logo资料库

网络安全概论自整理重点（刘建伟、毛剑版本）.pdf

发布时间：2022-06-06 发布人：admin 分类：说明书 资料大小：0.78M 资料格式：pdf 举报 版权申诉
第1页 / 共13页
第2页 / 共13页
第3页 / 共13页
第4页 / 共13页
第5页 / 共13页
第6页 / 共13页
第7页 / 共13页
第8页 / 共13页
资料共13页，剩余部分请下载后查看
    网络安全 2.1基本协议 1. ARP 地址解析协议：将局域网中的 32bitIP 地址→48bit 物理地址（网卡的 MAC 地址） ARP 欺骗：计算机发出假冒的 ARP 查询或应答信息，然后将所有流向它的数据流转移， 以此伪装成某台机器或修改数据流向。通过伪造 IP 地址和 MAC 地址实现 ARP 欺骗， 能够在网络中产生大量的 ARP 通信量使网络阻塞或者实现“man in the middle” 进行 ARP 重定向和嗅探攻击。 ICMP 控制消息协议：介于网络层和传输层，传输网络诊断信息（error）或咨询信息 （information），既传输差错报文，又传输控制报文。是监控工具 Ping 和 Traceroute 的 重要组成部分。 安全威胁：①滥用 ICMP 来中断某些连接②利用 ICMP 对消息重定向（redirect）③死亡 之 ping。 2. 3. TCP 传输控制协议：由于 IP 数据包易丢失、被复制或乱序传递，TCP 可以将数据包排 ②三次握手进行连接时 TCP 协议处于半开放状态下，SYNFlood 攻击会使服 序并进行错误检查，重传重组，同时实现虚电路间的连接。 安全威胁：①unix 系统规定超级用户才可创建 1024 以下端口（特权端口）； 务器保持半开放连接状态进而无法完成三步握手协议，无法响应其他客户机的连接请求。 ③序号攻击：若攻击者能预测目标主机选择的起始序号就可欺骗目标主机。 如 Morris。 4. UDP 用户数据报协议：与 TCP 位于同一层，但是没有连接建立的过程（TCP 具有连接 建立、撤销和状态维护的过程），没有纠错和重传机制，也没有数据包检测机制，进行 大流量数据传输时易造成堵塞主机或路由器并导致数据包丢失，没有交换握手信息和序 号的过程导致使用 UDP 实施欺骗比使用 TCP 简单；用于交换消息的开销比 TCP 小，适 用于挑战/响应类型的应用，如 NFS,NTP,DNS(DNS 也使用 TCP)。 2.2网络地址和域名管理 5. 路由协议：一种在 Internet 上动态寻找恰当路径的机制，是支撑 TCP/IP、IPX/SPX、 AppleTalk 等协议工作的基础，目的是实现网络互联。 6. 非对称路由（返回通道与发送通道不一致）： 优点：起到负载均衡作用； 缺点：有多个防火墙时会引发安全问题。 7. 宽松路由（loose source route）：指定数据包必须经过的确切路由地址，根据 RFC1122， 目标主机必须使用逆通道作为返回路由，使得攻击者可以假冒目标主机信任的任一主机。 （最容易的攻击方式）。 8. 源路由欺骗：IP 地址并非是出厂时就与 MAC 地址固定在一起的，攻击者通过自封包和 修改网络节点的 IP 地址冒充某个可信节点的 IP 地址。 源路由攻击：获取 TCP 序列号进行序号攻击。 防范：①拒绝接收含有源路由功能的数据包，关闭主机和路由器上的源路由功能；②抛 弃由外部网进来却声称是内部主机的报文。 9. RIP 路由信息协议：动态路由选择，用于自治系统内的路由信息的传递，基于距离矢量 算法，使用跳数衡量到达目标地址的路由距离，只与 15 跳以内的路由器交换信息。 安全缺陷：①通过 RIP 数据包注入，若攻击主机比真正的源点主机距离更近则可能改变 数据流方向；防范：采用备份路由/使用 hopcount 站计数衡量路径长短②有些实现方案
