軟件安全技術(shù)2課件

1、第2章 軟件安全技術(shù)教學目標密碼學的概念加密方法與技術(shù)；身份驗證技術(shù)；訪問控制技術(shù)；安全保障；防火墻技術(shù)；入侵檢測與安全掃描；安全配置管理。重點加密方法與技術(shù)訪問控制入侵檢測與安全掃描本節(jié)安排2.5.1 計算機網(wǎng)絡(luò)安全概述2.5.2 OSI安全體系結(jié)構(gòu)2.5.3 入侵檢測和安全掃描2.5.4 防火墻技術(shù)2.5.5 安全配置管理2.5 計算機網(wǎng)絡(luò)安全定義1計算機網(wǎng)絡(luò)，是指將地理位置不同的具有獨立功能的多臺計算機及其外部設(shè)備，通過通信線路連接起來，在網(wǎng)絡(luò)操作系統(tǒng)，網(wǎng)絡(luò)管理軟件及網(wǎng)絡(luò)通信協(xié)議的管理和協(xié)調(diào)下，實現(xiàn)資源共享和信息傳遞的計算機系統(tǒng)。2.5.1 計算機網(wǎng)絡(luò)安全概述定義2計算機網(wǎng)絡(luò)安全是指：為

2、數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護，保護網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)不因偶然的或者惡意的原因遭受到破壞、更改、泄露系統(tǒng)連續(xù)可靠、正常地運行，網(wǎng)絡(luò)服務(wù)不中斷。2.5.1 計算機網(wǎng)絡(luò)安全概述網(wǎng)絡(luò)安全技術(shù)和理論的五個特征保密性信息不泄露給非授權(quán)用戶、實體或過程，或供其利用的特性。完整性數(shù)據(jù)未經(jīng)授權(quán)不能進行改變的特性可用性可被授權(quán)實體訪問并按需求使用的特性可控性對信息的傳播及內(nèi)容具有控制能力可審查性出現(xiàn)的安全問題時提供依據(jù)與手段2.5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全威脅信息泄露信息被泄露給非授權(quán)的實體拒絕服務(wù)式攻擊使這個連上網(wǎng)絡(luò)的主機暫時中斷或停止服務(wù)，使它無法對正常用戶提供服

3、務(wù)網(wǎng)絡(luò)濫用包括非法外聯(lián)、非法內(nèi)聯(lián)、移動風險、設(shè)備濫用、服務(wù)濫用。2.5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)威脅的具體表現(xiàn)形式竊聽重傳篡改行為否認非授權(quán)訪問病毒傳播2.5.1 計算機網(wǎng)絡(luò)安全概述實現(xiàn)威脅的具體攻擊方式主動攻擊被動攻擊2.5.1 計算機網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全威脅的防范防病毒技術(shù)防火墻技術(shù)入侵檢測技術(shù)安全掃描技術(shù)網(wǎng)絡(luò)安全緊急響應(yīng)體系采用認證和數(shù)字簽名技術(shù)采用VPN技術(shù)2.5.1 計算機網(wǎng)絡(luò)安全概述OSIISO/OSI模型是國際標準化組織（ISO）為網(wǎng)絡(luò)通信制定的開放系統(tǒng)互連參考模型 (Open System Interconnect OSI）。2.5.2 OSI安全體系結(jié)構(gòu)OSI模

4、型與TCP/IP模型2.5.2 OSI安全體系結(jié)構(gòu)OSI模型分層的優(yōu)點可以很容易的討論和學習協(xié)議的規(guī)范細節(jié)。 層間的標準接口方便了工程模塊化。創(chuàng)建了一個更好的互連環(huán)境。降低了復(fù)雜度，使程序更容易修改，產(chǎn)品開發(fā)的速度更快。每層利用緊鄰的下層服務(wù)，更容易記住各層的功能。2.5.2 OSI安全體系結(jié)構(gòu)OSI模型中的數(shù)據(jù)傳遞在分層模型中，n層實體在實現(xiàn)自身定義的功能時，直接使用n-1層提供的服務(wù)，并通過n-1層間接使用n-2層以及以下所有各層的服務(wù)；n層向第n+1層提供服務(wù)，此服務(wù)包含第n層本身和下層服務(wù)提供的功能；相鄰層間有接口，所提供服務(wù)的具體實現(xiàn)細節(jié)對上一層完全屏蔽。數(shù)據(jù)傳遞由上層到下層，接收由

5、下層到上層，除物理媒體上（最底層）進行的是實通信外，其余各對等實體間（層間）都是虛通信；虛通信必須遵循該層的協(xié)議；n層的虛通信是通過n/n-1層間接口處n-1層提供的服務(wù)以及n-1層的通信（通常也是虛通信）來實現(xiàn)的。 2.5.2 OSI安全體系結(jié)構(gòu)OSI模型中各層的安全實現(xiàn)數(shù)據(jù)鏈路層：點到點通道協(xié)議(PPTP)。點到點通道協(xié)議PPTP，英文全稱是Point to point Tunneling Protocol。PPTP 是用于在中間網(wǎng)絡(luò)上傳輸點對點協(xié)議（PPP）幀的一種隧道機制。 通過利用PPP 的身份驗證、加密和協(xié)議配置機制，PPTP 連接同時為遠程訪問和路由器到路由器的虛擬專用網(wǎng)（VPN

