《物联网信息安全》(桂小林版)(第6章).ppt

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,桂小林,*,第六章 系统安全,桂小林,2014.9.17,2,6.1,系统安全的概念,6.2,恶意攻击,6.3,入侵检测,6.4,攻击防护,6.5,网络安全通信协议,6.6,本章小结,本章,内容,3,第六章 系统安全,基本要求,熟悉系统安全的概念和各种隐患,了解恶意攻击的概念、来源和攻击的原理,了解入侵检测的相关方法技术,了解攻击防护技术相关概念,熟悉网络安全通信协议,根据本章文献，参阅一篇感兴趣的文献并总结。,4,6.1,系统安全概念,系统安全的范畴,嵌入式节点的安全,网络通信系统的安全,存储系统的安全,5,6.1,系统安全概念,系统安全的隐患,什么是安全威胁,安全威胁是指对安全的一种潜在的侵害，威胁的实施称为攻击,信息安全的威胁就是指某个主体对信息资源的机密性、完整性、可用性等所造成的侵害。,系统缺陷,系统缺陷又可称为系统漏洞，是指应用软件、操作系统或系统硬件在逻辑设计上无意造成的设计缺陷或错误。,恶意软件攻击,恶意软件的攻击主要表现在各种木马和病毒软件对信息系统的破坏,6,6.1,系统安全概念,系统安全的隐患,外部网络攻击,TCP flood,攻击,Smurf,攻击,DDoS,攻击,钓鱼攻击,非授权和认证访问,行为否认,非授权访问,6.2,恶意攻击,什么是恶意攻击,网络恶意攻击通常是指利用系统存在的安全漏洞或弱点，通过非法手段获得某信息系统机密信息的访问权，以及对系统部分或全部的控制权，并对系统安全构成破坏或威胁。,恶意攻击的来源,恶意软件,木马,蠕虫,病毒,DDoS,6.2,恶意攻击,病毒攻击的原理,计算机病毒,计算机病毒（,Computer Virus,）的广义定义是一种人为制造的、能够进行自我复制的、具有对计算机资源的破坏作用的一组程序或指令的集合。,中华人民共和国计算机信息系统安全保护条例,中定义的计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。,6.2,恶意攻击,病毒攻击的原理,病毒的特征,可执行性,传染性,非授权性,隐蔽性,潜伏性,破坏性,寄生性,不可预见性,诱惑欺骗性,6.2,恶意攻击,病毒攻击的原理,病毒的分类,引导型病毒,文件型病毒,复合型病毒,宏病毒,计算机蠕虫,特洛伊木马,6.2,恶意攻击,病毒攻击的原理,病毒攻击的原理分析,以引导型病毒为例分析,正常,DOS,自举,带病毒的,DOS,自举,6.2,恶意攻击,木马攻击的原理,什么是木马,木马是一种后门程序，黑客可以利用其盗取用户的隐私信息，甚至远程控制对方的计算机。,完整的木马程序一般由两个部份组成，一个是服务器被控制端程序，一个是客户端控制端程序。,木马典型攻击原理,当服务器端在目标计算机上被执行后，木马打开一个默认的端口进行监听，当客户端（控制端）向服务器端（被控主机部分）提出连接请求，被控主机上的木马程序就会自动应答客户端的请求，服务器端程序与客户端建立连接后，客户端（控制端）就可以发送各类控制指令对服务器端（被控主机）进行完全控制，其操作几乎与在被控主机的本机操作权限完全相同。,6.2,恶意攻击,木马攻击的原理,木马植入原理,通过电子邮件附件的方式,捆绑在各类软件中,网页挂马,木马隐藏原理,木马程序隐藏,启动隐藏方式,进程隐藏,通信隐藏,通过设备驱动和动态连接口隐藏,6.3,入侵检测,入侵检测的概念,入侵,入侵是指在信息系统中进行非授权的访问或活动，不仅指非系统用户非授地登陆系统和使用系统资源，还包括系统内的用户滥用权力对系统造成的破坏，如非法盗用他人帐户，非法获得系统管理员权限，修改或删除系统文件等。,入侵检测,入侵检测可以被定义为识别出正在发生的入侵企图或已经发生的入侵活动的过程。,对外部入侵（非授权使用）行为的检测。,对内部用户（合法用户）滥用自身权限的检测。