《新编计算机导论 教学课件 ppt 作者 周苏 新编导论-第12章 信息安全与风险责任》由会员分享，可在线阅读，更多相关《新编计算机导论 教学课件 ppt 作者 周苏 新编导论-第12章 信息安全与风险责任（64页珍藏版）》请在金锄头文库上搜索。
1、周 苏 教授 QQ：81505050 ZS,信息安全，又称数据安全、网络安全、计算机安全等，是指信息网络的硬件、软件及系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改或泄露，系统连续可靠正常地运行，使信息服务不中断。 信息安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。从广义上说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都属于数据安全的研究领域。,如今，基于网络的信息安全技术已是未来信息安全技术发展的重要方向。由于因特网是一个全开放的信息系统，窃密和反窃密、破坏与反破坏广泛存在
2、于个人、集团甚至国家之间，资源共享和信息安全一直作为一对矛盾体而存在着，网络资源共享的进一步加强以及随之而来的信息安全问题也日益突出。,基于计算机系统的风险 计算机病毒 风险管理 数据备份,12.1,12.2,12.3,12.4,12.1 基于计算机系统的风险 12.1.1 操作错误 12.1.2 掉电、电源尖峰、电源混涌 12.1.3 硬件失效,12.1 基于计算机系统的风险 今天的计算机用户正在为避免数据丢失、被窃以及损坏而努力。数据的丢失，是指数据不能被访问，这通常是因为偶然被删去而导致的；数据被窃并不意味着数据丢失，而是在未经授权的情况下数据被访问或者被拷贝；数据不准确的原因包括数据输
3、入错误、被蓄意或者偶然修改、没有及时编辑以反映当前事实等。 尽管计算机病毒以及犯罪被人们广泛关注，但实际上，许多数据出现问题仅仅是因为操作错误、电源不正常或者硬件失效等偶然原因造成的。,12.1.1 操作错误 操作错误是指计算机用户所犯的错误，这常常是不可避免的。尽管如此，但如果用户注意力集中，并且养成了有助于避免出错的一些好习惯，那么操作性错误就可以大大减少。,12.1.2 掉电、电源尖峰、电源混涌 所谓掉电是指整个计算机系统完全停止供电，这常常是因为某些不能控制的事件而导致的，例如跳闸、电线毁坏等。由于不能对计算机系统进行持续供电，储存在RAM中的数据就会丢失。即使只是短暂的电源终止，也会
4、使计算机重启动，并丢失RAM中的所有数据。,闪电以及供电公司的故障可能导致电源尖峰或者电源浪涌，从而损坏敏感的计算机元件。电源尖峰是指电压在持续很短的一段时间 (例如小于百万分之一秒内) 突升；电源浪涌是指电压在持续较长的时间里 (例如百万分之几秒内) 突降。电源尖峰和电源浪涌比掉电更容易损坏计算机系统，可能会损坏主板以及磁盘驱动设备的电路板等。因此，专家建议在雷电交加的天气里拔下计算机设备的电源，自己采取某种保护性措施。,UPS (不间断电源，图12-1) 是防止掉电、电源尖峰和电源浪涌的最好防护手段，它包含一个可以持续性地提供电源的电池，和防止电源尖峰和电源浪涌到达计算机的电路系统。UPS
5、可以在短暂的停电中为计算机持续供电，使之继续工作，或者在长久停电的情况下给出充足的时间来保存机器内的文件，停止程序的运行等。 UPS是网络服务器的关键设备，但是也推荐个人采用。 采购UPS取决于计算机所需要的功率以及UPS的功能。,图12-1 SANTAK UPS,12.1.3 硬件失效 计算机部件的可靠性一般是通过MTBP (平均故障时间) 来衡量的，这是一个统计数据，把实验设备的工作时间除以实验阶段出现的故障数量而得到。这个标准很容易误导消费者。例如，硬盘驱动器的MTBF是125 000h，大约是14年的时间，其意思是，平均起来，硬盘驱动器有可能工作125 000h不出故障。但是，实际情况
