信息安全原理及从业人员安全素养.ppt

《信息安全原理及从业人员安全素养.ppt》由会员分享，可在线阅读，更多相关《信息安全原理及从业人员安全素养.ppt（191页珍藏版）》请在三一文库上搜索。

1、,信息安全原理及从业人员安全素养,v1,信息安全金牌课程,01,信息安全概述,第一章,信息安全原理及从业人员安全素养,第 2 页,定义,信息安全是指信息化系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或恶意的破坏、更改、泄露，以保证信息化系统连续可靠地运行，信息服务不中断。 信息安全“三要素” ，即需保证数据的保密性、交易的完整性（不被非法篡改）、所寄生系统的可用性。这三要素相互作业目的是确保业务的连续性。 企业在确保“合规 ”（国家法律、法规、行业规范、企业规章制度）的大前提下，信息安全处将建立适合本企业的科学、有效管理体系，并要求各单位通过管理、技术二大手段，开

2、展一系列工作。,第一节. 信息安全概述,第一章,交易完整性,系统可用性,数据保密性,业务连续性,第 3 页,第一章,第 4 页,第二节. 信息安全紧迫性（1）,01,应用环境风险,第一章,第 5 页,第二节. 信息安全紧迫性（2）,第一章,第三节. 身边的安全事件,第 6 页,01,应用环境风险,第一章,第 7 页,第三节. 身边的安全事件,第一章,学生姓名、 家长手机信息!,老师信息!,第 8 页,第三节. 身边的安全事件,第一章,第 9 页,第三节. 身边的安全事件,第一章,第 10 页,第三节. 身边的安全事件,第一章,第 11 页,第三节. 身边的安全事件,第一章,第 12 页,第三节

3、. 身边的安全事件,第一章,快看，信息裸奔！,第 13 页,第三节. 身边的安全事件,第一章,第 14 页,第三节. 身边的安全事件,第一章,第 15 页,第三节. 身边的安全事件,第一章,第四节. 安全态势分析（1）,第 16 页,叛国者,正义的化身,自恋狂,斯大爷,恐怖主义者,临时工,英雄,泄密者,众盼亲离,卫士,小人,罪犯,WHO IS HE?,6月6日，美国华盛顿邮报披露称，过去6年间，美国国家安全局和联邦调查局通过进入微软、谷歌、苹果、雅虎等九大网络巨头的服务器，监控美国公民的电子邮件、聊天记录、视频及照片等秘密资料。美国舆论随之哗然。,第一章,第四节. 安全态势分析（1）,第 17

4、 页,第一章,第四节. 安全态势分析（2）,第 18 页,2月27日，中央网络安全和信息化领导小组成立，在北京召开了第一次会议。习近平任组长，李克强、刘云山任副组长。这再次体现了中国最高层全面深化改革、加强顶层设计的意志，显示出在保障网络安全、维护国家利益、推动信息化发展的决心。,第一章,第四节. 安全态势分析（2）,第 19 页,政治局常委任组长的部分小组,中央全面深化改革领导小组,中央网络安全和信息化领导小组,中央外事/国家安全工作领导小组,中央对台工作领导小组,中央财经领导小组,国务院振兴东北地区等工业基地领导小组,国家科技教育领导小组,国务院西部地区开发领导小组,国家应对气候变化及节能

5、减排工作领导小组,第一章,第四节. 安全态势分析（2）,第 20 页,第一章,第四节. 安全态势分析（1）,第 21 页,第四章,第 22 页,第四节. 安全态势分析（2）,01,信息安全保障体系,第二章,第 23 页,信息安全原理及从业人员安全素养,第二章,第 24 页,第一节. 信息安全保障背景和实践,电讯技术的发明 19世纪30年代,计算机技术的发展 20世纪50年代,计算机安全阶段 20世纪60年代,互联网的使用 20世纪90年代,通信保密阶段 20世纪40年代,信息安全保障阶段 20世纪90年代,第二章,第 25 页,第二节. 信息安全保障基础,信息系统的复杂性,系统的自身缺陷 互联

