1、第一部分(第1章) 概論與基礎4學時第二部分 安全技術及應用18學時 第2章 信息加密技術 第3章 認證技術 第4章 密鑰管理與分配技術 第5章 靜態偵測與防火墻技術 第6章 動態偵測與入侵檢測技術 第7章 阻斷與隔離 第8章 誘騙與取證第三部分 安全技術在特定平臺上的實現6學時第9章 Internet的基礎設施安全第10章 Windows 2000 下的安全應用實驗第四部分 內容安全(第11章) 4學時第五部分(第12章) 安全管理2學時本課主要內容9/6/2022實驗一：加密與HASH算法的實現實驗二：安裝配置證書服務器實驗三：簡易防火墻配置實驗四：創建Kerberos服務實驗五：利用SS

2、L加密HTTP通道本課主要實驗(課外)9/6/2022授課方式：講課講課時間：第10周-第19周 每周4節學期成績評定方式： 出勤:10% (重視學習態度) 作業(包括課外實驗和課堂回答問題):20% (重視學習過程) 期末考: 70% (閉卷考試)本課安排9/6/2022本課主要參考書1.蔣天發等.網絡信息安全.北京:電子工業出版社,2009.2.胡道元等.網絡安全.北京:清華大學出版社,2008.3.崔寶江等.信息安全實驗指導.北京:國防工業出版社,2005.4.白碩等.e矛e盾.北京:清華大學出版社,2002.5.陳恭亮.信息安全數學基礎.北京:清華大學出版社,2004.9/6/2022

3、第一章 概論與基礎網絡信息安全技術9/6/20221.1 信息,網絡與安全 1.2 網絡信息安全1.3 TCP/IP和主流操作系統1.4 黑客,威脅與防御1.5 網絡攻擊與防范1.6 惡意代碼1.7 信息系統安全體系結構 本章主要內容第一章 概 述9/6/20221.1 信息,網絡與安全 1.1.1信息的概念與特征 第一章 概 述信息、材料和能源是人類社會賴以生存和發展的基礎。所謂信息，科學家說：信息是不確定性的減少，是負熵.安全專家說：信息是一種資產，它意味著一種風險.教科書上的定義“就是客觀世界中各種事物的變化和特征的最新反映，是客觀事物之間聯系的表征，也是客觀事物狀態經過傳遞后的再現”。

4、 （包括三點：差異、特征、傳遞）信息自身不能獨立存在，必須依附于某種物質載體。信源、信宿、信道是信息的三大要素。信息可以被創建,輸入,存儲,輸出,傳輸（發送，接收，截取）,處理（編碼，解碼，計算）,銷毀。 信息系統是信息采集、存儲、加工、分析和傳輸的工具，它是各種方法、過程、技術按一定規律構成的一個有機整體。 9/6/2022網絡-確保信息按需有序流動的基礎設施。網絡既包含了組成網絡的硬件設備和線路，也包含了網絡設備運行的軟件系統。 傳輸網絡-基礎電信網、基礎廣電網等互聯網絡-互聯網（因特網）、內聯網、外聯網人際網絡-關系網、銷售網、間諜網互聯網的特點:開放性,國際性和自由性.互聯網是扁平結構

5、的,平等的,而這個社會是樹型結構的,分等級的.1.1 信息,網絡與安全 1.1.2 網絡的簡單概念第一章 概 述9/6/2022Security: 信息的安全 Safety:物理的安全Security的含義:在有敵人（Enemy）/對手（Adversary）/含敵意的主體（Hostile Agent）存在的網絡空間中，確保己方的信息、信息系統和通信不受竊取和破壞，按照需要對敵方的信息、信息系統和通信進行竊取和破壞的“機制”（Mechanism）1.1 信息,網絡與安全 1.1.3 安全的簡單概念第一章 概 述9/6/20221.2 網絡信息安全1.2.1 背景網絡的普及對網絡的依賴加深攻擊的門

6、檻降低-攻擊資源的廣泛存在-實施攻擊的難度大大降低維護國家主權和社會穩定、打擊網上犯罪、引導青少年健康上網（過濾與監控）網絡信息資源的綜合利用（情報獲取與分析）網絡信息對抗和網絡信息戰9/6/20221.2 網絡信息安全1.2.2 基本概念什么是網絡信息安全？這樣一個看似簡單的問題卻難有令人滿意的答案。目前業界、學術界、政策部門對信息安全的定義似乎還沒有形成統一的認識。所以也衍生出了許多不同的概念，比如網絡安全、計算機安全、系統安全、應用安全、運行安全、媒體安全、內容安全等等；教科書上的定義:網絡安全從其本質上來講是網絡上的信息安全. 它涉及的領域相當廣泛. 從廣義來說,凡是涉及到網絡上信息的

7、保密性完整性可用性真實性和可控性的相關技術與原理,都是網絡安全所要研究的領域9/6/20221.2 網絡信息安全1.2.2 基本概念信息安全的一般內涵的定義是確保以電磁信號為主要形式的，在計算機網絡系統中進行獲取、處理、存儲、傳輸和利用的信息內容，在各個物理位置、邏輯區域、存儲和傳輸介質中，處于動態和靜態過程中的機密性、完整性、可用性、可審查性、可認證性和抗抵賴性的，與人、網絡、環境有關的技術和管理規程的有機集成。信息安全主要涉及到信息存儲的安全、信息傳輸的安全以及對網絡傳輸信息內容的審計三方面。從不同的角度或從不同的環境和應用中,網絡信息安全有不同的含義 9/6/20221.2 網絡信息安全

