第三章 系统安全
操作系统安全
操作系统安全基础
基本安全实现机制：
CPU模式和保护环：内核模式、用户模式 进程隔离：使用虚拟地址空间达到该目的
操作系统安全实践
UNIX/Linux 系统：
文件系统安全：
所有的事物都是文件：正规文件、目录、特殊文件（/dev下设备文件）、链接、Sockets； 文件系统安全基于i节点中的三层关键信息：UID、GID、模式；模式位，权限位的八进制数表示； 设置SUID（使普通用户完成一些普通用户权限不能完成的事而设置）和SGID， 体现在所有者或同组用户权限的可执行位上； chmod改变文件权限设置、chown、chgrp；unmask创建文件默认权限
账号安全管理：
/etc/passwd、/etc/shadow； 伪用户账号；
root 账户管理：
超级用户账户可不止一个，将UID和GID设置为0即可，使用可插入认证模块PAM进行认证登录
日志与审计：
日志系统：记录连接时间的日志：/var/log/wtmp、/var/run/utmp， 进程统计：pacct与acct，错误日志：/var/log/messages
Windows 系统：
Windows安全子系统：winlogon和图形化标识和验证GINA、本地安全认证、安全支持提供者的接口（SSPI）、 认证包、安全支持提供者、网络登录服务、安全账号管理器（SAM）
登录验证：Kerberos
用户权力与权限：用户权限：目录权限、文件权限；共享权限 日志与审计：系统日志、应用程序日志、安全日志 安全策略：密码策略；锁定策略；审核策略；用户全力指派；安全选项；装载自定义安 全模板；windows加密文件系统
可信计算技术：
可信计算平台联盟（TCPA），可信计算组织（TCG） 可信PC，可新平台模块（TPM），可信软件栈（TSS），可信网络连接（TNC） 可信平台模块（TPM）：具有密码运算能力和存储能力，是一个含有密码运算部件和存储部件的小型片上系统； 物理可信、管理可信的； 可信密码模块（TCM）：中国 可信计算平台：三个层次：可信平台模块（信任根）、可信软件栈、可信平台应用软件； 我国：可信密码模块、可信密码模块服务模块、安全应用 可信网络连接（TNC）：开放性、安全性
数据库安全
数据库安全基础
统计数据库安全
现代数据库运行环境：多层体系结构，中间层完成对数据库访问的封装
数据库安全功能：
用户标识和鉴定
存取控制：
自主存取控制：用户权限有两个要素组成：数据库对象和操作类型，GRANT语句向用户授予权限，REVOKE语句收回授予的权限，角色：权限的集合；强制存取控制：主体和客体，敏感度标记：许可证级别（主体）、密级（客体），首先要实现自主存取控制
审计：用户级审计、系统审计；AUDIT 设置审计功能，NOAUDIT 取消审计功能
数据加密
视图与数据保密性：将视图机制与授权机制结合起来使用，首先用视图机制屏蔽一部分保密数据，然后在视图上再进一步定义存取权限
数据完整性：
语义完整性，参照完整性，实体完整性
约束：
优先于使用触发器、规则和默认值
默认值：CREATE DEFAULT
规则：CREATE RULE，USE EXEC sp_bindefault，DROP RULE
事务处理：BEGAIN TRANSACTION，COMMIT，ROLLBACK；
原子性、一致性、隔离性、持久性；
自动处理事务、隐式事物、用户定义事物、分布式事务
数据库安全实践
数据库十大威胁：
过度的特权滥用；合法的特权滥用；特权提升；平台漏洞； SQL注入；不健全的审计；拒绝服务；数据库通信协议漏洞； 不健全的认证；备份数据库暴露
安全防护体系：事前检查，事中监控，事后审计
