計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)課件 第1章 網(wǎng)絡(luò)安全概述

THEBASISOFCOMPUTERNETWORKSECURITY第1章網(wǎng)絡(luò)安全概述計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)1第1章網(wǎng)絡(luò)安全概述“安全”一詞在字典中被定義為“遠(yuǎn)離危險(xiǎn)的狀態(tài)或特性”和“為防范間諜活動(dòng)或蓄意破壞、犯罪、攻擊或逃跑而采取的措施”。 隨著經(jīng)濟(jì)信息化的迅速發(fā)展，網(wǎng)絡(luò)的安全已經(jīng)涉及到國(guó)家主權(quán)等許多重大問題。隨著“黑客”工具技術(shù)的日益發(fā)展，使用這些工具所需具備的各種技巧和知識(shí)在不斷減少，從而造成的全球范圍內(nèi)“黑客”行為的泛濫，導(dǎo)致了一個(gè)全新戰(zhàn)爭(zhēng)形式的出現(xiàn)，即網(wǎng)絡(luò)安全技術(shù)的大戰(zhàn)。2第1章主要內(nèi)容●網(wǎng)絡(luò)安全的含義●網(wǎng)絡(luò)安全的特征●網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)●網(wǎng)絡(luò)安全策略●威脅網(wǎng)絡(luò)安全的因素●網(wǎng)絡(luò)安全的分類●網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理及評(píng)估●TCP/IP體系的安全3（第1章）1.1網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)41.1網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)1.網(wǎng)絡(luò)安全的含義網(wǎng)絡(luò)安全從其本質(zhì)上來講就是網(wǎng)絡(luò)上的信息安全。廣義上講，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實(shí)性和可控性的相關(guān)技術(shù)和理論，都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域。下面給出網(wǎng)絡(luò)安全的一個(gè)通用定義：網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。51.1網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)（1）運(yùn)行系統(tǒng)安全，即保證信息處理和傳輸系統(tǒng)的安全。（2）網(wǎng)絡(luò)上系統(tǒng)信息的安全。（3）網(wǎng)絡(luò)上信息傳播的安全，即信息傳播后果的安全。（4）網(wǎng)絡(luò)上信息內(nèi)容的安全，即我們討論的狹義的“信息安全”。61.1網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)2.網(wǎng)絡(luò)安全的特征（1）保密性。信息不泄露給非授權(quán)的用戶、實(shí)體或過程，或供其利用的特性。（2）完整性。數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性。（3）可用性?？杀皇跈?quán)實(shí)體訪問并按需求使用的特性，即當(dāng)需要時(shí)應(yīng)能存取所需的信息。（4）可控性。對(duì)信息的傳播及內(nèi)容具有控制能力。71.1網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)3.網(wǎng)絡(luò)安全的威脅（1）非授權(quán)訪問：指一個(gè)非授權(quán)用戶的入侵。（2）信息泄露：指造成將有價(jià)值的和高度機(jī)密的信息暴露給無權(quán)訪問該信息的人的所有問題。（3）拒絕服務(wù)：指使系統(tǒng)難以或不能繼續(xù)執(zhí)行任務(wù)的所有問題。81.1網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)4.網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)●主機(jī)安全技術(shù)●身份認(rèn)證技術(shù)●訪問控制技術(shù)●密碼技術(shù)●防火墻技術(shù)●安全審計(jì)技術(shù)●安全管理技術(shù)91.1網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)5.網(wǎng)絡(luò)安全策略策略包括兩個(gè)部分：總體的策略和具體的規(guī)則?？傮w的策略用于闡明安全政策的總體思想，而具體的規(guī)則用于說明什么活動(dòng)是被允許的，什么活動(dòng)是被禁止的?！窬W(wǎng)絡(luò)用戶的安全責(zé)任。該策略可以要求用戶每隔一段時(shí)間改變其口令；使用符合一定準(zhǔn)則的口令；執(zhí)行某些檢查，以了解其賬戶是否被別人訪問過等。重要的是，凡是要求用戶做到的，都應(yīng)明確地定義。101.1網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)●系統(tǒng)管理員的安全責(zé)任。該策略可以要求在每臺(tái)主機(jī)上使用專門的安全措施、登錄標(biāo)題報(bào)文、監(jiān)測(cè)和記錄過程等，還可列出在連接網(wǎng)絡(luò)的所有主機(jī)中不能運(yùn)行的應(yīng)用程序?！裾_利用網(wǎng)絡(luò)資源。規(guī)定誰可以使用網(wǎng)絡(luò)資源，他們可以做什么，他們不應(yīng)該做什么等。如果用戶的單位認(rèn)為電子郵件文件和計(jì)算機(jī)活動(dòng)的歷史記錄都應(yīng)受到安全監(jiān)視，就應(yīng)該非常明確地告訴用戶，這是其政策?！駲z測(cè)到安全問題時(shí)的對(duì)策。當(dāng)檢測(cè)到安全問題時(shí)應(yīng)該做什么？應(yīng)該通知誰？這些都是在緊急的情況下容易忽視的事情。11（第1章）1.2威脅網(wǎng)絡(luò)安全的因素121.2威脅網(wǎng)絡(luò)安全的因素威脅計(jì)網(wǎng)絡(luò)安全的主要因素：●“黑客”的攻擊●計(jì)算機(jī)病毒●拒絕服務(wù)攻擊（DoS）131.2威脅網(wǎng)絡(luò)安全的因素1.威脅的類型●非授權(quán)訪問。這主要的是指對(duì)網(wǎng)絡(luò)設(shè)備以及信息資源進(jìn)行非正常使用或超越權(quán)限使用?！窦倜昂戏ㄓ脩?。主要指利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)，以達(dá)到占用合法用戶資源的目的。●數(shù)據(jù)完整性受破壞?！窀蓴_系統(tǒng)的正常運(yùn)行，改變系統(tǒng)正常運(yùn)行的方向，以及延時(shí)系統(tǒng)的響應(yīng)時(shí)間?！癫《?。●通信線路被竊聽等。141.2威脅網(wǎng)絡(luò)安全的因素2.操作系統(tǒng)的脆弱性（1）其體系結(jié)構(gòu)本身就是不安全的一種因素。（2）操作系統(tǒng)可以創(chuàng)建進(jìn)程，即使在網(wǎng)絡(luò)的節(jié)點(diǎn)上同樣也可以進(jìn)行遠(yuǎn)程進(jìn)程的創(chuàng)建與激活，更令人不安的是被創(chuàng)建的進(jìn)程具有可以繼續(xù)創(chuàng)建過程的權(quán)力。（3）網(wǎng)絡(luò)操作系統(tǒng)提供的遠(yuǎn)程過程調(diào)用服務(wù)以及它所安排的無口令入口也是黑客的通道。151.2威脅網(wǎng)絡(luò)安全的因素3.