网络安全和防火墙 第部分 安全的概念安全标准和安全组织

CIW网络安全认证体系网络安全基础与防火墙

第一单元什么是安全学习目标理解有关安全的定义理解网络安全的必要性识别需要保护的资源识别常见的安全威胁类型了解如何建立有效的安全矩阵安全的定义随着计算机网络的发展，保护网络安全也变得更加复杂，对于网络来说，可以定义安全为一个持续的过程，目的是提高识别和消除不安全因素的能力。谷歌扫描器(GoolagScanner)免费下载威胁互联网安全Google又惹麻烦了，知名的计算机黑客组织CultoftheDeadCow(以下简称CDC)周五表示，该组织计划提供一个软件工具，利用该软件工具，人们可以通过谷歌对其它网站进行扫描，寻找这些网站的安全漏洞。CDC组织称，这个软件工具名为“谷歌扫描器”(GoolagScanner)，它是一名黑客的杰作，这名黑客使用的名字是“JohnnyIHackStuff”，该软件工具可以在其网站上免费下载。想不到吧,用GOOGLE可以进入别人的监视系统哦!!!2007年网络安全热点回顾“熊猫烧香”病毒作者已被逮捕！-01月2006年底，“熊猫烧香”开始在我国互联网上肆虐。这是国内制作计算机病毒的第一案，公安部十一局和湖北省公安厅副厅长黄洪对此高度重视，要求湖北网监部门不惜一切代价，拿下此案。熊猫烧香案宣判主犯李俊被判四年互联网遭受五年以来最大规模黑客袭击-02月北京时间2月7日消息据国外媒体报道，黑客在周二至少已经控制了管理全球互联网流量的13台根服务器中的3台，这是继2002年以来，互联网根服务器遭到的最严重黑客袭击。有专家称这起非同一般的攻击事件持续了12个小时后，感染了大量无防备的电脑用户，全世界的电脑专家正忙于应付有渗透入网络致命通道危险的大量数据。取代美国中中国成“恶意意软件”头号号基地-04月赛门铁克指出出，现今的全全球网络攻击击有33％来自美国，，恶意网络活活动也有31％，均居全球球之首，而第第二位的中国国只有10％，德国为7％；同时全球球受木马感染染和控制的计计算机中有26％位于中国。。温柔地“杀””死你诺顿顿误杀事件专专题报道-05月5月18日，诺顿杀毒毒软件升级病病毒库后，会会把WindowsXP系统的关键系系统文件当作作病毒清除，，重启后系统统将会瘫痪。。安装了诺顿顿MS06-070补丁的XP系统，如果将将诺顿升级最最新病毒库，，则诺顿杀毒毒软件会把系系统文件netapi32.dll、lsasrv.dll隔离清除，从从而造成系统统崩溃。北京警方破获获首例DDoS黑客攻击案(组图)-07月今年5月，市公安局局网监处接到到了网络游戏戏运营商联众众公司的报案案，该公司托托管在北京、、上海、石家家庄的多台服服务器遭受到到200万个不同程度度的大流量DDOS拒绝服务攻击击包，长达近近一个月，公公司经济损失失达数百万元元。由于该公公司电脑服务务器瘫痪，玩玩家无法登录录网站玩网络络游戏。公司司工程师曾经经试图修改被被攻击服务器器的IP地址以躲避攻攻击，但5分钟后攻击随随即转向更改改IP后的服务器。。民警勘察发发现这些攻击击包，IP来源是伪造的的218XXX和219XXX段。黑客入侵中国国游戏中心系系统盗22亿游戏币-08月利用木马病毒毒，3名网络黑客非非法侵入了中中国游戏中心心系统，在3天时间内陆续续将22亿个游戏金币币转入自己控控制的游戏账账号中，随后后将游戏金币币以低价出售售，共获利人人民币14万元中国女解码高高手十年破译译五部顶级密密码-09月MD5密码算法，运运算量达到2的80次方。即使采采用现在最快快的巨型计算算机，也要运运算100万年以上才能能破解。但王王小云和她的的研究小组用用普通的个人人电脑，几分分钟内就可以以找到有效结结果。SHA-1密码算法，由由美国专门制制定密码算法法的标准机构构———美国国家标准准技术研究院院与美国国家家安全局设计计，早在1994年就被推荐给给美国政府和和金融系统采采用，是美国国政府目前应应用最广泛的的密码算法。。2005年初，王小云云和她的研究究小组宣布，，成功破解SHA-1。《崩溃!密码学的危机机》，美国《新科学家》杂志用这样富富有惊耸的标标题概括王小小云里程碑式式的成就。因因为王小云的的出现，美国国国家标准与与技术研究院院宣布，美国国政府5年内将不再使使用SHA-1，取而代之的的是更为先进进的新算法，，微软、Sun和Atmel等知名公司也也纷纷发表各各自的应对之之策。