网络安全基础知识培训-天融信

网络安全基础知识北京天融信公司CISP刘建威电话：[phone]邮件：[e-mail]网址：网络安全概述Module2:我们眼中的网络安全Module3:网络安全技术产品及功能介绍Module1:网络安全概述什么是安全？•安全–一种能够识别和消除不安全因素的能力–安全是一个持续的过程–网络安全是网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断一)非授权访问1.没有经过同意，就使用网络或计算机资源。如有意避开系统访问控制机制，对网络设备及资源进行非正常使用。2.或擅自扩大权限，越权访问信息。形式:假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。安全威胁二)信息泄露1.敏感数据在有意或无意中被泄漏出去。信息在传输中丢失或泄漏（电磁泄漏或搭线窃听；对信息流向、流量、通信频度和长度等参数的分析，推出有用信息；猜测用户口令、帐号等重要信息。）2.信息在存储介质中丢失或泄漏。通过建立隐蔽通道等窃取敏感信息等。安全威胁三)破坏数据完整性1.以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；2.恶意添加，修改数据，以干扰用户的正常使用。安全威胁四)拒绝服务攻击1.不断对网络服务系统进行干扰，改变其正常的作业流程。2.执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。安全威胁五)利用网络传播病毒通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范。六)假冒假冒合法身份破坏正常工作。七)抵赖否认接收过或发送过信息。安全威胁为什么我们不能杜绝攻击事件的发生•日趋精密的攻击以及以INTERNET为基础的技术快速发展•符合的IT技术人员和资金的缺乏而不能获得更多的资源•没有对被保护的系统大量的充分的快速的部署没有绝对的安全•开放最少服务提供最小权限原则•安全需求平衡–过分繁杂的安全政策将导致比没有安全政策还要低效的安全。–需要考虑一下安全政策给合法用户带来的影响在很多情况下如果你的用户所感受到的不方便大于所产生的安全上的提高，则执行的安全策略是实际降低了你公司的安全有效性。建立一个有效的安全矩阵•安全距阵–一个安全矩阵由单个操作系统安全特征、日志服务和其他的装备包括防火墙，入侵检测系统，审查方案构成。•安全矩阵系统最主要的几个方面–允许访问控制–容易使用–合理的花费–灵活性和伸缩性–优秀的警报和报告保护资源•终端用户资源–Theworkstationsusedbyemployees–威胁:Viruses,trojans,ActiveX,applet•网络资源–Routers,switches,wiringclosets,telephony–威胁:IPspoofing,systemsnooping•服务器资源–DNS,WEB,Email,FTP等服务器–威胁:Unauthorizedentry,D.O.S,trojans•信息存储资源–Humanresourcesande-commercedatabases–威胁:Obtainingtradesecrets,customerdata黑客的分类•偶然的破坏者•坚定的破坏者•间谍安全基本元素审计管理加密访问控制用户验证安全策略安全策略•建立一个有效的安全策略–为你的系统分类–指定危险因数–确定每个系统的安全优先级–定义可接受和不可接受的活动–决定在安全问题上如何教育所有员工–确定谁管理你的政策加密类型1.对称加密2.非对称加密3.Hash加密加密认证方法1.证明你知道什么2.出示你拥有的3.证明你是谁4.鉴别你在哪里认证KerberosKerberos系统是美国麻省理工学院为Athena工程而设计的，为分布式计算环境提供一种对用户双方进行验证的认证方法One-timepasswords(OPT)为了解决固定口令的诸多问题，安全专家提出了一次性口令的密码体制，以保护关键的计算资源特殊的认证技术访问控制列表(ACL)执行控制列表(ECL)访问控制被动式审计主动式审计1.结束一个登陆会话2.拒绝某些主机的访问3.跟踪非法活动的源位置审计增加了复杂性不得不培训用户如何使用你需要的安全机制降低了系统响应时间认证，审计和加密机制会降低系统性能安全的权衡考虑和缺点网络安全问题增长趋势•Internet技术飞速发展•有组织的网络攻击•企业内部安全隐患•有限的安全资源和管理专家•财政损失•知识产权损失•时间消耗•由错误使用导致的生产力消耗•责任感下降•内部争执网络攻击后果可见的网络攻击影响利润攻击发生(财政影响)Q1Q2Q3Q4网络安全风险•安全需求和实际操作脱离•内部的安全隐患•动态的网络环境•有限的防御策略•安全策略和实际执行之间的巨大差异针对网络通讯层的攻击通讯&服务层•TCP/IP•IPX•X.25•Ethernet•FDDI•RouterConfigurations•Hubs/SwitchesDMZE-MailFileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继调制解调器通讯&服务层弱点•超过1000个TCP/IP服务安全漏洞:–Sendmail,FTP,NFS,FileSharing,Netbios,NIS,Telnet,Rlogin,等.