导图社区 OSG9第十一章 安全网络架构和组件-下
- 22
- 举报
OSG9第十一章 安全网络架构和组件-下
第11章 安全网络架构和组件-下，CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证
编辑于2023-07-14 11:32:12 广东- CISSP
- GBT 35273—2020个人信息安全规范
关于GBT 35273—2020个人信息安全规范的思维导图，本标准规定了开展收集、存储、使用、共享、转让、公开披露、删除等个人信息处理活动应遵循的原则和安全要求。
- OSG9第二十一章 恶意代码和应用攻击
CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证
- OSG9第二十章 软件开发安全
CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证
OSG9第十一章 安全网络架构和组件-下
社区模板帮助中心，点此进入>>
- GBT 35273—2020个人信息安全规范
关于GBT 35273—2020个人信息安全规范的思维导图，本标准规定了开展收集、存储、使用、共享、转让、公开披露、删除等个人信息处理活动应遵循的原则和安全要求。
- OSG9第二十一章 恶意代码和应用攻击
CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证
- OSG9第二十章 软件开发安全
CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证
- 相似推荐
- 大纲
第11章 安全网络架构和组件-下
11.9 安全通信协议
为特定应用程序的通信通道提供安全服务的协议被称为安全通信协议
安全通信协议
IPsec Internet Protocol Security(IPsec)：基于 IP 协议，使用公钥加密系统来提供加密、访问控制、不可否认性和消息验证。
Kerberos： 为用户提供单点登录(SSO)解决方案，并为登录凭证提供保护。
SSH Secure Shell(SSH)：是端到端加密技术的一个很好的例子，流量加密
信令协议： 是一种加密协议，为语音通信、视频会议和文本消息服务提供端到端加密。
安全远程过程调用 Secure Remote Procedure Call(S-RPC)：是用于跨网络服务通信的身份认证服务
传输层安全 Transport Layer Security(TLS)：是一种在 OSI 第4 层运行的加密协议（加密 TCP通信的有效载荷）
TLS特点
支待跨不安全网络的安全客户端－服务器通信，同时防止篡改、欺骗和窃听。
支持单向身份认证
支持使用数字证书进行双向身份认证。
通常应用于 TCP 包的基本有效载荷，使其能封装更高层协议有效载荷。
用于加密用户数据报协议(UDP)和会话初始协议(SIP)连接。
11.10 多层协议的含义
TCP/IP 是一种多层协议。
典型的网络连接在 Web 服务器和 Web 浏览器之间通信时， HTTP 会被封装在 TCP 中，后者被封装在 IP 中，而 IP 被封装在以太网中。这可表述如下：
HTTPS
IPsec
多层协议具有以下优点
可在更高层使用各种协议
加密可包含在各个层中
支持复杂网络结构中的灵活性和弹性
多层协议有一些缺点：
可以使用--隐蔽通道（考点cookie）
通过FTP绕过安全校验，存在极大安全问题
可以绕过过滤器
逻辑上强加的网段边界可被超越
DNP3（分布式网络协议 3)：主要用于电力和水利行业。它用于支待数据采集系统和系统控制设备之间的通信。这包括变电站计算机、远程终端(RTU, 由嵌入式微处理器控制的设备）、智能电子设备(IED)和 SCADA 主站（即控制中心）。
11.10.1 融合协议
融合协议：的主要好处是能使用现有的 TCP/IP 支持网络基础设施来托管特殊服务或专有服务，不 需要独立部署备用网络硬件
融合协议的一些常见示例
存储区域网络(Storage Area Network, SAN) ：SAN 是一个辅助网络（与基础通信网络不同），用于将各种存储设备整合、管理到一个网络可访问的存储容器中。
