导图社区 网络工程师 - 网络安全
- 96
- 10
- 2
- 举报
网络工程师 - 网络安全
这是一篇关于网络工程师-网络安全思维导图，包含虚拟专用网(VPN)、信息加密技术、网络安全基础知识等。
编辑于2023-11-10 16:41:14- 网络安全
- 网络工程师
- 相似推荐
- 大纲
网络安全
考纲要求 根据考试大纲中相应的考核要求，在“网络安全”知识模块上，要求考生掌握以下方面的内容。（1)保密，包括私钥加密体制和公钥加密体制。（2)安全体制，包括认证、数字签名、完整性、访问控制。（3)安全协议。（4)病毒防范和入侵检测。（5)访问控制与防火墙，包括ACL 命令、过滤规则和防火墙配置。（6)数字证书。（7)VPN 配置。（8) PGP.
网络安全基础知识
1. 常见的网络安全威胁 常见的网络安全威胁包括： ● 窃听（即非授权访问、信息泄露、资源盗取等） ● 假冒（假扮另一个实体，如网站假冒、IP欺骗等） ● 重放● 破坏完整性● 拒绝服务● 特洛伊木马、病毒● 流量分析
2.网络安全漏洞 通常，入侵者寻找网络存在的安全弱点，从缺口处无声无息地进入网络。因而开发黑客反击武器的思想是找出现行网络中的安全弱点，演示、测试这些安全漏洞，然后指出应如何堵住安全漏洞。当前，信息系统的安全性非常弱，主要体现在操作系统、计算机网络和数据库管理系统都存在安全隐患，这些安全隐患表现在以下方面。 （1)物理安全性。凡是能够让非授权机器物理接入的地方都会存在潜在的安全问题，也就是能让接入用户做本不允许做的事情。 （2)软件安全漏洞。“特权”软件中带有恶意的程序代码，从而可以导致其获得额外的权限。 （3)不兼容使用安全漏洞。当系统管理员把软件和硬件捆绑在一起时，从安全的角度来看，可以认为系统将有可能产生严重安全隐患。所谓的不兼容性问题，即把两个毫无关系但有用的事物连接在一起，从而导致了安全漏洞。一旦系统建立和运行，这种问题很难被发现。 （4)选择合适的安全哲理。这是一种对安全概念的理解和直觉。完美的软件，受保护的硬件和兼容部件并不能保证正常而有效地工作，除非用户选择了适当的安全策略和打开了能增加其系统安全的部件。
3.网络攻击
攻击是指任何的非授权行为。攻击的范围从简单的使服务器无法提供正常的服务到完全破坏、控制服务器。在网络上成功实施的攻击级别依赖于用户采取的安全措施。 攻击的法律定义是“攻击仅仅发生在入侵行为完全完成而且入侵者已经在目标网络内”。专家的观点则是“可能使一个网络受到破坏的所有行为都被认定为攻击”。
网络攻击分类
（1)被动攻击。攻击者通过监视所有信息流以获得某些秘密。这种攻击可以是基于网络（跟踪通信链路）或基于系统（用秘密抓取数据的特洛伊木马代替系统部件）的。被动攻击是最难被检测到的，故对付这种攻击的重点是预防，主要手段有数据加密等。院线这种政书涉及数据流的修改或创建错误
（2)主动攻击。攻击者试图突破网络的安全防线。这种攻击涉及数据流的修改或创建错误流，主要攻击形式有假冒、重放、欺骗、消息纂改和拒绝服务等。这种攻击无法预防但却易于检测，故对付的重点是测而不是防，主要手段有防火墙、入侵检测技术等。
物理临近攻击
内部人员攻击
分发攻击
木马
C&C（Command and Control）是僵尸网络的核心部分，攻击者在维护、管理僵尸网络的时候，需要通过C&C来完成和僵尸机之间的通讯，达到远程控制的目的。
4.安全措施的目标
（1)访问控制。确保会话对方（人或计算机）有权做它所声称的事情。 （2)认证。确保会话对方的资源（人或计算机）与它声称的相一致。 （3)完整性。确保接收到的信息与发送的一致。 （4)审计。确保任何发生的交易在事后可以被证实，发信者和收信者都认为交换发生过，即所谓的不可抵赖性。 （5)保密。确保敏感信息不被窃听。
5. 主要安全技术 ● 数据加密：重新组合信息，只有收发双方才能够还原信息。 ● 数据签名：用于证明确实是由发送者签发的。 ● 身份认证：鉴别用户的合法性。 ● 防火墙：位于两个网络之间，通过规则控制数据包出入。 ● 内容检查：对数据内容的安全性进行检查，防止病毒、木马的破坏。
6.系统安全基础知识
安全的五个基本要素 ● 机密性（确保信息不暴露给未授权的实体或进程） ● 完整性（只有得到允许的人才能修改数据，并能够判别数据是 否已被篡改） ● 可用性（得到授权的实体在需要时可访问数据） ● 可控性（可以控制授权范围内的信息流向和行为方式） ● 可审查性（对出现的安全问题提供调查的依据和手段） 对于网络及网络交易，信息安全的基本需求是： ● 机密性 ● 完整性 ● 不可抵赖性（所有参与者都不可否认或抵赖曾经完成的操作）
4. 从OSI七层网络结构的角度来看： ● 在物理层采用防窃听技术来加强通信线路的安全； ● 在数据链路层使用通信保密技术进行链路加密，使用L2TP、PPTP来实现二层隧道通信； ● 在网络层采用防火墙来处理信息内外网络边界的流动，利用IPSec建立透明的安全加密信道； ● 在传输层使用SSL对低层安全服务进行抽象和屏蔽； ● 在传输层和应用层之间建立中间件层次，以实现通用的安全服务功能，通过定义统一的安全服务接口向应用层提供身份认证、访问控制和数据加密等安全服务
习题
[ ]为防止 WWW服务器与浏览器之间传输的信息被窃听，可以采取（D）来防止该事件的发生。 A．禁止浏览器运行 Active X 控件 B．索取 WWW服务器的 CA 证书 C．将WWW服务器地址放入浏览器的可信站点区域 D．使用SSL对传输的信息进行加密
