精编【安全生产】网络安全和防火墙
【安全生产】网络安全和防
火墙
xxxx年xx月xx日
xxxxxxxx集团企业有限公司
Please enter your company's name and contentv
网络安全和防火墙
第一章定义安全
一、安全：
1、定义：在给合法用户提供正常的访问权限的情况下，限制或禁止非法用
户对资源的访问。由于在我们的网络中存在了复杂的技术，如LAN, WAN, Internet, VPN，所以就要求我们针对不同的技术采用不同的防护措施。
2、特点：
没有绝对的安全，仅有相对的安全
确定安全等级需要平衡
3、有效的安全性系统包括：
能够进行访问控制
易于使用
尽量降低总体拥有成本
灵活稳定
具有很好的警报和日志功能
二、需要保护的资源：
1、终端：下载软件，安装服务，恶意操作
2、网络资源：TCP/IP中没有内置安全性机制，Spoofing
3、服务资源：网络的核心服务，DNS, WINS, Web..
4、数据：file server, database server
三、黑客的类型：
1、casual attackers: script kids
2、determined attackers：hackers
3、spies: crackers
四、安全模型：
1、验证：
2、访问控制：
3、数据机密性：prevent passive threats
4、数据一致性：prevent active threats
5、抗抵赖性
第二章安全组件：
一、金字塔模型
二、联合的安全性策略：定义了网络的安全性需求和所需的安全性技术
1、系统分类：
level I：5%，不允许超过两个小时的荡机时间，对公司的正常运行
具有至关重要的资源，验证、访问控制、审核、日志、病毒扫描、晋
级恢复机制、入侵检测、
level II：20%，允许不超过48小时的荡机时间，少量的审核和监视
level III: 75%, 病毒防护
2、根据资源的重要性和可靠性进行优先级的划分
3、标示入侵的可能性
4、定义可接受和不可接受的活动：
可接受：安全性高，避免出现安全漏洞
限制用户的活动
不可接受：管理的工作量小，灵活
容易出现安全漏洞
5、对不同的资源定义安全性标准：
6、对不同的用户定义不同的教育内容
三、加密：
1、功能：数据的机密性、数据的一致性，验证和抗抵赖性
2、类型：对称加密，公钥加密，散列
3、加密的强度：
影响因素：算法的强度
密钥的安全性
密钥的长度
四、身份验证：
1、作用：提供用户级的访问控制
2、方法：what you know：most common methods, password
based
what you have: smart card
who you are: biometrics
where you are: location based, r* serial programs and
reverse dns lookup
3、实现：
Kerberos V5
演示分别从98和2000的计算机上登录域，进行密码的捕获
过程
优点：可以提供验证、加密和一致性
不需要在网络上传输密码
加密信息
抗重演攻击
能够控制对资源的访问
缺点：仅提供了工作站级的安全性
OTP：防止snooping和password hijacking
三、访问控制：控制对于对象的访问
1、ACL：
2、ECL：调节进程的运行方式
五、审核：对所发生的事件进行记录并采取相应的措施。
1、消极的审核：仅记录
2、积极的审核：记录事件并采取相应的措施
第三章加密技术
一、基本概念：
1、rounds：数目愈大，加密越强
2、parallelization：多进程处理
3、strong encryption：密钥长度超过128位
二、类型：
1、对称加密
特点：
优点：速度快，适合加密大量数据
缺点：密钥的分发
产品：DES, 3DES, RSA
2、公钥加密：
特点：
优点：密钥分发能过确保安全，抗蛮力攻击
缺点：比对称加密慢100倍，不适合加密大量数据
应用：数据加密，数字签名
产品：DSA, Diffie-Hellman
3、散列加密：
特点：单向
优点：密钥的安全性
应用：身份验证
产品：MD5, SHA1
三、加密的实际应用：
1、对电子邮件的防护：
原理：
类型：
客户端加密：优点，不依赖于服务器产品，能够在不同厂商的服务
器间发送加密的邮件
缺点，需要较多的配置
类型：PGP, 开放的协议
S/MIME, 工业标准
服务器加密：优点，客户端不需要任何配置
缺点，依赖于服务器产品
应用：PGP
2、加密文件：
EFS:加密数据
MD5sum:签名文件，防止修改
3、加密Web交通：
类型：Secure HTTP, SSL/TLS, SET
Secure HTTP: 工作在应用层，仅能加密HTTP的交通
SSL/TLS：工作于传输层，能够加密HTTP, FTP, EMAIL的交通：
通过SSL提供WEB服务器的安全性：
原理：
实现考虑：
如果需要验证服务器，则应该在服务器上安装服务器证书；如果要验证客户机，则要安装客户机证书（需要应用程序支持）
可以实现不同级别的加密：40，56，128
采用HTTPS访问
对于内部站点，可以使用内部的CA；对于外部站点，可以使用共有CA
可以选择保护站点中的某一部分区域
实现：
设计VPN连接的安全性：
1、VPN的优点：
外包的拨号支持
减少话费指出
增高的连接速度
2、选择VPN协议：通过封装和加密两种方式进行数据的安全传颂，包括PPTP
L2TP/IPSec
PPTP：采用MPPE加密数据，具有40，56，128的加密强度，应用于基于IP的网络上，支持多种协议，不进行计算机身份验证，可以通过NAT，微软的所有
客户机均支持，适中等安全性网络，不需要PKI和IPSec
L2TP：结合IPSec形成隧道，可以在任何基于点对点的网络介质形成隧道，基于IPSec 进行计算机验证，支持多种协议，不能通过NAT，仅2000支持，能够提供
强力安全性
实现：（可选）
实现IPSec提供数据安全性：
原理：位于网络层，通过加密和签名提供IP层端到端数据安全性，不需要应用程序支持，对上层应用是透明的。但仅有2000支持。
AH
Figure 8.1 Authentication Header
