信息安全技术

信息安全包括5个基本要素：机密性、完整性、可用性、可控性与可审查性。

1. 机密性：确保信息不暴露给未授权的实体或进程。
2. 完整性：只有得到允许的人才能修改数据，且能够判别出数据是否已被篡改。
3. 可用性：得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者的工作。
4. 可控性：可以控制授权范围内的信息流向及行为方式。
5. 可审查性：对出现的信息安全问题提供调查的依据和手段。

信息安全的范围包括：设备安全、数据安全、内容安全和行为安全。

1. 信息系统设备的安全是信息系统安全的首要问题，是信息系统安全的物质基础，它包括三个方面：设备的稳定性、可靠性、可用性。
2. 数据安全即采取措施确保数据免受未授权的泄露、篡改和毁坏，包括三个方面：数据的秘密性、完整性、可用性。
3. 内容安全是信息安全在政治、法律、道德层次上的要求，包括三个方面：信息内容政治上健康、符合国家法律法规、符合道德规范。
4. 信息系统的服务功能是指最终通过行为提供给用户，确保信息系统的行为安全，才能最终确保系统的信息安全。行为安全的特性包括：行为的秘密性、完整性、可控性。

信息的存储安全包括信息使用的安全、系统安全监控、计算机病毒防治、数据的加密和防止非法的攻击等。

1. 信息使用的安全，包括用户的标识与验证、用户存取权限限制。
2. 系统安全监控，系统必须建立一套安全监控系统，全面监控系统的活动，并随时检查系统的使用情况，一旦有非法入侵者进入系统，能及时发现并采取相应措施，确定和填补安全及保密的漏洞，还应当建立完善的审计系统和日志管理系统，利用日志和审计功能对系统进行安全监控。
3. 计算机网络服务器必须加装网络病毒自动检测系统，以保护网络系统的安全，防范计算机病毒的侵袭，并且必须定期更新网络病毒检测系统。

网络安全隐患体现在：物理安全性、软件安全漏洞、不兼容使用安全漏洞、选择合适的安全哲理。

网络安全威胁包括：非授权的访问、信息泄露或丢失、破坏数据完整性、拒绝服务攻击、利用网络传播病毒。

安全措施的目标是访问控制、认证、完整性、审计和保密。技术体系从实现技术上来看，信息安全系统涉及基础安全设备、计算机网络安全、操作系统安全、数据库安全、终端设备安全等多方面技术。

1. 基础安全设备包括密码芯片、加密卡、身份识别卡等，此外还涵盖运用到物理安全的物理环境保障技术，建筑物、机房条件及硬件设备条件满足信息系统的机械防护安全，通过对电力供应设备以及信息系统组件的抗电磁干扰和电磁泄漏性能的选择性措施达到相应的安全目的。
2. 计算机网络安全指信息在网络传输过程中的安全防范，用于防止和监控未经授权破坏、更改和盗取数据的行为。通常涉及物理隔离、火墙及访问控制、加密传输、认证、数字签名、摘要、隧道及VPN技术、病毒防范及上网行为管理、安全审计等实现技术。
3. 操作系统安全是指操作系统的无错误配置、无漏洞、无后门、无特洛伊木马等，能防止非法用户对计算机资源的非法存取，一般用来表达对操作系统的安全需求。操作系统的安全机制包括标识与鉴别机制、访问控制机制、最小特权管理、可信通路机制、运行保障机制、存储保护机制、文件保护机制、安全审计机制等。
4. 数据库安全可粗略划分为数据库管理系统安全和数据库应用系统安全两个部分，主要涉及物理数据库的完整性、逻辑数据库的完整性、元素安全性、可审计性、访问控制、身份认证、可用性、推理控制、多级保护以及消除隐通道等相关技术。
5. 终端安全设备从电信网终端设备的角度分为电话密码机、传真密码机、异步数据密码机等。

加密和解密技术

基本概念

• 信源：消息的发送者。
• 信宿：消息的接收者或目的地。
• 明文：未加密的消息。
• 密文：经过加密后的消息。
• 信道：消息传输的通道。
• 密钥：加密或解密消息时使用的参数。
• 加密算法：将明文转换为密文的过程。
• 解密算法：将密文恢复为明文的过程，是加密算法的逆运算。