[ ]2017 上午42 下列攻击行为中属于典型被动攻击的是（C)。 A ．拒绝服务攻击 B．会话拦截 C ．系统干涉 D ．修改数据命令 解析： ●被动攻击是对系统的保密性进行攻击，如窃听、对文件非法复制等，以 取他人的信息。分为两类：获取消息内容、业务流分析。 ●主动攻击：拒绝服务攻击（ DoS )、分布式拒绝服务系统干涉 临近物理攻击 可属于主动、也可属于被动攻击
[ ]不属于主动攻击（A）。 A. 流量分析 B. 重放 C. IP 地址欺骗 D. 拒绝服务
DDOS 攻击： （2022年下半年考题） 从截图显示的信息中可以看到，每一行截获的数据相隔的时间非常的短，也就意味着在单位时间内，发送了大量的数据包。从 Source 这一列可以看到每个数据包的源地址都各不相同，从 Destination 可以看到目标地址都是指向同一个主机。由此可以判断发动的攻击是 DDoS 。 解决 DDoS 攻击的方法： 配置最小的访问策略、购买流量清洗服务、停止不必要的服务端口、启用防火墙的DDOS功能；
信息加密技术
1、数据加密技术 数据加密技是指将信息（明文）经过加密钥匙及加密函数转换，变成无意义的密文，而接收方则将此密文经过解密函数、解密钥匙还原成明文的过程。根据加密密钥和解密密钥是否相同（是否可以由一个推导出另一个），可以分为： ● 对称加密技术（私钥加密算法） ● 非对称加密技术（公钥加密算法）
2、对称加密技术 DES/3DES/IDEA/AES/SM1/SM2/RC2/RC4/RC5 对称加密技术是指加密密钥和解密密钥相同，或者虽然不同，但从其中一个可以很容易地推导出另一个。 ● 优点加密和解密速度快，加密强度高，算法公开。 ● 缺点实现密钥的秘密分发困难，在用户量大的情况下密钥管理复杂，而且无法完成身份认证等功能，不便于应用在网络开放的环境中。 常见的对称加密算法： ● DES(Data Encryption Standard)：是一种迭代的分组密码，输入/输出都是64位，使用一个 56位的密钥和附加的8位奇偶校验位。 ● 3DES：由于DES的密钥长度较短，为了提高安全性，出现了使 用112位密钥对数据进行三次加密的算法，称为3DES。 ● IDEA（International Data Encryption Algorithm）算法：其明文和密文都是64位，密钥长度为128位。 PGP(Pretty Good Privacy）就使用IDEA作为其分组加密算法，使用了其商业版权； 安全套接字层SSL（Secure Socket Layer）也将IDEA包含在其加密算法库SSLRef中； IDEA算法专利的所有者Ascom公司也推出了一系列基于IDEA算法的安全产品，包括：基于IDEA的Exchang全 插件、IDEA加密芯片、IDEA加密软件包等。 ● AES(Advanced Encryption Standard)(高级加密标准) 密钥是AES算法实现加密和解密的根本。对称加密算法之所以对称，是因为这类算法对明文的加密和解密需要使用同一个密钥。 分组加密算法 AES支持三种长度的密钥：128位，192位，256位 ● 流加密算法和RC4，其他都是分组加密；
1.DES数据加密标准 DES算法为对称密码体制。明文按64位进行分组，密钥长64位 （56位的密钥、8位奇偶校验位，第8、16、..…、64位是校验位）， 分组后对64位的数据块进行16轮编码，在每轮编码时都使用不同 的子密钥，子密钥的长度均为48位，由56位的完整密钥得出。
2. 3DES加密算法 标准定义了三种密钥选项： 密钥选项2：K1和K2是独立的，而K3=K1 密钥选项3：三个密钥均相等，即K1=K2=K3
IDEA国际数据加密算法 IDEA是在DES算法的基础上发展出来的，类似于3DES，明文和密文都是64比特，但IDEA的密钥为128位。
3、非对称加密技术（公钥加密算法）RSA/ECC/SM2 非对称密钥技术是指加密密钥和解密密钥完全不同，并且不可能 从任何一个推导出另一个。 ●优点是：密钥管理简单，可实现数字签名和身份认证等功能，是目前电子商务等技术的核心基础。 ●缺点是：算法复杂，加密数据的速度和效率较低。 RSA算法 由密钥管理中心生成一对RSA密钥，一个称为私钥，由用户保存；另一个称为公钥，可对外公开。 ●使用RSA加密大量的数据速度太慢，因此RSA广泛用于密钥的分发。 ●RSA算法基于一个十分简单的数论事实：将两个大素数相乘十分容易，但是想要对其乘积进行因式分解却极其困难（大素数分解） RSA算法解决了大量网络用户密钥管理的难题。但RSA并不能替代DES，它们的优缺点正好互补: ●RSA的密钥很长，加密速度慢； ●DES加密速度快，适合加密较长的报文； 所以，在传送信息时，常采用私钥加密方法与公钥加密方法相结合的方式，利用DES或者IDEA等私钥加密算法来进行大容量数的加密，采用RSA等公钥加密算法来传递私钥加密算法所使用的密钥
我国的加密技术
习题
[ ]2017 上半年37.38.PGP是一种用于邮件加密的工具，可提供数据加密和数字签名服务，使用（B）进行数据加密，使用（C）进行数据完整性验证 A . RSA B. IDEA C .MD5 D . SHA -1 解析：PGP 是一个基于 RSA 公钥加密体系的邮件加密软件 PGP 随机产生一个128位的 IDEA 会话密钥，用来加密报文。使用 RSA 来加密会话密钥。使用MD5 一个128位的二进制数作为“邮件文摘”对文件完整性进行验址。
