網(wǎng)絡(luò)基礎(chǔ)-信息安全基礎(chǔ)

信息安全基礎(chǔ)知識(shí)2024/1/9信息安全基礎(chǔ)信息安全與企業(yè)或組織機(jī)構(gòu)的關(guān)系常見(jiàn)的網(wǎng)絡(luò)安全產(chǎn)品網(wǎng)絡(luò)安全的未來(lái)Part1:信息安全基礎(chǔ)2024/1/92024/1/9信息安全問(wèn)題基本要素安全問(wèn)題安全目標(biāo)安全技術(shù)機(jī)密性信息的保密加密完整性探測(cè)信息是否被篡改數(shù)字摘要驗(yàn)證驗(yàn)證身份數(shù)字簽名，提問(wèn)－應(yīng)答，口令，生物測(cè)定法不可否認(rèn)性不能否認(rèn)信息的發(fā)送、接收及信息內(nèi)容數(shù)字簽名，數(shù)字證書(shū)，時(shí)間戳訪問(wèn)控制只有授權(quán)用戶(hù)才能訪問(wèn)防火墻，口令，生物測(cè)定法2024/1/9信息安全問(wèn)題基本要素—加密技術(shù)對(duì)稱(chēng)加密采用單鑰密碼系統(tǒng)的加密方法，同一個(gè)密鑰可以同時(shí)用作信息的加密和解密，這種加密方法稱(chēng)為對(duì)稱(chēng)加密，也稱(chēng)為單密鑰加密。非對(duì)稱(chēng)加密與對(duì)稱(chēng)加密算法不同，非對(duì)稱(chēng)加密算法需要兩個(gè)密鑰：公開(kāi)密鑰和私有密鑰。公開(kāi)密鑰與私有密鑰是一對(duì)，如果用公開(kāi)密鑰對(duì)數(shù)據(jù)進(jìn)行加密，只有用對(duì)應(yīng)的私有密鑰才能解密；如果用私有密鑰對(duì)數(shù)據(jù)進(jìn)行加密，那么只有用對(duì)應(yīng)的公開(kāi)密鑰才能解密。因?yàn)榧用芎徒饷苁褂玫氖莾蓚€(gè)不同的密鑰，所以這種算法叫作非對(duì)稱(chēng)加密算法。2024/1/9信息安全問(wèn)題基本要素—對(duì)稱(chēng)加密對(duì)稱(chēng)加密特點(diǎn)：數(shù)據(jù)的發(fā)送方和接受方使用的是同一把密鑰加密過(guò)程:發(fā)送方對(duì)信息加密發(fā)送方將加密后的信息傳送給接收方接收方對(duì)收到信息解密，得到信息明文2024/1/9信息安全問(wèn)題基本要素—對(duì)稱(chēng)加密對(duì)稱(chēng)加密優(yōu)點(diǎn)：加密和解密的速度快，效率也很高，廣泛用于大量數(shù)據(jù)文件的加密過(guò)程中。缺點(diǎn)：密鑰管理比較困難。常見(jiàn)算法：數(shù)據(jù)加密標(biāo)準(zhǔn)（DES）、高級(jí)加密標(biāo)準(zhǔn)（AES）、三重DES2024/1/9信息安全問(wèn)題基本要素—非對(duì)稱(chēng)加密非對(duì)稱(chēng)加密特點(diǎn)發(fā)送方使用公鑰加密，接收方使用私鑰解密加密過(guò)程：發(fā)送方用接收方的公開(kāi)密鑰對(duì)要發(fā)送的信息進(jìn)行加密發(fā)送方將加密后的信息通過(guò)網(wǎng)絡(luò)傳送給接收方接收方用自己的私有密鑰對(duì)接收到的加密信息進(jìn)行解密，得到信息明文信息安全問(wèn)題基本要素—非對(duì)稱(chēng)加密非對(duì)稱(chēng)加密優(yōu)點(diǎn)：只傳公鑰，私鑰只有本地知道，安全性高。缺點(diǎn)：加密效率較低，比對(duì)稱(chēng)加密慢近

