信息系統(tǒng)攻擊與防御第八章

1、信息系統(tǒng)攻擊與防御第八章第1頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一內(nèi)容簡(jiǎn)介本章介紹了與防御有關(guān)的基礎(chǔ)知識(shí)和方法，內(nèi)容包括：計(jì)算機(jī)泄密的主要途徑；信息系統(tǒng)安全子系統(tǒng)的安全服務(wù)分析；網(wǎng)絡(luò)安全概念、內(nèi)容和主要技術(shù)；安全體系的核心HIDS；應(yīng)用系統(tǒng)的安全分析；網(wǎng)際網(wǎng)絡(luò)安全技術(shù)分析；通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng)；建立安全的Web站點(diǎn)分析；中國(guó)黑客常用的工具及防御方法分析；介紹了安全防御系統(tǒng)新趨勢(shì)入侵防護(hù)系統(tǒng)(IPS)。 第2頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.1.計(jì)算機(jī)泄密的主要途徑 計(jì)算機(jī)泄密的主要途徑有以下幾種：1.計(jì)算機(jī)電磁波輻射泄漏2計(jì)算機(jī)網(wǎng)絡(luò)化造成的泄密3

2、計(jì)算機(jī)媒體泄密4內(nèi)部工作人員泄密第3頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.2.信息系統(tǒng)的安全子系統(tǒng) 沒(méi)有一個(gè)系統(tǒng)具有絕對(duì)的安全 盡管我們無(wú)法達(dá)到絕對(duì)的安全，但是我們可以通過(guò)一些措施將安全風(fēng)險(xiǎn)控制在可以接受的范圍。 還有一個(gè)關(guān)鍵的原則：一個(gè)好的安全措施有一個(gè)平衡點(diǎn)，它不應(yīng)該影響合法用戶的正常工作。 第4頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.2.信息系統(tǒng)的安全子系統(tǒng)（續(xù)） 信息安全子系統(tǒng)需要保護(hù)的資源如下，這些資源通常是黑客攻擊的目標(biāo)。1終端用戶資源：通常指普通用戶用的電腦及其外設(shè)，其本身數(shù)據(jù)的重要性并不一定很高，通常如果被黑客攻擊也不會(huì)對(duì)全局造成重大的損失

3、。但是，它會(huì)被黑客利用作為跳板去獲取網(wǎng)絡(luò)中其它資源的有效信息。而且，由于普通用戶的電腦水平和防范意識(shí)不同，這類資源的安全性一般不是很高。2網(wǎng)絡(luò)資源：指路由器、交換機(jī)、集線器、布線系統(tǒng)、和機(jī)房等。如果黑客控制了這些資源，那網(wǎng)絡(luò)就不再安全了，對(duì)外聯(lián)絡(luò)處于極度危險(xiǎn)之中。3服務(wù)器資源：Web服務(wù)器、郵件服務(wù)器、文件傳輸服務(wù)器等。與終端用戶資源不同的是，服務(wù)器資源通常是一些公共數(shù)據(jù)，容許大家合法的訪問(wèn)。黑客以它作為目標(biāo)一般是要控制這些資源或者影響正常用戶的訪問(wèn)。4信息存儲(chǔ)資源：存儲(chǔ)資源上的信息是黑客最感興趣的。第5頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.2.信息系統(tǒng)的安全子系統(tǒng)（續(xù)）

4、國(guó)際標(biāo)準(zhǔn)化組織(ISO)將安全子系統(tǒng)所提供的服務(wù)分成5種：1認(rèn)證：需要對(duì)訪問(wèn)者的身份進(jìn)行確認(rèn)后才容許其訪問(wèn)訪問(wèn)相應(yīng)的資源或者接受其通信請(qǐng)求；2訪問(wèn)控制：制定一個(gè)策略限定訪問(wèn)者的行為以及規(guī)定他訪問(wèn)的權(quán)限；3數(shù)據(jù)的保密性(加密)：保護(hù)數(shù)據(jù)不被非法訪問(wèn)者訪問(wèn)。一些黑客會(huì)利用一些工具從網(wǎng)絡(luò)上捕獲數(shù)據(jù)，如果對(duì)數(shù)據(jù)做了加密處理，即使黑客捕獲了數(shù)據(jù)也無(wú)法正確讀出；4數(shù)據(jù)的完整性：安全子系統(tǒng)不但要保證數(shù)據(jù)安全的傳輸?shù)浇邮照?，還要保證傳輸?shù)降臄?shù)據(jù)沒(méi)有被篡改；5不可否認(rèn)性(抗抵賴性)：這是一種機(jī)制，一方面向接收者確認(rèn)發(fā)送者的身份；同時(shí)也提供足夠的證據(jù)讓發(fā)送者對(duì)自己在發(fā)送行為無(wú)法否認(rèn)；第6頁(yè)，共48頁(yè)，2022年，

5、5月20日，1點(diǎn)5分，星期一8.2.信息系統(tǒng)的安全子系統(tǒng)（續(xù)） 在信息安全子系統(tǒng)中，認(rèn)證分成兩類：控制訪問(wèn)權(quán)的身份認(rèn)證，身份認(rèn)證是網(wǎng)絡(luò)通信中建立可信安全通信信道的重要過(guò)程，是安全信息子系統(tǒng)的“門衛(wèi)”模塊。身份認(rèn)證使用最多的是密碼認(rèn)證，同時(shí)會(huì)輔助以其它的方式。身份認(rèn)證的方式可以分成四類：密碼、智能卡、身份特征、源地址。 通信雙方進(jìn)行通信前所做的信息認(rèn)證。信息認(rèn)證的目的為：（1）確認(rèn)信息發(fā)送者的身份以保證信息的真實(shí)來(lái)源；（2）驗(yàn)證信息的完整性，即確認(rèn)信息在傳送或存儲(chǔ)過(guò)程中未被篡改過(guò)。認(rèn)證技術(shù)主要有數(shù)字摘要、數(shù)字信封、數(shù)字證書等。 第7頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.2.信

