信息系统及其安全对抗-结课论文

1、 研究生课程结课论文论文名称：课程名称：信息系统及其安全对抗任课教师：学生姓名：学 号：学 院：信息与电子学院专 业：目 录 TOC o 1-2 h z u HYPERLINK l _Toc403160730 1引言 PAGEREF _Toc403160730 h 3 HYPERLINK l _Toc403160731 2课程核心内容 PAGEREF _Toc403160731 h 3 HYPERLINK l _Toc403160732 3系统架构 PAGEREF _Toc403160732 h 3 HYPERLINK l _Toc403160733 4系统不安全因素分析 PAGEREF _T

2、oc403160733 h 3 HYPERLINK l _Toc403160734 5信息安全保障体系设计 PAGEREF _Toc403160734 h 3 HYPERLINK l _Toc403160735 6信息安全与对抗基础层和系统层原理分析 PAGEREF _Toc403160735 h 3 HYPERLINK l _Toc403160736 7信息安全与对抗原理性技术性方法分析 PAGEREF _Toc403160736 h 3 HYPERLINK l _Toc403160737 8参考文献 PAGEREF _Toc403160737 h 3引言校园网络是实现高校教育信息化的重要设

3、施。一个良好的校园网络不仅成为学校内部管理、培养高素质人才的基础平台，也成为高校提高自身科研效率和创新能力的必备条件。经过多年的建设，国内大多数高校都建成了自己的校园网络，由于高校的环境特别适合以太交换网技术的应用，所以几乎所有高校在网络建设时都采用了高带宽的以太交换机基于二层或三层组网技术来组建自己的园区网络，具有低延时、高带宽的校园网络应用起来本该一帆风顺，然而实际情况并非如此。 随着近几年高校扩招，各个高校的学生和师生人数急剧扩张，使得初期相对简单的校园网络架构已无法满足其需求学校内部的网络在某种程度上已经超越了一般意义上的校园内网。随着计算机病毒传播及黑客攻击手段越来越智能，影响范围也

4、越来越广，破坏力也越来越大。计算机病毒和局域网中常见的ARP攻击等破坏，随时都可能导致部分或整个网络中断或瘫痪，严重影响高校网络的有效使用。因此本文详细分析了现在校园网络存在的不安全因素，同时，针对这些不足，结合信息安全与对抗的原理性和技术性方法，本着结合实际、讲求使用，高标准、低投入、易管理和维护的原则，设计了一种信息安全保障体系，该体系同时保持系统的可扩充性，具有实际价值。课程核心内容信息安全及其安全对抗这门课程从是基于现代系统理论，结合自组织、耗散结构以及从定性到定量综合集成的研讨方法，主要突出了安全与对抗领域的基本概念、基本原理和基本方法，重点构建并讲授了现代系统理论的基本内容、信息及

5、信息系统、信息安全与对抗的系统概述、信息安全与对抗的基本原理、信息安全与对抗的原理与技术性方法等，并多以实例说明这些原理和方法在信息系统安全对抗中的具体体现和应用。而本文正好就以校园建设为例，详细的介绍了信息安全与对抗在改进校园网建设的过程中的重要作用。其中著名的“在共道基础上反其道而行之（相反相成）”原理，也在设计校园网信息安全保障体系中彰显。系统架构图1 网络拓扑系统不安全因素分析网络安全不单是单点的安全，而是整个信息网的安全，需要从物理、网络、系统、应用和管理方面进行立体的防护。要知道如何防护，首先需要了解安全风险来自于何处。网络安全系统必须包括技术和管理两方面，涵盖物理层、系统层、网络

6、层、应用层和管理层各个层面上的诸多风险类。风险分析是网络安全防护的基础，也是网络安全技术需要提供的一个重要功能。它要连续不断地对网络中的消息和事件进行检测，对系统受到侵扰和破坏的风险进行分析。风险分析必须包括网络中所有有关的成分。物理层安全风险网络的物理层安全风险主要指网络周边环境和物理特性引起的网络设备和线路的阻断，进而造成网络系统的阻断。包括以下内容： 1、设备被盗，被毁坏；2、链路老化或被有意或者无意的破坏; 3、因电磁辐射造成信息泄露； 4、地震、火灾、水灾等自然灾害。网络层安全风险网络层中的安全风险，主要指数据传输、网络边界、网络设备等所引发的安全风险。数据传输风险分析数据在网络传输

