網(wǎng)絡(luò)與信息安全技術(shù)

《網(wǎng)絡(luò)與信息安全技術(shù)》由會(huì)員分享，可在線閱讀，更多相關(guān)《網(wǎng)絡(luò)與信息安全技術(shù)（33頁(yè)珍藏版）》請(qǐng)?jiān)谘b配圖網(wǎng)上搜索。

1、,單擊此處編輯母版標(biāo)題樣式,單擊此處編輯母版文本樣式,第二級(jí),第三級(jí),第四級(jí),第五級(jí),*,網(wǎng)絡(luò)與信息平安技術(shù),陳廣山編著,機(jī)械工業(yè)出版社,2007年7月,第1章概論,1.1網(wǎng)絡(luò)信息平安,網(wǎng)絡(luò)信息平安,1網(wǎng)絡(luò)信息平安的定義,網(wǎng)絡(luò)信息平安是一個(gè)涉及計(jì)算機(jī)科學(xué)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息平安技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論、信息論等多種學(xué)科的邊緣學(xué)科。從廣義上講，但凡涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實(shí)性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)信息平安所要研究的領(lǐng)域。通用的定義為：,網(wǎng)絡(luò)信息平安是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)能夠連

2、續(xù)、可靠、正常地運(yùn)行，網(wǎng)絡(luò)效勞不中斷。,2網(wǎng)絡(luò)信息平安的含義,1信息系統(tǒng)平安，即信息處理和傳輸系統(tǒng)的平安。,2系統(tǒng)信息平安。,3信息傳播平安。,4信息內(nèi)容平安。,如果從普通用戶、網(wǎng)絡(luò)管理員、平安保密部門(mén)、教育以及社會(huì)意識(shí)形態(tài)等不同的角度來(lái)理解，網(wǎng)絡(luò)信息平安的含義也會(huì)有差異。本書(shū)所涉及的網(wǎng)絡(luò)信息平安的含義是通過(guò)各種計(jì)算機(jī)、網(wǎng)絡(luò)、加密技術(shù)和信息平安技術(shù)，保護(hù)在公共通信網(wǎng)絡(luò)中傳輸、交換和存儲(chǔ)的信息的機(jī)密性、完整性和真實(shí)性，并對(duì)信息的傳播及內(nèi)容具有控制能力。,1保密性,2完整性,3可用性,4不可否認(rèn)性,5可控性,網(wǎng)絡(luò)信息平安的特征,網(wǎng)絡(luò)信息平安技術(shù),1主動(dòng)防御技術(shù),1數(shù)據(jù)加密。加密技術(shù)被認(rèn)為是解決網(wǎng)絡(luò)

3、平安問(wèn)題的最好途徑，是目前最有效的數(shù)據(jù)保護(hù)的手段。,2CA認(rèn)證。CA中心是具有權(quán)威性和公正性的第三方信任機(jī)構(gòu)，采用PKI公共密鑰根底架構(gòu)技術(shù)，提供網(wǎng)絡(luò)身份認(rèn)證效勞，確保通信雙方的真實(shí)、可靠。,3訪問(wèn)控制。訪問(wèn)控制主要分為自主訪問(wèn)控制和強(qiáng)制訪問(wèn)控制兩種，即通過(guò)身份認(rèn)證來(lái)控制用戶對(duì)資源的訪問(wèn)和通過(guò)規(guī)定主體對(duì)客體的操作權(quán)限來(lái)保證信息的平安。,4虛擬網(wǎng)絡(luò)技術(shù)。使用VPN或VLAN技術(shù)，通過(guò)網(wǎng)段的劃分、控制數(shù)據(jù)流向等手段實(shí)現(xiàn)防范的目的。,5入侵檢測(cè)。入侵檢測(cè)是使用軟件(或硬件)技術(shù)監(jiān)視和分析網(wǎng)絡(luò)信息系統(tǒng)中發(fā)生的事件，當(dāng)系統(tǒng)受到攻擊時(shí)，它可以檢測(cè)出來(lái)并做出積極的響應(yīng)。,2、被動(dòng)防御技術(shù),1防火墻技術(shù)。防火

