信息安全

本周一在发布"计算机与网络安全系列书单推荐"时，hblf的朋友圈给了我一定触动，"信息安全如何入门"这个问题让我想到了一些有趣的东西，所以抽空写一写自己的答案。 "信息安全如何入门"这个问题我觉得需要拆成3个部分来回答：信息安全包括什么？什么算入门？你要如何学习？ 备注：本文中的信息安全没有特意区分cyber security、data security等。 1.信息安全包括什么 我个人觉得我是回答不完全这个问题的，只能尽我所能来回答。 首先我们来看看知乎上，关于"信息安全如何入门"的相关问题都有哪些？ 黑客如何学起？ 如何学习网络安全？ 谁能给个网络安全的学习路线啊？ 挣钱多不多，我想转行 因为篇幅原因，大家可以自己去搜索查看(看完请会心一笑)，然后我们再来看看经常在QQ被问的问题： **师傅，我想学挖洞，可以带带我嘛？**其实在面对这类型问题的时候，我很想说一句：“我带你”，可是真相是我自己都胖的飞不起来，如何带你。 **表哥，我想改教务系统的成绩 or 我想把xxx网站黑下来？**你们知道这是犯法的嘛？没事多去看看网络安全法好么？ **老同学，帮我盗个QQ好么？**盗不下来啊！**你不是搞信息安全的嘛？**我是啊！**那你还盗不下来？**我……………… 当然了还有最过分的就是：**你帮我修个电脑吧，我电脑卡的不行，一定是中毒了。**看了一下，大姐不带这么玩的

《要维持一个安全的网络环境必须具备的四个安全能力》 1.风险预测能力 通过运用大数据技术对内部的安全数据和外部的危险情报进行主动探索分析和评估，能够使危险出现前提早发现问题，遇见肯能出现的危险调整安全策略进行防护 2.***防御能力 采用加固和隔离系统降低***面限制***接触系统发现漏洞和执行代码的能力，并通过转移***手段使***者难以定位系统核心以及可利用漏洞，通过事故预防和安全策略合规审计的方式，通过统一的策略管理和策略联动，防止***未授权进入系统 3.危险检测能力 通过对业务数据和基础设施的全面检测结合现有安全策略提出整改建议，与网络运维系统联动，实现安全策略整改和变更后持续进行监控，结合外部情况快速发现安全漏洞并进行响应。 4.事件响应能力 与网络运维系统进行对接实现安全联动，出现安全漏洞时短时间内进行安全策略的快速调整，被感染的系统和账号进行隔离，通过回顾和分析事件完整过程，利用持续监控所获取的数据，解决相应的安全问题 网络层安全防护 设计 1、通过FW或vFW中的FW、AV、IPS 模块实现网络层访问控制、恶意代码 防护、***防御。 2、在各个内网安全域边界处，部署防火墙实现域边界的网络层访问控制。 3、在内网边界处部署流量监控设备，实现全景网络流量监控与审计，并对 数据包进行解析，通过会话时间、协议类型等判断业务性能和交互响应时间。 主机层安全防护与 设计 1

一、密码常识 1.1 信息安全面临的问题以及解决方案 记住： 不要过于依赖密码保证信息安全，因为任何密码都会有被破解的一天； 不要使用低强度的密码； 不要使用保密的密码算法； 信息安全是一个系统的问题，密码只是信息安全的一部分； 1.2 加密三要素 明文和密文：加密处理的数据。 秘钥（key）：用于生成明文的一串数字。 算法（algorithm）：用于解决复杂问题的步骤。从明文生成密文的步骤，也就是加密的步骤，称为“加密算法"，而解密的步骤则称为“解密算法"。 1.3 凯撒密码 恺撒密码（Caesar cipher）是一种相传尤利乌斯·恺撒曾使用过的密码。恺撒于公元前100年左右诞生于古罗马，是一位著名的军事统帅。 恺撤密码是通过将明文中所使用的字母表按照一定的字数“平移”来进行加密的。 为了讲解方便，我们用小写字母（a，b，c，…）来表示明文，用大写字母（A，B，C，…）来表示密文。 现在我们将字母表平移3个字母，于是，明文中的a在加密后就变成了与其相隔3个字母的D，以此类推。b变成E，c变成F，d变成G…v变成Y，w变成Z，而x则会回到字母表的开头而变成A，相应地，y变成B，z变成C。通过下图我们可以很容易地理解“平移"的具体工作方式。 比如英文 hello ，加密后的数据变为 KHOOR 。 恺撒密码的解密过程是使用与加密时相同的密钥进行反向的平移操作。比如上面例子

