网络安全技术期末考点

考点

填空题（15）

1. 网络安全目标

   机密性、完整性、可用性、合法性

2. 网络安全威胁

   Impersonation冒充：伪造他人身份

   Replay重放：把合法的信息重新发一遍

   Denial of Service拒绝服务攻击

3. 强制访问控制

   最高秘密Top Secert > 秘密Secret > 机密Confidential

4. Land攻击

   相同的目的IP地址和源地址，loop死锁

5. 传输层的套接字：

   工作在运输层

6. PKI的目标：

   身份认证、信息完整性、不可抵赖性

7. 数字证书含有：

   有效期限、颁发者身份、数字证书算法（如何为它签名的RSA、Hash、Sha256等）

8. sesion Key ：

   会话密钥

9. GSM认证

   导致伪基站的产生的原因：用户对基站的证明是单向的

   （用户向基站证明自己是合法用户，而基站不会向用户证明）

10. VPN

    “虚拟”的专用网。 优势：安全、低成本、可扩展、可管理

选择题（10）

1. 抵抗重放攻击

   一次一密

2. 死亡ping

   在目的端重组IP分片，形成超大IP数据包，超过最大尺寸导致缓冲区溢出。

3. 抵抗中间人攻击：

   数字签名

4. 密码协议的种类

   1. 密码建立协议
   2. 认证协议
   3. 可认证密钥建立

   没有一次一密

5. 企业根CA需要活动目录技术支持（独立根证书不需要）

6. 网络加密

   链路加密、结点加密、端到端加密

   （不是网络加密的是？）

7. 可信的密钥分发中心

   性能和安全的瓶颈

8. 动态包过滤：

   （按需）

   监控数据包交换并且根据需要来进行有效控制通信

判断题（5）

1. kerberos协议：

   可认证的票据，使用的是对称加密，而不是公钥加密

2. 可信的密钥分发中心：

   性能和安全的瓶颈

简答题（4道）

ARP原理，ARP欺骗

ARP：地址解析，在局域网中，将IP地址转换成MAC地址

ARP欺骗：通过欺骗局域网内访问者PC的网关MAC地址，使访问者PC错以为攻击者更改后的MAC地址是网关的MAC，导致网络不通。此种攻击可让攻击者获取局域网上的数据包甚至可篡改数据包，且可让网络上特定计算机或所有计算机无法正常连线。

🌻 修改数据包中的目的MAC地址，攻击者将被攻击者的MAC地址替换成自己的MAC地址

ICMP反弹Smurf攻击

使用将源地址设置成受害网络的广播地址的ICMP应答请求（ping）数据包，来淹没受害主机，最终导致该网络的所有主机都对此ICMP应答请求做出答复，导致网络阻塞。

ICMP回显泛洪攻击

发送假冒ping数据包，其中：

1. 源地址设置为受害者的IP地址
2. 目的地址设置为子网的广播地址（向整个局域网传播）

如此，ping回显数据流堵塞，耗尽被攻击者的带宽，无法提供正常服务，进而拒绝服务。

桥接或仅主机网卡的虚拟机不能和同子网的宿主机获得ping回显，为什么？

因为ICMP回显请求在防火墙中没有被启用

防火墙

防火墙的概念：

在内部专用网络和公共网络之间

丢弃数据包：

不予处理并且无响应消息

静态的包过滤系统：

NAT保护内部计算机不受外部攻击

防火墙分为：

1. 电路级网关 2. 应用层网关 3. 包过滤技术（静态和动态）

应用级网关在OSI模型中的应用层过滤数据，电路级网关在会话层，包过滤技术在网络层

综合大题（2道）

如何保证完整性和机密性？

完整性：web服务器

底层信息流上不去。用户：低级。web服务器：高级

• 不下读：阻止坏信息从较低完整性等级向上流（服务器拒绝读坏信息）
• 不上写：阻止坏信息从下方流向较高完整性等级（不能向服务器写坏信息）

机密性：防火墙

高层信息流不下来。防火墙内部：高级。防火墙外部：低级

• 不上读：阻止好信息从较高机密级别向下流（防火墙外无法访问防火墙内）
• 不下写：阻止好信息从上方流向较低机密级（防火墙内无法写出防火墙外）

中间人攻击？

在没有察觉的情况下，攻击者拦截被攻击者的通信，劫持发送方的消息替换并且转发给接收方。如此，通信双方认为自己已经和对方完成密钥协商，但是实际上是各自和攻击者进行了密钥协商。