計(jì)算機(jī)系統(tǒng)的脆弱性（1）來自于操作系統(tǒng)的不安全性，在網(wǎng)絡(luò)環(huán)境下，還來源于通信協(xié)議的不安全性。（2）存在超級(jí)用戶，如果入侵者得到了超級(jí)用戶口令，整個(gè)系統(tǒng)將完全受控于入侵者。（3）計(jì)算機(jī)可能會(huì)因硬件或軟件故障而停止運(yùn)轉(zhuǎn)，或被入侵者利用并造成損失。161.2威脅網(wǎng)絡(luò)安全的因素4.協(xié)議安全的脆弱性網(wǎng)絡(luò)系統(tǒng)都使用的TCP/IP協(xié)議、FTP、E-mail、NFS等都包含著許多影響網(wǎng)絡(luò)安全的因素，存在許多漏洞。黑客通常采用Sock、TCP預(yù)測(cè)或使用遠(yuǎn)程訪問（RPC）進(jìn)行直接掃描等方法對(duì)防火墻進(jìn)行攻擊。171.2威脅網(wǎng)絡(luò)安全的因素5.數(shù)據(jù)庫(kù)管理系統(tǒng)安全的脆弱性由于數(shù)據(jù)管理系統(tǒng)（DBMS）對(duì)數(shù)據(jù)庫(kù)的管理是建立在分級(jí)管理的概念上的，因此，DBMS的安全也是可想而知。另外，DBMS的安全必須與操作系統(tǒng)的安全配套，這無疑是一個(gè)先天的不足之處。6.人為的因素不管是什么樣的網(wǎng)絡(luò)系統(tǒng)都離不開人的管理，但又大多數(shù)缺少安全管理員，特別是高素質(zhì)的網(wǎng)絡(luò)管理員。此外，缺少網(wǎng)絡(luò)安全管理的技術(shù)規(guī)范，缺少定期的安全測(cè)試與檢查，更缺少安全監(jiān)控。令人擔(dān)憂的許多網(wǎng)絡(luò)系統(tǒng)已使用多年，但網(wǎng)絡(luò)管理員與用戶的注冊(cè)、口令等還是處于缺省狀態(tài)。18各種外部威脅1.物理威脅物理安全是指通過采取各種措施來保護(hù)物理環(huán)境、設(shè)備和資源，以防止未經(jīng)授權(quán)的訪問、破壞、損壞或盜竊。常見的物理安全問題有偷竊、廢物搜尋和間諜活動(dòng)等。物理安全是計(jì)算機(jī)安全最重要的方面。2.網(wǎng)絡(luò)威脅網(wǎng)絡(luò)威脅是指企圖破壞、盜取或損害網(wǎng)絡(luò)系統(tǒng)用戶、設(shè)備和數(shù)據(jù)的不法分子利用計(jì)算機(jī)病毒、惡意軟件、網(wǎng)絡(luò)欺騙和暴力攻擊等手段，或不當(dāng)行為對(duì)網(wǎng)絡(luò)的攻擊性行為。19各種外部威脅3.身份鑒別身份鑒別是身份識(shí)別和身份認(rèn)證的統(tǒng)稱。身份識(shí)別是指定用戶向系統(tǒng)出示自己的身份證明過程。身份認(rèn)證是系統(tǒng)查核用戶的身份證明的過程。4.程序攻擊利用有害程序破壞他人或敵方計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)。主要包括計(jì)算機(jī)病毒、特洛伊木馬程序、邏輯炸彈等。5.系統(tǒng)漏洞系統(tǒng)漏洞是指應(yīng)用軟件或操作系統(tǒng)軟件在邏輯設(shè)計(jì)上的缺陷或在編寫時(shí)產(chǎn)生的錯(cuò)誤。某個(gè)程序在設(shè)計(jì)時(shí)未被考慮周全，這個(gè)缺陷或錯(cuò)誤將可能被不法分子或黑客利用，通過植入木馬病毒等方式來攻擊或控制整個(gè)計(jì)算機(jī)，從而竊取計(jì)算機(jī)中的重要資料和信息，甚至破壞系統(tǒng)。20防范措施（1）用備份和鏡像技術(shù)提高數(shù)據(jù)完整性（2）防治病毒（3）安裝補(bǔ)丁程序（4）提高物理安全（5）構(gòu)筑互聯(lián)網(wǎng)防火墻（6）仔細(xì)閱讀日志（7）加密（8）提防虛假的安全21（第1章）1.3網(wǎng)絡(luò)安全分類221.3網(wǎng)絡(luò)安全分類根據(jù)中國(guó)國(guó)家計(jì)算機(jī)安全規(guī)范，計(jì)算機(jī)的安全可分為三類：（1）實(shí)體安全。包括機(jī)房、線路、主機(jī)等。（2）網(wǎng)絡(luò)與信息安全。包括網(wǎng)絡(luò)的暢通、準(zhǔn)確以及網(wǎng)上信息的安全。（3）應(yīng)用安全。包括程序開發(fā)運(yùn)行、I／O、數(shù)據(jù)庫(kù)等的安全。231.3網(wǎng)絡(luò)安全分類1.基本安全類基本安全類包括訪問控制、授權(quán)、認(rèn)證、加密以及內(nèi)容安全。2.管理與記賬類管理與記賬類安全包括安全的策略的管理、實(shí)時(shí)監(jiān)控、報(bào)警以及企業(yè)范圍內(nèi)的集中管理與記賬。241.3網(wǎng)絡(luò)安全分類3.網(wǎng)絡(luò)互聯(lián)設(shè)備安全類網(wǎng)絡(luò)互聯(lián)設(shè)備包括路由器、通信服務(wù)器、交換機(jī)等，網(wǎng)絡(luò)互聯(lián)設(shè)備安全正是針對(duì)上述這些互聯(lián)設(shè)備而言的，它包括路由安全管理、遠(yuǎn)程訪問服務(wù)器安全管理、通信服務(wù)器安全管理以及交換機(jī)安全管理等等。4.連接控制類連接控制類包括負(fù)載均衡、可靠性以及流量管理等。25（第1章）1.4網(wǎng)絡(luò)安全解決方案261.4網(wǎng)絡(luò)安全解決方案1.網(wǎng)絡(luò)信息安全模型一個(gè)完整的網(wǎng)絡(luò)信息安全系統(tǒng)至少包括三類措施：●社會(huì)的法律政策，企業(yè)的規(guī)章制度及網(wǎng)絡(luò)安全教育●技術(shù)方面的措施，如防火墻技術(shù)、防病毒。信息加密、身份確認(rèn)以及授權(quán)等●審計(jì)與管理措施，包括技術(shù)與社會(huì)措施271.4網(wǎng)絡(luò)安全解決方案2.安全策略設(shè)計(jì)依據(jù)在制定網(wǎng)絡(luò)安全策略時(shí)應(yīng)當(dāng)考慮如下因素：●對(duì)于內(nèi)部用戶和外部用戶分別提供哪些服務(wù)程序●初始投資額和后續(xù)投資額（新的硬件、軟件及工作人員）●方便程度和服務(wù)效率●復(fù)雜程度和安全等級(jí)的平衡●網(wǎng)絡(luò)性能283.網(wǎng)絡(luò)安全解決方案（1）信息包篩選信息包篩既可以設(shè)置在連接兩個(gè)網(wǎng)絡(luò)（可靠網(wǎng)絡(luò)和不可靠網(wǎng)絡(luò)）的硬件路由器內(nèi)，也可以設(shè)置于通用計(jì)算機(jī)系統(tǒng)或“主計(jì)算機(jī)”系統(tǒng)上。293.網(wǎng)絡(luò)安全解決方案（2）應(yīng)用中繼器應(yīng)用中繼器優(yōu)于信息包篩之處是，沒有復(fù)雜的規(guī)則集交互作用需要操作。各臺(tái)主機(jī)上潛在的安全漏洞不會(huì)暴露出來。中繼器的典型配置301.4網(wǎng)絡(luò)安全解決方案雙路由器安全系統(tǒng)雙路由器安全系統(tǒng)的安全程度更高。信息在到達(dá)內(nèi)部網(wǎng)絡(luò)之前需要通過兩個(gè)路由器。311.4網(wǎng)絡(luò)安全解決方案（3）保密與確認(rèn)“保密”可以保證當(dāng)一個(gè)信息被送出后，只有預(yù)定的接收者能夠閱讀和加以解釋。它可以防止竊聽，并且允許在公用網(wǎng)絡(luò)上安全地傳輸機(jī)密的或者專用的信息?！按_認(rèn)”意味著向信息（郵件、數(shù)據(jù)、文件等）的接收者保證發(fā)送是該信息的擁有者，并且意味著，數(shù)據(jù)在傳輸期間不會(huì)被修改。321.4網(wǎng)絡(luò)安全解決方案4.網(wǎng)絡(luò)安全性措施要實(shí)施一個(gè)完整的網(wǎng)絡(luò)安全系統(tǒng)，至少應(yīng)該包括三類措施：●社會(huì)的法律、法規(guī)以及企業(yè)的規(guī)章制度和安全教育等外部軟件環(huán)境●技術(shù)方面的措施，如網(wǎng)絡(luò)防毒、信息加密、存儲(chǔ)通信、授權(quán)、認(rèn)證以及防火墻技術(shù)●審計(jì)和管理措施，這方面措施同時(shí)也包含了技術(shù)與社會(huì)措施。331.4網(wǎng)絡(luò)安全解決方案為網(wǎng)絡(luò)安全系統(tǒng)提供適當(dāng)安全的常用的方法：●修補(bǔ)系統(tǒng)漏洞

