)關(guān)

• 代理網(wǎng)關(guān)分為應(yīng)用代理網(wǎng)關(guān)和電路級網(wǎng)關(guān)

應(yīng)用代理網(wǎng)關(guān)

• 被認(rèn)為是最安全的防火墻技術(shù)
• 應(yīng)用代理網(wǎng)關(guān)防火墻徹底隔斷內(nèi)網(wǎng)與外網(wǎng)之間的直接通信，內(nèi)網(wǎng)用戶對外網(wǎng)的訪問變成防火墻對外網(wǎng)的訪問，外網(wǎng)返回的消息再由防火墻轉(zhuǎn)發(fā)給內(nèi)網(wǎng)用戶
• 內(nèi)網(wǎng)用戶在任何時候都不能與外部服務(wù)器建立直接TCP連接
• 兩個缺點(diǎn)：
  • 必須能夠理解繁雜的應(yīng)用層協(xié)議和不斷出現(xiàn)的新協(xié)議
  • 為應(yīng)付大量網(wǎng)絡(luò)連接并還原到應(yīng)用層，工作量大，性能需求高，可能會成為網(wǎng)絡(luò)瓶頸
• 只適用于用戶較少同時應(yīng)用較少的網(wǎng)絡(luò)

電路級網(wǎng)關(guān)（Circuit Gateway）

• 工作原理和應(yīng)用代理網(wǎng)關(guān)基本相同，代理的協(xié)議以傳輸層為主，在傳輸層上實(shí)施訪問控制策略，是在內(nèi)外網(wǎng)絡(luò)之間建立一個虛擬網(wǎng)絡(luò)，進(jìn)行通信
• 代理的是傳輸層協(xié)議，不需要審計(jì)應(yīng)用層數(shù)據(jù)，只需檢查內(nèi)外網(wǎng)主機(jī)之間傳輸層數(shù)據(jù)來決定會話是否合法
• 工作量小于應(yīng)用代理網(wǎng)關(guān)，安全性低于應(yīng)用代理網(wǎng)關(guān)

NAT（Network Address Translation）

• 屬于廣域網(wǎng)接入技術(shù)
• 是一種將私有地址轉(zhuǎn)換為合法的IP地址的技術(shù)
• 即能解決IP地址不足的問題，又能有效地避免來自外網(wǎng)的攻擊，隱藏并保護(hù)內(nèi)網(wǎng)的計(jì)算機(jī)
• 工作原理：將內(nèi)網(wǎng)中IP包頭的內(nèi)部IP地址信息用可以訪問外網(wǎng)的真實(shí)IP地址信息來轉(zhuǎn)換
  • 靜態(tài)NAT
  • 動態(tài)NAT

VPN（Virtual Private Network）

• VPN：虛擬的企業(yè)內(nèi)部專線，也稱為虛擬私有網(wǎng)
• VPN是通過一個公用網(wǎng)絡(luò)（通常是Internet）建立一個臨時的，安全的連接
  • 可以理解為一條穿過公用網(wǎng)絡(luò)的安全，穩(wěn)定的隧道，兩臺分別處于不同網(wǎng)絡(luò)的機(jī)器可以通過這條隧道進(jìn)行連接訪問，就像在一個內(nèi)部局域網(wǎng)一樣
• VPN的實(shí)現(xiàn)主要依賴于隧道技術(shù)，用一種協(xié)議來傳輸另一種協(xié)議

VPN的典型應(yīng)用

• 在外員工訪問總部里面的信息，要用Access VPN,也被稱為APDN（虛擬私有撥號網(wǎng)），需要專門的VPN軟件。
• 企業(yè)分支機(jī)構(gòu)和企業(yè)總部之間建立Internet VPN，它可以為總部及個分支機(jī)構(gòu)提供一個整個企業(yè)網(wǎng)的訪問權(quán)限
• 外部合作公司與企業(yè)總部之間建立Extranet VPN，連接客戶供應(yīng)商，合作伙伴到企業(yè)內(nèi)網(wǎng)，支持對外部用戶進(jìn)行相應(yīng)的訪問權(quán)限設(shè)定

Netfilter/IPtables防火墻

主要為Linux防火墻

• Netfilter工作在內(nèi)核層，由一下信息表過濾表組成，這些信息報過濾表包含內(nèi)核用來控制信息包過濾處理的規(guī)則集
• Iptables工作在用戶層，是管理包過濾規(guī)則的工具，可完成插入，刪除，修改包過濾規(guī)則，包過濾規(guī)則改變后立即生效

Netfilter通用架構(gòu)

• 是嵌入在Linux內(nèi)核IP協(xié)議棧中的一個通用架構(gòu)
• 它提供了一系列的“表”（tables）
• 美國表由若干“鏈”組成
• 每條鏈中可以有一條或數(shù)條規(guī)則
• 表—鏈—規(guī)則
• filter表實(shí)現(xiàn)包過濾，決定哪些包可以放行，哪些包不可以放行
• nat表實(shí)現(xiàn)網(wǎng)絡(luò)地址翻譯
• mangle表實(shí)現(xiàn)修改網(wǎng)絡(luò)數(shù)據(jù)包包頭的字段

Netfilter程序流程架構(gòu)

• 最上面第一層是TCP/IP架構(gòu)的網(wǎng)絡(luò)接入層（鏈入層，物理層）

• 第二層是網(wǎng)絡(luò)層/IP層

• 第三層是傳輸層

• 第四層是應(yīng)用層

• Route是路由轉(zhuǎn)發(fā)

• filter表實(shí)現(xiàn)包過濾，決定哪些包可以放行，哪些包不可以放行

• nat表實(shí)現(xiàn)網(wǎng)絡(luò)地址翻譯

• mangle表實(shí)現(xiàn)修改網(wǎng)絡(luò)數(shù)據(jù)包包頭的字段

• Conntrack對收到的數(shù)據(jù)包鏈接跟蹤

Netfilter網(wǎng)TCP/IP協(xié)議棧里面加了若干個鉤子，通過鉤子實(shí)現(xiàn)數(shù)據(jù)包的過濾

IP_PRE_ROUTING

• 實(shí)現(xiàn)對收到的數(shù)據(jù)包在網(wǎng)絡(luò)層進(jìn)行處理（在路由轉(zhuǎn)發(fā)之前）

IP_LOCAL IN

• 對從網(wǎng)絡(luò)層交到本地程序的數(shù)據(jù)進(jìn)行處理

IP_FORWARD

• 主要控制轉(zhuǎn)發(fā)

IP_POST_ROUTING

• 對路由轉(zhuǎn)發(fā)之后的數(shù)據(jù)包處理

IP_LOCAL_OUT

• 本機(jī)應(yīng)用程序生成數(shù)據(jù)包，發(fā)到網(wǎng)絡(luò)上時會被其處理

總結(jié)：

• 在TPC/IP協(xié)議棧中設(shè)置了五個鉤子（hook），每個鉤子中注冊了一些鉤子函數(shù)
• 系統(tǒng)根據(jù)這些鉤子函數(shù)的優(yōu)先級，形成一條鉤子函數(shù)指針鏈
• 當(dāng)數(shù)據(jù)包到達(dá)某個鉤子點(diǎn)時，被依次提交給鉤子函數(shù)指針鏈上的鉤子函數(shù)處理
• 數(shù)據(jù)過濾模塊Filter表只在IP_LOCAL_IN,IP_FORWARD,IP_LOCAL_OUT三個鉤子點(diǎn)上注冊鉤子函數(shù)，每個鉤子函數(shù)讀應(yīng)一張過濾表，每張過濾表包含若干規(guī)則，一條規(guī)則包含0個或多個匹配條件和一個目標(biāo)運(yùn)作，這些規(guī)則由IPtables管理

規(guī)則組成

• IPtables命令=工作表+使用鏈+規(guī)則操作+目標(biāo)操作+匹配條件
  • 工作表：指定該命令針對的表，缺省表為filter
  • 使用鏈：指定表下面的某個鏈，實(shí)際上就是確定哪個鉤子點(diǎn)
  • 規(guī)則操作：包括添加規(guī)則，插入規(guī)則，刪除規(guī)則，替代規(guī)則，列出規(guī)則
  • 目標(biāo)動作：有兩個，ACCEPT（繼續(xù)傳遞數(shù)據(jù)包）DROP（丟棄數(shù)據(jù)包）
  • 匹配條件：指過濾檢查時，用于匹配數(shù)據(jù)包頭信息的特征信息串，比如地址，端口等

例子

入侵檢測系統(tǒng)

IDS（Intrusion Detection System）

• 一種對網(wǎng)絡(luò)傳輸進(jìn)行即時監(jiān)視，發(fā)現(xiàn)可疑傳輸時發(fā)出警報或者采取主動反應(yīng)措施的網(wǎng)絡(luò)安全系統(tǒng)
• 一般認(rèn)為防火墻屬于靜態(tài)防范措施，而入侵檢測系統(tǒng)為動態(tài)防范措施，是對防火墻的有效補(bǔ)充
• 加入防火墻是一棟大樓的門禁，那么IDS就是這棟大樓的監(jiān)視系統(tǒng)
• 發(fā)展趨勢：智能化，分布式

入侵檢測專家系統(tǒng)IDES模型
IDES（Intrusion Detection Expert System）

• 主體（Subject）：在系統(tǒng)上活動的實(shí)體，如用戶，進(jìn)程，線程
• 對象（Object）：系統(tǒng)資源，如文件，設(shè)備，命令
• 審計(jì)記錄（Audit Record）：六元組
  • {主體，活動，對象，異常條件，資源使用情況，時間戳}
  • 活動是主體對對象做了什么事情
  • 異常條件是在什么條件下認(rèn)為活動是異常的
  • 資源使用情況是指CPU利用率，內(nèi)存所用百分比，網(wǎng)絡(luò)流量
  • 時間戳是主體對客體執(zhí)行活動的時間
• 活動輪廓（Activity Profile）：主體正常活動有關(guān)特征信息
• 異常記錄（Anomaly Record）：由事件，時間戳，輪廓組成，表示異常發(fā)生的情況
• 活動規(guī)則：是組成策略規(guī)則集的具體數(shù)據(jù)項(xiàng)，用以匹配檢測審計(jì)記錄中是否存在違反規(guī)則的行為記錄

IDES模型結(jié)構(gòu)

• 策略規(guī)則由活動規(guī)則組成

• 審計(jì)數(shù)據(jù)源可以來源于主機(jī)，也可以來源于網(wǎng)絡(luò)

• 定義好活動規(guī)則，形成策略規(guī)集

• 統(tǒng)計(jì)分析系統(tǒng)主體的活動記錄，形成活動輪廓

• 將需要檢測的數(shù)據(jù)分別傳給

  • 模式匹配器：根據(jù)策略規(guī)則集中的內(nèi)容檢測數(shù)據(jù)源，如發(fā)現(xiàn)違反安全策略規(guī)則活動則報警
  • 輪廓特征引擎：分析抽取數(shù)據(jù)源中主體活動輪廓，與異常檢測器一起判斷是否發(fā)生了異常

• 模式匹配器檢測審計(jì)數(shù)據(jù)源是否違反安全策略規(guī)則，即直接檢測是否發(fā)生了錯誤行為

• 輪廓特征引擎提取出正常活動特征（活動輪廓），并交由異常檢測器判斷審計(jì)數(shù)據(jù)源是否合乎正常活動特征（活動輪廓），不符合則報警。

CIDF通用入侵檢測框架

• 它把入侵檢測系統(tǒng)分成事件產(chǎn)生器，事件分析器，事件數(shù)據(jù)庫，響應(yīng)單元
• 事件產(chǎn)生器搜集信息系統(tǒng)當(dāng)前的行為數(shù)據(jù)，包括主機(jī)用戶行為數(shù)據(jù)及網(wǎng)絡(luò)上的數(shù)據(jù)包（入侵檢測的基礎(chǔ)）。搜集到的數(shù)據(jù)傳輸給事件分析器和事件數(shù)據(jù)庫，也可直接傳遞給響應(yīng)單元
• 事件分析器分析事件產(chǎn)生器收集到的數(shù)據(jù)，查看是否有異常行為，如果有異常行為會傳遞給響應(yīng)單元，如果無異常或有異常，把分析結(jié)果傳給事件數(shù)據(jù)庫
• 事件數(shù)據(jù)庫可以對里面數(shù)據(jù)進(jìn)行分析檢測，規(guī)則檢測和規(guī)則匹配，也可產(chǎn)生響應(yīng)
• 響應(yīng)單元可啟動適應(yīng)的響應(yīng)

