网络安全复习资料

1.1.1 网络安全的现状

1. 安全事件的发生仍然呈上升趋势

2. 安全标准引用不及时

1.2.2 攻击的主要手段

1. 口令入侵

2. 后门软件攻击

3. 监听法

4. E-mail技术

5. 电子欺骗（spoofing attack）

6. Denial of Service（DoS）

1.2.3 入侵的常用策略

1. 利用系统文件攻击

2. 伪造信息攻击

3. 利用协议弱点攻击

4. 网络钓鱼

5. 利用系统管理员失误的攻击

6. 利用ICMP报文攻击

7. 利用源路径选项弱点攻击

8. “跳跃式”攻击

1.2.4 攻击对象排名

●主机运行没有必要的服务。

●未打补丁的、过时的应用软件和硬件固件。

●信息泄露，通过服务如Gopher、Finger、Telnet、SNMP、SMTP、Netstat等。

●盗用信任关系如Rsh、Rlogin、Rexec。

●配置不当的防火墙或路由器ACL（Access Control List,访问控制列表）。

●弱口令。

●配置不当的网络服务器。

●不合理的输入文件系统。

●配置不当或未打补丁的Windows NT系统。

●无担保的过程存取点,如远程存取服务器、Modem池等

●保持口令安全的一些要点如下。

●口令长度不要小于6位，应同时包含字母和数字，以及标点符号和控制字符

●口令中不要使用常用单词（避免字典攻击）、英文简称、个人信息（如生日、名字、

反向拼写的登录名、房间中可见的东西）、年份、以及机器中的命令等。

●不要将口令写下来。

●不要将口令存于电脑文件中。

●不要让别人知道

●不要在不同系统上，特别是不同级别的用户上使用同一口令。

●为防止眼明手快的人窃取口令，在输入口令时应确认无人在身边。

●定期改变口令，至少每6个月要改变一次。

●在系统中安装对口令文件进行隐藏的程序或设置。

●在系统中配置对用户口令设置情况进行检测的程序，并强制用户定期改变口令。任

何一个用户口令的脆弱，都会影响整个系统的安全。

1，按应用技术或历史发展阶段划分

?手工密码

?机械密码

?电子机内乱密码

?计算机密码

2，按保密程度划分

?理论上保密的密码

?实际上保密的密码

?不保密的密码

3，按密钥方式划分

?对称式密码

?非对称式密码

4，按明文形态划分

?模拟型密码

?数字型密码

5，按编制原理划分

可分为移位、代替和置换三种以及它们的组合形式。

用数字签名（Digital Signature）可以有效地解决这些问题。数字签名（DS），是指附加在某一电子文档中的一组特定的符号或代码对电子文档进行关键信息提取，并通过某种密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章。

数字证书（Digital Certificate）是由权威机构CA发行的一种权威性的电子文档，是网络环境中的一种身份证，用于证明某一用户的身份以及其公开密钥的合法性。

数字证书原理是基于公开密钥体制

SSL一般具有以下特点：

（1）SSL可以允许多种密钥交换算法，而有些算法，如DH，没有证书的概念，这样A便无法验证B的公钥和身份的真实性，从而C可以轻易的冒充（A或B），用自己的密钥与双方通信，从而窃听到别人谈话的内容。而为了防止middlein the middle攻击，应该采用有证书的密钥交换算法

2）有了证书以后，如果C用自己的证书替换掉原有的证书之后，A的浏览器会弹出一个提示框进行警告。

（3）由于美国密码出口的限制，IE、Netscape等浏览器所支持的加密强度是很弱的，如果只采用浏览器自带的加密功能的话，存在被破解可能。

4.1.2 信息隐藏模型

信息隐藏主要研究如何将某一机密信息隐藏于另一公开的信息中，然后通过公开信息的传输来传递机密信息。

对信息隐藏而言，攻击者难以从众多的公开信息中判断是否存在机密信息，增加截获机密信息的难度，从而保证机密信息的安全。

4.1.3 信息隐藏的特点

鲁棒性（Robustness)

指不因图像文件的某种改动而导致隐藏信息丢失的能力，这里所谓“改动”

包括传输过程中的信道噪音、滤波操作、重采样、有损编码压缩、D/A或A/D转换等。·不可检测性（Undetectability)

指隐蔽载体与原始载体具有一致的特性,如具有一致的统计噪声分布等，以便使非法拦截者无法判断是否有隐蔽信息。

·透明性(Invisibility)

