【正文】 ， 國外一著名網(wǎng)絡(luò)公司以 跟蹤服務(wù) 為由 ， 在路由器中設(shè)下 機(jī)關(guān) 、 可以將網(wǎng)絡(luò)中用戶的包信息同時送一份到其公司總部 。 46 安全隱患 b)操作系統(tǒng)安全隱患 計算機(jī)操作系統(tǒng)歷來被美國一些大公司所壟斷 ，但這些操作系統(tǒng)的源程序都是不公開的 ， 在安全機(jī)制方面存在著諸多漏洞和隱患 。如 Windows95存在兩千多處缺陷 。 47 安全隱患 b)操作系統(tǒng)安全隱患 —— OS的體系結(jié)構(gòu)造成其本身不安全 I/O、 系統(tǒng)服務(wù)程序等都可用打補(bǔ)丁方式進(jìn)行動態(tài)連接 。 為了實(shí)現(xiàn)通用性 、 可裁剪 性 ， 能夠安裝其他公司的軟件包 ，這些軟件包往往是操作系統(tǒng)的一部分 ， 需要與操作系統(tǒng)同樣的訪問特權(quán) ， 安裝這些軟件包的 “ 抓鉤 ” 程序就是非法攻擊者入侵操作系統(tǒng)的陷門 。 另外 ， 能進(jìn)行遠(yuǎn)程進(jìn)程的創(chuàng)建與激活 ， 這為安裝 “ 間諜 ” 軟件提供了條件 。 版權(quán)所有 2022 169。 其 安全機(jī)制也存在先天不足 ， 協(xié)議還具有許多安全漏洞 ， 為攻擊者提供了方便 ， 如地址欺騙等 。 TCP/IP協(xié)議安全漏洞 ： 包監(jiān)視 、 泄露 、 地址欺騙 、 序列號攻擊 、 路由攻擊 、 拒絕服務(wù) 、 鑒別攻擊 。 49 安全隱患 d)數(shù)據(jù)庫系統(tǒng)安全隱患 由于數(shù)據(jù)庫平臺全系引進(jìn) ， 盡管廠商聲稱具有安全機(jī)制 ， 但對國內(nèi)用戶猶如一個 黑匣子 。 直接攻擊是通過查詢以得到幾個記錄來直接搜索并確定敏感字段的值 ， 最成功的技術(shù)是形成一種特定的查詢它恰與一個數(shù)據(jù)項(xiàng)相匹配 。 統(tǒng)計攻擊通過使用某些明顯隱匿的統(tǒng)計量來推導(dǎo)出數(shù)據(jù) ， 例如使用求和等統(tǒng)計數(shù)據(jù)來得到某些數(shù)據(jù) 。 50 安全隱患 e)計算機(jī)病毒威脅 計算機(jī)病毒是一種能夠進(jìn)行自我復(fù)制的程序 ， 可以通過多種方式植入計算機(jī)中 ， 通過 Inter網(wǎng)植入病毒更容易 。 由于在網(wǎng)絡(luò)環(huán)境下 ， 計算機(jī)病毒具有不可估量的威脅性和破壞力 ， 因此計算機(jī)病毒的防范是網(wǎng)絡(luò)安全性建設(shè)中重要的一環(huán) 。 1998年美國 莫里斯 病毒發(fā)作 ， 一天之內(nèi)使 6000多臺計算機(jī)感染 ， 損失達(dá) 9000萬美元 。 51 安全隱患 f) 管理疏漏 ， 內(nèi)部作案 。 金融 、 證券 、 郵電 、 科研院所 、 設(shè)計院 、 政府機(jī)關(guān)等單位幾乎是天生的受攻擊者 ， 內(nèi)部人員對本單位局域網(wǎng)的熟悉又加劇了其作案和被外部人勾結(jié)引誘的可能性 。 52 我國信息安全現(xiàn)狀 統(tǒng)計數(shù)據(jù) 2022/07 2022/1 2022/07 上網(wǎng)計算機(jī)數(shù) （ 萬臺 ） 650 892 1002 上網(wǎng)用戶人數(shù) （ 萬人 ） 1690 2250 2650 CN下注冊的域名總數(shù) （ 個 ） 99734 122099 128362 WWW站點(diǎn)數(shù) （ 個 ） 27289 265405 242739 我國國際線路的總?cè)萘?