以太网光纤通道(Fibre Channel over Ethernet, FCoE) ：光纤通道是一种网络数据存储解决方案(SAN 或 NAS) ，允许高达 128 Gbps 的又件传输速弃
多协议标签交换(Multiprotocol Label Switching, MPLS)： MPLS 是一种高吞吐晕的高性能网络技术，它基于短路径标签（而不是更长的网络地址）来引导网络上的数据
互联网小型计算机系统接口(Internet Small Computer System Interface, iSCSI) ： iSCSI是一种基于 lP 的网络存储标准，运行在第 3 层
VPN、 SDN、云、虚拟化、 SOA、微服务(microservices) 、基础设施即代码(IaC)和无服务器架构(serverless architecture) 。
微隔离（Micro segmentation）,零信任原则
11.10.2 网络电话
网络电话(Voice over IP, VoIP)：是一种隧道机制，它将音频、视频和其他数据封装到 IP数据包中，以支持语音呼叫和多媒体协作。H323
VoIP融合协议将音频（和视频）封装技术（作为应用层协议运行）与已建立的 TCP/IP 多层协议栈相结合
VoIP风险
许多 VoIP 工具都可以轻易用来伪造来电显示，因此黑客可以执行 vishing(VoIP 网络钓鱼）攻击或语音垃圾邮件(SPIT)攻击
管理器系统和 VoIP 电话本身可能容易受到主机操作系统攻击和 DoS 攻击
攻击者可能通过伪造呼叫管理器或端点连接协商或响应消息来执行MITM/路径攻击
据部署情况，如果在与桌面和服务器系统相同的交换机上部署 VoIP 电话，也存在 相关风险。这可能允许 802.1X 身份认证伪造以及VLAN 和 VoIP 跳转（即跨越己验证 通道跳转）。
由于 VoIP 流量是未加密网络流量，可通过解码 VoIP 流量来监听 VoIP 通信。
安全实时传输协议或安全 RTP(Secure Real-Time Transport Protocol,SRTP,SRTP)：是对 VoIP 通信中使用的实时传输协议(RTP) 的安全改进。
11.10.3 软件定义网络
软件定义网络(software-defined networking, SDN)：是一种独特的网络操作、设计和管理方法
SDN 解决方案取代了路由器和交换机等传统网络设备，使组织可以选择使用更简单的网络设备（接受 SDN 控制器的指令）处理流量路由
虚拟化网络概念带来的另一个有趣的发展是虚拟 SAN(VSAN)。
软件定义存储(SDS)：是 SDN 的另一个衍生产品。 SDS 是 SAN 或NAS 的 SDN 版本。
软件定义广域网(SDWAN 或 SD-WAN)：是 SDN 的一种演变，用于远程数据中心、远端位置和 WAN 链路上的互服务之间的连接管理和服务控制。
11.11 微分网段
网络被分割或细分为更小的组织单元网络，而不是被配置为单个大型系统集合，这些较 小的单元、分组、段或子网可用于改善网络的各个方面
微分网段作用
提高性能。网络分段可以通过组织体系来提高性能，在这种组织体系中，经常通信的系统位于同一分段中。此外，广播域的划分可以显著提高大型网络的性能
减少通信问题。网络分段可减少拥塞并抑制通信问题，如广播风暴
提供安全。网络分段还可通过隔离通信流量和用户访问权限来提高安全性
虚拟可扩展 LAN(VXLAN)是一种封装协议，可使 VLAN（见第 12 章）跨子网和地理距离扩展
VXLAN已经成为当前构建数据中心的主流技术，是因为它能很好地满足数据中心里虚拟机动态迁移和多租户等需求
11 .12 无线网络
802.11是用于无线网络通信的 IEEE 标准
Wi-Fi 可以在 ad hoc 模式（也称为点对点 Wi-Fi)或基础设施模式下部署，任何两个无线网络设备都可以在没有集中控制权限（即基站或接入点）的情况下进行通信。
Fat AP 是一个完全自主管理的无线系统基站，作为独立的无线解决方案运行。
11.12.1 保护 SSID
SSID：将一个无线网络与另一个无线网络区分开，默认是打开的
SSID 有两种类型