利用人类视觉系统或人类听觉系统，经过一系列隐藏处理，使目标数据没有明显的降质现象，而隐藏的数据却无法制直接看见或听见。

·安全性（Security）

指隐藏算法有较强的抗攻击能力，即它必须能够承受一定程度的人为攻击，而使隐藏信息不会被破坏。

·自恢复性

由于经过一些操作或变换后，可能会使原图产生较大的破坏，如果只从留下的片段数据，仍能恢复隐藏信号，而且恢复过程不需要宿主信号，这就是所谓的自恢复性。

数字水印技术就是将指定的数字、序列号、文字、图像标志等版权信息嵌入到数据产品中，以起到版权保护、秘密通信、数据文件的真伪鉴别和产品标识等作用。

数字水印的通用模型

数字水印技术包括嵌入、检测和提取3个过程。嵌入模型的功能是要将水印信号加入到原始数据中，如图所示。嵌入阶段的设计主要解决两个问题：一是数字水印的生成，可以是一串伪随机数，也可以是指定的字符串、图标等。

数字水印主要特性

1．鲁棒性。是指水印信息能够抵抗应用过程中的各种破坏程度。比如对信息的传输、压缩、滤波、几何变换等处理后，数字水印不会被破坏，仍能从数字信息中提取出水印信息。

2．水印容量。是指在数字信息中加入的水印数量。水印容量和鲁棒性之间是相互矛盾的，水印容量的增加会带来鲁棒性的下降，对不可见性也有影响，鲁棒性不好就会导致检测结果的不可靠。

3．安全性。是指加入水印和检测水印的方法对没有授权的第三方应是绝对保密的，而且不可轻易破解。数字水印系统一般使用一个或多个密钥来确保水印安全。

4．自恢复性。是指数字水印在原始数据经过较大的破坏或变换后，仍能从原数据中恢复出隐藏的水印。

5．不可见性。不对可感知的数字水印来说，是指数字信息加入水印后不会改变其感知效果，即看不到数字水印的存在。

数字水印分类

1．按照水印的可见性分类，数字水印可以分为可感知的和不易感知的两种。

2．按照水印的载体分类，数字水印可分为图像水印、视频水印、音频水印、文本水印和印刷水印等。

3．按照检测方法分类，数字水印可分为明水印和盲水印。

4．按照内容可分为内容水印和标志水印。

5．按照用途来分类时，数字水印可分为版权保护水印、票据防伪水印、身份认证水印等。

5.2.1 病毒的定义

计算机病毒是一个程序，一段可执行码。就像某些生物一样，计算机病毒有独特的复制能力。计算机病毒可以快速地传染，并很难解除。它们把自身附着在各种类型的文件上。当

文件被复制或从一个用户传送到另一个用户时，病毒就随着文件一起被传播了。

计算机病毒的特征

1．破坏性。

（1）攻击硬盘主引导扇区、Boot扇区、FAT表、文件目录，使磁盘上的信息丢失。

（2）对整个磁盘或扇区格式化。

（3）占用磁盘空间。

（4）修改或破坏文件中的数据，使内容发生变化。

（5）删除软盘、硬盘或网络上的可执行文件或数据文件，使文件丢失。

（6）占用CPU运行时间，使运行效率降低。

（7）破坏键盘输入程序，使用户的正常输入出现错误。

（8）破坏计算机主板上BIOS内容，使计算机无法工作。

（9）破坏屏幕正常显示，干扰用户的操作。

（10）抢占系统资源，使内存可用空间减少。

（11）喇叭攻击，会使计算机的喇叭发出响声。

（12）干扰打印机、假报警、间断性打印、更换字符。

2．隐蔽性。

计算机病毒通常附在正常程序中或磁盘较隐蔽的地方，目的是不让用户发现它的存在。不经过程序代码分析或计算机病毒代码扫描，计算机病毒程序与正常程序是不容易区别开来的。在没有防护措施的情况下，计算机病毒程序经运行取得系统控制权后，可以在不到1秒钟的时间里传染几百个程序，而且在屏幕上没有任何异常显示。这种现象就是计算机病毒传染的隐蔽性。正是由于这隐蔽性，计算机病毒得以在用户没有察觉的情况下游荡于世界上百万台计算机中。计算机病毒的隐蔽性主要表现在下述两个方面：

1）传染的隐蔽性：大多数计算机病毒在进行传染时速度是极快的，一般不具有外部表现，不易被人发现。许多计算机用户见到这些奇怪的屏幕显示和音响效果，还以为是来自计算机系统，事实上，很可能这是计算机病毒正在损害系统的结果。

（2）存在的隐蔽性：感染病毒的计算机在多数情况下仍能维持其部分功能，不会由于一感染上计算机病毒，整台计算机就不能启动了，或者某个程序一旦被计算机病毒所感染，就被损坏得不能运行了。

3．传染性。

计算机病毒也会通过各种渠道从已被感染的计算机扩散到未被感染的计算机，在某些情况下造成被感染的计算机工作失常甚至瘫痪。与生物病毒不同的是，计算机病毒是一段人为编制的计算机程序代码，这段程序代码一旦进入计算机并得以执行，就与系统中的程序连接在一起，并不断地去传染(或连接、或覆盖)其它未被感染的程序

