1、網絡與信息安全最后一課：期末復習潘愛民，北京大學計算機研究所/InfoSecCourse我們的課程內容覆蓋密碼學基礎安全基礎網絡安全系統安全應用層安全許多內容也沒有深入介紹我們沒有覆蓋各個安全方向上的一些研究成果一些新興的安全領域復習：信息安全概述信息安全的基本需求保密性完整性可用性發展：COMSEC-COMPUSEC-INFOSEC-IA信息保障保護（Protect）檢測（Detect）反應（React）恢復（Restore）保護Protect檢測Detect恢復Restore反應ReactIA復習：信息安全概述信息安全法規規范信息內容規范網上行為我國立法情況國家大法的基本精神指導數字領域對

2、于計算機犯罪的新增條款國家條例、商用密碼管理條例急需完善配套信息安全標準國際標準可信計算機系統評價準則TCSEC-ITSEC-CC我國的標準化工作，亟待進一步完善和提高復習：密碼學基礎(一)對稱加密算法密碼算法設計指導原則現代密碼算法Feistel結構DES算法針對DES的密碼分析分組密碼算法的四種用法其他幾種典型的現代密碼算法AES算法隨機數產生器復習：信息安全基礎(一)關于認證協議一個簡單的認證協議，介紹常見的攻擊手段和對策中間人攻擊重放攻擊字典攻擊認證協議中的常見技術時間戳Challenge/ResponseWindows平臺的認證協議LanMan口令加密方案NTLMUNIX的crypt

3、()算法HTTP認證協議Basic AuthenticationDigest Access Authentication復習：信息安全基礎(二)Kerberos協議Kerberos協議基本思想基本的概念：principal, KDC, ticket, credentialKerberos 基本模型TGS，跨realm認證Kerberos中ticket的flag通過這些flags, Kerberos可以適用于實用的場合Kerberos實現MIT Release，獨立的軟件包一組工具：kadmin, kinit, klist, kpasswd支持kerberos的應用程序Win2k Kerbero

4、s集成在操作系統之中復習：信息安全基礎(四)PKI： Public Key InfrastructurePKI的基本服務認證身份完整性：數字簽名，MAC和HMAC保密性：用公鑰分發隨機密鑰，用隨機密鑰加密數據不可否認：發送方和接收方的不可否認PKI中的證書證書格式X.509CA層次結構證書發放機制證書驗證機制證書注銷機制復習：信息安全基礎(五)SSL/TLS協議，協議棧分為兩層底層：TLS記錄協議上層：TLS握手協議、TLS密碼變化協議、TLS警告協議TLS記錄協議建立在可靠的傳輸協議(如TCP)之上它提供連接安全性，有兩個特點保密性，使用了對稱加密算法完整性，使用HMAC算法用來封裝高層的協

5、議TLS握手協議，完整過程需要13個消息，最少6個消息客戶和服務器之間相互認證，利用證書協商加密算法和密鑰四個階段：hello，服務器認證，客戶認證，結束針對SSL/TLS的攻擊TLS在Web應用中一種雙向認證模型單向TLS認證+客戶提供“用戶名+口令”復習：信息安全基礎(六)訪問控制模型：Reference Monitor訪問控制策略訪問矩陣基于規則的訪問控制基于身份的訪問控制基于角色的訪問控制一般化的訪問控制機制復習：網絡安全(二)網絡監聽共享式網絡、以太網卡的混雜模式監聽原理UNIX：Packet socket一個通用的接口庫libpcapWindows平臺，通過增加驅動程序或者網絡組件

6、抓包WinPcap：通用的抓包工具抓包的性能考慮：從內核到用戶態的數據傳遞相關的技術如何檢查處于混雜模式的節點在交換式網絡上監聽數據包發送數據包LibnetWinPcap復習：網絡安全(三)P2DR安全模型網絡安全定義：Pt Dt + RtIDS(Intrusion Detection System)入侵檢測系統的實現過程信息收集模式分析入侵檢測系統分類基于主機、網絡、內核、應用入侵檢測系統用到的一些技術異常檢測誤用檢測實用的IDS: snort入侵檢測系統的研究和發展神經網絡在IDS中的研究與應用STAT：用有限狀態機來表示入侵過程復習：網絡安全(五)欺騙IP欺騙假冒他人的IP地址發送信息郵

