THEBASISOFCOMPUTERNETWORKSECURITY第1章網(wǎng)絡(luò)安全概述計算機網(wǎng)絡(luò)安全基礎(chǔ)1第1章網(wǎng)絡(luò)安全概述“安全”一詞在字典中被定義為“遠離危險的狀態(tài)或特性”和“為防范間諜活動或蓄意破壞、犯罪、攻擊或逃跑而采取的措施”。 隨著經(jīng)濟信息化的迅速發(fā)展，網(wǎng)絡(luò)的安全已經(jīng)涉及到國家主權(quán)等許多重大問題。隨著“黑客”工具技術(shù)的日益發(fā)展，使用這些工具所需具備的各種技巧和知識在不斷減少，從而造成的全球范圍內(nèi)“黑客”行為的泛濫，導(dǎo)致了一個全新戰(zhàn)爭形式的出現(xiàn)，即網(wǎng)絡(luò)安全技術(shù)的大戰(zhàn)。2第1章主要內(nèi)容●網(wǎng)絡(luò)安全的含義●網(wǎng)絡(luò)安全的特征●網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)●網(wǎng)絡(luò)安全策略●威脅網(wǎng)絡(luò)安全的因素●網(wǎng)絡(luò)安全的分類●網(wǎng)絡(luò)安全風(fēng)險管理及評估●TCP/IP體系的安全3（第1章）1.1網(wǎng)絡(luò)安全基礎(chǔ)知識41.1網(wǎng)絡(luò)安全基礎(chǔ)知識1.網(wǎng)絡(luò)安全的含義網(wǎng)絡(luò)安全從其本質(zhì)上來講就是網(wǎng)絡(luò)上的信息安全。廣義上講，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實性和可控性的相關(guān)技術(shù)和理論，都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域。下面給出網(wǎng)絡(luò)安全的一個通用定義：網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡(luò)服務(wù)不中斷。51.1網(wǎng)絡(luò)安全基礎(chǔ)知識（1）運行系統(tǒng)安全，即保證信息處理和傳輸系統(tǒng)的安全。（2）網(wǎng)絡(luò)上系統(tǒng)信息的安全。（3）網(wǎng)絡(luò)上信息傳播的安全，即信息傳播后果的安全。（4）網(wǎng)絡(luò)上信息內(nèi)容的安全，即我們討論的狹義的“信息安全”。61.1網(wǎng)絡(luò)安全基礎(chǔ)知識2.網(wǎng)絡(luò)安全的特征（1）保密性。信息不泄露給非授權(quán)的用戶、實體或過程，或供其利用的特性。（2）完整性。數(shù)據(jù)未經(jīng)授權(quán)不能進行改變的特性。（3）可用性。可被授權(quán)實體訪問并按需求使用的特性，即當(dāng)需要時應(yīng)能存取所需的信息。（4）可控性。對信息的傳播及內(nèi)容具有控制能力。71.1網(wǎng)絡(luò)安全基礎(chǔ)知識3.網(wǎng)絡(luò)安全的威脅（1）非授權(quán)訪問：指一個非授權(quán)用戶的入侵。（2）信息泄露：指造成將有價值的和高度機密的信息暴露給無權(quán)訪問該信息的人的所有問題。（3）拒絕服務(wù)：指使系統(tǒng)難以或不能繼續(xù)執(zhí)行任務(wù)的所有問題。81.1網(wǎng)絡(luò)安全基礎(chǔ)知識4.網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)●主機安全技術(shù)●身份認證技術(shù)●訪問控制技術(shù)●密碼技術(shù)●防火墻技術(shù)●安全審計技術(shù)●安全管理技術(shù)91.1網(wǎng)絡(luò)安全基礎(chǔ)知識5.網(wǎng)絡(luò)安全策略策略包括兩個部分：總體的策略和具體的規(guī)則?？傮w的策略用于闡明安全政策的總體思想，而具體的規(guī)則用于說明什么活動是被允許的，什么活動是被禁止的。●網(wǎng)絡(luò)用戶的安全責(zé)任。該策略可以要求用戶每隔一段時間改變其口令；使用符合一定準則的口令；執(zhí)行某些檢查，以了解其賬戶是否被別人訪問過等。重要的是，凡是要求用戶做到的，都應(yīng)明確地定義。101.1網(wǎng)絡(luò)安全基礎(chǔ)知識●系統(tǒng)管理員的安全責(zé)任。該策略可以要求在每臺主機上使用專門的安全措施、登錄標題報文、監(jiān)測和記錄過程等，還可列出在連接網(wǎng)絡(luò)的所有主機中不能運行的應(yīng)用程序?！裾_利用網(wǎng)絡(luò)資源。規(guī)定誰可以使用網(wǎng)絡(luò)資源，他們可以做什么，他們不應(yīng)該做什么等。如果用戶的單位認為電子郵件文件和計算機活動的歷史記錄都應(yīng)受到安全監(jiān)視，就應(yīng)該非常明確地告訴用戶，這是其政策。●檢測到安全問題時的對策。當(dāng)檢測到安全問題時應(yīng)該做什么？應(yīng)該通知誰？這些都是在緊急的情況下容易忽視的事情。11（第1章）1.2威脅網(wǎng)絡(luò)安全的因素121.2威脅網(wǎng)絡(luò)安全的因素威脅計網(wǎng)絡(luò)安全的主要因素：●“黑客”的攻擊●計算機病毒●拒絕服務(wù)攻擊（DoS）131.2威脅網(wǎng)絡(luò)安全的因素1.威脅的類型●非授權(quán)訪問。這主要的是指對網(wǎng)絡(luò)設(shè)備以及信息資源進行非正常使用或超越權(quán)限使用?！窦倜昂戏ㄓ脩?。主要指利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)，以達到占用合法用戶資源的目的。●數(shù)據(jù)完整性受破壞?！窀蓴_系統(tǒng)的正常運行，改變系統(tǒng)正常運行的方向，以及延時系統(tǒng)的響應(yīng)時間?！癫《尽！裢ㄐ啪€路被竊聽等。141.2威脅網(wǎng)絡(luò)安全的因素2.操作系統(tǒng)的脆弱性（1）其體系結(jié)構(gòu)本身就是不安全的一種因素。（2）操作系統(tǒng)可以創(chuàng)建進程，即使在網(wǎng)絡(luò)的節(jié)點上同樣也可以進行遠程進程的創(chuàng)建與激活，更令人不安的是被創(chuàng)建的進程具有可以繼續(xù)創(chuàng)建過程的權(quán)力。（3）網(wǎng)絡(luò)操作系統(tǒng)提供的遠程過程調(diào)用服務(wù)以及它所安排的無口令入口也是黑客的通道。151.2威脅網(wǎng)絡(luò)安全的因素3.計算機系統(tǒng)的脆弱性（1）來自于操作系統(tǒng)的不安全性，在網(wǎng)絡(luò)環(huán)境下，還來源于通信協(xié)議的不安全性。