第九章系统安全

1.信息安全基础知识

1.1.5个基本要素

机密性：确保信息不暴露给未授权的实体或进程。
完整性：只有得到允许的人才能修改数据，并且能够判别出数据是否已被篡改。
可用性：得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者的工作。
可控性：可以控制授权范围内的信息流向及行为方式。
可审查性：对信息安全问题提供调查的依据和手段。

1.2.信息安全的范围

设备安全、数据安全、内容安全、行为安全
1）信息系统设备安全是信息系统安全的首要问题，是信息系统安全的物质基础，它包括3个方面：设备的稳定性、可靠性、可用性。
2）数据安全即采取措施确保数据免受未授权的泄露、篡改和毁坏，包括3个方面：数据的秘密性、完整性、可用性。
3）内容安全是信息安全在政治、法律、道德层次的要求，包括三个方面：信息内容上政治健康、符合国家法律法规、符合道德规范。
4）信息系统的服务功能是指最终通过行为提供给用户，确保信息系统的行为安全，才能最终确保系统的信息安全。行为安全特性包括：行为的秘密性、完整性、可靠性。

1.3.信息的存储安全

1）信息的使用安全。包括用户的标识和验证、用户存取权限控制。
2）系统安全监控。系统必须建立一套安全监控系统，全面监控系统的活动，并随时检查系统的使用情况，一旦有非法入侵者进入系统，能及时发现并采取相应措施，确定和填补安全及保密的漏洞。还应当建立完善的审计系统和日志管理系统，利用日志和审计功能对系统进行安全监控。
3）计算机病毒防治。计算机网络服务器必须加装网络病毒自动检测系统，以保护网络系统的安全，防范计算机病毒的侵袭，并且必须定期更新网络病毒检测系统。
a.网络安全
b.网络安全隐患体现在：物理安全性、软件安全漏洞、不兼容使用安全漏洞、选择合适的安全哲理。
c.网络安全威胁：非授权的访问、信息泄露或丢失、破坏数据完整性、拒绝服务攻击、利用网络传播病毒。
d.安全措施的目标：访问控制、认证、完整性、审计、保密
4）数据的加密和防止非法的攻击

1.4.信息安全系统的组成框架

技术体系：
从实现技术上看，信息安全系统设计以下技术
1）基础安全设备包括密码芯片、加密卡、身份识别卡等，此外还涵盖运用到物理安全的物理环境保障技术，建筑物、机房条件以及硬件设备条件满足信息系统的机械防护安全，通过对电力供应设备以及信息系统组件的抗电磁干扰和电磁泄露性能的选择性措施达到相应的安全目的。
2）计算机网络安全指信息在网络传输过程中的安全防范，用于防止和监控未经授权破坏、更改和盗取数据的行为。通常设计物理隔离，防火墙及访问控制，加密传输、认证、数字签名、摘要，隧道以及VPN技术，病毒防范及上网行为管理，安全审计等实现技术。
3）操作系统安全是指操作系统的无错误配置、无漏洞、无后门、无特洛伊木马等，能防止非法用户对计算机资源的非法存取，一般用来表达对操作系统的安全需求。操作系统的安全机制包括标识与鉴别机制、访问控制机制、最小特权管理、可信通路机制、存储保护机制、文件保护机制、安全审计机制，等等。
4）数据库安全可粗略分为数据库管理系统安全和数据库应用系统安全两个部分，主要涉及物理数据库的完整性、逻辑数据库的完整性、元素安全性、可审计性、访问控制、身份认证、可用性、推理控制、多级保护以及消除隐藏通道等相关技术。
5）终端安全设备从电信网络终端设备的角度分为电话密码机、传真密码机、异步数据密码机等。

2.信息安全技术

2.1.加密技术

一个密码系统，通常简称为密码体制，由五部分组成：
1）明文空间M，全体明文的集合
2）密文空间C，全体密文的集合
3）密钥空间K，全体密钥的集合。其中每一个密钥K均由加密密钥Ke和解密密钥Kd组成。
4）加密算法E，是一组由M到C的加密转换。
5）解密算法D，是一组由C到M的解密转换。
对于明文空间M中的每一个明文M，加密算法在密钥Ke的控制下将明文M加密成密文C。
解密算法D在密钥Kd的控制下将密文C解密成明文M。

2.2.对称加密

数据的加密和解密密钥是相同的。属于不公开密钥加密算法。其缺点是加密强度不高（密钥 位数少），且密钥分发困难（密钥也需要传输给解密方，也需要考虑保密性问题）。优点是速度快，适合加密大数据。

