网络安全 课件 第13、14章 病毒防御技术、计算机安全技术_第1页
网络安全 课件 第13、14章 病毒防御技术、计算机安全技术_第2页
网络安全 课件 第13、14章 病毒防御技术、计算机安全技术_第3页
网络安全 课件 第13、14章 病毒防御技术、计算机安全技术_第4页
网络安全 课件 第13、14章 病毒防御技术、计算机安全技术_第5页
已阅读5页，还剩92页未读， 继续免费阅读

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

网络安全第十三章第13章病毒防御技术本章主要内容病毒作用过程；基于主机防御技术；基于网络防御技术。13.1病毒作用过程本讲主要内容病毒存在形式；病毒植入方式；病毒隐藏和运行；病毒感染和传播；病毒破坏过程；病毒作用过程实例。一、病毒存在形式病毒可以是一段寄生在其他程序和文件中的恶意代码，也可以是一个完整的程序。寄生病毒脚本病毒宏病毒PE病毒非寄生病毒

二、病毒植入方式对于寄生病毒，病毒植入是指将包含病毒的宿主程序或宿主文件传输到主机系统中的过程。对于非寄生病毒，病毒植入是指将独立、完整的病毒程序传输到主机系统中的过程。移动媒体访问网页下载实用程序下载和复制Office文档邮件附件黑客上传蠕虫蔓延

三、病毒隐藏和运行1．病毒首次运行过程（1）U盘AutoRun病毒修改U盘的AutoRun.inf文件，将病毒程序作为双击U盘后执行的程序。如果已经启动Windows的自动播放功能，当用户打开该U盘时，首先执行病毒程序。（2）宏病毒用Office软件打开包含宏病毒的Office文档时，才能执行包含在Office文档中的宏病毒。（3）脚本病毒当浏览器浏览包含脚本病毒的网页时，浏览器执行包含在网页中的脚本病毒。三、病毒隐藏和运行1．病毒首次运行过程（4）PE病毒人工执行，或者由其他进程调用包含PE病毒的PE格式文件时，才能执行包含在PE格式文件中的PE病毒。（5）蠕虫病毒蠕虫病毒能够自动地将自身植入网络中的其他主机系统，并运行。三、病毒隐藏和运行2．病毒激发机制嵌入BIOS和引导区；病毒程序作为自启动项；修改名字。四、病毒感染和传播病毒每一次运行过程，或是完成感染和传播过程。一般情况下，PE病毒感染PE格式文件，宏病毒感染Office文档，脚本病毒感染HTML文档。蠕虫病毒自动完成传播过程。五、病毒破坏过程设置后门；监控用户操作过程；破坏硬盘信息；破坏BIOS；发起拒绝服务攻击；蠕虫蔓延。六、病毒作用过程实例（1）木马病毒结构及功能木马病毒采用客户/服务器结构，由客户端和服务器端代码组成，激活服务器端代码后，黑客通过启动客户端代码，和服务器端建立连接，并通过客户端对服务器端系统进行操作。六、病毒作用过程实例（2）木马病毒传播及首次激活过程常见的传播木马病毒的途径有以下几种，嵌入用脚本语言编写的木马病毒的HTML文档；以嵌入木马病毒的可执行文件为附件的电子邮件；通过类似缓冲区溢出等漏洞上传并运行木马病毒。六、病毒作用过程实例（3）木马病毒激活机制木马病毒首次激活需要完成下述功能：将木马服务器端代码作为独立的可执行文件存放在攻击目标的文件系统中；修改注册表，将存放木马服务器端代码的路径加入到注册表的自启动项列表中，系统启动过程中，自动激活木马服务器端代码。或者将注册表HKEY_CLASSES_ROOT主键下“txtfile\shell\open\command”的键值由“C:\WINDOWS\NOTEPAD.EXE%1”改为存放木马服务器端代码的路径，只要用户通过双击打开扩展名为txt的文件，首先激活木马服务器端代码。六、病毒作用过程实例（4）实施非法访问建立服务器端与客户端之间的TCP连接后，黑客可以通过客户端对服务器端资源实施非法访问。六、病毒作用过程实例

