网络安全介绍课件

内容提纲我国网络现状一网络攻击方法及原理二网络安全防御技术三未来的展望四内容提纲我国网络现状一网络攻击方法及原理二网络安全防御技术三1一、我国网络现状1、上网人数激增中国网民人数增长情况一、我国网络现状1、上网人数激增中国网民人数增长情况22、网络安全事件频发2、网络安全事件频发33、攻击手段多样3、攻击手段多样4二、网络攻击方法及原理1、黑客简史（1）影视中的黑客二、网络攻击方法及原理1、黑客简史（1）影视中的黑客5《黑客帝国》浪漫主义的黑客电影浪漫主义的黑客电影《黑客帝国》浪漫主义的黑客电影浪漫主义的黑客电影6《箭鱼行动》写实主义的黑客电影《箭鱼行动》写实主义的黑客电影7《虎胆龙威4》恐怖主义的黑客电影《虎胆龙威4》恐怖主义的黑客电影8《黑客悲情》中国特色黑客电影《黑客悲情》中国特色黑客电影9（2）黑客起源的背景起源地：美国精神支柱：对技术的渴求对自由的渴求历史背景：越战与反战活动马丁·路德金与自由嬉皮士与非主流文化电话飞客与计算机革命（2）黑客起源的背景起源地：10（3）著名黑客罗伯特•莫里斯

1988年，莫里斯蠕虫病毒震撼了整个世界。由原本寂寂无名的大学生罗伯特·莫里斯制造的这个蠕虫病毒入侵了大约6000个大学和军事机构的计算机，使之瘫痪。此后，从CIH到美丽杀病毒，从尼姆达到红色代码，病毒、蠕虫的发展愈演愈烈

（3）著名黑客罗伯特•莫里斯11凯文•米特尼克美国20世纪最著名的黑客之一，《社会工程学》的创始人1979年他和他的伙伴侵入了北美空防指挥部。1983年的电影《战争游戏》演绎了同样的故事，在片中，以凯文为原型的少年黑客几乎引发了第三次世界大战凯文•米特尼克12（4）中国的“黑客文化”中国缺乏欧美抚育黑客文化的土壤缺少庞大的中产阶层缺少丰富的技术积累中国的黑客文化的“侠”侠之大者，为国为民侠之小者，除暴安良（4）中国的“黑客文化”中国缺乏欧美抚育黑客文化的土壤13（5）中国“黑客”重要历史事件1998年印尼事件以八至六人为单位，向印尼政府网站的信箱中发送垃圾邮件用Ping的方式攻击印尼网站中国黑客最初的团结与坚强的精神，为后来的中国红客的形成铺垫了基础技术性黑客牵头组建了“中国黑客紧急会议中心”负责对印尼网站攻击期间的协调工作（5）中国“黑客”重要历史事件1998年印尼事件141999年南联盟事件中国黑客袭击了美国能源部、内政部及其所属的美国家公园管理处的网站大规模的攻击致使白宫网站三天失灵绿色兵团南北分拆事件1997年，中国最老牌的黑客组织“绿色兵团”成立，黑客从此有了自己的江湖2000年3月，“绿色兵团”与中联公司合作投资，并在北京招募成员注册了北京中联绿盟信息技术公司同年7月，由于商业问题，北京绿盟与上海绿盟因内部原因合作破裂1999年南联盟事件15中美五一黑客大战事件04年初，四川站开始负责美国IP段的收集，扫描NT主机与UNIX主机，并启动的四十多台跳板主机全速扫描一些美国IP段的网站。使用一些常见的系统漏洞，在三个小时之内入侵了五个网站，其中三个被更换了页面，另外两个作了跳板5月1日，中国鹰派“‘五月之鹰’行动指挥中心”正式成立晚11时，山东站成员扫描出IP段的美国主机漏洞，然后，上传木马和被黑页面。几小时后，这些主机“都见上帝去了”美黑客以嚣张的气焰攻击国内的网站。至5月3日，国内已有400多个网站沦陷。入侵者破坏手段已不是停留在修改页面上，而是删除重要数据，使服务器彻底瘫痪使用飘叶邮件炸弹及PING不断地向白宫等重点网站发数据包，使美国黑客陷入了“人民战争的汪洋大海”中去5月8日，红客联盟和中国鹰派共同宣布停止对美攻击，四川站也停火直至5月8日战斗结束，美国共有1600多个网站遭到了不同程度的破坏，包括美国劳工部、美国加利福尼亚能源部、日美社会文化交流会、白宫历史协会、UPI新闻服务网、华盛顿海军通信站等。连安全性很强的美国白宫网站，都被DDOS(分布式拒绝服务)被迫关闭了2小时中美五一黑客大战事件16（6）黑客的分类灰帽子破解者破解已有系统发现问题/漏洞突破极限/禁制展现自我计算机为人民服务漏洞发现-Flashsky软件破解-0Day工具提供-Glacier白帽子创新者设计新系统打破常规精研技术勇于创新没有最好，只有更好MS-BillGatesGNU-R.StallmanLinux-Linus善黑帽子破坏者随意使用资源恶意破坏散播蠕虫病毒商业间谍人不为己，天诛地灭入侵者-K.米特尼克CIH-陈盈豪攻击Yahoo者-匿名恶渴求自由（6）黑客的分类灰帽子破解者白帽子创新者善黑帽子破坏者恶渴求17（7）所谓黑客语言H4x3r14n9u493i54diff3r3n714n9u493fr0m3n91i5h.w3c4nfind7hi514n9u493inh4x3r'5885,IRC0r07h3rCh477in9p14c3.常见替换A

