天天看點
傳回

2019-2020-1學期 20192415 《網絡空間安全專業導論》第十周學習總結

2019-2020-1學期 20192415

《網絡空間安全專業導論》第十周學習總結

第四章 系統安全

4.1 作業系統

作業系統(Operating Systen=m,OS)：是一組管理與控制計算機軟體、硬體資源，為使用者提供便捷計算服務的計算機系統的集合。

通過各種驅動程式驅動計算機底層硬體工作，通過統一的排程管理程式。

作業系統以程序管理的方式對應用軟體的運作進行統一管理,一個應用軟體運作時可以生成多個程序,由作業系統負責為每個程序配置設定記憶體空間和所需其他資源。

計算機作業系統的功能：

  • 程序管理（處理器管理）：主要負責對中央處理器(CPU)的時間進行合理配置設定、對處理器的運作進行有效的管理。
  • 記憶體管理:主要負責對計算機記憶體空間進行合理配置設定、保護和擴充,用于解決多道程序共享記憶體資源時的沖突,并通過有效的管理方式提高計算機記憶體空間使用率。
  • 裝置管理:根據一定的配置設定原則對計算機的硬體裝置進行排程與配置設定,使裝置與計算機能夠并行工作。
  • 檔案管理:負責有效地管理計算機磁盤的存儲空間,合理地組織和管理檔案系統,為檔案通路和檔案保護提供更有效的方法及手段。

  • 使用者接口:使用者操作計算機的界面。

    主要分類：指令行接口、圖形界面接口和程式調用接口( Application Programming Interface,API)幾種類型。

注：越來越多的作業系統運作于虛拟化的硬體環境之中,此時由于虛拟化環境位于作業系統的下層,是以虛拟化環境的安全問題也将對作業系統的安全性帶來嚴重威脅。

4.2 作業系統安全

2019-2020-1學期 20192415 《網絡空間安全專業導論》第十周學習總結

（一）作業系統中常見的安全保護機制

1.程序隔離和記憶體保護

  • 在多任務模式下，計算機作業系統中加入了記憶體管理單元子產品（Memory Management Unit,MMU）。
  • MMU子產品負責配置設定程序運作所需的記憶體空間，程序隔離和記憶體保護機制禁止程式讀寫其他程序以及系統程序的記憶體空間來實作隔離，同時能實作通信機制與資源共享機制。

2.運作模式

分類：
   核心模式：也稱為特權模式，在Intel x86系列中，稱為核心層（Ring 0）。
            将允許執行一些僅在特權模式下可以執行的特殊指令和操作

   使用者模式：也稱非特權模式，或者使用者層（Ring 3）。
  • 作業系統通常運作在特權模式下,其他應用程式則運作在使用者模式下。
  • 作業系統的運作不受其他應用程式幹擾和破壞的作用。

3.使用者權限控制

多任務、多使用者：

系統管理者使用者→全部管理權限

      普通使用者件→執行、修改

      通路使用者→通路

4.檔案系統通路控制

  • 作業系統中的資料和程式通常以檔案的方式存儲在計算機的磁盤空間中。
  • 作業系統通過對檔案的操作權限進行限制來實作檔案的通路控制機制。
  • 典型的檔案操作權限控制是對檔案的讀、寫和執行三方面權限進行限制,分别對應對檔案進行讀取、修改和運作的操作。

（二）作業系統的安全評估标準

2019-2020-1學期 20192415 《網絡空間安全專業導論》第十周學習總結

（三）常見的作業系統及其安全性

Ⅰ Windows系統安全

Windows系統的安全性以Windows本機安全性授權為基礎,輔以NTFS檔案系統Windows服務與更新檔包機制、系統日志等,形成了完整的安全保障體系。

㈠ Windows本機安全性授權

構成：
     ⑴系統登入控制流程(Winlogon)
     ⑵安全賬号管理器(SAM)
     ⑶本地安全認證(LSA)
     ⑷安全引用監控器(SRM) 


 控制：
     ⑴Windows系統使用者賬号
     ⑵系統登入流程
     ⑶系統内對象通路權限

㈡ NTFS檔案系統

NTFS檔案系統可以對檔案系統中的對象設定非常精細的通路權限。

其主要特點包括：
NTFS可以支援的分區(如果采用動态磁盤則稱為卷)大小可以達到2TB。而Windows2000中的FAT32支援的分區大小可達到32GB。
NTFS是一個可恢複的檔案系統。
NTFS支援對分區、檔案夾和檔案的壓縮及加密。
NTFS采用了更小的簇，可以更有效率地管理磁盤空間。
在NTFS檔案系統上，可以為共享資源、檔案夾以及檔案設定通路許可權限。
在NTFS檔案系統下可以進行磁盤配額管理。
NTFS檔案系統中的通路權限是累積的。
NTFS的檔案權限超越檔案夾的權限。
NTFS檔案系統中的拒絕權限超越其他權限。
NTFS權限具有繼承性。

