最新信息安全及其前沿技术综述.docx

1、最新信息安全及其前沿技术综述信息安全及其前沿技术综述信息安全及其前沿技术综述一、信息安全基本概念1、定义（1）国内的回答 可以把信息安全保密内容分为：实体安全、运行安全、数据安全和管理安全四个方面。（沈昌祥） 计算机安全包括：实体安全；软件安全；运行安全；数据安全；（教科书） 计算机信息人机系统安全的目标是着力于实体安全、运行安全、信息安全和人员安全维护。安全保护的直接对象是计算机信息系统，实现安全保护的关键因素是人。（等级保护条例）（2）国外的回答 信息安全是使信息避免一系列威胁，保障商务的连续性，最大限度地减少商务的损失，最大限度地获取投资和商务的回报，涉及的是机密性、完整性、可用性。（B

2、S7799） 信息安全就是对信息的机密性、完整性、可用性的保护。（教科书） 信息安全涉及到信息的保密（3）信息安全的发展渊源来看1）通信保密阶段（4070年代） 以密码学研究为主 重在数据安全层面 2）计算机系统安全阶段（7080年代） 开始针对信息系统的安全进行研究 重在物理安全层与运行安全层，兼顾数据安全层 3）网络信息系统安全阶段（90年代） 开始针对信息安全体系进行研究 重在运行安全与数据安全层，兼顾内容安全层2、信息安全两种主要论点机密性（保密性）：就是对抗对手的被动攻击，保证信息不泄漏给XX的人。 完整性：就是对抗对手主动攻击，防止信息被XX的篡改。 可用性：就是保证信息及信息系统

3、确实为授权使用者所用。（可控性：就是对信息及信息系统实施安全监控。）二、为什么需要信息安全信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商业形象都是至关重要的。然而，越来越多的组织及其信息系统和网络面临着包括计算机诈骗、间谍、蓄意破坏、火灾、水灾等大范围的安全威胁，诸如计算机病毒、计算机入侵、DoS攻击等手段造成的信息灾难已变得更加普遍,有计划而不易被察觉。 组织对信息系统和信息服务的依赖意味着更易受到安全威胁的破坏，公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度。许多信息系统本

4、身就不是按照安全系统的要求来设计的，所以仅依靠技术手段来实现信息安全有其局限性，所以信息安全的实现必须得到管理和程序控制的适当支持。确定应采取哪些控制方式则需要周密计划，并注意细节。信息安全管理至少需要组织中的所有雇员的参与，此外还需要供应商、顾客或股东的参与和信息安全的专家建议。在信息系统设计阶段就将安全要求和控制一体化考虑，则成本会更低、效率会更高。 三、信息安全涵盖的范围信息安全涵盖的范围.doc四、信息（网络）安全策略信息(网络)安全策略主要有网络安全策略、应用系统安全策略、部门安全策略、设备安全策略、总体安全策略等。一个信息网络的总体安全策略，可以概括为“实体可信，行为可控，资源可管

5、，事件可查，运行可靠”，总体安全策略为其它安全策略的制定提供总的依据。实体可信：（1）实体指构成信息网络的基本要素，主要有网络基础设备、软件系统、用户和数据。（2）软硬设备可信：没有预留后门或逻辑炸弹等。（3）用户可信：防止恶意用户对系统的攻击破坏。（4）数据是可信：数据在传输、处理、存储等过程中是可信的，防止搭线窃听，非授权访问或恶意篡改。行为可控：（1）用户行为可控：即保证本地计算机的各种软硬件资源(例如：内存、中断、IO端口、硬盘等硬件设备，文件、目录、进程、系统调用等软件资源)不被非授权使用或被用于危害本系统或其它系统的安全。（2）网络接入可控：即保证用户接入网络应严格受控，用户上网必

6、须得到申请登记并许可。（3）网络行为可控：即保证网络上的通信行为受到监视和控制，防止滥用资源、非法外联、网络攻击、非法访问和传播有害信息等恶意事件的发生。资源可管：保证对软硬件及数据等网络资源进行统一管理。主要资源有：路由器、交换机、服务器、邮件系统、目录系统、数据库、域名系统、安全设备、密码设备、密钥参数、交换机端口、IP地址、用户账号、服务端口等。事件可查：保证对网络上的各类违规事件进行监控记录，确保日志记录的完整性为安全事件稽查、取证提供依据。运行可靠：保证网络节点在发生自然灾难或遭到硬摧毁时仍能不间断运行，具有容灾抗毁和备份恢复能力。保证能够有效防范病毒和黑客的攻击所引起的网络拥塞、系

