信息安全原理及應用網絡安全—技術與實踐（第2版）本課程前言課程重點：密碼學、入侵檢測、防火墻、VPN、無線網絡安全。課程目標：本課程為本專業必修課程，是培養信息安全或計算機本科人才的重要課程之一。本課程系統介紹有關計算機安全（主要是網絡安全）各方面的問題,涉及密碼學、程序與軟件、操作系統、數據庫以及網絡的安全、安全管理與實施、信息安全中法律問題、道德隱私問題等。通過對課程的學習和實驗,達到計算機安全方面認知的廣度和深度,了解當今計算機安全方面的熱點,為將來從事安全相關領域的科學研究或者工作培養興趣,做好準備。第1章引言教學內容:隨著因特網技術的發展和應用的普及,信息全球化已經成為一種趨勢。隨著計算機技術的飛速發展和網絡的普及,黑客的攻擊技術和手段不斷提高,作為全球信息基礎設施的關鍵部分的因特網,它的開放性、復雜性、無界性、脆弱性,使之成為某些或出于政治目的或受經濟利益驅動的個人、群體、組織、乃至國家攻擊的重要目標,對本來就十分脆弱的系統提出了巨大的挑戰。網絡安全已經涉及到人們的生產、生活以及國民經濟的各個領域,成為信息化建設的一個突出問題。教學目標:了解和掌握計算機網絡安全相關的概念和研究內容。第1章引言網絡安全需求二三

四引言一五網絡攻擊的常見形式六開放式系統互聯安全體系結構七安全攻擊的分類安全威脅與防護措施網絡安全策略引言一第1章網絡安全基礎網絡安全需求二三

四引言一五網絡攻擊的常見形式六開放式系統互聯安全體系結構七安全攻擊的分類安全威脅與防護措施網絡安全策略引言一1.1

引言信息安全的兩次重大變革計算機的發明計算機網絡及分布式系統的出現1.1引言網絡安全的重要性Hotspot，是指在公共場所提供無線局域網（WLAN）接入Internet服務的地點。這類地點多數是咖啡館、機場、車站、商務酒店、高等院校、大型展覽會館等。這些熱點有的是收費的提供無線寬帶接入服務，有的則是免費的。在無線熱點覆蓋的地區，用戶可以通過使用裝有內置或外置無線網卡的筆記本電腦、PDA和手機，來實現對Internet的接入。案例1：無線熱點用一臺能上互聯網的筆記本電腦就可以創建無線熱點。案例1：無線熱點只要一臺WIN7系統電腦、一套無線網絡及一個網絡包分析軟件，設置一個無線熱點AP，就能輕松搭建出一個WIFI（無線網絡），不設密碼。用戶很難察覺黑客搭建的偽造WIFI（無線網絡）的真假。一旦連入，黑客15分鐘就可以竊取手機上網用戶的個人信息和密碼問題：為什么利用無線熱點能夠竊取用戶的信息？案例1：無線熱點棱鏡計劃（PRISM）是一項由美國國家安全局（NSA）自2007年小布什時期起開始實施的絕密電子監聽計劃。美國情報機構一直在九家美國互聯網公司中進行數據挖掘工作，從音頻、視頻、圖片、郵件、文檔以及連接信息中分析個人的聯系方式與行動。監控的類型有10類：信息電郵、即時消息、視頻、照片、存儲數據、語音聊天、文件傳輸、視頻會議、登錄時間、社交網絡資料的細節。案例2：棱鏡門愛德華.斯諾登由于世界主要技術公司的總部都在美國，那些參與互聯世界、使用谷歌或者SKYPE的人士的隱私都可能被棱鏡項目所侵犯。美國政府可能接觸到世界的大部分數據。”斯諾登稱，他是出于對隱私權的擔心才采取報料行為的。他對英國衛報稱：“我不想生活在一個做那些事情的社會里，我不想生活在一言一行都被記錄的世界里。涉及到的公司有微軟、谷歌、蘋果、雅虎等九大網絡公司的服務器。案例2：棱鏡門通過棱鏡門反映了什么問題？美國政府能看到什么？數據保護法律有沒有？我們是否遭到了監視？住在哪個國家有區別嗎？使用互聯網意味著什么？中國需要反思什么問題？抓住新一輪信息技術革命的機遇，全面籌劃構筑牢固的網絡防線。案例2：棱鏡門2013年6月23日，中國最大的電商企業阿里巴巴發出內部郵件，要求所有員工只能使用阿里自己的通訊產品進行業務交流和資料傳輸。雖然郵件全文并未提及不得使用的第三方IM和SNS的名稱，但事實上，以騰訊QQ占有率而言，其實等同于宣布不再對騰訊QQ信任。

