【系统分析师之路】系统分析师必知必会（系统安全分析与设计）

【系统分析师之路】系统分析师必知必会（系统安全分析与设计）

安全

一. 安全体系

1. 系统安全分类

• 实体安全，运行安全（风险管理，审计跟踪，备份恢复，应急）信息安全（操作系统，数据库，网络，病毒防护，访问控制，数据加密认证）

2. 安全保护等级

1. 用户自主保护级
2. 系统审计保护级
3. 安全标记保护级
4. 结构化保护级
5. 访问验证保护级

3. 系统安全体系结构

1）物理安全

• 比如机房安全

2）系统安全

• 漏洞补丁管理属于系统安全

3）网络安全

• 入侵检测属于网络安全

4）应用安全

• 数据库安全则是应用安全

5）管理安全

4. 系统安全保障体系

1. 建立统一身份验证体系
2. 统一安全管理体系（硬件网络集中管控，安全制度）
3. 安全保密体系（技术方案，保密制度）
4. 网络边界防护体系

二. 数据安全

1. 数据本身的安全

• 主要是指采用现代密码算法对数据进行主动保护，如数据保密，数据完整性，双向强身份验证。

2. 数据防护的安全

• 主要是采用现代信息存储手段，对数据进行主动防护，如通过磁盘阵列，数据备份，异地容灾，等手段保证数据的安全。

三. 数据加密技术

1. 经典的对称加密算法

1. IDEA，DES，3DEA，RC-5，FEAL，RC-4，Blowfish，AES等。
2. 三重DES加密使用2个密钥对明文进行3次加密，其密钥长度为112位。 IDEA是128位；
3. 对称密码算法加解密效率比非对称算法高很多，因此常用于对大量的数据进行加密。
4. DES加密算法中，密钥的长度是56位。
5. 对称加密算法中，由于加密解密都使用同样的密钥，所以密钥需要进行共享，故也被称共享密钥算法。

2. 经典的非对称加密算法

1. RSA，ESIGN，ECC（移动设备用）、Diffie-Hellman、El Gamal、DSA（数字签名用）。
2. 背包算法、Rabin、D-H，ECC，Elgamal
3. Diffie-Hellman是一种密钥交换算法。

3. 经典报文摘要算法

1. MD5和SHA-1。除此以外还有HMAC也是摘要算法。
2. MD5，SHA算法的散列值分别为128和160位。 由于SHA通常采用的密钥长度较长，因此安全性高于MD5

四. 认证技术

1. 数字签名

1. 数字签名（Digital Signature）技术是不对称加密算法的典型应用.
2. 数字签名主要的功能是：保证信息传输的完整性、发送者的身份认证(接收者的身份无法确认)、防止交易中的抵赖发生。
3. 用CA的公钥可验证数字证书的有效性。
4. 数字证书中，既不可能包含CA的私钥，也不可能包含A 的私钥

2. 数字证书

1. 它是在公钥体系之上提出来的，数字证书包含了公钥体系的公钥和其他信息。
2. 数字证书解决了公钥体系中身份伪造（公钥体系的第一步是发送者需要取得受信者的公钥，如果没有数字证书，发信者无法确认某个公钥就是真实受信者的）问题；
3. 数字证书把公钥给封装了起来，再加上一些公证机构的签名信息，这样数字证书被发布之后，证书中的公钥所属身份就可以验证了。
4. 用户A从CA处获取了用户B的数字证书，用户A通过CA的公钥就可以确认该数字证书的有效性。

3. X.509证书

1. 是一些标准字段的结合，这些字段包含了有关用户或设备及相应的公钥信息。
2. 它包含了证书版本，证书序列号，签名算法标示，证书有效期，证书发行商名字，证书主题名，主题公钥信息，发布者的数字签名；
3. 证书里面没有私钥，SSL，PGP和HTTPS都支持X.509认证。

