一.网络空间安全
网络空间:一个由信息基础设施组成相互依赖的网络。 ---- 海陆空天(大海、陆地、天空、航天)通信保密阶段 ---- 计算机安全 ----- 信息系统安全 ----- 网络空间安全计算机安全:开始秉持着“严于律己,宽以待人”信条,基于TCP/IP协议传送信息当从蠕虫病毒出现,具有传染性的病毒,出现要保证安全的意识
二、信息安全概述
Ⅰ.信息安全现状及挑战
A.网络空间安全市场在中国潜力无穷
B.数字化时代威胁升级
比如:1. 勒索病毒 ---- 具有蠕虫特性( 传染性 )五个阶段:锁定设备、不加密数据 --- 2008年以前加密数据、交付赎金后解密 --- 2013年前后攻陷单点后,横向扩散 --- 2017年前后加密货币的出现改版勒索格局RaaS模式初见规模
图标记忆
![](https://i-blog.csdnimg.cn/direct/538f6253f4434457be9e91100f7d3eca.png)
传播方式:钓鱼软件、蠕虫式传播、恶意软件捆绑、暴力破解、Exploit Kit分发
勒索病毒攻击链分析
特点:
针对攻击者:传播入口多、传播技术隐藏、勒索产业化发展针对受害者:安全状况看不清、安全设备防不住、问题处置不及时
2.APT 攻击 --- 平昌冬奥会遭受钓鱼邮件攻击APT 攻击 --- 高级持续性威胁例子:zheng'wang'shi'jian木马病毒 --- 以 控制 为目的蠕虫病毒 --- 以 破坏 为目的3. 网络空间安全 --- 棱镜门事件爆发4. 数据泄露5. 个人信息泄露
C.传统安全防护逐步失效
变种僵尸网络病毒/木马/蠕虫病毒,这些病毒是传统的防火墙、IPS、杀毒软件等级与特征库的安全检测无法过滤的。 --- 可通过U盘带入、BYOD带入、恶意的内部用户、零日漏洞、APT攻击
D.安全风险能见度不足
1.看不清资产 ---- 比如公司给员工配置电脑,可以连接公司网络,但是如果员工手机知道WiFi密码后,将手机连入,就带入了新的业务,这是不能完全知道的2.看不见新型威胁 :水坑攻击、鱼叉邮件攻击、零日漏洞攻击、其他攻击水坑攻击:是一种网络攻击方法,攻击者通过分析受害者的上网活动规 律,寻找受害者经常访问的网站的弱点,并在这些网站上部署恶意程 序。当受害者访问这些被部署了恶意程序的网站时,就会被感染。这种 攻击利用的是受害者对网站的信任,因此更难被发现。恶意程序:一般胡具备以下多个或全部特点特点:非法性 ---- 软件自动启用隐蔽性潜伏性可触发性表现性破坏性传染性针对性 ---- 针对的对象会不一样;例如:震网病毒针对的是操作系统变异性不可预见性 --- 对其病毒造成的破坏不确定, 看不见内网潜藏风险:黑客内部潜伏后预留的后门、伪装合法用户的违规操 作行为、封装在正常协议中的异常数据外发、看不见的内部人员违规操作
E.缺乏自动化防御手段
F.网络安全监管标准愈发严苛
1.《网络安全法》:2017年正式生效《信息安全技术网络安全等级保护基本要求》:2019年05月
2.信息安全:防止对任何数据进行未授权访问的措施,或者防止造成信息有意无意泄露、破坏、丢失等问题的发生,让数据处于远离危险、免于威胁的状态或特性3.网络安全:计算机网络环境下的信息安全。4.常见的网络安全术语
注意 :a.漏洞是客观存在的,要与漏洞利用exploit区分b.0day、1day(当0day漏洞被公开后——补丁修复之间的时间)、nday(厂商已经发布了针对该漏洞的补丁,并且该补丁已经存在一段时间)c.后门有好坏之分d.攻击与入侵:一个是手段,一个是目的