    可以接收特定主机的路由，使检测更加困难。 10. DNS 域名系统：分布式数据系统，实现域名到 IP 之间的相互映射。 安全威胁： ①DNS 欺骗：DNS 的查询请求基于 UDP，客户端对 DNS 应答包仅通过随机发生的查询 ID 和 UDP 端口号验证，且只接受首先到达的应答包，为 DNS 欺骗提供了机会。 步骤：1）Arp 欺骗。欺骗者向用户发送伪造的 arp 应答报文，更新用户本地的 arp 缓存，使用户认为欺骗者为网关。这样，在用户向本地 DNS 服务器发送请求时，数据 的流向就改为用户—欺骗者—网关—本地 DNS 服务器。欺骗者通过 sniffer 软件，嗅探 到 DNS 请求包的 ID 和端口号。2）欺骗者利用得到的 ID 和端口号，优先向用户发送伪 造 DNS 应答，用户在对 ID 和端口号进行核对后认为是正确的应答。此时用户访问的域 名已经被替换为欺骗者伪造的 IP。3）本地 DNS 服务器发送的真的 DNS 应答包因为晚 于伪造包，用户收到后丢弃。（前提：攻击者与用户处于同一局域网） *不满足前提时，攻击者对 DNS 缓存进行攻击（如生日攻击），使 DNS 缓存中毒。 ②分布式拒绝服务攻击 DDos：攻击者通过庞大的被控主机群向目标 DNS 服务器发送 DNS 查询请求，使其过载以及网络线路堵塞。 ③DNS 软件漏洞攻击：Dos 攻击（发送特定数据包请求使 BIND 自动关闭无法应答）、 缓冲区溢出攻击（利用 DNS 软件对输入的请求字符串不做严格检查的安全漏洞，构造 特殊数据包使缓冲区溢出后执行特殊代码获取控制权） ④管理缺陷 防范措施：防范 ARP 攻击、采用 UDP 随机端口、建立静态 IP 映射、运行最新版本 BIND、 限制查询、利用防火墙、利用交叉检验、利用 DNSsec 机制、TCP 区转移。 DNSsec 机制：兼容现有协议的基础上引入加密和认证体系，允许校验应答信息的可靠 性。 11. NAT 网络地址转换协议：将私有（保留）地址转换为合法 IP 地址的转换技术，解决了 IPv4 地址短缺的问题，有效避免来自网络外部的攻击，隐藏并保护网络内部的计算机。 安全威胁：①不能与加密协调工作，不能对加密的应用数据流进行检查；②与 IPsec 冲 突。③单点攻击：SYN flood/Ping flood。 2.3电子邮件协议 12. SMTP 简单邮件传输协议：最常用，使用 25 号端口。 安全威胁：①主叫方通过命令指定一个返回地址，本地主机无法验证正确 性（无法确认发信人）；②可能成为 Dos 攻击的工具攻击邮件服务器；③最常见的实现 方案 Sendmail 中包含很多 C 代码并常以 root 用户权限工作造成安全漏洞，可能会被网 络蠕虫利用；④开放中继允许任何人之间进行邮件传递造成危险，比如收到垃圾邮件（使 用邮件托付 mail submission 认证功能拒绝接受开放中继）；⑤垃圾邮件 spam； 13. POP3 邮局协议：规定如何将个人计算机连接到网络邮件服务器上来下载邮件。使用 110 端口。 安全威胁：口令以明文传输或以明文形式存储在服务器上；POP3 服务器软件在认证结 束前以 root 权限运行，给服务器带来风险。 14. IMAP 消息访问协议：一种邮件获取协议，支持摘要浏览、选择性下载附件、支持离线 阅读，运行在 TCP/IP 协议之上，使用 143 号端口。 不足：挑战/响应机制使用了一个共享密钥且必须存储在服务器上；协议复杂度太高。 15. MIME 多用途网际邮件扩充协议：服务器通过说明 MIME 类型通知接收方/浏览器发送 的多媒体数据类型。 安全威胁：①缺少 MIME 可能引起计算机崩溃；②MIME 编码消息可能带有攻击代码；
