安全概述

安全概述•Internet就是一个面向大众的开放系统，对于信息的保密和系统的安全考虑得并不完备，加上计算机网络技术的飞速发展，网上的攻击与破坏事件层出不穷，现在，计算机犯罪已经开始渗入到政府机关、军事部门、商业、企业等单位，如果不加以保护的话，轻则干扰人们的日常生活，重则造成巨大的经济损失，甚至威胁到国家的安全，所以网络安全问题已引起许多国家、尤其是发达国家的高度重视、不惜投入大量的人力、物力和财力来提高计算机网络系统的安全性。•本章是对网络安全问题的一个概述，我们首先简要介绍一下目前网络上存在的各种安全威胁与攻击，然后指出这些问题的根源，在此之后，我们说明网络安全的内涵，最后是小结。2．1常见的安全威胁与攻击•在了解安全问题之前，我们先来看一下目前网络上存在着的一些安全威胁与攻击，了解一下攻击者(约定俗成的，我们在这里也称之为“黑客”)一些常用的攻击方式，正所谓“知己知彼，百战不殆”。迄今为止，网络上已经存在着无数的安全威胁与攻击，对于它们。也存在着不同的分类方法。一．窃取机密攻击二．非法访问三．恶意攻击四．社交工程五．计算机病毒六．不良信息资源七．信息战常见的安全威胁与攻击种类2．1．1窃取机密攻击所谓窃取机密攻击是指未经授权的攻击者(黑客)非法访问网络、窃取信息的情况，一般可以通过在不安全的传输通道上截取正在传输的信息或者利用协议或网络的弱点来实现的。1．网络踩点2．扫描攻击3．协议栈指纹鉴别4．信息流监视5．会话劫持常见的形式有以下几种：•1．网络踩点（Footprinting）•攻击者事先汇集目标的信息，通常采用whois、Finger等工具和DNS、LDAP等协议获得目标的一些信息，如域名、IP地址、网络拓扑结构、相关的用户信息等，这往往是黑客入侵前所做的第一步工作。•2．扫描攻击•扫描攻击包括地址扫描和端口扫描等，通常采用Ping命令和各种端口扫描工具，可以获得目标计算机的一些有用信息，比如机器上打开了哪些端口，这样就知道开设了哪些服务，从而为进一步的入侵打下基础。•3．协议栈指纹(StackFingerprinting)鉴别(也称体系结构探测)•黑客对目标主机发出探测包，由于不同操作系统厂商的IP协议栈实现之间存在许多细微差别(也就是说各个厂家在编写自己的TCP/IP协议栈时，通常对待定的RFC指南做出不同的解释)，因此每种操作系统都有其独特的响应方法，黑客经常能够确定出目标主机所运行的操作系统。常常被利用的一些协议钱指纹包括TTL值、TCP窗口大小、DF标志、TOS、IP碎片处理、ICMP处理、TCP选项处理等。•4．信息流监视•这是一个在共享型局域网环境实际入侵中经常被采用的方法。由于在共享介质的网络(例如我们最常用的以太网)上数据包会经过每个网络节点，网卡在一般情况下只会接收发往本机地址或本机所在广播(或多播)地址的数据包，但如果把网卡设置为混杂(promiscuous)模式，网卡就会接收所有经过的数据包。基于这样的原理，黑客使用一个叫Sniffer的嗅探器装置(可以是软件，也可以是硬件)就可以对网络信息流进行监视，从中获取他们感兴趣的内容，比如口令以及其他秘密的信息等。•5．会话劫持(SessionHijacking)•利用TCP协议的一些不足，在合法的通信连接建立后攻击者可通过阻塞或摧毁通信的一方来接管已经过认证建立起来的连接，从而假冒被接管方与对方通信。2．1．2非法访问1．口令破译攻击者可通过获取口令文件然后运用口令破解工具进行字典攻击或暴力破解来获得口令，也可通过猜测或窃听等方式获取口令，从而进入系统进行非法访问。现在的许多网络经济犯罪案件一般都是从攻击者通过口令破解来盗用合法用户的账号开始的，因此用户要特别注意自己口令密码的安全性，不要取一些危险口令，比如采用用户名、用户名变形(如用户名＋123等)、生日、常用英文单词、无口令为默认口令等。2．IP欺骗攻击者可通过伪装成被信任的IP地址等方式来骗取目标的信任。这主要针对Linux/unix下建立起IP地址信任关系的主机实施欺骗。