網(wǎng)絡(luò)安全總結(jié)

第一章網(wǎng)絡(luò)安全基礎(chǔ)●信息安全的四個(gè)屬性保密性（Confidentiality）：確保信息不被泄露或呈現(xiàn)給非授權(quán)的人。完整性（Integrity）：確保數(shù)據(jù)的一致性；特別要防止未經(jīng)授權(quán)生成、修改或毀壞數(shù)據(jù)。可用性（Availability）：確保合法用戶不會(huì)無(wú)緣無(wú)故地被拒絕訪問(wèn)信息或資源。合法使用（LegitimateUse）：確保資源不被非授權(quán)的人或以非授權(quán)的方式使用●基本威脅信息泄露：信息被泄露或透露給某個(gè)非授權(quán)的人或?qū)嶓w。這種成脅來(lái)自諸如竊聽(tīng)、搭線或其他更加錯(cuò)綜復(fù)雜的信息探測(cè)攻擊。完整性破壞：數(shù)據(jù)的一致性通過(guò)非授權(quán)的增刪、修改或破壞而受到損壞。拒絕服務(wù)：對(duì)信息或資源的訪問(wèn)被無(wú)條件地阻止。這可能由以下攻擊所致：攻擊者通過(guò)對(duì)系統(tǒng)進(jìn)行非法的、根本無(wú)法成功的訪問(wèn)嘗試使系統(tǒng)產(chǎn)生過(guò)量的負(fù)荷，從而導(dǎo)致系統(tǒng)的資源在合法用戶看來(lái)是不可使用的。拒絕服務(wù)也可能是因?yàn)橄到y(tǒng)在物理上，或邏輯上受到破壞而中斷服務(wù)。非法使用：某一資源被某個(gè)非授權(quán)的人或以某種非授權(quán)的方式使用。例如，侵入某個(gè)計(jì)算機(jī)系統(tǒng)的攻擊者會(huì)利用此系統(tǒng)作為盜用電信服務(wù)的基點(diǎn)，或者作為侵入其他系統(tǒng)的“橋頭堡”●安全防護(hù)措施的分類物理安全：防火、防盜人員安全：安全性培訓(xùn)、職責(zé)劃分管理安全：有章可循媒體安全：可控（銷毀、報(bào)道）輻射安全：二次發(fā)射生命周期控制●網(wǎng)絡(luò)安全策略安全策略是指在某個(gè)安全域內(nèi)，施加給所有與安全活動(dòng)相關(guān)活動(dòng)的一套規(guī)則。分成三個(gè)等級(jí)：安全策略目標(biāo)：訴求憲法機(jī)構(gòu)安全策略：大范圍法律系統(tǒng)安全策略：小范圍規(guī)章●安全攻擊的分類被動(dòng)攻擊（Passiveattack）：試圖獲得或利用系統(tǒng)的信息，但不會(huì)對(duì)系統(tǒng)的資源造成破壞。（竊聽(tīng)攻擊、流量分析------加密即可防止）主動(dòng)攻擊（Activeattack）：試圖破壞系統(tǒng)的資源，影響系統(tǒng)的正常工作偽裝攻擊：某個(gè)實(shí)體假裝成其他實(shí)體，對(duì)目標(biāo)發(fā)起攻擊重放攻擊：攻擊者為了達(dá)到某種目的，將獲得的信息再次發(fā)送，以在非授權(quán)的情況下進(jìn)行傳輸。消息篡改：攻擊者對(duì)所獲得的合法消息中的一部分進(jìn)行修改或延遲消息的傳輸，以達(dá)到其非授權(quán)的目的。拒絕服務(wù)：阻止人們正常使用網(wǎng)絡(luò)?！衲芊直嬉恍┚W(wǎng)絡(luò)攻擊口令竊取：口令登錄、口令猜測(cè)（利用已知或假定的口令嘗試；根據(jù)竊取的口令文件進(jìn)行猜測(cè)；竊取某次合法終端之間的會(huì)話。）、壞口令。