信息安全实践.docx

信息安全实践.docx

《信息安全实践.docx》由会员分享，可在线阅读，更多相关《信息安全实践.docx（26页珍藏版）》请在冰豆网上搜索。

信息安全实践

第一章信息安全概论

学习目标：

1.了解国内外信息安全的现状

2.掌握网络基础知识，深入理解OSI网络7层模型

3.了解网络安全的主要技术

4.了解信息安全模型

计算机技术的历史非常短，1946年世界上第一台计算机诞生，随后在几十年时间内，计算机技术迅速崛起，如今的计算机技术可以说是如日中天、备受瞩目。

在大型机时代，只有少数人才能够接触到计算机，用户直接通过服务器访问大型机，虽然存在安全漏洞，但没有太多人有兴趣利用他们，信息安全并没有受到重视。

然而，随着计算机技术的发展，成千上万个对计算机不甚精通的人有更多的机会接触到重要数据和流程，却没有建立相关的屏障和保护机制，这样很容易造成重要数据的损坏和丢失，因此用户之间需要层次型的软件，操作系统的各部分和用户有可能破坏的数据之间也同样应该有层次型的结构。

这种层次型的结构不仅通过把个人同操作系统和数据文件的核心隔离开来，从而带来安全性，另一方面，也有益于不断增强计算机的功能。

短短几十年中，不管是在日常生活中还是商业方面，人们已经极大地依赖于计算机技术。

计算机被应用于公共设施、军事防御系统、金融机构和医疗设备，广泛应用于各种可能的商业角落。

几乎所有的公司都会处于某种原因依赖于数据处理。

我们对技术的依赖性和技术在我们生活中发挥的作用，使得安全成为一个必要的本质和课题。

1.1信息安全的现状

安全的概念非常广泛，它包含了众多彼此影响着的不同的邻域。

物理安全与信息安全相关，数据库安全受操作系统安全的影响，操作安全影响计算机系统如何使用，灾难恢复技术用来处理紧急情况下的系统，几乎每个安全案例都会牵涉到某种法律或责任关系。

技术、硬件、人和法律条例交织在一起，形成一个安全网。

当调查一个具体问题时，应该对问题进行分解，理解问题的不同部分，这样才能提出最好和最有效的解决方案。

安全是一个复杂并且精彩的课题。

互联网是对全世界都开放的网络，任何单位或个人都可以在网上方便地传输和获取各种信息，互联网这种具有开放性、共享性、国际性的特点就对计算机网络安全提出了挑战。

网络系统的脆弱性主要有以下几项：

网络的开放性：

网络的技术是全开放的，使得网络所面临的攻击来自多方面。

或是来自物理传输线路的攻击，或是来自对网络通信协议的攻击，以及对计算机软件、硬件的漏洞实施攻击。

网络的国际性：

意味着对网络的攻击不仅是来自于本地网络的用户，还可以是互联网上其他国家的黑客，所以，网络的安全面临着国际化的挑战。

网络的自由性：

大多数的网络对用户的使用没有技术上的约束，用户可以自由的上网，发布和获取各类信息。

由于网络的开放性和安全性本身即是一对固有矛盾，无法从根本上予以调和，再加上基于网络的诸多已知和未知的人为与技术安全隐患，网络很难实现自身的根本安全。

目前，计算机信息系统的安全威胁主要来自于以下几类：

（1）计算机病毒

随着计算机网络技术的发展，计算机病毒技术也在快速地发展变化之中，而且在一定程度上走在了计算机网络安全技术的前面。

专家指出，从木马病毒的编写、传播到出售，整个病毒产业链已经完全互联网化。

对数量继续暴增的计算机病毒来说，防护永远只能是一种被动防护，而计算机感染上病毒后，轻则使系统工作效率下降，重则造成系统死机或毁坏，使部分文件或全部数据丢失，甚至造成计算机主板等部件的损坏，导致硬件系统完全瘫痪。

据公安部调查结果显示，计算机病毒仍然呈现出异常活跃的态势，互联网站被大量“挂马”成为病毒木马传播的主要方式，最近就出现一个令人诧异的现象，黑客网站黑狼基地被挂马了。

