网络攻击防范模型

1、第一篇 网络攻击与防范概论第3章网络攻击与防范模型 第一篇 网络攻击与防范概论 对正常的网络行为建立模型，把所有通过对正常的网络行为建立模型，把所有通过安全设备的网络数据拿来和保存在模型内的安全设备的网络数据拿来和保存在模型内的正常模式相匹配，如果不是这个正常范围以正常模式相匹配，如果不是这个正常范围以内，那么就认为是攻击行为，对其做出处理。内，那么就认为是攻击行为，对其做出处理。这样做的最大好处是可以阻挡未知攻击。这样做的最大好处是可以阻挡未知攻击。第第3 3章章 网络攻击与防范模型网络攻击与防范模型3.1 网络攻击的整体模型网络攻击的整体模型3.2 网络防范的原理及模型网络防范的原理及模型

2、3.3 网络攻防实训平台的建设总体方案网络攻防实训平台的建设总体方案3.1 网络攻击的整体模型网络攻击模型将攻击过程划分为以下阶段：网络攻击模型将攻击过程划分为以下阶段：1.攻击身份和位置隐藏；攻击身份和位置隐藏；2.目标系统信息收集；目标系统信息收集；3.弱点信息挖掘分析；弱点信息挖掘分析；4.目标使用权限获取；目标使用权限获取；5.攻击行为隐藏；攻击行为隐藏；6.攻击实施；攻击实施；7.开辟后门；开辟后门；8.攻击痕迹清除。攻击痕迹清除。 3.1 网络攻击的整体模型 攻击身份和位置隐藏攻击身份和位置隐藏：隐藏网络攻击者的身：隐藏网络攻击者的身份及主机位置。可以通过利用被入侵的主机（肉份及主

3、机位置。可以通过利用被入侵的主机（肉鸡）作跳板；利用电话转接技术；盗用他人帐号鸡）作跳板；利用电话转接技术；盗用他人帐号上网；通过免费网关代理；伪造上网；通过免费网关代理；伪造IP地址；假冒用地址；假冒用户帐号等技术实现。户帐号等技术实现。 目标系统信息收集目标系统信息收集：确定攻击目标并收集目：确定攻击目标并收集目标系统的有关信息，目标系统信息收集包括：系标系统的有关信息，目标系统信息收集包括：系统的一般信息（软硬件平台、用户、服务、应用统的一般信息（软硬件平台、用户、服务、应用等）；系统及服务的管理、配置情况；系统口令等）；系统及服务的管理、配置情况；系统口令安全性；系统提供服务的安全性等

4、信息。安全性；系统提供服务的安全性等信息。3.1 网络攻击的整体模型 弱点信息挖掘分析弱点信息挖掘分析：从收集到的目标信息：从收集到的目标信息中提取可使用的漏洞信息。包括系统或应用服中提取可使用的漏洞信息。包括系统或应用服务软件漏洞、主机信任关系漏洞、目标网络使务软件漏洞、主机信任关系漏洞、目标网络使用者漏洞、通信协议漏洞、网络业务系统漏洞用者漏洞、通信协议漏洞、网络业务系统漏洞等。等。 目标使用权限获取目标使用权限获取：获取目标系统的普通：获取目标系统的普通或特权账户权限。获得系统管理员口令、利用或特权账户权限。获得系统管理员口令、利用系统管理上的漏洞获取控制权（如缓冲区溢系统管理上的漏洞获

5、取控制权（如缓冲区溢出）、令系统运行特洛伊木马、窃听帐号口令出）、令系统运行特洛伊木马、窃听帐号口令输入等。输入等。3.1 网络攻击的整体模型 攻击行为隐藏：攻击行为隐藏：隐蔽在目标系统中的操作，隐蔽在目标系统中的操作，防止攻击行为被发现。连接隐藏，冒充其他用户、防止攻击行为被发现。连接隐藏，冒充其他用户、修改修改logname环境变量、修改环境变量、修改utmp日志文件、日志文件、IP SPOOF；隐藏进程，使用重定向技术；隐藏进程，使用重定向技术ps给给出的信息、利用木马代替出的信息、利用木马代替ps程序；文件隐藏，程序；文件隐藏，利用字符串相似麻痹管理员；利用操作系统可加利用字符串相似麻

