网络信息安全 第1章 概论与基础文档信息

1、第一部分(第1章) 概论与基础4学时第二部分 安全技术及应用18学时 第2章 信息加密技术 第3章 认证技术 第4章 密钥管理与分配技术 第5章 静态侦测与防火墙技术 第6章 动态侦测与入侵检测技术 第7章 阻断与隔离 第8章 诱骗与取证第三部分 安全技术在特定平台上的实现6学时第9章 Internet的基础设施安全第10章 Windows 2000 下的安全应用实验第四部分 内容安全(第11章) 4学时第五部分(第12章) 安全管理2学时本课主要内容9/6/2022实验一：加密与HASH算法的实现实验二：安装配置证书服务器实验三：简易防火墙配置实验四：创建Kerberos服务实验五：利用SS

2、L加密HTTP通道本课主要实验(课外)9/6/2022授课方式：讲课讲课时间：第10周-第19周 每周4节学期成绩评定方式： 出勤:10% (重视学习态度) 作业(包括课外实验和课堂回答问题):20% (重视学习过程) 期末考: 70% (闭卷考试)本课安排9/6/2022本课主要参考书1.蒋天发等.网络信息安全.北京:电子工业出版社,2009.2.胡道元等.网络安全.北京:清华大学出版社,2008.3.崔宝江等.信息安全实验指导.北京:国防工业出版社,2005.4.白硕等.e矛e盾.北京:清华大学出版社,2002.5.陈恭亮.信息安全数学基础.北京:清华大学出版社,2004.9/6/2022

3、第一章 概论与基础网络信息安全技术9/6/20221.1 信息,网络与安全 1.2 网络信息安全1.3 TCP/IP和主流操作系统1.4 黑客,威胁与防御1.5 网络攻击与防范1.6 恶意代码1.7 信息系统安全体系结构 本章主要内容第一章 概 述9/6/20221.1 信息,网络与安全 1.1.1信息的概念与特征 第一章 概 述信息、材料和能源是人类社会赖以生存和发展的基础。所谓信息，科学家说：信息是不确定性的减少，是负熵.安全专家说：信息是一种资产，它意味着一种风险.教科书上的定义“就是客观世界中各种事物的变化和特征的最新反映，是客观事物之间联系的表征，也是客观事物状态经过传递后的再现”。

4、 （包括三点：差异、特征、传递）信息自身不能独立存在，必须依附于某种物质载体。信源、信宿、信道是信息的三大要素。信息可以被创建,输入,存储,输出,传输（发送，接收，截取）,处理（编码，解码，计算）,销毁。 信息系统是信息采集、存储、加工、分析和传输的工具，它是各种方法、过程、技术按一定规律构成的一个有机整体。 9/6/2022网络-确保信息按需有序流动的基础设施。网络既包含了组成网络的硬件设备和线路，也包含了网络设备运行的软件系统。 传输网络-基础电信网、基础广电网等互联网络-互联网（因特网）、内联网、外联网人际网络-关系网、销售网、间谍网互联网的特点:开放性,国际性和自由性.互联网是扁平结构

5、的,平等的,而这个社会是树型结构的,分等级的.1.1 信息,网络与安全 1.1.2 网络的简单概念第一章 概 述9/6/2022Security: 信息的安全 Safety:物理的安全Security的含义:在有敌人（Enemy）/对手（Adversary）/含敌意的主体（Hostile Agent）存在的网络空间中，确保己方的信息、信息系统和通信不受窃取和破坏，按照需要对敌方的信息、信息系统和通信进行窃取和破坏的“机制”（Mechanism）1.1 信息,网络与安全 1.1.3 安全的简单概念第一章 概 述9/6/20221.2 网络信息安全1.2.1 背景网络的普及对网络的依赖加深攻击的门

6、槛降低-攻击资源的广泛存在-实施攻击的难度大大降低维护国家主权和社会稳定、打击网上犯罪、引导青少年健康上网（过滤与监控）网络信息资源的综合利用（情报获取与分析）网络信息对抗和网络信息战9/6/20221.2 网络信息安全1.2.2 基本概念什么是网络信息安全？这样一个看似简单的问题却难有令人满意的答案。目前业界、学术界、政策部门对信息安全的定义似乎还没有形成统一的认识。所以也衍生出了许多不同的概念，比如网络安全、计算机安全、系统安全、应用安全、运行安全、媒体安全、内容安全等等；教科书上的定义:网络安全从其本质上来讲是网络上的信息安全. 它涉及的领域相当广泛. 从广义来说,凡是涉及到网络上信息的

7、保密性完整性可用性真实性和可控性的相关技术与原理,都是网络安全所要研究的领域9/6/20221.2 网络信息安全1.2.2 基本概念信息安全的一般内涵的定义是确保以电磁信号为主要形式的，在计算机网络系统中进行获取、处理、存储、传输和利用的信息内容，在各个物理位置、逻辑区域、存储和传输介质中，处于动态和静态过程中的机密性、完整性、可用性、可审查性、可认证性和抗抵赖性的，与人、网络、环境有关的技术和管理规程的有机集成。信息安全主要涉及到信息存储的安全、信息传输的安全以及对网络传输信息内容的审计三方面。从不同的角度或从不同的环境和应用中,网络信息安全有不同的含义 9/6/20221.2 网络信息安全

