網(wǎng)絡(luò)安全總結(jié)

第一章網(wǎng)絡(luò)安全基礎(chǔ)●信息安全的四個屬性保密性（Confidentiality）：確保信息不被泄露或呈現(xiàn)給非授權(quán)的人。完整性（Integrity）：確保數(shù)據(jù)的一致性；特別要防止未經(jīng)授權(quán)生成、修改或毀壞數(shù)據(jù)?？捎眯裕ˋvailability）：確保合法用戶不會無緣無故地被拒絕訪問信息或資源。合法使用（LegitimateUse）：確保資源不被非授權(quán)的人或以非授權(quán)的方式使用●基本威脅信息泄露：信息被泄露或透露給某個非授權(quán)的人或?qū)嶓w。這種成脅來自諸如竊聽、搭線或其他更加錯綜復(fù)雜的信息探測攻擊。完整性破壞：數(shù)據(jù)的一致性通過非授權(quán)的增刪、修改或破壞而受到損壞。拒絕服務(wù)：對信息或資源的訪問被無條件地阻止。這可能由以下攻擊所致：攻擊者通過對系統(tǒng)進(jìn)行非法的、根本無法成功的訪問嘗試使系統(tǒng)產(chǎn)生過量的負(fù)荷，從而導(dǎo)致系統(tǒng)的資源在合法用戶看來是不可使用的。拒絕服務(wù)也可能是因?yàn)橄到y(tǒng)在物理上，或邏輯上受到破壞而中斷服務(wù)。非法使用：某一資源被某個非授權(quán)的人或以某種非授權(quán)的方式使用。例如，侵入某個計(jì)算機(jī)系統(tǒng)的攻擊者會利用此系統(tǒng)作為盜用電信服務(wù)的基點(diǎn)，或者作為侵入其他系統(tǒng)的“橋頭堡”●安全防護(hù)措施的分類物理安全：防火、防盜人員安全：安全性培訓(xùn)、職責(zé)劃分管理安全：有章可循媒體安全：可控（銷毀、報(bào)道）輻射安全：二次發(fā)射生命周期控制●網(wǎng)絡(luò)安全策略安全策略是指在某個安全域內(nèi)，施加給所有與安全活動相關(guān)活動的一套規(guī)則。分成三個等級：安全策略目標(biāo)：訴求憲法機(jī)構(gòu)安全策略：大范圍法律系統(tǒng)安全策略：小范圍規(guī)章●安全攻擊的分類被動攻擊（Passiveattack）：試圖獲得或利用系統(tǒng)的信息，但不會對系統(tǒng)的資源造成破壞。（竊聽攻擊、流量分析------加密即可防止）主動攻擊（Activeattack）：試圖破壞系統(tǒng)的資源，影響系統(tǒng)的正常工作偽裝攻擊：某個實(shí)體假裝成其他實(shí)體，對目標(biāo)發(fā)起攻擊重放攻擊：攻擊者為了達(dá)到某種目的，將獲得的信息再次發(fā)送，以在非授權(quán)的情況下進(jìn)行傳輸。消息篡改：攻擊者對所獲得的合法消息中的一部分進(jìn)行修改或延遲消息的傳輸，以達(dá)到其非授權(quán)的目的。拒絕服務(wù)：阻止人們正常使用網(wǎng)絡(luò)?！衲芊直嬉恍┚W(wǎng)絡(luò)攻擊口令竊?。嚎诹畹卿洝⒖诹畈聹y（利用已知或假定的口令嘗試；根據(jù)竊取的口令文件進(jìn)行猜測；竊取某次合法終端之間的會話。）、壞口令。（Onetimepassword一次一密策略）欺騙攻擊：郵件、音頻、視頻缺陷和后門攻擊緩沖器溢出：堆棧粉碎缺陷（Flaws）Morris：因而需要確保正確性：編寫軟件時：內(nèi)存分配輸入時：編譯工具最小特權(quán)原則認(rèn)證失效是許多攻擊的根源、密碼鎖的作用源地址有效性驗(yàn)證：重發(fā)請求協(xié)議缺陷現(xiàn)有Internet的限制——TCP三次握手密碼學(xué)協(xié)議Sha1,DESWEP與EAP信息泄露Finger電話號碼DNS：網(wǎng)絡(luò)拓?fù)渚芙^服務(wù)（過度使用服務(wù)，使軟硬件過度運(yùn)行）PingofDeath：ICMP包Teardrop：IP碎片偏移重疊UDP泛洪：chargen服務(wù)—echo服務(wù)SYN泛洪：Land攻擊：源地址目的地址指向同一個位置DOS：RST位DDoS：分布式拒絕服務(wù)指數(shù)攻擊---病毒和蠕蟲●X.800的5類安全服務(wù)認(rèn)證、訪問控制、數(shù)據(jù)保密性、數(shù)據(jù)完整性、不可否認(rèn)性●網(wǎng)絡(luò)安全模型通常由6部分組成：消息的發(fā)送方（信源）、消息的接收方（信宿）、安全變換、信息通道、可信的第三方和攻擊者。