网络与信息安全技术及其进展..ppt

《网络与信息安全技术及其进展..ppt》由会员分享，可在线阅读，更多相关《网络与信息安全技术及其进展..ppt（45页珍藏版）》请在优知文库上搜索。

1、 22023年3月7日信息安全理论信息安全的界定网络与信息安全涵盖范围网络与信息安全框架网络安全新技术带来的困惑 攻击技术挑战网络安全网络自身安全缺陷未来网络面临的威胁网络安全前沿技术 安全技术及其进展网络环境下的密码学研究 网络环境下的信息对抗 网络环境下的安全体系结构 信息伪装与其它新理论和新方法 进一步的讨论Part 42023年3月7日国内方面沈昌祥院士把信息安全分为实体安全运行安全数据安全管理安全教科书中定义的计算机安全包括实体安全软件安全运行安全数据安全等级保护条例计算机信息人机系统安全的目标是着力于实体安全、运行安全、信息安全和人员安全维护。安全保护的直接对象是计算机信息系统，实

2、现安全保护的关键因素是人 52023年3月7日国外方面信息安全管理体系要求标准（BS7799）信息安全是使信息避免一系列威胁，保障商务的连续性，最大限度地减少商务的损失，最大限度地获取投资和商务的回报。涉及的是机密性、完整性、可用性。教科书信息安全就是对信息的机密性、完整性、可用性的保护。美国信息安全重点实验室信息安全涉及到信息的保密性、完整性、可用性、可控性。综合起来说，就是要保障电子信息的有效性。 62023年3月7日通信保密阶段（4070s，COMSEC） 以密码学研究为主，重在数据安全层面的研究 计算机系统安全阶段（7080s，INFOSEC）开始针对信息系统的安全进行研究 ，重在物理

3、安全层与运行安全层，兼顾数据安全层 网络信息系统安全阶段（90s，NETSEC）开始针对信息安全体系进行研究 ，重在运行安全与数据安全层，兼顾内容安全层 72023年3月7日信息安全分层结构面向应用信息安全框架完整性可用性机密性信息安全金三角结构 面向属性信息安全框架 82023年3月7日物理安全物理安全保证系统至少能保证系统至少能 提供基本的服务提供基本的服务运行安全运行安全保证系统的机密性，保证系统的机密性， 使得系使得系统任何时候不被非统任何时候不被非 授权人所授权人所恶意利用。恶意利用。保障网络的正常运保障网络的正常运行，确保系统时刻行，确保系统时刻能为授权人提供基能为授权人提供基本服

4、务。本服务。数据安全数据安全保证数据的发送保证数据的发送源头不被伪造源头不被伪造保证数据在传输、存储保证数据在传输、存储 过程中不被获取并解析过程中不被获取并解析保证数据在传输、保证数据在传输、存储等过程中不存储等过程中不被非法修改被非法修改保证系统的可用性，使得发布 者无法否认所发布的信息内容保证系统不以电磁等保证系统不以电磁等 方式向外泄漏信息。方式向外泄漏信息。 92023年3月7日内容安全内容安全数据安全数据安全运行安全运行安全物理安全物理安全路由欺骗 域名欺骗 对传递信息进行对传递信息进行 捕获并解析捕获并解析删除局部内容删除局部内容 或附加特定内容或附加特定内容阻断信息传输系统，使

5、得被 传播的内容不能送达目的地 102023年3月7日 这些层面具有相同的 性质，都可以归并为真实 性。其中，完整性是真实 性的子集，是表示内容因 未被修改而是真实的 112023年3月7日保证信息是真实可信的保证信息是真实可信的 其发布者不被冒充，来其发布者不被冒充，来源不被伪造，内容不被源不被伪造，内容不被篡改。主要防范技术是篡改。主要防范技术是校验与认证技术校验与认证技术 122023年3月7日这些层面都反映出机密性特性这些层面都反映出机密性特性其中可控性是机密性的子集，其中可控性是机密性的子集，是表示为保护机密性而进行是表示为保护机密性而进行访问控制访问控制 132023年3月7日保证