8、1.2.3 研究内容 一切影响计算机网络安全的因素和保障计算机网络安全的措施都是此学科的研究内容.如:实体硬件安全软件系统安全密码技术网络安全防护数据信息安全认证技术病毒防治技术防火墙与隔离技术入侵检测技术, 等等9/6/20221.2 网络信息安全1.2.4 网络信息安全的CIA模型CIA模型C: Confidentiality 保密性I: Integrity 完整性A: Availability 可用性不足之处身份的真实性/可靠的匿名性操作的不可否认性/操作的不可追溯性 9/6/20221.2 网络信息安全1.2.5 网络信息系统安全的基本需求完整性（integrity）指信息在存储或传输

9、过程中保持不被修改、不被破坏、不被插入、不延迟、不乱序和不丢失的特性。保密性(confidentiality)是指严密控制各个可能泄密的环节，使信息在产生、传输、处理和存储的各个环节不泄漏给非授权的个人和实体。可用性(availability)是指保证信息确实能为授权使用者所用，即保证合法用户在需要时可以使用所需信息，防止由于主客观因素造成系统拒绝服务。可控性（controllability）指信息和信息系统时刻处于合法所有者或使用者的有效掌握与控制之下 。 不可否认性(incontestable)。是指保证信息行为人不能否认自己的行为 。9/6/20221.3 TCP/IP和主流操作系统1.

10、3.1 TCP/IP简单回顾TCP/IP家族:TelnetFTPSMTPHTTPDNSTCPUDPIPICMPARPRARPEthernetFDDIxDSL物理接口层网络层传输层应用层9/6/20221.3 TCP/IP和主流操作系统1.3.1 TCP/IP简单回顾物理接口层:Ethernet-以太网FDDI-光纤分布双环网是早期数据通讯网路之一xDSL-数字用户线. 几种DSL技术：ADSL：非对称用户数据线VDSL：超高比特率数字用户线HDSL：Mbps。SDSL：单线/对称数字用户线：HDSL单线版本。9/6/20221.3 TCP/IP和主流操作系统1.3.1 TCP/IP简单回顾网络

11、层:IP- Internet Protocol,网际互联协议,它的一个重要的功能就是在确定一条信息的发送地址和接收地址后能预测一个最佳路径;另一重要工作就是负责把需要传输的信息转换成网络可以传输的小数据包,这是其它许多协议的基础9/6/20221.3 TCP/IP和主流操作系统1.3.1 TCP/IP简单回顾IP数据包结构VerIHLService长度包序号标志报片偏移TTL协议CRC源地址目的地址选项Pad数据9/6/20221.3 TCP/IP和主流操作系统1.3.1 TCP/IP简单回顾IP地址的表示IP地址：子网编码+主机编码比如某网站的二进制地址1001111111100010001

12、0100110100110点分十进制地址66子网掩码00000000（）子网主机9/6/20221.3 TCP/IP和主流操作系统1.3.1 TCP/IP简单回顾IPv4 vs. IPv6目前互联网实行的编址方案是IPv4业界正在大力推进IPv6地址空间从32位扩大到128位，扩大296倍9/6/2022处理不同机器的IP层之间的通信,任何一个IP层向另一个IP层发送信息都必然会使用此协议. 可以发送一些状态报文比如出错信息，因此IP层的软件都是通过它来向机器发送状态报告，ICMP也由此成为了实际上IP层的通信系统比如ping就是一个应用ICMP的非常的著名命令，它的作

13、用就是向一台机器发送一个小ICMP报文来检查这台机器是否应答关掉ICMP的机器不能通过ping探测其网络连通性1.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统ICMP-网际控制报文协议.9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统MAC地址和IP地址之间的映射IPMAC：地址解析协议（ARP）MACIP：反向地址解析协议（RARP）9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统基本功能：提供端到端（进程-进程）的通信，即向高层用户屏蔽通信子网的细节，提供通用的传输接口,这主要由传输控制协议TCP和用户数

14、据报协议UDP提供.主要功能：1.传输连接管理：把传输地址映射为网络地址，把端到端的传输连接复用到网络连接上2.数据传送优化：端到端的顺序控制、差错检测及恢复、分段处理及QoS监测TCP协议主要面向连接,它可以重发及实现数据的可靠传输,UDP协议则主要负责传输而不涉及连接服务,它没有重发和纠错功能,也不能保证数据传输的可靠性.传输层的功能9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统TCP报文格式保留URG源端口目的端口发送序号确认序号首部长度紧急指针选项和填充窗口大小检查和数据（可选）ACKPSHRSTSYNFIN9/6/20221.3.1 TCP/IP简

15、单回顾1.3 TCP/IP和主流操作系统UDP报头格式源端口目的端口UDP报文长度检查和9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统建立TCP连接:三次握手的简化流程SYNSYN/ACKACK9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统应用层:超文本传输协议 (HTTP) 互联网域名系统(DNS)简单邮件传输协议(SMTP)远程登录(Telnet)文件传输 (FTP)电子公告版(BBS)9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统HTTP(Hypertext Transfer Pr

