第四章 操作系统安全防护技术
一、操作系统概述
1.操作系统概述：20世纪70年代中期开始出现计算机操作系统
2.操作系统的位置：面向系统资源和面向用户
3.操作系统的定义：
一组控制和管理计算机硬件和软件资源
合理地对各类作业进行调度以及方便用户的程序集合
直接运行在“裸机”上的最基本的系统软件
其他任何软件都必须在操作系统的支持下才能运行
注：是连接用户和计算机硬件的接口
4.操作系统的特征：并发、共享、虚拟、异步
5.作用：管理系统中各种资源，为用户提供良好的界面
管理系统中的资源：
CPU管理、存储管理、设备管理、文件管理、网络与通信管理
操作系统为用户提供两个接口：作业控制级接口和程序级接口
功能特征：批处理操作系统、实时操作系统、分时操作系统
领域特征：桌面操作、服务器操作、嵌入式操作
二、操作系统的安全威胁
1.漏洞的定义：是指计算机系统在硬件、软件、协议的设计、具体实现以及系统安全策略上存在的缺陷和不足
2.漏洞的特性
（1）漏洞的事件局限性
（2）漏洞的广泛性
（3）漏洞的隐蔽性
（4）漏洞的被发现性
3.漏洞产生的原因：
（1）程序逻辑结构设计不合理，不严谨
（2）程序设计错误漏洞
（3）通过软件设计来表现硬件功能而产生的漏洞
4.系统漏洞的防范
（1）提升防火墙技术
（2）加强病毒防范措施
（3）注重漏洞扫描技术应用
（4）强化端口解析以及加强数据备份工作
5.漏洞扫描：对计算机系统或其他网络设备进行相关检测，找出安全隐患和可以被攻击者利用的漏洞
6.漏洞扫描必要性
（1）防火墙的局限性和脆弱性
（2）针对IDS的逃避技术
（3）网络隐患扫描系统浮出水面
7.扫描工具的选择：
（1）漏洞库中的漏洞数量
（2）扫描工具的易用性
（3）是否可以生成漏洞报告
（4）对于漏洞修复行为的分析和建议
（5）安全性
（6）工具的性能及价格
8.恶意代码
定义：指故障编制或设置的，对网络或系统会产生威胁或潜在威胁的计算机代码
恶意代码过程：
（1）寻找目标，侵入系统
（2）获得一般用户权限
（3）实施隐蔽策略
（4）触发条件
（5）实施破坏等恶意行为
恶意代码：病毒、木马、蠕虫
9.计算机病毒：编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者代码程序
计算机病毒的特性：寄生性、传染性、潜伏性、隐蔽性、破坏性、可触发性
计算机病毒的危害：
（1）破坏操作系统的处理器管理功能
（2）破坏操作系统的文件管理功能
（3）破坏操作系统的存储管理功能
（4）直接破坏计算机系统的硬件功能
10.木马的组成
（1）一个完整的木马系统是由硬件部分、软件部分和具体连接部分组成
<1>硬件部分
<2>软件部分
<3>具体连接部分（通过Internet在服务端和控制端之间建立一条木马通道所必须的元素
（2）木马的传播
<1>通过电子邮件的附件传播
<2>通过下载文件传播
<3>通过网页传播
<4>通过聊天工具的传播
（3）木马的种类：网络游戏木马、网银木马、即时通讯软件木马、网页点击木马、下载类木马、代理类木马、隐藏类木马、FTP木马
11.蠕虫病毒和普通病毒的区别
|
|
普通病毒 |
蠕虫病毒 |
| 存在形式 |
寄存文件 |
独立程序 |
| 传染机制 |
宿主程序运行 |
指令代码直接攻击 |
| 传染目标 |
本地文件 |
网络上的计算机 |
（1）蠕虫的基本结构：传播模块、隐藏模块、目的功能模块
传播模块：扫描模块、攻击模块、复制模块
（2）蠕虫的传播过程：
（扫描）、（攻击）、（复制）|
（3）特点：较强的独立性、利用漏洞主动攻击、传播更快更广
12.端口扫描威胁
