第八章旅游管理信息系统的安全管理.ppt

1 第八章旅游管理信息系统的安全管理 2 1旅游管理信息系统安全管理因素分析 一 信息系统安全的概念现代计算机系统中存在一些漏洞 使得信息系统本身具有某种程度上的脆弱性互联网的高度开放性使得其网络安全成为一个重要的问题 3 信息安全的基本属性 机密性完整性可用性在互联网应用日益普及之后 基于网络的信息可控性和不可否认性又成为新的安全性特性 4 领导层子网 分支机构2 业务处室子网 公共处室子网 服务处室子网 人事处室子网 共享数据库子网 internet 分支机构1 此人正试图进入网络监听并窃取敏感信息 二 影响信息系统安全的因素 分支机构工作人员正试图在领导层子网安装木马 分支机构工作人员正试图越权访问业务子网安装木马 非内部人员正试图篡改公共网络服务器的数据 旅游电子政务网络风险 5 1 恶意攻击智能性隐蔽性严重性多样性 6 2 安全缺陷网络硬件的安全缺陷通信链路的安全缺陷 7 3 软件漏洞操作系统的漏洞数据库及应用软件的漏洞tcp ip协议的漏洞网络软件和服务的安全漏洞口令设置的安全漏洞 8 4 结构隐患网络拓扑结构的安全隐患网络硬件的安全隐患 9 internet 案例一 svpn网络拓扑分析 服务子网 代理服务器邮件服务器 内部子网 管理中心网络 dns服务器 路由器 分支子网2 路由器 代理服务器 分支子网1 路由器 10 网络现状分析 内部子网采用私有地址 通过代理服务器访问internet服务子网对外提供www服务和电子邮件服务中心子网与分支子网通过internet网络连接并完成相互间信息的传递服务子网和内部子网与internet之间无任何保护措施 无网络安全管理手段 11 类似的结构应具备什么样的安全机制呢 内部与外部的隔离 实现对子网之间通信的加密传输 用网关设备代替代理服务器 外部能访问内部指定区域提供的服务 能够对内部网络与外部网络之间的通信进行审计 12 5 环境因素安全意识不足自然及不可抗力影响管理制度不完善立法制度缺失人员素质影响管理机构设置不当 13 几乎每一个引起身分被盗 网络中断 数据丢失与网站崩溃的安全破坏都有一个根本的原因 是什么原因 根据gartner公司估计 有约70 的安全攻击发生在应用层 在发展阶段修补漏洞比在应用阶段修补漏洞要便宜很多 在行业安全灾难的长期解决方案问题上 到底是什么阻碍了这方面的进展呢 简单来说 问题主要在于安全与应用发展人员之间存在语言代沟 软件本身代码编写粗糙 信息系统安全问题分析与讨论 14 怎么解释代沟 让开发人员给一个已经在发展阶段的产品增加安全性 就像是让汽车制造者为一个已经投入生产线的汽车添加安全带 气囊 加固的 可防翻车的车体一样不可能 这一做法忽略了这样一个事实 即软件开发只是一个过程 提高终端产品质量的唯一手段是在过程中不断改进 安全专业人员想帮助开发者写出更完善的代码 但他们的能做的工作却只能是否决更多的软件 美国系统网络安全协会 sansinstitute 的研究表明 黑客与病毒编写者正以公司用来保护计算机的产品为攻击目标 15 实际上 微软这样的操作系统开发商似乎已经知道如何保护它们的产品 因为黑客正日益以防病毒软件为目标 可以说 黑客现在正攻击保护我们软件的软件 这是否意味着我们应该加上另外一个保护层呢 是不是要使用新软件来保护正保护我们软件的软件呢 是否感到有点困惑呢 16 软件研发人员需要迅速将产品推向市场 并要不断为产品添加新特性 而不是写出更完善的代码 只有在高度引人注目的情况下 安全问题才会促使开发人员采取行动在开发过程中对代码进行修订 软件行业需要在开发与安全之间找到协作的通用语言 软件行业必须制定一个标准 将安全过程 