计算机系统安全（Computer System Security）

原创已于 2025-01-25 10:45:16 修改

· 1.3k 阅读

14 ·

版权

文章标签：

#安全 #网络 #网络安全

于 2025-01-25 10:44:32 首次发布

一、计算机信息安全技术概述

1.安全的信息交换应该满足5个基本特征：数据机密性、数据完整性、可用性、不可否认性、鉴别性

2.计算机信息安全研究的内容:

(1)计算机外部安全

(2)计算机内部安全

(3)计算机网络安全

3.计算机外部安全：1.安全规章制度 2.防电磁辐射/泄漏（1）使用低辐射设备（2）利用噪声干扰源（3）电磁屏蔽（4）滤波技术（5）光纤传输

4.计算机内部安全：1.计算机软件保护2.软件安全3.数据安全

5.计算机网络安全：计算机网络安全是指信息在通过网络系统交换数据时确保信息的完整性、可靠性和保密性。（1）边界防卫（2）入侵检测（3）安全反应

6.两个最重要的模型: OSI & Internet

1.OSI（Open Systems Interconnection）Model1984年由ISO制定共7层

2.Internet Model（TCP/IP)70年代早期由DARPA制定共4(5)层

应用层：为用户提供TCP/IP环境的接入。

传输层-负责端到端传输。网络层-寻址、路由。

数据链路层-消息界定、差错控制、媒体接入控制。

物理层-通过物理媒体传输位流。

7.OSI

OSI安全体系目标：

(1) 把安全特征按功能目标分配给OSI的各层，以加强OSI结构的安全性；

(2) 提供一个结构化的框架，以便供应商和用户据此评估安全产品；

核心内容：5类安全服务 7类安全机制

二、密码技术

1.密码体制/密码系统：明文、密文、密钥、加密算法、解密算法

2.密码体制的分类：对称密码体制、非对称密码体制

（1）对称密码体制： K1=K2 或K2=f（K1）

优点：（a）加密和解密的速度都比较快，具有较高的数据吞吐率（b）对称密码体制中所使用的密钥相对较短（c）密文的长度往往与明文长度相同。

缺点：（a）密钥分发需要安全通道，需要付出的代价较高（b）密钥量大，难于管理。

（2）非对称密码体制： K1和K2不相同，且不能从公钥推出私钥，或者说从公钥推出私钥在计算上是不可行的。

优点：a）密钥的分发相对容易。b）密钥管理简单。c）可以有效地实现数字签名。

缺点：a）与对称密码体制相比，非对称密码体制加解密速度较慢；b）同等安全强度下，非对称密码体制要求的密钥长度要长一些；c）密文的长度往往大于明文长度。

3.柯克霍夫准则:即使密码系统的任何细节已为人悉知，只要密钥未泄漏，它也应是安全的。

4.密码体制的攻击:

（1）唯密文攻击（Ciphertext only Attack）（2）已知明文攻击（Known Plaintext Attack）（3）选择明文攻击（Chosen Plaintext Attack）（4）选择密文攻击（Chosen Ciphertext Attack）（5）选择文本攻击(Chosen Text Attack)

5.密码算法的评价:

1）安全性。安全是最重要的评价因素；2）计算的效率。即算法的速度，算法在不同的工作平台上的速度都应该考虑到；3）存储条件。4）软件和硬件的适应性。即算法在软件和硬件上都应该能够被有效的实现；5）简洁性。即要求算法应容易实现；6）适应性。即算法应与大多数的工作平台相适应，能在广泛的范围内应用，具有可变的密钥长度。

6.频率特征:

在各种语言中,各个字母的使用次数是不一样的,有的偏高,有的偏低,这种现象叫偏用现象.对英文的任何一篇文章，一个字母在该文章中出现的次数称作这个字母（在这篇文章中）的频数。一个字母的频数除以文章的字母总数，就得到字母的使用频率。

7.仿射变换解密公式为：

8.现代对称密码体制：

现代密码学已发展成两个重要的分支：（1）对称加密体制其典型代表是数据加密标准DES（数据加密标准）、IDEA（国际数据加密算法）、AES（高级加密标准）等算法。（2）公开密钥加密体制其典型代表是RSA、椭圆曲线加密算法等。

