2019-2020-1学期 20192406《网络空间安全专业导论》第九周学习总结
86#第3章 网络安全
3.1 网络安全及管理概述
3.1.1 网络安全的概念
从广义来说，凡是涉及网络信息的保密性、完整性、可用性、真实性、可控性、可审查性的相关技术和理论，都是网络安全的研究领域。网络安全是一个涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等的综合性领域。网络安全包括网络硬件资源和信息资源的安全性。
3.1.2 网络管理的概念
网络管理是指监督、组织和控制网络通信服务，以及信息处理所必需的各种活动的总称。其目标是确保计算机网络的持续正常运行，使网络中的资源得到更加有效的利用，并在计算机网络运行出现异常时能及时响应和排除故障。
从网络管理范畴来分类，可分为对网络设备的管理;对接入的内部计算机、服务器等进行的管理;对行为的管理;对网络设备硬件资产进行管理等。
3.1.3 网络安全的特征
- 可靠性 ：网络信息系统能够在规定条件下和规定时间内完成规定功能的特性。
- 可用性 ：网络信息可被授权实体访问并按需求使用的特性。
- 保密性 ：网络信息不被泄露给非授权的用户、实体或过程，或者供其利用的特性。
- 完整性 ：网络信息未经授权不能进行改变的特性，即网络信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。
- 可控性 ：对信息的传播及内容具有控制能力。
- 可审查性 ：出现安全问题时提供的依据和手段。
3.1.4 常见的网络拓扑
网络拓扑 是指网络的结构方式，表示连接在地理位置上分散的各个节点的几何逻辑方式。
网络拓扑决定了网络的工作原理及网络信息的传输方式。
四种主要拓扑结构：
1. 总线形拓扑结构
总线形拓扑结构是将所有的网络工作站或网络设备连接在同一物理介质上，这时每个设备直接连接在通常所说的主干电缆上。
安全缺陷 ：
(1).故障诊断困难
(2).故障隔离困难
(3).终端必须是智能的
2. 星形拓朴结构
星型拓扑结构由中央节点和通过点到点链路连接到中央节点的各站点组成。
安全缺陷 ：
(1).对电缆的需求大且安装困难
(2).扩展困难
(3).对中央节点的依赖性太大
(4).容易出现“瓶颈”现象
3. 环形拓扑结构
环形拓扑结构的网络由一些中继器和连接中继器的点到点链路组成一个闭合环。
安全缺陷 ：
(1).节点的故障将会引起全网的故障
(2).故障诊断困难
(3).不易重新配置网络
(4).影响访问协议
4. 树形拓扑结构
树形拓扑结构是从总线形拓扑演变而来的，其形状像一棵倒置的树。树形拓扑通常采用同轴电缆作为传输介质，且使用宽带传输技术。
安全缺陷 :
对根节点的依赖性太大,如果根节点发生故障，则全网不能正常工作。
3.2 网络安全基础
3.2.1 OSI七层模型及安全体系结构
OSI是一个旨在推动开源软件发展的非营利组织。OSI参考模型(OSI／RM)的全称是开放系统互连参考模型(Open System Interconnection Reference Model, OSI/RM),它是由国际标准化组织(ISO)和国际电报电话咨询委员会(CCITT)联合制定的。其目的是为异构计算机互连提供共同的基础和标准框架，并为保持相关标准的一致性和兼容性提供共同的参考。 这里所说的开放系统，实质上指的是遵循OSI参考模型和相关协议，能够实现互连的具有各种应用目的的计算机系统。它是网络技术的基础，也是分析、评判各种网络技术的依据。
建立七层模型主要是为了解决异构网络互连时所遇到的兼容性问题。它的最大优点是将服务、接口和协议这三个概念明确地区分开来，也使网络的不同功能模块分担起不同的职责。
1. 七层模型的组成
OSI参考模型由下至上分别为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
2. OSI协议的运行原理
