第三章 网络安全
3.1网络安全及管理概述
3.1.1网络安全的概念
广义：凡是涉及网络信息的保密性，完整性，可用性，真实性，可控性，可审查性的相关技术和理论，都是网络安全的研究领域
网络安全：是一个涉及++计算机科学，网络技术，通讯技术，密码技术，信息安全技术，应用数学，数论，信息论等的综合性领域++
网络安全：包括网络硬件资源和信息资源的安全性。
网络硬件资源包括通信线路，通信设备（路由器，交换机等），主机，要实现信息快递安全的交换，必须有一个可靠的物理网络。
信息资源包括维持网络服务运行的系统软件和应用软件，以及在网络中存储和传输的用户信息数据等。
信息资源的安全也是网络安全的重要组成部分
3.1.2网络管理的概念
网路管理：是指监督，组织和控制网络通信服务，以及信息处理所必须的各种活动的总称。其目标是确保计算机网络的持续正常运行，是网络中的资源得到更加有效的利用，并在计算机网络运行出现异常时能及时响应和排除故障
++网络管理技术时伴随着计算机，网络和通信技术的发展而发展的，二者是相辅相成的++
3.1.3网络安全的特征
1）可靠性：网络信息系统能够在规定条件下和规定时间内完成规定功能的特性。可靠性是所有网络信息系统建设和运行的目标。可靠性主要表现在硬件可靠性，软件可靠性，人员可靠性，环境可靠性等方面。
2）可用性:可用性是指网络信息可被授权实体访问并按需求使用的特性。可用性保证网络信息服务在需要时允许授权用户和实体使用，或者是网络部分受损或需要降级使用时仍能收授权用户提供有效服务。
3）保密性：保密性时指网络信息不被泄露给非授权用户，实体或过程，或者供其利用的特性。保密性可以防止网络信息泄露给非授权个人或实体，只为授权用户使用。
4）完整性:完整性是指网络信息未经授权不能进行改变的特性，即网络信息在存储或传输过程中保证不被偶然会蓄意地删除，修改，伪造，重放，插入等破坏和丢失地特性。
5）可控性：可控性是指对信息的传播及内容具有控制能力。
6）可审查性：可审查性是指出现安全问题时提供的依据与手段。
3.1.4常见的网络拓扑
网络拓扑是指网络的结构方式，表示连接在地理位置上分散的各个节点的几何逻辑方式。网络拓扑决定了网络的工作原理及网络信息的传输方法。一旦选定网络的拓扑逻辑，必定要选择一种合适这种拓扑逻辑的工作方式，将给网络安全埋下隐患，网络拓扑结构本身就有可能造成网络安全问题。
常见的网络拓扑结构有：总线形，星形，环形和树形等。
- 1总线形拓扑结构
是将所有的网络工作站或网络设备连接在同一物理介质上，这时每个设备直接连接在通常所说的主干电缆上。由于总线形结构连接简单，增加和删除节点较为灵活
1）故障诊断困难：虽然总线形结构简单，可靠性高，但故障检测却很困难。因为总线形结构的网络不是集中控制，故障检测需要在整个网络上的各个节点进行，必须断开在连接设备以确定故障是否由某有节点引起。而且，由于一束电缆连接着所有设备，故障的排除也较为困难。
2）故障隔离困难：对于总线形拓扑，如果故障发生在节点上，则指需将该节点从网络上去除;如果故障发生在传输介质上，则整个总线要被切断。
3）终端必须是智能的：总线上一般不设有控制网络的设备，每个节点按竞争的方式发送数据，难免会带来总线上的信息冲突，因而连接在总线上的节点要有介质访问控制功能，这就要求终端必须是智能的 - 2星形拓扑结构
星形拓扑结构由中央节点和通过点到点链路连接到中央节点的个站点组成。
1）对电缆的需求大且安装困难：因为每个站点直接和中央站点相连，因此需要大量的电缆，电缆沟，维护，安装等存在问题
2）扩展困难：要增加新的网点，就要增加到中央节点的连接，这需要事先设置好大量的冗余电缆。
3）对中央节点的依赖性太大：如果中央节点出现故障，则会成为致命性的事故，可能会导致大面积的网络瘫痪。
4）容易出现“瓶颈”现象：星形拓扑结构网络的另一大隐患是，大量的数据处理靠中央节点完成，因而会造成中央节点负荷过重，结构复杂，容易出现“瓶颈”现象，系统安全性差。 - 环形拓扑结构
环形拓扑结构的网络由一些中继器和连接中继器的点到点链路组合一个闭合环。每个中继器与两条链路连接，每个站点都通过一个中继器连接到网络上，数据以分组的形式发送，由于多个设备共享一个环路，因此需要对网路进行控制。
