2021-2022-1学期 20212422《网络空间安全导论》第十周学习总结

第三章 网络安全基础

3.1 网络安全概述

3.1.1 网络安全现状及安全挑战

1.网络安全现状

（1）计算机病毒层出不穷，肆虐全球，并且逐渐呈现新的传播态势和特点。
（2）黑客对全球网络的恶意攻击势头逐年攀升。
（3）由于技术和设计上的不完备，导致系统存在缺陷或安全漏洞。
（4）世界各国军方都在加紧进行信息战的研究。

2.敏感信息对安全的需求

根据多级安全模型，通常将信息的密级由低至高划分为秘密级、机密级和绝密级，以确保每一密级的信息仅能对于那些被认为让那些具有高于或等于该权限的人使用。所谓机密信息和绝密信息，是指国家政府对军事、经济、外交等领域严加控制的一类信息。对于那些敏感但非机密的信息，也需要通过法律手段加以保护，以防信息泄露或被恶意篡改。政府的秘密级、机密级和绝密级信息一旦泄露，后果不堪设想。

3.网络应用对安全的需求

如何保护如雨后春笋般涌现的应用的安全，是一个巨大的挑战。

3.1.2 网络安全威胁与防护措施

1.基本概念

·安全威胁，是指某个人、物、事件或概念对某一资源的保密性、完整性、可用性或合法使用所造成的危险。攻击就是某个安全威胁的具体实施。

·防护措施是指保护资源免受威胁的一些物理的控制、机制、策略和过程。脆弱性是指在实施防护措施中或缺少防护措施时系统所具有的弱点。

·风险，是对某个已知的、可能引发某种成功攻击的脆弱性的代价的测度。

2.安全威胁的来源

（1）基本威胁
①信息泄露
信息被泄露或透露给某个非授权的人或实体。这种威胁来自注入窃听、搭线或其他更多错综复杂的信息探测攻击。

②完整性破坏
数据的一致性通过非授权的增删、修改或破坏而受到损坏。

③拒绝服务
对信息或资源的访问被无条件地阻止。

④非法使用
某一资源被某个非授权的人或以某种非授权的方式使用。 例如 ， 侵人某个计算机系统的攻击者会利用此系统作为盗用电信服务的基点 ， 或者作为侵人其他系统的“桥头堡”。

（2）主要的可实现威胁
主要渗入威胁：
①假冒
某个实体（人或系统 ） 假装成另外一个不同的实体。 这是突破某一安全防线最常用的方法。 这个非授权的实体提示某个防线的守卫者 ， 使其相信它是一个合法实体 ， 此后便攫取了此合法用户的权利和特权。 黑客大多采取这种假冒攻击方式来实施攻击。

②旁路控制
为了获得非授权的权利和特权，某个攻击者会发掘系统的缺陷和安全漏洞。例如，攻击者通过各种手段发现原本应保密但又暴露出来的一些系统“特征"。攻击者可以绕过防线守卫者侵人系统内部。

③授权侵犯
一个授权以特定目的使用某个系统或资源的人，却将其权限用于其他非授权的目的。这种攻击的发起者往往属于系统内的某个合法的用户，因此这种攻击又称为“内部攻击"。

主要植入威胁：
①特洛伊木马
软件中含有一个不易觉察的或无害的程序段，当被执行时，它会破坏用户的安全性。例如，一个表面上具有合法目的的应用程序软件，如文本编辑软件，它还具有一个暗藏的目的，就是将用户的文件复制到一个隐藏的秘密文件中，这种应用程序就称为特洛伊木马。此后，植人特洛伊木马的那个攻击者就可以阅读到该用户的文件。

②陷门
在某个系统或其部件中设置“机关"，使在提供特定的输人数据时，允许违反安全策略。例如，如果在一个用户登录子系统上设有陷门，当攻击者输人一个特别的用户身份号时，就可以绕过通常的口令检测。