千倍，耗資源。常見(jiàn)算法：RSA、Elgamal、背包算法、Rabin、D-H加密技術(shù)的常見(jiàn)應(yīng)用-VPN內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)下屬機(jī)構(gòu)InternetDMZ區(qū)域WWWMailDNS密文傳輸明文傳輸明文傳輸VPN隧道2024/1/9信息安全問(wèn)題基本要素—完整性MD5算法：為計(jì)算機(jī)安全領(lǐng)域廣泛使用的一種散列函數(shù)，用以提供消息的完整性保護(hù)。SHA（SecureHashAlgorithm）算法：安全散列算法由美國(guó)NIST開(kāi)發(fā)，作為聯(lián)邦信息處理標(biāo)準(zhǔn)于1993年發(fā)表，1995年修訂，成為SHA-1版本。MD5與SHA對(duì)比分析：對(duì)密碼分析的安全性：由于MD5的設(shè)計(jì)，易受密碼分析的攻擊，SHA-1顯得不易受這樣的攻擊。速度：在相同的硬件上，SHA-1的運(yùn)行速度比MD5慢。數(shù)據(jù)完整性校驗(yàn)實(shí)際案例軟件發(fā)布者預(yù)先公布軟件的MD5值用戶(hù)下載軟件后用MD5校驗(yàn)工具檢查MD5值是否與一致，不一致說(shuō)明數(shù)據(jù)不完整或者被篡改。信息安全問(wèn)題基本要素—身份驗(yàn)證、抗否認(rèn)性數(shù)字簽名作用：保證信息傳輸?shù)耐暾?、發(fā)送者的身份認(rèn)證、防止交易中的抵賴(lài)發(fā)生。過(guò)程：將摘要信息用發(fā)送者的私鑰加密，與原文一起傳送給接收者。接收者只有用發(fā)送的公鑰才能解密被加密的摘要信息，然后用HASH函數(shù)對(duì)收到的原文產(chǎn)生一個(gè)摘要信息，與解密的摘要信息對(duì)比。如果相同，則說(shuō)明收到的信息是完整的，在傳輸過(guò)程中沒(méi)有被修改，否則說(shuō)明信息被修改過(guò)，因此數(shù)字簽名能夠驗(yàn)證信息的完整性。2024/1/9信息安全問(wèn)題基本要素—身份驗(yàn)證、抗否認(rèn)性數(shù)字簽名流程－基本非對(duì)稱(chēng)加密理論2024/1/9信息安全問(wèn)題基本要素—訪問(wèn)控制進(jìn)行訪問(wèn)規(guī)則檢查發(fā)起訪問(wèn)請(qǐng)求合法請(qǐng)求則允許對(duì)外訪問(wèn)將訪問(wèn)記錄寫(xiě)進(jìn)日志文件合法請(qǐng)求則允許對(duì)內(nèi)訪問(wèn)發(fā)起訪問(wèn)請(qǐng)求防火墻在此處的功能：1.工作子網(wǎng)與外部子網(wǎng)的物理隔離2.訪問(wèn)控制3.對(duì)工作子網(wǎng)做NAT地址轉(zhuǎn)換4.日志記錄

Internet區(qū)域Internet邊界路由器DMZ區(qū)域WWWMailDNS內(nèi)部工作子網(wǎng)管理子網(wǎng)一般子網(wǎng)內(nèi)部WWW重點(diǎn)子網(wǎng)防火墻-訪問(wèn)限制HostCHostDHostBHostA受保護(hù)網(wǎng)絡(luò)Internet···············

······PermitPasswordUsername預(yù)先可在防火墻上設(shè)定用戶(hù)rootasdasdf驗(yàn)證通過(guò)則允許訪問(wèn)root123Yesadmin883No

