【正文】 用戶 A 用戶 B 數(shù)據(jù) 哈希值 哈希算法 用戶 A的私鑰 數(shù)據(jù) 哈希值 用戶 A的公鑰 哈希算法 哈希值 如果哈希值匹配，說明該數(shù)據(jù)由該私鑰簽名。 123 主 題 一、密碼學(xué)基礎(chǔ) 二、密碼學(xué)應(yīng)用 三、訪問控制與審計(jì)監(jiān)控 四、協(xié)議和網(wǎng)絡(luò)架構(gòu)安全 五、網(wǎng)絡(luò)安全設(shè)備 六、系統(tǒng)安全 七、應(yīng)用安全 八、惡意代碼及安全漏洞 九、安全攻防實(shí)踐 十、軟件安全開發(fā) 124 ?加密數(shù)據(jù) ，以保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會(huì)泄露。 ?信息認(rèn)證和身份認(rèn)證 ，保證信息的完整性、合法性，并能鑒別用戶的身份。 ?提供訪問控制 ，不同的用戶有不同的訪問權(quán)限。 VPN基 本功能 125 VPN的類型 ? VPN基本概念 ? 虛擬專網(wǎng)（加密數(shù)據(jù)、信息和身份認(rèn)證、訪問控制） ? VPN的類型 ? 按協(xié)議層分（二、三、四層和應(yīng)用層） ? 按應(yīng)用范圍分（遠(yuǎn)程訪問、內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)） ? 按體系結(jié)構(gòu)分（網(wǎng)關(guān)到網(wǎng)關(guān)、網(wǎng)關(guān)到主機(jī)、主機(jī)到主機(jī)） ? VPN關(guān)鍵技術(shù) ? 隧道技術(shù) ? 密碼技術(shù) ? 密鑰管理技術(shù) ? 鑒別技術(shù) 126 VPN關(guān)鍵技術(shù) ?VPN主要采用 4類技術(shù)來保證安全 ? 隧道技術(shù) ? 密碼技術(shù) ? 密鑰管理技術(shù) ? 鑒別技術(shù) ?VPN主要協(xié)議 ? 二層隧道協(xié)議： PPTP： L2F、 L2TP ? IPSEC ? SSL 127 PKI是什么？ ?PKI： Public Key Infrastructure ?PKI公鑰基礎(chǔ)設(shè)施是以公開密鑰技術(shù)為基礎(chǔ)，以數(shù)據(jù)保密性、完整性和抗抵賴性為安全目的的而構(gòu)建的認(rèn)證、授權(quán)、加密等硬件、軟件的綜合設(shè)施。 ?PKI提供的安全服務(wù)主要包括： ? 身份認(rèn)證 ? 支持密鑰管理 ? 完整性和抗抵賴性 128 PKI/CA的體系結(jié)構(gòu)和工作流程 第三方信任 互相 信任 互相信任 CA（證書認(rèn)證中心） 129 信息安全要素 所對(duì)付的威脅 可用的 PKI 技術(shù) 機(jī)密性 ( C o n f i d e n t i a l i t y ) ? 竊聽 ? 非法竊取資料 ? 敏感信息泄露 加密 數(shù)字信封 完整性 ( I n t e g r i t y ) ? 篡改 ? 重放攻擊 ? 破壞 數(shù)字簽名 時(shí)戳服務(wù) （ T i m e Stamp ） 可用性 （ Availability ） ? 堵塞網(wǎng)絡(luò) ? 消耗計(jì)算資源 N/A 認(rèn)證 ( A u t h e n t i c a t i o n ) ? 冒名傳送假資料 數(shù)字簽名 抗抵賴 ( N o n r e p u d i a t i o n ) ? 否認(rèn)已收到資料 ? 否認(rèn)已送資料 數(shù)字簽名 授權(quán)與訪問控制 ( A u t h o r i z a t i o n amp。 A c c e s s C o n t r o l ) ? 非法存取資料 N/A PKI的作用 130 CA的功能 ?