首页
归档
林与记站点维护动态记录
友链
Search
1
信息系统管理师资料汇总
16 阅读
2
经典易错题-电子商务设计师-软考中级-林与记
12 阅读
3
软考信息系统管理师全书要点整理
9 阅读
4
2024数据库管理工程师软考中级备考资料汇总
9 阅读
5
易混淆知识点-软考电子商务设计师资料
7 阅读
ᦗ 建站SEO
ഒ 考证资料
软考资料
建造师资料
DISCUZ建站
技术交流
娱乐灌水
登录
Search
标签搜索
软考资料免费下载
软考中级资料
软件设计师备考资料
信息安全工程师资料
一建资料
一级建造师考试资料
软考信管知识点
信息安全工程师备考必背知识点
linux运维
信息系统管理工程师资料
二建资料
oracle清理归档日志
seo
杏子yada
网站搭建
网站建设流程
如何搭建一个网站
jdk老版本下载
怎样下载jdk
mysql查询语句
Typecho
累计撰写
72
篇文章
累计收到
21
条评论
首页
栏目
ᦗ 建站SEO
ഒ 考证资料
软考资料
建造师资料
DISCUZ建站
技术交流
娱乐灌水
页面
归档
林与记站点维护动态记录
友链
搜索到
3
篇与
的结果
2023-09-06
软考信息安全工程师,考前突击
1、常见的网络信息安全基本属性有哪些?常见的网络信息安全基本属性如下: 名称说明机密性机密性是指网络信息不泄露给非授权的用户、实体或程序,能够防止非授权者获取信息。完整性完整性是指网络信息或系统未经授权不能进行更改的特性。可用性可用性是指合法许可的用户能够及时获取网络信息或服务的特性。抗抵赖性抗抵赖性是指防止网络信息系统相关用户否认其活动行为的特性。可控性可控性是指网络信息系统责任主体对其具有管理、支配能力的属性。其他除了常见的网络信息系统安全特性,还有真实性、时效性、公平性、可靠性、可生存性和隐私性等。2、网络攻击的一般过程有哪几个步骤?网络攻击过程主要分为以下几个步骤:•隐藏攻击源。隐藏黑客主机位置使得系统管理无法追踪。•收集攻击目标信息。确定攻击目标并收集目标系统的有关信息。•挖掘漏洞信息。从收集到的目标信息中提取可使用的漏洞信息。•获取目标访问权限。获取目标系统的普通或特权账户的权限。•隐藏攻击行为。隐蔽在目标系统中的操作,防止入侵行为被发现。•实施攻击。进行破坏活动或者以目标系统为跳板向其他系统发起新的攻击。•开辟后门。在目标系统中开辟后门,方便以后入侵。•清除攻击痕迹。避免安全管理员的发现、追踪以及法律部门取证。3、端口扫描有哪些类型?端口扫描目的是找出目标系统上提供的服务列表。根据端口扫描利用的技术,扫描可以分为多种类型:扫描名称说明完全连接扫描完全连接扫描利用TCP/IP协议的三次握手连接机制,使源主机和目的主机的某个端口建立一次完整的连接。如果建立成功,则表明该端口开放。否则,表明该端口关闭。半连接扫描半连接扫描是指在源主机和目的主机的三次握手连接过程中,只完成前两次握手,不建立一次完整的连接。SYN扫描首先向目标主机发送连接请求,当目标主机返回响应后,立即切断连接过程,并查看响应情况。如果目标主机返回ACK信息,表明目标主机的该端口开放。如果目标主机返回RESET信息,表示该端口没有开放。ID头信息扫描首先由源主机A向dumb主机B发出连续的PING数据包,并且查看主机B返回的数据包的ID头信息(一般每个顺序数据包的ID头的值会增加1)。然后由源主机A假冒主机B的地址向目的主机C的任意端口(1-65535)发送SYN数据包。这时,主机C向主机B发送的数据包有两种可能的结果:1、SYN|ACK表示该端口处于监听状态;2、RST|ACK表示该端口处于非监听状态;后续的PING数据包响应信息的ID头信息可以看出,如果主机C的某个端口是开放的,则主机B返回A的数据包中,ID头的值不是递增1,而是大于1。如果主机C的某个端口是非开放的,则主机B返回A的数据包中,ID头的值递增1,非常规律。隐蔽扫描隐蔽扫描是指能够成功地绕过IDS、防火墙和监视系统等安全机制,取得目标主机端口信息的一种扫描方式。SYN|ACK扫描由源主机向目标主机的某个端口直接发送SYN|ACK数据包,而不是先发送SYN数据包。由于这一方法不发送SYN数据包,目标主机会认为这是一次错误的连接,从而报错。如果目标主机的该端口没有开放,则会返回RST信息。如果目标主机的该端口开放,则不会返回任何信息,而是直接将数据包抛弃掉。FIN扫描源主机A向目标主机B发送FIN数据包,然后查看反馈信息。如果端口返回RESET信息,则说明该端口关闭。如果端口没有返回任何信息,则说明该端口开放。ACK扫描首先由主机A向主机B发送FIN数据包,然后查看反馈数据包的TTL值和WIN值。开放端口所返回的数据包的TTL值一般小于64,而关闭端口的返回值一般大于64;开放端口所返回的数据包的WIN值一般大于0,而关闭端口的返回值一般等于0。NULL扫描将源主机发送的数据包中的ACK、FIN、RST、SYN、URG、PSH等标志位全部置空。如果目标主机没有返回任何信息,则表明该端口是开放的。如果返回RST信息,则表明该端口是关闭的。XMAS扫描XMAS扫描的原理和NULL扫描相同,只是将要发送的数据包中的ACK、FIN、RST、SYN、URG、PSH等标志位全部置成1。如果目标主机没有返回任何信息,则表明该端口是开放的。如果返回RST信息,则表明该端口是关闭的。4、缓冲区溢出攻击的防范策略有哪些?缓冲区溢出攻击的防范策略:系统管理上的防范策略:关闭不需要的特权服务;及时给程序漏洞打补丁。软件开发过程中的防范策略:编写正确的代码;缓冲区不可执行;改进C语言函数库。漏洞防范技术:地址空间随机化技术;数据执行阻止;堆栈保护。恶意代码:常见的恶意代码类型有计算机病毒、网络蠕虫、特洛伊木马、后门、逻辑炸弹、僵尸网络等。5、拒绝服务攻击有哪些类型?拒绝服务攻击的种类:DoS攻击名称说明同步包风暴(SYN Flood)利用TCP协议缺陷发送大量伪造的TCP连接请求,使得被攻击者资源耗尽。三次握手,进行了两次(SYN)(SYN/ACK),不进行第三次握手(ACK),连接队列处于等待状态,大量的这样的等待,占满全部队列空间,系统挂起。Ping of Death(死亡之Ping)攻击者故意发送大于65535字节的ip数据包给对方,导致内存溢出,这时主机就会出现内存分配错误而导致TCP/IP堆栈崩溃,导致死机!Teardrop Attack(泪滴攻击)分段攻击。伪造数据报文向目标主机发送含有重叠偏移的数据分段,通过将各个分段重叠来使目标系统崩溃或挂起。UDP Flood(UDP 洪水)利用简单的TCP/IP服务,如用Chargen和Echo传送毫无用处的占满宽带的数据。通过伪造与某一主机的Chargen服务之间的一次UDP连接,回复地址指向开放Echo服务的一台主机,生成在两台主机之间的足够多的无用数据流。Smurf攻击攻击者伪装目标主机向局域网的广播地址发送大量欺骗性的ICMP ECHO请求,这些包被放大,并发送到被欺骗的地址,大量的计算机向一台计算机回应ECHO包,目标系统将会崩溃。垃圾邮件针对服务端口(SMTP端口,即25端口)的攻击方式,攻击者通过连接到邮件服务器的25端口,按照SMTP协议发送几行头信息加上一堆文字垃圾,反复发送形成邮件轰炸。消耗CPU和内存资源的拒绝服务攻击利用目标系统的计算算法漏洞,构造恶意数据集,导致目标系统的CPU或内存资源耗尽,从而使目标系统瘫痪,如Hash DoS。分布式拒绝服务攻击(DDOS)引入了分布式攻击和C/S结构,客户端运行在攻击者的主机上,用来发起控制代理端;代理端运行在已被攻击者侵入并获得控制的主机上,从主控端接收命令,负责对目标实施实际的攻击。利用C/S技术,主控程序能在几秒钟内激活成百上千次代理程序的运行。6、SQL注入的原理及注入的形式是什么?(1)SQL注入原理:在web服务中一般采用三层架构模式,即:浏览器+web服务器+数据库;由于web服务脚本程序的编程漏洞,网络攻击者将SQL命令插入web表单中的输入域或页面请求查找字符串,欺骗服务器执行恶意的SQL命令。(2)注入形式•http://xxx.xxx.xxx/abc.asp??p=YY;•执行注入:http://xxx.xxx.xxx/abc.asp??p=YY and user>0 从运行的错误信息中可获知用户名;•执行注入:http://xxx.xxx.xxx/abc.asp??p=YY and (Select password from login where user_name’admin’)>0 从运行的错误信息中可获知密码。7、黑客常用的工具有哪些?工具名称说明扫描器NMAP网络地图Nessus远程安全扫描器SuperScan远程监控常见的远程监控工具有冰河、网络精灵、Netcat。密码破解John the Ripper:用于检查Unix/Linux系统的弱口令LOphtCrack:常用于破解Windows系统口令网络嗅探器Tcpdump/WireSharkDSniff安全渗透工具箱MetasploitBackTrack58、公钥密码体制的加密模型是什么?加密模型:用接收者的公钥作加密密钥,私钥作解密密钥,即只有接收者才能解密密文得到明文。加密过程:c=EpkB(m)解密过程:m=DskB(c)9、RSA密码的加解密过程是怎样的?RSA的加密和解密•参数定义和密钥生成选两个大素数p和q;(保密)计算n=p×q,φ(n)=(p-1)×(q-1);(n公开,φ(n)保密)选一整数e,满足1<e<φ(n),且gcd(φ(n),e)=1;(e公开)计算d,满足d×e≡1 modφ(n)(保密)•加密算法:c ≡ me mod n•解密算法:m ≡ cd mod n特点:•加解密算法是可逆的,加密和解密运算可交换,可同时确保数据的秘密性和数据的真实性。• 实现效率比较高效,其核心运算是模幂运算。安全性:• RSA密码的安全性在于大合数的因子分解,应当采用足够大的整数n,一般至少取1024位,最好取2048位;国际可信计算组织TCG在可信计算标准中规定:一般加密密钥和认证密钥选1024位,而平台根密钥和存储根密钥则选2048位。• 选择RSA的密码参数:p和q要足够大并且应为强素数;e、d的选择不能太小,并且不要许多用户共用一个模数n。10、Diffie-Hellman密钥交换协议的具体流程是什么?W.Diffie和M.E.Hellman于1976年首次提出一种共享秘密的方案,简称Diffie-Hellman密钥交换协议。Diffie-Hellman密钥交换协议基于求解离散对数问题的困难性,即对于下述等式:=M mod P其操作步骤如下:第一步,Alice和Bob确定一个适当的素数p和α,并使得是p的原根,其中和p可以公开。第二步,Alice秘密选取一个整数,计算=mod p,并把发送给Bob。第三步,Bob秘密选取一个整数,计算=mod p,并把发送给Alice。和就是所说的Diffie-Hellman公开值。第四步,Alice和Bob双方分别计算出共享密钥K,即:Alice通过计算K= mod p生成密钥K;Bob通过计算K= mod p生成密钥K。因为:K = mod p=mod p= mod p= mod p= mod p= mod p= mod p所以Alice和Bob生成的密钥K是相同的,这样一来就实现了密钥的交换。Alice和Bob采用Diffie-Hellman密钥交换的安全性基于求解离散对数问题的困难性,即从或者以及计算或在计算上是不可行的。11、什么是SSH协议?SSH是Secure Shell的缩写,即“安全外壳”,它是基于公钥的安全应用协议,由SSH传输层协议、SSH用户认证协议和SSH连接协议三个子协议组成,各协议分工合作,实现加密、认证、完整性检查等多种安全服务。用户为了认证服务器的公钥真实性,有三种方法来实现:•用户直接随身携带含有服务器公钥的拷贝,在进行密钥交换协议前,读入客户计算机;•从公开信道下载服务器的公钥和它对应的指纹后,先通过电话验证服务器的公钥指纹的真实性,然后用HASH软件生成服务器的公钥新指纹,比较下载的指纹和新生成的指纹,若比较结果相同,则表明服务器的公钥是真实的,否则是虚假的。•通过PKI技术来验证服务器。SSH在端口转发技术的基础上,能支持远程登录(Telnet)、rsh、rlogin、文件传输(scp)等多种安全服务。Linux系统一般提供SSH服务,SSH的服务进程端口通常为22。12、网络安全体系的主要模型有哪些?(1)BLP机密性模型Bell-LaPadula模型是符合军事安全策略的计算机安全模型,简称BLP模型。BLP模型有以下两个特性:•简单安全特性:主体只能向下读,不能向上读•*特性:主体只能向上写,不能向下写(2)BiBa完整性模型BiBa模型主要用于防止非授权修改系统信息,以保护系统的信息完整性。该模型同BLP模型类似,采用主体、客体、完整性级别描述安全策略要求。BiBa具有以下三个安全特性:•简单安全特性:主体不能向下读。•*特性:主体不能向上写。•调用特性:主体的完整性级别小于另外一个主体时,不能调用另一个主体。(3)信息流模型信息流模型是访问控制模型的一种变形,简称FM。信息流模型可表示为FM=(N,P,SC,×,→),其中,N表示客体集,P表示进程集,SC表示安全类型集,×表示支持结合、交换的二进制运算符,→表示流关系。一个安全的FM当且仅当执行系列操作后,不会导致流与流关系→产生冲突。(4)信息保障模型PDRR改进了传统的只有保护的单一安全防御思想,强调信息安全保障的四个重要环节。•保护的内容主要有加密机制、数据签名机制、访问控制机制、认证机制、信息隐藏、防火墙技术等。•检测的内容主要有入侵检测、系统脆弱性检测、数据完整性检测、攻击性检测等。•恢复的内容主要有数据备份、数据修复、系统恢复等。•响应的主要内容有应急策略、应急机制、应急手段、入侵过程分析及安全状态评估等。(5)能力成熟度模型能力成熟度模型(简称CMM)是对一个组织机构的能力进行成熟度评估的模型。成熟级别一般分为5级,其中,级别越大,表示能力成熟度越高,各级别定义如下:•1级-非正式执行:具备随机、无序、被动的过程•2级-计划跟踪:具备主动、非体系化的过程•3级-充分定义:具备正式的规范的过程•4级-量化控制:具备可量化的过程•5级-持续优化:具备可持续优化的过程(6)纵深防御模型纵深防御模型的基本思路就是将信息网络安全防护措施有机组合起来,针对保护对象,部署合适的安全措施,形成多道保护线,各安全防护措施能够互相支持和补救,尽可能地阻断攻击者的威胁。目前,安全业界认为网络需要建立四道防线:•安全保护•安全监测•实时响应•恢复(7)分层防护模型分层防护模型针对单独保护节点。(8)等级保护模型等级保护模型是根据网络信息系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度,结合系统面临的风险、系统特定的安全保护要求和成本开销等因素,将其划分成不同的安全保护等级,采取相应的安全保护措施,以保障信息和信息系统的安全。(9)网络生存模型网络生存性是指在网络信息系统遭受入侵的情形下,网络信息系统仍然能够持续提供必要服务的能力。13、网络安全体系在建设过程中主要遵循的原则有哪些?名称说明系统性和动态性原则在建立网络安全防范体系时,应当特别强调系统的整体安全性,即“木桶原则”,即木桶的最大容积取决于最短的一块木板。纵深防护与协作性原则网络安全体系应该包括安全评估机制、安全防护机制、安全监测机制、安全应急响应机制。网络安全风险和分级保护原则指根据网络资产的安全级别,采用合适的网络防范措施来保护网络资产,做到适度防护。标准化与一致性原则网络系统安全体系的设计必须遵循一系列的标准,这样才能确保各个分系统的一致性,使整个系统安全地互联、互通、互操作。技术与管理相结合原则网络安全体系是一个复杂的系统工程,必须将各种安全技术与运行管理机制、人员思想教育和技术培训、安全规章制度的建设相结合。安全第一,预防为主原则网络安全应以预防为主。安全与发展同步,业务与安全等同网络安全的建设要实现和信息化统一谋划、统一部署、统一推进、统一实施,确保三同步——同步规划、同步建设、同步运行。人机物融合和产业发展原则网络安全体系建设要依托网络信息产业的发展,做到自主可控,安全可信,建立持续稳定发展的网络安全生态,支撑网络安全体系的关键要素可控。14、Kerberos认证流程是怎样的?