8、1.2.3 研究內容 一切影響計算機網絡安全的因素和保障計算機網絡安全的措施都是此學科的研究內容.如:實體硬件安全軟件系統安全密碼技術網絡安全防護數據信息安全認證技術病毒防治技術防火墻與隔離技術入侵檢測技術, 等等9/6/20221.2 網絡信息安全1.2.4 網絡信息安全的CIA模型CIA模型C: Confidentiality 保密性I: Integrity 完整性A: Availability 可用性不足之處身份的真實性/可靠的匿名性操作的不可否認性/操作的不可追溯性 9/6/20221.2 網絡信息安全1.2.5 網絡信息系統安全的基本需求完整性（integrity）指信息在存儲或傳輸

9、過程中保持不被修改、不被破壞、不被插入、不延遲、不亂序和不丟失的特性。保密性(confidentiality)是指嚴密控制各個可能泄密的環節，使信息在產生、傳輸、處理和存儲的各個環節不泄漏給非授權的個人和實體。可用性(availability)是指保證信息確實能為授權使用者所用，即保證合法用戶在需要時可以使用所需信息，防止由于主客觀因素造成系統拒絕服務。可控性（controllability）指信息和信息系統時刻處于合法所有者或使用者的有效掌握與控制之下 。 不可否認性(incontestable)。是指保證信息行為人不能否認自己的行為 。9/6/20221.3 TCP/IP和主流操作系統1.

10、3.1 TCP/IP簡單回顧TCP/IP家族:TelnetFTPSMTPHTTPDNSTCPUDPIPICMPARPRARPEthernetFDDIxDSL物理接口層網絡層傳輸層應用層9/6/20221.3 TCP/IP和主流操作系統1.3.1 TCP/IP簡單回顧物理接口層:Ethernet-以太網FDDI-光纖分布雙環網是早期數據通訊網路之一xDSL-數字用戶線. 幾種DSL技術：ADSL：非對稱用戶數據線VDSL：超高比特率數字用戶線HDSL：Mbps。SDSL：單線/對稱數字用戶線：HDSL單線版本。9/6/20221.3 TCP/IP和主流操作系統1.3.1 TCP/IP簡單回顧網絡

11、層:IP- Internet Protocol,網際互聯協議,它的一個重要的功能就是在確定一條信息的發送地址和接收地址后能預測一個最佳路徑;另一重要工作就是負責把需要傳輸的信息轉換成網絡可以傳輸的小數據包,這是其它許多協議的基礎9/6/20221.3 TCP/IP和主流操作系統1.3.1 TCP/IP簡單回顧IP數據包結構VerIHLService長度包序號標志報片偏移TTL協議CRC源地址目的地址選項Pad數據9/6/20221.3 TCP/IP和主流操作系統1.3.1 TCP/IP簡單回顧IP地址的表示IP地址：子網編碼+主機編碼比如某網站的二進制地址1001111111100010001

12、0100110100110點分十進制地址66子網掩碼00000000（）子網主機9/6/20221.3 TCP/IP和主流操作系統1.3.1 TCP/IP簡單回顧IPv4 vs. IPv6目前互聯網實行的編址方案是IPv4業界正在大力推進IPv6地址空間從32位擴大到128位，擴大296倍9/6/2022處理不同機器的IP層之間的通信,任何一個IP層向另一個IP層發送信息都必然會使用此協議. 可以發送一些狀態報文比如出錯信息，因此IP層的軟件都是通過它來向機器發送狀態報告，ICMP也由此成為了實際上IP層的通信系統比如ping就是一個應用ICMP的非常的著名命令，它的作

13、用就是向一臺機器發送一個小ICMP報文來檢查這臺機器是否應答關掉ICMP的機器不能通過ping探測其網絡連通性1.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統ICMP-網際控制報文協議.9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統MAC地址和IP地址之間的映射IPMAC：地址解析協議（ARP）MACIP：反向地址解析協議（RARP）9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統基本功能：提供端到端（進程-進程）的通信，即向高層用戶屏蔽通信子網的細節，提供通用的傳輸接口,這主要由傳輸控制協議TCP和用戶數

14、據報協議UDP提供.主要功能：1.傳輸連接管理：把傳輸地址映射為網絡地址，把端到端的傳輸連接復用到網絡連接上2.數據傳送優化：端到端的順序控制、差錯檢測及恢復、分段處理及QoS監測TCP協議主要面向連接,它可以重發及實現數據的可靠傳輸,UDP協議則主要負責傳輸而不涉及連接服務,它沒有重發和糾錯功能,也不能保證數據傳輸的可靠性.傳輸層的功能9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統TCP報文格式保留URG源端口目的端口發送序號確認序號首部長度緊急指針選項和填充窗口大小檢查和數據（可選）ACKPSHRSTSYNFIN9/6/20221.3.1 TCP/IP簡

15、單回顧1.3 TCP/IP和主流操作系統UDP報頭格式源端口目的端口UDP報文長度檢查和9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統建立TCP連接:三次握手的簡化流程SYNSYN/ACKACK9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統應用層:超文本傳輸協議 (HTTP) 互聯網域名系統(DNS)簡單郵件傳輸協議(SMTP)遠程登錄(Telnet)文件傳輸 (FTP)電子公告版(BBS)9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統HTTP(Hypertext Transfer Pr

16、otocol)是WWW瀏覽器和WWW服務器之間的應用層通訊協議,是用于分布式協作超文本信息系統的、通用的、面向對象的協議。HTTP會話過程包括四個步驟： 連接(Connection) 請求(Request) 應答(Response) 關閉(Close) 9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統互聯網域名系統(DNS)bbs.ncic.ac 曙光bbs服務器智能中心科技網中國bbs.ncic.ac 用名字來代替IP地址, 以便于人們的記憶9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統電子郵件(Email)電子郵件是利用