Google大清洗4万恶意网站被被删除-11月Google于近日清洗了了搜索结果中中几万个含有有恶意软件及及代码的网站站。这些网站站将不再出现现在搜索结果果中。MSN蠕虫病毒借借助“圣诞诞照片传播播”-12月12月18日下午，瑞瑞星全球反反病毒监测测网截获一一个通过MSN快速传播的的蠕虫病毒毒，并命名名为“MSN圣诞照片(Backdoor.Win32.PBot.a)”。该病毒会会大量散发发“MyChristmaspictureforyou””等诱惑性消消息，中毒毒机器会向向MSN上的所有好好友发送名名为“photo2007-12.zip””的病毒压缩缩包，用户户运行后就就会被感染染。MSN病毒毒截图病毒的产业业链病毒在进行行着一次可可怕的演变变，它们不不再安于破破坏你的系系统，销毁毁你的数据据，它们更更喜欢你的的财产，关关注你的隐隐私。2007年上半年仅仅瑞星一家家公司就截截获新病毒毒133717个，其中木木马病毒83119个，后门病病毒31204个，两者之之和超过11万，相当于于2006年同期截获获的新病毒毒总和。这这两类病毒毒都以侵入入用户电脑脑，窃取个个人资料、、银行账号号等信息为为目的，带带有直接的的经济利益益特征。从从统计数据据看来，今今年上半年年的病毒数数量比去年年同期增加加11.9%。白热化产品品时代2008年的安全产产品竞争将将彻底进入入白热化阶阶段。在2007年各厂商打打出的免费费牌已经让让人闻到了了硝烟的味味道。CA(中国)的淡出更是是体现了竞竞争的激烈烈程度。2008将是创新的的一年，所所有的安全全厂商不再再安于换个个版本就上上市的简单单模式，他他们将会用用更新的技技术、更贴贴心的服务务来最大限限度吸纳客客户。战国国的时代，，必然需要要和平的使使者。主动动防防御御和和免免费费将将成成为为2008年安安全全产产品品的的关关键键词词，，产产品品的的网网络络化化也也是是大大势势所所趋趋。。如如今今网网民民更更需需要要的的是是一一种种服服务务，，他他们们不不再再满满足足于于一一套套产产品品的的简简单单使使用用，，也也不不会会像像以以前前一一样样做做产产品品的的簇簇拥拥者者，，消消费费观观念念也也随随之之理理性性。。恶意意软件件的转转型型2008年恶恶意意软软件件在在行行为为上上将将有有所所改改观观，，但但在在技技术术手手段段上上会会更更加加““高高明明””。。2007年恶恶意意软软件件在在国国内内的的声声音音越越来来越越小小，，但但据据卡卡巴巴斯斯基基的的调调查查显显示示，，中中国国仍仍然然是是恶恶意意软软件件最最多多的的国国家家，，已已经经占占到到全全球球恶恶意意软软件件总总数数的的三三成成。。Vista的安安全全模模式式2007年，，WindowsVista并没没有有替替代代WindowsXP成为为操操作作系系统统的的继继任任者者。。2008年这这一一情情况况将将有有所所改改观观。。随随着着ServicePack1forWindowsVista的发布也会使使更多的用户户使用Vista。专业黑客攻攻击者和恶意意软件开发者者将会发现此此操作系统对对他们业务所所产生的不利利影响，并将将探索新的方方法以攻克这这一难题。Web2.0的威胁论以博客、论坛坛为首的Web2.0产品将受到新新的安全挑战战。在2008年将成为病毒毒和网络钓鱼鱼的主要攻击击目标。2007年，许多全球球性的社交网网站都遭受到到不同程度的的攻击，其中中包括S和M两大网站。网网络罪犯利用用从LinkedIn等网站窃取的的个人信息发发动了数次目目标精确的攻攻击。攻击者者通过利用用用户共享的个个人信息，从从而使自己的的攻击看起来来更加真实可可信。有效的安全矩矩阵一个合理有效效的安全矩阵阵应该具有如如下特点：允许访问控制制容易使用合理的花费灵活性和伸缩缩性优秀的警报和和报告安全投资回报报安全投资作为为一种特殊投投资形式，其其目的是降低低信息安全风风险，投资回回报主要来自自于风险损失失的降低。保护什么划分需要保护护的资源可以将资产划划分为4个资源组：终端用户资源源网络资源服务器资源信息存储资源源终端用户资源源许多损害是来来自于公司内内部，用户操操作失误或是是缺乏安全意意识往往会带带来严重的安安全问题。网络资源作为公司主要要的通信媒介介，网络联系系着公司的各各方面，若黑黑客侵入了网网络，则黑客客也可能随意意地访问到各各种资源，甚甚至进行各种种极具危害的的操作。