密码体制

对称算法（Symmetric Algorithm）

有时也被称为传统密码算法，其特点是加密密钥和解密密钥相同，因此也被称作秘密密钥算法或单密钥算法。对数据的加密和解密的密钥(密码)是相同的，属于不公开密钥加密算法。其缺点是加密强度不高(因为只有一个密钥)，且密钥分发困难(因为密钥还需要传输给接收方，也要考虑保密性等问题)。

优点

• 算法实现效率高，速度快。由于加密和解密使用相同的密钥，因此在加密和解密过程中不需要额外的步骤来区分密钥，这使得整个过程更加高效和快速。

缺点

• 密钥管理复杂。随着用户数量的增加，密钥管理变得越来越复杂。每个用户需要与其他用户共享和管理一个唯一的密钥，这在大规模系统中可能会导致密钥数量急剧增加，从而增加管理的难度和风险。

常见的对称密钥加密算法

• DES（Data Encryption Standard，数据加密标准）是由 IBM 公司研制的一种分组加密算法，美国国家标准局于 1977 年将其作为非机要部门使用的标准。DES 以 64 位为分组对数据进行加密，同时其密钥长度为 56 位（其中第 8 位用于奇偶校验），密钥可以任意 56 位的数，并且可以随时更改。其安全性主要依赖于密钥的保密性。

• IDEA（International Data Encryption Algorithm，国际数据加密算法）由于 IDEA 使用的密钥长度为 128 位，远大于 DES 的 56 位，因此使用穷举法破解 IDEA 的难度非常高。

• 3DES：三重 DES，使用两个 56 位密钥 K1、K2。加密过程为 K1 加密 -> K2 解密 -> K1 加密。解密过程为 K1 解密 -> K2 加密 -> K1 解密。

• AES：是美国联邦政府采用的一种区块加密标准，这个标准用来替代原先的 DES。对其的要求是“至少像 3DES 一样安全”。

• RC-5：RSA 数据安全公司的很多产品都使用了 RC-5。

非对称密码体制

又称为公钥密码体制，加密密钥与解密密钥不同且不能在有效时间内相互推导。主要优点是可以方便地分发密钥，不需要安全的通信管道来交换密钥。典型算法为 RSA。非对称技术的原理是：发送者发送数据时，使用接收者的公钥作加密密钥，私钥作解密密钥，这样只有接收者才能解密密文得到明文。安全性更高，因为无需传输密钥。但无法保证完整性。

与对称密码体制的对比

• 与对称密码体制不同，非对称密码体制使用两个不同的密钥：一个称为私钥（Private Key），一个称为公钥（Public Key）。
• 私钥需要保密，只由拥有者自己保管。
• 公钥则可以公开，不需要保密。

工作方式

• 公开公钥：任何人都可以将自己的公钥公开在网络或其他可以公开的地方。其他人可以使用这个公钥来加密信息。
• 加密信息：当某人想要向接收者发送信息时，使用接收者的公开公钥将信息加密，然后将加密后的信息发送给接收者。
• 解密信息：接收者收到加密信息后，使用自己私钥来解密信息。只有使用正确的私钥才能成功解密信息。

优点

• 密钥管理简单：由于公钥可以公开，因此发送方和接收方不需要通过安全的秘密管道交换密钥。这大大简化了密钥的管理过程。
• 安全性更高：即使公钥被公开，由于私钥保密且无法通过公钥轻易推导出来，因此可以有效防止信息被未经授权的第三方解密。 常见的非对称加密算法如下： RSA：512位（或1024位）密钥，计算机量极大，难破解。 Elgamal、ECC（椭圆曲线算法）、背包算法、Rabin、D-H等。

RSA密码体制

定义

• RSA密码体制是一种非对称密码加密算法。非对称密码是指加密和解密使用不同的密钥。
  • 具体而言，RSA使用一对密钥：一个公开的密钥（公钥）和一个私有的密钥（私钥）。
  • 通过使用这两个不同的密钥，RSA不仅可以进行数据加密，还可以用于数字签名。

