操作系统安全威胁解析

认识信息安全问题通常是从对系统所遭到的各种成功或未成功的入侵攻击的威胁开始的。安全威胁是指某人、物、事件、方法或概念等因素对某信息资源或系统的安全使用可能造成的危害。为了理解现有的安全威胁及类型，首先介绍安全的三个基本目标：机密性（Confidentiality），完整性（Integrity），可用性（Availability）。

机密性：指计算机系统中的信息只能被授权者使用而不泄漏给未经授权者的特性。

完整性：指保证计算机系统中的信息在存储和传输过程中未经授权不能被改变的特性。

可用性：指保证计算机系统和系统中的信息随时为授权者提供服务的特性。

以上安全的三个基本目标也被简称为信息安全的CIA特性。此外，还有一些其他的安全目标，如可控性（Controllability），可认证性（Authenticity），不可否认性（Nonrepudiation），它们可以看成是从三个基本目标延伸而来。

可控性：指被授权者可以控制计算机信息系统和信息使用的特性。

可认证性：指计算机系统能证实用户的身份，防止非法用户侵入系统。

不可否认性：指任何实体都无法否认其实施过的信息行为的特性。

安全威胁可能危及上述不同的安全目标。下面介绍安全威胁的主要表现形式。

8.2.1 病毒和蠕虫

1.病毒

《中华人民共和国计算机信息系统安全保护条例》中明确定义，病毒是指：“编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或程序代码”。病毒的主要特点之一是它不能作为独立的可执行程序运行，而是寄生在其他程序之中，当执行这个程序时，病毒发作。自我复制是病毒的另一个核心特征，它不需要操作者手动复制其代码，能够在文件之间、目录之间、磁盘之间，甚至系统之间进行传播。

2.蠕虫

蠕虫是一种可以自我复制的代码，并且通过网络传播，通常无需人为干涉就能传播。近年来，蠕虫正在迅速增长，变得更加隐蔽，智能化，越来越具有破坏性。蠕虫的代表包括Morris蠕虫、尼姆达（Nimda）、熊猫烧香、SQL蠕虫王等。它与传统病毒的一个差别是不需要寄生在宿主文件中。蠕虫具有传染性，它通过在互联网环境下复制自身进行传播，传播途径包括局域网内的共享文件夹、电子邮件、网络中的恶意网页和大量存在着漏洞的服务器等，传染目标是互联网内的所有计算机。能够利用漏洞，也是蠕虫和传统病毒不同的另一个特征。(www.xing528.com)

8.2.2 逻辑炸弹

逻辑炸弹是比病毒和蠕虫出现更早的程序威胁类型之一。一般逻辑炸弹都被添加在被感染应用程序的起始处，每当该应用运行时就会运行炸弹。当遇到某些特定条件时，它便会“爆发”。可以引爆逻辑炸弹的条件很多，比如某些特定文件的存在或缺失、遇到某个特定的日期或星期，或者是某个特定用户运行应用程序等。逻辑炸弹一旦贝引爆，将修改或删除文件中的数据甚至整个文件，引起系统停机、速度减慢或崩溃等危害。逻辑炸弹不能复制自身，不能感染其他程序。

8.2.3 特洛伊木马

特洛伊木马的名字源于古希腊特洛伊战争中的著名的“木马计”，它是一段计算机程序，从表面上看是合法的，但实际上却是以控制计算机为目的，隐含着恶意企图。随着Internet的普及，木马逐渐形成了独特的伪装和传播特征，作为黑客窃取信息的工具四处泛滥。木马的传播方式主要通过电子邮件附件，被挂载木马的网页以及捆绑了木马的应用软件。木马被下载安装后完成修改注册表、驻留内存、安装后门、设置开机加载，甚至使杀毒软件、防火墙失效。

不同特洛伊木马可归入下列三种模式之一：

●在继续执行原软件功能之外还执行一个独立的恶意动作。

●继续执行原软件的功能，但将功能改动以便能执行恶意动作或者掩饰其他恶意动作。

●执行恶意功能并完全取代原有程序的功能。

8.2.4 隐蔽通道

隐蔽通道的概念首先是由Lampson提出的，他认为如果一个通信通道完全不是被设计用来传递信息的，那么这个通道就是不为人知的，是个隐蔽的，就可以称之为是一个隐蔽通道。TCSEC给出的定义是：隐蔽通道是一种机制，它是能用来传递信息的通道，以违反系统安全策略的方式运行。隐蔽通道本身是建立在安全防范措施之下的信息通道，所以隐蔽通道很多是利用操作系统、底层协议等基础软件系统进行传递信息的。

按照信息存放的方式进行分类，可以分为存储隐蔽通道和时间隐蔽通道，存储隐蔽通道就是利用存储这个公用资源进行信息传递。时间隐蔽通道就是利用系统时间这个资源进行信息隐蔽传递，由于计算机对时间要求的精度很高，使得隐蔽通道的建立成为可能，而且由于主频越来愈高，使得隐蔽通道的建立者可以在很短的时间里面快速传递自己想要传递的信息。

同样，按照信息通道的特性，可以分为有噪声隐蔽通道和无噪声隐蔽通道。噪声隐蔽通道的含义是隐蔽通道中处理传递隐蔽通道信息外还有别的信息传递，比如说利用标准协议的空白字段进行传递信息的方式就是一种噪声隐蔽通道，无噪声隐蔽通道的含义是这个通道只传输隐蔽通道建立者需要传输的内容。无噪声隐蔽通道所使用的隐蔽通道是专属于他们的传输介质，而有噪声的隐蔽通道则还需要被其他的进程或者资源使用。

按照共享变量的利用方式，可以分为聚集的隐蔽通道和非聚集隐蔽通道。如果一个隐蔽通道中的操作能对系统中多个资源或者资源属性起作用，而这多个资源或者资源属性可以分别作为传递信息的媒介，那么这类隐蔽通道就称为聚合隐蔽通道，如果操作中的系统资源或者资源属性只有一个可以作为传递信息的媒介，那么这类隐蔽通道就被称为非聚合隐蔽通道。