（Onetimepassword一次一密策略）欺騙攻擊：郵件、音頻、視頻缺陷和后門攻擊緩沖器溢出：堆棧粉碎缺陷（Flaws）Morris：因而需要確保正確性：編寫(xiě)軟件時(shí)：內(nèi)存分配輸入時(shí)：編譯工具最小特權(quán)原則認(rèn)證失效是許多攻擊的根源、密碼鎖的作用源地址有效性驗(yàn)證：重發(fā)請(qǐng)求協(xié)議缺陷現(xiàn)有Internet的限制——TCP三次握手密碼學(xué)協(xié)議Sha1,DESWEP與EAP信息泄露Finger電話號(hào)碼DNS：網(wǎng)絡(luò)拓?fù)渚芙^服務(wù)（過(guò)度使用服務(wù)，使軟硬件過(guò)度運(yùn)行）PingofDeath：ICMP包Teardrop：IP碎片偏移重疊UDP泛洪：chargen服務(wù)—echo服務(wù)SYN泛洪：Land攻擊：源地址目的地址指向同一個(gè)位置DOS：RST位DDoS：分布式拒絕服務(wù)指數(shù)攻擊---病毒和蠕蟲(chóng)●X.800的5類安全服務(wù)認(rèn)證、訪問(wèn)控制、數(shù)據(jù)保密性、數(shù)據(jù)完整性、不可否認(rèn)性●網(wǎng)絡(luò)安全模型通常由6部分組成：消息的發(fā)送方（信源）、消息的接收方（信宿）、安全變換、信息通道、可信的第三方和攻擊者。第三章數(shù)字證書(shū)與公鑰基礎(chǔ)設(shè)施●數(shù)字證書(shū)是一種具有權(quán)威性的電子文檔，其作用是證明證書(shū)中所列用戶身份與證書(shū)中所列公開(kāi)密鑰合法且一致。是一個(gè)用戶的身份與其所持有的公鑰的結(jié)合?！馪KI是一種遵循標(biāo)準(zhǔn)的利用公鑰理論和技術(shù)建立的提供安全服務(wù)的基礎(chǔ)設(shè)施。是創(chuàng)建、管理、存儲(chǔ)、分發(fā)和撤銷基于公鑰加密數(shù)字證書(shū)所需要的一套硬件、軟件、策略和過(guò)程的集合。目的是從技術(shù)上解決網(wǎng)上身份認(rèn)證、電子信息的完整性和不可抵賴性等安全問(wèn)題。為網(wǎng)絡(luò)應(yīng)用提供可靠的安全服務(wù)。PKI包括數(shù)字證書(shū)CA、注冊(cè)機(jī)構(gòu)RA、證書(shū)發(fā)布庫(kù)、密鑰備份與恢復(fù)、撤銷系統(tǒng)、PKI應(yīng)用接口。CA數(shù)字證書(shū)認(rèn)證中心，是PKI體系的核心構(gòu)建。負(fù)責(zé)發(fā)放和管理數(shù)字證書(shū)。注冊(cè)機(jī)構(gòu)RA是數(shù)字證書(shū)注冊(cè)審批機(jī)構(gòu)，是認(rèn)證中心的延伸，與CA在邏輯上是一個(gè)整體，執(zhí)行不同的功能。證書(shū)發(fā)布庫(kù)集中存放CA頒發(fā)的證書(shū)和撤銷列表CRL?！裾J(rèn)證服務(wù)身份識(shí)別與認(rèn)證、驗(yàn)證證書(shū)的真?zhèn)?、?yàn)證身份的真?zhèn)巍駭?shù)據(jù)保密性服務(wù)（數(shù)字信封機(jī)制）●數(shù)字證書(shū)基本字段：●證書(shū)生成步驟：密鑰生成、注冊(cè)、驗(yàn)證、證書(shū)生成?！駭?shù)字證書(shū)管理參與方：最終用戶、注冊(cè)機(jī)構(gòu)RA、證書(shū)機(jī)構(gòu)CA●密鑰證書(shū)鏈●證書(shū)撤銷原因：私鑰被破解、CA發(fā)現(xiàn)簽發(fā)數(shù)字證書(shū)時(shí)出錯(cuò)、證書(shū)持有者離職●證書(shū)撤銷列表CRL：CRL僅列出在有效期內(nèi)被撤銷的證書(shū)，不包含過(guò)了有效期的失效證書(shū)。