=

4B

=

8E

=

3G=9l

=

1O

=

0S

=

5t

=

7Z

=

2常见缩写CK=xYou=uAre=rSee=cAnd=n/&Not=!（7）所谓黑客语言H4x3r14n9u493i54d182、攻击阶段划分和思路及操作预攻击内容：获得域名及IP分布获得拓扑及OS等获得端口和服务获得应用系统情况跟踪新漏洞发布目的：收集信息，进行进一步攻击决策攻击内容：获得远程权限进入远程系统提升本地权限进一步扩展权限进行实质性操作目的：进行攻击，获得系统的一定权限后攻击内容：删除日志修补明显的漏洞植入后门木马进一步渗透扩展进入潜伏状态目的：消除痕迹，长期维持一定的权限2、攻击阶段划分和思路及操作预攻击内容：目的：攻击内容：目的19网络安全介绍ppt课件202、常见攻击及原理（1）端口扫描扫描原理 扫描程序是自动检测远端主机或者本地主机安全脆弱性的程序。2、常见攻击及原理（1）端口扫描21扫描的一般步骤

获取主机名与IP地址：使用whois与nslookup等工具获得操作系统类型信息：最快方法是试图telnet该系统FTP信息：攻击者将测试是否开放FTP服务，匿名FTP是否可用，若可用，则试图发掘更多的潜在问题TCP/UDP扫描：对于TCP，telnet可以用来试图与某一特定端口连接，这也是手工扫描的基本方法。从中再分析系统是否开放了rpc服务、finger、rusers和rwho等比较危险的服务扫描的一般步骤22扫描程序收集的目标主机的信息当前主机正在进行什么服务？哪些用户拥有这些服务？是否支持匿名登录？是否有某些网络服务需要鉴别？常用扫描软件Nmap()Superscan()Sl()扫描程序收集的目标主机的信息23口令攻击程序有很多，用于攻击UNIX平台的有Crack、CrackerJack、PaceCrack95、Qcrack、JohntheRipper、Hades等等；用于攻击Windows平台的有10phtCrack2.0、ScanNT、NTCrack、PasswdNT等等。口令防御：用户登录失败的次数；特殊字符的8字节以上的长口令，并且要定期更换口令；要保证口令文件的存储安全。口令分析方法穷举法分析破译法：数学归纳分析或统计密码破解John(/john/)L0phtCrack5()Word密码破解AdvancedOfficeXPPasswordRecovery（2）获取口令口令攻击程序有很多，用于攻击UNIX平台的有Crack、Cr24网络安全介绍ppt课件25（3）放置特洛伊木马程序特洛伊木马源自于希腊神话，在网络安全领域专指一种黑客程序，它可以直接侵入用户的电脑并进行破坏它一般包括两个部分，控制端软件和被控端软件。被控端软件常被伪装成工具程序或者游戏等，诱使用户打开带有该软件的邮件附件或从网上直接下载。一旦用户打开了这些邮件的附件或者执行了这些程序之后，它们就会在目标计算机系统中隐藏一个可以在系统启动时悄悄执行的程序。当用户连接到因特网上时，这个程序可以通知攻击者，报告用户的IP地址以及预先设定的端口。攻击者在收到这些信息后，再利用事先潜伏在其中的程序，任意地修改用户的计算机的参数设定、复制文件、窥视用户整个硬盘中的内容等，从而达到控制用户的计算机的目的。冰河Wollf（)winshell（3）放置特洛伊木马程序26网络安全介绍ppt课件27（4）网络钓鱼网络钓鱼(Phishing)“Fishing”和“Phone”的综合词，它利用欺骗性的E-mail和伪造的Web站点来进行诈骗活动，使受骗者泄露自己的重要数据，如信用卡号、用户名和口令等实例一恶意网站，伪装成中国工商银行主页QQ欺骗（4）网络钓鱼网络钓鱼(Phishing)28网络安全介绍ppt课件29网络安全介绍ppt课件30