好多企业网站遭遇黑客攻击，像黑客入侵在互联网只要有数据网络，就能使用数据网络远程操作目标的笔记本电脑、网络服务器、企业网站，从而任意地读取或篡改目标的重要数据，又又或者使用目标系统软件上的功能模块，比如对手机的麦克风开展监听，开启对方摄像头开展监控，使用已经被入侵的设备计算能力开展挖矿从而得到虚拟货币，使用目标设备的网络带宽能力发动CC并发攻击方式其他人等等。又或者是破解了一个数据库服务器的密码，进去查看敏感数据信息、远程操作门禁/红绿灯。以上这种都属于经典的黑客入侵场景。 我们SINE安全能够 给企业网站被入侵下一个定义：就是黑客入侵在未经许可授权的状况下，远程操作、使用我方网络资源（包括但不限于读写数据、执行命令、远程操作网络资源等）达到各种最终目的。从理论上讲，黑客入侵依照站点的sql语句注入安全漏洞开展数据库攻击方式，又或者拿到了目标域名在服务商中的帐号密码，篡改DNS服务器去指向一个黑客制作好的页面，又又或者找到了目标的社交邮箱账号，登录邮箱后，对数据网络虚拟资产开展非授权的远程操作，都属于被黑客入侵的范畴。 针对企业的站点漏洞扫描 企业网站安全漏洞漏洞扫描的范畴，在大多数情况下状况下都是比较统一的目的：一般特指黑客入侵对PC电脑、操作系统软件、网站服务器、远程办公平台（涉及OA办公网、生产网）远程操作的行为。 黑客入侵企业对PC、网络服务器等主机资产的远程操作

1.随时检查系统安全漏洞，安装系统补丁。不管是Windows还是Linux，操作系统都会有漏洞，及时装上补丁，避免被不法分子恶意利用攻击. 2.安装并升级杀毒软件。目前网络上的病毒越加猖獗，随时会影响到网站服务器的安全，因此，系统要安装上杀毒软件来提前预防病毒的传播，并定期检查升级杀毒软件，自动更新病毒库。 3.定期对服务器数据进行备份。为预防突发的系统故障而导致的数据丢失，平时就要定期对系统数据进行备份，同时，重要的系统文件建议存放在不同的服务器上，以便系统出故障时能将损失降到最低。 4.定期对账号密码进行修改保护。账号和密码保护可以说是服务器系统的第一道防线，目前大部分对服务器的网络攻击都是从密码开始的，一旦不法分子截获了密码，那么前面所做的所有安全防护措施都将失去了作用。 5.关闭不常用的服务和端口。服务器操作系统在安装时，会启动一些不需要的服务，不仅占用了系统的资源，还会增加系统的安全隐患。因此，定期检查系统运行中的软件和服务，没有使用的就关闭掉。 来源： CSDN 作者： kf305 链接： https://blog.csdn.net/kf305/article/details/104711735

# 2017-2018-1 20155239 《信息安全系统设计基础》第八周课下作业 补充课上测试： 1.参考 http://www.cnblogs.com/rocedu/p/6766748.html#SECCLA 在Linux下完成“求命令行传入整数参数的和” 测试代码传入自己的8位学号 上方提交代码 代码如下： add.c #include <stdio.h> int main(int argc,char *argv[]){ int a,b; int i=0; int sum=0; for(i=1;i<100;i++){ if(argv[i]=='\0'){ break; } sum+=atoi(argv[i]); } printf("%d\n",sum); return 0; } 2.把第一个练习中的代码在X86-64（Ubuntu）中反汇编，给出汇编代码和机器码的截图 把X86-64汇编翻译成Y86-64汇编，并给出相应机器码的截图（使用附件中的Y86-64模拟器） add.c #include <stdio.h> int main(int argc,char *argv[]){ int a,b; int i=0; int sum=0; for(i=1;i<100;i++){ if(argv[i]=='\0'){ break; } sum+=atoi(argv[i]); }

