网络系统安全浅谈

1、网络系统平安浅谈Agenda网络系统的风险与要挟网络平安技术与常见工具基于平安内核的主机防护系统网络平安的未来图景网络系统的风险与要挟风险无处不在攻击、防御与还击攻击的不变性质数字世界的要挟是物理世界要挟的反映攻击的变化性质自动化、远程化、技术的传播性要挟与风险分析(技术)计算机(网络设备)平安访问控制、平安模型、平安内核与可信计算基(Trusted Computing Base)、隐藏通道和评价准那么连网计算机(网络设备)平安恶意代码、模块平安、挪动代码、网络平安网络平安IP平安、DNS平安、DOS及DDOS攻击网络系统平安要挟与风险分析(非技术)社会工程内部人员作案错误运用与配置物理世界攻

2、击, etc.没有绝对平安(无风险)的系统！信息平安与网络平安信息(数据)平安关注的问题性、鉴别、完好性和防抵赖性网络(系统)平安关注的问题访问控制、可用性、审计管理等当前的网络平安技术与工具网络平安技术网络平安工具防火墙、IDS、Scanner、VPN与防病毒等特点与局限性网络平安技术网络防御防火墙，IDS，Scanner，VPN和防病毒等软件的可靠性缓冲区溢出，Bug以及SSE-CMM硬件平安PKI其它平安管理，法律，BCP&DRP等网络平安工具防火墙入侵检测系统(IDS)ScannerVPN防病毒其它防火墙(Firewall)概念门卫(边境防火墙，堡垒主机)原理与实现模型包过滤、代理(运

3、用网关)、Stateful Inspection主流产品引见CheckPoint，Cisco PIX，Netscreen，天融信，东方龙马，东软IDS概念医生(在与其它平安工具联动后会起到巡警的作用)原理与实现模型数据包探测式(类似于查病毒)、异常探测式(类似于病毒实时警报)网络内嵌式(在网络上实时任务)，审计式(事后核对)基于主机的，基于网络的主流的产品引见RealSecure，CyberCop，Snort等Scanner概念“Improving the Security of Your Site by Breaking Into it, Dan Farmer, Wietse Venema主

4、流产品引见ISS, nessus, nmap, SATAN等VPN(Virtual Private Network)概念原理与实现模型PPTP，L2TP，IPSec和其它公用协议衔接同一网络中的不同区域，拨号用户防病毒(Anti-Virus)概念原理与实现模型主流产品引见与未来开展其它蜜罐系统(Honeypot)网页监控与恢复平安各类工具的局限性防火墙“一夫当关，万夫莫开的关口，简化了网络的平安管理入侵者可寻觅防火墙背后能够敞开的后门入侵者能够就在防火墙内IDS实时的入侵检测，很难跟踪新的入侵方式Scanner平安咨询系统，很难跟踪新的破绽网络平安工具的特点优点局限性防火墙可简化网络管理，产品

5、成熟无法处理网络内部的攻击IDS实时监控网络安全状态误报警，缓慢攻击，新的攻击模式Scanner简单可操作，帮助系统管理员和安全服务人员解决实际问题并不能真正扫描漏洞VPN保护公网上的内部通信可视为防火墙上的一个漏洞防病毒针对文件与邮件，产品成熟功能单一基于平安内核的主机防护系统为什么需求基于平安内核的网络平安产品防火墙，IDS，VPN等网络平安产品分别处理了当前网络系统的一些问题，但由于这些平安产品大多独立于用户当前的网络与运用系统之外，同时添加了系统的复杂度和攻击点防火墙，IDS，VPN等网络平安产品也能够存在一些平安破绽基于平安内核的主机防护系统特征基于数字签名认证的平安内核功能基于数字

6、签名进展访问控制对于未被授权的管理员的访问控制对系统内核的密封本身内核模块的隐藏 平安内核构造1Secuve Kernel(平安内核)subjectObjectXO访问访问Web Griffin认证基于数字签名认证的用户身份验证程序文件设备等平安操作系统Secure OSSecuve Kernel数据库平安内核构造2 Current Kernel Process数字签名及证书平安模块Security Lib.访问控制列表平安内核数字签名认证-访问控制用户级 Security Kernel Process 黑客可以经过获得系统管理员权限进入文件系统 假设运用了基于数字签名的平安内核黑客即使获得了

7、系统管理员权限，他也不可以访问文件系统操作或命令系统访问界面内核 -文件系统 -过程控制 -内存控制 -硬件界面操作或命令访问系统界面内核 -文件系统 -过程控制 -内存控制 -硬件界面内核级内核级用户级平安内核构造(3)HardwareKernelSystem Call InterfacelsrmviviccdflpABCDE用户(运用程序)KernelModule1viKernelModule2KernelModuleNKernelModuleNKernel ModuleKernel ModuleLoad/Unload 不可以(Kernel Sealing)程序本身维护功能(Self-Se

8、curity)被黑客入侵时删除平安功能.内核密封功能(Kernel Sealing) - 防止内核模块的Loading/Uploading 阻断恶意的对内核的攻击.内核隐藏功能(Kernel Stealth) - 隐藏平安内核降低平安风险 - 不显示平安内核程序，降低风险.自动维护平安内核 程序目录 - 防止删除平安程序坚持继续的平安功能.国内独一基于平安内核的运用Web Griffin主要对文件的写权限进展访问控制File Griffin对文件的读，写，执行进展访问控制共性维护主要daemon防止init下一代的网络平安平安是一个过程，而不是一个产品关注系统风险管理多层次的立体网络平安防护体

9、系平安过程与系统平安生命周期模型“平安是一个过程，而不是一个产品，Bruce Schneier网络平安生命周期模型评价，设计，工程实施、开发和制造，布署，运转、管理和支持，终止关注系统风险基于时间的PDR模型防护(Prevention)、检测(Detection)和反响(Response)P D + R，即Te是系统暴露给攻击者的时间Td是检测到攻击行为所需的时间Tr是对攻击呼应和阻击的时间当P=0时，E = D + R，即系统最大的风险为对攻击检测和作出反响的时间之和关注系统风险风险 要挟 破绽 影响要挟随着暴露添加破绽与系统复杂度成正比影响与资产价值成正比可推导出，影响 = 资产价值 * (Td + Tr - Tp)Tp是攻击者突破系统需求的时间，即防护平安可提供的时间Td是检测到攻击行为所需的时间Tr是对攻击呼应和阻击的时间因此，降低系统风险的方法是进展深度防御多层次的立体网络平安防