（1）定义：端口扫描是指对目标计算机的所有端口发送同一信息，然后根据返回端口状态来分析目标计算机的端口是否打开或可用
（2）目的：判断目标主机上开放那些服务
判断目标主机的操作系统
13.扫描器：一种自动监测远程或本地主机安全性弱点的程序
功能：
（1）扫描目标主机识别其工作状态
（2）识别目标主机端口的状态
（3）识别目标主机系统及服务程序的类型和版本
（4）根据已知漏洞信息，分析系统的脆弱点
（5）生成扫描结果报告
14.常见服务端口：HTTP：80、FTP：21 TELNET：23 远程桌面：3389
三、操作系统安全防护
1.安全防护策略
（1）制定操作系统安全策略
（2）关闭不必要的服务
（3）关闭不必要的端口
（4）开启审核策略
（5）开启密码策略
2.补丁的分类
（1）“高危漏洞”的补丁
（2）软件安全更新的补丁
（3）可选的高危漏洞补丁
（4）其他及功能性更新补丁
（5）无效补丁
3.防火墙的定义
不需要特定的网络设备，用户在计算机上安装即可，可以设置特定的规则组织来自外部网络的攻击保护操作系统的安全
4.防火墙的功能
（1）能过滤不安全的服务和非法用户，防止为授权的用户访问内部网络
（2）能控制对内部网络的访问权，根据用户的安全策略，允许内部网络的一部分主机被外部网络访问，而另一个部分被很好的保护
（3）能对网络攻击进行监控
5.防火墙的分类
（1）软件、硬件、芯片（软件性质）
（2）单一主机式、路由器集成式、分布式防火墙（结构）
（3）(应用部署)边界、个人和混合
（4）（性能）百兆级和千兆级
（5）（采用的技术）包过滤、状态检测和应用代理
四、本章实验
第五章 应用与数据安全
一、浏览器安全
1.服务器端：网络中能对其他计算机和终端提供某些服务的计算机系统
2.客户端：一般安装在普通的客户机上，需要与服务器端互相配合运行
3.浏览器安全措施：
（1）删除和管理Cookies
（2）删除浏览器历史记录
（3）禁用ActiveX控件
C/S模式和B/S模式的区别
（1）C/S模式就是客户端/服务器模式，客户端的电脑也可以参与整个系统的事务处理，可以处理一些不需要服务器处理的事务
（2）B/S模式就是浏览器/服务器模式，浏览器端只能通过浏览程序访问服务器，显示服务器提供的信息，整个系统的事务处理都要由服务器来完成
二、网上金融交易安全
1.网上金融交易常用的安全措施有哪些
（1）U盾
（2）手机短信验证
（3）口令卡
（4）采用安全超文本传输协议
三、电子邮件安全
1.电子邮件的概念：一种用电子手段提供信息交换的服务方式
2.电子邮件的安全威胁：
（1）邮件地址欺骗
（2）垃圾邮件
（3）邮件病毒
（4）邮件炸弹
3.电子邮件安全防护技术
（1）垃圾邮件过滤技术
（2）邮件加密和签名
四、数据安全
1.数据备份的定义：是容灾的基础，是为防止系统出现操作失误或系统故障导致数据丢失，而将全部或部分数据集合，从应用主机的硬盘或阵列复制到其它异地存储介质或移动硬盘的过程
2.数据恢复
3.数据加密：PGPDisk和TrueCrypt
数据加密做到：
（1）加密过程足够强壮并覆盖整个磁盘
（2）加密密钥足够长，能够抵御暴力破解攻击
（3）加密密钥自身的机密性能够得到保障
4.数据删除
（1）硬销毁
物理销毁：消磁，熔炉中焚化和熔炼
化学销毁：使用化学用品
（2）软销毁
通过软件编程实现对数据及相关信息进行反复覆盖擦除
五、账号口令安全
1.暴力破解
又称口令穷举，就是通过计算机对所有可能的口令进行穷举尝试。
2.键盘记录木马：用户计算机中被植入键盘记录木马，当用户通过键盘输入口令时，键盘记录木马程序会记住用户输入的口令，然后木马程序通过自带邮件发送功能把记录的口令发送到攻击者指定的邮箱
3.屏幕快照木马
