信息安全基础知识讲座课件.pptx

《信息安全基础知识讲座课件.pptx》由会员分享，可在线阅读，更多相关《信息安全基础知识讲座课件.pptx（99页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、guangxi lzq网络安全基础知识网络安全基础知识1l安全知识安全知识l攻击简介攻击简介l安全措施安全措施提纲2一、安全知识3什么是安全？v国际标准化组织（国际标准化组织（ISO）引用）引用ISO74982文献文献中对安全的定义是这样的，安全就是最大程中对安全的定义是这样的，安全就是最大程度地减少数据和资源被攻击的可能性。度地减少数据和资源被攻击的可能性。v对于我们而言，安全的关键，或者说一个安全对于我们而言，安全的关键，或者说一个安全计划的目的是保护公司的财产。计划的目的是保护公司的财产。4安全的基本原则 v可用性（可用性（availability）保证经过认证的用保证经过认证的用户能够

2、对数据和资源进行适时和可靠的访问。户能够对数据和资源进行适时和可靠的访问。（如（如DOS攻击）攻击）v完整性（完整性（integrity）是指保证信息和系统的是指保证信息和系统的准确性和可靠性，并禁止对数据的非授权的准确性和可靠性，并禁止对数据的非授权的修改。（如用户硬盘满了，不小心删除了重修改。（如用户硬盘满了，不小心删除了重要的文件。财务录入数据错误，工资要的文件。财务录入数据错误，工资3000写写成成30000！）！）v机密性（机密性（confidentiality）提供了保证在每提供了保证在每一个数据处理和防止未经授权的信息泄漏的一个数据处理和防止未经授权的信息泄漏的交叉点上都能够加强

3、必要的安全级别的能力。交叉点上都能够加强必要的安全级别的能力。（网络监控、肩窥、社交工程等）（网络监控、肩窥、社交工程等）5安全的基本原则v可用性可用性 防止服务和工作能力的崩溃。防止服务和工作能力的崩溃。v完整性完整性 防止对系统和信息进行未经授权的修防止对系统和信息进行未经授权的修改。改。v机密性机密性 防止未经授权而透露某些敏感信息。防止未经授权而透露某些敏感信息。v简称简称AIC安全三原则安全三原则:可用性（可用性（availability）、）、完整性（完整性（integrity）和机密性）和机密性（confidentiality）6AIC安全三原则安全对象安全对象可用性可用性完整性

4、完整性机密性机密性7安全要素v脆弱性脆弱性v威胁威胁v风险风险v暴露暴露v对策（或安全措施）对策（或安全措施）8安全要素定义（1）v脆弱性（脆弱性（vulnerability）是一种软件、硬件是一种软件、硬件或是过程缺陷，这种缺陷也许会给攻击者提或是过程缺陷，这种缺陷也许会给攻击者提供他正在寻找的方便之门，这样他就能够进供他正在寻找的方便之门，这样他就能够进入某台计算机或某个网络，并在这个系统中入某台计算机或某个网络，并在这个系统中对资源进行未经授权的访问。对资源进行未经授权的访问。v存在脆弱性说明缺少了安全应该使用的安全措存在脆弱性说明缺少了安全应该使用的安全措施，或者安全措施比较脆弱。如，

5、防火墙上施，或者安全措施比较脆弱。如，防火墙上的某个开放端口，由于警卫的松懈使得任何的某个开放端口，由于警卫的松懈使得任何人都可以进入服务器室，或者是服务器和工人都可以进入服务器室，或者是服务器和工作站上没有加强管理的密码。作站上没有加强管理的密码。9安全要素定义（2）v威胁（威胁（threat）是对信息或系统任何潜在的是对信息或系统任何潜在的威胁。威胁就是某人或某事，将确定一个特威胁。威胁就是某人或某事，将确定一个特定的弱点，并用它来危害公司或个人。定的弱点，并用它来危害公司或个人。v利用脆弱点的实体被称为威胁因素。利用脆弱点的实体被称为威胁因素。v威胁因素可能是通过防火墙上端口访问网络的威

6、胁因素可能是通过防火墙上端口访问网络的闯入者，违反安全策略进行数据访问的过程，闯入者，违反安全策略进行数据访问的过程，毁坏了设施的强台风，或是某个雇员，他犯毁坏了设施的强台风，或是某个雇员，他犯了一个不经意的错误，从而可能泄漏保密信了一个不经意的错误，从而可能泄漏保密信息或是破坏文件的完整性。息或是破坏文件的完整性。10安全要素定义（3）v风险（风险（risk）是威胁因素利用脆弱性进行攻是威胁因素利用脆弱性进行攻击的可能性。或者说，风险是威胁因素利用击的可能性。或者说，风险是威胁因素利用脆弱性所造成的损失的潜能或是可能性。脆弱性所造成的损失的潜能或是可能性。v如果一个防火墙有几个开放端口，那么

