软件评测师(初版1.0.0)-7.信息安全性基础知识

七、信息安全性基础知识
7.1 安全基础
1、信息安全的系统体系架构
由安全机制、OSI网络模型、安全服务组成系统的安全空间。
包括认证、权限、完整、加密、不可否认五大要素。
用于保护信息的保密性(不被泄露给未授权的用户或过程不被其使用的特性)、完整性(未经授权不能改变的特性)、可用性(需要时，授权实体可以访问和使用的特性)。
其他属性：真实性(信息的来源可进行判断)、可核查性(被独一无二的追溯到该实体的特性)、不可抵赖性(防止用户否认其行为)、可靠性(无故障低完成规定功能的概率)
安全需求：可分为物理线路安全(物理设备、物理环境)、网络安全(网络上的攻击和入侵)、系统安全(操作系统的漏洞、补丁)和应用安全(应用软件、数据库软件的缺陷)；
2、安全保护等级划分(5层，等级渐强)
第一级：用户自主保护级：用户自己具备自主的安全保护能力，主要措施包括自主访问控制、身份鉴别和数据完整性保护等。
第二级：系统审计保护级：在用户自主级的基础上增加审计跟踪日志。主要措施包括更细粒度的自主访问控制和审计功能，能够创建和维护访问审计跟踪记录。
第三级：安全标记保护级：在系统审计保护级的基础上增加了安全标记和强制访问控制（划分不同的安全级别，有相应的权限才可进行访问）。
第四级：结构化保护级：在第三级基础上将安全保护机制划分为关键部分和非关键部分。包括物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复等。
第五级：访问验证保护级：最高级别的安全保护,增设访问验证功能，要求系统具备极高的安全保护能力，能够防范各种高级别的安全威胁和攻击。
3、安全防护等级划分
实体安全是指保护物理设备和基础设施不受损坏或盗窃的安全措施。这包括对服务器机房、网络设备等物理设施的保护，确保其物理安全。
平台安全关注操作系统和硬件平台的安全性，确保操作系统和硬件平台的稳定性和安全性，防止未经授权的访问和攻击。
数据安全是指保护存储和处理的数据不被未经授权的访问、修改或破坏。这包括数据加密、访问控制、数据备份和恢复等措施。
通信安全确保数据在传输过程中的安全性，防止数据在传输过程中被截获或篡改。这包括使用加密技术、安全协议和防火墙等措施。
应用安全关注应用程序本身的安全性，防止应用程序被恶意攻击或利用。这包括对应用程序的代码审查、漏洞修复和访问控制等措施。
运行安全确保系统的稳定运行，防止因系统故障或外部攻击导致的服务中断。这包括系统监控、日志记录和应急响应等措施。
管理安全涉及安全管理策略和流程的制定和执行，确保安全管理措施的有效实施。这包括访问控制策略、安全审计和培训等措施。

4、数据安全策略：
数据安全策略是指一系列措施和流程，旨在保护组织的数据资产免受未经授权的访问、使用、泄露或损坏。
数据安全策略的核心目标是确保数据的机密性、完整性和可用性，从而维护组织的业务连续性和声誉。
策略手段如下：
存储设备：磁盘阵列、磁带机(磁盘带)、光盘库、SAN设备
存储优化技术：DAS、NAS、SAN
存储保护：磁盘阵列、双机容错、集群、备份与恢复
存储管理：数据备份与恢复、文件与卷的管理、复制、SAN管理

5、安全防护策略：
安全防护策略是软件系统对抗攻击的主要手段。
安全日志：被动防护策略（记录行为，不会主动防护）。
入侵检测系统（IDS）：防火墙的第二道闸门，主动网络安全防护措施。监听当前系统和用户行为，如果是入侵行为就上报给系统和防火墙、由它们去处理。
IDS应挂接在所有所关注流量都必须流经的链路上。
漏洞扫描：使用扫描工具扫描漏洞，是黑客攻击的第一步。
隔离防护：隔离网闸：实现内网和外网的物理隔离
防火墙：实现内网和外网的逻辑隔离，主要作用是对外网威胁进行分隔，但对内网的直接攻击无能为力。