安全性依赖

• RSA的安全性基于大素数分解。
  • 这意味着RSA的公钥和私钥都是两个大素数（每个素数的十进制位数通常大于100）的函数。
  • 大素数分解是指将一个非常大的整数分解为其素数因子的过程。这个过程在数学上被认为是极其困难的，尤其是在素数非常大的情况下。
  • 因此，攻击者即使得到了公钥，也无法通过它推导出私钥，从而破解加密的信息。换句话说，攻击者需要解决的是将两个大素数相乘得到的数进行分解的问题，这个过程在现代计算能力下几乎是不可能完成的。

具体工作原理

• 公钥可以被广泛传播和公开，因为它不需要保密。
• 私钥必须保密，因为它用于解密由公钥加密的信息。
• 当某人想要向接收者发送加密信息时，该发送者使用接收者的公钥对信息进行加密。
• 接收者收到加密的信息后，使用自己的私钥将其解密。
• 这样，信息在传输过程中得到了保护，而发送者和接收者之间不需要先交换任何密钥。 相比较可知，对称加密算法密钥一般只有56位，因此加密过程简单，适合加密大数据，也因此加密强度不高；而非对称加密算法密钥有1024位，相应的解密计算量庞大，难以破解，却不适合加密大数据，一般用来加密对称算法的密钥，这样，就将两个技术组合使用了，这也正是数字信封的原理。 数字信封原理：信是对称加密的密钥，数字信封就是对此密钥进行非对称加密，具体过程：发送方将数据用对称密钥加密传输，而将对称密钥用接收方公钥加密发送给对方。接收方收到数字信封，用自己的私钥解密信封，取出对称密钥解密得原文。 数字信封运用了对称加密技术和非对称加密技术，本质是使用对称密钥加密数据，非对称密钥加密对称密钥，解决了对称密钥的传输问题。 信息摘要：是一段数据的特征信息，当数据发生了改变，信息摘要也会发生改变，发送方会将数据和信息摘要一起传给接收方，接收方会根据接收到的数据重新生成一个信息摘要，若此摘要和接收到的摘要相同，则说明数据正确。信息摘要是由哈希函数生成的。

数字签名

• 除了用于加密，RSA还可以用于生成和验证数字签名。数字签名可以解决否认、伪造、篡改及冒充等问题。数字签名：唯一标识一个发送方。
• 发送者发送数据时，使用发送者的私钥进行加密，接收者收到数据后，只能使用发送者的公钥进行解密，这样就能唯一确定发送方，这也是数字签名的过程。但无法保证机密性。
• 过程：
  • 发送者使用自己的私钥对数据的散列值（消息摘要）进行签名。
  • 接收者可以通过发送者的公钥来验证这个签名，从而确认信息的完整性和真实性，防止信息被篡改。 信息摘要的特点：不算数据多长，都会产生固定长度的信息摘要；任何不同的输入数据，都会产生不同的信息摘要；单向性，即只能由数据生成信息摘要，不能由信息摘要还原数据。信息摘要算法：SHA-1（安全散列算法，产生160位的输出，安全性更高）。

理解示例

假设Alice想要向Bob发送一个消息：

• Bob公开公钥：Bob将其公钥公开在网络上的某个位置。
• Alice加密消息：Alice使用Bob的公钥将消息加密为密文。
• Alice发送密文：Alice将加密后的消息通过网络发送给Bob。
• Bob解密消息：Bob收到密文后，使用自己的私钥将密文解密为原始消息。

在这一过程中，Alice不需要知道Bob的私钥，Bob也不需要知道Alice的密钥。只要Bob的私钥保密，即使他的公钥公开，Alice发送的信息仍然能够保持安全。

散列函数与数字签名

MD5散列算法

• 特点：不同的内容的报文具有不同的散列码，难以找到相同的散列码；单向性，容易计算出散列码，难以从散列码反推原始报文；报文的散列码无法预知；固定长度的散列码，不管原始报文长度如何。
• 作用：用于检测报文的可靠性，通过比较接收报文的散列码与发送报文的散列码来判断报文是否被篡改。

数字签名与数字水印

数字签名

• 目的：解决否认、伪造、篡改及冒充等问题，确保信息的完整性、真实性和发送者的不可否认性。
• 过程：初始化、签名产生、签名验证三个过程。
• 技术实现：主要采用对称加密技术和非对称加密技术，通过私钥签名和公钥验证来实现。

