0102-网络基础篇

咸宁市网络安全培训
从网络安全到安全网络
主讲人：王 华 敏
武汉华禹网络科技有限公司 二00六年十一月
学 习 目 标




系统了解网络安全结构 了解安全技术发展趋势 理解基本的安全配置 学习基本的灾难恢复和应急响应机制
培 训 内 容





第一篇 网络基础 第二篇 网络安全分析 第三篇 公共密钥PKI认证 第四篇 防火墙技术 第五篇 入侵检测 第六篇 虚拟专网VPN 第七篇 恶意代码 第八篇 网络安全配置 第九篇 灾难恢复与应急响应 第十篇 软件技术简述
S/MIME, SET 应用
Presentation
Session
Transport
Secure RPC
SSL/TLS
会话
传输
Network Link
IP SEC
PPP CHAP/EAP L2TP/PPTP -
网络 链路
Physical
物理
OSI层次划分原则
应该把层次分成理论上需要的不同等级，减少过多的层次； 每一层都应该较好地履行其特定的功能； 每一层的功能选定都基于已有成功经验的国际标准协议； 每一层的界面都应该选在服务描述最少、通过接口的信息流量最少 的地方； 把类似的功能集中在同一层内，使之易于局部化； 当在数据处理过程中需要不同级别抽象时，则设立一个层次； 一个层次内的功能或协议更改时不影响其它各层； 只为每一层建立与其相邻的上一层和下一层的接口； 在需要不同的通信服务时，可在同一层内再形成子层次，不需要时 也可绕过该子层次。
网络安全标准—信息安全六个方面
（1）安全策略：系统实施的安全策略； （2）标识：访问控制标志与客体相联系； （3）识别：单独的主体必须被识别； （4）责任：审计信息必须被有选择地保存和 保护起来，使影响安全的行为可以被追踪； （5）保证：计算机系统必须包括硬件/软件机 制，这些机制能够独立地评估以确定系统能否 执行上述四项要求； （6）持续的保护：能够执行这些基本需求的 可信机制，必须被连续地保护以抵御篡改和未 授权的修改。
Secret
网络安全的语义范围

保密性
• 信息不泄露给非授权用户、实体或过程，或供其利 用的特性

完整性
• 数据未经授权不能进行改变的特性。即信息在存储 或传输过程中保持不被修改、不被破坏和丢失的特 性。

可用性
• 可被授权实体访问并按需求使用的特性。即当需要 时能否存取所需的信息。例如网络环境下拒绝服务、 破坏网络和有关系统的正常运行等都属于对可用性 的攻击；
• 安全咨询 • 安全风险评估 • 安全培训 • 技术支持、系统维护等
网络安全结构-明确目标
网络安全结构-安全服务
网络结构模型
网络结构模型
网络结构模型
网络结构模型
网络结构模型
网络结构模型
网络结构模型
网络结构模型
准入控制系统—传统网络环境
准入控制系统—准入控制后的网络环境
准入控制系统结构


TCP初始序号预测 TCP端口扫描 Land攻击 TCP欺骗 TCP会话劫持 SYN flooding RST和FIN攻击 Winnuke UDP flooding ……
TCP/IP模型安全性—应用层



电子邮件攻击 DNS欺骗 Finger 针对http服务的攻击 缓冲区溢出攻击 ……

TCP/IP层次模型
OSI层次结构
应用
表示
TCP/IP层次结构
应用
会话
传输 网络 链路 传输
网络
链路
并不严格对应
物理
TCP/IP协议层次模型

TCP/IP协议分层并不完全对应OSI模型
• 应用层

Telnet FTP DNS SMTP
TCP UDP IP ICMP ARP RARP X.25 ARPnet
网络安全标准—信息安全技术标准
（1）密码算法 （2）封装和数字签名 （3）实体认证 （4）密钥管理 （5）安全标签 （6）其他安全技术标准
网络安全技术发展趋势
三大网络安全基础设施

网络的三大安全防线
• 防火墙 • 入侵检测系统 • 防病毒产品（网络/单机）
安全服务

安全服务在整个安全体系中占有重要地位
培 训 内 容





第一篇 网络基础 第二篇 网络安全分析 第三篇 公共密钥PKI认证 第四篇 防火墙技术 第五篇 入侵检测 第六篇 虚拟专网VPN 第七篇 恶意代码 第八篇 网络安全配置 第九篇 灾难恢复与应急响应 第十篇 软件技术简述
主要பைடு நூலகம்容

网络安全威胁 TCP/IP安全性 利用木马攻击 拒绝服务攻击
TCP/IP模型安全性—网络层

IP碎片包 IGMPNuke攻击 ICMP攻击
• IP地址扫描、ping of death、ping flooding、 smurf、ICMP重定向报文、ICMP主机不可达 和TTL超时报文