同时，目前计算机病毒、木马等绕过安全产品的发现、查杀甚至破坏安全产品的能力也增强了。

可见，当前计算机系统遭受病毒感染的情况相当严重。

（2）黑客的威胁和攻击

计算机信息网络上的黑客攻击事件越演越烈，据《2008瑞星中国大陆地区互联网安全报告》披露，以牟利为目的的黑客产业链已经形成并成为新的暴利产业。

一旦成为了肉鸡，黑客可以在该被控制的电脑上恣意妄为。

同时，作为技术能力比较弱的中国，遭受境外黑客攻击破坏也十分严重。

两年前，据媒体披露，一些中国重要部门的电脑就遭遇了一次“滑铁卢”，一些政府部门、国防机构、军工企业等重要单位，遭到境外大规模的网络窃密攻击。

（3）内部威胁

上网单位由于对内部威胁认识不足。

所采取的安全防范措施不当，导致了内部网络安全事故逐年上升。

不论是有意的还是偶然的，内部威胁将继续是一个最大的安全威胁。

如果网络的安全策略是未知的或不能执行的，用户诸如冲浪不安全的网站，点击电子邮件中的恶意链接。

或者不对敏感数据加密等行为都将继续不知不觉地扮演着安全炸弹的角色。

而随着人员的移动性越来越强。

利用未加密的移动设备使用网络也大大增加“暴露”的风险，给犯罪分子留下可乘之机。

另外，一机两用甚至多用情况普遍。

计算机在内外网之间频繁切换使用，许多用户将在Internet网上使用过的计算机在未经许可的情况下擅自接入内部局域网络使用，造成病毒的传入和信息的泄密。

公安部调查结果显示，攻击或病毒传播源来自内部人员的比例同比增加了21％，涉及外部人员的同比减少了18％，说明联网单位绝大部分都是出于防御外部网络攻击的考虑，导致来自内部的威胁同时呈上升态势。

