目录
10-2-4信息安全国际标准
可信计算机系统评估标准原则
1983年，美国国防部发布了计算机系统安全等级划分的基本准则（Tmsted Computer System Evaluation Criteria，TCSEC），并在1985年对其进行了修订。TCSEC用了可信计算基（Trusted Computing Base，TCB）这一概念，即计算机硬件与支持不可信应用及不可信用户的操作系统的组合体。TCSEC论述的重点是通用的操作系统，为了使其评判方法活用于网络，美国国家安全中心于1987年制定了一系列有关可信计算机数据库、可信计算机网络等的指南（俗称彩虹系列）。
TCSEC根据所采用的安全策略、系统所具备的安全功能将计算机系统的可信程度分为四类七个安全级别，安全性按从低到高排列分别为D、C1、C2、B1、B2、B3、A。各个级别的介绍如下。
（1）D级：安全保护欠缺级。D级为最低的保护等级，提供了最弱的安全性，是为已经通过评估但无法达到更高安全等级的系统而设定的。D级计算机系统的典型代表有DOS、Windows3.1系统等。
（2）C级：自主保护级。C级主要提供自主访间控制保护，在保证项中包括支持识别、认证和审计。C级划分了两个子级：C1级和C2级。
①C1级一—自主安全保护级；
②C2级—受控存取保护级。
C2级计算机系统的典型代表有Windows NT、Windows XP、UNIX系统等。
（3）B级：强制保护级。B级要求客体必须保留敏感标记，可信计算基利用安全标记施加强制访问控制保护。B级划分了三个子级：B1级、B2级和B3级。
①B1级—标记安全保护级；
②B2级—结构化保护级；
③B3级——安全域保护级。
（4）A级：验证保护级。A级的特点是使用形式化安全验证方法，以保证使用强制访问控制和自主访问控制的系统能有效地保护该系统存储和处理秘密信息和其他敏感信息。其中，A级是形式最高级规格，在安全功能上等价于B3级，但它必须对相同的设计运用数字形化证明方法加以验证，以证明安全功能的正确性。
信息技术安全评估准则
1989年，法、德、英、荷兰四个国家联合提出信息技术安全评估准则（Information Technology Security Evaluation Criteria，ITSEC）。ITSEC在吸收TCSEC成功经验的基础上，首次提出了信息安全的保密性、完整性、可用性的概念，把可信计算机的概念提高到了可信信息技术的高度。ITSEC对国际信息安全的研究、实施带来深刻的影响。
通用安全评估准则
1991年，美国、荷兰、法国、德国、英国以及加拿大六国联合推出了通用安全评估准则（Common Criteria of Information Technical Security，CC）（ISO/EC 15408-1），并于1995年发布了正式文件。该准则的主要思想和框架来源于欧洲的ITSEC、美国的包括TCSEC在内的新的联邦评价准则。它由三部分内容组成：介绍以及一般模型；安全功能需求（技术上的要求）；安全认证需求（非技术要求和对开发过程、工程过程的要求）。CC面向整个信息产品生存期，不仅考虑了保密性，而且还考虑了完整性和可用性多方面的安全特性，并且有与之配套的通用安全评估方法（Common Evaluation Methodology，CEM）。CC吸收了各先进国家对现代信息系统信息安全的经验与知识，对之后的信息安全的研究与应用产生了很大的影响。
BS 7799标准
BS 7799标准是由英国标准协会（British standards nsitute，BSI）制定的信息安全管理标准，是国际上具有代表性的信息安全管理体系标准，包括两部分：BS799.1《信息安全管理实施细则》；BS7799.2《信息安全管理体系规范》。BS7799-1于2000年通过国际标准化组织认可，正式成为国际标准，即ISOIEC17799，2007年被更新为ISO/IEC27002《信息安全管理实践规则》。BS7799-2于2005年被ISO采纳为ISO/IEC27001《信息安全管理体系规范要求》。BS7799-1《信息安全管理实施细则》是组织建立并实施信息安全管理体系的一个指导性的准则，BS7799-2以BS7799-1为指南，详细说明按照“规划、实施、检查、处置（Plan Do Check Act，PDCA）”进行质量管理模型的建立、实施及文件化信息安全管理体系设置的要求。
ISO/IEC 27000系列标准
