网络安全背景

网络空间定义

网络空间(Cyberspace) 的概念是伴随着互联网的成长逐步产生、发展、演变的

2003 美国《保护网络空间的国家战略》指出 Cyberspace的含义：一个由信息基础设施组成的相互依赖的网络

2009 美国《网络空间政策评估》定义 Cyberspace：信息技术基础设施相互储存的网络，包括互联网，电信网，计算机系统以及重要工业中的处理器和控制器。常见的用法还指信息及人与人交互构成的虚拟环境

网络空间不是虚拟空间，而是人类线上活动空间的认为、自然延伸，是人类崭新的存在方式和形态

我国官方文件指出：互联网，通信网，计算机系统，自动化控制系统，数字设备及其承载的应用、服务和数据构成了网络空间，其已经成为陆地、海洋、天空、太空同等重要的人类活动新领域

网络空间存在的安全威胁

政治安全：相比传统媒体，网络空间对现实问题有极大的催化和放大作用
经济安全： 2016年乌克兰电网被攻击
文化安全：幕后推手，网络大V
社会安全：恐怖主义，分裂主义，极端主义等势力对网络的利用
国防安全：网络空间已经成为国际战略博弈的新领域

网络强国战略

2014年2月27日，习总书记主持召开中央网络安全和信息化领导小组第一次会议并发表重要讲话。中央成立网络安全和信息化领导小组，习总书记亲自担任组长，再次体现了中国最高层全面深化改革、加强顶层设计的意志，显示出保障网络安全、维护国家利益、推动信息化发展的决心。

2018年3月，中央网络安全和信息化领导小组改为中央网络安全和信息化委员会。

从网民数量、网络设施发展速度、信息消费规模等角度看，中国已是名副其实的网络大国，但离网络强国还有差距。

网络强国战略目标

近期目标: 技术强，基础强，内容强，人才强，国际话语强
中期目标: 建设网络强国的战略部署与“两个一百年”奋斗目标同步推进，向着网络基础设施基本普及、自主创新能力显著增强、信息经济全面发展、网络安全保障有力的目标不断前进。
远期目标: 战略清晰，技术先进，产业依靠，制网权尽在掌握，网络安全坚不可摧。

和平: 信息技术滥用得到有效遏制

安全: 网络安全风险得到有效控制

开放: 信息技术标准、政策和市场开放、透明

合作: 世界各国在技术交易、打击网络恐怖和网络犯罪等领域的合作更加密切

有序: 公众在网络空间的知情权、参与权、表达权、监督权等合法权益得到充分保障，网络空间个人隐私获得有效保护，人权受到充分尊重。

战略原则

尊重维护网络空间主权

和平利用网络空间

依法治理网络空间

统筹网络安全与发展

战略任务

坚定捍卫网络空间主权

坚决维护国家安全

保护关键信息基础设施

加强网络文化建设

打击网络恐怖和违法犯罪

完善网络治理体系

夯实网络安全基础

提升网络空间防护能力

强化网络空间国际合作

正确的网络安全观

网络安全是整体的而不是割裂的
网络安全是动态的而不是静态的
网络安全是开放的而不是封闭的
网络安全是相对的而不是绝对的
网络安全是共同的而不是孤立的

网络安全要素

从信息的安全获取、处理和使用这一本质触发，人们对于网络安全有三种最基本的要求 CIA

保密性（Confidentialty）
对信息内容的保密和对信息状态的保密
信息状态保密比如：虽然无法破译信息，但是可以根据某个时间段信息流量的情况，推断出某些结论
完整性（Integrity）
指信息未经授权不能进行更改的特性，即信息在存储或传输过程中保持不被偶然或蓄意的删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性
可用性（Availability）
信息可以被授权实体访问并按需求使用的特性
信息的可用性与硬件可用性、软件可用性、人员可用性、环境可用性密切相关

网络安全的演变史

通信保密阶段

数千年的时间里,军事领域对信息安全的需求使古典密码学诞生和发展。

现代通信保密阶段普遍认为是从1949年香农Shannon发表的《保密系统的信息理论》，将密码学的研究纳入了科学的轨道上

主要安全问题是窃听和分析

计算机安全

20世纪70年代，美国国家标准局公布了数据加密标准(DES)、美国国防部(DoD)工作面了《可信计算机系统评估准则》(TCSEC)

