网络安全攻防培训课件

网络安全攻防

新闻一则10月18日：BelgacominvestigatesroutercompromiseatitscarrierservicesarmUnderseacables:160countries

700operatorsOnSept.16,Belgacomannouncedithaddiscoveredapreviouslyunknownvirusonsomeofitsinternalsystems.GCHQ

code-named"OperationSocialist.“"AninvestigationfoundchangestotheroutersoftwarethatmostlikelyresultedfromtheintrusionreportedinSeptember旧闻一则.cn事件网易科技讯8月25日消息，今天凌晨，.CN的根服务器因受到攻击发生故障，大面积CN域名均无法解析，凌晨4点左右.cn根服务器恢复正常。工信部:峰值流量较平常激增近1000倍WSJ:CloudFlare…observeda32%dropintrafficforthethousandsofChinesedomainsonthecompany’snetworkduringtheattackcomparedwiththesametime24hoursearlier.botnet直接向6个.cn根域名查询某私服网址旧闻一则.cn的攻击流量由多大？最大的根L的数据（anycast全球146个点）25000q/s~=12Mb/sinbound挑战1

VisibilityRightnow，你能说得清楚你的网络是个什么状况么？流量是怎么回事？Span+7层分析=Visibility?签名问题告诉我你要看啥…管中窥豹更进一步的逻辑和关系？挑战1最简单的四元组分析如果不知道要看啥的时候你愿意看这个？挑战1最简单的四元组分析还是这个？挑战1挑战1Umbrella的一个可视化展示挑战1基于不同数据的多视角的可视化的关系关联是未来？挑战2网络方面网络本身安全么？国内的网络设备加固文档禁用telnet,开启ssh关闭echo,chargen,proxy-arp等服务网络方面网络设备加固的核心任务是啥？保护control|managementplane网络方面路由器Data（forwarding）plane流量分布式专用硬件（ASIC）高性能，不向上

e.g.CRS-32.2Tbit/smax

322Tbit/sControl|ManagementplaneProtoclmakesthenetwork|routerrunbgp|ospf|ssh|snmp|arp|icmperror…etc软件实现，普通CPU性能|功能（后门等如暗藏帐号）NSAbackdoor?你是攻击者你选谁？网络方面Stepback来看一看最火的抗D场景网络方面历史上最大的ddos攻击Cloudflare流量>Amazon+Wikipedia+Twitter+Instagram+Apple每分钟日志数据是20G,28800G/dglobalanycast,edgeflowspec网络方面历史上最大的ddos攻击事件回放3月中cyberbunker>spamhaus3月20cyberbunker>cloudflare>spamhaus

3月23cyberbunker>cloudflare>spamhaus攻击者获取了大部分的cloudflare

peeringexchange点IPcyberbunker>ISP>cloudflare>spamhaus网络方面历史上最大的ddos攻击网络方面历史上最大的ddos攻击网络方面腾讯网络方面国内某著名抗D专业公司traceroute网络方面国内某著名抗D专业公司网络方面更进一步抗攻击手段Bigplayersgoogle,amazon…etc如何做的？他们有个“totalsolution”boxCost$1M除了抗D外，还可以以线速接员工上下班抗攻击手段如果你想抵抗各种攻击，同时对网络影响最小，你需要针对你的环境采用layered的defense没有siliverbullet,发挥各种“平淡无奇”的技术到极致抗攻击手段网络层面ACL

BGPis

yourfriendFlowspecMPLS+Flowspec未来SDNAnycastbogon其他trickControlplane保护免费darknet没有payload没用锤子–钉子？layer3>layer4>layer7抗攻击手段参考Google的内部标准value

packets/second

bits/second

httpqueries/second

IPs抗攻击手段ACL

在接入层面的3,4层快速过滤功能iACL抗攻击手段BGP(routingprotocol)isyourfriendBGPtotherack(facebook)BGPblackhole（SRCbased

DSTbased）

Diagramfrom抗攻击手段BGP(routingprotocol)isyourfriendCTDstrtbhCThaslooseurpfenabled,soitcandoSrcrtbh抗攻击手段FlowspecACLonsteroidLayer4infoUsebgpcontrolplanetodistributeACLBenefitsarehugeUseBGPtodistributeflowspecificationfiltersand

dynamicallytakeaction(drop,sampling,redirect)on

routers.SupportedbyJuniperandAlcatelFast:ACLpropgateviabgpadvertisementWecanblocktrafficbysrc|dstip,src|dstport,packet

size,protocol,tcpflags,icmp他type|code...andanyofthecombinationAmazon,cloudflare,google？GoolgeismovingintoSDNworld抗攻击手段MPLS+FlowspecIwanttoseethepayload!!Youhavetoredirecttrafficifyouwanttoseel7牵引+tunnelchinabyte网图抗攻击手段MPLS+Flowspec貌似本人是第一个用这个手段来做的，今年5月份nanog才有人做这一技术报告Trafficredirect:Wecanredirectmatchedtraffic(wecancollectanytrafficfromanyinterfaceonanypeeringrouterandgetitsenttoourcollector)具体内容flowspecppt.pdf

http:///zHiKjtGsampleconfig.pdf

/zHiKjtbHugebenefit抗攻击手段AnycastMagic!!Everybodylikesit,lifeisgoodafterthatReally?Howabout.cnwhichusesanycast…蝗虫Attackcomes,moves

away,comesbackagain,movesawayagain…Bgpwithdrawn,advertise,withdrawn,advertise…Controlhowfaritgoes抗攻击手段BogonTeamcymru抗攻击手段其他trickE.g.抗攻击手段其他trickE.g.抗攻击手段其他trickE.g.双IP

DNSserver白名单+TTL抗攻击手段保护control

planeCorehidingDon’tredistributeconnected设计合理的内部ip段（loopbacks,interfaceips）bgpnull抗攻击手段保护control

plane依然有问题脆弱的Chain抗攻击手段保护control

plane脆弱的Chain:Peeringdb抗攻击手段保护control

plane脆弱的Chain:Bgplookingglass抗攻击手段DarknetExpensive!?NotreallyNobodyshouldtouchyourinfrasturcureNobodyshouldtouchyourunusedIps抗攻击手段Darknet抗攻击手段Darknet抗攻击手段Darknet

see15169there?抗攻击手段Darknet最后合作企业和企业，企业和运营商，运营商和运营商一个人一个企业走不远Securitycommunity9、春去春又回，新桃换旧符。在那桃花盛开的地方，在这醉人芬芳的季节，愿你生活像春天一样阳光，心情像桃花一样美丽，日子像桃子一样甜蜜。2月-252月-25Sunday,February23,202510、人的志向通常和他们的能力成正比例。21:09:0221:09:0221:092/23/20259:09:02PM11、夫学须志也，才须学也，非学无以广才，非志无以成学。2月-2521:09:0221:09Feb-2523-Feb-2512、越是无能的人，越喜欢挑剔别人的错儿。21:09:0221:09:0221:09Sunday,February23,202513、志不立，天下无可成之事。2月-252月-2521:09:0221:09:02February23,202514、ThankyouverymuchfortakingmewithyouonthatsplendidoutingtoLondon.ItwasthefirsttimethatIhadseentheToweroranyoftheotherfamoussights.IfI'dgonealone,Icouldn'thaveseennearlyasmuch,becauseIwouldn'thaveknownmyway