[ ]DES加密算法的密钥长度为56位，三重DES的密钥长度为（C ） 位。A．168 B．128 C．112 D．56
[ ]以下关于三重DES加密的叙述中，正确的是（B）。 A．三重DES加密使用一个密钥进行三次加密 B．三重DES加密使用两个密钥进行三次加密 C．三重DES加密使用三个密钥进行三次加密 D．三重DES加密的密钥长度是DES密钥长度的
认证技术与数字签名
认证技术分为实体认证和消息认证两种。 ●实体认证是识别通信对方的身份，防止假冒，可以使用数字签名的方法。 ●消息认证是验证消息在传输或存储过程中有没有被篡改，通常使用报文摘要的方法。 ●认证方法有账户名/口令认证、使用摘要算法认证、基于PKI的认证
1、信息摘要 信息摘要又称为数字摘要。它由一个单向Hash加密函数对消息进行作用而产生。且不同的明文摘要成密文，其结果总是不同的，如果信息在传输过程中被改变了哪怕1位，则接收者通过对收到信息产生新的摘要，与原摘要也不一样，这样就可知道信息是否被改变了。因此信息摘要保证了信息的完整性。信息摘要可以用于创建数字签名。对于特定的文件而言，信息摘要是唯一的。而且不同的文件必将产生不同的信息摘要。 常见的信息摘要算法包括 ●MD5 ：信息摘要算法第五版，输入以512位为分组，进行处理，产生一个128位的输出 ●SHA ：安全散列算法，也是按512位的分组进行处理，产生一个160位的输出它们可以用来保护数据的完整性。 SHA-1（英语：Secure Hash Algorithm 1，中文名：安全散列算法1）是一种密码散列函数，美国国家安全局设计，并由美国国家标准技术研究所（NIST）发布为联邦数据处理标准（FIPS）。SHA-1可以生成一个被称为消息摘要的160位（20字节）散列值，散列值通常的呈现形式为40个十六进制数。
2、数字签名 数字签名是指通过一个单向函数对要传送的报文进行处理，得到用以认证报文来源并核实报文是否发生变化的一个字母数字串。它与数据加密技术一起，构建起了安全的商业加密体系。传统的数据加密是保护数据的最基本方法，它只能够防止第三者获得真实的数据(数据的机密性)，而数字签名则可以解决否 认、伪造、篡改和冒充的问题(数据的完整性和不可抵赖性)。数字签名使用的是公钥算法（非对称密钥技术）。 数字签名的过程： (1)发送者A先通过散列函数对要发送的信息(M)计算消息摘要(MD)，也就是提取原文的特征。 (2)发送者A将原文(M)和消息摘要(MD)用自己的私钥(PrA)进行加密，就是完成签名动作，其信息可以表示为PrA (M+MD)。 (3)然后以接收者B的公钥(PB)作为密钥，对这个信息包进行再次加密，得到PB(PrA(M+MD))。 (4)当接收者收到后，首先用自己的私钥PrB进行解密，从而得到PrA(M+MD) (5)再利用A的公钥(PA)进行解密，如果能够解密，显然说明该数据是A发送的，同时也就将得到原文M和消息摘要MD。 (6)然后对原文M计算消息摘要，得到新的MD，与收到MD进行比较，如果 一致，说明该数据在传输时未被篡改。
实际应用中公钥加密和数字签名流程
数字加密和数字签名的区别 ●数字加密是用接收者的公钥加密，接收者用自己的私钥解密。 ●数字签名是：将摘要信息用发送者的私钥加密，与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要信息，然后用HASH函数对收到的原文产生一个新摘要信息，与解密的摘要信息对比
3、RADIUS协议 RADIUS（远程用户拨入验证服务）是同时兼顾验证(authentication)授权(authorization)及计费(accounting)三种服务的一种网络传输协议。RADIUS是一种C/S结构的协议，通过UDP进行通信。可以采用PAP、CHAP或者Unix登录认证等多种方式。
习题
[ ]下面不属于数字签名作用的是（D） 。 A．接收者可验证消息来源的真实性 B．发送者无法否认发送过该消息 C．接收者无法伪造或篡改消息 D．可验证接收者的合法性
[ ]下列算法中，可用于报文认证的是（D），可以提供数字签名的是（A）。 A. RSA B. IDEA C. RC4 D. MD5
[ ]AAA 服务器(AAA server)是一种处理用户访问请求的框架协议，它主要功能有 3 个，但是不包括（C），通常用来实现 AAA 服务的协议是（B）。 A、身份认证 B、访问授权 C、数据加密 D、计费 A、Kerberos B、RADIUS C、SSL D、IPSec
[ ]下面可用于消息认证的算法是 (C） 。 A．DES B．PGP C．MD5 D．KMI
[ ](2017年上半年试题45)SHA-1是一种将不同长度的输入信息转换成（45)位固定长度摘要的算法。
[ ]下列不属于报文认证算法的是（C）。 A. MD5 B. SHA-1 C. RC4 D. HMAC 解析：HMAC是密钥相关的哈希运算消息认证码，HMAC运算利用哈希算法，以一个密钥和一个消息为输入，生成一个消息摘要作为输出。 高级项目经理 高级项目经理 任铄任铄
数字证书
