cisp资料2014年课件cisp0206应用安全

1、 应用安全培训机构讲师名称 课程内容操作系统与数据库安全数据库安全基础数据库运行安全防护数据库安全应用安全防护概念应用安全概述应用安全Web安全基础及安全配置Web安全防护设备常用互联网服务安全桌面应用安全保护网络应用安全知识体知识域知识子域2 知识域：数据库安全v 知识子域：数据库安全基础了解数据库基本概念和主要功能理解构化查询语言SQL功能 了解数据库安全特性和安全功能理解数据库“视图”的安全功能理解数据库完整性要求和备份恢复概念3 数据库概念v 长期储存在计算机内的，有组织的，可共享的数据集合。 v 数据库是由一个互相关联的数据的集合和一组用以访问这些数据的程序组成。 图书馆图书管理员用

2、户请求4 数据库管理系统概念v 定义：如何地组织和存储数据库中的数据，如何有效地获取和维护这些数据。完成这个任务的程序(软件)叫数据库管理系统（DataBase ManagementSystem）Database程序数据库用户请求 在数据库建立、运行和维护时对数据库进行统一控制 在多用户同时使用数据库时进行并发控制 在发生故障后对数据库进行恢复5DBMS 数据库系统关系应用系统最终用户应用开发工具DBMS 应用程序员操作系统数据库 数据库管理员 DBA 6 关系型数据库系统特点v 数据结构化和共享性库、表、字段 结构化查询语言（SQL）v 数据独立性物理独立性逻辑独立性v 数据的完整性约束实体

3、完整性（通过主键约束条件） 参照完整性（通过主外键约束条件） 用户自定义完整性（通过CHECK子句）v 数据由DBMS统一管理和控制查询引擎、事务控制、数据存储模块/组件7 结构化查询语言SQLv SQL语句格式 基本语句约30条。每条语句都请求DBMS完成一个动作动词表名子句表达式DELETEFROMsalesrepsWHERESales 20000.00关键字列名常数8 结构化查询语言SQLv SQL语言分类9SQL功能操作符数据定义CREATE，DROP，ALTER数据查询SELECT数据操纵INSERT，UPDATE，DELETE数据控制GRANT，REVOKE，DENY事务控制BEG

4、IN， COMMIT，ROLLBACK嵌入式/服务器端编程DECLARE,EXPLAIN,OPEN,FETCH,CL OSE,PREPARE,EXECUTE,DESCRIBE 数据库安全问题v 数据库问题执行不正确的修改操作（插入、删除、更新等）；数据库的一致性、完整性被破坏 数据库内的垃圾堆积，使数据库不可用非法用户对数据库的访问 10 数据库安全概念v 数据库安全特性性完整性可用性v 数据库安全防护数据库管理系统自身安全特性 数据安全性、数据完整性、并发控制、故障恢复等数据库管理系统运行安全 运行平台的参数配置、各种支撑软件的漏洞修补、用户安全域防护等 11 数据库自身主要安全功能v 用户

5、标识与鉴别v 访问控制 v 数据加密 v 数据库审计 12 用户标识与鉴别v 用户鉴别操作系统数据库第三方 帐户锁定策略口令历史管理策略设置用户口令有效期与宽限期管理策略自定义口令策略验证CREATE USER userIDENTIFIED BY password|EXTERNALLYDEFAULT TABLESPACE tablespace13 访问控制v 设置用户对不同的数据对象允许的操作权限 系统权限 数据库实例级或数据库级范围 修改实例参数（ALTER SYSTEM）、创建表（CREATE ANY TABLE） 模式权限（数据库对象权限） 特定数据库对象（表、视图等）的操纵权限 增、删

6、、改、查、执行等 数据对象权限 记录级授权控制能力 视图、标签、安全上下文等机制 14 授权访问v 直接授权 利用GRANT命令直接为用户授权； v 间接授权 先将权限授予角色/用户组，然后再将角色授予用 户或指定用户所属的组 定义用户权限薪酬职员用户发出操作请求福利权限薪酬权限15薪酬角色福利角色招聘职员人事主管用户权限授权规则 登记DD合法权限检查 DBMS的存取控制子系统 数据加密v 数据传输加密 不加密，数据在网络传输的是明文 加密数据库的网络通讯 v 数据存储加密 数据元素加密、记录加密、属性（字段）加密、表加密 OS层加密、DBMS内核层加密、DBMS外层加密 16 数据库审计v

7、审计策略审计用户、SQL语句或数据库对象 语句执行情况 成功的、不成功的或二者都包括的语句执行 v 审计信息访问数据库应用程序、位置及用户信息，包括用户操作、操 作日期与时间、操作涉及的相关数据、操作是否成功等 v 审计层次系统级、用户级、对象级等 17 数据库安全机制v 数据保密性机制 视图 v 数据完整性机制数据数据库触发器完整性约束条件完整性约束事务处理 触发器 应用程序表数据、索引数据、18 数据库保密性机制-视图v 什么是视图虚表：从一个或几个基本表（或视图）导出物理上并不存在，只是在定义中 EMPVU10EMPNO ENAME- -7839 KING7782 CLARK7934 M

