计算环境安全.pptx

,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,计算环境安全,版本：,4.2,讲师姓名 机构名称,数据安全,课程内容,2,计算环境安全,知识域,知识子域,操作系统安全,恶意代码防护,应用安全,信息收集与系统攻击,知识子域：操作系统安全,操作系统安全机制,了解操作系统标识与鉴别、访问控制、权限管理、信道保护、安全审计、内存存取、文件保护等安全机制；,操作系统安全配置,了解安全补丁、最小化部署、远程访问控制、账户及口令策略、安全审计及其他操作系统配置要点。,3,操作系统安全,操作系统安全目标,标识系统中的用户和进行身份鉴别,依据系统安全策略对用户的操作进行访问控制，防止用户和外来入侵者对计算机资源的非法访问,监督系统运行的安全性,保证系统自身的安全和完整性,实现目标的安全机制,标识与鉴别、访问控制、最小特权管理、信道保护、安全审计、内存存取保护、文件系统保护等,4,标识与鉴别,Windows,系统的标识,安全主体（账户、计算机、服务等）,安全标识符,（,Security Identifier,，,SID,）,安全主体的代表（标识用户、组和计算机账户的唯一编码）,范例：,S-1-5-21-1736401710-1141508419-1540318053-1000,Linux/Unix,系统的标识,安全主体：用户标识号（,User ID,）,5,标识与鉴别,Windows,系统用户信息管理,存储在注册表中，运行期锁定,操作权限,system,，依靠系统服务进行访问,示例：,Windows,密码散列值（,LM-Hash,）,Administrator:500:C8825DB10F2590EAAAD3B435B51404EE:683020925C5D8569C23AA724774CE6CC:,身份鉴别,远程鉴别,SMB,、,LM,、,NTLM,本地鉴别,6,SAM,账户信息库,GINA,LSA,标识与鉴别,Linux,系统用户信息管理,用户帐号文件,(,/etc/passwd,),使用不可逆,DES,算法加密的用户密码散列（早期）,文本格式、全局可读,影子文件,(/etc/shadow),存储存放用户密码散列、密码管理信息等,文本格式，仅对,root,可读可写,7,#root:,$1$acXMce89,:13402:0:99999:7:,密码明文,对明文密码进行加密,对比密文,更换密码明文,访问控制,Windows,的访问控制,访问令牌（,包含,SID,和特权列表,），,以用户身份运行的进程都拥有该令牌的一个拷贝,访问控制列表,(ACL),仅,NTFS,文件系统支持,Linux,下的访问控制,需要文件系统格式支持,权限类型：读、写、执行（,UGO,管理机制,）,权限表示方式：模式位,8,drwxr-xr-x 3 root root 1024 Sep 13 11:58 test,Linux,系统访问控制,-,权限模式,文件,/,目录权限基本概念,权限类型：读、写、执行,权限表示方式：模式位,drwxr-xr-x 3 root,root 1024,Sep 13 11:58 test,文件类型：,d,为文件夹,-,是文件,文件拥有者的权限（,U,）,文件拥有者,所,在组其他用户的权限（,G,）,系,统中其他用户权限（,O,）,链,接数,文件拥有者,UID,文件拥有者,GID,文,件大小,最后修改时间,文件名,权限管理,Windows,系统特权管理,用户帐户控制（,UAC,）,标准受限访问令牌,&,完全访问令牌,Linux,系统特权管理,限制对,root,使用，,su,及,sudo,命令,Suid,位：,任何用户执行文件运行权限都为文件所有者的权限,10,-r-s-x-x 1 root root 10704 Apr 15 2002/usr/bin/passwd,SUID,程序,信道保护,正常信道的保护,可信通路,（,Trusted