网络空间安全——总结

1.绪论

课程目标：
系统而全面的了解网络空间安全方面的基础知识、认识安全隐患、掌握相应的防范方法、提高大家的安全意识。
课程重点：
勾勒网络空间安全的框架。
课程内容安排：
安全法律法规
物理设备安全
网络攻防技术
恶意代码及防护
操作系统安全
无线网络安全
数据安全
信息隐藏
隐私保护
区块链
物联网安全
密码学基础
网络空间安全概念由来
欧洲信息安全局：网络空间安全和信息安全概念存在重叠，后者主要关注信息的安全，而网络空间安全则侧重于保护基础设施所构成的网络。
美国国家标准技术研究所：网络空间安全是“通过预防、检测和响应攻击，保护信息的过程”。

2.网络空间安全威胁

网络空间安全框架：
设备层安全：物理、环境、设备安全
系统层安全：网络、计算机、软件、操作系统、数据库安全
数据层安全：数据、身份、隐私安全
应用层安全：内容、支付、控制、物联网安全
网络空间安全事件：
设备层安全：
皮下植入RFID芯片–触碰手机即能盗取数据
以色列研究员用过时的GSM手机截获计算机辐射的电磁波盗取数据–并非不联网就安全
2012年伊朗布什尔核电站在信息系统物理隔绝的情况下仍然遭到了病毒攻击。
海湾战争硬件木马(恶意电路)的使用
叙利亚预警雷达的通用处理器后门被激活而使整个预计雷达系统失效。
系统层安全：
SQL注入(传统而有效)–机锋论坛用户信息泄露、广东人寿保单泄露、大麦网和网易邮箱用户信息泄露
恶意代码–特洛伊木马、计算机病毒(熊猫烧香、彩虹猫病毒、WannaCry勒索病毒、CIH病毒、Stuxnet蠕虫病毒）
数据层安全：
钓鱼WiFi
英国禁售儿童智能手表
基于蓝牙协议的BlueBorne攻击
应用层安全：
群发含钓鱼网站链接的虚假短信
利用充电桩打开USB调试模式窃取用户信息

3.网络空间安全框架

信息安全：
强调信息(数据)本身的安全属性，没能考虑信息系统载体对网络空间安全的影响。
网络安全：
是在网络各个层次和范围内采取防护措施，以便检测和发现各种网络安全威胁并采取相应响应措施，确保网络环境信息安全。
网络空间安全：
研究在信息处理等领域中信息安全保障问题的理论与技术，其核心仍然是信息安全问题。
基础维度：设备安全、 网络安全、应用安全、大数据安全、舆情分析、隐私保护、密码学及应用、网络空间安全实战、网络空间安全治理等。
网络空间安全需求：

网络空间安全问题：

网络空间安全模型：
动态风险模型：PDR,P2DR
动态安全模型：P2DR2(Policy,Protection,Detection,Response,Recovery)

4.信息安全法律法规概述

信息安全技术、法律法规和信息安全标准是保障信息安全的三大支柱。
信息安全涉及三种法律关系：
行政法律关系
民事法律关系
刑事法律关系
中国的网络信息安全立法包括：
国际公约
《国际电信联盟组织法》
《世界贸易组织总协定》
宪法
法律
人大常委会《关于维护互联网安全的决定》
《中华人民共和国刑法》
《中华人民共和国警察法》
行政法规
《互联网信息服务管理办法》
《中华人民共和国电信管理条例》
《商用密码管理条例》
《计算机信息系统国际联网安全保护管理办法》
《中华人民共和国信息网络国际联网管理暂行规定》
《中华人民共和国计算机信息系统安全保护条例》
司法解释
《最高人民法院关于审理扰乱电信市场管理秩序案件具体应用法律若干问题的解释》
关于著作权法“网络传播权”的司法解释
部门规章
公安部
信息产业部
国家保密局
国务院新闻办
国家出版署
教育部
国家药品质量监督管理局等国家部门所发布的有关信息安全方面的规章制度。
地方性法规

5.《计算机信息网络国际互联网安全保护方面的管理办法》

规定了相关部门，单位和个人的责任与义务
对于不同的违法行为加分类，并说明所需承担的法律责任

6.互联网络管理的相关法律法规

界定违法犯罪行为
给出了维护互联网安全的行动指南

7.有害数据集计算机病毒防治管理办法

制定单位与个人的行为规范
规定计算机信息系统的使用单位在计算机病毒防治工作中应旅行的责任
对从事计算机病毒防治产品生产的单位的要求
对计算机病毒的认定和疫情发布进行了规范
明确了计算机病毒相关违法的处罚

8.物理安全和物理安全管理

物理安全：又叫实体安全，是保护计算机设备、设施免遭地震、水灾、有害气体和其他环境事故破坏的措施和过程。
安全威胁
设备损毁
电磁泄露
电子干扰
环境安全
芯片安全
安全防护
防损毁措施：
严格按照规范操作
管理人员和操作人员定期维护、包养设备
计算机系统应制定或者设计病毒防范程序
要求特别保护的设备应与其它设备进行隔离
防电磁泄露信息：
电子隐蔽技术：主要用于干扰、调频等技术来掩饰计算机的工作状态和保护信息。
物理抑制技术：抑制一切有用信息的外泄
防电子干扰：
“蓝牙无线干扰”解决对策
“同频干扰”解决对策
环境安全防护：
防火
防潮及防雷
防震动和噪声
防自然灾害
安全设备
PC网络物理安全隔离卡
内外网绝对隔离
阻塞信息泄露通道
应用广泛
物理安全隔离网闸
物理安全隔离器
物理安全管理：
设备访问控制：所有硬件、软件、组织管理策略或程序，他们对访问进行授权或限制，监控和记录访问的企图、标识用户的访问企图，并且确定访问是否经过了授权。
物理访问控制：主要是指对进出办公室、实验室、服务器机房、数据中心等关键资产运营相关场所的人员进行严格的访问控制。
加固更多的围墙和门
采用专业摄像器材监控
设置警报装置和警报系统
设置专门的ID卡或其他辨明身份的证件

9.工控设备安全

工控设备简介
工业自动化控制系统
特点：层次化、网络化
核心组件：网络设备、主机设备和控制设备等
典型控制设备包括：
分布式控制系统（DCS）
可编程控制器（PLC）
紧急停车系统（ESD）
总线控制系统（FCS）
智能电子设备（IED）
远程终端单元（RTU）

工控安全态势
我国工控安全起步晚，底子薄弱
工控安全问题
身份认证和安全鉴别能力不够，甚至有些设备完全没有该功能。
缺乏数据保密性和完整性保护。
缺乏足够的访问控制能力。
无安全审计功能。
安全漏洞严重且难以修补。
容易受到拒绝服务攻击，对系统实时性有严重影响。
普遍存在一些不必要的端口和服务，显著增加了受攻击面。
工控威胁来源
信息安全意识不足“重Safety轻Security”
工业控制技术的标准化与通用化
工业控制网与企业网甚至是互联网的连接
智能化技术
工业环境的独特性
工控安全防护
建立纵深防御安全体系，提高工控系统安全性
针对核心部件加强安全管理，进行严格的访问控制
加强网络脆弱性的防护、采用安全的相关应用软件、严格控制NCU服务
加强对工业控制系统的安全运维管理；
建立有效的安全应急体系
从设备采购、使用、维修、报废全生命周期关注其信息安全，定期开展风险评估

10.芯片安全

芯片制造过程
设计
版图生成
制造
封装
测试

芯片安全事件
以色列空袭叙利亚可以核设施
芯片面临的安全威胁
赝品IC：主要指外观上与正规IC相同，但不符合标准的IC。
逆向工程：主要指逆向IC制造过程，通过物理电路来获取IP设计或者存储器中的敏感信息。
硬件木马（hardware Trojan）：通常指在原始电路中植入具有恶心功能的冗余电路，它可以篡改数据、修改或者破坏电路功能、修改电路参数、泄露信息和拒绝服务等。
硬件木马的分类及防护

