网络及信息系统安全现状及体系基础.ppt

网络与信息系统安全现状及体系基础,刘春林,目 录,1信息安全发展和现状2信息安全定义3 网络安全事件及其分析4 信息安全特征5 信息安全层次和结构6 信息与网络安全组件,安全威胁触目惊心,根据公安部一份信息网络安全状况调查显示，在被调查的7072家政府、金融证券、教育科研、电信、广电、能源交通、国防和商贸企业等信息网络中，发生网络安全事件的比例为58。其中，计算机病毒、蠕虫和木马程序造成的安全事件占发生安全事件单位总数的79，拒绝服务、端口扫描和篡改网页等网络攻击事件占43，大规模垃圾邮件传播造成的安全事件占36。特别地，计算机病毒的感染率为87.9，比上一年增加了2。上述调查对象都是国内信息安全投入比较高的大行业，防火墙、入侵检测、防病毒等常见安全产品基本都已部署，但仍然遭受了触目惊心的安全危害。就像“911”之后的美国，人们突然发现，以前大家对安全问题的看法已经不适合新形势的需要了，原本人们认为固若金汤的美国本土，被新的攻击手段炸得千疮百孔。目前的互联网和网络安全部署大家原本很乐观，但上面列举的这些触目惊心的危害清楚地表明，在层出不穷的攻击手段面前，我们的网络安全保护措施已经落后了。,安全威胁触目惊心,在2007年1月举行的达沃斯世界经济论坛上，与会者不但讨论了全球经济问题和气候变暖的问题，而且也首次触及了网络安全问题。参与这项话题讨论的既有政治家也有著名的IT界人士。全球网络概念的开发者文森特.瑟弗表示，再接入互联网的6亿台计算机中，其中有1.5亿台左右都已成为会客的“俘虏”，并被用来发送垃圾邮件、病毒和组织网络攻击行动。然而更令人不安的是这1.5亿台计算机使用者经常无法意识到他们的机器正被别人非法利用着。参加达沃斯论坛的住家们甚至指出，互联网目前造成的危险已经超出它所带来的好处。根据美国联邦调查局（FBI）的调查，美国每年因网络安全造成的损失超过170亿美元。75%的公司报告，指出经济损失是由于网络系统的安全造成的。50%的安全威胁来自内部。,我国信息安全发展和现状,技术防御整体水平有待提高各类安全威胁与风险几大安全现状和威胁计算机网络系统使用的软、硬件缺乏保护信息安全所必不可少的有效管理和技术改造全社会的信息安全意识虽然有所提高，但将其提到实际日程中来依然很少国内很多公司在遭到攻击后，为名誉起见往往并不积极追究黑客法律责任目前关于网络犯罪的法律还不健全我国信息安全人才培养还远远不能满足需要,信息安全的意义和重要性,以信息化带动工业化，以工业化促进信息化，从而发挥后发优势，实现生产力的跨越式发展以信息化带动工业化分为三个层面上意义：第一、信息化有助于工业企业经营理念的更新和升 级；第二、信息化有助于整合企业内部资源，提高劳动生产率，降低劳动成本；第三、信息化有助于工业企业广泛参与社会分工 和适应新的国际经济体系；,信息安全的未来发展趋势,人类一直在尝试努力研制人工智能，生物技术与遗传学理论天翻地覆的革命，相信人类物种进化停滞不前的现状不会太长久了。遗传工程及其它生物技术的进步将可以使一种生物拥有更高的能力和更长的寿命，从而可以为自己制造出更聪明、更强壮的宇航员。不仅如此，随着技术的进步，人工智能机器人完全有可能和人结合起来，人工智能机器可以从人类身上吸取某些“灵气”，而我们人类自身经过长时间与机器相处，将会模糊生物性与机械性之间的界限，因此未来的人将不再是和现在一样的纯粹的生物性的人。其实，人类现在已经在这方面显现一些机械性的苗头了：如在心脏里植入心脏启勃器，在大脑中植入某种芯片等。未来的人也许应该改一个名字了，那就是“电子人”。在更远一点的将来，人类甚至可以将自己的意识下载到所制造的智能机器里面，使那些“粘乎乎”的生物永生不老，甚至变成“超人”。