计算机信息安全技术

计算机导论

——第10章计算机信息安全技术主要内容计算机信息安全概述保密技术防御技术虚拟专用网审计和监控技术计算机病毒第1节计算机信息安全概述信息安全的概念与现状

随着信息存储方式的变化，信息安全的概念也出现新的情况传统信息安全：通过物理手段和管理制度来保证信息的安全计算机安全：保护所有信息储存设备所采取的手段网络安全：用于保护传输的信息和防御各种攻击的措施随着Internet在更大范围的普及，它所产生的负面影响也越来越大，主要体现：黑客阵营的悄然崛起网上黄毒泛滥网上病毒的传播网上偷盗之风的盛行信息安全因特网网络对国民经济的影响在加强安全漏洞危害在增大信息对抗的威胁在增加研究安全漏洞以防之因特网电力交通通讯控制广播工业金融医疗研究攻防技术以阻之信息安全的定义信息安全的定义：它包括很多方面，是一个十分复杂的问题，可以说信息系统有多复杂，信息系统安全问题就有多复杂；信息系统有什么样的特性，信息系统安全就同样具有类似的特性。同时要实现这样的“安全”，也不是某个技术能够解决的，它实际上是一个过程。可信任计算机标准评估准则-橙皮书（TCSEC，美国）：该标准将计算机安全分为8个等级，由低到高为D1、C1、C2、B1、B2、B3、A1和A2，各等级主要考虑系统的硬件、软件和存储的信息免受攻击信息安全基本要素完整性机密性可审查性可用性可控性确保信息不暴露给未授权的实体或进程只有得到允许的人才能修改数据，并且能够判别出数据是否已被篡改得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者的工作可以控制授权范围内的信息流向及行为方式对出现的网络安全问题提供调查的依据和手段信息安全的攻与防信息窃取信息传递信息冒充信息篡改信息抵赖加密技术完整性技术认证技术数字签名

威胁信息安全的类型威胁信息安全的因素有人为主动的和其他因素造成的两种类型：计算机罪犯的类型：工作人员。外部使用者。黑客（hacker）和解密者。有组织的罪犯。其他的威胁因素自然危害。内战和恐怖活动技术失误。人为错误。

信息安全犯罪的形式

破坏数据和设备:工作人员有时候会试图破坏计算机设备、程序或者文件，而黑客和解密者则可能通过传播病毒来进行对设备和数据的破坏。偷窃:偷窃的对象可以是计算机硬件、软件、数据甚至是计算机时间。操纵:找到进入他人计算机网络的途径并进行未经授权的操作。网络安全体系结构

一个完整的安全体系结构主要由4个层次组成:实体安全指的是保证网络中单个结点设备的安全性网络安全指的是保证整个网络的数据传输和网络进出的安全性应用安全主要保证各种应用系统内部的安全性管理安全主要保证整个系统包括设备、网络系统以及各种应用系统的运营维护时的安全性

TCP/IP协议中的安全解决方案

数据链路层可以采用加密来保证数据链路层中传输数据的安全性网络层可以采用IP层加密来保证IP层数据传输的安全性，也可以采用防火墙、VPN技术在IP层次上保证用户对网络的访问控制应用层可以采用加密来保证应用数据的保密性，也可以采用数字签名、身份认证等技术增加应用的安全性。

第2节保密技术密码技术主要是为维护用户自身利益，对资源采取防护措施，防止非法用户侵用和盗取，或即使非法用户侵用和盗取了资源，也由于无法识别而不能使用。密码技术分加密和解密两部分。加密指改变数据的表现形式，是把需要加密的报文按照以密钥为参数的函数进行转换，产生密码文件。解密是按照密钥参数将密码文件还原成原文件。数据加密与解密的模型如下图所示。密码技术

目前加密算法主要有秘密钥匙（secretkey）和公用钥匙（publickey）加密算法。1．秘密钥匙加密

秘密钥匙加密法又称为对称式加密法或传统加密法。其特点是加密明文和解读密文时使用的是同一把钥匙，如下图所示。

密码算法2．公用钥匙加密

公用钥匙加密法又称非对称式加密，其特色是完成一次加、解密操作时，需要使用一对钥匙。假定这两个钥匙分别为A和B，则用A加密明文后形成的密文，必须用B方可解回明文，反之，用B加密后形成的密文必须用A解密。