16、otocol)是WWW浏览器和WWW服务器之间的应用层通讯协议,是用于分布式协作超文本信息系统的、通用的、面向对象的协议。HTTP会话过程包括四个步骤： 连接(Connection) 请求(Request) 应答(Response) 关闭(Close) 9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统互联网域名系统(DNS)bbs.ncic.ac 曙光bbs服务器智能中心科技网中国bbs.ncic.ac 用名字来代替IP地址, 以便于人们的记忆9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统电子邮件(Email)电子邮件是利用

17、计算机网络来交换电子媒体信件的通信方式，其协议是SMTP（简单邮件传输协议），特点是只规定如何与TCP协议衔接。电子邮件采取存储转发的方式，发送失败后将继续尝试发送。电子邮件与短信,QQ,MSN等是目前最为火爆的基于P2P技术的即时通信应用。9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统电子邮件(Email)电子邮件需分别指定发信服务器与收信服务器，发信服务器称为SMTP服务器，无需账号，收信服务器通常是POP3服务器（POP：邮局协议），需要账号。信箱格式为： 用户名收信服务器域名 zhongshangpingsoftware.ict.ac 9/6/202

18、21.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统远程登录(Telnet)远程登录是指用户可以在本地自己的终端上通过支持TCP/IP的Internet网络与另一个地方的主机系统进行交互。远程登录的必备条件是本地端具有Telnet的客户程序，知道对方的IP地址或域名、账号、口令。9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统文件传输(FTP)FTP是用于在两个支持TCP/IP的Internet网络上的主机之间进行文件交换。必备条件是本地端具有FTP的客户程序，知道对方的IP地址或域名、账号、口令。当对方是匿名FTP服务器时可以进行匿名FTP登

19、录与传输。在浏览器上直接支持FTP操作： FTP:/ftp.ncic.ac 互联网上有大量的FTP工具,如:CuteFTP等。9/6/20221.3.1 TCP/IP简单回顾1.3 TCP/IP和主流操作系统电子公告版（BBS）BBS（Bulletin Board System）是利用计算机通过远程访问，将各种共享信息提供给各种用户。各用户可以张贴自己的观点，可以回答他人的问题。可以寻友，发邮件等。最初为Telnet方式，现在大都有WWW方式进一步发展为即时聊天、即时通信等9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统三大主流操作系统DOS/Window

20、s系列MacOS系列Unix/Linux系列9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统微软的DOS/Windows系列祖宗：MS-DOSx桌面系列：Windows 3.x Windows XP服务器系列：Windows NT 3.x Windows .Net9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统MacOSMacOS一度十分强大，在GUI（图形用户界面）方面曾经颇具优势MacOS有传统的应用领域（如出版），但总体上说正在衰落MacOS在中国没有很大市场9/6/20221.3.2 主流操作系统及其安全问题1

21、.3 TCP/IP和主流操作系统UNIX/Linux系列几大商业UNIX系统IBMAIXSUNSolarisHPHP-UXSGIIRIXSCOSCO UNIX两大免费UNIX系统Free BSDLinux9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统主要的UNIX系统演进示意图Unix CSUnix V6Unix System III BSDUnix System VFree BSDLinuxAIXHP-UXSolarisIrixSCOUnix V79/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统诸侯、霸主与侠客商业

22、UNIX的发展，缺乏一条明确的主线和统一的规划，诸侯林立。但由于其本身在高端技术上的一些优势，在大型服务器平台领域，UNIX仍有相当的地盘微软Windows系列有清晰的产品线和产品战略，已经在低端处于绝对的霸主地位（OS2案例）Linux/Free BSD高举“自由”大旗，加上由此而来的安全概念，异军突起，对微软的霸主地位形成一定冲击，但不足以动摇微软的霸主地位9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统操作系统的安全问题D级操作系统的权限模型C级操作系统的权限模型B级操作系统的权限模型9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP

23、/IP和主流操作系统研究操作系统安全问题的意义操作系统所处的位置决定了它是具有战略意义的软件系统，是一切信息和信息系统的安全攸关的底座操作系统的安全功能是网络信息安全的至关重要的组成部分操作系统的安全功能主要是通过“访问控制”来实现的，具体体现在内核地址空间的相对隔离用户和权限的管理对与安全有关的关键性信息的加密存储9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统操作系统的安全等级（TCSEC-可信任计算机标准评估准则）D级：最小安全策略（无访问控制措施）C级：自主访问控制C1：可信任的计算基础C2：安全审计B级：强制访问控制B1：设置敏感度标记B2：隐通

24、道分析B3：审计跟踪A级：结构化访问控制A1：形式化验证（理想状态）9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统C1级操作系统的访问控制主体：用户用户组程序（隶属于一定的用户）客体：资源，包括文件目录进程（暂时不说）操作：读、写、执行权限：允许、禁止9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统属主，用户组，权限管理一定的客体为一定的主体所拥有，该主体称为该客体的属主（Owner）一定的用户集合可组成用户组（Group），同组的用户在安全策略上具有一定的共性一定的可执行客体具有权限管理的执行效果，拥有执行这类客体

25、权限的主体事实上具有了改变别的主体和客体的相关安全策略的能力9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统权限码由9个二进制位组成0表示禁止，1表示允许从高到低的九个二进制位依次表示属主是否可读、可写、可执行同组用户是否可读、可写、可执行其他用户是否可读、可写、可执行9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统权限码755用户属主同组其他操作读写执行读写执行读写执行权限码111101101意义允许允许允许允许禁止允许允许禁止允许9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统

