信息安全概论学习杂记

信息安全概论

信息安全的外延和内涵:
外延:在经济和商业领域，主要强调削弱并控制风险。
内涵:在现代信息系统中，ISO的定义为:在技术和管理上为数据处理系统建立的安全保护，保护信息系统的硬件，软件及相关数据不因偶然或恶意的原因被破坏。

信息安全体系:
1.面向目标的体系:目标主要指CIA这个三元目标组：即机密性，完整性，可用性；而密码学是这三个目标的基础。
2.面向应用的层次型技术体系:保护各信息系统的安全，并将信息系统分为人，信息，系统，将安全分为物理安全，运行安全，数据安全，内容安全，管理安全5个层次。
3.面向过程的信息安全保障体系：将信息安全的保护扩展至保障，不只是之前的被动防御的保护，而变成了动态的保护，检测，反应，恢复等四个过程。

密码学基础

密码学: 主要针对数据安全的一种信息安全的核心技术。分为密码编码学和密码分析学。

相关定义:

明文(消息)（M）——加密(E)——>密文（C）——解密(D)——>明文(M)。
发送方—>信道—>接收方

密钥（K）包括对称密钥和非对称密钥(公开密钥)两种，根据加解密密钥是否相同区分。
有效的加解密的前提是密钥空间K足够大，无法穷举密钥搜索。

密码分类：
（1）古典密码:一般方法为文字替换，包括单标替换密码，多表替代密码，轮转密码等。
（2）对称密钥（单密钥）：加解密使用相同密钥。
（3）公开密钥（非对称密钥）：加解密密钥不同，往往其中一个密钥会公开。

消息认证
目的:
确保消息不会被篡改，保证消息完整性。包括内容，顺序，时间的修改和消息的否认。

方法:消息认证符(MAC或直接加密)，消息编码。

物理安全及身份认证

物理安全
除了一般意义上的偷盗，损坏，自然灾害，人为灾祸等物理上对信息系统实体的破坏，还有通过物理而产生如下信息泄露:

电磁泄露：设备发出的电磁可能会被高灵敏的接收设备分析还原，导致信息泄露。输入输出的信号和其变换称为核心红信号，可能造成核心红信号泄密的控制信号称为关键红信号，相关单元电路称为红区。
窃听:窃听很多时候其实就是通过在物理层面上对信息的窃取。包括有线，无线，红外，激光（通过激光探测说话声导致的物体上的振动），卫星等。

物理隔离:
一般上，公网和外网要建立逻辑隔离，内网和外网建立物理隔离。

网络物理隔离的方法:

不联外网
分时连接内网和外网（客户机端物理隔离）
服务器实现数据过滤和隔离，使内外网分离处理。

身份认证
分类:

基于口令的认证
基于密码的认证
基于生物特征信息的认证
静态认证
动态认证（短信，语音）

访问控制

基本组成:主体，客体，控制策略；
访问控制模型：

1、 自主访问控制（DAC）:
特点:授权用户可以自主得将权限转移给别人，权限的修改是由特权用户来修改的。linux，unix ，windows NT（windows 的系列名称，包括win 10这些发行版本）都采用这样的形式。

权限信息存储（访问权限表）:
(1)访问控制表(ACL)：以客体为核心，然后对客体联系所有的主体及其对应的权限。
(2)访问能力控制表(ACCL):以主体为核心，列出其所有允许访问的客体及权限。
(3)访问控制矩阵(ACM)：二元矩阵表示权限关系，会有冗余。

特点:数据访问方式灵活，允许权限的自由转移，但是同时会带来安全问题，数据保护较低。

2.强制访问控制（MAC）:
更为严格的权限管理，将主体和客体赋予一定的安全级别，每个用户根据自己的安全级别，就会有自己全部的访问权限，这种权限是于安全级别严格挂钩的，不允许转移，也不允许为单个用户改动。

读写权限实例:（军队常用的两种严格的机制）
（1）向上写，向下读:有效防止信息向低安全级泄露，保护机密性。
（2）向下写，向上读:有效防止了下级篡改信息，保护完整性。

3.基于角色的访问控制（RBAC）:
综合了上述两种极端(自由和强制)，设计的一种综合模型。
将用户不再单个考虑，而是将其组织为组，而将客体的权限也设置为角色，一种角色会有自己特定的能力，这样用户就可以以担任角色的方式来获取权限，而非直接得到权限。
这样，就即保留了自由的灵活性，即用户可以担任不同的角色来获取不同的权限，又保证了权限获取的严格性，即角色是固定的，不能有自由组合的角色出现，且角色的获取是可控的。
角色的获取和增删都是管理员决定，而非自由获得。这是RBAC和DAC的区别。
权限是由角色组织起来的，一个角色可能获取不同安全级的权限，所以就没有安全级的概念，按需添加角色。这是RBAC和DAC的区别。

