网络攻击简介和应对

网络攻击简介和应对的思维导图，网络攻击是指损害网络系统安全属性的危害行为。危害行为导致网络系统的机密性、完整性、可控性、真实性、抗抵赖性等受到不同程度的破坏。

网络攻击简介和应对

• 1. 网络攻击概述
  • 1. 网络攻击概念
    • 网络攻击：是指损害网络系统安全属性的危害行为。危害行为导致网络系统的机密性、完整性、可控性、真实性、抗抵赖性等受到不同程度的破坏。
    • 常见的危害行为有四个基本类型：信息泄露攻击；完整性破坏攻击；拒绝服务攻击；非法使用攻击。
    • 网络攻击原理表
• 2. 网络攻击一般过程
  • 1. 网络攻击一般过程
    • 隐蔽+攻击
    • (1) 隐藏攻击源。隐藏黑客主机位置使得系统管理无法追踪。
    • (2) 收集攻击目标信息。确定攻击目标并收集目标系统的有关信息。
    • (3) 挖掘漏洞信息。从收集到的目标信息中提取可使用的漏洞信息。
    • (4) 获取目标访问权限。获取目标系统的普通或特权账户的权限。
    • (5) 隐蔽攻击行为。隐蔽在目标系统中的操作，防止入侵行为被发现。
    • (6) 实施攻击。进行破坏活动或者以目标系统为跳板向其他系统发起新的攻击。
    • (7) 开辟后门。在目标系统中开辟后门，方便以后入侵。
    • (8) 清除攻击痕迹。避免安全管理员的发现、追踪以及法律部门取证。
• 3. 常见网络攻击方式&应对方案
  • 1. 端口扫描
    • 防火墙设置 禁用未使用的端口：关闭不需要使用的端口，减少攻击者进行扫描的目标。 强密码策略 网络入侵检测系统（IDS） 网络监控 限制登录尝试次数 安全培训 使用安全扫描工具 多重身份验证
    • 端口扫描：目的是找出目标系统上提供的服务列表。挨个尝试与TCP/UDP端口连接，然后根据端口与服务的对应关系，结合服务器端的反映推断目标系统上是否运行了某项服务，攻击者通过这些服务可能获得关于目标系统的进一步的知识或通往目标系统的途径。
  • 2. 口令破解
    • 使用强密码策略 定期修改密码 禁用默认密码 使用多因素身份验证：例如使用令牌、指纹、短信验证码等。即使密码被破解，攻击者仍然需要其他因素才能成功登录。 防止暴力破解：通过配置登录尝试限制次数来防止暴力破解。例如，如果用户多次尝试登录失败，可以暂时锁定账户或延迟登录尝试时间。 使用账户锁定机制：在多次登录失败后，自动锁定用户账户，以防止攻击者尝试进行暴力破解。 安全培训 使用加密技术：存储用户密码时，采用安全的加密算法，确保密码不能通过恢复或解密的方式来得到明文。 监控和检测：使用安全监测和日志分析工具来监控用户登录活动，并检测异常行为，如多次登录失败或大量登录尝试等。
    • 口令破解：口令机制是资源访问控制的第一道屏障，网络攻击者常常以破解用户的弱口令作为突破口，获取系统的访问权限。
  • 3. 缓冲区溢出
    • 缓冲区溢出攻击的基本原理是向缓冲区中写入超长的、预设的内容，导致缓冲区溢出，覆盖其他正常的程序或数据，然后让计算机转去运行这行预设的程序，达到执行非法操作、实现攻击的目的。
  • 4. 恶意代码/程序
    • 安装并定期更新杀毒软件和防恶意软件工具；不下载来路不明的文件；不打开来自不信任来源的电子邮件或链接。
    • 恶意代码是指为达到恶意目的而专门设计的程序或代码，是指一切旨在破坏计算机或者网络系统可靠性、可用性、安全性和数据完整性或者损耗系统资源的恶意程序。常见的恶意代码类型有计算机病毒、网络蠕虫、特洛伊木马、后门、逻辑炸弹、僵尸网络等。
  • 5. 拒绝服务攻击
    • 使用DDoS保护服务（如：入侵防御设备），以过滤和缓解恶意流量。 高配置的网络基础设施以承受高流量压力。
    • DoS攻击方式
      • 1. 同步包风暴（SYN Flood）
        • 同步包风暴（SYN Flood）：利用TCP协议缺陷发送大量伪造的TCP连接请求，使得被攻击者资源耗尽。三次握手，进行了两次，不进行第三次握手，连接队列处于等待状态，大量这样的等待，会占满全部队列空间，使得系统挂起。
      • 2. UDP 洪水(UDP Flood)
        • 利用简单的TCP/IP 服务，如用Chargen 和Echo 传送毫无用处的占满带宽的数据。通过伪造与某一主机的Chargen 服务之间的一次UDP 连接，回复地址指向开放Echo 服务的一台主机，生成在两台主机之间的足够多的无用数据流。