CRL包含CA的簽名CRL包括CRL發(fā)布的日期、時(shí)間和下一個(gè)CRL發(fā)布的時(shí)間CRL列出證書(shū)序號(hào)、撤銷日期和時(shí)間、撤銷原因數(shù)字證書(shū)的安全性檢查操作步驟：證書(shū)有效期檢查、簽名檢查、證書(shū)撤銷狀態(tài)檢查●PMI主要負(fù)責(zé)向業(yè)務(wù)應(yīng)用系統(tǒng)提供與應(yīng)用相關(guān)的授權(quán)服務(wù)管理，提供用戶身份到應(yīng)用授權(quán)的映射功能，實(shí)現(xiàn)與實(shí)際應(yīng)用處理模式相對(duì)應(yīng)的、與具體應(yīng)用系統(tǒng)開(kāi)發(fā)和管理無(wú)關(guān)的訪問(wèn)控制機(jī)制，極大地簡(jiǎn)化了應(yīng)用中訪問(wèn)控制和權(quán)限管理系統(tǒng)的開(kāi)發(fā)與維護(hù)，并減少了管理成本和復(fù)雜性。PMI與PKI的區(qū)別：PKI你是誰(shuí)、PMI你能做什么●PMI模型包括三部分：目標(biāo)、權(quán)限持有者、權(quán)限驗(yàn)證者。第四章網(wǎng)絡(luò)加密與密鑰管理●鏈路加密：鏈路加密對(duì)網(wǎng)絡(luò)中兩個(gè)相鄰節(jié)點(diǎn)之間傳輸?shù)臄?shù)據(jù)加密保護(hù)；任意一對(duì)節(jié)點(diǎn)和相應(yīng)調(diào)制解調(diào)器之間都裝有相同的密碼機(jī)，并配置相同的密鑰；不同節(jié)點(diǎn)之間的密碼機(jī)和密鑰不一定相同。加密優(yōu)點(diǎn)：網(wǎng)絡(luò)中傳輸?shù)南⒂蓤?bào)頭和報(bào)文組成。鏈路加密，報(bào)文和報(bào)頭同時(shí)加密；掩蓋了傳輸?shù)钠瘘c(diǎn)和終點(diǎn)。鏈路上的信息均以密文形式存在。填充技術(shù)可以掩蓋消息的頻率和長(zhǎng)度特性。加密缺點(diǎn)：在中間傳輸節(jié)點(diǎn)上存在明文。對(duì)鏈路兩端的設(shè)備進(jìn)行同步，影響網(wǎng)絡(luò)性能。當(dāng)通過(guò)衛(wèi)星網(wǎng)絡(luò)等極端環(huán)境下，同步等問(wèn)題更為嚴(yán)峻。對(duì)稱密鑰帶來(lái)的密鑰分發(fā)、密鑰管理和密鑰更新問(wèn)題。節(jié)點(diǎn)加密：鏈路上的信息均以密文形式存在，在中間傳輸節(jié)點(diǎn)上不存在明文。缺點(diǎn)：節(jié)點(diǎn)加密，僅對(duì)報(bào)文加密，報(bào)頭和路由信息以明文形式傳輸；暴露了傳輸?shù)钠瘘c(diǎn)和終點(diǎn)。對(duì)鏈路兩端的設(shè)備進(jìn)行同步，影響網(wǎng)絡(luò)性能。對(duì)稱密鑰帶來(lái)的密鑰分發(fā)、密鑰管理和密鑰更新問(wèn)題。端到端加密：對(duì)一對(duì)用戶（不是節(jié)點(diǎn)）之間的數(shù)據(jù)連續(xù)地提供保護(hù)，解決在消息交換過(guò)程中由于錯(cuò)誤路由帶來(lái)的泄密。優(yōu)點(diǎn)：從原點(diǎn)到終點(diǎn)始終以密文形式存在，傳輸過(guò)程中不解密。有節(jié)點(diǎn)損壞也不會(huì)帶來(lái)泄密。系統(tǒng)開(kāi)銷小。避免了同步問(wèn)題。不影響其他用戶。缺點(diǎn)：不對(duì)目的地址加密?