第四章网络安全PPT课件.ppt

网络安全问题 第四章 1 本章学习内容 网络安全框架网络安全机制网络攻击原理与步骤常见的网络攻击手段IPv4的安全问题Internet网络服务的安全问题IPv6新一代网络的安全机制 2 4 1网络安全框架 1989 2 15颁布 确立了基于OSI参考模型的七层协议之上的信息安全体系结构五大类安全服务 鉴别 访问控制 保密性 完整性 抗否认 八类安全机制 加密 数字签名 访问控制 数据完整性 鉴别交换 业务流填充 路由控制 公证 OSI安全管理 3 安全服务 安全服务的基本类型 ISO对OSI规定了五种级别的安全服务 对象认证访问控制数据保密性数据完整性防抵赖 4 鉴别服务鉴别服务包括同等实体鉴别和数据源鉴别两种服务 使用同等实体鉴别服务可以对两个同等实体 用户或进程 在建立连接和开始传输数据时进行身份的合法性和真实性验证 以防止非法用户的假冒 也可防止非法用户伪造连接初始化攻击 数据源鉴别服务可对信息源点进行鉴别 可确保数据是由合法用户发出 以防假冒 5 访问控制服务访问控制包括身份验证和权限验证 访问控制服务防止未授权用户非法访问网络资源 也防止合法用户越权访问网络资源 6 数据保密性服务采用数据保密性服务的目的是保护网络中各通信实体之间交换的数据 即使被非法攻击者截获 也使其无法解读信息内容 以保证信息不失密 该服务也提供面向连接和无连接两种数据保密方式 保密性服务还提供给用户可选字段的数据保护和信息流安全 即对可能从观察信息流就能推导出的信息提供保护 信息流安全的目的是确保信息从源点到目的点的整个流通过程的安全 7 数据完整性服务数据完整性服务防止非法用户对正常数据的变更 如修改 插入 延时或删除 以及在数据交换过程中的数据丢失 数据完整性服务可分为以下五种情形 通过这些服务来满足不同用户 不同场合对数据完整性的要求 带恢复功能的面向连接的数据完整性 不带恢复功能的面向连接的数据完整性 选择字段面向连接的数据完整性 选择字段无连接的数据完整性 无连接的数据完整性 8 非否认服务非否认服务可防止发送方发送数据后否认自己发送过数据 也可防止接收方接收数据后否认已接收过数据 它由两种服务组成 一是发送 源点 非否认服务 二是接收 交付 非否认服务 这实际上是一种数字签名服务 9 安全服务与协议层中的位置 10 ISO7498 2到TCP IP的映射 11 4 2支持安全服务的基本机制 为了实现上述5种安全服务 ISO7408 2中制定了支持安全服务的8种安全机制 它们分别是 加密机制 EnciphrementMechanisms 数字签名机制 DigitalSignatureMechanisms 访问控制机制 AccessControlMechanisms 数据完整性机制 DataIntegrityMechanisms 鉴别交换机制 AuthenticationMechanisms 通信业务填充机制 TrafficPaddingMechanisms 路由控制机制 RoutingControlMechanisms 公证机制 NotarizationMechanisms 12 1 加密机制 密码机制 可以支持数据保密性 完整性等多种安全服务 算法可以是可逆的 也可以是不可逆的2 数字签名机制数字签名机制主要解决以下安全问题 1 否认 2 伪造 3 冒充 4 篡改 数字签名机制具有可证实性 不可否认性 不可伪造性和不可重用性 13 3 访问控制机制访问控制可以防止未经授权的用户非法使用系统资源 这种服务不仅可以提供给单个用户 也可以提供给用户组的所有用户 访问控制是通过对访问者的有关信息进行检查来限制或禁止访问者使用资源的技术 分为高层访问控制和低层访问控制 高层访问控制包括身份检查和权限确认 是通过对用户口令 用户权限 资源属性的检查和对比来实现的 