网络分片 网络安全威胁就在眼前

正网络分片是自IT兴起以来就有的一种经过检验且可靠的网络安全原则。早在上世纪70年代,James Martin、Saltzer和Schroeder研究提出的最小权限和职责分离等概念让企业懂得了只能给用户提供业务所需要的系统访问权限,而不提供在此范围之外的权限。但是,在几十年的时间里,有无数的安全事件都是因为一些人获得了本不应该获得的未授权系统访问权限。显然这里出现了问题。例如,最近出现了来自中国的攻     

基于演化博弈的蜜罐有效性机理证明

借鉴自然界生物演变进化过程中复制动态的思想,基于演化博弈对蜜罐技术的有效性机理进行研究,分析网络中攻防双方如何根据自身行动策略及支付函数进行演变,从而使博弈收益最大化。演化博弈从一种全新角度诠释了博弈均衡概念,不再是完全理性也非完全信息,为纳什均衡和均衡战略的选择演绎出新方法。演化博弈过程中,防御方是包括普通服务和蜜罐的混合系统,其对手是访问混合系统的恶意攻击者,双方构成了博弈参与者。混合网络系统可看作一个生态系统,而来访者则只有攻击者一个种群;混合系统持续为来访者提供服务,攻击者可选择访问或不访问。论文基于复制动态方程推理计算满足演化稳定策略的均衡点,并利用Matlab平台仿真验证博弈双方的策略演变趋势,从而在理论上证明了蜜罐技术的有效性机理。     

构建以入侵检测为核心的威胁监测防治体系

网络入侵是威胁计算机或网络的安全机制(包括机密性、完整性、可用性)的行为。入侵可能是来自互联网的攻击者对系统的非法访问,也可能是系统的授权用户对未授权的内容进行的非法访问。入侵检测系统就是对发生在计算机系统或者网络上的事件进行监视、分析是否出现入侵的过程。入侵检测系统(IntrusionDetectionSystem,IDS)是自动进行入侵检测的监视和分析过程的硬件或软件产品。入侵监测系统处于防火墙之后对网络活动进行实时监测。许多情况下,由于可以记录和禁止网络活动,所以入侵监测系统是防火墙的延续。防火墙看起来好像可以满足系统管…     

构建跨区IP专用网络安全防范体系方案研究

互联网的开放性与通信协议的安全缺陷,加之数据信息存储以及对其访问与处理的网络环境分布性特点,使网络很容易受到的安全攻击,攻击者只需攻击一点,就可能造成网络传输的数据信息泄露或被破坏。可见,单一的网络安全产品或安全技术以及各种安全产品不足以保证网络的安全性。而构建跨区IP专用网络安全防范系统,就能从网络系统的各个不安全环节中找出安全漏洞,并采取相应的措施进行控制,有效地保证了网络信息的安全及系统的正常运行。     

MTD增强的网络欺骗防御系统

计算机网络正在飞速发展,但随之而来的系统破坏、信息泄露等网络安全问题也日益突出。攻击者在正式攻击前通常进行大量的网络侦查,以发现目标网络和系统上的可利用漏洞,而传统网络系统中的静态配置为攻击者发现网络目标和发起攻击提供了极大的优势。为了减轻攻击者持续性网络侦查攻击的有效性,基于软件定义网络开发了移动目标防御（moving target defense,MTD）增强的网络欺骗防御系统。该系统采用网络欺骗技术,混淆攻击者收集到的目标网络和系统信息,延长攻击者扫描到网络内真实脆弱性主机的时间,提高其时间成本;并在此基础上融合移动目标防御技术,动态随机地变换网络内节点的IP地址,增强网络欺骗系统的防御效能。实现了系统原型并对其进行评估,在虚拟网络拓扑规模为3个网段且地址变换周期为30 s的配置下,该系统将攻击者发现脆弱性主机的时间平均延迟7倍,将攻击者成功攻击脆弱性主机的概率降低83%,同时系统额外开销平均在8%以内。     

教你无线局域网安全问题解决方法二则

无线局域网安全问题一:容易侵入无线局域网非常容易被发现,为了能够使用户发现无线网络的存在,网络必须发送有特定参数的信标帧,这样就给攻击者提供了必要的网络信息。入侵者可以通过高灵敏度天线从公路边、楼宇中以及其他任何地方对网络发起攻击而不需要任何物理方式的侵入。解决方案:加强网络访问控制容易访问不等于容易受到攻     

