信息与网络安全概述.ppt

信息与网络安全 陈德伟chendw t教材及参考书目 教材 信息与网络安全 普通高等教育 十一五 国家级规划教材 程光等 清华大学出版社 北京交通大学出版社 2008 6参考书 计算机网络安全导论 第2版 清华大学出版社 龚俭等编 网络安全基础教程 标准与应用 第2版 WilliamStallings编 清华大学出版社AndrewSTanenbaum ComputerNetworks FourthEdition Prentice HallInc 网络资源 黑客基地 中国IT实验室 Cisco网络技术 网络分析专家论坛 网络安全焦点 RSA中国公司 PGP中国 课程设置 信息安全技术密码学基础常规现代加密技术公钥密码学技术数据保护技术数据隐藏技术 网络安全技术网络防御技术IP和TCP层安全应用层安全安全网络技术 信息与网络安全概述 信息与网络检测技术入侵检测技术网络信息获取技术逆向工程计算机取证 课程学习说明 教学内容 教材和课件相结合介绍方法为主 从数据安全和网络安全两方面掌握计算机网络安全的基本概念 并深入理解设计和维护安全的网络及其应用系统的基本手段和应用方法 第1章信息与网络安全概述 目录 网络安全现状常见网络攻击方法网络安全和攻击安全政策和机制安全标准和组织 各位同学曾经遇到过或听说过信息安全问题吗 对哪些信息安全问题感兴趣 Email Web ISP门户网站 复杂程度 时间 互联网应用和时间 涉及加密 认证 数字签名 Internet软件联盟统计的全球互联网主机的数量 互联网影响更多人的生活和工作 安全愈加重要 中国网民规模和年增长率 截止2010年中国网民数量达4 2亿手机网民2 77亿互联网普及率31 8 网络安全问题日益突出 CERT有关安全事件的统计计算机紧急响应组织 CERT 互联网安全性研究的开始 1988年11月3日 第一个 蠕虫 被放到Internet上 在几小时之内 数千台机器被传染 Internet陷入瘫痪 蠕虫 的作者RobertMorrisJ r被判有罪 接受三年监护并被罚款 Morris蠕虫 的出现改变了许多人对Internet安全性的看法 一个单纯的程序有效地摧毁了数百台 或数千台 机器 那一天标志着Internet安全性研究的开始 平常所见网络安全事件 案例1不知你遇到过这种事情没有 上网正在兴头上时 突然IE窗口不停地打开 最后直到资源耗尽死机 恶意网页代码 案例2前几天 我的一位同事的QQ被盗在淘宝网上拍卖了150元钱 最后同事费尽周折 利用密码保护才要回了自己心爱的QQ号 盗号木马程序 网络安全事件举例 续 案例32007年底到2008年初 中国银行 工商银行 农业银行的网站先后在互联网上被克隆 这些似是而非的假银行网站极具欺骗性 呼和浩特市的一位市民 因登陆了假的中国银行网站 卡里的2 5万元不翼而飞 计算机网络犯罪问题 网络安全事件举例 续 案例4 从2004年10月起 北京一家音乐网站连续3个月遭到一个控制超过6万台电脑的 僵尸网络 的 拒绝服务 攻击 造成经济损失达700余万元 僵尸网络 又称 波特网 是英语单词 BOTNET 的翻译语 国际上通常将集中控制的 数量庞大的受害电脑群称为 BOTNET 徐某 仅是个技校毕业生 而且所学专业还是车工 最初接触电脑是在1995年 DDos网络攻击问题 研究网络信息安全问题的重要性 计算机网络的应用领域 研究网络信息安全问题的重要性 随着Internet近40年的发展 其复杂程度日益增加 逐渐达到不可控制的程度 另一方面 Internet的开发性 异构性 多数应用是C S模式 网络允许匿名用户存在等设计方式和特点 使得Internet上的漏洞很快就可以被发现并被迅速传播 针对各种网络漏洞的攻击手段和攻击工具也同样是开放的 这些因素使得蠕虫病毒 病毒 协议攻击泛滥成灾 同时 网络软件的漏洞和后门 backdoor 随着软件规模的不断增长 而层出不穷 另外 计算机网络系统还受到人为的错误操作和恶意攻击的威胁 网络不安全的根本原因 自身缺陷 开放性 恶意攻击 包括误操作 研究网络信息安全问题的重要性 