,网络通常面临的三个脆弱性,行为管理脆弱性网络配置脆弱性技术脆弱性,从几个方面来考虑安全,本质上讲：保护网络系统的硬件，软件，数据防止系统和数据遭受破坏，更改，泄露保证系统连续可靠正常地运行，服务不中断广义上讲：领域涉及到网络信息的保密性，完整性，可用性，真实性，可控性的相关技术和理论两个方面：技术方面防止外部用户的非法入侵 管理方面内部员工的教育和管理 提高人员的安全意识,信息安全定义,网络安全事件及分析,信息安全事件及其分析,入侵系统的常用步骤,信息安全事件及其分析,较高明的入侵步骤,信息安全事件及其分析,被黑的WEB页面,信息安全事件及其分析,案例一：某电子商务网站,主服务器遭到黑客攻击后瘫痪在启用备份服务器后，数据大部分被删除有Juniper防火墙，但防火墙行同虚设主机上没有作过多配置，存在大量的服务安装了pcAnywhere远程控制软件,信息安全事件及其分析,案例一的教训,在遭到黑客攻击后应采取的措施 关键数据的备份 主机日志检查与备份 主机的服务端口的关闭 主机可疑进程的检查 主机帐号的修改 防火墙的策略修改 启用防火墙日志详细记录 避免使用的危险进程 利用Disk Recovery技术对硬盘数据进行恢复,信息安全事件及其分析,案例二：中国电信信息港,遭到黑客DDOS(Distribution Denial of service)攻击服务器被瘫痪，无法提供正常的服务来源地址有3000多个，多数来自国内有一部分攻击主机是电信内部的IP地址,信息安全事件及其分析,案例二的教训,加强对骨干网设备的监控减少骨干网上主机存在的漏洞在受到攻击时，迅速确定来源地址，在路由器和防火墙上作一些屏蔽实现IDS(Intrusion Detection Systems)和防火墙的联动,信息安全事件及其分析,信息安全的目的,信息安全事件及其分析,安全工作目的（一）,安全工作的目的就是为了在安全法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，完成以下任务：使用访问控制机制，阻止非授权用户进入网络，即“进不来”,从而保证网络系统的可用性。使用授权机制，实现对用户的权限控制，即不该拿走的“拿不走”，同时结合内容审计机制，实现对网络资源及信息的可控性。使用加密机制，确保信息不暴漏给未授权的实体或进程，即“看不懂”，从而实现信息的保密性。,信息安全事件及其分析,安全工作目的（二）,使用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而其它人“改不了”，从而确保信息的完整性。使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“走不脱”，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。,信息安全事件及其分析,信息安全特性,信息安全特征,信息安全的基本特征,相对性只有相对的安全，没有绝对的安全系统。操作系统与网络管理的相对性。安全性在系统的不同部件间可以转移,信息安全特征,信息安全的基本特征,时效性新的漏洞与攻击方法不断发现（NT4.0已从SP1发展到SP6,Windows 2003业发现很多漏洞,针对Outlook的病毒攻击非常普遍),信息安全特征,信息安全的基本特征,配置相关性日常管理中的不同配置会引入新的问题(安全测评只证明特定环境与特定配置下的安全）；新的系统部件会引入新的问题(新的设备的引入、防火墙配置的修改)；,信息安全的基本特征,攻击的不确定性攻击发起的时间、攻击者、攻击目标和攻击发起的地点都具有不确定性复杂性：信息安全是一项系统工程，需要技术的和非技术的手段，涉及到安全管理、教育、培训、立法、国际合作与互不侵犯协定、应急反应等,信息安全特征,信息安全特性与具体实现,信息安全特征,建立信息安全模型,信息安全层次和结构,信息与网络系统安全理念,信息安全层次和结构,信息与网络系统安全管理模型,信息安全层次和结构,信息安全策略,自上而下地制定安全策略最小特权原则密码技术与方法阻塞点最薄弱环节（被忽视的环节）失效保护机制缺省拒绝状态 