网络基础安全 4

《网络安全与管理》第8章网络安全管理杂记：网络安全工程师的一天为什么说“三分技术，七分管理”，这是因为做好网络安全管理并不是一件容易的事情，涉及的内容比较广泛，包括安全策略的设计与规划、网络性能测试、安全监测与应急响应、系统维护和更新、安全审计和合规性，以及安全意识培训等多个方面。本章将从网络安全工程的视角，把网络安全作为一个系统探讨其安全管理技术及方略，同时聚焦前沿技术、把脉安全趋势，为保障网络资源免受各种威胁和风险，确保网络正常、安全运行提供既宏观又微观的管理技术支持。引言治兵不知九变之术，虽知五利，不能得人之用矣。是故智者之虑，必杂于利害。杂于利而务可信也；杂于害而患可解也。——《孙子兵法》（九变篇）妙用兵法8.1网络安全工程8.2网络测试与分析8.3网络安全风险评估与审计8.4网络系统监测与应急响应8.5网络系统维护与更新本章小结小测验第8章网络安全管理了解网络安全工程的过程及意义；掌握网络测试与分析方法、网络安全风险评估与审计、网络系统监测与应急响应技术；熟悉网络系统维护与更新技术。第8章网络安全管理网络测试与分析、网络安全风险评估与审计、网络系统监测与应急响应技术；网络系统维护与更新技术。学习目标关键知识点网络安全管理是通过一系列策略、措施和实践来保护网络、系统和资源免受未经授权的访问、干扰、滥用和破坏的一种系统工程。为了实现安全的网络，要依据系统工程过程的基本原理，遵循信息系统生命周期规划设计网络安全解决方案，采取相应地安全技术与控制措施，方可有效保障网络的安全。8.1网络安全工程1.规划安全目标网络安全需求分析确定资产和价值风险评估合规性要求定义系统安全指标进行用户需求分析后，采用自然语言描述信息网络系统所应具备的安全功能及性能指标，包括系统的外部接口、外部信息流；并将自然语言翻译为可视化的工程图表。8.1.1网络安全工程过程2.设计安全防御方案设计原则多层纵深防御原则最小权限原则、木桶原则完整性和可用性原则、合规性原则设计安全体系结构应遵循用户至上的基本原则，依据组织所需网络功能、性能实际，考虑用户的操作和使用需求，在确保安全措施不会影响到业务流程和用户体验的同时，平衡、权衡安全性和可用性。设计具体的安全方案8.1.1网络安全工程过程3.实施安全方案开发和采购安全集成验收4.安全运维运维人员要依据各种各类标准、制度和规范，利用运维管理系统及工具，实施事件管理、问题管理、配置管理、变更管理等日常活动，以保障系统平稳、高效运行。5.废弃8.1.1网络安全工程过程依据对组织的网络安全需求分析，网络安全工程解决方案要解决“做什么”的问题。安全解决方案必须架构在网络安全系统架构之上，全面覆盖网络系统的各层次，针对网络、系统、应用、数据做全面的防范。一种网络安全工程解决方案示例如图所示。8.1.2网络安全工程解决方案1.可信计算系统可信计算是一种在计算环境中提供安全的计算机系统架构，能够在计算环境中建立和保持信任。通过部署可信计算系统，实现如下安全目标。端到端安全。从系统启动到应用运行，全过程保障安全。硬件根的信任。系统的信任从硬件开始，防止不受信任的代码运行。可靠的身份认证。通过使用公钥基础设施(PKI)，保证用户和设备身份的可靠性、真实性和不可否认性。远程设施完整性认证。8.1.2网络安全工程解决方案2.虚拟专用网（VPN）虚拟专用网络（VPN）是一种通过公共网络（例如互联网）在远程地点之间创建私密和安全连接的技术。整个VPN网络中，不需要构建点对点的复杂物理链路，只需要利用公有网络构建点到点的链接。3.入侵阻断在安全工程解决方案中可具体采用如下一些入侵阻断技术和方法。防火墙入侵检测系统/入侵防御系统（IDS/IPS）数据加密和加密通信强密码及多因素认证8.1.2网络安全工程解决方案4.入侵容忍性指一个系统或网络在遭受入侵或攻击时能够继续正常运行的能力，旨在减轻恶意入侵对系统的影响，确保系统的可用性和可靠性。入侵容忍性通常使用容错机制、分离和隔离措施、弹性和自愈恢复等来提高系统的安全性和韧性。5.软件黑白名单软件黑名单软件白名单8.1.2网络安全工程解决方案6.网络流量清洗部署网络流量清洗系统后，当检测到网络流量异常时，将流量牵引到流量防护系统，区分出正常流量和异常流量，只将正常流量转发到目标系统。7.网络攻击陷阱通常采用特意设置的虚假系统、应用程序或数据来欺骗和诱捕入侵者，意在吸引和追踪攻击者的活动、探测和记录网络攻击行为。有多种形式可用于设置网络陷阱，如蜜罐、假目标系统、虚假账户、鱼叉式陷阱、虚假数据或漏洞。8.1.2网络安全工程解决方案8.网络管理系统网络管理系统（NMS）是一种用于集中管理网络设备、监测网络运行状态、诊断故障和优化性能的软件工具或统一运维平台。利用NMS可以实现对各种类型的网络，包括局域网（LAN）、广域网（WAN）、互联网和云计算网络的监控、配置和维护。配置管理性能管理故障管理安全管理计费管理8.1.2网络安全工程解决方案在网络的组建、运行维护和管理过程中，经常需要对网络设备进行配置、管理，查找网络运行异常情况的原因。TCP/IP网络系统提供了许多用于网络测试的软件工具，其中包括显示计算机配置的工具，如ipconfig、netstat；帮助理解网络连通性的工具，如ping和tracert；用于查找寻址信息的工具，如arp等。利用这些工具可有效地对网络进行测试、分析与诊断。8.2网络测试与分析1.查看本机的IP地址和MAC地址及相关信息使用不带参数的ipconfig可以显示本机的IP配置信息：IP地址、子网掩码以及默认网关。2.