网络与信息安全基础知识v5

网络与信息安全基础知识安徽移动网络部2013年5月（一）基础知识1、网络与信息安全概念及重要原则2、通信网络安全防护要求（交换、传输、短彩信等重要系统）3、网络安全防护知识（系统、服务器、终端）（二）规章制度1、中国移动网络与信息安全总纲2、安徽移动网络与信息安全相关管理制度3、安全技术规范引言作为认证凭证的密码安全吗？中国版弱密码TOP25abc123a1b2c3aaa111123qweqwertyqweasdadminpasswordp@sswordpasswdiloveyou52013140000001111111111111111223312312312332112345612345678654321666666888888abcdefabcabc•不在弱密码中？密码字典•通常人们使用的密码都具有一些共同的规律，例如姓名缩写配数字，生日配手机号等等，密码字典根据这个规律来猜测密码。•个人密码不是弱密码，企业设备呢？•国家计算机网络与信息安全管理中心（CNCERT）对中国移动统计风险中弱密码占60%15%60%15%10%各种安全漏洞所占比例可利用漏洞用户密码配置不当安全域划分不当其他安全问题•为什么办公密码要定期修改？•为什么原则上不能使用无线网络接入网管网？•为什么公司禁止使用无线键盘？…….目录网络与信息安全基础知识信息安全基础攻击方法防护手段网络与信息安全规章制度提要什么是安全？•国际标准化组织（ISO）引用ISO74982文献中对安全的定义是这样的，安全就是最大程度地减少数据和资源被攻击的可能性。•对于我们而言，安全的关键或者说安全计划的目的是保护公司和个人的财产。安全的基本原则•可用性（availability）保证经过认证的用户能够对数据和资源进行适时和可靠的访问。•完整性（integrity）是指保证信息和系统的准确性和可靠性，并禁止对数据的非授权的修改。•机密性（confidentiality）提供了保证在每一个数据处理和防止未经授权的信息泄漏的交叉点上都能够加强必要的安全级别的能力。10安全的基本原则•可用性防止服务和工作能力的崩溃。•完整性防止对系统和信息进行未经授权的修改。•机密性防止未经授权而透露某些敏感信息。•简称AIC安全三原则:可用性（availability）、完整性（integrity）和机密性（confidentiality）11AIC安全三原则安全对象可用性信息安全是将数据的可用性、完整性、机密性作为保护对象。对信息安全的认识经历了数据安全阶段（强调保密通信）、网络信息安全时代（强调网络环境）和目前信息保障时代（强调不能被动地保护，需要有保护——检测——反应——恢复四个环节）。信息安全各要素之间的关系威胁因素威胁脆弱性风险暴露资产安全措施引起利用导致可以破坏并引起一个能够被预防，通过直接作用到信息安全自顶向下的设计方法安全策略是公司安全计划的蓝图，为上层建筑提供了必要的基础。如果安全计划以一个坚实的基础开头，并且随着时间的推移向着预定的目标发展，那么公司就不必在中间作出大的改动。应用安全感知能力网络安全内容安全基础安全安全标准规范体系安全目标体系组织机构人才培养安全责任安全需求安全建设安全规划安全设计安全准入安全运维安全研发创新体系技术支持体系业务连续性（BCP）入侵防范与恶意代码防护应用程序安全不良信息治理信息防泄漏信息安全专项工作支撑固化入侵感知综合预警风险展示安全监控应急响应与事件处理合规支撑安全评估安全检查考核控制能力管理能力业务逻辑安全业务合规管理信息备份入侵防范与恶意代码防护网络报文识别与控制网络路由、信令、协议安全设备认证、授权与访问控制设备日志审计网络边界划分与隔离网络安全策略管理网络定位、溯源与日志审计网络传输安全策略安全管理设备补丁管理设备入侵防范与病毒防护网络流控、质量保障物理环境安全构建国际一流信息安全体系承担中国移动企业社会责任专项研究安全整改重大保障第三方安全信息校验安全测试安全终止安全策略安全组织安全运营安全技术流程运营管理信息安全执行体系信息安全管理机制安全管控与支撑中国移动网络与信息安全实施框架根据信息安全实施框架，落实系统与网络的信息安全等级保护要求。信息安全基础知识组织内部的安全角色目录网络与信息安全基础知识信息安全基础攻击方法防护手段网络与信息安全规章制度提要什么是攻击行为？•基本上任何一种危及到一台机器安全的行为都可以认为是一种攻击行为。•危及包括以下几个方面：可以访问使访问简单化使一个系统脱机使敏感信息的敏感度降低什么是攻击行为？•如果有攻击行为，那就必须存在能威胁的弱点。如果没有薄弱环节，那就没有什么好攻击的。所以大多数人说真正安全的系统是没有联网的机器。攻击的步骤1）被动的侦察2）主动的侦察3）入侵系统4）上传程序5）下载数据6）保持访问7）隐藏踪迹（注意并不是每一步都会执行）常用攻击方法•欺骗•会话劫持•拒绝服务攻击（DoS）、分布式拒绝服务攻击（DDoS）•缓冲区溢出攻击欺骗•如果攻击者能让计算机或者网络相信他是别人（信任方），他可能能够获得正常情况下不能得到的信息。•欺骗的类型：1.IP欺骗公司使用其他计算机的IP地址来获得信息或者得到特权。2.电子邮件欺骗电子邮件发送方地址的欺骗。3.Web欺骗假冒Web网站。如假工商银行网站。4.非IT技术类欺骗这些类型的攻击把精力集中在攻击公司的人力资源上。如社会工程。会话劫持会话劫持就是接管一个现存的动态会话过程。劫持会话最主要的原因之一就是通过授权过程可以获得进入系统的机会，因为就会话劫持而言，此时用户已经通过提供用户ID和密码，在授权的情况下登录到服务器上。在用户通过了身份验证并获得进入服务器的权利后，只要他与服务器动态连接着，就不再需要重新通过验证。黑客门可以使用各种方式使用户下线然后再代替这个用户，此时他不再需要任何登录行为就可以进入系统了。