6、痹管理员；利用操作系统可加载模块特性，隐藏攻击时产生的信息等。载模块特性，隐藏攻击时产生的信息等。3.1 网络攻击的整体模型 攻击实施攻击实施：实施攻击或者以目标系统为跳：实施攻击或者以目标系统为跳板向其他系统发起新的攻击。攻击其他网络和板向其他系统发起新的攻击。攻击其他网络和受信任的系统；修改或删除信息；窃听敏感数受信任的系统；修改或删除信息；窃听敏感数据；停止网络服务；下载敏感数据；删除用户据；停止网络服务；下载敏感数据；删除用户帐号；修改数据记录。帐号；修改数据记录。 开辟后门开辟后门：在目标系统中开辟后门，方便以：在目标系统中开辟后门，方便以后入侵。放宽文件许可权；重新开放不安全服后入

7、侵。放宽文件许可权；重新开放不安全服务，如务，如TFTP等；修改系统配置；替换系统共享等；修改系统配置；替换系统共享库文件；修改系统源代码、安装木马；安装嗅库文件；修改系统源代码、安装木马；安装嗅探器；建立隐蔽通信信道等。探器；建立隐蔽通信信道等。3.1 网络攻击的整体模型 攻击痕迹清除攻击痕迹清除：清除攻击痕迹，逃避攻击取：清除攻击痕迹，逃避攻击取证。篡改日志文件和审计信息；改变系统时间，证。篡改日志文件和审计信息；改变系统时间，造成日志混乱；删除或停止审计服务；干扰入侵造成日志混乱；删除或停止审计服务；干扰入侵检测系统的运行；修改完整性检测标签等。检测系统的运行；修改完整性检测标签等。3.

8、1 网络攻击的整体模型典型的网络攻击的一般流程：典型的网络攻击的一般流程：攻击主机攻击主机确定目标确定目标信息收集信息收集漏洞挖掘漏洞挖掘攻击网络攻击网络留下后门留下后门清除日志清除日志结束攻击结束攻击图3-1典型的网络攻击的一般流程3.1 网络攻击的整体模型 攻击过程中的关键阶段是：攻击过程中的关键阶段是：弱点挖掘和权弱点挖掘和权获取限获取限； 攻击成功的关键条件之一是：目标系统存攻击成功的关键条件之一是：目标系统存在在安全漏洞或弱点安全漏洞或弱点； 网络攻击难点是：网络攻击难点是：目标使用权目标使用权的获得。能的获得。能否成功攻击一个系统取决于多方面的因素。否成功攻击一个系统取决于多方面的

9、因素。3.2 网络防范的原理及模型 面对当前的如此猖獗的黑客攻击，必须做面对当前的如此猖獗的黑客攻击，必须做好网络的防范工作。网络防范分为好网络的防范工作。网络防范分为积极防范积极防范和和消极防范消极防范，下面介绍这两种防范的原理：，下面介绍这两种防范的原理：积极安全防范的原理 积极安全防范的原理是积极安全防范的原理是：对：对正常的网络行为正常的网络行为建立模型，把所有通过安全设备的网络数据拿来建立模型，把所有通过安全设备的网络数据拿来和保存在模型内的正常模式相匹配，如果不是这和保存在模型内的正常模式相匹配，如果不是这个正常范围以内，那么就认为是个正常范围以内，那么就认为是攻击行为攻击行为，对

10、其，对其做出处理。这样做的做出处理。这样做的最大好处是可以阻挡未知攻最大好处是可以阻挡未知攻击击，如攻击者才发现的不为人所知的攻击方式。，如攻击者才发现的不为人所知的攻击方式。对这种方式来说，建立一个安全的、有效的模型对这种方式来说，建立一个安全的、有效的模型就可以对各种攻击做出反应了。就可以对各种攻击做出反应了。 积极安全防范的原理 例如例如，包过滤路由器对所接收的每个数据包，包过滤路由器对所接收的每个数据包做允许拒绝的决定。路由器审查每个数据报以便做允许拒绝的决定。路由器审查每个数据报以便确定其是否与某一条包过滤规则匹配。管理员可确定其是否与某一条包过滤规则匹配。管理员可以配置基于网络地址