    ③MIME 分段攻击；④邮寄可执行程序和含有危险动作的 PostScript 文件，其中蠕虫和 病毒传播的主要根源就是通过电邮发送可执行程序，或者发送含有伪造的“From：”命令 行的 MIME 信息。 3.数字证书与公钥基础设施 16. PKI(Public Key Infrastructure)即提供安全服务的公钥基础设施，目的是从技术上解决网 上身份认证、电子信息的完整性和不可否认性等安全问题为网络应用提供可靠的安全服 务。PKI 是遵循标准的密钥管理平台，提供密钥和证书管理。组成包括：证书机构 CA （发放和管理数字证书）、注册机构 RA（对证书申请进行资格审查）、证书发布库（存 放颁发证书与证书撤销列表供公众查询）、密钥备份与恢复（仅针对加/解密密钥）、证 书撤销、PKI 应用接口 17. PKI 的应用：①认证服务（身份识别与认证）②数据完整性服务（使用数字签名确认数 据没有被修改过）③数据保密性服务（“数字信封”机制：使用接收方的公钥加密对称密 钥）④不可否认服务（从技术上保证实体对行为的认可，主要是数据来源、接收与接收 后的不可否认性）⑤公证服务（数据认证：有效性和正确性）。 18. 数字证书：是一个用户的身份与其所持有的公钥的结合，由证书机构 CA 对证书进行数 字签名证明有效性。 生成参与方：参与方：最终用户、RA（签发、维护、撤销）、CA（接收和验证最终用户 的信息、为最终用户生成密钥、接收和授权密钥备份与恢复请求、接收与授权证书撤销 请求）； 生成步骤：密钥生成-注册-验证-证书生成； 19. 属性证书 AC：结构与数字证书相似，不包含用户的公钥而是在实体及其一组属性之间 建立联系，在授权服务中控制对网络、数据库等的访问和对特定物理环境的访问。 20. PKI 实例：PKI/CA 认证系统=签发系统 Authority+密钥管理中心系统 KMC+申请注册系 统 RA+证书发布系统 DA+在线证书状态查询系统 OCSP. 21. PMI 权限/授权管理基础设施：属性证书 AC、属性管理机构/属性权威 AA、属性证书库 等的集合体。以向用户和应用程序提供权限管理和授权服务为目标。主要负责向业务应 用系统提供与应用相关的授权服务管理，提供用户身份到应用授权的映射功能，实现与
    实际应用处理模式相对应的、与具体应用系统开发和管理无关的访问控制机制，极大简 化了应用中访问控制和权限管理系统的开发与维护，减少管理成本和复杂性。 22. PKI 与 PMI 的区别：PMI 主要进行授权管理，证明“你能做什么”；PKI 主要进行身份认 证，证明“你是谁”。 23. 实现 PMI 的机制： ①基于 Kerberos：基于对称密码技术，但不便于密钥管理和单点失败的问题，最适用于 大量的实时事务处理环境中的授权管理。 ②基于策略服务器概念：有一个中心服务器用来创建、维护和验证身份、组合角色，便 于实行单点管理，但易形成通信瓶颈，最适用于地理位置相对集中的实体环境，具有很 强的中心管理控制功能。 ③基于属性证书：分布式解决方案，具有失败拒绝的优点，但性能不高，适用于支持不 可否认服务的授权管理。 24. PMI 模型：目标+权限持有者+权限验证者。 4.密钥管理 25. 密钥管理：处理密钥从产生到最终销毁的整个过程中的有关问题，包括系统的初始化及 密钥的产生、存储、备份/恢复、装入、分配、保护、更新、控制、丢失、撤销和销毁等 内容。 26. 