信息平安根底知識(shí)目錄信息平安概述什么是信息？ISO17799中的描述“Informationisanassetwhich,likeotherimportantbusinessassets,hasvaluetoanorganizationandconsequentlyneedstobesuitablyprotected.〞“Informationcanexistinmanyforms.Itcanbeprintedorwrittenonpaper,storedelectronically,transmittedbypostorusingelectronicmeans,shownonfilms,orspokeninconversation.強(qiáng)調(diào)信息：是一種資產(chǎn)同其它重要的商業(yè)資產(chǎn)一樣對(duì)組織具有價(jià)值需要適當(dāng)?shù)谋Ｗo(hù)以各種形式存在：紙、電子、影片、交談等信息系統(tǒng)是有目的、和諧地處理信息的主要工具，它把所有形態(tài)〔原始數(shù)據(jù)、已分析的數(shù)據(jù)、知識(shí)和專家經(jīng)驗(yàn)〕和所有形式〔文字、視頻和聲音〕的信息進(jìn)行收集、組織、存儲(chǔ)、處理和顯示。——?大英百科全書?信息系統(tǒng)的概念信息平安的定義從歷史看信息平安通信保密〔ComSEC〕計(jì)算機(jī)平安〔CompSEC〕信息平安〔INFOSEC〕信息保障〔IA〕第一階段：通信保密第二階段：計(jì)算機(jī)平安級(jí)別描述D最低的級(jí)別。如MS-DOS，沒(méi)有安全性可言C1靈活的安全保護(hù)。系統(tǒng)不需要區(qū)分用戶?？商峁┗镜脑L問(wèn)控制。如目前常用的各種通用操作系統(tǒng)。C2靈活的訪問(wèn)安全性。系統(tǒng)不僅要識(shí)別用戶還要考慮唯一性。系統(tǒng)級(jí)的保護(hù)主要存在于資源、數(shù)據(jù)、文件和操作上。如WindowsNT3.5/4.0、DigitalUNIX、OpenVMS。B1標(biāo)記安全保護(hù)。系統(tǒng)提供更多的保護(hù)措施，包括各種的安全級(jí)別。如AT&T的SYSTEMV、UNIXwithMLS，以及IBMMVS/ESA。B2結(jié)構(gòu)化保護(hù)。支持硬件保護(hù)。內(nèi)容區(qū)被虛擬分割并嚴(yán)格保護(hù)。如TrustedXENIX和HoneywellMULTICS。B3安全域。支持?jǐn)?shù)據(jù)隱藏和分層，可以阻止層之間的交互。如HoneywellXTS-200。A校驗(yàn)級(jí)設(shè)計(jì)。需要嚴(yán)格的準(zhǔn)確證明系統(tǒng)不會(huì)被傷害，而且提供所有低級(jí)別的因素。如HoneywellSCOMP。操作系統(tǒng)平安級(jí)別第三階段：信息平安信息平安的主要內(nèi)容平安保障內(nèi)容平安運(yùn)行平安數(shù)據(jù)平安設(shè)備平安信息系統(tǒng)平安管理信息平安的層次框架體系層次層面目標(biāo)安全屬性威脅保護(hù)手段系統(tǒng)安全設(shè)備安全對(duì)網(wǎng)絡(luò)與信息系統(tǒng)的硬件設(shè)施的保護(hù)。機(jī)密性、可用性、完整性、可靠性電磁泄露、通信干擾、信號(hào)注入、人為破壞、自然災(zāi)害、設(shè)備故障加擾處理、電磁屏蔽、數(shù)據(jù)校驗(yàn)、容錯(cuò)、冗余、系統(tǒng)備份運(yùn)行安全對(duì)網(wǎng)絡(luò)與信息系統(tǒng)的運(yùn)行過(guò)程和運(yùn)行狀態(tài)的保護(hù)。真實(shí)性、可控性、可用性、可審查性、可靠性非法使用資源、系統(tǒng)安全漏洞利用、網(wǎng)絡(luò)阻塞、網(wǎng)絡(luò)病毒、越權(quán)訪問(wèn)、非法控制系統(tǒng)、黑客攻擊、拒絕服務(wù)攻擊、軟件質(zhì)量差、系統(tǒng)崩潰防火墻與物理隔離、風(fēng)險(xiǎn)分析與漏洞掃描、應(yīng)急響應(yīng)、病毒防治、訪問(wèn)控制、安全審計(jì)、入侵檢測(cè)、源路由過(guò)濾、降級(jí)使用、數(shù)據(jù)備份信息安全數(shù)據(jù)安全在數(shù)據(jù)收集、處理、存儲(chǔ)、檢索、傳輸、交換、顯示、擴(kuò)散等過(guò)程中保障信息依據(jù)授權(quán)使用，不被非法冒充、竊取、篡改、抵賴。機(jī)密性、真實(shí)性、完整性、不可否認(rèn)性竊取、偽造、密鑰截獲、篡改、冒充、抵賴、攻擊密鑰加密、認(rèn)證、非對(duì)稱密鑰、完整性驗(yàn)證、鑒別、數(shù)字簽名、秘密共享內(nèi)容安全對(duì)信息在網(wǎng)絡(luò)內(nèi)流動(dòng)中的選擇性阻斷，以保證信息流動(dòng)的可控能力。機(jī)密性、真實(shí)性、可控性、可用性、完整性、可靠性可對(duì)系統(tǒng)造成威脅的腳本病毒；因無(wú)限制擴(kuò)散而導(dǎo)致消耗用戶資源的垃圾類郵件；導(dǎo)致社會(huì)不穩(wěn)定的有害信息，等等密文解析或形態(tài)解析、流動(dòng)信息的裁剪、信息的阻斷、信息的替換、信息的過(guò)濾、系統(tǒng)的控制第四階段：信息保障保護(hù)網(wǎng)絡(luò)和根底設(shè)施主干網(wǎng)絡(luò)的可用性無(wú)線網(wǎng)絡(luò)平安框架系統(tǒng)互連和虛擬私有網(wǎng)〔VPN〕保護(hù)網(wǎng)絡(luò)邊界登錄保護(hù)網(wǎng)絡(luò)遠(yuǎn)程訪問(wèn)多級(jí)平安保護(hù)計(jì)算環(huán)境終端用戶環(huán)境系統(tǒng)應(yīng)用程序的平安支撐性根底設(shè)施密鑰管理根底設(shè)施/公共密鑰根底設(shè)施〔KMI/PKI〕檢測(cè)和響應(yīng)本地計(jì)算環(huán)境本地計(jì)算環(huán)境本地計(jì)算環(huán)境viaTSPviaTSP