入侵檢測的幾個重要概念

• 事件：當(dāng)網(wǎng)絡(luò)或主機(jī)遭到入侵或重大變化時，稱為發(fā)生安全事件，簡稱事件
• 報警：當(dāng)發(fā)生事件時，IDS通過某種方式及時通知管理員事件發(fā)生情況稱為報警
• 響應(yīng)：當(dāng)IDS報警后，網(wǎng)絡(luò)管理員對事件及時做出處理稱為響應(yīng)
• 誤用：誤用是指不正當(dāng)使用計(jì)算機(jī)或網(wǎng)絡(luò)，并構(gòu)成對計(jì)算機(jī)安全或網(wǎng)絡(luò)安全的造成威脅的一類行為
• 異常：對網(wǎng)絡(luò)或主機(jī)的正常行為進(jìn)行采樣，分析，描述處正常的行為輪廓，建立行為模型，稱為行為建模，當(dāng)網(wǎng)絡(luò)或主機(jī)上出現(xiàn)偏離行為模型的事件時，稱為異常
• 入侵特征：也稱為攻擊簽名（Attack Signature）或攻擊模式（Attack Patterns），一般指對網(wǎng)絡(luò)或主機(jī)的某種入侵攻擊行為（誤用行為）的事件過程進(jìn)行分析提煉，形成可以分辨出該入侵攻擊事件的特征關(guān)鍵字，這些特征關(guān)鍵字被稱為入侵特征
• 感應(yīng)器：置在網(wǎng)絡(luò)或主機(jī)中用于收集網(wǎng)絡(luò)信息或用戶行為信息的軟硬件，稱為感應(yīng)器。感應(yīng)器應(yīng)該布置在可以及時取得全面數(shù)據(jù)的關(guān)鍵點(diǎn)上，其性能直接決定IDS檢測的準(zhǔn)確率

入侵檢測系統(tǒng)的工作過程

信息收集

• 入侵檢測的第一步是信息收集，收集內(nèi)容包括系統(tǒng)和網(wǎng)絡(luò)的數(shù)據(jù)及用戶活動的狀態(tài)和行為，信息收集工作一般由放置在不同網(wǎng)段的感應(yīng)器來收集網(wǎng)絡(luò)中的數(shù)據(jù)信息（主要是數(shù)據(jù)包）和主機(jī)內(nèi)感應(yīng)器來收集該主機(jī)的信息

信息分析

• 將收集到的有關(guān)系和網(wǎng)絡(luò)的數(shù)據(jù)及用戶活動的狀態(tài)和行為等信息送到檢測引擎，檢測引擎一般通過三種技術(shù)手段進(jìn)行分析：模式匹配，統(tǒng)計(jì)分析和完整性分析。當(dāng)檢測到某種入侵特征時，會通知控制臺出現(xiàn)了安全事件

信息處理

• 當(dāng)控制臺接到發(fā)生安全事件的通知，將產(chǎn)生報警，也可依據(jù)預(yù)先定義的相應(yīng)措施進(jìn)行聯(lián)動響應(yīng)。如可以重新配置路由器或防火墻，終止進(jìn)程，切斷連接，改變文件屬性等

IDS主要功能

• 監(jiān)測并分析用戶，系統(tǒng)，網(wǎng)絡(luò)的活動變化
• 核查系統(tǒng)配置和漏洞
• 評估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性
• 識別已知的攻擊行為
• 統(tǒng)計(jì)分析異常行為
• 操作系統(tǒng)日志管理，并識別違反安全策略的用戶活動

入侵檢測系統(tǒng)分類

• 以數(shù)據(jù)源為分類標(biāo)準(zhǔn)
  • 主機(jī)型入侵檢測系統(tǒng)HIDS（Host-based Intrusion Detection System）
  • 和網(wǎng)絡(luò)型入侵檢測系統(tǒng)NIDS（Network-based Intrusion System）
• 以檢測技術(shù)為分類標(biāo)準(zhǔn)
  • 基于誤用檢測（Misuse Detection）的IDS
  • 基于異常檢測（Anomaly Detection）的IDS

主機(jī)型入侵檢測系統(tǒng)

• 主機(jī)系統(tǒng)審計(jì)數(shù)據(jù)傳給檢測分析器
• 檢測分析器檢測依據(jù)是攻擊模式庫
• 如果發(fā)生異常則報警，采取應(yīng)急響應(yīng)
• 應(yīng)急響應(yīng)的措施反過來作用到主機(jī)系統(tǒng)上
• 攻擊模式庫，檢測分析器和應(yīng)急響應(yīng)都受到管理配置的管理

優(yōu)點(diǎn)：

• 性價比高，不需要增加專門的硬件平臺
• 準(zhǔn)確率高，主要檢測用戶在系統(tǒng)中的行為活動，如對敏感文件，目錄，程序，端口的訪問，這些行為能實(shí)時地準(zhǔn)確地反映系統(tǒng)實(shí)時狀態(tài)
• 對網(wǎng)絡(luò)流量不敏感，數(shù)據(jù)來源于主機(jī)而不是網(wǎng)絡(luò)，不會因?yàn)榫W(wǎng)絡(luò)流量增加而丟掉對網(wǎng)絡(luò)行為的檢測
• 適合加密環(huán)境下工作

缺點(diǎn)：

• 與操作系統(tǒng)平臺相關(guān)，可移植性差
• 需要在每個被檢測主機(jī)上安裝，維護(hù)復(fù)雜
• 難以檢測針對網(wǎng)絡(luò)的攻擊，如DoS攻擊，端口掃描等

網(wǎng)絡(luò)型入侵檢測系統(tǒng)

• 上部分和主機(jī)型入侵檢測系統(tǒng)相同
• 網(wǎng)絡(luò)型主機(jī)檢測系統(tǒng)的審計(jì)數(shù)據(jù)來源是在網(wǎng)絡(luò)上各個節(jié)點(diǎn)部署的感應(yīng)器采集來的網(wǎng)絡(luò)審計(jì)數(shù)據(jù)，一般是網(wǎng)絡(luò)數(shù)據(jù)包

優(yōu)點(diǎn)：

• 對用戶透明，隱藏性好，使用方便，不容易遭受來自網(wǎng)絡(luò)的攻擊
• 與被檢測的系統(tǒng)平臺無關(guān)
• 利用獨(dú)立的計(jì)算機(jī)完成檢測工作，不會給運(yùn)行關(guān)鍵業(yè)務(wù)的主機(jī)帶來負(fù)載增加
• 攻擊者不易轉(zhuǎn)移數(shù)據(jù)

缺點(diǎn)：

• 無法檢測到來自網(wǎng)絡(luò)內(nèi)部的攻擊及合法用戶的誤用行為
• 無法分析網(wǎng)絡(luò)中加密數(shù)據(jù)的數(shù)據(jù)報文
• 需要對所有網(wǎng)絡(luò)報文進(jìn)行采集分析，主機(jī)負(fù)荷較大，易受DoS攻擊

基于誤用檢測的IDS
事先定義已知入侵行為的入侵特征，將實(shí)際環(huán)境中的數(shù)據(jù)與之匹配

• 也稱為特征分析（Signature Analysis）或基于知識的檢測（knowledge-based Detection）
• 依據(jù)具體特征庫進(jìn)行判斷，所以準(zhǔn)確度很高
• 檢測范圍受限于已有知識的局限，無法檢測未知攻擊
• 將具體入侵行為抽象成知識具有一定的困難，特征庫也需要不斷維護(hù)

基于異常檢測的IDS
根據(jù)使用者行為或資源的使用狀況的程度與正常狀態(tài)下的標(biāo)準(zhǔn)特征之間的偏差判斷是否遭到入侵

• 不依賴于某個具體行為是否出現(xiàn)，通用性強(qiáng)，可以檢測出未知的攻擊
• 得到正常行為或狀態(tài)的標(biāo)準(zhǔn)特征及確定閾值具有較大困難
  • 不可能對整個系統(tǒng)的所有用戶行為進(jìn)行全面描述
  • 每個用戶行為是經(jīng)常改變的
  • 資源使用情況也可能是由于某種特定因素發(fā)生較大變化
• 漏報率低，誤報率高

入侵檢測技術(shù)

• 入侵檢測技術(shù)研究具有綜合性，多領(lǐng)域的特點(diǎn)，技術(shù)種類繁多，涉及到許多相關(guān)學(xué)科
• 以誤用檢測，異常檢測，誘騙，響應(yīng)等四個方面分析一下入侵檢測的主要技術(shù)方法

誤用檢測技術(shù)

• 專家系統(tǒng)
  • 準(zhǔn)確率較高，全面性和效率是主要問題
• 特征分析
  • 模式匹配，需要不斷升級
• 模型推理
  • 建立誤用腳本模型，根據(jù)樣本推理判斷是否發(fā)生了誤用行為
• 狀態(tài)轉(zhuǎn)換分析
  • 難以分析過于復(fù)雜的事件，不能檢測與系統(tǒng)狀態(tài)無關(guān)的入侵
• 完整性校驗(yàn)等
  • 計(jì)算哈希值，與正常哈希值進(jìn)行對比，因?yàn)椴荒芤恢碧幱谛ｒ?yàn)的狀態(tài)，所有難以實(shí)時處理

異常檢測技術(shù)

• 異常檢測是一種與系統(tǒng)相對無關(guān)，通用性較強(qiáng)的入侵檢測技術(shù)

• 通過監(jiān)視系統(tǒng)審計(jì)記錄上系統(tǒng)使用的異常情況，可以檢測出違反安全的事件

• 通常異常檢測都與一些數(shù)學(xué)分析方法相結(jié)合，但存在著誤報率較高的問題

• 異常檢測主要針對用戶行為數(shù)據(jù)，系統(tǒng)資源使用情況進(jìn)行分析判斷

• 統(tǒng)計(jì)分析

  • 維護(hù)一個由用戶和系統(tǒng)行為模式組成的規(guī)則庫，每個模式用一系列系統(tǒng)度量來表示特定用戶的正常行為
  • Denning的IDES中定義了三種度量：事件計(jì)數(shù)器，間隔定時器，資源測量器
  • Denning的IDES提出了五種統(tǒng)計(jì)模型：可操作模型，均值和標(biāo)準(zhǔn)差模型，多變量模型，馬爾可夫模型，時間序列模型

• 預(yù)測模型

  • 為克服Denning模型中未考慮事件發(fā)生順序的特點(diǎn)，1990年Henry提出了預(yù)測模型

• 系統(tǒng)調(diào)用檢測

• 基于人工智能的異常檢測技術(shù)

  • 數(shù)據(jù)挖掘，神經(jīng)網(wǎng)絡(luò)，模糊證據(jù)等

入侵誘騙技術(shù)

• 入侵誘騙是指用通過偽裝成具有吸引力的網(wǎng)絡(luò)主機(jī)來吸引攻擊者，同時對攻擊者的各種攻擊行為進(jìn)行分析，進(jìn)而找到有效的應(yīng)對方法。
• 具有通過吸引攻擊者，從而保護(hù)重要的網(wǎng)絡(luò)服務(wù)系統(tǒng)的目的
• 常見的入侵誘騙技術(shù)有蜜罐（Honeypot ）技術(shù)和蜜網(wǎng)（Honeynet）技術(shù)等

響應(yīng)技術(shù)
入侵檢測系統(tǒng)的響應(yīng)技術(shù)可以分為主動響應(yīng)和被動響應(yīng)

• 主動響應(yīng)是系統(tǒng)自動隔斷攻擊過程或以其他方式影響攻擊過程
  • 利用防火墻或網(wǎng)關(guān)阻止來自入侵IP的數(shù)據(jù)包
  • 發(fā)送TCP RST包阻斷網(wǎng)絡(luò)連接
  • 發(fā)送ICMP Destination Unreachable包阻斷網(wǎng)絡(luò)連接
  • 發(fā)送郵件給入侵主機(jī)所在網(wǎng)絡(luò)的管理員請求協(xié)助處理
• 被動響應(yīng)是報告和記錄發(fā)生的事件，無法阻止入侵行為，只是起到縮短系統(tǒng)管理人員反應(yīng)時間的作用

Snort系統(tǒng)

• Snort入侵檢測系統(tǒng)是一個開放源代碼的輕量級實(shí)時網(wǎng)絡(luò)入侵檢測系統(tǒng)

• Snort遵循CIDF模型，使用誤用檢測的方法來識別發(fā)現(xiàn)違反系統(tǒng)和網(wǎng)絡(luò)安全策略的網(wǎng)絡(luò)行為

• Snort系統(tǒng)包括數(shù)據(jù)包捕獲模塊，預(yù)處理模塊，檢測引擎和輸出模塊四部分組
  

• 數(shù)據(jù)包捕獲模塊從網(wǎng)絡(luò)適配器（網(wǎng)卡）上抓包

• 抓到的數(shù)據(jù)包經(jīng)過預(yù)處理模塊對數(shù)據(jù)包進(jìn)行預(yù)處理

• 然后經(jīng)過檢測引擎里面定義的大量的規(guī)則發(fā)現(xiàn)異常

• 然后經(jīng)由輸出模塊輸出日志并報警

• 數(shù)據(jù)包捕獲模塊：在物理鏈路層上捕獲原始數(shù)據(jù)包

• 預(yù)處理模塊：插件形式

  • 模擬TCP/IP協(xié)議堆棧功能用的插件：IP碎片重組，TCP流重組
  • 解碼插件：HTTP解碼，Unicode解碼
  • 規(guī)則匹配無法進(jìn)行攻擊檢測時所用的插件：端口掃描檢測插件，ARP欺騙檢測插件

