软考中级网络工程师-第八章

网络安全基础

网络安全威胁类型

(1)窃听:例如搭线窃听、安装通信监视器和读取网上的信息等。

(2)假冒:当一个实体假扮成另一个实体进行网络活动时就发生了假冒。

(3)重放:重复一份报文或报文的一部分，以便产生一个被授权效果。

(4)流量分析:对网上信息流观察和分析推断出网上传输的有用信息 。

(5)数据完整性破坏:有意或无意地修改或破坏信息系统，或者在非授权和不能监测的方式下对数据进行修改。

(6)拒绝服务:当一个授权实体不能获得应有的对网络资源的访问。 SYN-Flooding

(7)资源的非授权使用:即与所定义的安全策略不一致的使用,

(8)陷门和特洛伊木马:通过替换系统合法程序，或者在合法程序里插入恶意代码

网络安全漏洞

• 物理安全性、软件安全漏洞、不兼容使用安全漏洞、选择合适的安全哲理

网络攻击

• 被动攻击：典型的是监听、最难被检测、重点是预防、主要手段是加密

• 主动攻击：假冒、重放、欺骗、消息篡改和拒绝服务、重点是检测不是预防，手段有防火墙、IDS技术

• 物理攻击、内部人员攻击、分发攻击：软件开发出来未安装被篡改

基本安全技术

• 数据加密、数字签名、身份认证、防火墙、入侵检测、内容检查

现代加密技术

• 共享密钥加密算法/对称加密算法：加密解密一样
• 公钥加密算法/非对称加密算法：加密解密不一样

共享密钥算法/对称加密算法 DES/3DES/IDEA

• 数据加密标准(DES)：每一个分组为64位，产生一组64位密文，使用56位密钥

• 3DES：使用两个密钥，指向三次DES算法，密钥长度112位

• 国际数据加密算法(IDEA)使用128位密钥，使用硬软件实现，比DES快

• 高级加密标准(AES)：支持128，192，256位密钥，可以通过硬件实现

• 流加密算法和RC4：加密速度快，可以达到DES 10倍

公钥加密算法(RSA)

• 每个实体有两个密钥：公钥公开 私钥自己保存
• 公钥加密 私钥解密，实现保密通信
• 私钥加密 公钥解密，实现数字签名

数字签名

• 用于确认发送者身份和消息完整性的加密消息摘要
  1.接收者能够核实发送者
  2.发送者事后不能抵赖报文的签名
  3.接收者不能伪造对报文的签名

报文摘要

• 哈希 Hash(散列函数)
  常见的有：MD5、SHA
• 将一段数据(任意长度)经过一道运算，转换为一段定长的数据
• 不可逆性(单向) 几乎无法通过HASH结果推导出原文，即无法通过x的HASH值推导出x
• 无碰撞性 几乎没有可能找到一个y，使得y的Hash值等于x的Hash值
• 雪崩效应 输入轻微变化，Hash输出值产生巨大变化

用户密码的存储

• 明文存储，无安全防护
• 哈希存储
• (时间+哈希)存储 彩虹表失效

HMAC

• 增加一个key做哈希 HMAC = Hash（文件+key）
• 双方预先知道key
• HMAC 消除中间人攻击，源认证＋完整性校验(数字签名也可以实现)

报文摘要算法

• MD5：对任意长度报文进行运算，先把报文按512位分组，最后得到128位报文摘要

• SHA：对512位长的数据块进行复杂运行，最终产生160位散列值，比MD5安全，计算比MD5慢

数字证书与CA(电子商务认证授权机构)

• 数字证书 所有者公钥、CA认证。

证书链

• 用户数量很多，通常由多个CA机构为用户发行证书
• 如果两个机构彼此间安全交换公钥，彼此信任，那么他们的证书可以形成证书链

A通过证书链获得B的公钥，证书链表示为 XA《XB》XB《B》

虚拟专网

• 虚拟专用网(VPN)
• 一种建立在公网上的，由某一组织或某一群用户专用的通信网络
  1.二层VPN：L2TP和PPTP(基于PPP)
  2.三层VPN：IPSec和GRE
  3.四层VPN：SSL

实现VPN的关键技术

• 隧道技术
• 加解密技术
• 密钥管理技术
• 身份认证技术

VPN解决方案

• 内联网VPN：实现总分机构互联
• 外联网VPN：实现兄弟机构互联

二层隧道协议

• 二层隧道协议有PPTP和L2TP，都是把数据封装在PPP帧中在因特网上传输
• PPP协议:点对点链路上传输多种上层协议的数据包，有校验位
  PPP包含链路控制协议LCP和网络控制协议NCP

