计算机安全技术概论.ppt

信息安全概论主讲人 夏淑华二0一0年八月 第一章计算机安全概论第二章实体及硬件安全技术第三章计算机软件安全技术第四章操作系统安全基础第五章密码技术第六章数据库系统安全第七章计算机病毒及防范第八章网络安全技术第九章防火墙技术第十章黑客攻击与防范 目录 第1章计算机安全概论 1 1计算机安全研究的重要性1 2计算机系统的安全技术1 3计算机系统安全评估1 4计算机安全法规1 5计算机安全技术的发展方向与市场分析 3 本章学习目标 1 掌握计算机系统安全的基本概念 明确计算机系统安全的重要性和计算机系统所面临的威胁及脆弱的根源 2 掌握计算机系统安全的主要技术 3 明确计算机系统安全评估的重要性 理解可信计算机系统评估标准 4 了解我国计算机信息系统的主要安全法规 5 了解计算机安全技术的发展趋势 4 1 1计算机安全研究的重要性 1 1 1计算机信息系统面临的威胁1 计算机信息系统概念 计算机信息系统安全保护等级划分准则 计算机信息系统是指 由计算机及其相关的和配套设备 设施 含网络 构成的 按照一定的应用和规则对信息进行采集 加工 存储 传输 检索等处理的人机系统 2 计算机信息系统面临的攻击和威胁 1 对实体的攻击和威胁计算机本身和外部设备乃至网络和通信线路面临各种风险 如各种自然灾害 人为破坏 操作失误 设备故障 电磁干扰 被盗和各种不同类型的不安全因素所致的物质财产损失 数据资料损失等 2 对信息的威胁与攻击 信息泄露即故意或偶然地侦收 截获 窃取 分析和收到系统中的信息 特别是机密或敏感的信息 造成泄密事件 信息破坏信息破坏是指由于偶然或人为因素破坏信息的机密性 完整性 可用性及真实性 1 计算机犯罪种类 3 计算机犯罪 网上金融盗窃 窃用计算机系统 散布破坏性病毒 逻辑炸弹或者放置后门程序犯罪 蓄意破坏 入侵 偷窥 复制 更改或者删除计算机信息犯罪 网络诈骗 教唆犯罪 网络侮辱 诽谤与恐吓犯罪 网络色情传播犯罪 2 计算机犯罪特点 作案手段智能化 隐蔽性强 犯罪侵害的目标较集中 侦查取证困难 破案难度大 犯罪后果严重 社会危害性大 4 计算机病毒1984年 美国人Thompson开发出了针对UNIX操作系统的病毒程序 1988年11月2日晚 美国康尔大学研究生罗特 莫里斯将计算机病毒蠕虫投放到网络中 该病毒程序迅速扩展 造成了大批计算机瘫痪 甚至欧洲联网的计算机都受到影响 直接经济损失近亿美元 在我国 80年代开始 有关计算机病毒问题的研究和防范已成为计算机安全方面的重大课题 1 1 2计算机系统的脆弱性 1 操作系统的脆弱性 1 体系结构不安全 2 进程管理机制中的缺陷 3 操作系统提供的RPC服务和安排的漏洞 4 常用操作系统的不稳定性和不安全性 5 为操作系统开发人员提供的无口令入口 5 操作系统提供Debug与Wizard给黑客可乘之机 2 网络安全的脆弱性 1 漏洞和后门 2 电磁辐射 3 线路窃听 4 串音干扰 5 硬件故障 6 软件故障 7 网络规模 8 通信系统 3 数据库安全的脆弱性 1 用户权限 2 数据共享 3 数据更新 4 数据库完整性 5 数据库管理系统的安全等级 4 防火墙的脆弱性 1 不能防范来自网络内部的攻击和威胁 2 不能防范绕过防火墙的攻击和威胁 3 不能阻止感染病毒文件的传输 5 研究信息安全的社会意义 1 信息安全与政治 2 信息安全与经济 3 信息安全与军事 4 信息安全与国家安全 美国著名未来学家阿尔温 托尔勒说过 谁掌握了信息 控制了网络 谁将拥有整个世界 1 2计算机系统的安全技术 国际标准化组织 ISO 将 计算机安全 定义为 为数据处理系统建立和采取的技术和管理的安全保护 保护计算机硬件 软件数据不因偶然和恶意的原因而遭到破坏 更改和泄漏 上述计算机安全的定义包含物理安全和逻辑安全两方面的内容 其逻辑安全的内容可理解为我们常说的信息安全 是指对信息的保密性 完整性和可用性的保护 1 2 1计算机系统安全 1 计算机安全定义 2 计算机安全涉及的方面 1 物理安全 PhysicalSecurity 保护计算机设备 设施 含网络 以及其他媒免遭地震 水灾 火灾 有害气体和其他环境事故 如电磁污染等 破坏的措施 过程 2 运行安全 OperationSecurity 为了保证系统功能 提供一套安全措施 如 风险分析 审计跟踪 备份与恢复 应急等 来保护信息处理过程的安全 3 信息安全 InformationSecurity 防止信息财产被故意地或偶然地非授权泄露 更改 破坏或使信息被非法的系统辨识 控制 1 2 2计算机系统的安全技术 1 实体硬件安全 主要是指为保证计算机设备和通信线路及设施 建筑物等 的安全 3 数据安全 指为保证计算机系统中数据库 或数据文件 免遭破坏 修改 泄露和窃取等威胁和攻击而采用的技术方法 2 软件安全 主要是指保证计算机系统中的软件 如操作系统 数据库系统或应用程序 免遭破坏 非法拷贝 非法使用而采用的技术和方法 4 网络安全 指为保证网络及其节点安全而采用的技术和方法 5 病毒防治 包括计算机病毒预防 计算机病毒检测 计算机病毒清除 计算机病毒免疫 6 防范计算机犯罪 通过一定的社会规范 法律和技术方法等 杜绝计算机犯罪的发生 并在计算机犯罪发生以后 跟踪或侦查犯罪行为 及时制裁和打击犯罪分子 本学期课程涉及到的主要信息安全技术如图1 1所示 图1 1计算机信息系统安全技术 1 3计算机安全评估 安全评估服务 是指依据国家有关信息安全技术标准 对信息系统及由其处理 传输和存储的信息的保密性 完整性和可用性等安全属性进行科学评价的过程 它主要评估信息系统的脆弱性 信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响 估计每种攻击的代价 估算出可能的应付措施的费用 选择恰当的安全机制 1 3 1计算机安全评估的重要性 20世纪70年代 