6、网的开放性,人为、环境因素,非法入侵、破坏、窃取 多方面自然威胁,内、外因相互作用,第二章,第 26 页,第三节. 信息安全保障体系,保 障 要 素,技 术,管 理,工 程,人 员,规划组织,安全特征,可 用 性,完 整 性,保 密 性,生 命 周 期,开发采购,实施交付,运行维护,废 弃,安全保障,安全技术保障,安全管理保障,安全工程保障,人员保障,安全保障评估,保 障,产生,给出证据,信 心,所有者,需要,生命周期,安全工程保障控制要求,人 员 保 障,安全工程能力成熟度级要求,安全管理保障控制要求,安全技术保障控制要求,安全管理能力成熟度级要求,安全技术架构能力成熟度级要求,信息系统安全

7、保障控制,能力成熟度级别,风 险,那么,最小化,资 产,梳理,使 命,完成,01,基础技术与原理,第三章,第 27 页,信息安全原理及从业人员安全素养,第三章,第 28 页,第一节. 密码技术 概念,口令?密码?,口令是与账户ID对应的，需要两者完全匹配来验证身份的登陆认证。账户ID可明文公开，而口令作为账户ID的补充，一般加密，为加密口令。,密码是指通过一定的算法，将明文加密后，形成的密文，是保密信息的具体内容。把口令等同于密码的说法，实际是缩小了密码的范畴，是不合适的。,第三章,第 29 页,强口令要求 1、至少8个字符以上；（计算，有多少种排列组合？） 2、必须同时包含字母、数字、特殊符

8、号在内； 3、英文中不包含账户ID、姓名、公司名称，不包含完整的单词； 4、英文字母大小写混用； 5、数字中，不出现生日、规则序列； 6、不同于最近3次；,第一节. 密码技术 口令,第三章,第 30 页,第一节. 密码技术 之 对称密钥,替换算法,-3,+3,第三章,第 31 页,第一节. 密码技术 之 对称密钥,置换算法,替换算法,-3,+3,第三章,第 32 页,第一节. 密码技术 之 非对称密钥,加解密过程,明文 m,明文 m,密文 c,加密算法 E,D 解密算法,密钥源,密钥k,密钥k,普通信道,安全信道,攻击者,m K,加密:,解密:,第三章,第 33 页,第三节. 访问控制技术,访

9、问控制模型,访问 控制 模型,自主访问 控制模型 DAC,强制访问 控制模型 MAC,基于角色访问 控制模型 RBAC,访问矩阵模型,保密性模型,完整性模型,混合策略模型,访问控制表（ACL）,访问能力表（CL）,Bell-Lapudula 模型,Biba 模型,Clark-Wilson 模型,Chinese Wall 模型,第三章,第 34 页,第三节. 访问控制技术,访问控制模型,01,网络安全,第四章,第 35 页,信息安全原理及从业人员安全素养,第四章,第 36 页,第一节. 网络安全基础,纠错、流控制,电、物理信号、线路,寻址、路由,物理层,网络控制、链路纠错,网络接口层,通讯机制、

10、验证服务,格式转换、加/解密,链路层,网络层,传输层,会话层,表示层,应用层,提供应用软件的接口,互联层,传输层,传输层,OSI 和 TCP/IP,ISO/OSI,TCP/IP,第四章,第 37 页,第二节. 网络安全威胁技术（1）,互联网信息收集,综合扫描,IP地址扫描,端口扫描,漏洞扫描,弱口令扫描,第四章,第 38 页,第二节. 网络安全威胁技术（2）,网络嗅探,嗅探(sniff)，就是窃听网络上流经的数据包，而数据包里面一般会包含很多重要的私隐信息，如：你正在访问什么网站，你的邮箱密码是多少，你在和哪个MM聊QQ等等而很多攻击方式（如著名的会话劫持）都是建立在嗅探的基础上的。,B机,C

11、机,D机,E机,交换机,网关,我是网关,我是B机,ARP攻击者,截获B机的数据包!,第四章,第 39 页,第二节. 网络安全威胁技术（3）,网络协议欺骗,协议类型：包括TCP欺骗和UDP欺骗 攻击层面：在传输层实施的通信欺骗攻击 攻击方式：是通过将外部计算机伪装成合法计算机来实现的,欺骗的目的是使其它计算机误将攻击者的计算机作为合法计算机接受,从而诱使其它计算机向攻击者计算机发送数据或允许它修改数据,最终破坏计算机间通信链路上的正常数据流,或者在两台计算机的通信链路中插入数据.,B机,ARP攻击者,A机,1.用DDos攻击使B瘫痪,2.源 IP=B,SYN,4.源 IP=B,ACK,5.源 I