ISO27000起源于英国的BS7799标准系列，以保证组织业务的连续性、缩减业务风险、最大化投资收益为目的。该系列标准为组织实施安全管理提供了指导，使组织可以建立比较完整的信息安全管理体系，实现制度化及以预防为主的信息安全管理方式，增加信息安全技术措施的效能。ISO/IEC27001《信息安全管理体系规范要求》（Specification for Information Security Management Systems）和ISO/IEC27002《信息安全管理实践规则》是ISO/IEC27000系列中最主要的两个标准。ISO/IEC27001《信息安全管理体系规范要求》，是在组织内部建立信息安全管理体系（Infomiation securiy Manaecnment Systems，ISMS）的一套规范，目的是通过规范的过程延立适合组织实际要求的信息安全管理体系。
ISO/IEC27001《信息安全管理体系规范要求》采用了PDCA的质量管理理念建立、执行和维护信息安全管理体系，详细说明了ISMS的规划与建立、实施与运行、监控与评审、保持与改进四个阶段的基本要求，并指出这是一个循环迭代的提高过程。
ISO/IEC27002《信息安全管理实践规则》提出了在组织内部启动、实施、保持和改进信息安全管理的指南和一般原则。它将需要实施管理控制的对象分为11类：安全策略、组织信息安全、资产管理、人力资源安全、物理和环境安全、通信和操作管理、访问控制、信息系统的获取或开发与维护、信息安全事故管理、业务连续性管理和兼容性。针对这11类控制项ISO/IEC27002还提供了具体的控制目标和控制措施。
10-2-5我国的网络安全等级保护和涉密信息系统分级保护
网络安全等级保护
2003年，国家信息化领导小组通过了我国信息安全保障工作的重要政策性指导文件《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发（2003）27号），文件中提出实行信息安全等级保护，建立国家信息安全保障体系的明确要求。
2004年，公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室联合下发了《关于信息安全等级保护工作的实施意见》（公通字（2004）66号），明确了信息安全等级保护的重要意义、原则、基本内容、工作职责分工、要求和实施计划。在职能分工上，公安机关负责信息安全等级保护工作的监督、检查和指导；国家保密工作部门负责等级保护工作中有关保密工作的监督、检查和指导；国家密码管理部门负责等级保护工作中有关密码工作的监督、检查和指导；国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间的协调。
2007年公安部、国家保密局、国家密码管理局和国务院信息化工作办公室颁布实施《信息安全等级保护管理办法》（公通字（2007）43号）及其配套的标准《信息系统安全等级保护定级指南》（GB/T22240-2008）。
在2017年6月1日《中华人民共和国网络安全法》（简称《网络安全法》）开始正式实施以后，信息安全等级保护体系全面升级为网络安全等级保护，等级保护进入2.0时代。
2019年5月，《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）发布，并于2019年12月1日开始正式实施。
《网络安全法》强调在网络安全等级保护制度的基础上，对关键信息基础设施实行重点保护，明确关键信息基础设施的运营者负有更多的安全保护义务，并配以国家安全审查、重要数据强制本地存储等法律措施，确保关键信息基础设施的运行安全。
《网络安全法》第二十一条明确要求，国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
（四）采取数据分类、重要数据备份和加密等措施；
（五）法律、行政法规规定的其他义务。
《网络安全法》第三十一条明确要求，国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。
网络安全等级保护的对象是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统，主要包括基础信息网络、云计算平台/系统、大数据应用/平台/资源、物联网、工业控制系统和采用移动互联技术的系统等。等级保护对象根据其在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由低到高被划分为以下五个安全保护等级。
（1）第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
（2）第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
（3）第三级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成特别严重损害，或者会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
