计算机安全概述课件

计算机安全虞闯沈阳理工大学计算机科学与工程学院1计算机安全1理解安全与不安全概念讨论：举例说明什么是不安全？安全：没有危险；不受威胁；不出事故；没有损失；计算机系统是由计算机及相关配套的设备、设施（含网络）构成的，并按应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。2理解安全与不安全概念讨论：举例说明什么是不安全？2不安全的典型案例－病毒与网络蠕虫1986年初在巴基斯坦，巴锡特(Basit）和阿姆杰德(Amjad）两兄弟编写的Pakistan病毒（即Brain）1988年11月，美国康乃尔大学的学生Morris编制的名为蠕虫计算机病毒，造成经济损失约1亿美元美丽杀手1999年，经济损失超过12亿美元!爱虫病毒2000年5月，损失超过100亿美元以上红色代码2001年7月，直接经济损失超过26亿美元2001年9月，尼姆达蠕虫，约5.9亿美元的损失2003年1月25日，“2003蠕虫王”，对网络上的SQL数据库攻击2003年8月12日“冲击波”爆发3不安全的典型案例－病毒与网络蠕虫1986年初在巴基斯坦，巴锡典型案例－计算机犯罪1996年7月9日，北京市海淀区法院。原告：北大心理学系93级研究生薛燕戈。被告：同班、同寝室、同乡张男。4月9日1.8万美元全奖/4月12日10:16冒名邮件。经调解赔偿精神与经济损失12000元。结局：薛燕戈赴美成行（密执安大学）。张男“梦断北京”（丹佛大学）1998年6月24日上海证卷交易所某营业部发现有人委托交易1亿股上海建工股票，却找不到营业部有任何人委托此笔交易，当即撤消此笔交易，但是已经成交2100股，损失2.6亿元1998年9月21日晚，郝景文（扬州市工商行职员），通过假冒终端在11分钟内向16个活期帐户充值72万元。随后恢复线路的正常连接，并在1小时内从8个储蓄所提取26万元，心虚逃窜，现已缉拿归案，判处死刑。4典型案例－计算机犯罪42006年病毒排行之首熊猫烧香52006年病毒排行之首熊猫烧香5网络钓鱼(Phishing)假银行：如假中国银行域名，真；假中国工商银行，真学历查询假网站假中华慈善总会骗印度洋海啸捐款假网上订票假免费赠送QQ币典型案例－网络欺诈6网络钓鱼(Phishing)典型案例－网络欺诈6安全的关注点通信保密计算机安全网络安全信息保障7安全的关注点通信保密7安全的概念“安全”一词是指将服务与资源的脆弱性降到最低限度。脆弱性是指计算机系统的任何弱点。国际标准化组织（ISO）对计算机系统安全的定义是：为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。所谓计算机安全定义如下：研究如何预防和检测计算机系统用户的非授权行为。。8安全的概念“安全”一词是指将服务与资源的脆弱性降到最低限度。安全需求(属性）可靠性（Realibility)可用性（Availability）保密性（Confidentiality）完整性（Integrity）可控性（Controllability）不可抵赖性（Non—repudiation）问责性（Accountability）9安全需求(属性）可靠性（Realibility)9可靠性（Reliability)指信息系统能够在规定条件下和规定的时间内完成规定的功能的特性。度量指标：抗毁性指系统在人为破坏下的可靠性生存性随机破坏下系统的可靠性有效性是基于业务性能的可靠性10可靠性（Reliability)10可用性（Availability)

指信息可被授权实体访问并按需求使用的特性，是系统面向用户的安全性能。一般用系统正常使用时间和整个工作时间之比来度量。【拒绝攻击服务】（denialofserviceDoS):阻止对资源的授权访问或者推迟时间关键的操作。11可用性（Availability)11机密性(Confidentiality)也称保密性，指信息不被泄露给非授权的用户、实体或过程，或供其利用的特性。机密性是在可靠性和可用性基础上，保障信息安全的重要手段。12机密性(Confidentiality)12完整性(Integrity)

