网络安全——技术与实践 刘建伟版 重点和笔记

华中科技大学网络安全学院考研复试笔试部分：《网络安全——技术与实践》重点和笔记，全是图和表格总结的重点，方便复习

一、第一章：绪论

1. 信息安全目标*4以及安全威胁

理解和对应

(1) 信息安全目标/基本威胁/潜在威胁：

信息安全目标	基本威胁	潜在威胁
保密性： 保证数据秘密性	信息泄露	窃听：流量分析，报文分析，射频截获
完整性： 保证数据不被篡改	完整性损害	截获/篡改
可用性： 允许合法用户正常访问	拒绝服务	资源耗尽/完整性侵犯
合法使用： 保证资源授权使用（访问控制？）	非法使用	窃取

(2) 可实现威胁： 可以导致所有基本威胁的威胁

0x00: 渗入

• 假冒： 假冒成授权实体等
• 授权攻击： 获取授权
• 旁路攻击： 漏洞利用
• 物理侵入： 拔网线

0x01: 植入

• 木马
• 蠕虫：依附其他进程传播
• 病毒：自行传播
• 陷门（权限保持）：在别人系统开后门

2. 安全攻击分类

区分，了解类别中有哪些攻击方法

被动攻击：不直接造成破坏	主动攻击：造成破坏
窃听	截获
流量分析	重放攻击
	伪装/欺骗
	拒绝服务

3. OSI安全体系

了解每个安全机制能提供的安全服务

• 安全服务(X.800)： 要达到的目标
  • 保密性
  • 完整性
  • 访问控制：保证授权使用
  • 认证
  • 不可抵赖：发送方不可抵赖已发送的数据
• 安全机制(X.800)： 具体的手段和技术
  • 加密：加密算法如：
    • 对称密码体系：流密码，DES，AES（组合密码），
    • 非对称密码体系（公钥体系）：RSA（大数质因数分解），ElGamal（乘法群离散对数），椭圆曲线（加法群离散对数）
  • 数字签名：先解密后加密，可以保证完整性和不可抵赖
  • 完整性保护：如哈希检错：HMAC（MD5，SHA等）
  • 访问控制：基于各种策略的授权访问
  • 认证交换：交换认证信息如交换PKI证书等
  • 流量填充：数据流空隙加没用的位防止流量分析
  • 路由控制：只使用信任的路由
  • 公证：可信的第三方公证，如PKI证书

	加密	数字签名	完整性保护	访问控制	认证交换	流量填充	路由控制	公证
保密性–数据保密	o						o
保密性–流量保密	o					o	o
完整性	o	o	o
访问控制				o
不可抵赖		o	o					o
认证–数据源认证	o	o
认证–实体认证	o	o			o

二、第三章：Internet协议的安全性

每层，每种协议，了解常见攻击和防御手段

1. 网络层：IP，ICMP，ARP

（1）IP*6：窃听， 篡改， 欺骗， 分片攻击， 路由改变， 定向广播

攻击，原理	防御
窃听：IP无加密	检测如PingTest（源地址无效的ping，只有监听机会回应），加密如IPsecESP协议
篡改：IP仅校验头部 并且只防随机错误，不防人为篡改	加校验如IPsec的AH&ESP
源地址欺骗：IP无源端认证	采用认证如IPsec的AH&ESP
路由改变：IP支持指定往返路由	在路由器上禁止此选项
分片攻击 1. Overlap：故意构造错误偏移地址把恶意信息折叠 2. 大包攻击：Ping最大数据缓冲区65530 3. 小包攻击：把头放在多个分片绕过包过滤防火墙	禁止分片，或使用序号机制如IPsec
定向广播：IP支持广播	禁止定向广播

（2）ARP*3：ARP欺骗，ARP重定向，MACFlood

攻击，原理	防御
ARP欺骗：相应别人的ARP请求做中间人	静态ARP
ARP重定向：不停告诉别人我是网关	静态ARP
MAC泛洪： 发一堆ARP填满交换机的映射表，导致交换机变集线器	不知

（3）ICMP*3：ICMP DoS，ICMP重定向

攻击，原理	防御
ICMP重定向： 发重定向报文改变某主机路由表，自己伪装成路由器	阻止一些类型的ICMP
ICMP拒绝服务-针对带宽DOS： 狂ping	防火墙设置允许单向ping
ICMP拒绝服务-针对连接DOS： 发不可达报文，中断别人的连接	阻止一些类型的ICMP

