主題1+計(jì)算機(jī)網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全與管理參考資料1.蔡永泉.計(jì)算機(jī)網(wǎng)絡(luò)安全理論與技術(shù)教程[M]清華大學(xué)出版社2.李衛(wèi).計(jì)算機(jī)網(wǎng)絡(luò)安全與管理[M]清華大學(xué)出版社3./瑞星反病毒資詢網(wǎng)4./中國計(jì)算機(jī)安全5./河南省計(jì)算機(jī)安全協(xié)會(huì)6./廣東省信息網(wǎng)絡(luò)安全協(xié)會(huì)7./eschool/zhuanti/safe/

（計(jì)算機(jī)網(wǎng)絡(luò)安全設(shè)置視頻教程）8./中國教育科研和計(jì)算機(jī)網(wǎng)緊急響應(yīng)組9.10.學(xué)習(xí)要求1.了解網(wǎng)絡(luò)與信息安全的基本原理和相關(guān)技術(shù)；2.具備網(wǎng)絡(luò)與信息安全的基本實(shí)踐能力；3.關(guān)注國內(nèi)外最新研究成果和發(fā)展動(dòng)態(tài)。主題1計(jì)算機(jī)網(wǎng)絡(luò)安全概述教學(xué)目標(biāo)1.理解計(jì)算機(jī)網(wǎng)絡(luò)安全的涵義。2.知道網(wǎng)絡(luò)面臨的各種安全威脅、產(chǎn)生安全威脅的原因及網(wǎng)絡(luò)的安全機(jī)制。重點(diǎn)：網(wǎng)絡(luò)安全基本概念、產(chǎn)生安全威脅的原因信息時(shí)代的到來，網(wǎng)絡(luò)已無所不在地影響著社會(huì)的政治、經(jīng)濟(jì)、文化、軍事、意識形態(tài)和社會(huì)生活等各個(gè)方面。同時(shí)在全球范圍內(nèi)，針對重要信息資源和網(wǎng)絡(luò)基礎(chǔ)設(shè)施的入侵行為和企圖入侵行為的數(shù)量仍在持續(xù)不斷增加，網(wǎng)絡(luò)攻擊與入侵行為對國家安全、經(jīng)濟(jì)和社會(huì)生活造成了極大的威脅。因此，網(wǎng)絡(luò)安全已成為世界各國當(dāng)今共同關(guān)注的焦點(diǎn)。ABAB正常傳輸傳輸中斷AB竊聽CAB篡改CAB偽造C一、網(wǎng)絡(luò)安全的基本涵義安全在字典中的定義是為防范間諜活動(dòng)或蓄意破壞、犯罪、攻擊而采取的措施。將安全的一般含義限定在計(jì)算機(jī)網(wǎng)絡(luò)范疇，網(wǎng)絡(luò)安全防護(hù)定義為：拒絕未經(jīng)授權(quán)的物理或電子入侵、操作，保證網(wǎng)絡(luò)和所傳信息端到端的完整性，能夠拒絕各種類型的破壞，包括電子襲擊、物理襲擊、人為錯(cuò)誤等。網(wǎng)絡(luò)安全基本概念網(wǎng)絡(luò)安全是一門涉及計(jì)算機(jī)科學(xué)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論、信息論等多種學(xué)科的綜合性科學(xué)。網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，確保系統(tǒng)能連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。（二）網(wǎng)絡(luò)安全保護(hù)范圍密碼安全計(jì)算機(jī)系統(tǒng)安全網(wǎng)絡(luò)安全信息安全（三）不同人員的網(wǎng)絡(luò)安全側(cè)重研究人員：更關(guān)注從理論上采用數(shù)學(xué)方法精確描述安全屬性。