攻击复杂度与攻击者的技术水平 攻击复杂度 研究网络信息安全问题的重要性 攻击范围和时间的变化 研究网络信息安全问题的重要性 信息战愈演愈烈 2001年南海撞机事件引发中美黑客大战 美国和中国都有许多知名网站 政府主页受到了黑客的攻击 轻者主页被 善意 修改 重者服务器上的数据被窃取 修改 删除 甚至整个网站瘫痪 被迫中断服务数小时 中国黑客指出 在这次黑客大战中 美国至少1600多个网站被攻破 当中900多个为主要网站 即包括军方及政府的网页 而中国亦逾千个网站被袭 从1999年开始 美国官方已将信息战武器定义为大规模破坏性武器 并将其与专指核 生 化武器的大规模毁灭性武器相提并论 2007年2月 世界上第一支网络黑客部队 美军网络战联合功能构成司令部 简称jfccnw 正式编入了作战序列 研究网络信息安全问题的重要性 Internet已经成为了一个继电视 电台 报刊之后的第四媒体 社会信息化提升了信息的地位社会对信息技术的依赖性增强虚拟的网络财富日益增长研究网络信息安全已经成为社会的焦点问题 网络安全现状常见网络攻击方法网络安全和攻击安全政策和机制安全标准和组织 暴力攻击和字典程序攻击 针对密码数据库文件或当前的登录提示发起进攻暴力攻击是通过系统地尝试每种字母 数字和符号的可能组合 从而发现用户帐户密码字典程序攻击是从预先定义好的通用或预计的密码列表中尝试每一个可能的密码 直到破解密码 小榕黑客字典 DOS攻击 目的是使计算机或网络无法提供正常的服务 DoS攻击有计算机网络带宽攻击和连通性攻击 分布式拒绝服务攻击指借助于客户 服务器技术 将多个计算机联合起来作为攻击平台 对一个或多个目标发动DoS攻击 从而成倍地提高拒绝服务攻击的威力 典型案例 DDOS 主控主机 合法用户 黑客 非安全主机 被控主机 应用服务器 最终直接导致该服务器无法正常响应合法用户的请求 欺骗攻击 假地址和节点号替代有效的源 宿IP地址和节点号 中间人攻击 通过各种技术手段将受入侵者控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间 这台计算机就称为 中间人 入侵者把这台计算机模拟原始计算机 使 中间人 能够与原始计算机建立活动连接并允许其读取或修改传递的信息 这种 拦截数据 修改数据 发送数据 的过程就被称为 会话劫持 探测攻击 探测攻击是一些导致恶意用户获得网络或网络上进行传输的信息的操作 探测通常是一个包截获程序 它可以将网络上传输的报文内容复制到文件中 探测攻击常常集中在客户端和服务器之间的连接初始化上 获得登录证书 密钥等 当探测攻击正确实施时 对网络上的所有其他实体都是不可见的 并且常常接着会发生欺骗攻击 防止探测攻击的方法要物理访问控制 在网络连接上使用加密传输 常用工具 xscan cain sniffer 垃圾邮件攻击 垃圾邮件可能是厂家的无害广告 也可能是病毒或特洛伊木马附件这样的有害垃圾邮件 垃圾邮件通常不是一种安全性的攻击 但却是一种拒绝服务攻击 垃圾邮件消耗相当大部分的互联网带宽和CPU等资源 导致整个互联网性能降低 垃圾邮件攻击会通过占满邮箱存储空间 阻止合法消息的发送 引发DOS问题 网络安全现状常见网络攻击方法网络安全和攻击的分类安全政策和机制安全标准和组织 信息的概念与特征 信息 材料和能源是人类社会赖以生存和发展的基础 所谓信息 就是客观世界中各种事物的变化和特征的最新反映 是客观事物之间联系的表征 也是客观事物状态经过传递后的再现 包括三点 差异 特征 传递 信息自身不能独立存在 必须依附于某种物质载体 信息系统是信息采集 存储 加工 分析和传输的工具 它是各种方法 过程 技术按一定规律构成的一个有机整体 广义的信息系统包括各种处理信息的系统 包括社会组织 人和各种人造系统 狭义的信息系统仅指基于计算机的系统 是人 规程 数据库 软件 硬件等各种设备 工具的有机结合 它突出的是计算机 网络通信 信息处理等技术的应用 信息系统的概念 信息的三大要素 信源 信宿 信道 信息系统面临的威胁主要可分为两大类 一 对网络中信息的威胁二 对网络中设备的威胁 