网络安全论述题

猪宅山里针不戳

于 2024-06-04 20:53:23 发布

阅读量1.8k

点赞数 26

文章标签：网络安全

本文链接：https://blog.csdn.net/q138511/article/details/139453610

版权

1.软件安全

2.云计算
了解云计算面临的安全威胁
云计算的4种模式有：设施即服务（IaaS）、数据即服务（DaaS）、平台即服务（PaaS）和软件即服务（SaaS），四种服务模式各自可能遭到的攻击如下：

在IaaS模式下
针对虚拟机管理器VMM，通过VMM中驻留的恶意代码发动攻击；
通过VM之间的共享资源与隐藏通道发动攻击，以窃取机密数据；
通过VM的镜像备份来发动攻击，分析VM镜像窃取数据；
通过VM迁移，把VM迁移到自己掌控的服务器，再对VM发动攻击。
在PaaS模式下
攻击者通过共享资源、隐匿的数据通道，盗取同一个PaaS服务器中其他PaaS服务进程中的数据，或针对这些进程发动攻击；
进程在PaaS服务器之间进程迁移时，也会被攻击者攻击。
在DaaS模式下
攻击者可以通过其掌握的服务器，直接窃取用户机密数据；
也可以通过索引服务，把用户的数据定位到自己掌握的服务器再窃取；
可能受到上述两类攻击。
在SaaS模式下
除了上述3种模式中可能存在的攻击，
由于SaaS模式可能存在于Web服务器的攻击位置，攻击者也可能针对SaaS的Web服务器发动攻击。

了解云计算安全相关解决方案
数据安全解决方案
对于云计算中的数据存储安全问题，一个最有效的解决方案就是对数据采取加密的方式存储。在云环境下的加密方式可以分为两种：
一种是采用对象存储加密的方式；另一种是采用卷标存储加密的方式。
对象存储加密

云计算环境中，对象存储系统是一个文件/对象库。为了实现数据的存储加密，可配置系统默认对所有数据进行加密。
但若该对象存储系统是一个共享资源，单个用户还需要采用“虚拟私有存储”的技术进一步提高个人私有数据存储的安全
卷标存储加密
对实际的物理卷标数据进行加密，由加密后的物理卷标虚拟出来的用户卷标则不加密。
采用特殊的加密代理设备，这些加密代理设备一般也是云计算环境中的虚拟设备，通过串行的方式来实现计算实例与物理存储设备之间透明的数据加解密。
云服务器解决方案
为保障云服务器的安全，云服务器中也需安装病毒防护系统，并及时升级系统补丁，但与传统服务器不同的是，在云服务器中应用的病毒防护系统和补丁系统要也相应地进行升级以适应新的环境。
虚拟化安全解决方案
通过可信度量机制保障虚拟机的动态完整性；
通过可信报告机制实现不同虚拟环境的可信互通；
通过可信存储机制保障数据迁移、存储和访问控制的解决方案。
数据传输安全解决方案
在信息的传输过程中实施端到端的传输加密，可以采用协议安全套接层或传输层安全协议
在云终端与云服务器、云应用服务器之间基于SSL协议实现数据传输加密。
在某些安全级别要求高的应用场景，还应该尽可能地采用同态加密机制。

3.大数据
了解大数据面临的安全威胁
大数据面临的信息安全问题主要集中在隐私泄露、外界攻击及数据存储三个方面：
隐私泄露的风险大幅度增加
事实证明，在大数据技术的背景下，由于大量数据的汇集使得其用户隐私泄露的风险逐渐增大，而用户的隐私数据被泄露后，其人身安全也有可能受到一些影响，但是，当前互联网管理实践中并没有针对隐私信息保护制定合理的标准，也就是并没有界定其隐私数据的所有权和使用权，尤其是进行很多大数据分析工作时并没有对个人隐私问题加以考虑。
黑客的攻击意图更加明显
在互联网中，可以说大数据模式下的数据是更容易被攻击的，因为大数据中包含着大量的数据，而在数据较多且复杂的背景下，黑客可以更容易地检测其存在的漏洞并进行攻击，而随着数据量的增大，会吸引更多潜在的攻击者，黑客攻击成功之后也会通过突破口获取更多的数据，从而可以在一定程度上降低攻击成本，并获得更多的收益。因此，很多黑客都喜欢攻击大数据技术下的数据。
存在数据安全的先天不足
大数据存储的模式也会给数据安全防护带来一些新的问题。由于大数据技术是将数据进行集中后存储在一起的，就有可能出现将某些生产数据放在经营数据存储位置中的这类情况，致使企业的安全受到一定的影响。此外，大数据技术的模式还会对安全控制的措施产生一定的影响，主要表现为安全防护手段的更新升级速度跟不上数据量非线性增长的步伐，因而暴露了大数据安全防护的漏洞。
对云服务安全造成影响
可以说，云服务和大数据服务是共同发展起来的，云服务在实际运行过程中也很有可能面临着大数据所遭遇的问题，因此，在云服务处理和存储数据的过程中同样存在着无法预测的风险。鉴于云端的大数据对于犯罪分子往往具有更大的吸引力，从而引来更多的攻击，因此必须使用安全性高的云来为企业服务。
了解大数据安全的相关解决方案
保障大数据安全可以采取的措施包括以下几种：

