精华内容
下载资源
问答
  • servlet是否存在线程安全问题

    千次阅读 多人点赞 2018-06-12 21:21:33
    今天老师问了一句,servlet存在线程安全问题吗,心想着servlet不是单例的嘛,每个线程在调用的时候都会为实例对象分配独立的引用。我就以为servlet属于线程安全的。晚上自己再网上查看了一下,发现servlet不是安全的...

            今天老师问了一句,servlet存在线程安全问题吗,心想着servlet不是单例的嘛,每个线程在调用的时候都会为实例对象分配独立的引用。我就以为servlet属于线程安全的。晚上自己再网上查看了一下,发现servlet不是安全的。

            下面就给大家介绍一下servlet线程安全问题

            首先,默认的servlet是非线程安全的,servlet是单例模式,只产生一个实例,根据项目中web.xml实例,这个实例是web容器产生的,比如Tomcat,JBOSS,weblogic等。

            就是说多个客户请求产生多个线程,一个线程对应一个客户,但是用的servlet对象却是一个。既然用的对象是一个,那么实例变量就是共享数据了,说到共享数据还不同步,必然是非线程安全的。

            比如说两人同时在12306上买票,这时很不巧只剩下一张票,甲乙在同一时间点击购票,两人同时都到购票了,你们说到时候上车怎么办?

    有这个例子可以看到servlet线程是不安全的,当对一个复杂对象进行某种操作时,从操作开始到操作结束,被操作的对象往往会经历若干非法的中间状态。调用一个函数(假设该函数是正确的)操作某对象常常会使该对象暂时陷入不可用的状态(通常称为不稳定状态),等到操作完全结束,该对象才会重新回到完全可用的状态。如果其他线程企图访问一个处于不可用状态的对象,该对象将不能正确响应从而产生无法预料的结果,如何避免这种情况发生是线程安全性的核心问题。

    这是我在网上找的实例,自己运行了一下显示的结果,

    public class threadSafe extends HttpServlet{
        private static final long serialVersionUID = 1L;
        private volatile int num = 0;
        protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
            addOne();
            response.getWriter().write("now access num : " + getNum());
        }
        /**
    
         * 读取开销低
    
         */
    
        private int getNum() {
            return num;
        }
        /**
    
         * 其写入为非线程安全的,赋值操作开销高
    
         */
    
        private synchronized void addOne() {
            num ++;
        }
    }

    在两个浏览器上不停地访问这个地址,显示的结果没有出现多个线程共同的数字,



    为什么没有出错的,咱们在这里加入了

    synchronized关键字

    synchronized关键字,代表这个方法加锁,相当于不管哪一个线程(例如线程A),运行到这个方法时,都要检查有没有其它线程B(或者C、D等)正在用这个方法,若有则要等正在使用synchronized方法的线程B(或者C、D)运行完这个方法后再运行此线程A,若没有则直接运行。

    常见的线程安全的解决办法: 

    1.使用方法内局部变量 
    是因为各线程有自己堆栈空间,存储局部变量 
    方法参数传入,多采用传值(volue copy)传入方法内 

    2.对操作共享资源的语句,方法,对象, 使用同步 
    比如写入磁盘文件,采用同步锁,但建议尽量用同步代码块,不要用同步方法 


    3.使用同步的集合类 
    使用Vector代替ArrayList 
    使用Hashtable代替HashMap。 

    4.不要在 Servlet中再创建自己的线程来完成某个功能。 
    Servlet本身就是多线程的,在Servlet中再创建线程,将导致执行情况复杂化

    展开全文
  • 物联网是指通过各种信息传感设备,实时采集任何需要监控、连接、互动的物体或过程等各种需要的信息,与互联网结合形成的一个巨大网络,其目的是实现...物联网安全已上升至国家安全,本专题通过对物联网“云、管、端...

    物联网是指通过各种信息传感设备,实时采集任何需要监控、连接、互动的物体或过程等各种需要的信息,与互联网结合形成的一个巨大网络,其目的是实现物与物、物与人,所有的物品与网络的连接,方便识别、管理和控制。物联网是新一代信息技术的高度集成和综合运用,已成为全球新一轮科技革命与产业变革的核心驱动和经济社会绿色、智能、可持续发展的关键基础与重要引擎。物联网安全已上升至国家安全,本专题通过对物联网“云、管、端”安全三个方面进行分析,阐述了物联网目前主要面临的安全威胁,并对物联网安全管控进行分析。物联网安全管控也需根据物联网发展趋势相适应,能够为物联网的健康、稳定、高速发展保驾护航。

    物联网终端安全

    物联网终端作为信息空间和物理空间深度融合的代表产物,已经从面向个人消费的先锋产品快速拓展到经济社会各个领域,赋予教育、医疗、零售、能源、建筑、汽车等诸多行业新的服务手段,支撑政府办公、公共安全、交通物流等城市基本职能的提升。现有物联网终端设备侧重于功能实现,而传统设备厂商安全能力不足,或者考虑时间和成本等因素,在终端设计上普遍忽略安全问题。物联网终端可分为智能终端和非智能终端,智能终端设备大多数具备嵌入式操作系统及终端应用,而非智能终端设备大多结构功能单一,且只做数据采集、传输等功能,则智能终端设备具有更大的信息安全威胁。

    根据对物联网智能终端的研究,如家电智能设备、网络摄像头等,发现物联网智能终端安全主要有四大安全威胁。

    1、物联网智能终端安全威胁

    安全威胁

    1)物联网智能终端设备存在弱口令问题;

    2)物联网智能终端设备操作系统、内置Web应用、数据库等存在安全漏洞和用于窃取数据、发动DDoS攻击、发送垃圾邮件或被操纵攻击其他网络等严重安全事件后面;

    3)物联网智能终端设备身份认证识别弱;

    4)物联网智能终端设备被植入恶意代码或成为僵尸网络。

    安全威胁特征

    1)物联网智能终端设备存在弱口令数量、种类巨大,覆盖范围广;

    2)物联网智能终端设备被恶意控制后,可直接影响个人生活、财产、隐私、生命安全;

    3)恶意利用简单;

    4)物联网智能终端设备后期加固的难度较大,需在设计开发阶段开始考虑安全问题;

    5)物联网智能终端设备分布范围广泛,使用场景各异,很难进行统一升级补丁加固;

    6)身份伪造、伪冒后可进行恶意攻击;7)用于窃取数据、发动DDoS攻击、发送垃圾邮件或被操纵攻击其他网络等严重安全事件。

    2、物联网智能终端安全管控分析

    物联网智能终端在设计开发阶段时应同步设计考虑安全管控措施;在终端生产发布前同步做好安全防护测试;在终端发布投入使用阶段同步做好固件漏洞更新管理及智能终端的安全性监控。具体物联网终端安全管控分析如以下五点:

    1)针对物联网智能终端分布范围广、数量多的特点,物联网应该在网络侧开展病毒的感知和探测。

    2)物联网智能终端的信息留存,应该建立相应的规范,在 信息留存的类型、时长、方法、加密手段、访问措施等方面于以限制。

    3)物联网智能终端的身份认证策略应建立较强的身份认证措施及完善的密码管理策略。

    4)物联网智能终端生产发布前,应做好安全测试,终端发布后及时做好固件更新和漏洞管理,必要的情况下进行入网许可。

    5)针对物联网智能终端建设安全性检查平台或建设相应的安全性监控手段,能够检测到异常终端,隔离可疑应用程序或阻止攻击扩散。

    3、物联网非智能终端安全威胁

    根据对物联网非智能终端的研究,如传感器、射频识别(RFID)等,目前物联网非智能终端在网络安全层面未发现安全威胁,在物理安全层面存在被攻击者物理操纵安全威胁。

    物联网管道安全

    物联网“管”则是连接“云”和“端”之间的管道,物联网“管”安全为大容量智能化的信息管道安全。根据对物联网信息管道的调研,发现物联网管道安全主要有四大安全威胁。

    1、物联网管道安全威胁

    物联网管道安全威胁

    1)没有统一物联网通信协议标准,可采用自有协议进行通信;

    2)物联网卡监管体系不健全;

    3)物联网管道存在多样化,部分技术未纳入安全管控,例如蓝牙、红外、NFC;

