信息安全基础知识王洪涛

信息安全基础知识王洪涛信息安全基础知识王洪涛信息安全基础知识王洪涛主要内容一、物理安全二、网络安全三、系统安全四、应用安全一、物理安全知识点及培训要求物理安全物理安全概述；理解物理安全的定义；了解物理安全面临的主要威胁；了解保障物理安全的意义。物理安全的内容及技术标准掌握物理安全的主要内容；了解物理安全的相关标准。物理安全控制措施掌握物理安全防护的技术；了解物理安全的相关防护设备；理解保障物理安全的重大意义。一、信息安全基础知识之物理安全物理安全物理安全概述物理安全的概念物理安全的威胁物理安全的内容及技术标准物理安全的主要内容物理安全的相关标准物理安全控制措施物理安全管理控制措施物理安全技术控制措施物理安全物理控制措施物理安全概念什么是物理安全“物理”：Physical,身体的、物质的、自然的身体的：人身安全是物理安全首要考虑的问题，因为人也是信息系统的一部分物质的：承载信息的物质，包括信息存储、处理、传输和显示的设施和设备自然的：自然环境的保障，如温度、湿度、电力、灾害等物理安全概念计算机安全：及攻击者、黑客有关物理安全：及入侵者、蓄意破坏者、窃贼有关物理安全概念计算机安全及攻击者、骇客和黑客有关物理安全及入侵者、蓄意破坏者和窃贼有关考虑的是一个人如何能够物理上进入一个计算机环境、计算机环境如何影响系统物理安全概念物理安全:对影响信息系统的保密性、完整性、可用性的周围环境和设施进行检查，是设计、实现、维护物理资源的措施。解决两个方面问题:对信息系统实体的保护；对可能造成信息泄漏的物理问题进行防范。物理安全技术意义：是信息安全的必要前提一、信息安全基础知识之物理安全物理安全物理安全概述物理安全的概念物理安全的威胁物理安全的内容及技术标准物理安全的主要内容物理安全的相关标准物理安全控制措施物理安全管理控制措施物理安全技术控制措施物理安全物理控制措施物理安全的威胁自然威胁（如：地震、洪水、风暴、龙卷风等）设施系统（如：通信中断、电力中断）人为/政治事件（如：纵火、爆炸、蓄意破坏、盗窃、恐怖袭击、暴动）电力中断—导致网络故障造成巨大损失和影响2003.2.03阿尔及利亚停电事故2003.3.31伊朗大停电事故2003.8.14美加大停电事故2003.8.28伦敦大停电2003.9.23瑞典和丹麦停电事故2003.9.28意大利和瑞士大停电2003.11约旦停电事故2003.11.8利比亚西部停电事故2004.8约旦停电事故2005.5莫斯科停电事故通信中断--案例2009年08月19日受海缆断裂影响，中国至美国、欧洲等方向的通信大面积瘫痪。中国联通和中国电信方面采取租用其他海缆线路的应急预案，使得国际通信部分得到恢复网民:通信中断让人抓狂911事件--案例恐怖袭击破坏信息数据几乎所有没有进行远程备份的企业都蒙受巨大数据损失倒闭地震--案例火灾--案例2009年2月央视北配楼大火起火原因烟花燃放失控原因大量建筑材料成为助燃，如玻璃幕墙云梯车无法到达起火层蓄意破坏--案例2009年11月29日印度西南卡纳塔克邦的核电站发生放射性元素污染事故，致使大约50名工人毒“显然为恶意行径”某人“故意”将重水倒入供核电站员工饮用的冷却水系统中间谍案件拨号打印机使馆桌椅内嵌监听器碎纸机扫描功能医疗设备暗藏玄机的石头机房事件2008北京奥运前好运测试赛出现过机房透水现象；主机房4台空调中有3台因故障而停止运行，机房温度过高导致网络设备不能正常工作；影响物理安全的主要因素影响物理安全的主要因素包括：计算机及其网络系统自身存在的脆弱性因素。各种自然灾害导致的安全问题。由于人为的错误操作及各种计算机犯罪导致的安全问题。一、信息安全基础知识之物理安全物理安全物理安全概述物理安全的概念物理安全的威胁物理安全的内容及技术标准物理安全的主要内容物理安全的相关标准物理安全控制措施物理安全管理控制措施物理安全技术控制措施物理安全物理控制措施物理安全的内容物理安全内容：环境安全：应具备消防报警、安全照明、不间断供电、温湿度控制系统和防盗报警。电源系统安全：电源安全主要包括电力能源供应、输电线路安全、保持电源的稳定性等。设备安全：要保证硬件设备随时处于良好的工作状态，建立健全使用管理规章制度，建立设备运行日志。同时要注意保护存储媒体的安全性，包括存储媒体自身和数据的安全。通信线路安全：包括防止电磁信息的泄漏、线路截获，以及抗电磁干扰。一、信息安全基础知识之物理安全物理安全物理安全概述物理安全的概念物理安全的威胁物理安全的内容及技术标准物理安全的主要内容物理安全的相关标准物理安全控制措施物理安全管理控制措施物理安全技术控制措施物理安全物理控制措施物理安全相关标准GB9361-88计算站场地安全要求GB2887-2000计算站场地技术要求GA173-98计算机信息系统防雷保安器GB/T14715-93《信息技术设备用UPS通用技术条件》GB6650-86计算机机房用活动地板技术条件GJZB663军用通信设备及系统安全要求GB50174-93电子计算机机房设计规范GB9254-1988信息技术的无线电干扰极限值SJ/T30003-93电子计算机机房施工及验收规范计算机机房建设至少应遵循国标GB/T2887-2000和GB/T9361-1988，满足防火、防磁、防水、防盗、防电击、防虫害等要求，并配备相应的设备。一、信息安全基础知识之物理安全物理安全物理安全概述物理安全的概念物理安全的威胁物理安全的内容及技术标准物理安全的主要内容物理安全的相关标准物理安全控制措施物理安全管理控制措施物理安全技术控制措施物理安全物理控制措施物理安全的控制措施管理上的控制措施审计措施员工的管控培训突发事件的响应和处理步骤技术上的控制措施访问控制入侵检测警报装置监视装置HVACR电力供应火灾的检测和排除备份物理上的控制措施栅栏大门护柱加锁照明建筑设施的材料物理安全管理-审计措施记录物理访问的时间物理访问是否成功访问权限是哪里授予的？院墙大门？机房门禁？保安？前台？谁试图访问谁以管理员的权限修改了访问权限的分配物理安全管理-应急流程系统紧急关闭的流程人员撤离流程物理安全的培训、意识教育和演练流程周期性的设备和基础设施的测试流程人员安全管理受聘前教育和工作背景的考察关键人员的历史背景——信用记录、犯罪记录在聘中访问控制定期的考核及评价离职离职谈话收回物理访问权限收回各种资产一、信息安全基础知识之物理安全物理安全物理安全概述物理安全的概念物理安全的威胁物理安全的内容及技术标准物理安全的主要内容物理安全的相关标准物理安全控制措施物理安全管理控制措施物理安全技术控制措施物理安全物理控制措施物理安全技术控制措施大楼周边大楼入口保护监控措施环境保护措施数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）大楼周边周边安全控制是防护的第一道防线，可以起到划分“领地”和物理屏障的作用。保护的屏障要么是天然的或人造的天然屏障通常指那些难以穿越的场所，如山、河流、沙漠等(卫星发射中心：幽深峡谷)人为屏障包括围墙、多次的灌木、护柱等周边地形灌木丛或树林能够提供屏障同时也是一个入口；多刺的灌木丛可以作为一道难以穿越的屏障。围墙用于划定安全区域，并指定资产边界应当满足特定尺寸和建筑规范高安全域也许需要“更高的防护”应当达到特定的高度周边大门围墙上控制人和/或车辆进出的指定区域。纽约市地铁系统入口处，周边护柱专门设计用来控制交通的升高的柱子，用来保护资产为防止车辆冲进大楼提供安全防护带有灯光的护柱可用于停车场、道路、人行道及周边探测系统进行联动物理安全技术控制措施大楼周边大楼入口保护监控措施环境保护措施数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）大楼入口保护门中空的或实心的铰链门框大楼入口保护窗标准的平面玻璃钢化玻璃丙烯酸物质：防碎减重聚碳酸酯窗-玻璃和聚碳酸化合物复合高质量的玻璃及丙烯晴大楼入口防护锁使用最广泛的物理安全设施仅仅考虑作为延迟设施，并不能对产生十分安全的防护，易于突破几乎所有类型的锁均可以用暴力和特殊工具来突破应作为众多物理安全控制措施中的一个方面来使用大楼入口点防护锁-安全措施锁和钥匙控制系统必须执行钥匙控制制度并严格执行程序发布、签发、详细清单、毁坏或丢失的钥匙对于组合锁，组合号码必须定期或在特殊情况下更改大楼入口点防护门卫门卫能够对非授权的进入者产生威慑，在某些情况下，能够阻止非授权进入大楼入口点防护卡访问控制或生物特征系统磁卡、非接触卡等指纹、视网膜扫描、签名、声音识别、手形等等大楼入口点防护生物识别每个人的身份通过某些特征确认可以通过：生理特征：独有的：指纹、视网膜、虹膜行为特征：签名大楼入口点防护生物识别设施的重要要素：方便：它不需要记住复杂的密码，也不需随身携带钥匙、智能卡之类的东西不易伪造和假冒：每个人的生物特征具有及其他人不同的唯一性和在一定时期内不变的稳定性生物识别技术产品均借助于现代计算机技术实现，很容易配合电脑和安全、监控、管理系统整合。物理安全技术控制措施大楼周边大楼入口保护监控措施环境保护措施数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）监控措施入侵检测系统用来检测区域访问的传感器监控设备闭路电视（CCTV）监控措施入侵检测系统光电的（photoelectric）超声的（ultrasonic）微波的（microwave）红外的（passiveinfrared）压感的（pressure-sensitive）视频观看（40m）监控措施闭路电视使用照相机通过传输媒介将图片传送到连接的显示器的电视传输系统传输媒介可以使光缆、微波、无线电波、或红外光束