Next Header Identifies the next header that uses the IP protocol ID. For example, the value might be “6” to indicate TCP.
Length Indicates the length of the AH header.
Security Parameters Index (SPI) Used in combination with the destination
address and the security protocol (AH or ESP) to identify the correct security association for the communication. (For more information, see the “Inte rnet Key Exchange” section later in this chapter.) The receiver uses this value to determine with which security association this packet is identified.
Sequence Number Provides anti-replay protection for the SA. It is 32-bit, incrementally increasing number (starting from 1) that is never allowed to cycle and that indicates the packet number sent over the security association for the communication. The receiver checks this field to verify that a packet for a security association with this number has not been received already. If one has been received, the packet is rejected.
Authentication Data Contains the Integrity Check Value (ICV) that is used to verify the integrity of the message. The receiver calculates the hash value and checks it against this value (calculated by the sender) to verify integrity.
Figure 8.2 AH Integrity Signature
ESP
Figure 8.3 ESP
The ESP header contains the following fields:
Security Parameters Index Identifies, when used in combination with the destination address and the security protocol (AH or ESP), the correct security association for the communication. The receiver uses this value to determine the security association with which this packet should be identified.
Sequence Number Provides anti-replay protection for the SA. It is 32-bit, incrementally increasing number (starting from 1) that indicates the packet number sent over the security association for the communication. The sequence number is never allowed to cycle. The receiver checks this field to verify that a packet for a security association with this number has not been received already. If one has been received, the packet is rejected.
The ESP trailer contains the following fields:
Padding 0 to 255 bytes is used for 32-bit alignment and with the block size of the block cipher.
Padding Length Indicates the length of the Padding field in bytes. This field is used by the receiver to discard the Padding field.
Next Header Identifies the nature of the payload, such as TCP or UDP.
The ESP Authentication Trailer contains the following field:
Authentication Data Contains the Integrity Check Value (ICV), and a message authentication code that is used to verify the sender’s identity and message integrity. The ICV is calculated over the ESP header, the payload data and the ESP trailer.
