1 / 390

网络安全

网络安全. 设计、制作 ： 谭献海. “ INTERNET 的美妙之处在于你和每个人都能互相连接 , INTERNET 的可怕之处在于每个人都能和你互相连接 ”. 计算机 网络安全. convenience. security. 网络计算引起的革命和问题 一、网络计算 “ 网络就是计算机 ” ， “ 数字化地球 ” ， “ 系统就是网络、网络就是系统 ” 1. 世界网络化 世界缩小，时空缩小，高科技社会中，高科技技术的应用与高技术犯罪并存 2. 系统开放性

chyna
Download Presentation

网络安全

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. 网络安全 设计、制作：谭献海

  2. “ INTERNET的美妙之处在于你和每个人都能互相连接, INTERNET的可怕之处在于每个人都能和你互相连接 ” 计算机网络安全 convenience security

  3. 网络计算引起的革命和问题 一、网络计算 “网络就是计算机”，“数字化地球”，“系统就是网络、网络就是系统” 1.世界网络化 世界缩小，时空缩小，高科技社会中，高科技技术的应用与高技术犯罪并存 2.系统开放性 分散和分布式计算环境基于开放性技术，但开放不是公开开放性与安全性的矛盾和对抗，系统开放与系统保密成为矛盾中的统一。 计算机网络安全的概念

  4. 计算机网络安全的概念 3.信息共享、资源共享 共享的概念，不是所有信息都共享 信息是有价值的，有价信息的拥有权 敏感信息、私有信息与垃圾信息 4.网络中的７Ｐ问题 * privacy 隐 私 * piracy 盗 版 * pornography 色 情 * pricing 价 格 * policing 政 策 * psychology 心理学 * protection 保 护

  5. 计算机网络安全的概念 网络计算和分布式计算环境基于开放性技术，而开放性与安全性是一对基本的矛盾，在计算机网络和以网络为基础的各类信息系统的建设中，这个矛盾贯穿发展的始终，并且处于长期的对抗面，因此，不可能存在一劳永逸、绝对安全的系统安全策略和安全机制，安全的目标和实施的安全策略，是在一定条件（环境与技术）下的合理性。

  6. 年份 事件报道数目 1988 6 1989 132 1990 252 1991 406 1992 773 1993 1334 1994 2340 1995 2412 1996 2573 1997 2134 1998 3734 1999 9859 2000 21756 总数 47711 信息安全事件统计 CERT有关安全事件的统计

  7. Foundations（基础）: what is security?（网络安全概述） Common Network Attacks（网络攻击） Cryptography（加密技术） Authentication （认证技术） message integrity （信息完整性） key distribution and certification（密钥分发与证书） Security in practice: application layer: secure e-mail transport layer: SSL/TLS network layer: IP security（IPSec) Link layer: 802.11 security Firewalls (防火墙） secure sockets （安全套接字） 网络安全 Overview

  8. 信息系统整体安全分层定位 认证/ 备份/ 管理 防火墙/入侵检测 加密/VPN 数据/网络完整性 日志分析 /防病毒 Internet ? ? ?

  9. 网络安全层次结构

  10. 基于TCP/IP协议的网络安全体系结构基础框架 国际Internet安全技术活动 Kerberos PEM MOSS S/MIME SHTTP SSH SNMPv2 应用层 TCP SSL UDP 传输层 IPv6 IPSEC ISAKMP 网络层 L2IP/PPTP 链路层

  11. ISO7498-2映射而得的TCP/IP各层安全服务与安全协议的对应关系ISO7498-2映射而得的TCP/IP各层安全服务与安全协议的对应关系 Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y 国际Internet安全技术活动 层 鉴别 访问控制 保密性 完整性 抗否认 安全协议 IP层 IPSEC Y TCP层 SSL Y 应用层 PEM Y MOSS Y S/MIME Y PGP Y SHTTP Y SNMP Y SSH Y Y Y Kerberos

  12. 网络安全 • 内容覆盖 • 网络攻击与防范 • 密码学基础 • 安全基础 • 网络安全 • 系统安全 • 应用层安全

  13. 电子商务业务系统 安全监测与管理 电子商务支付系统 安全协议(SET,SSL,S/HTTP…) 认证手段(数字签名,证书授权,MAC…) 密码算法(分组密码,共钥密码,HASH…) 安全平台(操作系统,数据库,网络…) 电子商务安全框架