任务与产品整合成一个生命循环 以使破坏及对产品推出的时间的影响达到最小化 即使这一方法程式化 且要花时间去执行 标准的制定也是改善软件安全至关重要的一步 如果我们想确实改变软件开发的方式 并提高最终产品的安全质量 这样的标准必不可少 17 2旅游管理信息系统运行管理的组织机构 一 信息管理机构如图8a d所示 p284 表明了信息系统部门在企业中的地位二 信息管理人员 18 用户网络安全的需求 用户系统风险分析 用户安全目标分析 安全技术管理规范设计 安全机制集成与服务 用户网络结构系统设计 整体安全解决方案 19 安全知识培训 网络设备组件的加固与维护 日常检测 漏洞 异常攻击事故报告 应急事故恢复 安全中心 风险分析 制定 实施 维护安全策略 利用企业的资源最大限度地满足客户的需求 基于角色的培训安全动态知识长期培训 主机保护产品组件加固服务 网络入侵检测产品漏洞扫描产品 应急服务小组攻防实验室 安全分析工程师 安全知识数据库维护 20 小结 安全不是技术 安全是一个过程安全是指远离危险的状态或特性 为防范间谍活动或蓄意破坏 犯罪 攻击而采取的措施 网络安全网络安全包括网络的组成方式 拓扑结构和网络应用的安全 信息安全指的是信息的来源 去向 内容的真实无误及完整 信息不会被非法泄露扩散保证信息的保密性 网络信息安全的基本要求指的是数据的保密性 完整性 可用性和可控性 21 3旅游管理信息系统运行管理 一 基础数据的管理文档维护与管理数据维护与管理二 运行管理制度三 系统运行结构分析 22 网络信息安全技术体系 身份认证技术密码技术访问控制技术防病毒技术防火墙技术漏洞扫描技术入侵检测技术审计技术 23 4旅游管理信息系统的安全策略与措施 一 信息系统的设计1 网络安全设计包括物理层 链路层 网络层 传输层 应用层等层次的安全设计2 网络的安全防范建议如p292所提及的措施3 物理实体安全的设计 24 二 保证信息系统中的数据安全四 选择安全可靠的操作系统和数据库管理系统五 设计和开发安全可靠的应用程序 25 internet 案例二 网络安全设计 服务子网 代理服务器邮件服务器 内部子网 管理中心网络 dns服务器 路由器 分支子网2 路由器 代理服务器 分支子网1 路由器 ca man sg1 sg2 sg3 26 实现的主要功能 子网之间的通信加密各子网与外部网络的访问控制管理中心对各子网安全进行统一管理实现网络地址转换 nat 27 病毒防御方法 病毒 这个源自医学界的名词 是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据 影响计算机使用 并能自我复制的一组计算机指令或者程序代码 像生物病毒一样 计算机病毒有独特的复制能力 计算机病毒可以很快地蔓延 又常常难以根除 它们能把自身附着在各种类型的文件上 当文件被复制或从一个用户传送到另一个用户时 它们就随同文件一起蔓延开来 28 一 计算机病毒的类型操作系统型病毒文件型病毒源码病毒二 电脑病毒的特点传染性潜伏性触发性隐蔽性破坏性 29 木马 特洛伊 指深入到内部进行攻击与破坏的行为 现在的木马程序一般是指 利用系统漏洞或用户操作不当进入用户的计算机系统 通过修改启动项目或捆绑进程方式自动运行 运行时有意不让用户察觉 将用户计算机中的敏感信息都暴露在网络中或接受远程控制的恶意程序 30 蠕虫 蠕虫病毒是指利用网络缺陷进行繁殖的病毒程序 其原始特征之一是通过网络协议漏洞进行网络传播 31 最新的帕虫和终结者病毒 帕虫 worm pabug 主要通过u盘 mp3 进行传播 感染该病毒之后 电脑的安全模式不能开启 如果启用google等搜索引擎搜 病毒 等关键字 浏览器会被关闭 