網(wǎng)絡系統(tǒng)安全淺談

網(wǎng)絡系統(tǒng)安全淺談第1頁Agenda網(wǎng)絡系統(tǒng)風險與威脅網(wǎng)絡安全技術與常見工具基于安全內核主機防護系統(tǒng)網(wǎng)絡安全未來圖景第2頁＊網(wǎng)絡系統(tǒng)風險與威脅風險無處不在

攻擊、防御與還擊攻擊不變性質

數(shù)字世界威脅是物理世界威脅反應攻擊改變性質

自動化、遠程化、技術傳輸性第3頁威脅與風險分析(技術)計算機(網(wǎng)絡設備)安全

訪問控制、安全模型、安全內核與可信計算基(TrustedComputingBase)、隱藏通道和評定準則連網(wǎng)計算機(網(wǎng)絡設備)安全

惡意代碼、模塊安全、移動代碼、網(wǎng)絡安全網(wǎng)絡安全

IP安全、DNS安全、DOS及DDOS攻擊網(wǎng)絡系統(tǒng)安全第4頁威脅與風險分析(非技術)社會工程內部人員作案錯誤使用與配置物理世界攻擊,……etc.沒有絕對安全(無風險)系統(tǒng)！第5頁信息安全與網(wǎng)絡安全信息(數(shù)據(jù))安全關注問題

機密性、判別、完整性和防抵賴性網(wǎng)絡(系統(tǒng))安全關注問題

訪問控制、可用性、審計管理等第6頁＊當前網(wǎng)絡安全技術與工具網(wǎng)絡安全技術 網(wǎng)絡安全工具 防火墻、IDS、Scanner、VPN與防病毒等特點與不足第7頁網(wǎng)絡安全技術網(wǎng)絡防御 防火墻，IDS，Scanner，VPN和防病毒等軟件可靠性 緩沖區(qū)溢出，Bug以及SSE-CMM

硬件安全PKI其它 安全管理，法律，BCP&DRP等第8頁網(wǎng)絡安全工具防火墻入侵檢測系統(tǒng)(IDS)ScannerVPN防病毒其它第9頁防火墻(Firewall)概念 門衛(wèi)(邊界防火墻，堡壘主機)原理與實現(xiàn)模型 包過濾、代理(應用網(wǎng)關)、StatefulInspection主流產品介紹 CheckPoint，CiscoPIX，Netscreen，天融信，東方龍馬，東軟第10頁IDS概念 醫(yī)生(在與其它安全工具聯(lián)動后會起到巡警作用)原理與實現(xiàn)模型

數(shù)據(jù)包探測式(類似于查病毒)、異常探測式(類似于病毒實時警報)

網(wǎng)絡內嵌式(在網(wǎng)絡上實時工作)，審計式(事后核查)

基于主機，基于網(wǎng)絡主流產品介紹

RealSecure，CyberCop，Snort等第11頁Scanner概念

“ImprovingtheSecurityofYourSitebyBreakingIntoit”,DanFarmer,WietseVenema主流產品介紹

ISS,nessus,nmap,SATAN等第12頁VPN(VirtualPrivateNetwork)概念原理與實現(xiàn)模型

PPTP，L2TP，IPSec和其它專用協(xié)議 連接同一網(wǎng)絡中不一樣區(qū)域，撥號用戶第13頁防病毒(Anti-Virus)概念原理與實現(xiàn)模型主流產品介紹與未來發(fā)展第14頁其它蜜罐系統(tǒng)(Honeypot)網(wǎng)頁監(jiān)控與恢復E-mail安全第15頁各類工具不足防火墻