缺省接受状态不要使用太昂贵的设备采用多防线技术不要太过于依赖系统操作：定期备份普遍参与防御多样,信息安全层次和结构,可定制的安全要素和领域,网络物理与拓扑安全（ARC）访问控制与安全边界（CTL）弱点漏洞分析和风险审计（ASS）入侵检测与防御（IDS）信息监控与取证（INF）网络病毒防范（VPR）身份认证与授权（AAA）通信链路安全（LNK）系统安全（SYS）数据与数据库安全（DBS）应用系统安全（APS）个人桌面安全（PCS）涉密网的物理隔离（PHY）灾难恢复与备份（RAB）集中安全管理（MAN）,信息安全层次和结构,根据内部网络的安全域结构，需要在不同安全域间设置边界访问控制，包括内外网连界、内网边界。网络边界访问控制的设计包括网络隔离方案、边界防火墙配置方案、局域网虚拟子网间的访问控制、远程访问控制。网络隔离根据国家安全主管部门有关规定，党政涉密网要求与因特网物理断开。对于各单位的涉密应用，如涉密办公应用，应单独建立相应的网络。边界防火墙防火墙是网络安全最基本的安全措施，目的是要在内部、外部两个网络之间建立一个安全隔离带，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。业务网络隔离,信息安全层次和结构,访问控制与安全边界（CTL）,访问控制与安全边界（CTL）,局域网的多个业务系统：办公应用系统，应用系统，数据中心。可通过有效的虚拟子网划分来对无关用户组间实施安全隔离，提供子网间的访问控制:VLAN划分。远程访问控制通过在广域连接的出入口配置防火墙，使远程用户对内部网服务器的访问受到防火墙的控制，远程内部网用户可按权限访问指定的内部网服务器。另外，通过设置一台安全认证服务器，可进行拨号用户身份、远程拨号路由器身份的认证，从而限制非法单机和局域网用户对内部网的访问。认证服务器可设在防火墙内，连接到内部网的交换机上。,计算机的安全,主机安全：主要考虑保护合法用户对于授权资源的使用，防止非法入侵者对于系统资源的侵占与破坏.其最常用的办法是利用操作系统的功能，如Unix的用户认证、文件访问权限控制、记帐审计等。网络安全：主要考虑网络上主机之间的访问控制，防止来自外部网络的入侵，保护数据在网上传输时不被泄密和修改 其最常用的方法是防火墙、加密等。,信息安全层次和结构,主机网络安全系统体系结构,信息安全层次和结构,信息与网络系统的安全框架,保卫网络和基础设施主干网络的可用性无线网络安全框架系统互连和虚拟私有网（VPN）保卫边界网络登录保护远程访问多级安全保卫计算环境终端用户环境系统应用程序的安全支撑基础设施密钥管理基础设施/公共密钥基础设施（KMI/PKI）检测和响应,信息安全层次和结构,保护计算环境,计算环境包括终端用户工作站台式机和笔记本，工作站中包括了周边设备；安全框架的一个基本原则是防止穿透网络并对计算环境的信息的保密性、完整性和可用性造成破坏的计算机攻击；对于那些最终得逞了的攻击来说，早期的检测和有效的响应是很关键的；不断的或周期性的入侵检测、网络扫描以及主机扫描可以验证那些已经配置的保护系统的有效性；系统应用的安全；基于主机的检测与响应。,信息安全层次和结构,保护网络边界,一个区域边界之内通常包含多个局域网以及各种计算资源组件。边界环境比较复杂，它可以包含很多物理上分离的系统。多数边界环境拥有通向其它网络的外部连接。它与所连接的网络可以在密级等方面有所不同。边界保护主要关注对流入、流出边界的数据流进行有效的控制和监督。有效地控制措施包括防火墙、门卫系统、VPN、标识和鉴别/访问控制等。有效的监督措施包括基于网络的入侵检测系统（IDS）、脆弱性扫描器、局域网上的病毒检测器等。虽然边界的主要作用是防止外来攻击，但它也可以来对付某些恶意的内部人员，这些内部人员有可能利用边界环境来发起攻击，和通过开放后门/隐蔽通道来为外部攻击提供方便。,信息安全层次和结构,保护网络和基础设施,网络以及为其提供支撑的相关基础设施（比如管理系统）是必须受到保护的。在网络上，有三种不同的通信流：用户通信流、控制通信流以及管理通信流。