26、超级用户对任意客体拥有任意处置权限的用户，称为超级用户因此，超级用户能够运行任何权限管理程序，从而可以设置和改变任何主体对任何客体的权限超级用户的权限令人眼红，它的非法使用，将对系统的安全构成重大的威胁9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统超级用户C1级的操作系统靠着权限码把不同属主的资源在一定程度上隔离开来超级用户犹如一个全知全能的上帝，一旦获得超级用户的权限，上述隔离机制将不复存在遗憾的是，由于系统设计时的考虑不周，有大量的系统存在非法获取超级用户权限的隐患（漏洞），口令的管理不善或不当，也会造成超级用户权限的流失如此大的风险集中在超级用户上

27、面，对于有较高安全需求的信息系统来说，不是一个明智的选择，因此在B级操作系统里面，超级用户的全能性将被废止9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统B1级操作系统的访问控制基本的想法：分权借鉴：人类在带有敌对性质的环境下对信息的管理，特别是对军事机密的管理做法：同时给主体和客体加级别标记所谓级别，在数学上就是“序结构”，如偏序结构或全序结构9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统安全操作系统一般把B级以上的操作系统叫做安全操作系统政府、军队、金融等关键领域，对安全操作系统有很大需求防火墙、安全隔离系统等安

28、全产品自身的安全性要求坚固的操作系统底座数字权力保护的有效实现最好在安全的操作系统中完成中国这样的大国，应该有自主的安全操作系统9/6/20221.3.2 主流操作系统及其安全问题1.3 TCP/IP和主流操作系统操作系统加固在已有的操作系统外部通过打补丁的方式实现强制访问控制的功能，叫做操作系统加固操作系统加固不如安全操作系统的安全性好，原因是：敌对者可以以更高的优先级打一个弱化强制访问控制功能的“反补丁”已有操作系统的有些脆弱性（甚至是人为的后门）可能无法通过加固来避免在不具备开发安全操作系统的主客观条件又不想采用别人的安全操作系统的时候，操作系统加固不失为一种选择9/6/20221.4.

29、1 关于“黑客”1.4 黑客,威胁与防御“黑客”-Hacker源于英语动词hack,意为“劈,砍”,引申为“干了一件非常漂亮的工作”,中文语感上令人联想到“手段高超,行事诡秘的不速之客”特征: 技术精湛，系统烂熟，来去无踪，大侠风范黑客的精神钻研的精神挑战的精神敬业的精神自律的精神9/6/20221.4 黑客,威胁与防御1.4.1 关于“黑客”公众的误解以为坑人的攻击者破坏者是黑客“黑”成了动词，“红”成了黑客中的另类媒体的渲染正名运动一个典型的社会语言学问题Hacker vs. Cracker黑客？骇客？坏客？9/6/20221.4 黑客,威胁与防御1.4.1 关于“黑客”黑客是一个国家的宝

30、贵的战略资源黑客是最懂网上技术对抗的群体，在关系到国家主权、国计民生和网民切身利益的网上技术对抗发生的时候，黑客资源经过很好地组织，可形成一定的战斗力黑客文化素来追求自由，讨厌约束，这在一定程度上妨碍了黑客在对抗中的协同发挥和更严密的战术战役组织中国黑客中懂技术，有激情，顾大局，通情理者为数不少9/6/20221.4 黑客,威胁与防御1.4.1 关于“黑客”漏洞与攻击漏洞是程序的一种客观存在的脆弱性，可以被利用来实施攻击攻击是对漏洞的最直观的验证方式攻击在某些条件下也是最好的防御所以，不能把研究漏洞和攻击的权利拱手交给“坏人”当然，对无辜的、非敌对的目标进行恶意攻击，于法于理皆难容作为学习和研

31、究网络信息安全的人，要懂得自律，懂得守法；不仅包括国内法，还有国际法9/6/20221.4 黑客,威胁与防御1.4.1 关于“黑客”本课程中对漏洞和攻击的导向鼓励研究中国人发现的漏洞不是太多，而是太少国际惯例是研究出补救办法才公布漏洞，未公布的漏洞都是悬在我们头上的定时炸弹掌握在我们手里的未公布的漏洞越多，我们在信息对抗中的战略地位就越有利侧重原理本课程以讲授原理为主，不会提供大段的代码，但是掌握了这些原理，再去接触这些代码，会站在一个更高的层次9/6/20221.4 黑客,威胁与防御1.4.1 关于“黑客”本课程中对漏洞和攻击的导向谨慎实验从事关于漏洞和攻击的实验一定要慎之又慎实验环境要与日

32、常应用环境隔离，防止危害性的实验结果扩散到日常应用环境当中移动病毒的实验，一旦失控，后果及其严重严格自律要求大家不从事对公众网络的攻击和扫描活动，不参加以任何名义进行的“黑客大战”9/6/20221.4 黑客,威胁与防御1.4.2 信息系统面临的威胁及分类 1.信息通信过程中的威胁 被动攻击窃听获取消息内容流量分析主动攻击中断修改伪造破坏可用性破坏完整性破坏真实性9/6/20221.4 黑客,威胁与防御1.4.2 信息系统面临的威胁及分类 2.信息通信过程中的威胁 截获(侦听)中断(干扰)伪造篡改 第一章 概 述9/6/2022第一章 概 述概括计算机网络上的通信面临4种威胁。截获(inter

