《计算环境安全v4》由会员分享，可在线阅读，更多相关《计算环境安全v4（65页珍藏版）》请在金锄头文库上搜索。
1、计算环境安全计算环境安全讲师姓名 培训机构版本：4.0课程内容课程内容2安全设计与实现安全设计与实现知识域知识域知识子域知识子域物理与环境安全物理与环境安全系统环境安全系统环境安全应用与数据安全应用与数据安全网络和通信安全网络和通信安全知识子域：系统环境安全知识子域：系统环境安全v操作系统安全了解操作系统标识与鉴别、访问控制、权限管理、信道保护、安全审计、内存存取、文件保护等安全机制；了解安全补丁、最小化部署、远程访问控制、账户及口令策略、安全审计及其他操作系统配置要点；3操作系统安全操作系统安全v操作系统安全目标标识系统中的用户和进行身份鉴别依据系统安全策略对用户的操作进行访问控制，防止用户
2、和外来入侵者对计算机资源的非法访问监督系统运行的安全性保证系统自身的安全和完整性v实现目标的安全机制标识与鉴别、访问控制、最小特权管理、信道保护、安全审计、内存存取保护、文件系统保护等4标识与鉴别标识与鉴别vWindows系统的标识安全主体（账户、计算机、服务等）安全标识符（Security Identifier，SID）安全主体的代表（标识用户、组和计算机账户的唯一编码）范例：S-1-5-21-1736401710-1141508419-1540318053-1000vLinux/Unix系统的标识安全主体：用户标识号（User ID）5 标识与鉴别标识与鉴别v Windows系统用户信息管
3、理存储在注册表中，运行期锁定操作权限system，依靠系统服务进行访问v身份鉴别远程鉴别SMB、LM、NTLM本地鉴别6SAM账户信息库GINA LSA标识与鉴别标识与鉴别vLinux系统用户信息管理用户帐号文件(/etc/passwd)使用不可逆DES算法加密的用户密码散列（早期）文本格式、全局可读影子文件(/etc/shadow)存储存放用户密码散列、密码管理信息等文本格式，仅对root可读可写7#root:$1$acQMceF9:13402:0:99999:7:访问控制访问控制vWindows的访问控制（ACL）访问令牌（包含SID和特权列表）仅NTFS文件系统支持，权限存储流中vLin
4、ux下的访问控制（ACL）需要文件系统格式支持权限类型：读、写、执行（ UGO管理机制）权限表示方式：模式位8drwxr-xr-x 3 root root 1024 Sep 13 11:58 test权限管理权限管理vWindows系统特权管理用户帐户控制（UAC）标准受限访问令牌&完全访问令牌vLinux系统特权管理限制对root使用，su及sudo命令Suid位：任何用户执行文件运行权限都为文件所有者组的权限9-r-s-x-x 1 root root 10704 Apr 15 2002 /usr/bin/passwd SUID程序信道保护信道保护v正常信道的保护可信通路（Trusted P
5、ath）安全键（SAK）v隐蔽信道保护10安全审计安全审计v对系统中有关安全的活动进行记录、检查以及审核，一般是一个独立的过程vWindows系统的安全审计Windows日志（系统、应用程序、安全）应用程序和服务日志（IIS日志等）vLinux系统的安全审计连接时间日志进程统计错误日志应用程序日志11内存保护与文件系统保护内存保护与文件系统保护v内存保护进程间/系统进程内存保护段式保护、页式保护和段页式保护v文件系统保护机制访问控制列表加密Windows(EFS、Bitlocker)Linux(eCryptfs)12操作系统安全配置操作系统安全配置v安装分区设置安全补丁&最新版本官方或可靠镜像
6、（Md5校验）v最小化部署明确需要的功能和组件，不需要的服务和功能都关闭v远程访问控制开放端口远程连接的限制13操作系统安全配置操作系统安全配置v账户策略及密码策略管理员更名并给予安全的口令好的口令特点：自己容易记、别人不好猜密码策略（避免弱口令）密码必须符合复杂性要求密码长度最小值强制密码历史帐号锁定策略（应对暴力破解）帐户锁定时间帐户锁定阀值重置帐户锁定计数器14密码远程暴力破解密码远程暴力破解v简单但有效的攻击方式v利用人性懒惰的弱点15ID:cisp psw:123456Ok,you can login inID:cisp psw:No,you can not login in1 12
