網(wǎng)絡(luò)信息安全 第1章 概論與基礎(chǔ)文檔信息

1、第一部分(第1章) 概論與基礎(chǔ)4學(xué)時第二部分 安全技術(shù)及應(yīng)用18學(xué)時 第2章 信息加密技術(shù) 第3章 認(rèn)證技術(shù) 第4章 密鑰管理與分配技術(shù) 第5章 靜態(tài)偵測與防火墻技術(shù) 第6章 動態(tài)偵測與入侵檢測技術(shù) 第7章 阻斷與隔離 第8章 誘騙與取證第三部分 安全技術(shù)在特定平臺上的實(shí)現(xiàn)6學(xué)時第9章 Internet的基礎(chǔ)設(shè)施安全第10章 Windows 2000 下的安全應(yīng)用實(shí)驗(yàn)第四部分 內(nèi)容安全(第11章) 4學(xué)時第五部分(第12章) 安全管理2學(xué)時本課主要內(nèi)容9/6/2022實(shí)驗(yàn)一：加密與HASH算法的實(shí)現(xiàn)實(shí)驗(yàn)二：安裝配置證書服務(wù)器實(shí)驗(yàn)三：簡易防火墻配置實(shí)驗(yàn)四：創(chuàng)建Kerberos服務(wù)實(shí)驗(yàn)五：利用SS

2、L加密HTTP通道本課主要實(shí)驗(yàn)(課外)9/6/2022授課方式：講課講課時間：第10周-第19周 每周4節(jié)學(xué)期成績評定方式： 出勤:10% (重視學(xué)習(xí)態(tài)度) 作業(yè)(包括課外實(shí)驗(yàn)和課堂回答問題):20% (重視學(xué)習(xí)過程) 期末考: 70% (閉卷考試)本課安排9/6/2022本課主要參考書1.蔣天發(fā)等.網(wǎng)絡(luò)信息安全.北京:電子工業(yè)出版社,2009.2.胡道元等.網(wǎng)絡(luò)安全.北京:清華大學(xué)出版社,2008.3.崔寶江等.信息安全實(shí)驗(yàn)指導(dǎo).北京:國防工業(yè)出版社,2005.4.白碩等.e矛e盾.北京:清華大學(xué)出版社,2002.5.陳恭亮.信息安全數(shù)學(xué)基礎(chǔ).北京:清華大學(xué)出版社,2004.9/6/2022

3、第一章 概論與基礎(chǔ)網(wǎng)絡(luò)信息安全技術(shù)9/6/20221.1 信息,網(wǎng)絡(luò)與安全 1.2 網(wǎng)絡(luò)信息安全1.3 TCP/IP和主流操作系統(tǒng)1.4 黑客,威脅與防御1.5 網(wǎng)絡(luò)攻擊與防范1.6 惡意代碼1.7 信息系統(tǒng)安全體系結(jié)構(gòu) 本章主要內(nèi)容第一章 概 述9/6/20221.1 信息,網(wǎng)絡(luò)與安全 1.1.1信息的概念與特征 第一章 概 述信息、材料和能源是人類社會賴以生存和發(fā)展的基礎(chǔ)。所謂信息，科學(xué)家說：信息是不確定性的減少，是負(fù)熵.安全專家說：信息是一種資產(chǎn)，它意味著一種風(fēng)險.教科書上的定義“就是客觀世界中各種事物的變化和特征的最新反映，是客觀事物之間聯(lián)系的表征，也是客觀事物狀態(tài)經(jīng)過傳遞后的再現(xiàn)”。

4、 （包括三點(diǎn)：差異、特征、傳遞）信息自身不能獨(dú)立存在，必須依附于某種物質(zhì)載體。信源、信宿、信道是信息的三大要素。信息可以被創(chuàng)建,輸入,存儲,輸出,傳輸（發(fā)送，接收，截取）,處理（編碼，解碼，計算）,銷毀。 信息系統(tǒng)是信息采集、存儲、加工、分析和傳輸?shù)墓ぞ撸歉鞣N方法、過程、技術(shù)按一定規(guī)律構(gòu)成的一個有機(jī)整體。 9/6/2022網(wǎng)絡(luò)-確保信息按需有序流動的基礎(chǔ)設(shè)施。網(wǎng)絡(luò)既包含了組成網(wǎng)絡(luò)的硬件設(shè)備和線路，也包含了網(wǎng)絡(luò)設(shè)備運(yùn)行的軟件系統(tǒng)。 傳輸網(wǎng)絡(luò)-基礎(chǔ)電信網(wǎng)、基礎(chǔ)廣電網(wǎng)等互聯(lián)網(wǎng)絡(luò)-互聯(lián)網(wǎng)（因特網(wǎng)）、內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)人際網(wǎng)絡(luò)-關(guān)系網(wǎng)、銷售網(wǎng)、間諜網(wǎng)互聯(lián)網(wǎng)的特點(diǎn):開放性,國際性和自由性.互聯(lián)網(wǎng)是扁平結(jié)構(gòu)

5、的,平等的,而這個社會是樹型結(jié)構(gòu)的,分等級的.1.1 信息,網(wǎng)絡(luò)與安全 1.1.2 網(wǎng)絡(luò)的簡單概念第一章 概 述9/6/2022Security: 信息的安全 Safety:物理的安全Security的含義:在有敵人（Enemy）/對手（Adversary）/含敵意的主體（Hostile Agent）存在的網(wǎng)絡(luò)空間中，確保己方的信息、信息系統(tǒng)和通信不受竊取和破壞，按照需要對敵方的信息、信息系統(tǒng)和通信進(jìn)行竊取和破壞的“機(jī)制”（Mechanism）1.1 信息,網(wǎng)絡(luò)與安全 1.1.3 安全的簡單概念第一章 概 述9/6/20221.2 網(wǎng)絡(luò)信息安全1.2.1 背景網(wǎng)絡(luò)的普及對網(wǎng)絡(luò)的依賴加深攻擊的門

6、檻降低-攻擊資源的廣泛存在-實(shí)施攻擊的難度大大降低維護(hù)國家主權(quán)和社會穩(wěn)定、打擊網(wǎng)上犯罪、引導(dǎo)青少年健康上網(wǎng)（過濾與監(jiān)控）網(wǎng)絡(luò)信息資源的綜合利用（情報獲取與分析）網(wǎng)絡(luò)信息對抗和網(wǎng)絡(luò)信息戰(zhàn)9/6/20221.2 網(wǎng)絡(luò)信息安全1.2.2 基本概念什么是網(wǎng)絡(luò)信息安全？這樣一個看似簡單的問題卻難有令人滿意的答案。目前業(yè)界、學(xué)術(shù)界、政策部門對信息安全的定義似乎還沒有形成統(tǒng)一的認(rèn)識。所以也衍生出了許多不同的概念，比如網(wǎng)絡(luò)安全、計算機(jī)安全、系統(tǒng)安全、應(yīng)用安全、運(yùn)行安全、媒體安全、內(nèi)容安全等等；教科書上的定義:網(wǎng)絡(luò)安全從其本質(zhì)上來講是網(wǎng)絡(luò)上的信息安全. 它涉及的領(lǐng)域相當(dāng)廣泛. 從廣義來說,凡是涉及到網(wǎng)絡(luò)上信息的