6、息系統(tǒng)的安全子系統(tǒng)（續(xù)） 訪問(wèn)控制決定了誰(shuí)能夠訪問(wèn)系統(tǒng)，能訪問(wèn)系統(tǒng)的何種資源以及如何使用這些資源。適當(dāng)?shù)脑L問(wèn)控制能夠阻止未經(jīng)允許的用戶有意或無(wú)意地獲取數(shù)據(jù)。訪問(wèn)控制的手段包括用戶識(shí)別代碼、口令、登錄控制、資源授權(quán)（例如用戶配置文件、資源配置文件和控制列表）、授權(quán)核查、日志和審計(jì)。第8頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.2.信息系統(tǒng)的安全子系統(tǒng)（續(xù)） 加密在網(wǎng)絡(luò)上的作用就是防止有用或私有化信息在網(wǎng)絡(luò)上被攔截和竊取。 加密技術(shù)通常分為兩大類：“對(duì)稱式”和“非對(duì)稱式”。第9頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.2.信息系統(tǒng)的安全子系統(tǒng)（續(xù)） 信息的完整性服務(wù)

7、 信息的安全對(duì)需要更安全來(lái)說(shuō)數(shù)據(jù)保密是不夠的。數(shù)據(jù)仍能夠被非法破解并修改。信息的完整性是指避免資料在傳輸時(shí)被篡改。完整性是通過(guò)剛才介紹的HASH(哈希)運(yùn)算來(lái)確定數(shù)據(jù)是否被修改過(guò)。下面介紹一下完整性是如何實(shí)現(xiàn)的：數(shù)據(jù)的發(fā)送方對(duì)要發(fā)出的數(shù)據(jù)做一次哈希運(yùn)算，得出一個(gè)哈希值，為了安全起見(jiàn)可以將這個(gè)哈希值加密后附著在原始數(shù)據(jù)后送到接收方。接收方收到數(shù)據(jù)后對(duì)數(shù)據(jù)部分做同樣的哈希運(yùn)算，也會(huì)得出一個(gè)哈希值，接收方在解密收到的哈希值，然后對(duì)比雙方的哈希值：如果二者相同，說(shuō)明數(shù)據(jù)在傳送過(guò)程中沒(méi)有被修改過(guò)，如果二者不同，說(shuō)明數(shù)據(jù)在傳輸過(guò)程中有了變化。第10頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.

8、2.信息系統(tǒng)的安全子系統(tǒng)（續(xù)） 信息的不可否認(rèn)性服務(wù) 數(shù)據(jù)的不可否認(rèn)性(Non-Repudiation)又稱抗抵賴性，實(shí)際上就是保證數(shù)據(jù)的有效性。不可否認(rèn)性提供了讓接收方有證據(jù)確認(rèn)所收的數(shù)據(jù)的確來(lái)自某發(fā)送者，且該發(fā)送者對(duì)其發(fā)送行為無(wú)法否認(rèn)。我們舉個(gè)簡(jiǎn)單的不可否認(rèn)性的實(shí)現(xiàn)的例子，在發(fā)送信件時(shí)有一種信件叫“掛號(hào)信”，在送達(dá)接收者時(shí)必須要收件人親自簽收。從而接收信件的人就無(wú)法否認(rèn)其收到信件的事實(shí)。第11頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.3.網(wǎng)絡(luò)安全的概念、內(nèi)容和主要技術(shù)網(wǎng)絡(luò)安全的概念國(guó)際標(biāo)準(zhǔn)化組織（ISO）對(duì)計(jì)算機(jī)系統(tǒng)安全的定義是：為數(shù)據(jù)處理系統(tǒng)建立和采用的技術(shù)和管理的安全保

9、護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件和數(shù)據(jù)不因偶然和惡意的原因遭到破壞、更改和泄露。由此可以將計(jì)算機(jī)網(wǎng)絡(luò)的安全理解為：通過(guò)采用各種技術(shù)和管理措施，使網(wǎng)絡(luò)系統(tǒng)正常運(yùn)行，從而確保網(wǎng)絡(luò)數(shù)據(jù)的可用性、完整性和保密性。所以，建立網(wǎng)絡(luò)安全保護(hù)措施的目的是確保經(jīng)過(guò)網(wǎng)絡(luò)傳輸和交換的數(shù)據(jù)不會(huì)發(fā)生增加、修改、丟失和泄露等。 第12頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.3.網(wǎng)絡(luò)安全的概念、內(nèi)容和主要技術(shù) （續(xù)） Internet的安全隱患主要體現(xiàn)在下列幾方面 1Internet是一個(gè)開(kāi)放的、無(wú)控制機(jī)構(gòu)的網(wǎng)絡(luò)，黑客（Hacker）經(jīng)常會(huì)侵入網(wǎng)絡(luò)中的計(jì)算機(jī)系統(tǒng)，或竊取機(jī)密數(shù)據(jù)和盜用特權(quán)，或破壞重要數(shù)據(jù)，或使系統(tǒng)

10、功能得不到充分發(fā)揮直至癱瘓。2Internet的數(shù)據(jù)傳輸是基于TCP/IP通信協(xié)議進(jìn)行的，這些協(xié)議缺乏使傳輸過(guò)程中的信息不被竊取的安全措施。3Internet上的通信業(yè)務(wù)多數(shù)使用Unix操作系統(tǒng)來(lái)支持，Unix操作系統(tǒng)中明顯存在的安全脆弱性問(wèn)題會(huì)直接影響安全服務(wù)。4在計(jì)算機(jī)上存儲(chǔ)、傳輸和處理的電子信息，還沒(méi)有像傳統(tǒng)的郵件通信那樣進(jìn)行信封保護(hù)和簽字蓋章。信息的來(lái)源和去向是否真實(shí)，內(nèi)容是否被改動(dòng)，以及是否泄露等，在應(yīng)用層支持的服務(wù)協(xié)議中是憑著君子協(xié)定來(lái)維系的。5電子郵件存在著被拆看、誤投和偽造的可能性。使用電子郵件來(lái)傳輸重要機(jī)密信息會(huì)存在著很大的危險(xiǎn)。6計(jì)算機(jī)病毒通過(guò)Internet的傳播給上網(wǎng)用

11、戶帶來(lái)極大的危害，病毒可以使計(jì)算機(jī)和計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)癱瘓、數(shù)據(jù)和文件丟失。在網(wǎng)絡(luò)上傳播病毒可以通過(guò)公共匿名FTP文件傳送、也可以通過(guò)郵件和郵件的附加文件傳播。第13頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.3.網(wǎng)絡(luò)安全的概念、內(nèi)容和主要技術(shù) （續(xù)） 網(wǎng)絡(luò)安全防范的內(nèi)容 一個(gè)安全的計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)該具有可靠性、可用性、完整性、保密性和真實(shí)性等特點(diǎn)。計(jì)算機(jī)網(wǎng)絡(luò)不僅要保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備安全和計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全，還要保護(hù)數(shù)據(jù)安全等。 網(wǎng)絡(luò)安全防范的重點(diǎn)主要有兩個(gè)方面：一是計(jì)算機(jī)病毒，二是黑客犯罪。計(jì)算機(jī)病毒是大家都比較熟悉的一種危害計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)安全的破壞性程序。黑客犯罪是指?jìng)€(gè)別人利用計(jì)算

