信息安全技术发展状况简

信息网络平安技术开展情况博士后段云所北京大学计算机系副教授北大青鸟环宇公司副总裁

GSM:01379:doyes@

内容索引平安总体框架平安缘由与要挟平安目的与义务平安实际与技术平安规范与规范平安管理与检查平安主管与监察平安方案与实施北大青鸟网络信息平安的目的、技术和产品关系图`运用平安：目的：、完好、抗否认、可用技术：加密、验证、签名、认证、备份产品：加密机〔卡〕、严密网关诱因：网络缺陷+开放性+黑客攻击``保证：规范+战略+管理+紧急呼应内容平安：目的：净化内容、获取敌对信息、维护涉密技术：搜索、定位、密级分类管理产品：信息监察系统、涉密检查系统网络平安：目的：可控、可靠、防入侵技术：访问控制、认证、审计、入侵检测产品：防火墙、VPN、平安路由器…传输平安：目的：防窃听、防阻塞、防篡改、防盗用技术：加密、认证产品：加密机、VPN、专网平安技术架构内容索引平安总体框架平安缘由与要挟平安目的与义务平安实际与技术平安规范与规范平安管理与检查平安主管与监察平安方案与实施北大青鸟网络不平安的根本缘由冯.诺依曼构造软件=数据+程序网络不平安的直接缘由本身缺陷+开放性+黑客攻击网络本身的平安缺陷协议本身会走漏口令衔接可成为被盗用的目的效力器本身需求读写特权基于地址密码严密措施不强某些协议经常运转一些无关的程序业务内部能够隐藏着一些错误的信息有些业务本身尚未完善,难于区分出错缘由有些业务设置复杂,很难完善地设立运用CGI的业务网络开放性业务基于公开的协议 远程访问使得各种攻击无需到现场就能得手衔接是基于主机上的社团彼此信任的原那么黑客〔HACKER)定义：“非法入侵者〞 来源：60年代,计算机技术喜好者目的：基于兴趣非法入侵 基于利益非法入侵 信息战常见攻击分类口令破解：攻击者可经过获取口令文件，然后运用口令破解工具获得口令，也可经过猜测或窃听等方式获取口令。衔接盗用：在合法的通讯衔接建立后，攻击者可经过阻塞或摧毁通讯的一方来接纳曾经过认证建立起来的衔接，从而冒充被接纳方与对方通讯；效力回绝：攻击者可直接发动攻击，也可经过控制其它主机发起攻击使目的瘫痪，如发送大量的数据洪流阻塞目的；网络窃听：网络的开放性使攻击者可经过直接或间接窃听获取所需信息；数据篡改：攻击者可经过截获并修正数据或重放数据等方式破坏数据的完好性；常见攻击分类地址欺骗：攻击者可经过伪装成被信任的IP地址等方式来骗取目的的信任；社会工程：攻击者可经过各种社交渠道获得有关目的的构造、运用情况、平安防备措施等有用信息，从而提高攻击胜利率。恶意扫描：攻击者可编制或运用现有扫描工具发现目的的破绽，进而发起攻击；根底设备破坏：攻击者可经过破坏DNS或路由信息等根底设备使目的陷于孤立；数据驱动攻击：攻击者可经过施放病毒、特洛伊木马、数据炸弹等方式破坏或遥控目的。内容索引平安总体框架平安缘由与要挟平安目的与义务平安实际与技术平安规范与规范平安管理与检查平安主管与监察平安方案与实施北大青鸟网络平安的义务保证各种网络资源稳定、可靠地运转受控、合法地运用信息平安的义务性〔confidentiality)完好性(integrity)抗否认性(non-repudiation)可用性(availability)其他病毒防治预防内部犯罪四大平安需求运转平安防护平安管理平安评价平安内容索引平安总体框架平安缘由与要挟平安目的与义务平安实际与技术平安规范与规范平安管理与检查平安主管与监察平安方案与实施北大青鸟平安实际密码实际与技术〔加密、标志〕认证识别实际与技术〔I&A)授权与访问控制实际与技术审计追踪技术网间隔离与访问代理技术反病毒技术密码技术信息加密算法对称；DES,3DES,AES非对称:RSA,ECC数字签名算法摘要：MD5,SHA签名：DSS,RSAECC密钥长度mRSA密钥长度MIPS-年1601024101232051201036600210001078120012000010168ECC和RSA性能比较DES密钥长度(bit)RSA密钥长度(bit)563846451211217921282304DES和RSA性能比较(同等强度〕