路由欺骗
• RIP路由欺骗 • IP源路由欺骗 ……

TCP/IP模型安全性—传输层
拒绝服务攻击DOS
正常的三次握手建立通讯的过程
SYN （我可以连接吗？）
ACK （可以）/SYN（请确认！）
ACK （确认连接）
发起方
应答方
拒绝服务攻击DOS
就是让 你白等
伪造地址进行SYN请求 为何还 没回应
SYN （我可以连接吗？）
ACK （可以）/SYN（请确认！）
攻击者
不能建立正常的连接
网络安全标准—标准标准的发展
网络安全标准—信息安全标准分类
1）安全体系结构和框架标准：设计其它类标准的 基础、参考 2）安全技术标准：广泛适用的技术规范，与分层、 具体应用无关 3）层安全协议标准：各层独立于应用的协议规范 4）具体应用安全标准 5）安全管理标准 6）安全测评标准 低层安全协议：TLSP，NLSP，SDE，IPSEC，TLS 高层安全标准：ASN.1、通用高层安全标准GULS
• 个人攻击

TCP/IP模型安全性
Telnet TCP
FTP
DNS UDP
SMTP
应用程序攻击 数据监听和窃取 拒绝服务攻击
IP 无线网络 以太网
ARPNET
SATNET
硬件设备破坏
TCP/IP模型安全性—链路层

接收不属于本节点数据包
• 原理

许多网卡设为混杂模式可以接收所有数据帧
网络分段、利用交换机、动态集线器和桥等设备对 数据流进行限制，链路层加密和禁用混杂节点等
• 解决方案

TCP/IP模型安全性—链路层

MAC欺骗
• 原理

通过底层I/O操作修改寄存器中的MAC地址
追踪综合布线排除非授权机器； 确保线路上已授权的机器使用自身的MAC地址。
• 解决方案


TCP/IP模型安全性—链路层

ARP欺骗
• 原理

指定ARP包中的源IP、目标IP、源MAC、目标MAC Arp_send.c
主要内容



OSI层次模型 TCP/IP层次模型 网络接入技术 网络安全标准 网络安全发展趋势
INTERNET的美妙之处 在于你和每个人都能互相连接 INTERNET的可怕之处 在于每个人都能和你互相连接
网络基础
OSI参考模型
OSI层次结构 applications
Presentation

可控性
• 对信息的传播及内容具有控制能力
网络安全威胁—网络拓朴安全




总线型拓朴结构 • 故障诊断、隔离困难 • 终端须是智能的 星型拓朴 • 扩展困难 • 对中央节点依赖太大 • 容易出现瓶颈 环型拓朴 • 单节点故障引起全网故障 • 诊断故障困难 • 扩展困难 树型拓朴 • 对根节点依赖过大

可分为二种：
• 以操作失误为代表的无意威胁 • 以计算机犯罪为代表的恶意攻击

智能性 严重性 隐蔽性 多样性
网络安全威胁—人为威胁（二）

恶意攻击表现
• 集团行为



信息战（伊拉克的“沙漠风暴”） 商业间谍 黑客大战 窃听、流量分析、破坏完整性、重发、假冒、拒绝服务 资源的非授权使用、干扰（电子邮件）、病毒（几十万种）、 诽谤
网络安全威胁—网络软件漏洞



陷门（后门） • 逻辑炸弹、远程遥控、远程维护、非法通信、 贪婪程序 操作系统 • I/O非法访问、访问控制混乱、不完全的中介、 操作系统陷门 TCP/IP协议 网络软件与网络服务 • 协议和服务交互机制存在的问题 • 规模引起的复杂性和人的局限性
网络安全威胁—人为威胁（一）
拒绝服务攻击DOS举例
DOS指故意攻击网络协议实现的缺陷或直接通过各种手段耗尽 被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务， 使目标计算机停止响应，甚至崩溃。 SYN Flood是当前最流行的DoS（拒绝服务攻击）与DDoS （分布式拒绝服务攻击）的方式之一，这是一种利用TCP协议缺陷，发 送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽（CPU满负 荷或内存不足）的攻击方式。
• 目标可访问性，行为可知性 • 攻击工具易用性

Internet 没有集中的管理权威和统一的政策
• 安全政策、计费政策、路由政策
安全的级别
Public Internal Payroll Data Trade Secrets Type of Data Public Internal Confidential Secret What is at Risk Prestige, Trust, Revenue Operations Operations, Internal Trust Intellectual Property Confidential Web Site Data Marketing Data