第5章 网络安全知识与安全组网技术-李文媛

（1）TCP建立连接的三次握手过程：
任何两台计算机Clients和Servers之间欲建立TCP连接，都需 要一个两方都确认的过程，称三次握手，可分解为下图表示：
33
(1)C向S发送SYN，表示想发起一次TCP连接，假定序列号是X； (2)S接到请求后，产生(SYN|ACK)响应，包括：向C发送ACK， ACK的值为X+1，表示数据成功接收，并告知下一次希望接收到 字节的序号是X+1；同时，S向C发送自己的序号，假定为值Y； (3)C向S发送ACK，表示接收到S的回应。这次它的序号值为X+1， 同时它的ACK值为Y+1。 连接开放，C与S可以进行数据传输。
8
5.1 5.2
网络安全问题概述 网络相关知识
5.3
5.4 5.5 5.6
防火墙技术
入侵检测技术
网络常见的攻防技术
案例分析
5.2 网络相关知识与安全组网技术


5.2.1 ISO/OSI七层协议
开放系统互联参考模型OSI/RM（简称OSI）：国际标
准化组织ISO于1984年提出的一种标准参考模型。

OSI包括了体系结构、服务定义和协议规范三级抽象。
OSI/RM并非具体实现的描述，它只是一个为制定标
准而提供的概念性框架。
10
5.2 网络相关知识与安全组网技术


5.2.1 ISO/OSI七层协议
OSI/RM采用结构描述方法，即分层描述的方法，将
整个网络的通信功能划分成7个层次，由低层至高层
14
5.2 网络相关知识与安全组网技术



5.2.1 ISO/OSI七层协议
（3）网络层
网络层实现路由选择、拥塞控制、网络互连等功能，它的
主要任务是负责：

①为分组交换网上的不同主机提供通信； ②选择合适的路由，使源主机传输层所传下来的分组能够 交付到目的主机。
15
5.2 网络相关知识与安全组网技术
陷可能导致非授权访问、信息泄露、资源耗尽、资源被盗
或被破坏等。

计算机网络上的通信存在威胁的原因：
（1）资源共享是计算机网络的重要特点 （2）网络协议(TCP/IP)的主要设计目标不是安全 （3）缺乏系统的安全标准
5
5.1 网络安全问题概述
5.1.2
信息传输的安全与目标
信息传输安全：就是指在信息传输过程中，保护信息
34
5.2 网络相关知识与安全组网技术


5.2.3 TCP协议
（2）TCP释放连接的四次握手过程：
主机A
FIN,SEQ=x
主机B
ACK,SEQ=y,ACK=x+1
FIN,ACK,SEQ=y ACK=x+1 ACK,SEQ=x+1 ACK=y+1
35
5.2 网络相关知识与安全组网技术

5.2.3 TCP协议


5.2.1 ISO/OSI七层协议
（4）传输层 传输层的主要功能是完成网络中不同主机上的用户进程之 间的可靠的数据通信。传输层提供了端到端（最终用户到 最终用户）的透明的、可靠的数据传输服务。所谓透明的 传输是指在通信过程中传输层对上层屏蔽了通信传输系统 的具体细节。
16
5.2 网络相关知识与安全组网技术
分别称为物理层、数据链路层、网络层、传输层、会 话层、表示层和应用层。如下图所示。
11
5.2 网络相关知识与安全组网技术

5.2.1 ISO/OSI七层协议
计算机B
计算机A 应用进程A
应用层 表示层 会话层
DATA
AH DATA PH AH DATA SH PH AH DATA TH SH PH AH DATA NH TH SH PH AH DATA DH NH TH SH PH AH DATA DT
26



5.2.2 IP协议
(2)划分子网
为了解决IP地址空间利用率低且不够灵活，于1985年 提出了划分子网。划分子网是通过增加一个“子网号字 段”，即从网络的主机号借用若干比特作为子网号 subnet-id，而主机号也就相应减少了。 子网掩码是用来让TCP/IP协议快速地判断两个IP地址 是否属于同一子网。

26
5.2 网络相关知识与安全组网技术
27



5.2.2 IP协议
(3)专用IP地址
有一些IP地址只能用于机构的内部通信，不能用于和 因特网上的主机通信，这些地址称为专用地址。

如10.0.0.0到10.255.255.255
27
5.2 网络相关知识与安全组网技术
28

5.2.2 IP协议
3.IP协议安全问题
A类地址 0 B类地址 10 C类地址 110 D类地址 1110 E类地址 11110 net–id 8bit net-id 16bit net-id 24bit 多播地址 保留为今后使用
25
host-id 24bit host-id 16bit Host-id 8bit
5.2 网络相关知识与安全组网技术

