【正文】 簽名 —— 抗抵賴性 用戶 A 用戶 B 數(shù)據(jù) 哈希值 哈希算法 用戶 A的私鑰 數(shù)據(jù) 哈希值 用戶 A的公鑰 哈希算法 哈希值 如果哈希值匹配，說明該數(shù)據(jù)由該私鑰簽名。 123 主 題 一、密碼學基礎 二、密碼學應用 三、訪問控制與審計監(jiān)控 四、協(xié)議和網(wǎng)絡架構(gòu)安全 五、網(wǎng)絡安全設備 六、系統(tǒng)安全 七、應用安全 八、惡意代碼及安全漏洞 九、安全攻防實踐 十、軟件安全開發(fā) 124 ?加密數(shù)據(jù) ，以保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會泄露。 ?信息認證和身份認證 ，保證信息的完整性、合法性，并能鑒別用戶的身份。 ?提供訪問控制 ，不同的用戶有不同的訪問權限。 VPN基 本功能 125 VPN的類型 ? VPN基本概念 ? 虛擬專網(wǎng)（加密數(shù)據(jù)、信息和身份認證、訪問控制） ? VPN的類型 ? 按協(xié)議層分（二、三、四層和應用層） ? 按應用范圍分（遠程訪問、內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)） ? 按體系結(jié)構(gòu)分（網(wǎng)關到網(wǎng)關、網(wǎng)關到主機、主機到主機） ? VPN關鍵技術 ? 隧道技術 ? 密碼技術 ? 密鑰管理技術 ? 鑒別技術 126 VPN關鍵技術 ?VPN主要采用 4類技術來保證安全 ? 隧道技術 ? 密碼技術 ? 密鑰管理技術 ? 鑒別技術 ?VPN主要協(xié)議 ? 二層隧道協(xié)議： PPTP： L2F、 L2TP ? IPSEC ? SSL 127 PKI是什么？ ?PKI： Public Key Infrastructure ?PKI公鑰基礎設施是以公開密鑰技術為基礎，以數(shù)據(jù)保密性、完整性和抗抵賴性為安全目的的而構(gòu)建的認證、授權、加密等硬件、軟件的綜合設施。 ?PKI提供的安全服務主要包括： ? 身份認證 ? 支持密鑰管理 ? 完整性和抗抵賴性 128 PKI/CA的體系結(jié)構(gòu)和工作流程 第三方信任 互相 信任 互相信任 CA（證書認證中心） 129 信息安全要素 所對付的威脅 可用的 PKI 技術 機密性 ( C o n f i d e n t i a l i t y ) ? 竊聽 ? 非法竊取資料 ? 敏感信息泄露 加密 數(shù)字信封 完整性 ( I n t e g r i t y ) ? 篡改 ? 重放攻擊 ? 破壞 數(shù)字簽名 時戳服務 （ T i m e Stamp ） 可用性 （ Availability ） ? 堵塞網(wǎng)絡 ? 消耗計算資源 N/A 認證 ( A u t h e n t i c a t i o n ) ? 冒名傳送假資料 數(shù)字簽名 抗抵賴 ( N o n r e p u d i a t i o n ) ? 否認已收到資料 ? 否認已送資料 數(shù)字簽名 授權與訪問控制 ( A u t h o r i z a t i o n A c c e s s C o n t r o l ) ? 非法存取資料 N/A PKI的作用 130 CA的功能 ?頒發(fā)功能 ? CA接收、驗證用戶，確定是否受理該數(shù)字證書申請； ?更新功能 ?查詢功能 ?作廢功能 ?歸檔功能 131 主 題 一、密碼學基礎 二、密碼學應用 三、訪問控制與審計監(jiān)控 四、協(xié)議和網(wǎng)絡架構(gòu)安全 五、網(wǎng)絡安全設備 六、系統(tǒng)安全 七、應用安全 八、惡意代碼及安全漏洞 九、安全攻防實踐 十、軟件安全開發(fā) 132 主體與客體 ?主體 ? 發(fā)起者，是一個主動的實體，可以操作被動實體的相關信息或數(shù)據(jù) ? 用戶、程序、 進程等 ?客體 ? 一種被動實體，被操作的對象，規(guī)定需要保護的資源 ? 文件、存儲介質(zhì)、程序、進程等 133 授 權 ?規(guī)定主體可以對客體執(zhí)行的操作： ? 讀 ? 寫 ? 執(zhí)行 ? 拒絕訪問 ? … 134 標 識 ?