7、123123412345123456OK,you can login inNo,you can not login inNo,you can not login inNo,you can not login inNo,you can not login in安全审计安全审计v日志设置日志项、存储空间、访问权限日志服务器v其他安全设置安全增强软件（防病毒、主机入侵检测、安全加固软件等）针对操作系统特性的设置Windows关闭共享、自动播放功能Linux中默认创建文件权限等16知识子域：系统环境安全知识子域：系统环境安全v信息收集与系统攻击理解信息收集的概念及公开渠道信息收集、网络服务信息收集的方
8、式及防御措施；理解缓冲区溢出的基本概念及危害；理解缓冲区溢出攻击的技术原理及防御措施。17信息收集与情报分析信息收集与情报分析v信息收集的概念情报学中的一个领域互联网时代信息技术的发展使得数据大量被生产出来v信息收集的作用攻击者通过信息收集获取攻击目标大概信息，为下一步攻击做准备甚至利用收集的信息直接攻击18信息搜集和分析信息搜集和分析v收集哪些信息目标系统的信息系统相关资料域名、网络拓扑、操作系统、应用软件、相关脆弱性目标系统的组织相关资料组织架构及关联组织地理位置细节电话号码、邮件等联系方式近期重大事件员工简历其他可能令攻击者感兴趣的任何信息19公开信息收集公开信息收集- -搜索引擎搜索引
9、擎v快速定位某开源软件xxxx.jsp脚本存在漏洞，Google 搜索“xxxx.jsp”可以找到存在此脚本的Web网站Google 搜索“teweb/default.htm”就可找到开放着远程Web连接的服务器v信息挖掘定点采集Google 搜索 “.doc+website”挖掘信息隐藏信息.mdb、.ini、.txt、.old、.bak、.001后台入口20How to hack website with google!信息收集与分析信息收集与分析v网络信息收集正常服务（如whois）系统功能Pingtracertv信息信息收集服务旗标欢迎信息端口扫描TCP/IP协议指纹识别法21信息收集
10、与分析的防范信息收集与分析的防范v公开信息收集防御信息展示最小化原则，不必要的信息不要发布v网络信息收集防御部署网络安全设备（IDS、防火墙等）设置安全设备应对信息收集（阻止ICMP）v系统及应用信息收集防御修改默认配置（旗标、端口等）减少攻击面22严防死守！系统攻击系统攻击- -缓冲区溢出缓冲区溢出v缓冲区溢出攻击原理缓冲区溢出攻击利用编写不够严谨的程序，通过向程序的缓冲区写入超过预定长度的数据，造成缓存的溢出，从而破坏程序的堆栈，导致程序执行流程的改变v缓冲区溢出的危害最大数量的漏洞类型漏洞危害等级高23国家漏洞库（CNNVD）2013年漏洞统计缓冲区溢出基础缓冲区溢出基础- -堆栈、指针
11、、寄存器堆栈、指针、寄存器v堆栈概念一段连续分配的内存空间v堆栈特点后进先出堆栈生长方向与内存地址方向相反v指针指针是指向内存单元的地址寄存器暂存指令、数据和位址ESP（栈顶）、EBP（栈底）、EIP（返回地址）2434H12H78H56H0108HESP栈顶(AL)(AH)34H12H78H56H0106HESP栈顶缓冲区溢出简单示例缓冲区溢出简单示例v程序作用：将用户输入的内容打印在屏幕上25Buffer.c#include int main ( ) char name8; printf(Please input your name: ); gets(name); printf(you n
12、ame is: %s!, name); return 0; 缓冲区溢出示例缓冲区溢出示例26用户输入内容在8位以内时候，程序正常执行用户输入内容超过8位以后，程序执行产生错误缓冲区溢出简单示例缓冲区溢出简单示例27由于返回地址已经被覆盖，函数执行返回地址时会将覆盖内容当作返回地址，然后试图执行相应地址的指令，从而产生错误。当我们全部输入a时，错误指令地址为0x616161，0x61是a 的ASCII编码程序溢出堆栈情况程序溢出堆栈情况28 name XXX EIP XXXcispcisp name XXX EIP XXXaaaaaaaa aaaa aaaa aaaa堆栈顶部 堆栈底部内存底部
13、内存顶部正常状态下的堆栈溢出状态下的堆栈缓冲区溢出攻击过程缓冲区溢出攻击过程v如果可精确控制内存跳转地址，就可以执行指定代码，获得权限或破坏系统29寻找程序漏洞编制缓冲区溢出程序精确控制跳转地址执行设定的代码获得系统权限或破坏系统缓冲区溢出的防范缓冲区溢出的防范v用户补丁防火墙v开发人员编写安全代码，对输入数据进行验证使用相对安全的函数v系统缓冲区不可执行技术虚拟化技术30知识子域：系统环境安全知识子域：系统环境安全v恶意代码防护了解恶意代码的概念及恶意代码传播的方式；理解恶意代码的预防、检测、分析、清除技术措施及相关概念；了解基于互联网的恶意代码防护概念；31什么是恶意代码什么是恶意代码v什
