信息安全基础知识

信息平安根底知识目录信息平安概述什么是信息？ISO17799中的描述“Informationisanassetwhich,likeotherimportantbusinessassets,hasvaluetoanorganizationandconsequentlyneedstobesuitablyprotected.〞“Informationcanexistinmanyforms.Itcanbeprintedorwrittenonpaper,storedelectronically,transmittedbypostorusingelectronicmeans,shownonfilms,orspokeninconversation.强调信息：是一种资产同其它重要的商业资产一样对组织具有价值需要适当的保护以各种形式存在：纸、电子、影片、交谈等信息系统是有目的、和谐地处理信息的主要工具，它把所有形态〔原始数据、已分析的数据、知识和专家经验〕和所有形式〔文字、视频和声音〕的信息进行收集、组织、存储、处理和显示。——?大英百科全书?信息系统的概念信息平安的定义从历史看信息平安通信保密〔ComSEC〕计算机平安〔CompSEC〕信息平安〔INFOSEC〕信息保障〔IA〕第一阶段：通信保密第二阶段：计算机平安级别描述D最低的级别。如MS-DOS，没有安全性可言C1灵活的安全保护。系统不需要区分用户。可提供基本的访问控制。如目前常用的各种通用操作系统。C2灵活的访问安全性。系统不仅要识别用户还要考虑唯一性。系统级的保护主要存在于资源、数据、文件和操作上。如WindowsNT3.5/4.0、DigitalUNIX、OpenVMS。B1标记安全保护。系统提供更多的保护措施，包括各种的安全级别。如AT&T的SYSTEMV、UNIXwithMLS，以及IBMMVS/ESA。B2结构化保护。支持硬件保护。内容区被虚拟分割并严格保护。如TrustedXENIX和HoneywellMULTICS。B3安全域。支持数据隐藏和分层，可以阻止层之间的交互。如HoneywellXTS-200。A校验级设计。需要严格的准确证明系统不会被伤害，而且提供所有低级别的因素。如HoneywellSCOMP。操作系统平安级别第三阶段：信息平安信息平安的主要内容平安保障内容平安运行平安数据平安设备平安信息系统平安管理信息平安的层次框架体系层次层面目标安全属性威胁保护手段系统安全设备安全对网络与信息系统的硬件设施的保护。机密性、可用性、完整性、可靠性电磁泄露、通信干扰、信号注入、人为破坏、自然灾害、设备故障加扰处理、电磁屏蔽、数据校验、容错、冗余、系统备份运行安全对网络与信息系统的运行过程和运行状态的保护。真实性、可控性、可用性、可审查性、可靠性非法使用资源、系统安全漏洞利用、网络阻塞、网络病毒、越权访问、非法控制系统、黑客攻击、拒绝服务攻击、软件质量差、系统崩溃防火墙与物理隔离、风险分析与漏洞扫描、应急响应、病毒防治、访问控制、安全审计、入侵检测、源路由过滤、降级使用、数据备份信息安全数据安全在数据收集、处理、存储、检索、传输、交换、显示、扩散等过程中保障信息依据授权使用，不被非法冒充、窃取、篡改、抵赖。机密性、真实性、完整性、不可否认性窃取、伪造、密钥截获、篡改、冒充、抵赖、攻击密钥加密、认证、非对称密钥、完整性验证、鉴别、数字签名、秘密共享内容安全对信息在网络内流动中的选择性阻断，以保证信息流动的可控能力。机密性、真实性、可控性、可用性、完整性、可靠性可对系统造成威胁的脚本病毒；因无限制扩散而导致消耗用户资源的垃圾类邮件；导致社会不稳定的有害信息，等等密文解析或形态解析、流动信息的裁剪、信息的阻断、信息的替换、信息的过滤、系统的控制第四阶段：信息保障保护网络和根底设施主干网络的可用性无线网络平安框架系统互连和虚拟私有网〔VPN〕保护网络边界登录保护网络远程访问多级平安保护计算环境终端用户环境系统应用程序的平安支撑性根底设施密钥管理根底设施/公共密钥根底设施〔KMI/PKI〕检测和响应本地计算环境本地计算环境本地计算环境viaTSPviaTSP

