体系架构筹划师-第9章 信息安全底子知识

【本章学习发起】
根据测验大纲，本章重要考察体系架构筹划师单选题，预计考3分左右。对应第二版课本第4章，常考点有：信息安全的根本要素、信息安全技能等。

9.1 信息安全底子

9.1.1 信息安全的概念

信息安全包罗5个根本要素：
（1）秘密性：确保信息不袒露给未授权的实体或进程。
（2）完备性：只有得到答应的人才气修改数据，而且可以大概辨别出数据是否己被篡改。
（3）可用性：得到授权的实体在须要时可访问数据，即攻击者不能占用全部的资源而拦阻授权者的工作。
（4）可控性：可以控制授权范围内的信息流向及举动方式。
（5）可查察性： 对出现的信息安全标题提供观察的依据和本领。
信息安全的范围包罗4个安全：
（1）装备安全：信息体系装备的安满是信息体系安全的重要标题，是信息体系安全的物质底子，它包罗3个方面：装备的稳固性、可靠性和可用性。
（2）数据安全：数据安全即采取步伐确保数据免受未授权的泄漏、篡改和粉碎，包罗3个方面：数据的秘密性、完备性和可用性。
（3）内容安全：内容安满是信息安全在政治、法律、道德条理上的要求，包罗3个方面：信息内容政治上康健、符合国家法律法规和符合道德规范。
（4）举动安全：信息体系的服务功能是指终极通过举动提供给用户，确保信息体系的举动安全，才气终极确保体系的信息安全。举动安全的特性包罗：举动的秘密性、完备性和可控性。
9.1.2 信息存储安全

信息的存储安全包罗信息使用的安全、体系安全监控、盘算机病毒防治、数据的加密和防止非法的攻击等。
（1）信息使用的安全。包罗用户的标识与验证、用户存取权限限定。
（2）体系安全监控。体系必须创建一套安全监控体系，全面监控体系的活动，并随时查抄体系的使用情况，一旦有非法入侵者进入体系，能实时发现并采取相应步伐，确定和弥补安全及保密的弊端。还应当创建美满的审计体系和日记管理体系，使用日记和审计功能对体系举行安全监控。
（3）盘算机病毒防治。盘算机网络服务器必须加装网络病毒自动检测体系，以掩护网络体系的安全，防范盘算机病毒的侵袭，而且必须定期更新网络病毒检测体系。
9.1.3 网络安全

1. 网络安全隐患
网络安全隐患表如今：物理安全性、软件安全弊端、不兼容使用安全弊端、选择符合的安全哲理。
2. 网络安全威胁
网络安全威胁表如今：非授权的访问、信息泄漏或丢失、粉碎数据完备性、拒绝服务攻击、使用网络流传病毒。
3. 安全步伐的目标
安全步伐的目标包罗：访问控制、认证、完备性、审计、保密。
9.2 信息安全体系的构成框架

9.2.1 技能体系

从实现技能上来看，信息安全体系涉及以下技能：
（1）底子安全装备包罗暗码芯片、加密卡、身份辨认卡等，别的还涵盖运用到物理安全的物理情况保障技能，修建物、机房条件及硬件装备条件满足信息体系的呆板防护安全，通过对电力供应装备以及信息体系组件的抗电磁干扰和电磁走漏性能的选择性步伐到达相应的安全目标。
（2）盘算机网络安全指信息在网络传输过程中的安全防范，用于防止和监控未经授权粉碎、更改和偷取数据的举动。通常涉及物理隔离，防火墙及访问控制，加密传输、认证、数字署名、择要，隧道及VPN技能，病毒防范及上网举动管理，安全审计等实现技能。
（3）操纵体系安全是指操纵体系的无错误设置、无弊端、无后门、无特洛伊木马等，能防止非法用户对盘算机资源的非法存取，一样寻常用来表达对操纵体系的安全需求。操纵体系的安全机制包罗标识与辨别机制、访问控制机制、最小特权管理、可信通路机制、运行保障机制、存储掩护机制、文件掩护机制、安全审计机制，等等。
（4）数据库安全可大抵分别为数据库管理体系安全和数据库应用体系安全两个部分，重要涉及物理数据库的完备性、逻辑数据库的完备性、元素安全性、可审计性、访问控制、身份认证、可用性、推理控制、多级掩护以及消除隐通道等干系技能。
（5）终端安全装备从电信网终端装备的角度分为电话暗码机、传真暗码机、异步数据暗码机等。
9.3 信息加解密技能