（3）潜在威胁
①窃听
②流量分析
③操作人员的不慎所导致的信息泄露
④媒体废弃物所导致的信息泄露

3.安全防护措施

除了密码技术防护措施外，还有其它类型的防护措施：
①物理安全
②人员安全
③管理安全
④媒体安全
⑤辐射安全
⑥生命周期控制

3.1.2 安全攻击的分类及常见形式

（1）被动攻击
被动攻击的特性是对所传输的信息进行窃听和监测。攻击者的目标是获得线路上所传输的信息。第一种被动攻击时窃听攻击，第二种是流量分析。

（2）主动攻击
①伪装攻击
②重放攻击
③消息篡改
④拒绝服务

（3）网络攻击的常见形式
①口令窃取
②欺骗攻击
③缺陷和后门攻击
④认证失效
⑤协议缺陷
⑥信息泄露
⑦指数攻击——病毒和蠕虫
⑧拒绝服务攻击

3.1.4 开放系统互连模型与安全体系结构

1.安全服务

安全服务是一种由系统提供的对资源进行特殊保护的进程或通信服务。安全服务通过安全机制来实现安全策略。
（1）认证：认证服务于保证通信的真实性有关。有两个特殊的认证服务：
①同等实体认证
②数据源认证
（2）访问控制：访问控制对哪些通过通信链接对主机和应用的访问进行限制和控制。
（3）数据保密性：保密性是防止传输的数据遭到诸如窃听、流量分析等被动攻击。
（4）数据完整性：与保密性相比，数据完整性可以应用于消息流、单条消息或消息的选定部分。
（5）不可否认性：不可否认性防止发送方或接收方否认传输或接收过某条消息。
（6）可用性服务：可用性服务能确保系统的可用性，能够对付由拒绝服务攻击引起的安全问题。

2.安全机制

分8种特定安全机制和5种普遍安全机制。

3.安全服务与安全机制的关系

4.在OSI层中的服务配置

3.1.5网络安全模型

网络安全模型说明，设计安全服务应包含4个方面内容：
1.设计一个算法，它执行与安全相关的变换，该算法应是攻击者无法攻破的。
2.产生算法所使用的秘密信息。
3.设计分配和共享秘密信息的方法。
4.指明通信双方使用的协议，该协议利用安全算法和秘密信息实现安全服务。

该模型由6个功能实体组成：消息的发送方（信源）、消息的接收方（信宿）、安全变换、信息通道、可信的第三方和攻击者。

3.2 网络安全防护技术

3.2.1防火墙

1.防火墙概述

·防火墙是由软件和硬件组成的系统，它处于安全的网络和不安全的网络之间，根据由系统管理员设置的访问控制规则，对数据进行过滤。
处理方法有三种：
1.允许数据流通过。
2.拒绝数据流通过。
3.将这些数据流丢弃。

·所有进出网络的数据流必须经过防火墙。

·只允许经过授权的数据通过防火墙。

·防火墙自身对入侵是免疫的。

·防火墙不是一台普通的主机，它自身的安全性比普通主机更高。凡是没有明确“允许的”服务，一律都是“禁止的”。必须对内部主机施加适当安全策略，以加强对内部主机的安全防护。外部过滤器用来保护网关免受侵害，而内部过滤器用来防备因网关被攻破而造成的恶果。

2.防火墙分类

根据防火墙在网络协议栈中的过滤层次不同，通常将防火墙分为3种：
①包过滤防火墙
②电路级网关防火墙
③应用级网关防火墙

第四代防火墙：状态检测防火墙

防火墙检查的数据包越靠近OSI模型的上层，该防火墙结构所提供的安全保护等级就越高。

3.防火墙原理简介

·静态包过滤防火墙采用一组过滤规则对每个数据包进行检查，然后根据检查结果确定是转发、拒绝还是丢弃该数据包。这种防火墙对从内网到外网和从外网到内网两个方向的数据包进行过滤，其过滤规则基于IP和TCP/UDP头中的几个字段。

·防火墙首先默认丢弃所有数据包，然后再逐个执行过滤规则，以加强对数据包的过滤。对于静态包过滤防火墙来说，决定接受还是拒绝一个数据包，取决于对数据包中的IP头和协议头等特定区域的检查和判定。判决仅依赖于当前数据包的内容。

·网络安全监视器第一次直接将网络流作为审计数据来源，因而可以在不讲审计数据转换成统一格式的情况下监视一种主机。

3.2.2 入侵检测系统

1.入侵检测系统概述

·监视、分析用户及系统的活动
·系统构造和弱点的审计
·识别反映一直进攻的活动模式并向相关人员报警
·异常行为模式和数据文件的完整性
·操作系统的审计跟踪管理，并识别用户违反安全策略的行为

IDS的主要功能如下：
①网络流量的跟踪与分析功能
②已知攻击特征得识别功能
③异常行为的分析、统计与响应功能
④特征库的在线胡离线升级功能
⑤数据文件的完整性检查功能
⑥自定义的响应功能
⑦系统漏洞的预报警功能
⑧IDS探测器集中管理功能