系统平安技术

身份认证口令认证 挑战/应对方式 Keberos认证访问控制和授权自主访问控制、强迫访问控制、基于角色访问控制审计日志记录、统计分析、数据发掘网络平安技术北大青鸟防火墙技术平安严密网关技术平安路由技术VPN技术破绽扫描技术入侵检测技术IP/IPSecFTPSMTPTCP(a)NetworkLevel平安协议-网络层IPFTPSMTPTCP(b)TransportLevelSSLorTLS平安协议-传输层(c)ApplicationLevelIPS/MIMEPGPSETTCPSMTPUDPKerberos平安协议-运用层ApplicationdataFragmentCompressAddMACEncryptionAppendSSLrecordheaderSSLRecordProtocol详细操作可选SSL握手协议的音讯传送PGP典型例如(产生PGPMessage)PGP典型例如(接纳PGPMessage)内容索引平安总体框架平安缘由与要挟平安目的与义务平安实际与技术平安规范与规范平安管理与检查平安主管与监察平安方案与实施北大青鸟平安评价规范国标主要平安目的国家平安规范主要考核目的有：身份认证、自主访问控制、数据完好性、审计、隐蔽信道分析、客体重用、强迫访问控制、平安标志、可信途径、可信恢复等。特点：这些目的涵盖了不同级别的平安要求。信息网络主要平安目的身份认证：主要思索用户、主机和节点的身份认证。访问控制：采用自主访问控制战略。数据完好性：思索存储、传输和运用中不被篡改和泄密。审计：主要思索访问的主体、客体、时间、成败情况等。隐蔽信道：主要思索采用平安监控和平安破绽检测来加强对隐蔽信道的防备。其他规范管理：ISO17799......内容索引平安总体框架平安缘由与要挟平安目的与义务平安实际与技术平安规范与规范平安管理与检查平安主管与监察平安方案与实施北大青鸟技术管理根据事物开展的规律，采用合理的技术手段，对所需管理的对象进展合理的方案、组织和控制，使之按照固有的规律最有效、最大限制地按预定的目的运转。技术管理与行政管理技术管理是根底和措施，效力于行政管理。行政管理是战略和方法，经过技术措施实现目的。技术管理概念技术管理的必要性三分技术七分管理平安战略的制定不是技术问题，而是管理问题缺省配置为系统留下平安隐患，需求管理系统破绽与补丁不断出现，需求管理平安检查和评价需求需求管理手段平安系统运转监控需求管理管理出效益减少缺点时间预防平安事件节省维护开支技术管理的目的和内容网络管理IP地址管理非法拨号上网管理拓扑管理端口管理

运转管理运转根本情况监控日志管理配置管理流量管理病毒管理授权管理事件关联分析技术管理的目的和内容破绽管理破绽跟踪补丁检查特征晋级

人员管理人员权限管理人员行为管理人员变卦管理活动帐号管理物理平安检查物理运转环境〔温度、湿度…)电磁兼容环境(抗干扰、防辐射…〕机房安防环境〔防盗、防改…)

破绽扫描检测

IP扫描端口扫描破绽扫描补丁扫描病毒扫描平安设备运转监控设备有效性监控设备配置监控日志分析突发事件监控远程配置和控制事件关联性分析事件追踪平安决策专家平安建议国家行业法规用户行为追踪行为关联分析网络异常发现平安事件告警战略自动分配可视平安形状人性操作界面平安事件历史平安控制分布管理集中管理异步伐用跨平台开放接口加密通讯信息采集网络运转情况网络流量信息用户行为数据产品审计信息产品改换晋级战略措施调整产品技术公告攻击技术公告平安测评平安风险评价〔财富评价、要挟评价〕平安规范和平安等级确认平安目的平安实际构造平安战略战略建立和审核过程人员战略决议需求维护什么决议哪些损失是可以接受的 列出一切潜在的风险和平安破绽 获得平安工具 建立物理灾难恢复,事件呼应及不测事故计 提供平安认知和实际培训系统平安加强新的系统总是充溢了各种平安破绽打上最新软件补丁和更新总是到系统供应商处检查更新从可信站点下载,运用MD5或数字签名(PGP)检查加强口令维护设置系统审计功能加强文件系统平安文件系统监控文件自动恢复平安配置各种网络效力其他平安思索网络根底设备为防止网络窃听,应运用交换式HUB,而不用共享式HUB许多支持SNMP的设备中,SNMPagent的默许口令“public〞未作更改路由器封锁源路由,以防止IP欺骗在路由器上,制止TCP和UDP端口,以及其他不会用到的TCP/UDP端口,制止不需求的协议路由器只是原始的网络平安设备它不跟踪TCP衔接形状它也没有日志机制来检测入侵企图包过滤规那么难以设置内容索引平安总体框架平安缘由与要挟平安目的与义务平安实际与技术平安规范与规范平安管理与检查平安主管与监察平安方案与实施北大青鸟平安方案设计要素明确的需求分析合理的设计原那么可信的平安等级良好的指点方法全面的实际模型正确的技术选择可靠的支撑产品适用的功能性能可行的评价措施完善的管理手段长久的维护晋级信息平安产品防火墙入侵检测破绽扫描管理中心测评工具反病毒目前的平安情况----产品分布总产值：26亿〔2001年〕

