信息安全工程师--珍藏笔记

1 信息安全工程师信息安全工程师 笔记笔记 2016 年 8 月 9 日初稿 2017 年 5 月 6 日修改 第一章第一章信息安全基础信息安全基础 传统信息安全传统信息安全 信息的秘密性 完整性 可用性 信息系统安全四个层次 信息系统安全四个层次 设备安全 数据安全 内容安全 行为安全 设备安全 设备安全 稳定性 可靠性 可用性 数据安全 数据安全 秘密性 完整性 可用性 内容安全 内容安全 政治上健康 符合国家法律 符合道德规范 行为安全 行为安全 行为的秘密性 完整性 可控性 网络空间安全学科内涵 网络空间安全学科内涵 网络空间安全学科是研究信息获取 信息存储 信息传输和信息处理淋雨 中信息安全保障问题的一门新兴学科 研究方向 研究方向 密码学 网络安全 信息系统安全 信息内容安全 信息对抗 网络空间安全方法论 网络空间安全方法论 理论分析 逆向分析 实验验证 技术实现 信息安全立法特点信息安全立法特点 没有形成一个完整性 实用性 针对性的完善的法律体系 不具开放性 缺乏 兼容性 难以操作 计算机犯罪分类 计算机犯罪分类 1 窃取和破坏计算机资产 2 未经批准使用计算机信息系统资源 3 批准或超越权限接收计算机服务 4 篡改或窃取计算机中保存的信息或文件 5 计算机信息系统装入欺骗性数据和记录 6 窃取或诈骗系统中的电子钱财 法律规章法律规章 中华人民共和国网络安全法 中华人民共和国计算机信息系统安全保护条例 互联网络安 全管理相关法律法规 商用密码和信息安全产品相关法律法规 计算机病毒防治相关管理办法 电 子签名法 电子政务法 系统安全保护能力等级 系统安全保护能力等级 1 用户自主保护级 2 系统审计保护级 3 安全标记保护级 4 结构化保护 级 5 访问验证保护级 涉密信息系统等级 涉密信息系统等级 秘密级 机密级 绝密级 网络隔离技术的安全要点 网络隔离技术的安全要点 1 具有高度的自身安全性 2 确保网络之间是隔离的 3 保证网间交换的 只是应用数据 4 对网间的访问进行严格的控制和检查 5 在坚持隔离的前提下保证网络畅通和应用 透明 网络安全监控功能 网络安全监控功能 1 全面的网络控制 2 细粒度控制 3 网络审计 4 其他 风险评估主要任务 风险评估主要任务 1 识别组织面临的各种风险 2 评估风险概率和可能带来的负面影响 3 确定组 织承受风险能力 4 确定风险降低和控制的优先等级 5 推荐风险降低策略 风险评估过程 风险评估过程 1 确定资产 2 脆弱性和威胁分析 3 制定及评估控制措施 4 决策 5 沟通与交流 6 监督实施 风险评估方法 风险评估方法 1 定量评估法 2 定性评估法 3 定性与定量相结合的综合评估方法 评估过程 评估过程 系统分解 构造判断矩阵 层次总排序 选择安全措施考虑以下因素 选择安全措施考虑以下因素 控制的易用性 用户透明度 未用户提供帮助 发挥控制功能 控制 的相对强度 实现的功能类型 降低风险途径 降低风险途径 避免风险 转移风险 减少威胁 减少脆弱性 减少威胁可能的影响 检测意外事 件 第二章第二章密码学基础与应用密码学基础与应用 密码编制学 密码编制学 研究密码编制的科学 密码分析学 密码分析学 研究密码破译的科学 密码学 密码学 密码编制学和密码分析学共同组成 密码安全目标 密码安全目标 保密性 完整性 可用性 密码体制组成 密码体制组成 明文空间 M 密文空间 C 密钥空间 K 加密算法 E 解密算法 D 2 Kd Ke 称为单密钥密码体制 对称密码体制 传统密码体制 Ke 公开 称为公开密钥密码体制 公钥密码体制 密码分析攻击方法 密码分析攻击方法 穷举攻击 数学分析攻击 基于物理的攻击 攻击密码类型 攻击密码类型 仅知密文攻击 已知明文攻击 选择明文攻击 选择密文攻击 密码分为密码分为 绝对不可破译 计算上不可破译密码 古典密码 古典密码 1 置换密码 2 代替密码 3 代数密码 代替密码 代替密码 加法密码 乘法密码 仿射密码 古典密码破译方法 古典密码破译方法 穷举分析 统计分析 DES 密码 密码 是一种分组密码 明文 密文 密钥的分组长度都是 64 位 面向二进制密码算法 能加 密任何形式的计算机数据 对合运算 因而加密和解密共用同一算法 DES 弱点和不足 弱点和不足 密钥较短 存在弱密钥 3DES 可以使用三个密钥 也可以使用两个密钥 可以使用三个密钥 也可以使用两个密钥 RIJNDAEL 轮函数三层 非线性层 线性混合层 密钥加层 RIJNDAEL 数据块长度和密钥长度都可变 最短密钥 128 位 RIJNDAEL 算法能有效抵抗目前已知的攻击 如差分攻击 线性攻击 相关密钥攻 击 插值攻击 分组密码工作模式 