㈢ Windows服務包和更新檔包

㈣ Windows系統日志

Ⅱ Linux系統安全

Linux是完全免費使用和自由傳播的、符合POSIX标準的類Unix作業系統，是能在各類硬體平台上運作的多使用者、多任務的作業系統。

㈠ Linux系統的安全機制

Linux是一個開放式系統,在網絡上有許多可在 Linux系統上運作的程式和工具,這既友善了使用者,也友善了黑客,他們通過這些程式和工具潛入Liux系統,或者盜取Linux系統上的重要資訊。

Linux采取了許多安全技術措施,有些是以“更新檔”的形式釋出的：

PAM機制:插件式鑒别子產品(PAM)機制是一種使用靈活、功能強大的使用者鑒别機制,采用子產品化設計和插件功能,在應用程式中插入新的鑒别子產品,而不必對應用程式做修改,進而使軟體的定制、維持和更新更加輕松。

加密檔案系統:加密檔案系統就是将加密服務引入檔案系統,進而提高計算機系統安全性的手段。

Linux防火牆：可以提供通路控制、審計、抗攻擊、身份驗證等功能,通過防火牆的正确設定可以大大提高系統安全性。

㈡ Linux系統安全防範及設定

Linux引導程式安全設定、防止使用組合鍵重新開機系統、安全登入、登出、使用者賬号安全管理、檔案的安全、資源使用的限制、清除曆史記錄、系統服務的通路控制、系統日志安全、關閉不必要的服務、病毒防範、防火牆、使用安全工具、備份重要檔案、更新、Rootkit安全防範。

Rootkit是可以獲得系統root通路權限的一類工具。實際上,Rootkit是攻擊者用來隐藏自己蹤迹和保留root通路權限的工具,主要的表現形式就是修改正常的程式來實作自己的目的。

（三）移動終端安全

随着移動網際網路的飛速發展,作為作業系統的一種,移動終端作業系統也得到了廣泛的應用。目前主流的移動終端作業系統平台主要分為兩大陣營:由蘋果(Aple)公司出品的iOS系統平台,和谷歌( Google)公司出品的 Android(安卓)系統平台。

  1. 移動終端的概念及其主要安全問題

    移動終端（移動通信終端）：指可以在移動中使用的計算機裝置。

    類别：有線可移動終端，無線移動終端
    移動終端面臨的安全問題 
    敏感資訊本地存儲、網絡資料傳輸、應用安全問題、惡意軟體（惡意軟體是指在安裝運作之後會對使用者造成危害的軟體）、系統安全問題。

  2. Android平台及其安全

    Android系統已經成為世界範圍内廣泛使用的移動端作業系統。

    Android的平台特性

    Android系統是基于Linux的開源作業系統,無論是手機廠商還是個人開發者都可以在Android标準作業系統的基礎上進行定制。正是由于此項特性,使得 Android,成為廣受歡迎的移動端作業系統,也是 Android與iOS系統的最大差別。
 Android平台在系統架構上分為多個層次,其中比較重要的有應用層、架構層、運作時和 Linux核心層
    Android平台的安全問題 
    Android平台由于其開放的特性,相對其他移動終端平台存在更大的安全風險。主要的安全威脅來源于ROOT和惡意軟體。
    ROOT的危害 
    在Linux系統中,ROOT是擁有最高權限的使用者。
 使用者在使通路檔案系統用手機的時候能夠獲得ROOT權限。雖然ROOT能為部分使用者帶來使用時的便利,但同時也會帶來部分安全隐患。比如,在ROOT之後,病毒将繞過 Android系統的權限限制,直接在ROOT權限下運作。
    惡意軟體的威脅 
    由于 Android系統的開放性,使用者可以随意地從網絡上或第三方應用市場下載下傳應用并安裝,這為惡意軟體的傳播帶來了便捷的管道。
 惡意軟體可能會在使用者不知情的情況下執行資訊竊取、偷跑流量話費、背景靜默安裝其他應用等操作,對使用者的隐私安全和财産安全造成成脅。

  3. iOS平台及其安全

    iOS平台的安全機制

    在iOS衆多安全機制中,具有代表性的有權限分離、強制代碼簽名、位址空間随機布局和沙盒。

 位址空間随機布局:位址空間随機布局( Adddress Space Layout Randomization)是通過讓對象在記憶體中的位置随機布局以防禦攻擊代碼的措施。

