计算机安全概述.ppt

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,计算机安全,虞闯,沈阳理工大学计算机科学与工程学院,1,理解安全与不安全概念,讨论：举例说明什么是不安全？,安全：没有危险；不受威胁；不出事故；没有损失；,计算机系统是由计算机及相关配套的设备、设施（含网络）构成的，并按应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。,2,不安全的,典型案例病毒与网络蠕虫,1986年初在巴基斯坦，巴锡特(Basit）和阿姆杰德(Amjad）两兄弟编写的Pakistan病毒（即Brain）,1988年11月，美国康乃尔大学的学生Morris编制的名为蠕虫计算机病毒，造成经济损失约1亿美元,美丽杀手 1999年，经济损失超过12亿美元!,爱虫病毒 2000年5月，损失超过100亿美元以上,红色代码 2001年7月，直接经济损失超过26亿美元,2001年9月，尼姆达蠕虫，约5.9亿美元的损失,2003年1月25日，“2003蠕虫王”，对网络上的SQL数据库攻击,2003年8月12日“冲击波”爆发,3,典型案例计算机犯罪,1996年7月9日，北京市海淀区法院。原告：北大心理学系93级研究生 薛燕戈。被告：同班、同寝室、同乡张男。4月9日1.8万美元全奖/4月12日10:16冒名邮件。经调解赔偿精神与经济损失12000元。结局：薛燕戈 赴美成行（密执安大学）。张 男 “梦断北京”（丹佛大学）,1998年6月24日上海证卷交易所某营业部发现有人委托交易1亿股上海建工股票，却找不到营业部有任何人委托此笔交易，当即撤消此笔交易，但是已经成交2100股，损失2.6亿元,1998年9月21日晚，郝景文（扬州市工商行职员），通过假冒终端在11分钟内向16个活期帐户充值72万元。随后恢复线路的正常连接，并在1小时内从8个储蓄所提取26万元，心虚逃窜，现已缉拿归案，判处死刑。,4,2006年病毒排行之首熊猫烧香,5,网络钓鱼(Phishing),假银行：如假中国银行域名www.bank-off-，真www.bank-of-；假中国工商银行，真,学历查询假网站,假中华慈善总会骗印度洋海啸捐款,假网上订票,假免费赠送QQ币,典型案例网络欺诈,6,安全需求(属性）,可靠性（Realibility),可用性（Availability）,保密性（Confidentiality）,完整性（Integrity,）,可控性（,Controllability）,不可抵赖性（Nonrepudiation）,问责性（Accountability）,9,可靠性（Reliability),指信息系统能够在规定条件下和规定的时间内完成规定的功能的特性。度量指标：,抗毁性,指系统在人为破坏下的可靠性,生存性,随机破坏下系统的可靠性,有效性,是基于业务性能的可靠性,10,可用性（Availability),指信息可被授权实体访问并按需求使用的特性，是系统面向用户的安全性能。一般用系统正常使用时间和整个工作时间之比来度量,。,【拒绝攻击服务】（denial of service DoS):阻止对资源的授权访问或者推迟时间关键的操作。,11,机密性(Confidentiality),也称保密性,，,指信息不被泄露给非授权的用户、实体或过程，或供其利用的特性。机密性是在可靠性和可用性基础上，保障信息安全的重要手段。,12,完整性(Integrity),指网络信息未经授权不能进行改变的特性，既信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。,13,不可抵赖性(Non-repudiation),指在信息交互过程中，确信参与者的真实同一性，既所有参与者都不可能否认或抵赖曾经完成的操作和承诺。