7、过程中，如果不采取保护措施，就有可能被窃听、篡改和破坏，如采用搭线窃听、在交换机或集线器上连接一个窃听设备等。对高校而言，比较多的风险是：私自将多个用户通过交换机接入网络，获得上网服务。假冒合法的MAC、IP地址获得上网服务。网络边界风险分析不同的网络功能区域之间存在网络边界。如果在网络边界上没有强有力的控制，则网络之间的非法访问或者恶意破坏就无法避免。对于高校而言，整个校园网和INTERNET的网络边界存在很大风险。由于学校对INTERNET开放了WWW、EMAIL等服务，如果控制不好，这些服务器有面临黑客攻击的危险。网络设备风险分析 由于高校校园网络使用大量的网络设备，这些设备自身的安全性

8、也是要考虑的问题之一，它直接关系到各种网络应用能否正常、高效地运转。交换机和路由器设备如果配置不当或者配置信息改动，会引起信息的泄露，网络瘫痪等后果。系统安全风险系统层的安全风险主要指操作系统、数据库系统以及相关商用产品的安全漏洞和病毒威胁。目前，高校网络中操作系统有WINDOWS系列和类UNIX系列，大都没有作过安全漏洞修补，极易遭受黑客攻击和病毒侵袭，对网络安全是一个高风险。病毒入侵计算机病毒大多都是利用操作系统本身的漏洞，它的种类繁多，并且传播快，具有破坏性、隐蔽性和传播性等特点。网络病毒的爆发其后果轻则占用计算机硬盘空间。大量占用系统资源；重则既破坏硬盘数据，如擦除主板BIOS芯片内容

9、，使机器不能继续使用；有些还会直接导致校园网重要数据被外泄甚至被改写；病毒在校园网内的大量快速的传播使得校园网的带宽被病毒大量占用，使网络速度骤降。而校园网中，U盘等移动存储设备的使用，共享文件资 源，电子邮件传输等都为病毒的传播提供了有利条件。软件漏洞服务器程序、客户端软件还是操作系统，只要是用代码编写的东西，都会存在不同程度的缺陷或漏洞，这些漏洞就容易 被“黑客”以及木马利用，窃取用户帐号，修改web贞面发送垃圾邮件等。软件系统配置系统配置方面的威胁主要是由于管理员及用户的懒散以及安全意识不强造成的。许多系统安装后都有默认设置，多数用户都 直接使用默认配置省事。然而。默认设置大都设计便于初

10、级用户使用。因此安全性不强，也就容易被攻击。虽然系统都有一些用户口 令的设置来限制未授权用户的使用，但管理员或一些特权用户为图方便却使用空密码或很简单的口令，甚至将自己的帐户随意转 借他人。而又不及时更改口令，因此也给网络带来了安全隐患。另一方面，Internet 的数据传输是基于 TCP/IP 通信协议进行的，这些协议缺乏使传输过程中的信息不被窃取的安全措施。电子邮件存在着被拆看、误投和伪造的可能性。使用电子邮件来传输重要机密信息会存在着很大的危险。来自校园网内部的安全隐患比来自校园网外部的各种不安全因素破坏力更强、影响更广、威胁更大。应用层安全风险服务本身缺陷高校校园网络中存在大量应用，如

11、WWW服务、邮件服务、数据库服务等。这些服务本身存在安全漏洞，容易遭受黑客攻击。当前，尤其针对WEB应用的攻击成为趋势。Internet 的数据传输是基于 TCP/IP 通信协议进行的，这些协议缺乏使传输过程中的信息不被窃取的安全措施。电子邮件存在着被拆看、误投和伪造的可能性。使用电子邮件来传输重要机密信息会存在着很大的危险。来自校园网内部的安全隐患比来自校园网外部的各种不安全因素破坏力更强、影响更广、威胁更大。网络安全隔离薄弱，易遭黑客攻击目前，大多数校园网都部署了防火墙来保护校园网不受外部Internet的攻击，然而，防火墙对内部网络的防护却微乎其微。难以应对强大的黑客攻击，不幸的是，很多

