网络安全课件1

网络与信息安全

最后一课：期末复习潘爱民，北京大学计算机研究所/InfoSecCourse我们的课程内容覆盖密码学基础安全基础网络安全系统安全应用层安全许多内容也没有深入介绍我们没有覆盖各个安全方向上的一些研究成果……一些新兴的安全领域复习：信息安全概述信息安全的基本需求保密性完整性可用性发展：COMSEC->COMPUSEC

->INFOSEC->IA信息保障保护（Protect）检测（Detect）反应（React）恢复（Restore）保护Protect检测Detect恢复Restore反应ReactIA复习：信息安全概述信息安全法规规范信息内容规范网上行为我国立法情况国家大法的基本精神指导数字领域对于计算机犯罪的新增条款国家条例、商用密码管理条例急需完善配套信息安全标准国际标准可信计算机系统评价准则TCSEC-ITSEC-CC我国的标准化工作，亟待进一步完善和提高复习：密码学基础(一)对称加密算法密码算法设计指导原则现代密码算法Feistel结构DES算法针对DES的密码分析分组密码算法的四种用法其他几种典型的现代密码算法AES算法随机数产生器复习：密码学基础(二)公钥算法背包思想RSAEllipticcurveDiffie-Hellman密钥交换消息认证码(MAC)算法散列算法MD5SHA-1HMAC数字签名加密库Crypto++介绍复习：信息安全基础(一)关于认证协议一个简单的认证协议，介绍常见的攻击手段和对策中间人攻击重放攻击字典攻击认证协议中的常见技术时间戳Challenge/ResponseWindows平台的认证协议LanMan口令加密方案NTLMUNIX的crypt()算法HTTP认证协议BasicAuthenticationDigestAccessAuthentication复习：信息安全基础(二)Kerberos协议Kerberos协议基本思想基本的概念：principal,KDC,ticket,credentialKerberos基本模型TGS，跨realm认证Kerberos中ticket的flag通过这些flags,Kerberos可以适用于实用的场合Kerberos实现MITRelease，独立的软件包一组工具：kadmin,kinit,klist,kpasswd支持kerberos的应用程序Win2kKerberos集成在操作系统之中复习：信息安全基础(三)IPSec：网络层安全性需求：真实性(认证)、完整性和保密性IPSec的组成部分：协议部分，密钥管理协议部分AH(AuthenticationHeader)：完整性ESP(EncapsulatingSecurityPayload)：保密性、完整性SA(SecurityAssociation)一个简单的单向逻辑连接，安全信息参数集合SA的标识:SPI、目标IP地址、安全协议标识IPSec密钥管理ISAKMP：是一个针对认证和密钥交换的框架两阶段协商IKE:TheInternetKeyExchange基于ISAKMP框架，结合了Oakley和SKEME的部分密钥交换技术Windows2000中的IPSec复习：信息安全基础(四)PKI：PublicKeyInfrastructurePKI的基本服务认证身份完整性：数字签名，MAC和HMAC保密性：用公钥分发随机密钥，用随机密钥加密数据不可否认：发送方和接收方的不可否认PKI中的证书证书格式X.509CA层次结构证书发放机制证书验证机制证书注销机制复习：信息安全基础(五)SSL/TLS协议，协议栈分为两层底层：TLS记录协议上层：TLS握手协议、TLS密码变化协议、TLS警告协议TLS记录协议建立在可靠的传输协议(如TCP)之上它提供连接安全性，有两个特点保密性，使用了对称加密算法完整性，使用HMAC算法用来封装高层的协议TLS握手协议，完整过程需要13个消息，最少6个消息客户和服务器之间相互认证，利用证书协商加密算法和密钥四个阶段：hello，服务器认证，客户认证，结束针对SSL/TLS的攻击TLS在Web应用中一种双向认证模型单向TLS认证+客户提供“用户名+口令”复习：信息安全基础(六)访问控制模型：ReferenceMonitor访问控制策略访问矩阵基于规则的访问控制基于身份的访问控制基于角色的访问控制一般化的访问控制机制复习：网络安全(一)防火墙(firewall)，一些原则对于一个网络来说，所有通过“内部”和“外部”的网络流量都要经过防火墙通过一些安全策略，来保证只有经过授权的流量才可以通过防火墙防火墙本身必须建立在安全操作系统的基础上防火墙的类型包过滤路由器应用层网关电路层网关包过滤防火墙缺省策略包过滤规则：实际上是一种网络的访问控制机制优缺点Linux内核中的包过滤应用层网关防火墙配置复习：网络安全(二)网络监听共享式网络、以太网卡的混杂模式监听原理UNIX：Packetsocket一个通用的接口库libpcapWindows平台，通过增加驱动程序或者网络组件抓包WinPcap：通用的抓包工具抓包的性能考虑：从内核到用户态的数据传递相关的技术如何检查处于混杂模式的节点在交换式网络上监听数据包发送数据包LibnetWinPcap复习：网络安全(三)P2DR安全模型网络安全定义：Pt>Dt+RtIDS(IntrusionDetectionSystem)入侵检测系统的实现过程信息收集模式分析入侵检测系统分类基于主机、网络、内核、应用入侵检测系统用到的一些技术异常检测误用检测实用的IDS:snort入侵检测系统的研究和发展神经网络在IDS中的研究与应用STAT：用有限状态机来表示入侵过程复习：网络安全(四)信息收集技术whois通过nslookup查找DNS中的信息ping&traceroute扫描技术端口扫描器端口扫描技术TCP/IP连接建立过程，TCP/IP协议实现特点操作系统辨识利用某些TCP服务的提示信息TCP/IP栈指纹nmap复习：网络安全(五)欺骗IP欺骗假冒他人的IP地址发送信息邮件欺骗假冒他人的email地址发送信息Web欺骗服务器端欺骗，使用类似的域名改写页面Web会话劫持TCP会话劫持积极攻击，接管会话拒绝服务技术和原理都非常简单，并且已经工具化难以防范典型的DoS：SYNFlood、Smurf复习：网络安全(六)缓冲区溢出原理栈溢出(stackoverflow)堆溢出(heapoverflow)Windows平台的Bufferoverflows编写Windows平台下的(远程)shellcode难点：如何调用系统API函数Shellcode如何获得执行权Linux平台的Bufferoverflows编写Linux平台下的shellcode发掘程序的bufferoverflows漏洞：猜测返回地址缓冲区溢出的典型例子缓冲区溢出的对策复习：网络安全(七)后门后门是指攻击者再次进入网络或者系统而不被发现的通道后门技术是系统相关的UNIX/LINUX下的后门Windows下的后门隐藏痕迹了解Linux的日志文件了解Windows的日志文件复习：Windows系统安全Windows安全结构包括Windows环境下许多与安全有关的概念LSA(LocalSe