標識是實體身份的一種計算機表達，每個實體與計算機內(nèi)部的一個身份表達綁定 ?標識的主要作用：訪問控制和審計 ? 訪問控制：標識用于控制是否允許特定的操作 ? 審計：標識用于跟蹤所有操作的參與者，參與者的任何操作都能被明確地標識出來 135 鑒 別 ?確認實體是它所聲明的，提供了關于某個實體身份的保證，某一實體確信與之打交道的實體正是所需要的實體 ? 口令、挑戰(zhàn) 應答、生物特征鑒別 ?所有其它的安全服務都依賴于該服務 ?需求：某一成員（聲稱者）提交一個主體的身份并聲稱它是那個主體 ?目的：使別的成員（驗證者）獲得對聲稱者所聲稱的事實的信任 136 訪問控制模型 主 體 客 體 訪問控制 實施 訪問控制 決策 提交訪問 請求 請求決策 決 策 提出訪問 請求 137 ?什么是訪問控制模型 ? 對一系列訪問控制規(guī)則集合的描述，可以是非形式化的，也可以是形式化的。 ?組成 訪問控制模型的分類 訪問控制模型 強制訪問控制模型 （ MAC） 自主訪問控制模型 （ DAC） 訪問矩陣模型 訪問控制列表 （ ACL） 權能列表 （ Capacity List） BellLapudula 模型 Biba 模型 ClarkWilson 模型 Chinese Wall 模型 保密性 模型 完整性 模型 基于角色訪問控制模型 （ RBAC） 混合策 略模型 138 自主訪問控制模型 ?允許客體的屬主（創(chuàng)建者）決定主體對該客體的訪問權限 ? 機制： 訪問控制表 /矩 陣 ? 方 法： 訪問控制表 (Access Control Lists)和 訪問能力表 (Capacity List) ?優(yōu) 點 ? 根據(jù)主體的身份和訪問權限進行決策 ? 具有某種訪問能力的主體能夠自主地將訪問權的某個子集授予其它主體 ? 靈活性高，被大量采用 ?缺 點 ? 信息在傳遞過程中其訪問權限關系會被改變 139 強制 訪問控制模型 ?主體對客體的所有訪問請求按照強制訪問控制策略進行控制，客體的屬主無權控制客體的訪問權限，以防止對信息的非法和越權訪問 ? 主體和客體分配有一個安全屬性 ? 應用于軍事等安全要求較高的系統(tǒng) ? 可與自主訪問控制結(jié)合使 用 140 常見強制訪問控制模型 ?BLP模型 ? 1973年提出的多級安全模型，影響了許多其他模型的發(fā)展，甚至很大程度上影響了計算機安全技術的發(fā)展 ?Biba模型 ? 1977年， Biba提出的一種在數(shù)學上與 BLP模型對偶的完整性保護模型 ?ClarkWilson模型 ? 1987年， David Clark和 David Wilson開發(fā)的以事物處理為基本操作的完整性模型，該模型應用于多種商業(yè)系統(tǒng) ?Chinese Wall模型 ? 1989年， D. Brewer和 M. Nash提出的同等考慮保密性與完整性的安全策略模型，主要用于解決商業(yè)中的利益沖突 141 自主訪問控制與強制訪問控制的比較 ?自主訪問控制 ? 細粒度 ? 靈活性高 ? 配置效率低 ?強制訪問控制 ? 控制粒度大 ? 靈活性不高 ? 安全性強 142 鑒別的基本途徑 ?基于你所知道的（ What you know ） ? 知識、口令、密碼 ?基于你所擁有的（ What you have ） ? 身份證、信用卡、鑰匙、智能卡、令牌等 ?基于你的個人特征（ What you are） ? 指紋，筆跡，聲音，手型，臉型，視網(wǎng)膜，虹膜 ?雙因素、多因素認證 143 集中訪問控制的基本概念及實現(xiàn) ?RADIUS協(xié)議 ?TACACS協(xié)議 ?TACACS+協(xié)議 ?Diameter協(xié)議 144 審計系統(tǒng)的組成結(jié)構(gòu) ?審計系統(tǒng)包含三個部分：日志記錄器、分析器、通告器，分別用于收集數(shù)據(jù)、分析數(shù)據(jù)及通報結(jié)果。 ? 日志記錄器：日志機制可以把信息記錄成二進制形式或可讀的形式。系統(tǒng)會提供一個日志瀏覽工具。用戶能使用工具檢查原始數(shù)據(jù)或用文本處理工具來編輯數(shù)據(jù)。 ? 分析器：分析器以日志作為輸入，然后分析日志數(shù)據(jù)。