第12章计算机安全技术

本演示文稿可能包含观众讨论和即席反应。使用PowerPoint可以跟踪演示时的即席反应，在幻灯片放映中，右键单击鼠标请选择“会议记录”选择“即席反应”选项卡必要时输入席反应单击“确定”撤消此框此动作将自动在演示文稿末尾创建一张即席反应幻灯片，包括您的观点。

计算机网络是人类在信息处理和信息传播领域中的最新成就之一，是计算机技术和通信技术相结合的产物，是计算机应用的一个重要方面。

由于计算机系统涉及到有关国家安全的政治、经济和军事情况以及一些工商企业单位与私人的机密及敏感信息，因此它已成为国家和某些部门的宝贵财富，同时也成为敌对国家和组织以及一些非法用别有用心者威胁和攻击的主要对象。所以，计算机系统的安全越来越受到人们的广泛重视。第12章：计算机安全技术第一页，共三十三页。12.1计算机安全理论基础12.2数据加密技术12.3计算机病毒12.4防火墙技术章节展开第二页，共三十三页。12.1.1计算机系统面临的威胁和攻击12.1.2计算机系统的脆弱性

12.1.3计算机系统的安全要求12.1.4计算机系统的安全技术

12.1计算机安全理论基础第三页，共三十三页。12.1.1计算机系统面临的威胁和攻击计算机系统面临的威胁和攻击，大体上可以分成两大类：一类是对实体的威胁和攻击，另一类是对信息的威胁和攻击。计算机犯罪和病毒则包含了对计算机系统实体和信息两个方面的威胁和攻击。1、对实体的威胁和攻击

对实体的威胁和攻击主要是指对计算机及其外部设备和网络的威胁和攻击。2、对信息的威胁和攻击信息泄漏：偶然地或故意地获得（侦收、截获、窃取或分析破译）目标系统中的信息，特别是敏感信息，造成泄漏事件。信息破坏：偶然事故或人为破坏，使信息的正确性和可用性受到破坏，造成大量信息的破坏、修改或丢失。第四页，共三十三页。12.1.2计算机系统的脆弱性1、系统的不安全因素

数据输入部分、数据处理部分、通信线路、软件、输出部分、存取控制部分等。2、造成不安全因素的原因自然灾害构成的威胁、偶然无意构成的威胁、人为攻击的威胁。3、系统脆弱性的表现