6、信息与信息系统不被 非授权者所获取和使用。 主要防范技术是密码技术 142023年3月7日这些层面都反映出可用性属性。其中这些层面都反映出可用性属性。其中 抗否认性可看作是可用性的子集，是抗否认性可看作是可用性的子集，是 为了保证系统确实能够遵守游戏规则为了保证系统确实能够遵守游戏规则 不被恶意使用所反映的可用性的属性不被恶意使用所反映的可用性的属性 152023年3月7日保证信息与信息系统可被授权人保证信息与信息系统可被授权人 员正常使用。员正常使用。 主要防护措施是确保信息与信息主要防护措施是确保信息与信息 系统处于一个可信的环境之下系统处于一个可信的环境之下 162023年3月7日信息安

7、全金三角信息安全金三角 机密性 真实性 可用性 (完整性) 172023年3月7日机密性真实性可用性物理安全防泄漏抗恶劣环境数据安全抗非授权访问正常提供服务运行安全防解析发布/路由 内容真实抗否认内容安全信息解析路由/内容欺骗信息阻断 182023年3月7日结论是指在信息系统的物理层、运行层，以及对信息自身的保护（数据层）及攻击（内容层）的层面上，所反映出的对信息自身与信息系统在可用性、机密性与真实性方面的保护与攻击的技术随着信息技术的发展与应用，信息安全的内涵在不断的延伸，从最初的信息保密性发展到信息的完整性、可用性，进而又发展为 攻(击)、防(范)、 (检)测、控(制)、管(理)、评(估)

8、等多方面的基础理论和实施技术现代信息系统中的信息安全，核心问题是密码理论及其应用，其基础是可信信息系统的构作与评估Part 从务虚的角度看从务虚的角度看 202023年3月7日从总体角度来看，近期安全技术不会有根本性改变 TCP/IP协议不会发生根本变化 遍布世界的巨型资产不会轻易退出历史舞台 带宽的提高仅是量的变化，并不会带来技术层面上质的变化无线网的出现则表明接入方式的变化，等效于以太网时期的广播效应，也不会带来安全方面的本质问题防范对象仍为资源的恶意消耗与业务的盗用 212023年3月7日在新技术出现后，期待着新的安全技术的突破IPv6为网络安全的保护带来了灾难性的影响 IPv6的倡导者

9、将着重点放在了保护数据安全之上，将网络安全问题交付给终端用户 IPv6无法解决一些目前存在的网络安全问题 无法完全解决目前广泛存在的DoS攻击，更无法有效的防止DoS攻击无法有效防止针对协议本身的攻击，如SYN flood攻击无法解决口令攻击，也无法防止利用缓冲区溢出进行的攻击。 222023年3月7日在新技术出现后，期待着新安全技术的突破:续Peer-to-Peer 对等网络并将成为主流，并与Grid共存Scale-free型结构带来危险，分散均衡将是潮流【注】 Scale-free架构特性是: 大多数的节点只与其它一两个节点相连结, 但有少数节点却被大量的连结, 即非同质性 (inhomo

10、genous). 现行的网际网络, 空中交通, WWW 即属于这类架构三网融合（NGN，指传统电信网、计算机网（即因特网）和有线电视网 ）势在必行能够建立不同于IP网的新的体系吗？ (信令与数据独立)网络呼唤着保障体系，需要综合集成处理体系，从整体角度来相互印证是未来的主流全球化是当今世界主题，互联网的自主接入，构成一个复杂巨系统，孤立的技术发挥的作用有限 232023年3月7日引自引自ComputerEmergenceResponseTeam,CERT 242023年3月7日1995 252023年3月7日SymantecSymantec公司发现了公司发现了14321432个新漏洞，比去年同

11、期增加了个新漏洞，比去年同期增加了12%12%，其中：，其中： 中、高级威胁度的漏洞是最常见的，且更易于被利用发动攻击中、高级威胁度的漏洞是最常见的，且更易于被利用发动攻击攻击者着重针对较新的漏洞发起攻击攻击者着重针对较新的漏洞发起攻击整型错误漏洞（由于无法正确处理数据类型为整型的变量而导致的整型错误漏洞（由于无法正确处理数据类型为整型的变量而导致的一种程序缺陷）和定时分析和旁道漏洞数目突然增加一种程序缺陷）和定时分析和旁道漏洞数目突然增加微软微软Internet ExplorerInternet Explorer、IIS IIS 发现了几个新漏洞发现了几个新漏洞 262023年3月7日整体攻