一个Kerberos系统涉及四个基本实体:Kerberos客户机,用户用来访问服务器设备;AS,识别用户身份并提供TGS会话密钥;TGS,为申请服务的用户授予票据;应用服务器,为用户提供服务的设备或系统。Kerberos工作流程示意图Kerberos协议中要求用户经过AS和TGS两重认证的优点主要有两点。可以显著减少用户密钥的密文的暴露次数,这样就可以减少攻击者对有关用户密钥的密文积累。Kerberos认证过程具有单点登录的优点,只要用户拿到了TGT并且该TGT没有过期,那么用户就可以使用该TGR通过TGS完成到任一服务器的认证过程而不必重新输入密码。但是,Kerberos也存在不足之处。Kerberos认证系统要求解决主机节点时间同步问题和抵御拒绝服务攻击。15、访问控制类型有哪些?控制类型说明自主访问控制指客体的所有者按照自己的安全策略授予系统中其他用户对其的访问权。目前自主访问控制的实现方法有两类:基于行的自主访问控制和基于列的自主访问控制。基于行的自主访问控制方法是在每个主体都附加一个该主体可访问的客体的明细表,根据表可分为能力表、前缀表和口令三种形式。基于列的自主访问控制方法是在每个客体都附加一个可访问它的主体的明细表,他有两种形式,即保护位和访问控制表。强访问控制强访问控制是指系统根据主体和客体的安全属性,以强制方式控制主体对客体的访问。基于角色的访问控制基于角色的访问控制(RBAC)就是指根据完成某些职责任务所需要的访问权限来进行授权和管理。基于属性的访问控制基于属性的访问控制简称为ABAC,其访问控制方法是根据主体的属性、客体的属性、环境的条件以及访问策略对主体的请求操作进行授权许可或拒绝。16、防火墙的安全策略有哪几种?白名单策略:只允许符合安全规则的包通过防火墙,其他通信禁止;黑名单策略:禁止与安全规则相冲突的包通过防火墙,其他通信包都允许。17、包过滤防火墙配置规则是怎样的?包过滤是在IP层实现的防火墙技术,包过滤根据包的源IP地址、目的地址、源端口、目的端口及包传递方向等包头信息判断是否允许包通过。规则编号通信方向协议类型源IP目标IP源端口目标端口操作AinTCP外部内部≥102425允许BoutTCP内部外部25≥1024允许CoutTCP内部外部≥102425允许DinTCP外部内部25≥1024允许Eeitheranyanyanyanyany拒绝18、防火墙防御体系结构类型有哪几种?1.双重宿主主机体系结构以一台双重宿主主机作为防火墙系统的主体,执行分离外部网络与内部网络的任务。2.基于代理型防火墙结构代理服务器和路由器共同构建一个网络安全边界防御架构。3.屏蔽子网体系结构采用了两个包过滤路由器和一个堡垒主机,在内外网络之间建立一个被隔离的子网。优点:安全级别最高。缺点:成本高,配置复杂。19、APT如何进行防护?高级持续威胁(简称APT)通常利用电子邮件作为攻击目标系统。攻击者将恶意代码嵌入电子邮件中,然后把它发送到目标人群,诱使收件人打开恶意电子文档,或单击某个指向恶意站点的链接。一旦收件人就范,恶意代码将会安装在其计算机中,从而远程控制收件人的计算机,进而逐步渗透到收件人所在网络,实现其攻击意图。针对高级持续威胁攻击的特点,部署APT检测系统,检测电子文档和电子邮件是否存在恶意代码,以防止攻击者通过电子邮件和电子文档渗透入侵网络。20、移动应用面临哪些安全威胁?1.移动应用安全分析名称说明移动操作系统平台安全威胁移动应用的安全性依赖于移动操作系统。例如,iOS的“1970”漏洞。无线网络攻击攻击者利用移动应用程序依赖的无线网络通信环境或网络服务的安全隐患,实施通信内容监听、假冒基站、网站域名欺诈、网络钓鱼等攻击活动。例如,WiFi“钓鱼”。恶意代码常见的恶意代码行为流氓行为、资费消耗、恶意扣费、隐私窃取、远程控制、诱骗欺诈、系统破坏、恶意传播等。例如,DroidDream恶意软件、BaseBridge恶意扣费软件移动应用代码逆向工程攻击者通过对移动应用程序的二进制代码进行反编译分析,获取移动应用源代码的关键算法思路或窃取敏感数据。移动应用程序非法篡改攻击者利用安全工具,非法篡改移动应用程序,实现恶意的攻击,窃取用户信息。1.Android系统组成概要Android是一个开源的移动终端操作系统,共分成:Linux内核层(Linux Kernel)系统运行库层(Libraries和Android Runtime)应用程序框架层(Application Framework)应用程序层(Applications)2.iOS系统组成概要iOS的系统架构分为四个层次:核心操作系统层(Core OS Layer)、核心服务层(Core Services Layer)、媒体层(Media Layer)和可触摸层(Cocoa Touch Layer)。
2023年09月06日
0 阅读
0 评论
0 点赞
2023-09-06
软考信息安全工程师知识点备考精华
第1章 网络信息安全概述信息系统网络信息安全基本属性 常见的网络信息安全基本属性如下: 名称说明机密性机密性是指网络信息不泄露给非授权的用户、实体或程序,能够防止非授权者获取信息。完整性完整性是指网络信息或系统未经授权不能进行更改的特性。可用性可用性是指合法许可的用户能够及时获取网络信息或服务的特性。抗抵赖性抗抵赖性是指防止网络信息系统相关用户否认其活动行为的特性。可控性可控性是指网络信息系统责任主体对其具有管理、支配能力的属性。其他除了常见的网络信息系统安全特性,还有真实性、时效性、公平性、可靠性、可生存性和隐私性等。名称说明网络信息安全防御网络信息安全防御是指采取各种手段和措施,使得网络系统具备阻止、抵御各种已知网络安全威胁的功能。网络信息安全监测网络信息安全监测是指采取各种手段和措施,检测、发现各种已知或未知的网络安全威胁的功能。网络信息安全应急网络信息安全应急是指采取各种手段和措施,针对网络系统中的突发事件,具备及时响应和处置网络攻击的功能。网络信息安全恢复网络信息安全恢复是指采取各种手段和措施,针对已经发生的网络灾害事件,具备恢复网络系统运行的功能。网络信息安全基本功能:网络信息安全基本技术需求名称说明物理环境安全物理环境安全是指包括环境、设备和记录介质在内的所有支持网络系统运行的硬件的总体安全,是网络系统安全、可靠、不间断运行的基本保证。网络信息安全认证网络信息安全认证是实现网络资源访问控制的前提和依据,是有效保护网络管理对象的重要技术方法。网络信息访问控制网络信息访问控制是有效保护网络管理对象,使其免受威胁的关键技术方法,其目标主要有:限制非法用户获取或使用网络资源。防止合法用户滥用权限,越权访问网络资源。网络信息安全保密网络安全保密的目的就是防止非授权的用户访问网上信息或网络设备。网络信息安全漏洞扫描网络系统中需配备弱点或漏洞扫描系统,用以检测网络中是否存在安全漏洞。恶意代码防护防范恶意代码是网络系统中必不可少的安全需求。网络信息内容安全网络信息内容安全是指相关网络信息系统承载的信息及数据符合法律法规要求,防止不良信息及垃圾信息传播。网络信息安全监测与预警网络安全监测的作用在于发现综合网系统入侵活动和检查安全保护措施的有效性。网络信息安全以及响应网络系统中需配备弱点或漏洞扫描系统,用以检测网络中是否存在安全漏洞。网络信息安全管理对象是企业、机构直接赋予了价值而需要保护的资产。常见网络信息安全管理对象分类如下:对象类型范例硬件计算机、网络设备、传输介质及转换器、输入输出设备、监控设备软件网络操作系统、网络通信软件、网络管理软件存储介质光盘、硬盘、软盘、磁带、移动存储器网络信息资产网络IP地址、网络物理地址、网络用户账号/口令、网络拓扑结构图支持保障系统消防、保安系统、动力、空调、通信系统、厂商服务系统网络系统包含各类不同资产,由于其所具有的价值,将会受到不同类型的威胁。下表列举了网络系统受到的非自然的威胁主体类型。威胁主体类型描述国家以国家安全为目的,由专业信息安全人员实现,如信息战士黑客以安全技术挑战为目的,主要出于兴趣,由具有不同安全技术熟练程度的人员组成恐怖分子以强迫或恐吓手段,企图实现不当愿望网络犯罪以非法获取经济利益为目的,非法进入网络系统,出卖信息或修改信息记录商业竞争对手以市场竞争为目的,主要是搜集商业情报或损害对手的市场影响力新闻机构以收集新闻信息为目的,从网上非法获取有关新闻事件中的人员信息或背景材料不满的内部工作人员以报复、泄愤为目的,破坏网络安全设备或干扰系统运行粗心的内部工作人员因工作不专心或技术不熟练而导致网络系统受到危害,如误配置网络安全管理实际上是对网络系统中网管对象的风险进行控制,其方法如下:名称说明避免风险例如,通过物理隔离设备将内部网和外部网分开,避免受到外部网的攻击。转移风险例如,购买商业保险计划或安全外包。减少威胁例如,安装防病毒软件包,防止病毒攻击。消除脆弱点例如,给操作系统打补丁或强化工作人员的安全意识。减少威胁的影响例如,采取多条通信线路进行备份或制定应急预案。风险监测例如,定期对网络系统中的安全状况进行风险分析,监测潜在的威胁行为。下表为常见的网络安全技术方面的术语及其对应的英文。名称说明基础技术类常见的密码术语如加密(encryption)、解密(decryption)、非对称加密算法(asymmetric cryptographic algorithm),公钥加密算法(public key cryptographic algorithm)、公钥(public key)等。风险评估技术类包括拒绝服务(Denial of Service)、分布式拒绝服务(Distributed Denial of Service)、网页篡改(Website Distortion)、网页仿冒(Phishing)、网页挂马(Website Malicious Code)、域名劫持(DNS Hijack)、路由劫持(Routing Hijack)垃圾邮件(Spam)、恶意代码(Malicious Code)、特洛伊木马(Trojan Horse)、网络蠕虫(Network Worm)、僵尸网络(Botnet)等。防护技术类包括访问控制(Access Control)、防火墙(Firewall)、入侵防御系统(Intrusion Prevention System)等。检测技术类包括入侵检测(Intrusion Detection)、漏洞扫描(Vulnerability Scanning)等。响应/恢复技术类包括应急响应(Emergency Response)、灾难恢复(Disaster Recovery)、备份(Backup)等。测评技术类包括黑盒测试(Black Box Testing)、白盒测试(White Box Testing)、灰盒测试(Gray Box Testing)、渗透测试(Penetration Testing)、模糊测试(Fuzz Testing)。第2章 网络攻击原理与常用方法网络攻击概述常见的危害行为有四个基本类型:信息泄露攻击完整性破坏攻击拒绝服务攻击非法使用攻击网络攻击原理表:攻击者攻击工具攻击访问攻击效果攻击意图黑客间谍恐怖主义者公司职员职业犯罪分子破坏者用户命令脚本或程序自治主体电磁泄露本地访问远程访问破坏信息信息泄密窃取服务拒绝服务挑战好奇获取情报经济利益恐怖事件报复网络攻击一般过程网络攻击过程主要分为以下几个步骤:•隐藏攻击源。隐藏黑客主机位置使得系统管理无法追踪。•收集攻击目标信息。确定攻击目标并收集目标系统的有关信息。•挖掘漏洞信息。从收集到的目标信息中提取可使用的漏洞信息。•获取目标访问权限。获取目标系统的普通或特权账户的权限。•隐藏攻击行为。隐蔽在目标系统中的操作,防止入侵行为被发现。•实施攻击。进行破坏活动或者以目标系统为跳板向其他系统发起新的攻击。•开辟后门。在目标系统中开辟后门,方便以后入侵。•清除攻击痕迹。避免安全管理员的发现、追踪以及法律部门取证。网络攻击常见方法1.端口扫描端口扫描的目的是找出目标系统上提供的服务列表。根据端口扫描利用的技术,扫描可以分为多种类型:扫描名称说明完全连接扫描完全连接扫描利用TCP/IP协议的三次握手连接机制,使源主机和目的主机的某个端口建立一次完整的连接。如果建立成功,则表明该端口开放。否则,表明该端口关闭。半连接扫描半连接扫描是指在源主机和目的主机的三次握手连接过程中,只完成前两次握手,不建立一次完整的连接。SYN扫描首先向目标主机发送连接请求,当目标主机返回响应后,立即切断连接过程,并查看响应情况。如果目标主机返回ACK信息,表明目标主机的该端口开放。如果目标主机返回RESET信息,表示该端口没有开放。ID头信息扫描首先由源主机A向dumb主机B发出连续的PING数据包,并且查看主机B返回的数据包的ID头信息(一般每个顺序数据包的ID头的值会增加1)。然后由源主机A假冒主机B的地址向目的主机C的任意端口(1-65535)发送SYN数据包。这时,主机C向主机B发送的数据包有两种可能的结果:1、SYN|ACK表示该端口处于监听状态;2、RST|ACK表示该端口处于非监听状态;后续的PING数据包响应信息的ID头信息可以看出,如果主机C的某个端口是开放的,则主机B返回A的数据包中,ID头的值不是递增1,而是大于1。如果主机C的某个端口是非开放的,则主机B返回A的数据包中,ID头的值递增1,非常规律。隐蔽扫描隐蔽扫描是指能够成功地绕过IDS、防火墙和监视系统等安全机制,取得目标主机端口信息的一种扫描方式。SYN|ACK扫描由源主机向目标主机的某个端口直接发送SYN|ACK数据包,而不是先发送SYN数据包。由于这一方法不发送SYN数据包,目标主机会认为这是一次错误的连接,从而报错。如果目标主机的该端口没有开放,则会返回RST信息。如果目标主机的该端口开放,则不会返回任何信息,而是直接将数据包抛弃掉。FIN扫描源主机A向目标主机B发送FIN数据包,然后查看反馈信息。如果端口返回RESET信息,则说明该端口关闭。如果端口没有返回任何信息,则说明该端口开放。ACK扫描首先由主机A向主机B发送FIN数据包,然后查看反馈数据包的TTL值和WIN值。开放端口所返回的数据包的TTL值一般小于64,而关闭端口的返回值一般大于64;开放端口所返回的数据包的WIN值一般大于0,而关闭端口的返回值一般等于0。NULL扫描将源主机发送的数据包中的ACK、FIN、RST、SYN、URG、PSH等标志位全部置空。如果目标主机没有返回任何信息,则表明该端口是开放的。如果返回RST信息,则表明该端口是关闭的。XMAS扫描XMAS扫描的原理和NULL扫描相同,只是将要发送的数据包中的ACK、FIN、RST、SYN、URG、PSH等标志位全部置成1。如果目标主机没有返回任何信息,则表明该端口是开放的。如果返回RST信息,则表明该端口是关闭的。2.口令破解建立与目标网络服务的网络连接;选取一个用户列表文件及字典文件;在用户列表文件及字典文件中,选取一组用户和口令按网络服务协议规定,将用户名及口令发送给目标网络服务端口;检测远程服务返回信息,确定口令尝试是否成功;再取另一组用户和口令,重复循环试验,直至口令用户列表文件及字典文件选取完毕。3.缓冲区溢出攻击缓冲区溢出攻击的防范策略:系统管理上的防范策略:关闭不需要的特权服务;及时给程序漏洞打补丁。软件开发过程中的防范策略:编写正确的代码;缓冲区不可执行;改进C语言函数库。漏洞防范技术:地址空间随机化技术;数据执行阻止;堆栈保护。恶意代码常见的恶意代码类型有计算机病毒、网络蠕虫、特洛伊木马、后门、逻辑炸弹、僵尸网络等。4.拒绝服务拒绝服务攻击的种类:DoS攻击名称说明同步包风暴(SYN Flood)利用TCP协议缺陷发送大量伪造的TCP连接请求,使得被攻击者资源耗尽。三次握手,进行了两次(SYN)(SYN/ACK),不进行第三次握手(ACK),连接队列处于等待状态,大量的这样的等待,占满全部队列空间,系统挂起。Ping of Death(死亡之Ping)攻击者故意发送大于65535字节的ip数据包给对方,导致内存溢出,这时主机就会出现内存分配错误而导致TCP/IP堆栈崩溃,导致死机!Teardrop Attack(泪滴攻击)分段攻击。伪造数据报文向目标主机发送含有重叠偏移的数据分段,通过将各个分段重叠来使目标系统崩溃或挂起。UDP Flood(UDP 洪水)利用简单的TCP/IP服务,如用Chargen和Echo传送毫无用处的占满宽带的数据。通过伪造与某一主机的Chargen服务之间的一次UDP连接,回复地址指向开放Echo服务的一台主机,生成在两台主机之间的足够多的无用数据流。