网闸——从网络攻击看网络隔离的OSI模型

从网络攻击看网络隔离的OSI模型

谈网络隔离，首先要谈网络存在什么安全风险。什么是风险？扫描、攻击、入侵、木马等都

是风险。要全面地描述所有的网络攻击很困难，可能有上千种，但完全可以对网络攻击进行

总结和归纳，以便定位在TCP/IP的OSI模型中的哪一层，从而找出解决的办法。


对OSI模型的物理层的攻击：OSI模型的最底层是物理层。物理层的工作分为两块，一是硬件

的正常工作，二是物理层的逻辑表示。除非黑客进入了机房并接触到硬件，否则很难直接去

攻击并破坏硬件。但物理层的逻辑表示是可以被攻击的。以以太层为例，黑客很难接触到用

户计算机上的以太卡，但黑客可能伪造用户以太卡的MAC地址，从而攻击物理层的逻辑表示

，达到拒绝服务的目的。物理层的硬件是无法攻击的，但逻辑表示是可以被攻击的，因此网

络隔离必须中断物理层的逻辑表示。


对OSI模型的数据链路的攻击：数据链路是一个通信协议的概念。确保在物理层上可以建立

一个进行数据通信的数据链路。每一种物理硬件都存在自己特有的通信协议，支持特有的数

据链路方式。如X.25的Modem上支持的X.25协议，以太卡上支持以太协议等。对数据链路层

是可以进行入侵、拒绝服务和信息窃取如侦听等攻击的。事实上在互联网没有诞生之前，黑

客这个名词就存在。早期的电话公司如Bell的通信系统和电话网络就饱受通信黑客攻击之苦

。早期的电话拨号BBS如FIDONET，也遭受到黑客大量的攻击，尽管它采用的是Kermit协议而

不是今天TCP/IP Over PPP协议。网络隔离必须中断通讯连接。


对OSI模型的网络层（IP）协议的攻击：对IP协议的攻击，是目前互联网最主要的攻击。


IP协议存在的主要缺陷包括IP通信不需用进行身份认证，IP数据传输没有加密，IP的分组和

重组机制不完善，IP地址的表示不需要真实并确认真假等。像我们熟知的IP碎片攻击，源路

由攻击，IP欺骗，IP伪造，Ping Flooding和Ping of Death等大量的攻击，都是利用IP协议

的缺陷对IP协议进行攻击的。因此网络隔离必须剥离IP协议。


对OSI模型的传输层（TCP/UDP）协议的攻击：TCP/IP协议对应其OSI模型中的传输层，主要

是TCP和UDP协议。TCP协议被攻击，主要是利用TCP的三次握手机制。像目前流行的SYN

Flooding攻击，ACK Flooding攻击等都是利用TCP的三次握手机制。对UDP协议的攻击，主要

进行流量攻击，强化UDP通信的不可靠性，以达到拒绝服务的目的。因此网络隔离必需剥离

TCP/UDP协议。


对OSI模型的会话层的攻击：这是一种典型的应用攻击。攻击者通过窃取合法用户的会话信

息，然后冒充该用户，以达到非授权访问的目的，或窃取合法用户的权限和信息。基于会话

攻击最典型的案例是攻击Cookies或Token。在一些应用中，如电子商务、电子政务或BBS等

，用户进行身份认证登陆后，用户有一套完整的权限控制机制，而这种机制很多是利用会话

来实现的。一旦黑客成功地对会话进行攻击，就掌握了用户的权限。网络隔离必需剥离会话

协议对OSI模型的表现层的攻击：OSI的表现层是通过格式翻译，数据的压缩与解压缩，数据

的加密与解密，来提供标准的应用接口，保证不同的系统可以进行正常的应用通信。实际上

是解决开放平台的问题，即多平台的计算机如何通过相同的开放网络来实现应用通信。对表

现层的攻击，当然是针对格式翻译和数据处理来进行攻击的。典型的案例是Unicode攻击，

以及计算溢出攻击。网络隔离必需剥离应用的表现层。


对OSI模型应用层的攻击：对应用层的攻击是目前最为严重的攻击。对应用层的攻击包括的

面非常宽，如对应用协议漏洞的攻击，对应用数据的攻击，对应用操作系统平台的攻击等。

对应用层攻击方法包括：未经审查的Web方式的信息录入；应用权限的访问控制被攻破；身

份认证和会话管理被攻破；跨站点的执行代码的漏洞；缓存溢出漏洞；弹出漏洞；错误处理

不当；不安全存储；拒绝服务；不安全配置管理。网络隔离必需剥离应用协议。


所有的网络攻击一定位于网络OSI模型的某一层，否则就不是网络攻击。既然TCP/IP协议

OSI模型的全部七层都存在被攻击的风险，因此必须断开OSI模型的全部七层才能保证安全。

网络隔离断开了OSI模型的全部七层，彻底地消除了来自网络的安全威胁。网络隔离的OSI模

型图如下：