写在前面
网络工程终于讲完了。这星期到了网络安全技术部分。
网络安全实训-网络安全技术
网络安全概述
信息安全：所有保障计算机硬件、系统、软件、数据不因有意或无意的行为导致的服务中断、数据损坏或丢失等安全事件的保障技术
网络安全：基于计算机网络的信息安全
网络不安全
互联网天然的开放性
TCP/IP协议的天然缺陷
缺少保密性：数据窃听
缺少身份源验证机制：身份伪造
缺少数据完整性校验机制：数据篡改
人为原因
常见攻击方式
攻击类型
被动攻击：数据窃听
主动攻击：身份伪造、数据篡改、中断攻击
物理层攻击方式：物理线路损坏、物理线路侦听
数据链路层攻击方式
ARP欺骗攻击：攻击者伪装身份来欺骗发起ARP请求的查询者，从而导致查询这发送给目标的数据都会发送给目击者。
网络层的攻击方式：IP Smurf攻击
传输层攻击方式：TCY SYN Flood攻击
应用层攻击
针对数据库攻击
针对操作系统攻击
针对Web服务攻击
网络安全五要素
数据保密性：数据加密
数据完整性：数字签名
数据源可验证性：数字签名
数据可用性：数据备份容灾、攻击防护
数据可控性：控制和审计用户的上网行为
解决方案：防火墙；上网行为管理；VPN
防火墙概述
定义：部署在网络边界上，防御边界一侧对另一侧攻击行为的设备
技术分类
包过滤防火墙
对数据包的五元组（源IP、目的IP、源端口、目的端口、协议类型）逐包检查，判断是否符合过滤规则，丢弃不符合的数据包
逐包检查降低网络传输速度
只检查数据包的头部信息，无法发现数据内容中的安全风险和隐患
应用代理防火墙
对内网服务器提供代理服务，来承受和防护外网用户对内网服务器的攻击
检查数据应用层内容，可以发现数据内容中的安全风险和隐患
状态检测防火墙
对一组五元组相同的数据流只检查首包的五元组，后续数据包依照首包的处理方式进行处理
只检查首包，避免降低网络传输速度
各类专用安全设备
WAF
IDS/IPS
防DDos
网关防病毒
UTM
统一威胁网关，将传统防火墙功能、WAF、IDS/IPS、防DDoS，网关防病毒等专用安全功能全部集成到一个设备中
下一代防火墙（NGFW）
将传统防火墙功能、WAF、IDS/IPS、防DDoS网关防病毒集成到一个设备中
更有效的功能集成
更强大的应用层处理能力
防火墙初始化配置
1.创建区域，把接口加入相应区域
区域类型
Trust区域：一般将连接内网的接口加入该区域
Untrust区域：一般将连接外网的接口加入该区域
DMZ区域：一般将连接服务器的接口加入该区域
自主创建和划分区域
配置命令
security-zone name 区域名称
进入某个区域（若区域不存在则创建）
import interface 接口名称
将接口加入该区域
2.创建区域间安全策略，放通相关流量
acl advanced 3000
创建3000号ACL
rule permit ip
允许所有流量
zone-pair security source any destination any
配置任意两个区域间的访问控制策略
packet-filter 3000
调用ACL3000号
3.为接口配置IP地址
4.配置缺省路由，下一跳指向互联网
5.配置NAPT，使得内网主机可以上网
6.如果内网有三层环境，还需要配置到达内网网段的路由
部署模式
三层部署模式
防火墙的所有接口都工作在第三层模式，防火墙具备路由器的IP地址、路由转发等功能
二层部署模式
防火墙的所有接口都工作在二层模式，防火墙具备交换机的数据帧转发功能。