Smurf攻击攻击者伪装目标主机向局域网的广播地址发送大量欺骗性的ICMP ECHO请求,这些包被放大,并发送到被欺骗的地址,大量的计算机向一台计算机回应ECHO包,目标系统将会崩溃。垃圾邮件针对服务端口(SMTP端口,即25端口)的攻击方式,攻击者通过连接到邮件服务器的25端口,按照SMTP协议发送几行头信息加上一堆文字垃圾,反复发送形成邮件轰炸。消耗CPU和内存资源的拒绝服务攻击利用目标系统的计算算法漏洞,构造恶意数据集,导致目标系统的CPU或内存资源耗尽,从而使目标系统瘫痪,如Hash DoS。分布式拒绝服务攻击(DDOS)引入了分布式攻击和C/S结构,客户端运行在攻击者的主机上,用来发起控制代理端;代理端运行在已被攻击者侵入并获得控制的主机上,从主控端接收命令,负责对目标实施实际的攻击。利用C/S技术,主控程序能在几秒钟内激活成百上千次代理程序的运行。1.网络钓鱼(1)获取敏感数据•用户名•口令•账号ID(2)防范方法•申请并安装数字证书•规范使用操作2.网络窃听网络窃听是指利用网络通信技术缺陷,使得攻击者能够获取到其他人的网络通信信息。常见的网络窃听技术手段主要有:网络嗅探、中间人攻击。3.SQL注入(1)SQL注入原理•在web服务中一般采用三层架构模式,即:浏览器+web服务器+数据库;由于web服务脚本程序的编程漏洞,网络攻击者将SQL命令插入web表单中的输入域或页面请求查找字符串,欺骗服务器执行恶意的SQL命令。(2)注入形式•http://xxx.xxx.xxx/abc.asp??p=YY•执行注入:http://xxx.xxx.xxx/abc.asp??p=YY and user>0 从运行的错误信息中可获知用户名•执行注入:http://xxx.xxx.xxx/abc.asp??p=YY and (Select password from login where user_name’admin’)>0 从运行的错误信息中可获知密码。4.社交工程网络攻击者通过一系列的社交活动,获取需要的信息。5.电子监听网络攻击者采用电子设备远距离地监视电磁波的传送过程。6.会话劫持会话劫持是指攻击者在初始授权之后建立一个连接,在会话劫持以后,攻击者具有合法用户的特权权限。7.漏洞扫描通过漏洞扫描器可以自动发现系统的安全漏洞。8.代理技术网络攻击者通过免费代理服务器进行攻击,其目的是以代理服务器为“攻击跳板”,即使攻击目标的网络管理员发现了,也难以追踪到网络攻击者的真实身份或IP地址。9.数据加密网络攻击者常常采用数据加密技术来逃避网络安全管理人员的追踪。加密使网络攻击者的数据得到有效保护,即使网络安全管理人员得到这些加密的数据,没有密钥也无法读懂,这样就实现攻击者的自身保护。黑客常用工具工具名称说明扫描器NMAP网络地图Nessus远程安全扫描器SuperScan远程监控常见的远程监控工具有冰河、网络精灵、Netcat。密码破解John the Ripper:用于检查Unix/Linux系统的弱口令LOphtCrack:常用于破解Windows系统口令网络嗅探器Tcpdump/WireSharkDSniff安全渗透工具箱MetasploitBackTrack5第3章 密码学基本理论密码体制分类1.密码体制一个密码系统,通常简称为密码体制(Cryptosystem),它由五部分组成:明文空间M、 密文空间C、密钥空间K、加密算法E、解密算法D。2.公钥密码体制的基本原理加密模型:用接收者的公钥作加密密钥,私钥作解密密钥,即只有接收者才能解密密文得到明文。加密过程:c=EpkB(m)解密过程:m=DskB(c)3.常见密码算法(1)DES算法DES算法流程:l初始置换IPl生成16个48位的子密钥l16轮feistel结构迭代:•扩展置换E•S盒代换•置换P•逆初始置换IP-1DES算法的安全性:密钥较短:面对计算能力高速发展的形势,DES采用56位密钥,显然短了一些。其密钥量仅为256约为1017 个。存在弱密钥:弱密钥K:K1=K2=…=K16;弱密钥不受任何循环移位的影响,并且只能得到相同的子密钥,由全0或全1组成的密钥显然是弱密钥,子密钥生成过程中被分割的两部分分别为全0或全1时也是弱密钥,并且存在4个弱密钥。半弱密钥K:有些种子密钥只能生成两个不同的子密钥,这样的种子密钥K称为半弱密钥,DES至少存在12个半弱密钥。半弱密钥将导致把明文加密成相同的密文。(2)IDEA算法1、是国际数据加密算法的简记,是一个分组加密处理算法,其明文和密文分组都是64比特,密钥长度为128比特。2、该算法是由来学嘉和Massey提出的建议标准算法,已在PGP中得到应用。(3)AES算法1、数据长度可变2、不存在弱密钥3、抗攻击能力强4、适应性强(4)RSA密码RSA的加密和解密•参数定义和密钥生成选两个大素数p和q;(保密)计算n=p×q,φ(n)=(p-1)×(q-1);(n公开,φ(n)保密)选一整数e,满足1<e<φ(n),且gcd(φ(n),e)=1;(e公开)计算d,满足d×e≡1 modφ(n)(保密)•加密算法:c ≡ me mod n•解密算法:m ≡ cd mod n特点:•加解密算法是可逆的,加密和解密运算可交换,可同时确保数据的秘密性和数据的真实性。• 实现效率比较高效,其核心运算是模幂运算。安全性:• RSA密码的安全性在于大合数的因子分解,应当采用足够大的整数n,一般至少取1024位,最好取2048位;国际可信计算组织TCG在可信计算标准中规定:一般加密密钥和认证密钥选1024位,而平台根密钥和存储根密钥则选2048位。• 选择RSA的密码参数:p和q要足够大并且应为强素数;e、d的选择不能太小,并且不要许多用户共用一个模数n。(5)国产密码算法算法名称算法特性描述备注SM1对称加密分组长度和密钥长度都为128比特 SM2非对称加密,用于公钥加密算法、密钥交换协议、数字签名算法国家标准推荐使用素数域256位椭圆曲线SM3杂凑算法,杂凑值长度为256比特 SM4对称加密,分组长度和密钥长度都为128比特 SM9标识密码算法 Hash函数与数字签名1.典型的Hash算法基本形式:Hash函数将任意长的报文M映射为定长的hash码h,其形式为:h=H(M)Hash码也称之为报文摘要,具有错误检测能力。基本性质:单向性:由Hash码不能得出相应的报文;抗弱碰撞性:不能找到与给定报文具有相同Hash值的另一个报文;抗强碰撞性:抵抗生日攻击这类攻击的能力强弱问题。Hash函数值应该较长。2.常见的Hash算法MD5算法MD5算法是由Rivest设计的。MD5以512位数据块为单位来处理输入,产生128位的消息摘要,即MD5能产生128比特长度的哈希值。SHA算法HA由NIST开发,同样也以512位数据块为单位来处理输入,产生160位的哈希值,具有比MD5更强的安全性。SHA算法产生的哈希值长度有SHA-224、SHA-256、SHA-384、SHA-512。SM3国产算法SM3是国家密码管理局于2010年公布的商用密码杂凑算法标准。该算法消息分组长度为512比特,输出杂凑值长度为256比特。3.数字签名数字签名至少应满足以下三个条件:非否认。签名者事后不能否认自己的签名。真实性。接收者能验证签名,而任何其他人都不能伪造签名。可鉴别性。当双方关于签名的真伪发生争执时,第三方能解决双方之间发生的争执。密码管理与数字证书1.密码管理密钥管理主要围绕密钥的生命周期进行,包括密钥生成、密钥存储、密钥分发、密钥使用、密钥更新、密钥撤销、密钥备份、密钥恢复、密钥销毁、密钥审计。2.数字证书数字证书也称公钥证书,是由证书认证机构(CA)签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。数字证书的基本信息域格式要求如下表所示:序号项名称描述1version版本号2serialNumber序列号3signature签名算法4issuer颁发者5validity有效日期6subject主体7subjectPublicKeyInfo主体公钥信息8issuerUniqueID颁发者唯一标识符9subjectUniqueID主体唯一标识符10extensions扩展项数字证书按类别可分为个人证书、机构证书和设备证书。按用途可分为签名证书和加密证书。签名证书是用于证明签名公钥的数字证书;加密证书是用于证明加密公钥的数字证书。安全协议1.Diffie-Hellman密钥交换协议W.Diffie和M.E.Hellman于1976年首次提出一种共享秘密的方案,简称Diffie-Hellman密钥交换协议。Diffie-Hellman密钥交换协议基于求解离散对数问题的困难性,即对于下述等式:=M mod P其操作步骤如下:第一步,Alice和Bob确定一个适当的素数p和α,并使得是p的原根,其中和p可以公开。第二步,Alice秘密选取一个整数,计算=mod p,并把发送给Bob。第三步,Bob秘密选取一个整数,计算=mod p,并把发送给Alice。和就是所说的Diffie-Hellman公开值。第四步,Alice和Bob双方分别计算出共享密钥K,即:Alice通过计算K= mod p生成密钥K;Bob通过计算K= mod p生成密钥K。因为:K = mod p=mod p= mod p= mod p= mod p= mod p= mod p所以Alice和Bob生成的密钥K是相同的,这样一来就实现了密钥的交换。Alice和Bob采用Diffie-Hellman密钥交换的安全性基于求解离散对数问题的困难性,即从或者以及计算或在计算上是不可行的。2.SSH协议SSH是Secure Shell的缩写,即“安全外壳”,它是基于公钥的安全应用协议,由SSH传输层协议、SSH用户认证协议和SSH连接协议三个子协议组成,各协议分工合作,实现加密、认证、完整性检查等多种安全服务。用户为了认证服务器的公钥真实性,有三种方法来实现:•用户直接随身携带含有服务器公钥的拷贝,在进行密钥交换协议前,读入客户计算机;•从公开信道下载服务器的公钥和它对应的指纹后,先通过电话验证服务器的公钥指纹的真实性,然后用HASH软件生成服务器的公钥新指纹,比较下载的指纹和新生成的指纹,若比较结果相同,则表明服务器的公钥是真实的,否则是虚假的。•通过PKI技术来验证服务器。SSH在端口转发技术的基础上,能支持远程登录(Telnet)、rsh、rlogin、文件传输(scp)等多种安全服务。Linux系统一般提供SSH服务,SSH的服务进程端口通常为22。密码学网络安全应用1.密码技术常见应用场景类型密码技术主要应用场景类型说明网络用户安全基于公钥密码学技术使用加密技术物理和环境安全对物理区域访问者的身份进行鉴别保护电子门禁系统进出记录的存储完整性和机密性保证视频监控音像记录的存储完整性和机密性网络和通信安全对通信实体进行双向身份鉴别使用数字签名保证通信过程中数据的完整性对通信过程中进出的敏感字段或通信报文进行加密使用密码安全认证协议对网络设备进行接入认证设备和计算安全使用密码安全认证协议对登录设备用户的身份进行鉴别使用Hash函数及密码算法建立可信的计算环境使用数字签名验证重要可执行程序来源的真实性使用加密措施保护设备的重要信息资源,如口令文件使用SSH及SSL等密码技术,建立设备远程管理安全信息传输通道应用和数据安全使用安全协议及数字证书对登录用户进行身份鉴别加密应用系统访问控制信息应用SSH及SSL等密码技术,传输重要数据,保护重要数据的机密性和完整性加密存储重要数据,防止敏感数据泄密使用Hash函数、数字签名等密码技术,保护应用系统的完整性业务应用创新利用数字证书和数字签名等密码技术,构建网络发票使用Hash函数等密码技术,构建区块链利用密码技术,建立电子证照2.路由器安全应用参考(1)路由器口令管理路由器先用MD5对管理员口令信息进行Hash计算,然后再保存到路由器配置文件中。(2)远程安全访问路由器管理员为增强路由器的安全管理,使用SSH替换Telnet。(3)路由器信息交换认证路由器常用MD5-HMAC来实现。第4章 网络安全体系与网络安全模型网络安全体系概述1.网络安全体系的主要特征(1)整体性:网络安全体系从全职长远的角度实现安全保障,网络安全单元按照一定的规则相互依赖,相互约束,相互作用,而形成人机物一体化的网络安全保护方式 ;(2)协同性:网络安全体系依赖于多种安全机制,通过多种安全机制的相互协作,构建系统性的网络安全保护方案;(3)过程性:针对保护对象,网络安全体系提供一种过程式的网络安全保护机制,覆盖保护对象的全生命周期;(4)全面性:网络安全体系基于多个维度,多个层面与安全威胁进行管控构建防护、检查、响应恢复等网络安全功能;(5)适应性:网络安全体系具有动态演变机制,能够适应网络安全威胁的变化和需求。网络安全体系相关安全模型1.网络安全体系的主要模型(1)BLP机密性模型Bell-LaPadula模型是符合军事安全策略的计算机安全模型,简称BLP模型。BLP模型有以下两个特性:•简单安全特性:主体只能向下读,不能向上读•*特性:主体只能向上写,不能向下写(2)BiBa完整性模型BiBa模型主要用于防止非授权修改系统信息,以保护系统的信息完整性。该模型同BLP模型类似,采用主体、客体、完整性级别描述安全策略要求。BiBa具有以下三个安全特性:•简单安全特性:主体不能向下读。•*特性:主体不能向上写。•调用特性:主体的完整性级别小于另外一个主体时,不能调用另一个主体。(3)信息流模型信息流模型是访问控制模型的一种变形,简称FM。信息流模型可表示为FM=(N,P,SC,×,→),其中,N表示客体集,P表示进程集,SC表示安全类型集,×表示支持结合、交换的二进制运算符,→表示流关系。一个安全的FM当且仅当执行系列操作后,不会导致流与流关系→产生冲突。(4)信息保障模型PDRR改进了传统的只有保护的单一安全防御思想,强调信息安全保障的四个重要环节。•保护的内容主要有加密机制、数据签名机制、访问控制机制、认证机制、信息隐藏、防火墙技术等。•检测的内容主要有入侵检测、系统脆弱性检测、数据完整性检测、攻击性检测等。•恢复的内容主要有数据备份、数据修复、系统恢复等。•响应的主要内容有应急策略、应急机制、应急手段、入侵过程分析及安全状态评估等。(5)能力成熟度模型能力成熟度模型(简称CMM)是对一个组织机构的能力进行成熟度评估的模型。成熟级别一般分为5级,其中,级别越大,表示能力成熟度越高,各级别定义如下:•1级-非正式执行:具备随机、无序、被动的过程•2级-计划跟踪:具备主动、非体系化的过程•3级-充分定义:具备正式的规范的过程•4级-量化控制:具备可量化的过程•5级-持续优化:具备可持续优化的过程(6)纵深防御模型纵深防御模型的基本思路就是将信息网络安全防护措施有机组合起来,针对保护对象,部署合适的安全措施,形成多道保护线,各安全防护措施能够互相支持和补救,尽可能地阻断攻击者的威胁。目前,安全业界认为网络需要建立四道防线:•安全保护•安全监测•实时响应•恢复(7)分层防护模型分层防护模型针对单独保护节点。(8)等级保护模型等级保护模型是根据网络信息系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度,结合系统面临的风险、系统特定的安全保护要求和成本开销等因素,将其划分成不同的安全保护等级,采取相应的安全保护措施,以保障信息和信息系统的安全。(9)网络生存模型网络生存性是指在网络信息系统遭受入侵的情形下,网络信息系统仍然能够持续提供必要服务的能力。网络安全体系建设原则与安全策略1.网络安全体系在建设过程中主要遵循以下原则名称说明系统性和动态性原则在建立网络安全防范体系时,应当特别强调系统的整体安全性,即“木桶原则”,即木桶的最大容积取决于最短的一块木板。纵深防护与协作性原则网络安全体系应该包括安全评估机制、安全防护机制、安全监测机制、安全应急响应机制。网络安全风险和分级保护原则指根据网络资产的安全级别,采用合适的网络防范措施来保护网络资产,做到适度防护。标准化与一致性原则网络系统安全体系的设计必须遵循一系列的标准,这样才能确保各个分系统的一致性,使整个系统安全地互联、互通、互操作。技术与管理相结合原则网络安全体系是一个复杂的系统工程,必须将各种安全技术与运行管理机制、人员思想教育和技术培训、安全规章制度的建设相结合。安全第一,预防为主原则网络安全应以预防为主。安全与发展同步,业务与安全等同网络安全的建设要实现和信息化统一谋划、统一部署、统一推进、统一实施,确保三同步——同步规划、同步建设、同步运行。