保护的策略是，使用经过批准的广域网（WAN）来传输企业的机密数据，加密方式采用国家相关部门批准的算法；为保护非加密局域网上交换的敏感数据，要求使用符合一定条件的商业解决方案,信息安全层次和结构,支撑基础设施,支持基础设施给以下情况提供服务：网络；最终用户工作站；网络、应用和文件服务器；单独使用的基础设施机器（即：高级的域名服务器（DNS）服务，高级目录服务器）。框架包括两个方面的内容：密钥管理基础设施(KMI)，其中包括公钥基础设施(PKI)和检测响应基础设施。密钥管理基础设施：KMI 提供一种通用的联合的处理方式，以便于安全创建、分发和管理公共密钥证明和传统的对称密钥，使它们能够安全服务于网络、领地、和计算机环境。这些服务能够对发送者和接收者的身份进行可靠验证，并可以保护信息不会发生未授权泄露和更改。KMI 支持受控制的相互可操作的用户，保持为每个用户团体建立的安全策略。,信息安全层次和结构,支撑基础设施,检测和响应：检测和响应基础设施使能够迅速检测和响应入侵。它也提供一个“熔化”能力，以便于可以观察事件与其它相关连。还允许分析员识别潜在的行为模式或新发展。在多数实现检测和响应能力的机构中，本地中心监视本地运行，并输送到大区域或国家中心。需要这个基础设施有技术解决方案，如：入侵检测和监视软件；一些训练有素的专业人员，通常指的是计算机应急响应小组(CERT)。,网络信息安全层次,层次一：物理环境的安全性（物理层安全）层次二：操作系统的安全性（系统层安全）层次三：网络的安全性（网络层安全）层次四：应用的安全性（应用层安全）层次五：管理的安全性（管理层安全）,网络信息安全层次与结构,网络安全层次架构,网络信息安全层次与结构,信息与网络安全组件,信息整体安全是由安全操作系统、应用系统、防火墙、网络监控、安全扫描、信息审计、通信加密、灾难恢复、网络反病毒等多个安全组件共同组成的，每一个单独的组件只能完成其中部分功能，而不能完成全部功能,信息与网络安全组件,防火墙,防火墙通常被比喻为网络安全的大门，用来鉴别什么样的数据包可以进出企业内部网。在应对黑客入侵方面，可以阻止基于IP包头的攻击和非信任地址的访问。但防火墙无法阻止和检测基于数据内容的黑客攻击和病毒入侵，同时也无法控制内部网络之间的违规行为,信息与网络安全组件,加 密,对称加密:使用同一个字符串加密和解密数据非对称加密：使用一对密钥加密解密数据HASH散列算法：用HASH函数把信息混杂，使其不可恢复原状,信息与网络安全组件,访问控制,强制访问控制（Mandatory access control）系统独立于用户行为强制执行访问控制，用户不能改变他们的安全级别或对象的安全属性。这种访问控制规则通常对数据和用户按照安全等级划分标签，访问控制机制通过比较安全标签来确定的授予还是拒绝用户对资源的访问。强制访问控制进行了很强的等级划分，所以经常用于军事用途。自主访问控制（Discretionary access control）自主访问控制机制允许对象的属主来制定针对该对象的保护策略。通常DAC通过授权列表（或访问控制列表）来限定哪些主体针对哪些客体可以执行什么操作。如此将可以非常灵活地对策略进行调整。由于其易用性与可扩展性，自主访问控制机制经常被用于商业系统。主流操作系统(Windows Server,UNIX系统)，防火墙（ACLs）等都是基于自主访问控制机制来实现访问控制,信息与网络安全组件,认证,密码认证智能卡生物特征（指纹、面部扫描、视网膜扫描、语音分析）位置认证（IP，反向DNS）,信息与网络安全组件,扫描器,扫描器可以说是入侵检测的一种，主要用来发现网络服务、网络设备和主机的漏洞，通过定期的检测与比较，发现入侵或违规行为留下的痕迹。当然，扫描器无法发现正在进行的入侵行为，而且它还有可能成为攻击者的工具,信息与网络安全组件,弱点漏洞分析和风险审计 ASS,信息与网络安全组件,防毒软件,防毒软件是最为人熟悉的安全工具，可以检测、清除各种文件型病毒、宏病毒和邮件病毒等。