• 核心引擎模塊：snort的核心部件，實(shí)現(xiàn)規(guī)則分析和特征檢測

Snort規(guī)則庫：Snort將所有已知的入侵行為以規(guī)則的形式存放在規(guī)則庫中，并以三維鏈表結(jié)構(gòu)進(jìn)行組織

• 規(guī)則鏈表集RL（RuleLists）：由五個規(guī)則鏈表節(jié)點(diǎn)RLN（RuleListNode）組成，根據(jù)規(guī)則行為來分（Alert，Log，Pass，Activate，Dynamic）
• 每個規(guī)則鏈表節(jié)點(diǎn)指向一個規(guī)則鏈表頭RLH（RuleListHead），每個規(guī)則鏈表頭RLH默認(rèn)包含四棵規(guī)則協(xié)議樹（Iplist,Tcplist,Udplist,Icmplist），RLH可擴(kuò)展，添加新的規(guī)則協(xié)議樹
• 每個規(guī)則協(xié)議樹由規(guī)則樹節(jié)點(diǎn)RTN（RuleTreeNode）組成
• 規(guī)則樹節(jié)點(diǎn)down頭指向規(guī)則選項(xiàng)節(jié)點(diǎn)OTN（OptTreeNode）
• 一個規(guī)則樹節(jié)點(diǎn)和附帶的若干個規(guī)則選項(xiàng)節(jié)點(diǎn)合在一起叫一條規(guī)則，代表一種異常行為

Snort規(guī)則
Snort規(guī)則由一個規(guī)則頭（RTN）和一個規(guī)則選項(xiàng)（OTN）鏈表組成

• RTN包含運(yùn)作選項(xiàng)，數(shù)據(jù)包類型，源地址，源端口，目的地址，目的端口，數(shù)據(jù)流動方向等
• OTN包含報警信息和匹配內(nèi)容等選項(xiàng)，每個OTN包含一組用來實(shí)現(xiàn)匹配操作的函數(shù)指針，當(dāng)數(shù)據(jù)與某個OTN匹配時，判斷此數(shù)據(jù)包為攻擊數(shù)據(jù)包

例子

• alert tcp any any->10.1.1.0/24 80(content:“/cgi-bin/phf”; msg:“PHF probe！”；)
• 括號左面為規(guī)則頭，括號中間的部分為規(guī)則選項(xiàng)，規(guī)則選項(xiàng)中冒號前的部分為選項(xiàng)關(guān)鍵字（Option Keyword）
• 規(guī)則頭由規(guī)則行為，協(xié)議字段，地址和端口信息三部分組成。Snort定義了五種可選的行為：
  • Alert：使用設(shè)定的警告方法生成警告信息，并記錄這個數(shù)據(jù)報文
  • Log：使用設(shè)定的記錄方法來記錄這個數(shù)據(jù)報文
  • Pass：忽略這個數(shù)據(jù)報文
  • Activate：進(jìn)行alert，然后激活另一個dynamic規(guī)則
  • Dynamic：等待被一個activate規(guī)則激活，被激活后就作為一條log規(guī)則執(zhí)行

網(wǎng)絡(luò)防御的新技術(shù)

VLAN技術(shù)

• VLAN（Virtual Local Area Network）虛擬局域網(wǎng)
• 定義為：虛擬局域網(wǎng)VLAN是由一些局域網(wǎng)網(wǎng)段構(gòu)成的與物理位置無關(guān)的邏輯組，而每個邏輯組中的成員具有某些相同的需求
• VLAN是用戶和網(wǎng)絡(luò)資源的邏輯組合，是局域網(wǎng)給用戶提供的一種服務(wù)，而并不是一種新型局域網(wǎng)
• VLAN使管理員可以根據(jù)實(shí)際應(yīng)用需求，把同一物理局域網(wǎng)內(nèi)的不同用戶劃分為不同的廣播域，每個VLAN包含一組具有相同需求的計(jì)算機(jī)工作站
• 每個VLAN幀有一個明確的標(biāo)識符，指明發(fā)送這個幀的工作站屬于那個VLAN
• 同一個VLAN內(nèi)的工作站可以在不同的物理網(wǎng)中

VLAN的劃分方式

• 基于端口的VLAN劃分：把一個或多個交換機(jī)上的幾個端口劃分成一個邏輯組，這是最簡單，最有效的劃分方法。缺點(diǎn)是用戶從一個端口移動到另一個端口時需要重新配置
• 基于MAC地址的VLAN劃分：按MAC地址把一些節(jié)點(diǎn)劃分為一個邏輯子網(wǎng)，使得網(wǎng)絡(luò)節(jié)點(diǎn)不會因?yàn)榈乩砦恢玫淖兓淖兤渌鶎俚木W(wǎng)絡(luò)，從而解決了網(wǎng)絡(luò)節(jié)點(diǎn)的變更問題。缺點(diǎn)是用戶更換網(wǎng)卡時需要重新配置
• 基于IP子網(wǎng)的VLAN劃分：通過所連計(jì)算機(jī)的IP地址，來決定其所屬的VLAN。缺點(diǎn)是可能受到IP地址盜用攻擊

VLAN的安全性

• 廣播風(fēng)暴的防范
  • 物理網(wǎng)絡(luò)分段和VLAN的邏輯分段，同一VLAN處于相同的廣播域，通過VLAN的劃分可以有效地阻隔網(wǎng)絡(luò)廣播，縮小廣播域，控制廣播風(fēng)
  • 規(guī)劃好各個VLAN成員，將網(wǎng)絡(luò)內(nèi)頻繁通信的用戶放在一個VLAN內(nèi)，可以減少網(wǎng)間流量，節(jié)約網(wǎng)絡(luò)帶寬，提高網(wǎng)絡(luò)效率
• 信息隔離
  • 同一個VLAN內(nèi)的計(jì)算機(jī)之間便可以直接通信，不同VLAN間的通信則要通過路由器進(jìn)行路由選擇，轉(zhuǎn)發(fā)，這樣就能隔離基于廣播的信息（如機(jī)器名，DHCP信息），防止非法訪問
• 控制IP地址盜用
  • 該VLAN內(nèi)任何一臺計(jì)算機(jī)的IP地址必須在分配給該VLAN的Ip地址范圍內(nèi)，否則將無法通過路由器的審核，也就不能進(jìn)行通信

VLAN存在的問題

• 容易受到欺騙攻擊和硬件依賴性問題
  • 欺騙攻擊主要包括MAC地址欺騙，ARP欺騙以及IP盜用轉(zhuǎn)網(wǎng)等問題
  • 硬件依賴是指VLAN的組建需要使用交換機(jī)，并且不同主機(jī)之間的信息交換要經(jīng)過交換機(jī)，所有VLAN的安全性在很大程度上依賴于所使用的的交換機(jī)，以及對交換機(jī)的配置

IPS和IMS

入侵防御系統(tǒng)IPS

• 入侵防御系統(tǒng)IPS（Intrusion Prevention System）：串聯(lián)部署在內(nèi)外網(wǎng)之間的關(guān)鍵路徑上，基于包過濾的存儲轉(zhuǎn)發(fā)機(jī)制工作，深度感知并檢測流經(jīng)網(wǎng)絡(luò)的流量，對惡意數(shù)據(jù)包丟棄以阻斷攻擊
  
• 流量分析器對數(shù)據(jù)流輸入進(jìn)行流量捕捉
• 將捕捉到的流量輸入到檢測引擎，進(jìn)行基于異常的檢測和基于誤用的檢測
• 檢測結(jié)果決定響應(yīng)模塊的反應(yīng)
• 并進(jìn)行流量調(diào)整

IPS與IDS相比具有許多先天優(yōu)勢

• 具備檢測和防御功能
• 可檢測到IDS檢測不到的攻擊行為，在應(yīng)用層內(nèi)容檢測的基礎(chǔ)上加上主動響應(yīng)和過濾功能
• 黑客較難破壞入侵攻擊數(shù)據(jù)，IPS檢測攻擊行為時具有實(shí)時性，因此可在入侵發(fā)生時予以檢測防御，避免入侵攻擊行為記錄被破壞
• 具有雙向檢測防御功能，可以對內(nèi)網(wǎng)和外網(wǎng)兩個方向的攻擊入侵行為做到檢測和防御

IPS的缺點(diǎn)

• 串聯(lián)接入，易成為網(wǎng)絡(luò)性能瓶頸，必須做到高性能，高可靠性，高安全性

入侵管理系統(tǒng)IMS

• 把入侵行為分為三個階段，入侵發(fā)生前，入侵發(fā)生過程中，入侵發(fā)生后
• 入侵發(fā)生前：預(yù)防攻擊
  • 風(fēng)險評估
  • 漏洞通告
  • 補(bǔ)丁建議
• 入侵發(fā)生過程中：檢測并阻斷攻擊
  • 記錄
  • 阻斷
  • 病毒檢測
  • 誤用檢測
  • 異常檢測
• 入侵發(fā)生后：分析加固系統(tǒng)
  • 事件分析
  • 趨勢分析
  • 系統(tǒng)加固
  • 入侵檢測

云安全

• “云”是近幾年來出現(xiàn)的概念，云計(jì)算（Cloud Compute），云存儲（Cloud Storage）以及云安全（Cloud Security）也隨之相繼產(chǎn)生
• 最早受到IBM，微軟，Google等巨頭追捧的“云計(jì)算”模式，是將計(jì)算資源放置在網(wǎng)絡(luò)中，供許多終端設(shè)備來使用，其關(guān)鍵是分布處理，并行處理以及網(wǎng)格計(jì)算，云可以理解為網(wǎng)絡(luò)中所有可計(jì)算，可共享的資源，這是個共享資源的概念
• “云安全”可以理解為基于“云計(jì)算”的安全服務(wù)，即讓服務(wù)器端（云端）承擔(dān)與安全相關(guān)的計(jì)算，而讓客戶端承擔(dān)掃描和防護(hù)任務(wù)
• 云安全是通過網(wǎng)狀的大量客戶端對網(wǎng)絡(luò)中軟件行為的異常監(jiān)測，獲取互聯(lián)網(wǎng)中木馬，惡意程序的最新消息，傳送到服務(wù)器端進(jìn)行自動分析和處理，再把病毒和木馬的解決方案分發(fā)到每一個客戶端。目前“云安全”也被稱為“云殺毒”

• 云安全用戶會部署客戶端數(shù)據(jù)采集程序，把可疑信息上報給云端的云安全系統(tǒng)的服務(wù)器
• 云安全系統(tǒng)實(shí)現(xiàn)在線查殺，數(shù)據(jù)分析，建議惡意程序，病毒木馬的特征庫
• 經(jīng)過分析以后，把云安全解決方案發(fā)送給云安全用戶
• 降低了云安全用戶在計(jì)算上的壓力

好處：

• 作為云端服務(wù)器，可以掌握大量的惡意程序腳本，可以從總體上進(jìn)行安全的判斷，提供病毒木馬查殺的針對性，在整體上對網(wǎng)絡(luò)安全進(jìn)行把握
• 減低客戶端計(jì)算壓力

建立“云安全”需要解決的問題

• 需要海量的客戶端
  • 只有擁有海量客戶端才能對互聯(lián)網(wǎng)上出現(xiàn)的病毒，木馬，掛馬網(wǎng)站有靈敏的感知能力，在第一時間做出反應(yīng)
• 需要專業(yè)的反病毒技術(shù)和經(jīng)驗(yàn)
  • 沒有反病毒技術(shù)和經(jīng)驗(yàn)積累，無法及時處理海量的上報信息，并將處理結(jié)果共享給云安全系統(tǒng)中的每個成員
• 需要大量的資金和技術(shù)投入
  • 需要大量的服務(wù)器和網(wǎng)絡(luò)帶寬
• 開放的系統(tǒng)
  • 云的原始定義中包含了資源共享，云安全系統(tǒng)必須是一個具有開放性的系統(tǒng)，其獲得的信息應(yīng)該最大程度地為廣大用戶所使用

---

內(nèi)容安全

概述

• 信息內(nèi)容安全有兩方面內(nèi)容：
  • 一方面是針對合法的信息內(nèi)容加以安全保護(hù)，如對合法的音像制品及軟件的版權(quán)保護(hù)
  • 另一方面是指針對非法的信息內(nèi)容實(shí)施監(jiān)管，如對網(wǎng)絡(luò)色情信息的過濾等
  • 內(nèi)容保護(hù)：數(shù)字水印，版權(quán)控制
  • 內(nèi)容監(jiān)管：內(nèi)容識別，內(nèi)容過濾

內(nèi)容保護(hù)

