《物联网信息安全》(桂小林版)(第6章).ppt

第六章系统安全 桂小林2014 9 17 2 6 1系统安全的概念6 2恶意攻击6 3入侵检测6 4攻击防护6 5网络安全通信协议6 6本章小结 本章内容 3 第六章系统安全 基本要求熟悉系统安全的概念和各种隐患了解恶意攻击的概念 来源和攻击的原理了解入侵检测的相关方法技术了解攻击防护技术相关概念熟悉网络安全通信协议根据本章文献 参阅一篇感兴趣的文献并总结 4 6 1系统安全概念 系统安全的范畴嵌入式节点的安全网络通信系统的安全存储系统的安全 5 6 1系统安全概念 系统安全的隐患什么是安全威胁安全威胁是指对安全的一种潜在的侵害 威胁的实施称为攻击信息安全的威胁就是指某个主体对信息资源的机密性 完整性 可用性等所造成的侵害 系统缺陷系统缺陷又可称为系统漏洞 是指应用软件 操作系统或系统硬件在逻辑设计上无意造成的设计缺陷或错误 恶意软件攻击恶意软件的攻击主要表现在各种木马和病毒软件对信息系统的破坏 6 6 1系统安全概念 系统安全的隐患外部网络攻击TCPflood攻击Smurf攻击DDoS攻击钓鱼攻击非授权和认证访问行为否认非授权访问 6 2恶意攻击 什么是恶意攻击网络恶意攻击通常是指利用系统存在的安全漏洞或弱点 通过非法手段获得某信息系统机密信息的访问权 以及对系统部分或全部的控制权 并对系统安全构成破坏或威胁 恶意攻击的来源恶意软件木马蠕虫病毒DDoS 6 2恶意攻击 病毒攻击的原理计算机病毒计算机病毒 ComputerVirus 的广义定义是一种人为制造的 能够进行自我复制的 具有对计算机资源的破坏作用的一组程序或指令的集合 中华人民共和国计算机信息系统安全保护条例 中定义的计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据 影响计算机使用并且能够自我复制的一组计算机指令或者程序代码 6 2恶意攻击 病毒攻击的原理病毒的特征可执行性传染性非授权性隐蔽性潜伏性破坏性寄生性不可预见性诱惑欺骗性 6 2恶意攻击 病毒攻击的原理病毒的分类引导型病毒文件型病毒复合型病毒宏病毒计算机蠕虫特洛伊木马 6 2恶意攻击 病毒攻击的原理病毒攻击的原理分析以引导型病毒为例分析 正常DOS自举 带病毒的DOS自举 6 2恶意攻击 木马攻击的原理什么是木马木马是一种后门程序 黑客可以利用其盗取用户的隐私信息 甚至远程控制对方的计算机 完整的木马程序一般由两个部份组成 一个是服务器被控制端程序 一个是客户端控制端程序 木马典型攻击原理当服务器端在目标计算机上被执行后 木马打开一个默认的端口进行监听 当客户端 控制端 向服务器端 被控主机部分 提出连接请求 被控主机上的木马程序就会自动应答客户端的请求 服务器端程序与客户端建立连接后 客户端 控制端 就可以发送各类控制指令对服务器端 被控主机 进行完全控制 其操作几乎与在被控主机的本机操作权限完全相同 6 2恶意攻击 木马攻击的原理木马植入原理通过电子邮件附件的方式捆绑在各类软件中网页挂马木马隐藏原理木马程序隐藏启动隐藏方式进程隐藏通信隐藏通过设备驱动和动态连接口隐藏 6 3入侵检测 入侵检测的概念入侵入侵是指在信息系统中进行非授权的访问或活动 不仅指非系统用户非授地登陆系统和使用系统资源 还包括系统内的用户滥用权力对系统造成的破坏 如非法盗用他人帐户 非法获得系统管理员权限 修改或删除系统文件等 入侵检测入侵检测可以被定义为识别出正在发生的入侵企图或已经发生的入侵活动的过程 对外部入侵 非授权使用 行为的检测 对内部用户 合法用户 滥用自身权限的检测 6 3入侵检测 入侵检测的概念入侵检测系统进行入侵检测的软件与硬件的组合便是入侵检测系统 IntrusionDetectionSystem IDS 入侵检测的内容试图闯入成功闯入冒充其他用户违反安全策略合法用户的泄漏独占资源以及恶意使用 6 3入侵检测 入侵检测系统组成数据源探测器分析器管理器管理员安全策略 6 3入侵检测 入侵检测系统入侵检测系统分类基于网络的入侵检测系统 NetworkIntrusionDetectionSystem NIDS 基于主机的入侵检测系统 Host basedIntrusionDetectionSystem HIDS NIDS优势 独立与操作系统 检测实时性强缺点 需要传回大量的网络数据包 无法分析加密数据 存在攻击特征被拆分的情况等 6 