网络安全复习文档详解

1、 网络安全概述含义从本质上来讲，网络安全就是网络上的信息安全内容方面：网络实体安全、软件安全、数据安全、安全管理安全属性方面：保密性、完整性、可用性、可控性、可审查性安全因素网络系统自身的脆弱性：硬件系统、软件系统、网络和通信协议（包括：缺乏用户身份鉴别机制、缺乏路由协议鉴别认证机制、缺乏保密性、TCP/IP服务的脆弱性）安全威胁：1：网络安全的基本威胁：信息泄露、完整性破坏、服务拒绝、未授权访问2：安全威胁的来源：内部操作不当、内部管理漏洞（最难防范）、外部威胁和犯罪（黑客攻击、计算机病毒和拒绝服务攻击）网络攻击的类型攻击方式分类：1：被动攻击：指攻击者实施窃听、监听，但不修改通信信息，攻击者的目的是获取正在传输的信息，检测困难。因此强调阻止而不是检测2：主动攻击：指攻击者对数据流的某些修改，或者生成一个假的数据流。（包括：伪装、回答、修改报文、拒绝服务）被动攻击难以检测，可以阻止，而主动攻击难以绝对阻止，可采取检测的方法，两者正好相反安全属性分类：截取攻击：得到资源的访问，针对保密性的攻击阻断攻击：使系统资源被破坏，针对可用性的攻击篡改攻击：不仅能够访问资源，而且能够修改信息，针对完整性的攻击伪造攻击：能够在系统中插入伪造的信息，针对真实性的攻击网络攻击的常见形式1：口令入侵：大多数系统是由口令来维护其安全的， 可通过口令来验证用户身份。 网络攻击往往把目标口令的破解作为对目标系统攻击的开始2：病毒、蠕虫和特洛伊木马：蠕虫是一种通过网络传播的恶性病毒：特洛伊木马可以直接侵入目标主机并进行破坏。 它与其他病毒的重大区别是特洛伊木马并不像其他病毒那样复制自身，要使特洛伊木马传播，必须在计算机上有效地启用木马程序。3：拒绝服务攻击：Dos其目的就是拒绝用户的服务访问，破坏组织的正常运行。DDoS是基于DoS的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，其主要攻击对象是比较大的站点，具有较大的破坏性。4：【其他】网络监听、 IP欺骗、安全漏洞攻击、网络钓鱼网络攻击往往是以上攻击方式的混合型网络安全层次结构包括：物理层、数据链路层（

在

Internet

环境中它并不完全适用

）、网络层、传输层、应用层（

并没有一个统一的解决方案）网络安全策略：物理安全策略、访问控制策略、防火墙控制策略、入侵防范策略、信息加密策略（包括：链路加密、端到端加密）、网络备份策略、网络安全管理策略访问控制策略：（重要

3点）1：入网访问控制：账号的识别与验证、密码的识别与验证、用户账号的默认限制检查（ 三个步骤缺一不可2：网络的权限控制：实现方式（包含：受托者指派、继承权限屏蔽） ；权限用户分类（包含：特殊用户、一般

）用户、审计用户）3：目录级安全控制：用户在目录一级指定的权限对所有文件和子目录都有效（权限包含：读、写、删、改等）网络备份策略：现有的网络安全技术并不能保证网络的绝对安全（需要备份的原因）网络安全管理策略：1：安全管理的目标：网络安全的根本目标是保证网络和系统的可用性了解网络和用户的行为、对网络和系统的安全性进行评估、确保访问控制策略的实施2：安全管理的内容：网络安全规划、网络安全管理机构、网络安全管理系统和网络安全教育等基本元素：硬件、软件、数据、人员、文档、易耗品3：安全管理的原则：多人负责原则、任期有限原则、职责分离原则4：安全管理的实现：确定系统的安全等级、据安全等级，确定安全管理范围、制定相应的机房出入管理制度、制定严格的操作规程、制定完备的系统维护制度、制定应急措施安全的历史回顾通信安全、计算机安全、网络安全计算机安全的五个等级：自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级2、 密码技术概述基本分类：编码学（密码学）：研究密码变化的客观规律，用于编制密码以保守通信秘密破译学（密码分析学）：在一定条件下采取技术手段，截取密文分析，求得明文，还原密码编制的过程。明文：信息的原始形式 (Plaintext,记为P)密文：明文经过变换加密后的形式 (Ciphertext,记为C)加密：由明文变成密文的过程称为加密 (Enciphering,记为E)解密：由密文还原成明文的过程称为解密 (Deciphering,记为D)密钥：为了有效地控制加密和解密算法的实现的信息 (Key,记为K)密码技术分类：按执行的操作方式不同：替换密码技术、换位密码技术按收发双方使用的密钥是否相同： 对称密码(单钥密码)、非对称密码 (双钥密码或公钥密码对称密码（指加密解密用同一组密钥的算法） ，其安全依赖于：

