网络安全基本知识点

五大基本要素：

常见的网络攻击

根据是否直接影响源站和目的站的通信内容分为被动攻击（不影响）和主动攻击（影响）

重放攻击:是指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证的过程，一般通过时间戳、序列号等技术来解决。

具体的网络攻击手段

DoS 攻击名称	说明
SYN Flood	需要为 TCP 连接分配内存，从而使其他功能不能分配足够的内存。三次握手，进行了两次（SYN）（SYN/ACK），不进行第三次握手（ACK），连接队列处于等待状态，大量的这样的等待，占满全部队列空间，系统挂起。60S 系统自动 RST，但系统已经崩溃。破坏的是可用性
UDP Flood	UDP Flood 攻击的原理与 ICMP Flood 攻击类似，攻击者通过发送大量的伪造源地址的 UDP 报文给目标计算机，导致目标计算机忙于处理这些 UDP 报文而无法继续处理正常的报文。
ACK Flood	ACK Flood 攻击的目的是通过使用垃圾数据来减慢攻击目标的速度或使其崩溃，从而导致拒绝向其他用户提供服务。目标服务器被迫处理接收到的每个 ACK 数据包，消耗太多计算能力，以至于无法为合法用户提供服务。

拒绝服务攻击名称	说明
Teardrop 攻击	攻击者获取 IP 数据包后，把偏移字段设置成不正确的值，接收端在收到这些分拆的数据包后，就不能按数据包中的偏移字段值正确组合出被拆分的数据包，这样，接收端会不停的尝试，以至操作系统因资源耗尽而崩溃。
Smurf 攻击	攻击者向目标网络发送 ICMP 应答请求报文，该报文的目标地址设置为目标网络的广播地址，这样，目标网络的所有主机都对此 ICMP 应答请求作出答复，导致网络阻塞。
LAND 攻击	攻击者发送 SYN 报文的源地址和目标地址同为被攻击者的 IP 地址，导致被攻击者向其自己的地址发送 SYN-ACK 消息，使被攻击者主机存在大量空连接。不同被攻击者对 Land 攻击反应不同，UNIX 主机将崩溃，Windows NT 主机的运行状态会变的极其缓慢。
Ping of Death	攻击者只需不断的通过 Ping 命令向攻击目标发送超过 65535 字节的报文，就可以使目标对象的 TCP/IP 堆栈崩溃，致使接收方死机。
CC 攻击	CC 攻击常用于攻击提供网页访问服务的服务器。攻击者通过代理服务器向目标服务器发送大量貌似合法的请求，使 CPU 长时间处于高负荷运行状态，永远都有处理不完的连接。攻击会导致正常访问被中止，最终宕机崩溃。
ICMP Flood 攻击	通常情况下，网络管理员会用 PING 程序对网络进行监控和故障排除，这个过程是需要 CPU 处理的，在有些情况下还可能消耗掉大量的资源。如果攻击者向目标计算机发送大量的 ICMP ECHO 报文（产生 ICMP 洪水），则目标计算机会忙于处理这些 ECHO 报文，而无法继续处理其他的数据报文。

常见的网络攻击及其特点

常见网络攻击	特点	如何防范
网络监听	使用 sniffer 软件或主机接口设置成混杂模式，监听网络中的报文	加密技术
重放攻击	指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程	时间戳、序列号
拒绝服务攻击 DOS	通过发送大量非正常报文，以消耗目标主机资源，使其宕机（破坏其可用性），如 SYN Flooding	流量清洗   部署 CDN   防火墙、IPS
分布式拒绝服务攻击 DDOS	比 DOS 攻击力度更大，隐藏性更好

