周末,迎来了研究生课程的第一课:信息安全技术与工程。也认识了一位风趣幽默、学识渊博的老师。
先简单介绍北理工的背景情况,北理工以国防科技为主,一听就热血沸腾,高精尖的科技最先应用的地方无疑是军事国防,老师带来的课程一定含金量高。
听罢整个课程,获益匪浅,其中贯穿大量的生活实例,包含医学、工程学、等各行各业,生活点滴,生动形象,深入浅出,一点都不夸张。任何一个词汇深入进去都能带起一大片知识点。
现在课堂中学到按照老师的思路整理一下,作为一个课程的大纲,日后若想拓展,也有依据。也是依据米老师说的编织知识网,先架起几根主线。(难免有疏漏,先整理一版再说。)
![基本](https://img-blog.csdn.net/20160424215737839)
背景
信息安全与国家安全、国家主权息息相关。
安全空间:陆、海、空、天、网络空间(Cyberspace)
网络安全:政治、军事、经济、文化、信息安全(Maybe要更名为网络空间安全)
信息安全相关学科:数学、通信、计算机、电子、物理、管理、法律、教育。
机器学习的本质是统计学。模糊数学、隶属度。
(信息安全、计算机安全、网络安全、网络空间安全)本质是计算的问题。
信息安全涵盖内容:云计算、工业控制系统、物联网、物理信息融合系统。
含义
信息的获取、传输、存储、处理过程中的攻击和防御。
科学和工程的区分点在技术,科学是知识。工程是知识+技术=应用。
案例
奥运订票系统(瞬时访问量过高,高并发)、沪深股盘7分钟跌20点(堆栈溢出)、嵌入式操作系统(外购软件安全问题)、康奈尔.罗伯特.莫里斯的蠕虫(coorm)病毒。
信息系统安全
信息的重要性质:物质不灭、能量守恒、信息1+1>2。因此信息系统中子系统子模块通过有机组合成的信息。
目标:进不来、拿不起、看不懂、改不了、逃不掉、打不垮。
标准化的网络攻击/入侵步骤:踩点、找弱点、攻击破坏活动、装后门、清理现场、撤退。
P2DR模型:(策略Policy、保护Protection、检测Detection 、相应Response)动态循环。要想破解掉攻击,防御方需要在攻击方在发起攻击到完成攻击的时间段(tA)内,检测到攻击(所用时间tD),并且做出相应(所需时间tR)。
信息+信息系统 安全
公安部制定的等级保护5个级别:I自主级别、II指导级别、III监督级别、IIII强制级别、V专有级别。
安全防护技术5个级别:物理安全、系统安全、网络安全、应用安全、数据安全。
管理方面5个级别:制度、机构、人员、系统建设、运维。
上述3个5,构成一个三维立体的级别划分。如此一来,信息系统安全的实施就有据可循了。照着表格、相关制度,照着做就行了。
技术
从信息的CIA,三大特性出发,相关的技术。
完整性
DOS拒绝服务(flooding、tears),DDOS分布式拒绝服务
保密性
数字签名,散列函数,无秘钥加密(hash:MD-5,SHA-1...),时间戳time stamp.
原则:最小化原则(权限最小)、分权制衡(三员机制:系统管理员、安全管理员、安全审计员)、安全隔离(外网、内网、专网)
加密技术三类:对称加密、非对称加密、无秘钥加密。
加密算法四个模块:对称密码模型、非对称加密模型、非对称认证模型、无秘钥加密。
无论多少个层次,多么复杂的加密,核心都逃不出上述四种模块,只要找好分类,再分析相应的技术,就能层层剥开。
身份认证的基本方法:用户名/密码方式(暴力攻击Brute force:总有一款适合你、社交攻击法、字典攻击),IC卡认证,动态口令,生物特征认证,USB Key认证
等等等等。
一门课程就这样结束了,学完了课程,发现不知道的更多了。老师把这门课程整体串讲,给我们带来了一个宏观整体的认识,一些基本概念也打下了基础。我们需要做的是,拓展开去。
通过闫老师的课,见识了名门学府的优秀教学资源。也了解了老师的治学之严谨,保证讲出来的知识点不会差一个字。老师边讲,同学们边在网上查资料,老师一点都不惧。同学们打趣都没能把老师带偏。
观察老师讲课,我有这么几点体会比较深刻:
什么人办什么事,怎么办这件事。
所有的专业词汇对应的英文,必会,会读会写知道含义。
思路重于技术。
知识吃的透透的。
自己曾经没有关注或者是关注又刻意忽略的东西:
国家层面的新闻纪要,各机关单位、人员组织的工作形式,自己的定位,计算机技术相关新老信息。
不禁想起米老师,闫老师的讲课风格和米老师很相似,不喜欢照着PPT读,抓到啥都能展开说上一大圈,课堂氛围很轻松。我们能这么快速的吸收闫老师的课程,没有米老师给我们打下基础,是万不可能的。何其有幸。