17、計算機網絡來交換電子媒體信件的通信方式，其協議是SMTP（簡單郵件傳輸協議），特點是只規定如何與TCP協議銜接。電子郵件采取存儲轉發的方式，發送失敗后將繼續嘗試發送。電子郵件與短信,QQ,MSN等是目前最為火爆的基于P2P技術的即時通信應用。9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統電子郵件(Email)電子郵件需分別指定發信服務器與收信服務器，發信服務器稱為SMTP服務器，無需賬號，收信服務器通常是POP3服務器（POP：郵局協議），需要賬號。信箱格式為： 用戶名收信服務器域名 zhongshangpingsoftware.ict.ac 9/6/202

18、21.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統遠程登錄(Telnet)遠程登錄是指用戶可以在本地自己的終端上通過支持TCP/IP的Internet網絡與另一個地方的主機系統進行交互。遠程登錄的必備條件是本地端具有Telnet的客戶程序，知道對方的IP地址或域名、賬號、口令。9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統文件傳輸(FTP)FTP是用于在兩個支持TCP/IP的Internet網絡上的主機之間進行文件交換。必備條件是本地端具有FTP的客戶程序，知道對方的IP地址或域名、賬號、口令。當對方是匿名FTP服務器時可以進行匿名FTP登

19、錄與傳輸。在瀏覽器上直接支持FTP操作： FTP:/ftp.ncic.ac 互聯網上有大量的FTP工具,如:CuteFTP等。9/6/20221.3.1 TCP/IP簡單回顧1.3 TCP/IP和主流操作系統電子公告版（BBS）BBS（Bulletin Board System）是利用計算機通過遠程訪問，將各種共享信息提供給各種用戶。各用戶可以張貼自己的觀點，可以回答他人的問題。可以尋友，發郵件等。最初為Telnet方式，現在大都有WWW方式進一步發展為即時聊天、即時通信等9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統三大主流操作系統DOS/Window

20、s系列MacOS系列Unix/Linux系列9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統微軟的DOS/Windows系列祖宗：MS-DOSx桌面系列：Windows 3.x Windows XP服務器系列：Windows NT 3.x Windows .Net9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統MacOSMacOS一度十分強大，在GUI（圖形用戶界面）方面曾經頗具優勢MacOS有傳統的應用領域（如出版），但總體上說正在衰落MacOS在中國沒有很大市場9/6/20221.3.2 主流操作系統及其安全問題1

21、.3 TCP/IP和主流操作系統UNIX/Linux系列幾大商業UNIX系統IBMAIXSUNSolarisHPHP-UXSGIIRIXSCOSCO UNIX兩大免費UNIX系統Free BSDLinux9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統主要的UNIX系統演進示意圖Unix CSUnix V6Unix System III BSDUnix System VFree BSDLinuxAIXHP-UXSolarisIrixSCOUnix V79/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統諸侯、霸主與俠客商業

22、UNIX的發展，缺乏一條明確的主線和統一的規劃，諸侯林立。但由于其本身在高端技術上的一些優勢，在大型服務器平臺領域，UNIX仍有相當的地盤微軟Windows系列有清晰的產品線和產品戰略，已經在低端處于絕對的霸主地位（OS2案例）Linux/Free BSD高舉“自由”大旗，加上由此而來的安全概念，異軍突起，對微軟的霸主地位形成一定沖擊，但不足以動搖微軟的霸主地位9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統操作系統的安全問題D級操作系統的權限模型C級操作系統的權限模型B級操作系統的權限模型9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP

23、/IP和主流操作系統研究操作系統安全問題的意義操作系統所處的位置決定了它是具有戰略意義的軟件系統，是一切信息和信息系統的安全攸關的底座操作系統的安全功能是網絡信息安全的至關重要的組成部分操作系統的安全功能主要是通過“訪問控制”來實現的，具體體現在內核地址空間的相對隔離用戶和權限的管理對與安全有關的關鍵性信息的加密存儲9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統操作系統的安全等級（TCSEC-可信任計算機標準評估準則）D級：最小安全策略（無訪問控制措施）C級：自主訪問控制C1：可信任的計算基礎C2：安全審計B級：強制訪問控制B1：設置敏感度標記B2：隱通

24、道分析B3：審計跟蹤A級：結構化訪問控制A1：形式化驗證（理想狀態）9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統C1級操作系統的訪問控制主體：用戶用戶組程序（隸屬于一定的用戶）客體：資源，包括文件目錄進程（暫時不說）操作：讀、寫、執行權限：允許、禁止9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統屬主，用戶組，權限管理一定的客體為一定的主體所擁有，該主體稱為該客體的屬主（Owner）一定的用戶集合可組成用戶組（Group），同組的用戶在安全策略上具有一定的共性一定的可執行客體具有權限管理的執行效果，擁有執行這類客體

25、權限的主體事實上具有了改變別的主體和客體的相關安全策略的能力9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統權限碼由9個二進制位組成0表示禁止，1表示允許從高到低的九個二進制位依次表示屬主是否可讀、可寫、可執行同組用戶是否可讀、可寫、可執行其他用戶是否可讀、可寫、可執行9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統權限碼755用戶屬主同組其他操作讀寫執行讀寫執行讀寫執行權限碼111101101意義允許允許允許允許禁止允許允許禁止允許9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統