    4)物联网管道的中间人攻击。

    物联网管道安全威胁特征

    1)导致敏感信息泄露等风险;

    2)不同物联网通信协议之间兼容困难;

    3)与现有的互联网通信协议存在差异,现有安全工具无法移植到物联网;

    4)存在物联网专用卡、物联网行业卡被违规使用的风险,导致物联网卡滥用且无法溯源;

    5)传统的网络安全管理面临挑战;

    6)物联网管道攻击手段多样化;

    7)攻击可导致关系国计民生的重要生产系统异常;

    8)攻击形成的破坏力更大。

    2、物联网管道安全管控分析

    在物联网管道设计阶段应考虑采用安全的通信协议、传输介质等,在物联网管道建设阶段应考虑为安全监控、态势感知预留相应数据接口,在物联网管道投入使用阶段应做好物联网信息管道安全监控。具体物联网管道安全管控分析如以下两点:

    1)开发商、生产商、管理部门尽快制定物联网通信协议标准。

    2)建立物联网系统接入管控设施,尤其是接入涉及国计民生的重要物联网系统。区分传统网络中是否存在物联网信号传递,并建设物联网信号监控手段。

    物联网云服务安全

    通俗来说,物联网云服务在做信息与其他方资源共享时使用,因此保护好云服务安全也是保护好物联网安全的关键环节。

    根据对目前主流云产品的调研,发现物联网云服务安全主要有八大安全威胁。

    1、物联网云服务安全威胁

    物联网云服务安全威胁

    1)数据泄露;

    2)登录凭据被盗和身份认证伪造;

    3)API(应用程序编程接口)被恶意攻击者攻击;

    4)系统漏洞利用;

    5)系统漏洞利用;

    6)恶意人员;

    7)系统永久的数据丢失;

    8)拒绝服务攻击威胁;

    9)云服务共享技术,共享风险。

    安全威胁的特征

    1)泄露数据量大;

    2)容易形成APT(高级持续性威胁)攻击目标;

    3)泄露数据的价值高;

    4)对个人和社会影响大;

    5)物联网身份伪造容易;

    6)如果凭据控制不当,数据无法进行隔离保护;

    7)物联网API接口多,容易被恶意攻击者攻击;

    8)物联网API接口种类复杂,攻击多样化;

    9)物联网云服务系统漏洞被恶意攻击者攻击后影响很大;

    10)内部人员对数据的恶意行为;

    11)外部人员的攻击威胁;

    12)云端数据破坏会造成整个物联网系统损毁

    13)影响国计民生;

    14)造成物联网系统异常服务;

    15)由共享技术导致病毒攻击行为。

    2、物联网云服务安全管控分析

    在物联网云服务系统新建、改建、扩建等工程项目中,应当同步建设物联网云服务系统安全保障设施,并与主体工程同步进行验收和投入运行。具体物联网云服务安全管控分析如以下六点:

    1)物联网云服务实行准入制,物联网云服务系统应该进行备案并经过安全评估准许入网。

    2)物联网云服务的身份认证策略应建立较强的身份认证措施及完善的密码管理策略。

    3)物联网云服务应该具备攻击防御能力和感知能力。

    4)建立物联网云服务备份机制。

    5)物联网云服务系统定期开展风险评估;

    6)开展重要敏感信息系统管理运维人员认证,建立重要岗位人员管控机制。

    展开全文
  • 网络安全第四讲 防火墙工作原理及应用

    千次阅读 多人点赞 2020-10-20 08:31:41
    网络信息安全第四讲 防火墙工作原理及应用 一 防火墙概念与分类 1.防火墙简介 防火墙允许授权的数据通过,而拒绝未经授权的数据通信。网络防火墙是隔离内部网与Internet之间的一道防御系统,允许人们在内部网和开放...

    网络信息安全第四讲 防火墙工作原理及应用

    一 防火墙概念与分类

    1.防火墙简介

    • 防火墙允许授权的数据通过,而拒绝未经授权的数据通信网络防火墙是隔离内部网与Internet之间的一道防御系统,允许人们在内部网和开放的Internet之间通信。访问者必须首先穿越防火墙的安全防线,才能接触目标计算机。
    • 在没有防火墙时,局域网内部的每个节点都暴露给Internet上的其它主机,此时内部网的安全性要由每个节点的坚固程度来决定,且安全性等同于其中最薄弱的节点。使用防火墙后,防火墙会将内部网的安全性统一到它自身,网络安全性在防火墙系统上得到加固,而不是分布在内部网的所有节点上。
    • 防火墙基本功能:
    1. 作为一个中心“遏制点”,将内部网的安全管理集中起来,所有的通信都经过防火墙;
    2. 只放行经过授权的网络流量,屏蔽非法请求,防止越权访问,并产生安全报警;
    3. 能经受得起对其自身的攻击。
    • 防火墙工作在OSI参考模型上:
    OSI参考模型防火墙技术
    应用层应用级网关
    表示层加密
    会话层电路级网关
    传输层包过滤
    网络层NAT
    数据链路层
    物理层
    • 防火墙的发展史
    1. 第一代防火墙技术由附加在边界路由器上的访问控制表**ACL (Access Control Table)**构成,采用了包过滤技术。
    2. 第二代代理防火墙即电路层网关应用层网关
    3. 1994年,以色列的Check Point公司开发出了第一个基于动态包过滤技术的防火墙产品。
    4. 1998年,美国的网络联盟公司NAI (Network Associates Inc.)又推出了一种自适应代理技术。
    • 防火墙的两大分类包过滤防火墙代理防火墙。前者以Checkpoint防火墙和Cisco公司的PIX防火墙为代表,后者以NAI公司的Gauntlet防火墙为代表。
    包过滤防火墙代理防火墙
    优点工作在IP和TCP层,所以处理包的速度快,效率高; 提供透明的服务,用户不用改变客户端程序不允许数据包直接通过防火墙,避免了数据驱动式攻击的发生,安全性好; 能生成各项记录。能灵活、完全地控制进出的流量和内容;能过滤数据内容。
    包过滤防火墙代理防火墙
    缺点定义复杂,容易出现因配置不当带来的问题;允许数据包直接通过,容易造成数据驱动式攻击的潜在危险; 不能彻底防止地址欺骗; 包中只有来自哪台机器的信息不包含来自哪个用户的信息;不支持用户认证; 不提供日志功能。对于每项服务代理可能要求不同的服务器;速度较慢;对用户不透明,用户需要改变客户端程序;不能保证免受所有协议弱点的限制;不能改进底层协议的安全性。
    • 防火墙的组成:防火墙既可以是一台路由器、一台PC或者一台主机,也可以是由多台主机构成的体系。应该将防火墙放置在网络的边界。网络边界是一个本地网络的整个边界,本地网络通过输入点和输出点与其它网络相连,这些连接点都应该装有防火墙,然而在网络边界内部也应该部署防火墙,以便为特定主机提供额外的、特殊的保护。
    • 防火墙的分类
    1. 根据采用的技术不同,可分为包过滤防火墙和代理服务防火墙;
    2. 按照应用对象的不同,可分为企业级防火墙与个人防火墙;
    3. 依据实现的方法不同,又可分为软件防火墙、硬件防火墙和专用防火墙。
    • 软件防火墙:防火墙运行于特定的计算机上,一般来说这台计算机就是整个网络的网关。软件防火墙像其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。使用这类防火墙,需要网络管理人员对所工作的操作系统平台比较熟悉。
    • 硬件防火墙:由PC硬件、通用操作系统和防火墙软件组成。在定制的PC硬件上,采用通用PC系统、Flash盘、网卡组成的硬件平台上运行Linux、FreeBSD、Solaris等经过最小化安全处理后的操作系统及集成的防火墙软件。特点是开发成本低、性能实用、稳定性和扩展性较好,价格也低廉。由于此类防火墙依赖操作系统内核,因此会受到操作系统本身安全性影响,处理速度也慢。
    • 专用防火墙:采用特别优化设计的硬件体系结构,使用专用的操作系统,此类防火墙在稳定性和传输性能方面有着得天独厚的优势,速度快,处理能力强,性能高;由于使用专用操作系统,容易配置和管理,本身漏洞也比较少,但是扩展能力有限,价格也较高。由于专用防火墙系列化程度好,用户可根据应用环境选择合适的产品。

