计算机系统与网络安全技术（第2版）-课件 1-9 信息对抗

信息对抗技术-计算机取证计算机系统与网络安全技术本讲主要内容什么是信息对抗1电子对抗2网络对抗3网络空间安全技术展望5信息对抗技术信息战4信息对抗技术第一部分：什么是信息对抗信息对抗技术

信息对抗：破坏对方信息系统,保障已方信息系统的所有行动。涉及领域举例国防金融贸易交通信息对抗技术1942年的中途岛战役，是美国海军以少胜多的著名战役信息对抗案例——中途岛战役中途岛日本航母“加贺”号下沉信息对抗目的信息对抗技术对抗一方在一定的时空范围内对电磁频谱的控制权对抗一方在一定时间对一定空间的控制权对抗一方在一定时间对一定海区的控制权对网络的控制权，包括网络的使用权、控制网络舆论导向等方面信息对抗的类型信息对抗技术电子对抗1网络对抗2信息对抗技术第二部分：电子对抗信息对抗技术主要类型

电子对抗：利用电磁能量，确定、利用、削弱或阻止敌方使用电磁频谱，同时保障己方有效使用电磁频谱而采取的行动。雷达对抗通信对抗光电对抗信息对抗技术举例雷达为飞机导航雷达对抗实验仪雷达显示屏工作状态信息对抗技术举例移动通信干扰器无人机通信对抗系统通信侦察船海洋监视卫星信息对抗技术举例激光发射器激光致盲系统红外干扰弹伊拉克早期预警雷达覆盖区域信息对抗技术电子对抗案例——海湾战争信息对抗技术第三部分：网络对抗信息对抗技术