（1）缓冲区溢出漏洞由于函数B使用缓冲区时没有检测缓冲区边界这一步，当函数B的输入数据超过规定长度时，函数B的缓冲区发生溢出，超过规定长度部分的数据将继续占用其他存储空间，覆盖用于保留函数A的返回地址的存储单元。黑客终端发送给该功能块的数据中包含某段恶意代码，而且，用于覆盖函数A返回地址的数据恰恰是该段恶意代码的入口地址。六、病毒作用过程实例（2）扫描Web服务器确定目标主机是否是Web服务器的方法是尝试建立与目标主机之间目的端口号为80的TCP连接，如果成功建立该TCP连接，表明目标主机是Web服务器。六、病毒作用过程实例（3）获取Web服务器信息向目标主机发送一个错误的HTTP请求消息，目标主机回送的HTTP响应消息中会给出有关目标主机Web服务器的一些信息。

HTTP/1.1400BadRequestServer:Microsoft-IIS/4.0Date:Sat,03Apr199908:42:40GMTContent-Type:text/htmlContent-Length:87

<html><head><title>Error</title></head><body>Theparameterisincorrect.</body></html>六、病毒作用过程实例（4）通过缓冲区溢出植入并运行引导程序一旦确定Web服务器存在缓冲区溢出漏洞，精心设计一个HTTP请求消息，Web服务器将该请求消息读入缓冲区时，导致缓冲区溢出，并运行嵌入在HTTP请求消息中的引导程序。引导程序建立与黑客终端之间的TCP连接（反向TCP连接），从黑客终端下载完整的蠕虫病毒并激活。13.2基于主机防御技术本讲主要内容基于特征的扫描技术；基于线索的扫描技术；基于完整性检测的扫描技术；基于行为的检测技术；基于模拟运行环境的检测技术。一、基于特征的扫描技术通过分析已经发现的病毒，提取出每一种病毒有别于正常代码或文本的病毒特征，并因此建立病毒特征库。然后根据病毒特征库在扫描的文件中进行匹配操作。一、基于特征的扫描技术基于特征的扫描技术主要存在以下问题：由于通过特征匹配来检测病毒，因此无法检测出变形、加密和未知病毒；必须及时更新病毒特征库；由于病毒总是在造成危害后才被发现，因此，它是一种事后补救措施。二、基于线索的扫描技术

