网络安全介绍.ppt

Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,Click to edit Master title style,文档来源于网络，文档所提供的信息仅供参考之用，不能作为科学依据，请勿模仿。文档如有不当之处，请联系本人或网站删除。,一、我国网络现状,1、上网人数激增,中国网民人数增长情况,2、网络安全事件频发,3、攻击手段多样,二、网络攻击方法及原理,1、黑客简史,（1）影视中的黑客,黑客帝国,浪漫主义的黑客电影,浪漫主义的黑客电影,箭鱼行动,写实主义的黑客电影,虎胆龙威,4,恐怖主义的黑客电影,黑客悲情,中国特色黑客电影,（2）黑客起源的背景,起源地：,美国,精神支柱：,对技术的渴求,对自由的渴求,历史背景：,越战与反战活动,马丁路德金与自由,嬉皮士与非主流文化,电话飞客与计算机革命,（3）著名黑客,罗伯特莫里斯,1988年，莫里斯蠕虫病毒震撼了整个世界。由原本寂寂无名的大学生罗伯特莫里斯制造的这个蠕虫病毒入侵了大约6000个大学和军事机构的计算机，使之瘫痪。此后，从CIH到美丽杀病毒，从尼姆达到红色代码，病毒、蠕虫的发展愈演愈烈,凯文米特尼克,美国,20,世纪最著名的黑客之一，,社会工程学,的创始人,1979,年他和他的伙伴侵入了北美空防指挥部。,1983,年的电影,战争游戏,演绎了同样的故事，在片中，以凯文为原型的少年黑客几乎引发了第三次世界大战,（4）中国的“黑客文化”,中国缺乏欧美抚育黑客文化的土壤,缺少庞大的中产阶层,缺少丰富的技术积累,中国的黑客文化的“侠”,侠之大者，为国为民,侠之小者，除暴安良,（5）中国“黑客”重要历史事件,1998年印尼事件,以八至六人为单位，向印尼政府网站的信箱中发送垃圾邮件,用,Ping,的方式攻击印尼网站,中国黑客最初的团结与坚强的精神，为后来的中国红客的形成铺垫了基础,技术性黑客牵头组建了“中国黑客紧急会议中心”负责对印尼网站攻击期间的协调工作,1999年南联盟事件,中国黑客袭击了美国能源部、内政部及其所属的美国家公园管理处的网站,大规模的攻击致使白宫网站三天失灵,绿色兵团南北分拆事件,1997,年，中国最老牌的黑客组织“绿色兵团”成立，黑客从此有了自己的江湖,2000,年,3,月，“绿色兵团”与中联公司合作投资，并在北京招募成员注册了北京中联绿盟信息技术公司,同年,7,月，由于商业问题，北京绿盟与上海绿盟因内部原因合作破裂,中美五一黑客大战事件,04,年初，四川站开始负责美国,IP,段的收集，扫描,NT,主机与,UNIX,主机，并启动的四十多台跳板主机全速扫描一些美国,IP,段的网站。,使用一些常见的系统漏洞，在三个小时之内入侵了五个网站，其中三个被更换了页面，另外两个作了跳板,5,月,1,日，中国鹰派“五月之鹰行动指挥中心”正式成立,晚,11,时，山东站成员扫描出,IP,段的美国主机漏洞，然后，上传木马和被黑页面。几小时后，这些主机“都见上帝去了”,美黑客以嚣张的气焰攻击国内的网站。至,5,月,3,日，国内已有,400,多个网站沦陷。入侵者破坏手段已不是停留在修改页面上，而是删除重要数据，使服务器彻底瘫痪,使用飘叶邮件炸弹及,PING,不断地向白宫等重点网站发数据包，使美国黑客陷入了“人民战争的汪洋大海”中去,5,月,8,日，红客联盟和中国鹰派共同宣布停止对美攻击，四川站也停火,直至,5,月,8,日战斗结束，美国共有,1600,多个网站遭到了不同程度的破坏，包括美国劳工部、美国加利福尼亚能源部、日美社会文化交流会、白宫历史协会、,UPI,新闻服务网、华盛顿海军通信站等。连安全性很强的美国白宫网站，都被,DDOS(,分布式拒绝服务,),被迫关闭了,2,小时,（6）黑客的分类,灰帽子破解者,破解已有系统,发现问题,/,漏洞,突破极限,/,禁制,展现自我,计算机,为人民服务,漏洞发现,-Flashsky,软件破解,-0 Day,工具提供,-Glacier,白帽子创新者,设计新系统,打破常规,精研技术,勇于创新,没有最好，,只有更好,MS -Bill Gates,GNU -,R.Stallman,Linux -,Linus,善,黑帽子破坏者,随意使用资源,恶意破坏,散播蠕虫病毒,商业间谍,人不为己，,天诛地灭,入侵者,-K.,米特尼克,CIH -,陈盈豪,攻击,Yahoo,者,-,匿名,恶,渴求自由,（7）所谓黑客语言,H4x3r 14n9u493 i5 4 diff3r3n7 14n9u493 fr0m 3n91i5h.,w3 c4n find 7hi5 14n9u493 in h4x3r5 885,IRC 0r 07h3r Ch477in9 p14c3.,常见替换,A=4,B=8,E=3,G=9,l=1,O=0,S=5,t=7,Z=2,常见缩写,CK =x,You=u,Are =r,See =c,And=n/&,Not =!,2、攻击阶段划分和思路及操作,预攻击,内容：,获得域名及IP分布,获得拓扑及OS等,获得端口和服务,获得应用系统情况,跟踪新漏洞发布,目的：,收集信息，进行进一步攻击决策,攻击,内容：,获得远程权限,进入远程系统,提升本地权限,进一步扩展权限,进行实质性操作,目的：,进行攻击，获得系统的一定权限,后攻击,内容：,删除日志,修补明显的漏洞,植入后门木马,进一步渗透扩展,进入潜伏状态,目的：,消除痕迹，长期维持一定的权限,2、常见攻击及原理,（1）端口扫描,扫描原理,扫描程序是自动检测远端主机或者本地主机安全脆弱性的程序。,扫描的一般步骤,获取主机名与,IP,地址：使用,whois,与,nslookup,等工具,获得操作系统类型信息：最快方法是试图,telnet,该系统,FTP,信息：攻击者将测试是否开放,FTP,服务，匿名,FTP,是否可用，若可用，则试图发掘更多的潜在问题,TCP/UDP,扫描：对于,TCP,，,telnet,可以用来试图与某一特定端口连接，这也是手工扫描的基本方法。从中再分析系统是否开放了,rpc,服务、,finger,、,rusers,和,rwho,等比较危险的服务,扫描程序收集的目标主机的信息,当前主机正在进行什么服务？,哪些用户拥有这些服务？,是否支持匿名登录？,是否有某些网络服务需要鉴别？,常用扫描软件,Nmap(,,www.nmap.org,),Superscan,(,,),Sl,(,,),口令攻击程序有很多，用于攻击UNIX平台的有Crack、CrackerJack、PaceCrack95、Qcrack、John the Ripper、Hades等等；用于攻击Windows 平台的有10phtCrack2.0、ScanNT、NTCrack、Passwd NT等等。,口令防御：用户登录失败的次数；特殊字符的8字节以上的长口令，并且要定期更换口令；要保证口令文件的存储安全。,口令分析方法,穷举法,分析破译法：数学归纳分析或统计,密码破解,John(Crack5(),Word,密码破解,Advanced Office XP Password Recovery,（2）获取口令,（3）放置特洛伊木马程序,特洛伊木马源自于希腊神话，在网络安全领域专指一种黑客程序，它可以直接侵入用户的电脑并进行破坏,它一般包括两个部分，控制端软件和被控端软件。被控端软件常被伪装成工具程序或者游戏等，诱使用户打开带有该软件的邮件附件或从网上直接下载。一旦用户打开了这些邮件的附件或者执行了这些程序之后，它们就会在目标计算机系统中隐藏一个可以在系统启动时悄悄执行的程序。当用户连接到因特网上时，这个程序可以通知攻击者，报告用户的IP地址以及预先设定的端口。攻击者在收到这些信息后，再利用事先潜伏在其中的程序，任意地修改用户的计算机的参数设定、复制文件、窥视用户整个硬盘中的内容等，从而达到控制用户的计算机的目的。,冰河,Wollf（),winshell,（4）网络钓鱼,网络钓鱼(Phishing),“Fishing”和“Phone”的综合词，它利用欺骗性的E-mail和伪造的Web站点来进行诈骗活动，使受骗者泄露自己的重要数据，如信用卡号、用户名和口令等,实例,一恶意网站,，伪装成中国工商银行主页,QQ欺骗,原理,由大量能够实现恶意功能的Bot（主机感染bot程序，僵尸程序）、Command&Control Server和控制者组成，能够受攻击者控制的网络。攻击者在公开或秘密的IRC服务器上开辟私有的聊天频道作为控制频道，僵尸程序中预先已经设定好这些信息，当僵尸计算机运行时，僵尸程序就自动搜索并连接到这些控制频道，接收频道中的所有信息，这样就构成了一个IRC协议的僵尸网络。