监控措施CCTV等级：检测级：能够检测到对象的存在识别级：能够检测到对象的类型确认级：能够分辨对象的细节监控措施CCTV-3个主要的组件成像设备传输媒介（如同轴线、光纤或无线）显示器监控措施CCTV-成功的关键点充分理解设施的整个监控需求确定需要监控的区域大小，深度、宽度来决定照相机镜头的尺寸照明非常重要，不同的灯光和照明将提供不同的效果等级对象及背景的对比度也非常重要监控措施照明在黑暗中能够提供持续的覆盖程度应当及其他的控制措施配合使用，如围墙、巡逻、报警系统物理安全技术控制措施大楼周边大楼入口保护监控措施环境保护措施数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）环境保护措施-电力控制电力信息系统的运行所需能源,可以说电力是计算机信息系统的“血液”；电力扰动能造成严重的业务影响；电力控制目标是获得“干净和稳定的电力”环境保护措施-电力控制电力控制“干净的电力”在主供电电路出现故障时，具有替代的供电来源在存放分电盘、控制电路开关、电闸的区域应进行访问控制措施具有紧急电源切断开关从而在紧急情况下能够切断电力安装输电线路监控设备来监控和记录电压和频率的波动确保足够的备份电力来执行次序的切断从而避免数据丢失或设施损坏环境保护措施-电力控制接地1）各自独立的接地系统2）交、直流分开的接地系统3）共地接地系统4）直流地、保护地共用地线系统5）建筑物内共地系统环境保护措施-HVACHVAC（制热、通风及空调控制）数据中心或服务器机房的空调控制应当及大楼其它部分隔离数据中心空调系统应当独立于大楼其它部分应安装HVAC设备存储室的访问控制及监控系统必须建立相应的维护制度环境保护措施-水控制水控制审查水管和灭火系统的安装位置，确保数据中心和服务器机房不能位于水源的旁边或下边如果在洪水多发区，应确保关键的信息系统资产没有位于一层或地下室环境保护措施-防火火灾预防-减少火灾起因火灾检测-在火灾发生前，接受火灾警报灭火-如何灭火，并降低到最小损失环境保护措施-防火在建筑物的墙、门和家具中使用耐火材料；在电子设备周围减少可燃的纸张数量对员工进行灭火培训-注意：人身安全是最重要的进行火灾演习，使所有人员明确知晓如何安全逃离火灾现场环境保护措施-防火电离型烟传感器检测烟尘中的带电粒子光电传感器对烟造成的遮光进行反映温度传感器-热传感器能够对火灾造成的温度升高产生反映在火灾监测中，最有效的方式就是采用混合模式火灾报警系统环境保护措施-防火火分为以下几类：A类：指固体有机物质燃烧的火；B类：指液体或可融化固体燃烧的火；C类：指可燃气体燃烧的火；D类：指轻金属燃烧的火。环境保护措施-防火等级类型灭火介质A普通可燃物水，苏打酸B液体气体,CO2,苏打酸C电气体，CO2D可燃金属干粉灭火器的使用扑救A类火灾可选择水型灭火器、泡沫灭火器、磷酸铵盐干粉灭火器、卤代烷灭火器。扑救B类火灾可选择泡沫灭火器(化学泡沫灭火器只限于扑灭非极性溶剂)、干粉灭火器、卤代烷灭火器、二氧化碳灭火器。扑救C类火灾可选择干粉灭火器、卤代烷灭火器、二氧化碳灭火器等。扑救D类火灾可选择粉状石墨灭火器、专用干粉灭火器，也可用干砂或铸铁屑末代替。扑救带电火灾可选择干粉灭火器、卤代烷灭火器、二氧化碳灭火器等。环境保护措施-防火CO2灭火器提供了一种无色、无味的介质溴或卤气体化合物气体，包含一种白色的溴粉，被认为是损耗臭氧层的关键要素FM200（七氟丙烷）最有效的替代物不导电的、挥发性的或气态的灭火剂，在使用过程中不留残余物灭火系统水灭火系统闭式自动喷水灭火系统湿式系统、干式系统、干、湿式系统、预作用系统等；开式自动喷水灭火系统雨淋系统、水幕系统、水喷雾系统等。气灭火系统（机房）不损害电子设备环境保护措施-防水机房在顶层由于屋内漏水造成水灾机房在底层由于上下水管道堵塞造成水灾机房内暖气系统漏水由于水冷系统设计不当，或损坏漏水空调系统排水管设计不当或破损漏水机房区内水源检修阀漏水机房内有卫生间，由于下水管道或地漏堵塞防水措施机房由于使用恒温湿装置，一般情况下应不使用暖气系统、但对于特别寒冷的地区，必须使用暖气时，一方面在暖气下应设立防水槽，万一暖气漏水，也会顺利脱离机房；另一方面可以采用钢串片式暖气片，管道全部采用焊接，防止漏水。若机房内有水管通过时，应采取保温措施，管道阀门不应设在机房内。有上下水的房间和卫生间应远离机房。有机房内应设防水沟或地漏机房内必须安装水源时，应加强管理，防患于未然。防鼠机房的孔、洞应封堵。在易受鼠害的场所，机房内的缆线应采取措施防鼠忌避剂捕鼠夹物理安全技术控制措施大楼周边大楼入口保护监控措施环境保护措施数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）计算机场地安全GB2887-2000规定：计算机站场地的组成和各部分面积计算方法计算机站场地的选址条件温度、湿度条件照明、日志和电磁场干扰等具体技术条件接地、供电和建筑结构条件媒体的使用和存放条件腐蚀气体条件计算机场地安全A类：对计算机机房的安全有严格的要求，有完善的计算机机房安全措施。该类机房放置需要最高安全性和可靠性的系统和设备。B类：对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。它的安全性介于A类和C类之间。C类：对计算机机房的安全有基本的要求，有基本的计算机机房安全措施。该类机房存放只需要最低限度的安全性和可靠性的一般性系统。安全机房A类安全机房的选址要求：应将其置于建筑物安全区应避开易发生火灾危险程度高的区域。应避开有害气体来源以及存放腐蚀、易燃、易爆物品的地方。应避开低洼、潮湿、落雷区域和地震频繁的地方。应避开强振动源和强噪音源。应避开强电磁场的干扰。应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。应远离核辐射源。机房组成1．主机房：用以安装主机及其外部设备、路由器、交换机等骨干网络设备。2．基本工作房间有：数据录入室、终端室、网络设备室、已记录的媒体存放间、上机准备间。机房组成-续3．第一类辅助房间有：备件间、未记录的媒体存放间、资料室、仪器室、硬件人员办公室、软件人员办公室。4．第二类辅助房间有：维修室、电源室、蓄电池室、发电机室、空调系统用房、灭火钢瓶间、监控室、值班室。5．第三类辅助房间有：贮藏室、更衣换鞋室、缓冲间、机房人员休息室、盥洗室等。复合地板复合塑料贴面地板的基材是层压刨花板，上下表面贴有塑料贴面，四周用油漆封住，或用镀锌铁皮包封的地板。木质地板纯木质地板的优点是造价低、易加工，但强度较差、易受潮变形，且易引起火灾，一般不在机房内使用。金属地板金属地板铝合金浇铸或压铸而成，其上表面贴有抗静电贴切面。从性能价格比出发，通常选用复合塑料贴面地板作为机房地面建筑材料。机房访问控制措施来访者（包括本单位非常驻人员、有关协作单位未发出入证的人员）要在检查确认其身份、目的后，发放临时识别牌，准许入内。在机房内来访者要佩带该识别牌，离开时交回。对于来访房者姓名、性别、单位、电话、证件号码、接待单位、进、出时间以及临时识别牌号码，来访目的，携带物品，要进行记录，以备核查。未经有关领导批准，不得在机房内照像、录像。物理安全技术控制措施大楼周边大楼入口保护监控措施环境保护措施数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）机房门禁系统机房钥匙和锁1． 精选的抵抗锁。相比传统锁，费用大概是两三倍，钥匙很难被复制，其他特征跟传统锁一致。2． 电子组合锁。这种锁使用电子按动按钮进入，有些在一定情况下允许输入一个特别的代码来打开门，但同时会引发一个远程告警。3． 机械按钮组合锁，按下正确的组合可以撤消门拴，打开门，相比电子锁而言，其可靠性差，但费用低。机房入侵检测和报警系统探测器是用来感知和探测入侵者入侵时所发生的侵入动作和移动动作的设备。信号传输通道是联系探测器和报警控制器的信息通道，通常可分为无线信号通道和有线信号通道两种。报警控制器的作用是对探测器传来的信号进行分析、判断和处理