如果用户的计算机被植入屏幕快照木马，木马程序会通过屏幕快照将用户的登录界面连续保存为两张黑白图片，然后通过自带的发信模块将图片发送到指定邮箱。攻击者通过对照图片中鼠标的点击位置，就能破译出用户账号和口令。
4.设置口令原则
（1）严禁使用空口令
（2）严禁使用与账号相同或相似的口令
（3）不要设置简单字母和数字组成的口令
（4）不要设置短于6个字符或仅包含字母或数字的口令
（5）不要使用与个人有关的信息作为口令内容
六、本章实验
第六章 移动智能终端安全防护
一、移动智能终端
1.定义：指具有独立操作系统。可安装应用程序，使用无线局域网或移动通信访问因特网的设备。
2.分类：智能手机和平板电脑
3.功能
（1）能够访问不同模式的移动通信网络
（2）能够通过不同的网络接口访问因特网
（3）具有开放的API接口
（4）支持多任务
（5）具有多媒体功能
（6）具有GPS导航功能
1、移动智能终端具有哪些特点?
(1）具备一个具有开放性的操作系统平台,可以安装更多的应用程序,从而使智能终端的功能得到无限扩充.
（2）具备PAD功能,包括PIM(个人信息管理)、日程记事、任务安排、多媒体应用、浏览网页等功能.
( 3）具备无线接入互联网的能力,即需要支持GSM网络下的GPRS或者CDMA网络下的CDMA1X或3G网络.
（4）功能强大,扩展性强,支持多个第三方软件.
二、移动智能终端安全威胁
1.安全形势
（1）智能终端操作系统敏感权限滥用
（2）应用软件难溯源
（3）智能终端操作系统漏洞
（4）智能终端操作系统后门
2.安全威胁
（1）伪基站：“伪基站”即假基站，设备一般由主机和笔记本电脑或手机组成，通过短信群发器、短信发信机等相关设备能够搜取以其为中心、一定半径范围内的手机卡信息，利用2G移动通信的缺陷，通过伪装成运营商的基站，冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。
工作流程：（1）监听与伪装 （2）吸引手机接入 （3）发送短信 （4）踢出手机
（2）二维码的特点
《1》信息量大，编码范围广
《2》容错能力强，译码可靠性高
《3》编译简便，成本低
（3）手机病毒的危害
<1>窃取用户信息
<2>用户信息丢失
<3>破坏手机硬件
<4>发送垃圾信息
（4）恶意扣费软件：是指没有对用户进行任何提示，通过发送短信或联网等方式强制扣除用户手机话费的软件
三、移动智能终端的安全使用
1.移动终端安全使用建议
（1）注意隐私权限访问请求
（2）慎重扫描二维码
（3）从正规渠道下载应用
（4）安装安全防护软件
（5）定期备份
（6）不要登录到不安全的无线网络
（7）尽量避免访问财务或银行信息
（8）在网上浏览时不要选择“记住我”
（9）清空历史记录和缓存内容
（10）启动用户认证
（11）谨慎对待陌生信息
（12）注意安全管理终端
第七章 信息安全管理
一、信息安全管理概述
1.定义：信息安全管理(Information Security Management, ISM)，是管理者为实现信息安全目标（如信息资产的CIA等特性、业务运行的持续性）而进行计划、组织、指挥、协调和控制的一系列活动。
2.作用：保障组织的业务正常运转
二、信息安全风险管理
1.概念：是信息安全管理的基本方法，通过对单位信息资产实施一定的安全管理措施来保障信息的保密性、完整性和可用性
2.信息安全风险
（1）威胁、脆弱性、影响、资产
3.风险管理
按照GB/Z 24634-2009《信息安全风险管理指南》
信息安全的四个步骤：背景建立、风险评估、风险处理、批准监督
风险管理是一个动态发展、不断循环的过程
三、信息安全事件与应急响应