33、ception)中断(interruption)篡改(modification)伪造(fabrication) 上述四种威胁可划分为两大类，即被动攻击和主动攻击。在上述情况中，截获信息的攻击称为被动攻击，而更改信息和拒绝用户使用资源的攻击称为主动攻击。1.4 黑客,威胁与防御1.4.2 信息系统面临的威胁及分类 9/6/2022数据的性质Interruption(中断) -Interception(截获) -Modification(修改) -Fabrication (伪造) - Availability Availability可用性 AvailabilityConfidentiality机

34、密性 Integrity完整性 Availability Authenticity真实性第一章 概 述1.4 黑客,威胁与防御1.4.2 信息系统面临的威胁及分类 9/6/20221.4 黑客,威胁与防御1.4.2 信息系统面临的威胁及分类 2.信息存储过程中的威胁 第一章 概 述 存储于计算机系统中的信息，易于受到与通信线路同样的威胁。非法用户在获取系统访问控制权后，浏览存储介质上的保密数据或专利软件，并且对有价值的信息进行统计分析，推断出所有的数据，这样就使信息的保密性、真实性、完整性遭到破坏。 9/6/20221.4 黑客,威胁与防御1.4.2 信息系统面临的威胁及分类 3.信息加工处理

35、中的威胁 第一章 概 述 信息系统对信息进行加工过程中，通常以源码出现，加密保护对处理中的信息不起作用。因此，在这个期间有意攻击和意外操作都极易使系统遭受破坏，造成损失。除此之外，信息系统还会因为计算机硬件的缺陷、软件的脆弱、电磁辐射和客观环境等原因造成损害，威胁计算机信息系统的安全。9/6/2022伪装非法连接非授权访问拒绝服务抵赖信息泄露口令猜测地址欺骗连接盗用窃听业务流分析改动信息流篡改或破坏数据推断或演绎信息非法篡改程序（病毒、特洛依木马和蠕虫 ）业务否决对域名系统和其他基础设施的破坏利用Web破坏数据库第一章 概 述1.4 黑客,威胁与防御1.4.3 威胁的表现和构成威胁的因素 1.

36、信息系统面临的威胁表现9/6/20221.4 黑客,威胁与防御1.4.3 威胁的表现和构成威胁的因素 2.构成威胁的因素 （1）环境和灾害因素 (温度、湿度、供电、火灾、水灾、 地震、静电、灰尘、雷电、强电磁场、电磁脉冲等 )（2）人为因素 第一章 概 述计算机硬件系统的故障软件组件（漏洞 ）网络和通信协议无意（操作失误）有意（黑客、犯罪）（3）系统自身的脆弱9/6/2022系统自身的安全缺陷1.4 黑客,威胁与防御第一章 概 述协议本身会泄漏口令 连接可成为被盗用的目标 服务器本身需要读写特权 基于地址 密码保密措施不强 某些协议经常运行一些无关的程序 业务内部可能隐藏着一些错误的信息 有些

37、业务本身尚未完善,难于区分出错原因 有些业务设置复杂,很难完善地设立 使用CGI（Common Gateway Interface）的业务1.4.3 威胁的表现和构成威胁的因素 9/6/2022定义：“非法入侵者”起源： 60年代目的： 基于兴趣非法入侵 基于利益非法入侵 信息战人为攻击（黑客）1.4 黑客,威胁与防御第一章 概 述1.4.3 威胁的表现和构成威胁的因素 9/6/2022网络协议的开放性1.4 黑客,威胁与防御第一章 概 述 业务基于公开的协议（TCP/IP中的TCP和ARP ） 远程访问使得各种攻击无需到现场就能得手 连接是基于主机上的社团彼此信任的原则1.4.3 威胁的表现

38、和构成威胁的因素 9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统防御策略的基本原则 信息系统安全体系属于典型的防御体系，在构建防御体系过程中应坚持下列原则 9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统防御策略的基本原则 其实质是任何实体（用户、管理员、进程、应用和系统等）仅有该主体需要完成其被指定任务的所必须的权力，此外没有更多的特权。最小特权可以尽量避免将信息系统资源暴露在侵袭之下。 在信息系统安全设计中，对于每个用户并不需要使用所有的网上服务；不是所有用户需要去修改（甚至去读）系统中的每一个文件；每一个用户并不需要都知道系统的根口令

39、；每个系统管理员也没有必要都知道系统的根口令等，这些可以说是最小特权的例子。 9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统防御策略的基本原则 安全体系不要只依靠单一安全机制和多种安全服务的堆砌，应该建立互相支撑的多种安全机制，建立具有协议层次和纵向结构层次（信息流方向）的完备体系。通过多层机制互相支撑来获取整个信息系统的安全。 9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统防御策略的基本原则 在网络系统对外连接的通道上建立控制点，可以使系统管理人员对网络进行监控连接，对攻击者进行监视和控制。 在网络信息安全系统中，位于站点与Intern

40、et之间的防火墙就是一个控制点的典型例子。任何一个从公共网络侵袭站点的操作都必须通过这个对侵袭起防御作用的控制点，系统管理人员应当在网络运行中监视这些侵袭并在发现它们时进行基于策略的处理。9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统防御策略的基本原则 系统安全的强度取决于系统连接最薄弱环节（脆弱性）的安全态势，强的坚固程度取决于它最薄（脆）弱点的坚固特性。精明的攻击者总要找出系统的弱点，并集中力量对其进行攻击。系统管理人员应意识到网络系统防御中的弱点，以便采取措施进行加固或消除它们的存在，同时也要监测那些无法消除的缺陷的安全态势。对待安全的各个方面要同样重视而不能

