信息安全技术-ppt课件.pptx

1、信息安全技术CISP2.0CISP2.0大纲及课程重点解读大纲及课程重点解读CISP运营中心交流内容交流内容v一、CISP2.0大纲解读v二、各知识子域授课要点v三、交流3信息安全技术课程体系信息安全技术课程体系v知识体系构成 7知识体、19知识域、52个知识子域v建议课程编排（30课时，十个课件） 密码学基础/密码学应用 网络协议及架构安全/网络安全设备 操作系统安全/系统应用安全 安全漏洞及恶意代码/安全攻防实践 访问控制与审计监控/软件安全开发 4知识点要求知识点要求v了解：能明白概念，能解释清楚v理解：在明白的基础上，能延伸出一点的扩展观点v掌握：能利用知识点来帮助分析和解决实际问题

2、例如：防火墙工作原理 了解：知道防火墙的能干什么，解决什么问题，部署在什么位置 理解：根据防火墙工作原理说清楚防火墙优势及不足，能清楚的说清楚防火墙使用的场景 掌握：根据防火墙工作原理提出防火墙选型要考虑什么问题，防火墙部署时的策略设置原则5密码技术密码技术v课程时间：6课时（密码学基础3课时、密码学应用3课时）v教学要点：密码学基本概念、密码算法优缺点、密码学典型应用v包含知识子域 密码学基本概念 对称密码算法 非对称密码算法 哈希函数 VPN技术 PKI/CA系统61 1、密码学基础概念教学要点、密码学基础概念教学要点v密码编码学和密码分析学的概念 编码学：明文-密文 分析学：密文-明文v

3、密码学中涉及的一些典型概念 科克霍夫原则（密码体制中唯一需要保护的是密钥） 置换密码、替代密码、序列密码、分组密码等v密钥管理 密钥的生存周期 密钥的产生 密钥的分配 密钥管理的其他阶段72 2、对称密码算法的授课要点、对称密码算法的授课要点v对称密码体系架构v对称密码算法的优缺点 优点(效率高、算法简单、系统开销少，适合加密大量数据) 缺点（需要安全交换密钥、密钥管理复杂） 8Alice加密机解密机Bob安全信道密钥源Oscar明文x密文y密钥k明文x密钥k2 2、对称密码算法的授课要点、对称密码算法的授课要点vDES（数据加密标准） 56bit+8bit校验 分组密码算法 DES算法的不足

4、 3DES算法92 2、对称密码算法的授课要点、对称密码算法的授课要点vIDEA（国际数据加密算法） 密钥长度128bit 抗攻击能力比DES强 加密及解密使用同一算法vAES（高级加密标准） 美国国家标准技术研究所（NIST）公开征集 分组长度为128bit， 密钥长度为128 bits, 192 bits, 256 bits AES特点 简单、灵活、适应性好103 3、非对称密码算法授课要点、非对称密码算法授课要点v什么是非对称密码算法v非对称密码算法的优缺点 解决密钥传递问题、完整性问题 系统开销大v公钥密码体系11Beauty is in the eye of the beholder

5、. !#$%&*()!#%*)(#%&*(* Beauty is in the eye of the beholder. 公钥私钥加密加密解密解密3 3、非对称密码算法授课要点、非对称密码算法授课要点vRSA算法 在一个算法中实现签名和加密 私钥 = 签名和解密 公钥 = 签名检验和加密 有专利权，2000年9月到期vRSA算法特点 基于大整数因子分解 具有较好的安全性 效率较低、系统开销大124 4、哈希函数授课要点、哈希函数授课要点v理解哈希（Hash）函数的作用 从哈希函数作用（单向性、抗碰撞性） 哈希函数的特点 H能够应用到任意长度的数据上。 H能够生成大小固定的输出。 对干任意给定的

6、x，H（x）的计算相对简单 了解MD5算法、SHA-1算法的工作原理 理解消息鉴别码、数字签名的原理和应用 消息鉴别码的作用 数字签名的实现过程，应用特点135 5、VPNVPN技术授课要点技术授课要点14vVPN基本概念虚拟专网（加密数据、信息和身份认证、访问控制）vVPN的类型按协议层分（二、三、四层和应用层）按应用范围分（远程访问、内联网、外联网）按体系结构分（网关到网关、网关到主机、主机到主机）vVPN关键技术隧道技术密码技术密钥管理技术鉴别技术 5 5、VPNVPN技术授课要点技术授课要点v什么是IPSEC、IPSEC协议体系15IP安全结构ESP协议AH协议密钥管理协议加密算法解释