ViaTSPViaTSP有密级的网络专用网电信供应商公共网络INTERNET公共电话网远程访问保护（加密器）边界保护（防火墙等）边界区域支持性基础设施1、检测与响应2、密钥管理基础设施、公钥基础设施通过电信供应商深层防御战略的核心因素人操作可靠信息平安属性信息平安属性其他属性真实性-能对通讯实体身份的真实性进行鉴别；可控性-保证信息行为和过程均在信息主体的掌握和控制之下依照信息主体的意愿进行；可靠性-保证所传输的信息不属于无用信息；不可否认性-建立有效的责任机制，防止实体否认其行为；可审查性-对出现的网络平安问题提供调查的依据和手段并可追踪到唯一的行为实体；……实施平安保障的原那么信息平安的目的打不跨看不懂进不来拿不走改不了跑不了可审查信息平安的根底：风险管理风险管理：基于可接受的本钱，对影响信息系统的平安风险进行识别、控制、减小或消除的过程。信息平安对策必须以风险管理为根底：平安不必是完美无缺、面面俱到的。但风险必须是能够管理的。最适宜的信息平安策略就是最优的风险管理对策，这是一个在有限资源前提下的最优选择问题。风险管理体系ISO17799：信息平安管理实施细那么AS/NZS4360AS/NZS4360：风险管理标准GAO/AIMD98-68：信息平安管理实施指南信息平安风险信息平安风险的定义风险遭受损害或损失的可能性。平安风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性。〔ISO/IECTR13335-1:1996〕信息平安风险是指信息资产的保密性、完整性和可用性等平安属性遭到破坏的可能性。信息平安风险只考虑那些对组织有负面影响的事件。风险的四要素资产及其价值威胁脆弱性现有的和方案的控制措施价值ISO13335以风险为核心的平安模型资产资产是任何对组织有价值的东西。信息也是一种资产，对组织具有价值。资产的分类电子信息资产纸介资产软件资产物理资产人员效劳性资产公司形象和名誉主要的信息资产威胁脆弱性平安威胁物理层面：机房、设备间等的设备防盗，防毁机房、设备间的环境保障链路老化，人为破坏，被动物咬断等网络设备自身故障停电导致网络设备无法工作电磁干扰和泄漏其他根本威胁：一〕非授权访问：没有经过同意，就使用网络或计算机资源。如有意避开系统访问控制机制，对网络设备及资源进行非正常使用。2.擅自扩大权限，越权访问信息。如假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。平安威胁根本威胁：二〕信息泄露：敏感数据在有意或无意中被泄漏出去。如信息在传输中丧失或泄漏〔电磁泄漏或搭线窃听；对信息流向、流量、通信频度和长度等参数的分析，推出有用信息；猜测用户口令、帐号等重要信息。〕2.信息在存储介质中丧失或泄漏。如通过建立隐蔽隧道等窃取敏感信息等。平安威胁根本威胁：三〕破坏数据完整性：以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应。恶意添加，修改数据，以干扰用户的正常使用。平安威胁根本威胁：四〕拒绝效劳攻击不断对网络效劳系统进行干扰，改变其正常的作业流程。执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的效劳。平安威胁平安威胁平安威胁潜在的威胁如果在某个给定环境对任何一种根本威胁或者主要的可实现威胁进行分析，我们就能够发现某些特定的潜在威胁，而任意一种潜在威胁都可能导致一些更根本的威胁的发生。举例★窃听：信息从被监视的通信过程中泄露出去★业务流分析：通过对通信业务流模式〔有，无，数量，方向，频率〕的分析来将信息泄露给非授权个体的一种情报信息窃取方法；★人员疏忽：作为主体的人因为疏忽大意而导致的信息泄露事件；★媒体清理：通过对数据所依赖的媒体的分析而获得信息。黑客攻击什么是黑客攻击的一般过程第一步：信息探测—寻找目标，获取信息第二步：进入系统—获得初始的访问权限第三步：权限提升—获得更/最高访问权限第四步：深入攻击—攻击其他系统/擦除痕迹/留下后门第五步：拒绝效劳—入侵未成功那么造成拒绝效劳信息探测一般是入侵过程的开始，任何有头脑的攻击者在尝试获取访问目标系统的特权之前，都要预先进行工作量可能不少的研究，如对网络内部或外部进行有意或无意的可攻击目标的搜寻〔踩点、扫描〕。信息探测的目的确定目标的IP或域名确定目标操作系统类型和版本确定目标系统提供的效劳——端口信息攻击的一般过程1：信息探测信息探测的手法利用公开信息网络拓扑发现〔如ping、traceroute、firewalk〕端口扫描〔如nmap〕远程操作系统识别〔如bannergrab、nmapOS指纹鉴别〕SNMP扫描〔如snmputil〕漏洞扫描〔如Nessus、商业扫描器〕手工漏洞挖掘〔如SQL注入〕社会工程攻击的一般过程1：信息探测tracerouteTraceroute使我们知道数据包由出发点〔source〕到达目的地(destination)所走的路径。Traceroute通过发送小的数据包到目的设备直到其返回，来测量其需要多长时间。一条路径上的每个设备Traceroute要测3次。输出结果中包括每次测试的时间(ms)和设备的名称〔如有的话〕及其IP地址。在UNIX系统下为

Traceroute，在Windows系统下为Tracerert。C:\>tracertTracingrouteto[5]

overamaximumof30hops:

1161ms150ms160ms7

2151ms160ms160ms5

3151ms160ms150ms70

4151ms150ms150ms0

5151ms150ms150ms

6151ms150ms150ms

7761ms761ms752msborder7-serial3-0-0.S[9]

8751ms751ms*core2-fddi-0.S[9]

9762ms771ms751msborder8-fddi-0.S[7]

10721ms*741ms[]

11*761ms751mspos4-2-155M.cr2.SNV.[37]

12771ms*771mspos1-0-2488M.hr8.SNV.[1]

13731ms741ms751msbas1r-ge3-0-hr8.snv.yahoo[2]

14781ms771ms781mswww10.yahoo[5]

Tracecomplete.