在应对黑客入侵方面，它可以查杀特洛伊木马和蠕虫等病毒程序，但对于基于网络的攻击行为（如扫描、针对漏洞的攻击）却无能为力,信息与网络安全组件,网络病毒防范（VPR）,网络病毒具有不可估量的威胁性和破坏力，因而计算机病毒的防范也是网络安全建设的重要环节。考虑内部网络系统运行环境复杂，网上用户数多，同Internet有连接等，需在网络上建立多层次的病毒防护体系，对桌面、服务器和网关等潜在病毒进入点实行全面保护。（1)建立基于桌面的反病毒系统在内部网中的每台桌面机上安装单机版的反病毒软件，实时监测和捕获桌面计算机系统的病毒，防止来自软盘、光盘以及活动驱动器等的病毒来源。（2）建立基于服务器的反病毒系统在网络系统的文件及应用服务器（一些关键的Windows NT服务器）上安装基于服务器的反病毒软件，实时监测和捕获进出服务器的数据文件病毒，使病毒无法在网络中传播。,信息与网络安全组件,网络病毒防范（VPR）,（3）建立基于群件环境的反病毒系统 在网络系统的Louts Notes和Ms Exchange服务器上安装基于群件环境的反病毒软件，堵住夹在文档或电子邮件中的病毒。（4）建立基于Internet网关的反病毒系统 在代理服务器（Proxy）网关上安装基于网关的反病毒软件，堵住来自Internet通过Http或Ftp等方式进入内部网络的病毒，而且可过滤恶意ActiveX,Java和Java Applet程序。（5）建立病毒管理控制中心 在中心控制台（安全管理控制台）实施策略配置和管理、统一事件和告警处理、保证整个网络范围内病毒防护体系的一致性和完整性。通过自动更新、分发和告警机制，使桌面PC和服务器等设备自动获得最新的病毒特征库，完成终端用户软件及病毒特征信息的自动更新和升级，以实现网络病毒防范系的集中管理,安全审计系统,安全审计系统通过独立的、对网络行为和主机操作提供全面与忠实的记录，方便用户分析与审查事故原因，很像飞机上的黑匣子。由于数据量和分析量比较大，目前市场上鲜见特别成熟的产品主动式审计（IDS部署）被动式审计（日志监控）,入侵检测与防御（IDS）,IDS,IDS的主要功能包括检测并分析用户在网络中的活动，识别已知的攻击行为，统计分析异常行为，核查系统配置和漏洞，评估系统关键资源和数据文件的完整性，管理操作系统日志，识别违反安全策略的用户活动等,IDS,网络型入侵检测系统(Network Intrusion Detection System，NIDS)的数据源来自网络上的数据包。一般地，用户可将某台主机网卡设定为混杂模式，以监听本网段内所有数据包，判断其是否合法。NIDS担负着监视整个网段的任务,IDS,NIDS的优点主要是使用简便，不会给运行关键业务的主机和网络增加任何负担。,IDS,主机型入侵检测系统(Host Intrusion Detection System，HIDS)往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段从所在的主机收集信息，并进行分析。HIDS主要针对其所在的系统进行非法行为的检测,IDS,HIDS的缺点必须为不同平台开发不同的应用程序，增加了网络系统运行负荷，而且所需安装的产品数量众多HIDS的优点其内在结构不受任何约束它可利用操作系统本身提供的功能，结合异常分析，更准确地报告攻击行为,信息监控与取证（INF）,某省信息中心网络拓扑图,信息网络系统安全解决方案,全球黑客动向,组织越来越扩大化行动越来越公开化案件越来越频繁化情况越来越复杂化,微软面临的安全挑战,微软自身IT基础每天遭受超过4000次攻击至少一次DDoS攻击攻击来自全世界补丁发布到系统漏洞被利用Nimda 331SQL Slammer 180Welchia/Nachi 151Blaster 25冲击波：7.1-7.16-7.25-8.11,信息安全威胁,间谍软件钓鱼网站僵尸网络88PC有病毒1/3垃圾邮件,