zoukankan      html  css  js  c++  java
  • 系统架构师学习笔记_第十一章(下)_连载

    11.1.4  访问控制

    自动、有效 地 防止 对 系统资源进行 非法访问或者不当使用。

    它是建立在身份认证的基础之上的。


    1、身份认证技术

    识别用户的身份有两种不同形式:身份认证、身份鉴定。

    认证的方法 归结为 3大类:知道什么、拥有什么、是什么。

    是什么,是一种基于生物识别技术的认证。


    1. 用户名和口令认证,三种简单的认证方式:明文传送、单向散列、单向散列函数和随机函数。

    2. 使用令牌认证,密钥存储于令牌中。

    令牌是一个可以加密存储并运行相应加密算法的设备,完成对用户必须 拥有 某物的验证。

    令牌的实现分为:质询响应令牌、时间戳令牌,常用的是时间戳令牌。

    系统的安全强度大大增加:私钥采用令牌存储的方式解决了 私钥自身的安全问题,安全强度大大增加。

    而且令牌有 PIN码 保护,对令牌的非法访问超过一定次数后,令牌会死锁。

    时间戳令牌利用时间代替随机数,需要重点考虑时间同步问题,目前在安全性较高的认证系统中,多是采用这种方案。

    3. 生物识别 与 三因素认证

    基于生物识别技术的认证,主要根据认证者的 图像、指纹、气味、声音 等 作为认证数据。


    2、访问控制技术

    根据 控制手段 和 具体目的 的不同,通常将 访问控制技术 划分为几个方面:入网访问控制、网络权限控制、目录级安全控制、属性安全控制、网络服务器安全控制 等。

    入网访问控制,控制准许用户 入网的时间、准许的工作站 等。

    由于用户口令验证方式容易被攻破,很多网络都开始采用 基于数字证书的验证方式。

    用户 和 用户组 被 赋予一定的权限。

    访问机制 两种实现方式:“受托者指派”和“继承权限屏蔽”

    “受托者指派”控制用户 和 用户组 如何使用网络服务器。

    “继承权限屏蔽”相当于一个过滤器,可以限制 子目录 从 父目录 那里继承哪些权限。

    特殊用户、一般用户、审计用户。

    对目录和文件的访问权限 一般有 8种:系统管理员权限、读、写、创建、删除、修改、查找、访问控制。

    属性 能够控制以下几个方面的权限:写 数据、复制 文件、删除 目录或文件、察看 目录和文件、执行 文件、隐含 文件、共享、系统属性 等。


    11.1.5  安全协议

    1、IPSec 协议简述

    因特网工程任务组(IETF),IPSec 在 IP层上 对数据包 进行高强度 的 安全处理 提供 数据源验证、无连接数据完整性、数据机密性、抗重播、有限通信流机密性 等 安全服务。

    1. IPSec 协议工作原理

    通过使用两种信息安全协议 来为数据报提供高质量的安全性:认证头(AH)协议 和 封装安全载荷(ESP)协议,以及像 Internet 密钥交换(Internet Key Exchange,IKE)协议这样的密钥管理协过程和协议。

    IPSec 允许系统或网络用户 控制安全服务提供的 粒度。

    由通信双方建立的安全关联(Security Association,SA)来提供。

    3. IPSec 协议 安全性分析

    可以应用于所有跨越网络边界的通信。

    如果所有来自外部的通信必须使用IP,且防火墙是 Internet 与 组织的唯一入口,则 IPSec 是不能被绕过的。

    IPSec 位于传输层(TCP、UDP)之下,因此对应用程序是透明的,实现时,没有必要 在用户或服务器上更改软件。

    IPSec 对最终用户是透明的,没有必要 培训用户掌握安全机制。


    2、SSL 协议

    SSL 协议(Secure Socket Layer)对计算机之间的 整个会话进行加密,位于 TCP 和 应用层 之间,可为应用层 提供 安全业务,主要是 Web应用。

