杂七杂八的网络安全知识

信息与信息技术

信息奠基人：香农：信息是用来消除随机不确定性的东西

信息的定义：信息是有意义的数据，是一种要适当保护的资产。数据经过加工处理之后，就成为信息。而信息需要经过数字化处理转变成数据才能存储和传输。

信息的功能：反应事物内部属性、状态、结构、相互联系以及与外部环境的互动关系

信息与消息：消息是信息的外壳，信息是消息的内核。消息是信息的笼统概念。

信息与数据：数据是信息的符号表示。信息是数据的内涵，是数据的语义解释。数据可以用不同的形式表示，而信息不会随数据不同的形式而改变。

信息技术：IT，是用于管理和处理信息所采用的各种技术的总称。信息处理事获取信息并对他进行变换，使之成为有用信息并发布出去的过程。

发展阶段：

1. 电讯技术的发明：电话电报的出现
2. 计算机技术的发展：电子管计算机、晶体管计算机、集成电路和大规模集成电路计算机
3. 互联网的使用：ARPANET（美国军用计算机网络） -> Internet
4. 网络社会：云计算、物联网、大数据

信息安全

信息安全一般指信息系统受到保护，不受偶然的或者恶意的原因的影响而遭到破坏

信息安全的目标：保证信息安全属性的到保持

信息安全的任务：保护信息资产免经未经授权的访问等

信息安全的属性

• 机密性：控制信息资源的开放范围

• 完整性：信息在存储、传输过程中保持未经授权不能改变的特性

• 不可否认性：防止用户否认其发送信息的行为和信息的内容

• 可用性：确保授权用户对信息及资源的正常使用不会被拒绝

• 可控性：对信息的传播范围及内容具有控制能力。防止非法利用信息和信息系统

• 相对性：安全是相对的、动态的。动态调整

• 实效性：安全不能一劳永逸

• 相关性：更改配置等操作时，对系统重新评估

• 不确定性：面临的攻击是不确定的

• 复杂性：涉及到各个领域

• 系统性：系统的工作

• 动态性：不能一劳永逸

• 无边界性：超越了现实低于和现实行业的限制

• 非传统性：与军事安全、政治安全等传统安全相比，信息安全设计的领域和影响范围广泛

我国面临的信息安全威胁

• 国家威胁
  1. 恐怖组织
  2. 邪教组织
  3. 西方势力
  4. 其他国家情报机构
• 组织威胁
  1. 针对企业或者组织受保护的财产、专有技术
• 个人威胁
  1. 知识产权的威胁
  2. 侵犯破坏个人计算机系统中的信息

