Computer Security Principles and Practice Chapter 1

Computer Security: Principles and Practice Chapter 1 – Overview First Edition by William Stallings and Lawrie Brown

Questionnaires Ø What is security ? computer security? Please list something you know about it. Ø What are the differences between computer security, information security, network security, DB security, web security, internet security, software security, soft/hard security, (to name just a few) ? security, ( Ø What is active/passive attack? Replay? traffic analysis? DDo. S? 黑客？白客？红客？

Requirement Ø 教材：Mandatory to buy textbook, En/CN Ø 考勤：Should arrive, no listening is OK but don’t destroy the course order Ø 教学方式：有别于传统的课堂教学，除必 要讲的基本概念外，大部分由项目和实践 来完成。 Ø 课堂提问：自行求解课堂提问，于下次课 给大家讲。 Ø 考核： 1、一次攻击实验，现场演示； 2、一篇论文，文 献综述或小论文； 3、一次讲课或报告。

Overview Computer Security: protection afforded to an automated information system in order to attain the applicable objectives of preserving the integrity, availability and confidentiality of information system resources (includes hardware, software, firmware, information/data, and telecommunications). （NIST）

Security Organizations Ø Standards: NIST(美国国家标准与技术研究所)、Internet Society（互联网协会）、ITU-T（国际电信 联盟-标准化部门）、ISO（国际标准化组 织） Ø Management： CMU CERT/CC（1988. 1）、FIRST（ 1990. 11）

CERT/CC的职责 Ø WPDRRC（预警、保护、检测、反应、恢 复和反击）信息安全保障体系中，应急响 应与救援处于一个重要的环节，CERT/CC 是实现信息安全保障的核心组织体现。目 前各国的CERT/CC主要提供以下几种基本 服务：安全事件的热线响应/检查入侵来源/ 恢复系统正常 作/事故分析、发布安全警 报、安全公告、安全建议/咨询/风险评估/安 全教育培训/协助其他组织成立自己的CERT ，建立网络应急与救援队伍

In China Ø Ø Ø Ø 20 CN网络安全小组 - 著名黑客、安全技术站点，包括安全文档、黑客教 材、技术文献、安全相关 具、并发布安全漏洞报告以及论坛等。 中国信息协会信息安全专业委员会 - 向公众和会员提供有关计算机安全方 面信息的网站，并发布《中国信息安全年鉴》。 中国信息安全产品测评认证中心计算机测评中心 - 对计算机信息安全产品 测评认证, 国家金卡 程IC卡安全技术测评中心, 国家信息安全产品3 C指定 实验室。 中国计算机网络应急处理协调中心 - 负责与国际计算机安全组织的交流与 合作，提供计算机网络应急处理服务和技术支持。 安全焦点 - 国内知名的计算机安全站点，包括安全文摘、 具、安全漏洞 以及论坛等。 安华信达 - 提供与计算机信息系统安全资讯和知识等内容。 中央网络安全和信息化领导小组办公室（2014. 2. 27）-国家互联网信息办 公室（国信办，2011. 5. 4）- 我国网络安全的统管者；国家计算机病毒应 急处理中心（有国内最权威的恶意代码样本信息库，目前共存储计算机 病毒样本 1200万余个），计算机病毒防治 技术 国家 程研究中心，中国 信息安全测评中心（主任吴世忠， 信息技术安全测试和风险评估的权威 ）

Key Security Concepts 读（信息）： 授权限制 真实性（ authenticity） 写（信息）：包括抗 抵赖性、真实性 可说明性（ accountability） 用（服务）：访问和使用系统

Samples 安全缺失带来的影响可分为三个级别（ Purdue）：低级、中级、高级。 C：学生的成绩信息（中）、注册信息（低） I：医院病人过敏史（高）、灌水BBS（中）、 匿名网上投票（低） A：认证系统（关键系统属于高）、大学公共 网站（中）、电话号码簿查询系统（低）

Computer Security Challenges 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. not simple：好奇心、偷窥欲，但满足需求难 must consider potential attacks：攻击五花八门 procedures used counter-intuitive：防要考虑无穷多 的威胁和漏洞 involve algorithms and secret info：安全机制不可能 万能，需要确定适用场合 must decide where to deploy mechanisms battle of wits between attacker / admin not perceived on benefit until fails requires regular monitoring too often an after-thought regarded as impediment to using system：CI v. s. A CI

