【正文】 @2022 網(wǎng)絡(luò)安全基礎(chǔ)與防火墻 主講教師 :Mo Ning CIW CI 202960 Email: @2022 @2022 第一單元 什么是安全 學(xué)習(xí)目標(biāo) ? 理解有關(guān)安全的定義 ? 理解網(wǎng)絡(luò)安全的必要性 ? 識(shí)別需要保護(hù)的資源 ? 識(shí)別常見(jiàn)的安全威脅類型 ? 了解如何建立有效的安全矩陣 安全的定義 ? 隨著計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展，保護(hù)網(wǎng)絡(luò)安全也變得更加復(fù)雜，對(duì)于網(wǎng)絡(luò)來(lái)說(shuō)，可以定義安全為一個(gè)持續(xù)的過(guò)程，目的是提高識(shí)別和消除不安全因素的能力。 實(shí)驗(yàn) 11 ? 安裝 Netbus服務(wù)器并將木馬植入到計(jì)算機(jī)。 注 :Netbus是一個(gè)木馬程序 ,利用它可以遠(yuǎn)程控制被 侵入的計(jì)算機(jī)。 有效的安全矩陣 ? 一個(gè)合理有效的安全矩陣應(yīng)該具有如下特點(diǎn)： – 允許訪問(wèn)控制 – 容易使用 – 合理的花費(fèi) – 靈活性和伸縮性 – 優(yōu)秀的警報(bào)和報(bào)告 安全投資回報(bào) ? 安全投資作為一種特殊投資形式，其目的是降低信息安全風(fēng)險(xiǎn)，投資回報(bào)主要來(lái)自于風(fēng)險(xiǎn)損失的降低。 劃分需要保護(hù)的資源 ? 可以將資產(chǎn)劃分為 4個(gè)資源組： – 終端用戶資源 – 網(wǎng)絡(luò)資源 – 服務(wù)器資源 – 信息存儲(chǔ)資源 終端用戶資源 ? 許多損害是來(lái)自于公司內(nèi)部，用戶操作失誤或是缺乏安全意識(shí)往往會(huì)帶來(lái)嚴(yán)重的安全問(wèn)題。 網(wǎng)絡(luò)資源 ? 作為公司主要的通信媒介，網(wǎng)絡(luò)聯(lián)系著公司的各方面，若黑客侵入了網(wǎng)絡(luò)，則黑客也可能隨意地訪問(wèn)到各種資源，甚至進(jìn)行各種極具危害的操作。 服務(wù)器資源 ? 用于存儲(chǔ)重要資料或是負(fù)責(zé)安全管理的服務(wù)器是最吸引黑客攻擊的，而服務(wù)器遭受攻擊造成的損失往往也是最大的。 信息存儲(chǔ)資源 ? 發(fā)現(xiàn)信息并獲得信息可以認(rèn)為是黑客行為的最終目的，黑客通過(guò)各種手段侵入網(wǎng)絡(luò)，也是為了通過(guò)網(wǎng)絡(luò)來(lái)得到他們所要的信息。 各種資源易受的攻擊 重要資源 潛在的威脅 終端用戶資源 病毒，木馬， Java小程序可以對(duì)本地系統(tǒng) 造成危險(xiǎn) 網(wǎng)絡(luò)資源 IP欺騙，系統(tǒng)探測(cè)，及獲得相關(guān)信息 服務(wù)器資源 非授權(quán)侵入，截取服務(wù)，木馬。服務(wù)器資 源經(jīng)常成為最主要的目標(biāo) 數(shù)據(jù)庫(kù)和信息資源 得到商業(yè)機(jī)密，交易行為，消費(fèi)者的數(shù)據(jù) 等等 潛在的威脅 ? 信息泄密 ? 信息被篡改 ? 傳輸非法信息流 ? 網(wǎng)絡(luò)資源的錯(cuò)誤使用 ? 非法使用網(wǎng)絡(luò)資源 ? 計(jì)算機(jī)病毒 網(wǎng)絡(luò)中存在的不安全因素 ? 自然災(zāi)害：水災(zāi)、火災(zāi)、地震等 ? 人為災(zāi)害：戰(zhàn)爭(zhēng)、縱火、盜竊設(shè)備等 ? 系統(tǒng)物理故障：硬件故障、軟件故障、網(wǎng)絡(luò)故障等 ? 人為的無(wú)意失誤：程序設(shè)計(jì)錯(cuò)誤、誤操作、無(wú)意中損壞和無(wú)意中泄密等 ? 人為的惡意攻擊：主動(dòng)攻擊、被動(dòng)攻擊 存在百分之百的安全嗎 ? 盡管不可能實(shí)現(xiàn)絕對(duì)安全，但是仍可以達(dá)到某種水平，使得幾乎所有最熟練的和最堅(jiān)定的黑客也不能登錄到系統(tǒng)。