windows系统安全0(安全模型与体系结构)
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。
IDS
网络型入侵检测系统(Network Intrusion Detection System, NIDS)的数据源来自网络上的数据包。一般地,用户可将某台 主机网卡设定为混杂模式,以监听本网段内所有数据包,判 断其是否合法。NIDS担负着监视整个网段的任务
IDS
NIDS的优点主要是使用简便,不会给运行 关键业务的主机和网络增加任何负担。
主机安全:主要考虑保护合法用户对于授权资源的使用, 防止非法入侵者对于系统资源的侵占与破坏.
其最常用的办法是利用操作系统的功能,如用户认证、访问 权限控制、扫描、 防毒软件、记帐审计、灾难恢复等。
网络安全:主要考虑网络上主机之间的访问控制,防止 来自外部网络的入侵,保护数据在网上传输时不被泄密 和修改
系 统 安 全 管 理
K e b e r o s
I D S
)数字签名
如 VPN
)漏洞来自百度文库描 安全设备 管理
网络接 口层
相邻节点 子网划分、 间的认证 VLAN、物理 (如MS隔绝 CHAP)
MDC MAC
点对点加密 (MS-MPPE)
物理保护
认证
访问控制
数据完整性
数据机密性
抗抵赖
可控性
可审计性
可用性
安全组件
主流操作系统(Windows Server, UNIX系统),防火墙(ACLs) 等都是基于自主访问控制机制来实现访问控制。
4 认证
密码认证 智能卡 生物特征(指纹、面部扫描、视网膜扫描、语音 分析) 位置认证(IP,反向DNS) Kerberos X.509
5 扫描器
扫描器可以说是入侵检测的一种,主要用来发现网 络服务、网络设备和主机的漏洞,通过定期的检测 与比较,发现入侵或违规行为留下的痕迹。当然, 扫描器无法发现正在进行的入侵行为,而且它还有 可能成为攻击者的工具
外部入侵技术的发展
外部入侵系统步骤
攻击的发展
一 攻击组织严密化 二 攻击行为趋利化 三 攻击目标直接化 四 僵尸网络发展迅速 五 针对网络基础设施的攻击数量有明显增多趋势 六 新型网络应用的发展带来了新的安全问题和威胁 (web浏览器,E-Mail和DNS服务,eMule,clubox,迅 雷等)
6 防毒软件
防毒软件是最为人熟悉的安全工具,可以检 测、清除各种文件型病毒、宏病毒和邮件病 毒等。在应对黑客入侵方面,它可以查杀特 洛伊木马和蠕虫等病毒程序,但对于基于网 络的攻击行为(如扫描、针对漏洞的攻击) 却无能为力
网络病毒防范
考虑内部网络系统运行环境复杂,网上用户数多,同 Internet 有连接等,需在网络上建立多层次的病毒防 护体系,对桌面、服务器和网关等潜在病毒进入点实 行全面保护。
对称加密:使用同一个秘密密钥加密和解密数据 非对称加密:使用一对密钥加密解密数据 HASH散列算法:用HASH函数把信息混杂,使其不可恢复 原状
3 访问控制
强制访问控制(Mandatory access control)
系统独立于用户行为强制执行访问控制,用户不能改变他们的安全级 别或对象的安全属性。这种访问控制规则通常对数据和用户按照安全 等级划分标签,访问控制机制通过比较安全标签来确定授予还是拒 绝用户对资源的访问。强制访问控制进行了很强的等级划分,所以经 常用于军事用途。
7 安全审计系统
安全审计系统通过独立的、对网络行为和主机操作 提供全面与忠实的记录,方便用户分析与审查事故 原因,很像飞机上的黑匣子。由于数据量和分析量 比较大,目前市场上鲜见特别成熟的产品
8 入侵检测与防御系统(IDS)
IDS: intrusion Detection System IDS的主要功能包括检测并分析用户在网络中的活 动,识别已知的攻击行为,统计分析异常行为,核 查系统配置和漏洞,评估系统关键资源和数据文件 的完整性,管理操作系统日志,识别违反安全策略 的用户活动等。
•信息安全的基本特征
攻击的不确定性
攻击发起的时间、攻击者、攻击目标和攻击发起的地点都 具有不确定性 信息安全是一项系统工程,需要技术的和非技术的手段, 涉及到安全管理、教育、培训、立法、国际合作与互不侵 犯协定、应急反应等
复杂性:
目录
1 安全威胁
2信息安全特性 3信息安全的目的 4 信息安全体系
防止内部威胁的保护方法:
a. 对工作人员进行仔细审查; b.仔细检查硬件、软件、安全策略和系统配制,以便在一 定程度上保证运行的正确性(称为可信功能度)。 c.审计跟踪以提高检测出这种攻击的可能性。
外部威胁:外部威胁的实施也称远程攻击。
a.搭线(主动的与被动的); b.截取辐射; c.冒充为系统的授权用户, 或冒充为系统的组成部分; d.为鉴别或访问控制机制设置旁路 等。
其最常用的方法是防火墙、加密、入侵检测 等。
1 防火墙
防火墙通常被比喻为网络安全的大门,用来 鉴别什么样的数据包可以进出企业内部网。
在应对黑客入侵方面,可以阻止基于IP包头的攻击和非信任 地址的访问。 无法阻止和检测基于数据内容的黑客攻击和病毒入侵, 无法控制内部网络之间的违规行为
2 加密