分析的結(jié)果可能會改變正在記錄的數(shù)據(jù)，也可能只是檢測一些事件或問題。 145 安全監(jiān)控的常用技術 ?惡意行為監(jiān)控 ? 蜜網(wǎng) ? 網(wǎng)站掛馬監(jiān)測 ? 網(wǎng)站篡改監(jiān)測 ? P2P監(jiān)測 ?內(nèi)容監(jiān)控 ? 網(wǎng)絡輿情分析 146 主 題 一、密碼學基礎 二、密碼學應用 三、訪問控制與審計監(jiān)控 四、協(xié)議和網(wǎng)絡架構(gòu)安全 五、網(wǎng)絡安全設備 六、系統(tǒng)安全 七、應用安全 八、惡意代碼及安全漏洞 九、安全攻防實踐 十、軟件安全開發(fā) 147 TCP/IP協(xié)議與 OSI模型的對應 148 物理層 網(wǎng)絡層 傳輸層 會話層 表示層 應用層 數(shù)據(jù)鏈路層 互聯(lián)網(wǎng)絡層 傳輸層 應用層 網(wǎng)絡接口層 TCP/IP協(xié)議結(jié)構(gòu) 149 應用層 傳輸層 互聯(lián)網(wǎng)絡 層 網(wǎng)絡接口層 應用協(xié)議 應用協(xié)議 應用協(xié)議 應用協(xié)議 TCP UDP ICMP IP IGMP ARP 硬件接口 RARP ?IP是 TCP/IP協(xié)議族中最為核心的協(xié)議 ?IP協(xié)議的特點 ? 不可靠（ unreliable）通信 ? 無連接（ connectionless）通 信 IP協(xié)議簡介 150 ?TCP:傳輸控制協(xié)議 ?作用： TCP提供一種面向連接的、可靠的字節(jié)流服務 ?功能 ? 數(shù)據(jù)包分塊 ? 發(fā)送接收確認 ? 超時重發(fā) ? 數(shù)據(jù)校驗 ? 數(shù)據(jù)包排序 ? 控制流量 ? …… TCP協(xié)議 151 16位源端口號 16位目的端口號 32位序號 32位確認序號 偏移量 保留 U A P R S F 16位窗口大小 16位緊急指針 16位校驗和 數(shù) 據(jù) ?特 點： UDP是一個簡單的面向數(shù)據(jù)報的傳輸層協(xié)議 ? 不具備接收應答機制 ? 不能對數(shù)據(jù)分組、合并 ? 不能重新排序 ? 沒有流控制功能 ? 協(xié)議簡單 ? 占用資源少，效率高 ? …… UDP協(xié)議 152 16位源端口號 16位目的端口號 16位 UDP長度 16位 UDP校驗和 數(shù)據(jù) 應用層安全 拒絕服務 欺騙 竊聽 偽造 暴力破解 …… 153 無線局域網(wǎng) 安全風險 無線局域網(wǎng)安全問題 154 ?基于三元結(jié)構(gòu)和對等鑒別的訪問控制方法 ? 可普遍適用于無線、有線網(wǎng)絡 ? WAPI目的：“合法用戶接入合法網(wǎng)絡” 用戶 網(wǎng)絡 WAPI的技術思想 155 網(wǎng)絡 架構(gòu)安全 156 ?安 全域 ? 安全域的概念 ? 為什么要有安全域 ?網(wǎng)絡邊界 ? 網(wǎng)絡邊界的概念 ? 網(wǎng) 絡邊界安全防護的作用 ?網(wǎng)絡冗余 ? 網(wǎng) 絡冗余的價值 ?網(wǎng) 絡規(guī)劃 ? IP地址規(guī)劃 ? VLAN劃分 主 題 一、密碼學基礎 二、密碼學應用 三、訪問控制與審計監(jiān)控 四、協(xié)議和網(wǎng)絡架構(gòu)安全 五、網(wǎng)絡安全設備 六、系統(tǒng)安全 七、應用安全 八、惡意代碼及安全漏洞 九、安全攻防實踐 十、軟件安全開發(fā) 157 防火墻的相關知識 ?防火 墻的分類 ? 包過濾技術 ? 應用代理技術 ? 狀態(tài)檢測技 術 ?防火墻的工作模式 ? 路由模式 ? 透明模式 ? 混合模式 158 防火墻技術 弱點和局限性 ?防火墻防外不防內(nèi)； ?防火墻難于管理和配置 ， 易造成安全漏洞； ?很難為用戶在防火墻內(nèi)外提供一致的安全策略； ?防火墻只實現(xiàn)了粗粒度的訪問控制； ?對于某些攻擊防火墻也無能為力 。 159 入侵檢測技術 入侵檢測系統(tǒng)的功能 160 ?自動檢測入侵行為； ?監(jiān)視網(wǎng)絡流量（ Network IDS