《网络安全-郑万波》网络安全课件

网络安全,第 3 讲,2,网络安全威胁,网络系统缺陷,2,网络信息收集,3,拒绝服务攻击,4,有害程序,5,6,概述,网络欺骗,1,3,网络安全威胁 概述,根据威胁起因分类,2,3,根据威胁对象分类,根据威胁动机分类,1,网络攻击的目标,网络攻击模型,4,5,补充内容,网络安全威胁的对象、动机和起因是网络安全威胁的三大基本要素，以基本要素为依据可对网络安全威胁进行分类分析。,4,概述 威胁对象分类,4,网络设备安全,网络软件安全,网络协议安全,总线型结构 星型结构 环型结构 网状结构 树型结构 混合结构,网络拓扑安全,根据网络系统受威胁的对象，网络安全威胁包括：,5,概述 威胁对象分类 网络拓扑,总线型结构 网络中所有设备通过连接器并行连接到一个传输电缆（通常称之为“中继线”、“总线”、“母线”或“干线”）上，并在两端加装一个称之为“终接器”的部件。,6,概述 威胁对象分类 网络拓扑,总线型结构 在总线两端连接有终结器（或端结器、终端匹配器），主要与总线进行阻抗匹配，最大限度吸收传送端部的能量，避免信号反射回总线产生不必要的干扰。 总线拓扑结构采用一条单根线缆做为传输介质，所有的站点都通过相应的硬件接口直接连接到传输介质上，或称总线上。任何一个节点信息都可以沿着总线向两个方向传播扩散，并且能被总线中任何一个节点所接收，所有的节点共享一条数据通道，一个节点发出的信息可以被网络上的多个节点接收。,7,概述 威胁对象分类 网络拓扑,总线型结构缺点 安全缺陷 总线型拓扑结构的网络不是集中控制，故障检测需在网上各个站点进行，使故障诊断困难。 如果传输介质损坏整个网络将瘫痪。故障发生在站点，删除站点；故障发生在传输介质上，删除这段总线； 在总线的干线基础上扩充，可采用中继器，但此时需重新配置，包括电缆长度的剪裁，终结器的调整等。 接在总线上的站点要有介质访问控制功能（CSMA/CD），用于保证端用户发送数据时不能出现冲突。因此站点必须是智能的，从而增加了站点的硬件和软件费用。 所有的工作站通信均通过一条共用的总线，导致实时性很差。,8,概述 威胁对象分类 网络拓扑,星型拓扑结构 在星型拓扑结构中，网络中的各节点通过点到点的方式连接到一个中央节点（又称中央转接站，一般是集线器或交换机）上，由该中央节点向目的节点传送信息。中央节点执行集中式通信控制策略，因此中央节点相当复杂，负担比各节点重得多。在星型网中任何两个节点要进行通信都必须经过中央节点控制。,9,概述 威胁对象分类 网络拓扑,星型拓扑结构缺点 安全缺陷 一条通信线路只被该线路上的中央节点和一个站点使用，因此线路利用率不高； 对中央节点的依赖性太大致使中央节点负荷太重，当中央节点产生故障时，全网不能工作，所以对中央节点的可靠性和冗余度要求很高。中央节点结构较复杂，容易出现“瓶颈”现象，系统安全性较差。 电缆长度和安装：星型拓扑中每个站点直接和中央节点相连，需要大量电缆，电缆沟、维护、安装等一系列问题会产生，因此而增加的费用相当可观。 扩展困难：要增加新的网点，就要增加到中央节点的连接，这需要事先设置好大量的冗余电缆； 星型拓扑结构广泛应用于网络中智能集中于中央节点的场合。,环型拓扑结构 环型结构中各节点通过环路接口连在一条首尾相连的闭合环型通信线路中，环路中各节点地位相同，环路上任何节点均可请求发送信息，请求一旦被批准，便可以向环路发送信息，环型网中的数据可以单向或双向传输(双向环)。由于环线公用，一个节点发出的信息必须穿越环中所有的环路接口，信息流的目的地址与环上某节点地址相符时，信息被该节点的环路接口所接收，并继续流向下一环路接口，一直流回到发送该信息的环路接口为止。 数据以分组的形式发送。由于多个设备共享一个环，因此需要对此进行控制，以便决定每个站在什么时候可以把分组放在环上。这种功能是用分布控制的形式完成的，每个站都有控制发送和接收的访问逻辑。 