信息系統(tǒng)攻擊與防御第十章

1、信息系統(tǒng)攻擊與防御第十章第1頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一內(nèi)容簡介本章主要介紹了與安全相關(guān)的一些專題，包括：計(jì)算機(jī)病毒；訪問控制；身份和信任管理；計(jì)算機(jī)信息安全標(biāo)準(zhǔn)簡介；防火墻；蜜罐；IDS等。第2頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒 什么是計(jì)算機(jī)病毒:下將生物醫(yī)學(xué)病毒與感染IBM-PC機(jī)的DOS環(huán)境下的病毒的特征進(jìn)行對(duì)比。 第3頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))什么是計(jì)算機(jī)病毒從廣義上講，病毒可以歸為2類：引導(dǎo)區(qū)病毒和文件型病毒。1. 引導(dǎo)區(qū)病毒引導(dǎo)區(qū)病毒隱藏在硬盤或軟盤的引導(dǎo)區(qū)(Bo

2、ot區(qū))，當(dāng)計(jì)算機(jī)從感染了引導(dǎo)區(qū)病毒的硬盤或軟盤啟動(dòng)，或是當(dāng)計(jì)算機(jī)從受感染的軟盤里讀取數(shù)據(jù)時(shí)，引導(dǎo)區(qū)病毒就開始發(fā)作。一旦它們把自己復(fù)制到計(jì)算機(jī)的內(nèi)存里，就會(huì)感染其他磁盤的引導(dǎo)區(qū)或是通過網(wǎng)絡(luò)傳播到其他計(jì)算機(jī)上。 2. 文件型病毒 文件型病毒寄生在其他文件中，常常通過對(duì)它們的編碼加密或是使用其他技術(shù)來隱藏。文件型病毒把用來啟動(dòng)主程序的可執(zhí)行命令劫奪過去，當(dāng)作它自己的運(yùn)行命令。該病毒還常常會(huì)把控制還給主程序，為的是讓計(jì)算機(jī)系統(tǒng)顯得正常。第4頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))什么是計(jì)算機(jī)病毒3宏病毒和腳本病毒 宏病毒是一種特殊的文件型病毒。宏病毒是在一些軟

3、件開發(fā)商開始在他們的產(chǎn)品中引入宏語言，并允許這些產(chǎn)品生成載有宏的數(shù)據(jù)文件之后出現(xiàn)的。例如，微軟的Office產(chǎn)品系列包括很多的微軟Visual Basic程序語言，這些語言使Microsoft Word和Microsoft Excel可以自動(dòng)操作模板和文件的生成。第一個(gè)宏病毒Concept是在微軟剛剛在Word中引入宏之后立刻出現(xiàn)的。4多重分裂病毒近幾年來，引導(dǎo)區(qū)病毒和文件型病毒之間的界限變得相當(dāng)?shù)哪：?。許多病毒既能感染文件，也可以感染磁盤引導(dǎo)區(qū)。多重分裂病毒就是這樣的病毒，它可以通過被感染的文件傳播，也可以在硬盤或軟盤運(yùn)行的時(shí)候感染它們的引導(dǎo)區(qū)?，F(xiàn)代病毒很少只使用一種方法，大多都使用以上兩種

4、，有的還使用了其他的方法。 5網(wǎng)絡(luò)蠕蟲程序網(wǎng)絡(luò)蠕蟲程序是一種通過間接方式而不是直接復(fù)制自己來傳播的惡意軟件。有些網(wǎng)絡(luò)蠕蟲攔截E-mail系統(tǒng)并向世界各地發(fā)送自己的復(fù)制品，有些則出現(xiàn)在高速下載站點(diǎn)中，當(dāng)然還有些同時(shí)使用這兩種方法與其他技術(shù)一起傳播。 蠕蟲程序與病毒一樣具有破壞性，傳播速度比病毒還要快。蠕蟲的制作者經(jīng)常利用用戶的心理因素，誘使用戶下載并運(yùn)行蠕蟲。臭名昭著的“美麗莎”病毒，就是一種使用E-mail系統(tǒng)以驚人速度傳播的蠕蟲程序。它的傳播速度之快史無前例，成千上萬的病毒感染造成許多郵件服務(wù)器先后崩潰，人們?yōu)榍宄馁M(fèi)了大量的精力。第5頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一

5、10.1.計(jì)算機(jī)病毒(續(xù))什么是計(jì)算機(jī)病毒6病毒的特征代碼大部分的防毒軟件都使用各自的特征代碼來查找某些固定的病毒。特征代碼是區(qū)分病毒代碼與其他文件或數(shù)據(jù)的一段特殊的字節(jié)。這段代碼有時(shí)是病毒內(nèi)的一種數(shù)據(jù)類型，有時(shí)是加密法或者解密法，或者是其他的識(shí)別特征。有些病毒使用一種明顯的信號(hào)在被它們感染的文件上掛上類似“請(qǐng)勿打擾”的標(biāo)志，否則病毒就會(huì)重復(fù)感染文件并使文件長度無限變大，這樣很容易被發(fā)覺。 第6頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))病毒傳播途徑與危害 計(jì)算機(jī)病毒的傳播途徑主要有：1.通過文件系統(tǒng)傳播；2.通過電子郵件傳播；3.通過局域網(wǎng)傳播；4.通過互

