1、第十三章 信息安全,電子信息技術(shù)導(dǎo)論,編制 劉新華/張小梅,第十三章 信息安全,2,本章內(nèi)容提綱,1,2,3,4,信息安全概述,信息隱藏與數(shù)字水印,防火墻,其他安全技術(shù),5,6,計算機病毒,信息安全技術(shù)的發(fā)展趨勢,第十三章 信息安全,3,一、 信息安全概述,（一） 經(jīng)典信息安全,不安全信道,1，信息安全定義：是指信息在存儲、處理和傳輸狀態(tài)下能夠保證其完整、保密和可用，即保持完整性、機密性和可用性。,經(jīng)典加密通信模型,2，經(jīng)典加密通信模型,第十三章 信息安全,4,3，幾個基本概念 明文：發(fā)送方將要發(fā)送的消息； 密文：明文被變換成看似無意義的隨機消息； 加密：將明文變換為密文的過程； 解密：由密文

2、恢復(fù)出原明文的過程，即加密的逆過程； 加密員：對明文進行加密操作的人員，或稱為密碼員； 加密算法：密碼員對明文進行加密時所采用的一組規(guī)則 接收者：傳送消息的預(yù)定對象； 解密算法：接收者對密文進行解密時所采用的一組規(guī)則； 密鑰：用來對數(shù)據(jù)進行編碼和解碼的一種算法 ； 單鑰或?qū)ΨQ密碼體制：加密密鑰和解密密鑰相同的加密體制； 雙鑰或非對稱密碼體制：加密密鑰和解密密鑰不相同，從一個難于推出另一個。,一、 信息安全概述,現(xiàn)代信息安全理論技術(shù),一、 信息安全概述,（二） 現(xiàn)代信息安全概述,1，理論技術(shù)組成,一、 信息安全概述,2， 信息安全的目標要求,目標要求示意,第十三章 信息安全,7,信息安全的基本模

3、型,一、 信息安全概述,3，信息安全的基本模型,第十三章 信息安全,8,4，信息安全研究內(nèi)容,一、 信息安全概述,第十三章 信息安全,9,一、 信息安全概述,（三）信息安全的綜合措施,本章討論重點,第十三章 信息安全,10,二、 信息隱藏與數(shù)字水印,（一） 信息隱藏技術(shù)的應(yīng)用與分類,1.信息隱藏（Information Hiding) 顧名思義就是將秘密信息秘密地隱藏于另一非機密的文件內(nèi)容之中，使加入隱藏信息后的媒體目標的降質(zhì)盡可能小，使人無法看到和聽到隱藏的數(shù)據(jù)，達到令人難以察覺的目的。,第十三章 信息安全,11,信息隱藏技術(shù)的主要分支關(guān)系圖,二、 信息隱藏與數(shù)字水印,2. 信息隱藏技術(shù)分類

4、與應(yīng)用,第十三章 信息安全,12,3. 信息隱藏與加密的比較,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,13,4.對信息隱藏系統(tǒng)的要求 魯棒性（Robustness） 不可檢測性（Undetectability） 透明性（Invisibility） 安全性（Security） 自恢復(fù)性,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,14,（二） 數(shù)字水印技術(shù)概述 數(shù)字水印 (Digital Watermark)技術(shù)是信息隱藏技術(shù)的一個重要分支，是指用信號處理的方法在數(shù)字化的多媒體數(shù)據(jù)中嵌入隱蔽的標記，這種標記通常是不可見的，只有通過專用的檢測器或閱讀器才能提取。,二、 信息隱藏與數(shù)字水印,

5、數(shù)字水印的特性： 隱蔽性 隱藏位置的安全性 魯棒性 水印容量,第十三章 信息安全,15,數(shù)字圖像水印系統(tǒng)的通用模型,一般數(shù)字圖像水印嵌入方法,一般數(shù)字圖像水印檢測方法,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,16,原始Lena圖像,檢測結(jié)果,原始水印圖像,嵌入水印后的Lena圖像,數(shù)字圖像水印實例 ：,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,17,空域算法：此算法首先把一個密鑰輸入一個m序列發(fā)生器來產(chǎn)生水印信號，然后排列成2維水印信號，按象素點逐一插入到原始圖像象素值的最低位。由于水印信號被安排在了最低位上，它是不可見的，基于同樣的原因，它可以輕易地被移去，因此不夠強壯。,典型的圖