)加密算法的强度必须足够大加密算法的安全性依赖于密钥的秘密性，而不是算法的秘密性典型代表：古典密码技术，序列密码技术和分组密码技术 (如DES、IDEA、AES等)非对称密码技术：指加密解密用不同密钥的算法传统的加密方法（习题重点）分为：替换密码技术、换位密码技术替换密码：1：单字符单表：乘法密码技术：加密： Ek(ai)=aj，j=i·k(modn)，gcd(k,n)=1，解密：Dk(aj)=ai,i=jk-1(mod·n)移位替换密码技术：加密： Ek(ai)=aj，j=(i+k)(modn)，0<k<n，解密：Dk(aj)=ai,i=(j-k)(modn)=(j+(n-k))(modn)密钥字密码技术：对于英文单词，密钥字最多可以有 26!≈4×1026个不同的替换表2：单字符多表换位密码技术1：列换位法：将明文字符分割成若干个(例如5个)两列的分组，并按一组后面跟着另一组的形式排好，最后，不全的组用不常值填满2：矩阵换位法：明文中的字母按给定的顺序安排在一个矩阵中，然后用另一种顺序选出矩阵的字母来产生密文数据加密标准加密算法(EncryptionAlgorithm)—密码员对明文进行加密时采用的一组规则解密算法(DecryptionAlgorithm)—接受者对密文进行解密时采用的一组规则数据加密标准：DES算法是对称的，既可用于加密，又可用于解密国际数据加密标准：将IPES(ImprovedProsedEncryptionStandard，改进型建议加密标准)改为IDEA，明文和密文的分组长度都是64位，密钥长128位高级加密标准：加密算法 Rijndael，它符合 AES的要求(密钥长度是可变的 )，有AES-128、AES-192、AES-256密钥管理和分配密钥分配是密钥管理中最大的问题之一，它必须通过方式（密钥自动分配）

