電子商務(wù)安全基礎(chǔ)-ppt(中職)第2章-網(wǎng)絡(luò)安全認(rèn)知

1、第 2章 網(wǎng)絡(luò)安全認(rèn)知電子商務(wù)安全基礎(chǔ) 中國(guó)人民大學(xué)出版社2.1網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)2.2網(wǎng)絡(luò)安全策略及其制定原則2.3影響網(wǎng)絡(luò)安全的因素主要內(nèi)容2.4網(wǎng)絡(luò)安全體系結(jié)構(gòu)2.5網(wǎng)絡(luò)安全防護(hù)措施2.1 網(wǎng)絡(luò)安全認(rèn)知2.1.1 網(wǎng)絡(luò)安全現(xiàn)狀網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù),不因偶然的原因而遭到破壞、更改或泄露,系統(tǒng)連續(xù)、可靠、正常地運(yùn)行,服務(wù)不中斷。網(wǎng)絡(luò)安全從其本質(zhì)上說是網(wǎng)絡(luò)上的信息安全,它涉及的領(lǐng)域很廣。 影響較大的網(wǎng)絡(luò)攻擊 1）1999年3月爆發(fā)的Melissa和2000年5月爆發(fā)的LoveLetter 2）在“911”恐怖襲擊一個(gè)星期后出現(xiàn)的尼姆達(dá)(Nimda)蠕蟲 3）2

2、006年底爆發(fā)的“熊貓燒香”病毒 4）2014年，比特幣交易站受到攻擊，攜程漏洞事件 5）2016年10月, 美國(guó)公共服務(wù)、社交平臺(tái)、民眾網(wǎng)絡(luò)服務(wù)器等都遭到前所未有的嚴(yán)重攻擊 2.1.1 網(wǎng)絡(luò)安全現(xiàn)狀隨著互聯(lián)網(wǎng)+的廣泛應(yīng)用,很多不安全不成熟技術(shù)的應(yīng)用,使得信息泄露事件頻頻發(fā)生，網(wǎng)絡(luò)安全仍然面臨網(wǎng)絡(luò)面臨的安全問題越來越嚴(yán)峻著不少大問題。主要的安全威脅表現(xiàn)在以下幾個(gè)方面： 1）更多網(wǎng)絡(luò)攻擊直接以經(jīng)濟(jì)利益為目的 2）拒絕服務(wù)攻擊泛濫 3）垃圾郵件泛濫 4）惡意軟件橫行 5）對(duì)非PC設(shè)備的威脅增加 2.1.2 網(wǎng)絡(luò)安全要素 網(wǎng)絡(luò)安全主要涉及三個(gè)層次、四個(gè)層面信息安全框架體系模型2.1.2 網(wǎng)絡(luò)安全要素

3、 四個(gè)層面中所涉及的具體問題主要包括設(shè)備、系統(tǒng)、人員等網(wǎng)絡(luò)安全涉及各個(gè)層面的問題2.1.2 網(wǎng)絡(luò)安全要素 網(wǎng)絡(luò)安全涉及的因素主要包括：機(jī)密性主要防范技術(shù)是密碼技術(shù)可控性表示為保護(hù)機(jī)密性而進(jìn)行訪問控制可用性主要實(shí)現(xiàn)手段：身份的識(shí)別、訪問控制、業(yè)務(wù)流控制、路由選擇控制、審計(jì)跟蹤真實(shí)性即保證數(shù)據(jù)的發(fā)送源頭不被偽造，主要防范技術(shù)是校驗(yàn)與認(rèn)證技術(shù)。完整性即保證數(shù)據(jù)在傳輸、存儲(chǔ)等過程中不被非法修改不可否認(rèn)性 不可否認(rèn)性就是建立有效的責(zé)任機(jī)制,防止實(shí)體否認(rèn)其行為。實(shí)現(xiàn)不可否認(rèn)性的主要手段有數(shù)字簽名等方法2.1.2 網(wǎng)絡(luò)安全要素 各要素與四個(gè)層面的關(guān)系2.2 網(wǎng)絡(luò)安全策略及其制定原則2.2.1 網(wǎng)絡(luò)安全策略網(wǎng)