第三章數(shù)字證書與公鑰基礎(chǔ)設(shè)施●數(shù)字證書是一種具有權(quán)威性的電子文檔，其作用是證明證書中所列用戶身份與證書中所列公開密鑰合法且一致。是一個用戶的身份與其所持有的公鑰的結(jié)合。●PKI是一種遵循標(biāo)準(zhǔn)的利用公鑰理論和技術(shù)建立的提供安全服務(wù)的基礎(chǔ)設(shè)施。是創(chuàng)建、管理、存儲、分發(fā)和撤銷基于公鑰加密數(shù)字證書所需要的一套硬件、軟件、策略和過程的集合。目的是從技術(shù)上解決網(wǎng)上身份認(rèn)證、電子信息的完整性和不可抵賴性等安全問題。為網(wǎng)絡(luò)應(yīng)用提供可靠的安全服務(wù)。PKI包括數(shù)字證書CA、注冊機(jī)構(gòu)RA、證書發(fā)布庫、密鑰備份與恢復(fù)、撤銷系統(tǒng)、PKI應(yīng)用接口。CA數(shù)字證書認(rèn)證中心，是PKI體系的核心構(gòu)建。負(fù)責(zé)發(fā)放和管理數(shù)字證書。注冊機(jī)構(gòu)RA是數(shù)字證書注冊審批機(jī)構(gòu)，是認(rèn)證中心的延伸，與CA在邏輯上是一個整體，執(zhí)行不同的功能。證書發(fā)布庫集中存放CA頒發(fā)的證書和撤銷列表CRL?！裾J(rèn)證服務(wù)身份識別與認(rèn)證、驗(yàn)證證書的真?zhèn)?、?yàn)證身份的真?zhèn)巍駭?shù)據(jù)保密性服務(wù)（數(shù)字信封機(jī)制）●數(shù)字證書基本字段：●證書生成步驟：密鑰生成、注冊、驗(yàn)證、證書生成?！駭?shù)字證書管理參與方：最終用戶、注冊機(jī)構(gòu)RA、證書機(jī)構(gòu)CA●密鑰證書鏈●證書撤銷原因：私鑰被破解、CA發(fā)現(xiàn)簽發(fā)數(shù)字證書時出錯、證書持有者離職●證書撤銷列表CRL：CRL僅列出在有效期內(nèi)被撤銷的證書，不包含過了有效期的失效證書。CRL包含CA的簽名CRL包括CRL發(fā)布的日期、時間和下一個CRL發(fā)布的時間CRL列出證書序號、撤銷日期和時間、撤銷原因數(shù)字證書的安全性檢查操作步驟：證書有效期檢查、簽名檢查、證書撤銷狀態(tài)檢查●PMI主要負(fù)責(zé)向業(yè)務(wù)應(yīng)用系統(tǒng)提供與應(yīng)用相關(guān)的授權(quán)服務(wù)管理，提供用戶身份到應(yīng)用授權(quán)的映射功能，實(shí)現(xiàn)與實(shí)際應(yīng)用處理模式相對應(yīng)的、與具體應(yīng)用系統(tǒng)開發(fā)和管理無關(guān)的訪問控制機(jī)制，極大地簡化了應(yīng)用中訪問控制和權(quán)限管理系統(tǒng)的開發(fā)與維護(hù)，并減少了管理成本和復(fù)雜性。PMI與PKI的區(qū)別：PKI你是誰、PMI你能做什么●PMI模型包括三部分：目標(biāo)、權(quán)限持有者、權(quán)限驗(yàn)證者。第四章網(wǎng)絡(luò)加密與密鑰管理●鏈路加密：鏈路加密對網(wǎng)絡(luò)中兩個相鄰節(jié)點(diǎn)之間傳輸?shù)臄?shù)據(jù)加密保護(hù)；任意一對節(jié)點(diǎn)和相應(yīng)調(diào)制解調(diào)器之間都裝有相同的密碼機(jī)，并配置相同的密鑰；不同節(jié)點(diǎn)之間的密碼機(jī)和密鑰不一定相同。