（学期2023-2024.1；学号：20232300）《⽹络空间安全导论》第3周学习总结

第3章 网络安全基础

3.1网络安全概述

3.1.1 网络安全现状及安全挑战

在信息传输和交换时，需要对通信信道上传输的机密数据进行加密；在数据存储和共享时，需要对数据库进行安全的访问控制和对访问者授权；在进行多方计算时，需要保证各方机密信息不被泄露。这些均属于网络安全的范畴。

1.网络安全现状

第一，计算机病毒层出不穷，肆虐全球，并且逐渐呈现新的传播态势和特点。
第二，黑客对全球网络的恶意攻击势头逐年攀升。
第三，由于技术和设计上的不完备，导致系统存在缺陷或安全漏洞。
第四，世界各国军方都在加紧进行信息战的研究。

2. 敏感信息对安全的需求

流过信息系统的信息有可能十分敏感，因为它们可能涉及产权信息、政府或企业的机密信息，或者与企业之间的竞争密切相关。目前，许多机构已经明确规定，对网络上传输的所有信息必须进行加密保护。从这个意义上讲，必须对数据保护、安全标准与策略的制定、安全措施的实际应用等各方面工作进行全面的规划和部署。

3. 网络应用对安全的需求

当今，各种网络应用如雨后春笋般不断涌现，而这些应用与人们的生活和工作息息相关，如何保护这些应用的安全是一个巨大的挑战。

3.1.2 网络安全威胁与防护措施

1. 基本概念

（1）安全威胁，是指某个人、物、事件或概念对某一资源的保密性、完整性、可用性或合法使用所造成的危险。攻击就是某个安全威胁的具体实施。
（2）防护措施，是指保护资源免受威胁的一些物理的控制、机制、策略和过程。脆弱性是指在实施防护措施中或缺少防护措施时系统所具有的弱点。
（3）风险，是对某个已知的、可能引发某种成功攻击的脆弱性的代价的测度。当某个脆弱的资源的价值越高且成功攻击的概率越大时，风险就越高；反之，当某个脆弱资源的价值越低且成功攻击的概率越小时，风险就越低。风险分析能够提供定量的方法，以确定是否应保证在防护措施方面的资金投入。
下面分3个阶段对威胁进行分析：①基本的威胁；②主要的可实 现威胁；③潜在威胁及分类。

2. 安全威胁的来源

(1)基本威胁
在信息系统中，存在以下4种基本安全威胁：
①信息泄露：信息被泄露或透露给某个非授权的人或实体。这种威胁来自诸如窃听、搭线或其他更加错综复杂的信息探测攻击。
②完整性破坏：数据的一致性通过非授权的增删、修改或破坏而受到损坏。
③拒绝服务：对信息或资源的访问被无条件地阻止。这可能由以下攻击所致：攻击
者通过对系统进行非法的、根本无法成功的访问尝试使系统产生过量的负荷，从而导致系统的资源在合法用户看来是不可使用的。拒绝服务也可能是因为系统在物理上或逻辑上受到破坏而中断服务。
④非法使用：某一资源被某个非授权的人或以某种非授权的方式使用。例如，侵入某个计算机系统的攻击者会利用此系统作为盗用电信服务的基点，或者作为侵入其他系统的“桥头堡”。
(2)主要的可实现威胁
在安全威胁中，主要的可实现威胁应该引起高度关注，因为这类威胁一旦成功实施，就会直接导致其他任何威胁的实施。主要的可实现威胁包括渗入威胁和植入威胁。
主要的渗入威胁有如下几种：
①假冒；②旁路控制；③授权侵犯；
主要的植入类型的威胁有如下几种：
①特洛伊木马(Trojan Horse)；②陷 门(Trapdoor)。
(3)潜在威胁
在对信息泄露这种基本威胁进行分析时，有可能找出以下几种潜在的威胁：
①窃听(Eavesdropping)。
②流量分析(Traffic Analysis)。
③操作人员的不慎所导致的信息泄露。
④媒体废弃物所导致的信息泄露。