  14. 网络安全 用户提出的问题 什么样的网络才是安全的? 怎样才能建立一个安全网络? 通常的安全考虑 网络实体安全 操作系统安全 应用程序安全 用户安全 数据安全

  15. 网络整体安全问题 1.网络是否安全? (网络完整性 Network Integrity) 网络群体:网络控制,通信安全,防火墙 2.操作系统是否安全? (系统完整性 System Integrity) 系统群体:病毒,黑客入侵,风险评估,审计分析 3.用户是否安全?(用户完整性 User Integrity) 用户群体:安全配置,用户/组管理,登录鉴别 4.应用程序是否安全? (应用完整性 Application Integrity) 应用群体:访问控制,授权 5.数据是否安全? (应用保密性Application Confidentiality) 应用保密:加密

  16. 网络安全的类别 ㈠ 网络可信：保证网络可靠运行，防止系统崩溃，主要解决硬件故障和软件故障。 ㈡ 网络阻塞：主要解决网络配置、网络调度不合理，防止网络广播风暴和噪声。 ㈢ 网络滥用：合法用户超越权限使用计算机，获取网络资源。 ㈣ 网络入侵：非法用户非法进入系统和网络，获取控制权和网络资源。 ㈤ 网络干扰：出于某种目的对计算机和网络系统运行进行干扰，干扰方式多种，使系统不可信、操作员和系统管理员心理压力增加、心理战。施放各种假的和期骗信息，扰乱社会、经济、金融等。 ㈥ 网络破坏: 系统攻击、删除数据、毁坏系统。非法窃取、盗用、复制系统文件、数据、资料、信息，造成泄密。

  17. 参考资料 • William Stallings 《Network Security Essentials—Applications and Standards》（中文）人民邮电出版社2000.11 • 杨义先等 《网络信息安全与保密》北京邮电大学出版社。2000.11

  18. 增强网络安全意识刻不容缓 网络安全受重视 国家安全利益 商业利益 个人利益 开放与安全的冲突

  19. 威胁的来源 外国政府 本国政府 网络犯罪 陌生人、朋友和亲人 网络安全威胁与攻击( 1)

  20. 主要的网络安全威胁 自然灾害、意外事故； 计算机犯罪； 人为行为，比如使用不当，安全意识差等； “黑客” 行为：由于黑客的入侵或侵扰，比如非法访问、拒绝服务计算机病毒、非法连接等； 内部泄密； 外部泄密； 信息丢失； 电子谍报，比如信息流量分析、信息窃取等； 信息战； 网络协议中的缺陷，例如TCP/IP协议的安全问题等等。 网络安全威胁与攻击( 2)

  21. 安全威胁类型 偶发性威胁 故意性威胁 被动威胁 主动威胁 网络安全威胁与攻击( 3)

  22. 攻击类型 口令猜测 窃听（Sniffing) 冒充 地址欺骗(Spoofing) 连接盗用(Hijacking) 重放 篡改 网络安全威胁与攻击 (4) • 服务拒绝(Denial of Service,DoS) • 内部攻击 • 外部攻击 • 陷阱门 • 特洛伊木马 • 社会工程(Social Engineering)

  23. What is network security? Confidentiality（保密性）:只有发送者和指定的接收者能够理解信息的内容 • sender encrypts msg（发送方加密） • receiver decrypts msg （接收方解密） Authentication（认证，真实性:不可抵赖性）: sender发送方和接收方相互认证 • 消息认证 • 身份认证：验证真实身份和所声称身份相符的过程 Message Integrity（消息的完整性）:发送方和接收方保证消息没有被篡改（系统完整性、数据完整性） Access and Availability（访问和可用性）:服务可访问，对用户可用

  24. 根据美国国家计算机安全中心（NCSC）标准，安全等级分为四类：根据美国国家计算机安全中心（NCSC）标准，安全等级分为四类： D类：最低安全类 C类：包括C1、C2级,自由选择性安全保护。 B类：包括B1、B2级,强制性安全保护。 A类：最高安全类 计算机网络安全等级