12、P=B,开始通信,3.SYN+ACK,第四章,第 40 页,第二节. 网络安全威胁技术（4）,DNS欺骗,基于DNS服务器欺骗,基于用户计算机的欺骗,设置正确的固定DNS,第四章,第 41 页,第二节. 网络安全威胁技术（5）,诱骗式攻击,第四章,第 42 页,第二节. 网络安全威胁技术（6）,软件漏洞攻击,第四章,第 43 页,第二节. 网络安全威胁技术（7-1）,拒绝服务攻击,定义：拒绝服务攻击（Denial of Service,DoS）攻击者向目标计算机发出数量众多的攻击数据包，消耗目标计算机的大量网络带宽和计算机资源，使得目标主机无法提供服务响应的攻击方式. 实现方式： 1）利用目标

13、主机自身存在的DoS漏洞； 2）耗尽目标主机的CPU和内存； 3）耗尽目标主机的网络带宽； DoS攻击分类 1）IP层协议攻击（反射型DoS攻击） 2）TCP协议攻击（协议缺陷型DoS攻击） 3）UDP协议攻击（针对DNS服务的UDP洪水攻击） 4）应用层协议攻击（脚本洪水攻击）,第四章,第 44 页,第二节. 网络安全威胁技术（7-2）,分布式拒绝服务攻击,定义：就是在DoS攻击基础上，由攻击者通过非法控制的大量第三方计算机辅助其攻击的一种攻击方式，DDoS可简单理解为多对一的攻击. 实现方式： 1）感染上千台服务器，是其成为傀儡机（肉鸡），并具备发动DoS攻击能力； 2）上千台肉鸡构成的僵

14、尸网络，等待来自主控中心的攻击命令； 3）中央攻击控制中心在适时启动全体受控主机的DoS服务进程，让它们对一个特定目标发送尽可能多的网络访问请求，形成一股DoS洪流冲击目标系统，猛烈的DoS攻击同一个网站。,D.DoS攻击者,主控端,主控端,主控端,DoS代理端 （肉鸡）,DoS代理端 （肉鸡）,DoS代理端 （肉鸡）,DoS代理端 （肉鸡）,DoS代理端 （肉鸡）,DoS代理端 （肉鸡）,受害服务器,第四章,第 45 页,第二节. 网络安全威胁技术（9）,WEB脚本攻击 之 sql注入,定义：所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺

15、骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击,第四章,第 46 页,第二节. 网络安全威胁技术（9）,WEB脚本攻击 之 跨站,定义： 跨站攻击，即Cross Site Script Execution(通常简写为XSS)。 是指攻击者利用网站程序对用户输入过滤不足，输入可以显示在页面上对其他用户造成影响的HTML代码，从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。,);alert(xss);/,如果改成ipconfig,后果?,如果 net user a

16、bcdef 123456 /add 增加用户 如果 net localgroup administrators abcdef /add -提权 （各种如果）,第四章,第 47 页,第二节. 网络安全威胁技术（9）,远程控制,网页木马实际上是一个HTML网页，与其它网页不同的是该网页是黑客精心制作的，用户一旦访问了该网页就会中木马。为什么说是黑客精心制作的呢？因为嵌入在这个网页中的脚本恰如其分地利用了IE浏览器的漏洞，让IE在后台自动下载黑客放置在网络上的木马并运行（安装）这个木马，也就是说，这个网页能下载木马到本地并运行（安装）下载到本地电脑上的木马，整个过程都在后台运行，用户一旦打开这个网页

17、，下载过程和运行（安装）过程就自动开始。,第四章,第 48 页,第二节. 网络安全威胁技术（9）,远程控制,攻击者,被控制的跳板机, 先种个木马（客户端）, 再种个木马（服务端）, 更新攻击IP、端口列表, 查询列表，获取攻击者IP、端口, 请求连接, 建立连接成功,目标主机,第四章,第 49 页,第三节. 网络安全防护技术（1）,防火墙,DMZ,Web服务器 192.168.48.98：80,邮件服务器 192.168.48.100：25,FTP服务器 192.168.48.100：21,DMZ口：eth2 192.168.48.97,内网口：eth0 192.168.91.25,外网口：e

