信息安全技术与实施培训教材

序言随着科学技术的迅猛发展和信息技术的广泛应用，特别是我国国民经济和社会信息化进程的全面加快，网络与信息系统的基础性、全局性作用日益增强，信息安全已经成为国家安全的重要组成部分。近年来，在党中央、国务院的领导下，我国信息安全保障工作取得了明显成效，建设了一批信息安全基础设施，加强了互联网信息内容安全管理，为维护国家安全与社会稳定、保障和促进信息化健康发展发挥了重要作用。

但是，我国信息安全保障工作仍存在一些亟待解决的问题：网络与信息系统的防护水平不高，应急处理能力不强；信息安全管理和技术人才缺乏，关键技术整体上还比较落后，产业缺乏核心竞争力；信息安全法律法规和标准不完善；全社会的信息安全意识不强，信息安全管理薄弱等。与此同时，网上有害信息传播、病毒入侵和网络攻击日趋严重，网络泄密事件屡有发生，网络犯罪呈快速上升趋势，境内外敌对势力针对广播电视卫星、有线电视和地面网络的攻击破坏活动和利用信息网络进行的反动宣传活动日益猖獗，严重危害公众利益和国家安全，影响了我国信息化建设的健康发展。随着我国信息化进程的逐步推进，特别是互联网的广泛应用，信息安全还将面临更多新的挑战。信息安全技术与实施目录物理实体安全与防护2密码技术与应用4信息安全概述31网络攻击与防范33数字身份认证35目录入侵检测技术与应用7操作系统安全防范9防火墙技术与应用36计算机病毒与防范38无线网络安全与防范310第1章信息安全概述本章内容

信息安全介绍1.1黑客的概念及黑客文化1.2针对信息安全的攻击1.3网络安全体系1.4信息安全的三个层次1.5引导案例：2009年1月，法国海军内部计算机系统的一台计算机受病毒入侵，迅速扩散到整个网络，一度不能启动，海军全部战斗机也因无法“下载飞行指令”而停飞两天。仅仅是法国海军内部计算机系统的时钟停摆，法国的国家安全就出现了一个偌大的黑洞。设想，若一个国家某一系统或领域的计算机网络系统出现问题或瘫痪，这种损失和危害将是不可想象的，而类似的事件不胜枚举。目前，美国政府掌握着信息领域的核心技术，操作系统、数据库、网络交换机的核心技术基本掌握在美国企业的手中。微软操作系统、思科交换机的交换软件甚至打印机软件中嵌入美国中央情报局的后门软件已经不是秘密，美国在信息技术研发和信息产品的制造过程中就事先做好了日后对全球进行信息制裁的准备。1.1信息安全介绍随着全球互联网的迅猛发展，越来越多的人亲身体会到了信息化给人们带来的实实在在的便利与实惠，然后任何事情都有两面性，信息化在给经济带来实惠的同时，也产生了新的威胁。目前“信息战”已经是现代战争克敌制胜的法宝，例如科索沃战争、海湾战争。尤其是美国“9.11事件”给世界各国的信息安全问题再次敲响了警钟，因为恐怖组织摧毁的不仅仅是世贸大厦，随之消失的还有众多公司的数据。自2003年元旦以来，蠕虫病毒“冲击波”对全球范围内的互联网发起了不同程度的攻击，制造了一场规模空前的互联网“网瘫”灾难事件。迄今为止，许多组织、单位、实体仍然没有完全走出“冲击波”和“震荡波”的阴影，而2007年的“熊猫烧香”又给互联网用户留下了深刻印象。计算机攻击事件正以每年64%的速度增加。另据统计，全球约20秒钟就有一次计算机入侵事件发生，Internet上的网络防火墙约1/4被突破，约有70%以上的网络信息主管人员报告因机密信息泄露而受到了损失。信息安全涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科。由于目前信息的网络化，信息安全主要表现在网络安全上，所以目前将网络安全与信息安全等同起来（不加严格区分）。实际上，叫信息安全比较全面、科学。