第三章 网络安全
3.1 网络安全及管理概述
3.1.1 网络安全的概念
1.从广义上来说，凡是涉及网络信息的保密性、完整性、可用性、真实性、可控性、可审查性的相关技术和理论，都是网络安全的研究领域。
2.网络安全包括网络硬件资源和信息资源的安全性。
网络硬件资源包括通信线路、通信设备（路由机、交换机等）、主机等。
信息资源包括维持网络服务允熙的系统软件和应用软件，以及在网络存储和传输的用户信息数据等。
3.1.2 网络管理的概念
1.网络管理是指监督、组织和控制网络通信服务，以及信息处理所必需的各种活动的总称。
2.网络管理技术是伴随着计算机、网络和通信技术的发展而发展的，二者相辅相成。
3.从网络管理范畴来分类，可分为对网络设备的管理和对行为的管理。
3.1.3 安全网络的特征
一般来说，能够通过网络安全与管理技术或手段保障可靠性、可用性、保密性、完整性、可控性、可审查性的网络即具备了安全网络的特征。
- 可靠性：网络信息系统能够在规定条件下和规定的时间内完成规定功能的特性。主要表现在硬件可靠性、软件可靠性、人员可靠性、环境可靠性等方面。
- 可用性：网络信息可被授权实体访问并按需求使用的特性。一般用系统正常使用时间和整个工作时间之比来度量。
- 保密性：网络信息不被泄露给非授权的用户、实体或过程，或者供其利用的特性。
- 完整性：网络信息未经授权不能进行改变的特性，即网络信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。
- 可控性：对信息的传播及内容具有控制能力。
- 可审查性：出现安全问题时提供的依据与手段。
3.1.4 常见的网络拓扑
1.网络拓扑：网络的结构方式、表示连接在地理位置上分散的各个节点的几何逻辑方式。网络拓扑决定了网络的工作原理及网络信息的传输方法。
2.常见的网络拓朴有总线型、星形、环形和树形等。在实际应用中，通常采用它们中的全部或部分混合的形式，而非某种单一的拓扑结构。
- 总线型拓扑结构：将所有的网络工作站或网络设备连接在同一物理介质上，这时每个设备直接连接在主干电缆上。
该结构存在的安全缺陷：故障诊断困难、故障隔离困难、终端必须是智能的。 - 星形拓扑结构：由中央节点和通过点到点链路连接到中央节点的各站点组成。中央节点设备常被称为转接器、集中器或中继器。
该结构存在的安全缺陷：对电缆的需求大且安装困难、扩展困难、对中央节点的依赖性太大、容易出现“瓶颈”现象。 - 环形拓扑结构：由一些中继器和连接中继器的点到点链路组成一个闭合环。
该结构存在的安全缺陷：节点的故障将会引起全网的故障、故障诊断困难、不易重新配置网络、影响访问协议。 - 树形拓扑结构：从总线型拓扑演变而来，形状像一颗倒置的树。通常采用同轴电缆作为传输介质，且使用宽带传输技术。
该结构存在的安全缺陷：对根节点的依赖性太大。
3.2 网络安全基础
3.2.1 OSI七层模型及安全体系结构
1.OSI参考模型全称为开放系统互连参考模型，它是由国际标准化组织（ISO）和国际电报电话咨询委员会（CCITT）联合制定的。
2.七层模型的组成
OSI参考模型由上至下分别为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
3.OSI协议的运行原理
打包：在发送端，从高层到低层进行数据封装操作，每一层都在上层数据的基础上加入本层的数据头，然后再传递给下一层处理。
拆包：在接收端，数据单元在每一层被去掉头部，根据需要传送给上一层来处理，直到应用层解析后被用户看到内容。
建立七层模型主要是为了解决异构网络互联时所遇到的兼容性问题。它的最大优点是将服务、接口和协议这三个概念明确地区分开来，也使网络的不同功能模块分担起不同的职责。
4.OSI安全体系结构
OSI安全体系结构是根据OSI七层协议模型建立的，也就是说，OSI安全体系结构是与OSI七层相对应的，比如：
- 物理层：设置连接密码。
- 数据链路层：设置PPP验证、交换机端口优先级、MAC地址安全、BPDU守卫、快速端口等。
- 网络层：设置路由协议验证、扩展访问列表、防火墙等。
- 传输层：设置FTP密码、传输密钥等。
- 会话层&表示层：公钥密码、私钥密码应该在这两层进行设置。
- 应用层：设置NBAR、应用层防火墙等。
5.五类相关安全服务：认证（鉴别）服务、访问控制服务、数据保密性服务、数据完整性服务和抗否认性服务。
3.2.2 TCP/IP协议
由OSI七层模型中的网络层IP协议和传输层TCP协议组成。
1.网络层协议
- IP协议
- ARP协议：用于将计算机的网络地址（IP地址32位）转化为物理地址（MAC地址48位）。
2.传输层协议
- TCP：使用三次握手机制建立一条连接、断开一条连接。
- UDP
3.应用层协议
HTTP、HTTPS、FTP、SMTP、Telent、DNS、POP3等，这些协议在实际应用中要用到应用程序代理。
4.安全封装协议
- IPSec：为IPv4和IPv6协议提供基于加密安全的协议，它使用AH（认证头）和ESP（封装安全载荷）协议来实现其安全，使用ISAKMP/Oakley及SKIP进行密钥交换、管理及安全协商。
- SSL协议（安全套接层）：用于保护网络传输信息
- S-HTTP：超文本传输协议是结合HTTP而设计的一种信息安全通信协议
- S/MIME：全称安全多用途网际邮件扩充协议
3.2.3 无线网络安全
1.无线局域网的安全问题：窃听、截取或者修改传输数据、拒绝服务等。
2.无线局域网安全协议：