12、機(jī)高科技手段，盜取密碼侵入他人計(jì)算機(jī)網(wǎng)絡(luò)，非法獲得信息、盜用特權(quán)等，如非法轉(zhuǎn)移銀行資金、盜用他人銀行帳號(hào)購(gòu)物等。第14頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.3.網(wǎng)絡(luò)安全的概念、內(nèi)容和主要技術(shù) （續(xù)） 確保網(wǎng)絡(luò)安全的主要技術(shù) 1、防火墻技術(shù)：網(wǎng)絡(luò)防火墻技術(shù)是一種用來(lái)加強(qiáng)網(wǎng)絡(luò)之間訪問(wèn)控制，防止外部網(wǎng)絡(luò)用戶以非法手段通過(guò)外部網(wǎng)絡(luò)進(jìn)入內(nèi)部網(wǎng)絡(luò)，訪問(wèn)內(nèi)部網(wǎng)絡(luò)資源，保護(hù)內(nèi)部網(wǎng)絡(luò)操作環(huán)境的特殊網(wǎng)絡(luò)互聯(lián)設(shè)備。它對(duì)兩個(gè)或多個(gè)網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包如鏈接方式按照一定的安全策略來(lái)實(shí)施檢查，以決定網(wǎng)絡(luò)之間的通信是否被允許，并監(jiān)視網(wǎng)絡(luò)運(yùn)行狀態(tài)。根據(jù)防火墻所采用的技術(shù)不同，可以將它分為四種基本類型：包過(guò)

13、濾型網(wǎng)絡(luò)地址轉(zhuǎn)換-NAT代理型監(jiān)測(cè)型。 第15頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.3.網(wǎng)絡(luò)安全的概念、內(nèi)容和主要技術(shù) （續(xù)） 確保網(wǎng)絡(luò)安全的主要技術(shù) 2、加密技術(shù) ：信息交換加密技術(shù)分為兩類：即對(duì)稱加密和非對(duì)稱加密。 3、虛擬專用網(wǎng)技術(shù) ：目前VPN主要采用四項(xiàng)技術(shù)來(lái)保證安全，這四項(xiàng)技術(shù)分別是隧道技術(shù)（Tunneling）、加解密技術(shù)（Encryption & Decryption）、密鑰管理技術(shù)（Key Management）、使用者與設(shè)備身份認(rèn)證技術(shù)（Authentication）。 第16頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.3.網(wǎng)絡(luò)安全的概念、

14、內(nèi)容和主要技術(shù) （續(xù)） 確保網(wǎng)絡(luò)安全的主要技術(shù) 4、安全隔離 ：隔離產(chǎn)品發(fā)展至今共經(jīng)歷了五代。 第一代隔離技術(shù)，完全的隔離。采用完全獨(dú)立的設(shè)備、存儲(chǔ)和線路來(lái)訪問(wèn)不同的網(wǎng)絡(luò)，做到了完全的物理隔離，但需要多套網(wǎng)絡(luò)和系統(tǒng)，建設(shè)和維護(hù)成本較高。第二代隔離技術(shù)，硬件卡隔離。通過(guò)硬件卡控制獨(dú)立存儲(chǔ)和分時(shí)共享設(shè)備與線路來(lái)實(shí)現(xiàn)對(duì)不同網(wǎng)絡(luò)的訪問(wèn)，它仍然存在使用不便、可用性差等問(wèn)題，有的設(shè)計(jì)上還存在較大的安全隱患。第三代隔離技術(shù)，數(shù)據(jù)轉(zhuǎn)播隔離。利用轉(zhuǎn)播系統(tǒng)分時(shí)復(fù)制文件的途徑來(lái)實(shí)現(xiàn)隔離，切換時(shí)間較長(zhǎng)，甚至需要手工完成，不僅大大降低了訪問(wèn)速度，更不支持常見(jiàn)的網(wǎng)絡(luò)應(yīng)用，只能完成特定的基于文件的數(shù)據(jù)交換。第四代隔離技術(shù)，

15、空氣開(kāi)關(guān)隔離。該技術(shù)是通過(guò)使用單刀雙擲開(kāi)關(guān)，通過(guò)內(nèi)外部網(wǎng)絡(luò)分時(shí)訪問(wèn)臨時(shí)緩存器來(lái)完成數(shù)據(jù)交換的，但存在支持網(wǎng)絡(luò)應(yīng)用少、傳輸速度慢和硬件故障率高等問(wèn)題，往往成為網(wǎng)絡(luò)的瓶頸。第五代隔離技術(shù)，安全通道隔離。此技術(shù)通過(guò)專用通信硬件和專有交換協(xié)議等安全機(jī)制，來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)間的隔離和數(shù)據(jù)交換，不僅解決了以往隔離技術(shù)存在的問(wèn)題，并且在網(wǎng)絡(luò)隔離的同時(shí)實(shí)現(xiàn)高效的內(nèi)外網(wǎng)數(shù)據(jù)的安全交換，它透明地支持多種網(wǎng)絡(luò)應(yīng)用，成為當(dāng)前隔離技術(shù)的發(fā)展方向。第17頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.3.網(wǎng)絡(luò)安全的概念、內(nèi)容和主要技術(shù) （續(xù)） 確保網(wǎng)絡(luò)安全的主要技術(shù) 5、訪問(wèn)控制 ：訪問(wèn)控制可以達(dá)到以下目的：保護(hù)存儲(chǔ)在

16、某些機(jī)器上的個(gè)人信息；保護(hù)重要信息的機(jī)密性；維護(hù)機(jī)器內(nèi)信息的完整性；減少病毒感染機(jī)會(huì)，從而延緩這種感染的傳播。防止非法用戶進(jìn)入系統(tǒng)及合法用戶對(duì)系統(tǒng)資源的非法使用，這就是訪問(wèn)控制的基本任務(wù)。訪問(wèn)控制需采取兩種措施：一是識(shí)別與確證訪問(wèn)系統(tǒng)的用戶；二是決定該用戶對(duì)某一系統(tǒng)資源可進(jìn)行何種類型的訪問(wèn)（讀、寫、刪、改、運(yùn)行等）。可具體描述如下：（1）規(guī)定需要保護(hù)的資源,又稱客體；（2）規(guī)定可以訪問(wèn)該資源的實(shí)體又稱主體（通常指一個(gè)人，但有時(shí)指另一個(gè)軟件程序進(jìn)程）；（3）規(guī)定可對(duì)該資源執(zhí)行的動(dòng)作（如讀、寫、執(zhí)行或不許訪問(wèn)）；（4）通過(guò)確定每個(gè)實(shí)體可對(duì)哪些資源執(zhí)行哪些動(dòng)作來(lái)確定該安全方案。第18頁(yè)，共48頁(yè)，2