7、统崩溃和数据丢失，并具有较强的应急响应和灾难恢复能力。五、信息（网络）安全管理1、组成信息网络安全管理包括管理组织机构、管理制度和管理技术三个方面，要通过组建完整的信息网络安全管理组织机构，设置安全管理人员，制定严格的安全管理制度，利用先进的安全管理技术对整个信息网络进行管理。2、内容信息网络安全管理的主要内容有：（1）主要领导负责的逐级安全保护管理责任制，配备专职或兼职的安全员，各级职责划分明确，并有效开展工作；（2）明确运行和使用部门或岗位责任制，建立安全管理规章制度；（3）普及安全知识，对重点岗位职工进行专门培训和考核；（4）采取必要的安全技术措施；（5）对安全保护工作有档案记录和应急计

8、划；（6）定期进行安全检测和风险分析和安全隐患整改。3、信息网络安全保护体系 信息网络安全保护涉及人员、技术和法规三个方面，因此，信息网络安全防护体系从总体上可分为三大部分。即技术防护体系、组织管理体系和法规标准体系，它们以信息网络的总体安全策略为核心，共同保护信息网络安全运行。4、信息安全等级保护制度信息网络安全管理工作要坚持从实际出发、保障重点的原则，区分不同情况，分级、分类、分阶段进行信息网络安全建设和管理。按照计算机信息系统安全保护等级划分准则规定的规定，我国实行五级信息安全等级保护。第一级：用户自主保护级；由用户来决定如何对资源进行保护，以及采用何种方式进行保护。第二级：系统审计保护

9、级；本级的安全保护机制支持用户具有更强的自主保护能力。特别是具有访问审记能力，即它能创建、维护受保护对象的访问审计跟踪记录，记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息，所有和安全相关的操作都能够被记录下来，以便当系统发生安全问题时，可以根据审记记录，分析追查事故责任人。第三级：安全标记保护级；具有第二级系统审计保护级的所有功能，并对访问者及其访问对象实施强制访问控制。通过对访问者和访问对象指定不同安全标记，限制访问者的权限。第四级：结构化保护级；将前三级的安全保护能力扩展到所有访问者和访问对象，支持形式化的安全保护策略。其本身构造也是结构化的，以使之具有相当的抗渗透能力。本级

10、的安全保护机制能够使信息系统实施一种系统化的安全保护。第五级：访问验证保护级；具备第四级的所有功能，还具有仲裁访问者能否访问某些对象的能力。为此，本级的安全保护机制不能被攻击、被篡改的，具有极强的抗渗透能力。计算机信息系统安全等级保护标准体系包括：信息系统安全保护等级划分标准、等级设备标准、等级建设标准、等级管理标准等，是实行等级保护制度的重要基础。 5、信息网络安全事件与事件响应（1）信息网络安全事件类型用户（个人、企业等）安全事件：个人隐私或商业利益的信息在网络上传输时受到侵犯，其他人或竞争对手利用窃听、冒充、篡改、抵赖等手段侵犯用户的利益和隐私，破坏信息的机密性、完整性和真实性。网络运行

11、和管理安全事件：安全事件是对本地网络信息的访问、读写等操作，出现、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁，或遭受网络黑客的攻击。保密部门安全事件：国家机要信息泄露，对社会产生危害，对国家造成巨大损失。社会教育和意识形态安全事件：在网络上传播不健康的内容，对社会的稳定和人类的发展造成阻碍等都是安全事件。（2）安全事件的响应对于网络运行和管理来说，网络攻击和计算机病毒传播等安全事件的响应处置包括6个阶段：准备阶段：建立一组合理的防范、控制措施，建立一组尽可能高效的事件处理程序，获得处理问题必须的资源和人员，最终建立应急响应体系。检测阶段：进行技术检测，获取完整系统备份，进行系统