攻击者通过IRC服务器，向整个僵尸网络内的受控节点发送控制命令，操纵这些“僵尸”进行破坏或者窃取行为。,（5）僵尸网络,（6）DDoS攻击,分布式拒绝服务(DDoS)攻击是DoS 攻击的演进。它的主要特征是利用可能广泛分布于不同网络中的多台主机针对一台目标主机进行有组织的DoS 攻击。多个攻击源的分布式特性使得DDoS攻击较传统的DoS 攻击有着更强的破坏性,通常情况下，攻击者通过多级跳板登录到一个或多个主控端(即客户机)，主控端以多对多的形式控制了大量的傀儡主机（即服务器）。攻击者通过主控端主机，控制傀儡机。傀儡机上运行的服务器程序接收来自主控端的指令并向受害主机发动攻击,DDoS 攻击工具,Trinoo,：较早期的,DDoS,攻击工具，向受害主机随机端口发送大量全零,4,字节长度的,UDP,包，处理这些垃圾数据包的过程中，受害主机的网络性能不断下降，直至发生拒绝服务，乃至崩溃。,Trinoo,并不伪造源,IP,地址，不使用主控端,TFN,：由主控端和傀儡机两部分组成，主要攻击方式有：,TCP SYN,洪泛攻击、,ICMP,洪泛攻击、,UDP,攻击和类,Smurf,型的攻击，能够伪造源地址。,TFN2K,：是由,TFN,发展而来的，新增了一些特性，它的主控端和傀儡机的通信是经过加密的,Stacheldraht,：也是从,TFN,派生出来的，增加了主控端与傀儡机的加密通信能力。可以防范一些基于路由器的过滤机制，且存在内嵌傀儡机升级模块,Smurf,型攻击：是一类攻击形式的总称，一般使用了,ping,请求数据包来进行，傀儡机在对受害主机发动攻击时，将攻击数据包的源地址伪装成受害主机的,IP,地址，每台主机会对收到的源地址为受害者,IP,的,ping,请求进行应答，从而形成攻击数据流,常用攻击方法,网络层,SYN Flood,ICMP Flood,UDP Flood,Ping of Death,应用层,垃圾邮件,CGI,资源耗尽,针对操作系统,winnuke,解剖,SYN Flood,SYN（我可以连接吗？）,ACK（可以）/SYN（请确认！）,攻击者,受害者,伪造地址进行SYN请求,为何还没回应,就是让你白等,不能建立正常的连接,正常tcp connect,攻击者,受害者,大量的tcp connection,这么多需要处理？,不能建立正常的连接,正常tcp connect,正常tcp connect,正常tcp connect,正常tcp connect,正常用户,正常tcp connect,（7）中间人攻击,当攻击者位于一个可以观察或截获两个机器之间的通信的位置时，就可以认为攻击者处于中间人方式。因为很多时候主机之间以明文方式传输有价值的信息，因此攻击者可以很容易地攻入其他机器。对于某些公钥加密的实现，攻击者可以截获并取代密钥，伪装成网络上的两个节点来绕过这种限制。,主机,主机,通信,窃听或篡改,（8）漏洞扫描工具,Nessus,X-Scan,（9）病毒,引导区病毒,文件病毒,硬件病毒,蠕虫,实例,武汉男孩,步行者,（10）嗅探,Ethereal(),Windump(,windump.polito.it/),Xsniff(),（11）Arp欺骗,Xspoof,（12）其它攻击技术,电子邮件攻击,网络监听,缓冲区溢出,三、网络安全防御技术,1、防火墙技术,(1)网络防火墙是借鉴了真正用于防火的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火墙可以使企业内部局域网（LAN）网络与Internet之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络，防止发生不可预测的、潜在破坏性的侵入。