7、入侵者如果一个防火墙有几个开放端口，那么入侵者利用其中的一个端口对网络进行非授权访问利用其中的一个端口对网络进行非授权访问的可能性就会增大。如果网络没有安装入侵的可能性就会增大。如果网络没有安装入侵检测系统，那么攻击在不引人注意的情形下检测系统，那么攻击在不引人注意的情形下进行直到发现晚矣的可能性就大。降低脆弱进行直到发现晚矣的可能性就大。降低脆弱性或者是降低威胁因素就可以降低风险。性或者是降低威胁因素就可以降低风险。11安全要素定义（4）v暴露（暴露（exposure）是因威胁因素而遭受损失是因威胁因素而遭受损失的一个案例。的一个案例。v脆弱性可能导致一个组织遭受可能的损失。如脆弱性可能导致

8、一个组织遭受可能的损失。如果密码管理非常随便松懈，密码规则也没有果密码管理非常随便松懈，密码规则也没有得到加强，那么公司用户密码就有可能被盗得到加强，那么公司用户密码就有可能被盗取并在没有授权的情况下被使用。如果一个取并在没有授权的情况下被使用。如果一个公司的规章制度没有得到监管，不预先采取公司的规章制度没有得到监管，不预先采取措施于防火警，那么它就有可能会遭受潜在措施于防火警，那么它就有可能会遭受潜在的毁坏性的火灾。的毁坏性的火灾。12安全要素定义（5）v对策（对策（countermeasure），或者安全措施，），或者安全措施，可以减轻潜在的风险。可以减轻潜在的风险。v一项对策可以是一个软

9、件配置、硬件或者是程一项对策可以是一个软件配置、硬件或者是程序，它能够消除脆弱性或减小威胁因素利用序，它能够消除脆弱性或减小威胁因素利用脆弱性的风险。对策可以是强有力的密码管脆弱性的风险。对策可以是强有力的密码管理措施，一个安全警卫，操作系统内部的访理措施，一个安全警卫，操作系统内部的访问控制机制，安装防火墙进行访问控制，还问控制机制，安装防火墙进行访问控制，还有员工安全意识培训等。有员工安全意识培训等。13各个安全要素之间的关系威胁因素威胁因素威胁威胁脆弱性脆弱性风险风险暴露暴露资产资产安全措施安全措施引起引起利用利用导致导致可以破坏可以破坏并引起一个并引起一个能够被预防，通过能够被预防，通

10、过直接作用到直接作用到14自顶向下的方法自顶向下的方法v安全策略是公司安全计划的蓝图，为上层建筑安全策略是公司安全计划的蓝图，为上层建筑提供了必要的基础。如果安全计划以一个坚提供了必要的基础。如果安全计划以一个坚实的基础开头，并且随着时间的推移向着预实的基础开头，并且随着时间的推移向着预定的目标发展，那么公司就不必在中间作出定的目标发展，那么公司就不必在中间作出大的改动。大的改动。没有蓝图没有蓝图的房子的房子15风险分析v风险分析（实际上是一种风险管理工具）是识风险分析（实际上是一种风险管理工具）是识别风险及其可能造成的损失，从而调整安全别风险及其可能造成的损失，从而调整安全防卫措施的方法。风

11、险是威胁因素利用脆弱防卫措施的方法。风险是威胁因素利用脆弱性损害系统或环境的可能性。风险分析用来性损害系统或环境的可能性。风险分析用来保证安全措施是划算的，并能适当而适时地保证安全措施是划算的，并能适当而适时地对威胁作出反应。对威胁作出反应。v风险分析有风险分析有4个主要目标：个主要目标：1.标识财产和它们面临的威胁标识财产和它们面临的威胁;2.量化潜在威胁的商业影响量化潜在威胁的商业影响;3.计算风险计算风险;4.以及在风险影响和对策费用之间达到预算的以及在风险影响和对策费用之间达到预算的平衡。平衡。16风险分析中的三个主要步骤第第1步步指派资产和指派资产和信息价值信息价值第第2步步风险分析

12、风险分析和评估和评估第第3步步选择和实施选择和实施防护措施防护措施17信息和资产的价值v附加于信息之上的价值与其涉及到的集团相关，附加于信息之上的价值与其涉及到的集团相关，此外，为开发该信息而付出的代价，为维护此外，为开发该信息而付出的代价，为维护该信息而花费的资金，如果该信息丢失或遭该信息而花费的资金，如果该信息丢失或遭到破坏将带来的损失，如果另外一个集团得到破坏将带来的损失，如果另外一个集团得到该信息能够获取的利益，等等这些都与信到该信息能够获取的利益，等等这些都与信息的价值相关。息的价值相关。18构成价值的成本v数据的实际价值是获取、开发和维护它所需要数据的实际价值是获取、开发和维护它所

