网络与信息安全-final.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,2020年5月29日星期五,#,08 十一月 2026,网络与信息安全-final,你会想到什么？,全球范围内正在发生的攻击,全球范围内正在发生的攻击,互联网安全公司赛门铁克2012年9月5日发布报告,在2011年7月至2012年7月间，网络攻击给全球带来1110亿美元的损失,全球有5.56亿成年网民亲身经历过网络攻击，占到了所有成年网民数量的46%,攻击为什么会发生？（一）,攻击为什么会发生？（二）,攻击为什么会发生？（三）,攻击为什么会发生？（四）,攻击为什么会发生？（五）,网络信息系统,内部人员威,拒绝服务攻击,逻辑炸弹,特洛伊木马,黑客攻击,计算机病毒,信息泄漏、篡改、破坏,后门、隐蔽通道,蠕虫,天灾,系统Bug,谁在入侵我们的网络？,黑客（Hacker）,入侵者（Cracker）,现在hacker和Cracker已经混为一谈，,人们通常将入侵计算机系统的人统称为,黑客,。,不得不提的凯文米特尼克（Kevin David Mitnick）,1964年出生。3岁父母离异，性格内向、沉默寡言,4岁玩游戏达到专家水平。,13岁喜欢无线电，开始与世界各地爱好者联络。编写的电脑程序简洁实用，倾倒教师。,15岁闯入,“,北美空中防务指挥系统,”,主机，翻阅了美国所有的核弹头资料，令人难以置信。,不久破译了美国,“,太平洋电话公司,”,某地的用户密码，随意更改用户的电话号码。,被电脑信息跟踪机发现，第一次被逮捕。,不得不提的凯文米特尼克（Kevin David Mitnick）,出狱后，又连续非法修改多家公司电脑的财务帐单。1988年再次入狱，被判一年徒刑。,1994年向圣地亚哥超级计算机中心发动攻击，该中心安全专家决心将其捉拿归案。,期间还入侵了美国摩托罗拉、NOVELL、SUN公司及芬兰NOKIA公司的电脑系统，盗走各种程序和数据，价值4亿美金。,最后，被,“,电子隐形化,”,技术跟踪，从无线电话中找到了他的行迹。,You will be the next,Kevin David Mitnick!?,网络与信息安全知识体系,网络与信息安全知识体系,安全目标,机密性,完整性,真实性,不可否认,可用性,ITU-X.800给出的安全相关属性的定义:,机密性（Confidentiality）：,Prevent unauthorised disclosure of information.,完整性（Integrity）：,Assurance that data received are exactly as sent by an authorized sender.,可用性（Availability）,：services should be accessible when needed and without delay.,真实性（Authentication）：,assurance that the communicating entity is the one it claims to be.,不可抵赖性（Non-Repudiation）：,protection against denial by one of the parties in a communication.,网络与信息安全应达到的效果,进不来,拿不走,看不懂,改不了,跑不了,网络与信息安全知识体系,网络与信息安全知识体系,密码理论,为了保证通信网络能正常、安全地运行，要求系统能够对信息实施有效保护，对合法用户进行认证并能准确地鉴别出非法用户，这些都需要借助于密码学的力量。,密码学就是研究密码技术的学科，它包含两个分支，即密码编码学和密码分析学。,前者旨在对信息进行编码实现信息隐蔽，后者旨在研究分析破译密码，两者相互对立而又相互促进。,信息加解密,传输或存储,信息明文,已加密密文,秘密密钥,密码算法,密码分析者,进行破译分析,信息加解密,信息加密：对称密钥体制,加密,密码算法,解密,密码算法,信息明文,解密信息明文,秘密密钥,秘密密钥,公开信道,秘密信道,密文,密文,信息加解密,信息加密：非对称密钥体制（采用公钥）,加密,密码算法,解密,密码算法,信息明文,解密信息明文,秘密密钥,公开信道,密文,密文,公开密钥,秘密密钥,公开密钥,1、,加密密钥和加密算法、解密算法是公开的，只有解密密钥是保密的,2、利用计算复杂度的原理,消息摘要,摘,要,？