帕虫还应用了ifeo劫持 windows文件影像劫持 技术 通过修改注册表 使十几种常用的软件无法正常运行 同时 由于每个分区上都有病毒留下的文件 即便格式化c盘重装系统 也无法彻底清除该病毒 32 国家计算机病毒应急处理中心2007年6月17日公告 发现一种名为终结者的病毒及其变种 该病毒利用了重定向劫持技术 受感染后 系统内的大多数杀毒软件和与安全有关的工具均无法正常运行 而一旦点击相关安全软件后 实际上是运行了病毒文件 病毒还破坏安全模式 即便进入安全模式 用户也不能正常运行杀毒软件杀毒 和帕虫一样 这个病毒可以通过u盘 mp3 传播 防御 下载安装微软windows操作系统补丁 尤其是微软ani漏洞补丁 kb935448 由于病毒主要通过网络传播 因此不要随便点击不明链接 不要登录不明网站 33 脚本病毒 利用脚本来进行破坏的病毒 其特征为本身是一个ascii码或加密的ascii码文本文件 由特定的脚本解释器执行 主要利用脚本解释器的疏忽和用户登陆身份的不当对系统设置进行恶意配置或恶意调用系统命令造成危害 34 三 计算机病毒的防御方法目前 由于病毒 木马 蠕虫 脚本病毒这四类程序在不断杂交中衍生 已经形成了 你中有我 我中有你 的多态特性 为了方便 通常人们都将其统称为 病毒 但是这四类程序的感染机制和编写方式是完全不同的 35 1 感染可执行文件的病毒 病毒描述这类病毒就是上面所介绍的4种破坏性程序中的传统病毒 这类病毒的编写者的技术水平高超 大多用汇编语言编写 利用被感染程序中的空隙 将自身拆分为数段藏身其中 在可执行文件运行的同时进驻到内存中并进行感染工作 dos环境下此类病毒居多 在windows下由于win95时期病毒编写者对pe32的格式没吃透 那段时间比较少 之后在win98阶段这类病毒才扩散开来 其中大家广为熟悉的cih病毒就是一例 36 在windows发展的中后期 互联网开始兴盛 这类病毒开始结合网络漏洞进行传播 其中的杰出代表为1999年的funlove传播 由于windows操作系统的局网共享协议存在默认共享漏洞 以及大部分用户在设置共享的时候贪图方便不设置复杂密码甚至根本就没有密码 共享权限也开启的是 完全访问 导致funlove病毒通过网络疯狂传播 37 病毒查杀 软盘 光盘 启机使用杀毒软 光 盘进行杀毒 在进行这一步的时候 必须要保证软盘或光盘的病毒库内已经有杀除该病毒的特征码 将硬盘拆下 作为其他机器的从盘 从其他机器的主盘启动进行杀毒 该机需打开病毒即时监控 以防止来自从盘的可执行文件中的病毒进驻到内存中 在对待上面提到的这类病毒时 最好的做法就是用引导盘启动计算机 然后根据提示将杀毒程序盘和病毒盘依次插入 进行病毒查杀 38 2 后台运行进行恶意控制和破坏的病毒 病毒描述帐号被偷 密码被盗 机器被人远程控制放歌 开关机 屏幕倒转 硬盘不住的转动将关键资料向外发出 就是这类病毒的杰作 这类病毒和上一类病毒最本质的区别是 这类病毒本身是独立的程序 而不是寄生于另一个程序中 这类病毒就是统称的 木马 病毒 通过系统漏洞 用户操作疏忽进入系统并驻留 通过改写启动设置来达到每次启机运行或关联到某程序的目的 在windows系统中 表现为修改注册表启动项 关联explorer 关联notepad等方式 39 病毒查杀 木马病毒的繁衍是相当快速的 特别是行为上难以判断 合法远程控制软件和木马在本质上基本上无区别 在执行行为上也相当类似 而木马的控制协议一般是tcp ip协议 理论上是可以在65535个端口中随意选择 当然实际中会避开一些保留端口 防止系统冲突 木马最必要的生存条件就是其隐蔽性 因此无法利用端口方式准确判断出病毒种类 