人机物融合和产业发展原则网络安全体系建设要依托网络信息产业的发展,做到自主可控,安全可信,建立持续稳定发展的网络安全生态,支撑网络安全体系的关键要素可控。第5章 物理与环境安全技术物理安全威胁物理安全保护一般来说,物理安全保护主要从以下方面采取安全保护措施:名称说明设备物理安全设备物理安全的安全技术要素主要有设备的标志和标记、防止电磁信息泄露、抗电磁干扰、电源保护以及设备震动、碰撞、冲击适应性等方面。环境物理安全环境物理安全的安全技术要素主要有机房场地选择、机房屏蔽、防火、防水、防雷、防鼠、防盗、防毁、供配电系统、空调系统、综合布线和区域防护等方面系统物理安全系统物理安全的安全技术要素主要有存储介质安全、灾难备份与恢复、物理设备访问、设备管理和保护、资源利用等。物理安全保护的方法主要是安全合规、访问控制、安全屏蔽、故障容错、安全监测与预警、供应链安全管理和容灾备份等。设备硬件攻击防护硬件木马检测:硬件木马检测方法有反向分析法、功耗分析法、侧信道分析法。硬件漏洞处理:硬件漏洞不同于软件漏洞,其修补具有不可逆性。通常方法是破坏漏洞利用条件,防止漏洞被攻击者利用。存储介质安全分析与防护1.存储介质安全分析•存储管理失控•存储数据泄密•存储介质及存储设备故障•存储介质数据非安全删除•恶意代码攻击2.存储介质防护(1)强化存储安全管理•是有专门区域用于存放介质,并有专人负责保管维护;•有关借用必须办理审批和登记手续,介质分类存放重要数据应进行复制备份两份以上,分开备份,以备不时之需;•对敏感数据、重要数据和关键数据应采取贴封条或其他安全有效措施,防止被非法拷贝;•报废的光盘、磁盘、磁带、硬盘、移动盘必须按照规定程序完全消除敏感数据信息。(2)数据存储加密保存系统中有很高使用价值或很高机密程度的重要数据,应采用加密存储,目前windows操作系统当中都支持加密文件系统。(3)容错容灾存储技术对于重要的系统及数据资源,采取磁盘阵列、双机在线备份、离线备份等综合安全措施,保护存储数据及相关系统的正常运行。第6章 认证技术原理与应用认证概述1.认证概念认证是一个实体向另一个实体证明其所有声称的身份的过程。2.认证依据认证依据也称为鉴别信息,通常指用于确认实体(声称者)身份的真实性或者其拥有的属性的凭证。目前,常见的认证依据主要有四类:所知道的秘密信息所拥有的实物凭证所具有的生物特征所表现的行为特征认证类型与认证过程1.单向认证单向认证是指在认证过程中,验证者对声称者进行单方面的鉴别,而声称者不需要识别验证者的身份。2.双向认证双向认证是指在认证过程中,验证者对声称者进行单方面的鉴别,同时,声称者也对验证者的身份进行确认。3.第三方认证第三方认证是指两个实体在鉴别过程中通过可信的第三方来实现。可信的第三方简称TTP。认证技术方法口令认证技术口令认证是基于用户所知道的秘密而进行的认证技术。设用户A的标识为,口令为,服务方实体为B,则认证过程描述如下:用户A发送消息()到服务方B。B收到()消息后,检查的正确性。若正确,则通过用户A的认证。B回复用户A验证结果消息。要实现口令认证的安全,至少应满足以下条件:●口令信息要安全加密存储;●口令信息要安全传输;●口令认证协议要抵抗攻击,符合安全协议设计要求;●口令选择要求做到避免弱口令。智能卡技术智能卡是一种带有存储器和微处理器的集成电路卡,能够安全存储认证信息,并具有一定的计算能力。Kerberos认证技术一个Kerberos系统涉及四个基本实体:Kerberos客户机,用户用来访问服务器设备;AS,识别用户身份并提供TGS会话密钥;TGS,为申请服务的用户授予票据;应用服务器,为用户提供服务的设备或系统。Kerberos工作流程示意图Kerberos协议中要求用户经过AS和TGS两重认证的优点主要有两点。可以显著减少用户密钥的密文的暴露次数,这样就可以减少攻击者对有关用户密钥的密文积累。Kerberos认证过程具有单点登录的优点,只要用户拿到了TGT并且该TGT没有过期,那么用户就可以使用该TGR通过TGS完成到任一服务器的认证过程而不必重新输入密码。但是,Kerberos也存在不足之处。Kerberos认证系统要求解决主机节点时间同步问题和抵御拒绝服务攻击。公钥基础设施(PKI)技术●签证机构CA负责签发证书、管理和撤销证书●注册机构RA负责专门受理用户申请证书的机构证书的签发证书目录证书的认证证书的撤销信任模型其他认证技术名称说明单点登录指用户访问使用不同的系统时,只需要进行一次身份认证,就可以根据这次登录的认证身份访问授权资源。基于人机识别认证技术基于人机识别认证利用计算机求解问题的困难性以区分计算机和人的操作,防止计算机程序恶意操作,如恶意注册、暴力猜解口令等。多因素认证技术多因素认证技术使用多种鉴别信息进行组合,以提升认证的安全强度。根据认证机制所依赖的鉴别信息的多少,认证通常称为双因素认证或多因素认证。基于行为的身份鉴别技术基于行为的身份鉴别是根据用户行为和风险大小而进行的身份鉴别技术。快速在线认证(FIDO)FIDO使用标准公钥加密技术来提供强身份验证。FIDO的设计目标是保护用户隐私,不提供跟踪用户的信息,用户生物识别信息不离开用户的设备。认证主要产品与技术指标1.认证主要产品目前,认证技术主要产品类型包括系统安全增强、生物认证、电子认证服务、网络准入控制和身份认证网关5类。2.主要技术指标一般来说,认证技术产品的评价指标可以分成三类,即安全功能要求、性能要求和安全保障要求。认证技术产品的主要技术指标如下:●密码算法支持●认证准确性●用户支持数量●安全保障级别认证技术应用认证技术是网络安全保障的基础性技术,普遍应用于网络信息系统保护。认证技术常见的应用场景如下:●用户身份验证●信息来源证实●信息安全保护第7章 访问控制技术原理与应用访问控制概述1.访问控制目标访问控制的目标有两个:防止非法用户进入系统;阻止合法用户对系统资源的非法使用,即禁止合法用户的越权访问。访问控制模型1.访问控制参考模型访问控制机制由一组安全机制构成,可以抽象为一个简单的模型,组成要素主要有主体、参考监视器、客体、访问控制数据库、审计库。访问控制类型控制类型说明自主访问控制指客体的所有者按照自己的安全策略授予系统中其他用户对其的访问权。目前自主访问控制的实现方法有两类:基于行的自主访问控制和基于列的自主访问控制。基于行的自主访问控制方法是在每个主体都附加一个该主体可访问的客体的明细表,根据表可分为能力表、前缀表和口令三种形式。基于列的自主访问控制方法是在每个客体都附加一个可访问它的主体的明细表,他有两种形式,即保护位和访问控制表。强访问控制强访问控制是指系统根据主体和客体的安全属性,以强制方式控制主体对客体的访问。基于角色的访问控制基于角色的访问控制(RBAC)就是指根据完成某些职责任务所需要的访问权限来进行授权和管理。基于属性的访问控制基于属性的访问控制简称为ABAC,其访问控制方法是根据主体的属性、客体的属性、环境的条件以及访问策略对主体的请求操作进行授权许可或拒绝。访问控制过程与安全管理1.口令安全管理口令是当前大多数网络实施网络控制进行身份鉴别的重要依据,一般遵守以下原则:•口令选择应至少在8个字符以上,应选用大小写字母、数字、特殊字符组合;•禁止使用与账号相同的口令;•更换系统默认口令,避免使用默认口令;•限制账号登录次数,建议为3次;•禁止共享账号和口令;•口令文件应该加密存放,并只有超级用户才能读取;•禁止以明文形式在网络上传递口令;•口令应有时效机制,保证经常更改,并且禁止重用口令;•对所有的账号运行口令破解工具,检查是否存在弱口令或没有口令的账号。第8章 防火墙技术原理与应用防火墙概述1.安全区域有:公共外部网络内联网外联网军事缓冲区域,简称DMZ2.防火墙的安全策略白名单策略:只允许符合安全规则的包通过防火墙,其他通信禁止;黑名单策略:禁止与安全规则相冲突的包通过防火墙,其他通信包都允许。3.防火墙的功能过滤非安全网络访问限制网络访问网络访问审计网络宽带控制协同防御防火墙的安全风险网络安全旁路防火墙功能缺陷:防火墙不能完全防止感染病毒的软件或文件传输;防火墙不能防止基于数据驱动式的攻击;防火墙不能完全防止后门攻击。防火墙安全机制形成单点故障和特权威胁防火墙无法有效防范内部威胁防火墙效用受限于安全规则防火墙类型与实现技术1.包过滤包过滤是在IP层实现的防火墙技术,包过滤根据包的源IP地址、目的地址、源端口、目的端口及包传递方向等包头信息判断是否允许包通过。规则编号通信方向协议类型源IP目标IP源端口目标端口操作AinTCP外部内部≥102425允许BoutTCP内部外部25≥1024允许CoutTCP内部外部≥102425允许DinTCP外部内部25≥1024允许Eeitheranyanyanyanyany拒绝2.状态检察技术基于状态的防火墙通过利用TCP会话和UDP“伪”会话的状态信息进行网络访问机制。3.应用服务代理应用服务代理防火墙扮演着受保护网络的内部网主机和外部网主机的网络通信连接“中间人”的角色。应用服务代理技术的优点主要有:不允许外部主机直接访问内部主机支持多种用户认证方案可以分析数据包内部的应用命令可以提供详细的审计记录应用服务代理技术的缺点有:速度比包过滤慢对用户不透明对特定应用协议相关联,代理服务器并不能支持所有的网络协议4.防火墙技术名称防火墙技术名称说明NAT网络地址转换主要解决公开地址不足,可以缓解少量因特网IP地址和大量主机之间的矛盾。实现网络地址转换的方式有3种类型:静态NAT、NAT池和端口NAT(PAT)等。Web防火墙技术Web应用防火墙是一种用于保护Web服务器和Web应用的网络安全机制。数据库防火墙技术数据库防火墙是一种用于保护数据库服务器的网络安全机制。工控防火墙技术工业控制系统专用防火墙简称为工控防火墙,是一种用于保护工业设备及系统的网络安全机制。下一代防火墙技术下一代防火墙除了集成传统防火墙的包过滤、状态监测、地址转换等功能外,还具有应用识别和控制、可应对安全威胁演变、检测隐藏的网络活动、动态快速响应攻击、支持统一安全策略部署、智能化安全管理等新功能。5.防火墙共性关键技术深度包检测:是一种用于对包的数据内容及包头信息进行检查分析的技术方法。操作系统:防火墙的运行依赖于操作系统,操作系统的安全性直接影响防火墙的自身安全。网络协议分析:防火墙通过获取网络中的包,然后利用协议分析技术对包的信息进行提取,进而实施安全策略检查及后续包的处理。防火墙防御体系结构类型1.双重宿主主机体系结构以一台双重宿主主机作为防火墙系统的主体,执行分离外部网络与内部网络的任务。2.基于代理型防火墙结构代理服务器和路由器共同构建一个网络安全边界防御架构。3.屏蔽子网体系结构采用了两个包过滤路由器和一个堡垒主机,在内外网络之间建立一个被隔离的子网。优点:安全级别最高。缺点:成本高,配置复杂。防火墙技术应用防火墙部署基本方法:•根据组织或公司的安全策略要求,将网络划分成若干安全区域;•在安全区域之间设置针对网络通信的访问控制点;•针对不同访问控制点的通信业务需求,制定相应的边界安全策略;•依据控制点的边界安全策略,采用合适的防火墙技术和防范结构;•在防火墙上,配置实现对应的网络安全策略;•测试验证边界安全策略是否正常执行;•运行和维护防火墙。第9章 VPN技术原理与应用VPN概述1.VPN的组成部分•由客户机、传输介质(采用“隧道”技术)和服务器组成。•企业内部网中必须配置一台VPN服务器,一方连接企业内部专用网络,另一方面连接Internet。2.VPN安全功能VPN主要的安全服务有以下3种:•保密性服务•完整性服务•认证服务3.VPN类型VPN有多种实现技术,可分为以下三种:•链路层VPN:实现方式有ATM、Frame Relay帧中继、多协议标签交换MPLS;•网络层VPN:实现方式有受控路由过滤、隧道技术;•传输层VPN:通过SSL来实现。VPN技术应用根据VPN的用途,VPN可以分为三种应用类型:•远程访问虚拟网(Access VPN):Access VPN主要解决远程用户安全办公问题,远程办公用户既要能远程获取到企业内部网信息,又要能够保证用户和企业内网的安全。•企业内部虚拟网(Intranet VPN):把分散在不同地理区域的企业办公点的局域网安全互联起来,实现企业内部信息的安全共享和企业办公自动化。•企业扩展虚拟网(Extranet VPN):Extranet VPN则是利用VPN技术,在公共通信基础设施(如因特网)上把合作伙伴的网络或主机安全接到企业内部网,以方便企业与合作伙伴共享信息和服务。第10章 入侵检测技术原理与应用入侵检测概论入侵检测框架模型简称为CIDF。该模型认为入侵检测系统由事件产生器(event generators)、事件分析器(event analyzers)、响应单元(response units)和事件数据库(event databases)组成。入侵检测技术基于误用的入侵检测技术误用入侵检测通常称为基于特征的入侵检测方法,是指根据已知的入侵模式检测入侵行为。基于异常的入侵检测技术异常检测方法是指通过计算机或网络资源统计分析,建立系统正常行为的“轨迹”,定义一组系统正常情况的数值,然后将系统运行时的数值与所定义的“正常”情况相比较,得出是否有被攻击的迹象,如下图所示。入侵检测系统组成与分类入侵检测系统组成一个入侵检测系统主要由以下功能模块组成:数据采集模块、入侵分析引擎模块、应急处理模块、管理配置模块和相关的辅助模块。入侵检测系统主要产品与技术指标入侵检测相关指标名称说明可靠性由于入侵检测系统需要不间断地检测受保护系统,因此,要求入侵检测系统具有容错能力,可以连续运行。可用性入侵检测系统运行开销要尽量小,特别是基于主机的入侵检测系统,入侵检测系统不能影响到主机和网络系统的性能。可扩展性该指标主要评价入侵检测系统是否易于配置修改和安装部署的能力,以适应新的攻击技术方法不断出现和系统环境的变迁需求。时效性时效性要求入侵检测系统必须尽快地分析报警数据,并将分析结果传送到报警控制台,以使系统安全管理者能够在入侵攻击尚未造成更大危害以前做出反应,阻止攻击者破坏审计系统甚至入侵检测系统的企图。准确性准确性是指入侵检测系统能正确地检测出系统入侵活动的能力。安全性若对入侵检测系统攻击成功,则直接导致报警失灵,使攻击者的攻击行为无法被记录。因此,入侵检测系统的安全性要求具有保护自身的安全功能,能够抗攻击干扰。 第11章 网络物理隔离技术原理与应用网络物理隔离概述1.网络物理隔离安全风险采用网络物理隔离安全保护措施的网络仍然面临着以下风险:•网络非法外联•U盘摆渡攻击•网络物理隔离产品安全隐患•针对物理隔离的攻击新方法2.网络物理隔离类型按照隔离的对象来分,网络物理隔离系统一般可以分为单点隔离和区域隔离系统。按照网络物理隔离的信息传递方向,网络物理隔离系统可分为双向网络物理隔离系统与单向网络物理隔离系统。网络物理隔离机制与实现技术1.物理隔离机制的实现技术主要包括•专用计算机上网•多PC•外网代理服务•内外网线路切换器•单硬盘内外分区•双硬盘•网闸•协议隔离技术•单向传输部件•信息摆渡技术•物理断开技术第12章 网络安全审计技术原理与应用网络安全审计概述1.网络安全审计概念•网络安全审计是指对网络信息系统的安全相关活动信息进行获取、记录、存储、分析和利用的工作。•常见的安全审计功能是安全事件采集、存储和查询。对于重要的信息系统,则部署独立的网络安全审计系统。2.网络安全审计相关标准我国的国家标准GB17859《计算机信息系统安全保护等级划分准则》(以下简称《准则》)从二级开始要求提供审计安全机制。《准则》中明确了各级别对审计的要求,如下表所示。级别类型安全审计要求用户自主保护级无系统审计保护级计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录,并能阻止非授权的用户对它访问或破坏。计算机信息系统可信计算基能记录下述事件:使用身份鉴别机制:将客体引入用户地址空间(例如:打开文件、程序初始化):删除客体;由操作员、系统管理员或(和)系统安全管理员实施的动作,以及其他与系统安全有关的事件。对于每一事件, 其审计记录包括:事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件,审计记录包含请求的来源(例如:终端标识符);对于客体引入用户地址空间的事件及客体删除事件,审计记录包含客体名。