- WEP（有线等效保密）
- WPA（Wi-Fi网络安全接入）
- WPA2
- WAPI（中国拥有自主知识产权的WLAN安全解决方案）
3.WPI的解封装过程：
- 判断数据分组序号是否有效，无效则丢弃该数据
- 利用解密密钥与数据分组序号。通过工作在OFB模式的解密算法对分组中的MDSU数据及MIC密文进行解密，恢复出MSDU数据以及MIC明文
- 利用完整性校验密钥与数据分组序号，通过工作在CBC-MAC模式的校验算法对完整性校验数据进行本地计算，若计算得到的值与分组中的完整性校验码MIC不同，则丢弃该数据
- 解封装后将MSDU明文进行重组处理并递交至上层
3.3 识别网络安全风险
3.3.1 威胁
常见的外部威胁：应用系统和软件安全漏洞、安全策略、后门和木马程序、病毒及恶意网站陷阱、黑客、安全意识淡薄、用户网络内部工作人员的不良行为引起的安全问题。
3.3.2 脆弱性
1.操作系统的脆弱性：动态链接、创建进程、空口令和RPC、超级用户。
2.计算机系统本身的脆弱性：硬件软件故障。
3.电磁泄露
4.数据的可访问性
5.通信系统和通信协议的弱点
6.数据库系统的脆弱性
7.网络存储介质的脆弱
3.4 应对网络安全风险
3.4.1 从国家战略层面应对
1.出台网络安全战略，完善顶层设计。
2.建设网络身份体系，创建可信网络空间。
3.提升核心技术自主研发能力，形成自主可控的网络安全产业生态体系。
4.加强网络攻防能力，构建攻防兼备的安全防御体系。
5.深化国际合作，逐步提升网络空间的国际话语权。
3.4.2 从安全技术层面应对
1.身份认证技术
- 生物认证技术
- 口令认证
- 令牌认证
2.访问控制技术
- 访问控制(Access Control)指系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。
- 三要素：主机、客体和控制策略
- 访问控制的功能及原理：认证、控制策略、安全审计
- 类型：自主访问控制、强制访问控制、基于角色的访问控制以及综合访问控制策略等。
- 综合性访问控制策略：入网访问控制、网络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监控和锁定控制、网络端口和节点的安全控制
- 访问控制的应用
3.入侵检测技术
- 入侵检测系统是一种对网络实时监控、检测，发现可疑数据并及时采取主动措施的网络设备。
- 常用的入侵检测技术：异常检测、特征检测、文件完整性检查。
4.监控审计技术
- 网络安全审计方法：日志审计、主机审计、网络审计
5.蜜罐技术
按应用平台，蜜罐技术分为实系统蜜罐、伪系统蜜罐。
按照部署目的，蜜罐分为产品型蜜罐和研究型蜜罐。
按照交互度的等级，蜜罐分为低交互蜜罐、高交互蜜罐。
3.4.3 网络管理的常用技术
1.日常运维巡检
2.漏洞扫描
3.应用代码审核
4.系统安全加固
5.等级安全测评
6.安全监督检查
- 信息安全管理情况
- 技术防护情况
- 应急工作情况
- 安全教育培训情况
- 安全问题整改情况
7.应急响应处置
8.安全配置管理
- 资产管理
- 资源管理
- 服务器目录管理
- 服务请求
- 监控管理
小结
本章通过分析常见的网络拓扑结构，结合OSI模型和协议等内容，介绍了网络系统的脆弱性和潜在的威胁，并从网络技术和网络管理两个层面提出了相应的对策。特别是，详细讲解了身份认证技术、访问控制技术、入侵检测技术、监控审计技术和蜜罐技术等。
第七章 大数据背景下的先进计算安全问题
7.3 物联网安全
7.3.1 物联网概述
1.物联网的目标是帮助我们实现物理世界和网络世界的互联互通，使人类对物理世界具有“全面的感知能力、透彻的分析能力和智慧的处理能力”。
2.物联网的层次架构与特征
- 物联网大致分为三个部分：数据感知部分、网络传输部分、智能处理部分。
- 物联网体系被划分为感知层、网络层、应用层三层结构。
- 物联网应具备：全面感知、可靠传递、只能处理三种能力。
3.物联网的典型应用领域：
- 具备物理世界认知能力的应用
- 在网络融合基础上的泛在化应用
- 基于应用目标的综合信息服务应用
7.3.2 物联网的安全特征与架构
1.物联网的安全特征
2.物联网面临的安全挑战：
- 标准和指标
- 规章
- 共同的责任
- 成本与安全的权衡
- 陈旧设备的处置
- 可升级性
- 数据机密性、身份验证和访问控制
3.物联网的安全架构
- 物联网面临的安全攻击
- 物联网的安全控制措施
7.3.3 工控系统及其安全
工业控制系统（ICS）是几种类型控制系统的总称，包括监控和数据采集（SCADA）系统、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器等。
1.工控系统的特征
2.工控系统的架构
- 工业控制系统的关键组件包括：控制器、组态编程组件、数据采集与监视控制组件、人机界面和分布式过程控制系统。
- 工业控制系统所涉及的网络部分包括：企业资源网络、过程控制和监控网络和控制系统网络。
3.工控系统安全
- 工控网络安全态势及安全问题
- 系统漏洞难以及时处理给工控系统带来安全隐患
- 工业控制系统通信协议在设计之初缺乏足够的安全性考虑
- 没有足够安全政策及管理制度
- 工控系统直接暴露在互联网上
- 系统体系架构缺乏基本的安全保障
- 工控系统的安全防护
- 失泄密防护
- 主机安全管理
- 数据安全管理
- 基线建立
- 运行监控
- 实施防御