13、需要消耗的费用。该价值是由数据对其所有者、消耗的费用。该价值是由数据对其所有者、授权用户和非授权用户所具有的价值来决定授权用户和非授权用户所具有的价值来决定的。的。v一项资产价值应该反映这样一种指标：当该资一项资产价值应该反映这样一种指标：当该资产遭受损害时，将会造成多少可确定的代价。产遭受损害时，将会造成多少可确定的代价。19构成价值的成本v在给信息和资产定价的时候，下面的这些问题应该在给信息和资产定价的时候，下面的这些问题应该被考虑到：被考虑到：v获取或开发该资产的所需的成本；获取或开发该资产的所需的成本；v维护和保护该资产所需的成本；维护和保护该资产所需的成本；v该资产对所有者和用户所具

14、有的价值；该资产对所有者和用户所具有的价值；v该资产对竞争对手所具有的价值；该资产对竞争对手所具有的价值；v知识产权的价值；知识产权的价值；v某人愿意为购买该资产所付出的价格；某人愿意为购买该资产所付出的价格；v在损失的情况下替换该资产所需的费用；在损失的情况下替换该资产所需的费用；v在该资产不可用的情况下损失的运行和工作能力；在该资产不可用的情况下损失的运行和工作能力；v该资产贬值时的债务问题；该资产贬值时的债务问题；v该资产的用处；该资产的用处；v一个非常重要的问题就是，如果该公司不保护这些一个非常重要的问题就是，如果该公司不保护这些数据，将会造成多大的损失。数据，将会造成多大的损失。20

15、识别威胁 威胁和脆弱性之间的关系威胁和脆弱性之间的关系威胁因素威胁因素可能利用的脆弱性可能利用的脆弱性导致的威胁导致的威胁病毒病毒缺少防病毒软件缺少防病毒软件病毒感染病毒感染黑客黑客服务器上运行功能强大的服务服务器上运行功能强大的服务对保密信息的非授权访问对保密信息的非授权访问用户用户操作系统中配置错误的参数操作系统中配置错误的参数系统故障系统故障火灾火灾缺少灭火器材缺少灭火器材设施和计算机损失，可能造成生命损失设施和计算机损失，可能造成生命损失雇员雇员松懈的访问控制机制松懈的访问控制机制损坏重要的关键信息损坏重要的关键信息承包人承包人松懈的访问控制机制松懈的访问控制机制盗窃商业机密盗窃商业机

16、密攻击者攻击者写得很差的应用程序写得很差的应用程序造成缓冲溢出造成缓冲溢出入侵者入侵者缺少安全警卫缺少安全警卫打破窗户，盗窃计算机和设备打破窗户，盗窃计算机和设备雇员雇员缺少审计缺少审计在数据处理应用程序中更改输入和输出在数据处理应用程序中更改输入和输出攻击者攻击者缺少严格的防火墙设置缺少严格的防火墙设置进行拒绝服务攻击进行拒绝服务攻击21定量风险分析v风险分析有两种：风险分析有两种：定量的定量的和和定性的定性的。v定量的定量的方法将对策的成本和可能发生的损失大方法将对策的成本和可能发生的损失大小用具体的数字进行量化。小用具体的数字进行量化。v分析中的每一个要素（资产价值、威胁频率、分析中的每

17、一个要素（资产价值、威胁频率、脆弱性的严重程度、损失影响、安全措施的脆弱性的严重程度、损失影响、安全措施的成本、安全措施的效果、不确定性以及可能成本、安全措施的效果、不确定性以及可能性条目）都被量化并输入公式以识别所有的性条目）都被量化并输入公式以识别所有的剩余的风险。剩余的风险。22定量风险分析v暴露因子（暴露因子（EF）由标识的威胁造成的财产损由标识的威胁造成的财产损失百分比。失百分比。v单次损失期望值（单次损失期望值（SLE）财产价值财产价值X暴露因子暴露因子v年发生概率（年发生概率（ARO）某个威胁一年中发生的某个威胁一年中发生的估计概率估计概率v年损失期望值（年损失期望值（ALE）单

18、次损失期望值单次损失期望值X年发年发生概率生概率23定性风险分析v定性的定性的方法将考查各种风险的可能性情况，并方法将考查各种风险的可能性情况，并将各种威胁的严重程度和财产的敏感程度排将各种威胁的严重程度和财产的敏感程度排列顺序。相反，定性分析将考查各种风险的列顺序。相反，定性分析将考查各种风险的可能性情况，并将各种威胁的严重程度和财可能性情况，并将各种威胁的严重程度和财产的敏感程度排列顺序。产的敏感程度排列顺序。v定性分析技术包括判断、直觉和经验。定性分定性分析技术包括判断、直觉和经验。定性分析技术的例子有析技术的例子有Delphi、调查、问卷、会议、调查、问卷、会议等。等。24总风险和剩余

