信息安全系统保障概述.docx

1、信息安全系统保障概述第一章 信息安全保障概述1.信息安全的基本属性：完整性、性、可用性、可控制性、不可否认性2.信息安全保障体系框架 生命周期：规划组织、开发采购、实施交付、运行维护、废弃 保障要素：技术、管理、工程、人员 安全特征：性、完整性、可用性3.信息系统安全模型P2DR安全模型：策略、防护、检测、响应4信息保障技术框架IATF核心思想是纵深防御战略三个主要核心要素：人、技术和操作。四个技术框架焦点区域:保护本地计算机环境、保护区域边界、保护网络及基础设施、保护支撑性基础设施5.信息安全保障工作容：确定安全需求、设计和实施安全方案、进行信息安全评测、实施信息安全监控 第二章 信息安全基

2、础技术与原理密码技术、认证技术、访问控制技术、审计和监控技术A、密码技术明文、密文、加密、解密信息空间M、密文空间C、密钥空间K、加密算法E、解密算法D加密密钥、解密密钥密码体系分为对称密钥体系、非对称密钥体系对称密钥体系1 对称密钥优点：加解密处理速度快和度高。 缺点：密钥管理和分发负责、代价高，数字签名困难2对称密钥体系分类：分组（块）密码（DES/IDEA/AES）和序列密码(RC4/SEAL)3.传统的加密方法：代换法、置换法5、攻击密码体系的方法：穷举攻击法（128位以上不再有效）和密码分析法6. 针对加密系统的密码分析攻击类型分为以下四种： 惟密文攻击在惟密文攻击中，密码分析者知道

3、密码算法，但仅能根据截获的密文进行分析，以得出明文或密钥。由于密码分析者所能利用的数据资源仅为密文，这是对密码分析者最不利的情况。 已知明文攻击已知明文攻击是指密码分析者除了有截获的密文外，还有一些已知的“明文密文对”来破译密码。密码分析者的任务目标是推出用来加密的密钥或某种算法，这种算法可以对用该密钥加密的任何新的消息进行解密。 选择明文攻击选择明文攻击是指密码分析者不仅可得到一些“明文密文对”，还可以选择被加密的明文，并获得相应的密文。这时密码分析者能够选择特定的明文数据块去加密，并比较明文和对应的密文，已分析和发现更多的与密钥相关的信息。 密码分析者的任务目标也是推出用来加密的密钥或某种

4、算法，该算法可以对用该密钥加密的任何新的消息进行解密。 选择密文攻击选择密文攻击是指密码分析者可以选择一些密文，并得到相应的明文。密码分析者的任务目标是推出密钥。这种密码分析多用于攻击公钥密码体制。 衡量密码系统攻击的复杂性主要考虑三个方面的因素： 数据复杂性用做密码攻击所需要输入的数据量； 处理复杂性完成攻击所需要花费的时间； 存储需求进行攻击所需要的数据存储空间大小。 攻击的复杂性取决于以上三个因素的最小复杂度，在实际实施攻击时往往要考虑这三种复杂性的折衷，如存储需求越大，攻击可能越快。 7.扩散和混淆是对称密码设计的基本思想。乘积迭代的方法8.数据加密标准DES加密原理DES 使用一个

5、56 位的密钥以及附加的 8 位奇偶校验位，产生最大 64 位的分组大小。这是一个迭代的分组密码，使用称为 Feistel 的技术，其中将加密的文本块分成两半。使用子密钥对其中一半应用循环功能，然后将输出与另一半进行“异或”运算；接着交换这两半，这一过程会继续下去，但最后一个循环不交换。DES 使用 16 个循环，使用异或，扩展置换，压缩代换(S盒)，换位置换（移位 p盒）操作四种基本运算。扩展：3DES9.国际数据加密算法（IDEA）128位密钥对64位明文加密产生子密钥也很容易。这个算法用了52个子密钥（8轮中的每一轮需要6个，其他4个用与输出变换）。首先，将128-位密钥分成8个16-位

6、子密钥。这些是算法的第一批8个子密钥（第一轮六个，第二轮的头两个）。然后，密钥向左环移25位后再分成8个子密钥。开始4个用在第二轮，后面4个用在第三轮。密钥再次向左环移25位产生另外8个子密钥，如此进行D算法结束。10高级加密标准 AES11.分组密码工作模式电子密码本模式（ECB） 密码分组链模式CBC 密码反馈模式CFB 输出反馈模式OFB 计数模式 CTR非对称密码体系1. 优缺点：根本上克服了对称密码密钥分配上的困难，且易于实现数字签名，安全性高。但降低了加解密效率。2. 对称密码体系实现密码加密，公钥密码体制实现密钥管理3. RSA算法 基于大合数分解难得问题设计4. elgamal