6、是，很可能它工作10h就出故障。所以，应该考虑硬件失效问题，而不是只希望不出现故障。,硬件失效的影响取决于失效的部件。大多数的硬件失效只会造成不便，例如，显示器、RAM芯片故障等。但是，如果硬盘驱动器出现了问题就可能会造成很大的损失，因为可能丢失存储在硬盘上所有的数据。除非已经对硬盘上的程序，尤其是数据文件做了完整的最新备份。,12.2 计算机病毒 12.2.1 计算机病毒的产生 12.2.2 恶意程序 12.2.3 反病毒技术,12.2 计算机病毒 “病毒”一词源于生物学，人们通过分析研究发现，计算机病毒在很多方面与生物病毒有相似之处，以此借用生物病毒的概念。在我国计算机信息系统安全保护条例
7、中的相关定义是：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并且能够自我复制的一组计算机指令或者程序代码。”,计算机病毒实际上是一种在计算机系统运行过程中能够实现传染和侵害计算机系统功能的程序。在系统穿透或违反授权攻击成功后，攻击者通常要在系统中植入一种能力，为攻击系统、网络提供条件。例如向系统中侵入病毒、蛀虫、特洛伊木马、陷门、逻辑炸弹；或通过窃听、冒充等方式来破坏系统正常工作。 因特网是目前计算机病毒的主要传播源。,12.2.1 计算机病毒的产生 随着计算机应用的普及，早期就有一些科普作家意识到可能会有人利用计算机进行破坏，提出了“计算机病毒”
8、这个概念。不久，计算机病毒便在理论、程序上都得到了证实。,1949年，计算机创始人冯诺依曼发表论文复杂自动机器的理论和结构，提出了计算机程序可以在内存中进行自我复制和变异的理论。此后，许多计算机人员在自己的研究工作中应用和发展了程序自我复制的理论。 1959年，ATT贝尔实验室的3位成员设计出具有自我复制能力、并能探测到别的程序在运行时能将其销毁的程序。,1983年，Fred Cohen博士研制出一种在运行过程中可以复制自身的破坏性程序。并在全美计算机安全会议上提出和在VAX II/150机上演示，从而证实计算机病毒的存在，这也是公认的第一个计算机病毒程序的出现。,随着计算机技术的发展，出现了
9、一些具有恶意的程序。最初是一些计算机爱好者恶作剧性质的游戏，后来有一些软件公司为防止盗版在自己的软件中加入了病毒程序。1988年，罗伯特莫里斯 (Rober Moms) 制造的蠕虫病毒是首个通过网络传播而震撼世界的“计算机病毒侵入网络案件”。后来，又出现了许多恶性计算机病毒。 计算机病毒会抢占系统资源、删除和破坏文件，甚至对硬件造成毁坏，而网络的普及使得计算机病毒传播更加广泛和迅速。,12.2.2 恶意程序 所谓恶意程序是指一类特殊的程序，它们通常在用户不知晓也末授权的情况下潜入进来，具有用户不知道 (一般也不许可) 的特性，激活后将影响系统或应用的正常功能，甚至危害或破坏系统。恶意程序的表现
10、形式多种多样，有的是改动合法程序，让它含有并执行某种破坏功能；有的是利用合法程序的功能和权限，非法获取或篡改系统资源和敏感数据，进行系统入侵。 根据恶意程序威胁的存在形式不同，将其分为需要宿主程序和不需要宿主程序可独立存在的威胁两大类。前者基本上是不能独立运行的程序片段，而后者是可以被操作 系统调度和运行的自包含程序。,图12-2 恶意程序的分类,也可以根据是否进行复制来区分这些恶意程序。前者是当调用宿主程序时被激活起来完成一个特定功能的程序片段；后者是由程序片段 (病毒) 或由独立程序 (蠕虫、细菌) 组成，在执行时可以在同一个系统或某个其他系统中产生自身的一个或多个以后将被激活的副本。 事
11、实上，随着恶意程序彼此间的交叉和互相渗透 (变异) ，这些区分正变得模糊起来。恶意程序的出现、发展和变化给计算机系统、网络系统和各 类信息系统带来了巨大的危害。,1) 陷门。 是进入程序的秘密入口。知道陷门的人可以不经过通常的安全访问过程而获得访问权力。陷门技术本来是程序员为了进行调试和测试程序时避免繁琐的安装和鉴别过程，或者想要保证存在另一种激活或控制程序的途径而采用的方法。如通过一个特定的用户ID、秘密的口令字、隐蔽的事件序列或过程等，这些方法都避开了建立在应用程序内部的鉴别过程。,当陷门被无所顾忌地用来获得非授权访问时，就变成了威胁。如一些典型的可潜伏在用户计算机中的陷门程序，可将用户上
