第十五章 网络安全主动防御技术（笔记）

1. 入侵阻断技术

• 通过目标对象的网络攻击行为进行阻断，从而有效达到保护目标对象的目的
• 入侵防御系统，简称为IPS，是根据网络包上下文进行攻击行为判断来控制转发的。
• IPS具有防火墙和入侵检测多种功能，且受限于IPS在网络中的位置，IPS需要解决网络通讯的瓶颈和高可用性问题
• 商业的IPS都是居于硬件方式来实现或者基于旁路阻断来实现并对网络延迟影响不大
• 入侵阻断技术的应用：屏蔽指定的IP、端口、域名、封锁指定的URL、为零日漏洞提供热补丁等。

2. 软件白名单技术

• 设置可信任的软件白名单列表，阻止恶意软件的相关网络信息系统运行

• • 构建安全的可信移动互联网安全生态

• • • 移动互联网白名单应用审查的三个环节：初审、复审、终审
    • 移动互联网白名单应用发布过程需要先公式7天后在发布两个阶段

• • 恶意代码防护

• • • 传统的杀毒软件基于(黑名单，特征库)来匹配恶意代码的，这种对新的零日漏洞难以查杀。利用软件白名单技术可以解决这个问题。

• • 白环境保护

• • • 只有可信的设备才可以接入控制网络，只有可信任的消息才能在网络上传输，只有可信的软件才允许被执行。

3. 网络清洗技术

• 通过异常网络流量来检测，将原本发送目标的设备系统流量牵引到流量清洗中心，清洗完成后在把留存的正常流量传送到目标设备系统。

• • 流量检测：基于深度数据包检测技术(DPI)检测、分析网络流量数据，快速识别隐藏背景流量中的攻击包，以实现精准的流量识别和清洗
  • 流量牵引与清洗：当检测到网络攻击流量时，将流量转发到流量清洗中心进行清洗，从而使得恶意流量无法影响到目标系统
  • 流量回注：将清洗的干净流量回送给目标系统，用户正常的网络流量不受清洗影响

• 网络流量清洗技术应用：畸形数据报文过滤、拒绝服务攻击、web应用保护、DDOS高防IP服务

4. 可信计算技术

• 可信计算机系统：可信根、可信硬件平台、可信操作系统和可信应用系统
• TMP是可信计算平台的信任根，是可信计算的关键部件
• TCG定义可信计算平台的信任根包括三个根：可信的度量根RTM、可信存储根RTS和信息报告根RTR

5. 数字水印技术

• 数字水印的嵌入方法为空间域方法和变换域方法

• • 空间域方法：将水印信息直接叠加到数字载体的空间域上
  • 变换域方法：利用扩展频谱通讯技术和Hash函数

• 数字水印技术应用

• • 版权保护：把版权信息嵌入数字作品中，标识数字作品版权或添加数字作品的版权电子证据
  • 信息隐藏：把敏感信息嵌入图像、声音等载体中，以达到隐藏敏感信息的目的
  • 信息溯源：把文件使用者的身份标识嵌入受保护的电子文件中，然后通过电子文件的水印追踪文件来源，防止电子文件按非授权扩散
  • 访问控制：将访问控制信息嵌入需要保护的载体中，在用户访问受保护的载体之前通过检测水印以判断是否有权访问，从而起到保护作用

6. 网络攻击陷阱技术(蜜罐技术)

• 网络诱骗技术是一种主动防御技术，如蜜罐主机技术、陷阱网络技术等

• • 蜜罐技术主要包括空系统、镜像系统、虚拟系统

• • • 空系统：标准的机器，上面运行者真实完整的操作系统和应用，不提供邮件、Web等服务
    • 镜像系统：把真机的内容完全复制一份，欺骗攻击者进行攻击，由完整应用服务。
    • 虚拟系统：一台真实的物理机上运行仿真软件，虚拟成多个系统

• • 陷阱网络技术是由多个蜜罐主机、路由器、防火墙、IDS、审计系统共同组成，为攻击者制造一个攻击环境，供防御者研究攻击行为
  • 陷阱网络要实现蜜罐系统、数据控制系统、数据捕获系统、数据记录、数据分析、数据管理等功能
  • 三代陷阱网络区别：

• • • 第一代：完整网络架构、含防火墙、路由器、日志系统、蜜罐主机等
    • 第二代：实现了数据控制系统、数据捕获系统的集成
    • 第三代：虚拟网络陷阱，实现了蜜罐系统、数据控制系统、数据捕获系统、数据记录等

7. 入侵容忍及系统生存技术

• 技术目标是实现网络安全弹性、确保网络信息具有容错能力、可恢复能力、保护业务持续运营
• 生存性3R方法将系统分发成为不可攻破的安全核和可恢复部分

• • 3R策略：抵抗、识别、恢复
  • 3R方法假定：基本服务不可攻破、入侵模式有限集、维持攻防动态平衡

• 入侵容忍系统生存技术主要有：分布式共识、主动恢复、门限密码、多样性设置等

8. 隐私保护技术

• 隐私可以分为：身份隐私、属性隐私、社交关系隐私、位置轨迹隐私等。
• 隐私保护技术的目标是通过对隐私数据进行安全修改处理，使得修改的数据可以公开发布而不会遭到隐私攻击
• 隐私保护技术主要有K-匿名方法和差分隐私方法

• • k-匿名方法：对数据中的所有元组进行泛化处理，使得不在与任何人一一对应
  • 差分隐私方法：对保护数据集添加随机噪声而构成新数据集，使得攻击者无法通过已知推出源数据集和新数据集的差异，从而保护数据隐私。

• 隐私保护常见的技术措施：抑制、泛化、置换、扰动、裁剪

• • 抑制：通过将数据置空的方式限制数据发布
  • 泛化：通过降低数据精度来提供匿名方法
  • 置换：改变数据的属主
  • 扰动：在数据发布时添加一定的噪声，包括数据增删、变换等。
  • 裁剪：将敏感数据分开发布