五. 密钥管理和CA认证中心

1. PKI公共密钥基础设施

• 是CA安全认证体系的基础，由认证中心，证书库密钥备份及恢复系统，证书作废处理系统及客户端证书处理系统五大系统组成。

2. PKI的作用包括

• 认证，机密性，完整性，抗抵赖性。
  PKI主要借助数字签名技术，数字签名能确认两点：

1. 信息是由签名者发送的
2. 信息自签到收到为止，没做任何修改；

3. 密钥加密原理

1. 发送者将原文用Hash函数生成128位摘要，在用自己的私钥对摘要加密，形成数字签名，把加密后的数字签名附加在要发送的原文后面。
2. 公钥加密算法过程是发送方A先用自己的私钥签名报文得到DA（P），再用接收方B的公钥加密得到EA（DA（P））；接收方B收到以后，先用自己的私钥解密得到DA（P），再用发送方A的公钥认证，最后得到报文P。同时接收方保存一份经过A签名的消息DA（P）作为防止A抵赖的依据。
   认证中心CA是电子商务体系中的核心环节，是电子交易中信赖的基础，认证中心作为权威，可信赖，公正的第三方机构，专门负责发放并管理所有参与网上交易的实体所需的数字证书。
3. CA主要的功能就是证书的发放，证书更新，证书撤销，证书验证。
   要想验证从CA处获得的证书的有效性，通过CA的公钥可以确认该证书的有效性，因为用户的数字证书中包含了CA签名（CA私钥加密）。
4. 私钥用于解密和签名，而公钥用于加密和验证签名。
5. 用户乙收到甲数字签名后的消息M，为验证消息的真实性，首先需要从CA获取用户甲的数字证书，该数字证书中包含甲的公钥，并利用CA的公钥验证该证书的真伪，然后利用甲的公钥验证M的真实性。

六.网络安全

• 防火墙，入侵检测，反病毒。
• 防火墙采用的机制，如果采用代理机制，则防火墙具有内部信息隐藏的特点。

1. 应用网关型防火墙

1. 部署在局域网内，通过代理技术参与到一个TCP连接的全过程。
2. 从内部发出的数据包经过这样的防火墙处理以后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部网结构的作用。
3. 它的核心技术就是代理服务器技术。是最安全的防火墙。内外网计算机不能直接建立TCP连接。
4. 工作效率越低，同时安全性越高

2. 包过滤性防火墙

1. 工作在网络层和传输层，通过过滤规则来确定数据包是否可以通过。
2. 防火墙把网络划分为几个不同的区域，一般把对外提供网络服务的设备放置于DMZ非军事区，非安全系统与安全系统之间的缓冲区，该区域位于企业内部网络和外部网络之间。
3. 工作效率越高，同时安全性越低。

3. 防火墙的局限性

1. 关闭有用但是有隐患的服务，给用户带来了不便；
2. 只能防止外部队内部的攻击，对于网络内部发生的攻击事件，无能为力；
3. 不能防范不经过防火墙的攻击；
4. 带来传输延迟，瓶颈和单点失效；
5. 不能完全防止受病毒感染文件传输；

4.入侵检测

• 目的在于提供实时的入侵检测及采取相应的防护手段，它的能力要点在于能够对付来自内部的攻击。

1）常用的检测方法

1. 特征检测
   对已知的攻击或入侵方式做出确定性的描述，形成相应的事件模式。它准确率较高，但对于无经验的入侵与攻击行为无能为力。
2. 统计检测
   常用于异常检测，统计模型中常用的检测参数包括：审计事件的数量，间隔时间，资源消耗的情况。
3. 专家系统
   依赖于知识库对入侵进行检测，入侵的特征抽取与表达，是入侵检测专家系统的关键。有效性完全取决于专家系统知识库的完备性。

2）入侵检测产品

1. 基于网络的入侵检测

• 能够检测到来自网络的攻击和超过授权的非法访问。不需要改变服务器等主机的配置，不会影响业务性能，发生故障时不会影响正常业务的运行，部署风险比主机入侵检测系统少，安装方便，网络性能和透明度好。

2. 基于主机的入侵检测

• 可提供更详细的信息，误报率比NIDS要低，可部署到不需要广泛入侵检测或网络带宽较低的系统。

3）发展方向

• 分布式入侵检测，智能化入侵检测，全面的安全防御方案。

5. 公共入侵检测框架

• 它一般包括了事件产生器，事件分析器，事件数据库和响应单元。入侵检测系统的构成不包括预警单元。
• 英文缩写Common Intrusion Detection Framework,CIDF