Ⅱ.信息安全的脆弱性及常见安全攻击
A.网络环境的开放性
B.协议栈的脆弱性及常见攻击
C.协议栈自身的脆弱性
D.常见的安全风险
E.网络的基本攻击模式 --- 主动威胁【篡改(完整性)+中断(可用性)+伪造(真实性)】和被动威胁(机密性)
1.物理层 --- 物理攻击
指攻击者直接破坏网络的各种物理设备,比如服务器设施、或者网络的传输通信设施等设备破坏攻击的目的主要是为了中断网络服务物理设备窃听 :光纤窃听、红外监听自然灾害 :高温、低温、洪涝、龙卷风、暴雨、地震、海啸、雷电等。处理办法 :建设 异地 灾备数据中心。2.链路层
a.交换机泛红攻击 --- 先记后发 --- 防御方法:将 IP 地址和 MAC 地址写固定交换机中存在着一张记录着MAC 地址的表 ,为了完成数据的快速转发,该表具有自动学习机制;泛洪攻击 即是攻击者利用这种学习机制不断发送不同的 MAC 地址给交换机,填满整个 MAC 表,此时交换机只能进行数据广播,攻击者凭此获得信息。b.ARP欺骗 ---- 防御方法:将 IP 地址和 MAC 地址写固定3.网络层 --- ICMP攻击
4.传输层 --- TCP SYN Flood攻击
面向连接 --- 要求通信双方在进行数据传输前先建立一个连接 ---- 用的是四端口( ssrcip 、 dip 、 srcport 、 dport )五端口多了一个协议SYN报文是 TCP 连接的第一个报文,攻击者通过大量发送 SYN 报文, 造成大量未完全建立的 TCP 连接,占用被攻击者的资源 。 ---- 拒绝服务攻击解决方法:1.使用代理防火墙 --- 每目标IP代理阈值,每目标IP丢包阈值2.首包丢包 --- 为了确保所有的数据包都能到达服务器,设计了一个重传 机制。真实的客户端访问,在一定的时间内如果没有收到服务器的回 复,将会再次发送SYN报文,但攻击机制通常不会再重发。所以丢弃首 次SYN报文后,就相当于过滤掉了虚假的客户端访问,进而防御了伪造 源IP进行的SYN Flood攻击,保障了服务器的正常运行。3.SYN cookie --- 用于抵御SYN Flood攻击,TCP连接的建立过程。 它通过 将一些关键信息编码到SYN-ACK包的初始化序列号中,从而在不消耗系 统资源的情况下处理大量的半开接。
5.应用层 ---- DNS欺骗攻击
DNS数据被篡改,“深信服“变"三信服"
Ⅲ操作系统的脆弱性及常见攻击
A.操作系统自身的漏洞
人为原因:在编写程序过程中,为直线不可告人的目的,在程序代码的隐藏 处保留后门客观原因:受编程人员的能力,经验和单身狗hi安全技术所限,在程序中难 免会有不足之处,轻则影响程序效率,重则导致非授权的用户的权限提升硬件原因:由于硬件原因,是编程人员无法弥补硬件的漏洞,从而使硬件的 问题通过软件表现缓存区域溢出攻击,利用编写不够严谨的程序,通过向程序的缓冲区写入超 过预定长度的数据,造成缓存的溢出,从而破坏程序的堆栈,导致程序执行 流程的改变危害:最大数量的漏洞类型、漏洞危害等级高防御手段:用户:补丁、防火墙开发人员:编写二安全代码、对输入数据进行验证、使用相对安全的函 数系统:缓冲区不可执行技术、虚拟化技术
B.中断的脆弱性及常见攻击
常见攻击