ViaTSPViaTSP有密級(jí)的網(wǎng)絡(luò)專用網(wǎng)電信供應(yīng)商公共網(wǎng)絡(luò)INTERNET公共電話網(wǎng)遠(yuǎn)程訪問(wèn)保護(hù)（加密器）邊界保護(hù)（防火墻等）邊界區(qū)域支持性基礎(chǔ)設(shè)施1、檢測(cè)與響應(yīng)2、密鑰管理基礎(chǔ)設(shè)施、公鑰基礎(chǔ)設(shè)施通過(guò)電信供應(yīng)商深層防御戰(zhàn)略的核心因素人操作可靠信息平安屬性信息平安屬性其他屬性真實(shí)性-能對(duì)通訊實(shí)體身份的真實(shí)性進(jìn)行鑒別；可控性-保證信息行為和過(guò)程均在信息主體的掌握和控制之下依照信息主體的意愿進(jìn)行；可靠性-保證所傳輸?shù)男畔⒉粚儆跓o(wú)用信息；不可否認(rèn)性-建立有效的責(zé)任機(jī)制，防止實(shí)體否認(rèn)其行為；可審查性-對(duì)出現(xiàn)的網(wǎng)絡(luò)平安問(wèn)題提供調(diào)查的依據(jù)和手段并可追蹤到唯一的行為實(shí)體；……實(shí)施平安保障的原那么信息平安的目的打不跨看不懂進(jìn)不來(lái)拿不走改不了跑不了可審查信息平安的根底：風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)管理：基于可接受的本錢，對(duì)影響信息系統(tǒng)的平安風(fēng)險(xiǎn)進(jìn)行識(shí)別、控制、減小或消除的過(guò)程。信息平安對(duì)策必須以風(fēng)險(xiǎn)管理為根底：平安不必是完美無(wú)缺、面面俱到的。但風(fēng)險(xiǎn)必須是能夠管理的。最適宜的信息平安策略就是最優(yōu)的風(fēng)險(xiǎn)管理對(duì)策，這是一個(gè)在有限資源前提下的最優(yōu)選擇問(wèn)題。風(fēng)險(xiǎn)管理體系ISO17799：信息平安管理實(shí)施細(xì)那么AS/NZS4360AS/NZS4360：風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)GAO/AIMD98-68：信息平安管理實(shí)施指南信息平安風(fēng)險(xiǎn)信息平安風(fēng)險(xiǎn)的定義風(fēng)險(xiǎn)遭受損害或損失的可能性。平安風(fēng)險(xiǎn)是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失或損害的可能性?！睮SO/IECTR13335-1:1996〕信息平安風(fēng)險(xiǎn)是指信息資產(chǎn)的保密性、完整性和可用性等平安屬性遭到破壞的可能性。信息平安風(fēng)險(xiǎn)只考慮那些對(duì)組織有負(fù)面影響的事件。風(fēng)險(xiǎn)的四要素資產(chǎn)及其價(jià)值威脅脆弱性現(xiàn)有的和方案的控制措施價(jià)值ISO13335以風(fēng)險(xiǎn)為核心的平安模型資產(chǎn)資產(chǎn)是任何對(duì)組織有價(jià)值的東西。信息也是一種資產(chǎn)，對(duì)組織具有價(jià)值。資產(chǎn)的分類電子信息資產(chǎn)紙介資產(chǎn)軟件資產(chǎn)物理資產(chǎn)人員效勞性資產(chǎn)公司形象和名譽(yù)主要的信息資產(chǎn)威脅脆弱性平安威脅物理層面：機(jī)房、設(shè)備間等的設(shè)備防盜，防毀機(jī)房、設(shè)備間的環(huán)境保障鏈路老化，人為破壞，被動(dòng)物咬斷等網(wǎng)絡(luò)設(shè)備自身故障停電導(dǎo)致網(wǎng)絡(luò)設(shè)備無(wú)法工作電磁干擾和泄漏其他根本威脅：一〕非授權(quán)訪問(wèn)：沒(méi)有經(jīng)過(guò)同意，就使用網(wǎng)絡(luò)或計(jì)算機(jī)資源。如有意避開系統(tǒng)訪問(wèn)控制機(jī)制，對(duì)網(wǎng)絡(luò)設(shè)備及資源進(jìn)行非正常使用。2.擅自擴(kuò)大權(quán)限，越權(quán)訪問(wèn)信息。如假冒、身份攻擊、非法用戶進(jìn)入網(wǎng)絡(luò)系統(tǒng)進(jìn)行違法操作、合法用戶以未授權(quán)方式進(jìn)行操作等。平安威脅根本威脅：二〕信息泄露：敏感數(shù)據(jù)在有意或無(wú)意中被泄漏出去。如信息在傳輸中喪失或泄漏〔電磁泄漏或搭線竊聽；對(duì)信息流向、流量、通信頻度和長(zhǎng)度等參數(shù)的分析，推出有用信息；猜測(cè)用戶口令、帳號(hào)等重要信息?！?.信息在存儲(chǔ)介質(zhì)中喪失或泄漏。如通過(guò)建立隱蔽隧道等竊取敏感信息等。平安威脅根本威脅：三〕破壞數(shù)據(jù)完整性：以非法手段竊得對(duì)數(shù)據(jù)的使用權(quán)，刪除、修改、插入或重發(fā)某些重要信息，以取得有益于攻擊者的響應(yīng)。惡意添加，修改數(shù)據(jù)，以干擾用戶的正常使用。平安威脅根本威脅：四〕拒絕效勞攻擊不斷對(duì)網(wǎng)絡(luò)效勞系統(tǒng)進(jìn)行干擾，改變其正常的作業(yè)流程。執(zhí)行無(wú)關(guān)程序使系統(tǒng)響應(yīng)減慢甚至癱瘓，影響正常用戶的使用，甚至使合法用戶被排斥而不能進(jìn)入計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)或不能得到相應(yīng)的效勞。平安威脅平安威脅平安威脅潛在的威脅如果在某個(gè)給定環(huán)境對(duì)任何一種根本威脅或者主要的可實(shí)現(xiàn)威脅進(jìn)行分析，我們就能夠發(fā)現(xiàn)某些特定的潛在威脅，而任意一種潛在威脅都可能導(dǎo)致一些更根本的威脅的發(fā)生。舉例★竊聽：信息從被監(jiān)視的通信過(guò)程中泄露出去★業(yè)務(wù)流分析：通過(guò)對(duì)通信業(yè)務(wù)流模式〔有，無(wú)，數(shù)量，方向，頻率〕的分析來(lái)將信息泄露給非授權(quán)個(gè)體的一種情報(bào)信息竊取方法；★人員疏忽：作為主體的人因?yàn)槭韬龃笠舛鴮?dǎo)致的信息泄露事件；★媒體清理：通過(guò)對(duì)數(shù)據(jù)所依賴的媒體的分析而獲得信息。黑客攻擊什么是黑客攻擊的一般過(guò)程第一步：信息探測(cè)—尋找目標(biāo)，獲取信息第二步：進(jìn)入系統(tǒng)—獲得初始的訪問(wèn)權(quán)限第三步：權(quán)限提升—獲得更/最高訪問(wèn)權(quán)限第四步：深入攻擊—攻擊其他系統(tǒng)/擦除痕跡/留下后門第五步：拒絕效勞—入侵未成功那么造成拒絕效勞信息探測(cè)一般是入侵過(guò)程的開始，任何有頭腦的攻擊者在嘗試獲取訪問(wèn)目標(biāo)系統(tǒng)的特權(quán)之前，都要預(yù)先進(jìn)行工作量可能不少的研究，如對(duì)網(wǎng)絡(luò)內(nèi)部或外部進(jìn)行有意或無(wú)意的可攻擊目標(biāo)的搜尋〔踩點(diǎn)、掃描〕。信息探測(cè)的目的確定目標(biāo)的IP或域名確定目標(biāo)操作系統(tǒng)類型和版本確定目標(biāo)系統(tǒng)提供的效勞——端口信息攻擊的一般過(guò)程1：信息探測(cè)信息探測(cè)的手法利用公開信息網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)〔如ping、traceroute、firewalk〕端口掃描〔如nmap〕遠(yuǎn)程操作系統(tǒng)識(shí)別〔如bannergrab、nmapOS指紋鑒別〕SNMP掃描〔如snmputil〕漏洞掃描〔如Nessus、商業(yè)掃描器〕手工漏洞挖掘〔如SQL注入〕社會(huì)工程攻擊的一般過(guò)程1：信息探測(cè)tracerouteTraceroute使我們知道數(shù)據(jù)包由出發(fā)點(diǎn)〔source〕到達(dá)目的地(destination)所走的路徑。Traceroute通過(guò)發(fā)送小的數(shù)據(jù)包到目的設(shè)備直到其返回，來(lái)測(cè)量其需要多長(zhǎng)時(shí)間。一條路徑上的每個(gè)設(shè)備Traceroute要測(cè)3次。輸出結(jié)果中包括每次測(cè)試的時(shí)間(ms)和設(shè)備的名稱〔如有的話〕及其IP地址。在UNIX系統(tǒng)下為

Traceroute，在Windows系統(tǒng)下為Tracerert。C:\>tracertTracingrouteto[5]

overamaximumof30hops:

1161ms150ms160ms7

2151ms160ms160ms5

3151ms160ms150ms70

4151ms150ms150ms0

5151ms150ms150ms

6151ms150ms150ms

7761ms761ms752msborder7-serial3-0-0.S[9]

8751ms751ms*core2-fddi-0.S[9]

9762ms771ms751msborder8-fddi-0.S[7]

10721ms*741ms[]

11*761ms751mspos4-2-155M.cr2.SNV.[37]

12771ms*771mspos1-0-2488M.hr8.SNV.[1]

13731ms741ms751msbas1r-ge3-0-hr8.snv.yahoo[2]

14781ms771ms781mswww10.yahoo[5]

Tracecomplete.

