网络安全基础知识

网络安全基础主要内容2.安全审计与评估1.网络安全基础网络安全基础TCP/IP安全性分析通用攻击技术安全防御体系-戴明环安全法律法规信息安全管理简述网络安全简介网络安全简介网络的普及化2008年2月，我国网民数量达2.21亿人，超过美国居世界第一位2009年底我国网民3.84亿人2010年底，我国网民规模达到4.57亿人，较2009年年底增加7330万人2011年底，中国网民规模达到5.13亿我国手机网民规模为3.18亿，较2010年底增加了1494万人。手机网民在总体网民中的比例为65.5%网络安全简介网络应用已普及至我们生活的方方面面基于信息化技术的特殊性，产生日益深刻的信息安全问题工作任务：保证网络信息的保密性、完整性、可用性、真实性和可控性网络安全简介1.网络安全的定义

网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性科学。网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，确保系统能连续可靠正常地运行，网络服务不中断。网络安全简介2.互联网信息网络安全信息共享与信息安全总是互相矛盾的。计算机犯罪的日益增多对网络的安全运行和进一步发展提出了挑战要保证网络的安全以及保证网络上数据的完整性Internet的发展使人们不再把信息安全局限于局部范围，而是扩展到网络互连的世界范围网络安全简介

互联网信息网络安全的根本目的在于防止互联网传输的信息被非法使用避免对数据的未授权访问或破坏

网络安全简介2011年全球多家企业、机构网站陆续遭受安全威胁。去年3月份以来，RSA被攻击导致SecurID令牌身份信息被盗、索尼公司7700万信息泄露、美国花旗银行被入侵、微软MSN遭大规模盗号等重大安全事件接连发生。在国内，CSDN等多家网站数千万账号密码被黑客公开，更是让网站安全问题暴露在大众视野中国内钓鱼网站正在呈现“虚假购物、虚假中奖、彩票预测、金融证券”并存的多样化欺诈模式，“微博钓鱼”、“模仿聊天登陆窗口钓鱼”等攻击方式也渐成主流;不过，随着免费安全软件的普及，挂马网站攻击数量已开始大幅缩水，由去年1月的8707万次，锐减至去年12月的210万次

网络安全简介

互联网信息网络安全的具体包括从防火墙使用、防病毒、信息加密、身份鉴别与授权技术等到各种规章制度、法律法规及灵活的安全策略应变措施全面对计算机间的传输线路进行全过程管理，尤其要对网络的组成、拓扑结构和网络应用重点研究

网络安全简介存在问题：旧的安全管理体制不能满足网络发展的需要网络安全技术远远落后于网络应用在网络建设的同时，往往忽视网络安全建设

网络安全简介3.安全的基本要求保密性：不泄露给非授权用户、实体或过程举例加密，数据访问控制机制完整性：数据未经授权不能进行改变。例对接受数据进行校验可用性：可被授权实体访问并按需求使用。合理的授权分配可控性：可以控制授权范围内的信息流

TCP/IP安全性分析1.IP协议

Internet起源于1969年，原型是ARPANET，支撑internet的TCP/IP协议一开始没有充分考虑到安全性Internet协议IP协议32位二进制数构成地址IP包头为20字节包含IP版本号，长度，服务类型及配置信息隐患：开放式的结构使IP层易成黑客目标

TCP/IP安全性分析2.TCP协议面向连接，可靠传输，可用于TCP包包头连接控制标记：SYN: 同步序列FIN：发送端发送停止信号ACK：识别数据包中确认信息

TCP数据包结构TCP/IP安全性分析3.连接的建立和中断连接的建立的步骤（C/S结构）客户端通过SYN执行activeopen,注意ISN是随机产生的，用于同步信号服务器向客户端发送自己的SYN执行passiveopen包含服务器的ISN与客户端确认ACK客户端返回服务器ACK后，连接建立中断TCP连接：服务器通过FIN标记执行一个activeclose，终止服务器到客户端的数据流客户端发送ACK给服务器，执行passiveclose客户端发送FIN给服务器，终止客户端到服务器的数据流服务器发送ACK给客户端，连接被终止

