Más contenido relacionado
Más de Hsuan-Chih Wang (10)
網路安全防護
- 1. 網路安全防護
2012/4/11
1 網路規劃與分散式系統課程 by 王宣智
- 2. 何謂「資訊安全」
ISO 27001/ BS7799 – 資訊安全就是保護資訊不到
威脅、服務能夠持續運作,附低營運成本,進行替
企業贏得豐厚的獲利或贏得商機。
資訊對組織而言就是一種資產,和其它重要的營運資
產一樣有價值,因此需要持續給予妥善保護。
資訊安全
保護資訊
確保營運
2 網路規劃與分散式系統課程 by 王宣智
- 3. 狹義的「資訊安全」
目的在保護機密或敏感資料,以防制未授權的揭
露,因此注重的是資料的機密性。
著重在技術面(1970年代以前),
屬於專業導向,技術領域包括
密碼學(cryptography)
密碼技術(cryptology)
破密分析(cryptanalysis) 等
因此應用範圍以國防、軍事或外交等政府機構為
主。
3 網路規劃與分散式系統課程 by 王宣智
- 4. 廣義「資訊安全」
兼顧技術面與管理面(1980年代以後)
目的
在保護機密或敏感資料,以防制未授權的揭露、修改與運用
同時注重資料及系統資源的機密性、完整性、可取用性
兼顧管理
人員、程序、資料、硬體、軟體、實體環境等
應用更廣:
政府機構(電子化政府)、民間企業活動(電子商務)、個人居家生
活、資訊家電(information appliance,IA)
屬於生活導向,因此包括更寬的程面
國家與個人資訊保全(information safeguarding)、安全政策與管
理(security policy & management)
4 網路規劃與分散式系統課程 by 王宣智
- 5. 安全防護措施
資
資 入 訊 安
料 訊 數 身 防 防 侵 安 全
加 息 位 份 毒 火 偵 全 管
解 鑑 簽 鑑 軟 牆 測 委 理
密 別 章 別 體 系 外 計
統 管 畫
理
5 網路規劃與分散式系統課程 by 王宣智
- 6. 資料加解密
文字 亂碼 文字
文字,又稱明文(plaintext),指原本可閱讀的資訊
亂碼,又稱密文(chiphertext),係指以特定的程式或規
則轉換成無法讀取的形式
一般加解密系統主要可以區分為:
對稱式金鑰(Symmetric Key)
非對稱式金鑰( Asymmetric Key)
6 網路規劃與分散式系統課程 by 王宣智
- 7. 對稱式金鑰密碼系統
主要的特色:雙方使用相同之金鑰來進行資訊的加解密。
別稱:秘密金鑰(Secret Key)系統,秘密金鑰是相同
優點:加解密的速度較具相同安全強度的非對稱金鑰密碼系統快
缺點:必須先將秘密金鑰傳送給對方(指上圖的B),B才能在收到
文件時,進行解密。
7 網路規劃與分散式系統課程 by 王宣智
- 8. 非對稱式金鑰密碼系統
主要的特色:使用兩個不同之金鑰來進行資訊的加解密 。
別稱:公開金鑰(Public Key)系統,加解密金鑰必須成對。
RSA為目前最著名的非對稱式金鑰密碼系統。
RSA的效率與金鑰的長度有關,較長金鑰長度會有較高的安
全性,而較短的金鑰長度則有較佳的解密效率。
8 網路規劃與分散式系統課程 by 王宣智
- 9. 數位簽章
數位簽章具有不可否認的特性、鑑別的角色的特性
目得:讓接收者對於訊息的來源及其完整性更有信心。
鑑別方法:當收到具有數位簽章的訊息時,接收者可以利用簽章
來得知傳送者的身分,進而確認訊息的內容是否已遭到竄改。
若使用者在訊息上使用了數位簽章,便無法逃避曾經撰寫過此訊息