12、审计，分析异常现象，评估事件范围，报告事件。控制阶段：制定可能的控制策略，拟定详细的控制措施实施计划，对控制措施进行评估和选择，记录控制措施的执行，继续报告。根除阶段：查找出事件根源并根除之，确认备份系统的安全，记录和报告。恢复阶段：根据事件情况，从保存完好的介质上恢复系统可靠性高，一次完整的恢复应修改所有用户口令。数据恢复应十分小心，可以从最新的完整备份或从容错系统硬件中恢复数据，记录和报告。追踪阶段：非常关键，其目标是回顾并整合发生事件信息，对事件进行一次事后分析，为下一步进行的民事或刑事的法律活动提高有用的信息。6、信息网络安全服务（1）信息网络安全防范产品与安全服务的关系购买了可靠的安

13、全产品，还不能说信息网络是安全的。在信息网络安全建设中，专业信息网络安全服务，利用科学的安全体系框架和方法论，建立全面、有层次的安全管理体系，是保障信息网络安全的基本保证。信息网络安全防范产品与安全服务相辅相成，二者不可或缺，各项服务措施相互联系，承上启下，成熟的安全服务体系在安全服务进行中起到重要的指导作用，可以有条不紊地为用户作好每一件工作。（2）信息网络安全服务的内容安全咨询安全系统规划安全策略制定安全系统集成安全产品配置安全培训应急安全服务上述各种安全服务都是相辅相成的。六、信息网络安全技术信息安全技术是指在信息系统的物理层、运行层，以及对信息自身的保护（数据层）及攻击（内容层）的层面

14、上，所反映出的对信息自身与信息系统在可用性、机密性与真实性方面的保护与攻击的技术。1、防火墙技术（1）什么是防火墙防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。（2）防火墙类型防火墙技术可根据防范的方式和侧重点的不同而分为很多

15、种类型，但总体来讲可分为二大类：分组过滤、应用代理。-分组过滤（Packet filtering）：作用在网络层和传输层，它根据分组包头源地址，目的地址和端口号、协议类型等标志确定是否允许数据包通过。只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。分组过滤或包过滤，是一种通用、廉价、有效的安全手段。之所以通用，因为它不针对各个具体的网络服务采取特殊的处理方式；之所以廉价，因为大多数路由器都提供分组过滤功能；之所以有效，因为它能很大程度地满足企业的安全要求。包过滤的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明

16、显的：据以过滤判别的只有网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过滤如UDP、RPC一类的协议；另外，大多数过滤器中缺少审计和报警机制，且管理方式和用户界面较差；对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。 -应用代理（Application Proxy）：也叫应用网关（Application Gateway）,它作用在应用层，其特点是完全阻隔了网

17、络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。实际中的应用网关通常由专用工作站实现。应用代理型防火墙是内部网与外部网的隔离点，起着监视和隔绝应用层通信流的作 用。同时也常结合入过滤器的功能。它工作在OSI模型的最高层，掌握着应用系统中可用作安全决策的全部信息。-复合型防火墙：由于对更高安全性的要求，常把基于包过滤的方法与基于应用代理的方法结合起来，形成复合型防火墙产品。这种结合通常是以下两种方案。 屏蔽主机防火墙体系结构：在该结构中，分组过滤路由器或防火墙与Internet相连，同时一个堡垒机安装在内部网络，通过在分组过滤路由器或防火墙上过滤规则的设置，使堡

18、垒机成为Internet上其它节点所能到达的唯一节点，这确保了内部网络不受未授权外部用户的攻击。屏蔽子网防火墙体系结构：堡垒机放在一个子网内，形成非军事化区，两个分组过滤路由器放在这一子网的两端，使这一子网与Internet及内部网络分离。在屏蔽子网防火墙体系结构中，堡垒主机和分组过滤路由器共同构成了整个防火墙的安全基础。（3）防火墙操作系统 防火墙应该建立在安全的操作系统之上，而安全的操作系统来自于对专用操作系统的安全加固和改造，从现有的诸多产品看，对安全操作系统内核的固化与改造主要从以下几方面进行：取消危险的系统调用；限制命令的执行权限；取消IP的转发功能；检查每个分组的接口；采用随机连接

19、序号；驻留分组过滤模块；取消动态路由功能；采用多个安全内核。（4）防火墙的局限性防火墙不是万能的，如防火墙不能防范不经过防火墙的攻击。例如，如果允许从受保护的网络内部向外拨号，一些用户就可能形成与Internet的直接连接。另外，防火墙很难防范来自于网络内部的攻击以及病毒的威胁。 2、数据加密技术与防火墙配合使用的安全技术还有数据加密技术是为提高信息系统及数据的安全性和保密性, 防止秘密数据被外部破析所采用的主要技术手段之一。随着信息技术的发展, 网络安全与信息保密日益引起人们的关注。目前各国除了从法律上、管理上加强数据的安全保护外, 从技术上分别在软件和硬件两方面采取措施, 推动着数据加密技

