信息安全技術(shù)教程-概述

信息平安技術(shù)中山大學(xué)信息科學(xué)與技術(shù)學(xué)院王常吉

副教授2007年09月課程說明課程學(xué)時安排總學(xué)時54，3個學(xué)分課堂講授約42學(xué)時，上機(jī)實驗12學(xué)時課程成績比例考勤(10%)+作業(yè)(30%)+期末(60%)鼓勵學(xué)生做專題報告以及應(yīng)用平安系統(tǒng)開發(fā)2|1/4/2025課程內(nèi)容信息平安概論計算機(jī)密碼學(xué)與應(yīng)用編碼學(xué)路由交換平安與VPN系統(tǒng)平安與應(yīng)用平安網(wǎng)絡(luò)攻擊與防御技術(shù)3|1/4/2025課程主要目的通過本課程的學(xué)習(xí)，使學(xué)生能夠在已有的計算機(jī)原理、通信原理和計算機(jī)網(wǎng)絡(luò)技術(shù)等理論根底上，對信息平安有一個系統(tǒng)的、全面的了解。了解信息平安理論和技術(shù)的最新開展，樹立平安防范意識，能夠獨立進(jìn)行網(wǎng)絡(luò)信息平安方面的研究和工作。4|1/4/2025課程主要目的掌握信息平安的根本概念，了解設(shè)計和維護(hù)平安的網(wǎng)絡(luò)及其應(yīng)用系統(tǒng)的根本手段和常用方法。重點學(xué)習(xí)目前在網(wǎng)絡(luò)信息平安領(lǐng)域主流技術(shù)根底平安技術(shù)(密碼學(xué)技術(shù)、PKI技術(shù))網(wǎng)絡(luò)設(shè)備平安(路由器平安、交換機(jī)平安)系統(tǒng)平安技術(shù)(操作系統(tǒng)平安、數(shù)據(jù)庫系統(tǒng)平安)應(yīng)用平安技術(shù)(Web效勞平安、郵件平安)網(wǎng)絡(luò)平安技術(shù)網(wǎng)絡(luò)攻擊技術(shù)(網(wǎng)絡(luò)掃描、網(wǎng)絡(luò)監(jiān)聽、口令破解)網(wǎng)絡(luò)防御技術(shù)(防火墻技術(shù)、入侵檢測技術(shù)、網(wǎng)絡(luò)誘騙)5|1/4/2025主要參考文獻(xiàn)王常吉，龍冬陽，?信息與網(wǎng)絡(luò)平安實驗教程?，清華大學(xué)出版社，2007年祝曉光，?網(wǎng)絡(luò)平安設(shè)備與技術(shù)?，清華大學(xué)出版社，2004年劉玉珍等譯，?密碼編碼學(xué)與網(wǎng)絡(luò)平安-原理與實踐(第三版)?，電子工業(yè)出版社，2004://williamstallings/Crypto3e.htmlA.J.Menezes等，?HandbookofAppliedCryptography?，2001:///6|1/4/2025信息平安根本概念信息的定義廣義：信息是任何一個事物的運動狀態(tài)以及運動狀態(tài)形式的變化，它是一種客觀存在。狹義：是指信息接受主體所感覺到并能理解的東西平安的定義客觀上不受威脅；主觀上不存在恐懼7|1/4/2025信息平安根本概念信息平安的定義ISO：信息平安是為數(shù)據(jù)處理系統(tǒng)建立和采用的技術(shù)和管理的平安保護(hù)，保護(hù)計算機(jī)硬件、軟件和數(shù)據(jù)不因偶然和惡意的原因遭到破壞、更改和泄露包括三個方面的含義信息平安的保護(hù)對象：信息資產(chǎn)，典型的信息資產(chǎn)包括計算機(jī)硬件、軟件和數(shù)據(jù)信息平安目標(biāo)：保證信息資產(chǎn)的保密性、完整性和可用性實現(xiàn)信息平安目標(biāo)和途徑：借助技術(shù)措施和管理措施8|1/4/2025信息平安根本概念信息不平安的原因信息需要共享信息需要使用信息需要交換信息需要傳輸9|1/4/2025信息平安的根本屬性保密性確保信息在存儲、使用、傳輸過程中不會泄露給未授權(quán)的用戶或?qū)嶓w完整性確保信息在存儲、使用、傳輸過程中不被未授權(quán)用戶篡改可用性確保授權(quán)用戶或?qū)嶓w對于信息及資源的正常使用不會被異常拒絕，允許其可靠而且及時地訪問信息與資源10|1/4/2025信息平安的根本屬性可控性對信息及信息系統(tǒng)實施平安監(jiān)控管理。