信息安全系统保障概述.docx

信息安全系统保障概述.docx

《信息安全系统保障概述.docx》由会员分享，可在线阅读，更多相关《信息安全系统保障概述.docx（18页珍藏版）》请在冰豆网上搜索。

信息安全系统保障概述

第一章信息安全保障概述

1.信息安全的基本属性：

完整性、性、可用性、可控制性、不可否认性

2.信息安全保障体系框架

生命周期：

规划组织、开发采购、实施交付、运行维护、废弃

保障要素：

技术、管理、工程、人员

安全特征：

性、完整性、可用性

3.信息系统安全模型P2DR安全模型：

策略、防护、检测、响应

4．信息保障技术框架IATF

核心思想是纵深防御战略

三个主要核心要素：

人、技术和操作。

四个技术框架焦点区域:

保护本地计算机环境、保护区域边界、保护网络及基础设施、保护支撑性基础设施

5.信息安全保障工作容：

确定安全需求、设计和实施安全方案、进行信息安全评测、实施信息安全监控

第二章信息安全基础技术与原理

密码技术、认证技术、访问控制技术、审计和监控技术

A、密码技术

明文、密文、加密、解密

信息空间M、密文空间C、密钥空间K、加密算法E、解密算法D

加密密钥、解密密钥

密码体系分为对称密钥体系、非对称密钥体系

对称密钥体系

1对称密钥优点：

加解密处理速度快和度高。

缺点：

密钥管理和分发负责、代价高，数字签名困难

2．对称密钥体系分类：

分组（块）密码（DES/IDEA/AES）和序列密码（RC4/SEAL）

3.传统的加密方法：

代换法、置换法

5、攻击密码体系的方法：

穷举攻击法（128位以上不再有效）和密码分析法

6.针对加密系统的密码分析攻击类型分为以下四种：

①惟密文攻击　　在惟密文攻击中，密码分析者知道密码算法，但仅能根据截获的密文进行分析，以得出明文或密钥。

由于密码分析者所能利用的数据资源仅为密文，这是对密码分析者最不利的情况。

②已知明文攻击　　已知明文攻击是指密码分析者除了有截获的密文外，还有一些已知的“明文—密文对”来破译密码。

密码分析者的任务目标是推出用来加密的密钥或某种算法，这种算法可以对用该密钥加密的任何新的消息进行解密。

③选择明文攻击　　选择明文攻击是指密码分析者不仅可得到一些“明文—密文对”，还可以选择被加密的明文，并获得相应的密文。

这时密码分析者能够选择特定的明文数据块去加密，并比较明文和对应的密文，已分析和发现更多的与密钥相关的信息。

　　密码分析者的任务目标也是推出用来加密的密钥或某种算法，该算法可以对用该密钥加密的任何新的消息进行解密。

④选择密文攻击　　选择密文攻击是指密码分析者可以选择一些密文，并得到相应的明文。

密码分析者的任务目标是推出密钥。

这种密码分析多用于攻击公钥密码体制。

　　衡量密码系统攻击的复杂性主要考虑三个方面的因素：

数据复杂性　　用做密码攻击所需要输入的数据量；

处理复杂性　　完成攻击所需要花费的时间；

存储需求　进行攻击所需要的数据存储空间大小。