对称和非对称密码体制比较非对称密码体制与对称密码体制相比，主要有下面3个方面的优点：密码分发简单秘密保存的密钥减少公钥密码体制可以容易地实现对称密码体制难以实现的签名验证机制加密方式

1．通信加密（1）节点加密：是在通信链路的任意两个相邻节点间对传输数据进行加密。（2）链路加密：是在通信链路上对传输的数据进行加密，它主要靠硬件实现。（3）端对端加密：是在报文传输初始节点上实现的。在整个数据传输过程中，报文都是以密文方式传输，直到到达目的节点时才进行解密。

2．文件加密

（1）单级数据信息加密（2）多级数据信息加密

信息的完整性

消息认证：消息接收者能确定消息来源于被指定的发送者消息是发送给预期的接收者消息内容是完整可信的，即在传输过程中没有被修改或替换消息的序号和时间性数字签名：网络服务中的身份验证，消息接收者能确定接收方能确认信息确实来自指定的发送者发送者不能否认所发信息的内容接收者不能伪造信息内容

Internet中使用的密码技术

E-mail安全与PGP：

PGP是一种E-mail安全的免费软件，实现的安全机制有：数字签名、密钥管理、加密和完整性，它提供安全服务有：保密性、信息来源证明、信息完整性、信息来源的无法否认Web安全中的密码技术：SSL：是建立在TCP/IP协议之上的提供客户机和服务器双方网络应用通信的开放协议，它由SSL记录协议和SSL握手协议组成。SSL握手协议在SSL记录协议发送数据之前建立安全机制，包括认证、数据加密和数据完整性。实现通信双方之间认证、连接的保密性、数据完整性、数据源点认证等安全服务SHTTP是增强HTTP安全的一种新协议，即将成为一项新的IETF标准（RFC）。密钥管理与分配

密码系统的安全强度在很大程度上取决于密钥分配技术，密钥分配可通过四种方法获得：两者之间通过人工方法直接传递由可信任的第三方通过秘密通道把密钥分别传递给通信双方通过用旧密钥加密新密钥进行密钥的传递最后一种方法需要使用一个可信任的密钥分配中心KDC，由KDC决定密钥的分配：KDC结构中定义了两种密钥：会话密钥：用于两个端系统（主机、终端）进行会话连接时的一次性密钥永久性密钥：是网络系统中每一个端系统和KDC共享的密钥，它用于分配会话密钥Kerberos认证协议：分布式Client/Server计算环境提供的认证机制，它通过认证服务器AS和许可证服务器TGS完成对请求服务用户的认证和授权，认证和授权的完成是基于KerberosKDC库。第3节防御技术

防火墙概念

防火墙是位于两个(或多个)网络间，实施网间访问控制的一组组件的集合，它满足以下条件：内部和外部之间的所有网络数据流必须经过防火墙只有符合安全策略的数据流才能通过防火墙防火墙自身应对渗透免疫防火墙通常被比喻为网络安全的大门，用来鉴别什么样的数据包可以进出企业内部网。在应对黑客入侵方面，可以阻止基于IP包头的攻击和非信任地址的访问。但防火墙无法阻止和检测基于数据内容的黑客攻击和病毒入侵，同时也无法控制内部网络之间的违规行为防火墙技术

设计策略：服务访问策略：特定于一个出口，定义受保护网络中哪些服务是允许的，哪些服务是明确禁止的，服务是怎样被使用的等实施策略：描述防火墙实施中是怎样体服务访问策略，即怎样去限制访问和过滤服务包过滤技术：用于控制哪些数据报可以进出网络而那些数据报应被网络拒绝应用网关：运行代理服务的主机称为应用网关，这些程序根据预先制定的安全规则将用户对外部网的服务请求向外提交、转发外部网对内部网用户的访问。代理服务替代了用户和外部网的联接防火墙结构

