第八章 信息安全概论

1. 第八章 信息安全概论

2. 问题的提出： • 你的计算机有中过毒吗？被人攻击过吗？ • 我们现在的计算机系统安全吗？ • 互联网可靠吗？ • 谈谈你对电子商务、电子银行的看法。

3. 学习目标： 了解计算机信息安全的定义、了解国家有关计算机信息安全的法律、法规，增强计算机安全的法律意识、了解计算机病毒、木马等程序的结构和基本机理、知道保证计算机信息安全的主要技术手段、了解密码学和数据加密的基本原理及其在计算机信息安全方面的重要作用和会设置计算机密码和使用杀毒软件等工具保护自己的计算机

4. 第八章 信息安全概论 • 学习目的和要求： • 1.了解计算机信息安全的定义 • 2.熟悉国家有关计算机信息安全的法律、法规3.知道计算机病毒、木马等程序的结构和基本机理 • 4.掌握保证计算机信息安全的主要技术手段 • 5.了解密码学和数据加密的基本原理及其在计算机信息安全方面的重要作用 • 6.知道计算机密码和使用杀毒软件等工具保护自己的计算机

5. §8.1 计算机病毒及防治 • 计算机病毒的概念 计算机病毒是指一段具有自我复制和传播功能的计算机代码，这段代码通常能影响计算机的正常运行，甚至破坏计算机功能和毁坏数据。

6. 1、 计算机病毒的定义 计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。它一般是随着在文件上通过软盘交换或网络上进行传播，侵入计算机系统，使计算机软件受到感染，数据遭到破坏或显示令人讨厌的信息，干扰计算机的正常运行，甚至破坏PC机主板硬件；并且使受感染的软件成为新的传染源，继续传染其他的计算机系统。和生物病毒一样。它往往是随着在可执行程序或应用程序生成的文档中，特别是一些不明身份的电子邮件的附件中。

7. 2、 计算机病毒的结构 计算机病毒的结构一般有以下几个部分： • （1）初始化部分。它随着宿主（附着的文件）程序的执行进入内存，并使病毒相对独立于宿主程序。 • （2）传染部分。它能将病毒代码连接于宿主程序上，传染包括传染的判断条件和完成病毒与宿主程序连接的病毒传染主体部分。 • （3）破坏部分。这部分代码可以破坏被传染系统或在被传染系统的设备上表现异常的现象，如在计算机显示器上显示讨厌的文字和恶作剧等。

8. 3、计算机病毒的特点： 计算机病毒具有寄生性、传染性、隐藏性、潜伏性、可能发性、攻击的主动性和破坏性、针对性和衍生性等。 • 4、计算机病毒的破坏形式： • ① 破坏磁盘系统区域的信息，如文件分配表、卷标等，或者格式化磁盘，造成磁盘上信息丢失。② 删除磁盘上特定类型的文件，改变文件属性，或者修改和破坏文件中的数据。 • ③ 影响系统设备的正常工作，如异常文字、图形、声音的出现、系统死机、重新启动或毁坏PC机主板等。 • ④ 占用大量的存储空间，降低计算机系统性能。如网络蠕就是这样。

9. 计算机病毒的特征 • 病毒是一段可执行的程序 • 病毒具有广泛的传染性 • 病毒具有很强的隐蔽性 • 病毒具有潜伏性 • 病毒具有可触发性 • 病毒具有破坏性

10. 计算机病毒的破坏 现在计算机病毒已达5万多种，并呈几何级数增长 • 2001年，红色代码病毒，目前造成的损失已超过十二亿美元； • 2001年，尼姆达病毒，造成二十多亿美元的损失，到目前为止，受感染的机器数量已超过20万 ； • 2003年1月25日，SQL蠕虫病毒横扫全球，造成多个国家和地区的骨干网络陷入瘫痪状态； • 2003年8月11日，“冲击波”在全球发威，袭击Windows操作系统，感染了上亿台计算机。国内近90%的网络用户受到感染，几千个局域网瘫痪； • ……

