第三章网络安全

3.1 网络空间及管理概述
***

3.1.1 网络安全的概念

网络安全包括网络硬件资源和信息资源的安全性。

网络硬件资源包括：通信线路、通信设备（路由机、交换机等）、主机等。
信息资源包括：维持网络服务运行的系统软件和应用软件，以及在网络中存储和传输的用户信息数据等。
++信息资源的安全也是网络安全的重要组成部分。++

3.1.2 网络管理的概念

网络管理是指监督、组织和控制网络通信服务，以及信息处理所必需的各种活动的总称。

从网络管理范畴来分类，可分为：
对网络设备的管理
对接入的内部计算机、服务器等进行的管理
对行为的管理
对网络设备硬件资产进行管理等
*
3.1.3 安全网络的特征**

一般来说，能够通过网络安全与管理技术或手段保障++可靠性、可用性、保密性、完整性、可控性、可审查性++的网络即具备了安全网络的特征。

（1）可靠性：网络信息系统能够在规定条件下和规定的时间内完成规定功能的特征。
可靠性是所有网络信息系统建设和运行的目标。
可靠性主要表现在++硬件可靠性、软件可靠性、人员可靠性、环境可靠性++等方面。
硬件可靠性 相对直观和常见。
软件可靠性 是指在规定的时间内，程序成功运行的概率。
人员可靠性 是指人员成功地完成工作或任务的概率。
环境可靠性 是指在规定的环境内，保证网络成功运行的概率。这里的环境主要指自然环境和电磁环境。

（2）可用性：可用性是指网络信息可被授权实体访问并按需求使用的特性。
可用性保证网络信息服务在需要时允许授权用户或实体使用，或者是网络部分受损或需要降级使用时仍能为授权用户提供有效服务。
++可用性是网络信息系统面向用户的安全性能。++

（3）保密性：保密性是指网络信息不被泄露给非授权的用户、实体或过程，或者供其利用的特性。

（4）完整性：完整性是指网络信息未经授权不能进行改变的特性，即网络信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。
++它是一种面向信息的安全性，要求保持信息的原样，即信息必须被正确生成、存储和传输。++
影响网络信息完整性的主要原因有设备故障、误码（传输、处理和存储过程中产生的误码，定时的稳定度和精度降低造成的误码，各种干扰源造成的误码）、人为攻击、计算机病毒等。

（5）可控性：可控性是指对信息的传输及内容具有控制能力。

（6）可审查性：可审查性是指出现安全问题时提供的依据与手段。

3.1.4 常见的网络拓扑

网络拓扑是指网络的结构方式，表示连接在地理位置上分散的各个节点的几何逻辑方式。网络拓扑决定了网络的工作原理及网络信息的传输方法。

常见的网络拓扑结构有总线形、星形、环形和树形等。

1.总线形拓扑结构
总线形拓扑结构是将所有的网络工作站或网络设备连接在同一物理介质上，这时每个设备直接连接在通常所说的主干电缆上。由于总线形结构连接简单，增加和删除节点较为灵活。

总线形拓扑结构存在如下安全缺陷：

故障诊断困难：虽然总线形结构简单、可靠性高，但故障检测却很困难。
故障隔离困难：对于总线形拓扑，如果故障发生在节点，则只需将该节点从网络上去除；如果故障发生在传输介质上，则整个总线要被切断。
终端必须是智能的：总线上一般不设有控制网络的设备，每个节点按竞争方式发送数据，难免会带来总线上的信息冲突，因而连接在总线上的节点要有介质访问控制功能，这就要求终端必须是智能的。

2.星形拓扑结构
星形拓扑结构由中央节点和通过点到点链路连接到中央节点的各站点组成。星形拓扑如同电话网一样，将所有设备连接到一个中心点上，中央节点设备常被称为转接器、集中器或中继器。

星形拓扑结构主要存在如下安全缺陷：

对电缆的需求大且安装困难：因为每个站点直接和中央节点相连，因此需要大量的电缆、电缆沟、维护、安装等都存在问题。
扩展困难：要增加新的网点，就要增加到中央节点的连接，这需要事先设置大量的冗余电缆。
对中央节点的依赖性太大：如果中央节点出现故障，则会成为致命性的事故，可能导致大面积的网络瘫痪。
容易出现“瓶颈”现象：星形拓扑结构网络的另一大隐患是大量的数据处理靠中央节点来完成，因而会造成中央节点负荷过重、结构复杂，容易出现“瓶颈”现象，系统安全性较差。