    2.包过滤防火墙

    • 包过滤(Packet Filter)是所有防火墙中最核心的功能,进行包过滤的标准是根据安全策略制定的。通常情况下靠网络管理员在防火墙设备的ACL中设定。与代理服务器相比,它的优势是不占用网络带宽来传输信息。
    • 包过滤规则一般存放于路由器的ACL中。在ACL中定义了各种规则来表明是否同意或拒绝数据包的通过。
    • 如果没有一条规则能匹配,防火墙就会使用默认规则,一般情况下,默认规则要求防火墙丢弃该包。包过滤的核心是安全策略即包过滤算法的设计。
    • 无状态包过滤防火墙无状态包过滤也叫静态包过滤或者无检查包过滤。防火墙在检查数据包报头时,不关心服务器和客户机之间的连接状态,只是根据定义好的过滤规则集来检查所有进出防火墙的数据包报头信息来允许或者拒绝数据包。
    • 优点:速度快、效率高,对流量的管理较出色;由于所有的通信必须通过防火墙,所以绕过是困难的;同时对用户和应用是透明的。
    • 缺点:它允许外部网络直接连接到内部网络主机;只要数据包符合ACL规则都可以通过,因此它不能区分包的“好”与“坏” ;它不能识别IP欺诈。它也不支持用户身份认证,不提供日志功能;虽然可以过滤端口,但是不能过滤服务
    • IP欺骗:当外部主机伪装内部主机的IP地址时,防火墙能够阻止这种类型的IP欺骗。但是当外部主机伪装成可信任的外部主机的IP地址时,防火墙却不能阻止它们。由于无状态包过滤防火墙不能为挂起的通信维持一个记录,所以它就必须根据数据包的格式来判断该数据包是否属于先前所允许的对话。这就使其有受到IP欺诈的可能性,并且无法识别UDP数据包和ICMP包的状态。
    • 无法过滤服务:对于一些比较新的多媒体应用在会话开始之前端口号是未知的。
    • 有状态包过滤防火墙有状态包过滤也叫状态包检查SPI(State-fulPacket Inspection)或者动态包过滤(Dynamic packet filter),后来发展成为包状态监测技术,它是包过滤器和应用级网关的一种折衷方案。具有包过滤机制的速度和灵活,也有应用级网关的应用层安全的优点。
    • SPI防火墙:采用SPI技术的防火墙除了有一个过滤规则集外,还要对通过它的每一个连接都进行跟踪,汲取相关的通信和应用程序的状态信息,形成一个当前连接的状态列表。列表中至少包括源和目的IP地址、源和目的端口号、TCP序列号信息,以及与那个特定会话相关的每条TCP/UDP连接的附加标记。当一个会话经过防火墙时,SPI防火墙把数据包与状态表、规则集进行对比,只允许与状态表和规则集匹配的项通过。

    在这里插入图片描述

    • 优点:具有识别带有欺骗性源IP地址包的能力;检查的层面能够从网络层至应用层;具有详细记录通过的每个包的信息的能力,其中包括应用程序对包的请求,连接的持续时间,内部和外部系统所做的连接请求等。
    • 缺点:所有这些记录、测试和分析工作可能会造成网络连接的某种迟滞,特别是在同时有许多连接激活的时候,或者是有大量的过滤网络通信的规则存在时。但是,硬件速度越快,这个问题就越不易察觉。

    3.代理服务防火墙

    • 最初,代理服务器将常用的页面存储在缓冲区中,以便提高网络通信的速度。后来代理服务器逐渐发展为能够提供强大安全功能的一种技术。代理能在应用层实现防火墙功能,代理技术针对每一个特定应用都有一个程序,通过代理可以实现比包过滤更严格的安全策略。
    • 代理服务器(Proxy Server)防火墙是基于软件的。运行在内部用户和外部主机之间,并且在它们之间转发数据,它像真的墙一样挡在内部网和Internet之间。从外面来的访问者只能看到代理服务器但看不见任何内部资源;而内部客户根本感觉不到代理服务器的存在,他们可以自由访问外部站点。代理可以提供极好的访问控制、登录能力以及地址转换功能,对进出防火墙的信息进行记录,便于管理员监视和管理系统。

    在这里插入图片描述

    在这里插入图片描述

    • 代理服务器和包过滤的比较

    在这里插入图片描述

    4.电路级网关

    • 电路级网关不允许TCP端到端的连接,而是要建立两个连接。其中一个连接是网关到内部主机,另一个是网关到外部主机。一旦两个连接被建立,网关只简单地进行数据中转,即它只在内部连接和外部连接之间来回拷贝字节,并将源IP地址转换为自己的地址,使得外界认为是网关和目的地址在进行连接。由于电路级网关在会话建立连接后不对所传输的内容作进一步的分析,因此安全性稍低

    在这里插入图片描述

    • 优点:提供网络地址转换NAT(Network Address Translation),在使用内部网络地址机制时为网络管理员实现安全提供了很大的灵活性;和基于包过滤防火墙一样的规则,具有包过滤防火墙提供的所有优点。
    • 缺点:不能很好地区分好包与坏包、易受IP欺骗类的攻击;需要修改应用程序和执行程序;要求终端用户通过身份认证。

    5.应用级网关

    • 应用级网关主要工作在应用层。当客户机需要使用服务器上的数据时,首先将数据请求发给代理服务器,代理服务器再根据这一请求向服务器索取数据,然后再由代理服务器将数据传输给客户机。由于外部系统与内部服务器之间没有直接的数据通道,外部的恶意侵害也就很难伤害到内部网。
    • 在应用级网关中,每一种协议都需要相应的代理软件,常用的代理服务软件有如HTTP、SMTP、FTP、Telnet等,但是对于新开发的应用,尚没有相应的代理服务。有些应用级网关还存储Internet上的那些被频繁使用的页面。当用户请求的页面在服务器缓存中存在时,服务器将检查所缓存的页面是否是最新的版本(即该页面是否已更新),如果是最新版本,则直接提交给用户,否则,到真正的服务器上请求最新的页面,然后再转发给用户。
    • 优点:能够有效地实现防火墙内外计算机系统的隔离,安全性好,还可用于实施较强的数据流监控、过滤、记录和报告等功能。
    • 缺点:实现麻烦,对于那些为了使用代理服务器而修改自己应用的终端用户来说,这种选择缺乏透明度。另外由于代理服务器必须采用操作系统服务来执行代理过程,所以它通常是建立在操作系统之上的,由此带来的问题是增加了开销、降低了性能,而且由于通用操作系统是众所周知的,所以该操作系统容易被攻击的漏洞也是公开的。

    6.自适应代理防火墙

    • 虽然应用代理防火墙具有很好的安全性,但速度不尽如人意。自适应代理技术(Adaptive proxy)结合了代理服务器防火墙的安全性和包过滤防火墙的高速度等优点,组成这种类型防火墙的基本要素有两个:自适应代理服务器(Adaptive Proxy Server)与动态包过滤器。在自适应代理防火墙中,初始的安全检查仍在应用层中进行,保证实现传统防火墙的最大安全性;而一旦可信任身份得到认证,建立了安全通道,随后的数据包就可重新定向到网络层。这使得它在毫不损失安全性的基础上将代理服务器防火墙的性能提高10倍以上。