扩展服务集标识符(ESSID):是使用 WAP 时无线网络的名称
基本服务集标识符(BSSID):BSSID 是基站的 MAC 地址，用于区分支持 ESSID 的多个基站
应禁用此 SSID 的默认广播以保待无线网络的安全，使用 WPA2 或WPA3, 这才是可靠的身份认证和加密解决方案。不应试图隐藏无线网络的存在。
攻击者仍可通过无线嗅探器发现 SSID
11.12.2 无线信道
在无线信号的指定频率内对频率的细分被称为信道
2.4GHz 频率范围内，美国有 11 个信道，欧洲有 13 个信道，日本有 14 个信道
当两个或更多个 2.4 GHz 接入点在物理上相对靠近彼此时，一个信道上的信号可能干扰
5GHz 无线设计旨在避免这种信道重叠和干扰问题。相邻的 5GHz 信道不会相互干扰
11.12.3 进行现场调查
无线小区是物理环境中无线设备可以连接到无线接入点的区域。应该调整WAP 的强度， 以最大限度地增加授权用户的访问，并最大限度地减少外部入侵者的访问
现场调查是指使用射频信号检测器对无线信号强度、质量和干扰进行正式评估
现场调查通常用于制作热图。热图是建筑物蓝图上的信号强度测量图
11.12.4 无线安全
IEEE 802.11 标准定义了两种身份认证方法
开放系统身份认证(open system authentication, OSA)：OSA 意味着不需要真正的身份认证。只要可在客户端和 WAP 之间传输无线电信号，就可通信，不提供保密或安全性
共享密钥身份认证(shared key authentication, SKA)：使用 SKA 时，必须在网络通信发生前进行某种形式的身份认证。 802.11 标准为 SKA 定 义了一种被称为有线等效保密的可选技术
802.11 标准
1. WEP
有线等效保密(Wired Equivalent Privacy, WEP) ：由原始的 IEEE 802.11 标准定义。
预定义的共享Rivest Cipher 4(RC4)密钥进行身份认证（即 SKA)和加密
共享密钥是静态的，并在 WAP 和客户端之间共享
WEP 几乎一发布就被破解了
2.WPA
Wi-Fi 受保护访问(Wi-Fi ProtectedAccess, WPA)：被设计为 WEP 的替代品；在新的 802. lli版本发布前，这是 个临时版本。 WPA 是对WEP 的一个大改进，因为它不使用相同的静态密钥来加密所有通信。
它与每个主机协商一个唯一的密钥集。此外，它将身份认证
WPA 使用 RC4 算法，并采用临时密钥完整性协议(TKIP)或 Cisco 替代品－~轻量级可扩 展身份认证协议(LEAP)
WPA 已不再安全。针对 WPA 的攻击（即 coWPAtty 和基于GPU 的破解工具）使得WPA 的安全性不可靠
3. WPA2
IEEE 802.lli 或 Wi-Fi受保护访问 2(Wi-Fi Protected Access 2, WPA2)取代了 WEP 和 WPA。
实现了 AES-CCMP,
WPA2/802. lli 定义了两个“新“身份认证选项
预共享密钥(PSK)或个人(PER)模式:PSK 使用静态固定密码进行身份认证
IEEE802.1X 或企业(ENT)模式
4. WPA3
Wi-Fi 受保护访问 3(Wi-Fi Protected Access 3, WPA3) 于 2018 年 1 月最终确定
WPA3-ENT使用 192 位 AES CCMP 加密
WPA3-PER保持128位AES CCMP
WPA3
对等同步身份认证(Simultaneous Authentication ofEquals, SAE)：仍然使用密码，但它不再加密并通过连接发送改密码以执行身份认证，蜻蜓密钥交换的零知识证明， Diffie-Hellman 的衍生物
IEEE802.lX 或企业(ENT)模式
WPA3 还实现了 IEEE 802.llw-2009 管理帧保护，囚此大多数网络管理操作都具有保密性、完整性、源身份认证和重播保护
5. 802.1X/EAP
WPA、 WPA2 和 WPA3 都支持被称为 802.IX/EAP 的企业(ENT)身份认证协议，这是一种基于端口的标准网络访问控制，可确保客户端在进行正确身份认证之前无法与资源通信
