計(jì)算機(jī)信息安全技術(shù)

計(jì)算機(jī)導(dǎo)論

——第10章計(jì)算機(jī)信息安全技術(shù)主要內(nèi)容計(jì)算機(jī)信息安全概述保密技術(shù)防御技術(shù)虛擬專(zhuān)用網(wǎng)審計(jì)和監(jiān)控技術(shù)計(jì)算機(jī)病毒第1節(jié)計(jì)算機(jī)信息安全概述信息安全的概念與現(xiàn)狀

隨著信息存儲(chǔ)方式的變化，信息安全的概念也出現(xiàn)新的情況傳統(tǒng)信息安全：通過(guò)物理手段和管理制度來(lái)保證信息的安全計(jì)算機(jī)安全：保護(hù)所有信息儲(chǔ)存設(shè)備所采取的手段網(wǎng)絡(luò)安全：用于保護(hù)傳輸?shù)男畔⒑头烙鞣N攻擊的措施隨著Internet在更大范圍的普及，它所產(chǎn)生的負(fù)面影響也越來(lái)越大，主要體現(xiàn)：黑客陣營(yíng)的悄然崛起網(wǎng)上黃毒泛濫網(wǎng)上病毒的傳播網(wǎng)上偷盜之風(fēng)的盛行信息安全因特網(wǎng)網(wǎng)絡(luò)對(duì)國(guó)民經(jīng)濟(jì)的影響在加強(qiáng)安全漏洞危害在增大信息對(duì)抗的威脅在增加研究安全漏洞以防之因特網(wǎng)電力交通通訊控制廣播工業(yè)金融醫(yī)療研究攻防技術(shù)以阻之信息安全的定義信息安全的定義：它包括很多方面，是一個(gè)十分復(fù)雜的問(wèn)題，可以說(shuō)信息系統(tǒng)有多復(fù)雜，信息系統(tǒng)安全問(wèn)題就有多復(fù)雜；信息系統(tǒng)有什么樣的特性，信息系統(tǒng)安全就同樣具有類(lèi)似的特性。同時(shí)要實(shí)現(xiàn)這樣的“安全”，也不是某個(gè)技術(shù)能夠解決的，它實(shí)際上是一個(gè)過(guò)程?？尚湃斡?jì)算機(jī)標(biāo)準(zhǔn)評(píng)估準(zhǔn)則-橙皮書(shū)（TCSEC，美國(guó)）：該標(biāo)準(zhǔn)將計(jì)算機(jī)安全分為8個(gè)等級(jí)，由低到高為D1、C1、C2、B1、B2、B3、A1和A2，各等級(jí)主要考慮系統(tǒng)的硬件、軟件和存儲(chǔ)的信息免受攻擊信息安全基本要素完整性機(jī)密性可審查性可用性可控性確保信息不暴露給未授權(quán)的實(shí)體或進(jìn)程只有得到允許的人才能修改數(shù)據(jù)，并且能夠判別出數(shù)據(jù)是否已被篡改得到授權(quán)的實(shí)體在需要時(shí)可訪問(wèn)數(shù)據(jù)，即攻擊者不能占用所有的資源而阻礙授權(quán)者的工作可以控制授權(quán)范圍內(nèi)的信息流向及行為方式對(duì)出現(xiàn)的網(wǎng)絡(luò)安全問(wèn)題提供調(diào)查的依據(jù)和手段信息安全的攻與防信息竊取信息傳遞信息冒充信息篡改信息抵賴(lài)加密技術(shù)完整性技術(shù)認(rèn)證技術(shù)數(shù)字簽名

威脅信息安全的類(lèi)型威脅信息安全的因素有人為主動(dòng)的和其他因素造成的兩種類(lèi)型：計(jì)算機(jī)罪犯的類(lèi)型：工作人員。外部使用者。黑客（hacker）和解密者。有組織的罪犯。其他的威脅因素自然危害。內(nèi)戰(zhàn)和恐怖活動(dòng)技術(shù)失誤。人為錯(cuò)誤。