18、th1 180.40.38.20,路由器 180.40.38.254,内网交换机,内网设备,Internet,ANY,端口访问,端口映射 180.40.38.30:80 180.40.38.30:25 180.40.38.30:21,第四章,第 50 页,第三节. 网络安全防护技术（2-1）,入侵检测,DMZ,Web服务器 192.168.48.98：80,邮件服务器 192.168.48.100：25,FTP服务器 192.168.48.100：21,DMZ口：eth2 192.168.48.97,内网口：eth0 192.168.91.25,外网口：eth1 180.40.38.20,路由

19、器 180.40.38.254,内网交换机,内网设备,Internet,ANY,端口访问,端口映射 180.40.38.30:80 180.40.38.30:25 180.40.38.30:21,探测器,探测器,第四章,第 51 页,第三节. 网络安全防护技术（2-2）,入侵防御,DMZ,Web服务器 192.168.48.98：80,邮件服务器 192.168.48.100：25,FTP服务器 192.168.48.100：21,DMZ口：eth2 192.168.48.97,内网口：eth0 192.168.91.25,外网口：eth1 180.40.38.20,路由器 180.40.38

20、.254,内网交换机,内网设备,Internet,探测器,探测器,IPS,IPS,第四章,第 52 页,第三节. 网络安全防护技术（3）,PKI,明文 m,明文 m,密文 c,加密算法 E,D 解密算法,密钥源,密钥k,密钥k,普通信道,安全信道,攻击者,m K,解密:,第四章,第 53 页,第三节. 网络安全防护技术（3）,PKI,P. 53,Hash( ),Hash( ),数字签名 常指基于公钥密码技术的数字信息的认证方法，是一种重要的电子签名方式，提供主体身份和数据来源认证、完整性验证和不可抵赖性等安全服务，如DSA、RSA和El Gamal算法； 数字签名时，首先使用散列函数（如SHA

21、-1）生成数据的文摘，然后使用发送者的私钥对文摘进行加密生成数字签名，将其于数据一起发送给接收者； 验证时，首先使用发送者公钥解密数字签名得到文摘，然后使用散列函数生成文摘，如果其与解密得到文摘相同，证明所收到的数据是发送者发送的； 数字签名的有效性取决于算法及其安全实现、私钥的保密性、公钥的完整性等多种因素；,第四章,第 54 页,第三节. 网络安全防护技术（3）,PKI,Hash( ),Hash( ),证书中心CA,数字证书,第四章,第 55 页,第三节. 网络安全防护技术（4）,VPN,在公用网络上建立专用网络，进行加密通讯。在企业网络中有广泛应用。VPN网关通过对数据包的加密和数据包目

22、标地址的转换实现远程访问。VPN有多种分类方式，主要是按协议进行分类。VPN可通过服务器、硬件、软件等多种方式实现。VPN具有成本低，易于使用的特点。,总部,分支机构,分支机构,Vpn路由器,Vpn路由器,Vpn网关,外出员工,IPSec VPN,IPSec VPN,SSL VPN,第四章,第 56 页,第三节. 网络安全防护技术（5）,应用层安全协议,第四章,第 57 页,第三节. 网络安全防护技术（5-1）,应用层安全协议,Kerberos协议主要用于计算机网络的身份鉴别(Authentication), 其特点是用户只需输入一次身份验证信息就可以凭借此验证获得的票据(ticket-gra

23、nting ticket)访问多个服务，即SSO(Single Sign On)。由于在每个Client和Service之间建立了共享密钥，使得该协议具有相当的安全性。,身份鉴别服务AS,票据许可服务TGS,1,2,3,4,客户端,服务器,5,6,1,客户端向AS申请进行身份验证;,2,AS验证客户端身份,发放通过验证的票据;,3,客户端提供AS验证票据,向TSG申请服务器访问;,4,TSG验证后,签发可以访问服务器票据;,5,客户端提供TSG验证票据,向服务器申请访问;,6,服务器验证完客户端访问票据后,开放其权限;,01,通讯安全,第五章,第 58 页,信息安全原理及从业人员安全素养,第五

