信息安全概述 密碼學(xué) 數(shù)字簽名 信息隱藏 計(jì)算機(jī)病毒、木馬、蠕蟲(chóng) 計(jì)算機(jī)網(wǎng)絡(luò) 網(wǎng)絡(luò)安全（防火墻，入侵檢測(cè)系統(tǒng)，入侵防御系統(tǒng)，拒絕服務(wù)攻擊/分布式拒絕服務(wù)攻擊） 網(wǎng)絡(luò)安全協(xié)議理論與技術(shù)（PKI，VPN，SSL） 操作系統(tǒng)安全 數(shù)據(jù)庫(kù)系統(tǒng) Web 安全防護(hù) 一、信息安全概述 信息安全的任務(wù)是保護(hù)信息財(cái)產(chǎn)，以防止偶然的故意為之的未授權(quán)者對(duì)信息的惡意修 改、破壞以及泄漏，從而導(dǎo)致信息無(wú)法處理，不完 整、不可靠。 信息安全具有以下基本屬性： （1）保密性（Confindentialy） ：保證未授權(quán)者無(wú)法享用信息，信息不會(huì)被非法泄漏而 擴(kuò)散； （2）完整性（Integrity） ：保證信息的來(lái)源、去向、內(nèi)容真實(shí)無(wú)誤； （3）可用性（Availability） ：保證網(wǎng)絡(luò)和信息系統(tǒng)隨時(shí)可用； （4）可控性（Controllability） ：保證信息管理者能對(duì)傳播的信息及內(nèi)容實(shí)施必要的控 制以及管理； （5）不可否認(rèn)性（Non-Repudiation）:又稱不可抵賴性，保證每個(gè)信息參與者對(duì)各自 的信息行為負(fù)責(zé)； 其中，前三者又稱為信息安全的目標(biāo)——CIA。 信息安全所面臨的危險(xiǎn)可以分為自然威脅和人為威脅兩方面： 自然威脅：各種自然災(zāi)害，惡劣的場(chǎng)地環(huán)境，電磁干擾，電磁輻射，網(wǎng)絡(luò)設(shè)備自然老化等； 人為威脅：人為威脅又包含無(wú)意威脅（偶然事故）和惡意攻擊。 偶然事故： 操作失誤：未經(jīng)允許使用，操作不當(dāng)，誤用存儲(chǔ)媒介等； 意外損失：電力線路漏電、搭線等； 編程缺陷：經(jīng)驗(yàn)、水平不足，檢查疏忽等； 意外丟失：數(shù)據(jù)被盜、被非法復(fù)制，設(shè)備、傳輸媒介失竊等； 管理不善：維護(hù)不力，管理松懈等； 惡意攻擊：又分為主動(dòng)攻擊和被動(dòng)攻擊。 主動(dòng)攻擊：有選擇性的修改、刪除、偽造、添加、重放、亂序信息，冒充以及制造病毒等； 被動(dòng)攻擊：在不干擾網(wǎng)絡(luò)信息系統(tǒng)正常工作的情況下，進(jìn)行偵收，截獲，竊取，破譯，業(yè)務(wù) 流量分析以及電磁泄漏等； 信息安全體系：包括信息安全服務(wù)與信息安全機(jī)制。 信息安全服務(wù)：實(shí)體鑒別，數(shù)據(jù)源鑒別，禁止抵賴，訪問(wèn)控制，數(shù)據(jù)完整性，數(shù)據(jù)機(jī)密性 信息安全機(jī)制：加密，訪問(wèn)控制，數(shù)字簽名，交換鑒別，路由控制，公證機(jī)制 信息安全的主要技術(shù)包括：加密技術(shù)，認(rèn)證技術(shù)，防偽技術(shù)，知識(shí)產(chǎn)權(quán)保護(hù)技術(shù)，網(wǎng) 絡(luò)控制技術(shù)，反病毒技術(shù)，數(shù)據(jù)庫(kù)安全技術(shù)和安全 審計(jì)技術(shù)等。 