•错误的路由配置•TCP/IP中不健全的安全连接检查机制•缺省路由帐户•反向服务攻击•隐蔽ModemDMZE-MailFileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继针对操作系统的攻击操作系统•UNIX•Windows•Linux•Freebsd•Macintosh•Novell操作系统的安全隐患•1000个以上的商用操作系统安全漏洞•没有及时添加安全补丁•病毒程序的传播•文件/用户权限设置错误•默认安装的不安全设置•缺省用户的权限和密码口令•用户设置过于简单密码使用•特洛依木马DMZE-MailFileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继针对应用服务的攻击应用服务程序•Web服务器•数据库系统•内部办公系统•网络浏览器•ERP系统•办公文件程序•FTPSMTPPOP3SAPR/3Oracle应用程序服务的攻击弱点•Web服务器:–错误的Web目录结构–CGI脚本缺陷–Web服务器应用程序缺陷–私人Web站点–未索引的Web页•数据库:–危险的数据库读取删除操作•路由器:–源端口/源路由•其他应用程序:–Oracle,SAP,Peoplesoft缺省帐户–有缺陷的浏览器DMZE-MailFileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继额外的不安全因素外部个体外部/组织内部个体内部/组织网络的普及使学习网络进攻变得容易•全球超过26万个黑客站点提供系统漏洞和攻击知识•越来越多的容易使用的攻击软件的出现•国内法律制裁打击力度不够典型的攻击方式及安全规则•字典攻击和暴力破解法•BUG和后门•社会工程和非直接攻击字典攻击和暴力攻击•暴力程序攻击–所有能够可以被穷举的资源都可以成为暴力破解的目标–邮箱密码破解–流光4.7Bugs和后门•缓冲区溢出–BufferOverflow•后门–Rootkits社会工程和非直接攻击•打电话请求密码•伪造电子邮件•拒绝服务攻击–Tocrashaserverandmakeitunusable–Masqueradetheidentityoftheattackedsystem–Viruses,bugsandserviceflaws八项安全实施建议•成为一个安全的偏执狂•完整的安全策略•不要采取单独的系统或技术•部署公司范围的强制策略八项安全实施建议•提供培训–终端用户管理员经理•根据需要购置安全设备•识别安全的商业问题•考虑物理安全Module2:我们眼中的网络安全不安全的安全的安全策略实际安全到达标准安全间隙未知的安全间隙不容忽视DMZE-MailFileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继部署安全保卫措施防火墙的能力有限外部/个体外部/组织内部/个体内部/组织安全隐患DMZE-MailFileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继尚不了解实际的危机实际安全问题还有很多外部/个体外部/组织内部/个体内部/组织安全隐患DMZ?E-Mail?FileTransfer?HTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继管理分析&实施策略安全隐患外部/个体外部/组织内部/个体内部/组织关闭安全维护“后门”更改缺省的系统口令添加所有操作系统PatchModem数据文件加密安装认证&授权用户安全培训授权复查入侵检测实时监控进不来拿不走改不了跑不了看不懂信息安全的目的可审查信息安全体系鉴别加密访问控制安全管理病毒防范数字签名链路加密机IP协议加密机邮件加密文件加密防火墙远程用户鉴别系统防病毒软件防病毒制度密钥管理网络监视审计系统信息检查系统代理服务器远程用户鉴别系统信息系统使命信息系统建模，。。。GB18336idtISO/IEC15408信息技术安全性评估准则IATF信息保障技术框架ISSE信息系统安全工程SSE-CMM系统安全工程能力成熟度模型BS7799,ISO/IEC17799信息安全管理实践准则其他相关标准、准则例如：ISO/IEC15443,COBIT。。。系统认证和认可标准和实践例如：美国DITSCAP,…中国信息安全产品测评认证中心相关文档和系统测评认证实践技术准则（信息技术系统评估准则）管理准则（信息系统管理评估准则）过程准则（信息系统安全工程评估准则）信息系统安全性评估准则组织管理技术保障基础设施产业支撑人材培养环境建设国家信息安全保障体系框架1994年，《中华人民共和国计算机信息系统安全保护条例》第二章安全保护制部分规定：“计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。”《计算机信息系统安全保护等级划分准则》GB17859-1999（技术法规）规定：国家对信息系统实行五级保护。《国家信息化领导小组关于加强信息安全保障工作的意见》重点强调：实行信息安全等级保护制度，重点保护基础信息网络和重要信息系统。等级化保护的政策依据等级化标准渊源TCSEC1985UKConfidenceLevels1989GERMANCriteriaFRENCHCriteriaCTCPEC1993ITSEC1991FC1993CCV1.01996V2.01998V2.11999ISO/IEC15408-1999GB/T18336-2001GB17859-1999GB17859衍生标准GA/T390计算机信息系统安全等级保护通用技术要求GA/T388计算机信息系统安全等级保护操作系统技术要求GA/T389计算机信息系统安全等级保护数据库管理系统技术要求GA/T387计算机信息系统安全等级保护网络技术要求GA/T391计算机信息系统安全等级保护管理要求……GB/T18336衍生标准GB/T18019包过滤防火墙安全技术要求GB/T18018路由器安全技术要求GB/T18020应用级防火墙安全技术要求GB/T17900网络代理服务器的安全技术要求……等级化衍生标准网络系统现状潜在的安全风险安全需求与目标安全体系安全解决方案分析后得出提出依照风险制定出进行安全集成/应用开发安全服务安全方案设计•建立相应的网络安全整体设计流程VPN虚拟专用网防火墙内容检测防病毒入侵检测Module3:安全技术产品