一個(gè)有效的安全策略能夠使不安全因素最小化。 安全就是在動(dòng)態(tài)環(huán)境中尋求平衡的過(guò)程 ? 在安全實(shí)施的過(guò)程中，安全人員所要做的工作就是在易用性和安全性之間尋求平衡，賦予用戶能完成所有工作的最小權(quán)限，以使安全最大化。 網(wǎng)絡(luò)安全的目標(biāo) ? 身份真實(shí)性：能對(duì)通訊實(shí)體身份的真實(shí)性進(jìn)行鑒別。 ? 信息機(jī)密性：保證機(jī)密信息不會(huì)泄露給非授權(quán)的人或?qū)嶓w。 ? 信息完整性：保證數(shù)據(jù)的一致性，防止數(shù)據(jù)被非授權(quán)用戶或 實(shí)體建立、修改和破壞。 ? 服務(wù)可用性：保證合法用戶對(duì)信息和資源的使用不會(huì)被不正 當(dāng)?shù)鼐芙^。 ? 不可否認(rèn)性：建立有效的責(zé)任機(jī)制，防止實(shí)體否認(rèn)其行為。 ? 系統(tǒng)可控性：能夠控制使用資源的人或?qū)嶓w的使用方式。 ? 系統(tǒng)易用性：在滿足安全要求的條件下，系統(tǒng)應(yīng)當(dāng)操作簡(jiǎn) 單、維護(hù)方便。 ? 可審查性： 對(duì)出現(xiàn)的網(wǎng)絡(luò)安全問(wèn)題提供調(diào)查的依據(jù)和手 段。 @2022 第二單元 安全標(biāo)準(zhǔn)及組織概況 學(xué)習(xí)目標(biāo) ? 了解安全標(biāo)準(zhǔn)的意義 ? ISO 17799/ISO 27001的主要內(nèi)容 ? 了解公共準(zhǔn)則 ? 熟悉主要的網(wǎng)絡(luò)安全組織 國(guó)際標(biāo)準(zhǔn)化組織 ? 國(guó)際標(biāo)準(zhǔn)化組織，簡(jiǎn)稱 ISO，是一個(gè)全球性的非政府組織，是國(guó)際標(biāo)準(zhǔn)化領(lǐng)域中一個(gè)十分重要的組織。其任務(wù)是促進(jìn)全球范圍內(nèi)的標(biāo)準(zhǔn)化及其有關(guān)活動(dòng)。 ISO 定義的安全服務(wù) ? 認(rèn)證： 提供身份驗(yàn)證的過(guò)程。 ? 訪問(wèn)控制： 訪問(wèn)控制確定用戶能做些什么。 ? 數(shù)據(jù)保密性： 保護(hù)數(shù)據(jù)不被未授權(quán)的暴露。 ? 數(shù)據(jù)完整性： 通過(guò)檢查或維護(hù)信息的一致性來(lái) 防止主動(dòng)的威脅。 ? 不可否定性： 是防止參與交易的全部或部分的 抵賴。不可否定性可以防止來(lái)自 源端的欺騙。 安全機(jī)制 ? 安全機(jī)制是一種技術(shù)，一些軟件或?qū)嵤┮粋€(gè)或多個(gè)安全服務(wù)的過(guò)程 。 特殊安全機(jī)制 ? 加密 ? 數(shù)字簽名機(jī)制 ? 訪問(wèn)控制 ? 數(shù)據(jù)完整性 ? 身份驗(yàn)證 ? 流量填充 普通的機(jī)制 ? 信任功能 ? 安全標(biāo)簽 ? 審核跟蹤 ? 安全恢復(fù) ISO 17799 ? BS 77991:1999被 ISO委員會(huì)評(píng)審、討論通過(guò)，成為信息安全領(lǐng)域的國(guó)際標(biāo)準(zhǔn) ISO/IEC 17799:2022，于 2022年 6月 15日發(fā)布了 ISO/IEC 17799:2022版（全稱為信息技術(shù) — 安全技術(shù) — 信息安全管理實(shí)踐規(guī)范）。 ISO 17799標(biāo)準(zhǔn)的內(nèi)容 ? 信息安全方針 ? 組織安全 ? 資產(chǎn)的分類與控制 ? 人員安全 ? 物理與環(huán)境安全 ? 通信和運(yùn)作方式管理 ? 訪問(wèn)控制 ? 系統(tǒng)開(kāi)發(fā)與維護(hù) ? 信息安全事件管理 ? 業(yè)務(wù)持續(xù)性管理 ? 符合法律 ISO 17799標(biāo)準(zhǔn)的作用 ? ISO/IEC 17799不是技術(shù)性的信息安全操作手冊(cè)，它討論的主題很廣泛，但對(duì)每一項(xiàng)內(nèi)容的討論都沒(méi)有深入下去，也沒(méi)有提供足夠的信息以幫助組織建立信息安全管理體系，還不能滿足認(rèn)證的要求。