【正文】 難保證不會(huì)受到計(jì)算機(jī)病毒、黑客的攻擊。 人們不禁要問，什么樣的計(jì)算機(jī)系統(tǒng)才算是安全的系統(tǒng)？ 1. 無危為安，無損為全。安全就是指人和事物沒有危險(xiǎn)，不受威脅，完好無損。對人而言，安全就是使人的身心健康免受外界因素干擾和威脅的一種狀態(tài)，也可看做是人和環(huán)境的一種協(xié)調(diào)平衡狀態(tài)。一旦打破這種平衡，安全就不存在了。據(jù)此原則，現(xiàn)實(shí)生活中，安全實(shí)際上是一個(gè)不可能達(dá)到的目標(biāo)，計(jì)算機(jī)網(wǎng)絡(luò)也不例外。事實(shí)上，即使采取必要的網(wǎng)絡(luò) 保護(hù)措施，信息系統(tǒng)也會(huì)出現(xiàn)故障和威脅，從這個(gè)角度講， 第 1章 信息安全概述 2. 適當(dāng)?shù)陌踩?，是?jì)算機(jī)網(wǎng)絡(luò)世界理性的選擇，也是網(wǎng)絡(luò)環(huán)境現(xiàn)存的狀態(tài)。從經(jīng)濟(jì)利益的角度來講，所謂適當(dāng)?shù)陌踩侵赴踩缘倪x擇應(yīng)建立在所保護(hù)的資源和服務(wù)的收益 預(yù)期大于為之付出的代價(jià)的基礎(chǔ)之上，或者說，我們采取控制措施所降低的風(fēng)險(xiǎn)損失要大于付出的代價(jià)，如果代價(jià)大于損失就沒有必要了。因此，面對這個(gè)有缺陷的網(wǎng)絡(luò)，采取安 第 1章 信息安全概述 所謂信息安全需求，是指計(jì)算機(jī)網(wǎng)絡(luò)給我們提供信息查詢、網(wǎng)絡(luò)服務(wù)時(shí)，保證服務(wù)對象的信息不受監(jiān)聽、竊取和篡改等威脅，以滿足人們最基本的安全需要 (如隱密性、可用性等 )的特性。下面先介紹信息安全在不同層面的含義，然后從 第 1章 信息安全概述 1. 從用戶 (個(gè)人或企業(yè) )的角度來講，他們希望 : (1) 在網(wǎng)絡(luò)上傳輸?shù)膫€(gè)人信息 (如銀行帳號和上網(wǎng)登錄口令等 )不被他人發(fā)現(xiàn)，這就是用戶對網(wǎng)絡(luò)上傳輸?shù)男畔⒕哂斜Ｃ苄缘囊?。 (2) 在網(wǎng)絡(luò)上傳輸?shù)男畔]有被他人篡改，這就是用戶對網(wǎng)絡(luò)上傳輸?shù)男畔⒕哂型暾缘囊?。 (3) 在網(wǎng)絡(luò)上發(fā)送的信息源是真實(shí)的，不是假冒的，這就是用戶對通信各方的身份提出的身份認(rèn)證的要求 。 第 1章 信息安全概述 (4) 信息發(fā)送者對發(fā)送過的信息或完成的某種操作是承 從網(wǎng)絡(luò)運(yùn)行和管理者的角度來講，他們希望本地信息網(wǎng)正常運(yùn)行，正常提供服務(wù)，不受網(wǎng)外攻擊，未出現(xiàn)計(jì)算機(jī)病毒、非法存取、拒絕服務(wù)、網(wǎng)絡(luò)資源非法占用和非法控制等 第 1章 信息安全概述 從安全保密部門的角度來講，他們希望對非法的、有害的、涉及國家安全或商業(yè)機(jī)密的信息進(jìn)行過濾和防堵，避免通過網(wǎng)絡(luò)泄露關(guān)于國家安全或商業(yè)機(jī)密的信息，避免對社會(huì) 從社會(huì)教育和意識形態(tài)的角度來講，我們應(yīng)避免不健康 第 1章 信息安全概述 2. 信息安全在不同的應(yīng)用環(huán)境下有不同的解釋。針對網(wǎng)絡(luò)中的一個(gè)運(yùn)行系統(tǒng)而言，信息安全就是指信息處理和傳輸?shù)陌踩?。它包括硬件系統(tǒng)的安全可靠運(yùn)行、操作系統(tǒng)和應(yīng)用軟 件的安全、數(shù)據(jù)庫系統(tǒng)的安全、電磁信息泄露的防護(hù)等。狹義的信息安全，就是指信息內(nèi)容的安全，包括信息的保密性、 第 1章 信息安全概述 3. 廣義的信息安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的信息受到保護(hù)。它包括系統(tǒng)連續(xù)、可靠、正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷，系統(tǒng)中的信息不因偶然的或惡意的行為而遭 網(wǎng)絡(luò)安全側(cè)重于網(wǎng)絡(luò)傳輸?shù)陌踩?，信息安全?cè)重于信息 第 1章 信息安全概述 1. 保密性是指網(wǎng)絡(luò)中的信息不被非授權(quán)實(shí)體 (包括用戶和進(jìn)程等 )獲取與使用。這些信息不僅包括國家機(jī)密，也包括企業(yè)和社會(huì)團(tuán)體的商業(yè)機(jī)密和工作機(jī)密，還包括個(gè)人信息。