PPP协议认证功能 PAP和CHAP(重点)

• PAP：两次握手验证协议，口令以明文推送，被验证方首先发起请求
• CHAP：三次握手，认证过程不传送认证口令，传送MMAC散列值
  

协议    上层协议    地址协商    错误检测
PPP      多协议       能         可以
HDLC     IP          不能        可以

IPSEC原理

• IPSEC：是IETF定义的一组协议(可以自由的去组合)，用于增强IP网络的安全性
• IPsec协议集提供如下安全服务
  数据完整性、认证、保密性、应用透明安全性(对上层透明)
• 相当于IPv6的子集，因为IPv4数据没有经过加密的无法保证安全，所以引入了IPsec协议

功能：认证头(AH)，封装安全负荷(ESP)，internet密钥交换协议(IKE)

• 认证头(AH)：提供数据完整性和数据源认证，不提供数据保密服务 MD5、SHA
• 封装安全负荷(ESP)：提供数据加密功能，加密算法有DES、3DES、AES
• Internet密钥交换协议(IKE)：用于密钥生成和分发在ESP和AH中使用的密钥

IPsec的两种封装模式

SSL与HTTPS

• 安全套接层(SSL)是Netscape1994年开发的传输层安全协议，面向用于实现Web安全通信

• 1999年，IETF基于SSL3.0版本，制定传输层安全标准TLS

• SSL(基于TCP的443端口)/TLS在Web安全通信中称为HTTPS

应用层协议

• S-HTTP 安全的超文本传输协议
  语法与HTTP一样，而报文头有所区别，进行了加密

PGP

• PGP：是一个完整的电子邮件安全软件包，PGP提供数据加密和数字签名两种服务，采用RSA公钥证书进行身份认证，使用IDEA进行数据加密，使用MD5进行数据完整性验证。

优势：支持多平台、基于比较安全的算法、加密文件和电子邮件、个人通信、应用集成PGP

• S/MIME：提供电子邮件安全服务
• SET：安全的电子交易，用于保障电子商务安全
• Kerberos：用于身份认证的安全协议，支持AAA：认证、授权、审计

防火墙技术

• 实现内部网络(信任网络)与外部网络(不可信任网络)之间或者内部网络不同区域隔离与访问控制
• 技术：包过滤、状态化防火墙、应用层网关、应用层检测DPI
  防火墙工作层次越高，工作效率越低、安全性越高
• ACL数据包检查：源地址、目的地址、协议号

计算机病毒与防护

• 病毒：指一段可执行的程序代码，对其他程序进行修改、可以感染这些程序使其有该病毒的一个拷贝

• 病毒的四个阶段：
  1.潜伏阶段(震网病毒)
  2.繁殖阶段(勒索病毒)
  3.触发阶段(震网病毒)
  4.执行阶段

病毒分类与命名规则

• 病毒名称一般格式<病毒前缀><病毒名><病毒后缀>

Worm.Sasser.b
 |     |    |
 |     |    v
 |     v    病毒变种b
 v     病毒名：震荡波家族
 病毒种类：蠕虫病毒

IDS(入侵检测)与IPS(入侵防御)

• IDS是防火墙之后的第二道安全屏障

CIDF体系架构

• 事件分析器
  1.模式匹配
  2.统计分析
  3.数据完整性分析

• 事件产生器
  1.负责数据采集

• 事件数据库
  1.存放结果和数据

入侵检测系统的数据源

• OS审计记录/OS日志
• 网络数据：核心交换机镜像，服务器接入交换机镜像

入侵检测系统分类

按信息来源分：HIDS、NIDS、DIDS（主机/网络/分布式）

按响应方式分：实时检测和非实时检测

• 按数据分析技术和处理方式分：异常检测、误用检测和混合检测

(1)异常检测：建立并不断更新和维护系统正常行为的轮廓，定义报警阈值，超过阈值则报警能够检测从未出现的攻击，但误报率高

(2)误用检测：对已知的入侵行为特征进行提取，形成入侵模式库，匹配则进行报警已知入侵检测准确率高，对于未知入侵检测准确率低，高度依赖特征库，专家系统和模式匹配

• 还有一个简单匹配

入侵防御系统

定义：入侵防御系统是一种抢先的网络安全检测和防御系统，能检测出攻击并积极响应。

• IPS不仅具有入侵检测系统检测攻击行为的能力，而且具有拦截攻击并阻断攻击的功能。

• IPS不是IDS和防火墙功能的简单组合，IPS在攻击响应上采取的是主动的全面深层次的防御。

• IPS(防御)串行部署，IDS(检测)旁路部署