信息安全犯罪的形式

破壞數(shù)據(jù)和設(shè)備:工作人員有時(shí)候會(huì)試圖破壞計(jì)算機(jī)設(shè)備、程序或者文件，而黑客和解密者則可能通過(guò)傳播病毒來(lái)進(jìn)行對(duì)設(shè)備和數(shù)據(jù)的破壞。偷竊:偷竊的對(duì)象可以是計(jì)算機(jī)硬件、軟件、數(shù)據(jù)甚至是計(jì)算機(jī)時(shí)間。操縱:找到進(jìn)入他人計(jì)算機(jī)網(wǎng)絡(luò)的途徑并進(jìn)行未經(jīng)授權(quán)的操作。網(wǎng)絡(luò)安全體系結(jié)構(gòu)

一個(gè)完整的安全體系結(jié)構(gòu)主要由4個(gè)層次組成:實(shí)體安全指的是保證網(wǎng)絡(luò)中單個(gè)結(jié)點(diǎn)設(shè)備的安全性網(wǎng)絡(luò)安全指的是保證整個(gè)網(wǎng)絡(luò)的數(shù)據(jù)傳輸和網(wǎng)絡(luò)進(jìn)出的安全性應(yīng)用安全主要保證各種應(yīng)用系統(tǒng)內(nèi)部的安全性管理安全主要保證整個(gè)系統(tǒng)包括設(shè)備、網(wǎng)絡(luò)系統(tǒng)以及各種應(yīng)用系統(tǒng)的運(yùn)營(yíng)維護(hù)時(shí)的安全性

TCP/IP協(xié)議中的安全解決方案

數(shù)據(jù)鏈路層可以采用加密來(lái)保證數(shù)據(jù)鏈路層中傳輸數(shù)據(jù)的安全性網(wǎng)絡(luò)層可以采用IP層加密來(lái)保證IP層數(shù)據(jù)傳輸?shù)陌踩裕部梢圆捎梅阑饓?、VPN技術(shù)在IP層次上保證用戶對(duì)網(wǎng)絡(luò)的訪問(wèn)控制應(yīng)用層可以采用加密來(lái)保證應(yīng)用數(shù)據(jù)的保密性，也可以采用數(shù)字簽名、身份認(rèn)證等技術(shù)增加應(yīng)用的安全性。

第2節(jié)保密技術(shù)密碼技術(shù)主要是為維護(hù)用戶自身利益，對(duì)資源采取防護(hù)措施，防止非法用戶侵用和盜取，或即使非法用戶侵用和盜取了資源，也由于無(wú)法識(shí)別而不能使用。密碼技術(shù)分加密和解密兩部分。加密指改變數(shù)據(jù)的表現(xiàn)形式，是把需要加密的報(bào)文按照以密鑰為參數(shù)的函數(shù)進(jìn)行轉(zhuǎn)換，產(chǎn)生密碼文件。解密是按照密鑰參數(shù)將密碼文件還原成原文件。數(shù)據(jù)加密與解密的模型如下圖所示。密碼技術(shù)

目前加密算法主要有秘密鑰匙（secretkey）和公用鑰匙（publickey）加密算法。1．秘密鑰匙加密

秘密鑰匙加密法又稱(chēng)為對(duì)稱(chēng)式加密法或傳統(tǒng)加密法。其特點(diǎn)是加密明文和解讀密文時(shí)使用的是同一把鑰匙，如下圖所示。

密碼算法2．公用鑰匙加密

公用鑰匙加密法又稱(chēng)非對(duì)稱(chēng)式加密，其特色是完成一次加、解密操作時(shí)，需要使用一對(duì)鑰匙。假定這兩個(gè)鑰匙分別為A和B，則用A加密明文后形成的密文，必須用B方可解回明文，反之，用B加密后形成的密文必須用A解密。

