信息与信息安全风险

第一页，共四十四页，2022年，8月28日课堂考勤和纪律要求作业完成要求实验完成要求第二页，共四十四页，2022年，8月28日课程定位本课程是一门理论与实践结合很紧密的课程，是相关基础课的综合，内容繁杂，涉及知识面广，主要内容是网络和信息技术，从中能反映出来计算机技术领域的新发展和新应用。课程对理论知识和实践环节的要求都较高。通过本课程的学习，要掌握计算机网络与信息安全的基本概念，熟悉常见的网络信息安全威胁，具备分析各种安全威胁原因的基本方法，初步掌握排除安全隐患的基本方法与技巧。本课程的任务主要有：培养学生对网络安全和信息安全概念的理解、掌握分析各种安全威胁原因基本方法和技巧，为做好计算机网络和信息安全维护提供必要的理论知识和基础实践经验。第三页，共四十四页，2022年，8月28日问题1、什么是“网络”

？2、什么是“信息”

？3、“信息”与网络的各类安全隐患？4、网络（信息）安全？第四页，共四十四页，2022年，8月28日本课程学习内容要点（1）实体硬件安全（2）软件系统安全（3）网络安全防护（4）数据信息安全（5）病毒防治技术（6）网络站点安全第五页，共四十四页，2022年，8月28日

第一章

信息与信息安全风险第六页，共四十四页，2022年，8月28日基本内容在信息化社会中，信息已提升为制约社会发展、推动社会进步的关键因素之一，人们对信息和信息技术的依赖程度越来越高，甚至有些行为方式也受信息技术的约束，自然人之间的交流也日趋机器化。本章从信息的概念发展出发，介绍信息的作用、信息技术对人类生活的影响，描述信息面临的风险与威胁，最后引出信息安全的目标。第七页，共四十四页，2022年，8月28日1.1信息与信息技术1.1.1信息的概念信息论创始人香农：“信息是用以消除不确定性的东西”，推导出了信息测度的数学公式。控制论的创始人维纳：“信息是人们在适应外部世界，并使这种适应反作用于外部世界的过程中，同外部世界进行交换的内容的名称”。中国学者钟义信：“信息是事物运动的状态与方式，是事物的一种属性”。信息的定义：信息是事物运动的状态和状态的变化方式第八页，共四十四页，2022年，8月28日1.1.2信息的性质依附性：用“符号”表示；依附于一定的物理介质动态性：信息只有及时、新颖才有价值可处理性：内容可以识别，形式可以转换或变换共享性：信息可无限扩散可传递性：在时间和空间上都具有传递性异步性：以存储方式来接收，在任何时间使用可交换性：可在两个主体间实现信息的交换可伪性：信息是可以伪造的

1.1信息与信息技术第九页，共四十四页，2022年，8月28日1.1.3信息的功能基本功能：在于维持和强化世界的有序性动态性社会功能：表现为维系社会的生存、促进人类文明的进步和自身的发展1.1信息与信息技术第十页，共四十四页，2022年，8月28日1.1.4信息技术信息技术是指人们处理信息的相关技术，包括信息的感测与识别、信息的传递、信息的处理和再生及各类信息施用技术；

感测与识别技术信息传递技术信息处理与再生技术信息施用技术1.1信息与信息技术第十一页，共四十四页，2022年，8月28日信息技术（IT：InformationTechnology）的内涵IT＝Computer＋Communication＋Control信息传递（通信）信息认知－>信息再生（计算机）信息传递（通信）信息实效（控制）信息获取（感测）外部世界信息技术第十二页，共四十四页，2022年，8月28日1.1.5信息系统信息系统是指基于计算机技术和网络通信技术的系统，是人、规程、数据库、硬件和软件等各种设备、工具的有机集合。在信息安全领域，重点关注的是与信息处理生命周期相关的各个环节，包括信息本身在整个生命周期中的存在形式、存储处理相关的设备、传递交换所用的通信网络、相应的计算机软件和协议等。1.1信息与信息技术第十三页，共四十四页，2022年，8月28日1.2信息安全的重要性与严峻性1.2.1信息安全的重要性社会发展三要素的物质、能源和信息的关系发生了深刻的变化。信息要素已成为支配人类社会发展进程的决定性力量之一。互联网已经成为了一个继电视、电台、报刊之后的第四媒体。社会信息化提升了信息的地位社会对信息技术的依赖性增强虚拟的网络财富日益增长信息安全已经成为社会的焦点问题第十四页，共四十四页，2022年，8月28日1.2信息安全的重要性与严峻性截至2010年6月底，中国网民数量已达4.2亿，网民规模居世界第一位。第十五页，共四十四页，2022年，8月28日1.2信息安全的重要性与严峻性1.2.2信息安全的严峻性系统的安全漏洞不断增加黑客攻击搅得全球不安计算机病毒肆虐网络仿冒危害巨大“僵尸网络”（BOTNET）使得网络攻击规模化木马和后门程序泄漏秘密以利益驱动的网络犯罪发展迅猛