其它常见的网络攻击及其特点

常见网络攻击	特点	如何防范
SQL 注入	使用 SQL 注入语句实现的攻击，导致 WEB 的数据库信息被篡改或窃取（关键词：select / 恒等式类似 '1=1'）	使用参数化的过滤性语句・WAF、防火墙、IPS
跨站脚本攻击 XSS	向有 XSS 漏洞的网站中传入恶意的 Script 代码，实现弹出 alert、盗取用户 Cookie、重定向到其他网站等               （关键词：<script>）
跨站请求伪造 CSRF	通过挟制当前用户已登录的 Web 应用程序从而实现非用户本意的操作的攻击方法	验证 HTTP Referer 字段、在请求地址中添加 Token 并验证、使用验证码、WAF
APT 攻击	长期持续性攻击、终端性、横向渗透、零日漏洞等	沙箱、态势感知
一句话木马	关键词：eval	禁止写入 php 等

计算机病毒

计算机病毒

• 定义：计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。
• 特征：可执行性、传染性、破坏性、潜伏性、隐蔽性、针对性、触发性。

病毒命名规则：病毒前缀.病毒名.病毒后缀

• 前缀：trojan、Hack、worm、macro、script

病毒类型	特征	危害
宏病毒（macro）	针对 Office 的一种病毒，由 Office 的宏语言编写	只感染 Office 文档，其中以 Word 文档为主
脚本病毒（script）	通过 IE 浏览器激活	用户浏览网页时会感染，清除较容易
蠕虫（worm）	一种能够自我复制的病毒，它主要通过寻找系统漏洞（如 Windows 系统漏洞、网络服务器漏洞等）进行传播。	破坏文件、造成数据丢失，使系统无法正常运行，是目前危害性最大的病毒
木马（trojan）	通常是病毒携带的一个附属程序	夺取计算机控制权,可以远程控制
勒索病毒	勒索软件对文件加密，加密后的文件后缀统一修改为”.WNCRY”、或_locked 类似的后缀	勒索病毒是一种恶意软件，通过加密用户设备上的文件，限制对其访问，然后勒索用户支付赎金以获取解密密钥。
挖矿病毒	挖矿木马通常通过恶意下载链接、感染网站或电子邮件附件传播	挖矿木马是一种恶意软件，通过感染受害者的设备，利用其计算能力进行加密货币挖矿。导致设备性能下降、电力成本上升，并对个人及企业网络安全构成威胁。

计算机病毒的预防方法： 1、安装杀毒软件及网络防火墙，及时更新病毒库，从网络下载文件后及                                                时杀毒；

                                         2、及时更新操作系统的补丁；

                                         3、关闭多余端口，做到使电脑在合理的使用范围之内；

                                         4、加强安全意识，不打开来路不明的邮件，浏览网页时不随意点击不                                                  确定的链接。

网络安全控制技术

对比项	PPPOE 认证	IPOE 认证
适合场景	主要应用于高速上网业务和光纤宽带拨号上网业务	主要应用于 IPTV 和 VoIP
客户端需求	需要	不需要
优点	认证方式可管理性强，具有较高的安全性	自主管理 IP 地址的使用期限、无需客户端软件，操作简单
缺点	增加了 PPPOE 层和 PPP 层、处理流程复杂，限制了网络的使用范围和组播业务的开展	需要配合其他协议来进行认证

对比项	802.1X 认证	MAC 认证	Portal 认证
适合场景	新建网络、用户集中、信息安全要求严格的场景	打印机、传真机等哑终端接入认证的场景	用户分散、用户流动性大的场景
客户端需求	需要	不需要	不需要
优点	安全性高	无需安装客户端	部署灵活
缺点	部署不灵活	需登记 MAC 地址，管理复杂	安全性不高

加密技术

Kerchkoffs 原则：一个安全保护系统的安全性不是建立在它的算法对于对手来说是保密的，而是应该建立在它所选择的密钥对于对手来说是保密的。

密码体制 

• 密码技术是保障网络与信息安全的基础与核心 
• 按照密钥是否可以公开，可以把密码体制分为对称加密体制和非对称加密体制。

①对称加密

加密和解密使用同一个密钥（也称为会话密钥），密钥不公开。

②非对称加密

使用一对密钥（公钥和私钥），加密和解密使用不同的密钥，其中公钥可以公开。

对称加密特点

优点：加解密速度快，适合用于对长报文（大量的原文消息）的加解密

缺点：存在密钥管理与同步的问题

常见对称加密算法		密钥长度	说明
分组加密（块加密）	DES	56 位	易实现、加密速度快，易破译（对明文做初始置换）
	3DES	112 位	三重 DES、加密速度快
	IDEA	128 位	更加安全，加密速度快
	AES	128/192/256 位	美国高级加密标准（更高安全性）
	SM4	128 位	无线局域网标准的分组数据算法，属于国密算法
	SM1		属于国密算法，算法不公开
流加密	RC4	64 位 / 128 位	加密速度快，RC 后面的数字对应版本