基于线索扫描技术通常不是精确匹配特定二进制位流模式或文本模式，而是通过分析可执行文件入口处代码的功能来确定该文件是否感染病毒。三、基于完整性检测的扫描技术对系统中的所有文件计算出对应的报文摘要C，将C存储在某个列表文件中，扫描软件定期地重新计算系统中文件对应的C，并将计算结果和列表中存储的结果进行比较，如果相等，表明文件没有发生改变，如果不相等，表明文件自计算出列表中存储的C以后已经发生改变。为了防止一些精致的病毒能够在感染文件的同时，修改文件的原始报文摘要在计算出某个文件对应的原始报文摘要后，用扫描软件自带的密钥K对报文摘要进行加密运算，然后将密文存储在原始检测码列表中。三、基于完整性检测的扫描技术存在问题基于完整性检测的扫描技术只能检测出文件是否发生改变，并不能确定文件是否被病毒感染；必须在正常修改文件后，重新计算该文件对应的原始检测码，并将其存储在原始检测码列表中，否则，在定期检测过程中扫描软件会对该文件示警；对于系统中需要经常改变的文件，每一次文件改变后，都需要通过用户干预，生成与改变后的文件一致的原始检测码，这种干预可能会使用户感到不便；对于文件在计算初始检测码前已经感染病毒的情况，这种检测技术是无效的。四、基于行为的检测技术当某个用户进程发出修改注册表中自启动项列表，格式化文件系统，删除某个系统文件的操作请求时，可以认为该用户进程正在实施病毒代码要求完成的操作。如果请求中要求的资源访问操作违背为发出请求的用户规定的访问权限，表明该用户进程可能包含病毒代码。四、基于行为的检测技术存在以下缺陷，一是由于在执行过程中检测病毒，检测到病毒时有可能已经执行部分病毒代码，已经执行的这部分病毒代码有可能已经对系统造成危害。二是由于很难区分正常和非正常的资源访问操作，无法为用户精确配置资源访问权限，常常发生漏报和误报病毒的情况。五、基于模拟运行环境的检测技术当基于线索的检测技术怀疑某个可执行文件或文本文件感染病毒时，为了确定该可执行文件或文本文件是否包含病毒，在模拟运行环境中运行该可执行文件或文本文件，并对每一条指令的执行结果进行分析。如果发生某种病毒的操作特征时，确定该可执行文件或文本文件感染病毒。如果直到整个代码仿真执行完成，都没有发生和操作特征库匹配的操作，或违背资源访问原则的资源访问操作，断定该文件没有感染病毒。13.3基于网络防御技术本讲主要内容防火墙；网络入侵检测系统；防毒墙；数字免疫系统。一、防火墙可以通过配置有效的访问控制策略隔断病毒的网络传播途径和木马客户端与服务器端的通信过程。如防火墙配置的访问控制策略只允许内网终端发起访问外网Web服务器的过程。一、防火墙这种情况下，木马服务器端只能发起建立与木马客户端之间目的端口号为80的TCP连接，而且木马服务器端发送给木马客户端的数据必须封装成HTTP请求消息格式，且符合HTTP请求消息要求的语法和语义规范，同样，木马客户端发送给木马服务器端的数据必须封装成HTTP响应消息格式，且符合HTTP响应消息要求的语法和语义规范。一、防火墙一是由WAF对所有进入Web服务器的信息流进行检测，如果发现与对Web服务器实施攻击相关的信息流，WAF将丢弃这些信息流，以此避免黑客将脚本病毒嵌入Web服务器中网页的情况发生。二是由WAF对Web服务器传输给用户终端的文本文件进行检测，一旦发现嵌入脚本病毒的文本文件，立即丢弃该文本文件。二、网络入侵检测系统网络入侵检测系统通过检测流经关键网段的信息流，发现可能存在的蠕虫病毒传播过程，并予以制止。假定每秒允许建立500个与指定Web服务器之间的TCP连接，如果某个单位时间内接收到超过500的请求建立与指定Web服务器之间的TCP连接的请求报文，表明检测到SYN泛洪攻击，探测器丢弃第501个及以后的请求建立与指定Web服务器之间的TCP连接的请求报文。三、防毒墙防毒墙是一种用于防御病毒的网关，能够对流经该网关的HTTP消息、FTP消息、SMTP消息、POP3消息进行深度检测，发现包含在消息中的各种类型的病毒，阻止病毒植入内部网络终端。防毒墙检测病毒时，通常采用基于特征的扫描技术和基于线索的扫描技术，携带病毒特征库，允许在线更新病毒特征库。四、数字免疫系统客户机通过自身的病毒检测软件发现可疑文件，将可疑文件发送给管理机，管理机将可疑文件加密后传输给病毒分析。病毒分析机在模拟运行环境中逐条仿真可疑文件代码，并监控每一条指令的执行结果，分析病毒的感染和破坏机理，形成检测该病毒的行为特征和代码特征，以及基于多种特定扫描技术的检测规则，将这些信息加密处理后发送给各个子网的管理机，管理机解密后，传输给子网内的所有客户机，客户机病毒检测软件根据这些信息及时更新病毒特征库，添加对应的检测规则。网络安全第十四章第14章计算机安全技术本章主要内容计算机安全威胁和安全技术；访问控制；Windows7防火墙；Windows7网络管理和监测命令。14.1计算机安全威胁和安全技术本讲主要内容安全威胁；安全技术。一、安全威胁如图所示的应用环境下，计算机面临以下安全威胁：病毒；黑客；越权访问。二、安全技术基于主机的防御技术：病毒防御技术；个人防火墙；主机入侵检测系统访问控制。14.2访问控制本讲主要内容基本术语；访问控制模型；审计；Windows7访问控制机制。一、基本术语主体（Subject）是指主动的实体，该实体造成了信息的流动和系统状态的改变。客体（Object）是指包含或接受信息的被动实体。对客体的访问意味着对其中所包含的信息的访问。访问是使信息在主体和客体间流动的一种交互方式。访问控制是一种具有以下功能的安全机制，一是能保障授权用户获取所需资源，二是能拒绝非授权用户非法获取资源。身份鉴别一是需要对主体分配唯一标识符，二是主体能够提供证明身份的标识信息，授权是为每一个用户设置访问权限，某个用户的访问权限是指该用户允许访问的客体和允许对客体进行的操作。一、基本术语授权数据库中为每一个用户设置了访问权限，通常由系统管理员为每一个用户分配访问权限。引用监视器根据已经完成身份鉴别过程的用户和授权数据库，确定该用户允许访问的客体和允许对客体进行的操作。访问控制保障该用户只能访问允许访问的客体，且只能对允许访问的客体进行允许进行的操作。审计对用户使用何种信息资源、在何时使用、以及如何使用（执行何种操作）进行记录和分析。二、访问控制模型访问控制模型分类二、访问控制模型访问控制矩阵中的每一行代表一个主体，每一列代表一个客体，行列交叉的单元格给出该行代表的主体允许对该列代表的客体进行的操作。操作操作二、访问控制模型访问控制表（ACL）以客体为中心，为每一个客体分配访问权限。如图所示，客体资源X允许主体用户A进行读、修改和管理等访问操作，允许主体用户C进行读访问操作。每一个客体通过访问控制表可以很方便地确定该客体允许那些主体进行那些访问操作。操作二、访问控制模型访问能力表（ACCL）以主体为中心，为每一个主体分配访问权限。如图所示，主体用户A具有对客体资源X和资源Z进行读、修改和管理等访问操作的访问权限。操作二、访问控制模型访问控制表一般用于对客体集中管理的应用环境，这种应用环境下，可以为每一个客体设置访问控制表。操作二、访问控制模型访问能力表一般用于对客体分布式管理的应用环境，这种应用环境下，如果采用访问控制表实施访问控制过程，用户A访问资源X和资源Z时，需要分别由计算机A和计算机C完成身份鉴别过程。如果采用访问能力表实施访问控制过程，可以由访问控制主机统一完成身份鉴别过程。操作二、访问控制模型

