信息安全基礎(chǔ)知識

信息平安根底知識目錄信息平安概述什么是信息？ISO17799中的描述“Informationisanassetwhich,likeotherimportantbusinessassets,hasvaluetoanorganizationandconsequentlyneedstobesuitablyprotected.〞“Informationcanexistinmanyforms.Itcanbeprintedorwrittenonpaper,storedelectronically,transmittedbypostorusingelectronicmeans,shownonfilms,orspokeninconversation.強調(diào)信息：是一種資產(chǎn)同其它重要的商業(yè)資產(chǎn)一樣對組織具有價值需要適當(dāng)?shù)谋Ｗo以各種形式存在：紙、電子、影片、交談等信息系統(tǒng)是有目的、和諧地處理信息的主要工具，它把所有形態(tài)〔原始數(shù)據(jù)、已分析的數(shù)據(jù)、知識和專家經(jīng)驗〕和所有形式〔文字、視頻和聲音〕的信息進行收集、組織、存儲、處理和顯示?！?大英百科全書?信息系統(tǒng)的概念信息平安的定義從歷史看信息平安通信保密〔ComSEC〕計算機平安〔CompSEC〕信息平安〔INFOSEC〕信息保障〔IA〕第一階段：通信保密第二階段：計算機平安級別描述D最低的級別。如MS-DOS，沒有安全性可言C1靈活的安全保護。系統(tǒng)不需要區(qū)分用戶。可提供基本的訪問控制。如目前常用的各種通用操作系統(tǒng)。C2靈活的訪問安全性。系統(tǒng)不僅要識別用戶還要考慮唯一性。系統(tǒng)級的保護主要存在于資源、數(shù)據(jù)、文件和操作上。如WindowsNT3.5/4.0、DigitalUNIX、OpenVMS。B1標(biāo)記安全保護。系統(tǒng)提供更多的保護措施，包括各種的安全級別。如AT&T的SYSTEMV、UNIXwithMLS，以及IBMMVS/ESA。B2結(jié)構(gòu)化保護。支持硬件保護。內(nèi)容區(qū)被虛擬分割并嚴(yán)格保護。如TrustedXENIX和HoneywellMULTICS。B3安全域。支持?jǐn)?shù)據(jù)隱藏和分層，可以阻止層之間的交互。如HoneywellXTS-200。A校驗級設(shè)計。需要嚴(yán)格的準(zhǔn)確證明系統(tǒng)不會被傷害，而且提供所有低級別的因素。如HoneywellSCOMP。操作系統(tǒng)平安級別第三階段：信息平安信息平安的主要內(nèi)容平安保障內(nèi)容平安運行平安數(shù)據(jù)平安設(shè)備平安信息系統(tǒng)平安管理信息平安的層次框架體系層次層面目標(biāo)安全屬性威脅保護手段系統(tǒng)安全設(shè)備安全對網(wǎng)絡(luò)與信息系統(tǒng)的硬件設(shè)施的保護。機密性、可用性、完整性、可靠性電磁泄露、通信干擾、信號注入、人為破壞、自然災(zāi)害、設(shè)備故障加擾處理、電磁屏蔽、數(shù)據(jù)校驗、容錯、冗余、系統(tǒng)備份運行安全對網(wǎng)絡(luò)與信息系統(tǒng)的運行過程和運行狀態(tài)的保護。真實性、可控性、可用性、可審查性、可靠性非法使用資源、系統(tǒng)安全漏洞利用、網(wǎng)絡(luò)阻塞、網(wǎng)絡(luò)病毒、越權(quán)訪問、非法控制系統(tǒng)、黑客攻擊、拒絕服務(wù)攻擊、軟件質(zhì)量差、系統(tǒng)崩潰防火墻與物理隔離、風(fēng)險分析與漏洞掃描、應(yīng)急響應(yīng)、病毒防治、訪問控制、安全審計、入侵檢測、源路由過濾、降級使用、數(shù)據(jù)備份信息安全數(shù)據(jù)安全在數(shù)據(jù)收集、處理、存儲、檢索、傳輸、交換、顯示、擴散等過程中保障信息依據(jù)授權(quán)使用，不被非法冒充、竊取、篡改、抵賴。機密性、真實性、完整性、不可否認性竊取、偽造、密鑰截獲、篡改、冒充、抵賴、攻擊密鑰加密、認證、非對稱密鑰、完整性驗證、鑒別、數(shù)字簽名、秘密共享內(nèi)容安全對信息在網(wǎng)絡(luò)內(nèi)流動中的選擇性阻斷，以保證信息流動的可控能力。機密性、真實性、可控性、可用性、完整性、可靠性可對系統(tǒng)造成威脅的腳本病毒；因無限制擴散而導(dǎo)致消耗用戶資源的垃圾類郵件；導(dǎo)致社會不穩(wěn)定的有害信息，等等密文解析或形態(tài)解析、流動信息的裁剪、信息的阻斷、信息的替換、信息的過濾、系統(tǒng)的控制第四階段：信息保障保護網(wǎng)絡(luò)和根底設(shè)施主干網(wǎng)絡(luò)的可用性無線網(wǎng)絡(luò)平安框架系統(tǒng)互連和虛擬私有網(wǎng)〔VPN〕保護網(wǎng)絡(luò)邊界登錄保護網(wǎng)絡(luò)遠程訪問多級平安保護計算環(huán)境終端用戶環(huán)境系統(tǒng)應(yīng)用程序的平安支撐性根底設(shè)施密鑰管理根底設(shè)施/公共密鑰根底設(shè)施〔KMI/PKI〕檢測和響應(yīng)本地計算環(huán)境本地計算環(huán)境本地計算環(huán)境viaTSPviaTSP