的事實。
9 網路規劃與分散式系統課程 by 王宣智
- 10. 數位簽章與雜湊函數合併使用
目得:增進簽章的運算效能。
雜湊函數的設計必須具備無法找出相同雜湊值的能
力。
概念:
減少加解密的運算量
對摘要進行處理
10 網路規劃與分散式系統課程 by 王宣智
- 11. 數位簽章與雜湊函數合併使用 -2
A將整篇訊息進行雜湊函數運算,產生訊息摘要。
訊息摘要是整封訊息的數位指紋
A用私密金鑰對訊息摘要進行簽署,再將訊息以及數位簽章寄送給B。
B收到A傳送來的訊息及數位簽章後,利用雜湊計算出訊息摘要後,再使
用A的公開金鑰來針對訊息摘要做驗證。
驗證結果相符,則可確保訊息的完整性。
11 網路規劃與分散式系統課程 by 王宣智
- 12. 身份鑑別
常用的方法:密碼管制
密碼管制措施通常應
適當的密碼複雜性及長度
不公開密碼
限制一段時間內連續嘗試的登入次數
定期更新密碼
必須確實取消離職人員之帳號密碼
X.509規格中所描述的範圍包括:
公開金鑰憑證、憑證管理、憑證路徑、目錄資料結
構、金鑰產生與管理
12 網路規劃與分散式系統課程 by 王宣智
- 13. 鑑別服務系統架構
鑑別者與被鑑別主體是鑑別服務的兩個主要參與者。
鑑別者又稱為驗證者,其可以是一個鑑別服務系統,負責執行驗證身分的工作。
被鑑別主體則是進入系統時被鑑別的對象,通常被鑑別主體可以根據是否具有主
動性、資訊交換及處理能力、資訊儲存能力,以及是否在固定場合等因素來加以
分類。
當被鑑別主體進入系統時,必須先經由鑑別服務系統來驗證身分,所以被鑑別主
體必須提出其身分的宣告資訊並交付給被鑑別宣告者,再由服務系統執行身分驗
證的工作。
通常如果被鑑別主體是一個程式,則其宣告者可以是其本身,而若鑑別主體是一
個人或是其他外部的個體,則被鑑別宣告者可以是一個系統的使用者介面程式。
13 網路規劃與分散式系統課程 by 王宣智
- 14. 可信賴第三者參與的鑑別服務系統
由於網路化社會的關係愈來愈複雜,所以鑑別服務
可能需要透過更複雜的方式來進行,而這些較複雜
的鑑別方式中,除了鑑別者與被鑑別主體外,通常
還必須有可信賴的第三者參與。
14 網路規劃與分散式系統課程 by 王宣智
- 15. 身份鑑別
鑑別服務區分成:
即時介入(In-line)
連線參與(On-line)
離線參與(Off-line)
15 網路規劃與分散式系統課程 by 王宣智
- 19. 防毒軟體
根據電腦病毒的演進,通常可以區分為下列幾種型態:
第一代
開機型病毒(Boot Strap Sector Virus)
傳統開機型病毒
隱形開機型病毒
目錄開機型病毒
檔案型病毒(File Infector Virus)
常駐型病毒
非常駐型病毒
隱形檔案型病毒
複合型病毒 (Multi-Partite Virus)
巨集病毒(Macro Virus)
千面人病毒 (Polymorphic/Mutation Virus)
蠕蟲(Warm)
19 網路規劃與分散式系統課程 by 王宣智
- 20. 防毒軟體
第二代
JavaScript、VBScript病毒
ActiveX 與JAVA病毒
特洛依木馬程式
20 網路規劃與分散式系統課程 by 王宣智
- 21. 防火牆
為什麼叫防火牆(firewall):
在現實中,為了避免遭受鄰家火災之殃,會在與其相
鄰處建築一堵高牆,而這堵牆就稱為防火牆
電腦取其概念
在需要保護的電腦(或區域網路)與不安全的網路間
設定一道防火牆,以保護電腦或網路的安全。
防火牆
位置:處於不可信任的網路與可信任的網路間
方法:根據規則允許或攔截網路間傳輸的資料。