服务器资源用于存储重要要资料或是负负责安全管理理的服务器是是最吸引黑客客攻击的，而而服务器遭受受攻击造成的的损失往往也也是最大的。。信息存储资源源发现信息并获获得信息可以以认为是黑客客行为的最终终目的，黑客客通过各种手手段侵入网络络，也是为了了通过网络来来得到他们所所要的信息。。各种资源易受受的攻击重要资源潜在的威胁终端用户资源病毒，木马，Java小程序可以对本地系统造成危险网络资源IP欺骗，系统探测，及获得相关信息服务器资源非授权侵入，截取服务，木马。服务器资源经常成为最主要的目标数据库和信息资源得到商业机密，交易行为，消费者的数据等等潜在的威胁信息泄密信息被篡改传输非非法信信息流流网络资资源的的错误误使用用非法使使用网网络资资源计算机机病毒毒网络中中存在在的不不安全全因素素自然灾灾害：：水灾灾、火火灾、、地震震等人为灾灾害：：战争争、纵纵火、、盗窃窃设备备等系统物物理故故障：：硬件件故障障、软软件故故障、、网络络故障障等人为的的无意意失误误：程程序设设计错错误、、误操操作、、无意意中损损坏和和无意意中泄泄密等等人为的的恶意意攻击击：主主动攻攻击、、被动动攻击击存在百分之之百的安全全吗开销风险性能尽管不可能能实现绝对对安全，但但是仍可以以达到某种种水平，使使得几乎所所有最熟练练的和最坚坚定的黑客客也不能登登录到系统统。一个有有效的安全全策略能够够使不安全全因素最小小化。安全就是在在动态环境境中寻求平平衡的过程程在安全实施施的过程中中，安全人人员所要做做的工作就就是在易用用性和安全全性之间寻寻求平衡，，赋予用户户能完成所所有工作的的最小权限限，以使安安全最大化化。网络安全的的目标身份真实性性：能对通通讯实体身身份的真实实性进行鉴鉴别。信息机密性性：保证机机密信息不不会泄露给给非授权的的人或实体体。信息完整性性：保证数数据的一致致性，防止止数据被非非授权用户户或实体建立、、修改和破破坏。服务可用性性：保证合合法用户对对信息和资资源的使用用不会被不不正当当地拒绝绝。不可否认性性：建立有有效的责任任机制，防防止实体否否认其行为为。系统可控性性：能够控控制使用资资源的人或或实体的使使用方式。。系统易用用性：在在满足安安全要求求的条件件下，系系统应当当操作简简单、维护护方便。。可审查性性：对对出现现的网络络安全问问题提供供调查的的依据和和手段。第二单元元安全标准准及组织织概况学习目标标了解安全全标准的的意义ISO17799/ISO27001的主要内内容了解公共共准则熟悉主要要的网络络安全组组织国际标准准化组织织国际标准准化组织织，简称称ISO，是一个个全球性性的非政政府组织织，是国国际标准准化领域域中一个个十分重重要的组组织。其其任务是是促进全全球范围围内的标标准化及及其有关关活动。。ISO定义的安安全服务务认证：提提供供身份验验证的过过程。访问控制制：访访问控制制确定用用户能做做些什么么。数据保密密性：保保护数数据不被被未授权权的暴露露。数据完整整性：通通过检检查或维维护信息息的一致致性来防止主动动的威胁胁。不可否定定性：是是防止止参与交交易的全全部或部部分的抵抵赖。不不可否定定性可以以防止来来自源源端端的欺骗骗。安全机制制安全机制制是一种种技术，，一些软软件或实实施一个个或多个个安全服服务的过过程。。特殊安全全机制加密数字签名名机制访问控制制数据完整整性身份验证证流量填充充普通的机机制信任功能能安全标签审核跟踪安全恢复ISO17799BS7799-1:1999被ISO委员会评审、、讨论通过，，成为信息安安全领域的国国际标准ISO/IEC17799:2000，于2005年6月15日发发布布了了ISO/IEC17799:2005版（（全全称称为为信信息息技技术术—安全全技技术术—信息息安安全全管管理理实实践践规规范范））。。199519981999.042000.1220022005.62005.10BS7799-2:1998信息息安安全全管管理理体体系系规规范范BS7799:1999BS7799的两两个个部部分分进进行行合合并并ISO/IEC17799:2000信息息技技术术———信息息安安全全管管理理实实施施规规则则BS7799-2:2002安全全管管理理体体系系规规范范与使使用用指指南南ISO/IEC17799:2005信息息安安全全管管理理体体系系实实施施规规则则ISO/IEC27001:2005信息息技技术术－－安安全全技技术术－－信信息息安安全全管管理理体体系系要要