,6.3,入侵检测,入侵检测的概念,入侵检测系统,进行入侵检测的软件与硬件的组合便是入侵检测系统（,Intrusion Detection,System，IDS,）,入侵检测的内容,试图闯入,成功闯入,冒充其他用户,违反安全策略,合法用户的泄漏,独占资源以及恶意使用,6.3,入侵检测,入侵检测系统,组成,数据源,探测器,分析器,管理器,管理员,安全策略,6.3,入侵检测,入侵检测系统,入侵检测系统分类,基于网络的入侵检测系统（,Network Intrusion Detection,System，NIDS,）,基于主机的入侵检测系统（,Host-based Intrusion Detection,System，HIDS,）,NIDS,优势：独立与操作系统，检测实时性强,缺点：需要传回大量的网络数据包，无法分析加密数据，存在攻击特征被拆分的情况等,6.3,入侵检测,入侵检测系统,HIDS,优势,能很好的处理加密数据包,可以综合多个数据源进行分析,高速网络情况下不存在数据表丢失的情况,缺点,降低系统性能,配置和维护困难,逃避检测,存在数据欺骗的问题,实时性较差,6.3,入侵检测,入侵检测系统,入侵检测的方法,特征检测,统计检测,专家系统,其他检测方法,6.3,入侵检测,入侵检测系统,入侵检测的方法,特征检测,统计检测,专家系统,其他检测方法,基于免疫系统的检测方法,遗传算法,基于内核的检测方法,6.3,入侵检测,入侵检测系统,蜜罐和蜜网,蜜罐（,Honeypot,）,Honeypot,是一种网络入侵检测系统，它诱导攻击者访问预先设置的蜜罐而不是工作中网络，可以提高检测攻击和攻击者行为的能力，降低攻击带来的破坏,蜜罐与,NIDS,相比较的特点,较小的数据量,减少误报率,捕获漏报,资源最小化,6.3,入侵检测,入侵检测系统,蜜罐和蜜网,蜜网（,Honeynet,）,蜜网的概念由蜜罐发展而来，是由真实计算机组成的网络系统，部署有入侵检测系统，系统和网络的安全防护级别设置较低，诱导入侵者进入系统，并监控和记录入侵者的行为,蜜网和蜜罐的异同,蜜网是一个网络系统，而并非某台单一主机,蜜网中的所有系统都是标准的机器，上面运行的都是真实完整的操作系统及应用程序,蜜罐是通过把系统的脆弱性暴露给入侵者或是故意使用一些具有强烈诱惑性的信息的假信息来诱骗入侵者,蜜网是在入侵检测的基础上实现入侵诱骗,6.3,入侵检测,入侵检测系统,蜜网的原型系统,防火墙,入侵检测系统,二层网关,蜜网,6.3,入侵检测,入侵检测系统,病毒检测,检测方法,直接观察法,特征代码法,校验和法,行为监测法,软件模拟法,6.4,攻击防护,防火墙,概念,防火墙（,Firewall,）是一种用来加强网络之间访问控制的特殊网络设备，常常被安装在受保护的内部网络连接到,Internet,的点上，它对传输的数据包和连接方式按照一定的安全策略对其进行检查，来决定网络之间的通信是否被允许。,防火墙内的网络称为“可信赖的网络”,(trusted network),，而将外部的因特网称为“不可信赖的网络”,(,untrusted,network),。,防火墙可用来解决内联网和外联网的安全问题。,6.4,攻击防护,防火墙,功能,防火墙的功能有两个：阻止和允许。,“阻止”就是阻止某种类型的通信量通过防火墙（从外部网络到内部网络，或反过来）。,“允许”的功能与“阻止”恰好相反。,防火墙必须能够识别通信量的各种类型。不过在大多数情况下防火墙的主要功能是“阻止”。,6.4,攻击防护,防火墙,在网络中的位置,G,内联网,可信赖的网络,不可信赖的网络,分组过滤,路由器,R,分组过滤,路由器,R,应用网关,外局域网,内局域网,防火墙,因特网,6.4,攻击防护,防火墙,恶意软件检测防护工具,恶意软件检测防护工具的工作原理,(Android,系统,),6.4,攻击防护,病毒查杀,毒查杀就是指利用各类安全工具发现系统中隐藏的各类可疑病毒程序，并且能够清除感染对象中的病毒，恢复被病毒感染前的原始信息的能力。,病毒查杀工具运行原理图,(,Android,系统,）,6.4,攻击防护,沙箱工具,沙箱是为一些来源不可信、具有破坏力或无法判定程序意图的程序同实验的环境。