数据库安全特性检查：
端口扫描（服务发现）：对数据库开放端口进行扫描； 渗透测试：黑盒式的安全监测，攻击性测试，对象是数据库的身份验证系统和服务监听系统， 监听器安全特性分析、用户名和密码渗透、漏洞分析； 内部安全监测：安全员数据、内部审计、安全配置检查、漏洞检测、版本补丁检测 数据库运行安全监控：网络嗅探器、数据库分析器、SQL分析器、安全审计
第四章 网络安全
网络安全基础
网络协议
数据链路层协议：地址解析协议（ARP），逆向地址解析协议（RARP） 网络层协议：IP协议， Internet控制报文协议（ICMP）：发送出错和控制消息，提供了一个错误侦测与回馈机制 传输层协议：TCP协议，UDP协议 应用层协议：HTTP，SMTP和POP3，DNS
网络安全威胁技术
扫描技术
互联网信息搜集
IP地址扫描：操作系统命令ping（网络故障诊断命令）、tracer，自动化的扫描工具Namp 、Superscan 端口扫描：Namp软件；TCP全连接扫描，TCP SYN扫描，TCP FIN扫描，UDP的ICMP端口不可达扫描，ICMP扫描；乱序扫描和慢速扫描 漏洞扫描：网络漏洞扫描：模拟攻击技术；主机漏洞扫描：漏洞特征匹配技术、补丁安装信息的检测 弱口令扫描：基于字典攻击的弱口令扫描技术、基因穷举攻击的弱口令扫描技术 综合漏洞扫描：Nessus
扫描防范技术：
防火墙，用安全监测工具对扫描行为进行监测
网络嗅探
非主动类信息获取攻击技术
防范：
实现对网络传输数据的加密，VPN、SSL、SSH等加密和传输的技术和设备， 利用网络设备的物理或者逻辑隔离的手段
网络协议欺骗
IP地址欺骗：和其他攻击技术相结合 ARP欺骗：中间人欺骗（局域网环境内实施），伪装成网关欺骗（主要针对局域网内部主机与外网通信的情况）； 防范：MAC地址与IP地址双向静态绑定 TCP欺骗：将外部计算机伪装成合法计算机；非盲攻击： 网络嗅探，已知目标主机的初始序列号，盲攻击：攻击者和目标主机不在同一个网络上 DNS欺骗：基于DNS服务器的欺骗，基于用户计算机的DNS欺骗
诱骗式攻击
网站挂马：
攻击者成功入侵网站服务器，具有了网站中网页的修改权限
技术：
框架挂马：直接加在框架代码和框架嵌套挂马； JS脚本挂马； body挂马； 伪装欺骗挂马 防范：Web服务器，用户计算机
诱骗下载：
主要方式：多媒体类文件下载，网络游戏软件和插件下载，热门应用软件下载，电子书爱好者，P2P种子文件 文件捆绑技术：多文件捆绑方式，资源融合捆绑方式，漏洞利用捆绑方式
钓鱼网站
社会工程
软件漏洞攻击利用技术
软件漏洞：操作系统服务程序漏洞，文件处理软件漏洞，浏览器软件漏洞，其他软件漏洞 软件漏洞攻击利用技术：直接网络攻击； 诱骗式网络攻击：基于网站的诱骗式网络攻击，网络传播本地诱骗点击攻击
拒绝服务攻击
实现方式：
利用目标主机自身存在的拒绝服务性漏洞进行攻击，耗尽目标主机CPU和内存等计算机资源的攻击， 耗尽目标主机网络带宽的攻击
分类：
IP层协议的攻击：发送ICMP协议的请求数据包，Smurf攻击； TCP协议的攻击：利用TCP本身的缺陷实施的攻击，包括SYN-Flood和ACK-Flood攻击 ，使用伪造的源IP地址，利用TCP全连接发起的攻击，僵尸主机；
UDP 协议的攻击；
应用层协议的攻击：脚本洪水攻击
分布式拒绝服务（DDos）：攻击者，主控端，代理端，僵尸网络
防范：支持 DDos 防御功能的防火墙
Web 脚本攻击
针对 Web 服务器端应用系统的攻击技术： 注入攻击：SQL注入，代码注入，命令注入，LDAP注入，XPath注入； 防范：遵循数据与代码分离的原则