9.序列密码体制和分组密码体制：

分组密码体制:数据在密钥的作用下，一组一组、等长地被处理，且通常情况是明、密文等长。一般以DES和AES为代表。

序列密码体制：序列密码将明文消息序列m=m1，m 2，…，mn用密钥流序列k=k1，k2，…，kn逐位加密,得密文序列c=c1，c2，…，cn。以RC4为代表。

10.DES算法描述

DES 是分组加密算法，它以64位（二进制）为一组，64位明文输入，64位密文输出。

密钥长度为56位，但密钥通常表示为64位，并分为8组，每组第8位作为奇偶校验位，以确保密钥的正确性，对用户来说每组密钥仍是56位。

利用密钥，通过传统的置换、代换和异或等变换，实现二进制明文的加密与解密。

11.AES算法描述

AES使用的是置换-组合架构。

密钥长度128、192、256位。

AES在软件及硬件上都能快速地加解密，相对来说较易于实作，且只需要很少的内存。

作为一个新的加密标准，目前正被部署应用到更广大的范围。

13.AES安全性：

2002年成为有效标准AES算法的安全性目前是可靠的。

针对AES密码系统，不断有新的攻击方法提出，包括功耗分析、积分攻击和旁道攻击等，尚不能对AES构成实际的威胁。

旁道攻击不攻击密码本身，而是攻击那些实现于不安全系统上的加密系统。

14.RSA非对称密码体制：

它的安全性一直未从理论上得到证明，但至今未被完全攻破。

RSA具有的优势：

为实现数字签名和数字认证提供了合适的手段，解决了DES不能解决的问题。

在具有多个节点的网络中，大大减轻了密钥分配与管理的压力（在N个节点的网络中，用DES算法进行加密，需要N(N-1)/2对密钥，而RSA仅需要N对）。

15.RSA算法安全性：

在RSA密码应用中，公钥KU是被公开的，即pk和n的数值可以被第三方得到。

破解RSA密码的问题就是从已知的pk和n的数值（n等于pq），设法求出sk的数值，这样就可以得到私钥来破解密文。

从上文中的公式：d ≡e-1(mod((p-1)(q-1)))或de≡1 (mod((p-1)(q-1))) 可以看出，密码破解的实质问题是：从pq的数值，求出(p-1)和(q-1)。即，只要求出p和q的值，就能求出d的值而得到私钥。

16.RSA的缺点：

RSA的缺点： a) 产生密钥很麻烦，受到素数产生技术的限制，因而难以做到一次一密。 b)分组长度太大，为保证安全性，n 至少也要 600 bits 以上，使运算代价很高，尤其是速度较慢，较对称密码算法慢几个数量级；且随着大数分解技术的发展，这个长度还在增加，不利于数据格式的标准化。

因此，使用RSA只能加密少量数据，大量的数据加密还要靠对称密码算法。

17.椭圆曲线密码：

椭圆曲线在密码学中的使用是在1985年由Neal Koblitz和Victor Miller分别独立提出。

椭圆曲线密码突出的优点：

密钥长度短，抗攻击性强，单位比特的安全性强度高，比如160比特的ECC与1024比特的RSA有相同的安全强度

ECC的计算量小，处理速度快。在相同的强度下，用160比特的ECC进行加密、解密或数字签名要比用1024比特的RSA要快大约10倍。

18.Diffie-Hellman密钥交换：

目的：使两个用户之间能安全地交换密钥。安全性：建立在求解离散对数的困难性基础上。

三、信息认证技术:

1.在网络通信和电子商务中很容易发生如下问题；

1．否认，发送信息的一方不承认自己发送过某一信息。2．伪造，接收方伪造一份文件，并声称它来自某发送方。3．冒充，网络上的某个用户冒充另一个用户接收或发送信息。4．篡改，信息在网络传输过程中已被篡改，或接收方对收到的信息进行篡改。

2.一个安全的认证系统应满足以下条件：

（1）合法的接收者能够检验所接收消息的合法性和真实性。（2）合法的发送方对所发送的消息无法进行否认。（3）除了合法的发送方之外，任何人都无法伪造、篡改消息。

3.哈希函数，单向散列函数：

基本思想：

输入任意长度的消息M，产生固定长度的数据输出。

向hash函数输入一任意长度的信息M时，hash函数将输出一固定长度为m的散列值h。即：h = H(M)

