网络安全
网络安全及管理概述
网络安全的概念
网络安全包括网络硬件的资源和信息资源的安全性。
网络管理的概念
网络管理是指监督，组织和控制网络通信服务，以及信息处理所必需的各种活动的总称。其目的是确保计算机网络的持续正常运行，使网络中的资源得到更加有效的利用，并在计算机网络出现异常时能及时响应和排除障碍。
从网络管理范畴来分类，可分为对网络设备的管理，对接入的内部计算机、服务器等进行的管理，对行为的管理，对网络设备硬件资产进行管理。
安全网络的特征
可靠性：网络信息体统能够在规定条件下和规定的时间内完成规定功能的特性，可靠性是所有网络信息系统建设和运行的目标。
可用性：可用性是指网络信息可被授权实体访问病案需求使用的特性。
保密性：保密性是指网络信息不被泄露给非授权用户、实体或过程，或者供其利用的特性。
完整性：完整性是指网络信息未经授权不能进行改变的特性，即网络信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。
可控性：可控性是指对信息的传播及内容具有控制能力。
可审查性：可审查性是指出现安全问题是提供的依据与手段。
常见的网络拓扑
网络拓扑是指网络的结构方式，表示连接在地雷位置上分散的各个节点的几何逻辑方式。
在实际应用中，通常采用它们中的全部或部分混合非形式，而非某种单一的拓扑结构。
·总线形拓扑结构
总线形拓扑是将所有的网络工作站或网络设备连接在同一物理介质上，这是每个设备直接连接在通常所说的主干电缆上。
缺陷：故障诊断困难 故障隔离困难 终端必须是智能的
·星形拓扑结构
星形拓扑结构由中央节点和通过点到点链路连接到中央节点的各站点组成。
缺陷：对电缆的需求大且安装困难 扩展困难 对中央节点的依赖性太大 容易造成“瓶颈”现象
·环形拓扑结构
环形拓扑结构的网络由一些中继器和连接中继器的点到点链路组成一个闭合环。
缺陷：节点的故障将会引起全网的故障 故障诊断困难 不易重新配置网络 影响访问协议
·树形拓扑结构
树形拓扑结构是从总线形拓扑演变而来的，其形状像一棵倒置的树。
网络安全基础
OSI七层模型及安全体系结构
1、七层模型的组成
OSI参考模型由上到下分别为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
·应用层：访问网络服务的接口，例如为操作系统或网络应用程序提供访问网络服务的接口。常见的应用层协议有Telnet、FTP、HTTP、SNMP、DNS等。
·表示层：提供数据格式转换服务。
·会话层：建立端连接并提供访问验证和会话管理。
·传输层：提供应用进程之间的逻辑通信。
·网络层：为数据在节点之间传输创建逻辑链路，并分组转发数据。
·数据链路层：在通信的实体间建立逻辑链路通信。
·物理层：为数据端设备提供原始比特流传输的通路。
2、OSI协议的运行原理
在发送端，从高层到底层进行数据封装操作，每一层都在上层数据的基础上加入本层的数据头，然后再传递给下一层处理。
在接收端，对数据的操作与上述过程相反，数据单元在每一层被去掉头部，根据需要传送给上一次来处理，知道应用层解析后被用户看到内容。
3、OSI安全体系结构
优点：将服务、接口和协议这三个概念明确地区分开来，也使网络的不同功能模块分担起不同的职责。
5类相关的安全服务：
·认证（鉴别）服务
·访问控制服务
·数据保密性服务
·数据完整性服务
·抗否认性服务
TCP/IP协议及安全
TCP/IP协议是 Internet的基本协议，由OSI七层模型中的网络层IP协议和传输层TCP协议组成。ICP/IP协议定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。
网络层协议
IP协议
IP层封装来自更低层（网络接口层）发来的数据包，并把该数据包应用到更高层-TCP或USP层。
IP并没有任何手段来确认数据包是按顺序发送的或没有被破坏。
IP数据包中含有发送它的主机地址（源地址）和接受它的主机地址（目的地址）。
对于一些应用到TCP和UDP的服务来说，使用了该选项的IP包是从路径上的最后一个系统终端传递过来的，而不是来自于它的真实地点。
传输层协议
TCP
三次握手机制：握手的第一个报文为SYN包；第二个报文为SYN/ACK包，表明它应答第一个SYN包，同时继续握手的过程；第三个报文仅仅是一个应答，表示为ACK包。
威胁如下：
1.攻击者监听B方发出的SYN/ACK报文。
2.攻击者向B方发送RST包，接着发送SYN包，假冒A方发起新的连接。