　攻击的复杂性取决于以上三个因素的最小复杂度，在实际实施攻击时往往要考虑这三种复杂性的折衷，如存储需求越大，攻击可能越快。

7.扩散和混淆是对称密码设计的基本思想。

乘积迭代的方法

8.数据加密标准DES

加密原理

DES使用一个56位的密钥以及附加的8位奇偶校验位，产生最大64位的分组大小。

这是一个迭代的分组密码，使用称为Feistel的技术，其中将加密的文本块分成两半。

使用子密钥对其中一半应用循环功能，然后将输出与另一半进行“异或”运算；接着交换这两半，这一过程会继续下去，但最后一个循环不交换。

DES使用16个循环，使用异或，扩展置换，压缩代换（S盒），换位置换（移位p盒）操作四种基本运算。

扩展：

3DES

9.国际数据加密算法（IDEA）

128位密钥对64位明文加密

产生子密钥也很容易。

这个算法用了52个子密钥（8轮中的每一轮需要6个，其他4个用与输出变换）。

首先，将128-位密钥分成8个16-位子密钥。

这些是算法的第一批8个子密钥（第一轮六个，第二轮的头两个）。

然后，密钥向左环移25位后再分成8个子密钥。

开始4个用在第二轮，后面4个用在第三轮。

密钥再次向左环移25位产生另外8个子密钥，如此进行D算法结束。

10高级加密标准AES

11.分组密码工作模式

电子密码本模式（ECB）密码分组链模式CBC密码反馈模式CFB输出反馈模式OFB计数模式CTR

非对称密码体系

1.优缺点：

根本上克服了对称密码密钥分配上的困难，且易于实现数字签名，安全性高。

但降低了加解密效率。

2.对称密码体系实现密码加密，公钥密码体制实现密钥管理

3.RSA算法基于大合数分解难得问题设计

4.elgamal基于离散对数求解难

5.ecc椭圆曲线离散对数求解困难

哈希函数（hash）（散列函数、杂凑函数）

单向密码体制不可逆映射

将任意长度的输入经过变换后得到固定长度的输出原消息的散列或信息摘要散列值/哈希值

1.性质：

压缩易计算单向性抗碰撞性高灵敏性

2.应用：

消息认证数字签名口令的安全性数据的完整性

3.典型的两类：

消息摘要算法安全散列算法

4.消息摘要算法MD5128位

安全散列算法SHA

数字签名

以电子形式存在于数据信息之中的，或作为其附件的或逻辑上与之有联系的数据，可用于辨别数据签署人的身份，并表明签署人对数据信息中包含的信息的认可。

数字签名体制包括签名和验证签名两个过程。

应用：

鉴权完整性不可抵赖

密钥管理

指处理密钥自产生到最终销毁的有关问题的全过程

种类：

基本密钥或初始密钥、会话密钥、密钥加密密钥、主机主密钥

密钥产生

密钥分配：

人工密钥分发、基于中心的密钥分发（密钥分发中心KDC密钥转换中心KTC）

最典型的密钥交换协议：

diffie-hellman算法

公开密钥分配：

公开发布、公用目录、公钥授权、公钥证书

B、认证技术

消息认证

验证所收到的消息确实来自真正的发送方，并且未被篡改的过程

产生认证码的函数类型:

消息加密（对称与非对称）消息认证码（MAC）哈希函数

身份认证

可追究责任机制：

认证授权审计

认证：

在做任何动作之前必须有方法来识别动作执行者的真实身份，又称鉴别、确认

身份认证系统由认证服务器认证系统客户端和认证设备组成

认证手段：

静态密码方式动态口令认证usbkey认证生物识别技术

认证协议：

基于口令的认证协议基于对称密码的认证（需要KDC）基于公钥的认证

C、访问控制技术

保护系统安全的基础：

认证访问控制审计

访问控制是在身份认证的基础上，依据授权对提出的资源访问请求加以控制

主体客体

可信计算机系统评估准则TCSEC

分类：

自主访问控制DAC强制访问控制MAC基于角色的访问控制RBAC

自主访问控制DAC行访问能力表CL列访问控制表ACL访问矩阵

强制访问控制MAC安全标签访问控制标签列表TSSCU

访问模式向下读RD向上读RU向下写WD向上写WU

Bell-lapadula模型不上读不下写

Biba模型不下读不上写

访问控制技术：

集中式访问控制非集中式访问控制

集中式访问控制

认证、授权、审计（AAA）管理

网络接入服务器（NAS）

AAA管理协议包括

拨号用户远程认证服务RADIUS（3种返回消息：

访问拒绝、需要进行挑战、访问接受）

终端访问控制器访问控制系统TACACS

Diameter支持移动ip

非集中式访问控制

分布式访问控制需要解决跨域访问问题

三种方法：

单点登录SSO所有应用系统共享一个身份认证系统（不是只有一个）；所有应用系统能够识别和提取ticket信息

Kerberos协议密码分发服务器kdc票据kdc兼具认证服务器AS和票据授权服务TGS两个功能票据获取凭证TGT客户端会话密钥

Sesame

D/审计和监控技术

审计系统通常由日志记录器（通常调用syslog记录）分析器和通告器组成，分别用于收集数据、分析数据及通报结果。

恶意行为监控监控方式分为主机监控和网络监控

蜜罐技术是一种网络监控技术，它将未使用地址空间伪装成活动网络空间，通过与入侵者的主动交互获得入侵详细信息，以达到对攻击活动进行监视、检测盒分析的目的。

网络信息容监控主要方法为网络舆情分析（舆情分析引擎自动信息采集功能数据清理功能）

网络信息容审计技术主要有网络信息容的获取技术（嗅探技术）和网络容还原分析技术

不良信息容监控方法：

网址过滤技术网页容过滤技术图片容过滤技术

第三章系统安全

A/操作系统安全

1.操作系统是控制其他程序运行，管理系统资源并为用户提供操作界面的系统软件的集合

2.用户模式与核模式触发一个特殊的硬件自陷

3.用户接口是为方便用户使用计算机资源所建立的用户与计算机之间的联系非为作用级接口和程序级接口

4.操作系统的功能：

资源管理用户接口进程管理容管理

5.最常见的保护环结构：

0操作系统核1操作系统其他部分2I/O驱动程序和实用工具3应用程序和用户活动

6.守护进程：

脱离于终端并且在后台运行的进程

7.inetd进程监视网络请求的守护进程

8.文件权限一个文件通常属于创建它的用户及该用户的基本分组；每个文件和目录有3组权限与之有关，拥有者，文件所属分组成员，其他所有用户；每组权限有3个权限标志位rwx（可执行）；9位合起来称为模式位，通常用一列10个字符表示，还有一位指明文件类型SUIDSGID设置用户ID和分组ID属性，分别表现在所有者或同组用户权限的可执行位上

9.用chmod命令改变文件的权限设置如chmod666myfile（绝对模式）chmodg+rfoo（符号模式）表示给文件foo的分组读权限

10.系统启动过程：

预引导阶段引导阶段载入核阶段初始化核阶段登陆阶段

11.进程安全管理方法：

任务管理器Msinfo32、dos命令行

12.系统服务服务是一种在系统后台运行的应用程序类型服务控制管理器netstart/Stop命令sc命令

13.用户权利与授权网络安全性依赖于给用户或组所授予的能力，包括权限（文件系统能力、权利（系统上完成特定动作的授权）、共享（通过网络使用文件夹）

14.windows有3种类型的事件日志：

系统日志应用程序日志安全日志。

15.安全策略：

密码策略锁定策略审核策略用户权力指派安全选项装载自定义安全模板

16.windows加密文件系统

17.可信计算技术可信计算基TB可信约等于安全+可靠可信计算机系统是能够提供系统的可靠性、可用性、信息和行为安全性的计算机系统。

信任根和信任链从信任根到硬件平台到操作系统到应用

可信信任模块TCM是可信计算平台的信任根可信网络连接TNC

中国的：

可信密码模块

B/数据库安全

1.数据库是一个长期存储在计算机的、有组织的、有共享的、统一管理的数据集合。

2.结构化查询语言SQL

3.数据库的安全性是指保护数据库，防止因用户非法使用数据库造成数据泄露、更改或破坏。

4.数据库安全性控制的方法包括用户标识和鉴定、存取控制、审计、数据加密等

5.视图与数据性

6.数据完整性就是确保数据库中的数据的一致性和正确性。

数据库提供了约束、规则和默认事务处理等功能保证数据完整性。

默认值，如createdefaultcon3as20

CreateruleR1

Ascondition-expression

绑定规则execsp-（un）bindrule‘r1’，‘table8.c1’