美国国防部就已经发布了诸如 自动数据处理系统安全要求 等一系列的安全评估标准 1983年又发布了 可信计算机评价标准 即所谓的桔皮书 黄皮书 红皮书和绿皮书 并于1985年对此标准进行了修订 我国从20世纪80年代开始 本着积极采用国际标准的原则 转化了一批国际信息安全基础技术标准 有关的信息安全标准如 计算机信息系统安全专用产品分类原则 计算机信息系统安全保护等级划分准则 商用密码管理条理 中华人民共和国计算机信息系统安全保护条理 等 1 3 2计算机系统的安全标准 常见的计算机系统安全等级的划分有两种 一种是依据美国国防部发表的评估计算机系统安全等级的橙皮书 将计算机安全等级划分为四类八级 即A2 A1 B3 B2 B1 C2 C1 D级 等级划分内容如表1 1所示 另一种是依据我国颁布的 计算机信息系统安全保护等级划分准则 GB17859 1999 将计算机安全等级划分为五级 1 3 3计算机系统的安全等级 表1 1可信计算机系统评价准则及等级 中华人民共和国计算机信息系统安全保护条例 第六条规定 公安部主管全国计算机信息系统安全保护工作 并以第十七条 第十八条和第十九条规定了公安机关行使计算机安全监察的职权 明确了计算机信息系统安全监督检查的总体目标 了解 中华人民共和国计算机信息系统安全保护条例 可单击链接 1 4计算机安全法规 我国计算机安全法规主要有 计算机软件保护条例 中华人民共和国计算机信息系统安全保护条例 中华人民共和国计算机信息网络国际联网管理暂行规定 中华人民共和国计算机信息网络国际联网管理暂行规定实施办法 中国公用计算机Internet国际联网管理办法 计算机信息系统国际联网保密管理规定 商用密码管理条例 计算机病毒防治管理办法 计算机信息系统安全专用产品检测和销售许可证管理办法 电子出版物管理规定 等 1 5计算机安全技术的发展方向 1 密码技术2 安全操作系统技术现状及发展趋势3 网络隔离技术现状和发展趋势4 网络行为安全监管技术现状和发展趋势5 容灾与应急处理技术现状和发展趋势6 身份认证技术现状和发展趋势7 可信计算技术现状和发展趋势 作业 1 简述计算机系统面临的安全威胁 2 试归纳网络本身存在的安全缺陷 3 计算机系统安全的重要性体现在哪些方面 4 试分析计算机安全技术研究的6大内容 5 计算机安全技术有哪些发展方向 第2章实体安全与硬件防护技术 2 1计算机房安全的环境条件2 2实体及硬件的安全防护2 3计算机硬件的检测与维修 本章学习目标 1 了解实体安全的定义 目的和内容 2 掌握计算机房场地环境的安全要求 包括机房建筑和结构要求 三度要求 防静电措施 供电要求 接地与防雷 防火 防水等的技术 方法与措施 3 理解电磁防护和硬件防护的基本方法 4 掌握硬件故障诊断和排除的方法 2 1实体安全技术概述 1 实体安全概念实体安全 PhysicalSecurity 又叫物理安全 是保护计算机设备 设施 含网络 免遭地震 水灾 火灾 有害气体和其他环境事故 如电磁污染等 破坏的措施和过程 2 影响实体安全的主要因素 1 计算机及其网络系统自身存在的脆弱性因素 2 各种自然灾害导致的安全问题 3 由于人为的错误操作及各种计算机犯罪导致的安全问题 3 实体安全的内容 1 环境安全 2 物理隔离 3 电磁防护 4 安全管理 2 2计算机房安全的环境条件 2 2 1计算机房场地环境选择2 2 2计算机房内的环境条件要求 2 2 1计算机房场地的安全要求 机房建筑和结构从安全的角度 还应该考虑 1 电梯和楼梯不能直接进入机房 2 建筑物周围应有足够亮度的照明设施和防止非法进入的设施 3 外部容易接近的进出口 而周边应有物理屏障和监视报警系统 窗口应采取防范措施 必要时安装自动报警设备 4 机房进出口须设置应急电话 5 机房供电系统应将动力照明用电与计算机系统供电线路分开 机房及疏散通道应配备应急照明装置 6 计算机中心周围100m内不能有危险建筑物 7 进出机房时要更衣 换鞋 机房的门窗在建造时应考虑封闭性能 8 照明应达到规定标准等 2 2 2计算机房内环境条件要求 1 温度2 湿度3 洁净度4 腐蚀性气体5 静电6 振动与噪声7 电源8 照明 温度 机房温度一般应控制在18 22 即 20 2 温度过低会导致硬盘无法启动 过高会使元器件性能发生变化 耐压降低 导致不能工作 湿度 相对湿度过高会使电气部分绝缘性降低 加速金属器件的腐蚀 引起绝缘性能下降 而相对湿度过低 过于干燥会导致计算机中某些器件龟裂 印刷电路板变形 特别是静电感应增加 使计算机内信息丢失 损坏芯片 对计算机带来严重危害 机房内的相对湿度一般控制在40 60 为好 即 50 10 洁净度 清洁度要求机房尘埃颗粒直径小于0 5 平均每升空气含尘量小于1万颗 灰尘会造成接插件的接触不良 发热元件的散热效率降低 绝缘破坏 甚至造成击穿 灰尘还会增加机械磨损 尤其对驱动器和盘片 静电 是由物体间的相互磨擦 接触而产生的 静电放电时发生火花 造成火灾或损坏芯片 机房内避免使用挂毯 地毯等吸尘 容易产生静电的材料 电源 有六类电源线干扰 中断 异常中断 电压瞬变 冲击 噪声 突然失效事件 电源保护装置有滤波器 电压调整变压器 VRT 和不间断电源 UPS 等 防雷措施 机房的外部防雷应使用接闪器 引下线和接地装置 吸引雷电流 并为其泄放提供一条通道 照明 计算机机房照明的好坏不仅会影响计算机操作人员和软 硬件维修人员的工作效率和身心健康 而且还会影响到电子机房的可靠运行 机房照明分为自然采光和人工采光2种形式 主机房内在离地面0 8m处 照度不应低于3001x 辅助机房内照度不应低于1501x 应急照明应大于301x 紧急出口标志灯 疏散指示灯照度应大于5lx 2 3实体及硬件的安全防护 2 3 1三防措施2 3 2电磁防护2 3 3存储媒体的访问控制 2 3 1三防措施 1 防火2 防水3 防盗 隔离 建筑内的计算机房四周应设计一个隔离带 