綜合案例分析_6383.doc

綜合案例分析1 在TCP/IP體系中，電子郵件服務(wù)的典型協(xié)議之一是SMTP協(xié)議，當(dāng)前，網(wǎng)絡(luò)安全威脅日益嚴(yán)重，傳統(tǒng)的電子郵件服務(wù)安全受到挑戰(zhàn)。（1）簡(jiǎn)述SMTP協(xié)議的工作原理。SMTP協(xié)議用于郵件服務(wù)器之間傳送郵件。每個(gè)SMTP會(huì)話(huà)涉及兩個(gè)郵件傳送代理MTA之間的一次對(duì)話(huà)。在這兩個(gè)MTA中，一個(gè)作為客戶(hù)機(jī)，另一個(gè)作為服務(wù)器。SMTP定義了客戶(hù)機(jī)和服務(wù)器之間交互的命令和格式。郵件傳送分為三個(gè)階段，分別是SMTP連接建立、郵件傳送和SMTP連接終止。（2）從保密性、完整性和可鑒別性三個(gè)方面分析SMTP協(xié)議在安全上的設(shè)計(jì)缺陷。從保密性而言，SMTP是基于A(yíng)SCII的協(xié)議，命令的交互和郵件的傳送是明文方式，無(wú)保密性；從完整性而言，SMTP對(duì)郵件頭部和正文不提供任何完整性檢驗(yàn)手段；從可鑒別性而言，SMTP客戶(hù)機(jī)只要能與服務(wù)器的25號(hào)端口建立TCP連接，就認(rèn)為是合法用戶(hù)，不對(duì)通信雙方的合法性和身份進(jìn)行鑒別。（3）根據(jù)前一小題分析得出的保密性、完整性和可鑒別性安全需求，運(yùn)用對(duì)稱(chēng)加密算法和非對(duì)稱(chēng)加密算法，設(shè)計(jì)一種相對(duì)安全的電子郵件傳輸協(xié)議。所設(shè)計(jì)的一種相對(duì)安全的電子郵件傳輸協(xié)議如下圖所示：其中：M：明文；H:哈希函數(shù)；EP:公鑰加密；EC:對(duì)稱(chēng)加密；Z:壓縮；KRa:用戶(hù)a的私鑰；Ks:會(huì)話(huà)密鑰；|：連接2 某網(wǎng)站遭受拒絕服務(wù)攻擊，表現(xiàn)為目標(biāo)網(wǎng)絡(luò)可用帶寬急劇下降，根據(jù)進(jìn)一步對(duì)網(wǎng)絡(luò)數(shù)據(jù)的監(jiān)測(cè)發(fā)現(xiàn)，目標(biāo)網(wǎng)絡(luò)充斥著大量源地址作假，且?guī)в袕V播地址的ICMP請(qǐng)求-響應(yīng)包，引起網(wǎng)站系統(tǒng)的拒絕服務(wù)。（1）該攻擊是何種類(lèi)型的拒絕服務(wù)攻擊？簡(jiǎn)述其攻擊原理；該攻擊是拒絕服務(wù)攻擊中的Smurf攻擊。Smurf攻擊行為的完成涉及三個(gè)元素：攻擊者、中間脆弱網(wǎng)絡(luò)和目標(biāo)受害者。攻擊者偽造一個(gè)ICMP Echo請(qǐng)求包，其源地址為目標(biāo)受害者地址，目的地址為中間脆弱網(wǎng)絡(luò)的廣播地址，并將該Echo請(qǐng)求包發(fā)送到中間脆弱網(wǎng)絡(luò)。中間脆弱網(wǎng)絡(luò)中的主機(jī)收到該ICMP Echo請(qǐng)求包時(shí)，會(huì)以Echo響應(yīng)包作為應(yīng)答，而這些包最終被發(fā)送到目標(biāo)受害主機(jī)。這樣，大量同時(shí)返回的Echo響應(yīng)包將造成目標(biāo)網(wǎng)絡(luò)嚴(yán)重?fù)砣G包，甚至完全不可用。