加密優(yōu)點(diǎn)：網(wǎng)絡(luò)中傳輸?shù)南⒂蓤?bào)頭和報(bào)文組成。鏈路加密，報(bào)文和報(bào)頭同時加密；掩蓋了傳輸?shù)钠瘘c(diǎn)和終點(diǎn)。鏈路上的信息均以密文形式存在。填充技術(shù)可以掩蓋消息的頻率和長度特性。加密缺點(diǎn)：在中間傳輸節(jié)點(diǎn)上存在明文。對鏈路兩端的設(shè)備進(jìn)行同步，影響網(wǎng)絡(luò)性能。當(dāng)通過衛(wèi)星網(wǎng)絡(luò)等極端環(huán)境下，同步等問題更為嚴(yán)峻。對稱密鑰帶來的密鑰分發(fā)、密鑰管理和密鑰更新問題。節(jié)點(diǎn)加密：鏈路上的信息均以密文形式存在，在中間傳輸節(jié)點(diǎn)上不存在明文。缺點(diǎn)：節(jié)點(diǎn)加密，僅對報(bào)文加密，報(bào)頭和路由信息以明文形式傳輸；暴露了傳輸?shù)钠瘘c(diǎn)和終點(diǎn)。對鏈路兩端的設(shè)備進(jìn)行同步，影響網(wǎng)絡(luò)性能。對稱密鑰帶來的密鑰分發(fā)、密鑰管理和密鑰更新問題。端到端加密：對一對用戶（不是節(jié)點(diǎn)）之間的數(shù)據(jù)連續(xù)地提供保護(hù)，解決在消息交換過程中由于錯誤路由帶來的泄密。優(yōu)點(diǎn)：從原點(diǎn)到終點(diǎn)始終以密文形式存在，傳輸過程中不解密。有節(jié)點(diǎn)損壞也不會帶來泄密。系統(tǒng)開銷小。避免了同步問題。不影響其他用戶。缺點(diǎn)：不對目的地址加密。混合加密：端到端和鏈路混合加密：報(bào)文將被兩次加密，報(bào)頭由鏈路方式加密。鏈路加密與端到端加密各自的優(yōu)點(diǎn)。●好壞密鑰區(qū)分：基本密鑰：基本密鑰、用戶密鑰存在較長時間，能與會話密鑰一起控制密鑰產(chǎn)生器會話密鑰：數(shù)據(jù)加密密鑰短期的；可事先約定或協(xié)議分配；限制了同一密鑰加密的密文量。密鑰加密密鑰：次主密鑰對密鑰加密的密鑰，各節(jié)點(diǎn)應(yīng)該互不相同。主機(jī)主密鑰好密鑰：(1)真正隨機(jī)、等概率，如擲硬幣、擲骰子等；(2)避免使用特定算法的弱密鑰；(3)雙鑰系統(tǒng)的密鑰更難以產(chǎn)生，因?yàn)楸仨殱M足一定的數(shù)學(xué)關(guān)系；(4)為了便于記憶，密鑰不能選得過長，而且不可能選完全隨機(jī)的數(shù)串，要選用易記而難猜中的密鑰；(5)采用密鑰揉搓或雜湊技術(shù)，將易記的長句子(10～15個英文字的通行短語)，經(jīng)單向雜湊函數(shù)變換成偽隨機(jī)數(shù)串(64bit)。●密鑰分配的三種方式：一是利用安全信道實(shí)現(xiàn)密鑰傳遞；二是利用雙鑰體制建立安全信道傳遞：三是利用特定的物理現(xiàn)象(如量子技術(shù))實(shí)現(xiàn)密鑰傳遞●可信第三方TTP三種參與方式：協(xié)調(diào)（Inline）、聯(lián)機(jī)（Online）和脫機(jī)（Offline）在協(xié)調(diào)方式下，T足一個中間人，為A與B之間通信提供實(shí)時服務(wù)；在聯(lián)機(jī)方式下，T實(shí)時參與A和B每次協(xié)議的執(zhí)行，但A和B之間的通信不必經(jīng)過T；在脫機(jī)方式下，T不實(shí)時參與A和B的協(xié)議，而是預(yù)先向A和B提供雙方執(zhí)行協(xié)議所需的信息。●密鑰認(rèn)證（確保自己是在和安全的一方通信，而不是和中間人通信）的三種方式：隱式密鑰認(rèn)證密鑰確證顯式密鑰認(rèn)證●采用雙鑰體制的中間人攻擊(1)A1ice將其公鑰發(fā)送給Bob。