2. 传输层：TCP，UDP

（1）TCP*3：SYNflood，序号攻击，拥塞攻击

攻击，原理	防御
SYN-Flood： 1. 原理：语义DoS（利用协议设计缺陷DoS） 发一堆SYN，由于Server在第一次连接就分配TCB（保持连接的资源） 形成一堆半连接，耗费Server的资源 2. 攻击方式和防止攻击到自己： 源地址欺骗：防止返回的ACK攻击到自己 反射攻击：源地址填受害者，狂发给某些Server利用返回报文攻击 放大攻击：利用如DNS协议，请求报文小，相应报文大	检测，包过滤，高防 1. 检测连接状态和速率 释放半连接和不活动的连接 2. 源地址过滤 配合包过滤防火墙 3. 延缓TCB，如代理（高防） （1）SYNproxy： 窗口设置为0 （2）SYNcache： SYN1用cache保存连接 不分配TCB且窗口为0 （3）SYNcookie： SYN2发cookie 无TCB （4）SYNreset： SYN2发cookie 让主机重连被保护Server 后面高防不代理
序号猜测： A被攻击者 B与A连接者 X攻击者 1. 使B拒绝服务 2. 连接A的其他端口看序号规律 3. 猜测A的序号连接要攻击的端口	采用复杂的序号模式
拥塞控制： 故意制造拥塞来DoS	检测异常流量

（2）UDP*2：UDPflood，UDP欺骗

攻击，原理
UDP-Flood：UDP无拥塞控制，狂发，暴力DoS
UDP欺骗：UDP无认证

3. 应用层：FTP，DNS，Email相关，Telnet

（1）DNS*3：DNS劫持，DNS污染，DNS中毒

攻击，原理	现象
DNS劫持： 劫持DNS服务器	解析不正确返回假网站
DNS污染： 伪装成DNS服务器 解析出假网站，常配合ARP欺骗 要自己运行DNS和Web服务	解析不正确返回假网站
DNS中毒： 伪装DNS的响应	解析不正确返回假网站

（2）FTP*5：窃听， port，越权，反射攻击，匿名攻击

port模式：Client自己指定端口

pasv模式：Server相应时会把端口发过去

如果两个模式都开着用户自己可以选择的

攻击，原理	防御
窃听：FTP无加密	加密，如SFTP
port模式指定端口绕过访问控制/包过滤	1. 关闭port 2. 使用SFTP：加密且使用SSH（固定22端口）
FTP反射攻击	1. 关闭port 2. 使用SFTP
FTP匿名垃圾文件：在公共区放垃圾	关闭公共访问区
越权	不要在root用户运行FTP，最小权限原则 防止被劫持后造成更大破坏

（3）Email*3：垃圾邮件，邮件炸弹，社工

攻击，原理
垃圾邮件
邮件炸弹：狂发邮件填满你的小邮箱
社会工程学：电诈

（4）Telnet

不安全，不加密，无认证，请用SSH

4. 路由协议： RIP（应用层），OSPF（网络层），BGP（应用层）

1. RIP*2： RIP更新报文欺骗， 嗅探截获重放

攻击， 原理	防御
RIP路由更新报文欺骗： RIPv1无认证，RIPv2MD5已被破解	访问控制，认证
嗅探，截获并重放： RIP用不可靠不加密的UDP	开被动模式（只进不出）

2. OSPF

协议缺陷：

• 虽然有认证但是有些采用口令，可以针对口令进行攻击
• 有泛洪，攻击容易扩散

3. BGP

协议缺陷：

• 无认证： 增加认证的改进协议如MD5-BGP，SBGP

X. 网络监听：总线式LAN，交换式LAN，WAN，WLAN

如何在如下四种网络中监听

网络拓扑	监听方法
总线式局域网 集线器Hub	1. 打开NIC（网卡）的混杂模式 2. ARP欺骗
交换式局域网 交换机Switch	1. MAC-Flood 2. ARP欺骗 3. ICMP重定向
广域网 路由器网关等	1. 劫持路由器 2. 光纤分流 3. 直接攻击主机 - 如DNS污染，漏洞利用，等植入和渗入手段
WLAN	1. 对无加密协议直接监听 2. 破解弱口令 3. 自建热点监听