（2）簡(jiǎn)述如何對(duì)抗該拒絕服務(wù)攻擊；可以從三個(gè)方面入手： 針對(duì)中間網(wǎng)絡(luò)。在路由器的每個(gè)端口關(guān)閉IP廣播包的轉(zhuǎn)發(fā)設(shè)置；可能的情況下，在網(wǎng)絡(luò)邊界處使用訪(fǎng)問(wèn)控制列表，過(guò)濾所有目標(biāo)地址為本網(wǎng)絡(luò)廣播地址的包；對(duì)于不提供穿透服務(wù)的網(wǎng)絡(luò)，可以在出口路由器上過(guò)濾所有源地址不是本網(wǎng)地址的數(shù)據(jù)包；配置主機(jī)的操作系統(tǒng)，使其不響應(yīng)帶有廣播地址的ICMP包。 針對(duì)目標(biāo)受害者。當(dāng)攻擊發(fā)生時(shí)，應(yīng)盡快重新配置其所在網(wǎng)絡(luò)的路由器，阻塞ICMP響應(yīng)包，也可以通知中間網(wǎng)絡(luò)的管理者協(xié)同解決攻擊事件。 針對(duì)發(fā)起攻擊的主機(jī)和網(wǎng)絡(luò)。Smurf攻擊通常會(huì)使用源地址為假的Echo請(qǐng)求，因此可以在路由器上配置過(guò)濾規(guī)則，丟棄那些即將發(fā)送到外部網(wǎng)絡(luò)而源地址不具有內(nèi)部網(wǎng)絡(luò)地址的包。（3）根據(jù)攻擊方式的不同，簡(jiǎn)述拒絕服務(wù)攻擊的幾種類(lèi)型；根據(jù)攻擊方式的不同，拒絕服務(wù)攻擊可以分為以下幾種類(lèi)型： 破壞物理設(shè)備類(lèi)； 破壞配置文件類(lèi)； 利用網(wǎng)絡(luò)協(xié)議或系統(tǒng)設(shè)計(jì)弱點(diǎn)和實(shí)現(xiàn)漏洞類(lèi)； 消耗系統(tǒng)資源類(lèi)。（4）根據(jù)對(duì)拒絕服務(wù)攻擊類(lèi)型的劃分，分別給出安全解決措施。針對(duì)破壞物理設(shè)備類(lèi)攻擊，可以采取的措施有：例行檢查物理實(shí)體的安全；使用容錯(cuò)和冗余網(wǎng)絡(luò)硬件的方法，必要時(shí)迅速實(shí)現(xiàn)物理設(shè)備切換。針對(duì)破壞配置文件類(lèi)攻擊，可以采取的措施有：正確設(shè)置系統(tǒng)及其相關(guān)軟件的配置信息，并將這些敏感信息備份到安全介質(zhì)上；利用完整性檢查工具及時(shí)發(fā)現(xiàn)配置文件的變化，并快速恢復(fù)這些配置信息。針對(duì)利用網(wǎng)絡(luò)協(xié)議或系統(tǒng)設(shè)計(jì)弱點(diǎn)和實(shí)現(xiàn)漏洞類(lèi)攻擊，可以采用的措施：重新設(shè)計(jì)協(xié)議層，加入更多的安全控制機(jī)制。也可采取半透明網(wǎng)關(guān)或主動(dòng)監(jiān)視技術(shù)。針對(duì)消耗系統(tǒng)資源類(lèi)攻擊，隨著攻擊技術(shù)的發(fā)展，目前暫無(wú)直接有效的解決方法，可以參考DDos對(duì)抗方法。3 ARP木馬大范圍流行時(shí)，計(jì)算機(jī)網(wǎng)絡(luò)連接正常卻無(wú)法打開(kāi)網(wǎng)頁(yè)。由于A(yíng)RP木馬發(fā)出大量欺騙數(shù)據(jù)包，導(dǎo)致網(wǎng)絡(luò)用戶(hù)上網(wǎng)不穩(wěn)定，甚至網(wǎng)絡(luò)短時(shí)癱瘓。