11. 计算机病毒的种类 • 启动型病毒 • 文件型病毒 • 宏病毒 • Script病毒 • JAVA病毒 • Shockwave病毒

12. 网络病毒的概念 利用网络协议及网络的体系结构作为传播的途径或传播机制，并对网络或联网计算机造成破坏的计算机病毒称为网络病毒。

13. 网络病毒的特点及危害 • 破坏性强 • 传播性强 • 针对性强 • 扩散面广 • 传染方式多 • 消除难度大

14. 网络病毒在全球范围内高速扩散 2001年7月19日 01:05:00 2001年7月19日 20:15:00

15. 黑客攻击技术与网络病毒日趋融合

16. 攻击者需要的技能日趋下降 攻击者所需技能 攻击工具复杂性

17. 常见的网络病毒 • 蠕虫病毒 • 多态病毒 • 伙伴病毒 • 梅利莎病毒 • BO病毒 • 隐藏病毒 • JAVA病毒

18. 典型病毒介绍 • 1、CIH病毒 CIH病毒是迄今为止发现的最阴险，破坏性最强的病毒之一。它发作时不仅破坏硬盘的引导区和分区表，而且破坏计算机系统flash BIOS 芯片中中的系统程序，导致主板毁坏。它的特点是只感染32位的Wwdows95/98可执行文件，DOS下WINDOWS3.X以及NT下的文件不影响。现在CIH已有多个变种，CIH.2版是每年的6月26日；CIH.4版的发作日期则是每月的26日！（有些变种是在27或28日发作） • 2、NATAS拿他死幽灵王变形病毒 该病毒感染软硬盘引导区、.EXE和.COM文件，能在网络中交叉感染文件，感染后的病毒代码变化无穷尽，使许多查毒软件产生漏查、漏杀的现象。该病毒发作时，将硬盘乱格式化，破坏所有的文件，所以，该病毒流窜极广，危害极大。

19. 尼姆达（Worms.Nimda） 2001年9月18日出现一种破坏力较强的新型病毒尼姆达（W32.Nimda.A@mm），它在互联网上开始蔓延。 Worms.Nimda是一个新型蠕虫，也是一个病毒，它通过email、共享网络资源、IIS服务器传播。同时它也是一个感染本地文件的新型病毒。这个新型W32.Nimda.A@mm蠕虫通过多种方式进行传播，几乎包括目前所有流行病毒的传播手段： ①通过email将自己发送出去；②搜索局域网内共享网络资源,③将病毒文件复制到没有打补丁的微软（NT/2000）IIS服务器；④感染本地文件和远程网络共享文件；⑤感染浏览的网页；该蠕虫由JavaScript脚本语言编写，病毒体长度57344字节，它修改在本地驱动器上的.htm, .html.和 .asp文件。通过这个病毒，IE和Outlook Express加载产生readme.eml文件。该文件将尼姆达蠕虫作为一个附件包含，因此，不需要拆开或运行这个附件病毒就被执行。由于用户收到带毒邮件时无法看到附件，这样给防范带来困难，病毒也更具隐蔽性。 这个病毒降低系统资源，可能最后导致系统运行变慢最后宕机；它改变安全设置，在网络中共享被感染机器的硬盘，导致泄密；它不断的发送带毒邮件。 与红色代码与蓝色代码不同的是，该病毒不仅针对服务器，还对windows9x系统进行感染和破坏。

20. 红色代码（W32/Bady.worm）2001年7月18日发现。该蠕虫感染运行Microsoft Index Server 2.0的系统，或是在Windows 2000、IIS中启用了Indexing Service(索引服务)的系统。该蠕虫利用了一个缓冲区溢出漏洞进行传播（未加限制的Index Server ISAPI Extension缓冲区使WEB服务器变的不安全）。蠕虫只存在于内存中，并不向硬盘中拷文件。 蠕虫的传播是通过TCP/IP协议和端口80，利用上述漏洞蠕虫将自己作为一个TCP/IP流直接发送到染毒系统的缓冲区，蠕虫依次扫描WEB，以便能够感染其他的系统。一旦感染了当前的系统，蠕虫会检测硬盘中是否存在c:\notworm，如果该文件存在，蠕虫将停止感染其他主机。

21. 冲击波（Worm.Blaster）病毒 2003年8月12日全球爆发，该病毒由于是利用系统漏洞进行传播，因此，没有打补丁的电脑用户都会感染该病毒，从而使电脑出现系统重启、无法正常上网等现象。冲击波病毒利用的是系统的RPC DCOM漏洞，病毒攻击系统时会使RPC服务崩溃，该服务是Windows操作系统使用的一种远程过程调用协议。冲击波病毒运行时会在内存中产生名为msblast.exe的进程，在系统目录中产生名为msblast.exe的病毒文件，病毒会监听端口69,模拟出一个TFTP服务器，并启动一个攻击传播线程,不断地随机生成攻击地址，尝试用有RPC漏洞的135端口进行传播，攻击所有存在有RPC漏洞的电脑和微软升级网站。