6、聯(lián)網(wǎng)上即時(shí)通訊軟件和點(diǎn)對(duì)點(diǎn)軟件等常用工具傳播；5.利用系統(tǒng)、應(yīng)用軟件的漏洞進(jìn)行傳播；6.利用系統(tǒng)配置缺陷傳播，如弱口令、完全共享等；7.利用欺騙等社會(huì)工程的方法傳播。第7頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))計(jì)算機(jī)病毒原理 計(jì)算機(jī)病毒是一段執(zhí)行程序。所謂執(zhí)行程序是計(jì)算機(jī)要處理的一種數(shù)據(jù)，一般存放在內(nèi)存中，可由計(jì)算機(jī)的中央處理器（CPU）逐條加以執(zhí)行。 計(jì)算機(jī)病毒一定是寄生在某個(gè)有用的執(zhí)行程序之上，這個(gè)有用的執(zhí)行程序稱之為計(jì)算機(jī)病毒的宿主。 將自身復(fù)制到其它執(zhí)行程序之上是判定一個(gè)執(zhí)行程序是否是計(jì)算機(jī)病毒的重要因素。 第8頁，共41頁，2022年，5月20

7、日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))計(jì)算機(jī)病毒的特征 1.非授權(quán)可執(zhí)行性2.隱蔽性 3.傳染性 4.潛伏性 5.表現(xiàn)性或破壞性 6.可觸發(fā)性 第9頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))用戶計(jì)算機(jī)中毒的24種癥狀：1.是計(jì)算機(jī)系統(tǒng)運(yùn)行速度減慢；2.是計(jì)算機(jī)系統(tǒng)經(jīng)常無幫故發(fā)生死機(jī)；3.是計(jì)算機(jī)系統(tǒng)中的文件長度發(fā)生變化；4.是計(jì)算機(jī)存儲(chǔ)的容量異常減少；5.是系統(tǒng)引導(dǎo)速度減慢；6.是丟失文件或文件損壞；7.是計(jì)算機(jī)屏幕上出現(xiàn)異常顯示；8.是計(jì)算機(jī)系統(tǒng)的蜂鳴器出現(xiàn)異常聲響；9.是磁盤卷標(biāo)發(fā)生變化；10.是系統(tǒng)不識(shí)別硬盤；11.是對(duì)存儲(chǔ)系統(tǒng)異常訪問；12

8、.是鍵盤輸入異常；第10頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))用戶計(jì)算機(jī)中毒的24種癥狀：13.是文件的日期、時(shí)間、屬性等發(fā)生變化；14.是文件無法正確讀取、復(fù)制或打開；15.是命令執(zhí)行出現(xiàn)錯(cuò)誤；16.是虛假報(bào)警；17.是換當(dāng)前盤。有些病毒會(huì)將當(dāng)前盤切換到C盤；18.是時(shí)鐘倒轉(zhuǎn)。有些病毒會(huì)命名系統(tǒng)時(shí)間倒轉(zhuǎn)，逆向計(jì)時(shí)；19.是WINDOWS操作系統(tǒng)無故頻繁出現(xiàn)錯(cuò)誤；20.是系統(tǒng)異常重新啟動(dòng)；21.是一些外部設(shè)備工作異常；22.是異常要求用戶輸入密碼。13.是WORD或EXCEL提示執(zhí)行“宏”；24.是不應(yīng)駐留內(nèi)存的程序駐留內(nèi)存。第11頁，共41頁，202

9、2年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))網(wǎng)絡(luò)蠕蟲和特洛伊木馬程序 ：網(wǎng)絡(luò)蠕蟲（worm）主要是利用操作系統(tǒng)和應(yīng)用程序漏洞傳播，通過網(wǎng)絡(luò)的通信功能將自身從一個(gè)結(jié)點(diǎn)發(fā)送到另一個(gè)結(jié)點(diǎn)并啟動(dòng)運(yùn)行的程序，可以造成網(wǎng)絡(luò)服務(wù)遭到拒絕并發(fā)生死鎖?！叭湎x”由兩部分組成：一個(gè)主程序和一個(gè)引導(dǎo)程序。主程序一旦在機(jī)器上建立就會(huì)去收集與當(dāng)前機(jī)器聯(lián)網(wǎng)的其它機(jī)器的信息。它能通過讀取公共配置文件并運(yùn)行顯示當(dāng)前網(wǎng)上聯(lián)機(jī)狀態(tài)信息的系統(tǒng)實(shí)用程序而做到這一點(diǎn)。隨后，它嘗試?yán)们懊嫠枋龅哪切┤毕萑ピ谶@些遠(yuǎn)程機(jī)器上建立其引導(dǎo)程序。特洛伊木馬程序（Trojan horse）是一個(gè)隱藏在合法程序中的非法的程序。該非法程

10、序被用戶在不知情的情況下被執(zhí)行。其名稱源于古希臘的特洛伊木馬神話。對(duì)于木馬的防范可以采取以下措施：1.不要執(zhí)行任何來歷不明的軟件或程序：2.不要輕易打開陌生郵件，或許當(dāng)你打開的同時(shí)就已經(jīng)中了別人設(shè)置的木馬；3.不要因?yàn)閷?duì)方是你的好朋友就輕易執(zhí)行他發(fā)過來的軟件或程序，因?yàn)槟悴淮_信他是否也像你一樣裝上了病毒防火墻，也許你的朋友已經(jīng)中了黑客程序自己卻不知道！同時(shí)，你也不能擔(dān)保是否有別人冒他的名給你發(fā)mail；4.千萬不要隨便留下你的個(gè)人資料，因?yàn)槟阌肋h(yuǎn)不會(huì)知道是否有人會(huì)處心積慮收集起來。第12頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))計(jì)算機(jī)病毒防治策略 ：計(jì)算機(jī)