,软件安全判定沙箱工具工作原理,(,Android,系统）,6.4,网络安全通信协议,协议,协议是指两个或多个以上参与者为完成某项特定的任务而采取的一系列步骤。,通信协议,通信协议是指通信各方关于通信如何进行所达成的一致性规则，即由参与通信的各方按确定的步骤做出一系列通信动作，是定义通信实体之间交换信息的格式及意义的一组规则。,6.4,网络安全通信协议,安全协议,安全协议是指通过信息的安全交换来实现某种安全目的所共同约定的逻辑操作规则。,网络安全通信协议,属于安全协议，是指在计算机网络中使用的具有安全功能的通信协议。,6.4,网络安全通信协议,TCP/IP,安全分析,由于,TCP/IP,协议簇在早期设计时是以面向应用为根本目的的，因此未能充分考虑到安全性及协议自身的脆弱性、不完备性，导致网络中存在着许多可能遭受攻击的漏洞。,网络层协议的安全隐患,IP,协议在实现通信的过程中并不能为数据提供完整性和机密性保护，缺少基于,IP,地址的身份认证机制，容易遭到,IP,地址欺骗攻击,6.4,网络安全通信协议,传输层协议的安全隐患,TCP,协议的安全隐患,服务器端维持大量的半连接列表而耗费一定的资源。,序列号可计算,UDP,协议的安全隐患,不确认报文是否到达,不进行流量控制,不作纠错和重传,6.4,网络安全通信协议,应用层协议的安全隐患,大部分协议以超级管理员的权限运行，一旦这些程序存在安全漏洞且被攻击者利用，极有可能取得整个系统的控制权。,许多协议采用简单的身份认证方式，并且在网络中以明文方式传输。,6.4,网络安全通信协议,TCP/IP,的安全体系结构,SNMP,PGP,S/MIME,PEM,SET,IKE,TELNET,HTTPS,X.509,RIPv2,SNMPv3,BGP-4,SSL,TLS,TCP,UDP,IPsec,（,AH,）,IPsec,（,ESP,）,IP,PPTP,L2TP,PPP,L2F,硬件设备驱动程序及介质介入协议,应用层,传输层,网络层,链路层,6.4,网络安全通信协议,IPSec,协议,IPSec,（,IP Security,）是,IETF,于,1998,年,11,月公布的,IP,安全标准，目标是为,IPv4,和,IPv6,提供透明的安全服务。,IPSec,通过对,IP,协议的分组进行加密和认证来保护,IP,协议的网络传输协议族，用于保证数据的机密性、来源可靠性、无连接的完整性并提供抗重播服务。,6.4,网络安全通信协议,IPSec,协议,IPSec,的组成,Authentication Header,（,AH,，验证报头）协议,定义了认证的应用方法，提供数据源认证和完整性保证,Encapsulating Security Payload,（,ESP,，封装安全有效负载）协议,定义了加密和可选认证的应用方法，提供可靠性保证,Internet Key Exchange,（,IKE,，密钥的交换标准）协议,用于密钥交换,6.4,网络安全通信协议,IPSec,协议,IPSec,的体系结构,6.4,网络安全通信协议,IPSec,协议,IPSec,的工作模式,传输模式,传送模式用来保护上层协议，用于两个主机之间端对端的通信,隧道模式,也称通道模式，是用来保护整个,IP,数据报，通常在,SA,的一端或是两端都是安全网关时使用,6.4,网络安全通信协议,IPSec,协议,IPSec,工作模式比较,传输模式,隧道模式,AH,验证,IP,有效载荷和,IP,报头及,IPv6,扩展报头的选择部分,验证各个内部的,IP,包（内部报头加上,IP,有效载荷），加上外部,IP,报头和外部,IPv6,扩展报头的选择部分,ESP,加密,IP,有效载荷和跟在,ESP,报头后面的任何,IPv6,扩展,加密内部,IP,包,具有身份验证的,ESP,加密,IP,有效载荷和跟在,ESP,报头后面的任何,IPv6,扩展；验证,IP,有效载荷，但没有,IP,报头,加密内部,IP,包和验证内部,IP,包,6.4,网络安全通信协议,IPSec,协议,安全关联,(,Security Association,，,SA,),为了正确封装和提取,IPsec,的数据包，有必要采取一套专门的方案，将安全服务、密钥等与要保护的通信数据联系在一起，这样的构建方案称为安全关联。