1）节点的故障将会引起全网的故障：环上的数据传输会通过连接在环上的每个节点，如果环上某个节点出现故障，将会引起全网的故障
2）故障诊断困难：因为某一节点故障会引起全网工作中断，因此难以诊断故障，需要对每个节点进行检测。
3）不易重新配置网络：在这种拓扑下，要扩充环的配置交苦难，同样，要关掉一部分已接入网络的节点也不容易。
4）影响访问协议：环上每个节点接受到数据后，要负责将之发送到环上，这意味着同时要考虑访问控制协议，节点发送数据前，就必须知道传输介质对它是有用的。 - 树形拓扑结构
树形拓扑结构是从总线形拓扑演变而来的，其形状像一棵倒置的树。树形拓扑通常采用同轴电缆作为传输介质，且使用宽带传输技术。
树形结构的主要安全缺陷是对根节点的依赖性太大
3.2 网络安全基础
3.2.1 OSI七层模型及安全体系结构
OSI(Open Source Initiative,开放源代码促进会/开放源码组织)是一个旨在推动开源软件发展的非营利阻组织。OSI参考模型（OSI/RM)的全称是开放系统互连参考模型，它是由国际标准组织（ISO）和国际电报电话咨询委员会（CCITT)联合制定的。其目的是为异构计算机互连提供共同的基础和标准框架，并为保持相关标准的一致性和兼容性提供共同的参考。这里所说的开放系统，实质上指的是遵循OSI参考模型和相关协议，能够实现互连的具有各种应用目的的计算机系统。它是网络技术的基础，也是分析，评判各种网络技术的依据。
1，七层模型的组成
OSI参考模型由下至上分别为物理层，数据链路层，网络层，传输层，会话层，表示层和应用层，各层的主要功能；
| 应用层 | 访问网路服务的接口，例如为操作系统或网络应用程序提供访问网络服务的接口。 |
|---|---|
| 表示层 | 提供数据格式转换服务，如加密与解密，图片解码和编码，数据的压缩和解压缩 |
| 会话层 | 建立端连接并提供访问验证和会话管理 |
| 传输层 | 提供应用进程之间的逻辑通信 |
| 网络层 | 为数据在节点之间传输创建逻辑来链路，并分组转发数据。 |
| 数据链路层 | 在通信的实体间建立逻辑链路通信 |
| 物理层 | 为数据端设备提供原始比特流传输的通路 |
2.OSI协议的运行原理
“打包”过程：在发送端，从高层到低层进行数据封装操作，每一层都在上层数据的基础上加入本层的数据头，然后在传递给下一层处理。因此，这个过程是数据逐层向下的封装过程。
“拆包”过程：在接收端，对数据的操作与上述过程相反，数据单元在每一层被去掉头部，根据需要传送给上一层来处理，直到应用层解析后被用户看到内容。这是一个从底层到高层的解封过程。
3.OSI安全体系结构
OSI安全体系结构是根据OSI七层协议模型建立的，也就是说，OSI安全体系结构是与OSI七层相对应的。不同层次上有不同的安全技术
- 物理层：设置连接密码。
- 数据链路层：设置PPP验证，交换机端口优先级，MAC地址安全，BPDU守卫，快速端口等。
- 网络层：设置路由协议验证，扩展访问列表，防火墙等。
- 传输层：设置FTP密码，传输密匙等。
- 会话层&表示层：公共密匙，私钥密匙应该在这两层进行设置。
- 应用层：设置NBAR，应用层防火墙等。
在上述OSI安全体系结构中，定义了五类相关服务，包括认证（鉴别）服务，访问控制服务，数据保密性服务，数据完整性服务和抗否认性服务。
1）认证（鉴别）服务：提供通信中对等实体和数据来源的认证（鉴别）。
2)访问控制服务：用于防止未授权用户非法使用系统资源，包括用户身份认证和用户权限确认。
3）数据保密性服务：为防止网络各系统之间交换的数据被截获或被非法存取而泄密，提供机密保护。同时，对有可能通过观察信息流就能推导出信息的情况进行防范。
4）数据完整性服务：用于防止非法实体对交换数据的修改，插入，删除以及在数据交换过程中的数据丢失。
5）抗否认性服务（也叫不可否认性数据服务）：用于防止发送方在发送数据后否认发送和接受方在收到数据后否认收到或伪造数据的行为。
3.2.2 TCP/IP协议及安全