ViaTSPViaTSP有密級的網(wǎng)絡(luò)專用網(wǎng)電信供應(yīng)商公共網(wǎng)絡(luò)INTERNET公共電話網(wǎng)遠程訪問保護（加密器）邊界保護（防火墻等）邊界區(qū)域支持性基礎(chǔ)設(shè)施1、檢測與響應(yīng)2、密鑰管理基礎(chǔ)設(shè)施、公鑰基礎(chǔ)設(shè)施通過電信供應(yīng)商深層防御戰(zhàn)略的核心因素人操作可靠信息平安屬性信息平安屬性其他屬性真實性-能對通訊實體身份的真實性進行鑒別；可控性-保證信息行為和過程均在信息主體的掌握和控制之下依照信息主體的意愿進行；可靠性-保證所傳輸?shù)男畔⒉粚儆跓o用信息；不可否認性-建立有效的責(zé)任機制，防止實體否認其行為；可審查性-對出現(xiàn)的網(wǎng)絡(luò)平安問題提供調(diào)查的依據(jù)和手段并可追蹤到唯一的行為實體；……實施平安保障的原那么信息平安的目的打不跨看不懂進不來拿不走改不了跑不了可審查信息平安的根底：風(fēng)險管理風(fēng)險管理：基于可接受的本錢，對影響信息系統(tǒng)的平安風(fēng)險進行識別、控制、減小或消除的過程。信息平安對策必須以風(fēng)險管理為根底：平安不必是完美無缺、面面俱到的。但風(fēng)險必須是能夠管理的。最適宜的信息平安策略就是最優(yōu)的風(fēng)險管理對策，這是一個在有限資源前提下的最優(yōu)選擇問題。風(fēng)險管理體系ISO17799：信息平安管理實施細那么AS/NZS4360AS/NZS4360：風(fēng)險管理標(biāo)準(zhǔn)GAO/AIMD98-68：信息平安管理實施指南信息平安風(fēng)險信息平安風(fēng)險的定義風(fēng)險遭受損害或損失的可能性。平安風(fēng)險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失或損害的可能性?！睮SO/IECTR13335-1:1996〕信息平安風(fēng)險是指信息資產(chǎn)的保密性、完整性和可用性等平安屬性遭到破壞的可能性。信息平安風(fēng)險只考慮那些對組織有負面影響的事件。風(fēng)險的四要素資產(chǎn)及其價值威脅脆弱性現(xiàn)有的和方案的控制措施價值ISO13335以風(fēng)險為核心的平安模型資產(chǎn)資產(chǎn)是任何對組織有價值的東西。信息也是一種資產(chǎn)，對組織具有價值。資產(chǎn)的分類電子信息資產(chǎn)紙介資產(chǎn)軟件資產(chǎn)物理資產(chǎn)人員效勞性資產(chǎn)公司形象和名譽主要的信息資產(chǎn)威脅脆弱性平安威脅物理層面：機房、設(shè)備間等的設(shè)備防盜，防毀機房、設(shè)備間的環(huán)境保障鏈路老化，人為破壞，被動物咬斷等網(wǎng)絡(luò)設(shè)備自身故障停電導(dǎo)致網(wǎng)絡(luò)設(shè)備無法工作電磁干擾和泄漏其他根本威脅：一〕非授權(quán)訪問：沒有經(jīng)過同意，就使用網(wǎng)絡(luò)或計算機資源。如有意避開系統(tǒng)訪問控制機制，對網(wǎng)絡(luò)設(shè)備及資源進行非正常使用。2.擅自擴大權(quán)限，越權(quán)訪問信息。如假冒、身份攻擊、非法用戶進入網(wǎng)絡(luò)系統(tǒng)進行違法操作、合法用戶以未授權(quán)方式進行操作等。平安威脅根本威脅：二〕信息泄露：敏感數(shù)據(jù)在有意或無意中被泄漏出去。如信息在傳輸中喪失或泄漏〔電磁泄漏或搭線竊聽；對信息流向、流量、通信頻度和長度等參數(shù)的分析，推出有用信息；猜測用戶口令、帳號等重要信息?！?.信息在存儲介質(zhì)中喪失或泄漏。如通過建立隱蔽隧道等竊取敏感信息等。平安威脅根本威脅：三〕破壞數(shù)據(jù)完整性：以非法手段竊得對數(shù)據(jù)的使用權(quán)，刪除、修改、插入或重發(fā)某些重要信息，以取得有益于攻擊者的響應(yīng)。惡意添加，修改數(shù)據(jù)，以干擾用戶的正常使用。平安威脅根本威脅：四〕拒絕效勞攻擊不斷對網(wǎng)絡(luò)效勞系統(tǒng)進行干擾，改變其正常的作業(yè)流程。執(zhí)行無關(guān)程序使系統(tǒng)響應(yīng)減慢甚至癱瘓，影響正常用戶的使用，甚至使合法用戶被排斥而不能進入計算機網(wǎng)絡(luò)系統(tǒng)或不能得到相應(yīng)的效勞。平安威脅平安威脅平安威脅潛在的威脅如果在某個給定環(huán)境對任何一種根本威脅或者主要的可實現(xiàn)威脅進行分析，我們就能夠發(fā)現(xiàn)某些特定的潛在威脅，而任意一種潛在威脅都可能導(dǎo)致一些更根本的威脅的發(fā)生。舉例★竊聽：信息從被監(jiān)視的通信過程中泄露出去★業(yè)務(wù)流分析：通過對通信業(yè)務(wù)流模式〔有，無，數(shù)量，方向，頻率〕的分析來將信息泄露給非授權(quán)個體的一種情報信息竊取方法；★人員疏忽：作為主體的人因為疏忽大意而導(dǎo)致的信息泄露事件；★媒體清理：通過對數(shù)據(jù)所依賴的媒體的分析而獲得信息。黑客攻擊什么是黑客攻擊的一般過程第一步：信息探測—尋找目標(biāo)，獲取信息第二步：進入系統(tǒng)—獲得初始的訪問權(quán)限第三步：權(quán)限提升—獲得更/最高訪問權(quán)限第四步：深入攻擊—攻擊其他系統(tǒng)/擦除痕跡/留下后門第五步：拒絕效勞—入侵未成功那么造成拒絕效勞信息探測一般是入侵過程的開始，任何有頭腦的攻擊者在嘗試獲取訪問目標(biāo)系統(tǒng)的特權(quán)之前，都要預(yù)先進行工作量可能不少的研究，如對網(wǎng)絡(luò)內(nèi)部或外部進行有意或無意的可攻擊目標(biāo)的搜尋〔踩點、掃描〕。信息探測的目的確定目標(biāo)的IP或域名確定目標(biāo)操作系統(tǒng)類型和版本確定目標(biāo)系統(tǒng)提供的效勞——端口信息攻擊的一般過程1：信息探測信息探測的手法利用公開信息網(wǎng)絡(luò)拓撲發(fā)現(xiàn)〔如ping、traceroute、firewalk〕端口掃描〔如nmap〕遠程操作系統(tǒng)識別〔如bannergrab、nmapOS指紋鑒別〕SNMP掃描〔如snmputil〕漏洞掃描〔如Nessus、商業(yè)掃描器〕手工漏洞挖掘〔如SQL注入〕社會工程攻擊的一般過程1：信息探測tracerouteTraceroute使我們知道數(shù)據(jù)包由出發(fā)點〔source〕到達目的地(destination)所走的路徑。Traceroute通過發(fā)送小的數(shù)據(jù)包到目的設(shè)備直到其返回，來測量其需要多長時間。一條路徑上的每個設(shè)備Traceroute要測3次。輸出結(jié)果中包括每次測試的時間(ms)和設(shè)備的名稱〔如有的話〕及其IP地址。在UNIX系統(tǒng)下為

Traceroute，在Windows系統(tǒng)下為Tracerert。C:\>tracertTracingrouteto[5]

overamaximumof30hops:

1161ms150ms160ms7

2151ms160ms160ms5

3151ms160ms150ms70

4151ms150ms150ms0

5151ms150ms150ms

6151ms150ms150ms

7761ms761ms752msborder7-serial3-0-0.S[9]

8751ms751ms*core2-fddi-0.S[9]

9762ms771ms751msborder8-fddi-0.S[7]

10721ms*741ms[]

11*761ms751mspos4-2-155M.cr2.SNV.[37]

12771ms*771mspos1-0-2488M.hr8.SNV.[1]

13731ms741ms751msbas1r-ge3-0-hr8.snv.yahoo[2]

14781ms771ms781mswww10.yahoo[5]

Tracecomplete.