互联网出现,互联网早期发展阶段的思维方式遵守Postel法则:严于律己，宽以待人。为之后的各种网络安全事件埋下了伏笔
Morris蠕虫1988年11月2日Morris 蠕虫的发布极大的改变了互联网的开放性，据估计造成10%的节点下线(6000个节点，当时网络估计有60000个节点)。
网络防火墙的最早期形式开发于20世纪90年代末,包过滤在旦联网很小、只包含60000个节点的时候是理想的手段，但网络的快速增长使其很快就不再实用。

信息系统安全

20世纪90年后，信息系统安全成为网络安全的核心内容。

通信和计算机技术相互依存，安全的需求不断的向社会的各个领域扩展，人们的关注对象从计算机转向更具本质性的信息本身,进而更关注信息系统的安全

这一阶段除了强调保密性、完整性、可用性，人们还关注不可否认性

1993年6月，美国政府同加拿大及欧共体共同起草单一的通用准则(CC标准)并将其推到国际标准。制定CC标准的目的是建立一个各国都能接受的通用的信息安全产品和系统的安全性评估准则。

在美国的TCSEC、欧洲的ITSEC、加拿大的CTCPEC、美国的FC等信息安全准则的基础上，由6个国家7方(美国国家安全局和国家技术标准研究所、加、英、法、德、荷)共同提出了“信息技术安全评价通用准则(The Common Criteriafor Information Technology security Evaluation,CC )，简称CC标准，它综合了已有的信息安全的准则和标准，形成了一个更全面的框架。

网络空间安全

进入21世纪，网络逐渐成为继海、陆、空、天之后的第五大人类生存空间。

网络空间安全引起各国的高度关注，发达国家普遍将其视为国家安全基础,上升到国家安全的高度去认识和对待。

仅从传统的保密性、完整性、可用性来理解显然不太够，更需要关注国家层面的政治、经济、文化、军事等影响。

网络安全体系结构

参照开放系统互联安全体系结构,lSO 7498-2标准,其核心内容是:为保证异构计算机进程之间远距离交换信息的安全，定义了系统应当提供的5种安全服务和8种安全机制，确定了安全服务与安全机制之间的关系，以及在ISO参考模型中安全服务和安全机制的配置。

安全服务

安全服务可以理解为安全需求的一种表示

鉴别

鉴别服务是对通信中的对等实体和数据来源的鉴别

对待实体鉴别是确认通信中的对等实体是所需要的实体，这种服务在建立连接时或在数据传送阶段提供使用，以证实连接实体的身份，此类服务确保一个实体没有试图冒充其它实体

数据鉴别服务本质上是要对数据的来源进行确认

访问控制

访问控制决定了什么实体可以访问什么资源，以防止未授权的实体访问系统内的资源。这里访问是一个广义的，包含对各类资源的不同访问，如通信资源，读、写、删信息资源等。

当我们打开文件夹，新建文件时，可能没有权限，这是一种典型的访问控制机制

数据完整性

数据完整性服务用来对付试图破坏、篡改信息资源的主动威胁，从而能够防止或检测信息资源受到篡改等破坏。

从技术手段而言，有的完整性服务可在数据被篡改后予以恢复，有些则只能检测到被自发的情况

数据保密性

数据保密性服务是对数据提供保护、使之不被非授权地泄露。

具体包括对用户数据进行加密，或使用攻击者无法通过观察通信业务流量而推断出其中的保密信息

抗抵赖

抗抵赖也称不可否认性，主要表现以下两种形式:

原发抗抵赖，即数据发送者无法否认其发送数据的事实。如A向发B发信事后，A不能否认该信是其发送的
接收抗抵赖，即数据接收者事后无法否认其收到过这些数据。如A向B发信，事后B不能否认其收到了该信

安全机制

安全机制是能够提供一种或多种安全服务的、与具体的实现方式无关且一般不能再细分的安全技术的抽象表示。安全机制是一般是原子级，很少交叉

加密机制

加密即能为数据提供保密性，也能为通信业务流信息提供保密性

数字签名机制

数字签名机制分为两个过程：

签名过程
签名过程是使用签名者所私有的信息，以保证签名的唯一性。
验证签名过程
验证签名过程所用的程序与信息是公之与众的，以便每个人都可以验证该签名，但无法从签名中推断出签名者的私有信息。

访问控制机制

访问控制即是一种服务，也是一种具体的机制。为了判断一个实体是否具有访问权,访问控制机制可以使用该实体已经鉴别过的身份（如登录系统后的身份、或实体属于某个已知具有权限的组织）进行访问控制。

如果该实体试图访问非授权的资源,那么访问控制功能会拒绝其企图还会产生日志等告警

访问控制建立在以下几种手段之上:

访问控制列表
试图访问的持续时间
鉴别信息
试图访问的地址
试图访问的时间

数据完整性机制

数据完整性分两个方面:

数据单元的完整性
数据单元完整性涉及两个过程，一是发送实体，另一个是接收实体。发送实验给数据单元附加上一个量（通常是哈希值)，且这个量本身可以被加密;接收实体根据数据单元产生一个相应的量，且与发送方的量进行比较，以此确定发送的数据单元是否受到篡改。
是数据流的完整性
数据流完整性可以采取顺序号、时间标记或密码链等手段

鉴别交换机制

鉴别交换是通信过程中一方鉴别另一方身份的过程。常见的实现方式有:口令鉴别、数据加密确认、通信中的“握手”协议、数字签名和公让机辩认，以及通过利用该实体特征鉴别(如语言、指纹)

通信业务填充机制。

通信业务填充机制是指在正常通信流中增加冗余信息，能抵抗通信业务分析。这种机制往往提供通信业务的保密性服务

路由选择控制机制

路由能动态地设定，以便物理上安全的子网络、中继站或链路使用。在使用时可基于安全属性，禁止某些属性的数据通过某子网络、中继站或链路,以确保这些通信网络的安全

公证机制

公证机制是指由于第一方和第二方互不相信，于是寻找一个双万都信任的第三方，通过第三方背书在第一方和第二方之间建立信任。在网络中，数据完整性，发送方身份、时间和目的方身份都能通过公证机制得到确保。

网络安全产品

安全产品是一种或多种安全机制的具体实现

防火墙

防火墙类似一道护栏隔在内部网络和不安全的外部网络之间，是一种保护机制，阻断来自外部的网络入侵，保护内部网络安全。

所有进入内部的通信，必须经过防火墙，所有经过防火墙的通信，必须经过安全策略，防火墙自身是安全可靠，不易攻破。

防火墙的功能

访问控制功能，是防火墙最基本也是最重要的功能内容控制功能，如过滤垃圾邮件

安全日志功能，可以记录网络通信情况，包括什么用户在什么时间进行了什么操作

集中管理功能，在一个组织中可能有多台防火墙需要集中统一管理，避免出现配置上的安全漏洞。

其它功能:如VPN(虚拟专用网络)、NAT(网络地址转换)

入侵检测系统(Intrusion Detection System,IDS)

IDS通过监视受保护系统或网络的状态，可发现正进行或已发生的网络攻击。

IDS功能

监视用户和系统的活动，IDS通过获取进出某台主机的数据、或某网段的数据或某主机的日志等监视用户和系统的活动

发现入侵行为，包含两方面

通过分析用户和系统的活动，判断是否存在对系统的入侵行为

评估系统关键资源和数据文件的完整性，判断系统是否遭到入侵

记录和报警，IDS在检测到入侵行为后，记录入侵行为的基本情况，并采取相应措施发出报警，甚至实现防火墙的联动

入侵检测系统分类

基于主机的IDS。基于主机的IDS用于保护运行关键应用的主机。它通过监视与分析主机的审计记录和日志文件来检测入侵。日志中包含发生在系统上的不寻常和不期望的活动证据

基于主机的IDS优点:能确定攻击是否成功、监视粒度更精细、配置灵活、适用于加密网络、不需要额外硬件

基于网络的IDS。基于网络的IDS主要用于实时监测网络关键路径的信息，通过侦听网络上的所有分组来分析入侵行为。

基于网络IDS优点:实时提供网络保护、可检测面向网络的攻击、不会影响现有网络的性能、更全面的监视企业网络、操作维护相对简单。

基于网络IDS的缺点:无法在加密环境中使用

恶意代码防护

恶意代码就是一个计算机程序或一段程序代码，执行后完成特定的功能，但这些功能是恶意的，有破坏作用的，如计算机病毒。

恶意代码分类

病毒:一种靠修改其他程序来插入或进行自身复制，从而感染其他程序的一段程序，具有传染性、隐蔽性、潜伏性、多态性和破坏性等特征

蠕虫是利用操作系统漏洞进行传播，可以算是病毒的一种发展。

特洛伊木马，指一个隐藏在合法程序中的非法程序。该非法程序似用二仕个和情的情况下执行。隐身的木马程序能实现一些功能，如删除又件、反达消息.

逻辑炸弹，可以理解为特定逻辑条件满足时实施破坏的计算机程序，不具有类似病毒的传播性。