低层访问控制是通过对通信协议中的某些特征信息的识别 判断 来禁止或允许用户访问的措施 14 4 数据完整性机制数据完整性是指在数据传输过程中 接收到的数据和原来数据之间保持完全一致 数据完整性包括数据单元的完整性和数据序列的完整性两个方面 数据单元的完整性是指组成一个单元的一段数据不被破坏和增删篡改 数据序列的完整性是指发出的数据分割为按序列号编排的许多单元时 在接收时还能按原来的序列把数据串联起来 而不要发生数据单元的丢失 重复 乱序 假冒等情况 目前保持数据完整性的算法多是数据摘压算法和数字签名算法 15 5 鉴别交换机制 AuthenticationExchange 交换鉴别机制是通过互相交换信息的方式来确定彼此的身份 用于交换鉴别的技术有以下2种 1 口令 由发送方给出自己的口令 以证明自己的身份 接收方则根据口令来判断对方的身份 2 密码技术 发送方和接收方各自掌握的密钥是成对的 接收方在收到已加密的信息时 通过自己掌握的密钥解密 能够确定信息的发送者是掌握了另一个密钥的那个人 在许多情况下 密码技术常需用到时间标记 同步时钟 双方或三方 握手 协议以及数字签名和公证机构 此外 还可利用实体的特征或所有权进行鉴别 如指纹识别和身份卡等 16 6 通信业务流填充流量填充机制提供针对流量分析的保护7 路由控制路由控制机制可以指定通过网络发送数据的路径 这样 可以选择那些可信的网络结点 从而确保数据不会暴露在安全攻击之下 而且 如果数据进入某个没有正确安全标志的专用网络时 网络管理员可以选择拒绝该数据包 17 8 公证机制网络的开放性使网络鱼龙混杂 人们难辨真伪 同时 网络的有些故障和缺陷也可能导致信息的丢失或延误 为了免得事后说不清 可以找一个大家都信任的公证机构 各方交换的信息都通过公证机构来中转 公证机构从中转的信息里提取必要的证据 日后一旦发生纠纷 就可以据此作出仲裁 18 安全服务和安全机制的关系 19 4 3网络攻击原理与步骤 1 网络攻击的概念利用目标计算机网络系统的安全缺陷 为窃取 修改 伪造或破坏信息 以及降低 破坏网络使用效能而采取的各种措施和行动 通俗的说 网络攻击就是在没有授权的情况下而使用了网络资源目的 降低 破坏网络使用效能破坏目标的秘密 20 2 安全漏洞 在计算机网络安全领域 漏洞 是因设计不周而导致的硬件 软件或策略存在的缺陷 正是由于这种缺陷的存在而导致了许多非法用户未经授权而获得访问系统的权限或提高其访问权限 事实上 目前出现的所有软 硬件都存在不同程度的漏洞 计算机网络领域要达到绝对安全是不可能的 但是 可以努力使其安全漏洞减少到最小的程度 使由漏洞带来的损失尽量减少 21 1 与软件 硬件供应商相关的安全漏洞 这类主要包括软件的各种Bugs 操作系统的补丁 脆弱的服务程序 网络系统及程序的缺省配置中可能设置的不安全选项 硬件中固有的脆弱性代码及硬件设计与实现时的缺陷等也是系统产生安全漏洞的重要原因 这部分的漏洞原因有两点 第一 在程序编写过程中 编程人员在授意下或为了某种目的 有意地在程序的隐蔽处留下各种各样的后门 供日后使用 第二 由于编程人员水平 经验和当时的安全技术所限 在程序中总会或多或少的有些不足之处 这些地方有的是影响程序的运行效率 有的会导致非授权用户的权限提升 安全漏洞的成因 22 2 与系统管理者有关的安全漏洞 实际上 UNIX类操作系统和微软的NT类操作系统内部都采取了较强的安全机制 并且为系统管理员提供了许多安全选项 用于配置符合用户单位安全需要的系统 但是 如果系统管理员不能正确理解各安全选项的作用 并适当地选用它们 那么操作系统许多内在的安全机制就不能发挥作用 甚至形成系统安全的 短板 23 3 与用户活动有关的安全漏洞 共享目标的授权 账户口令的不经意泄漏 病毒检测不完备 自接Modem绕过内部网络系统的安全防范边界 