4、絡(luò)安全區(qū)域是指屬于某個(gè)組織的處理和通信資源之集。網(wǎng)絡(luò)安全策略是指在某個(gè)安全區(qū)域內(nèi),用于所有與安全活動(dòng)相關(guān)的一套規(guī)則。制定網(wǎng)絡(luò)安全策略的目的就是決定一個(gè)組織機(jī)構(gòu)怎樣保護(hù)自己。一般來說,策略包括兩個(gè)方面:總體策略和具體規(guī)則。 1）總體策略用于闡述公司安全政策的總體思路。 2）具體規(guī)則用于說明什么活動(dòng)是被允許的,什么活動(dòng)是被禁止的。2.2.1 網(wǎng)絡(luò)安全策略1)目標(biāo)安全策略,即某個(gè)機(jī)構(gòu)對(duì)所要保護(hù)的特定資源要達(dá)到的目的所進(jìn)行的描述。(2)機(jī)構(gòu)安全策略,即一套法律、法規(guī)和實(shí)際操作方法,用于規(guī)范某個(gè)機(jī)構(gòu)如何來管理、保護(hù)和分配資源以達(dá)到安全策略的既定目標(biāo)。(3)系統(tǒng)安全策略,描述的是如何將某個(gè)特定的信息系統(tǒng)付

5、諸實(shí)現(xiàn),以支持機(jī)構(gòu)的安全策略要求。 網(wǎng)絡(luò)安全策略等級(jí)2.2.1 網(wǎng)絡(luò)安全策略1)授權(quán)策略授權(quán)是一個(gè)安全策略的基本組成部分,是指賦予主體(用戶、終端)對(duì)客體(數(shù)據(jù))的支配權(quán)力,它等于規(guī)定了誰可以對(duì)什么做些什么2)訪問控制策略訪問控制策略迫使計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)中自動(dòng)執(zhí)行授權(quán)。在目標(biāo)安全策略描述中,訪問控制策略主要是基于身份的策略；在機(jī)構(gòu)安全策略中則以基于角色的策略描述；3)責(zé)任在系統(tǒng)安全策略中,訪問控制策略為多級(jí)策略,即該策略是基于信息敏感性的等級(jí)以及工作人員許可證等級(jí) 影響網(wǎng)絡(luò)安全策略的主要因素2.2.2 網(wǎng)絡(luò)安全策略制定原則 1) 最小特權(quán)2) 縱深防御3) 阻塞點(diǎn)4) 最薄弱鏈接5) 失效保護(hù)

6、狀態(tài)6) 普遍參與7) 防御多樣化8) 簡(jiǎn)單化 網(wǎng)絡(luò)安全設(shè)計(jì)原則 網(wǎng)絡(luò)安全管理原則1) 適應(yīng)性2) 可行性3) 動(dòng)態(tài)性4) 簡(jiǎn)單性5) 系統(tǒng)性2.3 影響網(wǎng)絡(luò)安全的因素 隨著網(wǎng)絡(luò)信息的共享應(yīng)用日益深入,信息在公共通信網(wǎng)絡(luò)上的存儲(chǔ)、共享、傳輸可能面臨的威脅也就日益增多,這些威脅給網(wǎng)絡(luò)用戶帶來的損失也是巨大的。 安全威脅是某個(gè)人、物、事件或概念對(duì)某一資源的可用性、機(jī)密性、完整性、真實(shí)性或可用性所造成的危害?；ヂ?lián)網(wǎng)中面臨的威脅有很多種,但大致可以分為下面幾類: 1）內(nèi)部管理漏洞。信息系統(tǒng)內(nèi)部缺乏健全的管理制度或制度執(zhí)行不力,給內(nèi)部工作人員違規(guī)和犯罪留下縫隙。 2）內(nèi)部操作不當(dāng)。系統(tǒng)管理員和安全管理員