信息系统面临威胁的另一种分类 以信息所处的位置 信息在通信过程中的威胁信息在存储过程中的威胁信息在加工处理中的威胁 TEMPEST技术 信息在通信过程中的威胁 截获 侦听 A B 中断 干扰 A B E A B 伪造 E A B 篡改 E 数据的性质 Interruption 中断 Interception 截获 Modification 修改 Fabrication 伪造 Availability Availability可用性 Confidentiality机密性 Integrity完整性 Availability Authenticity真实性 信息存储过程中的威胁 存储于计算机系统中的信息 易于受到与通信线路同样的威胁 非法用户在获取系统访问控制权后 浏览存储介质上的保密数据或专利软件 并且对有价值的信息进行统计分析 推断出所有的数据 这样就使信息的保密性 真实性 完整性遭到破坏 信息系统面临的威胁及分类 网络安全的目标 保证信息的 可靠性可用性保密性完整性不可抵赖性 可靠性 Reliability 指信息系统能够在规定条件下和规定的时间内完成规定的功能的特性 度量指标 抗毁性指系统在人为破坏下的可靠性生存性随机破坏下系统的可靠性有效性是基于业务性能的可靠性 可用性 Availability 指信息系统或网络系统可被授权实体访问 并按需求使用的特性 是系统面向用户的安全性能 一般用系统正常使用时间和整个工作时间之比来度量 机密性 Confidentiality 指信息不被泄露给非授权的用户 实体或过程 或供其利用的特性 机密性是在可靠性和可用性基础上 保障信息安全的重要手段 完整性 Integrity 指网络信息未经授权不能进行改变的特性 即信息在存储或传输过程中保持不被偶然或蓄意地删除 修改 伪造 乱序 重放 插入等破坏和丢失的特性 不可抵赖性 Non repudiation 指在信息交互过程中 确信参与者的真实同一性 即所有参与者都不可能否认或抵赖曾经完成的操作和承诺 信息安全的含义 80 90年代 信息安全的三个基本方面机密性Confidentiality保证信息为授权者享用而不泄漏给未经授权者 完整性Integrity数据完整性 未被未授权篡改或者损坏系统完整性 系统未被非授权操纵 按既定的功能运行可用性Availability保证信息和信息系统随时为授权者提供服务 而不要出现非授权者滥用却对授权者拒绝服务的情况 信息安全的其他方面信息的不可否认性 Non repudiation 要求无论发送方还是接收方都不能抵赖所进行的传输鉴别 Authentication 鉴别就是确认实体是它所声明的 适用于用户 进程 系统 信息等审计 Accountability 确保实体的活动可被跟踪可靠性 Reliability 特定行为和结果的一致性 信息安全的含义 80 90年代 信息安全的含义 美国人提出的概念 信息保障 InformationAssurance 保护 Protect 检测 Detect 反应 React 恢复 Restore 网络安全现状常见网络攻击方法网络安全和攻击安全政策和机制安全标准和组织 网络安全服务 安全服务安全机制安全分析 攻击与防范 信息安全的实现 内容信息安全技术信息加密 数字签名 数据完整性 身份鉴别 访问控制 安全数据库 网络安全 病毒 安全审计 业务填充 路由控制 公证机制等信息安全管理信息安全法律与标准 安全体系结构 安全体系结构 SecurityArchitecture 安全体系结构是指对信息和信息系统安全功能的抽象描述 是从整体上定义信息及信息系统所提供的安全服务 安全机制以及各种安全组件之间的关系和交互 用于防御安全攻击的硬件或者软件方法 方案或系统 安全体系结构 续 安全体系结构的内容风险分析安全策略设计安全服务与安全机制设计安全服务部署 策略是基础 安全体系结构 续 安全策略 安全域 SecurityZone 属于一个组织的资源集合安全策略 SecurityPolicy 属于安全域的一组规则 安全策略 续 含义 什么是允许的 什么是不允许的 两种方法 凡是没有被具体规定的 