计算机网络与系统安全资料整理

安全策略是允许什么、禁止什么的陈述。安全机制是实施安全策略的方法、工具或者规程。机制与策略独立，可允许安全机制的重用在计算机网络中，主要的安全防护措施被称作安全服务。网络通信中目前主要有五种安全服务认证服务：提供实体的身份的保证访问控制服务：防止对资源的非授权使用机密性服务：对数据提供保护使之不被非授权地泄露完整性服务：保护数据防止未授权的改变、删除或替代非否认服务：提供凭证，防止发送者否认或接收者抵赖已接收到相关的信息非否认服务包括：有数据源发证明的不可否认有交付证明的不可否认主动威胁：对信息非授权的泄漏，并改变了系统的状态被动威胁：对信息非授权的泄漏，而没有改变系统的状态安全机制主要包括：加密机制数字签名机制访问控制机制数据完整性机制（顺序检测、序列号、时戳、密码检验和等）认证交换机制业务流量填充机制（防止业务量分析）路由控制机制公证机制安全策略都建立在授权的基础之上■ 基于身份的安全策略的基础是用户的身份和属性以及被访问的资源或客体的身份和属性。■基于规则的安全策略的基础是强加于全体用户的总安全策略。在一个安全系统中，数据或资源应该标注安全标记。代表用户进行活动的进程可以得到与其原发者相应的安全标记。■基于角色的安全策略为每个个体分配角色，按角色分配许可。重放：拷贝认证信息然后重放社交工程：比如冒充是处长或局长骗取管理员信任得到口令等等。冒充合法用户发送邮件或打电话给管理人员，以骗取用户口令等。垃圾搜索：攻击者通过搜索被攻击者的废弃物，得到与攻击系统有关的信息，如用户将口令写在纸上又随便丢弃。CAPTCHA图形码、验证码： 抵抗在线字典攻击 防止恶意注册机密性安全策略Bell-LaPadula模型不上读/不下写保证保密性例：防火墙所实现的单向访问机制内部网络机密的，外部网络公开的。不上读：阻止Internet对内部网络的访问不下写：限制进入内部的数据流只能经由由内向外发起的连接流入完整性安全策略Biba模型不下读/不上写保证完整性例：对WEB服务器的访问过程Internet上的用户只能读取服务器上的数据而不能更改它混合安全策略一基于角色访问控制（RBAC）角色激活：用户是一个静态的概念，会话则是一个动态的概念会话激活了用户授权角色集的某个子集，这个子集称为活跃角色集。活跃角色集决定了本次会话的许可集。静态角色互斥：只有当一个角色与用户所属的其他角色彼此不互斥时，这个角色才能授权给该用户。动态角色互斥：只有当一个角色与一主体的任何一个当前活跃角色都不互斥时，该角色才能成为该主体的另一个活跃角色。角色限制：包括角色互斥与角色基数限制。角色基数限制是指在创建角色时，要指定角色的基数。在一个特定的时间段内，有一些角色只能由一定人数的用户占用。访问控制的基本原则最小特权原则：在完成某种操作时所赋予每个主体（用户或进程）必不可少的特权（只给予主体“必不可少”的特权）多人负责原则：即授权分散化，对于关键的任务必须在功能上进行划分，由多人来共同承担，保证没有任何个人具有完成任务的全部授权或信息。如将责任作分解使得没有一个人具有重要密钥的完全拷贝。职责分离是指将不同的责任分派给不同的人员以期达到互相牵制，消除一个人执行两项不相容的工作的风险。隐通道是系统的一个用户以违反系统安全策略的方式传送信息给另一用户的机制。它往往通过系统原本不用于数据传送的系统资源来传送信息，并且这种通信方式往往不被系统的访问控制机制所检测和控制。隐通道：不可避免，可通过带宽控制机密性就是防止信息经过这些信息通道被泄露出去。完整性是保护数据以免被未授权的改变、删除、替代。所有的数据完整性服务都能够对付新增或修改数据的企图，但未必能够对付复制。非否认服务与其他安全服务有本质区别。主要目的是保护通信用户免遭来自系统中其他合法用户的威胁，而不是来自未知攻击者的威胁。起源的否认：关于‘某特定的一方是否产生了某一特定的数据项’的纠纷或产生时间的纠纷。传递的否认：关于‘某一特定数据项是否被传送给某特定一方’的纠纷或关于传递时间的纠纷。7.PKI包括：认证中心（认证权威）CA，注册权威RA，证书库，档案库，PKI的用户RA被设计用来为CA验证证书内容的档案库是一个被用来解决将来争执的信息库，为CA承担长期存储文档信息的责任。