第01章信息安全技术概述

主讲人：任凯联系方式：[e-mail]信息安全技术信息安全技术209:33:53几个生活中经常遇到的情况使用U盘时，是否在“我的电脑”中双击打开U盘盘符？播放从网上下载的一个AVI格式电影，有可能中毒吗？访问网页会中毒吗？一般什么情况认为自己中毒了？信息安全技术309:33:53几个小问题上网安全吗？如果你的电脑被入侵，你觉得可能对你造成的最大危害是什么？如何进行安全防护，避免各类攻击？•使用强口令•文件必须安全存储•临时离开请及时锁屏或注销•杀（防）毒软件不可少•个人防火墙不可替代•不打开来历不明的邮件或附件•不要随意浏览黑客、色情网站•警惕“网络钓鱼”•聊天软件的安全•移动设备的安全信息安全技术409:33:532014年国内重大的信息安全支付宝找回密码功能存在系统漏洞携程网用户支付信息出现漏洞，漏洞泄露的信息包括用户的姓名、身份证号码、银行卡卡号、银行卡CVV码、支付密码UC浏览器存在可能导致用户敏感数据泄漏的漏洞小米论坛存在用户资料泄露黑客通过公共场所免费WIFI诱导用户链接而获取手机中银行卡、支付宝等账户信息从而盗取资金的消息苹果手机获取用户位置信息信息安全技术509:33:532013-2014年国际重大的信息安全事件“棱镜门”事件：美国国家安全局监控用户隐私Google曝法国伪造CA证书全球首例国家级伪造CA证书劫持加密通讯事件诞生Apple、Facebook、Twitter等科技巨头相继被入侵，用户数据泄漏OpenSSL出现“Heartbleed”有史以来最大的比特币失窃案，全球最大Bitcoin交易平台Mt.Gox申请破产信息安全技术609:33:53一些常用名词红客：从事网络安全行业的爱国黑客白客：又称安全防护者，用寻常话说就是一些原本的黑客转正了，他们进入各大科技公司专门防护网络安全黑客：指某些热衷于计算机和网络技术、技能高超、非法入侵他人计算机系统的人，又称“骇客”灰客：指某些对计算机和网络安全感兴趣，初步了解网络安全知识，能够利用黑客软件或初级手法从事一些黑客行为的人。由于他们受技术限制，既不够“黑”，但也不“白”蓝客：指某些标榜自己只热衷于纯粹的互联网技术而不关心其他事物、我行我素的“黑客”信息安全技术709:33:53信息战已经成为各国军事斗争的主要组成部分中国需要维护国家信息系统的安全，建立保护网络国家边界的网军势在必行：1.我国集成电路芯片的自给率不足10%。要做到网络安全，首先就是硬件安全，而芯片安全是硬件安全核心内容之一2.微软的各版本操作系统在中国市场的占有率达到98%。软件安全是网络安全的另一个核心内容，最基本的操作系统不是自己编写的，同样留有安全隐患信息安全技术809:33:53理解安全与不安全概念“安全”一词在字典中被定义为“远离危险的状态或特性”和“为防范间谍活动或蓄意破坏、犯罪、攻击或逃跑而采取的措施”。没有危险；不受威胁；不出事故信息安全技术909:33:53先行案例黑色星期五源于西方的宗教信仰与迷信：耶稣基督死在星期五，而13是不吉利的数字。两者的结合令人相信当天会发生不幸的事情历史上有好几个事件都发生于星期五：1869年的黑色星期五：美国金融市场大泻1919年的黑色星期五：格拉斯哥工人罢工1939年的黑色星期五：澳大利亚发生山林大火1978年的黑色星期五：伊朗示威者大屠杀1982年的黑色星期五：福克兰群岛战争爆发（英国和阿根廷）信息安全技术1009:33:53先行案例2001年“红色代码”蠕虫2001年“尼姆达Nimda”蠕虫事件——多种手段攻击网络2003年SQLSLAMMER蠕虫——攻击SQL服务器2003年口令蠕虫——口令方式攻击主机2003年冲击波“MSBLAST”蠕虫和“Blast清除者”蠕虫2004年震荡波蠕虫——针对微软windows操作系统的漏洞2005年“黛蛇”蠕虫事件2006年“魔波”蠕虫——引发“僵尸网络”2007年“Nimaya（熊猫烧香）”病毒事件2008年“机器狗”病毒事件2009年“飞客”蠕虫的泛滥信息安全技术1109:33:532010年初，美国硅谷的迈克菲公司发布最新报告，约109.5万台中国计算机被病毒感染（美国105.7万），排第一位。