环型网络的典型代表是适用于IEEE 802.5的令牌网（Token ring network），在这种网络中，令牌是在环型连接中依次传递。,10,概述 威胁对象分类 网络拓扑,11,概述 威胁对象分类 网络拓扑,环型拓扑结构缺点 安全缺陷 不易重新配置网络。扩充环的配置比较困难，同样要关掉一部分已接入网的站点也不容易。 由于信息是串行穿过多个节点环路接口，当节点过多时，影响传输效率，使网络响应时间变长。但当网络确定时，其延时固定，实时性强。 节点的故障将会引起全网的故障：环型拓扑中数据传输通过了接在环上的每一个节点，如果环上某一节点出现故障，将会引起全网的故障。 诊断故障困难：因为某一节点故障会引起全网不工作，因此难以诊断故障，需要对每个节点进行检测。 环上每个节点接到数据后，要负责将它发送至环上，这意味着要同时考虑访问控制协议。节点发送数据前，必须事先知道传输介质对它是可用的。,12,概述 威胁对象分类 网络拓扑,树型拓扑结构 树型结构是总线型结构的扩展，它是在总线网上加上分支形成的，其传输介质可有多条分支，但不形成闭合回路；也可以把它看成是星型结构的叠加。又称为分级的集中式结构。 树型拓扑具有层次结构，是一种分层网，网络的最高层是中央处理机，最低层是终端，其他各层可以是多路转换器、集线器或部门用计算机。其结构可以对称，联系固定，具有一定容错能力，一般一个分支和节点的故障不影响另一分支节点的工作，任何一个节点送出的信息都由根接收后重新发送到所有的节点，可以传遍整个传输介质，也是广播式网络。,13,概述 威胁对象分类 网络拓扑,树型拓扑结构缺点 安全缺陷 除叶节点及其相连的链路外，任何一个工作站或链路产生故障都会影响整个网络系统的正常运行。 对根的依赖性太大，如果根发生故障，则全网不能正常工作。因此这种结构的可靠性问题和星型结构相似。 树型拓扑结构优点 结构比较简单，成本低。 网络中任意两个节点之间不产生回路，每个链路都支持双向传输。 网络中节点扩充方便灵活，寻找链路路径比较方便。,14,概述 威胁对象分类,14,网络设备安全,网络软件安全,网络协议安全,总线型结构 星型结构 环型结构 网状结构 树型结构 混合结构,网络拓扑安全,根据网络系统受威胁的对象，网络安全威胁包括：,15,概述 威胁对象分类 网络协议,Protocol (RFC2828) (I) A set of rules (i.e., formats and procedures) to implement and control some type of association (e.g., communication) between systems. (E.g., see: Internet Protocol.) (C)In particular, a series of ordered steps involving computing and communication that are performed by two or more system entities to achieve a joint objective. A9042 I identifies a RECOMMENDED Internet definition C identifies commentary or additional usage guidance.,16,概述 威胁对象分类 网络协议,通信网的运行机制基于通信协议。 在网络信息系统中，协议使互不了解的双方能够相互配合并保证公平性。协议可以为通信者建立、维护和解除通信联系，实现不同主机网络互联的共同约定。 协议的基本特点是：预先建立、相互约定：协议的所有参加者要约定按顺序执行的步骤、无歧义、完备性：对每一种可能发生的情况都有预防措施。,17,概述 威胁对象分类 网络协议,不同节点之间的信息交换按照事先约定的固定机制，通过协议数据单元来完成。对每个节点来说，所谓通信只是对接收到的一系列协议数据单元产生响应，面对从网上收到的信息真实性或从节点发给网络中其他节点的真实性均无法提供保证。 