计算机安全技术课程第

1《计算机安全技术》课程第6讲第12周日期：2008.12.04地点：五教211第4章计算机系统安全第1节计算机系统漏洞第2节操作系统安全第3节数据库系统安全第4节用户程序安全教学重点:1．操作系统安全2．数据库系统安全3．用户程序安全教学难点:操作系统安全讲授主要内容:教学引入：任何计算机系统都不是绝对安全的，无论是硬件还是软件都有可能存在漏洞。计算机系统的安全性体现在操作系统的安全、数据库安全和用户程序的安全方面。1、计算机系统漏洞漏洞的定义P135计算机系统漏洞的表现方式包括:物理漏洞软件漏洞（如daemons）不兼容漏洞缺乏安全策略2、操作系统安全（1）Windows的安全性WindowsNT的NTFS安全性创建NTFS卷FAT转换NTFSWindowsNT的IIS安全性利用操作系统的安全性利用IIS的安全性Web服务器的安全性（用户和口令验证、虚拟目录、Web服务器安全提示）FTP和Gopher服务器的安全性Window漏洞举例RAS漏洞（RASMAN.EXE严重的缓冲区溢出的后门）ISM漏洞（包含在一个在ISM.DLL中未经验证的缓冲，可能对Web服务器安全运作造成威胁，一个是来自服务拒绝攻击的威胁、另一个是使用一个精心构建过的文件将可以利用标准的缓存溢出手段导致二进制代码在服务器端运行。）Administrator漏洞WIN2000漏洞2（2）UNIX系统安全UNIX的用户安全口令安全（/etc/passwd）文件许可权（第一个rwx：表示文件属主的访问权限；第二个rwx：表示文件同组用户的访问权限；第三个rwx：表示其他用户的访问权限；）目录许可设置用户ID和同组用户ID许可（只有可执行文件才有意义）文件加密UNIX的系统管理员安全超级用户文件系统安全UNIX文件系统（unix系统的心脏部分，提供了层次结构式的目录和文件）设备文件（所有连接到系统上的设备都在/dev目录中有一个文件与其对应）Secure程序（定期检查系统中的各个系统文件）口令时效（/etc/passwd文件的格式使系统管理员能要求用户定期改变其口令）3、数据库系统安全（1）数据库安全问题数据库面临的安全威胁篡改（定义及原因）损坏（定义及原因）窃取（定义及原因）数据库面临的安全隐患数据错误硬件故障安全机制不健全管理不善计算机病毒数据库的安全要求数据库的完整性（物理完整性、逻辑完整性、元素完整性）可审计性访问控制与用户认证保密性与可用性（2）数据库访问控制（7个方面）用户标识和认证存取控制数据完整性检查（数据类型与值域的约束、关键字约束、数据联系的约束）数据库并发控制分级控制敏感锁安全过滤器（3）数据库加密数据库加密定义数据库加密的特点数据库密码系统应采用公开密钥多级密钥结构加密机制加密算法数据库加密的范围索引字段不能加密关系运算的比较字段不能加密3（4）数据库备份与恢复数据库备份的类型冷备份（保持数据的完整性方面最佳）热备份（依赖于系统的日志文件）逻辑备份（慢，不适于数据库的全盘备份，适用于增量备份）数据库备份的性能（被复制到磁带上的数据量和进行该项工作所花的时间来衡量）升级数据库管理系统使用更快的备份设备备份到磁盘上使用本地备份设备使用原始磁盘分区备份备份的策略备份周期是按月、周、天还是小时使用冷备份还是热备份使用增量备份还是全部备份，或者两者同时使用使用什么介质进行备份，备份到磁盘还是磁带是人工备份还是设计一个程序定期自动备份备份介质的存放是否防窃、防磁、防火数据库的恢复恢复技术的种类单纯以备份为基础的恢复技术以备份和运行日志为基础的恢复技术基于多备份的恢复技术恢复办法周期性地对整个数据库进行转储，把它复制到备份介质中（如磁带中），作为后备副本，以备恢复之用对数据库的每次修改，都记下修改前后的值，写入“运行日志”中。它与后备副本结合，可有效地恢复数据库事务恢复利用转储和日志文件恢复（5）数据库安全实例4、用户程序安全（1）用户程序的安全问题耗时程序死锁问题病毒程序蠕虫程序4（2）安全程序的开发（5个方面）需求分析控制设计与验证系统功能分解原则数据集的设计原则减少冗余性划分数据的敏感级注意防止敏感数据的间接泄露注意数据文件与功能模块之间的对应关系关于安全设计与验证问题编程控制编程阶段的组织与管理代码审查测试控制确定程序的正确性，排除程序中的安全隐患。运行维护管理配置管理的必要性与目标配置管理的安全作用（3）开发工具的安全特性（6个方面）Java运行的安全性Java语言的安全性Java内存管理的安全性安全措施Java体系结构的安全性从类文件到执行本次课主体教学方式、方法：以课堂讲授为主，板书、图片与电子教案相结合布置作业P1771、4、61、计算机系统的漏洞有哪几类？4、数据库面临的主要安全威胁有哪些？6、用户程序主要存在哪些安全问题？教学后记本节从计算机系统漏洞开始，讲解了计算机操作系统、数据库以及用户程序的安全问题。在计算机通信信息系统中，一般都要采取比较完善的安全机制，它涉及通信网络之间、网络与计算机之间，计算机与计算机之间的通信和连接过程中可能面临的安全威胁，可以采取的安全技术和可以实施的安全措施。