,摘,要,MIC,摘,要,MIC,摘,要,摘,要,摘要,数字签名机制,传统签名的基本特点:,能与被签的文件在物理上不可分割,签名者不能否认自己的签名,签名不能被伪造,容易被验证,数字签名是传统签名的数字化，基本要求:,能与所签文件“绑定”,签名者不能否认自己的签名,签名不能被伪造,容易被自动验证,数字签名机制,数字签名机制决定于两个过程：,签名过程,签名过程是利用签名者的私有信息作为秘密钥，或对数据单元进行加密或产生该数据单元的密码校验值；,验证过程,验证过程是利用公开的规程和信息来确定签名是否是利用该签名者的私有信息产生的。,密钥管理,对密钥的产生、存储、传递和定期更换进行有效控制，对增加网络的安全性和抗攻击性非常重要。,密钥存储在设计机或磁盘里，借助于网络、磁盘以邮件方式传递。,传递前须先将密钥加密处理，接收方收到后再对其进行解密处理。,传统的密钥管理系统,网络与信息安全知识体系,网络与信息安全知识体系,身份认证（一）,当用户试图访问资源的时候，系统确定用户的身份是否真实的过程。,认证的重要性,是访问控制执行的前提；,是判断用户是否有权访问信息的先决条件；,为日后追究责任提供不可抵赖的证据。,身份认证（二）,根据5种信息进行认证,用户所知道的,用户所拥有的,用户本身的特征,根据特定地点（时间）,通过信任第三方,身份认证（三）,访问控制机制,访问控制的目的是防止对信息资源的非授权访问和非授权使用信息资源,用来实施对资源访问或操作加以限制的策略,保证网络资源不被非法使用和访问,在身份认证之后,发起者,访问控制执行功能AEF,目标,访问控制决策功能ADF,提交,访问请求,执行,访问请求,决策请求,决策结果,主体,客体,安全协议（一）,建立在密码体制基础上的一种高互通协议,它运行在计算机通信网或分布式系统中，为安全需求的各方提供一系列保障,借助于密码算法来达到密钥分配、身份认证、信息保密以及安全地完成电子交易等目的,网络攻击,被动攻击,窃听或者偷窥,流量分析,被动攻击非常难以检测，但可以防范,源,目的,sniffer,网络攻击,主动攻击可以检测，但难以防范,主动攻击：指攻击者对某个连接的中的PDU进行各种处理(更改、删除、迟延、复制、伪造等),阻断攻击,篡改攻击,伪造攻击,重放攻击,拒绝服,务攻击,安全协议（二）,安全协议常见类型,密钥交换协议,认证协议,认证和密钥交换协议,电子商务协议,安全协议（三）,密钥交换协议,完成会话密钥的建立，与认证协议结合使用。,认证协议,实体(身份)认证、消息认证、数据源认证,作用：防止假冒、篡改、否认等攻击,认证密钥交换协议,先对通信实体的身份认证,在成功认证的基础上，为下一步的安全通信分配所使用的密钥。,实例：互联网密钥交换协议(IKE),电子商务协议,以公平性为基础，保证交易双方都不能通过损害对方利益而得到它不应得到的利益。,审计追踪,记录用户在系统中所有活动的过程，也记录攻击者试图攻击系统的有关活动，这是防止内外攻击者的攻击、提高系统安全性的重要工具,它不仅能识别谁访问了系统，还能指示系统正被怎样的使用（或受到攻击）,网络与信息安全知识体系,网络与信息安全知识体系,计算机病毒,病毒是一种特殊的计算机程序，会进行一些恶意的破坏活动，使用户的网络或信息系统遭受浩劫,病毒是一种基于硬件和操作系统的程序，任何一种病毒都是针对某种处理器和操作系统编写的,计算机病毒特点,破坏性,传染性,隐藏性,可激活性,针对性。,病毒的主要传播途径：网络、U盘、硬盘和光盘,计算机病毒类型,系统引导型病毒,指寄生在磁盘引导区或主引导区的计算机病毒,文件型病毒,文件型病毒的宿主不是引导区而是一些可执行程序,宏病毒,Windows Word宏病毒是利用Word提供的宏功能，将病毒程序插入到带有宏的.doc文件或.dot文件中,计算机病毒类型,混合型病毒,混合型病毒指同时具有多种类型病毒特征的计算机病毒，它的破坏性更大，传染的机会也更多，灭杀也更困难。