（4）第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
（5）第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
对于基础信息网络、云计算平台、大数据平台等支撑类网络，应根据其承载或将要承载的等级保护对象的重要程度确定其安全保护等级，原则上应不低于其承载的等级保护对象的安全保护等级。《网络安全等级保护定级指南》规定，原则上，大数据安全保护等级不低于第三级。对于确定为关键信息基础设施的，原则上，其安全保护等级不低于第三级。
网络安全等级保护的核心是保证不同安全保护等级的对象具有相适应的安全保护能力。网络安全等级保护从技术和管理两个方面提出安全要求，强调对等级保护对象的安全防护应考虑从通信网络到区域边界再到计算环境的从外到内的整体防护。同时，还要考虑对其所处的物理环境的安全防护，形成纵深防御体系。对级别较高的等级保护对象还需要考虑对分布在整个系统中的安全功能或安全组件的集中技术管理手段，以保证等级保护对象整体的安全保护能力。
涉密信息系统分级保护
2004年12月，中央保密委员会下发了《关于加强信息安全保障工作中保密管理的若干意见》（中保委发（204）7号），明确提出建立健全涉密信息系统分级保护制度。
2005年12月，国家保密局下发了《涉及国家秘密的信息系统分级保护管理办法》，同时，《中华人民共和国保守国家秘密法》修订草案也增加了网络安全保密管理的条款。
不同类别、不同层次的国家秘密信息，对于维护国家安全和利益具有不同的价值，因而需要不同的保护强度和措施。对不同密级的信息，应当合理平衡安全风险与成本，采取不同强度的保护措施。
涉密信息系统实行分级保护，先要根据涉密信息的涉密等级、涉密信息系统的重要性、遭到破坏后对国计民生造成危害的程度，以及涉密信息系统必须达到的安全保护水平来确定信息安全的保护等级；涉密信息系统分级保护的核心是对信息系统安全进行合理的分级、按标准进行建设、管理和监督。国家保密局专门对涉密信息系统的分级保护制定了一系列的管理办法和技术标准，目前，正在执行的两个分级保护的国家保密标准是《涉及国家秘密的信息系统分级保护技术要求》（BMB17-2006）和《涉及国家秘密的信息系统分级保护管理规范》（BMB20-2007）。这两个标准从物理安全、信息安全、运行安全和安全保密管理等方面，对不同级别的涉密信息系统实施明确的分级保护措施，从技术要求和管理标准两个层面解决涉密信息系统的分级保护问题。
涉密信息系统安全分级保护根据其涉密信息系统处理信息的最高密级，可以划分为秘密级、机密级和机密级（增强）、绝密级三个等级。
（1）秘密级：信息系统中包含最高为秘密级的国家秘密，其防护水平不低于国家信息安全等级保护三级的要求，并且还必须符合分级保护的保密技术要求。
（2）机密级：信息系统中包含最高为机密级的国家秘密，其防护水平不低于国家信息安全等级保护四级的要求，还必须符合分级保护的保密技术要求。属于下列情况之一的机密级信息系统应选择机密级（增强）的要求：信息系统的使用单位为副省级以上的党政首脑机关，以及国防、外交、国家安全、军工等要害部门；信息系统中的机密级信息含量较高或数量较多；信息系统使用单位对信息系统的依赖程度较高。
（3）绝密级：信息系统中包含最高为绝密级的国家秘密，其防护水平不低于国家信息安全等级保护五级的要求，还必须符合分级保护的保密技术要求。绝密级信息系统应限定在封闭的安全可控的独立建筑内，不能与城域网或广域网相连。
11-我国信息安全法律法规
即使技术和管理手段再完善，也不可能完全避免非法攻击和网络信息犯罪行为，因此，信息网络安全需要法律为其提供保障。通过信息安全法律法规，依法打击网络犯罪，维护网络安全；依法规范个人信息的收集与利用，保护隐私权；确保电子合同的效力，促进电子商务的发展；规范网上信息发布、传播和传输行为，确保信息安全。
我国颁布的与信息安全相关的法律主要包括《中华人民共和国刑法》《全国人民代表大会常务委员会关于维护互联网安全的决定》《中华人民共和国电子签名法》《中华人民共和国国家安全法》《中华人民共和国网络安全法》以及《中华人民共和国密码法》等。
1.《中华人民共和国刑法》
《中华人民共和国刑法》中，关于计算机犯罪的条款包括如下几项。
第二百八十五条【非法侵入计算机信息系统罪；非法获取计算机信息系统数据、非法控制计算机信息系统罪；提供侵入、非法控制计算机信息系统程序、工具罪】违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。
