电子商务安全第9章 网络系统安全知识.ppt

山西大学商务学院 第9章 网络系统的安全知识 主要内容 了解计算机病毒概念 掌握计算机病毒的基本特征 运用计算机病毒的特征防范计算机病毒 了解入侵检测系统和入侵检测系统的新技术 9.1 计算机病毒基本概念和特征 病毒产生的原因： 计算机病毒是高技术犯罪，具有瞬时性、动态性和随机性。不易取证，风险小破坏大。 1）寻求刺激：自我表现；恶作剧； 2）出于报复心理。 计算机病毒的特点： 1．寄生性 2．传染性 3．潜伏性 4．隐蔽性 5. 可触发性 6. 破坏性与危害性； 计算机受到病毒感染后，表现的症状 机器不能正常启动 运行速度降低 磁盘空间迅速变小 文件内容和长度有所改变 经常出现“死机”现象 外部设备工作异常 病毒的分类： 按破坏性分为：良性；恶性。 按激活时间分为：定时；随机 按传染方式分为： 引导型：当系统引导时进入内存，控制系统； 文件型：病毒一般附着在可执行文件上 ； 混合型：既可感染引导区，又可感染文件。 按连接方式分为： OS型：替换OS的部分功能，危害较大； 源码型：要在源程序编译之前插入病毒代码；较少； 外壳型：附在正常程序的开头或末尾；最常见； 入侵型：病毒取代特定程序的某些模块；难发现。 按照病毒特有的算法分为： 伴随型病毒：产生EXE文件的伴随体COM，病毒把自身写入COM文件并不改变EXE文件，当DOS加载文件时，伴随体优先被执行到，再由伴随体加载执行原来的EXE文件。 “蠕虫”型病毒：只占用内存，不改变文件，通过网络搜索传播病毒。 寄生型病毒：除了伴随和“蠕虫”型以外的病毒，它们依附在系统的引导扇区或文件中。 变型病毒（幽灵病毒）：使用复杂算法，每传播一次都具有不同内容和长度。一般的作法是一段混有无关指令的解码算法和被变化过的病毒体组成。 引导型病毒种类 大麻病毒 香港病毒 米氏病毒 Pakistani Brain（巴基斯坦大脑） Stoned（石头） ExeBug Monkey 病毒的组成： 安装模块：提供潜伏机制； 传播模块：提供传染机制； 触发模块：提供触发机制； 其中，传染机制是病毒的本质特征，防治、检测及杀毒都是从分析病毒传染机制入手的。 　　 计算机病毒的传播途径 1）通过不可移动的设备进行传播 较少见，但破坏力很强。 2）通过移动存储设备进行传播 最广泛的传播途径 3）通过网络进行传播 反病毒所面临的新课题 4）通过点对点通讯系统和无线通道传播 预计将来会成为两大传播渠道 病毒的破坏行为 攻击系统数据区：主引导区、Boot区、FAT区、文件目录 攻击文件、内存、CMOS；干扰系统运行，使速度下降；干扰屏幕、键盘、喇叭、打印机；破坏网络资源。 病毒的发展趋势 攻击对象趋于混合型；反跟踪技术；增强隐蔽性：避开修改中断向量值；请求在内存中的合法身份；维持宿主程序外部特征；不用明显感染标志;采用加密技术，使得对病毒的跟踪、判断更困难；繁衍不同的变种。 9.2、计算机病毒的预防与检测 网络环境下的病毒防治原则与策略 防重于治，防重在管：制度；注册、权限、属性、服务器安全；集中管理、报警。 综合防护：木桶原理；防火墙与防毒软件结合 最佳均衡原则：占用较小的网络资源 管理与技术并重 正确选择反毒产品 多层次防御：病毒检测、数据保护、实时监控 注意病毒检测的可靠性：经常升级；两种以上。 防毒：预防入侵； 病毒过滤、监控、隔离 查毒：发现和追踪病毒； 统计、报警 解毒：从感染对象中清除病毒；恢复功能 病毒检测的方法 直接观察法： 根据病毒的种种表现来判断 特征代码法 ：采集病毒样本，抽取特征代码 特点：能快速、准确检验已知病毒，不能发现未知的病毒。 校验和法： 根据文件内容计算的校验和与以前的作比较。 优点：能判断文件细微变化，发现未知病毒。 缺点：当软件升级、改口令时会产生误报；不能识别病毒名称；对隐蔽性病毒无效。 行为监测法： 基于对病毒异常行为的判断 特点：发现许多未知病毒；可能误报，实施难 软件模拟法：一种软件分析器，用软件方法来模拟和分析程序的运行。 特点：可用于对付多态病毒。 反病毒软件的选择 1）扫描速度 30秒能扫描1000个以上文件 2）识别率 3）病毒清除测试 著名杀毒软件 反病毒软件工作原理 1）病毒扫描程序 串扫描算法:与已知病毒特征匹配；文件头、尾部 入口扫描算法：模拟跟踪目标程序的执行 类属解密法：对付多态、加密病毒 2）内存扫描程序：搜索内存驻