网络安全基础知识培训-天融信

针对网络通讯层的攻击
生产部 工程部 市场部 人事部
DMZ E-Mail File Transfer HTTP
中继 路由
Intranet
调制解调器 企业网络
Internet
通讯 & 服务层
• TCP/IP • IPX • X.25 • Ethernet • FDDI • Router Configurations • Hubs/Switches
• 没有对被保护的系统大量的充分的快速的 部署
没有绝对的安全
• 开放最少服务提供最小权限原则 • 安全需求平衡
– 过分繁杂的安全政策将导致比没有安全 政策还要低效的安全。
– 需要考虑一下安全政策给合法用户带来 的影响在很多情况下如果你的用户所感 受到的不方便大于所产生的安全上的提 高，则执行的安全策略是实际降低了你 公司的安全有效性。
GB/T 18336衍生标准 GB/T 18019 包过滤防火墙安全技术要求 GB/T 18018 路由器安全技术要求 GB/T 18020 应用级防火墙安全技术要求 GB/T 17900 网络代理服务器的安全技术要求 ……
GB 17859衍生标准 GA/T 390 计算机信息系统安全等级保护通用技术要求 GA/T 388 计算机信息系统安全等级保护操作系统技术要求 GA/T 389 计算机信息系统安全等级保护数据库管理系统技术要求 GA/T 387 计算机信息系统安全等级保护网络技术要求 GA/T 391 计算机信息系统安全等级保护管理要求 ……
BS 7799, ISO/IEC 17799 信息安全管理实践准则 其他相关标准、准则
例如：ISO/IEC 15443, COBIT。。。
ISSE 信息系统安全工程
SSE-CMM 系统安全工程能力成熟度模型
系统认证和认可标准和实践 例如：美国DITSCAP, …
中国信息安全产品测评认证中心 相关文档和系统测评认证实践
针对应用服务的攻击
SAP R/3
生产部
工程部
市场部 人事部
DMZ E-Mail File Transfer HTTP
中继 路由
Intranet
Oracle 企业网络
Internet
应用服务程序
• Web服务器 • 数据库系统 • 内部办公系统 • 网络浏览器 • ERP 系统 • 办公文件程序 • FTP SMTP POP3
特殊的认证技术
Kerberos Kerberos系统是美国麻省理工学院为
Athena工程而设计的，为分布式计算环境提 供一种对用户双方进行验证的认证方法
One-time passwords(OPT) 为了解决固定口令的诸多问题，安全专家
提出了一次性口令的密码体制，以保护关键 的计算资源
访问控制
访问控制列表 (ACL) 执行控制列表 (ECL)
安全威胁
五) 利用网络传播病毒 通过网络传播计算机病毒，其破坏性大
大高于单机系统，而且用户很难防范。
六) 假冒 假冒合法身份破坏正常工作。
七)抵赖 否认接收过或发送过信息。
为什么我们不能杜绝攻击事件的发生
• 日趋精密的攻击以及以INTERNET为基础 的技术快速发展
• 符合的IT技术人员和资金的缺乏而不能获 得更多的资源
不安全的
安全策略
安全间隙
实际安全到达标准
安全的
部署安全保卫措施
生产部 工程部
DMZ E-Mail File Transfer HTTP
中继
路由
Internet
防火墙的能力有限
市场部 人事部
Intranet
企业网络
内部/个体 内部/组织 外部/个体 外部/组织 安全患
尚不了解实际的危机
生产部 工程部 市场部 人事部
建立一个有效的安全矩阵
• 安全距阵
– 一个安全矩阵由单个操作系统安全特征、 日志服务和其他的装备包括防火墙，入侵 检测系统，审查方案构成。
• 安全矩阵系统最主要的几个方面
– 允许访问控制 – 容易使用 – 合理的花费 – 灵活性和伸缩性 – 优秀的警报和报告
保护资源
• 终端用户资源
– The workstations used by employees – 威胁 : Viruses,trojans, Active X,applet
典型的攻击方式及安全规则
• 字典攻击和暴力破解法 • BUG和后门 • 社会工程和非直接攻击
字典攻击和暴力攻击
