,第二部分 网络与安全 第4章 信息安全,4.1 信息安全的基本概念 4.2 密码技术及应用 4.3 防火墙技术 4.4 恶意软件 4.5 入侵检测技术 4.6 小结,本章内容提要,3,大学计算机基础计算机科学概论,4.1 信息安全的基本概念,4.1.1 信息安全特征 机密性 (confidentiality) 身份验证 (authentication) 完整性 (integrity) 不可抵赖性(non-repudiation) 可用性( availability) 可控性(controllability),4.1 信息安全的基本概念,4.1.2 信息安全保护技术 1. 主动防御技术 (1) 数据加密 (2) 存取控制 (3) 权限设置 (4) 虚拟专用网技术,4.1 信息安全的基本概念,4.1.2 信息安全保护技术 2. 被动防御技术 (1) 防火墙技术 (2) 入侵检测技术 (3) 安全扫描器 (4) 口令验证 (5) 审计跟踪 (6) 物理保护与安全管理,4.2 密码技术及应用,4.2.1 基本概念,图4.1 密码学的一些重要术语,4.2 密码技术及应用,4.2.2 对称密钥密码系统,图4.2 对称密钥密码体制,4.2 密码技术及应用,4.2.3 公开密钥密码系统,图4.3 公开密钥密码体制,4.2 密码技术及应用,4.2.4 计算机网络中的数据加密,（实心矩形表示链路加密设备，黑点表示端加密设备） 图4.4 网络通信中加密的两种主要形式示意图,4.2 密码技术及应用,4.2.4 计算机网络中的数据加密 链路加密 是一种面向物理层的数据加密方式。加密主要是在1、2层进行，不同的链路采用不同的加密密钥，以免相互影响信息安全。 链路加密的简要原理是：数据信息进入物理层传输时，对所有的信息加密进行保护，信息到达计算机之前必须进行解密处理才能使用。,4.2 密码技术及应用,4.2.4 计算机网络中的数据加密 2. 端端加密 端端加密属高层加密方式，加密过程是在两个端系统上完成的。密码设备只在通信的两端设置（如图4.4中的A、B或C），中间节点一律不设密码设备。 加密原理：源端在发送源消息之前将消息加密成密文，并以密文消息的形式经通信网传送到目的端。各端点采用相同的密码算法和密钥，对传送通路上的各个中间节点，其数据是保密的。,4.2 密码技术及应用,4.2.4 计算机网络中的数据加密 3. 混合加密 混合加密是基于端端加密和链路加密综合考虑的，因为端端加密只对报文加密，报头（源/目的地址）则是明文传送，显然易受流量分析攻击，而链路加密则能较好地抵挡这种攻击。因此，为保护报头之类的敏感信息，可以采用两者混合使用的方式，如图4.5所示。这里，报文将被两次加密，而报头则只由链路方式加密。,4.2 密码技术及应用,4.2.4 计算机网络中的数据加密 3. 混合加密,图4.5 混合加密方式,4.2 密码技术及应用,4.2.5 数字签名 数字签名可以实现消息完整性认证和身份验证。 按接收者验证签名的方式不同，可将数字签名分为真数字签名和公证数字签名两类。 在真数字签名中，签名者直接把签名消息传递给接收者，接收者无需借助于第三方就能验证签名。 在公证数字签名中，签名者把签名消息经由被称做公证者的可信的第三方发送给接收者，接收者不能直接验证签名，签名的合法性是通过公证者作为媒介来保证，也就是说接收者要验证签名必须同公证者合作。,4.3 防火墙技术,4.3.1 防火墙的基本概念 防火墙是由硬件（如路由器、服务器等）和软件构成的系统，用来在两个网络之间实施接入控制策略，是一种屏障，如图4.8所示。,图4.8 在被管理网络和外部网络之间放置防火墙,4.3 防火墙技术,4.3.2 防火墙的功能 网络防火墙的主要功能有控制对网站的访问和封锁网站信息的泄露，限制被保护子网的暴露，具有审计功能，强制安全策略，对出入防火墙的信息进行加密和解密等。