17、022年，5月20日，1點(diǎn)5分，星期一8.3.網(wǎng)絡(luò)安全的概念、內(nèi)容和主要技術(shù) （續(xù)） 確保網(wǎng)絡(luò)安全的主要技術(shù) 5、訪問(wèn)控制 ：直到70年代初期，人們才逐漸認(rèn)識(shí)到，為了使計(jì)算機(jī)系統(tǒng)更安全，需要兩種不同類型的訪問(wèn)控制：自主訪問(wèn)控制（DAC，Discretionary Access Control）與強(qiáng)制訪問(wèn)控制（MAC，Mandatory Access Control）。自主訪問(wèn)控制是一種最普通的訪問(wèn)控制手段。在自主訪問(wèn)控制下，用戶可以按自己的意愿對(duì)系統(tǒng)參數(shù)做適當(dāng)?shù)男薷囊詻Q定哪個(gè)用戶可以訪問(wèn)他們的文件。一個(gè)用戶（或一段用戶程序或一個(gè)進(jìn)程）可以有選擇地與其它用戶共享他的文件。強(qiáng)制訪問(wèn)控制下，用戶與文

18、件都有一個(gè)固定的安全屬性。系統(tǒng)利用安全屬性來(lái)決定一個(gè)用戶是否可以訪問(wèn)某個(gè)文件。安全屬性是強(qiáng)制性的，它是由安全管理員或操作系統(tǒng)根據(jù)限定的規(guī)則分配的，用戶或用戶的程序不能修改安全屬性。如果系統(tǒng)認(rèn)為具有某一安全屬性的用戶不適于訪問(wèn)某個(gè)文件，那么任何人（包括文件的擁有者）都無(wú)法使該用戶具有訪問(wèn)文件的能力。第19頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.4.安全體系的核心HIDS在建立由防火墻、IDS等安全產(chǎn)品組成的安全體系中，安全業(yè)界有兩種截然不同的觀點(diǎn)：一種是以防火墻為核心，另一種是以IDS為核心。以前很多防火墻為核心，現(xiàn)在基本傾向以IDS為核心。入侵檢測(cè)（IDS）分為基于主機(jī)（HI

19、DS）和基于網(wǎng)絡(luò)（NIDS）兩種。HIDS安裝在被監(jiān)測(cè)的主機(jī)系統(tǒng)上，監(jiān)測(cè)用戶的訪問(wèn)行為；NIDS安裝在被監(jiān)測(cè)的網(wǎng)段上，監(jiān)聽(tīng)網(wǎng)段內(nèi)的所有數(shù)據(jù)包，判斷其是否合法。第20頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.4.安全體系的核心HIDS （續(xù)） NIDS與HIDS比較 ：核心技術(shù)有差別 性能和效能標(biāo)準(zhǔn)不同 應(yīng)用領(lǐng)域分化明顯 第21頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.4.安全體系的核心HIDS （續(xù)） HIDS的原理及體系結(jié)構(gòu)：主機(jī)入侵檢測(cè)系統(tǒng)通常在被重點(diǎn)檢測(cè)的主機(jī)上運(yùn)行一個(gè)代理程序。該代理程序扮演著檢測(cè)引擎的角色，它根據(jù)主機(jī)行為特征庫(kù)對(duì)受檢測(cè)主機(jī)上的可疑行為進(jìn)

20、行采集、分析和判斷，并把警報(bào)信息發(fā)送給控制端程序，由管理員集中管理。此外，代理程序需要定期給控制端發(fā)出信號(hào)，以使管理員能確信代理程序工作正常。如果是個(gè)人主機(jī)入侵檢測(cè)，代理程序和控制端管理程序可以合并在一起，管理程序也簡(jiǎn)單得多。 主機(jī)入侵檢測(cè)系統(tǒng)主要依靠主機(jī)行為特征進(jìn)行檢測(cè)。 第22頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.4.安全體系的核心HIDS （續(xù)） 相對(duì)于網(wǎng)絡(luò)入侵檢測(cè)，主機(jī)入侵檢測(cè)有以下優(yōu)點(diǎn)： 性價(jià)比高。在主機(jī)數(shù)量較少的情況下,這種方法的性價(jià)比可能更高。 更加細(xì)致。這種方法可以很容易地監(jiān)測(cè)一些活動(dòng),如對(duì)敏感文件、目錄、程序或端口的存取,而這些活動(dòng)很難在基于協(xié)議的線索中被

21、發(fā)現(xiàn)。 視野集中。一旦入侵者得到了一個(gè)主機(jī)的用戶名和口令,基于主機(jī)的代理是最有可能區(qū)分正常的活動(dòng)和非法活動(dòng)的。 易于用戶剪裁。每一個(gè)主機(jī)有其自己的代理,用戶剪裁更方便。 較少的主機(jī)?；谥鳈C(jī)的方法不需要增加專門的硬件平臺(tái)。 對(duì)網(wǎng)絡(luò)流量不敏感。用代理的方式一般不會(huì)因?yàn)榫W(wǎng)絡(luò)流量的增加而丟失對(duì)網(wǎng)絡(luò)行為的監(jiān)視。第23頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.4.安全體系的核心HIDS （續(xù)） 主機(jī)入侵檢測(cè)系統(tǒng)也有它的局限性： 操作系統(tǒng)局限。不象NIDS，廠家可以自己定制一個(gè)足夠安全的操作系統(tǒng)來(lái)保證NIDS自身的安全，HIDS的安全性受其所在主機(jī)操作系統(tǒng)的安全性限制。 系統(tǒng)日志限制。HI