以使外部的火灾至少可隔离一个小时 火灾报警系统 在火灾初期就能检测到并及时发出警报 火灾报警系统按传感器的不同 分为烟报警和温度报警两种类型 灭火设施 灭火工具及辅助设备 管理措施 机房应有防盗管理制度 应急计划及相关制度 要严格执行计算机房环境和设备维护的各项规章制度 加强对隐患部位的检查 电磁辐射越来越强 其主要危害有 干扰广播 电视 通信信号的接收 干扰电子仪器 设备的正常工作 可能造成信息失误 控制失灵等事故 可能引燃一些易燃易爆物质 引起爆炸和火灾 较强的电磁辐射对人体的健康有很大的影响 2 3 2电磁防护 1 电磁干扰和电磁兼容电磁干扰 EMI 是干扰电缆信号并降低信号完好性的电子噪音 电磁干扰可通过电磁辐射和传导两条途径影响设备的工作 电磁兼容设计的目的是解决电路之间的相互干扰 防止电子设备产生过强的电磁发射 防止电子设备对外界干扰过度敏感 我国电子兼容标准包括两个方面 一时限制设备对外界产生的电磁干扰 而是要求设备不能对来自外界的电磁干扰过度敏感 2 电磁泄漏 主要有辐射泄漏和传导泄漏2中方式 辐射泄漏 以电磁波的形式辐射出去 由计算机内部的各种传输线 设备外壳 外壳上的孔缝 传导泄漏 通过各种线路和金属管传导出去 例如 电源线 机房内的电话线 上 下水管道和暖气管道 地线等媒介 3 电磁防护的措施目前主要防护措施有两类 一类是对传导发射的防护 主要采取对电源线和信号线加装性能良好的滤波器 减小传输阻抗和导线间的交叉耦合 另一类是对辐射的防护 为提高电子设备的抗干扰能力 除在芯片 部件上提高抗干扰能力外 主要的措施有屏蔽 隔离 滤波 隔离 接地 干扰等 其中屏蔽是应用最多的方法 2 3 3存储媒体的访问控制计算机系统中的大量信息都存储在某种媒体上 如磁盘 磁带 半导体 光盘 打印纸等 为了防止对信息的破坏 篡改 盗窃等事件的发生 就必须对存储媒体进行保护和管理 严格其访问控制 1 身份识别 身份识别的目的是确定系统的访问者是否是合法用户 一般包含 识别 和 验证 两个方面 图2 1建立计算机账户 2 控制访问权限 系统要确定用户对资源 比如CPU 内存 I O设备 计算机终端等 的访问权限 并赋予用户不同的权限等级 如工作站用户 超级用户 系统管理员等 一般来说 用户的权限等级是在注册时赋予的 图2 2用户权限设置 3 管理措施 存储媒体安全管理的目标是 保证系统在有充分保护的安全环境中运行 由可靠的操作人员按规范使用计算机系统 系统符合安全标准 管理应紧紧围绕信息的输入 存储 处理和交换这个过程来进行 除此之外 还应该健全机构和岗位责任制 完善安全管理的规章制度 加强对技术 业务 管理人员的法制教育 职业道德教育 增加安全保密和风险防范意识 以实现科学化 规范化的安全管理 2 4计算机硬件的检测与维修 在计算机系统的故障现象中 硬件的故障占到了很大的比例 正确的分析故障原因 快速的排除故障 可以避免不必要的故障检索工作 使系统得以正常运行 计算机硬件故障是指由于计算机硬件损坏 品质不良 安装 设置不正确或接触不良等而引起的故障 其原因多种多样 1 工艺问题引起的故障 2 元器件损坏引起的故障 3 干扰或噪声引起的故障 4 设计上造成的故障 5 人为故障 计算机假故障 1 硬件故障的检测步骤及原则 1 检测的基本步骤通常是由大到小 由粗到细 2 检测的原则 先静后动 先外后内 先辅后主 先电源后负载 先一般后特殊 先简单后复杂 先主要后次要 显示器无信号 2 硬件故障的诊断和排除要排除硬件故障 最主要的是要设法找到产生故障的原因 一旦找到原因 排除故障就很容易了 一些寻找故障原因常用的方法 1 清洁法 2 直接观察法 3 拔插法 4 交换法 5 比较法 6 振动敲击法 7 升温降温法 8 程序测试法 故障部件 Cpu 故障原因 蓝色警告窗口 死机 硬件故障的诊断实例 散热不良参数设置错误引脚脱落或失误风扇安装不当 故障部件 主板故障原因 主板组件接触不良 短路CMOS电池电量不足主板电路元件损坏BIOS受损设置不当驱动等 一看 二听 三闻 四摸 清洁法 观察法 交换法 显示器灯亮 但是没有信号输出 没有自检声 键盘灯亮就灭了 硬盘不能启动运行 故障部件 内存故障原因 与内存插槽接触不良内存条损坏质量问题内存与其他器件不兼容 计算机清洁灰尘后 扬声器出现急促的哗哗的声音 无法启动 清洁法 金手指 插槽 替换法 作业 1 简述计算机实体安全的重要性 2 实体及硬件的安全防护包括哪几个方面 3 什么叫电磁防护 它有哪些方面的危害 4 列举一些你所知道的身份识别技术 5 计算机硬件产生故障的原因有哪些 6 根据实例 谈谈你对硬件故障诊断和排除方法的理解和应用 第三章计算机软件安全技术 3 1计算机软件安全技术概述3 2软件分析技术3 3常用的软件保护技术3 4软件加壳与脱壳3 5软件安全保护建议 本章学习目标 1 掌握计算机软件安全的基本概念 内容和软件安全保护的指导思想 2 了解一般采用哪些技术措施来保证计算机软件的安全 3 掌握可执行文件的加密方式和加密原理 软件运行中的反跟踪技术 常用的防止非法复制软件的技术 能够编制具有反跟踪功能的加密盘 3 1计算机软件安全技术概述 1 计算机软件安全概念2 计算机软件安全的内容3 计算机软件安全的技术措施4 软件的本质及特征5 软件安全保护的指导思想 1 计算机软件安全的定义 软件的安全就是为计算机软件系统建立和采取的技术和管理的安全保护 保护计算机软件 数据不因偶然或恶意的原因而遭破坏 更改 显露 盗版 非法复制 保证软件系统能正常连续的运行 2 计算机软件安全的内容 1 软件的自身安全 2 软件的存储安全 3 软件的通信安全 4 软件的使用安全 5 软件的运行安全 3 计算机软件安全的技术措施 必须采取两个方面的措施 1 非技术性措施 如制定有关法律 法规 加强各方面的管理 2 技术性措施 如软件安全的各种防拷贝加密技术 防静态分析 防动态跟踪技术等 4 