7、 基于离散对数求解难5. ecc 椭圆曲线离散对数求解困难哈希函数（hash）(散列函数、杂凑函数)单向密码体制 不可逆映射将任意长度的输入经过变换后得到固定长度的输出 原消息的散列或信息摘要 散列值/哈希值1. 性质：压缩 易计算 单向性 抗碰撞性 高灵敏性2. 应用：消息认证 数字签名 口令的安全性 数据的完整性3. 典型的两类：消息摘要算法 安全散列算法4. 消息摘要算法MD5 128位安全散列算法 SHA数字签名以电子形式存在于数据信息之中的，或作为其附件的或逻辑上与之有联系的数据，可用于辨别数据签署人的身份，并表明签署人对数据信息中包含的信息的认可。数字签名体制包括签名和验证签名两个

8、过程。应用：鉴权 完整性 不可抵赖密钥管理指处理密钥自产生到最终销毁的有关问题的全过程种类：基本密钥或初始密钥、会话密钥、密钥加密密钥、主机主密钥密钥产生密钥分配：人工密钥分发、基于中心的密钥分发（密钥分发中心KDC 密钥转换中心KTC）最典型的密钥交换协议：diffie-hellman算法公开密钥分配：公开发布、公用目录、公钥授权、公钥证书B、认证技术消息认证验证所收到的消息确实来自真正的发送方，并且未被篡改的过程产生认证码的函数类型:消息加密（对称与非对称） 消息认证码（MAC） 哈希函数身份认证可追究责任机制：认证 授权 审计认证：在做任何动作之前必须有方法来识别动作执行者的真实身份，又

9、称鉴别、确认身份认证系统由认证服务器 认证系统客户端和认证设备组成认证手段：静态密码方式 动态口令认证 usb key 认证 生物识别技术认证协议：基于口令的认证协议 基于对称密码的认证（需要KDC） 基于公钥的认证C、访问控制技术保护系统安全的基础：认证 访问控制 审计访问控制是在身份认证的基础上，依据授权对提出的资源访问请求加以控制主体 客体可信计算机系统评估准则TCSEC分类：自主访问控制DAC 强制访问控制MAC 基于角色的访问控制RBAC自主访问控制DAC 行 访问能力表CL 列 访问控制表ACL 访问矩阵强制访问控制MAC 安全标签 访问控制标签列表 TS S C U访问模式 向下

10、读RD 向上读RU 向下写WD 向上写WUBell-lapadula模型 不上读 不下写Biba模型 不下读 不上写访问控制技术：集中式访问控制 非集中式访问控制集中式访问控制认证、授权、审计（AAA）管理网络接入服务器（NAS）AAA管理协议包括拨号用户远程认证服务RADIUS（3种返回消息：访问拒绝、需要进行挑战、访问接受）终端访问控制器访问控制系统TACACS Diameter 支持移动ip非集中式访问控制分布式访问控制需要解决跨域访问问题三种方法：单点登录SSO 所有应用系统共享一个身份认证系统（不是只有一个）；所有应用系统能够识别和提取ticket信息Kerberos协议 密码分发服

11、务器kdc 票据 kdc兼具认证服务器AS和票据授权服务TGS两个功能 票据获取凭证TGT 客户端会话密钥SesameD/审计和监控技术审计系统通常由日志记录器（通常调用syslog记录） 分析器和通告器组成，分别用于收集数据、分析数据及通报结果。恶意行为监控 监控方式分为主机监控和网络监控 蜜罐技术是一种网络监控技术，它将未使用地址空间伪装成活动网络空间，通过与入侵者的主动交互获得入侵详细信息，以达到对攻击活动进行监视、检测盒分析的目的。网络信息容监控 主要方法为网络舆情分析（舆情分析引擎 自动信息采集功能 数据清理功能）网络信息容审计技术主要有网络信息容的获取技术（嗅探技术）和网络容还原分

12、析技术不良信息容监控方法：网址过滤技术 网页容过滤技术 图片容过滤技术第三章 系统安全A/操作系统安全1. 操作系统是控制其他程序运行，管理系统资源并为用户提供操作界面的系统软件的集合2. 用户模式与核模式 触发一个特殊的硬件自陷3. 用户接口是为方便用户使用计算机资源所建立的用户与计算机之间的联系 非为作用级接口和程序级接口4. 操作系统的功能：资源管理 用户接口 进程管理 容管理5. 最常见的保护环结构： 0 操作系统核 1 操作系统其他部分 2 I/O驱动程序和实用工具 3 应用程序和用户活动6. 守护进程：脱离于终端并且在后台运行的进程7. inetd进程 监视网络请求的守护进程8.

