網路安全防護

網路安全防護

2012/4/11

1 網路規劃與分散式系統課程 by 王宣智

何謂「資訊安全」
 ISO 27001/ BS7799 – 資訊安全就是保護資訊不到
威脅、服務能夠持續運作，附低營運成本，進行替
企業贏得豐厚的獲利或贏得商機。
 資訊對組織而言就是一種資產，和其它重要的營運資
產一樣有價值，因此需要持續給予妥善保護。
 資訊安全
 保護資訊
 確保營運


狹義的「資訊安全」
 目的在保護機密或敏感資料，以防制未授權的揭
露，因此注重的是資料的機密性。
 著重在技術面（1970年代以前)，

 屬於專業導向，技術領域包括
 密碼學(cryptography)
 密碼技術(cryptology)
 破密分析(cryptanalysis) 等
因此應用範圍以國防、軍事或外交等政府機構為
主。


廣義「資訊安全」
 兼顧技術面與管理面（1980年代以後)

 目的
 在保護機密或敏感資料，以防制未授權的揭露、修改與運用
 同時注重資料及系統資源的機密性、完整性、可取用性
 兼顧管理
人員、程序、資料、硬體、軟體、實體環境等

 應用更廣：
 政府機構(電子化政府)、民間企業活動(電子商務)、個人居家生
活、資訊家電(information appliance，IA)

 屬於生活導向，因此包括更寬的程面
 國家與個人資訊保全(information safeguarding)、安全政策與管
理(security policy & management)


安全防護措施
資
資入訊安
料訊數身防防侵安全
加息位份毒火偵全管
解鑑簽鑑軟牆測委理
密別章別體系外計
統管畫
理


資料加解密
文字亂碼文字

 文字，又稱明文(plaintext)，指原本可閱讀的資訊
 亂碼，又稱密文(chiphertext)，係指以特定的程式或規
則轉換成無法讀取的形式

 一般加解密系統主要可以區分為:
 對稱式金鑰（Symmetric Key）
 非對稱式金鑰（ Asymmetric Key）


對稱式金鑰密碼系統

 主要的特色：雙方使用相同之金鑰來進行資訊的加解密。

 別稱：秘密金鑰（Secret Key）系統，秘密金鑰是相同

 優點：加解密的速度較具相同安全強度的非對稱金鑰密碼系統快

 缺點：必須先將秘密金鑰傳送給對方(指上圖的B)，B才能在收到
文件時，進行解密。


非對稱式金鑰密碼系統

 主要的特色：使用兩個不同之金鑰來進行資訊的加解密。

 別稱：公開金鑰（Public Key）系統，加解密金鑰必須成對。

 RSA為目前最著名的非對稱式金鑰密碼系統。

 RSA的效率與金鑰的長度有關，較長金鑰長度會有較高的安
全性，而較短的金鑰長度則有較佳的解密效率。


數位簽章

 數位簽章具有不可否認的特性、鑑別的角色的特性

 目得：讓接收者對於訊息的來源及其完整性更有信心。

 鑑別方法：當收到具有數位簽章的訊息時，接收者可以利用簽章
來得知傳送者的身分，進而確認訊息的內容是否已遭到竄改。
 若使用者在訊息上使用了數位簽章，便無法逃避曾經撰寫過此訊息
的事實。


數位簽章與雜湊函數合併使用

 目得：增進簽章的運算效能。

 雜湊函數的設計必須具備無法找出相同雜湊值的能
力。
 概念：
 減少加解密的運算量
 對摘要進行處理

數位簽章與雜湊函數合併使用 -2

 A將整篇訊息進行雜湊函數運算，產生訊息摘要。
 訊息摘要是整封訊息的數位指紋

 A用私密金鑰對訊息摘要進行簽署，再將訊息以及數位簽章寄送給B。

 B收到A傳送來的訊息及數位簽章後，利用雜湊計算出訊息摘要後，再使
用A的公開金鑰來針對訊息摘要做驗證。
 驗證結果相符，則可確保訊息的完整性。


身份鑑別
 常用的方法：密碼管制

 密碼管制措施通常應
 適當的密碼複雜性及長度
 不公開密碼
 限制一段時間內連續嘗試的登入次數
 定期更新密碼
 必須確實取消離職人員之帳號密碼
 X.509規格中所描述的範圍包括:
 公開金鑰憑證、憑證管理、憑證路徑、目錄資料結
構、金鑰產生與管理


