(物联网信息安全）第6章物联网应用层安全优质PPT.pptx

1、Web是动态的。Web是交互的。,Web安全,二、Web的安全威胁来自网络上的安全威胁与攻击多种多样，依照Web访问的结构，可将其分为对Web服务器的安全 威胁、对Web客户机的安全威胁和对通信信道的安 全威胁三类。,Web安全,1、对Web服务器的安全威胁Web服务器上的漏洞可以从以下几方面考虑在Web服务器上的机密文件或重要数据放置在 不安全区域，被入侵后很容易得到。在Web数据库中，保存的有价值信息，如果数 据库安全配置不当，很容易泄密。Web服务器本身存在一些漏洞，能被黑客利用 侵入到系统，破坏一些重要的数据甚至造成系统 瘫痪。程序员的有意或无意在系统中遗漏Bug给非法 黑客创造条件。

2、,Web安全,2、对Web客户机的安全威胁现在网页中的活动内容已被广泛应用，活动 内容的不安全性是造成客户端的主要威胁。网页 的活动内容是指在静态网页中嵌入的对用户透明 的程序。当用户使用浏览器查看带有活动内容的 网页时，这些应用程序会自动下载并在客户机上 运行，如果这些程序被恶意使用，则可以窃取、改变或删除客户机上的信息。针对Web客户机的安 全威胁，主要用到Java Applet和ActiveX技术。,Web安全,3、对通信信道的安全威胁Internet是连接Web客户机和服务器通信的信 道，是不安全的。像Sniffer这样的嗅探程序，可 对信道进行侦听，窃取机密信息，存在着对保密 性的安

3、全威胁。未经授权的用户可以改变信道中 的信息流传输内容，造成对信息完整性的安全威 胁。,Web安全,三、Web安全防护1、Web的安全防护技术Web客户端的安全防护通信信道的安全防护Web服务器端的安全防护2、Web服务器安全防护策略的应用系统安装的安全策略；系统安全策略的配置；IS安全策略的应用；审核日志策略的配置。,中间件安全,一、中间件1、中间件基本概念中间件即软件中间件是一类连接软件组件和应 用的计算机软件，它包括一组服务，以便于运行在 一台或多台机器上的多个软件通过网络进行交互。中间件在操作系统、网络和数据库之上，应用软件的下层，总的作用是为自己上层的应用软件提 供运行与开发的环境，

4、帮助用户灵活、高效地开发 和集成复杂的应用软件。中间件不仅仅实现互联，还要实现应用之间的 互操作；中间件是基于分布式处理的软件，最突出 的特点是其网络通信功能。,中间件安全,2、中间件的特点及分类优点：满足大量应用的需要；运行于多种硬 件和OS平台上；支持分布式计算，提供跨网络、硬件和OS平台的透明性的应用或服务的交互功能；支持标准的协议；支持标准的接口。缺点：中间件所应遵循的一些原则离实际还 有很大距离；有些中间件服务只提供一些平台的 实现，从而限制了应用在异构系统之间的移植等。分类：中间件大致可分为：终端仿真/屏幕 转换中间件、数据访问中间件、远程过程调用中 间件、消息中间件、交易中间件、

5、对象中间件。,二、物联网中间件物联网中的中间件处于物联网的集成服务器端和 感知层、传输层的嵌入式设备中。服务器端中间 件称为物联网业务基础中间件，一般是基于传统 的中间件来构建的。嵌入式中间件是支持不同通 信协议的模块和运行环境。中间件的特点是它固 化了很多通用功能，但在具体应用中多半需要二 次开发来实现个性化的业务需求，因此所有物联 网中间件都需要提供快速发展工具。,中间件安全,在RFID中物联网中间件具有以下特点：应用架构独立。物联网中间件介于RFID读 写器与后端应用程序之间有独立于它们之外。分布数据存储。RFID最主要的目的在于将 实体对象转换为信息环境下的虚幻对象，因此，数据存储与处

6、理是RFID最重要的功能。数据加工处理。物联网中间件通常采用程 序逻辑及存储转发的功能来提供顺序的信息，具 有数据设计和管理的能力。,中间件安全,三、RFID中间件安全1、RFID中间件安全存在的问题数据传输：RFID数据在经过网络层传播时，非法入侵者很容 易对标签信息进行篡改、截获和破解、重放攻击、数据演绎，以及DoS攻击。身份认证：当大量伪造的标签数据发往阅读器时，阅读器消 耗大量的能量，处理的却是虚假的数据，而真实的数据被隐藏不被 处理，严重的可能会引起拒绝服务式攻击。授权管理：不同的用户只能访问已被授权的资源，当用户试 图访问未授权的受保护的RFID中间件服务时，必须对其进行安全访问控

7、制，限制其行为在合法的范围之内。,中间件安全,中间件安全,RFID读写器,RFID读写器,RFID读写器,RFID中间件,企业应用系统,ONS基础服务,RFID基础服务,RFID中间件的物理连接结构图,数据安全,一、数据安全概述1、机密性：机密性是指信息不泄露给非授权的用 户、实体、过程或供其利用的特性。2、完整性：数据完整性是指在传输、存储信息或 数据的过程中，确保信息或数据不被未授权的 用户篡改或在篡改后能够被迅速发现。3、可用性：可用性是指被授权实体访问并按需求 的特性，即当需要时能否存取和访问所需的信 息，用户访问数据的期望使用能力。,数据安全,二、数据安全保护预防，又称阻止，它试图通