26、超級用戶對任意客體擁有任意處置權限的用戶，稱為超級用戶因此，超級用戶能夠運行任何權限管理程序，從而可以設置和改變任何主體對任何客體的權限超級用戶的權限令人眼紅，它的非法使用，將對系統的安全構成重大的威脅9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統超級用戶C1級的操作系統靠著權限碼把不同屬主的資源在一定程度上隔離開來超級用戶猶如一個全知全能的上帝，一旦獲得超級用戶的權限，上述隔離機制將不復存在遺憾的是，由于系統設計時的考慮不周，有大量的系統存在非法獲取超級用戶權限的隱患（漏洞），口令的管理不善或不當，也會造成超級用戶權限的流失如此大的風險集中在超級用戶上

27、面，對于有較高安全需求的信息系統來說，不是一個明智的選擇，因此在B級操作系統里面，超級用戶的全能性將被廢止9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統B1級操作系統的訪問控制基本的想法：分權借鑒：人類在帶有敵對性質的環境下對信息的管理，特別是對軍事機密的管理做法：同時給主體和客體加級別標記所謂級別，在數學上就是“序結構”，如偏序結構或全序結構9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統安全操作系統一般把B級以上的操作系統叫做安全操作系統政府、軍隊、金融等關鍵領域，對安全操作系統有很大需求防火墻、安全隔離系統等安

28、全產品自身的安全性要求堅固的操作系統底座數字權力保護的有效實現最好在安全的操作系統中完成中國這樣的大國，應該有自主的安全操作系統9/6/20221.3.2 主流操作系統及其安全問題1.3 TCP/IP和主流操作系統操作系統加固在已有的操作系統外部通過打補丁的方式實現強制訪問控制的功能，叫做操作系統加固操作系統加固不如安全操作系統的安全性好，原因是：敵對者可以以更高的優先級打一個弱化強制訪問控制功能的“反補丁”已有操作系統的有些脆弱性（甚至是人為的后門）可能無法通過加固來避免在不具備開發安全操作系統的主客觀條件又不想采用別人的安全操作系統的時候，操作系統加固不失為一種選擇9/6/20221.4.

29、1 關于“黑客”1.4 黑客,威脅與防御“黑客”-Hacker源于英語動詞hack,意為“劈,砍”,引申為“干了一件非常漂亮的工作”,中文語感上令人聯想到“手段高超,行事詭秘的不速之客”特征: 技術精湛，系統爛熟，來去無蹤，大俠風范黑客的精神鉆研的精神挑戰的精神敬業的精神自律的精神9/6/20221.4 黑客,威脅與防御1.4.1 關于“黑客”公眾的誤解以為坑人的攻擊者破壞者是黑客“黑”成了動詞，“紅”成了黑客中的另類媒體的渲染正名運動一個典型的社會語言學問題Hacker vs. Cracker黑客？駭客？壞客？9/6/20221.4 黑客,威脅與防御1.4.1 關于“黑客”黑客是一個國家的寶

30、貴的戰略資源黑客是最懂網上技術對抗的群體，在關系到國家主權、國計民生和網民切身利益的網上技術對抗發生的時候，黑客資源經過很好地組織，可形成一定的戰斗力黑客文化素來追求自由，討厭約束，這在一定程度上妨礙了黑客在對抗中的協同發揮和更嚴密的戰術戰役組織中國黑客中懂技術，有激情，顧大局，通情理者為數不少9/6/20221.4 黑客,威脅與防御1.4.1 關于“黑客”漏洞與攻擊漏洞是程序的一種客觀存在的脆弱性，可以被利用來實施攻擊攻擊是對漏洞的最直觀的驗證方式攻擊在某些條件下也是最好的防御所以，不能把研究漏洞和攻擊的權利拱手交給“壞人”當然，對無辜的、非敵對的目標進行惡意攻擊，于法于理皆難容作為學習和研

31、究網絡信息安全的人，要懂得自律，懂得守法；不僅包括國內法，還有國際法9/6/20221.4 黑客,威脅與防御1.4.1 關于“黑客”本課程中對漏洞和攻擊的導向鼓勵研究中國人發現的漏洞不是太多，而是太少國際慣例是研究出補救辦法才公布漏洞，未公布的漏洞都是懸在我們頭上的定時炸彈掌握在我們手里的未公布的漏洞越多，我們在信息對抗中的戰略地位就越有利側重原理本課程以講授原理為主，不會提供大段的代碼，但是掌握了這些原理，再去接觸這些代碼，會站在一個更高的層次9/6/20221.4 黑客,威脅與防御1.4.1 關于“黑客”本課程中對漏洞和攻擊的導向謹慎實驗從事關于漏洞和攻擊的實驗一定要慎之又慎實驗環境要與日

32、常應用環境隔離，防止危害性的實驗結果擴散到日常應用環境當中移動病毒的實驗，一旦失控，后果及其嚴重嚴格自律要求大家不從事對公眾網絡的攻擊和掃描活動，不參加以任何名義進行的“黑客大戰”9/6/20221.4 黑客,威脅與防御1.4.2 信息系統面臨的威脅及分類 1.信息通信過程中的威脅 被動攻擊竊聽獲取消息內容流量分析主動攻擊中斷修改偽造破壞可用性破壞完整性破壞真實性9/6/20221.4 黑客,威脅與防御1.4.2 信息系統面臨的威脅及分類 2.信息通信過程中的威脅 截獲(偵聽)中斷(干擾)偽造篡改 第一章 概 述9/6/2022第一章 概 述概括計算機網絡上的通信面臨4種威脅。截獲(inter