信息安全问题已引起了各国政府的高度重视，建立了专门的机构，并出台了相关标准与法规。1.1.1信息安全的概念信息安全的概念是随着计算机化、网络化、信息化的逐步发展提出来的。当前对信息安全的说法比较多，计算机安全、计算机信息系统安全、网络安全、信息安全的叫法同时并存（事实上有区别，各自的侧重点不同）。ISO对计算机系统安全的定义为：为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。计算机网络安全的概念：通过采用各种技术和管理措施，使网络系统正常运行，从而确保网络数据的可用性、完整性和保密性。建立网络安全保护措施的目的：确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄露等。针对信息安全，目前没有公认的定义。美国国家安全电信和信息系统安全委员会（NSTISSC）对信息安全做如下定义：信息安全是对信息、系统以及使用、存储和传输信息的硬件的保护。信息安全涉及个人权益、企业生存、金融风险防范、社会稳定和国家安全，它是物理安全、网络安全、数据安全、信息内容安全、信息基础设施安全、国家信息安全的总和。1.1.2信息安全的内容网络信息安全的内容物理安全1防静电防盗防雷击防火防电磁泄漏2用户身份认证访问控制加密安全管理逻辑安全操作系统安全3联网安全4访问控制服务通信安全服务1.物理安全物理安全是指用来保护计算机网络中的传输介质、网络设备、机房设施安全的各种装置与管理手段。包括：防盗、防火、防静电、防雷击和防电磁泄露等。物理上的安全威胁主要涉及对计算机或人员的访问。策略和多，如将计算机系统和关键设备布置在一个安全的环境中，销毁不再使用的敏感文档，保持密码和身份认证部件的安全性，锁住便携式设备等。物理安全更多的是依赖于行政的干预手段并结合相关技术。如果没有基础的物理保护，物理安全是不可能实现的。2.网络安全计算机网络的逻辑安全主要通过用户身份认证、访问控制、加密、安全管理等方法来实现。（1）用户身份认证。身份证明是所有安全系统不可或缺的一个组件。它是区别授权用户和入侵者的唯一方法。为了实现对信息资源的保护，并知道何人试图获取网络资源的访问权，任何网络资源拥有者都必须对用户进行身份认证。（2）访问控制。访问控制是制约拥护连接特定网络、计算机与应用程序，获取特定类型数据流量的能力。访问控制系统一般针对网络资源进行安全控制区域划分，实施区域防御的策略。在区域的物理边界或逻辑边界使用一个许可或拒绝访问的集中控制点。（3）加密。即即使访问控控制和身份份验证系统统完全有效效，在数据据信息通过过网络传送送时，企业业仍然可能能面临被窃窃听的风险险。事实上上，低成本本和连接的的简单性已已使Internet成为企业内内和企业间间通信的一一个极为诱诱人的媒介介。同时，，无线网络络的广泛使使用也在进进一步加大大网络数据据被窃听的的风险。加加密技术用用于针对窃窃听提供保保护，它通通过信息只只能被具有有解密数据据所需密钥钥的人员读读取来提供供信息的安安全保护。。它与第三三方是否通通过Internet截取数据包包无关，因因为数据即即使在网络络上被第三三方截取，，它也无法法获取信息息的本义。。这种方法法可在整个个企业网络络中使用，，包括在企企业内部（（内部网））、企业之之间（外部部网）或通通过公共Internet在虚拟专用用网（VPN）中传送私私人数据。。加密技术术主要包括括对称式和和非对称式式两种，都都有许多不不同的密钥钥算法来实实现。（4）安全管理理。安全系系统应当允允许由授权权人进行监监视和控制制。