分组密码工作模式 电子密码本模式 密码分组链接模式 输出反馈模式 密码反馈模式 CTR 模 式 Hash 函数 函数 报文摘要 Hash 函数满足性质 函数满足性质 单向性 抗弱碰撞性 抗强碰撞性 椭圆密码适用椭圆密码适用 航空 航天 卫星 智能卡应用 数字签名用途 数字签名用途 确认 核准 生效 负责任 完善的数字签名满足 完善的数字签名满足 签名者事后不能抵赖自己的签名 任何其他人不能伪造签名 如果双方发生 争执 能够在公正的仲裁者面前通过验证签名来确认真伪 数字签名体制包括 数字签名体制包括 施加签名 验证签名 认证 认证 又称鉴别和确认 证实某事是否名副其实或者是否有效 认证和加密区别认证和加密区别 加密用以确保数据的保密性 认证确保发送者和接收者的真实性及报文的完整性 认证系统常用参数 认证系统常用参数 口令 表示服 密钥 信物 智能卡 指纹 视网纹 认证和数字签名区别 认证和数字签名区别 1 认证给予收发双方共享保密数据来鉴别真实性 数字签名用于验证签名的数据是公开的 2 认证允许双方互相验证正式性 不许第三方验证 而数字签名允许收发双方和第三方都能验证 3 数字签名具有发送方不可抵赖 接收方不能伪造和具有在公证人前解决纠纷的能力 而认证则不 一定具备 身份认证 身份认证 口令认证 生物特征识别 报文认证 改进口令验证机制 利用单向函数加密口令 利用数字签名方法验证口令 口令的双向验证 一次 性口令 好口令应具备 好口令应具备 使用多种字符 足够长度 尽量随机 定期更换 报文内容认证验证码产生的方式 报文加密 消息认证码 MAC 基于 hash 函数的消息认证码 密钥分级安全性 密钥分级安全性 初级密钥 二级密钥 主密钥 高级密钥 密钥存储形态 密钥存储形态 明文形态 密文形态 分量形态 第三章第三章 网络安全基础网络安全基础 网络协议 网络协议 为进行网络中的数据交换而建立的规则 标准或约定 计算机网络体系结构 计算机网络体系结构 计算机网络的各层及其协议的集合 Internet 路由协议 1RIP 路由信息协议 2OSPf 开放最短路径优先协议 3BGP 外部网关协议 4IGMP Internet 组管理协议 ARP 地址解析协议 RARP 反向地址解析协议 ICMP internet 控制报文协议 分为差错报文 询问报文 BGP 外部网关路由协议 实现资质系统间无环路的域间路由 3 重传机制是保护正 TCP 可靠性的重要措施 控制拥塞方法 控制拥塞方法 慢开始 拥塞避免 快重传 快恢复 连续收到三个重复 ACK 即可断定有分组丢失 UDP 特点 发送数据前不需要建立连接 UDP 主机不需要维持复杂的连接状态表 UDP 用户数据报只有 8 个字节的首部开销 网络出现拥塞不会使源主机发送速率降低 有利于实时 应用 TCP 的应用层协议 的应用层协议 SMTP TELNET HTTP FTP UDP 的应用层协议 的应用层协议 DNS TFTP RIP BOOTP DHCP SNMP NFS voIP IGMP 域名不区分大小写 完整域名不超过 255 字符 全世界有 13 个根域名服务器 名字为 a 到 m 1 个为主根服务器在美国 其余 12 个为辅根服务器 9 个在美国 2 个在欧洲 1 个在日本 DNS 采用分区的办法来设置域名服务器 域名解析方式 域名解析方式 递归查询 迭代查询 递归查询递归查询 首先向本地域名服务器请求 如果本地没有 他作为 DNS 客户向根域名服务器发出请求 依次完成 迭代查询迭代查询 根域名服务器收到本地域名服务器其查询请求时 根据请求告诉本地域名服务器下一步 应该去查询的顶级域名服务器 IP 接着本地域名服务器到该顶级域名服务器进行查询 依次工作 邮件发送协议 SMTP 邮件接收协议 POP3 IMAP4 PGP 协议功能包括加密 鉴别 电子签名和压缩等技术 保证了电子邮件的安全性 报文完整性和 送达方鉴别 PEM 协议是因特网的邮件加密建议标准 FTP 文件传输协议 FTP 是一个交互会话系统 FTP 的客户和服务器之间建立两个 TCP 连接 一个控 制连接 一个数据连接 控制连接在整个会话期间一直打开着 文件传输完毕后 数据连接关闭 但是控制连接不一定关闭 传输层使用 TCP FTP 两种模式 两种模式 标准模式 被动模式 TFTP 简单文件传输协议 传输层使用 UDP 数据包 需要有自己的差错改正措施 P2P 优势 优势 非中心分散化 扩展性 健壮稳定性 资源共享 优化传播速度 NAT IP 转换功能 本地地址 全球地址转换 静态静态 NAT 分类 分类 静态 NAT 动态地址 NAT 端口地址转换 PAT 动态方式 动态方式 以地址池的方式 网络安全事件 网络安全事件 