7、域（DOI）认证算法16项目项目IPSec VPNSSL VPN身份验证双向/数字证书单/双向/数字证书加密依靠执行加密基于web浏览器加密全程安全性端到边缘端到端/用户到资源可访问性已经定义好受控用户任何时间/地点费用高低安装需要长时间的配置即插即用易用性需要培训简单友好应用支持所有基于IP协议的服务HTTP/TELNET/NMTP/FTP用户适合于企业内部使用客户/合作伙伴/供应商可伸缩性比较困难容易配置和扩展 5 5、VPNVPN技术授课要点技术授课要点IPSEC与与SSL的比较及应用范围的比较及应用范围6 6、PKIPKI授课要点授课要点vPKI是什么？ PKI公钥基础设施是以公开密钥

8、技术为基础，以数据保密性、完整性和抗抵赖性为安全目的的而构建的认证、授权、加密等硬件、软件的综合设施vPKI能干什么？为什么可以解决这些问题 机密性（加密） 完整性（数字签名） 抗抵赖性（数字签名)176 6、PKI/CAPKI/CA的授课要点的授课要点第三方信任互相信任互相信任CA（证书认证中心）18用户申请证书u 获取用户的身份信息u 进行证书废止检查u 检查证书的有效期u 校验数字证书u 解密数据 证书下载到用户本地审核通过的注册请求发送给CA证书同时要被发布出去应用程序通过证书应用程序通过证书：RA系统审核用户身份发送注册信息给RACA为用户签发证书下载凭证.RA将证书下载凭证发放给用

9、户应用应用/其他用户其他用户Directory提交证书申请请求CARA6 6、PKI/CAPKI/CA授课要点授课要点19网络安全网络安全v课程时间：6课时（网络协议及架构安全3课时、网络安全设备3课时）v教学要点：TCP/IP协议安全、网络架构安全、网络安全设备v包含知识子域 TCP/IP协议安全 无线网络安全 移动通信安全 网络架构安全基础 网络安全规划实践 防火墙基础 入侵检测技术 其他网络安全技术207 7、TCP/IPTCP/IP协议安全授课要点协议安全授课要点vOSI七层模型中各层的作用及与TCP/IP协议对应21表示层表示层7 7、TCP/IPTCP/IP协议安全授课要点协议安全

10、授课要点vTCP/IP协议的体系架构及各层安全特点 网络接口层安全（损坏、干扰、电磁泄漏、搭线窃听、欺骗） 数据链路层安全（拒绝服务、欺骗、窃听、伪造） 传输层安全（拒绝服务、欺骗、窃听、伪造） 应用层安全（拒绝服务、欺骗、窃听、伪造、口令破解等）227 7、TCP/IPTCP/IP协议安全授课要点协议安全授课要点vIP/TCP/UDP协议结构及特点 IP 协议报文结构及安全特点（无连接、不可靠） TCP协议报文结构及安全特点（面向连接的可靠的字节流服务） UDP协议报文结构及安全特点（不可靠、高效）vIPv6安全特性 地址数量、支持移动性、简化路由表、强制ipsec、配置简单、支持QoS和性

11、能问题、支持端到端的业务模式238 8、无线及、无线及3G3G安全授课要点安全授课要点v无线局域网安全 无线局域网网络架构（STA、AP、DS）及安全问题 802.1x安全问题 WAPI技术思想及安全原理v移动通信安全 3G移动通讯安全威胁及安全架构 接入安全 网络域安全 用户域安全 应用域安全249 9、网络架构安全基础授课要点、网络架构安全基础授课要点v网络边界防护 边界防护的机制及技术 边界防护的应用v网络线路冗余 线路冗余的价值及风险251010、网络安全规划授课要点、网络安全规划授课要点vIP地址规划原则及实施 原则：唯一、连续、扩展、实意、节约 实施IP地址规划 建议：如果有可能，