3. 安全防护措施

除了采用密码技术的防护措施外，还有其 他类型的安全防护措施：
①物理安全；②人员安全；③管理安全；④媒体安全；⑤辐射安全；⑥生命周期控制。

3.1.3 安全攻击的分类及常见形式

X.800和RFC 2828对安全攻击进行了分类。它们把攻击分成两类：被动攻击和主动攻击。

1. 被动攻击

（1）窃听攻击

（2）流量分析

2.主动攻击

主动攻击是指恶意篡改数据流或伪造数据流等攻击行为，分成4类： ① 伪装攻击(Impersonation Attack);
②重放攻击(Replay Attack);
③消息篡改(Message Modification);
④拒绝服务(Denial of Service)攻击。

3. 网络攻击的常见形式

(1)口令窃取
口令猜测攻击有三种基本方式：
①利用已知或假定的口令尝试登录；
②根据窃取的口令文件进行猜测(如 UNIX 系统中的/etc/passwd 文件)；
③窃听某次合法终端之间的会话，并记录所使用的口令。

(2)欺骗攻击
(3)缺陷和后门攻击
(4)认证失效
(5)协议缺陷
(6)信息泄露
(7)指数攻击——病毒和蠕虫
(8)拒绝服务攻击
目前，黑客采用 DDoS 攻击成功地攻击了几个著名的网站，如 Yahoo、微软及 SCO 等，已经引起广泛关注。DDoS 其实是 DoS 攻击的一种，不同的是它能够使用许多台计算机通过网络同时对某个网站发起攻击。

3.1.4 开放系统互连模型与安全体系结构

1. 安全服务

X.800对安全服务做出定义：为了保证系统或数据传输有足够的安全性，开放系统通信协议所提供的服务。


（1）认证
认证服务与保证通信的真实性有关。对于正在进行的交互，如终端和主机连接，就涉及两个方面的问题：首先，在连接的初始化阶段，认证服务保证两个实体是可信的，也就是说，每个实体都是它们所声称的实体；其次，认证服务必须保证该连接不受第三方的干扰，例如，第三方能够伪装成两个合法实体中的一方，进行非授权的传输或接收。
该标准还定义了如下两个特殊的认证服务：
①同等实体认证。
②数据源认证。
（2）访问控制
在网络安全中，访问控制对那些通过通信连接对主机和应用的访问进行限制和控制。
(3)数据保密性
保密性是防止传输的数据遭到诸如窃听、流量分析等被动攻击。
(4)数据完整性
与数据的保密性相比，数据完整性可以应用于消息流、单条消息或消息的选定部分。 同样，最常用和直接的方法是对整个数据流提供保护。
(5)不可否认性
不可否认性防止发送方或接收方否认传输或接收过某条消息。
(6)可用性服务
X.800 和 RFC2828对可用性的定义是：根据系统的性能说明，能够按照系统所授权的实体的要求对系统或系统资源进行访问。

2.安全机制

前一类被称为特定安全机制，共有8种；后一类被称为普遍安全机制，共有5种。


3. 安全服务与安全机制的关系

4.在OSI层中的服务配置

3.1.5 网络安全模型

一个网络安全模型通常由6个功能实体组成，它们分别是消息的发
送方(信源)、消息的接收方(信宿)、安全变换、信息通道、可信的第三方和攻击者。

网络安全模型说明，设计安全服务应包含以下4个方面内容：
①设计一个算法，它执行与安全相关的变换，该算法应是攻击者无法攻破的。
②产生算法所使用的秘密信息。
③设计分配和共享秘密信息的方法。
④指明通信双方使用的协议，该协议利用安全算法和秘密信息实现安全服务。