3.B方响应新连接，并发送连接响应报文SYN/ACK。
4.攻击者再假冒A方对B方发送ACK包。
UDP
UDP报文由于没有可靠性保证、顺序保证和流量控制字段，因此可靠性较差。
UDP协议的控制选项较少，使其具有数据传输过程种延迟小、数据传输效率高的优点。
应用层协议
比如HTTP、HTTPS、FTP、SMTP、TelenDNS、POP3等，这些协议在实际应用中要用到应用程序代理。
由于外部系统与内部服务器之间没有直接的数据通道，外部的恶意侵害也就很难伤害到企业内部网络系统。
安全封装协议
IPSec
IPSe安全协议工作在网络层，运行在它上面的所有网络通道都是加密的。
两个IPSec实体试图进行通信前，必须通过IKE协商SA，协商过程中要进行身份认证，身份认证采用公钥签名机制，使用数字签名标准算法或RSA算法，而公钥通常是从证书中获得的。
SSL协议
安全套接层协议是用来保护网络传输信息的，它工作在传输层之上、应用层之下，其底层是基于传输层可靠的流传输协议。
SSL协议分为记录层协议和高层协议。记录层协议为高层协议服务，限定了所有发送和接收数据到打包，它提供了通信、身份认证功能，是一个面向连接的可靠性传输协议，如为TCP/IP提供安全保护。握手协议的报文与之后的数据传输都需要经过记录层协议打包处理。
S-HTTP
S-HTTP协议处于应用层，它是HTTP协议的扩展，仅适应于HTTP连接。
S-HTTP支持端对端安全传输，客户机可能“首先”启动安全传输，如它可以用来支持加密技术。S-HTTP通过在S-HTTP所交换包的特殊头标志来建立安全通信。当适应S-HTTP时，敏感的数据信息不会在网络上明文传输。
S/MIME
S/MIME的全称是安全多用途网际邮箱扩充协议。S/MIME对安全方面的功能也进行了扩展，可以把MIME的实体封装成安全对象。MINE消息可以包含文本图像、声音、视频及其他应用程序的特定数据，采用散列算法（如SHA-1、SHA-2、SHA-3、MD5等）和公钥机制的加密体系。
无线网络安全
无线局域网的安全问题
WLAN中存在的安全威胁因素主要是窃听、截取或者修改传输数据、拒绝服务等。
无线局域网安全协议
WEP（有线等效保密）
它使用共享密钥串流加密技术进行加密，并使用循环教检以保证文件的正确性。
密钥长度不是影响WEP安全主要因素，破解较长的密钥需要拦截较多的包。WEP还有其他的弱点，包括安全数据雷同的可能性和改造的封包，这风险无法用长一点的密钥来避免。
WPA（wi-fi网络安全接入）
WEP属于弱加密方式，不能全面保证无线网络数据传输的安全。
WPA是葱密码强度和用户认两方面入手来强化无线网络安全的。采用两种认证方式：共享密钥认证和IEEE 802.1x认证。
采用密钥完整性协议（TKIP）可以确保通过密钥混合达到每个包的TKIP密钥都不同的目的，再通过短时间内频繁更新主密钥，可以大幅减少非法用户窃取数据包的机会。同时WPA也增强了加密数据的整体性，不再采线性算法对数据帧进行校验。
WPA所使用的RC4算法还是存在一定的安全隐患，有可能被破解。
WPA2
RC4被AES取代
AES：对称分组密码体制；密钥长度支持128、192、256位；明文分组长度为128位；算法应易于各种硬件和软件实现，使安全性大大提高。
WAPI
WAPI（无线局域网鉴别和基础保密结构）由WAI（无线局域网鉴别基础结构）和WPI（无线局域网保密基础结构）
WAI的原理
当鉴别器的受控端口处于未鉴别状态时，鉴别器系统拒绝提供服务，鉴别器实体利用非受控端口和鉴别请求者通信。受控与非受控端口可以是连接到同一物理端口的两个逻辑端口，所有通过物理端口的数据都可以到达受控端口和非受控端口，并根据鉴别状态决定数据的实际流向。
WPI的原理
封装过程：利用完整性校验密钥与数据分组需要（PN），通过校验算法对完整性校验数据进行计算，得到完整性校验码，再利用加密密钥和数据分组序号（PN），通过工作在OFB模式的加密算法对MSDU数据及MIC进行加密，得到MSDU数据以及MIC密文；然后封装后组成帧发送。
识别网络安全
威胁
·应用系统和软件安全漏洞
·安全策略
·后门和木马程序
·病毒及恶意网站陷阱
·黑客
·安全意识淡薄
·用户网络内部工作人员的不良行为引起的安全问题
脆弱性
操作系统的脆弱
·动态链接
·创建进程
·空口令和RPC
·超级用户
计算机系统本身的脆弱性
硬件故障和软件故障
电磁泄露
数据的可访问性
网络用户在一定的条件下，可以访问系统中的所有数据，并可将其复制、删除或对其破坏。