33、ception)中斷(interruption)篡改(modification)偽造(fabrication) 上述四種威脅可劃分為兩大類，即被動攻擊和主動攻擊。在上述情況中，截獲信息的攻擊稱為被動攻擊，而更改信息和拒絕用戶使用資源的攻擊稱為主動攻擊。1.4 黑客,威脅與防御1.4.2 信息系統面臨的威脅及分類 9/6/2022數據的性質Interruption(中斷) -Interception(截獲) -Modification(修改) -Fabrication (偽造) - Availability Availability可用性 AvailabilityConfidentiality機

34、密性 Integrity完整性 Availability Authenticity真實性第一章 概 述1.4 黑客,威脅與防御1.4.2 信息系統面臨的威脅及分類 9/6/20221.4 黑客,威脅與防御1.4.2 信息系統面臨的威脅及分類 2.信息存儲過程中的威脅 第一章 概 述 存儲于計算機系統中的信息，易于受到與通信線路同樣的威脅。非法用戶在獲取系統訪問控制權后，瀏覽存儲介質上的保密數據或專利軟件，并且對有價值的信息進行統計分析，推斷出所有的數據，這樣就使信息的保密性、真實性、完整性遭到破壞。 9/6/20221.4 黑客,威脅與防御1.4.2 信息系統面臨的威脅及分類 3.信息加工處理

35、中的威脅 第一章 概 述 信息系統對信息進行加工過程中，通常以源碼出現，加密保護對處理中的信息不起作用。因此，在這個期間有意攻擊和意外操作都極易使系統遭受破壞，造成損失。除此之外，信息系統還會因為計算機硬件的缺陷、軟件的脆弱、電磁輻射和客觀環境等原因造成損害，威脅計算機信息系統的安全。9/6/2022偽裝非法連接非授權訪問拒絕服務抵賴信息泄露口令猜測地址欺騙連接盜用竊聽業務流分析改動信息流篡改或破壞數據推斷或演繹信息非法篡改程序（病毒、特洛依木馬和蠕蟲 ）業務否決對域名系統和其他基礎設施的破壞利用Web破壞數據庫第一章 概 述1.4 黑客,威脅與防御1.4.3 威脅的表現和構成威脅的因素 1.

36、信息系統面臨的威脅表現9/6/20221.4 黑客,威脅與防御1.4.3 威脅的表現和構成威脅的因素 2.構成威脅的因素 （1）環境和災害因素 (溫度、濕度、供電、火災、水災、 地震、靜電、灰塵、雷電、強電磁場、電磁脈沖等 )（2）人為因素 第一章 概 述計算機硬件系統的故障軟件組件（漏洞 ）網絡和通信協議無意（操作失誤）有意（黑客、犯罪）（3）系統自身的脆弱9/6/2022系統自身的安全缺陷1.4 黑客,威脅與防御第一章 概 述協議本身會泄漏口令 連接可成為被盜用的目標 服務器本身需要讀寫特權 基于地址 密碼保密措施不強 某些協議經常運行一些無關的程序 業務內部可能隱藏著一些錯誤的信息 有些

37、業務本身尚未完善,難于區分出錯原因 有些業務設置復雜,很難完善地設立 使用CGI（Common Gateway Interface）的業務1.4.3 威脅的表現和構成威脅的因素 9/6/2022定義：“非法入侵者”起源： 60年代目的： 基于興趣非法入侵 基于利益非法入侵 信息戰人為攻擊（黑客）1.4 黑客,威脅與防御第一章 概 述1.4.3 威脅的表現和構成威脅的因素 9/6/2022網絡協議的開放性1.4 黑客,威脅與防御第一章 概 述 業務基于公開的協議（TCP/IP中的TCP和ARP ） 遠程訪問使得各種攻擊無需到現場就能得手 連接是基于主機上的社團彼此信任的原則1.4.3 威脅的表現

38、和構成威脅的因素 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統防御策略的基本原則 信息系統安全體系屬于典型的防御體系，在構建防御體系過程中應堅持下列原則 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統防御策略的基本原則 其實質是任何實體（用戶、管理員、進程、應用和系統等）僅有該主體需要完成其被指定任務的所必須的權力，此外沒有更多的特權。最小特權可以盡量避免將信息系統資源暴露在侵襲之下。 在信息系統安全設計中，對于每個用戶并不需要使用所有的網上服務；不是所有用戶需要去修改（甚至去讀）系統中的每一個文件；每一個用戶并不需要都知道系統的根口令

39、；每個系統管理員也沒有必要都知道系統的根口令等，這些可以說是最小特權的例子。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統防御策略的基本原則 安全體系不要只依靠單一安全機制和多種安全服務的堆砌，應該建立互相支撐的多種安全機制，建立具有協議層次和縱向結構層次（信息流方向）的完備體系。通過多層機制互相支撐來獲取整個信息系統的安全。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統防御策略的基本原則 在網絡系統對外連接的通道上建立控制點，可以使系統管理人員對網絡進行監控連接，對攻擊者進行監視和控制。 在網絡信息安全系統中，位于站點與Intern

40、et之間的防火墻就是一個控制點的典型例子。任何一個從公共網絡侵襲站點的操作都必須通過這個對侵襲起防御作用的控制點，系統管理人員應當在網絡運行中監視這些侵襲并在發現它們時進行基于策略的處理。9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統防御策略的基本原則 系統安全的強度取決于系統連接最薄弱環節（脆弱性）的安全態勢，強的堅固程度取決于它最薄（脆）弱點的堅固特性。精明的攻擊者總要找出系統的弱點，并集中力量對其進行攻擊。系統管理人員應意識到網絡系統防御中的弱點，以便采取措施進行加固或消除它們的存在，同時也要監測那些無法消除的缺陷的安全態勢。對待安全的各個方面要同樣重視而不能