信息泄露事件 网络故障事件 恶意代码事件 漏洞利用事件 中华人民共和国网络安全法 中华人民共和国网络安全法 1 用户不实名禁止提供服务 2 阻断违法信息传播 3 重大事件时候可 限制网络 4 出售公民个人信息最高 10 倍违法所得罚款 APT 一种以商业或者政治目的为前提的特定攻击 通过一系列具有针对性的攻击行为以获取重要信 息 特别是针对国家重要的基础设施和单位开展攻击 APT 三个阶段 三个阶段 攻击前准备 攻击入侵阶段 持续攻击阶段 APT 五个步骤 五个步骤 情报收集 防线突破 通道建立 横向渗透 信息收集及外传 APT 攻击特点 攻击特点 全球性 有组织 团体 敌对者 特定目标攻击 针对国家安全信息 重要商业秘 密等 攻击手段复杂 形式多样 结合 0day 特种木马攻击 社工 攻击时间长 潜伏期长 多次 渗透攻击 攻击特征弱 隐蔽 缺少样本数据 很难被检测 科研机构受 APT 攻击最多 其次是政府机构 能源企业第三 APT 攻击发展趋势 攻击发展趋势 持续以政治 经济 科研 军工等热点行业为目标 暗网 存储在网络数据库里 不能通过链接访问而需要通过动态网页技术访问的资源集合 不属于 那些可以被搜索引擎索引的表面网络 网络三层网络三层 表层网络 深网 暗网 暗网威胁暗网威胁 泄露敏感信息 洗钱 贩卖违禁品 枪支 假币 伪造身份证等 信息安全信息安全 信息的完整性 可用性 保密性 可靠性 控制安全 控制安全 身份认证 不可否认性 授权和访问控制 互联网安全问题 互联网安全问题 4 1 信息泄露 信息污染 信息不受控 2 处于特殊目的的信息泄露 信息破坏 信息侵权和意识形态渗透 政治颠覆活动 3 控制权分散问题导致信息安全问题变得广泛而复杂 4 核心控制系统面临恶意攻击风险 包括通讯 动力控制网 金融系统 政府网站等等 我国网络安全问题突出 我国网络安全问题突出 1 计算机遭受病毒和破坏情况相当严重 2 黑客活动形成重要威胁 3 信息基础设施面临网络安全挑战 4 网络政治颠覆活动频繁 制约我国网络安全的因素 制约我国网络安全的因素 1 缺乏自主的计算机网络和软件核心技术 2 安全意识淡薄是网络安全的瓶颈 3 运行管理机制的缺陷和不足制约安全防范的力度 4 缺乏制度化的防范机制 检测网络监听的手段 反应时间 DNS 测试 利用 ping 监测 利用 ARP 数据包进行监测 口令攻击类型 口令攻击类型 字典攻击 强行攻击 组合攻击 Email 口令破解 口令破解 利用邮件服务器操作系统漏洞 利用邮件服务器本身漏洞 在邮件的传输过程中窃 听 对服务器实施拒绝攻击两种方式 对服务器实施拒绝攻击两种方式 1 服务器的缓冲区满 不接收新的请求 2 使用 IP 欺骗 破事服务器把合法用户的连接复位 影响合法用户链接 拒绝服务攻击类型 拒绝服务攻击类型 消耗资源 破坏或更改配置信息 物理破坏或改变网络部件 利用服务程序中 的处理错误使服务失败 服务端口攻击 服务端口攻击 同步风暴 SYNFlooding Smurf 攻击 利用处理程序错误的拒绝服务攻击 同步风暴攻击特点 同步风暴攻击特点 针对 TCP IP 协议的薄弱环节进行攻击 发动攻击时 只要很少的数据流量就可 以产生显著的效果 攻击来源无法定位 在服务端无法区分 TCP 链接请求合法性 同步风暴应对 同步风暴应对 优化系统配置 优化路由器配置 完善基础设施 使用防火墙 主动监视 Smurf 攻击 攻击 结合了 IP 欺骗和 ICMP 回复方式使用大量网络数据充斥目标系统 引起目标系统拒绝 正常服务 应对应对 Smurf 攻击措施 攻击措施 被攻击者利用进行攻击的中间网络应采取措施 禁止 IP 广播包 被攻击目标应采取措施 被攻击目标应采取措施 与 ISP 协商 由 ISP 暂时阻止流量 攻击者攻击实际发起的网络采取措施 攻击者攻击实际发起的网络采取措施 使用过滤技术减少伪造发生的可能性 利用处理程序错误的拒绝服务攻击 利用处理程序错误的拒绝服务攻击 1Ping of Death 2 Teardrop 3Winnuke 4Land 低速率拒绝服务攻击低速率拒绝服务攻击 LDOS 防范 防范 基于协议的 LDos 攻击防范 基于攻击流特征检测的防范 被被 DDOS 攻击的现象 攻击的现象 1 被攻击主机有大量 TCP 链接 2 大量到达数据分组并不是网站服务链接的一部分 往往指向机器的任意端口 3 网络中充斥大量无用数据包 原地址为假 4 制造高流量的无用数据 造成网络拥塞 5 利用受害主机服务缺陷反复发出服务请求无法提供正常服务 6 严重时造成死机 漏洞攻击 漏洞攻击 exploit 攻击 缓冲区溢出攻击 系统漏洞 系统漏洞 windows 常见漏洞 系统热键漏洞 重定向漏洞 