7、保密性完整性可用性真實(shí)性和可控性的相關(guān)技術(shù)與原理,都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域9/6/20221.2 網(wǎng)絡(luò)信息安全1.2.2 基本概念信息安全的一般內(nèi)涵的定義是確保以電磁信號為主要形式的，在計算機(jī)網(wǎng)絡(luò)系統(tǒng)中進(jìn)行獲取、處理、存儲、傳輸和利用的信息內(nèi)容，在各個物理位置、邏輯區(qū)域、存儲和傳輸介質(zhì)中，處于動態(tài)和靜態(tài)過程中的機(jī)密性、完整性、可用性、可審查性、可認(rèn)證性和抗抵賴性的，與人、網(wǎng)絡(luò)、環(huán)境有關(guān)的技術(shù)和管理規(guī)程的有機(jī)集成。信息安全主要涉及到信息存儲的安全、信息傳輸?shù)陌踩约皩W(wǎng)絡(luò)傳輸信息內(nèi)容的審計三方面。從不同的角度或從不同的環(huán)境和應(yīng)用中,網(wǎng)絡(luò)信息安全有不同的含義 9/6/20221.2 網(wǎng)絡(luò)信息安全

8、1.2.3 研究內(nèi)容 一切影響計算機(jī)網(wǎng)絡(luò)安全的因素和保障計算機(jī)網(wǎng)絡(luò)安全的措施都是此學(xué)科的研究內(nèi)容.如:實(shí)體硬件安全軟件系統(tǒng)安全密碼技術(shù)網(wǎng)絡(luò)安全防護(hù)數(shù)據(jù)信息安全認(rèn)證技術(shù)病毒防治技術(shù)防火墻與隔離技術(shù)入侵檢測技術(shù), 等等9/6/20221.2 網(wǎng)絡(luò)信息安全1.2.4 網(wǎng)絡(luò)信息安全的CIA模型CIA模型C: Confidentiality 保密性I: Integrity 完整性A: Availability 可用性不足之處身份的真實(shí)性/可靠的匿名性操作的不可否認(rèn)性/操作的不可追溯性 9/6/20221.2 網(wǎng)絡(luò)信息安全1.2.5 網(wǎng)絡(luò)信息系統(tǒng)安全的基本需求完整性（integrity）指信息在存儲或傳輸

9、過程中保持不被修改、不被破壞、不被插入、不延遲、不亂序和不丟失的特性。保密性(confidentiality)是指嚴(yán)密控制各個可能泄密的環(huán)節(jié)，使信息在產(chǎn)生、傳輸、處理和存儲的各個環(huán)節(jié)不泄漏給非授權(quán)的個人和實(shí)體。可用性(availability)是指保證信息確實(shí)能為授權(quán)使用者所用，即保證合法用戶在需要時可以使用所需信息，防止由于主客觀因素造成系統(tǒng)拒絕服務(wù)。可控性（controllability）指信息和信息系統(tǒng)時刻處于合法所有者或使用者的有效掌握與控制之下 。 不可否認(rèn)性(incontestable)。是指保證信息行為人不能否認(rèn)自己的行為 。9/6/20221.3 TCP/IP和主流操作系統(tǒng)1.

10、3.1 TCP/IP簡單回顧TCP/IP家族:TelnetFTPSMTPHTTPDNSTCPUDPIPICMPARPRARPEthernetFDDIxDSL物理接口層網(wǎng)絡(luò)層傳輸層應(yīng)用層9/6/20221.3 TCP/IP和主流操作系統(tǒng)1.3.1 TCP/IP簡單回顧物理接口層:Ethernet-以太網(wǎng)FDDI-光纖分布雙環(huán)網(wǎng)是早期數(shù)據(jù)通訊網(wǎng)路之一xDSL-數(shù)字用戶線. 幾種DSL技術(shù)：ADSL：非對稱用戶數(shù)據(jù)線VDSL：超高比特率數(shù)字用戶線HDSL：Mbps。SDSL：單線/對稱數(shù)字用戶線：HDSL單線版本。9/6/20221.3 TCP/IP和主流操作系統(tǒng)1.3.1 TCP/IP簡單回顧網(wǎng)絡(luò)

11、層:IP- Internet Protocol,網(wǎng)際互聯(lián)協(xié)議,它的一個重要的功能就是在確定一條信息的發(fā)送地址和接收地址后能預(yù)測一個最佳路徑;另一重要工作就是負(fù)責(zé)把需要傳輸?shù)男畔⑥D(zhuǎn)換成網(wǎng)絡(luò)可以傳輸?shù)男?shù)據(jù)包,這是其它許多協(xié)議的基礎(chǔ)9/6/20221.3 TCP/IP和主流操作系統(tǒng)1.3.1 TCP/IP簡單回顧IP數(shù)據(jù)包結(jié)構(gòu)VerIHLService長度包序號標(biāo)志報片偏移TTL協(xié)議CRC源地址目的地址選項Pad數(shù)據(jù)9/6/20221.3 TCP/IP和主流操作系統(tǒng)1.3.1 TCP/IP簡單回顧IP地址的表示IP地址：子網(wǎng)編碼+主機(jī)編碼比如某網(wǎng)站的二進(jìn)制地址1001111111100010001

12、0100110100110點(diǎn)分十進(jìn)制地址66子網(wǎng)掩碼00000000（）子網(wǎng)主機(jī)9/6/20221.3 TCP/IP和主流操作系統(tǒng)1.3.1 TCP/IP簡單回顧IPv4 vs. IPv6目前互聯(lián)網(wǎng)實(shí)行的編址方案是IPv4業(yè)界正在大力推進(jìn)IPv6地址空間從32位擴(kuò)大到128位，擴(kuò)大296倍9/6/2022處理不同機(jī)器的IP層之間的通信,任何一個IP層向另一個IP層發(fā)送信息都必然會使用此協(xié)議. 可以發(fā)送一些狀態(tài)報文比如出錯信息，因此IP層的軟件都是通過它來向機(jī)器發(fā)送狀態(tài)報告，ICMP也由此成為了實(shí)際上IP層的通信系統(tǒng)比如ping就是一個應(yīng)用ICMP的非常的著名命令，它的作

13、用就是向一臺機(jī)器發(fā)送一個小ICMP報文來檢查這臺機(jī)器是否應(yīng)答關(guān)掉ICMP的機(jī)器不能通過ping探測其網(wǎng)絡(luò)連通性1.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)ICMP-網(wǎng)際控制報文協(xié)議.9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)MAC地址和IP地址之間的映射IPMAC：地址解析協(xié)議（ARP）MACIP：反向地址解析協(xié)議（RARP）9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)基本功能：提供端到端（進(jìn)程-進(jìn)程）的通信，即向高層用戶屏蔽通信子網(wǎng)的細(xì)節(jié)，提供通用的傳輸接口,這主要由傳輸控制協(xié)議TCP和用戶數(shù)