在强制访问控制中，每一个主体和客体赋予一个安全级别。安全级别通常分为绝密级（T）、秘密级（S）、机密级（C）、限制级（R）和无密级（U）。这些安全级别之间满足以下关系：T＞S＞C＞R＞U，T＞S表示绝密级高于秘密级。强制访问控制根据主体和客体的安全级别决定以下访问模式。向下读（RD）当主体安全级别高于客体安全级别时，允许主体对客体进行读操作。向上读（RU）当主体安全级别低于客体安全级别时，允许主体对客体进行读操作。向下写（WD）当主体安全级别高于客体安全级别时，允许主体对客体进行写操作。向上写（WU）当主体安全级别低于客体安全级别时，允许主体对客体进行写操作。操作二、访问控制模型Bell-LaPadula模型简称为BLP模型，BLP模型的访问原则是不上读/不下写，以此保证数据的保密性。不上读意味着只有当主体安全级别高于等于客体安全级别时，才允许主体对客体进行读操作。不下写意味着只有当主体安全级别低于等于客体安全级别时，才允许主体对客体进行写操作。二、访问控制模型Biba模型的访问原则是不下读/不上写，以此保证数据的完整性。不下读意味着只有当主体安全级别低于等于客体安全级别时，才允许主体对客体进行读操作。不上写意味着只有当主体安全级别高于等于客体安全级别时，才允许主体对客体进行写操作。二、访问控制模型如果客体所有权是企业，不应该基于用户，而是应该基于企业中的职务分配客体访问权限。角色指个体在特定的社会关系中的身份及由此而规定的行为规范和行为模式的总和。具体地说，就是个人在特定的社会环境中相应的社会身份和社会地位，并按照一定的社会期望，运用一定权力来履行相应社会职责的行为。访问控制模型中的角色用一组对客体的访问操作来描述行为，这组访问操作是管理员分配给角色的权限。三、审计日志是记录的事件或统计数据，这些事件或统计数据能提供关于系统使用及性能方面的信息。审计是对日志的分析，并以清晰的、能理解的方式表述分析结果。审计使得系统分析员可以评审资源的使用模式，以便评价保护机制的有效性。一个审计系统通常由日志记录器、分析器和通告器三部分组成。这三部分分别用于收集数据、分析数据和通告结果。三、审计日志记录器以二进制或可读的形式记录事件或统计数据。日志通常记录与以下活动有关的事件。用于检测已知攻击模式；用于检测异常行为和异常信息流。对于每一个事件，日志记录以下信息：事件发生的日期和时间，引发事件的用户，事件源的位置，事件类型，事件成败等。三、审计分析器以日志数据为输入，完成以下分析过程。潜在侵害分析。可以事先为分析器制定一些规则，这些规则描述了发生入侵时的事件模式，一旦分析器在日志记录的事件中，发现与规则匹配的事件模式，意味着系统存在入侵的可能性。异常分析。分析器可以通过阈值和规则描述用户的正常行为，一旦日志记录的与某个用户有关的统计数据与描述该用户正常行为的阈值相差甚远，可以确定该用户的行为异常。入侵行为分析。分析器可以加载入侵特征库，入侵特征库中给出已知入侵的事件模式，一旦日志记录的事件与入侵特征库中某个已知攻击的事件模式匹配，确定系统发生该入侵行为。三、审计通告器把分析器的分析结果，以清晰的、能理解的方式通告给系统管理员和其他实体。四、Windows7访问控制机制