资源管理器内存破坏漏洞 帮助支持 中心接口欺骗漏洞 ANI 安全漏洞 僵尸网络 僵尸网络 Botnet 采用一种或多种传播手段 将大量主机感染 bot 程序 从而在控制者和被感 染者之间形成的一个可以一对多控制的网络 Botnet 工作过程包括 工作过程包括 传播 加入和控制 5 传播过程的几种手段 传播过程的几种手段 主动攻击漏洞 邮件病毒 即时通讯软件 恶意网站脚本 特洛伊木马 僵尸网络防御方法 僵尸网络防御方法 使用蜜网技术 网络流量研究 IRCServer 识别技术 网络钓鱼防范技巧 网络钓鱼防范技巧 申请安装数字证书 规范使用操作 网络欺骗 网络欺骗 ARP 欺骗 DNS 欺骗 IP 欺骗 Web 欺骗 Email 欺骗 ARP 欺骗的防范措施 欺骗的防范措施 固化 ARP 表 使用 ARP 服务器 双向绑定 ARP 防护软件 Web 欺骗的方法和手段 欺骗的方法和手段 改写 URL 特殊网页假象 执行执行 Email 欺骗的三种方法 欺骗的三种方法 相似的 email 地址 修改客户邮件 远程联系 登录到端口 25 网站威胁网站威胁 SQL 注入攻击 跨站攻击 XSS 旁注攻击 SQL 注入过程 注入过程 1 发现 sql 注入位置 2 判断后台数据库类型 3 确定 XP CMDSHELL 可执行情况 4 发现 WEB 虚拟目录 5 上传 ASP 木马 6 得到管理员权限 跨站攻击方式 跨站攻击方式 盗取 cookie 信息 XST 攻击 XST 攻击者将恶意代码嵌入到一台已经被控制主机的 Web 文件 当访问者浏览时恶意代码在浏览 器执行 然后访问者的 cookie http 基本验证及验证信息将被发送到控制主机 XSS 和脚本注入的区别和脚本注入的区别 脚本注入会把插入的脚本保存在被修改的远程 Web 页面 XSS 脚本是临时 的 执行后消失 可以被插入远程页面的主流脚本可以被插入远程页面的主流脚本 HTML Java VB ActiveX Flash 跨站攻击的防范 服务器设置 硬盘权限 组件安全 IIS 用户 服务器安全和性能 本地安全策略 和系统服务设置 旁注攻击抵御方式 旁注攻击抵御方式 设置 IIS 单用户权限 阻止非法用户运行 CMD 利用端口转发技术 阻止入侵 者得知服务器 IP 迷惑 whois 查询 将自己服务器 IP 地址进行隐藏 社会工程学 社会工程学 使人们顺从你的意愿 满足你的欲望的一门艺术和学问 WEP 安全漏洞 加密算法漏洞 秘钥管理漏洞 身份认证漏洞 OpenSSL 安全漏洞 安全漏洞 计时攻击缺陷 分之预测缺陷 故障分析缺陷 单 双字节偏差缺陷 伪随机数 生成器缺陷 PaddingOracle 缺陷 Heartbleed 缺陷 中间人攻击缺陷 拒绝服务缺陷 网络防御 网络防御 防火墙 入侵检测 VPN 安全扫描 风险评估 网络蜜罐技术 常见的安全协议 防火墙 防火墙 一种静态安全技术 实现网络安全策略 其安全规则由匹配条件和处理方式两部分组成 防火墙处理方式 防火墙处理方式 Accept Reject Drop 防火墙访问控制包括 防火墙访问控制包括 服务控制 方向控制 用户控制 行为控制 防火墙功能 防火墙功能 1 设立单一阻塞点 禁止未授权用户进入网络 2 提供监控安全事件的地点 可以实现安全问题检查和警报 3 地址转换功能 审查记录日志功能 4 可以作为 IPSec 平台 实现虚拟专用网 防火墙局限性 不能防御内部威胁 不能消除内部威胁 不能防止病毒感染的程序和文件进出网络 防火墙分类 防火墙分类 个人防火墙 企业防火墙 软件防火墙 硬件防火墙 按照技术分类 按照技术分类 数据包过滤 应用层网关 电路层网关 堡垒主机 BastionHost 可以直接面对外部用户攻击的主机系统 处于内部网络边缘 暴露于外部 网络 双重宿主主机 Dual HomedHost 至少拥有两个网络接口的计算机系统 一个接口内网 一个接口 外网 周边网络 DMZ 指在内部网络 外部网络之间增加的一个网络 对外提供各种服务的服务器可以 放在这里 防火墙经典结构 防火墙经典结构 双重宿主主机 被屏蔽主机体系结构和被屏蔽子网体系结构 防火墙配置和应用 防火墙配置和应用 连接线路 配置网络接口 测试网络连通性 配置路由算法 路由器的访问控 制 安装堡垒主机步骤 安装堡垒主机步骤 选择合适的物理位置 选择合适的硬件设备 选择合适的操作系统 注意堡垒 主机的网络接入位置 设置堡垒主机提供的服务 6 硬件防火墙规则包括 硬件防火墙规则包括 源对象 目的对象 源端口 目的端口 协议和时间 收到数据包防火墙的处理顺序 收到数据包防火墙的处理顺序 1 数据包是 ARP RARP 如果设置了透明 在设置透明的网卡之间转发 