tcpip協(xié)議 - 浙江工業(yè)大學(xué)12944

1、網(wǎng)絡(luò)安全2011年11月29日1上次課內(nèi)容復(fù)習(xí)2文件傳輸（FTP）FTP是什么？FTP是 Protocol的英文縮寫，即“文件傳輸協(xié)議”。用于在計(jì)算機(jī)之間傳送文件把文件從本地主機(jī)傳送到遠(yuǎn)程主機(jī)稱為“上載”Upload，Put把文件從遠(yuǎn)程主機(jī)傳送到本地主機(jī)稱為“下載”Download，GetFTP可以傳輸各種類型的文件：文本文件（ASCII）、二進(jìn)制文件（Binary）；壓縮文件、非壓縮文件。登錄FTP服務(wù)器的用戶需要注冊才能登錄，但有的FTP服務(wù)器也允許匿名（Anonymous）登錄。3HTML語言 HTML：超文本標(biāo)記語言（Hypertext Markup Language）加入了許多被稱為

2、鏈接標(biāo)簽(tag)的特殊字符串的普通文本文件。從結(jié)構(gòu)上講，HTML文件由許多種元素(element)組成，這些元素用于組織文件的內(nèi)容和指導(dǎo)文件的輸出格式。絕大多數(shù)元素是“容器”，即它有起始標(biāo)記和結(jié)尾標(biāo)記。元素的起始標(biāo)記叫做起始鏈接標(biāo)簽(start tag)，元素結(jié)束標(biāo)記叫做結(jié)尾鏈接標(biāo)簽(end tag)，在起始鏈接標(biāo)簽和結(jié)尾鏈接標(biāo)簽中間的部分是元素體。4HTML框架 Header element body of Document 5網(wǎng)絡(luò)安全基本概念6網(wǎng)絡(luò)安全要解決的主要問題網(wǎng)絡(luò)安全主要解決數(shù)據(jù)保密和認(rèn)證的問題。數(shù)據(jù)保密就是采取復(fù)雜多樣的措施對數(shù)據(jù)加以保護(hù)，以防止數(shù)據(jù)被有意或無意地泄露給無關(guān)人員

3、。認(rèn)證分為信息認(rèn)證和用戶認(rèn)證兩個(gè)方面信息認(rèn)證是指信息從發(fā)送到接收整個(gè)通路中沒有被第三者修改和偽造，用戶認(rèn)證是指用戶雙方都能證實(shí)對方是這次通信的合法用戶。通常在一個(gè)完備的保密系統(tǒng)中既要求信息認(rèn)證，也要求用戶認(rèn)證。7網(wǎng)絡(luò)安全包括OSI-RM各層事實(shí)上，每一層都可以采取一定的措施來防止某些類型的網(wǎng)絡(luò)入侵事件，在一定程度上保障數(shù)據(jù)的安全。物理層可以在包容電纜的密封套中充入高壓的氖氣；鏈路層可以進(jìn)行所謂的鏈路加密，即將每個(gè)幀編碼后再發(fā)出，當(dāng)?shù)竭_(dá)另一端時(shí)再解碼恢復(fù)出來；網(wǎng)絡(luò)層可以使用防火墻技術(shù)過濾一部分有嫌疑的數(shù)據(jù)報(bào)；在傳輸層上甚至整個(gè)連接都可以被加密。8網(wǎng)絡(luò)安全定義 網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其

4、系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。 （1）運(yùn)行系統(tǒng)安全，即保證信息處理和傳輸系統(tǒng) 的安全。 （2）網(wǎng)絡(luò)上系統(tǒng)信息的安全。 （3）網(wǎng)絡(luò)上信息傳播的安全，即信息傳播后果的安全。 （4）網(wǎng)絡(luò)上信息內(nèi)容的安全，即我們討論的狹義的“信息安全”。9網(wǎng)絡(luò)安全應(yīng)具備四個(gè)特征保密性：信息不泄露給非授權(quán)的用戶、實(shí)體或過程，或供其利用的特性；完整性：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性，即信息在存儲(chǔ)或傳輸過程中保持不被修改、不被破壞和丟失的特性；可用性：可被授權(quán)實(shí)體訪問并按需求使用的特性，即當(dāng)需要時(shí)應(yīng)能存取所需的信息，網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)