对不能由计算机信息系统可信计算基独立分辨的审计事件,审计机制提供审计记录接口,可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记录安全标记保护级在系统审计保护级的基础上,要求增强的审计功能是:审计记录包含客体名及客体的安全级别。此外,计算机信息系统可信计算基具有审计更改可读输出记号的能力结构化保护级在安全标记保护级的基础上,要求增强的审计功能是:计算机信息系统可信计算基能够审计利用隐蔽存储信道时可能被使用的事件访问验证保护级在结构化保护级的基础上,要求增强的审计功能是:计算机信息系统可信计算基包含能够监控可审计安全事件发生与积累的机制,当超过阈值时,能够立即向安全管理员发出报警。并且,如果这些与安全相关的事件继续发生或积累,系统应以最小的代价中止它们第13章 网络安全漏洞防护技术原理与应用网络安全漏洞扫描技术与应用1.主机漏洞扫描器主机漏洞扫描器不需要通过建立网络连接就可以进行,其技术原理一般是通过检查本地系统中关键性文件的内容及安全性,来发现漏洞。如:COPS、Tiger、MBSA等。2.网络漏洞扫描器网络漏洞扫描器是通过与待扫描的目标机器建立网络连接后,发送特定网络请求进行漏洞检查。如:Nmap 、Nessus、X-scan等。3.专用漏洞扫描器专用漏洞扫描器是主要针对特定系统的安全漏洞检查工具,如数据库漏洞扫描器、网络设备漏洞扫描器、Web漏洞扫描器、工控漏洞扫描器。网络安全漏洞处置技术与应用1.网络安全漏洞修补技术补丁管理主要由六个环节组成,分别是现状分析、补丁跟踪、补丁验证、补丁安装、应急处理和补丁检查。2.网络安全漏洞利用防范技术常用技术名称说明地址空间随机化技术缓冲区溢出攻击是利用缓冲区溢出漏洞所进行的攻击行动,会以shellcode地址来覆盖程序原有的返回地址。数据执行阻止数据执行阻止是指操作系统通过对特定的内存区域标注为非执行,使得代码不能够在指定的内存区域运行。SEHOP原理是防止攻击者利用Structured Exception Handler(SEH)重写虚拟补丁虚拟补丁的工作原理是对尚未进行漏洞永久补丁修复的目标系统程序,在不修改可执行程序的前提下,检测进入目标系统的网络流量而过滤掉漏洞攻击数据包,从而保护目标系统程序免受攻击堆栈保护堆栈保护的技术原理是通过设置堆栈完整性标记以检测函数调用返回地址是否被篡改,从而阻止攻击者利用缓冲区漏洞。第14章 恶意代码防范技术原理恶意代码概述1.恶意代码定义与分类恶意代码的英文是Malicious Code,它是一种违背目标系统安全策略的程序代码,会造成目标系统信息泄露、资源滥用,破坏系统的完整性及可用性。2.恶意代码生存技术恶意代码生存技术名称说明反跟踪技术反跟踪技术大致可以分为两大类:反动态跟踪技术和反静态分析技术。加密技术加密技术是恶意代码进行自我保护的手段之一,再配合反跟踪技术的使用,让分析者不能正常调试和阅读恶意代码,无法获得恶意代码的工作原理,自然也不能抽取特征串。从加密的内容上划分,加密手段有三种,即信息加密、数据加密和程序代码加密。模糊变换技术模糊变换技术主要分为指令替换技术、指令压缩技术、指令扩展技术、伪指令技术、重编译技术。自动生产技术普通病毒能够利用“多态性发生器”编译成具有多态性的病毒。变形技术常见恶意代码变形技术包括重汇编技术、压缩技术、膨胀技术、伪指令技术、重编译技术。三线程技术恶意代码中应用三线程技术是为了防止恶意代码被外部操作停止运行。“中国黑客”就是采用这种技术的恶意代码。进程注入技术在系统启动时操作系统的系统服务和网络服务一般能够自动加载。内核级隐藏技术LKM隐藏LKM隐藏是可加载内核模块,用来扩展Linux的内核功能。内存映射隐藏内存映射是指由一个文件到一块内存的映射。通信隐藏技术实现恶意代码的通信隐藏技术一般有四类:端口定制技术、端口复用技术、通信加密技术、隐蔽通道技术。计算机病毒分析与防护1.计算机病毒概念与特征计算机病毒是一组具有自我复制、传播能力的程序代码。所有计算机病毒都有以下四个基本特点:•隐蔽性病毒隐蔽载体病毒案例Word文档Melissa照片库尔尼科娃电子邮件“求职信病毒”网页NIMDA病毒•传染性•潜伏性•破坏性2.计算机病毒组成与运行机制•计算机病毒由三部分组成:复制传染部件、隐藏部件、破坏部件。计算机病毒的生命周期主要有两个阶段:•计算机病毒的复制传播阶段•计算机病毒的激活阶段3.计算机病毒常见类型与技术计算机病毒名称说明引导型病毒引导型病毒通常都是内存驻留的,典型的引导型病毒如磁盘杀手病毒、AntiExe病毒等。宏病毒宏病毒就是利用宏语言来实现的计算机病毒。多态病毒多态病毒有三个主要组成部分:杂乱的病毒体、解密例程、变化引擎。隐蔽病毒隐蔽病毒试图将自身的存在形式进行隐藏,使得操作系统和反病毒软件不能发现。隐蔽病毒用的技术有许多,主要包括:隐藏文件的日期、时间的变化;隐藏文件大小的变化;病毒加密。网络蠕虫分析与防护1.网络蠕虫概念与特征网络蠕虫是一种具有自我复制和传播能力、可独立自动运行的恶意程序。2.网络蠕虫组成与运行机制网络蠕虫由四个功能模块构成:探测模块、传播模块、蠕虫引擎模块和负载模块。 网络蠕虫的运行机制主要分为三个阶段:•已经感染蠕虫的主机在网络上搜索易感染目标主机;•已经感染蠕虫的主机把蠕虫代码传送到易感染目标主机上;•已感染目标主机执行蠕虫代码,感染目标主机系统。3.网络蠕虫常用技术(1)网络蠕虫扫描技术网络蠕虫利用系统漏洞进行传播,良好的传播方法能够加速蠕虫传播,使网络蠕虫以最少的时间找到互联网上易感染的主机。根据网络蠕虫发现易感主机的方式,可以将网络蠕虫的传播方法分成三类:随机扫描、顺序扫描、选择性扫描。(2)网络蠕虫漏洞利用技术•主机之间的信任关系漏洞•目标主机的程序漏洞•目标主机的默认用户和口令漏洞•目标主机的用户安全意识薄弱漏洞•目标主机的客户端程序配置漏洞僵尸网络分析与防护1.僵尸网络是指攻击者利用入侵手段将僵尸程序植入目标计算机上,进而操控受害机执行恶意活动的网络。2.僵尸网络的工作过程传播阶段•主动漏洞攻击:通过攻击系统所存在的漏洞获得访问权,并在Shellcode执行bot程序注入代码,将被攻击系统感染成为僵尸主机•邮件病毒:bot程序通过发送大量的邮件病毒传播自身•即时通信软件:利用即时通信软件向好友列表发送执行僵尸程序的链接•恶意网站脚本:在Web服务网站的HTML页面上绑定恶意的脚本•特洛伊木马:伪装成有用的软件,诱骗用户下载执行加入阶段•每个被感染主机都会随着隐藏在自身上的bot程序的发作而加入到Botnet中去控制阶段•攻击者通过中心服务器发送控制命令,让被感染主机执行恶意行为。3.僵尸网络的防御方法•僵尸网络威胁监测:通过蜜罐尽可能地得到各种流传在网络中的bot 程序样本,通过一定的技术手段获得隐藏在代码中的登录Botnet的所需属性,比如,服务器地址、服务端口、用户名称等,再使用一个编制的模拟客户端加入到Botnet中,收集更多的信息。•僵尸网络主动遏制:通过路由和DNS黑名单等方式屏蔽恶意的IP地址或域名。•僵尸程序查杀:安装专用安全工具,清除僵尸程序。•僵尸网络检测:根据僵尸网络的通信内容和行为特征,检测网络中的异常网络流量,以发现僵尸网络。APT防护高级持续威胁(简称APT)通常利用电子邮件作为攻击目标系统。攻击者将恶意代码嵌入电子邮件中,然后把它发送到目标人群,诱使收件人打开恶意电子文档,或单击某个指向恶意站点的链接。一旦收件人就范,恶意代码将会安装在其计算机中,从而远程控制收件人的计算机,进而逐步渗透到收件人所在网络,实现其攻击意图。针对高级持续威胁攻击的特点,部署APT检测系统,检测电子文档和电子邮件是否存在恶意代码,以防止攻击者通过电子邮件和电子文档渗透入侵网络。第15章 网络安全主动防御技术与应用入侵阻断技术与应用1.入侵阻断是网络安全主动防御的技术方法,其基本原理是通过对目标对象的网络攻击行为进行阻断,从而达到保护目标对象的目的。2.防火墙的访问控制内容IPS/SPS的主要安全功能如下:•屏蔽指定IP地址;•屏蔽指定网络端口;•屏蔽指定域名;•封锁指令URL、阻断特定攻击类型;•为零日漏洞(Zero-day Vulnerabilities)提供热补丁软件白名单技术与应用1.软件白名单技术原理软件白名单技术方法是指设置可信任的软件名单列表,以阻止恶意的软件在相关的网络信息系统运行。2.软件白名单技术应用移动互联网白名单应用审查流程共有如下三个环节:•初审。由11家移动互联网安全企业组成的“白名单工作组”相互独立地对App进行全量安全监测。•复审。由“白名单工作组”成员单位根据“初审”结果通过线下会议的形式进行协商、表决。•终审。由中国反网络病毒联盟(ANVA)结合“初审”结果、“复审”结果和申请者澄清等综合判定是否通过“白名单”认证。移动互联网应用自律白名单的发布过程设立公示和发布两个阶段,公示阶段由ANVA向社会发布“白名单”认证结果,公示期为7个工作日,期间接收社会举报。通过公示阶段的App,ANVA将举行“白名单发布会”,现场为“白名单App”颁发证书,同时要求“应用商店自律组”中应用商店在自有应用商店Web网站和App网站客户端中对白名单App进行醒目提示。数字水印技术与应用1.数字水印原理通过数字信号处理方法,在数字化的媒体文件中嵌入特定的标记。水印分为可感知的和不易感知的两种。2.空间域方法空间域方法是将水印信息直接叠加到数字载体的空间域上。3.变换域方法变换域方法是利用扩展频谱通信技术,先计算图像的离散余弦变换(DCT),再将水印叠加到DCT域中幅值最大的前L个系数上(不包括直流分量),通常为图像的低频分量。4.数字水印技术应用版权保护数字作品的所有者可用密钥产生一个水印,并将其嵌入原始数据,然后公开发布他的水印版本作品信息隐藏将敏感信息嵌入图像、声音等载体中,以期达到隐藏敏感信息的目的信息溯源将文件使用者身份标识嵌入受保护的电子文件中,然后通过电子文件的水印追踪文件来源,防止电子文件非授权扩散访问控制将访问控制信息嵌入需要保护的载体中,在用户访问受保护的载体之前通过检测水印以判断是否有权访问,从而可以起到保护作用网络攻击陷阱技术与应用1.蜜罐主机技术蜜罐主机技术包括空系统、镜像系统、虚拟系统等。•空系统。空系统是标准的机器,上面运行着真实完整的操作系统及应用程序。•镜像系统。攻击者要攻击的往往是那些对外提供服务的主机,当攻击者被诱导到空系统或模拟系统的时候,会很快发现这些系统并不是他们期望攻击的目标。•虚拟系统。虚拟系统是指在一台真实的物理机上运行一些仿真软件,通过仿真软件对计算机硬件进行模拟,使得在仿真平台上可以运行多个不同的操作系统。2.陷阱网络技术陷阱网络由多个蜜罐主机、路由器、防火墙、IDS、审计系统共同组成,为攻击者制造一个攻击环境,供防御者研究攻击者的攻击行为。陷阱网络一般需要实现蜜罐系统、数据控制系统、数据捕获系统、数据记录、数据分析、数据管理等功能。3.网络攻击陷阱技术应用名称说明恶意代码监测对蜜罐节点的网络流量和系统数据进行恶意代码分析,监测异常、屏蔽的网络通信,从而发现高级的恶意代码。增强抗攻击能力利用网络攻击陷阱改变网络攻防不对称状况,以虚假目标和信息干扰网络攻击活动,延缓网络攻击,便于防守者采取网络安全应急响应。网络态势感知利用网络攻击陷阱和大数据分析技术,获取网络威胁者情报,掌握其攻击方法、攻击行为特征和攻击来源,从而有效地进行网络态势感知。第16章 网络安全风险评估技术原理与应用网络安全风险评估概念网络安全风险评估是评价网络信息系统遭受潜在的安全威胁所产生的影响。下为软件安全风险评估示例。评估要素具体实际参照资产电子商务网站安全威胁黑客攻击安全脆弱性RCP DCOM漏洞安全影响电子商务网站受到入侵,中断运行一天网络安全风险评估要素和模式1.风险要素基本要素:资产、脆弱性、威胁、风险、安全措施。2.风险评估模式自评估、检查评估、委托评估。网络安全风险评估过程第17章 网络安全应急响应技术原理与应用网络安全应急处理流程应急事件处理一般包括:•安全事件报警•安全事件确认•启动应急预案•安全事件处理•撰写安全事件报告•应急工作总结网络安全应急响应技术与常见工具1.网络安全应急响应技术概况应急技术类型用途描述参考实例访问控制攻击阻断,用于网络安全事件处置防火墙网络安全评估掌握攻击途径及系统状态,用于网络安全事件处置漏洞扫描木马检测系统恢复修复受害系统,用于网络安全事件事后处置系统启动盘灾备系统启用网络安全监测实时分析系统、网络活动,用于网络安全事件事前监测预警网络协议分析器、入侵检测系统入侵取证追究入侵者的法律责任,用于网络安全事件处置网络追踪及硬盘克隆2.网络安全取证一般包含以下6步:•取证现场保护。保护受害系统或设备的完整性,防止证据信息丢失。•识别证据。识别可获取的证据信息类型,应用适当的获取技术与工具。•传输证据。将获取的信息安全地传送到取证设备。•保存证据。存储证据,并确保存储的数据与原始数据一致。•分析证据。将有关证据进行关联分析,构造证据链,重现攻击过程。•提交证据。向管理者、律师或者法院提交证据。“永恒之蓝”攻击的紧急处置“永恒之蓝”网络蠕虫利用Windows系统的SMB漏洞可以获取系统最高权限,进而制作Wannacry勒索程序。“永恒之蓝”网络蠕虫的紧急处理方式,具体如下:如果主机已经被感染,则将主机隔离或断网(拔网线)。若有该主机备份,则启用备份恢复程序。如果主机未被感染,采取以下合适的方式进行防护,避免主机被感染。•安装免疫工具。如安装和使用360提供的免疫工具OnionWormImmune.exe。•修补漏洞。针对恶意程序利用的漏洞,安装MS17-010补丁。•系统安全加固。手工关闭445端口相关服务或启动主机防火墙,封堵445端口。•阻断445端口网络通信。第18章 网络安全测评技术与标准网络安全测评类型1.基于测评目标分类按照测评的目标,网络安全测评可分为三种类型:网络信息系统安全等级测评、网络信息系统安全验收测评和网络信息系统安全风险测评。2.基于测评内容分类依据网络信息系统构成的要素,网络安全测评可分成两大类型:技术安全测评和管理安全测评。3.基于实施方式分类按照网络安全测评的实施方式,测评主要包括安全功能检测、安全管理监测、代码安全审查、安全渗透、信息系统攻击测试等。4.基于测评对象保密性分类按照测评对象的保密性质,网络安全测评可分为两种类型:涉密信息系统安全测评、非涉密信息系统安全测评。网络安全测评流程与内容1.网络安全渗透测试流程与内容网络安全渗透测试的过程可分为委托受理、准备、实施、综合评估和结题五个阶段。2.安全渗透测试安全渗透测试通过模拟攻击者对测评对象进行安全攻击,以验证安全防护机制的有效性。安全渗透测试可以分为三种类型。•黑盒测试。只需要提供测试目标地址,授权测试团队从指定的测试点进行测试。•白盒测试。需要提供尽可能详细的测试对象信息,测试团队根据所获取的信息,定制特殊的渗透方案,对系统进行高级别的安全测试。该方式适合高级持续威胁者模拟。•灰盒测试。需要提供部分测试对象信息,测试团队根据所获取的信息,模拟不同级别的威胁者进行渗透。该方式适合手机银行和代码安全测试。第19章 操作系统安全保护操作系统安全概述1.操作系统安全机制操作系统的安全保障集成多种安全机制,主要包括硬件安全、标识与鉴别、访问控制、最小特权管理、安全审计、可信路径、系统安全增强等。机制名称说明硬件安全包括硬件安全可靠性、存储保护、I/O保护、CPU安全、物理环境保护。标识与鉴别标识与鉴别又称为认证机制,用于操作系统的用户及相关活动主体的身份标识,并给用户和相应的活动主体分配唯一的标识符。访问控制访问控制用于操作系统的资源管理控制,防止资源滥用。最小特权管理操作系统特权通常是指系统中某些用户或进程具有超级权限的操作能力。可信路径可信路径是指操作系统的本地用户和远程用户进行初始登录或鉴别时,操作系统安全系统与用户之间建立的安全通信路径。安全审计安全审计就是操作系统对系统中有关安全的活动进行记录、检查及审核,其主要目的就是核实系统安全策略执行的合规性,以追踪违反安全策略的用户及活动主体,确认系统安全故障。系统安全增强系统安全增强又称为安全加固,通过优化操作系统的配置或增加安全组件,以提升操作系统的抗攻击能力。Windows操作系统安全分析与防护1.Windows系统安全分析安全问题说明Windows口令获取账号和口令信息是入侵者攻击Windows系统的重要途径。Windows恶意代码例如“冲击波”网络蠕虫、“永恒之蓝”勒索网络蠕虫。Windows应用软件漏洞IE浏览器的安全漏洞导致远程攻击者植入木马,进而危及整个系统的安全。Windows系统程序的漏洞例如RPC程序的漏洞导致缓冲区溢出攻击。