41、有所偏重。例如，不能只重视保护Telnet连接而放任FTP连接。 9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统防御策略的基本原则 安全保护的另一个基本原则就是失效保护，一旦系统运行错误，当其发生故障时必须拒绝侵袭者的访问，更不允许侵袭者跨入内部网络。当然也存在一旦出现故障，可能导致合法用户也无法使用信息资源的情况，但这是确保系统安全必须付出的代价。 网络信息系统中的多数应用都是按失效保护原则设计的。例如，包过滤路由器如果出现故障，将不允许任何数据包进出；一个代理服务器出现故障，将不提供服务。9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统

42、防御策略的基本原则 为了使安全机制更为有效，绝大部分安全系统要求员工普遍参与，以便集思广益来规划设计网络的安全体系和安全策略，发现问题，使网络系统的安全设计更加完善。一个安全系统的运行需要全体人员共同维护。系统的安全单纯依靠系统管理员或安全管理员维护同样是危险的。 9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统防御策略的基本原则 通过使用大量不同的系统提供纵深防御而获得额外的安全保护一样，也能通过使用大量不同类型、不同等级的系统得到额外的安全保护。 防御多样化的意义是使用不同厂商的安全保护系统，降低因普遍的错误或配置错误而危及整个系统。但是，对于系统的复杂性和互操作

43、性却是需要考虑的另一个问题，应提防虚假的多样性，例如，可能存在共同的缺陷或漏洞。 9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统防御策略的基本原则 简单化作为一种安全保护策略有两方面的含义；一是让事物简单便于理解；二是复杂化会为所有的安全带来隐藏的漏洞，直接威胁网络安全。9/6/2022第一章 概 述1.4 黑客,威胁与防御1.4.4 信息系统防御策略的基本原则技术措施（采用特定功能的设备或系统）管理措施（法律、规章制度、检查）三分技术七分管理9/6/20221.5 网络攻击与防范1.5.1 拥塞邮件炸弹攻击Ping风暴攻击同步风暴攻击IP碎片攻击分布式拒绝服务攻击

44、9/6/20221.5 网络攻击与防范1.5.1 拥塞拥塞的定义因处理能力或某种必备资源不足而产生的失去服务能力的现象，也叫“拒绝服务”（Denial of service）人为造成目标主机或网络处于拥塞状态的行为，称为“拒绝服务攻击”拒绝服务攻击不可能对目标主机进行实质性的破坏，但可能造成因服务停顿而带来的损失（可能非常之巨大）9/6/20221.5 网络攻击与防范1.5.1 拥塞邮件炸弹攻击垃圾邮件与邮件炸弹垃圾邮件（SPAM）指的是把有商业或政治推广意图的邮件未经收件人允许发送给大量的收件人，主要的表现是“广”而“泛”邮件炸弹（Email Bomber）指的是在短时间内向特定的目标信箱发

45、送大数据量的邮件，导致信箱无法工作和网络、服务器的拥塞，主要的表现是“多”而“专”9/6/20221.5 网络攻击与防范1.5.1 拥塞邮件炸弹攻击的危害干扰用户的电子邮件系统的正常使用没用的邮件把有用的邮件的空间挤占掉了，有用的邮件不能正常收发致使邮件服务器系统崩溃邮件服务器的空间被侵吞，无法接收正常的（不含恶意的）邮件邮件服务器处理正常的（不含恶意的）邮件的效率降低乃至工作无法进行造成网络系统瘫痪大量邮件在短时间内拥塞在网络上，对网络带宽造成压力乃至瘫痪正常的（不含恶意的）邮件不能正常到达，导致重发数据包大量增加，进一步增加带宽压力9/6/20221.5 网络攻击与防范1.5.1 拥塞从防

46、范角度看邮件炸弹的应对请邮件服务器管理人员清除，或使用邮件管理工具登录到邮件服务器上清除设置过滤（拒绝超过一定规模的信件）转信加过滤防止别人利用你的邮件服务器的转信功能作为发送邮件炸弹的跳板（慎用！）自动回信（它反击的是对方的邮件服务器，而不是对方的客户端）9/6/20221.5 网络攻击与防范1.5.1 拥塞从攻击角度评价邮件炸弹小儿科，没有真正的杀伤力容易防范仅仅在外围祸害一下，没有攻到要害没有多少创意和技术含量伤及无辜，不太仗义（使用同一个邮件服务器的其他用户甚至使用同一个子网的网络用户都会受到不同程度的影响）9/6/20221.5 网络攻击与防范1.5.1 拥塞Ping 风暴攻击Pin

47、g是通过发送ICMP报文(类型8代码0)探寻网络主机是否存在的一个工具早期的部分操作系统（例如win95），不能很好处理过大的Ping包于是，在短时间内对准一个目标系统发送密集的大Ping包，将使这类目标系统出现拥塞这就是Ping to Death的攻击，也称为Ping风暴攻击方式。9/6/20221.5 网络攻击与防范1.5.1 拥塞Ping风暴攻击的先决条件目标系统版本较老（新的版本大多已经对此漏洞采取了一定的补救措施）己方出入口带宽对方出入口带宽（否则，被淹死的首先是你自己）9/6/20221.5 网络攻击与防范1.5.1 拥塞用伪装的IP进行ping攻击A仿冒B对C实行ping 风暴攻

