《物联网信息安全》(桂小林版)(第6章)

入侵检测
• 入侵检测可以被定义为识别出正在发生的入侵企图或已经 发生的入侵活动的过程。 • 对外部入侵（非授权使用）行为的检测。 • 对内部用户（合法用户）滥用自身权限的检测。
6.3 入侵检测
入侵检测的概念
入侵检测系统
• 进行入侵检测的软件与硬件的组合便是入侵检测系统（ Intrusion Detection System，IDS）
病毒查杀工具运行原理图(Android系统）
6.4 攻击防护
沙箱工具
沙箱是为一些来源不可信、具有破坏力或无法判定程序 意图的程序同实验的环境。
软件安全判定沙箱工具工作原理(Android系统）
6.4 网络安全通信协议
协议
协议是指两个或多个以上参与者为完成某项特定的任务 而采取的一系列步骤。
6.2 恶意攻击
木马攻击的原理
木马植入原理
• 通过电子邮件附件的方式 • 捆绑在各类软件中 • 网页挂马
木马隐藏原理
• 木马程序隐藏 • 启动隐藏方式 • 进程隐藏 • 通信隐藏 • 通过设备驱动和动态连接口隐藏
6.3 入侵检测
入侵检测的概念
入侵
• 入侵是指在信息系统中进行非授权的访问或活动，不仅指 非系统用户非授地登陆系统和使用系统资源，还包括系统 内的用户滥用权力对系统造成的破坏，如非法盗用他人帐 户，非法获得系统管理员权限，修改或删除系统文件等。
6.3 入侵检测
入侵检测系统
入侵检测的方法
• 特征检测 • 统计检测 • 专家系统 • 其他检测方法
6.3 入侵检测
入侵检测系统
入侵检测的方法
• 特征检测 • 统计检测 • 专家系统 • 其他检测方法
– 基于免疫系统的检测方法 – 遗传算法 – 基于内核的检测方法
6.3 入侵检测
入侵检测系统
• IP协议在实现通信的过程中并不能为数据提供完整性和机密性保 护，缺少基于IP地址的身份认证机制，容易遭到IP地址欺骗攻击
6.4 网络安全通信协议
传输层协议的安全隐患
TCP协议的安全隐患
• 服务器端维持大量的半连接列表而耗费一定的资源。 • 序列号可计算
UDP协议的安全隐患
• 不确认报文是否到达 • 不进行流量控制 • 不作纠错和重传
入侵检测的内容
• 试图闯入 • 成功闯入 • 冒充其他用户 • 违反安全策略 • 合法用户的泄漏 • 独占资源以及恶意使用
6.3 入侵检测
入侵检测系统
组成
• 数据源 • 探测器 • 分析器 • 管理器 • 管理员 • 安全策略
6.3 入侵检测
入侵检测系统
入侵检测系统分类
• 基于网络的入侵检测系统（Network Intrusion Detection System，NIDS） • 基于主机的入侵检测系统（Host-based Intrusion Detection System，HIDS）
NIDS
• 优势：独立与操作系统，检测实时性强 • 缺点：需要传回大量的网络数据包，无法分析加密数据， 存在攻击特征被拆分的情况等
6.3 入侵检测
入侵检测系统
HIDS
• 优势
– 能很好的处理加密数据包 – 可以综合多个数据源进行分析 – 高速网络情况下不存在数据表丢失的情况
• 缺点
– 降低系统性能 – 配置和维护困难 – 逃避检测 – 存在数据欺骗的问题 – 实时性较差
6.3 入侵检测
入侵检测系统
蜜网的原型系统
• 防火墙 • 入侵检测系统 • 二层网关 • 蜜网
6.3 入侵检测
入侵检测系统
病毒检测
• 检测方法
– 直接观察法 – 特征代码法 – 校验和法 – 行为监测法 – 软件模拟法
6.4 攻击防护
防火墙
概念
• 防火墙（Firewall）是一种用来加强网络之间访问控制的 特殊网络设备，常常被安装在受保护的内部网络连接到 Internet的点上，它对传输的数据包和连接方式按照一定 的安全策略对其进行检查，来决定网络之间的通信是否被 允许。 • 防火墙内的网络称为“可信赖的网络”(trusted network)，而将外部的因特网称为“不可信赖的网络 ”(untrusted network)。 • 防火墙可用来解决内联网和外联网的安全问题。
属于安全协议，是指在计算机网络中使用的具有安全功 能的通信协议。
6.4 网络安全通信协议
TCP/IP安全分析
由于TCP/IP协议簇在早期设计时是以面向应用为根本目 的的，因此未能充分考虑到安全性及协议自身的脆弱性 、不完备性，导致网络中存在着许多可能遭受攻击的漏 洞。 网络层协议的安全隐患
病毒攻击的原理
计算机病毒