计算机病毒的破坏性、隐蔽性、传染性是计算机病毒的基本特征。

4．潜伏性。

5．可触发性。

6．不可预见性。

计算机病毒的产生原因

1．软件产品的脆弱性是产生计算机病毒根本的技术原因

2．社会因素是产生计算机病毒的土壤

计算机病毒的传播途径

计算机病毒主要是通过复制文件、发送文件、运行程序等操作传播的。通常有以下几种传播途径：

1．移动存储设备

包括硬盘、移动硬盘、光盘等。硬盘是数据的主要存储介质，因此也是计算机病毒感染的主要目标。

2．网络

目前大多数病毒都是通过网络进行传播的，破坏性很大。

计算机病毒的表现现象

1．平时运行正常的计算机突然经常性无缘无故地死机。

2．运行速度明显变慢。

3．打印和通讯发生异常。

4．系统文件的时间、日期、大小发生变化。

5．磁盘空间迅速减少。

6．收到陌生人发来的电子邮件。

7．自动链接到一些陌生的网站。

8．计算机不识别硬盘。

9．操作系统无法正常启动。

10．部分文档丢失或被破坏。

11．网络瘫痪。

一．按病毒感染的对象

1．引导型病毒。主要通过感染软盘、硬盘上的引导扇区或改写磁盘分区表（FAT）来感染系统。早期的计算机病毒大多数属于这类病毒。

2．文件型病毒。它主要是以感染COM、EXE等可执行文件为主，被感染的可执行文件在执行的同时，病毒被加载并向其它正常的可执行文件传染或执行破坏操作。文件型病毒大多数也是常驻内存的

3．宏病毒。宏病毒是一种寄存于微软Office的文档或模板的宏中的计算机病毒，是利用宏语言编写的。由于Office软件在全球存在着广泛的用户，所以宏病毒的传播十分迅速和广泛。

4．蠕虫病毒。蠕虫病毒与一般的计算机病毒不同，它不采用将自身拷贝附加到其它程序中的方式来复制自己，也就是说蠕虫病毒不需要将其自身附着到宿主程序上。蠕虫病毒主要通过网络传播，具有极强的自我复制能力、传播性和破坏性。

5．特洛伊木马型病毒。特洛伊木马型病毒实际上就是黑客程序，一般不对计算机系统进行直接破坏，而是通过网络控制其它计算机，包括窃取秘密信息，占用计算机系统资源等现象。

6．网页病毒。网页病毒一般也是使用脚本语言将有害代码直接写在网页上，当浏览网页时会立即破坏本地计算机系统，轻者修改或锁定主页，重者格式化硬盘，使你防不胜防。

7．混合型病毒。兼有上述计算机病毒特点的病毒统称为混合型病毒，所以它的破坏性更大，传染的机会也更多，杀毒也更加困难。

二. 按病毒的破坏程度

?良性病毒

?恶性病毒

?极恶性病毒

?灾难性病毒

三. 按病毒攻击的方式分

?源代码嵌入攻击型

?代码取代攻击型

?系统修改型

?外壳附加型

6.1.2 利用VPN实现远程连接

1.配置VPN的网络方案

(1) 路由器式VPN

(2) 防火墙式VPN

(3) 软件式VPN

2. VPN的安全管理

(1) 隧道协议（Tunneling）

(2) 数据加密(Encryption)

(3) 认证(Authentication)

(4) 存取控制（Accesscontrol）

ASP是服务器脚本的运行环境，ASP脚本是按特定语法（目前支持VBscript和JScript两种脚本语言）编写的文本文件，是与标准HTML页面混合在一起的脚本。当用户用Web 浏览器通过Internet来访问基于ASP脚本的应用时，Web浏览器将向WEB服务器发出HTTP请求。Web服务器分析并判断出该请求是ASP脚本的应用后，自动通过ISAPI接口调用ASP脚本的解释运行引擎（ASP.DLL）。ASP.DLL将从文件系统或内部缓冲区获取指定的ASP脚本文件，进行语法分析并解释执行。最终的处理结果将形成HTML格式的内容，通过Web服务器“原路”返回给Web浏览器，由Web浏览器在客户端形成最终的结果呈现。这样就完成了一次完整的ASP脚本调用。若干个有机的ASP脚本调用就组成了一个完整的ASP脚本应用

10.1.2 IDS的定义

“入侵（Intrusion）”是个广义的概念，不仅包括被发起攻击的人（如恶意的黑客）取得超出合法范围的系统控制权，也包括收集漏洞信息，造成拒绝访问（Denial of Service）等对计算机系统造成危害的行为。

