【系统分析师之路】系统分析师必知必会（系统安全分析与设计）

【系统分析师之路】系统分析师必知必会（系统安全分析与设计）
安全

一. 安全体系

1. 系统安全分类

• 实体安全，运行安全（风险管理，审计跟踪，备份恢复，应急）信息安全（操作系统，数据库，网络，病毒防护，访问控制，数据加密认证）

2. 安全保护等级

1. 用户自主保护级
2. 系统审计保护级
3. 安全标记保护级
4. 结构化保护级
5. 访问验证保护级

3. 系统安全体系结构

1. 物理环境安全：比如机房安全
2. 操作系统安全：漏洞补丁安全
3. 网络安全：入侵检测安全
4. 应用安全：数据库安全
5. 管理安全；

4. 系统安全保障体系

1. 建立统一身份验证体系
2. 统一安全管理体系（硬件网络集中管控，安全制度）
3. 安全保密体系（技术方案，保密制度）
4. 网络边界防护体系

二. 数据安全

1. 数据本身的安全

• 主要是指采用现代密码算法对数据进行主动保护，如数据保密，数据完整性，双向强身份验证。

2. 数据防护的安全

• 主要是采用现代信息存储手段，对数据进行主动防护，如通过磁盘阵列，数据备份，异地容灾，等手段保证数据的安全。

三. 数据加密技术

1. 经典的对称加密算法

1. IDEA，DES，3DEA，RC-5，FEAL，RC-4，Blowfish，AES等。
2. 三重DES加密使用2个密钥对明文进行3次加密，其密钥长度为112位。 IDEA是128位；
3. 对称密码算法加解密效率比非对称算法高很多，因此常用于对大量的数据进行加密。
4. DES加密算法中，密钥的长度是56位。

2. 经典的非对称加密算法

1. RSA，ESIGN，ECC（移动设备用）、Diffie-Hellman、El Gamal、DSA（数字签名用）。

3. 经典报文摘要算法

1. MD5和SHA-1。除此以外还有HMAC也是摘要算法。
2. MD5，SHA算法的散列值分别为128和160位。
3. Diffie-Hellman是一种密钥交换算法。AES是高级加密算法。

四. 认证技术

1. 数字签名

• 保证信息传输的完整性，发送者身份验证，防止交易抵赖；

2. 数字证书

1. 它是在公钥体系之上提出来的，数字证书包含了公钥体系的公钥和其他信息。
2. 数字证书解决了公钥体系中身份伪造（公钥体系的第一步是发送者需要取得受信者的公钥，如果没有数字证书，发信者无法确认某个公钥就是真实受信者的）问题；
3. 数字证书把公钥给封装了起来，再加上一些公证机构的签名信息，这样数字证书被发布之后，证书中的公钥所属身份就可以验证了。
4. 用户A从CA处获取了用户B的数字证书，用户A通过CA的公钥就可以确认该数字证书的有效性。

3. X.509证书

1. 是一些标准字段的结合，这些字段包含了有关用户或设备及相应的公钥信息。
2. 它包含了证书版本，证书序列号，签名算法标示，证书有效期，证书发行商名字，证书主题名，主题公钥信息，发布者的数字签名；
3. 证书里面没有私钥，SSL，PGP和HTTPS都支持X.509认证。

五. 密钥管理和CA认证中心

1. PKI公共密钥基础设施

• 是CA安全认证体系的基础，由认证中心，证书库密钥备份及恢复系统，证书作废处理系统及客户端证书处理系统五大系统组成。

2. PKI的作用包括

• 认证，机密性，完整性，抗抵赖性。
  PKI主要借助数字签名技术，数字签名能确认两点：
  1.信息是由签名者发送的
  2.信息自签到收到为止，没做任何修改；