常见对称加密算法：
1）DES：替换+移位、56位密钥、64位数据块、速度快、密钥易产生。
2）3DES：三重DES，两个56位密钥K1，K2
a.加密：K1加密-》K2解密-》K1加密
b.解密：K1解密-》K2加密-》K1解密
3）AES：是美国联邦政府采用的一种区块加密标准，这个标准用来替代原先的DES。对其要求是至少像3DES一样安全。
4）RC-5：RSA数据公司的很多产品都适用RC-5。
5）IDEA：128位密钥，64位数据块，比DES加密性好，对计算机要求相对低。

2.3.非对称加密技术

数据加密和解密的密钥是不同的，分为公钥和私钥。是公开密钥的加密算法。缺点是速度慢。优点是安全性高，不容易被破解。不适合加密大数据。

原理：发送者发送数据时，使用接收者的公钥做加密密钥，私钥做解密密钥，这样只有接收者才能解密密文得到明文。安全性高，因为无需传输密钥。但完整性无法得到保证。

常见非对称加密算法：
RSA：512（或1024）位密钥，计算量极大，难破解。
Elgamal、ECC、背包算法、Rabin、D-H等

2.4.数字信封

原理：信是对称加密的密钥，数字信封就是对此密钥进行非对称加密。
具体过程：
发送方将数据用对称密钥加密传输，而将对称加密密钥用接收方的公钥进行加密后发送给接收方。接收方收到数字信封，用自己的私钥解密信封，取出对称密钥的原文。
本质：结合使用对称加密和非对称加密，使用对称加密加密数据，非对称加密加密对称密钥。

2.5.信息摘要

信息摘要就是一段数据的特征信息，当数据发生改变，信息摘要也会发生改变，发送发会把摘要和数据一起传递给接收方，接收方会根据收到的信息重新生成一个信息摘要，若两个摘要相同，则说明数据正确。信息摘要都是由哈希函数生成的。
不管数据多长，生成的数据摘要都是等长的；任何不同的数据都会生成不同的摘要；单向性，即只能由数据生成摘要，不能由只要生成数据。
信息摘要算法：
MD5(128位输出)、SHA-1（160位输出）

2.6.数字签名

唯一标识一个发送方。不可抵赖、完整性。
发送者发送数据时，使用发送者的私钥进行加密，接收者收到数据后，只能使用发送者的公钥进行解密，这样就能唯一确定发送方。但无法保证机密性。

2.7.公钥基础设施PKI

以不对称密钥加密技术位基础，以数据机密性、完整性、身份认证和行为不可抵赖性位安全目的，来实施和提供安全服务的普适性的安全基础设施。
1）数字证书：一个数据结构，是一种由可信权威机构签署的信息集合。在不同的应用中由不同的证书。如X.509证书必须包含下列信息：a 版本号 b 序列号 c 签名算法标识符 d 认证机构 e 有效期限 f 主题信息 g 认证机构的数字签名 h 公钥信息。
公钥证书主要用于确保公钥及其与用户绑定关系的安全。这个公钥就是证书所标识的那个主体的合法的公钥。任何一个用户只要知道签证机构的公钥，就能检查对证书的签名的合法性。如果检查正确，那么用户就可以相信那个证书所携带的公钥是真实的，而且这个公钥就是证书所标识的那个主体的合法的公钥。例如驾照。
2）签证机构CA，负责签发证书、管理和撤销证书。所有注册用户所信赖的权威机构，CA在给用户签发证书时要加上自己的数字签名，以保证证书信息的真实性。任何机构可以用CA的公钥来验证该证书对的合法性。

2.8.访问控制

主体依据某些控制策略或权限对客体本身或是其资源进行的不同授权访问。访问控制包括三个要素：主体、客体和控制策略。
访问控制包括认证、授权策略实现和审计三方面的内容。
1）访问控制矩阵ACM。是通过矩阵的形式标识访问控制规则和授权用户权限的方法。主体作为行，客体作为列。例：
客体1 客体2 客体3
主体1 rw / wr
主体2 w w r
主体3 / r w

2）访问控制表ACL。目前最流行、使用最多的访问控制实现技术。每个客体有一个访问控制表，是该主体对系统中每一个有权访问这个客体的主体的信息。这种实现技术实际上是按列保存访问矩阵。
3）能力表。对于访问控制表，这种实现技术实际上是按行保存访问矩阵。每个主体都有一个能力表，是该主体对系统中每一个客体的访问权限信息。使用能力表访问控制系统可以很方便地查询某一个主体的所有访问权限。
4）授权关系表。每一行（或元组）就是访问矩阵中的一个非空元素，是某一个主体对应于某一个客体的访问权限信息。如果授权关系表按主体排序，查询时就可以得到能力表的效率；如果按客体排序，查询时就可以得到访问控制表的效率。