非对称加密

每个通信方都有自己的一对密钥（公开密钥和私有密钥），公开密钥可以公开，而私有密钥不能公开，同时拥有已知公钥无法推导出私钥的特性。

用接收方公钥加密，则其对应的私钥可以解密，实现的是保密通信。

用发送方私钥加密，则其对应的公钥可以解密，实现的是数字签名。

非对称加密特点

优点：不存在密钥管理与同步的问题

缺点：加解密速度慢，适合对少量数据的加解密

	加解密速度	密钥同步	应用场景
对称加密	快	需要	加密大量数据
非对称加密	慢	不需要	加密少量数据

数字签名

数字签名的功能

基于非对称加密体制实现，使得 A 向 B 发送签了名的消息 P，可以达到：

① B 可以验证消息 P 是由 A 发送的（验证发送方身份）

② A 不能不认发送过消息 P（不可抵赖）

③ B 不能编造或改变消息 P（完整性得到保证）

作用：

	实现原理	作用
数字签名	发送方用自己的私钥签名，签名不可重用         接收方用对应的公钥核实签名	验证发送方身份    不可抵赖    完整性得到保证

数字证书的作用

	实现原理	作用
数字证书	・证书签证机关（CA）的签名 ・使用 CA 的公钥核实签名	・对用户公钥的认证
证书的格式	X.509
证书吊销列表 CRL	用于存放被撤销的证书。

报文摘要

报文摘要功能

由于报文摘要是原报文唯一的压缩表示，能唯一代表原报文的特征，可用于实现报文鉴别，即对报文完整性进行鉴别，也叫作数字指纹(哈希值)

报文摘要算法特点：

• 固定长度的输出
• 单向性
• 唯一性

常见的报文摘要算法

• MD5：产生 128 位的输出
• SHA（安全散列算法）：SHA-1 产生 160 位的输出，SHA-1 已被 SHA-2、SHA-3 所替代
• SM3（杂凑算法）：产生 256 位的输出
• HMAC 算法（真正实现报文鉴别）

报文摘要算法	摘要长度	作用
MD5	128 位	报文完整性鉴别
SHA-1	160 位	报文完整性鉴别

Kerberos 认证服务

Kerberos 认证服务	说明
作用	安全分发对称密钥
AS	认证服务器：发放初始票据
TGS	票据授予服务器：分发会话密钥
时间戳	防止重放攻击

SSL 协议

➢SSL 协议（安全套接层协议）

安全套接层（Secure Socket Layer，SSL）协议是 Web 浏览器与 Web 服务器之间安全交换信息的协议，即可与 HTTP 协议结合，称之为 HTTPS 协议。

在传输层采用 TCP 协议，端口号为443。

➢SSL 功能

①SSL 服务器鉴别

②加密的 SSL 会话

③SSL 客户端鉴别（可选）

TLS协议---SSL的升级版

安全的电子交易协议 SET

• SET 专门为与支付有关的报文进行加密
• SET 协议涉及到三方：客户、商家、银行
• SET 要求三方都有证书

SSL/TLS 协议原理及功能

安全协议	相关要点	功能
SSL/TLS	・常与 HTTP 协议结合形成安全的应用层协议 HTTPS ・传输层使用 TCP，443 端口	・服务器鉴别（数字证书） ・加密的 WEB 传输・报文完整性
SET	・安全的电子交易协议