7、件欺騙假冒他人的email地址發送信息Web欺騙服務器端欺騙，使用類似的域名改寫頁面Web會話劫持TCP會話劫持積極攻擊，接管會話拒絕服務技術和原理都非常簡單，并且已經工具化難以防范典型的DoS：SYN Flood、Smurf復習：網絡安全(六)緩沖區溢出原理棧溢出(stack overflow)堆溢出(heap overflow)Windows平臺的Buffer overflows編寫Windows平臺下的(遠程)shellcode難點：如何調用系統API函數Shellcode如何獲得執行權Linux平臺的Buffer overflows編寫Linux平臺下的shellcode發掘程序的bu

8、ffer overflows漏洞：猜測返回地址緩沖區溢出的典型例子緩沖區溢出的對策復習：網絡安全(七)后門后門是指攻擊者再次進入網絡或者系統而不被發現的通道后門技術是系統相關的UNIX/LINUX下的后門Windows下的后門隱藏痕跡了解Linux的日志文件了解Windows的日志文件復習：Windows系統安全Windows安全結構包括Windows環境下許多與安全有關的概念LSA(Local Security Authority)對象訪問模型：檢查ACL(ACEs)表WinLogon ModelWindows的網絡結構NETBIOS over TCP/IPWindows各個操作系統安全性以

9、及攻防技術和相應的策略一次針對Windows 2000的入侵過程發現目標、掃描漏洞滲透：拿到administrator口令安裝后門復習：Linux系統安全Linux系統介紹Linux內核：系統調用機制，內存管理，模塊機制Linux文件系統：VFS、ext2Linux文件系統安全管理機制，SUID程序Linux用戶管理PAM (Pluggable Authentication Modules)Linux的網絡結構BSD socket, INET socket, 協議棧, 網絡設備驅動Linux網絡配置內核防火墻Linux攻防技術口令破解數據驅動攻擊一次針對Linux的入侵過程利用了rpc.sta

10、td緩沖區溢出漏洞復習：Web安全性和email安全性Web安全性Web認證：TLS，以及HTTP 1.1支持的兩種認證機制Web會話Cookie技術Web服務器端安全性權限管理，授權機制Web Server LogWeb客戶端安全性ActiveX control電子郵件S/MIME：簽名和加密，利用PKIPGP(Pretty Good Privacy)PGP消息的處理PGP密鑰的管理，以個人為中心的信任模型復習提綱第一講，安全概述不考第二、三講，密碼學部分不專門考第四講認證協議基本知識，要掌握Windows認證方案不考HTTP認證協議不考第五講Kerberos協議基本知識，要求掌握具體的消息

11、內容，不要背，理解即可Flags不考Kerberos實現不考，最好知道一點第六講IPSec基本結構要求掌握，包括協議結構和SA的概念IPSec密鑰管理部分不考PKI：X.509證書(不要背，要理解)，CA層次結構，證書的驗證過程復習提綱(續)第七講TLS協議棧要清楚，記錄協議的結構圖要看得懂握手協議的過程要理解，不用背其他內容不作要求訪問控制機制知道幾個概念：Reference Monitor模型、訪問矩陣、ACL、基于角色的訪問控制策略第八講防火墻的基本知識，包括分類包過濾防火墻的基本知識，包括包過濾防火墻的概念性設置與Linux的ipchains有關的內容不考應用層網關和電路層網關不考四種配置方案要理解，不用背第九講網絡監聽和IDS不考復習提綱(續)第十二講只要求理解棧溢出的概念模型其他不作要求第十三講要求理解Windows系統中與安全有關的一些概念用戶、組、SID、SD、ACL對象訪問模型和文件系統訪問模型其他內容不作要求第十四講要求掌握Linux的用戶管理機制、以及文件訪問控制機制、和模塊機制其他內容不作要求第十五講Web安全性，只要求掌握Server Log信息和cookie的基本思想郵件安全性，不作要求病毒的基本知識題型基本概念題比如，網絡監聽需要什么樣的環境和條件簡答題比如，說明ISAKMP兩階段協商的優缺點論述題比如，如果讓你設計一個安全的電子郵件系統，又要