可扩展身份认证协议(EAP)不是特定的身份认证机制；相反，它是一个身份认证框架。
6. LEAP
轻量级可扩展身份认证协议(Lightweight Extensible Authentication Protocol, LEAP)是针对WPA 的 TKIP 的 Cisco 专有替代方案。思科专有协议
解决在 802.lli/WPA2 系统成为标准之前 TKIP中存在的缺陷
7. PEAP
受保护的可扩展身份认证协议(Protected Extensible Authentication Protocol, PEAP)将EAP 方法封装在提供身份认证和可能加密的 TLS 隧道中
PEAP 可为EAP 方法提供加密。
11.12.5 Wi-Fi 保护设置
Wi-Fi 保护设置(Wi-Fi Protected Setup, WPS)是无线网络的安全标准它旨在减少将新客户端添加到无线网络的工作量。 WPS 触发时，它通过自动连接和自动对第一个新的无线客户端进行身份认证来初始化网络连接。
在以安全为中心的预部署中，需要禁用WPS
11.12.6 无线 MAC 过滤器
MAC 过滤器可被用在 WAP 上以限制对已知或经批准设备的访问。
11.12.7 无线天线管理
如果基站具有外部全向天线，则通常应将它们垂直向上定位
最佳天线放置时，请考虑以下准则：
使用中心位置
避免固体物理障碍
避免反光或其他扁平金属表面。
避免电气设备
11.12.8 使用强制门户
强制门户：是一种身份认证技术，可将新连接的客户端重定向到基于 Web 的门户网站访问控制页面。门户页面可能要求用户输入支付信息，提供登录凭证或输入访问代码
强制门户通常位于为公共用途实施的无线网络上，例如酒店、餐馆、酒吧、机场、图书馆等
11.12.9 一般Wi-Fi 安全程序
11.12.10 无线通信
无线通信是一个飞速扩展的网络、连接、通信和数据交换技术领域
1. 通用无线概念
无线通信使用无线电波在一定距离上传输信号。无线电频谱使用频率区分。频率是特定 时间内波震动次数的测量值，使用单位赫兹(Hz)或每吵振荡来表示。频率在3Hz-300GHz
扩频(Spread Spectrum):意味着通信在多个频率上发生,每个部分同时发送但使用不同的频率,是并行通信
跳频扩频(Frequency Hopping Spread Spectrum, FHSS):是扩频概念的早期实现。一个频率范围内串行传输数据，但一次只使用一个频率
直接序列扩频( direct sequence spread spectrum,DSSS): 同时并行使用频率
正交频分复用(Orthogonal Frequency-Division Multiplexing, OFDM):采用数字多载波调制方案，允许更紧凑的传输。调制信号是垂直的（正交的），因此不会相互干扰
2. 蓝牙(802.15)
蓝牙在 IEEE 802.15 中定义，使用 2.4 GHz 频率。在大多数实现中，蓝牙默认为传送纯文本，但可以使用专用发射机和外围设备对其进行加密
蓝牙易受多种攻击
蓝牙嗅探(bluesniffing) 是以蓝牙为中心的网络数据包捕获。
蓝牙攻击(bluesmacking)是针对蓝牙设备的 DoS 攻击，可以通过传输垃圾流量或干扰信号
蓝牙劫持(bluejacking)涉及在未经所有者／用户许可的情况下向支持蓝牙功能的设备 发送未经请求的消息
蓝牙侵吞(bluesnarfing)是通过蓝牙连接对数据进行未经授权的访问
蓝牙窃听(bluebugging)允许攻击者通过监牙连接远程控制设备的硬件和软件
蓝牙威胁的防御措施都是尽量减少蓝牙的使用，尤其是在公共场所，不使用蓝牙时应将其完全关闭
3. RFID
射频识别(Radio Frequency Identification, RFID)：是一种用放置在磁场中的天线产生的电流为无线电发射机供电的跟踪技术（图 11.7)
有人担心 RFID 可能是一种侵犯隐私的技术。如果你拥有带 RFID 芯片的设备，那么任 何拥有 RFID 阅读器的人都可记录芯片上的信号
4. NFC