PKI的体系结构可以有：单个CA、分级（层次）结构的CA、网状结构的CA（交叉认证）、桥式CA。桥式CA惟一的目的是为企业PKI建立关系。OCSP证书状态的在线查询 CRL证书作废表8.防火墙的体系结构一般有屏蔽路由器结构双重宿主主机体系结构屏蔽主机体系结构屏蔽子网体系结构包过滤的依据：■如果找到一个匹配，且规则允许这包，这一包则根据路由表中的信息前行。■如果找到一个匹配，且规则拒绝此包，这一包则被舍弃。■如果无匹配规则，一个用户配置的缺省参数将决定此包是前行还是被舍弃。静态NAT把内部网络中的每个主机都永久映射成外部网络中的某个合法的地址动态NAT在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络端口转换NAT把内部地址映射到外部网络的一个IP地址的不同端口上9.域名劫持改变DNS服务器的数据库，把本来要访问网站的域名重定向（劫持）到一个劫持者指定的IP地址上.利用主机漏洞搭建代理攻击者利用扫描软件捕获国外有漏洞的一台普通的计算机主机，在该傀儡机上搭建加密代理（服务器）.nslookup查询Internet上的DNS信息tracert命令显示用于将数据包从计算机传递到目标位置的一组IP路由器，以及每个跃点所需的时间。Ipconfig/al1：显示所有网络适配器（网卡、拨号连接等）的完整TCP/IP配置信息。NetStat是一个观察网络连接状态的实用工具。Fport可以报告所有本地机上打开的TCP/IP和UDP端口，并显示是何程序打开的端口。Route就是用来显示、人工添加和修改路由表项目的。缓冲区溢出指的是一种系统攻击的手段，通过向程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的。10.主机扫描的目的是确定在目标网络上的主机是否可达。当确定了目标主机可达后，就可以使用端口扫描技术，发现目标主机的开放端口，包括网络协议和各种应用监听的端口。包括：开放（connet扫描）、半开放（SYN扫描）、隐蔽扫描（FIN扫描）从广义上定义，恶意代码指具有在信息系统上执行非授权进程能力的代码。恶意代码的分类1计算机病毒：一组能够进行自我传播、需要用户干预来触发执行的破坏性程序或代码。如CIH、爱虫、新欢乐时光、求职信、恶鹰、rose…2网络蠕虫:一组能够进行自我传播、不需要用户干预即可触发执行的破坏性程序或代码。口其通过不断搜索和侵入具有漏洞的主机来自动传播。口如红色代码、SQL蠕虫王、冲击波、震荡波、极速波…3特洛伊木马：是指一类看起来具有正常功能，但实际上隐藏着很多用户不希望功能的程序。通常由控制端和被控制端两端组成。口如冰河、网络神偷、灰鸽子……4后门：使得攻击者可以对系统进行非授权访问的一类程序。口如Bits、WinEggDrop、Tini.・.5RootKit：通过修改现有的操作系统软件，使攻击者获得访问权并隐藏在计算机中的程序。口如RootKit、Hkdef、ByShell.・.6拒绝服务程序，黑客工具，广告软件，间谍软件，恶意网页……后门：是指能够绕过安全性控制而获取对程序或系统访问权的方法后门■帐号后门（建立备用的管理员帐号）■漏洞后门■木马后门网络监听■网卡工作在数据链路层，数据以帧为单位进行传输，在帧头部分含有数据的目的MAC地址和源MAC地址。■普通模式下，网卡只接收与自己MAC地址相同的数据包，并将其传递给操作系统。■在“混杂”模式下，网卡将所有经过的数据包都传递给操作系统。交换网络嗅探的关键：如何使不应到达的数据包到达本地■MAC洪水包■利用交换机的镜像功能■利用ARP欺骗DoS通过某些手段使得目标系统或者网络不能提供正常的服务。DoS是针对可用性发起的攻击DoS是台机器攻击目标，DDoSDoS是入侵检测■按照分析方法（检测方法）■异常检测模型（AnomalyDetection）:首先总结正常操作应该具有的特征（用户轮廓），当用户活动与正常行为有重大偏离时即被认为是入侵。（异常发现）■误用检测模型（MisuseDetection）：收集非正常操作的行为特征，建立相关的特征库，当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵。（特征检测、模式发现）■ 按照数据来源：■基于主机：系统获取数