使用验验证的任何何系统都需需要某种集集中授权来来验证这些些身份，而而无论它是是UNIX主机、WindowsNT域控制器还还是NovellDirectorySerrvices（NDS）服务器上上的/etc/passwd文件。由于于能查看历历史记录，，如突破防防火墙的多多次失败尝尝试，安全全系统可以以为那些负负责保护信信息资源的的人员提供供宝贵的信信息。一些些更新的安安全规范，，如IPSEC，需要包含含策略规则则数据库。。要使系统统正确运行行，就必须须管理所有有这些要素素。但是，，管理控制制台本身也也是安全系系统的另一一个潜在故故障点。因因此，必须须确保这些些系统在物物理上得到到安全保护护，请确保保对管理控控制台的任任何登录进进行验证。。3.操作系统安安全。计算机操作作系统担负负着庞大的的资源管理理，频繁的的输入输出出控制以及及不可间断断的用户与与操作系统统之间的通通信任务。。由于操作作系统具有有一权独大大的特点，，所有针对对计算机和和网络的入入侵及非法法访问都是是以攫取操操作系统的的最高权限限作为入侵侵的目的。。因此，操操作系统安安全的内容容就是采用用各种技术术手段和采采用合理的的安全策略略，降低系系统的脆弱弱性。与过过去相比，，如今的操操作系统性性能更先进进、功能更更丰富，因因而对使用用者来说更更便利，但但是也增加加了安全漏漏洞。要减减少操作系系统的安全全漏洞，需需要对操作作系统予以以合理配置置、管理和和监控。做做到这点的的秘诀在于于集中、自自动管理机机构（企业业）内部的的操作系统统安全，而而不是分散散、人工管管理每台计计算机。实实际上，如如果不集中中管理操作作系统安全全，相应的的成本和风风险就会非非常高。目目前所知道道的安全入入侵事件，，一半以上上缘于操作作系统根本本没有合理理配置，或或者没有经经常核查及及监控。操操作系统都都是以默认认安全设置置类配置的的，因而极极容易受到到攻击。那些人工更更改了服务务器安全配配置的用户户，把技术术支持部门门的资源都都过多地消消耗于帮助助用户处理理口令查询询上，而不不是处理更更重要的网网络问题。。考虑到这这些弊端，，许多管理理员任由服服务器操作作系统以默默认状态运运行。这样样一来，服服务器可以以马上投入入运行，但但却大大增增大了安全全风险。现有技术可可以减轻管管理负担。。要加强机机构（企业业）网络内内操作系统统的安全，，需要做到到以下三方方面：首先对网络络上的服务务器进行配配置应该在在一个地方方进行，大大多数用户户大概需要要数十种不不同的配置置。然后，，这些配置置文件的一一个镜像或或一组镜像像在软件的的帮助下可可以通过网网络下载。。软件能够够自动管理理下载过程程，不需要要为每台服服务器手工工下载。此此外，即使使有些重要要的配置文文件，也不不应该让本本地管理员员对每台服服务器分别别配置，最最好的办法法就是一次次性全部设设定。一旦旦网络配置置完毕，管管理员就要要核实安全全策略的执执行情况，，定义用户户访问权限限，确保所所有配置正正确无误。。管理员可可以在网络络上运行（（或远程运运行）代理理程序，不不断监控每每台服务器器。代理程程序不会干干扰正常操操作。其次，帐户户需要加以以集中管理理，以控制制对网络的的访问，并并且确保用用户拥有合合理访问机机构资源的的权限。策策略、规则则和决策应应在一个地地方进行，，而不是在在每台计算算机上进行行，然后为为用户系统统配置合理理的身份和和许可权。。身份生命命周期管理理程序可以以自动管理理这一过程程，减少手手工过程带带来的麻烦烦。最后，操作作系统应该该配置成能能够轻松、、高效地监监控网络活活动，可以以显示谁在在进行连接接，谁断开开了连接，，以及发现现来自操作作系统的潜潜在安全事事件。