12、建议讲师准备一个实际的IP地址规划案例，方便学员理解vVLAN划分 VLAN作用及分类、VLAN划分原则 建议：如果有可能，建议讲师准备一个实际的Vland划分的案例，方便学员理解261010、网络安全规划实践授课要点、网络安全规划实践授课要点v路由器安全配置 路由器安全配置的目标 路由器安全配置原则v交换机安全配置 交换机安全配置原则v无线局域网安全配置 无线局域网安全配置原则v网络安全设备配置及部署 防火墙安全配置及部署原则271111、防火墙技术授课要点、防火墙技术授课要点v防火墙的作用及功能v防火墙的技术的原理 包过滤技术、状态检测技术和应用代理技术v防火局限性 防火墙防外不防内； 防

13、火墙难于管理和配置，易造成安全漏洞； 很难为用户在防火墙内外提供一致的安全策略； 防火墙只实现了粗粒度的访问控制； 对于某些攻击防火墙也无能为力。281111、防火墙技术授课要点、防火墙技术授课要点v防火墙的作用及功能v防火墙的技术 包过滤技术、状态检测技术、应用代理技术v防火局限性 防火墙防外不防内； 防火墙难于管理和配置，易造成安全漏洞； 很难为用户在防火墙内外提供一致的安全策略； 防火墙只实现了粗粒度的访问控制； 对于某些攻击防火墙也无能为力。v防火墙使用中的一些注意事项291212、入侵检测技术授课要点、入侵检测技术授课要点v入侵检测的作用及功能 类比现实中的摄像头v入侵检测的工作模型

14、 30数据源数据源感应器感应器管理员管理员管理器管理器操作员操作员分析器分析器安全安全策略策略响应响应事件事件告警告警通知通知行为行为1212、入侵检测技术授课要点、入侵检测技术授课要点v入侵检测的分类 按检测方法：异常检测、特征检测 按部署位置：基于网络、基于主机、基于网络节点n按比较/分类方法：基于规则、统计分析、神经网络、模式匹配、状态转换分析v入侵检测的部署 以管理为后盾、部署关键位置、特征库、感应器的选择v入侵检测部署使用注意 需要良好配置和管理才能发挥作用 需要与其他机制配合 管理控制台安全及通信安全问题311313、其他网络安全技术授课要点、其他网络安全技术授课要点v以下安全设备

15、的概念和作用 入侵防御系统（IPS） 安全隔离与信息交换系统（网闸） 安全管理平台（Soc） 统一威胁管理系统（UTM） 网络准入控制（NAC）32系统软件系统软件v课程时间：3课时v教学要点：Unix系统安全、Windows系统安全、数据库安全v包含知识子域 操作系统基础 Unix/Linux安全实践 Windows安全实践 可信计算331414、操作系统安全基础授课要点、操作系统安全基础授课要点v操作系统结构 用户进程-系统调用接口-内核-硬件v操作系统基本概念 程序-进程-线程 系统调用、cpu特权级别v操作系统基本功能 资源管理、程序控制、人机交互、进程管理、内存管理341515、Un

16、ix/linuxUnix/linux安全实践授课要点安全实践授课要点vUnix/linux操作系统架构351515、Unix/linuxUnix/linux安全实践授课要点安全实践授课要点vLinux系统启动过程 1. 开始引导装入程序(boot loader) 2. 内核初始化并运行内核程序 3. 开始其他系统 “自发的” 进程 4. 运行系统起始脚本361515、Unix/linuxUnix/linux安全实践授课要点安全实践授课要点vUnix/linux系统安全原理 文件目录系统的结构 文件权限的机制 drwxr-xr-x 3 root root 1024 Sep 13 11:58 te

17、st Suid、Sgid程序对系统安全的重要性v账号安全 Unix/linux账号密码保持的机制 Passwd文件条目格式： name:coded-passwd:UID:GID:userinfo:homedirectory:shell 账号安全保护措施371515、Unix/linuxUnix/linux安全实践授课要点安全实践授课要点vSyslog介绍v网络及服务安全设置原则 Iptables介绍 服务安全设置381616、windowswindows安全实践授课要点安全实践授课要点vWindows系统启动过程 MBR-NTLDR-Ntoskrnl-smss.exe-winlogon.exe