入侵监测系统模型主要由4个部分组成：数据收集器、检测器、知识库、控制器。

2.入侵检测系统分类

根据数据来源的不同，IDS可以分为以下3种基本结构：
（1）基于网络的入侵检测系统（NIDS)
（2）基于主机的入侵检测系统(HIDS)
（3）分布式入侵检测系统（DIDS)

根据入侵检测的策略，IDS可分为：
（1）滥用检测
（2）异常检测
（3）完整性分析

3.入侵检测系统原理简介

入侵检测架构{CIDF），将一个入侵检测系统分为以下组件：
①事件产生器
②事件分析器
③响应单元
④事件数据库

一个入侵检测系统的功能至少包含事件提取、入侵分析、入侵响应和远程管理4部分功能。

3.2.3 虚拟专网

1.VPN概述

（1）费用低。 由于企业使用 ，Internet进行数据传输 ，相对于租用专线来说 ，费用极为低廉 ，所以VPIN的出现使企业通过Internet既安全又经济地传输机密信息成为可能。
（2）安全保障。 虽然实现VPN的技术和方式很多 ，但所有的VPN均应保证通过公用网络平台所传输数据的专用性和安全性。 在非面向连接的公用网络上建立一个逻辑的、点对点的连接，称为建立了一个隧道。 经由隧道传输的数据采用加密技术进行加密 ，以保证数据仅被指定的发送者和接收者知道，从而保证了数据的专用性和安全性。
（3）服务质量保证（ Qos） 。 VPN应当能够为企业数据提供不同等级的服务质量保证。不同的用户和业务对服务质量（Qos） 保证的要求差别较大。 例如 ，对于移动办公用户来说，网络能提供广泛的连接和覆盖性是保证VPN服务质量的一个主要因素；而对于拥有众多分支机构的专线VPN，则要求网络能提供良好的稳定性；其他一些应用（如视频等）则对网络提出了更明确的要求，如网络时延及误码率等。
（4）可扩充性和灵活性。VPN必须能够支持通过内域网（Intranet）和外联网（Extranet）的任何类型的数据流、方便增加新的节点、支持多种类型的传输媒介，可以满足同时传输语音、图像和数据对高质量传输及带宽增加的需求
（5）可管理性。从用户角度和运营商角度来看，对VPN进行管理和维护应该非常方便。在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴处。虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。因此，VPN管理系统是必不可少的。VPN 管理系统的主要功能包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容

2.VPN分类

按协议分类：PPTP、VPN、L2TP VPN、MPLS VPN、IPSec VPN、GRE VPN、SSL VPN、Open VPN。

按协议工作在OSI7层模型的不同层上分类，可以分为：第2层数据链路层中的PPTP VPN、L2TP VPN、MPLS VPN；第三层网络层的IPSec、GRE；以及位于传输层与应用层之间的SSL VPN。

根据访问方式的不同，VPN可分为两种类型：一种是移动用户访问VPN连接；另一种是网关-网关VPN。

3.IPSec VPN原理简介

VPN的精髓在于对数据包进行重新封装。

4.TLS VPN与IPSec VPN的比较

3.2.4 计算机病毒防护技术

1.计算机病毒防护概述

计算机病毒的定义和特点
（1）破坏性
（2）传染性
（3）隐蔽性

计算机反病毒技术与发展历史
①基于简单特征码查杀的单一专杀工具阶段
②基于广谱特征码查杀、主动防御拦截的综合杀毒软件阶段。
③基于云、人工智能和大数据技术的互联网查杀阶段。

2。计算机病毒分类

（1）木马型病毒
（2）感染型病毒
（3）蠕虫型病毒
（4）后门型病毒
（5）恶意软件

3.计算机病毒检测原理简介

最主要部分：采样、匹配、基准。

主流检测技术：基于特征码的传统检测技术、基于行为的动态检测技术、基于云技术的云查杀技术、基于大数据处理与人工智能学习算法的智能查杀技术。

3.2.5 安全漏洞扫描技术

1.漏洞是扫描技术概述

漏洞扫描的具体实施效果一般依赖于如下几方面因素：
（1）漏洞是否公开
（2）系统指纹信息采集准确度
（3）漏洞EXP是否存在

2.漏洞扫描技术分类

（1）系统扫描：原理检测，版本检测
（2）应用扫描

3.漏洞扫描原理简介

漏洞扫描分为如下步骤：
（1）存活判断
（2）端口扫描
（3）系统和服务识别
（4）漏洞检测
漏洞检测可分为两类：
（1）原理检测
（2）版本检测

3.3 网络安全工程与管理

3.3.1安全防护等级

1.等级保护概述

·网络分为五个安全保护等级

等级划分：
第一级:一旦受到破坏会对相关公民、法人和其他组织的合法权益造成损害,但不危害国家安全、社会秩序和公共利益的一般网络。

第二级:一旦受到破坏会对相关公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成危害,但不危害国家安全的一般网络。

