第3章 网络安全
3.1 网络安全及管理概述
3.1.1 网络安全的概念
- 从广义来说，凡是涉及网络信息的保密性、完整性、可用性、真实性、可控性、可审查性的相关技术和理论，都是网络安全的研究领域
- 网络安全包括网络硬件资源和信息资源的安全性。
- 网络硬件资源包括通信线路、通信设备（路由机、交换机等）、主机等。
信息资源包括维持网络服务运行的系统软件和应用软件，以及在网络中存储和传输的用户信息数据等。
3.1.2 网络管理的概念
- 网络管理是指监督、组织和控制网络通信服务，以及信息处理所必需的各种活动的总称
- 其目标是确保计算机网络的持续正常运行，使网络中的资源得到更加有效的利用，并在计算机网络运行出现异常时能及时响应和排除故障
从网络管理范畴来分类，可分为对网络设备的管理，即针对交换机、路由器等主干网络进行管理；对接入的内部计算机、服务器等进行管理；对行为的管理，即针对用户使用网络的行为进行管理；对网络设备硬件资产进行管理等。
3.1.3 安全网络的特征
1.可靠性
- 网络信息系统能够在规定条件下和规定时间内完成规定功能的特性
- 硬件可靠性
- 软件可靠性：在规定的时间内，程序成功运行的概率
- 人员可靠性：指人员成功地完成工作或任务的概率
环境可靠性：主要指自然环境和电磁环境
2.可用性
- 指网络信息可被授权实体访问并按需求使用的特性
可用性一般用系统正常使用时间和整个工作时间之比来度量
3.保密性
指网络信息不被泄露给非授权的用户、实体或过程，或者供其利用的过程
4.完整性
- 指网络信息未经授权不能进行改变的特性
- 要求保持信息的原样，即信息必须被正确生成、存储和传输
影响设备完整性的主要因素有设备故障、误码（传输、处理和存储过程中产生，定时的稳定度的精度降低造成的、各种干扰源造成的）、人为攻击、计算机病毒等
5.可控性
指对信息的传播及内容具有控制能力
6.可审查性
是指出现安全问题时提供的依据与手段
3.1.4 常见的网络拓扑
- 网络拓扑是指网络的结构方式，表示连接在地理位置上分散的各个节点的几何逻辑方式
网络拓扑决定了网络的工作原理及网络信息的传输方法
1.总线形网络拓扑
- 是将所有的网络工作站或网络设备连接在同一物理介质上
- 连接简单，增加和删除节点较为灵活
- 存在如下缺陷：
- 1.故障诊断困难
- 2.故障隔离困难
3.终端必须是智能的
2.星形拓扑结构
- 由中央节点和通过点到点链路连接到中央节点的各站点组成
- 将所有设备连接到同一个中心点上
- 中央节点设备常被称为转接器、集中器或中继器
- 主要安全缺陷：
- 对电缆的需求大且安装困难
- 扩展困难
- 对中央节点的依赖性过大
容易出现“瓶颈”现象
3.环形拓扑结构
- 由一些中继器和连接中继器的点到点链路组成一个闭合环
- 每个中继器与两条链路连接 数据以分组形式发送
- 由于多个设备共享一个环路，所以需要对网络进行控制
- 存在如下安全缺陷：
- 节点的故障将会引起全网的故障
- 故障诊断困难
- 不易重新配置网络
影响访问协议
4.树形拓扑结构
- 通常采用同轴电缆作为传输介质，且使用宽带传输技术
- 对根节点的依赖性太大
可靠性与星形结构类似
3.2 网络安全基础
3.2.1 OSI七层模型及安全体系结构
- 开放源代码促进会是一个旨在推动开源软件发展的非盈利性组织
OSI参考模型的全称是开放系统互连参考模型
1.七层模型的组成
- 应用层：访问网络服务的接口
- 表示层：提供数据格式转换服务
- 会话层：建立端连接并提供访问验证和会话管理
- 传输层：提供应用进程之间的逻辑通信
- 网络层：为数据在节点之间传输创建逻辑链路，并分组转发数据
- 数据链路层：在通信的实体间建立逻辑链路通信
物理层：为数据端设备提供原始比特流传输的通路
2.OSI协议的运行原理
- 在发送端，从高层到低层进行数据封装操作
在接收端，数据单元在每一层被去掉头部，根据需要传送给上一层处理，解封装过程
3.OSI安全体系结构
- 建立七层模型主要是为了解决异构网络互连时所遇到的兼容性问题
- 最大优点是将服务、接口和协议这三个概念明确地区分开来
- 物理层：设置连接密码
- 数据链路层：设置PPP验证、交换机端口优先级、MAC地址安全、BPDU守卫、快速端口等
- 网络层：设置路由协议验证、扩展访问列表、防火墙等
- 传输层：设置FTP密码、传输密钥等
- 会话层、表示层：公钥密码、私钥密码应该在这两层设置