一机同时跨接或分时跨接内部网与Internet 从网上下载含病毒或木马软件的文档资料 私自安装有缺陷的应用软件 利用软盘或U盘和其他计算机随意交换文件 私自提高访问权限等 此外 还有内部不满用户以及恶意的离职用户的实施的攻击更是对系统安全的严重威胁 24 安全漏洞的类型 1 允许拒绝服务的漏洞 拒绝服务 是一种常见的恶作剧式的攻击方式 它使服务器忙于处理一些乱七八糟的任务 消耗大量的处理时间 以至于服务器无暇顾及用户的请求 允许拒绝服务的漏洞则可能导致拒绝服务发生 2 允许有限权限的本地用户未经授权提高其权限的漏洞3 允许外来团体 在远程主机上 未经授权访问网络的漏洞 25 3 网络攻击基本过程 网络攻击是网络信息战中的主动行为 目标是为了获取网络空间的控制权 网络攻击是利用目前网络通信协议自身存在的或因配置不当而产生的安全漏洞 用户使用的操作系统内在缺陷或者用户使用的程序语言本身所具有的安全隐患等 使用网络命令 或者从Internet上下载的专用攻击工具 或者攻击者自己编写的攻击程序 攻击目标主机使其无法正常工作 或者通过非法进入本地或者远程用户主机系统 非法获得 修改 删除用户系统的信息以及在用户系统上添加各种恶意信息等一系列过程的总称 26 3 网络攻击基本过程 27 1 目标探测1 通过网络 查InterNIC 使用搜索引擎2 通过电信3 扫描目标主机 Nmap X Scan Satan2 定位3 获取一般用户访问权4 提升访问权5 获取目标主机上的信息6 扩展攻击效果与消除入侵痕迹 28 1 有阻塞类攻击2 控制类攻击3 探测类攻击4 欺骗类攻击5 漏洞类攻击6 破坏类攻击任何一次网络攻击 都可能不止采用一种攻击手段 很可能是多种攻击手段的集合 常见的网络攻击手段 29 1 阻塞类攻击 阻塞类攻击企图强制占有信道资源 网络连接资源 存储空间资源 使服务器崩溃或资源耗尽无法对外继续提供服务拒绝服务攻击是典型的阻塞类攻击拒绝服务攻击是由人或非人为发起的行动 使你的主机硬件 软件或者两者同时失去工作能力 使你的系统不可访问并因此拒绝合法的用户服务要求 这种攻击往往是针对TCP IP协议中的某个弱点 或者系统存在的某些漏洞 对目标系统发起的大规模进攻致使攻击目标无法向合法的用户提供正常的服务 拒绝服务攻击简单有效 能够产生迅速的效果 目的 攻击者并不单纯为了进行拒绝服务攻击而攻击 往往是为了完成其他的攻击面必须做的 例如 在目标主机上放了木马 需要让目标主机重启 为了完成IP欺骗 而使被冒充的主机瘫痪 在正式攻击之前 使目标主机的日志系统不能正常工作 30 常用的拒绝服务攻击 ping拒绝服务攻击 pingofdeath ping 攻击是向目标端口发送大量的超大尺寸的ICMP包来实现的 由于在早期的阶段 路由器对所传输的文件包最大尺寸都有限制 许多操作系统对TCP IP的实现在ICMP包上都是规定64KB 并且在对包的标题头进行读取之后 要根据该标题头里包含的信息来为有效载荷生成缓冲区 一旦产生畸形即声称自己的尺寸超过ICMP上限的包 也就是加载的尺寸超过64KB上限时 就会出现内存分配错误 导致TCP IP堆栈崩溃 从而导致系统崩溃 这类攻击只要简单地使用命令 ping l65510目标主机IP 但是这种攻击方式主要是针对Windows9X操作系统的 而Unix Linux Solaris MacOS都具有抵抗一般pingofdeath攻击的能力 31 SYNflood攻击正常的一个TCP连接需要连接双方进行三个动作 即 三次握手 其过程如下 请求连接的客户机首先将一个带SYN标志位的包发给服务器 服务器收到这个包后产生一个自己的SYN标志 并把收到到包的SYN 1作为ACK标志返回给客户机 客户机收到该包后 再发一个ACK SYN 1的包给服务器 经过这三次握手 