PGP 协议

电子邮件加密软件包，可实现电子邮件的机密传输，并保证其完整性。

注：PGP 默认使用 MD5 进行数据完整性验证。

安全协议	相关考点	功能
PGP	・使用 MD5 进行完整性验证	・安全的电子邮件协议 ・加密、完整性验证  ・发送方的身份验证

网闸

又称安全隔离与信息交换系统（GAP），是新一代高安全度的企业级信息安全防护设备， 它依托安全隔离技术为信息网络提供更高层次的安全防护能力，不仅使得信息网络的抗攻击能力大大增强，而且有效地防范了信息外泄事件的发生。使用的是分时连接

特点：

安全应用	部署位置	关键词
网闸	直连式	・电子政务内网和电子政务外网之间 ・物理隔离 ・应用协议中断 ・数据摆渡

防火墙

防火墙是由软件、硬件构成的网络边界防护系统，用来在两个网络之间实施访问控制策略

防火墙发展历程：访问控制越来越精细、防护能力越来越强、性能越来越高

防火墙的安全区域

区域名称	默认安全优先级
非授信区域（untrust）	低安全级别区域，优先级为 5。  （外网 比如因特网）
非军事化区域（dmz）	中等安全级别区域，优先级为 50，放对外提供服务的公共服务器。
授信区域（trust）	较高安全级别区域，优先级为 85。 （用来连接内网)
本地区域（local）	Local 区域定义的是设备本身，例如设备的接口。Local 区域是最高安全级别区域，优先级为 100。

安全区域间流动方向：

入方向（inbound）：低优先级 —— 高优先级

出方向（outbound）：高优先级 —— 低优先级

防火墙的作用

	部署位置	功能
防火墙	① 内外网网络边界 ② 单独对某个网络进行保护	・保护内网，安全网关 ・包过滤，访问控制 ・日志记录和代理

防火墙的安全区域

防火墙	安全区域	说明
安全区域	Untrust（5） DMZ（50） Trust（85） Local（100）	Inbound：低到高 Outbound：高到低

防火墙模式

① 路由模式：有IP地址可以充当路由来使用，可以支持NAT VPN 可以实现访问控制

② 透明模式：接口没有IP地址类似于一个交换机

③ 混合模式：有些接口有IP地址有些接口没有IP地址 一般应用于VRRP中

常见防火墙类型（三种）

① 包过滤防火墙：工作在 OSI 参考模型的网络层，它根据数据包头源地址、目的地址、端口号和协议类型等标志确定是否允许数据包通过。

② 状态检测型防火墙：工作在网络层，是包过滤防火墙的升级，它可以动态地根据实际应用需求，自动生成或删除包过滤规则；

这种防火墙不但能根据数据包的源地址、目标地址、协议类型、源端口、目标端口等对数据包进行控制，而且能通过记录防火墙的连接状态，直接对包里的数据进行处理；

会建立一个会话表

Web 应用防火墙（WAF）

Web 应用防火墙（Web Application Firewall，WAF）是一种用于 HTTP（HTTPS）应用的防火墙，工作在应用层，除了拦截具体的 IP 地址或者端口，WAF 可以更深入的检测 Web 流量，通过匹配 Web 攻击特征库，发现攻击并阻断。

 WAF 通常包括以下功能：

（1）Web 攻击防护，通过特征匹配阻断 SQL 注入、跨站脚本攻击、Web 扫描等攻击行为。

（2）Web 登录攻击防护，包括暴力破解防护、撞库防护、弱口令防护等。

（3）漏洞利用防护，包括反序列化漏洞利用、远程命令执行利用等其他软件漏洞利用攻击。

（4）Web 恶意行为防护，包括恶意注册防护、高频交易防护、薅羊毛行为防护、短信验证码滥刷防护等。

（5）恶意流量防护，包括 CC 攻击防护、人机识别等。

防火墙的模式与类型

防火墙	说明
防火墙模式	路由模式（IP 地址 & NAT） 透明模式（交换机） 混合模式
防火墙类型	包过滤防火墙：三层（检查源目 IP / 端口 / 协议） 状态检测型防火墙：三层（连接状态表） 代理型防火墙：应用层（安全级别最高，速率最慢）