9.3.1 数据加密

一个暗码体系，通常简称为暗码体制（Cryptosystem），由五部分构成：
（1）明文空间P，它是全体明文的聚集。
（2）密文空间C，它是全体密文的聚集。
（3）密钥空间K，它是全体密钥的聚集。
（4）加密算法E，它是一组由P至C的加密变更。
（5）解密算法D，它是一组由C到P的解密变更。

发送端把明文P用加密算法E和密钥K加密，变更成密文C，即C=E（K,P）；
吸取端使用解密算法D和密钥K对密文C解密得到明文P，即P=D（K,C）。
9.3.2 对称加密技能

对称加密，采取对称暗码编码技能，加密息争密的密钥雷同。长处是加密快，加密过程简单。缺点是加密强度不高（只有一个密钥），密钥分发困难，保密性较差。
常见对称加密算法：DES、3DES、AES、RC-5、IDEA。
9.3.3 非对称加密技能

非对称加密须要两个差别的密钥：公开密钥（Publickey）和私有密钥（Privatekey）。公开密钥与私有密钥是一对，假如用公开密钥对数据举行加密，只有效对应的私有密钥才气解密；假如用私有密钥对数据举行加密，那么只有效对应的公开密钥才气解密。公钥体系也就是公开加密算法，即非对称加密。

长处是无须互换密钥，保密性较好。缺点是仅实用少量数据加密，加密速率慢、时间长。常用来加密对称加密的密钥。（数字信封的原理）
常见非对称加密算法：RSA、DSA、ECC。
9.3.4 数字署名

对称加密技能与非对称加密技能的应用：

数字信封运用了对称加密技能和非对称加密技能，本质是使用对称密钥加密数据，非对称密钥加密对称密钥，办理了对称密钥的传输标题。
信息择要的特点：无论数据多长，都会产生固定长度的信息择要；任何差别的输入数据，都会产生差别的信息择要；单向性，即只能由数据天生信息择要，不能由信息择要还原数据。常见的信息择要算法：MD5（产生128位的输出）、SHA-1（安全散列算法，产生160位的输出，安全性更高）。
数字署名，用发送方的私钥署名，用发送方的公钥验证消息的真实性，发送方不可否认。
9.3.5 公钥底子办法PKI

公钥底子办法（Public Key Infrastructure，PKI）：是以非对称加密技能为底子，以数据秘密性、完备性、身份认证和举动不可狡辩性为安全目标，来实行和提供安全服务的具有普适性的安全底子办法。
1. 数字证书
一个数据结构，是一种由一个可信托的权势巨子机构签订的信息聚集。在差别的应用中有差别的证书。如X.509证书必须包罗下列信息：（1）版本号（2）序列号（3）署名算法标识符（4）认证机构（5）有效限期（6）主题信息（7）认证机构的数字署名（8）公钥信息。
公钥证书重要用于确保公钥及其与用户绑定关系的安全。这个公钥就是证书所标识的谁人主体的正当的公钥。任何一个用户只要知道签证机构的公钥，就能查抄对证书署名的正当性。假如查抄准确，那么用户就可以信赖谁人证书所携带的公钥是真实的，而且这个公钥就是证书所标识的谁人主体正当的公钥。比方驾照。
2. 签证机构CA
负责签发证书、管理和取消证书。是全部注册用户所信任的权势巨子机构，CA在给用户签发证书时要加上本身的数字署名，以包管证书信息的真实性。任何机构可以用CA的公钥来验证该证书的正当性。
9.4 访问控制技能

1. 访问控制的根本模子
访问控制是指主体依据某些控制计谋或权限对客体本身或是其资源举行的差别授权访问。访问控制包罗3个要素，即主体、客体和控制计谋。
访问控制包罗认证、控制计谋实现和审计3方面的内容。
2. 访问控制的实现技能
（1）访问控制矩阵（Access Control Matrix，ACM）。是通过矩阵情势体现访问控制规则和授权用户权限的方法。主体作为行，客体作为列。

	file1	file2	file3
User1	rw		rw
User2	r	rwx	x
User3	x	r

（2）访问控制表（Access Control List，ACL）。是现在最盛行、使用最多的访问控制实现技能。每个客体有一个访问控制表，是体系中每一个有权访问这个客体的主体的信息。这种实现技能现实上是按列生存访问矩阵。
（3）本领表。对应于访问控制表，这种实现技能现实上是按行生存访问矩阵。每个主体有一个本领表，是该主体对体系中每一个客体的访问权限信息。使用本领表实现的访问控制体系可以很方便地查询某一个主体的全部访问权限。