19、风险v一个公司实行安全对策的原因是将整体风险减一个公司实行安全对策的原因是将整体风险减小到一个可以接受的水平。小到一个可以接受的水平。v没有没有100%安全的系统和环境，这就意味着我安全的系统和环境，这就意味着我们总是漏掉了一些需要预防的风险。这就称们总是漏掉了一些需要预防的风险。这就称为为剩余风险剩余风险。25总风险和剩余风险v剩余风险和总风险不同，剩余风险和总风险不同，总风险总风险指的是某个公指的是某个公司不实行任何安全措施。司不实行任何安全措施。v这种情形存在的原因是源于成本这种情形存在的原因是源于成本/分析的结果。分析的结果。如果某个公司的如果某个公司的Web服务器发生问题的可能服务器

20、发生问题的可能性很小，而提供更高级别的保护将会超过该性很小，而提供更高级别的保护将会超过该风险造成的损失，那么该公司就不会选择实风险造成的损失，那么该公司就不会选择实行安全措施，因而也就承担了总风险。行安全措施，因而也就承担了总风险。26总风险和剩余风险v威胁威胁X脆弱性脆弱性X资产价值总风险资产价值总风险v（威胁（威胁X脆弱性脆弱性X资产价值）资产价值）X控制间隙剩余控制间隙剩余风险风险v控制间隙是控制不能提供的保护。控制间隙是控制不能提供的保护。v实行对策总是减小风险的途径。由于没有公司实行对策总是减小风险的途径。由于没有公司能够消除所有的风险，这就意味着总是存在能够消除所有的风险，这就意

21、味着总是存在某种风险。问题是该公司愿意承担多大程度某种风险。问题是该公司愿意承担多大程度的风险。的风险。27处理风险v一旦公司了解到所面临的总风险和剩余风险，一旦公司了解到所面临的总风险和剩余风险，他们就必须决定如何地处理这些风险。他们就必须决定如何地处理这些风险。v有有4种处理风险的基本方法：种处理风险的基本方法：v转移转移v抵制抵制v减小减小v接受风险接受风险 28处理风险v如果公司觉得总风险或剩余风险太大，承担不如果公司觉得总风险或剩余风险太大，承担不起，那么他们就可以买保险，这就是将风险起，那么他们就可以买保险，这就是将风险转移转移给保险公司。给保险公司。v如果公司实行了对策，这就是在

22、如果公司实行了对策，这就是在减小减小风险。风险。v如果公司否认并忽视自己的风险，这就是如果公司否认并忽视自己的风险，这就是抵制抵制风险。这是非常危险的。风险。这是非常危险的。v接受接受风险的意思是公司了解了他们所处的风险风险的意思是公司了解了他们所处的风险水平以及可能有的损失代价，他们决定和风水平以及可能有的损失代价，他们决定和风险共处。当成本险共处。当成本/收益之比表明对策的成本超收益之比表明对策的成本超过了风险的代价的时候，许多公司就不会实过了风险的代价的时候，许多公司就不会实行对策，而是接受风险。行对策，而是接受风险。29安全计划v一个安全计划包含为公司提供全面保护和长远一个安全计划包含

23、为公司提供全面保护和长远安全策略所必须的所有条款。安全策略所必须的所有条款。v一个安全计划应该具有安全策略、规程、标准、一个安全计划应该具有安全策略、规程、标准、方针、基线、安全意识培训、意外处理以及方针、基线、安全意识培训、意外处理以及遵守程序。遵守程序。30安全策略v安全策略安全策略 是高级管理层（或是选定的委员会）是高级管理层（或是选定的委员会）决定的一个全面的声明，它规定的一个全面决定的一个全面的声明，它规定的一个全面的声明，它规定在组织中安全问题扮演什么的声明，它规定在组织中安全问题扮演什么样的角色。样的角色。v安全策略可以是一个组织策略、针对专门问题安全策略可以是一个组织策略、针对

24、专门问题的策略或是针对系统的策略。的策略或是针对系统的策略。31组织安全标准v组织安全标准组织安全标准 规定如何使用硬件和软件产品。规定如何使用硬件和软件产品。它们也可以用于指明期望的用户行为。它们它们也可以用于指明期望的用户行为。它们提供了一种方法，保证在整个机构中、特定提供了一种方法，保证在整个机构中、特定的技术、应用程序、参数和规程都被执行。的技术、应用程序、参数和规程都被执行。v组织的标准可能会要求所有雇员都必须时刻带组织的标准可能会要求所有雇员都必须时刻带着公司的工作证，保密信息必须进行加密。着公司的工作证，保密信息必须进行加密。在公司内部，这些规定通常都是强制的，如在公司内部，这些