24、章,第 59 页,第一节. 通讯安全 之 通讯发展史,通讯发展史(1分钟影片),从”击鼓传信”、“烽火通讯”.,第五章,第 60 页,第三节. 无线网络攻击方法,常用攻击方法,篡改,冒充,伪造,通讯量监测,资源消耗攻击,虫洞攻击,黑洞攻击,RUSHING攻击,第五章,第 61 页,第三节. 无线网络攻击方法,泛洪攻击,第五章,第 62 页,第三节. 无线网络攻击方法,黑洞攻击,黑洞攻击，即采用路由选择方式时，在路由发现阶段恶意节点向接收到的路由请求包中加入虚假可用信道信息，骗取其他节点同其建立路由连接，然后丢掉需要转发的数据包，造成数据包丢失的恶意攻击。,DoS攻击特点 难于防范：最严重的拒绝

25、服务攻击大都基于协议层缺陷，无法用系统升级和打补丁的方式预防。 破坏力强：全球诸多大型网络服务商都曾饱受其害，包括Yahoo(雅虎)、Amazon(亚马逊)、Microsoft(微软)、Ebay、美国白宫等等，国内受害单位也不在少数。 易于发动：攻击门槛低，攻击工具已经泛滥，具有初级安全知识的人就可以很容易策动和实施危害很大的攻击。 追查困难：多数DoS攻击很难追查。 危害面广：除了导致主机宕机外，还可能导致整个网络瘫痪。,第五章,第 63 页,第四节. 无线网络安全协议（2）,WEP协议,WEP是Wired Equivalent Privacy的简称，有线等效保密（WEP）协议是对在两台设备

26、间无线传输的数据进行加密的方式，用以防止非法用户窃听或侵入无线网络。不过密码分析学家已经找出 WEP 好几个弱点，因此在2003年被 Wi-Fi Protected Access (WPA) 淘汰，又在2004年由完整的 IEEE 802.11i 标准（又称为 WPA2）所取代。WEP 虽然有些弱点，但也足以吓阻非专业人士的窥探了。,第五章,第 64 页,第四节. 无线网络安全协议,WEP改进后的TKIP,这种安全标准为了增强WLAN的数据加密和认证性能，定义了RSN（Robust Security Network）的概念，并且针对WEP加密机制的各种缺陷做了多方面的改进。 IEEE 802.

27、11i规定使用802.1x认证和密钥管理方式，在数据加密方面，定义了TKIP（Temporal Key Integrity Protocol）、CCMP（Counter-Mode/CBC-MAC Protocol）和WRAP（Wireless Robust Authenticated Protocol）三种加密机制。其中TKIP采用WEP机制里的RC4作为核心加密算法，可以通过在现有的设备上升级固件和驱动程序的方法达到提高WLAN安全的目的。,第五章,第 65 页,第四节. 无线网络安全协议,WPAI协议,IEEE 802.11的 临时过渡协议,IEEE 802.11i 的 认证形式,Mich

28、ael-CCMP (讯息认证码) RC4-AES 取代,增大钥匙和初向量 减少封包个数 安全讯息验证系统,第五章,第 66 页,第五节. 无线网络安全技术,无线网关安全防护,路由器（家庭网关）的防护策略，都有哪些？,没有不能破解的无线加密,WPA2加密,关闭SSID广播,修改默认IP,调节发射功率,及时升级固件,MAC地址过滤,停用DHCP,AP设备强密码,第五章,第 67 页,第五节. 无线网络安全技术（1）,SSID、ESSID,SSID（Service Set Identifier）AP唯一的ID码，用来区分不同的网络，无线终端和AP的SSID必须相同方可通信。出于安全考虑可以不广播SS

29、ID，此时用户就要手工设置SSID才能进入相应的网络。,第五章,第 68 页,第五节. 无线网络安全技术（2）,直接序列扩频,传送的信号,扩频后的信号,伪随机 PN码,解扩后的信号,收到的信号,伪随机 PN码,第五章,第 69 页,第五节. 无线网络安全技术（3）,访问控制,第五章,第 70 页,第五节. 无线网络安全技术（4）,RADIUS服务,RADIUS服务器,RADIUS客户端,用户DB,客户端密钥DB,字典DB,（1） 用户输入用户名和密码,（2）用户输入用户名和密码,（3）认证通过,（4）计费请求（start）,（5）计费响应,（6）访问交互 访问交互,（7）计费请求（stop）,