Windows注册表安全入侵者通过修改、创建注册表的相关参数设置,让系统启动恶意进程。Windows文件共享安全Windows2000、WindowsXP在默认安装后允许任何用户通过空用户连接(IPC$)得到系统所有账号和共享列表。Windows物理临近攻击使用Offline NT Password&Registry Editor软件制作启动盘,然后用该盘引导系统,进而可以访问NTFS文件系统。2.Windows2000系统安全增强实例(1)系统启动安全增强设置方法为:启动计算机,在系统自检时进入系统的CMOS设置功能,然后将系统的启动选项设置为“C only”(即仅允许从C盘启动),同时为COMS设置必要的密码。(2)账号与口令管理安全增强具体安全增强措施如下。•停掉guest账号。在计算机管理的用户里把guest账号停用,最好给guest加一个复杂的口令。•限制不必要的用户数量。去掉所有的duplicate user账号、测试账号、共享账号、普通部门账号等。•把系统Administrator账号改名。把Administrator账号换成不易猜测到的账户名,这样可以有效地防止口令尝试攻击。•创建一个陷阱账号。创建一个名为Administrator的本地账号,把它的权限设置成最低,并且加上一个超过10位的复杂口令。•设置安全复杂的口令。•设置屏幕保护口令。设置屏幕保护口令是防止内部人员攻击的一个屏障。•不让系统显示上次登录的用户名。为增强系统安全,通过修改注册表,不让对话框里显示上次登录的用户名,具体修改操作是:HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\DontDisplayLastUserName下,把REG_SZ的键值改成“1”。开启口令安全策略。如下表所示。策略设置口令复杂性要求启用口令长度最小值6位强制口令历史5次强制口令历史42天开启账号策略。如下表所示。策略设置复位账号锁定计数器20分钟账号锁定时间20分钟账号锁定阈值3次(3)安装最新补丁必须密切关注微软或其他网站发布的漏洞和补丁信息,及时为系统安装上最新的补丁。(4)网络安全增强Windows2000一般从以下几个方面进行安全增强。•禁止建立空连接。禁止建立空连接的方法是修改注册表LSA-RestrictAnonymous的键值为1,具体操作为:将Local_Machine\System\CurrentControlSet\Control\LSA-RestrictAnonymous的值改成“1”即可。•关闭默认共享。操作的方法是:打开管理工具→计算机管理→共享文件夹→共享,在相应的文件夹上右击停止共享即可。•关闭不必要的网络服务和网络端口。可以启用Windows2000的“TCP/IP筛选”机制关闭服务和端口。若开放Web服务器,只允许外部对TCP80号端口的连接请求,即在“TCP端口”栏设定80。 “TCP/IP筛选”的操作方法为:在“本地连接属性”对话框中,双击“Internet协议(TCP/IP)”后,选定对话框右下侧的“高级”按钮;然后选择“高级TCP/IP设置” →“选项”→“TCP/IP筛选”,弹出“TCP/IP筛选”对话框,在此对话框中,将TCP端口号设置为80。(5)安装第三方防护软件使用第三方防护软件,例如个人PC防火墙、个人PC入侵检测IDS、反间谍软件、杀病毒软件以及漏洞扫描工具等。UNIX/Linux操作系统安全分析与防护1.UNIX/Linux安全机制UNIX/Linux是一种多用户、多任务的操作系统。一般分为3层:硬件层、系统内核和应用层。(1)安装第三方防护软件UNIX/Linux常用的认证方式有如下几种。•基于口令的认证方式•终端认证•机信任机制•第三方认证(2)UNIX/Linux访问控制普通的UNIX/Linux系统一般通过文件访问控制列表ACL来实现系统资源的控制,也就是常说的通过“9bit”位来实现。某个文件的列表显示信息如下:-rwxr-xr— 1 test test 4月9日17:50 sample.txt由这些信息看出,用户test对文件sample.txt的访问权限由“读、写、执行”,而test这个组的其他用户只有“读、执行”权限,除此以外的其他用户只有“读”权限。(3)UNIX/Linux审计机制不同版本的UNIX/Linux日志文件的目录是不同的,早期版本UNIX的审计日志目录放在/usr/adm;较新版本的在/var/adm;Solaris、Linux和BSD在UNIX/var/log。常见的日志文件如下:•lastlog:记录用户最近成功登陆的时间;•loginlog:不良的登陆的尝试记录;•messages:记录输出到系列主控台以及由syslog系统服务程序产生的消息;•utmp:扩展utmp;•wtmp:记录每一次用户登录和注销的历史信息;•void.log:记录使用外部介质出现的错误;•xferkig:记录ftp的存取情况;•sulog:记录su命令的使用情况;•acct:记录每个用户使用过的命令。2.UNIX/Linux安全分析名称说明UNIX/Linux口令/账号安全在UNIX/Linux中,口令信息保存在passwd和shadow文件中,这两个文件所在的目录是/etc。一般可以通过Web CGI程序的漏洞来查看口令文件password。UNIX/Linux可信主机文件安全为了便于主机之间的互操作,系统提供两个文件$HOME/.rhost或/etc/hosts.equiv来配置实现可信主机的添加。UNIX/Linux应用软件漏洞UNIX/Linux平台的应用软件安全隐患日益暴露,特别是常用的应用软件包,例如Sendmail和BIND。这些安全隐患常常导致系统被非授权访问、非法滥用等。早期的“小莫里斯”网络蠕虫就利用Sendmail漏洞来传播。UNIX/Linux的SUID文件安全SUID文件是指被设置成可以带有文件拥有者的身份和权限被执行的可执行文件。UNIX/Linux的恶意代码最早的网络蠕虫就是在UNIX系统中爆发的。UNIX/Linux文件系统安全文件系统是UNIX/Linux系统安全的核心,在UNIX/Linux中,所有的资源都被看作文件。Linux文件安全是通过“9 bit”位控制的,每个文件有三组权限。文件的权限有:r(读)、w(写)、x(执行)。假设/etc/shadow文件允许任何人可读,就会导致口令信息泄露。UNIX/Linux网络服务安全在UNIX/Linux系统中,系统提供许多网络服务,例如finger、R-命令服务等。UNIX/Linux系统程序漏洞入侵者一般通过普通账号进入UNIX/Linux系统,然后再利用系统的程序漏洞提升权限。可利用SunOS5.5的eject程序漏洞获取超级用户权限。第20章 数据库系统安全数据库安全威胁•授权的误用。合法用户越权获得他们不应该获得的资源,窃取程序或存储介质,修改或破坏数据。•逻辑推断和汇聚。利用逻辑推理,把不太敏感的数据结合起来可以推断出敏感信息。•伪装。攻击者假冒用户身份获取数据库系统的访问权限。•旁路控制。在数据库设置后门,绕过数据库系统的安全访问控制机制。•隐蔽信道。通常存储在数据库中的数据经由合法的数据信道被取出。•SQL注入攻击。攻击者利用数据库应用程序的输入未进行安全检查的漏洞,欺骗数据库服务器执行恶意的SQL命令。•数据库口令密码破解。利用口令字典或手动猜测数据库用户密码,以达到非授权访问数据库系统的目的。•对数据库系统相关的设备和存储介质的物理攻击。数据库安全机制与实现技术1.数据库安全机制安全机制名称安全功能标识与鉴别用户属性定义、用户-主体绑定、鉴别失败处理、秘密的验证、鉴别的时机、多重鉴别机制设置等访问控制会话建立控制、系统权限设置、数据资源访问权限设置安全审计审计数据产生、用户身份关联、安全审计查阅、限制审计查阅、可选审计查阅、选择审计事件备份与恢复备份和恢复策略设置、备份数据的导入和导出数据加密加密算法参数设置、密钥生成和管理、数据库加密和解密操作资源限制持久存储空间分配最高配额、临时存储空间分配最高配额、特定事物持续使用时间或未使用时间限制安全加固漏洞修补、弱口令限制安全管理安全角色配置、安全功能管理2.数据库加密•一是与数据库网上传输的数据,采用SSL协议;•二是数据库存储的数据,通过数据库存储加密来实现;按照加密组件与数据库管理系统的关系,其包括:库内加密和库外加密。•数据库存储加密的常用技术方法有基于文件的数据库加密技术、基于记录的数据库加密技术和基于字段的数据库加密技术。•DBMS内核层加密:也称之为库内加密,是指数据在物理存取之前完成加/解密工作。•DBMS外层加密:也称之为库外加密,将数据库加密系统做成 DBMS 的一个外层工具,加/解密操作DBMS 之外执行, DBMS 所管理的是密文数据。数据库应用系统在采用这种加密方式时,加/解密运算可以放在客户端进行。MySQL数据库安全分析与防护1.MySQL安全分析MySQL提供的安全机制主要包括如下内容:•用户身份认证。MySQL支持用户/口令认证方式。访问授权。MySQL具有5个授权表:user、db、host、tables_priv和columns_priv。通过授权表,MySQL提供非常灵活的安全机制。MySQL具有grant和revoke命令、可以用来创建和删除用户权限,便于分配用户权限。MySQL管理员可以用grant和revoke来创建用户、授权和撤权、删除用户。•安全审计。MySQL内置了审计机制,可以记录MySQL的运行情况。1.MySQL最佳实践(1)MySQL安装建立单独启动MySQL的用户和组。安装最新的MySQL软件包,选择合适的静态参数编译MySQL数据库。(2)建立MySQL Chrooting运行环境形成“沙箱”保护机制,增强系统抗渗透能力。(3)关闭MySQL的远程连接关闭MySQL的默认监听端口3306,避免增加MySQL的远程攻击风险。由于MySQL本地程序可以通过mysql.sock来连接,不需要远程连接,且MySQL的备份通常使用SSH来执行。(4)禁止MySQL导入本地文件禁止MySQL中用“LOAD DATA LOCAL INFILE”命令。防范攻击者利用此命令把本地文件读到数据库中,组织用户非法获取敏感信息。(5)修改MySQL的root用户ID和密码/usr/local/mysql/bin/mysql –u rootmysql>SET PASSWORD FOR root@localhost=PASSWORD((‘new_password’));;(6)删除MySQL的默认用户和db删除MySQL的默认数据库test。除了root用户外,其他的用户都去掉。(7)更改MySQL的root用户名,防止口令暴力破解mysql>update user set user=“mydbadmin” where user=“root”;;mysql>flush privileges;;(8)建立应用程序独立使用数据库和用户账号建立应用程序所需要的所有数据库和账号,要求这些账号只能访问应用程序用到的数据库,限制访问MySQL数据库和任何系统,不能够拥有特权,如FILE、GRANT、ACTER、SHOW DATABASE、RELOAD、SHUTDOWN、PROCESS、SUPER等。(9)安全监测安全监测MySQL数据库运行,及时修补MySQL数据库漏洞。(10)安全备份定期备份MySQL数据库系统及数据。2.MySQL漏洞修补:其安全漏洞主要类型是拒绝服务、代码执行、溢出、逃避、特权获取等。因此,要及时安装MySQL漏洞补丁包,防止漏洞被利用。第21章 网络设备安全网络设备安全概况1.交换机安全威胁名称说明MAC地址泛洪MAC地址泛洪(Flooding)攻击通过伪造大量的虚假MAC地址发往交换机,由于交换机的地址表容量的有限性,当交换机的MAC地址表被填满之后,交换机将不再学习其他MAC地址,从而导致交换机泛洪转发。ARP欺骗攻击者可以随时发送虚假ARP包更新被攻击主机上的ARP缓存,进行地址欺骗,干扰交换机的正常运行。口令威胁攻击者利用口令认证机制的脆弱性,如弱口令、通信明文传输、口令明文存储等,通过口令猜测、网络监听、密码破解等技术手段获取交换机口令认证信息,从而非授权访问交换机设备。漏洞利用攻击者利用交换机的漏洞信息,导致拒绝服务、费授权访问、信息泄露、会话劫持。2.路由器安全威胁漏洞利用网络设备厂商的路由器漏洞被攻击者利用,导致拒绝服务、非授权访问、信息泄露、会话劫持、安全旁路。口令安全威胁路由器的口令认证存在安全隐患,导致攻击者可以猜测口令,监听口令,破解口令文件。路由协议安全威胁路由器接收恶意路由协议包,导致路由服务混乱。DoS/DDoS威胁攻击者利用TCP/IP协议漏洞或路由器的漏洞,对路由器发起拒绝服务攻击。攻击方法有两种:一是发送恶意数据包到路由器,致使路由器处理数据不当,导致路由器停止运行或干扰正常运行。二是利用僵尸网络制造大的网络流量传送到目标网络,导致路由器处理瘫痪。依赖性威胁攻击者破坏路由器所依赖的服务或环境,导致路由器非正常运行。如破坏路由器依赖的认证服务器,导致管理员无法正常登录到路由器。网络设备常见漏洞与解决办法1.网络设备常见漏洞名称说明拒绝服务漏洞拒绝服务漏洞将导致网络设备停止服务,危害网络服务可用性。跨站伪造请求CSRF(Cross-Site Request Forgery)根据CVE-2018-0255信息,思科IE2000系列交换机存在此类漏洞。格式化字符串漏洞CVE-2018-0175信息显示Cisco IOS软件、Cisco IOS XE软件、Cisco IOS XR软件存在此类漏洞。XSS(Cross-Site Scripting)CVE-2016-6404信息显示思科IOS 15.5(2)T版本和IOS XE中的Cisco Iox Local Manager中的Web框架中存在此类漏洞。旁路(Bypass something)旁路漏洞绕过网络设备的安全机制,使得安全措施没有效果。代码执行(Code Execution)该类漏洞使得攻击者可以控制网络设备,导致网络系统失去控制,危害性极大。溢出(Overflow)该类漏洞利用后可以导致拒绝服务、特权或安全旁路。内存破坏(Memory Corruption)内存破坏漏洞利用常会对路由器形成拒绝服务攻击。2.网络设备漏洞解决办法(1)及时获取网络设备漏洞信息确认当前网络设备的IOS的版本号,然后对照网络设备厂商的安全建议资料库或CVE漏洞信息库,检查该设备是否存在漏洞。(2)网络设备漏洞扫描用于网络设备漏洞扫描的软件主要有以下几种:•端口扫描工具。利用Nmap工具,可以查看网络设备开放的端口或服务。•通用漏洞扫描器。使用Shadow Scanner、OpenVAS、Metasploit可以发现网络设备漏洞•专用漏洞扫描器。Cisco Totch、CAT(Cisco Auditing Tool)可以检查Cisco路由设备常见的漏洞。(3)网络漏洞修补3.网络设备安全漏洞的处理方法如下:•修改配置文件。用户调整网络配置就可修补漏洞,常见漏洞是默认口令、开放不必要的服务、敏感数据未加密等。•安全漏洞利用限制。针对网络设备的安全漏洞触发条件,限制漏洞利用条件。例如,利用网络设备访问控制,限制远程计算机访问网络设备。•服务替换。针对网络设备的非安全服务,使用安全服务替换。如使用SSH替换Telnet。启用IPSec服务。•软件包升级。针对网络设备的软件实现产生的漏洞,通过获取厂商的软件包,升级网络设备的软件。第22章 网站安全需求分析与安全保护工程网站安全分析1.网站安全主要是有关网站的机密性、完整性、可用性及可控性。2.网站面临多个方面的安全威胁,主要威胁如下:(1)非授权访问(2)网页篡改(3)数据泄露(4)恶意代码(5)网站假冒(6)拒绝服务(7)网站后台管理安全威胁。常见的后台管理问题包括以下几个方面:•网站管理员身份及密码被窃取•后台管理网页存在安全漏洞•内部管理权限分配不合理Apache Web安全分析与增强1.Apache Web安全分析威胁名称说明Apache Web软件程序威胁攻击者编写的一些漏洞利用程序,使得Apache服务失去控制,一旦缓冲区溢出成功,攻击者可以执行其恶意指令。Apache Web软件配置威胁攻击者利用Apache网站管理配置漏洞,访问网站敏感信息。典型实例有目录索引、资源位置预测、信息泄露。Apache Web安全机制威胁攻击者利用Apache网站安全机制的漏洞,进行攻击非授权访问的Apache服务。