Windows7采用访问控制表（ACL）机制实现资源访问控制过程，一是通过创建账户来创建用户，二是基于资源为每一个用户分配权限。14.3Windows7防火墙本讲主要内容入站规则和出站规则；Windows7防火墙配置实例；一、入站规则和出站规则会话是两个运行在不同终端上的进程之间的数据交换过程。目前常见的会话有TCP连接，UDP会话和ICMPECHO请求、响应过程。一、入站规则和出站规则对于TCP连接，会话分为三个阶段，一是TCP连接建立阶段，二是数据传输阶段，三是TCP连接释放阶段。通过TCP连接建立过程创建会话，并用两端插口唯一标识创建的会话，插口由标识终端的32位IP地址和标识进程的16位端口号组成。创建会话后，所有两端插口与标识该会话的两端插口相同的TCP报文都是属于该会话的TCP报文。通过TCP连接释放过程删除会话。一、入站规则和出站规则对于UDP会话，传输第一个UDP报文时创建UDP会话，并用该UDP报文的两端插口唯一标识该UDP会话，所有两端插口与标识该UDP会话的两端插口相同的UDP报文都是属于该会话的UDP报文。如果规定时间内，一直没有传输两端插口与标识该UDP会话的两端插口相同的UDP报文，删除该UDP会话。一、入站规则和出站规则对于ICMPECHO请求、响应过程，一次ICMPECHO请求、响应过程属于一个会话，会话用ICMPECHO报文两端IP地址和序号（或标识符）唯一标识。一、入站规则和出站规则对于TCP连接，会话发起方是发送请求建立TCP连接的请求报文的一方，响应方是发送同意建立TCP连接的响应报文的一方。对于UDP报文，会话发起方是发送创建UDP会话的第一个UDP报文的一方，响应方是接收创建UDP会话的第一个UDP报文的一方。对于ICMPECHO请求、响应过程，会话发起方是发送ICMPECHO请求报文的一方，响应方是发送对应的ICMPECHO响应报文的一方。一、入站规则和出站规则