（2）存在超級用戶，如果入侵者得到了超級用戶口令，整個系統(tǒng)將完全受控于入侵者。（3）計算機可能會因硬件或軟件故障而停止運轉(zhuǎn)，或被入侵者利用并造成損失。161.2威脅網(wǎng)絡(luò)安全的因素4.協(xié)議安全的脆弱性網(wǎng)絡(luò)系統(tǒng)都使用的TCP/IP協(xié)議、FTP、E-mail、NFS等都包含著許多影響網(wǎng)絡(luò)安全的因素，存在許多漏洞。黑客通常采用Sock、TCP預(yù)測或使用遠程訪問（RPC）進行直接掃描等方法對防火墻進行攻擊。171.2威脅網(wǎng)絡(luò)安全的因素5.數(shù)據(jù)庫管理系統(tǒng)安全的脆弱性由于數(shù)據(jù)管理系統(tǒng)（DBMS）對數(shù)據(jù)庫的管理是建立在分級管理的概念上的，因此，DBMS的安全也是可想而知。另外，DBMS的安全必須與操作系統(tǒng)的安全配套，這無疑是一個先天的不足之處。6.人為的因素不管是什么樣的網(wǎng)絡(luò)系統(tǒng)都離不開人的管理，但又大多數(shù)缺少安全管理員，特別是高素質(zhì)的網(wǎng)絡(luò)管理員。此外，缺少網(wǎng)絡(luò)安全管理的技術(shù)規(guī)范，缺少定期的安全測試與檢查，更缺少安全監(jiān)控。令人擔(dān)憂的許多網(wǎng)絡(luò)系統(tǒng)已使用多年，但網(wǎng)絡(luò)管理員與用戶的注冊、口令等還是處于缺省狀態(tài)。18各種外部威脅1.物理威脅物理安全是指通過采取各種措施來保護物理環(huán)境、設(shè)備和資源，以防止未經(jīng)授權(quán)的訪問、破壞、損壞或盜竊。常見的物理安全問題有偷竊、廢物搜尋和間諜活動等。物理安全是計算機安全最重要的方面。2.網(wǎng)絡(luò)威脅網(wǎng)絡(luò)威脅是指企圖破壞、盜取或損害網(wǎng)絡(luò)系統(tǒng)用戶、設(shè)備和數(shù)據(jù)的不法分子利用計算機病毒、惡意軟件、網(wǎng)絡(luò)欺騙和暴力攻擊等手段，或不當(dāng)行為對網(wǎng)絡(luò)的攻擊性行為。19各種外部威脅3.身份鑒別身份鑒別是身份識別和身份認證的統(tǒng)稱。身份識別是指定用戶向系統(tǒng)出示自己的身份證明過程。身份認證是系統(tǒng)查核用戶的身份證明的過程。4.程序攻擊利用有害程序破壞他人或敵方計算機和網(wǎng)絡(luò)系統(tǒng)。主要包括計算機病毒、特洛伊木馬程序、邏輯炸彈等。5.系統(tǒng)漏洞系統(tǒng)漏洞是指應(yīng)用軟件或操作系統(tǒng)軟件在邏輯設(shè)計上的缺陷或在編寫時產(chǎn)生的錯誤。某個程序在設(shè)計時未被考慮周全，這個缺陷或錯誤將可能被不法分子或黑客利用，通過植入木馬病毒等方式來攻擊或控制整個計算機，從而竊取計算機中的重要資料和信息，甚至破壞系統(tǒng)。20防范措施（1）用備份和鏡像技術(shù)提高數(shù)據(jù)完整性（2）防治病毒（3）安裝補丁程序（4）提高物理安全（5）構(gòu)筑互聯(lián)網(wǎng)防火墻（6）仔細閱讀日志（7）加密（8）提防虛假的安全21（第1章）1.3網(wǎng)絡(luò)安全分類221.3網(wǎng)絡(luò)安全分類根據(jù)中國國家計算機安全規(guī)范，計算機的安全可分為三類：（1）實體安全。包括機房、線路、主機等。（2）網(wǎng)絡(luò)與信息安全。包括網(wǎng)絡(luò)的暢通、準確以及網(wǎng)上信息的安全。（3）應(yīng)用安全。包括程序開發(fā)運行、I／O、數(shù)據(jù)庫等的安全。231.3網(wǎng)絡(luò)安全分類1.基本安全類基本安全類包括訪問控制、授權(quán)、認證、加密以及內(nèi)容安全。2.管理與記賬類管理與記賬類安全包括安全的策略的管理、實時監(jiān)控、報警以及企業(yè)范圍內(nèi)的集中管理與記賬。241.3網(wǎng)絡(luò)安全分類3.網(wǎng)絡(luò)互聯(lián)設(shè)備安全類網(wǎng)絡(luò)互聯(lián)設(shè)備包括路由器、通信服務(wù)器、交換機等，網(wǎng)絡(luò)互聯(lián)設(shè)備安全正是針對上述這些互聯(lián)設(shè)備而言的，它包括路由安全管理、遠程訪問服務(wù)器安全管理、通信服務(wù)器安全管理以及交換機安全管理等等。4.連接控制類連接控制類包括負載均衡、可靠性以及流量管理等。25（第1章）1.4網(wǎng)絡(luò)安全解決方案261.4網(wǎng)絡(luò)安全解決方案1.網(wǎng)絡(luò)信息安全模型一個完整的網(wǎng)絡(luò)信息安全系統(tǒng)至少包括三類措施：●社會的法律政策，企業(yè)的規(guī)章制度及網(wǎng)絡(luò)安全教育●技術(shù)方面的措施，如防火墻技術(shù)、防病毒。信息加密、身份確認以及授權(quán)等●審計與管理措施，包括技術(shù)與社會措施271.4網(wǎng)絡(luò)安全解決方案2.安全策略設(shè)計依據(jù)在制定網(wǎng)絡(luò)安全策略時應(yīng)當(dāng)考慮如下因素：●對于內(nèi)部用戶和外部用戶分別提供哪些服務(wù)程序●初始投資額和后續(xù)投資額（新的硬件、軟件及工作人員）●方便程度和服務(wù)效率●復(fù)雜程度和安全等級的平衡●網(wǎng)絡(luò)性能283.網(wǎng)絡(luò)安全解決方案（1）信息包篩選信息包篩既可以設(shè)置在連接兩個網(wǎng)絡(luò)（可靠網(wǎng)絡(luò)和不可靠網(wǎng)絡(luò)）的硬件路由器內(nèi)，也可以設(shè)置于通用計算機系統(tǒng)或“主計算機”系統(tǒng)上。293.網(wǎng)絡(luò)安全解決方案（2）應(yīng)用中繼器應(yīng)用中繼器優(yōu)于信息包篩之處是，沒有復(fù)雜的規(guī)則集交互作用需要操作。各臺主機上潛在的安全漏洞不會暴露出來。中繼器的典型配置301.4網(wǎng)絡(luò)安全解決方案雙路由器安全系統(tǒng)雙路由器安全系統(tǒng)的安全程度更高。信息在到達內(nèi)部網(wǎng)絡(luò)之前需要通過兩個路由器。311.4網(wǎng)絡(luò)安全解決方案（3）保密與確認“保密”可以保證當(dāng)一個信息被送出后，只有預(yù)定的接收者能夠閱讀和加以解釋。它可以防止竊聽，并且允許在公用網(wǎng)絡(luò)上安全地傳輸機密的或者專用的信息?！按_認”意味著向信息（郵件、數(shù)據(jù)、文件等）的接收者保證發(fā)送是該信息的擁有者，并且意味著，數(shù)據(jù)在傳輸期間不會被修改。321.4網(wǎng)絡(luò)安全解決方案4.網(wǎng)絡(luò)安全性措施要實施一個完整的網(wǎng)絡(luò)安全系統(tǒng)，至少應(yīng)該包括三類措施：●社會的法律、法規(guī)以及企業(yè)的規(guī)章制度和安全教育等外部軟件環(huán)境●技術(shù)方面的措施，如網(wǎng)絡(luò)防毒、信息加密、存儲通信、授權(quán)、認證以及防火墻技術(shù)●審計和管理措施，這方面措施同時也包含了技術(shù)與社會措施。331.4網(wǎng)絡(luò)安全解決方案為網(wǎng)絡(luò)安全系統(tǒng)提供適當(dāng)安全的常用的方法：●修補系統(tǒng)漏洞