NMapNMap〔NetworkMapper〕是Linux下的网络扫描和嗅探工具包。其根本功能有三个，一是探测一组主机是否在线；其次是扫描主机端口，嗅探所提供的网络效劳；还可以推断主机所用的操作系统。此外还可以将所有探测结果记录到各种格式的日志中，供进一步分析操作。Nmap可用于扫描含有2个节点的LAN，直至500个节点以上的网络。Nmap还允许用户定制扫描技巧。通常，一个简单的使用ICMP协议的ping操作可以满足一般需求。

例如：适用于内外网的探测，以内网操作为例如(外网参数同)

简单端口扫描：nmap-vv-sT(sS、sF、sU、sA〔-D伪造的地址)

OS检测：nmap-vv-sS-O

RPC鉴别：nmap-sS-sRLinux上的portmap就是一个简单的RPC效劳，监听端口为111〔默认〕

Ping扫射：nmap-sPsnmp扫描SNMP〔SimpleNetworkManagementProtocol，简单网络管理协议〕是用于管理IP网络上的结点的一种协议。几乎所有的网络设备和网络操作系统都支持SNMP。communitystring〔社团字串〕是基于SNMP协议信息通信时使用的一种“查询密码〞，当使用特殊的客户端应用程序，通过communitystring的验证，将获得对应的权限〔只读或读写)对SNMP中管理信息库〔MIB〕进行访问。而管理信息库〔MIB〕中那么保存了系统所有的重要信息。很多网络设备厂商以及操作系统厂商，在初始状态下，都使用统一的communitystring“public〞。Snmputil——命令行方式的SNMP扫描工具snmputilwalk对方ippublic...2.1.2列出系统进程snmputilwalk对方ippublic...列系统用户列表snmputilget对方ippublic...4.1.0列出域名snmputilwalk对方ippublic...3.1.2列出安装的软件snmputilwalk对方ippublic..2.1.1列出系统信息漏洞扫描什么是漏洞扫描漏洞扫描是一种自动检测远程或本地主机平安性弱点的操作。通过使用扫描器你可以不留痕迹的发现远程效劳器的各种TCP/UDP端口的分配、所提供的效劳及其软件版本，能够让我们间接的或直观的了解到远程主机所存在的平安问题。Nessus是一款可以运行在Linux、BSD、Solaris以及其他一些系统上的远程平安扫描软件。它是多线程、基于插入式的软件，拥有很好的图形操作界面，能够完成超过1200项的远程平安检查，具有强大的报告输出能力，可以产生HTML、XML、LaTeX和ASCII文本等格式的平安报告，并且会为每一个发现的平安问题提出解决建议。攻击的一般过程2：进入系统攻击的一般过程3：权限提升攻击者成功从原先没有权限的系统获取了一个访问权限从而进入系统，但这个权限可能是受限制的，于是攻击者就会采取各种措施，使得当前的权限得到提升，最理想的就是获得最高权限〔如Admin或者Root权限〕，这样攻击者才能进行深入攻击。这个过程就是权限提升。攻击者常用的手段主要是通过缓冲区溢出的攻击方式。一般步骤：1.检查目标主机上的SUID和GUID程序是否存在漏洞，如果是，利用该漏洞提升权限(unix)。2.检查本地效劳是否存在漏洞，如果是，利用该漏洞提升权限。3.检查本地效劳是否存在脆弱帐号或密码，如果是，利用该帐号或密码提升权限。4.检查重要文件的权限是否设置错误，如果是，利用该漏洞提升权限。5.检查配置目录中是否存在敏感信息可以利用。6.检查用户目录中是否存在敏感信息可以利用。7.检查其它目录是否存在可以利用的敏感信息。8.重复以上步骤，直到获得root权限或放弃。攻击的一般过程4：深入攻击攻击的一般过程5：拒绝效劳如果目标主机的防范措施比较好，前面的攻击过程可能不起效果。作为局部恶意的攻击者还会采用拒绝效劳的攻击方式，模拟正常的业务请求来阻塞目标主机对外提供效劳的网络带宽或消耗目标主机的系统资源，使正常的效劳变得非常困难，严重的甚至导致目标主机宕机，从而到达攻击的效果。目前，拒绝效劳〔DoS〕成为非常流行的攻击手段，甚至结合木马程序开展成为分布式拒绝效劳攻击〔DDoS〕，其攻击威力更大。常见拒绝效劳攻击类型SYN溢出Smurf和FragglePingofdeathLandattack什么是DoS/DDoS攻击？攻击者利用因特网上成百上千的“Zombie〞(僵尸)-即被利用主机，对攻击目标发出海量数据包造成动威力巨大的拒绝效劳攻击。DenialofService(DoS)拒绝效劳攻击DistributedDenialofService(DDoS)分布式拒绝效劳攻击攻击者利用系统自身漏洞或者协议漏洞，耗尽可用资源乃至系统崩溃，而无法对合法用户作出响应。Trinoo、TFN、TFN2K和Stacheldraht。常用攻击工具DDoS攻击过程主控主机（中间人handler）合法用户扫描程序黑客Internet非平安主机被控主机〔代理agent)应用服务器服务请求服务响应洪流(ICMPFlood/SYNFlood/UDPFlood)协议层平安OSI参考模型和TCP/IP协议簇网络设施操作系统应用效劳TCP/IP和因特网平安识别网络通讯中存在的风险网络监视数据修改身份欺骗中间人劫持窃取密码识别与物理网络相关的风险Hub网段1网段1网段1网段2Sniffer所有连接都可见仅网段2通讯可见Switch截取、捕获数据网段1网段2仅允许网段3访问Telnet网段3RouterRouterTelnetServer非法用户远程登录物理层平安问题网络层平安问题提供逻辑地址和路由IP,ICMP…InternetProtocol(IP)32-bit,unique,identifyhost头部(20bytes):信息和控制字段威胁:IPspoofing，Smurfattack网际控制消息协议(ICMP)在IP层检查错误和其它条件。一般的ICMP信息是非常有用的。威胁:〔TFN,利用ICMP协议来消耗网络带宽〕〔Winnuke发送畸形的ICMP数据包〕保护:firewall,systempatch传输层平安问题控制主机之间信息的传输TCP,UDP协议TCP:面向连接的协议〔FTP,HTTP,SMTP〕flags:SYN,FIN,ACK,PSH,RST,URGEstablishing/TerminatingaTCPconnectionTCP威胁:SYNfloodUDP:面向无连接的协议(Audio,video,TFTP)端口(IANA)Web(80),FTP(20,21),DNS(53),SNMP(161,162)…保存端口(Wellknownports):<1024注册端口:1024~49151私有端口:49152~65535TCP/IP三次握手SYN标志，目的端口号，初始序列号(ISN)SYN标志，ISN，确认标志(ACK)ACKSYNFlooding攻击1、攻击客户端向被攻击效劳器发起带有假冒IP地址的SYN请求.2、效劳器试图发送SYN/ACK应答到那个不可达的IP地址.3、客户端不会收到ACK,效劳器一直发下去应用层平安问题〔1〕最难以实现平安的层次简单的邮件传输协议(SMTP)威胁:mailfloodsendingvirusesandTrojanUsernameleak(vrfy,expn,rcptto:)防护:病毒网关Anti-virusesgatewayUsingsecureSMTPsoftwareeducatingemailusers文件传输协议(FTP)威胁:利用上载填充硬盘空间，使硬盘空间溢出上传攻击工具到效劳器用户名和密码是明文的防护:仅允许匿名连接将数据置于单独分区超文本传输协议(HTTP)威胁:恶意的activeX或Javaapplet脚本Extendedapplications(Java,CGI,ASP..)防护：教育用户不要下载未被检验过的应用程序。应用层平安问题〔2〕应用层平安问题〔3〕Telnet〔rsh、rlogin〕用于远程终端访问并可用来管理UNIX机器。WindowsNT默认无Telnet效劳，但很容易参加一个第三方的效劳。以明文的方式发送所有的用户名和密码。威胁：有经验的黑客可以劫持一个Telnet会话。保护：尽量不在互联网上传输Telnet流量用SecureShell(SSH)代替应用层平安问题〔4〕平安体系架构平安是…..,怎么说?平安的组织保障密码机物理隔离卡根本平安机制LAN/WAN的平安TEMPEST外网互连平安网络管理平安应用平安数据库CA认证个人机平安保护平安审计Windows平安UNIX平安操作系统PKI入侵检测防病毒PMI建立一个有效的平安矩阵特点描述