22. “震荡波(Worm.Sasser)”病毒 2004年5月1日，“震荡波(Worm.Sasser)”病毒在网络出现，该病毒也是通过系统漏洞进行传播的，感染了病毒的电脑会出现系统反复重启、机器运行缓慢，出现系统异常的出错框等现象。震荡波病毒利用的是系统的LSASS服务，该服务是操作系统的使用的本地安全认证子系统服务。病毒运行时会在内存中产生名为avserve.exe的进程，在系统目录中产生名为avserve.exe的病毒文件。震荡波病毒会本地开辟后门，听TCP的5554端口，然后做为FTP服务器等待远程控制命令，并疯狂地试探连接445端口。病毒攻击的是所有存在有LSASS漏洞的电脑，但目前还未发现有攻击其它网站的现象。

23. 计算机病毒的防治 • 防治计算机病毒和我们人一样，治病不如防病，杀毒不如防毒。所以，防治计算机病毒感染一是使用抗毒工具，二是遵守和加强安全操作措施。在实际中杀毒总是被动的，只有发现了一种病毒后才开始的。二对病毒进行预防，则可以掌握工作的主动权。 • 防计算机病毒的常用方法是使用防毒软件，不过这也是治标不治本的方法，杀毒软件永远落后于计算机病毒的发展，只能跟着计算机病毒不断地升级。所以计算机病毒的防治根本还在完善操作系统的安全机制，因为很多的计算机病毒都是针对操作系统的某个漏洞进行攻击的。当然，操作系统的完善并非一般的计算机用户所能为的，我们能做的就是多注意操作系统软件厂商发布的补丁信息，及时给自己的计算机打上补丁。

24. 对于一般的计算机使用者来说，除了要提高自己的防范意识，还要掌握一定的计算机安全技术主要注意以下几个方面：对于一般的计算机使用者来说，除了要提高自己的防范意识，还要掌握一定的计算机安全技术主要注意以下几个方面： • 1、“洁身自好”不随便交换使用软盘，不登录不安全网站和不熟悉的电子邮件附件。这一点也很重要，软盘使用前一定要先杀毒，确定没有病毒才可使用。对一些具有诱惑性的网站不要去登录访问，对不熟悉的电子邮件不要随意打开。 • 2、安装正版的杀毒软件，在线监控，定期或不定期地杀毒。象我国江民公司的瑞星杀毒软件就是非常优秀的杀毒软件，而且是每周升级一次，动态跟踪，特别是对新病毒的预防有很强的实效性。 • 3、备份数据。利用操作系统中的备份文件功能对重要数据进行备份，也是防止数据丢失的重要方法。特别是对一些计算机系统的基本设置参数，重要文件进行备份是十分必要的。

25. 4、数据加密。加密是对在网络中传输和存储的信息进行保护的重要手段。可以保证数据的保密性、完整性和可认证性等。当然加密技术是一门较深奥的学问，一般人不可能自己独创一套加密系统。但现在网上有很多现成的加密工具软件，我们可以很好地利用它来对我们要发送传输的文件进行加密，实行加密保护。4、数据加密。加密是对在网络中传输和存储的信息进行保护的重要手段。可以保证数据的保密性、完整性和可认证性等。当然加密技术是一门较深奥的学问，一般人不可能自己独创一套加密系统。但现在网上有很多现成的加密工具软件，我们可以很好地利用它来对我们要发送传输的文件进行加密，实行加密保护。 • 5、安装防火墙或入侵检测系统。对于局域网络或网站的安全，最好是采用防火墙技术。用于防火墙的技术有：数据包过滤、应用网关和代理服务等。入侵检测系统是目前比较先进的防攻击技术，但价格还比较高，在实际应用过程中一定要进行整体的综合安全评估，才能建立起较好的性价比的计算机防护体系。

26. §8.2 黑客与计算机犯罪 • 什么是黑客 “黑客”一词来源于英语动词hack，在20世纪早期麻省理工学院的校园俚语中是“恶作剧”的意思。在20 世纪70年代，做一名计算机黑客是很荣耀的事，说明他们能对计算机系统进行自由探索，尽可能地使用计算机获取免费和公开的信息。随着一些黑客逐渐将注意力集中到涉及公司秘密和国家机密后，黑客的定义性质就发生了变化。现在的“黑客”是指哪些未经许可就闯进别人计算机的人。

