網(wǎng)絡和計算機安全-資料下載頁
2025-01-25 16:53本頁面
【正文】 足規(guī)范的需求 –執(zhí)行系統(tǒng) (Implementation) ? 執(zhí)行系統(tǒng)以符合當初設計的目標 68 研究安全的方法學 Threats Policy Specification Design Implementation Operation 69 運作問題 ? CostBenefit分析 – 是否該保護更為便宜，但是已經(jīng)達到保護要求 – 足夠保護原理 (Principle of Adequate Protection): 計算機單元得到的保護應該與它們的價值成正比。 ? 風險分析 (Risk Analysis) – 我們應該保護有些東西嗎？ – 最容易侵入原理 (Principle of Easiest Peration)：必須考慮到一個入侵者必然會利用所有可以利用的手段去執(zhí)行入侵。 ? 法律和習慣 – 所有的安全手段是否合法？ – 人們是否愿意去執(zhí)行它們？ 70 人的因素 ? 組織問題 –權力和責任 –經(jīng)濟利益 ? 人員問題 –內部威脅還是外部威脅 ? 哪個是你認為的真真的威脅 –社會工程 ? 一種攻擊手段，與人員的安全意識緊密相關 71 思考題－如何保護你的 project ? 什么是你的 project的安全性？ ? 現(xiàn)有哪些威脅在影響你的 project？ ? 如何保護你的 Project？ ? 制定幾條安全策略用以保護你的 project？這些策略夠了嗎？ ? 如何執(zhí)行上述安全策略？ ? 如何解決相應的組織問題和工具問題？ ? 有哪些運作問題存在？ ? 有哪些人的問題存在？ 72 信息系統(tǒng)安全攻擊的概述 73 案例分析 ? 2023年， 《 信息周刊 》 （ Information Week）對 4500個安全專家進行了一個全球信息調查。作為調查的一部分，要求回答者列出入侵者入侵其機構所使用的主要攻擊方法（允許多選）。 ? 排在第一位的方法是利用操作系統(tǒng)的漏洞：大約三分之一的回答者經(jīng)歷過這種攻擊。接下來的流行方法是利用不為人知的應用程序（占 27%）。其它常見的攻擊是猜口令（占 22%）、濫用合法用戶的帳戶或者許可（占 17%）和使用拒絕服務攻擊（占 12%）。 ? 通常的思維總是認為針對公司網(wǎng)絡或計算機的攻擊，有五分之四是由懷有惡意的內部員工所為，因為他們利用對系統(tǒng)的熟悉來達到目的。這次的調查嘗試確定這個“首要規(guī)則”是否成立。事實上，利用網(wǎng)絡應用程序的增長，現(xiàn)在認為外部人士具有更大的威脅。 Hulme指出“很多公司懷疑黑客、恐怖分子（占 46%）甚至一些消費者（占 14％）在試圖攻擊他們的系統(tǒng)”。美國計算機安全研究所和美國聯(lián)邦調查局出版的另外一份調查報告也證實了這種懷疑。第二份報告指出幾乎四分之三的企業(yè)認為因特網(wǎng)的攻擊起點，而只有三分之一的企業(yè)認為內部系統(tǒng)是攻擊起點。 74 問題 ? 漏洞最大的來源是什么？ ? 攻擊的最大來源是什么？ ? 對企業(yè)系統(tǒng)的攻擊點最大的來源是什么？ 75 攻擊方法的步驟 ? 調查目標系統(tǒng)狀況 。 – 首先通過各種途徑找到所需要攻擊的信息系統(tǒng)的概況。包括了解信息系統(tǒng)的類型、版本等信息，這樣容易找到相關的資料調查目標系統(tǒng)的漏洞所在； ? 初始攻擊 。 – 找尋相關工具，或者編寫相應腳本進行攻擊。一般以嘗試進入為這一階段的第一步。比如找到一個 Guest帳號進入系統(tǒng)。