第二百八十六条【破坏计算机信息系统罪；网络服务渎职罪】违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役，后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。
第二百八十六条之一【拒不履行信息网络安全管理义务罪】网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金：
（一）致使违法信息大量传播的：
（二）致使用户信息准露，造成严重后果的；
（三）致使刑事案件证据灭失，情节严重的；
（四）有其他严重情节的。
第二百八十七条【利用计算机实施犯罪的提示性规定】利用计算机实施金融诈骗、盗窃贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚。
第二百八十七条之一【非法利用信息网络罪】利用信息网络实施下列行为之一，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金：
（一）设立用于实施诈骗、传授犯罪方法、制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组的；
（二）发布有关制作或者销售毒品、枪支、淫秽物品等违禁物品、管制物品或者其他违法犯罪信息的；
（三）为实施诈骗等违法犯罪活动发布信息的。
第二百八十七条之二【帮助信息网络犯罪活动罪】明知他人利用信息网络实施犯罪，为其犯罪提供互联网接入、服务器托管、网络存储、通讯传输等技术支持，或者提供广告推广支付结算等帮助，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。
2.《全国人民代表大会常务委员会关于维护互联网安全的决定》
该法规于2000年12月28日第九届全国人民代表大公常务委员会第十九次会议通过，是我国专门针对互联网应用过程中出现的运行安全和信息安全制定的法律，该单行法律的出台对于促进我国互联网的健康发展，保障互联网络的安全，维护我国社会、公民和法人及其他组织的合法权益具有重要意义。
3.《中华人民共和国电子签名法》
《中华人民共和国电子签名法》由中华人民共和国第十届全国人民代表大会常务委员会于2004年8月28日通过并于2005年4月1日起施行，该法是我国首部真正电子商务意义上的立法，充分考虑了我国电子商务及认证机构的实际情况，针对我国电子商务发展中最为重要的一些法律问题，从确定电子签名的法律效力、规范电子签名的行为、明确认证机构的法律地位及电子签各的安全保障措施等多个方面做出了具体规定，极大地保进了我国电子商务和电子政务的发展。
4.《中华人民共和国国家安全法》
《中华人民共和国国家安全法》由中华人民共和国第十二届全国人民代表大会常务委员会第十五次会议于2015年7月1日通过，并自公布之日起施行。《中华人民共和国国家安全法）首次提出网络空间主权这一概念。在互联网时代，国家疆域以陆地、海洋、空间、太空、网络空间五维格局的形式呈现，网络空间主权随之出现。
第二十五条国家建设网络与信息安全保障体系，提升网络与信息安全保护能力，加强网络和信息技术的创新研究和开发应用，实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控；加强网络管理，防范、制止和依法惩治网络攻击、网络入侵、网络窃密、散布违法有害信息等网络违法犯罪行为，维护国家网络空间主权、安全和发展利益。
5.《中华人民共和国网络安全法》
《中华人民共和国网络安全法》由中华人民共和国第十二届全国人民代表大会常务委员会第二十四次会议于2016年11月7日通过，自2017年6月1日起施行。
《中华人民共和国网络安全法》是国家实施网络室间管理的第一部法律，是我国网络空间法治建设的重要里程碑。其作为我国信息网络安全领域的基础性法律，框架性地构建了许多法律制度和要求，重点包括网络信息内容管理制度、网络安全等级保护制度、关键信息基础设施安全保护制度、网络安全审查、个人信息和重要数据保护制度、数据出境安全评估、网络关键设备和网络安全专用产品安全管理制度、网络安全事件应对制度等。
对于国家来说，《网络安全法》涵盖了网络空间主权、关键信息基础设施的保护条例，有效维护了国家网络空间主权和安全；对于个人来说，《网络安全法》明确加强了对个人信息的保护，打击网络诈骗，从法律上保障了广大人民群众在网络空间的利益；对于企业来说，《网络安全法》则对如何强化网络安全管理、提高网络产品和服务的安全可控水平等提出了明确的要求，指导着网络产业的安全、有序发展。
6.《中华人民共和国密码法》
《中华人民共和国密码法》于2019年10月26日第十三届全国人民代表大会常务委员会第十四次会议通过，自2020年1月1日起施行。