4、墻是一種置于可信網(wǎng)絡(luò)與不可信網(wǎng)絡(luò)之間的平安防御系統(tǒng)，可以認(rèn)為是一種訪問(wèn)控制機(jī)制，用于控制非授權(quán)的訪問(wèn)進(jìn)出防火墻。,2平安掃描。可自動(dòng)檢測(cè)遠(yuǎn)程或本地主機(jī)平安弱點(diǎn)的程序，用于觀察網(wǎng)絡(luò)的工作情況、收集主機(jī)的信息。,3密碼檢查器。通過(guò)口令驗(yàn)證程序檢查薄弱的口令。,4平安審計(jì)。在網(wǎng)絡(luò)信息系統(tǒng)中有記錄與平安相關(guān)事件的日志文件，可供日后調(diào)查、分析、追查有關(guān)不信任的人，發(fā)現(xiàn)系統(tǒng)平安的弱點(diǎn)和漏洞等。,5路由過(guò)濾。路由器中的過(guò)濾器對(duì)所接收的每一個(gè)數(shù)據(jù)包根據(jù)包過(guò)濾規(guī)那么做出允許或拒絕的決定。,6平安管理技術(shù)。通過(guò)制定規(guī)章制度和條例等平安策略來(lái)減少人為因素對(duì)網(wǎng)絡(luò)信息系統(tǒng)的影響。,1.2威脅網(wǎng)絡(luò)信息平安的因素物理威脅,

5、1偷竊,網(wǎng)絡(luò)信息平安中的偷竊包括設(shè)備偷竊、信息偷竊和效勞偷竊等內(nèi)容。,2廢物搜尋,指的是在扔掉的打印材料、廢棄軟盤(pán)等廢物中搜尋所需要的信息。,3身份識(shí)別錯(cuò)誤,非法建立文件或記錄，企圖把它們作為有效的、正式生產(chǎn)的文件或記錄。,4間諜行為,是一種為了省錢(qián)或獲取有價(jià)值的機(jī)密、采用不道德的手段獲取信息。,漏洞威脅,1不平安效勞,由于缺陷或錯(cuò)誤使系統(tǒng)本身存在漏洞，這些問(wèn)題可能導(dǎo)致一些效勞程序繞過(guò)平安系統(tǒng)，從而對(duì)信息系統(tǒng)造成不可預(yù)料的損失。,2配置和初始化錯(cuò)誤,效勞器的關(guān)閉或重新啟動(dòng)可能是不可防止的，當(dāng)效勞器啟動(dòng)時(shí)系統(tǒng)要重新初始化，如果平安系統(tǒng)沒(méi)有隨之正確的初始化，就會(huì)留下平安漏洞被人利用；類似的問(wèn)題在木

6、馬程序修改了系統(tǒng)的平安配置文件時(shí)也會(huì)發(fā)生。,3乘虛而入,計(jì)算機(jī)之間的通信是通過(guò)特定的端口實(shí)現(xiàn)的。如在FTP效勞中，用戶暫時(shí)停止了與某個(gè)系統(tǒng)的通信，但由于該端口仍處于激活狀態(tài)，那么，其他用戶就可以乘虛而入利用這個(gè)端口與這個(gè)系統(tǒng)通信，這樣就會(huì)繞過(guò)例行的申請(qǐng)和平安檢查程序。,身份鑒別威脅,1口令圈套,口令圈套是網(wǎng)絡(luò)平安的一種詭計(jì)，與冒名頂替有關(guān)。,2口令破解,破解口令就是通過(guò)某種策略對(duì)口令進(jìn)行分析和猜測(cè)，在該領(lǐng)域中已形成許多能提高成功率的技巧。,3編輯口令,編輯口令需要依靠操作系統(tǒng)漏洞，如果企業(yè)內(nèi)部的人建立了一個(gè)虛設(shè)的賬戶或修改了一個(gè)隱含賬戶的口令，這樣，任何知道那個(gè)賬戶的用戶名和口令的人便可以訪問(wèn)

7、該主機(jī)了。,4算法考慮不周,口令驗(yàn)證系統(tǒng)必須在滿足一定的條件下才能正常工作，這個(gè)驗(yàn)證過(guò)程需要通過(guò)某種算法來(lái)實(shí)現(xiàn)。如果算法考慮不周全，驗(yàn)證的過(guò)程和結(jié)果就不可靠。,有害程序威脅,1病毒,病毒是一種把自己的拷貝附著于其它正常程序上的一段代碼，通過(guò)這種方式病毒可以進(jìn)行自我復(fù)制，并隨著它所附著的程序在網(wǎng)絡(luò)及計(jì)算機(jī)之間傳播。,2特洛伊木馬,特洛伊木馬是一種遠(yuǎn)程控制工具，一旦被安裝到某臺(tái)主機(jī)上，該主機(jī)便可以被監(jiān)視和控制。特洛伊木馬可以在該主機(jī)上上傳、下載文件，偷窺私人文件、密碼及口令信息，甚至能夠摧毀數(shù)據(jù)。中了木馬的主機(jī)，其一切秘密都將暴露在別人面前，隱私將不復(fù)存在。,3代碼炸彈,代碼炸彈是一種具有殺傷力的