由于TCP/IP协议的广泛使用性，因此它的任何安全漏洞都会产生巨大的影响。TCP/IP是无连接的网络，数据信息包穿过传输网时并不采用特定的路由，所以TCP/IP技术并不能向终端应用提供QoS保证。,18,概述 威胁对象分类,18,网络设备安全,网络软件安全,网络协议安全,总线型结构 星型结构 环型结构 网状结构 树型结构 混合结构,网络拓扑安全,根据网络系统受威胁的对象，网络安全威胁包括：,19,概述 威胁对象分类 网络软件,网络软件缺陷 由于软件程序的复杂性、编程的多样性和开发人员能力的局限性，在网络信息系统的软件中很容易有意或无意地留下一些不易被发现的安全漏洞。,20,概述 威胁对象分类 网络软件,操作系统漏洞 操作系统是硬件和软件应用程序之间接口的程序模块，它是整个网络信息系统的核心控制软件，系统的安全体现在整个操作系统之中。对一个设计上不够安全的操作系统，事后采用增加安全特性或打补丁的办法是一项很艰巨的任务。 数据库安全 网络应用缺陷,21,概述 威胁对象分类 网络软件,操作系统漏洞 数据库安全 数据库系统安全缺陷基本类别有：数据管理系统漏洞缺陷、数据库中数据备份方面可能的不足、数据库认证机制的不完善、数据存储的完整性不足和数据存储的机密性不足等。 网络应用缺陷,22,概述 威胁对象分类 网络软件,操作系统漏洞 数据库安全 网络应用缺陷 网络应用软件是最终用户使用网络服务的接口，网络应用软件的缺陷会直接导致用户遭受损失。如：电子邮件等。,23,概述 威胁对象分类,23,网络设备安全,网络软件安全,网络协议安全,总线型结构 星型结构 环型结构 网状结构 树型结构 混合结构,网络拓扑安全,根据网络系统受威胁的对象，网络安全威胁包括：,24,概述 威胁对象分类 网络设备,网桥 网桥工作在OSI参考模型的第二层，完成数据帧的转发，主要目的是在连接的网络间提供透明的通信。网桥的转发依据数据帧中的源地址和目的地址来判断一个数据帧是否应转发和转发到哪个端口。帧中的地址称为MAC地址或硬件地址，即网卡地址。 网桥只能连接相同或相似的网络，只能转发相同或相似结构的数据帧。 使用网桥互联的问题： 广播风暴：由于网桥不阻挡网络中的广播信息，当网络的规模较大时（几个网桥，多个以太网段），有可能引起网络风暴，导致整个网络全被广播信息填满，直至完全瘫痪。 当与外部网络互联时，网桥会把内部网络和外部网络合二为一，合成一个网，双方都向对方完全开放自己的网络资源。其主要根源是网桥只是最大限度地把网络连通，而不管传送的信息是什么。 由于网桥基于“最佳效果”来传送数据信息包，还可能会引起数据丢失，这为网络的安全埋下了隐患。,25,概述 威胁对象分类 网络设备,网桥与交换机（二层交换机） 网桥和交换机都工作在OSI参考模型的第二层，所以一般被人们统称为数据链路层设备。 交换机已经取代了传统的网桥。相对于网桥，交换机的数据吞吐性能更好，端口集成度更高，成本更低，使用更加灵活和方便。 网桥和交换机具有很多相同点，不过这两种技术之间还是存在一些显著区别的： 在速度方面，交换机要明显快于网桥，这是因为交换机主要是使用硬件进行交换，而网桥则需要借助软件来实现交换。 交换机可以连接不同带宽的网络。例如，一个10 Mbps速度的以太局域网和一个100Mbps的以太局域网之间可以通过一台交换机实现互连。 在交换技术方面，交换机支持直通转发、存储转发和无碎片直通转发；而网桥则只能够使用存储转发技术。,26,概述 威胁对象分类 网络设备,路由器 路由器（Router）工作在OSI参考模型第三层，即网络层。它是互联网的主要节点设备。路由器通过路由决定数据的转发。转发策略称为路由选择（routing）。 在路由选择过程中，路由器有两种选择方式，即静态路由和动态路由。 所谓路由表，指的是路由器或者其他互联网网络设备上存储的表，该表中存有到达特定网络终端的路径，在某些情况下，还有一些与这些路径相关的度量。