●病毒檢查●加密 ●執(zhí)行身份鑒別●防火墻

●捕捉闖入者●直接安全

●空閑機器守則●廢品處理守則

●口令守則341.4網(wǎng)絡(luò)安全解決方案可以采取的網(wǎng)絡(luò)安全性措施有：●選擇性能優(yōu)良的服務(wù)器?！癫捎梅?wù)器備份。服務(wù)器備份方式分為冷備份與熱備份二種，熱備份方式由于實時性好，可以保證數(shù)據(jù)的完整性和連續(xù)性，得以廣泛采用的一種備份方式●對重要網(wǎng)絡(luò)設(shè)備、通信線路備份。通信故障就意味著正常工作無法進行。351.4網(wǎng)絡(luò)安全解決方案5.互聯(lián)網(wǎng)安全管理應(yīng)解決的安全問題，對互聯(lián)網(wǎng)的安全管理措施。（1）安全保密遵循的基本原則●根據(jù)所面臨的安全問題，決定安全的策略。●根據(jù)實際需要綜合考慮，適時地對現(xiàn)有策略進行適當(dāng)?shù)男薷??！駱?gòu)造企業(yè)內(nèi)部網(wǎng)絡(luò)，在Intranet和Internet之間設(shè)置“防火墻”以及相應(yīng)的安全措施。（2）完善管理功能（3）加大安全技術(shù)的開發(fā)力度361.4網(wǎng)絡(luò)安全解決方案6.網(wǎng)絡(luò)安全的評估●確定單位內(nèi)部是否已經(jīng)有了一套有關(guān)網(wǎng)絡(luò)安全的方案，如果有的話，將所有有關(guān)的文檔匯總；如果沒有的話，應(yīng)當(dāng)盡快制訂?！駥σ延械木W(wǎng)絡(luò)安全方案進行審查?！翊_定與網(wǎng)絡(luò)安全方案有關(guān)的人員，并確定對網(wǎng)絡(luò)資源可以直接存取的人或單位（部門）。●確保所需要的技術(shù)能使網(wǎng)絡(luò)安全方案得到落實。●確定內(nèi)部網(wǎng)絡(luò)的類型。371.4網(wǎng)絡(luò)安全解決方案●如果需要接入互聯(lián)網(wǎng)則需要仔細檢查聯(lián)網(wǎng)后可能出現(xiàn)的影響網(wǎng)絡(luò)安全的事項?！翊_定接入互聯(lián)網(wǎng)的方式，是拔號接入，還是專線?！翊_定單位內(nèi)部能提供互聯(lián)網(wǎng)訪問的用戶，并明確互聯(lián)網(wǎng)接入用戶是固定的還是移動的?！袷欠裥枰用?，如果需要加密，必須說明要求的性質(zhì)。38（第1章）1.5風(fēng)險管理及評估391.5風(fēng)險管理及評估網(wǎng)絡(luò)安全風(fēng)險管理指的是識別、評估和控制網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險的總過程，它貫穿于整個系統(tǒng)開發(fā)生命周期，其過程可以分為風(fēng)險評估與風(fēng)險消除兩個部分。網(wǎng)絡(luò)風(fēng)險評估就是對網(wǎng)絡(luò)自身存在的脆弱性狀況、外界環(huán)境可能導(dǎo)致網(wǎng)絡(luò)安全事件發(fā)生的可能性以及可能造成的影響進行評價。401.5風(fēng)險管理及評估網(wǎng)絡(luò)風(fēng)險管理是一種策略的處理過程，即在如何處理風(fēng)險的多種安全策略中選擇一個最佳的過程，以及決定風(fēng)險管理做到什么程度的過程。風(fēng)險管理的主要步驟有：確定風(fēng)險管理的范圍和邊界、建立安全風(fēng)險管理方針、建立風(fēng)險評價準則、實施風(fēng)險評估及風(fēng)險處置。41網(wǎng)絡(luò)安全風(fēng)險管理1．確定風(fēng)險管理的范圍和邊界（1）業(yè)務(wù)范圍，主要包括關(guān)鍵業(yè)務(wù)及業(yè)務(wù)特性描述（業(yè)務(wù)、服務(wù)、資產(chǎn)和每一個資產(chǎn)的責(zé)任范圍和邊界等的說明）。（2）物理范圍，一般根據(jù)所界定的業(yè)務(wù)范圍和組織范圍內(nèi)所需要使用到的建筑物、場所或設(shè)施進行界定。（3）資產(chǎn)，業(yè)務(wù)流程所涉及的所有軟件資產(chǎn)、物理資產(chǎn)、數(shù)據(jù)資產(chǎn)、人員資產(chǎn)及服務(wù)資產(chǎn)等。（4）技術(shù)范圍，信息與通信技術(shù)和其它技術(shù)的邊界。421.5風(fēng)險管理及評估2．建立安全風(fēng)險管理方針（1）安全風(fēng)險管理方針應(yīng)由公司管理層建立，應(yīng)明確單位網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險的管理意圖和宗旨方向。（2）安全方針應(yīng)考慮到單位業(yè)務(wù)和應(yīng)遵循的法律法規(guī)要求及規(guī)定的安全義務(wù)。（3）信息安全目標一般采用定性和定量的描述，應(yīng)明確目標的測量方法、測量的證據(jù)和測量的周期。（4）信息安全方針制定完畢后，通過培訓(xùn)、宣傳、會議等內(nèi)部溝通渠道使單位全體員工得以理解，為方針的實現(xiàn)做出努力。431.5風(fēng)險管理及評估3．建立風(fēng)險評價準則風(fēng)險評價準則是評價風(fēng)險重要程度的依據(jù)，應(yīng)與信息安全風(fēng)險管理方針保持一致。4．實施風(fēng)險評估風(fēng)險評估主要包含風(fēng)險分析、風(fēng)險評價。實施風(fēng)險評估前，應(yīng)確定風(fēng)險評估的目標、風(fēng)險評估的范圍，組建適當(dāng)?shù)脑u估團隊和實施團隊，進行系統(tǒng)的調(diào)研，確定風(fēng)險評估的方法和依據(jù)。脆弱性識別的方法主要有問卷調(diào)查、人工核查、文檔審閱，及采用技術(shù)手段如工具檢測、滲透性測試等。441.5風(fēng)險管理及評估5．風(fēng)險處置一般風(fēng)險處置的方式有降低風(fēng)險、避免風(fēng)險、轉(zhuǎn)移風(fēng)險、接受風(fēng)險。