（ M） 1234 2799 3257 其中 中國科技網(wǎng) （ CSTNET） （ M） 10 55 55 中國公用計算機(jī)互聯(lián)網(wǎng) （ CHINANET） M 711 1953 2387 中國教育和科研計算機(jī)網(wǎng) （ CERNET） M 12 117 117 中國金橋信息網(wǎng) （ CHINAGBN） （ M） 69 148 151 中國聯(lián)通互聯(lián)網(wǎng) （ UNINET） （ M） 55 55 100 中國網(wǎng)通 (CNCNET)（ M） 377 377 355 中國國際經(jīng)濟(jì)貿(mào)易互聯(lián)網(wǎng) （ CIETNET） M 4 2 中國移動互聯(lián)網(wǎng) （ CMNET） （ M） 90 90 中國長城互聯(lián)網(wǎng) （ CGWNET） （ 建設(shè)中 ） 中國衛(wèi)星集團(tuán)互聯(lián)網(wǎng) （ CSNET） （ 建設(shè)中 ） 版權(quán)所有 2022 169。 54 我國信息安全現(xiàn)狀 在一年內(nèi)用戶計算機(jī)被入侵的情況： 被入侵過： % 沒有被入侵過： % 不知道： % 對于電子郵件帳號，用戶多久換一次密碼： 1個月： % 3個月 半年： % 半年 1年： % 一直不換 ： % 版權(quán)所有 2022 169。 56 我國信息安全現(xiàn)狀 2022年 5月出版的《國家信息安全報告》指出，我國目前的信息安全度介于相對安全與輕度不安全之間。 1． 信息與網(wǎng)絡(luò)安全的防護(hù)能力較弱。 版權(quán)所有 2022 169。 我國從發(fā)達(dá)國家和跨國公司引進(jìn)和購買了大量的信息技術(shù)和設(shè)備。但由于受技術(shù)水平等的限制，許多單位和部門對從國外，特別是美國等引進(jìn)的關(guān)鍵信息設(shè)備可能預(yù)做手腳的情況卻無從檢測和排除，以致我們許多單位和部門幾乎是在 “ 抱著定時炸彈 ” 工作。 58 我國信息安全現(xiàn)狀 3． 基礎(chǔ)信息產(chǎn)業(yè)薄弱，核心技術(shù)嚴(yán)重依賴國外。 軟件：面臨市場壟斷和價格歧視的威脅。離開了微軟的操作系統(tǒng)，國產(chǎn)的大多軟件都失去了操作平臺。 59 我國信息安全現(xiàn)狀 4． 信息安全管理機(jī)構(gòu)缺乏權(quán)威。沒有國家級的信息安全最高權(quán)威機(jī)構(gòu)以及與國家信息化進(jìn)程相一致的信息安全工程規(guī)劃。已制定報批和發(fā)布了有關(guān)信息技術(shù)安全的一系列的國家標(biāo)準(zhǔn)、國家軍用標(biāo)準(zhǔn)。 版權(quán)所有 2022 169。 西方一些國家采取各種手段特別是電子信息手段來竊取我國的各類機(jī)密，包括核心機(jī)密。以金融業(yè)計算機(jī)犯罪為例，從 1986年發(fā)現(xiàn)第一起銀行計算機(jī)犯罪案起，發(fā)案率每年以 30％的速度遞增。據(jù)不完全統(tǒng)計，我國目前已發(fā)現(xiàn)的計算機(jī)病毒約有 2022～ 3000多種，而且還在以更快的速度增加著。 61 我國信息安全現(xiàn)狀 6． 信息安全技術(shù)及設(shè)備的研發(fā)和應(yīng)用有待提高 近年來 ， 我國在立法和依法管理方面加大力度 ， 推進(jìn)計算機(jī)信息網(wǎng)絡(luò)安全技術(shù)和產(chǎn)品的研究 、 開發(fā)和應(yīng)用 ， 建立了計算機(jī)病毒防治產(chǎn)品檢驗(yàn)中心 、 計算機(jī)信息系統(tǒng)安全專用產(chǎn)品質(zhì)量檢驗(yàn)中心 ， 加強(qiáng)了對計算機(jī)信息網(wǎng)絡(luò)安全產(chǎn)品的管理 。 但是 ， 正如 《 國家信息安全報告 》 強(qiáng)調(diào)指出的：“ 這些產(chǎn)品安全技術(shù)的完善性 、 規(guī)范性 、 實(shí)用性還存在許多不足 ， 特別是在多平臺的兼容性 、 多協(xié)議的適應(yīng)性 、 多接口的滿足性方面存在很大距離 ， 理論基礎(chǔ)和自主技術(shù)手段也需要發(fā)展和強(qiáng)化 。 