信息安全
信息安全的概述
信息：根本作用：表征，控制。性质：普遍性可识别性，存储性可处理性，时效性共享性，增值性可开发性，可控制多效性。
信息安全：一个国家的社会信息化状态不受外来威胁侵害，技术体系不受侵害。属性：完整性可用性保密性可控性可靠性。基本原则：负责知晓道德多方配比综合及时重新评价民主
安全服务：1鉴别：对等鉴别数据源鉴别2访问控制3数据保密性4数据的完整性5不可否认
安全机制：加密 数据签名 访问控制 数据完整性 鉴别交换 业务填充 路由控制 公证
信息安全管理范畴：定义安全策略 ISMS的范围 进行安全评估和管理 确定管理目标和选定管理措施 准备信息安全的适应性说明
信息安全评估：基本风险评估：进参照标准所列举的风险对组织资产进行评估 详细风险评估：
基本风险评估与详细风险评估：一类特殊对待一类一般对待
管理风险的手段：降低 避免 转嫁 接受
信息安全管理体系的构建：建立安全管理架构 具体实施所构建的ISMS 在ISMS基础上建立相关的文档文件 安全事件的记录与反馈
CC：评估通用准则 文档组织：1简介和一般模型 2安全功能和要求 3安全保证要求。关键概念：评估对象TOC用于安全评估的信息技术产品系统子系统。保护轮廓PP：安全性评估依据基于应用环境为一类TOE定义一组安全要求，而不管如何实现。
安全目标ST:安全性评估基础，他是针对具体的TOE而言的，通过评估证明YOE所要实现的技术和保证措施
组件：描述特定的安全要求，讲传统的安全要求分成不能再分的构件
包：组件一句某个特定的关系组合构成包，构建包的目的对满足某个特定安全的有效安全要求
密码技术
密码学：一门关于发现认识掌握和利用密码内在规律的科学，有密码编码密码分析组成。基本原理：信息变换：对数据信息进行一组通常但并非总是可逆的数学函数运算。
明文：原始数据 密文：经变换的数据 这一过程叫做加密 实施与加密相反的过程叫做解密 加密和解密通常都在一组密钥下进行的分别叫做加密密钥和解密密钥
五元组：明文空间M 密文空间C 密钥空间K 加密算法E 解密算法D
穷举攻击：密码分析者采用遍历全部空间的方式对所获密文进行解密，直到获得正确的明文，有明文到密文
统计分析攻击：密码分析者通过分析密文和明文的统计规律来破译密码
数学分析攻击：针对加密解密算法的数学基础和某些密码学的特性破译密码
古典密码：代替密码 置换密码
代替密码：就是发送将明文中每一个字符替换为密文中另外一个字符，然后发送出去，接收者对密文进行替换已恢复明文的过程 单表替换 多表替换 一次一密钥替换
置换密码：按照约定的规则，将明的字母数码和符号不改变形状的基础上打乱原有的位置进行加密
对称密码体制：指解密算法是加密算法的逆运算，加密密钥就是解密密钥的体制，常用来加密大量的数据报文和文卷通信(高速)，特点发送者和接收者之间密钥必须安全传递，且双方必须妥善保管
DES：分组乘积密码体制 最早供人的实用算法标准 工作模式：电子密码本 密码分组连接 输出反馈 密文反馈 作用：完全适应某历史阶段安全的要求的一种密码体制构造 数据加密标准 表明分组密码最为对密码算法标准化的方法方便可行 推动了分析理论和技术的而快速发展，出现里差分线性分析等 密码分配和管理技术
密钥分配技术：
密钥分配中心方式：每个节点或用户只需保管与密钥分配中心（KDC）之间使用的密钥加密密钥，而KDC为每个用户保管一个不同的密钥加密密钥。特点：用户不必保存大量的密钥，可实现一报一密；但缺点通信量大，而且要有较好的鉴别功能，可以识别KDC和用户。
离散数学 智能卡 加密的密钥交换
Intnet密钥交换IKE：阶段一定义主模式和野蛮模式任务是建立IKE SA为阶段二提供加密和验证 阶段二快速模式任务建立IPSee SA