11、、端口和协议的允许访问的以配置基于网络地址、端口和协议的允许访问的规则，只要不是这些允许的访问，都禁止访问。规则，只要不是这些允许的访问，都禁止访问。 入侵检测分入侵检测分:误用检测和异常检测误用检测和异常检测消极安全防范的原理 消极安全防范的原理是消极安全防范的原理是：以已经发现的攻击：以已经发现的攻击方式，经过专家分析后给出其特征进而来构建方式，经过专家分析后给出其特征进而来构建攻攻击特征集击特征集，然后在网络数据中寻找与之匹配的行，然后在网络数据中寻找与之匹配的行为，从而起到发现或阻挡的作用。它的缺点是使为，从而起到发现或阻挡的作用。它的缺点是使用被动安全防范体系，用被动安全防范体系，不

12、能对未被发现的攻击方不能对未被发现的攻击方式做出反应式做出反应。消极安全防范的原理 消极安全防范的一个消极安全防范的一个主要特征主要特征就是针对已知就是针对已知的攻击，建立攻击特征库，作为判断网络数据是的攻击，建立攻击特征库，作为判断网络数据是否包含攻击特征的依据。使用消极安全防范模型否包含攻击特征的依据。使用消极安全防范模型的产品，不能对付未知攻击行为，并且的产品，不能对付未知攻击行为，并且需要不断需要不断更新的特征库。更新的特征库。消极安全防范的原理 例如例如在入侵检测技术中，误用入侵检测技术在入侵检测技术中，误用入侵检测技术就是根据已知的入侵模式来检测入侵。入侵者常就是根据已知的入侵模式

13、来检测入侵。入侵者常常利用系统和应用软件中的弱点攻击，而这些弱常利用系统和应用软件中的弱点攻击，而这些弱点易编成某种模式，如果入侵者攻击方式恰好匹点易编成某种模式，如果入侵者攻击方式恰好匹配上检测系统中的模式库，则入侵者即被检测到，配上检测系统中的模式库，则入侵者即被检测到，其优点是算法简单、系统开销小，但是缺点是被其优点是算法简单、系统开销小，但是缺点是被动，只能检测出已知攻击，模式库要不断更新。动，只能检测出已知攻击，模式库要不断更新。3.2 网络防范的原理及模型 为更好实现网络安全，应两种防范原理结为更好实现网络安全，应两种防范原理结合使用。网络防范的目的就是实现网络安全目合使用。网络防

14、范的目的就是实现网络安全目标，标，网络安全的工作目标网络安全的工作目标通俗地说就是下面的通俗地说就是下面的“六不六不” 1.“进不来进不来”访问控制机制。访问控制机制。 2.“拿不走拿不走”授权机制。授权机制。 3.“看不懂看不懂”加密机制。加密机制。 4.“改不了改不了”数据完整性机制。数据完整性机制。 5.“逃不掉逃不掉”审计、监控、签名机制。审计、监控、签名机制。 6.“打不跨打不跨”数据备份与灾难恢复机制。数据备份与灾难恢复机制。3.2 网络防范的原理及模型 为实现整体网络安全的工作目标，为实现整体网络安全的工作目标，有两种流行的网络安全模型有两种流行的网络安全模型 （1）P2DR模型

15、模型 （2）APPDRR模型。模型。3.2 网络防范的原理及模型 P2DR模型是模型是动态安全模型动态安全模型(可适应网络可适应网络安全模型安全模型)的代表性模型。的代表性模型。 在整体的在整体的安全策略安全策略的控制和指导下，在综的控制和指导下，在综合运用合运用防护工具防护工具（如防火墙、操作系统身份（如防火墙、操作系统身份认证、加密等手段）的同时，利用认证、加密等手段）的同时，利用检测工具检测工具（如漏洞评估、入侵检测等系统）了解和评（如漏洞评估、入侵检测等系统）了解和评估系统的安全状态，通过适当的反应将系统估系统的安全状态，通过适当的反应将系统调整到调整到“最安全最安全”和和“风险最低风