Path,）,安全键（,SAK,）,隐蔽信道保护,隐蔽信道,指利用系统中那些本来不是用于通信的系统资源绕过强制存取控制进行非法通信的一种机制,发现隐蔽信道,共同访问权限,共同修改权限,接收进程可检资源的改变，而发送进程有权限改变,某种机制可启动通信并改变通信事件的顺序,11,安全审计,对系统中有关安全的活动进行记录、检查以及审核,，,一般是一个独立的过程,Windows,系统的安全审计,Windows,日志（系统、应用程序、安全）,应用程序和服务日志（,IIS,日志等）,Linux,系统的安全审计,连接时间日志,进程统计,错误日志,应用程序日志,12,内存保护与文件系统保护,内存保护,进程间,/,系统进程内存保护,段式保护、页式保护和段页式保护,文件系统保护,机制,访问控制列表,加密,Windows(EFS,、,Bitlocker),Linux(eCryptfs),13,操作系统安全配置,安装,分区设置,安全补丁,&,最新版本,官方或可靠镜像（,Md5,校验）,最小化部署,明确需要的功能和组件，不需要的服务和功能都关闭,远程访问控制,开放端口,远程连接的限制,14,操作系统安全配置,账户策略及密码策略,管理员更名并给予安全的口令,好的口令特点：自己容易记、别人不好猜,密码策略（避免弱口令）,密码必须符合复杂性要求,密码长度最小值,强制密码历史,帐号锁定策略（应对暴力破解）,帐户,锁定时间,帐户,锁定阈值,重置,帐户,锁定计数器,15,密码远程暴力破解,简单但有效的攻击方式,利用人性懒惰的弱点,16,ID:cisp psw:123456,Ok,you can login in,ID:cisp psw:,No,you can not login in,1,12,123,1234,12345,123456,OK,you can login in,No,you can not login in,No,you can not login in,No,you can not login in,No,you can not login in,安全审计,日志设置,日志项、存储空间、访问权限,日志服务器,其他安全设置,安全增强软件（防病毒、主机入侵检测、安全加固软件等）,针对操作系统特性的设置,Windows,关闭共享、自动播放功能,Linux,中默认创建文件权限等,17,知识子域：信息收集与系统攻击,信息收集,理解信息收集的概念及公开渠道信息收集、网络服务信息收集的方式及防御措施。,缓冲区溢出攻击,理解缓冲区溢出的基本概念及危害；,理解缓冲区溢出攻击的技术原理及防御措施。,18,信息收集与情报分析,信息收集的概念,情报学中一个领域,传统的信息收集,案例：著名的照片泄密案,互联网时代的信息收集,信息技术的发展使得数据大量被生产出来,19,信息搜集和分析,收集哪些信息,目标系统的信息系统相关资料,域名、网络拓扑、操作系统、应用软件、相关脆弱性,目标系统的组织相关资料,组织架构及关联组织,地理位置细节,电话号码、邮件等联系方式,近期重大事件,员工简历,其他可能令攻击者感兴趣的任何信息,20,公开信息收集,-,搜索引擎,快速定位,某开源软件,xxxx.jsp,脚本存在漏洞，,Google,搜索,“xxxx.jsp”,可以找到存在此脚本的,Web,网站,信息挖掘,定点采集,Google,搜索“,.doc+website,”挖掘信息,隐藏信息,.mdb,、,.ini,、,.txt,、,.old,、,.bak,、,.001,后台入口,21,信息收集与分析,网络信息收集,正常服务（如,whois,）,系统功能,Ping,tracert,系统及应用信息收集,服务旗标,欢迎信息,端口扫描,TCP/IP,协议指纹识别,22,信息收集与分析的防范,公开信息收集防御,信息展示最小化原则，不必要的信息不要发布,网络信息收集防御,部署网络安全设备（,IDS,、防火墙等）,设置安全设备应对信息收集（阻止,ICMP,）,系统及应用信息收集防御,修改默认配置（旗标、端口等）,减少攻击面,23,严防死守！