27. 经常有网站遭受黑客攻击

28. 用户数据的泄漏

29. 调查显示：网络攻击数量与日俱增

30. 黑客入侵术 • 密码破解术 密码破解术就是指用一些软件解开他人加密的密码文档，哪些可以解开或屏蔽密码保护的程序通常被称为“Carck”。这些软件使得入侵计算机系统变得非常容易，一般不需要深入了解系统的内部结构。获取密码的方法有三种：一是通过网络监听用户密码，这类方法有一定的局限性，但危害极大，监听者往往能够获得其所在网段的所有用户的密码，对局域网安全威胁大。二是在知道用户的账号后（如电子邮件@前面部分）利用一些专门软件强行破解密码，这种方法不受网段限制，但要有足够的时间和耐心。三是在获得一个服务器上的用户密码文件（称为Shadow文件）后，用蛮力破解程序破解用户密码，该方法的使用前提是黑客获得密码的Shadow文件。此法在所有方法中危害最大，因为它不需要象第二种方法那样一遍又一遍地尝试登录服务器，而是在本地将加密后的密码与Shadow文件中的密码相比较就能容易地破解用户密码。

31. 特洛伊木马术 通常木马采取6个步骤实施攻击：配置木马（伪装木马）→传播木马（通过E-mail或下载）→运行木马（自动安装、自启动）→信息泄漏（用E-mail或其他方法）→建立连接→远程控制。至此，木马彻底掌握了主动权。流行的木马有网络公牛（Netbull）、网络神偷(Netthief)、WAY2.4、Netspy等，。查杀木马的软件有：木马克星，这是一款国产软件，可在http://nj.onlinedown./iparmor.htm下载。还有绿鹰PC万能精灵，它是由绿鹰网络安全联盟开发的软件，可在http://www.cnlvker.com下载。

32. 监听术 网络节点或工作站之间的交流是通过信息流的传送实现的，每个网络节点或工作站都是一个接口，所有系统接口都可能被黑客用有关的监听软件，从而达到截获密码和秘密信息的目的。 • 电子邮件术 电子邮件攻击的方式有两种：一是电子邮件轰炸，即用伪造的IP地址和电子邮件地址向同一信箱发送数以千万计的内容相同的垃圾邮件，致使受害人的邮箱被“炸”，严重的可能会导致邮件服务器操作系统带来危险，甚至瘫痪。二是电子邮件欺骗，攻击者佯称自己是系统员，给用户发送邮件要求用户修改密码或在貌似正常的附件中加载病毒或其他木马程序。

33. 系统漏洞术 计算机系统运行大量的程序，或多或少的存在安全漏洞（bug）,特别是操作系统更是一些黑客乐意攻击的目标，很多病毒软件就是针对计算机系统的软件漏洞来进行攻击的。 • 默认账户术 利用操作系统提供的默认帐户和密码进行攻击，也是黑客常用的手法。例如一般的主机或网站都有FPT和guest等默认账户，黑客可以通过搜集相关信息，来提高自己的攻击能力，从而达到攻击的目的。 • 黑客的入侵攻击的手法也一直在不断的变换更新，以上只是一些黑客常用的攻击手法。 • 黑客攻击计算机网络的基本流程是：收集情报→远程攻击→远程登录→取得普通用户的权限→取得超级用户的权限→留下后门→清除日志。可分为准备阶段、实施阶段和善后阶段来进行。

34. 计算机犯罪 • 利用计算机进行犯罪也是当今司法领域的一个头疼的问题，如网上间谍，黑客肆无忌惮地对网站、数据库进行攻击，窍取机密，这方面的如特洛伊木马程序，时间炸弹、逻辑炸弹超级冲击、伪造认证等等，目前全世界每年被计算机罪犯盗走的奖金达200多亿美元，许多发达国家每年损失几十亿美元。目前随着银行等行业的电子化、信息化的进程加快，我国这方面的犯罪也在成倍增长。计算机犯罪有以下的特点：

35. 获益高、作案时间短 • 风险低，作案容易而不留痕迹 • 犯罪采用先进技术 • 内部人员和青少年犯罪日趋严重 • 犯罪区域广、犯罪机会多

36. 互联网在推动社会发展的同时，也面临着日益严重的安全问题： • 信息系统存在诸多弱点 • 企业外部的网络攻击 • 企业内部发起的网络破坏 • 计算机病毒的破坏 • …… 计算机网络的最大威胁是来自企业内部员工的恶意攻击和计算机病毒的威胁。