密钥管理中的常见威胁：①秘密钥的泄露；②密钥的确证性（authenticity）的丧失，即 共享或关于一个密钥的实体身份的知识或可证实性；③密钥未经授权使用。 27. 密钥种类： ①基本密钥/初始密钥/用户密钥 Kp：在较长时间内由一对用户专用的秘密钥，可与会话 密钥一起控制密钥产生器，产生用于加密数据的密钥流。 ②会话密钥/专用密钥 Ks：通信双方在一次通话或数据交换时用的密钥，保护数据时为 数据加密密钥，保护文件时为文件密钥，时间短暂。 ③密钥加密密钥/次主密钥/辅助（二级）密钥/密钥传送密钥 Ke：对密钥加密时采用的 密钥，每节点应互不相同。 ④主机主密钥 Km：对密钥加密密钥进行加密的密钥。
    28. 密钥产生方式：  理想的主机密钥：随机性、不可重复性、不可预测性；  密钥加密密钥：安全算法、二极管噪声产生器、伪随机数产生器；  会话密钥、数据加密密钥：安全算法。 29. 密钥分配：研究密钥的分发和传送问题，使用一串数字或密钥对通信双方所交换的秘密 信息进行加密、解密、传送等操作以实现保密通信或认证签名等。 30. 秘密信息共享的三种方法： ①利用安全信道实现密钥传递； 由通信双方直接面议或通过可靠信使传递密钥，成本高，保证及时性和安全性，偶尔出 现丢失、泄密。可采用分层方式即信使只传送密钥加密密钥，或将密钥拆分传送，或使 用主密钥对会话密钥加密。 ②利用双钥体制建立安全信道传递； 运算量大，不适合用于实时数据加解密，适合用来进行密钥分配。一公一私，发送方使 用公钥对会话密钥加密，收方收到密文后使用私钥解密可得会话密钥。公钥可通过验证 接收方的数字证书获得。 ③利用特定物理现象（如量子技术）实现密钥传递。 量子密码不可窃听、不可破译。 31. 密钥分配的基本工具：认证技术（保障）、协议技术（流程）。 32. 密钥分配的基本模式： ①点对点分配：每对用户共享一个密钥，N 个用户需要 N(N-1)/2 个密钥。只适用小型 网。 ②中心化密钥管理：将一个可信的联机服务器作为密钥分配 KDC 或转递 KTC 中心。各 用户只需保存一个与 KDC 或 KTC 共享的长期密钥。 33. 可信第三方 TTP： ①参与方式：协调（中间人，为 AB 通信提供实时服务*AB 属于不同安全区域时尤为重 要）、联机（实时参与 AB 每次协议的执行，不必参与通信）、脱机（不实时参与 AB 的 协议，而是预先向 AB 提供双方执行协议所需信息，对计算资源要求低，但撤销权宜时 不方便*证书发放管理机构常采用此种方式）。 ②其他功能：密钥服务器（KDC/KTC）；密钥管理设备；密钥查阅服务；时戳代理；仲 裁代理；托管代理。 34. 密钥交换协议： ①单钥体制的密钥建立协议：分为密钥传输协议与密钥协商协议。两方用户都分别与密 钥分配中心 KDC（即 Trent）共享一个密钥。 缺点：协议安全性完全依赖 Trent 的安全性；Trent 可能成为影响系统性能的瓶颈； Trent 出现故障会影响整个系统的正常工作。 ②双钥体制的密钥交换协议：公钥+会话密钥，双方公钥存放在数据库中。 缺点：中间人攻击（Men-in-the-middle Attack），窃听、修改、删除消息，或截获 数据库查询指令，或进入数据库修改双方公钥。之所以有效，是因为 AB 无法验证他们 正在与另一方会话。 ③联锁协议 Interlock：一半密文既不可解密，也不可重新加密，可有效抵挡中间人攻击。 ④采用数字签名的密钥交换：可信实体 Trent 对双方公钥进行数字签名，签名的公钥包 含在数字证书中。可有效防止假冒攻击（攻击者无法获得双方的私钥），防止中间人攻 击（攻击者无法获得 Trent 的私钥）。 ⑤密钥和消息广播：发送者使用随机数作为会话密钥对消息进行加密，从数据库中得到