但是，作為對(duì)各類信息安全主題的高級(jí)別概述，它有助于人們?cè)诠芾碇欣斫饷恳活愋畔踩黝}的基礎(chǔ)性問(wèn)題。 ISO 27001 ? BS 77992:2022，經(jīng)修訂后，于 2022年 10月 15日作為國(guó)際標(biāo)準(zhǔn) ISO/IEC 27001:2022發(fā)布。它規(guī)定了建立、實(shí)施、文件化信息安全管理體系 (ISMS)的要求，規(guī)定了根據(jù)單獨(dú)組織需要定制安全控制的要求。 ? 新標(biāo)準(zhǔn)的正式標(biāo)題是 :《 BS 77992:2022 (ISO/IEC 27001:2022)信息技術(shù) 安全技術(shù) 信息安全管理體系 要求 》 公共準(zhǔn)則（ CC） ? 公共準(zhǔn)則（ Common Criteria）是一個(gè)標(biāo)準(zhǔn)，它統(tǒng)一了各種各樣的地區(qū)和國(guó)家安全準(zhǔn)則。 CC目前是ISO國(guó)際標(biāo)準(zhǔn)（ IS） 15408，它是 ISO的 。 CC的兩個(gè)基本功能 ? 標(biāo)準(zhǔn)化的方法描述安全必要條件，如安全需要、實(shí)現(xiàn)這些需要的產(chǎn)品和系統(tǒng)以及分析和測(cè)試這些產(chǎn)品和系統(tǒng)。 ? 可靠的技術(shù)作為評(píng)估產(chǎn)品和系統(tǒng)安全特性的基礎(chǔ)。 CC的重要概念 ? 保護(hù)概況（ PP） 由于 IT管理員、用戶、產(chǎn)品開(kāi)發(fā)者和其他方創(chuàng)建的文檔，定義了一套詳細(xì)的安全需求。 PP文檔用于廠商之間進(jìn)行需求交流。 ? 安全目標(biāo)（ ST） 來(lái)自于廠商的一段綜述，描述了IT產(chǎn)品或系統(tǒng)可以提供的安全。包括特定產(chǎn)品的信息，解釋了特殊產(chǎn)品或系統(tǒng)如何滿足 PP的需求。 ? 評(píng)估目標(biāo)（ TOE） IT產(chǎn)品或系統(tǒng)需要評(píng)估，必須使用 PP和 ST文檔列出的特殊安全要求來(lái)評(píng)估產(chǎn)品。產(chǎn)品還必須按照 CC的要求，由一個(gè)公認(rèn)的第三方進(jìn)行分析和測(cè)試。 桔皮書 ? 可信任計(jì)算機(jī)標(biāo)準(zhǔn)評(píng)估準(zhǔn)則（桔皮書）是根據(jù)美國(guó)國(guó)防部開(kāi)發(fā)的計(jì)算機(jī)安全標(biāo)準(zhǔn) 。它規(guī)定了一些級(jí)別用于 :保護(hù)硬件、軟件和存儲(chǔ)的信息免受攻擊。 ? 它的范圍從級(jí)別 A到級(jí)別 D，其中 A是最高級(jí)別。級(jí)別 A、 B和 C還分?jǐn)?shù)字標(biāo)明的子級(jí)別，例如，級(jí)別 A有A1，級(jí)別 B有 B B2和 B3，級(jí)別 C有 C1和 C2。 聯(lián)邦信息安全管理法案 ? 聯(lián)邦信息安全管理法案 (FISMA)取代了政府信息安全改革法案 (GISRA)，并且包含更強(qiáng)的永久性條款，其中包括對(duì)信息安全最低強(qiáng)制標(biāo)準(zhǔn)的要求。 ? FISMA確定了安全計(jì)劃必需的元素，但是沒(méi)有提供有關(guān)如何達(dá)到這些要求的安全基準(zhǔn)或指導(dǎo)。 計(jì)算機(jī)網(wǎng)絡(luò)安全事件應(yīng)急小組（ CERT） ? 計(jì)算機(jī)網(wǎng)絡(luò)安全應(yīng)急小組（ CSIRT或 CERT）是專門從事計(jì)算機(jī)系統(tǒng)及網(wǎng)絡(luò)安全技術(shù)研究，并接收、檢查、處理相關(guān)安全事件的服務(wù)性組織的通稱，是國(guó)際上公認(rèn)的最專業(yè)的網(wǎng)絡(luò)安全保障機(jī)構(gòu)。 國(guó)際上著名的應(yīng)急響應(yīng)組織 ? 