對(duì)稱(chēng)和非對(duì)稱(chēng)密碼體制比較非對(duì)稱(chēng)密碼體制與對(duì)稱(chēng)密碼體制相比，主要有下面3個(gè)方面的優(yōu)點(diǎn)：密碼分發(fā)簡(jiǎn)單秘密保存的密鑰減少公鑰密碼體制可以容易地實(shí)現(xiàn)對(duì)稱(chēng)密碼體制難以實(shí)現(xiàn)的簽名驗(yàn)證機(jī)制加密方式

1．通信加密（1）節(jié)點(diǎn)加密：是在通信鏈路的任意兩個(gè)相鄰節(jié)點(diǎn)間對(duì)傳輸數(shù)據(jù)進(jìn)行加密。（2）鏈路加密：是在通信鏈路上對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行加密，它主要靠硬件實(shí)現(xiàn)。（3）端對(duì)端加密：是在報(bào)文傳輸初始節(jié)點(diǎn)上實(shí)現(xiàn)的。在整個(gè)數(shù)據(jù)傳輸過(guò)程中，報(bào)文都是以密文方式傳輸，直到到達(dá)目的節(jié)點(diǎn)時(shí)才進(jìn)行解密。

2．文件加密

（1）單級(jí)數(shù)據(jù)信息加密（2）多級(jí)數(shù)據(jù)信息加密

信息的完整性

消息認(rèn)證：消息接收者能確定消息來(lái)源于被指定的發(fā)送者消息是發(fā)送給預(yù)期的接收者消息內(nèi)容是完整可信的，即在傳輸過(guò)程中沒(méi)有被修改或替換消息的序號(hào)和時(shí)間性數(shù)字簽名：網(wǎng)絡(luò)服務(wù)中的身份驗(yàn)證，消息接收者能確定接收方能確認(rèn)信息確實(shí)來(lái)自指定的發(fā)送者發(fā)送者不能否認(rèn)所發(fā)信息的內(nèi)容接收者不能偽造信息內(nèi)容

Internet中使用的密碼技術(shù)

E-mail安全與PGP：

PGP是一種E-mail安全的免費(fèi)軟件，實(shí)現(xiàn)的安全機(jī)制有：數(shù)字簽名、密鑰管理、加密和完整性，它提供安全服務(wù)有：保密性、信息來(lái)源證明、信息完整性、信息來(lái)源的無(wú)法否認(rèn)Web安全中的密碼技術(shù)：SSL：是建立在TCP/IP協(xié)議之上的提供客戶機(jī)和服務(wù)器雙方網(wǎng)絡(luò)應(yīng)用通信的開(kāi)放協(xié)議，它由SSL記錄協(xié)議和SSL握手協(xié)議組成。SSL握手協(xié)議在SSL記錄協(xié)議發(fā)送數(shù)據(jù)之前建立安全機(jī)制，包括認(rèn)證、數(shù)據(jù)加密和數(shù)據(jù)完整性。實(shí)現(xiàn)通信雙方之間認(rèn)證、連接的保密性、數(shù)據(jù)完整性、數(shù)據(jù)源點(diǎn)認(rèn)證等安全服務(wù)SHTTP是增強(qiáng)HTTP安全的一種新協(xié)議，即將成為一項(xiàng)新的IETF標(biāo)準(zhǔn)（RFC）。密鑰管理與分配