允许访问控制通过只允许合法用户访问来达到你的目的最大扩展通信的功能同时最小化黑客访问的可能性黑客已经访问到你的资源时尽可能地减小破坏性容易使用如果一个安全系统很难使用，员工可能会想办法绕开它合理的花费你不仅要考虑初始的花费还要考虑以后升级所需要的费用，你还要考虑用于管理所要花的费用；需要多少员工，达到什么样的水平来成功的实施和维护系统。灵活性和伸缩性你的系统要能让你的公司按其想法做一些商业上的事情你的系统要随着公司的增长而加强优秀的警报和报告当一个安全破坏发生时，系统要能快速地通知管理员足够详细的内容平安体系〔一〕：ISO7498-2标准GB/T9387.2?信息处理系统开放系统互连根本参考模型第2局部:平安体系结构?等同于ISO7498-2概述目的：是让异构型计算机系统的互连能到达应用进程之间的有效通信。任务:a.提供平安效劳与有关机制的一般描述b.确定在参考模型内部可以提供这些效劳与机制的位置三维结构图authenticationAccesscontrolDataintegrityDataconfidentialityNon-repudiationencipermentDigitalsignatureDataintegrityDataExchangeAccesscontrolTrafficPaddingRoutecontrolnotarizationApplicationlayerRepresentationlayerSessionlayerTransportlayerNetworklayerLinklayerPhysicallayerSecurityLabelDetectionSecurityAuditTrailSecurityRestorationTrustedfunctionality管理相关效劳相关平安效劳鉴别效劳authentication访问控制效劳Accesscontrol数据完整性效劳Dataintegrity抗抵赖性效劳Non-repudiation提供对通信中的对等实体和数据来源的鉴别

对等实体鉴别数据原发鉴别这种效劳提供保护以对付OSI可访问资源的非授权使用。这种效劳对付主动威胁,可取如下所述的各种形式之一。带恢复的连接完整性不带恢复的连接完整性选择字段的连接完整性无连接完整性选择字段无连接完整性这种效劳可取如下两种形式,或两者之一有数据原发证明的抗抵赖有交付证明的抗抵赖效劳相关：特定的平安机制加密数字签名数据完整访问控制鉴别交换确定两个过程:a.对数据单元签名b.验证签过名的数据单元。防止对资源的未授权使用,可以建立在使用以下所举的一种或多种手段之上:访问控制信息库鉴别信息权力平安标记试图访问的时间试图访问的路由访问持续期。数据完整性有两个方面单个数据单元或字段的完整性数据单元流或字段流的完整性。

