网络及信息系统安全现状及体系基础知识课件

《网络及信息系统安全现状及体系基础知识课件》由会员分享，可在线阅读，更多相关《网络及信息系统安全现状及体系基础知识课件（66页珍藏版）》请在金锄头文库上搜索。

1、网络与信息系统安全现状及体系基础,刘春林,目 录,1信息安全发展和现状 2信息安全定义 3 网络安全事件及其分析 4 信息安全特征 5 信息安全层次和结构 6 信息与网络安全组件,安全威胁触目惊心,根据公安部一份信息网络安全状况调查显示，在被调查的7072家政府、金融证券、教育科研、电信、广电、能源交通、国防和商贸企业等信息网络中，发生网络安全事件的比例为58。 其中，计算机病毒、蠕虫和木马程序造成的安全事件占发生安全事件单位总数的79，拒绝服务、端口扫描和篡改网页等网络攻击事件占43，大规模垃圾邮件传播造成的安全事件占36。特别地，计算机病毒的感染率为87.9，比上一年增加了2。 上述调查对

2、象都是国内信息安全投入比较高的大行业，防火墙、入侵检测、防病毒等常见安全产品基本都已部署，但仍然遭受了触目惊心的安全危害。 就像“911”之后的美国，人们突然发现，以前大家对安全问题的看法已经不适合新形势的需要了，原本人们认为固若金汤的美国本土，被新的攻击手段炸得千疮百孔。目前的互联网和网络安全部署大家原本很乐观，但上面列举的这些触目惊心的危害清楚地表明，在层出不穷的攻击手段面前，我们的网络安全保护措施已经落后了。,我国信息安全发展和现状,技术防御整体水平有待提高 各类安全威胁与风险 几大安全现状和威胁 计算机网络系统使用的软、硬件缺乏保护信息安全所必不可少的有效管理和技术改造 全社会的信息安

3、全意识虽然有所提高，但将其提到实际日程中来依然很少 国内很多公司在遭到攻击后，为名誉起见往往并不积极追究黑客法律责任 目前关于网络犯罪的法律还不健全 我国信息安全人才培养还远远不能满足需要,信息安全的意义和重要性,以信息化带动工业化，以工业化促进信息化，从而发挥后发优势，实现生产力的跨越式发展 以信息化带动工业化分为三个层面上意义： 第一、信息化有助于工业企业经营理念的更新和升 级； 第二、信息化有助于整合企业内部资源，提高劳动生产率，降低劳动成本； 第三、信息化有助于工业企业广泛参与社会分工 和适应新的国际经济体系；,信息安全的未来发展趋势,人类一直在尝试努力研制人工智能，生物技术与遗传学理

4、论天翻地覆的革命，相信人类物种进化停滞不前的现状不会太长久了。遗传工程及其它生物技术的进步将可以使一种生物拥有更高的能力和更长的寿命，从而可以为自己制造出更聪明、更强壮的宇航员。不仅如此，随着技术的进步，人工智能机器人完全有可能和人结合起来，人工智能机器可以从人类身上吸取某些“灵气”，而我们人类自身经过长时间与机器相处，将会模糊生物性与机械性之间的界限，因此未来的人将不再是和现在一样的纯粹的生物性的人。其实，人类现在已经在这方面显现一些机械性的苗头了：如在心脏里植入心脏启勃器，在大脑中植入某种芯片等。未来的人也许应该改一个名字了，那就是“电子人”。 在更远一点的将来，人类甚至可以将自己的意识下

5、载到所制造的智能机器里面，使那些“粘乎乎”的生物永生不老，甚至变成“超人”。,网络通常面临的三个脆弱性,行为管理脆弱性 网络配置脆弱性 技术脆弱性,从几个方面来考虑安全,本质上讲： 保护网络系统的硬件，软件，数据 防止系统和数据遭受破坏，更改，泄露 保证系统连续可靠正常地运行，服务不中断 广义上讲： 领域涉及到网络信息的保密性，完整性，可用性，真实性，可控性的相关技术和理论 两个方面：技术方面防止外部用户的非法入侵 管理方面内部员工的教育和管理 提高人员的安全意识,信息安全定义,网络安全事件及分析,信息安全事件及其分析,入侵系统的常用步骤,信息安全事件及其分析,较高明的入侵步骤,信息安全事件及