工程人員：從實(shí)際應(yīng)用角度對成熟的網(wǎng)絡(luò)安全解決方案和新型網(wǎng)絡(luò)安全產(chǎn)品更感興趣。評估人員：較多關(guān)注的是網(wǎng)絡(luò)安全評價(jià)標(biāo)準(zhǔn)、安全等級劃分、安全產(chǎn)品測評方法與工具、網(wǎng)絡(luò)信息采集以及網(wǎng)絡(luò)攻擊技術(shù)。（三）網(wǎng)絡(luò)安全側(cè)重點(diǎn)網(wǎng)絡(luò)管理或網(wǎng)絡(luò)安全管理人員：側(cè)重網(wǎng)絡(luò)安全管理策略、身份認(rèn)證、訪問控制、入侵檢測、網(wǎng)絡(luò)安全審計(jì)、網(wǎng)絡(luò)安全應(yīng)急響應(yīng)和計(jì)算機(jī)病毒防治等安全技術(shù)。國家安全保密部門：必須了解網(wǎng)絡(luò)信息泄露、竊聽和過濾的各種技術(shù)手段，避免涉及國家政治、軍事、經(jīng)濟(jì)等重要機(jī)密信息的無意或有意泄露；抑制和過濾威脅國家安全的反動(dòng)與邪教等意識形態(tài)信息傳播。公共安全部門：應(yīng)當(dāng)熟悉國家和行業(yè)部門頒布的常用網(wǎng)絡(luò)安全監(jiān)察法律法規(guī)、網(wǎng)絡(luò)安全取證、網(wǎng)絡(luò)安全審計(jì)、知識產(chǎn)權(quán)保護(hù)、社會(huì)文化安全等技術(shù)，一旦發(fā)現(xiàn)竊取或破環(huán)商業(yè)機(jī)密信息、軟件盜版、電子出版物侵權(quán)、色情與暴力信息傳播等各種網(wǎng)絡(luò)違法犯罪行為，能夠取得可信的、完整的、準(zhǔn)確的、符合國家法律法規(guī)的訴訟證據(jù)。（三）網(wǎng)絡(luò)安全側(cè)重點(diǎn)軍事人員：更關(guān)心信息對抗、信息加密、安全通信協(xié)議、無線網(wǎng)絡(luò)安全、入侵攻擊和網(wǎng)絡(luò)病毒傳播等網(wǎng)絡(luò)安全綜合技術(shù)，通過綜合利用網(wǎng)絡(luò)安全技術(shù)奪取網(wǎng)絡(luò)信息優(yōu)勢；擾亂敵方指揮系統(tǒng)；摧毀敵方網(wǎng)絡(luò)基礎(chǔ)設(shè)施，以便贏得未來信息戰(zhàn)爭的決勝權(quán)。（三）網(wǎng)絡(luò)安全側(cè)重點(diǎn)（四）網(wǎng)絡(luò)安全內(nèi)容物理安全邏輯安全操作系統(tǒng)安全聯(lián)網(wǎng)安全物理安全1．防盜像其他的物體一樣，計(jì)算機(jī)也是偷竊者的目標(biāo)，例如盜走軟盤、主板等。計(jì)算機(jī)偷竊行為所造成的損失可能遠(yuǎn)遠(yuǎn)超過計(jì)算機(jī)本身的價(jià)值，因此必須采取嚴(yán)格的防范措施，以確保計(jì)算機(jī)設(shè)備不會(huì)丟失。2．防火

計(jì)算機(jī)機(jī)房發(fā)生火災(zāi)一般是由于電氣原因、人為事故或外部火災(zāi)蔓延引起的。電氣設(shè)備和線路因?yàn)槎搪?、過載、接觸不良、絕緣層破壞或靜電等原因引起電打火而導(dǎo)致火災(zāi)。人為事故是指由于操作人員不慎，吸煙、亂扔煙頭等，使充滿易燃物質(zhì)（如紙片、磁帶、膠片等）的機(jī)房起火，當(dāng)然也不排除人為故意放火。外部火災(zāi)蔓延是因外部房間或其他建筑物起火而蔓延到機(jī)房而引起火災(zāi)。3．防靜電靜電是由物體間的相互摩擦、接觸而產(chǎn)生的。計(jì)算機(jī)顯示器也會(huì)產(chǎn)生很強(qiáng)的靜電。靜電產(chǎn)生后，由于未能釋放而保留在物體內(nèi)，會(huì)有很高的電位（能量不大），從而產(chǎn)生靜電放電火花，造成火災(zāi)。