,网络蠕虫病毒,蠕虫病毒是一种通过网络传播的恶性病毒，,具有自己的一些特征，如不利用文件寄生（有的只存在于内存中），使服务器拒绝服务合法用户以及和黑客技术相结合等。,木马病毒,是一种伪装潜伏的网络病毒，它通过一段特定的程序（木马程序）来控制远程计算机。,计算机病毒防护,国内外的杀毒软件,360杀毒软件,瑞星杀毒软件,江民杀毒软件KV,金山毒霸,Norton AntiVirus,计算机病毒防护,查毒引擎是,一个没有画面，没有包装的核心程序，它被放在杀毒软件所安装的目录之下,有了病毒特征码，有了查毒引擎，再配合一个精美的操作画面，就组成了杀毒软件,病毒扫描技术,已知病毒扫描,特征码扫描技术,广谱特征扫描技术,未知病毒扫描,虚拟机技术,拒绝服务攻击DoS,DoS（Denial of Service）,拒绝服务攻击，是通过大量虚假访问耗尽被攻击对象的资源，让目标计算机或网络无法提供正常的服务或资源访问，使目标系统服务系统停止响应甚至崩溃。,DDoS（Distributed Denial of Service）,分布式拒绝服务攻击，是指黑客利用并控制已经侵入的主机进行协同DoS攻击，比一般的DoS攻击更自动化、更隐蔽且更难防范。,DoS攻击,Dos,DDoS攻击,DDos Distribute Dos,防火墙基本概念,传统的防火墙概念,概念：,防火墙被设计用来防止火从大厦的一部分传播到另一部分,防火墙,基本概念,防火墙,-,Firewall,防火墙是位于两个或多个网络之间，执行访问控制策略的一个或一组系统，是一类防范措施的总称。,外部网络（通常是Internet）被认为是不安全和不可信赖的,内部网络被认为是安全和可信赖的,防火墙一般安放在被保护网络的边界,防火墙,外部网络,内部网络,两个安全域之间通信流的唯一通道,安全域1,Host A,Host B,安全域2,Host C,Host D,UDP,Block,Host C,Host B,TCP,Pass,Host C,Host A,Destination,Protocol,Permit,Source,根据访问控制规则决定进出网络的行为,一种高级访问控制设备，置于不同,网络安全域,之间的一系列部件的组合，它是不同网络安全域间通信流的,唯一通道,，能根据企业有关的安全政策,控制,（允许、拒绝、监视、记录）进出网络的访问行为。,防火墙,基本概念,入侵检测系统,入侵检测系统（IDS，Intrusion Detection System）是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未经授权的访问和其他异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。,入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。,入侵检测系统,入侵检测系统的功能是发现可能存在的安全攻击。,入侵检测系统的工作流程,信息收集,数据分析,响应,入侵检测系统,检测方法,基于攻击特征行为：根据入侵行为的特征建立入侵行为模型，若当前行为过程与某个入侵行为特征一致，判定入侵发生。适合检测已知攻击,误用检测：建立正常网络活动的特征模型，若当前行为过程与正常模型不符，判定入侵发生。适合检测未知攻击,入侵检测方法的评估,检测率,误报率,防火墙入侵检测系统联动,网络与信息安全知识体系,网络与信息安全知识体系,平台安全,物理安全（Physical security）,网络安全（Network security）:,Security channel technique,Network protocol,vulnerability analysis,Security router technique,Secure IP,系统安全（System Security）:,Secure OS model,OS vulnerability analysis,Relationship between OS and other development platform,数据安全（Data Security）:,Secure DBMS,security policy of data access,用户安全（User Security）:,User account management,User login pattern,User access authority management,User role management,边界安全（Boundary Protection）:,Secure boundary protection protocol&model,Audit of secure boundary,凯文十条经验与大家分享,备份资料。