信息系统安全

含义

信息系统的硬件, 软件及其系统中的数据受到保护, 不因偶然或者恶意的原因遭到占用, 破坏, 更改, 泄漏, 系统连续安全, 可靠, 正常地运行, 系统服务不中断

安全作用范畴上划分

安全作用范畴	描述	表现行为	防范
物理安全	保护计算机设备设施, 以及其他媒介免受地震水灾等环境事故破坏的措施和过程	通信干扰, 信号辐射, 有害信息注入, 设备老化, 损毁, 恶劣操作环境	防火, 防盗, 抗干扰, 防辐射, 隐身, 加固, 备份, 系统安全
系统安全	为了保障系统功能而进行的保护信息处理过程安全的措施和过程	非授权或越权访问, 拒绝服务, 黑客行为, 计算机病毒	风险分析, 身份鉴别, 防火墙, 病毒防范, 漏洞扫描, 入侵检测, 系统恢复
信息安全	保护所处理信息的机密性与完整性, 可用性, 可控性, 不可否认性	窃取信息，破坏信息，假冒信息，信息抵赖等	信息加密，认证，数字签名

物理安全

系统安全

信息安全

机密性
- 防止信息泄漏给未授权个人或实体, 信息只为授权用户使用的特性, 即信息的内容不会被未授权的第三方所知
完整性
- 信息未经授权不能进行改变的特性, 是一种面向信息的安全性, 他要求保持信息的原样, 即信息的正确生成以及正确的传输
可用性
- 信息可被授权实体访问并按需求使用的特性, 即信息服务在需要时, 允许授权用户或实体使用, 网络部分受损或需要降级使用时, 仍能为授权用户提供服务
不可否认性
- 在信息系统的交互中, 确信参与者的真实性, 即所有参与者都不能否认或抵赖曾经完成的操作或承诺
可控性
- 对信息的传播及内容的访问具有控制能力的特性
- 可以控制授权范围内的信息流向以及行为方式, 控制用户的访问权限
- 同时结合内容审计机制, 对出现的信息安全问题提供调查的依据和手段

信息系统安全的发展

阶段	标志	威胁	防护/特征
1. 通信保密阶段	1949 香农保密通信的信息理论	搭线窃听密码分析	数据加密
2. 计算机系统安全阶段	1970 美国防部可信计算机系统评价标准	非法访问恶意代码脆弱口令	安全操作系统设计技术
3. 网络信息安全阶段	1988 莫里斯蠕虫事件	网络入侵病毒破坏信息对抗	防火墙漏洞扫描入侵检测 PKI 公钥基础设施 VPN 虚拟专用网
4. 信息安全保障阶段	1998 信息保障技术框架		分为检测, 响应恢复, 保护, 强调整个生命周期
5. 泛网安全保障阶段			信息系统安全由过去专注与计算机, 网络, 拓展到了所有智能设备构成的泛在网络

第一阶段: 通信保密阶段
第二阶段: 计算机系统安全阶段
第三阶段: 网络信息安全阶段
第四阶段: 信息安全保障阶段
第五阶段: 泛网安全保障阶段

安全系统的评价

可信计算机系统评价准测
- D 最低安全保护剂
  - Windows 95 98 Ms-DOs
- C1 自主安全保护级
  - 早期 Unix Xenix Netware 3.0
- C2受控存取保护级
  - Xp win 7/8 Linux Unix
- B1标记安全保护级
- B2 结构化保护级
- B3 安全区域级
- A1 验证设计级
我国的评价标准
- 自主保护级
- 系统审计保护级
- 安全标记保护级
- 结构化保护级
- 访问验证保护级

攻击技术

计算机病毒

是一种程序代码, 不仅能够破坏计算机系统, 还能隐藏在正常程序中, 将自身传播, 感染到其他系统

特征

传染性
隐蔽性
潜伏性
破坏性

危害性分类

良性病毒(1) 恶性病毒(2)

为了表现自身, 恶作剧, 并不破坏系统和和数据, 但会占用系统的CPU时间和系统开销的一类计算机病毒
一旦发作, 就会破坏系统或数据, 造成计算机系统瘫痪的计算机病毒

宿主分类

引导区型病毒(1) 文件型病毒(2) 混合型病毒(3)

侵染软盘或U盘中的引导区, 蔓延到用户硬盘, 并能侵染到用户硬盘中的 "主引导记录".通过修改系统引导记录, 在系统启动时即驻留内存, 从而入侵主机系统, 监控系统运行
感染可执行文件, 可执行脚本文件, 宏代码文件等. 用户运行染毒的可执行文件或脚本代码时, 文件型病毒首先被执行, 驻留内存, 并伺机把病毒代码复制到其他文件中
既传染引导区, 又传染文件