数字水印

• 定义：在原始数据中嵌入秘密信息来证实数据的所有权。
• 特点：鲁棒性强、安全性高、透明性好。
• 应用场景：版权保护、加指纹、标题与注释、篡改提示、使用控制等。

密钥分配中心与公钥基础设施

密钥分配中心（KDC）

• 功能：自动分配对称密钥，简化密钥管理。
• 工作流程：用户通过KDC获取其他用户的公钥或临时对称密钥，确保安全通信。

数字证书和公钥基础设施（PKI）

• 数字证书：用于建立公钥和持有相应私钥实体之间的关系，作为用户身份确认的证据。数字证书是由可信任的权威机构签署的信息集合。在不同的应用中有不同的证书。如X.509证书必须包含以下信息：

  1. 版本号
  2. 序列号
  3. 签名算法标识符
  4. 认证机构
  5. 有效期限
  6. 主题信息
  7. 认证机构的数字签名
  8. 公钥信息

• PKI：提供公钥的管理服务，包括证书的申请、发布、撤销和更新等。公钥基础设施PKI是以不对称密钥加密技术为基础，以数据机密性、完整性、身份认证和行为不可抵赖性为安全目的，来实施和提供安全服务的基础设施。

  公钥证书主要用于确保公钥及其与用户绑定关系的安全。这是证书所标识的主体的合法公钥。任何用户只要知道签证机构的公钥，就能检查证书签名的合法性。如果检查正确，用户就可以相信该证书的公钥是真实的。

  签证机构CA负责签发证书、管理和撤销证书，是所有注册用户的权威机构。CA在给用户签发证书时加入数字签名，确保证书信息的真实性。任何机构可以用CA的公钥验证该证书的合法性。

访问控制

身份认证技术

• 方法：包括用户名和口令认证、令牌认证、生物识别等。
  • 用户名和口令认证：通过用户知道的信息进行身份验证。
  • 令牌认证：基于用户必须拥有的物体进行身份验证，如IC卡。
  • 生物识别：根据用户的生物特征进行身份验证，如指纹。

访问控制技术

• 类型：入网访问控制、网络权限控制、目录级安全控制、属性安全控制等。

入网访问控制

访问控制是指主体依据某些控制策略或权限对客体及其资源进行不同授权访问。访问控制包含三个要素：

• 主体：对其他实体施加动作
• 客体：接受其他实体访问
• 控制策略：主体对客体的操作行为集和约束条件集

访问控制的实现包括对合法用户进行验证、控制策略的选用与管理，以及对非法用户或越权操作的管理，涵盖认证、控制策略实现和审计三个方面内容。

• 类型：控制谁可以连接到网络。
• 作用：确保只有授权用户或设备才能接入网络，防止未经授权的设备访问网络，以保护内部资源。
• 举例：在公司内部网络中，可以设置入网访问控制，只有经过授权的员工才能通过用户名和密码登录。

网络权限控制

• 类型：控制用户在网络中的权限。
• 作用：保证用户只能访问他们被许可的资源和服务，防止滥用权限。
• 举例：在学校网络中，教师可以访问所有教学资源，而学生只能访问与课程相关的资源，不能访问其他敏感信息。

目录级安全控制

• 类型：控制对特定目录的访问。
• 作用：保护特定文件夹或目录中的数据，防止未经授权的访问。
• 举例：在医院信息系统中，只有医生可以访问病人档案目录，财务人员只能访问账单目录。

属性安全控制

• 类型：控制对文件的特定属性（如可读、可写、可执行等）的访问。
• 作用：保护文件的特定操作权限，防止用户对文件进行未授权的修改、删除或执行。
• 举例：在一个政府的文件管理系统中，可以设置属性安全控制。某些机密文件只能被特定的部门阅读，而不能被修改或执行。

作用

• 通过管理和限制用户对网络资源的访问，防止非法访问和使用的不当操作，从而提高系统安全性。

实现方式

• 通过访问控制表（ACL）来描述用户对资源的访问权限。
  • 类型：一种通过列表形式定义用户或设备访问权限的技术。
  • 作用：允许系统管理员定义明确的访问规则，控制谁可以访问什么资源。
  • 举例：假设在一个办公环境中，可以使用ACL来设置权限。ACL可以列出所有允许访问内部文件服务器的员工，以及他们具体的访问权限（如只读、读写等）。如果某员工尝试修改没有权限修改的文件，系统会根据ACL规则拒绝这一操作。