6、其分析,被黑的WEB页面,信息安全事件及其分析,案例一：某电子商务网站,主服务器遭到黑客攻击后瘫痪 在启用备份服务器后，数据大部分被删除 有Juniper防火墙，但防火墙行同虚设 主机上没有作过多配置，存在大量的服务 安装了pcAnywhere远程控制软件,信息安全事件及其分析,案例一的教训,在遭到黑客攻击后应采取的措施 关键数据的备份 主机日志检查与备份 主机的服务端口的关闭 主机可疑进程的检查 主机帐号的修改 防火墙的策略修改 启用防火墙日志详细记录 避免使用的危险进程 利用Disk Recovery技术对硬盘数据进行恢复,信息安全事件及其分析,案例二：中国电信信息港,遭到黑客DDOS(D

7、istribution Denial of service )攻击 服务器被瘫痪，无法提供正常的服务 来源地址有3000多个，多数来自国内 有一部分攻击主机是电信内部的IP地址,信息安全事件及其分析,案例二的教训,加强对骨干网设备的监控 减少骨干网上主机存在的漏洞 在受到攻击时，迅速确定来源地址，在路由器和防火墙上作一些屏蔽 实现IDS(Intrusion Detection Systems )和防火墙的联动,信息安全事件及其分析,信息安全的目的,信息安全事件及其分析,安全工作目的（一）,安全工作的目的就是为了在安全法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，完成以下

8、任务： 使用访问控制机制，阻止非授权用户进入网络，即 “进不来”,从而保证网络系统的可用性。 使用授权机制，实现对用户的权限控制，即不该拿走的“拿不走”，同时结合内容审计机制，实现对网络资源及信息的可控性。 使用加密机制，确保信息不暴漏给未授权的实体或进程，即“看不懂”，从而实现信息的保密性。,信息安全事件及其分析,安全工作目的（二）,使用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而其它人“改不了”，从而确保信息的完整性。 使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“走不脱”，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。,信息安全事件及

9、其分析,信息安全特性,信息安全特征,信息安全的基本特征,相对性 只有相对的安全，没有绝对的安全系统。 操作系统与网络管理的相对性。 安全性在系统的不同部件间可以转移,信息安全特征,信息安全的基本特征,时效性 新的漏洞与攻击方法不断发现（NT4.0已从SP1发展到SP6,Windows 2003业发现很多漏洞,针对Outlook的病毒攻击非常普遍),信息安全特征,信息安全的基本特征,配置相关性 日常管理中的不同配置会引入新的问题(安全测评只证明特定环境与特定配置下的安全）； 新的系统部件会引入新的问题(新的设备的引入、防火墙配置的修改)；,信息安全的基本特征,攻击的不确定性 攻击发起的时间、攻击

10、者、攻击目标和攻击发起的地点都具有不确定性 复杂性： 信息安全是一项系统工程，需要技术的和非技术的手段，涉及到安全管理、教育、培训、立法、国际合作与互不侵犯协定、应急反应等,信息安全特征,信息安全特性与具体实现,信息安全特征,建立信息安全模型,信息安全层次和结构,信息与网络系统安全理念,信息安全层次和结构,信息与网络系统安全管理模型,信息安全层次和结构,信息安全策略,自上而下地制定安全策略 最小特权原则 密码技术与方法 阻塞点 最薄弱环节（被忽视的环节） 失效保护机制 缺省拒绝状态 缺省接受状态 不要使用太昂贵的设备 采用多防线技术 不要太过于依赖系统操作：定期备份 普遍参与 防御多样,信息安

11、全层次和结构,可定制的安全要素和领域,网络物理与拓扑安全（ARC） 访问控制与安全边界（CTL） 弱点漏洞分析和风险审计（ASS） 入侵检测与防御（IDS） 信息监控与取证（INF） 网络病毒防范（VPR） 身份认证与授权（AAA） 通信链路安全（LNK） 系统安全（SYS） 数据与数据库安全（DBS） 应用系统安全（APS） 个人桌面安全（PCS） 涉密网的物理隔离（PHY） 灾难恢复与备份（RAB） 集中安全管理（MAN）,信息安全层次和结构,根据内部网络的安全域结构，需要在不同安全域间设置边界访问控制，包括内外网连界、内网边界。网络边界访问控制的设计包括网络隔离方案、边界防火墙配置方案、