有些使用者卻誤以為只要是非法的訊息均會被防火牆所阻
擋,其實防火牆並不是萬能的,它無法抵禦所有的攻擊。
21 網路規劃與分散式系統課程 by 王宣智
- 22. 防火牆的封包稽核
防火牆其實是一套根據特定規則來進行安全稽核的系
統,其位於網路的某個節點(通常是進出網路的必經
節點)上,並針對進出的封包進行安全稽核,只有符
合規則的封包才允許通過,不符合規則的封包就會被
丟棄。
22 網路規劃與分散式系統課程 by 王宣智
- 23. 防火牆無法防範機密的洩密
防火牆並不會針對資料的具體內容進行審核
任何人只要使用防火牆所允許的方式,任何人均可
以傳送任何資料,
23 網路規劃與分散式系統課程 by 王宣智
- 24. 防火牆的工作方式分類
封包篩選防火牆
通常只提供封包過濾功能而不中斷連線。
應用層閘道器
會隔斷傳輸雙方的直接連線。
24 網路規劃與分散式系統課程 by 王宣智
- 25. 封包篩選防火牆
封包篩選防火牆是在不可信任網路與信任網路間進行篩選,
可以有效防止外部網路的入侵行為。
封包篩選防火牆是根據篩選規則對每個封包進行分析,以判
斷是否允許該封包進出。
每個篩選規則中將會明確定義封包的各個篩選條件,只有指
定協定或連接埠的網路封包才可以通過,其他不符合規則的
封包則將會被丟棄。
25 網路規劃與分散式系統課程 by 王宣智
- 26. 應用層閘道器
應用層閘道器也可稱為代理伺服器(Proxy Server)。
應用層閘道器防火牆與封包篩選型防火牆最大的不同點在於,應
用層閘道器可以將不可信任的外部網路與內部網路完全隔斷,任
何的存取操作都必須透過應用層閘道器來處理。
26 網路規劃與分散式系統課程 by 王宣智
- 27. 防火牆的架構分類
封包篩選防火牆
單防禦主機架構
雙防禦主機架構
27 網路規劃與分散式系統課程 by 王宣智
- 28. 封包篩選防火牆
封色篩選防火牆通常只提供封包過濾功能而不中斷連線。
是最簡單的防火牆架構。
在封色篩選防火牆架構中,僅有單一的封包篩選防火牆在網
路上運作,透過篩選規則來過濾進出網路的封包。
28 網路規劃與分散式系統課程 by 王宣智
- 29. 單防禦主機的架構
防禦主機架構就是在重要的網路或主機前,建構一個
堅固的防禦主機為堡壘,以抵禦相關的入侵 。
防禦主機架構是在可信任網路與不可信任網路間先架
設一個封包篩選防火牆後,再建構具有特殊防禦能力
的主機來抵擋外來入侵,其中又以單防禦主機(Single
Bastion Host)架構最為常見 。
29 網路規劃與分散式系統課程 by 王宣智
- 30. 雙防禦主機架構
雙防禦主機架構較適用於內部網路都是可以信任的
環境 。
雙防禦主機架構能將網路切分為外部網路、內部網
路用戶端、提供服務的伺服器等三個部分 。
30 網路規劃與分散式系統課程 by 王宣智
- 31. 入侵偵測系統
駭客可以利用防火牆所允許的服務來入侵系統、使
用系統漏洞等,如此便使得這些被動的防禦性措施
失去了效果。
入侵偵測系統(Intrusion Detection System,簡稱
IDS) 是第二道的安全防線。
31 網路規劃與分散式系統課程 by 王宣智
- 32. 入侵偵測系統模組
IDS為了達到主動稽核相關操作執行程序的功能,
通常其必須包括:
資料收集模組
入侵分析模組
回應模組
32 網路規劃與分散式系統課程 by 王宣智
- 33. 入侵偵測系統
入侵分析模組設計的理念主要可以區分為:
特徵偵測(signature-based detection)
異常行為偵測(anomaly detection)