访问控制的实现技术：

1. 访问控制矩阵（ACM）。是通过矩阵形式表示访问控制规则和授权用户权限的方法。也就是说，对每个主体而言，都拥有对哪些客体的哪些访问权限；而对客体而言，又有哪些主体对他可以实施访问；将这种关联关系加以阐述，就形成了控制矩阵。主体作为行，客体作为列。

2. 访问控制表（ACL）。目前最流行、使用最多的访问控制实现技术。每个客体有一个访问控制表，是系统中每一个有权访问这个客体的主体的信息。这种实现技术实际上是按列保存访问矩阵。

3. 能力表。对应于访问控制表，这种实现技术实际上是按行保存访问矩阵。每个主体有一个能力表，是该主体对系统中每一个客体的访问权限信息。使用能力表实现的访问控制系统可以很方便地查询某一个主体的所有访问权限。

4. 授权关系表。每一行（或者说元组）就是访问矩阵中的一个非空元素，是某一个主体对应于某一个客体的访问权限信息。如果授权关系表按主体排序，查询时就可以得到能力表的效率；如果按客体排序，查询时就可以得到访问控制表的效率。

信息安全的抗攻击技术

密钥生成

• 增大密钥空间
• 选择强钥（复杂的）
• 密钥的随机性（使用随机数）

拒绝服务攻击

• 内部用户：长时间占用系统内存和CPU处理时间，使其他用户无法及时获取资源。
• 外部黑客：占用网络连接，使其他用户无法获取网络服务。

外部用户针对网络连接的拒绝服务攻击模式

• 消耗资源
• 破坏或更改配置信息
• 物理破坏或改变网络部件
• 利用服务程序中的处理错误使服务失效

分布式拒绝服务攻击（DDoS）

• 发展自传统DoS攻击。
• 攻击者侵入并控制一些计算机，同时向特定目标发起拒绝服务攻击。
• 克服了传统DoS受网络资源限制和隐蔽性两大缺点。

拒绝服务攻击的防御方式

1. 加强对数据包的特征识别。
2. 设置防火墙监视本地主机端口使用情况。
3. 统计通信数据量以获取攻击位置和数量信息。
4. 尽可能修正发现的问题和系统漏洞。

ARP欺骗

正常ARP原理

• 主机A广播发送ARP请求分组，主机B收到并解析后返回单播响应分组，告知主机A其MAC地址。
• 主机A建立IP地址和MAC地址映射，如一定时间内不再通信，则清空映射。

ARP欺骗原理

• 主机A收到任何返回的分组信息都会刷新IP地址和MAC地址映射关系。
• 攻击者主机C模拟返回分组格式，构造正确的IP地址和自己的MAC地址映射，导致主机A发送数据到C的MAC地址，数据被监听。

ARP欺骗的防范措施

1. 在Windows XP下输入命令：arp -s gateway-ip gateway-mac 固化ARP表，阻止ARP欺骗。
2. 使用ARP服务器，确保ARP服务器不被黑。
3. 采用双向绑定的方法解决和防止ARP欺骗。
4. 使用ARP防护软件——ARPGuard。

DNS欺骗

• 冒充域名服务器，将查询的IP地址设为攻击者的IP地址，导致用户只能看到攻击者的主页。
• 检测方法：
  1. 被动监听检测：建立请求应答映射表，若一个请求对应多个不同应答包，则怀疑受到DNS欺骗。
  2. 虚假报文探测：向非DNS服务器发送请求包，如果收到应答包，则说明受到攻击。
  3. 交叉检查查询：确认DNS应答包中的IP地址和DNS名字一致性。

IP欺骗

• 原理和流程：

  1. 使被冒充主机hostb的网络瘫痪。
  2. 连接到目标机hosta的端口，猜测ISN基值和增加规律。
  3. 冒充hostb发送SYN数据段请求连接。
  4. 等待hosta发送SYN+ACK给瘫痪的hostb，收不到包。
  5. 再次冒充hostb发送ACK，数据段带有预测的hosta的ISN+1。
  6. 建立连接，发送命令请求。