用数字签名和公钥绑在一起发送，抵御中间人攻击

联锁协议（互锁协议，interlock protocol）抵抗中间人攻击

可以挫败双方密钥交换时的中间人攻击。

安全特性：仅有加密消息的一半无法解密

过程：

1. 如果尝试拦截会话，敌手既无法解密A发送消息密文的一半，又无法使用B的公钥重新加密一半的消息
2. 敌手不得不等待接收到两个完整的密文，然而这个时候B已经可以使用自己的私钥来解密这个消息
3. B成功获取到A的正确消息，后续将直接丢弃敌手的消息

补充笔记

第一章

信息安全4个基本目标

• 保密性

  不被泄露

• 完整性

  数据一致性

• 可用性

  合法用户不会无故被拒绝

• 合法使用

  不被非授权使用、不被非授权的人使用

安全威胁来源

• 信息泄露
• 完整性破坏
• 拒绝服务
• 非法使用

主要可实现威胁

• 假冒

  未授权实体盗取合法用户的权利和特权

• 旁路控制

  为获取非授权的权限，发掘系统缺陷或漏洞，绕过守卫者的防线

• 授权侵犯

  有授权的人，将其权限用于非授权的目的，通常称为内部攻击

  • 特洛伊木马

    含有不易察觉的或无害程序段，执行的时候会破坏用户安全性

  • 陷门

    在系统或其部件设置机关，在输入特定的数据时，允许违反安全策略

• 截获/修改

  某一通讯数据，在传输中被改变、删除或替换

• 消息重发

  对所截获的某次合法的数据备份，出于非法目的重新发送该数据

• 业务否认

  参与某次通讯交换的一方，事后否认曾经发生过此次信息交换

• 流量分析

  对通信流量进行观察，可能泄露机密信息

安全防护措施

• 物理安全

  环境的安全、物理的访问控制措施、设备防篡改等

• 人员安全

  岗位划分

• 管理安全

  对设备进行管理、泄露信息事件的追查、审计

• 媒体安全

  对受保护信息的存储、磁盘的销毁

• 辐射安全

  射频等其他电磁的控制

• 生命周期控制

  对系统的设计、安全评估、记录和日志进行控制

访问控制策略（安全策略）

自主性访问

Who and When访问控制列表、文件授权

允许用户自主在系统中规定谁可以取它的资源

• 基于身份
• 基于任务

强制性访问

用户的权限和客体的安全属性固定，安全属性由管理员设置，用户不能修改

客体访问限制：根据客体信息的敏感标记和访问主体的访问等级

客体：各种设备等

• 多等级访问

基于角色访问控制

会因为不同的作业功能产生不同的角色，执行某项操作的权限会被赋予特定的角色

一个主体可以有多个角色，一个角色也可以分配不同主体。关注角色、用户、权限的关系

• 运行方式：角色继承。

  • 受限继承关系：一个角色只能直接继承另一个角色资浅的角色权限

  • 间接继承：不受限制

  • 一般继承关系：一个角色能直接继承多于一个资浅角色的权

    

    

安全攻击的分类

被动攻击

对传输信息的窃听和监测

• 信息泄露
• 流量分析

主动攻击

• 伪装攻击

  某个实体伪装成另外的实体，将获取的认证信息重放，以获得某实体的权限

• 重放攻击

  将获得的信息再次发送，以在非授权的情况下进行传输

  

• 消息篡改

  修改或延迟消息传输，达到非授权的目的

• 拒绝服务

  破坏某个网络使其瘫痪或过载以降低性能。

  • Dos
    • 过度使用服务，使软件硬件过度运行，网络连接超出其容量
    • 造成关机或系统瘫痪或降低服务质量
  • DDos（分布式拒绝服务攻击）
    • 使用多个internet主机同时向一个目标发起攻击
  • 减轻攻击强度措施
    • 过滤不良数据包
    • 追查关闭攻击站点
    • 提高接收数据处理、增加硬件和网络扩容

  

网络攻击常见形式

口令窃取

• 已知
• 字典攻击
• 窃听合法终端间的会话

欺骗攻击

• 社工欺骗

缺陷和后门

• 蠕虫病毒
  • 向守护程序发送新的代码，向缓冲区注入大量数据，直到gets堆栈中的返回地址覆盖，则返回时会执行入侵者的代码
  • 缓冲区溢出攻击
  • 缺陷：程序中的某些代码不能满足特定的要求