還可能使大規(guī)模集成電器損壞，這種損壞可能是不知不覺造成的。4．防雷擊利用傳統(tǒng)避雷針防雷，不但增加雷擊概率，而且產(chǎn)生感應(yīng)雷，而感應(yīng)雷是電子信息設(shè)備被損壞的主要?dú)⑹?，也是易燃易爆品被引燃起爆的主要原因。雷擊防范的主要措施：根?jù)電氣、微電子設(shè)備的不同功能及不同受保護(hù)程序和所屬保護(hù)層確定防護(hù)要點(diǎn)作分類保護(hù)；根據(jù)雷電和操作瞬間過電壓危害的可能通道從電源線到數(shù)據(jù)通信線路都應(yīng)做多級層保護(hù)。5．防電磁泄漏計(jì)算機(jī)和其他電子設(shè)備一樣，工作時(shí)要產(chǎn)生電磁發(fā)射。電磁發(fā)射包括輻射發(fā)射和傳導(dǎo)發(fā)射。這兩種電磁發(fā)射可被高靈敏度的接收設(shè)備接收并進(jìn)行分析、還原，造成計(jì)算機(jī)的信息泄露。屏蔽是防電磁泄漏的有效措施，屏蔽主要有電屏蔽、磁屏蔽和電磁屏蔽三種類型。邏輯安全計(jì)算機(jī)的邏輯安全需要用口令、文件許可、查賬等方法來實(shí)現(xiàn)?？梢韵拗频卿浀拇螖?shù)或?yàn)樵囂讲僮髟黾訒r(shí)間限制；可以用軟件來保護(hù)存儲在計(jì)算機(jī)文件中的信息；限制存取的另一種方式是通過硬件完成，在接收到存取要求后，先詢問并校核口令，然后訪問列于目錄中的授權(quán)用戶標(biāo)志號。此外，有一些安全軟件包也可以跟蹤可疑的、未授權(quán)的存取企圖，例如：多次登錄或請求別人的文件。操作系統(tǒng)安全

操作系統(tǒng)是計(jì)算機(jī)中最基本、最重要的軟件。同一計(jì)算機(jī)可以安裝幾種不同的操作系統(tǒng)。如果計(jì)算機(jī)系統(tǒng)可提供給許多人使用，操作系統(tǒng)必須能區(qū)分用戶，以便于防止他們相互干擾。（Office）

一些安全性較高、功能較強(qiáng)的操作系統(tǒng)可以為計(jì)算機(jī)的每一位用戶分配賬戶。通常，一個(gè)用戶一個(gè)賬戶。操作系統(tǒng)不允許一個(gè)用戶修改由另一個(gè)賬戶產(chǎn)生的數(shù)據(jù)。聯(lián)網(wǎng)安全只能通過以下兩方面的安全服務(wù)來達(dá)到：1．訪問控制服務(wù)：用來保護(hù)計(jì)算機(jī)和聯(lián)網(wǎng)資源不被非授權(quán)使用。2．通信安全服務(wù)：用來認(rèn)證數(shù)據(jù)的機(jī)密性與完整性，以及各通信的可靠性。（五）網(wǎng)絡(luò)安全目標(biāo)通過各種技術(shù)與管理手段實(shí)現(xiàn)網(wǎng)絡(luò)信息系統(tǒng)的可控性、拒絕否認(rèn)性、保密性、完整性和有用性?？煽匦钥煽匦裕–ontrollability）是指信息系統(tǒng)對信息內(nèi)容和傳輸具有控制能力的特性。拒絕否認(rèn)性拒絕否認(rèn)性（Non-repudiation）是指通信雙方不能抵賴或否認(rèn)已完成的操作，利用數(shù)字簽名能夠防止通信雙方否認(rèn)曾經(jīng)發(fā)送和接收信息的事實(shí)。也稱為不可抵賴性或不可否認(rèn)性。多數(shù)情況下，網(wǎng)絡(luò)安全更側(cè)重強(qiáng)調(diào)網(wǎng)絡(luò)信息的保密性、完整性和可用性。保密性保密性（Confidentiality）指信息系統(tǒng)防止信息非法泄露的特性。信息只限授權(quán)用戶用。保密性主要通過信息加密、身份認(rèn)證、訪問控制、安全通信協(xié)議等技術(shù)實(shí)現(xiàn)。信息加密是防止信息非法泄露的最基本手段。完整性完整性（Integrity）是指信息在傳輸過程中無法被篡改的特性。與保密性的側(cè)重點(diǎn)不同。

