OSG9第十二章 安全通信与网络攻击-下

第12章 安全通信与网络攻击-下，CISSP（Certification for Information System Security Professional）即信息系统安全专业认证，这一证书代表国际信息系统安全从业人员的权威认证

第12章 安全通信与网络攻击-下

• 12.8 交换与虚拟局域网
  • 交换机:是最常见的现代网络管理设备。交换机主要在第 2 层运行，但出于特殊目的，可能配备在第 3 层（或更高层）运行
  • 学习模式是交换机了解其本地网络的方式。对每个接收到的入站以太网帧进行评估
  • 根据内容寻址内存(Content-Addressable Memory，CAM)表检查源 MAC 地址。 CAM 表保存在交换机内存中，包含 MAC地址和端口号之间的映射，端口是物理 RJ-45 插孔
  • 所谓“cam表”就是指二层交换机上运行的Cisco IOS在内存中维护的一张表，CAM表是交换机在二层转发数据要查找的表，表中有MAC地址，对应的端口号，端口所属的VLAN
  • 所有交换机都围绕四个主要功能运行：学习、转发、丢弃和泛洪。
  • 交换机四种情况
    • 学习：以太网源MAC地址不在CAM表中，地址会被添加进去
    • 转发：MAC地址存在，对比出口与接收端口，端口号不同，将帧从出口转发出去
    • 丢弃：端口相同，则会丢弃该帧（因为已经存在正确的网段）
    • 泛洪：目标 MAC 地址不在 CAM 表中，则它将被泛洪或从所有端口发送出去出去。这样做的目的是，即使目的地未知，仍然允许帧到达其目的地。
  • VLAN
    • VLAN(virtual local area network, 虚拟局域网）：是一种在交换机上通过硬件实现的网络分段技术
    • "VLAN 管理”利用VLAN 进行流量控制以满足安全或性能要求。 VLAN 也可用来隔 离不同网段之间的流量
    • 使用 VLAN 的目的是保证必要的通信，同时阻止／拒绝任何不必要的通，要牢记，“拒绝是常态，允许是例外”
    • VLAN 用于对网络进行逻辑分段，而不必更改物理网络的拓扑。
    • VLAN有助于控制和限制广播流星，并且由于交换机将每个VLAN视为分离的网络分区，它还能减少流量嗅探的风险。
    • 广播风暴(broadcast storm)：指大量以太网广播垃圾流量。
    • 关于 VLAN 的部署，另一个要素是端口隔离或专用端口
    • 端口镜像：是受管理交换机上的常见功能；它从一个或多个其他端口复制特定端口的流量。
    • 端口监听(port tap)：是网络通信窃听的一种手段，尤其是当交换机的 SPAN 功能不可用或 不满足当前的侦听需求时。现代的串联监听已经基本取代了抽式监听(vampire tap)
    • 标准以太网报头是：
    • 带有VLAN的以太网报头
    • 带有 VLAN 标记的以太网报头不能由交换机以外的主机解析，而交换机只在中继端口上解析
  • MAC
    • MAC 泛洪攻击
      • MAC 泛洪(MAC flooding)攻击:是指故意滥用交换机的学习功能，使其陷入泛洪状态。这是通过使用带有随机源 MAC 地址的以太网帧淹没交换机来实现的
      • 防御 MAC 泛洪的措施通常出现在受管理交换机上,该功能名为 MAC 限制(MAC limiting) ，它限制从每个插孔／端口进入 CAM 表中的 MAC 地址数
    • MAC 克隆
      • 在同一个本地以太网广播域中，两个设备不能具有相同的 MAC 地址；否则，将发生地址冲突
      • MAC 欺骗是将默认 MAC 地址更改为其他值。
      • MAC 过滤是一种安全机制，旨在限制对具有已知特定 MAC 地址的设备的网络访问。 MAC 过滤通常用于 WAP 和交换机。
      • MAC 欺骗／克隆的对策包括
        • 使用智能交换机监控奇怪 MAC 地址的使用和滥用。
        • 用 NIDS 监控奇怪MAC 地址的使用和滥用。
        • 维护设备及其MAC 地址的清单，以确认设备是否为己授权、未知或恶意的。
• 12.9 网络地址转换
  • NAT(network address translation, 网络地址转换）:能实现：隐藏内部用户的身份、屏蔽私有网络的设计、降低公共 IPv4 地址的租用费用
  • 内部使用 RFC 1918 私有 IPv4 地址
  • 通过NAT 技术，私有网络能够使用任何 IPv4 地址，而不必担心与具有相同 IPv4 地址的 公共互联网主机发生冲突和碰撞。
  • NAT 是虚拟化网络的一种形式；它在自己的公共身份背后隐藏／掩盖了真实的网络配置
  • NAT 带来了很多好处
    • 利用 NAT, 整个网络可通过共享一个（或一些）公共 1Pv4 地址接入互联网。
    • 可在内部网中使用 RFC 1918 中定义的私有 IPv4 地址，同时仍能与互联网进行通信
    • 通过NAT 向外部隐藏了内部 1Pv4 地址的划分及网络拓扑。