6、像數(shù)字水印算法,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,18,空域水印實例:圖像的位平面表示,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,19,Lena原圖：8-bit灰度BMP圖像,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,20,第一個位平面與去掉第1個位平面的Lena:,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,21,第二個位平面與去掉第12個位平面的Lena:,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,22,第三個位平面與去掉第13個位平面的Lena:,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,23,第四個位平面與去掉第14個位平面的Lena:,二、 信息隱藏與數(shù)

7、字水印,第十三章 信息安全,24,第五個位平面與去掉第15個位平面的Lena:,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,25,第六個位平面與去掉第16個位平面的Lena:,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,26,第七個位平面與去掉第17個位平面的Lena:,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,27,第八個位平面Lena:,總結(jié)：根據(jù)圖象位平面和能量分布情況，第1,第2,甚至第3個位平面完全可以用其它的比特矩陣去替換，而不影響圖象的視覺效果。而高位平面不可隱藏信息。 優(yōu)點：操作簡單,隱藏信息量大。 缺點：隱藏的信息易被破壞。 改進：選擇位置，加密,二、 信息隱藏與數(shù)字

8、水印,第十三章 信息安全,28,（三） 數(shù)字水印的攻擊 攻擊的目的在于使相應(yīng)的數(shù)字水印系統(tǒng)的檢測工無法正確地恢復(fù)水印信號，或不能檢測到水印信號的存在。,IBM攻擊 StirMark攻擊 馬賽克攻擊 共謀攻擊 跳躍攻擊,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,29,（四） 數(shù)字水印的應(yīng)用,數(shù)字作品的知識產(chǎn)權(quán)保護 商務(wù)交易中的票據(jù)防偽 證件真?zhèn)舞b別 標志信息保密 隱蔽通信及其對抗,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,30,（五） 數(shù)字水印研究狀況與展望,數(shù)字水印的魯棒性 數(shù)字水印應(yīng)用中的安全性 實際網(wǎng)絡(luò)環(huán)境下的數(shù)字水印應(yīng)用,從理論和實際成果兩方面來看，國內(nèi)在數(shù)字水印方面的研究工作還

9、處于剛起步階段。,二、 信息隱藏與數(shù)字水印,第十三章 信息安全,31,三、 計算機病毒,（一） 什么是計算機病毒,1. 計算機病毒的定義 計算機病毒（Computer Virus）（中華人民共和國計算機信息系統(tǒng)安全保護條例中定義）：指編制或者在計算機程序中插入的破壞計算機功能或者破壞數(shù)據(jù)，影響計算機使用并且能夠自我復(fù)制的一組計算機指令或者程序代碼。 計算機病毒是一段程序，而且不是一段普通的程序，它是隱藏在計算機系統(tǒng)內(nèi)的一段破壞性程序。,第十三章 信息安全,32,寄生性 傳染性 潛伏性 隱蔽性 破壞性,計算機病毒的特性：,三、 計算機病毒,第十三章 信息安全,33,2. 計算機病毒的命名,采用病

10、毒體字節(jié)數(shù) 病毒體內(nèi)或傳染過程中的特征字符 發(fā)作的現(xiàn)象 發(fā)作的時間以及相關(guān)的事件 病毒的發(fā)源地 特定的傳染目標 通常還會加上某些指明病毒屬性的前后綴,此外，對病毒的命名除了標準名稱外，還可以有“別名”，也就是說可以通過上述的幾種命名方式來對一個病毒進行命名，以便記憶。,三、 計算機病毒,第十三章 信息安全,34,3. 計算機病毒的分類,按破壞性：惡性病毒、良性病毒 按所攻擊的操作系統(tǒng) ：DOS病毒、Windows病毒、 Linux病毒、UNIX病毒等 按病毒的表觀 ：簡單病毒、變形病毒等 按病毒的感染途徑以及所采用的技術(shù) ：引導(dǎo)型病 毒、文件型病毒和混合型病毒等；,隨著科學(xué)技術(shù)的不斷進步，還有

11、手機病毒、PDA病毒、PALM病毒等新的分類。,三、 計算機病毒,第十三章 信息安全,35,20世紀60年代初，美國貝爾實驗室三個年輕的程序員編寫了一個名為“磁芯大戰(zhàn)”的游戲，游戲中的一方通過復(fù)制自身來擺脫對方的控制，這就是所謂“計算機病毒第一個雛形。 20世紀70年代，美國作家雷恩在其出版的P1的青春一書中構(gòu)思了一種能夠自我復(fù)制的計算機程序，并第一次稱之為“計算機病毒”。,（二） 計算機病毒的發(fā)展歷史,三、 計算機病毒,到了20世紀80年代后期，巴基斯坦有兩個以編軟件為生的兄弟（也就是現(xiàn)在的程序員），他們?yōu)榱舜驌裟切┍I版軟件的使用者，設(shè)計出了一個名為“巴基斯坦智囊”的病毒，該病毒只傳染軟盤引