“一夫當關，萬夫莫開”關口，簡化了網(wǎng)絡安全管理 入侵者可尋找防火墻背后可能敞開后門 入侵者可能就在防火墻內IDS

實時入侵檢測，極難跟蹤新入侵模式Scanner

安全咨詢系統(tǒng)，極難跟蹤新漏洞第16頁網(wǎng)絡安全工具特點優(yōu)點不足防火墻可簡化網(wǎng)絡管理，產品成熟無法處理網(wǎng)絡內部攻擊IDS實時監(jiān)控網(wǎng)絡安全狀態(tài)誤報警，遲緩攻擊，新攻擊模式Scanner簡單可操作，幫助系統(tǒng)管理員和安全服務人員處理實際問題并不能真正掃描漏洞VPN保護公網(wǎng)上內部通信可視為防火墻上一個漏洞防病毒針對文件與郵件，產品成熟功效單一第17頁＊基于安全內核主機防護系統(tǒng)為何需要基于安全內核網(wǎng)絡安全產品 防火墻，IDS，VPN等網(wǎng)絡安全產品分別處理了當前網(wǎng)絡系統(tǒng)一些問題，但因為這些安全產品大多獨立于用戶當前網(wǎng)絡與應用系統(tǒng)之外，同時增加了系統(tǒng)復雜度和攻擊點 防火墻，IDS，VPN等網(wǎng)絡安全產品也可能存在一些安全漏洞第18頁基于安全內核主機防護系統(tǒng)特征 基于數(shù)字署名認證安全內核功效 基于數(shù)字署名進行訪問控制 對于未被授權管理員訪問控制 對系統(tǒng)內核密封 本身內核模塊隱藏第19頁

安全內核結構（1）SecuveKernel(安全內核)subjectObjectXO訪問訪問WebGriffin認證基于數(shù)字署名認證用戶身份驗證程序文件設備等安全操作系統(tǒng)（SecureOS）SecuveKernel數(shù)據(jù)庫第20頁安全內核結構（2）

CurrentKernelProcess數(shù)字署名及證書安全模塊Security

Lib.訪問控制列表安全內核數(shù)字署名認證-訪問控制用戶級

SecurityKernelProcess

黑客能夠經過取得系統(tǒng)管理員權限進入文件系統(tǒng)

假如應用了基于數(shù)字署名安全內核黑客即使取得了系統(tǒng)管理員權限，他也不能夠訪問文件系統(tǒng)操作或命令系統(tǒng)訪問界面內核-文件系統(tǒng)-過程控制-內存控制-硬件界面操作或命令訪問系統(tǒng)界面內核-文件系統(tǒng)-過程控制-內存控制-硬件界面內核級內核級用戶級第21頁安全內核結構(3)HardwareKernelSystemCallInterfacelsrmviviccdflpABCDE用戶(應用程序)KernelModule1viKernelModule2KernelModuleNKernelModuleNKernelModuleKernelModuleLoad/Unload不能夠(KernelSealing)程序本身保護功效(Self-Security)被黑客入侵時刪除安全功效.內核密封功效(KernelSealing)-預防內核模塊Loading/Uploading

阻斷惡意對內核攻擊.內核隱藏功效(KernelStealth)-隱藏安全內核降低安全風險-不顯示安全內核程序，降低風險.自動保護安全內核

程序目錄-預防刪除安全程序保持連續(xù)安全功效.國內唯一第22頁基于安全內核應用WebGriffin

主要對文件寫權限進行訪問控制FileGriffin

對文件讀，寫，執(zhí)行進行訪問控制共性

保護主要daemon

預防init第23頁＊下一代網(wǎng)絡安全安全是一個過程，而不是一個產品關注系統(tǒng)風險管理多層次立體網(wǎng)絡安全防護體系 第24頁安全過程與系統(tǒng)安全生命周期模型“安全是一個過程，而不是一個產品”，BruceSchneier網(wǎng)絡安全生命周期模型 評定，設計，工程實施、開發(fā)和制造，布署，運行、管理和支持，終止第25頁關注系統(tǒng)風險基于時間PDR模型

防護(Prevention)、檢測(Detection)和反應(Response) P>D+R，即 Te是系統(tǒng)暴露給攻擊者時間

Td是檢測到攻擊行為所需時間 Tr是對攻擊響應和阻擊時間 當P=0時，E=D+R，即系統(tǒng)最大風險為對攻擊檢測和作出反應時間之和第26頁關注系統(tǒng)風險風險＝威脅＊漏洞＊影響

威脅伴隨暴露增加 漏洞與系統(tǒng)復雜度成正比 影響與資產價值成正比可推導出，影響=資產價值*(Td+Tr-Tp) Tp是攻擊者突破系統(tǒng)需要時間，即防護安全可提供時間

Td是檢測到攻擊行為所需時間 Tr是對攻擊響應和阻擊時間所以，降低系統(tǒng)風險方法是進行深度