访问控制攻击，非授权的认证和会话攻击
针对 Web 客户端的攻击技术：
跨站脚本攻击（XSS）：反射型XSS（非持久性的跨站脚本攻击），存储型XSS（持久型的跨站脚本攻击） DOM-based XSS（基于文档对象模型的跨站脚本攻击）：从效果上来说属于反射型XSS 跨站点请求伪造攻击（CSRF）：伪造客户顿请求； 防范：使用验证码，在用户会话验证信息中添加随机数
点击劫持攻击
远程控制
木马：
具有远程控制、信息偷取、隐藏传输功能的恶意程序；通过诱骗的方式安装；一般没有病毒的的感染功能；
特点：伪装性，隐藏性，窃密性，破坏性；
连接方式：C/S结构；最初的网络连接方法；
反弹端口技术：服务器端主动的发起连接请求，客户端被动的等待连接； 木马隐藏技术：线程插入技术、DLL动态劫持技术、RootKit（内核隐藏技术） Wwbshell：用Web脚本写的木马后门，用于远程控制网站服务器； 以ASP、PHP、ASPX、JSP等网页文件的形式存在； 被网站管理员可利用进行网站管理、服务器管理等
网络安全防护技术
防火墙
一般部署在网络边界，也可部署在内网中某些需要重点防护的部门子网的网络边界
功能：
在内外网之间进行数据过滤； 对网络传输和访问的数据进行记录和审计； 防范内外网之间的异常网络行为； 通过配置NAT提高网络地址转换功能
分类：
硬件防火墙：X86架构的防火墙（中小企业），ASIC、NP架构的防火墙（电信运营商）； 软件防火墙（个人计算机防护）
防火墙技术：
包过滤技术：默认规则； 主要在网络层和传输层进行过滤拦截，不能阻止应用层攻击，也不支持对用户的连接认证，不能防止IP地址欺骗 状态检测技术（动态包过滤技术）：增加了对数据包连接状态变化的额外考虑，有效阻止Dos攻击 地址翻译技术：静态NAT，NAT池，端口地址转换PAT 应用级网关（代理服务器）：在应用层对数据进行安全规则过滤
体系结构：
双重宿主主机体系结构：至少有两个网络接口，在双重宿主主机上运行多种代理服务器，有强大的身份认证系统 屏蔽主机体系结构：防火墙由一台包过滤路由器和一台堡垒主机组成，通过包过滤实现了网络层传输安全的同时， 还通过代理服务器实现了应用层的安全 屏蔽子网体系结构：由两个包过滤路由器和一台堡垒主机组成；最安全，支持网络层、传输层、应用层的防护功能； 添加了额外的保护体系，周边网络（非军事区，DMZ）通常放置堡垒主机和对外开放的应用服务器； 堡垒主机运行应用级网关
防火墙的安全策略
入侵检测系统和入侵防御系统
入侵检测系统（IDS）：
控制台：在内网中，探测器：连接交换机的网络端口
分类：
根据数据采集方式：基于网络的入侵检测系统（NIDS）、基于主机的入侵检测系统（HIDS）； 根据检测原理：误用检测型入侵检测系统、异常检测型入侵检测系统
技术：
误用检测技术：专家系统、模型推理、状态转换分析； 异常检测技术：统计分析、神经网络； 其他入侵检测技术：模式匹配、文件完整性检验、数据挖掘、计算机免疫方法 体系结构：集中式结构：单一的中央控制台；分布式结构：建立树形分层结构
部署：
一个控制台可以管理多个探测器，控制台可以分层部署，主动控制台和被动控制台
入侵防御系统（IPS）：
部署：网络设备：网络中需要保护的关键子网或者设备的网络入口处，控制台 不足：可能造成单点故障，可能造成性能瓶颈，漏报和无保的影响
PKI
公共密钥基础设施是创建、管理、存储、分布和作废数字证书的一场系列软件、硬件、人员、策略和过程的集合
组成：
数字证书是PKI的核心；安全策略；证书认证机构（CA）； 证书注册机构；证书 分发机构；基于PKI的应用接口 数字证书 信任模式：单证书认证机构信任模式，层次信任模型，桥证书认证机构信任模型