2010年1月2日，公安部物证鉴定中心被黑，登陆该网站，有些嘲弄语言，还贴一张“我们睡，你们讲”的图片，图片是公安某单位一次会议上，台下参会人员大睡的场面。先行案例信息安全技术1209:33:53先行案例2010今年“两会”期间，3月3日，全国政协委员严琪所办陶然居餐饮集团网站（www.cn-taoranju.com）被黑，引发热议。信息安全技术1309:33:53先行案例英国税务局“光盘”门2007年11月，英国税务及海关总署的一名公务员在将两张光碟寄给审计部门时，由于疏忽忘记依照规范以挂号寄出，导致光碟下落不明。光碟中有英国家庭申请十六岁以下儿童福利补助的资料，包括公民的姓名、地址、出生年月、社会保险号码和银行帐户资料，据称其中还包括了英国首相布朗一家的机密资料。英国财政大臣达林在国会下院承认数据丢失，布朗面色凝重。信息安全技术1409:33:53卖家网上叫卖英国失踪税务光盘信息安全技术1509:33:53先行案例网络成为重要的窃密渠道扫描网络发现漏洞控制系统窃取文件信息安全技术1609:33:53先行案例UNIVERSITY违规操作泄密敌对势力窃密互联网部队失密案：2003年初，军队某参谋违反规定，使用涉密计算机上因特网，被台湾情报机关跟踪锁定，一次窃走1000多份文档资料，影响和损失极为严重。信息安全技术1709:33:53提高信息安全意识不通过email传输敏感信息，敏感信息加密以后再传输不借用帐号、不随意说出密码敏感信息不要随意地放置,打印或复印的敏感资料要及时取走离开电脑时记得锁屏与清除桌面不在公司外部讨论敏感信息发现安全问题及时报告......信息安全技术1809:33:53加强计算机与网络安全设置复杂密码根据安全规范进行安全设置及时安装补丁安装防病毒软件并及时更新不随意下载安装软件，防止恶意程序、病毒及后门等黑客程序……信息安全技术1909:33:53通俗地说，安全就是安全是稳定状态或确定状态信息安全技术2009:33:53关于课程学习本课程的要求教学目标•通过本课程的学习，要求对信息安全的概念与内涵有较全面的了解，较全面地掌握有关信息安全的基础理论和实用技术，掌握网络系统安全防护的基本方法，培养网络安全防护意识，增强网络系统安全保障能力，并能在实践中其指导作用。教材：•王凤英，网络与信息安全技术，中国铁道出版社•张同光，信息安全技术实用教程，电子工业出版社•熊平，信息安全原理及应用，清华大学出版社•赵泽茂，信息安全技术，西安电子科技大学出版社信息安全技术2109:33:53关于课程课程内容信息安全综述对称密钥密码体系公钥密码体系身份认证、访问控制与系统审计操作系统安全单向散列函数PKI技术数据库系统安全因特网安全和VPNWEB电子商务安全防火墙技术入侵检测技术信息安全技术2209:33:53关于课程本课程对学生的要求提高信息安全意识，具有信息安全的理论基础和基本实践能力了解和掌握信息安全的基本原理和相关技术关注国内外最新的研究成果和发展动态信息安全技术2309:33:53关于课程考核30%（平时成绩：出勤、平时作业等）+70%考试成绩听课课堂纪律欢迎同学上讲台跟同学们分享信息安全相关知识信息安全技术2409:33:53信息安全综述信息安全技术2509:33:53本章提要网络与信息安全的基本概念网络安全威胁网络安全的层次结构安全评价标准研究网络与信息安全的意义网络信息安全管理信息安全技术2609:33:53§1.1计算机网络安全的基本概念密码安全：通信安全的最核心部分计算机安全：一种确定的状态，使计算机化数据和程序不致被非授权人员、计算机或程序访问获取和修改网络安全：指利用网络管理控制技术措施，保证在一个网络环境里信息数