,4.3 防火墙技术,4.3.3 防火墙的基本类型 1. 包过滤防火墙 包过滤防火墙允许或拒绝所接收的每个数据包。路由器审查每个数据包以便确定其是否与某一条包过滤规则匹配。过滤规则基于可以提供给IP转发过程的包头信息。包头信息中包括IP源地址、IP目标地址、协议类型和目标端口等。如果包的出入接口相匹配，并且规则允许该数据包，那么该数据包就会按照路由表中的信息被转发。,4.3 防火墙技术,4.3.3 防火墙的基本类型 2.应用层网关 应用层防火墙是内部网与外部网的隔离点，起着监视和隔绝应用层通信流的作用，同时也常结合了过滤器的功能。它工作在OSI参考模型的最高层，掌握着应用系统中可用做安全决策的全部信息。应用层网关使得网络管理员能够实现比包过滤路由器更严格的安全策略。,4.3 防火墙技术,4.3.3 防火墙的基本类型 3.复合型防火墙 （1）屏蔽主机防火墙体系结构 在该结构中，包过滤路由器或防火墙与外部网络相连，同时一个堡垒机安装在内部网络，通过在包过滤路由器或防火墙上对过滤规则的设置，使堡垒机成为外部网上其他节点所能到达的唯一节点，这确保了内部网络不受未授权外部用户的攻击。,4.3 防火墙技术,4.3.3 防火墙的基本类型 3.复合型防火墙 （2）屏蔽子网防火墙体系结构 堡垒机放在一个子网内，两个分组过滤路由器放在这一子网的两端，使这一子网与外部网络及内部网络分离。在屏蔽子网防火墙体系结构中，堡垒主机和包过滤路由器共同构成了整个防火墙的安全基础。,4.3 防火墙技术,4.3.4 防火墙的优缺点 1.防火墙的优点 （1）防火墙能强化安全策略 （2）防火墙能有效地记录网络上的活动 （3）防火墙限制暴露用户点 （4）防火墙是一个安全策略的检查站,4.3 防火墙技术,4.3.4 防火墙的优缺点 2.防火墙的不足之处 （1）不能防范恶意的知情者 （2）不能防范不通过它的连接 （3）不能防备全部的威胁 （4）不能防范病毒,4.4 恶意软件,4.4.1 病毒及相关威胁 1.恶意程序 图4.9所示为软件威胁（恶意程序）的所有分类。这些威胁大致可以分为两类：依赖于宿主程序的和独立于宿主程序的。也可以按其是否进行复制而将软件威胁分成两类：不进行复制的威胁和进行复制的威胁。,图4.9 恶意程序的分类,4.4 恶意软件,4.4.1 病毒及相关威胁 2.病毒的特性 病毒是一种可以通过修改自身来感染其他程序的程序，这种修改包括对病毒程序的复制，复制后生成的新病毒同样具有感染其他程序的功能。 在其生命周期中，病毒一般会经历如下4个阶段。 (1) 潜伏阶段 (2) 传染阶段 (3) 触发阶段 (4) 发作阶段,4.4 恶意软件,4.4.1 病毒及相关威胁 3.病毒的种类 寄生性病毒 常驻存储器病毒 引导扇区病毒 隐蔽性病毒 多态性病毒,4.4 恶意软件,4.4.1 病毒及相关威胁 4.宏病毒 宏病毒利用了Word和其他办公软件的一个特点，即“宏”。宏是嵌入在Word文档或其他类似文档里的可执行程序代码。用户可以使用宏来自动完成某种重复任务，而不必重复敲击键盘。宏语言与Basic语言类似，用户可以在宏中定义一连串的按键操作，当输入某一功能键或功能键组合时，该宏就被调用了。,4.4 恶意软件,4.4.1 病毒及相关威胁 5.电子邮件病毒 近几年来发展比较快的恶意程序之一是电子邮件病毒。传播迅速的电子邮件病毒如“Melissa”是利用Microsoft Word宏嵌在电子邮件附件中，一旦接收者打开邮件附件，该 Word宏就被激活，然后执行下列操作： （1）向用户电子邮件地址簿中的地址发送感染文件； （2）就地发作。,4.4 恶意软件,4.4.1 病毒及相关威胁 6.