25、规定通常都是强制的，如果公司想活得成功，就必须执行这些规定。果公司想活得成功，就必须执行这些规定。32基线和方针v基线基线 提供对整个机构来说必须具有的最低安提供对整个机构来说必须具有的最低安全水平。基线是标准的抽象，是最低的安全全水平。基线是标准的抽象，是最低的安全标准。标准。v方针方针 是在某个标准不适用的情况下，向用户、是在某个标准不适用的情况下，向用户、IT人员、运营人员以及其他人员提供的建议性人员、运营人员以及其他人员提供的建议性的行动和操作指导。方针处理的是保护计算的行动和操作指导。方针处理的是保护计算机及其软件的方法。标准是特定的强制性的机及其软件的方法。标准是特定的强制性的活动

26、，而方针是为不可遇见的情况提供必要活动，而方针是为不可遇见的情况提供必要的适应性的一般方法。的适应性的一般方法。33规程v规程规程 是完成任务的详细具体步骤。（如，如是完成任务的详细具体步骤。（如，如何分配计算机权限、如何进行审计、事故报何分配计算机权限、如何进行审计、事故报告等等）告等等）v规程被看成是安全策略链中的最低级，因为它规程被看成是安全策略链中的最低级，因为它离计算机和用户最近并提供有关配置和安装离计算机和用户最近并提供有关配置和安装问题的详细步骤。问题的详细步骤。34 安全策略安全策略 强制标准强制标准 推荐方针推荐方针 详细规程详细规程 战略性战略性战术性战术性标准、方针和规程

27、是战术目标，用来支持和达成安全策略标准、方针和规程是战术目标，用来支持和达成安全策略中的指令，而安全策略本身就是战略目标。中的指令，而安全策略本身就是战略目标。35安全策略、规程、标准和方针协同工作安全安全标准标准方针方针规程规程策略策略标准标准方针方针规程规程36信息分级v公开公开v内部内部v秘密秘密v机密机密v绝密绝密 37组织内部的安全角色 v高级管理人员高级管理人员 最终负责安全及其财产的保护。最终负责安全及其财产的保护。v安全问题专家安全问题专家 负责安全的功能问题并执行高负责安全的功能问题并执行高级管理人员的指示。级管理人员的指示。v数据拥有者数据拥有者 确定组织内部信息的数据安全

28、分确定组织内部信息的数据安全分级。级。v数据管理员数据管理员 维护数据，保持并保护数据的机维护数据，保持并保护数据的机密性、完整性和可用性。密性、完整性和可用性。v用户用户 在数据处理任务中使用数据。在数据处理任务中使用数据。v审计员审计员 检查机构内部的安全措施和机制。检查机构内部的安全措施和机制。38二、攻击简介39v无论现在工作在何种领域，都不可能没有注意无论现在工作在何种领域，都不可能没有注意到到Internet对当今社会造成的巨大冲击。它为对当今社会造成的巨大冲击。它为人们展现了一个宽广的机遇和市场。人们展现了一个宽广的机遇和市场。v对于对于Internet而言，就像任何一种其他的新

29、技而言，就像任何一种其他的新技术一样，它都是有利弊两个方面。积极的方术一样，它都是有利弊两个方面。积极的方面它提供了巨大的机遇，消极的一面是它给面它提供了巨大的机遇，消极的一面是它给许多公司造成了安全上的隐患。许多公司造成了安全上的隐患。40什么是攻击行为？什么是攻击行为？v基本上任何一种危及到一台机器安全的行为都基本上任何一种危及到一台机器安全的行为都可以认为是一种攻击行为。可以认为是一种攻击行为。v危及包括以下几个方面：危及包括以下几个方面：v可以访问可以访问v使访问简单化使访问简单化v使一个系统脱机使一个系统脱机v使敏感信息的敏感度降低使敏感信息的敏感度降低 41什么是攻击行为？什么是攻

30、击行为？v对攻击的定义：一种攻击行为是对攻击的定义：一种攻击行为是“一个安全漏一个安全漏洞或一个安全漏洞的一种情况洞或一个安全漏洞的一种情况”。v上面指出了非常重要的一点：如果有攻击行为，上面指出了非常重要的一点：如果有攻击行为，那就必须存在能威胁的弱点。如果没有薄弱那就必须存在能威胁的弱点。如果没有薄弱环节，那就没有什么好攻击的。所以大多数环节，那就没有什么好攻击的。所以大多数人说真正安全的系统是没有联网的机器。人说真正安全的系统是没有联网的机器。42攻击的步骤 1）被动的侦察）被动的侦察2）主动的侦察）主动的侦察3）入侵系统）入侵系统4）上传程序）上传程序5）下载数据）下载数据6）保持访问

31、）保持访问7）隐藏踪迹）隐藏踪迹（注意并不是每一步都会执行）（注意并不是每一步都会执行）43v我们从攻击者的观点来简要执行一下每一步。当攻我们从攻击者的观点来简要执行一下每一步。当攻击者有了关于这个系统的任何一般信息后就开始窥击者有了关于这个系统的任何一般信息后就开始窥视系统。这些信息包括域名和公司服务器和系统。视系统。这些信息包括域名和公司服务器和系统。当所有的被动信息收集到后，主动侦察就开始了。当所有的被动信息收集到后，主动侦察就开始了。攻击者会努力找到关于这个系统的更多的信息而不攻击者会努力找到关于这个系统的更多的信息而不至于引起过多的警告。于是，他收集一些信息如至于引起过多的警告。于是