根據(jù)上述描述，可得出如下結(jié)論。（1） ARP木馬利用ARP協(xié)議設(shè)計(jì)之初沒(méi)有任何驗(yàn)證功能這一漏洞而實(shí)施破壞。（2）在以太網(wǎng)中，源主機(jī)以廣播方式向網(wǎng)絡(luò)發(fā)送含有目的主機(jī)IP地址的ARP請(qǐng)求包；目的主機(jī)或另一個(gè)代表該主機(jī)的系統(tǒng)，以單播方式返回一個(gè)含有目的主機(jī)IP地址及其MAC地址對(duì)的應(yīng)答包。源主機(jī)將這個(gè)地址對(duì)緩存起來(lái)，以節(jié)約不必要的ARP通信開(kāi)銷(xiāo)。ARP協(xié)議沒(méi)有規(guī)定必須在接收到ARP請(qǐng)求后才可以發(fā)送應(yīng)答包。（3）ARP木馬利用感染主機(jī)向網(wǎng)絡(luò)發(fā)送大量虛假ARP報(bào)文，主機(jī)沒(méi)有感染ARP木馬時(shí)也有可能導(dǎo)致網(wǎng)絡(luò)訪(fǎng)問(wèn)不穩(wěn)定。例如：向被攻擊主機(jī)發(fā)送的虛假ARP報(bào)文中，目的IP地址為網(wǎng)關(guān)IP。目的MAC地址為感染木馬的主機(jī)MAC地址。這樣會(huì)將同網(wǎng)段內(nèi)其他主機(jī)發(fā)往網(wǎng)關(guān)的數(shù)據(jù)引向發(fā)送虛假ARP報(bào)文的機(jī)器，并抓包截取用戶(hù)口令信息。（4）網(wǎng)絡(luò)正常時(shí)，運(yùn)行如下命令，可以查看主機(jī)ARP緩存中的IP地址及其對(duì)應(yīng)的MAC地址：C: arp a。4 某院校下轄六個(gè)學(xué)院，每個(gè)學(xué)院下轄若干系所，將構(gòu)建一個(gè)物理隔離的園區(qū)級(jí)信息網(wǎng)絡(luò)系統(tǒng)，擬通過(guò)PKI為各種網(wǎng)絡(luò)應(yīng)用系統(tǒng)提供加密和數(shù)字簽名等服務(wù)所需的公鑰基礎(chǔ)設(shè)施。包括認(rèn)證機(jī)構(gòu)CA、注冊(cè)機(jī)構(gòu)RA、證書(shū)發(fā)布系統(tǒng)等。（1）簡(jiǎn)述擬建的認(rèn)證機(jī)構(gòu)CA最有可能的架構(gòu)模型；根據(jù)該院校的行政結(jié)構(gòu)，擬建的認(rèn)證機(jī)構(gòu)CA最有可能采用的架構(gòu)模型是階層式架構(gòu)模型在校級(jí)、學(xué)院級(jí)和系所級(jí)分別配置認(rèn)證機(jī)構(gòu)，每個(gè)認(rèn)證機(jī)構(gòu)從屬于上層的認(rèn)證機(jī)構(gòu)。（2）簡(jiǎn)述擬建的PKI公鑰基礎(chǔ)設(shè)施中認(rèn)證機(jī)構(gòu)CA的基本功能及驗(yàn)證流程；認(rèn)證機(jī)構(gòu)的基本功能包括證書(shū)發(fā)放、證書(shū)更新、證書(shū)撤銷(xiāo)和證書(shū)驗(yàn)證。