VPN技术

VPN 即虚拟专用网，在公用网络上构建的虚拟专用网络。VPN 用户在此虚拟网络中传输私网流量，在不改变网络现状的情况下实现安全、可靠的连接。

VPN 技术的基本原理是利用隧道（Tunnel）技术，对传输报文进行封装，利用 VPN 骨干网建立专用数据传输通道，实现报文的安全传输。

位于隧道两端的 VPN 网关，通过对原始报文的 “封装” 和 “解封装”，建立一个点到点的虚拟通信隧道。

VPN - 按隧道协议分类：

1、第二层隧道协议，如 L2TP，L2TP 集合了 PPTP 和 L2F 两种协议的优点，目前已被广泛接受，主要应用在单个或少数远程终端通过公共网络接入企业内联网的需要。L2TP 对传输的数据不加密，但可以和因特网协议安全协议 IPSec（Internet Protocol Security）结合应用，为数据传输提供高度的安全保证。相对于 PPTP，支持多协议传输。

2、第三层隧道协议，如 IPSec、GRE 介于第二层和第三层之间的隧道协议，如 MPLS VPN

3、应用层 VPN：SSL VPN

 

IPSec VPN

• IPSec 是 IP Security 的简称，它的目的是为 IP 报文提供高安全特性。
• 在特定的通信方之间在 IP 层通过加密和数据摘要（hash）等手段，来保证数据包在 Internet 网上传输时的私密性（confidentiality）、完整性（data integrity）和真实性（origin authentication）。

IPsec 两个安全协议

• AH：提供完整性和数据源认证功能，不提供机密性保护，无法兼容 NAT。
• ESP：AH + 机密性保护，能兼容 NAT。
• 密钥管理协议 IKE：
• IKE SA：主模式和野蛮模式
• IPSEC SA：快速模式

传输模式和隧道模式的区别在于：

1、从安全性来讲，隧道模式优于传输模式。它可以完全地对原始 IP 数据包进行验证和加密。隧道模式下可以隐藏内部 IP 地址、协议类型和端口。

2、从性能来讲，隧道模式因为有一个额外的 IP 头，所以它将比传输模式占用更多带宽。

3、从场景来讲，传输模式主要应用于两台主机或一台主机和一台 VPN 网关之间通信；隧道模式主要应用于两台 VPN 网关之间或一台主机与一台 VPN 网关之间的通信。

IDS和IPS

IDS（入侵检测技术）

IDS 作为防火墙之后的第二道安全屏障，通过从计算机系统或网络中的若干关键点收集网络的安全日志、用户的行为和审计记录等信息并对其进行分析，从中检查出入侵迹象（外网及内网），并根据检测结果，自动做出响应。

模块	相关操作	说明
事件产生器	负责数据的采集并转换为事件	如系统或网络的日志文件、不期望的行为等等
事件分析器	分析是否有入侵行为	如模式匹配、完整性分析、系统分析
事件数据库	存储有关数据（或事件）	是一个数据库
响应单元	根据报警做出各种反应	向管理员发出警报或与防火墙联动，由防火墙对网络攻击行为实施阻断

IDS 的部署

IDS 旁路部署在交换机旁，接收交换机镜像流量进行检测 只检测威胁不干预转发。

旁路模式主要用来记录各类攻击事件，进而进行网络安全事件审计和用户行为分析。

IPS（入侵防御技术）

入侵防御是一种安全机制，通过分析网络流量，检测入侵（包括缓冲区溢出攻击、木马、蠕虫等），并通过一定的响应方式，实时地终止入侵行为，保护企业信息系统和网络架构免受侵害。 一般采用直路部署的方式连接在要保护网络的前面。也可以采用旁路部署方式连接在交换机的镜像接口上。（IDS）。

IDS 和 IPS 的功能及部署

	功能	部署方式	响应能力
IDS	入侵检测	旁路部署	入侵行为记入日志并向管理员发出警报
IPS	入侵防御	直路部署	对入侵行为主动进行防御