然而，内部威胁通常会造成致命后果。

（4）网络犯罪

网络犯罪是非常容易操作的，不受时间、地点、条件限制的网络诈骗、网络战简单易施、隐蔽性强。

能以较低的成本获得较高的效益。

再加上网络空间的虚拟性、异地性等特征，在一定程度上刺激了犯罪的增长。

尤其是受到全球经济危机的影响，网络犯罪将成倍增长，除了给社会造成负面影响外，网络犯罪造成的经济损失巨大，追踪匿名网络犯罪分子的踪迹非常困难。

网络犯罪已成为严重的全球性威胁。

据有关方面统计，现在每天因全球网络犯罪导致资金流失高达数百亿、甚至上千亿美元。

（5）系统漏洞

许多网络系统都存在着这样那样的漏洞，这些漏洞有可能是系统本身所有的。

如WindowsNT、UNIX等都有数量不等的漏洞。

另外，局域网内网络用户使用盗版软件。

随处下载软件及网管的疏忽都容易造成网络系统漏洞。

这不但影响了局域网的网络正常工作，也在很大程度上把局域网的安全性置于危险之地，黑客利用这些漏洞就能完成密码探测、系统入侵等攻击。

以上只是网络安全威胁中的一小部分。

从中可以看出，解决网络安全威胁，保证网络的安全，需要寻求综合解决方案，以应对这种日渐严重的危机。

1.2网络基础知识

1.2.1开放系统参考互联模型

ISO是为提供国际标准而工作的全球联盟。

20世纪80年代早期，它发展了一套适用于全世界所有的供应商的协议集，以此希望确保所有供应商的产品都能跨过国家和技术的边界进行通信和交互。

世纪的协议集没有变成标准，但是这个协议集（OSI）的模型被采纳，称为大多数应用和协议所遵循的抽象框架。

OSI模型给供应商、工程师、开发者和其他人提供了重要的指导，它将网络任务、借意和服务分为不同的层。

当两台计算机通过网络通信时，每一层都有它自己的任务，它的功能由这一层的服务和协议来实现。

图1-1为OSI模型。

图1-1OSI模型

网络协议是决定网络中系统如何通信的规则标准的集合。

两个不同系统之所以能相互通信和理解，是因为他们用了相同的协议，尽管他们本身有不同。

这与两个人使用相同的语言而能相互交流和理解的道理是一样的。

虽然计算机通信是物理的，它们也通过逻辑通道通信。

特定OSI层次的协议与工作在另一台计算机的相同OSI层次的协议通信，这通过封装来完成。

封装过程如下：

一个消息在应用层创建，通过协议栈往下传。

每一层协议在消息中添加特定信息，消息尺寸在协议栈往下走的过程中变大。

然后消息被送到目标计算机，逆转封装的过程，将消息拆开，最后送到目标计算机上的应用层。

图1-2表示了封装过程。

图1-2OSI模型的封装过程

下面对OSI模型的每一层中具体的功能、协议进行详细讨论。

（1）应用层（ApplicationLayer）

应用层在OSI模型中的第七层，是与用户端最近的一层，它提供文件传输、消息交换、终端会话以及更多功能。

这一层不包括实际的应用，但是包括支持这些应用的协议。

当应用要在网络中传送数据，由这一层进行处理，给数据适当的格式并传到OSI模型的下一层（表示层）。

应用层创建的数据包含了每一层所需的关键信息后，数据才会在网络中传送。

应用层的协议用于处理文件传输、虚拟终端、网络管理，并执行应用程序的网络请求。

以下是应用层中的几个协议：

●文件传输协议（FTP）

●普通文件传输协议（TFTP）

●简单网络管理协议（SNMP）

●简单邮件传输协议（SMTP）

●超文本传输协议（HTTP）

●远程登录协议（Telnet）

图1-3表示了应用程序如何通过应用程序接口（API）与下面的协议通信。

图1-3应用发送请求到API

Outlook利用SMTP协议收发邮件，对邮件内容进行加密等处理；IE使用HTTP协议对上网用户实现即时响应；行式打印机后台程序（LinePrinterDaemon,LPD）用来处理word文档，应用层的协议通过API接口实现应用程序的功能。