基于权限变更规则的网络脆弱性分析方法

网络脆弱点有导致访问者权限变更的隐患。从攻击者如何利用脆弱点获取目标实体未授予访问权限的角度出发,本文通过对拥有权限变更特征的脆弱点统一建模,引入take权限变更规则和脆弱点权限变更规则的概念,在构建权限变更图基础上利用脆弱性权限变更算法进行权限变更路径的分析,得到网络权限变更闭包图及相应的权限获取路径。最后通过构建相应的网络实例分析并证明该方法的有效性。     

DDoS攻击原理与防御研究

DDoS攻击利用TCP／IP协议本身的漏洞和缺陷。攻击者利用成百上千个被“控制”节点向受害节点发动大规模的协同攻击。通过消耗带宽、CPU和内存等资源,达到被攻击者的性能下降甚至瘫痪和死机,从而造成其他合法用户无法正常访问。如果通过适当的办法增强了抵御DDoS的能力,也就意味着加大了攻击者的攻击成本,那么绝大多数攻击者将无法继续下去而放弃,也就相当于成功的抵御了DDoS攻击。     

DDoS攻击原理与防御研究

DDoS攻击利用TCP/IP协议本身的漏洞和缺陷。攻击者利用成百上千个被"控制"节点向受害节点发动大规模的协同攻击。通过消耗带宽、CPU和内存等资源,达到被攻击者的性能下降甚至瘫痪和死机,从而造成其他合法用户无法正常访问。如果通过适当的办法增强了抵御DDoS的能力,也就意味着加大了攻击者的攻击成本,那么绝大多数攻击者将无法继续下去而放弃,也就相当于成功的抵御了DDoS攻击。     

Internet防火墙

Ｉｎｔｅｒｎｅｔ防火墙是这样的系统（或一组系统）,它能增强 机构内部网络的安全性。防火墙系统决定了那些内部服务可以被外界访问;外界的那些人可以访问内部的那些可以访问的服务,以及那些外部服务可以被内部人员访问。要使一个防火墙有效,所有来自和去往Ｉｎｔｅｒｎｅｔ的信息都必须经过防火墙,接受防火墙的检查。防火墙必须只允许授权的数据通过,并且防火墙本身也必须能够免于渗透。但不幸的是,防火墙系统一旦被攻击者突破或迂回,就不能提供任何的保护了。 Ｉｎｔｅｒｎｅｔ防火墙的好处 Ｉｎ～ｔ防火墙负责管理Ｉｎｔｅｒｎ…     

CFan安全信息榜

补丁公告:微软安全公告MS06-045补丁相关:微软发布了一连串高危险级别的安全公告,其中影响最为广泛的MS06-045公告中修补了Windows集成的资源管理器在处理拖放事件的方式而导致远程执行代码的漏洞。用户使用Windows的资源管理器时由于资源管理器在处理GUID过程中出现溢出错误导致攻击者有机会在远程服务器对用户发起攻击并得到执行高级CMDSHELL的权限,当用户使用存在此漏洞的计算机访问攻击者构造的含有恶意代码的网站时,会产生一个受远程攻击者控制的CMDSHELL权限,从而导致用户计算机被远程控制。由于补丁发布前网络上已经出现…     

两个公钥加密方案的安全性分析

广播加密和基于属性加密是两种重要的公钥加密方案,可将加密内容同时传送给多个用户,在付费电视、数字版权管理和资源访问控制等领域有重要应用。对一个基于身份广播加密方案进行了分析,表明攻击者只要得到某个用户的私钥,就可以计算其他任何用户的私钥。研究了一个基于属性加密方案,该方案并不能真正地隐藏访问结构,攻击者仅由密文就能得到对应的访问结构。     

网络欺骗和嗅探技术研究

网络欺骗能够显著地增加攻击者的工作量、攻击复杂度以及不确定性,从而使攻击者不知道其进攻是否奏效或成功,而且它允许防护者跟踪攻击者的行为,在攻击者之前修补系统可能存在的安全漏洞。本文主要探讨网络欺骗和嗅探技术。     