11、病毒的防治要從防毒、查毒、解毒三方面來進(jìn)行；系統(tǒng)對(duì)于計(jì)算機(jī)病毒的實(shí)際防治能力和效果也要從防毒能力、查毒能力和解毒能力三方面來評(píng)判。1.防毒。是指根據(jù)系統(tǒng)特性，采取相應(yīng)的系統(tǒng)安全措施預(yù)防病毒侵入計(jì)算機(jī)。防毒能力是指通過采取防毒措施，可以準(zhǔn)確、實(shí)時(shí)監(jiān)測預(yù)警經(jīng)由光盤、軟盤、硬盤不同目錄之間、局域網(wǎng)、互聯(lián)網(wǎng)（包括FTP方式、E-MAIL、HTTP方式）或其它形式的文件下載等多種方式的病毒感染；能夠在病毒侵入系統(tǒng)時(shí)發(fā)出警報(bào)，記錄攜帶病毒的文件，即時(shí)清除其中的病毒；對(duì)網(wǎng)絡(luò)而言，能夠向網(wǎng)絡(luò)管理員發(fā)送關(guān)于病毒入侵的信息，記錄病毒入侵的工作站，必要時(shí)還要能夠注銷工作站，隔離病毒源。2.查毒。是指對(duì)于確定的環(huán)境，

12、能夠準(zhǔn)確地報(bào)出病毒名稱，該環(huán)境包括，內(nèi)存、文件、引導(dǎo)區(qū)（含主導(dǎo)區(qū)）、網(wǎng)絡(luò)等。查毒能力是指發(fā)現(xiàn)和追蹤病毒來源的能力，通過查毒能準(zhǔn)確地發(fā)現(xiàn)信息網(wǎng)絡(luò)是否感染有病毒，準(zhǔn)確查找出病毒的來源，給出統(tǒng)計(jì)報(bào)告；查解病毒的能力應(yīng)由查毒率和誤報(bào)率來評(píng)判。3.解毒。是指根據(jù)不同類型病毒對(duì)感染對(duì)象的修改，并按照病毒的感染特性所進(jìn)行的恢復(fù)。該恢復(fù)過程不能破壞未被病毒修改的內(nèi)容。感染對(duì)象包括：內(nèi)存、引導(dǎo)區(qū)（含主引導(dǎo)區(qū)）、可執(zhí)行文件、文檔文件、網(wǎng)絡(luò)等。解毒能力是指從感染對(duì)象中清除病毒，恢復(fù)被病毒感染前的原始信息的能力。第13頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))計(jì)算機(jī)病毒診斷方法

13、：通常計(jì)算機(jī)病毒的檢測方法有兩種：1.手工檢測。是指通過一些軟件工具（如DEBUG.COM、PCTOOLS.EXE、NU.COM、SYSINFO.EXE等）提供的功能進(jìn)行病毒的檢測。這種方法比較復(fù)雜，需要檢測者熟悉機(jī)器指令和操作系統(tǒng)，因而無法普及。它的基本過程是利用一些工具軟件，對(duì)易遭病毒攻擊和修改的內(nèi)存及磁盤的有關(guān)部分進(jìn)行檢查，通過和正常情況下的狀態(tài)進(jìn)行對(duì)比分析，來判斷是否被病毒感染。這種方法檢測病毒，費(fèi)時(shí)費(fèi)力，但可以剖析新病毒，檢測識(shí)別未知病毒，可以檢測一些自動(dòng)檢測工具不認(rèn)識(shí)的新病毒。2.自動(dòng)檢測。是指通過一些診斷軟件來判讀一個(gè)系統(tǒng)或一個(gè)軟盤是否有毒的方法。自動(dòng)檢測則比較簡單，一般用戶都可

14、以進(jìn)行，但需要較好的診斷軟件。這種方法可方便地檢測大量的病毒，但是，自動(dòng)檢測工具只能識(shí)別已知病毒，而且自動(dòng)檢測工具的發(fā)展總是滯后于病毒的發(fā)展，所以檢測工具對(duì)未知病毒很難識(shí)別。 第14頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.1.計(jì)算機(jī)病毒(續(xù))網(wǎng)絡(luò)病毒的清理和防治 ：網(wǎng)絡(luò)病毒的清理防治方法主要有：1.全面地與互聯(lián)網(wǎng)結(jié)合，對(duì)網(wǎng)絡(luò)層、郵件客戶端進(jìn)行實(shí)時(shí)監(jiān)控，防止病毒入侵；2.快速反應(yīng)的病毒檢測網(wǎng)，在病毒爆發(fā)的第一時(shí)間即能提供解決方案；3.病毒防治產(chǎn)品完善的在線升級(jí)，隨時(shí)擁有最新的防病毒能力；4.對(duì)病毒經(jīng)常攻擊的應(yīng)用程序提供重點(diǎn)保護(hù)（如Office、Outlook、IE、ICQ/Q

15、Q等）；5.獲取完整、即時(shí)的反病毒咨詢，盡快了解新病毒的特點(diǎn)和解決方案。 。 第15頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.2.訪問控制訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要核心策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和訪問。訪問控制規(guī)定了主體對(duì)客體訪問的限制，并在身份識(shí)別的基礎(chǔ)上，根據(jù)身份對(duì)提出資源訪問的請(qǐng)求加以控制。它是對(duì)信息系統(tǒng)資源進(jìn)行保護(hù)的重要措施，也是計(jì)算機(jī)系統(tǒng)最重要和最基礎(chǔ)的安全機(jī)制。 第16頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.2.訪問控制 (續(xù))訪問控制的基本概念 ：1主體（Subject）主體是指主動(dòng)的實(shí)體，是訪問的發(fā)起者，它造成了信