NMapNMap〔NetworkMapper〕是Linux下的網(wǎng)絡(luò)掃描和嗅探工具包。其根本功能有三個，一是探測一組主機是否在線；其次是掃描主機端口，嗅探所提供的網(wǎng)絡(luò)效勞；還可以推斷主機所用的操作系統(tǒng)。此外還可以將所有探測結(jié)果記錄到各種格式的日志中，供進一步分析操作。Nmap可用于掃描含有2個節(jié)點的LAN，直至500個節(jié)點以上的網(wǎng)絡(luò)。Nmap還允許用戶定制掃描技巧。通常，一個簡單的使用ICMP協(xié)議的ping操作可以滿足一般需求。

例如：適用于內(nèi)外網(wǎng)的探測，以內(nèi)網(wǎng)操作為例如(外網(wǎng)參數(shù)同)

簡單端口掃描：nmap-vv-sT(sS、sF、sU、sA〔-D偽造的地址)

OS檢測：nmap-vv-sS-O

RPC鑒別：nmap-sS-sRLinux上的portmap就是一個簡單的RPC效勞，監(jiān)聽端口為111〔默認〕

Ping掃射：nmap-sPsnmp掃描SNMP〔SimpleNetworkManagementProtocol，簡單網(wǎng)絡(luò)管理協(xié)議〕是用于管理IP網(wǎng)絡(luò)上的結(jié)點的一種協(xié)議。幾乎所有的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)操作系統(tǒng)都支持SNMP。communitystring〔社團字串〕是基于SNMP協(xié)議信息通信時使用的一種“查詢密碼〞，當(dāng)使用特殊的客戶端應(yīng)用程序，通過communitystring的驗證，將獲得對應(yīng)的權(quán)限〔只讀或讀寫)對SNMP中管理信息庫〔MIB〕進行訪問。而管理信息庫〔MIB〕中那么保存了系統(tǒng)所有的重要信息。很多網(wǎng)絡(luò)設(shè)備廠商以及操作系統(tǒng)廠商，在初始狀態(tài)下，都使用統(tǒng)一的communitystring“public〞。Snmputil——命令行方式的SNMP掃描工具snmputilwalk對方ippublic...2.1.2列出系統(tǒng)進程snmputilwalk對方ippublic...列系統(tǒng)用戶列表snmputilget對方ippublic...4.1.0列出域名snmputilwalk對方ippublic...3.1.2列出安裝的軟件snmputilwalk對方ippublic..2.1.1列出系統(tǒng)信息漏洞掃描什么是漏洞掃描漏洞掃描是一種自動檢測遠程或本地主機平安性弱點的操作。通過使用掃描器你可以不留痕跡的發(fā)現(xiàn)遠程效勞器的各種TCP/UDP端口的分配、所提供的效勞及其軟件版本，能夠讓我們間接的或直觀的了解到遠程主機所存在的平安問題。Nessus是一款可以運行在Linux、BSD、Solaris以及其他一些系統(tǒng)上的遠程平安掃描軟件。它是多線程、基于插入式的軟件，擁有很好的圖形操作界面，能夠完成超過1200項的遠程平安檢查，具有強大的報告輸出能力，可以產(chǎn)生HTML、XML、LaTeX和ASCII文本等格式的平安報告，并且會為每一個發(fā)現(xiàn)的平安問題提出解決建議。攻擊的一般過程2：進入系統(tǒng)攻擊的一般過程3：權(quán)限提升攻擊者成功從原先沒有權(quán)限的系統(tǒng)獲取了一個訪問權(quán)限從而進入系統(tǒng)，但這個權(quán)限可能是受限制的，于是攻擊者就會采取各種措施，使得當(dāng)前的權(quán)限得到提升，最理想的就是獲得最高權(quán)限〔如Admin或者Root權(quán)限〕，這樣攻擊者才能進行深入攻擊。這個過程就是權(quán)限提升。攻擊者常用的手段主要是通過緩沖區(qū)溢出的攻擊方式。一般步驟：1.檢查目標(biāo)主機上的SUID和GUID程序是否存在漏洞，如果是，利用該漏洞提升權(quán)限(unix)。2.檢查本地效勞是否存在漏洞，如果是，利用該漏洞提升權(quán)限。3.檢查本地效勞是否存在脆弱帳號或密碼，如果是，利用該帳號或密碼提升權(quán)限。4.檢查重要文件的權(quán)限是否設(shè)置錯誤，如果是，利用該漏洞提升權(quán)限。5.檢查配置目錄中是否存在敏感信息可以利用。6.檢查用戶目錄中是否存在敏感信息可以利用。7.檢查其它目錄是否存在可以利用的敏感信息。8.重復(fù)以上步驟，直到獲得root權(quán)限或放棄。攻擊的一般過程4：深入攻擊攻擊的一般過程5：拒絕效勞如果目標(biāo)主機的防范措施比較好，前面的攻擊過程可能不起效果。作為局部惡意的攻擊者還會采用拒絕效勞的攻擊方式，模擬正常的業(yè)務(wù)請求來阻塞目標(biāo)主機對外提供效勞的網(wǎng)絡(luò)帶寬或消耗目標(biāo)主機的系統(tǒng)資源，使正常的效勞變得非常困難，嚴(yán)重的甚至導(dǎo)致目標(biāo)主機宕機，從而到達攻擊的效果。目前，拒絕效勞〔DoS〕成為非常流行的攻擊手段，甚至結(jié)合木馬程序開展成為分布式拒絕效勞攻擊〔DDoS〕，其攻擊威力更大。常見拒絕效勞攻擊類型SYN溢出Smurf和FragglePingofdeathLandattack什么是DoS/DDoS攻擊？攻擊者利用因特網(wǎng)上成百上千的“Zombie〞(僵尸)-即被利用主機，對攻擊目標(biāo)發(fā)出海量數(shù)據(jù)包造成動威力巨大的拒絕效勞攻擊。DenialofService(DoS)拒絕效勞攻擊DistributedDenialofService(DDoS)分布式拒絕效勞攻擊攻擊者利用系統(tǒng)自身漏洞或者協(xié)議漏洞，耗盡可用資源乃至系統(tǒng)崩潰，而無法對合法用戶作出響應(yīng)。Trinoo、TFN、TFN2K和Stacheldraht。常用攻擊工具DDoS攻擊過程主控主機（中間人handler）合法用戶掃描程序黑客Internet非平安主機被控主機〔代理agent)應(yīng)用服務(wù)器服務(wù)請求服務(wù)響應(yīng)洪流(ICMPFlood/SYNFlood/UDPFlood)協(xié)議層平安OSI參考模型和TCP/IP協(xié)議簇網(wǎng)絡(luò)設(shè)施操作系統(tǒng)應(yīng)用效勞TCP/IP和因特網(wǎng)平安識別網(wǎng)絡(luò)通訊中存在的風(fēng)險網(wǎng)絡(luò)監(jiān)視數(shù)據(jù)修改身份欺騙中間人劫持竊取密碼識別與物理網(wǎng)絡(luò)相關(guān)的風(fēng)險Hub網(wǎng)段1網(wǎng)段1網(wǎng)段1網(wǎng)段2Sniffer所有連接都可見僅網(wǎng)段2通訊可見Switch截取、捕獲數(shù)據(jù)網(wǎng)段1網(wǎng)段2僅允許網(wǎng)段3訪問Telnet網(wǎng)段3RouterRouterTelnetServer非法用戶遠程登錄物理層平安問題網(wǎng)絡(luò)層平安問題提供邏輯地址和路由IP,ICMP…InternetProtocol(IP)32-bit,unique,identifyhost頭部(20bytes):信息和控制字段威脅:IPspoofing，Smurfattack網(wǎng)際控制消息協(xié)議(ICMP)在IP層檢查錯誤和其它條件。一般的ICMP信息是非常有用的。威脅:〔TFN,利用ICMP協(xié)議來消耗網(wǎng)絡(luò)帶寬〕〔Winnuke發(fā)送畸形的ICMP數(shù)據(jù)包〕保護:firewall,systempatch傳輸層平安問題控制主機之間信息的傳輸TCP,UDP協(xié)議TCP:面向連接的協(xié)議〔FTP,HTTP,SMTP〕flags:SYN,FIN,ACK,PSH,RST,URGEstablishing/TerminatingaTCPconnectionTCP威脅:SYNfloodUDP:面向無連接的協(xié)議(Audio,video,TFTP)端口(IANA)Web(80),FTP(20,21),DNS(53),SNMP(161,162)…保存端口(Wellknownports):<1024注冊端口:1024~49151私有端口:49152~65535TCP/IP三次握手SYN標(biāo)志，目的端口號，初始序列號(ISN)SYN標(biāo)志，ISN，確認標(biāo)志(ACK)ACKSYNFlooding攻擊1、攻擊客戶端向被攻擊效勞器發(fā)起帶有假冒IP地址的SYN請求.2、效勞器試圖發(fā)送SYN/ACK應(yīng)答到那個不可達的IP地址.3、客戶端不會收到ACK,效勞器一直發(fā)下去應(yīng)用層平安問題〔1〕最難以實現(xiàn)平安的層次簡單的郵件傳輸協(xié)議(SMTP)威脅:mailfloodsendingvirusesandTrojanUsernameleak(vrfy,expn,rcptto:)防護:病毒網(wǎng)關(guān)Anti-virusesgatewayUsingsecureSMTPsoftwareeducatingemailusers文件傳輸協(xié)議(FTP)威脅:利用上載填充硬盤空間，使硬盤空間溢出上傳攻擊工具到效勞器用戶名和密碼是明文的防護:僅允許匿名連接將數(shù)據(jù)置于單獨分區(qū)超文本傳輸協(xié)議(HTTP)威脅:惡意的activeX或Javaapplet腳本Extendedapplications(Java,CGI,ASP..)防護：教育用戶不要下載未被檢驗過的應(yīng)用程序。應(yīng)用層平安問題〔2〕應(yīng)用層平安問題〔3〕Telnet〔rsh、rlogin〕用于遠程終端訪問并可用來管理UNIX機器。WindowsNT默認無Telnet效勞，但很容易參加一個第三方的效勞。以明文的方式發(fā)送所有的用戶名和密碼。威脅：有經(jīng)驗的黑客可以劫持一個Telnet會話。保護：盡量不在互聯(lián)網(wǎng)上傳輸Telnet流量用SecureShell(SSH)代替應(yīng)用層平安問題〔4〕平安體系架構(gòu)平安是…..,怎么說?平安的組織保障密碼機物理隔離卡根本平安機制LAN/WAN的平安TEMPEST外網(wǎng)互連平安網(wǎng)絡(luò)管理平安應(yīng)用平安數(shù)據(jù)庫CA認證個人機平安保護平安審計Windows平安UNIX平安操作系統(tǒng)PKI入侵檢測防病毒PMI建立一個有效的平安矩陣特點描述