信息安全管理：在“安全方針政策，組織安全，資產(chǎn)分類與控制，人員安全，物理與 環(huán)境安全，通信與運(yùn)營(yíng)安全、訪問(wèn)控制、系統(tǒng)開(kāi)發(fā) 與維護(hù)、業(yè)務(wù)持續(xù)性管理、符合法律法規(guī)要求”等十個(gè)領(lǐng)域建立管理控制措施，保證組織資 產(chǎn)安全與業(yè)務(wù)的連續(xù)性。 二、密碼學(xué) 密碼學(xué)作為信息安全的基礎(chǔ)學(xué)科，是研究信息以及信息系統(tǒng)安全的傳統(tǒng)科學(xué)。它又分為： 密碼編碼學(xué)：研究如何對(duì)信息編碼，以實(shí)現(xiàn)信息機(jī)器通信保密的科學(xué)； 密碼分析學(xué)：研究如何破解或攻擊加密信息的科學(xué)。 密碼學(xué)的發(fā)展經(jīng)歷了 4 個(gè)階段： 1. 古典密碼學(xué)：通過(guò)簡(jiǎn)單的替代、置換或者二者的簡(jiǎn)單組合實(shí)現(xiàn)對(duì)信息的加密，比較具有 代表性的有： （1）Caesar 密碼：將明文信息中的每個(gè)字母，用它在字母表中位置的右邊的第 k 個(gè)位置上 的字母代替，從而獲得相應(yīng)的密文。 計(jì)算公式： c = m + k mod 26 （2）Vigenere 密碼:典型的多表代替密碼。 ci = mi + ki mod 26 2. 機(jī)械密碼學(xué)：加密的原理沒(méi)有變化，只是由手工加密變?yōu)闄C(jī)械加密，加密手段變得越發(fā) 復(fù)雜，加解密效率得到很大的提高。最著名的是二戰(zhàn)時(shí)期德國(guó)設(shè)計(jì)的 Enigma 加密機(jī)，它使 用了一系列復(fù)雜的替代變換來(lái)進(jìn)行加密。 3. 對(duì)稱密碼學(xué)：又陳對(duì)稱密碼體制，是建立在強(qiáng)大的數(shù)學(xué)理論基礎(chǔ)上，加解密均使用相同 密鑰的密碼算法。1974 年，由美國(guó) IBM 公司提出的 DES（Data Encryption Standard）算 法，推動(dòng)了對(duì)稱密碼算法的發(fā)展。除了 DES 外，還有 3DES，IDEA,RC5,AES 等對(duì)稱密碼 算法。 4. 公鑰密碼學(xué)：又稱非對(duì)稱密碼體制，在這種體制下，可以擁有兩個(gè)不同的密鑰，一個(gè)可 以公開(kāi)的密鑰（簡(jiǎn)稱公鑰），用來(lái)對(duì)信息進(jìn)行加密，另一個(gè)不可公開(kāi)，必須保密的密鑰（簡(jiǎn) 稱私鑰），用來(lái)解密。常見(jiàn)的公鑰密碼算法有：RSA，ElGamal，橢圓曲線等公鑰密碼體制。 一個(gè)密碼體制或密碼系統(tǒng)由明文空間、密文空間、密鑰空間、加密算法和解密算法共 5 個(gè) 元素組成。對(duì)任何一個(gè)密碼系統(tǒng)而言，決定其安全性的重要參數(shù)是密鑰。 常見(jiàn)的密碼算法及其原理： 1.DES DES 算法是最早提出的分組密碼算法，它對(duì)輸入數(shù)據(jù)（明文）劃分為特定大?。?4 位或者 64 比特）的分組，并對(duì)最后一個(gè)分組進(jìn)行填充，以達(dá)到所要求大小的整數(shù)倍。密鑰長(zhǎng)度是 56 比特。整個(gè)加密過(guò)程分為三個(gè)階段： （1）對(duì)輸入的明文 P 執(zhí)行一個(gè)初始置換 IP，生成 P0.然后將其劃分為左右兩半，左半部 L0 是 P0 的前 32 位，右半部分 R0 是后 32 位。 （2）對(duì)于 L0 和 R0 分別執(zhí)行 16 輪轉(zhuǎn)換操作，最后輸出 L16 與 R16； （3）對(duì)于 L16 與 R16 的組合 L16R16 執(zhí)行逆置換操作 IP-1，生成密文 C 優(yōu)點(diǎn)：加密速率快 缺點(diǎn)： 固定密鑰，密鑰過(guò)短，才 56 比特，弱密鑰（64 個(gè)） 2. 3DES 使用 2 個(gè)或 3 個(gè)密鑰，用第一個(gè)進(jìn)行加密，對(duì)加密的內(nèi)容使用第二個(gè)密鑰進(jìn)行解密，再使 用第三個(gè)密鑰進(jìn)行加密。 3. AES AES 高級(jí)加密標(biāo)準(zhǔn)，基于 Rijdeal 算法，采用可變分組（128 比特，192 比特，256 比特） 與可變密鑰（128 比特，192 比特，256 比特）。與 DES 類似，對(duì)每一組輸入數(shù)據(jù)，完成 以下 3 步操作： (1) 將分組與一個(gè)子密鑰進(jìn)行 XOR 運(yùn)算； (2) 多次執(zhí)行標(biāo)準(zhǔn)輪，迭代次數(shù)有密鑰長(zhǎng)度決定； (3) 執(zhí)行一個(gè)規(guī)則輪，這一輪沒(méi)有標(biāo)準(zhǔn)輪中的列混合變換。 經(jīng)過(guò)以上 3 步之后，128 位的明文分組就產(chǎn)生了一個(gè) 128 位的密文分組。 輪數(shù)的規(guī)定如下：128 位的密鑰要求進(jìn)行 9 輪；192 位的密鑰要求進(jìn)行 11 輪；256 位的密 鑰則要求進(jìn)行 13 輪。 而每一輪中又分為以下幾個(gè)步驟： (1) 字節(jié)代替：每個(gè)字節(jié)通過(guò) S-盒進(jìn)行代替； (2) 行移位：字節(jié)被排列在一個(gè)矩形中并進(jìn)行移位； (3) 列混合：在排好的矩形的基礎(chǔ)上進(jìn)行矩陣乘法； (4) 圈密鑰加：疊加本輪的字密鑰。 4.RSA RSA 算法是以它的發(fā)明者 Ron Rivest、Adi Shamir 和 Leonard Adleman 的名字命名的。它 是基于大數(shù)因子分解困難性而設(shè)計(jì)的。算法如下： (1) 隨機(jī)選擇 2 個(gè)大素?cái)?shù)（長(zhǎng)度最好在 100-200 位之間）P 和 Q，并計(jì)算 N=P*Q 與 M=(P-1)*(Q-1)； (2) 隨機(jī)選取正整數(shù) E(1<E<M)，使得 gcd(E,M)=1，即 E 與 M 互素； (3) 求解同余式 Ex = 1 mod M，求解出一正整數(shù) D； (4) 將（N，E）作為公鑰公開(kāi)，（P，Q，D）或者（N，M，D）作為私鑰保密； (5) 加密：s=mD mod N；解密：m=sE mod N (6) 用于數(shù)字簽名時(shí)： 簽名函數(shù)：sig(x,D) = x D mod N； 驗(yàn)證簽名：ver(x,E) = x E mod N。 優(yōu)點(diǎn)：算法簡(jiǎn)單，安全 缺點(diǎn)：速度慢，硬件實(shí)現(xiàn)復(fù)雜 密碼學(xué)比較復(fù)雜，是建立在某個(gè)數(shù)學(xué)難題的基礎(chǔ)之上的，尤其是非對(duì)稱密碼體制。強(qiáng)大的算 法和足夠長(zhǎng)的密鑰能有效的保證其安全性。 