不可否認(rèn)性保證信息行為人不能否認(rèn)自己的行為。11|1/4/2025信息平安開展歷程通信保密信息安全信息保障增加了信息和系統(tǒng)的可控性、信息行為的不可否認(rèn)性要求，強(qiáng)調(diào)對信息的保護(hù)、檢測、反響和恢復(fù)能力。標(biāo)志是1998年美國國家平安局制定的?信息保障技術(shù)框架?(IATF)40-70’s,解決數(shù)據(jù)傳輸?shù)钠桨矄栴}，主要措施是密碼技術(shù)和訪問控制技術(shù)，標(biāo)志是1949年Shannon發(fā)表的?保密通信的信息理論?70-90’s，解決信息載體及運行平安，包括信息機(jī)密性、完整性、可用性等，標(biāo)志是1977年DES和1985年TCSEC12|1/4/2025通信保密階段通信的保密模型－通信平安信源編碼信道編碼信道傳輸通信協(xié)議密碼發(fā)送方接收方攻擊方13|1/4/2025信息平安階段計算機(jī)信息系統(tǒng)平安評價準(zhǔn)那么TCSEC(美國可信計算機(jī)系統(tǒng)評價準(zhǔn)那么，1985年)ITSEC(歐洲信息技術(shù)平安評價準(zhǔn)那么，1991年)CNISTEC(中國國家信息平安測評認(rèn)證標(biāo)準(zhǔn)，1999年2月)CC(通用信息技術(shù)平安評估準(zhǔn)那么，1999年7月成為國際標(biāo)準(zhǔn)ISO/IEC15408-1999)。14|1/4/2025TCSEC平安等級和功能說明安全等級名稱功能D低級保護(hù)系統(tǒng)已經(jīng)被評估，但不滿足A到C級要求的等級，最低級安全產(chǎn)品C1自主安全保護(hù)該級產(chǎn)品提供一些必須要知道的保護(hù)，用戶和數(shù)據(jù)分離C2受控存取保護(hù)該級產(chǎn)品提供了比C1級更細(xì)的訪問控制，可把注冊過程、審計跟蹤和資源分配分開B1標(biāo)記性安全保護(hù)除了需要C2級的特點外，該級還要求數(shù)據(jù)標(biāo)號、目標(biāo)的強(qiáng)制性訪問控制以及正規(guī)或非正規(guī)的安全模型規(guī)范B2結(jié)構(gòu)性保護(hù)該級保護(hù)建立在B1級上，具有安全策略的形式描述，更多的自由選擇和強(qiáng)制性訪問控制措施，驗證機(jī)制強(qiáng)，并含有隱蔽通道分析。通常，B2級相對可以防止非法訪問B3安全域該級覆蓋了B2級的安全要求，并增加了下述內(nèi)容：傳遞所有用戶行為，系統(tǒng)防竄改，安全特點完全是健全的和合理的。安全信息之中不含有任何附加代碼或信息。系統(tǒng)必須要提供管理支持、審計、備份和恢復(fù)方法。通常，B3級完全能夠防止非法訪問A1驗證設(shè)計A1級與B3級的功能完全相同，但A1級的安全特點經(jīng)過了更正式的分析和驗證。通常，A1級只適用于軍事計算機(jī)系統(tǒng)15|1/4/2025信息保障階段IA概念與思想是20世紀(jì)90年代由美國國防部長辦公室提出。定義：通過確保信息和信息系統(tǒng)的可用性、完整性、可控性、保密性和不可否認(rèn)性來保護(hù)信息系統(tǒng)的信息作戰(zhàn)行動，包括綜合利用保護(hù)、探測和反響能力以恢復(fù)系統(tǒng)的功能。美國國家平安局NSA制定的信息保障技術(shù)框架IATF，提出“縱深防御策略(Defense-in-DepthStrategy)〞。