允許訪問控制通過只允許合法用戶訪問來達到你的目的最大擴展通信的功能同時最小化黑客訪問的可能性黑客已經(jīng)訪問到你的資源時盡可能地減小破壞性容易使用如果一個安全系統(tǒng)很難使用，員工可能會想辦法繞開它合理的花費你不僅要考慮初始的花費還要考慮以后升級所需要的費用，你還要考慮用于管理所要花的費用；需要多少員工，達到什么樣的水平來成功的實施和維護系統(tǒng)。靈活性和伸縮性你的系統(tǒng)要能讓你的公司按其想法做一些商業(yè)上的事情你的系統(tǒng)要隨著公司的增長而加強優(yōu)秀的警報和報告當(dāng)一個安全破壞發(fā)生時，系統(tǒng)要能快速地通知管理員足夠詳細的內(nèi)容平安體系〔一〕：ISO7498-2標(biāo)準(zhǔn)GB/T9387.2?信息處理系統(tǒng)開放系統(tǒng)互連根本參考模型第2局部:平安體系結(jié)構(gòu)?等同于ISO7498-2概述目的：是讓異構(gòu)型計算機系統(tǒng)的互連能到達應(yīng)用進程之間的有效通信。任務(wù):a.提供平安效勞與有關(guān)機制的一般描述b.確定在參考模型內(nèi)部可以提供這些效勞與機制的位置三維結(jié)構(gòu)圖authenticationAccesscontrolDataintegrityDataconfidentialityNon-repudiationencipermentDigitalsignatureDataintegrityDataExchangeAccesscontrolTrafficPaddingRoutecontrolnotarizationApplicationlayerRepresentationlayerSessionlayerTransportlayerNetworklayerLinklayerPhysicallayerSecurityLabelDetectionSecurityAuditTrailSecurityRestorationTrustedfunctionality管理相關(guān)效勞相關(guān)平安效勞鑒別效勞authentication訪問控制效勞Accesscontrol數(shù)據(jù)完整性效勞Dataintegrity抗抵賴性效勞Non-repudiation提供對通信中的對等實體和數(shù)據(jù)來源的鑒別

對等實體鑒別數(shù)據(jù)原發(fā)鑒別這種效勞提供保護以對付OSI可訪問資源的非授權(quán)使用。這種效勞對付主動威脅,可取如下所述的各種形式之一。帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段的連接完整性無連接完整性選擇字段無連接完整性這種效勞可取如下兩種形式,或兩者之一有數(shù)據(jù)原發(fā)證明的抗抵賴有交付證明的抗抵賴效勞相關(guān)：特定的平安機制加密數(shù)字簽名數(shù)據(jù)完整訪問控制鑒別交換確定兩個過程:a.對數(shù)據(jù)單元簽名b.驗證簽過名的數(shù)據(jù)單元。防止對資源的未授權(quán)使用,可以建立在使用以下所舉的一種或多種手段之上:訪問控制信息庫鑒別信息權(quán)力平安標(biāo)記試圖訪問的時間試圖訪問的路由訪問持續(xù)期。數(shù)據(jù)完整性有兩個方面單個數(shù)據(jù)單元或字段的完整性數(shù)據(jù)單元流或字段流的完整性。