1）事件产生器

1. 收集数据，将数据转化为事件
2. 向系统的其他模块提供与事件有关的信息。
3. 英文缩写Eventgenerators，E-boxes
4. 用来响应事件源，是整个架构的入口。

2）事件分析器

1. 分析事件
2. 事件分析器负责接收事件信息并对其进行分析，判断是否为入侵行为或异常现象
3. 分析方法有以下三种：模式匹配，统计分析，数据完整性分析。

1. 模式匹配

1. 将收集到的信息与已知的网络入侵数据库进行比较，从而发现违背安全策略的行为。

2. 统计分析

1. 首先给系统对象（例如用户、文件、目录和设备等）建立正常使用时的特征文件（Profile)，这些特征值将被用来与网络中发生的行为进行比较。
2. 当观察值超出正常值范围时，就认为有可能发生入侵行为。

3. 数据完整性分析

• 主要关注文件或系统对象的属性是否被修改，这种方法往往用于事后的审计分析。

3）事件数据库

1. 存放有关事件的各种中间结果和最终数据；
2. 可以是面向对象的数据库，也可以是一个文本文件。
3. 英文缩写：EventDatabases，D-boxes

4）响应单元

1. 根据报警信息作出各种反应，包括断网，改变文件属性，发出提示，引起操作人员注意。
2. 产生事件或反应，它是整个架构的出口。
3. 英文缩写：Response units，R-boxes

6. 病毒防护

1）文件型病毒

• 感染可执行文件（包括EXE和COM文件）。

2）引导型病毒

• 影响磁盘的引导扇区。或者影响软盘的引导扇区。

3）宏病毒

• 感染使用某些程序创建的文本文档。数据库，电子表格等文件。Melissa (梅丽莎）病毒是一种宏病毒。

4）目录型病毒

• 修改磁盘上存储的所有文件地址（可用磁盘检测工具，发现文件地址链接错误）。

5）冲击波病毒

• 是一种蠕虫病毒，利用Windows的RPC漏洞进行传播
• 2000年出现的“罗密欧与朱丽叶”病毒也是一个非常典型的蠕虫病毒。

七. VPN

• 使用隧道作为传输的通道，这个隧道是建立在公共网络或专用网络基础之上。实现VPN的关键技术包括有

1. 安全隧道技术

1. 在公共网建立一条数据通道，让数据包通过这条隧道传输。

2. 密钥管理技术

1. 解决如何在公共数据网上安全的传递密钥而不被盗取。

3. 身份认证技术

1. 最常用的是使用者名称与密码或卡片式认证等；

4. 访问控制技术

1. 根据预定义组的用户标示，来限制用户对网络资源的访问控制。

• 实现VPN的主要协议有：L2F，PPTP，L2TP，VTP，IPSec等，如果需要在传输层构建VPN，可选的协议是TLS；基于SSL并与之相似，主要目标是在两个正在通信的应用程序之间提供保密性和数据完整性。

八. 安全协议

1. IPSec

1. 是网络层的安全协议，TLS，SSL，SSH，Socks是传输层安全协议；
2. L2TP和PPTP是数据链路层的安全协议。
3. IPSec安全协议是针对IPv4和IPv6的，它是IPv6的组成部分，也是IPv4的可选扩展协议。
4. IPSec的主要特征是可以支持IP级所有流量的加密与认证，增加所有分布式通用的安全性。
5. IPSec是在IP层（网络层）提供安全服务。

2. SSL

1. SSL在应用层和传输层之间提供安全的通道，用于在internet上传送机密的文件。
2. SSL被用来在客户机和服务器真正传输应用层数之前建立安全机制。
3. SSL主要提供三方面的服务：用户和服务器合法性认证，加密数据以隐藏被传送的数据，保护数据的完整性，客户机和服务器交换双方认可的密码发生在密码交换阶段。

3. IEEE 802.1x

• IEEE 802.1x是一种MAC地址认证协议。认证通过以后，正常的数据可以顺利地通过以太网端口。

4. PGP

1. PGP基于RSA公钥加密体系的邮件加密软件，可以用它对邮件保密以防止非授权者阅读。
2. 它还能对邮件加上数字签名，从而使收信人可以确信邮件发送者。
3. PGP的密钥管理综合了以下的算法：对称加密算法IDEA，非对称加密算法RSA，单项散列算法MD5，随机数产生器。
4. PGP还可以用于文件存储加密。PGP承认两种不同的证书格式：PGP证书和X.509证书。