8、代碼，當(dāng)滿足預(yù)設(shè)的條件時(shí)，代碼炸彈就被觸發(fā)并產(chǎn)生破壞性結(jié)果。,網(wǎng)絡(luò)連接威脅,1竊聽(tīng),對(duì)通信過(guò)程進(jìn)行竊聽(tīng)可到達(dá)收集信息的目的，通過(guò)檢測(cè)從連線上發(fā)射出來(lái)的電磁輻射就能拾取所要的信號(hào)。為了使機(jī)構(gòu)內(nèi)部的通信有一定的保密性，可以使用加密技術(shù)來(lái)防止信息被解密。,2冒充,通過(guò)使用別人的密碼和賬號(hào)，獲得對(duì)網(wǎng)絡(luò)及其數(shù)據(jù)、程序的使用能力。這種方法實(shí)現(xiàn)起來(lái)并不容易，而且一般需要有機(jī)構(gòu)內(nèi)部的、了解網(wǎng)絡(luò)和操作過(guò)程的人參與。,3撥號(hào)進(jìn)入,擁有一個(gè)調(diào)制解調(diào)器和一個(gè) 號(hào)碼，每個(gè)人都可以試圖通過(guò)遠(yuǎn)程撥號(hào)訪問(wèn)網(wǎng)絡(luò)，尤其是擁有所期望攻擊的網(wǎng)絡(luò)的用戶賬戶時(shí)，就會(huì)對(duì)網(wǎng)絡(luò)造成很大的威脅，這種方法可以使防火墻失去作用。,1.3網(wǎng)絡(luò)信息平安

9、的根本原那么 最小特權(quán)原那么,最小特權(quán)原那么是指一個(gè)對(duì)象(或?qū)嶓w)應(yīng)該只擁有為執(zhí)行其分配的任務(wù)所必要的最小特權(quán)，并絕對(duì)不超越此限。,最小特權(quán)原那么是最根本的網(wǎng)絡(luò)信息平安原那么。網(wǎng)絡(luò)管理員在為用戶分配初始權(quán)限時(shí)，通常只賦予其相應(yīng)效勞的最小權(quán)限“只讀，然后再根據(jù)實(shí)際需求以及對(duì)用戶的了解程度提升其權(quán)限。因?yàn)閷?duì)于大多數(shù)用戶來(lái)講，不可能需要獲得系統(tǒng)中的所有效勞，也沒(méi)有必要去修改系統(tǒng)中的文件。,實(shí)際上，平安是靠對(duì)信息系統(tǒng)中主體和客體的限制來(lái)實(shí)現(xiàn)的，限制越嚴(yán)格，平安越容易保證。然而，單純通過(guò)限制來(lái)確保平安是沒(méi)有任何意義的，在工作中不能因?yàn)樽钚√貦?quán)原那么而影響正常的網(wǎng)絡(luò)效勞。,縱深防御原那么,縱深防御是另一個(gè)

10、重要的原那么，是指不能只依靠單一的平安機(jī)制，而應(yīng)該通過(guò)多種機(jī)制互相支撐以實(shí)現(xiàn)平安的目的。如果系統(tǒng)中只存在惟一的平安機(jī)制，該機(jī)制一旦失敗，系統(tǒng)的平安就無(wú)從談起，也可能連“亡羊補(bǔ)牢的時(shí)機(jī)也會(huì)失去。,防火墻是一種好的平安機(jī)制，可以保護(hù)內(nèi)部網(wǎng)絡(luò)免受外部的侵襲。但是防火墻只是平安策略的一局部，不能把所有的平安僅寄托在一個(gè)防火墻身上。因?yàn)榉阑饓o(wú)法防止繞過(guò)防火墻的攻擊，也不能防范冒充和欺騙等攻擊，更不能防范來(lái)自內(nèi)部的攻擊。相反，如果除了防火墻以外還存在備份、代理、認(rèn)證、入侵檢測(cè)技術(shù)等多層防御措施，那么平安風(fēng)險(xiǎn)就會(huì)大大降低。,阻塞點(diǎn)原那么,所謂阻塞點(diǎn)就是設(shè)置一個(gè)窄道，目的是強(qiáng)迫攻擊者使用這個(gè)窄道，以對(duì)其進(jìn)行

