安全性基础知识

目录

安全防护体系

安全保护等级  -- GB17859 - 1999

练习题

数据安全策略

安全防护策略

防火墙

练习题

访问控制

身份验证方式

用户口令保护策略

练习题

加密技术

练习题

PKI

签名/加密

单向加密

Hash +签名

练习题

网络攻击术语

计算机病毒

计算机病毒与木马

练习题

安全协议-SSL

安全协议--HTTPS

SQL注入攻击

XSS攻击

XSS防御

练习题

---

安全防护体系

七个层次

• 实体安全：设备的物理安全。
• 平台安全：主机安全。操作系统或软件的安全。
• 数据安全
• 通信安全：网络安全。
• 应用安全
• 运行安全
• 管理安全

安全是动态的，安全会随着系统运行发生变化。

安全保护等级  -- GB17859 - 1999

一级是最低等级，五级是最高等级。

练习题

（1）GB 17859 - 1999《计算机信息系统安全保护等级划分准则》中将计算机安全保护划分为（ ）个级别。

          A 3           B 4           C 5           D 6

（2）【说明】在CNCERT/CC（国家计算机网络应急技术处理协调中心）处理的安全事件中，国内政府机构和重要信息系统部门的网页篡改类事件数量增长迅速。2011年6月的某一周，中国境内仅网页被篡改的网站就有660个，其中政府网站105个。网站内容复制容易，转载速度快，后果难以预料，网页如果被篡改，将直接危害该网站的利益，尤其是门户网站作为政府发布重要新闻、重大方针政策、法规和企业信息等的重要渠道，一旦被黑客篡改，将严重损害政府和企业形象。从网站页面被篡改的角度来看，存在两种攻击的可能，一种是网站被入侵，也就是说网站页面确实被篡改了，另外一种是网站被劫持，这种情况下网站的页面实际上并没有被篡改，但是攻击者劫持了网络访问并发送欺骗页面给来访者，进而造成页面被篡改的表象。

【问题1】通过入侵从而进行网页篡改的可能途径有哪些？这些途径各对应安全系统防护体系的哪个层次？

【问题2】针对网页被篡改的问题，从技术层面看有哪些防范措施？

【问题3】现在出现了一些基于监测与恢复的页面防篡改系统，这类防篡改系统应具备哪些基本功能？

 

（3）【说明】某企业信息中心委托系统集成单位开发了企业网站，将应用服务器、Web服务器和数据库服务器都部署在信息中心机房，系统集成工作完成后，集成单位对网段、防火墙、入侵检测系统、防病毒系统等进行了全面的安全检查，向信息中心提交了安全测评报告。信息中心主管认为该测评报告不够全面，要求尽可能提供系统的、多层次的、深入的安全测评报告。

【问题1】请简述系统的安全防护体系包括的层次。

【问题2】对于服务器操作系统的安全，应当从哪些方面进行测评？

【问题3】安全日志是软件被动防范的措施，是重要的安全功能，软件的安全日志应当记录哪些信息？在安全测试中应当检查安全日志的哪些方面？

解析：

第一题：答案C。

第二题：

【问题1】要入侵来篡改网络，主要途径有如下几种：

1. 通过操作系统、网络服务、数据库漏洞来获取主机的控制权，从而达到篡改网页的目的，这一对应的安全防护体系层次是平台安全。

2. 通过猜测或者破解密码来获取管理员的权限，从而达到篡改网页的目的，这一类对应的安全防护体系层次的数据安全。

3.通过Web漏洞或者设计缺陷来进行攻击入侵，从而达到篡改网页的目的，这一类对应的安全防护体系层次的应用安全。

【问题2】针对网页被篡改的问题，我们要防御主要就是依据入侵的途径来设置防御措施，从技术层面看，主要有的防范措施如下：

1. 给服务器打上最新的安全补丁，防止入侵者利用漏洞来攻击。

2. 封闭未用但开放的网络服务端口。

3. 合理设计网站程序并编写安全代码。

4. 设置复杂的管理员密码，防止入侵者破解。

5. 安装专门的网站防火墙和入侵检测系统，防止入侵。

6. 设置何时的网站访问权限。

【问题3】基于监测与恢复的页面防篡改系统应具备有基本功能：自动监测，自动备份与恢复，自动报警和区分合法更新和非法更改等功能。

第三题：

【问题1】考查信息系统安全体系的全面分析。系统的安全防护体系包括的层次包括：实体安全，通信安全，平台安全，应用安全，数据安全，运行安全，管理安全。

【问题2】考查主机层平台操作系统安全测试的主要方面。对于服务器操作系统的安全，应当从以下方面进行测评：是够关闭或卸载了不必要的服务和程序；是否存在不必要的账户；权限设置是否合理；安全相应的安全补丁程序的情况；操作系统日志管理等。