對于風(fēng)險的處置我們應(yīng)針對識別的風(fēng)險制定風(fēng)險處置計劃，主要包括時間、角色、職責(zé)分配、資金等的安排。風(fēng)險處置的目的是為了降低企業(yè)的業(yè)務(wù)風(fēng)險，所以在制定處置方式時我們要對風(fēng)險發(fā)生所帶來的損失和處置風(fēng)險所花的成本進行平衡，防止得不償失的情況出現(xiàn)。45網(wǎng)絡(luò)安全風(fēng)險評估網(wǎng)絡(luò)安全風(fēng)險評估的主要工作就是評估網(wǎng)絡(luò)信息的價值、判別網(wǎng)絡(luò)系統(tǒng)的脆弱性、判斷網(wǎng)絡(luò)系統(tǒng)中潛在的安全隱患，并測試網(wǎng)絡(luò)安全措施、建立風(fēng)險預(yù)測機制以及評定網(wǎng)絡(luò)安全等級，以評估整個網(wǎng)絡(luò)系統(tǒng)風(fēng)險的大小。主要內(nèi)容有：●網(wǎng)絡(luò)安全風(fēng)險評估關(guān)鍵技術(shù)●建立網(wǎng)絡(luò)安全風(fēng)險評估指標體系●實現(xiàn)網(wǎng)絡(luò)系統(tǒng)風(fēng)險評估的流程46網(wǎng)絡(luò)安全風(fēng)險評估1．網(wǎng)絡(luò)安全風(fēng)險評估關(guān)鍵技術(shù)在網(wǎng)絡(luò)安全風(fēng)險評估中，最常用的技術(shù)手段就是網(wǎng)絡(luò)掃描技術(shù)。網(wǎng)絡(luò)掃描技術(shù)不僅能夠?qū)崟r監(jiān)控網(wǎng)絡(luò)動態(tài)，而且還可以將相關(guān)的信息自動收集起來。網(wǎng)絡(luò)漏洞掃描也是一種比較常用而有效的安全掃描技術(shù)。通常這種技術(shù)分為兩種手段，一是首先掃描網(wǎng)絡(luò)端口，得出相應(yīng)的信息之后，對比原有的安全漏洞數(shù)據(jù)庫，以此推測出是否存在網(wǎng)絡(luò)漏洞；另外一種就是直接進行網(wǎng)絡(luò)掃描，獲取網(wǎng)絡(luò)漏洞信息。47網(wǎng)絡(luò)安全風(fēng)險評估2．建立網(wǎng)絡(luò)安全風(fēng)險評估指標體系設(shè)置網(wǎng)絡(luò)安全風(fēng)險指標體系的基本原則。（1）動態(tài)性原則。網(wǎng)絡(luò)安全風(fēng)險的指標體系要體現(xiàn)出動態(tài)性，能夠使相關(guān)部門適時、方便地掌握本區(qū)域網(wǎng)絡(luò)安全的第一手資料，從而使各項指標的制訂建立在科學(xué)的基礎(chǔ)上。（2）科學(xué)性原則。網(wǎng)絡(luò)安全風(fēng)險指標體系要能科學(xué)地反映本區(qū)域網(wǎng)絡(luò)安全的基本狀況和運行規(guī)律。（3）可比性原則。所選指標能夠?qū)W(wǎng)絡(luò)安全狀況進行橫向與縱向的比較。（4）綜合性原則。要綜合反映出本區(qū)域網(wǎng)絡(luò)安全的風(fēng)險狀況，綜合性評價就是指對總體中的各個體的多方面標志特征的綜合評價。（5）可操作性原則。指標體系具有資料易得、方法直觀和計算簡便的特點，因而要求具有操作上的可行性。48網(wǎng)絡(luò)安全風(fēng)險評估3．實現(xiàn)網(wǎng)絡(luò)系統(tǒng)風(fēng)險評估的流程（1）識別威脅和判斷威脅發(fā)生的概率。為了能夠進行更為集中的評估，應(yīng)該對那些可能產(chǎn)生威脅的細節(jié)給予特別的關(guān)注。識別威脅的過程有利于改進網(wǎng)絡(luò)管理和及時發(fā)現(xiàn)漏洞，這些改進的措施在一定程度上將減少威脅的危險性。（2）測量風(fēng)險。測量風(fēng)險是說明各種敵對行為在一個系統(tǒng)或應(yīng)用中發(fā)生的可能性及發(fā)生的概率。（3）風(fēng)險分析結(jié)果。風(fēng)險分析結(jié)果可以用典型的定量法和定性法進行描述。定量法可用于描述預(yù)計的金錢損失量。定性法是描述性質(zhì)的，通常用高、中、低或用1~10等級等形式來表示。49網(wǎng)絡(luò)安全工程網(wǎng)絡(luò)安全工程是對現(xiàn)有的網(wǎng)絡(luò)安全狀況進行較為徹底的檢查和評估，根據(jù)對當(dāng)前網(wǎng)絡(luò)安全技術(shù)進行的綜合分析，制定安全目標。并在此基礎(chǔ)上，提出一套較為系統(tǒng)、切實可行的工程實施方案，同時制定安全管理制度。網(wǎng)絡(luò)安全工程主要內(nèi)容有：安全檢測與評估、制定安全目標、網(wǎng)絡(luò)安全實施、人員培訓(xùn)。50網(wǎng)絡(luò)安全工程1．安全檢測與評估安全檢測與評估是保障網(wǎng)絡(luò)安全的重要措施，它能夠把不符合要求的設(shè)備或系統(tǒng)拒之門外，同時發(fā)現(xiàn)實際運行網(wǎng)絡(luò)上的問題。安全檢測和評估要做好三方面的工作。（1）把自動檢測、網(wǎng)絡(luò)管理和運行維護、技術(shù)支持有機地結(jié)合起來。（2）重視網(wǎng)絡(luò)互連和互連操作實驗。（3）把安全檢測與評估和安全技術(shù)研究結(jié)合起來。51網(wǎng)絡(luò)安全工程2．制定安全目標安全目標與網(wǎng)絡(luò)安全的重要性和投資效益有直接的關(guān)系，在可能的情況下，應(yīng)達到以下三項安全目標。（1）完整性是指信息在存儲或傳輸時不被破壞，杜絕未經(jīng)授權(quán)的修改。（2）可靠性是指信息的可信度，包括信息的完整性、準確性和發(fā)送人的身份驗證等方面，也包括有用信息不被破壞。（3）可用性是指合法用戶的正常請求能及時、正確、安全地得到服務(wù)或回應(yīng)。52網(wǎng)絡(luò)安全工程3．網(wǎng)絡(luò)安全實施（1）傳輸安全。信息在跨公網(wǎng)傳輸時，面臨著被竊取的危險，比如線路傳輸信號偵聽、搭線竊聽、非法接入和竊取數(shù)據(jù)文件等形式的攻擊，因此，要對傳輸?shù)膬?nèi)容進行端到端的加密。建議通過鏈路加密機方式實現(xiàn)端到端的加密。（2）網(wǎng)絡(luò)安全。為保證網(wǎng)絡(luò)層安全，主要需要加強系統(tǒng)安全、防黑客攻擊和網(wǎng)絡(luò)防病毒等系統(tǒng)的建設(shè)。（3）信息安全。建立一套內(nèi)部的CA系統(tǒng)，采用非對稱密鑰的加密方式，確保授權(quán)用戶對相應(yīng)信息的訪問，并防止未授權(quán)用戶的非法訪問和對信息的篡改。