密码是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。
密码是国家重要战略资源，是保障网络与信息安全的核心技术和基础支撑。密码工作是党和国家的一项特殊重要工作，直接关系国家政治安全、经济安全、国防安全和信息安全。密码法立法的目的是规范密码应用和管理，促进密码事业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益。
《中华人民共和国密码法》中将密码分为核心密码、普通密码和商用密码。核心密码、普通密码用于保护国家秘密信息，核心密码保护信息的最高密级为绝密级，普通密码保护信息的最高密级为机密级。核心密码、普通密码属于国家秘密。密码管理部门依照本法和右关法律、行政法规、国家有关规定对核心密码、普通密码实行严格统一管理。商用密码保护网络与信息安全。
信息安全相关法规
我国信息安全的相关法规主要有以下几部。
（1）《中华人民共和国计算机信息系统安全保护条例》。于1994年2月18日发布实施，规定了公安部门主管全国计算机信息系统安全保护工作的职能。
（2）《中华人民共和国电信条例》。于200年9日2写日发布，对信息安全特别是电信安全提供了安全保护方法，分别于2014年7月29日和2016年2月6日进行了第一次和第二次修订。
（3）《互联网信息服务管理办法》。于2000年9月25日公布实施，主要对利用互联网提供信息服务的单位或个人的相关行为做出了明确的规范。
（4）《中华人民共和国计算机信息网络国际联网管理暂行规定》。于1996年2月1日发布，
1997年5月20日修正。
（5）《商用密码管理条例》。于1999年10月7日发布，目的是加强商用密码管理，保护信息安全，保护公民和组织的合法权益，维护国家的安全和利益。
（6）《最高人民法院关于审理涉及计算机网络著作权纠纷案件适用法律若干问题的像释》。于200年11月22日通过，12月21日起施行：于203年12月23日修改，2004年月7日起施行。
（7）《最高人民法院关于审理涉及计算机网络域名民事纠纷案件适用法律若干问题的解释》。于2001年6月26日发布。
（8）《全国人民代表大会常务委员会关于加强网络信息保护的决定》，于2012年12月21日第十一届全国人民代表大会常务委员会第三十次会议通过。该《决定》首次将个人信息护从各部门法和部委规章中的零散规定提升到单独的法律规范层面。
这些信息安全法律法规的颁布为我国加强网络时代信息安全的保护和打击信息安全违犯罪活动奠定了法律的基础，极大地促进了我信息化建设事业的健康发展。
12口令攻击和口令安全
12-1口令攻击
12-1-1口令攻击分类
在物联网技术越来越普及的今天，越来越多的设备可以通过Internet在线访问，与此同时，用户名与口令依然是最主要的认证方法。如果通过某种攻击方法得到了用户名与口令，那么攻击者就可以随意地访问各种资源。所以口令攻击是攻击者最喜欢采用的入侵在线网络的方法。
按照实际攻击场景可将口令攻击分为以下三种。
（1）针对在线登录界面的口令猜测攻击。例如，邮箱登录界面、Windows IPC服务与远程桌面服务、数据库服务等各种在线登录界面。
（2）针对明文传输口令的嗅探攻击。例如，HTTP、FTP等协议会以明文传输密码。
（3）针对加密的口令文件或口令数据包的暴力破解攻击。例如，UNIX的口令文件，或者抓取到的Wi-Fi接入的握手数据包，拖库攻击得到的用户口令散列值等。
上述的第一种是在线主动攻击；第二种是在线被动攻击，即不主动向目标发送数据；第三种可归类为离线攻击，因为其主要工作原理是针对所获取数据，通过暴力破解获取口令。
12-1-2口令猜测
上述的不论是在线的口令猜测，还是离线的口令破解，都需要预先准备一些口令，然后使用这些准备好的口令去尝试，看能否通过验证。准备这些口令的方法主要有以下三种。
1.口令穷举
口令穷举又称为暴力破解（Brute-force Attack），一般是指穷举口令的字符空间，再依次尝试。如果口令是只允许有字母与数字，且长度为8，则所有组合的可能性就是 这是一个非常大的数字，所以使用口令穷举是非常耗时、耗力的，攻击者需要使用特别大的计算资源，或者耗费特别长的计算时间。
2.字典攻击
字典攻击就是使用口令空间中的一个小集合进行尝试，被选中的所有候选口令就构成了字典。通常，字典就是一个大的文本文件，每行为一个候选口令。如最流行的弱口令“12345678”，基本上每个字典中都会有。字典可以从网上下载，也可以使用工具通过规则生成，还可以根据具体的攻击目标量身定做。
3.撞库攻击
撞库是指攻击者通过收集网络上已泄露的用户名、口令组合，再使用这些组合尝试登录其他网站的攻击方式。由于很多用户在不同的网站使用相同的用户名和口令，因此一旦某个网站受到拖（数据）库攻击，被窃取了所有注册用户的用户名密码信息，攻击者就可以利用这些信息攻击其他站点。近几年常有一些非常知名的大型网站受到拖库攻击，攻击者很容易就可以获得几百万、上千万的用户信息。