个人防火墙的核心功能是阻止会话建立。对于会话发起方，阻止会话建立的方法是禁止输出会话发起方发送的用于创建会话的报文。对于会话响应方，阻止会话建立的方法是禁止输入会话发起方发送的用于创建会话的报文。一、入站规则和出站规则入站规则用于禁止输入，或允许输入会话发起方发送的用于创建会话的报文。远程IP地址：远程端口号：任意协议类型：TCP本地程序：360安全卫士禁止或允许连接：允许连接一、入站规则和出站规则出站规则用于禁止输出，或允许输出会话发起方发送的用于创建会话的报文。远程IP地址：远程端口号：80、443协议类型：TCP本地程序：InternetExplorer禁止或允许连接：禁止连接二、Windows7防火墙配置实例Windows7防火墙是操作系统Windows7自带的个人防火墙，通过设置入站规则禁止或允许外部终端发起建立与该计算机中某个进程之间的会话。通过设置出站规则禁止或允许该计算机中某个进程发起建立与外部终端之间的会话。二、Windows7防火墙配置实例禁止用户通过InternetExplorer访问百度网站的出站规则如下。远程IP地址：4、3和2远程端口号：所有协议类型：任何本地程序：InternetExplorer禁止或允许连接：禁止连接14.4Windows7网络管理和监测命令本讲主要内容Ping；Tracert；Ipconfig；Arp；Nslookup；Route；Netstat。一、Pingping命令用于检测两个终端之间的连通性一、Pingping目标主机地址或域名可以携带以下参数。-t：一直进行ICMPECHO请求、响应过程，直到输入ctrl+c键。-ncount：将ICMPECHO请求、响应过程进行整数count指定的次数。-llength：发送长度由整数length指定的ICMPECHO请求报文，长度默认值是32B。-ittl：将封装ICMPECHO请求报文的IP分组的TTL字段值设置为由整数ttl指定的值。一、Ping一、Ping黑客常常通过ping命令进行主机扫描，确定攻击目标是否在线，黑客终端与攻击目标之间是否存在传输通路。因此，为安全起见，终端最好通过设置防火墙，关闭ICMPECHO响应功能。二、tracert终端A首先将ICMPECHO请求报文封装成TTL=1的IP分组。该IP分组传输到第一跳路由器R1时，TTL值减为0，路由器R1向终端A发送一个超时报文。终端A随后将ICMPECHO请求报文封装成TTL=2的IP分组。该IP分组到达第二跳路由器R2时，TTL值减为0，第二跳路由器R2向终端A发送超时报文。该过程一直进行。二、tracert

tracert目标主机地址或域名可以携带以下参数。-d：只列出经过的路由器接口和目标主机的IP地址，不给出这些路由器和目标主机的名字。-h

maximum_hops：指定经过的最大跳数，整数maximum_hops是最大跳数。

-j

host-list：通过指定经过的路由器接口列表，指定源终端至目的终端的传输路径。二、tracert二、tracert黑客常常用tracert命令了解黑客终端与攻击目标之间的传输路径，了解网络拓扑结构。因此，与执行tracert命令相关的TTL字段值不断递增的ICMPECHO请求报文也是网络入侵检测系统需要监测的信息流类型。三、ipconfigipconfig可以携带以下参数。/all

：显示完整信息。/renew：为所有网卡重新动态分配IP地址

。/release：释放为所有网卡分配的动态IP地址。/flushdns：清空本地dns缓冲区。/displaydns：显示本地dns缓冲区内容。三、ipconfig四、arp终端A在以太网中广播ARP请求报文，请求报文中给出终端A的IP地址、MAC地址和终端B的IP地址。终端B接收到终端A的ARP请求报文后，将终端A的IP地址和MAC地址记录在ARP缓冲区中，同时通过ARP响应报文向终端A发送自己的IP地址和MAC地址。终端A接收到终端B发送的ARP响应报文后，将终端B的IP地址和MAC地址记录在ARP缓冲区中。四、arparp需要携带以下其中一个参数。-a：显示本地ARP缓冲区内容。-d：删除本地ARP缓冲区内容。-s：在本地ARP缓冲区中建立IP地址与MAC地址之间的静态绑定关系。参数为-s的命令格式如下。

arp–sip地址mac地址四、arp四、arpARP欺骗攻击的目的是在终端

人人文库> 全部分类> 教育资料 > 课件下载

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论