3. 密钥加密原理

1. 发送者将原文用Hash函数生成128位摘要，在用自己的私钥对摘要加密，形成数字签名，把加密后的数字签名附加在要发送的原文后面。
2. 公钥加密算法过程是发送方A先用自己的私钥签名报文得到DA（P），再用接收方B的公钥加密得到EA（DA（P））；接收方B收到以后，先用自己的私钥解密得到DA（P），再用发送方A的公钥认证，最后得到报文P。同时接收方保存一份经过A签名的消息DA（P）作为防止A抵赖的依据。
   认证中心CA是电子商务体系中的核心环节，是电子交易中信赖的基础，认证中心作为权威，可信赖，公正的第三方机构，专门负责发放并管理所有参与网上交易的实体所需的数字证书。
3. CA主要的功能就是证书的发放，证书更新，证书撤销，证书验证。
   要想验证从CA处获得的证书的有效性，通过CA的公钥可以确认该证书的有效性，因为用户的数字证书中包含了CA签名（CA私钥加密）。
4. 私钥用于解密和签名，而公钥用于加密和验证签名。
5. 用户乙收到甲数字签名后的消息M，为验证消息的真实性，首先需要从CA获取用户甲的数字证书，该数字证书中包含甲的公钥，并利用CA的公钥验证该证书的真伪，然后利用甲的公钥验证M的真实性。

六.网络安全

• 防火墙，入侵检测，反病毒。

1. 应用网关型防火墙

1. 部署在局域网内，通过代理技术参与到一个TCP连接的全过程。
2. 从内部发出的数据包经过这样的防火墙处理以后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部网结构的作用。
3. 它的核心技术就是代理服务器技术。是最安全的防火墙。内外网计算机不能直接建立TCP连接。

2.包过滤性防火墙

1. 工作在网络层和传输层，通过过滤规则来确定数据包是否可以通过。
2. 防火墙把网络划分为几个不同的区域，一般把对外提供网络服务的设备放置于DMZ非军事区，非安全系统与安全系统之间的缓冲区，该区域位于企业内部网络和外部网络之间。

3.防火墙的局限性

1. 关闭有用但是有隐患的服务，给用户带来了不便；
2. 只能防止外部队内部的攻击，对于网络内部发生的攻击事件，无能为力；
3. 不能防范不经过防火墙的攻击；
4. 带来传输延迟，瓶颈和单点失效；
5. 不能完全防止受病毒感染文件传输；
6. 防火墙工作层次越高，则工作效率越低，同时安全性越高。工作层次越低，则工作效率越高，但安全性就低了。
7. 防火墙采用的机制，如果采用代理机制，则防火墙具有内部信息隐藏的特点，相对而言，安全性高，效率低；如果采用过滤机制，则效率高，安全性却降低了

4.入侵检测

• 目的在于提供实时的入侵检测及采取相应的防护手段，它的能力要点在于能够对付来自内部的攻击。

1）常用的检测方法

1. 特征检测
   对已知的攻击或入侵方式做出确定性的描述，形成相应的事件模式。它准确率较高，但对于无经验的入侵与攻击行为无能为力。
2. 统计检测
   常用于异常检测，统计模型中常用的检测参数包括：审计事件的数量，间隔时间，资源消耗的情况。
3. 专家系统
   依赖于知识库对入侵进行检测，入侵的特征抽取与表达，是入侵检测专家系统的关键。有效性完全取决于专家系统知识库的完备性。

2）入侵检测产品

1. 基于网络的入侵检测

• 能够检测到来自网络的攻击和超过授权的非法访问。不需要改变服务器等主机的配置，不会影响业务性能，发生故障时不会影响正常业务的运行，部署风险比主机入侵检测系统少，安装方便，网络性能和透明度好。