（4）授权关系表。每一行（大概说元组）就是访问矩阵中的一个非空元素，是某一个主体对应于某一个客体的访问权限信息。假如授权关系表按主体排序，查询时就可以得到本领表的服从；假如按客体排序，查询时就可以得到访问控制表的服从。
9.5 信息安全的抗攻击技能

9.5.1 密钥的选择

1. 密钥的选择
为对抗攻击者的攻击，密钥天生须要思量3个方面的因素：增大密钥空间、选择强钥（复杂密钥）、密钥的随机性（使用随机数）。
9.5.2 拒绝服务攻击与防御

拒绝服务攻击DoS（Denial of Service）的重要筹划是借助于网络体系或网络协议的缺陷和设置弊端举行网络攻击，使网络拥塞、体系资源耗尽大概体系应用死锁，妨碍目标主机和网络体系对正常用户服务哀求的实时相应，造成服务的性能受损以致导致服务克制。现在常见的拒绝服务攻击为分布式拒绝服务攻击DDoS（Distributed Denial of Service）。
1. 传统拒绝服务攻击的分类
拒绝服务攻击有许多种，网络的表里部用户都可以发动这种攻击。
内部用户可以通过长时间占用体系的内存、CPU处置惩罚时间使其他用户不能实时得到这些资源，而引起拒绝服务攻击；外部黑客也可以通过占用网络毗连使其他用户得不到网络服务。
外部用户针对网络毗连发动拒绝服务攻击重要有以下几种模式：斲丧资源、粉碎或更改设置信息、物理粉碎或改变网络部件、使用服务步调中的处置惩罚错误使服务失效。
2. 分布式拒绝服务攻击DDoS
分布式拒绝服务DDoS攻击是传统DoS攻击的发展，攻击者起首侵入并控制一些盘算机，然后控制这些盘算机同时向一个特定的目标发起拒绝服务攻击。降服了传统DoS受网络资源的限定和潜伏性差两大缺点。
3. 拒绝服务攻击的防御方法
（1）增强对数据包的特性辨认，攻击者发送的数据包中是有一些特性字符串。通过征采这些特性字符串，就可以确定攻击服务器和攻击者的位置。
（2）设置防火墙监视当田主机端口的使用情况。假如发现敏感端口处于监听状态，则体系很大概受到攻击。
（3）对通讯数据量举行统计也可得到有关攻击体系的位置和数量信息。在攻击时，攻击数据的泉源地点会发出超出正常极限的数据量。
（4）尽大概的修正己经发现的标题和体系弊端。
9.5.3 诱骗攻击与防御

1. ARP诱骗
·正常ARP原理：如图所示，主机A想知道局域网内主机B的MAC地点，那么主机A就广播发送ARP哀求分组，局域网内主机都会收到，但只有B收到剖析后知道是哀求本身的MAC地点，以是只有B会返回单播的相应分组，告诉A本身的MAC地点。A收到相应分组后，会创建或更新B的IP地点和MAC地点映射（ARP缓存表），这个映射是动态存在的，假如肯定时间A、B不再通讯，那么就会清空这个地点映射，下次假如还要通讯，则重复这个过程。

·ARP诱骗原理：上述过程主机A不管其有没有发送过哀求广播分组，而只要收到了返回的分组信息，就会革新IP地点和MAC地点的映射关系，如许就存在安全隐患，假设有主机C，模仿返回分组格式，构造准确的IP地点和本身的MAC地点映射，A收到后也会革新映射关系，那么当A再次向B发送信息时，现实就发送到了C的MAC地点，数据就被C监听到了。
·ARP诱骗的防范步伐
（1）在 WinXP下输入下令：arp -s gate-way-ip gate-way-mac 固化ARP表，克制ARP诱骗。
（2）使用ARP服务器。通过该服务器查找本身的ARP转换表来相应其他呆板的ARP广播。确保这台ARP服务器不被黑。
（3）采取双向绑定的方法办理而且防止ARP诱骗。
（4）ARP防护软件—ARP Guard。
2. DNS诱骗
·DNS诱骗原理：DNS诱骗起首是冒充域名服务器，然后把查询的IP地点设置为攻击者的IP地点，如许的话，用户上网就只能看到攻击者的主页，而不是用户想要取得的网站主页了，这就是DNS诱骗的根本原理。即改掉了域名和IP地点的对应关系。黑客是通过冒充DNS服务器复兴查询IP的。

