网络安全基础知识

一、网络安全常识及术语

• 资产

        任何对组织业务具有价值的信息资产，包括计算机硬件、通信设施、IT 环境、数据库、软件、文档资料、信息服务和人员等。

• 网络安全

        网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断的状态。

• 漏洞

        漏洞又被称为脆弱性或弱点（Weakness），是指信息资产及其安全措施在安全方面的不足和弱点。漏洞一旦被利用，即会对资产造成影响。通常一个网络的漏洞/弱点可被分为：技术漏洞、配置漏洞和安全策略漏洞。

• 0day和1day

        0day是指负责应用程序的程序员或供应商所未知的软件缺陷，尚未公开的漏洞。1day就是刚被官方公布的漏洞，刚被公布的漏洞会有一个打补丁的时间差，这个时间差可以被黑客所利用。

• 后门

        后门是一种用于获得对程序或在线服务访问权限的秘密方式。一般是绕过安全控制而获取对程序或系统访问权的方法。

• exploit

        exploit通常是针对已知的漏洞或弱点开发的，这些漏洞可能存在于操作系统、应用程序、网络协议或其他网络相关技术中。攻击者通过发现和利用这些漏洞，可以绕过系统的安全措施并获得控制权限。

• 攻击

        攻击是指由威胁源所实施的、导致安全事件发生的行为，它是漏洞利用和实现威胁的过程，一旦攻击得手即会造成影响。

• 安全策略

        安全策略是指在某个安全区域内，所有与安全活动相关的一套规则，它声明哪些行为是能做的、被允许的，哪些行为是不能做的、被禁止的。这些规则是由此安全区域中所设立的一个安全权利机构建立的，并由安全控制机构来描述、实施或实现的。

• 安全机制

        安全机制是一种用于解决和处理某种安全问题的方法，通常分为预防、检测和恢复三种类型。网络安全中绝大多数安全服务和安全机制都是建立在密码技术的基础之上的，它们通过密码学方法对数据信息进行加密和解密来实现网络安全的目标要求。

• 社会工程学

        社会工程学就是利用人性之中的弱点（贪婪、恐惧、性欲……）等心理学上的弱点来影响别人，最终达到自己不可告人的目的。

• APT

        APT是黑客以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。

二、 网络安全三要素

• 保密性

        确保信息不暴露给未授权的实体或进程。保证即使信息被窃听或者截取，攻击者也无法知晓信息的真实内容。可以对抗网络攻击中的被动攻击。

• 完整性

        只有得到允许的人才能修改实体或进程，并且能够判别出实体或进程是否已被修改。完整性鉴别机制，保证只有得到允许的人才能修改数据 。可以防篡改。

• 可用性

        得到授权的实体可获得服务，攻击者不能占用所有的资源而阻碍授权者的工作。用访问控制机制，阻止非授权用户进入网络。使静态信息可见，动态信息可操作，防止业务突然中断。

三、出现网络安全问题的主要原因

• 网络的脆弱性
• 网络环境的开放性
• 协议栈自身的脆弱性

        TCP/IP协议族是使用最广泛的网络互连协议。但由于协议在设计之初对安全考虑的不够，导致协议存在着一些安全风险问题。Internet首先应用于研究环境，针对少量、可信的的用户群体，网络安全问题不是主要的考虑因素。因此，在TCP/IP协议栈中，绝大多数协议没有提供必要的安全机制。

 

• 操作系统自身的漏洞
• 终端的脆弱性，常见的恶意代码包括病毒、蠕虫、木马。

• 其他恶意攻击

        社工攻击： 是一种利用"社会工程学" 来实施的网络攻击行为。 在计算机科学中，社会工程学指的是通过与他人的合法地交流，来使其心理受到影响， 做出某些动作或者是透露一些机密信息的方式。这通常被认为是一种欺诈他人以收集信息、行骗和入侵计算机系统的行为。

        防御手段：定期更换各种系统账号密码，使用高强度密码等。

        拖库、洗库、撞库：拖库是指黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走的行为。 洗库是指黑客在取得大量的用户数据之后，通过一系列的技术手段和黑色产业链将有价值的用户数据变现。最后黑客将得到的数据在其它网站上进行尝试登陆，叫做撞库，因为很多用户喜欢使用统一的用户名密码。

        防御手段：重要网站/APP的密码一定要独立 、电脑勤打补丁，安装一款杀毒软件、尽量不使用IE浏览器、使用正版软件、不要在公共场合使用公共无线做有关私密信息的事、自己的无线AP，用安全的加密方式（如WPA2），密码复杂些、电脑习惯锁屏等。

         跳板攻击：攻击者通常并不直接从自己的系统向目标发动攻击，而是先攻破若干中间系统,让它们成为“跳板”，再通过这些“跳板”完成攻击行动。跳板攻击就是通过他人的计算机攻击目标通过跳板实施攻击.     

