信息安全基礎(chǔ)知識(shí)

信息平安根底知識(shí)目錄信息平安概述信息平安風(fēng)險(xiǎn)黑客攻擊協(xié)議層平安平安體系架構(gòu)平安技術(shù)和產(chǎn)品一些平安建議信息平安概述信息技術(shù)及其應(yīng)用的開(kāi)展A、通信--電報(bào)/B、計(jì)算機(jī)C、網(wǎng)絡(luò)D、網(wǎng)絡(luò)化社會(huì)的崛起--社會(huì)技術(shù)系統(tǒng)(人—網(wǎng)系統(tǒng))什么是信息？ISO17799中的描述“Informationisanassetwhich,likeotherimportantbusinessassets,hasvaluetoanorganizationandconsequentlyneedstobesuitablyprotected.〞“Informationcanexistinmanyforms.Itcanbeprintedorwrittenonpaper,storedelectronically,transmittedbypostorusingelectronicmeans,shownonfilms,orspokeninconversation.強(qiáng)調(diào)信息：是一種資產(chǎn)同其它重要的商業(yè)資產(chǎn)一樣對(duì)組織具有價(jià)值需要適當(dāng)?shù)谋Ｗo(hù)以各種形式存在：紙、電子、影片、交談等信息系統(tǒng)是有目的、和諧地處理信息的主要工具，它把所有形態(tài)〔原始數(shù)據(jù)、已分析的數(shù)據(jù)、知識(shí)和專(zhuān)家經(jīng)驗(yàn)〕和所有形式〔文字、視頻和聲音〕的信息進(jìn)行收集、組織、存儲(chǔ)、處理和顯示?！?大英百科全書(shū)?信息系統(tǒng)的概念信息平安的定義平安的定義根本含義：客觀上不受威脅；主觀上不存在恐懼。一種能夠識(shí)別和消除不平安因素的能力，是一個(gè)持續(xù)的過(guò)程。信息平安的定義狹義：具體的信息技術(shù)體系或某一特定信息系統(tǒng)的平安。廣義：一個(gè)國(guó)家的社會(huì)信息化狀態(tài)不受外來(lái)的威脅和傷害，一個(gè)國(guó)家的信息技術(shù)體系不受外來(lái)的威脅和侵害。ISO的定義：為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的平安保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件、數(shù)據(jù)不因偶然和惡意的原因而遭到破壞、更改和顯露。從歷史看信息平安通信保密〔ComSEC〕計(jì)算機(jī)平安〔CompSEC〕信息平安〔INFOSEC〕信息保障〔IA〕第一階段：通信保密上世紀(jì)40年代－70年代重點(diǎn)是通過(guò)密碼技術(shù)解決通信保密問(wèn)題，保證數(shù)據(jù)的保密性與完整性主要平安威脅是搭線竊聽(tīng)、密碼學(xué)分析主要保護(hù)措施是加密重要標(biāo)志1949年Shannon發(fā)表的?保密系統(tǒng)的通信理論?1977年美國(guó)國(guó)家標(biāo)準(zhǔn)局公布的數(shù)據(jù)加密標(biāo)準(zhǔn)〔DES〕1976年由Diffie與Hellman在“NewDirectionsinCryptography〞一文中提出了公鑰密碼體制第二階段：計(jì)算機(jī)平安上世紀(jì)70－80年代重點(diǎn)是確保計(jì)算機(jī)系統(tǒng)中硬件、軟件及正在處理、存儲(chǔ)、傳輸信息的機(jī)密性、完整性主要平安威脅擴(kuò)展到非法訪問(wèn)、惡意代碼、脆弱口令等主要保護(hù)措施是平安操作系統(tǒng)設(shè)計(jì)技術(shù)〔TCB〕主要標(biāo)志是1985年美國(guó)國(guó)防部〔DoD〕公布的可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)那么〔TCSEC，橘皮書(shū)〕將操作系統(tǒng)的平安級(jí)別分為四類(lèi)七個(gè)級(jí)別〔D、C1、C2、B1、B2、B3、A1〕，后補(bǔ)充紅皮書(shū)TNI〔1987〕和紫皮書(shū)TDI〔1991〕等，構(gòu)成彩虹〔Rainbow〕系列。級(jí)別描述D最低的級(jí)別。如MS-DOS，沒(méi)有安全性可言C1靈活的安全保護(hù)。系統(tǒng)不需要區(qū)分用戶(hù)?？商峁┗镜脑L問(wèn)控制。如目前常用的各種通用操作系統(tǒng)。C2靈活的訪問(wèn)安全性。系統(tǒng)不僅要識(shí)別用戶(hù)還要考慮唯一性。系統(tǒng)級(jí)的保護(hù)主要存在于資源、數(shù)據(jù)、文件和操作上。如WindowsNT3.5/4.0、DigitalUNIX、OpenVMS。B1標(biāo)記安全保護(hù)。系統(tǒng)提供更多的保護(hù)措施，包括各種的安全級(jí)別。如AT&T的SYSTEMV、UNIXwithMLS，以及IBMMVS/ESA。B2結(jié)構(gòu)化保護(hù)。支持硬件保護(hù)。內(nèi)容區(qū)被虛擬分割并嚴(yán)格保護(hù)。如TrustedXENIX和HoneywellMULTICS。B3安全域。支持?jǐn)?shù)據(jù)隱藏和分層，可以阻止層之間的交互。如HoneywellXTS-200。A校驗(yàn)級(jí)設(shè)計(jì)。需要嚴(yán)格的準(zhǔn)確證明系統(tǒng)不會(huì)被傷害，而且提供所有低級(jí)別的因素。如HoneywellSCOMP。操作系統(tǒng)平安級(jí)別第三階段：信息平安上世紀(jì)80-90年代重點(diǎn)需要保護(hù)信息，確保信息在存儲(chǔ)、處理、傳輸過(guò)程中及信息系統(tǒng)不被破壞，確保合法用戶(hù)的效勞和限制非授權(quán)用戶(hù)的效勞，以及必要的防御攻擊的措施。強(qiáng)調(diào)信息的保密性、完整性、可控性、可用性等主要平安威脅開(kāi)展到網(wǎng)絡(luò)入侵、病毒破壞、信息對(duì)抗的攻擊等主要保護(hù)措施包括防火墻、防病毒軟件、漏洞掃描、入侵檢測(cè)、PKI、VPN、平安管理等主要標(biāo)志是提出了新的平安評(píng)估準(zhǔn)那么CC〔ISO15408、GB/T18336〕信息平安的主要內(nèi)容平安保障內(nèi)容平安運(yùn)行平安數(shù)據(jù)平安設(shè)備平安信息系統(tǒng)平安管理信息平安的層次框架體系層次層面目標(biāo)安全屬性威脅保護(hù)手段系統(tǒng)安全設(shè)備安全對(duì)網(wǎng)絡(luò)與信息系統(tǒng)的硬件設(shè)施的保護(hù)。機(jī)密性、可用性、完整性、可靠性電磁泄露、通信干擾、信號(hào)注入、人為破壞、自然災(zāi)害、設(shè)備故障加擾處理、電磁屏蔽、數(shù)據(jù)校驗(yàn)、容錯(cuò)、冗余、系統(tǒng)備份運(yùn)行安全對(duì)網(wǎng)絡(luò)與信息系統(tǒng)的運(yùn)行過(guò)程和運(yùn)行狀態(tài)的保護(hù)。真實(shí)性、可控性、可用性、可審查性、可靠性非法使用資源、系統(tǒng)安全漏洞利用、網(wǎng)絡(luò)阻塞、網(wǎng)絡(luò)病毒、越權(quán)訪問(wèn)、非法控制系統(tǒng)、黑客攻擊、拒絕服務(wù)攻擊、軟件質(zhì)量差、系統(tǒng)崩潰防火墻與物理隔離、風(fēng)險(xiǎn)分析與漏洞掃描、應(yīng)急響應(yīng)、病毒防治、訪問(wèn)控制、安全審計(jì)、入侵檢測(cè)、源路由過(guò)濾、降級(jí)使用、數(shù)據(jù)備份信息安全數(shù)據(jù)安全在數(shù)據(jù)收集、處理、存儲(chǔ)、檢索、傳輸、交換、顯示、擴(kuò)散等過(guò)程中保障信息依據(jù)授權(quán)使用，不被非法冒充、竊取、篡改、抵賴(lài)。機(jī)密性、真實(shí)性、完整性、不可否認(rèn)性竊取、偽造、密鑰截獲、篡改、冒充、抵賴(lài)、攻擊密鑰加密、認(rèn)證、非對(duì)稱(chēng)密鑰、完整性驗(yàn)證、鑒別、數(shù)字簽名、秘密共享內(nèi)容安全對(duì)信息在網(wǎng)絡(luò)內(nèi)流動(dòng)中的選擇性阻斷，以保證信息流動(dòng)的可控能力。機(jī)密性、真實(shí)性、可控性、可用性、完整性、可靠性可對(duì)系統(tǒng)造成威脅的腳本病毒；因無(wú)限制擴(kuò)散而導(dǎo)致消耗用戶(hù)資源的垃圾類(lèi)郵件；導(dǎo)致社會(huì)不穩(wěn)定的有害信息，等等密文解析或形態(tài)解析、流動(dòng)信息的裁剪、信息的阻斷、信息的替換、信息的過(guò)濾、系統(tǒng)的控制第四階段：信息保障上世紀(jì)90年代后期“確保信息和信息系統(tǒng)的可用性、完整性、可認(rèn)證性、保密性和不可否認(rèn)性的保護(hù)和防范活動(dòng)。它包括了以綜合保護(hù)、檢測(cè)、反響能力來(lái)提供信息系統(tǒng)的恢復(fù)。〞——1996年美國(guó)國(guó)防部〔DoD〕國(guó)防部令S-3600.1典型標(biāo)志為美國(guó)國(guó)家平安局制定的?信息保障技術(shù)框架?〔IATF〕。保護(hù)網(wǎng)絡(luò)和根底設(shè)施主干網(wǎng)絡(luò)的可用性無(wú)線網(wǎng)絡(luò)平安框架系統(tǒng)互連和虛擬私有網(wǎng)〔VPN〕信息保障技術(shù)框架〔IATF〕保護(hù)網(wǎng)絡(luò)邊界登錄保護(hù)網(wǎng)絡(luò)遠(yuǎn)程訪問(wèn)多級(jí)平安保護(hù)計(jì)算環(huán)境終端用戶(hù)環(huán)境系統(tǒng)應(yīng)用程序的平安支撐性根底設(shè)施密鑰管理根底設(shè)施/公共密鑰根底設(shè)施〔KMI/PKI〕檢測(cè)和響應(yīng)本地計(jì)算環(huán)境本地計(jì)算環(huán)境本地計(jì)算環(huán)境viaTSPviaTSP

