6-2 网络安全基础

网络安全威胁类型

  1. 窃听：例如搭线窃听、安装通信监视器和读取网上的信息等。
  2. 假冒：当一个实体假扮成另一个实体进行网络活动时就发生了假冒。
  3. 流量分析：对网上信息流观察和分析推断出网上传输的有用信息。
  4. 重放攻击：重复发送一份报文或报文的一部分，以便产生一个被授权效果。(随机数、时间戳)

image-20250308162939085

注意：主动攻击和被动攻击的区分

  • 主动攻击：会向网络中注入流量。如假冒、重放
  • 被动攻击：只是分析，不会向网络中注入流量。如窃听、流量分析
  1. 数据完整性破坏：有意或无意地修改或破坏信息系统，或者在非授权和不能监测的方式下对数据进行
    修改。
  2. 分布式拒绝服务DDoS：当一个授权实体不能获得应有的对网络资源的访问或紧急操作被延迟时，就发
    生了拒绝服务。DDoS是对传统DoS攻击的发展，黑客控制海量肉鸡发起。 SYN-Flood(发送大量握手请求包但又不进行第三次握手，消耗服务器内存、CPU)、HTTP-Flood/CC(发送大量GET请求包等消耗Web服务器并发量导致不能正常服务)
  3. 恶意软件：会损害计算机或信息系统的文件或程序，包括木马、流氓软件、间谍软件、勒索软件、僵
    尸网络软件、病毒等。(考过案例题如何防范勒索软件：定期打补丁；封高危端口如135、169、445；定期备份重要数据；安装EDR终端响应检测软件如奇安信天擎等；使用部分安全工具尝试恢复；中招终端应当即使断网)，勒索病毒的防护措施：
    • 隔离感染设备；
    • 通过ACL在交换机/防火墙封闭445端口；
    • 给Windows系统打补丁；
    • 用杀毒软件进行查杀；
    • 使用勒索病毒工具箱进行数据恢复（有可能能恢复部分）；
    • 部署EDR等终端防护系统；
    • 定期备份重要数据。
  4. Web攻击：包括：跨站脚本（XSS）攻击、SQL注入攻击、跨站域请求伪造（CSRF）攻击、WebShell攻击以及利用软件漏洞进行的攻击。
  5. APT功能：APT攻击是多种常见网络攻击手段/技术的组合，通过间接迁回方式，渗透进组织内部系统潜伏起来，持续不断地收集攻击目标相关的各种信息，其潜伏和收集信息时间可能会长达数年，当条件成熟
    时，伺机而动，达到攻击目的。这类攻击一般是有组织有预谋的，攻击目标一般为国家和政府部门的核心信息系统，一旦对这些系统造成破坏，对国家安全、社会秩序、经济活动会造成非常大的影响。(APT攻击的这几个特点要记忆)(如何防范APT攻击：在管理上，应当定期做安全巡检、漏洞扫描；在技术上，应当部署多设备联动，如态势感知、入侵检测、沙箱、防火墙，及时发现解决问题)

安全防范技术

网络安全措施：数据加密、数字签名、身份认证、防火墙、特征过滤等。

  1. 数据加密。
  2. 数字签名：用来验证数据或程序的完整性。
  3. 身份认证：认证用户的合法性，例如密码技术、利用人体生理特征（如指纹、人脸）进行识别、智能IC卡、数字证书等。
  4. 防火墙：防火墙是位于两个网络之间的屏障，进行访问控制
  5. 入侵检测和阻断：对网络流量或应用访问进行攻击特征匹配和过滤，阻断非法攻击，常见设备有入侵防护系统（IPS）、Web应用防火墙（WAF）等。
  6. 访问控制：在骨干网络设备或者服务器配置访问控制策略，允许或者拒绝某些源对目标的访问，实现网络安全防护。
  7. 行为审计。对网络行为或者用户操作进行审计，阻断非法操作或者高危操作行为，常见设备：数据库审计系统、堡垒机、上网行为管理系统等。