14、據(jù)報協(xié)議UDP提供.主要功能：1.傳輸連接管理：把傳輸?shù)刂酚成錇榫W(wǎng)絡(luò)地址，把端到端的傳輸連接復(fù)用到網(wǎng)絡(luò)連接上2.數(shù)據(jù)傳送優(yōu)化：端到端的順序控制、差錯檢測及恢復(fù)、分段處理及QoS監(jiān)測TCP協(xié)議主要面向連接,它可以重發(fā)及實(shí)現(xiàn)數(shù)據(jù)的可靠傳輸,UDP協(xié)議則主要負(fù)責(zé)傳輸而不涉及連接服務(wù),它沒有重發(fā)和糾錯功能,也不能保證數(shù)據(jù)傳輸?shù)目煽啃?傳輸層的功能9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)TCP報文格式保留URG源端口目的端口發(fā)送序號確認(rèn)序號首部長度緊急指針選項和填充窗口大小檢查和數(shù)據(jù)（可選）ACKPSHRSTSYNFIN9/6/20221.3.1 TCP/IP簡

15、單回顧1.3 TCP/IP和主流操作系統(tǒng)UDP報頭格式源端口目的端口UDP報文長度檢查和9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)建立TCP連接:三次握手的簡化流程SYNSYN/ACKACK9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)應(yīng)用層:超文本傳輸協(xié)議 (HTTP) 互聯(lián)網(wǎng)域名系統(tǒng)(DNS)簡單郵件傳輸協(xié)議(SMTP)遠(yuǎn)程登錄(Telnet)文件傳輸 (FTP)電子公告版(BBS)9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)HTTP(Hypertext Transfer Pr

16、otocol)是WWW瀏覽器和WWW服務(wù)器之間的應(yīng)用層通訊協(xié)議,是用于分布式協(xié)作超文本信息系統(tǒng)的、通用的、面向?qū)ο蟮膮f(xié)議。HTTP會話過程包括四個步驟： 連接(Connection) 請求(Request) 應(yīng)答(Response) 關(guān)閉(Close) 9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)互聯(lián)網(wǎng)域名系統(tǒng)(DNS)bbs.ncic.ac 曙光bbs服務(wù)器智能中心科技網(wǎng)中國bbs.ncic.ac 用名字來代替IP地址, 以便于人們的記憶9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)電子郵件(Email)電子郵件是利用

17、計算機(jī)網(wǎng)絡(luò)來交換電子媒體信件的通信方式，其協(xié)議是SMTP（簡單郵件傳輸協(xié)議），特點(diǎn)是只規(guī)定如何與TCP協(xié)議銜接。電子郵件采取存儲轉(zhuǎn)發(fā)的方式，發(fā)送失敗后將繼續(xù)嘗試發(fā)送。電子郵件與短信,QQ,MSN等是目前最為火爆的基于P2P技術(shù)的即時通信應(yīng)用。9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)電子郵件(Email)電子郵件需分別指定發(fā)信服務(wù)器與收信服務(wù)器，發(fā)信服務(wù)器稱為SMTP服務(wù)器，無需賬號，收信服務(wù)器通常是POP3服務(wù)器（POP：郵局協(xié)議），需要賬號。信箱格式為： 用戶名收信服務(wù)器域名 zhongshangpingsoftware.ict.ac 9/6/202

18、21.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)遠(yuǎn)程登錄(Telnet)遠(yuǎn)程登錄是指用戶可以在本地自己的終端上通過支持TCP/IP的Internet網(wǎng)絡(luò)與另一個地方的主機(jī)系統(tǒng)進(jìn)行交互。遠(yuǎn)程登錄的必備條件是本地端具有Telnet的客戶程序，知道對方的IP地址或域名、賬號、口令。9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)文件傳輸(FTP)FTP是用于在兩個支持TCP/IP的Internet網(wǎng)絡(luò)上的主機(jī)之間進(jìn)行文件交換。必備條件是本地端具有FTP的客戶程序，知道對方的IP地址或域名、賬號、口令。當(dāng)對方是匿名FTP服務(wù)器時可以進(jìn)行匿名FTP登

19、錄與傳輸。在瀏覽器上直接支持FTP操作： FTP:/ftp.ncic.ac 互聯(lián)網(wǎng)上有大量的FTP工具,如:CuteFTP等。9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統(tǒng)電子公告版（BBS）BBS（Bulletin Board System）是利用計算機(jī)通過遠(yuǎn)程訪問，將各種共享信息提供給各種用戶。各用戶可以張貼自己的觀點(diǎn)，可以回答他人的問題。可以尋友，發(fā)郵件等。最初為Telnet方式，現(xiàn)在大都有WWW方式進(jìn)一步發(fā)展為即時聊天、即時通信等9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)三大主流操作系統(tǒng)DOS/Window

20、s系列MacOS系列Unix/Linux系列9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)微軟的DOS/Windows系列祖宗：MS-DOSx桌面系列：Windows 3.x Windows XP服務(wù)器系列：Windows NT 3.x Windows .Net9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)MacOSMacOS一度十分強(qiáng)大，在GUI（圖形用戶界面）方面曾經(jīng)頗具優(yōu)勢MacOS有傳統(tǒng)的應(yīng)用領(lǐng)域（如出版），但總體上說正在衰落MacOS在中國沒有很大市場9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1

21、.3 TCP/IP和主流操作系統(tǒng)UNIX/Linux系列幾大商業(yè)UNIX系統(tǒng)IBMAIXSUNSolarisHPHP-UXSGIIRIXSCOSCO UNIX兩大免費(fèi)UNIX系統(tǒng)Free BSDLinux9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)主要的UNIX系統(tǒng)演進(jìn)示意圖Unix CSUnix V6Unix System III BSDUnix System VFree BSDLinuxAIXHP-UXSolarisIrixSCOUnix V79/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)諸侯、霸主與俠客商業(yè)

22、UNIX的發(fā)展，缺乏一條明確的主線和統(tǒng)一的規(guī)劃，諸侯林立。但由于其本身在高端技術(shù)上的一些優(yōu)勢，在大型服務(wù)器平臺領(lǐng)域，UNIX仍有相當(dāng)?shù)牡乇P微軟Windows系列有清晰的產(chǎn)品線和產(chǎn)品戰(zhàn)略，已經(jīng)在低端處于絕對的霸主地位（OS2案例）Linux/Free BSD高舉“自由”大旗，加上由此而來的安全概念，異軍突起，對微軟的霸主地位形成一定沖擊，但不足以動搖微軟的霸主地位9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)操作系統(tǒng)的安全問題D級操作系統(tǒng)的權(quán)限模型C級操作系統(tǒng)的權(quán)限模型B級操作系統(tǒng)的權(quán)限模型9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP

23、/IP和主流操作系統(tǒng)研究操作系統(tǒng)安全問題的意義操作系統(tǒng)所處的位置決定了它是具有戰(zhàn)略意義的軟件系統(tǒng)，是一切信息和信息系統(tǒng)的安全攸關(guān)的底座操作系統(tǒng)的安全功能是網(wǎng)絡(luò)信息安全的至關(guān)重要的組成部分操作系統(tǒng)的安全功能主要是通過“訪問控制”來實(shí)現(xiàn)的，具體體現(xiàn)在內(nèi)核地址空間的相對隔離用戶和權(quán)限的管理對與安全有關(guān)的關(guān)鍵性信息的加密存儲9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)操作系統(tǒng)的安全等級（TCSEC-可信任計算機(jī)標(biāo)準(zhǔn)評估準(zhǔn)則）D級：最小安全策略（無訪問控制措施）C級：自主訪問控制C1：可信任的計算基礎(chǔ)C2：安全審計B級：強(qiáng)制訪問控制B1：設(shè)置敏感度標(biāo)記B2：隱通