典型实例有口令暴力攻击、授权不当、弱口令恢复验证。Apache Web应用程序威胁攻击者利用Apache应用程序漏洞来攻击网站,攻击者编写的一些漏洞利用程序,使得Apache服务失去控制,攻击者可以执行其恶意指令。典型实例有SQL注入、输入验证错误。Apache Web服务通信威胁Apache一般情况下使用的HTTP协议是明文传递的,攻击者可以通过监听手段获取Apache服务器和浏览器之间的通信内容。Apache Web服务内容威胁攻击者利用网站服务的漏洞,修改网页信息或发布虚假信息。典型实例有网页恶意篡改和网络钓鱼。Apache Web服务器拒绝服务威胁攻击者通过某些手段使服务器拒绝对HTTP应答。这使得Apache对系统资源(CPU时间和内存)需求剧增,最终造成系统变慢甚至完全瘫痪。Web应用漏洞防护1.SQL注入漏洞分析与防护例如,假设某网站有如下服务:http://duck/index.asp?category=food其后台对应的Web程序如如下:v_cat=request(“category”)sqlstr=“SELECT*FROM product WHERE Category=‘ “ & v_cat &” ’ ”set rs=conn.execute(sqlstr)正常情况下,数据库对外部查询请求对应的执行程序是:SELECT*FROM product WHERE Category=‘food’此时,查询用户只能得到food相关的信息。但是,如果一个恶意的用户提交如下请求:http://duck/index.asp?category=‘food’or 1=1—这时候,数据库对外部查询请求对应的执行程序是:SELECT*FROM product WHERE Category=‘food’or 1=1—’查询用户通过该SQL语句不仅得到food的相关信息,而且得到product表的所有信息。SQL注入攻击的防范方法如下:•对应用程序输入进行安全过滤。过滤方法有两种:建立程序输入黑名单。拒绝已知的恶意输入。建立程序输入白名单,只接受已知的正常输入。•设置应用程序最小化权限。•屏蔽应用程序错误提示信息。•对开源Web应用程序做安全适应性改造。2.文件上传漏洞分析与防护文件上传漏洞是指由于Web应用程序代码未对用户提交的文件进行严格的分析和检查,攻击者可以执行上传文件,从而获取网站控制权,如建立Web Shell。针对文件上传漏洞的防护措施如下:•将上传目录设置为不可执行,避免上传文件远程触发执行。•检查上传文件的安全性,阻断恶意文件上传。3.跨站脚本攻击跨站脚本攻击(Cross-Site Scripting Attacks)利用网站中的漏洞,在URL注入一些恶意的脚本,欺骗用户。典型的攻击方式有以下几种模式:•HTML内容替换:http://mybank.com/ebanking?URL=http://evilsite.com/phishing/fakepage.htm•嵌入脚本内容:http://mybank.com/ebanking?page=1&client=<SCRIPT>evilcode...•强制网页加载外部的脚本:http://mybank.com/ebanking?page=1&response=evilsite.com%21evilcode.js&go=2第23章 云计算安全需求分析与安全保护工程云计算基本概念1.云计算的主要特征如下特征名称说明IT资源以服务的形式提供IT资源以一种服务产品的形式提供,满足用户按需使用、计量付费的要求。包括IaaS、PaaS、SaaS、DaaS和STaaS等。多租户共享IT资源“多租户”是指所提供的信息服务支持多个组织或个人按需租赁。IT资源按需定制与按用付费在云计算方式下,用户只须根据其自身实际的资源需求向云计算服务商按需定制或单独购买,实现即付即用和按需定制。IT资源可伸缩性部署通过对IT资源的有效调度,按时段来随时添加资源和移除资源,满足不同用户对资源的弹性要求。云计算有四种部署模式,即私有云、社区云、公有云和混合云。云计算安全分析特征名称说明云端安全威胁云终端是用户使用云计算服务的终端设备,云终端的安全性直接影响云服务的安全体验。云“管”安全威胁在网络通信过程中,网络可能面临的安全威胁有网络监听、网络数据泄露、中间人攻击、拒绝服务等,从而导致云计算平台出现安全问题。云计算平台安全威胁主要网络安全威胁有:云计算平台物理安全威胁;云计算平台服务安全威胁;云计算平台资源滥用安全威胁;云计算平台运维及内部安全威胁;数据残留;过度依赖;利用共享技术漏洞进行的攻击;滥用云服务;云服务中断;利用不安全接口的攻击;数据丢失、篡改或泄露。1.云计算安全威胁如下云计算隐私保护需求名称说明数据采集明确个人信息采集范围和用途,告知用户相关安全风险。数据传输敏感个人数据网络传输采用加密安全措施,防止网络通信过程信息泄露。数据存储采用加密、认证、访问控制、备份等多种措施保护好敏感个人数据安全,避免数据泄露。个人数据信息按照规定保留相应时间。数据使用制定相应特权管理、个人信息披露等安全控制策略规则,采用实名认证、安全标记、特权控制等措施,防止内部人员滥用和非正当披露个人信息。数据维护制定敏感个人数据安全声明管理流程,安全管理制度和措施符合国家网络安全管理法律法规政策要求。数据安全事件处置制定针对个人信息安全事件的应急预案,组织安全事件扩大。云计算隐私保护名称说明个人信息备份保管服务器多备份、密码加密等安全措施,防止信息泄露、毁损、丢失。建立严格的管理制度和流程以保障个人信息安全通过严格限制访问信息的人员范围,并进行审计,要求相关人员遵守保密义务。建立信息安全合规机制与开展安全认证通过国际和国内的安全认证,强化和规范个人信息安全保护,如ISO 27018公有云个人信息保护认证、网络安全等级保护认证、ISP 27001信息安全管理体系认证等。强化身份验证和访问控制在访问、修改和删除相关信息时,要求进行身份验证,以保障账户安全。基于法律法规要求,请求某些可能无法响应,部分信息可能无法访问、修改和删除。限制个人信息存储地理位置收集信息保存在位于国内的服务器。个人信息留存管理仅提供服务期间保留个人的信息,保留时间不会超过满足相关使用的目的所需的时间。基于法律法规要求及合法权益保护、社会公共利益等原因可较长时间保留个人信息。加强用户自我保护意识随意向任何第三人提供账号密码等个人信息。个人信息收集符合性监督发现违反法律法规的规定或者双方的约定收集、使用个人信息的,主动要求服务方删除。个人信息更正发现收集、存储的个人信息有错误的,且无法自行更正的,可以要求服务方更正。个性化服务选择个人用户可以根据自身利益,通过浏览器设置拒绝或管理Cookies。第24章 移动应用安全需求分析与安全保护工程移动应用安全威胁与需求分析1.移动应用安全分析名称说明移动操作系统平台安全威胁移动应用的安全性依赖于移动操作系统。例如,iOS的“1970”漏洞。无线网络攻击攻击者利用移动应用程序依赖的无线网络通信环境或网络服务的安全隐患,实施通信内容监听、假冒基站、网站域名欺诈、网络钓鱼等攻击活动。例如,WiFi“钓鱼”。恶意代码常见的恶意代码行为流氓行为、资费消耗、恶意扣费、隐私窃取、远程控制、诱骗欺诈、系统破坏、恶意传播等。例如,DroidDream恶意软件、BaseBridge恶意扣费软件移动应用代码逆向工程攻击者通过对移动应用程序的二进制代码进行反编译分析,获取移动应用源代码的关键算法思路或窃取敏感数据。移动应用程序非法篡改攻击者利用安全工具,非法篡改移动应用程序,实现恶意的攻击,窃取用户信息。Android系统安全与保护机制1.Android系统组成概要Android是一个开源的移动终端操作系统,共分成:Linux内核层(Linux Kernel)系统运行库层(Libraries和Android Runtime)应用程序框架层(Application Framework)应用程序层(Applications)iOS系统安全与保护机制1.iOS系统组成概要iOS的系统架构如下图所示,其分为四个层次:核心操作系统层(Core OS Layer)、核心服务层(Core Services Layer)、媒体层(Media Layer)和可触摸层(Cocoa Touch Layer)。
2023年09月06日
0 阅读
0 评论
0 点赞
2023-09-06
软考信息系统安全工程师备考必背知识点
网络信息安全概述 信息系统网络信息安全基本属性 1.常见的网络信息安全基本属性如下:名称说明机密性机密性是指网络信息不泄露给非授权的用户、实体或程序,能够防止非授权者获取信息。完整性完整性是指网络信息或系统未经授权不能进行更改的特性。可用性可用性是指合法许可的用户能够及时获取网络信息或服务的特性。抗抵赖性抗抵赖性是指防止网络信息系统相关用户否认其活动行为的特性。可控性可控性是指网络信息系统责任主体对其具有管理、支配能力的属性。其他除了常见的网络信息系统安全特性,还有真实性、时效性、公平性、可靠性、可生存性和隐私性等。2.网络信息安全基本功能:名称说明网络信息安全防御网络信息安全防御是指采取各种手段和措施,使得网络系统具备阻止、抵御各种已知网络安全威胁的功能。网络信息安全监测网络信息安全监测是指采取各种手段和措施,检测、发现各种已知或未知的网络安全威胁的功能。网络信息安全应急网络信息安全应急是指采取各种手段和措施,针对网络系统中的突发事件,具备及时响应和处置网络攻击的功能。网络信息安全恢复网络信息安全恢复是指采取各种手段和措施,针对已经发生的网络灾害事件,具备恢复网络系统运行的功能。网络信息安全基本技术需求名称说明物理环境安全物理环境安全是指包括环境、设备和记录介质在内的所有支持网络系统运行的硬件的总体安全,是网络系统安全、可靠、不间断运行的基本保证。网络信息安全认证网络信息安全认证是实现网络资源访问控制的前提和依据,是有效保护网络管理对象的重要技术方法。网络信息访问控制网络信息访问控制是有效保护网络管理对象,使其免受威胁的关键技术方法,其目标主要有:限制非法用户获取或使用网络资源。防止合法用户滥用权限,越权访问网络资源。网络信息安全保密网络安全保密的目的就是防止非授权的用户访问网上信息或网络设备。网络信息安全漏洞扫描网络系统中需配备弱点或漏洞扫描系统,用以检测网络中是否存在安全漏洞。恶意代码防护防范恶意代码是网络系统中必不可少的安全需求。网络信息内容安全网络信息内容安全是指相关网络信息系统承载的信息及数据符合法律法规要求,防止不良信息及垃圾信息传播。网络信息安全监测与预警网络安全监测的作用在于发现综合网系统入侵活动和检查安全保护措施的有效性。网络信息安全以及响应网络系统中需配备弱点或漏洞扫描系统,用以检测网络中是否存在安全漏洞。4.网络信息安全术语下表为常见的网络安全技术方面的术语及其对应的英文。 名称说明基础技术类常见的密码术语如加密(encryption)、解密(decryption)、非对称加密算法(asymmetric cryptographic algorithm),公钥加密算法(public key cryptographic algorithm)、公钥(public key)等。风险评估技术类包括拒绝服务(Denial of Service)、分布式拒绝服务(Distributed Denial of Service)、网页篡改(Website Distortion)、网页仿冒(Phishing)、网页挂马(Website Malicious Code)、域名劫持(DNS Hijack)、路由劫持(Routing Hijack)垃圾邮件(Spam)、恶意代码(Malicious Code)、特洛伊木马(Trojan Horse)、网络蠕虫(Network Worm)、僵尸网络(Botnet)等。防护技术类包括访问控制(Access Control)、防火墙(Firewall)、入侵防御系统(Intrusion Prevention System)等。检测技术类包括入侵检测(Intrusion Detection)、漏洞扫描(Vulnerability Scanning)等。响应/恢复技术类包括应急响应(Emergency Response)、灾难恢复(Disaster Recovery)、备份(Backup)等。测评技术类包括黑盒测试(Black Box Testing)、白盒测试(White Box Testing)、灰盒测试(Gray Box Testing)、渗透测试(Penetration Testing)、模糊测试(Fuzz Testing)。网络攻击原理与常用方法网络攻击概述1.网络攻击是指损害网络系统安全的危害性行为。2.常见的危害行为有四个基本类型:信息泄露攻击完整性破坏攻击拒绝服务攻击非法使用攻击3.网络攻击原理表攻击者攻击工具攻击访问攻击效果攻击意图黑客间谍恐怖主义者公司职员职业犯罪分子破坏者用户命令脚本或程序自治主体电磁泄露本地访问远程访问破坏信息信息泄密窃取服务拒绝服务挑战好奇获取情报经济利益恐怖事件报复网络攻击常见方法1.端口扫描端口扫描的目的是找出目标系统上提供的服务列表。根据端口扫描利用的技术,扫描可以分为多种类型:扫描名称说明完全连接扫描完全连接扫描利用TCP/IP协议的三次握手连接机制,使源主机和目的主机的某个端口建立一次完整的连接。如果建立成功,则表明该端口开放。否则,表明该端口关闭。半连接扫描半连接扫描是指在源主机和目的主机的三次握手连接过程中,只完成前两次握手,不建立一次完整的连接。SYN扫描首先向目标主机发送连接请求,当目标主机返回响应后,立即切断连接过程,并查看响应情况。如果目标主机返回ACK信息,表明目标主机的该端口开放。如果目标主机返回RESET信息,表示该端口没有开放。ID头信息扫描首先由源主机A向dumb主机B发出连续的PING数据包,并且查看主机B返回的数据包的ID头信息(一般每个顺序数据包的ID头的值会增加1)。然后由源主机A假冒主机B的地址向目的主机C的任意端口(1-65535)发送SYN数据包。这时,主机C向主机B发送的数据包有两种可能的结果:1、SYN|ACK表示该端口处于监听状态;2、RST|ACK表示该端口处于非监听状态;后续的PING数据包响应信息的ID头信息可以看出,如果主机C的某个端口是开放的,则主机B返回A的数据包中,ID头的值不是递增1,而是大于1。如果主机C的某个端口是非开放的,则主机B返回A的数据包中,ID头的值递增1,非常规律。隐蔽扫描隐蔽扫描是指能够成功地绕过IDS、防火墙和监视系统等安全机制,取得目标主机端口信息的一种扫描方式。SYN|ACK扫描由源主机向目标主机的某个端口直接发送SYN|ACK数据包,而不是先发送SYN数据包。由于这一方法不发送SYN数据包,目标主机会认为这是一次错误的连接,从而报错。如果目标主机的该端口没有开放,则会返回RST信息。如果目标主机的该端口开放,则不会返回任何信息,而是直接将数据包抛弃掉。FIN扫描源主机A向目标主机B发送FIN数据包,然后查看反馈信息。如果端口返回RESET信息,则说明该端口关闭。如果端口没有返回任何信息,则说明该端口开放。ACK扫描首先由主机A向主机B发送FIN数据包,然后查看反馈数据包的TTL值和WIN值。开放端口所返回的数据包的TTL值一般小于64,而关闭端口的返回值一般大于64;开放端口所返回的数据包的WIN值一般大于0,而关闭端口的返回值一般等于0。NULL扫描将源主机发送的数据包中的ACK、FIN、RST、SYN、URG、PSH等标志位全部置空。如果目标主机没有返回任何信息,则表明该端口是开放的。如果返回RST信息,则表明该端口是关闭的。XMAS扫描XMAS扫描的原理和NULL扫描相同,只是将要发送的数据包中的ACK、FIN、RST、SYN、URG、PSH等标志位全部置成1。如果目标主机没有返回任何信息,则表明该端口是开放的。如果返回RST信息,则表明该端口是关闭的。2.缓冲区溢出攻击 缓冲区溢出攻击的防范策略:系统管理上的防范策略:1)关闭不需要的特权服务;2)及时给程序漏洞打补丁。软件开发过程中的防范策略:1)编写正确的代码;2)缓冲区不可执行;3)改进C语言函数库。漏洞防范技术:1)地址空间随机化技术;2)数据执行阻止;3)堆栈保护。恶意代码常见的恶意代码类型有计算机病毒、网络蠕虫、特洛伊木马、后门、逻辑炸弹、僵尸网络等。4.拒绝服务拒绝服务攻击的种类:DoS攻击名称说明同步包风暴(SYN Flood)利用TCP协议缺陷发送大量伪造的TCP连接请求,使得被攻击者资源耗尽。