12、導(dǎo)區(qū)。這就是最早在世界上流行的第一個真正的病毒。 1988年至1989年，我國也相繼出現(xiàn)了能感染硬盤和軟盤引導(dǎo)區(qū)的Stoned（石頭）病毒，該病毒替代碼中有明顯的標志“Your Pc is now Stoned！”。,第十三章 信息安全,36,被感染的文件大小明顯增加 病毒代碼主體沒有加密 訪問文件的日期得到更新 很容易被debug工具跟蹤,20世紀90年代以前病毒的弱點：,三、 計算機病毒,第十三章 信息安全,37,20世紀內(nèi)，絕大多數(shù)病毒是基于DOS系統(tǒng)的，有80%的病毒能在Windows中傳染。 宏病毒的出現(xiàn)，代表有美麗莎,臺灣一號等 病毒生產(chǎn)機現(xiàn)身，1996年下半年在國內(nèi)終于發(fā)現(xiàn)了“G

13、2、IVP、VCL”三種“病毒生產(chǎn)機軟件”,三、 計算機病毒,出現(xiàn)了一些能對自身進行簡單加密的病毒，譬如當內(nèi)存有1741病毒，用DIR列目錄表的時候，這個病毒就會掩蓋被感染文件后增加的字節(jié)數(shù)，使人看起來文件的大小沒有什么變化。 1992年以后，出現(xiàn)了是一種叫做DIR2的病毒，這種病毒非常典型，并且其整個程序大小只有263個字節(jié)。,20世紀90年代以后病毒的特點：,第十三章 信息安全,38,Internet的廣泛應(yīng)用，激發(fā)了病毒的活力。病毒通過網(wǎng)絡(luò)的快速傳播和破壞，為世界帶來了一次一次的巨大災(zāi)難。 1998年2月，臺灣省的陳盈豪，編寫出了破壞性極大的惡性病毒CIH-1.2版，并定于每年的4月26

14、日發(fā)作破壞 。,陳盈豪：當時臺灣的一個大學(xué)生 1998年2月，1.2版 1998年4月26日，臺灣少量發(fā)作 1999年4月26日，全球發(fā)作 破壞主板BIOS,三、 計算機病毒,第十三章 信息安全,39,CIH特點,通過網(wǎng)絡(luò)（軟件下載）傳播 全球有超過6000萬臺的機器被感染 第一個能夠破壞計算機硬件的病毒 全球直接經(jīng)濟損失超過10億美元,三、 計算機病毒,第十三章 信息安全,40,1999年2月，“美麗莎”病毒席卷了整個歐美大陸，這是世界上最大的一次病毒浩劫，也是最大的一次網(wǎng)絡(luò)蠕蟲大泛濫。,“美麗莎” 病毒,大衛(wèi).史密斯，美國新澤西州工程師 在16小時內(nèi)席卷全球互聯(lián)網(wǎng) 至少造成10億美元的損失

15、！ 通過俄Email傳播 傳播規(guī)模（50的n次方，n為傳播的次數(shù)）,三、 計算機病毒,第十三章 信息安全,41,2000年5月，在歐美又爆發(fā)了“愛蟲”網(wǎng)絡(luò)蠕蟲病毒，造成了比“美麗莎”病毒破壞性更大的經(jīng)濟損失。這個病毒屬于vbs腳本病毒，可以通過html，Email進行大量的傳播。,菲律賓“AMA”電腦大學(xué)計算機系的學(xué)生 一個星期內(nèi)就傳遍5大洲 微軟、Intel等在內(nèi)的大型企業(yè)網(wǎng)絡(luò)系統(tǒng)癱瘓 全球經(jīng)濟損失達幾十億美元,三、 計算機病毒,第十三章 信息安全,42,愛蟲病毒特點：,通過電子郵件傳播，向地址本中所有用戶發(fā)帶毒郵件 通過聊天通道IRC、VBS、網(wǎng)頁傳播 能刪除計算機內(nèi)的部分文件 制造大量新