22、DS會(huì)通過(guò)監(jiān)測(cè)系統(tǒng)日志來(lái)發(fā)現(xiàn)可疑的行為，但有些程序的系統(tǒng)日志并不詳細(xì)，或者沒(méi)有日志。有些入侵行為本身不會(huì)被具有系統(tǒng)日志的程序紀(jì)錄下來(lái)。 被修改過(guò)的系統(tǒng)核心能夠騙過(guò)文件檢查。如果入侵者修改系統(tǒng)核心，則可以騙過(guò)基于文件一致性檢查的工具。第24頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.5.應(yīng)用系統(tǒng)的安全 1避免安裝或運(yùn)行未經(jīng)認(rèn)證的不明軟件或內(nèi)容。了解電腦上正在運(yùn)行哪些程序以及它們?yōu)槭裁催\(yùn)行。如果你不知道你的系統(tǒng)上都有什么，你就不能充分對(duì)你的系統(tǒng)進(jìn)行保護(hù)。2不要讓非管理員用戶以系統(tǒng)管理員或者根權(quán)限身份登錄。3保護(hù)你的e-mail。將所有進(jìn)入的HTML內(nèi)容轉(zhuǎn)換為普通文本格式，阻止所有文件

23、默認(rèn)文件擴(kuò)展，除了少數(shù)你希望允許通過(guò)的。4保護(hù)你的密碼。設(shè)置較長(zhǎng)的密碼，普通用戶，以10個(gè)字符或更長(zhǎng)為佳，系統(tǒng)管理帳戶為15個(gè)字符或更長(zhǎng)為佳。執(zhí)行帳戶鎖定，哪怕就只是一分鐘的。在Windows系統(tǒng)里，禁用LM密碼hash。在Unix/Linux下，使用較新的crypt（3）hash，MD5類型hash，或者如果你的操作系統(tǒng)支持的話，選擇更好的bcrypt hash。5盡可能地使用默認(rèn)禁用和最小化權(quán)限。當(dāng)執(zhí)行最小化權(quán)限的安全策略的時(shí)候，使用基于規(guī)則的安全。應(yīng)當(dāng)一個(gè)IT規(guī)則一個(gè)組，而不是只有一個(gè)“IT安全組”。6定義和加強(qiáng)安全域。誰(shuí)需要訪問(wèn)什么？什么類型的通信連接是合法的？回答這些問(wèn)題然后設(shè)計(jì)周邊

24、防御。定義基準(zhǔn)值，記錄反常的通信量。第25頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.5.應(yīng)用系統(tǒng)的安全（續(xù)）7在可能的情況下加密所有的機(jī)密數(shù)據(jù)，特別是在便攜式電腦和存儲(chǔ)設(shè)備上。8操作系統(tǒng)和所有程序的升級(jí)補(bǔ)丁管理。自我檢查一下，最近有沒(méi)有升級(jí)你的Macromedia Flash，Real Player，和Adobe Acrobat呢？9盡可能地在網(wǎng)關(guān)和主機(jī)上裝配反病毒、反垃圾郵件和反間諜套件。10模糊化地設(shè)置安全信息。重命名你的管理員和根權(quán)限帳戶。不要以ExchangeAdmin來(lái)命名一個(gè)帳號(hào)。不要將你的文件服務(wù)器命名為如FS1，Exchange1或者GatewaySrv1等。在

25、條件允許時(shí)將服務(wù)置于非默認(rèn)端口：比如，你可以為內(nèi)部用戶和商業(yè)伙伴將SSH服務(wù)移到30456端口，RDP到30389，HTTP到30080等等。11在你的網(wǎng)絡(luò)上掃描并調(diào)查未知TCP或者UDP端口監(jiān)聽(tīng)。12跟蹤記錄每個(gè)用戶在Internet上所瀏覽的區(qū)域和時(shí)間。將結(jié)果置于一個(gè)人人都可以接觸到的實(shí)時(shí)在線報(bào)告中。這個(gè)建議就是使用戶對(duì)自己互聯(lián)網(wǎng)沖浪習(xí)慣進(jìn)行自我管理。13自動(dòng)化安全策略。如果你不設(shè)為自動(dòng)的話，它將處于一個(gè)不和諧的狀態(tài)。14對(duì)全體雇員進(jìn)行有關(guān)信息安全的教育，并制定合適的策略和程序。習(xí)慣于變化的和結(jié)構(gòu)化的管理。對(duì)于不依從者經(jīng)行嚴(yán)厲處罰。第26頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期

26、一8.6.網(wǎng)際網(wǎng)絡(luò)安全技術(shù)分析1、局域網(wǎng)安全局域網(wǎng)安全的解決辦法有以下幾種： 1網(wǎng)絡(luò)分段網(wǎng)絡(luò)分段通常被認(rèn)為是控制網(wǎng)絡(luò)廣播風(fēng)暴的一種基本手段，但其實(shí)也是保證網(wǎng)絡(luò)安全的一項(xiàng)重要措施。其目的就是將非法用戶與敏感的網(wǎng)絡(luò)資源相互隔離，從而防止可能的非法偵聽(tīng)，網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式。2以交換式集線器代替共享式集線器3VLAN的劃分為了克服以太網(wǎng)的廣播問(wèn)題，除了上述方法外，還可以運(yùn)用VLAN（虛擬局域網(wǎng)）技術(shù)，將以太網(wǎng)通信變?yōu)辄c(diǎn)到點(diǎn)通信，防止大部分基于網(wǎng)絡(luò)偵聽(tīng)的入侵。目前的VLAN技術(shù)主要有三種：基于交換機(jī)端口的VLAN、基于節(jié)點(diǎn)MAC地址的VLAN和基于應(yīng)用協(xié)議的VLAN?；诙丝诘腣L

27、AN雖然稍欠靈活，但卻比較成熟，在實(shí)際應(yīng)用中效果顯著，廣受歡迎。基于MAC地址的VLAN為移動(dòng)計(jì)算提供了可能性，但同時(shí)也潛藏著遭受MAC欺詐攻擊的隱患。而基于協(xié)議的VLAN，理論上非常理想，但實(shí)際應(yīng)用卻尚不成熟。第27頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.6.網(wǎng)際網(wǎng)絡(luò)安全技術(shù)分析 （續(xù)）2、廣域網(wǎng)安全 必須采取手段，使得在廣域網(wǎng)上發(fā)送和接收信息時(shí)能夠保證：除了發(fā)送方和接收方外，其他人是無(wú)法知悉的（隱私性）；傳輸過(guò)程中不被篡改（真實(shí)性）；發(fā)送方能確知接收方不是假冒的（非偽裝性）；發(fā)送方不能否認(rèn)自己的發(fā)送行為（不可抵賴性）。為了達(dá)到以上安全目的，廣域網(wǎng)通常采用以下安全解決辦法：