11.可信计算

可信计算的出现

可信计算的概念
1990年国际标准化组织与国际电子技术委员会：如果第二个实体完全按照第一个实体的预期行动时，则第一个实体认为是第二个实体是可信的。
1999年国际标准化组织与国际电子技术委员会：参与计算的组件、操作或过程在任意的条件下是可预测的，并能够抵御病毒和一定程度的物理干扰。
2002年TCG非盈利组织：如果实体的行为总是以预期的方式，达到预期的目标，则该实体的可信的。
IEEE Computer society Technical Committee on Dependable Computing：可信是指计算机系统所提供的服务是可以论证其是可信赖的。
武汉大学张焕国教授：可信计算是能够提供系统的可靠性、可用性、安全性的计算机系统。
可信计算的基本思想
在计算机系统中：首先构建一个信任根，再建立一条信任链，从信任根开始到硬件平台、到操作系统、再到应用，一级度量认证一级，一级信任一级，把这种信任扩展到整个计算机系统，从而确保整个计算机系统的可信。
可信计算的信任根
信任根（TRUST ROOT）：是可信计算机系统可信的基点。
TCG认为一个可信计算平台必须包含三个信任根：
可信度量根（Root of Trust for Measurement, RTM）
可信存储跟（Root of Trust for Storge, RTS）
可信报告跟（Root of Trust for Report, RTR）
可信计算的信任链
信任链是信任度量模型的实施技术方案，通过信任链把信任关系从信任根扩展到整个计算机系统。
可信计算的关键技术
签注秘钥：签注秘钥是一个2048位的RSA公共和私有密钥对，该秘钥对在芯片出厂时随机生成并且不能改变。
安全输入输出：安全输入输出是指电脑用户和他们认为与之交互的软件间受保护的路径。
存储器屏蔽，存储器屏蔽拓展了一个存储保护技术，提供了完全独立的存储区域，即使操作系统自身也没有被屏蔽储存区域的完全访问权限。
密封存储，密封存储通过把私有信息和使用的软硬件平台配置信息捆绑在一起来保护私有信息。
远程认证，远程认证准许用户电脑上的改变被授权方感知。
可信计算的应用

12.防火墙概述

计算机网络中的防火墙：
防火墙是一套的网络安全防御系统，依据事先制定好的安全规则，对相应的网络数据流进行监视和控制。硬件外形是多网络接口的机架服务器，在网络拓扑图中使用红墙的图标来表示。可分为网络防火墙和主机防火墙。
防火墙定义：
在可信任网络和不可信任网络之间设置的一套硬件的网络安全防御系统，实现网络间数据流的检查和控制。
防火墙本质：
安装并运行在一台或多台主机上的特殊软件。
防火墙的作用：
安全域划分与安全域策略部署。
根据访问控制列表实现访问控制
防止内部信息外泄
审计功能
部署网络地址转换
防火墙的局限性：
无法防范来自内部的恶意攻击。
无法防范不经过防火墙的攻击。
防火墙会带来传输延迟、通信瓶颈和单点失效等问题。
防火墙对服务器合法开放的端口的攻击无法阻止。
防火墙本身也会存在漏洞而遭受攻击。
防火墙不处理病毒和木马攻击的行为。
限制了存在安全缺陷的网络服务，影响了用户使用服务的便利性。

13.防火墙关键技术

数据包过滤技术
检查每个数据包的基本信息，包括IP地址、数据包协议类型、端口号、进出的网络接口
优点：对用户透明、通过路由器实现、处理速度快
缺点：规则表的制定复杂、核查简单、 以单个数据包为处理单位
应用层代理技术
每种应用程序都要不同的代理程序
优点：
不允许外部主机直接访问内部主机，将内外网完全隔离，比较安全；
提供多种用户认证方案
可以分析数据包内部的应用命令
可以提供详细的审计记录
缺点：
每一种应用服务都要设计一个代理软件模块，而每一种网络应用服务安全问题各不相同，分析困难，因此实现也困难。对于新开发的应用，无法通过相应的应用代理。
由于检查整个应用层报文内容，存在延迟问题。
状态检测技术
采用基于链接的状态检测机制，将属于同一个链接的数据包作为一个整体的数据流来看待，建立状态连接表，且对连接表进行维护。通过规则表和状态表的共同配合，动态地决定数据包是否被允许进入防火墙内部网络。
优点：
具备较快的处理速度和灵活性
具备理解应用程序状态的能力和高度安全性
减小了伪造数据包通过防火墙的可能性。
缺点：
记录状态信息，会导致网络迟滞
跟踪各类协议，技术实现较为复杂。
网络地址转换技术
转换方式：
多对一映射：多个内部网络地址翻译到一个IP地址，来自内部不同的连接请求可以用不同的端口号来区分。普通家庭使用。
一对一映射：网关将内部网络上的每台计算机映射到NAT的合法地址集中唯一的一个IP地址。常用于Web服务器。
多对多映射：将大量的不可路由的内部IP地址转换为少数合法IP地址，即全球合法的IP地址，可用于隐藏内部IP地址。分为静态翻译和动态翻译。
优点：
对外隐藏内部网络主机地址
实现网络负载均衡
缓解了互联网IP地址不足问题
个人防火墙
安装在本地计算机上的系统安全软件，可以见识传入传出网卡的所用网络通信，使用状态检测技术，保护一台计算机。
优点：增加了保护级别，不需要额外的硬件资源。通常是免费软件资源。
缺点：个人防火墙自身受到攻击后，可能会失效，而将主机暴露在网络上。

14.入侵检测技术

防火墙技术的缺陷
只能防止外网用户的攻击，对内部网络的攻击与防范无能为力。
无法发现绕开防火墙的入侵和攻击行为。
不能主动检测与跟踪入侵行为
无法对网络病毒进行防范

入侵检测技术（Intrusion Detection System,IDS）：
一种主动的安全防护技术，一旁路方式接入网络，通过实时监测计算机网络和系统，来发现违反安全策略访问的过程。
网络安全技术中继防火墙之后的第二道防线。
部署在计算机网络的枢纽节点上，在不影响网络性能的前提下，通过实时地收集和分析计算机网络或系统的审计信息，来检查是否出现违反安全策略的行为和攻击的痕迹，达到防止攻击和预防攻击的目的。
作用和优势：
能够快速检测到入侵行为。
形成网络入侵的威慑力，防护入侵者的作用。
收集入侵信息，增强入侵防护系统的防护能力
入侵检测系统:：
通过对网络及其上的系统进行监视，可以识别恶意的使用行为，并根据监视结果进行不同的安全动作(如报警、阻断)，最大限度地降低可能的入侵危害。
对防火墙有益的补充，可以在网络系统中快速发现已知或未知的网络攻击行为，扩展了系统管理员的安全管理能力，提高安全系统的完整性。
急需解决的问题：高误报率和高漏报率。
发展方向: IPS (入侵防御系统)和IMS (入侵管理系统)。
构造全方位的综合安全体系:通过综合防火墙、入侵检测、漏洞扫描、安全评估等技术。
入侵检测系统主要功能：
监控、分析用户和系统的活动。
发现入侵企图和异常现象。
设计系统的配置和漏洞。
评估关键系统和数据文件的完整性。
对异常活动的统计与分析。
识别攻击的活动模型。
实时报警与主动响应。
入侵检测通用模型：
事件产生器：负责原始数据采集，对数据流、日志文件进行追踪，将原始数据转换为事件，并提供给其他组件。
事件分析器：接收事件信息，并采用检测方法进行分析，判断是否是入侵行为或者异常现象，将分析结果转变为警告信息。
响应单元：根据警告信息作出反应，如:与防火墙设备联动进行切断通信，修改文件访问权限，向终端或Email发出报警信息。
事件数据库：从事件产生器和事件分析器接收数据，存放各种中间或者最终数据。
入侵检测系统的分类：
基于网络的入侵检测系统。
基于主机的入侵检测系统。
分布式入侵检测系统。
入侵检测方法的分类：
特征检测——检测已知攻击。
异常检测——检测未知攻击。

15.虚拟专用网技术Virtual Private Network,VPN.