12、校园网的攻击不是来自Internet，而是来自局域网内部。一方面，目前用户的内网安全管理系统仍然处于起步阶段，任何 计算机都可随意接人局域网，这就给非法用户的入侵提供了方便。另一方面，在校学生中有不少是网络爱好者，年少轻狂的他们对 “黑客”总是无比崇拜，在好奇心的驱使下，可能会从互联网上下载黑客工具进行尝试，校园网内部服务器就自然成为他们的首选目标。管理层安全风险责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。信息安全保障体系设计说明：技术、管理和资源，攻击检测与防御，等级保护等。高校校园网络安全建设是一个复杂、艰巨的系统工程，因此在构建信息安全网络体系时，需要

13、遵循综合整体性，可用性，需求、风险、代价平衡的原则。从系统综合整体的角度分析；减少系统的复杂性，尽量保持网络原有的性能特点，即对网络的协议和传输具有很好的透明性；以自己财力所能承担的代价去解决尽可能全面的安全问题，才能收到良好的效果。部署防火墙在需要隔离的网络区域之间部署防火墙。典型地，在 Internet 与校园网之间部署一台防火墙，成为内外网之间一道牢固的安全屏障。将WWW 、 MAIL 、 FTP 、 DNS 等服务器连接在防火墙的 DMZ 区，与内、外网间进行隔离，内网口连接校园网内网交换机，外网口通过路由器与 Internet 连接。那么，通过 Internet 进来的公众用户只能访

14、问到对外公开的一些服务（如 WWW 、 MAIL 、 FTP 、 DNS 等），既保护内网资源不被外部非授权用户非法访问或破坏，也可以阻止内部用户对外部不良资源的滥用，并能够对发生在网络中的安全事件进行跟踪和审计。在防火墙设置上按照以下原则配置来提高网络安全性： 1、根据校园网安全策略和安全目标，规划设置正确的安全过滤规则，规则审核 IP 数据包的内容包括：协议、端口、源地址、目的地址、流向等项目，严格禁止来自公网对校园内部网不必要的、非法的访问。总体上遵从“不被允许的服务就是被禁止”的原则。2、将防火墙配置成过滤掉以内部网络地址进入路由器的 IP 包，这样可以防范源地址假冒和源路由类型的攻击

15、；过滤掉以非法 IP 地址离开内部网络的 IP 包，防止内部网络发起的对外攻击。 3、在防火墙上建立内网计算机的 IP 地址和 MAC 地址的对应表，防止 IP 地址被盗用。4、定期查看防火墙访问日志，及时发现攻击行为和不良上网记录。 部署入侵检测系统防火墙作为安全保障体系的第一道防线，防御黑客攻击。但是，随着攻击者知识的日趋成熟，攻击工具与手法的日趋复杂多样，单纯的防火墙已经无法满足企业的安全需要，部署了防火墙的安全保障体系仍需要进一步完善。 传统防火墙的不足主要体现在以下几个方面： 防火墙作为访问控制设备，无法检测或拦截嵌入到普通流量中的恶意攻击代码，比如针对 WEB 服务的 Code R

16、ed 蠕虫等。有些主动或被动的攻击行为是来自防火墙内部的，防火墙无法发现内部网络中的攻击行为。 作为网络访问控制设备，受限于功能设计，防火墙难以识别复杂的网络攻击并保存相关信息，以协助后续调查和取证工作的开展。入侵检测系统 IDS（ Intrusion Detection System）是继防火墙之后迅猛发展起来的一类安全产品，它通过检测、分析网络中的数据流量，从中发现网络系统中是否有违反安全策略的行为和被攻击的迹象，及时识别入侵行为和未授权网络流量并实时报警。 IDS 弥补了防火墙的某些设计和功能缺陷，侧重网络监控，注重安全审计，适合对网络安全状态的了解，但随着网络攻击技术的发展，IDS 也