；旌霞用埽憾说蕉撕玩溌坊旌霞用埽簣?bào)文將被兩次加密，報(bào)頭由鏈路方式加密。鏈路加密與端到端加密各自的優(yōu)點(diǎn)?！窈脡拿荑€區(qū)分：基本密鑰：基本密鑰、用戶密鑰存在較長(zhǎng)時(shí)間，能與會(huì)話密鑰一起控制密鑰產(chǎn)生器會(huì)話密鑰：數(shù)據(jù)加密密鑰短期的；可事先約定或協(xié)議分配；限制了同一密鑰加密的密文量。密鑰加密密鑰：次主密鑰對(duì)密鑰加密的密鑰，各節(jié)點(diǎn)應(yīng)該互不相同。主機(jī)主密鑰好密鑰：(1)真正隨機(jī)、等概率，如擲硬幣、擲骰子等；(2)避免使用特定算法的弱密鑰；(3)雙鑰系統(tǒng)的密鑰更難以產(chǎn)生，因?yàn)楸仨殱M足一定的數(shù)學(xué)關(guān)系；(4)為了便于記憶，密鑰不能選得過(guò)長(zhǎng)，而且不可能選完全隨機(jī)的數(shù)串，要選用易記而難猜中的密鑰；(5)采用密鑰揉搓或雜湊技術(shù)，將易記的長(zhǎng)句子(10～15個(gè)英文字的通行短語(yǔ))，經(jīng)單向雜湊函數(shù)變換成偽隨機(jī)數(shù)串(64bit)。●密鑰分配的三種方式：一是利用安全信道實(shí)現(xiàn)密鑰傳遞；二是利用雙鑰體制建立安全信道傳遞：三是利用特定的物理現(xiàn)象(如量子技術(shù))實(shí)現(xiàn)密鑰傳遞●可信第三方TTP三種參與方式：協(xié)調(diào)（Inline）、聯(lián)機(jī)（Online）和脫機(jī)（Offline）在協(xié)調(diào)方式下，T足一個(gè)中間人，為A與B之間通信提供實(shí)時(shí)服務(wù)；在聯(lián)機(jī)方式下，T實(shí)時(shí)參與A和B每次協(xié)議的執(zhí)行，但A和B之間的通信不必經(jīng)過(guò)T；在脫機(jī)方式下，T不實(shí)時(shí)參與A和B的協(xié)議，而是預(yù)先向A和B提供雙方執(zhí)行協(xié)議所需的信息?！衩荑€認(rèn)證（確保自己是在和安全的一方通信，而不是和中間人通信）的三種方式：隱式密鑰認(rèn)證密鑰確證顯式密鑰認(rèn)證●采用雙鑰體制的中間人攻擊(1)A1ice將其公鑰發(fā)送給Bob。Mallorv截獲這公鑰，并將他自己的公鑰發(fā)送給Bob。(2)Bob將其公鑰發(fā)送給A1ice。Mallorv截獲這一公鑰，并將他自己的公鑰發(fā)送給Alice。(3)當(dāng)Alice采用“Bob”的公鑰對(duì)消息加密并發(fā)送給Bob時(shí)，Mallorv會(huì)將其截獲。由于這條消息實(shí)際上采用了Mallory的公鑰進(jìn)行加密，因此Mallory可以采用其私鑰對(duì)密文解密，并采用Bob的公鑰對(duì)消息重新加密后發(fā)送給Bob。(4)當(dāng)Bob采用“Alice”的公鑰對(duì)消息加密并發(fā)送給A1ice時(shí)，Mallory會(huì)將其截獲。由于這條消息實(shí)際上采用了Mallory的公鑰進(jìn)行加密，因此Mallory可以采用其私鑰對(duì)密文解密，并采用Alice的公鑰對(duì)消息重新加密后發(fā)送給Alice。即使Bob和Alice的公鑰存儲(chǔ)在數(shù)據(jù)庫(kù)中，這一攻擊形式仍然有效。截獲數(shù)據(jù)庫(kù)查詢指令。進(jìn)入數(shù)據(jù)庫(kù)修改Alice和Bob的公鑰?！