2. 基于主机的入侵检测

• 可提供更详细的信息，误报率比NIDS要低，可部署到不需要广泛入侵检测或网络带宽较低的系统。

3）发展方向

• 分布式入侵检测，智能化入侵检测，全面的安全防御方案。

5.入侵检测系统

• 它一般包括了事件产生器，事件分析器，事件数据库和响应单元。入侵检测系统的构成不包括预警单元。

1）事件产生器

收集数据，将数据转化为事件

2）事件分析器

分析事件；事件分析器负责接收事件信息并对其进行分析，判断是否为入侵行为或异常现象，其分析方法有以下三种：模式匹配，统计分析，数据完整性分析。

3）事件数据库

存放有关事件的各种中间结果和最终数据；

4）响应单元

根据报警信息作出各种反应，包括断网，改变文件属性，发出提示，引起操作人员注意。

6. 病毒防护

1）文件型病毒：

• 感染可执行文件。

2）引导型病毒：

• 影响磁盘的引导扇区。

3）宏病毒：

• 感染使用某些程序创建的文本文档。数据库，电子表格等文件。Melissa (梅丽莎）病毒是一种宏病毒。

4）目录型病毒

• 修改磁盘上存储的所有文件地址（可用磁盘检测工具，发现文件地址链接错误）。

5）冲击波病毒：

• 是一种蠕虫病毒，利用Windows的RPC漏洞进行传播。2000年出现的“罗密欧与朱丽叶”病毒也是一个非常典型的蠕虫病毒。

七. VPN

• 使用隧道作为传输的通道，这个隧道是建立在公共网络或专用网络基础之上。实现VPN的关键技术包括有

1. 安全隧道技术
   在公共网建立一条数据通道，让数据包通过这条隧道传输。
2. 密钥管理技术
   解决如何在公共数据网上安全的传递密钥而不被盗取。
3. 身份认证技术
   最常用的是使用者名称与密码或卡片式认证等；
4. 访问控制技术
   根据预定义组的用户标示，来限制用户对网络资源的访问控制。

• 实现VPN的主要协议有：L2F，PPTP，L2TP，VTP，IPSec等，如果需要在传输层构建VPN，可选的协议是TLS；基于SSL并与之相似，主要目标是在两个正在通信的应用程序之间提供保密性和数据完整性。

八. 安全协议

1. IPSec

1. 是网络层的安全协议，TLS，SSL，SSH，Socks是传输层安全协议；
2. L2TP和PPTP是数据链路层的安全协议。
3. IPSec安全协议是针对IPv4和IPv6的，它是IPv6的组成部分，也是IPv4的可选扩展协议。
4. IPSec的主要特征是可以支持IP级所有流量的加密与认证，增加所有分布式通用的安全性。
5. IPSec是在IP层（网络层）提供安全服务。

2. SSL

1. SSL在应用层和传输层之间提供安全的通道，用于在internet上传送机密的文件。
2. SSL被用来在客户机和服务器真正传输应用层数之前建立安全机制。
3. SSL主要提供三方面的服务：用户和服务器合法性认证，加密数据以隐藏被传送的数据，保护数据的完整性，客户机和服务器交换双方认可的密码发生在密码交换阶段。

3. IEEE 802.1x

• IEEE 802.1x是一种MAC地址认证协议。认证通过以后，正常的数据可以顺利地通过以太网端口。

4. PGP

1. PGP基于RSA公钥加密体系的邮件加密软件，可以用它对邮件保密以防止非授权者阅读。
2. 它还能对邮件加上数字签名，从而使收信人可以确信邮件发送者。
3. PGP的密钥管理综合了以下的算法：对称加密算法IDEA，非对称加密算法RSA，单项散列算法MD5，随机数产生器。
4. PGP还可以用于文件存储加密。PGP承认两种不同的证书格式：PGP证书和X.509证书。

5. HTTPS

1. HTTPS协议。就是Http的安全版。
2. 应用SSL作为HTTP应用层子层，默认端口是443。

6. SET

1. SET是电子安全交易协议。
2. 基于信用卡进行电子化交易的应用提供了实现安全措施的规则。

九.单点登录

1. Kerberos使用的是对称密钥，而PKI使用的是非对称密钥。
2. kerberos协议是一种网络身份认证协议。
3. Kerberos使用一种对称密钥加密算法来实现。
4. 通过可信的第三方密钥分发中心的身份来认证系统。
5. 报文中加入了时间戳，以防止重放攻击。