4.性质：

（1）固定长度输出散列值h。

（2）给定M，很容易计算h。

（3）给定h，根据H(M)＝h计算M很难。

（4）给定M，找到另一消息M’，满足H(M)＝H(M’)，在计算上是不可行的---弱抗碰撞性。

（5）对于任意两个不同的消息 M ≠M’，它们的散列值不可能相同---强抗碰撞性。

注：碰撞性是指对于两个不同的消息M和M’ ，如果它们的摘要值相同，则发生了碰撞。

5.2001年，NIST发布FIPS 180-2，新增了三个哈希函数，分别为SHA-256，SHA-384，SHA-512，其散列值的长度分别为256,384,512。同时，NIST指出FIPS 180-2的目的是要与使用AES而增加的安全性相适应。

6.网络传输过程中信息保密性的要求：

(1)对敏感的数据进行加密，即使别人截获文件也无法得到真实内容。　(2)保证数据的完整性，防止截获人对数据进行篡改。　(3)对数据和信息的来源进行验证，以确保发信人的身份。消息认证是指使合法的接收方能够检验消息是否真实的方法。检验内容包括验证通信的双方和验证消息内容是否伪造或遭篡改。

7.消息认证技术：

MAC函数与加密函数相似之处在于使用了密钥，但差别在于加密函数是可逆的，而MAC函数可以是单向的，它无需可逆，因此比加密更不容易破解。

哈希函数同样也可以用来产生消息认证码。假设Ｋ是通信双方Ａ和Ｂ共同拥有的密钥，A要发送消息M给B，在不需要进行加密的条件下，A只需将M和K合起来一起通过哈希函数计算出其散列值，即H(M||K)，该散列值就是M的消息认证码

8.直接数字签名存在的问题

签名后的文件可能被重复使用。公钥算法效率较低，不适合大文件的加密。签名的有效性依赖于发送方私钥的安全性，若发送方的私钥丢失或被盗用，攻击者可以伪造签名。

四、计算机病毒

1.计算机病毒的危害：

（1）占用磁盘空间，直接破坏数据信息（2）抢占系统资源，干扰系统的正常运行（3）计算机病毒错误与不可预见的危害（4）给用户造成严重的心理方面的影响压力

2.计算机病毒的分类：

按病毒按寄生方式分类

网络病毒文件病毒引导型病毒混合型病毒

按传播媒介分类

单机病毒网络病毒

按计算机病毒的链接方式分类

源码型病毒嵌入型病毒外壳型病毒译码型病毒操作系统型病毒

按病毒攻击的操作系统分类

Dos病毒 Windows病毒其他操作系统病毒

按病毒的攻击类型分类

攻击微型计算机的病毒攻击小型机的病毒攻击工作站的病毒

3.常见的计算机病毒

（1）引导型病毒

专门感染磁盘引导扇区或硬盘主引导区。

按其寄生对象可分为：MBR（主引导区）病毒BR（引导区）病毒。

引导型病毒一般通过修改int 13H中断向量将病毒传染给U盘等存储介质，而新的int 13H中断向量地址指向内存高端的病毒程序。引导型病毒的感染对象相对固定。

（2）文件型病毒

通过文件系统进行感染的病毒统称文件型病毒。

EXE文件病毒。将自身代码添加在宿主程序中，通过修改指令指针的方式，指向病毒起始位置来获取控制权。PE病毒。当前产生重大影响的病毒类型，如“CIH”、“尼姆达”、“求职信”、“中国黑客”等。这类病毒主要感染Windows系统中的PE文件格式文件(如EXE, SCR, DLL等) 。

4.木马:

木马实际上是一个C/S结构的程序：服务端程序+客户端程序。以冰河程序为例：被控制端可视为一台服务器运行G_Server.exe控制端是一台客户机安装了G_Client.exe控制程序。客户端向服务端的端口提出连接请求，服务端的相应程序就会自动运行，响应客户端的请求。

5.宏病毒:

宏病毒是用宏脚本编写的程序。

宏病毒利用一些数据处理系统内置宏命令的特性，把特定的宏命令代码附加在指定的文件上，通过文件的打开或关闭来获取系统的控制权，同时实现宏命令在不同文件之间的共享和传递，以实现病毒传染。

6.网页病毒：

网页病毒使用脚本语言编写的恶意代码，利用浏览器的漏洞来实现病毒植入。当用户登录某些含有网页病毒的网站时，网页病毒便被悄悄激活，这些病毒一旦激活，可以利用系统的一些资源进行破坏。