安全日志安全日志是记录系统活动中与安全相关的事件信息，包括非法用户的登录名称、操作时间及内容等。
	通过分析这些日志，可以及时发现潜在的安全威胁并提出相应的解决措施。安全日志属于被动防护的策略。
入侵检测系统（IDS）是一种主动的网络安全防护措施，通过从系统内部和各种网络资源中采集信息，分析可能的网络入侵或攻击行为。
	IDS能够实时监控网络中的异常行为，及时发现并报告潜在的安全威胁。被认为是防火墙的第二道安全闸门。
隔离防护是指将系统的安全部分与非安全部分进行隔离的措施。目前采用的技术主要有两种：隔离网闸和防火墙。
	隔离网闸是一种新兴的网络安全技术，主要用于实现内网和外网的物理隔离；
	而防火墙是一种相对成熟的防护技术，主要用于内网和外网的逻辑隔离。
	隔离防护的目的是防止未经授权的访问和数据泄露，确保系统的安全性。	
防火墙是网络安全的第一道防线，通过设置安全策略对进出网络的数据流进行过滤和控制。它能够阻止未经授权的访问，防止恶意攻击和数据泄露。
	防火墙通过检测、限制和更改跨越它的数据包，实施安全策略来保护内部网络环境。

入侵防御系统：IPS能提前发现入侵行为，在其还没进入安全网络前就防御。在安全网络前的链路挂载该系统，可以实时检测入侵行为，并直接阻断。
杀毒软件：用于检测和解决计算机病毒，与防火墙和IDS要区别，计算机病毒要靠杀毒软件，而防火墙和IDS是处理网络上的非法攻击。
密罐系统：伪造一个密罐网络引诱黑客攻击，被攻击不影响安全网络，并可借此了解黑客攻击手段和原理，从而对安全系统进行升级和优化。

防火墙是网络安全的第一道防线，通过设置安全策略对进出网络的数据流进行过滤和控制。它能够阻止未经授权的访问，防止恶意攻击和数据泄露。
防火墙通过检测、限制和更改跨越它的数据包，实施安全策略来保护内部网络环境。
防火墙分类：
包过滤防火墙
对用户透明
安全控制能力限于网络层、传输层
不建立链接状态表（一直保持开启），前后报文无关
应用层控制弱
状态检测防火墙
建立链接状态表者（可以使用动态的端口号，可以随时关闭或开启），前后报文相关
应用层控制弱
代理服务防火墙
检测一些应用层的安全行为
防护等级高，效率低

DMZ，是英文“demilitarized zone”的缩写，中文名称为“隔离区”，也称“非军事化区”。
它是为了解决安装防火墙后外部网络的访问用户不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。
该缓冲区位于企业内部网络和外部网络之间的小网络区域内。在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。
另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络。因为这种网络部署，比起一般的防火墙方案，对来自外网的攻击者来说又多了一道关卡。

6、安全协议：安全协议是以密码学为基础的信息交换协议，其目的是在网络环境中提供各种安全服务。常见的安全协议如下所示：
（1）IPSec协议：这是一套协议而不是单个协议，在IP层提供数据源验证、数据完整性和数据保密性。
（2）SSL协议：安全套接层协议，用于保障在Internet上数据传输的安全，利用数据加密技术，可确保数据在网络传输过程中不会被截取及窃听。
（3）TLS协议：安全传输层协议，基于SSL，使用的加密算法种类与其相似，同样独立于应用程序协议。 （4）SSH协议：在传输层与应用层之间的加密隧道应用协议，它从几个不同的方面来加强通信的完整性和安全性。SSH协议由三部分组成：传输层协议、用户认证协议、连接协议。
（5）S-HTTP协议：安全超文本传输协议，在应用层运行的HTTP安全性扩展，是在HTTP基础上发展而来。
（6）HTTPS协议：以安全为目标的HTTP通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。 （7）PGP协议：是一个基于RSA公钥加密体系的邮件加密软件，PGP可以在电子邮件和文件存储应用中提供保密和认证服务，防止非授权者阅读，还能对邮件和文件加上数字签名，从而使收件人确信发送者是谁。
（8）S/MIME协议：在RSA数据安全的基础上，加强了互联网E-mail格式标准MIME的安全性。