ViaTSPViaTSP有密級(jí)的網(wǎng)絡(luò)專(zhuān)用網(wǎng)電信供應(yīng)商公共網(wǎng)絡(luò)INTERNET公共電話網(wǎng)遠(yuǎn)程訪問(wèn)保護(hù)（加密器）邊界保護(hù)（防火墻等）邊界區(qū)域支持性基礎(chǔ)設(shè)施1、檢測(cè)與響應(yīng)2、密鑰管理基礎(chǔ)設(shè)施、公鑰基礎(chǔ)設(shè)施通過(guò)電信供應(yīng)商深層防御戰(zhàn)略的核心因素人技術(shù)操作深層防御戰(zhàn)略的技術(shù)模型——W“PDRR〞C一.對(duì)象〔兩個(gè)〕信息信息系統(tǒng)二.層面〔五個(gè)〕信息內(nèi)容應(yīng)用效勞局域計(jì)算環(huán)境邊界和外部連接根底設(shè)施三.信息狀態(tài)〔五個(gè)〕產(chǎn)生存儲(chǔ)處理傳輸消亡四.平安屬性〔八個(gè)+〕保密性〔Confidentiality〕完整性〔Integrity〕可用性〔Availability〕真實(shí)性或可認(rèn)證性〔Authenticity〕不可否認(rèn)性〔Non-repudiation〕可控性(Controllability)可審查性〔Accountability〕五.平安保障能力來(lái)源〔三個(gè)〕技術(shù)管理人六.信息保障的環(huán)節(jié)〔六個(gè)〕預(yù)警〔Warning〕保護(hù)〔Protect〕檢測(cè)〔Detect〕響應(yīng)〔React〕恢復(fù)〔Restore〕還擊〔Counterattack〕可靠信息平安屬性根本屬性保密性-保證機(jī)密信息不會(huì)泄露給非授權(quán)的人或?qū)嶓w，或供其使用；完整性-防止信息被未經(jīng)授權(quán)的篡改，保證真實(shí)的信息從真實(shí)的信源無(wú)失真地到達(dá)真實(shí)的信宿；可用性-保證信息及信息系統(tǒng)確實(shí)為授權(quán)使用者所用，防止由于計(jì)算機(jī)病毒或其它人為因素造成的系統(tǒng)拒絕效勞，或?yàn)閿呈挚捎?，信息系統(tǒng)能夠在規(guī)定的條件下和規(guī)定的時(shí)間內(nèi)完成規(guī)定的功能。信息平安屬性其他屬性真實(shí)性-能對(duì)通訊實(shí)體身份的真實(shí)性進(jìn)行鑒別；可控性-保證信息行為和過(guò)程均在信息主體的掌握和控制之下依照信息主體的意愿進(jìn)行；可靠性-保證所傳輸?shù)男畔⒉粚儆跓o(wú)用信息；不可否認(rèn)性-建立有效的責(zé)任機(jī)制，防止實(shí)體否認(rèn)其行為；可審查性-對(duì)出現(xiàn)的網(wǎng)絡(luò)平安問(wèn)題提供調(diào)查的依據(jù)和手段并可追蹤到唯一的行為實(shí)體；……信息保障技術(shù)環(huán)節(jié)預(yù)警〔Warning〕：根據(jù)以前掌握系統(tǒng)的脆弱性和了解當(dāng)前的犯罪趨勢(shì)，預(yù)測(cè)未來(lái)可能受到的攻擊和危害。保護(hù)〔Protect〕：采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和不可否認(rèn)性。檢測(cè)〔Detect〕：利用高技術(shù)提供的工具檢查系統(tǒng)存在的可能提供黑客攻擊、白領(lǐng)犯罪、病毒泛濫脆弱性。反響〔React〕：對(duì)危及平安的事件、行為、過(guò)程及時(shí)作出響應(yīng)處理，杜絕危害的進(jìn)一步蔓延擴(kuò)大，力求系統(tǒng)尚能提供正常效勞?；謴?fù)〔Restore〕：一旦系統(tǒng)遭到破壞，盡快恢復(fù)系統(tǒng)功能，盡早提供正常的效勞。還擊〔Counterattack〕：利用高技術(shù)工具，提供犯罪分子犯罪的線索、犯罪依據(jù)，依法偵查犯罪分子處理犯罪案件，要求形成取證能力和打擊手段，依法打擊犯罪和網(wǎng)絡(luò)恐怖主義分子。實(shí)施平安保障的原那么沒(méi)有絕對(duì)的平安開(kāi)放最少效勞提供最小權(quán)限原那么。平安需求平衡信息平安保障的問(wèn)題就是平安的效用問(wèn)題，在解決或預(yù)防信息平安問(wèn)題時(shí)，要從經(jīng)濟(jì)、技術(shù)、管理的可行性和有效性上做出權(quán)衡和取舍。防范缺乏會(huì)造成直接的損失；防范過(guò)多又會(huì)造成間接的損失。必須根據(jù)平安目標(biāo)審查平安手段。過(guò)分繁雜的平安政策將導(dǎo)致比沒(méi)有平安政策還要低效的平安。需要考慮一下平安政策給合法用戶(hù)帶來(lái)的影響，在很多情況下如果用戶(hù)所感受到的不方便大于所產(chǎn)生的平安上的提高，那么執(zhí)行的平安策略是實(shí)際降低了企業(yè)的平安有效性。信息平安的目的打不跨看不懂進(jìn)不來(lái)拿不走改不了跑不了可審查信息平安的根底：風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)管理：基于可接受的本錢(qián)，對(duì)影響信息系統(tǒng)的平安風(fēng)險(xiǎn)進(jìn)行識(shí)別、控制、減小或消除的過(guò)程。信息平安對(duì)策必須以風(fēng)險(xiǎn)管理為根底：平安不必是完美無(wú)缺、面面俱到的。但風(fēng)險(xiǎn)必須是能夠管理的。最適宜的信息平安策略就是最優(yōu)的風(fēng)險(xiǎn)管理對(duì)策，這是一個(gè)在有限資源前提下的最優(yōu)選擇問(wèn)題。風(fēng)險(xiǎn)管理體系ISO17799：信息平安管理實(shí)施細(xì)那么AS/NZS4360AS/NZS4360：風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)GAO/AIMD98-68：信息平安管理實(shí)施指南信息平安風(fēng)險(xiǎn)信息平安風(fēng)險(xiǎn)的定義風(fēng)險(xiǎn)遭受損害或損失的可能性。平安風(fēng)險(xiǎn)是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失或損害的可能性。〔ISO/IECTR13335-1:1996〕信息平安風(fēng)險(xiǎn)是指信息資產(chǎn)的保密性、完整性和可用性等平安屬性遭到破壞的可能性。信息平安風(fēng)險(xiǎn)只考慮那些對(duì)組織有負(fù)面影響的事件。風(fēng)險(xiǎn)的四要素資產(chǎn)及其價(jià)值威脅脆弱性現(xiàn)有的和方案的控制措施價(jià)值ISO13335以風(fēng)險(xiǎn)為核心的平安模型資產(chǎn)資產(chǎn)是任何對(duì)組織有價(jià)值的東西。信息也是一種資產(chǎn)，對(duì)組織具有價(jià)值。資產(chǎn)的分類(lèi)電子信息資產(chǎn)紙介資產(chǎn)軟件資產(chǎn)物理資產(chǎn)人員效勞性資產(chǎn)公司形象和名譽(yù)主要的信息資產(chǎn)終端資源： 員工工作站 威脅:病毒,木馬,XActive,applet網(wǎng)絡(luò)資源： 路由器,交換機(jī),線纜 威脅:IPspoofing,systemsnooping效勞器資源： DNS,WEB,Email,FTPserveretc 威脅:非授權(quán)訪問(wèn),效勞中斷,木馬信息存儲(chǔ)資源： 人力資源和電子商務(wù)數(shù)據(jù)庫(kù) 威脅:獲取商業(yè)機(jī)密或用戶(hù)數(shù)據(jù)威脅威脅是可能導(dǎo)致信息平安事故和組織信息資產(chǎn)損失的活動(dòng)。威脅是利用脆弱性來(lái)造成后果。威脅舉例黑客入侵和攻擊病毒和其他惡意程序軟硬件故障人為誤操作自然災(zāi)害如：地震、火災(zāi)、爆炸等盜竊網(wǎng)絡(luò)監(jiān)聽(tīng)供電故障未授權(quán)訪問(wèn)……脆弱性是與信息資產(chǎn)有關(guān)的弱點(diǎn)或平安隱患。脆弱性本身并不對(duì)資產(chǎn)構(gòu)成危害，但是在一定條件得到滿(mǎn)足時(shí)，脆弱性會(huì)被威脅加以利用來(lái)對(duì)信息資產(chǎn)造成危害。舉例〔技術(shù)性和非技術(shù)性的〕：系統(tǒng)漏洞程序Bug后門(mén)系統(tǒng)沒(méi)有進(jìn)行平安配置缺少審計(jì)物理環(huán)境不平安缺乏平安意識(shí)缺乏專(zhuān)業(yè)人員不良習(xí)慣……平安威脅物理層面：機(jī)房、設(shè)備間等的設(shè)備防盜，防毀機(jī)房、設(shè)備間的環(huán)境保障鏈路老化，人為破壞，被動(dòng)物咬斷等網(wǎng)絡(luò)設(shè)備自身故障停電導(dǎo)致網(wǎng)絡(luò)設(shè)備無(wú)法工作電磁干擾和泄漏其他根本威脅：一〕非授權(quán)訪問(wèn)：沒(méi)有經(jīng)過(guò)同意，就使用網(wǎng)絡(luò)或計(jì)算機(jī)資源。如有意避開(kāi)系統(tǒng)訪問(wèn)控制機(jī)制，對(duì)網(wǎng)絡(luò)設(shè)備及資源進(jìn)行非正常使用。2.擅自擴(kuò)大權(quán)限，越權(quán)訪問(wèn)信息。如假冒、身份攻擊、非法用戶(hù)進(jìn)入網(wǎng)絡(luò)系統(tǒng)進(jìn)行違法操作、合法用戶(hù)以未授權(quán)方式進(jìn)行操作等。平安威脅根本威脅：二〕信息泄露：敏感數(shù)據(jù)在有意或無(wú)意中被泄漏出去。如信息在傳輸中喪失或泄漏〔電磁泄漏或搭線竊聽(tīng)；對(duì)信息流向、流量、通信頻度和長(zhǎng)度等參數(shù)的分析，推出有用信息；猜測(cè)用戶(hù)口令、帳號(hào)等重要信息?！?.信息在存儲(chǔ)介質(zhì)中喪失或泄漏。如通過(guò)建立隱蔽隧道等竊取敏感信息等。平安威脅根本威脅：三〕破壞數(shù)據(jù)完整性：以非法手段竊得對(duì)數(shù)據(jù)的使用權(quán)，刪除、修改、插入或重發(fā)某些重要信息，以取得有益于攻擊者的響應(yīng)。惡意添加，修改數(shù)據(jù)，以干擾用戶(hù)的正常使用。平安威脅根本威脅：四〕拒絕效勞攻擊不斷對(duì)網(wǎng)絡(luò)效勞系統(tǒng)進(jìn)行干擾，改變其正常的作業(yè)流程。執(zhí)行無(wú)關(guān)程序使系統(tǒng)響應(yīng)減慢甚至癱瘓，影響正常用戶(hù)的使用，甚至使合法用戶(hù)被排斥而不能進(jìn)入計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)或不能得到相應(yīng)的效勞。平安威脅主要可實(shí)現(xiàn)的威脅：★假冒某個(gè)實(shí)體〔人或系統(tǒng)〕假裝成另外一個(gè)不同的實(shí)體。這是滲入某個(gè)平安防線的最為通用的方法?！锱月房刂茷榱双@得未授權(quán)的權(quán)利和特權(quán)，某個(gè)攻擊者會(huì)開(kāi)掘系統(tǒng)的缺陷或平安上的脆弱之處?！锸跈?quán)侵犯被授權(quán)以某一目的使用某一系統(tǒng)或資源的某個(gè)人，卻將此權(quán)限用于其它未授權(quán)目的，也稱(chēng)作“內(nèi)部威脅〞?！锾芈逡聊抉R軟件中含有一個(gè)覺(jué)察不出的或無(wú)害的程序段，當(dāng)它被執(zhí)行時(shí)，會(huì)破壞用戶(hù)的平安性?！锵蓍T(mén)在某個(gè)系統(tǒng)或某個(gè)文件中設(shè)置的“機(jī)關(guān)〞，使得當(dāng)提供特定的輸入數(shù)據(jù)時(shí)，允許違反平安策略。平安威脅平安威脅潛在的威脅如果在某個(gè)給定環(huán)境對(duì)任何一種根本威脅或者主要的可實(shí)現(xiàn)威脅進(jìn)行分析，我們就能夠發(fā)現(xiàn)某些特定的潛在威脅，而任意一種潛在威脅都可能導(dǎo)致一些更根本的威脅的發(fā)生。舉例★竊聽(tīng)：信息從被監(jiān)視的通信過(guò)程中泄露出去★業(yè)務(wù)流分析：通過(guò)對(duì)通信業(yè)務(wù)流模式〔有，無(wú)，數(shù)量，方向，頻率〕的分析來(lái)將信息泄露給非授權(quán)個(gè)體的一種情報(bào)信息竊取方法；★人員疏忽：作為主體的人因?yàn)槭韬龃笠舛鴮?dǎo)致的信息泄露事件；★媒體清理：通過(guò)對(duì)數(shù)據(jù)所依賴(lài)的媒體的分析而獲得信息。黑客攻擊什么是黑客通過(guò)網(wǎng)絡(luò),利用系統(tǒng)中的一些漏洞和缺陷,對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行入侵的人hacker與cracker:HackerCracker,但對(duì)于群眾,hacker即cracker可能的攻擊者〔cracker〕計(jì)算機(jī)黑客〔hacker〕不滿(mǎn)或者被解雇的雇員極端危險(xiǎn)的罪犯工業(yè)、企業(yè)間諜對(duì)攻擊技術(shù)好奇的人。。。攻擊的一般過(guò)程第一步：信息探測(cè)—尋找目標(biāo)，獲取信息第二步：進(jìn)入系統(tǒng)—獲得初始的訪問(wèn)權(quán)限第三步：權(quán)限提升—獲得更/最高訪問(wèn)權(quán)限第四步：深入攻擊—攻擊其他系統(tǒng)/擦除痕跡/留下后門(mén)第五步：拒絕效勞—入侵未成功那么造成拒絕效勞信息探測(cè)一般是入侵過(guò)程的開(kāi)始，任何有頭腦的攻擊者在嘗試獲取訪問(wèn)目標(biāo)系統(tǒng)的特權(quán)之前，都要預(yù)先進(jìn)行工作量可能不少的研究，如對(duì)網(wǎng)絡(luò)內(nèi)部或外部進(jìn)行有意或無(wú)意的可攻擊目標(biāo)的搜尋〔踩點(diǎn)、掃描〕。信息探測(cè)的目的確定目標(biāo)的IP或域名確定目標(biāo)操作系統(tǒng)類(lèi)型和版本確定目標(biāo)系統(tǒng)提供的效勞——端口信息攻擊的一般過(guò)程1：信息探測(cè)信息探測(cè)的手法利用公開(kāi)信息網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)〔如ping、traceroute、firewalk〕端口掃描〔如nmap〕遠(yuǎn)程操作系統(tǒng)識(shí)別〔如bannergrab、nmapOS指紋鑒別〕SNMP掃描〔如snmputil〕漏洞掃描〔如Nessus、商業(yè)掃描器〕手工漏洞挖掘〔如SQL注入〕社會(huì)工程攻擊的一般過(guò)程1：信息探測(cè)tracerouteTraceroute使我們知道數(shù)據(jù)包由出發(fā)點(diǎn)〔source〕到達(dá)目的地(destination)所走的路徑。Traceroute通過(guò)發(fā)送小的數(shù)據(jù)包到目的設(shè)備直到其返回，來(lái)測(cè)量其需要多長(zhǎng)時(shí)間。一條路徑上的每個(gè)設(shè)備Traceroute要測(cè)3次。輸出結(jié)果中包括每次測(cè)試的時(shí)間(ms)和設(shè)備的名稱(chēng)〔如有的話〕及其IP地址。在UNIX系統(tǒng)下為