软件的本质及特征 1 软件是用户使用计算机的工具 2 软件是一种知识产品 3 软件是人类社会的财富 4 软件可以存储和移植 5 软件是具有巨大威慑力量的武器 6 软件具有寄生性 5 软件安全保护的指导思想 软件安全保护的指导思想是采用加密 反跟踪 防非法复制等技术 在软件系统上或原盘上产生一种信息 这种信息既是软件系统中各可执行文件在运行中必须引用的 又是各种文件复制命令或软盘复制软件所无法正确复制 无法正确安装或无法正确运行的 3 2软件分析技术 3 2 1静态分析技术从反汇编出来的程序清单上分析 从提示信息入手分析 常用的静态分析工具有IDA W32Dasm和HEW等 图3 1反汇编窗口 3 2 2动态分析在进行软件的破解 解密以及计算机病毒分析工作中 一个首要的问题是对软件及病毒进行分析 这些软件都是机器代码程序 对于它们分析必须使用静态或动态调试工具 分析跟踪其汇编代码 如静态分析找不出线索 就要动态分析程序 主要原因 1 许多软件在整体上完成的功能 一般要分解成若干模块来完成 而且后一模块在执行时 往往需要使用其前一模块处理的结果 这一结果我们把它叫中间结果 如果我们只对软件本身进行静态地分析 一般是很难分析出这些中间结果的 另外 在程序的运行过程中 往往会在某一地方出现许多分支和转移 不同的分支和转移往往需要不同的条件 而这些条件一般是由运行该分支之前的程序来产生的 2 有许多软件在运行时最初执行的一段程序需要对该软件的后面各个模块进行初始始化工作 而没有依赖系统的重定位 3 有许多加密程序为了阻止非法跟踪和阅读 对执行代码的大部分内容进行了加密变换 而只有很短的一段程序是明文 加密程序运行时 采用了逐块解密 逐块执行和方法 首先运行最初的一段明文程序 该程序在运行过程中 不仅要完成阻止跟踪的任务 而且还要负责对下一块密码进行解密 显然仅对该软件的密码部分进行反汇编 不对该软件动态跟踪分析 是根本不可能进行解密的 动态分析步骤 1 对软件进行粗跟踪所谓粗跟踪 即在跟踪时要大块大块地跟踪 也就是说每次遇到调用CALL指令 重复操作指令REP 循环操作LOOP指令以及中断调用INT指令等 一般不要跟踪进去 而是根据执行结果分析该段程序的功能 2 对关键部分进行细跟踪对软件进行了一定程度的粗跟踪之后 便可以获取软件中我们所关心的模块或程序段 这样就可以针对性地对该模块进行具体而详细地跟踪分析 3 3常用的软件保护技术 3 3 1序列号方式3 3 2时间限制3 3 3NAG窗口3 3 4KeyFile保护3 3 5功能限制的程序3 3 6CD check 软件验证序列号的合法性过程就是验证用户名和序列号之间的换算关系 即数学映射关系是否正确的过程 1 以用户名生成序列号序列号 F 用户名 2 通过注册码来验证用户名的正确性序列号 F 用户名 用户名 F 序列号 3 3 1序列号保护机制 3 3 2时间限制时间限制程序有两类 一类是对每次运行程序的时间进行限制 另一类是每次运行时间不限 要实现时间限制 应用程序中必须有计时器来统计程序运行的时间 在Windows下使用计时器有SetTimer TimeSetEvent GetTickCount TimeGetTime 图3 2时光倒流窗口 3 3 3警告 NAG 窗口Nag窗口是软件设计者用来不断提醒用户购买正式版本的窗口 去除警告窗口最常用的方法是利用资源修改工具来修改程序的资源 将可执行文件中的警告窗口的属性改成透明 不可见 这样就可以变相去除警告窗口了 若要完全去除警告窗口 只要找到创建此窗口的代码 并跳过该代码的执行 3 3 4注册保护注册文件 KeyFile 是一种利用文件来注册软件的保护方式 KeyFile内容是一些加密过或未加密的数据 其中可能有用户名 注册码等信息 当用户向软件作者付费注册之后 会收到注册文件 用户只要将该文件存入到指定的目录中 就可以让软件成为正式版 为增加破解难度 可以在KeyFile中加入一些垃圾信息 对于注册文件的合法性检查可分散在软件的不同模块中进行判断 对注册文件内的数据处理也尽可能采用复杂的算法 3 3 5功能限制这类程序一般是Demo 演示 版 这类程序一般是Demo 演示 版 功能限制的程序一般分为两种 1 一种是试用版和正式版的软件完全分开的两个版本 正式版只有向软件作者购买 2 另一种是试用版和注册版为同一个文件 一旦注册之后就 用户可以使用全部功能 3 3 6光盘软件保护为了能有效地防止光盘盗版 从技术来说要解决三个问题 1 要防止光盘之间的拷贝 2 要防止破解和跟踪加密光盘 3 要防止光盘与硬盘的拷贝 目前防止光盘盗版技术有 1 特征码技术特征码技术是通过识别光盘上的特征码 如SID SourceIdent ificationCode 来区分是正版光盘还是盗版光盘 该特征码是在光盘压制生产时自然产生的 而不同的母盘压制出的特征码不一样 光盘上的软件运行时必须先使用该特征码 2 非正常导入区光盘的导入区TOC TrackOnCD 是用来记录有关于光盘类型等信息 是由光盘自动产生的 并且光盘无法复制非正常的导入区 因此 在导入区内添加重要数据以供读盘使用 便能有效地防止光盘之间的非法复制 3 非正常扇区对于一般的应用软件来说 在读取光盘非正常扇区数据的时候 会出现错误 无法读出非正常扇区数据 但我们可以通过特定的方法在光盘上制造一个特殊的扇区 并在光盘上编写一个程序专门读取该扇区的数据 4 使用光盘保护软件还可以使用一些商业光盘保护软件 光盘加密大师 能对光盘多种格式镜像文件 ISO 系统进行可视化修改 将光盘镜像文件中的目录和文件进行特别隐藏 将普通文件变为超大文件 将普通目录变为文件目录等 3 4软件加壳与脱壳 3 4 1 壳 的概念3 4 2软件加壳工具介绍3 4 3软件脱壳 3 4 1 壳 的概念 加壳 就是用专门的工具或方法 在应用程序中加入一段如同保护层的代码 使原程序代码失去本来的面目 从而防止程序被非法修改和编译 