对数据进行标记
大数据类型繁多、数量庞大的特性直接导致了大数据较低的价值密度，而对大数据进行分类标识，有助于从海量数据中筛选出有价值的数据，既能保证其安全性，又能实现大数据的快速运算，是一种简单易行的安全保障措施。
设置用户权限
分布式系统架构应用在具有超大数据集的应用程序上时，可以对用户访问权限进行设置：首先对用户群进行划分，为不同的用户群赋予不同的最大访问权限；然后再对用户群中的具体用户进行权限设置，实现细粒度划分，不允许任何用户超过其所在用户群的最大权限。
强化加密系统
为保证大数据传输的安全性，需要对数据进行加密处理：对要上传的数据流，需要通过加密系统进行加密；对要下载的数据，同样要经过对应的解密系统才能查看。为此，需要在客户端和服务端分别设置一个对应的文件加/解密系统处理传输数据，同时为了增强安全性，应将密钥与加密数据分开存放，方法可借鉴Linux系统中的shadow文件（该文件实现了口令信息和账户信息的分离，在账户信息库中的口令字段只用一个“x”作为标示，不再存放口令信息）。
区块链安全
哪些安全问题
算法实现安全
由于区块链大量应用了各种密码学技术，属于算法高度密集工程，在实现上比较容易出现问题。历史上有过此类先例，比如NSA对RSA算法实现埋入缺陷，使其能够轻松破解别人的加密信息。之前就发生过由于比特币随机数产生器出现问题所导致的比特币被盗事件，理论上，在签名过程中两次使用同一个随机数，就能推导出私钥。
共识机制安全
当前的区块链技术中已经出现了多种共识算法机制，最常见的有PoW、PoS、DPos。但这些共识机制是否能实现并保障真正的安全，需要更严格的证明和时间的考验。
区块链使用安全
区块链技术一大特点就是不可逆、不可伪造，但前提是私钥是安全的。私钥是用户生成并保管的，理论上没有第三方参与。私钥一旦丢失，便无法对账户的资产做任何操作。一旦被黑客拿到，就能转移数字货币。
系统设计安全
像Mt.Gox平台由于在业务设计上存在单点故障，所以其系统容易遭受DoS攻击。目前区块链是去中心化的，而交易所是中心化的。中心化的交易所，除了要防止技术盗窃外，还得管理好人，防止人为盗窃。
应对措施

针对算法实现安全性：一方面选择采用、新的、本身经得起考验的密码技术，如国密公钥算法SM2等。另一方面对核心算法代码进行严格、完整测试的同时进行源码混淆，增加黑客逆向攻击的难度和成本。
针对共识算法安全性：PoW中使用防ASIC杂凑函数，使用更有效的共识算法和策略。
针对使用安全性：对私钥的生成、存储进行保护，敏感数据加密存储。
针对设计安全性：一方面要保证设计的功能尽量完善，如采用私钥白盒签名技术，防止病毒、木马在系统运行过程中提取私钥；设计私钥泄露追踪功能，尽可能减少私钥泄露后的损失。另一方面，应对某些关键业务设计去中心化，防止单点故障攻击。