混合模式偵測(mixed and hybrid mode detection )
33 網路規劃與分散式系統課程 by 王宣智
- 34. 特徵偵測
在入侵分析模組中內建有龐大的入侵特徵資料庫。
在該資料庫中會詳細的記錄各種入侵行為的特徵。
所有操作執行程序都會先與資料庫中現存的入侵特
徵相比對,不符合入侵行為的相關操作執行程序才
會被允許通行,否則便會交由回應模組來進行後續
的處裡。
34 網路規劃與分散式系統課程 by 王宣智
- 35. 異常行為偵測
不須內建龐大的入侵特徵資料庫,使用者只須自訂一
些行為篩選規則,以對相關的操作執行程序進行監
視。
當發現到不符合規則的行為,就會立即交由回應模組
做後續處理,所以異常行為偵測型IDS不須更新及維護
龐大的入侵特徵資料庫 。
存取操作的速度較快,並且可以防範一些未知的攻
擊,而所收集的資訊也可以提供給特徵偵測型IDS做為
各種入侵攻擊方式特徵的定義參考 。
35 網路規劃與分散式系統課程 by 王宣智
- 36. 混合模式偵測型入侵偵測
將特徵偵測和異常行為偵測等兩種方式混合使用。
針對特徵偵測型入侵偵測與異常行為偵測型入侵偵
測的缺點產生互補作用,以達成高偵測率與低誤判
率的目標。
其最常用的分析法就是資料探勘分析法。
36 網路規劃與分散式系統課程 by 王宣智
- 37. 入侵偵測系統
實際安裝位置與作用的不同區分為:
主機型
網路型
37 網路規劃與分散式系統課程 by 王宣智
- 41. 優良有效的資訊安全政策與計畫
清楚且一致之政策及執行程序。
安全缺失之評估。
就已知之網路或系統缺失,進行強制性之改善。
提出入侵報告書,以為驗證缺失及改善之依據。
損害評估,以重建遭破壞系統之完整性。
危機意識訓練,以使使用者了解網路電腦安全危
機。
確認網路及系統管理者有足夠之時間與訓練。
審慎使用防火牆、智慧卡(smart card)等技術。
加強事故反應能力。
41 網路規劃與分散式系統課程 by 王宣智
- 42. 國內資訊安全相關法令規章
國家機密保護辦法
行政院所屬機關電腦設備安全暨資訊機密維護準則
行政院所屬機關資訊安全管理要點
電腦處理個人資料保護法
電腦處理個人資料保護法施行細則
機關公文電子交換作業辦法
機關公文傳真作業辦法
行政院暨所屬各級行政機關微縮作業準則
著作權法
積體電路電路佈局保護法
電腦犯罪罰則(刑法修正草案)
營業秘密法
電子簽章法
個人資料保護法
個人資料保護法施行細則(末訂出)
42 網路規劃與分散式系統課程 by 王宣智
- 43. 網路安全之迷思
密碼是安全的嗎?
公開金鑰能解決所有的問題嗎?
傳輸時加密就夠了嗎?
加密的資料就一定不會被篡改嗎?
專線和複雜的通訊協定能保證資料的安全嗎?
加密標準已經過時了嗎?
安全保密可以僅由軟體達成嗎?
全部採用經過網路安全認證的產品就可以高枕無憂
了嗎?
43 網路規劃與分散式系統課程 by 王宣智
- 45. 網路上節點是最大的安控盲點
用於外部連線的安全保密裝置僅能提供連線兩端資
料傳輸時的私密性,因此傳送與接收端或是任何網
路上經過的節點是最大的安控盲點。
45 網路規劃與分散式系統課程 by 王宣智
- 46. 古希臘羅馬時代使用之密碼技術
早在古希臘羅馬時代,人們就使用了密碼技術。
當時使用的方法很簡單,僅是把字元移位,例如
“FHFIJRNFXNSNHF”乍看之下毫無意義,其實是
把原文“ACADEMIA SINICA”裡的每一個字母往後
移五個字母位置,使得A變成F、C變為H,以此類
推,以獲得加密之文字。
46 網路規劃與分散式系統課程 by 王宣智