网络安全(一)：网络空间安全与网络完全的基本概念
网络空间安全研究的对象包括：应用安全、系统安全、网络安全、网络空间安全基础、密码学及其应用。
网络空间安全涵盖的主要内容如下：
1、OSI安全体系结构
OSI安全体系结构(security architecture)：安全攻击(security attack)、安全服务(security service)、安全机制(service mechanism)。
1.1、安全攻击
任何危及网络与信息系统安全的行为都视为"攻击"，分为"被动攻击"与"主动攻击"两类。
1.1.1、被动攻击
窃听或监视数据数据传输属于被动攻击(passive attack)。
网络攻击者通过在线窃听的方法，非法获取网络上传输的数据，或通过在线监视网络用户身份、传输数据的频率和长度，破译加密数据，非法获取敏感或机密的信息。
1.1.2、主动攻击
主动攻击(active attack)分为截获数据、篡改数据、伪造数据三种基本的方式。
截获数据：网络攻击者假冒或顶替合法的接收用户，在线截获网络上传输的数据。
篡改或重放数据：网络攻击者假冒接收者，从中截获网络上传输的数据之后，经过篡改再发送给合法的接收用户；或者是在截获到网络上传输的数据之后的某一时刻，一次或多次重放该数据，造成网络数据传输的混乱。
伪造数据：网络攻击者假冒合法的发送用户，将未伪造的数据发送给合法的接收用户。
1.2、网络安全服务
X.800标准定义：安全服务是开放系统各层协议为保证系统与数据传输足够的安全性所提供的服务。
RFE2828定义：安全服务是由系统提供的对网络资源进行特殊保护的进程或通信服务。
X.800标准将网络安全服务氛围5类，包括以下内容：
1.2.1、认证(authentication)
提供对通信实体和数据来源认证与身份鉴别
1.2.2、访问控制(access control)
通过对用户身份认证和用户权限的确认，防止未授权用户非法使用系统资源。
1.2.3、数据机密性(data confidentiality)
防止数据在传输过程中被泄露或被窃听。
1.2.4、数据完整性(data integrity)
确保接收的数据与发送数据的一致性，防止数据被修改、插入、删除或重放。
1.2.5、防抵赖(non-reputation)
确保数据有特定的用户发出，证明由特定的一方接收，防止发送方在发送数据后否认或接受方在收到数据后否认现象的发生。
1.3、网络安全机制
网络安全机制包括8项基本内容：
1.3.1、加密(encryption)
加密机制是确保数据安全性的基本方法，根据层次与加密对象的不同，采用不同的加密方法。
1.3.2、数字签名(digital signature)
数字签名机制确保数据的真实性，利用数字签名技术对用户身份和消息进行认证。
1.3.3、访问控制(access control)
访问控制机制按照事先确定的规则，保证用户对主机系统与应用程序访问的合法性。当有非法用户企图入侵时，事先报警与记录日志的功能。
1.3.4、数据完整性(data integrity)
数据完整性机制确保数据单元或数据流不被复制、插入、更改、更新排序或重放。
1.3.5、认证(authentication)
认证机制用口令、密码、数字签名与生物特征等手段，实现对用户身份、消息、主机与进程的认证。
1.3.6、流量填充(traffic padding)
流量填充机制通过在数据流填充冗余字段的方法，预防网络攻击者对网络上传输的流量进行分析。
1.3.7、路由控制(routing control)
路由控制机制通过预先安排好路径，尽可能使用安全的子网与链路，保证数据传输安全。
1.3.8、公正(notarization)
公证机制通过第三方参与的数字签名机制，对通信实体进行实时或非实时的公正，预防伪造签名与抵赖。
1.4、网络安全模型与网络安全访问模型
1.4.1、网络安全模型
网络安全模型涉及三类对象：通信对端(发送端用户与接收端用户)、网络攻击者和可信的第三方。发送端通过网络通信信道将数据发送到接收端。网络攻击者可能在通信信息上伺机窃取传输的数据。
为保证网络通信的机密性、完整性、需要做两件事：一是对传输数据的加密与解密；二是需要有一个可信的第三方，用于分发加密的密钥或通信双方身份的确认。
网络安全模型规定4项基本任务：
1、设计用于对数据加密与解密的算法
2、对传输的数据进行加密
3、对接收的加密数据进行解密
4、指定加密、解密的密钥分发和管理协议。
2、网络访问安全模型
网络访问安全模型示意图如下：
网络访问安全模型主要针对两类对象：一类是网络攻击者，另一类是"恶意代码"类的软件。
网络攻击者与恶意代码对网络计算机资源攻击的行为分为服务攻击与非服务攻击两类。
服务攻击是指网络攻击者对服务器发起攻击，造成服务器不正常，甚至造成服务器瘫痪；非服务攻击不针对某项具体的应用服务，而是针对网络设备或通信线路，攻击者使用各种方法对各种网络设备以及通信线路发起攻击，使得网络设备出现严重阻塞甚至瘫痪，或者造成通信线路阻塞，最终使网络通信中断。