• 互聯(lián)網(wǎng)的發(fā)展與普及使電子出版物的傳播和交易變得便捷，侵權(quán)盜版活動也呈現(xiàn)日益猖獗之勢
• 為了打擊盜版犯罪
  • 一方面要通過立法來加強(qiáng)對知識產(chǎn)權(quán)的保護(hù)
  • 另一方面要有先進(jìn)的技術(shù)手段來保障法律的實(shí)施
• 針對內(nèi)容保護(hù)技術(shù)大多數(shù)都是基于密碼學(xué)和隱寫術(shù)發(fā)展起來的
  • 如數(shù)據(jù)鎖定，隱寫標(biāo)記，數(shù)字水印和數(shù)字版權(quán)管理DRM等技術(shù)，其中最具有發(fā)展前景和實(shí)用價值的是數(shù)字水印和數(shù)字版權(quán)管理

信息隱藏和信息加密的區(qū)別

• 信息隱藏和信息加密都是為了保護(hù)秘密信息的存儲和傳輸，使之免遭敵手的破壞和攻擊，但兩者之間有著顯著的區(qū)別
  • 信息加密是利用對稱密鑰密碼或公開密鑰密碼把明文轉(zhuǎn)換成密文，信息加密所保護(hù)的是信息的內(nèi)容
  • 信息隱藏是將秘密信息嵌入到表面上看上去無害的宿主信息中，攻擊者無法直觀地判斷他所監(jiān)視的信息中是否含義秘密信息，換句話說，具有隱匿信息的宿主信息不會引起別人的注意和懷疑，同時隱匿信息又能夠?yàn)榘鏅?quán)者提供一定的版權(quán)保護(hù)

版權(quán)保護(hù)技術(shù)

• 數(shù)據(jù)鎖定是指出版商把多個軟件或電子出版物集成到一張光盤上出售，盤上的所有內(nèi)容均被分別進(jìn)行加密鎖定，不同的用戶買到的均是相同的光盤，每個用戶只需付款買它所需內(nèi)容的相應(yīng)密鑰，即可利用該密鑰對所需內(nèi)容解除鎖定，而其余不需要的內(nèi)容仍處于鎖定狀態(tài)，用戶是無法使用的
• 隱匿標(biāo)記是指利用文字或圖像的格式（如間距，顏色等）特征隱藏特定信息，例如在文本文件中，字與字之間，行與行之間均有一定的空白間隔，把這些空白間隔精心改變后可以隱藏某種編碼的標(biāo)記信息以識別版權(quán)所有者，而文件中的文字內(nèi)容不需做任何改動
• 數(shù)字水印是鑲嵌在數(shù)據(jù)中，并且不影響數(shù)據(jù)合法使用的具有可鑒別性的數(shù)據(jù)，它一般應(yīng)當(dāng)具有不可察覺性，抗擦除性，穩(wěn)健性和可解碼性。為了保護(hù)版權(quán)，可以在數(shù)字視頻內(nèi)容中嵌入水印信號，如果制定某種標(biāo)準(zhǔn)，可以使數(shù)字視頻播放機(jī)能夠鑒別到水印，一旦發(fā)現(xiàn)在可寫光盤上有“不許拷貝”的水印，表面這是一張經(jīng)非法拷貝的光盤，因而拒絕播放。還可以使數(shù)字視頻拷貝機(jī)檢測水印信息，如果發(fā)現(xiàn)“不許拷貝”的水印，就不去拷貝相應(yīng)內(nèi)容
• 數(shù)字版權(quán)管理DRM（Digital Right Management）技術(shù)是專門用來保護(hù)數(shù)字化版權(quán)的產(chǎn)品。DRM的核心是數(shù)據(jù)加密和權(quán)限管理，同時包含了上述提到的幾種技術(shù)。DRM特別適合基于互聯(lián)網(wǎng)應(yīng)用的數(shù)字版權(quán)保護(hù)，目前已經(jīng)成為數(shù)字媒體的主要版權(quán)保護(hù)手段

內(nèi)容監(jiān)管

• 在對合法信息進(jìn)行有效的內(nèi)容保護(hù)的同時，針對大量的充斥暴力色情等非法內(nèi)容的媒體信息（特別是網(wǎng)絡(luò)媒體信息）的內(nèi)容監(jiān)管也十分必要
• 面向網(wǎng)絡(luò)信息內(nèi)容的監(jiān)管主要涉及兩類
  • 一類是靜態(tài)信息，主要是存在于各個網(wǎng)站中的數(shù)據(jù)信息，例如掛馬網(wǎng)站的有關(guān)網(wǎng)頁，色情網(wǎng)站上的有害內(nèi)容以及釣魚網(wǎng)站上的虛假信息等
  • 另一類是動態(tài)信息，主要是在網(wǎng)絡(luò)中流動的數(shù)據(jù)信息，例如網(wǎng)絡(luò)中傳輸?shù)睦]件，色情及虛假網(wǎng)頁信息等

內(nèi)容監(jiān)管技術(shù)

• 針對靜態(tài)信息的內(nèi)容監(jiān)管技術(shù)主要包括網(wǎng)站數(shù)據(jù)獲取技術(shù)，內(nèi)容分析技術(shù)，控管技術(shù)
• 對于動態(tài)信息進(jìn)行內(nèi)容監(jiān)管所采取的技術(shù)主要包括網(wǎng)絡(luò)數(shù)據(jù)獲取技術(shù)，內(nèi)容分析技術(shù)，控管技術(shù)等
• 有關(guān)內(nèi)容分析技術(shù)和控管技術(shù)部分基本上與靜態(tài)信息采取的處理技術(shù)相同

版權(quán)保護(hù)

• 版權(quán)（著作權(quán)）保護(hù)是內(nèi)容保護(hù)的重要部分，其最終目的不是“如何防止使用”，而是“如何控制使用”，版權(quán)保護(hù)的實(shí)質(zhì)是一種控制版權(quán)作品使用的機(jī)制
• 數(shù)字版權(quán)保護(hù)技術(shù)DRM就是以一種安全算法實(shí)現(xiàn)對數(shù)字內(nèi)容的保護(hù)
  • DRM的目的是從技術(shù)上防止數(shù)字內(nèi)容的非法復(fù)制，用戶必須在得到授權(quán)后才能使用數(shù)字內(nèi)容
  • DRM涉及的主要技術(shù)包括數(shù)字標(biāo)識技術(shù)，安全加密技術(shù)以及安全存儲技術(shù)等
  • DRM技術(shù)方法主要有兩類，一類是采用數(shù)字水印技術(shù)，另一類是以數(shù)據(jù)加密和防拷貝為核心的DRM技術(shù)

DRM概述

DRM工作原理

• 內(nèi)人經(jīng)過版權(quán)處理后，變成受保護(hù)文件
• 受保護(hù)文件分發(fā)給客戶端
• 客戶端要使用查看受保護(hù)文件，客戶端要使用DRM控制器
• DRM控制器向DRM服務(wù)器申請授權(quán)許可
• 授權(quán)許可包括密鑰+權(quán)限
• 如果授權(quán)申請合法，服務(wù)器將授權(quán)許可發(fā)給客戶端
• 客戶端拿到授權(quán)許可后從中取出權(quán)限和密鑰后就可以打開受保護(hù)的文件內(nèi)容

主要版權(quán)保護(hù)產(chǎn)品

• 目前DRM所保護(hù)的內(nèi)容主要分為三類
  • 包括電子書，音視頻文件，電子文檔
• Adobe公司的ACS（Adobe Content Server）軟件
• 方正的Apabi數(shù)字版權(quán)保護(hù)軟件，主要由Maker，Rights Server，Retail Server和Reader四部分組成
• Microsoft公司發(fā)布的Windows Media DRM
  • 最小版本的Windows Media DRM 10 系列包括了服務(wù)器和軟件開發(fā)包SDKs
• RMS（Rights Management Service），Microsoft公司
  • 適用于電子文檔保護(hù)的數(shù)字內(nèi)容管理系統(tǒng)

數(shù)字水印

• 原始的水印Watermark是指在制作紙張過程中通過改變紙張纖維密度的方法而形成的，“夾”在紙中而不是紙的表面，迎光透視時可以清晰看到的有明暗紋理的圖像或文字
  • 人民幣，購物券，有價證券，以防止造假
• 數(shù)字水印（digital watermark）也是用來證明一個數(shù)字產(chǎn)品的擁有權(quán)，真實(shí)性
  • 數(shù)字水印是通過一些算法嵌入在數(shù)字產(chǎn)品中的數(shù)字信息，例如產(chǎn)品的序列號，公司圖像標(biāo)志以及有特殊含義的文本等
• 數(shù)字水印可分為可見數(shù)字水印和不可見數(shù)字水印
  • 可見水印主要用于聲明對產(chǎn)品的所有權(quán)，著作權(quán)和來源，起到廣告宣傳和使用約束的作用，例如電視臺播放節(jié)目的臺標(biāo)即起到廣告宣傳，又可聲明所有權(quán)
  • 不可見數(shù)字水印的層次更高，制作難度更大，應(yīng)用面也更廣

數(shù)字水印原理

• 一個數(shù)字水印方案一般包括三個基本方面：水印的形成，水印的嵌入，水印的檢測
• 水印的形成主要是指選擇有意義的數(shù)據(jù)，以特定的形式生成水印信息，如有意義的文字，序列號，數(shù)字圖像（商標(biāo)，印鑒等）或者數(shù)字音頻片段的編碼
• 一般水印信息可以根據(jù)需要制作成可直接閱讀的明文信息，也可以是經(jīng)過加密處理后的密文

水印的嵌入

• 水印的嵌入與密碼體系的加密環(huán)節(jié)類似，一般分為輸入，嵌入處理和輸出三部分

• 原始文件通過密鑰把水印信息，在水印嵌入算法作用下，輸出帶水印的文件

水印的檢測

• 水印的檢測分為
• 水印的檢測方式主要分為盲水印檢測和非盲水印檢測
  • 盲水印檢測主要指不需要原始數(shù)據(jù)（原始宿主文件和水印信息）參與，直接進(jìn)行檢測水印信號是否存在
  • 非盲水印檢測是指在原始數(shù)據(jù)參與下進(jìn)行水印檢測

• 輸入可能的帶有水印的文件
• 通過盲水印檢測或非盲水印檢測
• 如果盲水印檢測，不需要原始文件，如果非盲水印檢測，需要原始文件
• 如果沒有水印則報告無水印
• 如果有水印，則進(jìn)行水印提取，水印提取需要水印嵌入時的密鑰
• 提取出來的水印和原始水印對比，如果相同則數(shù)字水印沒有被篡改，如果不相同則數(shù)字水印已被篡改

數(shù)字水印算法

• 面向文本的水印算法
• 面向圖像的水印算法
• 面向音頻視頻的水印算法
• NEC算法
• 生理模型算法

面向文本的水印算法

• 純文本文檔 vs 格式化文檔
  • 純文本文檔不包含格式
  • 格式化文檔包含格式
• 基于文檔結(jié)構(gòu)微調(diào)的文本水印算法
  • 通過文本文檔的空間域變換（字符，行，段落的結(jié)構(gòu)布局，字符的形狀和顏色）來嵌入水印
• 基于語法的文本水印算法
  • 根據(jù)語法規(guī)則對載體文本中的詞匯進(jìn)行替換來隱藏水印信息
  • 按照語法規(guī)則對載體文本中的標(biāo)點(diǎn)符號進(jìn)行修改
• 基于語意的文本水印算法
  • 將一段正常的語言文字修改成包含特定詞語（如同義詞）的語言文字，在修改的過程中嵌入水印信息
• 基于漢字特點(diǎn)的文本水印算法
  • 筆畫，結(jié)構(gòu)，字體

面向圖像的數(shù)字水印算法

• 空域數(shù)字圖像水印算法主要是在圖像的像素上直接進(jìn)行的，通過修改圖像的像素值嵌入數(shù)字水印
  • 經(jīng)典的最低有效位LSB（Least Significant Bits）空域水印算法是以人類視覺系統(tǒng)不易感知為準(zhǔn)則，在原始載體數(shù)據(jù)的最不重要位置上嵌入數(shù)字水印信息，該算法的優(yōu)勢是可嵌入的水印容量大，不足是嵌入的水印信息很容易被移除
• 變換域數(shù)字水印算法是在圖像的變換域進(jìn)行水印嵌入的，將原始圖像經(jīng)過正交變換，將水印嵌入到圖像的變換系數(shù)中去。常用的變換有：
  • 離散傅里葉變換DFT（Discrete Fourier Transform），離散余弦變換DCT（Discrete Cosine Transform），離散小波變換DWT（Discrete Wavelet Transform）等