VPN
利用开放的物理链路和专用的安全协议实现逻辑上网络安全连接的技术
网络连接类型：
远程访问型VPN（Client-LAN）客户机和服务器都安装VPN软件； 网络到网关类型的VPN（LAN-LAN）客户端和服务器各自在自己的网络边界部署硬件VPN网关设备
VPN 协议分类：
网络隧道技术 第二层隧道协：封装数据链路层数据包； 介于二、三层之间的隧道协议； 第三层隧道协议IPSec，通用路由封装协议（GRE）； 传输层的SSL VPN协议：SSL协议工作在TCP/IP和应用层之间
网络安全协议
Internet 安全协议（IPSec）：
引入加密算法、数据完整性验证和身份认证； 网络安全协议：认证协议头（AH）、安全载荷封装（ESP，传输模式、隧道模式）， 密钥协商协议：互联网密钥交换协议（IKE）
传输层安全协议（SSL）：
解决点到点数据安全传输和传输双方身份认证的网络安全传输协议； 记录协议和握手协议
应用层安全协议：
Kerberos协议； SSH协议：加密所有传输的数据，能防止DNS欺骗和IP欺骗； 安全超文本传输协议（SHTTP）； 安全多用途网际邮件扩充协议（S/MIME）； 安全电子交易协议（SET）
第五章 应用安全
根据漏洞的生命周期不同阶段的划分：
0day漏洞、1day漏洞、已公开漏洞
漏洞定义的三个要素：
①漏洞是计算机系统本身存在的缺陷 ②漏洞的存在和利用都有一定的环境要求 ③漏洞的存在本身是没有什么危害的，只有被攻击者恶意利用，才能给计算机系统带来威胁和损失
软件漏洞危险等级的划分：
第一级：紧急；第二级：重要；第三级：中危；第四级：低危
国内外知名的软件库有：CVE、Bugtraq、NVD、CNNVD、EDB…
常见的软件漏洞 ①缓冲区漏洞：栈溢出漏洞、堆溢出漏洞、单字节溢出漏洞 ②格式化字符串漏洞 ③整数溢出漏洞：存储溢出、运算溢出、符号问题 ④数组越界漏洞 ⑤写污点值到污点地址漏洞 ⑥内存地址对象破坏性调用漏洞
Windows 操作系统中提供的主要几种漏洞防范技术：
GS Stack protection、DEP、ASLR、SafeSEH、SEHOP
软件生命周期：
问题定义、可行性分析、总体描述、系统设计、 编码、调试和测试、验收与运行、维护升级到废弃
软件开发生命周期模型
瀑布模型/改进的瀑布模型、螺旋模型、迭代模型、快速原型模型
软件开发技术：
建立安全威胁模型、安全设计、安全编码、安全测试
微软的软件安全开发周期 SDL，其生命周期模型包括 13 个阶段
第0阶段：准备阶段 第1阶段：项目启动阶段 第2阶段：定义需要遵守的安全设计原则 第3阶段：产品风险评估 第4阶段：风险分析 第5阶段：创建安全文档、安全配置工具 第6阶段：安全编码策略 第7阶段：安全测试策略 第8阶段：开发团队自身进行的全面，安全分析监测 第9阶段：最终安全评审 第10阶段：组建安全响应团队制定安全响应计划 第11阶段：产品发布 第12阶段：安全响应执行
软件安全监测技术
静态安全监测：词法分析、数据流分析、污点传播、符号执行、模型检查、定理证明 动态安全监测：模糊测试、智能模糊测试、动态污点分析 动静结合的安全监测：BitBlaze
基于软件技术的软件安全保护技术：
注册信息验证技术、软件防篡改技术、代码混淆技术、 软件水印技术、软件加壳技术、反调试反跟踪技术
代码混淆技术：
词法转换、控制流转换、数据转换
·基于硬件技术的软件安全保护技术：
加密狗（常用）、光盘保护技术、专用的计算机接口卡
恶意程序的分类：
单一功能病毒（文件感染型病毒、宏病毒、引导型病毒、邮件型病毒）、 木马、蠕虫、恶意脚本、综合型病毒
恶意程序的传播方法：
