信息安全概论第1讲

《信息安全概论第1讲》由会员分享，可在线阅读，更多相关《信息安全概论第1讲（32页珍藏版）》请在金锄头文库上搜索。

1、信息安全概论2010年9月-2011年1月教师介绍：余新桥地点： C7-201 网络教研室考核要求： 平时考勤 30% 考试 70%需要掌握的基本知识和技术1. 了解有关信息安全的基本概念2. 掌握安全协议的原理3. 掌握网络攻防的基本技术4. 掌握基本网络攻防技术5. 掌握加密解密基本原理6. 了解相关安全编程2009全球安全事件1、Conficker蠕虫病毒攻击历史上宣传最多也是僵尸网络多产的蠕虫病毒之一，在2009年又大张旗鼓地涌 现在人们眼前。Conficker是一个2008年10月发现的以微软的Windows操作系统为攻击目标的计算 机蠕虫病毒。这个蠕虫利用的是一个已知的被用于win

2、dows操作系统的服务器远程 过程调用服务（RPC）漏洞。微软在2008年10月对此发布了紧急安全漏洞，但是 却没有足够的用户在攻击代码感染计算机之前安装好补丁。在2009年上半年，通过USB和P2P感染数百万电脑的Conficker不时登上各大头版 头条。感染该蠕虫病毒的一种典型症状是阻止用户访问网络安全公司网站，还会通 过禁用Windows自动升级和安全中心来逃避检测和清除2009全球安全事件2、Heartland Breach信用卡失窃有人称为新版本TJX信用卡失窃案。这是迄今历史上最大一笔信用卡盗窃案。 Heartland Payment Systems中的大量数据被泄露，涉及到1.3

3、亿信用卡和相关交易 数据。Heartland因为接到Visa及MasterCard信用卡公司的通知，警告有可疑的信 用卡交易活动而揭发事件，估计黑客在去年已入侵该系统。Heartland Breach再一次警示人们安全威胁带来的风险无论系统多么强大，都 不能完全免疫恶意攻击。2009全球安全事件3、hacktivist泛滥Hacktivism泛指因政治或社团目的而产生的黑客行为，或者是入侵计算机系统 。独立完成这种行为的个人被称为黑客行动主义者（hacktivist）。具有政治色彩的 黑客行为在近年有愈演愈烈的趋势。今年出现在韩国的拒绝服务攻击就是一个很典型的例子。事后安全专家表示，利用 这起

4、攻击的黑客在今年7月的4个周末时间内，感染了全球约5万至6万计算机并诱使 它们成为僵尸网络的一员。这次攻击致使访问27个政府和商业站点受阻。此外， hacktivist还对伊朗政府网站发动了拒绝服务攻击，声称伊朗总统选举内含欺诈。2009全球安全事件4、苹果 iPhone 漏洞“黑帽”（Blackhat）安全大会上，安全研究人员Miller 在会议上展示如何通过手机短信对iPhone发动攻击，他 表示只要通过一系列恶意短信即可控制iPhone。要阻止 这一切，用户只能关闭手机。手机被恶意程序控制后， 黑客可以监控用户所处地理位置，打开手机麦克风窃听 用户通话，或者把手机变成“僵尸网络”中的一员

5、。2009全球安全事件5、黑客盯上社交网站黑客和偷盗者已经成为利用漏洞攻击Facebook和Twitter的急先锋。其中最臭名 昭著的攻击事件就是通过恶意软件、网络钓鱼和大量垃圾邮件传播Koobface蠕虫病 毒，对Facebook、MySpace、Friendster、Bebo、Fubar等社交网站发动攻击。用户一旦感染病毒后，会向其他朋友发出信息，以吸引你点击连结。用户一旦点击 ，就会被要求下载Adobe的Flash Player更新版，按下安装后电脑就会中毒。之后 每当你打算前往Google、Yahoo等搜寻器网站时，都会被强行导向一些有病毒的网 站。Koobface还可透过Facebo