5、和有關(guān)系統(tǒng)的正常運(yùn)行等都屬于對可用性的攻擊；可控性：對信息的傳播及內(nèi)容具有控制能力。10主要的網(wǎng)絡(luò)安全的威脅（1）非授權(quán)訪問（Unauthorized Access）：一個(gè)非授權(quán)的人的入侵。（2）信息泄露（Disclosure of Information）：造成將有價(jià)值的和高度機(jī)密的信息暴露給無權(quán)訪問該信息的人的所有問題。（3）拒絕服務(wù)（Denial of Service）：使得系統(tǒng)難以或不可能繼續(xù)執(zhí)行任務(wù)的所有問題。 11計(jì)算機(jī)安全的分類根據(jù)中國國家計(jì)算機(jī)安全規(guī)范，計(jì)算機(jī)的安全大致可分為三類：1）實(shí)體安全。包括機(jī)房、線路、主機(jī)等；2）網(wǎng)絡(luò)安全。包括網(wǎng)絡(luò)的暢通、準(zhǔn)確以及網(wǎng)上信息的安全；3）應(yīng)

6、用安全。包括程序開發(fā)運(yùn)行、I/O、數(shù)據(jù)庫等的安全。12安全威脅的常見現(xiàn)象非授權(quán)訪問假冒合法用戶數(shù)據(jù)完整性受破壞病毒通信線路被竊聽干擾系統(tǒng)的正常運(yùn)行，改變系統(tǒng)正常運(yùn)行的方向，以及延時(shí)系統(tǒng)的響應(yīng)時(shí)間13數(shù)據(jù)安全14密碼分析和密碼學(xué)P=Dk（Ek（P）破譯密碼的技術(shù)叫做密碼分析設(shè)計(jì)密碼和破譯密碼的技術(shù)統(tǒng)稱為密碼學(xué) 15密碼學(xué)的一條基本原則是：必須假定破譯者知道通用的加密方法，也就是說加密算法E是公開的。基本加密模型：加密算法是公開的和相對穩(wěn)定的，而作為參數(shù)的密鑰是保密的，并且是易于更換的?；炯用苣Ｐ?6XOR加密17 定義：替代密碼就用一組密文字母來代替一組明文字母以隱藏明文，但保持明文字母的位置

7、不變。傳統(tǒng)的加密方法：替代密碼18凱撒密碼最古老的地帶密碼凱撒密碼，它用D表示a，用E表示b，用F表示c，用C表示z，也就是說密文字母相對明文字母左移了3位。更一般地，可以讓密文字母相對明文字母左移k位，這樣k就成了加密和解密的密鑰。缺點(diǎn)：容易破譯，因?yàn)樽疃嘀恍鑷L試25次（k=125）即可輕松破譯密碼。記法約定：用小寫表示明文，用大寫表示密文19替代密碼 使用一種符號來替代另一種，例如單字符密碼: 用一個(gè)字母來替換另一個(gè)明文: abcdefghijklmnopqrstuvwxyz密文: mnbvcxzasdfghjklpoiuytrewq明文: bob. i love you. alice密文

8、: nkn. s gktc wky. mgsbc例如：XOR是最簡單和有效的加密方法?規(guī)則20換位密碼換位有時(shí)也稱為排列，它不對明文字母進(jìn)行變換，只是將明文字母的次序進(jìn)行重新排列。例： COMPUTER明文 pleaseexecutethelatestScheme14358726p1easeexecutethe密文PELHEHSCEUTMLCAEATEEXECDETTBSESA1atestschemeabcd21密鑰分發(fā)問題秘密密鑰的一個(gè)弱點(diǎn)是解密密鑰必須和加密密鑰相同，這就產(chǎn)生了如何安全地分發(fā)密鑰的問題。傳統(tǒng)上是由一個(gè)中心密鑰生成設(shè)備產(chǎn)生一個(gè)相同的密鑰對，并由人工信使將其傳送到各自的目的地。

9、對于一個(gè)擁有許多部門的組織來說，這種分發(fā)方式是不能令人滿意的，尤其是出于安全方面的考慮需要經(jīng)常更換密鑰時(shí)更是如此。22公開密鑰算法在公開密鑰算法中，加密密鑰和解密密鑰是不同的，并且從加密密鑰不能得到解密密鑰。為此，加密算法E和解密算法D必須滿足以下的三個(gè)條件： D（E（P）=P； 從E導(dǎo)出D非常困難； 使用“選擇明文”攻擊不能攻破E。如果能夠滿足以上三個(gè)條件，則加密算法完全可以公開。 23公開密鑰算法的基本思想如果某個(gè)用戶希望接收秘密報(bào)文，他必須設(shè)計(jì)兩個(gè)算法：加密算法E和解密算法D，然后將加密算法放于任何一個(gè)公開的文件中廣而告知，這也是公開密鑰算法名稱的由來，他甚至也可以公開他的解密方法，只要