12、局域网虚拟子网间的访问控制、远程访问控制。 网络隔离 根据国家安全主管部门有关规定，党政涉密网要求与因特网物理断开。对于各单位的涉密应用，如涉密办公应用，应单独建立相应的网络。 边界防火墙 防火墙是网络安全最基本的安全措施，目的是要在内部、外部两个网络之间建立一个安全隔离带，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。 业务网络隔离,信息安全层次和结构,访问控制与安全边界（ CTL）,访问控制与安全边界（ CTL）,局域网的多个业务系统：办公应用系统，应用系统，数据中心。 可通过有效的虚拟子网划分来对无关用户组间实施安全隔离，提供子网间的访问控制:

13、VLAN划分。 远程访问控制 通过在广域连接的出入口配置防火墙，使远程用户对内部网服务器的访问受到防火墙的控制，远程内部网用户可按权限访问指定的内部网服务器。 另外，通过设置一台安全认证服务器，可进行拨号用户身份、远程拨号路由器身份的认证，从而限制非法单机和局域网用户对内部网的访问。 认证服务器可设在防火墙内，连接到内部网的交换机上。,计算机的安全,主机安全：主要考虑保护合法用户对于授权资源的使用，防止非法入侵者对于系统资源的侵占与破坏. 其最常用的办法是利用操作系统的功能，如Unix的用户认证、 文件访问权限控制、记帐审计等。 网络安全：主要考虑网络上主机之间的访问控制，防止来自外部网络的入

14、侵，保护数据在网上传输时不被泄密和修改 其最常用的方法是防火墙、加密等。,信息安全层次和结构,主机网络安全系统体系结构,信息安全层次和结构,信息与网络系统的安全框架,保卫网络和基础设施 主干网络的可用性 无线网络安全框架 系统互连和虚拟私有网（VPN） 保卫边界 网络登录保护 远程访问 多级安全 保卫计算环境 终端用户环境 系统应用程序的安全 支撑基础设施 密钥管理基础设施/公共密钥基础设施（KMI/PKI） 检测和响应,信息安全层次和结构,保护计算环境,计算环境包括终端用户工作站台式机和笔记本，工作站中包括了周边设备； 安全框架的一个基本原则是防止穿透网络并对计算环境的信息的保密性、完整性和

15、可用性造成破坏的计算机攻击； 对于那些最终得逞了的攻击来说，早期的检测和有效的响应是很关键的； 不断的或周期性的入侵检测、网络扫描以及主机扫描可以验证那些已经配置的保护系统的有效性； 系统应用的安全； 基于主机的检测与响应。,信息安全层次和结构,保护网络边界,一个区域边界之内通常包含多个局域网以及各种计算资源组件。边界环境比较复杂，它可以包含很多物理上分离的系统。 多数边界环境拥有通向其它网络的外部连接。它与所连接的网络可以在密级等方面有所不同。 边界保护主要关注对流入、流出边界的数据流进行有效的控制和监督。有效地控制措施包括防火墙、门卫系统、VPN、标识和鉴别/访问控制等。有效的监督措施包括

16、基于网络的入侵检测系统（IDS）、脆弱性扫描器、局域网上的病毒检测器等。虽然边界的主要作用是防止外来攻击，但它也可以来对付某些恶意的内部人员，这些内部人员有可能利用边界环境来发起攻击，和通过开放后门/隐蔽通道来为外部攻击提供方便。,信息安全层次和结构,保护网络和基础设施,网络以及为其提供支撑的相关基础设施（比如管理系统）是必须受到保护的。在网络上，有三种不同的通信流：用户通信流、控制通信流以及管理通信流。 保护的策略是，使用经过批准的广域网（WAN）来传输企业的机密数据，加密方式采用国家相关部门批准的算法； 为保护非加密局域网上交换的敏感数据，要求使用符合一定条件的商业解决方案,信息安全层次和结构,支撑基础设施,支持基础设施给以下情况提供服务：网络；最终用户工作站；网络、应用和文件服务器；单独使用的基础设施机器（即：高级的域名服务器（DNS）服务，高级目录服务器）。 框架包括两个方面的内容：密钥管理基础设施(KMI)，其中包括公钥基础设施(PKI) 和检测响应基础设施。 密钥管理基础设施：KMI 提供一种通用的联合的处理方式，以便于安全创建、分发和管理公共密钥证