• 防范措施：

  • 删除UNIX中所有/etc/hosts.equiv、$HOME/.rhosts文件。
  • 修改/etc/inetd.conf文件，使RPC机制无法应用。
  • 设置防火墙过滤外部源地址却声称内部IP的报文。

端口扫描

• 尝试与目标主机的某些端口建立连接，若收到回复则该端口开放，称为“活动端口”。

扫描原理分类

1. 全TCP连接：使用三次握手建立标准TCP连接。
2. 半打开式扫描（SYN扫描）：发送SYN数据段请求连接。
   • 目标主机回应SYN=1ACK=1，端口活动。
   • 目标主机回应RST，端口“死端口”。
3. FIN扫描：发送FIN=1的TCP报文到端口。
   • 关闭端口返回RST，活动端口不返回任何回应。
4. 第三方扫描（代理扫描）：利用第三方主机（“肉鸡”）代替入侵者进行扫描。

强化TCP/IP堆栈以抵御拒绝服务攻击

1. 同步包风暴（SYNFlooding）：发送大量伪造的TCP连接请求，占满连接队列空间。
2. ICMP攻击：利用ICMP数据包最大尺寸不超过64KB的规定，导致TCP/IP堆栈崩溃。
3. SNMP攻击：通过控制设备和产品，重定向通信流，改变数据包优先级，断开通信连接。

系统漏洞扫描

• 检查重要计算机信息系统，发现可能被黑客利用的漏洞。
• 基于网络的漏洞扫描：通过网络远程扫描主机。
• 基于主机的漏洞扫描：在目标系统安装代理扫描。

GB17859—999标准定义的计算机系统安全保护能力五个等级

1. 用户自主保护级：自主访问控制，隔离用户与数据。
2. 系统审计保护级：粒度更细的自主访问控制，审计安全性相关事件和隔离资源。
3. 安全标记保护级：强制访问控制，记录恢复信息，检查程序大小和校验生成日期。
4. 结构化保护级：建立于明确定义的形式化安全策略模型之上，考虑隐蔽通道。
5. 访问验证保护级：满足访问监控器需求，自主访问控制机制阻止非授权用户访问客体。

风险评估

实施前应考虑的因素

1. 确定风险评估的范围。
2. 确定风险评估的目标。
3. 建立适当的组织结构。
4. 建立系统性的风险评估方法。
5. 获得最高管理者对风险评估策划的批准。

基本要素

• 脆弱性
• 资产
• 威胁
• 风险
• 安全措施

相关属性

• 业务战略
• 资产价值
• 安全需求
• 安全事件
• 残余风险

风险计算模型

• 关键要素：信息资产、弱点/脆弱性、威胁。
• 属性：资产价值、弱点被威胁利用后的影响严重程度、威胁发生的可能性。

风险计算过程

1. 识别信息资产并赋值。
2. 分析威胁并赋值可能性。
3. 识别信息资产脆弱性并赋值严重程度。
4. 根据威胁和脆弱性计算安全事件发生可能性。
5. 结合信息资产重要性和发生安全事件可能性，计算风险值。

网络安全技术

防火墙

• 分为网络级防火墙和应用级防火墙。
• 网络级防火墙：层次低，效率高，只检验网络包外在属性。
• 应用级防火墙：层次高，效率低，具体检查数据内容，安全强度高。

入侵检测系统（IDS）Intrusion Detection System

• 位置：位于防火墙之后，作为第二道安全屏障。
• 功能：通过监控和分析网络流量及系统活动， IDS可以识别出潜在的入侵行为。当检测到可疑活动时，它可以记录入侵证据并上报给系统管理员。
• 工作方式：IDS不需要直接位于网络流量路径上，而是挂接在所有需要监控的流量链路上。这样可以实时监控网络中的活动，并在发现异常时采取相应的措施。
• 部署位置：通常部署在尽可能靠近攻击源或受保护资源的位置，以便更有效地监控和检测潜在威胁。