3.2网络安全防护技术

3.2.1 防火墙

1.防火墙概述

防火墙对数据流的处理方式有3种：①允许数据流通过；②拒绝数据流通过；③将这些数据流丢弃。

2. 防火墙分类

防火墙所能提供的安全保护等级与其设计结构息息相关。 一般来讲，大多数市面上销售的防火墙产品包含以下一种或多种防火墙结构：
·静态包过滤。
·动态包过滤。
·电路级网关。
·应用层网关。
·状态检查包过滤。
·切换代理。
·空气隙。

3. 防火墙原理简介

静态包过滤防火墙的操作如图3-12 所示，主要实现如下3个主要功能。
①接收每个到达的数据包。
②对数据包采用过滤规则，对数据包的IP 头和传输字段内容进行检查。如果数据包的头信息与一组规则匹配，则根据该规则确定是转发还是丢弃该数据包。
③如果没有规则与数据包头信息匹配，则对数据包施加默认规则。默认规则可以丢弃或接收所有数据包。默认丢弃数据包规则更严格，而默认接收数据包规则更开放。通常，防火墙首先默认丢弃所有数据包，然后再逐个执行过滤规则，以加强对数据包的过滤。

3.2.2 入侵检测系统

1. 入侵检测系统概述

入侵检测是对传统安全产品的合理补充，帮助系统对付网络攻击，扩展了系统管理员 的安全管理能力(包括安全审计、监视、进行识别和响应),提高了信息安全基础结构的完 整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，查看网络中是否 有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全 闸门，能在不影响网络性能的情况下对网络进行监测，从而提供对内部攻击、外部攻击和 误操作的实时保护。以上功能都是通过执行以下任务来实现：
①监视、分析用户及系统的活动。
②系统构造和弱点的审计。
③识别反映已知进攻的活动模式并向相关人员报警。
④异常行为模式的统计分析。
⑤评估重要系统和数据文件的完整性。
⑥操作系统的审计跟踪管理，并识别用户违反安全策略的行为。

2.入侵检测系统分类

IDS 可以分为以下3种基本结构：
①基于网络的人侵检测系统(Network Intrusion Detection System,NIDS)。
②基于主机的人侵检测系统(Host Intrusion Detection System,HIDS)。
③分布式入侵检测系统(Distributed Intrusion Detection System,DIDS)。
根据入侵检测的策略，IDS也可以分成以下3种类型：
①滥用检测。滥用检测(Misuse Detection)就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的问题。
②异常检测。异常检测(Abnormal Detection)首先给系统对象(如用户、文件、目录和设备等）创建一个统计描述、统计正常使用时的一些测量属性(如访问次数、操作失败次数和延时等）
③完整性分析。完整性分析(Integrality Analysis)主要关注某个文件或对象是否被更改，这通常包括文件和目录的内容及属性，它在发现更改或特洛伊木马应用程序方面特别有效。

3. 入侵检测系统原理简介

它将一个入侵检测系统分为以下组件：
①事件产生器(Event Generators)。
②事件分析器(Event Analyzers)。
③响应单元(Response Units)。
④事件数据库(Event Databases)。

3.2.3 虚拟专网

1.VPN 概述

VPN 应具备以下几个特点
①费用低；②安全保障；③服务质量保证(QoS)；④可扩充性和灵活性；⑤可管理性。

2.VPN分类

3.IPSec VPN 原理简介

4.TLS VPN 与 IPSec VPN 的比较

3.2.4 计算机病毒防护技术

1.计算机病毒防护概述

(1)计算机病毒的定义和特点
从广义上讲，能够引起计算机故障、破坏计算机数据、影响计算机正常运行的指令或代码，均统称为计算机病毒(computer virus)。
计算机病毒的主要特点如下：
①破坏性。破坏性是计算机病毒的首要特征，不具有破坏行为的指令或代码不能称为计算机病毒。
②传染性。计算机病毒同自然界的生物病毒一样具有传染性。
③隐蔽性。计算机病毒通常没有任何可见的界面，为了最大限度地提高自己在被攻击的系统上的生命周期，会采用隐藏进程、文件等手段，千方百计地隐藏自己的行迹，以防止被发现、被删除。
(2)计算机反病毒技术与发展历史
反病毒的技术和形式从发展初期至今经历了三个主要阶段：
①基于简单特征码查杀的单一专杀工具阶段。
②基于广谱特征码查杀、主动防御拦截的综合杀毒软件阶段。
③基于云、人工智能和大数据技术的互联网查杀阶段。