信息保障階段不僅包含平安防護(hù)的概念，更重要的是增加了主動和積極的防御觀念。16|1/4/2025信息保障技術(shù)框架IATF已發(fā)布V3.1三保衛(wèi)、一支撐保衛(wèi)網(wǎng)絡(luò)根底設(shè)施保衛(wèi)邊界和外部連接保衛(wèi)局域計算環(huán)境支撐根底設(shè)施無線平安www平安FirewallsVPNsPeripheralSharingSwitchRemoteAccessMultipleDomainSolutionsMobileCodeOperatingSystemsBiometricsSingleLevelWebTokensMobileCodeSecureMessagingKMI/PKIPKIProtectionClass4PKIDirectoryDetectandRespondIDS17|1/4/202518|1/4/2025信息平安模型P2DR動態(tài)可適應(yīng)平安模型美國國際互聯(lián)網(wǎng)平安系統(tǒng)公司ISS最先提出的，即Policy(策略)、Protection(防護(hù))、Detection(檢測)和Response(響應(yīng))按照P2DR的觀點，一個完整的動態(tài)平安體系，不僅需要恰當(dāng)?shù)姆雷o(hù)(如操作系統(tǒng)訪問控制、防火墻、加密等)，而且需要動態(tài)的檢測機(jī)制(如入侵檢測、漏洞掃描等)，在發(fā)現(xiàn)問題時還需要及時響應(yīng)，這樣的體系需要在統(tǒng)一的、一致的平安策略指導(dǎo)下實施，形成一個完備的、閉環(huán)的動態(tài)自適應(yīng)平安體系。19|1/4/2025P2DR動態(tài)可適應(yīng)平安模型策略P檢測D響應(yīng)R防護(hù)P制定平安策略的目的是保證網(wǎng)絡(luò)平安保護(hù)工作的整體、方案性及標(biāo)準(zhǔn)性，保證各項措施和管理手段的正確實施，使網(wǎng)絡(luò)系統(tǒng)信息數(shù)據(jù)的機(jī)密性、完整性及可使用性受到全面、可靠的保護(hù)20|1/4/2025P2DR動態(tài)可適應(yīng)平安模型P2DR模型是建立在基于時間的平安理論根底之上的：Pt：攻擊成功所需時間被稱作平安體系能夠提供的防護(hù)時間Dt：在攻擊發(fā)生的同時，檢測系統(tǒng)發(fā)揮作用，攻擊行為被檢測出來需要的時間Rt：檢測到攻擊之后，系統(tǒng)會做出應(yīng)有的響應(yīng)動作，所需時間被稱作響應(yīng)時間Et：系統(tǒng)暴露時間，即系統(tǒng)處于不平安狀況的時間(Et=Dt+Rt-Pt)要實現(xiàn)平安，必須讓防護(hù)時間大于檢測時間加上響應(yīng)時間，即：Pt>Dt+Rt21|1/4/2025PDR2模型保護(hù)檢測恢復(fù)響應(yīng)信息保障采用一切手段(主要指靜態(tài)防護(hù)手段)保護(hù)信息系統(tǒng)的五大特性。及時恢復(fù)系統(tǒng)，使其盡快正常對外提供效勞，是降低網(wǎng)絡(luò)攻擊造成損失的有效途徑對危及網(wǎng)絡(luò)平安的事件和行為做出反響，阻止對信息系統(tǒng)的進(jìn)一步破壞并使損失降到最低檢測本地網(wǎng)絡(luò)的平安漏洞和存在的非法信息流，從而有效阻止網(wǎng)絡(luò)攻擊22|1/4/2025PDR2模型PDR2模型，也稱P2DR2，與P2DR唯一的區(qū)別就是把恢復(fù)環(huán)節(jié)提到了和防護(hù)、檢測、響應(yīng)等環(huán)節(jié)同等的高度。PDR2也是基于時間的動態(tài)模型，其中，恢復(fù)環(huán)節(jié)對于信息系統(tǒng)和業(yè)務(wù)活動的生存起著至關(guān)重要的作用，組織只有建立并采用完善的恢復(fù)方案和機(jī)制，其信息系統(tǒng)才能在重大災(zāi)難事件中盡快恢復(fù)并延續(xù)業(yè)務(wù)。