最安全的通路 进行分配。包括网络外分配方式、网络内分配数字签名与数字证书通信过程中双方的多种形式的欺骗或伪造：发送方否认自己发送过来某一消息接收方自己伪造一个消息，并声称来自发送方网络上某个用户冒充另一个用户接收或发送消息接收方对收到的信息进行篡改签名应满足的要求：可信的、不可伪造的、不可复制的、签名的消息是不可改变的、不可抵赖的数字签名必须保证的三点：接收者能够核实发送者对报文的签名发送者事后不能抵赖对报文的签名接收者不能伪造对报文的签名数字证书的重要意义：信息传输的保密性、数据交换的完整性、发送信息的不可否认性、交易者身份的确定性数字证书的原理：数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密、解密通过数字的手段保证加密的过程是一个不可逆的过程，即只有用私有密钥才能解密采用数字签名，能够确认以下两点：信息是由签名者自己签名发送的，签名者不能否认或难以否认信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件证书与证书授权中心：承担公钥体系中公钥的合法性检验的责任数字证书的应用：传统的商业、制造业、流通业的网上交易，行政办公、教育科研单位、保险、医疗等系统计算机网络加密技术加密指通过加密机制，把各种原始的数字信号 (明文)按某种特定的加密算法变换成与明文完全不同的数字信息 (密文)的过程。网络加密包括：链路加密、节点加密、端对端加密链路加密：一旦在一条线路上采用链路加密，往往需要在全网内都采用链路加密链路加密时，报文和报头都应加密分类：异步通信加密、同步通信加密（字节同步通信加密、位同步通信加密）端对端加密：在中间节点和有关安全模块内永远不会出现明文。成本低、比链路加密安全、加密方式灵活。3、 公钥密码体制在历史上，分发密钥往往是绝大多数密码系统中最薄弱的环节公钥基础结构公钥密码证书管理、黑名单发布和管理、密钥的备份和恢复、自动更新密钥、自动管理历史密钥、支持交叉认证安全需求：保密性—保证信息的私有性、完整性—保证信息没有被篡改、真实性—证明一个人或一个应用的身份不可否认性—保证信息不能被否认PKI是一种遵循标准的利用公钥理论和技术建立的可提供安全服务的基础设施PKI的内容：认证中心 CA（它具有唯一性 ）、注册中心 RA（整个网上电子交易安全的关键环节 ）、证书发布库、密钥备份及恢复、证书撤销、 PKI应用接口密钥备份和恢复：只能针对加 /解密密钥，对签名密钥则不能做备份证书撤销两种方式：利用周期性的发布机制（如证书撤销列表） 、在线查询机制（如在线证书状态协议）PKI的应用及展望：虚拟专用网络、安全电子邮件、 Web安全、应用编程接口4、 网络攻击原理黑客攻击网络已成为网络不安全的主要原因口令破解技术原理口令破解的方法：扫描工具找出用户账号，然后穷举生成大量密码，通过程序提交数据申请进入系统，失败就寻找系统薄弱环节找到口令存储文件，使用密码破解器破解。口令破解器：口令破解器是一个程序，它能将口令解释出来或者让口令保护失效。口令破解器一般并不是真正地去解码，而是尝试通过已知算法来尝试。软件破解可分为：修改安装程序、算法尝试。候选口令产生：从一个字典里读取一个单词、用枚举法来产生这样的单词，为了便于协同破解密码，常常需要为密码产生器指定产生密码的范围危险的口令：用户名作为口令、用户名的变换形式作为口令、自己或者亲友的生日作为口令、常用的英文单词作为口令、5位或5位以下的字符作为口令网络嗅探技术原理普遍的安全威胁来自于内部，同时这些威胁通常都是致命的，其破坏性也远大于外部威胁至少支持的协议：标准以太网、TCP/IP、IPXDECnet、FDDIToken、微波和无线网嗅探器分软、硬两种：软件的便宜且易于使用，缺点是往往无法抓取网络上所有的传输数据，硬件的称为协议分析仪，它的优点恰恰是软件的欠缺的，但是其价格昂贵，目前 主要使用软件嗅探器。危害：能够捕获口令、能够捕获专用的或者机密的信息、可以用来危害网络邻居的安全，或者用来获取更高级别的访问权限、分析网络结构，进行网络渗透安全防范：检测嗅探器、隐藏数据检测嗅探器通常有两条经验：网络通信丢包率非常高、网络带宽出现反常隐藏数据（被动的防御措施） ：安全的拓扑结构、会话加密、采用静态的

ARP或者

IP-MAC对应表网络端口扫描技术原理原理：端口扫描向目标主机的 TCP/IP服务端口发送探测数据包，并记录目标主机的响应，来判断端口是否打开。常用扫描方式：经典的扫描器 (全连接)、SYN(半连接)扫描器、间接扫描、秘密扫描认证扫描和代理扫描：认证扫描是利用认证协议、代理扫描利用其它软件的协议的弱点（ FTP协议）其它扫描：1：Ping扫描：真实扫描， TCPPing（发送特殊 TCP包到打开且未过滤的端口，如 80）2：安全扫描器：检测主机是否允许匿名登录、某种网络服务是否需要认证、是否存在已知安全漏洞3：栈指纹扫描：根据安全漏洞与缺陷都与操作系统的关系来判断4：常用端口扫描命令： Ping、Tracert缓冲区溢出技术原理程序试图将数据放到计算机内存中的某一位置但没有足够的空间时，就会发生缓冲区溢出。单单缓冲区溢出并不会产生安全问题 ，只有将溢出数据送到能够以 root权限运行命令的区域才会产生安全问题拒绝服务攻击技术原理其目的是使计算机或网络无法提供正常的服务常见方式：计算机带宽攻击（极大的通信量冲击网络，导致合法的用户无法访问） 、连通性攻击（耗尽系统资源）拒绝服务的类型：试图破坏资源，使目标无人可以使用这个资源过载一些系统服务或者消耗一些资源，但这种拒绝服务有时是攻击者攻击造成的，有时是系统错误造成的这两种情况大半是因用户操作错误或程序错误造成的，并非针对性的攻击针对网络，拒绝服务攻击的种类：信息数据包流量式、 SYN-Flooding攻击、“Paste”式攻击、服务过载式分布式拒绝服务（ DistributedDenialofService,DDoS）：原理：指借助于客户 /服务器技术，将多个计算机联合起来作为攻击平台。现象：1：大量等待的 TCP连接、2：网络中大量无用的，假源地址的数据包、 3：造成网络拥塞，主机无法正常和外界通信、4：利用主机提供的服务或传输协议上的缺陷，反复高速地发出特定的服务请求，无法及时处理所有正常请求、5：严重时甚至会造成系统死机防范：1：采用最新系统，打上安全补丁、 2：对所有主机进行检查、 3：删除未使用的服务、 4：限制对主机的访问权限等等。没有哪个网络可以免受 DDoS攻击，但如果采取一定措施，则可起到一定的预防作用。5、 入侵检测技术概述入侵检测(IntrusionDetection)：对入侵行为的发觉，它在计算机网络或计算机系统中的若干关键点收集信息，通过对这些信息的分析来发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统(IntrusionDetectionSystem,IDS)：进行入侵检测的软件与硬件的组合，它几乎适用于所有的系统入侵检测系统主要有两类：基于主机（保护主机的资源不被破坏）、基于网络（保护整个网络不被破坏）入侵检测系统的组成：采集模块、分析模块、管理模块、数据预处理模块、通信模块、响应模块、数据存储模块入侵检测系统的存在的原因：要将已安装的带安全缺陷的系统转换成安全系统是不现实的，即使真正付诸于实践，也需要相当长的时间加密技术方法本身存在一定问题访问控制和保护模型本身也存在一定的问题静态安全控制措施不足以保护安全对象的属性,因此动态的安全措施对检测或尽可能地阻止入侵是必要的安全系统易受内部用户滥用特权的攻击在实践中，建设完全安全系统根本是不可能的，现在的操作系统和应用程序中不可能没有缺陷仅仅使用防火墙保障网络安全是远远不够的入侵检测的目的：识别入侵者、识别入侵行为、检测和监视已成功的安全突破、对于入侵及时提供重要信息，阻止事件的发生和事态的扩大历史：1986年Discovery最早基于主机的 IDS雏形之一，1987年提出实时入侵检测系统抽象模型— IDES(IntrusionDetectionExpertSystem,入侵检测专家系统