1.信息安全事件是指由于自然或者人为以及软硬件本身缺陷或故障的原因，对信息系统造成危害，或在信息系统内部发生对社会造成负面的影响。至今尚没有任何一种信息安全策略或防护措施能够对信息及信息系统提供绝对的保护，以完全避免信息安全事件的发生
应急响应施信息安全事件管理的重要内容
2.信息事件的分类
（1）有害程序事件
（2）网络攻击事件
（3）信息破坏事件
（4）信怠内容事件
（5）设备实施故障
（6）灾害性事件
（7）其他信息安全事件
3.信息安全事件的分类
（1）信息系统的重要程度
（2）系统损失
（3）社会影响
4.信息安全应急响应：指一个组织为了应对各种安全意外事件的发生所采取的防范措施，既包括预防性措施，也包括事件发生后的应对措施。
主要任务：
（1）做好预先防范
（2）安全事件发生后，尽快做出正确反应
（3）及时阻止事件的继续发展并减少损失
（4）系统恢复正常运行
（5）同时采取追踪攻击者及必要的法律行动
5.信息安全应急响应：专门处理安全事件的组织
（1）计算机网络安全事件应急组
（2）计算机安全事件响应组（CSIRT）
（3）信息安全事件响应组(ISIRT)
（4）事件响应组(IRT)
6.信息安全应急响应管理过程：准备、检测、遏制、根除、恢复、跟踪总结
四、灾难备份
1.根据GB/T20988-2007《信息系统灾难恢复规范》，灾难是指由于人为或自然的原因，造成信息系统运行严重故障或瘫痪，使信息系统支持的业务功能停顿或服务水平不可接受，通常导致信息系统需要切换到备用场地运行的突发事件。
2.灾难备份：通过技术和管理手段，对信息系统和数据进行备份，以便灾难发生后信息系统及数据能够及时恢复，系统业务连续性得以保持
备份种类：
（1）本地备份和异地备份、
（2）数据级灾备和系统级灾备
（3）完全备份和不完全备份
备份策略：
（1）执行完全备份
（2）经常执行增量备份
（3）定期执行差异备份
第八章 信息法规
一、信息保护相关法律
1.国家秘密的密级：绝密（特别严重的损害）、机密（严重的损害）、秘密（一般损害）
2.危害国家秘密安全的行为
（1）严重违反保密规定的行为
（2）定密不当的行为
（3）公共信息网络运营商、服务商不履行保密义务的行为
（4）保密行政管理部门工作人员的违法行为
定密不当：
（1）定密不当包括对应定密的事项不定密，或者对不应当定密的事项进行定密
（2）对应当定密的事项不定密，可能导致国家秘密失去保护，造成泄密
（3）对不应当定密的事项定密，会严重影响信息资源的合理利用，可能造成较大负面影响。
3.严重违反保密规定行为
（1）违反涉密信息系统和信息设备保密管理规定的行为
（2）违反国家秘密载体管理规定的行为
（3）违反国家秘密信息管理规定的行为
4.危害国家秘密安全的犯罪行为
（1）危害国家安全的犯罪行为
（2）妨碍社会管理秩序的犯罪行为
（3）渎职的犯罪行为
（4）军人违反职责的犯罪行为
5.2010年10月1日实施新的《保密法》
6.保密商业秘密相关法律法规
《中华人民共和国刑法》
《中华人民共和国反不正当竞争法》
《中华人民共和国合同法》
《中华人民共和国劳动法》
7.保护个人信息的相关法律
（1）《中国人民共和国宪法》
（2）《中国人民共和国侵权责任法》
（3）《中国人民共和国居民身份证法》
二、打击网络违法犯罪相关法律法规
1.网络违法犯罪行为
（1）破坏互联网安全的行为
（2）破坏国家安全和社会稳定的行为
（3）破坏市场经济秩序和社会管理秩序的行为
（4）侵犯个人、法人和其他组织的人身、财产等合法权利的行为
（5）利用互联网实施以上四类所列行为以外的违法/犯罪行为
2.破坏互联网运行安全的行为
（1）侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统