VPN技术出现的起因:
为确保机构内部信息安全
机构的全球IP地址数量不足
机构内不同部门和主机的分布范围较广
虚拟专用网技术：
企业专用网建设的最佳方案之一。
节省企业专用网的建设和运行成本。
增强网络的可靠性与安全性。
加快了企业网的建设步伐，可以安全、快速、有效地将企业分布在各地的专用网互联起来。

16.网络信息收集技术之网络踩点

信息收集的必要性及内容
攻防对抗(博弈)中: 对敌方信息的掌握是关键。
在入侵一个目标系统之前，必须了解目标系统可能存在的:管理上的安全缺陷和漏洞、网络协议安全缺陷与漏洞、系统安全缺陷与漏洞;
在入侵一个目标系统之前，必须了解目标系统可能存在的:管理上的安全缺陷和漏洞、网络协议安全缺陷与漏洞、系统安全缺陷与漏洞;
在入侵实施过程中，还需要进-步掌握: 目标网络的内部拓扑结构、目标系统与外部网络的连接方式与链路路径、防火墙的端口过滤与访问控制配置、使用的身份认证与访问控制机制。
网络信息收集技术
网络踩点
了解攻击目标的隐私信息、网络环境和信息安全状况
根据踩点结果，攻击者寻找出攻击目标可能存在的薄弱环节
网络扫描
网络查点
网络踩点常用手段
Google Hacking
Google Hacking防范措施
将你不希望被别人搜索到敏感信息从论坛、微博、微信等公共媒体上删除干净。
发现存在非预期泄漏的敏感信息后，应采取行动进行清除。
发布信息时，尽量不要出现真实个人信息。
做为网络管理员，不要轻易在讨论组或技术论坛上发布求助技术帖，因为那样往往会将单位内部网络拓扑结构或路由器配置信息泄露给他人。
关注中国国家漏洞库CNNVD等安全漏洞信息库发布的技术信息，及时更新软件或操作系统补丁。
Whois查询
DNS注册信息WhoIS查询：查询特定域名的3R详细注册信息。
已注册域名的注册人(Registrant) (域名登记人信息、联系方式、域名注册时间和更新时间、权威DNS IP地址等)信息。
注册商(Registrar) 信息。
官方注册局(Registry)信息。
官方注册局一般会提供注册商和ReferralURL信息，具体注册信息则位于注册商数据库中。
DNS WhoIS查询思路
ICANN:因特网技术协调机构，负责协调以下因特网标识符的分配工作:
域名、IP地址、网络通信协议的参数指标和端口号
位于DNS/IP层次化管理结构的顶层，因此是手动WHOIS查询的最佳入口点
IP WhoIS查询：ICANN的地址管理组织ASO总体负责IP分配工作
具体IP网段分配记录和注册者信息都存储于各个洲际互联网管理局RIR的数据库中。
有时需要到国家/地区互联网注册局NIR (中国为CNNIC)或ISP 查询更细致信息。
Whois查询安全防范措施
及时更新管理性事务联系人的信息
尝试使用虚构的人名作为管理性事务联系人
使用域名注册商提供的私密注册服务，确保敏感信息如组织的实际物理地址，电话号码，电子邮箱等信息不被公开。

17.网络信息收集技术之网络扫描

网络扫描(Scanning)攻击者通过扫描技术确定目标的操作系统、开放的网络应用服务的类型及版本信息，进而找到可能存在的入侵漏洞。
常见的网络扫描技术
主机扫描
原理:向目标系统发出特定的数据包，并分析目标系统返回的响应结果（或者没有任何结果）的行为。
常见扫描技术：
ICMP Ping扫描
端口扫描
TCP ACK Ping扫描
TCP SYN Ping扫描
UDP Ping扫描
如何防范主机扫描：
使用诸如Snort入侵检测系统，或者McAfee桌面防火墙工具，来监测主机描活动。
根据业务需求，仔细考虑允许哪些类型的ICMP通信进入网络。
利用访问控制列表ACL
在不妨碍公司通信的前提下，只允许ECHO_ REPLY、TIME_ EXCEEDED、HOST_ UNREACHABE进入DMZ网络，而限制TIMESTAMP、ADDRESSMASK的进入。
端口扫描
常见的几种端口扫描技术：
TCP连接扫描
TCP SYN扫描
TCP FIN扫描
TCP圣诞树扫描
TCP空扫描
TCP ACK扫描
TCP窗口扫描
TCP RPC扫描
UDP扫描
端口扫描防范措施

操作系统/网络服务辨识
漏洞扫描

18.网络查点

查点（Enumeration）：对已选择好的攻击目标，发起主动连接和查询，针对性的收集发起实际攻击所需的具体信息内容
网络服务旗标抓取：利用客户端工具连接至远程网络服务并观察输出以收集关键信息的技术手段。
通用网络服务查点
FTP服务查点
控制协议TCP 21端口，没有任何加密，明文传输口令
匿名登录，甚至匿名上传与下载文件
FTP查点很简单：使用FTP客户端程序连接即可
Windows平台网络服务查点
NETBIOS名字服务查点
SMB回话查点
目录查点
MSRPC查点
针对Windows系统网络查点的防范措施
关闭不必要的服务及端口
关闭打印与共享服务（SMB）
不要让主机名暴露使用者身份（计算机名）
关闭不必要共享，特别是可写共享
关闭默认共享（根盘符$，Admin$）
限制IPC$默认共享的匿名空连接等

19.window系统渗透基础

控制注入攻击：
典型的劫持攻击技术：
缓冲区溢出
格式化字符串漏洞
整数溢出
指针释放后再次被使用
Windows系统主要的网络服务程序：
NetBIOS网络服务
SMB网络服务
MSRPC网络服务
RDP远程桌面服务
远程渗透Windows系统的途径
认证欺骗
客户端软件漏洞利用
设备驱动漏洞利用
针对系统渗透攻击的一些常见防御措施
及时更新应用软件、操作系统、硬件设备驱动程序的安全补丁
禁用不必要的网络服务
使用防火墙来限制对可能存在漏洞的服务的访问
强制用户使用强口令并定期更换口令
审计与日志
使用扫描软件主动发现系统是否存在一直安全漏洞，安装入侵检测/防御系统。
客户端应用程序尽量使用受限权限，而非管理员或同等级权限的用户登录因特网。
运行并及时更新病毒软件
禁用易受攻击的硬件设备

20.Internet协议安全问题

因特网基本结构
因特网上的终端设备，路由器以及其他连接设备，都需要运行一系列协议，这些协议控制因特网中信息的接收和发送。
因特网的主要协议统称为TCP/IP协议
网络安全五大属性
网络安全CIA属性
机密性（Confidentiality）
完整性（Integrity）
可用性（Availability）
其他两个补充属性
真实性（Authentication）
不可抵赖性（Non-Repudiation）
网络攻击的基本模式
被动威胁
截获（窃听）:机密性
嗅探（sniffing）
监听（eavesdropping）
主动威胁
篡改：完整性
数据包篡改（tampering）
中断：可用性
拒绝服务（DoSing）
伪造：真实性
欺骗（Spoofing）
因特网协议栈层次结构
应用层：支持网络应用FTP，SMTP，HTTP等。
传输层：主机到主机数据传输TCP，UDP。
网络层：从源到目的地数据报的选路IP，ICMP，BGP等。
网络接口层：在邻近网络设备之间传输数据PPP，以太网

网络层协议安全分析——IP源地址欺骗
路由器只根据目标IP地址进行路由转发，不对源IP地址做验证。
任何人都可使用原始套接字构造任意源IP地址的数据报。
响应数据报也将被发回伪造的源IP地址。
通常用于发起匿名Dos攻击。
传输层协议安全分析——TCP三次握手

C向S发出TCP连接请求报文段，其首部中的标志位SYN = 1，并使用随机数初始化序列号。
C收到此报文段后向S给出确认，标志位ACK = 1，确认号SNC = + 1， = 。C的TCP通知上层应用，连接已经建立。
S的TCP收到来自C的确认后，也通知其上层应用，连接已经建立。双方开始数据传输。
TCP协议安全分析——TCP RST攻击

IP地址
目标IP地址
TCP端口号
序列号和确认号
TCP协议安全分析——会话劫持攻击

应用层协议安全分析——DNS协议

DNS协议安全分析——DNS欺骗

拒绝式服务攻击
拒绝式服务（Denial of Service，简称DoS）攻击使得网络、主机或其他基础设施不能被合法用户使用，Web服务、电子邮件服务、DNS服务和机构网络，都会成为拒绝式服务攻击的目标。
拒绝式服务攻击，其本质是：用超出目标处理能力的海量数据包消耗可用系统资源、带宽资源等，或造成程序缓冲区溢出错误，致使其无法处理合法用户的正常请求，最终致使网络服务瘫痪，甚至系统死机。
拒绝式服务攻击基本分为如下两类：
弱点攻击
洪泛攻击
典型拒绝式服务攻击
Ping of Death
泪滴（Threadrop）
IP欺骗DOS攻击
UDP洪泛
TCP SYN洪泛
一种基于流量的拒绝式服务攻击。

以广播方式发送大量数据报，包的源地址填写为被攻击目标主机的IP地址：所有接收到此包的主机都将向被攻击主机发送ICMP回复包。

Land攻击
ICMP Smurf攻击
Fraggle攻击
电子邮件炸弹
畸形消息攻击
Slashdot effect
WinNuke攻击
TCP/IP网络协议栈攻击防范措施
网络接口层，监测和防御网络威胁，对网关路由器等关键网络节点设备进行安全防护，优化网络设计，增强链路层加密强度。
网络层，采用多种检测和过滤技术来发现和阻断网络中欺骗攻击，增强防火墙、路由器和网关设备的安全策略，关键服务器使用静态绑定IP-MAC映射表、使用IPsec协议加密通讯等预防机制。
传输层加密传输和安全控制机制，包括身份认证和访问。
应用层加密，用户级身份认证，数字签名技术，授权和访问控制技术以及审计、入侵检测。