否则丢弃 2 数据包若为 IP 包 匹配 IP 和 MAC 地址绑定规则 通过则继续 3 数据包是 IP 广播包或多播包 如设置了透明 且 IP 广播包多播包允许 则在设置透明的网卡之间 转发 IP 包 否则丢弃 4 如果是普通 IP 包 匹配防火墙具体规则从而判断如何处置 入侵检测与防护 入侵后果严重程度看 分类 拒绝服务攻击 获取权限攻击 毁坏数据 获得系统控制权 入侵的来源 外部入侵者 内部入侵者 入侵检测基本模型是 PDR 模型 其思想是防护时间大于检测时间和响应时间 P2DR 模型 Policy 策略 Protection 防护 Detection 检测 Response 响应 入侵检测技术分类 异常入侵检测和误用入侵检测 入侵检测系统的主要功能 入侵检测系统的主要功能 1 监视并分析用户和系统的活动 查找非法用户和合法用户的越权操作 2 检测系统配置的正确性和安全漏洞 并提示管理员修补漏洞 3 对用户的非正常活动进行统计分析 发现入侵行为的规律 4 检查系统程序和数据的一致性与正确性 计算和比较系统的校验和 5 实时对检测到的入侵行为作出反应 6 操作系统审计跟踪管理 入侵检测系统要素 入侵检测系统要素 1 目标系统里需要保护的资源 2 标记和这些资源相关的 正常 合法 的行为模型 3 比较已经建立的模型和收集到的行为之间差别的技术 入侵检测系统体系结构分类 基于主机型 基于网络型 基于主体型的 单独依靠主机审计信息进行入侵检测难以适应网络安全的需求 主要表现在 单独依靠主机审计信息进行入侵检测难以适应网络安全的需求 主要表现在 1 主机的审计信息弱点 容易受攻击 入侵者可以通过使用系统特权或调用比审计本身更低级的操 作来逃避审计 2 不能通过分析主机的审计记录来检测网络攻击 异常检测的方式 统计方法 预测模式生成 专家系统 神经网络 用户意图识别 数据挖掘和计 算机免疫学方法 异常入侵检测缺点 异常入侵检测缺点 1 在不同工作环境下 正常特征选取有很大不同 2 阈值的正确确定非常困难 3 用户行为经常动态改变 4 需要通过关联分析多个数据包或事件才能检测出异常行为 5 基于统计 的系统一般来说训练时间比较长 入侵者可以逐步更新用户模型使系统误认为其行为正常 Snort 开源网络入侵检测系统 可以执行实时流量分析和 Ip 协议网络数据包记录 Snort 主要模式 嗅探 Sniffer 包记录 PacketLogger 网络入侵检测 NetworkIntrusionDetection Snort 组成 嗅探器 预处理器 检测引擎 输出 VPN 依靠 ISP 或 NSP 在公网中建立专用的 安全的数据通讯通道技术 VPN 安全机制 隧道技术 加解密技术 秘钥管理技术 身份认证技术 VPN 可以通过 ISAKMP IKE Oakley 协商确定可选的数据加密算法 其中包括 DES 3DES AES 3AES 加密数据块长度 64 比特位 密码长度 112 比特位 AES 密码长度和加密数据长度均可变 隧道协议隧道协议 PPTP L2TP IPSec 安全扫描 安全扫描 漏洞扫描 端口扫描 密码类扫描 风险评估 主流扫描工具 主流扫描工具 Nmap Nessus X Scan 安全协议 安全协议 IPSec SSL PGP TLS IEEE802 1 WEP WPA RADIUS Kerberos X 509 S MIME SSH 7 802 1 认证过程三部分 认证系统 客户端系统 认证服务器 WEP 基于 RC4 算法用相同的秘钥加密和解密 用开放系统认证和共享秘钥认证进行认证 WPA Wifi ProtectedAccess 继承了 WEP 基本原理又解决了 WEP 缺点的一种新技术 加强了生成加 密秘钥的算法 几遍收集分组信息并对其解析 也几乎无法计算出通用秘钥 WEP 是数据加密算法 不是用户认证机制 是数据加密算法 不是用户认证机制 RADIUS 即远程认证接入用户服务 是一种提供在网络接入服务器和共享认证服务器间传递认证 授权和配置信息等服务的协议 Kerberos 一种应用于分布式网络环境 以对称密码体制为基础 对用户及网络连接进行认证的增 强网络安全的服务 SSH 连接建立过程 协议版本协商 会话加密初始化 认证 会话模式 蜜罐 一种主动防御技术 入侵检测的一个重要发展方向 专门吸引诱骗非法闯入者 蜜罐优点 使用简单 资源占用少 数据价值高 蜜罐缺点 数据收集面窄 给使用者带来风险 蜜罐分类 低交互蜜罐 中交互蜜罐 高交互蜜罐 蜜罐技术分类 牺牲型蜜罐 外观型蜜罐 测量型蜜罐 蜜罐基本配置 诱骗服务 弱化系统 强化系统 用户模式服务器 蜜罐产品 DTK Specter Honeynet 匿名网络 