10、他妥善保存解密密鑰即可。當(dāng)兩個(gè)完全陌生的用戶A和B希望進(jìn)行秘密通信時(shí)，各自可以從公開的文件中查到對方的加密算法。若A需要將秘密報(bào)文發(fā)給B， 則A用B的加密算法EB對報(bào)文進(jìn)行加密，然后將密文發(fā)給B，B使用解密算法DB進(jìn)行解密，而除B以外的任何人都無法讀懂這個(gè)報(bào)文；當(dāng)B需要向A發(fā)送消息時(shí)，B使用A的加密算法EA對報(bào)文進(jìn)行加密，然后發(fā)給A，A利用DA進(jìn)行解密。24在這種算法中，每個(gè)用戶都使用兩個(gè)密鑰：加密密鑰是供其他人向他發(fā)送報(bào)文用的，這是公開的；解密密鑰是用于對收到的密文進(jìn)行解密的，這是保密的。通常用公開密鑰和私人密鑰分別稱呼公開密鑰算法中的加密密鑰和解密密鑰，以同傳統(tǒng)密碼學(xué)中的秘密密鑰相區(qū)分。由

11、于私人密鑰只由用戶自己掌握，不需要分發(fā)給別人，也就不用擔(dān)心在傳輸?shù)倪^程中或被其他用戶泄密，因而是極其安全的。著名算法： RSA算法25公鑰私鑰體制26用戶認(rèn)證27用戶認(rèn)證概念定義：通信雙方在進(jìn)行重要的數(shù)據(jù)交換前，常常需要驗(yàn)證對方的身份，這種技術(shù)稱為用戶認(rèn)證。在實(shí)際的操作中，除了認(rèn)證對方的身份外，同時(shí)還要在雙方間建立一個(gè)秘密的會(huì)話密鑰，該會(huì)話密鑰用于對其后的會(huì)話進(jìn)行加密。每次連接都使用一個(gè)新的隨機(jī)選擇的密鑰28基于共享秘密密鑰的用戶認(rèn)證 假設(shè)在A和B之間有一個(gè)共享的秘密密鑰KAB 。某個(gè)時(shí)候A希望和B進(jìn)行通信，于是雙方采用如圖所示的過程進(jìn)行用戶認(rèn)證。使用共享秘密密鑰進(jìn)行用戶認(rèn)證29使用密鑰分發(fā)中

12、心的用戶認(rèn)證要求通信的雙方具有共享的秘密密鑰有時(shí)是做不到的，另外如果某個(gè)用戶要和n個(gè)用戶進(jìn)行通信，就需要有n個(gè)不同的密鑰，這給密鑰的管理也帶來很大的麻煩。解決的辦法是引進(jìn)一個(gè)密鑰分發(fā)中心（Key Distribution Center，KDC）。KDC是可以信賴的，并且每個(gè)用戶和KDC間有一個(gè)共享的秘密密鑰，用戶認(rèn)證和會(huì)話密鑰的管理都通過KDC來進(jìn)行。30KDC舉例如圖所示，A希望和B進(jìn)行通信 一個(gè)用KDC進(jìn)行用戶認(rèn)證的協(xié)議31使用公開密鑰算法的用戶認(rèn)證協(xié)議 使用公開密鑰進(jìn)行用戶認(rèn)證32數(shù)字簽名33數(shù)字簽名概念一個(gè)可以替代手跡簽名的系統(tǒng)必須滿足以下三個(gè)條件： 接收方通過文件中的簽名能認(rèn)證發(fā)送方

13、的身份； 發(fā)送方以后不能否認(rèn)發(fā)送過簽名文件； 接收方不可能偽造文件內(nèi)容。34使用秘密密鑰算法的數(shù)字簽名這種方式需要一個(gè)可以信賴的中央權(quán)威機(jī)構(gòu)（Centra1 Authority，以下簡稱CA）的參與，每個(gè)用戶事先選擇好一個(gè)與CA共享的秘密密鑰并親自交到CA，以保證只有用戶和CA知道這個(gè)密鑰。除此以外，CA還有一個(gè)對所有用戶都保密的秘密密鑰KCA。35使用秘密密鑰算法的數(shù)字簽名當(dāng)A想向B發(fā)送一個(gè)簽名的報(bào)文P時(shí)，它向CA發(fā)出KA（B，RA，t，P），其中RA為報(bào)文的隨機(jī)編號，t為時(shí)間戳；CA將其解密后，重新組織成一個(gè)新的密文KB（A，RA，t，P，KCA（A，t，P）發(fā)給B，因?yàn)橹挥蠧A知道密鑰K