Figure 8.4 ESP: Signature and Encryption 工作过程：
Figure 8.5 IPSec Policy Agent
Figure 8.7 IPSec Driver Services
实现：
选择验证模式：
Kerveros V5：需要活动目录，属于同一个域
基于证书：验证外部用户或结合L2TP使用
预定义的密钥：易于实现
选择模式：
传输模式，
隧道模式，
使用缺省的策略：
客户机：在域级设置
服务器：请求安全，混合网络
安全服务器：需要安全，须制定信息类型
自定义策略：
自动进行证书发放：证书模板，发放机构
域控制器：自动接受证书
客户寄：从本地CA请求证书
利用组策略进行设置：
利用OU组织局相同目的的计算机
在域级配置Client以响应安全通信
每台计算机同时只能有一个生效
验证：
PING
IPSec monitor
Network monitor: capture ISAKMP AH ESP 事件查看器：启用安全审核
启用Oakley Logs: HKLM\SYSTEM\CurrentControlSet\Services\Policyagent\Oakley=1
练习：使用PGP, SSL, IPSec
第四章常见攻击类型
一、蛮力攻击和字典攻击：
Gain access as a legitimate user through guess password or using dictionary
Common tools: John the Ripper for UNIX
Novell PassCrack
Solution: auditing account logon failure
enable account lockout
练习使用NAT
二、系统漏洞和后门：
an unintentional flaw in a program that creates an inadvertent opening
Back door: an undocumented opening in an operating system or program
Common type:
buffer overflow:
Theory
Damage:copy password database to a world-readable place
start/stop services or daemons
open additional port then upload bad applications
write any information
Root kit is a collection of Trojans designed to compromise the system Damages:replace or modify some system elements
(/bin/login, /bin/ps, /bin/ls, /bin/su)
create hidden directories
install loadable kernel modules
launch hidden processes
Avoid the attack:
Reconfigure Linux kernel as a “monolithic kernel”
Install Tripwire or the WFP application
Use antivirus applications
三、社交攻击：
Use tricks and disinformation to gain access sensitive information(such as password)
Common form:
Call and ask for the password
Fake e-mail
练习使用fake email
四、拒绝服务：
Prevent legitimate user from accessing a service and crash remote system
DOS: SYN flood
DDOS: 消耗带宽
Ping of death
Recovering:
DOS:simple reboot
DDOS: reprogram switch and router to drop bad packet
win2k IPSec
Ipchains(2.2 and earlier) Iptables (2.3 and later)
五、Spoof：进行地址伪装，以击败基于地址的验证
类型：包括IP spoofing, ARP spoofing, router spoofing and DNS spoofing
ip spoofing:
攻击对象：运行由tcp/ip的计算机
任何使用了sun RPC调用的计算机
任何利用IP地址认证的网络服务
MIT的X Window系统
R服务
过程：
确定目标主机
序列号取样和猜测
对原主机执行拒绝服务攻击
对目的主机进行地址欺骗
防范：
放弃以地址进行验证
利用路由器进行包过滤，确认只有内部具有信任关系
在通信时使用加密和验证
六、中间人攻击
第五章通用安全性要素
物理安全性：实验
第六章TCP/IP协议栈和相关安全性
一、概述：在开发的初期没有考虑安全性，没有内置相关的安全性机制
二、各层的功能及安全性考虑：
1、物理层：定义了介质的类型、信号和网络拓扑
威胁：缺少安全性机制
网络监听
安全措施：加密、数据标记和填充
2、网络层：寻址和路由选择，没有提供任何的安全防护和流控机制，
能够
高效地进行数据传递
组件：IP, ICMP, IGMP, ARP
威胁：spoofing, ARP spoofing, IP spoofing
ICMP: smurf, network topologies scan, DOS
防护：防火墙过滤
3、传输层：实现端到端的传输
Port: 唯一标示一个应用
Well-known：default,0~1023
Assigned by os: 1024~65536
威胁：端口扫描
组件：TCP, UDP
TCP:
TCP header: SYN,同步序列号
FIN,连接的终结
ACK,期待下一个接受的数据包的序列号连接的建立
连接的终止
威胁：DOS, SYN flood
TCP connection hijacking
UDP:
Applications:TFTP, DNS, video and audio broadcast 威胁：DOS
4、应用层：最难于防护
SMTP:
Common attacks:
Fake mail
Flood SMTP server
Transfer viruses and Trojan horses
Protection:
Disable forward
user authentication
Use proxy server scan all messages
FTP: TCP 20/21
Common attacks:
Buffer overflow
Fill disk space to prevent system or FTP service logging
Transfer password with plaintext
Protection:
Allow anonymous connection and disable upload
Distribute log file and ftp directory in differ partition
Use encryption protocol to encrypt traffic
HTTP: TCP 80