连接才正式建立 32 在服务器向客户机发返回包时 它会等待客户机的ACK确认包 这时这个连接被加到未完成连接队列中 直到收到ACK应答后或超时才从队列中删除 这个队列是有限的 一些TCP IP堆栈的实现只能等待从有限数量的计算机发来的ACK消息 因为他们只有限度数量的内存缓冲区用于创建连接 如果这些缓冲区内充满了虚假连接的初始信息 该服务器就会对接下来的连接停止响应 直到缓冲区里的连接企图超时 如果客户机伪装大量SYN包进行连接请求并且不进行第三次握手 则服务器的未完成连接队列就会被塞满 正常的连接请求就会被拒绝 这样就造成了拒绝服务 在一些创建连接不受限制的实现里 SYNflood具有类似的影响 不过未来的SYNflood令人担忧 这是由于发出SYNflood的攻击者并不寻求响应 所以无法从一个简单高容量的传输中鉴别出来 33 Land攻击Land攻击由著名黑客组织RootShell发现 原理比较简单 向目标机发送源地址与目的地址一样的数据包 造成目标机解析Land包占用太多资源 从而使网络功能完全瘫痪 在Land攻击中 一个特别打造的SYN包中的原地址和目标地址都被设置成某一个服务器地址 这时将导致接受服务器向它自己的地址发送SYN ACK消息 结果这个地址又发回ACK消息并创建一个空连接 每一个这样的连接都将保留直到超时掉 对Land攻击反应不同 许多UNIX实现将崩溃 而WindowsNT会变的极其缓慢 大约持续五分钟 34 Smurf攻击 原理 向广播地址发送伪造地址的ICMPEcho数据包 攻击者向一个广播地址发送ICMPEcho请求 并且用受害者的IP地址作为源地址 于是 广播地址网络上的每台机器响应这些Echo请求 同时向受害者主机发送ICMPEcho Reply应答 于是 受害者主机会被这些大量的应答包淹没受影响的系统 大多数操作系统和路由器技术细节两个主要的特点 使用伪造的数据包 使用广播地址 不仅被伪造地址的机器受害 目标网络本身也是受害者 它们要发送大量的应答数据包 35 Smurf攻击示意图 36 电子邮件炸弹电子邮件炸弹是最古老的匿名攻击之一 传统的邮件炸弹大多只是简单的向邮箱内扔去大量的垃圾邮件 从而充满邮箱 大量的占用了系统的可用空间和资源 使机器暂时无法正常工作 过多的邮件垃圾往往会加剧网络的负载力和消耗大量的空间资源来储存它们 过多的垃圾信件还将导致系统的log文件变得很大 甚至有可能溢出文件系统 这样会给Unix Windows等系统带来危险 除了系统有崩溃的可能之外 大量的垃圾信件还会占用大量的CPU时间和网络带宽 造成正常用户的访问速度成了问题 例如 同时间内有近百人同时向某国的大型军事站点发去大量的垃圾信件的话 那么这样很有可能会使这个站的邮件服务器崩溃 甚至造成整个网络中断 37 2 控制类攻击 1 口令攻击也不是一种具体的攻击方式 而是一类攻击的总称 这类攻击的攻击目标都是口令 具体方式有以下几种 A 手工猜测 通过正常的网络登录 如Telnet等 来尝试口令 B 暴力攻击 BruteForceattack 尝试所有口令字符串的组合方式 例如数字 字母等 C 字典攻击 Dictionaryattack 根据字典文件中提供的可能的字符串值进行尝试 D 网络嗅探 sniffer 通过嗅探器在局域网内嗅探明文传输的口令字符串 E 键盘记录 在目标系统中安装键盘记录后门 记录操作员输入的口令字符串 38 2 特洛伊木马是在执行看似正常的程序时 还同时运行了未被察觉的有破坏性的程序 木马通常能够将重要的信息传送给攻击者 而且攻击者可以把任意数量的程序植入木马木马是设计藏在电脑中进行特定工作或依照黑客的操作来进行某些工作的程序 它是一个C S结构的程序 运行在黑客的电脑上的是client端 运行在目标电脑上的是server端 当目标电脑连上互联网后 