就是允许的凡是被具体规定的 就是不允许的安全策略包括 制度技术管理三分技术 七分管理 管理问题 成本效益分析 Cost BenefitAnalysis 效益vs 总成本风险分析 RiskAnalysis 我们要保护什么 保护这些东西需要多大的代价 随着环境和时间的变化 代价会改变 管理问题 续 法律与风俗 LawsandCustoms 所采用的安全防御措施合法吗 公司职员愿意接受吗 法律和风俗将影响技术的可用性 人员问题 公司的问题职权与责任经济利益人员问题外部用户与内部用户哪一类威胁更大 社交工程 Socialengineering 安全体系结构 X 800规定的安全服务 访问控制保密性鉴别性完整性不可否认性 X 800规定的安全机制 加密 Encipherment 加密技术既能为数据提供机密性 也能为通信业务流信息提供机密性 并且还成为其他安全机制中的一部分起补充作用数字签名机制 digitalsignatures 签名技术的数字化访问控制机制 accesscontrols 访问控制是保护受保护的资源不被非授权使用数据完整性机制 dataintegrity 数据完整性是指确保接收方接收到的数据是发送方所发送的数据 X 800规定的安全机制 续 认证交换机制 authenticationexchange 所谓认证交换 就是通过在认证者和被认证者之间通过某些共享信息实现认证功能 业务填充机制 trafficpadding 业务流填充是通过发送额外的数据来掩盖正常通信流量特征 从而达到保护业务流机密性的目的 路由控制 RoutingControl 路由控制是通过对路由过程进行控制 达到安全保护的目的 公正机制 Notarization 公正机制是利用可信第三方来实现安全功能 安全体系结构 安全服务与安全机制的关系 安全服务是由安全机制来实现的一种安全机制可以实现一种或者多种安全服务一种安全服务可以由一种或者多种安全机制来实现 加密机制 加密是提供数据保密的最常用方法 按密钥类型划分 加密算法可分为对称密钥加密算法和非对称密钥加密算法两种 按密码体制分 可分为序列密码算法和分组密码算法两种 用加密的方法与其他技术相结合 可以提供数据的保密性和完整性 除了对话层不提供加密保护外 加密可在其他各层上进行 与加密机制伴随而来的是密钥管理机制 数字签名机制 数字签名是解决网络通信中特有的安全问题的有效方法 特别是针对通信双方发生争执时可能产生的如下安全问题 否认 发送者事后不承认自己发送过某份文件 伪造 接收者伪造一份文件 声称它发自发送者 冒充 网上的某个用户冒充另一个用户接收或发送信息 篡改 接收者对收到的信息进行部分篡改 访问控制 访问控制是按事先确定的规则决定主体对客体的访问是否合法 当一个主体试图非法使用一个未经授权使用的客体时 该机制将拒绝这一企图 并附带向审计跟踪系统报告这一事件 审计跟踪系统将产生报警信号或形成部分追踪审计信息 数据完整性机制 数据完整性包括两种形式 一种是数据单元的完整性 另一种是数据单元序列的完整性 数据单元完整性包括两个过程 一个过程发生在发送实体 另一个过程发生在接收实体 保证数据完整性的一般方法是 发送实体在一个数据单元上加一个标记 这个标记是数据本身的函数 如一个分组校验 或密码校验函数 它本身是经过加密的 接收实体是一个对应的标记 并将所产生的标记与接收的标记相比较 以确定在传输过程中数据是否被修改过 数据单元序列的完整性是要求数据编号的连续性和时间标记的正确性 以防止假冒 丢失 重发 插入或修改数据 交换鉴别机制 交换鉴别是以交换信息的方式来确认实体身份的机制 用于交换鉴别的技术有 口令 由发方实体提供 收方实体检测 密码技术 将交换的数据加密 只有合法用户才能解密 得出有意义的明文 在许多情况下 这种技术与下列技术一起使用 时间标记和同步时钟双方或三方 握手 数字签名和公证机构利用实体的特征或所有权 常采用的技术是指纹识别和身份卡等 业务流量填充机制 这种机制主要是对抗非法者在线路上监听数据并对其进行流量和流向分析 采用的方法一般由保密装置在无信息传输时 连续发出伪随机序列 使得非法者不知哪些是有用信息 