18、vWindows系统安全机制vWindows身份认证与授权 安全账号管理器SAM 用户及目录权限设置vWindows系统日志与审计vWindows系统安全策略 本地安全策略391717、可信计算授课要点、可信计算授课要点v可信计算的产生及思想 可信计算技术的思想起源于安全启动的研究 在计算机主版上嵌入一个独立的TPM芯片，以增强系统的安全v我国可信计算的发展 四个标准： TPCM、 TPSS、 TPMB、 TNC 我国可信计算的应用情况40应用安全应用安全v课程时间：3课时v教学要点：数据库安全、网络服务安全、常见应用软件安全、恶意代码v包含知识子域 数据库安全基础 数据库管理系统安全管理 W

19、eb服务基础 Web浏览器与服务安全 电子邮件安全 FTP服务安全 即时通讯软件安全 办公软件安全411818、数据库安全基础授课要点、数据库安全基础授课要点v数据库概念及SQL查询语言v数据库安全概念及安全功能 数据库权限：系统权限、模式权限、数据权限 数据库安全功能：用户安全、用户标识与鉴别、用户会话管理、用户数据管理、数据库审计、安全管理、数据加密v视图及其对安全的作用v数据库完整性（完整性约束、事务处理）421919、数据库管理系统安全管理授课要点、数据库管理系统安全管理授课要点v数据库面临的安全威胁v数据库安全防护 安全防护体系 安全检测 安全监控v主流数据库安全需求432020、W

20、ebWeb服务基础授课要点服务基础授课要点vWeb工作机制 请求、响应式vweb站点架构44Web服务器数据库数据库Web应用Web浏览器Web应用Web 应用Web 应用URL请求 请求响应 2121、WebWeb浏览器与服务器安全授课要点浏览器与服务器安全授课要点vhttp协议缺陷 不加密 无状态vWeb服务器安全配置(iis)vIE安全配置452222、电子邮件安全授课要点、电子邮件安全授课要点vSMTP/Pop3协议安全问题 不加密 身份认证v电子邮件应用安全问题 邮件服务器：邮件拥塞、垃圾邮件 邮件客户端：邮件病毒、客户端漏洞、信息泄露、垃圾邮件v电子邮件安全应用 邮件服务器：采用安

21、全协议、安全配置 邮件客户端：客户端安全配置、PGP462323、FTPFTP安全安全vFTP协议安全问题及应对 不加密（采取其他技术对会话进行加密） 口令暴力破解（安全策略、限制访问地址等）472424、即时通讯软件安全授课要点、即时通讯软件安全授课要点v即时通讯软件安全问题 漏洞 信息泄露 病毒传播 欺骗v防御措施 企业级即时通讯软件 终端安全防护软件 良好的安全意识482525、办公软件安全授课要点、办公软件安全授课要点v办公软件安全问题 漏洞 信息泄露 病毒传播v安全使用办公软件49安全漏洞及恶意代码安全漏洞及恶意代码v课程时间：3课时v教学要点：安全漏洞概念、安全漏洞挖掘、恶意代码技

22、术、恶意代码防御v包含知识子域 恶意代码基本概念及原理 恶意代码防御技术 安全漏洞基础 安全漏洞检测502626、恶意代码基本概念及原理授课要点、恶意代码基本概念及原理授课要点v恶意代码的传播方式 系统漏洞 系统配置缺陷（共享、U盘自动执行） 互联网（网页、邮件、FTP等）v恶意代码生存技术 反跟踪技术 加密技术 模糊变换技术 自动生产技术512626、恶意代码基本概念授课要点、恶意代码基本概念授课要点v恶意代码隐蔽技术 本地隐蔽 网络隐蔽 Rootkitv恶意代码攻击及植入技术 进程注入技术 三线程技术 端口复用技术 超级权限技术 端口反向连接技术522727、恶意代码防御技术授课要点、恶意