阿里集團首席風險官邵曉峰曾從事刑警工作20年，曾任職杭州重案隊長、刑偵專家等，在安全方面有著一線經驗。棱鏡門后續事件信息安全的基本目標基本目標保密性完整性合法使用可用性第1章網絡安全基礎網絡安全需求二三

四引言一五網絡攻擊的常見形式六開放式系統互聯安全體系結構七安全攻擊的分類安全威脅與防護措施網絡安全策略計算機病毒層出不窮1.2網絡安全需求——網絡安全發展態勢1.2網絡安全需求——網絡安全發展態勢1.2網絡安全需求——網絡安全發展態勢案例3：震網病毒震網病毒，于2010年發現，伊朗遭到的攻擊最為嚴重，“震網”計算機病毒令德黑蘭的核計劃拖后了兩年。這個惡意軟件2010年一再以伊朗核設施為目標，通過滲透進windows操作系統，并對其進行重新編程而造成破壞。這種病毒可能是新時期電子戰爭中的一種武器。震網病毒，截止2011年，感染了全球超過45000個網絡，60%的個人電腦感染了這種病毒。有人懷疑這種病毒是美國和以色列研發的。計算機病毒層出不窮黑客攻勢逐年攀升1.2

網絡安全需求——網絡安全發展態勢1.2網絡安全需求——網絡安全發展態勢案例4：百度網站遭到攻擊2010年元月百度網站遭到攻擊，用戶打開時出現如下的界面，百度網站癱瘓近4個小時，此次攻擊黑客利用了DNS記錄篡改的方式。這是自百度建立以來，所遭遇的持續時間最長、影響最嚴重的黑客攻擊。發生此次攻擊的根本原因，在于目前互聯網域名的DNS管理服務器安全性未受到應有的重視。目前絕大多數域名都存在類似安全風險，使得DNS存在很多安全隱患。在本次事件中，黑客繞開了百度本身的安全保護，而攻擊了DNS管理服務器，導致了此次攻擊的嚴重后果。計算機病毒層出不窮黑客攻勢逐年攀升1.2網絡安全需求——網絡安全發展態勢系統存在安全漏洞案例5：“史上最高齡”漏洞

“長老”漏洞（18年）2010年11月360公司發現，2011年2月9日微軟公告MS11-011最早出現在1992年的WindowsNT中，并影響到其后的所有Windows版本。輔助木馬病毒可以獲得電腦的最高權限，從而輕而易舉地破壞殺毒軟件、防火墻、還原系統、沙箱等各類安全軟件第22頁計算機病毒層出不窮黑客攻勢逐年攀升1.2

網絡安全需求——網絡安全發展態勢系統存在安全漏洞各國軍方加緊信息戰研究案例6：信息戰網絡已經成為陸地、海洋、天空和太空之外的第五戰場，成為新形勢下維護國家安全的重要領域之一。關鍵網絡基礎設施已成為網絡武器攻擊的主要目標，并可能引發極為嚴重的災難性后果。斯諾登事件暴露出少數國家利用掌握的互聯網基礎資源和信息技術優勢，大規模實施網絡監控，大量竊取政治、經濟、軍事秘密以及企業、個人敏感數據。要真正保障信息安全，除了國家出臺相關戰略和政策，加強頂層設計，更需要廠商、用戶、機構組織等多方努力。因此，建立一個適合國情的信息安全生態圈，顯得尤為重要。第24頁信息安全的研究需求1.2網絡安全需求

根據多級安全模型，信息密級由低到高劃分為秘密級、機密級、絕密級；

敏感非機密信息也應進行加密保護；敏感信息對安全的需求：網絡應用對安全的需求：

Internet發展速度迅猛，存在著巨大的發展空間和潛力；

網絡安全是互聯網發展中需要解決的一個重要問題；第1章網絡安全基礎網絡安全需求二三

四引言一五網絡攻擊的常見形式六開放式系統互聯安全體系結構七安全攻擊的分類安全威脅與防護措施網絡安全策略1.3安全威脅與防護措施

某個人、物、事件或概念對某一資源的保密性、完整性、可用性或合法使用所造成的危險。安全威脅防護措施：

保護資源免受威脅的一些物理的控制、機制、策略和過程。風險：

對某個已知的、可能引發某種成功攻擊的脆弱性的代價的測度。1.3安全威脅與防護措施2.主要的可實現威脅

1.基本威脅

3.潛在威脅1.3安全威脅與防護措施——基本威脅信息泄漏1完整性破壞2拒絕服務3非法使用41.3安全威脅與防護措施——主要可實現威脅滲入威脅植入威脅假冒旁路控制授權侵犯特洛伊木馬陷門1.3