网络安全策策略安全策略是是针对网络络和系统的的安全需要要，做出允允许什么、、禁止什么么的规定，，通常可以以使用数学学方式来表表达策略，，将其表示示为允许（（安全的））或不允许许（不安全全的）的状状态列表。。为达到这这个目的，，可假设任任何给定的的策略能对对安全状态态和非安全全状态做出出公理化描描述。实践践中，策略略极少会如如此精确，，网络使用用文本语言言描述什么么是用户或或系统允许许做的事情情。这种描描述的内在在歧义性导导致某些状状态既不能能归于“允允许”一类类，也不能能归于“不不允许”一一类，因此此制定安全全策略时，，需要注意意此类问题题。因此安全策策略是指在在一个特定定的环境里里，为提供供一定级别别的安全保保护所必须须遵守的规规则。1.物理安全策策略目的是保护护计算机系系统、网络络服务器、、打印机等等硬件实体体和通信链链路免受自自然灾害、、认为破坏坏、搭线攻攻击，验证证用户的身身份和使用用权限，防防止用户越越权操作；；确保计算算机系统有有一个良好好的电磁兼兼容工作环环境；建立立完备的安安全管理制制度，防止止非法进入入计算机控控制室和各各种盗窃、、破坏活动动的发生。。抑止和防防止电磁泄泄露，即Tempest技术，是物物理安全策策略的一个个主要问题题。目前主主要防护措措施有两类类：一类是是传导发射射的保护，，主要采取取对电源线线和信息线线加装性能能良好的滤滤波器，减减少传输阻阻抗和导线线间的交叉叉耦合；另另一类是对对辐射的防防护。2.访问控制策策略访问控制是是网络安全全防范和保保护的主要要策略，主主要任务是是保证网络络资源不被被非法使用用和访问，，它是维护护网络安全全、保护网网络资源的的重要手段段。各种安安全策略必必须相互配配合才能真真正起到保保护作用，，可以说访访问控制是是保证网络络安全的核核心策略之之一。（1）入网访问问控制。为为网络访问问提供了第第一层访问问控制，它它是用来控控制哪些用用户能够登登录到服务务器并获取取网络资源源，控制准准许用户入入网的时间间和准许在在哪个工作作站入网。。用户的入入网访问控控制可分为为3个步骤：用用户名的识识别与验证证、用户口口令的识别别与验证、、用户帐号号的默认限限制检查。。只要3道关卡中有有任何一关关未过，该该用户便不不能进入该该网络。（2）网络权限限控制。是是针对网络络非法操作作所提出的的一种安全全保护措施施。用户和和用户组被被赋予一定定的权限。。用户组可可以访问哪哪些目录、、子目录、、文件和其其他资源，，指定用户户对这些文文件、目录录、设备执执行哪些操操作。根据据访问可以以将用户分分为特殊用用户（系统统管理员））、一般用用户，审计计用户（负负责网络的的安全控制制与资源使使用情况的的审计）3类。用户对对网络资源源的访问权权限可以用用一个访问问控制表来来描述。（3）网络服务务器安全控控制。网络络服务器的的安全控制制包括：可可以设置口口令锁定服服务器控制制台，防止止非法用户户修改、删删除重要信信息或破坏坏数据；可可以设置服服务登录时时间限制、、非法访问问者检测和和关闭的时时间间隔。。（4）网络检测测和锁定控控制。对非非法的网络络访问，服服务器应以以图形、文文字或声音音等形式报报警。3.信息加密策策略。见P5。信息加密的的目的：保保护网内的的数据、文文件、口令令和控制信信息，保护护网上传输输的数据。。常用的方法法：有链路路加密、端端点加密和和节点加密密。链路加密：：保护网络络节点之间间的链路信信息安全；；端-端加密：对对源端用户户到目的端端用户的数数据提供保保护；节点加密：：对源节点点到目的节节点之间的的传输链路路提供保护护。4.网络安全管管理策略。。