据的保密性、完整性及可使用性受到保护信息安全：防止任何对数据进行未授权访问的措施，或防止造成信息有意无意泄漏、破坏、丢失等问题的发生，让数据处于远离危险、免于威胁的状态或特性信息安全技术2709:33:53§1.1网络与信息安全的基本概念关系信息安全网络安全计算机安全密码安全·信息安全技术2809:33:53§1.1网络与信息安全的基本概念网络信息安全的要求即消息的发送者在发送后不能否认他发送过该消息抗抵赖完整性机密性即消息只有合法的接收者才能读出，其他人即使收到也读不出即消息的确是由宣称的发送者发送的，如冒名顶替则会被发现即消息在传输过程中如果篡改则会被发现真实性信息安全技术2909:33:53§1.1网络与信息安全的基本概念木桶原理网络安全遵循“木桶原理”，即一个木桶的容积决定于组成它的最短的一块木板，一个系统的安全强度等于它最薄弱环节的安全强度。安全防护必须建立在一个完整的多层次的安全体系之上，任何的薄弱环节都将导致整个安全体系的崩溃信息安全技术3009:33:53§1.2网络安全威胁网络安全问题日益突出网络与信息系统在变成”金库”,当然就会吸引大批合法或非法的”掏金者”,所以网络信息的安全与保密问题显得越来越重要。几乎每天都有各种各样的“黑客”故事：1994年末俄罗斯黑客弗拉基米尔·利文与其伙伴从圣彼得堡的一家小软件公司的联网计算机上，向美国名为CITYBANK银行发动了一连串攻击，通过电子转帐方式，从CITYBANK银行在纽约的计算机主机里窃取美元1100万。信息安全技术3109:33:531996年8月17日美国司法部的网络服务器遭到“黑客”入侵，并将“美国司法部”的主页改为“美国不公正部”，将司法部部长的照片换成了阿道夫·希特勒，将司法部徽章换成了纳粹党徽，并加上一幅色情女郎的图片作为所谓司法部部长的助手。1999年4月26日台湾人编制的CIH病毒的大爆发，有统计说我国大陆受其影响的PC机总量达36万台之多。有人估计在这次事件中，经济损失高达近12亿元§1.2网络安全威胁信息安全技术3209:33:532000年5月4日一种名为“我爱你”（爱虫）的电脑病毒开始在全球各地迅速传播。据美国加利福尼亚州的名为“电脑经济”的研究机构发布的初步统计数据，“爱虫”大爆发两天之后，全球约有4500万台电脑被感染，造成的损失已经达到26亿美元。在以后几天里，“爱虫”病毒所造成的损失以每天10亿美元到15亿美元的幅度增加。§1.2网络安全威胁信息安全技术3309:33:53数据大集中——风险也更集中了；系统复杂了——安全问题解决难度加大；云计算——安全已经不再是自己可以控制的3G、物联网、三网合一——IP网络中安全问题引入到了电话、手机、广播电视中web2.0、微博、人肉搜索——网络安全与日常生活越来越贴近新应用导致新的安全问题§1.2网络安全威胁信息安全技术3409:33:53§1.2网络安全威胁信息安全技术3509:33:53§1.2网络安全威胁信息安全技术3609:33:53网络流量分析拒绝服务特洛伊木马资源非授权使用计算机病毒假冒、重放破坏完整性诽谤窃听主要威胁种类：§1.2网络安全威胁信息安全技术3709:33:53商业间谍按照FBI的估计，由于商业间谍的危害，美国各大公司每年要损失100亿美元§1.2网络安全威胁动机信息安全技术3809:33:53经济利益§1.2网络安全威胁动机信息安全技术3909:33:53报复或者引入注意：为了炫耀能力的黑客少了，为了非法取得政治、经济利益的人越来越多§1.2网络安全威胁动机信息安全技术4009:33:53§1.2网络安全威胁动机恶作剧信息安全技术4109:33:53无知黑客“菜霸”§1.2网络安全威胁动机信息安全技术4209:33:53§1.3网络安全的层次结构物理安全1安全控制2安全服务3信息安全技术4309:33:53§1.3网络安全的层次结构___物理安全自然灾害、物理损坏、设备故障某一天下着大