《網(wǎng)絡與信息安全技術》由會員分享，可在線閱讀，更多相關《網(wǎng)絡與信息安全技術（33頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、,單擊此處編輯母版標題樣式,單擊此處編輯母版文本樣式,第二級,第三級,第四級,第五級,*,網(wǎng)絡與信息平安技術,陳廣山編著,機械工業(yè)出版社,2007年7月,第1章概論,1.1網(wǎng)絡信息平安,網(wǎng)絡信息平安,1網(wǎng)絡信息平安的定義,網(wǎng)絡信息平安是一個涉及計算機科學、網(wǎng)絡技術、通信技術、密碼技術、信息平安技術、應用數(shù)學、數(shù)論、信息論等多種學科的邊緣學科。從廣義上講，但凡涉及到網(wǎng)絡上信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論都是網(wǎng)絡信息平安所要研究的領域。通用的定義為：,網(wǎng)絡信息平安是指網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)能夠連

2、續(xù)、可靠、正常地運行，網(wǎng)絡效勞不中斷。,2網(wǎng)絡信息平安的含義,1信息系統(tǒng)平安，即信息處理和傳輸系統(tǒng)的平安。,2系統(tǒng)信息平安。,3信息傳播平安。,4信息內容平安。,如果從普通用戶、網(wǎng)絡管理員、平安保密部門、教育以及社會意識形態(tài)等不同的角度來理解，網(wǎng)絡信息平安的含義也會有差異。本書所涉及的網(wǎng)絡信息平安的含義是通過各種計算機、網(wǎng)絡、加密技術和信息平安技術，保護在公共通信網(wǎng)絡中傳輸、交換和存儲的信息的機密性、完整性和真實性，并對信息的傳播及內容具有控制能力。,1保密性,2完整性,3可用性,4不可否認性,5可控性,網(wǎng)絡信息平安的特征,網(wǎng)絡信息平安技術,1主動防御技術,1數(shù)據(jù)加密。加密技術被認為是解決網(wǎng)絡

3、平安問題的最好途徑，是目前最有效的數(shù)據(jù)保護的手段。,2CA認證。CA中心是具有權威性和公正性的第三方信任機構，采用PKI公共密鑰根底架構技術，提供網(wǎng)絡身份認證效勞，確保通信雙方的真實、可靠。,3訪問控制。訪問控制主要分為自主訪問控制和強制訪問控制兩種，即通過身份認證來控制用戶對資源的訪問和通過規(guī)定主體對客體的操作權限來保證信息的平安。,4虛擬網(wǎng)絡技術。使用VPN或VLAN技術，通過網(wǎng)段的劃分、控制數(shù)據(jù)流向等手段實現(xiàn)防范的目的。,5入侵檢測。入侵檢測是使用軟件(或硬件)技術監(jiān)視和分析網(wǎng)絡信息系統(tǒng)中發(fā)生的事件，當系統(tǒng)受到攻擊時，它可以檢測出來并做出積極的響應。,2、被動防御技術,1防火墻技術。防火

4、墻是一種置于可信網(wǎng)絡與不可信網(wǎng)絡之間的平安防御系統(tǒng)，可以認為是一種訪問控制機制，用于控制非授權的訪問進出防火墻。,2平安掃描?？勺詣訖z測遠程或本地主機平安弱點的程序，用于觀察網(wǎng)絡的工作情況、收集主機的信息。,3密碼檢查器。通過口令驗證程序檢查薄弱的口令。,4平安審計。在網(wǎng)絡信息系統(tǒng)中有記錄與平安相關事件的日志文件，可供日后調查、分析、追查有關不信任的人，發(fā)現(xiàn)系統(tǒng)平安的弱點和漏洞等。,5路由過濾。路由器中的過濾器對所接收的每一個數(shù)據(jù)包根據(jù)包過濾規(guī)那么做出允許或拒絕的決定。,6平安管理技術。通過制定規(guī)章制度和條例等平安策略來減少人為因素對網(wǎng)絡信息系統(tǒng)的影響。,1.2威脅網(wǎng)絡信息平安的因素物理威脅,