7.僵尸网络：

是一种被非法安装在僵尸主机中，执行远程控制与任务分发等任务的恶意代码。

由传统的网络蠕虫和木马发展而来的一种新型攻击、感染形式。

僵尸网络实现了控制逻辑与攻击任务的分离，僵尸主机中的僵尸程序负责控制逻辑，而攻击任务由控制者根据需求来动态分发。

8.Rootkit：

是一种特殊类型的恶意软件，主要用于隐藏自己及其他软件。

Rootkit通常是一个由多种程序组成的工具包，其中包含各种辅助工具。

9.计算机病毒的一般构成：

1．安装模块

病毒程序通过自身的程序实现自启动并安装到系统中，不同类型病毒程序用不同安装方法。

2．传染模块

（1）传染控制部分。病毒一般都有一个控制条件，一旦满足这个条件就开始感染。例如，病毒先判断某个文件是否是.EXE文件，如果是再进行传染，否则再寻找下一个文件；

（2）传染判断部分。每个病毒程序都有一个标记，在传染时将判断这个标记，如果磁盘或者文件已经被传染就不再传染，否则就要传染了；

（3）传染操作部分。在满足传染条件时进行传染操作。

3．破坏模块计算机病毒的最终目的是进行破坏，其破坏的基本手段就是删除文件或数据。破坏模块包括两部分：一是激发控制，另一个就是破坏操作。

10.计算机病毒制作技术：

1.采用自加密技术 2.采用变形技术 3.采用特殊的隐形技术 4.对抗计算机病毒防范系统 5.反跟踪技术

11.

1．特征代码法从病毒程序中抽取一段独一无二、足以代表该病毒特征的二进制程序代码，并将这段代码作为判断该病毒的依据，这就是所谓的病毒特征代码。

必须不断更新病毒资料库，否则检测工具便会过期老化。

特征代码法的优点

检测准确

快速

可识别病毒的名称

缺点

不能检测未知病毒、变种病毒和隐蔽性病毒，需定期更新病毒资料库，具有滞后性。

2．校验和法

校验和法是根据文件的内容，计算其校验和。检测时将文件校验和与保存的校验和做比较，若不同则判断为被感染病毒。

校验和法可以采用三种方式：（1）在检测病毒工具中加入校验和法。（2）在应用程序中加入校验和自我检查功能。（3）将校验和检查程序常驻内存。

3．行为监测法

行为监测法是将病毒中比较特殊的共同行为归纳起来。当程序运行时监视其行为，发现类似病毒行为，立即报警。

4．软件模拟法

用程序代码虚拟一个CPU、各个寄存器、硬件端口也虚拟出来，调入被调的“样本”，通过内存和寄存器以及端口的变化来了解程序的执行情况。将病毒放到虚拟机中执行，则病毒的传染和破坏等动作会被反映出来。

五、网络攻击和防范技术

1.目标探测的方法

1．确定目标范围

Ping命令

Whois查询

Whois查询就是查询域名和IP地址的注册信息。

国际域名由设在美国的Internet信息管理中心（InterNIC）和它设在世界各地的认证注册商管理。

国内域名由中国互联网络信息中心（CNNIC）管理。

2.分析目标网络信息

使用专用的工具，如VisualRoute等。

这些软件的主要功能：快速分析和辨别Internet连接的来源，标识某个IP地址的地理位置等。

3.分析目标网络路由

了解信息从一台计算机到达互联网另一端的另一台计算机传播路径，常见的检测工具为Tracert/ TraceRoute。

4.主机扫描技术

简单主机扫描技术(1) 发送ICMP Echo Request数据包到目标主机；(2) Ping扫描；(3)发送ICMP Echo Request到广播地址或者目标网络地址。

复杂主机扫描技术 (1)异常的IP包头；(2)IP头中设置无效的字段值；(3)错误的数据分片；(4)反向映射探测。

5.网络监听

网络监听是提供给网络安全管理人员进行网络管理的工具，用来监视网络的状态、数据流动情况以及网络上传输的信息等，黑客也可以利用网络监听来截取主机口令等。

以太网（Ethernet）协议的工作方式是将要发送的数据包发往连接在一起的所有主机，只有与数据包中目的地址一致的那台主机才能接收到信息包。当主机工作在监听模式下时，无论数据包中的目标地址是什么，主机都将接收，这就是实现网络监听的基础。