三、入侵檢測(cè) 入侵檢測(cè)是指通過(guò)從計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)搜集信息，并對(duì)其進(jìn)行分析， 從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反預(yù)定安全策略的行為以及被攻擊的跡象。 入侵檢測(cè)系統(tǒng)是一系列軟件與硬件的組合，它是一個(gè)智能的系統(tǒng)，具有審計(jì)，學(xué)習(xí)、分析數(shù) 據(jù)的能力。它具備實(shí)時(shí)性，動(dòng)態(tài)檢測(cè)和主動(dòng)防御的特點(diǎn)。 入侵檢測(cè)系統(tǒng)的工作原理主要包含 4 個(gè)方面： 數(shù)據(jù)收集：收集的數(shù)據(jù)包括主機(jī)日志、防火墻日志、數(shù)據(jù)庫(kù)日志、應(yīng)用程序數(shù)據(jù)以及網(wǎng)絡(luò)數(shù) 據(jù)包等； 數(shù)據(jù)處理：由于之前收集到的數(shù)據(jù)過(guò)于龐大和繁雜，需要對(duì)其進(jìn)行相應(yīng)的處理（去除冗余、 噪聲，并且進(jìn)行數(shù)據(jù)標(biāo)準(zhǔn)化及格式化處理） ； 數(shù)據(jù)分析：采用統(tǒng)計(jì)、智能算法能方法分析數(shù)據(jù)是否正常，顯示是否存在入侵；行為 響應(yīng)處理：當(dāng)發(fā)現(xiàn)入侵行為時(shí)，采取預(yù)案措施進(jìn)行防護(hù)（如切斷網(wǎng)絡(luò)，記錄日志） 、并保留 入侵證據(jù)以作他日調(diào)查所用，同時(shí)向管理員報(bào)警。 根據(jù)入侵檢測(cè)系統(tǒng)常用的檢測(cè)技術(shù)可將其分為以下幾種類型： 誤用入侵檢測(cè)系統(tǒng)：基于特征的模式匹配檢測(cè)，它只能對(duì)已有的入侵模式檢測(cè)出來(lái)，但對(duì)新 的入侵模式無(wú)能為力，它對(duì)預(yù)定義的特征庫(kù)依賴很大。 異常入侵檢測(cè)系統(tǒng)：根據(jù)預(yù)設(shè)主體的正常“活動(dòng)簡(jiǎn)檔” ，將當(dāng)前主體的活動(dòng)狀況與“活動(dòng)簡(jiǎn) 擋”作比較，看其是否為違反統(tǒng)計(jì)規(guī)律。 協(xié)議分析入侵檢測(cè)系統(tǒng)。 根據(jù)數(shù)據(jù)來(lái)源又可分為： 基于主機(jī)的 IDS(HIDS)： 這類 IDS 一般安裝到被保護(hù)的主機(jī)上。 主要是功能是對(duì)該主機(jī)的網(wǎng) 絡(luò)實(shí)時(shí)連接以及對(duì)系統(tǒng)審計(jì)日志進(jìn)行分析和檢查， 當(dāng)發(fā)現(xiàn)可疑行為和安全違規(guī)事件時(shí)， 系統(tǒng) 就會(huì)像管理員報(bào)警，并采取相應(yīng)的預(yù)案措施； 基于網(wǎng)絡(luò)的 IDS(NIDS)： 這類 IDS 就像網(wǎng)絡(luò)中的監(jiān)視攝像頭一樣， 在網(wǎng)絡(luò)旁路上監(jiān)視著通過(guò) 網(wǎng)絡(luò)的各種數(shù)據(jù)包，并對(duì)其進(jìn)行分析和檢測(cè)，如果發(fā)現(xiàn)入侵行為或可疑事件，IDS 就會(huì)作出 相應(yīng)的警報(bào)，嚴(yán)重的還會(huì)切斷網(wǎng)絡(luò)連接； 混合式 IDS：以上兩種互補(bǔ)。 