• 暴力程序攻击 – 所有能够可以被穷举的资源都可以成为 暴力破解的目标 – 邮箱密码破解 – 流光4.7
Bugs 和后门
• 缓冲区溢出 – Buffer Overflow
• 后门 – Root kits
安全策略
• 建立一个有效的安全策略 – 为你的系统分类 – 指定危险因数 – 确定每个系统的安全优先级 – 定义可接受和不可接受的活动 – 决定在安全问题上如何教育所有员工 – 确定谁管理你的政策
加密
加密类型 1. 对称加密 2. 非对称加密 3. Hash加密
认证
认证方法 1. 证明你知道什么 2. 出示你拥有的 3. 证明你是谁 4. 鉴别你在哪里
家
网络攻击后果
利润
攻击发生 (财政影响)
Q1 Q2 Q3 Q4
可见的网络攻击影响
• 财政损失 • 知识产权损失 • 时间消耗 • 由错误使用导致的生
产力消耗
• 责任感下降 • 内部争执
网络安全风险
• 安全需求和实际操作脱离 • 内部的安全隐患 • 动态的网络环境 • 有限的防御策略 • 安全策略和实际执行之间的巨大差异
八项安全实施建议
• 成为一个安全的偏执狂 • 完整的安全策略 • 不要采取单独的系统或技术 • 部署公司范围的强制策略
八项安全实施建议
• 提供培训 – 终端用户 管理员 经理
• 根据需要购置安全设备 • 识别安全的商业问题 • 考虑物理安全
Module 2: 我们眼中的网络安全
未知的安全间隙不容忽视
• 信息存储资源
– Human resources and e-commerce databases – 威胁: Obtaining trade secrets,customer data
黑客的分类
• 偶然的破坏者 • 坚定的破坏者 • 间谍
安全基本元素
审计 管理 加密 访问控制
用户验证 安全策略
机
访 问 控 制
防远 代 火程 理 墙用 服
户务 鉴器 别 系 统
病
安
毒
全
防
管
范
理
防防 病病 毒毒 软制 件度
密 网信 钥 络息 管 监检 理 视查
审系 计统 系 统
信息系统使命 信息系统建模，。。。
GB 18336 idt ISO/IEC 15408 信息技术安全性评估准则 IATF 信息保障技术框架
通讯&服务层弱点
• 超过1000个TCP/IP服务安全漏洞: – Sendmail, FTP, NFS, File Sharing, Netbios, NIS, Telnet, Rlogin, 等.
• 错误的路由配置 • TCP/IP中不健全的安全连接检查机制 • 缺省路由帐户 • 反向服务攻击 • 隐蔽 Modem
二) 信息泄露
安全威胁
1.敏感数据在有意或无意中被泄漏出去。信息 在传输中丢失或泄漏（电磁泄漏或搭线窃 听；对信息流向、流量、通信频度和长度 等参数的分析，推出有用信息；猜测用户 口令、帐号等重要信息。）
2. 信息在存储介质中丢失或泄漏。 通过建立隐蔽通道等窃取敏感信息等。
安全威胁
三)破坏数据完整性
DMZ E-Mail File Transfer HTTP
中继
路由
Internet
实际安全问题还有 很多
Intranet
企业网络
内部/个体 内部/组织 外部/个体 外部/组织 安全隐患
管理分析 & 实施策略
生产部
添加所有 操作系统Patch
工程部
市场部
数据文件加密
人事部
DMZ ? E-Mail
更改缺省? F的ile Transfer 系统口?令HTTP
应用程序服务的攻击弱点
• Web 服务器: – 错误的Web目录结 构 – CGI脚本缺陷 – Web服务器应用程 序缺陷 – 私人Web站点 – 未索引的Web页
• 数据库: – 危险的数据库读取 删 除操作
• 路由器: – 源端口/源路由
• 其他应用程序:
– Oracle, SAP, Peoplesoft 缺省 帐户
《计算机信息系统安全保护等级划分准则》GB17859-1999（技术法规）规定： 国家对信息系统实行五级保护。
《国家信息化领导小组关于加强信息安全保障工作的意见》重点强调： 实行信息安全等级保护制度，重点保护基础信息网络和重要信息系统。
TCSEC 1985
UK Confidence
Levels 1989
• 网络资源
