版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)
文檔簡介
網(wǎng)絡(luò)信息系統(tǒng)技術(shù)安全與防范
關(guān)鍵字:信息系統(tǒng)信息安全身份認(rèn)證安全檢測(cè)一、目前信息系統(tǒng)技術(shù)安全的研究1.信息安全現(xiàn)狀分析隨著信息化進(jìn)程的深入,信息安全己經(jīng)引起人們的重視,但依然存在不少問題。一是安全技術(shù)保障體系尚不完善,許多企業(yè)、單位花了大量的金錢購買了信息安全設(shè)備,但是技術(shù)保障不成體系,達(dá)不到預(yù)想的目標(biāo):二是應(yīng)急反應(yīng)體系沒有經(jīng)?;?、制度化:三是企業(yè)、單位信息安全的標(biāo)準(zhǔn)、制度建設(shè)滯后。2003年5月至2004年5月,在7072家被調(diào)查單位中有4057家單位發(fā)生過信息網(wǎng)絡(luò)安全事件,占被調(diào)查總數(shù)的58%。其中,發(fā)生過1次的占總數(shù)的22%,2次的占13%,3次以上的占23%,此外,有7%的調(diào)查對(duì)象不清楚是否發(fā)生過網(wǎng)絡(luò)安全事件。從發(fā)生安全事件的類型分析,遭受計(jì)算機(jī)病毒、蠕蟲和木馬程序破壞的情況最為突出,占安全事件總數(shù)的79%,其次是垃圾郵件,占36%,拒絕服務(wù)、端口掃描和篡改網(wǎng)頁等網(wǎng)絡(luò)攻擊情況也比較突出,共占到總數(shù)的43%.調(diào)查結(jié)果表明,造成網(wǎng)絡(luò)安全事件發(fā)生的主要原因是安全管理制度不落實(shí)和安全防范意識(shí)薄弱。其中,由于未修補(bǔ)或防范軟件漏洞導(dǎo)致發(fā)生安全事件的占安全事件總數(shù)的“%,登錄密碼過于簡單或未修改密碼導(dǎo)致發(fā)生安全事件的占19%.對(duì)于網(wǎng)絡(luò)安全管理情況的調(diào)查:調(diào)查表明,近年來,使用單位對(duì)信息網(wǎng)絡(luò)安全管理工作的重視程度普遍提高,80%的被調(diào)查單位有專職或兼職的安全管理人員,12%的單位建立了安全組織,有2%的單位請(qǐng)信息安全服務(wù)企業(yè)提供專業(yè)化的安全服務(wù)。調(diào)查表明,認(rèn)為單位信息網(wǎng)絡(luò)安全防護(hù)能力“較高”和“一般”的比較多,分別占44%。但是,被調(diào)查單位也普遍反映用戶安全觀念薄弱、安全管理員缺乏培訓(xùn)、安全經(jīng)費(fèi)投入不足和安全產(chǎn)品不能滿足要求等問題,也說明目前安全管理水平和社會(huì)化服務(wù)的程度還比較低。2.企業(yè)信息安全防范的任務(wù)信息安全的任務(wù)是多方面的,根據(jù)當(dāng)前信息安全的現(xiàn)狀,制定信息安全防范的任務(wù)主要是:從安全技術(shù)上,進(jìn)行全面的安全漏洞檢測(cè)和分析,針對(duì)檢測(cè)和分析的結(jié)果制定防范措施和完整的解決方案;正確配置防火墻、網(wǎng)絡(luò)防病毒軟件、入侵檢測(cè)系統(tǒng)、建立安全認(rèn)證系統(tǒng)等安全系統(tǒng)。從安全管理上,建立和完善安全管理規(guī)范和機(jī)制,切實(shí)加強(qiáng)和落實(shí)安全管理制度,增強(qiáng)安全防范意識(shí)。信息安全防范要確保以下幾方面的安全。網(wǎng)絡(luò)安全:保障各種網(wǎng)絡(luò)資源(資源、實(shí)體、載體)穩(wěn)定可靠地運(yùn)行、受控合法地使用。信息安全:保障存儲(chǔ)、傳輸、應(yīng)用的機(jī)密性(Confidentiality)、完整性(Integrity)、抗否認(rèn)性(non-Repudiation),可用性(Availability)。其他安全:病毒防治、預(yù)防內(nèi)部犯罪。二、信息系統(tǒng)常見技術(shù)安全漏洞與技術(shù)安全隱患每個(gè)系統(tǒng)都有漏洞,不論你在系統(tǒng)安全性上投入多少財(cái)力,攻擊者仍然可以發(fā)現(xiàn)一些可利用的特征和配置缺陷。