通信业务流填充路由选择控制公证在路由选择过程中应用规那么,以便具体地选取或回避某些网络、链路或中继。由可信赖的第三方对数据进行登记,以便保证数据的特征如内容,原发,时间,交付等的准确性不致改变。OSI效劳和平安机制间关系服务机制加密数字签字访问控制数据完整性鉴别交换通信业务填充路由控制公证对等实体鉴别数据原发鉴别访问控制服务连接机密性无连接机密性选择字段机密性通信业务流机密性带恢复的连接完整性不带恢复的连接完整性选择字段连接完整性无连接完整性选择字段无连接完整性抗抵赖，带数据原发证据抗抵赖，带交付证据平安效劳同ISO协议层关系安全服务协议层1234567对等实体鉴别数据原发鉴别访问控制服务连接机密性无连接机密性选择字段机密性通信业务流机密性带恢复的连接完整性不带恢复的连接完整性选择字段连接完整性无连接完整性选择字段无连接完整性抗抵赖，带数据原发证据抗抵赖，带交付证据平安体系〔二〕：CC评估保证级别EAL2结构测试级EAL1功能测试级EAL3方法测试和校验级EAL4系统地设计、测试和评审级EAL5半形式化设计和测试级EAL6半形式化验证的设计和测试级EAL7形式化验证的设计和测试级平安体系〔三〕：ISMSISO17799一、安全方针（SecurityPolicy）（1,2）（附注）二、安全组织（SecurityOrganization）(3,10)三、资产分类与控制(AssetclassificationandControl)(2,3)四、人员安全(PersonnelSecurity)(3,10)五、物理与环境安全(PhysicandEnvironmentSecurity)(3,13)六、通信与运行管理(CommunicationandOperationManagement)(7,24)八、系统开发与维护(Systemdevelopandmaintenance)(5,18)七、访问控制(Accesscontrol)(8,31)九、业务持续性管理(Businesscontinuitymanagement)(1,5)十、符合性(Compliance)(3,11)附注：(m，n)－m：执行目标的数目n：控制方法的数目ISO27001PDCA循环Plan—Do—Check—Act又称“戴明环〞,是能使任何一项活动有效进行的工作程序:P方案〔建立ISMS〕根据组织的整体方针和目标，建立平安策略、目标以及与管理风险和改进信息平安相关的过程和程序，以获得结果。D实施〔实施和运行ISMS〕实施和运行平安策略、控制、过程和程序。C检查〔监视和评审ISMS〕适用时，根据平安策略、目标和惯有经验评估和测量过程业绩，向管理层报告结果，进行评审。A改进〔保持和改进ISMS〕根据内部ISMS审核和管理评审或其他信息，采取纠正和预防措施，以实现ISMS的持续改进建立ISMS的步骤第六步第五步第四步第三步第二步威胁、漏洞和影响机构的风险管理方法所要求到达的保障程度17799-2〔BS7799〕中的第四章所列的平安控制目标和措施不在BS7799的其它平安控制策略文件ISMS的范围风险评估适用性说明书信息资产结果与结论选定的控制选项选定的控制目标及控制第一步定义策略定义信息平安管理系统〔ISMS〕的范围进行风险评估管理这些风险选择控制目标以及要实现的控制撰写适用性说明书信息平安管理的过程网络将相互关联的过程作为一个系统来识别、理解和管理一个过程的输出构成随后过程输入的一局部过程之间的相互作用形成相互依赖的过程网络PDCA循环可用于单个过程，也可用于整个过程网络制定信息安全方针确定ISMS的范围安全风险评估风险管理选择控制目标和控制措施准备适用声明实施测量、改进安全需求安全信息平安管理的四个重要原那么领导重视√组织保障√指明方向和目标

√权威√预算保障，提供所需的资源√监督检查全员参与√信息平安不仅仅是IT部门的事√让每个员工明白随时都有信息平安问题√每个员工都应具备相应的平安意识和能力√让每个员工都明确自己承担的信息平安责任持续改进√实现信息平安目标的循环活动√信息平安是动态的，时间性强√持续改进才能有最大限度的平安√组织应该为员工提供持续改进的方法和手段文件化√文件的作用：有章可循，有据可查√文件的类型：手册、标准、指南、记录信息平安管理的实践经验反映组织业务目标的平安方针、目标和活动；符合组织文化的平安实施方法；管理层明显的支持和承诺；平安需求、风险评估和风险管理的正确理解；有效地向所有管理人员和员工推行平安措施；向所有的员工和签约方提供本组织的信息平安方针与标准；提供适当的培训和教育；一整套用于评估信息平安管理能力和反响建议的测量系统平安体系〔四〕：SSE-CMM平安工程过程保证论据风险信息产品或效劳工程过程Engineering保证过程Assurance风险过程Risk风险PA04：评估威胁威胁信息threat脆弱性信息vulnerability影响信息impact风险信息PA05：评估脆弱性PA02：评估影响PA03：评估平安风险风险就是有害事件发生的可能性一个有害事件有三个局部组成：威胁、脆弱性和影响。工程平安工程与其它科目一样，它是一个包括概念、设计、实现、测试、部署、运行、维护、退出的完整过程。SSE-CMM强调平安工程是一个大的工程队伍中的一局部，需要与其它科目工程师的活动相互协调。PA10指定平安要求需求、策略等配置信息解决方案、指导等风险信息PA08监视平安态势PA07协调平安PA01管理平安控制PA09提供平安输入保证证据证据保证论据PA11验证和证实平安指定平安要求其他多个PAPA06建立保证论据保证是指平安需要得到满足的信任程度SSE-CMM的信任程度来自于平安工程过程可重复性的结果质量。方案执行标准化执行跟踪执行验证执行定义标准过程协调平安实施执行已定义的过程建立可测量的质量目标客观地管理过程的执行1非正式执行2方案与跟踪3充分定义4量化控制5连续改进执行根本实施改进组织能力改进过程的有效性能力级别——