62 本章內(nèi)容安排 課程安排 計算系統(tǒng)安全的嚴(yán)峻性 計算機(jī)系統(tǒng)的安全隱患 計算機(jī)系統(tǒng)安全概念 國內(nèi)外網(wǎng)絡(luò)安全標(biāo)準(zhǔn) 安全威脅 安全體系結(jié)構(gòu) 版權(quán)所有 2022 169。 幾種安全性 （ 概念范圍 小 ?大 ） ： 密碼安全：通信安全的核心 計算機(jī)安全： 網(wǎng)絡(luò)安全： 信息安全： 版權(quán)所有 2022 169。 65 安全的概念 受安全問題影響的資源： 1 ) 硬件： CPU、 電路板 、 鍵盤 、 終端 、 工作站 、 個人計算機(jī) 、打印機(jī) 、 磁盤驅(qū)動器 、 通信線 、 通信控制器 、 終端服務(wù)器 、 網(wǎng)絡(luò)連接設(shè)備 。 3) 數(shù)據(jù)：執(zhí)行過程中的數(shù)據(jù) 、 存儲數(shù)據(jù) 、 存檔數(shù)據(jù) 、 預(yù)算記錄 、 數(shù)據(jù)庫 、 通信媒體的傳輸數(shù)據(jù) 。 5) 文檔：程序 、 硬件上的 、 系統(tǒng)里的文檔 。 版權(quán)所有 2022 169。 ” ——靜態(tài)信息保護(hù) 。 ” ——動態(tài)意義描述 。 從運(yùn)行管理角度：正常 、 可靠 、 連續(xù)運(yùn)行 。 版權(quán)所有 2022 169。 美國由軍方到社會全面推出了 “ 信息安全保障體系 ” 概念 ， 概括了網(wǎng)絡(luò)安全的全過程 ， 即 邊界防衛(wèi) 、 入侵檢測 、 安全反應(yīng)和破壞恢復(fù) ； “ 信息保障體系 ” 不能僅從技術(shù)的角度思考 ， 還有一個社會管理層面更高層次的問題： 全社會的綜合集成安全體系；它建筑在安全技術(shù)的平臺上 ，以各部門形成合力為特征 ， 不是各部門功能的簡單疊加 ， 而是在統(tǒng)一領(lǐng)導(dǎo)下的有機(jī)組合 。 68 安全的概念 安全的內(nèi)涵 （ 要素 ） ： 機(jī)密性 confidentiality、 完整性 integrity、可用性 availability、 可控性與可審查性 。 加密機(jī)制 。 完整性鑒別機(jī)制 ， 保證只有得到允許的人才能修改數(shù)據(jù) 。 可用性：得到授權(quán)的實(shí)體可獲得服務(wù) ， 攻擊者不能占用所有的資源而阻礙授權(quán)者的工作 。 使靜態(tài)信息可見 ， 動態(tài)信息可操作 。 69 安全的概念 可控性 ： 可控性主要指對危害國家信息 （ 包括利用加密的非法通信活動 ） 的監(jiān)視審計 。 使用授權(quán)機(jī)制 ， 控制信息傳播范圍 、 內(nèi)容 ， 必要時能恢復(fù)密鑰 ， 實(shí)現(xiàn)對網(wǎng)絡(luò)資源及信息的可控性 。 使用審計 、 監(jiān)控 、 防抵賴等安全機(jī)制 ， 使得攻擊者 、 破壞者 、 抵賴者 “ 逃不脫 ， 并進(jìn)一步對網(wǎng)絡(luò)出現(xiàn)的安全問題提供調(diào)查依據(jù)和手段 ， 實(shí)現(xiàn)信息安全的可審查性 。 70 安全的概念 此外信息系統(tǒng)還應(yīng)提供 認(rèn)證 、 訪問控制 、 抗抵賴 安全服務(wù) 。 真實(shí)性 訪問控制：這種服務(wù)保證信息資源不被非授權(quán)地使用 。 數(shù)字簽名 1） 源發(fā)證明：提供給信息接收者以證據(jù) ， 這將使發(fā)送者謊稱未發(fā)送過這些信息或者否認(rèn)它的內(nèi)容的企圖不能得逞； 2） 交付證明：提供給信息發(fā)送者以證據(jù) ， 這將使接收者謊稱未接收過這些信息或者否認(rèn)它的內(nèi)容的企圖不能得逞 。 