TCP/IP安全性分析4.常用端口每个网络数据包都包含一个端口号TCP与UDP都有65536个可用的端口号IANA规定前1023个端口作为well-know端口，为服务器的应用程序保留下来服务器应用程序可以使用任何未被限定的端口及大于1023的端口

TCP/IP安全性分析5.安全性分析IP层缺乏有效的安全认证和保密机制协议不安全的根本在于对IP包中源IP地址的真实性的认证与保密缺乏TCP连接建立时“三次握手”机制的攻击，导致连接被欺骗、劫取、操纵UDP是无连接的，更易遭受IP源路由和Dos攻击

通用攻击技术1.网络被攻击是指导致网络被破坏或网络服务受到影响的所有行为被动攻击这类攻击一般在信息系统的外部进行，对信息网络本身一般不造成损坏，系统仍可正常运行，但有用的信息可能被盗窃并被用于非法目的主动攻击这类攻击直接进入信息系统内部，往往会影响系统的运行、造成巨大的损失，并给信息网络带来灾难性的后果此外还有物理临近攻击、内部人员攻击等通用攻击技术被动攻击一般是主动攻击的准备和前奏信息窃取密码破译信息流量分析通用攻击技术被动攻击--信息窃取内外攻击者从传输信道、存储介质等处窃取信息。如无线传输信号侦收、搭线窃听、盗窃文件等通用攻击技术被动攻击-密码破译对截获的已加密信息进行密码破译，从中获取有价值的信息A8FQE52W4ZCBY通用攻击技术被动攻击-信息流量分析对网络中的信息流量和信息流向进行分析，然后得出有价值的情报通用攻击技术主动攻击将对信息系统本身造成致命的打击

入侵假冒篡改插入重放阻塞抵赖病毒通用攻击技术主动攻击-入侵通过系统或网络的漏洞、远程访问、盗取口令、借系统管理之便等方法进入系统，非法查阅文件资料、更改数据、拷贝数据、甚至破坏系统、使系统瘫痪等通用攻击技术主动攻击-假冒假冒合法用户身份、执行与合法用户同样的操作通用攻击技术主动攻击-篡改篡改数据、文件、资料通用攻击技术主动攻击-插入在正常的数据流中插入伪造的信息或数据通用攻击技术主动攻击-重放录制合法、正常的交互信息、然后在适当的时机重放通用攻击技术主动攻击-阻塞使用投放巨量垃圾电子邮件、无休止访问资源或数据库等手段造成网络的阻塞，影响正常运行通用攻击技术主动攻击-抵赖实施某种行为后进行抵赖，如否认发送过或接受过文件通用攻击技术主动攻击-病毒向系统注入病毒，病毒运行后可能损坏文件、使系统瘫痪，造成各种难以预料的后果通用攻击技术攻击的一般流程通用攻击技术3.攻击的技术方法可分为远程信息探测、缓冲区溢出攻击、CGI攻击、DoS攻击、口令攻击和木马攻击等此张幻灯片供需要加入较大图片时使用

网络攻击例子--IPSpoofing攻击前提：T和X之间具有相互信任关系；T和X采用TCP/IP协议并接入Internet；攻击目标：冒充T与X通信InternetTX第一步：网络刺探采用某方式获取T和X的信息(被动攻击---窃听)InternetTXTheIPaddressis….第二步：阻塞T向T发送大量不可达信息InternetTXWhysomuchrequirement?!!!第三步：假冒TInternetTXIamT,givemetheRootHahaha...Iamdown!OK第四步：设置后门InternetTXIhavesetBackdoor,bye!