13、文件权限 一个文件通常属于创建它的用户及该用户的基本分组；每个文件和目录有3组权限与之有关，拥有者，文件所属分组成员，其他所有用户；每组权限有3个权限标志位 r w x（可执行）；9位合起来称为模式位，通常用一列10个字符表示，还有一位指明文件类型 SUID SGID 设置用户ID和分组ID属性，分别表现在所有者或同组用户权限的可执行位上9. 用chmod命令改变文件的权限设置 如chmod 666 myfile（绝对模式） chmod g+r foo（符号模式）表示给文件foo的分组读权限10. 系统启动过程：预引导阶段 引导阶段 载入核阶段 初始化核阶段 登陆阶段11. 进程安全管理方法：

14、任务管理器 Msinfo32 、dos命令行12. 系统服务 服务是一种在系统后台运行的应用程序类型 服务控制管理器 net start/Stop 命令 sc命令13. 用户权利与授权 网络安全性依赖于给用户或组所授予的能力，包括权限（文件系统能力、权利（系统上完成特定动作的授权）、共享（通过网络使用文件夹）14. windows有3种类型的事件日志：系统日志 应用程序日志 安全日志。15. 安全策略：密码策略 锁定策略 审核策略 用户权力指派 安全选项 装载自定义安全模板16. windows 加密文件系统17. 可信计算技术 可信计算基TB 可信约等于安全+可靠 可信计算机系统是能够提供系

15、统的可靠性、可用性、信息和行为安全性的计算机系统。 信任根和信任链 从信任根到硬件平台到操作系统到应用 可信信任模块TCM是可信计算平台的信任根 可信网络连接TNC中国的：可信密码模块B/数据库安全1. 数据库是一个长期存储在计算机的、有组织的、有共享的、统一管理的数据集合。2. 结构化查询语言SQL3. 数据库的安全性是指保护数据库，防止因用户非法使用数据库造成数据泄露、更改或破坏。4. 数据库安全性控制的方法包括用户标识和鉴定、存取控制、审计、数据加密等5. 视图与数据性6. 数据完整性就是确保数据库中的数据的一致性和正确性。数据库提供了约束、规则和默认事务处理等功能保证数据完整性。默认值

16、，如create default con3 as 20 Create rule R1 As condition-expression 绑定规则 exec sp-（un）bindrule r1，table8.c17. 事务处理（transaction） 回退（rollback） 提交（commit） 保留点（savepoint）事务处理的特性：原子性 一致性 隔离性 持久性类型：自动处理事务 隐式事务 用户定义事务 分布式事务8. 数据库威胁：过分特权滥用 合法特权滥用 特权提升 平台漏洞 sql 注入 不健全审计 拒绝服务 数据库通信协议漏洞 不健全的认证（暴力 社会工程 直接窃取 备份数据暴

17、露9. 数据库安全防护：事前检查 事中监控 事后审计10. 数据库安全特性检测 对数据库的静态安全防护 有3个层次，分别为端口扫描（服务发现） 渗透测试（容：监听器安全特性分析，用户名和密码渗透、漏洞分析）部安全检测11. 数据库运行安全监控 主要由网络嗅探器、数据库分析器、sql分析器和安全审计组成。第四章 网络安全基础A/网络安全基础1、 TCP/IP开放模型：物理和数据层 网络层 传输层 应用层网络协议2、 数据层协议 ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以

18、太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。 RARP协议 逆向地址转换协议3、 网络层协议IP协议是英文Internet Protocol（网络之间互连的协议）的缩写，中文简称为“网协”，也就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上

19、进行通信时应当遵守的规则。任何厂家生产的计算机系统，只要遵守 IP协议就可以与因特网互连互通。IP地址具有唯一性，根据用户性质的不同，可以分为5类。另外，IP还有进入防护，知识产权，指针寄存器等含义。如今的IP网络使用32位地址，以点分十进制表示，如192.168.0.1。地址格式为：IP地址=网络地址+主机地址或 IP地址=网络地址+子网地址+主机地址。A类地址（1）A类地址 网络号7位，主机号24位。它的第1个字节的第一位固定为0.B类地址（1） B类地址网络号14位，其它2个字节为主机地址。它的第1个字节的前两位固定为10.C类地址（1）C类地址第1字节、第2字节和第3个字节为网络地址，