●病毒檢查●加密 ●執(zhí)行身份鑒別●防火墻

●捕捉闖入者●直接安全

●空閑機(jī)器守則●廢品處理守則

●口令守則341.4網(wǎng)絡(luò)安全解決方案可以采取的網(wǎng)絡(luò)安全性措施有：●選擇性能優(yōu)良的服務(wù)器?！癫捎梅?wù)器備份。服務(wù)器備份方式分為冷備份與熱備份二種，熱備份方式由于實(shí)時(shí)性好，可以保證數(shù)據(jù)的完整性和連續(xù)性，得以廣泛采用的一種備份方式●對(duì)重要網(wǎng)絡(luò)設(shè)備、通信線路備份。通信故障就意味著正常工作無法進(jìn)行。351.4網(wǎng)絡(luò)安全解決方案5.互聯(lián)網(wǎng)安全管理應(yīng)解決的安全問題，對(duì)互聯(lián)網(wǎng)的安全管理措施。（1）安全保密遵循的基本原則●根據(jù)所面臨的安全問題，決定安全的策略。●根據(jù)實(shí)際需要綜合考慮，適時(shí)地對(duì)現(xiàn)有策略進(jìn)行適當(dāng)?shù)男薷?。●?gòu)造企業(yè)內(nèi)部網(wǎng)絡(luò)，在Intranet和Internet之間設(shè)置“防火墻”以及相應(yīng)的安全措施。（2）完善管理功能（3）加大安全技術(shù)的開發(fā)力度361.4網(wǎng)絡(luò)安全解決方案6.網(wǎng)絡(luò)安全的評(píng)估●確定單位內(nèi)部是否已經(jīng)有了一套有關(guān)網(wǎng)絡(luò)安全的方案，如果有的話，將所有有關(guān)的文檔匯總；如果沒有的話，應(yīng)當(dāng)盡快制訂?！駥?duì)已有的網(wǎng)絡(luò)安全方案進(jìn)行審查。●確定與網(wǎng)絡(luò)安全方案有關(guān)的人員，并確定對(duì)網(wǎng)絡(luò)資源可以直接存取的人或單位（部門）?！翊_保所需要的技術(shù)能使網(wǎng)絡(luò)安全方案得到落實(shí)?！翊_定內(nèi)部網(wǎng)絡(luò)的類型。371.4網(wǎng)絡(luò)安全解決方案●如果需要接入互聯(lián)網(wǎng)則需要仔細(xì)檢查聯(lián)網(wǎng)后可能出現(xiàn)的影響網(wǎng)絡(luò)安全的事項(xiàng)?！翊_定接入互聯(lián)網(wǎng)的方式，是拔號(hào)接入，還是專線?！翊_定單位內(nèi)部能提供互聯(lián)網(wǎng)訪問的用戶，并明確互聯(lián)網(wǎng)接入用戶是固定的還是移動(dòng)的?！袷欠裥枰用?，如果需要加密，必須說明要求的性質(zhì)。38（第1章）1.5風(fēng)險(xiǎn)管理及評(píng)估391.5風(fēng)險(xiǎn)管理及評(píng)估網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理指的是識(shí)別、評(píng)估和控制網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)的總過程，它貫穿于整個(gè)系統(tǒng)開發(fā)生命周期，其過程可以分為風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)消除兩個(gè)部分。網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估就是對(duì)網(wǎng)絡(luò)自身存在的脆弱性狀況、外界環(huán)境可能導(dǎo)致網(wǎng)絡(luò)安全事件發(fā)生的可能性以及可能造成的影響進(jìn)行評(píng)價(jià)。401.5風(fēng)險(xiǎn)管理及評(píng)估網(wǎng)絡(luò)風(fēng)險(xiǎn)管理是一種策略的處理過程，即在如何處理風(fēng)險(xiǎn)的多種安全策略中選擇一個(gè)最佳的過程，以及決定風(fēng)險(xiǎn)管理做到什么程度的過程。風(fēng)險(xiǎn)管理的主要步驟有：確定風(fēng)險(xiǎn)管理的范圍和邊界、建立安全風(fēng)險(xiǎn)管理方針、建立風(fēng)險(xiǎn)評(píng)價(jià)準(zhǔn)則、實(shí)施風(fēng)險(xiǎn)評(píng)估及風(fēng)險(xiǎn)處置。41網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理1．確定風(fēng)險(xiǎn)管理的范圍和邊界（1）業(yè)務(wù)范圍，主要包括關(guān)鍵業(yè)務(wù)及業(yè)務(wù)特性描述（業(yè)務(wù)、服務(wù)、資產(chǎn)和每一個(gè)資產(chǎn)的責(zé)任范圍和邊界等的說明）。（2）物理范圍，一般根據(jù)所界定的業(yè)務(wù)范圍和組織范圍內(nèi)所需要使用到的建筑物、場(chǎng)所或設(shè)施進(jìn)行界定。（3）資產(chǎn)，業(yè)務(wù)流程所涉及的所有軟件資產(chǎn)、物理資產(chǎn)、數(shù)據(jù)資產(chǎn)、人員資產(chǎn)及服務(wù)資產(chǎn)等。（4）技術(shù)范圍，信息與通信技術(shù)和其它技術(shù)的邊界。421.5風(fēng)險(xiǎn)管理及評(píng)估2．建立安全風(fēng)險(xiǎn)管理方針（1）安全風(fēng)險(xiǎn)管理方針應(yīng)由公司管理層建立，應(yīng)明確單位網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)的管理意圖和宗旨方向。（2）安全方針應(yīng)考慮到單位業(yè)務(wù)和應(yīng)遵循的法律法規(guī)要求及規(guī)定的安全義務(wù)。（3）信息安全目標(biāo)一般采用定性和定量的描述，應(yīng)明確目標(biāo)的測(cè)量方法、測(cè)量的證據(jù)和測(cè)量的周期。（4）信息安全方針制定完畢后，通過培訓(xùn)、宣傳、會(huì)議等內(nèi)部溝通渠道使單位全體員工得以理解，為方針的實(shí)現(xiàn)做出努力。431.5風(fēng)險(xiǎn)管理及評(píng)估3．建立風(fēng)險(xiǎn)評(píng)價(jià)準(zhǔn)則風(fēng)險(xiǎn)評(píng)價(jià)準(zhǔn)則是評(píng)價(jià)風(fēng)險(xiǎn)重要程度的依據(jù)，應(yīng)與信息安全風(fēng)險(xiǎn)管理方針保持一致。4．實(shí)施風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)評(píng)估主要包含風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)評(píng)價(jià)。實(shí)施風(fēng)險(xiǎn)評(píng)估前，應(yīng)確定風(fēng)險(xiǎn)評(píng)估的目標(biāo)、風(fēng)險(xiǎn)評(píng)估的范圍，組建適當(dāng)?shù)脑u(píng)估團(tuán)隊(duì)和實(shí)施團(tuán)隊(duì)，進(jìn)行系統(tǒng)的調(diào)研，確定風(fēng)險(xiǎn)評(píng)估的方法和依據(jù)。脆弱性識(shí)別的方法主要有問卷調(diào)查、人工核查、文檔審閱，及采用技術(shù)手段如工具檢測(cè)、滲透性測(cè)試等。441.5風(fēng)險(xiǎn)管理及評(píng)估5．