【CISSP备考笔记】第4章:通信与网络安全

第四章:通信与网络安全

4.1 通信

​ 通信是数据在系统之间的电子传输,协议是归档计算机在网络上如何通信的一组规则。

4.2 开放系统互连参考模型

  • OSI模型

    • 应用层 协议:SMTP/HTTP/LPD/FTP/TELNET/TFTP

    • 表示层 数据表示处理,并不考虑数据的含义,而只关心数据的格式和语法,协议:ASCII/JPG/PNG等

    • 会话层 协议

                  结构化查询语言(SQL)
                  网络基本输入输出系统(NetBIOS)
                  远程过程调用(RPC)
                  密码身份验证协议(PAP)
                  点对点隧道协议(PPTP)
              会话层协议提供进程之间的通信通道
              工作模式:单工模式/半双工模式/全双工模式
              会话层协议控制应用程序到应用程序的通信,传输层协议控制计算机到计算机的通信
      
    • 传输层
      传输层提供了端对端数据传输服务,并且在两台通信计算机之间建立了一个逻辑连接

                   协议
                       传输控制协议(TCP)
                       用户数据报协议(UDP)
                       序列包交互(SPX)
                       安全套接字层(SSL)
      
    • 网络层
      协议

                           网际协议(IP)
                           网际控制消息协议(ICMP)
                           互联网组管理协议(IGMP)
                           路由信息协议(RIP)
                           开放最短路径优先协议(OSPF)
                           网际数据包交换(IPX)
                           边际网关协议(BGP)
      
    • 数据链路层

                  协议
                      地址解析协议(ARP)和逆向地址解析协议(RARP)
                      点对点协议(PPP)
                      串行线路网际协议(SLIP)
                      ATM/L2TP/FDDI/以太网(802.3)和令牌环(802.5)、无线以太网(802.11)
                  逻辑链路控制层(LLC):负责控制数据流和检测错误,紧靠网络层
                  介质访问控制层(MAC):紧靠物理层
      
    • 物理层

                  控制同步/数据传送速率/线路噪声/介质访问
      
    • 设备类型与OSI层

         路由器--网络层
         网桥和开关--数据链路层
        中继器--物理层
      
    • 多层协议
      分布式网络协议3(DNP3),用于SCADA系统的通信协议

       控制器区域网络总线
      

4.3 TCP/IP模型

  • TCP

                     TCP:面向连接的协议 UDP:无连接协议
    

    ​ TCP握手中典型DoS:SYN flood ,最有效的缓解技术:SYN缓存
    ​ TCP会话劫持:TCP序列号预测,接管TCP连接

    ​ 通用端口:0~1023 注册端口:1024~49151 动态端口:49152~65535

    ​ 应用层(数据/消息)—传输层(分片/数据报文 segment/datagram)—网络层(数据包/分组)—数据链路层(帧)

  • IP

    ​ 提供寻址和路由功能,IPv4 32位,IPV6 128位 mac 48位

    ​ 虚拟专用网络(VPN)提供网络层保护,MACSee提供数据链路层保护

4.4 传输类型

​ 数据传输方式
​ 数字信号:二进制值表示电脉冲,远距离传输更可靠。
​ 模拟信号:振幅和频率度量

​ 传输控制机制
​ 同步:通过由时钟脉冲启动的时间序列来同步数据传输。
​ 异步:使用开始和停止位进行通信。

​ 传输通道
​ 基带:使用整个通信通道进行传输,一次只允许传输一个信号。
​ 宽带:将一个通信通道分为若干不同且独立的通道,运载多个信号。

4.5 线缆

​ 带宽指采用的最高频率范围,数据吞吐速率值是实际通过线缆的数据流。

​ 同轴电缆,用作传输无限射频信号,比双绞线抗电磁干扰。
​ 双绞线,便宜,容易使用,最不安全的网络互联线缆
​ 光缆,传输速率高,信号传送更远,更安全,价格昂贵