 沙盒( Sandbox)):沙盒是OS另外一種重要的安全機制。
    Xcodeghost事件分析 
    Xcodeghost的攻擊方式是修改Xcode配置檔案。

 Xcodeghost造成的危害有如下幾種:
 	1)上傳使用者資訊
 	2)應用内彈窗
 	3)通過 UrlScheme執行其他操作

  4. 移動系統逆向工程和調試

    移動終端逆向工程概述

    逆向工程,顧名思義,是通過反彙編、反編譯等手段從應用程式的可執行(二進制)檔案中還原出程式原代碼的過程。在OS和 Android系統中,破壞者通常會利用逆向工程的手段分析系統,進而實施攻擊。作為防護方,我們也必須了解移動終端的逆向工程知識,以便更好地保護系統。

 逆向工程主要有兩個作用:
 	攻破目标程式,拿到關鍵資訊,可以歸類于與安全相關的逆向工程。
 	借鑒他人的程式功能來開發自己的軟體,可以歸類于與開發相關的逆向工程。

 常用的iOS逆向分析工具有以下幾種:
    Dumpcrypt:對從Appstore中下載下傳的應用進行脫殼操作。 
    class-dump：使用該工具可以從Mach-O檔案中擷取應用程式的類資訊,并生成對應的.h檔案。通過 class-dump擷取的資訊,可以快速輔助搭建APP源代碼的大緻架構。

 IDAPro與HopperDisassembler:知名的反彙編工具,用于對可執行檔案進行精準而細緻的靜态分析,轉化為接近源代碼的僞代碼。

 GDB與LDB:與靜态分析相對應,這兩款工具通過動态調試的方式對程式進行更深入透徹的分析。

 Cycript:通過程序注入的方式依附運作中的OS程式,并可以使用 Javascript文法程式進行測試。
    針對OS逆向不同環境下的特殊需求,可以選擇使用多種輔助工具進行逆向工程
2019-2020-1學期 20192415 《網絡空間安全專業導論》第十周學習總結

7.2 雲安全

（一）概念

1. 雲

雲：計算機資源池，為大型服務叢集提供服務而開發的整套虛拟環境。（降低成本，提高使用率）

◆從技術構架将雲分類：

- 軟體即服務（SaaS）
   - 平台即服務（PaaS）
   - 基礎設施即服務（IaaS）

◆虛拟機（Virtual Machine）:通過軟體模拟的具有完整硬體系統功能的、運作在一個完全隔離環境中的完整計算機系統。

在網絡上，無法分辨出虛拟機和實體機。

◆雲虛拟主機

具有封裝性、獨立性、隔離性、相容性、且獨立于硬體。

雲虛拟主機具有高度可用的雲架構，将站點資料存放于雲存儲當中。同雲主機不一樣的是，雲虛拟主機同時運作在伺服器叢集的每一個成員節點伺服器上，也就是說在每一個節點伺服器上都可以找到一個一模一樣的站點，并且不同節點伺服器上的同一個站點的配置以及資料都是一緻的。

1. 站點連接配接數随着節點伺服器的增加而線性上升，突破單個站點連接配接數的限制。
2. 多台節點伺服器實作負載均衡，當某個節點的負載過高時，叢集内部将自動把過多的負載均攤到其他節點上去，可有效抵擋黑客的攻擊。
3. 當某個節點上的某個站點不能通路時，站點的通路将會自動轉移到下一個節點的同一個站點上去，進而有效地避免了單點故障的發生。

2. 雲計算

雲計算（Cloud Computing）：一種計算方法，按需提供的服務彙聚成高效資源池，以服務的形式傳遞給使用者使用。

通過網際網路提供動态、易擴充且經常是虛拟化的資源。

                          實作了計算資源的随取随用。

雲計算是分布式計算的一種，指的是通過網絡“雲”将巨大的資料計算處理程式分解成無數個小程式，然後，通過多部伺服器組成的系統進行處理和分析這些小程式得到結果并傳回給使用者。

雲計算早期，簡單地說，就是簡單的分布式計算，解決任務分發，并進行計算結果的合并。
因而，雲計算又稱為網格計算。通過這項技術，可以在很短的時間内（幾秒種）完成對數以萬計的資料的處理，進而達到強大的網絡服務。
現階段所說的雲服務已經不單單是一種分布式計算，而是分布式計算、效用計算、負載均衡、并行計算、網絡存儲、熱備份冗雜和虛拟化等計算機技術混合演進并躍升的結果。
雲計算不是一種全新的網絡技術，而是一種全新的網絡應用概念，雲計算的核心概念就是以網際網路為中心，在網站上提供快速且安全的雲計算服務與資料存儲，讓每一個使用網際網路的人都可以使用網絡上的龐大計算資源與資料中心。
雲計算的核心是可以将很多的計算機資源協調在一起，使使用者通過網絡就可以擷取到無限的資源，同時擷取的資源不受時間和空間的限制。