風(fēng)險(xiǎn)處置一般風(fēng)險(xiǎn)處置的方式有降低風(fēng)險(xiǎn)、避免風(fēng)險(xiǎn)、轉(zhuǎn)移風(fēng)險(xiǎn)、接受風(fēng)險(xiǎn)。對(duì)于風(fēng)險(xiǎn)的處置我們應(yīng)針對(duì)識(shí)別的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)處置計(jì)劃，主要包括時(shí)間、角色、職責(zé)分配、資金等的安排。風(fēng)險(xiǎn)處置的目的是為了降低企業(yè)的業(yè)務(wù)風(fēng)險(xiǎn)，所以在制定處置方式時(shí)我們要對(duì)風(fēng)險(xiǎn)發(fā)生所帶來的損失和處置風(fēng)險(xiǎn)所花的成本進(jìn)行平衡，防止得不償失的情況出現(xiàn)。45網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的主要工作就是評(píng)估網(wǎng)絡(luò)信息的價(jià)值、判別網(wǎng)絡(luò)系統(tǒng)的脆弱性、判斷網(wǎng)絡(luò)系統(tǒng)中潛在的安全隱患，并測(cè)試網(wǎng)絡(luò)安全措施、建立風(fēng)險(xiǎn)預(yù)測(cè)機(jī)制以及評(píng)定網(wǎng)絡(luò)安全等級(jí)，以評(píng)估整個(gè)網(wǎng)絡(luò)系統(tǒng)風(fēng)險(xiǎn)的大小。主要內(nèi)容有：●網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)●建立網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系●實(shí)現(xiàn)網(wǎng)絡(luò)系統(tǒng)風(fēng)險(xiǎn)評(píng)估的流程46網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估1．網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估中，最常用的技術(shù)手段就是網(wǎng)絡(luò)掃描技術(shù)。網(wǎng)絡(luò)掃描技術(shù)不僅能夠?qū)崟r(shí)監(jiān)控網(wǎng)絡(luò)動(dòng)態(tài)，而且還可以將相關(guān)的信息自動(dòng)收集起來。網(wǎng)絡(luò)漏洞掃描也是一種比較常用而有效的安全掃描技術(shù)。通常這種技術(shù)分為兩種手段，一是首先掃描網(wǎng)絡(luò)端口，得出相應(yīng)的信息之后，對(duì)比原有的安全漏洞數(shù)據(jù)庫(kù)，以此推測(cè)出是否存在網(wǎng)絡(luò)漏洞；另外一種就是直接進(jìn)行網(wǎng)絡(luò)掃描，獲取網(wǎng)絡(luò)漏洞信息。47網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估2．建立網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系設(shè)置網(wǎng)絡(luò)安全風(fēng)險(xiǎn)指標(biāo)體系的基本原則。（1）動(dòng)態(tài)性原則。網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的指標(biāo)體系要體現(xiàn)出動(dòng)態(tài)性，能夠使相關(guān)部門適時(shí)、方便地掌握本區(qū)域網(wǎng)絡(luò)安全的第一手資料，從而使各項(xiàng)指標(biāo)的制訂建立在科學(xué)的基礎(chǔ)上。（2）科學(xué)性原則。網(wǎng)絡(luò)安全風(fēng)險(xiǎn)指標(biāo)體系要能科學(xué)地反映本區(qū)域網(wǎng)絡(luò)安全的基本狀況和運(yùn)行規(guī)律。（3）可比性原則。所選指標(biāo)能夠?qū)W(wǎng)絡(luò)安全狀況進(jìn)行橫向與縱向的比較。（4）綜合性原則。要綜合反映出本區(qū)域網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)狀況，綜合性評(píng)價(jià)就是指對(duì)總體中的各個(gè)體的多方面標(biāo)志特征的綜合評(píng)價(jià)。（5）可操作性原則。指標(biāo)體系具有資料易得、方法直觀和計(jì)算簡(jiǎn)便的特點(diǎn)，因而要求具有操作上的可行性。48網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估3．實(shí)現(xiàn)網(wǎng)絡(luò)系統(tǒng)風(fēng)險(xiǎn)評(píng)估的流程（1）識(shí)別威脅和判斷威脅發(fā)生的概率。為了能夠進(jìn)行更為集中的評(píng)估，應(yīng)該對(duì)那些可能產(chǎn)生威脅的細(xì)節(jié)給予特別的關(guān)注。識(shí)別威脅的過程有利于改進(jìn)網(wǎng)絡(luò)管理和及時(shí)發(fā)現(xiàn)漏洞，這些改進(jìn)的措施在一定程度上將減少威脅的危險(xiǎn)性。（2）測(cè)量風(fēng)險(xiǎn)。測(cè)量風(fēng)險(xiǎn)是說明各種敵對(duì)行為在一個(gè)系統(tǒng)或應(yīng)用中發(fā)生的可能性及發(fā)生的概率。（3）風(fēng)險(xiǎn)分析結(jié)果。風(fēng)險(xiǎn)分析結(jié)果可以用典型的定量法和定性法進(jìn)行描述。定量法可用于描述預(yù)計(jì)的金錢損失量。定性法是描述性質(zhì)的，通常用高、中、低或用1~10等級(jí)等形式來表示。49網(wǎng)絡(luò)安全工程網(wǎng)絡(luò)安全工程是對(duì)現(xiàn)有的網(wǎng)絡(luò)安全狀況進(jìn)行較為徹底的檢查和評(píng)估，根據(jù)對(duì)當(dāng)前網(wǎng)絡(luò)安全技術(shù)進(jìn)行的綜合分析，制定安全目標(biāo)。并在此基礎(chǔ)上，提出一套較為系統(tǒng)、切實(shí)可行的工程實(shí)施方案，同時(shí)制定安全管理制度。網(wǎng)絡(luò)安全工程主要內(nèi)容有：安全檢測(cè)與評(píng)估、制定安全目標(biāo)、網(wǎng)絡(luò)安全實(shí)施、人員培訓(xùn)。50網(wǎng)絡(luò)安全工程1．安全檢測(cè)與評(píng)估安全檢測(cè)與評(píng)估是保障網(wǎng)絡(luò)安全的重要措施，它能夠把不符合要求的設(shè)備或系統(tǒng)拒之門外，同時(shí)發(fā)現(xiàn)實(shí)際運(yùn)行網(wǎng)絡(luò)上的問題。安全檢測(cè)和評(píng)估要做好三方面的工作。（1）把自動(dòng)檢測(cè)、網(wǎng)絡(luò)管理和運(yùn)行維護(hù)、技術(shù)支持有機(jī)地結(jié)合起來。（2）重視網(wǎng)絡(luò)互連和互連操作實(shí)驗(yàn)。（3）把安全檢測(cè)與評(píng)估和安全技術(shù)研究結(jié)合起來。51網(wǎng)絡(luò)安全工程2．制定安全目標(biāo)安全目標(biāo)與網(wǎng)絡(luò)安全的重要性和投資效益有直接的關(guān)系，在可能的情況下，應(yīng)達(dá)到以下三項(xiàng)安全目標(biāo)。（1）完整性是指信息在存儲(chǔ)或傳輸時(shí)不被破壞，杜絕未經(jīng)授權(quán)的修改。（2）可靠性是指信息的可信度，包括信息的完整性、準(zhǔn)確性和發(fā)送人的身份驗(yàn)證等方面，也包括有用信息不被破壞。（3）可用性是指合法用戶的正常請(qǐng)求能及時(shí)、正確、安全地得到服務(wù)或回應(yīng)。52網(wǎng)絡(luò)安全工程3．網(wǎng)絡(luò)安全實(shí)施（1）傳輸安全。