Traceroute，在Windows系統(tǒng)下為T(mén)racerert。C:\>tracertTracingrouteto[5]

overamaximumof30hops:

1161ms150ms160ms7

2151ms160ms160ms5

3151ms160ms150ms70

4151ms150ms150ms0

5151ms150ms150ms

6151ms150ms150ms

7761ms761ms752msborder7-serial3-0-0.S[9]

8751ms751ms*core2-fddi-0.S[9]

9762ms771ms751msborder8-fddi-0.S[7]

10721ms*741ms[]

11*761ms751mspos4-2-155M.cr2.SNV.[37]

12771ms*771mspos1-0-2488M.hr8.SNV.[1]

13731ms741ms751msbas1r-ge3-0-hr8.snv.yahoo[2]

14781ms771ms781mswww10.yahoo[5]

Tracecomplete.

NMapNMap〔NetworkMapper〕是Linux下的網(wǎng)絡(luò)掃描和嗅探工具包。其根本功能有三個(gè)，一是探測(cè)一組主機(jī)是否在線；其次是掃描主機(jī)端口，嗅探所提供的網(wǎng)絡(luò)效勞；還可以推斷主機(jī)所用的操作系統(tǒng)。此外還可以將所有探測(cè)結(jié)果記錄到各種格式的日志中，供進(jìn)一步分析操作。Nmap可用于掃描含有2個(gè)節(jié)點(diǎn)的LAN，直至500個(gè)節(jié)點(diǎn)以上的網(wǎng)絡(luò)。Nmap還允許用戶(hù)定制掃描技巧。通常，一個(gè)簡(jiǎn)單的使用ICMP協(xié)議的ping操作可以滿(mǎn)足一般需求。

例如：適用于內(nèi)外網(wǎng)的探測(cè)，以?xún)?nèi)網(wǎng)操作為例如(外網(wǎng)參數(shù)同)

簡(jiǎn)單端口掃描：nmap-vv-sT(sS、sF、sU、sA〔-D偽造的地址)

OS檢測(cè)：nmap-vv-sS-O

RPC鑒別：nmap-sS-sRLinux上的portmap就是一個(gè)簡(jiǎn)單的RPC效勞，監(jiān)聽(tīng)端口為111〔默認(rèn)〕