NMapNMap〔NetworkMapper〕是Linux下的網(wǎng)絡(luò)掃描和嗅探工具包。其根本功能有三個(gè)，一是探測(cè)一組主機(jī)是否在線；其次是掃描主機(jī)端口，嗅探所提供的網(wǎng)絡(luò)效勞；還可以推斷主機(jī)所用的操作系統(tǒng)。此外還可以將所有探測(cè)結(jié)果記錄到各種格式的日志中，供進(jìn)一步分析操作。Nmap可用于掃描含有2個(gè)節(jié)點(diǎn)的LAN，直至500個(gè)節(jié)點(diǎn)以上的網(wǎng)絡(luò)。Nmap還允許用戶定制掃描技巧。通常，一個(gè)簡(jiǎn)單的使用ICMP協(xié)議的ping操作可以滿足一般需求。

例如：適用于內(nèi)外網(wǎng)的探測(cè)，以內(nèi)網(wǎng)操作為例如(外網(wǎng)參數(shù)同)

簡(jiǎn)單端口掃描：nmap-vv-sT(sS、sF、sU、sA〔-D偽造的地址)

OS檢測(cè)：nmap-vv-sS-O

RPC鑒別：nmap-sS-sRLinux上的portmap就是一個(gè)簡(jiǎn)單的RPC效勞，監(jiān)聽端口為111〔默認(rèn)〕

Ping掃射：nmap-sPsnmp掃描SNMP〔SimpleNetworkManagementProtocol，簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議〕是用于管理IP網(wǎng)絡(luò)上的結(jié)點(diǎn)的一種協(xié)議。幾乎所有的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)操作系統(tǒng)都支持SNMP。communitystring〔社團(tuán)字串〕是基于SNMP協(xié)議信息通信時(shí)使用的一種“查詢密碼〞，當(dāng)使用特殊的客戶端應(yīng)用程序，通過(guò)communitystring的驗(yàn)證，將獲得對(duì)應(yīng)的權(quán)限〔只讀或讀寫)對(duì)SNMP中管理信息庫(kù)〔MIB〕進(jìn)行訪問(wèn)。而管理信息庫(kù)〔MIB〕中那么保存了系統(tǒng)所有的重要信息。很多網(wǎng)絡(luò)設(shè)備廠商以及操作系統(tǒng)廠商，在初始狀態(tài)下，都使用統(tǒng)一的communitystring“public〞。Snmputil——命令行方式的SNMP掃描工具snmputilwalk對(duì)方ippublic...2.1.2列出系統(tǒng)進(jìn)程snmputilwalk對(duì)方ippublic...列系統(tǒng)用戶列表snmputilget對(duì)方ippublic...4.1.0列出域名snmputilwalk對(duì)方ippublic...3.1.2列出安裝的軟件snmputilwalk對(duì)方ippublic..2.1.1列出系統(tǒng)信息漏洞掃描什么是漏洞掃描漏洞掃描是一種自動(dòng)檢測(cè)遠(yuǎn)程或本地主機(jī)平安性弱點(diǎn)的操作。通過(guò)使用掃描器你可以不留痕跡的發(fā)現(xiàn)遠(yuǎn)程效勞器的各種TCP/UDP端口的分配、所提供的效勞及其軟件版本，能夠讓我們間接的或直觀的了解到遠(yuǎn)程主機(jī)所存在的平安問(wèn)題。Nessus是一款可以運(yùn)行在Linux、BSD、Solaris以及其他一些系統(tǒng)上的遠(yuǎn)程平安掃描軟件。它是多線程、基于插入式的軟件，擁有很好的圖形操作界面，能夠完成超過(guò)1200項(xiàng)的遠(yuǎn)程平安檢查，具有強(qiáng)大的報(bào)告輸出能力，可以產(chǎn)生HTML、XML、LaTeX和ASCII文本等格式的平安報(bào)告，并且會(huì)為每一個(gè)發(fā)現(xiàn)的平安問(wèn)題提出解決建議。攻擊的一般過(guò)程2：進(jìn)入系統(tǒng)攻擊的一般過(guò)程3：權(quán)限提升攻擊者成功從原先沒(méi)有權(quán)限的系統(tǒng)獲取了一個(gè)訪問(wèn)權(quán)限從而進(jìn)入系統(tǒng)，但這個(gè)權(quán)限可能是受限制的，于是攻擊者就會(huì)采取各種措施，使得當(dāng)前的權(quán)限得到提升，最理想的就是獲得最高權(quán)限〔如Admin或者Root權(quán)限〕，這樣攻擊者才能進(jìn)行深入攻擊。這個(gè)過(guò)程就是權(quán)限提升。攻擊者常用的手段主要是通過(guò)緩沖區(qū)溢出的攻擊方式。一般步驟：1.檢查目標(biāo)主機(jī)上的SUID和GUID程序是否存在漏洞，如果是，利用該漏洞提升權(quán)限(unix)。2.檢查本地效勞是否存在漏洞，如果是，利用該漏洞提升權(quán)限。3.檢查本地效勞是否存在脆弱帳號(hào)或密碼，如果是，利用該帳號(hào)或密碼提升權(quán)限。4.檢查重要文件的權(quán)限是否設(shè)置錯(cuò)誤，如果是，利用該漏洞提升權(quán)限。5.檢查配置目錄中是否存在敏感信息可以利用。6.檢查用戶目錄中是否存在敏感信息可以利用。7.檢查其它目錄是否存在可以利用的敏感信息。8.重復(fù)以上步驟，直到獲得root權(quán)限或放棄。攻擊的一般過(guò)程4：深入攻擊攻擊的一般過(guò)程5：拒絕效勞如果目標(biāo)主機(jī)的防范措施比較好，前面的攻擊過(guò)程可能不起效果。作為局部惡意的攻擊者還會(huì)采用拒絕效勞的攻擊方式，模擬正常的業(yè)務(wù)請(qǐng)求來(lái)阻塞目標(biāo)主機(jī)對(duì)外提供效勞的網(wǎng)絡(luò)帶寬或消耗目標(biāo)主機(jī)的系統(tǒng)資源，使正常的效勞變得非常困難，嚴(yán)重的甚至導(dǎo)致目標(biāo)主機(jī)宕機(jī)，從而到達(dá)攻擊的效果。目前，拒絕效勞〔DoS〕成為非常流行的攻擊手段，甚至結(jié)合木馬程序開展成為分布式拒絕效勞攻擊〔DDoS〕，其攻擊威力更大。常見拒絕效勞攻擊類型SYN溢出Smurf和FragglePingofdeathLandattack什么是DoS/DDoS攻擊？攻擊者利用因特網(wǎng)上成百上千的“Zombie〞(僵尸)-即被利用主機(jī)，對(duì)攻擊目標(biāo)發(fā)出海量數(shù)據(jù)包造成動(dòng)威力巨大的拒絕效勞攻擊。DenialofService(DoS)拒絕效勞攻擊DistributedDenialofService(DDoS)分布式拒絕效勞攻擊攻擊者利用系統(tǒng)自身漏洞或者協(xié)議漏洞，耗盡可用資源乃至系統(tǒng)崩潰，而無(wú)法對(duì)合法用戶作出響應(yīng)。Trinoo、TFN、TFN2K和Stacheldraht。常用攻擊工具DDoS攻擊過(guò)程主控主機(jī)（中間人handler）合法用戶掃描程序黑客Internet非平安主機(jī)被控主機(jī)〔代理agent)應(yīng)用服務(wù)器服務(wù)請(qǐng)求服務(wù)響應(yīng)洪流(ICMPFlood/SYNFlood/UDPFlood)協(xié)議層平安OSI參考模型和TCP/IP協(xié)議簇網(wǎng)絡(luò)設(shè)施操作系統(tǒng)應(yīng)用效勞TCP/IP和因特網(wǎng)平安識(shí)別網(wǎng)絡(luò)通訊中存在的風(fēng)險(xiǎn)網(wǎng)絡(luò)監(jiān)視數(shù)據(jù)修改身份欺騙中間人劫持竊取密碼識(shí)別與物理網(wǎng)絡(luò)相關(guān)的風(fēng)險(xiǎn)Hub網(wǎng)段1網(wǎng)段1網(wǎng)段1網(wǎng)段2Sniffer所有連接都可見僅網(wǎng)段2通訊可見Switch截取、捕獲數(shù)據(jù)網(wǎng)段1網(wǎng)段2僅允許網(wǎng)段3訪問(wèn)Telnet網(wǎng)段3RouterRouterTelnetServer非法用戶遠(yuǎn)程登錄物理層平安問(wèn)題網(wǎng)絡(luò)層平安問(wèn)題提供邏輯地址和路由IP,ICMP…InternetProtocol(IP)32-bit,unique,identifyhost頭部(20bytes):信息和控制字段威脅:IPspoofing，Smurfattack網(wǎng)際控制消息協(xié)議(ICMP)在IP層檢查錯(cuò)誤和其它條件。一般的ICMP信息是非常有用的。威脅:〔TFN,利用ICMP協(xié)議來(lái)消耗網(wǎng)絡(luò)帶寬〕〔Winnuke發(fā)送畸形的ICMP數(shù)據(jù)包〕保護(hù):firewall,systempatch傳輸層平安問(wèn)題控制主機(jī)之間信息的傳輸TCP,UDP協(xié)議TCP:面向連接的協(xié)議〔FTP,HTTP,SMTP〕flags:SYN,FIN,ACK,PSH,RST,URGEstablishing/TerminatingaTCPconnectionTCP威脅:SYNfloodUDP:面向無(wú)連接的協(xié)議(Audio,video,TFTP)端口(IANA)Web(80),FTP(20,21),DNS(53),SNMP(161,162)…保存端口(Wellknownports):<1024注冊(cè)端口:1024~49151私有端口:49152~65535TCP/IP三次握手SYN標(biāo)志，目的端口號(hào)，初始序列號(hào)(ISN)SYN標(biāo)志，ISN，確認(rèn)標(biāo)志(ACK)ACKSYNFlooding攻擊1、攻擊客戶端向被攻擊效勞器發(fā)起帶有假冒IP地址的SYN請(qǐng)求.2、效勞器試圖發(fā)送SYN/ACK應(yīng)答到那個(gè)不可達(dá)的IP地址.3、客戶端不會(huì)收到ACK,效勞器一直發(fā)下去應(yīng)用層平安問(wèn)題〔1〕最難以實(shí)現(xiàn)平安的層次簡(jiǎn)單的郵件傳輸協(xié)議(SMTP)威脅:mailfloodsendingvirusesandTrojanUsernameleak(vrfy,expn,rcptto:)防護(hù):病毒網(wǎng)關(guān)Anti-virusesgatewayUsingsecureSMTPsoftwareeducatingemailusers文件傳輸協(xié)議(FTP)威脅:利用上載填充硬盤空間，使硬盤空間溢出上傳攻擊工具到效勞器用戶名和密碼是明文的防護(hù):僅允許匿名連接將數(shù)據(jù)置于單獨(dú)分區(qū)超文本傳輸協(xié)議(HTTP)威脅:惡意的activeX或Javaapplet腳本Extendedapplications(Java,CGI,ASP..)防護(hù)：教育用戶不要下載未被檢驗(yàn)過(guò)的應(yīng)用程序。應(yīng)用層平安問(wèn)題〔2〕應(yīng)用層平安問(wèn)題〔3〕Telnet〔rsh、rlogin〕用于遠(yuǎn)程終端訪問(wèn)并可用來(lái)管理UNIX機(jī)器。WindowsNT默認(rèn)無(wú)Telnet效勞，但很容易參加一個(gè)第三方的效勞。以明文的方式發(fā)送所有的用戶名和密碼。威脅：有經(jīng)驗(yàn)的黑客可以劫持一個(gè)Telnet會(huì)話。保護(hù)：盡量不在互聯(lián)網(wǎng)上傳輸Telnet流量用SecureShell(SSH)代替應(yīng)用層平安問(wèn)題〔4〕平安體系架構(gòu)平安是…..,怎么說(shuō)?平安的組織保障密碼機(jī)物理隔離卡根本平安機(jī)制LAN/WAN的平安TEMPEST外網(wǎng)互連平安網(wǎng)絡(luò)管理平安應(yīng)用平安數(shù)據(jù)庫(kù)CA認(rèn)證個(gè)人機(jī)平安保護(hù)平安審計(jì)Windows平安UNIX平安操作系統(tǒng)PKI入侵檢測(cè)防病毒PMI建立一個(gè)有效的平安矩陣特點(diǎn)描述