使用加密机制,确保信息不暴漏给未授权的实体或进程,即 “看不懂”,从而实现信息的保密性。
安全工作目的(二)
使用数据完整性鉴别机制,保证只有得到允许的人才能 修改数据,而其它人“改不了”,从而确保信息的完整 性。
使用审计、监控、防抵赖等安全机制,使得攻击者、破 坏者、抵赖者“走不脱”,并进一步对网络出现的安全 问题提供调查依据和手段,实现信息安全的可审查性。
安全体系结构
安全策略(security policy) 是指在一个特定的环境里,为保证提供一定级别的安全 保护所必须遵守的一系列条例、规则。 安全策略具备普遍的指导意义,重要性在于指导作用。 安全服务(security service ) 是由安全机构所提供的服务;它确保该系统的系统服务 或数据传送具有足够的安全性。
目录
1 安全威胁
2 信息安全特性 3 信息安全的目的 4 信息安全体系
信息安全的基本特征
相对性
只有相对的安全,没有绝对的安全系统。
信息安全的基本特征
时效性
新的漏洞与攻击方法不断发现
配置相关性
日常管理中的不同配置会引入新的问题(安全测评只证明特 定环境与特定配置下的安全) 新的系统部件会引入新的问题(新的设备的引入、防火墙配置 的修改)
(3)建立基于Internet网关的反病毒系统
在代理服务器(Proxy)网关上安装基于网关的反病毒软 件,堵住来自Internet通过Http或Ftp等方式进入内部网络的 病毒,而且可过滤恶意ActiveX,Java和Java Applet程序。
(4)建立病毒管理控制中心
在中心控制台(安全管理控制台)实施策略配置和管理、统 一事件和告警处理、保证整个网络范围内病毒防护体系的一 致性和完整性。通过自动更新、分发和告警机制,使桌面PC 和服务器等设备自动获得最新的病毒特征库,完成终端用户 软件及病毒特征信息的自动更新和升级,以实现网络病毒防 范系统的集中管理。
安全服务
在计算机网络中,主要的安全防护措施被称作安 全服务。网络通信中目前主要有五种安全服务
认证服务 :提供实体的身份的保证 访问控制服务 :防止对资源的非授权使用 机密性服务 :对数据提供保护使之不被非授权地泄露 完整性服务 :保护数据防止未授权的改变、删除或替代 非否认服务 :提供凭证,防止发送者否认或接收者抵赖已接收到相 关的信息
安全模型与体系结构
目录
1 安全威胁
2 信息安全特性 3 信息安全的目的 4 信息安全体系结构
1 网络中存在的安全威胁
信息丢失,篡改,销毁 内部,外部泄密 缓冲区溢出 后门,隐蔽通道 逻辑炸弹 计算机病毒、木马 未授权访问 拒绝服务攻击
安全威胁来源
安全威胁来源分为:内部和外部。 内部威胁:系统的合法用户以非授权方式访问系统。 多数已知的计算机犯罪都和系统安全遭受损害的 内部攻击有密切的关系。
信息安全的目的
安全工作的目的就是通过采用合适的安全技术与安
全管理措施,完成以下任务:
安全工作目的(一)
使用认证机制,阻止非授权用户进入网络,即“进不来”, 从而保证网络系统的可用性。 使用授权机制,实现对用户的权限控制,即不该拿走的“拿 不走”,同时结合内容审计机制,实现对网络资源及信息的 可控性。
目录
1 安全威胁
2信息安全特性 3信息安全的目的 4 信息安全体系架构
信息安全的层次
层次一:物理环境的安全性(物理层安全) 层次二:操作系统的安全性(系统层安全) 层次三:网络的安全性(网络层安全) 层次四:应用的安全性(应用层安全) 层次五:管理的安全性(管理层安全)
安全层次
整体安全 技术因素
IDS
主机型入侵检测系统(Host Intrusion Detection System, HIDS)往往以系统日志、应用程序日志 等作为数据源,当然也可以通过其他手段从所在的 主机收集信息,并进行分析。HIDS主要针对其所在 的系统进行非法行为的检测.
小结
安全不是纯粹的技术问题,是一项复杂的系统工 程 安全是策略,技术与管理的综合
现有TCP/IP网络安全技术框架
应用层安全协议(如S/MIME、SHTTP、SNMPv3) 应用层 用户身份 认证 授权与代理服务 器防火墙如CA.
第三方公证(如
安全服务 管理
入侵检测(
传输层安全协议(如SSL/TLS、PCT、SSH、SOCKS) 传输层 电路级防火 网络层安全协议(如IPSec) 网络层 (IP) 数据源认 证IPSecAH 包过滤 防火墙 安全机制 响应、恢复 管理 审计、日志
自主访问控制(Discretionary access control)
自主访问控制机制允许对象的属主来制定针对该对象的保护策略。通 常DAC通过授权列表(或访问控制列表)来限定哪些主体针对哪些客 体可以执行什么操作。如此将可以非常灵活地对策略进行调整。由于 其易用性与可扩展性,自主访问控制机制经常被用于商业系统。
(1) 建立基于桌面的反病毒系统
在内部网中的每台桌面机上安装单机版的反病毒软件,实时监测和捕 获桌面计算机系统的病毒,防止来自软盘、光盘以及活动驱动器等的 病毒来源。
(2)建立基于服务器的反病毒系统
在网络系统的文件及应用服务器上安装基于服务器的反病毒软件,实 时监测和捕获进出服务器的数据文件病毒,使病毒无法在网络中传播。