Client端会发给Server端信息 然后听候黑客指令 执行黑客指令 39 机器中木马的原因大概有以下几种 A 黑客入侵后植入 B 利用系统或软件 IE OutlookExpress 的漏洞植入 c 寄电子邮件后植入 寄一封夹带木马程序的信件 只要收件者没有警觉心 不注意网络安全而运行它就可可能成功植入 或通过即时聊天软件 如QQ 发送含木马的链接或者文件 接受者运行后木马就被成功植入 不过现在腾讯也越来越重视安全了 最新版2006版就不允许发送可执行文件 并且登录时使用了键盘加密保护技术 d 在自己的网站上放一些伪装后的木马程序 宣称它是好玩的或者有用的工具等名目 让不知情的人下载后运行后便可成功植入木马程序 这点有点象姜太公钓鱼 愿者上钩 40 这必须看黑客选用的木马程序而定 一般我们说的木马程序多半是指功能强大且完整的工具 如冰河 SubSever等 他们通常可以进行如下黑客任务 A 复制各类文件或电子邮件 可能包含商业秘密 个人隐私 删除各类文件 查看被黑者电脑中的文件 就如同使用资源管理器查看一样 B 转向入侵 redirectionIntrusion 利用被黑者的电脑来进入其他电脑或服务器进行各种黑客行为 也就是找个替罪羊 C 监控被黑者的电脑屏幕画面 键盘操作来获取各类密码 例如进入各种会员网页的密码 拨号上网的密码 网络银行的密码 邮件密码等 D 远程遥控 操作对方的windows系统 程序 键盘 预防方法 及时给系统打布丁 不随意打开来历不明的邮件 不随意下载和运行不明软件 打开杀毒软件的即时监控功能 由以上木马植入方式可以看出 黑客的成功其实多半时利用使用者的疏忽与不重视网络安全而造成的 并非无法阻挡 只要上网时多小心 黑客是很难得逞的 木马被植入后黑客可以进行那些动作 41 3 探测攻击 收集目标系统的各种与网络安全有关的信息 为下一步入侵提供帮助 包括 扫描技术体系结构刺探系统信息服务收集等 最常用的工具 Ping和Traceroute 端口扫描的技术已经非常成熟 目前有大量的商业 非商业的扫描器 42 域名经过网络可以到达的IP地址每个主机上运行的TCP和UDP服务系统体系结构访问控制机制系统信息 用户名和用户组名 系统标识 路由表 SNMP信息等 其他信息 如模拟 数字电话号码 认证机制等 攻击者需要的信息 43 4 欺骗类攻击 IP欺骗 冒充合法网络主机骗取敏感信息假消息攻击 设置假消息Arp缓存虚构Dns高速缓存污染伪造电子邮件 IP欺骗的动机隐藏自己的IP地址 防止被跟踪以IP地址作为授权依据穿越防火墙IP欺骗的形式单向IP欺骗 不考虑回传的数据包双向IP欺骗 要求看到回传的数据包更高级的欺骗 TCP会话劫持IP欺骗成功的要诀IP数据包路由原则 根据目标地址进行路由 44 IP攻击的整个步骤 1 首先使被信任主机的网络暂时瘫痪 以免对攻击造成干扰 2 然后连接到目标机的某个端口来猜测ISN基值和增加规律 3 接下来把源址址伪装成被信任主机 发送带有SYN标志的数据段请求连接 4 然后等待目标机发送SYN ACK包给已经瘫痪的主机 5 最后再次伪装成被信任主机向目标机发送的ACK 此时发送的数据段带有预测的目标机的ISN 1 6 连接建立 发送命令请求 45 5 漏洞类攻击 1 空白或默认口令把管理性口令留为空白或使用产品生产商所设置的默认口令 虽然某些运行在Linux上的服务包含默认管理口令 这种行为在硬件 如路由器和BIOS 中最常见 在路由器 防火墙 VPN和网络连接的贮存设备 NAS 中最常见 在许多过时了的操作系统 特别是附带服务的OS 如UNIX和Windows 管理员有时会在匆忙间创建一个有特权的用户而把口令留为空白 这就会成为发现了这个用户帐户的入侵者的完美入口 46 2 窃听通过窃听网络中的两个活跃节点的连接来收集它们之间传递的信息 