机房闭路电视监控系统屏蔽机房物理安全技术控制措施大楼周边大楼入口保护监控措施环境保护措施数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）便携式设备安全涉及保护设备本身、设备内的信息、并且对于用户来说，保持安全控制措施的简便计算机设备安全便携设备安全包括：存放间的锁跟踪软件可审计行为报警加密软件防病毒软件清单通常的控制制度数据存储介质安全控制当处理非常敏感的信息时，管理员应该在场。在处理过程中，仅限于被批准使用这些信息的人员进入机房工作。当存储介质不用时，在转交别人使用之前，必须把存在上面的保密数据删除。记有机要信息的存储介质设备不能送到国外修理。旧的磁盘和磁带在消毁前，要进行消磁和清除数据。信息中心的安全负责人应该确保所有已损坏磁盘、磁带的销毁，新磁盘、磁带的定期检查，并进行登记。存放在机房中没有复制的存储介质应该存放在能防火的库房中。该房间的建筑物耐火等级必须符合GBJ45-82中规定的一级耐火等级，或放在能防火、防高温、防水、防震、防电磁场和防盗的保险柜中。如果记录存储介质不是存放在密闭的金属文件柜或其他不燃材料的窗口中，那么存放记录存储介质的房间应提供自动喷射系统。重大泄密案造成涉密材料大量丢失移动存储设备物理安全技术控制措施大楼周边大楼入口保护监控措施环境保护措施数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）电磁泄露的途径及危害途径：以电磁波形式的辐射泄露；电源线、控制线、信号线和地线造成的传导泄露危害：使各系统设备相互干扰，降低设备性能电磁泄露会造成信息暴露电磁泄露的影响因素及预防措施电磁辐射强度影响因素：功率和频率距离因素屏蔽状况预防措施：选用低辐射设备利用噪声干扰源采取屏蔽措施距离防护采用微波吸收材料物理隔离解决涉密网络及公共网络连接时的安全。涉及国家秘密的网络空间涉及本单位秘密的网络空间完全开放的公共信息交换空间安全域涉密域非涉密域公共服务域政府内网政府外网因特网物理隔离逻辑隔离物理隔离技术的定位不是要代替防火墙、入侵检测等系统，是用户“深度防御”的安全策略的一块基石，一般用来保护“核心”部分。要绝对解决互联网的安全问题。及防火墙技术的不同：防火墙：在保障互联互通的前提下尽可能安全。物理隔离：保证必须安全的前提下，尽可能互联互通。物理隔离的技术原理右图表示没连接时内外网应用状况，从物理上完全分离。内网外网控制器存储介质物理隔离的技术原理当外网需要有数据到内网时(如邮件)，外部服务器立即发起对隔离设备的数据连接，隔离设备将所有的协议剥离，将原始数据写入存储介质。外网内网控制器存储介质物理隔离的技术原理数据写入完毕，隔离设备立即中断及外网的连接，发起对内网的数据连接，将存储介质内的数据推向内网。内网收到数据后，进行协议封装交给应用系统。外网内网控制器存储介质在控制台收到完整的交换信号后，隔离设备立即切断其及内网的连接。物理隔离的技术原理内网有邮件发出时，隔离设备建立及内网间的数据连接，剥离所有的应用协议，得到原始数据写入存储介质。外网内网控制器存储介质物理隔离的技术原理数据写入完毕，隔离设备立即中断及内网的连接，发起对外网的数据连接，将存储介质中的数据推向外网，外网收到数据进行协议封装并交给系统。外网内网控制器存储介质物理隔离的技术原理每一次数据交换，隔离设备经历了数据的接受、存储和转发三个过程。内网和外网永不连接，在同一时间最多只有一个同隔离设备建立数据连接。数据传输机制是存储和转发，及时外网处在最坏的情况下，内网也不会有任何破坏。物理隔离及逻辑隔离物理隔离及逻辑隔离有很大的区别物理隔离的哲学是不安全就不连网,要绝对保证安全；物理隔离部件的安全功能应保证被隔离的计算机资源不能被访问，计算机数据不能被重用（至少应包括内存）。逻辑隔离的哲学是在保证网络正常使用下,尽可能安全逻辑隔离部件的安全功能应保证被隔离的计算机资源不能被访问，只能进行隔离器内外的原始应用数据交换。网络物理隔离的基本形式客户端物理隔离，采用隔离卡使一台计算机既连接内网又连接外网，可以在不同网络上分时地工作，节省资源。主要内容一、物理安全二、网络安全三、系统安全四、应用安全二、网络安全知识点及培训要求网络安全网络安全简介；理解网络安全的概念；了解网络安全的威胁；理解网络安全的防护模型。网络安全的技术手段了解物理隔离技术；了解交换机和路由器安全功能；了解VPN技术实现原理；掌握防火墙、入侵检测和病毒防护技术。网络安全威胁冒名顶替废物搜寻身份识别错误不安全服务配置初始化乘虚而入代码炸弹病毒更新或下载特洛伊木马间谍行为拨号进入算法考虑不周随意口令口令破解口令圈套窃听偷窃网络安全威胁线缆连接身份鉴别编程系统漏洞物理威胁网络服务的安全问题Web服务的安全问题FTP服务的安全问题Telnet的安全问题电子邮件的安全问题DNS的安全问题路由服务漏洞网络安全整体框架(形象图)虚拟专用网防火墙访问控制防病毒入侵检测中国被黑网站一览表西安信息港