Ping掃射：nmap-sPsnmp掃描SNMP〔SimpleNetworkManagementProtocol，簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議〕是用于管理IP網(wǎng)絡(luò)上的結(jié)點(diǎn)的一種協(xié)議。幾乎所有的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)操作系統(tǒng)都支持SNMP。communitystring〔社團(tuán)字串〕是基于SNMP協(xié)議信息通信時(shí)使用的一種“查詢(xún)密碼〞，當(dāng)使用特殊的客戶(hù)端應(yīng)用程序，通過(guò)communitystring的驗(yàn)證，將獲得對(duì)應(yīng)的權(quán)限〔只讀或讀寫(xiě))對(duì)SNMP中管理信息庫(kù)〔MIB〕進(jìn)行訪問(wèn)。而管理信息庫(kù)〔MIB〕中那么保存了系統(tǒng)所有的重要信息。很多網(wǎng)絡(luò)設(shè)備廠商以及操作系統(tǒng)廠商，在初始狀態(tài)下，都使用統(tǒng)一的communitystring“public〞。Snmputil——命令行方式的SNMP掃描工具snmputilwalk對(duì)方ippublic...2.1.2列出系統(tǒng)進(jìn)程snmputilwalk對(duì)方ippublic...列系統(tǒng)用戶(hù)列表snmputilget對(duì)方ippublic...4.1.0列出域名snmputilwalk對(duì)方ippublic...3.1.2列出安裝的軟件snmputilwalk對(duì)方ippublic..2.1.1列出系統(tǒng)信息漏洞掃描什么是漏洞掃描漏洞掃描是一種自動(dòng)檢測(cè)遠(yuǎn)程或本地主機(jī)平安性弱點(diǎn)的操作。通過(guò)使用掃描器你可以不留痕跡的發(fā)現(xiàn)遠(yuǎn)程效勞器的各種TCP/UDP端口的分配、所提供的效勞及其軟件版本，能夠讓我們間接的或直觀的了解到遠(yuǎn)程主機(jī)所存在的平安問(wèn)題。Nessus是一款可以運(yùn)行在Linux、BSD、Solaris以及其他一些系統(tǒng)上的遠(yuǎn)程平安掃描軟件。它是多線程、基于插入式的軟件，擁有很好的圖形操作界面，能夠完成超過(guò)1200項(xiàng)的遠(yuǎn)程平安檢查，具有強(qiáng)大的報(bào)告輸出能力，可以產(chǎn)生HTML、XML、LaTeX和ASCII文本等格式的平安報(bào)告，并且會(huì)為每一個(gè)發(fā)現(xiàn)的平安問(wèn)題提出解決建議。攻擊者在進(jìn)行信息探測(cè)后確定了在其知識(shí)范疇內(nèi)比較容易實(shí)現(xiàn)的攻擊目標(biāo)嘗試對(duì)象，然后開(kāi)始對(duì)目標(biāo)主機(jī)的技術(shù)或管理漏洞進(jìn)行深入分析和驗(yàn)證，試圖獲得系統(tǒng)的初始訪問(wèn)權(quán)。攻擊者常用的手段主要是漏洞校驗(yàn)和口令猜解，如：專(zhuān)用的CGI漏洞掃描工具、登錄口令破解等等。一般步驟：1.掃描目標(biāo)主機(jī)。2.檢查開(kāi)放的端口，獲得效勞軟件及版本。3.檢查效勞是否存在漏洞，如果是，利用該漏洞遠(yuǎn)程進(jìn)入系統(tǒng)。4.檢查效勞軟件是否存在脆弱帳號(hào)或密碼，如果是，利用其進(jìn)入系統(tǒng)。5.效勞軟件是否泄露系統(tǒng)敏感信息，如果是，檢查能否利用。6.掃描相同子網(wǎng)主機(jī)，重復(fù)以上步驟，直到進(jìn)入目標(biāo)主機(jī)或放棄。攻擊的一般過(guò)程2：進(jìn)入系統(tǒng)攻擊的一般過(guò)程3：權(quán)限提升攻擊者成功從原先沒(méi)有權(quán)限的系統(tǒng)獲取了一個(gè)訪問(wèn)權(quán)限從而進(jìn)入系統(tǒng)，但這個(gè)權(quán)限可能是受限制的，于是攻擊者就會(huì)采取各種措施，使得當(dāng)前的權(quán)限得到提升，最理想的就是獲得最高權(quán)限〔如Admin或者Root權(quán)限〕，這樣攻擊者才能進(jìn)行深入攻擊。這個(gè)過(guò)程就是權(quán)限提升。攻擊者常用的手段主要是通過(guò)緩沖區(qū)溢出的攻擊方式。一般步驟：1.檢查目標(biāo)主機(jī)上的SUID和GUID程序是否存在漏洞，如果是，利用該漏洞提升權(quán)限(unix)。2.檢查本地效勞是否存在漏洞，如果是，利用該漏洞提升權(quán)限。3.檢查本地效勞是否存在脆弱帳號(hào)或密碼，如果是，利用該帳號(hào)或密碼提升權(quán)限。4.檢查重要文件的權(quán)限是否設(shè)置錯(cuò)誤，如果是，利用該漏洞提升權(quán)限。5.檢查配置目錄中是否存在敏感信息可以利用。6.檢查用戶(hù)目錄中是否存在敏感信息可以利用。7.檢查其它目錄是否存在可以利用的敏感信息。8.重復(fù)以上步驟，直到獲得root權(quán)限或放棄。攻擊的一般過(guò)程4：深入攻擊攻擊者通過(guò)權(quán)限提升后，一般是控制了單臺(tái)主機(jī)，從而獨(dú)立的入侵過(guò)程根本完成。但是，攻擊者也會(huì)考慮如何將留下的入侵痕跡消除，同時(shí)開(kāi)辟一條新的路徑便于日后再次進(jìn)行更深入地攻擊，或者以被控制主機(jī)為跳板去攻擊網(wǎng)絡(luò)上其他主機(jī)。主要技術(shù)手段包括木馬植入、日志更改或替換、跳板攻擊等等。相關(guān)日志對(duì)守護(hù)進(jìn)程掃描時(shí)留下的日志系統(tǒng)登陸產(chǎn)生的日志文件訪問(wèn)產(chǎn)生的日志更改系統(tǒng)設(shè)置留下的日志安裝黑客工具留下的日志攻擊的一般過(guò)程5：拒絕效勞如果目標(biāo)主機(jī)的防范措施比較好，前面的攻擊過(guò)程可能不起效果。作為局部惡意的攻擊者還會(huì)采用拒絕效勞的攻擊方式，模擬正常的業(yè)務(wù)請(qǐng)求來(lái)阻塞目標(biāo)主機(jī)對(duì)外提供效勞的網(wǎng)絡(luò)帶寬或消耗目標(biāo)主機(jī)的系統(tǒng)資源，使正常的效勞變得非常困難，嚴(yán)重的甚至導(dǎo)致目標(biāo)主機(jī)宕機(jī)，從而到達(dá)攻擊的效果。目前，拒絕效勞〔DoS〕成為非常流行的攻擊手段，甚至結(jié)合木馬程序開(kāi)展成為分布式拒絕效勞攻擊〔DDoS〕，其攻擊威力更大。常見(jiàn)拒絕效勞攻擊類(lèi)型SYN溢出Smurf和FragglePingofdeathLandattack什么是DoS/DDoS攻擊？攻擊者利用因特網(wǎng)上成百上千的“Zombie〞(僵尸)-即被利用主機(jī)，對(duì)攻擊目標(biāo)發(fā)出海量數(shù)據(jù)包造成動(dòng)威力巨大的拒絕效勞攻擊。DenialofService(DoS)拒絕效勞攻擊DistributedDenialofService(DDoS)分布式拒絕效勞攻擊攻擊者利用系統(tǒng)自身漏洞或者協(xié)議漏洞，耗盡可用資源乃至系統(tǒng)崩潰，而無(wú)法對(duì)合法用戶(hù)作出響應(yīng)。Trinoo、TFN、TFN2K和Stacheldraht。常用攻擊工具DDoS攻擊過(guò)程主控主機(jī)（中間人handler）合法用戶(hù)掃描程序黑客Internet非平安主機(jī)被控主機(jī)〔代理agent)應(yīng)用服務(wù)器服務(wù)請(qǐng)求服務(wù)響應(yīng)洪流(ICMPFlood/SYNFlood/UDPFlood)協(xié)議層平安OSI參考模型和TCP/IP協(xié)議簇網(wǎng)絡(luò)設(shè)施操作系統(tǒng)應(yīng)用效勞TCP/IP和因特網(wǎng)平安TheARPAnetsince1966Internet起于研究工程,平安不是主要的考慮少量的用戶(hù)，多是研究人員,可信的用戶(hù)群體可靠性(可用性)、計(jì)費(fèi)、性能、配置、平安網(wǎng)絡(luò)協(xié)議的開(kāi)放性與系統(tǒng)的通用性目標(biāo)可訪問(wèn)性，行為可知性攻擊工具易用性Internet和TCP/IPv4沒(méi)有考慮平安因素IPv6的設(shè)計(jì)中考慮了平安因素Internet沒(méi)有集中的管理權(quán)威和統(tǒng)一的政策平安政策、計(jì)費(fèi)政策、路由政策識(shí)別網(wǎng)絡(luò)通訊中存在的風(fēng)險(xiǎn)網(wǎng)絡(luò)監(jiān)視數(shù)據(jù)修改身份欺騙中間人劫持竊取密碼識(shí)別與物理網(wǎng)絡(luò)相關(guān)的風(fēng)險(xiǎn)Hub網(wǎng)段1網(wǎng)段1網(wǎng)段1網(wǎng)段2Sniffer所有連接都可見(jiàn)僅網(wǎng)段2通訊可見(jiàn)Switch截取、捕獲數(shù)據(jù)網(wǎng)段1網(wǎng)段2僅允許網(wǎng)段3訪問(wèn)Telnet網(wǎng)段3RouterRouterTelnetServer非法用戶(hù)遠(yuǎn)程登錄物理層平安問(wèn)題對(duì)線纜上傳輸?shù)男盘?hào)做文章〔Composethesignalstransmitoverthewire〕威脅:搭線竊聽(tīng)&Sniffer防護(hù):數(shù)據(jù)加密/流量填充〔encryption/datalabels/trafficpadding〕優(yōu)化網(wǎng)絡(luò)拓?fù)洹步粨Q、VLAN、防火墻〕網(wǎng)絡(luò)層平安問(wèn)題提供邏輯地址和路由IP,ICMP…InternetProtocol(IP)32-bit,unique,identifyhost頭部(20bytes):信息和控制字段威脅:IPspoofing，Smurfattack網(wǎng)際控制消息協(xié)議(ICMP)在IP層檢查錯(cuò)誤和其它條件。一般的ICMP信息是非常有用的。威脅:〔TFN,利用ICMP協(xié)議來(lái)消耗網(wǎng)絡(luò)帶寬〕〔Winnuke發(fā)送畸形的ICMP數(shù)據(jù)包〕保護(hù):firewall,systempatch傳輸層平安問(wèn)題控制主機(jī)之間信息的傳輸TCP,UDP協(xié)議TCP:面向連接的協(xié)議〔FTP,HTTP,SMTP〕flags:SYN,FIN,ACK,PSH,RST,URGEstablishing/TerminatingaTCPconnectionTCP威脅:SYNfloodUDP:面向無(wú)連接的協(xié)議(Audio,video,TFTP)端口(IANA)Web(80),FTP(20,21),DNS(53),SNMP(161,162)…保存端口(Wellknownports):<1024注冊(cè)端口:1024~49151私有端口:49152~65535TCP/IP三次握手SYN標(biāo)志，目的端口號(hào)，初始序列號(hào)(ISN)SYN標(biāo)志，ISN，確認(rèn)標(biāo)志(ACK)ACKSYNFlooding攻擊1、攻擊客戶(hù)端向被攻擊效勞器發(fā)起帶有假冒IP地址的SYN請(qǐng)求.2、效勞器試圖發(fā)送SYN/ACK應(yīng)答到那個(gè)不可達(dá)的IP地址.3、客戶(hù)端不會(huì)收到ACK,效勞器一直發(fā)下去應(yīng)用層平安問(wèn)題〔1〕最難以實(shí)現(xiàn)平安的層次簡(jiǎn)單的郵件傳輸協(xié)議(SMTP)威脅:mailfloodsendingvirusesandTrojanUsernameleak(vrfy,expn,rcptto:)防護(hù):病毒網(wǎng)關(guān)Anti-virusesgatewayUsingsecureSMTPsoftwareeducatingemailusers文件傳輸協(xié)議(FTP)威脅:利用上載填充硬盤(pán)空間，使硬盤(pán)空間溢出上傳攻擊工具到效勞器用戶(hù)名和密碼是明文的防護(hù):僅允許匿名連接將數(shù)據(jù)置于單獨(dú)分區(qū)超文本傳輸協(xié)議(HTTP)威脅:惡意的activeX或Javaapplet腳本Extendedapplications(Java,CGI,ASP..)防護(hù)：教育用戶(hù)不要下載未被檢驗(yàn)過(guò)的應(yīng)用程序。應(yīng)用層平安問(wèn)題〔2〕SNMPUDP161162Communityname〔SNMP僅由此提供認(rèn)證〕控制Communityname，就可以控制所有節(jié)點(diǎn)明文傳輸DNSDNS請(qǐng)求使用UDP53端口區(qū)域傳輸使用TCP53端口獲取zone文件附屬DNS向主DNS請(qǐng)求區(qū)域傳輸保護(hù)：防火墻過(guò)濾、區(qū)域傳輸時(shí)使用認(rèn)證應(yīng)用層平安問(wèn)題〔3〕Telnet〔rsh、rlogin〕用于遠(yuǎn)程終端訪問(wèn)并可用來(lái)管理UNIX機(jī)器。WindowsNT默認(rèn)無(wú)Telnet效勞，但很容易參加一個(gè)第三方的效勞。以明文的方式發(fā)送所有的用戶(hù)名和密碼。威脅：有經(jīng)驗(yàn)的黑客可以劫持一個(gè)Telnet會(huì)話。保護(hù)：盡量不在互聯(lián)網(wǎng)上傳輸Telnet流量用SecureShell(SSH)代替應(yīng)用層平安問(wèn)題〔4〕平安體系架構(gòu)平安是…..,怎么說(shuō)?平安的組織保障密碼機(jī)物理隔離卡根本平安機(jī)制LAN/WAN的平安TEMPEST外網(wǎng)互連平安網(wǎng)絡(luò)管理防火墻平安應(yīng)用平安數(shù)據(jù)庫(kù)CA認(rèn)證個(gè)人機(jī)平安保護(hù)平安審計(jì)Windows平安UNIX平安操作系統(tǒng)PKI入侵檢測(cè)防病毒PMI建立一個(gè)有效的平安矩陣平安矩陣一個(gè)平安矩陣由單個(gè)操作系統(tǒng)平安特征、日志效勞和其他的裝備包括防火墻、入侵檢測(cè)系統(tǒng)、審查方案等構(gòu)成。平安矩陣系統(tǒng)最主要的幾個(gè)方面特點(diǎn)描述

允許訪問(wèn)控制通過(guò)只允許合法用戶(hù)訪問(wèn)來(lái)達(dá)到你的目的最大擴(kuò)展通信的功能同時(shí)最小化黑客訪問(wèn)的可能性黑客已經(jīng)訪問(wèn)到你的資源時(shí)盡可能地減小破壞性容易使用如果一個(gè)安全系統(tǒng)很難使用，員工可能會(huì)想辦法繞開(kāi)它合理的花費(fèi)你不僅要考慮初始的花費(fèi)還要考慮以后升級(jí)所需要的費(fèi)用，你還要考慮用于管理所要花的費(fèi)用；需要多少員工，達(dá)到什么樣的水平來(lái)成功的實(shí)施和維護(hù)系統(tǒng)。靈活性和伸縮性你的系統(tǒng)要能讓你的公司按其想法做一些商業(yè)上的事情你的系統(tǒng)要隨著公司的增長(zhǎng)而加強(qiáng)優(yōu)秀的警報(bào)和報(bào)告當(dāng)一個(gè)安全破壞發(fā)生時(shí)，系統(tǒng)要能快速地通知管理員足夠詳細(xì)的內(nèi)容平安體系〔一〕：ISO7498-2標(biāo)準(zhǔn)GB/T9387.2?信息處理系統(tǒng)開(kāi)放系統(tǒng)互連根本參考模型第2局部:平安體系結(jié)構(gòu)?等同于ISO7498-2概述目的：是讓異構(gòu)型計(jì)算機(jī)系統(tǒng)的互連能到達(dá)應(yīng)用進(jìn)程之間的有效通信。任務(wù):a.提供平安效勞與有關(guān)機(jī)制的一般描述b.確定在參考模型內(nèi)部可以提供這些效勞與機(jī)制的位置三維結(jié)構(gòu)圖authenticationAccesscontrolDataintegrityDataconfidentialityNon-repudiationencipermentDigitalsignatureDataintegrityDataExchangeAccesscontrolTrafficPaddingRoutecontrolnotarizationApplicationlayerRepresentationlayerSessionlayerTransportlayerNetworklayerLinklayerPhysicallayerSecurityLabelDetectionSecurityAuditTrailSecurityRestorationTrustedfunctionality管理相關(guān)效勞相關(guān)平安效勞鑒別效勞authentication訪問(wèn)控制效勞Accesscontrol數(shù)據(jù)完整性效勞Dataintegrity數(shù)據(jù)機(jī)密性效勞Dataconfidentiality抗抵賴(lài)性效勞Non-repudiation提供對(duì)通信中的對(duì)等實(shí)體和數(shù)據(jù)來(lái)源的鑒別