24、道分析B3：審計跟蹤A級：結(jié)構(gòu)化訪問控制A1：形式化驗(yàn)證（理想狀態(tài)）9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)C1級操作系統(tǒng)的訪問控制主體：用戶用戶組程序（隸屬于一定的用戶）客體：資源，包括文件目錄進(jìn)程（暫時不說）操作：讀、寫、執(zhí)行權(quán)限：允許、禁止9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)屬主，用戶組，權(quán)限管理一定的客體為一定的主體所擁有，該主體稱為該客體的屬主（Owner）一定的用戶集合可組成用戶組（Group），同組的用戶在安全策略上具有一定的共性一定的可執(zhí)行客體具有權(quán)限管理的執(zhí)行效果，擁有執(zhí)行這類客體

25、權(quán)限的主體事實(shí)上具有了改變別的主體和客體的相關(guān)安全策略的能力9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)權(quán)限碼由9個二進(jìn)制位組成0表示禁止，1表示允許從高到低的九個二進(jìn)制位依次表示屬主是否可讀、可寫、可執(zhí)行同組用戶是否可讀、可寫、可執(zhí)行其他用戶是否可讀、可寫、可執(zhí)行9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)權(quán)限碼755用戶屬主同組其他操作讀寫執(zhí)行讀寫執(zhí)行讀寫執(zhí)行權(quán)限碼111101101意義允許允許允許允許禁止允許允許禁止允許9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)

26、超級用戶對任意客體擁有任意處置權(quán)限的用戶，稱為超級用戶因此，超級用戶能夠運(yùn)行任何權(quán)限管理程序，從而可以設(shè)置和改變?nèi)魏沃黧w對任何客體的權(quán)限超級用戶的權(quán)限令人眼紅，它的非法使用，將對系統(tǒng)的安全構(gòu)成重大的威脅9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)超級用戶C1級的操作系統(tǒng)靠著權(quán)限碼把不同屬主的資源在一定程度上隔離開來超級用戶猶如一個全知全能的上帝，一旦獲得超級用戶的權(quán)限，上述隔離機(jī)制將不復(fù)存在遺憾的是，由于系統(tǒng)設(shè)計時的考慮不周，有大量的系統(tǒng)存在非法獲取超級用戶權(quán)限的隱患（漏洞），口令的管理不善或不當(dāng)，也會造成超級用戶權(quán)限的流失如此大的風(fēng)險集中在超級用戶上

27、面，對于有較高安全需求的信息系統(tǒng)來說，不是一個明智的選擇，因此在B級操作系統(tǒng)里面，超級用戶的全能性將被廢止9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)B1級操作系統(tǒng)的訪問控制基本的想法：分權(quán)借鑒：人類在帶有敵對性質(zhì)的環(huán)境下對信息的管理，特別是對軍事機(jī)密的管理做法：同時給主體和客體加級別標(biāo)記所謂級別，在數(shù)學(xué)上就是“序結(jié)構(gòu)”，如偏序結(jié)構(gòu)或全序結(jié)構(gòu)9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)安全操作系統(tǒng)一般把B級以上的操作系統(tǒng)叫做安全操作系統(tǒng)政府、軍隊、金融等關(guān)鍵領(lǐng)域，對安全操作系統(tǒng)有很大需求防火墻、安全隔離系統(tǒng)等安

28、全產(chǎn)品自身的安全性要求堅固的操作系統(tǒng)底座數(shù)字權(quán)力保護(hù)的有效實(shí)現(xiàn)最好在安全的操作系統(tǒng)中完成中國這樣的大國，應(yīng)該有自主的安全操作系統(tǒng)9/6/20221.3.2 主流操作系統(tǒng)及其安全問題1.3 TCP/IP和主流操作系統(tǒng)操作系統(tǒng)加固在已有的操作系統(tǒng)外部通過打補(bǔ)丁的方式實(shí)現(xiàn)強(qiáng)制訪問控制的功能，叫做操作系統(tǒng)加固操作系統(tǒng)加固不如安全操作系統(tǒng)的安全性好，原因是：敵對者可以以更高的優(yōu)先級打一個弱化強(qiáng)制訪問控制功能的“反補(bǔ)丁”已有操作系統(tǒng)的有些脆弱性（甚至是人為的后門）可能無法通過加固來避免在不具備開發(fā)安全操作系統(tǒng)的主客觀條件又不想采用別人的安全操作系統(tǒng)的時候，操作系統(tǒng)加固不失為一種選擇9/6/20221.4.

29、1 關(guān)于“黑客”1.4 黑客,威脅與防御“黑客”-Hacker源于英語動詞hack,意為“劈,砍”,引申為“干了一件非常漂亮的工作”,中文語感上令人聯(lián)想到“手段高超,行事詭秘的不速之客”特征: 技術(shù)精湛，系統(tǒng)爛熟，來去無蹤，大俠風(fēng)范黑客的精神鉆研的精神挑戰(zhàn)的精神敬業(yè)的精神自律的精神9/6/20221.4 黑客,威脅與防御1.4.1 關(guān)于“黑客”公眾的誤解以為坑人的攻擊者破壞者是黑客“黑”成了動詞，“紅”成了黑客中的另類媒體的渲染正名運(yùn)動一個典型的社會語言學(xué)問題Hacker vs. Cracker黑客？駭客？壞客？9/6/20221.4 黑客,威脅與防御1.4.1 關(guān)于“黑客”黑客是一個國家的寶

30、貴的戰(zhàn)略資源黑客是最懂網(wǎng)上技術(shù)對抗的群體，在關(guān)系到國家主權(quán)、國計民生和網(wǎng)民切身利益的網(wǎng)上技術(shù)對抗發(fā)生的時候，黑客資源經(jīng)過很好地組織，可形成一定的戰(zhàn)斗力黑客文化素來追求自由，討厭約束，這在一定程度上妨礙了黑客在對抗中的協(xié)同發(fā)揮和更嚴(yán)密的戰(zhàn)術(shù)戰(zhàn)役組織中國黑客中懂技術(shù)，有激情，顧大局，通情理者為數(shù)不少9/6/20221.4 黑客,威脅與防御1.4.1 關(guān)于“黑客”漏洞與攻擊漏洞是程序的一種客觀存在的脆弱性，可以被利用來實(shí)施攻擊攻擊是對漏洞的最直觀的驗(yàn)證方式攻擊在某些條件下也是最好的防御所以，不能把研究漏洞和攻擊的權(quán)利拱手交給“壞人”當(dāng)然，對無辜的、非敵對的目標(biāo)進(jìn)行惡意攻擊，于法于理皆難容作為學(xué)習(xí)和研