信息安全问题产生的根源

• 内因
  1. 系统自身的脆弱性
• 外因
  1. 人为破坏

通信安全

通过密码技术解决通信保密，保证数据的保密性和完整性

安全威胁：搭线窃听，密码学分析

安全措施：加密

计算机安全

确保信息系统的保密性、完整性、可用性

安全威胁：非法访问、恶意代码、弱口令

安全措施：安全操作系统设计技术

信息系统安全

确保信息在存储、传输过程中免受偶然或恶意的泄密、非法访问或破坏

安全威胁：网络入侵、病毒破坏、信息对抗

安全措施：防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN

信息安全保障

动态安全、综合技术、管理、过程、人员

安全威胁：黑客、信息战

安全措施：计算安全保障体系、安全管理体系

我国信息安全形势

2013年，棱镜门事件

含义

采用技术管理等综合手段，保护信息系统安全运行的防护行为

综合的保护手段，是一个动态的过程

防止信息泄露、监测入侵攻击、修复信息系统受到的破坏

攻击后的修复不在传统信息安全概念之内

保障模型

信息安全保障模型能准确描述安全的重要方面与系统行为的关系，提高对成功实现关键安全需求的理解层次

防护-检测-响应：PDR模型：承认信息系统中存在的漏洞，正式系统面临的威胁。该模型认为，任何安全防护措施都是基于时间的，超过该时间段，这种防护措施就可能被攻破。

策略-防护-检测-响应：P2DR：信息系统所有防护、检测、响应都是依据安全策略实施的。强调动态。

作用

开放性、跨界性、及时性、交互性

信息系统

信息系统是具有集成性的系统

信息系统安全保障的含义

信息系统安全保障是在信息系统的整个生命周期中，从技术、管理、工程、人员等方面提出安全保障要求。

• 风险：信息系统自身存在的漏洞、系统外部的威胁
• 保障：降低信息安全风险
• 使命：信息系统整个生命周期中运行的需求和目标

信息系统安全保障模型

密码学发展

• 古典密码：保持算法本身的保密性
• 近代密码：机械或电动机械实现
• 现代密码：数据安全基于密钥
• 公钥密码：发送端和接收端无密钥传输的保密通信

明文：原始消息

密文：经过加密

加密员：对明文进行加密的人

• 加密：将明文变换为密文的过程
• 解密：由密文恢复出明文的过程

**对称密码算法：**加密密钥和解密密钥相同，或实质上相同

• DES、3DES、IDEA、AES
• 优点：效率高、算法简单、系统开销小、适合加密大量数据、明文长度与密文长度相等
• 缺点：需要以安全方式进行密钥交换、密钥管理复杂、无法解决消息的篡改否认等问题

**非对称密钥算法：**加密密钥与解密密钥不同。其中一个是公钥（对外公开的密钥），另一个是私钥（必须保密的密钥）

• RSA、ECC、EIGamal
  1. 公钥加密->私钥解密
  2. 私钥加密->公钥解密
• 优点：密钥分发数目与参与者数目相同、安全、支持数字签名和不可否认性、无需事先交换密钥
• 缺点：速度慢（慢10-100倍）、密文变长

混合加密

对称密钥和非对称密钥加密主要解决信息的机密性问题，而实际系统和网络还可能受到消息篡改等攻击。hash函数可以保证消息的完整性。输出的hash值可称为散列值、消息摘要（MD）

• MD5：效率高
• SHA-1

对hash值进行签名

• 可信性
• 不可重用性
• 数据完整性
• 不可伪造性
• 不可否认性

绑定用户身份和公钥

包含相关信息：所有者的公钥

拥有者拥有证书公钥对应的私钥

由可信的颁发结构颁发

颁发机构对证书进行签名

公钥基础设施

• 利用公开密钥技术建立的提供信息安全服务的在线基础设施
• 是一个包括硬件、软件、人员、策略、规程的集合。
• 用来实现基于公钥密码体制的密钥和数字证书的产生、管理、存储、分发、撤销等功能
• 为各种应用提供安全保障

内存

ic卡

usb-key

身份认证是用户登录系统或网站面对的第一道安全防线

静态口令

缺点：

• 通信窃取：窃取明文用户密码
• 字典攻击：选择有意义的字典
• 暴力攻击：穷举
• 外部泄露
• 窥探
• 社会工程

短信口令认证

动态口令

随机生成，动态变化

u盾（usb key）

usb接口的硬件设备，内置单片机和智能卡芯片

• 指纹
• 视网膜
• 声音
• 虹膜

单点登录（SSO，single sign-on）

kerberos

远程用户拨号认证系统

针对越权使用资源的防御措施

控制策略：主体对客体相关访问规则的集合

访问控制：主体依据某些控制策略或访问权限，对客体本身或其他资源赋予不同访问权限的能力

访问控制安全策略遵循最小特权原则

discretionary access control：DAC

资源的所有者可以规定谁有权访问他们的资源

优点：

• 根据主体的身份和访问权限进行决策
• 灵活

缺点：信息在传递过程中其访问权限关系会被改变

mandatory access Control：MAC

主体和客体都有一个固定的安全属性，系统用该安全属性来决定一个主体是否可以访问某个客体

应用与军事等安全要求较高的系统

• 控制粒度大
• 灵活性不高
• 安全性强

RBAC

根据用户所担任的角色来决定用户在系统中访问的权限

• 便于授权管理
• 便于处理工作分级
• 便于任务分担
• 最小特权、职责分离

即便采用了很多方法保障网络安全，仍不可避免的感染病毒或者受到威胁。受到威胁后，如何从安全事故中恢复过来，需要采取一些措施。安全审计是提高安全性的工具。能够再现问题，帮助事后责任追查和数据恢复