3.抗攻击及技术

3.1.密钥攻击

对抗攻击者的攻击，密钥的生成要考虑三个方面的因素：增大密钥空间、选择强钥(复杂的）、密钥的随机性（使用随机数）

3.2.DOS攻击

1）拒绝服务攻击DOS攻击：攻击有许多种，网络的内外用户都可以发动这种攻击。内部用户可以通过长时间占用系统的内存、CPU处理时间使其他用户不能及时得到这些资源，而引起拒绝服务攻击；外部黑客也可以通过占用网络连接使其他用户得不到网络服务。
2）外部用户针对网络连接发动拒绝服务攻击的主要模式有：消耗资源、破坏或更改配置信息、物理破坏或改变网络部件、利用服务程序中的处理错误使服务失效。
3）分布式拒绝服务DDOS攻击是传统DOS攻击的拓展。攻击者首先入侵并控制一些计算机，然后控制这些计算机同时向一个特定的目标发起拒绝服务攻击。克服了传统DOS攻击受网络资源限制和隐蔽性两大特点。
4）拒绝服务攻击的防御方式 ：
a.加强对数据包的特征识别。
b.设置防火墙监视本地主机端口哦使用情况。
c.对通信数据量进行统计也可获得有关攻击系统的位置和数量信息。
d.尽可能修正已经发现的问题和系统漏洞。

不同攻击方式，以及防御方式：
1）同步包风暴，利用TCP协议缺陷发送大量伪造的TCP连接请求，使得被攻击者资源耗尽。三次握手，进行了两次，不进行第三次握手，连接队列处于等待状态，使得系统挂起。可以通过修改注册表防御SYN FLooding攻击。
2）ICMP攻击。Ping of Death-修改注册表
3）SNMP攻击。-修改注册表。

3.3.欺骗攻击

3.3.1.ARP欺骗

正常ARP原理：主机A想知道局域网中主机B的的MAC地址，那么主机A就广播发送ARP请求分组，局域网内主机都会收到，但是只有B收到解析后知道是请求自己的MAC地址，所以只有B会返回单播的响应分组，告诉A自己的MAC地址。A收到响应分组后，会建立一个B的IP地址和MAC地址映射，这个映射是动态存在的，如果一定时间AB不再通信，那么就会清空这个地址映射，下次还要通信，则重复这个过程。

ARP欺骗原理：上述过程主机A是不管有没有发送过请求广播分组的，而是只要收到了返回的分组信息，就会刷新IP地址和MAC地址的映射关系。假设有主机C，模拟返回分组格式，构造正确的IP地址和自己的MAC地址映射，A收到后也会刷新映射关系，那么当A再次向B发送信息时，实际就发送到了C的MAC地址，数据就被C监听到了。

ARP欺骗的防范措施：
1）在winxp下输入命令：arp-s gate-way-ip gate-way-mac 固化ARP表，组织ARP欺骗。
2）使用ARP服务器。通过该服务器查找自己的ARP转换表来响应其他机器的ARP广播。确保这台ARP服务器不被黑。
3）采用双向绑定的方法。
4）ARP防护软件–ARP-Guard。通过系统底层核心驱动，无需安装其他任何第三方软件，以服务及进程并存的形式随系统启动并运行，不占用计算机系统资源。无需对计算机进行IP地址以及MAC地址绑定，从而避免了大量且无效的工作量。也不用担心计算机会在重启后新建ARP缓存列表，因为此软件是以服务与进程相结合的形式存在于计算机中，当计算机重启后软件的防护功能也会随操作系统自动启动并工作。

3.3.2.DNS欺骗

基本原理：欺骗者首先冒充域名服务器，然后把查询的IP改为攻击者的IP。
DNS欺骗检测：
1）被动监听检测：通过旁路监听的方式，捕获所有DNS请求和应答包，并为其建立一个请求应答映射表。如果在一定时间范围内，一个请求对应两个或两个以上结果不同的应答包，则怀疑收到了DNS欺骗攻击。
2）虚假报文探测：采用主动发送探测包的手段来检测网络内是否存在DNS欺骗攻击者。如果向一个非DNS服务器发送请求包，正常来说不会收到任何应答，如果收到了应答包，则说明收到了攻击。
3）检查检查查询：在客户端收到DNS应答包之后，向DNS服务器反向查询应答包中返回的IP地址所对应的DNS名字，如果二者一致说明没有受到攻击，反之受到欺骗。

3.3.3.TPC IP欺骗

原理和流程：
1）首先使被冒充的主机host B网络暂时瘫痪，以免对攻击造成干扰；
2）然后连接到目标主机host A的某个端口来猜测ISN（TCP连接序号）基值和增加规律；
3）接下来把源地址伪装成被冒充的host B，发送带有SYN的数据段请求数据；
4）之后等待目标机host A发送SYN+ACK包给已经瘫痪的主机，因为现在看不到这个包；
5）最后再次伪装成host B向目标主机host A发送ACK，此时发送的数据段带有预测的目标机ISN+1；
6）建立连接，发送命令请求。