7、出現(xiàn)管理配置的操作失誤。 3）外部攻擊。來自外部或內(nèi)部人員的惡意攻擊和入侵,如黑客的攻擊、計(jì)算機(jī)病毒和拒絕服務(wù)攻擊等。2.3 影響網(wǎng)絡(luò)安全的因素2.3 影響網(wǎng)絡(luò)安全的因素2.3 影響網(wǎng)絡(luò)安全的因素 操作系統(tǒng)是用戶和硬件設(shè)備的中間層,在使用計(jì)算機(jī)之前都必須先安裝操作系統(tǒng),操作系統(tǒng)一般都自帶一些應(yīng)用程序或安裝了一些其他廠商的軟件工具。 漏洞也叫做脆弱性,是系統(tǒng)在硬件、軟件、協(xié)議的具體實(shí)現(xiàn)或系統(tǒng)安全策略上存在的缺陷和不足。常見的系統(tǒng)安全漏洞如下 1）sendmail 2）Microsoft IIS 3）LSASS漏洞 4）文件共享 5）RPC遠(yuǎn)程過程調(diào)用2.3.1 操作系統(tǒng)與程序漏洞威脅2.3.2

8、網(wǎng)絡(luò)協(xié)議漏洞威脅網(wǎng)絡(luò)協(xié)議是計(jì)算機(jī)通信的共同語言,是雙方通信約定好的必須遵守的約定、規(guī)范和準(zhǔn)則。TCP/IP是目前互聯(lián)網(wǎng)使用最為廣泛的協(xié)議,由于其簡(jiǎn)單、可擴(kuò)展的設(shè)計(jì)原則,給用戶帶來極為方便的互聯(lián)網(wǎng)使用環(huán)境,但也存在著各種安全缺陷。 TCP序列號(hào)預(yù)計(jì)缺陷由莫里斯首先提出,是網(wǎng)絡(luò)安全領(lǐng)域中最為有名的缺陷之一。即在受害主機(jī)不能接到信任主機(jī)應(yīng)答確認(rèn)時(shí),入侵者通過預(yù)計(jì)序列號(hào)來建立連接,入侵者可以偽裝成信任主機(jī)與受害主機(jī)通話。 2.3.2 網(wǎng)絡(luò)協(xié)議漏洞威脅 TCP序列號(hào)預(yù)計(jì)缺陷利用TCP序列號(hào)可預(yù)測(cè)的缺陷正常的TCP連接建立過程是一個(gè)三次握手過程。具體描述如下:客戶方服務(wù)方:SYN(ISNc)。服務(wù)方客戶方

9、:ACK(ISNc),SYN(ISNs)?？蛻舴椒?wù)方:SYN(ISNs)。 如果入侵者通過某種方法得到了服務(wù)方的初始序列號(hào)ISNs,那么它有可能冒充客戶方對(duì)服務(wù)方發(fā)信息。此時(shí)過程描述如下:攻擊者服務(wù)方:SYN(ISNx),SRC=被冒充的主機(jī)。服務(wù)方被冒充的主機(jī)(攻擊者):ACK(ISNx),SYN(ISNs)。攻擊者服務(wù)方:ACK(ISNs),SRC=被冒充的主機(jī)。攻擊者服務(wù)方:ACK(ISNs),SRC=被冒充的主機(jī):開始傳輸數(shù)據(jù)。 2.3.2 網(wǎng)絡(luò)協(xié)議漏洞威脅 路由協(xié)議缺陷1）源路由欺騙源路由可使信息包的發(fā)送者將此數(shù)據(jù)包要經(jīng)過的路徑寫在數(shù)據(jù)包里,使數(shù)據(jù)包循著一個(gè)對(duì)方不可預(yù)料的路徑到達(dá)目