允許訪問(wèn)控制通過(guò)只允許合法用戶訪問(wèn)來(lái)達(dá)到你的目的最大擴(kuò)展通信的功能同時(shí)最小化黑客訪問(wèn)的可能性黑客已經(jīng)訪問(wèn)到你的資源時(shí)盡可能地減小破壞性容易使用如果一個(gè)安全系統(tǒng)很難使用，員工可能會(huì)想辦法繞開它合理的花費(fèi)你不僅要考慮初始的花費(fèi)還要考慮以后升級(jí)所需要的費(fèi)用，你還要考慮用于管理所要花的費(fèi)用；需要多少員工，達(dá)到什么樣的水平來(lái)成功的實(shí)施和維護(hù)系統(tǒng)。靈活性和伸縮性你的系統(tǒng)要能讓你的公司按其想法做一些商業(yè)上的事情你的系統(tǒng)要隨著公司的增長(zhǎng)而加強(qiáng)優(yōu)秀的警報(bào)和報(bào)告當(dāng)一個(gè)安全破壞發(fā)生時(shí)，系統(tǒng)要能快速地通知管理員足夠詳細(xì)的內(nèi)容平安體系〔一〕：ISO7498-2標(biāo)準(zhǔn)GB/T9387.2?信息處理系統(tǒng)開放系統(tǒng)互連根本參考模型第2局部:平安體系結(jié)構(gòu)?等同于ISO7498-2概述目的：是讓異構(gòu)型計(jì)算機(jī)系統(tǒng)的互連能到達(dá)應(yīng)用進(jìn)程之間的有效通信。任務(wù):a.提供平安效勞與有關(guān)機(jī)制的一般描述b.確定在參考模型內(nèi)部可以提供這些效勞與機(jī)制的位置三維結(jié)構(gòu)圖authenticationAccesscontrolDataintegrityDataconfidentialityNon-repudiationencipermentDigitalsignatureDataintegrityDataExchangeAccesscontrolTrafficPaddingRoutecontrolnotarizationApplicationlayerRepresentationlayerSessionlayerTransportlayerNetworklayerLinklayerPhysicallayerSecurityLabelDetectionSecurityAuditTrailSecurityRestorationTrustedfunctionality管理相關(guān)效勞相關(guān)平安效勞鑒別效勞authentication訪問(wèn)控制效勞Accesscontrol數(shù)據(jù)完整性效勞Dataintegrity抗抵賴性效勞Non-repudiation提供對(duì)通信中的對(duì)等實(shí)體和數(shù)據(jù)來(lái)源的鑒別

對(duì)等實(shí)體鑒別數(shù)據(jù)原發(fā)鑒別這種效勞提供保護(hù)以對(duì)付OSI可訪問(wèn)資源的非授權(quán)使用。這種效勞對(duì)付主動(dòng)威脅,可取如下所述的各種形式之一。帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段的連接完整性無(wú)連接完整性選擇字段無(wú)連接完整性這種效勞可取如下兩種形式,或兩者之一有數(shù)據(jù)原發(fā)證明的抗抵賴有交付證明的抗抵賴效勞相關(guān)：特定的平安機(jī)制加密數(shù)字簽名數(shù)據(jù)完整訪問(wèn)控制鑒別交換確定兩個(gè)過(guò)程:a.對(duì)數(shù)據(jù)單元簽名b.驗(yàn)證簽過(guò)名的數(shù)據(jù)單元。防止對(duì)資源的未授權(quán)使用,可以建立在使用以下所舉的一種或多種手段之上:訪問(wèn)控制信息庫(kù)鑒別信息權(quán)力平安標(biāo)記試圖訪問(wèn)的時(shí)間試圖訪問(wèn)的路由訪問(wèn)持續(xù)期。數(shù)據(jù)完整性有兩個(gè)方面單個(gè)數(shù)據(jù)單元或字段的完整性數(shù)據(jù)單元流或字段流的完整性。

