2020-2021 1学期20212329《网络空间安全导论》第十周学习总结

第三章 网络安全基础

3.1 网络安全概论

 

ARPANET标志着互联网的诞生。目前网络安全问题严重
1.计算机病毒层出不穷，肆虐全球，并逐渐呈现新的传播态势和特点。
2.黑客对全球网络的恶意攻击逐年攀升。
由于技术和设计上的不完备，导致系统存在缺陷或安全漏洞。
4.世界各国军方都在加紧进行信息战的研究。
现代的信息传递、存储与交换是通过电子和光子完成的。通常将信息的密级分为秘密级、机密级和绝密级。

 

安全威胁：某个人、物、事件或概念对某一资源的保密性、完整性、可用性或合法使用造成的危险。攻击就是某个安全威胁的具体实施。
防护措施：保护资源免受威胁的一些物理的控制、机制、策略和过程。
风险：对某个已知的、可能引发某种成功攻击的脆弱性的代价的测度。
安全威胁有时可分为故意和偶然，故意的威胁又分为主动攻击和被动攻击。安全威胁分为1.基本威胁。2、主要的可实现威胁。3.潜在威胁。

在Internet中，网络蠕虫就是将旁路控制与假冒攻击结合起来的一种威胁。旁路控制就是利用已知的UNIX、windows和Linux等操作系统的安全缺陷，避开系统的访问控制措施，进入系统内部。而假冒攻击则是通过破译或窃取用户口令，冒充合法用户使用网络服务和资源。

一个安全系统的强度与其最弱链路的强度相同。为了提供有效的安全性，需要将不同种类的威胁对抗措施联合起来使用。

被动攻击由于不涉及对数据的更改，所以很难被察觉。通过采用加密措施，完全有可能阻止这种攻击。处理被动攻击的重点是预防，而不是检测。

主动攻击虽然易于检测，但却难以阻止。

若同一用户习惯使用同一密码，黑客获取到这些文件后，就会去登录其他机器，这称为字典攻击。

缓冲器溢出攻击称为堆栈粉碎攻击，通过向缓冲区内注入大量数据，导致返回地址被覆盖，返回时转入入侵的代码。

DDoS攻击通常难以恢复，因为攻击可能来自世界各地。它能够使用许多台计算机通过网络同时对某个网络发起攻击。

同等实体认证和数据源认证是两种特殊的认证服务。

网络安全模型说明，设计安全服务应包含4个方面内容：1.设计一个算法，它执行与安全相关的变换，该算法应是攻击者无法攻破的。2.产生算法所使用的秘密信息。3.设计分配和共享秘密信息的方法。4.指明通信双方使用的协议，该协议利用安全算法和秘密信息实现安全服务。

 

3.1.1 网络安全现状及安全挑战

（1）计算机病毒层出不穷，肆虐全球，并且逐渐呈现新的传播态势和特点。
（2）黑客对全球网络的恶意攻击势头逐年攀升。
（3）由于技术和设计上的不完备，导致系统存在缺陷或安全漏洞。
（4）世界各国军方都在加紧进行信息战的研究。

因为计算机病毒层出不穷以及黑客的恶意攻击势头攀升、技术设计的不完备以及等等原因，网络安全现状十分严峻。信息安全问题已成为影响社会稳定和国家安危的战略性问题。
与此同时，敏感信息设计的内容十分丰富，因此我们必须对相关安全工作进行全面的规划和部署。相关信息密级分为秘密级、机密级和绝密级，以确保每一密级的信息仅能让那些具有高于或等于该权限的人使用。所谓机密信息和绝密信息，是指国家政府对军事、经济、外交等领域严加控制的一类信息。军事机构和国家政府部门应特别重视对信息施加严格的保护，特别应对那些机密和绝密信息施加严格的保护措施。一些认为敏感但是不是机密的信息，也需要通过法律手段和技术手段加以保护，以防止信息泄露或恶意修改。有的时候一些政府信息是非机密的，但是是敏感的，不能泄露。网络安全呈现出很多新形式和特点。网络应用不断发展，如何保护这些应用的安全也是一个巨大的挑战。