入侵检测则是对入侵行为的发觉。它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从而发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。

入侵监测系统IDS与系统扫描器System Scanner不同。系统扫描器是根据攻击特征数据库来扫描系统漏洞的，它更关注的是配置上的漏洞而不是当前进出用户的主机的流量。在遭受攻击的主机上，即使正在运行着扫描程序，也无法识别这种攻击。

入侵检测则是对防火墙的合理补充，具体说来，入侵检测系统的主要功能有以下几点。·监测并分析用户和系统的活动。

·核查系统配置和漏洞。

·评估系统关键资源和数据文件的完整性。

·识别已知的攻击行为。

·统计分析异常行为。

·操作系统日志管理，并识别违反安全策略的用户活动。

入侵检测一般步骤

1．入侵数据提取

主要是为系统提供数据，提取的内容包括系统、网络、数据及用户活动的状态和行为。入侵检测数据提取可来自以下四个方面。

（1）系统和网络日志；

（2）目录和文件中的的改变；

（3）程序执行中的不期望行为；

（4）物理形式的入侵信息

10.1.4 IDS监测位置

1. 基于网络的IDS

2. 基于主机的IDS

基于主机的IDS的优点在于，这种IDS是对到达攻击目标的数据流进行分析，所以它拥有攻击是否成功的第一手信息。在基于网络的IDS中，警报的产生是针对已知的入侵行为的，但只有基于主机的IDS才能确定一个攻击到底是否成功。

对于基于网络的IDS来说，对数据包分片重组、改变生存时间等攻击是比较难处理的，而对基于主机的IDS则可以利用主机自己的IP协议栈来防御这类攻击。

基于主机的IDS的缺点在于，它对网络监控的范围有限，这是因为大多数基于主机的IDS不能监测针对主机的端口扫描，所以让基于主机的IDS来检测针对网络的扫描几乎是不可能的。而这些扫描有时是针对网络进一步攻击的一个关键信号。

基于主机的IDS另一个缺点是，它必须运行在网络的中所有操作系统上。目前，在网络中统一安装相同的操作系统是不现实的，这就对IDS的开发带来了极大的挑战。有些基于主机的IDS只支持某种类型的操作系统，如果基于主机的IDS软件不能支持网络中所有的操作系统，那么网络也就得不到完整的入侵防护了。

1．模式匹配

模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。模式匹配方法是入侵检测领域中应用最为广泛的检测手段和机制之一，通常用于误用检测。

2．统计分析

统计分析方法首先给用户、文件、目录和设备等系统对象创建一个统计描述。统计正常使用时的一些测量属性，测量属性的平均值将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生。常用的入侵检测统计分析模型有：

（1）操作模型：

（2）方差：

（3）多元模型：

（4）马尔可夫过程模型

（5）时间序列分析

3．完整性分析

完整性分析主要关注某个文件或对象是否被更改，这经常包括文件和目录的内容及属性，它在发现是否应用程序被更改、被特洛伊化这方面特别有效。利用MD5函数可以识别微小变化，但一般以批处理方式实现，不用于实时响应。

12.1.1 什么是防火墙

在内部网和Internet之间插入一个系统，即防火墙，用来防止各类黑客的破坏，阻断来自外部网络的威胁和入侵，扮演着防备潜在的恶意活动屏障。

在网络中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络进行通信时执行的一种访问控制尺度，它被用来保护计算机网络免受非授权人员的骚扰，防止黑客的入侵。

防火墙是保障网络安全的一个系统或一组系统，用于加强网络间的访问控制，防

止外部用户非法使用内部网的资源，保护内部网络的设备不被破坏，防止内部网络的敏感数据被窃取。

防火墙至少提供两个基本的服务，即：

1．有选择的限制外部网用户对本地网的访问，保护本地网的特定资源。

2．有选择的限制本地网用户对外地网的访问。

安全、管理、速度是防火墙的三大要素。

它可以嵌入到某种硬件产品中，以硬件设备形式出现，即硬件防火墙。它也可以是一种软件产品，即软件防火墙。

12.1.2 防火墙的发展

第一代防火墙，又称包过滤防火墙，它主要通过数据包源地址、目的地址、端口号等参数来决定是否允许该数据包通过，并对其进行转发。

第二代防火墙，也称代理服务器，它用来提供网络服务级的控制。代理服务是运行在防火墙主机上的专门的应用程序，它位于内部网络上的用户和外部网上的服务之间，内部用户和外部网服务彼此不能直接通信，只能分别与代理打交道。代理负责接收外部网服务请求，再把它们转发到具体的服务中。

第三代防火墙有效地提高了防火墙的安全性，称为状态监控功能防火墙，它可以对每一层的数据包进行检测和监控。

VPN指虚拟专用网络，可以实现不同网络间组件和资源的相互连通