16、的電子郵件，使用戶文件泄密、網(wǎng)絡(luò)負荷劇增 一年后出現(xiàn)的愛蟲變種VBSLoveLetterCM它還會在Windows目錄下駐留一個染有CIH病毒的文件，并將其激活。,三、 計算機病毒,第十三章 信息安全,43,再后來就出現(xiàn)有更多的網(wǎng)絡(luò)蠕蟲。譬如，紅色代碼，藍色代碼、求職者病毒、尼姆達（Nimda）、FUN_LOVE，新歡樂時光等等。,2001年7月18日午夜，紅色代碼病毒大面積暴發(fā)，被攻擊的電腦數(shù)量達到35.9萬臺。被攻擊的電腦中44%位于美國，11%在韓國，5%在中國，其余分散在世界各地。 2001年7月19日， “紅色代碼”病毒開始瘋狂攻擊美國白宮網(wǎng)站，白宮網(wǎng)站管理員將白宮網(wǎng)站從原來的IP地

17、址轉(zhuǎn)移到另外一個地址，才幸免于難。,三、 計算機病毒,第十三章 信息安全,44,紅色代碼的特點：,該病毒通過微軟公司IIS系統(tǒng)漏洞進行感染，它使IIS服務(wù)程序處理請求數(shù)據(jù)包時溢出，導(dǎo)致把此“數(shù)據(jù)包”當作代碼運行，病毒駐留后再次通過此漏洞感染其它服務(wù)器。 它只存在于內(nèi)存，傳染時借助這個服務(wù)器的網(wǎng)絡(luò)連接攻擊其它的服務(wù)器，直接從一臺電腦內(nèi)存?zhèn)鞯搅硪慌_電腦內(nèi)存。 它所造成的破壞主要是涂改網(wǎng)頁,對網(wǎng)絡(luò)上的其它服務(wù)器進行攻擊，被攻擊的服務(wù)器又可以繼續(xù)攻擊其它服務(wù)器。 在每月的2027日，向美國白宮網(wǎng)站發(fā)動攻擊。 將WWW英文站點改寫為“Hello! Welcome to www.W! Hacked by

18、Chinese!”。,三、 計算機病毒,第十三章 信息安全,45,2001年9月18日出現(xiàn)的尼姆達病毒,2001年最為兇猛的惡意蠕蟲病毒，豈今為止已給 全球帶來不可估量的經(jīng)濟損失。 該病毒不僅傳播速度快、危害性強，而且自我繁殖能力更是位居各大病毒之首。 已有五種新變種相繼粉墨登場，作惡不可謂不大。 利用unicode漏洞，與黑客技術(shù)相結(jié)合。,三、 計算機病毒,第十三章 信息安全,46,2001年9月18日，首先在美國出現(xiàn)，當天下午，有超過130，000臺服務(wù)器和個人電腦受到感染。（北美洲） 2001年9月18日晚上，在日本、香港、南韓、新加坡和中國都收到了受到感染的報告。（亞洲） 2001年9

19、月19日，有超過150000個公司被感染，西門子在他的網(wǎng)絡(luò)受到滲透之后，被迫關(guān)掉服務(wù)器。（歐洲）,尼姆達的四種傳播方式： 文件感染 Email WWW 局域網(wǎng),三、 計算機病毒,第十三章 信息安全,47,求職信病毒特征：,“求職信”系列變種病毒利用微軟系統(tǒng)的漏洞，可以自動感染，無須打開附件，因此危害性很大。 其變種具有很強的隱蔽性，可以“隨機應(yīng)變”地自動改換不同的郵件主題和內(nèi)容，瓦解郵件接收者的警惕性。 在郵件內(nèi)部存放發(fā)送信息的一部分，這些變種病毒會偽造虛假信息，掩蓋病毒的真實來源。,三、 計算機病毒,第十三章 信息安全,48,能夠繞開一些流行殺毒軟件的監(jiān)控，甚至專門針對一些殺毒軟件進行攻擊。

20、 利用局域網(wǎng)上的共享文件夾進行傳染，其傳播特點類似“尼姆達”病毒。 在網(wǎng)絡(luò)上出現(xiàn)的一些“求職信”變種的專殺工具，由于無法適用于所有的變種，因此在殺除一些變種病毒時，會連病毒帶文件一同刪除，結(jié)果造成殺病毒把電腦一起“殺死”的情況。,三、 計算機病毒,第十三章 信息安全,49,計算機病毒的結(jié)構(gòu) 一般由引導(dǎo)模塊、傳染模塊、表現(xiàn)模塊三部分組成。,（三） 計算機病毒的原理與防范,三、 計算機病毒,第十三章 信息安全,50,引導(dǎo)過程 也就是病毒的初始化部分，它隨著宿主程序的執(zhí)行而進入內(nèi)存，為傳染部分做準備。 傳染過程 作用是將病毒代碼復(fù)制到目標上去。一般病毒在對目標進行傳染前，要首先判斷傳染條件是否滿足，