原理由大量能够实现恶意功能的Bot（主机感染bot程序，僵尸程序）、Command&ControlServer和控制者组成，能够受攻击者控制的网络。攻击者在公开或秘密的IRC服务器上开辟私有的聊天频道作为控制频道，僵尸程序中预先已经设定好这些信息，当僵尸计算机运行时，僵尸程序就自动搜索并连接到这些控制频道，接收频道中的所有信息，这样就构成了一个IRC协议的僵尸网络。攻击者通过IRC服务器，向整个僵尸网络内的受控节点发送控制命令，操纵这些“僵尸”进行破坏或者窃取行为。（5）僵尸网络

原理（5）僵尸网络31网络安全介绍ppt课件32（6）DDoS攻击分布式拒绝服务(DDoS)攻击是DoS攻击的演进。它的主要特征是利用可能广泛分布于不同网络中的多台主机针对一台目标主机进行有组织的DoS攻击。多个攻击源的分布式特性使得DDoS攻击较传统的DoS攻击有着更强的破坏性通常情况下，攻击者通过多级跳板登录到一个或多个主控端(即客户机)，主控端以多对多的形式控制了大量的傀儡主机（即服务器）。攻击者通过主控端主机，控制傀儡机。傀儡机上运行的服务器程序接收来自主控端的指令并向受害主机发动攻击（6）DDoS攻击分布式拒绝服务(DDoS)攻击是DoS攻33网络安全介绍ppt课件34DDoS攻击工具

Trinoo：较早期的DDoS攻击工具，向受害主机随机端口发送大量全零4字节长度的UDP包，处理这些垃圾数据包的过程中，受害主机的网络性能不断下降，直至发生拒绝服务，乃至崩溃。Trinoo并不伪造源IP地址，不使用主控端TFN：由主控端和傀儡机两部分组成，主要攻击方式有：TCPSYN洪泛攻击、ICMP洪泛攻击、UDP攻击和类Smurf型的攻击，能够伪造源地址。TFN2K：是由TFN发展而来的，新增了一些特性，它的主控端和傀儡机的通信是经过加密的Stacheldraht：也是从TFN派生出来的，增加了主控端与傀儡机的加密通信能力。可以防范一些基于路由器的过滤机制，且存在内嵌傀儡机升级模块Smurf型攻击：是一类攻击形式的总称，一般使用了ping请求数据包来进行，傀儡机在对受害主机发动攻击时，将攻击数据包的源地址伪装成受害主机的IP地址，每台主机会对收到的源地址为受害者IP的ping请求进行应答，从而形成攻击数据流DDoS攻击工具35常用攻击方法网络层SYNFloodICMPFloodUDPFloodPingofDeath应用层垃圾邮件CGI资源耗尽针对操作系统winnuke常用攻击方法网络层36解剖SYNFloodSYN（我可以连接吗？）ACK（可以）/SYN（请确认！）攻击者受害者伪造地址进行SYN请求为何还没回应就是让你白等不能建立正常的连接解剖SYNFloodSYN（我可以连接吗？）ACK（可37正常tcpconnect攻击者受害者大量的tcpconnection这么多需要处理？不能建立正常的连接正常tcpconnect正常tcpconnect正常tcpconnect正常tcpconnect正常用户正常tcpconnect正常tcpconnect攻击者受害者大量的tcpconn38（7）中间人攻击当攻击者位于一个可以观察或截获两个机器之间的通信的位置时，就可以认为攻击者处于中间人方式。因为很多时候主机之间以明文方式传输有价值的信息，因此攻击者可以很容易地攻入其他机器。对于某些公钥加密的实现，攻击者可以截获并取代密钥，伪装成网络上的两个节点来绕过这种限制。主机主机通信窃听或篡改（7）中间人攻击当攻击者位于一个可以观察或截获两个机器之间的39（8）漏洞扫描工具NessusX-Scan（8）漏洞扫描工具Nessus40（9）病毒引导区病毒文件病毒硬件病毒蠕虫实例武汉男孩步行者（9）病毒41（10）嗅探Ethereal()Windump(http://windump.polito.it/)Xsniff()（10）嗅探42网络安全介绍ppt课件43（11）Arp欺骗Xspoof（11）Arp欺骗44（12）其它攻击技术电子邮件攻击网络监听缓冲区溢出（12）其它攻击技术45三、网络安全防御技术1、防火墙技术