哪些是无用信息 路由控制机制 在一个大型网络中 从源节点到目的节点可能有多条线路 有些线路可能是安全的 而另一些线路是不安全的 路由控制机制可使信息发送者选择特殊的路由 以保证数据安全 公证机制 在一个大型网络中 有许多节点或端节点 在使用这个网络时 并不是所有用户都是诚实的 可信的 同时也可能由于系统故障等原因使信息丢失 迟到等 这很可能引起责任问题 为了解决这个问题 就需要有一个各方都信任的实体 公证机构 如同一个国家设立的公证机构一样 提供公证服务 仲裁出现的问题 一旦引入公证机制 通信双方进行数据通信时必须经过这个机构来转换 以确保公证机构能得到必要的信息 供以后仲裁 安全机制 安全服务之间的关系 安全体系结构 网络分层 应用层传输层网络层数据链路层物理层 应用层传输层网络层数据链路层物理层 传输层网络层数据链路层物理层 TCP IP网络分层 安全服务的部署 加密功能的实施方式 两种基本方式 链到链加密端到端加密 链到链加密方式 在物理层或数据链路层实施加密机制 优点 主机维护加密设施 易于实现 对用户透明能提供流量保密性密钥管理简单可提供主机鉴别加 解密是在线 缺点 数据仅在传输线路上是加密开销大每段链路需要使用不同的密钥 端到端加密方式 在网络层或者应用层实施加密机制 优点 在发送端和中间节点上数据都是加密的 安全性好能提供用户鉴别提供了更灵活的保护手段 缺点 不能提供流量保密性密钥管理系统复杂加密是离线的 链到链加密与端到端加密的结合 网络安全现状常见网络攻击方法网络安全和攻击安全政策和机制安全标准和组织 信息安全是信息系统实现互联 互用 互操作过程中提出的安全需求 因此迫切需要技术标准来规范系统的设计和实现 信息安全标准是一种多学科 综合性 规范性很强的标准 其目的在于保证信息系统的安全运行 一个完整 统一 科学 先进的国家信息安全标准体系是十分重要的 没有标准就没有规范 无规范就无法形成规模化信息安全产业 无法生产出满足信息社会广泛需求的产品 没有标准同时无法规范人们的安全防范行为 提高全体人员的信息安全意识和整体水平 标准化组织 国际标准化组织 ISO InternationalOrganizationStandardization 国际电报和电话咨询委员会 CCITT 国际信息处理联合会第十一技术委员会 IFIPTC11 电气与电子工程师学会 IEEE Internet体系结构委员会 IAB 美国国家标准局 NBS 与美国商业部国家技术标准研究所 NIST 美国国家标准协会 ANSI 美国国防部 DoD 及国家计算机安全中心 NCSC 国际标准化组织 始建于1964年 是一个自发的非条约性组织 其成员是参加国的制定标准化机构 美国的成员是美国国家标准研究所 ANSI 它负责制定广泛的技术标准 为世界各国的技术共享和技术质量保证起着导向和把关的作用 ISO的目的是促进国际标准化和相关的活动的开展 以便于商品和服务的国际交换 并已发展知识 科技和经济活动领域内的合作为己任 现已发布了覆盖领域极为广泛的5000多个国际标准 ISO信息安全机构 ISO IEC JTC1SC6开放系统互连 OSI 网络层和传输层 ISO TC46信息系统安全SC14电子数据交换 EDI 安全 ISO TC65要害保险安全SC17标示卡和信用卡安全 ISO TC68银行系统安全SC18文本和办公系统安全 ISO TC154EDI安全SC21OSI的信息恢复 传输和管理 SC22操作系统安全 SC27信息技术安全 ISO对信息系统的安全体系结构制订了OSI基本参考模型ISO7498 2 并于2000年底确定了信息技术安全评估标准ISO IEC15408 国际电报和电话咨询委员会 CCITT CCITT ConsulatativeCommittInternationalTelegraphandTelephone 是一个联合国条约组织 属于国际电信联盟 由主要成员国的邮政 电报和电话当局组成 美国在这一委员会的成员是美国国务院 主要从事设计通信领域的接口和通信协议的制定 X 400和X 500中对信息安全问题有一系列的表述 1 