除了采用用上述技术术措施外，，加强网络络的安全管管理、制定定有效的规规章制度，，对于确保保网络的安安全、可靠靠运行，将将起到十分分有效的作作用。包括括：确定安安全管理等等级和范围围；制定有有关管理章章程和制度度；制定网网络系统的的维护制度度和应急措措施等。见P5。信息安全的的要素虽然网络安安全同单个个计算机安安全在目标标上并没有有本质区别别，但是由由于网络环环境的复杂杂性，网络络安全比单单个计算机机安全要复复杂得多。。P5。第一，网络络资源的共共享范围更更加宽泛，，难以控制制。第二，网络络支持多种种操作系统统，安全管管理和控制制更为困难难。第三，网络络的扩大使使网络的边边界和网络络用户群变变的不确定定，比单机机困难的多多。第四，单机机用户可以以从自己的的计算机中中直接获取取敏感数据据。第五，由于于网络路由由选择的不不固定性，，很难确保保网络信息息在一条安安全通道上上传输。保证证计计算算机机网网络络的的安安全全，，就就是是要要保保护护网网络络信信息息在在存存储储和和传传输输过过程程中中的的可可用用性性、、机机密密性性、、完完整整性性、、可可控控性性和和不不可可抵抵赖赖性性。。P5。（1）可可用用性性。是是指指得得到到授授权权的的实实体体在在需需要要时时可可以以得得到到所所需需要要的的网网络络资资源源和和服服务务。。（2）机机密密性性。。机密密性性是是指指网网络络中中的的信信息息不不被被非非授授权权实实体体（（包包括括用用户户和和进进程程等等））获获取取与与使使用用。。这这些些信信息息不不仅仅指指国国家家机机密密，，也也包包括括企企业业和和社社会会团团体体的的商商业业秘秘密密和和工工作作秘秘密密，，还还包包括括个个人人的的秘秘密密（（如如银银行行账账号号））和和个个人人隐隐私私（（如如邮邮件件、、浏浏览览习习惯惯））等等。。网网络络在在人人们们生生活活中中的的广广泛泛使使用用，，使使人人们们对对网网络络机机密密性性的的要要求求提提高高。。用用于于保保障障网网络络机机密密性性的的主主要要技技术术是是密密码码技技术术。。在在网网络络的的不不同同层层次次上上有有不不同同的的机机制制来来保保障障机机密密性性。。在在物物理理层层上上，，主主要要是是采采取取电电磁磁屏屏蔽蔽技技术术、、干干扰扰及及跳跳频频技技术术来来防防止止电电磁磁辐辐射射造造成成的的信信息息外外泄泄：：在在网网络络层层、、传传输输层层及及应应用用层层主主要要采采用用加加密密、、路路由由控控制制、、访访问问控控制制、、审审计计等等方方法法来来保保证证信信息息的的机机密密性性。。（3）完完整整性性。。完整整性性是是指指网网络络信信息息的的真真实实可可信信性性，，即即网网络络中中的的信信息息不不会会被被偶偶然然或或者者蓄蓄意意地地进进行行删删除除、、修修改改、、伪伪造造、、插插入入等等破破坏坏，，保保证证授授权权用用户户得得到到的的信信息息是是真真实实的的。。只只有有具具有有修修改改权权限限的的实实体体才才能能修修改改信信息息，，如如果果信信息息被被未未经经授授权权的的实实体体修修改改了了或或在在传传输输过过程程中中出出现现了了错错误误，，信信息息的的使使用用者者应应能能够够通通过过一一定定的的方方式式判判断断出出信信息息是是否否真真实实可可靠靠。。（4）可可控控性性。。是控控制制授授权权范范围围内内的的信信息息流流向向和和行行为为方方式式的的特特性性，，如如对对信信息息的的访访问问、、传传播播及及内内容容具具有有控控制制能能力力。。首首先先，，系系统统要要能能够够控控制制谁谁能能够够访访问问系系统统或或网网络络上上的的数数据据，，以以及及如如何何访访问问，，即即是是否否可可以以修修改改数数据据还还是是只只能能读读取取数数据据。。