重新获取IP地址如果网络中使用了DHCP服务，客户端计算机可以自动获取IP地址。但有时因DHCP服务器或网络故障等原因，会使一些客户端计算机不能正常获得IP地址，此时系统就会自动为网卡分配一个169.254.x.x的IP地址。或者，计算机IP地址的租约到期，需要更新或重新获得IP地址，这时可以使用“ipconfig”命令配合参数“/release”或“/renew”来实现。8.2.1查看和设置网络配置用来测试网络连通状态的命令是ping。ping命令可用于测试TCP/IP网络中的另一台主机是否可达。ping通过向网络中的另一台计算机发送一种互联网控制消息协议（ICMP）的“回送/应答报文”来验证IP及链接状况。利用ping可得到数据往返传送的时间，以向故障解决者提示在发送者与接收者之间传送信息所需的时间。ping使用ICMP的回送请求消息（ICMP消息类型8）和回送应答消息（ICMP消息类型0）。在命令行中输入“ping”，就可得到ping命令的可用选项列表。8.2.2网络连通状态测试ARP缓存中包含一个或多个表项，用于存储IP地址与物理地址（MAC地址）的对应关系。用于显示和修改地址解析协议（ARP）高速缓存中表项的命令是arp。如果在没有参数的情况下使用arp命令则显示帮助信息；也可以手工输入静态的IP地址与MAC地址的对应表项。默认情况下ARP缓存中的表项是动态的。例如，输入arp–a命令可以显示所有接口当前ARP缓存表中的表项。8.2.3查看和设置地址解析协议表1.路由查询命令tracerttracert是一个常用的TCP/IP网络故障诊断工具，能够显示出数据包从源节点到达目的节点所经历的路由，以及数据包在通过TCP/IP网络时从源节点到达目的节点所经历的每个路由器。2.路由跟踪命令pathpingpathping是一个基于TCP/IP的路由跟踪工具。该命令具有tracert和ping两个命令的功能，返回两部分内容。第一部分显示到达目的地经过了哪些路由，第二部分显示路径中每个路由器上数据包丢失情况，反映数据包从源主机到目标主机所经过的路径、网络延时以及丢包率。3.查看和设置路由表项8.2.4路由跟踪查询1.查看本地主机的TCP连接和协议端口号使用带参数–n的netstat命令可以数字形式显示本地计算机上的TCP连接状态、IP地址和所使用的端口号。2.查看本机所有的连接和监听的端口使用带参数-a的netstat命令显示当前系统所有活动的TCP连接和计算机监听的所有UDP端口。3.查看以太网数据帧发送和接收的统计信息使用带参数-e的netstat命令，可以查看以太网数据帧的统计信息。4.查看本机的路由表信息8.2.5查看网络状态nslookup命令与TCP/IP一起安装，在TCP/IP属性页的DNS选项卡的“DNS服务器搜索顺序”字段中必须至少指定一个DNS服务器。nslookup命令一般用于查询一台主机的IP地址以及与其对应的域名，诊断是否能正确实现域名系统（DNS服务器）解析。nslookup命令有多个功能选项。在命令行输入“nslookup<主机域名>”并执行，即可显示目标服务器的主机域名和对应的IP地址，即正向地址解析。nslookup可以在非交互式和交互式两种模式下运行。若需要返回单项数据，应使用非交互式模式。8.2.6查看域名网络安全风险评估就是从风险管理的角度，依据安全标准，利用科学的评估技术、方法和工具，系统分析网络系统中的资产、威胁和脆弱点。评估安全事件一旦发生可能造成的危害程度，并提出有针对性的、抵御威胁的防护对策和整改措施，为防范和化解网络安全风险、将风险控制在可接受的水平、最大限度地保障网络安全提供科学依据。8.3网络安全风险评估与审计1.网络安全风险评估方式期望货币值系统风险量化值2.网络风险评估流程风险评估流程主要包括风险评估准备、风险因素识别（包括资产识别、威胁识别和脆弱性识别）、已实施的安全措施分析、风险程度分析、风险处置与管理等。具体评估过程如图所示。8.3.1网络安全风险评估原理1.网络安全威胁态势评估框架为便于进行实施安全态势评估，一般需要搭建一种用于网络安全威胁态势评估的架构，如图所示。8.3.2网络安全威胁态势评估2.威胁态势评估标准及威胁影响程度划分依据网络安全威胁态势评估所依据的评定标准及要求，将网络安全威胁严重性划分为安全、低危、中危、高危和超危共5个等级，分别对应5个威胁概率发生区间。3.安全威胁评估数据源的选取4.网络安全威胁态势评估流程及其要点安全威胁渗透测试、计算威胁发生概率确定威胁严重性、威胁影响度量化计算威胁态势值、威胁态势评估分析8.3.2网络安全威胁态势评估1.电子证据电子证据也称为计算机证据，是指在计算机或网络系统运行过程中产生的、以其电磁形式记录内容并能够证明事实的电磁记录。2.电子证据取证步骤取证准备：首先准备软件工具集、硬件工具集。保护现场：隔离目标系统，避免证据被破坏；避免出现系统设置更改、硬件损坏、数据被破坏或被病毒感染等。收集证据：收集与网络入侵有关的电子证据，包括网络日志、系统日志、网络数据包捕获、配置文件、备份等。保全电子证据、分析证据、编写报告。8.3.3网络入侵电子取证3.电子证据取证常用工具EnCase：是一种广泛使用的取证工具，可用于获取、分析和保护电子证据。FTK（ForensicToolkit）：是一种流行的取证工具，能自动文件分类，自动定位嫌疑文件，常用于电子邮件的分析取证。X-WaysForensics：是一种功能强大的综合取证、分析工具，提供了多种数据采集和分析功能，适用于各种存储介质。