3.1.2 网络安全威胁与防护措施

了解安全威胁、防护措施、风险等概念，然后还要知道安全威胁的分类——故意（黑客渗透）与偶然（信息发往错误的地方）。故意的威胁又进一步分为被动攻击和主动攻击，被动攻击只对信息进行监听，而不对其修改；主动攻击却对信息进行故意的修改。

（1）基本威胁
①信息泄露
②完整性破坏
③拒绝服务
④非法使用
（2）主要的可实现威胁
主要的可实现威胁包括渗入威胁和植入威胁
其中渗入威胁：①假冒②旁路控制③授权侵犯
而植入威胁：①特洛伊木马②陷门
（3）潜在威胁
①窃听
②流量分析
③ 操作人员的不慎导致的信息泄露
④媒体废弃物所导致的信息泄露
安全威胁频率从高至低是：
授权侵犯>假冒攻击>旁路控制>特洛伊木马或陷门>媒体废弃物

①物理安全
②人员安全
③管理安全
④媒体安全
⑤辐射安全
⑥生命周期控制
一个安全系统的强度与其最弱链路的强度相同。

3.1.3 安全攻击的分类及常见形式

被动攻击与主动攻击
1.被动攻击
被动攻击的特性是对所传输的信息进行窃听和检测。攻击者的目标是获得线路上所传输的信息。信息泄露和流量分析就是两种被动攻击的例子。
窃听攻击、流量分析
2.主动攻击
主动攻击是指恶意篡改数据流或伪造数据流等攻击行为。
①伪装攻击
②重放攻击
③消息篡改
④拒绝服务攻击
3.网络攻击的常见形式
（1）口令窃取
（2）欺骗攻击
（3）缺陷和后门攻击
（4）认证失效
（5）协议缺陷
（6）信息泄露
（7）指数攻击——病毒和蠕虫
（8）拒绝服务攻击

3.1.4 开放系统互联模型与安全体系结构

OS安全体系结构的研究始于1982年,当时1SO基本参考模型刚刚确立,这项工作是由ISO/ EC JTC1/SC21完成的。国际标准化组织(1sO)于1988年发布了1S074982标准,作为OS1基本参考模型的新补充。1990年,国际电信联盟决定采用1074982作为其X800推荐标准。因此,X.800和1SO7498-2标准基本相同。
我国的国家标准《信息处理系统开放系统互连基本参考模型第二部分体系结构)(GBT9387.2-1995)(等同于1O7498-2)和《 nternet安全体系结构)RFC2401)中提到的安全体系结构是两个普遍适用的安全体系结构,用于保证在开放系中进程与进程之间远距离安全交换信息,这些标准确立了与安全体系结构有关的骰要素,适用于开放系统之间需要通信保护的各种场合,这些标准在参考模型的框架内建立起一些指导原则与约束条件,从而提供了解决开放互连系统中安全问题的统一的方法。
1.安全服务
（1）认证
①同等实体认证。
②数据源认证。
（2）访问控制
（3）数据保密性
保密性是防止传输的数据遭到诸如窃听、流量分析等被动攻击。对于数据传输,可以提供多层的保护。最常使用的方法是在某个时间段内对两个用户之间所传输的所有用户数据提供保护。例如,若两个系统之间建立了TCP连接,这种最通用的保护措施可以防止在TCP连接上传输用户数据的泄露。此外,还可以采用一种更特殊的保密性服务,它可以对单条消息或对单条消息中的某个特定的区域提供保护。这种特殊的保护措施与普通的保护措施相比,所使用的场合更少,而且实现起来更复杂、更昂贵。
保密性的另外一个用途是防止流量分析。它可以使攻击者观察不到消息的信源和信宿、频率、长度或通信设施上的其他流量特征。
（4）数据完整性
与数据的保密性相比,数据完整性可以应用于消息流、单条消息或消息的选定部分同样,最常用和直接的方法是对整个数据流提供保护。
(5)不可否认性
(6)可用性服务
2.安全机制
3.安全服务与安全机制的关系
4.在OSI层中的服务配置