21、判斷病毒是否已經(jīng)感染過該目標等，如CIH病毒只針對Windows 95/98操作系統(tǒng) 表現(xiàn)過程 是病毒間差異最大的部分，前兩部分是為這部分服務(wù)的。它破壞被傳染系統(tǒng)或者在被傳染系統(tǒng)的設(shè)備上表現(xiàn)出特定的現(xiàn)象。大部分病毒都是在一定條件下才會觸發(fā)其表現(xiàn)部分的。,三、 計算機病毒,第十三章 信息安全,51,引導(dǎo)型病毒 傳染機理 利用系統(tǒng)啟動的缺陷 傳染目標 硬盤的主引導(dǎo)區(qū)和引導(dǎo)區(qū) 軟盤的引導(dǎo)區(qū) 傳染途徑 通過軟盤啟動計算機 防治辦法 從C盤啟動 打開主板的方病毒功能 典型病毒 小球病毒、大麻病毒、火炬病毒、Anti-CMOS病毒,三、 計算機病毒,第十三章 信息安全,52,引導(dǎo)型病毒 引導(dǎo)扇區(qū)是大部分系

22、統(tǒng)啟動或引導(dǎo)指令所保存的地方，而且對所有的磁盤來講，不管是否可以引導(dǎo)，都有一個引導(dǎo)扇區(qū)。感染的主要方式就是發(fā)生在計算機通過已被感染的引導(dǎo)盤（常見的如一個軟盤）引導(dǎo)時發(fā)生的。,三、 計算機病毒,第十三章 信息安全,53,引導(dǎo)型病毒(主引導(dǎo)記錄（MBR）),三、 計算機病毒,第十三章 信息安全,54,引導(dǎo)型病毒感染與執(zhí)行過程,系統(tǒng)引導(dǎo)區(qū),引導(dǎo) 正常執(zhí)行,病毒,引導(dǎo)系統(tǒng),病毒體,三、 計算機病毒,第十三章 信息安全,55,文件型病毒 傳染機理 利用系統(tǒng)加載執(zhí)行文件的缺陷 傳染目標 各種能夠獲得系統(tǒng)控制權(quán)執(zhí)行的文件 傳染途徑 各種存儲介質(zhì)、網(wǎng)絡(luò)、電子郵件 防治辦法 使用具有實時監(jiān)控功能的殺毒軟件 不要

23、輕易打開郵件附件 典型病毒 1575病毒、CIH病毒,三、 計算機病毒,第十三章 信息安全,56,文件型病毒 文件型病毒與引導(dǎo)扇區(qū)病毒最大的不同之處是，它攻擊磁盤上的文件。它將自己依附在可執(zhí)行的文件（通常是.com和.exe）中，并等待程序的運行。這種病毒會感染其它的文件，而它自己卻駐留在內(nèi)存中。當該病毒完成了它的工作后，其宿主程序才被運行，使人看起來仿佛一切都很正常,三、 計算機病毒,第十三章 信息安全,57,文件型病毒傳染機理,正常 程序,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,程序頭,病毒程序頭,程序頭,病毒

24、程序,病毒程序,病毒程序,程序頭,三、 計算機病毒,第十三章 信息安全,58,宏病毒 宏病毒一般是指利用軟件所支持的宏命令或語言（如 Word Basic）書寫的一段寄生在支持宏的文檔（如 Microsoft Office文檔）上的、具有復(fù)制、傳染能力的宏代碼。 宏病毒是一種新形態(tài)的計算機病毒，也是一種跨平臺式計算機病毒，可以在Windows 9X、Windows NT、OS/2和Unix、Mac等操作系統(tǒng)上執(zhí)行病毒行為。 雖然宏病毒不會有嚴重的危害，但它會影響系統(tǒng)的性能以及對文檔的各種操作，如打開、存儲、關(guān)閉或清除等。當打開文檔時，宏病毒程序就會被執(zhí)行，即宏病毒處于活動狀態(tài)，當觸發(fā)條件滿足時

