2021-2022-1学期20212306《网络空间安全导论》第十周学习总结
学习内容：《网络空间安全导论》第三章网络安全基础
3.1网络安全概述
3.1.1网络空间安全现状及安全挑战
网络安全现状因为计算机病毒层出不穷以及黑客的恶意攻击势头攀升、技术设计的不完备以及等等原因，网络安全现状十分严峻。信息安全问题已成为影响社会稳定和国家安危的战略性问题。
与此同时，敏感信息设计的内容十分丰富，因此我们必须对相关安全工作进行全面的规划和部署。相关信息密级分为秘密级、机密级和绝密级，以确保每一密级的信息仅能让那些具有高于或等于该权限的人使用。所谓机密信息和绝密信息，是指国家政府对军事、经济、外交等领域严加控制的一类信息。军事机构和国家政府部门应特别重视对信息施加严格的保护，特别应对那些机密和绝密信息施加严格的保护措施。一些认为敏感但是不是机密的信息，也需要通过法律手段和技术手段加以保护，以防止信息泄露或恶意修改。有的时候一些政府信息是非机密的，但是是敏感的，不能泄露。网络安全呈现出很多新形式和特点。网络应用不断发展，如何保护这些应用的安全也是一个巨大的挑战。
3.1.2网络安全威胁与防护措施
1.基本概念
所谓安全威胁，是指某个人、物、事件或概念对某一资源的保密性、完整性、可用性或合法使用所造成的危险。攻击就是某个安全威胁的具体实施。
所谓防护措施,是指保护资源免受威胁的一些物理的控制、机制、策略和过程。脆弱性是指在实施防护措施中或缺少防护措施时系统所具有的弱点。
所谓风险，是对某个已知的、可能引发某种成功攻击的脆弱性的代价的测度。当某个脆弱的资源的价值越高且成功攻击的概率越大时，风险就越高;反之,当某个脆弱资源的价值越低且成功攻击的概率越小时，风险就越低。风险分析能够提供定量的方法，以确定是否应保证在防护措施方面的资金投人。
安全威胁有时又可分为故意（黑客渗透）和偶然（如信息被发错方向）
故意的威胁又进一步分为被动攻击和主动攻击，被动攻击只对信息进行监听，而不对其修改；主动攻击却对信息进行故意的修改。总之，被动攻击比主动攻击更容易以更少的花费付诸实施。
2.安全威胁来源
（1）基本威胁
①信息泄露
②完整性破坏
③拒绝服务
④非法使用
（2）主要的可实现威胁
主要的可实现威胁包括渗入威胁和植入威胁
渗入威胁：①假冒②旁路控制③授权侵犯
植入威胁：①特洛伊木马②陷门
（3）潜在威胁
①窃听
②流量分析
③ 操作人员的不慎导致的信息泄露
④媒体废弃物所导致的信息泄露
安全威胁频率从高至低是：
授权侵犯>假冒攻击>旁路控制>特洛伊木马或陷门>媒体废弃物
典型的网络安全威胁
3.安全防护措施
①物理安全
②人员安全
③管理安全
④媒体安全
⑤辐射安全
⑥生命周期控制
一个安全系统的强度与其最弱链路的强度相同。为了提供有效的安全性，需要将不同种类的威胁对抗措施联合起来使用。
防护措施可用来对付大多数安全威胁，但是采用每种防护措施要付出代价哦。
3.1.3安全攻击的分类和常见形式
攻击分为：主动攻击和被动攻击。
被动攻击试图获得或利用系统的信息，但不会对系统的资源造成破坏。
主动攻击试图破坏系统的资源，影响系统的工作
1.被动攻击
被动攻击的特性是对所传输的信息进行窃听和检测。攻击者的目标是获得线路上所传输的信息。信息泄露和流量分析就是两种被动攻击的例子。
窃听攻击、流量分析
2.主动攻击
主动攻击是指恶意篡改数据流或伪造数据流等攻击行为。
①伪装攻击
②重放攻击
③消息篡改
④拒绝服务攻击
3.网络攻击的常见形式
（1）口令窃取
（2）欺骗攻击
（3）缺陷和后门攻击
（4）认证失效
（5）协议缺陷
（6）信息泄露
（7）指数攻击——病毒和蠕虫
（8）拒绝服务攻击
3.1.4开放系统互连模型与安全体系结构
OSI安全体系结构的研究始于1982年,当时ISO基本参考模型刚刚确立,这项工作是由ISO/ IEC JTC1/SC21完成的。国际标准化组织(1sO)于1988年发布了ISO7498-2标准,作为OSI基本参考模型的新补充。1990年,国际电信联盟决定采用ISO 7498-2作为其X800推荐标准。因此,X.800和1SO7498-2标准基本相同。