,系统攻击,-,缓冲区溢出,缓冲区溢出攻击原理,缓冲区溢出攻击利用编写不够严谨的程序，通过向程序的缓冲区写入超过预定长度的数据，造成缓存的溢出，从而破坏程序的堆栈，导致程序执行流程的改变,缓冲区溢出的危害,最大数量的漏洞类型,漏洞危害等级高,24,国家漏洞库（,CNNVD,）,2013,年漏洞统计,缓冲区溢出基础,-,堆栈、指针、寄存器,堆栈概念,一段连续分配的内存空间,堆栈特点,后进先出,堆栈生长方向与内存地址方向相反,指针,指针是指向内存单元的地址,寄存器,暂存指令、数据和位址,ESP,（栈顶）,EBP,（栈底）,EIP,（返回地址）,25,34H,12H,78H,56H,0108H,ESP,栈顶,(AL),(AH),34H,12H,78H,56H,0106H,ESP,栈顶,缓冲区溢出简单示例,程序作用：将用户输入的内容打印在屏幕上,26,Buffer.c,#include,int main(),char name8;,printf(Please input your name:);,gets(name);,printf(you name is:%s!,name);,return 0;,缓冲区溢出示例,27,用户输入内容在,8,位以内时候，程序正常执行,用户输入内容超过,8,位以后，程序执行产生错误,缓冲区溢出简单示例,28,由于返回地址已经被覆盖，函数执行返回地址时会将,覆盖内容当作返回地址，然后试图执行相应地,址的指令，从而产生错误。,当我们全部输入,a,时，错误指令地址为,0 x616161,，,0 x61,是,a,的,ASCII,编码,程序溢出堆栈情况,29,name XXX EIP XXX,cispcisp ,name XXX EIP XXX,aaaaaaaa aaaa aaaa aaaa,堆栈顶部 堆栈底部,内存底部 内存顶部,正常状态下的堆栈,溢出状态下的堆栈,缓冲区溢出攻击过程,如果可精确控制内存跳转地址，就可以执行指定代码，获得权限或破坏系统,30,寻找程序漏洞,编制缓冲区溢出程序,精确控制跳转地址,执行设定的代码,获得系统权限或破坏系统,缓冲区溢出的防范,用户,补丁,防火墙,开发人员,编写安全代码，对输入数据进行验证,使用相对安全的函数,系统,缓冲区不可执行技术,虚拟化技术,31,知识子域：恶意代码防护,恶意代码的预防,了解恶意代码的概念、传播方式及安全策略、减少漏洞和减轻威胁等针对恶意代码的预防措施；,恶意代码的检测分析,理解特征扫描、行为检测的区别及优缺点；,了解静态分析、动态分析的概念及区别。,恶意代码的清除,了解感染引导区、感染文件、独立型和嵌入型恶意代码清除的方式。,基于互联网的恶意代码防护,了解基于互联网的恶意代码防护概念。,32,什么是恶意代码,什么是恶意代码,中华人民共和国计算机信息系统安全保护条例,第二十八条：,“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码,(1994.2.18),恶意代码，是指能够引起计算机故障，破坏计算机数据，影响计算机系统的正常使用的程序代码。,指令,类型：二进制代码、脚本语言、宏语言等,表现形式：,病毒、蠕虫、后门程序、木马、流氓软件、逻辑炸弹等,33,恶意代码传播方式,文件传播,感染,移动介质,网络传播,网页、电子邮件、即时通讯、共享、漏洞,软件部署,逻辑炸弹,预留后门,文件捆绑,34,恶意代码的预防技术,增强安全策略与意识,减少漏洞,补丁管理,主机加固,减轻威胁,防病毒软件,间谍软件检测和删除工具,入侵检测,/,入侵防御系统,防火墙,路由器、应用安全设置等,35,恶意代码检测技术,-,特征码扫描,工作机制：特征匹配,病毒库（恶意代码特征库）,扫描（特征匹配过程）,优势,准确,(,误报率低,),易于管理,不足,效率问题（特征库不断庞大、依赖厂商）,滞后（先有病毒后有特征库，需要持续更新）,36,恶意代码检测技术,-,行为检测,工作机制：基于统计数据,恶意代码行为有哪些,行为符合度,优势,能检测到未知病毒,不足,误报率高,难点：病毒不可判定原则,37,恶意代码分析技术,静态分析,不实际执行恶意代码，直