大家好，又見面了，我是你們的朋友全棧君。
SCSA之資訊安全概述
- 一、資訊安全概述
- 1.資訊安全
- 網絡安全
- 1.資訊安全
- 二、資訊安全的脆弱性及常見的攻擊
- 1.網絡環境的開放性
- 2.協定棧自身的脆弱性
- （1）協定棧自身的脆弱性
- （2）常見的安全風險
- （3）網絡的基本攻擊模式
- （4）五層的常見攻擊模式
- 實體層：裝置破壞、竊聽
- 鍊路層：ARP欺騙
- 網絡層：ICMP攻擊
- 傳輸層：TCP SYN Flood攻擊
- 應用層：緩沖區溢出攻擊；web攻擊
- 3.作業系統自身漏洞
- 4.人為因素
- 三、資訊安全的要素
- 1.資訊安全的标準是什麼？
- 2.資訊安全的五要素
- 3.五要素解讀
一、資訊安全概述
1.資訊安全
防止任何對數 據進行未授權通路的措施，或者防止造成資訊有意無意洩漏、破壞丢失等問題的發生，讓資料處于遠離危險、免于威脅的狀态或特性。
網絡安全
計算機網絡環境下的資訊安全。
二、資訊安全的脆弱性及常見的攻擊
1.網絡環境的開放性
“ INTERNET 的美妙之處在于你和每個人都能互相連接配接 , INTERNET 的可怕之處在于每個人都能和你互相連接配接 ”
2.協定棧自身的脆弱性
（1）協定棧自身的脆弱性
（2）常見的安全風險
（3）網絡的基本攻擊模式
截獲：嗅探；監聽
篡改：資料包篡改
中斷：拒絕服務
僞造：欺騙
（4）五層的常見攻擊模式
實體層：裝置破壞、竊聽
裝置破壞：
指攻擊者直接破壞網絡的各種實體設施，比如伺服器設施，或者網絡的傳輸通信設施等
裝置破壞攻擊的目的主要是為了中斷網絡服務
裝置竊聽：
光纜監聽；紅外監聽
鍊路層：ARP欺騙
A發送 ARP Request 詢問 B的MAC 位址
Hacker 冒充 B持續發送 ARP Reply 給A（此時， A會以為接收到的
MAC 位址是 B的，但是實際上是 Hacker 的）
之後 A發送給 B的正常資料包都會發給 Hacker
網絡層：ICMP攻擊
傳輸層：TCP SYN Flood攻擊
SYN 封包是 TCP 連接配接的第一個封包，攻擊者通過大量發送 SYN 封包，造成大量未完全建立的 TCP 連接配接，占用被攻擊者的資源。
應用層：緩沖區溢出攻擊；web攻擊
緩沖區溢出攻擊：
攻擊軟體系統的行為中，最常見一種方法
可以從本地實施，也遠端實施
利用軟體系統（操作，網絡服務， 應用 程式）實作中對記憶體操作 的缺陷，以高操作權限運作攻擊代碼
漏洞 與作業系統和體結構相關， 需要攻擊者有較高的知識 /技巧
web攻擊：常見的幾種
對用戶端
含有惡意代碼的網頁，利用浏覽器漏洞威脅本地系統
對Web 伺服器
利用 Apache/IIS… 的漏洞
利用 CGI 實作語言 (PHP/ASP/Perl…) 和實作流程的漏洞
XSS/SQL/CSRF/ 上傳漏洞 /解析漏洞 …
通過 Web 伺服器，入侵資料庫 ，進行橫向滲透
3.作業系統自身漏洞
人為原因
在程式編寫過程中，為實作不可告人的目的，在程式代碼的隐藏處保留後門。
客觀原因
受程式設計人員的能力，經驗和當時安全技術所限，在程式中難免會有不足之處，輕則影響程式效率，重則導緻非授權使用者的權限提升。
硬體原因
由于硬體原因，使程式設計人員無法彌補硬體的漏洞，進而使硬體的問題通過軟體表現
4.人為因素
操作失誤
惡意行為
出于政治的、經濟的、商業的、或者個人的目的
病毒及破壞性程式、網絡黑客
在Internet 上大量公開的攻擊手段和攻擊程式
三、資訊安全的要素
1.資訊安全的标準是什麼？
滿足資訊安全的五要素
2.資訊安全的五要素
保密性 —confidentiality
完整性 —integrity
可用性 —availability
可控性 —controllability
不可否認性 —Non -repudiation
3.五要素解讀
保密性
保密性：確定資訊不暴露給未授權的實體或程序。
目的：即使資訊被竊聽或者截取，攻擊者也無法知曉資訊的真實内容。可以對抗網絡攻擊中的被動攻擊。
舉例：通過加密技術來實作資訊的保密性
完整性
隻有得到允許的人才能修改實體或程序，并且能夠判别出實體或程序是否已被修改。完整性鑒别機制，保證隻有得到允許的人才能修改資料 。
可用性
得到授權的實體可獲得服務，攻擊者不能占用所有的資源而阻礙授權者的工作。用通路控制機制，阻止非授權使用者進入網絡。使靜态資訊可見，動态資訊可操作，防止業務突然中斷。
可控性
可控性主要指對危害國家資訊（包括利用加密的非法通信活動）的監視審計。控制授權範圍内的資訊流向及行為方式。使用授權機制，控制資訊傳播範圍、内容，必要時能恢複密鑰，實作對網絡資源及資訊的可控性。
不可否認性
不可否認性：對出現的安全問題提供調查的依據和手段。使用審計、監控、防抵賴等安全機制，使得攻擊者、破壞者、抵賴者“逃不脫 “，并進一步對網絡出現的安全問題提供調查依據和手段，實作資訊安全的可審查性。
釋出者：全棧程式員棧長，轉載請注明出處：https://javaforall.cn/151463.html原文連結：https://javaforall.cn