12、击趋势全球80%的攻击事件是来自排前10位的攻击来源地平均每个企业每周大概遭到38次恶意攻击 对非公共服务的威胁增加 利用家庭和企业内部网络的常用网络服务，使得潜在受害者的数量大大增加 恶意代码趋势（补丁程序）将病毒、蠕虫、特洛伊木马和恶意代码的特征与服务器和互联网漏洞结合起来，以便发起、传播和扩散攻击的混合威胁数量上升了20 Windows 32恶意代码的复杂程度增加 ；Linux系统可能成为未来攻击的目标 (zoo的几种复杂变种值得关注) 窃取机密数据的行为有所增加 新的感染媒介中出现了即时消息和P2P 病毒Win32.Blaster等蠕虫正在世界各地迅速蔓延 272023年3月7日 28

13、2023年3月7日黑客工具的自动化程度及速度在不断提高攻击工具的攻击能力与复杂程度在不断提高 安全漏洞的暴露速度在不断加快 防火墙被渗透的机会不断增加 不对称的威胁程度在不断增加 针对基础设施的攻击带来的威胁不断增加拒绝服务攻击蠕虫 域名攻击 路由攻击 292023年3月7日协议本身会泄漏口令 连接可成为被盗用的目标 服务器本身需要读写特权 基于地址 密码保密措施不强 某些协议经常运行一些无关的程序 业务内部可能隐藏着一些错误的信息 有些业务本身尚未完善，难于区分出错原因 有些业务设置复杂，很难完善地设立 使用CGI（Common Gateway Interface ）的业务 302023年3

14、月7日超级蠕虫病毒的大规模扩散理论上在数分钟之内可感染近千万台机器。多态性、混合型、独立性、学习能力、针对P2P 应用系统面临威胁电力、工厂、交通、医院 利用程序自动更新存在的缺陷 网络程序（如杀毒软件）的共性，带来极度危险 针对路由或DNS的攻击 同时发生计算机网络攻击和恐怖袭击 312023年3月7日网络网络 安全安全 322023年3月7日风险分析与安全评估 如何评估系统处于用户自主、系统审计、安全标记、结构化、访问验证等五个保护级的哪一级？漏洞扫描技术 基于关联的弱点分析技术 基于用户权限提升的风险等级量化技术 网络拓扑结构的发现，尤其是Peer to Peer 网络拓扑结构的发现拓扑

15、结构综合探测技术（发现黑洞的存在） 基于P2P的拓扑结构发现技术（解决局域网一类的问题） 332023年3月7日病毒防护，侧重于网络制导、移动终端防护病毒将始终伴随着信息系统而存在。随着移动终端的能力增强，病毒必将伴随而生 隔离技术 基于协议的安全岛技术协议的变换与解析协议的变换与解析 单向路径技术确保没有直通路径确保没有直通路径 拒绝服务攻击的防护 DoS是个致命的问题，需要有解决办法访问控制技术 家庭网络终端(电器)、移动终端的绝对安全 多态访问控制技术 342023年3月7日基于IPv6的入侵检测系统侧重于行为检测 向操作系统、应用系统中进行封装分布式入侵检测 入侵检测信息交换协议 ID

16、S的自适应信息交换与防攻击技术 特洛伊木马检测技术 守护进程存在状态的审计 守护进程激活条件的审计 预警技术基于数据流的大规模异常入侵检测 352023年3月7日快速判定、事件隔离、证据保全 紧急传感器的布放，传感器高存活，网络定位 企业网内部的应急处理 企业网比外部网更脆弱，强化内部审计蜜罐技术（honeypot ）蜜罐是指目的在于吸引攻击者、然后记录下一举一动的计算机系统，优点是大大减少了要分析的数据漏洞再现及状态模拟应答技术 沙盒技术，诱捕攻击行为 僚机技术 动态身份替换，攻击的截击技术 被攻系统躲避技术，异常负载的转配 362023年3月7日基于structure-free的备份技术 构建综合备份中心IBC（Internet Backup Center） 远程存储技术 数据库体外循环备份技术 容侵（intrusion-tolerant）技术 受到入侵时甩掉被攻击部分 防故障污染生存（容忍）技术 可降级运行，可维持最小运行体系Part u网络环境下的密码学研究网络环境下的密码学研究 u网络环境下的信息对抗网络环境下的信息对抗 u网络环境下的安全体系结构网络环境下的安全体系结构 u