Ijusthaveadream,whathappened?安全防御体系

安全体系是描述安全原则及推动系统设计符合安全原则的一套总体的完整的方法，遵循这些原则进行系统设计访问控安全防御体系制技术1.PDR动态防御模型PDR的基本意思是：认为安全有三个不可或缺的功能要素：防护protection检测detection响应response安全防御体系防护是指是日常的策略、设备的运转检测是指我们发现我们固有的安全防护措施正在受到攻击或者消耗响应则是我们明确地发现了攻击源和攻击目标后对这些攻击行为做出的反应安全防御体系

三个要素都与时间有密切的关系，那么，因此我们把它们视为三个元素：Pt（日常防护可支撑的时间），Dt（检测攻击源和攻击目标所需的时间），Rt（对检测到的攻击做出反应的时间）什么是网络安全？Pt>Dt+Rt

攻击方希望Pt<Dt+Rt，这就意味着攻击成功防御方希望Pt>Dt+Rt，这就意味着防御成功安全防御体系2.安全防御技术网络安全防御技术有防火墙技术、入侵检测技术、密码技术、访问控制技术等安全防御体系2.1防火墙技术

根据本网的安全策略，对外部网络与内部网络之间交流的数据进行检查，符合的予以放行，不符合的拒之门外安全防御体系2.2入侵检测技术

IDS包括基于主机的入侵检测技术和基于网络的入侵检测技术两种主要职责是实时监测和安全审计用于保护应用网络连接的主要服务器，实时监视可疑的连接和非法访问的闯入，并对各种入侵行为立即作出反应安全防御体系访问控制技术是实现既定安全策略的系统安全技术，其目标是防止对任何资源（计算资源、通信资源和信息资源）进行非授权的访问可分为自主访问控制、强制访问控制、基于角色的访问控制各种控制策略相互不排斥，通常为并存状态发起者访问控制执行功能AEF目标访问控制决策功能ADF执行访问请求决策请求决策结果主体客体信息安全管理简述1.信息安全管理体系(ISMS)ISMS是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表Checklists）等要素的集合BS7799-2是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围、制定信息安全方针、明确管理职责、以风险评估为基础选择控制目标与控制方式等活动建立信息安全管理体系信息安全管理体系即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理的方法、控制目标及控制方式和需要的保证程度信息安全管理简述2.PDCA循环过程模式（戴明环）广泛应用于质量管理中策划：依照组织整个方针和目标，建立与控制风险、提高信息安全有关的安全方针、目标、指标、过程和程序。实施：实施和运作方针（过程和程序）。检查：依据方针、目标和实际经验测量，评估过程业绩，并向决策者报告结果。措施：采取纠正和预防措施进一步提高过程业绩四个步骤成为一个闭环，通过这个环的不断运转，使信息安全管理体系得到持续改进，使信息安全绩效(performance)螺旋上升安全法律法规1.我国与网络安全相关的法律主要有:《宪法》《人民警察法》《刑法》《治安管理处罚条例》《刑事诉讼法》《国家安全法》《保守国家秘密法》《行政处罚法》《行政诉讼法》《行政复议法》《国家赔偿法》《立法法》《中华人民共和国电子签名法》《全国人大常委会关于维护互联网安全的决定》等安全法律法规2.与网络安全有关的行政法规：国务院令147号：《中华人民共和国计算机信息系统安全保护条例》国务院令195号：《中华人民共和国计算机信息网络国际联网管理暂行规定》公安部令33号：《计算机信息网络国际联网安全保护管理办法》国务院令273号：《商用密码管理条例》国务院令291号：《中华人民共和国电信条例》国务院令292号：《互联网信息服务管理办法》国务院令339号：《计算机软件保护条例》等安全法律法规《中华人民共和国计算机信息网络国际联网管理暂行规定》计算机信息网络进行国际联网的原则：（1）必须使用邮电部国家公用电信网提供的国际出入口信道（2）接入网络必须通过互联网络进行国际联网（3）用户的计算机或计算机信息网络必须通过接入网络进行国际联网对违反《规定》第六条、第八条和第十条的行为，即：（1）自行建立或者使用其他信道进行国际联网的；（2）未按规定通过互联网络进行国际联网的；（3）未按规定通过接入网络进行国际联网；（4）未经许可和审批从事国际联网经营业务的由公安机关责令停止联网，给予警告，可以并处15000元以下的罚款；有违法所得的，没收违法所得安全法律法规第二百八十六条违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑违反国家规定，对计算机信息系统中存储、处理或者传播的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款处罚故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款处罚安全法律法规3.管理要求总结（1）安全保护组织建立计算机信息系统安全保护组织，由单位行政领导人担任安全保护组织的领导（2）计算机安全员计算机应用单位应当按照计算机安全管理行业技术规范要求，配备计算机安全技术人员。计算机安全技术人员必须经过市主管部门认可的安全技术培训，考核合格后持证上岗合格证有效期为四年（3）交互式栏目管理要求关键字过滤、作好审计工作、认真落实“先审后发”的信息预审制度安全审计与评估系统安全审计风险评估安全评估