我国的国家标准《信息处理系统开放系统互连基本参考模型第二部分体系结构)(GB/T9387.2-1995)(等同于ISO498-2)和《Internet安全体系结构)RFC2401)中提到的安全体系结构是两个普遍适用的安全体系结构,用于保证在开放系中进程与进程之间远距离安全交换信息,这些标准确立了与安全体系结构有关的骰要素,适用于开放系统之间需要通信保护的各种场合,这些标准在参考模型的框架内建立起一些指导原则与约束条件,从而提供了解决开放互连系统中安全问题的统一的方法。
1.安全服务
X.800定义的5类安全服务
（1）认证
认证服务与保证通信的真实性有关。
特殊的认证服务：①同等实体认证。 ②数据源认证。
（2）访问控制
在网络安全中，访问控制对那些通过通信连接对主机和应用的访问进行限制和控制。
（3）数据保密性
保密性是防止传输的数据遭到诸如窃听、流量分析等被动攻击。对于数据传输,可以提供多层的保护。最常使用的方法是在某个时间段内对两个用户之间所传输的所有用户数据提供保护。例如,若两个系统之间建立了TCP连接,这种最通用的保护措施可以防止在TCP连接上传输用户数据的泄露。此外,还可以采用一种更特殊的保密性服务,它可以对单条消息或对单条消息中的某个特定的区域提供保护。这种特殊的保护措施与普通的保护措施相比,所使用的场合更少,而且实现起来更复杂、更昂贵。
保密性的另外一个用途是防止流量分析。它可以使攻击者观察不到消息的信源和信宿、频率、长度或通信设施上的其他流量特征。
（4）数据完整性
与数据的保密性相比,数据完整性可以应用于消息流、单条消息或消息的选定部分同样,最常用和直接的方法是对整个数据流提供保护。
（5)不可否认性
不可否认性防止发送方或接受方否认传输或接受过某条消息。
（6)可用性服务
2.安全机制
X.800定义的安全机制，如下图。
3.安全服务与安全机制的关系
4.在OSI层中的服务配置
3.1.5网络安全模型
一个网络安全模型通常由6个功能实体组成，分别是消息的发送方、消息的接收方、安全变换、信息通道、可信的第三方和攻击者。
任何用来保证信息安全的方法都包含如下两个方面：
①对被发送信息进行安全相关的变换,例如对消息加密,它打乱消息使得攻击者不能读懂消息，或者将基于消息的编码附于消息后，用于验证发送方身份。
②使通信双方共享某些秘密信息,而这些消息不为攻击者所知。例如加密和解密密钥,在发送端加密算法采用加密密钥对所发送的消息加密,而在接收端解密算法采用解密密钥对收到的密文解密。
网络安全模型说明,设计安全服务应包含以下4个方面内容:
①设计一个算法,它执行与安全相关的变换,该算法应是攻击者无法攻破的
②产生算法所使用的秘密信息
③设计分配和共享秘密信息的方法
④指明通信双方使用的协议,该协议利用安全算法和秘密信息实现安全服务。
但是，还有一些安全应用方案不完全符合该模型，他们遵循下图的网络访问安全模型
3.2网络安全防护技术
3.2.1防火墙
1.防火墙概述
防火墙是由软件和硬件组成的系统，处于安全的网络和不安全的网络之间，根据由系统管理员设置的访问控制规则，对数据流进行过滤。防火墙对数据流的处理方式有三种：
①允许数据流通过
②拒绝数据流通过
③将这些数据流丢弃
防火墙是Internet安全的最基本组成部分。但是对于防御内部的攻击，防火墙也无能为力；甚至有些绕过防火墙的连接，防火墙则毫无用武之地。
防火墙必须满足：
所有进出网络的数据流必须经过防火墙。
只允许经过授权的数据流通过防火墙。
防火墙自身对入侵免疫。
防火墙不是一台普通的主机，它自身的安全性要比普通的主机更高。
防火墙由多个部分构成，网关则由几台机器构成。
安全性和易用性往往矛盾，我们要懂得取舍。
2.防火墙分类
1、软、硬件形式分类：软件防火墙、硬件防火墙、芯片级防火墙。
2、防火墙技术分类：包过滤型防火墙、应用代理型防火墙 。
3、防火墙结构分类：单一主机防火墙、路由器集成式防火墙、分布式防火墙。
4、防火墙的应用部署位置分类：边界防火墙、个人防火墙、混合防火墙。
5、防火墙性能分类：百兆级防火墙、千兆级防火墙。
6、防火墙使用方法分类：网络层防火墙、物理层防火墙、链路层防火墙。
包过滤防火墙一般在路由器上实现，用以过滤用户定义的内容，如ip地址。包过滤防火墙的工作原理是：系统在网络层检查数据包，与应用层无关。这样系统就具有很好的传输性能，可扩展能力强。但是，包过滤防火墙的安全性有一定的缺陷，因为系统对应用层信息无感知，也就是说，防火墙不理解通信的内容，所以可能被黑客所攻破。