Mallorv截獲這公鑰，并將他自己的公鑰發(fā)送給Bob。(2)Bob將其公鑰發(fā)送給A1ice。Mallorv截獲這一公鑰，并將他自己的公鑰發(fā)送給Alice。(3)當(dāng)Alice采用“Bob”的公鑰對消息加密并發(fā)送給Bob時，Mallorv會將其截獲。由于這條消息實(shí)際上采用了Mallory的公鑰進(jìn)行加密，因此Mallory可以采用其私鑰對密文解密，并采用Bob的公鑰對消息重新加密后發(fā)送給Bob。(4)當(dāng)Bob采用“Alice”的公鑰對消息加密并發(fā)送給A1ice時，Mallory會將其截獲。由于這條消息實(shí)際上采用了Mallory的公鑰進(jìn)行加密，因此Mallory可以采用其私鑰對密文解密，并采用Alice的公鑰對消息重新加密后發(fā)送給Alice。即使Bob和Alice的公鑰存儲在數(shù)據(jù)庫中，這一攻擊形式仍然有效。截獲數(shù)據(jù)庫查詢指令。進(jìn)入數(shù)據(jù)庫修改Alice和Bob的公鑰?！衤?lián)鎖協(xié)議(1)Alice發(fā)送她的公鑰給Bob；(2)Bob發(fā)送他的公鑰給Alice；(3)A1ice用Bob的公鑰對消息加密，此后，她將一半密文發(fā)送給Bob；(4)Bob用Alice的公鑰對消息加密，此后，他將一半密文發(fā)送給A1ice；(5)Alice發(fā)送另一半密文給Bob；(6)Bob將A1ice的兩部分密文組合在一起，并采用其私鑰解密，Bob發(fā)送他的另一半密文給Alice；(7)Alice將Bob的兩部分密文組合在一起，并采用其私鑰解密。優(yōu)點(diǎn)：一半密文既不可以解密，又不可以重新加密第五章防火墻原理與設(shè)計(jì)●防火墻是由軟件和硬件組成的系統(tǒng)，處于安全的網(wǎng)絡(luò)和不安全的網(wǎng)絡(luò)之間，根據(jù)系統(tǒng)管理員設(shè)置的訪問控制規(guī)則，對數(shù)據(jù)流進(jìn)行過濾。防火墻對數(shù)據(jù)流的處理有三種：允許、拒絕、丟棄●對防火墻功能的理解（判斷）防火墻的不足：防外不防內(nèi)；繞過防火墻的連接無效；必須允許重要的服務(wù)通過，也為攻擊預(yù)留了通道?！穹阑饓绢愋图肮ぷ骶W(wǎng)絡(luò)層次包過濾、電路級、應(yīng)用級防火墻●靜態(tài)包過濾防火墻（工作于網(wǎng)絡(luò)層）可以采用路由器上的過濾模塊實(shí)現(xiàn)。無需采用專門設(shè)備，低開銷。每個網(wǎng)絡(luò)的入口都可以配備工作原理：采用一組過濾規(guī)則，對每個數(shù)據(jù)包進(jìn)行檢查，根據(jù)檢查結(jié)果確定是否丟棄或轉(zhuǎn)發(fā)，這種防火墻對從內(nèi)網(wǎng)到外網(wǎng)和從外網(wǎng)到內(nèi)網(wǎng)兩個方向的數(shù)據(jù)包進(jìn)行過濾?！駲z查的字段數(shù)據(jù)源地址、目的地址、源端口號、目的端口號、應(yīng)用或協(xié)議●訪問控制規(guī)則庫將特定域與規(guī)則逐條比較；默認(rèn)規(guī)則：允許一切、拒絕一切；拒絕或接收發(fā)往/來自某個特定IP地址或者IP地址范圍；拒絕和接收發(fā)往/來自某個特定服務(wù)端口。