【问题3】考查应用层安全日志测试的主要内容。安全日志应当记录所有用户访问系统的操作内容，包括登录用户名称，登录时间，浏览数据动作，修改数据操作，删除数据动作，退出时间，登录机器的IP等。测试报告应对日志的完整性，正确性作出评价，以及系统是否提供了安全日志的只能分析能力，是否按照各种特征项进行日志统计。

数据安全策略

备份与恢复是一种数据安全策略。

❤存储设备

磁盘阵列、磁带机（磁盘库）、光盘库、SAN设备

❤存储优化

DAS、NAS、SAN

❤存储保护

磁盘阵列、双机容错、集群、备份与恢复

❤存储管理

数据库备份与恢复、文件与卷管理、复制、SAN管理

安全防护策略

软件系统对抗攻击的主要手段是：安全防护策略。

❤主要策略：

• 安全日志：被动防护策略
• 入侵检测：防火墙的第二道闸门；主动网络安全防护措施
• 隔离防护：隔离网闸：实现内网和外网的物理隔离；防火墙：实现内网和外网的逻辑隔离。
• 漏洞扫描

防火墙

❤包过滤

• 对用户透明，传输性能
• 安全控制能力限于网络层，传输层
• 不建立链接状态表，前后报文无关
• 应用层控制弱

❤状态检测

• 建立链接状态表，前后报文相关
• 应用层控制弱

❤代理服务

DMZ区：隔离区。两个防火墙之间的空间被称为DMZ。与Internet相比，DMZ可以提供更高的安全性，但是其安全性比内部网络低。

练习题

（1）下面关于防火墙功能的说法中，不正确的是（ ）

         A.防火墙能有效防范病毒的入侵
         B.防火墙能控制对特殊站点的访问
         C.防火墙能对进出的数据包进行过滤
         D.防火墙能对部分网络攻击行为进行检测和报警

（2）下面关于漏洞扫描系统的叙述，错误的是（ ）

         A.漏洞扫描系统是一种自动检测目标主机安全弱点的程序 
         B.黑客利用漏洞扫描系统可以发现目标主机的安全漏洞 
         C.漏洞扫描系统可以用于发现网络入侵者 
         D.漏洞扫描系统的实现依赖于系统漏洞库的完善

（3）包过滤防火墙是一种通过软件检查数据包以实现系统安全防护的基本手段，以下叙述中，不正确的是 () 。

         A.包过滤防火墙通常工作在网络层以上，因此可以实现对应用层数据的检查与过滤

         B.包过滤防火墙通常根据数据包源地址、目的地址、端口号和协议类型等标志设置访问控制列表实现对数据包的过滤

         C.数据包过滤用在内部主机和外部主机之间，过滤系统可以是一台路由器 或是一台主机

         D.当网络规模比较复杂时，由于要求逻辑的一致性、封堵端口的有效性和规则集的正确性等原因，会导致访问控制规则复杂，难以配置管理

（4）网络系统中，通常把（）置于DMZ区。
        A．网络管理服务器
        B．Web服务器
        C．入侵检测服务器
        D．财务管理服务器

解析：

第一题：答案A。

第二题：答案C。

第三题：答案A。

第四题：答案B。

访问控制

❤实现方式

• 限制访问系统的人员 → 用户标识与验证
• 限制进入系统的用户所能做的操作 → 存储控制 （隔离技术法， 限制权限法）

隔离技术法包括：物理隔离，逻辑隔离，密码隔离。

❤用户标识与验证是访问控制的基础，是对用户身份的合法性验证。

❤用户标识与验证三种常用的方法：

• 你是谁？：要求用户输入一些保密信息
• 你有什么？：采用物理识别设备
• 你的特征是什么？：采用生物统计学系统

身份验证方式

• 用户名/密码方式
• IC卡认证：IC卡硬件不可复制
• 动态密码：按照时间或使用次数不断变化；每个密码只使用一次的技术。
• USB Key认证：采用软硬件结合，一次一密的强双因子认证

用户口令保护策略

❤安全密码

• 密码长度：8位及8位以上。
• 密码有效期：限制有效期，过了有效期需更换密码。
• 大写，小写，数字，特殊字符：4种里面最少挑选3种进行组合。
• 不带联想色彩
• 不用完整的单词

❤口令保护策略

• 最大口令时效：对应密码有效期。
• 最小口令时效：对应密码有效期。
• 口令历史：强迫用户更改密码不能跟之前用过的几个密码相同。
• 最小口令长度：对应密码长度。
• 口令复杂度：对应密码组成：大写，小写，数字，特殊字符。
• 加密选项
• 口令锁定：连续输错几次密码被锁定。