求求BS7799-1:1995信息息安安全全管管理理实实施施规规则则ISO17799标准准的的内内容容信息息安安全全方方针针组织织安安全全资产产的的分分类类与与控控制制人员员安安全全物理理与与环环境境安安全全通信信和和运运作作方方式式管管理理访问问控控制制系统统开开发发与与维维护护信息息安安全全事事件件管管理理业务务持持续续性性管管理理符合合法法律律ISO17799标准的的作用用ISO/IEC17799不是技技术性性的信信息安安全操操作手手册，，它讨讨论的的主题题很广广泛，，但对对每一一项内内容的的讨论论都没没有深深入下下去，，也没没有提提供足足够的的信息息以帮帮助组组织建建立信信息安安全管管理体体系，，还不不能满满足认认证的的要求求。但但是，，作为为对各各类信信息安安全主主题的的高级级别概概述，，它有有助于于人们们在管管理中中理解解每一一类信信息安安全主主题的的基础础性问问题。。ISO27001BS7799-2:2002，经修修订后后，于于2005年10月15日作为为国际际标准准ISO/IEC27001:2005发布。。它规规定了了建立立、实实施、、文件件化信信息安安全管管理体体系(ISMS)的要求求，规规定了了根据据单独独组织织需要要定制制安全全控制制的要要求。。新标准准的正正式标标题是是:《BS7799-2:2005(ISO/IEC27001:2005)信息技技术-安全技技术-信息安安全管管理体体系-要求》公共准则则（CC）公共准则则（CommonCriteria）是一个个标准，，它统一一了各种种各样的的地区和和国家安安全准则则。CC目前是ISO国际标准准（IS）15408，它是ISO的CC2.1版本。CC的两个基基本功能能标准化的的方法描描述安全全必要条条件，如如安全需需要、实实现这些些需要的的产品和和系统以以及分析析和测试试这些产产品和系系统。可靠的技技术作为为评估产产品和系系统安全全特性的的基础。。CC的重要概概念保护概况况（PP）由于IT管理员、、用户、、产品开开发者和和其他方方创建的的文档，，定义了了一套详详细的安安全需求求。PP文档用于厂商商之间进行需需求交流。安全目标（ST）来自于厂商的的一段综述，，描述了IT产品或系统可可以提供的安安全。包括特特定产品的信信息，解释了了特殊产品或或系统如何满满足PP的需求。评估目标（TOE）IT产品或系统需需要评估，必必须使用PP和ST文档列出的特特殊安全要求求来评估产品品。产品还必必须按照CC的要求，由一一个公认的第第三方进行分分析和测试。。桔皮书可信任计算机机标准评估准准则（桔皮书书）是根据美美国国防部开开发的计算机机安全标准。。它规定了了一些级别用用于:保护硬件、软软件和存储的的信息免受攻攻击。它的范围从从级别A到级别D，其中A是最高级别别。级别A、B和C还分数字标标明的子级级别，例如如，级别A有A1，级级别别B有B1、B2和B3，级级别别C有C1和C2。联邦邦信信息息安安全全管管理理法法案案联邦邦信信息息安安全全管管理理法法案案(FISMA)取代代了了政政府府信信息息安安全全改改革革法法案案(GISRA)，并并且且包包含含更更强强的的永永久久性性条条款款，，其其中中包包括括对对信信息息安安全全最最低低强强制制标标准准的的要要求求。。FISMA确定了安安全计划划必需的的元素，，但是没没有提供供有关如如何达到到这些要要求的安安全基准准或指导导。计算机网网络安全全事件应应急小组组（CERT）国际上著著名的应应急响应应组织美国计算算机紧急急事件响响应小组组协调中中心事件响应应与安全全组织论论坛亚太地区区计算机机应急响响应组欧洲计算算机网络络研究教教育协会会其它有用用的网络络安全援援助机构构网络110SANS(美国系统统网络安安全协会会)SANS(系统管理理、审核核、网络络、安全全)是信息安安全培训训和认证证最可靠靠的来源源和最大大的机构构，它也也在不断断发展壮壮大，并并且是最最大的免免费提供供信息安安全各方方面研究究文献资资料的组组织，它它具有互互联网业业务的预预警系统统以及互互联网威威胁监测测中心。。SANS提供各类类资源，，如每周周风险类类别及危危害等级级，每周周新闻摘摘要，互互联网预预警系统统以及网网络风暴暴中心等等。ISSA信息系统统安全协协会(ISSA)是一个由由信息安安全专家家以及相相关从业业人员组组成的一一个非营营利性质质的国际际组织。。ISSA的目标是是促进安安全管理理措施