    7.复合防火墙

    • 由于防火墙所处的优越位置(内部网与Internet的分界点),在实际应用中除了基本的过滤和访问控制外,防火墙又添加了NATVPNIDSAAAQoS、加密、内容过滤、防病毒、路由管理、网络监视等功能。刚开始这些功能都是由另外的设备提供,这些设备在网络中的位置处于串行或者并行。目前通常的解决办法是将这些特性合并到防火墙中,当整合了这些功能的防火墙正常运转时,网络连接既安全可靠,又效率高。
    • 网络地址转换:网络地址转换NAT(Network Address Translation),是一种将一个IP地址域映射到另一个IP地址域的技术,从而为终端主机提供透明路由。NAT常用于私有地址域与公用地址域的转换以解决IP地址匮乏问题。在防火墙上实现NAT后,可以隐藏受保护网络的内部拓扑结构,在一定程度上提高网络的安全性。它可以在边界路由器、包过滤防火墙以及代理服务防火墙上实现。
    • 虚拟专用网络:虚拟专用网络VPN (Virtual Private Network),是在公共网络中建立专用网络,数据通过安全的“加密通道”在公网中传播。目前,VPN的安全保证主要是通过防火墙技术、路由器配以隧道技术、加密协议和安全密钥来实现的,用于公司总部和分支机构、合作伙伴之间以及移动办公用户通过公网进行通信,并且达到安全的目的。
    • 入侵检测系统:入侵检测系统IDS(Intrusion Detection System),是主动保护自己免受攻击的一种网络安全技术。它要对侵入计算机网络和主机的行为进行发现并进行一定的阻止。通常IDS安装在计算机网络或计算机系统的若干关键点,进行网络和系统的信息收集和分析,从中发现网络或系统中是否有违反安全策略的行为和攻击的迹象。它扩展了系统管理员的安全管理能力(包括安全审计、监视、攻击识别和响应),提高了信息安全基础结构的完整性。
    • 认证、授权、审计:认证、授权、审计AAA (Authentication,Authorization,Accounting),Cisco系统表述集中式身份验证服务器三大主要功能的术语,它是网络安全策略的一个组成部分。认证:确认远端访问用户的身份,判断访问者是否为合法的网络用户。授权:对用户进行认证后,授权服务将决定该用户可以访问哪些资源,允许该用户执行哪些操作。审计:为统计、计费和审计目的记录用户使用网络服务中的所有操作,包括使用的服务类型、起始时间、数据流量等信息。
    • 服务质量:服务质量QoS(Quality of Service),是网络的一种安全机制。拥有QoS的网络是一种智能网络,它可以对网络上传输的视音频流等对实时性要求较高的数据提供优先服务,从而保证较低的延迟。如果不实施QoS,IP电话、电视会议及关键任务数据等应用只能作为“尽力而为”业务传输,这将导致在网络拥塞时话音和视频的不稳定性。
    • 其它:防火墙还应包含先进的鉴别措施,如信息的保密性保护、信息的完整性校验,以及授权管理技术等。网络管理安全越完善,体系架构就越复杂。管理网络的多台安全设备,还需要集中的网管。

    8.个人防火墙

    • 个人版防火墙是安装在PC机系统里的一段“代码墙”把你的电脑和Internet分隔开。它检查到达防火墙两端的所有数据包,无论是进入还是发出,从而决定该拦截这个包还是将其放行。也就是说:在不妨碍你正常上网浏览的同时,阻止Internet上的其他用户对你的计算机进行的非法访问。
    • 一个好的个人版防火墙必须是低的系统资源消耗,高的处理效率,具有简单易懂的设置界面,具有灵活而有效的规则设定。

    二 防火墙体系结构

    • 防火墙是保护网络安全的一个很好的选择,设置防火墙、选择合适类型的防火墙并配置它,是用好防火墙的三大关键任务。如何设置它应该将它放到什么位置是本节要讨论的问题。

    1.堡垒主机

    • 单宿主堡垒主机:有一块网卡的堡垒主机做防火墙,通常用于应用级网关防火墙。将外部路由器配置成所有进来的数据均发送到堡垒主机上,同时将全部内部客户端配置成所有出去的数据都发送到这台堡垒主机上。堡垒主机以安全方针作为依据检验这些数据。它的主要缺点是可以配置路由器使信息直接进入内部网络,而完全绕过堡垒主机;内部用户也可以配置他们的主机,绕过堡垒主机把信息直接发送到路由器上。
    • 双宿主堡垒主机:有两块网卡的堡垒主机做防火墙,两块网卡各自与内外部网络相连。但是内外部网络之间不能直接通信,内外部网络之间的数据流被双宿主机完全切断。它采用主机取代路由器执行安全控制功能。可以通过运行代理软件或者让用户直接注册到其上来提供网络控制。当一个黑客若要访问内部网络时,他必须首先攻破双宿主堡垒主机,这使得网络管理员有时间阻止对入侵做出反应。
    • 内部堡垒主机:堡垒主机与内部网通信,以便转发从外部网获得的信息。这类堡垒主机启用了较多的服务,并开放了较多的端口以便满足应用程序的需要。
    • 外部堡垒主机:堡垒主机为Internet 提供公共服务,它不向内部网转发任何请求,而是自己处理请求。它只提供非常有限的服务,并且只开放有限的端口来满足这类服务。它需要更多的防御和保护,并应切断对内部网的任何访问。
    • 受害堡垒主机:该堡垒主机是故意向攻击者暴露的目标,也被称作蜜罐(honeypot)或者陷阱。设置它的主要目的是引诱不法者的攻击,让黑客误以为已经成功侵入网络,并且让黑客继续“为所欲为”,以便赢得时间跟踪他们。该堡垒主机只包含最起码的最小服务配置以便运行相应的程序。

    2非军事区(DMZ)

    • 在现代网络安全设计中用到的最关键的思想之一是按照功能或者部门将网络分割成网段。不同的网段对安全有着不同的需要。
    • 以太网是一个广播的网络,网络上的任何机器都有可能查看到这个网络上的所有通信。如果黑客侵入网络,可以容易地截获所有通信。为了配置和管理方便,内部网需要向外提供服务的服务器往往放在一个单独的网段,这个网段便是DMZ。DMZ在内部网之外,具有一个与内部网不同的网络号,连接到防火墙,提供公共服务。
    • 创建DMZ方法:

    在这里插入图片描述

    1. 使用一个三脚防火墙:使用一个有三个接口的防火墙(三宿主防火墙)创建隔离区,每个隔离区成为这个防火墙接口的一员。防火墙提供区之间的隔离,也提供了DMZ的安全。
    2. DMZ置于防火墙之外公网和防火墙之间 :需要通过防火墙的流量首先通过DMZ。缺点是DMZ暴露在公共面一侧,因此不推荐使用这种配置。
    3. DMZ置于防火墙之外不在公网和防火墙之间的通道上:DMZ位于边缘路由器的一个接口,没有与防火墙直接相连,从DMZ到防火墙形成一个隔离层。在这种配置中路由器能够用于拒绝所有从DMZ子网到防火墙所在的子网的访问,当位于DMZ子网的主机受到危害,并且攻击者开始使用这个主机对网络发动进一步攻击时,增加的隔离层能够帮助延缓对防火墙的攻击进度。
    4. 两个防火墙,一个DMZ:DMZ由两个防火墙来保护。防火墙①监控DMZ到Internet之间的通信,防火墙②监控DMZ到内部网之间的通信。防火墙②相当于一个备份设备,可以作为故障切换防火墙,当防火墙①工作失败时,它可以立即工作。由于防火墙①使得DMZ获得相当多的安全,但它的缺点是需要从Internet访问到内部网时,所有流量必须通过DMZ,所有从内部网到Internet的访问流量也都要经过DMZ,当一个DMZ设备被攻陷后,攻击者会阻截或者攻击这个流量。解决的办法是在两个防火墙之间的设备上使用VLAN。它的另一个缺点是需要使用两个防火墙,增加了设备的成本。
    5. “脏”DMZ:用一个边界路由器在不安全的Internet 与准安全的DMZ之间建立一个分界线,即产生一个“脏”DMZ。在这里边界路由器是担当第一道防线的普通路由器,内置的ACL用来实现由网络安全策略所定义的包过滤规则,以便可以对堡垒主机提供一个部分受保护的环境。专用的防火墙提供第二道防线,更好的保护内部网资源。

    3.屏蔽路由器

    • 屏蔽路由器(Screening Router)是在Internet和内部网之间放置一个路由器,使之执行包过滤功能,这是最简单的防火墙。屏蔽路由器可以由路由器实现。它作为内外连接的唯一通道,要求所有的数据包都必须在此通过检查。在路由器上安装包过滤软件,实现包过滤功能。虽然它并不昂贵,但仍能提供重要的保护。
    • 屏蔽路由器体系结构也称筛选路由器体系结构,最大优点是架构简单且硬件成本较低,由于路由器提供非常有限的服务,所以保卫路由器比保卫主机较易实现。
    • 缺点:
    1. 屏蔽路由器仅依靠包过滤规则过滤数据包,一旦有任何错误的配置,将会导致不期望的流量通过或者拒绝一些可接受的流量;
    2. 只有一个单独的设备保护网络,如果一个黑客损害到这个路由器,他将能访问到内部网中的任何资源;
    3. 屏蔽路由器不能隐藏内部网的配置,任何能访问屏蔽路由器的人都能轻松地看到内部网的布局和结构;
    4. 屏蔽路由器没有较好的监视和日志功能、没有报警功能,缺乏用户级身份认证,如果一个安全侵犯事件发生,对于这种潜在的威胁它不能通知网络管理员。