    基本目标是 在通信双方之间 建立安全的连接。


    SSL 协议工作原理

    两个重要的概念:SSL 连接 和 SSL 会话。

    连接 是 提供恰当类型服务的 传输,对于 SSL ,连接是 点到点 的关系。

    SSL 的会话是 客户 和 服务器 之间的 关联,会话 通过握手协议来创建。

    会话定义了 加密安全 参数的 一个集合。

    会话可以用来 避免 为每个连接进行 昂贵的 新安全参数的 协商。


    3、PGP 协议


    1. PGP 协议的定义

    PGP(Pretty Good Privacy)针对 电子邮件 在 Internet上 通信的 安全问题而设计的一种 混合加密系统。

    公钥密码 和 分组密码 是在同一个系统中,PGP 的用户拥有一张公钥表。

    PGP 应用程序具有很多优点:速度快、效率高、可移植性好。


    2. PGP 协议 的 加密过程

    用 IDEA 算法对明文加密,接着用接收者的 RSA公钥 对这个 IDEA 密钥进行加密。

    PGP 没有用 RSA 算法直接对明文加密,而是对 IDEA 密钥 进行加密。

    由于 IDEA 算法 速度很快,所以不会因为邮件的数量大而耽误时间,而IDEA的密钥位数较少,所以使用RSA算法在速度上也不会有很大影响。


    11.1.6  数据备份


    1、备份的类型

    备份数据常常被人们遗忘,造成的后果往往是 毁灭性的。

    保证数据完整性以及准确性,一直都面临着极大的考验。

    1. 完全备份,所需时间最长,但恢复时间最短,操作最方便可靠。

    2. 差异备份,备份上一次的 完全备份后发生变化的所有文件。备份时间较长,占用空间较多,恢复时间较短。

    3. 增量备份,上一次备份后,所有发生变化的文件。备份时间较短,占用空间较少,恢复时间较长。

    4. 按需备份。有很好的选择性。


    2、异地备份

    数据异地备份 是 容灾系统 的核心技术,确保一旦本地系统出现故障,远程的容灾中心能够 迅速 进行完整的业务托管。

    进行异地备份时,要注意以下几个问题:

    避免让备份带上病毒。

    保证磁片质量,定期对其进行质量检查。

    对于光盘,最大的缺点是 兼容性不好,最好是用哪台刻录机刻录 就用哪台刻录机读取(有时光头歪了也刻歪了,好光驱读不出来)。

    对于移动硬盘,要做磁盘检查,保证其性能良好。


    3、自动备份软件

    具备 多个备份的文件 无论怎样重命名 都只备份一个。

    对员工正常工作无任何干扰,就好像这个软件不存在一样。


    11.1.7  计算机病毒免疫


    1、计算机病毒定义

    通过修改其他程序 使之含有该程序本身或它的一个变体,具有感染力,借助 使用者的权限 感染他们的程序。

    每个被感染的程序也像病毒一样 可以感染其他程序。


    2、计算机病毒免疫的原理

    传染模块一般 包括 传染条件判断 和 实施传染 两部分。

    一般情况下,传染完一个对象后,都要给被传染对象加上传染标识,若不存在这种标识,则病毒就对该对象实施传染。

    不判断是否存标识,反复传染多次,雪球越滚越大。

    当某些尚不能被病毒检测软件检查出来的病毒感染了文件,该文件又被免疫外壳包在里面时,查毒软件查不到它。


    11.2  信息安全管理和评估

    11.2.1  安全管理技术

    安全管理技术 就是 监督、组织、控制 网络通信服务 以及 信息处理所必须的 各种技术手段 和 措施 的 总称。

    目标是 确保 计算机网络的 持续正常运行,出现异常时 能及时 响应和排除 故障。

    各种网络安全产品的作用 提现在网络中的不同方面,统一的网络安全管理平台 必然要求对网络中部署的安全设备 进行协同管理。

    安全设备的管理、安全策略管理、安全风险控制、安全审计,几个方面。

    安全审计:安全设备、操作系统、应用系统 的 日志信息 收集汇总,进一步分析,得出更深层次的分析结果。

  • 相关阅读:
    Springboot系列 1
    从-1起步学习SpringBoot
    WinForm与WPF下跨线程调用控件
    利用FileSystemWatcher实现磁盘文件监控
    HashTable初次体验
    【原创】国网远程加密机认证软件开发2(认证步骤及代码)
    【原创】国网远程加密机认证软件开发1(相关说明)
    第一次做socket的一些心得
    ArchLinux 安装记录
    oh my zsh安装
  • 原文地址:https://www.cnblogs.com/lmule/p/1814705.html
Copyright © 2011-2022 走看看