頒發(fā)功能 ? CA接收、驗(yàn)證用戶，確定是否受理該數(shù)字證書申請(qǐng)； ?更新功能 ?查詢功能 ?作廢功能 ?歸檔功能 131 主 題 一、密碼學(xué)基礎(chǔ) 二、密碼學(xué)應(yīng)用 三、訪問控制與審計(jì)監(jiān)控 四、協(xié)議和網(wǎng)絡(luò)架構(gòu)安全 五、網(wǎng)絡(luò)安全設(shè)備 六、系統(tǒng)安全 七、應(yīng)用安全 八、惡意代碼及安全漏洞 九、安全攻防實(shí)踐 十、軟件安全開發(fā) 132 主體與客體 ?主體 ? 發(fā)起者，是一個(gè)主動(dòng)的實(shí)體，可以操作被動(dòng)實(shí)體的相關(guān)信息或數(shù)據(jù) ? 用戶、程序、 進(jìn)程等 ?客體 ? 一種被動(dòng)實(shí)體，被操作的對(duì)象，規(guī)定需要保護(hù)的資源 ? 文件、存儲(chǔ)介質(zhì)、程序、進(jìn)程等 133 授 權(quán) ?規(guī)定主體可以對(duì)客體執(zhí)行的操作： ? 讀 ? 寫 ? 執(zhí)行 ? 拒絕訪問 ? … 134 標(biāo) 識(shí) ?標(biāo)識(shí)是實(shí)體身份的一種計(jì)算機(jī)表達(dá)，每個(gè)實(shí)體與計(jì)算機(jī)內(nèi)部的一個(gè)身份表達(dá)綁定 ?標(biāo)識(shí)的主要作用：訪問控制和審計(jì) ? 訪問控制：標(biāo)識(shí)用于控制是否允許特定的操作 ? 審計(jì)：標(biāo)識(shí)用于跟蹤所有操作的參與者，參與者的任何操作都能被明確地標(biāo)識(shí)出來 135 鑒 別 ?確認(rèn)實(shí)體是它所聲明的，提供了關(guān)于某個(gè)實(shí)體身份的保證，某一實(shí)體確信與之打交道的實(shí)體正是所需要的實(shí)體 ? 口令、挑戰(zhàn) 應(yīng)答、生物特征鑒別 ?所有其它的安全服務(wù)都依賴于該服務(wù) ?需求：某一成員（聲稱者）提交一個(gè)主體的身份并聲稱它是那個(gè)主體 ?目的：使別的成員（驗(yàn)證者）獲得對(duì)聲稱者所聲稱的事實(shí)的信任 136 訪問控制模型 主 體 客 體 訪問控制 實(shí)施 訪問控制 決策 提交訪問 請(qǐng)求 請(qǐng)求決策 決 策 提出訪問 請(qǐng)求 137 ?什么是訪問控制模型 ? 對(duì)一系列訪問控制規(guī)則集合的描述，可以是非形式化的，也可以是形式化的。 ?組成 訪問控制模型的分類 訪問控制模型 強(qiáng)制訪問控制模型 （ MAC） 自主訪問控制模型 （ DAC） 訪問矩陣模型 訪問控制列表 （ ACL） 權(quán)能列表 （ Capacity List） BellLapudula 模型 Biba 模型 ClarkWilson 模型 Chinese Wall 模型 保密性 模型 完整性 模型 基于角色訪問控制模型 （ RBAC） 混合策 略模型 138 自主訪問控制模型 ?允許客體的屬主（創(chuàng)建者）決定主體對(duì)該客體的訪問權(quán)限 ? 機(jī)制： 訪問控制表 /矩 陣 ? 方 法： 訪問控制表 (Access Control Lists)和 訪問能力表 (Capacity List) ?優(yōu) 點(diǎn) ? 根據(jù)主體的身份和訪問權(quán)限進(jìn)行決策 ? 具有某種訪問能力的主體能夠自主地將訪問權(quán)的某個(gè)子集授予其它主體 ? 靈活性高，被大量采用 ?缺 點(diǎn) ? 信息在傳遞過程中其訪問權(quán)限關(guān)系會(huì)被改變 139 強(qiáng)制 訪問控制模型 ?主體對(duì)客體的所有訪問請(qǐng)求按照強(qiáng)制訪問控制策略進(jìn)行控制，客體的屬主無權(quán)控制客體的訪問權(quán)限，以防止對(duì)信息的非法和越權(quán)訪問 ? 