28、1加密技術(shù)2VPN技術(shù)3身份認(rèn)證技術(shù)第28頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.6.網(wǎng)際網(wǎng)絡(luò)安全技術(shù)分析 （續(xù)）3、外部網(wǎng)安全 對(duì)外部網(wǎng)安全的威脅主要表現(xiàn)在：非授權(quán)訪問(wèn)、冒充合法用戶、破壞數(shù)據(jù)完整性、干擾系統(tǒng)正常運(yùn)行、利用網(wǎng)絡(luò)傳播病毒、線路竊聽(tīng)等。外部網(wǎng)安全解決辦法主要依靠防火墻技術(shù)、入侵檢測(cè)技術(shù)和網(wǎng)絡(luò)防病毒技術(shù)。在實(shí)際的外部網(wǎng)安全設(shè)計(jì)中，往往采取上述三種技術(shù)（即防火墻、入侵檢測(cè)、網(wǎng)絡(luò)防病毒）相結(jié)合的方法。第29頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.7.通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng)操作系統(tǒng)的所有系統(tǒng)設(shè)置都可以在注冊(cè)表中找到蹤影，所有的程序啟動(dòng)方式和服務(wù)啟

29、動(dòng)類型都可通過(guò)注冊(cè)表中的小小鍵值來(lái)控制。然而，正因?yàn)樽?cè)表的強(qiáng)大使得病毒和木馬常常寄生在此，威脅著原本健康的操作系統(tǒng)。如何才能有效地防范病毒和木馬的侵襲，保證系統(tǒng)的正常運(yùn)行呢?下面將從服務(wù)、默認(rèn)設(shè)置、權(quán)限分配等九個(gè)方面介紹如何通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng)。特別提示：在進(jìn)行修改之前，一定要備份原有注冊(cè)表。第30頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.7.通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng) （續(xù)）1.拒絕“信”騷擾安全隱患：在Windows 2000/XP系統(tǒng)中，默認(rèn)Messenger服務(wù)處于啟動(dòng)狀態(tài)，不懷好意者可通過(guò)“net send”指令向目標(biāo)計(jì)算機(jī)發(fā)送信息。目標(biāo)計(jì)算機(jī)會(huì)不時(shí)地收到

30、他人發(fā)來(lái)的騷擾信息，嚴(yán)重影響正常使用。解決方法：首先打開(kāi)注冊(cè)表編輯器。系統(tǒng)服務(wù)可以通過(guò)注冊(cè)表中“HKEY_LOCAL_MACHI NESYSTEMCurrentControlSetServices”項(xiàng)下的各個(gè)選項(xiàng)來(lái)進(jìn)行管理，其中的每個(gè)子鍵就是系統(tǒng)中對(duì)應(yīng)的“服務(wù)”，如“Messenger”服務(wù)對(duì)應(yīng)的子鍵是“Messenger”。只要找到Messenger項(xiàng)下的START鍵值，將該值修改為4即可。這樣該服務(wù)就會(huì)被禁用，用戶就再也不會(huì)受到“信”騷擾了。第31頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.7.通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng) （續(xù)）2.關(guān)閉“遠(yuǎn)程注冊(cè)表服務(wù)”安全隱患：如果黑客連

31、接到了目標(biāo)計(jì)算機(jī)，而且計(jì)算機(jī)啟用了遠(yuǎn)程注冊(cè)表服務(wù)(Remote Registry)，那么黑客就可遠(yuǎn)程設(shè)置注冊(cè)表中的服務(wù)，因此遠(yuǎn)程注冊(cè)表服務(wù)需要特別保護(hù)。解決方法：可將遠(yuǎn)程注冊(cè)表服務(wù)(Remote Registry)的啟動(dòng)方式設(shè)置為禁用。不過(guò)，黑客在入侵計(jì)算機(jī)后，仍然可以通過(guò)簡(jiǎn)單的操作將該服務(wù)從“禁用”轉(zhuǎn)換為“自動(dòng)啟動(dòng)”。因此有必要將該服務(wù)刪除。找到注冊(cè)表中“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices”下的RemoteRegistry項(xiàng)，右鍵點(diǎn)擊該項(xiàng)選擇“刪除”，將該項(xiàng)刪除后就無(wú)法啟動(dòng)該服務(wù)了。在刪除之前，一定要將該項(xiàng)信息導(dǎo)出并保存。想使用

32、該服務(wù)時(shí)，只要將已保存的注冊(cè)表文件導(dǎo)入即可。第32頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.7.通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng) （續(xù)）3.請(qǐng)走“默認(rèn)共享”安全隱患：大家都知道在Windows 2000/XP/2003中，系統(tǒng)默認(rèn)開(kāi)啟了一些“共享”，它們是IPC$、c$、d$、e$和admin$。很多黑客和病毒都是通過(guò)這個(gè)默認(rèn)共享入侵操作系統(tǒng)的。解決方法：要防范IPC$攻擊應(yīng)該將注冊(cè)表中“HKEY_LOCAL_MACHI NESYSTEM Current ControlSetControl LSA”的RestrictAnonymous項(xiàng)設(shè)置為“1”，這樣就可以禁止IPC$的連接。對(duì)

33、于c$、d$和admin$等類型的默認(rèn)共享則需要在注冊(cè)表中找到“HKEY_LOCAL_ MACHINESYSTEM CurrentControlSetServicesLanmanServerParameters”項(xiàng)。如果系統(tǒng)為Windows 2000 Server或Windows 2003，則要在該項(xiàng)中添加鍵值“AutoShareServer”(類型為“REG_DWORD”，值為“0”)。如果系統(tǒng)為Windows 2000 PRO，則應(yīng)在該項(xiàng)中添加鍵值“AutoShareWks”(類型為“REG_DWORD”，值為“0”)。第33頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.7.通

34、過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng) （續(xù)）4.嚴(yán)禁系統(tǒng)隱私泄露安全隱患：在Windows系統(tǒng)運(yùn)行出錯(cuò)的時(shí)候，系統(tǒng)內(nèi)部有一個(gè)DR.WATSON程序會(huì)自動(dòng)將系統(tǒng)調(diào)用的隱私信息保存下來(lái)。隱私信息將保存在user.dmp和drwtsn32.log文件中。攻擊者可以通過(guò)破解這個(gè)程序而了解系統(tǒng)的隱私信息。因此要阻止該程序?qū)⑿畔⑿孤冻鋈?。解決方法：找到“HKEY_LOACL_MACHINESOFTWAREMicrosoftWindows NT Current Version AeDebug”，將AUTO鍵值設(shè)置為0，現(xiàn)在DR.WATSON就不會(huì)記錄系統(tǒng)運(yùn)行時(shí)的出錯(cuò)信息了。同時(shí)，依次點(diǎn)擊“Documents and