21.基本的Web安全

跨站脚本攻击（Cross-Site Scripting,XSS）
维基百科定义：跨站脚本XSS通常是指攻击者利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载网页时会运行恶意制造的代码。
脚本：JavaScript、VBScript、ActiveX、Flash、HTML
攻击者：得到敏感信息→获取更高用户权限→以被攻击者身份执行操作。
跨站脚本XSS分为三种类型：
反射性XSS

存储型XSS

DOM-XSS
DOM，全称Document Object Model，文档对象模型。
当用户能够通过交互修改浏览器页面中的DOM并显示在浏览器上时，就有可能产生这种漏洞。
假设www.victim.com这段代码用于创建表单以允许用户选择首选语言。查询字符串也在参数“默认”中设置默认语言。

防护XSS攻击：
在浏览器设置中关闭JavaScript，关闭cookie或设置cookie为只读，提高浏览器的安全等级设置，尽量使用非IE的安全浏览器来降低风险。
XSS攻击随着社会工程学的成功应用，个人用户还需要增强安全意识，只信任值得信任的站点或内容，不要轻易点击不明连接。
SQL注入
SQL注入是指利用Web应用程序输入验证不完善的漏洞，将一段精心构造的SQL命令注入到后台数据库引擎执行。
SQL注入造成的危害包括但不限于：
数据库中存放的用户隐私信息被泄露。
网页篡改，即通过操作数据库对特定网页进行篡改。
通过修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。
数据库的系统管理员账号被篡改。
服务器被黑客安装后门进行远程控制。
破坏硬盘数据，瘫痪全系统。
SQL注入漏洞是怎么样形成的？

SQL注入的主要原因web应用程序没有对用户输入进行严格的转义字符过滤和类型检查。
防范SQL注入攻击需要注意：
使用类型安全的参数编码机制；
对来自程序外部的用户输入，必须进行完备检查；
将动态SQL语句替换为存储过程，预编译SQL或ADO命令对象；
加强SQL数据库服务器的配置与连接，以最小权限配配置原则配置Web应用程序连接数据库的操作权限，避免将敏感数据明文放于数据库中。
跨站请求伪造（Cross-Site Request Forgey，CSRF）

对CSRF的防护
服务端
客户端
设备端

22.社会工程学攻击

社会工程学攻击：利用人的好奇心、轻信、疏忽、警惕性不高，使用诸如假冒、欺诈、引诱等多种手段，来操纵其执行预期的动作或泄露机密信息的一门艺术与学问。
攻击形式：
信息收集
心理诱导
身份伪造
施加影响
首要目标：获得金钱收益
次要目的：竞争优势和打击报复

23.恶意程序概述

恶意程序
威胁个人、企业与国家的信息与系统安全的重要因素。
能导致公私财物受损。
危及人身安全、公共安全与国家安全。
根据腾讯2017年安全报告：
拦截PC端病毒近30亿，发现6.3亿台用户机器中病毒或木马。
近六成恶意程序为木马，木马已成网络黑产首选攻击方式。
勒索病毒爆发性增长，全年总计发现敲诈勒索病毒样本数量660万。
查杀安卓病毒12.4亿次，发现新增病毒总数达1545万，染毒手机用户超1.88亿。
什么是恶意程序？
运行在目标计算机上，使系统按照攻击者意愿而执行任务的一组指令。
恶意程序是在未被授权的情况下，以破坏软硬件设备、窃取用户信息、扰乱用户心理、干扰用户正常使用为目的而编制的软件或代码片段。——维基百科
恶意程序分类：
计算机病毒；
蠕虫；
特洛伊木马；
隐遁工具（Rootkits）；
间谍软件；
恶意广告；
流氓软件；
逻辑炸弹；
后门程序；
僵尸网络；
网络钓鱼；
恶意脚本；
勒索软件；
智能终端恶意程序。
恶意程序通常有以下若干特征：
强制安装。
难以卸载。
浏览器劫持：擅自修改用户浏览器设置，迫使用户无法访问特定网站或导致用户无法正常上网。
广告弹出。
恶意收集用户信息。
恶意卸载：擅自或误导、欺骗用户卸载其他软件。
恶意捆绑：在软件中捆绑已被认定的恶意软件。
其他侵犯用户知情权、选择权的恶意行为。
计算机病毒发展阶段：
病毒萌芽滋生阶段：1986~1989年特点：
攻击目标单一。
传染目标后的特征比较明显。
病毒程序不具有自我保护措施，容易被分析和解刨，容易编制相应的消毒软件。
病毒发展综合阶段：1989~1992年特点：
攻击目标趋于混合型。
采取更为隐蔽的方法驻留内存和传染目标。
病毒传染目标后没有明显特征。
病毒程序采取自我保护措施。
出现许多传染性更隐蔽，破坏性更大病毒。
病毒成熟发展阶段：1992~1995年特点：
出现许多具有多态性或“自我变形”能力的病毒。
出现病毒生成器MtE。
1995年之后，各种恶意程序利用互联网作为其主要传播途径，传播速度快、隐蔽性强、破坏性大。
1999~2004年，蠕虫肆虐时期。
2005~至今，木马开始流行并逐渐成为主流。
2011~至今，出现大量基于移动互联网平台恶意代码。
恶意程序逐渐注重经济利益和特殊应用，朝产业化方向发展。
恶意程序发展趋势：
网络化发展、专业化发展、简单化发展
多样化发展、自动化发展、犯罪化发展

24.病毒与蠕虫

计算机病毒
《中华人民共和国计算机信息系统安全保护条例》将病毒定义为：编制或者在计算机病毒中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序。
CIH病毒
1998年6月，台湾大学陈盈豪编制
特点：破坏硬盘数据、清除主板上的信息
造成的损失：感染了全球六千多万台计算机，损失估计约5亿美元
计算机病毒原理

计算机病毒危害：
蓄意破坏：实现病毒制作者意图
偶然性破坏：病毒自身错误或与兼容性问题影响系统运行
附带性破坏：强占系统资源，影响计算机性能
造成心理的及社会的危害：导致声誉损失和商业风险，以及对病毒不恰单处理造成的损失
防范计算机病毒：
安装知名的杀毒软件，经常杀毒
不上不良网站
打开U盘的时候要优先杀毒
不要轻易下载小网站的软件
不要随便打开来路不明的电子邮件与附件程序
蠕虫
蠕虫是利用复制的方式将自身从一台计算机传播到另一台计算机的恶意代码。——维基百科
重大蠕虫事件：
1988年，莫里斯蠕虫，损失达9600万美元。
1999年，梅丽莎蠕虫，损失超过12亿美元。
2000年，爱虫病毒，损失超过100亿美元。
……
2006年，熊猫烧香病毒
能够终止反病毒软件和防火墙软件进程；
删除扩展名为gho的文件，使用户无法食用菌ghost软件恢复操作系统；
感染系统的*.exe、.com、.pif、.src、.html、*.asp文件，导致用户无法打开这些文件；
让IE自动连接到指定网址中下载病毒。
通过U盘和移动硬盘等进行传播，并且修改注册表启动项，将被感染的文件图标变成“熊猫烧香”的图案。
通过共享文件夹、系统弱口令等多种方式进行传播。
损失估计：上亿美元。
蠕虫工作原理：
通过网络，利用目标主机系统、应用程序漏洞或计算机用户的操作失误实现传播。
蠕虫工作流程：
漏洞扫描→攻击→传染→现场处理
蠕虫特点：
传染方式多
传播速度快
清除难度大
破坏性强
防范蠕虫措施：
选购合适的杀毒软件，及时升级病毒库
及时更新系统
提高防毒意识，不轻易点击或浏览陌生网站
不随意查看陌生邮件，尤其带有附件的邮件
流氓软件
为名曲提示或未经许可，在用户计算机或其它终端上强行安装并运行，侵犯用户合法权益的恶意软件。
常见流氓软件行为：
强制安装
恶意安装
难以卸载
广告弹出
恶意卸载
恶意捆绑
浏览器劫持
恶意收集用户信息
流氓软件行为现状：
观察浏览器、播放器、能自启动软件可知流氓软件普遍存在。
防范流氓软件使用反流氓软件工具：
恶意软件清理助手
瑞星上网安全助手
金山毒霸系统清理专家
……

