短信服务 平台的 组建 和 相关技术 论文 新发言稿.docVIP

发言稿 要真正理解网络的信息安全，需要对网络信息系统存在的安全缺陷和可能受到的各种攻击有深入正确的理解。所谓“知已知彼，百战不殆”。 对于网络的安全，我们可以粗略地将对系统安全造成的威胁归结为 6 大类 : 教育培训问题、变节的员工、系统软件的缺陷、对硬件的攻击、错误的信任模型和拒绝服务。 1 ．教育培训问题大致可分为 (1) 火车司机型。 (2) 航空飞行员型。 第一种显得非常好用。用惯了图形用户界面的人都希望安全系统在经过简单的指导安装之后，不用再亲自介入以后的运行了。这种想法很自然，但实现起来并不容易。网络世界远远没有铁路系统那么有序，不像铁轨那样严格控制机制，因此出现的异常情况太多.而防火墙并不是万灵药，它虽然堵住了大量不安全的缺口，但还是小心翼翼与外界交换信息的小门。如果有人利用这条路径进行数据驱动型的攻击，防火墙是无能为力的。还有许多系统被攻破是因为它们严重依赖于用户创建的口令. 2 ．变节的员工： 谈到变节的员工问题应该说它属于机构的内部事务。通常负责密钥管理和系统维护的人越多，系统出问题的可能性就越大。对此，最好的解决办法是建立完整的安全政策，严格控制用户的权限以及对关键信息的访问。 3 ．系统软件的缺陷 （1）系统设计问题 安全系统牵涉了各种不同的密码学原理，如加密算法、数字签名算法、单向 Hash 算法、消息认证码及安全协议等。只要攻破其中的任何一项，就等于攻破了整个系统。 值得一提的是，Internet 从建立开始就缺乏总体的安全构想和设计，而 TCP/IP 协议却是在可信的环境下专门为网络互联设计的，缺乏安全措施的考虑。因此，在这方面出现的安全问题较多。 2）系统实现问题 在系统实现方面出现问题的原因很多，有的可能缘于对设计的理解，由于理解不透，所实现的系统并非是想像的系统 ; 有的可能缘于在实现过程中对细节过于疏忽，比如一些系统不能保证在加密之后可清除明文，或在加密过程中，系统崩溃可能导致密钥被转存到硬盘上等。 然而，在系统实现过程中最大的问题是程序里存在的错误，受时间和测试工具的限制，现有的许多系统都是在未经充分测试的情况下投入运行的，难免隐藏一些错误。 （3）故障恢复问题 设计一个安全的系统要求做到当一个系统某一部分被攻破时，其影响范围应该尽量最小化，避免捅出更大的乱子。 4 ．对硬件的攻击 依靠智能卡、电子钱包之类的防撬装置来保证安全，而系统用卡落入他人之手，也不会造成危害。存在一些对这类硬件的攻击手段，如通过检查其运算所花费的时间、测量工作中的能量消耗、射线穿透检查等特殊“通道”，可能会让拿到卡的攻击者获取一些秘密。 5 ．错误的信任模型 在使用一个系统时，通常都要做出一些假定。比如当用户收到一封电子邮件时，可能假定发信者确实是真实的；当用户拿到一个新版的操作系统时，可能会假定厂家在广告中做的宣传是真实的；当用户通过网络获取一个共享文件时，可能会假定取到的是真正好的软件。在上述假定中可能是存在“中间者”；也有可能文件被人修改过了。 6 ．拒绝服务 拒绝服务是指一个未经授权的用户不需要任何特权就可以使服务器无法对外提供服务，从而影响合法用户使用。 协议本身抗干扰能力差 这是许多基于 TCP/IP 的协议所共有的问题，攻击者靠大量的请求数据挤占合法用户的请求空间，使合法用户的请求无法得到响应。 一 ．情报搜集 情报搜集的目的是为了得到所要攻击的目标系统的相关信息，为下一步行动做好准备。 HTTP 、 FTP 、 SMTP 及 Telnet 等网络服务可能会暴露操作系统类型和版本等信息。 SNMP 协议、 traceroute 等工具可以用来检查网络系统路由器的路由表、到达目标主机所要经过的网络和有关路由信息细节。 WHOIS 协议、 DNS 服务器及 NetBIOS 协议等可能会给出目标主机名称等信息。 不同 TCP/IP 协议的实现会产生不同的“指纹”，可用于判断目标主机所使用的操作系统。 二 ．系统安全漏洞检测 通常攻击者可以用自编工具或公开的程序自动扫描驻留目标系统,检测可能存在安全漏洞。 一般说来，在使用自动化工具时，这两步可以同时进行。一种是内部人员利用自己的工作机会和权限来获取不应该获取的权限而进行的攻击。另一种是外部人员入侵，包括远程入侵、网络节点接入入侵等。1).　确定攻击的目的 　　攻击者在进行一次完整的攻击之前首先要确定攻击要达到什么样的目的，即给对方造成什么样的后果。2).　信息收集 　　除了确定攻击目的之外，攻击前的最主要工作就是收集尽量多的关于攻击目标的信息。这些