简单来说，在发送端，从高层到低层进行数据封装操作，每一层都在上层数据的基础上加人本层的数据头，然后再传递给下一层处理。因此，这个过程是数据逐层向下的封装过程，俗称“打包”过程。
在接收端，对数据的操作与上述过程相反，数据单元在每一层被去掉头部，根据需要传送给上一层来处理，直到应用层解析后被用户看到内容。这是一个从低层到高层的解封装过程，俗称“拆包”过程。
3. OSI安全体系结构
OSI安全体系结构是与OSI七层相对应的。
- 物理层:设置连接密码。
- 数据链路层:设置PPP验证、交换机端口优先级、MAC地址安全、BPDU守卫、快速端口等。
- 网络层:设置路由协议验证、扩展访问列表、防火墙等。
- 传输层:设置FTP密码、传输密钥等。
- 会话层&表示层:公钥密码、私钥密码应该在这两层进行设置。
- 应用层:设置NBAR、应用层防火墙等。
OSI安全体系结构中定义了五类相关的安全服务:
-
认证(鉴别)服务:提供通信中对等实体和数据来源的认证(鉴别)。
-
访向控制服务:用于防止未授权用户非法使用系统资源，包括用户身份认证和用户权限确认。
-
数据保密性服务:为防止网络各系统之间交换的数据被截获或被非法存取而泄密，提供机密保护。同时，对有可能通过观察信息流就能推导出信息的情况进行防范。
-
数据完整性服务:用于防止非法实体对交换数据的修改、插入、删除以及在数据交换过程中的数据丢失。
-
抗否认性服务(也叫不可否认性服务):用于防止发送方在发送数据后否认发送和接收方在收到数据后否认收到或伪造数据的行为。
3.2.2 TCP/IP协议及安全
TCP/IP( Transmission Control Protocol/Internet Protocol,传输控制协议/因特网互联协议)是Internet的基本协议，由OSI七层模型中的网络层IP协议和传输层TCP协议组成。TCP/IP定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。
1.网络层协议
(1)IP协议
IP协议是TCP/IP的核心，也是网络层中的重要协议。
(2)ARP(Address Resolution Protocol,地址解析协议)
ARP协议用于将计算机的网络地址(IP地址32位)转化为物理地址(MAC地址48位)。
2.传输层协议
传输层主要使用TCP(传输控制协议)和UDP(用户数据协议)，其中TCP提供可靠的面向连接的服务，而UDP提供不可靠的无连接服务。
(1)TCP
TCP协议使用三次握手机制来建立一条连接:握手的第一个报文为 SYN包;第二个报文为SYN/ACK包，表明它应答第一个SYN包，同时继续握手的过程;第三个报文仅仅是一个应答，表示为ACK包。
(2)UDP
UDP报文由于没有可靠性保证、顺序保证和流量控制字段等，因此可靠性较差。当然，正因为UDP协议的控制选项较少，使其具有数据传输过程中延迟小、数据传输效率高的优点，所以适用于对可靠性要求不高的应用程序，或者可以保障可靠性的应用程序，如DNS、TFTP、SNMP 等。
基于UDP的通信很难在传输层建立起安全机制。同网络层安全机制相比，传输层安全机制的主要优点是它提供基于进程对进程的(而不是主机对主机的)安全服务。这一成就如果再加上应用级的安全服务，就可以大大提升安全性了。
3.应用层协议
应用层有很多日常传输数据时使用的耳熟能详的协议，比如HTTP、HTTPS、FTP、SMTP、Telent、 DNS、POP3 等，这些协议在实际应用中要用到应用程序代理。
由于外部系统与内部服务器之间没有直接的数据通道，外部的恶意侵害也就很难伤書到企业内部网络系统。代理服务对于应用层以下的数据透明。应用层代理服务器用于支持代理的应用层协议，如HTTP、 HTTPS、FTP、Telnet等。
4.安全封装协议
针对各层协议的安全隐患而采取的安全措施:
(1)IPSec
IPSec是Internet Protocol Security的缩写，是为IPv4和IPv6协议提供基于加密安全的协议，它使用AH (认证头)和ESP (封装安全载荷)协议来实现其安全，使用ISAKMP/Oakley及SKIP进行密钥交换、管理及安全协商。