Tor 是第二代洋葱路由的一种实现 用户通过 Tor 可以在因特网上进行匿名的交流 Tor 是一个能抵御流量分析的软件项目 洋葱代理使用源路由方式随机选择洋葱路由器组成匿名传输路径 Tor 安全缺陷 Tor 的威胁模型是一个较弱的威胁模型 是一个不够安全的威胁模型 实际上 Tor 的匿名性并没有那么好 作为一种低延时匿名系统 Tor 的目标是抵御非全局的主动或被动攻击 针对 Tor 的攻击有两种 时间攻击 通讯流攻击 灾难是指导致信息系统丧失技术服务能力的事件 用于备份的设备 用于备份的设备 硬盘 光盘 磁带 备份方式 备份方式 完全备份 增量备份 差异备份 网络备份中常见存储架构 网络备份中常见存储架构 NAS SAN NAS 网络附加存储 适应信息存储和共享的应用需求 现代企业级备份常用方案 SAN 存储区域网络 是一种在服务器和外部存储资源之间实现高速可靠访问的专用网络 网络安全防范意识与策略 网络安全防范意识与策略 保证通讯安全 保证信息安全 加强安全保障 检测 响应 恢复 计算机病毒的破坏 恶意攻击 人为失误 软件漏洞 局域网安全防范策略局域网安全防范策略 物理安全策略 划分 vlan 防止监听 网络分段 交换机代替集线器 访问控 制策略 使用数字签名 用户管理策略 使用代理服务器 防火墙控制 入侵检测 定期进行漏洞 安全扫描 建立完善的网络安全响应机制 使用 VPN 无线网分类 无线网分类 WWAN 无线广域网 WMAN 无线城域网 WLAN 无线局域网 WPAN 无线个域网 无线网络拓扑结构 无线网络拓扑结构 集中式 分散式 分布式 无线网络安全威胁 无线网络安全威胁 无线窃听 假冒攻击 信息篡改 服务抵赖 重放攻击 认证及秘钥的攻击类 型 无线传感器网络节点劫持 sybil 攻击 无线传感器网络虫洞攻击 2G 伪基站攻击 NFC 特殊攻击 RFID 特殊攻击 无线网络在信息安全方面特点无线网络在信息安全方面特点 1 无线网络的开放性使得其容易受到恶意攻击 2 无线网络的移动性使得安全管理的难度更大 3 无线网络动态变化的拓扑结构使得安全方案实施难度变大 4 传输信号不稳定性带来的健壮性问题 无线网络的脆弱性无线网络的脆弱性 有其媒体的开放性 终端的移动性 动态变化的网络拓扑结构 协作算法 缺 乏集中监视管理 网络节点通常具有如下特点网络节点通常具有如下特点 计算能力弱 存储空间有限 持续供电时间短 容易被盗丢失损坏 无线网络安全方案设计策略 无线网络安全方案设计策略 1 分析对系统的假设和约定 2 分析网络的体系结构 3 分析网络的业 8 务构成 设计的实体 4 分析网络和系统中的信任模型 5 分析攻击网络和系统的敌手模型 内部 or 外部 6 从存在的威胁中归纳出共性的安全需求 7 根据以上步骤归纳安全需求 网络体系结构 无线网络安全方案涉及策略 无线网络安全方案涉及策略 1 安全策略 2 效率策略 3 兼容性 可移动性和可扩展性 无线网络安全机制 无线网络安全机制 WPKI 无线公开秘钥体系 WEP 有线等效保密协议 WPA WPA2 wifi 安全接入 WAPI 无线局域网鉴别和保密体系 无线传感器网络安全 无线传感器网络安全 秘钥管理 身份认证 数据加密 攻击检测和抵御 安全路由 第四章第四章 信息系统安全基础信息系统安全基础 计算机安全的定义包括计算机安全的定义包括 计算机实体及其信息的完整性 机密性 抗否认性 可用性 可审计性 可靠性等几大关键因素 电磁泄露的处理方法 电磁泄露的处理方法 1 低泄射产品 2 电磁干扰器 3 处理涉密信息的电磁屏蔽室技术 4 其他的防泄 露技术 物理安全 物理安全 场地安全 设备安全 介质安全 机房安全从以下几方面考虑机房安全从以下几方面考虑 1 供配电系统 2 防雷接地系统 3 消防报警及自动灭火系统功能 4 门禁 系统 5 保安监控系统 设备安全设备安全 1 设备防盗 2 设备防毁 3 防止电磁信息泄露 4 防止路线截获 5 抗电磁干扰 6 电源保护 计算机电磁干扰主要来源 工业电气设备干扰 主要来源 主要来源 工频干扰 开关干扰 放电干扰 射频干扰 容错目标容错目标 数据的完整性 数据的可用性 容错系统工作方式 容错系统工作方式 自动侦测 自动切换 自动恢复 容错系统设计原则容错系统设计原则 1 冗余性 2 预防性 3 恢复性 冗余技术 冗余技术 1 硬件冗余 2 堆积冗余 3 待命储备冗余 4 混合冗余 硬件容错硬件容错 双 CPU 容错系统 双机热备份 三级表决系统 集群系统 软件容错软件容错 一是对软件自身故障的处理 二是使用软件对系统中出现的其他故障进行处理 数据备份方式数据备份方式 完全备份 增量备份 差分备份 渐进式备份 数据恢复 容灾技术 