一般的口令猜测都是首先使用上述方式得到候选口令，然后存储到字典中，最后结合自动化的工具，依次尝试直到成功。
12-2口令安全
12-2-1不安全的口令
从理论上说，任何口令都是不安全的，因为无论设置的口令是多么牢不可破，但如果给一名破解者无限的时间去破解，他总是可以用穷举法把这个口令猜出来。但是，在实际上，选择一个安全的口令可以提高系统的安全性，因为很少有攻击者有足够的耐心和时间去破解一个口令。现实生活中口令存在的安全隐患一般都不是技术上的原因，是足够安全的，大多数都是由于人类的惰性导致的。
例如，曾经有人做过这样的一个实验，请100名大学生写出两个用于计算机的口令，并告诉他们这两个口令非常重要，并且将来的使用率也很高，要求他们慎重考虑。测试结果如下：
- 用自己的中文拼音者最多—37人；
- 用常用的英文单词—23人；
- 用计算机中经常出现的单词—18人；
- 用自己的出生日期—7人。
以下几类密码极其不安全：
- 任何名字，包括人名、计算机名、软件名，尤其是与用户名相同的口令。
- 一些常用的词；
- 电话号码或者某种执照的号码；
- 社会保障号码；·任何人的生日；
- 其他很容易得到的关于自己的信息。在英语词典或者外语词典中的词；
- 地点名称或者一些名词；
- 键盘上的一些词。
如何选取口令
安全专家建议，真正安全的口令应该是没有任何规律的，长度至少为八位，同时包含大小写英文字母，并由字母、数字和特殊符号（标点符号、控制字符和空格）组合而成，例如，WA6Sg~9p。
保持口令的安全
口令的安全性是一个涉及多方面的整体问题，只单纯地提高口令本身的安全性是不行的。即使你选择了一个让攻击者需要一百年才能破解的口令，但是口今也可能会通过其他途径泄露给攻击者。所以最重要的还是要有安全意识，注意以下几点：
- 不要将口令写下来；
- 不要让别人知道自己的口令；
- 不要交替使用两个口令；
- 不要在不同系统上使用同一口令。
13恶意代码检测
13-1软件逆向
13-1-1静态分析方法
静态分析方法是指在不运行恶意代码的情况下，利用分析工具对恶意代码的静态特征和功能模块进行基本分析的方法。静态分析方法主要用于发现恶意代码的特征码、得到功能模块和各个功能模块流程图等。该方法可以避免执行过程对系统的破坏。
静态分析方法属于逆向工程分析方法。从理论上说，静态分析方法通常主要包括以下几种方法。
（1）静态反汇编分析，是指分析人员借助调试器来对代码样本进行反汇编，并对反汇编后的程序中的汇编指令码和提示信息进行分析。
（2）静态源代码分析，是指在拥有二进制程序的源代码的前提下，通过分析源代码来理解程序的功能、流程、逻辑判定以及程序的企图等。
（3）反编译分析，是指将经过优化的机器代码恢复到源代码形式，再对源代码进行程序执行流程的分析。
从实践操作层面来说，分析难度较大的是无源码的EXE类型的恶意代码。针对这种类型的恶意代码的具体静态分析过程可以分为如下几步。
（1）利用反病毒引擎或病毒在线测试网站对恶意代码进行初步扫描，确认是否为已知病毒。
（2）对EXE型的未知恶意代码进行查、脱壳处理。
（3）对脱壳后的恶意代码调用APl及字符串信息进行基本分析，初步确定其主要功能、对本地文件的操作及网络连接等直观信息。
（4）使用反汇编分析工具对脱壳后的恶意代码进行反汇编分析，在之前分析所得直观息的基础上，重点分析程序结构、调用函数、主要参数、代码特征等信息。同时为动态分所需要的指令、参数、地址提供支持。
13-1-2动态分析方法
动态分析方法是指监视恶意代码的运行过程来了解恶意代码功能，根据分析过程中是需要考虑恶意代码的语义特征可分为外部观察法和跟踪调试法两种。
1.外部观察法
通过分析恶意代码运行过程中系统环境的变化来判断恶意代码的功能。通过观察恶意码运行过程中系统文件、配置和注册表的变化就可以分析恶意代码的自启动实现方法和进隐藏方法；通过观察恶意代码运行过程中的网络活动情况就可以了解恶意代码的网络功能这种分析方法相对简单，且效果明显，因此已经成为分析恶意代码的常用手段之一。
2.跟踪调试法
通过跟踪恶意代码执行过程使用的系统函数和指令特征来分析恶意代码的功能。在实践过程中有两种方法：一种是单步跟踪，即监视恶意代码的每一个执行步骤，能够全面监视执行过程，但该方法比较耗时；另一种是利用系统Hook技术监视恶意代码执行过程中的系统调用和API使用状态，这种方法经常用于恶意代码检测。
| 分析方法 | 目的 | 主要工具 |
|---|---|---|
| 快照比对 | 获取恶意代码行为结果 | FileSnap、RegSnap |