6、ok的即时信息系统，侵入个人电脑，窃取用户密码 、信用卡号码等个人资料。Koobface显然是故意冲着Facebook而来，因为“Koob” 就是“Book”的倒写。2009全球安全事件6、TJX 黑客被起诉美国历史上规模最大的信用卡信息盗窃案的主犯Albert Gonzalez被起诉并最 终定罪。Albert Gonzalez现年28岁。他被指控从数家大型零售连锁商处窃取数百万 张信用卡和借记卡信息，从事了涉案金额数千万美元的欺诈交易。冈萨雷斯曾是美 国政府的线人，目前已经被收押。他承认了马萨诸塞州提出的19项罪名。这份认罪 协议包括了纽约联邦法庭对他待审的指控。一年之前，Gonzalez与

7、来自5个国家的其他10人，涉嫌从Barnes & Noble、BJs Wholesale Club、Boston Market、Forever 21、OfficeMax、Sports Authority以及 TJX Companies等主要零售商处窃取了4100万张信用卡和借记卡的数据。此外，据 新泽西州联邦地区法庭指控，他在今年8月17日从信用卡数据处理商Heartland Payment Systems以及连锁零售商7-Eleven和Hannaford Brothers那里窃取了超过 1.3亿张信用卡数据。2009全球安全事件7、云解决方案进一步发展为了满足企业寻求降低成本提高资本回报率的

8、市场需要，今年各大安全厂商都 纷纷强化了云解决方案内容。在收购了SaaS电子邮件之后，McAfee在10月推出了 基于云的电子邮件网关，网络安全公司MXLogic从而也扩大了基于McAfee云的电子 邮件和网络安全产品组合，通过这些带来了持续稳定的邮件服务，并增加了4万个 新客户和1800个渠道合作伙伴。同时，利用发布的最新版趋势科技Deep Security 7.0产品，可以帮助趋势科技更好 的保护服务器。新的Deep Security安全产品的目的是解决数据泄露和恶意软件的安 全威胁，包括SQL注入和跨站点脚本攻击，为任何实体，虚拟或云为基础的的服务 器提供安全服务。课程内容简介第1章 信

9、息安全简介第2章 信息安全体系结构第3章 密码基础第4章 身份识别与消息鉴别第5章 访问控制理论第6章 网络安全第7章 计算机系统安全第8章 应用安全第9章 安全审计第10章 信息安全评估与工 程实现信息安全概论徐茂智 邹维人民邮电出版社参考书目1. William Stallings（张英，王景新译），网络安全基础应用与标准（第二版）中国电力出版社 2004。 2. Matt Bishop（王立斌 黄征等译），计算机安全学安全的艺术与科学，电子工业出版社 2005。 第1章 信息安全简介1.1 信息安全的发展历史1.2 信息安全的概念和目标1.3安全威胁与技术防护知识体系1.4 信息安全中的

10、非技术因素分两次课学习1.1 信息安全的发展历史密码技术在军事情报传递中悄然出现，并扮演着重要角色，这可 以追溯到若干个世纪以前。在第二次世界大战中，密码技术取得巨大飞跃，特别是Shannon 提出的信息论使密码学不再是一种简单的符号变换艺术，成为一 门真正的科学。与此同时计算机科学也得到了快速发展。直到上世纪60年代，对计算机系统人们主要关注的是它的物理安 全。上世纪70年代随着计算机网络的出现，人们才把重心转移到计算 机数据的安全上来。从此，信息安全技术得到持续高速的发展。本节通过对一些重要历史阶段的回顾，了解信息安全的由来和研 究领域的拓展。1.1.1通信保密科学的诞生古罗马帝国时期的C

11、aesar密码1568年L.Battista发明了多表代替密码，并在美国南北战争期间由 联军使用。Vigenere密码和Beaufort密码（多表代替密码的典型例子）。1854年Playfair发明了多字母代替密码，英国在第一次世界大战中 采用了这种密码。Hill密码是多字母代替密码的典型例子。古典密码学诞生1918年W.Friedman关于使用重合指数破译多表代替密码。1949年C.Shannon的文章保密系统的通信理论发表在贝尔系 统技术杂志上。1974（？）年IBM提出商用算法DES（NIST标准 ）。密码技术从艺术变为科学。通信保密诞生1.1.2公钥密码学革命1976年Diffie、H