16、息的流動(dòng)和系統(tǒng)狀態(tài)的改變，主體通常包括人、進(jìn)程和設(shè)備。2客體（Object）客體是指包含或接受信息的被動(dòng)實(shí)體，客體在信息流動(dòng)中的地位是被動(dòng)的，是處于主體的作用之下，對(duì)客體的訪問意味著對(duì)其中所包含信息的訪問。客體通常包括文件、設(shè)備、信號(hào)量和網(wǎng)絡(luò)節(jié)點(diǎn)等。3訪問（Access）訪問（Access）是使信息在主體（Subject）和客體（Object）之間流動(dòng)的一種交互方式。4訪問許可（Access Permissions）訪問控制決定了誰能夠訪問系統(tǒng)，能訪問系統(tǒng)的何種資源以及如何使用這些資源。適當(dāng)?shù)脑L問控制能夠阻止未經(jīng)允許的用戶有意或無意地獲取數(shù)據(jù)。訪問控制的手段包括用戶識(shí)別代碼、口令、登錄控制、資

17、源授權(quán)（例如用戶配置文件、資源配置文件和控制列表）、授權(quán)核查、日志和審計(jì)等等。第17頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.2.訪問控制 (續(xù))訪問控制的基本概念 ：1主體（Subject）主體是指主動(dòng)的實(shí)體，是訪問的發(fā)起者，它造成了信息的流動(dòng)和系統(tǒng)狀態(tài)的改變，主體通常包括人、進(jìn)程和設(shè)備。2客體（Object）客體是指包含或接受信息的被動(dòng)實(shí)體，客體在信息流動(dòng)中的地位是被動(dòng)的，是處于主體的作用之下，對(duì)客體的訪問意味著對(duì)其中所包含信息的訪問?？腕w通常包括文件、設(shè)備、信號(hào)量和網(wǎng)絡(luò)節(jié)點(diǎn)等。3訪問（Access）訪問（Access）是使信息在主體（Subject）和客體（Object

18、）之間流動(dòng)的一種交互方式。4訪問許可（Access Permissions）訪問控制決定了誰能夠訪問系統(tǒng)，能訪問系統(tǒng)的何種資源以及如何使用這些資源。適當(dāng)?shù)脑L問控制能夠阻止未經(jīng)允許的用戶有意或無意地獲取數(shù)據(jù)。訪問控制的手段包括用戶識(shí)別代碼、口令、登錄控制、資源授權(quán)（例如用戶配置文件、資源配置文件和控制列表）、授權(quán)核查、日志和審計(jì)等等。第18頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.2.訪問控制 (續(xù))訪問控制策略 ：訪問控制涉及的領(lǐng)域很廣，方法也很多，通常訪問控制策略可以劃分為三種：自主訪問控制強(qiáng)制訪問控制基于角色的訪問控制第19頁，共41頁，2022年，5月20日，1點(diǎn)5分，

19、星期一10.2.訪問控制 (續(xù))自主訪問控制（Discretionary Access Control）是一種允許主體對(duì)訪問控制施加特定限制的訪問控制類型。它允許主體針對(duì)訪問資源的用戶設(shè)置訪問控制權(quán)限，用戶對(duì)資源的每次訪問都會(huì)檢查用戶對(duì)資源的訪問權(quán)限，只有通過驗(yàn)證的用戶才能訪問資源。自主訪問控制是基于用戶的，故此具有很高的靈活性，這使得這種策略適合各類操作系統(tǒng)和應(yīng)用程序，特別是在商業(yè)和工業(yè)領(lǐng)域。例如，在很多應(yīng)用環(huán)境中，用戶需要在沒有系統(tǒng)管理員介入的情況下，擁有設(shè)定其他用戶訪問其所控制信息資源的能力，因此控制就具有很大的任意性。在這種環(huán)境下，用戶對(duì)信息的訪問控制是動(dòng)態(tài)的，這時(shí)采用自主訪問控制就比

20、較合適。自主訪問控制包括身份型（Identity-based）訪問控制和用戶指定型（User-directed）訪問控制，通常包括目錄式訪問控制，訪問控制表，訪問控制矩陣和面向過程的訪問控制等方式。第20頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.2.訪問控制 (續(xù))強(qiáng)制訪問控制（Mandatory Access Control）是一種不允許主體干涉的訪問控制類型。它是基于安全標(biāo)識(shí)和信息分級(jí)等信息敏感性的訪問控制，通過比較資源的敏感性與主體的級(jí)別來確定是否允許訪問。系統(tǒng)將所有主體和客體分成不同的安全等級(jí)，給予客體的安全等級(jí)能反映出客體本身的敏感程度；主體的安全等級(jí)，標(biāo)志著用戶不

21、會(huì)將信息透露給未經(jīng)授權(quán)的用戶。通常安全等級(jí)可分為四個(gè)級(jí)別：最高秘密級(jí)（Top Secret）、秘密級(jí)（Secret）、機(jī)密級(jí)（Confidential）以及無級(jí)別級(jí)（Unclassified），其級(jí)別順序?yàn)門SSCU。這些安全級(jí)別可以支配同一級(jí)別或低一級(jí)別的對(duì)象。當(dāng)一個(gè)主體訪問一個(gè)客體時(shí)必須符合各自的安全級(jí)別需求，特別是如下兩個(gè)原則必須遵守： Read Down：主體安全級(jí)別必須高于被讀取對(duì)象的級(jí)別； Write up：主體安全級(jí)別必須低于被寫入對(duì)象的級(jí)別。這些規(guī)則可以防止高級(jí)別對(duì)象的信息傳播到低級(jí)別的對(duì)象中，這樣系統(tǒng)中的信息只能在同一層次傳送或流向更高一級(jí)。第21頁，共41頁，2022年，5