第三级:一旦受到破坏会对相关公民、法人和其他组织的合法权益造成特别严重损害，或者会对社会秩序和社会公共利益造成严重危害,或者对国家安全造成危害的重要网络。

第四级:一旦受到破坏会对社会秩序和公共利益造成特别严重危害,或者对国家安全造成严重危害的特别重要网络。

第五级:一旦受到破坏后会对国家安全造成特别严重危害的极其重要网络。

等级保护分为以下5个基本步骤：
（1）定级
（2）备案
（3）建设整改
（4）等级测评
（5）监督检查

2.等级保护要求

从第一级开始，每一级在继承其第一级别所有安全要求的基础上，增补一些安全要求，或对上一级别的特定安全要求有所加强。

·第一级系统为用户自主保护级，核心技术为自主访问控制。
·第二级关键为审计。
·第三级通过实现基于安全策略模型和标记的强访问控制以及增强系统的审计机制，使系统具有在统一安全策略管控下，保护敏感资源的能力。
·第四级是结构化保护级。
·第五级安全设计要求很高，目前暂无安全设计办法。

3.3.2 网络安全管理

1.网络安全管理概述

·传统的网络安全管理基本上还处在一种静态的、局部的、少数人负责的、突击式、事后纠正式的管理模式。

2、网络安全管理体系（ISMS)

3、网络安全风险管理

风险管理：一种在风险评估的基础上对风险进行处理的工程，网络安全风险管理的实质是基于网络安全管理。其核心是网络安全风险评估。风险管理的核心部分是风险分析，主要涉及资产、威胁、脆弱性三个要素。

·风险管理主要包括资产识别、威胁识别、脆弱性级别、已有安全措施的确认、风险计算、风险处理等过程

·风险处理也称风险控制，是在综合考虑成本与效益的前提下,通过安全措施来控制风险,使残余风险降低到可接受的程度,这是网络安全保护的实质。

3.网络安全事件处置与灾难恢复

网络安全事件分级：
①特别重大事件(I级)，指能够导致特别严重影响或破坏的网络安全事件，包括以下情况:会使特别重要信息系统遭受特别重大的系统损失;会产生特别重大的社会影响。
②重大事件(I级)，指能够致严重影响或破坏的网络安全事件，包括以下情况:会使特别重要信息系统遭受重大的系统损失，或使重要信息系统遭受特别重大的系统损失;产生重大的社会影响。
③较大事件(Ⅲ级)，指能够导致较严重会使特别重要信息系统遭受较大的系统损失，影响或破坏的网络安全事件，包括以下情况:一般信息信息系统遭受特别大的系统损失;产生心，或使重要信息系统遭受重大的系统损失;产生较大的社会影响。
④一般事件(Ⅳ级)，指能够导致较小影响或破坏的网络安全事件，包括以下情况:会使特别重要信息系统遭受较小的系统损失或使重重要信息系统遭受较大的系统损失,一般信息系统遭受严重或严重以下级别的系统损失;产生般的社会影响。

网络安全应急处理关键过程：
1.准备阶段
2.检测阶段
3.抑制阶段
4.根除阶段
5.恢复阶段
6.总结阶段

灾难恢复的关键过程：
1.恢复需求的确定
2.恢复策略的确定
3.恢复策略的实现

3.4 新兴网络及安全技术

3.4.1 工业互联网安全

1、工业互联网的概念

2、工业互联网面临的新安全挑战

3、工业互联网主要安全防护技术

3.4.2 移动互联网安全

1、移动互联网的概念

移动互联网：利用互联网的技术、平台、应用以及商业模式与移动通信技术相结合相结合并实践的活动统称。

2、移动互联网面临的新安全挑战

3、移动互联网主要安全防护技术

3.4.3 物联网安全

1、物联网的概念

2、物联网面临的新安全挑战

3、物联网主要安全防护技术

以下为本章节的知识思维导图：