IP地址现由因特网名字与号码指派公司ICANN进行分 配。

IP地址是一个32bit的二进制序列。为了提高可读性， 采用点分十进制记法，如某台主机的IP地址为： 192.166.3.4。

24
5.2 网络相关知识与安全组网技术
25



5.2.2 IP协议
(1)IP地址分类
每一类地址都由网络号net-id和主机号host-id两部分组 成。网络号字段标志主机（或路由器）所连接到的网络；主机 号字段表示该主机（或路由器）。五类IP地址如下图所示：

表示层提供通信实体间数据交换的标准接口，完成对数据
编码格式进行转换、数据压缩与解压、建立数据交换格式、
数据的安全与保密等特定功能。
18
5.2 网络相关知识与安全组网技术


5.2.1 ISO/OSI七层协议
（7）应用层 应用层提供给用户网络服务的应用程序，如电子邮件、文 件传输、远程登录等，每个应用程序必须使用自己的协议 与下层协议进行通信。应用层是用户应用程序与网络间的 接口，它使得用户的应用程序能够与网络进行交互式联系。
窗口 紧急指针
选项（长度可变）
填充
TCP首部
TCP数据部分
31 31
5.2 网络相关知识与安全组网技术

5.2.3 TCP协议
2.端口
TCP协议和UDP协议通过使用“端口”来标识源端

和目标端的应用进程。
32
5.2 网络相关知识与安全组网技术

5.2.3 TCP协议
3.TCP的运输连接管理
TCP是面向连接的协议，运输连接管理就是使运输 连接的建立和释放都能正常进行。
1.IP数据报格式
4 版本 首部长度 标识 8 服务类型 标志 协议 源地址 目的地址 可选字段(选项)（长度可变） 数据部分 填充 16 19 总长度 片偏移 首部检验和 24 31
0
首 部
生存时间
23
5.2 网络相关知识与安全组网技术
24

5.2.2 IP协议
2.IP地址
IP地址用于标识IP网络中的每台计算机（或路由器） 和一条链路的接口。
据流传送。

在传送数据前，需要建立连接。它提供可靠传送机
制以保证数据可靠、有序的传递。
30
5.2 网络相关知识与安全组网技术
31

0
5.2.3 TCP协议
1.TCP报文段格式
8 源端口 序号 确认号 16 24 目的端口 31
首部长度
保留 检验和
U R G
A C K
P S H
R S T
S Y N
F I N
IP协议的主要缺陷是缺乏有效的安全认证和保密机制， 其中最主要的因素就是IP地址的问题。

当前TCP/IP网络的安全机制主要是基于IP地址的包过 滤和认证技术，它们的正确有效性依赖于IP包的源地址的 真实性。然而IP地址存在许多问题，最大的缺点就是缺乏 对IP地址的保护，缺乏对IP地址真实性的认证与保密机制， 这也是整个TCP/IP协议不安全的根本所在。


5.2.1 ISO/OSI七层协议
（5）会话层 会话层提供两进程间建立、维护和结束会话连接的功能， 提供交互会话的管理功能，如允许信息同时双向传输或任 一时刻只能单向传输。
17
5.2 网络相关知识与安全组网技术


5.2.1 ISO/OSI七层协议
（6）表示层 下5层完成了数据的可靠的、无差错的传送。但是传送数 据最终目的是要实现对数据的使用。由于各种系统对数据 的定义并不完全相同,如键盘上的某些键的含义在许多系统 中都有差异。这自然给利用其它系统的数据造成了障碍。
19
5.2 网络相关知识与安全组网技术


5.2.1 ISO/OSI七层协议
2. OSI参考模型中的数据流

封装 物理通信 逻辑通信
20
TCP/IP协议
21

TCP/IP协议是Internet采用的协议标准，也是 全世界采用的最广泛的工业标准。它是一组 协议的集合，用来将各种计算机和数据通信 设备组成实际的计算机网络。
4.TCP的安全缺陷


针对TCP连接建立时“三次握手”机制的攻击；
未加密的TCP连接被欺骗、被劫持、被操纵； 现存的主要攻击有TCP SYN淹没攻击、TCP序列号
攻击、TCP会话劫持、TCP连接不同步状态攻击、SYN Sniping攻击、TCP端口扫描等。