美國(guó)計(jì)算機(jī)緊急事件響應(yīng)小組協(xié)調(diào)中心 ? 事件響應(yīng)與安全組織論壇 ? 亞太地區(qū)計(jì)算機(jī)應(yīng)急響應(yīng)組 ? 歐洲計(jì)算機(jī)網(wǎng)絡(luò)研究教育協(xié)會(huì) 其它有用的網(wǎng)絡(luò)安全援助機(jī)構(gòu) ? 網(wǎng)絡(luò) 110 SANS ? SANS(系統(tǒng)管理、審核、網(wǎng)絡(luò)、安全 )是信息安全培訓(xùn)和認(rèn)證最可靠的來(lái)源和最大的機(jī)構(gòu)，它也在不斷發(fā)展壯大，并且是最大的免費(fèi)提供信息安全各方面研究文獻(xiàn)資料的組織，它具有互聯(lián)網(wǎng)業(yè)務(wù)的預(yù)警系統(tǒng)以及互聯(lián)網(wǎng)威脅監(jiān)測(cè)中心。 ? SANS提供各類資源，如每周風(fēng)險(xiǎn)類別及危害等級(jí)，每周新聞?wù)?，互?lián)網(wǎng)預(yù)警系統(tǒng)以及網(wǎng)絡(luò)風(fēng)暴中心等 。 ISSA ? 信息系統(tǒng)安全協(xié)會(huì) (ISSA)是一個(gè)由信息安全專家以及相關(guān)從業(yè)人員組成的一個(gè)非營(yíng)利性質(zhì)的國(guó)際組織。 ISSA的目標(biāo)是促進(jìn)安全管理措施，以確保信息的機(jī)密性、完整性以及安全傳播。它也創(chuàng)建了良好的教育環(huán)境，為全球信息系統(tǒng)安全培養(yǎng)專業(yè)人員。 @2022 第三單元 網(wǎng)絡(luò)安全的要素 學(xué)習(xí)目標(biāo) ? 闡述一個(gè)有效的安全策略所包含的基本元素 ? 根據(jù)需求合理選擇安全設(shè)備和軟件 ? 掌握用戶身份驗(yàn)證的主要方法 ? 理解訪問(wèn)控制方法 ? 解釋并實(shí)施訪問(wèn)控制列表 ? 列舉出三種在互聯(lián)網(wǎng)上主要的加密方法 ? 理解審核需求 安全的基本元素 每一個(gè)元素都與其他元素共同作用以確保一個(gè)機(jī)構(gòu)能夠盡可能安全有效的通信。 安全策略 ? 安全策略必須為整個(gè)組織機(jī)構(gòu)提供指導(dǎo)方針，它是建立安全系統(tǒng)的第一道防線。通常應(yīng)包括以下內(nèi)容 : – 確定要保護(hù)的資源 – 規(guī)范員工的行為 – 安全措施的量化 建立安全策略的步驟 ? 劃分系統(tǒng)級(jí)別 ? 確定風(fēng)險(xiǎn)和劃分資源優(yōu)先級(jí) ? 指定風(fēng)險(xiǎn)要素 ? 定義可接受行為和不可接受行為 ? 根據(jù)員工在公司中的角色進(jìn)行教育 ? 確定誰(shuí)將執(zhí)行安全策略 劃分系統(tǒng)級(jí)別 ? 一般系統(tǒng)資源可分為三類 : – 級(jí)別 I 此類系統(tǒng)是商業(yè)動(dòng)作的中心。如員工數(shù) 據(jù)庫(kù)、用戶帳戶數(shù)據(jù)庫(kù)和電子郵件服務(wù) 器 。 – 級(jí)別 II 此類系統(tǒng)是需要的，但對(duì)于日常動(dòng)作不 是至關(guān)重要的。 – 級(jí)別 III 只要不對(duì)級(jí)別 I和級(jí)別 II中的系統(tǒng)產(chǎn)生影 響，本地桌面計(jì)算機(jī)就應(yīng)該屬于該級(jí) 別。 合理地為系統(tǒng)分類 ? 不要把太多的資源劃分到級(jí)別 I，級(jí)別 I僅僅是那些一旦出現(xiàn)問(wèn)題會(huì)對(duì)系統(tǒng)造成巨大損失的資源 ,通常占到系統(tǒng)比例的 5%。 ? 級(jí)別 II的資源通常占到系統(tǒng)比例的 20%。 ? 級(jí)別 III的資源占到 75%的比例。 策略和技術(shù)之間的關(guān)系 人驅(qū)動(dòng)策略 策略指導(dǎo)技術(shù) 技術(shù)服務(wù)于人 定義可接受行為和不可接受行為 ? 管理員必須區(qū)分可接受行為和不可接受行為，并根據(jù)每個(gè)資源來(lái)定義