TCP/IP（数据传输协议/因特网互联协议）是Internet的基本协议，由OSI七层模型中的网络层IP协议和传输层TCP协议组成。TCP/IP定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。
1，网络层协议
（1）IP协议是TCP/IP的核心，也是网络层中的重要协议。从前面的介绍可知，IP层封装来自更底层（网络接口层，如以太网设备驱动程序）发来的数据包，并把该数据包应用到更高层————TCP或UDP层；同样，IP层也会把来自更高的TCP或UDP层接收来的数据包传送到更低层。但要注意，IP数据包时不可靠的，因为IP并没有任何手段来确认接受来的数据包是按顺序发送的或者没有被破坏。IP数据包中含有发送它的主机的地址（源地址）和接收它的主机的地址（目的地址）。
以常用的IPv4协议为例，高一层（传输层）的TCP和UDP服务在接受数据包时，一般假设包中的源地址时有效的。所以，IP地址形成了许多服务的我认证基础，这些服务相信数据包是从一个有效的主机发送来的。在IP确认信息中包含选项IP source routing,可以用来指定一条源地址和目的地址之间的直接路径，对于一些应用到TCP和UDP地服务来说，使用了该选项的IP包是从路径上的最后一个系统终端传递过来的，而不是来自于它的真实地点。这就使得许多依靠IP源地址做确认的服务被攻击，比如常见的IP地址欺骗攻击。
（2）ARP（地址解析协议）
ARP协议用于将计算机的网络地址（IP地址32位）转化为物理地址（MAC地址48位）。为了解释ARP协议的作用，就必须理解数据在网络上的传输进程。
2传输层协议
传输层主要使用TCP（传输控制协议）和UDP（用户数据报协议）两个协议，其中TCP提供可靠的面向连接的服务，而UDP提供不可靠的无连接服务。
（1）TCP
TCP协议使用第三次握手机制来建立一条连接：握手的第一条报文为SYN包；第二个报文为SYN/ACK包，表明它应答第一个SYN包，同时继续握手的过程；第三个报文仅仅是一个应答，表示为ACK包
倘若AW为连接方，B为响应方，其间可能的威胁如下所示：
1）攻击者监听B方发出的SYN/ACK报文
2）攻击者向B方发出RST包，接着发送SYN包，冒充A方发起新的连接
3）B方响应新连接，并发送连接响应报文SYN/ACK
4)攻击者再冒充A方对B方发送ACK包
（2）UDP
UDP报文由于没有可靠性保证，顺序保证和流量控制字段等，因此可靠性较差。当然，正因为UDP协议地控制选项较少，使其具有数据传输过程的延迟少，数据传输效率高的优点，所以适用于对可靠性要求不高的应用程序，或者可以保障可靠性的应用程序。
基于UDP的通信很难再传输层建立起安全机制，同网络层安全机制相比，传输层安全机制的主要优点是它提供基于进程对进程的（而不是主机对主机地）安全服务。这一成就如果再加上应用级的安全服务，就可以大大提升安全性。
3，应用层协议
应用层有很多日常传输数据时使用的耳熟能详的协议，比如HTTP，HTTPS,FTP,SMTP,Telent,DNS,POP3等，这些协议在实际应用中要用到实际应用程序代理。
从客户角度来看，代理服务器相当于一台真正的服务器；而从服务器来看，代理服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时，首先将数据请求发给代理服务器，代理服务器再根据这一请求向服务器索取数据，然后由代理服务器将数据传输给客户机。
由于外部系统与内部服务器之间没有直接的数据同通道，外部的恶意侵害也就很难伤害到企业内部网络系统。代理服务对于应用层以下的数据透明。应用层代理服务器用于支持代理的应用层协议
4，安全封装协议
（1）IPSec是为了IPv4和IPv6协议提供基于加密安全的协议，它使用AH（认证头）和ESP（封装安全载荷）协议来实现其安全，使用ISAKMP/Oakley及SKIP进行密匙交换，管理及安全协商。
IPSec安全协议工作在网络层，运行在它上面的所有网络通道都是加密的。IPSec安全服务包括访问控制，数据源认证，无连接数据完整性，抗重播，数据机密性和有限的通信流量机密性，它使用身份认证机制进行访问控制，即两个IPSec实体试图进行通信前，必须通过IKE协商SA（安全联盟），协商过程中要进行身份认证，身份认证采用公匙