信息战阴影威胁数字化和平白领犯罪造成巨大商业损失第十六页，共四十四页，2022年，8月28日1.2信息安全的重要性与严峻性第十七页，共四十四页，2022年，8月28日1.2信息安全的重要性与严峻性第十八页，共四十四页，2022年，8月28日1.2信息安全的重要性与严峻性网络信息系统存在的安全漏洞和隐患层出不穷，利益驱使下的地下黑客产业继续发展，网络攻击的种类和数量成倍增长，终端用户和互联网企业是主要的受害者，基础网络和重要信息系统面临着严峻的安全威胁。2007年各种网络安全事件与2006年相比都有显著增加。在地下黑色产业链的推动下，网络犯罪行为趋利性表现更加明显，追求经济利益依然是主要目标。黑客往往利用仿冒网站、伪造邮件、盗号木马、后门病毒等，并结合社会工程学，窃取大量用户数据牟取暴利，包括网游账号、网银账号和密码、网银数字证书等。信息系统软件的安全漏洞仍然是互联网安全的关键问题，安全漏洞问题变得越来越复杂和严重。第十九页，共四十四页，2022年，8月28日1、操作系统安全的脆弱性

1）操作系统结构体制本身的缺陷。2）在网络上传输文件，加载与安装程序，包括可执行的文件。3）在于创建进程，甚至可以在网络的节点上进行远程的创建和激活。4）操作系统中有一些守护进程，实际上是一些系统进程，它们总是在等待一些条件的出现。5）操作系统都提供远程过程调用（RPC）服务，而提供的安全验证功能却很有限。第二十页，共四十四页，2022年，8月28日2、操作系统安全的脆弱性

6）操作系统提供网络文件系统（NFS）服务，NFS系统是一个基于RPC的网络文件系统。7）操作系统的debug和wizard功能。8）操作系统安排的无口令入口，是为系统开发人员提供的边界入口，但这些入口也可能被黑客利用。9）操作系统还有隐蔽的信道，存在着潜在的危险。10）尽管操作系统的缺陷可以通过版本的不断升级来克服，但系统的某一个安全漏洞就会使系统的所有安全控制毫无价值。第二十一页，共四十四页，2022年，8月28日3、网络安全的脆弱性

使用TCP/IP协议的网络所提供的FTP、E-Mail、RPC和NFS都包含许多不安全的因素，存在着许多漏洞。同时，网络的普及，使信息共享达到了一个新的层次，信息被暴露的机会大大增多。特别是Internet网络就是一个不设防的开放大系统。另外，数据处理的可访问性和资源共享的目的性之间是一对矛盾。它造成了计算机系统保密性难。第二十二页，共四十四页，2022年，8月28日4、数据库管理系统安全的脆弱性

当前，大量的信息存储在各种各样的数据库中，然而，这些数据库系统在安全方面的考虑却很少。而且，数据库管理系统安全必须与操作系统的安全相配套。例如，DBMS的安全级别是B2级，那么操作系统的安全级别也应该是B2级，但实践中往往不是这样做的。第二十三页，共四十四页，2022年，8月28日5、防火墙的局限性

尽管利用防火墙可以保护安全网免受外部黑客的攻击，但它只是能够提高网络的安全性，不可能保证网络绝对安全。事实上仍然存在着一些防火墙不能防范的安全威胁，如防火墙不能防范不经过防火墙的攻击。另外，防火墙很难防范来自于网络内部的攻击以及病毒的威胁。第二十四页，共四十四页，2022年，8月28日6、其他方面的原因

1）计算机领域中重大技术进步都对安全性构成新的威胁。

2）安全性的地位总是列在计算机网络系统总体设计规划的最后面，勿略了网络系统的安全。

3）易受环境和灾害的影响。

4）电子技术基础薄弱，抵抗外部环境较弱。

5）剩磁效应和电磁泄漏的不可避免。第二十五页，共四十四页，2022年，8月28日1.3安全问题的起源和常见威胁1.3.1信息安全问题的起源信息安全问题是一个系统问题计算机网络是目前信息处理的主要环境和信息传输的主要载体互联网的“无序、无界、匿名”三大基本特征也决定了网络信息的不安全第二十六页，共四十四页，2022年，8月28日攻击与防范安全服务信息攻击者计算机系统安全需求与策略安全机制第二十七页，共四十四页，2022年，8月28日1.3安全问题的起源和常见威胁1.3.2物理安全风险计算机本身和外部设备乃至网络和通信线路面临各种风险，如各种自然灾害、人为破坏、操作失误、设备故障、电磁干扰、被盗和各种不同类型的不安全因素所致的物质财产损失、数据资料损失等。第二十八页，共四十四页，2022年，8月28日1.3安全问题的起源和常见威胁1.3.3系统风险——组件的脆弱性硬件组件：设计、生产工艺或制造商软件组件：“后门”、设计中的疏忽、不必要的功能冗余、逻辑混乱及其他不按信息系统安全等级要求进行设计的安全隐患网络和通信协议：TCP/IP协议簇先天不足缺乏对用户身份的鉴别缺乏对路由协议的鉴别认证TCP/UDP的缺陷第二十九页，共四十四页，2022年，8月28日1.3安全问题的起源和常见威胁1.3.4网络与应用风险——威胁和攻击对数据通信系统的威胁包括：对通信或网络资源的破坏对信息的滥用、讹用或篡改信息或网络资源的被窃、删除或丢失信息的泄露服务的中断和禁止威胁和攻击的来源