| 动态行为监控 | 实时监控恶意代码的动态行为轨迹 | FileMon、RegMon |
| 网络监控 | 分析恶意代码监听网络的端口及其发起的网络会话 | Fport、ipconfig命令 |
| 沙盒 | 在受控环境下进行完整的恶意代码动态行为监控与分析 | Norman Sandbox |
| 动态跟踪调试 | 简单调试恶意代码程序，理解程序结构和逻辑 | IDA Pro |
分析恶意代码需要经历以下步骤
（1）利用静态特征分析的方法分析恶意代码的行为特征，对恶意代码可能的功能、对本地文件的操作以及网络连接的基本信息等进行基本判断。
（2）结合第一步的分析，重点观察恶意代码运行过程中对系统文件、注册表和网络通状态等的影响，从而进一步确认恶意代码实现的功能。由于这种分析方法需要实际运行代码，可能会对分析所依赖的系统构成严重的安全威胁，因此一般的处理方法是在可控（如虚拟机）内运行恶意代码。
（3）通过反汇编进行静态语义分析，深入分析恶意代码的功能模块、参数情况、核心函数等具体功能和实现方式。
（4）结合第三步的静态语义分析，同时应用跟踪调试的动态分析方法，重点观测静态分析过程中不太明确的区域，确定静态结果，明确恶意代码的准确功能。
14访问控制与授权
14-1访问控制
14-1-1访问控制概述
身份认证是信息安全系统中的第一道防线，是用户获得系统访问授权的第一步。在信息安全系统完成对用户的身份识别之后，便根据用户身份决定其对信息资源的访问请求权限。
这就是访问控制（Aces Control）。
访问控制包括三个要素：主体、客体和访问策略。
（1）主体是指发出访问操作和存取要求的发起者或主动方，通常可以是用户或用户的某个进程等。
（2）客体是指被访问的对象，包括所有受到访问控制保护的资源，覆盖范围很广，可以是被调用的程序或进程，也可以是要存取的数据或信息，还可以是要访问的文件，系统或各种网络服务和功能等资源。
（3）访问策略，也称控制策略，是指主体对客体进行访问的一套规则，用以确定一个体是否拥有对客体访问的权限。
访问控制基本原则
（1）最小特权原则
最小特权是指“在完成某种操作请求时所赋予系统中每个主体（例如，用户或者进程必需的特权”。最小特权原则就是指“应限定系统中每个主体所应具备的必需的且最小的特权从而确保由于可能发生的错误或事故等造成的损失最小”。
最小特权原则使用户所拥有的权限不能超过其执行工作时所需的权限。一方面，最小梯权原则对主体赋予了“必不可少”的特权，保证了所有主体均能在所指定的特权范围内完成所需完成的操作或任务；另一方面，该原则只赋予主体“必不可少”的特权，从而限制了每一个主体所能进行操作的范围。
（2）多人负责原则
多人负责即权力分散化，对于关键任务需要在功能上进行划分，由多人共同承担，确保没有任何个人能够具有完成该项任务全部的授权信息。例如，通过将重要密钥分割，并由多人分别持有该密钥的一部分，来防止由于一个人拥有全部密钥造成完全复制的安全问题。
（3）职责分离原则
职责分离是指将不同的责任分派给不同的人员以达到互相牵制的目的，如收款员、出员、会计应由不同的人员担任。同样地，在信息系统中也要有职责分离，以避免安全上的洞，有些用户级别不能同时被同一用户获得，如同一用户不能既是系统管理员又是审计员。
14-1-2常见的访问控制技术
根据访问控制策略类型的差异，早期的访问控制技术分为自主访问控制（Discretionary Access Control，DAC）和强制访问控制（Mandatory Access Control，MAC）两种类型。但是，随着计算机和网络技术的发展，自主访问控制、强制访问控制已经不能满足实际应用的需求，为此人们提出了基于角色的访问控制模型（Role-Based Access Control，RBAC）。RBAC将用户映射到角色，用户通过角色享有许可。该模型通过定义不同的角色、角色的继承关系、角色之间的联系以及相应的限制，动态或静态地规范用户的行为。作为现在访问控制模型研究的基石，RBAC一直是访问控制领域的研究热点。
随着信息技术的发展以及分布式计算的出现，各种信息系统通过因特网互联、互接的趋势越来越明显。单纯的RBAC模型已经不能适应这种新型网络环境的要求。为了保证信息访间的合法性、安全性以及可控性，访问控制模型需要考虑环境和时态等多种因素。在开放式网络环境下，信息系统要求对用户和信息资源进行分级的访问控制和管理，“域”的概念被顺理成章地引入了访问控制模型的研究中，先后出现了基于任务的访问控制模型、面向分布式的访问控制模型和与时空相关的访问控制模型。泛在计算、移动计算、云计算等新型计算模式的品现推动了互联网的进步，同时也为访间控制模型的研究提出了新的挑战。在具有异构性和多样性特征的网络环境下，访问控制技术向细粒度、分层次的方向发展，授权依据开始逐渐面向主、客体的安全属性，因此出现了基于信任、基于属性和基于行为等一系列基于安全属性的新型访问控制模型及其管理模型。