17、面临着新的挑战： IDS 旁路在网络上，当它检测出黑客入侵攻击时，攻击已到达目标造成损失。IDS 无法有效阻断攻击，比如蠕虫爆发造成企业网络瘫痪，IDS 无能为力。 蠕虫、病毒、DDoS 攻击、垃圾邮件等混合威胁越来越多，传播速度加快，留给人们响应的时间越来越短，使用户来不及对入侵做出响应，往往造成企业网络瘫痪，IDS 无法把攻击防御在企业网络之外。 部署入侵保护系统为了弥补防火墙和IDS的缺陷，入侵保护系统 IPS（Intrusion Prevention System）作为IDS的替代产品应运而生。网络入侵防御系统作为一种在线部署的产品，提供主动的、实时的防护，其设计目标旨在准确监测网络异

18、常流量，自动对各类攻击性的流量，尤其是应用层的威胁进行实时阻断，而不是简单地在监测到恶意流量的同时或之后才发出告警。通过防火墙和IPS的联合部署，高校校园网络基本上能防御内外网的从2-7层的攻击，并能审计、记录攻击行为，便于调查攻击。 保障运行环境安全中心机房设立防辐射的屏蔽机柜，把存储有重要信息的服务器以及网络核心设备放置在屏蔽机柜内，防止电信号泄漏。同时把 屏蔽机会以外的干扰源隔绝，以保证整个计算机系统的安全、可靠及正常运行。网络系统入口设避雷器。网络、屏蔽及电源分别充分 接地。系统配置在线式UPS，保证系统不间断运行。中心机房还应按照规范配置完整的防火系统。 加强用户管理与网络管理与校园

19、网用户管理系统的结合 ，结合IP网关技术，避免一部分网络攻击用户，默认仅可访问校园网内。1. 与计费系统结合、在线用户统计、针对用户的超大流量IP报警、针对静态IP地址的网络异常国际流量报警服务；在网络管理方面，自主研发校园网网络管理平台，可以实现网络流量监测 (网络天气图 ) ，直观地显示网络健康状况、实施预警，实现定制的网络拓扑图并且与已有的流量监控系统无缝集成 2. 校园网出口流量分析，了解网络中的协议 /应用分布 /TopN主机 /端口排名等。3. 网络运行管理系统 ，直观地显示网络设备 /节点的信息/ 完成封禁端口。4. 校园网用户行为统计，例如在线用户统计、超大流量IP报警、用户/

20、IP日流量统计。 分网段管理网络按照学校各个部门来划分不同的网段。将学校管理部门作为涉密网段。在整个接入网络中控制涉密网段与其它网段之间的单 向信息流动，即允许涉密网段查看其它网段的相关信息，但是其它网段的用户不能访问涉密网段的信息。并将办公自动化系统所涉 及的服务器单独作为一个独立网段，如电子邮件服务器。Web服务器等。 加强鉴别技术鉴别技术也是信息安全防护的重要技术，它和数据加密技术有很紧密的关系。鉴别技术用在安全通信中，对通信双方互相鉴别对方的身份以及传输的数据。鉴别技术防护数据通信的两个方面：通信双方的身份认证和传输数据的完整性。鉴别技术主要使用公开密钥加密算法的鉴别过程，即如果你个人

21、用自己的私有密钥对数据加密为密文，那么任何人都可以用相应的公开密钥对密文解密，但不能创建这样的密文，因为没有相应的私有密钥。数字签名是在电子文件上签名的技术，确保电子文件的完整性。身份认证需要每个实体(用户)登记一个数字证书。数字证书确保证书上的公开密钥是属于证书上的用户 ID 的，为了鉴别一个人的身份，只要用他的数字证书中的公开密钥来鉴别就可以了。公钥基础设施 PKI 就是一个管理数字证书的机构，其中包括发行、管理、回收数字证书。PKI 的核心是认证中心 CA，它是证书认证链中有权威的机构，对发行的数字证书签名，并对数字证书上的信息的正确性负责。 网络防病毒系统在选择防病毒系统时，首先要考虑