25.木马与网页木马

特洛伊木马程序
指通过特定的程序来访问与控制另一台计算机的恶意远程控制程序。
木马程序结构

木马程序攻击流程：
利用绑定程序的工具将木马服务器程序绑定到合法软件上，诱使用户运行合法软件以完成其安装过程。
木马客户端程序利用信息反馈或IP扫描，获知网络中了木马的主机，建立木马通道。
利用客户端程序向服务器程序发送命令，达到操控用户计算机的目的。
木马程序实例：
2012年，网银刺客、浮云。
木马类型：
网游木马：记录用户键盘输入、用户的账号和密码。
网银木马：盗取用户的卡号、密码，安全证书。
下载类木马：从网络上下载其他恶意程序。
代理类木马：开启HTTP、SOCKS等代理服务功能，把受感染计算机作为跳板，以被感染用户的身份进行活动。
FTP木马：让被控制计算机称为FTP服务器。
网页点击类：模拟用户点击广告等动作，在短时间内可以产生数以万计的点击量。
木马危害：窃取信息、远程控制，具体包含4个方面：
盗取网游账号，威胁虚拟财产安全。
盗取网游信息，威胁真是财产安全。
利用及时通信软件盗取身份，传播木马等不良程序。
给电脑打开后门，使电脑被黑客控制。
防范木马程序：
选购合适的杀毒软件、经常升级病毒库。
不要轻易点击或浏览陌生网站。
不随意查看陌生邮件，及带有附件的邮件。
不适用来历不明的软件。
及时更新系统补丁。
网页木马
伪装成普通网页文件或是将恶意代码插入到正常网页文件中，当被访问时，网页木马利用系统或者浏览器的漏洞，自动将配置好的木马服务端程序下载到访问者的系统并自动执行。
网页木马主要有4种恶性：
推装软件：电脑会出现一些未曾安装的软件。
植入挖矿软件：用户网络带框会被严重占用，被利用来收集门罗币牟利，出现运行卡慢现象。
截取在线平台交易：当用户使用购物网站等软件进行交易时，木马会劫持交易，将用户资金转入特定账号。
远控木马：利用用户电脑下载其他远程控制木马，实现对电脑长期控制。
网页木马原理：
实质：一个包含木马种植器的HTML网页。
该网页包括：攻击者精心制作的脚本。
用户一旦访问了该网页，网页中的脚本会利用浏览器或浏览器外挂程序的漏洞，在后台自动下载攻击者预先放置在网络上的木马程序并安装运行该木马看，或下载病毒、密码盗取等恶意程序，整个过程都在后台运行，无需用户操作。
防范网页木马：
及时安装浏览器补丁、及时升级浏览器。
安装安全软件，拦截挂马攻击。
不访问不熟悉的网站，警惕点击诱人的广告。
利用virusTotal在线查杀引擎查杀可疑网址。

26.僵尸网络与后门

僵尸网络
采用一种或多种传播手段，使大量主机感染僵尸程序，在控制者和被控制者主机之间形成一对多控制点网络称为僵尸网络。被感染主机中僵尸程序通过控制信道接收与执行攻击者的指令。
僵尸网络危害：
攻击者可以利用僵尸网络发起各种攻击，导致整个基础信息网络或者重要应用系统瘫痪。
能切确大量机密或个人隐私，或从事网络欺诈。
僵尸网络发起攻击常见有：
拒绝服务攻击
发送垃圾邮件
窃取秘密
滥用资源
僵尸网络挖矿
僵尸网络工作原理：
传播：通过攻击系统漏洞、发送带毒邮件、利用及时通信软件、恶意网站脚本、特洛伊木马等传播僵尸程序。
加入：僵尸程序使感染主机加入到僵尸网络，登录到指定的服务器，并在给定的信道中等待控制者指令。
控制：攻击者通过中心服务器发送预先定义好的控制指令，让被感染主机执行恶意行为。
防范僵尸网络
采用web过滤服务
禁用脚本
及时升级浏览器
部署防御系统
使用应急补救工具
后门
后门是指绕过系统安全机制而获取系统访问权的恶意程序。即后门允许攻击者绕过系统中常规安全控制机制，按照攻击者意愿提供访问系统的通道。
常见后门工具：
IRC后门，具有恶意代码的功能
Netcat，瑞士军刀
VNC，具有远程控制功能
login后门
Telnetd后门
TCP Shell后门
ICMP Shell后门
UDP Shell后门
Rootkit后门
隐遁工具（rootkit）
在目标计算机上隐藏自身、指定的文件、进程和网络连接等信息的一种恶意软件。rootkit能持久并不被察觉地驻留在目标计算机中，通过隐秘渠道收集数据或操纵系统。
Rootkit危害
Rootkit和恶意程序结合使用。
帮助恶意程序隐身，逃避安全软件查杀，危害大。
Rootkit一般包含以下功能部件：
以太网嗅探器程序，用于获得网络上传输的用户名和密码等信息。
特洛伊木马程序，为攻击者提供后门与通信。
隐藏攻击者的目录和进程的程序。
日志清理工具，隐藏自己的行踪。
防范Rootkit
不要在网络上使用明文传输口令
使用完整性检测工具及时发现攻击者的入侵。
使用病毒扫描程序。
定期更新软件。
在主机和网络上安装防火墙。
采用强密码策略。

27.网络钓鱼与安卓恶意软件

网络钓鱼
利用欺骗性的电子邮件和伪造的Web站点进行网络诈骗活动。诈骗者将自己伪装成网络银行、在线零售商和信用卡公司等可信的品牌单位，骗取用户私人信息，致使受骗者泄露自己的私人资料，如信用卡号、银行卡账号、身份证号等内容。
网络钓鱼的危害：奇虎360《2017年网络诈骗趋势研究报告》显示：2017年收到有效网络诈骗举报24260例，举报总金额3.50亿余元，其中30.7%的人在钓鱼网站上支付累计2.2亿元（64.3%）；1.2%人在钓鱼网站上，被盗刷215.6万元（0.6%）。
网络钓鱼常用的行骗手段
群发短信“善意”提醒，诱使网民上网操作。
境外注册域名，逃避网络监管。
高仿真网站制作，欺骗网民透露账号和密码。
连贯转账操作，迅速转移网银款项。
网络钓鱼传播途径
通过QQ、微信等客户端聊天工具发送传播钓鱼网站链接。
在搜索引擎、中小网站投放广告，吸引用户点击钓鱼网站链接。
通过Email、论坛、博客、SNS网站批量发布钓鱼网站链接。
通过微博的短连接散步钓鱼网站链接。
通过仿冒邮件，欺骗用户进入钓鱼网站。
感染病毒后模仿QQ等聊天工具窗口，用户点击后进入钓鱼网站。
恶意导航网站、恶意下载网站弹出仿真悬浮窗口，点击后进入钓鱼网站。
伪装成用户输入网址时易错的网址，一旦用户写错，就误入钓鱼网站。
防范网络钓鱼
安装杀毒软件并及时升级病毒库和操作系统补丁
将敏感信息输入隐私保护，打开个人防火墙。
不登录不熟悉的网站，细心校对键入网站地址，以防错误而误入钓鱼网站。
不要点击不明电子邮件或短信中的任何连接。
登录银行网站前，要特别留意浏览器地址栏，如果发现网页地址不能修改，最小化浏览器窗口仍可看到浮在桌面上的网页地址等现象，请立即关闭窗口，以免账号密码被盗。
安卓恶意程序
以安卓智能手机作为攻击目标的恶意程序。
传播途径
重打包
更新包
偷渡式下载
安卓恶意程序类型：
安卓恶意程序包含以下恶意功能：特权提升、远程控制、话费吸取、隐私窃取等。
分类：木马软件、蠕虫软件、后门软件、僵尸软件、网络钓鱼、间谍软件、恐吓软件、勒索软件、广告软件、跟踪软件。
知名各类安卓恶意程序：
木马软件：Zsone、Spitmo、Zitmo
蠕虫软件：Obad
后门：Obad、Basebridge、Kmin
僵尸网络：Geinimi、NotCompatible
间谍软件：GPSSpy、Nickyspy
恐吓软件：Koler
勒索软件：Fakedefender.B
广告软件：Uapush.APP
防范安卓恶意软件的具体措施：
及时更新手机推送的系统更新，尤其是涉及安全补丁内容。
及时更新手机软件。
通过可信渠道安装安全软件/杀毒软件。
加强自身的防范意识。

