cissp 2018最新全套培训讲义完整版day033-网络组件安全

1、有几种设备在LAN、MAN和WAN中可以用于提供计算机和网络之间的相互通信。在整个网络中我们需要物理设备和线缆来实际应用提到的所有这些协议和服务。设备主要包括： 中继器 网桥 路由器 交换机线缆包括： 同轴电缆 双绞线 光纤12不要混淆路由器与网桥。路由器在网络层上工作，根据IP地址过滤、数据包。网桥在数据链路层上工作。根据MAC地址过滤数据帧。通常，路由器并不传递广播信息，但是网桥会转发广播信息。3不要混淆路由器与网桥。路由器在网络层上工作，根据IP地址过滤、数据包。网桥在数据链路层上工作。根据MAC地址过滤数据帧。通常，路由器并不传递广播信息，但是网桥会转发广播信息。4包过滤（packet

2、 filtering）是一种基于网络级协议首部值作出访问决策的技术。执行包过滤进程的设备被配置上ACL。控制着可以流进和流出特定网络的流量类型。包过滤是第一代，是所有技术中最基本的类型。包过滤也叫做无状态检查（stateless inspection），因为这个设备不了解这些数据包工作的环境。状态检测维护一个状态表，以记录谁对谁发送了什么。当两个系统之间的连接开始时，调查数据包的所有层（所有首部、有效荷载和尾部）。有关这个具体连接的所有必要信息都存储在状态表中（源IP地址和目的地IP地址、源端口和目的端口、协议类型、首部标志、序列号和时间戳等）。一旦这个数据包通过了这个深入的检查，一切都被认为

3、是安全的，然后会审核网络，为剩下的会话传输首部部分。每一个数据包的每个首部值都会与当前状态表中的值作对比，这个表被更新以反映通信进程的进展情况。把检查整个数据包缩减为只检查每个数据包的首部可以提高性能。是一个中间人。在将信息递交给目标接收者之前，会对其进行拦截和检查。假设有人想交给美国总统一个盒子和一条消息，那么他不可能走到总统面前将这些东西交给总统本人，而是必须通过一个中间人（如特工处）来接受盒子与消息。特工处会对盒子进行仔细检查，以确保里边没有任何危险品。这就是所做的工作，它接受流进或流出网络的消息，检查可疑的信息，只在认为没有问题时才将数据传递至目标计算机。设在可信任网络和不可信网络之间

4、，实际上总是代表数据来源建立连接。重点是，断开了通信通道，两个通信设备之间不能直接连接。当包过滤设备只监控流经网络连接处的流量时， 在应用层的（circuit-level proxy），工作叫应用级（application-level proxy）。SOCKS是电路级网关的一个示例，它在两台计算机之间提供一个安全通道。应用级的特征如下：每个被监控的协议都需要一个独特的。比电路级提供更多的保护。对每个包都要进行更多处理，速度比电路级慢。电路级的特征如下：不需要为每个协议设置一个。不提供应用级的更深层次的检查。为更广范围的协议提供安全性。动态包过滤的优点是允许你选择任何类型的流量流出，并且只允许响

5、应流量流入。内核（kernel proxy firewall）被认为是第五代。与先前讨论的所有技术不同，一旦需要评估数据包，这种会建立动态的、定制的网络栈。当一个包到达内核时，就会针对该包创建一个新的虚拟网络栈，并只加载必要的协议。如果这是一个FTP包，那么虚拟网络栈就只加载FTP。数据包在栈的每一层都会被仔细审查。这意味着数据链路层首部、网络层首部、传输层首部、会话层信息以及应用层数据都要评估。如果在任何层下一代（next-generation firewall，N）结合前面讨论的最好的属性，但增加了一些重要的改进。最重要的是，它采用了基于特征的IPS引擎。这意味着，除了要确保传输行为按照适

6、用的协议规则，可以在传输中寻找攻击的具体指标方面有好的表现。一些最先进的Ns包括的功能，让他们基于云的服务分享攻击特征，一旦新的攻击被一个检测到，其他所有的厂商都能通过这个机制得到到攻击特征。N的另一个特点是具备连接到外部数据源如Active Directory，白、黑和策略服务器的能力。此功能允许控制规则可在一个地方定义后推送到网络中的每个N，从而减少了在大型网络中存在的各种设置不一致的可能性。由于这种能力，Ns并不适合所有人。单独拥有的成本往往使这种技术在小型或中等规模的网络中不可行。组织机构需要确保实施了正确的控特定网络流量，保护各类资源。技术，监虚拟提供桥梁功能，虚拟机之间的每个流量链路都得到监控，或者它们可以集成在管理程序中。管理程序是执行虚拟机管理并监控访客系统软件执行的软件组件。如果潜入到这个管理程序中，那么它能够“看见”和监控所有发生在这个系统内的活动。5双宿：一台计算机使用不同的NIC连接每一个网络。用于划分内部可信任网络与外部不可信网络。必须禁用