7.事务处理（transaction）回退（rollback）提交（commit）保留点（savepoint）

事务处理的特性：

原子性一致性隔离性持久性

类型：

自动处理事务隐式事务用户定义事务分布式事务

8.数据库威胁：

过分特权滥用合法特权滥用特权提升平台漏洞sql注入不健全审计拒绝服务数据库通信协议漏洞不健全的认证（暴力社会工程直接窃取备份数据暴露

9.数据库安全防护：

事前检查事中监控事后审计

10.数据库安全特性检测对数据库的静态安全防护有3个层次，分别为端口扫描（服务发现）

渗透测试（容：

监听器安全特性分析，用户名和密码渗透、漏洞分析）

部安全检测

11.数据库运行安全监控主要由网络嗅探器、数据库分析器、sql分析器和安全审计组成。

第四章网络安全基础

A/网络安全基础

1、TCP/IP开放模型：

物理和数据层网络层传输层应用层

网络协议

2、数据层协议

ARP协议是“AddressResolutionProtocol”（地址解析协议）的缩写。

在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。

在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。

但这个目标MAC地址是如何获得的呢？

它就是通过地址解析协议获得的。

所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。

ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。

RARP协议逆向地址转换协议

3、网络层协议

IP协议是英文InternetProtocol（网络之间互连的协议）的缩写，中文简称为“网协”，也就是为计算机网络相互连接进行通信而设计的协议。

在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。

任何厂家生产的计算机系统，只要遵守IP协议就可以与因特网互连互通。

IP地址具有唯一性，根据用户性质的不同，可以分为5类。

另外，IP还有进入防护，知识产权，指针寄存器等含义。

如今的IP网络使用32位地址，以点分十进制表示，如192.168.0.1。

地址格式为：

IP地址=网络地址+主机地址或IP地址=网络地址+子网地址+主机地址。

A类地址

（1）A类地址网络号7位，主机号24位。

它的第1个字节的第一位固定为0.

B类地址

（1）B类地址网络号14位，其它2个字节为主机地址。

它的第1个字节的前两位固定为10.

C类地址

（1）C类地址第1字节、第2字节和第3个字节为网络地址，第4个字节为主机地址。

另外第1个字节的前三位固定为110。

D类地址

（1）D类地址不分网络地址和主机地址，它的第1个字节的前四位固定为1110。

（2）多个目的地址的地址广播

E类地址

（1）E类地址不分网络地址和主机地址，它的第1个字节的前四位固定为1111。

暂时保留

A/B/C类主机号全为0的地址表示一个网络的本网络地址，为1的为直接广播地址

受限广播地址：

32为全为1

自环地址：

127.0.0.1

ICMP协议

ICMP是（InternetControlMessageProtocol）Internet控制报文协议。

它是TCP/IP协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。

控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。

这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。

传输层协议

TCP协议 传输控制协议

TCP是因特网中的传输层协议，使用三次握手协议建立连接。

当主动方发出SYN连接请求后，等待对方回答SYN，ACK。

这种建立连接的方法可以防止产生错误的连接，TCP使用的流量控制协议是可变大小的滑动窗口协议。

第一次握手：

建立连接时，客户端发送SYN包（SEQ=x）到服务器，并进入SYN_SEND状态，等待服务器确认。

第二次握手：

服务器收到SYN包，必须确认客户的SYN（ACK=x+1），同时自己也送一个SYN包（SEQ=y），即SYN+ACK包，此时服务器进入SYN_RECV状态。

第三次握手：

客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK（ACK=y+1），此包发送完毕，客户端和服务器进入Established状态，完成三次握手。