71 關(guān)于信息安全的兩種主要論點(diǎn) 內(nèi)容安全 數(shù)據(jù)安全 運(yùn)行安全 實(shí)體安全 國內(nèi)：信息安全分層結(jié)構(gòu) 面向應(yīng)用的信息安全框架 機(jī)密性 完整性 可用性 國外：信息安全金三角 面向?qū)傩缘男畔踩蚣? 版權(quán)所有 2022 169。 物理安全 版權(quán)所有 2022 169。 版權(quán)所有 2022 169。 網(wǎng)絡(luò)與信息安全涵蓋范圍 版權(quán)所有 2022 169。 網(wǎng)絡(luò)與信息安全涵蓋范圍 版權(quán)所有 2022 169。 版權(quán)所有 2022 169。 版權(quán)所有 2022 169。 網(wǎng)絡(luò)與信息安全涵蓋范圍 版權(quán)所有 2022 169。 網(wǎng)絡(luò)與信息安全涵蓋范圍 版權(quán)所有 2022 169。 81 數(shù)據(jù)安全 運(yùn)行安全 物理安全 內(nèi)容安全 網(wǎng)絡(luò)與信息安全涵蓋范圍 路由欺騙， 域名欺騙。 82 數(shù)據(jù)安全 運(yùn)行安全 物理安全 內(nèi)容安全 網(wǎng)絡(luò)與信息安全涵蓋范圍 對傳遞信息進(jìn)行 捕獲并解析。 83 數(shù)據(jù)安全 運(yùn)行安全 物理安全 內(nèi)容安全 網(wǎng)絡(luò)與信息安全涵蓋范圍 刪除局部內(nèi)容， 或附加特定內(nèi)容。 84 數(shù)據(jù)安全 運(yùn)行安全 物理安全 內(nèi)容安全 網(wǎng)絡(luò)與信息安全涵蓋范圍 阻斷信息傳輸系統(tǒng)，使得被 傳播的內(nèi)容不能送達(dá)目的地。 85 數(shù)據(jù)安全 運(yùn)行安全 物理安全 內(nèi)容安全 網(wǎng)絡(luò)與信息安全涵蓋范圍 版權(quán)所有 2022 169。其中，完整性是真實(shí) 性的子集，是表示內(nèi)容因 未被修改而是真實(shí)的。 87 網(wǎng)絡(luò)與信息安全涵蓋范圍 保證信息是真實(shí)可信的。 主要防范技術(shù)是校驗(yàn)與認(rèn) 證技術(shù)。 88 網(wǎng)絡(luò)與信息安全涵蓋范圍 這些層面都反映出機(jī)密性特性， 其中可控性是機(jī)密性的子集，是表示 為保護(hù)機(jī)密性而進(jìn)行訪問控 制。 89 運(yùn)行安全 網(wǎng)絡(luò)與信息安全涵蓋范圍 保證信息與信息系統(tǒng)不被 非授權(quán)者所獲取與使用。 版權(quán)所有 2022 169。其 中抗否認(rèn)性可以看作是可用性的子集，是 為了保證系統(tǒng)確實(shí)能夠遵守游戲規(guī)則，不 被惡意使用所反映的可用性的屬性。 91 網(wǎng)絡(luò)與信息安全涵蓋范圍 保證信息與信息系統(tǒng)可被授權(quán)人 員正常使用。 版權(quán)所有 2022 169。 93 網(wǎng)絡(luò)與信息安全涵蓋范圍 信息安全金三角 機(jī)密性 真實(shí)性 可用性 (完整性 ) 版權(quán)所有 2022 169。 95 結(jié)論：什么是信息安全技術(shù)？ ?信息安全技術(shù)是指在信息系統(tǒng)的物理層、運(yùn)行層，以及對信息自身的保護(hù)（數(shù)據(jù)層）及攻擊（內(nèi)容層）的層面上，所反映出的對信息自身與信息系統(tǒng)在可用性、機(jī)密性與真實(shí)性方面的保護(hù)與攻擊的技術(shù)。 96 安全的概念 系統(tǒng)的安全標(biāo)準(zhǔn)： 桔皮書 美國國防部的 可信計算機(jī)系統(tǒng)評價準(zhǔn)則 （ Trusted Computer System Evaluation Criteria TCSEC） 。 C:酌