22、月20日，1點(diǎn)5分，星期一10.2.訪問控制 (續(xù))基于角色的訪問控制（Role Based Access Control）是指在應(yīng)用環(huán)境中，通過對(duì)合法的訪問者進(jìn)行角色認(rèn)證來確定訪問者在系統(tǒng)中對(duì)哪類信息有什么樣的訪問權(quán)限。系統(tǒng)只問用戶是什么角色，而不管用戶是誰。角色可以理解成為其工作涉及相同行為和責(zé)任范圍內(nèi)的一組人，一個(gè)訪問者可以扮演多個(gè)角色，一個(gè)角色也可以包含多個(gè)訪問者。角色訪問控制具有以下優(yōu)點(diǎn)：便于授權(quán)管理、便于賦予最小特權(quán)、便于根據(jù)工作需要分級(jí)、責(zé)任獨(dú)立、便于文件分級(jí)管理、便于大規(guī)模實(shí)現(xiàn)。角色訪問是一種有效而靈活的安全措施，系統(tǒng)管理模式明確，節(jié)約管理開銷，當(dāng)前流行的數(shù)據(jù)管理系統(tǒng)都采用了角

23、色策略來管理權(quán)限。第22頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.2.訪問控制 (續(xù))訪問控制技術(shù) ：根據(jù)控制手段和具體目的的不同，通常將訪問控制技術(shù)劃分為如下幾個(gè)方面：入網(wǎng)訪問控制網(wǎng)絡(luò)權(quán)限控制目錄級(jí)安全控制屬性安全控制網(wǎng)絡(luò)服務(wù)器的安全控制第23頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.2.訪問控制 (續(xù))入網(wǎng)訪問控制為網(wǎng)絡(luò)訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，控制準(zhǔn)許用戶入網(wǎng)的時(shí)間和準(zhǔn)許入網(wǎng)的工作站等。 網(wǎng)絡(luò)權(quán)限控制是針對(duì)網(wǎng)絡(luò)非法操作所提出的一種安全保護(hù)措施。能夠訪問網(wǎng)絡(luò)的合法用戶被劃分為不同的用戶組，用戶和用戶組被賦予一

24、定的權(quán)限。 目錄級(jí)安全控制是針對(duì)用戶設(shè)置的訪問控制，控制用戶對(duì)目錄、文件、設(shè)備的訪問。用戶在目錄一級(jí)指定的權(quán)限對(duì)所有文件和子目錄有效，用戶還可以進(jìn)一步指定對(duì)目錄下的子目錄和文件的權(quán)限。對(duì)目錄和文件的訪問權(quán)限一般有八種：系統(tǒng)管理員權(quán)限、讀權(quán)限、寫權(quán)限、創(chuàng)建權(quán)限、刪除權(quán)限、修改權(quán)限、文件查找權(quán)限和訪問控制權(quán)限。 屬性安全控制在權(quán)限安全控制的基礎(chǔ)上提供更進(jìn)一步的安全性。當(dāng)用戶訪問文件、目錄和網(wǎng)絡(luò)設(shè)備時(shí)，網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)該給出文件、目錄的訪問屬性，網(wǎng)絡(luò)上的資源都應(yīng)預(yù)先標(biāo)出安全屬性，用戶對(duì)網(wǎng)絡(luò)資源的訪問權(quán)限對(duì)應(yīng)一張?jiān)L問控制表，用以表明用戶對(duì)網(wǎng)絡(luò)資源的訪問能力。 為網(wǎng)絡(luò)允許在用戶在服務(wù)器控制臺(tái)上執(zhí)行一系列

25、操作，所以用戶使用控制臺(tái)就可以裝載和卸載模塊，可以安裝和刪除軟件等操作，這就需要網(wǎng)絡(luò)服務(wù)器的安全控制。網(wǎng)絡(luò)服務(wù)器的安全控制包括可以設(shè)置口令鎖定服務(wù)器控制臺(tái)，從而防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)。具體包括設(shè)定服務(wù)器登錄時(shí)間限制、非法訪問者檢測和關(guān)閉的時(shí)間間隔等。第24頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.3.身份和信任管理 (續(xù))開放式系統(tǒng)的認(rèn)證有以下幾種需求： 安全性：認(rèn)證機(jī)制必須足夠安全，不致成為攻擊的薄弱環(huán)節(jié)。 可靠性：認(rèn)證服務(wù)是其他服務(wù)的基礎(chǔ)，它的可靠性決定整個(gè)系統(tǒng)的可靠性。 透明性：用戶應(yīng)該感受不到認(rèn)證服務(wù)的存在。 可擴(kuò)展性：當(dāng)和不支持認(rèn)證機(jī)制的系統(tǒng)通信時(shí)