8、ILLE19EMPNO ENAMEJOBMGR HIREDATESAL COMM DEPTNO- - - - - 7839 KINGPRESIDENT17-NOV-815000107782 CLARKMANAGER7839 09-JUN-811500300107934 MILLERCLERK7782 23-JAN-82130010视图 7566 JONESMANAGER7839 02-APR-81297520JOB-7-78-8-S-C-O-T-T- ANALYST7566 09-DEC-823000 20PRESIDENT787M6AN AGDEARMSCLERK7788 12-JAN-83

9、1100 20RCLERK7369 SMITHCLERK7902 17-DEC-80800207902 FORDANALYST7566 03-DEC-813000207698 BLAKEMANAGER7839 01-MAY-812850307654 MARTINSALESMAN 7698 28-SEP-811250 1400307499 ALLENSALESMAN 7698 20-FEB-811600300307844 TURNERSALESMAN 7698 08-SEP-8115000307900 JAMESCLERK7698 03-DEC-81950307521 WARDSALESMAN

10、7698 22-FEB-81125050030 视图的定义和作用v 视图的SQL定义 数据库中一个存储的查询定义。view 视图名称(列名，列名 ) create as （查询表达式）with check option CONSTRAINT constraint v 视图的优点个性化服务：简化了用户观点，使不同用户可以从不同角度观察同一数据。 安全性：“知必所需”，限制用户数据的访问范围。逻辑独立性：视图作为基本表与外模式之间的映象。20 基于视图的安全v 数据安全 限制对敏感数据的访问：只集中于合适的数据 简化用户的权限管理：通过视图让用户查询数据，保护基表设计中的更改 Contextv 授

11、权控制parameters21CREATE AUTHORIZATION VIEW PatientsForDoctors AS SELECT Patient.*FROM Patient, DoctorWHERE Patient.doctorID = Doctor.ID andDoctor.login = %currentUser 数据库完整性约束v 完整性约束完整性约束条件 实体完整性（PRIMARY 参照完整性（FOREIGNKEY定义，唯一、不为空）KEY定义，关联） 用户定义完整性（生成时定义，非空、唯一、布尔）完整性检查 违约处理机制 22 数据库事务处理v “事务管理”对于数据完整性保

12、护 事务定义例如银行转帐 事务是由一系列操作序列构成的程序执行单元，这些操作要么都做，要么都不做，是一个不可分割的工作单位。 事务与数据库一致性关系处于一致性在事务执行过程中数据库的数据可能不一致处于一致性状态的数据库状态的数据库End Transaction事务执行过程Begin Transaction23 数据库触发器v 一种特殊存储过程，特定发生时自动执行 触发器是自动执行 触发器比约束定义更复杂的约束，例如更复杂的处理逻辑 触发器可以对另外一个表进行操作 24 数据库备份与恢复v 备份：数据冗余技术 数据转储 日志文件 v 恢复：从冗余数据中实施数据库恢复 事务故障的恢复系统故障的恢复

13、介质故障的恢复25 知识域：数据库安全v 知识子域：数据库运行安全防护 理解数据库威胁与防护特点 理解数据库事前安全防护、事中安全监控以及事后安全审计的方法 26 数据库面临安全威胁v 过度的v 合法的 不健全的审计 不健全的验证 平台漏洞数据泄露 提升v数据库软件漏洞 安全策略 v 平台及数据库漏洞v SQL注入v 不健全的审计v 拒绝服务攻击v 数据库通信协议漏洞v 不健全的认证v 数据泄露远程攻击 权限管理 SQL注入 拒绝服务攻击 过度的 合法的 提升 27 数据库安全防护v层层设防：防护体系建设DBMS选件事务引擎安全边界查询引擎各种应用DBSQL请求DBMS存取控制用户标识与鉴别数

14、据加密审计追踪28 数据库安全防护数据数据库安全网络安全/ 操作系统安全应用系统安全物理安全29 数据库安全防护v 检查、监控、审计30应用程序 应用服务器 事 中SQL请求 访问监控返回结果 监 控 数据库服务器 数据库漏 事洞检测 前 （自动化检查） 检数据文件 日志文件 配置文件 查 运行环境 安全检测操作系统 （半自动化检查） 硬件环境 事后审 计审计日志文件 数据库安全防护v 事前检测:安全特性检测配置检测策略知识库制定检测策略策略专家检测人员扫描数据库服务 审计报告服务扫描外部渗透性测试 生成一份详细的审计报告 检测引擎从策略库中选择检测策略 漏洞利用渗透测试进行全面的安全审计扫描