3.环形拓扑结构
环形拓扑结构的网络由一些中继器和连接中继器的点到点链路组成一个闭合环。

环形拓扑结构主要存在如下安全缺陷：

节点的故障将会引起全网的故障：环上的数据传输会通过连接在环上的每一个节点，如果环上某一节点出现故障，将会引起全网的故障。
故障诊断困难：因为某一节点故障会引起全网工作中断，因此难以诊断故障，需要对每个节点进行检测。
不易重新配置网络：要扩充环的配置教困难，同样，要关掉一部分已接入网的节点也不容易。
影响访问协议：环上每个节点接收到数据后，要负责将之发送到环上，这意味着同时要考虑访问控制协议，节点发送数据前，必须知道传输介质对它是可用的。

4.树形拓扑结构
树形拓扑结构是从总线形拓扑演变而来的，其形状像一棵倒置的树。树形拓扑通常采用同轴电缆作为传输介质，且使用宽带传输技术。

树形结构的主要安全缺陷是对根节点的依赖性太大，如果根节点发生故障，则全网不能正常工作，因此该结构的可靠性与星形结构类似。

3.2 网络安全基础

3.2.1 OSI七层模型及安全体系结构

OSI(Open Source Initiative,开放源代码促进会/开放源码组织)是一个旨在推动开源软件发展的非营利组织。OSI参考模型（OSI/RM）的全称是开放系统互连参考模型（Open System Interconnection Reference Model,OSI/RM）。
这里所说的开放系统，实质上指的是遵循OSI参考模型和相关协议，能够实现互联的具有各种应用目的的计算机系统。它是网络技术的基础，也是分析、评判各种网络技术的依据。

1.七层模型的组成

OSI参考模型由下至上分别为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层，各层的主要功能如下。

应用层	访问网络服务的接口，例如为操作系统或网络应用程序提供访问网络服务的接口。常见的应用层协议有Telnet、FTP、HTTP、SNMP、DNS等
表示层	提供数据格式转换服务，如加密与解密、图片解码和编码、数据的亚索和解压缩。常见应用：URL加密、口令加密、图片编码器
会话层	建立端连接并提供访问验证和会话管理
传输层	提供应用进程之间的逻辑通信。常见应用：TCP、UDP、进程、端口
网络层	为数据在节点之间传输创建逻辑链路，并分组转发数据。例如，对子网间的数据包进行路由选择。常见应用：路由器、多层交换机、防火墙、IP、IPX等
数据链路层	在通信的实体间建立逻辑链路通信。例如，将数据分帧，并处理流控制、物理地址寻址等。常见应用设备：网卡、网桥、二层交换机等
物理层	为数据端设备提供原始比特流传输的道路。例如，网络通信的传输介质。常见应用设备：网线、中继器、光纤等

2.OSI协议的运行原理

在发送端，从高层到低层进行数据封装操作，每一层都在上层数据的基础上加入本层的数据头，然后再传递给下一层处理。因此，这个过程是数据逐层向下的封装过程，俗称“打包”过程。

在接收端，对数据的操作与上述过程相反，数据单元在每一层被去掉头部，根据需要传送给上一层来处理，直到应用层解析后被用户看到内容。这是一个从低层到高层的解封装过程，俗称“拆包”过程。

3.OSI安全体系结构

OSI安全体系结构是与OSI七层相对应的。不同层次上有不同的安全技术，如：

物理层：设置连接密码
数据链路层：设置PPP验证、交换机端口优先级、MAC地址安全、BPDU守卫、快速端口等。
网络层：设置路由协议验证、扩展访问列表、防火墙等。
传输层：设置FTP密码、传输密钥等。
会话层&表示层：公钥密码、私钥密码应该在这两层进行设置。
应用层：设置NBAR、应用层防火墙等。