16、险最低”的状态。的状态。 模型如下：模型如下：3.2 网络防范的原理及模型图3-2 P2DR安全模型示意图3.2 网络防范的原理及模型 据据 P2DR 模型的理论，模型的理论，安全策略是整个网安全策略是整个网络安全的依据络安全的依据。不同的网络需要不同的策略，在。不同的网络需要不同的策略，在制定策略以前，需要全面考虑制定策略以前，需要全面考虑局域网络中局域网络中如何在如何在网络层实现安全性，如何控制远程用户访问的安网络层实现安全性，如何控制远程用户访问的安全性，在全性，在广域网上广域网上的数据传输实现安全加密传输的数据传输实现安全加密传输和用户的认证等等问题。对这些问题做出详细回和用户的认证等

17、等问题。对这些问题做出详细回答，并确定相应的防护手段和实施办法，就是针答，并确定相应的防护手段和实施办法，就是针对企业网络的一份完整的安全策略。策略一旦制对企业网络的一份完整的安全策略。策略一旦制订，应当作为整个企业安全行为的准则。订，应当作为整个企业安全行为的准则。 3.2 网络防范的原理及模型 APPDRR模型则包括以下环节：模型则包括以下环节： 网络安全网络安全=风险分析（风险分析（A） +制定安全策略（制定安全策略（P） + 系统防护（系统防护（P） +实时监测（实时监测（D） +实时响应（实时响应（R） +灾难恢复（灾难恢复（R） 通过对以上通过对以上APPDRR的的6个元素的整合，

18、个元素的整合，形成一套整体的网络安全结构。形成一套整体的网络安全结构。3.2 网络防范的原理及模型风险分析风险分析 A灾难恢复灾难恢复 R 实时响应实时响应 R制定安全策略制定安全策略 P系统防护系统防护 A实时检测实时检测 D图3-3 APPDRR动态安全模型3.2 网络防范的原理及模型 事实上，对于一个整体网络的安全问题，事实上，对于一个整体网络的安全问题，无论是无论是P2DR还是还是APPDRR，都将如何定位，都将如何定位网络中的安全问题放在最为关键的地方。这网络中的安全问题放在最为关键的地方。这两种模型都提到了一个非常重要的环节两种模型都提到了一个非常重要的环节P2DR中的检测环节和中

19、的检测环节和APPDRR中的风险分中的风险分析，在这两种安全模型中，这个环节并非仅析，在这两种安全模型中，这个环节并非仅仅指的是狭义的检测手段，而是一个复杂的仅指的是狭义的检测手段，而是一个复杂的分析与评估的过程。分析与评估的过程。3.2 网络防范的原理及模型 通过对网络中的安全漏洞及可能受到的威通过对网络中的安全漏洞及可能受到的威胁等内容进行评估，获取安全风险的客观数胁等内容进行评估，获取安全风险的客观数据，为信息安全方案制定提供依据。网络安据，为信息安全方案制定提供依据。网络安全具有相对性，其防范策略是动态的，因而，全具有相对性，其防范策略是动态的，因而，网络安全防范模型是一个不断重复改进

20、的循网络安全防范模型是一个不断重复改进的循环过程。环过程。3.3 网络攻防实训平台的建设总体方案 在攻防的实际操作训练或学习实验中，在攻防的实际操作训练或学习实验中，为了避免互联网上的实体成为被攻击对像，为了避免互联网上的实体成为被攻击对像，一般需要在局域网上建设专门的网络攻防一般需要在局域网上建设专门的网络攻防实训平台。网络攻防实训平台是通过构建实训平台。网络攻防实训平台是通过构建适合攻防双方训练，能满足基本的攻防操适合攻防双方训练，能满足基本的攻防操作要求的软硬件平台。作要求的软硬件平台。3.3 网络攻防实训平台的建设总体方案 建立网络攻防平台需要考虑以下几个建立网络攻防平台需要考虑以下几个方面：方面： (1) 经济实用性原则经济实用性原则 (2) 可拓展性原则可拓展性原则 (3) 整体性原则整体性原则 3.3 网络攻防实训平台的建设总体方案 以下以网络攻防实训平台的网络拓扑图为以下以网络攻防实训平台的网络拓扑图为例进行说明。实例一为非对称拓扑结构，左边例进行说明。实例一为非对称拓扑结构，左边为攻方，右边为防方。攻防双方通过模拟局域为攻方，右边为防方。攻防双方通过模拟局域网分开，攻方的目标是要攻击防方