發(fā)現(xiàn)一個(gè)已知的漏洞,遠(yuǎn)比發(fā)現(xiàn)一個(gè)未知漏洞要容易的多,這就意味著:多數(shù)攻擊者所利用的都是常見的漏洞。這樣的話,采用適當(dāng)?shù)墓ぞ?,就能在黑客利用這些常見漏洞之前,查出網(wǎng)絡(luò)的薄弱之處。漏洞大體上分為以下幾大類:(1)權(quán)限攻擊。攻擊者無須一個(gè)賬號(hào)登錄到本地直接獲得遠(yuǎn)程系統(tǒng)的管理員權(quán)限,通常通過攻擊以root身份執(zhí)行的有缺陷的系統(tǒng)守護(hù)進(jìn)程來完成。漏洞的絕大部分來源于緩沖區(qū)溢出,少部分來自守護(hù)進(jìn)程本身的邏輯缺陷。(2)讀取受限文件。攻擊者通過利用某些漏洞,讀取系統(tǒng)中他應(yīng)該沒有權(quán)限的文件,這些文件通常是安全相關(guān)的。這些漏洞的存在可能是文件設(shè)置權(quán)限不正確,或者是特權(quán)進(jìn)程對(duì)文件的不正確處理和意外dumpcore使受限文件的一部份dump到了core文件中.(3)拒絕服務(wù)。攻擊者利用這類漏洞,無須登錄即可對(duì)系統(tǒng)發(fā)起拒絕服務(wù)攻擊,使系統(tǒng)或相關(guān)的應(yīng)用程序崩潰或失去響應(yīng)能力。這類漏洞通常是系統(tǒng)本身或其守護(hù)進(jìn)程有缺陷或設(shè)置不正確造成的。(4)口令恢復(fù)。因?yàn)椴捎昧撕苋醯目诹罴用芊绞?,使攻擊者可以很容易的分析出口令的加密方法,從而使攻擊者通過某種方法得到密碼后還原出明文來。(5)服務(wù)器信息泄露。利用這類漏洞,攻擊者可以收集到對(duì)于進(jìn)一步攻擊系統(tǒng)有用的信息。這類漏洞的產(chǎn)生主要是因?yàn)橄到y(tǒng)程序有缺陷,一般是對(duì)錯(cuò)誤的不正確處理。漏洞的存在是個(gè)客觀事實(shí),但漏洞只能以一定的方式被利用,每個(gè)漏洞都要求攻擊處于網(wǎng)絡(luò)空間一個(gè)特定的位置,因此按攻擊的位置劃分,可能的攻擊方式分為以下四類:物理接觸、主機(jī)模式、客戶機(jī)模式、中間人方式。三、信息系統(tǒng)的安全防范措施1.防火墻技術(shù)防火墻技術(shù)是建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù),越來越多地應(yīng)用于專用網(wǎng)絡(luò)與公用網(wǎng)絡(luò)的互聯(lián)環(huán)境之中,尤其以接入Internet網(wǎng)絡(luò)為甚。防火墻是指設(shè)置在不同網(wǎng)絡(luò)(如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng))或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口,能根據(jù)企業(yè)的安全政策控制(允許、拒絕、監(jiān)測(cè))出入網(wǎng)絡(luò)的信息流,且本身具有較強(qiáng)的抗攻擊能力。它是提供信息安全服務(wù),實(shí)現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。在邏輯上,防火墻是一個(gè)分離器,一個(gè)限制器,也是一個(gè)分析器,有效地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動(dòng),保證了內(nèi)部網(wǎng)絡(luò)的安全。防火墻是網(wǎng)絡(luò)安全的屏障:一個(gè)防火墻(作為阻塞點(diǎn)、控制點(diǎn))能極大地提高一個(gè)內(nèi)部網(wǎng)絡(luò)的安全性,并通過過濾不安全的服務(wù)而降低風(fēng)險(xiǎn)。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻,所以網(wǎng)絡(luò)環(huán)境變得更安全。防火墻可以強(qiáng)化網(wǎng)絡(luò)安全策略:通過以防火墻為中心的安全方案配置,能將所有安全軟件(如口令、加密、身份認(rèn)證、審計(jì)等)配置在防火墻上。