    • NAT 对连接做了限制；来自互联网的流星中，只有网络内部受保护连接的流量才被允许通过。这样，大多数入侵攻击会被自动拦截。
    • NAT 作为基本的单向防火墙，只允许响应内部系统请求的传入流量。
  • NAT 是大量硬件设备及软件产品的功能之一，包括防火墙、路由器、网关、 WAP 及代理服务器
  • 严格来说 NAT动态地将网络数据包报头中内部系统的私有IPv4地址转换／映射为公共／外部IPv4地址
  • NAT密切相关的是端口地址转换(port address translation, PAT) 也被称为超载NAT、网络与端口地址转换(network and port address translation, NPAT) 以及网络 地址与端口转换(network address and port translation, NAPT)一它允许单个公共IPv4地址承载多达65 536个来自内部客户端的同步通信（理论上的最大值；在实践中，由于硬件限制，在大多数情况下，你应该将数量限制为4000或更少）。
  • 在 IT 行业中， NAT 一词的使用已经包含了 PAT 的概念
  • 虽然默认情况下NAT—是一种动态出站映射机制，—但它也可被配置为执行入站映射,被称为静态 NAT、反向代理、端口转发或目标网络地址转换(DNAT) -不安全不建议这样做
  • 12.9.1 私有 IP 地址
    • 私有 IPv4 地址， RFC 1918
      • 10.0.0.0 到 10.255.255.255（全 A 类地址）
      • 172.16.0.0 到 172.31.255.255(16 个 B 类地址）
      • 192.168.0.0 到 192.168.255.255(256 个 C 类地址）
    • 所有路由器与流量定向设备都被默认设置为不转发来自或发往这些 IPv4 地址的数据包。换言之，私有 IPv4 地址在默认情况下是不可路由的
    • 现有网络的 IPv4 地址是 192.168.1.x, 就不能在新 NAT 子网中继续使用该段地址，而需要通过NAT 将新路由器或WAP 的地址转换为不同的地址段，如 192.168.5.x
    • 环回地址：127.0.0.1
  • 12.9.2 状态 NAT
    • NAT 维护了内部用户请求、内部用户 IP 地址以及互联网服务 IP 地址之间的映射表
    • NAT 将回复信息中的源地址与存储在映射数据库中的地址进行对比，确定该信息所属的 用户地址，再将该回复信息转发给接收者。该过程被称为“状态 NAT", 因为它维护了用户 与外部系统之间的通信会话信息。
  • 12.9.3 自动私有 IP 分配
    • 自动私有 IP 分配(Automatic Private IP Addressing, APIPA)：也被称为本地链路地址分配（在 RFC 3927 中定义），它在动态主机配置协议(Dynarnic Host Configuration Protocol, DHCP)应用层协议分配失败的情况下，继续为系统分配 IP 地址。
    • APIPA 通常为 DHCP 分配失败的用户分配 169.254.0.1 到169.254.255.254 地址段的一个 IP 地址，以及 B 类子网掩码 255.255.0.0
• 12.10 第三方连接
  • IT 环境之间的任何连接都应在实际互连布线（物理或虚拟）之前进行详细规划。通常，这一过程以谅解备忘录开始，以 ISA 结束。
  • 谅解备忘录(MOU)或协议备忘录(MOA)：是两个实体之间协议或一致意向、意愿或目的的表达，通常不是一种法律协议或承诺，而是一种更为正式的互惠协议或握手形式（这两种形式通常都不采用书面形式）。谅解备忘录也可被称为意向书
  • 互连安全协议(interconnection security agreement, ISA)：是两个组织的 IT 基础设施之间链路的安全态度、风险和技术要求的正式声明
  • 选择使用云服务时，也应该采取类似的措施，因为他们是第三方。当组织采用云服务（从SaaS 到 IaaS) ，其与本地设备的连接和直接交互水平将提高。应制订明确的安全指导方针和策略，并且在可能的情况下，部署云访问安全代理(CASB)等技术来实施这些安全要求。
• 12.11 交换技术
  • 两个系统（单独的计算机或网络）经过多个中间网络连接起来，数据从一个系统传输到另一个系统这是一个完整的复杂过程。交换技术的开发就是为了简化这个过程。
  • 12.11.1 电路交换
    • 电路交换(circuit switching)：最初旨在管理公用电话交换网络中的电话呼叫。在电路交换 中，两个通信实体之间需要建立专门的物理通道
    • 一旦电话接通，两个实体间的链路一直保持到通话结束
    • 电路交换确保了固定或可预知的通信时间，保证了通话质量的一致性、很小的信号损失、几乎不发生通信中断。系统提供的是永久物理连接，PSTN （Public Switched Telephone Network，公共交换电话网络）主要是电路交换