一旦我们采用的防御体系被突破怎么办？至少我们必须知道系统是怎样遭到攻击的，这样才能恢复系统，此外我们还要知道系统存在什么漏洞，如何能使系统在受到攻击时有所察觉，如何获取攻击者留下的证据。网络安全审计的概念就是在这样的需求下被提出的，它相当于飞机上使用的“黑匣子”。

系统安全审计

系统安全审计

在TCSEC和CC等安全认证体系中，网络安全审计的功能都是放在首要位置的，它是评判一个系统是否真正安全的重要尺码。因此在一个安全网络系统中的安全审计功能是必不可少的一部分。网络安全审计系统能帮助我们对网络安全进行实时监控，及时发现整个网络上的动态，发现网络入侵和违规行为，忠实记录网络上发生的一切，提供取证手段。它是保证网络安全十分重要的一种手段。

系统安全审计1.系统日志1.1介绍日志（Log）：系统所指定对象的某些操作和其操作结果按时间有序的集合。

系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。系统安全审计1.系统日志1.2包含的信息事件发生的日期时间事件类型主题标识执行结果（成功、失败）引起此事件的用户的标识对每一个审计事件有关的审计信息系统安全审计1.系统日志1.3特点不易读懂数据量大不易获取关联分析困难容易被修改、破坏甚至伪造系统安全审计1.系统日志1.3功能发现试图攻击系统安全的重复举动跟踪那些想要越权的用户跟踪异常的使用模式实时跟踪侵入者系统安全审计2.Windows系统日志管理

日志文件通常有应用程序日志，安全日志、系统日志、dns服务器日志、ftp日志、www日志等等，可能会根据服务器所开启的服务不同。名称位置DNS日志%systemroot%＼system32＼configFTP日志%systemroot%＼system32＼logfiles＼msftpsvc1＼安全日志%systemroot%＼system32＼config＼secevent.evt系统日志%systemroot%＼system32＼config＼sysevent.evt应用程序日志%systemroot%＼system32＼config＼appevent.evtwww日志%systemroot%＼system32＼logfiles＼w3svc1＼schedluler服务日志%systemroot%＼schedlgu.txt系统安全审计2.Windows系统日志管理2.1查看系统日志方法:开始→控制面板→性能和维护→管理工具→计算机管理，就可以打开“事件查看器”。或者在【开始】→【运行】→输入eventvwr.msc也可以直接进入。在控制台树中，单击“事件查看器”，日志就显示在“事件查看器”窗口中。系统安全审计2.Windows系统日志管理2.2管理内容查看事件详细信息解释事件事件标题查找事件筛选事件管理日志系统安全审计3.UNIX系统日志管理3.1UNIX操作系统存在的子系统连接时间日志进程统计错误日志程序日志系统安全审计3.UNIX系统日志管理3.2常用UNIX日志文件日志文件目标access-log记录HTTP/web的传输acct/pacct记录用户命令aculog