认证失败

• 源地址有效性的验证机制，在某些场合可以发挥作用，但是如果黑客攻击欺骗了地址，让消息看起来好像来自本地，这样就躲过了攻击

协议缺陷

信息泄露

指数攻击

• 病毒和蠕虫

安全服务

• 认证

  确保通信实体就是他们所声称的实体

• 访问控制

  防止非授权的访问

• 数据保密性

  保护数据，防止非授权的泄露

• 数据完整性

  保证收到的数据不被删除、插入、重发、修改

• 不可否认性

  确保通信一方没有否认的行为

作业

• 信息安全的3个基本目标是：

  保密性、完整性、可用性、合法使用

• 网络中存在的4种基本安全威胁:

  有信息泄露、完整性破坏、拒绝服务、非法使用

• X.800定义的5类安全服务：

  认证、访问控制、数据保密性、数据完整信息、不可否认性

• X.800定义的8种特定的安全机制是：

  加密、数字签名、访问控制、数据完整性、认证交换、流量填充、路由控制、公证

• 简述通信安全、计算机安全、网络安全之间的联系与区别

  网络安全：双方共同使用通信协议来建立逻辑信息通道，保护信息传输以防止攻击者威胁消息的保密性、完整性、真实性。

  安全模型（由6个功能实体组成）：消息发送方（信源）、消息接收方（信宿）、安全变换、信息通道、可信第三方、攻击者

  通信安全：在发送的过程中，保证消息能够安全到达，不被截获、篡改、替换。

  计算机安全：信源、信宿自己的计算机不被恶意代码攻击

  ---

• 在选课系统中，存在教师、学生、管理员3类用户。需要适时进行系统访问、数据输入和管理。采用自主访问控制、强制访问控制和基于角色访问控制，可以使用的有哪些？哪一种时间和存储成本较低？

  自主访问控制是可以由用户自主的决定谁可以访问它的资源。

  强制访问控制是只能按照已经规定好的权限去访问。

  基于角色访问，是执行某项操作的权限会被赋予特定的角色。

  管理员可以使用自主访问控制，便于进行资源的分配和管理，以及权限的设定。

  教师可以是基于角色访问，被赋予一定的权限，进行数据的输入。

  学生采取强制访问控制，只能按照已经设定好的权限，来对选课系统进行访问。

  基于角色的访问控制时间和存储成本比较低。根据选课需求和后续功能增加等问题，基于角色的访问控制会更灵活，应用范围更广。

第二章

TCP/IP协议族

网际协议（internet protocol，IP）是TCP/IP协议族的核心

• 网络接口层（数据链路层、物理层）

  TCP/IP模型的最底层

• 网际层（网络层）

  • IP协议

    网际协议（internet protocol，IP）是网际层最重要的协议

    • 传递中易被监听、窃取。

      应该对IP数据报进行加密

    • IP层没有采取措施保证传递的正确性，可能会被修改数据报的内容。

      应对数据报的内容采取完整性检查机制

    • IP欺骗攻击

      源地址鉴别机制加以防御

      Land攻击：通过发送精心构造的、具有相同源地址和目标地址的欺骗数据包，致使缺乏相应防护机制的目标设备瘫痪。

    • 在数据报传输时分段重组的过程中，注入大量病态小数据报，影响包过滤器正常工作

      防火墙能重组分段的数据报，检查其内容

    • 用定向广播的目的地址的IP数据报来攻击不同类型的主机

      配置路由时进制发送定向广播数据包的功能

  • ARP协议

    地址解析协议（address resolution protocol , ARP）根据IP地址获取物理地址（MAC地址）的TCP/IP协议

    • ARP欺骗

      应在交换机上配置802.1x协议，这样攻击者连接交换机的时候需要进行身份认证；

      建立静态ARP表

  • ICMP协议

    控制报文协议（internet control message protocol），错误处理、消息处理协议

    • 通知主机到底目的地的最佳路径，报告路由故障
    • 监控工具ping和tracert的重要组成部分
    • 是差错和控制报文协议，用于传输差错报文和控制报文

    ---

    • ICMP重定向攻击

      利用ICMP对消息进行重定向，使目标主机受到连接劫持和拒绝服务等攻击；

      重定向消息一般由仅主机来进行。仅当消息直接来自路由器的时候，才由路由器进行重定向。若当网管使用ICMP来创建通往目的地址的新路由，会产生安全问题

    • ICMP路由器发现攻击

      ICMP在进行路由发现的时候，并不会对应答方进行验证。可能会遭受中间人攻击，假冒是应答方。

    • 防火墙穿越攻击

      攻击者穿越防火墙的访问控制列表和规则集，获取过滤的内容和方式。

• 传输层（传输层）

  仅为梗概，详情见goodnotes

  • TCP

    控制传输协议（Transmission Control Protocol，TCP）面向连接的可靠的传输层协议

    • 建立连接时三次握手

    