  25. * 黑客(Hacker) 网络入侵者通称“黑客”，公众对这个字眼带有强烈的贬意和否定，其实黑客的原意是泛指对任何计算机系统、操作系统、网络系统的奥秘都具有强烈兴趣的人。他们大部分都具有计算机操作系统和编程语言方面的高级知识，了解系统中的漏洞及其原因，他们不断追求新的、更深的知识和技术，并公开他们的发现，与其他人分享，他们自己宣称决不、也从来没有破坏数据的企图。 恶意黑客渗入计算机系统和网络系统并获取其内部工作的情况和知识，非法访问、寻找、窃取资源和信息。恶意黑客会有目的的篡改系统数据和资源，修改系统配置，甚至远程控制目标系统。 网络的入侵者

  26. * 窃客(Phreaker) 即“电信黑客”或“电信窃客”。他们与网络黑客不同，主要与电话公司打交道。采用不同的种种“手段”和“诡计”，如拦截传输信号，从而操纵电话公司，并机盗打用户移动电话，免费拨打区域和长途电话等。并从电信网站、电信传输和用户通信中某利，获取所需敏感信息。 * 怪客(Cracker) 网络上的匿名攻击者，专门进行网络入侵攻击，发布干扰信息， 传输网络垃圾等。 网络的入侵者

  27. 辨证的看待黑客 “黑客”与“黑客技术”目前带有贬意，实际上在计算机安全的领域内，国外对计算机和网络“黑客”的看法，也有两种观点。 1）“黑客”是非法使用计算机系统和网络系统的人。 2）“黑客”中有的人是查找网络缺陷的侦察兵，是有利于网络安全的。 我们认为，基于信息对抗、计算机对抗的基础，我们必须既要防御非法“黑客”的攻击，也要研究和利用“黑客”技术来维护网络安全，不断地发现网络的漏洞，不断地改进安全系统。

  28. 网络的入侵者 • 黑客的攻击不可避免 • 丰富专业的网络知识 • 功能强大的攻击工具(例如,VeteScan, CIS, NMAP) • 漏洞百出的操作系统,应用系统. • 控制着大量的跳板机器 • 逆向思维,出其不意的手法。 我是黑客,我怕谁

  29. 网络犯罪特点 网络犯罪与传统犯罪有很多不同，网络犯罪有如下一些特点： ① 网络犯罪高技术化、专业化 犯罪者具有高智商，熟悉并掌握电脑技术、电信技术或者网络技术，了解电子数据资料结构和数据库，作案手段复杂隐蔽，有的情况下使正常操作与犯罪活动很难区分。 ② 网络犯罪动机复杂化 它既包含了传统犯罪中的谋财害命、发泄报复、恐怖暴力、欺诈拐骗等，还渗入了更深厚的政治、军事、经济、宗教色彩。

  30. 网络犯罪特点 ③ 网络犯罪的覆盖面更广，日趋国际化 利用网络的互联，缩短了时间和空间，犯罪分子在作案、通信、交易、逃匿等方面可以易地进行 异地作案的可能性极大，使得作案隐蔽性更强，危害更大。 ④ 网络犯罪人员趋于年青化 调查统计，电脑犯罪者的平均年龄约在25岁左右。青年人聪明好动、虚荣心大、探索意识强，但也最容易在网络上掉入网络陷阱，受到邪恶引诱而误入歧途。 ⑤ 网络犯罪的形式多样化 它既具有传统犯罪中的各种形式，还包含了更严重的犯罪教唆、展示、指导、引诱、服务等等。网络色情的泛滥、网络邪教的诱惑、没落文化和反动文化的泛起都威胁到整个网络世界。

  31. 万般无奈的用户 从数量上看，每天大量地入侵事件发生，据调查，最近的中国，每天有近40例的入侵事件。呈现上升趋势。 从技术上看，大量的安全漏洞被发现，而且发现的漏洞涉及的面十分广泛。从底层协议到高层应用程序都发现高风险的漏洞。 面对大量入侵行为，用户是万般无可奈何，却又无法逃避地现状。唯一的方法，就是构筑网络的长城。 Only you!