·DNS诱骗过程：如图所示，www.xxx.com的IP地点为202.109.2.2，假如www.angel.com向xxx.com的子域DNS服务器查询www.xxx.com的IP地点时，www.heike.com冒充DNS向www.angel.com复兴www.xxx.com的IP地点为200.1.1.1，这时www.angel.com就会把200.1.1.1当做www.xxx.com对应的IP地点了。当www.angel.com毗连 www.xxx.com时，就会转向卖弄的IP地点200.1.1.1，如许对www.xxx.com来说，就算是给黑掉了。
·DNS诱骗的检测：根据检测本领的差别，可分为被动监听检测、卖弄报文探测和交错查抄查询3种。
（1）被动监听检测：通过旁路监听的方式，捕获全部DNS哀求和应答数据包，并为其创建一个哀求应答映射表。假如在肯定的时间隔断内，一个哀求对应两个或两个以上结果差别的应答包，则猜疑受到了DNS诱骗攻击。
（2）卖弄报文探测：采取自动发送探测包的本领来检测网络内是否存在DNS诱骗攻击者。假如向一个非DNS服务器发送哀求包，正常来说不会收到任何应答，假如收到了应答包，则阐明受到了攻击。
（3）交错查抄查询：在客户端收到DNS应答包之后，向DNS服务器反向查询应答包中返回的IP地点所对应的DNS名字，假如两者同等，阐明没有受到攻击，否则阐明被诱骗。
3. IP诱骗
·IP诱骗原理和过程：
①起首使被冒充主机host b的网络临时瘫痪，以免对攻击造成干扰；
②然后毗连到目标机host a的某个端口来推测ISN初始值和增长规律；
③接下来把源址址伪装成被冒充主机host b，发送带有SYN标志的数据段哀求毗连；
④然后期待目标机host a发送SYN+ACK包给已经瘫痪的主机host b；
⑤末了再次伪装成主机host b向目标主机host a发送ACK确认标志，此时发送的数据段带有猜测的目标机的ISN+1；
⑥毗连创建，发送下令哀求。

·IP诱骗的防范：固然IP诱骗攻击有着相称难度，但这种攻击非常广泛，入侵每每由这里开始。防备这种攻击可以删除UNIX中全部的/etc/hosts.equiv、SHOME/.rhosts文件，修改/etc/inetd.conf文件，使得RPC机制无法应用。别的，还可以通过设置防火墙过滤来自外部而信源地点却是内部IP的报文。
9.5.4 端口扫描

端口扫描是入侵者搜集信息的几种常用伎俩之一，通过扫描端口可以判定目标主机上开放了哪些服务以及判定主机的操纵体系。
1. 端口扫描原理
端口扫描就是实行与目标主机的某些端口创建毗连，假如目标主机该端口有复兴（见三次握手中的第二次），则阐明该端口开放，即为“活动端口”。
2. 端口扫描原理分类
（1）全TCP毗连。这种扫描方法使用三次握手，与目标盘算机创建标准的TCP毗连。
（2）半打开式扫描（SYN扫描）。扫描主机自动向目标盘算机的指定端口发送SYN数据段，体现发送创建毗连哀求。若目标主机回应SYN=1，ACK=1，则阐明该端口是活动的，否则为非活动的。
（3）FIN扫描。依靠发送FIN来判定目标盘算机的指定端口是否是活动的。
发送一个FIN=1的TCP报文到一个关闭的端口时，该报文会被丢掉，并返回一个RST报文。假如当FIN报文到一个活动的端口时，该报文只是被简单的丢掉，不会返回任何回应。
这种扫描不涉及任何TCP毗连部分。因此，这种扫描比前两种都安全，可以称之为秘密扫描。
（4）第三方扫描。第三方扫描又称“署理扫描”，这种扫描是使用第三方主机（安全防御系数极低的个人盘算机）来代替入侵者举行扫描。
9.5.5 强化TCP/IP堆栈以反抗拒绝服务攻击