安全审计可以追踪和监测系统中的异常事件，也可以监视系统中其他安全机制运行的情况

日志是安全审计系统的主要组成部分，记录日常事件或者误操作警报

被动式审计：简单记录，不作处理

主动式审计：结束一个登录会话、拒绝一些主机的访问

TCP/IP协议

通信地址：将数据从一段传送到另一端

MAC地址：物理地址：48bit

Ip地址：逻辑地址：32bit

IPv6是IETF（互联网工程任务组）设计下的下一代IP协议

封装：Encapsulation：高层进城进行数据传输时，会将数据从高层向底层传送

解封装：Decapsulation

tcp

面向连接的、可靠的字节流服务

udp

提供面向事务的简单不可靠信息传送服务

网络安全威胁主要来自攻击者对网络及信息系统的攻击

攻击者可以通过网络嗅探、网络钓鱼、dos、远程控制、社会工程学等网络攻击手段，获取目标计算机的控制权

网络嗅探

通过截获、分析网络中传输的数据而获取有用信息的行为

网络钓鱼

攻击者利用伪造的网站或欺骗性的电子邮件进行的网络诈骗活动

拒绝服务攻击

DoS：拒绝服务攻击

DDoS：分布式拒绝服务攻击

SYN flooding：同步洪泛攻击

远程控制

通过非法手段成功入侵目标主机后，以实现对目标主机的远程控制

社会工程学

综合运用信息收集、语言技巧等手段

虚拟专用网络：VPN

常用协议：

• IPSec协议
• SSL

应用：

• 远程访问VPN：企业员工流动频繁或远程办公
• 内联网VPN：相同企业内部异地互联
• 外联网VPN：不同企业之间互联

防火墙

设置在不同网络之间的一系列包括软硬件在内的部件组合。在内网与外网之间构建一道保护屏障，网络内部和外部之间的所有数据流必须经过防火墙

• 数据包过滤
• 审计和报警机制
• 远程管理
• 网络地址转换
• 代理
• 流量控制

无线局域网（WLAN，Wireless Local Area Networks）

以无线的方式连接网络设备

增强无线网络安全性的措施

• 修改admin密码
• 无线网络安全协议
• 禁用DHCP
• 禁止SSID广播
• 禁止远程管理
• MAC地址过滤
• 合理防止无线AP

操作系统是计算机系统软硬件资源的控制中心

操作系统的特征：

• 并发
• 共享：互斥访问、同时访问
• 虚拟
• 异步

管理资源：

• cpu
• 存储
• 设备
• 文件
• 网络与通信

操作系统分类：

• 机型分类：大型机、中型机、小型机、微型机
• 用户数目分类：单用户操作系统、多用户操作系统
• 功能特征分类：批处理操作系统、实时操作系统、分时操作系统
• 应用领域分类：桌面操作系统、服务器操作系统、嵌入式操作系统

1. 提升防火墙
2. 病毒防范
3. 漏洞扫描
4. 强化端口解析，数据备份

故意编制、对网络或系统会产生威胁和潜在威胁的计算机代码

病毒

破坏os的cpu、文件、存储、硬件资源

寄生、传染、潜伏、隐蔽、破坏、可触发性

木马

特洛伊木马

利用计算机程序漏洞入侵后窃取他人文件

木马是一种后门程序，常被黑客用作控制远程计算机的工具

该程序长期潜伏于被攻击者主机内，以实现攻击者对其长时间的破坏

完整的木马系统：

• 硬件部分：建立木马连接所必须的硬件实体
• 软件部分：实现远程连接控制必须的软件程序
• 具体连接部分：通过Internet在服务端与控制端之间建立一条木马通道必须的元素