15、 分析审计结果，设计漏洞利用方式 安全审计31 数据库安全防护v 事中运行监控:数据库运行安全监控 外部用户互联网32WEB服务器应用服务器数据库服务器机群监视器 Oracle 数据库活DB2 动分析器镜像端口 （SPAN） 镜像（SPAN）端口 财务管理人事管理销售管理 数据库安全特性检查v 数据库最佳实践 数据库安全漏洞 美国国防部、国防信息系统中心等研究机构给出的主流数据库安全配置指南 v 数据库厂商提供的安全指南 Oracle/Sqlserver/MySQLv 数据库安全特性检查工具 美国应用安全公司的App Detective 英国下一代软件公司的NGS SQuirrel 33www

16、./snac 数据库安全特性检查v 安全配置 v 补丁 v 协议（端口、传输协议）v 账号 v 用户名及v 口令策略 v 权限 v 存储过程 v 触发器 v 备份 34 知识域：应用安全概述v 知识子域：应用安全防护概念 了解常见应用安全威胁 了解常见应用安全防护的主要模型35 应用系统体系架构Web应用 （IIS、Apache） 中间件 FTP SMTP/POP3 应用客户端浏览器 （IE、Firefox） Email客户端FTP客户端 应用传输协议HTTP FTP SMTP/POP3 ORACLE DB2 MySQL SQL server 数据库服务器应用服务器终端用户36

17、应用安全问题攻击者通过正常的应用层信息访问通道，通过了多层、操作系统加固的安全防护，直接攻击应用系统并进而攻击系统服务器资源 37 常见应用安全威胁v 非法登录 v 越权访问 v 非法纂改 v 责任不明 v 拒绝服务攻击v 缓冲区溢出 v 竞争状态 v 口令破解 38 应用安全防护模型v OSI通信协议应用安全防护模型 v OSI安全层次对照表 v 等级保护规范应用安全防护控制点 39安全服务应用层对等实体鉴别 访问控制 数据保密 数据完整性 信息流安全 数据源点鉴别 禁止否认 应用系统常用安全防范手段病毒侵害程序补丁管理账户访问权限应用安全安全策略审计机制40 知识域：网络应用安全v 知识子

18、域：Web安全基础及安全配置 理解Web工作机制及Web应用安全问题产生的原因 了解常见Web应用安全威胁，理解注入攻击和跨站脚本攻击特点和 了解Web应用程序开发编码安全要点了解IIS和Apache的安全配置要点 了解浏览器上网安全威胁和IE安全配置方法 41 Web工作机制v 什么是WEB WideWeb），是一个由许多互网（World相链接的超文本文档组成的系统。 v Web的重要概念 资源:web系统中对象称为资源 URI：统一资源标识符，用于标识一个资源(HTML文档、图像、视频片段、程序) URL:统一资源定位符（URI的一个子集） HTTP：超文本传输协议，用于传输资源，使用者通

19、过http来获得资源 v WEB应用越来越广泛42 超文本传输协议v 什么是超文本传输协议（HTTP）一种通信协议 使用超文本标记语言送到客户端 (HTML)将资源从服务器传v 超文本传输协议特点 请求、响应模式 协议简单，客户端只需传输请求方法和路径无连接（一个请求一个连接，完成后断开）无状态 43 HTTP协议工作过程请求（Requests）v HTTP 一个HTTP请求包含三个部分：v HTTP方法，URL，协议/版本（Method-URI-Protocol/Version）请求包头(Request headers) 实体包（Entity body） 响应（Responses） 一个HT

20、TP响应也包含三个部分code-Description）协议状态代码描叙（Protocol-Status响应包头（Response headers） 实体包（Entity body） 44 HTTP协议工作过程v HTTP请求范例： POST /servlet/default.JSP HTTP/1.1 Accept: text/plain; text/HTML Accept-Language: en-gb Connection: Keep-Alive Host: localhost Referer: http:/localhost/ch0/SendDetails.htm User-Agent:

21、 Mozilla/4.0 (compatible; MSIE 4.01; Content-Length: 33 Content-Type: application/x-www-form-urlencoded Accept-Encoding: gzip, deflate LastName=Franks&FirstName=Michael Windows98)45 HTTP协议工作过程-响应范例HTTP响应范例：第一行的响应包头和请求包头很相似。第一行说明协议是使HTTP/1.1 200 OKServer: Microsoft-IIS/6.0 Date: Mon, 3 Jan 2010 13:13