第六章入侵檢測系統(tǒng)●入侵檢測模型四個部分：數(shù)據(jù)收集器、檢測器、知識庫、控制器●IDS三個主要任務(wù)：信息收集（系統(tǒng)日志目錄及文件中的異常改變，程序執(zhí)行中的異常行為，物理形式的入侵信息）、信息分析、安全響應(yīng)●按數(shù)據(jù)來源分類：基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)NIDS偵測速度快、不容易受到攻擊、主機(jī)資源消耗少來自服務(wù)其本身的攻擊不經(jīng)過網(wǎng)絡(luò)，誤報(bào)率高基于主機(jī)的入侵檢測系統(tǒng)HIDS日志和審計(jì)記錄不同操作系統(tǒng)的應(yīng)用層，誤報(bào)少依賴于主機(jī)及其子系統(tǒng)，實(shí)時性差分布式入侵檢測系統(tǒng)DIDS●按入侵檢測策略分類：濫用監(jiān)測減少系統(tǒng)負(fù)擔(dān)需要不斷升級異常檢測統(tǒng)計(jì)描述、統(tǒng)計(jì)正常使用時的一些測量屬性可檢測未知入侵漏報(bào)、誤報(bào)，用戶行為突然改變完整性分析:采用批處理，實(shí)時響應(yīng)性差●NIDS特點(diǎn)：擁有成本低、攻擊者轉(zhuǎn)移證據(jù)困難、實(shí)時檢測和響應(yīng)、能夠檢測未成功的攻擊和企圖、操作系統(tǒng)獨(dú)立。關(guān)鍵技術(shù)：IP碎片重組技術(shù)、TCP流重組技術(shù)、TCP狀態(tài)檢測技術(shù)、協(xié)議分析技術(shù)、零復(fù)制技術(shù)、蜜罐技術(shù)●HIDS特點(diǎn)：監(jiān)視特定的系統(tǒng)活動、非常適用于加密和文件交換、近實(shí)時的檢測和應(yīng)答不需要額外的硬件●DIDS產(chǎn)生的驅(qū)動力（選擇）(1)系統(tǒng)的弱點(diǎn)或漏洞分散在網(wǎng)絡(luò)的各個主機(jī)上，這些弱點(diǎn)有可能被入侵者起用來攻擊網(wǎng)絡(luò)，而依靠唯一的主機(jī)或網(wǎng)絡(luò)，IDs不能發(fā)現(xiàn)入侵行為。(2)入侵行為不再是單一的行為，而表現(xiàn)出協(xié)作入侵的特點(diǎn)，如分布式拒絕服務(wù)攻擊(DDoS)。(3)入侵檢測所依靠的數(shù)據(jù)來源分散化，收集原始數(shù)據(jù)變得困難，如交換網(wǎng)絡(luò)使得監(jiān)聽網(wǎng)絡(luò)數(shù)據(jù)包受到限制。(4)網(wǎng)絡(luò)傳輸速度加快，網(wǎng)絡(luò)的流量大，集中處理原始數(shù)據(jù)的方式往往造成檢測瓶頸，從而導(dǎo)致漏檢。IDS控制臺的設(shè)計(jì)日志檢索、探測器管理、規(guī)則管理、日志報(bào)表、用戶管理第七章VPN技術(shù)●VPN（將物理上分布在不同地點(diǎn)的網(wǎng)絡(luò)通過公用網(wǎng)絡(luò)連接而構(gòu)成邏輯上的虛擬子網(wǎng)）的特點(diǎn)：費(fèi)用低、安全保障、服務(wù)質(zhì)量保證、可擴(kuò)充性和靈活性、可管理性●VPN的分類：移動用戶遠(yuǎn)程訪問VPN連接(鏈路上的第一個數(shù)據(jù)包總是有遠(yuǎn)程訪問客戶機(jī)提出。)、網(wǎng)關(guān)-網(wǎng)關(guān)VPN連接(鏈路的兩端分別是專用網(wǎng)絡(luò)的兩個不同部分)●VPN的隧道隧道是通過一個公用網(wǎng)絡(luò)建立的一條穿過公共網(wǎng)絡(luò)的安全的、邏輯上的隧道.第二層隧道協(xié)議：PPTP、L2F、L2TP第二層隧道協(xié)議的缺點(diǎn)簡單易行，但是擴(kuò)展性不好，沒有提供內(nèi)在的安全機(jī)制，不能提供企業(yè)和企業(yè)外部客戶及供應(yīng)商之間會話的保密性要求。第三層隧道協(xié)議：GRE、VTP、IPsec、MPLS●VPN傳輸模式及隧道模式●VPN主要構(gòu)成部分：管理模塊、密鑰分配和生成模塊、身份認(rèn)證模塊、數(shù)據(jù)加/解密模塊、數(shù)據(jù)分組封裝/分解模塊、加密函數(shù)庫●IPse