等级保护

本节为新版教材新增内容

2017年6月1日正式实施的《中华人民共和国网络安全法》第二十一条规定，国家实行网络安全等级保
护制度，明确网络安全等级保护制度的法律地位。

《信息安全技术网络安全等级保护测评要求》《信息安全技术网络安全等级保护基本要求》等一系列
网络安全等级保护标准正式发布，并于2019年12月1日正式实施。

根据系统的重要程度和遭到破坏后，对国家安全、社会秩序、公共利益，以及公民、法人和其他组织
的合法权益的侵害程度等因素，等级分为5级

(下图要多看)

image-20250308164242780

不同级别的等级保护对象应具备的基本安全保护能力如下：

第一级安全保护能力：应能够防护免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难，以及其他相当危害程度的威胁所造成的关键资源损害，在自身遭到损害后，能够恢复部分功能。

第二级安全保护能力：应能够防护免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难，以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和处置安全事件，在自身遭到损害后，能够在一段时间内恢复部分功能

第三级安全保护能力：应能够在统一安全策略下防护免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难，以及其他相当危害程度的威胁所造成的主要资源损害，能够及时发现、监测攻击行为和处置安全事件，在自身遭到损害后，能够较快恢复绝大部分功能。

第四级安全保护能力：应能够在统一安全策略下防护免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难，以及其他相当危害程度的威胁所造成的资源损害，能够及时发现、监测攻击行为和处置安全事件，在自身遭到损害后，能够迅速恢复所有功能。

第五级安全保护能力：属于特别重要系统如涉密信息系统，一般不走等保标准，而按照分级保护标准实施。等保标准中并未定义五级等保具体标准

等保2.0建设要求

image-20250308164322728

等保2.0技术上的5点要求

  • 安全物理环境：机房选址、门禁系统等
  • 安全通信网络：该加密就应当加密、该用双核心就用双核心
  • 安全区域边界：如网络出口处配置防火墙、数据中心边界配置网络安全设施
  • 安全计算环境：偏向终端节点安全，如PC、手机、服务器应当安装杀毒、安全防护等软件
  • 安全管理中心：认证、数据备份、审计等安全管理系统

等保2.0管理上的5点要求

  • 安全管理制度：有制度
  • 安全管理机构：有机构
  • 安全管理人员：有人
  • 安全建设管理：对等保建设应当有管理
  • 安全运维管理：定期巡检、定期灾备测试等

等级保护的五个规定动作(2.0)

记一下这5个动作

image-20250308164348204

定级中的主管部门核准：如学校应在评审后报教育局核准，医院应在评审后报卫健委核准

备案：应到县级以上公安机关备案

安全建设及整改：一般交给等保建设集成商去做

等级测评：一级不需要测评，二级、三级需要测评，测评有有资质的第三方公司来做；第三级以上网络应每年
开展一次等级测评；每年至少开展一次自查。

公安机关（或会同行业主管部门）对第三级以上网络每年至少开展一次安全检查；必要时可以委托社会力量提供技术支持。

网络信息安全法律与政策

《网络安全法》核心要求：

  • 制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

  • 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；(具体技术措施就是等保2.0)

  • 采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

  • 采取数据分类、重要数据备份和加密等措施；

  • 等保三级每年进行测评，等保四级每半年进行测评，等保二级推荐每两年进行测评(二级不强制要求);