通信系统和通信协议的弱点
TCP/IP通信协议及FTP、E-mail、EFS、WWW等应用协议都存在安全漏洞。
数据库系统的脆弱性
网络存储介质的脆弱
这些存储介质很容易被盗窃或损坏，造成信息的丢失；存储器中的信息也很容易被复制而不留痕迹。
应对网络安全风险
从国家战略层面应对
1、出台网络安全战略，完善顶层设计。
2、建设网络身份体系，创建可信网络空间。
3、提升核心技术自主研发能力，形成自主可控的网络安全产业生态结构。
4、加强网络攻防能力，构建攻防兼备的安全防御体系。
5、深化国际合作，逐步提升网络空间国际话语权。
从安全技术层面应对
1、身份认证技术
（1）生物认证技术
生物特征值的是人体自带的生理特征和行为特征
（2）口令认证
与通过该用户的特征直接判断是否为合法用户的生物认证方法相比，口令认证通过用户所知道的口令的内容来进行认证。
（3）令牌认证
令牌认证是通过使用存储有可信任信息或信息生成算法的载体进行身份认证的方式。
2、访问控制技术
访问控制指系统对用户身份及其所属的预先定义的策略组限制起使用数据资源能力的手段。
访问控制的主要目的是限制访问主体对客体的访问，从而保障数据资源在合法范围内得到有效使用和管理。
三要素：
主体S：是指提出访问资源具体请求。
客体O：是指被访问资源的实体。
控制策略A：是主体对客体的相关访问规则的集合。
访问控制的功能及原理
认证
控制策略
安全审计
访问控制类型
·自主访问控制（MAC）
自主访问控制是由客体的属主对自己的客体进行管理，由属主决定是否将自己的客体访问权或部分访问权授予其他主体。
缺点：它所提供的安全性可被非法用户绕过，授权用户在获得访问某资源的权限后，可能传送给其他用户，这是因为在自主访问策略中，用户获得访问文件的权限后，没有限制对该文件信息的操作，即不限制数据信息的分发。
·强制访问控制（DAC）
强制访问控制是系统强制主体服从的访问控制策略，是由系统对用户所创建的对象，按照规定的规则控制用户权限及操作对象的访问。强制访问控制的主要特征是对所有主体及其所控制的进程、文件、段、设备等客体实施强制访问控制。
常用的级别分为4级：绝密级，保密级，机密级和无级别级。
通常MAC和DAC会结合使用，并实施一些附加的、更强的访问控制。
·基于角色的访问控制
角色是指完成一项任务必需访问的资源及相应操作权限的集合。
基于角色的访问控制是通过对角色的访问所进行的控制。通过使权限与角色相关联，用户成为适当角色的成员后即可得到其角色的权限。
RBAC支持三个著名的安全原则：
最小权限原则
责任分类原则
数据抽象原则
·综合性访问控制策略
1）入网访问控制
用户的入网访问控制分为用户名和口令的识别与验证、用户账号的默认限制检查。
2）网络的权限控制
-特殊用户：具有系统管理权限的系统管理员等。
-一般用户：系统统计员根据实际需要为其分配一定操作权限的用户。
-审计用户：专门负责审计网络的安全控制与资源使用情况的人员。
3）目录级安全控制
目录级安全控制主要是为了控制用户对目录、文件和设备的访问，或指定对目录下的子目录和文件的使用权限。
在网络和操作系统中，常见的目录和文件访问权限有系统管理起权限、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限、访问控制权限等。
4）属性安全控制
属性安全控制可将特点的属性与网络服务器的文件及目录网络设备相关联。
属性配置的权限包括：向某个文件写数据、复制一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享、系统属性等。
5）网络服务器安全控制
网络服务器安全控制允许通过服务器控制台执行以下安全控制操作：用户利用控制台装载和卸载操作模块、安装和删除软件等。
6）网络监控和锁定控制
7）网络端口和节点的安全控制
·访问控制应用
入侵检测技术
定义：入侵检测系统是一种对网络实时监控、检测，发现可愿意数据并及时采取主动措施的网络设备。
常用的入侵检测技术
·异常检测
异常检测又称为基于行为的检测。当违反其统计规律是，认为该活动可能是入侵行为。
·特征检测
特征检测又称为基于知识的检测和违规检测。
入侵模式说明了那些导致安全风险或其他违规事件中的特征、条件、排列和事件间的关系。入侵检测系统的目标就是检测主体活动是否符合这些模式，一个不完整的模式可能表明存在入侵的企图。
3）文件完整性检查