23、代码防御技术授课要点v基于主机的恶意代码防范方法主要包括： 基于特征的扫描技术 校验和 沙箱技术 安全操作系统对恶意代码的防范532727、恶意代码防御技术授课要点、恶意代码防御技术授课要点v特征扫描-目前恶意代码检测常用技术 模式匹配 恶意代码特征文件（病毒库） 扫描（特征串匹配过程） 更新特征库（更新特征库）v目前广泛应用于反病毒引擎中v优势 准确、易于管理、误报率低v不足 效率问题（特征库不断庞大、依赖厂商） 滞后（先有病毒后有特征库） 542727、恶意代码防御技术授课要点、恶意代码防御技术授课要点v恶意代码分析技术 静态分析 常规分析、格式分析、代码分析、API查看、PE分析 静态分

24、析工具 动态分析 文件读写、注册表读写、内核调用等 行为分析 文件行为、进程行为、窗口类相关行为、注册表行为、服务相关行为、网络相关行为552828、安全漏洞基础授课要点、安全漏洞基础授课要点v漏洞的概念 漏洞在信息安全中的地位及漏洞产生的必然性v漏洞的分类 漏洞分类目的：从各方面来描述漏洞 分类的原则：可接受性、易于理解性、完备性、确定性、互斥性、可重复性、可用性v主要的漏洞库 CNNVD NVD CVE562828、安全漏洞检测授课要点、安全漏洞检测授课要点v基于静态分析的漏洞检测 流分析 符号执行 模型检测572828、安全漏洞检测授课要点、安全漏洞检测授课要点v动态分析技术 优势 结果

25、精确，误报率低 关键技术 模糊测试 动态污染58攻防实践安全攻防实践安全v课程时间：3课时v教学要点：网络攻击基本概念、电子欺骗、拒绝服务攻击、缓冲区溢出、脚本安全、电子取证等v包含知识子域 安全攻防基本概念及术语 攻击目标信息收集 密码破解原理与实践 缓冲区溢出原理与实例 欺骗攻击原理与实例 拒绝服务攻击原理与实例 网页脚本安全原理与实例 计算机取证592929、安全攻防基本概念与术语授课要点、安全攻防基本概念与术语授课要点v网络攻击过程v各阶段的主要目的60踩点定位入侵留后门抹去痕迹3030、攻击目标信息收集授课要点、攻击目标信息收集授课要点v典型信息收集技术 公开信息的收集及分析 IP与

26、域名信息收集方法 系统信息收集方法 系统漏洞信息收集方法v端口扫描与漏洞扫描 端口扫描方式613131、密码破解授课要点、密码破解授课要点v密码破解的两种方法 密码穷举 暴力破解v密码字典生成 密码字典的生成原则及应对623232、欺骗攻击原理与实例授课要点、欺骗攻击原理与实例授课要点vIP欺骗原理vARP欺骗原理 ARP欺骗产生的原理 ARP欺骗问题的解决vDNS欺骗原理633333、拒绝服务攻击原理与实践授课要点、拒绝服务攻击原理与实践授课要点vSYN Flood攻击原理 学员理解syn flood无解的原因v其他拒绝服务攻击原理 Udp flood teardropvDdos攻击的架构

27、理解为什么是三层架构vDdos攻击的工具643434、缓冲区溢出原理及实例授课要点、缓冲区溢出原理及实例授课要点v缓冲区溢出的原理 对用户的输入未做严格验证，导致返回地址可被篡改65Buffer.c#include int main ( ) char name8; printf(Please input your name: ); gets(name); printf(you name is: %s!, name); return 0; 3535、网页脚本安全授课要点、网页脚本安全授课要点vSQL注入的原理 SQL注入的生成原因 SQL注入的危害及防御v跨站脚本的原理 跨站脚本的生成原因 跨站

28、脚本的危害及防御663636、计算机取证授课要点、计算机取证授课要点v计算机取证原则 合法、充分授权、优先保护证据、全程监督v计算机取证步骤 准备、保护、提取、分析、报告v计算机取证工具67访问控制与审计监控访问控制与审计监控v课程时间：3课时v教学要点：访问控制技术、审计监控v包含知识子域 访问控制基本概念 自主访问控制模型 强制访问控制模型 基于角色的访问控制模型 标识和鉴别 典型访问控制方法及实现 信息安全审计 安全监控683737、访问控制基本概念授课要点、访问控制基本概念授课要点v访问控制概念及目标 主体、客体 主体标识实例、客体标识实例v鉴别、授权v访问控制模型及分类69主 体客