2.计算机病毒分类

以下列出了计算机病毒的一些主要类型：
①木马型病毒(Trojan)；
②感染型病毒(Virus)；
③蠕虫型病毒(Worm)；
④后门型病毒(Backdoor)；
⑤恶意软件(Malware)。

3.计算机病毒检测原理简介

(1)计算机病毒检测的基本原理：
①采样。所谓采样是指对检测目标按特定位置进行一定大小的数据采集。
②匹配。所谓匹配是指将采样的数据与规则进行比较，以判别当前目标。匹配的方法既可以是精确的匹配算法，也可以是模糊的、相似度的匹配算法。
③基准。所谓基准是指预先通过对已知病毒样本进行分析处理而制作的病毒特征数据库或病毒样本算法模型，通常称为“病毒库”。
(2)计算机病毒的主流检测技术
以下为当前在反病毒领域普遍使用的一些主流检测技术：
①基于特征码的传统检测技术；
②基于行为的动态检测技术；
③基于云技术的云查杀技术；
④基于大数据处理与人工智能学习算法的智能查杀技术。

3.2.5 安全漏洞扫描技术

1.漏洞扫描技术概述

漏洞扫描的具体实施效果一般依赖于如下几方面因素：
①漏洞 PoC(Proof of Concept)是否公开；
②系统指纹信息采集准确度；
③漏洞 EXP(EXPloit)是否存在。

2.漏洞扫描技术分类

(1)系统扫描
系统扫描技术分为两类：
① 原理检测：即使用漏洞相关的 POC 机制原理、数据和代码，转换为漏洞检测工具 或插件，模拟和重现漏洞的触发过程。原理检测也常被称为精确扫描。
②版本检测：系统扫描的版本检测就是通过解析到该应用系统的版本信息，存储获取的该应用系统的版本信息，进而再将存储的版本信息跟已知漏洞的受影响的版本信息做对比，最终上报相关漏洞信息。
(2)应用扫描
常见的扫描目标如下：
①内容管理系统(Content Management System,CMS):包括用友、通达OA、大汉、拓尔思、Discuz 、WordPress 、Joomla 、Drupal 、PhpCMS 、DedeCMS 、74CMS 、KindEditor、 eWebEditor 、FCKEditor 、UEditor 等多种 CMS。
②服务器： Apache、IIS、Tomcat、Weblogic、WebSphere 等。
③框架： Struts2、Spring、jQuery等。