• 计算机病毒（Computer Virus）的广义定义是一种人为 制造的、能够进行自我复制的、具有对计算机资源的破坏 作用的一组程序或指令的集合。 • 《中华人民共和国计算机信息系统安全保护条例》中定义 的计算机病毒是指编制或者在计算机程序中插入的破坏计 算机功能或者破坏数据，影响计算机使用并且能够自我复 制的一组计算机指令或者程序代码。
熟悉网络安全通信协议
根据本章文献，参阅一篇感兴趣的文献并总结。
3
6.1系统安全概念
系统安全的范畴
嵌入式节点的安全
网络通信系统的安全
存储系统的安全
4
6.1系统安全概念
系统安全的隐患
什么是安全威胁
安全威胁是指对安全的一种潜在的侵害，威胁的实施称为攻击 信息安全的威胁就是指某个主体对信息资源的机密性、完整性 、可用性等所造成的侵害。
– 也称通道模式，是用来保护整个IP数据报，通常在SA的一 端或是两端都是安全网关时使用
6.4 网络安全通信协议
IPSec协议
IPSec工作模式比较
传输模式
验证IP有效载荷和IP报头及 IPv6扩展报头的选择部分 加密IP有效载荷和跟在ESP报 头后面的任何IPv6扩展 加密IP有效载荷和跟在ESP报 头后面的任何IPv6扩展；验证IP有 效载荷，但没有IP报头
通信协议
通信协议是指通信各方关于通信如何进行所达成的一致 性规则，即由参与通信的各方按确定的步骤做出一系列 通信动作，是定义通信实体之间交换信息的格式及意义 的一组规则。
6.4 网络安全通信协议
安全协议
安全协议是指通过信息的安全交换来实现某种安全目的 所共同约定的逻辑操作规则。
网络安全通信协议
行为否认 非授权访问
6
6.2 恶意攻击
什么是恶意攻击
网络恶意攻击通常是指利用系统存在的安全漏洞或弱点 ，通过非法手段获得某信息系统机密信息的访问权，以 及对系统部分或全部的控制权，并对系统安全构成破坏 或威胁。
恶意攻击的来源
恶意软件
• 木马 • 蠕虫 • 病毒
DDoS
6.2 恶意攻击
6.4 攻击防护
防火墙
功能
• 防火墙的功能有两个：阻止和允许。 • “阻止”就是阻止某种类型的通信量通过防火墙（从外部 网络到内部网络，或反过来）。 • “允许”的功能与“阻止”恰好相反。 • 防火墙必须能够识别通信量的各种类型。不过在大多数情 况下防火墙的主要功能是“阻止”。
6.4 攻击防护
入侵检测系统
蜜罐和蜜网
• 蜜网（Honeynet）
– 蜜网的概念由蜜罐发展而来，是由真实计算机组成的网络系 统，部署有入侵检测系统，系统和网络的安全防护级别设置 较低，诱导入侵者进入系统，并监控和记录入侵者的行为
• 蜜网和蜜罐的异同
– 蜜网是一个网络系统，而并非某台单一主机 – 蜜网中的所有系统都是标准的机器，上面运行的都是真实完 整的操作系统及应用程序 – 蜜罐是通过把系统的脆弱性暴露给入侵者或是故意使用一些 具有强烈诱惑性的信息的假信息来诱骗入侵者 – 蜜网是在入侵检测的基础上实现入侵诱骗
6.2 恶意攻击
病毒攻击的原理
病毒攻击的原理分析
• 以引导型病毒为例分析
正常DOS自举
带病毒的DOS自举
6.2 恶意攻击
木马攻击的原理
什么是木马
• 木马是一种后门程序，黑客可以利用其盗取用户的隐私信 息，甚至远程控制对方的计算机。 • 完整的木马程序一般由两个部份组成，一个是服务器被控 制端程序，一个是客户端控制端程序。
6.4 网络安全通信协议
IPSec协议
IPSec的组成
• Authentication Header（AH，验证报头）协议
– 定义了认证的应用方法，提供数据源认证和完整性保证
• Encapsulating Security Payload（ESP，封装安全有 效负载）协议
– 定义了加密和可选认证的应用方法，提供可靠性保证
防火墙
在网络中的位置
防火墙 不可信赖的网络
分组过滤 应用网关 路由器 R
分组过滤 路由器 R
可信赖的网络
因特网
外局域网
G
内局域网
内联网
6.4 攻击防护
防火墙
恶意软件检测防护工具
恶意软件检测防护工具的工作原理(Android系统)
6.4 攻击防护
病毒查杀
毒查杀就是指利用各类安全工具发现系统中隐藏的各类 可疑病毒程序，并且能够清除感染对象中的病毒，恢复 被病毒感染前的原始信息的能力。
6.2 恶意攻击
病毒攻击的原理
病毒的特征
• 可执行性 • 传染性 • 非授权性 • 隐蔽性 • 潜伏性 • 破坏性 • 寄生性 • 不可预见性 • 诱惑欺骗性
6.2 恶意攻击
病毒攻击的原理
病毒的分类
• 引导型病毒 • 文件型病毒 • 复合型病毒 • 宏病毒 • 计算机蠕虫 • 特洛伊木马
木马典型攻击原理