29、体访问控制实施访问控制决策提交访问 请求请求决策决 策提出访问 请求3838、自主访问控制模型、自主访问控制模型v自主访问控制含义 允许客体的属主（创建者）决定主体对该客体的访问权限v自主访问控制模型优点及缺点 优点： 根据主体的身份和访问权限进行决策 具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体 灵活性高，被大量采用 缺点： 信息在传递过程中其访问权限关系会被改变703939、强制访问控制模型的授课要点、强制访问控制模型的授课要点v强制访问控制模型的含义 主体对客体的所有访问请求按照强制访问控制策略进行控制，客体的属主无权控制客体的访问权限，以防止对信息的非法和越权访问v常

30、见强制访问控制模型 BLP模型 Biba模型 Chinese Wall模型 Clark-Wilson模型714040、基于角色的访问控制模型授课要点、基于角色的访问控制模型授课要点72v（RBAC）的特点及优势 便于授权管理，如系统管理员需要修改系统设置等内容时，必须有几个不同角色的用户到场方能操作，增强了安全性 便于处理工作分级，如文件等资源分级管理 利用安全约束，容易实现各种安全策略，如最小特权、职责分离等 便于任务分担，不同角色完成不同的任务4141、标识和鉴别技术授课要点、标识和鉴别技术授课要点v标识和鉴别的作用v鉴别的分类和途径 分类：本地/远程、单向/双向 途径：知道、拥有、特征、

31、多因素734141、标识和鉴别技术授课要点、标识和鉴别技术授课要点v基于口令的身份鉴别技术 口令的弱鉴别问题：猜测、窃听、重放攻击 口令安全 防猜测策略 窃听防御 一次性口令 动态口令744141、标识和鉴别授课要点、标识和鉴别授课要点v生物特征的身份鉴别 指纹、声音、视网膜、虹膜、面部等v基于令牌的身份鉴别 IC卡v单点登录 单点登录优势及意义 Kerberos协议754242、典型访问控制方法和实现授课要点、典型访问控制方法和实现授课要点v集中访问控制方法 RADIUS协议 TACACS协议 TACACS+协议 Diameter协议v非集中访问控制方法764343、信息安全审计、信息安全审

32、计v安全审计的基本概念 日志、审计v安全审计的作用 记录访问及系统保护机制的运行状态 发现试图绕过保护机制的行为； 发现用户身份的变化； 报告并阻碍绕过保护机制的行为并纪录相关过程，为灾难恢复提供信息v安全审计的目标 足够的信息量和优化的信息记录v审计系统的组成结构 日志记录、分析及通告774444、安全监控、安全监控v安全监控技术 蜜网、舆情v互联网信息审计技术 审计系统架构 审计系统主要技术（内容获取、信息还原）v互联网信息监控 网址过滤 内容过滤 图像过滤78软件安全开发软件安全开发v课程时间：3课时v教学要点：软件安全开发概念、软件安全开发过程v包含知识子域 软件安全开发背景 软件安全

33、开发简介 软件安全设计 软件安全开发 软件安全测试794545、软件安全开发背景授课要点、软件安全开发背景授课要点v软件安全开发的重要性 形势 国外的重视v软件安全开发的发展804646、软件安全开发简介授课要点、软件安全开发简介授课要点v软件安全开发周期 SDL的七个阶段工作目的和措施 培训 需求 设计 实施 验证 发布 响应 软件安全开发应用效果814747、软件安全设计授课要点、软件安全设计授课要点v软件安全设计原则及步骤 设计原则 步骤 分析特性 特性访问 降低特权 威胁建模过程 威胁建模的关键因素824848、软件安全开发授课要点、软件安全开发授课要点v常见软件安全开发漏洞成因 缓冲区溢出、整数错误、跨站脚本、SQL注入等v安全编码的原则v代码安全审查的方法834949、软件安全测试、软件安全测试v代码安全测试工具及方法vFuzz测试的四个步骤 生成大量的畸形数据作为测试用例 将这些测试用例应用于被测对象 监测和记录由恶意输入导致的任何崩溃或异常现象 查看测试日志，深入84交流交流v如何形成课件更新机制？v如何给大家提供更好的授课支持？v希望什么样的奖励措施？85