通信業(yè)務(wù)流填充路由選擇控制公證在路由選擇過程中應(yīng)用規(guī)那么,以便具體地選取或回避某些網(wǎng)絡(luò)、鏈路或中繼。由可信賴的第三方對數(shù)據(jù)進行登記,以便保證數(shù)據(jù)的特征如內(nèi)容,原發(fā),時間,交付等的準(zhǔn)確性不致改變。OSI效勞和平安機制間關(guān)系服務(wù)機制加密數(shù)字簽字訪問控制數(shù)據(jù)完整性鑒別交換通信業(yè)務(wù)填充路由控制公證對等實體鑒別數(shù)據(jù)原發(fā)鑒別訪問控制服務(wù)連接機密性無連接機密性選擇字段機密性通信業(yè)務(wù)流機密性帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無連接完整性選擇字段無連接完整性抗抵賴，帶數(shù)據(jù)原發(fā)證據(jù)抗抵賴，帶交付證據(jù)平安效勞同ISO協(xié)議層關(guān)系安全服務(wù)協(xié)議層1234567對等實體鑒別數(shù)據(jù)原發(fā)鑒別訪問控制服務(wù)連接機密性無連接機密性選擇字段機密性通信業(yè)務(wù)流機密性帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無連接完整性選擇字段無連接完整性抗抵賴，帶數(shù)據(jù)原發(fā)證據(jù)抗抵賴，帶交付證據(jù)平安體系〔二〕：CC評估保證級別EAL2結(jié)構(gòu)測試級EAL1功能測試級EAL3方法測試和校驗級EAL4系統(tǒng)地設(shè)計、測試和評審級EAL5半形式化設(shè)計和測試級EAL6半形式化驗證的設(shè)計和測試級EAL7形式化驗證的設(shè)計和測試級平安體系〔三〕：ISMSISO17799一、安全方針（SecurityPolicy）（1,2）（附注）二、安全組織（SecurityOrganization）(3,10)三、資產(chǎn)分類與控制(AssetclassificationandControl)(2,3)四、人員安全(PersonnelSecurity)(3,10)五、物理與環(huán)境安全(PhysicandEnvironmentSecurity)(3,13)六、通信與運行管理(CommunicationandOperationManagement)(7,24)八、系統(tǒng)開發(fā)與維護(Systemdevelopandmaintenance)(5,18)七、訪問控制(Accesscontrol)(8,31)九、業(yè)務(wù)持續(xù)性管理(Businesscontinuitymanagement)(1,5)十、符合性(Compliance)(3,11)附注：(m，n)－m：執(zhí)行目標(biāo)的數(shù)目n：控制方法的數(shù)目ISO27001PDCA循環(huán)Plan—Do—Check—Act又稱“戴明環(huán)〞,是能使任何一項活動有效進行的工作程序:P方案〔建立ISMS〕根據(jù)組織的整體方針和目標(biāo)，建立平安策略、目標(biāo)以及與管理風(fēng)險和改進信息平安相關(guān)的過程和程序，以獲得結(jié)果。D實施〔實施和運行ISMS〕實施和運行平安策略、控制、過程和程序。C檢查〔監(jiān)視和評審ISMS〕適用時，根據(jù)平安策略、目標(biāo)和慣有經(jīng)驗評估和測量過程業(yè)績，向管理層報告結(jié)果，進行評審。A改進〔保持和改進ISMS〕根據(jù)內(nèi)部ISMS審核和管理評審或其他信息，采取糾正和預(yù)防措施，以實現(xiàn)ISMS的持續(xù)改進建立ISMS的步驟第六步第五步第四步第三步第二步威脅、漏洞和影響機構(gòu)的風(fēng)險管理方法所要求到達的保障程度17799-2〔BS7799〕中的第四章所列的平安控制目標(biāo)和措施不在BS7799的其它平安控制策略文件ISMS的范圍風(fēng)險評估適用性說明書信息資產(chǎn)結(jié)果與結(jié)論選定的控制選項選定的控制目標(biāo)及控制第一步定義策略定義信息平安管理系統(tǒng)〔ISMS〕的范圍進行風(fēng)險評估管理這些風(fēng)險選擇控制目標(biāo)以及要實現(xiàn)的控制撰寫適用性說明書信息平安管理的過程網(wǎng)絡(luò)將相互關(guān)聯(lián)的過程作為一個系統(tǒng)來識別、理解和管理一個過程的輸出構(gòu)成隨后過程輸入的一局部過程之間的相互作用形成相互依賴的過程網(wǎng)絡(luò)PDCA循環(huán)可用于單個過程，也可用于整個過程網(wǎng)絡(luò)制定信息安全方針確定ISMS的范圍安全風(fēng)險評估風(fēng)險管理選擇控制目標(biāo)和控制措施準(zhǔn)備適用聲明實施測量、改進安全需求安全信息平安管理的四個重要原那么領(lǐng)導(dǎo)重視√組織保障√指明方向和目標(biāo)

√權(quán)威√預(yù)算保障，提供所需的資源√監(jiān)督檢查全員參與√信息平安不僅僅是IT部門的事√讓每個員工明白隨時都有信息平安問題√每個員工都應(yīng)具備相應(yīng)的平安意識和能力√讓每個員工都明確自己承擔(dān)的信息平安責(zé)任持續(xù)改進√實現(xiàn)信息平安目標(biāo)的循環(huán)活動√信息平安是動態(tài)的，時間性強√持續(xù)改進才能有最大限度的平安√組織應(yīng)該為員工提供持續(xù)改進的方法和手段文件化√文件的作用：有章可循，有據(jù)可查√文件的類型：手冊、標(biāo)準(zhǔn)、指南、記錄信息平安管理的實踐經(jīng)驗反映組織業(yè)務(wù)目標(biāo)的平安方針、目標(biāo)和活動；符合組織文化的平安實施方法；管理層明顯的支持和承諾；平安需求、風(fēng)險評估和風(fēng)險管理的正確理解；有效地向所有管理人員和員工推行平安措施；向所有的員工和簽約方提供本組織的信息平安方針與標(biāo)準(zhǔn)；提供適當(dāng)?shù)呐嘤?xùn)和教育；一整套用于評估信息平安管理能力和反響建議的測量系統(tǒng)平安體系〔四〕：SSE-CMM平安工程過程保證論據(jù)風(fēng)險信息產(chǎn)品或效勞工程過程Engineering保證過程Assurance風(fēng)險過程Risk風(fēng)險PA04：評估威脅威脅信息threat脆弱性信息vulnerability影響信息impact風(fēng)險信息PA05：評估脆弱性PA02：評估影響PA03：評估平安風(fēng)險風(fēng)險就是有害事件發(fā)生的可能性一個有害事件有三個局部組成：威脅、脆弱性和影響。工程平安工程與其它科目一樣，它是一個包括概念、設(shè)計、實現(xiàn)、測試、部署、運行、維護、退出的完整過程。SSE-CMM強調(diào)平安工程是一個大的工程隊伍中的一局部，需要與其它科目工程師的活動相互協(xié)調(diào)。PA10指定平安要求需求、策略等配置信息解決方案、指導(dǎo)等風(fēng)險信息PA08監(jiān)視平安態(tài)勢PA07協(xié)調(diào)平安PA01管理平安控制PA09提供平安輸入保證證據(jù)證據(jù)保證論據(jù)PA11驗證和證實平安指定平安要求其他多個PAPA06建立保證論據(jù)保證是指平安需要得到滿足的信任程度SSE-CMM的信任程度來自于平安工程過程可重復(fù)性的結(jié)果質(zhì)量。方案執(zhí)行標(biāo)準(zhǔn)化執(zhí)行跟蹤執(zhí)行驗證執(zhí)行定義標(biāo)準(zhǔn)過程協(xié)調(diào)平安實施執(zhí)行已定義的過程建立可測量的質(zhì)量目標(biāo)客觀地管理過程的執(zhí)行1非正式執(zhí)行2方案與跟蹤3充分定義4量化控制5連續(xù)改進執(zhí)行根本實施改進組織能力改進過程的有效性能力級別——