(1)网络防火墙是借鉴了真正用于防火的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火墙可以使企业内部局域网（LAN）网络与Internet之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络，防止发生不可预测的、潜在破坏性的侵入。三、网络安全防御技术1、防火墙技术46(2)防火墙具有的基本特性内部网络和外部网络之间的所有网络数据流都必须经过防火墙

只有符合安全策略的数据流才能通过防火墙

防火墙自身应具有非常强的抗攻击能力(2)防火墙具有的基本特性内部网络和外部网络之间的所有网47（3）防火墙结构双宿主机防火墙

InternetInnernetworkTerminalWorkstationServerDual-homedhost(gateway)Firewall（3）防火墙结构双宿主机防火墙

InternetInn48屏蔽主机防火墙（主机过滤结构）InnernetworkTerminalBastionHostServerInternetScreenedRouterFirewall屏蔽主机防火墙（主机过滤结构）InnernetworkTe49屏蔽子网防火墙InternetOuterRouterParameterNetworkInnernetworkTerminalWorkstationServerBastionHostInnerRouterDMZFirewall屏蔽子网防火墙InternetOuterRouterPar50使用多堡垒主机InternetOuterRouterParameternetworkInnernetworkTerminalWorkstationServerFTPBastionInnerRouterDMZFirewallWWWBastion使用多堡垒主机InternetOuterRouterPar512入侵检测系统（1）定义入侵（Intrusion）定义为未经授权的计算机使用者以及不正当使用计算机的合法用户，危害或试图危害资源的完整性、保密性、可用性的行为。入侵检测（IntrusionDetection，ID）是通过监测计算机系统的某些信息，加以分析，检测入侵行为，并做出反应。入侵检测系统所检测的系统信息包括系统记录，网络流量，应用程序日志等。入侵检测系统（IntrusionDetectionSystem，IDS）是实现入侵检测功能的硬件与软件。入侵检测的研究开始于20世纪80年代，进入90年代入侵检测成为研究与应用的热点，其间出现了许多研究原型与商业产品。入侵检测系统是网络安全的第二道防线。入侵检测系统在功能上是入侵防范系统的补充，而并不是入侵防范系统的替代。2入侵检测系统（1）定义52（2）功能保护(入侵的防范)指保护硬件、软件、数据抵御各种攻击的技术。检测(入侵的检测)研究如何高效正确地检测网络攻击响应(入侵的响应)是入侵检测之后的处理工作，主要包括损失评估，根除入侵者留下的后门，数据恢复，收集入侵者留下的证据等容忍指当一个网络系统遭受非法入侵后，其中的防护安全技术都失效或者不能完全排除入侵所造成的影响时，既是系统的某些组件遭受攻击者的破坏，但容侵系统能自我诊断、恢复和重构，并能为合法用户提供所需的全部或者降级的服务（2）功能保护(入侵的防范)指保护硬件、软件、数据抵御各种53（3）入侵检测系统结构

CIDF(CommonIntrusionDetectionFramework)定义了通用的IDS系统结构，它将入侵检测系统分为四个功能模块，如图所示.TargetsystemEventgeneraterAnalysisengineResponseunitEventdatabase（3）入侵检测系统结构 CIDF(CommonIntru54（4）拓扑

FirewallInternetServersDMZIDSAgentIntranet监控中心router攻击者发现攻击发现攻击发现攻击报警报警IDSAgent（4）拓扑FirewallInternetServe55（5）常用入侵检测方法贝叶斯推理神经网络聚类分析数据挖掘机器学习（5）常用入侵检测方法56（6）入侵检测系统实例BlackICESnortRealSecure冰之眼（6）入侵检测系统实例BlackICE573、密码学（1）定义