通信業(yè)務(wù)流填充路由選擇控制公證在路由選擇過(guò)程中應(yīng)用規(guī)那么,以便具體地選取或回避某些網(wǎng)絡(luò)、鏈路或中繼。由可信賴的第三方對(duì)數(shù)據(jù)進(jìn)行登記,以便保證數(shù)據(jù)的特征如內(nèi)容,原發(fā),時(shí)間,交付等的準(zhǔn)確性不致改變。OSI效勞和平安機(jī)制間關(guān)系服務(wù)機(jī)制加密數(shù)字簽字訪問(wèn)控制數(shù)據(jù)完整性鑒別交換通信業(yè)務(wù)填充路由控制公證對(duì)等實(shí)體鑒別數(shù)據(jù)原發(fā)鑒別訪問(wèn)控制服務(wù)連接機(jī)密性無(wú)連接機(jī)密性選擇字段機(jī)密性通信業(yè)務(wù)流機(jī)密性帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無(wú)連接完整性選擇字段無(wú)連接完整性抗抵賴，帶數(shù)據(jù)原發(fā)證據(jù)抗抵賴，帶交付證據(jù)平安效勞同ISO協(xié)議層關(guān)系安全服務(wù)協(xié)議層1234567對(duì)等實(shí)體鑒別數(shù)據(jù)原發(fā)鑒別訪問(wèn)控制服務(wù)連接機(jī)密性無(wú)連接機(jī)密性選擇字段機(jī)密性通信業(yè)務(wù)流機(jī)密性帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無(wú)連接完整性選擇字段無(wú)連接完整性抗抵賴，帶數(shù)據(jù)原發(fā)證據(jù)抗抵賴，帶交付證據(jù)平安體系〔二〕：CC評(píng)估保證級(jí)別EAL2結(jié)構(gòu)測(cè)試級(jí)EAL1功能測(cè)試級(jí)EAL3方法測(cè)試和校驗(yàn)級(jí)EAL4系統(tǒng)地設(shè)計(jì)、測(cè)試和評(píng)審級(jí)EAL5半形式化設(shè)計(jì)和測(cè)試級(jí)EAL6半形式化驗(yàn)證的設(shè)計(jì)和測(cè)試級(jí)EAL7形式化驗(yàn)證的設(shè)計(jì)和測(cè)試級(jí)平安體系〔三〕：ISMSISO17799一、安全方針（SecurityPolicy）（1,2）（附注）二、安全組織（SecurityOrganization）(3,10)三、資產(chǎn)分類與控制(AssetclassificationandControl)(2,3)四、人員安全(PersonnelSecurity)(3,10)五、物理與環(huán)境安全(PhysicandEnvironmentSecurity)(3,13)六、通信與運(yùn)行管理(CommunicationandOperationManagement)(7,24)八、系統(tǒng)開發(fā)與維護(hù)(Systemdevelopandmaintenance)(5,18)七、訪問(wèn)控制(Accesscontrol)(8,31)九、業(yè)務(wù)持續(xù)性管理(Businesscontinuitymanagement)(1,5)十、符合性(Compliance)(3,11)附注：(m，n)－m：執(zhí)行目標(biāo)的數(shù)目n：控制方法的數(shù)目ISO27001PDCA循環(huán)Plan—Do—Check—Act又稱“戴明環(huán)〞,是能使任何一項(xiàng)活動(dòng)有效進(jìn)行的工作程序:P方案〔建立ISMS〕根據(jù)組織的整體方針和目標(biāo)，建立平安策略、目標(biāo)以及與管理風(fēng)險(xiǎn)和改進(jìn)信息平安相關(guān)的過(guò)程和程序，以獲得結(jié)果。D實(shí)施〔實(shí)施和運(yùn)行ISMS〕實(shí)施和運(yùn)行平安策略、控制、過(guò)程和程序。C檢查〔監(jiān)視和評(píng)審ISMS〕適用時(shí)，根據(jù)平安策略、目標(biāo)和慣有經(jīng)驗(yàn)評(píng)估和測(cè)量過(guò)程業(yè)績(jī)，向管理層報(bào)告結(jié)果，進(jìn)行評(píng)審。A改進(jìn)〔保持和改進(jìn)ISMS〕根據(jù)內(nèi)部ISMS審核和管理評(píng)審或其他信息，采取糾正和預(yù)防措施，以實(shí)現(xiàn)ISMS的持續(xù)改進(jìn)建立ISMS的步驟第六步第五步第四步第三步第二步威脅、漏洞和影響機(jī)構(gòu)的風(fēng)險(xiǎn)管理方法所要求到達(dá)的保障程度17799-2〔BS7799〕中的第四章所列的平安控制目標(biāo)和措施不在BS7799的其它平安控制策略文件ISMS的范圍風(fēng)險(xiǎn)評(píng)估適用性說(shuō)明書信息資產(chǎn)結(jié)果與結(jié)論選定的控制選項(xiàng)選定的控制目標(biāo)及控制第一步定義策略定義信息平安管理系統(tǒng)〔ISMS〕的范圍進(jìn)行風(fēng)險(xiǎn)評(píng)估管理這些風(fēng)險(xiǎn)選擇控制目標(biāo)以及要實(shí)現(xiàn)的控制撰寫適用性說(shuō)明書信息平安管理的過(guò)程網(wǎng)絡(luò)將相互關(guān)聯(lián)的過(guò)程作為一個(gè)系統(tǒng)來(lái)識(shí)別、理解和管理一個(gè)過(guò)程的輸出構(gòu)成隨后過(guò)程輸入的一局部過(guò)程之間的相互作用形成相互依賴的過(guò)程網(wǎng)絡(luò)PDCA循環(huán)可用于單個(gè)過(guò)程，也可用于整個(gè)過(guò)程網(wǎng)絡(luò)制定信息安全方針確定ISMS的范圍安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)管理選擇控制目標(biāo)和控制措施準(zhǔn)備適用聲明實(shí)施測(cè)量、改進(jìn)安全需求安全信息平安管理的四個(gè)重要原那么領(lǐng)導(dǎo)重視√組織保障√指明方向和目標(biāo)

√權(quán)威√預(yù)算保障，提供所需的資源√監(jiān)督檢查全員參與√信息平安不僅僅是IT部門的事√讓每個(gè)員工明白隨時(shí)都有信息平安問(wèn)題√每個(gè)員工都應(yīng)具備相應(yīng)的平安意識(shí)和能力√讓每個(gè)員工都明確自己承擔(dān)的信息平安責(zé)任持續(xù)改進(jìn)√實(shí)現(xiàn)信息平安目標(biāo)的循環(huán)活動(dòng)√信息平安是動(dòng)態(tài)的，時(shí)間性強(qiáng)√持續(xù)改進(jìn)才能有最大限度的平安√組織應(yīng)該為員工提供持續(xù)改進(jìn)的方法和手段文件化√文件的作用：有章可循，有據(jù)可查√文件的類型：手冊(cè)、標(biāo)準(zhǔn)、指南、記錄信息平安管理的實(shí)踐經(jīng)驗(yàn)反映組織業(yè)務(wù)目標(biāo)的平安方針、目標(biāo)和活動(dòng)；符合組織文化的平安實(shí)施方法；管理層明顯的支持和承諾；平安需求、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)管理的正確理解；有效地向所有管理人員和員工推行平安措施；向所有的員工和簽約方提供本組織的信息平安方針與標(biāo)準(zhǔn)；提供適當(dāng)?shù)呐嘤?xùn)和教育；一整套用于評(píng)估信息平安管理能力和反響建議的測(cè)量系統(tǒng)平安體系〔四〕：SSE-CMM平安工程過(guò)程保證論據(jù)風(fēng)險(xiǎn)信息產(chǎn)品或效勞工程過(guò)程Engineering保證過(guò)程Assurance風(fēng)險(xiǎn)過(guò)程Risk風(fēng)險(xiǎn)PA04：評(píng)估威脅威脅信息threat脆弱性信息vulnerability影響信息impact風(fēng)險(xiǎn)信息PA05：評(píng)估脆弱性PA02：評(píng)估影響PA03：評(píng)估平安風(fēng)險(xiǎn)風(fēng)險(xiǎn)就是有害事件發(fā)生的可能性一個(gè)有害事件有三個(gè)局部組成：威脅、脆弱性和影響。工程平安工程與其它科目一樣，它是一個(gè)包括概念、設(shè)計(jì)、實(shí)現(xiàn)、測(cè)試、部署、運(yùn)行、維護(hù)、退出的完整過(guò)程。SSE-CMM強(qiáng)調(diào)平安工程是一個(gè)大的工程隊(duì)伍中的一局部，需要與其它科目工程師的活動(dòng)相互協(xié)調(diào)。PA10指定平安要求需求、策略等配置信息解決方案、指導(dǎo)等風(fēng)險(xiǎn)信息PA08監(jiān)視平安態(tài)勢(shì)PA07協(xié)調(diào)平安PA01管理平安控制PA09提供平安輸入保證證據(jù)證據(jù)保證論據(jù)PA11驗(yàn)證和證實(shí)平安指定平安要求其他多個(gè)PAPA06建立保證論據(jù)保證是指平安需要得到滿足的信任程度SSE-CMM的信任程度來(lái)自于平安工程過(guò)程可重復(fù)性的結(jié)果質(zhì)量。方案執(zhí)行標(biāo)準(zhǔn)化執(zhí)行跟蹤執(zhí)行驗(yàn)證執(zhí)行定義標(biāo)準(zhǔn)過(guò)程協(xié)調(diào)平安實(shí)施執(zhí)行已定義的過(guò)程建立可測(cè)量的質(zhì)量目標(biāo)客觀地管理過(guò)程的執(zhí)行1非正式執(zhí)行2方案與跟蹤3充分定義4量化控制5連續(xù)改進(jìn)執(zhí)行根本實(shí)施改進(jìn)組織能力改進(jìn)過(guò)程的有效性能力級(jí)別——