密碼系統(tǒng)的安全強(qiáng)度在很大程度上取決于密鑰分配技術(shù)，密鑰分配可通過(guò)四種方法獲得：兩者之間通過(guò)人工方法直接傳遞由可信任的第三方通過(guò)秘密通道把密鑰分別傳遞給通信雙方通過(guò)用舊密鑰加密新密鑰進(jìn)行密鑰的傳遞最后一種方法需要使用一個(gè)可信任的密鑰分配中心KDC，由KDC決定密鑰的分配：KDC結(jié)構(gòu)中定義了兩種密鑰：會(huì)話密鑰：用于兩個(gè)端系統(tǒng)（主機(jī)、終端）進(jìn)行會(huì)話連接時(shí)的一次性密鑰永久性密鑰：是網(wǎng)絡(luò)系統(tǒng)中每一個(gè)端系統(tǒng)和KDC共享的密鑰，它用于分配會(huì)話密鑰Kerberos認(rèn)證協(xié)議：分布式Client/Server計(jì)算環(huán)境提供的認(rèn)證機(jī)制，它通過(guò)認(rèn)證服務(wù)器AS和許可證服務(wù)器TGS完成對(duì)請(qǐng)求服務(wù)用戶的認(rèn)證和授權(quán)，認(rèn)證和授權(quán)的完成是基于KerberosKDC庫(kù)。第3節(jié)防御技術(shù)

防火墻概念

防火墻是位于兩個(gè)(或多個(gè))網(wǎng)絡(luò)間，實(shí)施網(wǎng)間訪問(wèn)控制的一組組件的集合，它滿足以下條件：內(nèi)部和外部之間的所有網(wǎng)絡(luò)數(shù)據(jù)流必須經(jīng)過(guò)防火墻只有符合安全策略的數(shù)據(jù)流才能通過(guò)防火墻防火墻自身應(yīng)對(duì)滲透免疫防火墻通常被比喻為網(wǎng)絡(luò)安全的大門(mén)，用來(lái)鑒別什么樣的數(shù)據(jù)包可以進(jìn)出企業(yè)內(nèi)部網(wǎng)。在應(yīng)對(duì)黑客入侵方面，可以阻止基于IP包頭的攻擊和非信任地址的訪問(wèn)。但防火墻無(wú)法阻止和檢測(cè)基于數(shù)據(jù)內(nèi)容的黑客攻擊和病毒入侵，同時(shí)也無(wú)法控制內(nèi)部網(wǎng)絡(luò)之間的違規(guī)行為防火墻技術(shù)

設(shè)計(jì)策略：服務(wù)訪問(wèn)策略：特定于一個(gè)出口，定義受保護(hù)網(wǎng)絡(luò)中哪些服務(wù)是允許的，哪些服務(wù)是明確禁止的，服務(wù)是怎樣被使用的等實(shí)施策略：描述防火墻實(shí)施中是怎樣體服務(wù)訪問(wèn)策略，即怎樣去限制訪問(wèn)和過(guò)濾服務(wù)包過(guò)濾技術(shù)：用于控制哪些數(shù)據(jù)報(bào)可以進(jìn)出網(wǎng)絡(luò)而那些數(shù)據(jù)報(bào)應(yīng)被網(wǎng)絡(luò)拒絕應(yīng)用網(wǎng)關(guān)：運(yùn)行代理服務(wù)的主機(jī)稱(chēng)為應(yīng)用網(wǎng)關(guān)，這些程序根據(jù)預(yù)先制定的安全規(guī)則將用戶對(duì)外部網(wǎng)的服務(wù)請(qǐng)求向外提交、轉(zhuǎn)發(fā)外部網(wǎng)對(duì)內(nèi)部網(wǎng)用戶的訪問(wèn)。代理服務(wù)替代了用戶和外部網(wǎng)的聯(lián)接防火墻結(jié)構(gòu)