IPSec安全协议工作在网络层，运行在它上面的所有网络通道都是加密的。IPSec 安全服务包括访问控制、数据源认证、无连接数据完整性、抗重播、数据机密性和有限的通信流量机密性。
(2)SSL协议
安全套接层( Seurity Socket Layer, SSL) 协议是用来保护网络传输信息的，它工作在传输层之上、应用层之下，其底层是基于传输层可靠的流传输协议(如TCP)。
SSL采用TCP作为传输协议保证数据的可靠传送和接收。SSL工作在Socket层上，因此独立于更高层应用，可为更高层协议(如Telnet、FTP和HTTP)提供安全服务。
SSL是通过加密传输来确保数据的机密性，通过信息验证码( Message Authentication Code, MAC) 机制来保护信息的完整性，通过数字证书来对发送者和接收者的身份进行认证。
(3)S-HTTP
安全超文本传输协议( Secure HyperText Transfer Protocol, S-HTTP) 是EIT公司结合HTTP而设计的一种消息安全通信协议。S-HTTP 协议处于应用层，它是HTTP协议的扩展，仅适用于HTTP连接。S-HTTP 可提供通信保密、身份识别、可信赖的信息传输服务及数字签名等。S-HTTP提供了完整且灵活的加密算法及相关参数。
(4)S/MIME
S/MIME的全称是安全多用途网际邮件扩充协议(Secure Multipurpose Internet MailExtensions, RFC 2311)。
SMIME对安全方面的功能也进行了扩展，可以把MIME的实体(比如加密信息和数字签名等)封装成安全对象。它定义了增强的安全服务，例如具有接收方确认签收的功能，这样就可以确保接收者不能否认已经收到过的邮件。S/MIME增加了新的MIME数据类型，用于提供数据保密、完整性保护、认证和鉴定服务等。
MIME消息可以包含文本、图像、声音、视频及其他应用程序的特定数据，采用单向散列算法(如SHA-1、SHA-2、SHA-3、MD5等)和公钥机制的加密体系。S/MIME的证书采用X.509标准格式。S/MIME的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书均由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系是树状结构的。另外，S/MIME将信件内容加密签名后作为特殊的附件传送。
3.2.3 无线网络安全
无线局域网(Wireless Local Area Network, WLAN)是相当便利的数据传输系统，它利用电磁波作为传输介质，在一定范围内取代物理线缆所构成的网络。
1.无线局域网安全问题
WLAN中存在的安全威胁因素主要是窃听、截取或者修改传输数据、拒绝服务、计算机病毒等。
2.无线局域网安全协议
(1) WEP (有线等效保密)
有线等效保密(Wired Equivalent Privacy, WEP)是美国电气和电子工程师协会制定的IEEE 802.11标准的一部分。它使用共享密钥串流加密技术进行加密，并使用循环校验以确保文件的正确性。
密钥长度不是影响WEP安全性的主要因素，破解较长的密钥需要拦截较多的包。WEP还有其他的弱点，包括安全数据雷同的可能性和改造的封包，这此风险无法用长一点的密钥来避免。
WEP是用IV+WEP密码的方式来保护明文的，属于弱加密方式，不能全面保证无线网络数据传输的安全。
(2) WPA (Wi-Fi网络安全接入)
WPA是从密码强度和用户认证两方面入手(Protected和Access)来强化无线网络安全的。它采用两种认证方式:共享密钥认证和IEEE 802.1x认证。共享密钥认证适用于小的企业网、家庭网络以及一些公共热点地区，没有认证服务器(RADIUS(远程用户拨号认证系统)服务器)，也叫做PSK(Pre-Shared Key,预先共享密钥)模式;而802.1x认证适用于大型网络，其中设置了专门的认证服务器。