3．DNS欺骗由丁DNS服务器相互交换信息的时候并不进行身份验证，这就使得黑客可以使用错误信息将用户引向设定主机。4．重放攻击攻击者利用身份认证机制中的漏洞先把别人有用的消息记录下来，过一段时间后再发送出去。5．非法使用系统资源被某个非法用户以未授权的方式使用。6．特洛伊木马把一个能帮助黑客完成某一特定动作的程序依附在某一合法用户的正常程序中，这时合法用户的程序代码已被改变，而一旦用户触发该程序，那么依附在内的黑客指令代码同时被激活，这些代码往往能完成黑客早已指定的任务。2．1．3恶意攻击•恶意攻击，在当今最为突出的就是拒绝服务攻击DoS(DenialofService)了。拒绝服务攻击通过使计算机功能或性能崩溃来阻止提供服务，典型的拒绝服务攻击有如下两种形式：资源耗尽和资源过载。当一个对资源的合理请求大大超过资源的支付能力时就会造成拒绝服务攻击。常见实施的攻击行为主要包括：•1．PingofDeath•在早期版本中，许多操作系统对网络数据包的最大尺寸有限制，对TCP／IP栈的实现在ICMP包上规定为64KB。在读取包的报头后，要根据该报头里包含的信息来为有效载荷生成缓冲区。当发送ping请求的数据包声称自己的尺寸超过ICMP上限，也就是加载的尺寸超过64KB上限时，就会使ping请求接收方出现内存分配错误，导致TCP／IP堆栈崩溃。•2．泪滴•泪滴攻击利用了某些TCP／IP协议栈实现中对IP分段重组时的错误。IP分段含有指示该分段所包含的是原包的哪一段的信息。某些TCP／IP实现(包括servicePack4以前的NT)在收到含有重叠偏移的伪造分段时将崩溃。•3．UDPFlood•利用简单的TCP／IP服务建立大流量数据流、如Chargen和Echo来传送无用的占满带宽的数据。通过伪造与某一主机的chargen服务之间的一次UDP连接。回复地址指向提供Echo服务的一台主机，这样就生成在两台主机之间的足够多的无用数据流，过多的数据流就会导致带宽耗尽。•4．SYNFlood•一些TCP／IP协议栈的实现只可以等待从有限数量的计算机发来的ACK消息，因为它们只有有限的内存缓冲区用于创建连接，如果这一缓冲区充满了虚假连接的初始信息，该服务器就会对接下来的连接停止响应，直到缓冲区里的连接企图超时。在一些创建连接不受限制的系统实现里，SYN洪流具有类似的影响。•5．Land攻击•在Land攻击中，将一个SYN包的源地址和目标地址都设置成同一服务器地址，导致接收服务器向自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个交连接，每一个这样的连接都将保留直到超时。对Land攻击反应不同，许多UNIX实现将崩溃，NT则变得极其缓慢(大约持续五分钟)。•6．Smurf攻击•简单的Smurf攻击发送ICMP应答请求数据包，目的地址设为受害网络的广播地址，最终导致该网络的所有上机都对此ICMP应答请求做出答复，导致网络阻塞。如果将源地址改为第三方的受害者，最终导致第三方崩溃。•7．Fraggle攻击•它对Smurf攻击做了简单的修改，使用的是UDP应答消息而非ICMP。•8．电子邮件炸弹•这是最古老的匿名攻击之一，通过设置一台机器不断地大量地向同一地址发送电子邮件，攻击者能够耗尽接收音网络的带宽。•9．畸形消息攻击•各类操作系统上的许多服务都存在此类问题，由于这些服务在处理信息之前没有进行适当正确的错误校验，收到畸形的信息可能会崩溃。•10．DDoS攻击•DDoS(DistributedDenialofService，分布式拒绝服务)是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，主要瞄准比较大的站点，像商业公司、搜索引擎和政府部门的站点。它利用一批受控制的机器向一台目标机器发起攻击，这样来势迅猛的攻击令人难以防备，因此具有较大的破坏性。DDos的攻击原理如下图-所示。