14、CA，因此其他任何人都無法產(chǎn)生和解開密文KCA（A，t，P）；B用密鑰KB解開密文后，首先將KCA（A，t，P）放在一個(gè)安全的地方，然后閱讀和執(zhí)行P。36驗(yàn)證當(dāng)過后A試圖否認(rèn)給B發(fā)過報(bào)文P時(shí)，B可以出示KCA（A，t，P）來證明A確實(shí)發(fā)過P，因?yàn)锽自己無法偽造出KCA（A，t，P），它是由CA發(fā)來的，而CA是可以信賴的，如果A沒有給CA發(fā)過P，CA就不會(huì)將P發(fā)給B，這只要用KCA對KCA（A，t，P）進(jìn)行解密，一切就可真相大白。為了避免重復(fù)攻擊，協(xié)議中使用了隨機(jī)報(bào)文編號RA和時(shí)間戳t。B能記住最近收到的所有報(bào)文編號，如果RA和其中的某個(gè)編號相同，則P就被當(dāng)成是一個(gè)復(fù)制品而丟棄，另外B也根據(jù)時(shí)間

15、戳t丟棄舊報(bào)文，以防止攻擊者經(jīng)過很長一段時(shí)間后，再用舊報(bào)文來重復(fù)攻擊。37加密技術(shù)應(yīng)用案例38防火墻39防火墻技術(shù)防火墻（Firewall）是在兩個(gè)網(wǎng)絡(luò)之間執(zhí)行訪問控制策略的硬件或軟件系統(tǒng)，目的是保護(hù)網(wǎng)絡(luò)不被他人侵?jǐn)_。本質(zhì)上，它遵循的是一種數(shù)據(jù)進(jìn)行過濾的網(wǎng)絡(luò)通信安全機(jī)制，只允許授權(quán)的通信，而禁止非授權(quán)的通信。通常，防火墻就是位于內(nèi)部網(wǎng)或Web站點(diǎn)與因特網(wǎng)之間的一臺(tái)路由器或計(jì)算機(jī)。40通常，部署防火墻的理由包括：防止入侵者干擾內(nèi)部網(wǎng)絡(luò)的正常運(yùn)行；防止入侵者刪除或修改存儲(chǔ)再內(nèi)部網(wǎng)絡(luò)中的信息；防止入侵者偷竊內(nèi)部的秘密信息。防火墻應(yīng)該有以下功能：所有進(jìn)出網(wǎng)絡(luò)的通信流都應(yīng)該通過防火墻。所有穿過防火墻的通

16、信流都必須有安全策略和計(jì)劃的確認(rèn)和授權(quán)。理論上說，防火墻是穿不透的 。41內(nèi)部網(wǎng)需要防范的三種攻擊 間諜、試圖偷走敏感信息的黑客、入侵者和闖入者。盜竊，盜竊對象包括數(shù)據(jù)、Web表格、磁盤空間和CPU資源等。破壞系統(tǒng)：通過路由器或主機(jī)服務(wù)器蓄意破壞文件系統(tǒng)或阻止授權(quán)用戶訪問內(nèi)部網(wǎng)（外部網(wǎng)）和服務(wù)器。42防火墻在因特網(wǎng)與內(nèi)部網(wǎng)中的位置 43 防火墻類型 1）從軟、硬件形式上分為：軟件防火墻和硬件防火墻以及芯片級防火墻。2）從防火墻技術(shù)分為：“包過濾型”、“狀態(tài)檢測型”和“應(yīng)用代理型”三大類。3）從防火墻結(jié)構(gòu)分為：單一主機(jī)防火墻、路由器集成式防火墻和分布式防火墻三種。4）按防火墻的應(yīng)用部署位置分為：

17、 邊界防火墻、個(gè)人防火墻和混合防火墻三大類。5）按防火墻性能分為：百兆級防火墻和千兆級防火墻兩類。44包（分組）過濾型防火墻 包過濾（Packet Filtering）是防火墻最基本的實(shí)現(xiàn)形式，它控制哪些數(shù)據(jù)包可以進(jìn)出網(wǎng)絡(luò)而哪些數(shù)據(jù)包應(yīng)被網(wǎng)絡(luò)拒絕。包過濾防火墻通常是放置在因特網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間的一個(gè)具備包過濾功能的簡單路由器，這是因?yàn)榘^濾是路由器的固有屬性。45包過濾可依據(jù)以下三類條件允許或阻止數(shù)據(jù)包通過路由器：包的源地址及源端口；包的目的地址及目的端口；包的傳送協(xié)議，如FTP、SMTP、rlogin等。46包過濾的優(yōu)點(diǎn)簡單、易于實(shí)現(xiàn)、對用戶透明、路由器免費(fèi)提供此功能。僅用一個(gè)放置在內(nèi)部網(wǎng)與因