鑑別服務系統架構

 鑑別者與被鑑別主體是鑑別服務的兩個主要參與者。
 鑑別者又稱為驗證者，其可以是一個鑑別服務系統，負責執行驗證身分的工作。
 被鑑別主體則是進入系統時被鑑別的對象，通常被鑑別主體可以根據是否具有主
動性、資訊交換及處理能力、資訊儲存能力，以及是否在固定場合等因素來加以
分類。
 當被鑑別主體進入系統時，必須先經由鑑別服務系統來驗證身分，所以被鑑別主
體必須提出其身分的宣告資訊並交付給被鑑別宣告者，再由服務系統執行身分驗
證的工作。
 通常如果被鑑別主體是一個程式，則其宣告者可以是其本身，而若鑑別主體是一
個人或是其他外部的個體，則被鑑別宣告者可以是一個系統的使用者介面程式。


可信賴第三者參與的鑑別服務系統

 由於網路化社會的關係愈來愈複雜，所以鑑別服務
可能需要透過更複雜的方式來進行，而這些較複雜
的鑑別方式中，除了鑑別者與被鑑別主體外，通常
還必須有可信賴的第三者參與。


身份鑑別
 鑑別服務區分成:

 即時介入(In-line)

 連線參與(On-line)

 離線參與(Off-line）


可信賴第三者即時介入的鑑別模式


可信賴第三者連線參與的鑑別模式


可信賴第三者離線參與的鑑別模式


防毒軟體
 根據電腦病毒的演進，通常可以區分為下列幾種型態：
 第一代
 開機型病毒(Boot Strap Sector Virus)
 傳統開機型病毒
 隱形開機型病毒
 目錄開機型病毒
 檔案型病毒(File Infector Virus)
 常駐型病毒
 非常駐型病毒
 隱形檔案型病毒
 複合型病毒 (Multi-Partite Virus)
 巨集病毒(Macro Virus)
 千面人病毒 (Polymorphic/Mutation Virus)
 蠕蟲(Warm)


防毒軟體
 第二代
 JavaScript、VBScript病毒
 ActiveX 與JAVA病毒

 特洛依木馬程式


防火牆
 為什麼叫防火牆(firewall)：
 在現實中，為了避免遭受鄰家火災之殃，會在與其相
鄰處建築一堵高牆，而這堵牆就稱為防火牆
 電腦取其概念
 在需要保護的電腦（或區域網路）與不安全的網路間
設定一道防火牆，以保護電腦或網路的安全。
 防火牆
 位置：處於不可信任的網路與可信任的網路間
 方法：根據規則允許或攔截網路間傳輸的資料。
 有些使用者卻誤以為只要是非法的訊息均會被防火牆所阻
擋，其實防火牆並不是萬能的，它無法抵禦所有的攻擊。


防火牆的封包稽核

 防火牆其實是一套根據特定規則來進行安全稽核的系
統，其位於網路的某個節點（通常是進出網路的必經
節點）上，並針對進出的封包進行安全稽核，只有符
合規則的封包才允許通過，不符合規則的封包就會被
丟棄。


防火牆無法防範機密的洩密

 防火牆並不會針對資料的具體內容進行審核
 任何人只要使用防火牆所允許的方式，任何人均可
以傳送任何資料，


防火牆的工作方式分類
 封包篩選防火牆

 通常只提供封包過濾功能而不中斷連線。

 應用層閘道器

 會隔斷傳輸雙方的直接連線。


封包篩選防火牆

 封包篩選防火牆是在不可信任網路與信任網路間進行篩選，
可以有效防止外部網路的入侵行為。
 封包篩選防火牆是根據篩選規則對每個封包進行分析，以判
斷是否允許該封包進出。
 每個篩選規則中將會明確定義封包的各個篩選條件，只有指
定協定或連接埠的網路封包才可以通過，其他不符合規則的
封包則將會被丟棄。


應用層閘道器

 應用層閘道器也可稱為代理伺服器（Proxy Server）。

 應用層閘道器防火牆與封包篩選型防火牆最大的不同點在於，應
用層閘道器可以將不可信任的外部網路與內部網路完全隔斷，任
何的存取操作都必須透過應用層閘道器來處理。


防火牆的架構分類
 封包篩選防火牆

 單防禦主機架構

 雙防禦主機架構


封包篩選防火牆

 封色篩選防火牆通常只提供封包過濾功能而不中斷連線。
 是最簡單的防火牆架構。
 在封色篩選防火牆架構中，僅有單一的封包篩選防火牆在網
路上運作，透過篩選規則來過濾進出網路的封包。


單防禦主機的架構

 防禦主機架構就是在重要的網路或主機前，建構一個
堅固的防禦主機為堡壘，以抵禦相關的入侵。
 防禦主機架構是在可信任網路與不可信任網路間先架
設一個封包篩選防火牆後，再建構具有特殊防禦能力
的主機來抵擋外來入侵，其中又以單防禦主機（Single
Bastion Host）架構最為常見。


