2020-2021—1学期20212314《网络空间安全专业导论》第十周学习总结

《网络空间安全导论》第三章：网络安全基础

3.1网络安全及管理概述

3.1.1网络安全的概念

广义：凡是涉及网络信息的保密性，完整性，可用性，真实性，可控性，可审查性的相关技术和理论，都是网络安全的研究领域

网络安全：是一个涉及++计算机科学，网络技术，通讯技术，密码技术，信息安全技术，应用数学，数论，信息论等的综合性领域++

网络安全：包括网络硬件资源和信息资源的安全性。

网络硬件资源包括通信线路，通信设备（路由器，交换机等），主机，要实现信息快递安全的交换，必须有一个可靠的物理网络。

信息资源包括维持网络服务运行的系统软件和应用软件，以及在网络中存储和传输的用户信息数据等。

信息资源的安全也是网络安全的重要组成部分

3.1.2网络管理的概念

网路管理：是指监督，组织和控制网络通信服务，以及信息处理所必须的各种活动的总称。其目标是确保计算机网络的持续正常运行，是网络中的资源得到更加有效的利用，并在计算机网络运行出现异常时能及时响应和排除故障

网络管理技术时伴随着计算机，网络和通信技术的发展而发展的，二者是相辅相成的

3.1.3网络安全的特征

1）可靠性：网络信息系统能够在规定条件下和规定时间内完成规定功能的特性。可靠性是所有网络信息系统建设和运行的目标。可靠性主要表现在硬件可靠性，软件可靠性，人员可靠性，环境可靠性等方面。

2）可用性:可用性是指网络信息可被授权实体访问并按需求使用的特性。可用性保证网络信息服务在需要时允许授权用户和实体使用，或者是网络部分受损或需要降级使用时仍能收授权用户提供有效服务。

3）保密性：保密性时指网络信息不被泄露给非授权用户，实体或过程，或者供其利用的特性。保密性可以防止网络信息泄露给非授权个人或实体，只为授权用户使用。

4）完整性:完整性是指网络信息未经授权不能进行改变的特性，即网络信息在存储或传输过程中保证不被偶然会蓄意地删除，修改，伪造，重放，插入等破坏和丢失地特性。

5）可控性：可控性是指对信息的传播及内容具有控制能力。

6）可审查性：可审查性是指出现安全问题时提供的依据与手段。

3.1.4常见的网络拓扑

网络拓扑是指网络的结构方式，表示连接在地理位置上分散的各个节点的几何逻辑方式。网络拓扑决定了网络的工作原理及网络信息的传输方法。一旦选定网络的拓扑逻辑，必定要选择一种合适这种拓扑逻辑的工作方式，将给网络安全埋下隐患，网络拓扑结构本身就有可能造成网络安全问题。

常见的网络拓扑结构有：总线形，星形，环形和树形等。

1. 总线形拓扑结构
   是将所有的网络工作站或网络设备连接在同一物理介质上，这时每个设备直接连接在通常所说的主干电缆上。由于总线形结构连接简单，增加和删除节点较为灵活

1）故障诊断困难：虽然总线形结构简单，可靠性高，但故障检测却很困难。因为总线形结构的网络不是集中控制，故障检测需要在整个网络上的各个节点进行，必须断开在连接设备以确定故障是否由某有节点引起。而且，由于一束电缆连接着所有设备，故障的排除也较为困难。

2）故障隔离困难：对于总线形拓扑，如果故障发生在节点上，则指需将该节点从网络上去除;如果故障发生在传输介质上，则整个总线要被切断。

3）终端必须是智能的：总线上一般不设有控制网络的设备，每个节点按竞争的方式发送数据，难免会带来总线上的信息冲突，因而连接在总线上的节点要有介质访问控制功能，这就要求终端必须是智能的

2. 星形拓扑结构
   星形拓扑结构由中央节点和通过点到点链路连接到中央节点的个站点组成。

1）对电缆的需求大且安装困难：因为每个站点直接和中央站点相连，因此需要大量的电缆，电缆沟，维护，安装等存在问题

2）扩展困难：要增加新的网点，就要增加到中央节点的连接，这需要事先设置好大量的冗余电缆。

3）对中央节点的依赖性太大：如果中央节点出现故障，则会成为致命性的事故，可能会导致大面积的网络瘫痪。

4）容易出现“瓶颈”现象：星形拓扑结构网络的另一大隐患是，大量的数据处理靠中央节点完成，因而会造成中央节点负荷过重，结构复杂，容易出现“瓶颈”现象，系统安全性差。

3. 环形拓扑结构
   环形拓扑结构的网络由一些中继器和连接中继器的点到点链路组合一个闭合环。每个中继器与两条链路连接，每个站点都通过一个中继器连接到网络上，数据以分组的形式发送，由于多个设备共享一个环路，因此需要对网路进行控制。