3.漏洞扫描原理简介

3.3网络安全工程与管理

3.3.1安全等级保护

1. 等级保护概述

(1)等级划分
①第一级： 一旦受到破坏会对相关公民、法人和其他组织的合法权益造成损害，但 不危害国家安全、社会秩序和公共利益的一般网络。
②第二级： 一旦受到破坏会对相关公民、法人和其他组织的合法权益造成严重损 害，或者对社会秩序和公共利益造成危害，但不危害国家安全的一般网络。
③第三级： 一旦受到破坏会对相关公民、法人和其他组织的合法权益造成特别严重 损害，或者会对社会秩序和社会公共利益造成严重危害，或者对国家安全造成危害的重要 网络。
④第四级： 一旦受到破坏会对社会秩序和公共利益造成特别严重危害，或者对国家
安全造成严重危害的特别重要网络。
⑤第五级：一旦受到破坏后会对国家安全造成特别严重危害的极其重要网络。
(2)工作机制
等级保护工作分为以下5个基本步骤：
①定级：等级保护对象的运营、使用单位按照等级保护的管理规范和技术标准，确定其安全保护等级。
②备案：等级保护对象的运营、使用单位按照相关管理规定报送本地区公安机关备案。跨地域的等级保护对象由其主管部门向其所在地的同级公安机关进行总备案，分系 统分别由当地运营、使用单位向本地地市级公安机关备案。
③建设整改：对已有的等级保护对象，其运营、使用单位根据已经确定的安全保护等级，按照等级保护的管理规范和技术标准，采购和使用相应等级的信息安全产品，落实 安全技术措施和管理措施，完成系统整改。对新建、改建、扩建的等级保护对象应当按照 等级保护的管理规范和技术标准进行规划设计、建设施工。
④等级测评：等级保护对象的运营、使用单位按照相应等级的管理规范和技术标准要求，定期进行安全状况检测评估，及时消除安全隐患和漏洞。等级保护对象的主管部门应当按照等级保护的管理规范和技术标准的要求做好监督管理工作。
⑤监督检查：公安机关按照等级保护的管理规范和技术标准要求，重点对第三、第四级等级保护对象的安全保护状况进行监督检查。
(3)相关法规标准

2. 等级保护主要要求

(1)定级方法
等级保护对象的安全保护等级分为以下五级：
①第一级：等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成 一般损害，但不危害国家安全、社会秩序和公共利益。
②第二级：等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全。
③第三级：等级保护对象受到破坏后，会对社会秩序和公共利益造成严重危害，或者对国家安全造成危害。
④第四级：等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重危害，或者对国家安全造成严重危害。
⑤第五级，等级保护对象受到破坏后，会对国家安全造成特别严重危害。

3.3.2 网络安全管理

1. 网络安全管理概述

2. 网络安全管理体系(ISMS)

(1)国外网络安全管理相关标准
(2)我国网络安全管理相关标准
(3)网络安全管理控制措施
·网络安全策略：旨在对组织中成员阐明如何使用组织中的信息系统资源、如何处 理敏感信息、如何采用安全技术产品、用户在使用信息时应当承担哪些责任，详细 描述员工的安全意识与技能要求，列出被组织禁止的行为。通常包括一个顶层的 网络安全方针和多组围绕特定主题支撑这一方针的网络安全策略集。
·网络安全组织：描述如何建立、运行一个网络安全管理框架来开展安全管理，主 要包括内部网络安全组织架构、职能职责分配，以及如何处理与各相关方的关系。
·人力资源安全：针对人员任用前、任用中以及任用的终止和变更3个阶段进行 管理。
·资产管理：主要包括识别组织资产并定义适当的保护责任、依据对组织的重要程 度进行信息分级，以及保护存储在介质中的信息。
·访问控制：以“未经明确允许，则一律禁止”为前提，考虑按需所知、按需使用原则制定并执行访问控制策略，保护系统、应用及数据不被未经授权的非法访问。

3. 网络安全风险管理

(1)风险管理概述
(2)风险管理实施流程：
①对资产进行识别、分类，然后对每项资产的保密性、完整性和可用性进行赋值，在此基础上评价资产的重要性。
②对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值，评估频率时需要综合考虑以下三个方面：以往安全事件报告中出现过的威胁及其频率的统计；实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计；近一两年来国际组织发布的对于整个社会或特定行业的威胁及其频率统计，以及发布的威胁预警。
③对脆弱性进行识别，并根据脆弱性对资产的暴露程度、技术实现的难易程度、流行 程度等对具体资产的脆弱性的严重程度赋值。
④根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性。
⑤根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的损失。
⑥根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即风险值。
(3)风险控制
常见的风险控制措施有4种：
①风险降低：实施安全措施，以把风险降低到一个可接受的级别 。
②风险承受：接受潜在的风险并继续运行网络和信息系统。
③风险规避：通过消除风险的原因或后果（如在发现风险后放弃系统某项功能或关闭系统）来规避风险，即不介入风险。
④风险转移：通过使用其他措施来补偿损失，从而转移风险，如购买保险。