入侵防御系统（IPS）Intrusion Prevention System

• 位置：位于防火墙之前，串联接入网络。
• 定义：入侵防御系统是一种网络安全设备，通常与IDS配合使用，但其功能更进一步，能够在入侵行为发生前主动防御。
• 功能：IPS不仅能够检测入侵行为，还能够在检测到可疑活动时实时阻断这些行为，防止入侵者进一步进入网络。
• 工作方式：IPS串联接入网络，直接监控和分析经过的流量。当检测到入侵行为时，IPS可以立即采取行动阻止攻击，并且可以记录入侵证据以便后续分析。
• 区别于IDS：相比于IDS在入侵发生后记录证据，IPS能够在入侵发生前实时阻断，从而提供更主动的保护。
• 自动化：IPS可以自动切换网络路径，隔离受攻击的流量，确保网络的持续正常运行。

杀毒软件

• 检测和解决计算机病毒。
• 与防火墙和IDS区分。

蜜罐系统

• 伪造蜜罐网络引诱黑客攻击。
• 了解黑客手段与原理，优化安全系统。

安全协议

IPSec协议

• 功能：在IP层提供数据包的安全处理，保护数据源不被伪造、数据不被篡改、数据内容的机密性。
• 实现模式：主要有两种模式，分别是传输模式（加密数据负载而不加密IP头部）和隧道模式（加密整个IP数据报，包括头部和负载）。
• 安全性分析：不仅加密数据，还验证数据的来源和完整性，提供强安全保证。

SSL协议（现在更常称为TLS协议）

• 功能：在传输层提供安全的连接，主要服务于Web应用，确保数据在网络传输过程中的安全。
• 工作过程：首先通过握手协议协商版本、加密算法、是否验证及密钥等信息；握手结束后，客户端与服务器端开始交换应用层数据。
• 安全性分析：防止窃听、中间人攻击、剪贴攻击、重放攻击及短包攻击。

PGP协议

• 定义：一种混合加密系统，专门设计用于保护电子邮件的安全传输。
• 加密过程：使用对称加密算法加密实际的电子邮件内容，然后使用接收方的公钥加密这个对称密钥，只有拥有对应私钥的人才能解密对称密钥，进一步解密电子邮件内容。
• 数字签名：使用Hash函数生成邮件内容的摘要，然后使用发送方的私钥对摘要进行签名，接收方收到签名后，可以使用发送方的公钥验证签名的真实性，并通过比较Hash摘要确认邮件内容是否被篡改。

SSL协议（安全套接字协议）

• 概述：SSL（Secure Sockets Layer）是一种安全传输协议，主要用于保护互联网上的数据传输安全。当SSL与HTTP结合时，我们称之为HTTPS（HTTP Secure），这是一种在互联网环境中保护用户数据隐私的标准方式。
• 功能：
  • 加密数据：SSL通过加密来保护敏感信息（如信用卡号、用户登录信息等），防止数据在传输过程中被第三方窃取。
  • 数据完整性：确保传输的数据没有被篡改。
  • 身份验证：帮助用户验证服务器的身份，防止“中间人攻击”。

端口号为443：HTTPS协议默认使用443端口，通过该端口进行加密的HTTP通信。

SSH协议（安全外壳协议）

• 概述：SSH（Secure Shell）是一种加密网络协议，用于安全地远程控制计算机并进行数据传输。
• 功能：
  • 加密传输：SSH为通过不安全网络（如互联网）传输的命令和数据提供安全保障，确保数据的安全性。
  • 远程登录：管理者可以通过SSH安全地登录到远程系统，执行命令或进行管理任务。
  • 文件传输：SSH还支持在远程设备之间安全地传输文件。

SET协议（安全电子交易协议）

• 概述：SET（Secure Electronic Transaction）是一种用于电子商务的安全协议，旨在保护在线交易的安全。
• 功能：
  • 机密性：确保交易信息（如信用卡信息）在传输过程中不被伪造或泄露。
  • 真实性：确保交易的发起者和接收者的身份得到验证，防止冒充和诈骗。
  • 完整性：确保交易信息在传输过程中保持完整，不被篡改。