,SA,是发送者和接收者两个,IPsec,系统之间的一个单向逻辑连接，若要在一个对等系统间进行源和目的的双向安全通信，则需要两个,SA,。,安全关联,SA,通过一个三元组（安全参数索引,SPI,、目的,IP,地址和安全协议,AH,或,ESP,）来唯一标识。,6.4,网络安全通信协议,IPSec,协议,抗重播服务,IPSec,协议通过数据包使用一个序列号和一个滑动的接收窗口实现抗重播服务,每个,IPSec,头内，都包含了一个独一无二、且单调递增的序列号,接收窗口的大小可为大于,32,的任何值，但推荐为,64,。从性能考虑，窗口大小最好是最终实施,IPSec,的那台计算机的字长度的整数倍,6.4,网络安全通信协议,IPSec,协议,ESP,协议,ESP,的作用是提供机密性保护、有限的流机密性保护、无连接的完整性保护、数据源认证和抗重放攻击等安全服务,ESP,支持传输模式和隧道模式,ESP,可以单独使用，也可以和,AH,结合使用。一般,ESP,不对整个数据包加密，而是只加密,IP,包的有效载荷部分，不包括,IP,头。但在端对端的隧道通信中，,ESP,需要对整个数据包加密,6.4,网络安全通信协议,IPSec,协议,ESP,协议,ESP,报头的结构示意图,ESP,的两种工作模式,6.4,网络安全通信协议,IPSec,协议,AH,协议,AH,协议用于为,IP,数据包提供数据完整性、数据包源地址验证和一些有限的抗重播服务,与,ESP,协议相比，,AH,不提供对通信数据的加密服务，但能比,ESP,提供更加广的数据验证服务,AH,工作原理,在每一个数据包上添加一个身份验证报头。此报头包含一个被加密的,hash,值（可以将其当作数字签名，只是它不使用证书），此,hash,值在整个数据包中计算，因此对数据的任何更改将导致,hash,值无效，这样就提供了完整性保护。,AH,报头位置在,IP,报头和传输层协议头之间。,AH,由协议号“,51”,标识,6.4,网络安全通信协议,IPSec,协议,AH,协议,AH,的报头格式,IP,包在两种模式下增加,AH,的位置和效果图,6.4,网络安全通信协议,IPSec,协议,IKE,协议,IKE,协议是,IPSec,目前正式确定的密钥交换协议,IKE,是一种混合型协议，由,ISAKMP、Oakley,和,SKEME,组成，沿用了,ISAKMP,的基础，,Oakley,的模式以及,SKEME,的共享和密钥更新技术,使用了两个交换阶段，阶段一用于建立,IKE SA,，阶段二利用已建立的,IKE SA,为,IPsec,协商具体的一个或多个安全关联，即建立,IPsec,SA,IKE,允许四种认证方法，分别是基于数字签名的认证、基于公钥加密的认证、基于修订的公钥加密的认证和基于预共享密钥的认证,6.4,网络安全通信协议,SSL,协议,SSL,协议是一个传输层安全协议。,SSL,协议由,Netscape,公司于,1994,年,11,月提出并率先实现，即,SSL V2.0 Internet-Draft,版本,1996,年,3,月推出了,SSL V3.0 Internet-Draft,版本,最终被,IETF,所采纳，并制定为传输层安全标准。