5、1偷竊,網(wǎng)絡信息平安中的偷竊包括設備偷竊、信息偷竊和效勞偷竊等內容。,2廢物搜尋,指的是在扔掉的打印材料、廢棄軟盤等廢物中搜尋所需要的信息。,3身份識別錯誤,非法建立文件或記錄，企圖把它們作為有效的、正式生產的文件或記錄。,4間諜行為,是一種為了省錢或獲取有價值的機密、采用不道德的手段獲取信息。,漏洞威脅,1不平安效勞,由于缺陷或錯誤使系統(tǒng)本身存在漏洞，這些問題可能導致一些效勞程序繞過平安系統(tǒng)，從而對信息系統(tǒng)造成不可預料的損失。,2配置和初始化錯誤,效勞器的關閉或重新啟動可能是不可防止的，當效勞器啟動時系統(tǒng)要重新初始化，如果平安系統(tǒng)沒有隨之正確的初始化，就會留下平安漏洞被人利用；類似的問題在木

6、馬程序修改了系統(tǒng)的平安配置文件時也會發(fā)生。,3乘虛而入,計算機之間的通信是通過特定的端口實現(xiàn)的。如在FTP效勞中，用戶暫時停止了與某個系統(tǒng)的通信，但由于該端口仍處于激活狀態(tài)，那么，其他用戶就可以乘虛而入利用這個端口與這個系統(tǒng)通信，這樣就會繞過例行的申請和平安檢查程序。,身份鑒別威脅,1口令圈套,口令圈套是網(wǎng)絡平安的一種詭計，與冒名頂替有關。,2口令破解,破解口令就是通過某種策略對口令進行分析和猜測，在該領域中已形成許多能提高成功率的技巧。,3編輯口令,編輯口令需要依靠操作系統(tǒng)漏洞，如果企業(yè)內部的人建立了一個虛設的賬戶或修改了一個隱含賬戶的口令，這樣，任何知道那個賬戶的用戶名和口令的人便可以訪問

7、該主機了。,4算法考慮不周,口令驗證系統(tǒng)必須在滿足一定的條件下才能正常工作，這個驗證過程需要通過某種算法來實現(xiàn)。如果算法考慮不周全，驗證的過程和結果就不可靠。,有害程序威脅,1病毒,病毒是一種把自己的拷貝附著于其它正常程序上的一段代碼，通過這種方式病毒可以進行自我復制，并隨著它所附著的程序在網(wǎng)絡及計算機之間傳播。,2特洛伊木馬,特洛伊木馬是一種遠程控制工具，一旦被安裝到某臺主機上，該主機便可以被監(jiān)視和控制。特洛伊木馬可以在該主機上上傳、下載文件，偷窺私人文件、密碼及口令信息，甚至能夠摧毀數(shù)據(jù)。中了木馬的主機，其一切秘密都將暴露在別人面前，隱私將不復存在。,3代碼炸彈,代碼炸彈是一種具有殺傷力的

8、代碼，當滿足預設的條件時，代碼炸彈就被觸發(fā)并產生破壞性結果。,網(wǎng)絡連接威脅,1竊聽,對通信過程進行竊聽可到達收集信息的目的，通過檢測從連線上發(fā)射出來的電磁輻射就能拾取所要的信號。為了使機構內部的通信有一定的保密性，可以使用加密技術來防止信息被解密。,2冒充,通過使用別人的密碼和賬號，獲得對網(wǎng)絡及其數(shù)據(jù)、程序的使用能力。這種方法實現(xiàn)起來并不容易，而且一般需要有機構內部的、了解網(wǎng)絡和操作過程的人參與。,3撥號進入,擁有一個調制解調器和一個 號碼，每個人都可以試圖通過遠程撥號訪問網(wǎng)絡，尤其是擁有所期望攻擊的網(wǎng)絡的用戶賬戶時，就會對網(wǎng)絡造成很大的威脅，這種方法可以使防火墻失去作用。,1.3網(wǎng)絡信息平安