Volatility：是一种用于内存取证的开源工具，可用于分析操作系统的运行状态、恢复被删除的数据等。OxygenForensicSuite：可用于移动设备和云计算环境取证，可以提取多种类型的数据，如短信、通话记录、位置信息等。8.3.3网络入侵电子取证1.网络安全审计相关标准网络安全审计要依法依规对与安全相关的活动信息进行获取、记录、存储、查询与分析。网络日志留存不少于六个月。2.网络安全审计系统组成与类型一般网络安全审计系统由信息收集与存储、审计事件记录及查询、审计事件分析、审计告警、结果展示及管理服务、审计数据保护等几个部分组成。依据审计对象，可将网络安全审计分为操作系统安全审计、数据库安全审计、网络通信安全审计，以及应用系统安全审计、网络安全设备审计、工控安全审计、移动安全审计、互联网安全审计和代码安全审计等类型。3.网络安全审计技术实现8.3.4网络安全审计在网络运行、维护管理的过程中，为了全面衡量网络运行状况，可根据网络的数据流量分布情况判断网络是否处于健康状态，并据此进行流量管理。当网络出现速度变慢、拥塞等异常安全事件时，可通过测试和查看网络设备、设备端口和主机上的流量，分析排查网络故障。8.4网络系统监测与应急响应1.网络系统监测的主要对象网络设备。监测网络设备（如交换机、路由器、防火墙等）的状态、连接数、带宽利用率等，以及网络流量的分布和流向。服务器。监测服务器的性能，包括CPU利用率、内存利用率、磁盘空间利用率、服务响应时间等，以及服务的可用性和可靠性。应用程序。监测关键应用程序的运行状态、性能和可用性，包括响应时间、事务处理能力、错误率等指标。安全威胁事件。监测网络中的安全威胁事件，包括入侵检测、恶意代码检测、异常行为检测等。8.4.1网络系统监测2.网络系统监测方法及工具常见的网络监测工具包括网络监控软件、性能分析工具、日志管理系统和安全信息与事件管理系统等。SnifferPorSnifferPor是NetworkAssociates公司（现在的McAfee公司）开发的一款便携式网络管理和应用故障诊断分析软件。它支持各种平台，性能优越，作为一名网络管理员需要有这么一套好的网络分析软件。WireShark是一款比较常用的免费网络协议分析工具，可以运行在Windows等多个系统平台上，功能丰富，使用方便，深受用户欢迎，可从官网下载最新的版本。8.4.1网络系统监测1.网络安全事件网络安全事件是指在计算机网络中发生的可能危害网络系统和数据安全的事件。依据国家网络安全事件应急预案要求，可以将网络安全事件分为四级：①特别重大网络安全事件；②重大网络安全事件；③较大网络安全事件；④一般网络安全事件。2.安全事件应急处置流程应急响应预案准备、安全事件确认网络安全事件处理应急响应工作总结8.4.2网络安全应急响应3.安全事件应急响应演练所谓网络安全事件应急响应演练就是通过假定、模拟响应网络安全事件的发生，检验应急响应工作机制及其预案的有效性。应急响应演练按照组织形式可分为桌面应急演练、实战应急演练。桌面应急演练通常在室内完成。相关人员利用图形工具、沙盘、计算机模拟等手段，假定场景，讨论并分析应急响应工作机制、网络安全事件预案的有效性。实战应急演练需在特定的场所进行，即利用实际设备、物资，综合启动应急响应工作机制，检测分析网络安全事件预案的有效性。若依据演练内容有单项应急演练、综合研究演练之分。单项应急演练是针对单个单位的特定环节、功能的检验。8.4.2网络安全应急响应网络系统维护与更新是确保网络系统顺利运行的重要工作，而且是一项长期、持续的系统性工程，包括网络故障诊断、网络合规使用、日常安全运行维护等。网络系统运维与更新旨在提高网络系统的性能、安全性和可用性，以满足用户需求并适应不断变化的技术环境。8.5网络系统维护与更新1.网络故障诊断步骤准确查找问题重建故障分离故障原因拟订并实施整改方案测试解决方案记录故障和解决方案，并获取反馈8.5.1TCP/IP网络故障诊断2.排除网络故障的常用方法分层排除法分段排除法替换法对比法3.网络故障处理技巧4.网络故障处理示例8.5.1TCP/IP网络故障诊断1.遵守法律法规2.保护个人隐私3.合法使用网络资源4.遵循网络道德准则5.审查使用协议和条款8.5.2网络合规使用1.网络设备维护2.软件更新与安全补丁3.数据备份与恢复4.网络性能监控与优化5.安全策略和访问控制管理6.及时处理故障和故障恢复7.用户培训8.日常基础运维。基础设施巡检巡查等。8.5.3网络安全运维本章小结网络安全管理是一个系统工程，旨在确保网络的机密性、完整性和可用性，保障网络正常运行。网络安全管理是一个综合性课题，既是网络安全的管理，又要网络管理的安全，内容十分错综复杂。本章依据网络安全管理工程思想，从管理理论与技术的角度系统讨论了网络安全管理。所述网络安全管理工程解决方案，涵盖了服务网络空间安全所需要的核心技术与应用技术，可以为建设安全可靠、绿色健康的网络提供技术支持。对网络测试与分析、网络安全风险评估与审计、网络系统的监测与应急响应、网络系统维护与更新等内容的讨论，旨在搭建一个网络安全防御平台、监测平台、运维平台，形成“以统一运维网管为中心、各平台为支撑”的覆盖组织园区网的网络安全管理服务体系。思维导图小测验1.在网络系统安全设计中，保证“网络及时且可靠地被访问和使用”是保障网络系统（）的目标。a.可用性b.机密性c.可控性d.完整性2.下列哪条命令可以显示置入PC的IP地址？（）a.pingb.ipconfigc.tracertstat3.下列哪条命令用于显示TCP/IP网络中源节点与目的节点之间的路径？（）

