目录
前言
一.数据链路层安全协议简介
1.数据链路安全性
二.局域网数据链路层协议
1.本地链路局域网(LAN)
2.广域网(WAN)
3.IEEE802局域网数据链路层协议
(1)数据链路层包括逻辑链路控制(LLC)
(2)介质访问控制(MAC)子层
(3)IEEE802.3 MAC数据格式
4.局域网数据链路层协议安全问题
(1)共享式以太网中的侦听问题
(2)交换式以太网中的ARP广播问题
前言
本章将会讲解数据链路层上的安全协议
一.数据链路层安全协议简介
通信的每一层中都有自己独特的安全问题,网络安全问题应该在多个协议层,针对不同的弱点解决。就安全而言,数据链路层(第二协议层)的通信连接是较为薄弱的环节。
本章中,我们将集中讨论与数据链路层相关的安全问题。
1.数据链路安全性
数据链路层安全性是指在数据链路各个结点之间能够安全地交换数据。它表现为以下两个方面。
- (1)数据机密性。防止在数据交换过程中数据被非法窃听。
- (2)数据完整性。防止在数据交换过程中数据被非法篡改。
数据交换过程中的数据机密性和完整性主要是通过密码技术实现的,即通信双方必须采用一致的加密算法对数据机密性和密钥交换算法等问题进行协商,并达成一致协议;在数据交换过程中,通信双方必须按所达成的协议进行数据加密和数据认证处理,以保证数据的机密性和完整性。
数据链路层安全协议增强了数据链路层协议的安全性,即在数据链路层的基础上增加了安全算法协商和数据加密/解密处理的功能和过程。
二.局域网数据链路层协议
数据链路层主要是为一个网段或一段介质上结点之间的通信提供数据传输服务。数据链路层提供了数据链路的差错处理与流量控制功能,将不可靠的数据链路转换成可靠的数据链路,同时完成数据帧的发送与接收,为网络层提供传送数据的功能和过程。
根据网络规模的不同,数据链路层的协议可分为两类:
1.本地链路局域网(LAN)
(LAN)中的数据链路层协议,主要通过局域网(L.AN)链路,将本地各个结点相互连接起来,实现数据通信。
2.广域网(WAN)
广域网(WAN)的数据链路层协议,主要通过广域网实现远程结点之间的数据通信。
不同物理链路的数据链路层协议是不同的:
本地链路的数据链路层协议一般采用IEEE802局域网协议标准
广域网链路的数据链路层协议主要采用点对点协议(PPP)
3.IEEE802局域网数据链路层协议
IEEE802规范定义了网卡如何访问传输介质(如光缆、双绞线、无线等),以及如何在传输介质上传输数据的方法,还定义了传输信息的网络设备之间连接建立、维护和拆除途径。
遵循IEEE802标准的产品包括网卡、桥接器、路由器以及其他一些用来建立局场网络的组件。
数据链路层包括逻辑链路控制(LLC)子层和介质访问控制(MAC)子层。
(1)数据链路层包括逻辑链路控制(LLC)
逻辑链路控制(Logical Link Control,LLC)是局域网中数据链路层的上层部分,IEEE
802.2中定义了逻辑链路控制协议。用户的数据链路服务通过LLC子层为网络层提供统一的接口。
(2)介质访问控制(MAC)子层
介质访问控制(medium access control)简称MAC。
是解决当局域网中共用信道的使用产生竞争时,如何分配信道的使用权问题。
MAC子层的主要功能是控制对传输介质的访问,MAC子层有如下两个基本职能。
- (1)数据封装,包括传输之前的帧组合和接收中、接收后的帧解析/差错检测。
- (2)介质访问控制,包括帧传输初始化和传输失败恢复。
(3)IEEE802.3 MAC数据格式
(1)前导码(Preamble)-7字节。字段中1和0交互使用,接收站通过该字段知道导入帧,并且该字段提供了同步化接收物理层帧接收部分和导人比特流的方法。
- (2)帧起始定界符(Start-of-Frame Delimiter)-1字节。字段中1和0交互使用,结尾是两个连续的1,表示下一位是利用目的地址的重复使用字节的重复使用位。
- (3)目的地址(Destination Address)-6字节。该字段用于识别需要接收帧的站。
- (4)源地址(Source Addresses)-6字节。该字段用于识别发送帧的站。
- (5)长度/类型(Length/Type)-2字节。如果是采用可选格式组成帧结构时,该字段既表示包含在帧数据字段中的MAC客户机数据大小,也表示帧类型ID。
- (6)数据(Data)一是一组r(46n1500)字节的任意值序列。帧总值最小为64字节。
- (7)帧校验序列(Frame Check Sequence)-4字节。该序列包括32位的循环冗余校验(CRC)值,由发送MAC方生成,通过接收MAC方进行计算,得出以校验被破坏的帧。
4.局域网数据链路层协议安全问题
通信的每一层中都有自己独特的问题。数据链路层(第二层)的通信连接是较为薄弱的环节,主要的安全问题如下。
(1)共享式以太网中的侦听问题
在共享式以太网中,通信是以广播方式进行的。在理论上,同一广播域内的所有主机都能够访问到在物理媒介上传送的数据包。
但在正常情况下,一台网络主机应该只接收与响应两种数据帧:与自己硬件地址相匹配的数据帧和发向所有主机的广播帧。
在一个实际的系统中,数据的收发由网卡来完成,每张以太网卡拥有一个全球唯一的以太网地址。它是一个48位的二进制数,在以太网卡中内建有一个数据包过滤器,作用是接收以本身网卡的MAC地址为通信目的的数据包和广播数据包,丢弃所有其他无关的数据包,以免除CPU对无关据包做无谓的处理,这是以太网卡在一般情况下的工作方式。
在这种工作方式下,以太网卡只将接收到的数据包与本机有关的部分向上传递。然面数据包过滤器是可以编程禁用的,禁用后,网卡将把接收到的所有数据包向上传递,上一层的软件因此可以监听以太网中其他计算机之间的通信,这种工作模式为混杂模式(Promiscuous
Mode)。多数网卡支持混杂模式,使得采用普通网卡作为网络探针。