指网络信息未经授权不能进行改变的特性，既信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。13完整性(Integrity)13不可抵赖性(Non-repudiation)

指在信息交互过程中，确信参与者的真实同一性，既所有参与者都不可能否认或抵赖曾经完成的操作和承诺。分为：发送方不可否认和递送方不可否认。(也有接受方不可否认。)14不可抵赖性(Non-repudiation)14可控性（Controllability）指对合法用户根据其权限限制其不同的对数据的操作范围，同时对非法用户进行监视、审计，对信息的使用、传播有控制力。使信息和信息系统时刻处于合法所有者或使用者的有效控制之下。15可控性（Controllability）指对合法用户根据其问责性（Accountability）审计信息有选择地保存和保护，以便影响安全的行为可以被追溯到责任方。16问责性（Accountability）审计信息有选择地保存和1717其他安全需求

可审查性真实性认证访问控制…不同的系统关注不同的需求（即不同的安全属性），如用户关注隐私，网警关注可控；有的系统要求不可否认（电子交易），有的要求可否认（匿名BBS）。18其他安全需求18计算机系统安全涉及的内容

物理安全：环境安全、设备安全、媒体安全运行安全：风险分析、审计跟踪、备份与恢复、应急响应信息安全：操作系统安全、数据库安全、网络安全、病毒防护、访问控制、加密与鉴别19计算机系统安全涉及的内容192020安全问题

时间

高级入侵者发现新漏洞

原始的探询漏洞的工具被分发

初级入侵者使用原始工具

开发出自动的扫描/探询工具

自动扫描/探询工具被广泛使用

入侵者开始使用新的探询工具

系统

弱点

21安全问题时间高级入侵者发现新漏洞原始的探询漏洞的工具被安全问题(续)1.应用中的安全威胁所有的软件都存在漏洞。比如常用的操作系统Windows或者UNIX及其他各种应用软件：各种WWW服务器、浏览器、FTP服务器、邮件服务器等；一些安全产品，如防火墙、VPN等都存在大量安全漏洞。2.设计中的问题Internet网络协议的安全机制存在先天不足，另外协议还具有许多安全漏洞。22安全问题(续)1.应用中的安全威胁22安全问题(续)3.配置中的问题默认的用户名、口令和开放的服务端口。由于维护人员没有审核这些设置、限制这些用户的权限、更改默认的口令，以及关闭不必要的服务端口等，往往会被攻击者利用，造成网络瘫痪或机密被窃取。

4.管理中的问题网络系统的严格管理是企业、机构及用户免受攻击的重要保障。计算机安全很大程度上取决于优秀的管理人员，任何安全产品和安全设施都需要管理人员的维护、跟踪和审核。23安全问题(续)3.配置中的问题23安全问题的表现形式病毒（包括蠕虫）的扩散垃圾邮件的泛滥网页数据的篡改不良信息的传播黒客行为计算机犯罪…24安全问题的表现形式病毒（包括蠕虫）的扩散24安全威胁安全威胁对安全的潜在的侵害攻击威胁的实施安全策略允许什么，不允许什么的陈述安全机制实现安全策略的方法，工具，过程25安全威胁安全威胁25安全威胁安全威胁的种类主要表现：信息泄露、拒绝服务、信息破坏。威胁来自多个方面。自然和人为两类。自然因素包括各种自然灾害人为因素又有无意和故意之分。26安全威胁安全威胁的种类26安全威胁(续)（1）从威胁的来源看可分为内部威胁和外部威胁。（2）从攻击者的行为上看可以分成主动威胁和被动威胁（3）从威胁的动机上看分为偶发性威胁与故意性威胁27安全威胁(续)27

网络存在的安全威胁28

网络存在的安全威胁28威胁的表现形式（1）假冒（2）未授权访问（3）拒绝服务（DoS）（4）否认（抵赖）（5）窃听（6）篡改（7）复制与重放（重演）29威胁的表现形式（1）假冒29威胁的表现形式(续)（8）业务流量、流向分析（9）隐蔽信道（10）人为失误（11）自然灾害与人为破坏（12）逻辑炸弹（13）后门（陷门）（14）恶意代码（15）不良信息30威胁的表现形式(续)（8）业务流量、流向分析30