11、監(jiān)視和控制。我們所熟悉的防火墻就是阻塞點(diǎn)原那么的典型代表。防火墻的位置處于內(nèi)部網(wǎng)和外部網(wǎng)的邊界處，它監(jiān)視和控制著進(jìn)出網(wǎng)絡(luò)信息系統(tǒng)的惟一通道，任何不良的信息都將被它過(guò)濾掉。,但要注意的是，即使有了阻塞點(diǎn)，攻擊者還是可以采用其他合法的方法進(jìn)行攻擊的，這時(shí)阻塞點(diǎn)就沒(méi)有多大價(jià)值了。正如“馬其諾防線無(wú)法防范來(lái)自非正面的攻擊一樣，如果管理員為了自己方便在防火墻上私設(shè)“后門(mén)，或者允許個(gè)別部門(mén)撥號(hào)上網(wǎng)，那么攻擊者也會(huì)有時(shí)機(jī)繞過(guò)阻塞點(diǎn)。這時(shí)防火墻就形同虛設(shè)，失去它的意義了。,最薄弱鏈接原那么,最薄弱鏈接原那么是指鏈的強(qiáng)度取決于它的最薄弱鏈接，墻的鞏固程度取決于它的最薄弱處，即網(wǎng)絡(luò)信息平安中的“短板原理。系統(tǒng)之所

12、以能夠被攻擊，正是由于其本身存在著某種缺陷或漏洞，如果對(duì)自己的系統(tǒng)不了解，注意不到這些最薄弱“鏈接處，并無(wú)法消除它們，那么平安也就無(wú)從保證。,然而，最薄弱鏈接還會(huì)經(jīng)常存在的，解決方法是：,1使最薄弱鏈接處盡量鞏固并在發(fā)生危險(xiǎn)前保持強(qiáng)度的均衡。,2平等對(duì)待平安的各個(gè)方面而不能有偏重。如不能只防外部入侵，而無(wú)視內(nèi)部攻擊。,3注意平安產(chǎn)品的升級(jí)，補(bǔ)丁的及時(shí)更新。,失效保護(hù)狀態(tài)原那么,失效保護(hù)原那么是指當(dāng)系統(tǒng)失效以后應(yīng)該自動(dòng)處于平安保護(hù)狀態(tài)，能夠拒絕入侵者的入侵。網(wǎng)絡(luò)中的許多應(yīng)用都是以保護(hù)失效原那么設(shè)計(jì)的。如，假設(shè)包過(guò)濾路由器出現(xiàn)故障，那么將會(huì)禁止任何數(shù)據(jù)包進(jìn)入；如果代理效勞器壞了，那么將不提供任何效

13、勞。,在平安決策和平安策略中有兩個(gè)狀態(tài)可供選擇：,l默認(rèn)拒絕狀態(tài)：只指明所允許的事情，而其它一切皆禁止。這種方法是當(dāng)失敗時(shí)只允許執(zhí)行預(yù)先決定的那些應(yīng)用，除此以外的所有應(yīng)用都被禁止。默認(rèn)拒絕從平安的角度看是能奏效的，大局部人都愿意選擇它。,l默認(rèn)許可狀態(tài)：只指明所禁止的事情，而允許其它一切事情。這種方法是預(yù)先決定哪些應(yīng)用是要禁止的，失敗時(shí)除這些禁止的不能執(zhí)行外，其它的全部都是允許的，這種方法用戶是歡送的。,普遍參與原那么,為了使平安機(jī)制更有效，應(yīng)該要求包括官員、管理者、普通職工和用戶等每一成員都能有意識(shí)地普遍參與。因?yàn)槿绻硞€(gè)成員輕易地從平安保護(hù)機(jī)制中退出，那么入侵者就有時(shí)機(jī)找到入侵的突破口，先