实现网络的侦听非常容易。这一方面方便了网络管理员,另一方面,普通用户很容易地侦听到网络通信,对用户的数据通信保密是一个很大的威胁。
(2)交换式以太网中的ARP广播问题
交换式以太网中监听的实施,除了要借助以太网卡的混杂工作模式外,还利用了ARP重定向技术。
ARP(地址解析协议)是TCP/IP协议栈的基础协议之一。ARP提供地址解析服务,用于将32位IP地址映射到以太网的48位硬件地址(MAC地址),以便将报文封装成以太帧发送。其间,ARP的主要功能体现在将上层的IP地址与下层的物理地址进行绑定。
ARP协议虽然是一个高效的数据链路层协议,但是作为一个局域网的协议,它是建立在各主机之间互相信任的基础上的,因此存在一定的安全隐患,内容如下。
- (1)主机地址映射表是基于高速缓存动态更新的,这是ARP协议的特色,也是安全问题之一。由于正常的主机间MAC地址刷新都是有时限的,如果在下次更新之前成功地修改了被攻击主机上的地址缓存,就可以进行假冒。
- (2)ARP请求以广播方式进行。这个问题是不可避免的,正是由于主机不知道通信对方的MAC地址,才需要进行ARP广播请求。这样攻击者就可以伪装ARP应答,与广播者真正要通信的机器进行竞争。还可以确定子网内的主机什么时候会刷新MAC地址缓存,以确定最大时间限度地进行假冒。
- (3)可以随意发送ARP应答包。ARP协议是无状态的,任何主机,即使在没有请求的时候也可以做出应答,只要应答有效,接收到应答包的主机就可以无条件地根据应答包的内容刷新本机高速缓存。
- (4)ARP应答无须认证。ARP协议是一个局域网协议,设计之初,出于传输效率的考虑,在数据链路层就没有做安全上的防范。在使用ARP协议交换MAC时无须认证,只要收到来自局域网内的ARP应答包,就将其中的MAC/IP对刷新到本机的高速缓存中。
创作不易,求关注,点赞,收藏,谢谢~
接下来我将给各位同学划分一张学习计划表!
学习计划
那么问题又来了,作为萌新小白,我应该先学什么,再学什么?
既然你都问的这么直白了,我就告诉你,零基础应该从什么开始学起:
阶段一:初级网络安全工程师
接下来我将给大家安排一个为期1个月的网络安全初级计划,当你学完后,你基本可以从事一份网络安全相关的工作,比如渗透测试、Web渗透、安全服务、安全分析等岗位;其中,如果你等保模块学的好,还可以从事等保工程师。
综合薪资区间6k~15k
1、网络安全理论知识(2天)
①了解行业相关背景,前景,确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。(非常重要)
2、渗透测试基础(1周)
①渗透测试的流程、分类、标准
②信息收集技术:主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理,利用方法、工具(MSF)、绕过IDS和反病毒侦察
④主机攻防演练:MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础(1周)
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全(系统入侵排查/系统加固基础)
4、计算机网络基础(1周)
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析(HTTP、TCP/IP、ARP等)
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御:主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作(2天)
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透(1周)
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具:Nmap、BurpSuite、SQLMap、其他(菜刀、漏扫等)
那么,到此为止,已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗?
阶段二:中级or高级网络安全工程师(看自己能力)
综合薪资区间15k~30k
7、脚本编程学习(4周)
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中,面对复杂多变的网络环境,当常用工具不能满足实际需求的时候,往往需要对现有工具进行扩展,或者编写符合我们要求的工具、自动化脚本,这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中,想要高效地使用自制的脚本工具来实现各种目的,更是需要拥有编程能力。
零基础入门的同学,我建议选择脚本语言Python/PHP/Go/Java中的一种,对常用库进行编程学习
搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP,IDE强烈推荐Sublime;
Python编程学习,学习内容包含:语法、正则、文件、 网络、多线程等常用库,推荐《Python核心编程》,没必要看完
用Python编写漏洞的exp,然后写一个简单的网络爬虫
PHP基本语法学习并书写一个简单的博客系统
熟悉MVC架构,并试着学习一个PHP框架或者Python框架 (可选)
了解Bootstrap的布局或者CSS。
阶段三:顶级网络安全工程师
如果你对网络安全入门感兴趣,那么你点击这里👉CSDN大礼包:《黑客&网络安全入门&进阶学习资源包》免费分享
学习资料分享
当然,只给予计划不给予学习资料的行为无异于耍流氓,这里给大家整理了一份完整版的网络安全(嘿客)全套学习资料已经上传至CSDN官方,朋友们如果需要点击下方链接也可扫描下方微信二v码获取网络工程师全套资料【保证100%免费】