雙防禦主機架構

 雙防禦主機架構較適用於內部網路都是可以信任的
環境。
 雙防禦主機架構能將網路切分為外部網路、內部網
路用戶端、提供服務的伺服器等三個部分。


入侵偵測系統
 駭客可以利用防火牆所允許的服務來入侵系統、使
用系統漏洞等，如此便使得這些被動的防禦性措施
失去了效果。
 入侵偵測系統(Intrusion Detection System，簡稱
IDS) 是第二道的安全防線。


入侵偵測系統模組
 IDS為了達到主動稽核相關操作執行程序的功能，
通常其必須包括：
 資料收集模組
 入侵分析模組
 回應模組


入侵偵測系統
 入侵分析模組設計的理念主要可以區分為:

 特徵偵測(signature-based detection)

 異常行為偵測(anomaly detection)

 混合模式偵測(mixed and hybrid mode detection )


特徵偵測

 在入侵分析模組中內建有龐大的入侵特徵資料庫。
 在該資料庫中會詳細的記錄各種入侵行為的特徵。
 所有操作執行程序都會先與資料庫中現存的入侵特
徵相比對，不符合入侵行為的相關操作執行程序才
會被允許通行，否則便會交由回應模組來進行後續
的處裡。


異常行為偵測

 不須內建龐大的入侵特徵資料庫，使用者只須自訂一
些行為篩選規則，以對相關的操作執行程序進行監
視。
 當發現到不符合規則的行為，就會立即交由回應模組
做後續處理，所以異常行為偵測型IDS不須更新及維護
龐大的入侵特徵資料庫。
 存取操作的速度較快，並且可以防範一些未知的攻
擊，而所收集的資訊也可以提供給特徵偵測型IDS做為
各種入侵攻擊方式特徵的定義參考。

混合模式偵測型入侵偵測
 將特徵偵測和異常行為偵測等兩種方式混合使用。
 針對特徵偵測型入侵偵測與異常行為偵測型入侵偵
測的缺點產生互補作用，以達成高偵測率與低誤判
率的目標。
 其最常用的分析法就是資料探勘分析法。


入侵偵測系統
 實際安裝位置與作用的不同區分為:

 主機型

 網路型


入侵偵測系統


網路型入侵偵測系統


安全與服務品質之關係


優良有效的資訊安全政策與計畫
 清楚且一致之政策及執行程序。
 安全缺失之評估。
 就已知之網路或系統缺失，進行強制性之改善。
 提出入侵報告書，以為驗證缺失及改善之依據。
 損害評估，以重建遭破壞系統之完整性。
 危機意識訓練，以使使用者了解網路電腦安全危
機。
 確認網路及系統管理者有足夠之時間與訓練。
 審慎使用防火牆、智慧卡(smart card)等技術。
 加強事故反應能力。

國內資訊安全相關法令規章
 國家機密保護辦法
 行政院所屬機關電腦設備安全暨資訊機密維護準則
 行政院所屬機關資訊安全管理要點
 電腦處理個人資料保護法
 電腦處理個人資料保護法施行細則
 機關公文電子交換作業辦法
 機關公文傳真作業辦法
 行政院暨所屬各級行政機關微縮作業準則
 著作權法
 積體電路電路佈局保護法
 電腦犯罪罰則(刑法修正草案)
 營業秘密法
 電子簽章法
 個人資料保護法
 個人資料保護法施行細則(末訂出)


網路安全之迷思
 密碼是安全的嗎？
 公開金鑰能解決所有的問題嗎？
 傳輸時加密就夠了嗎？
 加密的資料就一定不會被篡改嗎？
 專線和複雜的通訊協定能保證資料的安全嗎？
 加密標準已經過時了嗎？
 安全保密可以僅由軟體達成嗎？
 全部採用經過網路安全認證的產品就可以高枕無憂
了嗎？


密碼追蹤程式


網路上節點是最大的安控盲點

 用於外部連線的安全保密裝置僅能提供連線兩端資
料傳輸時的私密性，因此傳送與接收端或是任何網
路上經過的節點是最大的安控盲點。


古希臘羅馬時代使用之密碼技術

 早在古希臘羅馬時代，人們就使用了密碼技術。
 當時使用的方法很簡單，僅是把字元移位，例如
“FHFIJRNFXNSNHF”乍看之下毫無意義，其實是
把原文“ACADEMIA SINICA”裡的每一個字母往後
移五個字母位置，使得A變成F、C變為H，以此類
推，以獲得加密之文字。

網路安全防護

More Related Content

What's hot

Similar to 網路安全防護

More from Hsuan-Chih Wang

網路安全防護