對(duì)等實(shí)體鑒別數(shù)據(jù)原發(fā)鑒別這種效勞提供保護(hù)以對(duì)付OSI可訪問(wèn)資源的非授權(quán)使用。這種效勞對(duì)數(shù)據(jù)提供保護(hù)使之不被非授權(quán)地泄露連接機(jī)密性無(wú)連接機(jī)密性選擇字段機(jī)密性通信業(yè)務(wù)流機(jī)密性這種效勞對(duì)付主動(dòng)威脅,可取如下所述的各種形式之一。帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段的連接完整性無(wú)連接完整性選擇字段無(wú)連接完整性這種效勞可取如下兩種形式,或兩者之一有數(shù)據(jù)原發(fā)證明的抗抵賴(lài)有交付證明的抗抵賴(lài)效勞相關(guān)：特定的平安機(jī)制加密數(shù)字簽名數(shù)據(jù)完整訪問(wèn)控制鑒別交換為數(shù)據(jù)或業(yè)務(wù)流提供機(jī)密性。加密算法可逆：對(duì)稱(chēng)加密、非對(duì)稱(chēng)加密不可逆密鑰管理確定兩個(gè)過(guò)程:a.對(duì)數(shù)據(jù)單元簽名b.驗(yàn)證簽過(guò)名的數(shù)據(jù)單元。防止對(duì)資源的未授權(quán)使用,可以建立在使用以下所舉的一種或多種手段之上:訪問(wèn)控制信息庫(kù)鑒別信息權(quán)力平安標(biāo)記試圖訪問(wèn)的時(shí)間試圖訪問(wèn)的路由訪問(wèn)持續(xù)期。數(shù)據(jù)完整性有兩個(gè)方面單個(gè)數(shù)據(jù)單元或字段的完整性數(shù)據(jù)單元流或字段流的完整性。

通信業(yè)務(wù)流填充路由選擇控制公證通過(guò)信息交換來(lái)保證實(shí)體身份。a.使用鑒別信息,例如口令,由發(fā)送實(shí)體提供而由接收實(shí)體驗(yàn)證;b.密碼技術(shù);c.使用該實(shí)體的特征或占有物。

制造通信的假實(shí)例,產(chǎn)生欺騙性數(shù)據(jù)單元或數(shù)據(jù)單元中的偽數(shù)據(jù)。用來(lái)抵抗通信業(yè)務(wù)分析，只有在通信業(yè)務(wù)填充受到機(jī)密效勞保護(hù)時(shí)才是有效的。在路由選擇過(guò)程中應(yīng)用規(guī)那么,以便具體地選取或回避某些網(wǎng)絡(luò)、鏈路或中繼。由可信賴(lài)的第三方對(duì)數(shù)據(jù)進(jìn)行登記,以便保證數(shù)據(jù)的特征如內(nèi)容,原發(fā),時(shí)間,交付等的準(zhǔn)確性不致改變。OSI效勞和平安機(jī)制間關(guān)系服務(wù)機(jī)制加密數(shù)字簽字訪問(wèn)控制數(shù)據(jù)完整性鑒別交換通信業(yè)務(wù)填充路由控制公證對(duì)等實(shí)體鑒別數(shù)據(jù)原發(fā)鑒別訪問(wèn)控制服務(wù)連接機(jī)密性無(wú)連接機(jī)密性選擇字段機(jī)密性通信業(yè)務(wù)流機(jī)密性帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無(wú)連接完整性選擇字段無(wú)連接完整性抗抵賴(lài)，帶數(shù)據(jù)原發(fā)證據(jù)抗抵賴(lài)，帶交付證據(jù)平安效勞同ISO協(xié)議層關(guān)系安全服務(wù)協(xié)議層1234567對(duì)等實(shí)體鑒別數(shù)據(jù)原發(fā)鑒別訪問(wèn)控制服務(wù)連接機(jī)密性無(wú)連接機(jī)密性選擇字段機(jī)密性通信業(yè)務(wù)流機(jī)密性帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無(wú)連接完整性選擇字段無(wú)連接完整性抗抵賴(lài)，帶數(shù)據(jù)原發(fā)證據(jù)抗抵賴(lài)，帶交付證據(jù)平安體系〔二〕：CCISO15408:1999，GB/T18336:2001，通常簡(jiǎn)稱(chēng)CC－通用準(zhǔn)那么定義了評(píng)估信息技術(shù)產(chǎn)品和系統(tǒng)平安性所需的根底準(zhǔn)那么，是度量信息技術(shù)平安性的基準(zhǔn)；國(guó)際標(biāo)準(zhǔn)化組織統(tǒng)一現(xiàn)有多種準(zhǔn)那么的努力；1993年開(kāi)始，1996年出V1.0,1998年出V2.0；1999年5月，成為ISO-15408；主要思想和框架取自ITSEC和FC；充分突出“保護(hù)輪廓PP〞，將評(píng)估過(guò)程分為“功能〞和“保證〞兩局部；是目前最全面的評(píng)價(jià)準(zhǔn)那么；描述IT產(chǎn)品/系統(tǒng)平安要求的統(tǒng)一語(yǔ)言IT平安要求的目錄對(duì)已有平安準(zhǔn)那么的總結(jié)和兼容靈活的架構(gòu)，可以定義自己的要求擴(kuò)展CC要求分為3個(gè)局部：第一局部：簡(jiǎn)介和一般模型第二局部：平安功能要求第三局部：平安保證要求評(píng)估保證級(jí)別EAL2結(jié)構(gòu)測(cè)試級(jí)EAL1功能測(cè)試級(jí)EAL3方法測(cè)試和校驗(yàn)級(jí)EAL4系統(tǒng)地設(shè)計(jì)、測(cè)試和評(píng)審級(jí)EAL5半形式化設(shè)計(jì)和測(cè)試級(jí)EAL6半形式化驗(yàn)證的設(shè)計(jì)和測(cè)試級(jí)EAL7形式化驗(yàn)證的設(shè)計(jì)和測(cè)試級(jí)平安體系〔三〕：ISMS信息平安管理體系〔InformationSecurityManagementSystem，ISMS〕是系統(tǒng)地對(duì)組織的敏感信息進(jìn)行管理，涉及到人、程序和信息技術(shù)(IT)的系統(tǒng)。是在信息平安方面指揮和控制組織以實(shí)現(xiàn)信息平安目標(biāo)的相互關(guān)聯(lián)和相互作用的一組要素。信息平安目標(biāo)應(yīng)是可測(cè)量的要素可能包括信息平安方針、策略信息平安組織結(jié)構(gòu)各種活動(dòng)、過(guò)程信息平安控制措施人力、物力等資源………相關(guān)標(biāo)準(zhǔn)ISO17799:2000信息技術(shù)-信息平安管理實(shí)施規(guī)那么采納BS7799-1:1999，為如何進(jìn)行平安管理實(shí)踐的指導(dǎo)ISO17799:2000：10類(lèi)控制域，36個(gè)控制目標(biāo)，127項(xiàng)控制措施ISO17799:2005：11個(gè)控制域，39個(gè)控制目標(biāo)，133個(gè)控制措施預(yù)計(jì)2007年將更名為ISO27002ISO27001:2005信息技術(shù)-平安技術(shù)-信息平安管理體系要求采納BS7799-2:1999〔->BS7799-2:2002〕，為建立信息平安管理體系必須符合的要求ISO17799一、安全方針（SecurityPolicy）（1,2）（附注）二、安全組織（SecurityOrganization）(3,10)三、資產(chǎn)分類(lèi)與控制(AssetclassificationandControl)(2,3)四、人員安全(PersonnelSecurity)(3,10)五、物理與環(huán)境安全(PhysicandEnvironmentSecurity)(3,13)六、通信與運(yùn)行管理(CommunicationandOperationManagement)(7,24)八、系統(tǒng)開(kāi)發(fā)與維護(hù)(Systemdevelopandmaintenance)(5,18)七、訪問(wèn)控制(Accesscontrol)(8,31)九、業(yè)務(wù)持續(xù)性管理(Businesscontinuitymanagement)(1,5)十、符合性(Compliance)(3,11)附注：(m，n)－m：執(zhí)行目標(biāo)的數(shù)目n：控制方法的數(shù)目ISO27001PDCA循環(huán)Plan—Do—Check—Act又稱(chēng)“戴明環(huán)〞,是能使任何一項(xiàng)活動(dòng)有效進(jìn)行的工作程序:P方案〔建立ISMS〕根據(jù)組織的整體方針和目標(biāo)，建立平安策略、目標(biāo)以及與管理風(fēng)險(xiǎn)和改進(jìn)信息平安相關(guān)的過(guò)程和程序，以獲得結(jié)果。D實(shí)施〔實(shí)施和運(yùn)行ISMS〕實(shí)施和運(yùn)行平安策略、控制、過(guò)程和程序。C檢查〔監(jiān)視和評(píng)審ISMS〕適用時(shí)，根據(jù)平安策略、目標(biāo)和慣有經(jīng)驗(yàn)評(píng)估和測(cè)量過(guò)程業(yè)績(jī)，向管理層報(bào)告結(jié)果，進(jìn)行評(píng)審。A改進(jìn)〔保持和改進(jìn)ISMS〕根據(jù)內(nèi)部ISMS審核和管理評(píng)審或其他信息，采取糾正和預(yù)防措施，以實(shí)現(xiàn)ISMS的持續(xù)改進(jìn)建立ISMS的步驟第六步第五步第四步第三步第二步威脅、漏洞和影響機(jī)構(gòu)的風(fēng)險(xiǎn)管理方法所要求到達(dá)的保障程度17799-2〔BS7799〕中的第四章所列的平安控制目標(biāo)和措施不在BS7799的其它平安控制策略文件ISMS的范圍風(fēng)險(xiǎn)評(píng)估適用性說(shuō)明書(shū)信息資產(chǎn)結(jié)果與結(jié)論選定的控制選項(xiàng)選定的控制目標(biāo)及控制第一步定義策略定義信息平安管理系統(tǒng)〔ISMS〕的范圍進(jìn)行風(fēng)險(xiǎn)評(píng)估管理這些風(fēng)險(xiǎn)選擇控制目標(biāo)以及要實(shí)現(xiàn)的控制撰寫(xiě)適用性說(shuō)明書(shū)信息平安管理的過(guò)程網(wǎng)絡(luò)將相互關(guān)聯(lián)的過(guò)程作為一個(gè)系統(tǒng)來(lái)識(shí)別、理解和管理一個(gè)過(guò)程的輸出構(gòu)成隨后過(guò)程輸入的一局部過(guò)程之間的相互作用形成相互依賴(lài)的過(guò)程網(wǎng)絡(luò)PDCA循環(huán)可用于單個(gè)過(guò)程，也可用于整個(gè)過(guò)程網(wǎng)絡(luò)制定信息安全方針確定ISMS的范圍安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)管理選擇控制目標(biāo)和控制措施準(zhǔn)備適用聲明實(shí)施測(cè)量、改進(jìn)安全需求安全信息平安管理的四個(gè)重要原那么領(lǐng)導(dǎo)重視√組織保障√指明方向和目標(biāo)