    接收方的公钥并对加密后的信息再次加密，发送方广播加密的信息和所有加密的密钥。 可以在存储转发网络上实现，且服务器不必是安全可信的。 ⑥Diffie-Hellman 密钥交换协议：安全性建立在计算离散对数难题的基础上，但无法抵 抗中间人攻击，因为没有对通信双方的身份进行认证。 35. 认证的密钥交换协议：将认证与密钥建立结合。 密钥认证是为了确保自己是和安全的一方通信，而不是和中间人通信。包括隐式密钥认 证、密钥确证、显式密钥认证。 分类： ①基于单钥体制的密钥交换协议：大嘴青蛙协议、Yahalom 协议、NeedhamSchroeder 协议、Otway-Rees 协议、Neuman-Stubblebine 协议、Kerberos 协议。 ②基于双钥体制的密钥交换协议：如 Diffie-Hellman 协议 ③基于混合体制的密钥交换协议：如 DASS 协议、Denning-Sacco 协议、Woo-Lam 协 议、EKE 协议； e.g：Kerberos 协议：AB 各与 Trent 共享一个密钥，采用时戳技术保证消息新鲜性；AB 通 信的会话密钥由 A 产生。运行前提是每个用户必须具有与 Trent 同步的时钟，通过设立有 效时间间隔，可检测到重放攻击。 EKE 加密密钥交换协议：既采用单钥又采用双钥，采用共享密钥对随机生成的公钥 加密，通信双方可实现相互认证并共享一个会话密钥 K。 36. 选用/设计协议需考虑的因素：认证的特性、认证的互易性、密钥的新鲜性、密钥的控 制、有效性、第三方参与、是否采用证书、不可否认性。 37. 密钥的保护、存储与备份： 保护：保证环境安全、密钥不能以明文形式出现。 ①终端密钥的保护：使用二级通信密钥（终端主密钥）对会话密钥进行加密保护， 终端主密钥存储于主密钥寄存器中，由主机对各终端主密钥进行管理。 ②主机密钥的保护：主密钥原则 ③密钥分级保护管理法： 存储：保证密钥的机密性、认证性、完整性，防止泄露与被修改。 备份：安全员保管、共享密钥协议。 38. 密钥的泄露、撤销、过期与销毁： 泄露与撤销：一旦泄露要及时撤销。补救方法是及时更换密钥。 有效期：①短期密钥：如会话密钥（至少一天一换） 销毁：旧密钥要及时销毁，碎纸机、多次重写、自毁装置。 ②长期性密钥：如密钥加密密钥（一月或一年一换） ③用于加密数据文件或存储数据的密钥不能经常更换 ④公钥密码的秘密密钥由具体应用确定，一般以年计，过期密钥也要保留。 5.防火墙原理与设计 39. 防火墙：由软件和硬件组成的系统，处于安全的网络和不安全的网络之间，根据系统管 理员设置的访问控制规则对数据流进行过滤。
     不足：防外不防内；绕过防火墙的连接无效；必须允许重要的服务通过，也为攻击 预留了通道。  设计要求： a) 所有进出网络的数据流都必须通过防火墙； b) 只允许经过授权的数据流通过防火墙； c) 防火墙自身对入侵是免疫的。 d) 与防火墙的功能实现不相干但又可能给防火墙自身带来安全威胁的网络服 务和应用程序应当从防火墙中剥离出去。如 NIS\rlogin    包过滤-电路级网关-应用级网关-状态检测-内核代理结构/自适应代理。  分类： 根据过滤层次：包过滤防火墙、电路级网关防火墙、应用级网关防火墙。 *防火墙通常建立在 TCP/IP 模型基础上。 *防火墙工作的层次越高，检查数据包中的信息越多，工作周期越长，安全保护等 级越高。 40. 静态包过滤防火墙：采用路由器上的过滤模块实现，无需采用专门设备，低开销，每个 网络入口都可配备。 a) 工作原理：对两个方向的每一个数据包根据一组过滤规则对数据包中 IP 头和协议 头等特定域（数据源地址、目的地址、源端口号、目的端口号、应用或协议）进行 检查和判定从而进行过滤。工作于网络层。 b) 实现的三个功能：①接收到达的每个数据包；②对数据包采用过滤规则；③若无规