7.2用户认证机制
普通用户认证方式为口令。
而目前主要的用户认证机制为：数字证书、智能卡、双重认证(采用两种或多种认证，如令牌、智能卡、仿生装置(指纹、视网膜))、安全电子交易协议(解决信用卡电子付款安全保障问题)。
1.访问控制：访问控制的实现方式
限制访问系统的人员：
用户标识与验证（是访问控制的基础，是对用户身份的合法性验证）
三种常用的方法：
要求用户输入一些保密信息
采用物理识别设备
采用生物统计学系统
限制进入系统的用户所能做的操作：存取控制（限制权限法，隔离技术法）
2.身份验证方式
用户名/密码方式
IC卡认证——IC卡硬件不可复制
动态密码——按照时间或使用次数不断变化；每个密码只使用一次的技术
USB Key认证——采用软硬件结合，一次一密的强双因子验证（解决了安全性与易用性矛盾）
3.用户口令保护策略
安全密码（首次登录必须修改口令）
密码长度
密码有效期
密码组成：大写、小写、数字、特殊符号
不带联想色彩（电话、生日、地址…)
不用完整的单词（常用人名Alice等）
口令保护策略
最大口令时效
最小口令时效（防止被攻击后别人修改密码，使得管理员丧失管理权）
口令历史（设置多久才能允许使用历史密码）
最小口令长度
口令复杂度
加密选项
口令锁定

7.3加密技术
1.加密技术：
(1)对称性加密：加密和解密使用相同的密钥
特点：密钥分发困难，算法效率高，速度快，适合于对大数据进行加密
常见对称性算法（私钥加密算法）
DES 3DES(三重DES)
RC- 5
IDEA 国际数据加密算法
(2)非对称性加密：加密和解密使用不同的密钥
特点：密钥成对出现，密钥之间不能相互推导，公钥对外公开，私钥只有持有者持有，算法相对于对称加密算法效率低
常见非对称算法（公钥加密算法）
RSA
ECC椭圆曲线算法
Elgamal算法
DSA 数字签名算法
(3)单向加密
非可逆加密：就是不可解密的加密方法，也称单向加密，加密后不可还原。
常见的单向加密算法
MD5
SHA（安全的哈希算法）——无论数据大小，通过哈希算法生成的哈希报文摘要位数固定；数据不同，生成的哈希报文摘要也不同
——等同于签名功能，但是效率比签名高
(4)PKI：公钥基础设施——解决公钥归属问题，如A与B通信，PKI确保确实公钥来自于A/B，而不是第三方。是遵循既定标准的密钥管理平台。
能为网络中的所有应用提供信息加密、数据签名等密码相关的服务，以及必须的密钥和证书管理系统。密钥是成对出现的，加密和解密用的不是同一个密钥。
CA ——证书颁发机构，是PKI的核心，向用户或机构颁发数字证书。
RA --注册机构,负责接收用户对证书的申请注册。
数字证书——一个2k大的文件，把公钥和一些拥有者的信息(用户信息)绑定在一起的数字文件。
颁发数字证书的CA会用自己的私钥对这一个颁发的数字证书进行加密，由于非对称性加密，用私钥加密就需要用公钥解密，所以CA用自己的私钥对颁发的数字证书进行加率，
就需要用CA自己的公钥对数字证书进行解密，而公钥是对外公开的，所以所有用户都能对CA加密的数字证书进行解密，所以此处CA证书用自己的私钥对数字证书进行加密，
是为了保证，这个数字证书，确实是由CA颁发的，也就是说可以通过CA的公钥验证数字证书的真假。
证书实现的安全保证
机密性:通过加密实现。例如用B的公钥给A的消息加密，在传输的过程中，密文不会被破解，只有当密文到达B时，通过B的私钥才能对密文进行解密，从而保证了消息的“机密性”。
不可杏认性:通过加密实现。
完整性:通过数据签名实现。例如用A的私钥给A发送的消息加密以后发送给B，如果过程中黑客修改了消息内容，数据签名就会丢失，
也就是说B用A的公钥就无法解开A发送来的密文了，这时数据签名的不正常，就会让我们发现数据被篡改过了
鉴别:通过数据签名实现。例如A用A的私钥加密，只能用A的公钥解密;所以用户B无法伪造A的身份发信息，就实现了身份的鉴别。
(5)加密：用B的公钥进行加密，传输完成后才能用B的私钥进行解密。这样保证的了消息的机密性。
(6)签名：用A的私钥给A消息进行加密，传输完成后用A的公钥进行解密，这起到了签名的作用，标识了这消息是A发出的。
(7)签名+加密：如A传输到B，先用A的私钥进行签名，再用B的公钥进行加密，传输后先用B的私钥进行解密，再用A的公钥进行核实签名。
注：D——解密；E——加密；对未加密的数据进行解密，也是数据变成不可阅读的方式，也可以看做加密。
(8)Hash+签名：实现思路:报文通过hash算法生成对应的hash值(报文摘要)，然后对hash值进行签名(用A的私钥对hash值进行签名)，然后将加密后的hash值和报文捆绑在一起进行发送;
B收到以后，会先用A的公铜解密hash值(核实签名)，再对报文用相同的hash算法生成另一个hash值;只要新生成的hash值与之前的hash值相等，就意味着报文内容是完整的。
按约定生成固定长度的二进制位，不管消息的内容有多大，生成的字符长度是固定的。