针对TCP/IP堆栈的攻击方式有多种范例，下面分别先容攻击原理及反抗方法。
1. 同步包风暴（SYN Flooding）
使用TCP协议缺陷发送大量伪造的TCP毗连哀求，使得被攻击者资源耗尽。对于三次握手，举行了两次，不举行第三次握手，毗连队列处于期待状态，大量如许的期待，会占满全队伍列空间，使得体系挂起。可以通过修改注册表防御SYN Flooding攻击。
2. ICMP攻击
ICMP协议本身的特点决定了它非常轻易被用于攻击网络上的路由器和主机。比如，前面提到的“Ping of Death”攻击就是使用操纵体系规定的ICMP数据包的最大尺寸不高出64KB这一规定，到达使TCP/IP堆栈瓦解、主机死机的结果。可以通过修改注册表防御ICMP攻击。
3. SNMP攻击
SNMP还能被用于控制这些装备和产物，重定向通讯流，改变通讯数据包的优先级，以致断开通讯毗连。总之，入侵者假如具备相应本领，就能完全接受你的网络。可以通过修改注册表项防御。
9.5.6 体系弊端扫描

体系弊端扫描指对紧张盘算机信息体系举行查抄，发现此中大概被黑客使用的弊端。包罗基于网络的弊端扫描（通过网络长途扫描主机）、基于主机的弊端扫描（在目标体系安装了署理扫描）。
9.6 信息安全的保障体系与评估方法

9.6.1 盘算机信息体系安全掩护品级

《盘算机信息体系安全掩护品级分别准则》（GB17859—999）标准规定了盘算机体系安全掩护本领的五个品级：
（1）第1级 用户自主掩护级：本级的盘算机信息体系可信盘算基通过隔离用户与数据，使用户具备自主安全掩护的本领。实行的是自主访问控制。
（2）第2级 体系审计掩护级：本级的盘算机信息体系可信盘算基（Trusted Computing Base）实行了粒度更细的自主访问控制，它通过登录规程、审计安全性干系变乱和隔离资源，使用户对本身的举动负责。在自主访问控制的底子上控制访问权限扩散。
（3）第3级 安全标志掩护级：本级的盘算机信息体系可信盘算基具有体系审计掩护级全部功能。别的，还提供有关安全计谋模子、数据标志以及主体对客体陵暴访问控制的非情势化形貌；具有准确地标志输出信息的本领；消除通过测试发现的任何错误。重要特性是盘算机信息体系可信盘算基对全部主体及其所控制的客体（比方：进程、文件、段、装备）实行陵暴访问控制。
（4）第4级 结构化掩护级：本级的盘算机信息体系可信盘算基创建于一个明白界说的情势化安全计谋模子之上，它要求将第三级体系中的自主和陵暴访问控制扩展到全部主体与客体。别的，还要思量潜伏通道。对外部主体可以大概直接或间接访问的全部资源（比方：主体、存储客体和输入输出资源）实行陵暴访问控制。
（5）第5级 访问验证掩护级：本级的盘算机信息体系可信盘算基满足访问监控器需求。访问监控器仲裁主体对客体的全部访问。访问监控器本身是抗篡改的；必须富足小，可以大概分析和测试。与第四级相比，自主访问控制机制根据用户指定方式或默认方式，克制非授权用户访问客体。访问控制的粒度是单个用户。访问控制可以大概为每个定名客体指定定名用户和用户组，并规定他们对客体的访问模式。没有存取权的用户只答应由授权用户指定对客体的访问权。
9.6.2 安全风险管理

信息体系的安全风险，是指由于体系存在的脆弱性，人为或自然的威胁导致安全变乱发生所造成的影响。在风险评估实行前，应该思量：（1）确定风险评估的范围；（2）确定风险评估的目标；（3）创建恰当的构造结构；（4）创建体系性的风险评估方法；（5）得到最高管理者对风险评估策划的答应。
风险评估的根本要素为脆弱性、资产、威胁、风险和安全步伐，与这些要素干系的属性分别为业务战略、资产代价、安全需求、安全变乱和残余风险，这些也是风险评估要素的一部分。
风险盘算模子包罗信息资产、缺点/脆弱性、威胁等关键要素。每个要素有各自的属性，信息资产的属性是资产代价，缺点的属性是缺点被威胁使用后对资产带来的影响的严肃水平，威胁的属性是威胁发生的大概性。风险盘算的过程如下。
（1）对信息资产举行辨认，并对资产赋值。
（2）对威胁举行分析，并对威胁发生的大概性赋值。
（3）辨认信息资产的脆弱性，并对缺点的严肃水平赋值。
（4）根据威胁和脆弱性盘算安全变乱发生的大概性。
（5）团结信息资产的紧张性和发生安全变乱的大概性，盘算信息资产的风险值。