6、）連接提供了一條在公共網(wǎng)絡(luò)（比如：Internet）上創(chuàng)建安全連接的途徑。2.5.2 OSI安全體系結(jié)構(gòu)OSI模型中各層的安全實現(xiàn)網(wǎng)絡(luò)層：IP安全協(xié)議(IPSEC)。IPSEC在網(wǎng)絡(luò)層提供了IP報文的機密性、完整性、IP報文源地址認證以及抗偽地址的攻擊能力。2.5.2 OSI安全體系結(jié)構(gòu)OSI模型中各層的安全實現(xiàn) 傳輸層：安全套接字層(SSL)和傳輸層安全協(xié)議TLS。安全套接層(Secure Sockets Layer，SSL)是網(wǎng)景公司(Netscape)在推出Web瀏覽器首版的同時，提出的協(xié)議。2.5.2 OSI安全體系結(jié)構(gòu)OSI模型中各層的安全實現(xiàn)會話層：SOCKS代理技術(shù)。2.5.2

7、OSI安全體系結(jié)構(gòu)OSI模型中各層的安全實現(xiàn)應(yīng)用層：應(yīng)用程序代理。應(yīng)用程序代理工作在應(yīng)用層之上，位于客戶機與服務(wù)器之間，完全阻擋了二者間的數(shù)據(jù)交流。2.5.2 OSI安全體系結(jié)構(gòu)總結(jié)OSI安全體系結(jié)構(gòu)為各層的服務(wù)提供相應(yīng)的安全機制，有效地提高了應(yīng)用安全性。隨著技術(shù)的不斷發(fā)展，各項安全機制相關(guān)的技術(shù)不斷提高，尤其是結(jié)合加密理論之后，應(yīng)用安全性得到了顯著提高。2.5.2 OSI安全體系結(jié)構(gòu)入侵檢測入侵檢測是一種積極主動地安全防護技術(shù)，提供了對內(nèi)部攻擊、外部攻擊和誤操作的實時保護，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵。2.5.2 入侵檢測及安全掃描入侵檢測功能監(jiān)測和分析用戶和系統(tǒng)的活動；審計系統(tǒng)配置

8、和漏洞；評估系統(tǒng)資源和數(shù)據(jù)的完整性；識別攻擊行為并報警；統(tǒng)計分析異常行為；對系統(tǒng)安全的審計管理，識別違反安全策略的用戶活動。2.5.2 入侵檢測及安全掃描IDS系統(tǒng)一個成功的入侵檢測系統(tǒng)，它不但可使系統(tǒng)管理員時刻了解網(wǎng)絡(luò)系統(tǒng)（包括程序、文件和硬件設(shè)備等）的任何變更，還能給網(wǎng)絡(luò)安全策略的制訂提供指南；更為重要的一點是，它應(yīng)該管理、配置簡單，從而使非專業(yè)人員非常容易地獲得網(wǎng)絡(luò)安全。2.5.2 入侵檢測及安全掃描入侵檢測系統(tǒng)的組件組成事件產(chǎn)生器（Eventgenerators）事件分析器（Eventanalyzers）響應(yīng)單元（Responseunits）事件數(shù)據(jù)庫（Eventdatabases2.

9、5.2 入侵檢測及安全掃描IDS數(shù)據(jù)分析步驟信息收集信息分析結(jié)果處理2.5.2 入侵檢測及安全掃描入侵檢測系統(tǒng)所采用的技術(shù)異常檢測模型誤用檢測模型2.5.2 入侵檢測及安全掃描入侵檢測系統(tǒng)所采用的其他技術(shù)基于主機的IDS基于網(wǎng)絡(luò)的IDS分布式2.5.2 入侵檢測及安全掃描蜜罐技術(shù)蜜罐(honeypot)是用于跟蹤攻擊者和研究、收集黑客活動證據(jù)的一種資源。它們模仿真實的系統(tǒng)，其實不包含真正的產(chǎn)品信息。每個被監(jiān)視到的在蜜罐上的活動都是一次攻擊。2.5.2 入侵檢測及安全掃描安全掃描安全掃描技術(shù)的基本原理是采用模擬黑客攻擊的方式對目標可能存在的已知安全漏洞進行逐項檢測，以便對工作站、服務(wù)器、交換機、