10、的主機(jī)。使入侵者可以假冒一個(gè)主機(jī)的名義通過一個(gè)特殊的路徑來獲得某些被保護(hù)數(shù)據(jù)。2）ARP欺騙偽裝ARP包的過程,是以受害者的IP地址和攻擊者自身的MAC地址為源數(shù)據(jù)包發(fā)送ARP應(yīng)答包3）RIP攻擊入侵者可能向目標(biāo)主機(jī)以及沿途的各個(gè)網(wǎng)關(guān)發(fā)出偽造的路由信息,使所有發(fā)往目的主機(jī)的數(shù)據(jù)包發(fā)往入侵者,入侵者就可以冒充目的主機(jī),也可以監(jiān)聽所有目的主機(jī)的數(shù)據(jù)包,甚至在數(shù)據(jù)流中插入任意包2.3.2 網(wǎng)絡(luò)協(xié)議漏洞威脅 應(yīng)用層協(xié)議缺陷1）DNS缺陷DNS是由解析器和域名服務(wù)器組成的。域名服務(wù)器是指保存有該網(wǎng)絡(luò)中所有主機(jī)的域名和對(duì)應(yīng)的IP地址,并具有將域名轉(zhuǎn)換為IP地址功能的服務(wù)器。入侵者可以進(jìn)行域名的冒充攻擊。2

11、）FTP缺陷FTP用戶口令采用明文傳輸,這就增加了系統(tǒng)被攻破的危險(xiǎn)。在局域網(wǎng)內(nèi)或路由器上監(jiān)聽,就可以截獲大量口令,利用這些口令可以嘗試登錄系統(tǒng)。3）Telnet缺陷不僅用戶口令而且用戶的所有操作即遠(yuǎn)程服務(wù)器的應(yīng)答都是透明的,這樣Telnet被監(jiān)聽產(chǎn)生的影響就更為突出。2.3.3 黑客攻擊威脅黑客攻擊公司網(wǎng)絡(luò)2.3.3 黑客攻擊威脅口令攻擊黑客的最老牌攻擊方法,從黑客誕生那天起就被使用。攻擊者攻擊目標(biāo)時(shí)常常把破譯用戶的口令作為攻擊的開始?？诹罟?需要先得到目標(biāo)主機(jī)上的某個(gè)合法用戶的賬號(hào),然后再進(jìn)行合法用戶口令的破解。獲取口令的方法：1）通過網(wǎng)絡(luò)監(jiān)聽非法得到用戶口令2）在知道用戶的賬戶后,利用一

12、些專門軟件強(qiáng)行破解用戶口令，如字典攻擊、強(qiáng)行攻擊、組合攻擊等。3）利用系統(tǒng)管理員的失誤2.3.3 黑客攻擊威脅預(yù)防口令攻擊的基本措施1)不要將口令寫下來。2)不要將口令存在計(jì)算機(jī)內(nèi)。3)不要用字典中有的詞作為口令。4)不要用生日、電話號(hào)碼、純數(shù)字或字母做口令。5)口令應(yīng)該在允許范圍內(nèi)盡可能地長(zhǎng)。6)不要在不同系統(tǒng)上使用同一口令。7)在輸入口令的時(shí)候應(yīng)確認(rèn)無人偷窺。8)定期修改口令,至少6個(gè)月修改一次。2.3.3 黑客攻擊威脅木馬攻擊木馬是一種秘密潛伏的能夠通過遠(yuǎn)程網(wǎng)絡(luò)進(jìn)行控制的惡意程序?？刂普呖梢钥刂票幻孛苤踩肽抉R的計(jì)算機(jī)的一切動(dòng)作和資源。獲取口令的方法：利用緩沖區(qū)溢出攻擊當(dāng)目標(biāo)操作系統(tǒng)收到了