26、，應(yīng)該保持一切不受影響。一般而言，認(rèn)證的機(jī)制分為兩類：簡單認(rèn)證機(jī)制強(qiáng)認(rèn)證機(jī)制第25頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.3.身份和信任管理 (續(xù))RADIUS認(rèn)證機(jī)制 RADIUS（Remote Authentication Dial In User Service）協(xié)議最初是由Livingston公司提出的，原先的目的是為撥號(hào)用戶進(jìn)行認(rèn)證和計(jì)費(fèi)。后來經(jīng)過多次改進(jìn)，形成了一項(xiàng)通用的認(rèn)證計(jì)費(fèi)協(xié)議。RADIUS認(rèn)證要用到基于挑戰(zhàn)/應(yīng)答（Challenge/Response）的認(rèn)證方式。RADIUS是一種C/S結(jié)構(gòu)的協(xié)議，它的客戶端最初就是NAS（Net Access Serv

27、er）服務(wù)器，現(xiàn)在任何運(yùn)行RADIUS客戶端軟件的計(jì)算機(jī)都可以成為RADIUS的客戶端。RADIUS協(xié)議認(rèn)證機(jī)制靈活，可以采用PAP、CHAP或者Unix登錄認(rèn)證等多種方式。RADIUS是一種可擴(kuò)展的協(xié)議，它進(jìn)行的全部工作都是基于Attribute-Length-Value的向量進(jìn)行的。RADIUS的基本工作原理是用戶接入NAS，NAS向RADIUS服務(wù)器使用Access-Require數(shù)據(jù)包提交用戶信息，包括用戶名、密碼等相關(guān)信息，其中用戶密碼是經(jīng)過MD5加密的，雙方使用共享密鑰，這個(gè)密鑰不經(jīng)過網(wǎng)絡(luò)傳播；RADIUS服務(wù)器對(duì)用戶名和密碼的合法性進(jìn)行檢驗(yàn)，必要時(shí)可以提出一個(gè)Challenge，

28、要求進(jìn)一步對(duì)用戶認(rèn)證，也可以對(duì)NAS進(jìn)行類似的認(rèn)證；如果合法，給NAS返回Access-Accept數(shù)據(jù)包，允許用戶進(jìn)行下一步工作，否則返回Access-Reject數(shù)據(jù)包，拒絕用戶訪問；如果允許訪問，NAS向RADIUS服務(wù)器提出計(jì)費(fèi)請(qǐng)求Account-Require，RADIUS服務(wù)器響應(yīng)Account-Accept，對(duì)用戶的計(jì)費(fèi)開始，同時(shí)用戶可以進(jìn)行自己的相關(guān)操作。第26頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.3.身份和信任管理 (續(xù))基于DCE/Kerberos的認(rèn)證機(jī)制 DCE/Kerberos是一種被證明為非常安全的雙向身份認(rèn)證技術(shù)。DCE/Kerberos的身

29、份認(rèn)證強(qiáng)調(diào)了客戶機(jī)對(duì)服務(wù)器的認(rèn)證； Kerberos一種為網(wǎng)絡(luò)通信提供可信第三方服務(wù)的面向開放系統(tǒng)的認(rèn)證機(jī)制。每當(dāng)用戶(Client)申請(qǐng)得到某服務(wù)程序(Server)的服務(wù)時(shí)，用戶和服務(wù)程序會(huì)首先向Kerberos要求認(rèn)證對(duì)方的身份，認(rèn)證建立在用戶(Client)和服務(wù)程序(Server)對(duì)Kerberos的信任的基礎(chǔ)上。 在申請(qǐng)認(rèn)證時(shí)，Client和Server都可看成是Kerberos認(rèn)證服務(wù)的用戶，為了和其它服務(wù)的用戶區(qū)別，Kerberos用戶統(tǒng)稱為Principle， Principle既可以是用戶也可以是某項(xiàng)服務(wù)。認(rèn)證雙方與Kerberos的關(guān)系用圖表示： 第27頁，共41頁，20

30、22年，5月20日，1點(diǎn)5分，星期一10.3.身份和信任管理 (續(xù))基于公共密鑰的認(rèn)證機(jī)制 目前在Internet上也使用基于公共密鑰的安全策略進(jìn)行身份認(rèn)證，具體而言，使用符合X.509的身份證明。PKI是通過使用公開密鑰技術(shù)和數(shù)字證書來確保系統(tǒng)信息安全并負(fù)責(zé)驗(yàn)證數(shù)字證書持有者身份的一種體系。（參見教材） 第28頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.3.身份和信任管理 (續(xù))基于挑戰(zhàn)/應(yīng)答的認(rèn)證機(jī)制 基于挑戰(zhàn)/應(yīng)答（Challenge/Response）方式的身份認(rèn)證機(jī)制就是每次認(rèn)證時(shí)認(rèn)證服務(wù)器端都給客戶端發(fā)送一個(gè)不同的“挑戰(zhàn)”字串，客戶端程序收到這個(gè)“挑戰(zhàn)”字串后，做出

31、相應(yīng)的“應(yīng)答”。認(rèn)證過程為：向認(rèn)證服務(wù)器發(fā)出請(qǐng)求，要求進(jìn)行身份認(rèn)證；認(rèn)證服務(wù)器從用戶數(shù)據(jù)庫中查詢用戶是否是合法的用戶，若不是，則不做進(jìn)一步處理；認(rèn)證服務(wù)器內(nèi)部產(chǎn)生一個(gè)隨機(jī)數(shù)，作為“提問”，發(fā)送給客戶；客戶將用戶名字和隨機(jī)數(shù)合并，使用單向Hash函數(shù)（例如MD5算法）生成一個(gè)字節(jié)串作為應(yīng)答；認(rèn)證服務(wù)器將應(yīng)答串與自己的計(jì)算結(jié)果比較，若二者相同，則通過一次認(rèn)證；否則，認(rèn)證失敗；認(rèn)證服務(wù)器通知客戶認(rèn)證成功或失敗。以后的認(rèn)證由客戶不定時(shí)地發(fā)起，過程中沒有了客戶認(rèn)證請(qǐng)求一步。兩次認(rèn)證的時(shí)間間隔不能太短，否則就給網(wǎng)絡(luò)、客戶和認(rèn)證服務(wù)器帶來太大的開銷；也不能太長，否則不能保證用戶不被他人盜用IP地址，一般定為