WPA采用IEEE 802.1x和密钥完整性协议(TKIP)实现无线局域网的访问控制、密钥管理和数据加密。采用TKIP可以确保通过密钥混合达到每个包的TKIP密钥都不同的目的，再通过短时间内频繁更新主密钥，可以大幅减少非法用户窃取数据包的机会。同时WPA也增强了加密数据的整体性，不再采用线性算法对数据帧进行校验。
同样，WPA也有不足的地方。WPA是继承了WEP基本原理而又解决了WEP缺点的一种新技术。它加强了生成加密密钥的算法，使得窃密攻击者即使收集到包信息并对其进行解析也几乎无法计算出通用密钥，使数据在无线网络中传播的安全性得到一定的保证。然而，WPA所使用的RC4算法还是存在一定的安全隐患，有可能被破解。
同时，802.1x本身也存在不足。它对于合法的EAPOL_Start报文AP(无线接入点)都会进行处理。类似前面小节讲到的TCP连接时三次握手阶段的SYN请求，攻击者只要发送大量EAPOL_Start报文就可以消耗AP的资源，这属于DoS攻击。
(3)WPA2
WPA2支持更高的安全加密标准AES，实现了IEEE 802.11i的强制性元素，RC4被AES取代。
AES (高级加密标准)是美国国家标准技术研究所(NIST)取代DES的新一代的加密标准。NIST对AES候选算法的基本要求是:对称分组密码体制;密钥长度支持128、192、256位;明文分组长度为128位;算法应易于各种硬件和软件实现，使安全性大大提高。
WPA2实现了EAP的支持，并且有一个更安全的认证系统以及使用802.1x的能力。上述这些措施与AES、EAP-TLS结合在一起处理密钥分配时，会形成一个强大的加密体系。
(4)WAPI(无线局域网鉴别和保密基础结构)
无线局域网鉴别和保密基础结构( WLAN Authentication and Privacy Infrastructure,WAPI)是中国针对IEEE802.11协议中的安全问题而提出的拥有自主知识产权的WLAN安全解决方案。
WAPI由无线局域网鉴别基础结构( WLAN Authentication Infrastructure, WAI)和无线局域网保密基础结构( WLAN Privacy Infrastructure, WPI) 组成。其中，WAI采用基于椭圆曲线的公钥证书体制，无线客户端STA和接入点AP通过鉴别服务器AS进行双向身份鉴别。而WPI采用国家商用密码管理委员会办公室提供的对称分组算法SMS4进行加解密，实现了保密通信。下面具体介绍一下WAI和WPI的原理。
- WAI的原理
类似于802.1x，WAI采用的三元结构和对等鉴别访问控制方法也是一种基于端口认证方法。
当鉴别器的受控端口处于未鉴别状态时，鉴别器系统拒绝提供服务，鉴别器实体利用非受控端口和鉴别请求者通信。受控与非受控端口可以是连接到同一物理端口的两个逻辑端口，所有通过物理端口的数据都可以到达受控端口和非受控端口，并根据鉴别状态决定数据的实际流向。 - WPI的原理
WPI的封装过程为:
利用完整性校验密钥与数据分组序号(PN),通过校验算法对完整性校验数据进行计算，得到完整性校验码(MIC);再利用加密密钥和数据分组序号(PN),通过工作在OFB模式的加密算法对MSDU数据及MIC进行加密，得到MSDU数据以及MIC密文;然后封装后组成帧发送。
WPI的解封装过程为:
1)判断数据分组序号(PN)是否有效，若无效，则丢弃该数据。
2)利用解密密钥与数据分组序号(PN),通过工作在OFB模式的解密算法对分组中的MSDU数据及MIC密文进行解密，恢复出MSDU数据以及MIC明文。
3)利用完整性校验密钥与数据分组序号(PN),通过工作在CBC-MAC模式的校验算法对完整性校验数据进行本地计算，若计算得到的值与分组中的完整性校验码MIC不同，则丢弃该数据。
4)解封装后将MSDU明文进行重组处理并递交至上层。