本节将主要介绍自主访问控制、强制访问控制、基于角色的访问控制和基于任务的访问控制，简略介绍面向分布式的访问控制、与时空相关的访问控制、基于信任的访问控制、基于属性的访问控制和基于行为的访问控制等技术。
1.自主访问控制
自主访问控制（DAC）是根据访问者和（或）它所属组的身份来控制对客体目标的授权访问。自主访间的含义是具有访问许可的主体可以直接或者间接地向其他主体进行访问权限的转让。自主访问控制机制在确认主体身份及其所属组的基础上，对主体的活动进行用户权限、访问属性（例加，读、写、执行）等管理，是一种较为普遍的访问控制方法。自主访问控制中的主体可以依据自己的意愿决定哪些用户可以对他们的资源进行访问，即该主体具有自主决定的权力，该主体可以选择性地与其他主体共享自己的资源。Linux、UNIX、Windows操作系统基本都提供自主访问控制的功能。
自主访问控制（DAC）的优点是具有相当的灵活性，主体能够自主地将自己所拥有客体的访问权限赋予其他主体或从其他主体那里撤销所赋予的权限，因此，自主访问控制广泛应用在商业和工业环境中。自主访问控制的不足是用户之间可以进行任意的权限传递，例如，用户A可将其对客体O的访问权限转授予用户B，使不具备对客体O访问权限的用户B也可以访问O。这种访问权限的转移很容易产生安全漏洞，使得客体的所有者最终都不能控制对该客体的所有访问权限。因此，自主访问控制提供的安全防护水平是比较低的，并不能给系统提供充分的保护。
2.强制访问控制
强制访问控制（MAC）又称为基于格的访间控制（Latice Based Access Control，LBAC），是基于主体和客体的安全标记来实现的一种访问控制策略。强制访问控制需要“强加”给系统主体，即系统强制访问主体服从指定的访问控制策略。在强制访问控制中，需要对所有主体及其所控制的客体（如进程、文件、设备）等实施强制访问控制，并为这些主体及客体分配一个特殊的安全属性，如文件的密级（绝密级、机密级、秘密级或无密级）可以作为文件的安全属性。这些安全属性是实施强制访问控制的依据，主体不能改变自身或者任意客体对象的安全属性，即不允许单个用户决定访问权限，只有特定的系统管理员才能确定用户和用户组的访问权限。系统通过比较主体和客体的安全属性来决定一个主体是否能够访问某个客体。而且，强制访问控制不允许某个进程产生共享文件，因此，它能够防止进程通过共享文件将信息从一个进程传送到另一个进程。
一般地，强制访问控制通常采用如下几种方法实现。
- 限制访问控制
- 过程控制
- 系统限制
3.基于角色的访问控制
前述的两种访问控制策略都存在的缺点是将主体与客体绑定在一起，在进行授权时，必须对每个主客体对指定访问规则，容易导致在主体与客体数量达到较高的数量级后，授权描述工作将十分困难的问题。20世纪90年代以后，随着在线多用户、多系统研究工作的不断深入开展，角色的概念逐渐形成，因此产生了基于角色的访问控制（Role-Based Acess Control，RBAC）。
基于角色访问控制的要素包括用户、角色和许可等，关系如图
用户就是一个可以独立访问计算机系统中数据或用数据表示的其他资源的主体。
角色是指一个组织或任务中的工作或者位置，它代表了一种权利、资格和责任。角色代表了具备某种能力的人或某类属性的人的抽象，角色和组的主要区别在于：用户属于的组相对固定，而用户可以被分配哪些角色则受时间、位置、事件等诸多因素影响。
许可（权限）是指允许主体对一个或者多个客体执行操作的描述。一个用户可通过授权而具有多个角色，一个角色也可由多个用户组成；每个角色可指定多种许可，每个许可亦可授权给多个不同的角色。每个操作可以施加给多个客体（受控对象），同时，每个客体也可以接受多种操作。
14-2授权
访问控制（Access Control）与授权（Authorization）的主要任务是确保信息系统的资源不被内部、外部人员非正常访问和非法使用，是保障信息系统安全的重要防范和保护策略，是维护信息系统安全的重要手段。同时，各类安全策略必须互相配合，才能更好地起到保护作用。
授权是资源所有者或控制者授予其他人访问或使用此资源的权限，授权也是确定用户访问权限的机制。访问控制策略在系统安全策略级上表示授权，访问控制是一种加强授权的方法。资源包括信息资源、处理资源、通信资源和物理资源。授权是访问控制的核心，即控制不同用户对各种资源的访问权限。一般地，对授权控制的要求有如下几个方面：
- 一致性——对资源的控制没有不一致性，各种定义之间不冲突；
- 统一性——对所有资源进行管理控制时，统一贯彻安全策略；
- 可审计性一—对所有授权都要有记录、可审查。
可以拓展研究一下PMI（授权管理基础设施）