接对二进制代码进行分析,文件特性，如文件形态、版本、存储位置、长度等,文件格式，如,PE,信息、,API,调用等,动态分析,运行恶意代码并使用监控及测试软件分析,本地行为：文件读写、注册表读写等,网络行为：远程访问、调用等,38,恶意代码的清除,感染引导区,修复,/,重建引导区,感染文件,附着型：逆向还原（从正常文件中删除恶意代码）,替换型：备份还原（正常文件替换感染文件）,独立文件,内存退出，删除文件,嵌入型,更新软件或系统,重置系统,39,基于互联网技术的防御,恶意代码监测与预警体系,蜜罐、蜜网,恶意代码云查杀,分布式计算,40,知识子域：应用安全,Web,应用安全,了解,WEB,体系架构；,理解,HTTP,协议工作机制及明文传输数据、弱验证、无状态等安全问题；,理解,SQL,注入攻击的原理及危害；,了解跨站脚本安全问题的原理及危害及其他针对,WEB,的攻击方式；,了解,WEB,防火墙、网页防篡改等常见,Web,安全防护技术作用。,41,应用安全威胁,应用系统的复杂性和多样性,使得,安全问题也呈现出多样化的特点,42,终端用户,应用服务器,数据库服务器,数据库,支撑服务软件,应用软件,应用协议,应用客户端,Web,应用安全,WEB,服务器端安全问题（支撑软件、应用程序）,Web,客户端（浏览器）,Web,协议（,Http,）,43,终端用户,应用服务器,数据库服务器,Web,应用,（,IIS,、,Apache,）,应用传输协议,HTTP,应用客户端,浏览器,（,IE,、,Firefox,）,HTTP,协议,HTTP(,超文本传输协议,),工作机制,请求响应模式,HTTP,请求包含三个部分（,方法,URL,协议,/,版本、请求头部、请求正文,）,HTTP,响应包含三个部分（协议状态代码描叙、响应包头、实体包）,44,HTTP,请求,HTTP,响应,HTTP,协议安全问题,信息泄漏（传输数据明文）,弱验证（会话双方没有严格认证机制）,http1.1,提供,摘要访问认证机制，采用,MD5,将用户名、密码、请求包头等进行封装,，但仍然不提供对实体信息的保护,缺乏状态跟踪（请求响应机制决定,http,是一个无状态协议）,Session,解决方案带来的安全问题,45,Web,服务端软件安全问题,服务支撑软件安全问题,软件自身安全漏洞,例：,IIS 5.0,超长,URL,拒绝服务漏洞,例：,Unicode,解码漏洞,软件配置缺陷,默认账号、口令,不安全的配置,例：,IIS,配置允许远程写入,应用软件安全问题,46,Web,安全防护技术,Web,防火墙,工作在应用层,基本功能,审计并拦截,HTTP,数据流,Web,应用访问控制,Web,应用加固,网页防篡改,监控,Web,服务器上的页面文件，防止被篡改,机制,备份文件对比、摘要文件对比、删改操作触发、系统底层过滤,47,典型注入攻击,-SQL,注入,原理：程序没有对用户输入数据的合法性进行判断，使攻击者可以绕过应用程序限制，构造一段,SQL,语句并传递到数据库中，实现对数据库的操作,示例,48,admin,ABCDEFG!,Select*from table where,user=,admin,and pwd=,ABCDEFG!,;,Select*from table where,user=,admin,and pwd=,123,or,1=1,admin,123,or,1=1,由于密码的输入方式，使得查询语句返回值永远为,True,，因此通过验证！,SQL,注入攻击,可以传递到数据库的数据都是攻击对象,示例,And(update user set passwd=123 where username=admin);-,Select*from,表名,where,字段,=49,And(update user set passwd=123 where username=admin);,49,非法的,SQL,语句被传递到数据库中执行！