这类攻击多数在使用纯文本传输协议 如Telnet FTP 和HTTP传输 时发生 远程怪客必须具备到某个LAN上的一个已被弱化的系统的进入权 通常 攻击者已经使用了某种积极攻击方式 如IP假冒或中间人攻击 来弱化这个LAN上的某个系统 47 3 服务弱点攻击者寻找缺陷或漏洞 通过这个弱点 攻击者可以危及整个系统以及系统上的任何数据 甚至还能够危及网络上的其它系统 在开发和测试中 某些服务中的弱点可能没有被注意到 这些弱点 如 缓冲区溢出 能够给攻击者完全的管理控制 管理员应该确保服务不是以根用户身份运行 并时刻关注来自开发商或安全组织 如CERT和CVE 的补丁和勘误更新 48 4 应用程序弱点攻击者在桌面系统和工作站应用程序 如电子邮件客户程序 中寻找缺陷并执行任意编码 插入用于未来攻击行为的特洛伊木马 或者崩溃系统 如果被危及的工作站拥有对整个网络的管理特权 还会发生进一步的漏洞利用 工作站和桌面系统更容易被蓄意利用 因为使用工作站和桌面系统的用户没有防止或检测攻击活动的专业知识或经验 把安装未经授权的软件或打开不请自来的邮件的危险性通知给用户是极端重要的 49 6 破坏类攻击 对目标机器的各种数据与软件实施破坏的一类攻击 包括 计算机病毒 逻辑炸弹 信息删除等 逻辑炸弹与病毒的主要区别 没有感染能力 不会自动传播 软件编制者故意安放的目标代码中 50 1 安全目标可用性 机密性 完整性 真实性 不可否认性2 IPv4版TCP TP的缺陷 1 不提供加密传输 2 不提供对等实体鉴别 3 不支持流填充机制 4 协议本身缺陷 如服务端口半连接 5 各子网平等 难以实现有效的安全管理 6 应用层实用软件存在的安全漏洞 4 4IPv4的安全问题 51 3 5网络服务的安全问题 Web基本结构 Web是一个运行于Internet和TCP IPintranet之上的基本的client server应用 C S B S1 服务器 规定了服务器的传输设定 信息传输格式及服务器的基本开放结构2 客户机 统称Web浏览器 用于向服务器发送资源索取请求 并将接收到的信息进行解码和显示3 通信协议 Web浏览器与服务器之间遵照HTTP协议进行通信 52 Web服务的安全问题 HTTP协议 是分布式Web应用的核心技术协议 它定义了Web浏览器向Web服务器发送索取Web页面请求的格式 以及Web页面在Internet上的传输方式 HTTP工作过程 1 Web服务器在80端口等候Web浏览器的请求 2 Web浏览器通过三次握手与服务器建立起TCP IP连接 然后Web浏览器向Web服务器发送索取页面的请求 Get dailynews html 3 服务器以相应的文件为内容响应Web浏览器的请求 53 HTTP协议 B S之间的通讯协议 HTTP HTTP位于TCP之上 默认的端口为80 客户发出对页面的请求 服务器送回这些页面 动态页面和静态页面 Web页面的表述和交互能力 各种标记 超链接 交互功能 表单 脚本 交互能力的扩展 JavaApplet ActiveX 54 WEB服务1 漏洞操作系统明文或弱口令web服务器 IIS等 漏洞CGI安全漏洞 55 Web是应用层上提供的服务 直接面向Internet用户 欺骗的根源在于由于Internet的开放性 任何人都可以建立自己的Web站点Web站点名字 DNS域名 可以自由注册 按先后顺序并不是每个用户都清楚Web的运行规则Web欺骗的动机商业利益 商业竞争政治目的Web欺骗的形式使用相似的域名改写URL劫持Web会话 2 Web欺骗 56 注册一个与目标公司或组织相似的域名 然后建立一个欺骗网站 骗取该公司的用户的信任 以便得到这些用户的信息例如 针对ABC公司 用来混淆如果客户提供了敏感信息 那么这种欺骗可能会造成进一步的危害 例如 用户在假冒