信息在跨公網(wǎng)傳輸時(shí)，面臨著被竊取的危險(xiǎn)，比如線路傳輸信號(hào)偵聽、搭線竊聽、非法接入和竊取數(shù)據(jù)文件等形式的攻擊，因此，要對(duì)傳輸?shù)膬?nèi)容進(jìn)行端到端的加密。建議通過鏈路加密機(jī)方式實(shí)現(xiàn)端到端的加密。（2）網(wǎng)絡(luò)安全。為保證網(wǎng)絡(luò)層安全，主要需要加強(qiáng)系統(tǒng)安全、防黑客攻擊和網(wǎng)絡(luò)防病毒等系統(tǒng)的建設(shè)。（3）信息安全。建立一套內(nèi)部的CA系統(tǒng)，采用非對(duì)稱密鑰的加密方式，確保授權(quán)用戶對(duì)相應(yīng)信息的訪問，并防止未授權(quán)用戶的非法訪問和對(duì)信息的篡改。53網(wǎng)絡(luò)安全工程（4）建立統(tǒng)一的安全管理系統(tǒng)。建立面向管理層和決策層、與網(wǎng)絡(luò)規(guī)模相適應(yīng)的統(tǒng)計(jì)、分析、管理和決策系統(tǒng)。對(duì)所有的安全軟件/工具進(jìn)行統(tǒng)一管理，使各種軟件/工具能夠協(xié)同工作。通過統(tǒng)計(jì)分析發(fā)現(xiàn)具有共性的問題和潛在的問題，以不斷完善和鞏固安全防衛(wèi)系統(tǒng)。4．人員培訓(xùn)在網(wǎng)絡(luò)安全的各因素中，人是最根本的，所以必須經(jīng)常對(duì)行政和技術(shù)人員有針對(duì)性地進(jìn)行安全知識(shí)和技能培訓(xùn)。54（第1章）1.6TCP/IP體系的安全551.6TCP/IP體系的安全TCP/IP協(xié)議作為當(dāng)前最流行的協(xié)議，卻在設(shè)計(jì)時(shí)并未考慮到未來的安全需要，因此協(xié)議中有諸多安全問題。而協(xié)議的安全缺陷與電腦病毒的存在，使得網(wǎng)絡(luò)環(huán)境面臨極大的危險(xiǎn)。1．TCP/IP體系存在的安全漏洞（1）數(shù)據(jù)鏈路層存在的安全漏洞（2）網(wǎng)絡(luò)層漏洞（3）IP漏洞561.6TCP/IP體系的安全（1）數(shù)據(jù)鏈路層存在的安全漏洞在以太網(wǎng)中，使用的是CSMA/CD協(xié)議，信道是共享的，任何主機(jī)發(fā)送的每一個(gè)以太網(wǎng)幀都會(huì)到達(dá)同一網(wǎng)段的所有主機(jī)的以太網(wǎng)接口。一般情況下，當(dāng)主機(jī)的太網(wǎng)接口檢測(cè)到數(shù)據(jù)幀不屬于自己時(shí)，就把它忽略掉，不會(huì)把它發(fā)送到上層協(xié)議。攻擊者利用信道是共享的特點(diǎn)，通過監(jiān)控軟件或網(wǎng)絡(luò)分析儀等進(jìn)行在線竊聽，竊取網(wǎng)絡(luò)通信信息。571.6TCP/IP體系的安全（2）網(wǎng)絡(luò)層漏洞幾乎所有的基于TCP/IP的機(jī)器都會(huì)對(duì)ICMPecho請(qǐng)求進(jìn)行響應(yīng)。所以如果攻擊者同時(shí)運(yùn)行很多個(gè)ping命令向一個(gè)服務(wù)器發(fā)送超過其處理能力的ICMPecho請(qǐng)求時(shí)，就可以淹沒該服務(wù)器使其拒絕其他的服務(wù)。另外，ping命令可以在得到允許的網(wǎng)絡(luò)中建立秘密通道從而可以在被攻擊系統(tǒng)中開后門進(jìn)行方便的攻擊，如收集目標(biāo)上的信息并進(jìn)行秘密通信等。581.6TCP/IP體系的安全（3）IP漏洞IP包通過網(wǎng)絡(luò)層從主機(jī)發(fā)送出去后，源IP地址就幾乎不用，僅在中間路由器因某種原因丟棄或到達(dá)目標(biāo)端后，才被使用。這使得一個(gè)主機(jī)可以使用別的主機(jī)的IP地址發(fā)送IP包，只要它能把這類IP包放到網(wǎng)絡(luò)上就可以。因而如果攻擊者把自己的主機(jī)偽裝成被目標(biāo)主機(jī)信任的友好主機(jī)，即把發(fā)送的IP包中的源IP地址改成被信任的友好主機(jī)的IP地址，利用主機(jī)間的信任關(guān)系就可以對(duì)信任主機(jī)進(jìn)行攻擊。591.6TCP/IP體系的安全TCP/IP體系的安全主要包括以下幾點(diǎn)：（1）TCP/IP物理層的安全（2）TCP/IP網(wǎng)絡(luò)層的安全（3）TCP/IP傳輸層的安全（4）TCP/IP應(yīng)用層的安全60TCP/IP物理層的安全物理層安全問題是指由網(wǎng)絡(luò)環(huán)境及物理特性產(chǎn)生的網(wǎng)絡(luò)設(shè)施和線路安全性，致使網(wǎng)絡(luò)系統(tǒng)出現(xiàn)安全風(fēng)險(xiǎn)，如設(shè)備被盜、意外故障、設(shè)備損壞與老化、信息探測(cè)與竊聽等。由于以太網(wǎng)上的交換設(shè)備使用的是廣播方式，攻擊者可能在某個(gè)廣播域中偵聽、竊取并分析信息。為此，保護(hù)鏈路上的設(shè)施安全極為重要，物理層的安全措施相對(duì)較少，多數(shù)采用“隔離技術(shù)”保證每?jī)蓚€(gè)網(wǎng)絡(luò)在邏輯上能夠連通，同時(shí)從物理上隔斷，并加強(qiáng)實(shí)體安全管理與維護(hù)。61TCP/IP網(wǎng)絡(luò)層的安全網(wǎng)絡(luò)層的主要功能是用于數(shù)據(jù)包的網(wǎng)絡(luò)傳輸，其中IP是整個(gè)TCP/IP協(xié)議體系結(jié)構(gòu)的重要基礎(chǔ)，TCP/IP中所有協(xié)議的數(shù)據(jù)都以IP數(shù)據(jù)報(bào)形式進(jìn)行傳輸。IPv4在設(shè)計(jì)時(shí)沒有考慮到網(wǎng)絡(luò)安全問題，IP包本身不具有任何安全特性，從而導(dǎo)致在網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包很容易泄露或受到攻擊，IP欺騙和ICMP攻擊都是針對(duì)IP層的攻擊手段。因此，通信雙方無法保證收到IP數(shù)據(jù)報(bào)的真實(shí)性。62TCP/IP網(wǎng)絡(luò)層的安全63網(wǎng)絡(luò)分段是保證安全的一項(xiàng)重要措施，同時(shí)也是一項(xiàng)基本措施，其指導(dǎo)思想在于將網(wǎng)絡(luò)資源相互隔離，從而達(dá)到限制用戶非法訪問的目的。網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式。物理分段通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層上分為若干網(wǎng)段，各網(wǎng)段相互之間無法進(jìn)行直接通信。在實(shí)際應(yīng)用過程中，通常采取物理分段與邏輯分段相結(jié)合的方法來實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)系統(tǒng)的安全性控制。TCP/IP網(wǎng)絡(luò)層的安全虛擬網(wǎng)（VLAN）技術(shù)主要基于近年發(fā)展的局域網(wǎng)交換技術(shù)。交換技術(shù)將傳統(tǒng)的基于廣播的局域網(wǎng)技術(shù)發(fā)展為面向連接的技術(shù)。以太網(wǎng)是基于廣播機(jī)制的，但應(yīng)用了VLAN技術(shù)后，實(shí)際上轉(zhuǎn)變?yōu)辄c(diǎn)到點(diǎn)通信，除非設(shè)置了監(jiān)聽端口，否則信息交換不會(huì)存在監(jiān)聽和插入問題。VLAN帶來的好處是信息只能到達(dá)應(yīng)該到達(dá)的地點(diǎn)。因此，防止了大部分基于網(wǎng)絡(luò)監(jiān)聽的入侵手段。64TCP/IP傳輸層的安全傳輸層的安全主要包括：傳輸與控制安全、數(shù)據(jù)交換與認(rèn)證安全、數(shù)據(jù)保密性與完整性等。