    则与数据包头信息匹配，则对包施加默认规则。 c) 访问控制规则库：将特定域与规则逐条比较；默认规则包括允许一切或拒绝一切； 可规定拒绝或接收发往/来自某特定 IP 地址或地址范围的数据包；可规定拒绝或接 收发往/来自某特定服务端口的数据包。 d) 配置步骤：明确企业网络的安全策略；用逻辑表达式表示数据包的类型；语法重写。 e) 安全威胁： ①检查是按顺序进行的，所以过滤规则顺序极其重要； ②无法识别伪造 IP 地址，可能受到 IP 地址欺骗攻击； ③不检查数据包的净荷部分，可能遭受隐信道攻击； ④没有状态感知能力，不能动态打开端口。 f) 优缺点：网络性能影响小，成本低； 安全性低，缺少状态感知能力，创建访问控制规则比较困难。 41. 动态包过滤防火墙：根据当前网络状态检查数据包，兼具安全性和透明性，所有客户端 软件不加修改即可工作，过滤规则表动态化。 a) 工作原理：具有状态感知能力，工作在网络层/传输层，既对数据包头信息进行检 查（与静态包过滤原理一致），又可对连接进行处理，能感知新建连接与已建连接 的区别，若某包与外出数据包有相同连接，则无需检查直接放行。可处理 TCP 和 UDP 协议。 b) 特点：①面向连接；②将连接状态记录于 RAM 表单，后续数据包与 RAM 表单比 较，在系统内核层实现； c) 实现方式：动态改变规则集；模仿电路级防火墙。 d) 安全性讨论： ①FTP 数据通道的安全性，要对 21 号端口（FTP 命令通道）进行特别处理； ②具有性能差异。来源 1.是否支持对称多处理技术 2.建立连接的方式； ③有些防火墙不满足三步握手协议，接收第一个 SYN 数据包时就打开新连接，使 服务器易受伪装 IP 地址攻击，如单数据包攻击（如 LAND、PING OF DEATH、Tear Drop）。 e) 优缺点：网络性能影响小，安全性优于静态包过滤，状态感知带来性能提升； 检查字段有限，不检查净荷，易受伪装 IP 地址欺骗，创建规则较难，不 一定遵循 TCP 三次握手协议而引入风险。 42. 电路级网关：又名线路级网关，类似中继计算机的作用，作为服务器接收外来请求，有 内部主机请求访问外部网络时充当代理服务器。当有效连接建立后仅进行转发不再过滤。 如 SOCKS（其实是一种网络代理协议）。 a) 工作原理：是包过滤防火墙的扩展，工作在会话层。除了基本的包过滤检查，还增 加了对连接建立过程中的握手信息及序列号合法性的验证。 ①阻止了 IP 数据包端到端的流动；②IP 层存在的碎片攻击、firewalking 等问题都 会在中继主机上终结；③在两个无任何 IP 连通性的网络之间架起了一道桥梁；④ 一般可直接建立电路连接，有时需要网关协助。 b) 处理过程：接收-检查更多字段-处理。 c) 安全性讨论： ①对网络性能影响较小； ②一旦建立连接，任何应用均可通过连接运行，缺少对数据包内容的过滤。 d) 优缺点：对网络性能有一定程度的影响，切断了外部网络到防火墙后的服务器的直 接连接，比包过滤防火墙具有更高的安全性；不能对数据净荷进行检测，无法提供
    分享到：
    赞 收藏

    相关推荐

    资料库

    安全技术

    共收录1285份资料，累计4个分类，关注成员有19位，主要包括：网络攻防,系统安全,其它,网络安全

    热门标签

    网络攻防 系统安全 其它 网络安全

    最新资料