32、，他收集一些信息如IP地址、开放端口、操作系统和版本号等。在初始信地址、开放端口、操作系统和版本号等。在初始信息收集到后，攻击者会步入每一个攻击领域：操作息收集到后，攻击者会步入每一个攻击领域：操作系统、应用程序、教本和配置错误的系统。在每一系统、应用程序、教本和配置错误的系统。在每一阶段，黑客都会努力去攻击，如果不成功，他会收阶段，黑客都会努力去攻击，如果不成功，他会收集关于这个部件的更多的信息。这个阶段的所有信集关于这个部件的更多的信息。这个阶段的所有信息都收集到后，他会转向下一步。攻击成功和访问息都收集到后，他会转向下一步。攻击成功和访问成功后，攻击者就上传必要的程序，通过安装特洛成功后

33、，攻击者就上传必要的程序，通过安装特洛伊木马保存路径，并且清除痕迹以隐藏攻击。伊木马保存路径，并且清除痕迹以隐藏攻击。44被动的侦察v去攻击一个系统，攻击者就必须有一些基本信去攻击一个系统，攻击者就必须有一些基本信息，否则他不知道怎样去攻击。专业的夜贼息，否则他不知道怎样去攻击。专业的夜贼不会随机地去抢劫人家，相反他会找一个目不会随机地去抢劫人家，相反他会找一个目标，如小李，他会暗地里侦察小李的家住哪标，如小李，他会暗地里侦察小李的家住哪里和其他一些基本信息。里和其他一些基本信息。v被动信息的收集不是常常有用的，但它是必要被动信息的收集不是常常有用的，但它是必要的一步，因为这些信息是其他步骤的

34、先决条的一步，因为这些信息是其他步骤的先决条件。件。v嗅探嗅探sniffing是最常见的一种被动攻击。是最常见的一种被动攻击。45主动的侦察v攻击者积极的探查或扫描站点。在这个阶段，攻击者积极的探查或扫描站点。在这个阶段，攻击者得到的信息越多，当他攻击系统时就攻击者得到的信息越多，当他攻击系统时就越容易。越容易。v下面是攻击者尽力去发现的一些关键信息：下面是攻击者尽力去发现的一些关键信息：v可以访问的主机；可以访问的主机；v路由器和防火墙的位置；路由器和防火墙的位置；v关键部件上运行的操作系统；关键部件上运行的操作系统；v开放的端口；开放的端口；v运行的服务；运行的服务；v运行的应用程序的版本

35、号；运行的应用程序的版本号；46入侵系统v大多数人提到入侵时只会想到能够对目标系统大多数人提到入侵时只会想到能够对目标系统进行访问，但还有其他两个方面：提升权限进行访问，但还有其他两个方面：提升权限和拒绝服务。和拒绝服务。47上传程序v当攻击者可以访问目标时，通常会在服务器上当攻击者可以访问目标时，通常会在服务器上做一系列的工作，上传一些程序到这个系统。做一系列的工作，上传一些程序到这个系统。这些程序可以用来提高访问能力，在网络生这些程序可以用来提高访问能力，在网络生危机其他系统的安全，或上传可以破坏其他危机其他系统的安全，或上传可以破坏其他系统的的工具。系统的的工具。48下载数据v攻击者在目

36、标系统寻找信息，这些信息包括的攻击者在目标系统寻找信息，这些信息包括的数据有最新的研究、开放的产品、客户的列数据有最新的研究、开放的产品、客户的列表，或是公司的未来趋势。如果这些数据被表，或是公司的未来趋势。如果这些数据被下载，且我们没有发现时，我们也有没有机下载，且我们没有发现时，我们也有没有机会阻止这次攻击。会阻止这次攻击。49保持访问v大多时候，攻击者入侵了一个系统之后，他会大多时候，攻击者入侵了一个系统之后，他会建立一个后门以便以后能随时访问。建立一个后门以便以后能随时访问。v如，通过特洛伊木马程序在这个系统上增加帐如，通过特洛伊木马程序在这个系统上增加帐户或开放一些端口。户或开放一些

37、端口。50隐藏踪迹 v当攻击者闯进了机器并创建了后门之后，最后当攻击者闯进了机器并创建了后门之后，最后一件事情就是保证他不被发现。因此攻击者一件事情就是保证他不被发现。因此攻击者最后一步就是隐藏他的踪迹。最后一步就是隐藏他的踪迹。v隐藏踪迹最基本的事情就是清除日志文件。攻隐藏踪迹最基本的事情就是清除日志文件。攻击者找到日志文件的位置后删去关于他的攻击者找到日志文件的位置后删去关于他的攻击的记录。击的记录。51信息收集v在攻击者能够攻击之前，他们需要了解要攻击的环在攻击者能够攻击之前，他们需要了解要攻击的环境，这需要收集关于机器数目、类型、操作系统等境，这需要收集关于机器数目、类型、操作系统等等