對(duì)網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計(jì):如果所有的訪問都經(jīng)過防火墻,那么,防火墻就能記錄下這些訪問并做出日志記錄,同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)。防止內(nèi)部信息的外泄:通過利用防火墻對(duì)內(nèi)部網(wǎng)絡(luò)的劃分,可實(shí)現(xiàn)內(nèi)部網(wǎng)重點(diǎn)網(wǎng)段的隔離,從而限制了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問題對(duì)全局網(wǎng)絡(luò)造成的影響。除了安全作用,有的防火墻還支持具有Internet服務(wù)特性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系VPN。通過VPN,將企事業(yè)單位在地域上分布在全世界各地的LAN或?qū)S米泳W(wǎng),有機(jī)地聯(lián)成一個(gè)整體。不僅省去了專用通信線路,而且為信息共享提供了技術(shù)保障。防火墻技術(shù)可根據(jù)防范的方式和側(cè)重點(diǎn)的不同而分為很多種類型,但總體來講可分為二大類:分組過濾、應(yīng)用代理。2.入侵檢測(cè)技術(shù)IETF將一個(gè)入侵檢測(cè)系統(tǒng)分為四個(gè)組件:事件產(chǎn)生器(EventGenerators);事件分析器(EventAnalyzers);響應(yīng)單元(ResponseUnits)和事件數(shù)據(jù)庫(EventDataBases)。事件產(chǎn)生器的目的是從整個(gè)計(jì)算環(huán)境中獲得事件,并向系統(tǒng)的其他部分提供此事件。事件分析器分析得到的數(shù)據(jù),并產(chǎn)生分析結(jié)果。響應(yīng)單元?jiǎng)t是對(duì)分析結(jié)果做出反應(yīng)的功能單元,它可以做出切斷連接、改變文件屬性等強(qiáng)烈反應(yīng),也可以只是簡單的報(bào)警。事件數(shù)據(jù)庫是存放各種中間和最終數(shù)據(jù)的地方的統(tǒng)稱,它可以是復(fù)雜的數(shù)據(jù)庫,也可以是簡單的文本文件。根據(jù)檢測(cè)對(duì)象的不同,入侵檢測(cè)系統(tǒng)可分為主機(jī)型和網(wǎng)絡(luò)型?;谥鳈C(jī)的監(jiān)測(cè)。主機(jī)型入侵檢測(cè)系統(tǒng)就是以系統(tǒng)日志、應(yīng)用程序日志等作為數(shù)據(jù)源,當(dāng)然也可以通過其他手段(如監(jiān)督系統(tǒng)調(diào)用)從所在的主機(jī)收集信息進(jìn)行分析。主機(jī)型入侵檢測(cè)系統(tǒng)保護(hù)的一般是所在的系統(tǒng)。這種系統(tǒng)經(jīng)常運(yùn)行在被監(jiān)測(cè)的系統(tǒng)之上,用以監(jiān)測(cè)系統(tǒng)上正在運(yùn)行的進(jìn)程是否合法。最近出現(xiàn)的一種ID(IntrusionDetection):位于操作系統(tǒng)的內(nèi)核之中并監(jiān)測(cè)系統(tǒng)的最底層行為。所有這些系統(tǒng)最近已經(jīng)可以被用于多種平臺(tái)。網(wǎng)絡(luò)型入侵檢測(cè)。它的數(shù)據(jù)源是網(wǎng)絡(luò)上的數(shù)據(jù)包。往往將一臺(tái)機(jī)子的網(wǎng)卡設(shè)于混雜模式(PromiseMode),對(duì)所有本網(wǎng)段內(nèi)的數(shù)據(jù)包并進(jìn)行信息收集,并進(jìn)行判斷。一般網(wǎng)絡(luò)型入侵檢測(cè)系統(tǒng)擔(dān)負(fù)著保護(hù)整個(gè)網(wǎng)段的任務(wù)。3.認(rèn)證中心(CA)與數(shù)字證書互聯(lián)網(wǎng)的發(fā)展和信息技術(shù)的普及給人們的工作和生活帶來了前所未有的便利。