Kerberos协议

• 概述：Kerberos是一种网络身份验证协议，旨在确保网络中的通信安全。在大规模网络中，Kerberos被广泛使用于用户身份验证。
• 功能：
  • 基于信任的第三方：Kerberos使用一个中心的认证服务器（称为“Kerberos服务器”）进行用户身份验证，而不依赖于每个单独的服务器。
  • 透明性：用户可以在网络上无缝使用多个服务，而无需为每个服务重复登录。
  • 防止重放攻击：Kerberos使用时间戳和票证机制，确保每次登录都是唯一的，有效防止攻击者重放之前的认证信息来冒充用户。

数据备份

备份类型

• 完全备份：备份全部文件夹，不依赖存档属性。
• 差异备份：备份上一次完全备份后发生变化的文件。
• 增量备份：仅备份上一次备份后变化的文件。
• 按需备份：根据需要选择性备份。

异地备份

• 作用：实现远程业务数据与本地业务数据同步，确保容灾能力。
• 注意事项：杀毒查毒、磁片质量检查、兼容性问题、磁盘性能检查。

自动备份软件

• 自动备份精灵：支持网络和本机自动备份，定时备份，查看备份日志。
• GHOST（Norton Ghost）：硬盘克隆工具，复制硬盘数据，进行系统安装和升级。
• DiskWin：企业级备份软件，自动备份文件，压缩打包上传。

新型备份解决方案

• 网络备份模式：共享磁带设备连接到网络，减少磁带驱动器管理，隔离应用和备份流量。
• 存储网络备份：直接将数据备份到存储网络中的磁盘阵列或其他存储设备。
• 磁带间直接传输备份：利用SCSI的扩展复制命令，在磁带设备间自动复制数据，减少服务器参与。

计算机病毒与免疫

计算机病毒

• 定义：通过修改其他程序，借助使用者权限感染程序。
• 特征：感染性、潜伏性、可触发性、破坏性、人为性、衍生性。
• 分类：
  • 引导区病毒（Boot Sector Virus）：感染计算机引导扇区，每次启动加载内存。
    • 举例：Virus.Win32.Sobig、CIH病毒。
  • 文件感染病毒（File Infector Virus）：感染可执行文件，运行时加载内存。
    • 举例：Virus.Win32.Blaster、Virus.Win32.MyDoom。
  • 宏病毒（Macro Virus）：在文档中运行的代码，通常感染Word或Excel文件。
    • 举例：Concept.A、VBA/Melissa。
  • 特洛伊木马（Trojan/Trojan Horse）：伪装成有用程序或文件，安装后执行恶意代码。
    • 举例：Trojan.Powessoft、Trojan.QQ。
  • 蠕虫病毒（Worm）：自我复制并传播，不需要宿主程序，通过网络漏洞传播。
    • 举例：Worm.ILOVEYOU、Conficker蠕虫病毒。

计算机病毒免疫原理

• 针对特定病毒的免疫：在文件中加入免疫标志，阻止特定病毒传染。
• 基于自我完整性检查：为程序增加免疫外壳，记录恢复信息，检查大小和生成日期。

信息安全管理和评估

安全管理技术

• 目标：确保网络持续正常运行，及时响应和排除故障。
• 内容：安全设备管理、安全策略管理、安全风险控制和安全审计。

安全管理主要解决的问题

1. 集中化的安全策略管理：自上而下制定安全策略，传送并装配到不同执行点。
2. 实时安全监视：企业用户实时了解企业网络的安全状况。
3. 安全联动机制：安全设备之间具备中心控制或无中心控制的安全联动机制。
4. 配置与补丁管理：快速反应已发现的安全缺陷。
5. 统一的权限管理：通过权限管理和身份认证控制网络资源使用和审计。

安全性规章

• 信息系统安全制度：涉及实体安全、网络通信安全、软件与信息安全、管理组织与制度安全、安全技术措施。
• 计算机防毒制度：禁止制作和传播计算机病毒，确保履行防病毒职责。
• 信息安全保障体系
  • 统一的身份认证体系：确保交换双方的身份确认。
  • 统一的信息安全管理体系：集中管理所有信息实体。
  • 规范的信息安全保密体系：提供技术解决方案和管理制度。
  • 完善网络边界防护体系：防止外部对内部网络的攻击。
  • 信息安全立法与组织：通过法律和技术手段保障信息安全。