20、第4个字节为主机地址。另外第1个字节的前三位固定为110。D类地址（1） D类地址不分网络地址和主机地址，它的第1个字节的前四位固定为1110。（2） 多个目的地址的地址广播E类地址（1） E类地址不分网络地址和主机地址，它的第1个字节的前四位固定为1111。暂时保留A/B/C类主机号全为0的地址表示一个网络的本网络地址，为1的为直接广播地址受限广播地址：32为全为1自环地址：127.0.0.1ICMP协议ICMP是（Internet Control Message Protocol）Internet控制报文协议。它是TCP/IP协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。控制

21、消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。传输层协议TCP协议传输控制协议TCP是因特网中的传输层协议，使用三次握手协议建立连接。当主动方发出SYN连接请求后，等待对方回答SYN，ACK。这种建立连接的方法可以防止产生错误的连接，TCP使用的流量控制协议是可变大小的滑动窗口协议。第一次握手：建立连接时，客户端发送SYN包（SEQ=x）到服务器，并进入SYN_SEND状态，等待服务器确认。第二次握手：服务器收到SYN包，必须确认客户的SYN(ACK=x+1），同时自己也送一个SYN包（SEQ=y），即S

22、YN+ACK包，此时服务器进入SYN_RECV状态。第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ACK=y+1），此包发送完毕，客户端和服务器进入Established状态，完成三次握手。建立一个连接需要三次握手，而终止一个连接要经过四次握手，这是由TCP的半关闭（half-close）造成的。UDP协议用户数据报协议，是 OSI（开放式系统互联） 参考模型中一种无连接的传输层协议，提供面向事务的简单不可靠信息传送服务，IETF RFC 768是UDP的正式规。UDP是OSI参考模型中一种无连接的传输层协议，它主要用于不要求分组顺序到达的传输中，分组传输顺序的检查

23、与排序由应用层完成1，提供面向事务的简单不可靠信息传送服务。UDP 协议基本上是IP协议与上层协议的接口。UDP协议适用端口分别运行在同一台设备上的多个应用程序。应用层协议HTTP协议超文本传输协议一种详细规定了浏览器和万维网服务器之间互相通信的规则，通过因特网传送万维网文档的数据传送协议。由请求和响应构成，是一个标准的客户端服务器模型。HTTP是一个无状态的协议。SMTP（Simple Mail Transfer Protocol）即简单传输协议,它是一组用于由源地址到目的地址传送的规则，由它来控制信件的中转方式。SMTP协议属于TCP/IP协议族，它帮助每台计算机在发送或中转信件时找到下一

24、个目的地。通过SMTP协议所指定的服务器,就可以把Email寄到收信人的服务器上了，整个过程只要几分钟。SMTP服务器则是遵循SMTP协议的发送服务器，用来发送或中转发出的电子。POP3协议 (Post Office Protocol 3)即邮局协议的第3个版本，它是规定个人计算机如何连接到互联网上的服务器进行收发的协议。它是因特网电子的第一个离线协议标准，POP3协议允许用户从服务器上把存储到本地主机（即自己的计算机）上，同时根据客户端的操作删除或保存在服务器上的，而POP3服务器则是遵循POP3协议的接收服务器，用来接收电子的。POP3协议是TCP/IP协议族中的一员，,由RFC 1939

25、 定义。本协议主要用于支持使用客户端远程管理在服务器上的电子DNS协议 域名系统DNS 是域名系统(Domain Name System) 的缩写，是因特网的一项核心服务，它作为可以将域名和IP地址相互映射的一个分布式数据库，能够使人更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。B/网络安全威胁技术攻击流程：准备阶段（扫描技术） 具体网络攻击阶段（网络嗅探 协议分析 诱骗式攻击 漏洞攻击 决绝服务攻击 web攻击）成功入侵后的控制阶段（植入木马）扫描技术互联网信息的收集 IP地址扫描 网络端口扫描（TCP全连接扫描、 tcp syn扫描、 tcp fin 扫描、 udp的icm

26、p端口不可达扫描、 icmp扫描、乱序扫描和慢速扫描）漏洞扫描（网络漏洞扫描 主机漏洞扫描）弱口令扫描（基于字典攻击的弱口令扫描技术和基于穷举攻击的）综合漏洞扫描防技术：防火墙 安全检测工具网络嗅探技术利用网络嗅探工具获得目标计算机的网络传输的数据包，就可以通过对数据包按照协议进行还原和分析，从而获取目标计算机传输的大量信息。工具：wireshark/sniffer pro/omnipeek/netxray网络传输数据的加密 利用网络设备的物理或者逻辑隔离的手段防止信息泄露网络协议欺骗Ip地址欺骗 arp欺骗（实施中间人欺骗 伪装成网关的欺骗） tcp欺骗（非盲攻击 盲攻击 dns欺骗（基于d