3.3 识别网络安全风险
前面介绍了网络安全与管理的基本概念，了解了网络的基本结构，那么对于企业而言，网络安全主要从内部和外部两个角度来考量。影响网络安全的外部因素一般称为威胁，而影响网络安全的内部因素一般称为脆弱性。
3.3.1 威胁
常见外部威胁：
- 应用系统和软件安全漏洞
- 安全策略
- 后门和木马程序
- 病毒和恶意网站陷阱
- 黑客
- 安全意识淡薄
- 用户网络内部工作人员的不良行为引起的安全问题
3.3.2 脆弱性
脆弱性是指计算机或网络系统在硬件、软件、协议设计和安全策略方面的缺陷，它的直接后果是使非法或非授权用户获取访问权限，从而破坏网络系统。
网络安全的脆弱性的多个方面：
1.操作系统的脆弱性
操作系统的脆弱性只要来自于其体系结构上的不足，体现在以下几个方面：
(1)动态链接
(2)创建过程
(3)空口令和RPC
(4)超级用户
2.计算机系统本身的脆弱性
3.电磁泄漏
4.数据的可访问性
5.通信系统和通信协议的弱点
6.数据库系统的脆弱性
7.网络存储介质的脆弱
此外，网络系统的脆弱性还表现为保密的困难性、介质的剩磁效应和信息的聚生性等。
3.4 应对网络安全风险
3.4.1 从国家战略层面应对
1.出台网络安全战略，完善顶层设计
2.建设网络身份体系，创建可信网络空间
3.提升核心技术自主研发能力，形成自主可控的网络安全产业生态体系
4.加强网络攻防能力，构建攻防兼备的安全防御体系
5.深化国际合作，逐步提升网络安全国际话语权
3.4.2 从安全技术层面应对
1.身份认证技术
(1)生物认证技术
(2)口令认证
(3)令牌认证
2.访问控制技术
(1)访问控制的三要素：主体、客体和控制策略
1)主机S：是指提出访问资源具体请求，是某一操作动作的发起者
2)客体O：是指被访问资源的实体
3)控制策略A：是主体对客体的相关访问规则的集合，即属性集合
(2)访问控制的功能及原理
访问控制的内容：
1)认证
2)控制策略
3)安全审计
(3)访问控制类型
1)自主访问控制
2)强制访问控制
3)基于角色的访问控制
(4)综合性访问控制策略
1)入网访问控制
2)网络的权限控制
用户角度：
①特殊用户
②一般用户
③审计用户
3)目录级安全控制
4)属性安全控制
5)网络服务器安全控制
6)网络监控和锁定控制
7)网络端口和节点的安全控制
(5)访问控制应用
3.入侵检测技术
(1)入侵检测系统的定义
(2)常用的入侵检测技术
1)异常检测
2)特征检测
3)文件完整性检查
4.监控审计技术
(1)网络安全审计的基本概念
(2)网络安全审计方法
1)日志审计
2)主机审计
3)网络审计
5.蜜罐技术
(1)实系统蜜罐
(2)伪系统蜜罐
3.4.3 网络管理的常用技术
1.日常运维巡检
2.漏洞扫描
3.应用代码审核
4.系统安全加固
5.等级安全评测
6.安全监督检查
(1)信息安全管理情况
(2)技术防护情况
(3)应急工作情况
(4)安全教育培训情况
(5)安全问题整改情况
7.应急响应处置
8.安全配置管理
(1)资产管理
(2)资源管理
(3)服务目录管理
(4)服务请求，服务变更，工作流
(5)监控管理
7.3 物联网安全
7.3.1 物联网概述
1.物联网的概念
物联网的四种定义。
物联网的目标是帮助我们实现物理世界和网络世界的互连互通，使人类对物理世界具有“全面的感知能力、透彻的认知能力和智慧的处理能力”。
2.物联网的层次架构与特征
物联网大致分为三个部分：数据感知部分、网络传输部分、智能处理部分。
物联网体系划分为三层结构：即感知层、网络层、应用层。
物联网应该具备如下3种能力：全面感知、可靠传递、智能处理。
3.物联网的典型应用领域
从体系架构角度可以将物联网支持的应用分为三类：
- 具备物理世界认知能力的应用
- 在网络融合基础上的泛在化应用
- 基于应用目标的综合信息服务应用
7.3.2 物联网的安全特征与架构
1.物联网安全问题与特征
- 物联网设备，如传感器和消费物体，被设计并配置了远超出传统互联网连接设备的大规模数量及指令，同时这些设备之间拥有前所未有的潜在链路。