代表平安工程組織的成熟級別公共特性0未實施加密對稱加密DES/3DESRC2、RC4、RC5、RC6IDEABlowfish和TwofishSkipjackMarsRijndael和SerpentAES:Rijndael允許建立128、192、256位密鑰多平臺支持〔智能卡、8/32/64位處理器〕速度快非對稱加密三個普通的組件：RSA數(shù)字簽名算法〔DigitalSignatureAlgorithm〕Diffie-Hellma/Station-to-Station(STS)特點：使用密鑰對，一半用來加密、一半用來解密速度慢HASH加密HASH算法:MD2、MD4、MD5平安哈希算法SHA-1〔160位哈希值、抗攻擊能力強〕用MD5sum命令實現(xiàn)哈希算法：Host#md5sum/usr/sbin/named5we5odble392,eoc97mbmd0003ndodom3xep實用加密程序和協(xié)議IIS、PGPMicrosoftExchangeServer、Windows2000PGP/MIME和S/MIME平安HTTP〔SecureHTTP〕平安套接字層SSL加密強度算法強度 工業(yè)標(biāo)準(zhǔn)的算法密鑰的保密性 注意區(qū)分密鑰和算法〔后者不需保密〕密鑰的長度 2的n次方種破解可能性. 2的40次－1，099，511，627，776加密的優(yōu)勢數(shù)據(jù)保密性確保只有特定的接受者才能查看內(nèi)容數(shù)據(jù)完整性通過Hash算法確保數(shù)據(jù)不被篡改認證數(shù)字簽名提供認證效勞不可否認性數(shù)字簽名允許用戶證明信息交換確實發(fā)生過基于PKI的加密原理〔一〕Bob公鑰A私鑰BAlice公鑰Y私鑰ZBob給Alice的消息消息摘要隨機對稱密鑰M被加密的文本被加密的摘要被加密的對稱密鑰用隨機的對稱密鑰M加密用Bob的私有密鑰B加密用Alice的對稱密鑰Y加密基于PKI的加密原理〔二〕Bob公鑰Y私鑰ZAlice公鑰A私鑰BBob給Alice的消息消息摘要隨機對稱密鑰M被加密的對稱密鑰被加密的文本簽名用Alice的私有密鑰Z解密用隨機對稱密鑰M解密用Bob的公用密鑰A解密消息摘要消息摘要算法認證你知道什么密碼認證 你有什么智能卡/數(shù)字證書

ISO7816

你是誰

物理、遺傳或生物測定學(xué)

你在哪兒

源IP(用于rlogin,rsh)DNS反向查找認證機制

基于口令、用戶名的身份認證基于主體特征的身份認證：如指紋基于IC卡+PIN號碼的認證基于CA證書的身份認證其他的認證方式基于口令、用戶名的身份認證UsernamePasswordPermissionroot~!@@#4RAdmin3458rRWwebmaste234REdd2342RWEServer

Enduser

Username=rootPassword=~!@##$發(fā)起訪問請求基于口令、用戶名的簡單身份鑒別驗證用戶名與口令回應(yīng)訪問請求，允許訪問驗證通過基于主體特征的身份認證UsernameFeaturePermissionRootSdffRAdmin8990RWWeb8668REftp8965RWEServer

Workstation

傳送特征信息發(fā)起訪問請求基于主體特征的身份鑒別驗證用戶特征信息回應(yīng)訪問請求，允許訪問驗證通過指紋識別器讀取特征信息獲得特征信息基于IC卡+PIN號碼的認證UsernameInformationPermissionAdmin1234RRitt8990RWRoot8668REweb8965RWEServer

Workstation

傳送身份驗證信息發(fā)起訪問請求基于IC卡+PIN號碼的身份鑒別驗證用戶身份回應(yīng)訪問請求，允許訪問驗證通過讀卡器輸入PIN號碼插入IC卡讀取用戶信息獲得用戶信息基于CA證書的身份認證基于CA證書的身份鑒別CA中心證書發(fā)布效勞器用戶證書服務(wù)器證書用戶證書傳送證書給對方用于身份認證服務(wù)器證書傳送證書給對方用于身份認證開始數(shù)字證書的簽名驗證開始數(shù)字證書的簽名驗證查找共同可信的CA查詢黑名單驗證都通過查找共同可信的CA查詢黑名單驗證通過開始平安通訊訪問控制訪問控制機制確保每個系統(tǒng)只有它們想要的個體〔按照平安策略〕才能夠訪問。訪問控制發(fā)生在認證過程之后，控制用戶在系統(tǒng)中能訪問些什么，這種機制能用于賦予或拒絕權(quán)限。一個形象的比喻把訪問控制看作是一個公司大樓的門禁系統(tǒng)。大多公司都有一個接待室并且任何人都能進入，這個接待室可以看作是一個開放的WEB效勞器，允許未授權(quán)的用戶訪問其主頁。要進入公司真正的辦公室，人們需要出示身份卡，只有經(jīng)過認證的員工才能進入辦公區(qū)域，根據(jù)不同的身份只能允許他們進入相關(guān)的辦公室。所有的操作系統(tǒng)都支持訪問控制，訪問控制是保護效勞器的根本機制，你必須在效勞端上限制哪些用戶可以訪問效勞和守護進程。訪問控制列表訪問控制列表〔ACL〕信息系統(tǒng)把資源處理成有著某些特征和屬性的對象，資源可以是像打印機或磁盤這樣的設(shè)備，也可以是操作系統(tǒng)，應(yīng)用程序或內(nèi)存，計算機上的文件，等等，與這些資源平安相關(guān)的特性就是訪問控制列表(ACL)。一個ACL是標(biāo)識個人用戶或組的清單，系統(tǒng)維護著一個ACL數(shù)據(jù)庫，每個用戶或組都被分配一個訪問級別，并根據(jù)這個數(shù)據(jù)庫所包含的內(nèi)容定義這些用戶或組能夠執(zhí)行什么。一個通過認證的用戶仍必須通過ACL來取得相應(yīng)的權(quán)限。執(zhí)行控制列表執(zhí)行控制列表(ECL)限制應(yīng)用程序運行時可以操作的資源和行為。用于特殊的應(yīng)用程序，如NetscapeNavigator，微軟的InternetExplorer，IBM的Notes。沒有商業(yè)的操作系統(tǒng)或平臺實施一個完全的ECL策略。UNIX系統(tǒng)包含了一些對于rexec，rlogin和rshell程序的執(zhí)行控制列表版本。這些程序都使用執(zhí)行控制列表來確定在主機A上的哪些用戶可以在不登陸的情況下在B主機上執(zhí)行程序。但是這種形式的執(zhí)行控制列表只能在遠程系統(tǒng)上工作。執(zhí)行控制列表的一個好處就是能對于那些惡意的ActiveX控件程序的破壞起到一定的保護作用。例如，你可以進一步地控制.java小程序。軟件商們已開始開發(fā)能夠執(zhí)行更多任務(wù)的ECL程序，來允許用戶自己決定程序的參數(shù)。審計多數(shù)系統(tǒng)以日志文件的形式記錄下所有的活動，幫助判斷是否發(fā)生了不允許的活動以及是怎樣發(fā)生的。被動審計簡單的記錄一些活動，不作處理；非實時檢測，必須查看這些日志然后根據(jù)其包含的內(nèi)容采取措施。主動審計主動地響應(yīng)非法訪問和入侵結(jié)束一個登陸會話拒絕一些主機的訪問(包括WEB站點，F(xiàn)TP效勞器和e-mail效勞器)跟蹤非法活動的源位置根本要求：內(nèi)部可信任網(wǎng)絡(luò)外部非信任網(wǎng)絡(luò)Internet過濾進出網(wǎng)絡(luò)的非法數(shù)據(jù) 確保一個單位內(nèi)的網(wǎng)絡(luò)與因特網(wǎng)的通信符合該單位的平安方針，為管理人員提供以下問題的答案: –誰在使用網(wǎng)絡(luò)？ –他們在網(wǎng)絡(luò)上做什么？