35、SettingsALL UsersDocumentsdrwatson”，找到user.dmp和drwtsn32.log文件并刪除。刪除這兩個(gè)文件的目的是將DR.WATSON以前保存的隱私信息刪除。提示：如果已經(jīng)禁止了DR.WATSON程序的運(yùn)行，則不會(huì)找到“drwatson”文件夾以及user.dmp和drwtsn32.log這兩個(gè)文件。第34頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.7.通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng) （續(xù)）5.拒絕ActiveX控件的惡意騷擾安全隱患：不少木馬和病毒都是通過(guò)在網(wǎng)頁(yè)中隱藏惡意ActiveX控件的方法來(lái)私自運(yùn)行系統(tǒng)中的程序，從而達(dá)到破壞本地系統(tǒng)的目

36、的。為了保證系統(tǒng)安全，應(yīng)該阻止ActiveX控件私自運(yùn)行程序。解決方法：ActiveX控件是通過(guò)調(diào)用Windows scripting host組件的方式運(yùn)行程序的，所以可以先刪除“system32”目錄下的wshom.ocx文件，這樣ActiveX控件就不能調(diào)用Windows scripting host了。然后，在注冊(cè)表中找到“HKEY_LOCAL_MACHINESOFTWARE ClassesCLSIDF935DC22-1CF0-11D0-ADB9-00C04FD58A0B”，將該項(xiàng)刪除。通過(guò)以上操作，ActiveX控件就再也無(wú)法私自調(diào)用腳本程序了。第35頁(yè)，共48頁(yè)，2022年，5月2

37、0日，1點(diǎn)5分，星期一8.7.通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng) （續(xù)）6.防止頁(yè)面文件泄密安全隱患：Windows 2000的頁(yè)面交換文件也和上文提到的DR.WATSON程序一樣經(jīng)常成為黑客攻擊的對(duì)象，因?yàn)轫?yè)面文件有可能泄露一些原本在內(nèi)存中后來(lái)卻轉(zhuǎn)到硬盤中的信息。畢竟黑客不太容易查看內(nèi)存中的信息，而硬盤中的信息則極易被獲取。解決方法：找到“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerMemory Management”，將其下的ClearPageFileAtShutdown項(xiàng)目的值設(shè)置為1，這樣，每當(dāng)重新啟動(dòng)后，系統(tǒng)

38、都會(huì)將頁(yè)面文件刪除，從而有效防止信息外泄。 第36頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.7.通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng) （續(xù)）7.密碼填寫不能自動(dòng)化安全隱患：使用Windows系統(tǒng)沖浪時(shí)，常會(huì)遇到密碼信息被系統(tǒng)自動(dòng)記錄的情況，以后重新訪問(wèn)時(shí)系統(tǒng)會(huì)自動(dòng)填寫密碼。這樣很容易造成自己的隱私信息外泄。解決方法：在“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion policies”分支中找到network子項(xiàng)(如果沒(méi)有可自行添加)，在該子項(xiàng)下建立一個(gè)新的雙字節(jié)值，名稱為disablepasswordcaching，并

39、將該值設(shè)置為1。重新啟動(dòng)計(jì)算機(jī)后，操作系統(tǒng)就不會(huì)自作聰明地記錄密碼了。第37頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.7.通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng) （續(xù)）8.禁止病毒啟動(dòng)服務(wù)安全隱患：現(xiàn)在的病毒很聰明，不像以前只會(huì)通過(guò)注冊(cè)表的RUN值或MSCONFIG中的項(xiàng)目進(jìn)行加載。一些高級(jí)病毒會(huì)通過(guò)系統(tǒng)服務(wù)進(jìn)行加載。那么，能不能使病毒或木馬沒(méi)有啟動(dòng)服務(wù)的相應(yīng)權(quán)限呢?解決方法：運(yùn)行“regedt32”指令啟用帶權(quán)限分配功能的注冊(cè)表編輯器。在注冊(cè)表中找到“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices”分支，接著點(diǎn)擊菜單欄中的“安全權(quán)限”

40、，在彈出的Services權(quán)限設(shè)置窗口中單擊“添加”按鈕，將Everyone賬號(hào)導(dǎo)入進(jìn)來(lái)，然后選中“Everyone”賬號(hào)，將該賬號(hào)的“讀取”權(quán)限設(shè)置為“允許”，將它的“完全控制”權(quán)限取消，如圖8-4所示?，F(xiàn)在任何木馬或病毒都無(wú)法自行啟動(dòng)系統(tǒng)服務(wù)了。當(dāng)然，該方法只對(duì)沒(méi)有獲得管理員權(quán)限的病毒和木馬有效。 第38頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.7.通過(guò)注冊(cè)表打造一個(gè)安全的系統(tǒng) （續(xù)）9.不準(zhǔn)病毒自行啟動(dòng)安全隱患：很多病毒都是通過(guò)注冊(cè)表中的RUN值進(jìn)行加載而實(shí)現(xiàn)隨操作系統(tǒng)的啟動(dòng)而啟動(dòng)的，可以按照“禁止病毒啟動(dòng)服務(wù)”中介紹的方法將病毒和木馬對(duì)該鍵值的修改權(quán)限去掉。解決方法：運(yùn)

41、行“regedt32”指令啟動(dòng)注冊(cè)表編輯器。找到注冊(cè)表中的“HKEY_ CURRENT _MACHINESOFTWAREMicrosoftWindowsCurrentVersionRUN”分支，將Everyone對(duì)該分支的“讀取”權(quán)限設(shè)置為“允許”，取消對(duì)“完全控制”權(quán)限的選擇。這樣病毒和木馬就無(wú)法通過(guò)該鍵值啟動(dòng)自身了。病毒和木馬是不斷“發(fā)展”的，我們也要不斷學(xué)習(xí)新的防護(hù)知識(shí)，才能抵御病毒和木馬的入侵。與其在感染病毒或木馬后再進(jìn)行查殺，不如提前做好防御工作，修筑好牢固的城墻進(jìn)行抵御。畢竟亡羊補(bǔ)牢不是我們所希望發(fā)生的事情，“防患于未然”才是我們應(yīng)該追求的。 第39頁(yè)，共48頁(yè)，2022年，5月2