5. HTTPS

1. HTTPS协议。就是Http的安全版。
2. 应用SSL作为HTTP应用层子层，默认端口是443。

6. SET

1. SET是电子安全交易协议。
2. 基于信用卡进行电子化交易的应用提供了实现安全措施的规则。

九.单点登录

1. Kerberos使用的是对称密钥，而PKI使用的是非对称密钥。
2. kerberos协议是一种网络身份认证协议。
3. Kerberos使用一种对称密钥加密算法来实现。
4. 通过可信的第三方密钥分发中心的身份来认证系统。
5. 报文中加入了时间戳，以防止重放攻击。

十. 网络攻击

层次	网络攻击
数据链路层	MAC地址欺骗攻击，ARP欺骗
网络层	IP地址欺骗，ICMP攻击，RIP路由欺骗
传输层	TCP初始化序号预测，TCP端口扫描，TCP会话劫持，RST，FIN攻击
应用层	电子邮件攻击，DNS欺骗，缓冲区溢出攻击

1. 木马是远程控制的工具，一般利用TCPIP协议，采用C/S架构，分为了控制端和服务端，具有隐秘性和非授权性等特点。
2. DOS攻击服务器充斥大量的回复信息，消耗网络带宽和系统资源，导致系统瘫痪。
3. DDOS是分布式拒绝服务攻击，借助客户端服务器技术，将多台计算机联合起来作为攻击平台，对一个或多个目标发动DOS，成倍的提高拒绝攻击的威力。但防病毒软件不能有效的抵御DDOS攻击。

十一. 访问控制

1. 定义

• 保证系统资源不被非法使用和访问。访问控制三要素：主体，客体和控制策略。

2. 控制策略包括

• 登陆访问控制，操作权限控制，目录安全控制，属性安全控制和服务器安全控制。

1）登陆访问控制

1. 登陆访问控制为系统访问提供了第一层访问控制
2. 它控制哪些用户能够登陆系统并获取资源，控制用户准许进入时间和具体工作站点。

2）操作权限控制

1. 是针对可能出现的非法操作而采取的安全保护措施。
2. 用户和用户组被赋予一定的操作权限，系统管理员可以设置用户组的具体权限。

3）目录安全控制

1. 目录安全允许用户在目录一级的操作对目录中的所有文件和子目录都有效。
2. 用户还可以进一步自行设置对子目录和文件的权限。

4）属性安全控制策略

1. 属性安全控制策略允许将设定的访问属性与服务器的文件、目录和设备联系起来。
2. 系统资源都应预先标出一组安全属性，用户对资源的操作权限对应一张访问控制表，属性安全控制级别高于用户操作权限设置级别

5）服务器安全控制策略

1. 系统允许在服务器控制台上执行一系列操作。
2. 用户通过控制台可以加载和卸载系统模块，可以安装和删除软件。
3. 系统应该提供服务器登陆限制，非法访问者检测等功能。

3. 访问控制分类

1）自主访问控制

1. 这是目前信息系统中实现最多的访问控制机制，是在确认主体身份以及它们所属组的基础上，对访问进行限定的一种方法。
2. 其基本思想是允许某个主体显式地指定其他主体对该主体所拥有的资源是否可以访问，以及可执行的访问类型。

2）强制访问控制

1. 其基本思想是每个主体都有既定的安全属性，每个客体也都有既定的安全属性，主体对客体是否能够执行特定的操作取决于两者安全属性之间的关系。

3）基于角色的访问控制

1. 由于其对角色和层次化管理的引进，特别适用于用户数量庞大，系统功能不断扩展的大型系统。
2. 基于角色的访问控制，在用户和访问许可权之间引入了角色的概念，用户与特定的一个或多个角色相联系，角色与一个或多个访问许可权相联系

4）基于任务的访问控制

1. 该机制从应用和企业层角度来解决安全问题。
2. 它采用面向任务的观点，从任务的角度来建立安全模型和实现安全机制，在任务处理的过程中提供动态实时的安全管理。
3. 其访问权限控制并不是静止不变的，而是随着执行任务的上下文环境发生变化，是一种动态安全模型。