      • 3. Smurf攻击
        • Smurf攻击：攻击者伪装目标主机向局域网的广播地址发送大量欺骗性的ICMP请求，这些包被放大，并发送到被欺骗的地址，大量的计算机向一台计算机回应ECHO包，目标系统会崩溃。---一般网络不好的时候会发起ICMP请求。这里可以理解为网络本来是正常的，但黑客发送ICMP包告诉你，现在网络不好，这时你就会放弃连接了
      • 4. 消耗CPU 和内存资源的拒绝服务攻击
        • 利用目标系统的计算算法漏洞，构造恶意输入数据集，导致目标系统的CPU 或内存资源耗尽，从而使目标系统瘫痪，如HashDoS 。
      • 5. 死亡之ping (ping of death)
        • PingofDeath攻击：攻击者故意发送大于65535字节的IP数据包给对方，导致内存溢出，这时主机会出现内存分配错误而导致TCP/IP堆栈崩溃，导致死机。
      • 6. 泪滴攻击(Teardrop Attack)
        • 分段攻击，伪造数据报文向目标主机发送含有重叠偏移的数据分段，通过将各个分段重叠来使目标系统崩溃或挂起。---数据量大时，TCP会分段传输，假设分个A,B,C三段，每段都会有一个“头部”，这时候攻击者特意发一个跟A段一样的“头部”，再发点数据，造成原数据出现偏移
      • 7. 分布式拒绝服务攻击(Distributed Denial of Service Attack)
        • 分布式拒绝服务攻击DDos（DistributedDenialofService）：是对传统Dos攻击的发展，攻击者首先侵入并控制一些计算机，然后控制这些计算机同时向一个特定的目标发起拒绝服务攻击。引入了分布式攻击和C/S结构，Client（客户端）运行在攻击者的主机上，用来发起和控制DDoS攻击；Handler（主控端）运行在已被攻击者侵入并获得控制的主机上，用来控制代理端；Agent（代理端）运行在已被攻击者侵入并获得控制的主机上，从主控端接收命令，负责对目标实施实际的攻击。
      • 8. Land攻击
        • Land攻击：也是利用三次握手的缺陷进行攻击，将SYN数据包的源地址和目的地址都设置为目标主机的地址，目标主机向自己回以SYN+ACK包，导致自己又给自己回一个ACK并建立自己与自己的连接，当这种无效连接达到一定的数量，目标主机将会拒绝新的连接请求。
      • 9. 低速率拒绝服务攻击（Low-rateDos）_LDoS
        • 低速率拒绝服务攻击（Low-rateDos）_LDoS：与传统的洪泛式Dos攻击截然不同，其最大特点是不需要维持高速率攻击流，耗尽受害者端所有可用资源，而是利用网络协议或应用服务中常见的自适应机制（如TCP的拥塞控制机制）中所存在的安全漏洞，通过周期性地在一个特定的短暂时间间隔内突发性地发送大量攻击数据包，从而降低被攻击端服务性能。
  • 6. 网络钓鱼
    • 警惕电子邮件或链接中的不寻常或拼写错误，不提供敏感信息，除非能够验证请求的真实性。
    • 网络钓鱼（Phishing，与fishing发音相近得名）是一种通过假冒可信方（知名银行、在线零售商和信用卡公司等可信的品牌）提供网上服务，以欺骗手段获取敏感个人信息（如口令、信用卡详细信息等）的攻击方式。网络钓鱼者利用欺骗性的电子邮件和伪造的网站来进行诈骗活动，诱骗访问者提供一些个人信息，以谋求不正常的利益。
  • 7. 网络窃听
    • 使用加密通信协议，如HTTPS，以保护数据传输的机密性；避免使用公共或不受信任的Wi-Fi网络进行敏感操作。
    • 网络窃听：是指利用网络通信技术缺陷，使得攻击者能够获取到其他人的网络通信信息。常见的网络窃听技术手段主要有网络嗅探、中间人攻击。网络攻击者将主机网络接口的方式设成“杂乱”模式，就可以接收整个网络上的信息包，从而可以获取敏感口令，甚至将其重组，还原为用户传递的文件。---杂乱，可理解为在以太网中使用“广播”地址，使得主机能接收网络中其他主机发送的信息包
  • 8. SQL注入攻击【通过漏洞入侵应用程序】
    • 定期进行应用程序漏洞扫描和渗透测试；使用安全编码实践，对应用程序进行安全审计