30、（8）计费响应,（9） 通知认证结束,用户,第五章,第 71 页,第五节. 无线网络安全技术（5）,入侵检测系统,第五章,第 72 页,第五节. 无线网络安全技术（6）,生物特征识别,视网膜、脸型,指纹、掌纹,声音、签名,手型、虹膜,第五章,第 73 页,第五节. 无线网络安全技术（7）,双因素认证,LOGIN:,PASSCODE:,都教授,AY08,PIN,159759,已初始化为全球同步时间,令牌码:通常为60s变化一次,内部电池,唯一的128位种子,令牌码,+,双因素口令 =,一致,同步,RSA认证服务期,第五章,第 74 页,第五节. 无线网络安全技术（8）,智能卡,01,系统安全,第

31、六章,第 75 页,信息安全原理及从业人员安全素养,第六章,第 76 页,第一节. 操作系统安全,操作系统安全,1,8,7,目录及文件夹控制 文件安全,备份和恢复 冗余和镜像,系统架构 关键系统组件,系统服务 进程,启动过程 安全子系统,登陆验证 用户权限,日志 审计,本地策略 组策略,4,6,2,3,5,第六章,第 77 页,第一节. 操作系统安全,账户安全策略,第六章,第 78 页,第一节. 操作系统安全,组安全策略,第六章,第 79 页,第一节. 操作系统安全,UNIX文件策略,第六章,第 80 页,第二节. 数据库安全,用户标识和鉴定,第六章,第 81 页,第二节. 数据库安全,存取控

32、制,第六章,第 82 页,第二节. 数据库安全,审计,第六章,第 83 页,第二节. 数据库安全,数据加密,口令的HASH值,第六章,第 84 页,第二节. 数据库安全 之 10大威胁,特权滥用,第六章,第 85 页,第二节. 数据库安全 之 10大威胁,提权,SQLGRANT sysdba TO SCOTT;,-将特权帐户授权给其它帐户,第六章,第 86 页,第二节. 数据库安全 之 10大威胁,平台漏洞,第六章,第 87 页,第二节. 数据库安全 之 10大威胁,SQL注入,第六章,第 88 页,第二节. 数据库安全 之 10大威胁,审计缺失,拒绝服务,自动记录所有敏感的和异常的数据库事务

33、应该是所有数据库部署基础的一部分。如果数据库审计策略不足,则系统将在很多级别上面临严重风险。,通过多种技巧，为拒绝服务创造条件，其中利用漏洞来制造拒绝服务攻击。常见的系统故障场景：资源过载。,第六章,第 89 页,第二节. 数据库安全 之 10大威胁,协议漏洞,备份数据暴露,数据库的漏洞，一半以上都是和协议有关。针对这些漏洞的欺骗性活动包括未经授权的数据访问、数据破坏以及拒绝服务。,备份数据库存储介质对于攻击者是毫无防护措施的。因此，在若干起著名的安全破坏活动中都是数据库备份磁带和硬盘被盗,第六章,第 90 页,第二节. 数据库安全 之 10大威胁,不健全认证,暴力：攻击者不断尝试、枚举用户名

34、和口令组合，直到猜解可登陆的一组。甚至通过自动化程序，加快暴力破解的进度。而此过程，系统全然不知。 社会工程：攻击者利用人天生容易相信别人的倾向来获取他人的信任，从而获得登陆凭证。 直接窃取：攻击者可能通过抄写在即时贴上的内容或者复制密码文件来窃取登陆凭证；如下图,第六章,第 91 页,第二节. 数据库安全 之 安全检查,端口扫描,第六章,第 92 页,第二节. 数据库安全 之 安全检查,渗透测试,第六章,第 93 页,第二节. 数据库安全 之 安全检查,运行监控,01,应用安全,第七章,第 94 页,信息安全原理及从业人员安全素养,第七章,第 95 页,第一节. 软件漏洞,概念及分类,多年以