–他們什么時間使用了網(wǎng)絡(luò)？ –他們上網(wǎng)去了何處？ –誰要上網(wǎng)沒有成功？管理進出網(wǎng)絡(luò)的訪問行為體系結(jié)構(gòu)屏蔽路由器防火墻雙宿主主機防火墻被屏蔽主機防火墻被屏蔽子網(wǎng)防火墻實現(xiàn)技術(shù)包過濾防火墻應(yīng)用代理防火墻電路網(wǎng)關(guān)防火墻作用在網(wǎng)絡(luò)層和傳輸層，根據(jù)分組包頭源地址，目的地址和端口號、協(xié)議類型等標(biāo)志確定是否允許數(shù)據(jù)包通過。只有滿足過濾邏輯的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)目的地的出口端，其余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄。作用在應(yīng)用層，其特點是完全“阻隔”了網(wǎng)絡(luò)通信流，通過對每種應(yīng)用服務(wù)編制專門的代理程序，實現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。又稱應(yīng)用網(wǎng)關(guān)。工作在會話層，可以看成是傳輸層TCP協(xié)議的代理網(wǎng)關(guān)，監(jiān)控內(nèi)外網(wǎng)主機間的TCP握手信息，轉(zhuǎn)發(fā)合法的會話(Session)數(shù)據(jù)包。又稱電路中繼(CircuitRelay)或TCP代理（TCP－Proxy）。使用單個具有包過濾功能的路由器。使用具有兩個網(wǎng)絡(luò)接口分別連接內(nèi)外網(wǎng)的一臺主機，可提供從包過濾到應(yīng)用代理的安全功能。由一個具有包過濾功能的屏蔽路由器和一個運行代理服務(wù)的雙宿主主機組成

。由兩臺屏蔽路由器和一臺運行代理服務(wù)的雙宿主主機構(gòu)成。基于路由器的防火墻基于安全操作系統(tǒng)的防火墻基于通用操作系統(tǒng)的防火墻用戶化的防火墻工具套簡單包過濾PacketFilter優(yōu)點：速度快，性能高對應(yīng)用程序透明實現(xiàn)簡單缺點：平安性比較差伸縮性差維護不直觀從網(wǎng)段到Internet的HTTP訪問？放行/禁止通行！StatefulInspection協(xié)議源地址目的地址SYNACKTCP:3456:8010002000應(yīng)用網(wǎng)關(guān)〔代理〕型Proxy優(yōu)點：平安性非常高提供給用層的平安提供用戶級的控制缺點：性能很差只支持有限的應(yīng)用對用戶不透明平安性依賴于底層OS一般用于代理內(nèi)部網(wǎng)到外部網(wǎng)的訪問想從內(nèi)部網(wǎng)訪問外部的效勞器？我?guī)湍惆l(fā)請求吧。進行訪問規(guī)那么檢查發(fā)起訪問請求合法請求那么允許對外訪問將訪問記錄寫進日志文件合法請求那么允許對外訪問發(fā)起訪問請求

Internet區(qū)域Internet邊界路由器DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點子網(wǎng)內(nèi)部工作子網(wǎng)與外網(wǎng)的訪問控制

Internet區(qū)域Internet邊界路由器進行訪問規(guī)那么檢查發(fā)起訪問請求合法請求那么允許對外訪問將訪問記錄寫進日志文件禁止對外發(fā)起連結(jié)請求發(fā)起訪問請求DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點子網(wǎng)DMZ區(qū)域與外網(wǎng)的訪問控制進行訪問規(guī)那么檢查發(fā)起訪問請求合法請求那么允許對外訪問將訪問記錄寫進日志文件禁止對工作子網(wǎng)發(fā)起連結(jié)請求發(fā)起訪問請求

Internet區(qū)域Internet邊界路由器DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點子網(wǎng)內(nèi)部工作子網(wǎng)與DMZ區(qū)的訪問控制目的解決IP地址空間缺乏問題將現(xiàn)有的私有TCP/IP網(wǎng)絡(luò)連接到公共網(wǎng)絡(luò)時的IP編址問題向外界隱藏內(nèi)部網(wǎng)結(jié)構(gòu)方式靜態(tài)轉(zhuǎn)換1-1：簡單的地址翻譯動態(tài)轉(zhuǎn)換M-N：多個內(nèi)部網(wǎng)地址翻譯到N個外部IP地址池端口映射〔PAT〕M-1：多個內(nèi)部網(wǎng)地址翻譯到1個外部IP地址負載均衡1-M：1個外部IP地址對應(yīng)多個內(nèi)部效勞器身份認證內(nèi)容過濾平安審計STOP!阻止非法進入1.驗明正身2.檢查權(quán)限病毒等惡性程序可利用email夾帶等攻擊形式夾帶闖關(guān)、入侵成功！遠程訪問Internet內(nèi)部網(wǎng)分支機構(gòu)虛擬私有網(wǎng)虛擬私有網(wǎng)虛擬私有網(wǎng)合作伙伴虛擬專用網(wǎng)〔VPN〕OSI七層模型VPN技術(shù)應(yīng)用層S-HTTP/S-MIME表示層會話層SOCKSv5傳輸層SSL/TLS網(wǎng)絡(luò)層GRE/IPSEC/MPLS數(shù)據(jù)鏈路層PPTP/L2F/L2TP物理層信道加密信源加密IPSECVPN撥號效勞器PSTN