√權(quán)威√預(yù)算保障，提供所需的資源√監(jiān)督檢查全員參與√信息平安不僅僅是IT部門(mén)的事√讓每個(gè)員工明白隨時(shí)都有信息平安問(wèn)題√每個(gè)員工都應(yīng)具備相應(yīng)的平安意識(shí)和能力√讓每個(gè)員工都明確自己承擔(dān)的信息平安責(zé)任持續(xù)改進(jìn)√實(shí)現(xiàn)信息平安目標(biāo)的循環(huán)活動(dòng)√信息平安是動(dòng)態(tài)的，時(shí)間性強(qiáng)√持續(xù)改進(jìn)才能有最大限度的平安√組織應(yīng)該為員工提供持續(xù)改進(jìn)的方法和手段文件化√文件的作用：有章可循，有據(jù)可查√文件的類(lèi)型：手冊(cè)、標(biāo)準(zhǔn)、指南、記錄信息平安管理的實(shí)踐經(jīng)驗(yàn)反映組織業(yè)務(wù)目標(biāo)的平安方針、目標(biāo)和活動(dòng)；符合組織文化的平安實(shí)施方法；管理層明顯的支持和承諾；平安需求、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)管理的正確理解；有效地向所有管理人員和員工推行平安措施；向所有的員工和簽約方提供本組織的信息平安方針與標(biāo)準(zhǔn)；提供適當(dāng)?shù)呐嘤?xùn)和教育；一整套用于評(píng)估信息平安管理能力和反響建議的測(cè)量系統(tǒng)系統(tǒng)平安工程能力成熟模型〔ISO21827〕適用于信息系統(tǒng)平安的工程組織、采購(gòu)組織和評(píng)估機(jī)構(gòu)。發(fā)起者美國(guó)國(guó)防部美國(guó)國(guó)家平安局開(kāi)發(fā)SSE-CMM的目的降低開(kāi)發(fā)和維護(hù)系統(tǒng)的花費(fèi)；提高工程進(jìn)度和預(yù)算的一致性；選擇適宜的承包者。11個(gè)過(guò)程域，5個(gè)能力級(jí)別平安體系〔四〕：SSE-CMM平安工程過(guò)程保證論據(jù)風(fēng)險(xiǎn)信息產(chǎn)品或效勞工程過(guò)程Engineering保證過(guò)程Assurance風(fēng)險(xiǎn)過(guò)程Risk風(fēng)險(xiǎn)PA04：評(píng)估威脅威脅信息threat脆弱性信息vulnerability影響信息impact風(fēng)險(xiǎn)信息PA05：評(píng)估脆弱性PA02：評(píng)估影響PA03：評(píng)估平安風(fēng)險(xiǎn)風(fēng)險(xiǎn)就是有害事件發(fā)生的可能性一個(gè)有害事件有三個(gè)局部組成：威脅、脆弱性和影響。工程平安工程與其它科目一樣，它是一個(gè)包括概念、設(shè)計(jì)、實(shí)現(xiàn)、測(cè)試、部署、運(yùn)行、維護(hù)、退出的完整過(guò)程。SSE-CMM強(qiáng)調(diào)平安工程是一個(gè)大的工程隊(duì)伍中的一局部，需要與其它科目工程師的活動(dòng)相互協(xié)調(diào)。PA10指定平安要求需求、策略等配置信息解決方案、指導(dǎo)等風(fēng)險(xiǎn)信息PA08監(jiān)視平安態(tài)勢(shì)PA07協(xié)調(diào)平安PA01管理平安控制PA09提供平安輸入保證證據(jù)證據(jù)保證論據(jù)PA11驗(yàn)證和證實(shí)平安指定平安要求其他多個(gè)PAPA06建立保證論據(jù)保證是指平安需要得到滿(mǎn)足的信任程度SSE-CMM的信任程度來(lái)自于平安工程過(guò)程可重復(fù)性的結(jié)果質(zhì)量。方案執(zhí)行標(biāo)準(zhǔn)化執(zhí)行跟蹤執(zhí)行驗(yàn)證執(zhí)行定義標(biāo)準(zhǔn)過(guò)程協(xié)調(diào)平安實(shí)施執(zhí)行已定義的過(guò)程建立可測(cè)量的質(zhì)量目標(biāo)客觀地管理過(guò)程的執(zhí)行1非正式執(zhí)行2方案與跟蹤3充分定義4量化控制5連續(xù)改進(jìn)執(zhí)行根本實(shí)施改進(jìn)組織能力改進(jìn)過(guò)程的有效性能力級(jí)別——

代表平安工程組織的成熟級(jí)別公共特性0未實(shí)施平安技術(shù)和產(chǎn)品平安技術(shù)和產(chǎn)品物理平安技術(shù)加密認(rèn)證訪問(wèn)控制平安審計(jì)防火墻VPN入侵檢測(cè)平安掃描病毒防護(hù)技術(shù)備份與恢復(fù)機(jī)房平安出入記錄報(bào)警系統(tǒng)：IC卡技術(shù)、指紋技術(shù)、虹膜技術(shù)、面紋技術(shù)等錄像監(jiān)控系統(tǒng)：報(bào)警系統(tǒng)：門(mén)磁窗磁、紅外報(bào)警機(jī)房屏蔽采用屏蔽室：不銹鋼絲網(wǎng)屏蔽室、鋼板屏蔽室、屏蔽門(mén)、屏蔽窗、通風(fēng)波導(dǎo)窗信號(hào)線的濾波電源線的濾波防電磁干擾和泄漏電源系統(tǒng)采用多路供電的方法，市電、動(dòng)力電、專(zhuān)有電網(wǎng)、UPS供電等多路電源同時(shí)接入。采用電源凈化系統(tǒng)。傳輸屏蔽屏蔽布線光纜傳輸終端設(shè)備輻射防范采用自噪聲干擾技術(shù)點(diǎn)相關(guān)加擾技術(shù)同步仿真干擾技術(shù)物理平安技術(shù)加密加密技術(shù)分類(lèi)：對(duì)稱(chēng)密鑰加密技術(shù)〔Symmetric〕非對(duì)稱(chēng)密鑰加密技術(shù)〔Asymmetric〕哈希加密技術(shù)〔Hash〕對(duì)稱(chēng)加密DES/3DESRC2、RC4、RC5、RC6IDEABlowfish和TwofishSkipjackMarsRijndael和SerpentAES:Rijndael允許建立128、192、256位密鑰多平臺(tái)支持〔智能卡、8/32/64位處理器〕速度快非對(duì)稱(chēng)加密三個(gè)普通的組件：RSA數(shù)字簽名算法〔DigitalSignatureAlgorithm〕Diffie-Hellma/Station-to-Station(STS)特點(diǎn)：使用密鑰對(duì)，一半用來(lái)加密、一半用來(lái)解密速度慢HASH加密HASH算法:MD2、MD4、MD5平安哈希算法SHA-1〔160位哈希值、抗攻擊能力強(qiáng)〕用MD5sum命令實(shí)現(xiàn)哈希算法：Host#md5sum/usr/sbin/named5we5odble392,eoc97mbmd0003ndodom3xep實(shí)用加密程序和協(xié)議IIS、PGPMicrosoftExchangeServer、Windows2000PGP/MIME和S/MIME平安HTTP〔SecureHTTP〕平安套接字層SSL加密強(qiáng)度算法強(qiáng)度 工業(yè)標(biāo)準(zhǔn)的算法密鑰的保密性 注意區(qū)分密鑰和算法〔后者不需保密〕密鑰的長(zhǎng)度 2的n次方種破解可能性. 2的40次－1，099，511，627，776加密的優(yōu)勢(shì)數(shù)據(jù)保密性確保只有特定的接受者才能查看內(nèi)容數(shù)據(jù)完整性通過(guò)Hash算法確保數(shù)據(jù)不被篡改認(rèn)證數(shù)字簽名提供認(rèn)證效勞不可否認(rèn)性數(shù)字簽名允許用戶(hù)證明信息交換確實(shí)發(fā)生過(guò)基于PKI的加密原理〔一〕Bob公鑰A私鑰BAlice公鑰Y私鑰ZBob給Alice的消息消息摘要隨機(jī)對(duì)稱(chēng)密鑰M被加密的文本被加密的摘要被加密的對(duì)稱(chēng)密鑰用隨機(jī)的對(duì)稱(chēng)密鑰M加密用Bob的私有密鑰B加密用Alice的對(duì)稱(chēng)密鑰Y加密基于PKI的加密原理〔二〕Bob公鑰Y私鑰ZAlice公鑰A私鑰BBob給Alice的消息消息摘要隨機(jī)對(duì)稱(chēng)密鑰M被加密的對(duì)稱(chēng)密鑰被加密的文本簽名用Alice的私有密鑰Z解密用隨機(jī)對(duì)稱(chēng)密鑰M解密用Bob的公用密鑰A解密消息摘要消息摘要算法認(rèn)證你知道什么密碼認(rèn)證 你有什么智能卡/數(shù)字證書(shū)

ISO7816

你是誰(shuí)

物理、遺傳或生物測(cè)定學(xué)

你在哪兒

源IP(用于rlogin,rsh)DNS反向查找認(rèn)證機(jī)制

基于口令、用戶(hù)名的身份認(rèn)證基于主體特征的身份認(rèn)證：如指紋基于IC卡+PIN號(hào)碼的認(rèn)證基于CA證書(shū)的身份認(rèn)證其他的認(rèn)證方式基于口令、用戶(hù)名的身份認(rèn)證UsernamePasswordPermissionroot~!@@#4RAdmin3458rRWwebmaste234REdd2342RWEServer

Enduser

Username=rootPassword=~!@##$發(fā)起訪問(wèn)請(qǐng)求基于口令、用戶(hù)名的簡(jiǎn)單身份鑒別驗(yàn)證用戶(hù)名與口令回應(yīng)訪問(wèn)請(qǐng)求，允許訪問(wèn)驗(yàn)證通過(guò)基于主體特征的身份認(rèn)證UsernameFeaturePermissionRootSdffRAdmin8990RWWeb8668REftp8965RWEServer

Workstation

傳送特征信息發(fā)起訪問(wèn)請(qǐng)求基于主體特征的身份鑒別驗(yàn)證用戶(hù)特征信息回應(yīng)訪問(wèn)請(qǐng)求，允許訪問(wèn)驗(yàn)證通過(guò)指紋識(shí)別器讀取特征信息獲得特征信息基于IC卡+PIN號(hào)碼的認(rèn)證UsernameInformationPermissionAdmin1234RRitt8990RWRoot8668REweb8965RWEServer