35、来，在计算机软件（包括来自第三方的软件，商业的和免费的软件）中已经发现了不计其数能够削弱安全性的缺陷（bug）。黑客利用编程中的细微错误或者上下文依赖关系，已经能够控制Linux，让它做任何他们想让它做的事情。,参数错误类,错误使用资源,经验欠缺类错误,管理不规范类,漏洞,13.下载未经完整性检查 14.不正确的初始化 15.使用被破解的加密算法 16.滥用特权操作,1.错误的输入验证 2.不正确的转义输出 3.SQL注入)错误 4.跨站脚本,5.操作系统命令注入 6.明文传送敏感信息 7.资源竞争 8.错误信息泄露,9.缓冲区内操作失败 10.外部控制重要状态数据 11.不可信搜索路径 12

36、.控制代码生成错误,第七章,第 96 页,第一节. 软件漏洞,缓冲区溢出漏洞,第七章,第 97 页,第一节. 软件漏洞,格式化字符串漏洞,猜猜这是啥？,第七章,第 98 页,第一节. 软件漏洞,软件漏洞案例,第七章,第 99 页,第一节. 软件漏洞,软件漏洞案例 心脏出血,第七章,第 100 页,第二节. 软件安全开发,建立安全威胁模型,第七章,第 101 页,第二节. 软件安全开发,安全设计,代码重用,业务认可,最少公用,全面防御,最小权限,开放设计,原则,安全加密,实效防护,第七章,第 102 页,第二节. 软件安全开发,安全编程,数据的机密性 使用验证过的加密算法；使用非对称传递会话密钥

37、；使用会话加密机制加密传输数据；给用户最低权限，操作结束后即时回收； 数据的完整性 检查访问路径、调用的返回代码及关键的输入参数；全面处理异常输入输出；检查竞争条件； 数据的有效性 检查环境参数；使用绝对路径；设置超时；对不同角色权限作不同限制；对IP、端口进行限制；采用新版本的开发环境；对内存中数据的访问进行严格的检查；,第七章,第 103 页,第二节. 软件安全开发,安全测试,构造畸形数据,验证输入输出文件,全面测试异常处理,全面检测输入,测试非正常路径,采用反汇编检测敏感信息,第七章,第 104 页,第三节. 软件安全检测,静态安全检测技术,1,词法分析,2,数据流分析,3,污点传播分析

38、,4,符号执行,5,模型检验,6,定理证明,动态安全检测技术,1,生成模糊测试数据,2,检测模糊测试数据,3,监测程序异常,4,确定可利用性,第七章,第四节. 软、硬件安全保护,注册信息验证技术,软件防篡改技术,代码混淆技术,软件水印技术,软件加壳技术,软件安全保护技术,反调试反跟踪技术,加密狗,光盘保护技术,专用接口卡,1,1,2,2,3,第 105 页,第七章,第五节. 恶意程序,分类,木马,蠕虫病毒,恶意脚本,宏病毒,单一病毒,第 106 页,第七章,第五节. 恶意程序,传播方式,网站挂马、诱骗下载、移动存储介质传播、电子邮件和即时通讯软件传播、局域网传播,破坏功能,浏览器配置被修改、窃

39、取用户隐私、远程控制、破坏系统,第 107 页,第七章,第五节. 恶意程序,查杀技术和防范,第 108 页,第七章,第六节. WEB应用系统安全,威胁种类,注入、跨站、遭破坏的身份认证和会话、不安全的直接对象引用、伪造跨站请求、安全配置错误、不安全的加密存储、无限制URL访问、传输层保护不足、未经验证的重定向和转发,第 109 页,第七章,第六节. WEB应用系统安全,WEB安全防护,客户端安全防护,通信信道安全防护,服务器安全防护,WEB安全防护,第 110 页,第七章,第六节. WEB应用系统安全,WEB安全检测,黑盒检测,白盒检测,安全检测,检测报告,第 111 页,01,信息设备安全,

40、第八章,第 112 页,信息安全原理及从业人员安全素养,第八章,第一节. 计算机设备安全风险,接入控制,第 113 页,第八章,第一节. 计算机设备安全风险,第 114 页,键盘控制,第八章,第三节. 穿戴式设备安全,穿戴式设备安全,iWatch 智能手表,谷歌眼镜,头盔显示器,鼓点T恤,手套式手机,智能手环,第 115 页,01,互联网应用安全,第九章,第 116 页,信息安全原理及从业人员安全素养,1969,1987,1991,1994,1996,2000,2007,2014,2010,2013,1969年 美国 Internet的诞生：ARPAnet 1987.9.14 ，中国的第一封邮