数字证书 数字证书就是互联网通讯中标志通讯各方身份信息的一串数字，是一种在Internet上验证通信实体身份的方式。作用类似于我们的身份证。它由一个由权威机构CA(证书授权中 心)发行的，人们可以在网上用它来识别对方的身份。数字证书是一个经CA数字签名的，包含公开密钥拥有者信息以及公开密钥的文件。数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密和解密。每个用户设定两个密钥： ●私钥：仅本人知道的专用密钥，用来解密和签名 ●公钥：由本人公开，用于加密和验证签名 ● 发送机密文件。发送方使用接收方的公钥进行加密，接收方使用自己的私钥解密。 ●数据签名。接收方能够通过数字证书来确认发送方的身份，发送方无法抵赖。数字签名可以保证信息更改后会被发现。
数字证书的格式 数字证书的格式一般使用X.509国际标准。X.509用户公钥证书由可信赖的证书权威机构CA创建，并且由CA或用户存放在X.500公共目录中以供其他用户访问。数字证书包括版本号、序列号(CA下发的每个证书的序列号都是唯一的)、签名算法标识符、发行者名称、有效性、主体名称、主体的公开密钥信息、发行者唯一识别符、主体唯一识别符、扩充域、签名（即CA用自己的私钥对上述域进行数字签名的结果，即CA中心对用户证书的签名）。
数字证书的获取 任何一个用户只要得到CA中心的公钥，就可以得到该CA中心为该用户签署的公钥。因为证书是不可伪造的，因此对于存放证书的目录无须施加特别的保护
证书的吊销 证书到了有效期、用户私钥已泄露、用户放弃使用原CA中心的服务、CA中心私钥泄露都需吊销证书。这时CA中心会维护一个证书吊销列表(CRL)，以供大家查询。
密钥管理体制 密钥管理是指处理密钥自产生到销毁的整个过程的有关问题，包括系统的初始化、密钥的产生、存储、备份/恢复、装入、分配、保护、更新、控制、丢失、吊销及销毁。主要的密钥管理体制有三种： ●适用于封闭网、以传统的密钥管理中心为代表的KMI机制 ●适用于开放网的PKI机制 ●适用于规模化专用网的SPK机制
[ ]用户B收到经A数字签名后的消息M，为验证消息的真实性，首先需要从CA获取用户A的数字证书，该数字证书包含（A），可以利用（A）验证该证书的真伪，然后利用（C）验证M的真实性。 A. A的公钥 B. A的私钥 C. B的公钥 D. B的私钥 A. CA的公钥 B. B的私钥 C. A的公钥 D. B的公钥 A. CA的公钥 B. B的私钥 C. A的公钥 D. B的公钥
虚拟专用网(VPN)
虚拟专用网(VPN Virtual Private Network) 虚拟专用网是企业网在因特网等公共网络上的延伸，它通过一个私有的通道在公共网络上创建一个安全的私有连接。从本质上说VPN是一个虚信道，它可用来连接两个专用网，通过可靠的加密技术保证其安全性，并且作为公共网络的一部分存在的。
VPN的关键技术 ●隧道技术 ●加解密技术 ●密钥管理技术 ●身份认证技术
(1)隧道技术 是一种数据封装协议，即将一种协议封装在另一种协议中传输，从而实现被封装协议对封装协议的透明性。根据工作的层次分为： ●二层隧道技术 PPTP（点到点隧道协议）\ L2F（二层转发协议）\L2TP（二层隧道协议） ●三层隧道技术 IPSec（IP层安全协议）\ 移动IP协议 \ 虚拟隧道协议(VTP)
(2)加解密技术 VPN可以利用已有的加解密技术实现保密通信，保证公司业务和个人通信的安全。
VPN的分类与应用
VPN技术有哪些分类 1、按照数据传输方式分类： ●隧道模式（Tunneling Mode）：通过在原始数据包外包含新的数据包头，将数据加密后传输，通常用于远程访问、连接不同地区的私有网络等场景。 ●透明模式（Transparent Mode）：在不修改数据包的情况下，直接对数据包进行加密，通常用于保障公共网络传输的安全性。 2、根据网络类型分类： ●远程访问VPN：用于远程工作人员访问企业内部网络资源。例如，PPTP、L2TP、SSL VPN等。 ●点对点VPN：两个设备之间建立VPN连接，用于连接分布在不同地方的局域网。例如，IPSec适用于点对点场景。 3、根据安全协议分类： ●PPTP协议：使用GRE协议封装，加密强度较低，适用于不需要太高安全度的场景。 ●L2TP协议：基于PPTP协议，加入L2TP协议使其更安全，适用于需要中等安全度的场景。 ●IPSec协议：加密强度高，安全性好，但设置较为复杂，适用于需要高度安全保障的场景。
PPTP（点对点隧道协议）是英文Point to Point Tunneling Protocol的缩写，默认端口号：1723 (TCP)，是一种支持多协议虚拟专用网络的网络技术，它工作在第二层。通过该协议，远程用户能够通过Microsoft Windows操作系统以及其它装有点对点协议的系统安全访问公司网络，并能拨号连入本地ISP，通过Internet安全链接到公司网络。 L2TP（第二层隧道协议）是英文Layer 2 Tunneling Protocol的缩写，默认端口号：1701 (UDP)，是一种工业标准的Internet隧道协议，功能大致和PPTP协议类似，比如同样可以对网络数据流进行加密。不过也有不同之处，比如PPTP要求网络为IP网络，L2TP要求面向数据包的点对点连接；PPTP使用单一隧道，L2TP使用多隧道；L2TP提供包头压缩、隧道验证，而PPTP不支持。 