31、究網(wǎng)絡(luò)信息安全的人，要懂得自律，懂得守法；不僅包括國內(nèi)法，還有國際法9/6/20221.4 黑客,威脅與防御1.4.1 關(guān)于“黑客”本課程中對漏洞和攻擊的導(dǎo)向鼓勵研究中國人發(fā)現(xiàn)的漏洞不是太多，而是太少國際慣例是研究出補(bǔ)救辦法才公布漏洞，未公布的漏洞都是懸在我們頭上的定時炸彈掌握在我們手里的未公布的漏洞越多，我們在信息對抗中的戰(zhàn)略地位就越有利側(cè)重原理本課程以講授原理為主，不會提供大段的代碼，但是掌握了這些原理，再去接觸這些代碼，會站在一個更高的層次9/6/20221.4 黑客,威脅與防御1.4.1 關(guān)于“黑客”本課程中對漏洞和攻擊的導(dǎo)向謹(jǐn)慎實(shí)驗(yàn)從事關(guān)于漏洞和攻擊的實(shí)驗(yàn)一定要慎之又慎實(shí)驗(yàn)環(huán)境要與日

32、常應(yīng)用環(huán)境隔離，防止危害性的實(shí)驗(yàn)結(jié)果擴(kuò)散到日常應(yīng)用環(huán)境當(dāng)中移動病毒的實(shí)驗(yàn)，一旦失控，后果及其嚴(yán)重嚴(yán)格自律要求大家不從事對公眾網(wǎng)絡(luò)的攻擊和掃描活動，不參加以任何名義進(jìn)行的“黑客大戰(zhàn)”9/6/20221.4 黑客,威脅與防御1.4.2 信息系統(tǒng)面臨的威脅及分類 1.信息通信過程中的威脅 被動攻擊竊聽獲取消息內(nèi)容流量分析主動攻擊中斷修改偽造破壞可用性破壞完整性破壞真實(shí)性9/6/20221.4 黑客,威脅與防御1.4.2 信息系統(tǒng)面臨的威脅及分類 2.信息通信過程中的威脅 截獲(偵聽)中斷(干擾)偽造篡改 第一章 概 述9/6/2022第一章 概 述概括計算機(jī)網(wǎng)絡(luò)上的通信面臨4種威脅。截獲(inter

33、ception)中斷(interruption)篡改(modification)偽造(fabrication) 上述四種威脅可劃分為兩大類，即被動攻擊和主動攻擊。在上述情況中，截獲信息的攻擊稱為被動攻擊，而更改信息和拒絕用戶使用資源的攻擊稱為主動攻擊。1.4 黑客,威脅與防御1.4.2 信息系統(tǒng)面臨的威脅及分類 9/6/2022數(shù)據(jù)的性質(zhì)Interruption(中斷) -Interception(截獲) -Modification(修改) -Fabrication (偽造) - Availability Availability可用性 AvailabilityConfidentiality機(jī)

34、密性 Integrity完整性 Availability Authenticity真實(shí)性第一章 概 述1.4 黑客,威脅與防御1.4.2 信息系統(tǒng)面臨的威脅及分類 9/6/20221.4 黑客,威脅與防御1.4.2 信息系統(tǒng)面臨的威脅及分類 2.信息存儲過程中的威脅 第一章 概 述 存儲于計算機(jī)系統(tǒng)中的信息，易于受到與通信線路同樣的威脅。非法用戶在獲取系統(tǒng)訪問控制權(quán)后，瀏覽存儲介質(zhì)上的保密數(shù)據(jù)或?qū)＠浖?，并且對有價值的信息進(jìn)行統(tǒng)計分析，推斷出所有的數(shù)據(jù)，這樣就使信息的保密性、真實(shí)性、完整性遭到破壞。 9/6/20221.4 黑客,威脅與防御1.4.2 信息系統(tǒng)面臨的威脅及分類 3.信息加工處理

35、中的威脅 第一章 概 述 信息系統(tǒng)對信息進(jìn)行加工過程中，通常以源碼出現(xiàn)，加密保護(hù)對處理中的信息不起作用。因此，在這個期間有意攻擊和意外操作都極易使系統(tǒng)遭受破壞，造成損失。除此之外，信息系統(tǒng)還會因?yàn)橛嬎銠C(jī)硬件的缺陷、軟件的脆弱、電磁輻射和客觀環(huán)境等原因造成損害，威脅計算機(jī)信息系統(tǒng)的安全。9/6/2022偽裝非法連接非授權(quán)訪問拒絕服務(wù)抵賴信息泄露口令猜測地址欺騙連接盜用竊聽業(yè)務(wù)流分析改動信息流篡改或破壞數(shù)據(jù)推斷或演繹信息非法篡改程序（病毒、特洛依木馬和蠕蟲 ）業(yè)務(wù)否決對域名系統(tǒng)和其他基礎(chǔ)設(shè)施的破壞利用Web破壞數(shù)據(jù)庫第一章 概 述1.4 黑客,威脅與防御1.4.3 威脅的表現(xiàn)和構(gòu)成威脅的因素 1.

36、信息系統(tǒng)面臨的威脅表現(xiàn)9/6/20221.4 黑客,威脅與防御1.4.3 威脅的表現(xiàn)和構(gòu)成威脅的因素 2.構(gòu)成威脅的因素 （1）環(huán)境和災(zāi)害因素 (溫度、濕度、供電、火災(zāi)、水災(zāi)、 地震、靜電、灰塵、雷電、強(qiáng)電磁場、電磁脈沖等 )（2）人為因素 第一章 概 述計算機(jī)硬件系統(tǒng)的故障軟件組件（漏洞 ）網(wǎng)絡(luò)和通信協(xié)議無意（操作失誤）有意（黑客、犯罪）（3）系統(tǒng)自身的脆弱9/6/2022系統(tǒng)自身的安全缺陷1.4 黑客,威脅與防御第一章 概 述協(xié)議本身會泄漏口令 連接可成為被盜用的目標(biāo) 服務(wù)器本身需要讀寫特權(quán) 基于地址 密碼保密措施不強(qiáng) 某些協(xié)議經(jīng)常運(yùn)行一些無關(guān)的程序 業(yè)務(wù)內(nèi)部可能隱藏著一些錯誤的信息 有些

37、業(yè)務(wù)本身尚未完善,難于區(qū)分出錯原因 有些業(yè)務(wù)設(shè)置復(fù)雜,很難完善地設(shè)立 使用CGI（Common Gateway Interface）的業(yè)務(wù)1.4.3 威脅的表現(xiàn)和構(gòu)成威脅的因素 9/6/2022定義：“非法入侵者”起源： 60年代目的： 基于興趣非法入侵 基于利益非法入侵 信息戰(zhàn)人為攻擊（黑客）1.4 黑客,威脅與防御第一章 概 述1.4.3 威脅的表現(xiàn)和構(gòu)成威脅的因素 9/6/2022網(wǎng)絡(luò)協(xié)議的開放性1.4 黑客,威脅與防御第一章 概 述 業(yè)務(wù)基于公開的協(xié)議（TCP/IP中的TCP和ARP ） 遠(yuǎn)程訪問使得各種攻擊無需到現(xiàn)場就能得手 連接是基于主機(jī)上的社團(tuán)彼此信任的原則1.4.3 威脅的表現(xiàn)

