5软件安全技术与应用实践概论.ppt

第5章 软件安全技术与应用实践 ;定义;5．1软件安全策略 ;1．软件限制策略原则 (1) 应用软件与数据文件的独立原则 在使用软件限制策略时，应坚持“应用软件与数据文件独立”的原则，即用户即使具有数据文件的访问权限，但若没有其关联软件的访问权限，仍然不能打开这个文件。 ;(2) 软件限制策略的冲突处理原则 软件限制策略与其他组策略一样，可以在多个级别上进行设置。即可将软件限制策略看成是组策略中的一个特殊分支。所以，软件限制策略可以在本地计算机、站点、域或组织单元等多个环节进行设置。每个级别又可以针对用户与计算机进行设置。 当在各个设置级别上的软件限制策略发生冲突时，应考虑优先性问题。优先性的级别从高到低为“组织单元策略”、“域策略”、“站点策略”和“本地计算机策略”。 ;(3) 软件限制的规则 默认情况下，软件限制策略提供了“不受限的”和“不允许的”两种软件限制规则。 “不受限的”规则规定所有登录的用户都可以运行指定的软件。 “不允许的”规则规定所有登录系统的账户，都不能运行这个应用软件，无论其是否对数据文件具有访问权限。 系统默认的策略是所有软件运行都是“不受限的”，即只要用户对于数据文件有访问权限，就可以运行对应的应用软件。 ;2．软件限制策略的应用 软件限制策略是一种技术，通过这种技术，管理员可以决定哪些程序是可信赖的，哪些是不可信赖的。对于不可信赖的程序，系统会拒绝执行。 运行Gpedit.msc打开组策略编辑器，可以发现有“计算机配置”和“用户设置”条目。如果希望对本地登录到计算机的所有用户生效，则使用“计算机配置”下的策略；如果希望对某个特定用户或用户组生效，则使用“用户配置”下的策略。 用户应设计出一种最佳的策略，能使所有需要的软件正确运行，所有不必要的软件都无法运行。 ;具体操作： 打开“计算机配置”→“Windows设置”→“安全设置”→“软件限制策略”路径，在“操作”菜单下选择“创建新的策略” 。请参考教材p156;5.1.2 TCP/IP协议的安全性 ;1．TCP/IP协议的层次结构及主要协议 网络接口层负责接收IP数据报，并把这些数据报发送到指定网络中。它与OSI模型中的数据链路层和物理层相对应。 网络层要解决主机到主机的通信问题，该层的主要协议有IP和ICMP。 传输层的基本任务是提供应用程序之间的通信，这种通信通常叫做端到端通信。传输层可提供端到端之间的可靠传送，确保数据到达无差错，不乱序。传输层的主要协议有TCP和UDP。 应用层为协议的最高层，在该层应用程序与协议相互配合，发送或接收数据。 ;应用层 传输(TCP)层 网络(IP)层 网络接口层;2．TCP／IP协议安全性分析 (1) TCP协议 TCP使用三次握手机制建立一条连接。攻击者可利用这三次握手过程建立有利于自己的连接（破坏原连接），若他们再趁机插入有害数据包，则后果更严重。 TCP协议把通过连接而传输的数据看成是字节流，用一个32位整数对传送的字节编号。初始序列号(ISN)在TCP握手时产生，产生机制与协议实现有关。攻击者只要向目标主机发送一个连接请求，即可获得上次连接的ISN，再通过多次测量来回传输路径，得到进攻主机到目标主机之间数据包传送的来回时间（RTT）。已知上次连接的ISN和RTT，很容易就能预测下一次连接的ISN。若攻击者假冒信任主机向目标主机发出TCP连接，并预测到目标主机的TCP序列号，攻击者就能伪造有害数据包，使之被目标主机接受。 ;(2) IP协议和ICMP协议 IP协议提供无连接的数据包传输机制，其主要功能有寻址、路由选择、分段和组装。传送层把报文分成若干个数据包，每个包在网关中进行路由选择，在传输过程中每个数据包可能被分成若干小段，每一小段都当作一个独立的数据包被传输，其中只有第一个数据包含有TCP层的端口信息。在包过滤防火墙中根据数据包的端口号检查是否合法，这样后续数据包就可以不经检查而直接通过。攻击者若发送一系列有意设置的数据包，以非法端口号为数据的后续数据包覆盖前面的具有合法端口号的数据包，那么该路由器防火墙上的过滤规则被旁路，从而攻击者便达到了进攻目的。 ;ICMP是在网络层中与IP一起使用的协议。如果一个网关不为IP分组选择路由、不能递交IP分组或测试到某种不正常状态，如网络拥挤影响IP分组的传递，那么就需要ICMP来通知源端主机采取措施，避免或纠正这些问题。 ICMP协议存在的安全问题有：攻击者可利用不可达报文对某用户节点发起拒绝服务攻击。 ;3．TCP/IP层次安全 (1) 网络接口层安全 网络接口层安全一般可以达到点对点间较强的身份验证、保密性