    • 存在的攻击方式

      • SYN Flood

        发生在三次握手过程中。 一种不能建立正常的连接，使用户得不到响应的Dos攻击。

        攻击者不断向服务器发送TCP的连接请求SYN，使其处于半开放状态，无法接受其他的正常连接。

        应该在服务器前端部署安全防护，如防火墙，来过滤掉数据包

      • TCP会话劫持

        由于TCP协议不对数据包进行加密和认证而发生的，获取非授权的权限的攻击方式

        TCP确定数据包是否真实，是根据数据包中的32位序列号。如果攻击者能预测目标主机的起始序列号，伪造有效接收窗口报文，就能欺骗主机

        

        应该在TCP建立连接时，用一个随机数作为起始序列号

      • 拥塞控制攻击

        发生在建立连接后的数据阶段，利用TCP拥塞控制，降低正常传输能力的一种攻击

        TCP的拥塞控制是为了防止过多的数据注入网络，攻击者会制造关键节点的拥塞以触发该机制。使其触发窗口慢启动，来降低正常的传输能力。

        网管应该实时监控网络异常流量

      • 欺骗IP地址获得远程非法授权访问 （综合运用SYN Flood和TCP会话劫持）

        B授予A某些权限，X要得到与A相同的权限

        1. X假冒A和B建立连接，（X假冒A的IP地址），使B相信消息是A发来的
        2. 阻止A向B报告网络认证系统的故障

  • UDP

    用户数据报协议（User Datagram Protocol，UDP）无连接的传输层协议，提供面向事务的不可靠信息传送

    • 特点

      • 无需连接传输高效
      • 无拥塞控制的不可靠传输
      • 数据报首部仅8字节
      • 网络拥塞不会降低发送速率

    • 安全问题

      • UDP Flood —-大量包阻塞目标主机

        向攻击目标发送大量UDP小包，使网络设备忙于应对UDP报文，系统资源使用率飙高，设备不能提供正常服务或直接死机。

        防护：

        • 根据攻击包大小，设定包碎片重组大小，通常不小于1500
        • 攻击端口是业务端口，设置UDP最大包来过滤异常流量
        • 攻击端口为非业务端口，先建立TCP连接

      • UDP Fraggle攻击 ——正常响应阻塞目标主机

        向子网广播地址发送UDP包，端口号为7，目的是占用目标主机网络带宽

        攻方IP地址=广播地址

        若开启功能：广播地址的所有主机，向目标主机返回收到的包，使其不断回应UDP报文呢，系统资源使用率飙增，不能正常服务或死机。

        若关闭功能：每一个都生成ICMP不可达信息，大量ICMP拥塞网络

        防护：进入防火墙，目的端口为7或19的UDP报文拒绝

• 应用层（应用层、表示层、会话层）

  • HTTP（端口TCP 80）

    超文本传输协议（Hyper Text Transfer Protocol，HTTP）客户端和服务器端请求和应答的标准

    • 明文传输

    • 安全隐患

      • 传输的是明文，没有加密，网络嗅探工具就可以获取传输数据
      • 无状态连接，唯一的完整性检验是检查报文头部的数据传输长度。可发动中间人攻击

      

    • 防护措施

      • 在TCP和HTTP传输之间增加安全层（SSL、TLS）

  • TELNET（端口 TCP 23）

    远程登录协议（Teletype Network）是Internet远程登录服务的标准协议和主要方式

    • 安全隐患及防护措施
      • 攻击者记录整个会话或者登陆的口令
      • 劫持会话，认证完成后进行篡改
      • 应该对会话进行加密

  • SSH （端口 TCP 22）

    安全壳协议（Secure Shell）在不安全网络上建立安全远程登录或其他网路服务的协议

    建立TCP连接→版本协商 → 算法协商→服务器认证和密钥建立 →用户认证 → 通信会话

    • 支持身份认证和数据加密

    • 可提供安全隧道，防止中间人攻击

    • 安全问题

      • 服务器认证：在不可信的环境下，不能对服务器真实性进行认证

        应该要验证主机密钥来验证服务器的正确性

      • 协议版本协商：可能存在对有漏洞的版本进行攻击

        对版本上有安全问题的通讯方，中断TCP连接

      • 主机密钥文件安全：密钥被窃取或篡改，实施攻击

        应加强对密钥文件的管理

  • PGP

    安全电子邮件标准

  • POP3

  • FTP

  • SMTP

第三章 安全协议

两个或两个以上的参与者为完成某项特定的任务而采取的一系列步骤。

协议三要素

• 依次执行
• 至少两个参与者
• 通过执行协议，必须能完成某项任务

仲裁协议

公正、可信赖