代表平安工程組織的成熟級(jí)別公共特性0未實(shí)施加密對(duì)稱加密DES/3DESRC2、RC4、RC5、RC6IDEABlowfish和TwofishSkipjackMarsRijndael和SerpentAES:Rijndael允許建立128、192、256位密鑰多平臺(tái)支持〔智能卡、8/32/64位處理器〕速度快非對(duì)稱加密三個(gè)普通的組件：RSA數(shù)字簽名算法〔DigitalSignatureAlgorithm〕Diffie-Hellma/Station-to-Station(STS)特點(diǎn)：使用密鑰對(duì)，一半用來(lái)加密、一半用來(lái)解密速度慢HASH加密HASH算法:MD2、MD4、MD5平安哈希算法SHA-1〔160位哈希值、抗攻擊能力強(qiáng)〕用MD5sum命令實(shí)現(xiàn)哈希算法：Host#md5sum/usr/sbin/named5we5odble392,eoc97mbmd0003ndodom3xep實(shí)用加密程序和協(xié)議IIS、PGPMicrosoftExchangeServer、Windows2000PGP/MIME和S/MIME平安HTTP〔SecureHTTP〕平安套接字層SSL加密強(qiáng)度算法強(qiáng)度 工業(yè)標(biāo)準(zhǔn)的算法密鑰的保密性 注意區(qū)分密鑰和算法〔后者不需保密〕密鑰的長(zhǎng)度 2的n次方種破解可能性. 2的40次－1，099，511，627，776加密的優(yōu)勢(shì)數(shù)據(jù)保密性確保只有特定的接受者才能查看內(nèi)容數(shù)據(jù)完整性通過(guò)Hash算法確保數(shù)據(jù)不被篡改認(rèn)證數(shù)字簽名提供認(rèn)證效勞不可否認(rèn)性數(shù)字簽名允許用戶證明信息交換確實(shí)發(fā)生過(guò)基于PKI的加密原理〔一〕Bob公鑰A私鑰BAlice公鑰Y私鑰ZBob給Alice的消息消息摘要隨機(jī)對(duì)稱密鑰M被加密的文本被加密的摘要被加密的對(duì)稱密鑰用隨機(jī)的對(duì)稱密鑰M加密用Bob的私有密鑰B加密用Alice的對(duì)稱密鑰Y加密基于PKI的加密原理〔二〕Bob公鑰Y私鑰ZAlice公鑰A私鑰BBob給Alice的消息消息摘要隨機(jī)對(duì)稱密鑰M被加密的對(duì)稱密鑰被加密的文本簽名用Alice的私有密鑰Z解密用隨機(jī)對(duì)稱密鑰M解密用Bob的公用密鑰A解密消息摘要消息摘要算法認(rèn)證你知道什么密碼認(rèn)證 你有什么智能卡/數(shù)字證書

ISO7816

你是誰(shuí)

物理、遺傳或生物測(cè)定學(xué)

你在哪兒

源IP(用于rlogin,rsh)DNS反向查找認(rèn)證機(jī)制

基于口令、用戶名的身份認(rèn)證基于主體特征的身份認(rèn)證：如指紋基于IC卡+PIN號(hào)碼的認(rèn)證基于CA證書的身份認(rèn)證其他的認(rèn)證方式基于口令、用戶名的身份認(rèn)證UsernamePasswordPermissionroot~!@@#4RAdmin3458rRWwebmaste234REdd2342RWEServer

Enduser

Username=rootPassword=~!@##$發(fā)起訪問(wèn)請(qǐng)求基于口令、用戶名的簡(jiǎn)單身份鑒別驗(yàn)證用戶名與口令回應(yīng)訪問(wèn)請(qǐng)求，允許訪問(wèn)驗(yàn)證通過(guò)基于主體特征的身份認(rèn)證UsernameFeaturePermissionRootSdffRAdmin8990RWWeb8668REftp8965RWEServer

Workstation

傳送特征信息發(fā)起訪問(wèn)請(qǐng)求基于主體特征的身份鑒別驗(yàn)證用戶特征信息回應(yīng)訪問(wèn)請(qǐng)求，允許訪問(wèn)驗(yàn)證通過(guò)指紋識(shí)別器讀取特征信息獲得特征信息基于IC卡+PIN號(hào)碼的認(rèn)證UsernameInformationPermissionAdmin1234RRitt8990RWRoot8668REweb8965RWEServer

Workstation

傳送身份驗(yàn)證信息發(fā)起訪問(wèn)請(qǐng)求基于IC卡+PIN號(hào)碼的身份鑒別驗(yàn)證用戶身份回應(yīng)訪問(wèn)請(qǐng)求，允許訪問(wèn)驗(yàn)證通過(guò)讀卡器輸入PIN號(hào)碼插入IC卡讀取用戶信息獲得用戶信息基于CA證書的身份認(rèn)證基于CA證書的身份鑒別CA中心證書發(fā)布效勞器用戶證書服務(wù)器證書用戶證書傳送證書給對(duì)方用于身份認(rèn)證服務(wù)器證書傳送證書給對(duì)方用于身份認(rèn)證開始數(shù)字證書的簽名驗(yàn)證開始數(shù)字證書的簽名驗(yàn)證查找共同可信的CA查詢黑名單驗(yàn)證都通過(guò)查找共同可信的CA查詢黑名單驗(yàn)證通過(guò)開始平安通訊訪問(wèn)控制訪問(wèn)控制機(jī)制確保每個(gè)系統(tǒng)只有它們想要的個(gè)體〔按照平安策略〕才能夠訪問(wèn)。訪問(wèn)控制發(fā)生在認(rèn)證過(guò)程之后，控制用戶在系統(tǒng)中能訪問(wèn)些什么，這種機(jī)制能用于賦予或拒絕權(quán)限。一個(gè)形象的比喻把訪問(wèn)控制看作是一個(gè)公司大樓的門禁系統(tǒng)。大多公司都有一個(gè)接待室并且任何人都能進(jìn)入，這個(gè)接待室可以看作是一個(gè)開放的WEB效勞器，允許未授權(quán)的用戶訪問(wèn)其主頁(yè)。要進(jìn)入公司真正的辦公室，人們需要出示身份卡，只有經(jīng)過(guò)認(rèn)證的員工才能進(jìn)入辦公區(qū)域，根據(jù)不同的身份只能允許他們進(jìn)入相關(guān)的辦公室。所有的操作系統(tǒng)都支持訪問(wèn)控制，訪問(wèn)控制是保護(hù)效勞器的根本機(jī)制，你必須在效勞端上限制哪些用戶可以訪問(wèn)效勞和守護(hù)進(jìn)程。訪問(wèn)控制列表訪問(wèn)控制列表〔ACL〕信息系統(tǒng)把資源處理成有著某些特征和屬性的對(duì)象，資源可以是像打印機(jī)或磁盤這樣的設(shè)備，也可以是操作系統(tǒng)，應(yīng)用程序或內(nèi)存，計(jì)算機(jī)上的文件，等等，與這些資源平安相關(guān)的特性就是訪問(wèn)控制列表(ACL)。一個(gè)ACL是標(biāo)識(shí)個(gè)人用戶或組的清單，系統(tǒng)維護(hù)著一個(gè)ACL數(shù)據(jù)庫(kù)，每個(gè)用戶或組都被分配一個(gè)訪問(wèn)級(jí)別，并根據(jù)這個(gè)數(shù)據(jù)庫(kù)所包含的內(nèi)容定義這些用戶或組能夠執(zhí)行什么。一個(gè)通過(guò)認(rèn)證的用戶仍必須通過(guò)ACL來(lái)取得相應(yīng)的權(quán)限。執(zhí)行控制列表執(zhí)行控制列表(ECL)限制應(yīng)用程序運(yùn)行時(shí)可以操作的資源和行為。用于特殊的應(yīng)用程序，如NetscapeNavigator，微軟的InternetExplorer，IBM的Notes。沒(méi)有商業(yè)的操作系統(tǒng)或平臺(tái)實(shí)施一個(gè)完全的ECL策略。UNIX系統(tǒng)包含了一些對(duì)于rexec，rlogin和rshell程序的執(zhí)行控制列表版本。這些程序都使用執(zhí)行控制列表來(lái)確定在主機(jī)A上的哪些用戶可以在不登陸的情況下在B主機(jī)上執(zhí)行程序。但是這種形式的執(zhí)行控制列表只能在遠(yuǎn)程系統(tǒng)上工作。執(zhí)行控制列表的一個(gè)好處就是能對(duì)于那些惡意的ActiveX控件程序的破壞起到一定的保護(hù)作用。例如，你可以進(jìn)一步地控制.java小程序。軟件商們已開始開發(fā)能夠執(zhí)行更多任務(wù)的ECL程序，來(lái)允許用戶自己決定程序的參數(shù)。審計(jì)多數(shù)系統(tǒng)以日志文件的形式記錄下所有的活動(dòng)，幫助判斷是否發(fā)生了不允許的活動(dòng)以及是怎樣發(fā)生的。被動(dòng)審計(jì)簡(jiǎn)單的記錄一些活動(dòng)，不作處理；非實(shí)時(shí)檢測(cè)，必須查看這些日志然后根據(jù)其包含的內(nèi)容采取措施。主動(dòng)審計(jì)主動(dòng)地響應(yīng)非法訪問(wèn)和入侵結(jié)束一個(gè)登陸會(huì)話拒絕一些主機(jī)的訪問(wèn)(包括WEB站點(diǎn)，F(xiàn)TP效勞器和e-mail效勞器)跟蹤非法活動(dòng)的源位置根本要求：內(nèi)部可信任網(wǎng)絡(luò)外部非信任網(wǎng)絡(luò)Internet過(guò)濾進(jìn)出網(wǎng)絡(luò)的非法數(shù)據(jù) 確保一個(gè)單位內(nèi)的網(wǎng)絡(luò)與因特網(wǎng)的通信符合該單位的平安方針，為管理人員提供以下問(wèn)題的答案: –誰(shuí)在使用網(wǎng)絡(luò)？ –他們?cè)诰W(wǎng)絡(luò)上做什么？