48、击，B把EchoReply都发送给C，结果是B和C都遭受了攻击，而A则不露痕迹（相对而言）这里利用了ICMP协议的无连接特性进一步，如果ping的是一个广播地址，将会收到N多EchoReply（对微软的不灵，对UNIX很灵）借力打力，四两拨千斤9/6/20221.5 网络攻击与防范1.5.1 拥塞Ping风暴攻击的防范更新系统，扩大带宽安装IDS发现可疑IP立即封锁各个ISP协查联防万不得已时，关闭ICMP9/6/20221.5 网络攻击与防范1.5.1 拥塞从攻击角度的评价方法比较原始，对于有组织的防范基本无效用伪装IP方法进行攻击，能够借用网络协议和网络拓扑的特点，放大攻击效果，思路可取要

49、想进一步放大攻击效果，必须采用分布式攻击9/6/20221.5 网络攻击与防范1.5.1 拥塞同步风暴攻击英文Syn flood，是利用TCP三次握手中的漏洞造成主机拥塞三次握手中，发起连接的一方有两个动作（SYN和ACK）。如果只发前一个，不发后一个，会是什么效果呢？让我们看看握手中发生了什么9/6/20221.5 网络攻击与防范1.5.1 拥塞握手内幕SYN为建立连接准备资源SYN/ACK为建立连接准备资源ACK9/6/20221.5 网络攻击与防范1.5.1 拥塞握手中的谎言SYN开销SYN/ACKSYNSYNSYNSYNSYNSYNSYNSYN开销SYN/ACKSYN/ACKSYN/A

50、CKSYN/ACKSYN/ACKSYN/ACKSYN/ACKSYN/ACKSYN/ACKSYN/ACK开销开销开销9/6/20221.5 网络攻击与防范1.5.1 拥塞同步风暴攻击为什么能够得手目标系统有漏洞具体地说，握手机制的实现，顺序有问题申请开销过早如果先花费少量开销维持握手状态，等到对方的ACK来了之后再申请真正的开销，情况就会好得多9/6/20221.5 网络攻击与防范1.5.1 拥塞应对目标系统更新版本，握手机制的实现采用新顺序，推迟申请开销的时机安装IDS发现可疑IP立即封锁各个ISP联防协查9/6/20221.5 网络攻击与防范1.5.1 拥塞从攻击角度的评价漏洞处于比较要害的

51、部位（不能像应对ping风暴攻击时关闭ICMP那样关闭TCP握手机制，否则无法开展正常服务）以小开销（攻击方无需申请建立连接的开销）拼大开销（目标系统在未确定对方“有诚意”真正建立连接之前就匆忙申请了开销），具有一定的杀伤力防范相对容易9/6/20221.5 网络攻击与防范1.5.1 拥塞IP碎片攻击IP碎片攻击是一种利用IP报文分片和重组机制中存在的漏洞造成目标系统资源耗尽或崩溃的一种拒绝服务攻击它不仅可以攻击联网主机，也可以攻击防火墙、IDS（入侵监测系统）等网络设备IP碎片攻击还可以用来逃避IDS检查，因为许多网络入侵检测系统的机理是单IP包检测，没有处理分片。9/6/20221.5 网

52、络攻击与防范1.5.1 拥塞复习：IP包结构版本号IP分组头长服务类型总长度标识符标志报片偏移生存时间协议分组头校验和源地址目标地址任选项填充015319/6/20221.5 网络攻击与防范1.5.1 拥塞IP分组结构（1-1） 名称英文名称位宽功能版本号VER4一般用4分组头长IHL45-15，一般是5服务类型TOS8可靠性等总长度TL16Head+Data标识符ID16见详解（2）标志3见详解（2）报片偏移FO13见详解（2）生存时间TTL8过一路由减一协议PROT8TCP,ICMP9/6/20221.5 网络攻击与防范1.5.1 拥塞IP分组结构（1-2）名称英文名称位宽功能分组头校验和

53、HCSUM16计算校验和源地址SOURCE32发送方IP目标地址DEST32目的IP9/6/20221.5 网络攻击与防范1.5.1 拥塞IP分组结构（2）标识符标志报片偏移MF（More Fragment）位0:最后的报片1:不是最后的报片没有定义，但必须是0DF(不可分片）位0:可分片1:不可分片9/6/20221.5 网络攻击与防范1.5.1 拥塞IP分片与重组IP数据报在传输时，其间可能通过一些子网，这些子网允许的MTU（最大传输单元长度）可能小于该数据报的长度。为了处理这种情况，IP为以数据报方式传送的IP分组提供了分片和重组的功能。这也是IP层的主要功能之一。 9/6/20221.