代表平安工程组织的成熟级别公共特性0未实施加密对称加密DES/3DESRC2、RC4、RC5、RC6IDEABlowfish和TwofishSkipjackMarsRijndael和SerpentAES:Rijndael允许建立128、192、256位密钥多平台支持〔智能卡、8/32/64位处理器〕速度快非对称加密三个普通的组件：RSA数字签名算法〔DigitalSignatureAlgorithm〕Diffie-Hellma/Station-to-Station(STS)特点：使用密钥对，一半用来加密、一半用来解密速度慢HASH加密HASH算法:MD2、MD4、MD5平安哈希算法SHA-1〔160位哈希值、抗攻击能力强〕用MD5sum命令实现哈希算法：Host#md5sum/usr/sbin/named5we5odble392,eoc97mbmd0003ndodom3xep实用加密程序和协议IIS、PGPMicrosoftExchangeServer、Windows2000PGP/MIME和S/MIME平安HTTP〔SecureHTTP〕平安套接字层SSL加密强度算法强度 工业标准的算法密钥的保密性 注意区分密钥和算法〔后者不需保密〕密钥的长度 2的n次方种破解可能性. 2的40次－1，099，511，627，776加密的优势数据保密性确保只有特定的接受者才能查看内容数据完整性通过Hash算法确保数据不被篡改认证数字签名提供认证效劳不可否认性数字签名允许用户证明信息交换确实发生过基于PKI的加密原理〔一〕Bob公钥A私钥BAlice公钥Y私钥ZBob给Alice的消息消息摘要随机对称密钥M被加密的文本被加密的摘要被加密的对称密钥用随机的对称密钥M加密用Bob的私有密钥B加密用Alice的对称密钥Y加密基于PKI的加密原理〔二〕Bob公钥Y私钥ZAlice公钥A私钥BBob给Alice的消息消息摘要随机对称密钥M被加密的对称密钥被加密的文本签名用Alice的私有密钥Z解密用随机对称密钥M解密用Bob的公用密钥A解密消息摘要消息摘要算法认证你知道什么密码认证 你有什么智能卡/数字证书

ISO7816

你是谁

物理、遗传或生物测定学

你在哪儿

源IP(用于rlogin,rsh)DNS反向查找认证机制

基于口令、用户名的身份认证基于主体特征的身份认证：如指纹基于IC卡+PIN号码的认证基于CA证书的身份认证其他的认证方式基于口令、用户名的身份认证UsernamePasswordPermissionroot~!@@#4RAdmin3458rRWwebmaste234REdd2342RWEServer

Enduser

Username=rootPassword=~!@##$发起访问请求基于口令、用户名的简单身份鉴别验证用户名与口令回应访问请求，允许访问验证通过基于主体特征的身份认证UsernameFeaturePermissionRootSdffRAdmin8990RWWeb8668REftp8965RWEServer

Workstation

传送特征信息发起访问请求基于主体特征的身份鉴别验证用户特征信息回应访问请求，允许访问验证通过指纹识别器读取特征信息获得特征信息基于IC卡+PIN号码的认证UsernameInformationPermissionAdmin1234RRitt8990RWRoot8668REweb8965RWEServer

Workstation

传送身份验证信息发起访问请求基于IC卡+PIN号码的身份鉴别验证用户身份回应访问请求，允许访问验证通过读卡器输入PIN号码插入IC卡读取用户信息获得用户信息基于CA证书的身份认证基于CA证书的身份鉴别CA中心证书发布效劳器用户证书服务器证书用户证书传送证书给对方用于身份认证服务器证书传送证书给对方用于身份认证开始数字证书的签名验证开始数字证书的签名验证查找共同可信的CA查询黑名单验证都通过查找共同可信的CA查询黑名单验证通过开始平安通讯访问控制访问控制机制确保每个系统只有它们想要的个体〔按照平安策略〕才能够访问。访问控制发生在认证过程之后，控制用户在系统中能访问些什么，这种机制能用于赋予或拒绝权限。一个形象的比喻把访问控制看作是一个公司大楼的门禁系统。大多公司都有一个接待室并且任何人都能进入，这个接待室可以看作是一个开放的WEB效劳器，允许未授权的用户访问其主页。要进入公司真正的办公室，人们需要出示身份卡，只有经过认证的员工才能进入办公区域，根据不同的身份只能允许他们进入相关的办公室。所有的操作系统都支持访问控制，访问控制是保护效劳器的根本机制，你必须在效劳端上限制哪些用户可以访问效劳和守护进程。访问控制列表访问控制列表〔ACL〕信息系统把资源处理成有着某些特征和属性的对象，资源可以是像打印机或磁盘这样的设备，也可以是操作系统，应用程序或内存，计算机上的文件，等等，与这些资源平安相关的特性就是访问控制列表(ACL)。一个ACL是标识个人用户或组的清单，系统维护着一个ACL数据库，每个用户或组都被分配一个访问级别，并根据这个数据库所包含的内容定义这些用户或组能够执行什么。一个通过认证的用户仍必须通过ACL来取得相应的权限。执行控制列表执行控制列表(ECL)限制应用程序运行时可以操作的资源和行为。用于特殊的应用程序，如NetscapeNavigator，微软的InternetExplorer，IBM的Notes。没有商业的操作系统或平台实施一个完全的ECL策略。UNIX系统包含了一些对于rexec，rlogin和rshell程序的执行控制列表版本。这些程序都使用执行控制列表来确定在主机A上的哪些用户可以在不登陆的情况下在B主机上执行程序。但是这种形式的执行控制列表只能在远程系统上工作。执行控制列表的一个好处就是能对于那些恶意的ActiveX控件程序的破坏起到一定的保护作用。例如，你可以进一步地控制.java小程序。软件商们已开始开发能够执行更多任务的ECL程序，来允许用户自己决定程序的参数。审计多数系统以日志文件的形式记录下所有的活动，帮助判断是否发生了不允许的活动以及是怎样发生的。被动审计简单的记录一些活动，不作处理；非实时检测，必须查看这些日志然后根据其包含的内容采取措施。主动审计主动地响应非法访问和入侵结束一个登陆会话拒绝一些主机的访问(包括WEB站点，FTP效劳器和e-mail效劳器)跟踪非法活动的源位置根本要求：内部可信任网络外部非信任网络Internet过滤进出网络的非法数据 确保一个单位内的网络与因特网的通信符合该单位的平安方针，为管理人员提供以下问题的答案: –谁在使用网络？ –他们在网络上做什么？