​ 布线问题:噪声、衰减、串扰、线缆的阻燃率

4.6 网络互连基础
网络拓扑
环形拓扑:链路组合闭合回路
总线型拓扑:线型和树型,一根线缆跨越整个网络,线缆成为单点故障。
星型拓扑:所有节点连接到一台集中式设备,每个节点到设备都有专用链路。
网状型拓扑:每个节点都与其他节点相连,提供冗余。
介质访问技术
介质共享
令牌传递:只有拥有令牌的计算机才能将数据帧放在网线上,被令牌环和FDDI技术采用。
载波监听: CSMA/CD和CSMA/CA
轮询:主设备询问每个设备
以太网使用CSMA/CD、令牌环和FDDI使用令牌、wi-fi使用CSMA/CA、大型主机介质访问技术使用轮询
传输方法
单播:一对一
多播:一对多
广播:一对所有
网络协议和服务
地址解析协议(ARP):ARP表中毒、RARP和BOOTP用于(无盘工作站)
动态主机配置协议(DHCP):基于UDP的协议,DHCP snooping 窥探
网际控制消息协议(ICMP)
ping/tracetroute
攻击:数据包插入ICMP进行通信
简单网络管理协议(SNMP)
SNMP v1 v2明文嗅探 v3 加密、只读 public、读写 private,端口(161和162)

​ 域名服务(DNS)
​ 域传送同步主从DNS服务器信息
​ 缓解DNS威胁
​ 毒害DNS缓存表、HOSTS文件操纵
​ DNSSEC(DNS Security):应用PKI和数字签名,验证消息来源。
​ 防止HOSTS文件入侵最有效技术:实施一个主机型IDS
​ 域名注册问题。域抢占和恶意抢注
​ 电子邮件服务
​ 简单邮件传输协议(SMTP)
​ 邮局协议(POP)/互联网消息访问协议(IMAP)
​ 电子邮件伪装,使用发件人策略框架(SPF)
​ 网络地址转换(NAT)
​ 透明的路由选择和地址转化,隐藏内部地址
​ 基本类型
​ 静态映射
​ 动态映射
​ 端口地址转换(PAT)
​ 路由协议
​ 动态路由和静态路由

​ 4.7 网络互连设备

​ 中继器
​ 工作在物理层,中继和放大电信号,转发冲突和广播信息
​ 集线器是一种多端口的中继器
​ 网桥
​ 工作在数据链路层,根据MAC地址过滤数据帧
​ 隔离冲突域,不能隔离广播域,考虑广播风暴问题
​ 路由器
​ 工作在网络层,根据IP地址过滤数据包
​ 分割冲突域和广播域
​ 交换机
​ 工作在数据链路层
​ 交换机所有端口各单独有一个冲突域,默认都在同一个广播域里,通过划分vlan可以划分不同广播域
​ vlan跳跃攻击
​ 网关
​ 应用层,翻译不同网络之间使用的不同协议
​ 电子邮件网关/语音和介质网关
​ 专用交换机(PBX):用户公司所有的专用电话交换机

​ 防火墙
​ 用于限制从另一个网络对特定网络的访问
​ 防火墙类型
​ 包过滤防火墙:第一代防火墙,性能高/速度快
​ 状态检测防火墙:跟踪记录通讯会话
​ 代理防火墙:检查出入口流量,电路级代理(会话层,socks)和应用层代理
​ 动态包过滤防火墙:允许任何类型的流量流出,并只允许相应流量流入
​ 内核代理防火墙:第五代防火墙,基于代理的防火墙
​ 下一代防火墙:采用了基于特征的IPS引擎,云引擎

第一代:包过滤
第二代:代理:电路代理和应用代理
第三代:状态检测
第四代:动态包过滤

​ 防火墙的架构:双宿防火墙、被屏蔽主机(在路由器后面)、被屏蔽子网(两个物理防火墙创建了一个DMZ区)

​ 代理服务器
​ 转发代理、开放代理、匿名代理、和反向代理(负载均衡)