,27,概述 威胁对象分类 网络设备,路由器的安全隐患 路由表被恶意修改或遭受破坏，则可能会给网络的整体或局部带来灾难性的后果。 某些局域网可能会采用IP过滤技术，利用路由器的IP过滤对来自网络外部的非授权用户进行控制，但由于IP的冒用，往往不能达到维护网络安全的目的，而且此法可能会引起黑客对路由表的攻击。,28,概述 威胁对象分类,28,攻击者的动机一般是窃取目标的信息、使目标不能正常工作以及破坏受害人的资源等。,29,概述 威胁动机分类 利用型攻击,利用型攻击是一类试图直接对机器进行控制的攻击。 最常见的有3种： 口令猜测 特洛伊木马 缓冲区溢出,30,概述 威胁动机分类 消息收集型攻击,消息收集型攻击并不对目标本身造成危害，这类攻击用来为进一步入侵提供有用的信息。 主要包括 扫描技术:Nmap,Nessus,X-Scan 体系结构刺探 利用信息服务,31,概述 威胁动机分类 消息伪造攻击,消息伪装攻击用于攻击目标配置不正确的消息，例如： DNS高速缓存污染：由于DNS服务器与其他名称服务器交换信息时并不进行身份验证，这就使得黑客可以将不正确的信息掺进来，并将用户引向黑客自己的主机。 伪装电子邮件：由于SMTP并不对邮件发送者的身份进行鉴定，因此黑客可以对内部客户伪装电子邮件，声称是来自某个客户认识并相信的人，并附带上可安装的特洛伊木马程序或者一个引向恶意网站的连接。,32,概述 威胁对象分类,32,网络安全威胁的起因包括网络安全威胁各核心基本要素，它代表着网络安全威胁的行为形式。,33,概述 威胁起因分类 网络系统缺陷,网络系统是指构成网络的各种组件系统，包括实现网络协议的网络设备、实现网络协义的网络操作系统，网络应用服务和网络数据库等。这些网络系统在设计和实现过程中都可能包含缺陷，由此会导致各种各样的安全威胁。 基本表现形式 来自网络协议或应用的实现，如IP协议栈； 来自软件或系统实现过程中，如缓冲区溢出、注入式攻击和陷门等。,34,概述 威胁起因分类 网络系统缺陷,缓冲区溢出是指当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量溢出的数据覆盖在合法数据上。 SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。 陷门：计算机操作的陷门设置是指进入程序的秘密入口，它使得知道陷门的人可以不经过通常的安全检查访问过程而获得访问。程序员为了进行调试和测试程序，已经合法地使用了很多年的陷门技术。当陷门被无所顾忌的程序员用来获得非授权访问时，陷门就变成了威胁。将安全测量集中在程序开发和软件更新的行为上才能更好地避免这类攻击。,35,概述 威胁起因分类 网络欺骗,缺乏安全认证是多数基本网络通信协议的安全缺陷，由此带来的直接后果就是网络欺骗。例如： IP协议缺乏认证导致IP欺骗；TCP缺乏安全认证导致TCP会话劫持。 由于缺乏IP认证，DNS交互过程的认证安全性有限，从导致DNS欺骗。 网络钓鱼：现实生活中的欺骗手段在网络交互过程中的使用。,36,概述 威胁起因分类 有害程序,有害程序是对计算机或网络用户活动有不同程度负面影响的计算机可执行程序（软件），有害程序是一类有确定危害载体的网络安全威胁。有害程序所能使用的手段也涵盖了各类其他网络安全缺陷。 计算机病毒、特洛伊木马、计算机蠕虫和流氓软件等是有害程序的基本类别，从危害、技术原理和表现方式来看，他们各具特点。,37,概述 威胁对象分类,37,网络安全威胁的起因包括网络安全威胁各核心基本要素，它代表着网络安全威胁的行为形式。,38,概述 威胁起因分类 拒绝服务攻击,拒绝服务（DoS）攻击是指故意攻击网络协议实现的缺陷或直接通过各种手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务，使目标系统停止响应甚至崩溃。这些服务资源包括网络带宽、文件系统空间容量、开放的进程或者允许的连接等。 