18、特網(wǎng)邊界上的包過濾路由器就可保護(hù)整個(gè)內(nèi)部網(wǎng)絡(luò)。47包過濾的缺點(diǎn)編制邏輯上嚴(yán)密無漏洞的包過濾規(guī)則比較困難，對編制好的規(guī)則進(jìn)行測試維護(hù)也較麻煩。維護(hù)復(fù)雜的包過濾規(guī)則也是一件很麻煩的事情包過濾規(guī)則的判別會(huì)降低路由器的轉(zhuǎn)發(fā)速度對包中的應(yīng)用數(shù)據(jù)無法過濾 它總是假定包頭部信息是合法有效的。以上這些缺點(diǎn)使得包過濾技術(shù)通常不單獨(dú)使用，而是作為其他安全技術(shù)的一種補(bǔ)充。48包過濾規(guī)則在配置包過濾路由器時(shí)，首先要確定哪些服務(wù)允許通過而哪些服務(wù)應(yīng)被拒絕，并將這些規(guī)定翻譯成有關(guān)的包過濾規(guī)則（在路由器中，包過濾規(guī)則又被稱為訪問控制表（Access List）。49包過濾處理流程 50包過濾規(guī)則設(shè)計(jì)示例假設(shè)網(wǎng)絡(luò)策略安全規(guī)則

19、確定：從外部主機(jī)發(fā)來的因特網(wǎng)郵件由特定網(wǎng)關(guān)“Mail-GW”接收，并且要拒絕從不信任的主機(jī)“CREE-PHOST”發(fā)來的數(shù)據(jù)流。在這個(gè)例子中，SMTP使用的網(wǎng)絡(luò)安全策略必須翻譯成包過濾規(guī)則。為便于理解，把網(wǎng)絡(luò)安全規(guī)則翻譯成下列中文形式：過濾器規(guī)則1：不相信從CREE-PHOST來的連接。過濾器規(guī)則2：允許與郵件網(wǎng)關(guān)Mail-GW的連接。51以上規(guī)則被編成如下表的形式。其中星號（*）表明它可以匹配該列的任何值。這些規(guī)則應(yīng)用的順序與它們在表中的順序相同。如果一個(gè)包不與任何規(guī)則匹配，它就會(huì)遭到拒絕。序號動(dòng)作內(nèi)部主機(jī)內(nèi)外部主機(jī)外說明1阻塞*Cree-phost*阻塞來自Cree-phost的流量2允許

20、Mail-GW25*允許郵件網(wǎng)關(guān)Mail-GW的連接3允許*25允許輸出SMTP至遠(yuǎn)程郵件網(wǎng)關(guān)52狀態(tài)監(jiān)測型防火墻 采用動(dòng)態(tài)設(shè)置包過濾規(guī)則的方法，避免了靜態(tài)包過濾所具有的問題。 采用這種技術(shù)的防火墻對通過其建立的每一個(gè)連接都進(jìn)行跟蹤，并且根據(jù)需要可動(dòng)態(tài)地在過濾規(guī)則中增加或更新條目。 53應(yīng)用代理型防火墻 應(yīng)用代理型防火墻是工作在OSI的最高層，即應(yīng)用層。其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流，通過對每種應(yīng)用服務(wù)編制專門的代理程序，實(shí)現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。代理服務(wù)就是指定一臺(tái)有訪問因特網(wǎng)能力的主機(jī)作為網(wǎng)絡(luò)中客戶端的代理去與因特網(wǎng)中的主機(jī)進(jìn)行通信。 54安全問題來自何方？55黑客入侵 國家利益

21、、商業(yè)利益、個(gè)人謀利內(nèi)部攻擊病毒侵入秘密信息泄露 硬件和軟件后門安全的威脅56黑客概念英文：Hacker、Intruder(入侵者)、Cracker(破壞者)簡單理解：是資料的竊取者或信息系統(tǒng)入侵者原意：熟悉某種電腦系統(tǒng)，并具有極高的技術(shù)能力，長時(shí)間將心力投注在信息系統(tǒng)的研發(fā)，并且樂此不疲的人。當(dāng)前共識：在信息/網(wǎng)絡(luò)世界中，仰仗著自己的技術(shù)能力，咨意非法進(jìn)出他人信息系統(tǒng)，視法律與社會(huì)規(guī)范于不顧的角色。57誰是黑客業(yè)余電腦愛好者。多半是對網(wǎng)絡(luò)技術(shù)有興趣的學(xué)生，也許是信息技術(shù)相關(guān)行業(yè)的從業(yè)人員。職業(yè)的入侵者。這些人把入侵當(dāng)成事業(yè)，認(rèn)真系統(tǒng)地整理所有可能發(fā)生的系統(tǒng)弱點(diǎn)，熟悉各種信息安全攻防工具。電腦