三次握手,进行了两次(SYN)(SYN/ACK),不进行第三次握手(ACK),连接队列处于等待状态,大量的这样的等待,占满全部队列空间,系统挂起。Ping of Death(死亡之Ping)攻击者故意发送大于65535字节的ip数据包给对方,导致内存溢出,这时主机就会出现内存分配错误而导致TCP/IP堆栈崩溃,导致死机!Teardrop Attack(泪滴攻击)分段攻击。伪造数据报文向目标主机发送含有重叠偏移的数据分段,通过将各个分段重叠来使目标系统崩溃或挂起。UDP Flood(UDP 洪水)利用简单的TCP/IP服务,如用Chargen和Echo传送毫无用处的占满宽带的数据。通过伪造与某一主机的Chargen服务之间的一次UDP连接,回复地址指向开放Echo服务的一台主机,生成在两台主机之间的足够多的无用数据流。Smurf攻击攻击者伪装目标主机向局域网的广播地址发送大量欺骗性的ICMP ECHO请求,这些包被放大,并发送到被欺骗的地址,大量的计算机向一台计算机回应ECHO包,目标系统将会崩溃。垃圾邮件针对服务端口(SMTP端口,即25端口)的攻击方式,攻击者通过连接到邮件服务器的25端口,按照SMTP协议发送几行头信息加上一堆文字垃圾,反复发送形成邮件轰炸。消耗CPU和内存资源的拒绝服务攻击利用目标系统的计算算法漏洞,构造恶意数据集,导致目标系统的CPU或内存资源耗尽,从而使目标系统瘫痪,如Hash DoS。分布式拒绝服务攻击(DDOS)引入了分布式攻击和C/S结构,客户端运行在攻击者的主机上,用来发起控制代理端;代理端运行在已被攻击者侵入并获得控制的主机上,从主控端接收命令,负责对目标实施实际的攻击。利用C/S技术,主控程序能在几秒钟内激活成百上千次代理程序的运行。密码学基本理论密码体制分类常见密码算法1.DES算法DES算法的安全性:密钥较短:面对计算能力高速发展的形势,DES采用56位密钥,显然短了一些。其密钥量仅为256约为1017 个。存在弱密钥:弱密钥K:K1=K2=…=K16;弱密钥不受任何循环移位的影响,并且只能得到相同的子密钥,由全0或全1组成的密钥显然是弱密钥,子密钥生成过程中被分割的两部分分别为全0或全1时也是弱密钥,并且存在4个弱密钥。半弱密钥K:有些种子密钥只能生成两个不同的子密钥,这样的种子密钥K称为半弱密钥,DES至少存在12个半弱密钥。半弱密钥将导致把明文加密成相同的密文。2.IDEA算法(1)是国际数据加密算法的简记,是一个分组加密处理算法,其明文和密文分组都是64比特,密钥长度为128比特。(2)该算法是由来学嘉和Massey提出的建议标准算法,已在PGP中得到应用。3.AES算法(1)数据长度可变(2)不存在弱密钥(3)抗攻击能力强(4)适应性强4.RSA密码RSA的加密和解密•参数定义和密钥生成选两个大素数p和q;(保密)计算n=p×q,φ(n)=(p-1)×(q-1);(n公开,φ(n)保密)选一整数e,满足1<e<φ(n),且gcd(φ(n),e)=1;(e公开)计算d,满足d×e≡1 modφ(n)(保密)•加密算法:c ≡ me mod n•解密算法:m ≡ cd mod n特点:•加解密算法是可逆的,加密和解密运算可交换,可同时确保数据的秘密性和数据的真实性。• 实现效率比较高效,其核心运算是模幂运算。安全性:• RSA密码的安全性在于大合数的因子分解,应当采用足够大的整数n,一般至少取1024位,最好取2048位;国际可信计算组织TCG在可信计算标准中规定:一般加密密钥和认证密钥选1024位,而平台根密钥和存储根密钥则选2048位。• 选择RSA的密码参数:p和q要足够大并且应为强素数;e、d的选择不能太小,并且不要许多用户共用一个模数n。5.国产密码算法算法名称算法特性描述备注SM1对称加密分组长度和密钥长度都为128比特 SM2非对称加密,用于公钥加密算法、密钥交换协议、数字签名算法国家标准推荐使用素数域256位椭圆曲线SM3杂凑算法,杂凑值长度为256比特 SM4对称加密,分组长度和密钥长度都为128比特 SM9标识密码算法 Hash函数与数字签名常见的Hash算法MD5算法MD5算法是由Rivest设计的。MD5以512位数据块为单位来处理输入,产生128位的消息摘要,即MD5能产生128比特长度的哈希值。SHA算法HA由NIST开发,同样也以512位数据块为单位来处理输入,产生160位的哈希值,具有比MD5更强的安全性。SHA算法产生的哈希值长度有SHA-224、SHA-256、SHA-384、SHA-512。SM3国产算法SM3是国家密码管理局于2010年公布的商用密码杂凑算法标准。该算法消息分组长度为512比特,输出杂凑值长度为256比特。3.数字签名数字签名至少应满足以下三个条件:非否认。签名者事后不能否认自己的签名。真实性。接收者能验证签名,而任何其他人都不能伪造签名。可鉴别性。当双方关于签名的真伪发生争执时,第三方能解决双方之间发生的争执。密码管理与数字证书1.密码管理密钥管理主要围绕密钥的生命周期进行,包括密钥生成、密钥存储、密钥分发、密钥使用、密钥更新、密钥撤销、密钥备份、密钥恢复、密钥销毁、密钥审计。2.数字证书数字证书也称公钥证书,是由证书认证机构(CA)签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。数字证书按类别可分为个人证书、机构证书和设备证书。按用途可分为签名证书和加密证书。签名证书是用于证明签名公钥的数字证书;加密证书是用于证明加密公钥的数字证书。网络安全体系与网络安全模型网络安全体系概述1.网络安全体系的主要特征(1)整体性:网络安全体系从全职长远的角度实现安全保障,网络安全单元按照一定的规则相互依赖,相互约束,相互作用,而形成人机物一体化的网络安全保护方式 ;(2)协同性:网络安全体系依赖于多种安全机制,通过多种安全机制的相互协作,构建系统性的网络安全保护方案;(3)过程性:针对保护对象,网络安全体系提供一种过程式的网络安全保护机制,覆盖保护对象的全生命周期;(4)全面性:网络安全体系基于多个维度,多个层面与安全威胁进行管控构建防护、检查、响应恢复等网络安全功能;(5)适应性:网络安全体系具有动态演变机制,能够适应网络安全威胁的变化和需求。网络安全体系相关安全模型1.网络安全体系的主要模型(1)BLP机密性模型Bell-LaPadula模型是符合军事安全策略的计算机安全模型,简称BLP模型。BLP模型有以下两个特性:•简单安全特性:主体只能向下读,不能向上读•*特性:主体只能向上写,不能向下写(2)BiBa完整性模型BiBa模型主要用于防止非授权修改系统信息,以保护系统的信息完整性。该模型同BLP模型类似,采用主体、客体、完整性级别描述安全策略要求。BiBa具有以下三个安全特性:•简单安全特性:主体不能向下读。•*特性:主体不能向上写。•调用特性:主体的完整性级别小于另外一个主体时,不能调用另一个主体。(3)信息流模型信息流模型是访问控制模型的一种变形,简称FM。(4)信息保障模型PDRR改进了传统的只有保护的单一安全防御思想,强调信息安全保障的四个重要环节。•保护的内容主要有加密机制、数据签名机制、访问控制机制、认证机制、信息隐藏、防火墙技术等。•检测的内容主要有入侵检测、系统脆弱性检测、数据完整性检测、攻击性检测等。•恢复的内容主要有数据备份、数据修复、系统恢复等。•响应的主要内容有应急策略、应急机制、应急手段、入侵过程分析及安全状态评估等。(5)能力成熟度模型能力成熟度模型(简称CMM)是对一个组织机构的能力进行成熟度评估的模型。成熟级别一般分为5级,其中,级别越大,表示能力成熟度越高,各级别定义如下:•1级-非正式执行:具备随机、无序、被动的过程•2级-计划跟踪:具备主动、非体系化的过程•3级-充分定义:具备正式的规范的过程•4级-量化控制:具备可量化的过程•5级-持续优化:具备可持续优化的过程(6)纵深防御模型纵深防御模型的基本思路就是将信息网络安全防护措施有机组合起来,针对保护对象,部署合适的安全措施,形成多道保护线,各安全防护措施能够互相支持和补救,尽可能地阻断攻击者的威胁。目前,安全业界认为网络需要建立四道防线:•安全保护•安全监测•实时响应•恢复(7)分层防护模型分层防护模型针对单独保护节点。(8)等级保护模型等级保护模型是根据网络信息系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度,结合系统面临的风险、系统特定的安全保护要求和成本开销等因素,将其划分成不同的安全保护等级,采取相应的安全保护措施,以保障信息和信息系统的安全。(9)网络生存模型网络生存性是指在网络信息系统遭受入侵的情形下,网络信息系统仍然能够持续提供必要服务的能力。认证技术原理与应用认证概述1.认证概念认证是一个实体向另一个实体证明其所有声称的身份的过程。2.认证依据认证依据也称为鉴别信息,通常指用于确认实体(声称者)身份的真实性或者其拥有的属性的凭证。目前,常见的认证依据主要有四类:所知道的秘密信息所拥有的实物凭证所具有的生物特征所表现的行为特征认证类型与认证过程1.单向认证单向认证是指在认证过程中,验证者对声称者进行单方面的鉴别,而声称者不需要识别验证者的身份。2.双向认证双向认证是指在认证过程中,验证者对声称者进行单方面的鉴别,同时,声称者也对验证者的身份进行确认。3.第三方认证第三方认证是指两个实体在鉴别过程中通过可信的第三方来实现。可信的第三方简称TTP。Kerberos认证技术一个Kerberos系统涉及四个基本实体:Kerberos客户机,用户用来访问服务器设备;AS,识别用户身份并提供TGS会话密钥;TGS,为申请服务的用户授予票据;应用服务器,为用户提供服务的设备或系统。Kerberos工作流程示意图Kerberos协议中要求用户经过AS和TGS两重认证的优点主要有两点。可以显著减少用户密钥的密文的暴露次数,这样就可以减少攻击者对有关用户密钥的密文积累。Kerberos认证过程具有单点登录的优点,只要用户拿到了TGT并且该TGT没有过期,那么用户就可以使用该TGR通过TGS完成到任一服务器的认证过程而不必重新输入密码。但是,Kerberos也存在不足之处。Kerberos认证系统要求解决主机节点时间同步问题和抵御拒绝服务攻击。公钥基础设施(PKI)技术●签证机构CA负责签发证书、管理和撤销证书●注册机构RA负责专门受理用户申请证书的机构证书的签发证书目录证书的认证证书的撤销信任模型其他认证技术名称说明单点登录指用户访问使用不同的系统时,只需要进行一次身份认证,就可以根据这次登录的认证身份访问授权资源。基于人机识别认证技术基于人机识别认证利用计算机求解问题的困难性以区分计算机和人的操作,防止计算机程序恶意操作,如恶意注册、暴力猜解口令等。多因素认证技术多因素认证技术使用多种鉴别信息进行组合,以提升认证的安全强度。根据认证机制所依赖的鉴别信息的多少,认证通常称为双因素认证或多因素认证。基于行为的身份鉴别技术基于行为的身份鉴别是根据用户行为和风险大小而进行的身份鉴别技术。快速在线认证(FIDO)FIDO使用标准公钥加密技术来提供强身份验证。FIDO的设计目标是保护用户隐私,不提供跟踪用户的信息,用户生物识别信息不离开用户的设备。认证主要产品与技术指标1.认证主要产品目前,认证技术主要产品类型包括系统安全增强、生物认证、电子认证服务、网络准入控制和身份认证网关5类。2.主要技术指标一般来说,认证技术产品的评价指标可以分成三类,即安全功能要求、性能要求和安全保障要求。认证技术产品的主要技术指标如下:●密码算法支持●认证准确性●用户支持数量●安全保障级别认证技术应用认证技术是网络安全保障的基础性技术,普遍应用于网络信息系统保护。认证技术常见的应用场景如下:●用户身份验证●信息来源证实●信息安全保护访问控制技术原理与应用访问控制概述1.访问控制目标访问控制的目标有两个:防止非法用户进入系统;阻止合法用户对系统资源的非法使用,即禁止合法用户的越权访问。访问控制模型1.访问控制参考模型访问控制机制由一组安全机制构成,可以抽象为一个简单的模型,组成要素主要有主体、参考监视器、客体、访问控制数据库、审计库。访问控制类型控制类型说明自主访问控制目前自主访问控制的实现方法有两类:基于行的自主访问控制和基于列的自主访问控制。基于行的自主访问控制方法根据表可分为能力表、前缀表和口令三种形式。基于列的自主访问控制方法有两种形式,即保护位和访问控制表。强访问控制强访问控制是指系统根据主体和客体的安全属性,以强制方式控制主体对客体的访问。基于角色的访问控制基于角色的访问控制(RBAC)就是指根据完成某些职责任务所需要的访问权限来进行授权和管理。基于属性的访问控制基于属性的访问控制简称为ABAC,其访问控制方法是根据主体的属性、客体的属性、环境的条件以及访问策略对主体的请求操作进行授权许可或拒绝。访问控制过程与安全管理1.口令安全管理口令是当前大多数网络实施网络控制进行身份鉴别的重要依据,一般遵守以下原则:•口令选择应至少在8个字符以上,应选用大小写字母、数字、特殊字符组合;•禁止使用与账号相同的口令;•更换系统默认口令,避免使用默认口令;•限制账号登录次数,建议为3次;•禁止共享账号和口令;•口令文件应该加密存放,并只有超级用户才能读取;•禁止以明文形式在网络上传递口令;•口令应有时效机制,保证经常更改,并且禁止重用口令;•对所有的账号运行口令破解工具,检查是否存在弱口令或没有口令的账号。防火墙技术原理与应用防火墙概述防火墙的安全策略白名单策略:只允许符合安全规则的包通过防火墙,其他通信禁止;黑名单策略:禁止与安全规则相冲突的包通过防火墙,其他通信包都允许。防火墙类型与实现技术1.包过滤包过滤是在IP层实现的防火墙技术,包过滤根据包的源IP地址、目的地址、源端口、目的端口及包传递方向等包头信息判断是否允许包通过。规则编号通信方向协议类型源IP目标IP源端口目标端口操作AinTCP外部内部≥102425允许BoutTCP内部外部25≥1024允许CoutTCP内部外部≥102425允许DinTCP外部内部25≥1024允许Eeitheranyanyanyanyany拒绝防火墙过滤规则2.状态检查技术基于状态的防火墙通过利用TCP会话和UDP“伪”会话的状态信息进行网络访问机制。3.应用服务代理应用服务代理防火墙扮演着受保护网络的内部网主机和外部网主机的网络通信连接“中间人”的角色。4.防火墙技术名称防火墙技术名称说明NAT网络地址转换主要解决公开地址不足,可以缓解少量因特网IP地址和大量主机之间的矛盾。实现网络地址转换的方式有3种类型:静态NAT、NAT池和端口NAT(PAT)等。Web防火墙技术Web应用防火墙是一种用于保护Web服务器和Web应用的网络安全机制。数据库防火墙技术数据库防火墙是一种用于保护数据库服务器的网络安全机制。工控防火墙技术工业控制系统专用防火墙简称为工控防火墙,是一种用于保护工业设备及系统的网络安全机制。下一代防火墙技术下一代防火墙除了集成传统防火墙的包过滤、状态监测、地址转换等功能外,还具有应用识别和控制、可应对安全威胁演变、检测隐藏的网络活动、动态快速响应攻击、支持统一安全策略部署、智能化安全管理等新功能。5.防火墙共性关键技术深度包检测:是一种用于对包的数据内容及包头信息进行检查分析的技术方法。操作系统:防火墙的运行依赖于操作系统,操作系统的安全性直接影响防火墙的自身安全。网络协议分析:防火墙通过获取网络中的包,然后利用协议分析技术对包的信息进行提取,进而实施安全策略检查及后续包的处理。防火墙防御体系结构类型1.双重宿主主机体系结构以一台双重宿主主机作为防火墙系统的主体,执行分离外部网络与内部网络的任务。2.基于代理型防火墙结构代理服务器和路由器共同构建一个网络安全边界防御架构。3.屏蔽子网体系结构采用了两个包过滤路由器和一个堡垒主机,在内外网络之间建立一个被隔离的子网。优点:安全级别最高。缺点:成本高,配置复杂。防火墙技术应用防火墙部署基本方法:•根据组织或公司的安全策略要求,将网络划分成若干安全区域;•在安全区域之间设置针对网络通信的访问控制点;•针对不同访问控制点的通信业务需求,指定相应的边界安全策略;•依据控制点的边界安全策略,采用合适的防火墙技术和防范结构;•在防火墙上,配置实现对应的网络安全策略;•测试验证边界安全策略是否正常执行;•运行和维护防火墙。
2023年09月06日
0 阅读
0 评论
0 点赞