8、过阻止所有未经授权的改 写数据的企图来预防入侵的出现，从而保证数据安全外泄 不会发生。访问控制技术是服务器以及数据库中最主要的 预防措施之一。访问控制一般有自主访问控制、基于角色 的访问控制和强制访问控制三种类型。检测可以保证信息系统活动有足够的历史活动记录。当数据泄露事件发生时可以通过它进行检测和取证。检测 机制并不阻止数据保密性和完整性的破坏，它仅仅告知数 据的完整性不再可信。检测机制试图通过对系统事件的分 析来检测出问题，或者通过数据本身的分析来查看信息系 统要求的约束条件是否依然满足。,数据安全,三、数据库安全1、数据库安全的定义：物理数据库的完整性；逻辑数据库 的完整性；元素安全性；

9、可审计性；访问控制；身份验 证；可用性。2、数据库安全常用技术：用户认证技术；安全管理技术；数据库加密技术。3、数据库安全通常通过存取管理、安全管理和数据库加密 来实现。存取管理就是一套防止未授权用户使用和访问 数据库的方法、机制和过程。安全管理指采取何种安全 管理机制实现数据库管理权限分配，一般分为集中控制 和分散控制两种方式。数据库加密包括：库内加密、库 外加密和硬件加密三个方面。,数据安全,四、虚拟化数据安全1、虚拟化特点：封闭，隔离，分区。2、数据中心安全风险分析：高资源利用率带来的风 险集中；网络架构改变带来的安全风险；虚拟机 脱离物理安全监管的风险。3、虚拟环境的安全风险：黑客攻击

10、；虚拟机溢出；虚拟机跳跃；补丁安全风险。4、虚拟化数据中心的安全设计：数据中心网络架构 高可用设计；网络安全的部署设计。,云计算安全,一、云计算概述1、云计算简介云计算是网格计算、分布式计算、并行计算、效 用计算、网络存储、虚拟化、负载均衡等传统计算机 和网络技术发展融合的产物。美国NIST对云计算的定义是：云计算是一种按 使用计费模型，提供对可安装且可靠的计算资源共享 池进行方便按需的网络访问服务，如网络、服务器、存储、应用、服务等。这些资源能够快速地供给和发 布，仅需要最少的用户管理和服务供应商间交互。,云计算安全,2、云计算的体系结构云计算的体系结构包括三个部分：应用层、平 台层、基础设

11、施层。基础设施层提供对计算、存储、带宽的管理，是虚拟化技术、负载均衡、文件系统管理、高可靠 性存储等云计算关键技术的集中体现层，是平台服 务和应用服务的基础。平台层为应用层的开发提供接口API调用和软件 运行环境。应用层服务提供具体应用，是一种通过Internet 提供软件的模式。,云计算的技术体系结构,云计算安全,3、云计算的优势协同工作方便无时无处不在的享受服务系统可扩展性，伸缩性较高系统可用性，可靠性高中小企业节约IT成本,云计算安全,二、云计算的安全问题云计算的安全问题包括：信任问题、网络与 系统安全问题、隐私保护问题。信任问题包括云 服务的信任评价、信任管理等问题；云计算的网 络安全

12、问题包括云计算数据传输的通信安全问题；系统安全问题，如云计算平台的可靠性问题、数 据存储安全问题等。其中数据存储安全包括数据 是否需要加密存储，如何加密，是在客户端还是 服务器端加密，如何在不信任存储服务器的情况 下保证数据存储的保密性和完整性，如何检查存 储在云存储空间的数据完整性。,云计算安全,云安全参考模型,云计算安全,三、云计算的存储安全1、数据的访问控制问题2、数据保密性问题3、数据完整性问题,云计算安全,云计算安全,四、计算虚拟化安全1、计算虚拟化特点：保真性，高性能，安全性。2、虚拟化系统分类：指令级虚拟化，硬件级虚拟化，操作系 统级虚拟化，编程语言级虚拟化和程序库级虚拟化。3、

13、计算机虚拟化的安全来自计算系统体系结构的改变。虚拟计算已从完全的物 理隔离方式发展到共享式虚拟化，实现计算系统虚拟化需要 在计算性能、系统安全、实现效率等因素之间进行权衡。计算机系统的运行形态发生了变化。虚拟计算允许用户 通过操纵文件的方式来创建、复制、存储、读写、共享、移 植以及回溯一个机器的运行状态，这些极大地增强了使用的 灵活性，却破坏了原有基于线性时间变化系统设定的安全策 略、安全协议等的安全性和有效性。,1、国际信息技术标准化组织国际标准化组织（ISO），国际电工委员会（IEC），国际电信联盟（ITU），Internet工程 任务组（IETF）。2、国际信息安全标准体系ISO/IEC

14、的国际标准13335、17799、27001系列；英国标准协会（BSI）的7799系列；美国国家标准和技术委员会（NIST）的特别出 版物系列。,物联网信息安全标准,3、信息安全标准体系研究特点基于信息内容的过滤和管理技术将越来越受关注；防范和治理垃圾信息成为网络安全研究的重要内容；网络与信息安全研究重点将逐渐从设备层面向网络层面转移；业务安全越来越成为运营商的研究重点；认证技术将生物鉴别研究作为重要内容；网络建设将重视信任体系的建设；互联网安全将进一步研究，其成果将适用于下一代网以及3G 核心网；网络上信息安全将划分责权，网络则负责部分私密性和完整 性，机密性和不可否认性由端到端保障；安全管理中的安全风险评估将成为安全研究的重要内容。,物联网信息安全标准,谢谢大家！,