贵州方志及地情网

中国青少年发展基金会(放有不良图片，现已被中国黑客删除)

福建外贸信息网

湖北武昌区政府信息网(恢复)

桂林图书馆

中国科学院理化技术研究所

中国:

中国科学院心理研究所国内外黑客组织北京绿色联盟技术公司()中国红客联盟()中国鹰派()中国黑客联盟HackweiserProphetAcidklownPoizonboxPrimeSuspectzSubexSVUNHi-Tech网络病毒红色代码尼姆达冲击波震荡波ARP病毒

木马病毒性木马工行密码盗取ＱＱ木马其它后门工具安全威胁实例用户使用一台计算机D访问位于网络中心服务器S上的webmail邮件服务，存在的安全威胁：U在输入用户名和口令时被录像机器D上有keylogger程序，记录了用户名和口令机器D上存放用户名和密码的内存对其他进程可读，其他进程读取了信息，或这段内存没有被清0就分配给了别的进程，其他进程读取了信息用户名和密码被自动保存了用户名和密码在网络上传输时被监听（共享介质、或arp伪造）机器D上被设置了代理，经过代理被监听安全威胁实例（续）查看邮件时被录像机器D附近的无线电接收装置接收到显示器发射的信号并且重现出来屏幕记录程序保存了屏幕信息浏览邮件时的临时文件被其他用户打开浏览器cache了网页信息临时文件仅仅被简单删除，但是硬盘上还有信息由于DNS攻击，连接到错误的站点，泄漏了用户名和密码由于网络感染了病毒，主干网瘫痪，无法访问服务器服务器被DOS攻击，无法提供服务什么是网络安全？本质就是网络上的信息安全。网络安全防护的目的。网络安全的定义：网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续、可靠、正常地运行，网络服务不中断。保障各种网络资源稳定、可靠的运行和受控、合法使用网络安全的特征（1）保密性confidentiality：信息不泄露给非授权的用户、实体或过程，或供其利用的特性。（2）完整性integrity：数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。（3）可用性availability：可被授权实体访问并按需求使用的特性，即当需要时应能存取所需的信息。网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击。（4）可控性controllability：对信息的传播及内容具有控制能力。（5）可审查性：出现的安全问题时提供依据及手段网络安全框架安全服务安全机制安全管理1．网络安全体系结构的相关概念网络安全体系的三维框架结构安全服务之间的关系网络安全策略网络安全是一个系统的概念，可靠的网络安全解决方案必须建立在集成网络安全技术的基础上，网络系统安全策略就是基于这种技术集成而提出的，主要有三种：1直接风险控制策略（静态防御）安全=风险分析+安全规则+直接的技术防御体系+安全监控攻击手段是不断进步的，安全漏洞也是动态出现的，因此静态防御下的该模型存在着本质的缺陷。2自适应网络安全策略（动态性）安全=风险分析+执行策略+系统实施+漏洞分析+实时响应该策略强调系统安全管理的动态性，主张通过安全性检测、漏洞监测，自适应地填充“安全间隙”，从而提高网络系统的安全性。完善的网络安全体系，必须合理协调法律、技术和管理三种因素，集成防护、监控和恢复三种技术，力求增强网络系统的健壮性及免疫力。局限性在于：只考虑增强系统的健壮性，仅综合了技术和管理因素，仅采用了技术防护。