53網(wǎng)絡(luò)安全工程（4）建立統(tǒng)一的安全管理系統(tǒng)。建立面向管理層和決策層、與網(wǎng)絡(luò)規(guī)模相適應(yīng)的統(tǒng)計、分析、管理和決策系統(tǒng)。對所有的安全軟件/工具進行統(tǒng)一管理，使各種軟件/工具能夠協(xié)同工作。通過統(tǒng)計分析發(fā)現(xiàn)具有共性的問題和潛在的問題，以不斷完善和鞏固安全防衛(wèi)系統(tǒng)。4．人員培訓(xùn)在網(wǎng)絡(luò)安全的各因素中，人是最根本的，所以必須經(jīng)常對行政和技術(shù)人員有針對性地進行安全知識和技能培訓(xùn)。54（第1章）1.6TCP/IP體系的安全551.6TCP/IP體系的安全TCP/IP協(xié)議作為當(dāng)前最流行的協(xié)議，卻在設(shè)計時并未考慮到未來的安全需要，因此協(xié)議中有諸多安全問題。而協(xié)議的安全缺陷與電腦病毒的存在，使得網(wǎng)絡(luò)環(huán)境面臨極大的危險。1．TCP/IP體系存在的安全漏洞（1）數(shù)據(jù)鏈路層存在的安全漏洞（2）網(wǎng)絡(luò)層漏洞（3）IP漏洞561.6TCP/IP體系的安全（1）數(shù)據(jù)鏈路層存在的安全漏洞在以太網(wǎng)中，使用的是CSMA/CD協(xié)議，信道是共享的，任何主機發(fā)送的每一個以太網(wǎng)幀都會到達同一網(wǎng)段的所有主機的以太網(wǎng)接口。一般情況下，當(dāng)主機的太網(wǎng)接口檢測到數(shù)據(jù)幀不屬于自己時，就把它忽略掉，不會把它發(fā)送到上層協(xié)議。攻擊者利用信道是共享的特點，通過監(jiān)控軟件或網(wǎng)絡(luò)分析儀等進行在線竊聽，竊取網(wǎng)絡(luò)通信信息。571.6TCP/IP體系的安全（2）網(wǎng)絡(luò)層漏洞幾乎所有的基于TCP/IP的機器都會對ICMPecho請求進行響應(yīng)。所以如果攻擊者同時運行很多個ping命令向一個服務(wù)器發(fā)送超過其處理能力的ICMPecho請求時，就可以淹沒該服務(wù)器使其拒絕其他的服務(wù)。另外，ping命令可以在得到允許的網(wǎng)絡(luò)中建立秘密通道從而可以在被攻擊系統(tǒng)中開后門進行方便的攻擊，如收集目標上的信息并進行秘密通信等。581.6TCP/IP體系的安全（3）IP漏洞IP包通過網(wǎng)絡(luò)層從主機發(fā)送出去后，源IP地址就幾乎不用，僅在中間路由器因某種原因丟棄或到達目標端后，才被使用。這使得一個主機可以使用別的主機的IP地址發(fā)送IP包，只要它能把這類IP包放到網(wǎng)絡(luò)上就可以。因而如果攻擊者把自己的主機偽裝成被目標主機信任的友好主機，即把發(fā)送的IP包中的源IP地址改成被信任的友好主機的IP地址，利用主機間的信任關(guān)系就可以對信任主機進行攻擊。591.6TCP/IP體系的安全TCP/IP體系的安全主要包括以下幾點：（1）TCP/IP物理層的安全（2）TCP/IP網(wǎng)絡(luò)層的安全（3）TCP/IP傳輸層的安全（4）TCP/IP應(yīng)用層的安全60TCP/IP物理層的安全物理層安全問題是指由網(wǎng)絡(luò)環(huán)境及物理特性產(chǎn)生的網(wǎng)絡(luò)設(shè)施和線路安全性，致使網(wǎng)絡(luò)系統(tǒng)出現(xiàn)安全風(fēng)險，如設(shè)備被盜、意外故障、設(shè)備損壞與老化、信息探測與竊聽等。由于以太網(wǎng)上的交換設(shè)備使用的是廣播方式，攻擊者可能在某個廣播域中偵聽、竊取并分析信息。為此，保護鏈路上的設(shè)施安全極為重要，物理層的安全措施相對較少，多數(shù)采用“隔離技術(shù)”保證每兩個網(wǎng)絡(luò)在邏輯上能夠連通，同時從物理上隔斷，并加強實體安全管理與維護。61TCP/IP網(wǎng)絡(luò)層的安全網(wǎng)絡(luò)層的主要功能是用于數(shù)據(jù)包的網(wǎng)絡(luò)傳輸，其中IP是整個TCP/IP協(xié)議體系結(jié)構(gòu)的重要基礎(chǔ)，TCP/IP中所有協(xié)議的數(shù)據(jù)都以IP數(shù)據(jù)報形式進行傳輸。IPv4在設(shè)計時沒有考慮到網(wǎng)絡(luò)安全問題，IP包本身不具有任何安全特性，從而導(dǎo)致在網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包很容易泄露或受到攻擊，IP欺騙和ICMP攻擊都是針對IP層的攻擊手段。因此，通信雙方無法保證收到IP數(shù)據(jù)報的真實性。62TCP/IP網(wǎng)絡(luò)層的安全63網(wǎng)絡(luò)分段是保證安全的一項重要措施，同時也是一項基本措施，其指導(dǎo)思想在于將網(wǎng)絡(luò)資源相互隔離，從而達到限制用戶非法訪問的目的。網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式。物理分段通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層上分為若干網(wǎng)段，各網(wǎng)段相互之間無法進行直接通信。在實際應(yīng)用過程中，通常采取物理分段與邏輯分段相結(jié)合的方法來實現(xiàn)對網(wǎng)絡(luò)系統(tǒng)的安全性控制。TCP/IP網(wǎng)絡(luò)層的安全虛擬網(wǎng)（VLAN）技術(shù)主要基于近年發(fā)展的局域網(wǎng)交換技術(shù)。交換技術(shù)將傳統(tǒng)的基于廣播的局域網(wǎng)技術(shù)發(fā)展為面向連接的技術(shù)。以太網(wǎng)是基于廣播機制的，但應(yīng)用了VLAN技術(shù)后，實際上轉(zhuǎn)變?yōu)辄c到點通信，除非設(shè)置了監(jiān)聽端口，否則信息交換不會存在監(jiān)聽和插入問題。VLAN帶來的好處是信息只能到達應(yīng)該到達的地點。因此，防止了大部分基于網(wǎng)絡(luò)監(jiān)聽的入侵手段。64TCP/IP傳輸層的安全傳輸層的安全主要包括：傳輸與控制安全、數(shù)據(jù)交換與認證安全、數(shù)據(jù)保密性與完整性等。TCP是一個面向連接的協(xié)議，用于多數(shù)的互聯(lián)網(wǎng)服務(wù)，如HTTP、FTP和SMTP。為了保證傳輸層的安全，Netscape通信公司設(shè)計了安全套接層協(xié)議SSL(SecureSocketLayer)，現(xiàn)更名為安全傳輸層協(xié)議TLS(TransportLayerSecurity)，主要包括SSL握手協(xié)議和SSL記錄協(xié)議兩個協(xié)議。