完整性檢查： 文件完整性檢查系統(tǒng)檢查計(jì)算機(jī)中自上次檢查后文件變化情況。 文件完整性檢 查系統(tǒng)保存有每個(gè)文件的數(shù)字文摘數(shù)據(jù)庫(kù)， 每次檢查時(shí)， 它重新計(jì)算文件的數(shù)字文摘并將它 與數(shù)據(jù)庫(kù)中的值相比較，如不同，則文件已被修改，若相同，文件則未發(fā)生變化。文件的數(shù) 字文摘通過(guò) Hash 函數(shù)計(jì)算得到。不管文件長(zhǎng)度如何，它的 Hash 函數(shù)計(jì)算結(jié)果是一個(gè)固定 長(zhǎng)度的數(shù)字。與加密算法不同，Hash 算法是一個(gè)不可逆的單向函數(shù)。采用安全性高的 Hash 算法，如 MD5、SHA 時(shí)，兩個(gè)不同的文件幾乎不可能得到相同的 Hash 結(jié)果。從而，當(dāng)文 件一被修改，就可檢測(cè)出來(lái)。在文件完整性檢查中功能最全面的當(dāng)屬 Tripwire。 入侵檢測(cè)方法： 誤用檢測(cè)：特征檢測(cè)對(duì)已知的攻擊或入侵的方式作出確定性的描述，形成相應(yīng)的事件模式。 當(dāng)被審計(jì)的事件與已知的入侵事件模式相匹配時(shí)，即報(bào)警。原理上與專家系統(tǒng)相仿。其檢測(cè) 方法上與計(jì)算機(jī)病毒的檢測(cè)方式類似。 目前基于對(duì)包特征描述的模式匹配應(yīng)用較為廣泛。 該 方法預(yù)報(bào)檢測(cè)的準(zhǔn)確率較高，但對(duì)于無(wú)經(jīng)驗(yàn)知識(shí)的入侵與攻擊行為無(wú)能為力。 統(tǒng)計(jì)檢測(cè)： 統(tǒng)計(jì)方法的最大優(yōu)點(diǎn)是它可以“學(xué)習(xí)”用戶的使用習(xí)慣，從而具有較高檢出率與可用性。但 是它的“學(xué)習(xí)”能力也給入侵者以機(jī)會(huì)通過(guò)逐步“訓(xùn)練”使入侵事件符合正常操作的統(tǒng)計(jì)規(guī) 律，從而透過(guò)入侵檢測(cè)系統(tǒng)。 操作模型： 該模型假設(shè)異?？赏ㄟ^(guò)測(cè)量結(jié)果與一些固定指標(biāo)相比較得到， 固定指標(biāo)可以根據(jù) 經(jīng)驗(yàn)值或一段時(shí)間內(nèi)的統(tǒng)計(jì)平均得到， 舉例來(lái)說(shuō)， 在短時(shí)間內(nèi)的多次失敗的登錄很有可能是 口令嘗試攻擊； 方差模型：計(jì)算參數(shù)的方差，設(shè)定其置信區(qū)間，當(dāng)測(cè)量值超過(guò)置信區(qū)間的范圍時(shí)表明有可能 是異常； 多元模型：操作模型的擴(kuò)展，通過(guò)同時(shí)分析多個(gè)參數(shù)實(shí)現(xiàn)檢測(cè)； 馬爾柯夫過(guò)程模型： 將每種類型的事件定義為系統(tǒng)狀態(tài)， 用狀態(tài)轉(zhuǎn)移矩陣來(lái)表示狀態(tài)的變化， 當(dāng)一個(gè)事件發(fā)生時(shí)，或狀態(tài)矩陣該轉(zhuǎn)移的概率較小則可能是異常事件； 時(shí)間序列分析模型： 將事件計(jì)數(shù)與資源耗用根據(jù)時(shí)間排成序列， 如果一個(gè)新事件在該時(shí)間發(fā) 生的概率較低，則該事件可能是入侵。 