​ 蜜罐(honeypot)
​ 用于试图引诱攻击者
​ 统一威胁管理(UTM)
​ 在单一网络设备上提供多个功能,整体上识别网络安全状况
​ 内容分发网络(CDN)
​ 内容优化,抵御DDoS攻击
​ 软件定义网络(SDN)
​ 集中设备的配置和控制

​ 4.8 内联网与外联网
​ 基于web的技术
​ 4.9 城域网(MAN)
​ 用于将LAN连接到LAN,将LAN连接到WAN/互联网和其他电信电缆网

4.10 广域网(WAN)

专用链路:两个目标之间建立单条链路,价格昂贵
帧中继:工作在数据链路层,数据包交换技术
X.25:使用载波交换的交换技术,用户费用基于所使用的带宽,数据包交换技术。
异步传输模式(ATM):信元交换方法,第一种提供真正QoS的协议

电路交换:面向连接的虚拟链路,通常运载面向语音的数据。
数据包交换:数据包可沿许多不同的动态路径到达同一个目的地,通常运载面向数据的数据。

同步数据链路控制(SDLC):提供轮询介质访问技术
高级数据链路控制(HDLC):面向位的链路层协议
点对点协议(PPP):为点对点连接进行装帧和封装的数据链路协议
高速串行接口(HSSI):将多路复用器和路由器联系到高速通信服务的接口

4.11 远程连接

拨号连接:调制解调器连接互联网,战争拨号。模拟信号
综合业务数字网(ISDN):数字信号
数字用户线路(DSL)
线缆调制解调器:共享相同的介质,网络嗅探。

虚拟专用网(VPN):​

点对点隧道协议(PPTP):使用通用路由封装和TCP来封装PPP数据包,并通过IP网络延伸PPP连接。PPP有效载荷用 Miscrosoft的点对单加密(MPPE)进行加密,MPPE使用了对称算法RC4,容易被破解。用于系统与系统通信,不能用于支持多个用户同时连接的网关到网关的连接。在数据链路层工作,只能通过ip网络传输。

第二层隧道协议(L2TP):PPTP和Cisco的第二层转发(L2F)协议的功能结合在一起,能在多种网络中传输。不提供任何加密功能。

互联网协议安全(IPSec):工作在网络层,用于保护IP流量,常用与网关之间的连接,能同时处理多个vpn连接。只支持ip网络。隧道模式保护数据包的有效载荷和首部信息,传输模式只保护有效载荷。

身份验证首部(AH),提供数据完整性、数据源验证和免受重放攻击的保护。
封装安全有效载荷(ESP),提供机密性,数据源验证和数据完整性。
互联网安全连接和密钥管理协议(ISAKMP):提供安全连接创建和密钥交换的框架。
互联网密钥交换(IKE),提供验证的密钥材料和ISAKMP一起使用。

传输层安全VPN(TLS):工作在会话层,主要用于保护http流量,提供细粒化的访问控制和配置。

身份验证协议:

密码身份验证协议(PAP):最不安全的身份验证方法之一,以明文形式发生凭证,容易被网络嗅探者截获,不推荐使用。
挑战握手身份验证协议(CHAP):不发生密码,采用挑战/响应机制进行身份验证,不易遭受中间人攻击。
可扩展身份验证协议(EAP):身份验证框架,可以与各种技术和协议一起使用。

EAP-TLS,客户端和服务器彼此使用数字证书进行身份验证
EAP-TTLS,服务器必须使用数字证书来验证客户端的身份。客户端可以使用其他方式来验证服务器。

4.12 无线网络

无线通信技术:信号频率越高,信号运载的数据越多,传输距离越短。CSMA/CA(冲突避免)技术。

扩频类型:通过在大量频率上扩散数据来实现数据传输。

调频扩频(FHSS)、直接序列扩频(DSSS)、正交频分多路复用(OFDM)