其流程為：l 接收驗(yàn)證最終用戶(hù)數(shù)字證書(shū)的申請(qǐng)；l 確定是否接受最終用戶(hù)數(shù)字證書(shū)的申請(qǐng)，即證書(shū)的審批；l 向申請(qǐng)者頒發(fā)或拒絕頒發(fā)數(shù)字證書(shū)，即證書(shū)的發(fā)放；l 接收、處理最終用戶(hù)的數(shù)字證書(shū)更新請(qǐng)求，即證書(shū)的更新；l 接收最終用戶(hù)數(shù)字證書(shū)的查詢(xún)、撤銷(xiāo)；l 產(chǎn)生和發(fā)布證書(shū)作廢表；l 數(shù)字證書(shū)、密鑰和歷史數(shù)據(jù)的歸檔。（3）簡(jiǎn)述證書(shū)中必需的內(nèi)容；證書(shū)必要內(nèi)容包括：版本、證書(shū)序列號(hào)、簽名算法類(lèi)型、證書(shū)頒發(fā)者標(biāo)識(shí)、有效期、屬主標(biāo)識(shí)、屬主的公鑰數(shù)據(jù)。（4）描述證書(shū)的申請(qǐng)和頒發(fā)過(guò)程；證書(shū)的申請(qǐng)過(guò)程如下：l 用戶(hù)申請(qǐng)；l 注冊(cè)機(jī)構(gòu)同意申請(qǐng)；l 認(rèn)證機(jī)構(gòu)發(fā)行證書(shū)；l 注冊(cè)機(jī)構(gòu)轉(zhuǎn)發(fā)證書(shū)；l 用戶(hù)獲取數(shù)字證書(shū)。（5）證書(shū)的撤銷(xiāo)過(guò)程。證書(shū)的撤銷(xiāo)過(guò)程如下：l 由用戶(hù)提出撤銷(xiāo)申請(qǐng)；l 注冊(cè)機(jī)構(gòu)統(tǒng)一證書(shū)撤銷(xiāo)；l 認(rèn)證機(jī)構(gòu)撤銷(xiāo)證書(shū)；l 注冊(cè)機(jī)構(gòu)轉(zhuǎn)發(fā)證書(shū)作廢表；l 其他用戶(hù)得到證書(shū)作廢表。5 防火墻技術(shù)是網(wǎng)絡(luò)安全的重要防御技術(shù)，可對(duì)安全網(wǎng)絡(luò)和不安全網(wǎng)絡(luò)之間的數(shù)據(jù)流進(jìn)行控制。（1）防火墻系統(tǒng)有哪些安全策略；防火墻系統(tǒng)安全策略包括包過(guò)濾機(jī)制、地址轉(zhuǎn)換機(jī)制、地址映射機(jī)制、端口映射機(jī)制等。（2）簡(jiǎn)述包過(guò)濾防火墻系統(tǒng)的工作原理；包過(guò)濾防火墻系統(tǒng)主要通過(guò)對(duì)流經(jīng)防火墻的數(shù)據(jù)包的源IP地址、源端口、目的IP地址、目的端口進(jìn)行檢查，并與過(guò)濾規(guī)則比較，如果允許通過(guò)則讓數(shù)據(jù)包通過(guò)，否則將數(shù)據(jù)包丟棄，從而實(shí)現(xiàn)數(shù)據(jù)包的過(guò)濾。（3）若一個(gè)網(wǎng)站須對(duì)外網(wǎng)提供Web服務(wù)和FTP服務(wù)，分別由兩臺(tái)服務(wù)器實(shí)現(xiàn)，內(nèi)網(wǎng)還運(yùn)行秘密業(yè)務(wù)的服務(wù)器。為了提高網(wǎng)絡(luò)系統(tǒng)的安全性，請(qǐng)問(wèn)防火墻對(duì)外的訪(fǎng)問(wèn)應(yīng)采用什么安全策略；為了讓外部網(wǎng)絡(luò)訪(fǎng)問(wèn)Web服務(wù)和FTP服務(wù)，同時(shí)還要保護(hù)內(nèi)部業(yè)務(wù)系統(tǒng)的安全，可以對(duì)外的訪(fǎng)問(wèn)請(qǐng)求采用