 

3.1.5 网络安全模型

一个网络安全模型通常由6个功能实体组成，分别是消息的发送方、消息的接收方、安全变换、信息通道、可信的第三方和攻击者。任何用来保证信息安全的方法都包含如下两个方面：

①对被发送信息进行安全相关的变换,例如对消息加密,它打乱消息使得攻击者不能读懂消息，或者将基于消息的编码附于消息后，用于验证发送方身份。

②使通信双方共享某些秘密信息,而这些消息不为攻击者所知。例如加密和解密密钥,在发送端加密算法采用加密密钥对所发送的消息加密,而在接收端解密算法采用解密密钥对收到的密文解密。

网络安全模型说明,设计安全服务应包含以下4个方面内容:

①设计一个算法,它执行与安全相关的变换,该算法应是攻击者无法攻破的

②产生算法所使用的秘密信息

③设计分配和共享秘密信息的方法

④指明通信双方使用的协议,该协议利用安全算法和秘密信息实现安全服务。

1）可靠性：网络信息系统能够在规定条件下和规定的时间内完成规定功能的特性。 硬件可靠性，软件可靠性，人员可靠性，环境可靠性
2）可用性：网络信息可被授权实体访问并按需求使用的特性 可用性一般用系统正常使用时间和整个工作时间之比来度量
3）保密性：网络信息不被泄露给非授权的用户，实体或过程。
4）完整性：网络信息未经授权不能进行改变的特性。 它要求保持信息的原样，即信息必须被正确生成，存储和传输。
5）可控性：对信息的传播及内容具有控制能力。 6）可审查性：出现安全问题时提供的依据与手段。
可审查性：指出现安全问题时提供的依据与手段。

网络安全模型说明，设计安全服务应包含4个方面内容：
1.设计一个算法，它执行与安全相关的变换，该算法应是攻击者无法攻破的。
2.产生算法所使用的秘密信息。
3.设计分配和共享秘密信息的方法。
4.指明通信双方使用的协议，该协议利用安全算法和秘密信息实现安全服务。

该模型由6个功能实体组成：消息的发送方（信源）、消息的接收方（信宿）、安全变换、信息通道、可信的第三方和攻击者

3.2 网络安全防护技术

防火墙是由软件和硬件组成的系统，它处于安全的网络和不安全的网络之间，根据由系统管理员设置的访问控制规则，对数据进行过滤。
处理方法有三种：1.允许数据流通过。2.拒绝数据流通过。3.将这些数据流丢弃。

所有进出网络的数据流必须经过防火墙。

只允许经过授权的数据通过防火墙。

防火墙自身对入侵是免疫的。

防火墙不是一台普通的主机，它自身的安全性比普通主机更高。凡是没有明确“允许的”服务，一律都是“禁止的”。必须对内部主机施加适当安全策略，以加强对内部主机的安全防护。外部过滤器用来保护网关免受侵害，而内部过滤器用来防备因网关被攻破而造成的恶果。

通常将防火墙分为三类：

包过滤防火墙。
电路级网关防火墙。
应用级防火墙。
每种防火墙的特性均有它所控制的协议层决定。防火墙对开放系统互连（OSI）模型中各层协议所产生的信息流进行检查。

静态包过滤防火墙采用一组过滤规则对每个数据包进行检查，然后根据检查结果确定是转发、拒绝还是丢弃该数据包。这种防火墙对从内网到外网和从外网到内网两个方向的数据包进行过滤，其过滤规则基于IP和TCP/UDP头中的几个字段。

防火墙首先默认丢弃所有数据包，然后再逐个执行过滤规则，以加强对数据包的过滤。对于静态包过滤防火墙来说，决定接受还是拒绝一个数据包，取决于对数据包中的IP头和协议头等特定区域的检查和判定。判决仅依赖于当前数据包的内容。