建立一个连接需要三次握手，而终止一个连接要经过四次握手，这是由TCP的半关闭（half-close）造成的。

UDP协议用户数据报协议，是OSI（开放式系统互联）参考模型中一种无连接的传输层协议，提供面向事务的简单不可靠信息传送服务，IETFRFC768是UDP的正式规。

UDP是OSI参考模型中一种无连接的传输层协议，它主要用于不要求分组顺序到达的传输中，分组传输顺序的检查与排序由应用层完成[1]，提供面向事务的简单不可靠信息传送服务。

UDP协议基本上是IP协议与上层协议的接口。

UDP协议适用端口分别运行在同一台设备上的多个应用程序。

应用层协议

HTTP协议超文本传输协议

一种详细规定了浏览器和万维网服务器之间互相通信的规则，通过因特网传送万维网文档的数据传送协议。

由请求和响应构成，是一个标准的客户端服务器模型。

HTTP是一个无状态的协议。

SMTP（SimpleMailTransferProtocol）即简单传输协议,它是一组用于由源地址到目的地址传送的规则，由它来控制信件的中转方式。

SMTP协议属于TCP/IP协议族，它帮助每台计算机在发送或中转信件时找到下一个目的地。

通过SMTP协议所指定的服务器,就可以把E－mail寄到收信人的服务器上了，整个过程只要几分钟。

SMTP服务器则是遵循SMTP协议的发送服务器，用来发送或中转发出的电子。

POP3协议（PostOfficeProtocol3）即邮局协议的第3个版本，它是规定个人计算机如何连接到互联网上的服务器进行收发的协议。

它是因特网电子的第一个离线协议标准，POP3协议允许用户从服务器上把存储到本地主机（即自己的计算机）上，同时根据客户端的操作删除或保存在服务器上的，而POP3服务器则是遵循POP3协议的接收服务器，用来接收电子的。

POP3协议是TCP/IP协议族中的一员，,由RFC1939定义。

本协议主要用于支持使用客户端远程管理在服务器上的电子

DNS协议域名系统

DNS是域名系统 （DomainNameSystem）的缩写，是因特网的一项核心服务，它作为可以将域名和IP地址相互映射的一个分布式数据库，能够使人更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。

B/网络安全威胁技术

攻击流程：

准备阶段（扫描技术）具体网络攻击阶段（网络嗅探协议分析诱骗式攻击漏洞攻击决绝服务攻击web攻击）成功入侵后的控制阶段（植入木马）

扫描技术

互联网信息的收集IP地址扫描网络端口扫描（TCP全连接扫描、tcpsyn扫描、tcpfin扫描、udp的icmp端口不可达扫描、icmp扫描、乱序扫描和慢速扫描）漏洞扫描（网络漏洞扫描主机漏洞扫描）弱口令扫描（基于字典攻击的弱口令扫描技术和基于穷举攻击的）综合漏洞扫描