存储密度高、数据可访问性、信息聚生性、保密困难性、介质的剩磁效应、电磁泄漏性、通信网络的弱点计算机系统的这些脆弱性对系统安全构成了潜在的危险。这些脆弱性如果被利用，系统的资源就受到很大损失。第五页，共三十三页。12.1.3计算机系统的安全要求计算机系统的安全就是要保证系统资源的完整性、可靠性、保密性、安全性、有效性和合法性，维护正当的信息活动以及与应用发展相适应的社会道德和权力，而建立和采取的技术措施和方法的总和，以保证系统的硬件、软件和数据不因偶然的或人为的因素而遭到破坏、泄漏，修改或复制，保护国家和集体财产免受严重损失。计算机系统的安全要求主要包括：保密性、安全性、完整性、可靠性和可用性以及信息的有效性和合法性。第六页，共三十三页。1、保密性：利用密码技术对信息进行加密处理，以防止信息泄漏。2、安全性：标志着一个信息系统的程序和数据的安全程度，即防止非法使用和访问的程度。它分为内部安全和外部安全。3、完整性：标志程序和数据等信息的完整程度，使程序和数据能满足预定要求。4、可靠性和可用性：可靠性即保证系统硬件和软件无故障或差错，以便在规定条件下执行预定算法的能力。可用性即保证合法用户能正确使用而不出现拒绝访问或使用，并且要防止非法用户进入系统访问、窃取系统资源和破坏系统，也要防止合法用户对系统的非法操作或使用。5、信息有效性和合法性：信息的内容和顺序、身份鉴别、防抵赖、放篡改等。第七页，共三十三页。12.1.4计算机系统的安全技术1、实体安全：主要是指为保证计算机设备和通信线路及设施（建筑物等）的安全。与实体安全相关的技术有计算机系统的环境安全、计算机的故障诊断技术、抗电磁干扰技术、防电磁泄漏技术、实体访问控制技术、媒体的存放与管理技术等以及计算机病毒的预防。2、数据安全：指为保证计算机系统中数据库（或数据文件）免遭破坏、修改、泄露和窃取等威胁和攻击而采用的技术方法，包括各种用户识别技术、口令验证技术、存取控制技术和数据加密技术，以及建立备份、异地存放、妥善保管等技术和方法。第八页，共三十三页。3、软件安全：指为保证计算机系统中的软件（如操作系统、数据库系统或应用程序）免遭破坏、非法拷贝、非法使用而采用的技术和方法。包括各种口令的控制与鉴别、软件加密技术、软件防拷贝技术和防动态跟踪技术等。对自己开发的软件，应建立一套严格的开发及控制技术，保证软件无隐患。满足某种安全标准，此外，不要随便拷贝未经检测的软件。4、网络安全：指为保证网络及其节点安全而采用的技术和方法。它主要包括报文鉴别技术；数字签名技术；访问控制技术；数据加密技术；密钥管理技术；保证线路安全、传输而采用的安全传输介质；网络检测、跟踪及隔离技术；路由控制和流量分析控制技术等，以便能及时发现网络中的不正常状态，并采取相应的措施。第九页，共三十三页。5、运行安全：包括运行与管理技术；系统的使用与维护技术；随机故障维修技术；软件可靠性与可维护性保证技术；操作系统的故障分析与处理技术；机房环境的检测与维护技术；实测系统及其设备运行状态、记录及统计分析技术等，以便及时发现运行中的异常情况，及时报警，同时提示用户采取适当措施，或进行随机故障维修和软件故障的测试与维修，或进行安全控制与审计。6、

防病毒威胁：用各种病毒扫描和消除工具及其技术，定期地检测、诊断和消除系统中的病毒，并采取一整套预防方法，防止病毒再入侵。7、

防计算机犯罪：计算机犯罪是指利用计算机知识和技术，故意泄漏和破坏计算机系统中的机密信息或窃取计算机资源，危害系统实体和信息安全的犯罪行为。防止计算机犯罪，就是通过一定的技术手段和方法，杜绝计算机犯罪的发生，并在计算机犯罪实际发生以后，能及时提供犯罪的有关活动信息，自己跟踪或侦察犯罪，制裁打击犯罪分子。第十页，共三十三页。12.2数据加密技术12.2.1基本概念12.2.2加密算法原理12.2.3常见的数据加密技术

第十一页，共三十三页。12.2.1基本概念所谓数据加密，就是按确定的加密变换方法（加密算法）对需要保护的数据（也称为明文，plaintext）作处理，使其变换成为难以识读的数据（密文，ciphertext）。其逆过程，即将密文按对应的解密变换方法（解密算法）恢复出现明文的过程称为数据解密。为了使加密算法能被许多人共用，在加密过程中又引入了一个可变量——加密密钥。这样，不改变加密算法，只要按照需要改变密钥，也能将相同的明文加密成不同的密文。加密的基本功能包括：防止不速之客查看机密的数据文件；防止机密数据被泄露或篡改；防止特权用户(如系统管理员)查看私人数据文件；使入侵者不能轻易地查找一个系统的文件。第十二页，共三十三页。12.2.2加密算法原理Y=EKe(X)：数据加密是利用加密算法E和加密密钥Ke,将明文X加密成不易识读的密文Y。X=DKd(Y)：数据解密是用解密算法D和解密密钥Ka将密文Y变换成为易于识读的明文X。第十三页，共三十三页。12.2.3常见的数据加密技术1、单密钥体制单密钥体制又称对称密钥加密体制，其加密密钥和解密密钥是相同的。对数据进行加密的单密钥系统。系统的保密性主要决定于密钥的安全性，必须通过安全可靠的途径将密钥送至接受端。如何产生满足保密要求的密钥，是单密钥体制设计和实现的主要课题。第十四页，共三十三页。早期的单密钥体制中，其密钥是由字符串组成的。只要有必要，就可经常改变密钥，从而达到保密的目的。有两种常用的加密方法，即代替加密和置换加密。1、代替加密：在代替加密技术中，为了伪装掩饰每个字母或一组字母，通常都是由另一个字母或另一组字母代替。例如：将字母a,，b，c，d，e，f，……w，x，y，z的自然顺序保持不变，但使之与D，E，F，G，H，I，……Z，A，B，C分别对应（相差3个字符，密钥为3），即将明文的字母移位若干字母而形成密文。例如，若明文为：Iamastudent则对应的密文为：LDPDVXGHQW。第十五页，共三十三页。2、置换加密：代替加密实质是保持明文的次序，而把明文字符隐藏起来。置换加密技术则是按照某一规则重新排列字母的顺序，而不是隐藏它们。例如：以无重复字母组成的短语insert作为密钥，密钥的作用是对列编号。在最接近于英文字母表首端的密钥字母的下面为第1列，依次类推。密钥：Insert次序：235146明文：attack；第一行begins；第二行atfour；第三行