包过滤防火墙:在Internet连接处安装包过滤路由器，在路由器中配置包过滤规则来阻塞或过滤报文的协议和地址双宿主网关防火墙：由一个带有两个网络接口的主机系统组成过滤主机防火墙：由一个包过滤路由器和一个位于路由器旁边保护子网的应用网关组成过滤子网防火墙：在一个分割的系统上放置防火墙的每一个组件，每一个组件仅需实现一个特定任务，该结构中两个路由器用来创建一个内部的、过滤子网，这个子网（有时称为非军事区DMZ）包含应用网关、信息服务器、Modem池等MODEM池：对通过MODEM拨号访问进行集中保护第4节虚拟专用网

虚拟专用网

适合拥有众多地理分散分支机构的大型企业和公司，它们选择基于电信服务商提供的公众网建立虚拟的专用网VPN。VPN专指基于公众网络，构建一个安全的、可靠的和可管理的商业间通信的通道。采用IP通道技术的VPN服务是一种新的VPN服务概念，即Extranet。在基于IP通道技术的VPN服务中，安全加密是VPN主要需要解决的问题PPTP协议即点对点的通道协议：建立数据包的传送隧道。L2F协议：是Cisco公司提出，它发展为L2TP协议。IPSec：是IETF支持的标准之一。它和前两种不同之处在于IP层的加密，提供了对私用地址、身份认证、密码管理等功能，得到众多厂家的支持。

虚拟专用网示意图公众网密文明文明文明文总部分部第5节审计与监控技术审计和监控的准则

审计是对系统内部进行监视、审查，识别系统是否正在受到攻击或机密信息是否受到非法访问，如发现问题后则采取相应措施，其主要依据十是“信息技术安全性评估通用准则2.0版”认证和授权机制的使用：对保护的对象或实体的合法或企图非法访问进行记录增加、删除和修改对象：记录对已利用安全服务对象的改变或删除操作计算机操作员、系统管理员、系统安全人员采取的与安全相关的行动：保持一个特权人员完成动作的记录识别访问事件和它的行动者：识别每次访问事件的起始和结束时间及其行动者识别例外条件：在事务的两次处理其间，识别探测到的安全相关的例外条件利用密码变量：记录密钥的使用、生成和消除改变分布环境中单元的配置：保持相关服务器的轨迹任何企图陷害、攻击或闯入（不管成功与否）安全机制的事件审计和监控的结构

安全审计系统可有四部分组成：审计节点，审计工作站，审计信息和审计协议。审计节点：网上的重要设备（服务器，路由器，客户机等），每个节点运行一个审计代理软件，它对设备的运行情况进行监视和审计，产生日志文件审计工作站：运行特殊审计软件的通用/专用计算机。包含一个或多个进程，实现与网上审计节点的通信审计信息和审计协议：描述审计代理存储的审计信息格式和传输规则。审计系统包含的主要技术

信息捕捉与还原：有效信息识别规则的制定和实现以及智能匹配实时、非抵赖的审计智能分析技术

IDS系统

IDS(入侵检测系统）与防火墙不同，它并不介于网络段之间，而是设计用于在单个域中隐式地运行。它能够及时捕获所有网上的传输，把这些信息读入内存，由系统与已知的一些典型攻击性分组比较。IDS一般由驱动引擎和控制台两大部分组成：驱动引擎用于捕获和分析网络传输控制台用于管理各驱动引擎并发出有关报告。根据系统所采用的检测模型，可以将IDS分为3类:异常检测滥用检测混合检测第6节计算机病毒

计算机病毒的定义

计算机病毒一种能对计算机系统造成不同程度损害的计算机程序。计算机病毒是一段很小的计算机程序，它是一种会不断自我复制及感染的程序。在传统的DOS环境下，通常它会寄存在可执行的文件之中，或者是软盘、硬盘的引导区部分。病毒随着被感染程序由作业系统装入内存而同时执行，因此获得系统的控制权。但在Windows视窗系统出现的宏病毒则是附加在文档中，且其感染之对象一般亦只限于文档。

计算机病毒的分类

可以按照病毒存在的媒体、病毒破坏的能力和病毒特有的算法对病毒进行不同的分类：根据病毒存在的媒体，病毒可以划分为网络病毒、文件病毒、引导型病毒。根据病毒破坏的能力，病毒可以划分为无害型、无危险型、危险型以及非常危险型。根据病毒特有的算法，病毒可以划分为伴随型病毒、“蠕虫”型