12、网后的计算机打开陷门，任意进出；可以记录各种口令信息，获取系统信息，限制系统功能；还可以远程对文件或注册表等进行操作。 在有些情况下，系统管理员会使用一些常用的技术来加以防范。例如，利用工具给系统打补丁，把已知的系统漏洞给补上；对某些存在安全隐患的资源进行访问控制；对系统的使用人员进行安全教育等。这些安全措施是必要的，但绝不是足够的。,只要是在运行的系统，总是可能找出它的漏洞而进入系统，问题只是进入系统的代价大小不同。另外，信息网络的迅速发展是与网络所能提供的大量服务密切相关的。由于种种原因，很多服务也存在这样或那样的漏洞，这些漏洞若被入侵者利用，就成了有效进入系统的陷门。,2) 逻辑炸弹。
13、在病毒和蠕虫之前，最古老的软件威胁之一就是逻辑炸弹。逻辑炸弹是嵌入在某个合法程序里面的一段代码，被设置成当满足特定条件时就会“爆炸”，执行一个有害行为的程序，如改变、删除数据或整个文件，引起机器关机，甚至破坏整个系统等。,3) 特洛伊木马。 是指一个有用的，或者表面上有用的程序或命令过程，但其中包含了一段隐藏的、激活时将执行某种有害功能的代码，可以控制用户计算机系统的程序，并可能造成用户的系统被破坏甚至瘫痪。特洛伊木马程序是一个独立的应用程序，不具备自我复制能力，但具有潜伏性，常常有更大的欺骗性和危害性，而且特洛伊木马程序可能包含蠕虫病毒程序。,特洛伊木马的一个典型例子是被修改过的编译器。该编
14、译器在对程序 (例如系统注册程序) 进行编译时，将一段额外的代码插入到该程序中。这段代码在注册程序中构造陷门，使得可以使用专门的口令来注册系统。不阅读注册程序的源代码，永远不可能发现这个特洛伊木马。,4) 细菌。 是一些并不明显破坏文件的程序，它们的惟一目的就是繁殖自己。一个典型的细菌程序除了在多进程系统中同时执行自己的两个副本，或者可能创建两个新的文件 (每一个都是细菌程序原始源文件的一个复制品) 外，可能不做什么其他事情。那些新创建的程序又可能将自己两次复制，依此类推，细菌以指数级地再复制，最终耗尽了所有的处理机能力、存储器或磁盘空间，从而拒绝用户访问这些资源。,5) 蠕虫。 是一种可以通
15、过网络进行自身复制的病毒程序。一旦在系统中激活，蠕虫可以表现得像计算机病毒或细菌。可以向系统注入特洛伊木马程序，或者进行任何次数的破坏或毁灭行动。普通计算机病毒需要在计算机的硬盘或文件系统中繁殖，而典型的蠕虫程序则不同，只会在内存中维持一个活动副本，甚至根本不向硬盘中写入任何信息。此外，蠕虫是一个独立运行的程序，自身不改变其他程序，但可携带一个具有改变其他程序功能的病毒。 为了自身复制，网络蠕虫使用了某种类型的网络传输机制。例如电子邮件。网络蠕虫表现出有潜伏期、 繁殖期、触发期和执行期的特征。,12.2.3 反病毒技术 现在，成熟的反病毒技术已经能够做到对已知病毒的彻底预防和杀除，这主要涉及到
16、三大技术，即实时监视技术、自动解压缩杀毒技术和全平台反病毒技术等。,系统对于计算机病毒的实际防治能力和效果要从以下三方面来评判： 1) 防毒能力。指预防病毒侵入计算机系统的能力。根据系统特性，通过采取相应的系统安全措施预防病毒侵入计算机。 2) 查毒能力。指发现和追踪病毒来源的能力。对于确定的环境 (包括内存、文件、引导区、网络等) ，应该能够准确地发现计算机系统是否感染有病毒，并能给出统计报告，报告病毒的名称，来源等。此能力由查毒率和误报率来评判。,3) 解毒能力。指从感染对象中清除病毒，恢复被病毒感染前的原始信息的能力。根据不同类型病毒对感染对象的修改，并按照病毒的感染特性所进行的恢复，其恢复过程不能破坏未被病毒修改的内容。此能力用解毒率来评判。,检测计算机病毒主要基于四种方法：,图12-3 检测方法原理,1) 比较法。 用原始备份与被检测的引导扇区或被检测的文件进行比较。比较时可以靠打印的代码清单或用程序来进行比较。,2) 特征代码扫描法。 病毒的特征代码是病毒程序编制者用来识别自己编写程序惟一的代
