大家好,又见面了,我是你们的朋友全栈君。
SCSA之信息安全概述
一、信息安全概述
1.信息安全
防止任何对数 据进行未授权访问的措施,或者防止造成信息有意无意泄漏、破坏丢失等问题的发生,让数据处于远离危险、免于威胁的状态或特性。
网络安全
计算机网络环境下的信息安全。
二、信息安全的脆弱性及常见的攻击
1.网络环境的开放性
“ INTERNET 的美妙之处在于你和每个人都能互相连接 , INTERNET 的可怕之处在于每个人都能和你互相连接 ”
2.协议栈自身的脆弱性
(1)协议栈自身的脆弱性
(2)常见的安全风险
(3)网络的基本攻击模式
截获:嗅探;监听
篡改:数据包篡改
中断:拒绝服务
伪造:欺骗
(4)五层的常见攻击模式
物理层:设备破坏、窃听
设备破坏:
指攻击者直接破坏网络的各种物理设施,比如服务器设施,或者网络的传输通信设施等
设备破坏攻击的目的主要是为了中断网络服务
设备窃听:
光缆监听;红外监听
链路层:ARP欺骗
A发送 ARP Request 询问 B的MAC 地址
Hacker 冒充 B持续发送 ARP Reply 给A(此时, A会以为接收到的
MAC 地址是 B的,但是实际上是 Hacker 的)
之后 A发送给 B的正常数据包都会发给 Hacker
网络层:ICMP攻击
传输层:TCP SYN Flood攻击
SYN 报文是 TCP 连接的第一个报文,攻击者通过大量发送 SYN 报文,造成大量未完全建立的 TCP 连接,占用被攻击者的资源。
应用层:缓冲区溢出攻击;web攻击
缓冲区溢出攻击:
攻击软件系统的行为中,最常见一种方法
可以从本地实施,也远端实施
利用软件系统(操作,网络服务, 应用 程序)实现中对内存操作 的缺陷,以高操作权限运行攻击代码
漏洞 与操作系统和体结构相关, 需要攻击者有较高的知识 /技巧
web攻击:常见的几种
对客户端
含有恶意代码的网页,利用浏览器漏洞威胁本地系统
对Web 服务器
利用 Apache/IIS… 的漏洞
利用 CGI 实现语言 (PHP/ASP/Perl…) 和实现流程的漏洞
XSS/SQL/CSRF/ 上传漏洞 /解析漏洞 …
通过 Web 服务器,入侵数据库 ,进行横向渗透
3.操作系统自身漏洞
人为原因
在程序编写过程中,为实现不可告人的目的,在程序代码的隐藏处保留后门。
客观原因
受编程人员的能力,经验和当时安全技术所限,在程序中难免会有不足之处,轻则影响程序效率,重则导致非授权用户的权限提升。
硬件原因
由于硬件原因,使编程人员无法弥补硬件的漏洞,从而使硬件的问题通过软件表现
4.人为因素
操作失误
恶意行为
出于政治的、经济的、商业的、或者个人的目的
病毒及破坏性程序、网络黑客
在Internet 上大量公开的攻击手段和攻击程序
三、信息安全的要素
1.信息安全的标准是什么?
满足信息安全的五要素
2.信息安全的五要素
保密性 —confidentiality
完整性 —integrity
可用性 —availability
可控性 —controllability
不可否认性 —Non -repudiation
3.五要素解读
保密性
保密性:确保信息不暴露给未授权的实体或进程。
目的:即使信息被窃听或者截取,攻击者也无法知晓信息的真实内容。可以对抗网络攻击中的被动攻击。
举例:通过加密技术来实现信息的保密性
完整性
只有得到允许的人才能修改实体或进程,并且能够判别出实体或进程是否已被修改。完整性鉴别机制,保证只有得到允许的人才能修改数据 。
可用性
得到授权的实体可获得服务,攻击者不能占用所有的资源而阻碍授权者的工作。用访问控制机制,阻止非授权用户进入网络。使静态信息可见,动态信息可操作,防止业务突然中断。
可控性
可控性主要指对危害国家信息(包括利用加密的非法通信活动)的监视审计。控制授权范围内的信息流向及行为方式。使用授权机制,控制信息传播范围、内容,必要时能恢复密钥,实现对网络资源及信息的可控性。
不可否认性
不可否认性:对出现的安全问题提供调查的依据和手段。使用审计、监控、防抵赖等安全机制,使得攻击者、破坏者、抵赖者“逃不脱 “,并进一步对网络出现的安全问题提供调查依据和手段,实现信息安全的可审查性。
发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/151463.html原文链接:https://javaforall.cn
【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛
【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...