專家系統(tǒng)： 用專家系統(tǒng)對(duì)入侵進(jìn)行檢測(cè)，經(jīng)常是針對(duì)有特征入侵行為。所謂的規(guī)則，即是 知識(shí)，不同的系統(tǒng)與設(shè)置具有不同的規(guī)則，且規(guī)則之間往往無(wú)通用性。專家系統(tǒng)的建立依賴 于知識(shí)庫(kù)的完備性， 知識(shí)庫(kù)的完備性又取決于審計(jì)記錄的完備性與實(shí)時(shí)性。 入侵的特征抽取 與表達(dá)，是入侵檢測(cè)專家系統(tǒng)的關(guān)鍵。在系統(tǒng)實(shí)現(xiàn)中，將有關(guān)入侵的知識(shí)轉(zhuǎn)化為 if-then 結(jié) 構(gòu)（也可以是復(fù)合結(jié)構(gòu)） ，條件部分為入侵特征，then 部分是系統(tǒng)防范措施。運(yùn)用專家系統(tǒng) 防范有特征入侵行為的有效性完全取決于專家系統(tǒng)知識(shí)庫(kù)的完備性。 四、基于應(yīng)用的安全體系 所謂應(yīng)用是在硬件平臺(tái)上運(yùn)行業(yè)務(wù)服務(wù)的軟件系統(tǒng)。 通?？梢詣澐殖杀硎緦印?業(yè)務(wù)邏輯層和 數(shù)據(jù)層為首的三層體系結(jié)構(gòu)。應(yīng)用主要包括以下組件： 硬件體系結(jié)構(gòu) 所有應(yīng)用設(shè)備、內(nèi)存、磁盤、外設(shè)、控制臺(tái)、網(wǎng)卡等方面的物理特性描述。 進(jìn)程體系結(jié)構(gòu) 所有主動(dòng)處理服務(wù)或執(zhí)行任務(wù)的程序、可執(zhí)行文件、shell 腳本、服務(wù)和端口監(jiān)控程序等。 軟件通信體系結(jié)構(gòu) IPC 機(jī)制、消息隊(duì)列、中間件，涉及記錄消息流模式、每個(gè)通信鏈路上的預(yù)期數(shù)據(jù)量、通信 鏈路的特性（是否安全、加密、本地、主機(jī)之間的、不可信網(wǎng)絡(luò)等） 。 數(shù)據(jù)體系結(jié)構(gòu) 關(guān)系數(shù)據(jù)庫(kù)狀態(tài)（存儲(chǔ)過(guò)程或功能） 。 網(wǎng)絡(luò)體系結(jié)構(gòu) 包括網(wǎng)絡(luò)接口、每個(gè)主機(jī)所在的子網(wǎng)、流量類型。 配置體系結(jié)構(gòu) 包括文件和目錄的布局、系統(tǒng)配置文件的內(nèi)容、環(huán)境變量的定義、文件和目錄的訪問(wèn)權(quán)限。 操作管理維護(hù)體系結(jié)構(gòu) 啟動(dòng)和停止應(yīng)用、執(zhí)行備份或恢復(fù)操作、用戶管理、主機(jī)管理、系統(tǒng)和錯(cuò)誤日志處理。 當(dāng)前安全行業(yè)的可用技術(shù)中， 主要以解決網(wǎng)絡(luò)體系結(jié)構(gòu)組件為目的， 這樣只能解決應(yīng)用安全 的部分問(wèn)題，通常稱之為網(wǎng)絡(luò)安全。網(wǎng)絡(luò)安全面臨的技術(shù)瓶頸在于安全控制粒度多寡，網(wǎng)絡(luò) 途徑的單一性便于網(wǎng)絡(luò)安全技術(shù)可靠的執(zhí)行， 網(wǎng)絡(luò)協(xié)議的標(biāo)準(zhǔn)化便于網(wǎng)絡(luò)安全技術(shù)有效的審 核。但是安全風(fēng)險(xiǎn)一旦延伸到應(yīng)用，便出現(xiàn)風(fēng)險(xiǎn)發(fā)散、可用技術(shù)手段匱乏的狀況。