网络安全实训Day8

写在前面

网络工程终于讲完了。这星期到了网络安全技术部分。

• 网络安全实训-网络安全技术

• 网络安全概述

  • 信息安全：所有保障计算机硬件、系统、软件、数据不因有意或无意的行为导致的服务中断、数据损坏或丢失等安全事件的保障技术

  • 网络安全：基于计算机网络的信息安全

  • 网络不安全

    • 互联网天然的开放性

    • TCP/IP协议的天然缺陷

      • 缺少保密性：数据窃听

      • 缺少身份源验证机制：身份伪造

      • 缺少数据完整性校验机制：数据篡改

    • 人为原因

  • 常见攻击方式

    • 攻击类型

      • 被动攻击：数据窃听

      • 主动攻击：身份伪造、数据篡改、中断攻击

    • 物理层攻击方式：物理线路损坏、物理线路侦听

    • 数据链路层攻击方式

      • ARP欺骗攻击：攻击者伪装身份来欺骗发起ARP请求的查询者，从而导致查询这发送给目标的数据都会发送给目击者。

    • 网络层的攻击方式：IP Smurf攻击

    • 传输层攻击方式：TCY SYN Flood攻击

    • 应用层攻击

      • 针对数据库攻击

      • 针对操作系统攻击

      • 针对Web服务攻击

  • 网络安全五要素

    • 数据保密性：数据加密

    • 数据完整性：数字签名

    • 数据源可验证性：数字签名

    • 数据可用性：数据备份容灾、攻击防护

    • 数据可控性：控制和审计用户的上网行为

  • 解决方案：防火墙；上网行为管理；VPN

  • 防火墙概述

    • 定义：部署在网络边界上，防御边界一侧对另一侧攻击行为的设备

    • 技术分类

      • 包过滤防火墙

        • 对数据包的五元组（源IP、目的IP、源端口、目的端口、协议类型）逐包检查，判断是否符合过滤规则，丢弃不符合的数据包

        • 逐包检查降低网络传输速度

        • 只检查数据包的头部信息，无法发现数据内容中的安全风险和隐患

      • 应用代理防火墙

        • 对内网服务器提供代理服务，来承受和防护外网用户对内网服务器的攻击

        • 检查数据应用层内容，可以发现数据内容中的安全风险和隐患

      • 状态检测防火墙

        • 对一组五元组相同的数据流只检查首包的五元组，后续数据包依照首包的处理方式进行处理

        • 只检查首包，避免降低网络传输速度

      • 各类专用安全设备

        • WAF

        • IDS/IPS

        • 防DDos

        • 网关防病毒

      • UTM

        • 统一威胁网关，将传统防火墙功能、WAF、IDS/IPS、防DDoS，网关防病毒等专用安全功能全部集成到一个设备中

      • 下一代防火墙（NGFW）

        • 将传统防火墙功能、WAF、IDS/IPS、防DDoS网关防病毒集成到一个设备中

        • 更有效的功能集成

        • 更强大的应用层处理能力

    • 防火墙初始化配置

      • 1.创建区域，把接口加入相应区域

        • 区域类型

          • Trust区域：一般将连接内网的接口加入该区域

          • Untrust区域：一般将连接外网的接口加入该区域

          • DMZ区域：一般将连接服务器的接口加入该区域

          • 自主创建和划分区域

        • 配置命令

          • security-zone name 区域名称

            • 进入某个区域（若区域不存在则创建）

          • import interface 接口名称

            • 将接口加入该区域

      • 2.创建区域间安全策略，放通相关流量

        • acl advanced 3000

          • 创建3000号ACL

        • rule permit ip

          • 允许所有流量

        • zone-pair security source any destination any

          • 配置任意两个区域间的访问控制策略

        • packet-filter 3000

          • 调用ACL3000号

      • 3.为接口配置IP地址

      • 4.配置缺省路由，下一跳指向互联网

      • 5.配置NAPT，使得内网主机可以上网

      • 6.如果内网有三层环境，还需要配置到达内网网段的路由

    • 部署模式

      • 三层部署模式

        • 防火墙的所有接口都工作在第三层模式，防火墙具备路由器的IP地址、路由转发等功能

      • 二层部署模式

        • 防火墙的所有接口都工作在二层模式，防火墙具备交换机的数据帧转发功能。