第 1讲:网络安全概述1、计算机网络:我们讲的计算机网络 , 其实就是利用通讯设备和线路将地理位置不同的、功能独立的多个计算机系统互连起来 , 以功能完善的网络软件 (即网络通信协议、信息交换方式及网络操作系统等实现网络中资源共享和信息传递的系统。
它的功能最主要的表现在两个方面 :一是实现资源共享 (包括硬件资源和软件资源的共享 ; 二是在用户之间交换信息。
计算机网络的作用是 :不仅使分散在网络各处的计算机能共享网上的所有资源 , 并且为用户提供强有力的通信手段和尽可能完善的服务 , 从而极大的方便用户。
从网管的角度来讲 , 说白了就是运用技术手段实现网络间的信息传递 , 同时为用户提供服务。
计算机网络通常由三个部分组成 , 它们是资源子网、通信子网和通信协议。
所谓通信子网就是计算机网络中负责数据通信的部分 ; 资源子网是计算机网络中面向用户的部分 , 负责全网络面向应用的数据处理工作 ; 而通信双方必须共同遵守的规则和约定就称为通信协议 , 它的存在与否是计算机网络与一般计算机互连系统的根本区别。
2、计算机网络安全的定义(从狭义的保护角度来看,计算机网络安全是指计算机及其网络系统资源和信息资源不受自然和人为有害因素的威胁和危害,从广义来说,凡是涉及到计算机网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是计算机网络安全的研究领域。
3、本课程中网络安全:指网络信息系统的硬件、软件及其系统中的数据受到保护,不因偶然的或者恶意的破坏、更改、泄露,系统能连续、可靠、正常地运行,服务不中断。
(主要指通过各种计算机、网络、密码技术和信息安全技术,保护在公有通信网络中传输、交换和存储信息的机密性、完整性和真实性,并对信息的传播及内容具有控制能力,不涉及网络可靠性、信息可控性、可用性和互操作性等领域。
网络安全的主体是保护网络上的数据和通信的安全。
1数据安全性是一组程序和功能,用来阻止对数据进行非授权的泄漏、转移、修改和破坏。
2通信安全性是一些保护措施,要求在电信中采用保密安全性、传输安全性、辐射安全性的措施,并依要求对具备通信安全性的信息采取物理安全性措施。
注意,此处网络安全在不同的环境和应用中有不同的解释,注意区分:1计算机及系统安全。
包括计算机系统机房环境的保护,法律政策的保护,计算机结构设计安全性考虑,硬件系统的可靠安全运行,计算机操作系统和应用软件的安全,数据库系统的安全,电磁信息泄露的防护等。
本质上是保护系统的合法操作和正常运行。
2网络上系统信息的安全。
包括用户口令鉴别、用户存取权限控制、数据存取权限、方式控制、安全审计、安全问题跟踪、计算机病毒防治和数据加密等。
3网络上信息传播的安全。
包括信息过滤等。
它侧重于保护信息的保密性、真实性和完整性。
避免攻击者进行有损于合法用户的行为。
本质上是保护用户的利益和隐私。
4、安全的主要属性:完整性、保密性、可用性、不可抵赖性、可靠性。
安全的其他属性:可控性、可审查性、真实性(注:一般通过认证、访问控制来实现真实性。
5、网络安全的主要威胁因素:信息系统自身安全的脆弱性、操作系统与应用程序漏洞、安全管理问题、黑客攻击、网络犯罪。
第 2讲网络攻击阶段、技术及防范策略1、黑客与骇客。
根本的区别在于是否以犯罪为目的。
黑客是指利用计算机技术,非法入侵或者擅自操作他人(包括国家机关、社会组织及个人计算机信息系统,对电子信息交流安全具有不同程度的威胁性和危害性的人(一般是研究为主。