  • 网信办统筹网络安全工作。

  • 《网络安全等级保护2.0》于2019年12月1日正式实施。

  • 《中华人民共和国密码法》于2020年1月1日起实施。

  • 《中华人民共和国数据安全法》于2021年9月1日正式施行。

扩展：DDoS和CC攻击

DDoS攻击种类

根据攻击报文类型的不同，可以分为TCPFlood、UDPFlood、ICMPFlood、HTTPFlood和GRE Flood等

攻击类型 描述
TCP Flood 利用TCP协议发起的DDoS攻击，常见的攻击有SYN Flood、SYN+ACK Flood、ACK Flood、FIN/RST Flood等。
SYN Flood SYN Flood攻击是通过伪造一个源地址的SYN报文，发送给受害主机，受害主机回复SYN+ACK报文给这些地址后，不会收到ACK报文，导致受害主机保持了大量的半连接，直到超时。这些半连接可以耗尽主机资源，使受害主机无法建立正常TCP连接，从而达到攻击的目的
UDP Flood 使用UDP协议发起的攻击，常见攻击有UDP Flood、UDP分片攻击等。
CC攻击 CC(ChallengeCollapsar，挑战黑洞)攻击是DDoS攻击的一种类型，使用代理服务器向受害服务器发送大量貌似合法的请求。 CC根据其工具命名，攻击者使用代理机制，利用众多广泛可用的免费代理服务器发动DDoS攻击。 许多免费代理服务器支持匿名模式，这使追踪变得非常困难。
ICMP Flood 利用ICMP协议在短时间内发送大量的ICMP报文导致网络瘫痪，或采用超大报文攻击导致网络链路拥塞。
HTTP Flood 利用HTTP协议交互，发动HTTP Flood，或者HTTP慢速攻击等。
GRE Flood 利用GRE报文发动的DDoS攻击，利用GRE报文的解封装消耗攻击目标的计算资源。

image-20250421233512784

DDoS攻击攻击安全防范

对于不同类型的DDoS攻击，Anti DDoS设备有源认证、限流等不同的防御方式，右图描述SYN Flood源认证防御的工作原理。

image-20250421233633058

单包攻击安全防范

防火墙具有单包攻击防范功能，可以对扫描类攻击、畸形报文攻击和特殊报文控制类攻击进行有效防范。

不同单包攻击的原理不同，防火墙采用的防范原理也不同。以下对地址扫描攻击原理和其防范原理进行介绍。

1
2
[Router] icmp rate-limit enable
[Router] icmp rate-limit threshold 10 //限制每秒10个icmp报文

image-20250421233742511

CC攻击日志

网络管理员巡检时还发现，Web服务器CPU利用率非常高，查看日志显示如下信息。有很多未知IP发起了大量访问链接，导致Web服务器压力很大。

CC(ChallengeCollapsar，挑战黑洞)攻击是DDoS攻击的一种类型，使用代理服务器向受害服务器发送大量貌似合法的请求。 CC根据其工具命名，攻击者使用代理机制，利用众多广泛可用的免费代理服务器发动DDoS攻击。 许多免费代理服务器支持匿名模式，这使追踪变得非常困难。

下图为CC攻击的日志：

image-20250308171843992

DDoS和CC攻击对比

image-20250308171902275

例题

例题1

image-20250308171714454

解析：常见DOS攻击：MAC Flooding、ARP Flooding、SYN Flooding、HTTP Flooding

例题2

image-20250308171727428

解析：

  • 主动攻击会破坏原本的传输内容或过程，被动攻击是窃听和分析，其中AD是典型的主动攻击。
  • 会话拦截：指主机甲和主机乙在通信过程中，黑客通过某种手段对这个过程进行了捕获分析，从而获得会话内容。
  • 系统干涉：攻击者获取系统访问权，从而干涉系统的正常运行。
  • 其实B选项可能拦截下来并修改内容，所以也有可能是主动攻击，但C肯定是主动攻击，对比之下，选择B更合适。

例题3

image-20250308171740267

解析：重放攻击：攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程。

例题4

image-20250308171747883

解析：防止重放攻击可通过加时间戳或加随机数或一次一密方式实现

例题5

image-20250308171756819

解析：勒索病毒的防护措施

  • 隔离感染设备；
  • 通过ACL在交换机/防火墙封闭445端口；
  • 给Windows系统打补丁；
  • 用杀毒软件进行查杀；
  • 使用勒索病毒工具箱进行数据恢复（有可能能恢复部分）；
  • 部署EDR等终端防护系统；
  • 定期备份重要数据。

例题6

image-20250308171805153

解析：

  1. CC攻击/HTTP Flood和SYN-Flood
    1. HTTP Flood：大量针对同一URL地址的HTTPGET请求
    2. SYN-Flood：存在大量未完成第三次握手的TCP连接
  2. 防护措施：部署WAF、购买流量清洗服务、购买流量清洗设备、服务器限制用户连接数、防火墙限制单个用户连接数量。
计算机网络软考中级网络工程师基础精讲
许可协议

本文采用 署名-非商业性使用-相同方式共享 4.0 国际 许可协议，转载请注明出处。

站内搜索

没有找到内容！