–他们什么时间使用了网络？ –他们上网去了何处？ –谁要上网没有成功？管理进出网络的访问行为体系结构屏蔽路由器防火墙双宿主主机防火墙被屏蔽主机防火墙被屏蔽子网防火墙实现技术包过滤防火墙应用代理防火墙电路网关防火墙作用在网络层和传输层，根据分组包头源地址，目的地址和端口号、协议类型等标志确定是否允许数据包通过。只有满足过滤逻辑的数据包才被转发到相应目的地的出口端，其余数据包则被从数据流中丢弃。作用在应用层，其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。又称应用网关。工作在会话层，可以看成是传输层TCP协议的代理网关，监控内外网主机间的TCP握手信息，转发合法的会话(Session)数据包。又称电路中继(CircuitRelay)或TCP代理（TCP－Proxy）。使用单个具有包过滤功能的路由器。使用具有两个网络接口分别连接内外网的一台主机，可提供从包过滤到应用代理的安全功能。由一个具有包过滤功能的屏蔽路由器和一个运行代理服务的双宿主主机组成

。由两台屏蔽路由器和一台运行代理服务的双宿主主机构成。基于路由器的防火墙基于安全操作系统的防火墙基于通用操作系统的防火墙用户化的防火墙工具套简单包过滤PacketFilter优点：速度快，性能高对应用程序透明实现简单缺点：平安性比较差伸缩性差维护不直观从网段到Internet的HTTP访问？放行/禁止通行！StatefulInspection协议源地址目的地址SYNACKTCP:3456:8010002000应用网关〔代理〕型Proxy优点：平安性非常高提供给用层的平安提供用户级的控制缺点：性能很差只支持有限的应用对用户不透明平安性依赖于底层OS一般用于代理内部网到外部网的访问想从内部网访问外部的效劳器？我帮你发请求吧。进行访问规那么检查发起访问请求合法请求那么允许对外访问将访问记录写进日志文件合法请求那么允许对外访问发起访问请求

Internet区域Internet边界路由器DMZ区域WWWMailDNS内部工作子网管理子网一般子网内部WWW重点子网内部工作子网与外网的访问控制

Internet区域Internet边界路由器进行访问规那么检查发起访问请求合法请求那么允许对外访问将访问记录写进日志文件禁止对外发起连结请求发起访问请求DMZ区域WWWMailDNS内部工作子网管理子网一般子网内部WWW重点子网DMZ区域与外网的访问控制进行访问规那么检查发起访问请求合法请求那么允许对外访问将访问记录写进日志文件禁止对工作子网发起连结请求发起访问请求

Internet区域Internet边界路由器DMZ区域WWWMailDNS内部工作子网管理子网一般子网内部WWW重点子网内部工作子网与DMZ区的访问控制目的解决IP地址空间缺乏问题将现有的私有TCP/IP网络连接到公共网络时的IP编址问题向外界隐藏内部网结构方式静态转换1-1：简单的地址翻译动态转换M-N：多个内部网地址翻译到N个外部IP地址池端口映射〔PAT〕M-1：多个内部网地址翻译到1个外部IP地址负载均衡1-M：1个外部IP地址对应多个内部效劳器身份认证内容过滤平安审计STOP!阻止非法进入1.验明正身2.检查权限病毒等恶性程序可利用email夹带等攻击形式夹带闯关、入侵成功！远程访问Internet内部网分支机构虚拟私有网虚拟私有网虚拟私有网合作伙伴虚拟专用网〔VPN〕OSI七层模型VPN技术应用层S-HTTP/S-MIME表示层会话层SOCKSv5传输层SSL/TLS网络层GRE/IPSEC/MPLS数据链路层PPTP/L2F/L2TP物理层信道加密信源加密IPSECVPN拨号效劳器PSTN