32、1-2分鐘。第29頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.4.計(jì)算機(jī)信息安全標(biāo)準(zhǔn)簡介1.國際標(biāo)準(zhǔn)化組織（ISO）ISO始建于1946年，是一個(gè)自發(fā)的非條約性組織，其成員是參加國的指定標(biāo)準(zhǔn)化機(jī)構(gòu)（美國的成員是美國國家標(biāo)準(zhǔn)研究所（ANSI）。該組織負(fù)責(zé)制定廣泛的技術(shù)標(biāo)準(zhǔn)，為世界各國的技術(shù)共享和包準(zhǔn)技術(shù)質(zhì)量起著導(dǎo)向和把關(guān)的作用。設(shè)立ISO的目的是促進(jìn)國際標(biāo)準(zhǔn)化和相關(guān)活動(dòng)的開展，以便于商品和服務(wù)的國際交換，并以發(fā)展知識(shí)、科技和經(jīng)濟(jì)活動(dòng)領(lǐng)域內(nèi)的合作為已任。ISO現(xiàn)已發(fā)布了覆蓋領(lǐng)域極為廣泛的5000多個(gè)國際標(biāo)準(zhǔn)。ISO為信息系統(tǒng)的安全體系結(jié)構(gòu)制定了開放系統(tǒng)互聯(lián)（OSI）基本參考模型（I

33、SO7498）。模型提供了如下5種可以選擇的安全服務(wù)：對(duì)等實(shí)體認(rèn)證和數(shù)據(jù)源認(rèn)證、訪問控制（Access Control，AC）、數(shù)據(jù)保密（Data Confidentiality，DC）、數(shù)據(jù)完整性（Data Integrity，DI）和抗否認(rèn)（Non-Repudiation，N-R）。第30頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.4.計(jì)算機(jī)信息安全標(biāo)準(zhǔn)簡介(續(xù))2.國際電報(bào)和電話咨詢委員會(huì)（CCITT）CCITT是一個(gè)聯(lián)合國條約組織，屬于國際電信聯(lián)盟，由主要成員國的郵政、電報(bào)和電話部門組成（美國在這一委員會(huì)的成員是美國國務(wù)院）。它主要從事涉及通訊領(lǐng)域的接口和通訊協(xié)議的制定

34、，與ISO密切合作進(jìn)行國際通訊的標(biāo)準(zhǔn)化工作，對(duì)國際通訊使用的各種通訊設(shè)備以及規(guī)程的標(biāo)準(zhǔn)化提出了一系列的建議，在數(shù)據(jù)通訊范圍內(nèi)的工作體現(xiàn)于V系列和X系列建議書，在X.400和X.500中對(duì)信息安全問題有一系列的表述。第31頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.4.計(jì)算機(jī)信息安全標(biāo)準(zhǔn)簡介(續(xù))3.國際信息處理聯(lián)合會(huì)第十一技術(shù)委員會(huì)（IFIP TC11）有關(guān)信息系統(tǒng)安全組織在國際上有重要的影響，公安部代表我國參加該組織的活動(dòng)。該組織每年舉行一次計(jì)算機(jī)安全的國際研討會(huì)，該組織的機(jī)構(gòu)有：WG11.1安全管理工作組、WG11.2辦公自動(dòng)化安全工作組、WG11.3數(shù)據(jù)庫安全工作組、WG

35、11.4密碼工作組、WG11.5系統(tǒng)完整性與控制工作組、WG11.6擬構(gòu)成計(jì)算機(jī)事務(wù)處理工作組、WG11.7計(jì)算機(jī)安全法律工作組、WG11.8計(jì)算機(jī)安全教育工作組。第32頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.4.計(jì)算機(jī)信息安全標(biāo)準(zhǔn)簡介(續(xù))4.電氣與電子工程師學(xué)會(huì)（IEFE）IEEE是一個(gè)由電氣和電子工程師組成的世界上最大的專業(yè)性學(xué)會(huì)，擁有275000多個(gè)成員，該組織分許多部門。1980年2月IEEE計(jì)算機(jī)學(xué)會(huì)建立了一個(gè)委員會(huì)負(fù)責(zé)制定有關(guān)網(wǎng)絡(luò)的協(xié)議標(biāo)準(zhǔn)，其中有802.1：高層接口、802.2：邏輯鏈路控制、802.3：CSMA/CD網(wǎng)、802.4：令牌總線網(wǎng)、802.5：

