网络安全笔记.docVIP

网络安全——技术与实践

第1章 网络安全概论

信息安全3个基本目标：

（1）保密性

（2）完整性

（3）可用性

1.1对网络安全的需求

1.1.1网络安全发展态势

（1）计算机病毒层出不穷，肆虐全球，并且逐渐呈现新的传播态势和特点。

（2）黑客对全球网络的恶意攻击势头逐年攀升。

（3）由于技术和设计上的不完备，导致系统存在缺陷或安全漏洞。

（4）世界各国军方都在加紧进行信息战的研究。

1.1.2敏感信息对安全的需求

根据多级安全模型，通常将信息的密级由低到高划分为秘密级、机密级和绝密级，以确保每一级的信息仅能让那些具有高于或等于该权限的人使用。

1.1.3网络应用对安全的需求

1.2安全威胁与防护措施

1.2.1基本概念

安全威胁，是指某个人、物、事件或概念对某一资源的保密性、完整性、可用性或合法使用所造成的危险。

攻击就是安全威胁的具体实施。

防护措施，是指保护资源免受威胁的一些物理的控制、机制、策略和过程。

脆弱性是指在实施保护措施中或缺少防护措施时，系统所具有的弱点。

风险，是对某个已知的、可能引发某种成功攻击的脆弱性的代价的测度。

安全威胁可以分为故意的和偶然的。故意的威胁又可以进一步分为被动攻击和主动攻击。被动攻击只对信息进行监听，而不对其进行修改。主动攻击却对信息进行故意的修改。

威胁分析的3个阶段：首先对基本的威胁加以区分；其次，对主要的可实现的威胁进行分类；最后，对潜在的威胁进行分类。

1.2.2安全威胁的来源

1.基本威胁

（1）信息泄露

（2）完整性破坏

（3）拒绝服务

（4）非法使用

2.主要的可实现威胁

主要的渗入类型的威胁：

（1）假冒

（2）旁路控制

（3）授权侵犯

主要的植入威胁：

（1）特洛伊木马

（2）陷阱门

3.潜在威胁

（1）窃听

（2）流量分析操作

（3）操作人员的不慎所导致的信息泄露

（4）媒体废弃物所导致的信息泄露

1.2.3安全防护措施

（1）物理安全

（2）人员安全

（3）管理安全

（4）媒体安全

（5）辐射安全

（6）生命周期控制

1.3网络安全策略

安全策略，是指在某个安全域内，用于所有与安全相关活动的一套规则。

安全策略等级：

（1）安全策略目标：它是一个机构对于所保护的资源要达到的安全目标而进行的描述。

（2）机构安全策略：它是一套法律、规则及实际操作方法，用于规范一个机构如何管理、保护和分配资源，以便达到安全策略所规定的安全目标。

（3）系统安全策略：它描述如何将一个特定的信息系统付诸工程实现，以支持此机构的安全策略要求。

1.3.1授权

是指主体对客体的支配权利，它等于规定了谁可以对什么做些什么。

1.3.2访问控制策略

（1）基于身份的策略

（2）基于任务的策略

（3）多等级策略

1.3.3责任

1.4安全攻击的分类

1.4.1被动攻击

被动攻击的特性是对说传输的信息进行窃听和监测。

第一种被动攻击是信息泄露攻击。

第二种被动攻击是流量分析

1.4.2主动攻击

主动攻击包括对数据流进行篡改或伪造数据流。

可以分成四类：（1）伪装攻击（2）重发攻击（3）消息篡改（4）拒绝服务

1.5网络攻击的常见形式

1.5.1口令窃取

口令猜测攻击有3种基本方式：

第一种方式是利用已知的或假定的口令尝试登陆。

第二种方式是根据窃取的口令文件进行猜测。

第三种方式是通过窃听某次合法的终端之间的会话，记录所使用的口令。

1.5.2欺骗攻击

1.5.3缺陷和后门攻击

网络蠕虫传播的方式之一是通过向finger后台程序发送新的代码来实现的。

缓冲器溢出攻击也称为“堆栈粉碎”攻击。常采用的一种扰乱程序的攻击方法。

缺陷，是指程序中的某些代码并不能满足特定的要求。

（1）在编写网络服务器软件的时候，要充分考虑对黑客的攻击行为采取措施。

（2）必须要对输入语法做出正确的定义

（3）必须遵守“最小特权”原则

1.5.4认证失效

1.5.5协议缺陷

1.5.6信息泄露

1.5.7指数攻击——病毒和蠕虫

1.5.8拒绝服务攻击

4种防御措施：

（1）寻找一种办法来过滤掉这些不良的数据包

（2）提高对接收数据进行处理的能力

（3）追查并关闭那些发动攻击的站点

（4）增加硬件设备或提高网络容量以从容处理正常的负载和攻击数据流量

1.6开放系统互联安全体系结构

研究目的，就是将普遍性安全体系原理与信息系统的实际相结合，形成满足信息系统安全需求的安全体系结构。

应用目的，就是从管理上和技术保证完整、准确地实现安全策略，满足安全需求。

1.6.1安全服务

1.认证

2.访问控制

3.数据保证性

4.数据完整性

5.不可否认性

6.可用性服务

1.6.2安全机制

1.6.3安全服务与安全机制的关系

1.6.4在OSI层中的服务配置

第2章 低层协议的安全性