14、么是恶意代码中华人民共和国计算机信息系统安全保护条例第二十八条：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码 (1994.2.18)恶意代码，是指能够引起计算机故障，破坏计算机数据，影响计算机系统的正常使用的程序代码。指令v类型二进制代码、脚本语言、宏语言等v表现形式病毒、蠕虫、后门程序、木马、流氓软件、逻辑炸弹等32恶意代码传播方式恶意代码传播方式v文件传播感染移动介质v网络传播网页、电子邮件、即时通讯、共享、漏洞v软件部署逻辑炸弹预留后门文件捆绑33恶意代码的预防技术恶意代码的预防技术v增强安全策略与意识
15、v减少漏洞补丁管理主机加固v减轻威胁防病毒软件间谍软件检测和删除工具入侵检测/入侵防御系统防火墙路由器、应用安全设置等34恶意代码检测技术恶意代码检测技术- -特征码特征码扫描扫描v工作机制：特征匹配病毒库（恶意代码特征库）扫描（特征匹配过程）v优势准确(误报率低)易于管理v不足效率问题（特征库不断庞大、依赖厂商）滞后（先有病毒后有特征库，需要持续更新）35恶意代码检测技术恶意代码检测技术- -行为检测行为检测v工作机制：基于统计数据恶意代码行为有哪些行为符合度v优势能检测到未知病毒v不足误报率高难点：病毒不可判定原则36恶意代码分析技术恶意代码分析技术v静态分析不实际执行恶意代码，直接对二进
16、制代码进行分析文件特性，如文件形态、版本、存储位置、长度等文件格式，如PE信息、API调用等v动态分析运行恶意代码并使用监控及测试软件分析本地行为：文件读写、注册表读写等网络行为：远程访问、调用等37恶意代码的清除恶意代码的清除v感染引导区修复/重建引导区v感染文件附着型：逆向还原（从正常文件中删除恶意代码）替换型：备份还原（正常文件替换感染文件）v独立文件内存退出，删除文件v嵌入型更新软件或系统重置系统38基于互联网技术的防御基于互联网技术的防御v恶意代码监测与预警体系蜜罐、蜜网v恶意代码云查杀分布式计算39知识子域：应用与数据安全知识子域：应用与数据安全v应用安全威胁理解应用系统安全威胁的
17、多样性概念；了解从不同角度对应用安全威胁的分类；vWeb应用体系了解应用安全体系构成及相关安全问题；理解HTTP协议工作机制及明文传输数据、弱验证、无状态等安全问题；了解WEB 防火墙、网页防篡改等常见Web安全防护技术作用；40应用安全威胁应用安全威胁v应用系统的复杂性和多样性使得安全问题也呈现出多样化的特点41终端用户终端用户应用服务器应用服务器数据库服务器数据库服务器数据库支撑服务软件应用软件应用协议应用客户端WebWeb应用安全应用安全vWEB服务器端安全问题（支撑软件、应用程序）vWeb客户端（浏览器）vWeb协议（Http）42终端用户终端用户应用服务器应用服务器数据库服务器数据库
18、服务器Web应用（IIS、Apache）应用传输协议HTTP应用客户端浏览器（IE、Firefox）HTTPHTTP协议协议vHTTP(超文本传输协议)工作机制请求响应模式HTTP请求包含三个部分 （方法 URL 协议/版本、请求头部、请求正文） HTTP响应包含三个部分（协议状态代码描叙、响应包头、实体包）43HTTP请求HTTP响应HTTPHTTP协议安全问题协议安全问题v信息泄漏（传输数据明文）v弱验证（会话双方没有严格认证机制）http1.1提供摘要访问认证机制，采用MD5将用户名、密码、请求包头等进行封装，但仍然不提供对实体信息的保护v缺乏状态跟踪（请求响应机制决定http是一个无状
19、态协议）Session解决方案带来的安全问题44WebWeb服务端软件安全问题服务端软件安全问题v服务支撑软件安全问软件自身安全漏洞例：IIS 5.0超长URL拒绝服务漏洞例：Unicode解码漏洞软件配置缺陷默认账号、口令不安全的配置例：IIS配置允许远程写入v应用软件安全问题45WebWeb安全防护技术安全防护技术vWeb防火墙工作在应用层基本功能审计并拦截HTTP数据流Web应用访问控制Web应用加固v网页防篡改监控Web服务器上的页面文件，防止被篡改机制备份文件对比、摘要文件对比、删改操作触发、系统底层过滤46知识子域：应用与数据安全知识子域：应用与数据安全v针对Web应用的攻击理解S