用戶(hù)身份認(rèn)證根據(jù)用戶(hù)控制訪問(wèn)信息安全問(wèn)題基本要素—訪問(wèn)控制防火墻-口令驗(yàn)證Part2:信息安全與企業(yè)關(guān)系及問(wèn)題2024/1/9企業(yè)信息安全框架安全治理、風(fēng)險(xiǎn)管理和合規(guī)安全運(yùn)維物理安全基礎(chǔ)架構(gòu)安全應(yīng)用安全數(shù)據(jù)安全身份/訪問(wèn)安全基礎(chǔ)安全服務(wù)和架構(gòu)機(jī)房安全網(wǎng)絡(luò)安全應(yīng)用開(kāi)發(fā)生命周期安全數(shù)據(jù)生命周期管理戰(zhàn)略和治理框架安全事件監(jiān)控安全事件響應(yīng)安全事件審計(jì)安全策略管理安全績(jī)效管理安全外包服務(wù)業(yè)務(wù)流程安全Web

應(yīng)用安全應(yīng)用開(kāi)發(fā)環(huán)境安全主機(jī)安全終端安全視頻監(jiān)控安全數(shù)據(jù)泄露保護(hù)數(shù)據(jù)加密數(shù)據(jù)歸檔災(zāi)難備份身份驗(yàn)證訪問(wèn)管理身份生命周期管理合規(guī)和策略遵從風(fēng)險(xiǎn)管理框架2024/1/9企業(yè)面臨哪些安全問(wèn)題CSDN密碼事件天涯密碼事件SINA微博事件漏洞公布網(wǎng)站每天在報(bào)……2024/1/9企業(yè)面臨哪些安全問(wèn)題—沒(méi)有絕對(duì)的安全網(wǎng)絡(luò)的開(kāi)放性越來(lái)越多的基于網(wǎng)絡(luò)應(yīng)用企業(yè)的業(yè)務(wù)要求網(wǎng)絡(luò)連接的不間斷性