7.4网络攻击和病毒防治以及安全协议
1.网络攻击
网络攻击术语
冒充——口令猜测、缓冲区溢出，冒充攻击就是一个实体假装成另一个实体进行攻击。一般 与主动攻击结合在一起使用。
重演（重复演示）：当一个消息或者部分消息，为了产生非授权效果而被重复时，出现重演
消息篡改——伪造电子邮件、DNS高速缓存污染（在高速缓存中修改信息）：数据所传送的内容被改变而未被发掘，并导致非授权后果。
服务拒绝（DOS,DDOS无法正常提供服务）——死亡ping、泪滴攻击、UDP洪水、SYN洪水、Land攻击、Smurf攻击、Fraggle攻击、电子邮件炸弹、畸形信息攻击
DDoS攻击（分布式拒绝服务攻击）：通过大量计算机同时向目标发起请求，使其无法正常服务
“Dos"通常指的是"Denial of Service”，即拒绝服务攻击。这是一种试图使合法用户无法访问网络资源的攻击方法。通过大量请求导致服务无法正常运行。
2.计算机病毒
病毒：破坏者——人为的，可自我复制的。病毒通过感染其他程序来传播，一旦被感染的程序被执行，病毒就会复制自身并感染其他程序。
病毒的主要目的是破坏数据、占用系统资源或传播自身。
计算机病毒通常具有传染性、隐蔽性和破坏性，能够影响计算机系统的正常运行。
潜伏性、传染性、隐蔽性、破坏性、多样性、条件触发性
木马：盗窃者，木马不会自我复制，而是通过欺骗用户执行含有木马的程序来入侵系统。木马通常包含服务端和用户端两部分，服务端植入目标计算机，用户端用于黑客控制。
木马的主要功能是窃取数据、控制计算机或进行其他恶意操作。
木马具有隐蔽性、自动运行性、欺骗性和自动恢复性等特点
不产生图标、伪装成“系统服务”的方式、自动运行、具备自动恢复、能自动开启端口，建立网络连接

计算机病毒和木马举例：
	系统病毒 前疑:Win32、PE、W32，如:KCOM-WIn32.KCOM
	蠕虫病毒 如:恶鹰-Worm.BBcagle
	木马病毒、黑客病毒 如:QQ消息尾巴木马-Trojan.QQ3344
	脚本病毒 如:红色代码--script.Redlof
	宏病毒 如:美丽莎-Macro.Melissa
	后门病毒 如:灰鸽子-Backdoor.win32.Huigezi
	病毒种植程序病毒 冰河播种者-Dropper.BingHe2.2C
	破坏性程序病毒 杀手命令-Harm.Command.Killer
	玩笑病毒 如:女鬼-Joke.Girl ghost
	捆绑机病毒 如:捆绑QQ-Binder.QQPass.QQBin	