蠕虫

是一种能够利用 系统漏洞 通过网络进行自我传播的恶意程序

病毒的区别
- 无需宿主, 蠕虫是独立的计算机程序
- 病毒依靠宿主程序运行而传播, 蠕虫依靠系统漏洞主动传播
- 病毒传染本地文件, 蠕虫感染网络上有系统漏洞的主机
- 病毒防治是将病毒代码从宿主文件中摘除, 蠕虫则是为系统打补丁, 或者设置防火墙

木马

通常能够提供一些有用或者令人感兴趣的功能, 同时还具有用户不知道的其他功能, 例如在用户不知晓的情况下复制文件或者窃取密码

工作方式
- 通常工作在客户/服务器模式, 有两个可执行程序: 客户机即控制端, 服务器即被控指端
- 计算机运行木马后会打开一个或多个端口, 黑客通过这些端口进入计算机, 盗取个人隐私
- 连接后控制端享有大部分的操作权限, 如增加口令, 浏览移动复制和删除文件, 修改注册表, 修改计算机配置

黑客攻击

专门入侵他人系统进行不法行为的计算机高手

一般步骤

踩点: 获取对方的IP, 域名服务器, 管理员信息, 服务器操作系统等
查找, 发现漏洞并实施攻击
获取目标主机最高控制权
消除踪迹, 留下后门供日后使用

常用手段

信息收集(1)
扫描攻击(2)
口令攻击(3)
网络窃听(4)
拒绝服务(5)
社会工程攻击(6)
利用 telnet, ping等工具获取目标系统的端口开放，操作系统，软件版本等信息
利用扫描工具软件自动检测远程主机或本地主机上的漏洞或开放端口，获得目标系统的端口，可用漏洞信息
通过破解或者绕过口令, 使得口令保护失效, 如字典攻击, 绕过口令攻击
利用计算机网络接口捕获网络上的传输目标地址为其他计算机的数据报文，并进行报文分析和数据还原. 工具 wireshark，Sniffer Pro Iris
利用系统或协议的漏洞, 仿冒合法用户向目标主机发起大量服务请求, 致使目标网络或主机拥塞, 瘫痪甚至死机, 无法提供正常服务
利用对受害人的心理弱点，本能反应，好奇心，信任等心理陷阱进行诸如欺骗，伤害等危害手段，取得自身利益的手段
- 网络钓鱼
- 网络嫁接

防御

防火墙

防火墙是信息系统安全的第一道防线

发展

第一代 1983 简单包过滤防火墙
第二代 1989 贝尔实验室应用型防火墙
第三代 1992 南加州大学 动态包过滤技术, 1994 演变为状态检测
第四代 1997 具有安全操作系统的防火墙
第五代 1998 自适应代理防火墙

局限

不能防范内部人员的攻击
不能防范绕过他的攻击
不能防范未知的攻击和威胁

入侵检测

通过对计算机网络或信息系统的若干关键点收集信息并对其进行分析检测, 从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象, 从而实现安全防护的技术手段入侵检测是信息系统安全的第二道防线

分类

误用检测(1)
异常检测(2)
假设所有的入侵行为都可以表达为一种模式或特征，因而可以通过入侵行为的特征库，采用匹配的方法来确定入侵事件
假设入侵者的活动异常于正常主体的活动，建立正常活动的特征，将当前主体的行为状况与正常特征相比较

局限

存在大量误报, 漏报, 虚警率高
对VPN等加密流很难监控, 不适应高速网络需求
需要人工干预, 缺乏准确定位和处理机制

入侵容忍系统

在系统遭受一定入侵或攻击的情况下仍然能够提供所希望的服务

措施

冗余技术(1)
多样性技术(2)
门限方案技术(3)
冗余是硬件软件错误容忍和分布式系统中的技术, 当一个组件失败时, 其他冗余组件能够执行失败组件的功能直到该组件被修复
- 物理资源冗余: 保障系统可用性
- 信息冗余: 保护系统的完整性和机密性
通过异构, 多样等手段使具有相同功能的复制组件不能具有同一漏洞, 以提高系统容忍入侵的能力
- 硬件多样性
- 软件多样性
- 操作系统多样性
为攻击者设置一个门槛: 当受到的攻击低于门槛时, 系统可以容忍恶意攻击行为而保持系统的可用性

蜜罐技术

通过模拟一个或多个易受攻击的目标系统, 给黑客一个包含漏洞并且容易被攻破的系统作为目标, 从而以虚假目标吸引敌手攻击, 并记录入侵过程, 学习了解黑客攻击的目的手段和造成的后果

分类

低交互蜜罐
中交互蜜罐
高交互蜜罐
研究型蜜罐
产品性蜜罐