13、超過其最大能接受的信息量時(shí),這些多余的數(shù)據(jù)將從程序的緩沖區(qū)溢出,然后覆蓋了實(shí)際的程序數(shù)據(jù),緩沖區(qū)溢出使目標(biāo)系統(tǒng)的程序被修改,經(jīng)過這種修改的結(jié)果是在系統(tǒng)上產(chǎn)生了一個(gè)后門Web欺騙Web欺騙形式有使用相似的域名、改寫URL、劫持Web會(huì)話具體表現(xiàn)如下:Web欺騙是一種電子信息欺騙,攻擊者創(chuàng)造了一個(gè)令人信服但是完全錯(cuò)誤的拷貝,錯(cuò)誤的Web看起來十分逼真,它擁有與正確的Web相同的網(wǎng)頁和鏈接。然而,攻擊者控制著錯(cuò)誤的Web站點(diǎn),這樣受攻擊者瀏覽器和Web之間的所有網(wǎng)絡(luò)信息完全被攻擊者所截取,其工作原理就好像是一個(gè)過濾器。Web欺騙2.3.3 黑客攻擊威脅- Web欺騙2.4 網(wǎng)絡(luò)安全體系結(jié)構(gòu) 2.4.

14、1 網(wǎng)絡(luò)體系結(jié)構(gòu)及安全缺陷 OSI模型和TCP/IP模型的關(guān)系2.4 網(wǎng)絡(luò)安全體系結(jié)構(gòu) 2.4.1 網(wǎng)絡(luò)體系結(jié)構(gòu)及安全缺陷 OSI模型和TCP/IP模型的關(guān)系 2.4.1 網(wǎng)絡(luò)體系結(jié)構(gòu)及安全缺陷 在基于TCP/IP體系結(jié)構(gòu)模型下, 為了使各種服務(wù)協(xié)調(diào)運(yùn)行,TCP/IP協(xié)議為每種服務(wù)設(shè)定了一個(gè)端口,稱為TCP協(xié)議端口。每個(gè)端口都擁有一個(gè)16比特的端口號(hào)。 用戶自己提供的服務(wù)可以使用自由的端口號(hào),不過,一般系統(tǒng)使用的端口號(hào)為01024,用戶自定義的端口號(hào)從1024開始。 網(wǎng)絡(luò)地址與端口號(hào) 2.4.1 網(wǎng)絡(luò)體系結(jié)構(gòu)及安全缺陷 TCP/IP的服務(wù)一般是通過IP地址加一個(gè)端口號(hào)來決定的。一臺(tái)主機(jī)上可以運(yùn)

15、行多個(gè)應(yīng)用程序,通過“IP地址+端口號(hào)”的方式才能確定數(shù)據(jù)包是傳給哪臺(tái)主機(jī)上的哪個(gè)應(yīng)用程序的。兩臺(tái)主機(jī)想要通信就要使用“IP地址+端口號(hào)”的方式。 網(wǎng)絡(luò)地址與端口號(hào)IP地址和端口號(hào)的關(guān)系 2.4.1 網(wǎng)絡(luò)體系結(jié)構(gòu)及安全缺陷 對(duì)于一些常見的程序,它們使用的端口號(hào)一般是固定的,如右表所示。 網(wǎng)絡(luò)地址與端口號(hào)服務(wù)器協(xié)議服務(wù)端口Web服務(wù)器TCP80FTP服務(wù)器TCP21TelnetTCP23NetMeetingTCP1503、1720MSNMessengerTCP/UDPFile Send:6891-6900(TCP)Voice:1863、6901(TCP)Voice:1863、5190(UDP)P

16、PTP VPNTCP1723Iphone 5.0TCP22555SMTPTCP25POP3TCP110 2.4.1 網(wǎng)絡(luò)體系結(jié)構(gòu)及安全缺陷 對(duì)IP協(xié)議的攻擊,是目前Internet上最主要的攻擊之一。IP協(xié)議存在的主要缺陷包括:1）IP通信不需要進(jìn)行身份認(rèn)證,無法保證數(shù)據(jù)源的真實(shí)性;2）IP數(shù)據(jù)包在傳輸中都沒有加密,無法保證數(shù)據(jù)傳輸?shù)耐暾?3）IP的分組和重組機(jī)制不完善,無法保證數(shù)據(jù)的傳輸正確性;4）IP地址的表示不需要真實(shí)確認(rèn),無法通過IP驗(yàn)證對(duì)方的身份等。常見的利用IP協(xié)議缺陷的網(wǎng)絡(luò)攻擊有IP欺騙、IP偽造、Ping Flooding、源路由欺騙、Smurf攻擊等。 互聯(lián)層的安全缺陷 2