网络对抗：综合利用己方网络系统和手段，有效地与对方的网络系统相对抗。举例网络入侵拒绝服务攻击计算机病毒信息对抗技术目的举例获取被入侵系统上一个帐号（通常为特权帐号）的访问权限篡改被入侵系统上的数据……信息对抗技术网络对抗案例——黑客入侵实验ABC公司的挑战者XYZ公司的职员1996年ABC（WG）公司进行实验，入侵一个名为XYZ的财富500强公司的计算机系统。ABC公司的挑战者通过电子邮件试探、网络扫描、口令猜测等方法，成功入侵XYZ公司内部计算机，获得机器上的管理员(root)权限。信息对抗技术举例1991年，在海湾战争开战前数周，美国特工买通了某国际机场的工作人员，用带有病毒的芯片替换了运往伊拉克的打印机芯片，美国国通过激发病毒使得伊拉克国防空系统使用的打印机不能正常工作。信息对抗技术举例辅助完成特权提升锁定系统帐户作为敲诈的手段目的举例网络对抗的特点信息对抗技术没有国界行动隐蔽多种实施途径依赖高技术对抗结果难以估计12345网络对抗技术类型信息对抗技术网络侦查技术信息对抗技术网络侦查技术的特点信息对抗技术充分利用信息网络有针对、全方位拦截信息确保对抗中获得主动权123网络攻击技术手段信息对抗技术黑客入侵网络对目标网络拒绝服务攻击传播计算机病毒电磁干扰目标网络物理破坏目标网络网络攻击的实质和目标信息对抗技术高级持续性威胁：APT信息对抗技术高级持续性威胁：APT（AdvancedPersistentThreat）概念：利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。APT可能是国与国、组织与组织的对抗，针对的均是总要系统、基础设施或大型企业等领域高级性：在APT在发动攻击之前需要对攻击对象的业务流程和目标系统进行精确的收集。APT攻击者主动挖掘被攻击对象系统和应用程序漏洞潜伏性：攻击和威胁可能在用户环境中长时间存在，不断收集各种信息，直到收集到重要情报。发动APT攻击的目的往往不是为了在短时间内获利持续性：攻击者不断尝试的各种攻击手段，以及渗透到网络内部后长期蛰伏锁定目标：针对特定目标，长期进行有计划、有组织性的攻击高级持续性威胁：APT信息对抗技术“震网”:Stuxnet针对微软系统以及西门子工业系统的病毒传播途径：该病毒主要通过U盘和局域网进行传播曾造成伊朗核电站推迟发电。高级持续性威胁：APT信息对抗技术APT的危害高破坏性可能针对国防基础设施：震网病毒高目的性政府、金融、证券、电力等基础设施高隐蔽性可以长达多年，难以发现高级持续性威胁：APT信息对抗技术Duqu2.0：成功攻入卡巴斯基公司内网的APT攻击2015年6月卡巴斯基（Kaspersky）通过博客和新闻稿承认，在今年早些时候的安全检查中，一款新的原型反APT系统发现公司内部系统被非常高明的攻击入侵。巴斯基经过大调查，发现这是又一次精心组织、精密实施的APT攻击，只有国家支持的团队才有能力做到他们明确指认幕后黑手就是2011年名噪一时的Duqu背后组织。因此卡巴斯基将此次攻击命名为Duqu2.0。攻击的目标是卡巴斯基的知识产权（技术、研究和内部流程），而不是其用户数据，也没有盈利企图。赛门铁克发表报告称，Duqu2.0除卡巴斯基之外，也影响了欧洲和北非各一家电信运营商，一家东南亚电子设备厂商，还有美国、英国、瑞典、印度和中国香港的企业。Duqu被很多安全专家认为与攻击伊朗核设施（也影响了印尼、印度和美国等国）的Stuxnet关系密切。开发成本估计达到5000万美元。高级持续性威胁：APT信息对抗技术Duqu2.0：成功攻入卡巴斯基公司内网的APT攻击Duqu最早出现在2011年9月，是继Stuxnet蠕虫后最为恶性的一种可窃取信息的蠕虫大多数Duqu出现在工控系统中代码分析还显示Duqu可能有4年历史，它载入的一个驱动的编译时间是2007年被用来收集与其攻击目标有关的各种情报Duqu被很多安全专家认为与攻击伊朗核设施（也影响了印尼、印度和美国等国）的Stuxnet关系密切高级持续性威胁：APT信息对抗技术Duqu2.0：成功攻入卡巴斯基公司内网的APT恶意代码只驻留在被感染机器的内存里，硬盘里不留痕迹，某台机器重启是恶意代码会被短暂清洗，但只要它还会连上内部网络，恶意代码就会从另一台感染机器传过来。这一手法是前所未见的。恶意代码利用了一个Windows内核的0day漏洞。Duqu2.0执行恶意代码的方式也很妙，使用WindowsInstaller的MSI安装包加载恶意代码所需的资源并解密，再将执行权限交给内存中的代码，这样反病毒产品也很容易被骗过。唯一在硬盘中存在的是与互联网相连的网络服务器上的一些Windows设备驱动程序当网络里Duqu2.0都被清洗时，攻击者还可以通过向这些服务器发送魔术字符串，让设备驱动程序重新下载Duqu主引擎，再次感染网络。因此想要完全清除Duqu2.0，必须所有机器同时断电同时重启，而且在重启前还要找到哪些机器上有恶意驱动程序，将它们删掉。高级持续性威胁：APT信息对抗技术Duqu2.0：成功攻入卡巴斯基公司内网的APT“海莲花”针对中国的APT信息对抗技术2015年5月360“天眼”实验室披露“海莲花”（OceanLotus）针对中国的国家级黑客攻击自2012年4月起，“海莲花”针对中国的海事机构、海域建设部门、科研院所和航运企业，展开了精密组织的网络攻击是一个有国外政府支持的APT（高级持续性威胁）行动。海莲花攻击的主要方式有“鱼叉攻击”和“水坑攻击”。“鱼叉攻击”：将木马程序作为电子邮件的附件，并起上一个极具诱惑力的名称，发送给目标电脑，诱使受害者打开附件，从而感染木马。“水坑攻击”：是在受害者必经之路设置了“水坑（陷阱）”。最常见的做法是，黑客分析攻击目标的上网活动规律，寻找攻击目标经常访问的网站的弱点将此网站“攻破”并植入攻击代码一旦攻击目标访问该网站就会“中招”“海莲花”针对中国的APT信息对抗技术“海莲花”针对中国的APT信息对抗技术0day攻击信息对抗技术0day通常是指还没有补丁的漏洞0day攻击则是指