IEEE标准 802.11

WEP协议使用RC4算法,流对称密码,被认为是不安全的。
两种身份验证方式:开放系统身份验证(OSA)和共享密钥身份验证(SKA)。OSA只需要无线设备的SSID值,SKA明文传输,容易被嗅探。
三个主要缺陷:应用静态加密密钥、初始化向量使用效率低、缺乏数据包完整性保证。
存在的问题包括:身份验证不完整,静态WEP密钥能够被攻击轻易截获,ICV重复使用且不能提供必要的随机性,缺乏数据完整性。

IEEE标准 802.11i

​ WPA TKIP WPA2 使用AES算法和CBC-MAC

802.11b    2.4GHz频率,使用DSSS,数据传输率最高可达11Mbps
802.11g    2.4GHz频率,使用,54Mbps

802.11a    5Ghz,使用OFDM,54Mbps (美国使用,其他国家不一定用)   --->802.11h (满足欧洲无限规则的要求)
802.11n    5GHz,100Mbps
802.11ac   5Ghz,1.3Gbps,向下兼容以上协议

802.15.4   2.4GHz,ZigBee协议基于802.11.4标准,250kbps,128位对称密钥加密
蓝牙无线技术  802.15的一部分,传输速率1-3Mbps,工作范围为1-100米,2.4GHz工作,蓝牙劫持(Bluejacking)是使用蓝牙技术的设备容易遭到的一种攻击,攻击者向一台支持蓝牙的设备主动发送一条信息。 应对是设置为无法发现模式。

IEEE标准802.1X
基于端口的网络访问控制协议

卫星
移动无线通信:1G(FDMA)、2G(TDMA)、3G(CDMA)、4G(OFDM)

4.13 网络加密

链路加密
    发生在数据链路层和物理层,会加密沿某种特定通道传输的所有数据,如卫星链路、T3线路或电话线路。
    优点:所有的数据都被加密 缺点:每一跳都要解密,存在很多脆弱点
端到端加密
    发生在应用层
    优点:数据加密字段比较灵活,每个用户可以选择特定配置  缺点:数据包的头部/地址和路由信息未被加密

电子邮件加密标准
    多用途互联网邮件扩展(MIME)/安全MIME(S/MIME)
    可靠加密(PGP),主要使用RSA公钥加密来实现密钥管理,使用IDEA对称密码完成加密。
互联网安全
    HTTP/HTTPS
    安全套接字层(SSL)工作在传输层,Netscape开发,最终版本SSL3.0
    传输层安全(TLS),目前版本TLS1.2,端到端加密技术
    安全外壳(SSH)取代Telnet/FTP/rlogin/rexec/rsh,通过Diffie-Hellman交互会话密钥,这个会话密钥将在会话过程中加密和保护传送的数据。

4.14 网络攻击

拒绝服务攻击(DoS),本质是对安全三元组中的可用性进行破坏,导致服务或资源性能降低,或使合法用户无法使用。
    畸形数据包:最著名的死亡ping
    洪泛攻击:SYN洪泛
    分布式拒绝服务攻击(DDoS)
    勒索软件
嗅探:对数据机密性的攻击
DNS劫持:基于主机、网络、服务器进行劫持
偷渡下载

问题:

1、会话初始化协议(SIP)是一种广泛用于VoIP通信会话的信令协议,应用层协议。

2、TCP Segment TCP段,表示一个TCP包在传输层的单个数据单元。

3、呼叫转移是回拨系统特有的弱点。

4、帧中继和X.25属于分组交换服务。

5、SET 安全电子交易协议,需要两对非对称密钥和两个数字证书。

6、IKE在IPsec协议的作用是对等身份验证和密钥交换。

7、Smurf攻击,使用了IP欺骗和ICMP回复方法使大量网络传输充斥目标系统,引起目标系统拒绝为正常系统进行服务。

8、TLS协议是一个双层套接字层安全协议,包括TLC记录协议和TLS握手协议。

9、Teardrop攻击是一种畸形报文攻击,向被攻击者发送多个分片的IP包。

posted @ 2020-11-19 10:39  Bypass  阅读(287)  评论(0编辑  收藏