应用层：设置NBAR、应用层防火墙等
在上述安全体系结构中，定义了五类相关的安全服务
- 认证（鉴别）服务：提供通信中对等实体和数据来源的认证（鉴别）
- 访问控制服务：用于防止未授权用户非法使用系统资源，包括用户身份认证和用户权限确认
- 数据保密性服务：为防止网络各系统之间交换的数据被截获或被非法存取而泄密，提供机密保护
- 数据完整性服务
抗否认性服务
3.2.2 TCP/IP协议及安全
1 网络层协议
（1）IP协议
- IP数据包中含有发送它的主机的地址（源地址）和接收它的主机的地址（目的地址）
IP地址欺骗攻击
（2）ARP（地址解析协议）
用于将计算机的网络地址（IP地址32位）转化为物理地址（MAC地址48位）
例子：执行命令ping 192.168.1.250
- 该命令会通过ICMP协议发送ICMP数据包
- 1.应用程序构造数据包，该示例是产生ICMP包，被提交给内核（网络驱动程序）
- 2.内核检查是否能够将该IP地址转化为MAC地址，也就是在本地APR缓存中查看IP-MAC对应表
- 3.如果存在该IP-MAC对应关系，则回复；如果不存在该IP-MAC对应关系，那么继续下面的步骤
- 4.内核进行ARP广播，目的地的MAC地址是FF-FF-FF-FF-FF-FF
- 主机接收到该请求后，发送命令
6.本地获得地址对应关系，并保存到ARP缓存中
2 传输层协议
（1）TCP
- 提供可靠的面向连接的服务
- 使用三次握手机制来建立一条连接
- 握手的第一个报文为SYN包；第二个报文为SYN/ACK包，表明它应答第一个SYN包；第三个报文仅是一个应答，表示为ACK包
- 倘若A为连接方，B为响应方，其间可能的威胁如下所示：
- 1）攻击者监听B方发出的SYN/ACK报文
- 2)攻击者向B方发送RST包，接着发送SYN包，假冒A方发起新的连接
- 3）B方响应新连接，并发送连接响应报文SYN/ACK
4）攻击者再假冒A方对B方发送ACK包
（2）UDP
- UDP报文由于没有可靠性保证、顺序保证和流量控制字段等，因此可靠性较差
数据传输过程中延迟少、传输效率高
传输层安全机制的主要优点是它提供基于进程对进程（而不是主机对主机的）安全服务
3.应用层协议
- HTTP、HTTPS、FTP、SMTP、Telent、DNS、POP3等
代理服务对于应用层以下的数据透明
4.安全封装协议
（1）IPSec
- 是为IPv4和IPv6协议提供基于加密安全的协议
- 它使用AH（认证头）和ESP（封装安全载荷）协议来实现其安全
- 使用ISAKMP/Oakley及SKIP进行密钥交换、管理及安全协商
IPSec安全服务包括访问控制、数据源认证、无连接数据完整性、抗重播、数据机密性和有限的通信流量机密性
（2）SSL协议
- 安全套协议是用来保护网络传输信息的
- SSL协议分为记录层协议和高层协议
- 记录层协议为高层协议服务，限定了所有发送和接收数据的打包，提供了通信、身份认证功能
- 工作分为两个阶段：握手阶段和数据传输阶段
SSL是通过加密传输来确保数据的机密性，通过信息验证码机制来保护信息的完整性，通过数字证书来对发送者和接收者的身份进行验证
(3)S-HTTP
- 安全超文本传输协议
- 处于应用层，是HTTP协议的扩展，仅适用于HTTP连接。
- 可提供通信保密、身份识别、可信赖的信息传输服务及数字签名等
- 请求报文格式如下：
- 请求行 通用信息头 请求头 实体头 信息主体
- 响应报文格式如下：
状态行 通用信息头 响应头 实体头 信息主体
（4）S/MIME
- 安全多用途网际邮件扩充协议
- S/MIME可以把MIME的实体（比如加密信息和数字签名等）封装成安全对象
MIME采用单向散列算法和公钥机制的加密体系
3.2.3 无线网络安全
1.无线局域网的安全问题
WLAN中存在的安全威胁因素主要是窃听、截取或者修改传输数据、拒绝服务等
2. 无线局域网安全协议
1）WEP（有线等效保密)
- 使用共享密钥串流加密技术进行加密，并使用循环校验以确保文件的正确性
WEP的其他弱点包括安全数据雷同的可能性和改造的封包
2）WPA（Wi-Fi网络安全接入）
- 是从密码强度和用户认证两方面入手来强化无线网络安全的。
共享密钥认证没有认证服务器，也叫做PSK模式
3)WPA2
4)WAPI(无线局域网鉴别和保密基础结构）
- WPI的解封装过程为：