,(2)防火墙具有的基本特性,内部网络和外部网络之间的所有网络数据流都必须经过防火墙,只有符合安全策略的数据流才能通过防火墙,防火墙自身应具有非常强的抗攻击能力,（3）防火墙结构,双宿主机防火墙,Internet,Inner network,Terminal,Workstation,Server,Dual-homed host(gateway),Firewall,屏蔽主机防火墙（主机过滤结构,）,Inner network,Terminal,Bastion Host,Server,Internet,Screened Router,Firewall,屏蔽子网防火墙,Internet,Outer Router,Parameter Network,Inner network,Terminal,Workstation,Server,Bastion Host,Inner Router,DMZ,Firewall,使用多堡垒主机,Internet,Outer Router,Parameter network,Inner network,Terminal,Workstation,Server,FTP,Bastion,Inner Router,DMZ,Firewall,WWW Bastion,2 入侵检测系统,（1）定义,入侵,（Intrusion）定义为未经授权的计算机使用者以及不正当使用计算机的合法用户，危害或试图危害资源的完整性、保密性、可用性的行为。,入侵检测,（Intrusion Detection，ID）是通过监测计算机系统的某些信息，加以分析，检测入侵行为，并做出反应。入侵检测系统所检测的系统信息包括系统记录，网络流量，应用程序日志等。,入侵检测系统,（Intrusion Detection System，IDS）是实现入侵检测功能的硬件与软件。入侵检测的研究开始于20世纪80年代，进入90年代入侵检测成为研究与应用的热点，其间出现了许多研究原型与商业产品。入侵检测系统是网络安全的第二道防线。,入侵检测系统,在功能上是入侵防范系统的补充，而并不是入侵防范系统的替代。,（2）功能,保护(入侵的防范),指保护硬件、软件、数据抵御各种攻击的技术。,检测(入侵的检测),研究如何高效正确地检测网络攻击,响应(入侵的响应),是入侵检测之后的处理工作，主要包括损失评估，根除入侵者留下的后门，数据恢复，收集入侵者留下的证据等,容忍,指当一个网络系统遭受非法入侵后，其中的防护安全技术都失效或者不能完全排除入侵所造成的影响时，既是系统的某些组件遭受攻击者的破坏，但容侵系统能自我诊断、恢复和重构，并能为合法用户提供所需的全部或者降级的服务,（3）入侵检测系统结构,CIDF(Common Intrusion Detection Framework)定义了通用的IDS系统结构，它将入侵检测系统分为四个功能模块，如图所示.,Target system,Event,generater,Analysis,engine,Response,unit,Event,database,（4）拓扑,Firewall,Internet,Servers,DMZ,IDS Agent,Intranet,监控中心,router,攻击者,发现攻击,发现攻击,发现攻击,报警,报警,IDS Agent,（5）常用入侵检测方法,贝叶斯推理,神经网络,聚类分析,数据挖掘,机器学习,（6）入侵检测系统实例,BlackICE,Snort,RealSecure,冰之眼,3、密码学,（1）定义,研究编码和解码的学科,(2)常规密码通信系统框图,（3）经典密码系统,DES,加解密步骤相同,性能良好,雪崩效应,弱密钥,RSA,RSA,129 94,年,RSA,130 96,年,RSA,154,（,512,）：每秒百万，,4.210,25,年,AES,未来弹性（整数分解、一般离散对数（,a,x,mod b,c,）、椭圆曲线离散对数）,4网络安全态势感知,（1）信息获取,（2）威胁感知,（3）态势预测,5 病毒检测技术,（1）CV的检测方法,比较法,搜索法,特征字识别,分析法,（2）常用CV检测软件,病毒扫描软件,完整性检查软件,行为封锁软件,（3）商用防病毒软件,国外,Norton,Mcafee,Trend,Kaspersky,国内,360,瑞星,金山,江民,6 密罐技术HONEYPOT,密罐技术就是建立一个虚假的网络，诱惑黑客攻击这个虚假的网络，从而达到保护真正网络的目的。,7 蜜网技术,实质上是一种研究型、高交互型的蜜罐技术,体系框架,包括一个或多个蜜罐,多层次的数据控制机制高度可控,全面的数据捕获机制,辅助研究人员对攻击数据进行深入分析,四、未来的展望,1、多源数据整合,2、攻击行为建模（黑客、网络）,3、多攻击阶段关联,4、攻击行为预测,5、网络安全态势感知,6、网络安全系统自认知能力,Join Us&Enjoy In It,