第一章:了解网络安全原理

思科出版社

通过Michael Watkins和Kevin Wallace

有个足球雷竞技app |

以前的 1 2 3.4.5. 页3. 下一个

第3页，共5页

物理漏洞，如火，地震或龙卷风
系统设计中的缺点
系统使用的协议中的弱点
系统执行的代码中的缺点
系统参数的次优配置
恶意软件（例如，病毒）
人的弱点(无论是有意的还是无意的)

例如，考虑人类的弱点。由于大多数针对信息系统的攻击都是由“内部”人员发起的，因此应该设置控制措施，以防止有意或无意地滥用信息系统。

社会工程是无心误用的一个例子。为了说明这个概念，考虑一个外部攻击者调用接待员的情况。攻击者假装是公司IT部门的一员，并说服接待员告诉他她的用户名和密码。然后攻击者可以使用这些凭据登录到网络中。

为了防止单一内部用户意外或有目的地启动攻击，某些组织要求两个用户在进行特定行为之前输入其凭据，就像推出导弹所需的两个键一样。

此外，许多员工关心完成一项特定的任务。在他们看来，如果严格的安全程序阻碍了他们的工作，他们可能会绕过任何安全措施，以提高工作效率。因此，用户教育是任何组织安全策略的关键组成部分。

潜在的攻击者

保护数据的另一个要素是识别可能想要窃取或操纵数据的潜在攻击者。例如，公司可能需要保护其数据不受公司竞争对手、恐怖分子、员工和黑客的影响，这只是其中的一小部分。

术语“黑客”通常是非常慷慨地用于描述攻击者。然而，并非所有黑客都有恶意的意图。

各类“黑客”如表1-5所示。

表1-5　黑客的类型
类型的“黑客”	描述
白帽黑客	白帽黑客有闯入计算机系统的技能并造成伤害。但是，他使用他的技能来帮助组织。例如，白帽黑客可能会为公司工作以测试其网络的安全性。
黑帽黑客	黑色帽子黑客，也被称为“饼干”，以不道德的原因使用他的技能（例如，窃取资金）。
灰色帽子黑客	一个灰帽黑客可以被认为是一个白帽黑客谁偶尔走失和行为不道德。例如，一个灰帽黑客可能被雇佣为合法的网络安全测试人员。然而，在履行道德义务的过程中，他找到了获取个人利益的机会，并以不道德的行为获取个人利益。
Phreaker.	一位短筒纪为是电信系统的黑客。例如，称为“船长紧缩”的切片器使用了一盒他在一盒船长谷物（产生了2600赫兹音）以诱使电话系统进入让他放置免费的长途电话。说服电信载体以这种方式允许自由的长途电话是一个例子“切片。”
脚本	剧本kiddy是缺乏典型黑客技能的用户。相反，他下载了黑客实用程序，并使用这些实用程序来启动攻击，而不是编写自己的程序。
黑客动手	黑客神奇主义者是一个具有政治动机的黑客，例如蔑视政治候选人网站的人。
计算机安全黑客	计算机安全黑客了解计算机和网络安全系统的技术方面。例如，这个人可能会试图攻击一个受IPS保护的系统，方法是用一种IPS不会检测到的方式分割恶意流量。
学术的黑客	学术黑客通常是高等教育机构的员工或学生。学术黑客使用该机构的计算资源来编写“巧妙”程序。通常，这些黑客使用他们的真实姓名（与经常被计算机安全性黑客使用的假名不同），并且他们倾向于专注于基于开放标准的软件和操作系统（例如，Linux）。
爱好黑客	爱好黑客倾向于专注于家庭计算。他可能会修改现有硬件或软件，例如，没有合法许可证的使用软件。例如，“解锁”Apple iPhone的代码可能是业余爱好黑客的工作。

如表1-5所示，“黑客”都有许多味道，这导致了这个问题，“什么激励了黑客？”一些黑客可能会努力为各国政府努力收集其他政府的情报。一些攻击者通过他们的攻击寻求财务收益。其他黑客只是享受损害受保护信息系统的挑战。

本书详细介绍了攻击者可以启动的几种特定攻击。但是，此时，您应该熟悉五类广泛的攻击：

被动的：被动攻击难以检测，因为攻击者没有积极发送流量（恶意或其他）。被动攻击的示例是攻击者捕获来自网络的数据包，并尝试解密它们（如果流量最初被加密）。
积极的：主动攻击更容易检测，因为攻击者正在积极发送可以检测到的流量。攻击者可能会在尝试访问分类信息或修改系统上的数据时启动主动攻击。
逼近：当姓名暗示攻击者与目标系统密切理解时，才会发生近似攻击。例如，如果他获得对这些设备的物理访问，攻击者可以在某些路由器，交换机和服务器上绕过密码保护。
内幕：当合法网络用户以恶意时尚时利用其凭证和网络知识时，发生内幕攻击。
分配分发攻击故意在硬件或软件系统的制造点引入“后门”。在这些系统被分发给各种客户后，攻击者可以利用他所知道的植入的后门，例如，访问受保护的数据，操纵数据，或使目标系统无法被合法用户使用。