25、，宏病毒才開始傳染、表現(xiàn)和破壞。 宏病毒對病毒而言是一次革命。現(xiàn)在通過Email、3W的互聯(lián)能力及宏語言的進一步強化，極大地增強了它的傳播能力。,三、 計算機病毒,第十三章 信息安全,59,宏病毒 傳染機理 利用處理的文件可以內(nèi)嵌宏的功能 傳染目標 doc、dot、xls、ppt、mdb等文件（Windows） 傳染途徑 各種存儲介質(zhì)、網(wǎng)絡(luò)、電子郵件 防治辦法 使用具有實時監(jiān)控功能的殺毒軟件 打開系統(tǒng)提供的宏保護功能 典型病毒 “七月殺手”病毒、“美麗莎”病毒,三、 計算機病毒,第十三章 信息安全,60,宏病毒工作機理,有毒文件.doc,Normal.dot,無毒文件.doc,Normal.d

26、ot,三、 計算機病毒,第十三章 信息安全,61,通過移動存儲設(shè)備來傳播（包括優(yōu)盤、磁帶等） 防治方法：盡量避免通過這種方式傳送資料，選擇已有的確保安全的方式拷貝 通過電子郵件 防治方法：對郵箱進行相關(guān)設(shè)置，抵制垃圾郵件和一些來路不明的郵件 通過網(wǎng)站 防治方法：安裝殺毒軟件，不要瀏覽不健康的網(wǎng)站；下載資料最好選擇那些熟悉的或者比較出名口碑較好的網(wǎng)站，萬一沒有資源而從不熟悉的網(wǎng)站下載了東西，一定要先殺毒；最后可以安裝一些相關(guān)的監(jiān)測瀏覽網(wǎng)頁的軟件來進行實時保護，比如超級兔子、360安全衛(wèi)士等,計算機病毒常見的傳染途徑以及對應(yīng)防治方法,三、 計算機病毒,第十三章 信息安全,62,四、 防火墻,（一）

27、 防火墻的概念,在計算機網(wǎng)絡(luò)中，防火墻是指一種將內(nèi)部網(wǎng)和外部網(wǎng)（如Internet）分開的方法，它實際上是一種隔離技術(shù)。它是由軟件或硬件設(shè)備組合而成，通常處于企業(yè)的內(nèi)部局域網(wǎng)與 Internet之間，限制 Internet用戶對內(nèi)部網(wǎng)絡(luò)的訪問以及管理內(nèi)部用戶訪問Internet的權(quán)限。,第十三章 信息安全,63,防火墻的發(fā)展歷史,第一階段：基于路由器的防火墻 第二階段：用戶化的防火墻工具套 第三階段：建立在通用操作系統(tǒng)上的防火墻 第四階段：具有安全操作系統(tǒng)的,四、 防火墻,第十三章 信息安全,64,（二） 防火墻的體系結(jié)構(gòu),雙宿主主機模式,雙宿/多宿主機防火墻,四、 防火墻,第十三章 信息安全

28、,65,屏蔽主機模式,屏蔽主機防火墻,四、 防火墻,第十三章 信息安全,66,屏蔽子網(wǎng)模式,屏蔽子網(wǎng)防火墻,四、 防火墻,第十三章 信息安全,67,（三） 防火墻技術(shù),防火墻的主要技術(shù) 包過濾技術(shù) 應(yīng)用層網(wǎng)關(guān)技術(shù) 動態(tài)包過濾技術(shù) 自適應(yīng)技術(shù) 防火墻技術(shù)的幾個新方向 透明接入技術(shù) 分布式防火墻技術(shù),四、 防火墻,第十三章 信息安全,68,簡單包過濾的實現(xiàn)原理,四、 防火墻,第十三章 信息安全,69,應(yīng)用網(wǎng)關(guān)技術(shù)的實現(xiàn)原理,四、 防火墻,第十三章 信息安全,70,復(fù)合型實現(xiàn)原理,四、 防火墻,第十三章 信息安全,71,五、 其他安全技術(shù),（一） 數(shù)字簽名與認證技術(shù),數(shù)字簽名技術(shù) 也叫電子簽名，是指