9、的根本原那么 最小特權原那么,最小特權原那么是指一個對象(或實體)應該只擁有為執(zhí)行其分配的任務所必要的最小特權，并絕對不超越此限。,最小特權原那么是最根本的網(wǎng)絡信息平安原那么。網(wǎng)絡管理員在為用戶分配初始權限時，通常只賦予其相應效勞的最小權限“只讀，然后再根據(jù)實際需求以及對用戶的了解程度提升其權限。因為對于大多數(shù)用戶來講，不可能需要獲得系統(tǒng)中的所有效勞，也沒有必要去修改系統(tǒng)中的文件。,實際上，平安是靠對信息系統(tǒng)中主體和客體的限制來實現(xiàn)的，限制越嚴格，平安越容易保證。然而，單純通過限制來確保平安是沒有任何意義的，在工作中不能因為最小特權原那么而影響正常的網(wǎng)絡效勞。,縱深防御原那么,縱深防御是另一個

10、重要的原那么，是指不能只依靠單一的平安機制，而應該通過多種機制互相支撐以實現(xiàn)平安的目的。如果系統(tǒng)中只存在惟一的平安機制，該機制一旦失敗，系統(tǒng)的平安就無從談起，也可能連“亡羊補牢的時機也會失去。,防火墻是一種好的平安機制，可以保護內部網(wǎng)絡免受外部的侵襲。但是防火墻只是平安策略的一局部，不能把所有的平安僅寄托在一個防火墻身上。因為防火墻無法防止繞過防火墻的攻擊，也不能防范冒充和欺騙等攻擊，更不能防范來自內部的攻擊。相反，如果除了防火墻以外還存在備份、代理、認證、入侵檢測技術等多層防御措施，那么平安風險就會大大降低。,阻塞點原那么,所謂阻塞點就是設置一個窄道，目的是強迫攻擊者使用這個窄道，以對其進行

11、監(jiān)視和控制。我們所熟悉的防火墻就是阻塞點原那么的典型代表。防火墻的位置處于內部網(wǎng)和外部網(wǎng)的邊界處，它監(jiān)視和控制著進出網(wǎng)絡信息系統(tǒng)的惟一通道，任何不良的信息都將被它過濾掉。,但要注意的是，即使有了阻塞點，攻擊者還是可以采用其他合法的方法進行攻擊的，這時阻塞點就沒有多大價值了。正如“馬其諾防線無法防范來自非正面的攻擊一樣，如果管理員為了自己方便在防火墻上私設“后門，或者允許個別部門撥號上網(wǎng)，那么攻擊者也會有時機繞過阻塞點。這時防火墻就形同虛設，失去它的意義了。,最薄弱鏈接原那么,最薄弱鏈接原那么是指鏈的強度取決于它的最薄弱鏈接，墻的鞏固程度取決于它的最薄弱處，即網(wǎng)絡信息平安中的“短板原理。系統(tǒng)之所

12、以能夠被攻擊，正是由于其本身存在著某種缺陷或漏洞，如果對自己的系統(tǒng)不了解，注意不到這些最薄弱“鏈接處，并無法消除它們，那么平安也就無從保證。,然而，最薄弱鏈接還會經常存在的，解決方法是：,1使最薄弱鏈接處盡量鞏固并在發(fā)生危險前保持強度的均衡。,2平等對待平安的各個方面而不能有偏重。如不能只防外部入侵，而無視內部攻擊。,3注意平安產品的升級，補丁的及時更新。,失效保護狀態(tài)原那么,失效保護原那么是指當系統(tǒng)失效以后應該自動處于平安保護狀態(tài)，能夠拒絕入侵者的入侵。網(wǎng)絡中的許多應用都是以保護失效原那么設計的。如，假設包過濾路由器出現(xiàn)故障，那么將會禁止任何數(shù)據(jù)包進入；如果代理效勞器壞了，那么將不提供任何效