17、.4.1 網(wǎng)絡(luò)體系結(jié)構(gòu)及安全缺陷 傳輸層主要有TCP協(xié)議和UDP協(xié)議。對(duì)TCP協(xié)議的攻擊,主要利用TCP建立連接的三次握手機(jī)制等的缺陷 傳輸層的安全缺陷 對(duì)應(yīng)用層的攻擊包括未經(jīng)審查的Web方式的信息錄入、應(yīng)用權(quán)限的訪問控制被破解、身份認(rèn)證被攻破、跨站點(diǎn)的執(zhí)行代碼漏洞、緩存溢出漏洞等。 應(yīng)用層的安全缺陷 2.4.2 ISO/OSI安全體系結(jié)構(gòu)國(guó)際標(biāo)準(zhǔn)化組織(ISO)1989年制定的國(guó)際標(biāo)準(zhǔn)信息處理系統(tǒng)開放系統(tǒng)互聯(lián)基本參考模型第2部分:安全體系結(jié)構(gòu)(ISO/IEC7498-2)給出了ISO/OSI參考模型的安全體系結(jié)構(gòu)。(1)認(rèn)證服務(wù):提供某個(gè)實(shí)體(人或系統(tǒng))身份的保證;(2)訪問控制服務(wù):保護(hù)資

18、源以免其被非法使用和操縱;(3)機(jī)密性服務(wù):保護(hù)信息不被泄露或暴露給未授權(quán)的實(shí)體;(4)數(shù)據(jù)完整性服務(wù):保護(hù)數(shù)據(jù)以防止未授權(quán)的改變、刪除或替代;(5)非否認(rèn)服務(wù):防止參與某次通信交換的一方事后否認(rèn)本次交換曾經(jīng)發(fā)生。 OSI定義的5種安全服務(wù) 2.4.2 ISO/OSI安全體系結(jié)構(gòu)(1)加密機(jī)制:是提供數(shù)據(jù)保密的最常用方法,而且還能部分或全部用于實(shí)現(xiàn)其他安全機(jī)制。(2)數(shù)字簽名機(jī)制:用來解決通信雙方發(fā)生爭(zhēng)執(zhí)時(shí)可能產(chǎn)生的否認(rèn)、偽造、冒充和篡改等安全問題。(3)訪問控制機(jī)制:用來實(shí)施對(duì)資源訪問或操作加以限制。(4)數(shù)據(jù)完整性機(jī)制:防止數(shù)據(jù)被假冒、丟失、重放、插入或修改。(5)認(rèn)證交換機(jī)制:是以交換信息的方式來確認(rèn)實(shí)體身份的機(jī)制。(6)路由控制機(jī)制:可使信息發(fā)送者選擇特殊的路由,以保證數(shù)據(jù)安全。(7)業(yè)務(wù)流填充機(jī)制:是用來對(duì)抗非法者在線路上監(jiān)聽數(shù)據(jù)并對(duì)其進(jìn)行流量和流向分析的。(8)公正機(jī)制:是用來提供公正服務(wù)和仲裁出現(xiàn)的問題的。 OSI定義的8種安全機(jī)制2.5 網(wǎng)絡(luò)安全防護(hù)措施 網(wǎng)絡(luò)安全防護(hù)是一種網(wǎng)絡(luò)安全技術(shù),指致力于解決如何有效進(jìn)行介入控制以及如何保證數(shù)據(jù)傳輸?shù)陌踩缘葐栴}的技術(shù)手段,主要包括物理安全分析技術(shù)、網(wǎng)絡(luò)結(jié)構(gòu)安全分析技術(shù)、系統(tǒng)安全分析技術(shù)、管理安全分析技術(shù),