41、件从北京计算机应用技术研究所发出 1991年 美国政府宣布Internet向社会公众开放 1994.5.15，中国科学院高能物理研究所设立了国内第一个WEB服务器，推出中国第一套网页， 1995年 Internet上的商务信息超过科研信息 1996.9.22，全国第一个城域网-上海热线正式开通试运行,各国融入Internet,第九章,第一节. 互联网发展史,第 117 页,1969,1987,1991,1994,1996,2000,2007,2014,2010,2013,1997年 中国四大骨干网互联互通； 1998.11.29，马化腾创办了腾讯 1999年 招商银行推出“一网通”网上银行；

42、2000年，网易、新浪、搜狐陆续登陆纳斯达克； 互联网进入快速发展期,各国融入Internet,Internet快速发展,第 118 页,第九章,第一节. 互联网发展史,1969,1987,1991,1994,1996,2000,2007,2014,2010,2013,1997年 IBMHPSUN 宣布1998年为电子商务年； 1998年3月，中国第一笔互联网网上交易成功 ； 2001年，李彦宏创立“百度”，为国内各网站提供搜索服务； 2003年，阿里巴巴相继成立“淘宝”、“支付宝”； 2007年，阿里巴巴在香港上市；,各国融入Internet,电子商务崛起,Internet快速发展,第 11

43、9 页,第九章,第一节. 互联网发展史,1969,1987,1991,1994,1996,2000,2007,2014,2010,2013,2009年成为我国的3G元年，我国正式进入第三代移动通信时代； 2010年，腾讯360之争，称为3Q大战； 2010年3月10日,中国移动以人民币398亿元收购浦发银行22亿新股；,各国融入Internet,电子商务崛起,Internet快速发展,互联网金融,第 120 页,第九章,第一节. 互联网发展史,1969,1987,1991,1994,1996,2000,2007,2014,2010,2013,2013年12月4日工信部正式向三大运营商发布4G牌

44、照，标志着真正移动互联网高速发展期的到来；,各国融入Internet,电子商务崛起,Internet快速发展,互联网金融,移动互联网,第 121 页,第九章,第一节. 互联网发展史,第 122 页,第九章,第二节. 互联网应用风险,3月22日晚间，国内漏洞研究机构乌云平台曝光称，携程系统开启了用户支付服务接口的调试功能，包括信用卡用户的身份证、卡号、CVV码等信息可能被黑客任意窃取。,第 123 页,第九章,第二节. 互联网应用风险,第 124 页,第九章,第二节. 互联网应用风险,网页木马实际上是一个HTML网页，与其它网页不同的是该网页是黑客精心制作的，用户一旦访问了该网页就会中木马。为什

45、么说是黑客精心制作的呢？因为嵌入在这个网页中的脚本恰如其分地利用了IE浏览器的漏洞，让IE在后台自动下载黑客放置在网络上的木马并运行（安装）这个木马，也就是说，这个网页能下载木马到本地并运行（安装）下载到本地电脑上的木马，整个过程都在后台运行，用户一旦打开这个网页，下载过程和运行（安装）过程就自动开始。,第 125 页,第九章,第二节. 互联网应用风险,QQ群安全防护,第 126 页,第九章,第三节. 移动互联网安全风险,不过，相比手机中木马病毒的风险，手机支付最大的安全隐患是丢失和被盗。 因为支付宝里绑定了银行卡，如果手机丢了，密码被破解盗用，那么个人银行账户可能也危险了。” 另外，不法分子可能发起对其社会关系及社交圈的攻击，隐患可能远远大于其本身的信息泄露或被盗，后果不堪设想。,虚拟信用卡,微信安全,第 127 页,第九章,第三节. 移动互联网安全风险,虚拟信用卡,微博安全,第 128 页,第九章,第四节. 支付和移动支付安全风险,虚拟信用卡,第 129 页,第九章,第四节. 支付和移动支付安全风险