黑客的思维集

黑客可以使用各种工具和技术将“黑客”进入系统（即，未经授权访问系统）。虽然这些方法不同，但以下步骤说明了黑客攻击系统的黑客方法过程的一个示例：

第1步	通过执行侦察来了解更多关于系统的信息。在这个步骤中，也被称为“足迹”，黑客了解关于系统的所有信息。例如，他可能知道目标公司的域名和IP地址范围。他可能会执行端口扫描，以查看目标系统上打开了哪些端口。
第2步	识别系统上的应用程序，以及系统的操作系统。黑客可以使用各种工具试图连接到一个系统，他们收到的提示(例如，FTP登录提示或默认网页)可以提供对系统操作系统的深入了解。此外，前面提到的端口扫描可以帮助识别在系统上运行的应用程序。
第3步	获得对系统的访问权限。社交工程是获取登录凭据的最受欢迎的方式之一。例如，公共DNS记录为公司的域名提供联系信息。黑客可能能够使用此信息来说服域管理员以显示有关系统的信息。例如，黑客可以假装成为服务提供商或政府机构的代表。这种方法被称为电话窃听丑闻。
第四步	用获得的用户凭据登录，并升级黑客的特权。例如，黑客可以引入特洛伊木马(一种看起来是合法的应用程序，但也执行一些看不见的恶意功能的软件)来提升自己的权限。
第5步	收集额外的用户名和密码。具有适当的权限，黑客可以运行实用程序来创建用户名和/或密码的报告。
第6步	配置“后门”。通过常规用户名/密码访问系统可能不是黑客如何反复访问系统的访问方式。密码可能会过期，可以记录登录。因此，黑客可能安装后门，这是一种获得对绕过正常安全措施的系统的访问的方法。
第7步	使用系统。在黑客获得系统的控制之后，他可能会收集来自该系统的受保护信息。或者，他可能会操纵系统的数据或使用系统来启动对系统可能具有既有信任关系的其他系统的攻击。

防守深入

由于安全解决方案仅作为最弱端的链接，因此网络管理员受到质疑，以实现保护复杂网络的安全解决方案。因此，思科而不是部署单一安全解决方案，建议多个重叠的解决方案。这些重叠解决方案定位了安全的不同方面，例如防止内幕攻击并确保技术攻击。这些解决方案也应进行常规测试和评估。安全解决方案也应该以消除任何单点故障的方式重叠。

防守深入是一种设计哲学，实现了这种分层的安全方法。深度部署防御中存在的安全层应彼此提供冗余，同时提供用于保护网络的多个方面的各种防御策略。应消除安全解决方案中的任何单个故障点，应加强安全解决方案中的弱链路。

深度设计哲学的防御包括以下建议：

防御网络中的多个攻击目标。
- 保护网络基础架构。
- 保护战略计算资源，例如通过基于主机的入侵防御系统（HIPS）。
创造重叠的防御。例如，包括入侵检测系统（IDS）和IPS保护。
让受保护资源的值决定安全机制的强度。例如，部署更多资源以保护网络边界，而不是部署以保护最终用户工作站的资源。
使用强大的加密技术，例如AES（而不是DES）或公钥基础设施（PKI）解决方案。

考虑在深度拓扑中的样品防御图1 - 2。请注意两个电子邮件服务器 - 外部和内部。外部电子邮件服务器充当内部电子邮件服务器的电子邮件继电器。因此，尝试利用电子邮件漏洞的攻击者必须危及电子邮件服务器以影响内部公司电子邮件。

还注意使用基于网络的入侵检测系统（NID），网络入侵防御系统（NIPS）和基于主机的入侵防御系统（HIPS）。所有这三个缓解策略都会寻找恶意流量，并可以警惕或丢弃这种交通。但是，这些策略部署在网络中的不同位置，以保护网络的不同区域。这种重叠又多元化的保护是深度设计理念的防御的一个例子。

但是，如果通过单个管理站配置和管理网络中的所有安全解决方案，则该管理站可以是单一的故障。因此，如果攻击者妥协管理站，他可以击败其他安全措施。

图1 - 2

防守深入

在“潜在攻击者”部分，您阅读了大约五类攻击;表1-6提供了每个类别的重叠防御的示例。

表1 - 6　防范不同类型的攻击
攻击类	第一防御层	次要防守
被动的	加密	应用综合安全性
积极的	网络边缘的防火墙	臀部
内幕	保护未经授权的物理访问	身份验证
逼近	保护未经授权的物理访问	视频监控系统
分配	安全软件分发系统	实时软件完整性检查

了解IP欺骗

攻击者可以通过发起IP欺骗攻击来发起多种攻击。IP欺骗攻击使攻击者的IP地址看起来是可信的IP地址。例如，如果攻击者使主机相信他是受信任的客户端，他可能获得访问主机的特权。攻击者还可以捕获流量，其中可能包括用户名和密码等凭证。作为另一个例子，您可能熟悉拒绝服务(DoS)和分布式拒绝服务(DDoS)攻击。此类攻击的作案者可能会使用IP欺骗来帮助隐藏自己的身份。

要了解IP欺骗攻击如何，请考虑IP和TCP的操作。在第3层，攻击者可以轻松修改他的数据包以使源IP地址似乎是“可信”的IP地址。然而，在第4层操作的TCP可能更为挑战。

从您的早期研究TCP，您可能会记得使用三通握手建立TCP会话：