基本类别为：单一拒绝服务攻击、分布式拒绝服务攻击、反射式分布拒绝服务攻击。,39,概述 威胁起因分类 拒绝服务攻击,最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高时，它的效果是明显的。 DDoS攻击手段是在传统的DoS攻击基础之上产生的，是一种特殊形式的拒绝服务攻击。它是利用多台已经被攻击者所控制的机器对某一台单机发起攻击，在这样的带宽相比之下被攻击的主机很容易失去反应能力的。现在这种方式被认为是最有效的攻击形式，并且很难于防备。,40,概述 威胁起因分类 拒绝服务攻击,DrDoS这是DDoS攻击的变形，它与DDoS的不同之处就是DrDoS不需要在实际攻击之前占领大量的傀儡机。这种攻击是在伪造数据包源地址的情况下进行的，DrDoS可以在广域网上进行。 其名称中的“r”意为反射，是这种攻击行为最大的特点。黑客同样利用特殊的发包工具，首先把伪造了源地址的SYN连接请求包发送到那些被欺骗的计算机上，根据TCP三次握手的规则，这些计算机会向源IP发出SYN+ACK或RST包来响应这个请求。攻击者所发送的请求包的源IP地址是被害者的地址，这样受欺骗的计算机就都会把回应发到受害者处，造成该主机忙于处理这些回应而被拒绝服务攻击。,41,网络攻击的目标,网络攻击技术的演变 网络攻击的目标 网络攻击的分类,42,网络攻击的目标 技术演变,John D. Howard博士的论文认为，网络系统的攻击者共有黑客、间谍、恐怖主义者、公司职员、职业犯罪、破坏者6种类型，不同攻击者的攻击目的各不相同。安全威胁金字塔说明攻击技术复杂性与攻击者人群数量变化之间的关系。目前，已知的黑客攻击手段达数百种之多，而随着攻击工具的完善，攻击者不需要专业知识就能够完成复杂的攻击过程。,43,网络攻击的目标 技术演变,黑客攻击早在主机终端时代就已经出现，随着Internet的发展，现代攻击则从以系统为主的攻击转变到以网络为主的攻击。攻击者为了实现其目的，使用各式各样的工具，甚至由软件程序自动完成目标攻击。,44,网络攻击的目标 技术演变,网络攻击技术的变化特征（1）： 网络攻击自动化：网络攻击者利用已有攻击技术，编制能够自动进行攻击的工具软件。 网络攻击人群： 网络攻击人群从以前的的技术人员向非技术人员变化，从单独个体攻击行为向有组织的攻击行为变化。 网络攻击目标：网络攻击目标已经面向网络的各个层面。网络通信协议、密码协议、网络域名服务、网络的路由服务系统、网络应用服务系统，甚至网络安全保障系统均成为攻击对象。,45,网络攻击的目标 技术演变,网络攻击技术的变化特征（2）： 网络攻击协同：攻击者利用Internet上巨大的资源，开发特殊的程序，将不同地域的计算机协同起来，向特定的目标发起攻击。 2000年2月，黑客以DDos方法攻击雅虎(Yahoo!)等大型网站，导致服务瘫痪。 爱尔兰数学家Robert Haley和他的3位同事动用Internet网络中9500台计算机强行破解了应用椭圆曲线算法加密的信息，其中密钥长度为109位。 网络攻击智能化：网络攻击与病毒程序相结合，病毒的复制传播特点使攻击程序如虎添翼。,46,网络攻击的目标 技术演变,网络攻击技术的变化特征（3）： 拒绝服务攻击：最简单的拒绝服务攻击是“电子邮件炸弹”，它使用户在很短时间内收到大量电子邮件，使用户系统不能处理正常业务，严重时会使系统崩馈、网络瘫痪。 网络攻击的主动性：网络攻击者掌控主动权，而防御者被动应付。攻击者处于暗处，而攻击目标则处于明处。,47,网络攻击的目标 攻击目标,网络攻击是指网络用户末经授权的访问尝试或者未经授权的使用尝试。网络攻击方法众多，其攻击目标主要是破坏网络信息的机密性、网络信息的完整性、网络服务的可用性、网络信息的非否认（抗抵赖）性和网络运行的可控性。,48,网络攻击的目标攻击目标,网络信息的机密性与攻击方法实例：网络信息的机密性目标是防止未经授权泄漏敏感信息。