TCP是一個(gè)面向連接的協(xié)議，用于多數(shù)的互聯(lián)網(wǎng)服務(wù)，如HTTP、FTP和SMTP。為了保證傳輸層的安全，Netscape通信公司設(shè)計(jì)了安全套接層協(xié)議SSL(SecureSocketLayer)，現(xiàn)更名為安全傳輸層協(xié)議TLS(TransportLayerSecurity)，主要包括SSL握手協(xié)議和SSL記錄協(xié)議兩個(gè)協(xié)議。SSL握手協(xié)議用來交換版本號(hào)、加密算法、身份認(rèn)證并交換密鑰。SSL記錄協(xié)議涉及應(yīng)用程序提供的信息的分段、壓縮、數(shù)據(jù)認(rèn)證和加密。65TCP/IP應(yīng)用層的安全在應(yīng)用層中，網(wǎng)絡(luò)安全性問題主要出現(xiàn)在需要重點(diǎn)解決的常用應(yīng)用系統(tǒng)（協(xié)議）中，包括HTTP、FTP、SMTP、DNS和Telnet等協(xié)議。網(wǎng)絡(luò)層及傳輸層的安全協(xié)議允許為主機(jī)（進(jìn)程）之間的數(shù)據(jù)通道增加安全屬性。這意味著真正的數(shù)據(jù)通道是建立在主機(jī)或進(jìn)程之間，但卻不能區(qū)分在同一通道上傳輸?shù)囊粋€(gè)具體文件的安全性要求。如果想要區(qū)分一個(gè)具體文件的不同的安全性要求，那就必須借助于應(yīng)用層的安全性。提供應(yīng)用層的安全服務(wù)實(shí)際上是最靈活的處理單個(gè)文件安全性的手段。例如一個(gè)電子郵件系統(tǒng)需要對(duì)發(fā)出的信件的個(gè)別段落實(shí)施數(shù)據(jù)簽名。較低層的協(xié)議提供的安全功能一般不會(huì)知道發(fā)出信件的段落結(jié)構(gòu)，從而不知道該對(duì)哪一部分進(jìn)行簽名。只有應(yīng)用層是唯一能夠提供這種安全服務(wù)的層次。66應(yīng)用層提供安全服務(wù)方案（1）對(duì)每個(gè)應(yīng)用及應(yīng)用協(xié)議分別進(jìn)行修改。IETF規(guī)定了私用強(qiáng)化郵件（PEM）來為基于SMTP的電子郵件系統(tǒng)提供安全服務(wù)。PEM依賴于完全可操作的PKI（公鑰基礎(chǔ)結(jié)構(gòu)）。PEMPKI是按層次組織的，由三個(gè)層次構(gòu)成：頂層為Internet安全政策登記機(jī)構(gòu)（IPRA），次層為安全政策證書頒發(fā)機(jī)構(gòu)（PCA），底層為證書頒發(fā)機(jī)構(gòu)（CA）。PGP（prettyGoodPrivacy）符合PEM的絕大多數(shù)規(guī)范，但不必要求PKI的存在。相反，它采用了分布式的信任模型，即由每個(gè)用戶自己決定該信任哪些其他用戶。因此，PGP不是去推廣一個(gè)全局的PKI，而是讓用戶自己建立自己的信任之網(wǎng)。67應(yīng)用層提供安全服務(wù)方案（2）在Web上使用S-HTTP超文本傳輸協(xié)議的安全增強(qiáng)版本。S-HTTP提供了文件級(jí)的安全機(jī)制，因此每個(gè)文件都可以被設(shè)成私人/簽字狀態(tài)。用作加密及簽名的算法可以由參與通信的收發(fā)雙方協(xié)商。S-HTTP提供了對(duì)多種單向散列（Hash）函數(shù)的支持，如:MD2，MD5及SHA等；對(duì)多種單鑰體制的支持，如:DES，3DES，RC2，RC4；對(duì)數(shù)字簽名體制的支持，如:RSA和DSS。S-HTTP和SSL是從不同角度提供Web的安全性的。S-HTTP對(duì)單個(gè)文件作“私人/簽字”之區(qū)分，而SSL則把參與通信的相應(yīng)進(jìn)程之間的數(shù)據(jù)通道按“私用”和“已認(rèn)證”進(jìn)行監(jiān)管。68應(yīng)用層提供安全服務(wù)方案③為應(yīng)用電子商務(wù)，尤其是信用卡交易制定一系列的安全協(xié)議。為使互聯(lián)網(wǎng)的信用卡交易安全起見，MasterCard公司與IBM，Netscape，GTE和Cybercash等公司制定了安全電子付費(fèi)協(xié)議（SEPP），Visa國(guó)際公司和微軟一起制定了安全交易技術(shù)（STT）協(xié)議。同時(shí)，MasterCard，Visa國(guó)際和微軟已經(jīng)同意聯(lián)手推出互聯(lián)網(wǎng)上的安全信用卡交易服務(wù)。他們發(fā)布了相應(yīng)的安全電子交易（SET）協(xié)議，其中規(guī)定了信用卡持卡人用其信用卡通過互聯(lián)網(wǎng)進(jìn)行付費(fèi)的方法。這套機(jī)制的后臺(tái)有一個(gè)證書頒發(fā)的基礎(chǔ)結(jié)構(gòu)，提供對(duì)X.509證書的支持。69ARP安全ARP（AddressResolutionProtocol）安全是針對(duì)ARP攻擊的一種安全特性，ARP通過嚴(yán)格學(xué)習(xí)、動(dòng)態(tài)ARP檢測(cè)、ARP表項(xiàng)保護(hù)和ARP報(bào)文速率限制等措施來保證網(wǎng)絡(luò)設(shè)備的安全性。ARP安全特性不僅能夠防范針對(duì)ARP協(xié)議的攻擊，還可以防范網(wǎng)段掃描攻擊等基于ARP協(xié)議的攻擊。1.常見ARP攻擊方式（1）ARP泛洪攻擊。通過向網(wǎng)關(guān)發(fā)送大量ARP報(bào)文，導(dǎo)致網(wǎng)關(guān)無法正常響應(yīng)。首先發(fā)送大量的ARP請(qǐng)求報(bào)文，然后又發(fā)送大量虛假的ARP響應(yīng)報(bào)文，從而造成網(wǎng)關(guān)部分的CPU利用率上升難以響應(yīng)正常服務(wù)請(qǐng)求，而且網(wǎng)關(guān)還會(huì)被錯(cuò)誤的ARP表充滿導(dǎo)致無法更新維護(hù)正常ARP表，消耗網(wǎng)絡(luò)帶寬資源，引起整個(gè)網(wǎng)絡(luò)無法正常工作。701.常見ARP攻擊方式（2）ARP欺騙主機(jī)攻擊。攻擊者通過ARP欺騙使得局域網(wǎng)內(nèi)被攻擊主機(jī)發(fā)送給網(wǎng)關(guān)的信息實(shí)際上都發(fā)送給攻擊者。主機(jī)刷新自己的ARP使得在自己的ARP緩存表中對(duì)應(yīng)的MAC地址為攻擊者的MAC地址，這樣一來其他用戶要通過網(wǎng)關(guān)發(fā)送出去的數(shù)據(jù)流就會(huì)發(fā)往主機(jī)這里，這樣就會(huì)造成用戶的數(shù)據(jù)外泄。（3）欺騙網(wǎng)關(guān)攻擊。欺騙網(wǎng)關(guān)就是把別的主機(jī)發(fā)送給網(wǎng)關(guān)的數(shù)據(jù)通過欺騙網(wǎng)關(guān)的形式使得這些數(shù)據(jù)通過網(wǎng)關(guān)發(fā)送給攻擊者。這種攻擊目標(biāo)選擇的不是個(gè)人主機(jī)而是局域網(wǎng)的網(wǎng)關(guān)，這樣就會(huì)攻擊者源源不斷的獲取局域網(wǎng)內(nèi)其他用戶的數(shù)據(jù)，造成數(shù)據(jù)的泄露。711.常見ARP攻擊方式72（4）中間人攻擊。中間人攻擊是同時(shí)欺騙局域網(wǎng)內(nèi)的主機(jī)和網(wǎng)關(guān)，局域網(wǎng)中用戶的數(shù)據(jù)和網(wǎng)關(guān)的數(shù)據(jù)會(huì)發(fā)給同一個(gè)攻擊者，這樣，用戶與網(wǎng)關(guān)的數(shù)據(jù)就會(huì)泄露。（5）IP地址沖突攻擊。通過對(duì)局域網(wǎng)中的物理主機(jī)進(jìn)行掃描，掃描出局域網(wǎng)中的物理主機(jī)的MAC地址，然后根據(jù)物理主機(jī)的MAC地址進(jìn)行攻擊，導(dǎo)致局域網(wǎng)內(nèi)的主機(jī)產(chǎn)生IP地址沖突，影響用戶的網(wǎng)絡(luò)正常使用。