    4.双宿柱主机体系结构

    • 用一台装有两块网卡的堡垒主机做防火墙,两块网卡各自与内部网和Internet相连。堡垒主机上运行防火墙软件,可以转发应用程序,提供服务等。内、外部网之间的通信必须经过堡垒主机。在这种体系结构中必须禁用路由选择功能,这样防火墙两边的网络才可以只与双宿主主机通信,而两系统不能直接通信。
    • 双宿主主机体系结构优于屏蔽路由器的地方是:堡垒主机的系统软件可用于维护系统日志、硬件拷贝日志或远程管理日志。这对于日后的检查很有用。但这不能帮助网络管理者确认内部网中哪些主机可能已被黑客入侵。
    • 双宿主主机体系结构的一个致命弱点是:一旦入侵者侵入堡垒主机并使其只具有路由功能,则任何网上用户均可以随便访问内部网。

    5.主机过滤体系结构

    • 在双宿主主机体系结构防火墙中没有使用路由器。而主机过滤体系结构防火墙(Screened Host Firewall)则使用一个路由器把内部网和外部网隔离,路由器充当内部网和外部网之间的接口。
    • 主机过滤体系结构也称作屏蔽主机体系结构或者筛选主机体系结构。在这种体系结构中利用一个执行数据包过滤的路由器连接外部网,在其上设立过滤规则用于防止人们绕过代理服务器直接相连。同时将一个堡垒主机安装在内部网,并使这个堡垒主机成为从外部网唯一可直接到达的主机,这样确保了内部网不受未被授权的外部用户的攻击。
    • 路由器执行的数据包过滤可以允许内部主机为特定服务打开到Internet的连接或者拒绝所有从内部主机到Internet连接的尝试,应该强制内部主机通过堡垒主机发送它们的连接请求。
    • 应该将代理服务器安装在防火墙后面。防火墙应该有一个和Internet的接口,可以对在它后面的代理服务器起到保护作用。这种保护是关键的,因为当代理服务器被黑客攻破时,代理服务器会误以为黑客是内部客户机,而允许其通过代理服务器,这样将会对受保护的网络造成灾难性的后果。

    6.子网过滤体系结构

    • 子网过滤体系结构也称为被屏蔽子网体系结构或者筛选子网体系结构。它用两台包过滤路由器建立一个DMZ,用这一DMZ将内部网和外部网分开。
    • 在这种体系结构中两个包过滤路由器放在DMZ的两端,构成一个内部网和外部网均可访问的被屏蔽子网,但禁止信息直接穿过被屏蔽子网进行通信。在被屏蔽子网中堡垒主机作为唯一的可访问点,该点作为应用级网关代理。
    • 为了侵入这种类型的网络,黑客必须先攻破外部路由器,即使他设法侵入堡垒主机,仍然必须通过内部路由器,才能进入内部网。在该体系结构中,因为堡垒主机不直接与内部网的主机交互使用,所以内部网中两个主机间的通信不会通过堡垒主机,即使黑客侵入堡垒主机,他也只能看到从Internet和一些内部主机到堡垒主机的通信以及返回的通信,而看不到内部网络主机之间的通信。所以DMZ为内部网增加了安全级别。
    • 内部路由器也称作阻塞路由器、扼流路由器。它的任务是保护内部网使之免受来自Internet和DMZ的侵犯,并承担防火墙数据包过滤的任务。它允许从内部网到Internet的有选择的出站服务。为了减少堡垒主机受侵袭的数量,要限制堡垒主机给内部网提供的服务。
    • 外部路由器也称作访问路由器,保护DMZ和内部网使之免受来自Internet的侵犯。它几乎允许任何通信从DMZ出站,并且通常只执行非常少的数据包过滤;但它要阻止从Internet上任何伪造源地址进来的数据包,这样的数据包自称来自内部的网络,但实际上是来自Internet。

    7.组合体系结构

    • 建造防火墙时,一般很少采用单一的技术,通常采用解决不同问题的多种技术的组合。

      1. 多堡垒主机

      2. 合并内部路由器与外部路由器

      3. 合并堡垒主机与外部路由器

      4. 合并堡垒主机与内部路由器

      5. 使用多台外部路由器

      6. 使用多个周边网络

    三 防火墙选型与产品简介

    • 防火墙技术发展到现在,其争的焦点主要是在以下四个方面:

      防火墙的管理——网络安全的关键

      防火墙的功能——防火墙应用的基础

      防火墙的性能——提高网络传输效率的条件

      防火墙的抗攻击能力——网络安全的保证

    1.防火墙的局限性

    在这里插入图片描述

    2.开发防火墙安全策略

    • 安装一个防火墙最困难的部分不是处理硬件和软件,而是如何向周围的人解释你想施加的那些限制。

    • 安全性和复杂性成反比

    • 安全性和可用性成反比

    • 对网络威胁要详加分析,真实的威胁、可能的威胁和假想的威胁,还有已知与未知的威胁

    • 安全策略并不是一成不变的

    • 安全是投资,不是消费,安全投资需要得到企业或组织领导的大力支持

    3.防火墙选型原则

    • 网络吞吐量、丢包率、延迟、连接数等都是重要的技术指标。质量好的防火墙能够有效地控制通信,为不同级别、不同需求的用户提供不同的控制策略。
    • 控制策略的有效性、多样性、级别目标清晰性以及制定难易程度都直接反映出防火墙控制策略的质量。

    4.典型防火墙简介

    • Checkpoint FireWall-1
    1. 状态检测模块(Inspection Module): 提供访问控制、客 户机认证、会话认证、NAT和审计功能;
    2. 防火墙模块(FireWall Module): 包含一个状态检测模块,另外提供用户认证、内容安全和多防火墙同步功能;
    3. 管理模块(Management Module): 对一个或多个安全策略执行点(安装了FireWall-1的某个模块,如状态检测模块、防火墙模块或路由器安全管理模块等的系统)提供集中的、图形化的安全管理功能,一个管理模块可以控制多达50个单独的FireWall-1。
    • Cisco PIX Firewall
    1. 保密互连交换PIX(Private Internet Exchange),的作用是防止外部网非授权用户访问内部网。多数PIX都可以有选择地保护一个或多个DMZ。内部网、外部网和DMZ之间的连接由PIX Firewall控制。
    2. PIX的核心是基于自适应安全算法ASA(Adaptive Security Algorithm)的一种保护机制,它将内部主机的地址映射为外部地址,拒绝未经允许的包入境,实现了动态,静态地址映射,从而有效地屏蔽了内部网络拓扑结构。通过管道技术,出境访问列表,有效地控制内、外部各资源的访问。
    3. ASA是一种状态安全方法。每个向内传输的包都将按照自适应安全算法和内存中的连接状态信息进行检查。ASA一直处于操作状态,监控返回的包,目的是保证这些包的有效性。

    在这里插入图片描述

    • 东软NetEye:于1991年在东北大学创立的东软集团是中国领先的软件与解决方案提供商。东软NetEye防火墙基于专门的硬件平台,使用专有的ASIC芯片和专有的操作系统,基于状态包过滤的“流过滤”体系结构。围绕流过滤平台,东软构建了网络安全响应小组、应用升级包开发小组、网络安全实验室,不仅带给用户高性能的应用层保护,还包括新应用的及时支持,特殊应用的定制开发,安全攻击事件的及时响应等。
    展开全文
  • 物联网安全综述报告

    万次阅读 多人点赞 2018-11-26 13:26:50
    物联网安全综述报告 文章目录物联网安全综述报告1. 物联网安全概述2. 物联网安全层次及其需求分析2.1 感知层概述及需求分析2.2 传输层概述及需求分析2.3 云服务层概述及需求分析2.4 应用层概述及需求分析3. 物联网...