近场通信(near－field communication, NFC)是在非常接近的设备之间建立无线电通信的标 准（如无源 RFID 的几英寸与英尺）
针对 NFC 的攻击包括路径攻击、窃听、数据操纵和重放攻击等
11.12.11 无线攻击
1. Wi-Fi 扫描器
战争驾驶（war driving)是某些入使用检测工具寻找无线网络信号的行为
无线扫描仪用于检测无线网络的存在
无线扫描仪能够确定该区域是否存在无线网络、使用的频率和信道、 SSID 以及使用的加密类型（如果有）
2. 恶意接入点
外部攻击者也可针对你现有的无线客户端或未来访问的无线客户端，部署流氓 WAP 或错误 WAP
第二种使用流氓 WAP 的方法侧重于吸引新的访问无线客户端,通过将 SSID 设置为看起来和原始有效 SSID 一样合法的备用名称，这种类型的流氓 WAP 配置有社会工程技巧
对于客户端，最好的选择是连接无线链路时使用 VPN, 并且只有成功建立VPN 连接时，才应使用无线链路
3. Evil Twin
Evil Twin 是种攻击，其中黑客操作虚假接入点，该接入点将根据客户端设备的连接请求自动克隆（或孪生）接入点的身份
为了防御 Evil Twin 攻击，请注意设备连接的无线网络
4. 解除关联
解除关联(disassociation)是许多类型的无线管理帧之一
管理帧可用于多种形式的无线攻击，
对于具有隐藏 SSID 的网洛，将 MAC 地址伪造为 WAP 地址们解除关联数据包并将发送到连接的客户端，导致客户端失去连接，然后发送重新关联请求数据包（尝试重新建立连接），其中包括已清除的 SSID
攻击可以向客户端发送重复的解除关联帧以防止重新关联，从而导致拒绝服务。
会话劫持事件可以通过使用解除关联帧来启动，以使客户端保持断开连接的状态，同 时攻击者模拟客户端并通过WAP 接管其无线会话
通过使用解除关联帧断开客户端连接，可以实现路径攻击。攻击者使用的 SSID 和MAC 与原始 WAP 的相同，而且其流氓／假 WAP 提供更强的信号
6. 初始化向量滥用
初始化向量（initialization vector, IV)是随机数的数学和加密术语
IV 攻击的一个例子是使用 aircrack-ng 套件中的 wesside-ng 工具破解WEP加密
7. 重放
重放攻击(replay attack)是指重传捕获的通信，以期获得对目标系统的访问
11.13 其他通信协议
LiFi(Light Fidelity):是一种利用光进行无线通信的技术
卫星通信(satellite communications):主要基于地面位置和在轨人造卫星之间的无线电波传输，延迟高
窄带无线通信(narrow-band wireless)：技术被 SCADA 系统广泛用于在电缆或传统无线无效或不合适的距离或地理空间进行通信。应监控和加密窄带无线通信。
Zigbee： 是一种基于蓝牙的物联网设备通信的概念。 Zigbee 具有低功耗和低吞吐率，并且需要接近设备。 Zigbee 通信使用 128 位对称算法加密。
11.14 蜂窝网络
蜂窝网络(cellular network)或无线网络是许多移动设备（特别是蜂窝电话和智能手机）使用 的主要通信技术
蜂窝通信服务通常是加密的，但仅限于通信从移动设备传轮到传输塔时,一旦通过电线 传输，通信实际上就是明文
11.15 内容分发网络
内容分发网络(content distribution network, CDN)或内容传递网络是在互联网上的多个数据中心中部署的资源服务的集合，以便提供托管内容的低延迟、高性能和高可用性。
基于客户端的 CDN 也是可能的。这通常被称为 P2P（点对点，peer-to-peer) 。最广为人知的 P2PCDN 是 BitTorrentp
11.16 安全网络组件
两种基本类型的专用网段
内联网：是一种专用网络（如局域网），被设计用于专门承载类似于互联网上提供的信息服务
外联网：是互联网和内联网之间的交叉。外联网是组织网络的一部分，它已被分割出来， 以便充当专用网络的内联网，但也向外部人员或外部实体提供伈息
屏蔽子网（以前被称为DMZ非军事区）：是一种具有特殊用途的外联网，专门供低信任度和未知用户访问特定系统，例如访问 Web 服务器的公众