骇客指利用计算机技术,非法入侵并擅自操作他人计算机信息系统,对系统功能、数据或者程序进行干扰、破坏,或者非法侵入计算机信息系统并擅自利用系统资源,实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或其他犯罪的人(一般是犯罪为主。
骇客包括在黑客概念之中,前者基本上是计算机犯罪的主体,后者的行为不一定都构成犯罪。
2、网络黑客的主要攻击手法有:获取口令、放置木马、 web 欺骗技术、电子邮件攻击、通过一个节点攻击另一节点、网络监听、寻找系统漏洞、利用缓冲区溢出窃取特权等。
3、网络攻击过程一般可以分为本地入侵和远程入侵。
4、远程攻击的一般过程:远程攻击的准备阶段、远程攻击的实施阶段、远程攻击的善后阶段。
5、远程攻击的准备阶段:确定攻击目标、信息收集、服务分析、系统分析、漏洞分析。
6、常见的攻击目的有破坏型和入侵型两种。
破坏型攻击——是指只破坏攻击目标,使之不能正常工作,而不能随意控制目标上的系统运行。
入侵型攻击——这种攻击要获得一定的权限才能达到控制攻击目标的目的。
应该说这种攻击比破坏型攻击更为普遍,威胁性也更大。
因为攻击者一旦掌握了一定的权限、甚至是管理员权限就可以对目标做任何动作,包括破坏性质的攻击。
7、信息收集阶段:利用一切公开的、可利用的信息来调查攻击目标。
包括目标的操作系统类型及版本、相关软件的类型、版本及相关的社会信息。
包括以下技术:低级技术侦察、 Web 搜索、 Whois 数据库、域名系统(DNS 侦察。
8、低级技术侦察,分别解释:社交工程、物理闯入、垃圾搜寻。
9、确定目标主机采用何种操作系统原理:协议栈指纹(Fingerprint10、远程攻击的实施阶段:作为破坏性攻击,可以利用工具发动攻击即可。
作为入侵性攻击,往往需要利用收集到的信息,找到其系统漏洞,然后利用漏洞获取尽可能高的权限。
包括三个过程:预攻击探测:为进一步入侵提供有用信息;口令破解与攻击提升权限;实施攻击:缓冲区溢出、拒绝服务、后门、木马、病毒。
11、远程攻击常用的攻击方法:第一类:使用应用程序和操作系统的攻击获得访问权:基于堆栈的缓冲区溢出、密码猜测、网络应用程序攻击。
第二类:使用网络攻击获得访问权 :嗅探、 IP 地址欺骗、会话劫持。
第三类:拒绝服务攻击。
12、远程攻击的善后阶段:维护访问权、掩盖踪迹和隐藏。
攻击者在获得系统最高管理员权限之后就可以任意修改系统上的文件了,所以一般黑客如果想隐匿自己的踪迹,最简单的方法就是删除日志文件。
但这也明确无误地告诉了管理员系统已经被入侵了。
更常用的办法是只对日志文件中有关自己的那部分作修改。
13:黑客入侵的一般完整模式:隐藏自己→踩点→ 扫描→查点→分析并入侵→获取权限→扩大范围→安装后门→清除日志并隐身。
(注意:一般完整的攻击过程都是先隐藏自己,然后再进行踩点或预攻击探测,检测目标计算机的各种属性和具备的被攻击条件,然后采取相应的攻击方法进行破坏,达到自己的目的,之后攻击者会删除自己的行为日志。
14、为防止黑客入侵,个人用户常见防护措施:防火墙、杀毒软件定期升级和杀毒、定期及时升级系统和软件补丁、定期备份系统或重要文件、加密重要文件、关闭不常用端口、关闭不常用程序和服务、发现系统异常立刻检查。
15:网络管理常用的防护措施:完善安全管理制度、采用访问控制措施、运行数据加密措施、数据备份与恢复。
16、物理环境的安全性体现:包括通信线路的安全,物理设备的安全,机房的安全等。
物理层的安全主要体现在通信线路的可靠性(线路备份、网管软件、传输介质 ,软硬件设备安全性(替换设备、拆卸设备、增加设备 ,设备的备份,防灾害能力、防干扰能力,设备的运行环境(温度、湿度、烟尘 ,不间断电源保障,等等。
第 3讲:扫描与防御技术1、扫描器:扫描器是一种自动检测远程或本地主机安全性弱点的程序。