安全威脅與防護措施——潛在威脅基本威脅潛在威脅在某個特定環境中，對基本威脅和可實現威脅分析可發現其潛在威脅。竊聽Eavesdropping流量分析Trafficanalysis操作人員不慎導致信息泄漏媒體廢棄物導致信息泄漏信息泄漏1.3安全威脅與防護措施——典型威脅及其相互關系竊聽流量分析電磁/射頻截獲人員疏忽媒體廢棄物滲入假冒旁路控制授權侵犯物理侵入植入特洛依木馬陷門服務欺騙信息泄漏完整性侵害拒絕服務非法使用竊取1.3

安全威脅與防護措施——防護措施2.人員安全1.物理安全6.生命周期控制4.媒體安全5.輻射安全3.管理安全第1章網絡安全基礎網絡安全需求二三

四引言一五網絡攻擊的常見形式六開放式系統互聯安全體系結構七安全攻擊的分類安全威脅與防護措施網絡安全策略

安全策略：某個安全域內，施加給所有與安全相關活動的一套規則。安全域：屬于某個組織機構的一系列處理進程和通信資源1.4

網絡安全策略金融行業的應用安全策略目標機構安全策略系統安全策略1.4

網絡安全策略——授權

授權：是指主體（用戶、終端、程序等）對客體（數據、程序等）的支配權利，它等于規定了誰可以對什么做些什么（Whomaydowhattowhat）。1.4

網絡安全策略——訪問控制策略強制性訪問策略自主性訪問策略多等級策略基于身份的策略基于任務的策略所有安全策略的一個潛在基本原則：責任第1章網絡安全基礎網絡安全需求二三

四引言一五網絡攻擊的常見形式六開放式系統互聯安全體系結構七安全攻擊的分類安全威脅與防護措施網絡安全策略1.5安全攻擊的分類源站截獲目的站源站中斷目的站源站篡改目的站源站偽造目的站被動攻擊主動攻擊信息泄漏流量分析偽裝攻擊（ImpersonationAttack）重放攻擊（ReplayAttack）消息篡改（MessageModification）拒絕服務（DenialofService）被動攻擊主動攻擊第1章網絡安全基礎網絡安全需求二三

四引言一五網絡攻擊的常見形式六開放式系統互聯安全體系結構七安全攻擊的分類安全威脅與防護措施網絡安全策略1.6

網絡攻擊的常見形式

5.協議缺陷

1.口令竊取

6.信息泄漏

8.拒絕服務攻擊

7.指數攻擊

2.欺騙攻擊

4.認證失效

3.缺陷和后門攻擊網絡攻擊1.6網絡攻擊的常見形式—口令竊取抵御口令猜測攻擊方式口令猜測攻擊的三種基本方式利用已知或假定的口令嘗試登錄根據竊取的口令文件進行猜測竊聽某次合法終端之間的會話，并記錄所使用的口令阻止選擇低級口令對口令文件嚴格保護徹底解決口令機制的弊端使用基于令牌的機制，例如一次性口令方案（OTP-One-Timepassword）1.6

網絡攻擊的常見形式—欺騙攻擊1.6

網絡攻擊的常見形式—缺陷和后門攻擊緩沖器溢出（堆棧粉碎）攻擊網絡蠕蟲傳播方式之一是向守護程序發送新的代碼蠕蟲向“讀”緩沖區內注入大量的數據一種擾亂程序的攻擊方法通過改進設計或者避免在堆棧上執行代碼消除此缺陷缺陷指程序中某些代碼不能滿足特定需求采取相應的步驟，降低缺陷發生的可能性1.6

網絡攻擊的常見形式—認證失效

認證機制的失效易導致服務器被攻擊者欺騙。被破壞的主機不會進行安全加密，因此對源主機采用密碼認證的方式無用。通過修改認證方案消除其缺陷，完全可以挫敗這種類型的攻擊。1.6

網絡攻擊的常見形式—協議缺陷安全殼（SSH）協議易遭受協議本身的缺陷導致攻擊的發生攻擊者可以對TCP發起序列號攻擊DNS和許多基于RPC的協議易遭到序列號攻擊通過改進設計或者避免在堆棧上執行代碼消除此缺陷802.11無線數據通信標準中的WEP協議也存在缺陷1.6

網絡攻擊的常見形式—信息泄漏DNS有豐富的數據來源，易被黑客利用協議丟失的信息易被攻擊者利用，攻擊者借助這些信息攻破系統Finger協議口令猜測，欺騙攻擊等1.6

網絡攻擊的常見形式—指數攻擊指數攻擊能夠使用程序快速復制并傳播攻擊蠕蟲（Worms）：程序自行傳播病毒：依附于其他程序傳播1.6

網絡攻擊的常見形式—拒絕服務攻擊拒絕服務攻擊分布式拒絕服務攻擊過度使用服務，使軟件、硬件過度運行，使網絡連接超出其容量造成關機或系統癱瘓，或者降低服務質量使用很多Internet主機同時向某個目標發起攻擊1.7