屏蔽主机：是一个受防火墙保护的系统，逻辑上位于网段内部
堡垒机
11.16.1 硬件的安全操作
硬件操作的一部分是确保其可靠且足以支持业务运营
硬件管理的另一个可能被低估的方面是技术支持。需要专门的培训或认证 才能进行配置、组装和部署
11.16.2 常用网络设备
中继器、集中器和放大器 ：中继器、集中器和放大器(RCA)用于加强电缆通信信号以 及连接使用相同协议的网段。 RCA 在 OSI 第 1 层运行
集线器 ：集线器用于连接多个系统以及连接使用相同协议的网段。集线器是多端口中 继器。集线器在 OSI 第 1 层运行
调制解调器：传统的 landline 调制解调器是一种通信设备，它覆盖或惆制模拟载波信号和数字信息，以支持 PSTN 线路的计算机通信
网桥 ：网桥用于将两个网络（甚至是不同拓扑结构、布线类型和速率的网络）连接在一 起，以便连接使用相同协议的限段，网桥在 OSI 第 2 层运行
交换机： 交换机通过 MAC 地址管理帧的传输。交换机在创建 VLAN 时，可创建单 独的广播域（参见第 12 章）。交换机主要在 OSI 第 2 层运行
路由器： 路由器用于控制网络上的流量，通常用于连接类似的网络并控制两者之间的 流量，路由器在 OSI 第 3 层运行。
LAN 扩展器：LAN 扩展器是一种远程访问的多层交换机，用于在广域网链路上连接 远程网络，也被称为广域网交换机或广域网路由器。
跳转箱 ：跳转服务器或跳转箱(jumpbox)是一种远程访问系统，用于使对特定系统或网络的访问更容易或更安全
传感器 ：传感器收集信息，然后将其传输回中央系统以进行存储和分析。传感器是雾计算、 ICS 、 IoT、 IDS/IPS 和 SIEM／安全协调、自动化和响应(SOAR)解决方案的常见元素。许多传感器都基于 SoC，系统级芯片(SoC)是一种集成电路(IC)或者芯片，它将计算机的所有元件集成到单个芯片
采集器 ：安全采集器是将数据收集到日志或记录文件中的系统
聚合器： 聚合器是一种多路复用器。大量输入被接收、定向或传输到单个目的地。
11.16.3 网络访问控制
网络访问控制(network access control, NAC)指通过严格遵守和执行安全策略来控制对环境的访问。
NAC 是一个自动检测和响应系统，可实时做出反应，以确保所有受监控系统的补 丁和更新都是最新的，并符合最新的安全配置，同时防止未经投权的设备进入网络
NAC目标
防止／减少已知的直接攻击和间接的零日攻击
在整个网络中实施安全策略。
使用标识执行访问控制
NAC 可通过接入前控制或接入后控制（或两者）来实现：
接入前控制原则要求系统在允许与网络通信之前满足所有当前的安全要求（俐如补丁 应用程序和恶意软件扫描器更新）。
接入后控制原则允许和拒绝基于用户活动的访问，该用户活动基于预定义的授权矩阵。
带外和内连
NAC 代理可以是可消除的，也可以是永久的
无代理或网络监控评估 NAC 解决方案从NAC 服务器对网络系统执行端口扫描、服务查询和漏洞扫描，以确定设备是否经过授权且符合基线
11.16.4 防火墙
防火墙是管理、控制和过滤网络流量的重要工具
防火墙根据定义的一组规则（也被称为过滤器或访问控制列表）过滤流星。它们是一组基 本指令，用于区分授权流量与未授权和／或恶意流量
筛选器规则的操作通常为允许、拒绝和／或记录
常见的入口过滤器和出口过滤器
阻止声称具有内部源地址的入站数据包
阻止声称具有外部源地址的出站数据包
阻止源地址或目标地址被列在阻止列表（已知恶意 IP 地址列表）上的数据包
阻止具有来自局域网(LAN) 的源地址或目标地址但尚未正式分配给主机的数据包。
防火墙应记录其他几个事件
重启防火墙。
代理或依赖项不能启动或无法启动
代理或其他重要服务崩溃或重新启动。
更改防火墙配置文件。
防火墙运行时的配置或系统错误
防火墙基本类型
静态数据包过滤防火墙： 静态数据包过滤防火墙（也被称为筛选路由器）通过检查消息头中的数据来过滤流量，通常，规则涉及源、目标 IP 地址（第 3 层）和端口号（第 4 层） ，无状态防火,基于规则，最快
应用级防火墙：应用级防火墙基于单个互联网服务、协议或应用过滤流量。应用级防火墙在 OSI 模型的应用层（第 7 层）运行，Web 应用程序防火墙(WAF)就是一个例子，为无状态的或有状态的防火墙，最慢