20、术和物理防范技术的不断发展。按作用不同, 数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。 (1) 数据传输加密技术 目的是对传输中的数据流加密, 常用的方针有线路加密和端-端加密两种。前者侧重在线路上而不考虑信源与信宿, 是对保密信息通过各线路采用不同的加密密钥提供安全保护。后者则指信息由发送者端自动加密, 并进入TCP/IP数据包回封, 然后作为不可阅读和不可识别的数据穿过互联网, 当这些信息一旦到达目的地, 被将自动重组、解密, 成为可读数据。(2) 数据存储加密技术目是防止在存储环节上的数据失密, 可分为密文存储和存取控制两种。前者一般是通过加密算法转换、

21、附加密码、加密模块等方法实现; 后者则是对用户资格、格限加以审查和限制, 防止非法用户存取数据或合法用户越权存取数据。 (3) 数据完整性鉴别技术目的是对介入信息的传送、存取、处理的人的身份和相关数据内容进行验证, 达到保密的要求, 一般包括口令、密钥、身份、数据等项的鉴别, 系统通过对比验证对象输入的特征值是否符合预先设定的参数, 实现对数据的安全保护。(4) 密钥管理技术为了数据使用的方便, 数据加密在许多场合集中表现为密钥的应用, 因此密钥往往是保密与窃密的主要对象。密钥的媒体有: 磁卡、磁带、磁盘、半导体存储器等。密钥的管理技术包括密钥的产生、分配保存、更换与销毁等各环节上的保密措施。

22、 3、智能卡技术与数据加密技术紧密相关的另一项技术则是智能卡技术。所谓智能卡就是密钥的一种媒体, 一般就像信用卡一样, 由授权用户所持有并由该用户赋与它一个口令或密码字。该密码与内部网络服务器上注册的密码一致。当口令与身份特征共同使用时, 智能卡的保密性能还是相当有效的。4、网络地址转换技术（NAT）网络地址转换器也称为地址共享器(Address Sharer)或地址映射器，设计它的初衷是为了解决IP地址不足，现多用于网络安全。内部主机向外部主机连接时，使用同一个IP地址；相反地，外部主机要向内部主机连接时，必须通过网关映射到内部主机上。它使外部网络看不到内部网络，从而隐藏内部网络，达到保密作

23、用，使系统的安全性提高，并且节约从ISP得到的外部IP地址。5、操作系统安全内核技术除了在传统网络安全技术上着手，人们开始在操作系统的层次上考虑网络安全性，尝试把系统内核中可能引起安全性问题的部分从内核中剔除出去，从而使系统更安全。操作系统平台的安全措施包括：采用安全性较高的操作系统；对操作系统的安全配置；利用安全扫描系统检查操作系统的漏洞等。美国国防部(DOD)技术标准把操作系统的安全等级分成了D1、C1、C2、B1、B2、B3、A级，其安全等级由低到高。目前主要的操作系统的安全等级都是C2级（例如，Unix、Windows NT），其特征包括：用户必须通过用户注册名和口令让系统识别；系统可

24、以根据用户注册名决定用户访问资源的权限；系统可以对系统中发生的每一件事进行审核和记录；可以创建其他具有系统管理权限的用户。B1级操作系统除上述机制外，还不允许文件的拥有者改变其许可权限。B2级操作系统要求计算机系统中所有对象都加标签，且给设备（如磁盘、磁带或终端）分配单个或多个安全级别。6、入侵检测技术入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道

25、安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都通过它执行以下任务来实现： 监视、分析用户及系统活动； 系统构造和弱点的审计； 识别反映已知进攻的活动模式并向相关人士报警； 异常行为模式的统计分析； 评估重要系统和数据文件的完整性； 操作系统的审计跟踪管理，并识别用户违反安全策略的行为。 对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。而且，入侵检测的规模还应根据网