  32. 互联网困境

  33. 信息源 信息 (a)正常 目的地 (b)中断 (c)截获 (d)篡改 (e)伪造 对安全的攻击 被动威胁 析出消息内容 通信量分析 可用性 私密性 主动威胁 真实性 完整性

  34. 被动攻击 这类攻击一般在信息系统的外部进行，对信息网络本身一般不造成损坏，系统仍可正常运行，但有用的信息可能被盗窃并被用于非法目的。

  35. sniffer 被动攻击----信息内容窃取 • 攻击者从传输信道、存储介质等处截取信息。(需要了解通信协议，存储方法等信息) • 根据信息格式进行分解、组合； • 对密文进行解密

  36. 被动攻击--信息流量分析 • 对网络中的信息流量和信息流向进行分析，然后得出有价值的情报；

  37. 主动攻击 • 这类攻击直接进入信息系统内部，往往会影响系统的运行、造成巨大的损失，并给信息网络带来灾难性的后果。

  38. 主动攻击---假冒 • 假装合法用户身份、执行与合法用户同样的操作： (1)截获或猜破用户标识和口令； (2) 截获或仿制“ 身份证书”

  39. 主动攻击---假冒 • 假装合法用户身份、执行与合法用户同样的操作： (1)截获或猜破用户标识和口令； (2) 截获或仿制“ 身份证书”

  40. 主动攻击---阻塞(DOS) • 使用投放巨量垃圾电子邮件(邮件炸弹)、无休止耗费网络或主机资源等手段造成网络传输和应用服务的终止，影响正常运行；(Deny Of Service)

  41. 主动攻击--抵赖 • 实施某种行为后进行否认： • 否认请求过服务； • 否认提供过服务； • 否认接受过服务。

  42. 主动攻击---”病毒” • 病毒是一段具有注入、复制、传播、表现或破坏能力的一段特殊程序； • 利用 网络注入和传播是当前病毒的一个新的特点。 • 普通病毒、特洛依木马、逻辑炸弹、蠕虫等表现。

  43. 网络攻击三部曲 • 网络攻击三部曲：踩点->扫描->攻击 • 踩点（信息收集） • SNMP协议 • TraceRoute程序 • Whois协议 • DNS服务器 • Finger协议 • Ping实用程序

  44. 网络攻击三部曲 • 扫描（漏洞侦测） • 使用自制工具 • 使用专用工具（SATAN等） • 攻击 • 建立帐户 • 安装远程控制器 • 发现信任关系全面攻击 • 获取特权

  45. 缺陷扫描 目的是发现可用的缺陷 Satan、SSCAN Nmap -O 服务扫描 目的是为了发现可用的服务 WWW scan ftp scan Proxy scan 扫描简介

  46. Sniffing（嗅）/Snooping（探听）–监视网络以获取敏感数据和口令(截取（interception) ) Message Replays–向服务器发送替换过的报文 (“replay attack”) Message Alteration–修改报文，然后再发送 Message Delay and Denial–降低或取消网络的服务质量 (AKA Denial-of-service 拒绝服务) Spoofing（欺骗）–使报文好象是来自本地，而不是来自它的真实出处(伪造（fabrication)) 常见的网络攻击

  47. 人为的恶意攻击： 源站 目的站 源站 目的站 源站 目的站 源站 目的站 截获 中断 篡改 伪造 被动攻击 主 动 攻 击 对网络的被动攻击和主动攻击 • 截获（Interception）:攻击者从网上窃取他人的通信内容。 • 中断（Interruption）:攻击者有意中断他人在网络上的通信。 • 篡改（Modification）:攻击者故意篡改网络上传送的报文。 • 伪造（Fabrication）:攻击者伪造信息在网络上传送。

  48. Malicious Programs Need Host Program Independent Trapdoors Logic Bombs Trojan Horses Viruses Bacteria Worms 恶意程序分类

  49. 恶意程序说明 • 陷门：进入程序的秘密入口，可以绕过正常的安全访问过程 • 逻辑炸弹：嵌入在某个合法程序中的一段代码 • 特洛伊木马：一个表面上有用的程序，其中隐藏了一段有害的功能代码 • 病毒：感染其它程序并自动复制 • 蠕虫：使用网络连接从一个系统传播到另一个系统 • 细菌：不明显破坏系统，不断繁殖自己，直至耗尽资源

  50. 特洛伊木马 • 木马入侵的主要途径是通过一定的方法把木马执行文件弄到被攻击者的电脑系统里，如邮件、下载等，然后通过提示误导被攻击者打开执行文件 • 木马执行文件较小，一般从几K到几十K，有一些网站提供的软件下载往往是捆绑了木马文件的，执行这些下载的文件，也同时运行了木马 • 木马也可能通过Script、ActiveX及Asp、 Cgi交互脚本的方式植入

More Related