3入侵检测 入侵检测系统HIDS优势能很好的处理加密数据包可以综合多个数据源进行分析高速网络情况下不存在数据表丢失的情况缺点降低系统性能配置和维护困难逃避检测存在数据欺骗的问题实时性较差 6 3入侵检测 入侵检测系统入侵检测的方法特征检测统计检测专家系统其他检测方法 6 3入侵检测 入侵检测系统入侵检测的方法特征检测统计检测专家系统其他检测方法基于免疫系统的检测方法遗传算法基于内核的检测方法 6 3入侵检测 入侵检测系统蜜罐和蜜网蜜罐 Honeypot Honeypot是一种网络入侵检测系统 它诱导攻击者访问预先设置的蜜罐而不是工作中网络 可以提高检测攻击和攻击者行为的能力 降低攻击带来的破坏蜜罐与NIDS相比较的特点较小的数据量减少误报率捕获漏报资源最小化 6 3入侵检测 入侵检测系统蜜罐和蜜网蜜网 Honeynet 蜜网的概念由蜜罐发展而来 是由真实计算机组成的网络系统 部署有入侵检测系统 系统和网络的安全防护级别设置较低 诱导入侵者进入系统 并监控和记录入侵者的行为蜜网和蜜罐的异同蜜网是一个网络系统 而并非某台单一主机蜜网中的所有系统都是标准的机器 上面运行的都是真实完整的操作系统及应用程序蜜罐是通过把系统的脆弱性暴露给入侵者或是故意使用一些具有强烈诱惑性的信息的假信息来诱骗入侵者蜜网是在入侵检测的基础上实现入侵诱骗 6 3入侵检测 入侵检测系统蜜网的原型系统防火墙入侵检测系统二层网关蜜网 6 3入侵检测 入侵检测系统病毒检测检测方法直接观察法特征代码法校验和法行为监测法软件模拟法 6 4攻击防护 防火墙概念防火墙 Firewall 是一种用来加强网络之间访问控制的特殊网络设备 常常被安装在受保护的内部网络连接到Internet的点上 它对传输的数据包和连接方式按照一定的安全策略对其进行检查 来决定网络之间的通信是否被允许 防火墙内的网络称为 可信赖的网络 trustednetwork 而将外部的因特网称为 不可信赖的网络 untrustednetwork 防火墙可用来解决内联网和外联网的安全问题 6 4攻击防护 防火墙功能防火墙的功能有两个 阻止和允许 阻止 就是阻止某种类型的通信量通过防火墙 从外部网络到内部网络 或反过来 允许 的功能与 阻止 恰好相反 防火墙必须能够识别通信量的各种类型 不过在大多数情况下防火墙的主要功能是 阻止 6 4攻击防护 防火墙在网络中的位置 6 4攻击防护 防火墙恶意软件检测防护工具 恶意软件检测防护工具的工作原理 Android系统 6 4攻击防护 病毒查杀毒查杀就是指利用各类安全工具发现系统中隐藏的各类可疑病毒程序 并且能够清除感染对象中的病毒 恢复被病毒感染前的原始信息的能力 病毒查杀工具运行原理图 Android系统 6 4攻击防护 沙箱工具沙箱是为一些来源不可信 具有破坏力或无法判定程序意图的程序同实验的环境 软件安全判定沙箱工具工作原理 Android系统 6 4网络安全通信协议 协议协议是指两个或多个以上参与者为完成某项特定的任务而采取的一系列步骤 通信协议通信协议是指通信各方关于通信如何进行所达成的一致性规则 即由参与通信的各方按确定的步骤做出一系列通信动作 是定义通信实体之间交换信息的格式及意义的一组规则 6 4网络安全通信协议 安全协议安全协议是指通过信息的安全交换来实现某种安全目的所共同约定的逻辑操作规则 网络安全通信协议属于安全协议 是指在计算机网络中使用的具有安全功能的通信协议 6 4网络安全通信协议 TCP IP安全分析由于TCP IP协议簇在早期设计时是以面向应用为根本目的的 因此未能充分考虑到安全性及协议自身的脆弱性 不完备性 导致网络中存在着许多可能遭受攻击的漏洞 网络层协议的安全隐患IP协议在实现通信的过程中并不能为数据提供完整性和机密性保护 缺少基于IP地址的身份认证机制 容易遭到IP地址欺骗攻击 6 4网络安全通信协议 传输层协议的安全隐患TCP协议的安全隐患服务器端维持大量的半连接列表而耗费一定的资源 序列号可计算UDP协议的安全隐患不确认报文是否到达不进行流量控制不作纠错和重传 6 4网络安全通信协议 应用层协议的安全隐患大部分协议以超级管理员的权限运行 一旦这些程序存在安全漏洞且被攻击者利用 极有可能取得整个系统的控制权 许多协议采用简单的身份认证方式 并且在网络中以明文方式传输 6 4网络安全通信协议 TCP IP的安全体系结构 6 4网络安全通信协议 IPSec协议IPSec