包過(guò)濾防火墻:在Internet連接處安裝包過(guò)濾路由器，在路由器中配置包過(guò)濾規(guī)則來(lái)阻塞或過(guò)濾報(bào)文的協(xié)議和地址雙宿主網(wǎng)關(guān)防火墻：由一個(gè)帶有兩個(gè)網(wǎng)絡(luò)接口的主機(jī)系統(tǒng)組成過(guò)濾主機(jī)防火墻：由一個(gè)包過(guò)濾路由器和一個(gè)位于路由器旁邊保護(hù)子網(wǎng)的應(yīng)用網(wǎng)關(guān)組成過(guò)濾子網(wǎng)防火墻：在一個(gè)分割的系統(tǒng)上放置防火墻的每一個(gè)組件，每一個(gè)組件僅需實(shí)現(xiàn)一個(gè)特定任務(wù)，該結(jié)構(gòu)中兩個(gè)路由器用來(lái)創(chuàng)建一個(gè)內(nèi)部的、過(guò)濾子網(wǎng)，這個(gè)子網(wǎng)（有時(shí)稱(chēng)為非軍事區(qū)DMZ）包含應(yīng)用網(wǎng)關(guān)、信息服務(wù)器、Modem池等MODEM池：對(duì)通過(guò)MODEM撥號(hào)訪問(wèn)進(jìn)行集中保護(hù)第4節(jié)虛擬專(zhuān)用網(wǎng)

虛擬專(zhuān)用網(wǎng)

適合擁有眾多地理分散分支機(jī)構(gòu)的大型企業(yè)和公司，它們選擇基于電信服務(wù)商提供的公眾網(wǎng)建立虛擬的專(zhuān)用網(wǎng)VPN。VPN專(zhuān)指基于公眾網(wǎng)絡(luò)，構(gòu)建一個(gè)安全的、可靠的和可管理的商業(yè)間通信的通道。采用IP通道技術(shù)的VPN服務(wù)是一種新的VPN服務(wù)概念，即Extranet。在基于IP通道技術(shù)的VPN服務(wù)中，安全加密是VPN主要需要解決的問(wèn)題PPTP協(xié)議即點(diǎn)對(duì)點(diǎn)的通道協(xié)議：建立數(shù)據(jù)包的傳送隧道。L2F協(xié)議：是Cisco公司提出，它發(fā)展為L(zhǎng)2TP協(xié)議。IPSec：是IETF支持的標(biāo)準(zhǔn)之一。它和前兩種不同之處在于IP層的加密，提供了對(duì)私用地址、身份認(rèn)證、密碼管理等功能，得到眾多廠家的支持。

虛擬專(zhuān)用網(wǎng)示意圖公眾網(wǎng)密文明文明文明文總部分部第5節(jié)審計(jì)與監(jiān)控技術(shù)審計(jì)和監(jiān)控的準(zhǔn)則

審計(jì)是對(duì)系統(tǒng)內(nèi)部進(jìn)行監(jiān)視、審查，識(shí)別系統(tǒng)是否正在受到攻擊或機(jī)密信息是否受到非法訪問(wèn)，如發(fā)現(xiàn)問(wèn)題后則采取相應(yīng)措施，其主要依據(jù)十是“信息技術(shù)安全性評(píng)估通用準(zhǔn)則2.0版”認(rèn)證和授權(quán)機(jī)制的使用：對(duì)保護(hù)的對(duì)象或?qū)嶓w的合法或企圖非法訪問(wèn)進(jìn)行記錄增加、刪除和修改對(duì)象：記錄對(duì)已利用安全服務(wù)對(duì)象的改變或刪除操作計(jì)算機(jī)操作員、系統(tǒng)管理員、系統(tǒng)安全人員采取的與安全相關(guān)的行動(dòng)：保持一個(gè)特權(quán)人員完成動(dòng)作的記錄識(shí)別訪問(wèn)事件和它的行動(dòng)者：識(shí)別每次訪問(wèn)事件的起始和結(jié)束時(shí)間及其行動(dòng)者識(shí)別例外條件：在事務(wù)的兩次處理其間，識(shí)別探測(cè)到的安全相關(guān)的例外條件利用密碼變量：記錄密鑰的使用、生成和消除改變分布環(huán)境中單元的配置：保持相關(guān)服務(wù)器的軌跡任何企圖陷害、攻擊或闖入（不管成功與否）安全機(jī)制的事件審計(jì)和監(jiān)控的結(jié)構(gòu)