十. 网络攻击

层次	网络攻击
数据链路层	MAC地址欺骗攻击，ARP欺骗
网络层	IP地址欺骗，ICMP攻击，RIP路由欺骗
传输层	TCP初始化序号预测，TCP端口扫描，TCP会话劫持，RST，FIN攻击
应用层	电子邮件攻击，DNS欺骗，缓冲区溢出攻击

1. 木马是远程控制的工具，一般利用TCPIP协议，采用C/S架构，分为了控制端和服务端，具有隐秘性和非授权性等特点。
2. DOS攻击服务器充斥大量的回复信息，消耗网络带宽和系统资源，导致系统瘫痪。
3. DDOS是分布式拒绝服务攻击，借助客户端服务器技术，将多台计算机联合起来作为攻击平台，对一个或多个目标发动DOS，成倍的提高拒绝攻击的威力。但防病毒软件不能有效的抵御DDOS攻击。

十一.访问控制

1. 定义

• 保证系统资源不被非法使用和访问。访问控制三要素：主体，客体和控制策略。

2. 控制策略包括

• 登陆访问控制，操作权限控制，目录安全控制，属性安全控制和服务器安全控制。

3. 分类

1. 自主访问控制
2. 强制访问控制
3. 基于角色的访问控制
4. 基于任务的访问控制
5. 基于对象的访问控制

十二. 安全访问措施

1. 安全审计定义

• 包括识别，记录，存储，分析与安全相关的信息，审计记录用于检查与安全相关的活动和负责人。

2. 作用

1. 发现计算机的滥用情况
2. 检测对系统的入侵
3. 提供系统运行的日志，从而能发现系统入侵行为和潜在的漏洞。

十三. 网络安全防范体系原则

1.网络信息安全的木桶原则
2.网络信息安全的整体性原则：安全防火机制能发现和制止各种攻击，尽快恢复减少破坏程度。
3.安全性评价和平衡原则
建立合理的实用安全性与用户需求评价与平衡体系。
4.标准化与一致性原则
爱安全体系的设计必须遵循一系列一致的标准。
5.技术与管理相结合的原则
安全技术与运行管理机制，人员思想教育与技术培训，安全规章制度的建设。
6.统筹规划分布实施原则
安全防护不可能一步到位
7.等级性原则
安全层次，安全级别
8.动态发展原则
需要根据网络安全的变化不断调整安全措施。
9.易操作性原则
操作简单，不能影响系统的正常运行。

十四. 其他

1. ISO7498-2涉及五种安全服务：鉴别服务，访问控制，数据完整性，数据保密性，抗抵赖性。
2. 信息安全的多种威胁中，业务流分析是指通过对系统进行长期监听，利用统计分析的方法对诸如通信频度，通信信息流向，通信总量的变化等参数进行研究，从中发现有价值的信息和规律。
3. 数字信封功能类似于普通的信封，采用密码技术保证只有规定的接受人才能阅读信息的内容。基本原理是将原文用对称密钥加密传输，而将对称密钥用对方的公钥加密并发送给对方，对方收到电子信封后只要用自己的私钥就可以解密信封，并取出对称密钥解密得到原文。
4. 单向Hash函数：输入一个长度不固定的字符串，返回一串长度固定的字符串（128位），又称为Hash值。
5. 金融领域安全性需求：验证（系统相关角色的识别），签名，授权（是否具备审批权，操作权），完整性（发送接收数据是否一致），机密性（无关人员不能知情），审查（事务记录），不可抵赖，威胁预防（防止间谍持续登录，攻击系统）。
6. 为了弥补WEP的安全缺陷，WPA安全认证方案中新增的机制是临时密钥完整性协议。
7. 假定用户 A、B 分别在 I1和 I2两个 CA 处取得了各自的证书，I1和I2互换公钥是 A、B 互信的必要条件。

十五.电子商务安全

1. 对电子商务活动安全性的要求

1）服务的有效性要求
2）交易信息的保密性要求
3）数据完整性要求
4）身份认证要求

2. 电子商务的主要安全性要素

1）信息真实性有效性
2）信息机密性
3）信息完整性
4）信息可靠性，可鉴别性，不可抵赖性