这这要要通通过过采采用用访访问问控控制制等等授授权权方方法法来来实实现现。。其其次次，，即即使使拥拥有有合合法法的的授授权权，，系系统统仍仍需需要要对对网网络络上上的的用用户户进进行行验验证证。。通通过过握握手手协协议议和和口口令令进进行行身身份份验验证证，，以以确确保保他他确确实实是是所所声声称称的的那那个个人人。。最最后后，，系系统统还还要要将将用用户户的的所所有有网网络络活活动动记记录录在在案案，，包包括括网网络络中中计计算算机机的的使使用用时时间间、、敏敏感感操操作作和和违违法法操操作作等等，，为为系系统统进进行行事事故故原原因因查查询询、、定定位位，，事事故故发发生生前前的的预预测测、、报报警警，，以以及及为为事事故故发发生生后后的的实实时时处处理理提提供供详详细细、、可可靠靠的的依依据据或或支支持持。。审审计计对对用用户户的的正正常常操操作作也也有有记记载载，，可可以以实实现现统统计计、、计计费费等等功功能能，，而而且且有有些些诸诸如如修修改改数数据据的的““正正常常””操操作作恰恰恰恰是是攻攻击击系系统统的的非非法法操操作作，，同同样样需需要要加加以以警警惕惕。。（5）不可抵赖性性。也称为不可否否认性。是指指通信的双方方在通信过程程中，对于自自己所发送或或接收的消息息不可抵赖。。即发送者不不能抵赖他发发送过消息和和消息内容，，而接收者也也不能抵赖其其接收到消息息的事实和内内容。1.2黑客的概念及及黑客文化黑客的概念及及起源（P6-7）1.黑客(hacker)：对技术的局局限性有充分分认识，具有有操作系统和和编程语言方方面的高级知知识，热衷编编程，查找漏漏洞，表现自自我。他们不不断追求更深深的知识，并并公开他们的的发现，与其其他人分享；；主观上没有有破坏数据的的企图。“黑黑帽子黑客””，“白帽子子黑客”，““灰帽子黑客客”。现在“黑客””一词在信息息安全范畴内内的普遍含意意是特指对电电脑系统的非非法侵入者。。2.骇客（cracker）：以破坏系系统为目标。。是hacker的一个分支，，发展到现在在，也有“黑黑帽子黑客””3.红客（honker）：中国的一一些黑客自称称“红客”honker。例如中国红客客基地。美国警方：把把所有涉及到到"利用"、、"借助"、、"通过"或或"阻挠"计计算机的犯罪罪行为都定为为hacking。4.怎样才算一名名黑客：黑客文化（P8）1.黑客行为（1）不随便进行行攻击行为。。（2）公开自己的的作品。（3）帮助其他黑黑客。（4）义务地做一一些力所能及及的事情。2.黑客精神（1）自由共享精精神。（2）探索与创新新精神（3）合作精神3.黑客准则（P8）（1）不恶意破坏坏任何系统。。（2）不修改任何何系统文件。。（3）不轻易地将将要黑的或黑黑过的站点告告诉别人，不不炫耀自己的的技术。（4）不入侵或破破坏政府机关关的主机等。。（5）做真正的黑黑客，努力钻钻研技术，研研究各种漏洞洞。如何成为一名名黑客（P9）1.黑客必备的基基本技能（1）精通程序设设计。（2）熟练掌握各各种操作系统统。（3）熟悉互联网网与网络编程程。2.如何学习黑客客技术（1）浓厚的兴趣趣。（2）切忌浮躁，，耐的住寂寞寞（3）多动手实践践（4）尝试多次失失败1.3针对信息安全全的攻击（P10）在正常情况下下，有一个信信息流从一个个信源(例如一个文件件或主存储器器的一个区域域)流到一个目的的地（例如另另一个文件或或一个用户））时，它的信信息流动是这这样的：当产生攻击时时，有以下4种情况:上述4种情况又可以以按照攻击的的主动性来分分为两类：主动攻击和被动攻击。被动攻击（P10）本质上是在传传输中的窃听听或监视，其其目的是从传传输