2.ARP欺騙原理ARP欺騙是通過冒充網(wǎng)關(guān)或其他主機(jī)使得到達(dá)網(wǎng)關(guān)或主機(jī)的流量通過攻擊手段進(jìn)行轉(zhuǎn)發(fā)。從而控制流量或得到機(jī)密信息。ARP欺騙不是真正使網(wǎng)絡(luò)無法正常通信，而是ARP欺騙發(fā)送虛假信息給局域網(wǎng)中其他的主機(jī)，這些信息中包含網(wǎng)關(guān)的IP地址和主機(jī)的MAC地址；并且也發(fā)送了ARP應(yīng)答給網(wǎng)關(guān)，當(dāng)局域網(wǎng)中主機(jī)和網(wǎng)關(guān)收到ARP應(yīng)答更新ARP表后，主機(jī)和網(wǎng)關(guān)之間的流量就需要通過攻擊主機(jī)進(jìn)行轉(zhuǎn)發(fā)。732.ARP欺騙原理主機(jī)C給網(wǎng)關(guān)E發(fā)送ARP請(qǐng)求說，我的IP地址是IP2，MAC地址為MAC1，網(wǎng)關(guān)收到請(qǐng)求后確認(rèn)，凡是接收到發(fā)往IP2的信息都轉(zhuǎn)發(fā)到主機(jī)C上去了；同樣道理，主機(jī)C給主機(jī)D發(fā)送ARP請(qǐng)求說，我的IP地址是IP3，MAC地址為MAC1，主機(jī)D收到請(qǐng)求后確認(rèn)，之后凡是接收到發(fā)往網(wǎng)關(guān)E的信息都轉(zhuǎn)發(fā)到主機(jī)C上去了。743.ARP攻擊防護(hù)（1）不要把網(wǎng)絡(luò)信任關(guān)系單純地建立在IP基礎(chǔ)上或MAC基礎(chǔ)上，應(yīng)在網(wǎng)絡(luò)中架設(shè)DHCP服務(wù)器，綁定網(wǎng)關(guān)與客戶端IP+MAC。（2）添加靜態(tài)的ARP映射表，不讓主機(jī)刷新設(shè)定好的映射表，該做法適用于網(wǎng)絡(luò)中主機(jī)位置穩(wěn)定，不適用在主機(jī)更換頻繁的局域網(wǎng)中。（3）ARP高速緩存超時(shí)設(shè)置。在ARP高速緩存中的表項(xiàng)一般都要設(shè)置超時(shí)值，縮短這個(gè)超時(shí)值可以有效的防止ARP表的溢出。（4）架設(shè)ARP服務(wù)器。通過該服務(wù)器查找自己的ARP映射表來響應(yīng)其他機(jī)器的ARP廣播。（5）主動(dòng)查詢。在某個(gè)正常的時(shí)刻，做一個(gè)IP和MAC對(duì)應(yīng)的數(shù)據(jù)庫(kù)，以后定期檢查當(dāng)前的IP和MAC對(duì)應(yīng)關(guān)系是否正常，定期檢測(cè)交換機(jī)的流量列表，查看丟包率。（6）使用防火墻等連續(xù)監(jiān)控網(wǎng)絡(luò)。75DHCP安全DHCP（動(dòng)態(tài)主機(jī)配置協(xié)議）是一種網(wǎng)絡(luò)協(xié)議，它使DHCP服務(wù)器/網(wǎng)絡(luò)服務(wù)器能夠?yàn)檎?qǐng)求設(shè)備動(dòng)態(tài)分配IP地址、子網(wǎng)掩碼、默認(rèn)網(wǎng)關(guān)和其他網(wǎng)絡(luò)配置參數(shù)。它通過有效地自動(dòng)分配IP地址并最大限度地減少IP地址浪費(fèi)和IP地址沖突，自動(dòng)執(zhí)行網(wǎng)絡(luò)管理員的普通IP地址配置任務(wù)。DHCP服務(wù)器可以從其地址池中為網(wǎng)絡(luò)設(shè)備動(dòng)態(tài)分配IP地址，并回收它們。761.常見DHCP攻擊方式（1）DHCP服務(wù)器欺騙攻擊。由于DHCP服務(wù)器和DHCP客戶端之間沒有認(rèn)證機(jī)制，所以如果在網(wǎng)絡(luò)上隨意添加一臺(tái)DHCP服務(wù)器，它就可以仿冒DHCP服務(wù)器為客戶端分配IP地址以及其他網(wǎng)絡(luò)參數(shù)。當(dāng)交換機(jī)下接終端通過DHCP申請(qǐng)地址時(shí)，DHCP服務(wù)器仿冒者先于其它DHCP服務(wù)器回應(yīng)并分配地址給客戶端，進(jìn)而引起網(wǎng)絡(luò)地址分配錯(cuò)誤，導(dǎo)致網(wǎng)絡(luò)業(yè)務(wù)異常。（2）DHCP泛洪攻擊。當(dāng)交換機(jī)作為DHCP服務(wù)器或者中繼角色時(shí)，如果惡意用戶發(fā)送大量的DHCP報(bào)文到交換機(jī)，侵占交換機(jī)DHCP處理能力，導(dǎo)致其它合法DHCP交互無法正常進(jìn)行，進(jìn)而導(dǎo)致終端無法申請(qǐng)地址或者無法續(xù)租地址。771.常見DHCP攻擊方式（3）中間人攻擊。首先，中間人向客戶端發(fā)送帶有自己的MAC地址和服務(wù)器IP地址的報(bào)文，讓客戶端學(xué)到中間人的IP和MAC，達(dá)到仿冒DHCPServer的目的。達(dá)到目的后，客戶端發(fā)到DHCP服務(wù)器的報(bào)文都會(huì)經(jīng)過中間人；然后，中間人向服務(wù)器發(fā)送帶有自己MAC和客戶端IP的報(bào)文，讓服務(wù)器學(xué)到中間人的IP和MAC，達(dá)到仿冒客戶端的目的。中間人完成服務(wù)器和客戶端的數(shù)據(jù)交換。在服務(wù)器看來，所有的報(bào)文都是來自或者發(fā)往客戶端；在客戶端看來，所有的報(bào)文也都是來自或者發(fā)往服務(wù)器端。但實(shí)際上這些報(bào)文都是經(jīng)過了中間人的“二手”信息。782.DHCP攻擊防護(hù)DHCP服務(wù)器在與客戶端在IP地址請(qǐng)求和分發(fā)的過程中，缺少認(rèn)證機(jī)制。所以網(wǎng)絡(luò)中如果出現(xiàn)一臺(tái)非法的DHCP服務(wù)器為客戶端提供非法的IP地址，那么就黑客就可以做一些中間人攻擊的操作，給網(wǎng)絡(luò)的安全性帶來了隱患。為了防止DHCP的攻擊，主要從以下兩點(diǎn)進(jìn)行防護(hù)。（1）硬件防護(hù)。在管理交換機(jī)的端口上做MAC地址動(dòng)態(tài)綁定，防止不法客戶端偽造MAC地址。（2）網(wǎng)絡(luò)防護(hù)。在管理交換機(jī)上，除合法的DHCP服務(wù)器所在接口外，全部設(shè)置為禁止發(fā)送DHCPOFFER包。79TCP安全傳輸控制協(xié)議（TCP，TransmissionControlProtocol）是一種面向連接的、可靠的、基于字節(jié)流的傳輸層通信協(xié)議。TCP攻擊是指利用TCP協(xié)議的設(shè)計(jì)缺陷或漏洞，對(duì)目標(biāo)主機(jī)或網(wǎng)絡(luò)進(jìn)行攻擊的行為。TCP攻擊包括TCPSYN泛洪攻擊、TCPSYN掃描攻擊、TCPFIN掃描、TCPLAND攻擊、TCP中間人攻擊和TCP連接重置攻擊等。801.TCP攻擊原理TCP主要特征有：三次握手連接和四次揮手?jǐn)嚅_；進(jìn)行擁塞控制，服務(wù)端還需要單獨(dú)解析協(xié)議內(nèi)容有：少包、丟包、異常響應(yīng)等。三次握手就是建立TCP連接，建立連接時(shí)，需要客戶端和服務(wù)端總共發(fā)送3個(gè)包以確認(rèn)連接的建立。四次揮手?jǐn)嚅_即終止TCP連接，就是指斷開一個(gè)TCP連接時(shí)，需要客戶端和服務(wù)端總共發(fā)送4個(gè)包來確認(rèn)連接是否斷開。TCP攻擊的原理：短時(shí)間內(nèi)偽造大量不存在的IP地址，并向服務(wù)端不斷地發(fā)送數(shù)據(jù)包，服務(wù)端回復(fù)確認(rèn)包，并且等待客戶端的確認(rèn)，由于客戶端的關(guān)閉，導(dǎo)致數(shù)據(jù)端不斷重發(fā)直至超時(shí)，進(jìn)而達(dá)到占用分配資源的目的，導(dǎo)致正常的數(shù)據(jù)請(qǐng)求因?yàn)榉?wù)器已經(jīng)無法接收而被屏蔽，因此網(wǎng)絡(luò)堵塞造成服務(wù)器系統(tǒng)癱瘓。