22、:33 Content-Type: text/HTML 用的HTTP1.1，响应请求已成功(200表示成功),一切已OK。 GMT11Jan201013:23:42GMTLast-Modified: Mon,Content-Length: 112WelcometoCISP.46响应包头和请求包头相似，也包含一些有用的信息。响应的实体是HTML那一部分的内容。包头和实体也都是被CRLF序列分离开的 Web服务常见威胁v 网络层面 拒绝服务、电子欺骗、嗅探v 系统层面 Web服务漏洞、配置错误 v 应用层面 代码缺陷（SQL注入、XSS）信息泄露电子欺骗 钓鱼、流程缺陷 47 常见Web应用安全威

23、胁（一）v 注入攻击Injection WEB应用程序对用户输入数据的对用户输入过滤不足 SQL注入和命令注入 判断不够，v 跨站脚本攻击CrossSiteScripting，XSS恶意攻击者往Web页面里插入恶意代码，当其他用 户浏览该页之时，嵌入其中的恶意代码会被执行， 从而达到恶意攻击用户的特殊目的 48 常见Web应用安全威胁（二）v 失效的验证和会话管理v 不安全的对象直接引用v 跨站请求 v 不安全的配置管理 v 不安全的存储 v 错误的访问控制 v 传输层保护不足 v 未经验证的网址重定向v 不恰当的异常处理 v 拒绝服务攻击 49 Web应用安全问题原因v Web服务支撑软件v

24、 Web程序 v Web浏览器 v Web协议 50 Web服务支撑软件安全问题v Web服务支撑软件 Apache、IIS、Tomcat、WebSphere和WebLogic等 这些服务支撑软件中如果存在安全隐患，则都可能被攻击者利用，从而影响WEB应用的安全性 v 可能存在安全漏洞5.0超长URL拒绝服务漏洞 IISv 可能存在软件配置缺陷 存在默认帐号和口令 51 Web程序安全问题v 输入输出处理v 会话控制 v 文件系统处理v 用户访问机制v 日志处理 v 是人开发的就可能存在安全隐患 WEB应用程序是程序员开发的 52 WEB浏览器安全问题v Web浏览器WEB应用的客户端 展示网

25、页供用户查看和支持用户操作InternetExplorer、Firefox、Opera和Safari等v 可能存在安全漏洞 基于Cookie的攻击 v 可能存在软件配置缺陷53 WEB协议安全问题v HTTP协议 TransferProtocolHypertextHTTP/1.1 v 信息泄漏 明文传输（用户名和口令、向服务器提交的数据） v 弱验证 简单的认证 v 缺乏状态跟踪 无状态的协议 Session存在安全隐患 54 Web服务器常见安全漏洞和防范方法 蠕虫病毒网马其他未装防护软件系统安全系统漏洞不必要端口弱口令杀软加固补丁密强码化55措施威胁 IIS安全设置v 配置身份验证 v 配

26、置地址和域名访问规则 v 配置SSL安全 v 配置URL授权规则 v 主目录及目录安全性（目录权限）v 日志安全 v 文档和错误消息 56 IIS7中配置身份认证v 在“Internet信息服务（IIS）管理器”中，对要设置访问限制的网站，在“功能视图”中选择“ 身份认证”即可进行设置 57 IIS7中配置地址和域名访问规则v 在“Internet信息服务（IIS）管理器”中，对要设置访问限制的网站，在“功能视图”中选择“IPV4地址和域限制”即可进行设置 58 主目录及目录安全性v 主目录设置 Web文件存放位置（不宜使用默认目录）v 目录权限设置 建议：对所有修改权限的目录在IIS中把执行

27、权限设置为：无。这样即使网站程序出现漏洞，入侵者能写入asp木马的目录没有脚本运行权限，有脚本运行权限的目录又无法修改和创建文件。 网站根目录权限是继承的，取消继承，添加来宾帐户只读； 对一些asp程序的access数据库目录、上传目录等去掉继承，添加修改权限，执行权限设置：无。 59 日志安全性v 日志重要性IIS日志是系统安全策略的一个重要坏节，IIS的日志功能记录所有的用户请求URL。确保日志的安全能有效提高系统整体安全性 v 日志安全性设置方法一：修改IIS日志的存放路径 IIS的日志默认保存的默认位置（%WinDir%System32LogFil- es），如果网站存在安全漏洞攻击者可以获取日志文件，因此应修改日志其存放路径（建议存放在非系统盘） 方法二：修改日志访问权限 日志是为管理员了解系统安全状况而设计的，其他用户没有必要访问，应将日志保存在NTFS分区上，并设置为只有管理员才能访问 60 错误消息处理NotFound等错误返回页面定制； v HTTP40461 Apache安全配置HTTPServer（Apache），阿帕奇v Apachev 安全配置只安装所需要的组件 隐藏Apahce版本 不用root运行Apache 禁用目录浏览 设置每个连接的最大请求数建立专门错误页面 勤打补丁 62 互联网浏览面临的安全风险v 病毒