衤?lián)鎖協(xié)議(1)Alice發(fā)送她的公鑰給Bob；(2)Bob發(fā)送他的公鑰給Alice；(3)A1ice用Bob的公鑰對(duì)消息加密，此后，她將一半密文發(fā)送給Bob；(4)Bob用Alice的公鑰對(duì)消息加密，此后，他將一半密文發(fā)送給A1ice；(5)Alice發(fā)送另一半密文給Bob；(6)Bob將A1ice的兩部分密文組合在一起，并采用其私鑰解密，Bob發(fā)送他的另一半密文給Alice；(7)Alice將Bob的兩部分密文組合在一起，并采用其私鑰解密。優(yōu)點(diǎn)：一半密文既不可以解密，又不可以重新加密第五章防火墻原理與設(shè)計(jì)●防火墻是由軟件和硬件組成的系統(tǒng)，處于安全的網(wǎng)絡(luò)和不安全的網(wǎng)絡(luò)之間，根據(jù)系統(tǒng)管理員設(shè)置的訪問(wèn)控制規(guī)則，對(duì)數(shù)據(jù)流進(jìn)行過(guò)濾。防火墻對(duì)數(shù)據(jù)流的處理有三種：允許、拒絕、丟棄●對(duì)防火墻功能的理解（判斷）防火墻的不足：防外不防內(nèi)；繞過(guò)防火墻的連接無(wú)效；必須允許重要的服務(wù)通過(guò)，也為攻擊預(yù)留了通道?！穹阑饓绢愋图肮ぷ骶W(wǎng)絡(luò)層次包過(guò)濾、電路級(jí)、應(yīng)用級(jí)防火墻●靜態(tài)包過(guò)濾防火墻（工作于網(wǎng)絡(luò)層）可以采用路由器上的過(guò)濾模塊實(shí)現(xiàn)。無(wú)需采用專門設(shè)備，低開(kāi)銷。每個(gè)網(wǎng)絡(luò)的入口都可以配備工作原理：采用一組過(guò)濾規(guī)則，對(duì)每個(gè)數(shù)據(jù)包進(jìn)行檢查，根據(jù)檢查結(jié)果確定是否丟棄或轉(zhuǎn)發(fā)，這種防火墻對(duì)從內(nèi)網(wǎng)到外網(wǎng)和從外網(wǎng)到內(nèi)網(wǎng)兩個(gè)方向的數(shù)據(jù)包進(jìn)行過(guò)濾?！駲z查的字段數(shù)據(jù)源地址、目的地址、源端口號(hào)、目的端口號(hào)、應(yīng)用或協(xié)議●訪問(wèn)控制規(guī)則庫(kù)將特定域與規(guī)則逐條比較；默認(rèn)規(guī)則：允許一切、拒絕一切；拒絕或接收發(fā)往/來(lái)自某個(gè)特定IP地址或者IP地址范圍；拒絕和接收發(fā)往/來(lái)自某個(gè)特定服務(wù)端口。第六章入侵檢測(cè)系統(tǒng)●入侵檢測(cè)模型四個(gè)部分：數(shù)據(jù)收集器、檢測(cè)器、知識(shí)庫(kù)、控制器●IDS三個(gè)主要任務(wù)：信息收集（系統(tǒng)日志目錄及文件中的異常改變，程序執(zhí)行中的異常行為，物理形式的入侵信息）、信息分析、安全響應(yīng)●按數(shù)據(jù)來(lái)源分類：基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)NIDS偵測(cè)速度快、不容易受到攻擊、主機(jī)資源消耗少來(lái)自服務(wù)其本身的攻擊不經(jīng)過(guò)網(wǎng)絡(luò)，誤報(bào)率高基于主機(jī)的入侵檢測(cè)系統(tǒng)HIDS日志和審計(jì)記錄不同操作系統(tǒng)的應(yīng)用層，誤報(bào)少依賴于主機(jī)及其子系統(tǒng)，實(shí)時(shí)性差分布式入侵檢測(cè)系統(tǒng)DIDS●按入侵檢測(cè)策略分類：濫用監(jiān)測(cè)減少系統(tǒng)負(fù)擔(dān)需要不斷升級(jí)異常檢測(cè)統(tǒng)計(jì)描述、統(tǒng)計(jì)正常使用時(shí)的一些測(cè)量屬性可檢測(cè)未知入侵漏報(bào)、誤報(bào)，用戶行為突然改變完整性分析:采用批處理，實(shí)時(shí)響應(yīng)性差●NIDS特點(diǎn)：擁有成本低、攻擊者轉(zhuǎn)移證據(jù)困難、實(shí)時(shí)檢測(cè)和響應(yīng)、能夠檢測(cè)未成功的攻擊和企圖、操作系統(tǒng)獨(dú)立。