5）基于对象的访问控制

1. 控制策略和控制规则是基于对象访问控制的核心。
2. 在基于对象访问控制模型中，将访问控制与受控对象及其属性相关联，并将访问控制选项设计成为用户，组或角色及其对应权限的集合。
3. 同时，允许对策略和规则进行复用，继承和派生操作。
4. 这种方式对信息量巨大，信息内容更新变化频繁的管理信息系统非常有益，可以减轻由于信息资源的派生，演化和重组带来的分配和设定角色权限等的工作量。

十二. 安全访问措施

1. 安全审计定义

• 包括识别，记录，存储，分析与安全相关的信息，审计记录用于检查与安全相关的活动和负责人。

2. 安全审计作用

1. 发现计算机的滥用情况
2. 检测对系统的入侵
3. 提供系统运行的日志，从而能发现系统入侵行为和潜在的漏洞。

十三. 网络安全防范体系原则

1. 网络信息安全的木桶原则
2. 网络信息安全的整体性原则：安全防火机制能发现和制止各种攻击，尽快恢复减少破坏程度。
3. 安全性评价和平衡原则
   建立合理的实用安全性与用户需求评价与平衡体系。
4. 标准化与一致性原则
   爱安全体系的设计必须遵循一系列一致的标准。
5. 技术与管理相结合的原则
   安全技术与运行管理机制，人员思想教育与技术培训，安全规章制度的建设。
6. 统筹规划分布实施原则
   安全防护不可能一步到位
7. 等级性原则
   安全层次，安全级别
8. 动态发展原则
   需要根据网络安全的变化不断调整安全措施。
9. 易操作性原则
   操作简单，不能影响系统的正常运行。

十四. 其他

1. ISO7498-2涉及五种安全服务：鉴别服务，访问控制，数据完整性，数据保密性，抗抵赖性。
2. 数字信封功能类似于普通的信封，采用密码技术保证只有规定的接受人才能阅读信息的内容。基本原理是将原文用对称密钥加密传输，而将对称密钥用对方的公钥加密并发送给对方，对方收到电子信封后只要用自己的私钥就可以解密信封，并取出对称密钥解密得到原文。
3. 单向Hash函数：输入一个长度不固定的字符串，返回一串长度固定的字符串（128位），又称为Hash值。
4. 金融领域安全性需求：验证（系统相关角色的识别），签名，授权（是否具备审批权，操作权），完整性（发送接收数据是否一致），机密性（无关人员不能知情），审查（事务记录），不可抵赖，威胁预防（防止间谍持续登录，攻击系统）。
5. 为了弥补WEP的安全缺陷，WPA安全认证方案中新增的机制是临时密钥完整性协议。

十五.电子商务安全

1. 对电子商务活动安全性的要求

1）服务的有效性要求
2）交易信息的保密性要求
3）数据完整性要求
4）身份认证要求

2. 电子商务的主要安全性要素

1）信息真实性有效性
2）信息机密性
3）信息完整性
4）信息可靠性，可鉴别性，不可抵赖性

十六. 安全性分析

1. 安全关键系统

1. 安全关键系统是指系统功能一旦失效将引起生命，财产等重大损失以及环境可能遭到严重破坏的系统。
2. 如战斗机的航空电子系统，火控雷达系统等。

2. 安全性分析概念

• 用于检查系统或设备在每种使用模式中的工作状态，确定潜在的危险，预计这些危险对人员伤害或对设备损坏的严重性和可能性，并确定消除或减少危险的方法，以便能够在事故发生之前消除或尽量减少事故发生的可能性或降低事故有害影响的程度。

3. 安全性分析方法

• 最经常使用的有故障模式影响及危害性分析(FMECA)、故障树分析(FTA)、事件树分析(ETA)、故障危险分析(FHA)、潜通电路分析(SCA)等。

4. 安全关键系统的关键技术

1. 实时调度是安全关键系统的关键技术。实时调度一般分为动态和静态两种。
2. 其中，静态调度是指在离线情况下计算出的任务的可调度性，静态调度必须保证所有任务的时限、资源、优先级和同步的需求。