PPP点到点协议（Point to Point Protocol，PPP）是为在同等单元之间传输数据包这样的简单链路设计的链路层协议。 这种链路提供全双工操作，并按照顺序传递数据包。设计目的主要是用来通过拨号或专线方式建立点对点连接发送数据，使其成为各种主机、网桥和路由器之间简单连接的一种共通的解决方案。PPP具有以下功能： （1）PPP具有动态分配IP地址的能力，允许在连接时刻协商IP地址； （2）PPP支持多种网络协议，比如TCP/IP、NetBEUI、NWLINK等； （3）PPP具有错误检测能力，但不具备纠错能力，所以ppp是不可靠传输协议； （4）无重传的机制，网络开销小，速度快。 （5）PPP具有身份验证功能。 （6） PPP可以用于多种类型的物理介质上，包括串口线、电话线、移动电话和光纤（例如SDH），PPP也用于Internet接入。
VPN隧道技术 ●PPTP:在逻辑上延伸了PPP会话，从而形成了虚拟的远程拨号。在协议实现时，使用了与PPP相同的认证机制，包括EAP（扩身份认证协议）、MS-CHAP（微软询问握手认证协议）、CHAP（询问握手认证协议）、SPAP（Shiva口令字认证协议）、PAP（口令字认证协议）。另外，在Windows 2000中，PPP使用了MPPE（微软点对点加密技术）进行加密，因此必须采用EAP或MS-CHAP身份认证技术 ●L2F:可以在多种介质上建立多协议的安全VPN通信方式，它将链路层的协议封装起来，以使网络的链路层完全独立于用户的链路层协议。 ●L2TP:是PPTP和L2F结合的产物。 L2TP协议将PPP帧封装后，可以通过IP、X.25、FR或ATM进行传输。创建L2TP隧道时必须使用与PPP连接相同的认证机制，它结合了L2F和PPTP的优点，可以让用户从客户端或接入服务器端发起VPN连接。 ●IPSec:是由安全协议、密钥管理协议、安全关联、认证和加密算法四部分构成的安全结构。安全协议在IP协议中增加两个基于密码的安全机制：认证头(AH)和封装安全载荷(ESP)。 AH:是一段报文认证代码，在发送IP包前已计算好。发送方用加密密钥计算出AH，接收方用同一（对称加密技术）或另一密钥（非对称加密技术）对其进行验证。 ESP:对整个IP包进行封装加密，通常使用DES算法。
IPSEC（Internet Protocol Security）技术能够提供哪些安全服务 1.身份认证：IPSec可以验证通信双方的身份，确保只有合法的用户才能访问被保护的资源。 2.数据完整性：IPSec使用一种称为哈希函数的算法，对数据进行散列运算，以检查数据是否被篡改。如果数据传输过程中发生任何变化，接收方将发现数据不完整并且拒绝处理数据。 3.数据机密性：IPSec使用加密算法对传输的数据进行加密以保护数据不被未授权的人员获取。 4.反重放攻击保护：IPSec在通信建立时，请求发送方发送一个唯一的标识符，每次通信时该标识符都会改变。这个标识符能够保护数据不被重复使用，从而避免了攻击者利用数据重用的缺点。 5.防止拒绝服务攻击：IPSec可以根据安全策略对流量进行限制，拦截来自未授权的流量，减少对被保护的资源的攻击
IPSEC的技术架构
[2020 ]● IPSec ：是由安全协议、密钥管理协议、安全关联、认证和加密算法四部分 成的安全结构。 全协议在 IP 协议中増加两个基于密码的安全机制：认证头( AH ）和封装安全载荷（ ESP )。 (1) AH ：是一段报文认证代码，在发送 IP 包前已计算好。发送方用加密密钥计算出 AH ，接收方用同一（对称加密技术）或另一密钥（非对称加密技术）对其进行验证。 (2) ESP ：对整个 IP 包进行封装加密，通常使用 DES 算法。
IPSec VPN体系结构 安全协议：负责保护数据，AH/ESP 工作模式：传输模式：实现端到端保护，隧道模式：实现站点到站点保护 密钥交换：IKE：为安全协议执行协商 AH 数据的完整性校验和源验证、有限的抗重播能力、不能提供数据加密功能 ESP 保证数据的机密性、数据的完整性校验和源验证、一定的抗重播能力
IKE（Internet Key Exchange） 协议是用于在IPsec（Internet Protocol security）加密协议中建立安全通道的协议。它的作用是为IPsec建立安全的密钥和认证通道，确保在互联网上进行的通信和数据传输是安全的和私密的。 IKE协议用于以下几个方面： 确认通信双方：IKE协议使用数字证书或预共享密码来建立加密通道，确保只有受信任的通信双方可以进行通信。 协商加密规则：IKE协议会协商加密算法、密钥长度、散列算法等加密规则，确保使用最新的安全技术来加密数据。 建立密钥：IKE协议生成用于 IPsec 加密和身份验证的密钥。 维护安全通道：IKE协议还负责维护 IPsec 安全通道，以确保通信过程中的数据保持机密性、完整性和可用性