保密性強(qiáng)調(diào)信息不能非法泄露；

完整性強(qiáng)調(diào)信息在存儲和傳輸過程中必須保持原樣，不能被偶然或蓄意修改、刪除、偽造、添加、破壞或丟失?？捎眯钥捎眯裕ˋvailability）是指網(wǎng)路基礎(chǔ)設(shè)施、硬件系統(tǒng)、軟件系統(tǒng)等在任何時(shí)候都是可靠運(yùn)行，且能被用戶正常使用的。信息系統(tǒng)只有持續(xù)有效，授權(quán)用戶才能隨時(shí)、隨地根據(jù)自己的需要訪問系統(tǒng)所提供的服務(wù)。（六）網(wǎng)絡(luò)安全模型為了實(shí)現(xiàn)網(wǎng)絡(luò)安全目標(biāo)，安全研究人員希望通過構(gòu)造網(wǎng)絡(luò)安全理論模型獲得完整的網(wǎng)絡(luò)安全解決方案。早期的網(wǎng)絡(luò)安全模型主要從安全操作系統(tǒng)、信息加密、身份認(rèn)證、訪問控制和服務(wù)安全訪問等方面來保障網(wǎng)絡(luò)系統(tǒng)的安全性，但網(wǎng)絡(luò)安全解決方案是一個(gè)涉及法律、法規(guī)、管理、技術(shù)和教育等多個(gè)因素的復(fù)雜系統(tǒng)工程，單憑幾個(gè)安全技術(shù)不可能保障網(wǎng)絡(luò)系統(tǒng)的安全性。安全只具有相對意義，任何安全模型都不可能將所有可能的安全隱患都考慮周全。信息保障保護(hù)PDRR網(wǎng)絡(luò)安全模型ProtectionDetectionResponseRecovery檢測響應(yīng)恢復(fù)采取一切手段保護(hù)信息系統(tǒng)（主要是靜態(tài)手段）檢測本地網(wǎng)絡(luò)安全漏洞和存在的非法信息流，從而有效阻止網(wǎng)絡(luò)攻擊對危及網(wǎng)絡(luò)安全的事件和行為作出反應(yīng)，阻止對信息系統(tǒng)的進(jìn)一步破壞并使損失降到最低及時(shí)恢復(fù)系統(tǒng)，使其盡快正常對外提供服務(wù)，是降低網(wǎng)絡(luò)攻擊和降低損失的有效途徑注：保護(hù)、檢測、恢復(fù)、響應(yīng)這幾個(gè)階段不是孤立的，構(gòu)建信息安全保障體系必須從安全的各個(gè)方面進(jìn)行考慮，只有將技術(shù)、管理、策略、工程過程等方面緊密結(jié)合，安全保障體系才能稱為安全方案設(shè)計(jì)和建設(shè)的有力依據(jù)。安全保護(hù)是網(wǎng)絡(luò)安全的第一道防線。包括安全細(xì)則、安全配置和各種安全防御措施，能夠阻止決大多數(shù)網(wǎng)絡(luò)入侵和危害行為。入侵檢測是網(wǎng)絡(luò)安全的第二道防線。目的是采用主動(dòng)出擊方式實(shí)時(shí)檢測合法用戶濫用特權(quán)、第一道防線遺漏的攻擊、未知攻擊和各種威脅網(wǎng)絡(luò)安全的異常行為，通過安全監(jiān)控中心掌握整個(gè)網(wǎng)絡(luò)的運(yùn)行狀態(tài)，采用與安全防御措施聯(lián)動(dòng)方式盡可能降低威脅網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)。二、網(wǎng)絡(luò)安全面臨的威脅物理威脅系統(tǒng)漏洞造成的威脅身份鑒別威脅線纜連接威脅有害程序（一）物理威脅1．偷竊網(wǎng)絡(luò)安全中的偷竊包括偷竊設(shè)備、偷竊信息和偷竊服務(wù)等內(nèi)容。若想偷的信息在計(jì)算機(jī)里，那一方面可以將整臺計(jì)算機(jī)偷走，另一方面通過監(jiān)視器讀取計(jì)算機(jī)中的信息。