10、數(shù)據(jù)庫等各種對象進行安全漏洞檢測。2.5.2 入侵檢測及安全掃描安全掃描分類主機安全掃描網(wǎng)絡(luò)安全掃描2.5.2 入侵檢測及安全掃描安全掃描過程確定目標主機或網(wǎng)絡(luò)搜集信息對信息進行判斷或?qū)Π踩┒催M行測試2.5.2 入侵檢測及安全掃描安全掃描技術(shù)分類ping掃描技術(shù)端口掃描技術(shù)操作系統(tǒng)探測技術(shù)如何探測訪問控制規(guī)則以及已知漏洞的掃描技術(shù)2.5.2 入侵檢測及安全掃描PING掃描識別系統(tǒng)是否處于活動狀態(tài)探測訪問控制規(guī)則端口掃描是通過與目標系統(tǒng)的TCP/IP端口連接，查看該系統(tǒng)處于監(jiān)聽或運行狀態(tài)的服務(wù)漏洞掃端口掃描的基礎(chǔ)上，對得到的信息進行相關(guān)處理，進而檢測出目標系統(tǒng)存在的安全漏洞。2.5.2 入侵檢

11、測及安全掃描端口掃描TCP全連接掃描TCP SYN 掃描秘密掃描2.5.2 入侵檢測及安全掃描其他掃描技術(shù)UDP掃描IP分段掃代理掃描2.5.2 入侵檢測及安全掃描 操作系統(tǒng)掃描技術(shù)主動探測被動探測2.5.2 入侵檢測及安全掃描探測手段主動探測查詢標識信息、二進制文件分析、ICMP信息探測被動探測生存期（TTL）探測、滑動窗口大小探、分片允許位、服務(wù)類型、初始化序列號2.5.2 入侵檢測及安全掃描漏洞掃描技術(shù)系統(tǒng)安全漏洞也稱為系統(tǒng)脆弱性(vulnerability)，一般簡稱漏洞。2.5.2 入侵檢測及安全掃描漏洞掃描的主要方法端口掃描得知目標主機開啟的端口及端口上的網(wǎng)絡(luò)服務(wù)，與已知漏洞進行匹

12、配模擬攻擊模擬攻擊成功，則表明目標主機系統(tǒng)存在安全漏洞基于網(wǎng)絡(luò)系統(tǒng)漏洞庫的漏洞掃描確定開放端口，與已知漏洞匹配基于功能模塊技術(shù)的漏洞掃描掃描程序可以通過調(diào)用插件來執(zhí)行漏洞掃描，檢測出系統(tǒng)中存在的一個或多個漏洞2.5.2 入侵檢測及安全掃描防火墻技術(shù)它通常被部署在本地局域網(wǎng)和因特網(wǎng)之間，依據(jù)已經(jīng)配置好的安全規(guī)則，過濾掉那些可能有害于系統(tǒng)安全的數(shù)據(jù)流。防火墻主要由服務(wù)訪問規(guī)則、驗證工具、包過濾和應(yīng)用網(wǎng)關(guān)4個部分組成。2.5.2 入侵檢測及安全掃描防火墻分類網(wǎng)絡(luò)層防火墻網(wǎng)絡(luò)層防火墻可視為一種 IP 封包過濾，運作在底層的TCP/IP協(xié)議堆棧上。應(yīng)用層防火墻它是在 TCP/IP 堆棧的“應(yīng)用層”上運作

13、，使用瀏覽器時所產(chǎn)生的數(shù)據(jù)流或是使用 FTP 時的數(shù)據(jù)流都是屬于這一層。數(shù)據(jù)庫防火墻是一款基于數(shù)據(jù)庫協(xié)議分析與控制技術(shù)的數(shù)據(jù)庫安全防護系統(tǒng)。2.5.2 入侵檢測及安全掃描防火墻的功能代理系統(tǒng)一種將信息從防火墻的一側(cè)傳送到另一側(cè)的軟件模塊多級過濾防火墻一般采用三級過濾措施，并輔以鑒別手段網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)（NAT）防火墻利用NAT技術(shù)能透明地對所有內(nèi)部地址作轉(zhuǎn)換因特網(wǎng)網(wǎng)關(guān)技術(shù)對所有的文件和命令均要利用改變根系統(tǒng)調(diào)用（chroot）作物理上的隔離審計和告警計功能是通過日志來體現(xiàn)的DMZ為了解決安裝防火墻后外部網(wǎng)絡(luò)的訪問用戶不能訪問內(nèi)部網(wǎng)絡(luò)服務(wù)器的問題，而設(shè)立的一個非安全系統(tǒng)與安全系統(tǒng)之間的緩沖區(qū)2.5.2 入侵檢測及安全掃描安全配置管理，對終端的攻擊和利用終端實施的竊密事件急劇增多，終端安全問題日益突顯。攻擊和竊密是終端安全的外部原因，計算機系統(tǒng)存在缺陷或漏洞、系統(tǒng)配置不當是終端安全的內(nèi)部原因。外因通過內(nèi)因起作用，內(nèi)因是決定因素。2.5.2 入侵檢測及安全掃描安全配置管理分類硬件配置管理軟件配置管理核心安全配置2.5.2 入侵檢測及安全掃