IKE安全隐患：洪泛攻击，也叫拒绝服务，攻击者制造大量伪造的IP请求包，发送给被攻击者，每个请求包多要求被攻击者响应，要开销很大的幂运算处理，到一定程度响应者就无法响应真正的合法用户。设计了cookie交换让每个cookie和每个通讯方对应起来，一旦发起者和响应者交换cookie之后，余下的密钥交换消息都必须包含cookie对，相应的cookie与发起者和响应者IP地址对应起来。如果攻击者和被攻击者交换cookie后，攻击者发送多个不同的IP地址和同一对cookie进行减缓，被攻击者很容易丢弃这些信息。
中间人攻击：攻击者在发起者面前模仿响应者在响应者面前模仿发起者，于是攻击者共享发起者和响应者的密钥 预共享密钥 数字签名 公钥加密
公钥的基础设施PKI：采用证书管理公钥，通过第三方可信任机构CA把用户的公钥和其它信息捆绑在一起，在intnet上验证用户身份。目前采用PKI基础之上的数字证书，通过要传送的信息进行加密和签名，保证信息的传输机密性真实性完整性不可抵赖性，从而达到安全传输信息。
PKI八个部分：1认证机构：负责创建或者证明身份的可信赖的权威机构，权威性首先用户知道签名公钥加密公钥，CA是PKI的核心，功能发放和管理数字证书。2注册机构RA作为CA和最终用户之间的中间实体，负责控制注册过程中证书传递过程中密钥和证书生命周期过程中最终实体和PKI间的交换3证书服务器：负责根据注册过程中提供的信息生成证书机器或者服务4证书库：CA或者RA代替CA发证的地方5证书验证6密钥备份恢复服务器7时间服务
器8签名服务器
公钥证书：
证书的结构证书的生成与发放证书的验证证书的分发证书的废除证书存档
信任模型：多层数结构 网状结构
信任管理：局部信任列表 全局动态信任列表 CA信任发布锚
基于X.509证书的PKI：本质一种公证服务，通过离线的数字证书来证明某个公钥的真实性，并通过CRL来确认某个公钥的有效性
结构模型：宏观上呈现域结构，即每个PKI都有一定的覆盖范围，形成一个管理域。这些管理域通过交互证书相互关联，构成更大的管理域，最终形成全局的公钥管理体系
基本结构模型：策略审批结构 证书使用规定 认证机构 单位注册机构
PKI:管理实体：认证机构CA注册机构RA。端实体：持证者 验证者。操作：存取操作 管理操作。
密钥托管技术：是备份解密和恢复密钥能力的加密技术，可控密码学重要组成部分。逻辑上分为：用户安全块 密钥托管模块 数据恢复模块
用户安全模块USC：是硬件设备或软件程序，它提供数据加密，解密能力同时支持密钥托管
密钥托管模块：有密钥托管机构控制，管理着数据恢复密钥和存储、传递或使用，它可以作为公钥管理系统或密钥管理基础的部分
数据恢复模块：有DRC算法、协议和专用设备组成。
托管系统的信息安全：职责分隔 密钥保密 知识分散 两人控制 冗余技术 政审 物理安全 加密保护 审计 配置管理
密钥管理技术：最小特权 特别资源分散 最小设备 不影响系统正常工作等原则
口令管理：生成口令具有不可预测性 长度应根据访问者信息秘密等级确定 人工输入口令要妥善保存 口令存储传递必须加密 更换频率根据访问信息做决定 信息安全认证：目的：实体验证 完整性验证
数字签名：通常采用加密，哈希函数技术手段对电子文档试试某种机制和变换技术，以实现电子文档的确认的电子文档签名方法。
数字签名寄语两条假设:私钥是安全的只有拥有者才能获得 产生数字签名的唯一途径是使用私钥。
数字签名电子文档满足的特性：无法伪造真实性不可重用性不可修改性不可抵赖性
数字签名必须保证：能够检验签名者的身份 能够证实消息的内容 数字签名可由第三方认证解决通信双争议 接收者可以核实发送者对报文的签名 发送者不可抵赖对报文的签名 接收者不可伪造对报文的签名
防止数字签名重用：数字签名因消息而异不同数字签名的结果不同 及时消息主要内容相同应包含如时间、序号让消息不同
数字签名：签名算法 检验算法 签名私钥是秘密的只有签字人掌握；验证算法是公开的，以便于他人验证（基于对称密码体制的数字签名 基于公钥密码体制的签名）