用户在执行被加壳的程序时 实际上是先执行 外壳 程序 而由这个 外壳 程序负责把原程序在内存中解开 并把控制权交还给解开后原程序 加壳软件按照其加壳目的和作用 可分为两类 一是保护 二是压缩 1 保护程序这是给程序加壳的主要目的 就是通过给程序加上一段如同保护层的代码 使原程序文件代码失去本来的面目 它的主要目的在于反跟踪 保护代码和数据 保护程序数据的完整性 防止程序被调试 脱壳等 2 压缩程序这项功能应该是加壳程序的附加功能 类似WINZIP的效果 只不过这个压缩之后的文件 可以独立运行 解压过程完全隐蔽 都在内存中完成 一般软件都加 壳 这样不但可以保护自己的软件不被破解 修改还可以增加运行时启动速度 3 4 2软件加壳工具介绍现在用于压缩程序为主要目的的常见加壳软件有ASPacK UPX和PECompact等 用于保护程序为主要目的的常见加壳软件有AsProtect tElock和幻影等 下面简单介绍一些常用的加壳软件 1 ASPackASPack是一款Win32高效保护性的压缩软件 文件压缩比率高达40 70 ASPack无内置解压缩 不能自解压自己压缩过的程序 2 ASProtectASProtect具有压缩 加密 反跟踪代码 反 反汇编代码 CRC校验和花指令等保护措施 它使用RSA1024作为注册密钥生成器 它还通过API钩子与加壳的程序进行通信 图3 3PEiD查壳窗口 3 4 3软件脱壳对一个加了壳的程序 就要去除其中的无关干扰信息和保护限制 把它的壳脱去 解除伪装 还原软件的本来面目 这一过程就称为脱壳 对软件进行脱壳时 可以使用手动脱壳 也可软件脱壳 手动脱壳前 需要熟悉Win32下的可执行文件标准格式 可以使用一些辅助工具 如冲击波 W32Dasm等 手动脱壳主要步骤有 查找程序入口点 获取内存映像文件 重建输入表等 1 手动脱壳 脱壳软件主要分为两大类 即专用脱壳软件和通用脱壳软件 常用的侦壳软件有Language2000 FileScanner FileInfo PEiDentifer等 脱壳成功的标志是脱壳后的文件能正常运行 并且功能没有减少 一般来说 脱壳后的文件长度大于原文件长度 即使同一个文件 当采用不同脱壳软件进行脱壳的时候 由于脱壳软件机理不同 脱出来的文件大小也不尽相同 2 软件脱壳 3 5设计软件的一般性建议1 软件发行之前一定要将可执行程序进行加壳 2 要在自己写的软件中嵌入反跟踪的代码 3 增加对软件自身的完整性检查 4 不要采用一目了然的名字来命名与软件保护相关的函数和文件 5 过一段时间后使软件停止工作 6 可以通过读取关键的系统文件的修改时间来得到系统时间的信息 7 给软件保护加入一定的随机性 8 如果试用版与正式版是分开的两个版本 而是彻底删除相关的代码 9 如果软件中包含驱动程序 则最好将保护判断加在驱动程序中 10 将注册码 安装时间记录在多个不同的地方 11 采用一机一码 可以防止注册码传播 12 最好是采用成熟的密码学算法 13 可以采用在线注册的方法 14 keyfile的尺寸不能太小 作业 1 软件安全的内容包括哪几个方面 2 软件静态分析的含义是什么 有哪些常用的工具 3 常见的软件保护技术有哪些 4 计算机软件中的 壳 是指什么 5 简述脱壳的2种方法 6 应如何做好软件安全保护工作 第四章操作系统安全基础 4 1Windows系统4 2Unix系统4 3Linux系统 学习目标 掌握操作系统安全定义与架构掌握WINDOWS系统的安全策略掌握Unix系统基础知识与安全策略掌握Linux系统基础知识与安全漏洞的解决方案 4 1Windows系统 4 1 1WindowsNT 2000 XP的安全策略1 windows安全基础概念 1 用户账户管理在Windows2000 XP 中 访问控制依赖于系统能够惟一地识别出每个用户 用户账户 UserAccount 提供了这种惟一性 2 计算机账号运行Windows2000和WindowsNT的计算机加入域时都需要一个账号登陆 访问域资源 3 组 除用户帐户外 Windows2000 XP 还提供组帐户 可使用组帐户对同类用户授予权限以简化帐户管理 如果用户是可访问某个资源的一个组中的成员 则该特定用户也可访问这一资源 因此 若要使某个用户能访问各种工作相关的资源 只需将该用户加入正确的组 图4 1工作组建立和加入 用户和组都有一定的权力 权力定义了用户在系统中能做什么 如 从网络中访问计算机 向域中添加工作站和成员服务器 备份文件和目录 改变系统时间 强制从远程系统退出 装 卸设备驱动器 本地登录 恢复文件和目录等 这些权力大多数只指定给管理用户 4 域组是专门用于客户机 服务器网络中的一个概念 他是域的组成部分 使用组的目的是便于对用户进行管理 减少系统设置和维护的工作量 域是网络中许多服务器和客户机的集合 它们使用同一个名字 域名 享用自己的帐号和安全机制 域最大的好处是单一网络登录能力 用户只要在域中有一个合法的帐号 登录到域后就可以访问域中对该用户授权许可的共享资源 要创建域 必须将一台运行WindowServer2003的计算机设置为域控制器 域控制器为网络用户和计算机提供ActiveDirectory服务并管理用户 包括用户登录过程 验证和目录搜索等 为保证数据的同步 包含安全信息的ActiveDirectory会定期复制到域中每个域控制器 ActiveDirectory中的对象可以按组织单位的不同级别进行组织和管理 可转移的信任关系可以建立在域树种的域之间 图4 2Windowsserver2003域中对象 5 身份验证负责确认试图登陆域或访问网络资源的任何用户的身份 在Windows2000计算环境中成功的用户身份验证包括2个独立的过程 交互式登陆向域账户或本地计算机确定用户的身份 网络身份验证对给用户试图访问的任何网络服务确定用户身份 在用户试图访问安全的Web服务器时使用 