SSL握手協(xié)議用來交換版本號、加密算法、身份認證并交換密鑰。SSL記錄協(xié)議涉及應(yīng)用程序提供的信息的分段、壓縮、數(shù)據(jù)認證和加密。65TCP/IP應(yīng)用層的安全在應(yīng)用層中，網(wǎng)絡(luò)安全性問題主要出現(xiàn)在需要重點解決的常用應(yīng)用系統(tǒng)（協(xié)議）中，包括HTTP、FTP、SMTP、DNS和Telnet等協(xié)議。網(wǎng)絡(luò)層及傳輸層的安全協(xié)議允許為主機（進程）之間的數(shù)據(jù)通道增加安全屬性。這意味著真正的數(shù)據(jù)通道是建立在主機或進程之間，但卻不能區(qū)分在同一通道上傳輸?shù)囊粋€具體文件的安全性要求。如果想要區(qū)分一個具體文件的不同的安全性要求，那就必須借助于應(yīng)用層的安全性。提供應(yīng)用層的安全服務(wù)實際上是最靈活的處理單個文件安全性的手段。例如一個電子郵件系統(tǒng)需要對發(fā)出的信件的個別段落實施數(shù)據(jù)簽名。較低層的協(xié)議提供的安全功能一般不會知道發(fā)出信件的段落結(jié)構(gòu)，從而不知道該對哪一部分進行簽名。只有應(yīng)用層是唯一能夠提供這種安全服務(wù)的層次。66應(yīng)用層提供安全服務(wù)方案（1）對每個應(yīng)用及應(yīng)用協(xié)議分別進行修改。IETF規(guī)定了私用強化郵件（PEM）來為基于SMTP的電子郵件系統(tǒng)提供安全服務(wù)。PEM依賴于完全可操作的PKI（公鑰基礎(chǔ)結(jié)構(gòu)）。PEMPKI是按層次組織的，由三個層次構(gòu)成：頂層為Internet安全政策登記機構(gòu)（IPRA），次層為安全政策證書頒發(fā)機構(gòu)（PCA），底層為證書頒發(fā)機構(gòu)（CA）。PGP（prettyGoodPrivacy）符合PEM的絕大多數(shù)規(guī)范，但不必要求PKI的存在。相反，它采用了分布式的信任模型，即由每個用戶自己決定該信任哪些其他用戶。因此，PGP不是去推廣一個全局的PKI，而是讓用戶自己建立自己的信任之網(wǎng)。67應(yīng)用層提供安全服務(wù)方案（2）在Web上使用S-HTTP超文本傳輸協(xié)議的安全增強版本。S-HTTP提供了文件級的安全機制，因此每個文件都可以被設(shè)成私人/簽字狀態(tài)。用作加密及簽名的算法可以由參與通信的收發(fā)雙方協(xié)商。S-HTTP提供了對多種單向散列（Hash）函數(shù)的支持，如:MD2，MD5及SHA等；對多種單鑰體制的支持，如:DES，3DES，RC2，RC4；對數(shù)字簽名體制的支持，如:RSA和DSS。S-HTTP和SSL是從不同角度提供Web的安全性的。S-HTTP對單個文件作“私人/簽字”之區(qū)分，而SSL則把參與通信的相應(yīng)進程之間的數(shù)據(jù)通道按“私用”和“已認證”進行監(jiān)管。68應(yīng)用層提供安全服務(wù)方案③為應(yīng)用電子商務(wù)，尤其是信用卡交易制定一系列的安全協(xié)議。為使互聯(lián)網(wǎng)的信用卡交易安全起見，MasterCard公司與IBM，Netscape，GTE和Cybercash等公司制定了安全電子付費協(xié)議（SEPP），Visa國際公司和微軟一起制定了安全交易技術(shù)（STT）協(xié)議。同時，MasterCard，Visa國際和微軟已經(jīng)同意聯(lián)手推出互聯(lián)網(wǎng)上的安全信用卡交易服務(wù)。他們發(fā)布了相應(yīng)的安全電子交易（SET）協(xié)議，其中規(guī)定了信用卡持卡人用其信用卡通過互聯(lián)網(wǎng)進行付費的方法。這套機制的后臺有一個證書頒發(fā)的基礎(chǔ)結(jié)構(gòu)，提供對X.509證書的支持。69ARP安全ARP（AddressResolutionProtocol）安全是針對ARP攻擊的一種安全特性，ARP通過嚴格學(xué)習(xí)、動態(tài)ARP檢測、ARP表項保護和ARP報文速率限制等措施來保證網(wǎng)絡(luò)設(shè)備的安全性。ARP安全特性不僅能夠防范針對ARP協(xié)議的攻擊，還可以防范網(wǎng)段掃描攻擊等基于ARP協(xié)議的攻擊。1.常見ARP攻擊方式（1）ARP泛洪攻擊。通過向網(wǎng)關(guān)發(fā)送大量ARP報文，導(dǎo)致網(wǎng)關(guān)無法正常響應(yīng)。首先發(fā)送大量的ARP請求報文，然后又發(fā)送大量虛假的ARP響應(yīng)報文，從而造成網(wǎng)關(guān)部分的CPU利用率上升難以響應(yīng)正常服務(wù)請求，而且網(wǎng)關(guān)還會被錯誤的ARP表充滿導(dǎo)致無法更新維護正常ARP表，消耗網(wǎng)絡(luò)帶寬資源，引起整個網(wǎng)絡(luò)無法正常工作。701.常見ARP攻擊方式（2）ARP欺騙主機攻擊。攻擊者通過ARP欺騙使得局域網(wǎng)內(nèi)被攻擊主機發(fā)送給網(wǎng)關(guān)的信息實際上都發(fā)送給攻擊者。主機刷新自己的ARP使得在自己的ARP緩存表中對應(yīng)的MAC地址為攻擊者的MAC地址，這樣一來其他用戶要通過網(wǎng)關(guān)發(fā)送出去的數(shù)據(jù)流就會發(fā)往主機這里，這樣就會造成用戶的數(shù)據(jù)外泄。（3）欺騙網(wǎng)關(guān)攻擊。欺騙網(wǎng)關(guān)就是把別的主機發(fā)送給網(wǎng)關(guān)的數(shù)據(jù)通過欺騙網(wǎng)關(guān)的形式使得這些數(shù)據(jù)通過網(wǎng)關(guān)發(fā)送給攻擊者。這種攻擊目標選擇的不是個人主機而是局域網(wǎng)的網(wǎng)關(guān)，這樣就會攻擊者源源不斷的獲取局域網(wǎng)內(nèi)其他用戶的數(shù)據(jù)，造成數(shù)據(jù)的泄露。711.常見ARP攻擊方式72（4）中間人攻擊。中間人攻擊是同時欺騙局域網(wǎng)內(nèi)的主機和網(wǎng)關(guān)，局域網(wǎng)中用戶的數(shù)據(jù)和網(wǎng)關(guān)的數(shù)據(jù)會發(fā)給同一個攻擊者，這樣，用戶與網(wǎng)關(guān)的數(shù)據(jù)就會泄露。（5）IP地址沖突攻擊。通過對局域網(wǎng)中的物理主機進行掃描，掃描出局域網(wǎng)中的物理主機的MAC地址，然后根據(jù)物理主機的MAC地址進行攻擊，導(dǎo)致局域網(wǎng)內(nèi)的主機產(chǎn)生IP地址沖突，影響用戶的網(wǎng)絡(luò)正常使用。