面向音頻視頻的水印算法

• 根據(jù)音頻水印載體類，音頻水印技術(shù)可分為基于原始音頻和基于壓縮音頻兩種
  • 基于原始音頻方法是在未經(jīng)編碼壓縮的音頻信號中直接嵌入水印
  • 基于壓縮音頻方法是音頻信號在壓縮編碼過程中嵌入水印信息，輸出的是含水印的壓縮編碼的音頻信號
• 視頻可以任務(wù)是由一系列連續(xù)的靜止圖像在時間域上構(gòu)成的序列，因此視頻水印技術(shù)和圖像水印技術(shù)在應(yīng)用模式和設(shè)計(jì)方案上具有相似之處
  • 數(shù)字視頻水印主要包括基于原始視頻的水印，基于視頻編碼的水印和基于壓縮視頻的水印

NEC算法

• NEC算法是由NEC實(shí)驗(yàn)室提出，在數(shù)字水印算法中占有重要地位
  • 水印信號應(yīng)該嵌入到那些人感覺最敏感的原始數(shù)據(jù)部分，在頻譜空間中，這種重要部分是低音頻分量，這樣，攻擊者在破壞水印過程中，不可避免地會引起圖像質(zhì)量的嚴(yán)重下降
  • 水印信號應(yīng)該由具有高斯分布的獨(dú)立同分布隨機(jī)實(shí)數(shù)序列構(gòu)成，這使得水印抵抗多拷貝聯(lián)合攻擊的能力大大增強(qiáng)
  • NEC算法有較強(qiáng)的健壯性，安全性，透明性等

生理模型算法

• 人的生理模型包括
  • 人類視覺系統(tǒng)HVS（Human Visual System）
  • 人類聽覺系統(tǒng)HAS（Human Auditory System）
• 生理模型算法的基本思想是利用人類視聽覺的掩蔽現(xiàn)象，從人的生理模型導(dǎo)出可察覺差異JND（Just Noticeable Difference）
• 利用JND描述來確定圖像的各個部分所能容忍的數(shù)字水印信號的最大強(qiáng)度
• 人類視覺對物體的亮度和紋理有不同程度的感知性，可以調(diào)節(jié)嵌入水印信號的強(qiáng)度
  • 光度掩蔽特性：背景越亮，所嵌入水印的可見性就越低
  • 紋理掩蔽特性：背景紋理越復(fù)雜，所嵌入水印的可見性就越低

內(nèi)容監(jiān)管

• 內(nèi)容監(jiān)管是內(nèi)容安全的另一重要方面，如果監(jiān)管不善，會對社會造成極大的影響，其重要性不言而喻
• 內(nèi)容監(jiān)管涉及到很多領(lǐng)域，其中基于網(wǎng)絡(luò)的信息已經(jīng)成為內(nèi)容監(jiān)管的首要目標(biāo)，一般來說病毒，木馬，色情，反動，嚴(yán)重的虛假欺騙以及垃圾郵件等有害的網(wǎng)絡(luò)信息都需要進(jìn)行監(jiān)管

網(wǎng)絡(luò)信息內(nèi)容監(jiān)管

• 內(nèi)容監(jiān)管首先解決的是如何制定監(jiān)管的總體策略
  • 總體策略主要包括監(jiān)管的對象，監(jiān)管的內(nèi)容，對違規(guī)內(nèi)容如何處理等
• 首先如何界定違規(guī)內(nèi)容（那些需要禁止的信息），即能夠禁止違規(guī)內(nèi)容，又不會殃及到合法應(yīng)用
• 其次對于可能存在一些違規(guī)消息的網(wǎng)站如何處理
  • 一種方法是通過防火墻禁止對該網(wǎng)站的全部訪問，這樣比較安全，但也會禁止掉其他有用內(nèi)容
  • 另一種方法是允許網(wǎng)站部分訪問，只是對那些有害網(wǎng)頁信息進(jìn)行攔截，但此種方法存在攔截失敗的可能性

內(nèi)容監(jiān)管系統(tǒng)模型

• 依據(jù)數(shù)據(jù)獲取策略從互聯(lián)網(wǎng)上獲取相關(guān)數(shù)據(jù)（數(shù)據(jù)獲取）
• 拿到數(shù)據(jù)后，對數(shù)據(jù)進(jìn)行加工處理（數(shù)據(jù)調(diào)整）
• 從數(shù)據(jù)中依據(jù)敏感特征的定義進(jìn)行敏感特征搜索（敏感特征搜索）
• 然后依據(jù)違規(guī)定義進(jìn)行違規(guī)判定（違規(guī)判定）
• 如果不違規(guī)，則結(jié)束
• 違規(guī)則根據(jù)處理策略進(jìn)行違規(guī)處理（違規(guī)處理）
• 違規(guī)處理作用回互聯(lián)網(wǎng)

內(nèi)容監(jiān)管策略

• 內(nèi)容監(jiān)管需求是制定內(nèi)容監(jiān)管策略的依據(jù)
• 內(nèi)容監(jiān)管策略是內(nèi)容監(jiān)管需求的形式化表示
  • 數(shù)據(jù)獲取策略主要確定監(jiān)管對象的范圍，采用何種方式獲取需要檢測的數(shù)據(jù)，例如爬蟲和網(wǎng)絡(luò)抓包
  • 敏感特征定義是指用于判斷網(wǎng)絡(luò)信息內(nèi)容是否違規(guī)的特征值，如敏感字符串，圖片等
  • 違規(guī)定義是指依據(jù)網(wǎng)絡(luò)信息內(nèi)容中包含敏感特征值的情況判斷是否違規(guī)的規(guī)則
  • 違規(guī)處理策略是指對于違規(guī)載體（網(wǎng)站或網(wǎng)絡(luò)連接）的處理方法，如禁止對該網(wǎng)站的訪問，攔截有關(guān)網(wǎng)絡(luò)連接等

數(shù)據(jù)獲取

• 數(shù)據(jù)獲取技術(shù)分為主動式和被動式兩種形式
  • 主動式數(shù)據(jù)爬取是指通過訪問有關(guān)網(wǎng)絡(luò)連接而獲得其數(shù)據(jù)內(nèi)容
    • 網(wǎng)絡(luò)爬蟲是典型的主動式網(wǎng)絡(luò)數(shù)據(jù)獲取技術(shù)
  • 被動式數(shù)據(jù)獲取是指在網(wǎng)絡(luò)的特定位置設(shè)置探針，獲取流經(jīng)該位置的所有數(shù)據(jù)，被動式數(shù)據(jù)獲取主要解決兩個方面的問題
    • 探針位置的選擇
    • 對出入數(shù)據(jù)報文的采集

主動數(shù)據(jù)獲取的例子：爬蟲

網(wǎng)絡(luò)爬蟲從一個或多個初始網(wǎng)頁的URL開始根據(jù)一定的網(wǎng)頁分析算法，過濾與主體無關(guān)的鏈接，并將所需的鏈接保存在等待抓取的URL隊(duì)列中，然后，根據(jù)一定的搜索策略從URL隊(duì)列中選擇下一步要抓取的網(wǎng)頁URL，抓來的網(wǎng)頁存入數(shù)據(jù)庫，重復(fù)上述過程，直到滿足某一條件時停止

被動數(shù)據(jù)獲取的例子：探針

將探針部署到邊界路由器或防火墻上，可以抓取到子網(wǎng)A和子網(wǎng)B中的全部的網(wǎng)絡(luò)流量

網(wǎng)絡(luò)報文處理流程

• 網(wǎng)絡(luò)數(shù)據(jù)報文被探針上的網(wǎng)卡即網(wǎng)絡(luò)適配器（工作模式為混雜模式）抓捕
• 抓捕到的網(wǎng)絡(luò)數(shù)據(jù)包按照協(xié)議棧進(jìn)行處理，首先對分片的IP數(shù)據(jù)報文進(jìn)行重組，對TCP的流進(jìn)行還原，這樣就能夠提取到應(yīng)用層的數(shù)據(jù)
• 提取到應(yīng)用層數(shù)據(jù)后可以進(jìn)行數(shù)據(jù)調(diào)整及敏感信息的檢索等處理

數(shù)據(jù)調(diào)整

• 數(shù)據(jù)調(diào)整主要指針對數(shù)據(jù)獲取模塊（主要還是協(xié)議棧）提交的應(yīng)用層數(shù)據(jù)進(jìn)行篩選，組合，解碼以及文本還原等工作，數(shù)據(jù)調(diào)整的輸出結(jié)果用于敏感特征搜索等

• 拿到應(yīng)用層數(shù)據(jù)后進(jìn)行數(shù)據(jù)調(diào)整
• 首先進(jìn)行篩選，可以根據(jù)端口進(jìn)行篩選，可以按照協(xié)議類型進(jìn)行篩選
• 不滿足篩選條件的直接丟棄
• 滿足篩選條件的數(shù)據(jù)進(jìn)行進(jìn)一步加工，例如進(jìn)行組合，解碼，提取原始內(nèi)容后提交給上層處理程序

敏感特征搜索

• 敏感特征搜索實(shí)際上就是依據(jù)實(shí)現(xiàn)定義好的敏感特征策略。在待查內(nèi)容中識別所包含的敏感特征值，搜索的結(jié)果可以作為違規(guī)判定的依據(jù)
• 敏感特征值可以是文本字符串，圖像特征，音頻特征等，他們分別用于不同信息載體的內(nèi)容的敏感特征識別
• 目前基于文本內(nèi)容的識別已經(jīng)比較成熟并達(dá)到可實(shí)用化，而圖像，音頻特征的識別還存在著一些問題，如識別率較低，誤報率較高等，難以實(shí)現(xiàn)全面有效的程序自動監(jiān)管，更多時候需要人的介入
• 基于文本特征的敏感信息搜索最主要的是串匹配

串匹配

• 基于文本內(nèi)容的敏感特征分為敏感字符串和敏感表達(dá)式兩種，均以串匹配為核心技術(shù)
• 串匹配也稱為模式匹配，指在一個字符串中查找是否包含特定子串，子串也被稱為模式或關(guān)鍵字
  • 單模式匹配：在一個字符串中查找某個特定子串，找到則返回子串出現(xiàn)的位置，否則匹配失敗，常用的算法有BF，KMP，BM，BMH算法等
  • 多模式匹配：在一個字符串中查找某些特定子串，找到則返回子串們出現(xiàn)的位置，否則匹配失敗，常用的算法有AC，ACBM，Manber-Wu算法

違規(guī)判斷及處理

• 違規(guī)判斷程序的設(shè)計(jì)思想
  • 將敏感特征搜索結(jié)果與違規(guī)定義相比較，判斷該網(wǎng)絡(luò)信息內(nèi)容是否違規(guī)
• 違規(guī)定義就是說明違規(guī)內(nèi)容應(yīng)具有的特征，即敏感特征
  • 每個敏感特征由敏感特征值和特征值敏感度（某特征值對違規(guī)的影響程度，也可以看做權(quán)重）兩個屬性來描述
  • 敏感特征的搜索結(jié)果具有敏感特征值的廣度（包含相異敏感特征值的數(shù)量）和敏感特征值的深度（包含同一特征值的數(shù)量）兩個指標(biāo)
• 違規(guī)處理目前主要采用的方法與入侵檢測相似
  • 報警就是通知有關(guān)人員違規(guī)事件的具體情況
  • 封鎖IP一般是指利用防火墻等網(wǎng)絡(luò)設(shè)備阻斷對有關(guān)IP地址的訪問
  • 攔截連接是針對某個特定訪問連接實(shí)施阻斷，向通訊雙方發(fā)送RST數(shù)據(jù)包阻斷TCP連接，就是常用的攔截方法

垃圾郵件處理

• 目前主要采用的技術(shù)有過濾，驗(yàn)證查詢和挑戰(zhàn)
  • 過濾（Filter）技術(shù)是相對來說最簡單，最直接的垃圾郵件處理技術(shù)，主要用于郵件接收系統(tǒng)來辨別和處理垃圾郵件
  • 驗(yàn)證查詢技術(shù)主要是指通過密碼驗(yàn)證以及查詢等方法來判斷郵件是否為垃圾郵件
    • 包括反向查詢，雅虎的DKIM（Domain Keys Identified Mail）技術(shù)，Microsoft的SenderID技術(shù)，IBM的FairUCE（Fair use of Unsolicited Commercial Email）技術(shù)以及郵件指紋技術(shù)等
  • 基于挑戰(zhàn)的反垃圾郵件技術(shù)是指通過延緩郵件處理過程，來阻礙發(fā)送大量郵件

基于過濾技術(shù)的反垃圾郵件系統(tǒng)

• 郵件服務(wù)器端和郵件客戶端通過POP3協(xié)議收信
• 可以通過網(wǎng)絡(luò)流量拷貝抓包，把電子郵件通過協(xié)議還原技術(shù)得到
• 通過上述三種方式得到待處理郵件隊(duì)列
• 然后進(jìn)行過濾操作，過濾操作分為三步：白名單過濾，黑名單過濾，內(nèi)容過濾
• 白名單：在白名單里面的郵件接收，不在白名單里面的繼續(xù)篩選
• 黑名單：在黑名單里面的郵件拒絕，不在黑名單里面的繼續(xù)篩選
• 內(nèi)容過濾通過定義的規(guī)則和關(guān)鍵詞進(jìn)行篩選過濾，命中則拒絕，否則是正常郵件