报文源鉴别 Messageoriginauthentication 2 探寻源鉴别 Probeoriginauthentication 3 报告源鉴别服务 Reportoriginauthentication 4 投递证明服务 Proofofdelivery 5 提交证明服务 Proofofsubmission 6 安全访问管理 Secureaccessmanagement 7 内容完整性服务 Conentintegrity 报文处理系统MHS MessageHandlingSystem 协议X 400 报文处理系统MHS MessageHandlingSystem 协议X 400 8 内容机密性服务 Contentconfidentiality 9 报文流机密性服务 Messageflowconfidentiality 10 报文序列完整性服务 Messageseguenceintegrity 11 数据源抗否认服务 Non repudiationoforigin 12 投抵抗否认服务 Non repudiationofdelivery 13 提交抗否认服务 Non repudiationofsubmission 14 报文安全标号服务 Messagesecuritylabelling 国际信息处理联合会第十一技术委员会 IFIPTC11 该组织也是国际上有重要影响的有关信息系统安全的国际组织 公安部代表我国参加该组织的活动 每年举行一次计算机安全的国际研讨会 该组织的机构如下 1 WG11 1安全管理工作组 2 WG11 2办公自动化安全工作组 3 WG11 3数据库安全工作组 4 WG11 4密码工作组 5 WG11 5系统完整性与控制工作组 6 WG11 6拟构成计算机事务处理工作组 7 WG11 7计算机安全法律工作组 8 WG11 8计算机安全教育工作组 Internet体系结构委员会 IAB IAB根据Internet的发展来制定技术规范 TCP IP协议参考草案 RFC 到1997年11月 已经积累到2500多个 由于信息安全问题已经成为Internet使用的关键 近年来RFC中出现了大量的有关安全的草案 RFC涉及 报文加密和鉴别 给予证书的密钥管理 算法 模块和识别 密钥证书和相关的服务等方面 美国国家标准局 NBS 与美国商业部国家技术标准研究所 NIST 根据1947年美国联邦财产和管理服务法和1987年计算机安全法美国商业部所属的NIST授权委以责任改进利用和维护计算机与电讯系统 NIST通过信息技术实验室 ITL InformationTech Lab 提供技术指南 协调政府在这一领域的开发标准 制定联邦政府计算机系统有效保证敏感信息安全的规范 它与NSA合作密切 在NSA的指导监督下 制定计算机信息系统的技术安全标准 这个机构是当前信息安全技术标准领域中最具影响力的标准化机构 NIST安全标准 访问控制和鉴别技术评价和保障密码电子商务一般计算机安全网络安全风险管理电讯联邦信息处理标准等 因特网相关的安全协议和机制 RFCIPSecS HTTPSSL SecureSocketLayerHandshakeProtocol SET secureElectronicTransaction S WAN SecureWideAreaNetwork SSHS MIME Secure MultipuoposeInternetMailExtension Requestforcomment RFC 因特网网络工程任务组 IETF 管理的正式因特网文档RFC描述了开放标准由参与不同工作组的志愿者编写的 IPSec IETF的IP安全性协议工作组IP数据报这一层提供认证 完整性和保密性服务的规范对因特网通信 例如 为VPN和封装隧道等 提供安全性的基础 安全HTTP 在应用层运行的HTTP安全性扩展基于WWW 提供保密 鉴别或认证 完整性和不可否认等服务 保证在Web上交换的媒体文本的安全 SSL SecureSocketLayerHandshakeProtocol SSL协议是Netscape公司开发的用于WWW上的会