41、有所偏重。例如，不能只重視保護Telnet連接而放任FTP連接。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統防御策略的基本原則 安全保護的另一個基本原則就是失效保護，一旦系統運行錯誤，當其發生故障時必須拒絕侵襲者的訪問，更不允許侵襲者跨入內部網絡。當然也存在一旦出現故障，可能導致合法用戶也無法使用信息資源的情況，但這是確保系統安全必須付出的代價。 網絡信息系統中的多數應用都是按失效保護原則設計的。例如，包過濾路由器如果出現故障，將不允許任何數據包進出；一個代理服務器出現故障，將不提供服務。9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統

42、防御策略的基本原則 為了使安全機制更為有效，絕大部分安全系統要求員工普遍參與，以便集思廣益來規劃設計網絡的安全體系和安全策略，發現問題，使網絡系統的安全設計更加完善。一個安全系統的運行需要全體人員共同維護。系統的安全單純依靠系統管理員或安全管理員維護同樣是危險的。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統防御策略的基本原則 通過使用大量不同的系統提供縱深防御而獲得額外的安全保護一樣，也能通過使用大量不同類型、不同等級的系統得到額外的安全保護。 防御多樣化的意義是使用不同廠商的安全保護系統，降低因普遍的錯誤或配置錯誤而危及整個系統。但是，對于系統的復雜性和互操作

43、性卻是需要考慮的另一個問題，應提防虛假的多樣性，例如，可能存在共同的缺陷或漏洞。 9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統防御策略的基本原則 簡單化作為一種安全保護策略有兩方面的含義；一是讓事物簡單便于理解；二是復雜化會為所有的安全帶來隱藏的漏洞，直接威脅網絡安全。9/6/2022第一章 概 述1.4 黑客,威脅與防御1.4.4 信息系統防御策略的基本原則技術措施（采用特定功能的設備或系統）管理措施（法律、規章制度、檢查）三分技術七分管理9/6/20221.5 網絡攻擊與防范1.5.1 擁塞郵件炸彈攻擊Ping風暴攻擊同步風暴攻擊IP碎片攻擊分布式拒絕服務攻擊

44、9/6/20221.5 網絡攻擊與防范1.5.1 擁塞擁塞的定義因處理能力或某種必備資源不足而產生的失去服務能力的現象，也叫“拒絕服務”（Denial of service）人為造成目標主機或網絡處于擁塞狀態的行為，稱為“拒絕服務攻擊”拒絕服務攻擊不可能對目標主機進行實質性的破壞，但可能造成因服務停頓而帶來的損失（可能非常之巨大）9/6/20221.5 網絡攻擊與防范1.5.1 擁塞郵件炸彈攻擊垃圾郵件與郵件炸彈垃圾郵件（SPAM）指的是把有商業或政治推廣意圖的郵件未經收件人允許發送給大量的收件人，主要的表現是“廣”而“泛”郵件炸彈（Email Bomber）指的是在短時間內向特定的目標信箱發

45、送大數據量的郵件，導致信箱無法工作和網絡、服務器的擁塞，主要的表現是“多”而“專”9/6/20221.5 網絡攻擊與防范1.5.1 擁塞郵件炸彈攻擊的危害干擾用戶的電子郵件系統的正常使用沒用的郵件把有用的郵件的空間擠占掉了，有用的郵件不能正常收發致使郵件服務器系統崩潰郵件服務器的空間被侵吞，無法接收正常的（不含惡意的）郵件郵件服務器處理正常的（不含惡意的）郵件的效率降低乃至工作無法進行造成網絡系統癱瘓大量郵件在短時間內擁塞在網絡上，對網絡帶寬造成壓力乃至癱瘓正常的（不含惡意的）郵件不能正常到達，導致重發數據包大量增加，進一步增加帶寬壓力9/6/20221.5 網絡攻擊與防范1.5.1 擁塞從防

46、范角度看郵件炸彈的應對請郵件服務器管理人員清除，或使用郵件管理工具登錄到郵件服務器上清除設置過濾（拒絕超過一定規模的信件）轉信加過濾防止別人利用你的郵件服務器的轉信功能作為發送郵件炸彈的跳板（慎用！）自動回信（它反擊的是對方的郵件服務器，而不是對方的客戶端）9/6/20221.5 網絡攻擊與防范1.5.1 擁塞從攻擊角度評價郵件炸彈小兒科，沒有真正的殺傷力容易防范僅僅在外圍禍害一下，沒有攻到要害沒有多少創意和技術含量傷及無辜，不太仗義（使用同一個郵件服務器的其他用戶甚至使用同一個子網的網絡用戶都會受到不同程度的影響）9/6/20221.5 網絡攻擊與防范1.5.1 擁塞Ping 風暴攻擊Pin

47、g是通過發送ICMP報文(類型8代碼0)探尋網絡主機是否存在的一個工具早期的部分操作系統（例如win95），不能很好處理過大的Ping包于是，在短時間內對準一個目標系統發送密集的大Ping包，將使這類目標系統出現擁塞這就是Ping to Death的攻擊，也稱為Ping風暴攻擊方式。9/6/20221.5 網絡攻擊與防范1.5.1 擁塞Ping風暴攻擊的先決條件目標系統版本較老（新的版本大多已經對此漏洞采取了一定的補救措施）己方出入口帶寬對方出入口帶寬（否則，被淹死的首先是你自己）9/6/20221.5 網絡攻擊與防范1.5.1 擁塞用偽裝的IP進行ping攻擊A仿冒B對C實行ping 風暴攻