郵件內(nèi)容過濾技術(shù)

• 關(guān)鍵詞過濾：創(chuàng)建一些與垃圾郵件有關(guān)的單詞表，在郵件內(nèi)容中搜索是否包含單詞表中的關(guān)鍵詞
• 基于規(guī)則的過濾：建立一個規(guī)則庫，可以使用單詞，詞組，位置，大小，附件等特征形成過濾規(guī)則
• 基于貝葉斯算法的過濾：是基于評分的過濾器。首先通過垃圾郵件樣本進(jìn)行機(jī)器學(xué)習(xí)，得到垃圾郵件的特征元素（最簡單的特征就是單詞,最復(fù)雜的特征就是短語）；同理，通過對大量正常郵件樣本的機(jī)器學(xué)習(xí)，得到正常郵件的特征元素，針對每個特征給出一個正分?jǐn)?shù)；另一方面檢查正常郵件的特征，給出負(fù)分?jǐn)?shù)。最后每個郵件整體就得到一個垃圾郵件總分，通過這個分?jǐn)?shù)來判斷是否為垃圾郵件

---

信息安全管理

概述

• 當(dāng)今社會已經(jīng)進(jìn)入到信息化社會，其信息安全是建立在信息社會的基礎(chǔ)設(shè)施及信息服務(wù)系統(tǒng)之間的互聯(lián)，互通，互操作意義上的安全需求上
• 安全需求可以分為安全技術(shù)需求和安全管理需求兩個方面
• 管理在信息安全中的重要性高于安全技術(shù)方面，“三分技術(shù)，七分管理”的理念在業(yè)界已經(jīng)得到共識

信息安全管理體系

• 信息安全管理體系ISMS（Information Security Management System）是從管理學(xué)慣用的過程模型PDCA（Plan，Do，Check，Act）發(fā)展演化而來

• Plan：建立ISMS
• Do：實(shí)施和運(yùn)作ISMS
• Check：監(jiān)視和評審ISMS
• Act：維護(hù)和改進(jìn)ISMS

上述四個步驟貫穿了信息安全管理體系的整個生命周期
建立的前提是相關(guān)組織部門的信息安全需求和期望
管理的效果會作用在相關(guān)組織部門，達(dá)到管理狀態(tài)下的信息安全

ISMS

• 信息安全管理體系（ISMS）是一個系統(tǒng)化，過程化的管理體系，體系的建立不可能一蹴而就，需要全面，系統(tǒng)，科學(xué)的風(fēng)險評估，制定保證和有效監(jiān)督機(jī)制
• ISMS應(yīng)該體現(xiàn)預(yù)防控制為主的思想，強(qiáng)調(diào)遵守國家有關(guān)信息安全的法律法規(guī)，強(qiáng)調(diào)全過程的動態(tài)調(diào)整，從而確保整個安全體系在有效管理控制下，不斷改進(jìn)完善以適應(yīng)新的安全需求
• 在建立信息安全管理體系的各環(huán)節(jié)中
  • 安全需求的提出是ISMS的前提
  • 運(yùn)作實(shí)施，監(jiān)視評審和維護(hù)改進(jìn)是重要步驟
  • 可管理的信息安全是最終目標(biāo)
• 在各環(huán)節(jié)中，風(fēng)險評估管理，標(biāo)準(zhǔn)規(guī)范管理，制度法規(guī)管理這三項(xiàng)工作直接影響到整個信息安全管理體系是否能夠有效實(shí)行，因此也具有非常重要的地位

風(fēng)險評估

• 風(fēng)險評估（Risk Assessment）是指對信息資產(chǎn)所面臨的威脅，存在的弱點(diǎn)，可能導(dǎo)致的安全事件以及這三者的綜合作用所帶來的風(fēng)險進(jìn)行評估
• 作為風(fēng)險管理的基礎(chǔ)，風(fēng)險評估是組織確定信息安全需求的一個重要手段
• 風(fēng)險評估管理就是指在信息安全管理體系的各環(huán)節(jié)中，合理地利用風(fēng)險評估技術(shù)對信息系統(tǒng)及資產(chǎn)進(jìn)行安全性分析及風(fēng)險管理，為規(guī)劃設(shè)計(jì)完善信息安全解決方案提供基礎(chǔ)資料，屬于信息安全管理體系的規(guī)劃環(huán)節(jié)

標(biāo)準(zhǔn)規(guī)范管理

• 標(biāo)準(zhǔn)規(guī)范管理可以理解為在規(guī)劃實(shí)施信息安全解決方案時，各項(xiàng)工作遵循國際或國家相關(guān)標(biāo)準(zhǔn)規(guī)范，有完善的檢查機(jī)制
• 國際標(biāo)準(zhǔn)可以分為互操作標(biāo)準(zhǔn)，技術(shù)與工程標(biāo)準(zhǔn)，信息安全管理與控制標(biāo)準(zhǔn)三類
  • 互操作標(biāo)準(zhǔn)主要是非標(biāo)準(zhǔn)組織研發(fā)的算法和協(xié)議經(jīng)過自發(fā)的選擇過程，成為了所謂的事實(shí)標(biāo)準(zhǔn)，如AES,RSA,SSL,以及通用脆弱性描述標(biāo)準(zhǔn)CVE等
  • 技術(shù)與工程標(biāo)準(zhǔn)主要指有標(biāo)準(zhǔn)化組織制定的用于規(guī)范信息安全產(chǎn)品，技術(shù)和工程的標(biāo)準(zhǔn)，如信息技術(shù)安全評估通用評測準(zhǔn)則（ISO 15408），安全系統(tǒng)工程能力成熟度模型（SSE CMM），美國信息安全白皮書（TCSEC）等
  • 信息安全管理與控制標(biāo)準(zhǔn)是指有標(biāo)準(zhǔn)化組織制定的用于直到和管理信息安全解決方案實(shí)施過程的標(biāo)準(zhǔn)規(guī)范，如信息安全管理體系標(biāo)準(zhǔn)（BS-7799），信息安全管理標(biāo)準(zhǔn)（ISO 13335）以及信息和相關(guān)技術(shù)控制目標(biāo)（COBIT）等

制度法規(guī)管理

• 制度法規(guī)管理是指宣傳國家及各部門制定的相關(guān)制度法規(guī)，并監(jiān)督有關(guān)人員是否遵守這些制度法規(guī)
• 每個組織部門（如企事業(yè)單位，公司以及各種團(tuán)體等）都有信息安全規(guī)章制度，有關(guān)人員嚴(yán)格遵守這些規(guī)章制度對于一個組織部門的信息安全來說十分重要，而完善的規(guī)章制度和健全的監(jiān)管機(jī)制更是必不可少
• 除了有關(guān)的組織部門自己制定的相關(guān)規(guī)章制度之外，國家的信息安全法規(guī)更是有關(guān)人員必須遵守的
  • 目前在計(jì)算機(jī)系統(tǒng)，互聯(lián)網(wǎng)以及其他信息領(lǐng)域中，國家制定了相關(guān)法律法規(guī)進(jìn)行約束管理，如果觸犯，勢必受到相應(yīng)的懲罰

立法現(xiàn)狀
略

道德規(guī)范
略

信息安全風(fēng)險管理

• 信息安全風(fēng)險管理是信息安全管理的重要部分
  • 是規(guī)劃，建設(shè)及完善信息管理體系的基礎(chǔ)和主要目標(biāo)
  • 其核心內(nèi)容包括風(fēng)險評估和風(fēng)險控制兩個部分
• 風(fēng)險管理的概念來源于商業(yè)領(lǐng)域，主要指對商業(yè)行為或目的投資的風(fēng)險進(jìn)行分析，評估和管理，力求以最小的風(fēng)險獲得最大的收益

風(fēng)險評估

• 風(fēng)險評估主要包括風(fēng)險分析和風(fēng)險評價
  • 風(fēng)險分析是指全面的識別風(fēng)險來源及類型
  • 風(fēng)險評價是指依據(jù)風(fēng)險評估標(biāo)準(zhǔn)估算風(fēng)險水平，確定風(fēng)險的嚴(yán)重性
  • 一般認(rèn)為，與信息安全風(fēng)險有關(guān)的因素包括威脅，脆弱性，資產(chǎn)，安全控制等
    • 資產(chǎn)（Assets）是指對組織具有價值的信息資源，是安全策略保護(hù)的對象
    • 威脅（Threat）主要指可能導(dǎo)致資產(chǎn)或組織受到損害的安全事件的潛在因素
    • 脆弱性（Vulnerability）一般是指資產(chǎn)中存在的可能被潛在威脅所利用的缺陷或薄弱點(diǎn)，如操作系統(tǒng)漏洞等
    • 安全控制（Security Control）是指用于消除或減低安全風(fēng)險所采取的某種安全行為，包括措施，程序及機(jī)制等

信息安全風(fēng)險因素及相互關(guān)系

• 資產(chǎn)具有脆弱性
• 脆弱性和資產(chǎn)增加安全風(fēng)險
• 脆弱性被利用則產(chǎn)生安全事件
• 安全事件增加安全風(fēng)險并損害資產(chǎn)
• 資產(chǎn)會產(chǎn)生安全需求
• 安全風(fēng)險增加安全需求
• 針對安全需求要實(shí)施安全控制
• 安全控制會減少安全風(fēng)險并消除威脅
• 威脅會增加安全風(fēng)險并演變?yōu)榘踩录?/li>

風(fēng)險描述

• 風(fēng)險可以描述成關(guān)于威脅發(fā)生概論和發(fā)生時破壞程度的函數(shù)，用數(shù)學(xué)符號描述如下：
  • A代表資產(chǎn)
  • T代表威脅
  • V代表脆弱性

• 由于某部門可能存在很多資產(chǎn)和相應(yīng)的脆弱性，故該組織的資產(chǎn)總風(fēng)險可以描述如下：

上述關(guān)于風(fēng)險的數(shù)學(xué)表達(dá)式，只是給了風(fēng)險評估的概念性描述

風(fēng)險評估的任務(wù)

識別組織面臨的各種風(fēng)險，了解總體的安全狀況

分析計(jì)算風(fēng)險發(fā)生的概率，預(yù)估可能帶來的負(fù)面影響

評價組織承受風(fēng)險的能力，確定各項(xiàng)安全建設(shè)的優(yōu)先等級

推薦風(fēng)險控制策略，為安全需求提供依據(jù)

• 風(fēng)險評估的操作范圍可以是整個組織，也可以是組織中的某一部門，或者獨(dú)立的信息系統(tǒng)，特定系統(tǒng)組件和服務(wù)等

常見的風(fēng)險評估方法

• 基線評估
• 詳細(xì)評估
• 組合評估

基線評估

• 有關(guān)組織根據(jù)實(shí)際情況（所在行業(yè)，業(yè)務(wù)環(huán)境和性質(zhì)等），對信息系統(tǒng)進(jìn)行安全基線檢查（將現(xiàn)有的安全措施進(jìn)行比較，計(jì)算之間的差距），得出基本的安全需求，給出風(fēng)險控制方案
• 所謂的基線就是在諸多標(biāo)準(zhǔn)規(guī)范中確定的一組安全控制措施或者慣例，這些措施和慣例可以滿足特定環(huán)境下的信息系統(tǒng)的基本安全需求，使信息系統(tǒng)達(dá)到一定的安全防護(hù)水平
• 組織可以采用國際標(biāo)準(zhǔn)和國家標(biāo)準(zhǔn)（BS 7799-1，ISO 13335-4），行業(yè)標(biāo)準(zhǔn)或推薦（德國聯(lián)邦安全局IT基線保護(hù)手冊）以及來自其他具有相似商務(wù)目標(biāo)和規(guī)模的組織的慣例作為安全基線
• 基線評估的優(yōu)點(diǎn)是需要的資源少，周期短，操作簡單，是經(jīng)濟(jì)有效的風(fēng)險評估途徑，缺點(diǎn)，比如基線水準(zhǔn)的高低難以設(shè)定，如果過高，可能導(dǎo)致資源浪費(fèi)和限制過度，如果過低，可能難以達(dá)到所需的安全需求

詳細(xì)評估

• 指組織對信息資產(chǎn)進(jìn)行詳細(xì)識別和評價，對可能引起風(fēng)險的威脅和脆弱性進(jìn)行充分的評估，根據(jù)全面系統(tǒng)的風(fēng)險評估結(jié)果來確定安全需求及控制方案
  • 這種評估途徑集中體系了風(fēng)險管理的思想，全面系統(tǒng)地評估資產(chǎn)風(fēng)險，在充分了解信息安全具體情況下，力爭將風(fēng)險降低到可接受的水平
  • 詳細(xì)評估的優(yōu)點(diǎn)在于組織可以通過詳細(xì)的風(fēng)險評估對信息安全風(fēng)險有較為全面的認(rèn)識，能夠準(zhǔn)確確定目前的安全水平和安全需求
  • 詳細(xì)的風(fēng)險評估可能是一個非常耗費(fèi)資源的過程，包括時間，精力和技術(shù)，因此，組織應(yīng)該仔細(xì)設(shè)定待評估的信息資產(chǎn)范圍，以減少工作量