38、预备信息。等预备信息。v信息收集的步骤：信息收集的步骤：1 找到初始信息找到初始信息 2 找到网络的地址信息找到网络的地址信息 3 找到活动的机器找到活动的机器 4 找到开放的端口找到开放的端口 5 弄清操作系统弄清操作系统 6 弄清每个端口运行的是那种服务弄清每个端口运行的是那种服务 7 画出网络图画出网络图 52欺骗v如果攻击者能让计算机或者网络相信他是别如果攻击者能让计算机或者网络相信他是别人（信任方），他可能能够获得正常情况下人（信任方），他可能能够获得正常情况下不能得到的信息。不能得到的信息。v欺骗的类型：欺骗的类型：1.IP欺骗欺骗 公司使用其他计算机的公司使用其他计算机的IP地址

39、来获得信息或者得到地址来获得信息或者得到特权。特权。2.电子邮件欺骗电子邮件欺骗 电子邮件发送方地址的欺骗。电子邮件发送方地址的欺骗。3.Web欺骗欺骗 假冒假冒Web网站。如假工商银行网站。网站。如假工商银行网站。4.非技术欺骗非技术欺骗 这些类型的攻击把精力集中在攻击公司的人力这些类型的攻击把精力集中在攻击公司的人力资源上。如社会工程。资源上。如社会工程。53会话劫持v会话劫持就是接管一个现存的动态会话过程。会话劫持就是接管一个现存的动态会话过程。劫持会话最主要的原因之一就是通过授权过劫持会话最主要的原因之一就是通过授权过程可以获得进入系统的机会，因为就会话劫程可以获得进入系统的机会，因为

40、就会话劫持而言，此时用户已经通过提供用户持而言，此时用户已经通过提供用户ID和密和密码，在授权的情况下登录到服务器上。在用码，在授权的情况下登录到服务器上。在用户通过了身份验证并获得进入服务器的权利户通过了身份验证并获得进入服务器的权利后，只要他与服务器动态连接着，就不再需后，只要他与服务器动态连接着，就不再需要重新通过验证。黑客门可以使用各种方式要重新通过验证。黑客门可以使用各种方式使用户下线然后再代替这个用户，此时他不使用户下线然后再代替这个用户，此时他不再需要任何登录行为就可以进入系统了。再需要任何登录行为就可以进入系统了。54会话劫持小李小李攻击者攻击者服务器服务器服务器验证小李服务器

41、验证小李小李登录服务器小李登录服务器Die！你好，我是小李你好，我是小李55拒绝服务攻击DOSvDoS是是Denial of Service的简称，即拒绝服的简称，即拒绝服务，造成务，造成DoS的攻击行为被称为的攻击行为被称为DoS攻击，攻击，其目的是使计算机或网络无法提供正常的服其目的是使计算机或网络无法提供正常的服务。务。v最常见的最常见的DoS攻击有计算机网络带宽攻击和连攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连

42、通最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。最终计算机无法再处理合法用户的请求。56分布式拒绝服务攻击DDOSv分布式拒绝服务分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户攻击指借助于客户/服务器技术，服务器技术，将多个计算机联合起来作为攻击平台，对一将多个计算机联合起来作为攻击平台，对一个或多个目标发动个或多个目标发动DoS攻击，从而成倍地提攻击，从而成倍

43、地提高拒绝服务攻击的威力。高拒绝服务攻击的威力。v通常，攻击者使用一个偷窃帐号将通常，攻击者使用一个偷窃帐号将DDoS主控主控程序安装在一个计算机上，在一个设定的时程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程间主控程序将与大量代理程序通讯，代理程序已经被安装在序已经被安装在Internet上的许多计算机上。上的许多计算机上。代理程序收到指令时就发动攻击。利用客户代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。百上千次代理程序的运行。57分布式拒绝服务攻击DDOS攻击者攻击

44、者受害者受害者傀儡机傀儡机远程控制远程控制发起攻击发起攻击58拒绝服务攻击类型vPing of DeathvSSPingvLandvSmurfvSyn FloodvCPU HogvWin NukevRPC LocatorvJolt259vPing of Death：一种依靠向目的主机发送大：一种依靠向目的主机发送大量量ping数据包的拒绝服务攻击。攻击者向受数据包的拒绝服务攻击。攻击者向受害者的机器发送大量害者的机器发送大量ping数据包，因为大多数据包，因为大多数操作系统不知道如何处理比最大包大的数数操作系统不知道如何处理比最大包大的数据包，从而导致操作系统死机。据包，从而导致操作系统死机。