保護(hù)、檢測、恢復(fù)、響應(yīng)這幾個階段并不是孤立的，構(gòu)建信息平安保障體系必須從平安的各個方面進(jìn)行綜合考慮，只有將技術(shù)、管理、策略、工程過程等方面緊密結(jié)合，平安保障體系才能真正成為指導(dǎo)平安方案設(shè)計和建設(shè)的有力依據(jù)。23|1/4/2025WPDRRC模型人員策略技術(shù)響應(yīng)R恢復(fù)R保護(hù)P預(yù)警W檢測D還擊C24|1/4/2025WPDRRC平安體系模型我國863信息平安專家組博采眾長推出該模型全面涵蓋了各個平安因素，突出了人、策略、管理的重要性，反映了各個平安組件之間的內(nèi)在聯(lián)系。人——核心政策(包括法律、法規(guī)、制度、管理)——橋梁技術(shù)——落實在WPDRRC六個環(huán)節(jié)的各個方面，在各個環(huán)節(jié)中起作用25|1/4/2025WPDRRC模型Warning：采用多檢測點數(shù)據(jù)收集和智能化的數(shù)據(jù)分析方法檢測是否存在某種惡意的攻擊行為，并評測攻擊的威脅程度、攻擊的本質(zhì)、范圍和起源，同時預(yù)測敵方可能的行動。Protect：采用一系列的手段(識別、認(rèn)證、授權(quán)、訪問控制、數(shù)據(jù)加密)保障數(shù)據(jù)的保密性，完整性、可用性、可控性和不可否認(rèn)性等。Detect：利用高級術(shù)提供的工具檢查系統(tǒng)存在的可能提供黑客攻擊、白領(lǐng)犯罪、病毒泛濫脆弱性。即檢測系統(tǒng)脆弱性檢測；入侵檢測，病毒檢測。26|1/4/2025WPDRRC模型Respond：對危及平安的事件、行為、過程及時作出響應(yīng)處理，杜絕危害的進(jìn)一步蔓延擴(kuò)大，力求系統(tǒng)尚能提供正常效勞。包括審計跟蹤；事件報警；事件處理Restore：一旦系統(tǒng)遭到破壞，將采取的一系列的措施如文件的備份、數(shù)據(jù)庫的自動恢復(fù)等，盡快恢復(fù)系統(tǒng)功能，提供正常效勞。Counterattack：利用高技術(shù)工具，取得證據(jù)，作為犯罪分子犯罪的線索、犯罪依據(jù)，依法偵查處置犯罪分子。27|1/4/2025信息平安法律體系法律政策問題-----信息平安的第一道防線主要涉及網(wǎng)絡(luò)規(guī)劃與建設(shè)的法律，網(wǎng)絡(luò)管理與經(jīng)營的法律，計算機(jī)犯罪與刑事立法、電子資金劃轉(zhuǎn)的法律認(rèn)證、計算機(jī)證據(jù)的法律效力等法律問題政策上：完備的法律法規(guī)和平安標(biāo)準(zhǔn)28|1/4/2025我國信息平安法律體系法律體系憲法第40條規(guī)定：中華人民共和國公民的通信自由和通信秘密受法律的保護(hù)。除因國家平安或者追查刑事犯罪的需要，由公安機(jī)關(guān)或檢察機(jī)關(guān)依照法律規(guī)定的程序?qū)νㄐ胚M(jìn)行例行檢查外，任何組織或個人不得以任何理由侵犯公民的通信自由和通信秘密刑法第285條規(guī)定：違反國家規(guī)定，侵入國家事務(wù)、國防建設(shè)、尖端科學(xué)技術(shù)領(lǐng)域的計算機(jī)信息系統(tǒng)的，處3年以下有期徒刑或者拘役29|1/4/2025我國信息平安法律體系政策體系政府制定相應(yīng)的法規(guī)、規(guī)章和標(biāo)準(zhǔn)性文件強(qiáng)制性加大對信息平安系統(tǒng)保護(hù)的力度強(qiáng)制性技術(shù)標(biāo)準(zhǔn)發(fā)布了多個技術(shù)保準(zhǔn)，并且是強(qiáng)制執(zhí)行的30