上述OSI安全体系中定义了五类相关的安全服务，包括认证（鉴别）服务、访问控制服务、数据保密性服务、数据完整性服务和抗否认性服务。

3.2.2 TCP/IP协议及安全

TCP/IP(Transmission Control Protocol/Internet Protocol,传输控制协议/因特网互联协议)是Internet的基本协议，由OSI七层模型中的网络层IP协议和传输层TCP协议组成。TCP/IP定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。

1.网络层协议

（1）IP协议
IP协议是TCP/IP的核心，也是网络层中的重要协议。

（2）ARP（Address Resolution Protocol,地址解析协议）
ARP协议用于将计算机的网络地址（IP地址32位）转化为物理地址（MAC地址48位）。

2.传输层协议

（1）TCP
TCP协议使用三次握手机制来建立一条连接：握手的第一个报文为SYN包；第二个报文为SYN/ACK包，表明它应答第一个SYN包，同时继续握手的过程；第三个报文仅仅是一个应答，表示为ACK包。

（2）UDP
UDP报文由于没有可靠性保证、顺序保证和流量控制字段等，因此可靠性较差。当然，正因为UDP协议的控制选项较少，使其具有数据传输过程中延迟小、数据传输效率高的优点，所以适用于对可靠性要求不高的应用程序，或者可以保障可靠性的应用程序。

3.应用层协议

应用层代理服务器用于支持代理的应用层协议，如HTTP、HTTPS、FTP、Telnet等。

4.安全封装协议

（1）IPSec
IPSec是Internet Protocol Security的缩写，是为IPv4和IPv6协议提供基于加密安全的协议，它使用AH（认证头）和ESP（封装安全载荷）协议来实现其安全，使用ISAKMP/Oakley及SKIP进行密钥交换、管理及安全协商。

（2）SSL协议
安全套接层（Security Socket Layer,SSL）协议是用来保护网络传输信息的，它工作在传输层之上、应用层之下，其底层是基于传输层可靠的流传输协议（如TCP）。

（3）S-HTTP
S-HTTP协议处于应用层，它是HTTP协议的扩展，仅适用于HTTP连接。S-HTTP可提供通信保密、身份识别、可信赖的信息传输服务及数字签名等。S-HTTP提供了完整且灵活的加密算法及相关参数。

（4）S/MIME
S/MIME的全称是安全多用途网际邮件扩充协议（Secure Multipupose Internet Mail Extensions,RFC 2311）。
S/MIME对安全方面的功能也进行了扩展，可以把MIME的实体（比如加密信息和数字签名等）封装成安全对象。它定义了增强的安全服务。S/MIME增加了新的MIME数据类型，用于提供数据保密、完整性保护、认证和鉴定服务等。

3.2.3 无线网络安全

1.无线局域网的安全问题
窃听、截取或者修改传输数据、拒绝服务等。

2.无线局域网安全协议

WEP（有线等效保密）
WPA（Wi-Fi网络安全接入）
WPA2
WAPI（中国拥有自主知识产权的WLAN安全解决方案）

3.WPI的解封装过程

判断数据分组序号是否有效，无效则丢弃该数据
利用解密密钥与数据分组序号。通过工作在OFB模式的解密算法对分组中的MDSU数据及MIC密文进行解密，恢复出MSDU数据以及MIC明文
利用完整性校验密钥与数据分组序号，通过工作在CBC-MAC模式的校验算法对完整性校验数据进行本地计算，若计算得到的值与分组中的完整性校验码MIC不同，则丢弃该数据
解封装后将MSDU明文进行重组处理并递交至上层

3.3 识别网络安全风险
*
3.3.1 威胁**
常见的外部威胁：应用系统和软件安全漏洞、安全策略、后门和木马程序、病毒及恶意网站陷阱、黑客、安全意识淡薄、用户网络内部工作人员的不良行为引起的安全问题。

3.3.2 脆弱性
1.操作系统的脆弱性：动态链接、创建进程、空口令和RPC、超级用户。
2.计算机系统本身的脆弱性：硬件软件故障。
3.电磁泄露
4.数据的可访问性
5.通信系统和通信协议的弱点
6.数据库系统的脆弱性
7.网络存储介质的脆弱