    物联网安全综述报告

    1. 物联网安全概述

    随着“互联网 +”时代的到来,物联网发展迅猛,正在逐渐渗透到生活的各个领域之中, 物联网设备规模呈现爆发性增长趋势,万物互联时代正在到来,物联网安全的重要地位也在物联网快速的发展中愈加凸显。物联网根据业务形态可分为:工业控制物联网、车载物联网、智能家居物联网等三个部分,且不同的业务形态又对于安全具有不同的业务需求:

    • 工业物联网:主要涉及到国家安全、再加上目前工业控制网络基本是明文协议很容易遭受攻击,全需求基本是传统安全的思路。
    • 车联网:涉及到驾车人生命安全,安全需求集中在车载核心物联网硬件安全上。
    • 智能家居:涉及到个人家庭隐私安全,安全需求更多的是对于隐私的保护上。

    根据惠普安全研究院调查的10个最流行的物联网智能设备后发现几乎所有设备都存在高危漏洞,一些关键数据如下:

    80%的IOT设备存在隐私泄露或滥用风险;

    80%的IOT设备允许使用弱密码;

    70%的IOT设备与互联网或局域网的通讯没有加密;

    60%的IOT设备的web 界面存在安全漏洞;

    60%的IOT设备下载软件更新时没有使用加密;

    物联网在给我们带来便利的同时,物联网的设备、网络、应用等也在面临着严峻的安全威胁,例如:

    1. 2015年,两名网络安全专家通过中间人攻击的方式,对高速公路上的吉普车实现了远程控制(例如,控制空调、收音机、挡风玻璃刮水器和制动器等)。这次袭击展示了中间人攻击的危害性,也导致厂商召回了140万辆汽车。;
    2. “水滴直播”、“海康威视”事件中的摄像头遭到入侵而被偷窥;
    3. 美国制造零日漏洞病毒,利用 “震网”攻入伊朗核电站,破坏伊朗核实施计划等;
    4. 2015年,英国的网络供应商Talk Talk遭受几个网络安全漏洞的攻击,导致未经加密存储的客户数据暴露在云端。黑客能够轻松访问和窃取数百万客户的信用卡和银行详细信息。

    物联网因为其具有开放性、多源异构性、泛在性等特性,所以物联网的安全关系到个人、家庭、社会、乃至国家的安全,种种安全威胁的出现,也在不断的提醒着我们:万物互联,安全先行。

    2. 物联网安全层次及其需求分析

    物联网的安全层次可分为:感知层(设备层)、网络层(传输层)、平台层(云服务层)和应用层。(每个层次可能名字会有所不同,但是基本的功能和职责范围大致相同)。如图所示:
    在这里插入图片描述

    图2-1 物联网安全架构图

    2.1 感知层概述及需求分析

    感知层又称为设备层,在物联网中主要负责对信息的采集、识别和控制,由感知设备和网关组成。主要的感知设备包括:RFID装置、各类传感器、图像捕捉装置、GPS等。

    感知层所面临的安全威胁主要包括以下几个方面:

    (1)操作系统或者软件过时,系统漏洞无法及时的修复。

    (2)感知设备存在于户外、且分散安装,容易遭到物理攻击,被篡改和仿冒导致安全性丢失。

    (3)接入在物联网中的大量的感知设备的标识、识别、认证和控制问题。

    (4)隐私的泄露,RFID标签、二维码等的嵌入,使物联网接入的用户不受控制地被扫描、追踪和定位,极大可能的造成用户的隐私信息的泄露。

    loT中对于感知层的安全设计具有以下的需求:

    (1)物理防护:需要保护终端的失窃和从物理攻击上对于感知设备进行复制和篡改。另外,确保设备在被突破后其中全部与身份、认证以及账户信息相关的数据都被擦除,这将使得相关信息不会被攻击者利用;

    (2)节点认证:终端节点的接入,需要进项进项验证,防止非法节点或者被篡改后的节点接入;

    (3)机密性:终端所存储的数据或者所需要传输的数据都需要进行加密,因为目前大多数的传感网络内部是不需要认证和进行密钥管理的;

    (4)设备智能化:设备必须具有鲁棒性,并且能够在有限的支持下进行现场操作,且能边缘处理,意味着敏感信息不需要上传到云端,因此在设备层处理数据有助于强化整个网络。

    2.2 传输层概述及需求分析

    传输层又称为网络层,是连接感知层和应用层的信息传递网络,即安全地发送/接收数据的媒介。传输层的主要功能是将由感知层采集的数据传递出去。主要包含的通信的技术有:短距离的通信有Wi-Fi、RFID、蓝牙等;长距离的主要有:互联网、移动通信网和广域网等。

    因为物联网的传输层是一个多网络重合的叠加型开放性网络,所以其具有比一般的网络更加严重的安全问题:

    (1) 对服务器所进行的DOS攻击、DDOS攻击;

    (2) 对网络通信过程进行劫持、重放、篡改等中间人攻击;

    (3) 跨域网络攻击;

    (4) 封闭的物联网应用/协议无法被安全设备识别,被篡改后无法及时发现;

    loT中对于传输层的安全设计具有以下的需求:

    (1)数据机密性:需要保证数据的机密性,从而确保在传输过程中数据或信息的不泄露;

    (2)数据完整性:需要保证数据在整个传输过程中的完整性,从而确保数据不会被篡改,或者能够及时感知或分 辨被篡改的数据;

    (3)DDOS、DOS攻击的检测与预防:DDOS攻击为物联网中较为常见的攻击方式,要防止非法用户对于传感网络中较为脆弱的节点发动的DDOS攻击,从而避免大规模的终端数据的拥塞。

    (4)数据的可用性:要确保通信网络中的数据和信息在任何时候都能提供给合法的用户。

    2.3 云服务层概述及需求分析

    云服务层又称为平台层,更具功能又可划分为:终端管理平台、连接管理平台、应用开发平台、和业务分析平台。主要的功能是将从感知层获取到的数据进行分析和处理,并进行控制和决策,同时将数据转换为不同的格式,以便于数据的多平台共享。

    其所主要面临的安全问题有:

    (1)平台所管理的设备分散、容易造成设备的丢失以及难以维护等;

    (2)新平台自身的漏洞和API开放等引入新的风险;

    (3)越权访问导致隐私数据和安全凭证等泄露;

    (4)平台遭遇DDOS攻击以及漏洞扫面的风险极大;

    loT中对于云服务层的安全设计具有以下的需求:

    (1)物理硬件环境的安全:为了保证整个平台的平稳运行,我们需要保证整个云计算、云储存的环境安全和设备设施的可靠性。

    (2)系统的稳定性:主要是指在遭到系统异常时,系统是否具有及时处理、恢复或者隔离问题服务的灾难应急机制。

    (3)数据的安全:这里的数据安全更多的是指在数据的传输交互过程中数据的完整性、保密性和不可抵赖性。因为云服务层无时无刻都在跟数据进行"打交道",所以数据的安全时至关重要的。

    (4)API安全:因为云服务层需要对外提供相应的API服务,所以保证API的安全,防止非法访问和非法数据请求是至关重要的,否则将极大的消耗数据库的资源。

    (5)设备的鉴别和验证:需要具有可靠的密钥管理机制,从而来实现和支持设备接入过程中安全传输的能力,并能够阻断异常的接入。

    (6)全局的日志记录:需要具有全局的日志的记录能力,让系统的异常能够完整的进行进行,以便后面的系统升级和维护。

    2.4 应用层概述及需求分析

    应用层是综合的或有个体特性的具体业务层。因为应用层是直接面向于用户,接触到的也是用户的隐私数据,所以也是风险最高的层级。

    应用层所面临的安全威胁有:

    (1)如何根据不同的权限对同一数据进行筛选和处理;

    (2)实现对于数据的保护和验证;

    (3)如何解决信息泄露后的追踪问题;

    (4)恶意代码,或者应用程序本身所具有的安全问题;

    loT中对于应用层的安全设计具有以下的需求:

    (1)认证能力:需要能够验证用户的合法性,防止非法用户假冒合法用户用的身份进行非法访问,同时,需要防止合法用户对于未授权业务的访问;

    (2)隐私保护:保护用户的隐私不泄露,且具有泄漏后的追踪能力;