38、和構(gòu)成威脅的因素 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)防御策略的基本原則 信息系統(tǒng)安全體系屬于典型的防御體系，在構(gòu)建防御體系過程中應(yīng)堅持下列原則 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)防御策略的基本原則 其實(shí)質(zhì)是任何實(shí)體（用戶、管理員、進(jìn)程、應(yīng)用和系統(tǒng)等）僅有該主體需要完成其被指定任務(wù)的所必須的權(quán)力，此外沒有更多的特權(quán)。最小特權(quán)可以盡量避免將信息系統(tǒng)資源暴露在侵襲之下。 在信息系統(tǒng)安全設(shè)計中，對于每個用戶并不需要使用所有的網(wǎng)上服務(wù)；不是所有用戶需要去修改（甚至去讀）系統(tǒng)中的每一個文件；每一個用戶并不需要都知道系統(tǒng)的根口令

39、；每個系統(tǒng)管理員也沒有必要都知道系統(tǒng)的根口令等，這些可以說是最小特權(quán)的例子。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)防御策略的基本原則 安全體系不要只依靠單一安全機(jī)制和多種安全服務(wù)的堆砌，應(yīng)該建立互相支撐的多種安全機(jī)制，建立具有協(xié)議層次和縱向結(jié)構(gòu)層次（信息流方向）的完備體系。通過多層機(jī)制互相支撐來獲取整個信息系統(tǒng)的安全。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)防御策略的基本原則 在網(wǎng)絡(luò)系統(tǒng)對外連接的通道上建立控制點(diǎn)，可以使系統(tǒng)管理人員對網(wǎng)絡(luò)進(jìn)行監(jiān)控連接，對攻擊者進(jìn)行監(jiān)視和控制。 在網(wǎng)絡(luò)信息安全系統(tǒng)中，位于站點(diǎn)與Intern

40、et之間的防火墻就是一個控制點(diǎn)的典型例子。任何一個從公共網(wǎng)絡(luò)侵襲站點(diǎn)的操作都必須通過這個對侵襲起防御作用的控制點(diǎn)，系統(tǒng)管理人員應(yīng)當(dāng)在網(wǎng)絡(luò)運(yùn)行中監(jiān)視這些侵襲并在發(fā)現(xiàn)它們時進(jìn)行基于策略的處理。9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)防御策略的基本原則 系統(tǒng)安全的強(qiáng)度取決于系統(tǒng)連接最薄弱環(huán)節(jié)（脆弱性）的安全態(tài)勢，強(qiáng)的堅固程度取決于它最薄（脆）弱點(diǎn)的堅固特性。精明的攻擊者總要找出系統(tǒng)的弱點(diǎn)，并集中力量對其進(jìn)行攻擊。系統(tǒng)管理人員應(yīng)意識到網(wǎng)絡(luò)系統(tǒng)防御中的弱點(diǎn)，以便采取措施進(jìn)行加固或消除它們的存在，同時也要監(jiān)測那些無法消除的缺陷的安全態(tài)勢。對待安全的各個方面要同樣重視而不能

41、有所偏重。例如，不能只重視保護(hù)Telnet連接而放任FTP連接。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)防御策略的基本原則 安全保護(hù)的另一個基本原則就是失效保護(hù)，一旦系統(tǒng)運(yùn)行錯誤，當(dāng)其發(fā)生故障時必須拒絕侵襲者的訪問，更不允許侵襲者跨入內(nèi)部網(wǎng)絡(luò)。當(dāng)然也存在一旦出現(xiàn)故障，可能導(dǎo)致合法用戶也無法使用信息資源的情況，但這是確保系統(tǒng)安全必須付出的代價。 網(wǎng)絡(luò)信息系統(tǒng)中的多數(shù)應(yīng)用都是按失效保護(hù)原則設(shè)計的。例如，包過濾路由器如果出現(xiàn)故障，將不允許任何數(shù)據(jù)包進(jìn)出；一個代理服務(wù)器出現(xiàn)故障，將不提供服務(wù)。9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)

42、防御策略的基本原則 為了使安全機(jī)制更為有效，絕大部分安全系統(tǒng)要求員工普遍參與，以便集思廣益來規(guī)劃設(shè)計網(wǎng)絡(luò)的安全體系和安全策略，發(fā)現(xiàn)問題，使網(wǎng)絡(luò)系統(tǒng)的安全設(shè)計更加完善。一個安全系統(tǒng)的運(yùn)行需要全體人員共同維護(hù)。系統(tǒng)的安全單純依靠系統(tǒng)管理員或安全管理員維護(hù)同樣是危險的。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)防御策略的基本原則 通過使用大量不同的系統(tǒng)提供縱深防御而獲得額外的安全保護(hù)一樣，也能通過使用大量不同類型、不同等級的系統(tǒng)得到額外的安全保護(hù)。 防御多樣化的意義是使用不同廠商的安全保護(hù)系統(tǒng)，降低因普遍的錯誤或配置錯誤而危及整個系統(tǒng)。但是，對于系統(tǒng)的復(fù)雜性和互操作

43、性卻是需要考慮的另一個問題，應(yīng)提防虛假的多樣性，例如，可能存在共同的缺陷或漏洞。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)防御策略的基本原則 簡單化作為一種安全保護(hù)策略有兩方面的含義；一是讓事物簡單便于理解；二是復(fù)雜化會為所有的安全帶來隱藏的漏洞，直接威脅網(wǎng)絡(luò)安全。9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統(tǒng)防御策略的基本原則技術(shù)措施（采用特定功能的設(shè)備或系統(tǒng)）管理措施（法律、規(guī)章制度、檢查）三分技術(shù)七分管理9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞郵件炸彈攻擊Ping風(fēng)暴攻擊同步風(fēng)暴攻擊IP碎片攻擊分布式拒絕服務(wù)攻擊

44、9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞擁塞的定義因處理能力或某種必備資源不足而產(chǎn)生的失去服務(wù)能力的現(xiàn)象，也叫“拒絕服務(wù)”（Denial of service）人為造成目標(biāo)主機(jī)或網(wǎng)絡(luò)處于擁塞狀態(tài)的行為，稱為“拒絕服務(wù)攻擊”拒絕服務(wù)攻擊不可能對目標(biāo)主機(jī)進(jìn)行實(shí)質(zhì)性的破壞，但可能造成因服務(wù)停頓而帶來的損失（可能非常之巨大）9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞郵件炸彈攻擊垃圾郵件與郵件炸彈垃圾郵件（SPAM）指的是把有商業(yè)或政治推廣意圖的郵件未經(jīng)收件人允許發(fā)送給大量的收件人，主要的表現(xiàn)是“廣”而“泛”郵件炸彈（Email Bomber）指的是在短時間內(nèi)向特定的目標(biāo)信箱發(fā)

45、送大數(shù)據(jù)量的郵件，導(dǎo)致信箱無法工作和網(wǎng)絡(luò)、服務(wù)器的擁塞，主要的表現(xiàn)是“多”而“?！?/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞郵件炸彈攻擊的危害干擾用戶的電子郵件系統(tǒng)的正常使用沒用的郵件把有用的郵件的空間擠占掉了，有用的郵件不能正常收發(fā)致使郵件服務(wù)器系統(tǒng)崩潰郵件服務(wù)器的空間被侵吞，無法接收正常的（不含惡意的）郵件郵件服務(wù)器處理正常的（不含惡意的）郵件的效率降低乃至工作無法進(jìn)行造成網(wǎng)絡(luò)系統(tǒng)癱瘓大量郵件在短時間內(nèi)擁塞在網(wǎng)絡(luò)上，對網(wǎng)絡(luò)帶寬造成壓力乃至癱瘓正常的（不含惡意的）郵件不能正常到達(dá)，導(dǎo)致重發(fā)數(shù)據(jù)包大量增加，進(jìn)一步增加帶寬壓力9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞從防