IPSec的两种模式 传输模式（Transport Mode） 是IPSec的默认模式,又称端到端（End-to-End）模式，它适用于两台主机之间进行IPSec通信。 传输模式下只对IP负载进行保护，可能是TCP/UDP/ICMP协议，也可能是AH/ESP协议。传输模式只为上层协议提供安全保护，在此种模式下，参与通信的双方主机都必须安装IPSec协议，而且它不能隐藏主机的IP地址。启用IPSec传输模式后，IPSec会在传输层包的前面增加AH/ESP头部或同时增加两种头部，构成一个AH/ESP数据包，然后添加IP头部组成IP包。在接收方，首先处理的是IP，然后再做IPSec处理，最后再将载荷数据交给上层协议。 隧道模式（Tunnel Mode） 使用在两台网关之间，站点到站点（Site-to-Site）的通信。参与通信的两个网关实际是为了两个以其为边界的网络中的计算机提供安全通信的服务。隧道模式为整个IP包提供保护，为IP协议本身而不只是上层协议提供安全保护。通常情况下只要使用IPSec的双方有一方是安全网关，就必须使用隧道模式，隧道模式的一个优点是可以隐藏内部主机和服务器的IP地址。大部分VPN都使用隧道模式，因为它不仅对整个原始报文加密，还对通信的源地址和目的地址进行部分和全部加密，只需要在安全网关，而不需要在内部主机上安装VPN软件，期间所有加密和 解密以及协商操作均由前者负责完成。
传输模式AH封装
传输模式ESP封装
隧道模式AH封装
隧道模式ESP封装
习题
[ ](每空2分，共6分）两台计算机通过IPSec协议通信之前必须先进行协商，协商结果称为SA(Security Association).IKE(Internet Key Exchange)协议将协商工作分为两个阶段，第一阶段协商（1)模式SA(又称IKE SA),新建一个安全的、经过身份验证的通信管道，之后在第二阶段中协商（SA(又称IPSec SA)后，便可以通过这个安全的信道来通信。 （1)~(2)备选答案A. 主 B快速 C. 传输 D. 信道 （3)备选答案A.display ike proposal B.display ipsec proposal C.display ike sa D.display ike peer
[ ](每空2分，共4分）在Windows Server 2008 R2网关上配置 IPSec策略，包括：创建IPSec策略、（4) 、 (5)以及进行策略指派4个步骤。（4)~(5)备选答案A. 配置本地安全策略D. 设置账户密码策略xB. 创建IP安全策略E. 配置隧道规则xC. 创建筛选器列表F. 构建组策略对象
建立ipsec 隧道要点
IPSec VPN 的配置要点：①首先需要保障网络是联通的，因此需要配置好各个接口的 IP 地址 和对应的路由田；②需要配置 ACL ，利用 ACL 控制进入 IP SEC VPN 隧道的流量；③配置 IPsec 安全提议；④配置 IKE 对等体；⑤配置安全策略，将之前定义的 ACL 、 IPsec 安全提议和 IKE 对等体关联起来； ⑥在接口上应用安全策略
防火墙技术
防火墙 防火墙是一个由软件或硬件设备构成，在内部网和外部网之间、专用网与公共网之间的信息安全防护系统，依照特定的规则，允许或者限制传输的数据通过。防火墙的作用是防止未经授权的通信进出被保护的网络。
防火墙的功能 防火墙具有如下功能： ●访问控制功能 ●内容控制功能 ●全面的日志功能 ●集中管理功能
网络安全设计 在保护内部网络的基础上，对外提供服务的服务器进行保护。
DMZ区：放置需要从外部网络访问的、非商业机密信息的服务 器，例如，Web服务器、FTP服务器、E-mail服务器、应用网关 等。
防火墙工作的三种模式： 路由模式：以第三层对外连接（接口具有IP 地址） 透明模式：通过第二层对外连接（接口无IP 地址） 混合模式：防火墙同时具有工作在路由模式和透明模式的接口（某些接口具有IP 地址，某些接口无IP 地址）
防火墙结构 屏蔽路由器（包过滤型防火墙） 2.双穴主机模式 3.屏蔽主机模式 4.屏蔽子网模式
1．屏蔽路由器（包过滤防火墙） 对每一个接收到的数据包的包头，按照包过滤规则进行判定，与规则相匹配的包依据路由信息继续转发，否则就丢弃包过滤是在IP层实现的，包过滤根据数据包的源IP地址、目的IP地 址、协议类型（TCP包、UDP包、ICMP包）、源端口、目的端口等包头信息及数据包传输方向等信息来判断是否允许数据包通过。
●优点：处理速度快、费用低、对用户透明。 ●缺点：维护比较困难，只能阻止少部分IP欺骗，不支持有效的 用户认证，日志功能有限，过滤规则增加会大大降低吞叶量， 无法对信息提供全面控制。 ●适用场合：非集中化管理的机构、没有强大的集中安全策略的 机构、网络的主机较少、主要依赖于主机安全来防止入侵
2．双穴主机模式 是由一台至少装有两块网卡的堡垒主机作为防火墙，位于内外网络之间，实现物理上的隔开
●优点：安全性比屏蔽路由器高。 ●缺点：入侵者得到双穴主机的访问权，内部网络就会被入侵， 因此需具有强大的身份认证系统，才可以阻挡来自外部不可信 网络的非法入侵。
3．屏蔽主机模式 屏蔽主机模式是指通过一个单独的路由器和内部网络上的堡垒主机共同构成防火墙，主要通过数据包过滤实现内部、外部网络的隔离和对内网的保护。这种模式有两道屏障，一道是屏蔽路由器，另一道是堡垒主机。
4．屏蔽子网模式 屏蔽子网模式采用两个屏蔽路由器和一个堡垒主机，在内外网络之间建立了一个被隔离的子网，定义为DMZ网络，称非军事区。
入侵检测系统与入侵防御系统
入侵检测 入侵检测是对入侵行为的检测。它通过收集和分析网络行为、安全日志、审计数据、计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。