a.ping b.ipconfig c.tracert stat4.下面哪个回送信息来自IP进程？（）

a.ping b.ipconfig c.tracert stat5.下面哪个故障诊断工具有助于确定本地寻址信息？（）

a.ping b.ipconfig c.tracert d.arp小测验6.下面哪个故障诊断工具可以给出到达目的计算机所需的转发次数？（）

a.ping

b.ipconfig c.tracert stat7.诊断网络故障时，首先应执行（）：

a.分离故障原因b.记录结果c.测试问题d.发出一条ping命令

8.网络故障诊断步骤中最重要的是（）：

a.重建问题 b.分离故障原因 c.测试解决方案 d.准确查找问题9.下列哪3项属于TCP/IP网络故障诊断工具？（）

stat b.ping c.tracert d.TFTP10.要判断一台主机在TCP/IP网络中是否可用，下列哪种TCP/IP故障诊断工具可提供最快捷、最简单的方法？（）

a.ipconfig b.telnet

stat d.ping11.针对你所在单位机构或学校的网络环境，调查经常出现的网络故障，然后写一份调查报告，分析这些故障产生原因，并给出解决方案。一名网络安全工程师，每一天的工作内容及工作方式方法丰富多彩，随手杂记，供从业者知晓WhatandHow。每天的第一项工作是，打开电脑扫一遍凌晨的告警日志。然后刷交