（2）表示层（PresentationLayer）

表示层在OSI模型中的第六层，它从应用层协议接受信息，然后将信息变成所有遵守OSI模型的计算机都能理解的格式。

这一层提供了一种能被末端系统正确处理的用一个结构表示数据的方式。

表示层不管数据的含义，只关系数据的格式和语法。

它像一个翻译器那样工作，将应用程序使用的格式翻译成能在网络上用于消息传递的标准格式。

表示层也处理数据压缩和加密。

如果应用层的一个程序请求在将某个文件传送到网络之前，对其进行压缩和加密，表示层就可以向目标计算机提供必要信息。

这些信息包括有关加密或者所使用的压缩类型的指令，以及如何向用户正确呈现这个文件。

指令被添加到数据包中，用于告知接受系统如何正确地解密或解压缩数据。

表示层中的服务用于处理标准格式的转译、数据压缩与解压，以及数据加密与解密。

这个层中没有协议工作，只有服务。

下面是表示层中的一些标准：

●美国信息交换标准编码（ASCII）

●扩展二进制编码十进制交换模式（EBCDIC）

●标签图像文件格式（TIFF）

●联合影像专家组（JPEG）

●活动图像专家组（MPEG）

●乐器数字接口（MIDI）

图1-4表示了表示层如何将文件转变成不同的标准文件格式。

图1-4表示层将数据转变为标准格式

（3）会话层（SessionLayer）

会话层在OSI模型中的第五层，负责在两个应用程序之间建立连接，在传送数据的过程中保持连接并控制连接的释放。

会话层工作分为三个阶段：

建立连接、数据传输和释放连接。

在有些情况下还提供会话重新开始和恢复，以及完整会话的维持。

会话结束时拆除路径并且使所有参数恢复到初始设置。

会话层协议在应用程序之间建立连接，维持会话控制，并协商、建立、维持和撤销通信通道。

以下为在会话层中的一些协议：

●网络文件系统（NFS）

●结构化查询语言（SQL）

●远程过程调用（RPC）

●网络基本输入/输出系统协议（NetBIOS）

会话层协议使得两个应用程序之间能以三种不同的模式通信：

单向模式、半双工模式、全双工模式。

图1-5描述了一个会话的三个阶段。

图1-5会话层建立连接、数据传输、释放连接

（4）传输层（TransportLayer）

传输层在OSI模型中的第四层，负责建立两台计算机之间的连接。

当两台计算机通信时，要确保一次发送信息量及验证数据完整性等等的一致性，这有助于更可靠的数据传输、错误的检测与改正、流量控制，并优化了执行这些任务所需的网络服务。

传输层提供了端到端的数据传输服务并建立了两台通信的计算机间的逻辑连接。

传输层从许多不同的应用接受数据并把它们整合为一个流，以便在网络中正确地传送。

传输层的协议用于处理端对端传输和数据流分解。

传输层中的协议有以下几项：

●传输控制协议（TCP）

●用户数据报协议（UDP）

●安全套接层（SSL）

●序列封包交换（SPX）

图1-6给出了传输层从不同应用程序中接受数据并整合为流的过程。

图1-6传输层从不同应用程序中接受数据并整合为流

（5）网络层（NetworkLayer）

传输层在OSI模型中的第三层，它的主要任务是在包头中插入信息以便数据包被正确地编址和路由，并将数据路由到正确的目的地。

在网络中，可以有许多路径通往目标。

网络层的协议必须确定数据包能走最好的路径。

路由协议在这一层创建和维护他们的路由表。

这些表是网络图，当一个数据包需要从一台计算机传送到另一台计算机上时，协议会检查网络表，在包头加入所需要的信息，然后送它上路。

网络层协议负责网际网络服务、寻址和路由。

以下是网络层中的协议：

●因特网协议（IP）

●因特网控制消息协议（ICMP）

●因特网组管理协议（IGMP）

●路由信息协议（RIP）

●开放最短路径优先协议（OSPF）

●网际分组交换协议（IPX）

图1-7表示一个数据包能选择多条路径，由网络层将路由信息加入数据包头，帮助数据到达目标。

图1-7网络曾确定每个数据包走最有效的路径

（6）数据链路层（DataLinkLayer）

数据链路层在OSI模型中的第二层，它负责将数据包转换成二进制格式，以便能够正确传送。

数据链路层中工作的协议确定数据帧以增养的格式确保数据顺利地在令牌环、以太网、异步传输模式（ATM）、光缆分布式数据接口（FDDI）等网络内传送。

数据链路层负责这些技术的顺利交流，并把数据转换成物理层需要的格式。

数据链路层划分为两个功能性子层：

逻辑链路控制层（LLC）和媒体访问控制层（MAC）。

逻辑链路控制层负责与网络层中的协议通信。

媒体访问控制层负责与物理层协议通信

数据链路层中的协议将数据转换成LAN或WAN帧进行传输，它把消息转换成比特，并定义计算机如何访问一个网络。

以下是数据链路层中的协议：

●地址解析协议（ARP）

●逆向地址解析协议（RARP）

●点对点协议（PPP）

●串行线因特网协议（SLIP）

图1-8描述数据链路层把信息转换为比特。

图1-8数据链路层将信息转换为比特

（7）物理层（PhysicalLayer）

物理层在OSI模型中的第一层，它将比特转变为用于传送的电压。

物理层控制同步、数据发送速率，控制线路噪声和介质访问。

物理层的说明包括电压变化时间、电压水平、电学、光学的物理控制，以及传送机制。

下面是物理层中的一些标准接口：

●高速串行接口（HSSI）

●X.21

●EIA/TIA-232和EIA/TIA-449

图1-9描述物理层将比特转换为电信号。

图1-9物理层将比特转换为电信号

1.2.2TCP/IP协议