36、令牌環(huán)網(wǎng)、802.6：城域網(wǎng)、802.7：寬帶技術(shù)咨詢組、802.8：光纖技術(shù)咨詢組、802.9：數(shù)據(jù)和話音綜合網(wǎng)絡(luò)。近年來IEEE還關(guān)注了公開密鑰密碼的標(biāo)準(zhǔn)化，著手制定了有關(guān)的標(biāo)準(zhǔn)P1363，它包括了RSA公開密鑰密碼、橢圓曲線公開密鑰密碼和密鑰交換等方面的內(nèi)容。第33頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.4.計(jì)算機(jī)信息安全標(biāo)準(zhǔn)簡介(續(xù))5.歐洲計(jì)算機(jī)制造商協(xié)會(huì)（ECMA）ECMA是由歐洲和美國在歐洲供應(yīng)計(jì)算機(jī)的廠商組成的組織，致力于制定和頒布適用于計(jì)算機(jī)技術(shù)的各種標(biāo)準(zhǔn)，在ISO和CCITT中是一個(gè)沒有表決權(quán)的成員。6.Internet體系結(jié)構(gòu)委員會(huì)（IAB）IAB下設(shè)

37、Internet工程特別工作組（Internet Engineering Task Force，IETF）和Internet研究特別工作組（Internet Research Task Force，IRTF）兩個(gè)主要部門，IAB根據(jù)Internet的發(fā)展制定技術(shù)規(guī)范。第34頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.4.計(jì)算機(jī)信息安全標(biāo)準(zhǔn)簡介(續(xù))7.美國國家標(biāo)準(zhǔn)局與美國商業(yè)部國家技術(shù)標(biāo)準(zhǔn)研究所（NBS&NIST）NBS屬于美國商業(yè)部的一個(gè)機(jī)構(gòu)（現(xiàn)在的工作由NIST進(jìn)行），發(fā)布銷售給美國聯(lián)邦政府的設(shè)備信息處理標(biāo)準(zhǔn)，涉及的領(lǐng)域很寬，是ISO和CCITT的代表。但是，它的標(biāo)準(zhǔn)，美國

38、國防部經(jīng)常不予采納，而是另搞一套。NIST在聯(lián)邦政府中承擔(dān)的責(zé)任是建立技術(shù)、物理以及行政管理的標(biāo)準(zhǔn)，制定保證聯(lián)邦計(jì)算機(jī)系統(tǒng)高效率、低耗費(fèi)和保證敏感信息安全的規(guī)范。它與美國國家安全局（NSA）緊密合作，在NSA的指導(dǎo)和監(jiān)督下，制定計(jì)算機(jī)信息系統(tǒng)的技術(shù)安全標(biāo)準(zhǔn)。這個(gè)機(jī)構(gòu)的工作范圍很廣，是當(dāng)前信息安全技術(shù)標(biāo)準(zhǔn)領(lǐng)域中最具影響的標(biāo)準(zhǔn)化機(jī)構(gòu)。它制定的信息安全規(guī)范和標(biāo)準(zhǔn)很多，主要涉及到以下幾個(gè)方面：訪問控制和認(rèn)證技術(shù)、評(píng)價(jià)和保障、密碼、電子商務(wù)、一般計(jì)算機(jī)安全、網(wǎng)絡(luò)安全、風(fēng)險(xiǎn)管理、電訊、聯(lián)邦信息處理標(biāo)準(zhǔn)等。它的工作成果一般以NIST出版物（FIPS PUBs）和NIST特別出版物（FIPS PUB）等形式發(fā)

39、布。它的活動(dòng)很公開，經(jīng)常以公告的方式向公眾發(fā)布有關(guān)事項(xiàng)的計(jì)劃和要求，引導(dǎo)學(xué)術(shù)界和產(chǎn)業(yè)界在聯(lián)邦政府倡導(dǎo)的問題上開展研究討論，對(duì)美國乃至世界的信息安全發(fā)展產(chǎn)生深遠(yuǎn)的影響。第35頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10.4.計(jì)算機(jī)信息安全標(biāo)準(zhǔn)簡介(續(xù))8.美國國家標(biāo)準(zhǔn)協(xié)會(huì)（ANSI）它是由制定標(biāo)準(zhǔn)和使用標(biāo)準(zhǔn)的組織聯(lián)合組成的、非贏利的、非政府部門的民辦機(jī)構(gòu)，由全美1000多家制造商、專業(yè)性協(xié)會(huì)、貿(mào)易協(xié)會(huì)、政府和管理團(tuán)體、公司和用戶協(xié)會(huì)組成。是美國自發(fā)制定的與工業(yè)有關(guān)的各種標(biāo)準(zhǔn)的統(tǒng)籌交流組織。它出版國家標(biāo)準(zhǔn)，但是不制定標(biāo)準(zhǔn)，標(biāo)準(zhǔn)由其委托的其它團(tuán)體來制定。9.美國電子工業(yè)協(xié)會(huì)（EIA）E

40、IA是美國電子公司貿(mào)易協(xié)會(huì)，屬于ANIS的成員。它制定了涉及電氣和電子領(lǐng)域的400多個(gè)標(biāo)準(zhǔn)。主要工作是建立了數(shù)據(jù)終端設(shè)備和數(shù)據(jù)通信設(shè)備的接口標(biāo)準(zhǔn)（如RS232C等）10.美國國防部及國家計(jì)算機(jī)安全中心（DOD&NCSC）DOD早在80年代句針對(duì)國防部門的計(jì)算機(jī)安全保密開展了一系列有影響的工作，后來成立了國家計(jì)算機(jī)安全中心（NCSC）繼續(xù)進(jìn)行工作。1983年他們公布了可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)準(zhǔn)則（Trusted Computer System Evaluation Criteria，TCSEC），以后NCSC又出版了一系列有關(guān)可信計(jì)算機(jī)數(shù)據(jù)庫、可信計(jì)算機(jī)網(wǎng)絡(luò)的指南等（俗稱彩虹系列） 第36頁，共41頁，2022年，5月20日，1點(diǎn)5分，星期一10