IPSecurity 是IETF于1998年11月公布的IP安全标准 目标是为IPv4和IPv6提供透明的安全服务 IPSec通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族 用于保证数据的机密性 来源可靠性 无连接的完整性并提供抗重播服务 6 4网络安全通信协议 IPSec协议IPSec的组成AuthenticationHeader AH 验证报头 协议定义了认证的应用方法 提供数据源认证和完整性保证EncapsulatingSecurityPayload ESP 封装安全有效负载 协议定义了加密和可选认证的应用方法 提供可靠性保证InternetKeyExchange IKE 密钥的交换标准 协议用于密钥交换 6 4网络安全通信协议 IPSec协议IPSec的体系结构 6 4网络安全通信协议 IPSec协议IPSec的工作模式传输模式传送模式用来保护上层协议 用于两个主机之间端对端的通信隧道模式也称通道模式 是用来保护整个IP数据报 通常在SA的一端或是两端都是安全网关时使用 6 4网络安全通信协议 IPSec协议IPSec工作模式比较 6 4网络安全通信协议 IPSec协议安全关联 SecurityAssociation SA 为了正确封装和提取IPsec的数据包 有必要采取一套专门的方案 将安全服务 密钥等与要保护的通信数据联系在一起 这样的构建方案称为安全关联 SA是发送者和接收者两个IPsec系统之间的一个单向逻辑连接 若要在一个对等系统间进行源和目的的双向安全通信 则需要两个SA 安全关联SA通过一个三元组 安全参数索引SPI 目的IP地址和安全协议AH或ESP 来唯一标识 6 4网络安全通信协议 IPSec协议抗重播服务IPSec协议通过数据包使用一个序列号和一个滑动的接收窗口实现抗重播服务每个IPSec头内 都包含了一个独一无二 且单调递增的序列号接收窗口的大小可为大于32的任何值 但推荐为64 从性能考虑 窗口大小最好是最终实施IPSec的那台计算机的字长度的整数倍 6 4网络安全通信协议 IPSec协议ESP协议ESP的作用是提供机密性保护 有限的流机密性保护 无连接的完整性保护 数据源认证和抗重放攻击等安全服务ESP支持传输模式和隧道模式ESP可以单独使用 也可以和AH结合使用 一般ESP不对整个数据包加密 而是只加密IP包的有效载荷部分 不包括IP头 但在端对端的隧道通信中 ESP需要对整个数据包加密 6 4网络安全通信协议 IPSec协议ESP协议 ESP报头的结构示意图 ESP的两种工作模式 6 4网络安全通信协议 IPSec协议AH协议AH协议用于为IP数据包提供数据完整性 数据包源地址验证和一些有限的抗重播服务与ESP协议相比 AH不提供对通信数据的加密服务 但能比ESP提供更加广的数据验证服务AH工作原理在每一个数据包上添加一个身份验证报头 此报头包含一个被加密的hash值 可以将其当作数字签名 只是它不使用证书 此hash值在整个数据包中计算 因此对数据的任何更改将导致hash值无效 这样就提供了完整性保护 AH报头位置在IP报头和传输层协议头之间 AH由协议号 51 标识 6 4网络安全通信协议 IPSec协议AH协议 AH的报头格式 IP包在两种模式下增加AH的位置和效果图 6 4网络安全通信协议 IPSec协议IKE协议IKE协议是IPSec目前正式确定的密钥交换协议IKE是一种混合型协议 由ISAKMP Oakley和SKEME组成 沿用了ISAKMP的基础 Oakley的模式以及SKEME的共享和密钥更新技术使用了两个交换阶段 阶段一用于建立IKESA 阶段二利用已建立的IKESA为IPsec协商具体的一个或多个安全关联 即建立IPsecSAIKE允许四种认证方法 分别是基于数字签名的认证 基于公钥加密的认证 基于修订的公钥加密的认证和基于预共享密钥的认证 6 4网络安全通信协议 SSL协议SSL协议是一个传输层安全协议 SSL协议由Netscape公司于1994年11月提出并率先实现 即SSLV2 0Internet Draft版本1996年3月推出了SSLV3 0Internet Draft版本 最终被IETF所采纳 并制定为传输层安全标准 协议的目标是保证两个应用间通信的保密性和可靠性 可在服务器和客户机两端同时实现支持优势在于它与应用层协议独立无关 