然而,由于互聯(lián)網(wǎng)所具有的廣泛性和開放性,決定了互聯(lián)網(wǎng)不可避免地存在著信息安全隱患。為了防范信息安全風(fēng)險(xiǎn),許多新的安全技術(shù)和規(guī)范不斷涌現(xiàn),PKI(PublicKeyInfrastructure,公開密鑰基礎(chǔ)設(shè)施)即是其中一員。PKI是在公開密鑰理論和技術(shù)基礎(chǔ)上發(fā)展起來的一種綜合安全平臺(tái),能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用透明地提供采用加密和數(shù)字簽名等密碼服務(wù)所必需的密鑰和證書管理,從而達(dá)到保證網(wǎng)上傳遞信息的安全、真實(shí)、完整和不可抵賴的目的。利用PKI可以方便地建立和維護(hù)一個(gè)可信的網(wǎng)絡(luò)計(jì)算環(huán)境,從而使得人們?cè)谶@個(gè)無法直接相互面對(duì)的環(huán)境里,能夠確認(rèn)彼此的身份和所交換的信息,能夠安全地從事商務(wù)活動(dòng)。目前,PKI技術(shù)己趨于成熟,其應(yīng)用已覆蓋了從安全電子郵件、虛擬專用網(wǎng)絡(luò)(VPN),Web交互安全到電子商務(wù)、電子政務(wù)、電子事務(wù)安全的眾多領(lǐng)域,許多企業(yè)和個(gè)人已經(jīng)從PKI技術(shù)的使用中獲得了巨大的收益。在PKI體系中,CA(CertificateAuthority,認(rèn)證中心)和數(shù)字證書是密不可分的兩個(gè)部分。認(rèn)證中心又叫CA中心,它是負(fù)責(zé)產(chǎn)生、分配并管理數(shù)字證書的可信賴的第三方權(quán)威機(jī)構(gòu)。認(rèn)證中心是PKI安全體系的核心環(huán)節(jié),因此又稱作PKI/CA。認(rèn)證中心通常采用多層次的分級(jí)結(jié)構(gòu),上級(jí)認(rèn)證中心負(fù)責(zé)簽發(fā)和管理下級(jí)認(rèn)證中心的證書,最下一級(jí)的認(rèn)證中心直接面向最終用戶。數(shù)字證書,又叫“數(shù)字身份證”、“數(shù)字ID”,是由認(rèn)證中心發(fā)放并經(jīng)認(rèn)證中心數(shù)字簽名的,包含公開密鑰擁有者以及公開密鑰相關(guān)信息的一種電子文件,可以用來證明數(shù)字證書持有者的真實(shí)身份。4.身份認(rèn)證身份認(rèn)證是指計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)確認(rèn)操作者身份的過程。我們熟悉的如防火墻、入侵檢測(cè)、VPN、安全網(wǎng)關(guān)、安全目錄等,與身份認(rèn)證系統(tǒng)有什么區(qū)別和聯(lián)系呢?我們從這些安全產(chǎn)品實(shí)現(xiàn)的功能來分析就明白了:防火墻保證了未經(jīng)授權(quán)的用戶無法訪問相應(yīng)的端口或使用相應(yīng)的協(xié)議;入侵檢測(cè)系統(tǒng)能夠發(fā)現(xiàn)未經(jīng)授權(quán)用戶攻擊系統(tǒng)的企圖;VPN在公共網(wǎng)絡(luò)上建立一個(gè)經(jīng)過加密的虛擬的專用通道供經(jīng)過授權(quán)的用戶使用;安全網(wǎng)關(guān)保證了用戶無法進(jìn)入未經(jīng)授權(quán)的網(wǎng)段,安全目錄保證了授權(quán)用戶能夠?qū)Υ鎯?chǔ)在系統(tǒng)中的資源迅速定位和訪問。這些安全產(chǎn)品實(shí)際上都是針對(duì)用戶數(shù)字身份的權(quán)限管理,他們解決了哪個(gè)數(shù)字身份對(duì)應(yīng)能干什么的問題。而身份認(rèn)證解決了用戶的物理身份和數(shù)字身份相對(duì)應(yīng)的問題,給他們提供了權(quán)限管理的依據(jù)。從木桶理論來看,這些安全產(chǎn)品就是組成木桶的一塊塊木板,則整個(gè)系統(tǒng)的安全性取決于最短的一塊木板。