|1/4/2025我國信息平安相關(guān)法律法規(guī)中華人民共和國計算機(jī)信息系統(tǒng)平安保護(hù)條例(1994年2月18日)--國務(wù)院計算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)平安保護(hù)管理方法(1997年12月16日)--公安部商用密碼管理條例(1999年10月7日)--國務(wù)院:///計算機(jī)信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定(2000年1月1日)--國家保密局31|1/4/2025我國信息平安相關(guān)法律法規(guī)關(guān)于維護(hù)互聯(lián)網(wǎng)平安的決定(2000年12月28日)--全國人大常委會中華人民共和國電子簽名法--2004年8月28日第十屆全國人民代表大會常務(wù)委員會第十一次會議通過，自2005年4月1日起施行互聯(lián)網(wǎng)平安保護(hù)技術(shù)措施規(guī)定—2005年12月13由公安部發(fā)布，并于2006年3月1日起實施32|1/4/2025我國信息平安技術(shù)標(biāo)準(zhǔn)主管部門：公安部，信息產(chǎn)業(yè)部，國家技術(shù)標(biāo)準(zhǔn)局等GB/T9387.2-1995<信息處理系統(tǒng)開放系統(tǒng)互連根本參考模型第二局部平安體系結(jié)構(gòu)>GB15834.1-1995<信息處理數(shù)據(jù)加密實體鑒別機(jī)制第一局部:一般模型>GB4943-1995<信息技術(shù)設(shè)備的平安>GA163-1997<計算機(jī)信息系統(tǒng)平安專用產(chǎn)品分類原那么>GB17859-1999<計算機(jī)信息系統(tǒng)平安保護(hù)等級劃分準(zhǔn)那么>33|1/4/2025信息平安管理信息平安的成敗取決于兩個因素：技術(shù)和管理，平安技術(shù)是信息平安的構(gòu)筑材料，平安管理是真正的粘合劑和催化劑。信息平安管理作為組織完整的管理體系中一個重要的環(huán)節(jié)，它構(gòu)成了信息平安具有能動性的局部，是指導(dǎo)和控制組織的關(guān)于信息平安風(fēng)險的相互協(xié)調(diào)的活動，其針對對象就是組織的信息資產(chǎn)。信息平安管理的核心就是風(fēng)險管理。34|1/4/2025信息平安管理體系英國標(biāo)準(zhǔn)協(xié)會BSI提出的BS7799BS7799-1采納為ISO/IEC17799：2005標(biāo)準(zhǔn)，是信息平安管理實施細(xì)那么，主要供負(fù)責(zé)信息平安系統(tǒng)開發(fā)的人員參考使用BS7799-2采納為ISO/IEC27001：2005標(biāo)準(zhǔn)，是建立信息平安管理體系的一套標(biāo)準(zhǔn)，詳細(xì)說明了建立、實施和維護(hù)信息平安管理體系的要求35|1/4/2025ISO平安體系結(jié)構(gòu)標(biāo)準(zhǔn)在平安體系結(jié)構(gòu)方面，ISO制定了國際標(biāo)準(zhǔn)ISO7498-2-1989?信息處理系統(tǒng)開放系統(tǒng)互連根本參考模型第2局部平安體系結(jié)構(gòu)?。該標(biāo)準(zhǔn)為開放系統(tǒng)互連(OSI)描述了根本參考模型，為協(xié)調(diào)開發(fā)現(xiàn)有的與未來的系統(tǒng)互連標(biāo)準(zhǔn)建立起了一個框架。其任務(wù)是提供平安效勞與有關(guān)機(jī)制的一般描述，確定在參考模型內(nèi)部可以提供這些效勞與機(jī)制的位置。