传输控制协议/网际协议（TCP/IP）是控制数据从一个设备到另一个设备传输方式的协议集，主要包括TCP和IP协议。

这个协议是Internet最基本的协议、Internet国际互联网络的基础，简单地说，就是由网络层的IP协议和传输层的TCP协议组成的。

TCP/IP定义了计算机如何连入因特网，以及数据如何在它们之间传输的标准。

TCP/IP是一个四层的分层体系结构。

高层为传输控制协议，它负责聚集信息或把文件拆分成更小的包。

低层是网际协议，它处理每个包的地址部分，使这些包正确的到达目的地。

TCP/IP模型的结构如图1-10所示。

图1-10TCP/IP模型

IP是网络层的协议，提供数据报路由服务。

IP的主要任务是支持网络寻址、包的转发和路由，它是一个用于包装传输层传下来的数据的无连接协议。

IP协议通过源地址和目标地址为数据包寻址。

TCP/IP协议集中的协议协同工作，将应用层传下来的数据分片，使得它能在网络上传送。

它们和其它协议一起工作，将数据传送到目标计算机并将数据重新组装成应用层能够理解和处理的形式。

工作在传输层的协议主要有两个：

TCP和UDP，它们是相互并列的，开发者在编写时可以任意选择其中一种。

TCP是一个可靠的、面向连接的协议，它能保证数据包传送到目标机器。

如果数据报在传送的过程中被丢失，TCP能够重新发送。

TCP也支持包队列、流量和拥塞控制、错误检测和纠正。

而UDP面向的是无连接的协议，它没有包队列、流量和拥塞控制，不能保证目标计算机能接受到每个包。

TCP之所以被称为面向连接的协议，是因为在数据实际发送前，两台要通信的计算机之间有一个握手过程。

一旦握手顺利完成，两台计算机间的虚拟连接就建立起来了。

UDP协议被称为无连接的，是因为它没有握手过程，所以不知道对方是否顺利接收到了数据包。

显然，TCP比UDP更为可靠但需要更多系统资源。

图1-11给出了TCP和UDP格式的对比。

图1-11TCP格式与UDP格式

UDP和TCP都被应用程序用在网络上传输数据，他们都使用端口与上面的应用层通信。

端口是确定其他机器如何访问服务的机制。

形成TCP或UDP消息时，在头部信息中，随同源地址和目标地址的还有源端口和目标端口，它们构成了套接字，使得消息能够通往应用层中正确的协议。

端口号在0到1023之间的端口叫做通用端口，几乎每台计算机都用同样的协议对应端口号，这提高了计算机系统之间的互操作性。

网络上的每个节点都有一个唯一的IP地址。

IP第四版使用32位地址。

下表给出IPv4地址的分类：

A类

0.0.0.0—127.255.255.255

第一个字节为网络部分，剩下三个字节为主机部分

B类

128.0.0.0—191.255.255.255

前两个字节为网络部分，剩下两个字节为主机部分

C类

192.0.0.0—223.255.255.255

前三个字节为网络部分，剩下一个字节为主机部分

D类

224.0.0.0—239.255.255.255

供多播地址使用

E类

240.0.0.0—255.255.255.255

保留地址，用于研究

（1）A类地址

范围从0-127，0是保留的并且表示所有IP地址，而127也是保留的地址，并且是用于测试环回用的。

因此A类地址的范围其实是从1-126之间。

如：

10.0.0.1，第一段号码为网络号码，剩下的三段号码为本地计算机的号码。

转换为2进制来说，一个A类IP地址由1字节的网络地址和3字节主机地址组成，网络地址的最高位必须是“0”，地址范围从0.0.0.1到126.0.0.0。

可用的A类网络有126个，每个网络能容纳1亿多个主机（2的24次方的主机数目）。

以子网掩码来进行区别：

255.0.0.0。

（2）B类地址

范围从128-191，如172.168.1.1，第一和第二段号码为网络号码，剩下的2段号码为本地计算机的号码。

转换为2进制来说，一个B类IP地址由2个字节的网络地址和2个字节的主机地址组成，网络地址的最高位必须是“10”，地址范围从128.0.0.0到191.255.255.255。

可用的B类网络有16382个，每个网络能容纳6万多个主机。

以子网掩码来进行区别：

255.255.0.0。

（3）C类地址

范围从192-223，如192.168.1.1，第一，第二，第三段号码为网络号码，剩下的最后一段号码为本地计算机的号码。

转换为2进制来说，一个C类IP地址由3字节的网络地址和1字节的主机地址组成，网络地址的最高位必须是“110”。

范围从192.0.0.0到223.255.255.255。

C类网络可达209万余个，每个网络能容纳254个主机。

以子网掩码来进行区别：

255.255.255.0。

（4）D类地址

范围从224-239，D类IP地址第一个字节以“1110”开始，它是一个专门保留的地址。

它并不指向特定的网络，目前这一类地址被用在多点广播（Multicast）中。

多点广播地址用来一次寻址一组计算机，它标识共享同一协议的一组计算机。

E类地址

范围从240-254，以“11110”开始，为将来使用保留。

全零（“0．0．0．0”）地址对应于当前主机。

全“1”的IP地址（“255．255．255．255”）是当前子网的广播地址。

1.3网络安全概述

伴随信息时代的来临，计算机和网络已经成为这个时代的代表和象征，政府、国防、国家基础设施、公司、单位、家庭几乎都成为一个巨大网络的一部分，大到国际间的合作、全球紧急的发展，小到购物、聊天、游戏，所有社会中存在的概念都因为网络的普及被赋予了新的概念和意义，网络在整个社会中的地位越来越举足轻重了。