48、擊，B把EchoReply都發送給C，結果是B和C都遭受了攻擊，而A則不露痕跡（相對而言）這里利用了ICMP協議的無連接特性進一步，如果ping的是一個廣播地址，將會收到N多EchoReply（對微軟的不靈，對UNIX很靈）借力打力，四兩撥千斤9/6/20221.5 網絡攻擊與防范1.5.1 擁塞Ping風暴攻擊的防范更新系統，擴大帶寬安裝IDS發現可疑IP立即封鎖各個ISP協查聯防萬不得已時，關閉ICMP9/6/20221.5 網絡攻擊與防范1.5.1 擁塞從攻擊角度的評價方法比較原始，對于有組織的防范基本無效用偽裝IP方法進行攻擊，能夠借用網絡協議和網絡拓撲的特點，放大攻擊效果，思路可取要

49、想進一步放大攻擊效果，必須采用分布式攻擊9/6/20221.5 網絡攻擊與防范1.5.1 擁塞同步風暴攻擊英文Syn flood，是利用TCP三次握手中的漏洞造成主機擁塞三次握手中，發起連接的一方有兩個動作（SYN和ACK）。如果只發前一個，不發后一個，會是什么效果呢？讓我們看看握手中發生了什么9/6/20221.5 網絡攻擊與防范1.5.1 擁塞握手內幕SYN為建立連接準備資源SYN/ACK為建立連接準備資源ACK9/6/20221.5 網絡攻擊與防范1.5.1 擁塞握手中的謊言SYN開銷SYN/ACKSYNSYNSYNSYNSYNSYNSYNSYN開銷SYN/ACKSYN/ACKSYN/A

50、CKSYN/ACKSYN/ACKSYN/ACKSYN/ACKSYN/ACKSYN/ACKSYN/ACK開銷開銷開銷9/6/20221.5 網絡攻擊與防范1.5.1 擁塞同步風暴攻擊為什么能夠得手目標系統有漏洞具體地說，握手機制的實現，順序有問題申請開銷過早如果先花費少量開銷維持握手狀態，等到對方的ACK來了之后再申請真正的開銷，情況就會好得多9/6/20221.5 網絡攻擊與防范1.5.1 擁塞應對目標系統更新版本，握手機制的實現采用新順序，推遲申請開銷的時機安裝IDS發現可疑IP立即封鎖各個ISP聯防協查9/6/20221.5 網絡攻擊與防范1.5.1 擁塞從攻擊角度的評價漏洞處于比較要害的

51、部位（不能像應對ping風暴攻擊時關閉ICMP那樣關閉TCP握手機制，否則無法開展正常服務）以小開銷（攻擊方無需申請建立連接的開銷）拼大開銷（目標系統在未確定對方“有誠意”真正建立連接之前就匆忙申請了開銷），具有一定的殺傷力防范相對容易9/6/20221.5 網絡攻擊與防范1.5.1 擁塞IP碎片攻擊IP碎片攻擊是一種利用IP報文分片和重組機制中存在的漏洞造成目標系統資源耗盡或崩潰的一種拒絕服務攻擊它不僅可以攻擊聯網主機，也可以攻擊防火墻、IDS（入侵監測系統）等網絡設備IP碎片攻擊還可以用來逃避IDS檢查，因為許多網絡入侵檢測系統的機理是單IP包檢測，沒有處理分片。9/6/20221.5 網

52、絡攻擊與防范1.5.1 擁塞復習：IP包結構版本號IP分組頭長服務類型總長度標識符標志報片偏移生存時間協議分組頭校驗和源地址目標地址任選項填充015319/6/20221.5 網絡攻擊與防范1.5.1 擁塞IP分組結構（1-1） 名稱英文名稱位寬功能版本號VER4一般用4分組頭長IHL45-15，一般是5服務類型TOS8可靠性等總長度TL16Head+Data標識符ID16見詳解（2）標志3見詳解（2）報片偏移FO13見詳解（2）生存時間TTL8過一路由減一協議PROT8TCP,ICMP9/6/20221.5 網絡攻擊與防范1.5.1 擁塞IP分組結構（1-2）名稱英文名稱位寬功能分組頭校驗和

53、HCSUM16計算校驗和源地址SOURCE32發送方IP目標地址DEST32目的IP9/6/20221.5 網絡攻擊與防范1.5.1 擁塞IP分組結構（2）標識符標志報片偏移MF（More Fragment）位0:最后的報片1:不是最后的報片沒有定義，但必須是0DF(不可分片）位0:可分片1:不可分片9/6/20221.5 網絡攻擊與防范1.5.1 擁塞IP分片與重組IP數據報在傳輸時，其間可能通過一些子網，這些子網允許的MTU（最大傳輸單元長度）可能小于該數據報的長度。為了處理這種情況，IP為以數據報方式傳送的IP分組提供了分片和重組的功能。這也是IP層的主要功能之一。 9/6/20221.