多媒体安全
安卓安全
因为http协议是明文传输的，所以上面的用户名和密码也是明文在网络中传输的，在传输过程中的任何一个环节，攻击者都可以直接看到明文数据。当然现在很多系统都不传输和保存明文账号密码，通常会采取MD5值传输和存储，之前比较出名的CSDN数据库泄漏，就是因为密码是明文保存，黑客可以方便的拿去撞库，加重了事件的严重性。近几年MD5破解能力提高，例如黑客看到库中一个密码数量比较多，就可以尝试去爆破，加上也可以直接用密码的MD5值去撞库，所以现在通常生成MD5值时都需要加盐，例如MD5(name+pwd)作为密码存储，同样的密码生成的值是不一样的，在一定程度上提高了安全性。
攻击不一定需要用户名密码，或许可以直接打token和uid的主意。通过上图可以看到，通过上图可以看到，一旦用户登录后，服务器就通过token来标识身份。如果这个token被黑客劫持了，他就可以冒充你的身份进行攻击，如果token机制设计不合理，攻击者甚至可以直接暴力去撞token。大部分网站的机制也类似，服务器通过一个sessionId标识用户，攻击者一旦拿到这个sessionId，就可以去冒充一个合法用户。
1、混淆策略
2、应用的签名
3、修改Native函数名
4、反调试异常检测
5、应用的加固策略
网络空间主动防御
主动防御的方法
主动防御主要是对整个计算机系统进行实时监控，能快速捕获网络流量的变化，对程序行为进行分析，禁止一切可疑行为，从而达到保护计算机系统安全的目的。同时主动防御系统也会收集可疑行为的连接计算机的方式（潜在入侵行为）以及其它有用信息（了解入侵者的信息等）。用户可以通过该信息利用一些“攻击”手段来对抗入侵者，使其入侵难以进行。
主动防御和被动防御的区别
前者可以提前防范威胁，将潜在的威胁扼杀在摇篮里，后者是计算机在被入侵后被动的采取安全措施。举个简单的例子，对于大部分杀毒软件（以下简称杀软）而言，只能被动的查杀已知病毒。这里的被动的是指，先有新病毒，然后杀软安全厂商提取病毒的特征码后录入到自家的杀软数据库中，最后用户使用杀软对计算机进行查杀病毒。而主动防御是主动捕获流量的变化和程序行为，并对此分析，如果有疑似病毒行为的操作则立刻通知用户进行处理，进而达到将威胁扼杀到摇篮里的目的。
主动防御技术
数据加密
访问控制
权限设置
漏洞扫描技术(网络安全扫描技术)
蜜罐技术
审计追踪技术
入侵防护技术（布防的新型入侵检测技术）（IPS）
防火墙与入侵检测联动技术
主动防御的作用
让入侵者的入侵速度变慢或入侵脱轨，使其无法继续入侵或者完成入侵行动，从而增加入侵者犯错的概率并暴露其存在（IP地址）或暴露他们的入侵媒介
增加入侵者攻击的成本和时间。
不仅能检测和阻止互联网中（外部威胁）的入侵者对局域网的入侵行为，还能检测局域网中（内部威胁）的攻击行为，包括勒索软件，勒索和加密劫持等。
收集取证入侵者犯罪行为。
向入侵者发动反击。
人工智能
人工智能与安全的关系是相互作用，相互影响。信息网络安全是人工智能广泛应用的基本保障，没有数据，没有信息，没有安全，就没法来讨论人工智能。另一方面，人工智能方法可以用于网络安全隐患的检测和网络安全机制的建立、优化和分析。
人工智能给安全带来了很多的挑战，基于机器学习和深度搜索的人工智能方法会提升攻击网络和信息安全的能力，对全天候跟踪网络行为获取的大数据进行人工智能分析，有可能自动检测出运行网络出现物理异常和安全性低下的时段与内外部环境，从而可以制定更有效的攻击机制和策略。人工智能方法对网络安全的挑战将会增加网络安全的保障成本。

人工智能+是给安全的很大威胁。深度搜索向宽度搜索、广度搜索扩展，威胁基于通用知识的安全保障机制。机器学习从蛮力型、普适型向知识型延伸，这将威胁基于专业知识的安全机制。万物互联使全局安全受制于局部安全，巴黎城门失火，可以殃及天府池鱼。
5G云端：虚拟现实、穿越时空，数据传输、价值转移、网络攻击都有可能在0秒内完成。还有很多的物理手段，比如说卫星定位、雷达跟踪、声波探测、视频监控，我们一言一行尽在数据中。还有非计算智能，超越人类智能的生物感知、动物智能是否可以用来为虎添翼。有很多动物智能很强，比如狗的嗅觉比人强，狗的嗅觉可以智能化放到机器上，那么它们感知能力就会比我们强很多。
人工智能对于安全的挑战，给安全发展带来机遇。我们要重新审视、分析蛮力型、普适型安全机制的安全性和可靠性，建立基于元智能的高智型安全机制，并构建复合型多重安全保障体系，保证安全攸关信息网络的绝对安全。
网络的安全威胁将会随着网络使用力的加大而加大。对于网络实施多方位、智能化协同攻击会变得越来越容易。深度群体智能密码分析会提出对密码的攻击能力。比如说我们的计算可以通过网络，可以在一亿部手机上实现简单的操作，这项能力，强度会比以前大很多。网络设施建设将会继续，网络安全性将会不断提高，但是我们需要教育，需要自律、法律加强与完善网络安全。