主體和客體分配有一個(gè)安全屬性 ? 應(yīng)用于軍事等安全要求較高的系統(tǒng) ? 可與自主訪問控制結(jié)合使 用 140 常見強(qiáng)制訪問控制模型 ?BLP模型 ? 1973年提出的多級(jí)安全模型，影響了許多其他模型的發(fā)展，甚至很大程度上影響了計(jì)算機(jī)安全技術(shù)的發(fā)展 ?Biba模型 ? 1977年， Biba提出的一種在數(shù)學(xué)上與 BLP模型對(duì)偶的完整性保護(hù)模型 ?ClarkWilson模型 ? 1987年， David Clark和 David Wilson開發(fā)的以事物處理為基本操作的完整性模型，該模型應(yīng)用于多種商業(yè)系統(tǒng) ?Chinese Wall模型 ? 1989年， D. Brewer和 M. Nash提出的同等考慮保密性與完整性的安全策略模型，主要用于解決商業(yè)中的利益沖突 141 自主訪問控制與強(qiáng)制訪問控制的比較 ?自主訪問控制 ? 細(xì)粒度 ? 靈活性高 ? 配置效率低 ?強(qiáng)制訪問控制 ? 控制粒度大 ? 靈活性不高 ? 安全性強(qiáng) 142 鑒別的基本途徑 ?基于你所知道的（ What you know ） ? 知識(shí)、口令、密碼 ?基于你所擁有的（ What you have ） ? 身份證、信用卡、鑰匙、智能卡、令牌等 ?基于你的個(gè)人特征（ What you are） ? 指紋，筆跡，聲音，手型，臉型，視網(wǎng)膜，虹膜 ?雙因素、多因素認(rèn)證 143 集中訪問控制的基本概念及實(shí)現(xiàn) ?RADIUS協(xié)議 ?TACACS協(xié)議 ?TACACS+協(xié)議 ?Diameter協(xié)議 144 審計(jì)系統(tǒng)的組成結(jié)構(gòu) ?審計(jì)系統(tǒng)包含三個(gè)部分：日志記錄器、分析器、通告器，分別用于收集數(shù)據(jù)、分析數(shù)據(jù)及通報(bào)結(jié)果。 ? 日志記錄器：日志機(jī)制可以把信息記錄成二進(jìn)制形式或可讀的形式。系統(tǒng)會(huì)提供一個(gè)日志瀏覽工具。用戶能使用工具檢查原始數(shù)據(jù)或用文本處理工具來編輯數(shù)據(jù)。 ? 分析器：分析器以日志作為輸入，然后分析日志數(shù)據(jù)。分析的結(jié)果可能會(huì)改變正在記錄的數(shù)據(jù)，也可能只是檢測(cè)一些事件或問題。 145 安全監(jiān)控的常用技術(shù) ?惡意行為監(jiān)控 ? 蜜網(wǎng) ? 網(wǎng)站掛馬監(jiān)測(cè) ? 網(wǎng)站篡改監(jiān)測(cè) ? P2P監(jiān)測(cè) ?內(nèi)容監(jiān)控 ? 網(wǎng)絡(luò)輿情分析 146 主 題 一、密碼學(xué)基礎(chǔ) 二、密碼學(xué)應(yīng)用 三、訪問控制與審計(jì)監(jiān)控 四、協(xié)議和網(wǎng)絡(luò)架構(gòu)安全 五、網(wǎng)絡(luò)安全設(shè)備 六、系統(tǒng)安全 七、應(yīng)用安全 八、惡意代碼及安全漏洞 九、安全攻防實(shí)踐 十、軟件安全開發(fā) 147 TCP/IP協(xié)議與 OSI模型的對(duì)應(yīng) 148 物理層 網(wǎng)絡(luò)層 傳輸層 會(huì)話層 表示層 應(yīng)用層 數(shù)據(jù)鏈路層 互聯(lián)網(wǎng)絡(luò)層 傳輸層 應(yīng)用層 網(wǎng)絡(luò)接口層 TCP/IP協(xié)議結(jié)構(gòu) 149 應(yīng)用層 傳輸層 互聯(lián)網(wǎng)絡(luò) 層 網(wǎng)絡(luò)接口層 應(yīng)用協(xié)議 應(yīng)用協(xié)議 應(yīng)用協(xié)議 應(yīng)用協(xié)議 TCP UDP ICMP IP IGMP ARP 硬件接口 RARP ?IP是 TCP/IP協(xié)議族中最為核心的協(xié)議 ?IP協(xié)議的特點(diǎn) ? 