– Routers,switches,wiring closets, telephony – 威胁: IP spoofing,system snooping
• 服务器资源
– DNS,WEB, Email, FTP 等服务器 – 威胁: Unauthorized entry, D.O.S, trojans
审计
被动式审计 主动式审计
1. 结束一个登陆会话 2. 拒绝某些主机的访问 3. 跟踪非法活动的源位置
安全的权衡考虑和缺点
增加了复杂性 不得不培训用户如何使用你需要的安全机制
降低了系统响应时间 认证，审计和加密机制会降低系统性能
网络安全问题增长趋势
• Internet 技术飞速发展 • 有组织的网络攻击 • 企业内部安全隐患 • 有限的安全资源和管理专
1.以非法手段窃得对数据的使用权，删除、 修改、插入或重发某些重要信息，以取得 有益于攻击者的响应；
2. 恶意添加，修改数据，以干扰用户的正常 使用。
安全威胁
四) 拒绝服务攻击
1.不断对网络服务系统进行干扰，改变其正 常的作业流程。
2. 执行无关程序使系统响应减慢甚至瘫痪， 影响正常用户的使用，甚至使合法用户被 排斥而不能进入计算机网络系统或不能得 到相应的服务。
社会工程和非直接攻击
• 打电话请求密码 • 伪造电子邮件 • 拒绝服务攻击
– To crash a server and make it unusable
– Masquerade the identity of the attacked system
– Viruses, bugs and service flaws
GERMAN Criteria
FRENCH Criteria
等级化标准渊源
CTCPEC 1993
FC 1993
ITSEC 1991
GB 17859-1999
CC V1.0 1996 V2.0 1998 V2.1 1999
ISO/IEC 15408-1999
GB/T 18336-2001
等级化衍生标准
中继
路由
用户安全培训
关闭安全维护
“I后nt门er”net
入侵检测 实时监控
Intranet
Modem 安企装业认证网&络授权
内部/个体 内部/组织 外部/个体
授权复查
安全隐患
外部/组织
信息安全的目的
进
拿
改
看
跑
可
不
不
不
不
不
审
来
走
了
懂
了
查
信息安全体系
鉴
加
别
密
远数 程字 用签 户名 鉴 别 系 统
链 IP 邮 文 路协件件 加议加加 密加密密 机密
技术准则 （信息技术系统评估准则）
信
息
系
管理准则 （信息系统管理评估准则）
统 安 全
性
评
估
准
过程准则
则
（信息系统安全工程评估准则）
国家信息安全保障体系框架
组
技
基
产
人
环
织
术
础
业
材
境
管
保
设
支
培
建
理
障
施
撑
养
设
等级化保护的政策依据
1994年，《中华人民共和国计算机信息系统安全保护条例》第二章安全保护制 部分规定： “计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的 具体办法，由公安部会同有关部门制定。”
针对操作系统的攻击
生产部 工程部 市场部 人事部
DMZ E-Mail File Transfer HTTP
中继 路由
Intranet
企业网络
Internet
操作系统
• UNIX • Windows • Linux • Freebsd • Macintosh • Novell
操作系统的安全隐患
• 1000个以上的商用操作系统安全漏洞 • 没有及时添加安全补丁 • 病毒程序的传播 • 文件/用户权限设置错误 • 默认安装的不安全设置 • 缺省用户的权限和密码口令 • 用户设置过于简单密码使用 • 特洛依木马
– 有缺陷的浏览器
额外的不安全因素
内部个体 生产部
工程部
DMZ E-Mail File Transfer HTTP
中继
路由
市场部 人事部
Intranet
企业网络
内部/组织
外部/组织
Internet
外部个体
网络的普及使学习网络进攻变得容易
• 全球超过26万个黑客站点提供系统漏洞和 攻击知识
• 越来越多的容易使用的攻击软件的出现 • 国内法律制裁打击力度不够