安全審計(jì)系統(tǒng)可有四部分組成：審計(jì)節(jié)點(diǎn)，審計(jì)工作站，審計(jì)信息和審計(jì)協(xié)議。審計(jì)節(jié)點(diǎn)：網(wǎng)上的重要設(shè)備（服務(wù)器，路由器，客戶機(jī)等），每個(gè)節(jié)點(diǎn)運(yùn)行一個(gè)審計(jì)代理軟件，它對(duì)設(shè)備的運(yùn)行情況進(jìn)行監(jiān)視和審計(jì)，產(chǎn)生日志文件審計(jì)工作站：運(yùn)行特殊審計(jì)軟件的通用/專(zhuān)用計(jì)算機(jī)。包含一個(gè)或多個(gè)進(jìn)程，實(shí)現(xiàn)與網(wǎng)上審計(jì)節(jié)點(diǎn)的通信審計(jì)信息和審計(jì)協(xié)議：描述審計(jì)代理存儲(chǔ)的審計(jì)信息格式和傳輸規(guī)則。審計(jì)系統(tǒng)包含的主要技術(shù)

信息捕捉與還原：有效信息識(shí)別規(guī)則的制定和實(shí)現(xiàn)以及智能匹配實(shí)時(shí)、非抵賴(lài)的審計(jì)智能分析技術(shù)

IDS系統(tǒng)

IDS(入侵檢測(cè)系統(tǒng)）與防火墻不同，它并不介于網(wǎng)絡(luò)段之間，而是設(shè)計(jì)用于在單個(gè)域中隱式地運(yùn)行。它能夠及時(shí)捕獲所有網(wǎng)上的傳輸，把這些信息讀入內(nèi)存，由系統(tǒng)與已知的一些典型攻擊性分組比較。IDS一般由驅(qū)動(dòng)引擎和控制臺(tái)兩大部分組成：驅(qū)動(dòng)引擎用于捕獲和分析網(wǎng)絡(luò)傳輸控制臺(tái)用于管理各驅(qū)動(dòng)引擎并發(fā)出有關(guān)報(bào)告。根據(jù)系統(tǒng)所采用的檢測(cè)模型，可以將IDS分為3類(lèi):異常檢測(cè)濫用檢測(cè)混合檢測(cè)第6節(jié)計(jì)算機(jī)病毒

計(jì)算機(jī)病毒的定義

計(jì)算機(jī)病毒一種能對(duì)計(jì)算機(jī)系統(tǒng)造成不同程度損害的計(jì)算機(jī)程序。計(jì)算機(jī)病毒是一段很小的計(jì)算機(jī)程序，它是一種會(huì)不斷自我復(fù)制及感染的程序。在傳統(tǒng)的DOS環(huán)境下，通常它會(huì)寄存在可執(zhí)行的文件之中，或者是軟盤(pán)、硬盤(pán)的引導(dǎo)區(qū)部分。病毒隨著被感染程序由作業(yè)系統(tǒng)裝入內(nèi)存而同時(shí)執(zhí)行，因此獲得系統(tǒng)的控制權(quán)。但在Windows視窗系統(tǒng)出現(xiàn)的宏病毒則是附加在文檔中，且其感染之對(duì)象一般亦只限于文檔。

計(jì)算機(jī)病毒的分類(lèi)

可以按照病毒存在的媒體、病毒破壞的能力和病毒特有的算法對(duì)病毒進(jìn)行不同的分類(lèi)：根據(jù)病毒存在的媒體，病毒可以劃分為網(wǎng)絡(luò)病毒、文件病毒、引導(dǎo)型病毒。根據(jù)病毒破壞的能力，病毒可以劃分為無(wú)害型、無(wú)危險(xiǎn)型、危險(xiǎn)型以及非常危險(xiǎn)型。根據(jù)病毒特有的算法，病毒可以劃分為伴隨型病毒、“蠕蟲(chóng)”型