攻击者代理端主控端主控端主控端代理端代理端代理端代理端受害者•除了以上这些拒绝服务攻击外，一些常见的恶意攻击还包括缓冲区溢出攻击、硬件设备破坏性攻击、网页篡改等。•缓冲区溢出攻击有多种英文名称；bufferoverflow、bufferoverrun、smashthestack、trashthestack、scribblethestack、manglethestack…，它们指的都是同一种系统攻击的手段，通过往程序的缓冲区写超出其长度的内容．造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其他指令，以达到攻击的目的。•缓冲区溢出是一种非常普遍、非常危险的漏洞，在各种操作系统、应用软件中广泛存在。据统计，通过缓冲区溢出进行的攻击占所有系统攻击总数的80％以上。利用缓冲区溢出攻击，可以导致程序运行失败、重新启动等后果，更为严重的是，可以利用它执行非授权指令。甚至可以取得系统特权，进而进行各种非法操作。由于它的历史悠久、危害巨大，被称为“数十年来攻击和防卫的弱点”。2．1．4社交工程•社交工程(SocialEngineering)是一种低技术含量的破坏网络安全的方法，但它其实是高级黑客技术的一种，往往使得处在看似严密防护之下的网络系统出现致命的突破口。•虽然社交工程往往被大家认为是黑客群体中最无赖的方法，但多年使用，仍是很有效果。这种技术是利用说服或欺骗的方式，让网络内部的人来提供必要的信息，从而获得对信息系统的访问。攻击对象通常是一些安全意识薄弱的公司职员，攻击者可以来用与之交流或其他互动的方式实现。可选的媒介往往是电话，也可以是E-mail、电视广告或其他许多能引起人们有所反映的方式：•比较经典的例子就是电影里经常有这样的情节：几个大汉穿着电话公司的制服，坦然地到达某某大厦，说“贵公司有人打电话，说你们的电话系统有问题，我们要去机房检查一下！”哦，原来是来修电话的啊，当然大汉就进入了机房、大汉的工具箱里塞满了军火、当然大汉非但没修电话还摧毁了很多东西……2．1．5计算机病毒•病毒是对软件、计算机和网络系统的最大威胁之一。所谓病毒，是指一段可执行的程序代码，通过对其他程序进行修改，可以“感染”这些程序，使它们成为含有该病毒程序的一个拷贝。—种病毒通常含有两种功能：一种是对其他程序产生“感染”；另外一种或者是引发损坏功能，或者是一种植入攻击的能力。2．1．6不良信息资源•在互联网如此发达的今天，网络上面充斥了各种各样的信息，其中不乏一些暴力、色情、反动等不良信息，特别对末成年人造成了许多不良影响。如何处理这些不良信息资源．是摆在各国政府面前的一个难题。2．1．7信息战•计算机技术和网络技术的发展，使我们已处于信息时代。信息化是目前国际社会发展的趋势。它对于经济、社会的发展都有着重大意义。一种用信息为武器的战争也随着信息化时代的到来而到来，这就是信息战。所谓信息战是指信息领域中敌我双方争夺信息优势，获取控制信息权的战斗。信息战分为信息防御战和信息攻击战。信息攻击战包括偷窃数据、散播错误信息、否认或拒绝数据存取、从物理上摧毁作为数据存储和分发的部分磁盘及武器平台与设施。信息防御战使用病毒检查、嗅探器、密码和网络安全系统抵御敌方的进攻。2．2安全问题根源前面已经介绍了网络上常见的安全威胁与攻击，下面来看一下这些安全问题的根源所在，大体上有:①物理安全问题②方案设计功缺陷③系统的安全漏洞④TCP／IP协议的安全⑤人的因素2．2．1物理安全问题•除了物理设备本身的问题外，物理安全问题还包括设备的位置安全、限制物理访问、物理环境安全和地域因素等2．2．2方案设计的缺陷•由于实际中，网络的结构往往比较复杂，会包含星型、总线和环型等各种拓扑结构，结构的复杂无疑给网络系统管理、拓扑设计带来很多问题。为了实现异构网络间信息的通信，往往要牺牲一些安全机制的设置和实现，从而提出更高的网络开放性的要求。开放性与安全性正是一对相生相克的矛盾。2．2．3系统的安全漏洞•随着软件系统规模的不断增大，系统中的安全漏洞或“后门”也不可避免的存在，比