数字签名分类：直接数字签名 可仲裁数字签名
哈希函数：把任意输入长度的输入窜M化成固定长度的输出窜H的一种函数，它是多对一的函数。特点：给特定的输入计算哈希值很容易，但求逆是比较困难的，又称单向函数。
哈希函数的目的：产生文件报文和其它数据块；性质：输入任意长产生定长输出 单向性 抗弱碰撞性 抗强碰撞性
MD4 MD5
认证技术：又称鉴别确认，是证实某事名副其实或是否有效的过程
认证和加密的区别：加密是确保数据的保密性，阻止攻击者的被动攻击；认证用以确保报文发送者和接收者的真实性以及报文的完整性，阻止攻击者主动攻击
证人技术包括：站点认证 报文认证 身份认证
站点认证：在正式的报文传送前，应首先认证通信是否在双方确定的站点间进行传送实现
报文认证：必须使通信双方能够检验每份报文的发送方和接收方，内容和时间的真实性和完整性
身份验证：许多应用系统的第一道防线 口令 智能卡 生理特征识别 零知识验证
第五章：网络安全技术
综合集成技术：VPN技术加密 身份认证 防火墙等技术于一体
访问控制技术：两个要素实体和访问控制策略 访问控制策略：主体对客体的操作集合约束集
访问控制过程：访问控制涉及限制合法用户的行为。通过一个监视器调节用户对系统内目标进行访问。用户访问时参考监视器便查看数据库以确定进行操作的用户是否确实得到了进行操作的许可。
自主访问控制模型：包括主体客体和控制实体间访问的监视器。自主访问控制模型DAC 强制访问控制模型MAC 基于角色的访问空模型RBAC
访问控制安全策略：实现方式：基于身份的安全策略（MAC） 基于规则的安全策略（DAC）。
原则：最小特权原则 最小泄密原则 多级安全策略
基于身份安全策略：用于过滤对数据或资源的访问，只用通过认证的主体才可以正常访问客体资源
基于规则安全策略：指在某个安全域内，用于与安全相关的活动的一套规则，由安全权威机构制定，并由安全控制机构描述、实施或现实。
访问控制的实施：访问控制列表 访问控制性能列表 授权关系 访问控制矩阵 访问控制实施的位置
接入访问控制：是网络控制网络访问的第一层它控制哪些用户能够登录到服务器并获得网络资源
资源访问访问控制：对客体整体资源信息的访问控制管理
网络端口和节点的访问控制：网络端口和节点是网络数据的传输的关键节点，必须防止黑客攻击
防火墙技术：是建立在现在通信网络技术和信息安全技术的基础上的应用性安全技术
优越性：1控制不安全的服务，只有授权的协议和服务才能通过防火墙 2能对站点进行访问控制防止非法访问 3它可把安全软件集中地放在防火墙系统中，集中实施安全防护 4他强调私有权防止攻击者截取别人的信息 5能为所有的访问做出记录
防火墙：是由硬件和软件组成的，它采用系统管理的定义的规则，对网络之间的数据流进行保护
防火墙：通过控制和监视网络之间的信息交换和访问行为来实现对网络安全的有效管理
基本功能：所有进程网络的数据流必须进过防火墙 只有授权的数据流才能通过防火墙 其自身对网络入侵是免疫的
其最大的作用：在于可以使网络规划清晰明了 有效的防止跨越权限的数据访问。实质能够限制网络访问的设备或软件。
具有安全操作系统的防火墙：一种通过许可证获得操作系统的源码；另一种通过固化操作系统内核提高可靠性
分布式防火墙：采用中心定义策略，但由各个分布在网络中的端点实施这些制定的策略。三个主要概念：连接被允许或被禁止的策略语言、系统管理工具、IP安全协议
策略语言重要的是如何标志内部主机：我倾向于使用IP安全协议中密码凭证来标志各台主机，它提供了可靠的、唯一的标志，并与网络的物理拓扑无关 分布式防火墙工作：首先制定防火墙接入控制策略的中心通过编译器将策略语言的描述转换成内部的格式，形成策略文件；然后中心采用系统管理工具把策略文件发给各台“内部”主机；“内部”主机根据Ip安全协议和策略文件判定是否接收到包。