    (3)密钥的安全性:需要具有一套完整的密钥管理机制来实现对于密钥的管理,从而代替用户名/密码的方式;

    (4)数据销毁:能够具有一定的数据销毁能力,是在特殊情况下数据的销毁。

    (5)知识产权的保护能力:因为应用层是直接对接与用户,所以需要具有一定的抗反编译的能力,从而来实现知识产权的保护。

    3. 物联网安全特征及关键技术

    3.1 物联网安全特征

    我们从上面关于物联网安全层次的分析中可以看出,物联网的从信息的采集、汇聚、传输、决策、控制整个过程中都面临了大量的安全问题,这些安全问题都具有以下几个方面的特征:

    (1)多源异构性及智能化不足:在物联网的感知层中,感知节点存在多源异构,各个厂商提高和使用的协议都存在一定的差异,没有特定的标准,导致无法进行统一的安全设计。同时,感知设备的功能简单,无法进行复杂的安全保护工作。

    (2)核心网络的传输和数据的安全:在物联网网络中,核心网络具有一定的相对完整的保护机制,但是物联网节点以集群的方式存在,且数量庞大,各个节点之间的安全就无法保障,且当大量数据传回中心节点时,容易造成网络拥塞,从而造成拒绝服务的情况。

    3.2 物联网安全关键技术

    物联网作为互联网的延伸,融合了多种网络的特点,物联网安全自然就会涉及到各个网络的不同层次,在这些网络中,已经应用了多种与安全相关的技术,下面是关于这些安全技术的一些梳理:

    (1)数据处理与安全:物联网除了面临数据采集的安全外,还需要面对信息的传输过程的私密性以及网络的可靠、可信和安全。物联网能否大规模的应用很大程度上取决于是都能够保障用户数据和隐私的安全;

    (2)密钥管理机制:密钥系统是安全的基础,是实现感知信息隐私保护的手段之一;

    (3)安全路由协议:物联网的路由需要经过多类路由,所以主要面临的问题就是多协议路由的融合问题,以及传感网络的安全路由;

    (4)认证与访问控制:认证是物联网安全的第一道防线,主要是证明“我是我”的问题,能够有效的防止伪装类用户。同时,对于消息的认证能够有效的确保信息的安全有效。同时访问控制是对合法用户的非法请求的控制,能够有效的减少隐私的泄露。

    (5)入侵检测和容错机制:物联网系统遭到入侵有时是不可避免的,但是需要有完善的容错机制,确保能够在入侵或者非法攻击发生时,能够及时的隔离问题系统和恢复正常的功能。

    (6)安全分析和交付机制:除了能够防止现有可见的安全威胁外,物联网系统应该能够预测未来的威胁,同时能够根据出现的问题实现对设备的持续的更新和打补丁。

    4. 物联网安全发展趋势

    随着物联网迅猛发展的同时,物联网安全也成为了最大的痛点。在物联网安全时间频发的背后,也证明了在物联网安全领域存在着巨大的机遇。根据调查研究公司MarketsandMarkets预计,2020年全球的物联网安全时候出那个将从2015年的68.9亿美元增长至289亿美元。目前物联网安全具有以下几大趋势:

    (1)物联网勒索软件和“流氓软件”将越来越普遍:黑客利用网络摄像头这样的物联网设备,将流量导入一个携带流氓软件的网址,同时命令软件对用户进行勒索,让用书赎回被加密的泄露的数据。

    (2)物联网攻击将目标瞄准数字虚拟货币:虚拟货币因为其的私密性和不可追溯性,近年来市值的不断飙升,自然物联网的攻击者们也不会放过这一巨大的市场,目前已经发现了物联网僵尸网络挖矿的情况剧增,导致黑客甚至利用视频摄像头进行比特币挖矿。

    (3)迎来量子计算时代,安全问题应该得到更加的重视:今年全球软件企业的量子计算竞赛更趋白热化。短短几个月内,英特尔公司就造出了包含 17 个量子位的全新芯片,而且已经交付测试;微软公司也详细展示了用于开发量子程序的新型编程语言;IBM 公司则发布了50个量子位的量子电脑原型。Louis Parks是物联网安全软件公司 SecureRF 的首席执行官,他认为,在这些科技进步影响下,量子计算可能会在十年内实现商业化,化解量子计算可能存在的安全威胁显得更为紧迫。

    (4)大规模入侵将被“微型入侵”替代:“微型入侵”与大规模或者“综合性攻击”不同的是,它瞄准的是物联网的弱点,但是规模较小,能逃过目前现有的安全监控。它们能够顺应环境而变,进行重新自由的组合,形成新的攻击,例如: IoTroop。

    (5)物联网安全将更加的自动化和智能化:当物联网的规模明显扩大,覆盖到了成千上万台设备级别时,可能就难以做好网络和收集数据的管理工作。物联网安全的自动化和智能化可以监测不规律的流量模式,由此可能帮助网络管理者和网络安全人员处理异常情况的发生。

    (6)对感知设备的攻击将变得无处不在:物联网算是传感器网络的一个衍生产品,因此互联网传感器本身就存在潜在安全漏洞。黑客可能会尝试向传感器发送一些人体无法感知的能量,来对传感器设备进行攻击。

    (7)隐私保护将成为物联网安全的重要组成部分:一方面物联网平台需要根据用户的数据提供更加便捷、智能的服务,另一方面,对于用户隐私数据的保护又成为了重中之重。

    5. 物联网安全技术探索

    随着物联网安全的快速发展,发起攻击的方式越来越多样化,所以新技术在应用在物联网安全中心显得愈发的重要。

    5.1 去中心化认证

    传统的中心化系统中,信任机制比较容易建立,存在一个可信的第三方来管理所有的设备的身份信息。但是物联网环境中设备众多,未来可能会达到百亿级别,这会对可信第三方造成很大的压力。区块链解决的核心问题是在信息不对称、不确定的环境下,如何建立满足经济活动赖以发生、发展的“信任”生态体系。在物联网环境中,所有日常家居物件都能自发、自动地与其它物件、或外界世界进行互动,但是必须解决物联网设备之间的信任问题。

    5.2 大数据安全分析

    利用大数据分析平台对物联网安全漏洞进行挖掘。挖掘主要关注两个方面,一个是网络协议本身的漏洞挖掘,一个是嵌入式操作系统的漏洞挖掘。分别对应网络层和感知层,应用层大多采用云平台,属于云安全的范畴,可应用已有的云安全防护措施。在现在的物联网行业中,各类网络协议被广泛使用,同时这些网络协议也带来了大量的安全问题。需要利用一些漏洞挖掘技术对物联网中的协议进行漏洞挖掘,先于攻击者发现并及时修补漏洞,有效减少来自黑客的威胁,提升系统的安全性。

    5.3 轻量化防护技术

    对于一些微型的入侵攻击,庞大的安全系统难以察觉,并且短时间内做出反应,这时就需要要一些相对轻量化的安全机制,能够做到对于入侵的快速反应,避免损失的扩大。同时轻量化的防护技术,能够更好的兼容不同物联网产品生产商的协议冲突。

    6. 参考文献

    1. IBM,《IBM 观点:物联网安全》,2015
    2. 绿盟科技,《2017 物联网安全研究报告》,2017
    3. 魅影儿,《物联网安全风险威胁报告》,2017
    4. George Cora,《四大层次、六大原则解析物联网安全架构》,2017
    5. 武传坤,《物联网安全架构初探》,2010
    6. 弈心逐梦,《物联网安全的安全需求分析》, 2017
    7. 杨庚,《南京邮电大学学报(自然科学版):物联网安全特征与关键技术》,2010
    8. Brian Buntz,《2018年 IoT 安全八大趋势》,2017
    9. 优软众创平台,《物联网安全八大关键技术》,2017
    10. 《中国区块链技术和应用发展白皮书(2016)
    11. 电子发烧友论坛,《2017年物联网安全的六大趋势以及对策》,2017
    展开全文
  • IT运维存在问题及改进