    • 术语“永久“只适用于每 次通信会话。路径断开后，如果通话双方需要再次通信，则会建立起不同路径。
  • 12.11.2 分组交换
    • 分组交换(packet switching)：技术将估息或通信内容分为很小的段（固定长度单元或可变长度数据 包，具体数值取决于所使用的协议和技术），并通过中间网络将这些分组传送到目的地
    • 每一个数据段都有自己的头部，其中包含源地址及目标地址信息。中间系统忱取头部信息，再选 择合适的路由将数据段发送给接收者
    • 传输通道和通信路径只保留给实际需要传送的分组。分组传送一结束，通道就被提供给其他通信使用
    • 对于分组交换系统，在同一个物理连接中，可能会传输来自不同地址的数据，这就存在泄露、破坏或窃听的风险。所以需要恰当的连接管理、流量隔离以及加密技术，来保护共享物理路径的安全
  • 12.11.3 虚电路
    • 虚电路（也称通信路径）：是一条逻辑路径或电路，在分组交换网络两个特定端点之间建立
    • 分组交换中存在两种类型的虚电路
      • PVC(permanent virtual circuit, 永久虚电路）
      • SVC(switched virtual circuit, 交换式虚电路）
    • 虚电路在不使用时是关闭的，但在需要时可随时打开
    • PVC 类似于一台双向电台或对讲机。需要通信时，按下按钮即可开始对话；电台则自动使用预设的频率（也就是虚电路）。
    • SVC 更像一台短波或业余电台。每次都必须将发送器和接收机调到相同频率，才能和其他人通信。
• 12.12 WAN 技术
  • WAN(wide area network, 广域网）：将远距离网络、节点或单独的设备连接起来。 WAN 链路能改善通信，提高效率，但也会给数据带来风险
  • WAN 链路及长距离连接技术可分为两大类
    • 专用线路(dedicated line)：（也称为租用线路，或点对点链路）是一直保留给特定用户使用的线路，从 Tl （容量为 l.54Mbps 的电话线 l)到 T3 或 DS3（容量为 44.7 Mbps 的数字服务 3) 。其他选项包括 X.25 、异步传输模式(ATM)和帧中继。专用线路一直处于数据传输或等待数据传输的状态
    • 非专用线路(nondedicated line)： 只在需要传输数据时才建立连接。使用相同类型的非专用线路的任何远程系统都能通过非专用线路连接起来。标准经典调制解调器和 DSL 都是非专用线路。数字用户线路(DSL)使用升级的电话网络，为用户提供 144 Kbps~20 Mbps 或更高的传输速率
• 12.13 光纤链路
  • SDH(Synchronous Digital Hierarchy, 同步数字系列）与 SONET(Synchronous Optical Network，同步光纤网络）是光纤高速网络标准。
  • SDH 与 SONET 主要是硬件及物理层标准，定义了基础设施及线速需求。
  • SDH 及 SONET 的主要带宽级别见表 12.3
  • SDH 与 SONET 同时支持网状及环状拓扑。电信服务商经常以这些光纤方案作为骨于网，并将其容量切分以供用户使用。
• 12.14 安全控制特征
  • 在选择或部署针对网络通信的安全控制时，需要根据实际情况、能力及安全策略，对安全控制特征进行评估。关键特征是对保密性和完整性的保
  • 12.14.1 透明性
    • 透明性(transparency):是服务、安全控制或访问机制的一个特征，确保对用户不可见
    • 透明性常常是安全控制的一项必要特征。安全机制越透明，用户就越不可能绕过它，甚至察觉不到它的存在
  • 12.14.2 传输管理机制
    • 传输日志(transmission logging):是一种专注于通信的审计技术
    • 传输日志记录源地址、目标地址、时间戳、识别码、传输状态、报文数量、消息大小等详细信息。对于故障的定位、非法通信的追踪或系统工作数据的提取，这些信息都是十分有用的
    • 传输错误纠正(transmission error correction):是面向连接或会话的协议及服务的内置功能。
    • 该功能要求在确定一条消息的整体或部分受到了破坏、更改或丢失时，能够向信源发送请求，要求重新发送消息的整体或部分
    • 重传控制也用于确定是否多次重复发送哈希值或 CRC（循环冗余校验）值，以及是否使用多数据路径或通信通道。
• 12.15 防止或减轻网络攻击
  • 理解威胁以及可能的应对措施是确保环境安全的重要方面。要尽可能解决或减轻任何可能损害数据、资源及人员安全的活动或自然条件
  • 12.15.1 窃听
    • 窃听(eavesdropping)：是指偷听通信过程，以复制并获取通信内容
    • 抵御窃听行为，首先要保证物理访问安全，以防止非法人员接斛 IT 基础设施
  • 12.15.2 篡改攻击
    • 篡改攻击(modification attacks) ：捕获的报文经过修改后又被发送给系统