,分为：发送方不可否认和递送方不可否认。(也有接受方不可否认。),14,可控性（,Controllability）,指对合法用户根据其权限限制其不同的对数据的操作范围，同时对非法用户进行监视、审计，对信息的使用、传播有控制力。使信息和信息系统时刻处于合法所有者或使用者的有效控制之下。,15,问责性（Accountability）,审计信息有选择地保存和保护，以便影响安全的行为可以被追溯到责任方。,16,17,其他安全需求,可审查性,真实性,认证,访问控制,不同的系统关注不同的需求（即不同的安全属性），如用户关注隐私，网警关注可控；有的系统要求不可否认（电子交易），有的要求可否认（匿名BBS）。,18,计算机系统安全涉及的内容,物理安全：环境安全、设备安全、媒体安全,运行安全：风险分析、审计跟踪、备份与恢复、应急响应,信息安全：操作系统安全、数据库安全、网络安全、病毒防护、访问控制、加密与鉴别,19,20,安全问题,时间,高级入侵者,发现新漏洞,原始的探询,漏洞的工具,被分发,初级入侵者使,用原始工具,开发出自动的,扫描,/,探询工具,自动扫描,/,探询工,具被广泛使用,入侵者开始使用,新的探询工具,系统,弱点,21,安全问题(续),1.应用中的安全威胁,所有的软件都存在漏洞。比如常用的操作系统Windows或者UNIX及其他各种应用软件：各种WWW服务器、浏览器、FTP服务器、邮件服务器等；一些安全产品，如防火墙、VPN等都存在大量安全漏洞。,2.设计中的问题,Internet网络协议的安全机制存在先天不足，另外协议还具有许多安全漏洞。,22,安全问题(续),3.配置中的问题,默认的用户名、口令和开放的服务端口。由于维护人员没有审核这些设置、限制这些用户的权限、更改默认的口令，以及关闭不必要的服务端口等，往往会被攻击者利用，造成网络瘫痪或机密被窃取。,4.管理中的问题,网络系统的严格管理是企业、机构及用户免受攻击的重要保障。计算机安全很大程度上取决于优秀的管理人员，任何安全产品和安全设施都需要管理人员的维护、跟踪和审核。,23,安全问题的表现形式,病毒（包括蠕虫）的扩散,垃圾邮件的泛滥,网页数据的篡改,不良信息的传播,黒客行为,计算机犯罪,24,安全威胁,安全威胁,对安全的潜在的侵害,攻击,威胁的实施,安全策略,允许什么，不允许什么的陈述,安全机制,实现安全策略的方法，工具，过程,25,安全威胁,安全威胁的种类,主要表现：信息泄露、拒绝服务、信息破坏。,威胁来自多个方面。自然和人为两类。,自然因素包括各种自然灾害,人为因素又有无意和故意之分。,26,安全威胁(续),（1）从威胁的来源看可分为内部威胁和外部威胁。,（2）从攻击者的行为上看可以分成主动威胁和被动威胁,（3）从威胁的动机上看分为偶发性威胁与故意性威胁,27,网络存在的安全威胁,28,威胁的表现形式,（1）假冒,（2）未授权访问,（3）拒绝服务（DoS）,（4）否认（抵赖）,（5）窃听,（6）篡改,（7）复制与重放（重演）,29,威胁的表现形式(续),（8）业务流量、流向分析,（9）隐蔽信道,（10）人为失误,（11）自然灾害与人为破坏,（12）逻辑炸弹,（13）后门（陷门）,（14）恶意代码,（15）不良信息,30,缺陷和漏洞的存在,软件实现缺陷,操作系统缺陷,协议缺陷,用户使用缺陷,31,32,33,信息系统脆弱性,系统脆弱性指系统 硬件资源 软件 资源 信息资源 等，因可预见或不可预 见甚至恶意的原因，可能导致系统受到 破坏、更改、泄露和功能失效，从而使 系统处于异常状态，甚至导致崩溃、瘫 痪的 根源和 起因。,34,主要的脆弱性,硬件系统,操作系统,网络协议,软件实现,用户使用,35,安全威胁,安全威胁（threat）是对信息资产（属于某个组织的有价值的信息或资 源）引起不期望事件而造成 损害的潜 在可能性。