Internet區(qū)域Internet邊界路由器內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點子網(wǎng)下屬機構(gòu)DDN/FRX.25專線DMZ區(qū)域WWWMailDNS密文傳輸明文傳輸明文傳輸數(shù)據(jù)完整性保護內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點子網(wǎng)下屬機構(gòu)DDN/FRX.25專線原始數(shù)據(jù)包對原始數(shù)據(jù)包進行Hash加密后的數(shù)據(jù)包摘要Hash摘要對原始數(shù)據(jù)包進行加密加密后的數(shù)據(jù)包加密加密后的數(shù)據(jù)包摘要加密后的數(shù)據(jù)包摘要摘要解密原始數(shù)據(jù)包Hash原始數(shù)據(jù)包與原摘要進行比較，驗證數(shù)據(jù)的完整性數(shù)據(jù)源身份認證內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點子網(wǎng)下屬機構(gòu)DDN/FRX.25專線原始數(shù)據(jù)包對原始數(shù)據(jù)包進行HashHash摘要加密摘要摘要取出DSS原始數(shù)據(jù)包Hash原始數(shù)據(jù)包兩摘要相比較私鑰原始數(shù)據(jù)包DSSDSS將數(shù)字簽名附在原始包后面供對方驗證簽名得到數(shù)字簽名原始數(shù)據(jù)包DSS原始數(shù)據(jù)包DSSDSS解密相等嗎？驗證通過VPN根本功能特性Web、Mail效勞器等因特網(wǎng)分支機構(gòu)加密隧道&1%$*)!？？？平安區(qū)域劃分增強內(nèi)網(wǎng)平安VPN網(wǎng)關(guān)保護內(nèi)網(wǎng)及信息傳輸平安……工作站域效勞器域VPN網(wǎng)關(guān)間建立加密隧道入侵檢測系統(tǒng)〔IDS〕為什么需要IDS？確保網(wǎng)絡(luò)的平安,就要對網(wǎng)絡(luò)系統(tǒng)內(nèi)部通信進行實時的檢測,這就需要IDS無時不在的防護！數(shù)據(jù)驅(qū)動型攻擊訪問控制系統(tǒng)可以不讓低級權(quán)限的人做越權(quán)工作，但無法保證高級權(quán)限的做破壞工作，也無法保證低級權(quán)限的人通過非法行為獲得高級權(quán)限入侵檢測系統(tǒng)的主要功能監(jiān)測并分析用戶和系統(tǒng)的活動；核查系統(tǒng)配置和漏洞；評估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性；識別的攻擊行為；統(tǒng)計分析異常行為；操作系統(tǒng)日志管理，并識別違反平安策略的用戶活動。入侵檢測系統(tǒng)的分類基于網(wǎng)絡(luò)的入侵檢測基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)使用原始網(wǎng)絡(luò)包作為數(shù)據(jù)源。基于網(wǎng)絡(luò)的IDS通常利用一個運行在混雜模式下的網(wǎng)絡(luò)適配器來實時監(jiān)視并分析通過網(wǎng)絡(luò)的所有通信業(yè)務(wù)。基于主機的入侵檢測往往以系統(tǒng)日志、應(yīng)用程序日志等作為數(shù)據(jù)源，當(dāng)然也可以通過其他手段〔如監(jiān)督系統(tǒng)調(diào)用〕從所在的主機收集信息進行分析。主機型入侵檢測系統(tǒng)保護的一般是所在的系統(tǒng)。入侵檢測分析方法異常檢測假設(shè)入侵者活動是異常于正常主體的活動，建立正常活動的“活動簡檔〞，當(dāng)前主體的活動違反其統(tǒng)計規(guī)律時，認為可能是“入侵〞行為。特征檢測假設(shè)入侵者活動可以用一種模式來表示，系統(tǒng)的目標(biāo)是檢測主體活動是否符合這些模式。協(xié)議分析遵循RFC標(biāo)準(zhǔn)，充分利用網(wǎng)絡(luò)協(xié)議的高度有序性，只分析數(shù)據(jù)包中的特定字節(jié)，快速檢測某種攻擊特征的存在。關(guān)聯(lián)分析不僅簡單分析單次攻擊事件，還根據(jù)前后發(fā)生的事件確認是否確有攻擊發(fā)生，攻擊行為是否生效。網(wǎng)絡(luò)入侵檢測產(chǎn)品的架構(gòu)Sensor/Monitor/Agent/Engine〔傳感器/探測器/代理/引擎〕傳感器負責(zé)采集數(shù)據(jù)(網(wǎng)絡(luò)包、系統(tǒng)日志等)、分析數(shù)據(jù)并生成平安事件。Console/Manager〔控制臺/管理中心〕控制臺主要起到中央管理的作用，商品化的產(chǎn)品通常提供圖形界面的控制臺，這些控制臺根本上都支持WindowsNT平臺。傳感器結(jié)構(gòu)控制臺結(jié)構(gòu)網(wǎng)絡(luò)入侵檢測產(chǎn)品的架構(gòu)IDSSensor利用入侵檢測保護網(wǎng)絡(luò)應(yīng)用DMZE-Mail

FileTransferHTTPIntranet企業(yè)網(wǎng)絡(luò)生產(chǎn)部工程部市場部人事部路由Internet中繼外部攻擊警告!記錄攻擊外部攻擊終止連接IPS簡介IPS簡介平安掃描平安掃描就是對計算機系統(tǒng)或者其它網(wǎng)絡(luò)設(shè)備進行平安相關(guān)的檢測，以找出平安隱患和可被黑客利用的漏洞。平安掃描軟件是把雙刃劍，黑客利用它入侵系統(tǒng)，而系統(tǒng)管理員掌握它以后又可以有效的防范黑客入侵。平安掃描是保證系統(tǒng)和網(wǎng)絡(luò)平安必不可少的手段，必須仔細研究利用。平安掃描系統(tǒng)的作用協(xié)調(diào)了其它的平安設(shè)備使枯燥的系統(tǒng)平安信息易于理解，告訴了你系統(tǒng)當(dāng)前的平安狀況糾正系統(tǒng)的錯誤設(shè)置使得平安管理可由普通用戶來負責(zé)為制定平安規(guī)那么提供依據(jù)利用網(wǎng)絡(luò)漏洞掃描系統(tǒng)進行平安評估DMZ

E-Mail

FileTransferHTTPIntranet生產(chǎn)部工程部市場部人事部路由Internet中繼安全弱點掃描通訊&應(yīng)用效勞層利用系統(tǒng)平安評估軟件進行可適應(yīng)性平安弱點監(jiān)測和響應(yīng)DMZ

E-Mail

FileTransferHTTPIntranet企業(yè)網(wǎng)絡(luò)生產(chǎn)部工程部市場部人事部路由Internet中繼安全弱點掃描操作系統(tǒng)層網(wǎng)絡(luò)平安評估系統(tǒng)對于DMZ區(qū)域的檢測DMZ

E-Mail

FileTransferHTTPIntranet企業(yè)網(wǎng)絡(luò)生產(chǎn)部工程部市場部人事部路由Internet中繼應(yīng)用程序?qū)影踩觞c掃描正確認識平安掃描軟件不能彌補由于認證機制薄弱帶來的問題不能彌補由于協(xié)議本身的問題不能處理所有的數(shù)據(jù)包攻擊，當(dāng)網(wǎng)絡(luò)繁忙時它也分析不了所有的數(shù)據(jù)流當(dāng)受到攻擊后要進行調(diào)查，離不開平安專家的參與什么是病毒？能夠引起計算機故障,破壞計算數(shù)據(jù)的程序統(tǒng)稱為計算機病毒。當(dāng)今大家說“病毒〞的時候，廣義指的是所有的“惡意程序〞，包括:傳統(tǒng)病毒Viruses木馬程序TrojanHorses蠕蟲Worms病毒產(chǎn)生器Dropper垃圾郵件Spam惡作劇程序Hoaxes/Jokes防病毒計算機病毒的演化趨勢攻擊和威脅轉(zhuǎn)移到效勞器和網(wǎng)關(guān)，對防毒體系提出新的挑戰(zhàn)IDC,2004郵件/互聯(lián)網(wǎng)郵件CodeRedNimda2001KlezBraid2002SQLSlammer沖擊波20032004震蕩波2000LoveLetterVeronaMelissa1999網(wǎng)絡(luò)物理介質(zhì)1998CIH1988MorrisBrain19871977磁芯大戰(zhàn)1983FredCohen互聯(lián)網(wǎng)病毒Internet文件共享服務(wù)器郵件服務(wù)器Client網(wǎng)關(guān)病毒利用emailwebFTP等應(yīng)用服務(wù)進入企業(yè)內(nèi)部網(wǎng)絡(luò)進行傳播