6.缓冲区溢出攻击

缓冲区是内存中存放计算机正在处理数据的地方。当数据量超出缓冲区的长度时，多出来的数据就会破坏堆栈中的数据，导致应用程序或整个系统的崩溃等故障；

攻击者在溢出数据中精心设计代码，当这些代码溢出到缓冲区以外时会被执行，能达到破坏计算机系统目的，即缓冲区溢出攻击。

8. SYN洪泛，有那么多需要处理，为什么没有回应？

在面对洪泛事件时，回应的速度和质量确实非常重要。然而，可能没有及时回应的原因有很多，包括但不限于以下几种情况：

资源不足：在洪泛发生时，当地政府和相关机构可能面临资源短缺的困境，包括人力、设备和资金等。特别是如果洪泛范围广泛且影响严重，处理能力可能无法及时跟上。
信息不对称：在洪泛初期，信息的获取和传播可能存在延迟，导致决策层无法迅速掌握情况并做出反应。信息的滞后性会影响整体应对策略的实施。
协调困难：洪泛应对需要多个部门的协调与配合，包括政府、应急管理部门、救援组织等。协调不力或者沟通不畅会延误救援和应对措施的实施。
自然环境复杂：洪泛的影响范围和复杂程度往往难以预测和控制，特别是在一些地形复杂或设施脆弱的地区。应对措施可能因自然条件的限制而难以迅速展开。
基础设施不足：一些地区的防洪基础设施建设相对滞后，面对突发的洪泛事件可能难以承受巨大的压力，导致应对不及时。
政策和规划问题：长期的防洪政策和规划可能存在缺陷，没有充分考虑到极端天气和气候变化的影响，导致在实际应对时显得力不从心。

尽管存在这些挑战，及时、高效的应对洪泛仍然是非常重要的。改进预警系统，加强资源配置，提高协调能力，提升基础设施建设，优化政策和规划，都是改善洪泛应对能力的重要措施。

9.DDoS攻击的步骤：

搜集攻击目标了解被攻击目标主机数目、地址情况，目标主机的配置、性能、目标的带宽等。
占领傀儡机黑客通过扫描工具等，发现互联网上那些有漏洞的机器，随后就是尝试攻击。攻击成功后，就可以占领和控制被攻击的主机，即傀儡机。
实际攻击黑客登录到作为控制台的攻击机，向所有傀儡机发出命令，这时候埋伏在傀儡机中的DDoS攻击程序就会响应控制台的命令，一起向受害主机以高速度发送大量的数据包，导致受害主机死机或是无法响应正常的请求。

六、防火墙技术

1.防火墙的功能

1．阻止易受攻击的服务。2．集中安全性管理。3．对网络存取和访问进行监控审计。4．检测扫描计算机的企图。5．防范特洛伊木马。6．防病毒功能。7．支持VPN技术。8．提供网络地址翻译NAT功能

2.按防火墙结构分类

单一主机防火墙路由器集成式防火墙分布式防火墙

3.按防火墙的应用部署分类

边界防火墙个人防火墙混合防火墙

4.按防火墙性能分类

百兆级防火墙千兆级防火墙

5.包过滤（Packet filtering）技术

包过滤型防火墙工作在OSI网络参考模型的网络层和传输层。

它根据数据包头源地址，目的地址、端口号和协议类型等标志确定是否允许通过。

只有满足过滤条件的数据包才被转发到相应的目的地，其余数据包则被从数据流中丢弃。

6.包过滤规则的制定过程（1）确定安全需求及安全目标，明确什么是应该和不应该被允许的，然后制定合适的安全策略。（2）必须正式规定允许的包类型、包字段的逻辑表达。（3）必须用防火墙支持的语法重写表达式。

7.状态检测技术防火墙的工作过程： (1)防火墙检查数据包是否是一个已经建立并且正在使用的通信流的一部分。 (2) 根据所使用的协议，决定对数据包的检查程度。 (3) 如果数据包和连接表的各项都不匹配，那么防火墙就会检测数据包是否与它所配置的规则集相匹配。 (4)在数据包检测后，防火墙就会将该数据包转发到它的目的地址，并且防火墙会在其连接表中为此次对话创建或者更新一个连接项，防火墙将使用这个连接项对返回的数据包进行校验。 (5) 防火墙通常对TCP包中被设置的FIN位进行检测或者通过使用计时器来决定何时从连接表中删除某连接项。