2.ARP欺騙原理ARP欺騙是通過冒充網(wǎng)關(guān)或其他主機使得到達網(wǎng)關(guān)或主機的流量通過攻擊手段進行轉(zhuǎn)發(fā)。從而控制流量或得到機密信息。ARP欺騙不是真正使網(wǎng)絡(luò)無法正常通信，而是ARP欺騙發(fā)送虛假信息給局域網(wǎng)中其他的主機，這些信息中包含網(wǎng)關(guān)的IP地址和主機的MAC地址；并且也發(fā)送了ARP應(yīng)答給網(wǎng)關(guān)，當(dāng)局域網(wǎng)中主機和網(wǎng)關(guān)收到ARP應(yīng)答更新ARP表后，主機和網(wǎng)關(guān)之間的流量就需要通過攻擊主機進行轉(zhuǎn)發(fā)。732.ARP欺騙原理主機C給網(wǎng)關(guān)E發(fā)送ARP請求說，我的IP地址是IP2，MAC地址為MAC1，網(wǎng)關(guān)收到請求后確認，凡是接收到發(fā)往IP2的信息都轉(zhuǎn)發(fā)到主機C上去了；同樣道理，主機C給主機D發(fā)送ARP請求說，我的IP地址是IP3，MAC地址為MAC1，主機D收到請求后確認，之后凡是接收到發(fā)往網(wǎng)關(guān)E的信息都轉(zhuǎn)發(fā)到主機C上去了。743.ARP攻擊防護（1）不要把網(wǎng)絡(luò)信任關(guān)系單純地建立在IP基礎(chǔ)上或MAC基礎(chǔ)上，應(yīng)在網(wǎng)絡(luò)中架設(shè)DHCP服務(wù)器，綁定網(wǎng)關(guān)與客戶端IP+MAC。（2）添加靜態(tài)的ARP映射表，不讓主機刷新設(shè)定好的映射表，該做法適用于網(wǎng)絡(luò)中主機位置穩(wěn)定，不適用在主機更換頻繁的局域網(wǎng)中。（3）ARP高速緩存超時設(shè)置。在ARP高速緩存中的表項一般都要設(shè)置超時值，縮短這個超時值可以有效的防止ARP表的溢出。（4）架設(shè)ARP服務(wù)器。通過該服務(wù)器查找自己的ARP映射表來響應(yīng)其他機器的ARP廣播。（5）主動查詢。在某個正常的時刻，做一個IP和MAC對應(yīng)的數(shù)據(jù)庫，以后定期檢查當(dāng)前的IP和MAC對應(yīng)關(guān)系是否正常，定期檢測交換機的流量列表，查看丟包率。（6）使用防火墻等連續(xù)監(jiān)控網(wǎng)絡(luò)。75DHCP安全DHCP（動態(tài)主機配置協(xié)議）是一種網(wǎng)絡(luò)協(xié)議，它使DHCP服務(wù)器/網(wǎng)絡(luò)服務(wù)器能夠為請求設(shè)備動態(tài)分配IP地址、子網(wǎng)掩碼、默認網(wǎng)關(guān)和其他網(wǎng)絡(luò)配置參數(shù)。它通過有效地自動分配IP地址并最大限度地減少IP地址浪費和IP地址沖突，自動執(zhí)行網(wǎng)絡(luò)管理員的普通IP地址配置任務(wù)。DHCP服務(wù)器可以從其地址池中為網(wǎng)絡(luò)設(shè)備動態(tài)分配IP地址，并回收它們。761.常見DHCP攻擊方式（1）DHCP服務(wù)器欺騙攻擊。由于DHCP服務(wù)器和DHCP客戶端之間沒有認證機制，所以如果在網(wǎng)絡(luò)上隨意添加一臺DHCP服務(wù)器，它就可以仿冒DHCP服務(wù)器為客戶端分配IP地址以及其他網(wǎng)絡(luò)參數(shù)。當(dāng)交換機下接終端通過DHCP申請地址時，DHCP服務(wù)器仿冒者先于其它DHCP服務(wù)器回應(yīng)并分配地址給客戶端，進而引起網(wǎng)絡(luò)地址分配錯誤，導(dǎo)致網(wǎng)絡(luò)業(yè)務(wù)異常。（2）DHCP泛洪攻擊。當(dāng)交換機作為DHCP服務(wù)器或者中繼角色時，如果惡意用戶發(fā)送大量的DHCP報文到交換機，侵占交換機DHCP處理能力，導(dǎo)致其它合法DHCP交互無法正常進行，進而導(dǎo)致終端無法申請地址或者無法續(xù)租地址。771.常見DHCP攻擊方式（3）中間人攻擊。首先，中間人向客戶端發(fā)送帶有自己的MAC地址和服務(wù)器IP地址的報文，讓客戶端學(xué)到中間人的IP和MAC，達到仿冒DHCPServer的目的。達到目的后，客戶端發(fā)到DHCP服務(wù)器的報文都會經(jīng)過中間人；然后，中間人向服務(wù)器發(fā)送帶有自己MAC和客戶端IP的報文，讓服務(wù)器學(xué)到中間人的IP和MAC，達到仿冒客戶端的目的。中間人完成服務(wù)器和客戶端的數(shù)據(jù)交換。在服務(wù)器看來，所有的報文都是來自或者發(fā)往客戶端；在客戶端看來，所有的報文也都是來自或者發(fā)往服務(wù)器端。但實際上這些報文都是經(jīng)過了中間人的“二手”信息。782.DHCP攻擊防護DHCP服務(wù)器在與客戶端在IP地址請求和分發(fā)的過程中，缺少認證機制。所以網(wǎng)絡(luò)中如果出現(xiàn)一臺非法的DHCP服務(wù)器為客戶端提供非法的IP地址，那么就黑客就可以做一些中間人攻擊的操作，給網(wǎng)絡(luò)的安全性帶來了隱患。為了防止DHCP的攻擊，主要從以下兩點進行防護。（1）硬件防護。在管理交換機的端口上做MAC地址動態(tài)綁定，防止不法客戶端偽造MAC地址。（2）網(wǎng)絡(luò)防護。在管理交換機上，除合法的DHCP服務(wù)器所在接口外，全部設(shè)置為禁止發(fā)送DHCPOFFER包。79TCP安全傳輸控制協(xié)議（TCP，TransmissionControlProtocol）是一種面向連接的、可靠的、基于字節(jié)流的傳輸層通信協(xié)議。TCP攻擊是指利用TCP協(xié)議的設(shè)計缺陷或漏洞，對目標主機或網(wǎng)絡(luò)進行攻擊的行為。TCP攻擊包括TCPSYN泛洪攻擊、TCPSYN掃描攻擊、TCPFIN掃描、TCPLAND攻擊、TCP中間人攻擊和TCP連接重置攻擊等。801.TCP攻擊原理TCP主要特征有：三次握手連接和四次揮手斷開；進行擁塞控制，服務(wù)端還需要單獨解析協(xié)議內(nèi)容有：少包、丟包、異常響應(yīng)等。三次握手就是建立TCP連接，建立連接時，需要客戶端和服務(wù)端總共發(fā)送3個包以確認連接的建立。四次揮手斷開即終止TCP連接，就是指斷開一個TCP連接時，需要客戶端和服務(wù)端總共發(fā)送4個包來確認連接是否斷開。TCP攻擊的原理：短時間內(nèi)偽造大量不存在的IP地址，并向服務(wù)端不斷地發(fā)送數(shù)據(jù)包，服務(wù)端回復(fù)確認包，并且等待客戶端的確認，由于客戶端的關(guān)閉，導(dǎo)致數(shù)據(jù)端不斷重發(fā)直至超時，進而達到占用分配資源的目的，導(dǎo)致正常的數(shù)據(jù)請求因為服務(wù)器已經(jīng)無法接收而被屏蔽，因此網(wǎng)絡(luò)堵塞造成服務(wù)器系統(tǒng)癱瘓。