目前，无论是企业还是个人都具有了一定的安全意识，尤其对于企业而言，他们对于安全的要求越来越高，想要选择一款合适的企业加密软件来保护自身企业内部数据文件的安全，防止因为内部员工离职等情况造成的有意或者无意的数据泄漏，因而，想要通过选择一款安全性高的 企业加密软件 来保证企业数据文件的使用安全，防止数据泄漏事件，为企业构建高效有用的加密方案！ 电脑文件加密软件如何选择？作为企业在选择电脑文件加密软件的时候，首先需要清晰的了解自身企业的需求，然后通过自身的需求构思布局选择专业的电脑文件加密软件，由于国内近年来，数据信息安全一直都是互联网企业关注的重点，对于现在的企业来说，加密软件的使用率也得到了显著的提升，因为加密软件在现今的市场中具有显著的地位。 正是因为国内对于数据安全的重视程度的不断提升，国内的数据防泄漏软件的品牌也不断增多，那么这也就给企业造成一定的困扰，面对繁多的加密软件产品，企业应该如何去选择自身合适的产品？ 站在企业角度来构建布局加密软件来保护数据安全，对于企业而言，加密技术的选择是基础也是重要环节，目前市面的加密软件主要分为驱动层加密和应用层加密，其区别在于驱动层透明加密在Windows底层进行的，其安全性高，其使用便捷也是目前国内互联网企业选择加密软件的常用技术之一。 作为国内优秀的电脑文件加密厂商，风奥科技在长期的发展研究中

OpenSSH 7.7前存在一个用户名枚举漏洞，通过该漏洞，攻击者可以判断某个用户名是否存在于目标主机中。 参考链接： http://openwall.com/lists/oss-security/2018/08/15/5 https://github.com/Rhynorater/CVE-2018-15473-Exploit https://www.anquanke.com/post/id/157607 漏洞复现 使用CVE-2018-15473-Exploit，枚举字典中的用户名： python3 sshUsernameEnumExploit.py --port 20022 --userList exampleInput.txt your-ip 可见，root、example、vulhub、nobody是存在的用户，rootInvalid、user、phithon是不存在的用户。 来源： https://www.cnblogs.com/yyxianren/p/12426228.html

受疫情环境的影响，响应国家疫情防控号召，全国各地的企事业单位都开始了居家办公，远程办公的模式，对于企业而言，这样的环境下，有利有弊，弊在于原本安全的企业内部加密环境，由于居家办公，处于开放状态，作为互联网企业，现阶段如何实现居家办公的数据文件使用安全？对于局部省份，已经解封环境下，正式办公中，企业数据信息安全又该如何管控？ 接下来，风奥科技小编将为互联网企业提供居家办公以及企业环境下办公的数据安全解决方案！ 对于目前已经复工的企业，如何构建数据安全防护解决方案？广东地区， 企业数据防泄漏 软件应该如何布局和使用？ 对于局域网内部办公的企业，如何保证数据文件使用安全？这里以风奥金甲企业加密软件为例，通过在企业布局企业加密软件如何实现对数据文件的使用安全。 金甲企业加密软件作为一款专业的 企业加密软件 品牌，其产品主要分为服务器端和客户端，通过服务器端来管控客户端电脑下数据文件的使用安全。 在企业布局金甲加密软件之前，首先需要对企业的环境做一个调研，了解企业的办公环境，以及企业需要在哪些部门实施部署加密以及需要加密哪些类型的数据文件等等，了解好这些以后，选择适合配置的电脑上安装金甲服务器端，然后在需要部署加密环境的部门电脑上安装金甲客户端，最后根据企业对于数据安全的实际需求，在金甲服务器端设置相关的设置权限以及涉密进程等等进行选择，设置完成后，更新策略

我们期望用户能够注册登录，面对复杂的注册流程，很多用户被吓跑。我们能不能把注册设计得更傻瓜？ 在注册用户时，通常需要采集的信息有：用户名、密码、验证码、手机号、邮箱、个人信息等。一个完整的注册功能应该考虑到以下几个问题： 有用户名和密码（这不是废话吗，没有怎么登陆？） 有找回密码的途径（例如忘记密码邮箱、手机号） 验证码（防止恶意注册） 用户协议 在设计注册功能时，通常是用户体验与信息采集量、安全性、费用三个方面的权衡，通常是相悖的。 用户体验越好，信息采集量就越少，你不能同时采集一堆个人信息，又让用户具有良好的用户体验 用户体验好，需要在密码设置这块尽量减少用户的输入。为了用户能够密码安全，通常需要两次确认密码、需要隐藏密码、甚至需要规定用户密码必须有数字、字母、字符，这显然增加用户的工作量。 现在越来越多用手机号作为账号，而手机号可以通过短信发送密码，因此用户可以不用输入密码，直接由系统短信分发，每次发送短信都需要支付短信费用，这个开支还是比较高的。 下面我来分析一下用户名、密码和验证码的注册体验。 用户名 通常在用户名这块有这样几种方式：自定义用户名、手机号、邮箱三种。用户名要达到的目的是：简短易记忆、能找回密码。这三种方式各有利弊。自定义用户可以有一个易记的登录名，但必须配合邮箱来找回密码；邮箱便于找回密码，但是太长；手机号兼备两者有点，不算太长、方便记忆、便于找回密码