容灾与备份 的区别 数据纠错技术 操作系统面临的安全威胁操作系统面临的安全威胁 不合理的授权机制 不恰当的代码执行 不恰当的主体控制 不安全的 进程通讯 IPC 网络协议安全漏洞 服务的不当配置 按照威胁的行为方式划分 切断 截取 篡改 伪造 操作系统面临的威胁 1 计算机病毒 2 逻辑炸弹 3 特洛伊木马 4 后门 5 隐蔽通道 安全模型 安全模型 状态机模型 信息流模型 无干扰模型 不可推断模型 完整性模型 操作系统面临的安全威胁 操作系统面临的安全威胁 不合理的授权机制 不恰当的代码执行 不恰当的主体控制 不安全的 进程间通讯 网络协议的安全漏洞 服务的不当配置 威胁的行为方式威胁的行为方式 切断 截取 篡改 伪造 BLP 模型模型 Bell LaPadula 模型与 1973 年提出的对应于军事类型安全秘密分类的计算机操作系统模 型 BLP 是最早的一种计算机多级安全模型 Biba 模型模型 1977 年提出的第一个完整性安全模型 BLP 模型通过防止非授权信息的扩散保证系统的安全 但它不能防止非授权修改系统信息 Biba 模型提出三种策略模型提出三种策略 下陷标记策略 环策略 严格完整性策略 Clark Wilson 模型 核心在于以良构事物和任务分离机制来保证数据的一致性和事物处理的完整性 RBAC 模型 模型 基于角色的存取控制模型 主要用于管理特权 在基于权能的访问控制中实现职责隔离 及极小特权原理 RBAC 包含基本要素 包含基本要素 用户 主题进程集 角色集 操作集 操作对象集 DTE 模型 域类增强模型 1991 年提出的访问控制技术 它通过赋予文件不同的类型 赋予进程不 同的域来进行访问控制 从一个域访问其他的域以及从一个域访问不同的类型都要通过 DTE 策略的 控制 中国墙模型 中国墙模型 对数据的访问控制是根据主题已经具有的访问权力来确定是否可以访问当前数据 模 型的基本思想只允许主体访问与其所拥有的信息没有利益冲突的数据集内的信息 9 中国墙的含义中国墙的含义 最初 一个主题可以自由选择访问任何客体 一旦主体访问了某个企业数据集内的客 体 它将不能再访问这个利益冲突中其他企业数据集内的客体 安全操作系统支持哪些安全模型是由安全需求决定的 操作系统的安全机制 操作系统的安全机制 标识与鉴别机制 访问控制机制 最小特权管理 可信通路机制 运行保护 机制 存储保护机制 文件保护机制 安全审计机制 文件保护机制 文件备份 文件恢复 文件加密 操作系统设计基本原则操作系统设计基本原则 隔离性 完整性 可验证性 最小特权原则最小特权原则是系统安全中最基本的原则之一 文件保护机制文件保护机制 文件备份 文件恢复 文件加密 安全操作系统考虑到以下因素 安全操作系统考虑到以下因素 1 实现通用操作系统中的基本安全安全功能 保护各个过程相互隔 离 每个过程都有独立运行的安全空间 2 安全性在安全操作系统中的实现 即安全内核的设计 操作系统安全增强技术操作系统安全增强技术 增强对用户的身份鉴别 增强对访问的控制 审计增强 安全管理增强 多管理员增强 自动化辅助管理 数据库安全涉及 数据库安全涉及 物理数据库的完整性 逻辑数据库的完整性 元素安全性 可审计性 访问控制 身份认证 推理控制 多级保护 消除隐通道 数据库安全模型数据库安全模型 最小特权模型 最大共享原则 开放系统原则和封闭系统原则 数据库安全策略实施 数据库安全策略实施 子模式法 SQL 修改查询法 集合法 请求排序法 数据库管理体系结构数据库管理体系结构 可信主体结构 TCB 子集结构 完整性锁结构 推理通道 推理通道 演绎推理通道 不明推理通道 概率推理通道 产生推理通道的原因产生推理通道的原因 函数依赖与多值依赖 取值约束 实体完整性约束 分级约束 组合查询推 理 统计数据库推理 数据库备份数据库备份 冷备份 热备份 逻辑备份 数据库恢复 数据库恢复 基于数据转储的恢复 基于日志恢复 基于检测点恢复 基于镜像数据库的恢复 恶意代码产生原因 恶意代码产生原因 经济利益驱动 政治军事目的 计算机爱好者 技术交流炫耀 恶意代码共同特征 恶意代码共同特征 具有恶意目的 自身是计算机程序或代码 通过执行发生作用 常见木马后缀 win32 worm trojan script vbs macro backdoor harm joke binder CARO 计算机反病毒研究组织 计算机病毒特点 计算机病毒特点 传播性 程序性 破坏性 非授权性 隐蔽性 潜伏性 可触发性 不可预见性 计算机病毒生命周期 计算机病毒生命周期 潜伏阶段 传播阶段 触发阶段 发作阶段 计算机传播途径 计算机传播途径 通过软盘 光盘传播 通过移动存储介质传播 通过网络传播 远程控制木马的两种连接方式 