集成了常用的各种扫描技术。
扫描器的扫描对象:能自动发送数据包去探测和攻击远端或本地的端口和服务,并自动收集和记录目标主机的各项反馈信息。
扫描器对网络安全的作用:据此提供一份可靠的安全性分析报告,报告可能存在的脆弱性。
2、网络扫描器的主要功能:扫描目标主机识别其工作状态(开 /关机、识别目标主机端口的状态(监听 /关闭、识别目标主机操作系统的类型和版本、识别目标主机服务程序的类型和版本、分析目标主机、目标网络的漏洞(脆弱点、生成扫描结果报告。
3、网络扫描的作用:可以对计算机网络系统或网络设备进行安全相关的检测,以找出安全隐患和可能被黑客利用的漏洞。
4、网络漏洞:网络漏洞是系统软、硬件存在安全方面的脆弱性,安全漏洞的存在导致非法用户入侵系统或未经授权获得访问权限,造成信息篡改、拒绝服务或系统崩溃等问题。
5、一个完整的网络安全扫描分为三个阶段:第一阶段:发现目标主机或网络。
第二阶段:发现目标后进一步搜集目标信息,包括操作系统类型、运行的服务以及服务软件的版本等。
如果目标是一个网络,还可以进一步发现该网络的拓扑结构、路由设备以及各主机的信息。
第三阶段:根据收集到的信息判断或者进一步测试系统是否存在安全漏洞。
6、网络安全扫描技术包括 PING 扫描、操作系统探测、穿透防火墙探测、端口扫描、漏洞扫描等:1 PING 扫描用于扫描第一阶段,识别系统是否活动。
2 OS 探测、穿透防火墙探测、端口扫描用于扫描第二阶段。
OS 探测是对目标主机运行的 OS 进行识别;穿透防火墙探测用于获取被防火墙保护的网络资料;端口扫描是通过与目标系统的 TCP/IP端口连接,并查看该系统处于监听或运行状态的服务。
3漏洞扫描用于安全扫描第三阶段,通常是在端口扫描的基础上,进而检测出目标系统存在的安全漏洞。
7、漏洞扫描主要通过以下两种方法来检查目标主机是否存在漏洞:1基于漏洞库的特征匹配:通过端口扫描得知目标主机开启的端口以及端口上的网络服务后,将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配,查看是否有满足匹配条件的漏洞存在; 2基于模拟攻击:通过模拟黑客的攻击手段,编写攻击模块,对目标主机系统进行攻击性的安全漏洞扫描,如测试弱势口令等,若模拟攻击成功,则表明目标主机系统存在安全漏洞。
8、常用扫描工具:SATAN 、 Nmap 、 Nessus 、 X-scan9、扫描技术一般可以分为主动扫描和被动扫描两种,它们的共同点在于在其执行的过程中都需要与受害主机互通正常或非正常的数据报文。
其中主动扫描是主动向受害主机发送各种探测数据包,根据其回应判断扫描的结果。
被动扫描由其性质决定,它与受害主机建立的通常是正常连接,发送的数据包也属于正常范畴,而且被动扫描不会向受害主机发送大规模的探测数据。
10、扫描的防御技术:反扫描技术、端口扫描监测工具、防火墙技术、审计技术、其它防御技术。
11、防范主动扫描可以从以下几个方面入手:(1减少开放端口,做好系统防护; (2实时监测扫描,及时做出告警; (3伪装知名端口,进行信息欺骗。
12、被动扫描防范方法到目前为止只能采用信息欺骗(如返回自定义的 banner 信息或伪装知名端口这一种方法。
13、防火墙技术是一种允许内部网接入外部网络,但同时又能识别和抵抗非授权访问的网络技术,是网络控制技术中的一种。
防火墙的目的是要在内部、外部两个网络之间建立一个安全控制点,控制所有从因特网流入或流向因特网的信息都经过防火墙,并检查这些信息,通过允许、拒绝或重新定向经过防火墙的数据流,实现对进、出内部网络的服务和访问的审计和控制。