6 授权 Windows2000的安全性建立在身份验证和授权之上 管理员可以派特定权力组账户或单个用户账户 用户权力有2种 特权 如备份文件和目录的权力 登陆权力 如登陆本地系统的权力 图4 3用户账号建立 7 审核安全审核是Windows系统的一项功能 负责监视各种与安全性有关的事件 图4 4windows安全审核 利用安全设置 可以从任一台已经加入到域中的计算机修改组织单位 域或站点的安全策略 安全设置允许安全管理员修改已分配给组策略对象的安全设置 8 安全设置 2 用户账户的管理 1 添加用户账户 域用户账户域用户账户建立在域控制器的ActiveDirectory数据库内 用户可以利用域用户账户来登录域 并利用它来访问网络上的资源 例如访问其他计算机内的文件 打印机等资源 本地用户账户本地用户账户建立在Windows2000独立服务器 Windows2000成员服务器或Windows2000Professional的本地安全数据库内 而不是域控制器内 用户可以利用本地用户账户来登录此计算机 但是只能够访问这台计算机内的资源 无法访问网络上的资源 图4 5新建用户 图4 6设置密码 2 用户个人信息的设置 用户个人信息 就是指姓名 地址 电话 传真 移动电话 公司 部门 职称 电子邮件 Web页等 如图所示 图4 7用户个人信息 3 账户信息的设置选择 账户 选项卡 如图所示 账户过期 登录时间的设置 限制用户只能够从某些工作站登录 图4 8账号信息设置 图4 9登陆时间设置 图4 10设置允许登录的工作站 3 组的管理Windows2000所支持的组分为以下两种类型 安全式和分布式 安全组 安全组可以用来设置权限 简化网络的维护和管理 分布式组 分布式组只能用在与安全 权限的设置等 无关的任务上 例如 可以将电子邮件发送给某个分布式组 分布式组不能进行权限设置 可以依次选择 开始 菜单中的 程序 单击 管理工具 选择 ActiveDirectory用户和计算机 选项 打开 ActiveDirectory用户和计算机 对话框 来添加 删除与管理域组 1 添加组 依次选择 开始 菜单中的 程序 单击 管理工具 选择 ActiveDirectory用户和计算机 选项 在控制台树种 双击域结点 右键单击要添加组的文件夹 指向 新建 然后单击 组 键入新组的名称 单击所需的 组作用域 单击所需的 组类型 全局组全局组主要是用来组织用户 可以将多个权限相似的用户账户加入到同一个全局组内 本地域组本地域组主要用来指派其在所属域内的访问权限 以便可以访问该域内的资源 通用组通用组主要用来指派在所有域内的访问权限 以便可以访问每一个域内的资源 组的作用域 2 为用户添加组在控制台目录树中 展开域节点 接着单击Computers或者要加入组的计算机所在的其他组织单元及容器 在详细资料窗格中 右击要加入组的用户帐户 从弹出的快捷菜单中选择 将成员添加到组 命令 图4 11添加工作组 3 管理组 更改组类型 更改组的作用域 删除组依次选择 开始 菜单中的 程序 单击 管理工具 选择 ActiveDirectory用户和计算机 选项 双击域结点 右键单击组 选择 属性 单击 常规 选项卡中的 组类型 中 单击 分布式 或 安全式 选择 组作用域 为 本地域 或 通用 或者右键单击组 选择 删除 命令 4 Windows2000安全模型Windows2000安全模型的主要功能是用户身份验证和访问控制 1 用户身份验证Windows2000安全模型包括用户身份验证的概念 这种身份验证赋予用户登录系统访问网络资源的能力 在这种身份验证模型中 安全性系统提供了两种类型的身份验证 交互式登录 根据用户的本地计算机或ActiveDirectory帐户确认用户的身份 和网络身份验证 根据此用户试图访问的任何网络服务确认用户的身份 为提供这种类型的身份验证 Windows2000安全系统包括了三种不同的身份验证机制 KerberosV5 公钥证书和NTLM 与WindowsNT4 0系统兼容 2 基于对象的访问控制通过用户身份验证 Windows2000允许管理员控制对网上资源或对象的访问 Windows2000通过允许管理员为存储在ActiveDirectory中的对象分配安全描述符实现访问控制 安全描述符列出了允许访问对象的用户和组 以及分配给这些用户和组的特殊权限 安全描述符还指定了需要为对象审核的不同访问事件 文件 打印机和服务都是对象的实例 通过管理对象的属性 管理员可以设置权限 分配所有权以及监视用户访问 5 ActiveDirectory安全性安全性通过登录身份验证以及目录对象的访问控制集成在ActiveDirectory之中 通过单点网络登录 管理员可以管理分散在网络各处的目录数据和组织单位 经过授权的网络用户可以访问网络任意位置的资源 ActiveDirectory通过对象访问控制列表以及用户凭据保护其存储的用户帐户和组信息 因为ActiveDirectory不但可以保存用户凭据 而且可以保存访问控制信息 所以登录到网络上的用户既能够获得身份验证 也可以获得访问系统资源所需的权限 例如 在用户登录到网络上的时候 安全系统首先利用存储在ActiveDirectory中的信息验证用户的身份 然后 在用户试图访问网络服务的时候 系统会检查在服务的自由访问控制列表 DCAL 中所定义的属性 1 用户登录管理用户登录时 输入登录的用户名和秘密 经过安全账户数据库验证 如果正确 安全账户数据库将用户信息集中在一起 形成一个存取标示 用户名及SID 用户所属的组及组SID 用户所具有的系统权力 2 资源访问管理用户存取标示中的用户名与ACL中有对应关系且所要求的权限合法 则访问获得允许 否则访问被拒绝 6 Windows2000的安全机制Windows2000安全机制的建立主要从域 组合和文件系统等方面来考虑 1 域安全策略域安全设置分为账户策略 