這樣有助于進一步獲取系統(tǒng)信息，并運行下一步的攻擊程序； ? 提升權限 。 – 在第二步的基礎之上運行攻擊程序，獲得系統(tǒng)管理員或者希望得到的目標角色的帳戶； ? 掩蓋攻擊 。 – 完成第三步的時候，并不表明攻擊已經(jīng)完成。這一步需要清除日志或者文件系統(tǒng)的某些記錄，不能讓系統(tǒng)管理人員發(fā)覺攻擊的痕跡； ? 修補相應的漏洞 。 – 這一步是高級黑客常常討論的問題。修補目標系統(tǒng)的漏洞的目的是要堵塞原先的攻擊路徑，讓其他黑客不能進入系統(tǒng)。否則有可能自己的攻擊留下的特權帳戶被其他黑客殺檔。因此，這一步是很重要的，但是修補漏洞很容易讓系統(tǒng)管理員發(fā)現(xiàn)攻擊，比如重新啟動等發(fā)生的時候，系統(tǒng)管理員會知道可能有攻擊行為的發(fā)生。因此如何在不讓管理員察覺的情況下修補安全漏洞是高級黑客經(jīng)常討論的話題。 76 攻擊的分類 ? 竊聽（ Snooping） ? 篡改（ Modification or Alteration） ? 偽裝或者哄騙（ Masquerading or Spoofing） ? 否認發(fā)送（ Repudiation of Origin） ? 否認接受（ Denial of receipt） ? 延遲（ Delay） ? 拒絕服務（ Denial of service） 77 中間人攻擊 Alice Bob 和 Alice交換密鑰 和 Bob交換密鑰 攻擊者 78 直接型分布式拒絕服務攻擊 79 反射型分布式拒絕服務攻擊 80 如何進行防御 81 防御的方法論 保護 檢測恢復 反應防御82 攻擊者的優(yōu)勢和防御者的劣勢 ? 因素＃ 1：防御者必須對所有的環(huán)節(jié)進行防御，而攻擊者可以選擇最薄弱的環(huán)節(jié)發(fā)起攻擊。 – 城堡的防御和攻擊點的選擇 – 攻擊者可以拿到你的軟件，并只需要找出一個薄弱環(huán)節(jié) ? 因素＃ 2：防御者只能針對已知的攻擊進行防御，而攻擊者則可以探測未知的漏洞進行攻擊 – 城堡中的古井和特洛伊木馬的故事 – 軟件在發(fā)布的時候，只能對已經(jīng)建立的理論或者已經(jīng)知道的攻擊手段進行有效防御。 – 對未知的攻擊進行防御的唯一途徑就是，如果用戶不是明確要求的某些功能，就禁止這些功能。 ? 因素＃ 3：防御者必須永遠保持警戒，而攻擊者可以以逸待勞，隨時發(fā)起攻擊 ? 因素＃ 4：防御者的活動必須遵守相關的規(guī)則，而攻擊者可以采用一些卑鄙的、非法的手段 83 系統(tǒng)開發(fā)和程序員的視圖 ? 從系統(tǒng)開發(fā)和程序員的角度來看，構建一個安全的信息系統(tǒng)是一個艱巨的任務。我們建議如下： – 從開發(fā)的過程上保證。現(xiàn)代的開發(fā)過程多采用迭代式開發(fā)過程以控制風險； – 從軟件體系結構上保證。采用合適的機制，包括認證、訪問控制、審計、加密 /解密，用以保證系統(tǒng)的安全性； – 從代碼上保證。建立對等審查機制，提高代碼的可讀性和安全性。使用合適的編譯工具和代碼檢查工具，提高代碼的健壯性； – 提供有效的安全測試。安全測試是現(xiàn)代信息系統(tǒng)測試必不可少的一部分。 – 從人員組織上保障 .。進行定期培訓，提高開發(fā)人員和程序員的安全意識。設立安全部門，幫助系統(tǒng)開發(fā)和程序員提高系統(tǒng)和代碼的安全質量。 84 小結 ? 安全的重要性 ? 什么是安全 ? 安全策略、安全機制和安全的方法學 ? 攻擊概述 ? 防御 85 演講完畢，謝謝觀看！
教學課件相關推薦
鄂ICP備17016276號-1