IP欺骗防范：
预防这种攻击可以删除UNIX中所有的/etc/hosts.qeuiv 、$HOME/.rhosts文件，修改/etc/inet.conf文件，使得RPC机制无法应用。另外，还可以通过设置防火墙过滤来自外部而信源地址确实内部IP的报文。

3.4.端口扫描

尝试与目标主机的某些端口建立连接，如果目标端口有回复，则说明该端口开放，即为活动端口。
原理分类：
1）全TCP连接。使用三次握手，与目标计算见建立标准的TCP连接。
2）半打开式扫描（SYN扫描）。扫描主机自动向目标计算机的指定端口发送SYN数据段，表示发送建立连接请求。如果目标计算机的回应TCP报文中SYN=1，ACK=1，则说明该端口是活动的，接着扫描主机传送一个RST给目标主机建立TCP连接，从而导致三次握手的过程失败。如果目标计算机回应的是RST，则表示该端口是死端口，这种情况下，扫描主机不用做任何回应。
3）FIN扫描。依靠发送FIN来判断目标计算机的指定端口是否是活动的。发送一个FIN=1的TCP报文到一个关闭的端口时，该报文会被丢掉，并返回一个RST报文。但是如果当FIN报文到一个活动端口时，该报文只会被丢弃，不会返回任何响应。从FIN扫描看出，这种扫描比前两种都安全，可以称之为秘密扫描。
4）第三方扫描。又称代理扫描，利用第三方主机来代替侵略者进行扫描。第三方主机一般是肉鸡。

4.信息安全保证体系和评估方法

4.1.安全保护能力

第一级 用户自主保护级：具备自主安全保护能力。
第二级 系统审计保护级：颗粒度更细的自主访问控制，在自主访问控制的基础上控制访问权限扩散。
第三级 安全标记保护级：提供安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述，实施强制控制访问。
第四级 结构化保护级：将第三级中的自主和强制访问控制拓展到所有主体与客体，还要考虑隐蔽通道。
第五级 访问控制保护级：满足访问监控器需求。根据用户指定方式或默认方式，阻止非授权用户访问客体。

4.2.安全风险管理

风险评估实施前，应考虑：
1）确定风险评估的范围
2）确定风险评估的目标
3）建立适当的组织结构
4）建立系统性的风险评估方法
5）获得最高者对风险评估策划的批准

基本要素：脆弱性、资产、威胁、风险、安全措施

风险计算过程：
1）对信息资产进行识别，并对资产赋值
2）对威胁进行分析，并对威胁发生的可能性赋值
3）识别信息资产的脆弱性，并对弱点的严重程度进行赋值
4）根据威胁和脆弱性计算安全事件发生的可能性
5）结合信息资产的重要性和发生安全事件的可能性，计算信息资产的风险值

5.网络安全技术

5.1.防火墙

防火墙是内部网络和外部因特网之间增加的一道安全防护措施，分为网络级防火墙和应用级防火墙。
网络级防火墙：层次低、但是效率高、安全性低
应用级防火墙：层次高、但是效率低、安全性高

5.2.入侵检测系统IDS

防火墙对来自内网的攻击无能为力。所以需要使用入侵检测系统处理内网的攻击。
原理：监控当前系统/用户的行为。
IDS是一个监听设备，没有跨接在任何链路上，无需网络流量流经便可工作。唯一要求：IDS应该挂接在所有关注流量都必须流经的链路上，因此IDS的位置一般选择在 1 尽可能靠近攻击源 2 尽可能靠近受保护资源

5.3.入侵防御IPS

IPS不光检测行为，还会主动阻断攻击

5.4.杀毒软件

检测和解决计算机病毒

5.5.蜜罐系统

伪造一个蜜罐网络，引诱黑客攻击

6.网络攻击和威胁

7.网络安全协议

SSL：安全套接字协议，被设计为加强web传输HTTP/HTTPS的协议，https端口443
SSH：安全外壳协议，被设计加强Telnet/FTP安全的传输协议
SET：安全电子交易协议，主要运用于B2C电子商务中保障支付信息的安全性。
Kerberos协议：网络身份认证协议，基于信任第三方，它提供了在开放网络中进行身份认证的方法。注：第三方认证服务的两种机制：Kerberos（KDC）和PKI（CA证书）
PGP协议：使用RSA公钥证书进行身份认证、IDEA（128位密钥）进行数据加密，使用MD进行数据完整性验证