网络安全策略（续）

3智能网络系统安全策略（动态免疫力）安全=风险分析+安全策略+技术防御体系+攻击实时检测+安全跟踪+系统数据恢复+系统学习进化技术防御体系包括漏洞检测和安全缝隙填充；安全跟踪是为攻击证据记录服务的，系统学习进化是旨在改善系统性能而引入的智能反馈机制。 模型中，“风险分析+安全策略”体现了管理因素；“技术防御体系+攻击实时检测+系统数据恢复+系统学习进化”体现了技术因素；技术因素综合了防护、监控和恢复技术；“安全跟踪+系统数据恢复+系统学习进化”使系统表现出动态免疫力。网络安全防护模型－PDRR 目前业界共识：“安全不是技术或产品，而是一个过程”。为了保障网络安全，应重视提高系统的入侵检测能力、事件反应能力和遭破坏后的快速恢复能力。信息保障有别于传统的加密、身份认证、访问控制、防火墙等技术，它强调信息系统整个生命周期的主动防御。网络安全防护模型－PDRR（续）保护(PROTECT) 传统安全概念的继承，包括信息加密技术、访问控制技术等等。检测(DETECT) 从监视、分析、审计信息网络活动的角度，发现对于信息网络的攻击、破坏活动，提供预警、实时响应、事后分析和系统恢复等方面的支持，使安全防护从单纯的被动防护演进到积极的主动防御。网络安全防护模型－PDRR（续）响应(RESPONSE)在遭遇攻击和紧急事件时及时采取措施，包括调整系统的安全措施、跟踪攻击源和保护性关闭服务和主机等。恢复(RECOVER)评估系统受到的危害及损失，恢复系统功能和数据，启动备份系统等。网络安全保障体系安全管理及审计物理层安全网络层安全传输层安全应用层安全链路层物理层网络层传输层应用层表示层会话层审计及监控身份认证数据加密数字签名完整性鉴别端到端加密访问控制链路加密物理信道安全物理隔离访问控制数据机密性数据完整性用户认证防抵赖安全审计网络安全层次层次模型网络安全技术实现安全目标用户安全服务可用安全技术选择--根据协议层次 物理层：物理隔离链路层:链路加密技术、PPTP/L2TP网络层:IPSec协议（VPN）、防火墙TCP层:SSL协议、基于公钥的认证和对称钥加密技术应用层:SHTTP、PGP、S/MIME、SSH(Secureshell)、开发专用协议（SET）网络安全工具物理隔离设备交换机/路由器安全模块防火墙(Firewall)漏洞扫描器入侵检测系统IDS、入侵防御系统IPS、安全审计系统、日志审计系统绿盟远程安全评估系统虚拟专用网（VPN）、上网行为管理系统病毒防护（防病毒软件、防毒墙、防木马软件等）网络加速，负载均衡、流量控制……物理隔离主要分两种：双网隔离计算机物理隔离网闸双网隔离计算机解决每人2台计算机的问题1台计算机，可以分时使用内网或外网关键部件硬盘网线软盘/USB/MODEM等共享部件显示器键盘/鼠标主板/电源硬盘*原理切换关键部件简单双网隔离计算机外网硬盘内网硬盘外网网线内网网线公共部件控制卡控制开关复杂双网隔离计算机内网硬盘外网网线内网网线公共部件控制卡远端设备使用控制卡上的翻译功能将硬盘分为逻辑上独立的部分充分使用UTP中的8芯，减少一根网线物理隔离网闸的基本原理采用数据“摆渡”的方式实现两个网络之间的信息交换在任意时刻，物理隔离设备只能及一个网络的主机系统建立非TCP/IP协议的数据连接，即当它及外部网络相连接时，它及内部网络的主机是断开的，反之亦然。任何形式的数据包、信息传输命令和TCP/IP协议都不可能穿透物理隔离设备。物理隔离设备在网络的第7层讲数据还原为原始数据文件，然后以“摆渡文件”形式传递原始数据。物理隔离实现基本原理物理隔离实现基本原理内外网模块连接相应网络实现数据的接收及预处理等操作；交换模块采用专用的高速隔离电子开关实现及内外网模块的数据交换，保证任意时刻内外网间没有链路层连接；数据只能以专用数据块方式静态地在内外网间通过网闸进行“摆渡”，传送到网闸另一侧；集成多种安全技术手段，采用强制安全策略，对数据内容进行安全检测，保障数据安全、可靠的交换。物理隔离技术的应用涉密网和非涉密网之间物理隔离技术的优缺点优点：

中断直接连接

强大的检查机制

最高的安全性缺点：

对协议不透明，对每一种协议都要一种具体的实现 效率低交换机安全模块MAC绑定QOS设置多VLAN划分日志其他…路由器安全功能访问控制链表基于源地址/目标地址/协议端口号路径的完整性防止IP假冒和拒绝服务（Anti-spoofing/DDOS）检查源地址：ipverifyunicastreverse-path过滤RFC1918地址空间的所有IP包；关闭源路由：noipsource-route路由协议的过滤及认证Flood管理日志其他抗攻击功能VPN简介VPN通过一个私有的通道来创建一个安全的私有连接，将远程用户、公司分支机构、公司的业务伙伴等跟企业网连接起来，形成一个扩展的公司企业网提供高性能、低价位的因特网接入VPN是企业网在公共网络上的延伸网上数据泄漏的风险Internet内部网恶意修改通道终点到：假冒网关外部段（公共因特网）ISP接入设备原始终点为：安全网关数据在到达终点之前要经过许多路由器，明文传输的报文很容易在路由器上被查看和修改监听者可以在其中任一段链路上监听数据逐段加密不能防范在路由器上查看报文，因为路由器需要解密报文选择路由信息，然后再重新加密发送恶意的ISP可以修改通道的终点到一台假冒的网关远程访问搭线监听攻击者ISPISP窃听正确通道VPN功能数据机密性保护数据完整性保护数据源身份认证重放攻击保护VPN的典型应用远程访问Internet内部网合作伙伴分支机构虚拟私有网虚拟私有网虚拟私有网VPN是企业网在因特网上的延伸现有的VPN解决方案基于IPSec的VPN解决方案基于第二层的VPN解决方案非IPSec的网络层VPN解决方案非IPSec的应用层解决方案基于IPSec的VPN解决在通信协议分层中，网络层是可能实现端到端安全通信的最低层，它为所有应用层数据提供透明的安全保护，用户无需修改应用层协议。该方案能解决的问题：数据源身份认证：证实数据报文是所声称的发送者发出的。数据完整性：证实数据报文的内容在传输过程中没被修改过，无论是被故意改动或是由于发生了随机的传输错误。数据保密：隐藏明文的消息，通常靠加密来实现。重放攻击保护：保证攻击者不能截获数据报文，且稍后某个时间再发放数据报文，而不会被检测到。自动的密钥管理和安全关联管理：保证只需少量或根本不需要手工配置，就可以在扩展的网络上方便精确地实现公司的虚拟使用网络方针IPSec框架的构成AH协议（头部认证）ESP协议（IPsec封装安全负载）ISAKMP/Oakley协议基于IPSec的VPN解决方案需要用到如下的协议：基于第二层的VPN解决公司内部网拨号连接因特网L2TP通道用于该层的协议主要有：L2TP：Lay2TunnelingProtocolPPTP：Point-to-PointTunnelingProtocolL2F：Lay2ForwardingL2TP的缺陷：仅对通道的终端实体进行身份认证，而不认证通道中流过的每一个数据报文，无法抵抗插入攻击、地址欺骗攻击。没有针对每个数据报文的完整性校验，就有可能进行拒绝服务攻击：发送假冒的控制信息，导致L2TP通道或者底层PPP连接的关闭。虽然PPP报文的数据可以加密，但PPP协议不支持密密钥的自动产生和自动刷新，因而监听的攻击者就可能最终破解密钥，从而得到所传输的数据。L2TP通道非IPSec的网络层VPN网络地址转换由于AH协议需要对整个数据包做认证，因此使用AH协议后不能使用NAT包过滤由于使用ESP协议将对数据包的全部或部分信息加密，因此基于报头或者数据区内容进行控制过滤的设备将不能使用服务质量由于AH协议将IP协议中的TOS位当作可变字段来处理，因此，可以使用TOS位来控制服务质量非IPSec的应用层VPNSOCKS位于OSI模型的会话层，在SOCKS协议中，客户程序通常先连接到防火墙1080端口，然后由Firewall建立到目的主机的单独会话，效率低，但会话控制灵活性大SSL（安全套接层协议）属于高层安全机制，广泛用于WebBrowseandWebServer，提供对等的身份认证和应用数据的加密。在SSL中，身份认证是基于证书的，属于端到端协议，不需要中间设备如：路由器、防火墙的支持S-HTTP提供身份认证、数据加密，比SSL灵活，但应用很少，因SSL易于管理S-MIME一个特殊的类似于SSL的协议，属于应用层安全体系，但应用仅限于保护电子邮件系统，通过加密和数字签名来保障邮件的安全，这些安全都是基于公钥技术的，双方身份靠X.509证书来标识，不需要FirewallandRouter的支持TCP/IP协议栈及对应的VPNNetworkInterface(DataLink)IP(Internetwork)TCP/UDP(Transport)S—MIMEKerberosProxiesSETIPSec(ISAKMP)SOCKSSSL,TLSIPSec(AH,ESP)PacketFilteringTunnelingProtocolsCHAP,PAP,MS-CHAPApplication现有的VPN解决方案－－小结网络层对所有的上层数据提供透明方式的保护，但无法为应用提供足够细的控制粒度数据到了目的主机，基于网络层的安全技术就无法继续提供保护，因此在目的主机的高层协议栈中很容易受到攻击应用层的安全技术可以保护堆栈高层的数据，但在传递过程中，无法抵抗常用的网络层攻击手段，如源地址、目的地址欺骗应用层安全几乎更加智能，但更复杂且效率低因此可以在具体应用中采用多种安全技术，取长补短防火墙的主要功能监控并限制访问 针对黑客攻击的不安全因素，防火墙采取控制进出内外网的数据包的方法，实时监控网络上数据包的状态，并对这些状态加以分析和处理，及时发现存在的异常行为；同时，根据不同情况采取相应的防范措施，从而提高系统的抗攻击能力。控制协议和服务 针对网络先天缺陷的不安全因素，防火墙采取控制协议和服务的方法，使得只有授权的协议和服务才可以通过防火墙，从而大大降低了因某种服务、协议的漏洞而引起灾难性安全事故的可能性。防火墙的主要功能（续）保护网络内部 针对软件及系统的漏洞或“后门”，防火墙采用了及受保护网络的操作系统、应用软件无关的体系结构，其自身建立在安全操作系统之上；同时，针对受保护的内部网络，防火墙能够及时发现系统中存在的漏洞，进行访问上的限制；防火墙还可以屏蔽受保护网络的相关信息，使黑客无从下手。日志记录及审计 当防火墙系统被配置为所有内部网络及外部Internet连接均需经过的安全节点时，防火墙系统就能够对所有的网络请求做出日志记录。日志是对一些可能的攻击行为进行分析和防范的十分重要的情报。另外,防火墙系统也能够对正常的网络使用情况做出统计。这样网络管理员通过对统计结果进行分析，掌握网络的运行状态，继而更加有效的管理整个网络。防火墙的优点及不足可屏蔽内部服务，避免相关安全缺陷被利用2－7层访问控制（集中在3-4层）解决地址不足问题抗网络层、传输层一般攻击不足防外不防内对网络性能有影响对应用层检测能力有限入侵检测基本原理：利用sniffer方式获取网络数据，根据已知特征判断是否存在网络攻击优点：能及时获知网络安全状况，借助分析发现安全隐患或攻击信息，便于及时采取措施。不足：准确性：误报率和漏报率有效性：难以及时阻断危险行为网络防病毒基本功能：串接于网络中，根据网络病毒的特征在网络数据中比对，从而发现并阻断病毒传播优点：能有效阻断已知网络病毒的传播不足：只能检查已经局部发作的病毒对网络有一定影响网络扫描器通过模拟网络攻击检查目标主机是否存在已知安全漏洞优点：有利于及早发现问题，并从根本上解决安全隐患不足：只能针对已知安全问题进行扫描准确性vs指导性访问控制（1）广义的访问控制功能包括鉴别、授权和记账等鉴别（Authentication）：辨别用户是谁的过程。授权（Authorization）对完成认证过程的用户授予相应权限，解决用户能做什么的问题。在一些访问控制的实现中，认证和授权是统一在一起的记账（Accounting）；统计用户做过什么的过程，通常使用消耗的系统时间、接收和发送的数据量来量度。Tacacs、Tacacs+、Radius等技术能实现这三种功能。访问控制（2）RADIUS协议针对远程用户Radius（RemoteAuthenticationDialinUserservice）协议，采用分布式的Client/Server结构完成密码的集中管理和其他访问控制功能；网络用户（Client）通过网络访问服务器（NAS）访问网络，NAS同时作为Radius结构的客户端，认证、授权和计帐的3A功能通过NAS和安全服务器（SecutityServer）或Radius服务器之间的Radius协议过程完成，而用户的控制功能在NAS实现。访问控制（3）TACAS协议