Workstation

傳送身份驗(yàn)證信息發(fā)起訪問(wèn)請(qǐng)求基于IC卡+PIN號(hào)碼的身份鑒別驗(yàn)證用戶(hù)身份回應(yīng)訪問(wèn)請(qǐng)求，允許訪問(wèn)驗(yàn)證通過(guò)讀卡器輸入PIN號(hào)碼插入IC卡讀取用戶(hù)信息獲得用戶(hù)信息基于CA證書(shū)的身份認(rèn)證基于CA證書(shū)的身份鑒別CA中心證書(shū)發(fā)布效勞器用戶(hù)證書(shū)服務(wù)器證書(shū)用戶(hù)證書(shū)傳送證書(shū)給對(duì)方用于身份認(rèn)證服務(wù)器證書(shū)傳送證書(shū)給對(duì)方用于身份認(rèn)證開(kāi)始數(shù)字證書(shū)的簽名驗(yàn)證開(kāi)始數(shù)字證書(shū)的簽名驗(yàn)證查找共同可信的CA查詢(xún)黑名單驗(yàn)證都通過(guò)查找共同可信的CA查詢(xún)黑名單驗(yàn)證通過(guò)開(kāi)始平安通訊特殊的認(rèn)證技術(shù)Kerberos美國(guó)麻省理工學(xué)院為Athena工程而設(shè)計(jì)的，為分布式計(jì)算環(huán)境提供一種平安的雙向身份認(rèn)證方法，并強(qiáng)調(diào)了客戶(hù)機(jī)對(duì)效勞器的認(rèn)證，而別的身份認(rèn)證技術(shù)往往只解決了效勞器對(duì)客戶(hù)機(jī)的認(rèn)證。Kerberos有效地防止了來(lái)自效勞器端身份冒領(lǐng)的欺騙。One-timepasswords在登錄過(guò)程中參加不確定因素，使每次登錄過(guò)程中傳送的信息都不相同，以提高登錄過(guò)程平安性。例如：登錄密碼為MD5(用戶(hù)名+密碼+時(shí)間)，系統(tǒng)接收到登錄口令后做—個(gè)運(yùn)算即可驗(yàn)證用產(chǎn)的合法性。訪問(wèn)控制訪問(wèn)控制機(jī)制確保每個(gè)系統(tǒng)只有它們想要的個(gè)體〔按照平安策略〕才能夠訪問(wèn)。訪問(wèn)控制發(fā)生在認(rèn)證過(guò)程之后，控制用戶(hù)在系統(tǒng)中能訪問(wèn)些什么，這種機(jī)制能用于賦予或拒絕權(quán)限。一個(gè)形象的比喻把訪問(wèn)控制看作是一個(gè)公司大樓的門(mén)禁系統(tǒng)。大多公司都有一個(gè)接待室并且任何人都能進(jìn)入，這個(gè)接待室可以看作是一個(gè)開(kāi)放的WEB效勞器，允許未授權(quán)的用戶(hù)訪問(wèn)其主頁(yè)。要進(jìn)入公司真正的辦公室，人們需要出示身份卡，只有經(jīng)過(guò)認(rèn)證的員工才能進(jìn)入辦公區(qū)域，根據(jù)不同的身份只能允許他們進(jìn)入相關(guān)的辦公室。所有的操作系統(tǒng)都支持訪問(wèn)控制，訪問(wèn)控制是保護(hù)效勞器的根本機(jī)制，你必須在效勞端上限制哪些用戶(hù)可以訪問(wèn)效勞和守護(hù)進(jìn)程。訪問(wèn)控制列表訪問(wèn)控制列表〔ACL〕信息系統(tǒng)把資源處理成有著某些特征和屬性的對(duì)象，資源可以是像打印機(jī)或磁盤(pán)這樣的設(shè)備，也可以是操作系統(tǒng)，應(yīng)用程序或內(nèi)存，計(jì)算機(jī)上的文件，等等，與這些資源平安相關(guān)的特性就是訪問(wèn)控制列表(ACL)。一個(gè)ACL是標(biāo)識(shí)個(gè)人用戶(hù)或組的清單，系統(tǒng)維護(hù)著一個(gè)ACL數(shù)據(jù)庫(kù)，每個(gè)用戶(hù)或組都被分配一個(gè)訪問(wèn)級(jí)別，并根據(jù)這個(gè)數(shù)據(jù)庫(kù)所包含的內(nèi)容定義這些用戶(hù)或組能夠執(zhí)行什么。一個(gè)通過(guò)認(rèn)證的用戶(hù)仍必須通過(guò)ACL來(lái)取得相應(yīng)的權(quán)限。執(zhí)行控制列表執(zhí)行控制列表(ECL)限制應(yīng)用程序運(yùn)行時(shí)可以操作的資源和行為。用于特殊的應(yīng)用程序，如NetscapeNavigator，微軟的InternetExplorer，IBM的Notes。沒(méi)有商業(yè)的操作系統(tǒng)或平臺(tái)實(shí)施一個(gè)完全的ECL策略。UNIX系統(tǒng)包含了一些對(duì)于rexec，rlogin和rshell程序的執(zhí)行控制列表版本。這些程序都使用執(zhí)行控制列表來(lái)確定在主機(jī)A上的哪些用戶(hù)可以在不登陸的情況下在B主機(jī)上執(zhí)行程序。但是這種形式的執(zhí)行控制列表只能在遠(yuǎn)程系統(tǒng)上工作。執(zhí)行控制列表的一個(gè)好處就是能對(duì)于那些惡意的ActiveX控件程序的破壞起到一定的保護(hù)作用。例如，你可以進(jìn)一步地控制.java小程序。軟件商們已開(kāi)始開(kāi)發(fā)能夠執(zhí)行更多任務(wù)的ECL程序，來(lái)允許用戶(hù)自己決定程序的參數(shù)。審計(jì)多數(shù)系統(tǒng)以日志文件的形式記錄下所有的活動(dòng)，幫助判斷是否發(fā)生了不允許的活動(dòng)以及是怎樣發(fā)生的。被動(dòng)審計(jì)簡(jiǎn)單的記錄一些活動(dòng)，不作處理；非實(shí)時(shí)檢測(cè)，必須查看這些日志然后根據(jù)其包含的內(nèi)容采取措施。主動(dòng)審計(jì)主動(dòng)地響應(yīng)非法訪問(wèn)和入侵結(jié)束一個(gè)登陸會(huì)話拒絕一些主機(jī)的訪問(wèn)(包括WEB站點(diǎn)，F(xiàn)TP效勞器和e-mail效勞器)跟蹤非法活動(dòng)的源位置從邏輯上講，防火墻既是一個(gè)別離器、限制器也是一個(gè)分析器，有效地監(jiān)控內(nèi)外網(wǎng)之間的任何活動(dòng)；從具體實(shí)現(xiàn)上講，防火墻是一個(gè)獨(dú)立的進(jìn)程或一組緊密聯(lián)系的進(jìn)程，運(yùn)行在路由器或效勞器上；定義：防火墻是位于兩個(gè)或多個(gè)網(wǎng)絡(luò)之間，執(zhí)行訪問(wèn)控制策略的一個(gè)或一組系統(tǒng)，是一類(lèi)防范措施的總稱(chēng)。防火墻根本要求：內(nèi)部和外部之間的所有網(wǎng)絡(luò)數(shù)據(jù)流必須經(jīng)過(guò)防火墻；只有符合平安政策的數(shù)據(jù)流才能通過(guò)防火墻；防火墻自身應(yīng)對(duì)滲透(penetration)免疫。防火墻內(nèi)部可信任網(wǎng)絡(luò)外部非信任網(wǎng)絡(luò)防火墻的根本作用Internet防火墻過(guò)濾進(jìn)出網(wǎng)絡(luò)的非法數(shù)據(jù)防火墻的其它作用 確保一個(gè)單位內(nèi)的網(wǎng)絡(luò)與因特網(wǎng)的通信符合該單位的平安方針，為管理人員提供以下問(wèn)題的答案: –誰(shuí)在使用網(wǎng)絡(luò)？ –他們?cè)诰W(wǎng)絡(luò)上做什么？

–他們什么時(shí)間使用了網(wǎng)絡(luò)？ –他們上網(wǎng)去了何處？ –誰(shuí)要上網(wǎng)沒(méi)有成功？管理進(jìn)出網(wǎng)絡(luò)的訪問(wèn)行為3.封堵某些不平安的效勞如NIS、NFS4.記錄通過(guò)防火墻的訪問(wèn)行為和信息內(nèi)容5.對(duì)網(wǎng)絡(luò)攻擊進(jìn)行檢測(cè)和告警防火墻的其它作用防火墻的分類(lèi)體系結(jié)構(gòu)屏蔽路由器防火墻雙宿主主機(jī)防火墻被屏蔽主機(jī)防火墻被屏蔽子網(wǎng)防火墻實(shí)現(xiàn)技術(shù)包過(guò)濾防火墻應(yīng)用代理防火墻電路網(wǎng)關(guān)防火墻作用在網(wǎng)絡(luò)層和傳輸層，根據(jù)分組包頭源地址，目的地址和端口號(hào)、協(xié)議類(lèi)型等標(biāo)志確定是否允許數(shù)據(jù)包通過(guò)。只有滿(mǎn)足過(guò)濾邏輯的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)目的地的出口端，其余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄。作用在應(yīng)用層，其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流，通過(guò)對(duì)每種應(yīng)用服務(wù)編制專(zhuān)門(mén)的代理程序，實(shí)現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。又稱(chēng)應(yīng)用網(wǎng)關(guān)。工作在會(huì)話層，可以看成是傳輸層TCP協(xié)議的代理網(wǎng)關(guān)，監(jiān)控內(nèi)外網(wǎng)主機(jī)間的TCP握手信息，轉(zhuǎn)發(fā)合法的會(huì)話(Session)數(shù)據(jù)包。又稱(chēng)電路中繼(CircuitRelay)或TCP代理（TCP－Proxy）。使用單個(gè)具有包過(guò)濾功能的路由器。使用具有兩個(gè)網(wǎng)絡(luò)接口分別連接內(nèi)外網(wǎng)的一臺(tái)主機(jī)，可提供從包過(guò)濾到應(yīng)用代理的安全功能。由一個(gè)具有包過(guò)濾功能的屏蔽路由器和一個(gè)運(yùn)行代理服務(wù)的雙宿主主機(jī)組成

。由兩臺(tái)屏蔽路由器和一臺(tái)運(yùn)行代理服務(wù)的雙宿主主機(jī)構(gòu)成?；诼酚善鞯姆阑饓⑦^(guò)濾功能從路由器中獨(dú)立出來(lái)，并加上審計(jì)和告警功能針對(duì)用戶(hù)需求，提供模塊化的軟件包軟件可通過(guò)網(wǎng)絡(luò)發(fā)送，用戶(hù)可根據(jù)需要構(gòu)造防火墻與第一代防火墻相比，平安性提高了，價(jià)格降低了利用路由器本身對(duì)分組的解析,進(jìn)行分組過(guò)濾過(guò)濾判斷依據(jù)：地址、端口號(hào)、IP旗標(biāo)及其它網(wǎng)絡(luò)特征防火墻與路由器合為一體，只有過(guò)濾功能適用于對(duì)平安性要求不高的網(wǎng)絡(luò)環(huán)境是批量上市的專(zhuān)用防火墻產(chǎn)品包括分組過(guò)濾或者借用路由器的分組過(guò)濾功能裝有專(zhuān)用的代理系統(tǒng)，監(jiān)控所有協(xié)議的數(shù)據(jù)和指令保護(hù)用戶(hù)編程空間和用戶(hù)可配置內(nèi)核參數(shù)的設(shè)置平安性和速度大為提高。防火墻廠商具有操作系統(tǒng)的源代碼，并可實(shí)現(xiàn)平安內(nèi)核去掉了不必要的系統(tǒng)特性，加固內(nèi)核，強(qiáng)化平安保護(hù)在功能上包括了分組過(guò)濾、應(yīng)用網(wǎng)關(guān)、電路級(jí)網(wǎng)關(guān)增加了許多附加功能：加密、鑒別、審計(jì)、NAT轉(zhuǎn)換透明性好，易于使用基于安全操作系統(tǒng)的防火墻基于通用操作系統(tǒng)的防火墻用戶(hù)化的防火墻工具套防火墻的開(kāi)展防火墻的體系結(jié)構(gòu)傳統(tǒng)防火墻技術(shù)：簡(jiǎn)單包過(guò)濾技術(shù)狀態(tài)檢測(cè)包過(guò)濾技術(shù)應(yīng)用代理技術(shù)目前市場(chǎng)上主流產(chǎn)品的形態(tài)：集成了狀態(tài)檢測(cè)包過(guò)濾和應(yīng)用代理的混合型產(chǎn)品簡(jiǎn)單包過(guò)濾PacketFilter優(yōu)點(diǎn)：速度快，性能高對(duì)應(yīng)用程序透明實(shí)現(xiàn)簡(jiǎn)單缺點(diǎn)：平安性比較差伸縮性差維護(hù)不直觀從網(wǎng)段到Internet的HTTP訪問(wèn)？放行/禁止通行！狀態(tài)檢測(cè)技術(shù)StatefulInspection協(xié)議源地址目的地址SYNACKTCP:3456:8010002000應(yīng)用網(wǎng)關(guān)〔代理〕型Proxy優(yōu)點(diǎn)：平安性非常高提供給用層的平安提供用戶(hù)級(jí)的控制缺點(diǎn)：性能很差只支持有限的應(yīng)用對(duì)用戶(hù)不透明平安性依賴(lài)于底層OS一般用于代理內(nèi)部網(wǎng)到外部網(wǎng)的訪問(wèn)想從內(nèi)部網(wǎng)訪問(wèn)外部的效勞器？我?guī)湍惆l(fā)請(qǐng)求吧。防火墻的功能——訪問(wèn)控制進(jìn)行訪問(wèn)規(guī)那么檢查發(fā)起訪問(wèn)請(qǐng)求合法請(qǐng)求那么允許對(duì)外訪問(wèn)將訪問(wèn)記錄寫(xiě)進(jìn)日志文件合法請(qǐng)求那么允許對(duì)外訪問(wèn)發(fā)起訪問(wèn)請(qǐng)求防火墻在此處的功能：1、工作子網(wǎng)與外部子網(wǎng)的物理隔離2、訪問(wèn)控制3、對(duì)工作子網(wǎng)做NAT地址轉(zhuǎn)換4、日志記錄