14、侵襲內(nèi)部豁免的系統(tǒng)，然后再以其為跳板進(jìn)行內(nèi)部攻擊。況且，黑客攻擊的時(shí)間、地點(diǎn)和方式等都是不確定的，即使配備入侵檢測(cè)系統(tǒng)，管理員也不可能及時(shí)覺(jué)察到平安事件的發(fā)生，系統(tǒng)的異常和變化如果沒(méi)有“全民皆兵意識(shí)是不可能被及時(shí)發(fā)現(xiàn)和處理的。,平安問(wèn)題的本質(zhì)是人的問(wèn)題，除了有一個(gè)好的平安策略以外，更要重視加強(qiáng)對(duì)全體成員進(jìn)行平安教育，使每個(gè)成員都能自覺(jué)地維護(hù)平安是一個(gè)事半功倍的好策略。,防御多樣化原那么,縱深防御是信息系統(tǒng)平安的原那么之一。但假設(shè)使用n個(gè)完全相同的防火墻來(lái)實(shí)現(xiàn)該原那么結(jié)果會(huì)如何呢？一旦第一個(gè)防火墻被突破，其它n-1個(gè)形成的縱深就沒(méi)有任何意義可言了。相反，如果其它n-1個(gè)縱深使用不同的技術(shù)或產(chǎn)品，

15、結(jié)果又如何呢？后者就是防御多樣化原那么。,防御多樣化的含義是使用從不同廠商那里得到的平安保護(hù)系統(tǒng)可以降低因產(chǎn)品缺陷或配置錯(cuò)誤而危及整個(gè)系統(tǒng)的時(shí)機(jī)。但是操作中要注意提防虛假多樣化。,簡(jiǎn)單化原那么,隨著企業(yè)規(guī)模的擴(kuò)大，信息系統(tǒng)的功能也變得越來(lái)越復(fù)雜，其平安需求也越來(lái)越難以充分滿足；又由于攻擊和防御技術(shù)在矛盾中不斷開(kāi)展，平安產(chǎn)品會(huì)變得越來(lái)越專業(yè)，平安策略也會(huì)變得晦澀難懂，影響平安方案的實(shí)施。,復(fù)雜的程序往往存在些小毛病，而任何小“bug都可能成為平安隱患，對(duì)一個(gè)復(fù)雜的網(wǎng)絡(luò)信息系統(tǒng)來(lái)講更是如此，復(fù)雜化將會(huì)直接影響其平安性。因?yàn)槭虑閺?fù)雜化會(huì)使它們難于理解，如果不了解某事，就不能真正了解它是否平安；復(fù)雜化

16、也會(huì)為平安的“天敵提供隱藏的角落和縫隙。所以，無(wú)論是信息系統(tǒng)的平安策略，還是實(shí)施方案都要力求簡(jiǎn)單，既要使管理員清楚，也要讓普通職員理解，更不能人為的復(fù)雜化。,1.4信息平安體系結(jié)構(gòu)與模型OSI平安體系結(jié)構(gòu),1平安效勞,在對(duì)威脅進(jìn)行分析的根底上，規(guī)定了5種標(biāo)準(zhǔn)的平安效勞：,1對(duì)象認(rèn)證平安效勞。,2訪問(wèn)控制平安效勞。,3數(shù)據(jù)保密性平安效勞。,4數(shù)據(jù)完整性平安效勞。,5防抵賴性平安效勞。,2平安機(jī)制,一個(gè)平安策略和平安效勞可以單個(gè)使用，也可以組合起來(lái)使用，在上述提到的平安效勞中可以借助以下平安機(jī)制：,1加密機(jī)制。,2數(shù)字簽名。,3訪問(wèn)控制機(jī)制。,4數(shù)據(jù)完整性機(jī)制。,5認(rèn)證交換機(jī)制。,6防業(yè)務(wù)流量分析機(jī)制。,7路由控制機(jī)制。,8公證機(jī)制。,3平安管理,為了更有效地運(yùn)用平安效勞，需要有其它措施來(lái)支持它們的操作，這些措施即為平安管理。平安管理是對(duì)平安效勞和平安機(jī)制進(jìn)行管理，把管理信息分配到有關(guān)的平安效勞和平安機(jī)制中去，并收集與它們的操作有關(guān)的信息。,OSI概念化的平安體系結(jié)構(gòu)是一個(gè)多層次的結(jié)構(gòu)，它本身是面向?qū)ο蟮?，給用戶提供了各種平安應(yīng)用，平安應(yīng)用由平安效勞來(lái)實(shí)現(xiàn)，而平安效勞又是由各種平安機(jī)制來(lái)實(shí)