网络安全监视器第一次直接将网络流作为审计数据来源，因而可以在不讲审计数据转换成统一格式的情况下监视一种主机。

入侵检测系统模型：

1.数据收集器。
2.检测器。
3.知识库。
4.控制器。
大部分入侵检测产品都基于网络。

VPN：将物理上分布在不同地点的网络通过公用网络连接而构成逻辑上的虚拟子网。
采用认证、访问控制、机密性、数据完整性。

VPN根据数据使用者的身份和权限，直接将其接入VPN，非法的用户不能接入和使用其服务。

其精髓在于对数据包进行重新封装。对数据包进行IPSec处理使VPN提供了比包过滤防火墙更高的安全性。

IPSec的两种工作模式：传输模式和隧道模式。

计算机病毒：能够引起计算机故障、破坏计算机数据、影响计算机正常运行的指令或代码。
特点：1.破坏性。2.传染性。3.隐蔽性。

反病毒技术的根本目的是为了防御病毒的攻击，保护计算机与数据的安全。

计算机病毒的分类：

1.木马型病毒。
2.感染性病毒。
3.蠕虫型病毒。
4.后门型病毒。
5.恶意软件。
漏洞扫描的具体实施效果一般依赖于几方面因素：

1.漏洞PoC是否公开。

2.系统指纹信息采集准确度。

3.漏洞EXP是否存在。

版本检测的关键在于有效识别目标对象的类型和详细版本号。

3.2.1 防火墙

 

定义：
软件+硬件组成的，处于安全与不安全的网络之间的，对数据流进行过滤的系统（访问控制软件）。
对数据流的处理方式：
1.允许数据流通过。
2.拒绝数据流通过。
3.将这些数据流丢弃。
必须满足：
1.所有进出网络的数据流都必须经过防火墙。
2.只允许经过授权的数据流进入防火墙。
3.防火墙自身对入侵是免疫的。
没有明确允许的服务，一般都是禁止的。
防火墙分类
1.包过滤防火墙。
2.电路级网关防火墙。
3.应用级网关防火墙。
4。动态包过滤防火墙（状态监测防火墙）。
或者（根据在网络协议栈中的过滤层次）
1.包过滤防火墙
2.电路级网关防火墙
3.应用级网关防火墙
防火墙产品一般包括
1.静态包过滤。
2.动态包过滤。
3.电路级网关。
4.应用级网关。
5.状态检查包过滤。
6.切换代理
7.空气隙
IP数据包结构

 

源/目的IP地址	源/目的端口	应用状态和数据流	净荷
IP头	TCP头	应用级头	数据

 

3.2.2 入侵检测系统

 

1.入侵检测系统概述

 

·监视、分析用户及系统的活动
·系统构造和弱点的审计
·识别反映一直进攻的活动模式并向相关人员报警
·异常行为模式和数据文件的完整性
·操作系统的审计跟踪管理，并识别用户违反安全策略的行为

 

IDS的主要功能如下：
①网络流量的跟踪与分析功能
②已知攻击特征得识别功能
③异常行为的分析、统计与响应功能
④特征库的在线胡离线升级功能
⑤数据文件的完整性检查功能
⑥自定义的响应功能
⑦系统漏洞的预报警功能
⑧IDS探测器集中管理功能

 

入侵监测系统模型主要由4个部分组成：数据收集器、检测器、知识库、控制器。

 

2.入侵检测系统分类

 

根据数据来源的不同，IDS可以分为以下3种基本结构：
（1）基于网络的入侵检测系统（NIDS)
（2）基于主机的入侵检测系统(HIDS)
（3）分布式入侵检测系统（DIDS)

 

根据入侵检测的策略，IDS可分为：
（1）滥用检测
（2）异常检测
（3）完整性分析

 

3.入侵检测系统原理简介

 

入侵检测架构{CIDF），将一个入侵检测系统分为以下组件：
①事件产生器
②事件分析器
③响应单元
④事件数据库

 

一个入侵检测系统的功能至少包含事件提取、入侵分析、入侵响应和远程管理4部分功能。

 

3.2.3 虚拟专网

 

1.VPN概述

 