42、0日，1點(diǎn)5分，星期一8.8.建立安全的Web站點(diǎn)World Wide Web稱為萬(wàn)維網(wǎng)，簡(jiǎn)稱Web。它的基本結(jié)構(gòu)是采用開(kāi)放式的客戶/服務(wù)器結(jié)構(gòu)(Client/Server)，分成服務(wù)器端、客戶接收機(jī)及通訊協(xié)議三個(gè)部分。1、服務(wù)器(Web服務(wù)器)服務(wù)器結(jié)構(gòu)中規(guī)定了服務(wù)器的傳輸設(shè)定、信息傳輸格式及服務(wù)器本身的基本開(kāi)放結(jié)構(gòu)。Web 服務(wù)器是駐留在服務(wù)器上的軟件，它匯集了大量的信息。Web服務(wù)器的作用就是管理這些文檔，按用戶的要求返回信息。2、客戶接收機(jī)(Web瀏覽器)客戶機(jī)系統(tǒng)稱為Web瀏覽器，用于向服務(wù)器發(fā)送資源索取請(qǐng)求，并將接收到的信息進(jìn)行解碼和顯示。Web瀏覽器是客戶端軟件，它從Web服務(wù)器

43、上下載和獲取文件，翻譯下載文件中的HTML代碼，進(jìn)行格式化，根據(jù)HTML中的內(nèi)容在屏幕上顯示信息。如果文件中包含圖像以及其他格式的文件(如聲頻、視頻、Flash等)，Web瀏覽器會(huì)作相應(yīng)的處理或依據(jù)所支持的的插件進(jìn)行必要的顯示。3、通訊協(xié)議(HTTP協(xié)議)Web瀏覽器與服務(wù)器之間遵循HTTP協(xié)議進(jìn)行通訊傳輸。HTTP(HyperText Transfer Protocol，超文本傳輸協(xié)議)是分布式的Web應(yīng)用的核心技術(shù)協(xié)議，在TCP/IP協(xié)議棧中屬于應(yīng)用層。它定義了Web瀏覽器向Web服務(wù)器發(fā)送索取Web頁(yè)面請(qǐng)求的格式，以及Web頁(yè)面在Internet上的傳輸方式。4、公共網(wǎng)關(guān)接口介紹(CGI

44、)第40頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.8.建立安全的Web站點(diǎn) （續(xù)）Web 的安全體系結(jié)構(gòu)非常復(fù)雜主要包括以下幾個(gè)方面：* 客戶端軟件(既Web瀏覽器軟件)的安全；* 運(yùn)行瀏覽器的計(jì)算機(jī)設(shè)備及其操作系統(tǒng)的安全(主機(jī)系統(tǒng)安全)；* 客戶端的局域網(wǎng)(LAN)；* Internet；* 服務(wù)器端的局域網(wǎng)(LAN)；* 運(yùn)行服務(wù)器的計(jì)算機(jī)設(shè)備及操作系統(tǒng)的安全(主機(jī)系統(tǒng)的安全)；* 服務(wù)器上的Web服務(wù)器軟件。第41頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.8.建立安全的Web站點(diǎn) （續(xù)）1、主機(jī)系統(tǒng)的安全需求網(wǎng)絡(luò)的攻擊者通常通過(guò)主機(jī)的訪問(wèn)來(lái)獲取主機(jī)的訪問(wèn)權(quán)

45、限，一旦攻擊者突破了這個(gè)機(jī)制，就可以完成任意的操作。對(duì)某個(gè)計(jì)算機(jī)，通常是通過(guò)口令認(rèn)證機(jī)制來(lái)實(shí)現(xiàn)的登陸到計(jì)算機(jī)系統(tǒng)上?，F(xiàn)在大部分個(gè)人計(jì)算機(jī)沒(méi)有提供認(rèn)證系統(tǒng)，也沒(méi)有身份的概念，極其容易被獲取系統(tǒng)的訪問(wèn)權(quán)限。因此，一個(gè)沒(méi)有認(rèn)證機(jī)制的PC是Web服務(wù)器最不安全的平臺(tái)。所以，確保主機(jī)系統(tǒng)的認(rèn)證機(jī)制，嚴(yán)密地設(shè)置及管理訪問(wèn)口令，是主機(jī)系統(tǒng)抵御威脅的有力保障。2、Web服務(wù)器的安全需求隨著“開(kāi)放系統(tǒng)”的發(fā)展和Internet的知識(shí)普及，獲取使用簡(jiǎn)單、功能強(qiáng)大的系統(tǒng)安全攻擊工具是非常容易的事情。在訪問(wèn)你的Web站點(diǎn)的用戶中，不少技術(shù)高超的人，有足夠的經(jīng)驗(yàn)和工具來(lái)探視他們感興趣的東西。還有在人才流動(dòng)頻繁的今天，“

46、系統(tǒng)有關(guān)人員”也可能因?yàn)榉N種原因離開(kāi)原來(lái)的崗位，系統(tǒng)的秘密也可能隨之?dāng)U散。第42頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.8.建立安全的Web站點(diǎn) （續(xù)）對(duì)于Web服務(wù)器，最基本的性能要求是響應(yīng)時(shí)間和吞吐量。響應(yīng)時(shí)間通常以服務(wù)器在單位時(shí)間內(nèi)最多允許的鏈接數(shù)來(lái)衡量，吞吐量則以單位時(shí)間內(nèi)服務(wù)器傳輸?shù)骄W(wǎng)絡(luò)上的字節(jié)數(shù)來(lái)計(jì)算。典型的功能需求有：提供靜態(tài)頁(yè)面和多種動(dòng)態(tài)頁(yè)面服務(wù)的能力；接受和處理用戶信息的能力；提供站點(diǎn)搜索服務(wù)的能力；遠(yuǎn)程管理的能力。典型的安全需求有：在已知的Web服務(wù)器(包括軟、硬件)漏洞中，針對(duì)該類型Web服務(wù)器的攻擊最少；對(duì)服務(wù)器的管理操作只能由授權(quán)用戶執(zhí)行；拒絕通過(guò)Web訪問(wèn)Web服務(wù)器上不公開(kāi)的內(nèi)容；能夠禁止內(nèi)嵌在操作系統(tǒng)或Web服務(wù)器軟件中的不必要的網(wǎng)絡(luò)服務(wù)；有能力控制對(duì)各種形式的執(zhí)行程序的訪問(wèn)；能對(duì)某些Web操作進(jìn)行日志記錄，以便與入侵檢測(cè)和入侵企圖分析；具有適當(dāng)?shù)娜蒎e(cuò)功能。第43頁(yè)，共48頁(yè)，2022年，5月20日，1點(diǎn)5分，星期一8.