（2）违反国家规定，侵入计算机系统，造成危害
（3）故意制作，传播计算机病毒等破坏程序，攻击计算机系统及通信网络，致使计算机系统及通信网络遭受损害
（4）违反国家规定，擅自中断计算机网络或者通信服务，造成计算机网络或者通信系统不能正常运行
（5）违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机系统不能正常运行
（6）违反国家规定，对计算机信息系统中存贮、处理、传输的数据和应用程序进行删除、修改、增加。
3.破坏国家安全和社会稳定的行为
（1）利用互联网造谣、诽谤、或者发表、传播其他有害信息，煽动颠覆国家政权、推翻社会主义制度，或者煽动分裂国家、破坏国家统一
（2）通过互联网窃听，泄露国家秘密，情报或者军事秘密
（3）利用互联网煽动民族仇恨、民族歧视，破坏民族团结
（4）利用互联网组织邪教组织、联络邪教成员，破坏国家法律、行政法规实施
4.相关法律
《刑法》
《关于维护互联网安全的决定》
《治安管理处罚法》
三、信息安全管理相关法律法规
1.相关法律条例：
《中华人民共和国保守秘密法》中明确授权由国家保密行政管理部门主管全国的保密工作，各级行政干部负责自己所辖区域的保密工作
《中华人民共和国人民警察法》明确指出公安机关的人民警察按照职责分工
《中华人民共和国电子签名法》（2004年8月28日）对电子认证服务提供者的监管进行授权
2.网络安全法
2017年6月1日《中华人民共和国网络安全法》是我国第一部全面规范网络空间安全管理方面问题的基础性法律，是互联网在法规轨道上安全、健康运行的重要保障
（1）《网络安全法》提出网络主权原则、网络安全与信息化发展原则、共同治理原则。第一条即规定要维护我国网络空间主权，以“立法原则”的高度体现对网络空间主权的重视;第三条规定国家坚持网络安全与信息化并重，遵循积极利用、科学发展、依法管理、确保安全的方针，突出了《网络安全法》实施网络安全与信息化发展的原则;《网络安全法》要求政府、企业、社会组织、技术社群和公民等网络利益者共同参与网络空间安全的治理与维护，体现了共同治理的原则。
（2）《网络安全法》提出了制定网络安全战略，明确网络空间治理目标。第四条提出国家制定并不断完善网络空间战略，明确保障网络安全的基本要求和主要目标，第七条规定我国致力于“推动构建和平、安全、开放、合作的网络空间，建立多边、民主、透明的网络治理体系”
（3）《网络安全法》第八条规定，国家网信部门负责统筹协调网络安全工作和相关监督管理工作，国务院电信主管部门、公安部门和其他有关机关依法在各自职责范围内负责网络安全保护和监督管理工作，进一步明确了政府各部门的职责权限，完善了网络安全监管体系。
（4）《网络安全法》第五章“监测预警与应急措施”将监测预警与应急处置工作制度化、法制化，明确国家建立网络安全监测预警和信息通报制度，建立网络安全风险评估和应急工作机制，制定网络安全事件应急预案并定期演练。为建立统一高效的网络安全风险报告机制、情报共享机制、研判处置机制提供了法律依据，为深化网络安全防护体系，实现全天候全方位感知网络安全态势提供了法律保障。
（5）《网络安全法》完善了网络安全义务与责任，加大法律违法惩处力度将原来散见于各种法规、规章中的规定上升到法律层面。第四章“网络信息安全”对网络运营者等主体的法律义务和责任做了全面规定，并在第六章“法律责任”中提高了违法行为的处罚标准，加大了处罚力度。
（6）《网络安全法》第三章“网络运行安全”规范了网络运行安全，特别强调了要保障关键信息基础设施的运行安全，并通过明确关键信息基础设施运营者义务、国家审查、重要数据强制本地存储等法律措施，来确保信息基础设施的安全。