明文：attackbeginsatfour密文：aioabatetcnutgfksr第十六页，共三十三页。12.3计算机病毒12.3.1计算机病毒的特征与类型

12.3.2计算机病毒的结构和机理

12.3.3计算机病毒的防范计算机病毒是一段很小的计算机程序，它是由人为蓄意制造的一种会不断自我复制及感染的程序。它能在计算机系统中生存，通过自我复制来传播，满足一定条件时被激活，从而给计算机系统造成一定的损害甚至严重的破坏。这种程序的活动方式可以与微生物学中的病毒类似，所以被形象地称为计算机病毒。第十七页，共三十三页。12.3.1计算机病毒的特征与类型1、计算机病毒的基本特征传染性、潜伏性、触发性、衍生性、破坏性2、计算机病毒的种类

引导型性病毒：如“大麻”、“磁盘杀手”、“6.4”、“幽灵”。操作系统型病毒：如“巴基斯坦”“黑色复仇者”“小球”。入侵型病毒：以插入的方式粘到现有宿主程序体的中间。文件型病毒：有“耶路撒冷”、“1757”、“杨基”等。外壳型病毒：有“黑色星期五”、“哥伦布日”等。第十八页，共三十三页。12.3.2计算机病毒的结构和机理1、计算机病毒的结构

触发模块：该模块通过判断预定的触发条件是否满足来控制病毒的感染和破坏活动。感染模块：该模块通过判断预定的触发条件是否满足来控制病毒的感染和破坏活动、控制感染和破坏动作的频率，使病毒在隐藏状态下进行感染和破坏活动。破坏模块：该模块包括破坏（或表现）条件的判断部分，判断是否破坏、表现或何时破坏。主控模块：病毒运行时，首先运行的是病毒的主控模块。主控模块控制病毒的运行。感染标志：当病毒感染宿主程序时，要把感染标志写入宿主程序，作为该程序已被感染的标志。第十九页，共三十三页。2、计算机病毒的机理从图中可以看出，通过第一次非授权加载后，计算机病毒的引导模块被执行，病毒有静态转为动态。动态病毒通过某种触发手段不断检查是否满足条件，一旦满足则执行感染和破坏功能。第二十页，共三十三页。12.3.3计算机病毒的防范计算机病毒防范，是指通过建立合理的计算机病毒防范体系和制度，及时发现计算机病毒侵入，并采取有效的手段阻止计算机病毒的传播和破坏，恢复受影响的计算机系统和数据。1、计算机病毒的表现现象发作前的表现现象、发作时的表现现象、发作后的表现现象、从表现形式和传播途径发现计算机病毒。2、计算机病毒的技术防范技术预防措施、引导型计算机病毒的识别和防范、文件型计算机病毒的识别和防范、宏病毒的识别和防范、电子函件计算机病毒的识别和防范。第二十一页，共三十三页。12.4防火墙技术12.4.1防火墙的基本知识