28.操作系统面临的安全威胁

操作系统是：
计算机资源的管理者
计算机软件的基础和核心
所有应用软件运行的载体
若没有操作系统的安全性，也就没有主机系统的安全性。操作系统安全是整个网络空间安全的基石。
操作系统面临安全威胁
机密性威胁
信息的机密性，是指实现原始信息隐藏的能力，让原始信息对非授权用户呈现不可见状态。
敏感领域应用：
军事应用
企业核心业务应用
机密性威胁指可能导致机密信息和隐私信息发生泄漏的意图、事件、策略、机制、软硬件等。
操作系统中常见的机密性威胁
窃听，也称窃取和嗅探（sniff）：操作系统中的窃听是指窃听软件在主机系统上，对数据信息进行非法获取的行为。
后门（backdoor）：也叫天窗，是指能够绕过操作系统安全控制体系，而获取对系统或程序访问权的方法。
木马程序：也叫后门程序，是指潜伏在主机，能够利用后门等安全弱点，达到远程监听机密信息或远程控制主机目的恶意代码。
间谍软件（Spyware）：通常指能够在用户不知情的情况下，在其电脑上安装后门、收集用户信息的软件。间谍软件通常为木马程序提供信息服务。
隐蔽通道（Convert channel）：是指操作系统中两个程序之间不受安全策略控制、违反安全策略的信息泄露路径。
完整性威胁
系统中所使用的信息与原始信息相比没有发生变化，未遭受偶然或恶意的修改、破坏，称信息具备完整性。没有经过非法或未授权的修改、破坏，具有可信性。
常见的完整性威胁：
计算机病毒：是主机系统上最常见就的安全威胁之一。计算机病毒往往会对信息内容进行修改或破坏，是威胁信息内容完整性的重要来源。
计算机欺骗：是指故意产生虚假信息，导致用户或程序作出错误的反应，多属于来源完整性威胁。
可用性威胁
可用性是指系统能够正常运行或提供必要服务的能力，是系统可靠性的一个重要因素。
常见的可用性威胁：
拒绝服务攻击Dos：DOS攻击是指利用网络协议或操作系统的缺陷或直接通过野蛮手段恶意地耗尽被攻击主机的系统资源（如网络带宽、系统内存等），使得被攻击计算机无法正常运行或无法提供有质量的应用服务，甚至出现停止响应或系统崩溃等严重的安全。

29.操作系统的安全脆弱性

操作系统的安全脆弱性，也称为安全弱点或安全漏洞（vulnerability），是指操作系统中存在的可能被安全威胁利用造成损害的缺陷或薄弱点。
漏洞≠BUG
系统漏洞分类：
可能导致获取系统控制权的漏洞
可能导致获取隐私信息的漏洞
可能导致受到拒绝服务攻击的漏洞
操作系统安全的紧迫性
恶意代码、木马、间谍软件、病毒等多种安全威胁呈现相互渗透、相互叠加的趋势，将大大增加风险识别和消除的难度。
操作系统中一发现且公开安全漏洞以超过10000个，且近年来呈倍数级增长态势。
已发现但未公开的操作系统漏洞也具有一定数量，尤其是零日漏洞（0day）多被黑客在地下黑市以巨额资金购买，并加以利用，造成的威胁极大。
危害巨大的勒索病毒不断出现新变种，并且有与蠕虫病毒结合的迹象，一旦二者紧密结合，将给网络空间安全带来极其严重的威胁，甚至可以达到摧毁级。

30.操作系统安全中心的基本概念

安全操作系统是按照特定安全目标设计实现的操作系统，和符合标准的安全等级相对应。
基础：分析操作系统安全性
依据：特定的安全等级标准
采用：安全策略、安全模型、安全机制
功能：有效消除可能的安全风险保证操作系统安全运行
安全操作系统的研发的方式
完全自主研发
不依赖于任何已有操作系统
对开发技术要求高
花费周期长
研发成果完全自主可控
对已有操作系统进行安全修改和安全增强，以期待达到特定的安全等级要求
基于开源的Linux操作系统
研发难度较低
研发周期短
自主性和安全性很难控制
从安全角度划分，软件可以分为：
可信软件
保证能安全运行，但系统安全仍然依赖于对软件的无错操作；
真正的可信软件：由可信人员根据严格的标准开发，通过现今的软件工程技术证明。
不可信软件
良性软件
并不确保安全运行，但不会出现有意的违反规则，其出现的错误被视为偶然性的，通常不会影响系统安全；
恶意软件
来源不明的软件，从安全角度则被视为恶意软件，可能将对系统进行破坏。
主体、客体和安全属性：
主体（subject）：操作系统中主动的实体称为主体，即某种行为的发起实体，包括用户、用户组、进程等。
客体（object）：操作系统中被动的实体，是主体行为的接受者，包括信息实体、设备实体和进程等。
安全属性：主体或客体的与安全相关的特定敏感标记，这些安全标记是实施访问控制的基础。
安全策略、安全模型与安全机制
安全策略：有关如何管理、保护与分发敏感信息的法律、规定、条例和实施细则的集合，通常由一组安全规则描述。
安全模型：对安全策略所表达的安全需求进行简单、抽象和无歧义的描述。
安全机制：实现安全策略的具体方法及过程，通常在安全模型指导下设计实现。
安全内核
概念：安全操作系统中实现安全策略的技术。
组成：引用验证机制、访问控制机制、授权机制、授权管理机制。
可信计算基
操作系统的安全依赖于一些具体实施安全策略的可信的软件和硬件，它们与负责系统安全管理的人员一起组成了系统的可信计算基。
组成：
操作系统安全内核
具有特权的程序和命令
处理敏感信息的程序
与可信计算基实施安全策略有关的文件
其他有关的固件、硬件和设备
负责体系管理的人员
保障固件和硬件正确的程序和诊断软件

31.操作系统安全策略与安全模型

安全策略是对系统的安全需求，以及如何设计和实现安全控制有一个清晰的、全面的理解和描述，通常是描述一组规则。
安全模型是对安全策略所表达的安全需求的精确、无歧义抽象描述，在安全策略与安全实现机制的关联之间提供的一种框架。
安全模型分类 ：
形式化
形式化安全模型，首先要使用数学模型来精确描述安全性及其在系统中使用的情况，建立抽闲模型，并推出形式化规范，通过证明方法来实现安全系统。
非形式化
非形式化安全模型仅关注系统安全功能，从安全需求出发，推出功能规范，再实现安全系统，主要采用论证与测试技术保证安全性。
安全策略分类：
军事安全策略
以保护信息机密性为主
商业安全策略
以保护信息完整性为目标
实现安全策略的最常用的访问控制模型
从权限控制角度出发，访问控制行可分为自主访问控制模型和强制访问控制模型。
自主访问控制模型能够按客体属主（拥有者）用户自己的意愿来确定系统中用户对该客体的访问权限。
强制访问控制模型，系统为每个主体和每个客体都赋予一个许可敏感性标记，表示访问许可级别或安全几倍；系统对每一次的访问请求，将强制通过比较主、客体的安全级别来决定是否允许这个访问请求。
典型的强制访问控制模型：
BLP模型：
最早的适用于军事安全策略的安全模型，主要用于防止机密信息泄露。
BLP模型定义了两种安全策略：
自主安全策略：使用一个访问矩阵表示，用第i行第j列的元素存储登记主体i对客体j的许可访问权限表，即主体只能按访问矩阵中的许可权限对客体进行访问。
强制安全策略
简单安全特性：规定“读”操作的规则，一个主体对客体进行“读访问”的必要条件，是主体的安全级别不小于客体的安全级别；即主体只能向下读，不能向上读。
*特性：规定“写”操作规则，一个主体对客体进行写访问的必要条件，是客体的安全级别不小于主体的安全级别，即说主体只能向上写，不能向下写。
Biba模型：
一种典型的描述商业安全策略的安全模型。该模型主要用来保证信息完整性，也是保护信息完整性的第一个安全模型。
定义主体和客体的完整性级别，并给出“写、执行”和“读”的规则。
“写和“执行”的安全规则：
当且仅当客体完整性级别≤主体完整性级别时，主体才可以写客体。
当且仅当主体1完整性级别≤主体2的完整性级别，则主体S1才能够执行主体S2。
主体和客体拥有相同的完整性级别时，主体可以同时对客体进行“读”和“写”操作。
“读操作”的规则
最低点规则（Low-Water-Mark）：即当一个客体完整性级别是系统中最低级别时，任一个主体都可“读”该客体，该主体“读”操作后，其完整性级别被调整为最低级别。
环规则模型（Ring）：不管完整性级别如何，任何主体都可以读任何客体。
严格的完整性模型（Strict Integrity）：在满足最低点规则的基础上，当且仅当主体的完整性级别≤客体完整性级别时，主体才可以读客体；当且仅当主体和客体拥有相同的完整性级别时，主体可以同时对客体进行“读”和“写”操作。