    万次阅读 2016-12-02 19:12:30
    IT运维管理可能存在问题  1.1 IT运维机制不完善,流程操作层面缺乏统一  没有建立起稳定、规范的IT运维机制。现有的IT运维流程的操作层面缺乏统一。如事件单提交之后,事件预判和优先级的设定缺少统一...
  • 前言: 随着如今的互联网和大数据时代不断...下面给大家总结机房存在安全隐患以及解决的方法。 机房需要进行安全隐患排查的地方 (1)逐个局点、机柜、涉及到动环监控可监控试验,机房防
  • MySQL安全你不知道的事

    万次阅读 多人点赞 2020-11-30 11:35:49
    安全存在于系统的方方面面,涉及安全的都是大事,今天主要聊的是MySQL安全的那些事,主要包括MySQL服务器安全,数据库安全以及数据安全,聊完之后发现安全的东西还蛮多,这些能够让我们对MySQL安全有更加深刻的认识...
  • jquery版本过低安全漏洞问题

    千次阅读 2020-06-18 13:21:23
    最近在做项目的时候扫描除了很多js版本过低的问题,主要集中在1.x 2.x 还有1.12jQuery&<2.2 jQuery,过滤用户输入数据的正则存在缺陷,可能造成跨站漏洞,具体修复介绍可以查看官方。 修复建议: 1、升级...
  • 相较于DORA的每年度的DevOps报告,这份报告虽然在调研的数量上远远少于,但是考虑到报告定位的问题较为专一和深入,同时Tripwire本身在安全相关的行业经验。DevOps实践的新宠(容器)在安全方面的现状让我们拭目以待...
  • 【新智元导读】 本文详细解析了最近在 reddit 的 Machine Learning 版引起热烈讨论的一篇论文Wassertein GAN,该论文提出的 WGAN 相比原始 GAN 的算法实现流程却只改了四点,但实现了彻底解决GAN训练不稳定,基本...
  • yolov4训练自己的数据集实现安全帽佩戴检测

    万次阅读 热门讨论 2020-07-07 22:46:41
    本次用yolov4来实现人佩戴安全帽检测,若未佩戴安全帽则将人脸框出来,若佩戴安全帽,则将安全帽以及人脸框出来,多说无益,直接看效果吧!!! 效果还是不错的,那么接下来就跟我一起进入yolov4的实操吧!!! ...
  • 服务器是IT基础设施的关键,但是网络攻击每天都在发生。IT Governance报告显示,仅在2020年11月就有586,771,602条泄露记录。...而当攻击者绕过安全防线发起攻击时,往往都有行为、进程的足迹可以溯源,有.
  • 以下内容摘自《人工智能安全白皮书(2018)》 http://www.caict.ac.cn/kxyj/qwfb/bps/index_1.htm 《人工智能发展白皮书-技术架构篇(2018年)》 《人工智能安全白皮书(2018)》 《2018世界人工智能产业发展蓝皮...
  • 前言 这次花了大把精力一边学习一边整理网络安全服务职位(包括但不仅限于:安全服务工程师,安全运营工程师,安全运维工程师,安全攻防工程师“)的面试问题。 话不多说,让我们一起学习吧 目前来说还有非常多的不...
  • 稳定性(Reliability)、可用性(Availability)、可维护性(Maintainability),是三个有关联的概念、合称RAM,较为容易混淆,因此本需要特别说明一下。依据《ISO IEC 25010-2011 SQuaRE》标准,可将稳定性理解为”...
  • 安全测试 web安全测试 常规安全漏洞 可能存在SQL和JS注入漏洞场景分析。为什么自己没有找到漏洞,哪么可能存在漏洞场景是?SQL注入漏洞修复 JS注入漏洞修复 漏洞存在场景分析和修复示例
  • web常见安全漏洞

    万次阅读 2018-09-08 10:04:25
    随着Web2.0、网络社交等一系列新型的互联网产品的诞生,基于Web环境的...Web业务的迅速发展吸引了黑客们的强烈关注,接踵而至的就是Web安全威胁的凸显。黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞...
  •  在该过程当中,用户对于将信息传输到云端上的信息处理是否安全抱有质疑性,而在实际的运行当中,该种问题确实真实的存在。从经济方面考虑,用户通过云计算模式进行消费的行为节约了其自身购买云计算相关物理软、...
  • 我们sine安全公司接到新客户的安全反映,说是他们公司网站首页标题被黑客篡改成赌博的内容,导致网站在百度搜索里红色风险提示,百度快照搜索关键词显示:百度网址安全中心提醒您:该页面可能存在钓鱼欺诈信息!...
  • Java(web)项目安全漏洞及解决方式【面试+工作

    万次阅读 多人点赞 2018-05-13 09:49:19
    安全问题层次关系大家经常会听到看到很多很多有关安全性方面的信息,可以说形形色色,对于在网络安全方面不太专业的同志来说,有点眼花缭乱,理不出头绪。在这里,我来帮大家整理一下。 以我个人多年来从事Web...
  • HTTP平台的安全稳定性架构 HTTP平台的安全稳定性架构 文 / 陈康贤 对于常规的Web攻击手段,比如XSS、CRSF、SQL注入等,防范措施相对来说也比较容易:如XSS的防范需要转义输入的尖括号;防止CRSF需要将Cookie设置为...
  • 网络空间安全——总结

    千次阅读 2020-03-12 17:41:36
    系统而全面的了解网络空间安全方面的基础知识、认识安全隐患、掌握相应的防范方法、提高大家的安全意识。 课程重点: 勾勒网络空间安全的框架。 课程内容安排: 安全法律法规 物理设备安全 网络攻防技术 恶意...
  • android WebView详解,常见漏洞详解和安全源码(上)

    万次阅读 多人点赞 2017-02-12 18:19:55
    这篇博客主要来介绍 WebView 的相关使用方法,常见的几个漏洞,开发中可能遇到的坑和最后解决相应漏洞的源码,以及... 下篇:android WebView详解,常见漏洞详解和安全源码(下)  转载请注明出处:http://blog.c
  • 何谓“IT人才外包”IT人才外包,是指企业根据需要将某一项或几项项目开发中所涉及的工作外包出去,交由其他企业安排程序员驻点开发。IT人才外包也叫程序员外包、...IT人才外包的好处与存在问题1人才外包的好处1、...
  • 云计算安全问题概述

    千次阅读 2013-01-13 23:42:08
     根据IDC在2009年年底发布的一项调查报告显示,云计算服务面临的前三大市场挑战分别为服务安全性、稳定性和性能表现。该三大挑战排名同 IDC于2008年进行的云计算服务调查结论完全一致。2009年11月,Forrester ...
  • 安全基础--22--安全测试

    万次阅读 多人点赞 2018-10-04 21:35:37
    一、安全漏洞评估 1、评估方式 自动化扫描:系统层漏洞大部分情况下使用自动化扫描 手工评估:耗时、不全面、技术要求高 2、评估流程 二、安全配置评估 1、安全配置评估分类 评估 说明 基础安全配置评估 在...
  • 2020 网络安全重保日记

    千次阅读 2020-11-27 16:11:17
    2020 年双节前夕,国内疫情稳定,长假将启,各项安保措施比以往有所升级,而此时更是网络安全重点保障时期,信息安全工作尤其不能懈怠。各用户单位也陆续启动响应,对网络安全负责人、联络人通知到位,深度排查网络...
  • 大家好,我今天分享的题目是《高可用实践:从淘宝到上云的差异》,取这个标题是因为会涉及到两个方面内容,一方面以淘宝为例子,传统的 IDC 的时候,我们稳定性是怎么做的,另外在云计算背景下,有很多创业公司是...
  • 浅谈系统实现层面稳定性保障

    千次阅读 2021-02-23 16:20:00
    必要时候用数据分析、数据驱动手段去证明,很可能分析结论发现整个盘子的天花板就在那里,那么一些需求就自然没有存在的理由,无价值的需求上去了除了浪费开发资源,还会带来系统复杂度的无意义升高,稳定性风险自然...
  • 关于电商行业网络安全解决方案

    千次阅读 2021-12-08 13:53:03
    根据《中国互联网络发展状况统计报告》显示,有近1/3的用户认为网上交易存在的主要问题是“安全性得不到保障”。那边雄安边将根据根据电商行业业务特点,大致阐述下电商行业网络安全安全解决方案。 应用场景 ...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 272,464
精华内容 108,985
关键字:

安全稳定工作存在的问题