（1）费用低。 由于企业使用 ，Internet进行数据传输 ，相对于租用专线来说 ，费用极为低廉 ，所以VPIN的出现使企业通过Internet既安全又经济地传输机密信息成为可能。
（2）安全保障。 虽然实现VPN的技术和方式很多 ，但所有的VPN均应保证通过公用网络平台所传输数据的专用性和安全性。 在非面向连接的公用网络上建立一个逻辑的、点对点的连接，称为建立了一个隧道。 经由隧道传输的数据采用加密技术进行加密 ，以保证数据仅被指定的发送者和接收者知道，从而保证了数据的专用性和安全性。
（3）服务质量保证（ Qos） 。 VPN应当能够为企业数据提供不同等级的服务质量保证。不同的用户和业务对服务质量（Qos） 保证的要求差别较大。 例如 ，对于移动办公用户来说，网络能提供广泛的连接和覆盖性是保证VPN服务质量的一个主要因素；而对于拥有众多分支机构的专线VPN，则要求网络能提供良好的稳定性；其他一些应用（如视频等）则对网络提出了更明确的要求，如网络时延及误码率等。
（4）可扩充性和灵活性。VPN必须能够支持通过内域网（Intranet）和外联网（Extranet）的任何类型的数据流、方便增加新的节点、支持多种类型的传输媒介，可以满足同时传输语音、图像和数据对高质量传输及带宽增加的需求
（5）可管理性。从用户角度和运营商角度来看，对VPN进行管理和维护应该非常方便。在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴处。虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。因此，VPN管理系统是必不可少的。VPN 管理系统的主要功能包括安全管理、设备管理、配置管理、访问控制列表管理、QoS管理等内容

 

3.2.4 计算机病毒防护技术

 

1.计算机病毒防护概述

计算机病毒的定义和特点
（1）破坏性
（2）传染性
（3）隐蔽性

计算机反病毒技术与发展历史
①基于简单特征码查杀的单一专杀工具阶段
②基于广谱特征码查杀、主动防御拦截的综合杀毒软件阶段。
③基于云、人工智能和大数据技术的互联网查杀阶段。

2.计算机病毒分类

（1）木马型病毒
（2）感染型病毒
（3）蠕虫型病毒
（4）后门型病毒
（5）恶意软件

3.计算机病毒检测原理简介

最主要部分：采样、匹配、基准。

主流检测技术：基于特征码的传统检测技术、基于行为的动态检测技术、基于云技术的云查杀技术、基于大数据处理与人工智能学习算法的智能查杀技术。

3.2.5 安全漏洞扫描技术

1.漏洞是扫描技术概述

漏洞扫描的具体实施效果一般依赖于如下几方面因素：
（1）漏洞是否公开
（2）系统指纹信息采集准确度
（3）漏洞EXP是否存在

2.漏洞扫描技术分类

（1）系统扫描：原理检测，版本检测
（2）应用扫描

3.漏洞扫描原理简介

漏洞扫描分为如下步骤：
（1）存活判断
（2）端口扫描
（3）系统和服务识别
（4）漏洞检测
漏洞检测可分为两类：
（1）原理检测
（2）版本检测

3.3 网络安全工程与管理

网络分为五个安全保护等级。

从第一级开始，每一级在继承其第一级别所有安全要求的基础上，增补一些安全要求，或对上一级别的特定安全要求有所加强。

第一级系统为用户自主保护级，核心技术为自主访问控制。

第二级关键为审计。

第三级通过实现基于安全策略模型和标记的强访问控制以及增强系统的审计机制，使系统具有在统一安全策略管控下，保护敏感资源的能力。

第四级是结构化保护级。

第五级安全设计要求很高，目前暂无安全设计办法。

传统的网络安全管理基本上还处在一种静态的、局部的、少数人负责的、突击式、事后纠正式的管理模式。

风险管理：一种在风险评估的基础上对风险进行处理的工程，网络安全风险管理的实质是基于网络安全管理。其核心是网络安全风险评估。风险管理的核心部分是风险分析，主要涉及资产、威胁、脆弱性三个要素。
人们追求的所谓安全的网络和信息系统，实际上是指网络和信息系统在实施了风险评估并做出风险控制后，仍然讯在的残余风险可被接受的网络和信息系统，不存在绝对安全的网络和信息系统，也不必要追求绝对安全的网络和信息系统。