网站挂马、诱骗下载、通过移动存储介质传播、 通过电子邮件和即时通信软件传播、通过局域网传播
恶意程序的破坏功能：
浏览器配置被修改、窃取用户密码账号等隐私信息、实现远程控制、破坏系统或网络的正常运行
恶意程序监测查杀技术：
特征码查杀、启发式查杀、虚拟机查杀、主动防御技术
Web 应用的十大安全威胁排名：
注入、跨站脚本、遭破坏的身份认证和会话管理、 不安全的直接对象引用、伪造跨站请求、安全配置错误、 不安全的加密存储、没有限制的URL访问、传输层保护不足、未验证的重定向和转发
Web 安全防护：
客户端安全防护、网络通信安全防护、服务器端安全防护
Web 安全监测：
黑盒检测、白盒检测
第六章 信息安全管理
信息安全管理体系 ISMS 提现预防控制为主的思想、本着控制费用与风险平衡的原则
标准信息系统的组成：
人员、过程、数据、信息、软件、硬件
因特网组件：
服务器、网络设置（路由器、集线器、交换器）、保护设备（防火墙、代理服务）、电缆
信息安全管理方面的内容：
信息安全管理体系（ISMS）、信息安全风险管理、信息安全管理措施
信息安全风险管理：
风险识别、风险评估、风险控制策略
风险评估分为自评估和检查评估 信息安全管理体系提现预防控制为主的思想 信息安全管理体系的审核包括管理和技术两个方面的审核
信息安全评估原则：
自主、适应度量、已定义过程、连续过程的基础
风险控制策略中缓解是一种控制方法，包括：
事件响应计划、灾难恢复计划、业务持续性计划 要制定一套好的安全管理策略，必须与决策层进行有效沟通，并得到组织机构高层领导的支持与承诺
访问控制分为：
预防性的访问控制、探查性访问控制、纠正性访问控制
访问控制的实现：
行政性访问控制、逻辑/技术性访问控制、物理性访问控制
重要安全管理过程：
系统获取、开发和维护；信息安全事件管理与应急响应；业务连续性管理与灾难恢复
事故响应分四个阶段：
计划；检测；反应；恢复
第七章 信息安全标准与法规
信息技术安全评价的通用准则（CC），是由六个国家（美国、加拿大、英国、法国、德国、荷兰）于 1996 年联合提出。CC 标准是第一个信息技术安全评价国际标准，它的发布对信息安全具有重要意义，是信息技术安全评价标准以及信息安全技术发展的一个重要里程碑。
ISO 13335 标准首次给出了关于 IT 安全的 6 个方面的含义：
机密性、完整性、可用性、审计性、认证性、可靠性。
BS 7799 是依据英国的工业、政府和商业共同需求和发展的一个标准，它分为：信息安全管理事务准则；信息安全管理体系的规范。
《计算机信息系统安全保护等级划分标准》将信息系统安全分为 5 个等级：
自主保护级；系统审计保护级；安全标记保护级；结构化保护级；访问验证保护级
主要的安全考核指标有：
身份认证；自主访问控制；数据完整性；审计
CC 将评估过程划分为功能和保证两个部分，评估等级分为
EAL1，EAL2,EAL3,EAL4,EAL5,EAL6,EAL7 七个等级
每一个级均需评估 7 个功能类,分别是：
配置管理、分发和操作、开发过程、指导文献、生命的技术支持、测试和脆弱性评估
定级四要素：
信息系统所需类型、业务数据类型、信息系统服务范围、业务自动化处理程序
GB/T 22239《信息系统安全等级保护基本要求》从五个层面提出：
物理安全；网络安全；主机安全；数据安全，安全管理
基本管理要求：
安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理
基本技术要求和基本管理要求是确保信息系统安全不可分割的两个部分
国家秘密的密级分为： 绝密（30 年），机密（20 年），秘密（10 年）