29、數(shù)據(jù)電文中以電子形式所含、所附用于識別簽名人身份并表明簽名人認可其中內(nèi)容的數(shù)據(jù)。,第十三章 信息安全,72,數(shù)字簽名的要求 收方能夠確認或證實發(fā)方的簽名，但不能偽造 發(fā)方發(fā)出簽名的消息送收方后，就不能再否認他所簽發(fā)的消息 收方對已收到的簽名消息不能否認，即有收到認證 第三者可以確認收發(fā)雙方之間的消息傳送，但不能偽造這一過程,五、 其他安全技術(shù),第十三章 信息安全,73,數(shù)字簽名的使用,五、 其他安全技術(shù),第十三章 信息安全,74,數(shù)字證書簡介,數(shù)字證書是由認證機構(gòu)頒發(fā)的、包含了公開密鑰持有者信息以及公開密鑰的文件，證書上還有認證機構(gòu)的數(shù)字簽名 數(shù)字證書系統(tǒng)通過認證機構(gòu)為公-私密鑰對的持有者發(fā)放

30、和管理數(shù)字證書,五、 其他安全技術(shù),數(shù)字證書類型,個人數(shù)字證書 服務(wù)器證書 開發(fā)者證書,第十三章 信息安全,75,利用數(shù)字證書實現(xiàn)信息安全,發(fā)送方的工作,五、 其他安全技術(shù),第十三章 信息安全,76,接收方的工作,利用數(shù)字證書實現(xiàn)信息安全,五、 其他安全技術(shù),第十三章 信息安全,77,數(shù)字證書的格式,基本數(shù)字證書格式,五、 其他安全技術(shù),第十三章 信息安全,78,X.509版本3數(shù)字證書格式,數(shù)字證書的格式,五、 其他安全技術(shù),第十三章 信息安全,79,數(shù)字證書的申請和發(fā)放,數(shù)字證書管理機構(gòu) 認證機構(gòu)CA又稱認證中心、證書授予機構(gòu)，是承擔網(wǎng)上認證服務(wù)，能簽發(fā)數(shù)字證書并能確認用戶身份的受大家信任

31、的第三方機構(gòu)。 注冊機構(gòu)RA完成認證機構(gòu)與其用戶或數(shù)字證書申請人間的交互工作 數(shù)字證書的申請注冊 數(shù)字證書的生成 數(shù)字證書的更新,五、 其他安全技術(shù),第十三章 信息安全,80,認證技術(shù),信息認證 信息認證的目的：確認信息發(fā)送者的身份；驗證信息的完整性。 身份認證 身份認證是判明和確認網(wǎng)上交易雙方真實身份的重要環(huán)節(jié)。用戶網(wǎng)上身份認證的基本方式：口令方式 ；標記方式；人體生物特征方式；PKI認證方式。,五、 其他安全技術(shù),第十三章 信息安全,81,數(shù)字摘要工作原理,常用的信息認證技術(shù),1）數(shù)字摘要,五、 其他安全技術(shù),第十三章 信息安全,82,2)數(shù)字信封 數(shù)字信封用加密技術(shù)來保證只有特定的收信人

32、才能閱讀信的內(nèi)容。 做法：信息發(fā)送方用對稱密鑰加密信息，然后再用接收方的公鑰加密此對稱密鑰(這部分稱為數(shù)字信封)，再將它和信息一起發(fā)送給接收方；接收方先用相應(yīng)的私鑰打開數(shù)字信封，得到對稱密鑰，然后使用對稱密鑰再解開信息。 作用：信息保密,五、 其他安全技術(shù),3)數(shù)字簽名 數(shù)字簽名是指發(fā)送方以電子形式簽名一個文件，表示簽名人對該文件的內(nèi)容負有責任。 數(shù)字簽名綜合使用了數(shù)字摘要和非對稱加密技術(shù)，可以在保證信息完整性的同時保證信息的真實性。,第十三章 信息安全,83,數(shù)字簽名工作原理,五、 其他安全技術(shù),第十三章 信息安全,84,4) 數(shù)字時間戳 數(shù)字時間戳服務(wù)(DTS)是提供電子文件發(fā)表時間認證的

33、網(wǎng)絡(luò)安全服務(wù)。它由專門的機構(gòu)(DTS)提供。,數(shù)字時間戳的產(chǎn)生過程,五、 其他安全技術(shù),第十三章 信息安全,85,（二） 入侵檢測,入侵檢測的基本概念 所謂入侵檢測，顧名思義便是對入侵行為的發(fā)覺。它通過對計算機網(wǎng)絡(luò)或計算機系統(tǒng)中的若干關(guān)鍵點收集信息并對其進行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象。,主要功能 監(jiān)測并分析用戶和系統(tǒng)的活動； 核查系統(tǒng)配置和漏洞； 評估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性； 識別已知的攻擊行為； 統(tǒng)計分析異常行為； 管理操作系統(tǒng)日志和識別違反安全策略的用戶活動,五、 其他安全技術(shù),第十三章 信息安全,86,入侵檢測過程,信息收集 信息分析 結(jié)果處