36|1/4/2025開放式系統(tǒng)互聯(lián)模型OSI國際標(biāo)準(zhǔn)化組織(ISO)提出的OSI模型是目前國際上普遍遵循的計算機(jī)信息系統(tǒng)互連標(biāo)準(zhǔn)。目的：為了能夠有效了解用戶的平安需求，選擇各種平安產(chǎn)品和策略，有必要建立一些系統(tǒng)的方法來進(jìn)行網(wǎng)絡(luò)平安防范。根本思想：為了全面而準(zhǔn)確地滿足一個開放系統(tǒng)的平安需求，必須在七個層次中提供必需的平安效勞、平安機(jī)制和技術(shù)管理，以及它們在系統(tǒng)上的合理部署和關(guān)系配置。37|1/4/2025三維的信息系統(tǒng)平安體系結(jié)構(gòu)應(yīng)用層表示層會話層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層認(rèn)證效勞訪問控制數(shù)據(jù)完整性數(shù)據(jù)機(jī)密性不可否認(rèn)性加密數(shù)字簽名訪問控制數(shù)據(jù)完整性數(shù)據(jù)交換業(yè)務(wù)流填充路由控制公證平安機(jī)制OSI參考模型平安效勞系統(tǒng)平安的實現(xiàn)是層次化38|1/4/2025ISO7498-2中的五類平安效勞一種由系統(tǒng)提供的對系統(tǒng)資源進(jìn)行保護(hù)的處理或者通信效勞，平安效勞通過平安機(jī)制來實現(xiàn)平安策略認(rèn)證：提供某個實體的身份保證訪問控制：保護(hù)資源，防止對它的非法使用和操縱數(shù)據(jù)加密：保護(hù)信息不被泄露數(shù)據(jù)完整性：保護(hù)信息以防止非法篡改不可否認(rèn)性：防止參與通信的一方事后否認(rèn)39|1/4/2025ISO7498-2平安效勞到TCP/IP的映射40|1/4/2025ISO7498-2中的八類平安機(jī)制數(shù)據(jù)加密機(jī)制訪問控制機(jī)制數(shù)據(jù)完整性機(jī)制數(shù)字簽名機(jī)制交換鑒別機(jī)制流量填充機(jī)制路由控制機(jī)制公證機(jī)制41|1/4/2025平安機(jī)制與平安效勞機(jī)制\服務(wù)機(jī)密性完整性鑒別訪問控制不可否認(rèn)加密YYY--數(shù)字簽名-YY-Y訪問控制---Y-數(shù)據(jù)完整性-Y--Y鑒別--Y--業(yè)務(wù)填充Y----路由控制Y----公證----Y42|1/4/2025網(wǎng)絡(luò)為何不平安自身缺陷開放性黑客攻擊和病毒破壞缺乏有效的平安管理用戶缺乏平安意識43|1/4/2025網(wǎng)絡(luò)協(xié)議的平安性缺陷TCP/IP協(xié)議體系自身缺乏完整的平安策略信息未加密傳輸容易被竊聽、偽造和欺騙協(xié)議的體系和實現(xiàn)是公開的其中的缺陷很可能被眾多熟悉協(xié)議的程序員所利用協(xié)議的實現(xiàn)存在平安漏洞TCP/IP所提供的效勞平安性也較差，容易被利用配置的復(fù)雜性和專業(yè)性配置上的缺陷也給了企圖入侵系統(tǒng)的人以可乘之機(jī)44|1/4/2025系統(tǒng)的平安性缺陷和漏洞通用的商用計算機(jī)系統(tǒng)存在許多平安性問題他們在客觀上導(dǎo)致了計算機(jī)系統(tǒng)在平安上的脆弱性眾多的軟硬件都被發(fā)現(xiàn)存在大量平安隱患操作系統(tǒng)：MSWindows、UNIX、Netware、……應(yīng)用程序：MSIE、Netscape、……硬件：IntelMMXPemtiumIIIprocessor、……45|1/4/2025系統(tǒng)的平安性缺陷和漏洞專用的平安計算機(jī)系統(tǒng)中也存在大量BUG在專門設(shè)計的平安設(shè)備和系統(tǒng)中人們也可找到大量漏洞計算機(jī)的平安操作系統(tǒng)數(shù)據(jù)庫信息網(wǎng)絡(luò)和網(wǎng)絡(luò)效勞防火墻設(shè)備……系統(tǒng)配置的復(fù)雜性導(dǎo)致的平安性問題網(wǎng)絡(luò)配置的復(fù)雜性導(dǎo)致的平安性問題46|1/4/2025系統(tǒng)的平安性缺陷和漏洞人們的認(rèn)知能力和實踐能力的局限性1999年FIRST的IBM專家指出：程序每千行中有一個BUG2001年?