37. 网络安全面临的威胁 设备防盗，防毁 链路老化人为破坏 网络设备自身故障 停电导致无法工作 机房电磁辐射 其他 网络的风险 物理风险 安全拓扑 安全路由 计算机病毒 外部攻击 内部破坏 其他风险 软件弱点 其它风险 自主版权的安全操作系统？ 安全数据库？ 操作系统是否安装最新补丁 系统配置安全 系统中运行的服务安全 系统风险 Internet 身份鉴别 访问授权 机密性 完整性 不可否认性 可用性 应用风险 管理风险 信息风险 是否存在管理方面的风险需 有无制定相应的安全制度 信息存储安全 信息传输安全 信息访问安全 其他

38. 各种网络攻击 企业外部的网络攻击 • 2002年1月，网络游戏《传奇》的百万注册用户的资料被盗，涉及金额千万元以上； • 2002年2月，美国一名年仅20岁的黑客非法闯入美国宇航局的人造卫星控制系统，对国家安全造成严重侵害； • 2003年2月， 黑客攻入美国一个专门为商店和银行处理信用卡交易的服务器系统，窃取了MasterCard，VISA（国际两大信用卡组织）等４家大型信用卡组织的约８００万张信用卡资料； • ……

39. 尽管企业外部的攻击可以对企业网络造成巨大威胁，企业内部员工的不正确使用和恶意破坏是一种更加危险的因素。 企业内部的网络破坏 • 统计显示：来自企业内部的网络破坏更加危险； • 员工的不正常使用也是企业内网的一个重要不安全因素。 ICSA/FBI, 2001

40. 网络安全问题的严重性 网络安全隐患到处存在 • 据美国《金融时报》报道，现在平均每20秒就发生一次入侵计算机网络的事件；超过1/3的互联网被攻破。 • 被认为保护措施最严密的美国白宫被多次闯入。 • 中国国内80％的网络存在安全隐患，20％的网站有严重安全问题。 • ……

41. 网络安全问题造成的巨大损失 • 据统计，在全球范围内，由于信息系统的脆弱性而导致的经济损失，每年达数亿美元，并且呈逐年上升的趋势。 • 美国FBI统计数据：美国每年因为网络安全问题而造成的经济损失高达75亿美圆。 • ……

42. 安全漏洞产生的原因 • 系统和软件的设计存在缺陷，通信协议不完备；如TCP/IP协议就有很多漏洞。 • 技术实现不充分；如很多缓存溢出方面的漏洞就是在实现时缺少必要的检查。 • 配置管理和使用不当也能产生安全漏洞； 如口令过于简单，很容易被黑客猜中。

43. 网络攻击的概念 • 利用安全漏洞 • 使用攻击软件或命令 • 使用网络命令 • 使用专用网络软件 • 自己编写攻击软件 • 攻击具体内容 • 非法获取、修改或删除用户系统信息 • 在用户系统上增加垃圾、色情或有害的信息 • 破坏用户的系统

44. 网络攻击概述 一个网络攻击的组成 网络攻击 工具 访问 攻击者 结果 目标 分布式工具 程序 自治代理 工具集 用户命令 骇客 黑客 幼稚黑客 内奸 工业间谍 信息破坏 信息破坏 信息暴露 服务偷窃 服务拒绝 配置的脆弱点 黑客 破坏 破坏 配置的脆弱点 实现的漏洞 用户命令

45. 网络攻击的类型 网络攻击主要可以分为以下几种类型： • 拒绝服务：使遭受的资源目标不能继续正常提供服务 • 侵入攻击：攻击者窃取到系统的访问权并盗用资源 • 信息盗窃：攻击者从目标系统中偷走数据。 • 信息篡改：攻击者篡改信息内容。

46. 网络攻击的类型 CPU 拒绝服务 拒绝服务（Denial of Service）

47. 网络攻击的类型 telnet foo.bar.org username: dan password: m-y-p-a-s-s-w-o-r-d d-a-n 信息盗窃 信息盗窃（Eavesdropping）

48. 网络攻击的类型 I’m Bob, Please let me Log in. Bob 侵入攻击 侵入攻击（Intrusion）

49. 网络攻击的类型 Deposit $1000 Deposit $100 Customer Bank 信息篡改 信息篡改（Loss of Integrity）

50. 常见的网络攻击手段 主要网络攻击手段 • E-Mail炸弹 (E-Mail Bombing) • 逻辑炸弹 (Logic Bombing) • DDos攻击 (Distributed Denial of Service ) • 特洛伊木马 (Trojan Horse Program) • 口令入侵 (Password Intrusion) • 网络窃听 (Eavesdropping) • IP地址欺骗 (IP Spoofing) • 病毒攻击 (Viruses)