记录调制解调器的活动btmp记录失败的登录lastlog记录最近几次成功登录的时间和最后一次不成功的登录messages

从syslog中记录信息（通常链接到syslog

文件）sudolog记录使用sudo

发出的命令sulog

记录su

命令的使用syslog从syslog

中记录信息（通常链接到message

文件）utmp记录当前登录的每个用户wtmp

一个用户每次登录进入和退出时间的永久记录

xferlog

记录FTP会话

系统安全审计4.通过日志进行审计网络层层次的安全审计系统的安全审计对信息内容的安全审计

依据国家相关的政策法规及信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评估的活动过程。它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。风险评估风险评估1.基本要素2.风险评估的术语与定义风险评估使命：一个单位通过信息化要来实现的工作任务。依赖度：一个单位的使命对信息系统和信息的依靠程度。资产：通过信息化建设积累起来的信息系统、信息、生产或服务能力、人员能力和赢得的信誉等。价值：资产的重要程度和敏感程度。威胁：一个单位的信息资产的安全可能受到的侵害。威胁由多种属性来刻画：威胁的主体（威胁源）、能力、资源、动机、途径、可能性和后果。2.风险评估的术语与定义风险评估脆弱性：信息资产及其防护措施在安全方面的不足和弱点。脆弱性也常常被称为弱点或漏洞。风险：风险由意外事件发生的可能性及发生后可能产生的影响两种指标来衡量。风险是在考虑事件所产生的可能性及其可能造成的影响下，脆弱性被威胁所利用后所产生的实际负面影响。风险是可能性和影响的函数，前者指威胁源利用一个潜在脆弱性的可能性，后者指不利事件对组织结构产生的影响。残余风险：采取了安全防护措施，提高了防护能力后，仍然可能存在的风险。2.风险评估的术语与定义风险评估安全需求：为保证单位的使命能够正常行使，在信息安全防护措施方面提出的要求。安全防护措施：对付威胁，减少脆弱性，保护资产，限制意外事件的影响，检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和机制的总称。风险评估3.评估策略3.1风险要素关系图安全措施

抗击业务战略脆弱性安全需求威胁风险残余风险安全事件依赖拥有被满足利用暴露降低增加增加导出演变

未被满足未控制可能诱发残留成本资产资产价值图中的风险要素及属性之间存在着以下关系：1.业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；2.资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；3.风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成为安全事件；4.资产的脆弱性可能暴露资产的价值，资产具有的弱点越多则风险越大；风险评估5.脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；6.风险的存在及对风险的认识导出安全需求；7.安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；8.安全措施可抵御威胁，降低风险；9.残余风险有些是安全措施不当或无效,需要加强才可控制的风险；而有些则是在综合考虑了安全成本与效益后不去控制的风险；10.残余风险应受到密切监视，它可能会在将来诱发新的安全事件。风险评估3.评估策略3.2基本要素资产威胁脆弱性

风险分析原理图风险评估风险评估4.风险评估实施流程

从安全风险的要素：资产、影响、威胁、漏洞、安全控制、安全需求、安全风险等方面进行综合考虑，风险评估的策略是首先确定资产、评估资产价值、评估资产面临的威胁、评估资产存在的弱点、评估该资产的风险、进而得出整个评估目标的风险，为风险的管理提供有效依据。

风险评估实施流程图风险评估4.风险评估实施流程4.1准备工作确定目标确定范围组建团队系统调研确定依据制定方案团队组织工作计划时间进度安排获得支持风险评估4.风险评估实施流程4.2资产识别资产分类资产属性：可用性、完整性、保密性资产赋值保密性赋值完整性赋值可用性赋值资产重要性等级风险评估4.风险评估实施流程4.3威胁识别操作错误，滥用授权，行为抵赖（系统合法用户）身份假冒，密码分析，漏洞利用，拒绝服务，恶意代码，窃听数据，物理破坏，社会工程