組合評估

• 組合評估要求首先對所有的系統(tǒng)進(jìn)行一次初步的風(fēng)險評估，依據(jù)各信息資產(chǎn)的實(shí)際價值和可能面臨的風(fēng)險，劃分出不同的評估范圍，對于具有較高重要性的資產(chǎn)部分采取詳細(xì)風(fēng)險評估，而其他部分采用基線風(fēng)險評估
  • 組合評估將基線評估和詳細(xì)評估的優(yōu)勢結(jié)合起來，既節(jié)省了評估所耗費(fèi)的資源，又能確保獲得一個全面系統(tǒng)的評估結(jié)果，而且組織的資源和資金能夠應(yīng)用到最能發(fā)揮作用的地方，具有高風(fēng)險的信息系統(tǒng)能夠被優(yōu)先關(guān)注
  • 組合評估的缺點(diǎn)是如果初步的風(fēng)險評估不夠準(zhǔn)確，可能導(dǎo)致某些本需要詳細(xì)評估的系統(tǒng)被忽略

風(fēng)險控制

• 風(fēng)險控制是信息安全風(fēng)險管理在風(fēng)險評估完成之后的另一項(xiàng)重要工作
• 任務(wù)是對風(fēng)險評估結(jié)論及建議中的各項(xiàng)安全措施進(jìn)行分析評估，確定優(yōu)先級以及具體實(shí)施的步驟
• 風(fēng)險控制的目標(biāo)是將安全風(fēng)險降低到一個可接受的范圍內(nèi)
  • 消除所有風(fēng)險往往是不切實(shí)際的，甚至也是近乎不可能的
  • 安全管理人員有責(zé)任運(yùn)用最小成本來實(shí)現(xiàn)最合適的控制，使?jié)撛诎踩L(fēng)險對該組織造成的負(fù)面影響最小化

風(fēng)險控制手段

• 風(fēng)險承受：指運(yùn)行的信息系統(tǒng)具有良好的健壯性，可以接受潛在的風(fēng)險并穩(wěn)定運(yùn)行，或采取簡單的安全措施，就可以把風(fēng)險降低到一個可接受的級別
• 風(fēng)險規(guī)避：指通過消除風(fēng)險出現(xiàn)的必要風(fēng)險（如識別出風(fēng)險后，放棄系統(tǒng)的某項(xiàng)功能或關(guān)閉系統(tǒng)）來規(guī)避風(fēng)險
• 風(fēng)險轉(zhuǎn)移：指通過使用其他措施來補(bǔ)償損失，從而轉(zhuǎn)移風(fēng)險，如購買保險

安全風(fēng)險系統(tǒng)判斷過程

• 首先判斷資產(chǎn)是否存在脆弱性，沒有則無風(fēng)險
• 如果有脆弱性，再判斷是否可能被利用，如果不能被利用，則無風(fēng)險
• 如果可能被利用，則存在可被利用脆弱性的風(fēng)險
• 如果同時存在威脅源，則存在威脅
• 如果攻擊成本大于獲利，則無風(fēng)險
• 如果預(yù)期損失可以被接受，則無風(fēng)險
• 否則是不可接受的風(fēng)險

風(fēng)險控制具體做法

• 當(dāng)存在系統(tǒng)脆弱性時，減少或修補(bǔ)系統(tǒng)脆弱性，降低脆弱性被攻擊利用的可能性
• 當(dāng)系統(tǒng)脆弱性可被利用時，運(yùn)用層次化保護(hù)，結(jié)構(gòu)化設(shè)計(jì)以及管理控制等手段，防止脆弱性被利用或降低被利用后的危害程度
• 當(dāng)攻擊成本小于攻擊可能的獲利時，運(yùn)用保護(hù)措施，通過提高攻擊者成本來降低攻擊者的攻擊動機(jī)，如加強(qiáng)訪問控制，限制系統(tǒng)用戶的訪問對象和行為，降低攻擊獲利
• 當(dāng)風(fēng)險預(yù)期損失較大時，優(yōu)化系統(tǒng)設(shè)計(jì)，加強(qiáng)容錯容災(zāi)以及運(yùn)用非技術(shù)類保護(hù)措施來限制攻擊的范圍，從而將風(fēng)險降低到可接受的范圍

具體的風(fēng)險控制措施

NIST SP800系列標(biāo)準(zhǔn)

• 第一步 對實(shí)施控制的優(yōu)先級進(jìn)行排序，在分配資源時，對標(biāo)有不可接受的高等級的風(fēng)險項(xiàng)應(yīng)該給予較高的優(yōu)先級
• 第二步 評估所建議的安全選項(xiàng)，風(fēng)險評估結(jié)論中建議的控制措施對于具體的單位及其信息系統(tǒng)可能不是最合適或最可行的，因此要對所建議的控制措施的可行性和有效性進(jìn)行分析，選出最適當(dāng)?shù)目刂拼胧?/li>
• 第三步 進(jìn)行成本效益分析，為決策管理層提供風(fēng)險控制措施的成本效益分析報告
• 第四步 在成本效益分析的基礎(chǔ)上，確定即將實(shí)施的成本有效性最好的安全措施
• 第五步 遴選出那些擁有合適的專長和技能，可實(shí)現(xiàn)所選控制措施的人員（內(nèi)部人員或外部合作商），并賦予響應(yīng)責(zé)任
• 第六步 制定控制措施的實(shí)現(xiàn)計(jì)劃，計(jì)劃內(nèi)容主要包括風(fēng)險評估報告給出的風(fēng)險，風(fēng)險級別以及所建議的安全措施，實(shí)施控制的優(yōu)先級隊(duì)列，預(yù)期安全控制列表，實(shí)現(xiàn)預(yù)期安全控制時所需的資源，負(fù)責(zé)人員清單，開始日期，完成日期以及維護(hù)要求等
• 第七步 分析計(jì)算出殘余風(fēng)險，風(fēng)險控制可以降低風(fēng)險級別，但不會根除風(fēng)險，因此安全措施實(shí)施后仍然存在的殘余風(fēng)險

信息安全標(biāo)準(zhǔn)

• 互操作，計(jì)算與工程，信息安全管理與控制三類標(biāo)準(zhǔn)
  • 計(jì)算與工程標(biāo)準(zhǔn)最多也最詳細(xì)，它們有效地推動了信息安全產(chǎn)品的開發(fā)和國際化，如CC、SSE-CMM等標(biāo)準(zhǔn)
  • 互操作標(biāo)準(zhǔn)多數(shù)Wie所謂的“事實(shí)標(biāo)準(zhǔn)”，這些標(biāo)準(zhǔn)對信息安全領(lǐng)域的發(fā)展同一做出了巨大的貢獻(xiàn)，如RSA，DES，CVE標(biāo)準(zhǔn)等
  • 信息安全管理與控制標(biāo)準(zhǔn)的意義在于可以有效的直到信息安全具體實(shí)施，其中BS 7799就是這類標(biāo)準(zhǔn)的代表。

重要標(biāo)準(zhǔn)

• 信息技術(shù)安全性評估通用標(biāo)準(zhǔn)CC（Common Criteria）是在TCSEC,ITSEC,CTCPEC,FC等信息安全標(biāo)準(zhǔn)的基礎(chǔ)上演變而成，ISO/IEC15408
• ISO/IEC TR 13335，早前GMITS(Guidelines for the Management of IT Security)，新版乘坐MICTS（Management of Information and Communication Technology Security），為IT安全管理提供建議和支持
• SSE-CMM（System Security Engineering Capability Maturity Model）模型是由美國國家安全局NSA領(lǐng)導(dǎo)開發(fā)的專門用于系統(tǒng)安全工程能力成熟度模型，評估信息安全工程組織能力與資質(zhì)，ISO/IEC 21827
• CVE（Common Vulnerabilities & Exposures），即通用漏洞及暴露，是IDnA（Intrusion Detection and Assessment）的行業(yè)標(biāo)準(zhǔn)
  • 為每個信息安全漏洞或已經(jīng)暴露出來的弱點(diǎn)給出一個通用的名稱或標(biāo)準(zhǔn)化的描述
  • 可以作為入侵檢測或漏洞掃描等工具產(chǎn)品與數(shù)據(jù)基準(zhǔn)
  • 2018年，已經(jīng)有十萬余條記錄
• BS7799是應(yīng)該標(biāo)準(zhǔn)協(xié)會BSI（British Standards Institute）針對信息安全管理而制定的標(biāo)準(zhǔn)，2000年被采納為ISO/IEC 17799，2007年被采納為ISO/IEC 27001
• COBIT（Control Objectives for information and related Technology，信息及其技術(shù)控制目標(biāo)），由國際信息系統(tǒng)審計(jì)與控制協(xié)會ISACA提出，目前國際上通用的信息系統(tǒng)審計(jì)標(biāo)準(zhǔn)，2012年COBIT 5頒布

信息安全產(chǎn)品標(biāo)準(zhǔn)CC

• CC標(biāo)準(zhǔn)是“The Common Criteria for information Technology security evaluation”的縮寫，《信息技術(shù)安全性通用評估標(biāo)準(zhǔn)》，在美國和歐洲等推出的測評準(zhǔn)則上發(fā)展起來的

CC文檔結(jié)構(gòu)

• CC白紙?zhí)岢踩こ痰乃枷?#xff0c;通過信息安全產(chǎn)品的開發(fā)，評價，使用全過程的各個環(huán)境的綜合考慮來確保產(chǎn)品的安全性
  • 第一部分“簡介和一般模型”，介紹CC中的有關(guān)術(shù)語，基本概念和一般模型以及評估有關(guān)的一些框架，附錄部分主要介紹“保護(hù)輪廓”和“安全目標(biāo)”的基本內(nèi)容
  • 第二部分“安全功能需求”，這部分以“類，子類（族），組件”的方式提出安全功能要求，對每一個“類”的具體描述除正文外，在提示性附錄中還有進(jìn)一步的解釋
  • 第三部分“安全保證要求”，定義了評估保證級別，介紹了“保護(hù)輪廓”和“安全目標(biāo)”的評估，并同樣以“類，子類（族），組件”的方式提出安全保證要求

CC標(biāo)準(zhǔn)的內(nèi)容

• CC標(biāo)準(zhǔn)對安全需求的表現(xiàn)形式給出了一套定義方法，并將安全需求分成產(chǎn)品功能方面的需求和安全保證措施方面的需求兩個獨(dú)立的范疇來定義
• 在CC標(biāo)準(zhǔn)中，安全需求以類，族，組件的形式進(jìn)行了定義，這給出了對安全需求進(jìn)行分組歸類的方法

需求定義的用法

• 安全需求定義中的“類，族，組件”體現(xiàn)的是分類方法，具體安全需求由組件體現(xiàn)，選擇需求組件等同選擇安全需求
• CC標(biāo)準(zhǔn)定義了三種類型的組織結(jié)構(gòu)用于描述產(chǎn)品安全需求
  • 安全組件包是把多個安全需求組件結(jié)合在一起所得到的組件集合
  • 保護(hù)輪廓定義是一份安全需求說明書，是針對某一類安全環(huán)境確立相應(yīng)的安全目標(biāo)，進(jìn)而定義為實(shí)現(xiàn)這些安全目標(biāo)所需要的安全需求，保護(hù)輪廓定義的主要內(nèi)容包括定義文件簡述，產(chǎn)品說明，安全環(huán)境，安全目標(biāo)，安全需求，應(yīng)用注釋和理論依據(jù)等
  • 安全對象定義是一份安全需求與概要設(shè)計(jì)說明書，不同的是安全對象定義的安全需求是為某一特定的安全產(chǎn)品而定義的，具體的安全需求可通過引用一個或多個保護(hù)輪廓定義來定義，也可從頭定義。安全對象定義的組成部分主要包括定義簡述，產(chǎn)品說明，安全環(huán)境，安全目標(biāo)，安全需求，產(chǎn)品概要說明，保護(hù)輪廓定義的引用聲明和理論依據(jù)等

CC安全可信度級別

級別定義可信度級別描述

EAL1	職能式測試級	表示信息保護(hù)問題得到了適當(dāng)?shù)奶幚?/td>
EAL2	結(jié)構(gòu)式測試級	表示評價時需求得到開發(fā)人員的配合，該級提供低中級的獨(dú)立安全保證
EAL3	基于方法學(xué)的測試與檢查級	要求在設(shè)計(jì)階段實(shí)施積極的安全工程思想，提供中級的獨(dú)立安全保證
EAL4	基于方法學(xué)的設(shè)計(jì)，測試與審查級	要求按照商業(yè)化開發(fā)慣例實(shí)施安全工程思想，提供中高級的獨(dú)立安全保證
EAL5	半形式化的設(shè)計(jì)與測試級	要求安全嚴(yán)格的商業(yè)化開發(fā)慣例，應(yīng)用專業(yè)安全工程技術(shù)及思想，提供高等級的獨(dú)立安全保證
EAL6	半形式化驗(yàn)證的設(shè)計(jì)與測試級	通過在嚴(yán)格的開發(fā)環(huán)境中應(yīng)用安全工程技術(shù)來獲取高的安全保證，使產(chǎn)品能在高度威脅的環(huán)境中使用
EAL7	形式化驗(yàn)證的設(shè)計(jì)與測試級	目標(biāo)是使產(chǎn)品能在極度危險的環(huán)境中使用，目前只限于可進(jìn)行形式化分析的安全產(chǎn)品