12、ellman提出公开密钥密码思想1977年Rivest、Shamir、Adleman 设计了一种公开密钥密码系统公钥密码学诞生对比传统密码算法公钥密码算法理论价值一、突破Shannon理论，从计算复杂性上刻画密码算法的强 度二、它把传统密码算法中两个密钥管理中的保密性要求，转换 为保护其中一个的保密性，保护另一个的完整性的要求。三、它把传统密码算法中密钥归属从通信两方变为一个单独的 用户，从而使密钥的管理复杂度有了较大下降。1.1.2公钥密码学革命对信息安全应用的意义一是密码学的研究已经逐步超越了数据的通信保密性范围，同 时开展了对数据的完整性、数字签名技术的研究。随着计算机及其网络的发展，密

13、码学已逐步成为计算机安全、 网络安全的重要支柱，使得数据安全成为信息安全的核心内容 ，超越了以往物理安全占据计算机安全主导地位的状态1.1.3访问控制技术与可信计算机评估准则1969年B. Lampson提出了访问控制的矩阵模型。模型中提出了主体与客体的概念客体：是指信息的载体，主要指文件、数据库等主体：是指引起信息在客体之间流动的人、进程或设备访问：是指主体对客体的操作，如读、写、删除等，所有可允许 访问属性：是指操作的集合。计算机系统中全体主体作为行指标、全体客体作为列指标、取值 为访问属性的矩阵就可以描述一种访问策略。 评价：可以设想随着计算机所处理问题的复杂性的增加，不可能显式地 表示

14、一个计算机的访问控制矩阵。所以用访问控制矩阵来实施访问控制是不现实的。 1.1.3访问控制技术与可信计算机评估准则1973年D.Bell和L.Lapadula创立了一种模拟军事安全策略的计算 机操作模型。把计算机系统看成是一个有限状态机，为主体和客体定义了密级 和范畴。定义了满足一些特性（如简单安全特性SS）的安全状态概念。证明了系统从安全状态出发，经过限制性的状态转移总能保持状 态的安全性。评价：模型使得人们不需要直接管理访问控制矩阵，而且可以获得可证 明的安全特征。Bell-Lapadula模型主要是面向多密级数据的机密性保护的，它对 数据的完整性或系统的其他安全需求刻画不够。 1.1.3

15、访问控制技术与可信计算机评估准则1985年美国国防部DoD提出了可信计算机评估准则（TCSEC） 通常称为橘皮书在Bell-Lapadula模型的基础上按照计算机系统的安全防护能力，分 成8个等级。评价：对军用计算机系统的安全等级认证起到了重要作用。而且对后来 的信息安全评估标准的建立起到了重要参考作用。1.1.3访问控制技术与可信计算机评估准则其他访问控制模型1977年提出的针对完整性保护的Biba模型、1987年提出的侧 重完整性和商业应用的Clark-Wilson模型2000年提出基于角色的访问控制模型（RBAC）权限管理基础设施（PMI）概念则使得访问控制技术在网络环 境下能方便地实施

16、1.1.4网络环境下的信息安全互联网出现攻击手段增多应用范围扩大安全技术多样化1.1.5信息保障1998年10月，美国国家安全局（NSA）颁布了信息保障技术框架 （IATF）1.1版，2002年9月，又颁布了3.1版本。另一方面，美 国国防部（DoD）于2003年2月6日颁布了信息保障的实施的命令 8500.2，从而使信息保障成为美国军方组织实施信息化作战的既 定指导思想。美国国防部对信息保障（Information Assurance，IA）的定义是“ 通过确保信息的可用性、完整性、可识别性、保密性和抗抵赖性 来保护信息和信息系统，同时引入保护、检测及响应能力，为信 息系统提供恢复功能。” 这就是信息保障的PDRR模型。PDRR是 指保护（Protect）、检测（Detect）、响应（React）和恢复（ Restore）。1.1.5信息保障美国信息保障技术框架的推进，使人们对信息安全的认识不仅仅 停留在