人們 在應(yīng)用網(wǎng)絡(luò)時(shí)很自然地要求網(wǎng)絡(luò)能提供保密性服務(wù)，而被保密的信息既包括在網(wǎng)絡(luò)中傳輸?shù)男畔?，也包括存儲在?jì)算機(jī)系統(tǒng)中的信息。就像電話可以被竊聽一樣，網(wǎng)絡(luò)傳輸信息也 可以被竊聽，解決的辦法就是對傳輸信息進(jìn)行加密處理。存儲信息的機(jī)密性主要通過訪問控制來實(shí)現(xiàn)，不同用戶對不同 第 1章 信息安全概述 2. 完整性是指數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性，即信息在存儲或傳輸過程中保持不被修改、不被破壞和丟失的特性。數(shù)據(jù)的完整性的目的是保證計(jì)算機(jī)系統(tǒng)上的數(shù)據(jù)和信息處 于一種完整和未受損害的狀態(tài)，這就是說數(shù)據(jù)不會(huì)因?yàn)橛幸饣驘o意的事件而被改變或丟失。 的來源具有正確性和可信性，也就是說需要首先驗(yàn)證數(shù)據(jù)是 影響數(shù)據(jù)完整性的主要因素是人為的蓄意破壞，也包括 第 1章 信息安全概述 3. 可用性是指對信息或資源的期望使用能力，即可授權(quán)實(shí)體或用戶訪問并按要求使用信息的特性。簡單地說，就是保證信息在需要時(shí)能為授權(quán)者所用，防止由于主、客觀因素造成的系統(tǒng)拒絕服務(wù)。例如，網(wǎng)絡(luò)環(huán)境下的拒絕服務(wù)、破壞網(wǎng)絡(luò)和有關(guān)系統(tǒng)的正常運(yùn)行等都屬于對可用性的攻擊。 Inter蠕蟲就是依靠在網(wǎng)絡(luò)上大量復(fù)制并且傳播，占用大量 CPU處理時(shí)間，導(dǎo)致系統(tǒng)越來越慢，直到網(wǎng)絡(luò)發(fā)生崩潰，用戶的正常數(shù)據(jù)請求不能得到處理，這就是一個(gè)典型的“拒絕服務(wù)”攻擊。當(dāng)然，數(shù)據(jù)不可用也可能是由軟件缺陷造成的，如微軟的 Windows 第 1章 信息安全概述 4. 可控性是人們對信息的傳播路徑、范圍及其內(nèi)容所具有的控制能力，即不允許不良內(nèi)容通過公共網(wǎng)絡(luò)進(jìn)行傳輸，使 5. 不可否認(rèn)性也稱不可抵賴性。在信息交換過程中，確信參與方的真實(shí)同一性，即所有參與者都不能否認(rèn)和抵賴曾經(jīng)完成的操作和承諾。簡單地說，就是發(fā)送信息方不能否認(rèn)發(fā)送過信息，信息的接收方不能否認(rèn)接收過信息。利用信息源證據(jù)可以防止發(fā)信方否認(rèn)已發(fā)送過信息，利用接收證據(jù)可以防止接收方事后否認(rèn)已經(jīng)接收到信息。數(shù)據(jù)簽名技術(shù)是解決 第 1章 信息安全概述 引起網(wǎng)絡(luò)不安全的原因有內(nèi)因和外因之分。 內(nèi)因是指網(wǎng)絡(luò)和系統(tǒng)的自身缺陷與脆弱性，外因是指國家、政治、商業(yè)和個(gè)人的利益沖突。歸納起來，導(dǎo)致網(wǎng)絡(luò)不安全的根本原因是系統(tǒng)漏洞、協(xié)議的開放性和人為因素。系統(tǒng)漏洞又稱為陷阱，它通常是由操作系統(tǒng)開發(fā)者設(shè)置的，這樣他們就能在用戶失去了對系統(tǒng)的所有訪問權(quán)時(shí)仍能進(jìn)入系統(tǒng)，這就像汽車上的安全門一樣，平時(shí)不用，在發(fā)生災(zāi)難或正常門被封的情況下，人們可以使用安全門逃生。人為因素包括黑客攻擊、計(jì)算機(jī)犯罪和信息安全管理缺失。網(wǎng)絡(luò)的管理制度和相關(guān)法律法規(guī)的不完善也是導(dǎo)致網(wǎng)絡(luò)不安全的重要因素。 第 1章 信息安全概述 從安全專家的角度來看， Inter從建立開始就缺乏安全的總體構(gòu)想和設(shè)計(jì)，主要體現(xiàn)在計(jì)算機(jī)系統(tǒng)的脆弱性和數(shù)據(jù)庫管理系統(tǒng) (DBMS) 1. 目前常用的操作系統(tǒng) Windows 2023/XP/202 UNIX、Linux 第 1章 信息安全概述 首先，無論哪一種操作系統(tǒng)，其體系結(jié)構(gòu)本身就是一種不安全的因素。系統(tǒng)支持繼承和擴(kuò)展能力便給自身留下了一個(gè)漏洞，操作系統(tǒng)的程序可以動(dòng)態(tài)連接，包括 I/O的驅(qū)動(dòng)程序 與系統(tǒng)服務(wù)都可以用打補(bǔ)丁的方法升級和進(jìn)行動(dòng)態(tài)連接，這種方法雖然給系統(tǒng)的擴(kuò)展和升級提供了方便，但同時(shí)也會(huì)被黑客利用，這種使用打補(bǔ)丁