應(yīng)用密碼學(xué)?作者指出每千行有5-10個BUG一些數(shù)據(jù)操作系統(tǒng)推出年份代碼行數(shù)WIN3.11992300萬WIN951995500萬WINNT4.019961650萬WIN9819981800萬WIN200020003500-5000萬47|1/4/2025網(wǎng)絡(luò)的開放性效勞基于公開的協(xié)議遠(yuǎn)程訪問使得各種攻擊無需到現(xiàn)場就能得手連接是基于主機(jī)上的社團(tuán)彼此信任的原那么48|1/4/2025平安威脅所謂平安威脅就是指某個人、物、事件或概念對信息資源的保密性、完整性、可用性或合法使用所造成的危險。攻擊就是對平安威脅的具體表達(dá)。平安威脅可以分為內(nèi)部威脅和外部威脅，70%-80%的平安事件來自于內(nèi)部平安威脅也可以分為自然威脅和人為威脅。雖然人為因素和非人為因素都可以對信息平安構(gòu)成威脅，但是精心設(shè)計的人為攻擊威脅最大。人為威脅分為無意威脅(偶然事故)和有意威脅(惡意攻擊)。惡意攻擊包括主動攻擊和被動攻擊。49|1/4/2025網(wǎng)絡(luò)攻擊被動攻擊竊聽或者偷窺流量分析被動攻擊非常難以檢測，但可以防范源目的sniffer50|1/4/2025網(wǎng)絡(luò)攻擊主動攻擊可以檢測，但難以防范主動攻擊：指攻擊者對某個連接的中的PDU進(jìn)行各種處理(更改、刪除、遲延、復(fù)制、偽造等)阻斷攻擊篡改攻擊偽造攻擊重放攻擊拒絕服務(wù)攻擊51|1/4/2025攻擊實例：Windows2000的登錄漏洞52|1/4/2025域名效勞DomainNameService(DNS)是一個Internet的效勞，實現(xiàn)映射IP與域名的解析。地址信息是存在一個層次結(jié)構(gòu)的多個地方，而不是在一個中心站點.互聯(lián)網(wǎng)名稱與地址分配機(jī)構(gòu)ICANN(InternetCorporationforAssignedNames&Numbers)是一個致力于促進(jìn)和管理一個國際成認(rèn)的互聯(lián)網(wǎng)域名和IP地址分配體系的機(jī)構(gòu)，總部設(shè)在美國加利福尼亞州。中國互聯(lián)網(wǎng)信息中心CNNIC53|1/4/2025DNS的正常流程客戶上一級DNS效勞器DNS效勞器

==?

=緩存=?54|1/4/2025DNS欺騙上一級DNS效勞器DNS效勞器攻擊者=?

==?忽略

=應(yīng)答欺騙

=緩存55|1/4/2025TCP握手TCP

協(xié)議的連接建立：三次握手協(xié)議來建立連接，保證連接的兩端正確同步發(fā)送ACK(y+1)接收ACKConnected發(fā)送SYN(seq=x)接收SYN(seq=x)發(fā)送SYN+ACK(seq=y:x+1)接收SYN+ACKCSWaitStoredata56|1/4/2025TCPSYNFlooding攻擊SYNFlooding攻擊的原理：在短時間內(nèi)，通過向目標(biāo)主機(jī)發(fā)送假造SYN連接請求分組，消耗目標(biāo)主機(jī)上的資源。由于目標(biāo)主機(jī)不能正常完成三次握手過程，資源不能被釋放。最終將導(dǎo)致目標(biāo)主機(jī)上的資源耗盡，而不能提供效勞，正常的效勞請求也將被拒絕。攻擊者目標(biāo)主機(jī)SYN(x)偽造地址不存在的IP地址ACK(x+1)SYN(y)57|1/4/20