1）节点的故障将会引起全网的故障：环上的数据传输会通过连接在环上的每个节点，如果环上某个节点出现故障，将会引起全网的故障

2）故障诊断困难：因为某一节点故障会引起全网工作中断，因此难以诊断故障，需要对每个节点进行检测。

3）不易重新配置网络：在这种拓扑下，要扩充环的配置交苦难，同样，要关掉一部分已接入网络的节点也不容易。

4）影响访问协议：环上每个节点接受到数据后，要负责将之发送到环上，这意味着同时要考虑访问控制协议，节点发送数据前，就必须知道传输介质对它是有用的。

4. 树形拓扑结构
   树形拓扑结构是从总线形拓扑演变而来的，其形状像一棵倒置的树。树形拓扑通常采用同轴电缆作为传输介质，且使用宽带传输技术。
   树形结构的主要安全缺陷是对根节点的依赖性太大

3.2 网络安全基础

3.2.1 OSI七层模型及安全体系结构

OSI(Open Source Initiative,开放源代码促进会/开放源码组织)是一个旨在推动开源软件发展的非营利阻组织。OSI参考模型（OSI/RM)的全称是开放系统互连参考模型，它是由国际标准组织（ISO）和国际电报电话咨询委员会（CCITT)联合制定的。其目的是为异构计算机互连提供共同的基础和标准框架，并为保持相关标准的一致性和兼容性提供共同的参考。这里所说的开放系统，实质上指的是遵循OSI参考模型和相关协议，能够实现互连的具有各种应用目的的计算机系统。它是网络技术的基础，也是分析，评判各种网络技术的依据。

七层模型的组成
OSI参考模型由下至上分别为物理层，数据链路层，网络层，传输层，会话层，表示层和应用层，各层的主要功能。

物理层：设置连接密码。

数据链路层：设置PPP验证，交换机端口优先级，MAC地址安全，BPDU守卫，快速端口等。

网络层：设置路由协议验证，扩展访问列表，防火墙等。

传输层：设置FTP密码，传输密匙等。

会话层&表示层：公共密匙，私钥密匙应该在这两层进行设置。

应用层：设置NBAR，应用层防火墙等。

在上述OSI安全体系结构中，定义了五类相关服务，包括认证（鉴别）服务，访问控制服务，数据保密性服务，数据完整性服务和抗否认性服务。

1）认证（鉴别）服务：提供通信中对等实体和数据来源的认证（鉴别）。

2)访问控制服务：用于防止未授权用户非法使用系统资源，包括用户身份认证和用户权限确认。

3）数据保密性服务：为防止网络各系统之间交换的数据被截获或被非法存取而泄密，提供机密保护。同时，对有可能通过观察信息流就能推导出信息的情况进行防范。

4）数据完整性服务：用于防止非法实体对交换数据的修改，插入，删除以及在数据交换过程中的数据丢失。

5）抗否认性服务（也叫不可否认性数据服务）：用于防止发送方在发送数据后否认发送和接受方在收到数据后否认收到或伪造数据的行为。

3.2.2 TCP/IP协议及安全

TCP/IP（数据传输协议/因特网互联协议）是Internet的基本协议，由OSI七层模型中的网络层IP协议和传输层TCP协议组成。TCP/IP定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。

1，网络层协议

（1）IP协议是TCP/IP的核心，也是网络层中的重要协议。从前面的介绍可知，IP层封装来自更底层（网络接口层，如以太网设备驱动程序）发来的数据包，并把该数据包应用到更高层————TCP或UDP层；同样，IP层也会把来自更高的TCP或UDP层接收来的数据包传送到更低层。但要注意，IP数据包时不可靠的，因为IP并没有任何手段来确认接受来的数据包是按顺序发送的或者没有被破坏。IP数据包中含有发送它的主机的地址（源地址）和接收它的主机的地址（目的地址）。

以常用的IPv4协议为例，高一层（传输层）的TCP和UDP服务在接受数据包时，一般假设包中的源地址时有效的。所以，IP地址形成了许多服务的我认证基础，这些服务相信数据包是从一个有效的主机发送来的。在IP确认信息中包含选项IP source routing,可以用来指定一条源地址和目的地址之间的直接路径，对于一些应用到TCP和UDP地服务来说，使用了该选项的IP包是从路径上的最后一个系统终端传递过来的，而不是来自于它的真实地点。这就使得许多依靠IP源地址做确认的服务被攻击，比如常见的IP地址欺骗攻击。

（2）ARP（地址解析协议）

ARP协议用于将计算机的网络地址（IP地址32位）转化为物理地址（MAC地址48位）。为了解释ARP协议的作用，就必须理解数据在网络上的传输进程。

2传输层协议
传输层主要使用TCP（传输控制协议）和UDP（用户数据报协议）两个协议，其中TCP提供可靠的面向连接的服务，而UDP提供不可靠的无连接服务。

（3）TCP

TCP协议使用第三次握手机制来建立一条连接：握手的第一条报文为SYN包；第二个报文为SYN/ACK包，表明它应答第一个SYN包，同时继续握手的过程；第三个报文仅仅是一个应答，表示为ACK包