蠕虫 蠕虫是能进行自我复制，并能自动在网络上传播的程序。 网络蠕虫具有计算机病毒的一些特征，也有4个阶段：潜伏阶段、传染阶段、触发阶段和发作阶段。,4.4 恶意软件,4.4.2 计算机病毒的防治 病毒的检测 计算机病毒发作时，通常会表现出一些异常症状，因此，用户需要经常关注异常现象的出现或者发生以检测计算机病毒。,4.4 恶意软件,4.4.2 计算机病毒的防治 2. 病毒的防治 计算机病毒的防治方法一般分为如下几种。 (1) 软件防治 (2) 在计算机上插防病毒卡 (3) 在网络接口卡上安装防病毒芯片 (4) 服务器防病毒方式,4.5 入侵检测技术,4.5.1 入侵者 入侵者可以分为以下三类。 1假冒者：指未经授权使用计算机的人或穿透系统的存取控制冒用合法用户账号的人。 2非法者：指未经授权访问数据、程序和资源的合法用户；或者已经获得授权访问，但是错误使用权限的合法用户。 3秘密用户：夺取系统超级控制并使用这种控制权逃避审计和访问控制，或者抑制审计记录的个人.。,4.5 入侵检测技术,4.5.2 入侵检测 入侵检测的前提是假设入侵者的行为在某些情况下不同于合法用户的行为。当然，入侵和合法用户正常使用资源的差别不可能十分明显，甚至他们的行为还有相似之处。图4.10非常抽象地表明了入侵检测系统的设计者所面临的任务。,图4.10 入侵者和授权用户的行为轮廓,4.5 入侵检测技术,4.5.2 入侵检测 1. 入侵检测原理 入侵检测通常是指对入侵行为的发觉或发现，通过从计算机网络或系统中某些检测点（关键位置）收集到的信息进行分析比较，从中发现网络或系统运行是否有异常现象和违反安全策略的行为发生。,4.5 入侵检测技术,4.5.2 入侵检测 1. 入侵检测原理 入侵检测的方法很多，一般的入侵检测系统原理如图4.11所示。,图4.11 入侵检测系统原理,4.5 入侵检测技术,4.5.2 入侵检测 2. 入侵检测体系结构 入侵检测体系结构主要有三种形式：基于主机型、基于网络型和分布式体系结构。 (1) 基于主机型的体系结构,图4.12 基于主机型的简单入侵检测系统结构,4.5 入侵检测技术,4.5.2 入侵检测 2. 入侵检测体系结构 (2) 基于网络型的体系结构,图4.13 基于网络型的入侵检测系统结构,4.5 入侵检测技术,4.5.2 入侵检测 2. 入侵检测体系结构 (3) 基于分布式的体系结构,图4.14 分布式入侵检测系统结构,4.5 入侵检测技术,4.5.2 入侵检测 3. 入侵检测步骤 (1) 收集信息。多方位收集检测对象的原始信息，包括系统、网络、数据及用户活动的状态和行为。 (2) 数据分析。根据采集到的原始信息，进行最基本的模式匹配、统计分析和完整性分析。,4.5 入侵检测技术,4.5.2 入侵检测 4. 入侵检测分类方法 (1)异常检测。给定正常操作所具有的稳定特征（包括用户轮廓）作参照，当用户活动与正常行为发生较大或重大偏差时，即被认为是异常入侵现象。 (2)误用检测。首先收集正常操作的行为特征（越多越细越好，表明档案完整充分），并建立相关的特征库。当检测的用户或系统行为与标准库中的记录相匹配时，系统就认为这种行为是入侵现象。,4.6 小结,本章阐述了信息安全的基本概念，简单介绍了密码技术、防火墙技术、恶意软件和入侵检测技术。主要内容如下。 ： （1）信息安全包括机密性、完整性、身份验证、不可抵赖性、可用性、可靠性和可审计性等要素。 （2）密码技术使得发送方可以伪装数据，使得入侵者不能从截取到的数据中获得任何有用信息，接收方必须能从伪装数据中恢复出原始数据。 （3）现代密码系统有对称密钥密码系统与非对称密钥密码系统。 （4）计算机网络中的数据加密可以在OSI参考模型七层协议的多层上实现，从加密技术应用的逻辑位置来看，主要有链路加密和端端加密两种方式。 （