20、QL注入攻击的原理及危害了解跨站脚本安全问题的原理及危害；了解失效的验证和会话管理、不安全对象直接引用、跨站请求伪造、不安全配置管理、不安全密码存储、错误的访问控制、传输保护不足、网址重定向、异常处理、拒绝服务攻击等针对WEB的攻击方式；47典型注入攻击典型注入攻击-SQL-SQL注入注入v原理：程序没有对用户输入数据的合法性进行判断，使攻击者可以绕过应用程序限制，构造一段SQL语句并传递到数据库中，实现对数据库的操作v示例48adminABCDEFG!Select * from table where user=admin and pwd=ABCDEFG!;Select * from tab
21、le where user=admin and pwd=123 or 1=1admin123 or 1=1由于密码的输入方式，使得查询语句返回值永远为True，因此通过验证！SQLSQL注入攻击注入攻击v可以传递到数据库的数据都是攻击对象v示例http:/ And (update user set passwd=123 where username=admin);- Select * from 表名 where 字段=49 And (update user set passwd=123 where username=admin);49非法的SQL语句被传递到数据库中执行！SQLSQL注入的危害
22、注入的危害v数据库信息收集数据检索v操作数据库增加数据删除数据更改数据v操作系统借助数据库某些功能（例如：SQLServer的内置存储过程XP_CMDShell）50SQLSQL注入的防御注入的防御v防御的对象：所有外部传入数据用户的输入提交的URL请求中的参数部分从cookie中得到的数据其他系统传入的数据v防御的方法白名单：限制传递数据的格式黑名单：过滤过滤特殊字串：update、insert、delete等开发时过滤特殊字符：单引号、双引号、斜杠、反斜杠、冒号、空字符等的字符部署防SQL注入系统或脚本51针对针对WebWeb应用的攻击应用的攻击- -跨站脚本跨站脚本v原理由于程序没有对用
23、户提交的变量中的HTML代码进行过滤或转换，使得脚本可被执行，攻击者可以利用用户和服务器之间的信任关系实现恶意攻击v危害敏感信息泄露、账号劫持、Cookie欺骗、拒绝服务、钓鱼等v防范不允许HTML中脚本运行对所有脚本进行严格过滤52针对针对WEBWEB应用的攻击应用的攻击v失效的验证和会话管理v不安全的对象直接引用v跨站请求伪造v不安全的配置管理v不安全的密码存储v错误的访问控制v传输保护不足v未经验证的网址重定向v不恰当的异常处理v拒绝服务攻击53知识子域：应用与数据安全知识子域：应用与数据安全v电子邮件安全理解电子邮件工作机制及SMTP、POP3协议；了解电子邮件安全问题及解决方案；v其
24、他互联网应用了解远程接入、域名系统、即时通讯等其他互联网应用安全问题及解决措施；v数据库安全了解数据库安全要求；掌握数据库安全防护的策略和要求；54电子邮件安全电子邮件安全vPOP3/SMTP协议工作机制简单的请求响应模式v安全问题信息泄漏（用户帐号密码、邮件内容）身份验证不足（社会工程学攻击、垃圾邮件）v安全解决服务器端安全邮件协议使用SSL保护会话安全策略客户端55其他互联网应用安全其他互联网应用安全v远程接入v域名系统v即时通信56数据库安全措施数据库安全措施v用户标识与鉴别v授权与访问控制v数据加密v安全审计v57数据库安全防护数据库安全防护v检查、监控、审计58数据库安全防护数据库安
25、全防护- -构建深度防御体系构建深度防御体系v安全机制标识与鉴别、访问控制、传输加密、审计等v安全策略密码策略、备份策略等59DBSQL请求用户标识与鉴别DBMS存取控制数据加密审计追踪各种应用安全边界查询引擎DBMS选件事务引擎数据库安全防护数据库安全防护- -安全特性检查安全特性检查v数据库系统漏洞v数据库配置缺陷60知识库检测引擎服务扫描渗透测试安全审计漏洞利用审计报告检测人员策略专家配置检测策略扫描数据库服务外部渗透性测试进行全面的安全审计扫描分析审计结果，设计漏洞利用方式生成一份详细的审计报告制定检测策略从策略库中选择检测策略数据库安全特性检查数据库安全特性检查v安全配置补丁协议（端
26、口、传输协议）v账号用户名及密码口令策略权限v存储过程v触发器v备份61数据库安全防护数据库安全防护- -运行监控运行监控v入侵检测v数据库审计62数据库安全防护数据库安全防护- -安全审计安全审计v审计：数据库审计关注的问题审计对象（对谁进行审计）标准审计（系统级、用户级）细粒度审计（对象级）审计内容（对什么行为进行审计）访问数据库应用程序、位置及用户信息，包括用户操作、操作日期与时间、操作涉及的相关数据、操作是否成功等63总结总结v操作系统安全安全机制安全部署原则v针对系统的攻击信息收集口令破解缓冲区溢出v应用安全Web应用安全针对web的攻击v数据库安全防护64谢谢，请提问题！谢谢，请提问题！