每年畢業(yè)數(shù)以萬(wàn)計(jì)的“無(wú)證程序員”O(jiān)S存在的安全漏洞應(yīng)用存在的安全漏洞協(xié)議（Protocol）在設(shè)計(jì)時(shí)存在的安全漏洞錯(cuò)誤的實(shí)現(xiàn)、錯(cuò)誤的安全配置利益驅(qū)動(dòng)黑客的攻擊2024/1/9企業(yè)面臨哪些安全問(wèn)題－傳統(tǒng)攻擊報(bào)文竊聽(tīng)（PacketSniffers）IP欺騙（IPSpoofing）服務(wù)拒絕（DenialofService）密碼攻擊（PasswordAttacks）中間人攻擊(Man-in-the-MiddleAttacks)網(wǎng)絡(luò)偵察（NetworkReconnaissance）信任關(guān)系利用（TrustExploitation）端口重定向（PortRedirection）未授權(quán)訪問(wèn)（UnauthorizedAccess）病毒與特洛伊木馬應(yīng)用（VirusandTrojanHorseApplications）2024/1/9企業(yè)面臨哪些安全問(wèn)題－現(xiàn)在安全集中在應(yīng)用OWASP項(xiàng)目的目標(biāo)是通過(guò)找出企業(yè)組織所面臨的最嚴(yán)重的風(fēng)險(xiǎn)來(lái)提高人們對(duì)應(yīng)用程序安全的關(guān)注度。Top10項(xiàng)目被眾多標(biāo)準(zhǔn)、書(shū)籍、工具和相關(guān)組織引用，包括MITRE、PCIDSS、DISA、FTC等等。OWASPTop10最初于2003年發(fā)布，并于2004年和2007年相繼做了少許的修改更新?，F(xiàn)在發(fā)布的是2010年版本。2024/1/9企業(yè)面臨哪些安全問(wèn)題－現(xiàn)在安全集中在應(yīng)用2024/1/9OWAPTOP9-傳輸層保護(hù)不足企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP9-傳輸層保護(hù)不足企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP8-沒(méi)有限制URL訪問(wèn)企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP8-沒(méi)有限制URL訪問(wèn)企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP7-不安全的加密存儲(chǔ)企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP7-不安全的加密存儲(chǔ)企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP6-安全配置錯(cuò)誤企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP6-安全配置錯(cuò)誤企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP5-跨站請(qǐng)求偽造(CSRF)企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP5-跨站請(qǐng)求偽造(CSRF)企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP4-不安全的直接對(duì)象引用企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP4-不安全的直接對(duì)象引用企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP3-失效的身份認(rèn)證和會(huì)話管理企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP3-失效的身份認(rèn)證和會(huì)話管理企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP2-跨站腳本(XSS)企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP2-跨站腳本(XSS)企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP1-注入企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊2024/1/9OWAPTOP1-注入企業(yè)面臨哪些安全問(wèn)題－應(yīng)用層常見(jiàn)攻擊Part3:常見(jiàn)的網(wǎng)絡(luò)安全產(chǎn)品2024/1/9常見(jiàn)的網(wǎng)絡(luò)安全產(chǎn)品防火墻包過(guò)濾（基于源IP、目的IP、基于源端口、目的端口、基于時(shí)間）防攻擊特性（L2-L4層攻擊，如DOS/DDOS攻擊、ARP欺騙、ARP洪水攻擊等）基本路由功能NAT、端口映射、VPN等IDS入侵檢測(cè)系統(tǒng)常見(jiàn)的網(wǎng)絡(luò)安全產(chǎn)品監(jiān)視、分析用戶(hù)及系統(tǒng)活動(dòng)識(shí)別反應(yīng)已經(jīng)攻擊的活動(dòng)模式并報(bào)警異常行為統(tǒng)計(jì)分析IPS入侵防御系統(tǒng)同時(shí)具備檢測(cè)和防御功能可檢測(cè)到IDS檢測(cè)不到的攻擊行為，如SQL注入等。防毒墻常見(jiàn)的網(wǎng)絡(luò)安全產(chǎn)品UTM統(tǒng)一威脅管理網(wǎng)絡(luò)邊界攔截病毒保護(hù)內(nèi)網(wǎng)服務(wù)器防火墻病毒防護(hù)入侵檢測(cè)入侵防護(hù)惡意攻擊防護(hù)Part4:網(wǎng)絡(luò)安全的未來(lái)2024/1/92024/1/9安全發(fā)展趨勢(shì)及未來(lái)防火墻的發(fā)展影響2011年中國(guó)互聯(lián)網(wǎng)發(fā)展的十件大事利益驅(qū)動(dòng)攻擊由釣魚(yú)、木馬轉(zhuǎn)向海量信息竊取攻擊成本下降安全事件頻繁2024/1/9安全發(fā)展趨勢(shì)及未來(lái)－防火墻防火墻的發(fā)展應(yīng)用安全正形成一種趨勢(shì)2024/1/9安全發(fā)展趨勢(shì)及未來(lái)－重要事件影響2011年中國(guó)互聯(lián)網(wǎng)發(fā)展的十件大事2024/1/9安全發(fā)展趨勢(shì)及未來(lái)－攻擊目標(biāo)轉(zhuǎn)變利益驅(qū)動(dòng)攻擊由釣魚(yú)、木馬轉(zhuǎn)向海量信息竊取黑客攻擊的目標(biāo)發(fā)生了轉(zhuǎn)變，從以前面向個(gè)人的掛馬、釣魚(yú)散列式攻擊，轉(zhuǎn)而攻擊擁有大量用戶(hù)信息資源的網(wǎng)站，從而獲得更大的利益。這表明未來(lái)的安全形勢(shì)更加嚴(yán)峻，安全企業(yè)有著更大的責(zé)任。安全產(chǎn)品未來(lái)－攻擊成本&技術(shù)多樣性攻擊成本下降入侵者高Low19851990