,协议的目标是保证两个应用间通信的保密性和可靠性，可在服务器和客户机两端同时实现支持,优势在于它与应用层协议独立无关，高层的应用层协议能透明的建立于,SSL,协议之上,6.4,网络安全通信协议,SSL,协议,SSL,协议提供三方面服务,认证用户和服务器，确保数据发送到正确的客户机和服务器,加密数据以防止数据中途被窃取,维护数据的完整性，确保数据在传输过程中不被改变,6.4,网络安全通信协议,SSL,协议,SSL,协议工作流程,建立网络连接,选择与该连接相关的加密方式和压缩方式,识别双方的身份,确定本次传输密钥,传输加密数据,关闭网络连接,6.4,网络安全通信协议,SSL,协议,SSL,协议的分层结构,应用层协议（,HTTP,、,Telnet,、,FTP,、,SMTP,等）,SSL,握手协议（,Handshake Protocol,）,SSL,记录协议（,Record Protocol,）,TCP,协议,IP,协议,SSL,协议,6.4,网络安全通信协议,SSL,协议,SSL,记录协议,SSL,记录协议为每一个,SSL,连接提供以下两种服务,机密性,(Confidentiality),：,SSL,记录协议会协助双方产生一把共有的密钥，利用这把密钥来对,SSL,所传送的数据做传统式加密。,消息完整性,(Message Integrity),：,SSL,记录协议会协助双方产生另一把共有的密钥，利用这把密钥来计算出消息认证码。,6.4,网络安全通信协议,SSL,协议,SSL,记录协议的运作模式,Application data,Fragment,Compress,Add MAC,Encrypt,Append SSL,record header,6.4,网络安全通信协议,SSL,协议,SSL,握手协议,握手协议用来让客户端及服务器确认彼此的身份。协助双方选择连接时所使用的加密算法、,MAC,算法、及相关密钥,握手协议由一些客户与服务器交换的消息所构成，每一个消息都含有以下三个字段,类型,(Type),，,1,个字节：表示消息的类型，总共有十种。,长度,(Length),，,3,个字节：消息的位组长度。,内容,(Content),，大于或等于,1,个字节，与此消息有关的参数。,6.4,网络安全通信协议,SSL,协议,SSL,握手协议的消息类型,消息种类,参 数,hello_request,client_hello,server_hello,certificate,server_key_exchange,certificate_request,server_done,certificate_verify,client_key_exchange,finished,Null,Version,random,session id,cipher suite,compression method,Version,random,session id,cipher suite,compression method,一连串的,X.509 v3,的证书,Parameters,signature,Type,authorities,Null,Signature,Parameters,signature,Hash value,6.4,网络安全通信协议,SSL,协议,SSL,握手过程,6.4,网络安全通信协议,SSL,协议,SSL,协议安全性分析,客户端假冒,SSL,协议无法提供基于,UDP,应用的安全保护,SSL,协议不能对抗通信流量分析,针对基于公钥加密标准,(PKCS),协议的自适应选择密文攻击,进程中的主密钥泄漏,磁盘上的临时文件可能遭受攻击,6.4,网络安全通信协议,SSL,协议,SSL,协议安全性分析,不规范应用引起的问题,对证书的攻击和窃取,中间人攻击,安全盲点,IE,浏览器的,SSL,身份鉴别缺陷,6.4,网络安全通信协议,SSL,协议,TLS,协议,提供保密性和数据完整性,该协议由两层组成,TLS,记录协议,TLS,握手协议,TLS,协议三个阶段,对等协商支援的密钥算法,基于私钥加密交换公钥、基于,PKI,证书的身份认证,基于公钥加密的数据传输保密。,6.4,网络安全通信协议,SSL,协议,TLS,记录协议的连个基本特性,私有,对称加密用以数据加密（,DES,、,RC4,等）。对称加密所产生的密钥对每个连接都是唯一的，且此密钥基于另一个协议（如握手协议）协商,可靠,信息传输包括使用密钥的,MAC,进行信息完整性检查。,6.4,网络安全通信协议,SSL,协议,TLS,握手协议三个基本属性,可以使用非对称的或公共密钥的密码技术来认证对等方的身份。