三、第十二章：防火墙

1. 防火墙分类

	静态包过滤	动态包过滤	电路级网关	应用级网关	状态检测	空气隙
原理	基于检查内容 配置访问限制 以过滤	维护链接表 并进行包过滤	先包过滤 做代理	先包过滤 做代理 为指定 应用专用	维护很多状态 对无连接协议 也构造虚拟连接	共享磁盘 做代理 一般防火 墙是共 享主存
工作层级	网络层	网络层 /传输层	传输层	应用层	所有层	若搭配 应用级网关 应用层
检查内容	s/dIP, s/dPort, Protocol	s/dIP, s/dPort, Protocol	s/dIP, s/dPort, Protocol SYN， ACK， seq	针对某一应 用专门设计	状态： 保存每层 各种信息 事无巨细	若搭配 应用级网关： 专门设计
性能 安全性	= =	>静态 >静态	<包过滤 >包过滤	<电路级 >电路级	<应用级 >应用级	不知
对用户 /应用透明	透明	透明	对应用透明	不透明	不透明	不透明
强代理	无代理	无代理	有代理 但非强代理	强代理	强代理	强代理
认证	无	无	连接 前认证	有	有	有
状态感知	无	有	有	有	有	有
屏蔽内部ip	无	无	有	有	有	有
多端口协 议支持	无 为了妥协 FTP要开 很多端口	无 同静态	有 开了socks 代理才有	有	有可以检查 FTP报文动 态开端口， 连接断了 就关掉	有
IP分片攻击 IP欺骗	不防	不防	防	防	防	防
隐信道攻击	不防	不防	不防	防	防	防
应用层攻击	不防	不防	不防	防	防	防
缓冲区 溢出攻击	不防	不防	不防	防 （有强代理）	防 （有强代理）	防 （有强代理）

2. 防火墙部署

1. DMZ

一片非真正可信的网络，供外部和内网访问，但不能访问内网

0x00: 单防火墙体系

0x01: 双防火墙体系

2. 堡垒主机

一台在内网边界，保护内网，有时要作为防御的牺牲品保护内网的主机

0x00：单宿主堡垒主机模型

和内网在一起

0x01：双宿主堡垒主机模型

作为内网的入口，进入内网的所有消息都经过堡垒主机

0x02：屏蔽子网模型

堡垒主机放在DMZ

3. 防火墙局限性和攻防

四、第十三章：入侵检测技术IDS

1. IDS评价标准和功能

（1）评价标准

• 误分率：正常行为判断为攻击
• 漏分率：攻击判断为正常行为

（2）功能和结构

• 数据收集

  • 系统日志
  • 网络
  • 进程
  • 文件系统，文件/目录的增减
  • 物理入侵

• 数据分析

  • 模式匹配：误用检测
  • 统计分析：异常检测
  • 完整性分析：一般是受攻击后的检测，检查文件什么的还在不在

• 安全响应

  • 被动响应：报警鸣笛发短信什么的，不实际控制系统
  • 主动响应：主动做出控制清除攻击

2. IDS分类

（1）按分析方法： 误用检测，异常检测

误用检测：就是保存好已知的攻击，如果特征与其一样就判定为攻击

异常检测：勾勒出系统正常运行的指标范围，如果超出这个范围就判定为攻击

	误用检测	异常检测
误分率	低	高
漏分率	高	低
特点	无法检测新攻击 完全依赖误用库	可以检测新攻击 范围难以界定 难以对攻击区分 在范围形成过程中有机可乘

（2）按数据来源：NIDS，HIDS，DIDS（DIDS非重点）

0x00：NIDS和HIDS对比

a. 关键技术：NIDS*3， HIDS*2

NIDS	HIDS
协议分析：重组分片进行分析	网络连接检测
零复制技术：和检测的主机共享内存	主机系统检测
蜜罐技术：故意弄靶机引诱别人攻击

b. 特点

	NIDS	HIDS
视野	宽	集中
占资源	少	多
隐蔽性	高	低
实时性	高	低
加密数据	不支持	支持
交换式网络	难配置	支持
针对主机攻击检测	不能	能
缓冲区溢出检测	不能	能

3. IDS的部署

（1）NIDS*4: 内网主干，外网入口，DMZ，关键子网

内网主干	外网入口	DMZ	关键子网
由于防火墙，不能检测到所有攻击	可以得到最原始攻击	可以检测防火墙性能 由于防火墙，不能检测所有攻击	集中检测，流量小

（2）HIDS

在部分重要主机上部署比如DB，WebServer，FTPServer等

五、第十四章：虚拟专用网络VPN

1. VPN功能

2. VPN分类及安全协议

六、其他次要章节概述：非重点，没考过但是其他章节的基础

1. PKI公钥基础设施体系

（1）公钥基础设施

（2）数字证书

2. 密钥管理和密码协议

3. 密码学

（0）密码体系简介

（1）加密-对称密码体系

（2）加密-非对称密码体系（公钥密码体系）

（3）数字签名

（4）认证和HASH