        防御手段：安装防火墙，控制流量进出。系统默认不使用超级管理员用户登录，使用普通用户登录，且做好权限控制。

        钓鱼攻击/鱼叉式钓鱼攻击：钓鱼式攻击是一种企图从电子通讯中，通过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪诈骗过程。 鱼叉式网络钓鱼指针对特定目标进行攻击的网络钓鱼攻击。

        防御手段：保证网络站点与用户之间的安全传输，加强网络站点的认证过程，即时清除网钓邮件， 加强网络站点的监管。

        水坑攻击：在受害者必经之路设置一个水坑，就是陷阱。常见的做法是攻击者分析攻击目标的上网活动规律，经常访问哪些网站，然后利用网站漏洞在其中植入攻击代码，用户访问该网站就会中招。

        防御手段：在浏览器或其他软件上，通常会通过零日漏洞感染网站。 针对已知漏洞的防御措施是应用最新的软件修补程序来消除允许该网站受到感染的漏洞。用户监控可以帮助确保他们的所有软件都运行最新版本。如果恶意内容被检测到，运维人员可以监控他们的网站和网络，然后阻止流量。

四、威胁模型 

         网络安全威胁是指可能破坏某一网络资源的机密性、完整性以及可用性等安全基本要素的来源或原因。使用威胁模型分析(Threat Model Analysis, TMA) 可以帮助确定产品、应用程序、网络或环境中存在的风险和可能的攻击路径。TMA 的目标是确定哪些威胁需要缓解以及如何缓解。具体来说，威胁模型对于帮助企业应对安全威胁具有五个方面的具体作用：

• 评估风险更加有效。传统的风险评估定级方法是按照通用的安全管理框架和标准（如 ISO 27001 ）进行操作，但实际结果存在发布的标准不适应新情况、规定的措施不够深入等问题，威胁模型分析可以弥补照搬安全行业标准进行管理所带来的缺陷。
• 帮助深入理解企业系统。威胁模型的建立要求对企业内部的信息系统资产进行评估，对各个子系统之间的支持配合方式做深入详细的了解。使用威胁模型进行安全管理有助于深入理解整个企业系统。
•  提高相关员工安全意识。在建立安全模型过程中，为深入了解系统功能和运行情况，需要与企业中的工作人员进行沟通，在此过程中有助于系统使用者树立起更好的安全意识，以便在以后的运维和管理工作中更加严谨和规范。
• 安全管理措施次序优化。威胁模型可以帮助企业摒弃通用的、泛泛的管理措施，结合企业自身具体情况，着眼于可能面临的具体风险，选择合理的、有针对性的、有效的安全管理措施并优化其次序。
• 提高安全管理效率。安全评估在时间上是受限的，因此必须把有限的时间集中在值得关注的点上。威胁模型可以让企业的安全管理人员更加透彻的理解各种攻击方式，从而明白真正具有威胁的攻击路径，避免无意义的时间消耗。

五、防火墙

1、什么是防火墙

        防火墙(Firewall)是指为了防止发生火灾时，火势蔓延至建筑物内其他区域而设置的、由防火材质(主要是石膏板)铸成的墙将自外而内的网络入侵行为看作火灾，那么防止这种入侵的对策即可称为防火墙。

2、防火墙的分类

        主要分类两大类：软件型防火墙和硬件型防火墙。

        软件型防火墙又分为个人防火墙和网关型防火墙。个人防火墙主要监控所有到达个人计算机的通信流量，而网关型防火墙则需要监控来自多数不特定终端设备的通信流量，并在它们通过网关时实施策略控制。

3、防火墙的技术类型

• 包过滤型
• 应用网关型
• 电路层网关型
• 状态检测型
• 新一代防护墙

4、防火墙的接口模式

L3模式：也称为NAT模式，是与路由器接口一样拥有IP地址的接口。在进行路由选择、NAT以及连接IPSec- VPN或SSL-VPN时，必须使用L3模式的接口 可以通过网络管理人员输入静态配置IP地址，也可以通过PPPoE、DHCP客户端动态分配来获取接口 的IP地址。在L3模式下进行路由时，需要使用虚拟路由器。

L2模式：也称为透传模式或者透明模式(L2透明模式),是与交换机接口一样拥有同样MAC地址、可进行桥接的接口。进行IP地址分配时需要使用VLAN。

L1模式：也称为虚拟线缆模式。把两对儿网络接口组成一组，流量在其中一方的接口上输入并在另一块接口处 输出。该模式下无法进行路由和桥接。

TAP模式：与交换机镜像端口(SPAN端口)相连接的模式。通过对交换机转发的数据帧进行复制并收集，可以将 通信内容可视化并检测恶意软件。由于不是内联结构，因此该模式无法阻止那些没有必要的通信过程。