入侵检测系统(IDS intrusion detection system) 是一种主动保护自己，使网络和系统免遭非法攻击的网络安全技术，它依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或攻击结果，以保证网络系统资源的机密性、完整性和可用性。IDS是一种积极主动的安全防护技术。
IDS的功能 IDS包括数据提取、入侵分析、响应处理三大部分，另外还可以结合安全知识库、数据存储等功能模块，提供更为完善的安全检测技术分析功能
IDS分类 IDS可以按照基于数据源的分类、基于检测方法的分类，根据不同 的分类方法，则有不同的IDS。
1．基于数据源的分类 (1)基于主机的入侵检测 (2)基于网络的入侵检测 (3)混合型
(1)基于主机的入侵检测(HIDS) 原理是根据主机的审计数据和系统日志发现可疑事件。该系统通常运行在被监测的主机或服务器上，实时检测主机安全性方面诸如操作系统日志文件、审核日志文件、应用程序日志文件等的情况，其效果依赖于数据的准确性以及安全事件的定
(2)基于网络的入侵检测(NIDS) 数据源是网络上的数据包，将一台机器的网卡设置于混杂模式，监听所有本网段内的数据包并进行判断。网络型入侵检测系统担负着保护整个网段的任务。它不停地监视网段中的各种数据包，对每一个可疑的数据包进行特征分析，如果数据包与内置的某些规则吻合，入侵检测系统就会发出警报甚至直接切断网络连接。NIDS系统通常放置于企业内网与外网的访问出口上，如路由器
(3)混合型IDS 基于主机的IDS适合于以数据或应用服务器为中心的网络系统，对那些已取得系统访问权限的用户对系统的操作进行监控。基于网络的IDS能够监控网络外部用户的入侵和侦察行为。混合型IDS是基于主机和基于网络的IDS的结合，它是前两种方案的互补，还提供了入侵检测的集中管理，实现对入侵行为的全方位检测
IDS应当旁路部署在所有关注流量都必须流经的链路上。 IDS部署在尽可能靠近攻击源或尽可能靠近受保护资源的位置，如： ●服务器区域的交换机上； ● Internet接入路由器之后的第一台交换机上； ● 重点保护网段的局域网交换机上
2．基于检测方法的分类 (1)异常检测 (2)误用检测
入侵防御系统(IPS Intrusion Prevention System) 是一种主动的、积极的入侵防范及阻止系统，它部署在网络的进出口处，当检测到攻击企图后，自动地将攻击包丢掉或采取措施将攻击源阻断。IPS的检测功能类似于IDS，但IPS检测到攻击后会采取行动阻止攻击，可以说IPS是建立在IDS发展的基础上的新生网络安全产品。
入侵防御的优势： 入侵防御是种既能发现又能阻止入侵行为的新安全防御技术。通过检测发现网络入侵后，能自动丢弃入侵报文或者阻断攻击源，从而从根本上避免攻击行为。入侵防御的主要优势有如下几点： ●实时阻断攻击：设备采用直路方式部署在网络中，能够在检测到入侵时，实时对入侵活动和攻击性网络流量进行拦截，把其对网络的入侵降到最低。 ●深层防护：由于新型的攻击都隐藏在TCP/IP协议的应用层里，入侵防御能检测报文应用层的内容，还可以对网络数据流重组进行协议分析和检测，并根据攻击类型、策略等来确定哪些流量应该被拦截。 ●全方位防护：入侵防御可以提供针对蠕虫、病毒、木马、僵尸网络、间谍软件、广告软件、CGI（Common Gateway Interface）攻击、跨站脚本攻击、注入攻击、目录遍历、信息泄露、远程文件包含攻击、溢出攻击、代码执行、拒绝服务、扫描工具、后门等攻击的防护措施，全方位防御各种攻击，保护网络安全。 ●内外兼防：入侵防御不但可以防止来自于企业外部的攻击，还可以防止发自于企业内部的攻击。系统对经过的流量都可以进行检测，既可以对服务器进行防护，也可以对客户端进行防护。 ●不断升级，精准防护：入侵防御特征库会持续的更新，以保持最高水平的安全性。
IPS与IDS的区别 IPS和IDS的部署方式不同： ● IDS产品在网络中是旁路式工作 IDS（Intrusion Detection System）入侵检测系统，IDS对那些异常的、可能是入侵行为的数据进行检测和报警，告知使用者网络中的实时状况，并提供相应的解决、处理方法，是一种侧重于风险管理的安全功能。 ● IPS产品在网络中是串接式工作 串接式工作保证所有网络数据都经过IPS设备，IPS检测数据流中的恶意代码，核对策略，在未转发到服务器之前，将信息包或数据流拦截。是一种侧重于风险控制的安全功能。入侵防御技术在传统IDS的基础上增加了强大的防御功能
入侵防御系统的种类 ● 基于主机的入侵防护 ● 基于网络的入侵防护 ● 基于应用的入侵防护
入侵防御系统面临的挑战 ● 单点故障 ● 性能瓶颈 ● 误报和漏报
习题
[ ]IDS设备的主要作用是（C） 。 A．用户认证B．报文认证C．入侵检测D．数据加密
网络安全技术与协议
PGP技术 PGP是一个基于RSA公钥加密体系的邮件加密协议。 ●用它对邮件加密以防止非授权者阅读，还能对邮件加上数字签 名从而使收信人可以确认邮件的发送者，并能确信邮件没有被篡改。它结合了RSA和IDEA的链式加密法。 ●PGP的工作过程是用一个随机生成的密钥（每次加密不同）通过IDEA算法对明文加密，然后用RSA算法对该密钥加密。因此它既有RSA的保密性，又获得了IDEA算法的快捷性。PGP的主要特征： ●使用PGP对邮件加密，以防止非法阅读。 ●能给加密的邮件追加数字签名，从而使收信人进一步确信邮件的发送者，而事先不需要任何保密的渠道用来传递密钥。 ●可以实现只签名而不加密，适用于发表公开声明时证实声明人身份，也可防止声明人抵赖。 ●能够加密文件，包括图形文件、声音文件及其他各类文件。