22、高手?？赡苁翘觳诺膶W(xué)生，也可能是熟練的電腦工程師，他們對網(wǎng)絡(luò)、操作系統(tǒng)的運(yùn)作了若指掌。Hacker級的Cracker。也許你所使用的操作系統(tǒng)就是出自他的設(shè)計(jì)，也許你使用的系統(tǒng)安全工具就是他開發(fā)的。58黑客的目的信息戰(zhàn)- 國家利益商業(yè)對手-竊取機(jī)密資料個(gè)人謀利-盜用別人錢財(cái)好奇心與成就感盜用系統(tǒng)資源59危害實(shí)例詆毀政府-公司形象商業(yè)機(jī)密泄露電子欺騙抵賴破壞主機(jī)聯(lián)邦調(diào)查局的主頁被修改當(dāng)當(dāng)書店遭遇黑客入侵破壞,狀告8848網(wǎng)站Bill Gates信用卡在利用電子商務(wù)登記會(huì)員時(shí)被盜用 Love病毒 當(dāng)天感染用戶40萬， 全球損失$100 million 危害60內(nèi)部攻擊計(jì)算機(jī)犯罪、黑客攻擊等非法攻擊行

23、為70%來自于內(nèi)部網(wǎng)絡(luò);內(nèi)部攻擊頻發(fā)的原因： 局域網(wǎng)是黑客和計(jì)算機(jī)迷學(xué)習(xí)練習(xí)的最好場所； 被害單位的財(cái)富和信息過于集中而又疏于內(nèi)部管理； 個(gè)別品質(zhì)低下的內(nèi)部人員對本單位信息環(huán)境熟悉又加劇 了其作案和被外部人勾結(jié)引誘的可能性； 管理者信息安全意識不強(qiáng)，缺乏對職員的信息安全教育；內(nèi)部攻擊的主要手段有：冒名頂替、修改網(wǎng)卡內(nèi)碼、使用黑客工具等。61病毒感染：計(jì)算機(jī)病毒定義計(jì)算機(jī)病毒，是指編制或者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者數(shù)據(jù)，影響計(jì)算機(jī)使用，并能自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼。摘自中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例第28條62病毒感染：典型的現(xiàn)象Word、Excel文件打不開；

24、重要文件被破壞或丟失；打開郵件后，系統(tǒng)死機(jī)；計(jì)算機(jī)莫迷奇妙奏起音樂；計(jì)算機(jī)分區(qū)丟失；內(nèi)存不足、速度越來越慢；63病毒感染：感染現(xiàn)象舉例WIN95.HPS病毒發(fā)作現(xiàn)象64病毒感染：感染現(xiàn)象舉例現(xiàn)在BO黑客工具只要你在網(wǎng)上，你的機(jī)器內(nèi)部的重要文件隨時(shí)有可能被 其它懷有不良企圖的人所竊取。WIN95.Murburg病毒發(fā)作現(xiàn)象65病毒感染：傳播過程示意病毒1 創(chuàng)造2 感染3 傳播4 發(fā)病5 發(fā)現(xiàn)6 解決方法7 滅絕66秘密信息泄露各類電磁輻射：顯示設(shè)備、通信線路等；涉密設(shè)備或網(wǎng)絡(luò)連入因特網(wǎng)；存儲(chǔ)介質(zhì)和設(shè)備硬件；設(shè)備和軟件的漏洞67硬件和軟件后門國內(nèi)流行操作系統(tǒng)：例Win98計(jì)算機(jī)主要集成電路芯片：例

25、PIII CPU一些國外進(jìn)口的應(yīng)用軟件；主要的網(wǎng)絡(luò)互連設(shè)備，如路由器68隱患成因難以控制知識產(chǎn)權(quán)；如路由器、OS、集成電路高端網(wǎng)絡(luò)安全產(chǎn)品國外廠商一統(tǒng)天下：如防火墻信息安全意識淡薄，疏于防范；信息社會(huì)的職業(yè)道德教育內(nèi)容和體系不健全；對信息安全技術(shù)的研究缺乏和浮躁Fast SwitcHub-8mi30+201051100MTx/RxFull DuplexSelect/LinkPWRCollisionStatusUtil%Forward%Filter%DemoDiagFull/HalfConfig1 2 3 4 5 6 7 890+705035201051LinkRate %SNMP 1X 2X