远程控制木马的两种连接方式 正向连接 反向连接 远控木马常见控制功能 远控木马常见控制功能 主机信息管理 文件系统管理 屏幕监视与控制 密码截获 注册表管理 服务管理 进程管理 shell 控制 键盘记录 远控木马其他功能 远控木马其他功能 隐藏功能 自启动功能 卸载功能 后门 绕过系统中常规安全控制机制而获取对特定软件或系统的访问权限的程序 它按照攻击者自 己的意图提供通道 恶意代码通常对主机做如下修改恶意代码通常对主机做如下修改 添加文件到系统中 对磁盘扇区进行修改 修改主机系统中文件 在系统中写入启动项 恶意代码运行过程中产生的影响恶意代码运行过程中产生的影响 修改系统函数功能 修改系统内核数据结构 创建恶意进程或线 程 启动服务 装载驱动程序 对本系统或其他系统进行破坏 典型反病毒技术 典型反病毒技术 特征值查毒 校验和技术 启发式扫描技术 虚拟机技术 行为监控技术 计算机取证 计算机取证 将计算机调查和分析技术应用于对潜在的 有法律效力的证据的确定与提取上 动态观点看计算机取证 动态观点看计算机取证 在犯罪过程中或之后收集证据的技术 需要重构犯罪行为 将为起诉提供 证据 对计算机网络取证较为困难 完全依靠所保护的犯罪场景的信息质量 计算机取证步骤 计算机取证步骤 准备工作 保护目标计算机 确定电子证据 收集电子证据 保护电子证据 计算机取证分析技术 计算机取证分析技术 对比分析关键字 文件特征分析 密码破译 数据恢复与残留数据分析 磁 盘备份文件 镜像文件 交换文件 临时文件分析技术 日志文件分析 相关性分析 10 智能卡用途 智能卡用途 身份识别 支付工具 加密解密 信息存储 USB key 认证特点 认证特点 双因子认证 带有安全存储空间 硬件实现加密算法 便于携带 安全可靠 身 份认证模式 USB key 安全漏洞 安全漏洞 交互操作存在漏洞 黑客意义远控 无法防止数据被篡改 智能终端软件系统 智能终端软件系统 winCE Palm OS Pocket PC Windows Phone 安卓 IOS 电力工控系统安全威胁 电力工控系统安全威胁 内部人为风险 黑客攻击 病毒破坏 预设陷阱 第五章第五章 应用系统安全基础应用系统安全基础 Web 安全威胁 安全威胁 可信任站点漏洞 浏览器插件漏洞 终端用户 可移动存储设备 网络钓鱼 僵尸 网络 键盘记录程序 多重攻击 Web 访问控制技术 访问控制技术 通过 IP 子网域名控制 通过用户名口令控制 通过公钥加密控制 网页防篡改技术 网页防篡改技术 时间轮询技术 核心内嵌技术 事件触发技术 文件过滤驱动技术 Web 内容安全 内容安全 邮件过滤技术 网页过滤技术 反间谍软件 电子商务安全需求 交易实体身份可认证需求 信息保密需求 信息完整性需求 交易信息不可抵 赖需求 有效性 访问控制性 安全认证体系 安全认证体系 身份认证技术 数字证书技术 电子商务安全服务协议 SET 协议 认证技术设计证书信息 持卡人证书 商家证书 支付网关证书 发卡行证书 认证信息 SET 证书安全分析 证书安全分析 机密性 数据完整性 身份验证 不可否认性 证书发行 证书更新 证书撤 销 证书链确认 SSL 工作流程 工作流程 网络连接建立 选择加密方式压缩方式 双方身份识别 确定本次传输秘钥 加密 传输数据 关闭网络连接 SSL 是两层协议 是两层协议 握手层协议 记录层协议 信息隐藏的分类 信息隐藏的分类 按载体分 按嵌入域分 按密钥分 信息隐写技术特点 信息隐写技术特点 透明性 隐蔽性 鲁棒性 不可检测性 安全性 自恢复性 对称性 可纠错 性 信息隐藏应用领域 信息隐藏应用领域 数据保密 数据不可抵赖 版权保护 防伪 数据完整性 网络舆情表现方式 网络舆情表现方式 新闻评论 BBS 博客 播客 RSS 新闻跟帖 转帖 网络舆情特点 网络舆情特点 直接性 随意性 多元性 突发性 隐蔽性 偏差性 网络舆情诱发因素 网络舆情诱发因素 社会突发公共事件 虚假信息 不良信息 网络舆情监测技术 网络舆情监测技术 舆情采集提取额 话题发现与追踪 舆情倾向性分析 多文档自动文摘技术 网络舆情预警措施 网络舆情预警措施 指定应急预案 加强监测力度 建立完善公共危机信息通报机制 部门联动 分工协作 隐私 隐私 个人隐私 通信内容隐私 行为隐私 隐私泄露方式 隐私泄露方式 互联网服务 智能终端 黑客攻击 管理者监听 第六章第六章 网络安全技术与产品网络安全技术与产品 安全服务 认证 访问控制 数据完整性 数据保密性 抗抵赖 审计和可用性 网络安全设计原则网络安全设计原则 最小权限原则 纵深防御原则 防御多样性原则 防御整体性原则 安全性与 代价平衡原则 网络资源的等级性原则 校园网网络安全