高层的应用层协议能透明的建立于SSL协议之上 6 4网络安全通信协议 SSL协议SSL协议提供三方面服务认证用户和服务器 确保数据发送到正确的客户机和服务器加密数据以防止数据中途被窃取维护数据的完整性 确保数据在传输过程中不被改变 6 4网络安全通信协议 SSL协议SSL协议工作流程建立网络连接选择与该连接相关的加密方式和压缩方式识别双方的身份确定本次传输密钥传输加密数据关闭网络连接 6 4网络安全通信协议 SSL协议SSL协议的分层结构 6 4网络安全通信协议 SSL协议SSL记录协议SSL记录协议为每一个SSL连接提供以下两种服务机密性 Confidentiality SSL记录协议会协助双方产生一把共有的密钥 利用这把密钥来对SSL所传送的数据做传统式加密 消息完整性 MessageIntegrity SSL记录协议会协助双方产生另一把共有的密钥 利用这把密钥来计算出消息认证码 6 4网络安全通信协议 SSL协议SSL记录协议的运作模式 6 4网络安全通信协议 SSL协议SSL握手协议握手协议用来让客户端及服务器确认彼此的身份 协助双方选择连接时所使用的加密算法 MAC算法 及相关密钥握手协议由一些客户与服务器交换的消息所构成 每一个消息都含有以下三个字段类型 Type 1个字节 表示消息的类型 总共有十种 长度 Length 3个字节 消息的位组长度 内容 Content 大于或等于1个字节 与此消息有关的参数 6 4网络安全通信协议 SSL协议SSL握手协议的消息类型 6 4网络安全通信协议 SSL协议SSL握手过程 6 4网络安全通信协议 SSL协议SSL协议安全性分析客户端假冒SSL协议无法提供基于UDP应用的安全保护SSL协议不能对抗通信流量分析针对基于公钥加密标准 PKCS 协议的自适应选择密文攻击进程中的主密钥泄漏磁盘上的临时文件可能遭受攻击 6 4网络安全通信协议 SSL协议SSL协议安全性分析不规范应用引起的问题对证书的攻击和窃取中间人攻击安全盲点IE浏览器的SSL身份鉴别缺陷 6 4网络安全通信协议 SSL协议TLS协议提供保密性和数据完整性该协议由两层组成TLS记录协议TLS握手协议TLS协议三个阶段对等协商支援的密钥算法基于私钥加密交换公钥 基于PKI证书的身份认证基于公钥加密的数据传输保密 6 4网络安全通信协议 SSL协议TLS记录协议的连个基本特性私有对称加密用以数据加密 DES RC4等 对称加密所产生的密钥对每个连接都是唯一的 且此密钥基于另一个协议 如握手协议 协商可靠信息传输包括使用密钥的MAC进行信息完整性检查 6 4网络安全通信协议 SSL协议TLS握手协议三个基本属性可以使用非对称的或公共密钥的密码技术来认证对等方的身份 该认证是可选的 但至少需要一个结点方共享加密密钥的协商是安全的对偷窃者来说协商加密是难以获得的 此外经过认证过的连接不能获得加密 即使是进入连接中间的攻击者也不能 协商是可靠的没有经过通信方成员的检测 任何攻击者都不能修改通信协商 6 4网络安全通信协议 SSH协议协议结构 6 4网络安全通信协议 SSH协议SSH传输层协议SSH传输层协议主要在不安全的网络中为上层应用提供一个加密的通信信道SSH传输层协议提供服务器身份认证 通信加密 数据完整性效验以及数据压缩等多项安全服务 6 4网络安全通信协议 SSH协议SSH传输层协议流程 6 4网络安全通信协议 SSH协议SSH身份认证协议SSH用户认证协议提供服务器对用户的认证三种认证方式公钥认证方式口令认证方式基于主机的认证方式 连接协议主要功能是完成用户请求的各种具体网络服务 6 4网络安全通信协议 HTTPSHypertextTransferProtocoloverSecureSocketLayer由Netscape开发并内置于其浏览器中 用于对数据进行压缩和解压操作 并返回网络上传送回的结果是以安全为目标的HTTP通道 是HTTP的安全版HTTPS的安全基础是SSL 6 4网络安全通信协议 HTTPS访问网页流程用户 在浏览器的地址栏里输入HTTP层 将用户需求翻译成HTTP请求 如GET index htmHTTP 1 1HostSSL层 借助下层协议的的信道 安全的协商出一份加密密钥 并用此密钥来加密HTTP请求 TCP层 与webserver的443端口建立连接 传递SSL处理后的数据 练习设置HTTPS