记住你的系统永远不会是无懈可击的，灾难性的数据损失会发生在你身上只需一条蠕虫或一只木马就已足够。,选择很难猜的密码。不要没有脑子地填上几个与你有关的数字，在任何情况下，都要及时修改默认密码。,安装杀毒软件，并让它每天更新升级。,及时更新操作系统，时刻留意软件制造商发布的各种补丁，并及时安装应用。,不用电脑时候千万别忘了断开网线和电源。,在IE或其它浏览器中会出现一些黑客钓鱼，对此要保持清醒，拒绝点击，同时将电子邮件客户端的自动脚本功能关闭。,在发送敏感邮件时使用加密软件，也可用加密软件保护你的硬盘上的数据。,安装一个或几个反间谍程序，并且要经常运行检查。,使用个人防火墙并正确设置它，阻止其它计算机、网络和网址与你的计算机建立连接，指定哪些程序可以自动连接到网络。,关闭所有你不使用的系统服务，特别是那些可以让别人远程控制你的计算机的服务，如RemoteDesktop、RealVNC和NetBIOS等。,保证无线连接的安全。在家里，可以使用无线保护接入WPA和至少20个字符的密码。正确设置你的笔记本电脑，不要加入任何网络，除非它使用WPA。,要想在一个充满敌意的因特网世界里保护自己，的确是一件不容易的事。你要时刻想着，在地球另一端的某个角落里，一个或一些毫无道德的人正在刺探你的系统漏洞，并利用它们窃取你最敏感的秘密。希望你不会成为这些网络入侵者的下一个牺牲品,THE END?,NO!,距离凯文还差一点！,专业知识体系,总体结构,信息科学基础,信息安全基础,信息系统基础,密码,信息隐藏,网络安全,应用安全,信息科学基础知识：,离散数学,数据结构,程序设计语言,操作系统,计算机网络,数据库管理系统,通信系统,软件工程,专业知识体系,信息安全基础知识：,信息安全导论,信息安全数学基础,信息安全法律基础,信息安全管理基础,密码管理，网络管理，设备管理，人员管理，等级保护,系统风险，技术风险，管理风险，应急响应,信息安全产品评测，信息安全产品认证,专业知识体系,信息系统安全 基础知识：,计算机设备安全：,计算机设备的物理安全：场地安全，灾害防护，电磁防护,计算机存储设备安全：纠错，备份，恢复,计算机输入输出设备安全：输入输出保护，输入输出加密,嵌入式系统：智能卡，USB-Key，PDA,操作系统安全:,身份认证：基于口令的身份认证，基于usb-key的身份认证，基于生理特征的身份认证,访问控制：自主访问控制，强制访问控制,进程安全保护：进程隔离，进程监管,存储器保护：存储器隔离，存储器保护,文件保护：文件备份、恢复、加密,审计：日志采集，分析,专业知识体系,数据库系统安全：,数据库的访问控制与授权,数据库加密,数据库安全审计,常用数据库安全审计分析,恶意软件,恶意软件机理,病毒和蠕虫,防火墙技术,包过滤,NAT,应用层代理服务器,专业知识体系,入侵检测系统：,入侵检测,入侵防护,误用检测,异常检测,入侵检测系统的配置和应用,VPN,隧道协议：PPTP/L2TP/IPsec,VPN的配置和应用,专业知识体系,安全扫描,安全扫描与开放服务,端口扫描技术,半连接,全连接,密码探测扫描技术,SMTP/POP3,HTTP,FTP,OS,漏洞扫描技术,操作系统扫描,Web服务扫描,主流扫描工具配置与应用,专业知识体系,Web安全,Web安全的概念,网页防篡改技术,Web访问安全,Web内容安全,电子商务安全,电子商务概念,电子货币与支付,电子商务安全体系,SSL协议,SET协议,专业知识体系,信息隐藏,隐写术概念,隐写方法,数字水印原理,数字水印算法,数字水印检测,Internet版权与水印,专业知识体系,