27、ns服务器 基于用户计算机的欺骗欺骗式攻击挂马：网络中的网页被攻击者恶意修改后，添加了可以触发并下载恶意程序的及恶意代码和脚本。主要技术手段有框架挂马，js脚本挂马 body挂马和伪装欺骗挂马。诱骗下载：多媒体类文件下载 网络游戏软件和插件下载 热门应用软件下载 电子书爱好者 p2p种子文件 文件捆绑方式：多文件捆绑方式 资源融合捆绑方式 漏洞利用捆绑方式钓鱼：一种被黑客实施网络欺诈的伪装社会工程软件漏洞攻击利用技术操作系统服务就程序漏洞 文件处理软件漏洞 浏览器软件漏洞 其他软件漏洞利用技术：直接网络攻击 诱骗式网络攻击（基于的诱骗式网络攻击 网络传播本地诱骗点击攻击）防：安装使用新版本的操

28、作系统和软件 访问正规 不随意点击通过电子或及时通信软件发来的文件 安装杀毒软件和主动防御软件拒绝服务攻击DOS攻击目标是主机，目的是使目标主机的网络带宽和资源耗尽，使其无法提供正常对外服务。实现方式:利用目标主机自身存在的拒绝服务型漏洞进行攻击 耗尽目标主机cpu和存等计算机资源的攻击 耗尽目标主机网络带宽攻击分类：ip层协议的攻击（smurf攻击）tcp协议的攻击（syn flood和ack flood 攻击 tcp全连接dos攻击） udp协议攻击 应用层协议攻击防御措施：静态和动态的ddos过滤器 反欺骗技术 异常识别 协议分析 速率限制 其他（提供系统安全性，及早发现漏洞，安装补丁，

29、防护墙 路由器）Web脚本攻击注入攻击（sql注入 代码注入命令注入等）跨站脚本攻击（xss分为反射型xss 存储型 dom based xss）跨站点请求伪造（csrf远程控制木马：具有远程控制、信息偷取、隐蔽传输功能的恶意程序。伪装性 隐藏性 窃密性 破坏性 连接防止：传统木马的客户端程序主动连接服务端程序 反弹式木马是服务端主动发起连接请求隐藏方式：线程插入技术 dll动态劫持技术 rootkit技术 Webshell一种用web脚本写的木马后门C/网络安全防护技术防火墙可信和不可信网络之间，通过设置一系列安全规则对两个网络之间的通信数据包进行访问控制，检测网络交换的信息，防止对重要信息

30、资源的非法存取和访问，以达到保护部可信网络的目的。一般部署在网络边界。功能:外网之间数据过滤 对网络传输和访问的数据进行记录和审计 防外网之间的异常网络攻击 通过配置nat提高网络地址转换功能分类：软件防火墙（企业级 个人级 安装在操作系统上） 硬件防火墙（X86架构的防火墙 asic架构的防火墙 np架构的防火墙）防火墙技术：包过滤技术 状态监测技术 地址翻译技术应用级网关体系架构主要包括双重宿主主机体系结构和屏蔽主机体系结构、屏蔽子网络体系结构的防火墙安全策略：网可以访问外网 网可以访问dmz（非军事区即缓冲区） 外网不可以访问网 外网可以访问dmz dmz不能访问网 dma可以访问外网不

31、能防的安全威胁：网之间的恶意攻击 绕过防火墙通道上的攻击 病毒和 部驱动的木马 针对防护墙开发端口的攻击入侵检测系统工作在计算机网络系统中的关键节点上，通过实时地收集和分析计算机网络系统中的信息来检测是否出现违反安全策略的行为和是否存在入侵的迹象，进而达到提示入侵、预防攻击的目的。控制台和探测器分类：数据采集方式：基于网络的和基于主机的 检测原理：误用检测型和异常检测型技术：误用检测技术（专家系统 模型推理 状态转换分析）异常检测技术（统计分析 神经网络）其他（模式匹配 文件完整性检验 数据挖掘 计算机免疫方法入侵防御系统功能：拦截恶意流量 实现对传输容的深度检测盒安全防护 对网络流量监测的同时进行过滤 不足：可能造成单点故障 可能造成性能瓶颈 漏报和误报的影响PKI（公共密钥基础设施）组成：安全策略 证书认证机构（CA） 证书注册机构（RA）证书分发系统（CDS） 基于pki的应用接口数字证书：经证书认证机构签发的，包含用户身份信息、用户公开密钥信息和证书认证机构的数字