信息安全技术及应用 系统安全防护技术

一、安全扫描技术

1.1 安全扫描技术概念

1、安全扫描技术指手工或使用特定的软件工具(安全扫描器)，对系统脆弱性进行评估，寻找可能对系统造成损害的安全漏洞。

2、安全扫描技术分为系统扫描和网络扫描两大类。
（1）系统扫描：侧重于主机系统的平台安全性及基于此平台应用系统的安全。扫描器与待查系统处于同一结点，进行自身检查。
（2）网络扫描：侧重于系统提供的网络应用和服务及相关的协议分析。扫描器与待查系统处于不同结点，通过网络远程探测目标结点，寻找安全漏洞。

3、安全扫描的目的：通过特定的手段和方法发现系统或网络存在的隐患，及时修补漏洞或利用漏洞攻击敌方。

4、安全扫描技术可以有效地提高安全性：
（1）提前告警存在的漏洞，从而预防入侵和误用。
（2）检查系统中由于入侵或误操作产生的新漏洞。

1.2 安全扫描技术分析

1、扫描器工作流程：
（1）发现目标主机或网络。
（2）发现目标后，进一步发现目标系统类型及配置等信息，包括确认目标主机操作系统类型、运行的服务及服务软件版本等。如果目标是一个网络，还可以进一步发现该网络的拓扑结构、路由设置及网络主机等。
（3）测试哪些服务具有安全漏洞。

2、端口扫描技术：
（1）根据扫描方法不同，端口扫描技术可分为：全开扫描、半开扫描、秘密扫描和区段扫描。
（2）这几种扫描方法都可以用来查找服务器打开的端口，从而发现服务器对外开放的服务。
（3）能否成功还受限于远程目标网络的拓扑结构、IDS、日志机制等配置。

3、全开扫描：
（1）通过与目标主机建立标准的TCP连接(3次握手)，检查目标主机相应端口是否打开。
（2）优点：快速、准确、不需要特殊权限。
（3）缺点：很容易被检测到。

4、半开扫描：(SYN扫描)
（1）“半开”含义：client端在TCP三次握手尚未完成就单方面终止连接过程。
（2）由于完整连接尚未建立，通常不会被server方记录下来。同时也可避开部分IDS的监测。

5、秘密扫描：
（1）秘密扫描意指可以避开IDS和系统日志记录的扫描。满足要求的扫描技术有很多，以SYN|ACK扫描为例说明。
（2）SYN|ACK扫描省掉了三次握手的第一步，直接发送SYN|ACK包到server端，根据server 的应答推测端口是否打开。

6、系统类型测试技术：
（1）由于许多安全漏洞都与操作系统密切相关，所以探测系统类型对于攻击者很重要。
（2）攻击者先收集目标系统的信息并存储，当某一系统的新漏洞被发现，就可在存储的信息中查找，并对匹配的系统进行攻击。
（3）检测系统类型主要有三种方法：系统旗标、DNS信息、TCP/IP堆栈指纹。

7、系统旗标：利用系统服务给出的信息，如：telnet、ftp、www、mail等。最简单的检测方法就是直接登录该系统提供的服务。

8、DNS信息：主机信息有时可能通过DNS记录泄露。

9、TCP/IP堆栈指纹：操作系统在实现TCP/IP协议时的一些特有的实现特征，处在系统底层，修改困难。

二、病毒防治技术

2.1 病毒的概念与起源

1、具有传染和破坏的特征，与生物医学上的”病毒”在很多方面都很相似，习惯上将这些“具有特殊功能的