54、5 网络攻击与防范1.5.1 拥塞IP分片与重组当网关准备将IP数据报发送到网络上，而该网络又无法将整个数据报一次发送时，网络必须将该数据报分成小块，使其长度能满足这一网络对数据分组的限制。IP报片可以独立走各自的路由，分片的数据报直到到达目的主机才能汇集到一起，甚至不一定以原来的次序到达。因此，所有进行接收的主机都要求支持重组能力。9/6/20221.5 网络攻击与防范1.5.1 拥塞IP分片与重组由于报头中bit的分配十分紧张，报片偏移字段FO只分配了13个bit，与IP包的最大字节容量65536相差8倍因此，实际的偏移量是FO的8倍，亦即报片的第一个字节在原IP包中的位置都是从8的整数倍

55、9/6/20221.5 网络攻击与防范1.5.1 拥塞IP碎片攻击的原理所有攻击，都是在报片偏移上做文章Jolt2：在报片重组时造成溢出，一些未打补丁的Windows系统（如NT,2000）会造成蓝屏、死机Teardrop：在报片重组时造成重叠，一些老的Linux版本在遇到重叠时会导致系统崩溃9/6/20221.5 网络攻击与防范1.5.1 拥塞Jolt2攻击原理：右界溢出偏移量8190*8=65520包长29右界65520+29=6554965535允许最大右界：655359/6/20221.5 网络攻击与防范1.5.1 拥塞Jolt2攻击要点循环发送ICMP/UDP包目标主机CPU利用率立

56、刻上升到100%，鼠标不动理论上可伪装IP地址，实际上尚未包含此功能9/6/20221.5 网络攻击与防范1.5.1 拥塞防范升级系统安装相应补丁安装IDS9/6/20221.5 网络攻击与防范1.5.1 拥塞从攻击角度的评价攻击是精心构造的，所利用的漏洞较普遍，杀伤力较强攻击代价小，容易伪装只从外部攻击，无法进入目标系统内部做更多的工作9/6/20221.5 网络攻击与防范1.5.1 拥塞分布式拒绝服务攻击英文Distributed Denial of Service，简称DDoS顾名思义，是多个攻击源同时攻击，造成目标系统拥塞每个攻击源的攻击手法可以相同，也可以不同攻击源受控于同一攻击者9

57、/6/20221.5 网络攻击与防范1.5.1 拥塞攻击者主攻节点主攻节点主攻节点僵尸僵尸僵尸僵尸僵尸僵尸僵尸僵尸僵尸目标蓝箭头：控制流红箭头：攻击流9/6/20221.5 网络攻击与防范1.5.1 拥塞DDoS的步骤部署主攻节点控制僵尸，植入攻击程序向主攻节点发送攻击启动命令（很可能是非常隐蔽的，比如进行了加密）主攻节点向僵尸发送攻击启动命令各僵尸在同一时间对准同一目标发起DoS攻击（比如ping风暴、同步风暴、垃圾Web请求等），而且僵尸发出的攻击包可能伪造假的IP源地址9/6/20221.5 网络攻击与防范1.5.1 拥塞危害网络拥塞、系统崩溃、正常的服务难以开展服务停顿导致的间接损失巨

58、大，尤其是门户网站和电子商务网站享受服务的普通网民的损失，总的算起来也非常巨大如果用于门户网站和电子商务网站之间的恶性竞争，将极大地破坏网络经济的秩序，导致网络经济的全面崩溃9/6/20221.5 网络攻击与防范1.5.1 拥塞防范和应对各ISP协查、联防路由器/防火墙（尤其是部署在骨干网上的）进行流量threasholding（阈上分流），相当于到了警戒水位就泄洪9/6/20221.5 网络攻击与防范1.5.1 拥塞从攻击角度的评价攻击者处于隐蔽位置，攻击包可能伪造假的IP地址，追究凶手困难；简单反击会伤及无辜每个具体的攻击包都貌似合法，非法意图隐藏在群体行为之中，防火墙难以阻拦，IDS难以

59、发现用分布式结构弥补了小带宽拼大带宽的天然劣势，将局部劣势转化成全局优势，在掌握了足够的僵尸的情况下，杀伤力可能非常大只能从外部拥塞网络、瘫痪系统，不能进入目标系统内部进而控制目标系统掌握足够数目的僵尸是一件困难的事情9/6/20221.5 网络攻击与防范1.5.1 拥塞对拥塞攻击的总体评价攻击深度不够，只能瘫痪系统，不能控制系统局部合法，整体非法小带宽具有天然劣势，可通过分布式等手段，放大杀伤力，化局部劣势为全局优势商店的比喻：纠集大批人群占据柜台，光问价不买东西9/6/20221.5 网络攻击与防范1.5.2 访问权限获取获取口令的社会工程学方法口令窃听攻击 弱口令猜测攻击口令文件破译攻击

60、 缓冲区溢出攻击9/6/20221.5 网络攻击与防范1.5.2 访问权限获取总论访问权限的获取，是对目标系统进行控制的必由之路访问权限的获取有如下途径：获取口令通过“社会工程”获取口令通过窃听获取口令通过猜测获取口令通过计算（破译）获取口令利用隐通道利用缓冲区溢出制造隐通道利用后门制造隐通道（不讲）9/6/20221.5 网络攻击与防范1.5.2 访问权限获取获取口令的社会工程学方法窥探看别人击键隐蔽录像骗取假冒可信任的人的名义利用管理漏洞和目标系统管理者的疏忽纸条9/6/20221.5 网络攻击与防范1.5.2 访问权限获取防范好的文化（不是万能的）好的习惯（能起一定的作用）好的管理（最关