电路级防火墙 ：电路级防火墙（也被称为电路代理）用于在可信赖的合作伙伴之间建立通信会话。理论上，它们在 OSI 模型的会话层（第 5 层）上运行（尽管在现实中，它们的运行涉及在传输层建立 TCP 会话）。 SOCKS（来自 Socket Secure, 如在 TCP/IP 端口中）是电路级防火墙的常见实现方式，无状态防火墙
状态检查防火墙 ：状态检查防火墙（也被称为动态数据包过滤防火墙）评估网络流量的状态、会话或上下文。通过检查源和目标地址、应用程序使用情况、来源（即本地或远程、物理端口，甚至路由路径／向量）以及当前数据包与同一会话的先前数据包之间的关系，OSI 模型的第 3~4 层运行。
下一代防火墙(next-generation firewall, NGFW) ： 下一代防火墙是一种多功能设备(MFD), 或统一威胁管理(UTM) ，除防火墙外，还包含多种安全功能，1-7层
内部分段防火墙(internal segmentation firewall, ISFW) ： 内部分段防火墙是部署在内部网络分段或公司部门之间的防火墙
代理服务器(proxy server)：是应用级防火墙或电路级防火墙的变体 代理胀务器用于在客 户端和服务器之间进行调解
内容/URL 过滤器：内容过滤或内容栓查是检查应用程序协议有效负载内容的安全过滤功能。这种检查通常基于关键字匹配
Web 安全网关：是一种 Web 内容过滤器（通常基于 URL 和内容关键字），也支持恶意软件扫描
11.16.5 端点安全
端点安全是指无论网络或电信通道是否提供安全性，每个单独的设备都必须维护本 地安全的概念。有时，这被表述为“终端设备负责其自身的安全”
端点检测和响应(endpoint detection and response, EDR)：是一种安全机制，是传统反恶意软件产品、 IDS 和防火墙解决方案的演变
托管安全服务提供商(managed security service provider, MSSP)：可以提供集中控制和管理的 XDR 解决方案。 MSSP 解决方案可以完全部署在本地，完全部署在云中或部署为混合结构。
EDR 的一些相关概念包括：托管检测和响应(managed detection and response, MDR)、端点 保护平台(endpoint protection platform, EPP) 以及扩展检测和响应(extended detection and response,XDR）
11.16.6 布线、拓扑和传输介质技术
两种基本类型的网络
局域网(LAN)：是有限的地理区域内的网络，通常跨越单个楼层或建筑物
广域网(WAN)：通常是指地理上远程网络之间的长距离连接。
11.16.7 传输介质
1. 同轴电缆
同轴电缆(coaxial cable) 也被称为 coax, 是一种流行的网络电缆类型，在整个 20 世纪 70 年代和 80 年代使用，具有相当的抗电磁干扰(electromagnetic interference, EMI)能力
两种主要类型的同轴电缆
细网(10Base2) ：通常用于将系统连接到粗网布线的主干中继线。细网可以跨越 185米的距离，并提供高达 10 Mbps 的吞吐量
粗网(10Base5) 可以跨越 500 米，最高吞吐量达 10Mbps
常见的问题
同轴电缆的弯曲超过其最大圆弧半径，造成中心导体断裂。
部署同轴电缆的长度超出其建议的最大长度(10Base2 为 185 米， 10Base5 为 500 米）。
未使用 50 欧姆的电咀器正确端接同轴电缆的末端。
未将端接的同轴电缆的至少一端接地
2. 基带和宽带电缆
用于标记大多数网络电缆技术的命名约定遵循语法 :XXyyyyZZ
XX ：表示电缆类型提供的最大速度，例如， 10Base2 电缆为 10 Mbps
yyyy： 代表电缆的基带或宽带方面，例如 10Base2 电缆的基带。基带电缆一次只能传输一个信号，宽带电缆可以同时传输多个信号。大多数网络电缆都是基带电缆
ZZ： 要么代表电缆可使用的最大距离，要么用作电缆技术的简写形式；例如， 10Base2 电缆的长度大约是 200 米（准确地讲，是 185 米）