–他們什么時(shí)間使用了網(wǎng)絡(luò)？ –他們上網(wǎng)去了何處？ –誰(shuí)要上網(wǎng)沒(méi)有成功？管理進(jìn)出網(wǎng)絡(luò)的訪問(wèn)行為體系結(jié)構(gòu)屏蔽路由器防火墻雙宿主主機(jī)防火墻被屏蔽主機(jī)防火墻被屏蔽子網(wǎng)防火墻實(shí)現(xiàn)技術(shù)包過(guò)濾防火墻應(yīng)用代理防火墻電路網(wǎng)關(guān)防火墻作用在網(wǎng)絡(luò)層和傳輸層，根據(jù)分組包頭源地址，目的地址和端口號(hào)、協(xié)議類型等標(biāo)志確定是否允許數(shù)據(jù)包通過(guò)。只有滿足過(guò)濾邏輯的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)目的地的出口端，其余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄。作用在應(yīng)用層，其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流，通過(guò)對(duì)每種應(yīng)用服務(wù)編制專門的代理程序，實(shí)現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。又稱應(yīng)用網(wǎng)關(guān)。工作在會(huì)話層，可以看成是傳輸層TCP協(xié)議的代理網(wǎng)關(guān)，監(jiān)控內(nèi)外網(wǎng)主機(jī)間的TCP握手信息，轉(zhuǎn)發(fā)合法的會(huì)話(Session)數(shù)據(jù)包。又稱電路中繼(CircuitRelay)或TCP代理（TCP－Proxy）。使用單個(gè)具有包過(guò)濾功能的路由器。使用具有兩個(gè)網(wǎng)絡(luò)接口分別連接內(nèi)外網(wǎng)的一臺(tái)主機(jī)，可提供從包過(guò)濾到應(yīng)用代理的安全功能。由一個(gè)具有包過(guò)濾功能的屏蔽路由器和一個(gè)運(yùn)行代理服務(wù)的雙宿主主機(jī)組成

。由兩臺(tái)屏蔽路由器和一臺(tái)運(yùn)行代理服務(wù)的雙宿主主機(jī)構(gòu)成。基于路由器的防火墻基于安全操作系統(tǒng)的防火墻基于通用操作系統(tǒng)的防火墻用戶化的防火墻工具套簡(jiǎn)單包過(guò)濾PacketFilter優(yōu)點(diǎn)：速度快，性能高對(duì)應(yīng)用程序透明實(shí)現(xiàn)簡(jiǎn)單缺點(diǎn)：平安性比較差伸縮性差維護(hù)不直觀從網(wǎng)段到Internet的HTTP訪問(wèn)？放行/禁止通行！StatefulInspection協(xié)議源地址目的地址SYNACKTCP:3456:8010002000應(yīng)用網(wǎng)關(guān)〔代理〕型Proxy優(yōu)點(diǎn)：平安性非常高提供給用層的平安提供用戶級(jí)的控制缺點(diǎn)：性能很差只支持有限的應(yīng)用對(duì)用戶不透明平安性依賴于底層OS一般用于代理內(nèi)部網(wǎng)到外部網(wǎng)的訪問(wèn)想從內(nèi)部網(wǎng)訪問(wèn)外部的效勞器？我?guī)湍惆l(fā)請(qǐng)求吧。進(jìn)行訪問(wèn)規(guī)那么檢查發(fā)起訪問(wèn)請(qǐng)求合法請(qǐng)求那么允許對(duì)外訪問(wèn)將訪問(wèn)記錄寫進(jìn)日志文件合法請(qǐng)求那么允許對(duì)外訪問(wèn)發(fā)起訪問(wèn)請(qǐng)求

Internet區(qū)域Internet邊界路由器DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)內(nèi)部工作子網(wǎng)與外網(wǎng)的訪問(wèn)控制

Internet區(qū)域Internet邊界路由器進(jìn)行訪問(wèn)規(guī)那么檢查發(fā)起訪問(wèn)請(qǐng)求合法請(qǐng)求那么允許對(duì)外訪問(wèn)將訪問(wèn)記錄寫進(jìn)日志文件禁止對(duì)外發(fā)起連結(jié)請(qǐng)求發(fā)起訪問(wèn)請(qǐng)求DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)DMZ區(qū)域與外網(wǎng)的訪問(wèn)控制進(jìn)行訪問(wèn)規(guī)那么檢查發(fā)起訪問(wèn)請(qǐng)求合法請(qǐng)求那么允許對(duì)外訪問(wèn)將訪問(wèn)記錄寫進(jìn)日志文件禁止對(duì)工作子網(wǎng)發(fā)起連結(jié)請(qǐng)求發(fā)起訪問(wèn)請(qǐng)求

Internet區(qū)域Internet邊界路由器DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)內(nèi)部工作子網(wǎng)與DMZ區(qū)的訪問(wèn)控制目的解決IP地址空間缺乏問(wèn)題將現(xiàn)有的私有TCP/IP網(wǎng)絡(luò)連接到公共網(wǎng)絡(luò)時(shí)的IP編址問(wèn)題向外界隱藏內(nèi)部網(wǎng)結(jié)構(gòu)方式靜態(tài)轉(zhuǎn)換1-1：簡(jiǎn)單的地址翻譯動(dòng)態(tài)轉(zhuǎn)換M-N：多個(gè)內(nèi)部網(wǎng)地址翻譯到N個(gè)外部IP地址池端口映射〔PAT〕M-1：多個(gè)內(nèi)部網(wǎng)地址翻譯到1個(gè)外部IP地址負(fù)載均衡1-M：1個(gè)外部IP地址對(duì)應(yīng)多個(gè)內(nèi)部效勞器身份認(rèn)證內(nèi)容過(guò)濾平安審計(jì)STOP!阻止非法進(jìn)入1.驗(yàn)明正身2.檢查權(quán)限病毒等惡性程序可利用email夾帶等攻擊形式夾帶闖關(guān)、入侵成功！遠(yuǎn)程訪問(wèn)Internet內(nèi)部網(wǎng)分支機(jī)構(gòu)虛擬私有網(wǎng)虛擬私有網(wǎng)虛擬私有網(wǎng)合作伙伴虛擬專用網(wǎng)〔VPN〕OSI七層模型VPN技術(shù)應(yīng)用層S-HTTP/S-MIME表示層會(huì)話層SOCKSv5傳輸層SSL/TLS網(wǎng)絡(luò)層GRE/IPSEC/MPLS數(shù)據(jù)鏈路層PPTP/L2F/L2TP物理層信道加密信源加密IPSECVPN撥號(hào)效勞器PSTN