46、范角度看郵件炸彈的應(yīng)對請郵件服務(wù)器管理人員清除，或使用郵件管理工具登錄到郵件服務(wù)器上清除設(shè)置過濾（拒絕超過一定規(guī)模的信件）轉(zhuǎn)信加過濾防止別人利用你的郵件服務(wù)器的轉(zhuǎn)信功能作為發(fā)送郵件炸彈的跳板（慎用！）自動回信（它反擊的是對方的郵件服務(wù)器，而不是對方的客戶端）9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞從攻擊角度評價郵件炸彈小兒科，沒有真正的殺傷力容易防范僅僅在外圍禍害一下，沒有攻到要害沒有多少創(chuàng)意和技術(shù)含量傷及無辜，不太仗義（使用同一個郵件服務(wù)器的其他用戶甚至使用同一個子網(wǎng)的網(wǎng)絡(luò)用戶都會受到不同程度的影響）9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞Ping 風(fēng)暴攻擊Pin

47、g是通過發(fā)送ICMP報文(類型8代碼0)探尋網(wǎng)絡(luò)主機(jī)是否存在的一個工具早期的部分操作系統(tǒng)（例如win95），不能很好處理過大的Ping包于是，在短時間內(nèi)對準(zhǔn)一個目標(biāo)系統(tǒng)發(fā)送密集的大Ping包，將使這類目標(biāo)系統(tǒng)出現(xiàn)擁塞這就是Ping to Death的攻擊，也稱為Ping風(fēng)暴攻擊方式。9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞Ping風(fēng)暴攻擊的先決條件目標(biāo)系統(tǒng)版本較老（新的版本大多已經(jīng)對此漏洞采取了一定的補(bǔ)救措施）己方出入口帶寬對方出入口帶寬（否則，被淹死的首先是你自己）9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞用偽裝的IP進(jìn)行ping攻擊A仿冒B對C實(shí)行ping 風(fēng)暴攻

48、擊，B把EchoReply都發(fā)送給C，結(jié)果是B和C都遭受了攻擊，而A則不露痕跡（相對而言）這里利用了ICMP協(xié)議的無連接特性進(jìn)一步，如果ping的是一個廣播地址，將會收到N多EchoReply（對微軟的不靈，對UNIX很靈）借力打力，四兩撥千斤9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞Ping風(fēng)暴攻擊的防范更新系統(tǒng)，擴(kuò)大帶寬安裝IDS發(fā)現(xiàn)可疑IP立即封鎖各個ISP協(xié)查聯(lián)防萬不得已時，關(guān)閉ICMP9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞從攻擊角度的評價方法比較原始，對于有組織的防范基本無效用偽裝IP方法進(jìn)行攻擊，能夠借用網(wǎng)絡(luò)協(xié)議和網(wǎng)絡(luò)拓?fù)涞奶攸c(diǎn)，放大攻擊效果，思路可取要

49、想進(jìn)一步放大攻擊效果，必須采用分布式攻擊9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞同步風(fēng)暴攻擊英文Syn flood，是利用TCP三次握手中的漏洞造成主機(jī)擁塞三次握手中，發(fā)起連接的一方有兩個動作（SYN和ACK）。如果只發(fā)前一個，不發(fā)后一個，會是什么效果呢？讓我們看看握手中發(fā)生了什么9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞握手內(nèi)幕SYN為建立連接準(zhǔn)備資源SYN/ACK為建立連接準(zhǔn)備資源ACK9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞握手中的謊言SYN開銷SYN/ACKSYNSYNSYNSYNSYNSYNSYNSYN開銷SYN/ACKSYN/ACKSYN/A

50、CKSYN/ACKSYN/ACKSYN/ACKSYN/ACKSYN/ACKSYN/ACKSYN/ACK開銷開銷開銷9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞同步風(fēng)暴攻擊為什么能夠得手目標(biāo)系統(tǒng)有漏洞具體地說，握手機(jī)制的實(shí)現(xiàn)，順序有問題申請開銷過早如果先花費(fèi)少量開銷維持握手狀態(tài)，等到對方的ACK來了之后再申請真正的開銷，情況就會好得多9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞應(yīng)對目標(biāo)系統(tǒng)更新版本，握手機(jī)制的實(shí)現(xiàn)采用新順序，推遲申請開銷的時機(jī)安裝IDS發(fā)現(xiàn)可疑IP立即封鎖各個ISP聯(lián)防協(xié)查9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞從攻擊角度的評價漏洞處于比較要害的

51、部位（不能像應(yīng)對ping風(fēng)暴攻擊時關(guān)閉ICMP那樣關(guān)閉TCP握手機(jī)制，否則無法開展正常服務(wù)）以小開銷（攻擊方無需申請建立連接的開銷）拼大開銷（目標(biāo)系統(tǒng)在未確定對方“有誠意”真正建立連接之前就匆忙申請了開銷），具有一定的殺傷力防范相對容易9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞IP碎片攻擊IP碎片攻擊是一種利用IP報文分片和重組機(jī)制中存在的漏洞造成目標(biāo)系統(tǒng)資源耗盡或崩潰的一種拒絕服務(wù)攻擊它不僅可以攻擊聯(lián)網(wǎng)主機(jī)，也可以攻擊防火墻、IDS（入侵監(jiān)測系統(tǒng)）等網(wǎng)絡(luò)設(shè)備IP碎片攻擊還可以用來逃避IDS檢查，因?yàn)樵S多網(wǎng)絡(luò)入侵檢測系統(tǒng)的機(jī)理是單IP包檢測，沒有處理分片。9/6/20221.5 網(wǎng)

52、絡(luò)攻擊與防范1.5.1 擁塞復(fù)習(xí)：IP包結(jié)構(gòu)版本號IP分組頭長服務(wù)類型總長度標(biāo)識符標(biāo)志報片偏移生存時間協(xié)議分組頭校驗(yàn)和源地址目標(biāo)地址任選項填充015319/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞IP分組結(jié)構(gòu)（1-1） 名稱英文名稱位寬功能版本號VER4一般用4分組頭長IHL45-15，一般是5服務(wù)類型TOS8可靠性等總長度TL16Head+Data標(biāo)識符ID16見詳解（2）標(biāo)志3見詳解（2）報片偏移FO13見詳解（2）生存時間TTL8過一路由減一協(xié)議PROT8TCP,ICMP9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞IP分組結(jié)構(gòu)（1-2）名稱英文名稱位寬功能分組頭校驗(yàn)和

53、HCSUM16計算校驗(yàn)和源地址SOURCE32發(fā)送方IP目標(biāo)地址DEST32目的IP9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞IP分組結(jié)構(gòu)（2）標(biāo)識符標(biāo)志報片偏移MF（More Fragment）位0:最后的報片1:不是最后的報片沒有定義，但必須是0DF(不可分片）位0:可分片1:不可分片9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞IP分片與重組IP數(shù)據(jù)報在傳輸時，其間可能通過一些子網(wǎng)，這些子網(wǎng)允許的MTU（最大傳輸單元長度）可能小于該數(shù)據(jù)報的長度。為了處理這種情況，IP為以數(shù)據(jù)報方式傳送的IP分組提供了分片和重組的功能。這也是IP層的主要功能之一。 9/6/20221.