Internet區(qū)域Internet邊界路由器DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)內(nèi)部工作子網(wǎng)與外網(wǎng)的訪問(wèn)控制

Internet區(qū)域Internet邊界路由器進(jìn)行訪問(wèn)規(guī)那么檢查發(fā)起訪問(wèn)請(qǐng)求合法請(qǐng)求那么允許對(duì)外訪問(wèn)將訪問(wèn)記錄寫(xiě)進(jìn)日志文件禁止對(duì)外發(fā)起連結(jié)請(qǐng)求發(fā)起訪問(wèn)請(qǐng)求防火墻在此處的功能：1、DMZ網(wǎng)段與外部子網(wǎng)的物理隔離2、訪問(wèn)控制3、對(duì)DMZ子網(wǎng)做MAP映射4、日志記錄DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)DMZ區(qū)域與外網(wǎng)的訪問(wèn)控制防火墻的功能——訪問(wèn)控制進(jìn)行訪問(wèn)規(guī)那么檢查發(fā)起訪問(wèn)請(qǐng)求合法請(qǐng)求那么允許對(duì)外訪問(wèn)將訪問(wèn)記錄寫(xiě)進(jìn)日志文件禁止對(duì)工作子網(wǎng)發(fā)起連結(jié)請(qǐng)求防火墻在此處的功能：1、DMZ網(wǎng)段與工作子網(wǎng)的物理隔離2、訪問(wèn)控制3、日志記錄發(fā)起訪問(wèn)請(qǐng)求

Internet區(qū)域Internet邊界路由器DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)內(nèi)部工作子網(wǎng)與DMZ區(qū)的訪問(wèn)控制防火墻的功能——訪問(wèn)控制防火墻的功能——地址轉(zhuǎn)換目的解決IP地址空間缺乏問(wèn)題將現(xiàn)有的私有TCP/IP網(wǎng)絡(luò)連接到公共網(wǎng)絡(luò)時(shí)的IP編址問(wèn)題向外界隱藏內(nèi)部網(wǎng)結(jié)構(gòu)方式靜態(tài)轉(zhuǎn)換1-1：簡(jiǎn)單的地址翻譯動(dòng)態(tài)轉(zhuǎn)換M-N：多個(gè)內(nèi)部網(wǎng)地址翻譯到N個(gè)外部IP地址池端口映射〔PAT〕M-1：多個(gè)內(nèi)部網(wǎng)地址翻譯到1個(gè)外部IP地址負(fù)載均衡1-M：1個(gè)外部IP地址對(duì)應(yīng)多個(gè)內(nèi)部效勞器防火墻的其他功能身份認(rèn)證內(nèi)容過(guò)濾平安審計(jì)防火墻的作用STOP!阻止非法進(jìn)入1.驗(yàn)明正身2.檢查權(quán)限防火墻辦不到的事病毒等惡性程序可利用email夾帶等攻擊形式夾帶闖關(guān)、入侵成功！VPN(VirtualPrivateNetwork)指的是以公用開(kāi)放的網(wǎng)絡(luò)(如Internet)作為根本傳輸媒體，通過(guò)加密和驗(yàn)證網(wǎng)絡(luò)流量來(lái)保護(hù)在公共網(wǎng)絡(luò)上傳輸?shù)乃接行畔⒉粫?huì)被竊取和篡改，從而向最終用戶(hù)提供類(lèi)似于私有網(wǎng)絡(luò)(PrivateNetwork)性能的網(wǎng)絡(luò)效勞技術(shù)。遠(yuǎn)程訪問(wèn)Internet內(nèi)部網(wǎng)分支機(jī)構(gòu)虛擬私有網(wǎng)虛擬私有網(wǎng)虛擬私有網(wǎng)合作伙伴虛擬專(zhuān)用網(wǎng)〔VPN〕VPN技術(shù)的分類(lèi)OSI七層模型VPN技術(shù)應(yīng)用層S-HTTP/S-MIME表示層會(huì)話層SOCKSv5傳輸層SSL/TLS網(wǎng)絡(luò)層GRE/IPSEC/MPLS數(shù)據(jù)鏈路層PPTP/L2F/L2TP物理層信道加密信源加密IPSECVPNIPv4本身并不具任何平安特性，很容易便可偽造出IP包的地址、修改其內(nèi)容、重播以前的包以及在傳輸途中攔截并查看包的內(nèi)容。IPSec解決IPv4以下平安需求：數(shù)據(jù)機(jī)密性/有限的數(shù)據(jù)流機(jī)密性：隱藏明文數(shù)據(jù)內(nèi)容或整個(gè)IP包，通?？考用軄?lái)實(shí)現(xiàn)；數(shù)據(jù)完整性驗(yàn)證：證實(shí)數(shù)據(jù)報(bào)文的內(nèi)容在傳輸過(guò)程中沒(méi)被修改正，無(wú)論是被成心改動(dòng)或是由于發(fā)生了隨機(jī)的傳輸錯(cuò)誤；數(shù)據(jù)源的身份認(rèn)證：證實(shí)數(shù)據(jù)報(bào)文是所聲稱(chēng)的發(fā)送者發(fā)出的；抗重放攻擊保護(hù)：保證攻擊者不能截獲數(shù)據(jù)報(bào)文后某個(gè)時(shí)間再重新發(fā)放數(shù)據(jù)報(bào)文〔改動(dòng)過(guò)或未改動(dòng)過(guò)〕；自動(dòng)的密鑰管理和平安關(guān)聯(lián)管理：保證只需少量或根本不需要手工配置，就可以在擴(kuò)展的網(wǎng)絡(luò)上方便精確地實(shí)現(xiàn)公司的虛擬使用網(wǎng)絡(luò)方針。數(shù)據(jù)機(jī)密性保護(hù)撥號(hào)效勞器PSTN

Internet區(qū)域Internet邊界路由器內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)下屬機(jī)構(gòu)DDN/FRX.25專(zhuān)線DMZ區(qū)域WWWMailDNS密文傳輸明文傳輸明文傳輸數(shù)據(jù)完整性保護(hù)內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)下屬機(jī)構(gòu)DDN/FRX.25專(zhuān)線原始數(shù)據(jù)包對(duì)原始數(shù)據(jù)包進(jìn)行Hash加密后的數(shù)據(jù)包摘要Hash摘要對(duì)原始數(shù)據(jù)包進(jìn)行加密加密后的數(shù)據(jù)包加密加密后的數(shù)據(jù)包摘要加密后的數(shù)據(jù)包摘要摘要解密原始數(shù)據(jù)包Hash原始數(shù)據(jù)包與原摘要進(jìn)行比較，驗(yàn)證數(shù)據(jù)的完整性數(shù)據(jù)源身份認(rèn)證內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)下屬機(jī)構(gòu)DDN/FRX.25專(zhuān)線原始數(shù)據(jù)包對(duì)原始數(shù)據(jù)包進(jìn)行HashHash摘要加密摘要摘要取出DSS原始數(shù)據(jù)包Hash原始數(shù)據(jù)包兩摘要相比較私鑰原始數(shù)據(jù)包DSSDSS將數(shù)字簽名附在原始包后面供對(duì)方驗(yàn)證簽名得到數(shù)字簽名原始數(shù)據(jù)包DSS原始數(shù)據(jù)包DSSDSS解密相等嗎？驗(yàn)證通過(guò)VPN根本功能特性Web、Mail效勞器等因特網(wǎng)分支機(jī)構(gòu)加密隧道&1%$*)!？？？平安區(qū)域劃分增強(qiáng)內(nèi)網(wǎng)平安VPN網(wǎng)關(guān)保護(hù)內(nèi)網(wǎng)及信息傳輸平安……工作站域效勞器域VPN網(wǎng)關(guān)間建立加密隧道VPN移動(dòng)客戶(hù)端保證移動(dòng)辦公平安入侵檢測(cè)系統(tǒng)〔IDS〕入侵行為——對(duì)信息系統(tǒng)資源的非授權(quán)使用，它可以造成系統(tǒng)數(shù)據(jù)的喪失和破壞、可以造成系統(tǒng)拒絕對(duì)合法用戶(hù)效勞等危害。入侵檢測(cè)——對(duì)指向計(jì)算機(jī)網(wǎng)絡(luò)資源的惡意行為的識(shí)別和響應(yīng)的過(guò)程。入侵檢測(cè)系統(tǒng)——是通過(guò)從計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的假設(shè)干關(guān)鍵點(diǎn)收集信息并對(duì)其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反平安策略的行為和遭到襲擊的跡象的一種平安技術(shù)?！睮CSA入侵檢測(cè)系統(tǒng)論壇〕是一套監(jiān)控和識(shí)別計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中發(fā)生的事件，根據(jù)規(guī)那么進(jìn)行平安審計(jì)和響應(yīng)的軟件或硬件系統(tǒng)。為什么需要IDS？防火墻不能保證絕對(duì)的平安可以阻止一類(lèi)人群的進(jìn)入，但無(wú)法阻止混淆一類(lèi)人群中的破壞分子。不能防范利用效勞器漏洞或通信協(xié)議的缺陷進(jìn)行的攻擊。一般不提供對(duì)內(nèi)網(wǎng)攻擊的防范。策略配置不當(dāng)或自身漏洞會(huì)導(dǎo)致平安隱患。不能防范內(nèi)部用戶(hù)主動(dòng)泄密的行為。無(wú)法防范數(shù)據(jù)驅(qū)動(dòng)型的攻擊。確保網(wǎng)絡(luò)的平安,就要對(duì)網(wǎng)絡(luò)系統(tǒng)內(nèi)部通信進(jìn)行實(shí)時(shí)的檢測(cè),這就需要IDS無(wú)時(shí)不在的防護(hù)！數(shù)據(jù)驅(qū)動(dòng)型攻擊訪