45、vSSPing：一种发送一系列高度碎片化的过大：一种发送一系列高度碎片化的过大的的ICMP数据包的拒绝服务攻击。数据包的拒绝服务攻击。60vLand：程序通过发送一个：程序通过发送一个TCP SYN数据包使数据包使得源地址与目的地址相同，源端口与目的端得源地址与目的地址相同，源端口与目的端口相同，从而产生拒绝服务攻击。口相同，从而产生拒绝服务攻击。vSmurf：一种向广播地址发送伪造的：一种向广播地址发送伪造的ICMP数数据包的攻击方式。攻击者使用经过欺骗的受据包的攻击方式。攻击者使用经过欺骗的受害者的害者的IP地址向一个广播地址发送地址向一个广播地址发送ICMP回响回响请求（请求（ping）

46、通信。在一个多层访问的广播）通信。在一个多层访问的广播网络上，这会造成潜在的数以千计的计算机网络上，这会造成潜在的数以千计的计算机对每个对每个ping信号作出响应。信号作出响应。61vSyn Flood：是一种蓄意侵入三次握手并打开：是一种蓄意侵入三次握手并打开大量半开大量半开TCP/IP连接而进行的攻击。大连的连接而进行的攻击。大连的半连接使受害者服务器系统的半连接数据结半连接使受害者服务器系统的半连接数据结构最终被填满，系统也就不能再接收进来的构最终被填满，系统也就不能再接收进来的新连接，直到数据表被清空。新连接，直到数据表被清空。vCPU Hog：一种通过耗尽系统资源使运行：一种通过耗尽

47、系统资源使运行NT的计算机瘫痪的拒绝服务攻击。其工作原理的计算机瘫痪的拒绝服务攻击。其工作原理是攻击是攻击Windows NT进程执行的排序方式的进程执行的排序方式的漏洞。漏洞。62vWin Nuke：是一种以拒绝目的主机服务为目：是一种以拒绝目的主机服务为目标的网络层次的攻击。攻击者向受害主机的标的网络层次的攻击。攻击者向受害主机的端口端口139，即，即NetBIOS发送超大量的数据。因发送超大量的数据。因为这些数据并不是目的主机所需要的，所以为这些数据并不是目的主机所需要的，所以会导致目的主机死机。会导致目的主机死机。vRPC Locator：攻击者通过：攻击者通过telnet连接到受害连

48、接到受害者机器的端口者机器的端口135上，发送大量数据，导致上，发送大量数据，导致CPU资源完全耗尽。资源完全耗尽。63vJolt2：是远程用户可以通过不同的网络向多：是远程用户可以通过不同的网络向多种操作系统发送碎片驱动的拒绝服务攻击。种操作系统发送碎片驱动的拒绝服务攻击。当当CPU试图处理这些非法的试图处理这些非法的IP数据包时，系数据包时，系统就会因统就会因CPU耗尽资源而死机。耗尽资源而死机。64缓冲区溢出攻击v攻击者试图在一个不够大的接受器里存储过量攻击者试图在一个不够大的接受器里存储过量的信息就是一次缓冲区溢出攻击。例如，如的信息就是一次缓冲区溢出攻击。例如，如果一个程序只能接受果

49、一个程序只能接受50个字符，而用户却输个字符，而用户却输入了入了100个字符，这样由于过多的数据输入到个字符，这样由于过多的数据输入到了一个不够大的接受器，该程序将不能控制了一个不够大的接受器，该程序将不能控制它，多出部分将写入内存。它，多出部分将写入内存。65缓冲区溢出攻击内存内存底部底部内存内存顶部顶部填填充充方方向向缓冲缓冲1（局部变量（局部变量1）返回指针返回指针函数调用的参数函数调用的参数内存内存底部底部内存内存顶部顶部填填充充方方向向缓冲缓冲1（局部变量（局部变量1）返回指针返回指针函数调用的参数函数调用的参数机器代码：机器代码：exec(/bin/sh)缓冲缓冲2（局部变量（局部

50、变量2）指向指向exec代码的新指针代码的新指针缓冲缓冲1空间空间被覆盖被覆盖返回指针返回指针被覆盖被覆盖缓冲缓冲2（局部变量（局部变量2）正常情况正常情况缓冲区溢出缓冲区溢出66三、安全措施67一般安全措施v防火墙防火墙v入侵检测入侵检测v安全评估安全评估v网络安全审计网络安全审计v数据库安全审计数据库安全审计v身份认证身份认证vVPNv防病毒防病毒v安全管理平台安全管理平台68防火墙v防火墙是在两个网络之间执行控制策略的系统，防火墙是在两个网络之间执行控制策略的系统，目的是不被非法用户侵入。目的是不被非法用户侵入。v防火墙是内部与外部网连接中的第一道屏障。防火墙是内部与外部网连接中的第一道