文件的数字文摘通过Hash函数计算得到，不管文件长度如何，它的Hash函数计算结果是一个固定长度的数字。入侵检测系统和防火墙是两个完全独立的安全网关设备。
监控审计技术
监控审计技术通过监视网络活动，审计系统的配置和安全漏洞，分析网络用户和系统的行为，并定期进行统计和分析，今儿评估网络的安全性和敏感数据的完整性。
（1）网络安全审计的基本概念
网络安全审计就是在一个特定的网络环境下，为了保障网络和数据不收来自外网和内网用户的入侵和破坏，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件，以便集中报警、分析、处理的一种技术手段。
（2）网络安全审计方法
·日记审计
·主机审计
·网络审计
蜜罐技术
首先，要引诱攻击者，让其能够容易地找到网络漏洞，一个不易被攻击的“蜜罐”是没有意义的。其次，“蜜罐”不修补所造成的损伤，从而最大可能地获得攻击者的信息。
·实系统蜜罐
使系统蜜罐技术是利用一个真实的主机或操作系统来诱骗攻击者，它其实是用主机本身的系统漏洞来做诱饵，让攻击者入侵。
·伪系统蜜罐
所谓的伪系统蜜罐技术并不是指假的系统，其实它也建立在一个真实的系统之上，但它的最大的特点就是“平台与漏洞的非对称性”。
按照部署目的，蜜罐分为产品型蜜罐和研究型蜜罐
产品型蜜罐的目的是为一个组织的网络提供安全保护。
研究型蜜罐专用于对黑客攻击的捕获和分析。
按照交互度的等级，蜜罐分为低交互蜜罐和高交互蜜罐。
低交互蜜罐一般只模拟操作系统和网络服务，容易部署且粉线较小，但黑客在低交互蜜罐中能够进行的攻击活动有限，因此通过低交互蜜罐能够收集的信息也很有限。
高交互蜜罐则完全提供真实的操作系统和网络服务，没有任何的模拟。在高交互蜜罐中，我们能够获得许多黑客攻击的信息。
网络管理的常用技术
·日常运维管理
·漏洞扫描
·应用代码审核
·系统安全加固
·等级安全测评
·安全监督检查
·应急响应处置
·安全配置管理
大数据背景下的先进计算安全问题
物联网安全
物联网是下一代网络的代表，网络安全是保障物联网应用服务的基础。
物联网概述
IAB在RFC 7452 智能物联网的建筑设计中给出的定义是：物联网表示大量的嵌入式设别使用互联网协议提供的通信服务所构成的网络，这样的设备通常被称为“智能物”它不是由人直接操作，而是存在于建筑物或车辆的部件中，其数据在环境中传播。
物联网的价值在让物体拥有“智慧”，从而实际那人与物、物与物之间的沟通，物联网的特征在于感知、互联和智能的叠加。
物联网大致分为三个部分：
数据感知部分
网络传输部分
智能处理部分
在各层之间，信息不是单向传递的，同时具有交互、控制等方式，所传递的信息多种多样，包括在特定应用系统范围内能唯一标识物体的识别码和物体的静态与动态信息。
物联网应该具备如下3种能力：
全面感知
可靠传递
智能处理
物联网的典型应用领域
·具备物理世界认知能力的应用
·在网络融合基础上的泛在化应用
·基于应用目标的综合信息服务应用
物联网的安全特征与架构
1.物联网安全问题与特征
2.物联网面临的安全挑战
标准和指标
规章
共同的责任
成本与安全的平衡
陈旧设备的处理
可升级性
数据机密性、身份验证和访问控制
3.物联网的安全架构
（1）物联网面临安全攻击
（2）物联网的安全控制措施
工控系统及其安全
工业控制系统可以看作物联网的重要应用领域之一。
工业控制系统的关键组件包括：
·控制器
·组态编辑器
·数据采集与监视控制组件
·人机界面
·分布式过程控制系统
工业控制系统所涉及的网络部分包括
·企业资源网络
·过程控制和监控网络
·控制系统网络
工控系统安全问题中，自身的脆弱性主要表现在以下几个方面：
·系统漏洞难以及时处理给工控系统带来的安全隐患。
·工业控制系统通信协议在设计之初缺乏足够的安全性考虑。
·没有足够的安全政策及管理制度，人员安全意识缺乏，缺乏对违规操作、越权访问行为的审计能力。
·工控系统直接暴露在互联网上，面对新型的APT攻击，缺乏有效的应对措施，安全风险不断增加。
·系统体系构架缺乏基本的安全保障，系统对外连接缺乏风险评估和安全保障措施。
工控系统安全问题中面临的外部威胁主要表现为：
·通过拨号连接访问RTU
·利用供应商内部资源实施攻击
·利用企业VPN
·获取数据库访问权限
工控系统的安全防护
1.工控系统基础防护方法
·失泄密防护
·主机安全管理
·数据安全管理
2.基于主控系统安全基线的防护方法
·基线建立
·运行监控
·实施防御
问题
·拓扑中的服务器如何保持安全，黑客可以攻击服务器吗？
·公钥签名机制是什么？可不可以伪造公钥？