3. 双绞线
与同轴电缆相比，双绞线的布线非常轻便灵活。它由四对互相缠绕在一起的电线组成
类型
导线周围有金属箔包装，屏蔽双绞线(STP)
导线周围无金属箔包装，非屏蔽双绞线(UTP)
UTP 类别
双绞线布线的最常见问题如下：
使用错误类别的双绞线电缆进行高吞吐量网络连接
部署的双绞线长度超过其建议的最大长度(100 米）
具有显著干扰的环境中使用 UTP
4. 导线
基于导体的网络布线的距离限制源于被用作导体的金属的电阻。铜是最受欢迎的导体， 是目前市场上最好、最便宜的室温导体之一
每一和电缆的最大传输长度表明，信号的退化程度在某一点可能开始影响数据的有效传 输。这种信号的退化被称为衰减
通常可通过使用中继器或集中器来延长电缆长度，不建议连续使用四个以上的中继器或集中器（参见 “5-4-3 规则”)该规则规定，在任意两个节点（节点可以是任何类型的处理实体，如服务器、客户端或路由器）之间，最多可有五个段由四个中继器／集中器连接，并且它仅表明可填充这五个段中的三个（即具有附加主机或网络设备连接）。
5. 光缆
光缆传输光脉冲，而不是电信号
两个优点
极快
几乎不受攻击和干扰
单模光纤：黄色保护套，用 1310 纳米或 1550 纳米波长的激光器传输一万米
多模光纤：蓝色保护套，850 纳米或 1300 纳米波长的 LED 或激光器传输距离为 400 米
11.16.8 网络拓扑
环形拓扑： 环形拓扑将每个系统连接为圆上的点（参见图 11.9) 。连接介质充当单向传输回路。一次只有一个系统可传输数据
总线拓扑 ：总线拓扑将每个系统连接到干线或主干电缆总线上的所有系统都可以同时，这可能导致冲出
星形拓扑 :星形拓扑采用集中式连接设备。该设备可以是简单的集线器或交换机
网状拓扑: 网状拓扑使用多个路径将系统连接到其他系统（参见图 11.12) 。
11.16.9 以太网
以太网是一种共享介质 LAN 技术（也被称为广播技术）。这意味着它允许多个设备通过相 同的介质进行通信，但要求设备轮流通信并检测冲突和避免冲突
以太网可支持全双工通信（即完全双向），并且通常采用双绞线布线（最初使用同轴电缆）。
以太网通常部署在星形或总线拓扑,以太网基于 IEEE 802.3 标准
快速以太网支持 100 Mbps 吞吐量。于兆以太网支持 1000 Mbps(l Gbps)吞吐量。 万兆以太网支持 10 000 Mbps(lO Gbps)吞吐最。
11.16.10 子技术
1. 模拟和数字
模拟通信发生在频率、幅度、相位、电压等变化的连续信号上。
通过使用不连续的电信号和状态改变或开关脉冲来进行数字通信。
电压 on 表示值 1, 电压 off 表示值 0 。这些开关脉冲产生二进制数据流
2. 同步和异步
同步通信：依赖于基于独立时钟或嵌入数据流中的时间戳的定时或时钟机制。同步通信通常能够支持非常高的数据传输速率
异步通信：使用停止和启动分隔符位来管理数据传输，异步通信最适用于较少量的数据，PSTN 调制解调器是异步通信设备的良好示例
3. 基带和宽带
基带：技术只能支持单个通信通道。它使用施加在电缆上的直流电
宽带：技术可支持多个同步信号。宽带使用频率调制来支待多个信道，每个信道支待不 同的通信会话。宽带适用于高吞吐率，特别是当多个信道被多路复用时
4. 广播、多播和单播
广播(broadcast)：技术支持与所有可能的接收者进行通信
多播(multicast)： 技术支待与多个特定接收者的通信
单播(unicast)：技术仅支待与特定接收者的单一通信
5. 局域网介质访问
载波侦听多路访问(Carrier-Sense Multiple Access, CSMA)
载波侦听多路访问／冲突检测(Carrier-Sense Multiple Access "1th Collision Detection,CSMA/CD)
载波侦听多路访问（冲突避免 (Carrier-Sense Multiple Access with Collision Avoidance, CSMA/CA)
令牌传递：这是使用数字令牌执行通信的 LAN 介质访问技术
轮询 ：这是使用主从配置执行通信的 LAN 介原访问技术。