26、络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。通常，入侵检测系统按其输入数据的来源分为三种：基于主机的入侵检测系统，其输入数据来源于系统的审计日志，一般只能检测该主机上发生的入侵；基于网络的入侵检测系统，其输入数据来源于网络的信息流，能够检测该网段上发生的网络入侵；分布式入侵检测系统，能够同时分析来自主机系统审计日志和网络数据流的入侵检测系统，系统由多个部件组成，采用分布式结构。7、安全漏洞扫描技术漏洞扫描器是一种自动检测远程或本地主机安全性弱点的程序。通过使用漏洞扫描器，系统管理员能够发现所维护的Web服务器的各种TCP

27、端口的分配、提供的服务、Web服务软件版本和这些服务及软件呈现在Internet上的安全漏洞。从而在计算机网络系统安全保卫战中做到“有的放矢”，及时修补漏洞，构筑坚固的安全长城。 一般可以将漏洞扫描器分为两种类型：主机漏洞扫描器（HostScanner）和网络漏洞扫描器（NetworkScanner）。（1）网络漏洞扫描器是指基于Internet远程检测目标网络和主机系统漏洞的程序，如提供网络服务、后门程序、密码破解和阻断服务等的扫描测试。（2）主机漏洞扫描器是指针对操作系统内部进行的扫描，如Unix、NT、Liunx系统日志文件分析，可以弥补网络型安全漏洞扫描器只从外面通过网络检查系统安全的

28、不足。（3）数据库作安全漏洞检查的扫描器除了上述二大类的扫描器外，还有一种专门针对数据库作安全漏洞检查的扫描器，主要功能为找出不良的密码设定、过期密码设定、侦测登入攻击行为、关闭久未使用的帐户，而且能追踪登入期间的限制活动等，数据库的安全扫描也是信息网络安全内很重要的一环。8、隔离技术隔离器有2种：物理隔离器和逻辑隔离器（1）物理隔离器是一种不同网络间的隔离部件，通过物理隔离的方式使两个网络在物理连线上完全隔离，且没有任何公用的存储信息，保证计算机的数据在网际间不被重用。一般采用电源切换的手段，使得所隔离的区域始终处在互不同时通电的状态下(对硬盘、软驱、光驱，也可通过在物理上控制IDE线实现)

29、。被隔离的两端永远无法通过隔离部件交换信息。（2）逻辑隔离器也是一种不同网络间的隔离部件，被隔离的两端仍然存在物理上数据通道连线，但通过技术手段保证被隔离的两端没有数据通道，即逻辑上隔离。一般使用协议转换、数据格式剥离和数据流控制的方法，在两个逻辑隔离区域中传输数据。并且传输的方向是可控状态下的单向，不能在两个网络之间直接进行数据交换。9、介绍VPN技术VPN即虚拟专用网，是通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。通常，VPN是对企业内部网的扩展，通过它可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连

30、接，并保证数据的安全传输。VPN可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。VPN架构中采用了多种安全机制，如隧道技术（Tunneling）、加解密技术（Encryption）、密钥管理技术、身份认证技术（Authentication）等，通过上述的各项网络安全技术，确保资料在公众网络中传输时不被窃取，或是即使被窃取了，对方亦无法读取数据包内所传送的资料。10、PKI/CA技术PKI（PublicKeyInfrastructure）指的是公钥基础设施。CA（Certificat

31、eAuthority）指的是认证中心。PKI从技术上解决了网络通信安全的种种障碍。CA从运营、管理、规范、法律、人员等多个角度来解决了网络信任问题。由此，人们统称为“PKI/CA”。从总体构架来看，PKI/CA主要由最终用户、认证中心和注册机构来组成。（1）PKI/CA的工作原理PKI/CA的工作原理就是通过发放和维护数字证书来建立一套信任网络，在同一信任网络中的用户通过申请到的数字证书来完成身份认证和安全处理。（2）数字证书数字证书就像日常生活中的身份证、驾驶证，在您需要表明身份的时候，必须出示证件来明确身份。您在参与电子商务的时候就依靠这种方式来表明您的真实身份。（3）认证中心（CA）一个认证中心是以它为信任源，由她维护一定范围的信任体系，在该信任体系中的所有用户、服务器，都被发放一张数字证书来证明其身份已经被鉴定过，并为其发放一张数字证书，每次在进行交易的时候，通过互相检查对方的数字证书即可判别是否是本信任域中的可信体。（4）注册机构注册中心负责审核