倘若AW为连接方，B为响应方，其间可能的威胁如下所示：

1）攻击者监听B方发出的SYN/ACK报文

2）攻击者向B方发出RST包，接着发送SYN包，冒充A方发起新的连接

3）B方响应新连接，并发送连接响应报文SYN/ACK

4)攻击者再冒充A方对B方发送ACK包

（4）UDP

UDP报文由于没有可靠性保证，顺序保证和流量控制字段等，因此可靠性较差。当然，正因为UDP协议地控制选项较少，使其具有数据传输过程的延迟少，数据传输效率高的优点，所以适用于对可靠性要求不高的应用程序，或者可以保障可靠性的应用程序。

基于UDP的通信很难再传输层建立起安全机制，同网络层安全机制相比，传输层安全机制的主要优点是它提供基于进程对进程的（而不是主机对主机地）安全服务。这一成就如果再加上应用级的安全服务，就可以大大提升安全性。

3，应用层协议

应用层有很多日常传输数据时使用的耳熟能详的协议，比如HTTP，HTTPS,FTP,SMTP,Telent,DNS,POP3等，这些协议在实际应用中要用到实际应用程序代理。

从客户角度来看，代理服务器相当于一台真正的服务器；而从服务器来看，代理服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时，首先将数据请求发给代理服务器，代理服务器再根据这一请求向服务器索取数据，然后由代理服务器将数据传输给客户机。

由于外部系统与内部服务器之间没有直接的数据同通道，外部的恶意侵害也就很难伤害到企业内部网络系统。代理服务对于应用层以下的数据透明。应用层代理服务器用于支持代理的应用层协议

4，安全封装协议

（1）IPSec是为了IPv4和IPv6协议提供基于加密安全的协议，它使用AH（认证头）和ESP（封装安全载荷）协议来实现其安全，使用ISAKMP/Oakley及SKIP进行密匙交换，管理及安全协商。

IPSec安全协议工作在网络层，运行在它上面的所有网络通道都是加密的。

IPSec安全服务包括访问控制，数据源认证，无连接数据完整性，抗重播，数据机密性和有限的通信流量机密性，它使用身份认证机制进行访问控制，即两个IPSec实体试图进行通信前，必须通过IKE协商SA（安全联盟），协商过程中要进行身份认证，身份认证采用公匙

签名机制，使用数字签名标准（DSS)算法或RSA算法，而公匙通常使从证书中获取得的。

3.3 识别网络安全风险

3.3.1 威胁

常见的外部威胁：应用系统和软件安全漏洞、安全 策略、后门和木马程序、病毒及恶意网站陷阱、黑客、安全意识淡薄、用户网络内部工作人员的不良行为引起的安全问题。

3.3.2 脆弱性

1.操作系统的脆弱性：动态链接、创建进程、空口令和RPC、超级用户。

2.计算机系统本身的脆弱性：硬件软件故障。

3.电磁泄露

4.数据的可访问性

5.通信系统和通信协议的弱点

6.数据库系统的脆弱性

7.网络存储介质的脆弱

3.4 应对网络安全风险

3.4.1 从国家战略层面应对

1.出台网络安全战略，完善顶层设计。

2.建设网络身份体系，创建可信网络空间。

3.提升核心技术自主研发能力，形成自主可控的网络安全产业生态体系。

4.加强网络攻防能力，构建攻防兼备的安全防御体系。

5.深化国际合作，逐步提升网络空间的国际话语权。

3.4.2 从安全技术层面应对

1.身份认证技术

•生物认证技术

•口令认证

•令牌认证

2.访问控制技术

•访问控制(AccessControl)指系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。

•三要素：主机、客体和控制策略

•访问控制的功能及原理：认证、控制策略、安全审计

•类型：自主访问控制、强制访问控制、基于角色的访问控制以及综合访问控制策略等。

•综合性访问控制策略：入网访问控制、网络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监控和锁定控制、网络端口和节点的

安全控制

•访问控制的应用

3.入侵检测技术

•入侵检测系统是一种对网络实时监控、检测，发现可疑数据并及时采取主动措施的网络设备。

•常用的入侵检测技术：异常检测、特征检测、文件完整性检查。

4.监控审计技术

•网络安全审计方法：日志审计、主机审计、网络审计

5.蜜罐技术

按应用平台，蜜罐技术分为实系统蜜罐、伪系统蜜罐。

按照部署目的，蜜罐分为产品型蜜罐和研究型蜜罐。

按照交互度的等级，蜜罐分为低交互蜜罐、高交互蜜罐。

3.4.3 网络管理的常用技术

1.日常运维巡检

2.漏洞扫描

3.应用代码审核

4.系统安全加固

5.等级安全测评

6.安全监督检查

•信息安全管理情况

•技术防护情况

•应急工作情况

•安全教育培训情况

•安全问题整改情况

7.应急响应处置

8.安全配置管理

•资产管理

•资源管理

•服务器目录管理

•服务请求

•监控管理