内部操作不当内部管理不严造成系统安全管理失控来自外部的威胁和犯罪第三十页，共四十四页，2022年，8月28日AttackVsThreat攻击（Attack）任何危及到信息安全的行为攻击一定是已经发生攻击的类型是多种多样的，因而是难以预测的威胁（Threat）信息或信息系统潜在的安全漏洞威胁不一定会发生威胁是潜在的，因而在被利用前是很难发现的第三十一页，共四十四页，2022年，8月28日AttackVsThreat攻击&威胁攻击往往要利用一个或多个威胁利用漏洞实际发生的、违背信息安全的行为称之为攻击有时攻击和威胁不作区分第三十二页，共四十四页，2022年，8月28日攻击的种类《信息保障技术框架（IATF）》3.0版中将攻击分为以下5类：被动攻击主动攻击物理临近攻击内部人员攻击软硬件配装攻击第三十三页，共四十四页，2022年，8月28日被动攻击是在未经用户同意和认可的情况下将信息或数据文件泄露给系统攻击者，但不对数据信息做任何修改常见手段：搭线监听无线截获其他截获

特点：不易被发现重点在于预防，如使用虚拟专用网（VPN）、采用加密技术保护网络以及使用加保护的分布式网络等

第三十四页，共四十四页，2022年，8月28日主动攻击涉及某些数据流的篡改或虚假流的产生通常分为：假冒重放篡改消息拒绝服务特点：容易被检测出来不易有效地防止，具体措施包括自动审计、入侵检测和完整性恢复等

第三十五页，共四十四页，2022年，8月28日威胁的种类泄漏（Disclosure）:unauthorizedaccesstoinformationSnooping欺骗（Deception）:acceptanceoffalsedataModification,masquerading/spoofing,repudiationoforigin,denialofreceipt破坏（Disruption）:interruption/preventionofcorrectoperationModification篡改（Usurpation）:unauthorizedcontrolofasystemcomponentModification,masquerading/spoofing,delay,denialofservice第三十六页，共四十四页，2022年，8月28日威胁的种类安全威胁包括：资源及其脆弱性（ResourcesandtheirVulnerabilities）脆弱性及攻击（VulnerabilityandAttacks）安全威胁（SecurityThreads）攻击分类（AttackClassification）第三十七页，共四十四页，2022年，8月28日安全威胁分级在安全威胁分析方面，国际上建立了安全威胁等级划分准则，即按照威胁的破坏程度，分为三个等级：C级威胁：个体信息犯罪，也就是信息攻击者是个体，单点攻击，采用一些简单攻击。虽然这种攻击可以逐步事实自动化、平台化，但是攻击点是一点，作用有限，通常攻击的是标准化网络和系统。B级威胁：有组织的分布式协同攻击，多点、多技术和协同攻击，相互掩护，危害大，难以对付。能够攻击一些专用网络、非标准网络。A级威胁：该威胁是战争威胁，它是比B级威胁更大范围的攻击，使用的攻击技术 更全面，危害更大。可以采用一切目前已知攻击手段，包括可控计算机病毒、信息炸弹、信息炮弹、网络安装软件、使用网络攻击平台、实施一定的战术方案等。第三十八页，共四十四页，2022年，8月28日1.3安全问题的起源和常见威胁1.3.5管理风险安全大师BruceSchneier：“安全是一个过程(Process），而不是一个产品（Product）”。单纯依靠安全设备是不够的，它是一个汇集了硬件、软件、网络、人以及他们之间的相互关系和接口的系统。网络与信息系统的实施主体是人，安全设备与安全策略最终要依靠人才能应用与贯彻。第三十九页，共四十四页，2022年，8月28日1.4信息安全的目标1.4.1基本目标信息安全的基本目标应该是保护信息的机密性、完整性、可用性、可控性和不可抵赖性。（1）机密性：指保证信息不被非授权访问，即使非授权用户得到信息也无法知晓信息的内容，因而不能使用。（2）完整性：指维护信息的一致性，即在信息生成、传输、存储和使用过程中不应发生人为或非人为的非授权篡改。（3）可用性：指授权用户在需要时能不受其他因素的影响，方便地使用所需信息。这一目标是对