- 1）判断数据分组序号（PN）是否有效，若无效，则丢弃该数据
- 2）利用解密密钥与数据分组序号（PN），通过工作在OFB模式的解密算法对分组中的MSDU数据及MIC密文进行解密，恢复出MSDU数据及MIC明文
- 3）利用完整性校验密钥与数据分组序号（PN），通过工作在CBC-MAC模式的校验算法对完整性校验数据进行本地计算，若计算得到的值与分组中的完整性校验码MIC不同，则丢弃该数据
4）解封装后将MSDU明文进行重组处理并递交至上层
3.3 识别网络安全风险
3.3.1 威胁
常见的外部威胁
- 1）应用系统和软件安全漏洞
- 2）安全策略：安全配置不当也会造成安全漏洞
- 3）后门和木马程序
- 在计算机系统中，后门是指软、硬件制作者为了进行非授权访问而在程序中故意设置的访问口令
- 4）病毒及恶意网站陷阱
- 5）黑客
- 6）安全意识淡薄
7）用户网络内部工作人员的不良行为引起的安全问题
3.3.2 脆弱性
脆弱性是指计算机或网络系统在硬件、软件、协议涉及和安全策略方面的缺陷，它的直接后果是使非法或非授权用户获取访问权限，从而破坏网络系统
1.操作系统的脆弱性
- 1）动态链接
- 2）创建进程
- 3）空口令和RPC
4）超级用户
2.计算机系统本身的脆弱性
- 系统的硬件故障通常有硬件故障、电源故障、芯片主板故障、驱动器故障等
系统的软件故障通常有操作系统故障、应用软件故障和驱动程序故障等
3.电磁泄露
计算机网络中的网络端口、传输线路和各种处理器都有可能因造成屏蔽不严或未屏蔽而造成电磁辐射，从而造成有用信息甚至机密信息泄密
4.数据的可访问性
5.通信系统和通信协议的弱点
6.数据库系统的脆弱性
7.网络存储介质的脆弱
3.4 应对网络安全风险
3.4.1 从国家战略层面应对
- 出台网络安全战略，完善顶层设计
- 建设网络身份体系，创建可信网络空间
- 提升核心技术自主研发能力，形成自主可控的网络安全产业生态体系
- 加强网络攻防能力，构建攻防兼备的安全防御体系
深化国际合作，逐步提升网络空间国际话语权
3.4.2 从安全技术层面应对
1.身份认证技术
- （1）生物认证技术
- （2）口令认证
（3）令牌认证：是通过使用存储有可信任信息或信息生成算法的载体进行身份认证的方式
2.访问控制技术
- 访问控制指系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。
- 访问控制的主要目的是限制访问主体对客体的访问，从而保障数据资源在合法范围内得到有效使用和管理
访问控制需要完成两个任务：识别和确认访问系统的用户、决定该用户可以对某一系统资源进行何种类型的访问
（1）访问控制的三要素：主体、客体和控制策略
- 1）主体S：是指提出访问资源具体请求，是某一操作动作的发起者
- 2）客体O：是指被访问资源的实体。所有可以被操作的信息、资源、对象都可以是客体
3）控制策略A:是主体对客体的相关访问规则的集合，即属性集合
（2）访问控制的功能及原理
- 访问控制的主要功能包括：保证合法用户访问受保护的网络资源
- 1）认证：包括主体对客体的识别及客体对主体的检验确认
- 2）控制策略：通过合理地设定控制规则集合，确保用户对信息资源在授权范围内的合法使用
3）安全审计：系统可以自动根据用户的访问权限，对计算机网络环境下的有关活动或行为进行系统的、独立的检查验证，并作出相应评价与审计
（3）访问控制类型
1）自主访问控制
- 是由客体的属主对自己的客体进行管理，由属主决定是否将自己的客体访问权或部分访问权授予其他主体
不限制数据信息的分发，安全性相对较低
2）强制访问控制
- MAC是系统强制主体服从的访问控制策略，是由系统对用户所创建的对象，按照规定的规则控制用户权限及操作对象的访问。
- 每个用户及文件都被赋予了一定的安全级别，只有系统管理员才能确定用户和组的访问权限
- 不允许通过进程生成共享文件，避免通过共享文件在进程中传递信息
- 可通过使用敏感标签对所有用户和资源强制执行安全策略，一般采用3种方法：限制访问控制、过程控制和系统限制
MAC的安全级别有多种定义方式，常用的级别分为4级：绝密级、秘密级、机密级和无级别级
3）基于角色的访问控制
- 角色是指完成一项任务必须访问的资源及相应操作权限的集合。
- 基于角色的访问控制是通过对角色的访问所进行的控制。
- RBAC支持三个著名的安全原则：最小权限原则、责任分离原则和数据抽象原则