這些模塊在不同的層次上阻止了未經(jīng)授權(quán)的用戶訪問系統(tǒng),這些授權(quán)的對(duì)象都是用戶的數(shù)字身份。而身份認(rèn)證模塊就相當(dāng)于木桶的桶底,由它來保證物理身份和數(shù)字身份的統(tǒng)一,如果桶底是漏的,那桶壁上的木板再長也沒有用。因此,身份認(rèn)證是整個(gè)信息安全體系最基礎(chǔ)的環(huán)節(jié),身份安全是信息安全的基礎(chǔ)。目前常見的身份認(rèn)證方式主要有三種,第一種是使用用戶名加口令的方式,這時(shí)是最常見的,但這也是最原始、最不安全的身份確認(rèn)方式,非常容易由于外部泄漏等原因或通過口令猜測(cè)、線路竊聽、重放攻擊等手段導(dǎo)致合法用戶身份被偽造;第二種是生物特征識(shí)別技術(shù)(包括指紋、聲音、手跡、虹膜等),該技術(shù)以人體唯一的生物特征為依據(jù),具有很好的安全性和有效性,但實(shí)現(xiàn)的技術(shù)復(fù)雜,技術(shù)不成熟,實(shí)施成本昂貴,在應(yīng)用推廣中不具有現(xiàn)實(shí)意義;第三種也是現(xiàn)在電子政務(wù)和電子商務(wù)領(lǐng)域最流行的身份認(rèn)證方式——基于USBKey的身份認(rèn)證。四、結(jié)語隨著計(jì)算機(jī)技術(shù)和通信技術(shù)的發(fā)展,信息系統(tǒng)將日益成為企業(yè)的重要信息交換手段。因此,認(rèn)清信息系統(tǒng)的脆弱性和潛在威脅,采取必要的安全策略,對(duì)于保障信息系統(tǒng)的安全性將十分重要。同時(shí),信息系統(tǒng)技術(shù)目前正處于蓬勃發(fā)展的階段,新技術(shù)層出不窮,其中也不可避免的存在一些漏洞,因此,進(jìn)行信息系統(tǒng)安全防范要不斷追蹤新技術(shù)的應(yīng)用情況,及時(shí)升級(jí)、完善自身的防御措施。五、參考文獻(xiàn)[1]賈晶,陳元,王麗娜編著,信息系統(tǒng)的安全與保密,第一版,1999.01,清華大學(xué)出版社[2]EricMaiwald,Wi1liEducation,SecurityPlanning&DisasterRecovery,2003,Posts&TelecommunicationsPress,PP.86-94[3]程勝利,談冉,熊文龍,程煌,計(jì)算機(jī)病毒及其防治技術(shù),2004.09,清華大學(xué)出版社[4]張小磊,計(jì)算機(jī)病毒診斷與防治,2003,中國環(huán)境科學(xué)出版社[5]東軟集團(tuán)有限公司,NetEye防火墻使用指南3.0,1-3[6]段鋼,加密與解密,第二版,2004.01,電子工
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。
最新文檔
- 小學(xué)生消防演練課
- 超星食品安全組日常飲食
- 部編版八年級(jí)地理上冊(cè)第三章第一節(jié)《自然資源的基本特征》課件
- 放射性皮炎的護(hù)理重點(diǎn)
- 1.1 物質(zhì)結(jié)構(gòu)研究的內(nèi)容課件高二上學(xué)期化學(xué)蘇教版(2019)選擇性必修第二冊(cè)
- 彩虹教案反思
- 虎和兔說課稿
- 函數(shù)的說課稿
- 產(chǎn)科科室護(hù)理一級(jí)質(zhì)控
- 被針刺傷應(yīng)急演練
- 家鄉(xiāng)介紹山東日照概述課件
- 基于Android的天氣預(yù)報(bào)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)
- 企業(yè)和銀行合作情況報(bào)告
- (完整)中醫(yī)癥候積分量表
- 小學(xué)奧數(shù) 等量代換(含答案)
- 小學(xué)科學(xué)教師基本功大賽試題匯總
- 武漢理工大學(xué)土力學(xué)與基礎(chǔ)工程(新)考試答案
- 《敘事療法案例》課件
- 物聯(lián)網(wǎng)技術(shù)在軍事上的應(yīng)用與現(xiàn)代戰(zhàn)爭教案
- 科技暢想未來主題班會(huì) 課件
- 《員工心理健康》課件
評(píng)論
0/150
提交評(píng)論