- 物联网设备能够与其他设备以不可预测的、动态的方式建立连接。
- 物联网的部署包括相同或相近的设备集合，这种一致性通过大量具有相同特性的设备扩大了某种安全漏洞的潜在影响。
- 物联网设备利用高科技装置配置得到比一般设备更长的使用寿命，这些设备被配置到的环境使其不可能或很难再重新配置或升级，结果造成相对于设备使用寿命其安全机制不足以应对安全威胁发展的后果。
- 物联网设备在设计时没有任何升级能力，或升级过程繁琐、不切实际，从而使它们始终暴露于网络安全威胁当中。
- 物联网设备以一定的方式运转，用户对设备内部工作过程中的精确数据流具有很少或不具备实际的可视性，用户认为物联网设备正在进行某些功能，而实际上它可能正在收集超过用户期望的数据。
- 像环境传感器这样的物联网设备，虽然被嵌人到环境中，但用户很难注意到装置和监测仪的运行状态。因此，用户可能不知道具有安全漏洞的传感器存在于自己的周围，这样的安全漏洞通常会存在很长一段时间才会被注意到并得到纠正。
2.物联网面临的安全挑战
- 标准和指标
- 规章
- 共同的责任
- 成本与安全的权衡
- 陈旧设备的处置
- 可升级性
- 数据机密性、身份验证和访问控制
3.物联网的安全架构
(1)物联网面临的安全攻击
- 针对感知层数据传输的攻击主要有认证攻击、权限攻击、静默方式的完整性攻击。
- 物理层攻击通常包括占据各节点通信信道以阻碍节点间通信的通信阻塞拒绝服务攻击，以及提取节点敏感信息实施物理篡改的节点篡改攻击。
- 链路层拒绝服务攻击主要包括同时启动多个节点以相同信道频率发送数据的冲突式攻击，以及重复多次发送大量请求、过度消耗通信传输资源导致通信信道异常中断的耗尽式攻击。
- 网络层攻击包括欺骗攻击、虫洞攻击、Hello 洪泛攻击以及确认式泛洪攻击。除此之外，还包括由簇头和拥有网络管理权限的节点所实施的归巢攻击以及选择攻击目标节点实现恶意目的的选择转发攻击。
- 应用层攻击主要是利用不同协议之间数据转换实施由感知层节点向基站创建巨大信号以阻塞传输线路的拒绝服务攻击。
(2)物联网的安全控制措施
7.3.3 工控系统及其安全
工业控制系统(简称工控系统)可以看作物联网的重要应用领域之一。工业控制系统(ICS)是几种类型控制系统的总称，包括监控和数据采集(SCADA)系统、分布式控制系统(DCS)、过程控制系统(PCS)、可编程逻辑控制器等。这些控制系统广泛运用于工业、能源、交通、水利以及市政等与国计民生紧密相关的领域，是工业基础设施正常运作的关键。
1.工控系统的特征
2.工控系统的架构
(1)工业控制系统的关键组件包括
控制器、组态编程组件、数据采集与监视控制组件、人机界面、分布式过程控制系统。
(2)工业控制系统所涉及的网络部分包括
企业资源网络、过程控制和监控网络、控制系统网络。
3.工控系统安全
(1)工控网络安全态势及安全问题
1)工控系统安全问题中，自身脆弱性主要表现在以下几个方面：
- 系统漏洞难以及时处理给工控系统带来安全隐患
- 工业控制系统通信协议在设计之初缺乏足够的安全性考虑。专有的工业控制通信协议或规约在设计时通常只强调通信的实时性及可用性，对安全性普遍考虑不足，缺少足够强度的认证、加密、授权等安全措施。
- 没有足够的安全政策及管理制度，人员安全意识缺乏，缺乏对违规操作、越权访问行为的审计能力。
- 工控系统直接暴露在互联网上，面对新型的APT攻击，缺乏有效的应对措施，安全风险不断增加。
- 系统体系架构缺乏基本的安全保障，系统对外连接缺乏风险评估和安全保障措施。
2)工控系统安全问题中面临的外部威胁主要表现为：
- 通过拨号连接访问RTU
- 利用供应商内部资源实施攻击
- 利用部门控制的通信组件
- 利用企业VPN
- 获取数据库访问权限
(2)工控系统的安全防护
1)工控系统基础防护方法
- 失泄密防护
- 主机安全管理
- 数据安全管理
2)基于主控系统安全基线的防护方法
- 基线建立
- 运行监控
- 实施防御