TACACS（TerminalAccessControllerAccessControlSystem--终端访问控制系统）是历史上用于UNIX系统的认证协议，它使远程访问服务器将用户的登录信息发送到认证服务器以确定用户是否可以访问给定系统。TACACS对数据并不加密，因此它的安全性要差一些，针对这种情况，又设计了TACACS+和RADIUS协议。访问控制（4）TACACS+协议

由Cisco公司提出，在此协议中，当用户试图登录时，NAS将询问安全服务做什么，安全服务器通常知NAS输入用户名和密码，然后，发送接受或拒绝响应信息给NAS。用户登录进入之后，对于每一条用户输入的命令，NAS都将提请安全服务器进行授权。访问控制（5）防火墙5.3.1防火墙的概念5.3.2防火墙技术5.3.3防火墙体系结构5.3.4防火墙的局限性和发展防火墙的概念防火墙是设置在可信网络(TrustedNetwork)和不可信任的外界之间的一道屏障，可以实施比较广泛的安全策略来控制信息流进入可信网络，防止不可预料的潜在的入侵破坏；另一方面能够限制可信网络中的用户对外部网络的非授权访问。防火墙都必须具有以下三种基本性质：①进出网络的双向通信信息必须通过防火墙；②只能允许经过本地安全策略授权的通信信息通过；③防火墙本身不能影响网络信息的流通。防火墙功能（1）防火墙是网络安全的屏障（2）防火墙可以强化网络安全策略（3）对网络存取和访问进行监控审计（4）防止内部信息的外泄防火墙的功能主要表现在如下四个方面：防火墙功能过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击进行检测和告警。从总体上来看，防火墙应具有以下五个基本功能：一、防火墙技术常见的防火墙技术有三种1、包(分组)过滤技术2、代理技术3、状态检测技术包(分组)过滤技术包过滤防火墙一般位于内部网络和外部网络的边界上，是内外网络通信的唯一出入点，所有进出内部网络的流量首先都要经过包过滤防火墙的审查。包过滤的基本流程图代理技术代理(Proxy)技术及包过滤技术完全不同，代理服务是运行在防火墙主机上的专门的应用程序或者服务器程序。采用代理技术的防火墙将所有跨越防火墙的网络通信链路分为两段，从而起到了隔离防火墙内外计算机系统的作用。代理服务一般分为应用层代理及传输层代理两种。状态包过滤技术状态包过滤(StatefulPacketFilter)是一种基于连接的状态检测机制，将属于同一连接的所有包作为一个整体的数据流看待，对接收到的数据包进行分析，判断其是否属于当前合法连接，从而进行动态的过滤。防火墙的其他相关技术除了上面介绍的防火墙技术外，一些新的技术正在防火墙产品采用，主要有：NATVPN安全审计安全内核身份认证负载平衡内容安全加密技术等防火墙体系结构防火墙体系结构一般分为：