签名机制，使用数字签名标准（DSS)算法或RSA算法，而公匙通常使从证书中获取得的。
3.2 网络安全基础
3.2.1 OSI七层模型及安全体系结构
1.OSI参考模型全称为开放系统互连参考模型，它是由国际标准化组织（ISO）和国际电报电话咨询委员会（CCITT）联合制定的。
2.七层模型的组成
OSI参考模型由上至下分别为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
3.OSI协议的运行原理
打包：在发送端，从高层到低层进行数据封装操作，每一层都在上层数据的基础上加入本层的数据头，然后再传递给下一层处理。
拆包：在接收端，数据单元在每一层被去掉头部，根据需要传送给上一层来处理，直到应用层解析后被用户看到内容。
建立七层模型主要是为了解决异构网络互联时所遇到的兼容性问题。它的最大优点是将服务、接口和协议这三个概念明确地区分开来，也使网络的不同功能模块分担起不同的职责。
4.OSI安全体系结构
OSI安全体系结构是根据OSI七层协议模型建立的，也就是说，OSI安全体系结构是与OSI七层相对应的，比如：
•物理层：设置连接密码。
•数据链路层：设置PPP验证、交换机端口优先级、MAC地址安全、BPDU守卫、快速端口等。
•网络层：设置路由协议验证、扩展访问列表、防火墙等。
•传输层：设置FTP密码、传输密钥等。
•会话层&表示层：公钥密码、私钥密码应该在这两层进行设置。
•应用层：设置NBAR、应用层防火墙等。
5.五类相关安全服务：认证（鉴别）服务、访问控制服务、数据保密性服务、数据完整性服务和抗否认性服务。
3.2.2 TCP/IP协议
由OSI七层模型中的网络层IP协议和传输层TCP协议组成。
1.网络层协议
•IP协议
•ARP协议：用于将计算机的网络地址（IP地址32位）转化为物理地址（MAC地址48位）。
2.传输层协议
•TCP：使用三次握手机制建立一条连接、断开一条连接。
•UDP
3.应用层协议
HTTP、HTTPS、FTP、SMTP、Telent、DNS、POP3等，这些协议在实际应用中要用到应用程序代理。
4.安全封装协议
•IPSec：为IPv4和IPv6协议提供基于加密安全的协议，它使用AH（认证头）和ESP（封装安全载荷）协议来实现其安全，使用ISAKMP/Oakley及SKIP进行密钥交换、管理及安全协商。
•SSL协议（安全套接层）：用于保护网络传输信息
•S-HTTP：超文本传输协议是结合HTTP而设计的一种信息安全通信协议
•S/MIME：全称安全多用途网际邮件扩充协议
3.2.3 无线网络安全
1.无线局域网的安全问题：窃听、截取或者修改传输数据、拒绝服务等。
2.无线局域网安全协议：
•WEP（有线等效保密）
•WPA（Wi-Fi网络安全接入）
•WPA2
•WAPI（中国拥有自主知识产权的WLAN安全解决方案）
3.WPI的解封装过程：
•判断数据分组序号是否有效，无效则丢弃该数据
•利用解密密钥与数据分组序号。通过工作在OFB模式的解密算法对分组中的MDSU数据及MIC密文进行解密，恢复出MSDU数据以及MIC明文
•利用完整性校验密钥与数据分组序号，通过工作在CBC-MAC模式的校验算法对完整性校验数据进行本地计算，若计算得到的值与分组中的完整性校验码MIC不同，则丢弃该数据
•解封装后将MSDU明文进行重组处理并递交至上层
3.3 识别网络安全风险
3.3.1 威胁
常见的外部威胁：应用系统和软件安全漏洞、安全 策略、后门和木马程序、病毒及恶意网站陷阱、黑客、安全意识淡薄、用户网络内部工作人员的不良行为引起的安全问题。
3.3.2 脆弱性
1.操作系统的脆弱性：动态链接、创建进程、空口令和RPC、超级用户。
2.计算机系统本身的脆弱性：硬件软件故障。
3.电磁泄露
4.数据的可访问性
5.通信系统和通信协议的弱点
6.数据库系统的脆弱性
7.网络存储介质的脆弱
3.4 应对网络安全风险