54、5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞IP分片與重組當(dāng)網(wǎng)關(guān)準(zhǔn)備將IP數(shù)據(jù)報發(fā)送到網(wǎng)絡(luò)上，而該網(wǎng)絡(luò)又無法將整個數(shù)據(jù)報一次發(fā)送時，網(wǎng)絡(luò)必須將該數(shù)據(jù)報分成小塊，使其長度能滿足這一網(wǎng)絡(luò)對數(shù)據(jù)分組的限制。IP報片可以獨(dú)立走各自的路由，分片的數(shù)據(jù)報直到到達(dá)目的主機(jī)才能匯集到一起，甚至不一定以原來的次序到達(dá)。因此，所有進(jìn)行接收的主機(jī)都要求支持重組能力。9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞IP分片與重組由于報頭中bit的分配十分緊張，報片偏移字段FO只分配了13個bit，與IP包的最大字節(jié)容量65536相差8倍因此，實(shí)際的偏移量是FO的8倍，亦即報片的第一個字節(jié)在原IP包中的位置都是從8的整數(shù)倍

55、9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞IP碎片攻擊的原理所有攻擊，都是在報片偏移上做文章Jolt2：在報片重組時造成溢出，一些未打補(bǔ)丁的Windows系統(tǒng)（如NT,2000）會造成藍(lán)屏、死機(jī)Teardrop：在報片重組時造成重疊，一些老的Linux版本在遇到重疊時會導(dǎo)致系統(tǒng)崩潰9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞Jolt2攻擊原理：右界溢出偏移量8190*8=65520包長29右界65520+29=6554965535允許最大右界：655359/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞Jolt2攻擊要點(diǎn)循環(huán)發(fā)送ICMP/UDP包目標(biāo)主機(jī)CPU利用率立

56、刻上升到100%，鼠標(biāo)不動理論上可偽裝IP地址，實(shí)際上尚未包含此功能9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞防范升級系統(tǒng)安裝相應(yīng)補(bǔ)丁安裝IDS9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞從攻擊角度的評價攻擊是精心構(gòu)造的，所利用的漏洞較普遍，殺傷力較強(qiáng)攻擊代價小，容易偽裝只從外部攻擊，無法進(jìn)入目標(biāo)系統(tǒng)內(nèi)部做更多的工作9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞分布式拒絕服務(wù)攻擊英文Distributed Denial of Service，簡稱DDoS顧名思義，是多個攻擊源同時攻擊，造成目標(biāo)系統(tǒng)擁塞每個攻擊源的攻擊手法可以相同，也可以不同攻擊源受控于同一攻擊者9

57、/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞攻擊者主攻節(jié)點(diǎn)主攻節(jié)點(diǎn)主攻節(jié)點(diǎn)僵尸僵尸僵尸僵尸僵尸僵尸僵尸僵尸僵尸目標(biāo)藍(lán)箭頭：控制流紅箭頭：攻擊流9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞DDoS的步驟部署主攻節(jié)點(diǎn)控制僵尸，植入攻擊程序向主攻節(jié)點(diǎn)發(fā)送攻擊啟動命令（很可能是非常隱蔽的，比如進(jìn)行了加密）主攻節(jié)點(diǎn)向僵尸發(fā)送攻擊啟動命令各僵尸在同一時間對準(zhǔn)同一目標(biāo)發(fā)起DoS攻擊（比如ping風(fēng)暴、同步風(fēng)暴、垃圾Web請求等），而且僵尸發(fā)出的攻擊包可能偽造假的IP源地址9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞危害網(wǎng)絡(luò)擁塞、系統(tǒng)崩潰、正常的服務(wù)難以開展服務(wù)停頓導(dǎo)致的間接損失巨

58、大，尤其是門戶網(wǎng)站和電子商務(wù)網(wǎng)站享受服務(wù)的普通網(wǎng)民的損失，總的算起來也非常巨大如果用于門戶網(wǎng)站和電子商務(wù)網(wǎng)站之間的惡性競爭，將極大地破壞網(wǎng)絡(luò)經(jīng)濟(jì)的秩序，導(dǎo)致網(wǎng)絡(luò)經(jīng)濟(jì)的全面崩潰9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞防范和應(yīng)對各ISP協(xié)查、聯(lián)防路由器/防火墻（尤其是部署在骨干網(wǎng)上的）進(jìn)行流量threasholding（閾上分流），相當(dāng)于到了警戒水位就泄洪9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞從攻擊角度的評價攻擊者處于隱蔽位置，攻擊包可能偽造假的IP地址，追究兇手困難；簡單反擊會傷及無辜每個具體的攻擊包都貌似合法，非法意圖隱藏在群體行為之中，防火墻難以阻攔，IDS難以

59、發(fā)現(xiàn)用分布式結(jié)構(gòu)彌補(bǔ)了小帶寬拼大帶寬的天然劣勢，將局部劣勢轉(zhuǎn)化成全局優(yōu)勢，在掌握了足夠的僵尸的情況下，殺傷力可能非常大只能從外部擁塞網(wǎng)絡(luò)、癱瘓系統(tǒng)，不能進(jìn)入目標(biāo)系統(tǒng)內(nèi)部進(jìn)而控制目標(biāo)系統(tǒng)掌握足夠數(shù)目的僵尸是一件困難的事情9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.1 擁塞對擁塞攻擊的總體評價攻擊深度不夠，只能癱瘓系統(tǒng)，不能控制系統(tǒng)局部合法，整體非法小帶寬具有天然劣勢，可通過分布式等手段，放大殺傷力，化局部劣勢為全局優(yōu)勢商店的比喻：糾集大批人群占據(jù)柜臺，光問價不買東西9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.2 訪問權(quán)限獲取獲取口令的社會工程學(xué)方法口令竊聽攻擊 弱口令猜測攻擊口令文件破譯攻擊

60、 緩沖區(qū)溢出攻擊9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.2 訪問權(quán)限獲取總論訪問權(quán)限的獲取，是對目標(biāo)系統(tǒng)進(jìn)行控制的必由之路訪問權(quán)限的獲取有如下途徑：獲取口令通過“社會工程”獲取口令通過竊聽獲取口令通過猜測獲取口令通過計算（破譯）獲取口令利用隱通道利用緩沖區(qū)溢出制造隱通道利用后門制造隱通道（不講）9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.2 訪問權(quán)限獲取獲取口令的社會工程學(xué)方法窺探看別人擊鍵隱蔽錄像騙取假冒可信任的人的名義利用管理漏洞和目標(biāo)系統(tǒng)管理者的疏忽紙條9/6/20221.5 網(wǎng)絡(luò)攻擊與防范1.5.2 訪問權(quán)限獲取防范好的文化（不是萬能的）好的習(xí)慣（能起一定的作用）好的管理（最關(guān)