不可靠（ unreliable）通信 ? 無連接（ connectionless）通 信 IP協(xié)議簡(jiǎn)介 150 ?TCP:傳輸控制協(xié)議 ?作用： TCP提供一種面向連接的、可靠的字節(jié)流服務(wù) ?功能 ? 數(shù)據(jù)包分塊 ? 發(fā)送接收確認(rèn) ? 超時(shí)重發(fā) ? 數(shù)據(jù)校驗(yàn) ? 數(shù)據(jù)包排序 ? 控制流量 ? …… TCP協(xié)議 151 16位源端口號(hào) 16位目的端口號(hào) 32位序號(hào) 32位確認(rèn)序號(hào) 偏移量 保留 U A P R S F 16位窗口大小 16位緊急指針 16位校驗(yàn)和 數(shù) 據(jù) ?特 點(diǎn)： UDP是一個(gè)簡(jiǎn)單的面向數(shù)據(jù)報(bào)的傳輸層協(xié)議 ? 不具備接收應(yīng)答機(jī)制 ? 不能對(duì)數(shù)據(jù)分組、合并 ? 不能重新排序 ? 沒有流控制功能 ? 協(xié)議簡(jiǎn)單 ? 占用資源少，效率高 ? …… UDP協(xié)議 152 16位源端口號(hào) 16位目的端口號(hào) 16位 UDP長(zhǎng)度 16位 UDP校驗(yàn)和 數(shù)據(jù) 應(yīng)用層安全 拒絕服務(wù) 欺騙 竊聽 偽造 暴力破解 …… 153 無線局域網(wǎng) 安全風(fēng)險(xiǎn) 無線局域網(wǎng)安全問題 154 ?基于三元結(jié)構(gòu)和對(duì)等鑒別的訪問控制方法 ? 可普遍適用于無線、有線網(wǎng)絡(luò) ? WAPI目的：“合法用戶接入合法網(wǎng)絡(luò)” 用戶 網(wǎng)絡(luò) WAPI的技術(shù)思想 155 網(wǎng)絡(luò) 架構(gòu)安全 156 ?安 全域 ? 安全域的概念 ? 為什么要有安全域 ?網(wǎng)絡(luò)邊界 ? 網(wǎng)絡(luò)邊界的概念 ? 網(wǎng) 絡(luò)邊界安全防護(hù)的作用 ?網(wǎng)絡(luò)冗余 ? 網(wǎng) 絡(luò)冗余的價(jià)值 ?網(wǎng) 絡(luò)規(guī)劃 ? IP地址規(guī)劃 ? VLAN劃分 主 題 一、密碼學(xué)基礎(chǔ) 二、密碼學(xué)應(yīng)用 三、訪問控制與審計(jì)監(jiān)控 四、協(xié)議和網(wǎng)絡(luò)架構(gòu)安全 五、網(wǎng)絡(luò)安全設(shè)備 六、系統(tǒng)安全 七、應(yīng)用安全 八、惡意代碼及安全漏洞 九、安全攻防實(shí)踐 十、軟件安全開發(fā) 157 防火墻的相關(guān)知識(shí) ?防火 墻的分類 ? 包過濾技術(shù) ? 應(yīng)用代理技術(shù) ? 狀態(tài)檢測(cè)技 術(shù) ?防火墻的工作模式 ? 路由模式 ? 透明模式 ? 混合模式 158 防火墻技術(shù) 弱點(diǎn)和局限性 ?防火墻防外不防內(nèi)； ?防火墻難于管理和配置 ， 易造成安全漏洞； ?很難為用戶在防火墻內(nèi)外提供一致的安全策略； ?防火墻只實(shí)現(xiàn)了粗粒度的訪問控制； ?對(duì)于某些攻擊防火墻也無能為力 。 159 入侵檢測(cè)技術(shù) 入侵檢測(cè)系統(tǒng)的功能 160 ?自動(dòng)檢測(cè)入侵行為； ?監(jiān)視網(wǎng)絡(luò)流量（ Network IDS)和主機(jī) (Host