认证和访问控制PPT资料.ppt

认证和访问控制PPT资料.ppt

《认证和访问控制PPT资料.ppt》由会员分享，可在线阅读，更多相关《认证和访问控制PPT资料.ppt（72页珍藏版）》请在冰豆网上搜索。

培训就业目标培训毕业学员可在电信企业、银行、保险公司、证券、国内外大中型ISP网络服务提供商、网络系统集成公司、网络安全服务公司、政府部门及其它中小企业等单位担任网络安全服务工程师、网络管理员、网站管理员、信息技术人员、网络安全工程师、网络安全产品售前工程师、网络安全售后工程师、安全产品测试工程师等工作。

师资力量培训师资来自公安部第三研究所、国家反计算机入侵与防病毒研究中心、复旦大学、上海交通大学、信息安全科研机构和著名网络信息安全企业。

讲师具有丰富的工程技术经验，长期从事信息安全教学、科研和技术开发工作，是国内知名的反入侵、防病毒专家。

联系人：

陈老师、邓老师联系电话：

021-64740243网址：

/邮箱：

chy_,上海海盾信息网络安全技术培训中心http:

/,学习内容大纲,操作系统安全，将重点介绍以下知识主机安全机制安全主机管理方法主机攻防及安全加固等相关技术学员将学习认证机制、权限管理、安全策略、加密技术、端口保护技术、口令破解、系统漏洞入侵及防御等知识，并熟练掌握安全加固方法,目录,信息安全基础操作系统安全基础Windows操作系统安全操作系统加固简介与基本步骤,上海海盾信息网络安全技术培训中心http:

/,信息安全基础,信息安全内涵信息系统常见的安全威胁信息安全体系结构和模型,上海海盾信息网络安全技术培训中心http:

/,信息安全的内涵,什么是信息安全信息安全问题的发展信息安全的特征,上海海盾信息网络安全技术培训中心http:

/,什么是信息安全,信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断,上海海盾信息网络安全技术培训中心http:

/,信息安全问题的发展,黑客与黑客文化世界贸易中心爆炸案及9.11,上海海盾信息网络安全技术培训中心http:

/,黑客与黑客文化

（1）,一般认为，黑客起源于50年代麻省理工学院的实验室中60、70年代，“黑客”一词极富褒义，用于指代那些独立思考、奉公守法的计算机迷倡导个人计算机革命，倡导了现行的计算机开放式体系结构，打破了以往计算机技术只掌握在少数人手里的局面，开了个人计算机的先河，提出了“计算机为人民所用”的观点，现在黑客使用的侵入计算机系统的基本技巧，例如破解口令（passwordcracking），开天窗（trapdoor），走后门（backdoor），安放特洛伊木马（Trojanhorse）等，都是在这一时期发明的,上海海盾信息网络安全技术培训中心http:

/,黑客与黑客文化

（2）,1970年，约翰达帕尔发现“嘎吱船长”牌麦圈盒里的口哨玩具，吹出的哨音可以开启电话系统，从而借此进行免费的长途通话苹果公司乔布斯和沃兹奈克也制作过一种“蓝盒子”，成功侵入了电话系统1982年，年仅15岁的凯文米特尼克闯入了“北美空中防务指挥系统”，这是首次发现的从外部侵袭的网络事件1988年11月2日，美国康奈尔大学23岁学生罗伯特莫里斯，向互联网络释放了“蠕虫病毒”,上海海盾信息网络安全技术培训中心http:

/,黑客与黑客文化（3）,1995年，俄罗斯黑客列文在英国被捕。

他被控用笔记本电脑从纽约花旗银行非法转移至少370万美元到世界各地由他和他的同党控制的账户。

1999年3月，美国黑客戴维史密斯制造了“梅利莎”病毒，通过因特网在全球传染数百万台计算机和数万台服务器。

2000年5月，菲律宾学生奥内尔古兹曼炮制出“爱虫”病毒，因电脑瘫痪所造成的损失高达100亿美元。

全世界反黑客、反病毒的斗争呈现出越来越激烈的趋势。

上海海盾信息网络安全技术培训中心http:

/,2001年红客联盟攻击美国海军资源网站,上海海盾信息网络安全技术培训中心http:

/,信息安全的特征,信息安全三要素（C.I.A.）保密性（Confidentiality）完整性（Integrity）可用性（Availability）新的内涵真实性可靠性可控性,上海海盾信息网络安全技术培训中心http:

/,保密性,失去了信息的隐秘性，为未授权的第三方获悉艳照门GoogleHack在Windows操作系统中的实现EFSIPSec第三方加密工具,上海海盾信息网络安全技术培训中心http:

/,GoogleHack,利用Google寻找攻击目标称为GoogleHackintitle:

”WelcometoIIS4.0”Filetype:

pwdservice利用Google搜索网站后台和后门,上海海盾信息网络安全技术培训中心http:

/,GoogleHack（续）,上海海盾信息网络安全技术培训中心http:

/,完整性,在信息存储和传输过程中，保持不被偶然或蓄意地删除、修改、伪造、插入等破坏和丢失的性能，不因其他的因素而改变信息原有的内容、形式和流向，不被非授权的第三方修改软件插件和病毒传染在Windows操作系统中的实现系统文件保护SFC,DEP,上海海盾信息网络安全技术培训中心http:

/,系统文件保护,上海海盾信息网络安全技术培训中心http:

/,可用性,保证信息和计算机信息网络随时为合法用户提供服务在Windows操作系统中的实现磁盘扫描修复系统漏洞（冲击波/RPC）优化系统设置（超时时限，SYNFLOOD）,上海海盾信息网络安全技术培训中心http:

/,真实性,不可否认性证书/数字签名，多因素认证邮件在合同纠纷案件中的应用交易安全（离线渠道的确认），数据留存,上海海盾信息网络安全技术培训中心http:

/,可靠性,保证信息系统不停顿的提供正常服务UPS，物理安全，灾备与应急响应业务连续性,上海海盾信息网络安全技术培训中心http:

/,可控性,对信息的传播与内容具有控制能力审计系统内容过滤与监控结合访问控制与管理制度,上海海盾信息网络安全技术培训中心http:

/,信息系统常见的安全威胁,按技术分类信息窃取信息欺骗恶意攻击/漏洞扫描与利用计算机病毒特洛伊木马按攻击方式分类来自内部的攻击社会工程学有组织的攻击/自动化攻击偶尔的安全设置疏忽,上海海盾信息网络安全技术培训中心http:

/,信息安全体系结构和模型,ISO/OSI安全体系结构动态自适应网络安全模型访问安全模型,上海海盾信息网络安全技术培训中心http:

/,ISO/OSI安全体系结构,1989年，ISO组织提出了OSI安全体系OSI七层模型各层使用的安全机制/技术安全服务安全机制,上海海盾信息网络安全技术培训中心http:

/,安全服务,认证访问控制数据保密性数据完整性防止抵赖,上海海盾信息网络安全技术培训中心http:

/,安全机制,加密机制数字签名与证书机制访问控制机制数据完整性机制认证机制防业务流量分析机制路由控制机制公证机制,上海海盾信息网络安全技术培训中心http:

/,操作系统安全基础,上海海盾信息网络安全技术培训中心http:

/,什么是操作系统,操作系统是管理系统资源的机构，使得这些资源得到有效的利用的系统软件。

资源：

空间（物理设备）与时间（CPU时钟周期）硬件系统是计算机系统的骨干，操作系统就是计算机系统的大脑。

/,操作系统地位,上海海盾信息网络安全技术培训中心http:

/,操作系统简介,Unix/Linux/Freebsd/MacOSDos/Windows手机操作系统SymbianLinuxWindowsCeIphonePalmOSGoogleAndroid嵌入式设备,上海海盾信息网络安全技术培训中心http:

/,Unix/Linux/Freebsd/MacOS

（1）,1969年kenThompson，DennisRitchie在PDP-7上开发V1（1971）：

第一版的UNIX，以PDP-11/20的汇编语言写成。

包括文件系统，fork、roff、ed等软件。

V4（1973）：

以C语言从头写过，这使得UNIX修改容易，可以在几个月内移植到新的硬件平台上。

最初C语言是为UNIX设计的，所以C与UNIX间有紧密的关系V6（1975）：

第一个在贝尔实验室外（尤其是大学中）广为流传的UNIX版本。

这也是UNIX分支的起点与广受欢迎的开始。

1.xBSD（PDP-II）就是由这个版本衍生出来的。

/,Unix/Linux/Freebsd/MacOS

（2）,V7（1979）：

在许多UNIX玩家的心目中，这是“最后一个真正的UNIX，”这个版本包括一个完整的K&

RC编译器，Bourneshell。

V7移植到VAX机器后称为32V1993年，发布FreeBSD1.0版1991年10月5日，发布linux0.03.1984年1月发布1月，发布MacOSSystem1.0,上海海盾信息网络安全技术培训中心http:

/,DOS/Windows,1983年Windows1.x1987年Windows2.x1990年Windows3.x1995年Windows951998年Windows982000年WindowsME-1996年WindowsNT2000年Windows2000Family2001年Windowsxp2003年WindowsServer2003,上海海盾信息网络安全技术培训中心http:

/,操作系统安全的重要性,操作系统的重要性操作系统的广泛性操作系统的复杂性操作系统的安全是整个计算机系统安全的基础，没有操作系统安全，就不可能真正解决数据库安全、网络安全和其他应用软件的安全问题。

/,操作系统安全等级,可信任计算机系统评估标准-橘皮书1985年12月由美国国防部公布最初是军用标准，后成为民用标准分为4个等级，7个级别，共27条评估准则A、B、C、DA、B3、B2、B1、C2、C1、D,上海海盾信息网络安全技术培训中心http:

/,WindowsNT系统的安全级别,C2安全级别自由的访问控制（DiscretionaryAccessControl）自由的访问控制资源的所有者必须能控制对资源的访问对象的重用系统必须能够保护对象完成使命后，不再被其他对象利用强制的用户标识和认证所有用户都必须以唯一的标识和密码来鉴别自身可审计性和审核可以审核安全性相关的事情，并对其记录,上海海盾信息网络安全技术培训中心http:

/,其他级别,D级（最低保护、MinimalProtection）凡没有通过其他安全等级测试的系统都属于该级C级（自定义保护、DiscretonaryProtection）用户或主体可以自定义客体的访问权限B级（强制式保护、MandatoryProtection）每个对象都有其相应的安全标签，系统根据安全标签赋予其访问权限A级（可验证保护、VerifiedProtection）A级系统拥有正式的分析及数学方法可完全证明该系统的安全规格完整性和一致性,上海海盾信息网络安全技术培训中心http:

/,操作系统安全等级

（2）,CC标准1996年6月发布第一版1999年5月发布第二版1999年10月发布2.1版，成为国际标准（ISO/IEC15408