分布式防火墙的优势：它能够保护无理上的拓扑不属于内部网络，但它位于逻辑上的“内部”网络主机。建立本身就是基于逻辑网络概念，因此对她而言，远程“内部”主机与物理上的内部主机没有任何区别。
防火墙安全设计策略： 网络防火墙服务权限策略（高） 防火墙设计策略（低）
防火墙的实现技术：数据包（网络层）和应用网关（应用层）
虚拟网络技术：将物理上分布在不同地点的网络通过公用网络连接成逻辑的虚拟子网 采用认证、访问控制、密码技术等在公用的网络上构建专用的网络技术 功能：数据加密 信息认证和身份认证 访问权限控制
特点：1专用网络费用构建费用大幅降低2可扩充、配置灵活3服务资量的保证4易于管理维护5远程访问/移动用户的VPN连接6网关VPN连接 虚拟专用网络关键技术：隧道技术 密码技术 密钥技术 认证技术 服务质量技术
网络隔离技术：终端级隔离是通过存储器实现隔离的即通过在单硬盘上划分安全区、非安全区、数据交换区，并使用特制隔离卡使安全区和非安全区的控制逻辑上互斥性，来达到信息隔离效果。网络级
：通过在终端上使用特制的网络隔离卡，与安全集线器相配合，通过网络隔离卡发出的选择信号的不同选择相应的网络进行连接，做到在某个时刻只能接入一个网络的信息隔离的效果。
第六章：信息安全检测
入侵：系统内部发生任何违反安全策略的事件。
入侵检测：任何不受欢迎的误用入侵或非法行为进行识别的过程 IDS
入侵检测技术：为保证计算机系统的安全而设计、配置的一种能够及时发现并报告系统中未授权或异常现象的技术，用于检测计算机网络中违反安全策略行为的技术（网络防火墙的逻辑补偿技术）。
按实现技术划分：1误用检测（基于特征检测）：根据已知的行为建立特征库，提取系统当前动作到特征库中匹配，若匹配则为入侵行为。（误报低，特征库越来越大，只能检测已知攻击）2异常检测（基于行为检测）：建立一个正常的特征库，根据使用者的行为或资源使用状况来判断是否入侵。（系统关联不到通用性强，能检测到从未出现过的攻击方法，不可能完全描述正常行为误报率高）
按输入来源划分：基于主机来源入侵系统 基于网络入侵检测系统
入侵检测技术发展方向：分布式入侵检测：针对分布式网络和用分布式检测分布式攻击，关键技术检测信息的协作处理与入侵全局信息的提取。智能化入侵检测 全面的安全防御方案
Dorothy Dening：通用入侵检测模型由时间产生器 活动记录 规则集
大规模分布式入侵检测系统:采用分布式结构，以实现对网络数据的分块并行处理。树形分层的结构。底层模块：完成采集信息任务；中层的模块：完成数据的分析处理任务；最高层完成系统的管理和响应等任务。特点：强调入侵检测系统内部模块之间的协调和管理 突出了分布式攻击检测 预留了入侵检测系统与其它入侵检测系统、防火墙等接口。
ART—2神经网络（自适应共振理论）：一种无监督的、能够对复杂输入模式实现自组织是别的神经网络
计算机取证：针对计算机入侵破坏攻击等犯罪行为利用计算机软硬件技术，按照符合法律规范的方式惊醒证据的获取保护分析出示的过程 包括：物理证据获取 信息发现
计算机反取证技术：数据擦出：清除所有可能的证据。 数据隐蔽：入侵者将数据文件隐藏在磁盘的Slack空间、交换空间、未分配空间似的无法进行正确取证。 数据加密：采用密码技术将内容加密，造成取证前必须破译密码系统，从而延迟时间或无法取证。
可信计算平台：TCPA和TCG形成了可信平台的高潮 TCG意义：不仅考虑信息的秘密性还强调真实性和完整性 首次提出可信计算平台的概念，并把这一概念具体化到服务器微机等设备 更加产业化和更具有广泛性
可信：如果某个实体的行为总是以预期的方式，朝着预期的目标发展，则称该实体可信
信任的属性：可度量 可传递 动态性
信任链和信任根是可信计算平台的关键技术
可信任计算的特征：安全输入输出 存储器屏蔽 封闭存储 远程证明