平安防护实际平安战略系统平安加强网络平安最终用户平安其他防火墙防火墙是位于两个或多个网络间，实施网间访问控制的计算机和网络设备的集合，它满足以下条件：内部和外部之间的一切网络数据流必需经过防火墙只需符合平安政策的数据流才干经过防火墙防火墙的作用强化平安战略有效地记录Internet上的活动隔离不同网络，限制平安问题分散是一个平安战略的检查站防火墙相关技术静态包过滤动态包过滤运用程序网关(代理效力器)电路级网关网络地址翻译虚拟公用网防火墙体系构造双宿/多宿主机方式(dual-homed/multi-homed)屏蔽主机方式屏蔽子网方式双宿主机方式堡垒主机内部网外部网络最小效力最少特权屏蔽主机方式包过滤路由器内部网外部网络堡垒主机屏蔽子网方式内部路由器内部网外部网络堡垒主机外部路由器DMZ区周边网处理了单点失效问题平安扫描手工地或运用特定的自动软件工具——平安扫描器，对系统要挟进展评价，寻觅能够对系统呵斥损害的平安破绽。本地扫描器或系统扫描器：扫描器和待检查系统运转于同一结点，执行本身检查远程扫描器或网络扫描器：扫描器和待检查系统运转于不同结点，经过网络远程探测目的结点，寻觅平安破绽。入侵检测(IDS)防火墙和IDS是网络平安中互为补充的两项工具IDS完成以下功能实时监控网络流量检查审计信息,寻觅入侵活动当发现入侵特征后,告警IDS有两大种类基于主机基于网络IDS通常很昂贵,会产生相当多的误报最终用户平安平安训练提高平安认识,了解网络平安战略任务站平安维护敏感信息备份,加密,加锁默许外来文件都是有害的选取适宜口令阅读器选择及配置强加密Cookie,JavaApplet,Javascript,ActiveX等的运用正确处置电子邮件加密,数字签名平安技术架构DMZDDN/X.25/FR无线网加密机防火墙路由器路由器PSTN挪动用户外部mail效力器外部WWW效力器外部DNS普通客户密钥管理中心防火墙平安客户端普通效力器1普通效力器2普通效力器3普通效力器n重要效力器1重要效力器2重要效力器3重要效力器n接入/认证效力器访问代理破绽扫描/入侵检测平安方案拓扑总图代理效力器地址过滤身份认证〔双向〕访问控制访问代理出关控制数据加/解密

日

志

审

计平安客户通讯层身份认证〔双向〕数据加/解密〔软件或IC卡〕wwwFTP…代理接口平安外层防火墙隔离Internet和DMZ；IP包过滤，仅允许从Internet到DMZ公共效力器的访问和经由内层防火墙到Internet访问的IP包进出；实现地址转换，隐藏DMZ及内部网络拓扑构造；IP地址合法性检查，防止地址欺骗；具备审计功能。同IDS联动,切断入侵者衔接内层防火墙、代理效力器隔离DMZ和内部网；实现代理访问型防火墙功能，支持从内部网到Internet和DMZ的单向访问；实现身份认证，内部网访问Internet必需先经过认证才干进展；可以实现地址转换，隐藏内部网络拓扑构造；IP地址合法性检查，防止地址欺骗；对网络访问进展监控审计；本身对发生的攻击行为能进展审计。同IDS联动,切断入侵者衔接入侵检测系统(IDS)可以实时准确捕捉到入侵；可以检测出系统管理员及内部用户的误操作；发现入侵可以及时作出呼应并详细记录审计日志同防火墙联动，自动切断入侵者衔接平安扫描系统检查系统中存在的特洛伊木马及有破绽程序；对系统和网络进展检测，查找能够存在的平安破绽、配置问题并给出报告和修正建议；DMZDDN/X.25/FR无线网加密机防火墙路由器路由器PSTN挪动用户外部mail效力器外部WWW效力器外部DNS普通客户密钥管理中心防火墙平安客户端普通效力器1普通效力器2普通效力器3普通效力器n重要效力器1重要效力器2重要效力器3重要效力器n接入/认证效力器访问代理破绽扫描/入侵检测平安方案拓扑总图内容索引平安总体框架平安缘由与要挟平安目的与义务平安实际与技术平安规范与规范平安管理与检查平安主管与监察平安方案与实施未来展望北大青鸟被动防御->自动防御根本平安->全面平安防护监测->诱骗取证可用性->生存性平安开展趋势北大青鸟平安实际北大青鸟StructureofJadeBirdJadeBirdGroupBeidaJadeBirdLimitedJadeBirdTianqiao600657(AShare)

Beida-onlineNetworkCo.,LtdJadeBirdUniversal8095(HShare)BroadbandNetworkCo.,