包过滤路由器；

双宿主机防火墙；

屏蔽主机防火墙；

屏蔽子网防火墙。包过滤路由器功能是实施包过滤。创建相应的过滤策略时对工作人员的TCP/IP的知识有相当的要求，如果包过滤路由器被黑客攻破那么内部网络将变的十分的危险。该防火墙不能够隐藏你的内部网络的信息、不具备监视和日志记录功能。典型的筛选路由器模型如图。单宿主堡垒主机模型单宿主堡垒主机（屏蔽主机防火墙）模型由包过滤路由器和堡垒主机组成。该防火墙系统提供的安全等级比包过滤防火墙系统要高，因为它实现了网络层安全（包过滤）和应用层安全（代理服务）。所以入侵者在破坏内部网络的安全性之前，必须首先渗透两种不同的安全系统。单宿主堡垒主机的模型如图。双宿主堡垒主机模型双宿主堡垒主机模型（屏蔽防火墙系统）可以构造更加安全的防火墙系统。双宿主堡垒主机有两种网络接口但是主机在两个端口之间直接转发信息的功能被关掉了。在物理结构上强行将所有去往内部网络的信息经过堡垒主机。双宿主堡垒主机模型如图。防火墙的局限性和发展没有万能的网络安全技术，防火墙也不例外。防火墙有以下三方面的局限：防火墙不能防范网络内部的攻击。比如：防火墙无法禁止变节者或内部间谍将敏感数据拷贝到软盘上。防火墙也不能防范那些伪装成超级用户或诈称新雇员的黑客们劝说没有防范心理的用户公开其口令，并授予其临时的网络访问权限。防火墙不能防止传送己感染病毒的软件或文件，不能期望防火墙去对每一个文件进行扫描，查出潜在的病毒。防火墙的发展趋势优良的性能可扩展的结构和功能简化的安装及管理主动过滤防病毒及防黑客入侵检测技术5.4.1入侵检测概念及其发展5.4.2入侵检测通用模型及框架5.4.3入侵检测系统分类5.4.4入侵检测方法和技术5.4.5入侵检测体系结构5.4.6入侵检测技术和产品的发展趋势5.4.7入侵防御系统(IPS)入侵检测概念及其发展入侵(Intrusion)是指任何企图危及资源的完整性、机密性和可用性的活动。不仅包括发起攻击的人(如恶意的黑客)取得超出合法范围的系统控制权，也包括收集漏洞信息，造成拒绝服务等对计算机系统产生危害的行为。入侵检测顾名思义，是指通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测的软件及硬件的组合便是入侵检测系统(IntrusionDetectionSystem，简称IDS)。入侵检测通用模型及框架最早的入侵检测模型是由Denning给出的，该模型主要根据主机系统审计记录数据，生成有关系统的若干轮廓，并监测轮廓的变化差异发现系统的入侵行为，如图5-14所示。单宿主堡垒主机模型CIDF阐述的是一个入侵检测系统的通用模型。按功能，它把一个入侵检测系统分为以下组件(如图5-15所示)：入侵检测系统分类根据其采用的分析方法可分为