26、3X 4X 5X 6X 7X 8MDI-X-or-8MDI10 M/ 100 M69迫切要解決的問題認(rèn)證XIP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包是誰在網(wǎng)絡(luò)的另一端？InternetIP 數(shù)據(jù)包70關(guān)于安全的解決方案71網(wǎng)絡(luò)安全的基本要求通信的保密性要求通信雙方的通信內(nèi)容是保密的。這一方面要求通信的內(nèi)容不能被第三方所竊?。灰惨笕f一被別人竊取后，也不能得到信息的具體內(nèi)容。72網(wǎng)絡(luò)安全的基本要求數(shù)據(jù)的完整性要保證接收到的信息是完整的。這不是指收到的信息是不是有完整的意義，而是說在傳輸?shù)倪^程中數(shù)據(jù)沒有被修改。要求接收到的信息或數(shù)據(jù)和發(fā)送方所發(fā)出的信息是完全一致的。

27、如果發(fā)出的信息是“請付給甲100元”，收到的信息是“請付給甲10000元”，數(shù)據(jù)的完整性就被破壞了。73網(wǎng)絡(luò)安全的基本要求身份的確認(rèn)性在網(wǎng)絡(luò)的通信中如何確定通信者的身份也是一個(gè)重要的問題。打電話可以從語音識別身份，寫信可以從筆跡識別身份，網(wǎng)絡(luò)通信中如何識別身份？(生理特征？持有物？) 如果收到總經(jīng)理的郵件：“請付給乙方10000元”。如何確認(rèn)此信一定是總經(jīng)理發(fā)來的？74網(wǎng)絡(luò)安全的基本要求通信的不可抵賴性網(wǎng)絡(luò)通信全部是電子形式的文檔。收到的信息經(jīng)打印機(jī)打印出來后和一般的文檔沒有什么不同。 甲給乙一份郵件，“請發(fā)貨100件”。等乙發(fā)完貨向甲收款時(shí)，甲說我沒有要你發(fā)貨。有什么辦法使甲不能抵賴所發(fā)的信

28、息？75安全對策對網(wǎng)站的攻擊修改主頁，拒絕服務(wù)商業(yè)機(jī)密泄露電子欺騙破壞主機(jī)系統(tǒng)竊取信息防火墻產(chǎn)品入侵檢測產(chǎn)品 數(shù)據(jù)加密 VPNPKI認(rèn)證機(jī)構(gòu)CA安全支付網(wǎng)關(guān)電子商務(wù)安全軟件網(wǎng)絡(luò)防病毒網(wǎng)關(guān)76安全對策系統(tǒng)后門政府-企業(yè)上網(wǎng)單機(jī)上網(wǎng)產(chǎn)品內(nèi)外網(wǎng)安全隔離卡安全主機(jī)防火墻安全路由器安全服務(wù)器Linux方案77屏蔽與干擾從信號源上防護(hù)防幅射（主機(jī)、顯示器）通信線路輸入與輸出設(shè)備78防病毒產(chǎn)品可查出各類文件形式中的病毒擁有較好的啟發(fā)式掃描技術(shù)通過安全認(rèn)證安裝前先對系統(tǒng)進(jìn)行查毒良好的清除病毒能力快速的查毒速度實(shí)時(shí)的監(jiān)控功能完善的升級設(shè)計(jì)79加密傳輸密鑰技術(shù)加密設(shè)備 網(wǎng)絡(luò)層、鏈路層加密機(jī)身份認(rèn)證80訪問控制物理

29、隔離設(shè)備 硬盤隔離卡、網(wǎng)閘訪問控制權(quán)設(shè)置防火墻81在不安全的網(wǎng)絡(luò)環(huán)境中構(gòu)造一個(gè)相對安全的子網(wǎng)環(huán)境路由器客戶端國際互聯(lián)網(wǎng)代理 服務(wù)器應(yīng)用服務(wù)器SMTP 服務(wù)器FTP 服務(wù)器防火墻防火墻82安全檢測和監(jiān)控漏洞掃描 OS漏洞、應(yīng)用服務(wù)漏洞、木馬偵測 網(wǎng)絡(luò)配置漏洞、口令漏洞等在線入侵檢測系統(tǒng) IDS83備份數(shù)據(jù)備份設(shè)備備份電源異地備份 冗災(zāi)管理人員備份84目前的有效途徑IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包是誰讀到了我的信？internetIP 數(shù)據(jù)包加密我截獲了無數(shù)個(gè)password85網(wǎng)絡(luò)攻擊86攻防技術(shù)的發(fā)展背景信息技術(shù)的迅猛發(fā)展，是黑客產(chǎn)生的基礎(chǔ) - 個(gè)人計(jì)算