练习题

（1）目前信息系统所使用的主要用户认证机制，身份识别标识不包括（ ）
          A．指纹          B．智能卡          C．数字证书          D．身份证号码

（2）对于其于用户口令的用户认证机制来说，____不属于增强系统安全性应使用的防范措施。（）

          A．对本地存储的口令进行加密
          B．在用户输入的非法口令达到规定的次数之后，禁用相应账户
          C．建议用户使用英文单词或姓名等容易记忆的口令
          D．对于关键领域或安全性要求较高的系统，应该当保证用过的用户删除或停用后，保留该用户记录，且新用户不能与该用户名

解析：

第一题：答案D。

第二题：答案C。

加密技术

❤对称密钥技术：加密和解密的密钥是相同的。算法效率很高。加密解密速度快。秘钥管理困难。

• 密钥分发困难
• 算法效率高
• 速度快
• 适合于对大数据进行加密

❤对称密钥技术常见加密算法

• DES， 3DES（三重DES）
• RC-5
• IDEA算法

❤非对称加密技术：加密和解密使用不同的密钥。

• 密钥成对出现
• 密钥之间不能相互推导
• 公钥对外公开
• 私钥只有持有者
• 私钥只有持有者持有
• 算法相对于对称加密算法效率低

❤非对称加密技术常见加密算法

• RSA
• ECC椭圆曲线算法

练习题

（1）下列算法中，不属于公开密钥加密算法的是______。
         A．ECC         B．DSA         C．RSA         D．DES

（2）对一段信息生成消息摘要是防止信息在网络传输及存储过程中被篡改的基本手段，（）不属于生成消息摘要的基本算法。
         A．MD5         B．RSA         C．SHA-1         D．SHA-256

解析：

第一题：答案D。

第二题：答案B。只有B是非对称加密

PKI

• CA是证书颁发机构，是KPI的核心。CA是用自己的私钥进行签名。
• 数字证书。
• 证书实现的安全保证：机密性， 不可否认性，完整性，鉴别。

签名/加密

 

单向加密

❤非可逆加密：就是不可解密的加密方法，也称单向加密算法

❤常见加密算法

• MD5
• SHA

Hash +签名

Hash算法是根据明文生成固定长度的hash值。

练习题

（1）PKI体制中，保证数字证书不被篡改的方法是（）。
              A．用CA的私钥对数字证书签名
              B．用CA的公钥对数字证书签名
              C．用证书主人的私钥对数字证书签名
              D．用证书主人的公钥对数字证书签名

（2）从认证中心CA获取用户B的数字证书，该证书用______作数字签名；从用户B的数字证书中可以获得B的公钥。
             A．CA的公钥
             B．CA的私钥
             C．B的公钥
             D．B的私钥

解析：

第一题： 答案A。

第二题：答案B。

网络攻击术语

• 冒充：口令猜测、缓冲区溢出
• 重演
• 消息篡改：DNS高速缓存污染、伪造电子邮件
• 服务拒绝DOS：死亡ping、泪滴攻击、UDP洪水、SYN洪水、Land攻击、Smurf攻击、Fraggle攻击、电子邮件炸弹、畸形消息攻击（目的是使对方丧失正常的服务功能。）

计算机病毒

• 病毒：破坏者。具有潜伏性，传染性，隐蔽性，破坏性，多样性，条件触发性。病毒是人为的。
• 木马：盗窃者。不产生图标，伪装成“系统服务”的方式，自动运行，具备自动恢复，能自动开启端口，建立网络连接。木马主要目的是盗取相关信息。

计算机病毒与木马

• 系统病毒。前缀：Win32，PE，W32，如KCOM -- Win32.KCOM
• 蠕虫病毒。如恶鹰--Worm.BBeagle
• 木马病毒、黑客病毒。如QQ消息尾巴木马--Trojan.QQ3344
• 脚本病毒。如红色代码--Script.Redlof
• 宏病毒。如美丽莎--Macro.Melissa
• 后门病毒。如灰鸽子--Backdoor.Win32.Huigezi
• 病毒种植程序病毒。冰河播种者--Dropper.BingHe2.2C
• 破坏性程序病毒。杀手命令--Harm.Command.Killer
• 玩笑病毒。如女鬼--Joke.Girlghost
• 捆绑手机病毒。如捆绑QQ--Binder.QQPass.QQBin

练习题

（1）计算机感染特洛伊木马后的典型现象是（）。
          A．程序异常退出
          B．有未知程序试图建立网络连接
          C．邮箱被垃圾邮件填满
          D．Windows系统黑屏