木马传播途径：

• 电子邮件
• 下载文件
• 网页
• 聊天工具

蠕虫

具备病毒的破坏能力，还可以实现自我复制和传播

基本结构

• 传播
  1. 扫描
  2. 攻击
  3. 复制
• 隐蔽

端口扫描威胁

对目标计算机所有打开端口发送同一信息，根据返回端口状态分析目标计算机的端口是否打开或者可用。

• 安全防护策略
  1. 制定安全策略
  2. 关闭不必要服务
  3. 关闭不必要端口
  4. 开启审核策略
  5. 开启密码策略
• 日志审核
• 补丁程序
• 终端防护软件：杀毒软件
• 个人防火墙
  1. 过滤不安全服务
  2. 控制对内部网络的访问权
  3. 对网络安全进行监控

C/S架构

B/S架构

网络金融交易是用户通过internet完成各种网络金融服务和网络电子商务支付

网络金融交易安全措施

• U盾（USE-KEY）：内置微型智能卡处理器，非对称加密
• 手机短信验证
• 口令卡：动态电子银行口令
• 采用安全超文本传输协议：https

电子邮件是用电子手段提供信息交换的服务

电子邮件安全威胁：

• 邮件地址欺骗：恶意攻击者冒充某人发送邮件
• 垃圾邮件
• 邮件病毒：在邮件中添加恶意病毒或者木马程序
• 邮件炸弹：将目标邮件空间耗尽

电子邮件安全防护技术

• 垃圾邮件过滤
• 邮件加密和签名

数据备份

容灾

• 内置或者外置的磁带机进行冷备份
• 网络备份：通过专业的数据存储管理软件结合响应的硬件和存储设备来实现
• 云备份

数据恢复

数据加密

磁盘加密工具：

• PGPDisk
• TureCrypt

数据删除

硬销毁

物理破坏

软销毁

逻辑销毁，通过软件编程对数据及相关信息反复覆盖擦除

• 暴力破解
• 键盘记录木马
• 屏幕快照木马

具有独立操作系统、可安装应用程序、使用无线局域网或移动通信网访问因特网的设备

• 智能手机
• 平板电脑

功能：

• 访问不同模式的移动通信网络
• 通过不同的网络接口访问因特网
• 具有开放的api接口
• 支持多任务
• 具有多媒体功能
• 具有GPS导航功能

安全形势：

• 智能终端操作系统敏感权限滥用
• 应用软件难溯源
• 智能终端操作系统漏洞
• 智能终端操作系统后门

安全威胁：

• 伪基站攻击：通过伪基站发送短信等，伪装成运营商的基站
  1. 监听与伪装
  2. 吸引手机接入
  3. 发送短信
  4. 提出手机
• 二维码扫描
• 移动终端遗失
• 手机病毒
• 恶意扣费软件

注意隐私权限访问请求

慎重扫描二维码

信息安全管理(Information Security Management, ISM)，是管理者为实现信息安全目标而进行计划、组织、指挥、协调和控制的一系列活动。成功实施信息安全管理的关键因素通常包括以下内容:

1. 组织的活动能够反映组织的业务目标。
2. 组织所有级别的管理者能够给予信息安全实质性的、可见的支持和承诺。
3. 组织的管理者对信息安全要求、信息安全风险、风险评估及风险管理有
   正确深入的理解。
4. 向所有管理者、员工和其它相关方提供有效的信息安全宣传以提升信息
   安全意识。

风险是一种潜在的、负面的东西，处于未发生的状态，它是指遭受损害或损失的可能性。因此，风险一方面客观存在，另一方面其发生的时间具有不确定性，风险一旦发生，将会产生损失。风险强调的是损害的潜在可能性，而不是事实上的损害，风险是不能消除殆尽的。

1. 威胁
2. 脆弱性
3. 影响
4. 资产：任何对组织有意义的信息

风险管理

1. 背景建立
2. 风险评估
3. 风险处理
4. 批准监督

风险管理师一个动态、不断循环的过程，一次风险管理完成后，因为新的变化引起新的风险，都需要进入新一轮风险管理周期

信息安全事件基本分类:

1. 有害程序事件
2. 网络攻击事件
3. 信息破坏事件
4. 信息内容安全事件设备设施故障
5. 灾害性事件和其他信息安全事件

考虑因素

1. 信息系统重要程度
2. 系统损失
3. 社会影响

信息安全应急响应

国家计算机网络应急技术处理协调中心

国家计算机应急处理中心

国家计算机网络入侵防范中心

信息安全应急响应管理过程

1. 准备:事件发生前，做好应急预案、配置好人力、物力、政策和规程等各种资源。
2. 检测:该阶段要做好系统各种信息的收集，以及初步动作和响应。
3. 遏制:遏制的目的是限制安全事件的影响范围，降低潜在的损失。
4. 根除:事件被抑制后，需要查找问题根源，彻底解决安全事件。
5. 恢复:恢复的目的是把所有受到事件影响的系统和网络环境还原到正常工作状态。
6. 跟踪总结:目标是回顾整理发生事件的相关信息，包括安全事件的操作方法和步骤、时间文档与证据的管理记录等内容，总结经验教训.

利用技术、管理手段以及相关资源，对关紧数据、信息系统、业务进行备份的过程

灾难备份

• 恢复时间目标（Recovery Time Objective，RTO）：从灾难发生、IT宕机导致业务停顿到信息系统恢复业务运行所经过的时间。RTO代表了一个组织能够承受的信息系统或业务的最长中断时间。
• 恢复点目标（Recovery Point Objective，RPO）：灾难发生前最后一次备份的时间。RPO代表了当灾难发生后允许丢失的数据程度，如果RPO为0，则相当于没有丢失任何数据

方法：

• 本地备份和异地备份
• 数据集备份和系统级备份
• 完全备份和不完全备份

备份策略：

• 执行完全备份
• 经常进行增量备份
• 定期执行差异备份

国家密级

• 绝密：最重要的国家秘密-使国家安全和利益遭受特别严重的损害-破坏国家主权和领土完整，威胁国家政治巩固，使国家政治、经济遭受巨大损失-全局性、战略性
• 机密：重要的国家秘密-使国家安全和利益遭受严重的损害-破坏国家主权和领土完整，威胁国家政治巩固，使国家政治、经济遭受巨大损失-较大范围
• 秘密：一般的国家秘密-使国家安全和利益遭受损害-破坏国家主权和领土完整，威胁国家政治巩固，使国家政治、经济遭受巨大损失-局部性

危害国家秘密安全的行为

• 严重违反保密规定
  1. 违反涉密系统和信息设备保密管理规定的行为
  2. 违反国家秘密载体管理规定的行为
  3. 违反国家秘密信息管理规定的行为
• 定密不当
• 公共信息网络运营商、服务商不履行保密义务的行为
• 保密行政管理部门工作人员的违法行为

危害国家秘密安全的犯罪行为

• 危害国家安全的犯罪行为
• 妨碍社会管理秩序的犯罪行为
• 渎职的犯罪行为
• 军人违反职责的犯罪行为

保护国家秘密相关法律

• 严重违反保密规定的法律责任
• 互联网及其他公共信息网络运营商、服务商的有关法律责任

侵犯商业秘密的行为

• 以盗窃、利诱、胁迫或者其他不正当手段获取权利人的商业秘密
• 披露、使用或者允许他人使用上述手段获取权利人的商业秘密
• 违反约定或者违反权利人有关保守商业秘密的要求，披露、使用或允许他人使用其所掌握的商业秘密

保护商业秘密相关法律法规

• 中华人民共和国刑法
• 中华人民共和国不正当竞争法
• 中华人民共和国合同法
• 中华人民共和国劳动合同法

网络违法犯罪行为

• 破坏互联网运行安全的行为
• 破坏国家安全和社会稳定的行为
• 破坏市场经济秩序和社会管理秩序的行为
• 侵犯个人隐私、法人和其他组织的人身、财产等合法权利的行为

破坏国家安全和社会稳定的行为

• 破坏互联网运行安全的行为破坏国家安全和社会稳定的行为
• 破坏市场经济秩序和社会管理秩序的行为
• 侵犯个人、法人和其他组织的人身、财产等合法权利的行为
• 利用互联网实施以上四类行为以外的违法犯罪行为