3. 雲服務

在雲計算環境下的服務傳遞模式
 
基于網際網路的相關服務的增加、使用和傳遞模式,通常涉及通過網際網路來提供動态易擴充的資源

雲服務提供的資源通常是虛拟化的資源

雲服務可以将企業所需的軟硬體、資料都放到網絡上，在任何時間、地點，使用不同的IT裝置互相連接配接，實作資料存取、運算等目的。

目前，常見的雲服務有公共雲（Public Cloud）與私有雲（Private Cloud）兩種

公共雲還可細分為3個類别：

      Software-as-a-Service, SaaS（軟體即服務）
              一種通過Internet提供軟體的模式，使用者無需購買軟體，而是向提供商租用基于Web的軟體，來管理企業經營活動。

      Platform-as-a-Service, PaaS（平台即服務）
              PaaS實際上是指将軟體研發的平台作為一種服務，以SaaS的模式送出給使用者。是以，PaaS也是SaaS模式的一種應用。但是，PaaS的出現可以加快SaaS的發展，尤其是加快SaaS應用的開發速度。

      Infrastructure-as-a-Service, IaaS（基礎設施即服務）
              消費者通過Internet可以從完善的計算機基礎設施獲得服務。

4. 雲主機

雲主機是在一組叢集主機上虛拟出的多個類似獨立主機,叢集中每個主機上都有雲主機的一個鏡像,擁有自己的作業系統,完全不受其他主機的影響。

雲主機整合了計算、存儲與網絡資源的IT基礎設施能力租用服務，能提供基于雲計算模式的按需使用、按需付費能力的伺服器租用服務。

5. 雲安全

雲安全(Cloud Security)：雲及其承載的服務,可以高效、安全的持續運作。

在傳統安全的基礎上增加了虛拟安全等方面的安全防護；

  在安全裝置上可以實作虛拟化安全裝置的部署，例：雲堡壘、雲WAF

（二）雲面臨的安全挑戰

  1. 如何解決新技術帶來的新風險
    2019-2020-1學期 20192415 《網絡空間安全專業導論》第十周學習總結
  2. 如何規劃資源、資料等帶來的風險
    2019-2020-1學期 20192415 《網絡空間安全專業導論》第十周學習總結

  3. 如何落實政策、法規方面的各項要求名額的風險

    政策标準合規性，國内比較權威的：雲等保、雲可信

    一個中心三重防護：建立以計算環境安全為基礎，以區域邊界安全、通信網絡安全為保障，以安全管理中心為核心的資訊安全整體保障體系。

  4. 如何去運維管理雲及其資源的風險
    2019-2020-1學期 20192415 《網絡空間安全專業導論》第十周學習總結

（三）雲環境下的安全保障

  1. 七大主流雲安全标準

    CSA（國際）—— ENISA（歐盟）—— NIST（美國）—— OWASP（國際）—— CPNI（英國）—— SANS（美國）—— PCI-DSS（國際）

  2. 雲安全建設
    2019-2020-1學期 20192415 《網絡空間安全專業導論》第十周學習總結

問題

1.在雲計算中，“按需”是怎樣進行的？

按需(on—demand)計算 将計算機資源(處理能力、存儲等)打包成類似公共設施的可計量的服務。

在這一模式中，客戶隻需為他們所需的處理能力和存儲支付費用。

那些具有很大的需求高峰并伴有低得多的正常使用期的公司特别受益于效用計算。

當然，該公司需要為高峰使用支付更多，但是，當高峰結束，正常使用模式恢複時，他們的費用會迅速下降。

2.什麼是“程序”？

程序（Process）是計算機中的程式關于某資料集合上的一次運作活動，是系統進行資源配置設定和排程的基本機關，是作業系統結構的基礎。

在早期面向程序設計的計算機結構中，程序是程式的基本執行實體；在當代面向線程設計的計算機結構中，程序是線程的容器。

程式是指令、資料及其組織形式的描述，程序是程式的實體。

參考：https://baike.baidu.com/item/程序/382503?fr=aladdin

上一篇: 08慕課網《進擊Node.js基礎（一）》事件events
下一篇: 如何在事件代理中正确使用 focus 和 blur 事件