勒索病毒(同上)挖矿病毒 :定义 :一种恶意程序,可自动传播,在未授权的情况下,占用系统资源,为攻击者谋利,使得受害者机器性能明显下降特点 :占用 CPU 或 GPU 等计算资源、自动建立后门、创建混淆进程、定期改变进程名与PID 、扫描 ssh 文件感染其他机器。危害 :占用系统资源、影响系统正常使用。特洛伊木马:定义 :完整的木马程序一般由两个部份组成:服务器程序与控制器程序。特点 :注入正常程序中,当用户执行正常程序时,启动自身。自动在任务管理器中隐藏,并以“ 系统服务 ” 的方式欺骗操作系统。包含具有未公开并且可能产生危险后的功能的程序。具备自动恢复功能且打开特殊端口。危害 :窃取隐私,影响用户使用体验。僵尸网络:定义 :采用一种或多种传播手段,将大量主机感染僵尸病毒程序,从而在控制者和被感染主机之间所形成的一个可一对多控制的网络;特点 : 可控的网络,有一定的分布性,随着 bot 程序的不断传播而不断有新位置的僵尸计算机系统添加到这个网中,可以一对多地执行相同地恶意行为危害 :拒绝服务攻击;发送垃圾邮件;窃取秘密;滥用资源;僵尸网络挖矿
图表记忆:
![](https://i-blog.csdnimg.cn/direct/81d707159aa34b78a34c77de56b8561e.png)
其他攻击
1. 社工攻击原理:社会工程攻击,是一种利用“社会工程学 ” 来实行地网络攻击行为;防御手段:定期更换各种系统账号密码,使用高强度密码等;2.跳板攻击原理:攻击者通常并不直接从自己的系统向目标发动攻击,而是先攻破若干中间系统, 让它们成为 “ 跳板 ” ,再通过这些 “ 跳板 ” 完成攻击行动。防御手段:安装防火墙,控制流量进出。系统默认不使用超级管理员用户登录,使用普通用户登录,且做好权限控制。3.钓鱼式攻击/鱼叉式钓鱼攻击原理:通过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪诈骗过程。鱼叉式网络钓鱼指针对特定目标进行攻击的网络钓鱼攻击。防御手段:保证网络站点与用户之间的安全传输,加强网络站点的认证过程,即时清除网钓邮件,加强网络站点的监管。4.水坑攻击:原理:攻击者通过猜测确定特定目标经常访问地网站,并入侵其中一个或多个网站,植入恶意软件;防御手段:通常通过零日漏洞感染网站;针对已知漏洞 --- 应用最新的软件修补程序;如果而已内容被检测到,运维人员可以监控他们的网站和网络,然后阻止流量;
终端安全防范措施
1.不要点击来源不明的邮件附件,不从不明网站下载软件2.及时给主机打补丁,修复相应的高危漏洞3.对重要的数据文件定期进行非本地备份4.尽量关闭不必要的文件共享权限以及关闭不必要的端口5.RDP远程服务器等连接尽量使用强密码,不要使用弱密码6.安装专业的终端安全防护软件,为主机提供端点防护和病毒
图标记忆:
![](https://i-blog.csdnimg.cn/direct/0a092812e28349c7ab3ad7d7988f85b2.png)
Ⅳ信息安全概述
信息安全要素保证网络站点与用户之间的安全传输,加强网络站点的认证过程,即时清除网钓邮件,加强网络站点的监管。五要素:保密性 ---- 确保信息不暴露给未授权的尸体或进程 ---- 例子: QQ 被盗完整性 ---- 只有得到允许的人才能修改实体或进程,并且能够判别出实体或进程是否已被修改。---- 例子:数据被黑可用性(CIA 的黄金三角) ---- 用户、行为、流量 ---- 数据被加密可控性 ----- 指对危害国家信息(包括利用加密的非法通信活动)的监视审计 ----- 人肉个人信息不可否认性 ---- 对出现的安全问题提供调查的依据和手段 ----- 黑掉公司服务器
Ⅴ 整体安全解决方案
风险可视化 --- 将看不清的资产转为看得见的资产防御自动化 --- 进攻、主动防御运行自动化 --- 全天候自动化安全智能化 --- 转为智能驱动、并能抵御未知高级威胁