2．廢物搜尋就是在廢物（如一些打印出來的材料或廢棄的軟盤）中搜尋所需要的信息。在微機(jī)上，廢物搜尋可能包括從未刪除有用東西的軟盤或硬盤上獲得有用資料。3．間諜行為是一種為了省錢或獲取有價(jià)值的機(jī)密、什么不道德的行為都會(huì)采用的商業(yè)過程。4．身份識別錯(cuò)誤非法建立文件或記錄，企圖把他們作為有效的、正式生產(chǎn)的文件或記錄。例，偽造具有身份鑒別特征物品（護(hù)照、執(zhí)照、出生證明或加密的安全卡等），屬于身份識別發(fā)生錯(cuò)誤的范疇。對網(wǎng)絡(luò)數(shù)據(jù)構(gòu)成了巨大的威脅。（二）系統(tǒng)漏洞造成的威脅1．乘虛而入例，用戶A停止了與某個(gè)系統(tǒng)的通信，但由于某種原因仍使該系統(tǒng)上的一個(gè)端口處于激活狀態(tài)，這時(shí)，用戶B通過這個(gè)端口開始與這個(gè)系統(tǒng)通信，這樣就不必通過任何申請使用端口的安全檢查。（較常見的是未注銷或退出而直接關(guān)閉）2．不安全服務(wù)有時(shí)操作系統(tǒng)的一些服務(wù)程序可以繞過機(jī)器的安全系統(tǒng)?；ヂ?lián)網(wǎng)蠕蟲就利用了BerkeLeyUNIX系統(tǒng)中三個(gè)這樣的可繞過機(jī)制。3．配置和初始化當(dāng)不得不關(guān)掉一臺服務(wù)器以維修它的某個(gè)子系統(tǒng)，幾天后，重啟服務(wù)器時(shí)，可能會(huì)招致用戶的抱怨，說他們的文件丟失或被篡改了。這很可能是在系統(tǒng)重新初始化時(shí)，安全系統(tǒng)沒有被正確地初始化，從而留下了安全漏洞讓人利用。類似的問題在特洛伊木馬程序修改了系統(tǒng)的安全配置文件時(shí)也會(huì)發(fā)生。（三）身份鑒別威脅1．口令圈套口令圈套是網(wǎng)絡(luò)安全的一種詭計(jì)，與冒名頂替有關(guān)。常用的口令圈套通過一個(gè)編譯代碼模塊實(shí)現(xiàn)，它運(yùn)行時(shí)來和登錄屏幕一樣，被插入到正常登錄過程之前，最終用戶看到的只是先后兩個(gè)登錄屏幕。第一次登錄失敗了，故用戶被要求重新輸入用戶名和口令。實(shí)際上，第一次登錄并沒有失敗，它將登錄數(shù)據(jù)（例：用戶名和口令）寫入到這個(gè)數(shù)據(jù)文件中，留待使用。2．口令破解如同猜測自行車密碼鎖的數(shù)字組合一樣，在該領(lǐng)域已形成許多能提高成功率的技巧。（QQ丟失）3．算法考慮不周口令輸入過程必須在滿足一定條件下才能正常地工作，這個(gè)過程通過某些算法實(shí)現(xiàn)。在一些攻擊入侵案例中，入侵者采用超長的字符串破壞了口令算法，成功地進(jìn)入了系統(tǒng)。4．編輯口令編輯口令需要依靠內(nèi)部漏洞。例，公司內(nèi)部的人建立了一個(gè)虛設(shè)的賬戶或修改了一個(gè)隱含賬戶的口令，這樣，任何知道該賬戶的用戶名和口令的人便可以訪問該機(jī)器了。（四）線纜連接威脅1．竊聽對通信過程進(jìn)行竊聽可達(dá)到收集信息的目的。這種電子竊聽不一定需要竊聽設(shè)備一定安裝在線纜上，可以通過檢測從連線上發(fā)射出來的電磁輻射就能拾取所要的信號。為了增強(qiáng)機(jī)構(gòu)內(nèi)部的通信的保密性，可以使用加密手段來防止信息被解密。2．撥號進(jìn)入擁有一個(gè)調(diào)制解調(diào)器和一個(gè)電話號碼，每個(gè)人都可以試圖通過遠(yuǎn)程撥號訪問網(wǎng)絡(luò)，尤其是有所期望攻擊的網(wǎng)絡(luò)的用戶賬戶時(shí)，就會(huì)對網(wǎng)絡(luò)造成很大的威脅。3．冒名頂替通過使