,36,威胁分类,信息安全的基本目标是实现信息和信息 系统的真实、机密、可用和可控。,信息泄露 机密性破坏,完整性破坏 真实性破坏,拒绝服务 可用性破坏,非法使用 可控性破坏,37,基本攻击类型,截获,/,侦听,中断,篡改,假冒,/,伪造,非授权访问,/,非法使用,38,39,40,41,42,各种攻击所针对的安全属性,截获,/,侦听 机密性,篡改 完整性,中断 可用性,假冒与伪造 可用性,/,可审查性,非授权访问,/,非法使用 可控性,43,保证信息安全关键技术,1）,如何保证机密性,信息加密,信息隐藏,业务流填充,2）如何保证完整性,完整性检查（验证）与鉴别,数字签名,44,3,）,如何保证可用性,授权与访问控制,防火墙技术,入侵检测技术,漏洞扫描技术,身份认证技术,访问控制技术,权限管理与审计,反病毒技术,45,4）如何保证不可否认性,数字签名,身份认证,安全审计,5）如何保证可控性,授权与访问控制,安全评估,安全管理,46,6）对技术）/机制的支撑,安全协议,安全基础设施,47,48,2006年度中国大陆地区电脑病毒疫情&互联网安全报告,2006年新增病毒数量狂增，以窃取用户帐号密码等个人虚拟财产信息的病毒占到总病毒数量的71.47。还出现了首个勒索病毒,49,2006年度中国大陆地区电脑病毒疫情&互联网安全报告,黑客团伙对抗杀毒软件，从“暗偷”转为“明抢”,编写病毒攻击网站植入病毒用户感染（机器被黑客控制，构成僵尸网络Botnet）窃取用户资料在网上出售,50,2006年度中国大陆地区电脑病毒疫情&互联网安全报告,流氓软件得到控制 部分从良、部分转变为纯粹病毒,51,2006年度中国大陆地区电脑病毒疫情&互联网安全报告,2006年十大病毒排行（瑞星提供）,1、熊猫烧香（Worm.Nimaya),2、威金蠕虫（Worm.Viking）,3、代理木马下载器（Trojan.DL.Agent）,4、传奇终结者（Trojan.PSW.Lmir）,5、征途木马（Trojan.PSW.Zhengtu）,6、QQ通行证（Trojan.PSW.QQPass）,7、威尔佐夫（Worm.Mail.Warezov）,8、调用门Rootkit（Rootkit.CallGate）,9、灰鸽子后门（Backdoor.Gpigeon）,10、魔兽木马（Trojan.PSW.WoWar）,52,赛门铁克公司第10期互联网安全威胁报告,根据今年上半年监测的数据,中国拥有的 僵尸网络 电脑数目最多,全世界共有470万台,而中国就占到了近20%.,53,54,提出未来515年以下15个领域发展的重点技术。,（九）网络和信息安全技术 重点发展安全处理芯片和系统级芯片、安全操作系统、安全数据库、信息隐藏、身份认证、安全隔离、信息内容安全、入侵检测、网络容灾、病毒防范等产品。,重点技术：密码技术 安全处理芯片技术 电子认证、责任认定、授权管理技术 计算环境和终端安全处理技术 网络和通信边界安全技术 应急响应和灾难恢复技术 信息安全测评技术,信息产业科技发展“十一五”规划和2020年中长期规划纲要,55,四、我国信息化发展的战略重点,（八）建设国家信息安全保障体系,20062020年国家信息化发展战略,20062020年国家信息化发展战略,信息安全问题仍比较突出。在全球范围内，计算机病毒、网络攻击、垃圾邮件、系统漏洞、网络窃密、虚假有害信息和网络违法犯罪等问题日渐突出，如应对不当，可能会给我国经济社会发展和国家安全带来不利影响。,56,思考题,计算机系统安全对于不同的观察者来说，具有不同的侧重点。从以下观察者的角度说明他们对关心的安全问题是什么：个人用户、企业用户、网络管理员、安全保密部门和国家行政部门、网络警察,57,