Kerberos 在分布式网络应用环境中，要想保证其使用的安全性，就必须让工作站能够用可信、安全的方式向服务器证实其身份，否则就会出现许多安全问题。而解决这个问题的技术称为身份认证。常见的身份认证技术包括 ●用户双方指定共享密钥（最不安全） ●使用智能卡生成密钥 ●使用Kerberos服务 ●使用PKI服务（从CA中心获取数字证书方式） Kerberos 工作原理 ●Kerberos并非为每一个服务器构造一个身份认证协议，而是提供一个中心认证服务器，提供用户到服务器和服务器到用户的认证服务。 ●Kerberos的核心是使用DES加密技术，实现最基本的认证服务。
Kerberos认证过程分为3个阶段，6个步骤： 第一阶段：认证服务交换、客户端获取授权服务器访问许可票据。 ①用户A输入自己的用户名，以明文的方式发给认证服务器。 ②认证服务器返回一个会话密钥Ks和一个票据KTGS (A,Ks) ，这个会话密钥是一次性的（也可以使用智 能卡生成），而这两个数据包则是使用用户A 的密钥加密的，返回时将要求其输入密码，并解密数据 第二阶段(③④)：票据许可服务交换，客户端获得应用服务访问许可票据。 ③用户A将获得的票据、要访问的应用服务器名B，以及用会话密钥加密的时间标记（用来防止重发攻击）发送给授权服务器(TGS)。 ④授权服务器(TGS)收到后，返回A和B通信的会话密钥，包括用A的密钥加密和用B的密钥加密的会话密钥KAB。 第三阶段(⑤⑥)：客户端与应用服务器认证交换，客户端最终获得应用服务。 ⑤用户A将从TGS收到的用B密钥加密的会话密钥发给服务器B，并且附上用双方的会话密钥KAB加密的时间标记，以防止重发攻击。 ⑥服务器B进行应答，完成认证过程。Kerberos采用了连续加密的机制来防止会话被劫持。
SSL SSL(安全套接层协议)及其继任者TLS (传输层安全协议)是一种安全协议，为网络通信及数据完整性提供安全保障。 SSL和TLS是工作在传输层的安全协议, 在传输层对网络连接进行加密 (1)SSL协议分为两层 SSL记录协议（SSL Record Protocol） 它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。 SSL握手协议（SSL Handshake Protocol） 它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。 (2) SSL协议提供的服务 ●认证用户和服务器，确保数据发送到正确的客户机和服务器。 ●加密数据以防止数据中途被窃取。 ●维护数据的完整性，确保数据在传输过程中不被改变。
HTTPS HTTPS是以安全为目标的HTTP通道，是对HTTP协议的扩展，是HTTP的安全版。HTTPS是工作在应用层的协议，端口号443 HTTPS和HTTP的区别 HTTPS协议需要到CA申请证书。 HTTP是超文本传输协议，信息是明文传输，HTTPS 则是具有安全性的SSL加密传输协议。 HTTP和HTTPS使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。 HTTP的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比HTTP协议安全。
SET SET协议称为安全电子交易协议。 在网上交易过程中，交易各方都希望验明其他方的身份，以防止被欺骗。针对这种情况，由美国Visa和MasterCard两大信用卡组织共同制定了应用于Internet上的以银行卡为基础，进行在线交易 的安全标准--SET。它采用公钥密码体制和X.509数字证书标准，保障网上购物信息的 安全性 ●SET协议能保证电子交易的机密性，数据完整性，交易行为的不可否认性和身份的合法性。 ●SET协议的参与者有：持卡用户、商家、银行（发卡人）、支付网关、CA中心。
习题
例：Kerberos是一种（C ）。 A．加密算法 B．签名算法 C．认证服务 D．病毒
例：下列（ ）不能提供应用层安全层。 A. S-HTTP B. PGP C. MIME D. SET 解析： S-HTTP(Secure Hypertext Transfer Protocol) 安全超文本传输协议。 它是一种面向安全信息通信的协议，和 HTTP 结合起来使用。 MIME(Multipurpose Internet Mail Extensions)多用途互联网邮件扩展类型。是设定某种扩展名的文件用一种应用程序来打开的方式类型，当该扩展名文件被访问的时候，浏览器会自动使用指定应用程序来打开。
例：PGP (Pretty Good Privacy)是一种电子邮件加密软件包，它提供数据加密和数字签名两种服务，采用（A）进行身份认证，使用（A）（128位密钥）进行数据加密，使用（D）进行数据完整性验证。 A．RSA公钥证书 B．RSA私钥证书 C．Kerboros证书 D．DES私钥证书 A．IDEA B．RSA C．DES D．Diffie-Hellamn A．HASH B．MD5 C．三重DES D．SHA-1