安全產(chǎn)品的開發(fā)

• CC標(biāo)準(zhǔn)體現(xiàn)了軟件工程和安全工程相結(jié)合的思想
• 信息安全產(chǎn)品必須按照軟件工程和安全工程的方法進(jìn)行開發(fā)才能較好地獲得預(yù)期的安全可信度
• 安全產(chǎn)品從需求分析到產(chǎn)品的最終實(shí)現(xiàn)，整個開發(fā)過程可依次分為應(yīng)用環(huán)境分析，明確產(chǎn)品安全環(huán)境，確立安全目標(biāo)，形成產(chǎn)品安全需求，安全產(chǎn)品概要設(shè)計(jì)，安全產(chǎn)品實(shí)現(xiàn)幾個階段
• 各個階段順序進(jìn)行，前一個階段的工作結(jié)果是后一個階段的工作基礎(chǔ)，有時前面階段的工作也需要根據(jù)后面階段工作的反饋內(nèi)容進(jìn)行完善拓展，形成循環(huán)往復(fù)的過程
• 開發(fā)出來的產(chǎn)品經(jīng)過安全性評價和可用性鑒定后，在投入實(shí)際使用

產(chǎn)品安全性評價

• CC標(biāo)準(zhǔn)在評價安全產(chǎn)品時，把待評價的安全產(chǎn)品及其相關(guān)指南文檔資料作為評價對象
• 定義了三種評價類型，分別為安全功能需求評價，安全保證需求評價和安全產(chǎn)品評價
  • 安全功能需求評價的目的是證明安全功能需求是完全的，一致的和技術(shù)良好的，能用作可評價的安全產(chǎn)品的需求表示
  • 安全保證需求評價的目的是證明安全保證需求是完全的，一致的和技術(shù)良好的，可作為響應(yīng)安全產(chǎn)品評價的基礎(chǔ)，如果安全保證需求中含有安全功能需求一致性的聲明，還要 證明安全保證需求能完全滿足安全功能需求
  • 安全產(chǎn)品評價的目的是要證明被評價的安全產(chǎn)品能夠滿足安全保證的安全需求

信息安全管理標(biāo)準(zhǔn)BS7799

• BS7799是英國標(biāo)準(zhǔn)協(xié)會（British Standard Institute，BSI）針對信息安全管理而制定的一個標(biāo)準(zhǔn)，分為兩個部分
  • 第一部分BS7799-1是《信息安全管理實(shí)施細(xì)則》也就是國際標(biāo)準(zhǔn)化組織的ISO/IEC 17799標(biāo)準(zhǔn)的部分，主要通過給負(fù)責(zé)信息安全開發(fā)的人員參考使用，分為十一個標(biāo)題，定義了一百三十三項(xiàng)安全控制（最佳慣例）
  • 第二部分BS7799-2是《信息安全管理系統(tǒng)規(guī)范》即ISO/IEC 27001，其中詳細(xì)說明了建立，實(shí)施和維護(hù)信息安全管理體系的要求，可用來指導(dǎo)相關(guān)人員去應(yīng)用ISO/IEC 17799,其最終目的是建立適合企業(yè)所需的信息安全管理體系

信息安全管理實(shí)施細(xì)則-11個方面定義

• 在BS7799-1《信息安全管理實(shí)施細(xì)則》中，從11個方面定義了133項(xiàng)控制措施
• 安全策略
• 組織信息安全
• 資產(chǎn)管理
• 人力資源安全，
• 物理和環(huán)境安全
• 通信和操作管理
• 訪問控制
• 信息系統(tǒng)獲取，開發(fā)和維護(hù)
• 信息安全事件管理
• 業(yè)務(wù)連續(xù)性管理
• 符合性

通信和操作管理，訪問控制，信息系統(tǒng)獲取，開發(fā)和維護(hù)與技術(shù)關(guān)系緊密，其余八項(xiàng)注重與組織整體管理與運(yùn)營

建立信息安全管理體系的六個基本步驟

定義信息安全策略，信息安全策略是組織信息安全的最高防止，需要根據(jù)組織內(nèi)各個部門的實(shí)際情況，分別制定不同的信息安全策略

定義ISMS的范圍，ISMS的范圍描述了需要進(jìn)行信息安全管理的領(lǐng)域輪廓，組織根據(jù)自己的實(shí)際情況在整個范圍或個別部門構(gòu)建ISMS

進(jìn)行嘻嘻安全風(fēng)險評估，信息安全風(fēng)險評估的復(fù)雜程度將取決于風(fēng)險的復(fù)雜程度和受保護(hù)資產(chǎn)的敏感程度，所采用的評估措施應(yīng)該與組織對信息資產(chǎn)風(fēng)險的保護(hù)需求相一致

信息安全風(fēng)險管理，根據(jù)風(fēng)險評估的結(jié)果進(jìn)行相應(yīng)的風(fēng)險管理

確定控制目標(biāo)和選擇控制措施，控制目標(biāo)的確定和控制措施的選擇原則是費(fèi)用不超過風(fēng)險所造成的損失

準(zhǔn)備信息安全適用性聲明，信息安全適用性聲明記錄了組織內(nèi)相關(guān)的風(fēng)險控制目標(biāo)和針對各種風(fēng)險所采用的各種控制措施

中國的有關(guān)信息安全標(biāo)準(zhǔn)

• 1985年發(fā)布了第一個標(biāo)準(zhǔn)GB4943“信息技術(shù)設(shè)備的安全”，并于1994年發(fā)布了第一批信息安全技術(shù)標(biāo)準(zhǔn)
• 全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會（簡稱信息安全標(biāo)委會，TC260）于2002年4月15日在北京證書成立。委員會是在信息安全技術(shù)專業(yè)領(lǐng)域內(nèi)，從事信息安全標(biāo)準(zhǔn)化工作的技術(shù)工作組織。委員會負(fù)責(zé)組織開展國內(nèi)信息安全有關(guān)的標(biāo)準(zhǔn)化技術(shù)工作，技術(shù)委員會主要工作范圍包括：安全技術(shù)，安全機(jī)制，安全服務(wù)，安全管理，安全評估等領(lǐng)域的標(biāo)準(zhǔn)化技術(shù)工作

有關(guān)官網(wǎng)： https://www.tcc260.org.cn/front/main.html

TC260組織構(gòu)架

GB17859-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則

• 在我國眾多的信息安全標(biāo)準(zhǔn)中，公安部主持制定，國家質(zhì)量技術(shù)監(jiān)督局發(fā)布的中華人民共和國國家標(biāo)準(zhǔn)GB17859-1999《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》被認(rèn)為是我國信息安全標(biāo)準(zhǔn)的奠基石
• 準(zhǔn)則將信息系統(tǒng)安全分為五個等級：自主保護(hù)級，系統(tǒng)審計(jì)保護(hù)級。安全標(biāo)記保護(hù)級，結(jié)構(gòu)化保護(hù)級，訪問驗(yàn)證保護(hù)級。

可信計(jì)算基

• 計(jì)算機(jī)系統(tǒng)內(nèi)保護(hù)裝置的總體，包括硬件，固件，軟件和負(fù)責(zé)執(zhí)行安全策略的綜合體
• 他建立了一個基本的保護(hù)環(huán)境并提供了一個可信計(jì)算系統(tǒng)所要求的附加用戶服務(wù)

五個安全等級

• 第一級 用戶自主保護(hù)級：本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基通過隔離用戶與數(shù)據(jù)，使用戶具備自主安全保護(hù)的能力，它具有多種形式的控制能力，對用戶實(shí)施訪問控制，即為用戶提供可行的手段，保護(hù)用戶和其他用戶組的信息，避免其他用戶對數(shù)據(jù)的非法讀寫與破壞
• 第二級 系統(tǒng)審計(jì)保護(hù)級：與用戶自主保護(hù)級相比，本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基實(shí)施了粒度更細(xì)的自主訪問控制，它通過登錄規(guī)程，審計(jì)安全性相關(guān)時間和隔離資源，使用戶對自己的行為負(fù)責(zé)
• 第三級 安全標(biāo)記保護(hù)級：本級的信息安全系統(tǒng)可信計(jì)算基具有系統(tǒng)審計(jì)保護(hù)級所有功能，還提供相關(guān)安全模型，數(shù)據(jù)表示以及主體對客體的強(qiáng)制訪問控制非形式化描述，具有準(zhǔn)確的標(biāo)記輸出信息的能力，消除通過測試發(fā)任何錯誤
• 第四級 結(jié)構(gòu)化保護(hù)級：本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基建立于一個明確定義的形式化安全策略模型之上，它要求將第三級系統(tǒng)中的自主和強(qiáng)制訪問控制拓展到所有主體與客體。此外，還要考慮隱蔽通道。本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基必須結(jié)構(gòu)化為關(guān)鍵保護(hù)元素和非關(guān)鍵保護(hù)元素。計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基的接口也必須明確定義，使其設(shè)計(jì)與實(shí)現(xiàn)能夠經(jīng)受更充分的的測試和更完整的復(fù)審。加強(qiáng)了鑒別機(jī)制；支持系統(tǒng)管理員和操作員的職能；提供可信設(shè)施管理李增強(qiáng)了配置管理控制，系統(tǒng)具有相當(dāng)?shù)目節(jié)B透能力
• 第五級 訪問驗(yàn)證保護(hù)級：本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基滿足訪問監(jiān)控器需求，訪問監(jiān)控器仲裁主體對客體的全部訪問。訪問監(jiān)控器本身是抗篡改的；必須足夠小，能夠分析和測試。為了滿足訪問監(jiān)控器需求，計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基在其構(gòu)造時，排除那些對實(shí)施安全策略來說并非必要的代碼；在設(shè)計(jì)和實(shí)現(xiàn)時，從系統(tǒng)工程角度將其負(fù)責(zé)性降低到最小程度。支持安全管理員職能；擴(kuò)充審計(jì)機(jī)制，當(dāng)發(fā)生與安全相關(guān)的事件時發(fā)出信號；提供系統(tǒng)恢復(fù)機(jī)制，系統(tǒng)具有很高的抗?jié)B透能力

信息安全等級保護(hù)管理辦法

• 國家信息安全等級保護(hù)堅(jiān)持自主定級，自主保護(hù)的原則
• 信息系統(tǒng)的安全保護(hù)等級應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全，經(jīng)濟(jì)建設(shè)，社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全，社會秩序，公共利用以及公民，法人和其他組織的合法權(quán)益的危害程度等因素確定
• 信息系統(tǒng)的安全保護(hù)分為以下五個等級：
  • 等級保護(hù)第一級
    • 信息系統(tǒng)遭受破壞后，會對公民法人和其他組織的合法權(quán)益造成損壞，但不會損壞國家安全，社會秩序和公共利益
    • 運(yùn)營，使用單位應(yīng)當(dāng)根據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)
  • 等級保護(hù)第二級
    • 信息系統(tǒng)遭受破壞后，會對公民，法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重破壞，或者對社會秩序和公共利益造成損害，但不損害國家安全
    • 運(yùn)營，使用單位應(yīng)該依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。國家信息安全監(jiān)管部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行指導(dǎo)
  • 等級保護(hù)第三級
    • 信息系統(tǒng)遭受破壞后，會對社會秩序和公共利益造成嚴(yán)重?fù)p害，或者對國家安全造成損害
    • 運(yùn)營，使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。國家信息安全監(jiān)管部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行監(jiān)督，檢查
  • 等級保護(hù)第四級
    • 信息系統(tǒng)遭受破壞后，會對社會秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對國家安全造成嚴(yán)重?fù)p害
    • 運(yùn)營，使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。國家信息安全監(jiān)管部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行強(qiáng)制監(jiān)督，檢查
  • 等級保護(hù)第五級
    • 信息系統(tǒng)遭受破壞后，會對國家安全造成特別嚴(yán)重?fù)p害
    • 第五級信息系統(tǒng)運(yùn)營使用單位應(yīng)當(dāng)依據(jù)國家管理標(biāo)準(zhǔn)，技術(shù)標(biāo)準(zhǔn)和業(yè)務(wù)特殊安全需求進(jìn)行保護(hù)。國家指定專門部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行專門監(jiān)督，檢查

信息安全法律法規(guī)

略

總結(jié)

以上是生活随笔為你收集整理的信息安全概论笔记的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。