3.3.3 网络安全事件处置与灾难恢复

1. 网络安全事件分类与分级

因此，对网络安全事件进行充足准备和有效管理，将有助于提高安全事件响应的效率，降低其可能产生的影响和危害，可从以下几方面入手：
①发现、报告和评估网络安全事件。
②及时响应网络安全事件，包括采取适当的措施防止或降低危害，并进行恢复。
③报告以前尚未发现的缺陷和脆弱性。
④从网络安全事件中吸取经验教训，建立和改进预防措施。

2. 网络安全应急处理关键过程

3. 信息系统灾难恢复

(1)灾难恢复概述
(2)灾难恢复关键过程

3.4新兴网络及安全技术

3.4.1 工业互联网安全

1. 工业互联网的概念

工业互联网是全球工业系统与高级计算、分析、感应技术以及互联网深度融合所形成的全新网络互联模式。工业互联网的本质是通过开放式的全球化工业级网络平台，紧密融合物理设备、生产线、工厂、运营商、产品和客户，高效共享工业经济中的各种要素资源，通过自动化和智能化的生产方式降低成本、提高效率，帮助制造业延长产业链，推动制造业转型发展。

2.工业互联网面临的新安全挑战

(1)传统攻击方式的危害性更大
(2)网络攻击的入口更多

3. 工业互联网主要安全防护技术

3.4.2 移动互联网安全

1.移动互联网的概念

移动互联网的组成主要包括4大部分：移动互联网终端设备、移动互联网通信网络、移动互联网应用和移动互联网相关技术

2. 移动互联网面临的新安全挑战

3. 移动互联网主要安全防护技术

根据移动互联网的特征和组成架构，移动互联网的安全问题可以分为3大部分：移动互联网终端安全、移动互联网网络安全和移动互联网应用安全

（1）移动互联网终端安全
（2）移动互联网网络安全
（3）移动互联网应用安全
（4）移动互联网安全管理和规范

3.4.3 物联网安全

1. 物联网的概念

物联网(The Internet of Things,IoT)是指通过各种信息传感器、射频识别技术、全球定位系统、红外感应器、激光扫描器等装置与技术，实时采集需要监控、连接、互动的物体或过程，采集其声、光、热、电、力学、化学、生物、位置等需要的信息，通过各种可能的网络接入，进行物与物、物与人的泛在连接，实现对物品和过程的智能化感知、识别和管理。
物联网形式多样，技术复杂。根据信息生成、传输、处理和应用的原则，物联网可分为 4层，即感知识别层、网络构建层、管理服务层和综合应用层

2. 物联网面临的新安全挑战

各层面临的安全挑战包括：
(1)感知识别层面临的主要安全挑战
·网关节点被攻击者控制，安全性全部丢失
·普通节点被攻击者控制（如攻击者掌握普通节点密钥）
·普通节点被攻击者捕获（但攻击者没有得到普通节点密钥）
·普通节点或者网关节点遭受来自于网络的 DOS 攻击。
·接入到物联网的超大量传感器节点的标识、识别、认证和控制问题。
（2）网络构建层面临的主要安全挑战
·DOS 攻击、DDOS 攻击。
·假冒攻击、中间人攻击等。
·跨异构网络的网络攻击。
(3)管理服务层面临的主要安全挑战
·来自于超大量终端的海量数据的识别和处理。
·智能变为低能。
·自动变为失控。
·灾难控制和恢复。
·非法人为干预。
·设备(特别是移动设备)丢失。
(4)综合应用层面临的主要安全挑战
·如何根据不同访问权限对同一数据库内容进行筛选。
·如何提供用户隐私信息保护，同时又能正确认证。
·如何解决信息泄露追踪问题。
·如何进行计算机取证。
·如何销毁计算机数据。

3.物联网主要安全防护技术

(1)感知识别层安全
(2)网络构建层安全
(3)管理服务层安全
(4)综合应用层安全

思维导图

苏格拉底式提问