    • SQL注入攻击：在Web服务中，一般采用三层架构模式，浏览器+Web服务器+数据库。其中，WEB脚本程序负责处理来自浏览器端提交的新东西。但是由于WEB脚本程序的编程漏洞，对来自浏览器端的信息缺少输入安全合法性检查，网络攻击者利用这个漏洞，把SQL命令插入WEB表单的输入域或页面的请求查找字符串，欺骗服务器执行恶意的SQL命令。---在浏览器总输入信息（比如用户名和密码），浏览器本身是不会进行安全合法性检查的，他会提交给后台，这里就存在SQL注入漏洞
  • 9. 社交工程
    • 1、社交业务安全防护 2、加强员工的网络安全意识培训；设定组织内部规则，限制敏感信息的外部共享。
    • 社交工程：网络攻击者通过一系列的社交活动，获取需要的信息。例如伪造系统管理员的身份，给特定的用户发电子邮件骗取他的密码口令。有的攻击者会给用户送免费实用程序，不过该程序除了完成用户所需的功能外，还隐藏了一个将用户的计算机信息发送给攻击者的功能。
  • 10. 电子监听
    • 电子监听：网络攻击者采用电子设备远距离地监视电磁波的传送过程。灵敏的无线电接受装置能够在远处看到计算机操作者输入的字符或屏幕显示的内容。
  • 11. 漏洞扫描
    • 漏洞扫描：是一种自动检测远程或本地主机安全漏洞的软件，通过漏洞扫描器可以自动发现系统的安全漏洞。常见的漏洞扫描技术有CCI漏洞扫描、弱口令扫描、操作系统漏洞扫描、数据库漏洞扫描等。
  • 12. 内部威胁
    • 实施最小权限原则，仅授予必要的访问权限。建立审计机制，监控员工活动
    • 员工、合作伙伴或供应商滥用权限
  • 13. 数据泄露
    • 使用加密技术来保护数据传输和存储；实施访问控制，限制对敏感数据的访问权限。
    • 敏感信息被盗取并泄露
• 4. 业务风险识别和防护
  • 1. 账号
    • 1、添加验证码 2、访问频率控制 3、异地登录限制 4、其它多因素认证 5、账号验证相关接口特殊处理，如nginx直接返回相同值 6、恶意用户识别 7、渗透测试 8、增加限制策略，如限制同一IP地址或手机号的注册/登录/找回密码操作数量、限制操作时间间隔等，自动或人工识别异常行为进行拦截
    • 登录
      • 手机号撞库
      • 验证码爆破
    • 注册
      • 批量注册/注册滥用
      • 恶意验证注册用户
    • 找回密码
      • 批量重置用户密码
      • 短信验证码劫持
  • 2. 社交
    • 聊天
      • 1、排查手表收取外部信息途径，确认其合理性，并完善相关途径安全建设【系统和家长管控】 2、限制手表的网络访问权限，只允许与可信任的服务器进行通信，并阻止访问恶意或不安全的网站或服务器 3、实时监测社交业务中的内容，过滤和拦截不适宜的信息
      • 伪造成家长或其他受信任的人员，并进行虚假的指令
      • 社交工程攻击，发送非法消息、视频、网站等不适宜内容或进行其他危险的活动
    • 电话
      • 监控、封禁陌生人电话
      • 陌生人电话
    • 加好友
  • 3. 安全
    • 定位
      • 1、位置监控预警；如当前位置短时间和历史位置偏移过大，通知家长
      • 手表位置篡改
  • 4. 支付
    • 订单金额、数量数据篡改，0元购
      • 对用户上传参数进行多重校验，尤其是边界值
  • 5. 业务架构
    • 利用鉴权、越权漏洞，通过接口篡改用户数据、模拟用户行为等
      • 对用户权限进行严格划分，对接口调用进行严格校验
    • 项目使用的框架、组件漏洞被利用
      • WAF进行防护
    • sql注入
      • WAF进行防护
    • 明文传输
      • 1、使用https 2、请求响应数据加密
  • 6. 后台系统
    • 后台管理接口未授权访问
      • 1、权限粒度控制到api 2、限制仅内网访问
  • 7. 其它
    • 流量
      • 流量使用限制&监控
      • 流量异常消耗
    • 用户资产【积分、个性装扮等】
      • 利用业务漏洞重复刷取
        • 通过限制每天解绑绑定次数等业务策略，防止资产重复刷取
    • 文件上传功能
      • 文件上传前后进行编解码及校验，避免恶意脚本文件上传
      • 木马等恶意脚本文件上传