81TCP連接三次握手和斷開四次揮手82連接的三次握手斷開的四次揮手2.TCPSYN泛洪攻擊TCPSYN泛洪攻擊是利用TCP三次握手過程存在的漏洞，達到一種DoS（DenialofService）攻擊目的。攻擊者利用TCP協(xié)議中的三次握手過程中存在的漏洞，向目標主機發(fā)送大量偽造的TCPSYN連接請求，目標主機在接收到這些請求后會向攻擊者回復(fù)TCPSYN-ACK包，然后等待攻擊者響應(yīng)TCPACK包，完成TCP連接的建立。但攻擊者并不會回復(fù)TCPACK包，而是會忽略目標主機發(fā)來的TCPSYN-ACK包并持續(xù)發(fā)送TCPSYN連接請求，從而導(dǎo)致目標主機長時間等待TCP連接的建立，占用大量資源，最終導(dǎo)致目標主機無法正常工作。832.TCPSYN泛洪攻擊防御策略：●安裝防火墻，利用防火墻的過濾功能，從而間接地過濾掉一部分可能存在的惡意的TCP數(shù)據(jù)包，從而保護目標主機?！裼肨CPSYNCookie機制，TCPSYNCookie是一種防止TCPSYN泛洪攻擊的機制，它可以在不存儲連接信息的情況下，使被攻擊主機正確處理TCP連接請求。●限制TCP連接數(shù)，通過限制TCP連接數(shù)，可以減少TCPSYN泛洪攻擊的危害。843.TCPSYN掃描攻擊TCPSYN掃描攻擊可以掃描到被攻擊主機所支持的TCP開放端口，從而可以進一步發(fā)現(xiàn)被攻擊主機的一些其他信息。原理：當(dāng)攻擊者向被攻擊主機某個端口發(fā)送第一次握手連接，如果被攻擊主機此端口在TCP監(jiān)聽狀態(tài)，則會向攻擊者發(fā)送第二次握手包。根據(jù)TCP協(xié)議連接時三次握手規(guī)范，此時被攻擊主機在等待攻擊者發(fā)送第三次握手包。但此時攻擊者并不會響應(yīng)第三次握手，而是會迅速發(fā)送TCPRST包，也會避免對方記錄連接信息。以一種無痕跡的方式獲取到了目標主機的開放端口。當(dāng)攻擊者獲取到某一個端口狀態(tài)時，繼續(xù)切換到下一端口，按照以上步驟再次發(fā)送TCPSYN掃描攻擊，直到所有端口掃描完畢。853.TCPSYN掃描攻擊防御策略：●安裝防火墻。可以利用防火墻的過濾功能，從而間接地過濾掉一部分可能存在的惡意的TCP數(shù)據(jù)包，從而保護目標主機?！耜P(guān)閉不經(jīng)常使用的服務(wù)，不允許隨意安裝APP，也可以減少系統(tǒng)的漏洞，使系統(tǒng)的安全性進一步提高?！袷褂肐DS（入侵檢測系統(tǒng)和入侵防御系統(tǒng)）防御設(shè)備，也可以有針對性地、及時地發(fā)現(xiàn)攻擊者是否在進行TCPSYN掃描，使得目標機系統(tǒng)安全得到提升。864.TCPFIN掃描攻擊（1）TCPFIN掃描攻擊。TCPFIN掃描攻擊，英文為“TCPFINScanAttack”。TCPFIN掃描攻擊屬于TCP協(xié)議存在的一種漏洞，TCPFIN掃描攻擊與TCPSYN掃描攻擊實現(xiàn)的目的一致，都是為了獲得目標主機開放的端口，從而獲取目標主機的一些其他信息。TCPFIN掃描攻擊是一種無痕跡掃描，攻擊掃描期間并不會與對方建立連接。因此也不會被對方記錄連接信息。當(dāng)攻擊者獲取到某一個端口狀態(tài)時，可以繼續(xù)切換到下一端口，按照以上步驟再次發(fā)送TCPFIN掃描攻擊，直到所有端口掃描完畢。（2）防御策略。針對TCPFIN掃描攻擊，也可以制定一些相應(yīng)的方法進行防御。如安裝防火墻，關(guān)閉不經(jīng)常使用服務(wù)等。875.TCPLAND攻擊TCPLand攻擊，是一種利用TCP協(xié)議中的漏洞進行的攻擊。它的主要原理是偽造一個TCP數(shù)據(jù)包，并在該數(shù)據(jù)包的源IP地址和目標IP地址中都填寫相同的IP地址，從而使目標主機陷入死循環(huán)，無法與其他主機通信。TCPLAND攻擊利用了TCP協(xié)議中的SYN標志位。攻擊者發(fā)送一個偽造的TCPSYN數(shù)據(jù)包（SYN標志位被設(shè)置為1）給目標主機，并且將源IP地址和目標IP地址都被設(shè)置為目標主機的IP地址。當(dāng)目標主機接收到這個數(shù)據(jù)包時，它會認為這是一個新的TCP連接請求，并嘗試發(fā)送一個SYNACK數(shù)據(jù)包作為響應(yīng)。但是，由于源IP地址和目標IP地址都為目標主機本身，目標主機會一直向自己發(fā)送數(shù)據(jù)，最終導(dǎo)致系統(tǒng)崩潰或網(wǎng)絡(luò)擁堵。885.TCPLAND攻擊防御策略：TCPLAND攻擊是一種常見的DoS攻擊手段，可以通過配置防火墻，限制TCP的源地址是本地地址，配置網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)實時檢測網(wǎng)絡(luò)中的流量信息，當(dāng)發(fā)現(xiàn)異常流量時及時上報提醒，防止TCPLAND攻擊等類型的拒絕服務(wù)攻擊。896.TCP中間人攻擊TCP中間人攻擊是攻擊者在網(wǎng)絡(luò)中對傳輸?shù)臄?shù)據(jù)進行監(jiān)聽和分析，當(dāng)攻擊者獲取到客戶端的TCP會話序列號及確認號后，就可以偽造TCP數(shù)據(jù)包來冒充客戶端與服務(wù)器進行通信。攻擊者通過這種方式可以繞過服務(wù)器的認證和授權(quán)機制，進而實現(xiàn)各種攻擊目的。中間人攻擊，包括TCP會話劫持和TCP連接重置兩種實現(xiàn)方式。90PSH包的出現(xiàn)，表示有數(shù)據(jù)傳輸。6.TCP中間人攻擊91●TCP會話劫持。是指攻擊者通過監(jiān)聽或者篡改網(wǎng)絡(luò)流量，獲取到合法用戶的TCP會話信息，然后利用這些信息來冒充合法用戶與服務(wù)器或其他合法用戶進行通信的一種攻擊行為。攻擊者利用TCP會話劫持可以實施多種攻擊，如竊取用戶信息、篡改用戶數(shù)據(jù)、劫持會話等?！馮CP連接重置攻擊。攻擊者通過向通信的一方或雙方發(fā)送偽造的TCP重置包，告訴它們立即斷開連接，從而使通信雙方連接中斷。如果偽造的重置報文段完全逼真，接收者就會認為它有效，并關(guān)閉TCP連接，防止連接被用來進一步交換信息。服務(wù)端可以創(chuàng)建一個新的TCP連接來恢復(fù)通信，但仍然可能會被攻擊者重置連接。6.TCP中間人攻擊一般情況下，攻擊者需要一定的時間來組裝和發(fā)送偽造的報文，所以這種攻擊只對長連接有殺傷力，對于短連接而言，攻擊者還沒完成攻擊，服務(wù)器和客戶機已經(jīng)完成了信息交換。防御策略：●使