Security Terminology C；leaky 泄露 I：corrupted 损坏 A：unavailable 不 可用 Assets include： 硬件 软件 数据/服务/能力 通信设施和网络

Vulnerabilities and Attacks Ø system resource vulnerabilities may l l l be corrupted (loss of integrity) become leaky (loss of confidentiality) become unavailable (loss of availability) Ø attacks are threats carried out and may be l l Passive：对系统运行有影响 Active：以获取资源为目的，不影响系统资源 Insider：城管 Outsider：黑社会

Countermeasures Ø means used to deal with security attacks l l prevent Detect & recover Ø may result in new vulnerabilities Ø will have residual vulnerability Ø goal is to minimize risk by giving constraints

Threat Consequences unauthorized disclosure （C） l exposure, interception截获, inference推理，如流量分 析& 数据包分析, intrusion Ø Deception（I） l Masquerade冒充，如恶意软件 特洛伊木马, falsification伪造, repudiation（否认收发数据） Ø Disruption（I A） l Incapacitation（失能）, corruption（损坏，如 backdoor）, obstruction（阻碍，如Do. S） Ø Usurpation(篡夺，I) l Misappropriation（盗用，DDo. S） l misuse（恶意代码引起的功能被禁，有的病毒导致杀 毒软件无法安装或运行） Ø

Scope of Computer Security

计算机和网络资产的威胁举例 Assets Availability Confidentiality Integrity 硬件 设备被盗或禁用， 因而拒绝提供服 务 软件 程序被删除，拒 绝用户访问 软件的非授权拷 贝 正在运行的程序 被修改，使其在 执行过程中失败 或执行一些不期 望的任务 数据 文件被删除，拒 绝用户访问 非授权读取数据。 修改已有文件或 分析统计数据来 伪造新文件 揭露隐含信息 通信线路和网络 （网络安全） 消息被破坏或删 除。通信线路或 网络不可用 消息被读取。消 息的流量模式被 观察到 消息被修改、延 迟、重新排序或 复制。伪造虚假 消息

Network Security Attacks classify as passive （读） or active （写） Ø passive attacks are eavesdropping（窃听） Ø l l l Ø release of message contents traffic analysis（电波侦探-解密-内容安全） are hard to detect so aim to prevent active attacks： modify/fake data l l l Masquerade：通常包含其他主动攻击，如嗅探等中间 人攻击，Cain windows，如ARP欺骗攻击 Replay：freshness attack, 挑战应答方式防御身份认证， 时间戳 Modification： denial of service hard to prevent so aim to detect

Security Functional Requirements(FIPS PUB 200) Ø technical measures: l Ø management controls and procedures l Ø access control; identification & authentication; system & communication protection; system & information integrity awareness & training; audit & accountability; certification, accreditation(认可), & security assessments; contingency planning（应急规划）; maintenance; physical & environmental protection; planning; personnel security; risk assessment; systems & services acquisition overlapping technical and management: l l configuration management; incident response; media protection 技术is all? 技术+管理=？

X. 800 Security Architecture Ø X. 800, Security Architecture for OSI (network & communication) Ø systematic way of defining requirements for security and characterizing approaches to satisfying them Ø defines: l l l security attacks - compromise security mechanism - detect, prevent, recover from attack表 1 -6 security service - counter security attacks 表 1 -5

Security Taxonomy

Security Trends

Computer Security Losses

Security Technologies Used

Computer Security Strategy Ø specification/policy（资产价值、漏洞和攻 击—易用性与安全+成本） l l what is the security scheme supposed to do? codify in policy and procedures Ø implementation/mechanisms l l how does it do it? Prevention（安装杀毒软件和防火墙等）, detection（设计IDS）, response, recovery（ 物理隔离备份） Ø correctness/assurance（评估标准的问题） l does it really work?

Summary Ø security concepts Ø terminology Ø functional requirements Ø security architecture Ø security trends Ø security strategy Ø Website recommended: P 23 Ø Please self-learn Chapter 2.

Q&A Q 1: web安全、网络安全、Internet安全的概 念内涵区别？ A 1：web安全主要是针对网站、数据库这一 类的互联网网站攻击行为的防御。主要包括 服务器端应用（SQL注入）、客户端动态脚 本（XSS、CSRF）；网络安全不仅包括web 安全，还包括了局域网、广域网、专网等网络。 web安全可以研究得很深；网络安全一般只 能做到很广，做不到深。个别牛人不 在此列。