32.操作系统安全机制

安全机制是安全策略的设计实现，是指导操作系统安全内核开发重要依据。
常见的操作系统安全机制：
认证机制（用户标识与鉴别）：标识与鉴别用户身份。
标识是指操作系统能够通过内部识别码或标识符正确识别用户的身份。
将用户标识符与用户联系的过程称为鉴别。
操作系统鉴别用户的过程：
用户管理和登录
核对用户申请的安全级、计算特权集等
授权机制：检查其是否拥有使用本机资源的权限及有哪些访问权限。
授权机制的功能是授权和确定存取控制：
授权，是指确定给予哪些主体存取哪些客体的权限，并实施这些存取权限。
确定具体存取权限有哪些，通常包括：读、写、执行、删除、追加等存取方式。
特殊授权机制（最小特权原则）
定义一个特权就是定义一个可违反系统安全策略的操作能力。
系统中的每个主体只能拥有与其操作相符的必须的最小特权集，特别是不应给超级用户超过执行任务所需特权以外的特权。
约束权限的滥用，或超越权限的违规操作。
访问控制机制
自主存取控制机制：自主控制存取控制机制下，一个客体的属主可以按照自己的意愿灵活而精确地指定系统中的其他用户对该客体的访问权。
权能表
口令表
前缀表
存取控制表
强制存取控制机制：强制存取控制，用于将系统中的信息分密级和范畴进行管理，保证每个用户只能够访问那些被标明能够由他访问的信息的一种访问约束机制。
加密机制（数据加密技术）
加密机制分类：
数据传输加密技术
链加密
端加密
数据存储加密技术
文件级（对单个文件）加密
驱动器级（对逻辑驱动器上的所有文件）加密
加密机制功能：
机密性
鉴别性
完整性
防抵赖
审计机制
审计（auditing）：对系统中有关安全的活动进行完整记录、检查及审核。
目的：检测和阻止非法用户侵入系统，显示合法用户的误操作，进行事故发生前的预测和报警，提供事故发生后分析处理的依据。
事后追踪手段，对付计算机犯罪者的利器。
违规者和黑客最害怕的一种安全机制。

33.Windows操作系统安全分析

安全机制主要包括：
安全登录机制
识别与认证机制
本地安全管理机构
安全支持提供者及其接口
认证包
网络登录
安全账号管理者
其他安全机制
安全套接层服务
Kerberose认证
文件加密
磁盘加密
指纹识别等
Windows的安全加固方法
账户管理的安全加固
禁用系统默认的guest账户
定期检查禁用或删除其他无用账户
按照用户类别设置好用户的类型
口令的安全加固
设置密码复杂度
设置用户口令的最长留存期不应超过90天
配置账户锁定策略
授权的安全加固
关机授权
授权账户登录
日志配置的安全加固
审核登录
审核策略更改情况
审核系统事件
审核账户管理操作
日志文件大小的安全加固
文件权限的安全加固
在非安全域内，关闭Windows的硬盘上某个逻辑分区的默认共享。
配置每个共享文件夹的共享权限，只允许授权的账户拥有共享此文件夹的权限。
其他方面的安全加固

34.Android操作系统安全分析

android系统的三大安全机制
用户标识与鉴别
Android系统的权限管理机制
Android系统的签名机制
包（package）扫描阶段
权限创建阶段
Android系统安全存在的不足
开放模式带来的脆弱性
权限许可机制的问题
操作系统漏洞造成的攻击
应用软件漏洞带来的攻击
Android系统的用户
需要具有很好的安全意识
学习相关安全权限管理等知识
配置应用程序的权限许可
及时安装第三方安全防护软件

35.无线网络安全概述

无线网络与有限网络的主要区别：
网络连接的开放性
有线网络的网络连接是相对固定的，且有确定的边界
无线网络则没有一个明确的防御边界。无线网络的开放性带来了信息截取、未授权使用服务、恶意注入信息等一系列信息安全问题。
网络终端的移动性：
有线网络的用户终端与接入设备间通过线缆连接，终端不能大范围移动，对用户的管理比较容易。
无线网络终端不仅可以在较大范围内移动，而且还可以跨区域漫游。
网路的拓扑结构
有线网络具有固定的拓扑结构，安全技术和方案容易部署。
在无线网络环境中：
动态的、变化的拓扑结构缺乏集中管理机制，使得安全技术更加复杂；
许多决策是分散的，许多网络算法必须依赖大量结点的共同参与和协作来完成。
网络传输信号的稳定性
有线网络的传输环境是确定的，信号质量稳定。
无线网络：信道特性随用户的移动而变化。对无线通信安全机制的鲁棒性（健壮性、高可靠性、高可用性）提出了更高的要求。
网络终端设备具有的特点：
有线网络一般都不能被攻击者物理地接触到。
无线网络可能被攻击者物理地接触到，因而可能存在假的访问点（AP）。
无线网络终端设备与有线网络的终端（如PC）相比，具有计算、通信、存储等资源受限的特点，以及对耗电量、价格、体积等的要求
无线网络安全威胁
安全威胁分类
信息泄露
完整性破坏
非授权使用资源
拒绝服务供给
无线环境下的安全威胁：
信息的窃听和截收
数据的修改和替换、伪装、干扰和抑制
无线AP欺诈、冒充和抵赖
病毒

36.安卓与iOS安全

认识Android平台：
第一个商业版本于2008年发布。
Android的特性：
Android系统是基于Linux的开源操作系统，无论是手机厂商还是个人开发者，都可以在Android标准操作系统的基础上进行定制。
Android平台系统架构层次：
应用层
架构层
运行层
Linux内核层
Android平台的安全问题
Android平台由于其开放的特性，相对其他移动终端平台存在更大的安全风险。
Android系统自身拥有很多安全性检查和防御机制，为系统本身和其上各种应用的安全性保驾护航。
但是在大多数情况下，重要数据依然暴露在风险之中，主要的安全风险威胁来源于ROOT和恶意软件。
ROOT的危害
在Android系统中，大多数厂商出于安全性考虑，会将系统开放给使用者的权限降低，某些功能和操作就会产生限制，而ROOT就是通过特殊的方式去除这种限制，让用户在使用手机的时候，能够获得ROOT权限。
Android手机ROOT之后的影响
不能通过官方进行系统升级了，不过可以下载大量的第三方系统固件，让手机具有更好的机身扩展性。
设备上的病毒、木马有更多机会破坏设备或利用系统达成其非法目的。
恶意软件的威胁
iOS平台及其安全
iOS安全机制：
权限分离
强制代码签名
地址空间随机布局
沙盒

37.移动终端安全

移动终端的概念：
移动终端（或者叫移动通信终端）是指可以在移动中使用的计算机设备
移动终端的安全问题
一方面，任何一种系统或平台都有其自身的脆弱性。
另一方面，移动终端上有大量应用，其中不少应用在上线之前由于各种原因并没有经过严格的安群性测试，导致存在严重的安隐患。
移动终端的安全问题分类
敏感信息本地存储
网络数据传输
应用安全
恶意软件
系统安全问题

38.穿戴设备安全

可穿戴设备：直接穿戴在使用者身上或是整合到使用者的衣服或配件上的设备。
可穿戴设备的优点：
方便携带
交互性好
不分散使用者生活和工作的注意力
随时随地感知环境和控制设备
可穿戴设备的安全性：
一方面：可穿戴设备成为工作和生活中与人联系更为密切的设备，掌握了更多使用者的信息，隐私问题和数据安全成为可穿戴设备安全的重中之重；
另一方面，可穿戴设备可以无缝地存在于生活和工作环境中，可让使用者从事诸如间谍等原来无法进行的非法活动，成为另类的社会安全问题。
依据主体设备功能不同，可穿戴设备分为：
可穿戴终端
可穿戴外设
区别：
可穿戴外设是指连在计算机主机以外的硬件设备，对数据和信息起着传输、转送和存储的作用，往往不具备处理能力；
可穿戴终端首先是独立计算机系统，可以独立处理数据和信息，完成指定任务。
特点：
直接穿戴在使用者身上或是整合进使用者的衣服或配件里。
比较典型的可穿戴设备：
智能眼镜
智能手表
智能鞋
可穿戴设备出现安全隐患的根本原因：系统开发
设计和应用的目的：设计美观、使用灵活和用途多样
主要面临的安全风险：内部漏洞和外部攻击。
可穿戴设备：
要满足机密性、完整性和可用性目标；
不能无限违反社会安全进而获取他人数据和进行违法活动。
应遵循的原则：
整体性原则
相对性原则
目的性原则
扩展性原则
易用性原则