,SQL,注入的危害,数据库信息收集,数据检索,操作数据库,增加数据,删除数据,更改数据,操作系统,借助数据库某些功能（例如：,SQLServer,的内置存储过程,XP_CMDShell,）,50,SQL,注入的防御,防御的对象：所有外部传入数据,用户的输入,提交的,URL,请求中的参数部分,从,cookie,中得到的数据,其他系统传入的数据,防御的方法,白名单：,限制传递数据的格式,黑名单：过滤,过滤特殊字串：,update,、,insert,、,delete,等,开发时过滤特殊字符：单引号、双引号、斜杠、反斜杠、冒号、空字符等的字符,部署防,SQL,注入系统或脚本,51,针对,Web,应用的攻击,-,跨站脚本,原理,由于程序没有对用户提交的变量中的,HTML,代码进行过滤或转换，使得脚本可被执行，攻击者可以利用用户和服务器之间的信任关系实现恶意攻击,危害,敏感信息泄露、账号劫持、,Cookie,欺骗、拒绝服务、钓鱼等,防范,不允许,HTML,中脚本运行,对所有脚本进行严格过滤,52,针对,WEB,应用的攻击,失效的验证和会话管理,不安全的对象直接引用,跨站请求伪造,不安全的配置管理,不安全的密码存储,错误的访问控制,传输保护不足,未经验证的网址重定向,不恰当的异常处理,拒绝服务攻击,53,知识子域：应用安全,电子邮件安全,理解电子邮件工作机制及,SMTP,、,POP3,协议；,了解电子邮件安全问题及解决方案。,其他互联网应用,了解远程接入、域名系统、即时通讯等其他互联网应用安全问题及解决措施。,54,电子邮件安全,POP3/SMTP,协议工作机制,简单的请求响应模式,安全问题,信息泄漏（用户帐号密码、邮件内容）,身份验证不足（社会工程学攻击、垃圾邮件）,安全解决,服务器端,安全邮件协议,使用,SSL,保护会话,安全策略,客户端,55,其他互联网应用安全,远程接入,域名系统,即时通信,56,知识子域：数据安全,数据库安全,了解数据库安全要求；,掌握数据库安全防护的策略和要求。,数据泄露防护,了解数据泄露防护的概念。,57,数据库安全措施,用户标识与鉴别,授权与访问控制,数据加密,安全审计,58,数据库安全防护,检查、监控、审计,59,数据库安全防护,-,构建深度防御体系,安全机制,标识与鉴别、访问控制、传输加密、审计等,安全策略,密码策略、备份策略等,60,DB,SQL,请求,用户标识,与鉴别,DBMS,存取控制,数据,加密,审计,追踪,各种应用,安全边界,查询引擎,DBMS,选件,事务引擎,数据库安全防护,-,安全特性检查,数据库系统漏洞,数据库配置缺陷,61,知识库,检测引擎,服务扫描,渗透测试,安全审计,漏洞利用,审计报告,检测人员,策略专家,配置,检测策略,扫描数据库服务,外部渗透性测试,进行全面的安全审计扫描,分析审计结果，设计漏洞利用方式,生成一份详细的审计报告,制定检测,策略,从策略库中选择检测策略,数据库安全特性检查,安全配置,补丁,协议（端口、传输协议）,账号,用户名及密码,口令策略,权限,存储过程,触发器,备份,62,数据库安全防护,-,运行监控,入侵检测,数据库审计,63,数据库安全防护,-,安全审计,审计：数据库审计关注的问题,审计对象（对谁进行审计）,标准审计（系统级、用户级）,细粒度审计（对象级）,审计内容（对什么行为进行审计）,访问数据库应用程序、位置及用户信息，包括用户操作、操作日期与时间、操作涉及的相关数据、操作是否成功等,64,数据防泄露,网络安全法中对数据保护的要求,“未经被收集者同意，不得向他人提供个人信息,”,“采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。,”,数据泄露防护应,覆盖可能的数据外泄渠道,，需要关注的问题,什么敏感数据需要发出；,谁会发出敏感数据；,这些数据要发往哪；,使用什么协议、端口等；,违反了哪些安全策略；,违规程度如何。,65,总结,操作系统安全,安全机制,安全部署原则,针对系统的攻击,信息收集,口令破解,缓冲区溢出,应用安全,Web,应用安全,针对,web,的攻击,数据库安全防护,66,邀请您参与讲师考评,67,谢谢，请提问题！,