会话劫持小李攻击者服务器服务器验证小李小李登录服务器Die！你好，我是小李拒绝服务攻击DOS•DoS是DenialofService的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。•最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。分布式拒绝服务攻击DDOS•分布式拒绝服务(DDoS:DistributedDenialofService)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。•通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在Internet上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。27分布式拒绝服务攻击DDOS攻击者受害者傀儡机远程控制发起攻击28缓冲区溢出攻击•攻击者试图在一个不够大的接受器里存储过量的信息就是一次缓冲区溢出攻击。例如，如果一个程序只能接受50个字符，而用户却输入了100个字符，这样由于过多的数据输入到了一个不够大的接受器，该程序将不能控制它，多出部分将写入内存。缓冲区溢出攻击内存底部内存顶部填充方向缓冲1（局部变量1）返回指针函数调用的参数内存底部内存顶部填充方向缓冲1（局部变量1）返回指针函数调用的参数机器代码：exec(/bin/sh)缓冲2（局部变量2）指向exec代码的新指针缓冲1空间被覆盖返回指针被覆盖缓冲2（局部变量2）正常情况缓冲区溢出目录网络与信息安全基础知识信息安全基础攻击方法防护手段网络与信息安全规章制度提要网络安全防护体系各阶段网络安全的防护•事前：网络防火墙、系统漏洞检测、安全配置合规、病毒防范、网页防篡改等•事中：预警、入侵检测、日志取证系统•事后：应急响应、事故恢复•安全管理支撑手段：安全管控平台（4A）32网络防火墙•防火墙是在两个网络之间执行控制策略的系统，目的是不被非法用户侵入。•防火墙是内部与外部网连接中的第一道屏障。•在内部网络和外部网络之间合理有效地使用防火墙是网络安全的关键。33网络防火墙•访问控制•认证•NAT•加密•防病毒、内容过滤•流量管理系统漏洞扫描和检测系统漏洞检测要求：定期分析有关网络设备的安全性，检查配置文件和日志文件；定期分析系统和应用软件，一旦发现安全漏洞，应该及时修补；检测的方法主要采用安全扫描工具，测试网络系统是否具有安全漏洞和是否抵抗攻击，从而判定系统的安全风险。主机/端口扫描漏洞扫描检查本地或者远程主机、设备、应用的安全漏洞•确定系统存活状态：ping•针对目标系统端口，了解端口的分配及提供的服务、软件版本主机/设备Web数据库……安全配置合规《中国移动设备安全功能和配置系列规范》类型集团配置编号判断标准检查项名称手动/自动集团配置要求内容Windows可登录用户数大于等于2检查是否按用户分配账号责任到人自动按照用户分配账号。根据系统的要求，设定不同的账户和账户组，管理员用户，数据库用户，审计用户，来宾用户等。Windows用户组数大于6，命令：netlocalgroup检查是否按角色进行帐号管理自动根据系统要求及用户的业务需求，建立多帐户组，将用户账号分配到相应的帐户组。Windows安全要求-设备-WINDOWS-配置-2-可选guest帐户禁用或者删除检查是否删除或锁定无关账号自动删除或锁定与设备运行、维护等与工作无关的账号。Windows安全要求-设备-WINDOWS-配置-3-可选administrator组下不存在默认的名称为adminitrator用户检查特殊帐号管理要求-更改缺省帐户名称自动对于管理员帐号，要求更改缺省帐户名称；禁用guest（来宾）帐号。Windows安全要求-设备-WINDOWS-配置-4PasswordComplexity的值等于1检查口令策略设置是否符合复杂度要求自动最短密码长度6个字符，启用本机组策略中密码必须符合复杂性要求的策略。即密码至少包含以下四种类别的字符中的三种：英语大写字母A,B,C,Windows安全要求-设备-WINDOWS-配置-5SeRemoteShutdownPrivilege的值仅为*S-1-5-32-544检查关键权限指派安全要求-从远程系统强制关机自动在本地安全设置中从远端系统强制关机只指派给Administrators组。Windows安全要求-设备-WINDOWS-配置-6SeShutdownPrivilege值仅为*S-1-5-32-544检查关键权限指派安全要求-关闭系统自动在本地安全设置中关闭系统仅指派给Administrators组。Windows安全要求-设备-WINDOWS-配置-7SeTakeOwnershipPrivilege值仅为*S-1-5-32-544检查关键权限指派安全要求-取得文件或其他对象的所有权自动在本地安全设置中取得文件或其它对象的所有权仅指派给Administrators。Windows安全要求-设备-WINDOWS-配置-8SeInteractiveLogonRight值存在*S-1-5-32-544检查关键权限指派安全要求-允许本地登录自动在本地安全设置中配置指定授权用户允许本地登陆此计算机。Windows安全要求-设备-WINDOWS-配置-9SeNetworkLogonRight值存在*S-1-5-32-544检查关键权限指派安全要求-从网络访问此计算机自动在组策略中只允许授权帐号从网络访问(包括网络共享等，但不包括终端服务)此计算机。Windows安全要求-设备-WINDOWS-配置-10AuditPolicyChange值等于3检查是否记录安全事件日志自动启用组策略中