灾难恢复的四个关键过程：灾难恢复需求的确定、灾难恢复策略的制定，灾难恢复策略的实现，以及灾难恢复预案的制定、落实和管理。

2.VPN分类

按协议分类：PPTP、VPN、L2TP VPN、MPLS VPN、IPSec VPN、GRE VPN、SSL VPN、Open VPN。

按协议工作在OSI7层模型的不同层上分类，可以分为：第2层数据链路层中的PPTP VPN、L2TP VPN、MPLS VPN；第三层网络层的IPSec、GRE；以及位于传输层与应用层之间的SSL VPN。

根据访问方式的不同，VPN可分为两种类型：一种是移动用户访问VPN连接；另一种是网关-网关VPN。

3.IPSec VPN原理简介

VPN的精髓在于对数据包进行重新封装。

4.TLS VPN与IPSec VPN的比较

3.3.1 安全等级保护

3.3.2 网络安全管理

3.3.3 网络安全事件处置与灾难恢复

网络安全事件分级：

①特别重大事件(I级)，指能够导致特别严重影响或破坏的网络安全事件，包括以下情况:会使特别重要信息系统遭受特别重大的系统损失;会产生特别重大的社会影响。

②重大事件(I级)，指能够致严重影响或破坏的网络安全事件，包括以下情况:会使特别重要信息系统遭受重大的系统损失，或使重要信息系统遭受特别重大的系统损失;产生重大的社会影响。

③较大事件(Ⅲ级)，指能够导致较严重会使特别重要信息系统遭受较大的系统损失，影响或破坏的网络安全事件，包括以下情况:一般信息信息系统遭受特别大的系统损失;产生心，或使重要信息系统遭受重大的系统损失;产生较大的社会影响。

④一般事件(Ⅳ级)，指能够导致较小影响或破坏的网络安全事件，包括以下情况:会使特别重要信息系统遭受较小的系统损失或使重重要信息系统遭受较大的系统损失,一般信息系统遭受严重或严重以下级别的系统损失;产生般的社会影响。

网络安全应急处理关键过程：

1.准备阶段

2.检测阶段

3.抑制阶段

4.根除阶段

5.恢复阶段

6.总结阶段

灾难恢复的关键过程：

1.恢复需求的确定

2.恢复策略的确定

3.恢复策略的实现

4.恢复预案的制定、落实和管理

3.4 新兴网络及安全技术

移动互联网：利用互联网的技术、平台、应用以及商业模式与移动通信技术相结合相结合并实践的活动统称。

3.4.1 工业互联网安全

1. 工业互联网的概念
   工业互联网是全球工业系统与高级计算、分析、感应技术以及互联网深度融合所形成的全新网络互联模式。
2. 工业互联网面临的新安全挑战
   （1）传统攻击方式的危害性更大
   （2）网络攻击的入口更多
3. 工业互联网主要安全防护技术

3.4.2 移动互联网安全

移动互联网的概念

移动互联网是指利用互联网的技术、平台、应用以及商业模式与移动通信技术相结合并实践的活动统称。

移动互联网面临的新安全挑战

移动互联网主要安全防护技术

（1）移动互联网终端安全
（2）移动互联网网络安全
（3）移动互联网应用安全
（4）移动互联网安全管理和规范

3.4.3 物联网安全

物联网的概念
物联网：指通过 各种信息传感器、射频识别技术、全球定位系统、红外感应器、激光扫描器等各种装置与技术，实时采集任何需要监控、 连接、互动的物体或过程，采集其声、光、热、电、力学、化 学、生物、位置等各种需要的信息，通过各类可能的网络接入，实现物与物、物与人的泛在连接，实现对物品和过程的智能化感知、识别和管理。物联网是一个基于互联网、传统电信网等的信息承载体，它让所有能够被独立寻址的普通物理对象形成互联互通的网络
4层：
综合应用层
管理服务层
网络建构层
感知识别层