34、理,五、 其他安全技術(shù),第十三章 信息安全,87,1）信息收集： 內(nèi)容包括系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)及用戶活動的狀態(tài)和行為 2）信息來源： 系統(tǒng)和網(wǎng)絡(luò)日志文件； 目錄和文件中的不期望的改變； 程序執(zhí)行中的不期望行為； 物理形式的入侵信息 3）信息分析的技術(shù)手段 : 模式匹配 統(tǒng)計分析 完整性分析,五、 其他安全技術(shù),第十三章 信息安全,88,入侵檢測的實現(xiàn)方式,入侵檢測系統(tǒng)根據(jù)數(shù)據(jù)包來源的不同，采用不用的實現(xiàn)方式，一般地可分為網(wǎng)絡(luò)型、主機型，也可是這兩種類型的混合應(yīng)用。,基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)（NIDS） 基于主機的入侵檢測系統(tǒng)（HIDS） 混合型入侵檢測系統(tǒng)（Hybrid IDS）,五、 其他安全技術(shù)

35、,第十三章 信息安全,89,Internet,網(wǎng)絡(luò)服務(wù)器1,客戶端,網(wǎng)絡(luò)服務(wù)器2,檢測內(nèi)容：系統(tǒng)調(diào)用、端口調(diào)用、系統(tǒng)日志、安全審記、應(yīng)用日志。,HIDS,HIDS,基于主機入侵檢測系統(tǒng)工作原理,五、 其他安全技術(shù),第十三章 信息安全,90,Internet,NIDS,基于網(wǎng)絡(luò)入侵檢測系統(tǒng)工作原理,網(wǎng)絡(luò)服務(wù)器1,數(shù)據(jù)包=包頭信息+有效數(shù)據(jù)部分,客戶端,網(wǎng)絡(luò)服務(wù)器2,檢測內(nèi)容： 包頭信息+有效數(shù)據(jù)部分,五、 其他安全技術(shù),第十三章 信息安全,91,入侵檢測技術(shù)的發(fā)展方向,分布式入侵檢測 智能化入侵檢測 全面的安全防御方案,五、 其他安全技術(shù),第十三章 信息安全,92,（三） 虛擬專用網(wǎng),虛擬專用網(wǎng)

36、(Virtual Private Network，簡稱VPN) 指的是在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)的技術(shù)。它是一種通過對網(wǎng)絡(luò)數(shù)據(jù)的封包和加密傳輸，在公網(wǎng)上傳輸私有數(shù)據(jù)、達到私有網(wǎng)絡(luò)的安全級別，從而利用公網(wǎng)構(gòu)筑企業(yè)專網(wǎng)的組網(wǎng)技術(shù) 。,VPN依靠ISP（Internet服務(wù)提供商）和其他NSP（網(wǎng)絡(luò)服務(wù)提供商），在公用網(wǎng)絡(luò)中建立專用的數(shù)據(jù)通信網(wǎng)絡(luò)的技術(shù)。在虛擬專用網(wǎng)中，任意兩個節(jié)點之間的連接并沒有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是利用某種公眾網(wǎng)的資源動態(tài)組成的。,五、 其他安全技術(shù),第十三章 信息安全,93,VPN是在公網(wǎng)中形成的企業(yè)專用鏈路。采用“隧道”技術(shù)，可以模仿點對點連接技術(shù)，依靠Inter

37、net服務(wù)提供商(ISP)和其他的網(wǎng)絡(luò)服務(wù)提供商(NSP)在公用網(wǎng)中建立自己專用的“隧道”，讓數(shù)據(jù)包通過這條隧道傳輸。對于不同的信息來源，可分別給它們開出不同的隧道。,五、 其他安全技術(shù),第十三章 信息安全,94,虛擬專網(wǎng)的基本功能,VPN的主要目的是保護傳輸數(shù)據(jù)，是保護從信道的一個端點到另一端點傳輸?shù)男畔⒘鳌Ｐ诺赖亩它c之前和之后，VPN不提供任何的數(shù)據(jù)包保護。 VPN的基本功能至少應(yīng)包括：,加密數(shù)據(jù)：以保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會泄露。 信息驗證和身份識別：保證信息的完整性、合理性，并能鑒別用戶的身份。 提供訪問控制：不同的用戶有不同的訪問權(quán)限。 地址管理：VPN方案必須能夠為用戶分配專用網(wǎng)絡(luò)上的地