13、勞。,在平安決策和平安策略中有兩個狀態(tài)可供選擇：,l默認拒絕狀態(tài)：只指明所允許的事情，而其它一切皆禁止。這種方法是當失敗時只允許執(zhí)行預先決定的那些應用，除此以外的所有應用都被禁止。默認拒絕從平安的角度看是能奏效的，大局部人都愿意選擇它。,l默認許可狀態(tài)：只指明所禁止的事情，而允許其它一切事情。這種方法是預先決定哪些應用是要禁止的，失敗時除這些禁止的不能執(zhí)行外，其它的全部都是允許的，這種方法用戶是歡送的。,普遍參與原那么,為了使平安機制更有效，應該要求包括官員、管理者、普通職工和用戶等每一成員都能有意識地普遍參與。因為如果某個成員輕易地從平安保護機制中退出，那么入侵者就有時機找到入侵的突破口，先

14、侵襲內部豁免的系統(tǒng)，然后再以其為跳板進行內部攻擊。況且，黑客攻擊的時間、地點和方式等都是不確定的，即使配備入侵檢測系統(tǒng)，管理員也不可能及時覺察到平安事件的發(fā)生，系統(tǒng)的異常和變化如果沒有“全民皆兵意識是不可能被及時發(fā)現(xiàn)和處理的。,平安問題的本質是人的問題，除了有一個好的平安策略以外，更要重視加強對全體成員進行平安教育，使每個成員都能自覺地維護平安是一個事半功倍的好策略。,防御多樣化原那么,縱深防御是信息系統(tǒng)平安的原那么之一。但假設使用n個完全相同的防火墻來實現(xiàn)該原那么結果會如何呢？一旦第一個防火墻被突破，其它n-1個形成的縱深就沒有任何意義可言了。相反，如果其它n-1個縱深使用不同的技術或產品，

15、結果又如何呢？后者就是防御多樣化原那么。,防御多樣化的含義是使用從不同廠商那里得到的平安保護系統(tǒng)可以降低因產品缺陷或配置錯誤而危及整個系統(tǒng)的時機。但是操作中要注意提防虛假多樣化。,簡單化原那么,隨著企業(yè)規(guī)模的擴大，信息系統(tǒng)的功能也變得越來越復雜，其平安需求也越來越難以充分滿足；又由于攻擊和防御技術在矛盾中不斷開展，平安產品會變得越來越專業(yè)，平安策略也會變得晦澀難懂，影響平安方案的實施。,復雜的程序往往存在些小毛病，而任何小“bug都可能成為平安隱患，對一個復雜的網(wǎng)絡信息系統(tǒng)來講更是如此，復雜化將會直接影響其平安性。因為事情復雜化會使它們難于理解，如果不了解某事，就不能真正了解它是否平安；復雜化

16、也會為平安的“天敵提供隱藏的角落和縫隙。所以，無論是信息系統(tǒng)的平安策略，還是實施方案都要力求簡單，既要使管理員清楚，也要讓普通職員理解，更不能人為的復雜化。,1.4信息平安體系結構與模型OSI平安體系結構,1平安效勞,在對威脅進行分析的根底上，規(guī)定了5種標準的平安效勞：,1對象認證平安效勞。,2訪問控制平安效勞。,3數(shù)據(jù)保密性平安效勞。,4數(shù)據(jù)完整性平安效勞。,5防抵賴性平安效勞。,2平安機制,一個平安策略和平安效勞可以單個使用，也可以組合起來使用，在上述提到的平安效勞中可以借助以下平安機制：,1加密機制。,2數(shù)字簽名。,3訪問控制機制。,4數(shù)據(jù)完整性機制。,5認證交換機制。,6防業(yè)務流量分析機制。,7路由控制機制。,8公證機制。,3平安管理,為了更有效地運用平安效勞，需要有其它措施來支持它們的操作，這些措施即為平安管理。平安管理是對平安效勞和平安機制進行管理，把管理信息分配到有關的平安效勞和平安機制中去，并收集與它們的操作有關的信息。,OSI概念化的平安體系結構是一個多層次的結構，它本身是面向對象的，給用戶提供了各種平安應用，平安應用由平安效勞來實現(xiàn)，而平安效勞又是由各種平安機制來實