本地策略 事件日志 受限制的组 系统服务 注册表 文件系统 公钥策略和IP安全策略 域安全策略 是由用户名 密码组成 可以利用账户策略设置密码策略 账户锁定和Kerberos策略 本地策略 对本地计算机起作用 包括审核策略 授予用户权限 设置各种安全机制 事件日志 对域 包括本地 的各种事件进行记录 为应用程序日志 系统日志等配置大小 访问方式和保留时间等 受限制的组 管理内置组的成员资格 系统服务 运行在计算机上的服务配置安全性和启动设置 注册表 存储Windows所需要的必要信息 文件系统 指定文件路径配置安全性 公钥策略 配置加密的数据恢复代理和信任认证中心证书 IP安全性策略 配置IPSec 2 控制工作站的桌面不被修改 以管理员的身份登录到服务器 从 管理工具 中打开 ActiveDirectory用户和计算机管理器 在控制台目录树种展开域 右击 DomainControl 并选择 属性 命令 在 DomainControl属性 中选择 组策略 选项卡 单击 新建 在主窗口中选择 新建组策略对象 将其改名 双击组策略对象名 选择 组策略 窗口中的 用户配置 Windows设置 桌面 右击 选择属性 进行设置 3 对象的审核右键单击该文件夹 选择 属性 在对话框中选择 安全 在弹出的对话框中进行设置 图4 12对象的审核 7 WindowsNT 2000 XP的安全性 1 WindowsNT的安全性权力 在系统上完成特定动作的授权 一般由系统指定给内置组 但也可以由管理员将其扩大到组和用户上 共享 用户可以通过网络使用的文件夹 权限 可以授予用户或组的文件系统能力 权力 权力适用于对整个系统范围内的对象和任务的操作 通常是用来授权用户执行某些系统任务 当用户登录到一个具有某种权力的帐号时 该用户就可以执行与该权力相关的任务 下面列出了用户的特定权力 如表4 1所示 表4 1用户的特定权力 共享 共享只适用于文件夹 目录 如果文件夹不是共享的 那么在网络上就不会有用户看到它 也就更不能访问 如表4 2所示 表4 2用户的共享权限 权限 权限适用于对特定对象如目录和文件 只适用于NTFS卷 的操作 指定允许哪些用户可以使用这些对象 以及如何使用 如把某个目录的访问权限授予指定的用户 权限分为目录权限和文件权限 每一个权限级别都确定了一个执行特定的任务组合的能力 这些任务是 Read R Execute X Write W Delete D SetPermission P 和TakeOwnership O 表4 3和表4 4显示了这些任务是如何与各种权限级别相关联的 表4 3目录权限 表4 4文件权限 2 Windows2000的安全性Windows2000安全系统提供了2种类型的身份验证 交互式登陆和网络身份验证 ActiveDirectory使用对象和用户凭据的访问控制提供了对用户账户和组信息的保护存储 ActiveDirectory还提供了对KerberosV5的支持 Windows2000采用IPSEC这种加密IP协议来加密网络上的数据 在VPN安全性方面有了一定的提高 采用文件加密系统EFS 3 WindowsXP的安全性 完善的用户管理功能 透明的软件限制策略 支持NTFS文件系统以及加密文件系统EFS 安全的网络访问特性 图4 13软件限制策略 图4 14数字证书的使用 4 1 2WindowsNT 2000 XP的安全防范措施 1 加强物理安全管理 去掉或锁死软盘驱动器 禁止DOS或其他操作系统访问NTFS分区 在服务器上设置系统启动密码 设置BIOS禁用软盘引导系统 不创建任何DOS分区 保证机房的物理安全 2 将系统管理员账号改名 3 控制授权用户的访问权限 4 文件系统使用NTFS 不用FAT 5 确保注册表安全 6 打开审计系统 4 1 3WindowsServer2003的安全1 windowServer2003版本简介 1 WindowsServer2003标准版是一个可靠的网络操作系统 可迅速方便地提供企业解决方案 是针对中小型企业的核心产品 支持证书服务 UDDI服务 传真服务 ISA因特网验证服务 可移动存储 RIS 智能卡 终端服务 WMS和ServicesforMacintosh支持文件和打印机共享允许集中化的桌面应用程序部署 2 WindowsServer2003企业版满足各种规模的企业的一般用途而设计的 它是各种应用程序 Web服务和基础结构的理想平台 它提供高度可靠性 高性能和出色的商业价值 是一种全功能的服务器操作系统 支持多达8个处理器 提供企业级功能 如8节点群集 支持高达32GB内存等 3 WindowsServer2003数据中心版是为运行企业和任务所倚重的应用程序而设计的 这些应用程序需要最高的可伸缩性和可用性 是Microsoft迄今为止开发的功能最强大的服务器操系统 支持高达32路的SMP和64GB的RAM 提供8节点群集和负载平衡服务是它的标准功能 4 WindowsServer2003Web版用于Web服务和托管 生成和承载Web应用程序 Web页面以及XMLWeb服务 其主要目的是作为IIS6 0Web服务器使用 提供一个快速开发和部署XMLWeb服务和应用程序的平台 这些服务和应用程序使用ASP NET技术 该技术是 NET框架的关键部分 便于部署和管理 5 WindowsServer2003 64 bitEdition 64位版本 专门针对64位处理器安腾Itanium而开发的版本 包括WindowsServer2003EnterpriseServer64 bitEdition和WindowsServer2003DatacenterServer64 bitEdition两个版本 2 WindowsServer2003安全的基本概念 1 对称加密 加密密钥和解密密钥相同 2 非对称加密 加密密钥和解密密钥不相同 3 公钥体系 非对称密钥体制 4 