30、機(jī)性能的提高 - 應(yīng)用軟件，應(yīng)用水平的提高 - 互聯(lián)網(wǎng)成為人們從事各項(xiàng)活動(dòng)的主要舞臺(tái)互聯(lián)網(wǎng)缺乏安全控制機(jī)制， 是黑客存在的條件 - 互聯(lián)網(wǎng)不為某個(gè)政府或組織所控制 - 最初的考慮主要是網(wǎng)絡(luò)的連接，而不是網(wǎng)絡(luò)安全 - 互聯(lián)網(wǎng)缺乏必要的安全控制機(jī)制互聯(lián)網(wǎng)資源為黑客滋生提供了技術(shù)條件 - 互聯(lián)網(wǎng)上很容易查找到黑客網(wǎng)址。 - 免費(fèi)下載各種黑客軟件，網(wǎng)上閱讀及交流 87現(xiàn)代攻擊者的特點(diǎn)技術(shù)化 - 掌握網(wǎng)絡(luò)技術(shù)進(jìn)行網(wǎng)絡(luò)攻擊的前提 - 一些黑客甚至是 “高手”年輕化 - 1998年7年江西省169信息網(wǎng)全線癱瘓，嫌疑人僅19歲 - ISS創(chuàng)始人16歲便攻入聯(lián)邦調(diào)查局網(wǎng)絡(luò)社會(huì)化 - 來自于各個(gè)層次、來自于不同

31、年齡段 - 動(dòng)機(jī)各自不同地點(diǎn)復(fù)雜化 - 上網(wǎng)途徑復(fù)雜化、可能是世界上的任何一個(gè)地方 - 追查攻擊來源十分困難 88網(wǎng)絡(luò)攻擊的防范 提高網(wǎng)絡(luò)安全意識 - 采取必要的防范措施 依法強(qiáng)化管理 - 健全完善的發(fā)規(guī)，強(qiáng)化網(wǎng)絡(luò)管理 加強(qiáng)網(wǎng)絡(luò)出口管理 - 網(wǎng)絡(luò)邊界采取必要的訪問控制機(jī)制 防火墻 - 完善的加密，身份認(rèn)證體制 開發(fā)先進(jìn)的網(wǎng)絡(luò)安全產(chǎn)品 - 不依靠進(jìn)口產(chǎn)品 - 大力開發(fā)自主知識版權(quán)的信息安全產(chǎn)品 加強(qiáng)國際合作89典型網(wǎng)絡(luò)攻擊 拒絕服務(wù)攻擊 IP炸彈、郵件炸彈 惡意程序碼 病毒(Virus)和后門程序(Backdoor) BO (Back Orifice)攻擊 網(wǎng)絡(luò)監(jiān)聽 網(wǎng)絡(luò)信息包監(jiān)聽、電腦系統(tǒng)監(jiān)聽

32、 密碼破解90網(wǎng)絡(luò)中常見的攻擊特洛伊木馬（Trojan horse） 一種執(zhí)行超出程序定義之外的程序。如一個(gè)編譯程序除了執(zhí)行編譯任務(wù)以外，還把用戶的源程序偷偷地copy下來，這種編譯程序就是一種特洛伊木馬。91網(wǎng)絡(luò)中常見的攻擊 邏輯炸彈（logic bomb）一種當(dāng)運(yùn)行環(huán)境滿足某種特定條件時(shí)執(zhí)行其他特殊功能的程序。如CIH，每當(dāng)系統(tǒng)時(shí)間為26日的時(shí)候，便在BIOS中寫入一大堆垃圾信息，造成系統(tǒng)癱瘓。 邏輯炸彈是計(jì)算機(jī)病毒的一種。計(jì)算機(jī)病毒（computer virus），一種會(huì)“傳染”和起破壞作用的程序。92網(wǎng)絡(luò)中常見的攻擊主機(jī)欺騙黑客可以發(fā)送虛假的路由信息到他想進(jìn)行欺騙的一臺(tái)主機(jī)，如主機(jī)A。這種假冒的信息也將發(fā)送到目標(biāo)主機(jī)A的路徑上的所有網(wǎng)關(guān)。主機(jī)A和這些網(wǎng)關(guān)收到的虛假路由信息經(jīng)常表示到網(wǎng)絡(luò)上的一臺(tái)不工作或沒有使用的主機(jī)，如主機(jī)B。這樣，任何要發(fā)送到主機(jī)B的信息都會(huì)轉(zhuǎn)送到黑客的計(jì)算機(jī)，而主機(jī)A和網(wǎng)關(guān)還認(rèn)為信息是流向了主機(jī)B。一旦黑客成功地將他或她的計(jì)算機(jī)取代了網(wǎng)絡(luò)上的一臺(tái)實(shí)際主機(jī)，就實(shí)現(xiàn)了主機(jī)欺騙。93網(wǎng)絡(luò)中常見的攻擊Java和ActiveX攻擊黑客會(huì)將“特洛伊木馬