22、到整体性。校园网病毒的来源也远比单机环境复杂得多。因此所选择的防病毒系统不仅要能 保护文件服务，同时也要对邮件服务器、客户端计算机、网关等所有设备进行保护。同时，必须支持电子邮件、网页、光盘、U盘移动没备等所有可能带来病毒的信息源进行监控和病毒拦截。选择杀毒软件要综合考虑病毒查杀能力、对新病毒的反应能力、 病毒实时检测能力、快速方便的升级、管理方便。易于操作、资源占用率等。 用户身份鉴别与访问控制可采用统一的密码卡和密码机，在信息敏感中心内网涉密域配备一台网络密码机和一台密钥管理中心。在网络IP层来解决 LAN间传输的安全问题，用于加密保护涉密数据在公网上传输的安全。而访问控制技术用来控制对网

23、络、应用程序、信息的访问，需要认证机制来确认用户的身份。访问控制一般被集成到应用程序和系统软件内。它的弱点是可能会被攻击者绕过，安全策略也可能出现漏洞。正如我们学校使用的单点登录系统，其主要采用技术是SSL,使用SSL加密传输信道，保证应用服务器与认证服务器之间的数据通讯安全信息安全与对抗基础层和系统层原理分析信息安全与对抗是一个复杂的对立统一个多层次、多剖面动态演化过程，它不是孤立、封闭的。其中的原理分两个层次进行讨论：即一个是结合信息及信息安全与对抗领域之特征，应用对立统一规律得出之某些基础性原理；第二个层次是在系统层次结合系统结构、功能和动态运行之基本技术原理。 其中构建于信息系统安全与

24、对抗自组织耗散理论基础之上的基础层次对抗原理有：特殊性存在与保持原理；信息存在相对性原理；广义空间维及时间维信息的有限尺度表征原理；在共道基础上反其道而行之原理；争夺制对抗信息权即快速建立系统对策响应原理。其中保障信息安全的过程，其实就是信息对抗双方进行进攻和防御的过程，是矛盾对立与统一的过程。这对矛盾相反相成，促进发展。就如保障安全的系统与破坏安全的病毒等相反相成，促进双方的共同发展，提高了系统的安全性，同时，更多的病毒给我们提出了更大的挑战。其中保障安全的部分就可以运用反其道而行之或共其道而行之的思想来应对更繁多的安全问题。除此之外，结合信息系统结构、功能和动态运行的基本技术原理，进一步提

25、出了系统层次的对抗原理。需要特别强调的是，在信息安全对抗问题的运行斗争中，你中有我，我中有你，往往交织相辅相成地起作用，而不是单条孤立地起作用，重要的是利用这些原理观察、分析掌握问题的本征性质，进而解决问题。系统原理包括攻击方全局占主动地位，被攻击防具被动地位及局部争取主动权获胜原理，在本文校园网建设中采用动态监控系统，快速捕捉攻击信息并进行分析，科学决策并快速采取抗攻击有效措施正是这一原理的体现之一。校园安全网络中，每个连接在校园网络中的计算机都可能成为攻击该校园网络的潜在跳板，来进行对该学校网络的攻击以及对信息的窃取。在本论文论述的系统中，尽管已经考虑到了安全措施，但是对于现在各种层出不穷

26、的新技术的攻击，防卫系统不可能全部拦截成功。但是，我们在设计一个真实的综合系统的时候，还是要考虑这些安全方面的问题的。信息安全与对抗原理性技术性方法分析本节主要运用信息安全与对抗的基本原理，具体讨论了校园网的信息安全与对抗（攻击与防御过程）问题，根据信息安全与对抗的抽象“共道”“逆道”模型建立了校园网络系统对抗过程的“共道逆道”模型。校园网络系统的保护和防御应该是多层、多剖面的综合体。关于它的安全保护从技术方面来考虑包括设备信息实体、信息、信息系统等多方面的安全保护，具体方法和技术主要有：防火墙技术、入侵检测技术、身份认证及权限控制技术、安全管理、实体安全技术、数据加密解密技术以及系统开发实施