關(guān)鍵技術(shù)：IP碎片重組技術(shù)、TCP流重組技術(shù)、TCP狀態(tài)檢測(cè)技術(shù)、協(xié)議分析技術(shù)、零復(fù)制技術(shù)、蜜罐技術(shù)●HIDS特點(diǎn)：監(jiān)視特定的系統(tǒng)活動(dòng)、非常適用于加密和文件交換、近實(shí)時(shí)的檢測(cè)和應(yīng)答不需要額外的硬件●DIDS產(chǎn)生的驅(qū)動(dòng)力（選擇）(1)系統(tǒng)的弱點(diǎn)或漏洞分散在網(wǎng)絡(luò)的各個(gè)主機(jī)上，這些弱點(diǎn)有可能被入侵者起用來(lái)攻擊網(wǎng)絡(luò)，而依靠唯一的主機(jī)或網(wǎng)絡(luò)，IDs不能發(fā)現(xiàn)入侵行為。(2)入侵行為不再是單一的行為，而表現(xiàn)出協(xié)作入侵的特點(diǎn)，如分布式拒絕服務(wù)攻擊(DDoS)。(3)入侵檢測(cè)所依靠的數(shù)據(jù)來(lái)源分散化，收集原始數(shù)據(jù)變得困難，如交換網(wǎng)絡(luò)使得監(jiān)聽(tīng)網(wǎng)絡(luò)數(shù)據(jù)包受到限制。(4)網(wǎng)絡(luò)傳輸速度加快，網(wǎng)絡(luò)的流量大，集中處理原始數(shù)據(jù)的方式往往造成檢測(cè)瓶頸，從而導(dǎo)致漏檢。IDS控制臺(tái)的設(shè)計(jì)日志檢索、探測(cè)器管理、規(guī)則管理、日志報(bào)表、用戶管理第七章VPN技術(shù)●VPN（將物理上分布在不同地點(diǎn)的網(wǎng)絡(luò)通過(guò)公用網(wǎng)絡(luò)連接而構(gòu)成邏輯上的虛擬子網(wǎng)）的特點(diǎn)：費(fèi)用低、安全保障、服務(wù)質(zhì)量保證、可擴(kuò)充性和靈活性、可管理性●VPN的分類：移動(dòng)用戶遠(yuǎn)程訪問(wèn)VPN連接(鏈路上的第一個(gè)數(shù)據(jù)包總是有遠(yuǎn)程訪問(wèn)客戶機(jī)提出。)、網(wǎng)關(guān)-網(wǎng)關(guān)VPN連接(鏈路的兩端分別是專用網(wǎng)絡(luò)的兩個(gè)不同部分)●VPN的隧道隧道是通過(guò)一個(gè)公用網(wǎng)絡(luò)建立的一條穿過(guò)公共網(wǎng)絡(luò)的安全的、邏輯上的隧道.第二層隧道協(xié)議：PPTP、L2F、L2TP第二層隧道協(xié)議的缺點(diǎn)簡(jiǎn)單易行，但是擴(kuò)展性不好，沒(méi)有提供內(nèi)在的安全機(jī)制，不能提供企業(yè)和企業(yè)外部客戶及供應(yīng)商之間會(huì)話的保密性要求。第三層隧道協(xié)議：GRE、VTP、IPsec、MPLS●VPN傳輸模式及隧道模式●VPN主要構(gòu)成部分：管理模塊、密鑰分配和生成模塊、身份認(rèn)證模塊、數(shù)據(jù)加/解密模塊、數(shù)據(jù)分組封裝/分解模塊、加密函數(shù)庫(kù)●IPse