如果木马作者没有留下版本信息或说明文字 通过特征码方式也很难判断 特别是木马的源代码公开后 想在其中加入一段独特的功能代码不是什么难事 因而衍生的版本特别快也特别多 这更加大了杀毒软件查杀的难度 删除启动项目 重新启机 删除木马文件 禁止当前运行的木马程序 删除启动项目 重启 40 病毒防御 对待木马 防止感染远比事后杀除更为重要 一旦重要的文件 资料 帐号已经被获取 即使把木马删除也于事无补 木马的进驻 除利用系统漏洞 大多采用欺骗方式 所以要牢记一句古话 便宜莫贪 网络上初认识的朋友热情的给你发他的照片四处标榜着的免费游戏外挂一些小站点吹嘘的精品软件一些情色站点的专用播放器一些所谓 安全站点 的黑客工具 41 3 蠕虫病毒 病毒描述繁殖 繁殖 再繁殖 利用系统漏洞 通过网络感染感染其他计算机 此类病毒深得 乾坤生两仪 两仪生四象 四象生八卦 之能 每台受感染的机器 本身又以病毒发送者的身份将蠕虫病毒送向四面八方 这类病毒的本质特征之一就是透过网络主动进行感染 本身不具有太多破坏特性 以消耗系统带宽 内存 cpu为主 这类病毒最大的破坏之处不是对终端用户造成的麻烦 而是对网络的中间设备无谓耗用 例如网络中的交换机 路由器 dns服务器 邮件服务器常常是蠕虫病毒爆发的最大受害者 互联网瘫痪了 2003年1月的sql蠕虫爆发就是最好的例证 42 病毒查杀 这类蠕虫病毒由于感染非常迅速 而且是通过系统漏洞方式感染 所以对互联网络的危害相当大 唇亡齿寒 因此一般在发现了该漏洞的操作系统后 应在第一时间找到杀毒软件的补丁和专杀工具 用户下载后 断网进行杀毒 然后打上patch 重新启动系统就能避免再次重复感染 43 病毒防御 勤打补丁 一般说来一个操作系统被发现漏洞以后 大概在15天以内相关的病毒就会出现 因此有必要随时关注自己所使用的操作系统的补丁升级情况 养成每天定时查看补丁升级情形的习惯 这里的补丁不光包括操作系统自身的 也包含程序服务的补丁 例如ftp服务器的补丁等等 权限设置 很多蠕虫感染的条件是需要以root级运行的进程出现漏洞 那么蠕虫才有权限进行上载 执行的权利 在windows下由于大多数后台进程是以administrator权限执行 带来的危害也相当大 nix下则可设置非关键进程使用普通用户或chroot方式来避免权限提升 尽量少开服务 可开可不开的服务绝对不开 最小化风险 安装网络封包防火墙 只允许特定的端口的数据包通过或者特定的程序访问网络 44 4 脚本病毒 病毒描述这类病毒编写简单 但造成的危害非常大 我们常见的浏览了 站点就被改了主页 在收藏夹里被添加上很多无谓的东西 就是拜这类病毒所赐 这类病毒的本质是利用脚本解释器的检查漏洞和用户权限设置不当进行感染传播 病毒本身是ascii码或者加密的ascii码 通过特定的脚本解释器执行产生规定行为 因其行为对计算机用户造成伤害 因此被定性为恶意程序 最常见的行为就是修改用户主页 搜索页 修改用户收藏夹 在每个文件夹下放置自动执行文件拖慢系统速度等 比较出名的如美利莎邮件病毒 新欢乐时光病毒 office的宏病毒等都属于这类 45 病毒查杀 最好的办法是使用其他第三方的资源浏览器 例如totalcommand就是一个非常不错的选择 查杀大致过程如下 首先 在资源浏览器 工具 文件夹选项中 将 使用windows传统风格的桌面 取消掉 在桌面上点右键 点 属性 桌面设置 将使用活动桌面取消 接着查杀可疑对象 常见查杀对象 各个根分区下的autorun inf 各个目录下的desktop ini和folder htt 有几个是系统自带的 不过删除了也无关系的 这一步最好采用第三方的资源浏览器 例如前面介绍的totalcommand