数字签名 以电子形式存在于数据信息之中的 或作为其附件的或逻辑上与之有联系的数据 可用于辨别数据签署人的身份 表明签署人对数据信息中包含的信息的认可 5 密钥和证书的区别 证书是CA中心对用户公钥的认证 6 SSL协议 为网络通信提供安全及数据完整性的一种安全协议 3 WindowsServer2003的安全特性 1 用户验证 交互式登陆 网络验证 KerberosV5 公用密钥证书和NTLM 2 基于对象的访问控制WindowsServer2003通过允许系统管理员对存储在ActiveDirectory中的对象指定安全描述符来使用访问控制 3 ActiveDirectory和安全性 ActiveDirectory通过对象访问控制列表以及用户凭据保护其存储的用户帐户和组信息 因为ActiveDirectory不但可以保存用户凭据 而且可以保存访问控制信息 所以登录到网络上的用户既能够获得身份验证 也可以获得访问系统资源所需的权限 例如 在用户登录到网络上的时候 安全系统首先利用存储在ActiveDirectory中的信息验证用户的身份 然后 在用户试图访问网络服务的时候 系统会检查在服务的自由访问控制列表 DCAL 中所定义的属性 因为ActiveDirectory允许管理员创建组帐户 管理员得以更加有效地管理系统的安全性 例如 通过调整文件的属性 管理员能够允许某个组中的所有用户读取该文件 通过这种办法 系统将根据用户的组成员身份控制其对ActiveDirectory中对象的访问操作 4 WindowsServer2003增强的安全机制 1 NTFS和共享权限快速查看NTFS权限 可以右击文件或文件夹 选择 属性 选择 安全 选项卡 单击 高级 然后查看 有效权限 选项卡 图4 15NTFS和共享权限 2 文件和文件夹的所有权WindowsServer2003直接在用户界面中提供了设置所有者的功能 这类有关磁盘配额的问题可以方便地解决了 对于使用NTFS文件系统的任何类型的操作系统都有效 包括WindowsNT4 0 2000和XPPro 只要修改是在WindowsServer2003上进行就可以了 图4 16文件和文件夹的所有权 5 WindowsServer2003安全配置 1 WindowsServer2003基本安全配置 修改管理员账号和创建陷阱账号 删除默认共享存在的危险 在记事本中输入以下内容 用户可以根据自己的需要修改其中的内容 图4 17修改管理员账号 echooffNetshareC deleteNetshareD deleteNetshareE delete Pause将文件保存为delshare bat 单击 开始 运行 命令 在输入框中输入gpedit msc 单击 确定 弹出 组策略 查看 依次选择 用户配置 Windows设置 脚本 登陆 注销 双击窗口右边的 登陆 弹出 登陆属性 窗口 在该窗口中单击 添加 按钮 弹出 添加脚本 对话框 在 脚本名 栏中输入deshare bat 单击 确定 如此设置后 系统一开机就可以执行脚本删除系统默认的共享 禁用IPC连接运行regedit 找到如下主键HKEY LOCAL MACHINE SYSTEM CurrentControlSet Control LSA把RestrictAnonymous DWORD 的键值改为 00000001 重新设置可远程访问的注册表路径 图4 18禁用IPC连接 gpedit msc 打开组策略编辑器 计算机配置 Windows设置 安全设置 本地策略 安全选项 网络访问 可远程访问的注册表路径 及 网络访问 可远程访问的注册表 将设置远程可访问的注册表路径和子路径内容设置为空即可 这样可以有效防止黑客利用扫描器通过远程注册表读取计算机的系统信息及其它信息 图4 19重新设置可远程访问的注册表路径 关闭不需要的端口控制面板 性能和维护 管理工具 本地安全策略 IP安全策略 在本地计算机 在右边窗格右击 创建IP安全策略 下一步按钮 去掉 激活默认响应规则 左边的钩 单击下一步 单击 完成 创建了一个新的IP安全策略 在新建立的IP安全策略 属性 窗口 去掉 使用向导 左边的钩 单击 添加 如下图所示 图4 20关闭端口 进入 筛选器属性 对话框 在 寻址 窗口的 源地址 中选择 任何IP地址 在 目标地址 选择 我的IP地址 如下图所示 单击 协议 选项卡 选择 TCP 到此端口输入135 确定 这样就添加了一个屏蔽TCP135端口的筛选器 它可以防止外界通过135端口连上用户的计算机 在 新规则属性 对话框 选择 新IP筛选器列表 激活 在 筛选器操作 选项卡中 单击 添加 在弹出的对话框 新筛选 图4 21 筛选器属性 设置 器操作属性 的 安全措施 中 选择 阻止 确定 在 新规则属性 对话框 选择 新筛选器操作 按钮 单击 关闭 回到 IP安全策略属性 对话框 在 新的IP筛选器列表 左边打钩 单击 确定 在 本地安全策略 窗口右击新添加的IP安全策略 从快捷菜单中选择 指派 命令 图4 22 新规则属性 设置 2 WindowsServer2003高级安全设置 重新支持ASP脚本a 在系统的开始菜单中 依次单击 管理工具 Internet信息服务管理器 命令 b 在随后出现的Internet信息服务属性设置窗口中 用鼠标选中左侧区域中的 Web服务器扩展 选项 c 接着在对应该选项右侧的区域中 用鼠标双击Activesserverpages 选项 然后将 任务栏 设置项处的 允许 按钮单击一下 系统中的IIS6就可以重新支持ASP脚本了 添加站点到 信任区域 a 在浏览器的地址框中 输入需要访问的站点地址 单击回车键 就会自动打开一个安全提示警告窗口 b 要是不想浏览该站点时 直接可以单击 关闭 按钮 要是想浏览的话 可以单击 添加 按钮 c 在随后打开的 可信任站点 设置窗口中 你会发现当前被访问的