Internet區(qū)域Internet邊界路由器內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)下屬機(jī)構(gòu)DDN/FRX.25專線DMZ區(qū)域WWWMailDNS密文傳輸明文傳輸明文傳輸數(shù)據(jù)完整性保護(hù)內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)下屬機(jī)構(gòu)DDN/FRX.25專線原始數(shù)據(jù)包對(duì)原始數(shù)據(jù)包進(jìn)行Hash加密后的數(shù)據(jù)包摘要Hash摘要對(duì)原始數(shù)據(jù)包進(jìn)行加密加密后的數(shù)據(jù)包加密加密后的數(shù)據(jù)包摘要加密后的數(shù)據(jù)包摘要摘要解密原始數(shù)據(jù)包Hash原始數(shù)據(jù)包與原摘要進(jìn)行比較，驗(yàn)證數(shù)據(jù)的完整性數(shù)據(jù)源身份認(rèn)證內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)下屬機(jī)構(gòu)DDN/FRX.25專線原始數(shù)據(jù)包對(duì)原始數(shù)據(jù)包進(jìn)行HashHash摘要加密摘要摘要取出DSS原始數(shù)據(jù)包Hash原始數(shù)據(jù)包兩摘要相比較私鑰原始數(shù)據(jù)包DSSDSS將數(shù)字簽名附在原始包后面供對(duì)方驗(yàn)證簽名得到數(shù)字簽名原始數(shù)據(jù)包DSS原始數(shù)據(jù)包DSSDSS解密相等嗎？驗(yàn)證通過(guò)VPN根本功能特性Web、Mail效勞器等因特網(wǎng)分支機(jī)構(gòu)加密隧道&1%$*)!？？？平安區(qū)域劃分增強(qiáng)內(nèi)網(wǎng)平安VPN網(wǎng)關(guān)保護(hù)內(nèi)網(wǎng)及信息傳輸平安……工作站域效勞器域VPN網(wǎng)關(guān)間建立加密隧道入侵檢測(cè)系統(tǒng)〔IDS〕為什么需要IDS？確保網(wǎng)絡(luò)的平安,就要對(duì)網(wǎng)絡(luò)系統(tǒng)內(nèi)部通信進(jìn)行實(shí)時(shí)的檢測(cè),這就需要IDS無(wú)時(shí)不在的防護(hù)！數(shù)據(jù)驅(qū)動(dòng)型攻擊訪問(wèn)控制系統(tǒng)可以不讓低級(jí)權(quán)限的人做越權(quán)工作，但無(wú)法保證高級(jí)權(quán)限的做破壞工作，也無(wú)法保證低級(jí)權(quán)限的人通過(guò)非法行為獲得高級(jí)權(quán)限入侵檢測(cè)系統(tǒng)的主要功能監(jiān)測(cè)并分析用戶和系統(tǒng)的活動(dòng)；核查系統(tǒng)配置和漏洞；評(píng)估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性；識(shí)別的攻擊行為；統(tǒng)計(jì)分析異常行為；操作系統(tǒng)日志管理，并識(shí)別違反平安策略的用戶活動(dòng)。入侵檢測(cè)系統(tǒng)的分類基于網(wǎng)絡(luò)的入侵檢測(cè)基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)使用原始網(wǎng)絡(luò)包作為數(shù)據(jù)源?；诰W(wǎng)絡(luò)的IDS通常利用一個(gè)運(yùn)行在混雜模式下的網(wǎng)絡(luò)適配器來(lái)實(shí)時(shí)監(jiān)視并分析通過(guò)網(wǎng)絡(luò)的所有通信業(yè)務(wù)?；谥鳈C(jī)的入侵檢測(cè)往往以系統(tǒng)日志、應(yīng)用程序日志等作為數(shù)據(jù)源，當(dāng)然也可以通過(guò)其他手段〔如監(jiān)督系統(tǒng)調(diào)用〕從所在的主機(jī)收集信息進(jìn)行分析。主機(jī)型入侵檢測(cè)系統(tǒng)保護(hù)的一般是所在的系統(tǒng)。入侵檢測(cè)分析方法異常檢測(cè)假設(shè)入侵者活動(dòng)是異常于正常主體的活動(dòng)，建立正常活動(dòng)的“活動(dòng)簡(jiǎn)檔〞，當(dāng)前主體的活動(dòng)違反其統(tǒng)計(jì)規(guī)律時(shí)，認(rèn)為可能是“入侵〞行為。特征檢測(cè)假設(shè)入侵者活動(dòng)可以用一種模式來(lái)表示，系統(tǒng)的目標(biāo)是檢測(cè)主體活動(dòng)是否符合這些模式。協(xié)議分析遵循RFC標(biāo)準(zhǔn)，充分利用網(wǎng)絡(luò)協(xié)議的高度有序性，只分析數(shù)據(jù)包中的特定字節(jié)，快速檢測(cè)某種攻擊特征的存在。關(guān)聯(lián)分析不僅簡(jiǎn)單分析單次攻擊事件，還根據(jù)前后發(fā)生的事件確認(rèn)是否確有攻擊發(fā)生，攻擊行為是否生效。網(wǎng)絡(luò)入侵檢測(cè)產(chǎn)品的架構(gòu)Sensor/Monitor/Agent/Engine〔傳感器/探測(cè)器/代理/引擎〕傳感器負(fù)責(zé)采集數(shù)據(jù)(網(wǎng)絡(luò)包、系統(tǒng)日志等)、分析數(shù)據(jù)并生成平安事件。Console/Manager〔控制臺(tái)/管理中心〕控制臺(tái)主要起到中央管理的作用，商品化的產(chǎn)品通常提供圖形界面的控制臺(tái)，這些控制臺(tái)根本上都支持WindowsNT平臺(tái)。傳感器結(jié)構(gòu)控制臺(tái)結(jié)構(gòu)網(wǎng)絡(luò)入侵檢測(cè)產(chǎn)品的架構(gòu)IDSSensor利用入侵檢測(cè)保護(hù)網(wǎng)絡(luò)應(yīng)用DMZE-Mail

FileTransferHTTPIntranet企業(yè)網(wǎng)絡(luò)生產(chǎn)部工程部市場(chǎng)部人事部路由Internet中繼外部攻擊警告!記錄攻擊外部攻擊終止連接IPS簡(jiǎn)介IPS簡(jiǎn)介平安掃描平安掃描就是對(duì)計(jì)算機(jī)系統(tǒng)或者其它網(wǎng)絡(luò)設(shè)備進(jìn)行平安相關(guān)的檢測(cè)，以找出平安隱患和可被黑客利用的漏洞。平安掃描軟件是把雙刃劍，黑客利用它入侵系統(tǒng)，而系統(tǒng)管理員掌握它以后又可以有效的防范黑客入侵。平安掃描是保證系統(tǒng)和網(wǎng)絡(luò)平安必不可少的手段，必須仔細(xì)研究利用。平安掃描系統(tǒng)的作用協(xié)調(diào)了其它的平安設(shè)備使枯燥的系統(tǒng)平安信息易于理解，告訴了你系統(tǒng)當(dāng)前的平安狀況糾正系統(tǒng)的錯(cuò)誤設(shè)置使得平安管理可由普通用戶來(lái)負(fù)責(zé)為制定平安規(guī)那么提供依據(jù)利用網(wǎng)絡(luò)漏洞掃描系統(tǒng)進(jìn)行平安評(píng)估DMZ

E-Mail

FileTransferHTTPIntranet生產(chǎn)部工程部市場(chǎng)部人事部路由Internet中繼安全弱點(diǎn)掃描通訊&應(yīng)用效勞層利用系統(tǒng)平安評(píng)估軟件進(jìn)行可適應(yīng)性平安弱點(diǎn)監(jiān)測(cè)和響應(yīng)DMZ

E-Mail

FileTransferHTTPIntranet企業(yè)網(wǎng)絡(luò)生產(chǎn)部工程部市場(chǎng)部人事部路由Internet中繼安全弱點(diǎn)掃描操作系統(tǒng)層網(wǎng)絡(luò)平安評(píng)估系統(tǒng)對(duì)于DMZ區(qū)域的檢測(cè)DMZ

E-Mail

FileTransferHTTPIntranet企業(yè)網(wǎng)絡(luò)生產(chǎn)部工程部市場(chǎng)部人事部路由Internet中繼應(yīng)用程序?qū)影踩觞c(diǎn)掃描正確認(rèn)識(shí)平安掃描軟件不能彌補(bǔ)由于認(rèn)證機(jī)制薄弱帶來(lái)的問(wèn)題不能彌補(bǔ)由于協(xié)議本身的問(wèn)題不能處理所有的數(shù)據(jù)包攻擊，當(dāng)網(wǎng)絡(luò)繁忙時(shí)它也分析不了所有的數(shù)據(jù)流當(dāng)受到攻擊后要進(jìn)行調(diào)查，離不開平安專家的參與什么是病毒？能夠引起計(jì)算機(jī)故障,破壞計(jì)算數(shù)據(jù)的程序統(tǒng)稱為計(jì)算機(jī)病毒。當(dāng)今大家說(shuō)“病毒〞的時(shí)候，廣義指的是所有的“惡意程序〞，包括:傳統(tǒng)病毒Viruses木馬程序TrojanHorses蠕蟲Worms病毒產(chǎn)生器Dropper垃圾郵件Spam惡作劇程序Hoaxes/Jokes防病毒計(jì)算機(jī)病毒的演化趨勢(shì)攻擊和威脅轉(zhuǎn)移到效勞器和網(wǎng)關(guān)，對(duì)防毒體系提出新的挑戰(zhàn)IDC,2004郵件/互聯(lián)網(wǎng)郵件CodeRedNimda2001KlezBraid2002SQLSlammer沖擊波20032004震蕩波2000LoveLetterVeronaMelissa1999網(wǎng)絡(luò)物理介質(zhì)1998CIH1988MorrisBrain19871977磁芯大戰(zhàn)1983FredCohen互聯(lián)網(wǎng)病毒Internet文件共享服務(wù)器郵件服務(wù)器Client網(wǎng)關(guān)病毒利用emailwebFTP等應(yīng)用服務(wù)進(jìn)入企業(yè)內(nèi)部網(wǎng)絡(luò)進(jìn)行傳播