	冰河木马：冰河木马在2006年之前是国内最具影响力的木马之一。
		其主要功能包括远程访问和控制目标计算机，能够自动跟踪屏幕变化、记录各种口令信息、获取系统信息、限制系统功能、进行远程文件操作、发送信息和点对点通讯等。
	熊猫烧香、广外女生：广外女生木马是一种远程控制木马，能够记录键盘操作、截取屏幕内容、盗取密码和文件等。
	黑洞：黑洞木马具有远程控制、文件操作、信息窃取等功能。
	黑冰：黑冰木马是一种高级远程控制木马，能够隐藏自身进程、记录键盘操作、截取屏幕内容等，。
	SubSeven：SubSeven是一种功能强大的远程控制木马，能够进行文件操作、进程管理、注册表操作等。
	Bo2000：Bo2000（Back Orifice）是一种远程控制木马，能够执行多种系统命令、查看系统信息、文件操作等。
	NetSpy：NetSpy是一种远程监控木马，能够记录键盘操作、截取屏幕内容、发送信息等。
	Asylum：Asylum是一种高级远程控制木马，能够进行文件操作、进程管理、注册表操作等。

3.安全协议
安全协议：安全协议是以密码学为基础的信息交换协议，其目的是在网络环境中提供各种安全服务。常见的安全协议如下所示：
（1）IPSec协议：这是一套协议而不是单个协议，在IP层提供数据源验证、数据完整性和数据保密性。
（2）SSL协议：Secure Socket Layer安全套接层协议，用于保障在Internet上数据传输的安全，利用数据加密技术，可确保数据在网络传输过程中不会被截取及窃听。
基于web应用的安全协议，能在TCP/IP和应用层无缝实现Internet协议栈处理。
（3）TLS协议：Transport Layer Security安全传输层协议，基于SSL，使用的加密算法种类与其相似，同样独立于应用程序协议。
其主要目的是使SSL更安全，并使协议规范更精确和晚上，它是在SSLv3.0基础上提供的增加，内容如下：更安全的MAC算法，更严密的警报，灰色区域规范的更明确的定义。
（4）SSH协议：在传输层与应用层之间的加密隧道应用协议，它从几个不同的方面来加强通信的完整性和安全性。SSH协议由三部分组成：传输层协议、用户认证协议、连接协议。
（5）S-HTTP协议：安全超文本传输协议，在应用层运行的HTTP安全性扩展，是在HTTP基础上发展而来。
（6）HTTPS协议：基于SSL的HTTP(超文本传输协议)，以安全为目标的HTTP通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。 （7）PGP协议：是一个基于RSA公钥加密体系的邮件加密软件，PGP可以在电子邮件和文件存储应用中提供保密和认证服务，防止非授权者阅读，还能对邮件和文件加上数字签名，从而使收件人确信发送者是谁。
（8）S/MIME协议：在RSA数据安全的基础上，加强了互联网E-mail格式标准MIME的安全性。

4.网络攻击手段
(1).SQL注入
strSQL= “select * from users where (name = '”+ userName + “')
and (pw = '”+ passWord"');"
strSQL = “select * from users where (name = ‘1’ or ‘1’ = ‘1’) and (pw = ‘1’ or ‘1’=‘1’);”
strSQL = “select * from users where (name = ‘张三’；drop table users ;-- );”
参考1：https://blog.csdn.net/qq_44159028/article/details/114325805
参考2：https://cloud.tencent.com/developer/article/1539207
参考3：https://blog.csdn.net/weixin_45954730/article/details/131525362
(2)XSS攻击：跨站脚本攻击（Cross Site Scripting）
原理：攻击者向有XSS漏洞的网站中输入（或传入）恶意的HTML代码，使得用户浏览该网站是，自动执行这段恶意代码，从而达到攻击的目的。
——如盗取用户cookie、破坏页面结构、重定向其他网站等
恶意代码示例：
http://bbs.xss.net/home?content =
XSS防御
验证所有输入数据，有效检测攻击
对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行