访问控制模型的基本原则:
（1）最小特权原则:根据主体所需权力的最小化分配，能少不多。
（2）最小泄露原则:对于权限的行使过程中，使其获得的信息最小。
（3）多级安全策略:对于信息安全级别要加以考虑，避免高级别信息向低级别主体泄露。

网络威胁

分类：
1.计算机病毒 2.网络入侵 3.欺骗类威胁

计算机病毒:
特征:
1.非授权性:用户未知；
2.寄生性:传统病毒是寄生在其他程序中的，而蠕虫网络病毒一般是独立文件存在。
3.传染性:是否能通过各种渠道传播;病毒的最重要条件；
4.潜伏性:是会根据病毒设计者有预谋得爆发；
5.破坏性：会造成文件的破坏或者系统的崩溃。
6.触发性:会因某些事件而发作。

分类:
1.传统病毒：寄生在其他文件，靠移动介质传播；
2.蠕虫病毒 : 独立存在，靠网络传播；
3.木马: 不会繁殖和感染其他文件，以控制系统，为施种者打开系统门户。

病毒防治:

检测:特征代码检测(无法检测新病毒)，校验和法(从文件出发，定期检测文件是否正常，可以检测新病毒，但容易误报)，行为检测(从系统出发，检测系统的行为是否异常，可发现未知病毒)，软件模拟(针对会改变自身形态的病毒（如随机加密），虚拟机里构造其执行环境，引诱其自己解开自己，以攻击，可识别未知病毒)。
清除:清除(清除病毒，保留文件)，隔离(不删除文件，但也无法分离病毒)，删除(删除文件)。传统病毒的删除，一般保证内存安全，之后检测文件，并删除。网络病毒的删除，断网，检测并删除文件，恢复注册表，内核级后门清除，重启并扫描。
预防:杀毒软件，防火墙，备份；
免疫：注射疫苗，即伪装成已被感染的样子，如认为添加感染标志；修改文件扩展名；外部对文件权限和路径加密保护；内部对文件内容加密保护；

网络入侵:
一次网络入侵包括：前期准备（明确目标，手段），实施入侵（探测和攻击），后期处理(记录清除);

手段：
拒绝服务、口令攻击、嗅探攻击、欺骗类攻击、利用型攻击

网络防御

一个常见的网络防御体系包括:防火墙，入侵检测系统(IDS),VLAN，防病毒技术；

防火墙
位于内网和外网间，保护内网免受入侵的系统，是用于这个用途的一系列措施的总称。

功能:
流量过滤（安全功能）:对数据进行过滤；
网络审计监控(控制功能)：对访问进行监控和审计，得到网络的数据；
支持NAT(网络地址翻译)：缓解地址空间短缺；
DMZ(访问松弛功能):隔离区，放置一些公开的服务器设施，以免完全封闭；
VPN（多局域网连接）:将不同的内网连在一起，突破地域的限制；

入侵检测系统（IDS）

对内部网络的监视和审查，并负责相应的系统；

CIDF通用模型:事件产生器(E)；事件分析器(A)；事件数据库(D),相应单元（R）

主要工作:

信息收集：从感应器中得到网络信息和从主机上得到系统信息；
信息分析 ：检测引擎会通过模式匹配，统计分析和完整性分析进行分析；
结果处理：报警或联动相应等；
分类:
数据源:

主机入侵检测系统（HIDS）:信息主要来源于计算机的日志记录等；
网络型入侵检测系统(NIDS)：主要从部署在网络关键位置的感应器来获取信息；利用独立的检测计算机完成，无需增加业务主机的负载；

VLAN
虚拟局域网:在局域网基础上（或者不用），将其网段划分为不同的组，来构成一些互不相关的逻辑组，在逻辑上形成了局域网。每个VLAN都有一组工作站和自己的标号。

IPS
采用串联的方式连接在内外网的关键路径上，工作方式是基于包过滤的存储转发机制；

IMS
IMS不只关注入侵时，还完善了入侵前和入侵后的阶段 。整体把握网络安全；
有规模部署，入侵预警，精确定位和监管结合四大特征；入侵预警是核心；精确预警要求对内精确到设备，对外精确到边界；监管结合就是加入管理的成分来完善系统；

云安全
客户端负责扫描和防护入侵的功能，但是对这些处理是在服务器（云端）同一计算，再把解决方案分发到各个客户端。云杀毒应用较多；

网络安全协议

网络安全协议:TCP/IP固有漏洞，所以为保证信息安全，在各种层次上产生各种安全协议，是以密码学为基础的，在网络中提供安全服务为目的协议；

数据链路层:PPTP,L2F,L2TP，主要用于构建access VPN，本质是使用隧道技术构建VPN;
应用层:IPSEC;
传输层:SSL;
应用层:S-HTTP，SSH，SET;

内容安全和信息安全管理

内容安全
信息内容安全包括两部分:合法信息的保护和非法信息的监管；

信息安全管理
ISMS:信息安全管理体系，其建立过程遵守PDCA的模型；

重要部分:风险管理，标准规范，法律法规；