防技术：

防火墙安全检测工具

网络嗅探技术

利用网络嗅探工具获得目标计算机的网络传输的数据包，就可以通过对数据包按照协议进行还原和分析，从而获取目标计算机传输的大量信息。

工具：

wireshark/snifferpro/omnipeek/netxray

网络传输数据的加密利用网络设备的物理或者逻辑隔离的手段防止信息泄露

网络协议欺骗

Ip地址欺骗arp欺骗（实施中间人欺骗伪装成网关的欺骗）tcp欺骗（非盲攻击盲攻击dns欺骗（基于dns服务器基于用户计算机的欺骗

欺骗式攻击

挂马：

网络中的网页被攻击者恶意修改后，添加了可以触发并下载恶意程序的及恶意代码和脚本。

主要技术手段有框架挂马，js脚本挂马body挂马和伪装欺骗挂马。

诱骗下载：

多媒体类文件下载网络游戏软件和插件下载热门应用软件下载电子书爱好者p2p种子文件文件捆绑方式：

多文件捆绑方式资源融合捆绑方式漏洞利用捆绑方式

钓鱼：

一种被黑客实施网络欺诈的伪装

社会工程

软件漏洞攻击利用技术

操作系统服务就程序漏洞文件处理软件漏洞浏览器软件漏洞其他软件漏洞

利用技术：

直接网络攻击诱骗式网络攻击（基于的诱骗式网络攻击网络传播本地诱骗点击攻击）

防：

安装使用新版本的操作系统和软件访问正规不随意点击通过电子或及时通信软件发来的文件安装杀毒软件和主动防御软件

拒绝服务攻击DOS攻击

目标是主机，目的是使目标主机的网络带宽和资源耗尽，使其无法提供正常对外服务。

实现方式:

利用目标主机自身存在的拒绝服务型漏洞进行攻击耗尽目标主机cpu和存等计算机资源的攻击耗尽目标主机网络带宽攻击

分类：

ip层协议的攻击（smurf攻击）tcp协议的攻击（synflood和ackflood攻击tcp全连接dos攻击）udp协议攻击应用层协议攻击

防御措施：

静态和动态的ddos过滤器反欺骗技术异常识别协议分析速率限制其他（提供系统安全性，及早发现漏洞，安装补丁，防护墙路由器）

Web脚本攻击

注入攻击（sql注入代码注入命令注入等）跨站脚本攻击（xss分为反射型xss存储型dombasedxss）跨站点请求伪造（csrf

远程控制

木马：

具有远程控制、信息偷取、隐蔽传输功能的恶意程序。

伪装性隐藏性窃密性破坏性

连接防止：

传统木马的客户端程序主动连接服务端程序反弹式木马是服务端主动发起连接请求

隐藏方式：

线程插入技术dll动态劫持技术rootkit技术

Webshell

一种用web脚本写的木马后门

C/网络安全防护技术

防火墙

可信和不可信网络之间，通过设置一系列安全规则对两个网络之间的通信数据包进行访问控制，检测网络交换的信息，防止对重要信息资源的非法存取和访问，以达到保护部可信网络的目的。

一般部署在网络边界。

功能:

外网之间数据过滤对网络传输和访问的数据进行记录和审计防外网之间的异常网络攻击通过配置nat提高网络地址转换功能

分类：

软件防火墙（企业级个人级安装在操作系统上）硬件防火墙（X86架构的防火墙asic架构的防火墙np架构的防火墙）

防火墙技术：

包过滤技术状态监测技术地址翻译技术应用级网关

体系架构主要包括双重宿主主机体系结构和屏蔽主机体系结构、屏蔽子网络体系结构的防火墙

安全策略：

网可以访问外网网可以访问dmz（非军事区即缓冲区）外网不可以访问网外网可以访问dmzdmz不能访问网dma可以访问外网

不能防的安全威胁：

网之间的恶意攻击绕过防火墙通道上的攻击病毒和部驱动的木马针对防护墙开发端口的攻击

入侵检测系统

工作在计算机网络系统中的关键节点上，通过实时地收集和分析计算机网络系统中的信息来检测是否出现违反安全策略的行为和是否存在入侵的迹象，进而达到提示入侵、预防攻击的目的。

控制台和探测器

分类：

数据采集方式：

基于网络的和基于主机的

检测原理：

误用检测型和异常检测型

技术：

误用检测技术（专家系统模型推理状态转换分析）异常检测技术（统计分析神经网络）其他（模式匹配文件完整性检验数据挖掘计算机免疫方法

入侵防御系统

功能：

拦截恶意流量实现对传输容的深度检测盒安全防护对网络流量监测的同时进行过滤

不足：

可能造成单点故障可能造成性能瓶颈漏报和误报的影响

PKI（公共密钥基础设施）

组成：

安全策略证书认证机构（CA）证书注册机构（RA）证书分发系统（CDS）基于pki的应用接口

数字证书：

经证书认证机构签发的，包含用户身份信息、用户公开密钥信息和证书认证机构的数字