软考笔记——5.2网络安全技术

防火墙是在内部网络和外部因特网之间增加的一道安全防护措施，分为网络级防火墙和应用级防火墙。

网络级防火墙层次低，但是效率高，因为其使用包过滤和状态监测手段，一般只检验网络包外在（起始地址、状态)属性是否异常，若异常，则过滤掉,不与内网通信，因此对应用和用户是透明的。

但是这样的问题是，如果遇到伪装的危险数据包就没办法过滤，此时，就要依靠应用级防火墙，层次高，效率低，因为应用级防火墙会将网络包拆开，具体检查里面的数据是否有问题，会消耗大量时间，造成效率低下，但是安全强度高。

入侵检测系统IDS

防火墙技术主要是分隔来自外网的威胁，却对来自内网的直接攻击无能为力，此时就要用到入侵检测IDS技术，位于防火墙之后的第二道屏障，作为防火墙技术的补充。

原理：监控当前系统/用户行为，使用入侵检测分析引擎进行分析，这里包含一个知识库系统，囊括了历史行为、特定行为模式等操作，将当前行为和知识库进行匹配，就能检测出当前行为是否是入侵行为，如果是入侵，则记录证据并上报给系统和防火墙，交由它们处理。

不同于防火墙，IDS入侵检测系统是一个监听设备，没有跨接在任何链路上,无须网络流量流经它便可以工作。因此，对IDS的部署，唯一的要求是：IDS应当挂接在所有所关注流量都必须流经的链路上。因此，IDS在交换式网络中的位置一般选择在：(1) 尽可能靠近攻击源  (2)尽可能靠近受保护资源

入侵防御系统IPS

IDS和防火墙技术都是在入侵行为已经发生后所做的检测和分析，而IPS是能够提前发现入侵行为，在其还没有进入安全网络之前就防御。在安全网络之前的链路上挂载入侵防御系统IPS，可以实时检测入侵行为，并直接进行阻断，这是与IDS的区别，要注意。

杀毒软件

用于检测和解决计算机病毒，与防火墙和IDS要区分，计算机病毒要靠杀毒软件，防火墙是处理网络上的非法攻击。

蜜罐系统

伪造一个蜜罐网络引诱黑客攻击，蜜罐网络被攻击不影响安全网络，并且可以借此了解黑客攻击的手段和原理，从而对安全系统进行升级和优化。

网络攻击和威胁

计算机病毒和木马

病毒：编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。

木马：是一种后门程序，常被黑客用作控制远程计算机的工具，隐藏在被控制电脑上的一个小程序监控电脑一切操作并盗取信息。

代表性病毒实例：

• 蠕虫病毒（感染EXE文件）：熊猫烧香，罗密欧与朱丽叶，恶鹰，尼姆达，冲击波，欢乐时光。
• 木马: QQ消息尾巴木马，特洛伊木马，x卧底。
• 宏病毒（感染word、excel等文件中的宏变量）：美丽沙，台湾1号。
• CIH病毒：史.上唯一破坏硬件的病毒。
• 红色代码：蠕虫病毒+木马。

 

网络安全协议 

物理层主要使用物理手段，隔离、屏蔽物理设备等，其它层都是靠协议来保证传输的安全，具体如下图所示：

 

SSL协议：安全套接字协议，被设计为加强Web安全传输（HTTP/HTTPS/）的协议，安全性高，和HTTP结合之后，形成HTTPS安全协议，端口号为443.

SSH协议: 安全外壳协议，被设计为加强Telnet/FTP安全的传输协议。

SET协议：安全电子交易协议主要应用于B2C模式（电子商务）中保障支付信息的安全性。SET协议本身比较复杂，设计比较严格，安全性高，它能保证信息传输的机密性、真实性、完整性和不可否认性。SET协议是PKI框架下的一个典型实现，同时也在不断升级和完善，如SET 2. 0将支持借记卡电子交易。

Kerberost协议：是一种网络身份认证协议，该协议的基础是基于信任第三方,它提供了在开放型络中进行身份认证的方法，认证实体可以是用户也可以是用户服务。这种认证不依赖宿主机的操作系统或计算机的IP地址，不需要保证网络上所有计算机的物理安全性，并且假定数据包在传输中可被随机窃取和篡改。

PGP协议：使用RSA公钥证书进行身份认证，使用IDEA (128位密钥) 进行数据加密，使用MD5进行数据完整性验证。

• 发送方A有三个密钥: A的私钥、B的公钥、A生成的一次性对称密钥;
• 接收方B有两个密钥: B的私钥、A的公钥。