该认证是可选的，但至少需要一个结点方,共享加密密钥的协商是安全的,对偷窃者来说协商加密是难以获得的。此外经过认证过的连接不能获得加密，即使是进入连接中间的攻击者也不能。,协商是可靠的,没有经过通信方成员的检测，任何攻击者都不能修改通信协商。,6.4,网络安全通信协议,SSH,协议,协议结构,6.4,网络安全通信协议,SSH,协议,SSH,传输层协议,SSH,传输层协议主要在不安全的网络中为上层应用提供一个加密的通信信道,SSH,传输层协议提供服务器身份认证、通信加密、数据完整性效验以及数据压缩等多项安全服务,6.4,网络安全通信协议,SSH,协议,SSH,传输层协议流程,6.4,网络安全通信协议,SSH,协议,SSH,身份认证协议,SSH,用户认证协议提供服务器对用户的认证,三种认证方式,公钥认证方式,口令认证方式,基于主机的认证方式。,连接协议,主要功能是完成用户请求的各种具体网络服务,6.4,网络安全通信协议,HTTPS,Hypertext Transfer Protocol over Secure Socket Layer,由,Netscape,开发并内置于其浏览器中，用于对数据进行压缩和解压操作，并返回网络上传送回的结果,是以安全为目标的,HTTP,通道，是,HTTP,的安全版,HTTPS,的安全基础是,SSL,6.4,网络安全通信协议,HTTPS,访问网页流程,用户：在浏览器的地址栏里输入,HTTP,层：将用户需求翻译成,HTTP,请求，如,GET/index.htm HTTP/1.1 Host,SSL,层,:,借助下层协议的的信道，安全的协商出一份加密密钥，并用此密钥来加密,HTTP,请求。,TCP,层：与,web server,的,443,端口建立连接，传递,SSL,处理后的数据。,练习设置,HTTPS,6.4,网络安全通信协议,VPN,虚拟专用网（,Virtual Private,Network，VPN,）,通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道,VPN,是在公网中形成的企业专用链路,6.4,网络安全通信协议,VPN,VPN,的基本功能,加密数据,信息验证和身份识别,访问控制,地址管理,密钥管理,多协议支持,6.4,网络安全通信协议,VPN,VPN,采用的安全技术,隧道技术,点到点隧道协议（,PPTP,）,第二层隧道协议（,L2TP,）,加解密技术,密钥管理技术,使用者与设备身份认证技术,6.4,网络安全通信协议,VPN,IPSec VPN,6.4,网络安全通信协议,VPN,VPN,的类型,按应用方式,拨号,VPN,专用,VPN,按,VPN,协议,第二层隧道协议,第三层隧道协议,部署模式,端到端,(,End-to-End),模式,供应商,企业,(,Provider-Enterprise),模式,内部供应商,(,Intra-Provider),模式,6.4,网络安全通信协议,VPN,VPN,的类型,按照服务类型,InternetVPN,(,内部网,VPN),AccessVPN,(,远程访问,VPN),ExtranetVPN,(,外联网,VPN),InternetVPN,AccessVPN,ExtranetVPN,6.4,网络安全通信协议,VPN,SSL VPN,部署和管理费用低，在安全性和为用户提供更多便利性方面优于传统,IPSecVPN,SSL VPN,安全性,客户端接入的安全性,数据传输的安全性,内部资源访问的安全性,SSL VPN,三种模式,Web,浏览器模式,客户端模式,LAN,到,LAN,模式,76,6.6,本章小结,本章介绍了网络与系统安全的概念以及存在的安全威胁,概述了恶意攻击的概念，分析了恶意攻击的来源。从恶意攻击本身、恶意攻击的检测、防护和安全协议四个方面全方位的介绍了恶意攻击,介绍了入侵检测相关概念、方法和系统以及蜜罐和蜜网技术,结合实际案例介绍了攻击防护中常用的防火墙技术、病毒查杀技术和沙箱技术,介绍了几种主要的网络安全通信协议,