27、过程中的安全控制技术等而校园网中对信息的攻击主要有两种，一种是信息的泄露；另一种是信息的破坏。信息泄露就是偶然地或故意地获得（侦收、截获、窃取或分析破译）目标系统中的信息，特别是敏感信息，造成泄露事件。信息破坏是指由于偶然事故或人为破坏，使信息的正确性、完整性和可用性受到破坏，使得系统的信息被修改、删除、添加、伪造或非法复制，造成大量信息的破坏、修改或丢失。为了体现信息安全保障体系的原理性和技术性方法，下面对校园网中信息对抗过程的“共道逆道”模型模型进行具体分析 “共道”阶段：对于攻击方而言，在“共道”阶段将主要利用共有的信息、例如防火墙类型、杀毒软件类型、类型等进行信息收集，当收集到足够信息

28、后便可做出决策，是否需要进一步收集“逆道”信息、应用软件的漏洞、防火墙的缺陷或实施攻击。如果欲立即实施攻击，其过程便可直接转至“逆道”阶段，即实施攻击阶段，如拒绝服务攻击，它并不需要收集逆道信息便可直接实施攻击，这种情况下整个攻击与对抗过程就分为两个阶段，即“共道”和“逆道”阶段。对于被攻击方而言，在“共道”阶段很难获得攻击行为所表现的信息，这主要是因为“共道”阶段攻击行为无显著特征（攻击方在收集信息的过程中可能会不留下任何踪迹，如在端口或漏洞扫描时采不同的策略使被攻击方很难感觉到扫描事件的发生），故很难采取必要的反击措施，但这个阶段被攻击方可以采取必要的措施进行主动防御技术（如更新操作系统，

29、更新杀毒软件，使用物理隔离技术，使用入侵检测系统，等），尽可能消除系统的缺陷和漏洞。同时，加强管理手段和措施，以使攻击方无机可乘。“共道”阶段，对于被攻击方而言，只是对后续的攻击提供信息积累作用，为反击提供支持，该阶段很难实施对抗反击行为，“逆道”阶段：“逆道”过程总体上分为两个阶段，即“逆道”和“逆道”阶段。这两个阶段对于一次具体的攻击和对抗过程，也有可能只存“逆道”阶段，而不存在“逆道”阶段，这种情况下，攻击方通过“逆道”阶段便达到了攻击的目的，而不需要实施“逆道”阶段的信息收集。总之，攻防双方谁在时间上占有优势，谁就有可能占有主动，被攻击方才有可能从被转为主动。总结网络安全建设是一个逐渐

30、深入的过程，也是一个需求不断变化的过程。其建设也不是一促而就，而是分步实施的过程。高校应根据其财力和目标分阶段进行网络安全建设，特提出下面分步实施建议： 1. 建议在网络安全建设初期，部署防火墙和网络防病毒系统，作到对网络安全的基本防护。有INTENET接入服务的，可以部署计费和身份认证系统。 2. 随着对攻击防御的深度要求，可以部署入侵检测/防御系统， 和防火墙配合，基本作到对攻击的深度防护。 3. 下一阶段，可以部署漏洞管理系统，防护从治标到治本转变。 4. 最后进入对安全的高级防护阶段，可以部署WEB应用防火墙 和内容安全管理系统。随着网络应用的深入普及，网络安全越来越重要，国家和企业都对建立一个安全的网络有了更高的要求。一个特定系统的网络安全方案，应建立在对网络风险分析的基础上，结合系统的实际应用而做。由于各个系统的应用不同，不能简单地把信息系统的网络安全方案固化为一个模式，用这个模子去套所有的信息系统。本文根据网络安全系统设计的总体规划从桌面系统安全、病毒防护、身份鉴别、访问控制、信息加密、信息完整性校验、抗抵赖、安全审计、入侵检测、漏洞扫描等方面安全技术和管理措施设计出一整套解决方案，目的是建立一个完整的、立体的、多层次的网络安全防御体系。参考文献