12.4.2防火墙的相关技术

12.4.3防火墙的结构

通过Internet，企业可以从异地取回重要数据，同时又要面对Internet开放带来的数据安全的新挑战和新危险：即客户、销售商、移动用户、异地员工和内部员工的安全访问；以及保护企业的机密信息不受黑客和工业间谍的入侵。因此企业必须加筑安全的“战壕”，而这个“战壕”就是防火墙。第二十二页，共三十三页。12.4.1防火墙的基本知识

2、防火墙的作用：网络安全的屏障、强化网络安全策略、对网络存取和访问进行监控审计、防止内部信息的外泄、1、防火墙的概念：指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。3、防火墙的种类：分组过滤（Packetfiltering）应用代理（ApplicationProxy）或应用网关（ApplicationGateway）第二十三页，共三十三页。12.4.2防火墙的相关技术1、包过滤技术：是防火墙为系统提供安全保障的主要技术，它通过设备对进出网络的数据流进行有选择的控制与操作。2、网络地址转换技术：网络地址转换（NAT）是一种用于把内部IP地址转换成临时的、外部的、注册的IP地址的标准。它允许具有私有IP地址的内部网络访问因特网。它还意味着用户不需要为其网络中每台机器取得注册的IP地址。3、应用代理或代理服务器：应用代理或代理服务器（ApplicationLevelProxyorProxyServer）是代理内部网络用户与外部网络服务器进行信息交换的程序。它将内部用户的请求确认后送达外部服务器，同时将外部服务器的响应再回送给用户。第二十四页，共三十三页。

4、IP通道（IPTunnels）：如果一个大公司的两个子公司相隔较远，通过Internet通信。这种情况下，可以采用IPTunnels来防止Internet上的黑客截取信息，从而在Internet上形成一个虚拟的企业网。5、隔离域名服务器（SplitDomainNameServer）这种技术是通过防火墙将受保护网络的域名服务器与外部网的域名服务器隔离，使外部网的域名服务器只能看到防火墙的IP地址，无法了解受保护网络的具体情况，这样可以保证受保护网络的IP地址不被外部网络知悉。6、邮件技术（MailForwarding）：当防火墙采用上面所提到的几种技术使得外部网络只知道防火墙的IP地址和域名时，从外部网络发来的邮件，就只能送到防火墙上。这时防火墙对邮件进行检查，只有当发送邮件的源主机是被允许通过的，防火墙才对邮件的目的地址进行转换，送到内部的邮件服务器，由其进行转发。第二十五页，共三十三页。12.4.3防火墙的结构1、包过滤防火墙2、双宿主网关防火墙3、过滤主机防火墙4、过滤子网防火墙5、调制解调器池

第二十六页，共三十三页。1、包过滤防火墙包过滤防火墙在小型、不复杂网络结构中最常使用，也非常容易安装。然而，与其他防火墙结构相比，用户需承受它的更多的缺点。通常，在Internet连接处安装包过滤路由器，在路由器中配置包过滤规则来阻塞或过滤报文的协议和地址。一般站点系统可直接访问Internet，而从Internet到站点系统的多数访问被阻塞。无任怎样，路由器可根据策略有选择地允许访问系统和服务，通常有内在危险的NIS、NFS和Xwindows服务被阻塞。第二十七页，共三十三页。2、双宿主网关防火墙双宿主网关防火墙是包过滤防火墙技术较好的替代结构，它由一个带有两个网络连接口的主机系统组成。一般情况下，这种主机可以充当与这台主机相连的网络之间的路由器。它将一个网络的数据包在无安全控制下传递到另一个网络。如果将这种双宿主机安装到防火墙中作为一个双宿网关防火墙，它首先使得IP包的转发功能失效。除此之外，包过滤路由器能被放置在Internet的连接处提供附加的保护，它创建一个内部的、屏蔽的子网。第二十八页，共三十三页。3、过滤主机防火墙过滤主机防火墙由一个包过滤路由器和一个位于路由器旁边保护子网的应用网关组成。应用网关仅需要一个网络借接口，它的代理服务能传递存在的Telnet、FTP和其他服务到站点系统。路由器过滤存在内在危险的协议到达应用网关和站点系统。第二十九页，共三十三页。4、过滤子网防火墙过滤子网防火墙是双宿主网关和过滤主机防火墙的一种变化形式，它能在一个分割