81TCP連接三次握手和斷開四次揮手82連接的三次握手?jǐn)嚅_的四次揮手2.TCPSYN泛洪攻擊TCPSYN泛洪攻擊是利用TCP三次握手過程存在的漏洞，達(dá)到一種DoS（DenialofService）攻擊目的。攻擊者利用TCP協(xié)議中的三次握手過程中存在的漏洞，向目標(biāo)主機(jī)發(fā)送大量偽造的TCPSYN連接請(qǐng)求，目標(biāo)主機(jī)在接收到這些請(qǐng)求后會(huì)向攻擊者回復(fù)TCPSYN-ACK包，然后等待攻擊者響應(yīng)TCPACK包，完成TCP連接的建立。但攻擊者并不會(huì)回復(fù)TCPACK包，而是會(huì)忽略目標(biāo)主機(jī)發(fā)來的TCPSYN-ACK包并持續(xù)發(fā)送TCPSYN連接請(qǐng)求，從而導(dǎo)致目標(biāo)主機(jī)長(zhǎng)時(shí)間等待TCP連接的建立，占用大量資源，最終導(dǎo)致目標(biāo)主機(jī)無法正常工作。832.TCPSYN泛洪攻擊防御策略：●安裝防火墻，利用防火墻的過濾功能，從而間接地過濾掉一部分可能存在的惡意的TCP數(shù)據(jù)包，從而保護(hù)目標(biāo)主機(jī)?！裼肨CPSYNCookie機(jī)制，TCPSYNCookie是一種防止TCPSYN泛洪攻擊的機(jī)制，它可以在不存儲(chǔ)連接信息的情況下，使被攻擊主機(jī)正確處理TCP連接請(qǐng)求?！裣拗芓CP連接數(shù)，通過限制TCP連接數(shù)，可以減少TCPSYN泛洪攻擊的危害。843.TCPSYN掃描攻擊TCPSYN掃描攻擊可以掃描到被攻擊主機(jī)所支持的TCP開放端口，從而可以進(jìn)一步發(fā)現(xiàn)被攻擊主機(jī)的一些其他信息。原理：當(dāng)攻擊者向被攻擊主機(jī)某個(gè)端口發(fā)送第一次握手連接，如果被攻擊主機(jī)此端口在TCP監(jiān)聽狀態(tài)，則會(huì)向攻擊者發(fā)送第二次握手包。根據(jù)TCP協(xié)議連接時(shí)三次握手規(guī)范，此時(shí)被攻擊主機(jī)在等待攻擊者發(fā)送第三次握手包。但此時(shí)攻擊者并不會(huì)響應(yīng)第三次握手，而是會(huì)迅速發(fā)送TCPRST包，也會(huì)避免對(duì)方記錄連接信息。以一種無痕跡的方式獲取到了目標(biāo)主機(jī)的開放端口。當(dāng)攻擊者獲取到某一個(gè)端口狀態(tài)時(shí)，繼續(xù)切換到下一端口，按照以上步驟再次發(fā)送TCPSYN掃描攻擊，直到所有端口掃描完畢。853.TCPSYN掃描攻擊防御策略：●安裝防火墻。可以利用防火墻的過濾功能，從而間接地過濾掉一部分可能存在的惡意的TCP數(shù)據(jù)包，從而保護(hù)目標(biāo)主機(jī)?！耜P(guān)閉不經(jīng)常使用的服務(wù)，不允許隨意安裝APP，也可以減少系統(tǒng)的漏洞，使系統(tǒng)的安全性進(jìn)一步提高?！袷褂肐DS（入侵檢測(cè)系統(tǒng)和入侵防御系統(tǒng)）防御設(shè)備，也可以有針對(duì)性地、及時(shí)地發(fā)現(xiàn)攻擊者是否在進(jìn)行TCPSYN掃描，使得目標(biāo)機(jī)系統(tǒng)安全得到提升。864.TCPFIN掃描攻擊（1）TCPFIN掃描攻擊。TCPFIN掃描攻擊，英文為“TCPFINScanAttack”。TCPFIN掃描攻擊屬于TCP協(xié)議存在的一種漏洞，TCPFIN掃描攻擊與TCPSYN掃描攻擊實(shí)現(xiàn)的目的一致，都是為了獲得目標(biāo)主機(jī)開放的端口，從而獲取目標(biāo)主機(jī)的一些其他信息。TCPFIN掃描攻擊是一種無痕跡掃描，攻擊掃描期間并不會(huì)與對(duì)方建立連接。因此也不會(huì)被對(duì)方記錄連接信息。當(dāng)攻擊者獲取到某一個(gè)端口狀態(tài)時(shí)，可以繼續(xù)切換到下一端口，按照以上步驟再次發(fā)送TCPFIN掃描攻擊，直到所有端口掃描完畢。（2）防御策略。針對(duì)TCPFIN掃描攻擊，也可以制定一些相應(yīng)的方法進(jìn)行防御。如安裝防火墻，關(guān)閉不經(jīng)常使用服務(wù)等。875.TCPLAND攻擊TCPLand攻擊，是一種利用TCP協(xié)議中的漏洞進(jìn)行的攻擊。它的主要原理是偽造一個(gè)TCP數(shù)據(jù)包，并在該數(shù)據(jù)包的源IP地址和目標(biāo)IP地址中都填寫相同的IP地址，從而使目標(biāo)主機(jī)陷入死循環(huán)，無法與其他主機(jī)通信。TCPLAND攻擊利用了TCP協(xié)議中的SYN標(biāo)志位。攻擊者發(fā)送一個(gè)偽造的TCPSYN數(shù)據(jù)包（SYN標(biāo)志位被設(shè)置為1）給目標(biāo)主機(jī)，并且將源IP地址和目標(biāo)IP地址都被設(shè)置為目標(biāo)主機(jī)的IP地址。當(dāng)目標(biāo)主機(jī)接收到這個(gè)數(shù)據(jù)包時(shí)，它會(huì)認(rèn)為這是一個(gè)新的TCP連接請(qǐng)求，并嘗試發(fā)送一個(gè)SYNACK數(shù)據(jù)包作為響應(yīng)。但是，由于源IP地址和目標(biāo)IP地址都為目標(biāo)主機(jī)本身，目標(biāo)主機(jī)會(huì)一直向自己發(fā)送數(shù)據(jù)，最終導(dǎo)致系統(tǒng)崩潰或網(wǎng)絡(luò)擁堵。885.TCPLAND攻擊防御策略：TCPLAND攻擊是一種常見的DoS攻擊手段，可以通過配置防火墻，限制TCP的源地址是本地地址，配置網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)實(shí)時(shí)檢測(cè)網(wǎng)絡(luò)中的流量信息，當(dāng)發(fā)現(xiàn)異常流量時(shí)及時(shí)上報(bào)提醒，防止TCPLAND攻擊等類型的拒絕服務(wù)攻擊。896.TCP中間人攻擊TCP中間人攻擊是攻擊者在網(wǎng)絡(luò)中對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行監(jiān)聽和分析，當(dāng)攻擊者獲取到客戶端的TCP會(huì)話序列號(hào)及確認(rèn)號(hào)后，就可以偽造TCP數(shù)據(jù)包來冒充客戶端與服務(wù)器進(jìn)行通信。攻擊者通過這種方式可以繞過服務(wù)器的認(rèn)證和授權(quán)機(jī)制，進(jìn)而實(shí)現(xiàn)各種攻擊目的。中間人攻擊，包括TCP會(huì)話劫持和TCP連接重置兩種實(shí)現(xiàn)方式。90PSH包的出現(xiàn)，表示有數(shù)據(jù)傳輸。6.TCP中間人攻擊91●TCP會(huì)話劫持。是指攻擊者通過監(jiān)聽或者篡改網(wǎng)絡(luò)流量，獲取到合法用戶的TCP會(huì)話信息，然后利用這些信息來冒充合法用戶與服務(wù)器或其他合法用戶進(jìn)行通信的一種攻擊行為。攻擊者利用TCP會(huì)話劫持可以實(shí)施多種攻擊，如竊取用戶信息、篡改用戶數(shù)據(jù)、劫持會(huì)話等。●TCP連接重置攻擊。攻擊者通過向通信的一方或雙方發(fā)送偽造的TCP重置包，告訴它們立即斷開連接，從而使通信雙方連接中斷。如果偽造的重置報(bào)文段完全逼真，接收者就會(huì)認(rèn)為它有效，并關(guān)閉TCP連接，防止連接被用來進(jìn)一步交換信息。服務(wù)端可以創(chuàng)建一個(gè)新的TCP連接來恢復(fù)通信，但仍然可能會(huì)被攻擊者重置連接。6.TCP中間人攻擊一般情況下，攻擊者需要一定的時(shí)間來組裝和發(fā)送偽造的報(bào)文，所以這種攻擊只對(duì)長(zhǎng)連接有殺傷力，對(duì)于短連接而言，攻擊者還沒完成攻擊，服務(wù)器和客戶機(jī)已經(jīng)完成了信息交換。防御策略：●使