正是由于这种工作机制，包过滤防火墙存在以下缺陷：
＊通信信息：包过滤防火墙只能访问部分数据包的头信息；
＊通信和应用状态信息：包过滤防火墙是无状态的，所以它不可能保存来自于通信和应用的状态信息；
＊信息处理：包过滤防火墙处理信息的能力是有限的
3.2.2 入侵检测系统（IDS)
IDS主要功能
1.网络流量的跟踪与分析功能。
2.已知攻击特征的识别功能
3.异常行为的分析统计和响应
4.特征库的离线在线升级功能
5.数据文件完整性检查功能
6.自定义的相应功能
7.系统漏洞的预报警功能
8.IDS探测器集中管理功能
入侵检测系统分类
根据数据来源
1.基于网络的入侵检测系统
2.基于主机的入侵检测系统
3.分布式入侵检测系统
入侵检测策略
1.滥用检测
2.异常检测
3.完整性分析
入侵检测系统原理简介
入侵检测的原理，是从一组 数据 中检测出符合某一特点的数据。 构筑异常检测原理的入侵检测系统，首先要建立系统或用户的正常行为模式库，不属于该库的行为被视为异常行为。 但是，入侵性活动并不总是与异常活动相符合，而是存在下列4种可能性：入侵性非异常；非入侵性且异常；非入侵性非异常；入侵性且异常。
3.2.3虚拟专网
1.VPN概述
特点：费用低，安全保障，服务质量保证，可扩充性和灵活性，可管理性
2.VPN分类
远程访问VPN/网关—网关VPN
3.原理简介
VPN的精髓在于对数据包进行重新包装
3.2.4计算机病毒防护技术
计算机病毒因为具有破坏性、传染性、隐蔽性等特点，我们必须懂的防护。有木马型病毒、感染性病毒、蠕虫型病毒、后门型病毒、恶意软件等，我们需要了解基本原理。
反病毒技术和形式从发展初期至今经历了三个主要阶段：
1.基于简单的特征码查杀的单一专杀工具
2.基于光谱特征码查杀，主动防御拦截的综合杀毒软件阶段
3.基于云、人工智能和大数据技术的互联网查杀阶段。
计算机病毒检测的基本原理：通过对文件代码行为等进行数据采样，然后将采样的结果和基准进行匹配，再根据匹配结果去判定病毒。
3.2.5安全漏洞扫描技术
漏洞扫描即针对通用漏洞检测，需要依据通用漏洞形成的原理和造成的外部表现来判断。是否可以被检测，取决于形成漏洞的安全缺陷机制。
一般依赖于以下几方面：
1.漏洞POC是否被公开
2.系统指纹信息采集准确程度
3.漏洞EXP是否存在
漏洞扫描技术分类
1.系统扫描
2.应用扫描
漏洞扫描原理简介
分为以下几个步骤：存活判断，端口扫描，系统和服务识别，漏洞检测(原理检测，版本检测）
3.3网络安全工程与管理
3.3.1安全等级保护
我们需要了解安全等级保护，知道第一二三四五级的分类，同时了解工作机制和相关法规标准，明白等级保护主要要求。
3.3.2网络安全管理
1.网络安全管理概述
2.网络安全管理体系
3.网络安全风险管理
3.3.3网络安全事件处置与灾难恢复
3.4新型网络及安全技术
3.4.1工业互联网安全
工业互联网的核心是信息物理系统其主要作用是监控和控制生产过程中的物理信息。其面临的主要挑战是再各类设备正确和可靠运行下的前提，实现低成本的多重实时安全防护。，但因为传统信息系统和工业互联网之间存在许多差异，所以实现工业互联网安全不能简单使用现有的信息安全解决方案。
3.4.2 移动互联网安全
移动互联网 相对于互联网而言是新鲜的事物，移动互联网的定义有广义和狭义之分。. 广义的移动互联网是指用户可以使用手机、笔记本等 移动终端 通过协议接入 互联网 ，狭义的移动互联网则是指用户使用手机终端通过 无线通信 的方式访问采用WAP的网站。
主要安全防护技术：
1.移动互联网终端安全
2.移动互联网网络安全
3.移动互联网应用安全
3.4.3 物联网安全
物联网（Internet of Things，简称IoT）是指通过各种信息传感器、射频识别技术、全球定位系统、红外感应器、激光扫描器等各种装置与技术，实时采集任何需要监控、 连接、互动的物体或过程，采集其声、光、热、电、力学、化学、生物、位置等各种需要的信息，通过各类可能的网络接入，实现物与物、物与人的泛在连接，实现对物品和过程的智能化感知、识别和管理。物联网是一个基于互联网、传统电信网等的信息承载体，它让所有能够被独立寻址的普通物理对象形成互联互通的网络。
我们需要掌握工业互联网、移动互联网、物联网相关概念，了解新安全挑战和防护技术，才更有可能保护我们的网络安全。