保护数据不受侵害——逻辑隔离

服务器与域隔离,使得对计算机或网络间流动的网络通信流实现安全的逻辑隔离成为可能。当攻击者试图获得访问公司内部网络以及包含宝贵数据资产的服务器时,服务器与域隔离就会进行阻击。这是因为攻击者使用的计算机并非受信任的公司设备,即使攻击者使用的是有效用户账户和密码亦如此。通过使用服务器与域隔离技术实现的逻辑隔离方法,可以开发灵活、可伸缩并且易于管理的隔离解决方案。这种方案能够提供安全隔离,并没有物理边界那样需要成本和缺乏灵活性的缺陷。逻辑隔离9大优点引入逻辑隔离防护层的优点包括:更加安全。逻辑隔离防护层使网络…     

调教Win2008 让网络访问更高效

为了满足自己的尝鲜心理,局域网中的不少上网用户纷纷升级客户端系统,以便能够与Windows Server2008系统(以下简写为Win2008)进行亲密接触。可是,当我们在Win2008系统中按照常规思路、尝试访问网络时,发现操作并没有想像中那样顺利,有时还会出现网络访问速度缓慢,甚至无法正常访问的现象。对于这些奇怪的现象,有很多都是由Win2008系统默认的安全设置引起的,我们只要对该系统进行调教,就能让网络访问更加高效了!     

网络入侵容忍技术研究

容忍入侵技术是一种融合了容错技术和密码技术的新型网络安全技术。它承认系统存在脆弱点,并假定其中某些脆弱点可能会被攻击者利用。容忍入侵设计的目标是使系统在受到攻击,甚至某些部件受到破坏或被攻击者操控时,仍能维护正常的基本服务。传统的安全技术更多强调的是如何保护系统以使之免受入侵;而容忍入侵更强调了系统的某些部分即使已经受到攻击者破坏或被攻击者成功控制时,系统如何继续对外提供服务,并保证数据的秘密性和完整性。显然,这种新型信息安全技术更符合当前信息可生存性的需求,是一种很有前途的安全防护手段。     

基于网络特征混淆的欺骗防御技术研究

网络攻击之前通常有侦查阶段,攻击者通过流量分析和主动扫描等技术获取目标系统的关键信息,从而制定有针对性的网络攻击.基于网络特征混淆的欺骗防御是一种有效的侦查对抗策略,该策略干扰攻击者在侦查阶段获取的信息,从而使攻击者发动无效的攻击.对现有混淆欺骗防御方案的技术原理进行了分析,给出了网络混淆欺骗的形式化定义,并从3个层次...     

信息隐藏技术

采用传统密码学理论开发出来的加解密系统,不管是对称密钥系统(如DES)还是安全性更高的公开密钥系统(如RSA),对于机密文件的处理都是将其加密成密文,使得在网络传输过程中的非法拦截者无法从中获取机密信息,达到保密的目的。但是这种加密方法有一个致命的缺点,就是它明确地提示攻击者哪些是重要信息,容易引起攻击者的好奇和注意,并有被破解的可能性,而且一旦加密文件被破解,其内容就完全透明了。攻击者还有可能在破译失败的情况下将信息破坏,使得即使是合法的     

基于最优停止理论的网络欺骗防御策略优化

网络欺骗防御已经成为网络主动防御的重要手段.网络欺骗防御系统中,防御方主动释放部分有效信息来迷惑攻击者,受到诱骗的攻击者则会在欺骗诱捕环境中实施进一步攻击,直至攻击者识破诱骗手段或防御方主动驱逐攻击者.为研究如何在达到有效防御效果的同时,尽量减少欺骗环境所释放的有效信息,分别分析了欺骗防御模型和最优停止理论问题模型,确...     

Honeypot-网络陷阱

Honeypot是一个网络陷阱或欺骗系统,它可以诱惑攻击者,使他们将时间和资源都花费在攻击Honeypot上,从而保护工作系统免于攻击。它能监视和跟踪攻击者,收集攻击者的信息,以便分析系统所面临的威胁,学习攻击者的工具、策略和动机,因此在网络安全中起着积极防御的作用。文章将论述Honeypot的定义、作用和工作方式,简单介绍Honeypot系统的主要技术以及几种Honeypot的构造方法。