Internet区域Internet边界路由器内部工作子网管理子网一般子网内部WWW重点子网下属机构DDN/FRX.25专线DMZ区域WWWMailDNS密文传输明文传输明文传输数据完整性保护内部工作子网管理子网一般子网内部WWW重点子网下属机构DDN/FRX.25专线原始数据包对原始数据包进行Hash加密后的数据包摘要Hash摘要对原始数据包进行加密加密后的数据包加密加密后的数据包摘要加密后的数据包摘要摘要解密原始数据包Hash原始数据包与原摘要进行比较，验证数据的完整性数据源身份认证内部工作子网管理子网一般子网内部WWW重点子网下属机构DDN/FRX.25专线原始数据包对原始数据包进行HashHash摘要加密摘要摘要取出DSS原始数据包Hash原始数据包两摘要相比较私钥原始数据包DSSDSS将数字签名附在原始包后面供对方验证签名得到数字签名原始数据包DSS原始数据包DSSDSS解密相等吗？验证通过VPN根本功能特性Web、Mail效劳器等因特网分支机构加密隧道&1%$*)!？？？平安区域划分增强内网平安VPN网关保护内网及信息传输平安……工作站域效劳器域VPN网关间建立加密隧道入侵检测系统〔IDS〕为什么需要IDS？确保网络的平安,就要对网络系统内部通信进行实时的检测,这就需要IDS无时不在的防护！数据驱动型攻击访问控制系统可以不让低级权限的人做越权工作，但无法保证高级权限的做破坏工作，也无法保证低级权限的人通过非法行为获得高级权限入侵检测系统的主要功能监测并分析用户和系统的活动；核查系统配置和漏洞；评估系统关键资源和数据文件的完整性；识别的攻击行为；统计分析异常行为；操作系统日志管理，并识别违反平安策略的用户活动。入侵检测系统的分类基于网络的入侵检测基于网络的入侵检测系统使用原始网络包作为数据源。基于网络的IDS通常利用一个运行在混杂模式下的网络适配器来实时监视并分析通过网络的所有通信业务。基于主机的入侵检测往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段〔如监督系统调用〕从所在的主机收集信息进行分析。主机型入侵检测系统保护的一般是所在的系统。入侵检测分析方法异常检测假设入侵者活动是异常于正常主体的活动，建立正常活动的“活动简档〞，当前主体的活动违反其统计规律时，认为可能是“入侵〞行为。特征检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。协议分析遵循RFC标准，充分利用网络协议的高度有序性，只分析数据包中的特定字节，快速检测某种攻击特征的存在。关联分析不仅简单分析单次攻击事件，还根据前后发生的事件确认是否确有攻击发生，攻击行为是否生效。网络入侵检测产品的架构Sensor/Monitor/Agent/Engine〔传感器/探测器/代理/引擎〕传感器负责采集数据(网络包、系统日志等)、分析数据并生成平安事件。Console/Manager〔控制台/管理中心〕控制台主要起到中央管理的作用，商品化的产品通常提供图形界面的控制台，这些控制台根本上都支持WindowsNT平台。传感器结构控制台结构网络入侵检测产品的架构IDSSensor利用入侵检测保护网络应用DMZE-Mail

FileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继外部攻击警告!记录攻击外部攻击终止连接IPS简介IPS简介平安扫描平安扫描就是对计算机系统或者其它网络设备进行平安相关的检测，以找出平安隐患和可被黑客利用的漏洞。平安扫描软件是把双刃剑，黑客利用它入侵系统，而系统管理员掌握它以后又可以有效的防范黑客入侵。平安扫描是保证系统和网络平安必不可少的手段，必须仔细研究利用。平安扫描系统的作用协调了其它的平安设备使枯燥的系统平安信息易于理解，告诉了你系统当前的平安状况纠正系统的错误设置使得平安管理可由普通用户来负责为制定平安规那么提供依据利用网络漏洞扫描系统进行平安评估DMZ

E-Mail

FileTransferHTTPIntranet生产部工程部市场部人事部路由Internet中继安全弱点扫描通讯&应用效劳层利用系统平安评估软件进行可适应性平安弱点监测和响应DMZ

E-Mail

FileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继安全弱点扫描操作系统层网络平安评估系统对于DMZ区域的检测DMZ

E-Mail

FileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继应用程序层安全弱点扫描正确认识平安扫描软件不能弥补由于认证机制薄弱带来的问题不能弥补由于协议本身的问题不能处理所有的数据包攻击，当网络繁忙时它也分析不了所有的数据流当受到攻击后要进行调查，离不开平安专家的参与什么是病毒？能够引起计算机故障,破坏计算数据的程序统称为计算机病毒。当今大家说“病毒〞的时候，广义指的是所有的“恶意程序〞，包括:传统病毒Viruses木马程序TrojanHorses蠕虫Worms病毒产生器Dropper垃圾邮件Spam恶作剧程序Hoaxes/Jokes防病毒计算机病毒的演化趋势攻击和威胁转移到效劳器和网关，对防毒体系提出新的挑战IDC,2004邮件/互联网邮件CodeRedNimda2001KlezBraid2002SQLSlammer冲击波20032004震荡波2000LoveLetterVeronaMelissa1999网络物理介质1998CIH1988MorrisBrain19871977磁芯大战1983FredCohen互联网病毒Internet文件共享服务器邮件服务器Client网关病毒利用emailwebFTP等应用服务进入企业内部网络进行传播