破坏市场经济秩序和社会管理秩序的行为

• 利用互联网销售伪劣产品或者对商品、服务作虚假宣传
• 利用互联网损坏他人商业信誉和商品声誉
• 利用互联网侵犯他人知识产权
• 利用互联网编造并传播影响证券、期货交易或者其他扰乱金融秩序的虚假信息
• 在互联网上建立淫秽网站、网页，提供淫秽站点链接服务，或者传播淫秽书刊、电影、音像、图片。

侵犯个人、法人和其他组织的人身、财产等合法权利的行为

• 利用互联网侮辱他人或者捏造事实诽谤他人;
• 非法截获、篡改、删除他人电子邮件或者其他数据资料，侵犯公民通信自由和通信秘密;
• 利用互联网进行盗窃、诈骗、敲诈勒索:利用网络写恐吓信或者以其他方法威胁他人身安全的;
• 利用网络捏造事实诬告陷害他人，企图使他人身受到刑事追究或者受到治安管理处罚
• 利用网络对证人及其近亲属进行威胁、侮辱或者打击报复;
• 利用网络多次发送淫秽、侮辱、恐吓或者其他信息，干扰他人正常生活
• 利用网络偷窥、偷拍、窃听、散布他人隐私;
• 利用网络煽动民族仇恨、民族歧视，或者在网络中刊载民族歧视、侮辱内容。

相关法律

• 刑法
• 关于维护互联网安全的决定
• 治安管理处罚法

相关法律

• 中华人民共和国国家秘密法
• 中华人民共和国人民警察法
• 中华人民共和国电子签名法

2017年6月1日，《中华人民共和国网络安全法》(以下简称《网络安全法》）正式实施。

这是我国第一部全面规范网络空间安全管理方面问题的基础性法律，是互联网在法制轨道上安全、健康运行的重要保障。

《网络安全法》提出网络主权原则、网络安全与信息化发展并重原则、共同治理原则。

• 第1条即规定要维护我国网络空间主权，以“立法原则”的高度体现对网络空间主权的重视
• 第3条规定国家坚持网络安全与信息化并重，遵循积极利用、科学发展、依法管理、确保安全的方针，突出了《网络安全法》实施网络安全与信息化发展的原则;《网络安全法》要求政府、企业、社会组织、技术社群和公民等网络利益者共同参与网络空间安全的治理与维护，体现了共同治理的原则。
• 第4条提出国家制定并不断完善网络安全战略，明确保障网络安全的基本要求和主要目标;第七条规定我国致力于“推动构建和平、安全、开放、合作的网络空间，建立多边、民主、透明的网络治理体系。”
• 第8条规定，国家网信部门负责统筹协调网络安全工作和相关监督管理工作，国务院电信主管部门、公安部门和其他有关机关依法在各自职责范围内负责网络安全保护和监督管理工作。进一步明确了政府各部门的职责权限，完善了网络安全监管体制。

《网络安全法》第三章“网络运行安全”规范了网络运行安全，特别强调了要保障关键信息基础设施的运行安全，并通过明确关键信息基础设施运营者义务、国家审查、重要数据强制本地存储等法律措施，来确保信息基础设施的安全。

《网络安全法》完善了网络安全义务与责任，加大法律违法惩处力度将原来散见于各种法规、规章中的规定上升到法律层面。第四章“网络信息安全”对网络运营者等主体的法律义务和责任做了全面规定，并在第六章“法律责任”中提高了违法行为的处罚标准，加大了罚力度。

《网络安全法》第五章“监测预警与应急措施”将监测预警与应急处置工作制度化、法制化，明确国家建立网络安全监测预警和信息通报制度，建立网络安全风险评估和应急工作机制，制定网络安全事件应急预案并定期演练。为建立统一高效的网络安全风险报告机制情报共享机制、研判处置机制提供了法律依据，为深化网络安全防护体系实现全天候全方位感知网络安全态势提供了法律保障。