54、5 網絡攻擊與防范1.5.1 擁塞IP分片與重組當網關準備將IP數據報發送到網絡上，而該網絡又無法將整個數據報一次發送時，網絡必須將該數據報分成小塊，使其長度能滿足這一網絡對數據分組的限制。IP報片可以獨立走各自的路由，分片的數據報直到到達目的主機才能匯集到一起，甚至不一定以原來的次序到達。因此，所有進行接收的主機都要求支持重組能力。9/6/20221.5 網絡攻擊與防范1.5.1 擁塞IP分片與重組由于報頭中bit的分配十分緊張，報片偏移字段FO只分配了13個bit，與IP包的最大字節容量65536相差8倍因此，實際的偏移量是FO的8倍，亦即報片的第一個字節在原IP包中的位置都是從8的整數倍

55、9/6/20221.5 網絡攻擊與防范1.5.1 擁塞IP碎片攻擊的原理所有攻擊，都是在報片偏移上做文章Jolt2：在報片重組時造成溢出，一些未打補丁的Windows系統（如NT,2000）會造成藍屏、死機Teardrop：在報片重組時造成重疊，一些老的Linux版本在遇到重疊時會導致系統崩潰9/6/20221.5 網絡攻擊與防范1.5.1 擁塞Jolt2攻擊原理：右界溢出偏移量8190*8=65520包長29右界65520+29=6554965535允許最大右界：655359/6/20221.5 網絡攻擊與防范1.5.1 擁塞Jolt2攻擊要點循環發送ICMP/UDP包目標主機CPU利用率立

56、刻上升到100%，鼠標不動理論上可偽裝IP地址，實際上尚未包含此功能9/6/20221.5 網絡攻擊與防范1.5.1 擁塞防范升級系統安裝相應補丁安裝IDS9/6/20221.5 網絡攻擊與防范1.5.1 擁塞從攻擊角度的評價攻擊是精心構造的，所利用的漏洞較普遍，殺傷力較強攻擊代價小，容易偽裝只從外部攻擊，無法進入目標系統內部做更多的工作9/6/20221.5 網絡攻擊與防范1.5.1 擁塞分布式拒絕服務攻擊英文Distributed Denial of Service，簡稱DDoS顧名思義，是多個攻擊源同時攻擊，造成目標系統擁塞每個攻擊源的攻擊手法可以相同，也可以不同攻擊源受控于同一攻擊者9

57、/6/20221.5 網絡攻擊與防范1.5.1 擁塞攻擊者主攻節點主攻節點主攻節點僵尸僵尸僵尸僵尸僵尸僵尸僵尸僵尸僵尸目標藍箭頭：控制流紅箭頭：攻擊流9/6/20221.5 網絡攻擊與防范1.5.1 擁塞DDoS的步驟部署主攻節點控制僵尸，植入攻擊程序向主攻節點發送攻擊啟動命令（很可能是非常隱蔽的，比如進行了加密）主攻節點向僵尸發送攻擊啟動命令各僵尸在同一時間對準同一目標發起DoS攻擊（比如ping風暴、同步風暴、垃圾Web請求等），而且僵尸發出的攻擊包可能偽造假的IP源地址9/6/20221.5 網絡攻擊與防范1.5.1 擁塞危害網絡擁塞、系統崩潰、正常的服務難以開展服務停頓導致的間接損失巨

58、大，尤其是門戶網站和電子商務網站享受服務的普通網民的損失，總的算起來也非常巨大如果用于門戶網站和電子商務網站之間的惡性競爭，將極大地破壞網絡經濟的秩序，導致網絡經濟的全面崩潰9/6/20221.5 網絡攻擊與防范1.5.1 擁塞防范和應對各ISP協查、聯防路由器/防火墻（尤其是部署在骨干網上的）進行流量threasholding（閾上分流），相當于到了警戒水位就泄洪9/6/20221.5 網絡攻擊與防范1.5.1 擁塞從攻擊角度的評價攻擊者處于隱蔽位置，攻擊包可能偽造假的IP地址，追究兇手困難；簡單反擊會傷及無辜每個具體的攻擊包都貌似合法，非法意圖隱藏在群體行為之中，防火墻難以阻攔，IDS難以

59、發現用分布式結構彌補了小帶寬拼大帶寬的天然劣勢，將局部劣勢轉化成全局優勢，在掌握了足夠的僵尸的情況下，殺傷力可能非常大只能從外部擁塞網絡、癱瘓系統，不能進入目標系統內部進而控制目標系統掌握足夠數目的僵尸是一件困難的事情9/6/20221.5 網絡攻擊與防范1.5.1 擁塞對擁塞攻擊的總體評價攻擊深度不夠，只能癱瘓系統，不能控制系統局部合法，整體非法小帶寬具有天然劣勢，可通過分布式等手段，放大殺傷力，化局部劣勢為全局優勢商店的比喻：糾集大批人群占據柜臺，光問價不買東西9/6/20221.5 網絡攻擊與防范1.5.2 訪問權限獲取獲取口令的社會工程學方法口令竊聽攻擊 弱口令猜測攻擊口令文件破譯攻擊

60、 緩沖區溢出攻擊9/6/20221.5 網絡攻擊與防范1.5.2 訪問權限獲取總論訪問權限的獲取，是對目標系統進行控制的必由之路訪問權限的獲取有如下途徑：獲取口令通過“社會工程”獲取口令通過竊聽獲取口令通過猜測獲取口令通過計算（破譯）獲取口令利用隱通道利用緩沖區溢出制造隱通道利用后門制造隱通道（不講）9/6/20221.5 網絡攻擊與防范1.5.2 訪問權限獲取獲取口令的社會工程學方法窺探看別人擊鍵隱蔽錄像騙取假冒可信任的人的名義利用管理漏洞和目標系統管理者的疏忽紙條9/6/20221.5 網絡攻擊與防范1.5.2 訪問權限獲取防范好的文化（不是萬能的）好的習慣（能起一定的作用）好的管理（最關