缺陷和漏洞的存在软件实现缺陷操作系统缺陷协议缺陷用户使用缺陷31

缺陷和漏洞的存在3132323333

信息系统脆弱性系统脆弱性指系统硬件资源软件资源信息资源等，因可预见或不可预见甚至恶意的原因，可能导致系统受到破坏、更改、泄露和功能失效，从而使系统处于异常状态，甚至导致崩溃、瘫痪的根源和起因。34

信息系统脆弱性34主要的脆弱性

硬件系统•操作系统•网络协议•软件实现•用户使用35主要的脆弱性

硬件系统35

安全威胁安全威胁（threat）是对信息资产（属于某个组织的有价值的信息或资源）引起不期望事件而造成损害的潜在可能性。

36

安全威胁36威胁分类

信息安全的基本目标是实现信息和信息系统的真实、机密、可用和可控。信息泄露机密性破坏完整性破坏真实性破坏拒绝服务可用性破坏非法使用可控性破坏37威胁分类

37

基本攻击类型截获/侦听中断篡改假冒/伪造非授权访问/非法使用38

基本攻击类型383939404041414242各种攻击所针对的安全属性

截获/侦听机密性篡改完整性中断可用性假冒与伪造可用性/可审查性非授权访问/非法使用可控性43各种攻击所针对的安全属性

43保证信息安全关键技术1）如何保证机密性信息加密信息隐藏业务流填充…………2）如何保证完整性完整性检查（验证）与鉴别数字签名…………44保证信息安全关键技术1）如何保证机密性443）如何保证可用性授权与访问控制防火墙技术入侵检测技术漏洞扫描技术身份认证技术访问控制技术权限管理与审计反病毒技术……453）如何保证可用性454）如何保证不可否认性数字签名身份认证安全审计…………5）如何保证可控性授权与访问控制安全评估安全管理……464）如何保证不可否认性466）对技术）//机制的支撑安全协议安全基础设施

476）对技术）//机制的支撑4748482006年度中国大陆地区电脑病毒疫情&互联网安全报告2006年新增病毒数量狂增，以窃取用户帐号密码等个人虚拟财产信息的病毒占到总病毒数量的71.47％。还出现了首个勒索病毒492006年度中国大陆地区电脑病毒疫情&互联网安全报告20062006年度中国大陆地区电脑病毒疫情&互联网安全报告黑客团伙对抗杀毒软件，从“暗偷”转为“明抢”编写病毒——攻击网站植入病毒——用户感染（机器被黑客控制，构成僵尸网络Botnet）——窃取用户资料——在网上出售502006年度中国大陆地区电脑病毒疫情&互联网安全报告黑客团伙2006年度中国大陆地区电脑病毒疫情&互联网安全报告流氓软件得到控制部分从良、部分转变为纯粹病毒512006年度中国大陆地区电脑病毒疫情&互联网安全报告流氓软件2006年度中国大陆地区电脑病毒疫情&互联网安全报告2006年十大病毒排行（瑞星提供）1、熊猫烧香（Worm.Nimaya)2、威金蠕虫（Worm.Viking）3、代理木马下载器（Trojan.DL.Agent）4、传奇终结者（Trojan.PSW.Lmir）5、征途木马（Trojan.PSW.Zhengtu）6、QQ通行证（Trojan.PSW.QQPass）7、威尔佐夫（Worm.Mail.Warezov）8、调用门Rootkit（Rootkit.CallGate）9、灰鸽子后门（Backdoor.Gpigeon）10、魔兽木马（Trojan.PSW.WoWar）522006年度中国大陆地区电脑病毒疫情&互联网安全报告2006赛门铁克公司《第10期互联网安全威胁报告》根据今年上半年监测的数据,中国拥有的"僵尸网络"电脑数目最多,全世界共有470万台,而中国就占到了近20%.53赛门铁克公司《第10期