開放系統互聯安全體系結構2.安全機制1.安全服務1.7

開放系統互聯安全體系結構-安全服務X.800定義的5類安全服務認證確保通信實體就是它們所聲稱的實體訪問控制防止對資源的非授權訪問數據保密性保護數據，使之不被非授權地泄露數據完整性保證收到的數據確實是授權實體所發出的數據（即沒有修改、插入、刪除或重發）不可否認性防止整個或部分通信過程中，任意一個通信實體進行否認的行為1.7

開放系統互聯安全體系結構-安全機制數據完整性認證交換數字簽名訪問控制加密流量填充公證路由控制X.800定義的安全機制1.7

開放系統互聯安全體系結構安全服務加密數字簽名訪問控制數據完整性認證交換流量填充路由控制公證對等實體認證YY——Y———數據源認證YY——————訪問控制——Y—————保密性Y—————Y—流量保密性Y————YY—數據完整性YY—Y————不可否認性—Y—Y———Y可用性———YY———安全服務與安全機制的關系1.7

開放系統互聯安全體系結構安全服務協

議

層1234567對等實體認證——YY——Y數據源點認證——YY——Y訪問控制——YY——Y連接保密性YYYY—YY無連接保密性—YYY—YY選擇域保密性——————Y流量保密性—————YY具有恢復功能的連接完整性Y—Y———Y不具有恢復功能的連接完整性———Y——Y選擇域無連接完整性——YY——Y無連接完整性——————Y選擇域無連接完整性——YY——Y源點的不可否認——————Y信宿的不可否認——————Y在OSI層中的服務配置安全消息安全消息消息消息1.8

網絡安全模型可信的第三方（如仲裁者、秘密信息的分配者）信息通道安全變換發送方接收方安全變換秘密信息秘密信息攻擊者1.8

網絡安全模型攻擊者——人（如黑客）——軟件（如病毒、蠕蟲）訪問通道門衛功能信息系統計算機資源（處理器、內存、I/O）數據進程軟件內部安全控制信息安全的概念信息安全：指計算機信息系統的硬件、軟件、網絡及其系統中的數據受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統連續可靠正常地運行，信息服務不中斷。信息安全主要涉及到信息存儲的安全、信息傳輸的安全以及對網絡傳輸信息內容的審計三方面。它研究計算機系統和通信網絡內信息的保護方法。

小結信息安全概念與技術通信服務提供者系統的安全模型通信服務提供者系統的安全模型

防止通信中的任一實體否認它過去執行的某個操作或者行為不可否認性可控性可用性完整性機密性可以控制授權范圍內的信息流向及行為方式確保信息不暴露給未授權的實體或進程只有得到允許的人才能修改數據，并且能夠辨別數據是否已被修改得到授權的實體在需要時可以訪問數據，即攻擊者不能占用所有資源而阻礙授權者的工作信息安全基本需求a)數據保密通信數據編碼數據加密加密/解密算法加密/解密設備數據壓縮數據安全傳輸

b)網絡安全安全協議安全設施c)主機安全d)操作系統安全本課程的主要研究內容從信息安全到信息保障單機系統的信息保密階段網絡信息安全階段信息保障階段信息保密技術，發展各種密碼算法信息安全與防護技術（被動防御）綜合利用保護、探測和反應能力以恢復系統的功能（主動防御）信息安全發展趨勢防火墻訪問控制防病毒入侵檢測

虛擬專用網漏洞評估完備的信息安全防衛技術架構保護檢測恢復響應信息保障采用一切手段（主要指靜態防護手段）保護信息系統的五大特性。及時恢復系統，使其盡快正常對外提供服務，是降低網絡攻擊造成損失的有效途徑對危及網絡安全的事件和行為做出反應，阻止對信息系統的進一步破壞并使損失降到最低

信息安全保障PDRR模型：保護（Protection）、檢測（Detection）、響應（Reaction）和恢復（Restore）檢測本地網絡的安全漏洞和存在的非法信息流，從而有效阻止網絡攻擊完備的信息安全防衛技術架構國內外信息安全最新領域目前，信息安全領域的焦點主要有：

1）密碼理論與技術；2）安全協議理論與技術；

3）安全體系結構理論與技術；

4）信息對抗理論與技術；5）網絡安全與安全產品。密碼理論與技術主要包括兩部分：基于數學的密碼理論與技術包括公鑰密碼、分組密碼、序列密碼、認證碼、數字簽名、Hash函數、身份識別、密鑰管理、PKI技術等。非數學的密碼理論與技術包括信息隱形，量子密碼，基于生物特征的識別理論與技術。目前最為人們所關注的實用密碼技術是PKI技術。國外的PKI應用已經開始，但總的說來PKI技術仍在發展中。IDC公司認為：PKI技術將成為所有應用的計算基礎結構的核心部件，包括那些越出傳