3.4 应对网络安全风险

3.4.1 从国家战略层面应对
1.出台网络安全战略，完善顶层设计。
2.建设网络身份体系，创建可信网络空间。
3.提升核心技术自主研发能力，形成自主可控的网络安全产业生态体系。
4.加强网络攻防能力，构建攻防兼备的安全防御体系。
5.深化国际合作，逐步提升网络空间的国际话语权。

3.4.2 从安全技术层面应对
1.身份认证技术

生物认证技术
口令认证
令牌认证

2.访问控制技术

访问控制(Access Control)指系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。
三要素：主机、客体和控制策略
访问控制的功能及原理：认证、控制策略、安全审计
类型：自主访问控制、强制访问控制、基于角色的访问控制以及综合访问控制策略等。
综合性访问控制策略：入网访问控制、网络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监控和锁定控制、网络端口和节点的安全控制
访问控制的应用

3.入侵检测技术

入侵检测系统是一种对网络实时监控、检测，发现可疑数据并及时采取主动措施的网络设备。
常用的入侵检测技术：异常检测、特征检测、文件完整性检查。

4.监控审计技术

网络安全审计方法：日志审计、主机审计、网络审计

5.蜜罐技术
按应用平台，蜜罐技术分为实系统蜜罐、伪系统蜜罐。
按照部署目的，蜜罐分为产品型蜜罐和研究型蜜罐。
按照交互度的等级，蜜罐分为低交互蜜罐、高交互蜜罐。

3.4.3 网络管理的常用技术
1.日常运维巡检
2.漏洞扫描
3.应用代码审核
4.系统安全加固
5.等级安全测评
6.安全监督检查

信息安全管理情况
技术防护情况
应急工作情况
安全教育培训情况
安全问题整改情况

7.应急响应处置
8.安全配置管理

资产管理
资源管理
服务器目录管理
服务请求
监控管理

小结
本章通过分析常见的网络拓扑结构，结合OSI模型和协议等内容，介绍了网络系统的脆弱性和潜在的威胁，并从网络技术和网络管理两个层面提出了相应的对策。特别是，详细讲解了身份认证技术、访问控制技术、入侵检测技术、监控审计技术和蜜罐技术等。

第七章大数据背景下的先进计算安全问题

7.3 物联网安全
*
7.3.1 物联网概述**
1.物联网的目标是帮助我们实现物理世界和网络世界的互联互通，使人类对物理世界具有“全面的感知能力、透彻的分析能力和智慧的处理能力”。
2.物联网的层次架构与特征
物联网大致分为三个部分：数据感知部分、网络传输部分、智能处理部分。
物联网体系被划分为感知层、网络层、应用层三层结构。
物联网应具备：全面感知、可靠传递、只能处理三种能力。

3.物联网的典型应用领域：

具备物理世界认知能力的应用
在网络融合基础上的泛在化应用
基于应用目标的综合信息服务应用
*
7.3.2 物联网的安全特征与架构**
1.物联网的安全特征

2.物联网面临的安全挑战：

标准和指标
规章
共同的责任
成本与安全的权衡
陈旧设备的处置
可升级性
数据机密性、身份验证和访问控制

3.物联网的安全架构

物联网面临的安全攻击
物联网的安全控制措施
*
7.3.3 工控系统及其安全**
工业控制系统（ICS）是几种类型控制系统的总称，包括监控和数据采集（SCADA）系统、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器等。

1.工控系统的特征

2.工控系统的架构

工业控制系统的关键组件包括：控制器、组态编程组件、数据采集与监视控制组件、人机界面和分布式过程控制系统。
工业控制系统所涉及的网络部分包括：企业资源网络、过程控制和监控网络和控制系统网络。

3.工控系统安全

工控网络安全态势及安全问题
- 系统漏洞难以及时处理给工控系统带来安全隐患
- 工业控制系统通信协议在设计之初缺乏足够的安全性考虑
- 没有足够安全政策及管理制度
- 工控系统直接暴露在互联网上
- 系统体系架构缺乏基本的安全保障
工控系统的安全防护
- 失泄密防护
- 主机安全管理
- 数据安全管理
- 基线建立
- 运行监控
- 实施防御