但与此同时，互联网本身所具有的开放性和共享性队信息的安全问题提出了严峻的挑战，由于系统安全脆弱性的客观存在，操作系统、应用软件、硬件设备等不可避免地会存在一些安全漏洞，网络协议本身的设计也存在一些安全隐患，这些都为黑客采用非正常手段入侵系统提供了可乘之机，以至于计算机犯罪、不良信息污染、病毒木马、内部攻击、网络信息间谍等一系列问题成为困扰社会发展的重大隐患。

便利的搜索引擎、电子邮件、上网浏览、软件下载以及即时通讯等工具都曾经或者正在被黑客可利用进行网络犯罪，数以万计的电子邮件帐户和密码被非授权用户窃取并公布在网上，使得垃圾邮件的数量显著增加。

此外，大型黑客攻击时间不是发生，木马病毒井喷式大肆传播，传播途径千变万化让人防不胜防。

因此，提高对网络安全重要性的认识，增强防范意识，强化防范措施，是学习、使用网络的当务之急。

1.3.1网络安全的定义

网络安全从狭义角度来分析，是指计算机及其网络系统资源和信息资源受到保护，不受自然和人为有害因素的威胁和危害。

从广义上讲，凡是涉及到计算机网络上信息的保密性、完整性、可用性、真实性和不可抵赖性的相关技术和理论都是计算机网络安全的研究邻域。

网络安全问题实际上包括两方面的内容：

一是网络的系统安全，而是网络的信息安全。

网络安全从其本质上来讲就是网络上信息的安全，它涉及的内容相当广泛，既有技术方面的问题，也有管理方面的问题，两方面相互补充，缺一不可。

技术方面主要侧重于如何防范外部非法攻击，管理方面则侧重于内部认为因素的管理。

如何更有效地保护重要的信息数据、提高计算机网络系统的安全性已经成为所有计算机网络应用必须考虑和必须解决的一个重要问题。

1.3.2网络安全的要素

确保网络系统的信息安全是网络安全的目标，对整个网络信息系统的保护最终是为了保护信息在存储过程和传输过程中的安全等。

从网络安全的定义中，我们不难分析出网络信息安全具备的五大核心要素：

●保密性

保密性是防止信息泄露给非授权个体或实体，只允许授权用户访问的特性。

保密性是一种面向信息的安全性，它建立在可靠性和可用性的基础之上，是保障网络信息系统安全的基本要求。

●完整性

完整性是指网络中的信息安全、精确、有效，不因人为的因素而改变信息原有的内容、形式与流向，它要求保持信息的原样，即信息的正确生成、正确存储和正确传输，也就是信息在生成、存储或传输过程中保证不被偶然或蓄意地删除、修改、伪造、乱序、插入等破坏和丢失的特性。

●可用性

可用性即网络信息系统在需要时，允许授权用户或实体使用的特性，或者是网络信息系统部分受损或需要降级使用时，人能为授权用户提供有效服务的特性。

●真实性

真实性是确保网络信息系统的访问者与其声称者的身份是一致的，确保网络应用程序的神风和功能与其声称者的身份和功能是一致的，确保网络信息系统操作的数据是真实有效的数据。

●不可抵赖性

不可抵赖性也称作不可否认性，即在网络信息系统的信息交互过程中所有参与者都不可能否认或抵赖曾经完成的操作的特性。

1.3.3确保网络安全的主要技术

网络安全是一个相对概念，不存在绝对安全，所以必须未雨绸、居安思危，并且安全威胁是一个动态过程，不可能根除威胁，所以唯有积极防御、有效应对。

应对网络安全威胁则需要不断提升防范的技术和安全管理的团队，这是网络复杂性对确保