（2）不是蠕虫病毒（ ）

         A 熊猫烧香          B 红色代码          C 冰河         D 爱虫病毒

（3）下面关于DoS攻击的描述中，错误的是（）。

              A.DoS攻击通常通过抑制所有或流向某一特定目的端的消息，从而使系统某一实体不能执行其正常功能，产生服务拒绝          

              B.DoS攻击不需入目标系统，仅从外部就可实现攻击

             C.只要软件系统内部没有漏洞，DoS攻击就不可能成功

             D.死亡之Ping、Land攻击、UDP洪水、Smurf攻击均是常见的DoS攻击手段

（4） 以下关于拒绝服务攻击的叙述中，不正确的是 (8) 。

            A.拒绝服务攻击的目的是使计算机或者网络无法提供正常的服务

            B.拒绝服务攻击是不断向计算机发起请求来实现的

            C.拒绝服务攻击会造成用户密码的泄漏

            D.DDoS是一种拒绝服务攻击形式

（5）不属于主动攻击。（ ）

            A 流量分析             B 重放             C IP地址欺骗            D 拒绝服务

解析：

第一题：答案B。

第二题：答案C，冰河是木马。

第三题：答案C。服务拒绝攻击与系统有无漏洞无关。

第四题：答案C。

第五题：答案A。

安全协议-SSL

❤SSL

• Secure Socket Layer，安全套接字层
• 是Netscape公司开发的基于WEB应用的安全协议
• 能在TCP/IP和应用层无缝实现Internet协议栈处理

❤基本特性

• 连接安全：对称密钥技术（如：DES， RC4等）
• 身份认证：非对称（公钥）加密技术（如：RSA， DSA等）
• 可靠性连接：安全的哈希函数（如：SHA，MD5）计算校验码

❤TLS

• Transport Layer Security，传输层安全协议
• 用于两个应用程序之间提供保密性和数据完整性
• TLS的主要目标是使SSL更安全，并使协议的规范更精确和完善
• TLS在SSLv3.0的基础上，提供了一下增强内容：更安全的MAC算法；更严密的警报；“灰色区域”规范的更明确的定义。

安全协议--HTTPS

• Hypertext Transfer Protocol Over Secure Socket Layer，基于SSL协议的HTTP
• 是一个安全通信通道
• 用于在客户机和服务器之间交换信息
• 使用安全套接字层进行信息交换
• 端口号：TCP，443

SQL注入攻击

XSS攻击

❤跨站脚本攻击（Cross Site Scripting）

❤其原理是攻击者向有XSS漏洞的网站中输入（传入）恶意的HTML代码，当其他用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的。如盗取用户Cookie、破坏页面结构、重定向到其他网站等。

XSS防御

❤验证所有输入数据，有效检测攻击

❤对所有输出数据进行适当编码，以防止任何已成功注入的脚本在浏览器端运行

练习题

      某证券交易所为了方便提供证券交易服务，欲开发一个基于Web的证券交易平台。其主要功能包括客户开户，记录查询、存取款、股票交易等。客户信息包括姓名、Email（必填且唯一）、地址等；股票交易信息包括股票代码（6位数字编码的字符串）、交易数量（100的整数倍）、买/卖价格（单位：元，精确到分）。

系统要支持：

(1)在特定时朝内3000个用户并发时，主要功能的处理能力至少要达到128个请求/秒，平均数据量2KB/请求；

(2)页面中采用表单实现客户信息、交易信息等的提交与交互，系统前端采用HTML5实现。

【问题1】在对此平台进行非功能测试时，需要测试哪些方面？

【问题2】在满足系统要支持的(1)时，计算系统的通信吞吐量。

【问题3】表单输入测试需要测试哪几个方面？

【问题4】

(1)针对股票代码：111111、数量：10万、当前价格：6.00，设计4个股票交易的测试输入。

(2)设计2个客户开户的测试输入，以测试是否存在XSS、SQL注入

 

解析：

【问题1】Web系统按照软件质量特征分：性能测试，安全性测试，兼容性测试，易用性测试。

【问题2】系统的吞吐量：3000*128*2KB=750MB

【问题3】表单测试结合本题来看应为：每个字段的验证，字段的缺省值，表单中的输入。

【问题4】

（1）本题中有3个条件，应该设计一个测试用例覆盖3个有效等价类。然后根据每个条件的无效等价类各设计一个测试用例。

111111,10万，6（正确输入）；

1222， 10万，6（代码错误）；

111111,0万，6（数量错误）；

111111,10万，0（价格错误）。

（2）针对客户信息包含姓名，Email（必填且唯一），地址等输入，任意挑选一个输入文本框，在保障SQL能运行的前提下，输入带有注入式攻击和XSS攻击的特征内容即可。

姓名：张三 or 1=-1     Email:[email protected]           地址：xxxxxxx

姓名：张三     Email:[email protected]           地址：xxxxxxx