异常检测和误用检测根据系统所检测的对象可分为

基于主机的和基于网络的根据系统的工作方式可分为

离线检测和在线检测主要内容一、物理安全二、网络安全三、系统安全四、应用安全三、系统安全知识点及培训要求操作系统安全Unix/Linux安全实践了解unix/linux系统架构和关键系统组件；理解系统服务和系统进程；理解unix/linux系统启动过程理解unix/Linux系统安全实现，包括文件系统安全、身份认证及验证授权、账号安全、日志及审计等Windows安全实践了解Windows系统架构和关键系统组件；理解系统服务和系统进程；理解Windows系统启动过程理解Windows系统安全实现，包括文件系统安全、身份认证及验证授权、账号安全、日志及审计等。三、系统安全知识点及培训要求数据库安全数据库安全基础了解数据库概念掌握结构化查询语言SQL理解数据库安全概念理解数据库安全功能理解数据库“视图”对于数据保密性的作用理解“规则及默认”和“事务管理”对于数据完整性的作用数据库管理系统的安全管理理解数据库威胁及防护掌握数据库安全特性检查掌握数据库运行安全监控了解数据库管理系统产品安全理解数据库管理系统安全要求三、系统安全Unix/Linux安全实践系统概述系统架构和关键系统组件系统服务和进程系统启动过程系统安全原理文件系统安全身份认证及验证授权账号安全日志及审计其它Unix/Linux系统架构190190Unix/Linux系统架构191191内存管理系统允许多个进程安全地共享主内存区域，支持虚拟内存文件系统文件系统负责存储信息在磁盘上，虚拟文件系统隐藏了各种不同硬件的具体细节，为所有设备提供了统一的接口，VFS支持几十种不同的文件系统进程间通信进程间通信支持进程间各种通信机制进程调度系统进程调度控制着进程对CPU的访问，当需要选择下一个进程运行时，由调度程序选择最值得运行的进程设备驱动程序负责及不同的管理不同设备三、系统安全192192Unix/Linux安全实践系统概述系统架构和关键系统组件系统服务和进程系统启动过程系统安全原理文件系统安全身份认证及验证授权账号安全日志及审计其它什么是守护进程（服务）193193服务就是运行在网络服务器上监听用户请求的进程服务是通过端口号来区分的常见的服务及其对应的端口ftp:21telnet:23http(www):80pop3:110在UNIX系统里启动及关闭服务？194194在UNIX系统中,服务是通过inetd进程或启动脚本来启动通过inetd来启动的服务可以通过在/etc/inetd.conf文件中注释来禁用通过启动脚本启动的服务可以通过改变脚本名称的方式禁用inetd超级服务器？1951951.inetd超级服务器 inetd的功能 inetd的配置和管理2.服务的关闭 关闭通过inetd启动的服务 关闭独立启动的服务3.inetd的替代品 xinetd()xinetd比inetd更多管理功能xinetd的配置inetd配置文件196196#inetd.confThisfiledescribestheservicesthatwillbeavailable#throughtheINETDTCP/IPsuperserver.Tore-configure#therunningINETDprocess,editthisfile,thensendthe#INETDprocessaSIGHUPsignal.##Echo,discard,daytime,andchargenareusedprimarilyfortesting.##Tore-readthisfileafterchanges,justdoa'killall-HUPinetd'##echostreamtcpnowaitrootinternal#echodgramudpwaitrootinternal#discardstreamtcpnowaitrootinternal#discarddgramudpwaitrootinternal#daytimestreamtcpnowaitrootinternal#daytimedgramudpwaitrootinternal#chargenstreamtcpnowaitrootinternal#chargendgramudpwaitrootinternal#timestreamtcpnowaitrootinternal#timedgramudpwaitrootinternal##Thesearestandardservices.#ftpstreamtcpnowaitroot/usr/sbin/tcpdin.ftpd-l-atelnetstreamtcpnowaitroot/usr/sbin/tcpdin.telnetd三、系统安全197197Unix/Linux安全实践系统概述系统架构和关键系统组件系统服务和进程系统启动过程系统安全原理文件系统安全身份认证及验证授权账号安全日志及审计其它PC机启动过程198198PC启动IntelCPU进入实模式开始执行0xFFFF0（ROM—BIOS）处的代码BIOS自检初始化位于地址0的中断向量表BIOS将启动盘的第一个扇区装入到0x7C00，并开始执行此处的代码完成内核的初始化UNIX引导过程概述1991991.开始引导装入程序(bootloader)2.内核初始化并运行内核程序3.开始其他系统“自发的”进程4.运行系统起始脚本内核活动1.识别CPU体系结构并初始化2.计算物理内存并初始化虚拟内存系统3.为内部结构分配内存4.探测系统设备，配置它们和初始化它们内核引导的自发进程“自发”进程是内核通过特别机制创建的这些进程通常用来控制进程调度安排和VMsystem它们不是存在于文件系统中可执行的进程，而是真正的内核代码INIT进程开始并引导系统运行开始脚本BSD“起始”（start-up)脚本•init运行shell脚本/etc/rc:–Mounts本地文件系统–初始化网络接口–开始系统daemon程序•/etc/rc运行/etc/rc.local中的特定系统服务程序•/etc/rc.conf脚本用来告诉系统在引导时运行哪些服务SYSV“开始”(start-up)脚本init程序依据设定运行级别运行相应的“开始”级别脚本:S–系统启动配置2–初始化网络配置，启动系统daemon程序3–输出文件系统，启动本地daemon进程运行级别0是中止系统，运行级别6是重新引导系统启动脚本存放在/etc/init.d目录中通常一个脚本对应一个daemon进程或者一项配置任务这些脚本都可以带有“start”或“stop”参数–这样当系统down的时候，可以很好地关闭打开的进程每一个运行级别都对应一个/etc/rc*.d目录/etc/rc*.d中的链接文件的原文件是/etc/init.d目录中文件链接文件命名方式是Snn…(脚本运行使用“start”参数）或者Knn…(脚本运行使用“stop”参数)nn代表脚本运行的顺序203底线管理员可以控制在系统引导结束后运行哪些服务对于BSD系统,编辑/etc/rc.conf(或者去掉/etc/rc*中注释标记)对于SYSV系统,删除(或者重命名)在/etc/rc*.d目录中的链接文件Init控制引导进程1.基本系统配置2.开始网络服务3.开始NFS守护进程4.运行系统其他守护进程5.提供X界面登录的窗口1、基本系统配置•装载root文件系统－包括关键程序和配置文件•配置网络接口•装载其他文件系统，其中一些可能是从网络装载2、开始网络服务DNS服务－只在有DNS服务的机器上运行Portmapper(rpcbind)–基于RPC服务的主控守护进程NIS/NIS+–基于RPC的网络信息数据库Syslog–系统日志进程inetd–运行其他网络服务的“meta”守护进程3、开始NFS守护进程NFS客户端进程:lockd–NFS文件锁定系统statd–在系统重引导后解锁进程NFS服务器端进程:mountd–服务器响应客户请求nfsd–NFSI/O进程"Automounter"(amdorautomountd)4、运行系统其他进程•cron–在事先设定好的时间运行的后台进程•Sendmail–邮件服务进程•其他服务进程–NTP、SNMP、HTTP、“volumemanagers”、localservices……三、系统安全Unix/Linux安全实践系统概述系统架构和关键系统组件系统服务和进程系统启动过程系统安全原理文件系统安全身份认证及验证授权账号安全日志及审计其它文件系统目录结构211/homebinprocusrbootlibdevetcvarftpljwlinuxbinlibmantmpliblogrunspooltmp常见目录用途/binbin是二进制（binaries）的缩写。许多基本的系统程序都驻留在/bin目录中。/boot存放启动Linux时使用的一些核心文档,如vmlinuz等。/dev用1s-F命令可以列出/dev目录中的内容。该目录下是一些称为设备驱动程序的特殊文件，用于访问系统资源或设备，如软盘、硬盘、CD-ROM、调制解调器、系统内存等。有了这些文件，用户可以像访问普通文件一样方便地访问系统中的物理设备。例如，当用户要从一个文件中读数据时，可以通过调用/dev/mouse文件从鼠标器读取输入信息。在/dev目录下，各种设备所对应的特殊文件以一定的规则命名。例如，/dev/fd0文件指第一个软驱，/dev/fdl指第二个软驱，/dev/hda指第一个硬盘，而/dev/hdal指的是/dev/hda的第一个分区，如此类推。/etc包含系统管理所需要的大量配置文件和子目录，例如口令文件/etc/passwd、系统初始化脚本文件/etc/rc等。该目录是系统中最重要的目录之一。/home包含所有用户的个人主目录。通常，用户的个人主目录以它的名字来命名，例如/home/yang是用户yang的个人目录。在新安装的Linux系统中，/home目录中可能没有任何用户。/lib该目录包含动态链接共享库的文件映象，这些文件为众多程序提供了共享代码。使用库文件，可以缩小可执行文件的尺寸，节省系统空间。常见目录用途/lost+found这是一个空目录，只有当文件系统发生故障时，才用来存放找不到正确存储位置的文件。/mnt用户可以在该目录下临时挂装其它文件系统，如在使用CD-ROM时，就要把CD-ROM文件挂装在该目录下。/proc这是Linux系统提供的一个“虚拟文件系统”，其中的文件都存放在内存中，而不是存放在磁盘中。它们指向在系统中正在运行的各个进程，以便用户可以随时访问程序的运行信息。给用户提供方便的接口。/root超级用户的主目录/sbin专门用来存储系统管理员使用的可执行文件，如mount、linuxconf等等。/tmp程序执行时会产生一些临时信息，系统把这些临时信息存放在一个暂时文件中，这个临时文件就放在/tmp目录下。/usr这是一个非常重要的目录，它包括许多子目录。有些子目录用来存放系统的配置文件和重要的大型软件包程序。前面讨论到的各目录对系统的操作来说是最基本的，而在/usr中许多内容是可以任选的。如果没有/usr目录，系统中将只有cp、1s等程序，这样的系统会非常难用/var该目录用来容纳大小经常发生变化或打算进一步扩充的目录或文件。例如，文件/var/adm中包含着系统管理员感兴趣的内容，特别是系统日志，它记录了系统的所有错误或问题。文件类型普通文件ASCII文本文件，二进制数据文件，二进制可执行文件等目录包括一组其它文件的二进制文件特殊文件/dev目录下的设备文件等链接文件硬链接和符号链接，指向另外的文件，类型windows下的快捷方式sockets用于进程间通信时使用的特殊文件，以.sock结尾Unix文件系统的权限#ls–altest drwxr-xr-x3rootroot1024Sep1311:58test在unix中用模式位表示文件的类型及权限 通常由一列10个字符来表示，每个字符表示一个模式设置第1位:表示文件类型。d表示目录，-表示普通文件，l表示链接文件等等，s表示socket文件，c表示字符设备，b表示块设备每个文件和目录有三组权限，一组是文件的拥有者、一组是文件所属组的成员、一组是其他所有用户。第2-10位：表示文件权限"r"表示可读，"w"表示可写，"x"表示可执行。一共9位(每组3位)，合起来称为模式位(modebits)文件模式位UNIX文件权限模式数学字表示文件所有者文件所在组其它人权限文件、目录隐含模式rwxr-xr-xstickysgidsuidrwxr-xr-x111rwsr-sr-tsetuid和setgid什么是setuid和setgid程序？UNIX中的SUID(SetUserID)/SGID(SetGroupID)设置了用户id和分组id属性，允许用户以特殊权利来运行程序,这种程序执行时具有文件所有者的权限和文件所在组的权限。如passwd程序,它就设置了SUID位-r-s--x--x1rootroot10704Apr152002/usr/bin/passwd^SUID程序passwd程序执行时就具有root（文件所有者）的权限为什么要有SUID和SGID程序?SUID程序是为了使普通用户完成一些普通用户权限不能完成的事而设置的.比如每个用户都允许修改自己的密码,但是修改密码时又需要root权限,所以修改密码的程序需要以管理员权限来运行.UNIX文件和目录权限位的含义文件目录Read可以读取文件可以对目录中的文件列表Write可以修改文件内容可以创建或删除文件阿Execute可以执行文件