- 最小权限原则可将其角色配置成完成任务所需要的最小权限集
- 责任分离原则可通过调用相互独立互斥的角色共同完成特殊任务，如核对账目等
数据抽象原则可通过权限的抽象控制一些操作，如财务操作可用借款、存款等抽象权限，而不用操作系统提供的典型的读、写和执行权限
4）综合性访问控制策略
HAC继承和吸取了多种主流访问控制技术的优点，有效地解决了网络空间安全领域的访问控制问题，保护了数据的保密性和完整性，保证授权主体能访问客体并拒绝非授权访问。
综合访问控制策略主要包括
1）入网访问控制
可对用户规定所能登入的服务器及获取的网络资源，控制准许用户的时间和登入的工作站点。用户的入网访问控制分为用户名和口令的识别与验证。用户账号的默认限制检查。
2）网络的权限控制
- 用户对网络资源的访问权限通常用一个访问列表来描述
- 从用户的角度，网络的权限控制按以下3类进行配置：
- 1.特殊用户：具有系统管理权限的系统管理员等
- 2.一般用户：系统管理员根据实际需要为其分配一定操作权限的用户
3.审计用户：专门负责审计网络的安全控制与资源使用情况的人员
3）目录级安全控制
- 目录级安全控制主要是为了控制用户对目录、文件和设备的访问，或指定对目录下的子目录和文件的使用权限。
在网络和操作系统中，常见的目录和文件访问权限有系统管理员权限、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限、访问控制权限。
4）属性安全控制
可将特定的属性与网络服务器的文件及目录网络设备相关联。
5）网络服务器安全控制
- 允许服务器控制台执行以下安全控制操作：用户利用控制台装载和卸载操作模块、安装和删除软件等
操作网络服务器的安全控制还包括设置口令锁定服务器控制台，防止非法用户修改、删除重要信息
6）网络监控和锁定控制
7）网络端口和节点的安全控制
- 网络服务器的端口常用自动回复器、静默调制解调器等安全措施进行保护，并以加密的形式来识别节点的身份。
- 自动回复器主要用于防范假冒合法用户
静默调制解调器用于防范黑客利用自动拨号程序进行网络攻击
5）访问控制应用
防火墙：“统一认证系统”、用于内部网络管理的“上网行为管理、流控”、用于网络隔离的“网闸”。
3.入侵检测技术
（1）入侵检测系统的定义
- 是一种对网络实时监控、检测、发现可疑数据并及时采取主动措施的网络设备。
- IDS通过对网络数据流的分析，发现对网络系统产生威胁的数据
入侵防御系统主要是对应用层的数据流进行深度分析
（2）常用的入侵检测技术
1)异常检测
2）特征检测
- 基于知识的检测和违规检测
这一检测的基本假设是，具有能够精确地按某种方式编码的攻击，并可以通过捕获攻击及重新整理，确认入侵活动是基于同一弱点进行攻击的入侵方法的变种。
3）文件完整性检查
入侵检测系统和防火墙的区别
从两个产品关注的安全范围来看，防火墙更多的是进行细粒度的访问控制，同时提供网络地址转换、应用服务代理和身份准入控制等功能；入侵检测系统则重点关注网络攻击行为，尤其是对应用层协议进行分析，并主动阻断攻击行为。
4.监控审计技术
- 日志审计
- 主机审计
网络审计
5.蜜罐技术
按应用平台可分为
（1）实系统蜜罐
利用一个真实的主机或操作系统来诱骗攻击者
（2）伪系统蜜罐
在系统中添加一些其他系统的漏洞
按照部署目的可分为
（1）产品型蜜罐
目的是为一个组织的网络提供安全保护，包括攻击检测、防止攻击造成破坏。
（2）研究型蜜罐
专门用于对黑客攻击的捕获和分析
按照交互度的等级 （交互度反应了黑客在蜜罐上进行攻击活动的自由度）
低交互蜜罐
一般只模拟操作系统和网络服务，容易部署且风险较小。属于模拟的虚拟蜜罐，存在着一些容易被黑客识别的指纹信息
高交互蜜罐
完全提供真实的操作系统和网络服务，没有任何的模拟。
网络管理的常用技术
网络管理，简称网管，是指网络管理员通过网络管理程序对网络上的资源进行集中化管理的操作，包括配置管理、性能和记账管理、问题管理、操作管理和变化管理等。
1.日常运维巡检
2.漏洞扫描
3.应用代码审核
4.系统安全加固
5.等级安全测评
6.安全监督检查
- 信息安全管理情况
- 技术防护情况
- 应急工作情况
- 安全教育培训情况
安全问题整改情况
7.应急响应处置
8.安全配置管理
- 资产管理
- 资源管理
- 服务目录管理
- 服务请求
- 监控管理