39.无人机安全

无人机系统
飞机平台系统
机体
动力系统
传感器
导航系统
通信系统
飞机控制系统
任务载荷系统
云台
相机
传感器
无线电控制
地面控制系统
无限电控制
GPS导航
数据处理系统
监控系统
辅助设备
应用场景：
航拍
监控
农业植保
空中无线网络
数据采集
无人机的安全隐私问题
无线信号劫持与干扰
GPS欺骗
针对传感器网络的攻击
无人机面临的安全威胁：
基于无人机自身的特点存在的安全问题。
无人机与应用结合存在的安全问题。
政策、法规监管盲区所存在的安全问题。

40.数据安全概述

41.数据库安全机制和安全技术

42.信息隐藏与图像

43.图像信息伪装

44.基于图像RGB空间的信息隐藏

45.载体信号的时频分0 0+2/2析

46.DCT域信息隐秘基本算法

47.基于混沌细胞自动机数字水印

48.古典密码学

基本术语
明文：明文是需要发送的消息；
密文：密文是由明文加密后得到的乱码信息；
密钥：密钥是在加解密运算中所需选取的输入参数。
古典密码：
斯巴达人密码棒装置
凯撒密码
古典密码加密方法：
置换密码：将输入明文的字母顺序加以打乱，而并不改变明文字母的值。
代换密码：讲明文字母替换，而不改变顺序。
隐写术：通过隐藏消息的存在来保护消息
隐形墨水
字符格式的变化
图像变形
藏头诗
隐语法
析字法

49.机械密码

ENIGMA的组成成分：
键盘
显示器
转子
ENIGMA（一个转子）的缺点：
连续键入6个字母，转子转动一圈，加密装置回到原始形态，此时加密与最初加密方法重复。
ENIGMA（两个转子）：
需加密66=36个字母后才会出现重复。
ENIGMA（三个转子）：
需加密2626*26=17576个字母后才会出现重复。
图灵发明“炸弹式译码机”

50.对称密码

对称密码分类：
分组密码
分组密码的工作方式是将明文分成固定长度分组
分组密码算法：
DES算法
DES的主要缺陷与不足：
DES的设计可能隐含有陷阱，S盒的设计原理至今未公布。
密钥容量太小：56位不太可能提供足够的安全性。
3DES算法
三次使用DES算法提高安全性
AES算法
对AES的基本要求：
支持128、192以及256比特这三种不同长度的密钥输入，并且每次能加密128比特长的输入明文。
分组密码的工作模式
ECB
CBC
CFB
OFB
流密码
特点
实现简单
便于硬件实施
加解密速度快
对称密码的秘钥分配
由于通信双方都使用相同密钥，因此如果通信双方之中存在着恶意用户，就会使得上述密码的安全性得不到保证，即存在密钥的安全问题。
每对用户每次使用对称加密算法时，都需要使用其他人不知道的唯一密钥，这会使得发收信双方所拥有的密钥数量成几何级数量增长，造成用户在存储于管理密钥时的负担。
对称密码无法用于数字签名。

51.公钥密码

对称密码存在如下不足：
密钥更新，管理与分配的问题
无法应用于数字签名
数字签名：是指如何为数字化的消息或文件提供一种类似于为书面文件手书签字的方法。
公钥密码思路：
通信双方所持有的密钥不同，即加解密所需的输入参数不同。
公钥算法的重要特性：
已知密码算法和加密密钥，求解密密钥在计算上是不可行的。
RSA公钥算法
该算法是以初等数论中的Euler（欧拉）定理为基础，并建立在大整数分解的困难性问题之上。
加密：
加密时首先将明文比特串分组，使得每个分组对应的十进制数小于n，即分组长度小于log2n。然后对每个明文分组m，作加密运算

解密：
对密文分组c的解密运算为：

公钥密码
利用公钥思想，每个人都可以通过查询消息接收方的公钥信息，这就避免了为每对通信方都存储回话密钥的不足。
用户还可以利用其私密钥加密信息，并以对应的公开钥解密，以此达到数字签名的效果。
公钥密码应用场景：
网络协议包括SSL/TLS、Ipsec/IKE、SSH、S/MIME、POP/IMAP、DNSsec、SBGP……
现实生活中：
网上购物
网上银行
智能卡
电子邮件
移动交互领域
数字签名等

52.物联网安全概述

53.物联网感知层安全

54.物联网网络层安全

55.物联网应用层安全

56.物联网应用中的隐私保护

57.区块链概述

区块链概念：
区块链技术是一种综合应用了分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的技术组合。
狭义来讲：
区块链是一种按照时间顺序将数据区块以顺序相连的方式组合而成的一种链式数据结构，并通过密码学手段实现的不可篡改、不可伪造的分布式账本。
广义来讲：
区块链技术是利用链式数据结构来验证与存储数据、利用分布式节点共识算法来生成和更新数据、利用密码学的方式保证数据传输和数据访问的安全、利用由自动化脚本代码组成的只能合约来编程和操作数据的一种全新的分布式基础框架与计算方式。
区块链历史
起源于比特币
区块链特点
去中心化
在区块链系统中，不存在中心化的管理机构。
区块链数据的存储、传输、验证等过程均基于分布式的系统结构，整个网络中不存在中心节点。
公有链网络中所有参与的节点都具有同等权利与义务。
任一节点的损坏都不会影响整个系统的运作。
开放性
自治性
共识技术
智能合约
不可篡改性
匿名性
区块链基本模型
区块链架构（从上到下）
应用层
合约层
脚本代码
算法
智能合约
激励层
分配机制
发行机制

共识层
共识算法
工作量证明PoW
权益证明PoS
股份权益证明DPoS
网络层
P2P
传输
验证
数据层
非对称加密
时间戳
哈希函数

58.数字货币与加密货币

数字货币和比特币
数字货币（Digital currency）是电子形式的替代货币。
数字货币≠虚拟货币
比特币是数字货币的典型代表，又称为bitcoin或btc，是一种点对点，去中心化的数字货币。
比特币钱包
私钥
地址
比特币钱包分类
冷钱包
热钱包
挖矿
哈希函数
随机数
挖矿是指对一段时间内系统中发生的交易进行确认并形成新区块的过程。

59.共识机制

拜占庭将军问题
消息成本-工作量
时间戳
非对称加密
消息账本
工作量证明机制
过程
生成最新区块的头部信息
做双重SHA256计算
将Nonce值加1，重新计算
符合难度标准
挖矿成功
优点：
完全去中心化，算法简单，容易实现；
节点间无需交换额外的信息即可达成共识；
破坏系统需要投入极大的成本。
缺点：
挖矿造成大量的资源消耗；
达成共识的周期较长。
权益证明机制
权益证明机制（Proof of stake），简称PoS，也称股权证明机制，他要求各节点证明自己拥有一定数量的代币（也就是所谓的权益）来竞争下一区块的记账权。
典型应用
点点币

60.智能合约

智能合约
概念
计算机科学领域——一种计算机协议
技术角度——一种计算机程序
工作原理
构建智能合约
存储合约
执行合约
优点：
高效的实时更新
准确执行
较低的认为干预风险
去中心化
较低的运行成本
以太坊
以太坊（Ethereum）是一个开源的有智能合约功能的公共区块链平台，提供以太坊虚拟机（Ethereum Virtual Machine）来处理智能合约，属于区块链2.0架构。
以太坊与比特币的区别
出块时间
比特币：10min/个
以太坊：15s/个
奖励机制
比特币：初始50个，每四年减半
以太坊：五个，不变
叔块
比特币：无
以太坊：被引用的孤块为叔块
账户
比特币：仅一种账户
以太坊：外部账户、合约账户
以太坊虚拟机
比特币：简单脚本语言
以太坊：图灵完备的脚本语言
交易燃料
比特币：无
以太坊：一定数量

61.区块链应用

超级账本项目
超级账本（Hyperledger）项目是一个面向企业应用场景的开源分布式账本平台，致力于发展跨行业的商用区块链平台技术。
特点
透明
公开
去中心化
企业级分布式账本技术
区块链的应用前景
区块链+金融
实现点对点的价值转移
提升结算流程的效率并降低成本
对金融机构实施更加精准、及时和更多维度的监管
区块链+医疗
为医疗数据的互用性、安全性和隐私性提供解决方案
减少医疗行业的争议，提高医疗领域的运行效率，推动医疗服务的创新
促进医疗服务向“以患者为中心”的模式进行转化
全新的远程医疗护理、按需服务和精准医疗将成为可能
区块链+供应链
数据公开透明
解决纠纷，轻松实现举证与追责
解决产品流转过程中的假冒伪劣问题
区块链+版权
对作品进行确权，证明一段文字、视频、音频的存在性、真实性和唯一性
为司法取证提供了一种强大的技术保障
将价值链的各个环节进行有效整合、加速流通，缩短价值创造周期
实现数字内容的价值转移，并保证转移过程的可信、可审计和透明