)入侵检测系统分类：1：依据原始数据的来源：1：基于主机的：能确定攻击的目的所在、监控粒度更细、配置灵活、可用于加密的和交换的环境、对网络流量不敏感、不需要额外的硬件。缺点：占用主机资源、可移植性差2：基于网络的：监测速度快、隐蔽性好、视野更宽、较少的监测器、攻击者不易转义证据、操作系统无关、可配置在专有机器上。缺点：精确度不高、交换环境下配置难、防入侵欺骗能力差、难以定位入侵者3：基于应用的：基于主机的进一步细化，与基于主机的基本相同。2：根据检测原理（分析方式）分类：1：误用检测 —对不正常的行为建模，将符合特征库中描述的行为视为攻击， 能直接检测不利的行为2：异常检测 —对系统正常的行为建模，将特征库中没有描述的行为破坏疑为攻击3：依据结构体系： 集中式、等级式（部分分布式）、协作式（全部分布式）4：其他：系统设计目标、事件生成 /收集的方式、检测时间（同步技术） 、入侵检测响应方式、数据处理地点响应方式分为：主动响应（对被攻击系统实施控制的系统— 主要控制、对攻击系统实施控制的系统—控制比较困难）和被动响应（只会发出告警通知，将情况报告给管理员）入侵检测系统功能： 1：监控、分析用户和系统活动、 2：发现入侵企图或异常现象、 3：记录、报警和响应入侵检测系统的构成：事件产生器、事件分析器、事件数据库、响应单元。分工：硬件：主要完成数据的采集和响应的实施、软件：主要完成数据的处理、入侵的判断和响应的决策等功能入侵检测系统的设计公共入侵检测框架 (CommonIntrusionDetectionFramework,CIDF)模型：数据收集部分代替：事件产生器、事件分析器，控制台部分代替：响应单元事件产生器、事件分析器、响应单元 通常是应用程序的形式，而 事件数据库往往是文件或数据流的形式上将入侵检测系统划分为四个基本部分：数据采集分析中心：数据采集子系统—探测器、数据分析子系统控制管理中心：控制台子系统、数据库管理子系统构建一个基本的入侵检测系统步骤：获取 libpcap和tcpdump、构建并配置探测器，实现数据采集功能、建立数据分析模块、构建控制台子系统、构建数据库管理子系统、 联调（实现分析中心和控制中心的 双向通信）入侵检测系统的弱点与局限NIDS通过从网络上得到数据包进行分析，从而可检测和识别出系统的未授权或异常现象网