3.4.1 从国家战略层面应对
1.出台网络安全战略，完善顶层设计。
2.建设网络身份体系，创建可信网络空间。
3.提升核心技术自主研发能力，形成自主可控的网络安全产业生态体系。
4.加强网络攻防能力，构建攻防兼备的安全防御体系。
5.深化国际合作，逐步提升网络空间的国际话语权。
3.4.2 从安全技术层面应对
1.身份认证技术
•生物认证技术
•口令认证
•令牌认证
2.访问控制技术
•访问控制(AccessControl)指系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。
•三要素：主机、客体和控制策略
•访问控制的功能及原理：认证、控制策略、安全审计
•类型：自主访问控制、强制访问控制、基于角色的访问控制以及综合访问控制策略等。
•综合性访问控制策略：入网访问控制、网络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监控和锁定控制、网络端口和节点的安全控制
•访问控制的应用
3.入侵检测技术
•入侵检测系统是一种对网络实时监控、检测，发现可疑数据并及时采取主动措施的网络设备。
•常用的入侵检测技术：异常检测、特征检测、文件完整性检查。
4.监控审计技术
•网络安全审计方法：日志审计、主机审计、网络审计
5.蜜罐技术
按应用平台，蜜罐技术分为实系统蜜罐、伪系统蜜罐。
按照部署目的，蜜罐分为产品型蜜罐和研究型蜜罐。
按照交互度的等级，蜜罐分为低交互蜜罐、高交互蜜罐。
3.4.3 网络管理的常用技术
1.日常运维巡检
2.漏洞扫描
3.应用代码审核
4.系统安全加固
5.等级安全测评
6.安全监督检查
•信息安全管理情况
•技术防护情况
•应急工作情况
•安全教育培训情况
•安全问题整改情况
7.应急响应处置
8.安全配置管理
•资产管理
•资源管理
•服务器目录管理
•服务请求
•监控管理
小结
本章通过分析常见的网络拓扑结构，结合OSI模型和协议等内容，介绍了网络系统的脆弱性和潜在的威胁，并从网络技术和网络管理两个层面提出了相应的对策。特别是，详细讲解了身份认证技术、访问控制技术、入侵检测技术、监控审计技术和蜜罐技术等。
第七章 大数据背景下的先进计算安全问题
7.3 物联网安全
7.3.1 物联网概述
1.物联网的目标是帮助我们实现物理世界和网络世界的互联互通，使人类对物理世界具有“全面的感知能力、透彻的分析能力和智慧的处理能力”。
2.物联网的层次架构与特征
•物联网大致分为三个部分：数据感知部分、网络传输部分、智能处理部分。
•物联网体系被划分为感知层、网络层、应用层三层结构。
•物联网应具备：全面感知、可靠传递、只能处理三种能力。
3.物联网的典型应用领域：
•具备物理世界认知能力的应用
•在网络融合基础上的泛在化应用
•基于应用目标的综合信息服务应用
7.3.2 物联网的安全特征与架构
1.物联网的安全特征
2.物联网面临的安全挑战：
•标准和指标
•规章
•共同的责任
•成本与安全的权衡
•陈旧设备的处置
•可升级性
•数据机密性、身份验证和访问控制
3.物联网的安全架构
•物联网面临的安全攻击
•物联网的安全控制措施
7.3.3 工控系统及其安全
工业控制系统（ICS）是几种类型控制系统的总称，包括监控和数据采集（SCADA）系统、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器等。
1.工控系统的特征
2.工控系统的架构
•工业控制系统的关键组件包括：控制器、组态编程组件、数据采集与监视控制组件、人机界面和分布式过程控制系统。
•工业控制系统所涉及的网络部分包括：企业资源网络、过程控制和监控网络和控制系统网络。
3.工控系统安全
•工控网络安全态势及安全问题 ◦系统漏洞难以及时处理给工控系统带来安全隐患
◦工业控制系统通信协议在设计之初缺乏足够的安全性考虑
◦没有足够安全政策及管理制度
◦工控系统直接暴露在互联网上
◦系统体系架构缺乏基本的安全保障
•工控系统的安全防护 ◦失泄密防护
◦主机安全管理
◦数据安全管理
◦基线建立
◦运行监控
◦实施防御