常见的针对网络信息保密性的攻击方法有： 网络信息拦截：网络攻击者可以偷听移动电话，搭线窃听，或者偷看传输的电子邮件。 Tempest技术：网络攻击者采用电子设备远距离监视电磁波的传送过程。灵敏的无线电接收装置能够在远处看到计算机操作者输入的字符或屏幕显示的内容。 社交工程(Social Engineering)方法：网络攻击者通过一系列的社交活动，获取需要的信息。例如，伪造系统管理员的身份，给特定的用户发电子邮件骗取他的密码口令。,49,网络攻击的目标 攻击目标,网络信息重定向：网络攻击者设法将信息发送端重定向到攻击者所在的计算机，然后再转发给接收者。例如，攻击者伪造某个网上银行域名，用户不知真假，却按银行要求输入账号和密码，攻击者从而获取银行账号信息。 数据推理：数据聚合和相关入侵使攻击者有可能从公开信息推测出敏感信息。 网络监听：利用以太网的特点，网络攻击者可以接收整个网络上的信息包（如将网卡设为混杂模式）。 邮件病毒：网络邮件病毒让邮件传播带有病毒的文件。,50,网络攻击的目标 攻击目标,网络信息的完整性与攻击方法实例：网络信息的完整性目标是防止未经授权修改信息。在特定的环境中，完整性比机密性更加重要。例如，甲方向乙方通过网络电子转账100万元，如果将100万元改为1000万元，比泄漏这笔交易的后果更为严重。,51,网络攻击的目标 攻击目标,常见的针对网络信息完整性的攻击方法有： 身份认证攻击：身份认证攻击是指攻击者伪装成具有特权的用户。常见的攻击方法有：密码猜测、窃取口令、窃听网络连接口令、利用协议实现/设计缺陷、密钥泄漏、中继攻击。 会话劫持：会话劫持是指攻击者在初始授权之后建立一个连接。在会话劫持以后，攻击者具有合法用户的特权权限。典型的实例是“TCP会话劫持”。 程序异常输入：利用程序设计者的疏忽，攻击者可以通过输入异常数据给某个处理接收程序，导致该程序出现异常，最常用的输入异常攻击是缓冲区溢出攻击方法。攻击者有意向程序输入大量的字符，造成堆栈溢出，而溢出的地址指向一段有恶意的程序。这样，攻击者就可能获得系统更高的权限，进而修改敏感数据。,52,网络攻击的目标 攻击目标,网络可用性与攻击方法实例：网络攻击者另一种常用的方法是针对网络可用性的攻击，即拒绝服务攻击。拒绝服务攻击具有以下特点：难确认性、隐蔽性、资源有限性、软件复杂性。 常见的拒绝服务攻击方法有以下3种：,53,网络攻击的目标攻击目标,消耗网络带宽：攻击者有意制造大量的数据包或传输大量文件以占用有限的网络带宽，使合法的用户无法正常使用网络资源。具体过程如下： 假冒个不存在的主机向整个网络发ICMP数据包，探测主机是否存在。 网络中的每台主机在接到这样一个ICMP数据包时，都试图回应，向那个假冒的实际上不存在的主机发应答包，由于该主机实际并不存在，应答包的发送者会以为网络有故障，在有规律的几次延迟（一般是5:10:20秒）之后，如果还是得不到响应，才会放弃继续发包。 在以上攻击过程中，至少存在4次广播过程：第1次由攻击者发起，发向网络中的每一台主机，第2次第4次由网络上的每一台主机发起，目标是并不存在的假冒主机，由此而产生的网络流量是巨大的，尤其是第2次第4次的数据包，由于目标并不存在，这种数据包流遍网络中的每一个结点之后，才会由于找不到目标而停止。,54,网络攻击的目标 攻击目标,消耗磁盘空间： 利用垃圾邮件产生大量的邮件信息； 故意制造出出错的Log信息：某些系统提供出错信息记录功能，攻击者就故意制造出错Log信息。 故意制造垃圾文件：攻击者以合法的身份进入系统，然后编制shell程序，故意制造垃圾文件。 在匿名FTP站点的公开目录下或者网络邻居的共享区域下放置大量的垃圾文件。,55,网络攻击的目标 攻击目标,消耗CPU资源和内存资源：一些系统提供的CPU资源和内存资源是由许多进程共用的，攻击者利用系统的特点，任意使用大量的CPU资源和内存资源，从而导致系统服务性能下降甚至造成系统崩溃。,56,网络攻击的目标 攻击目标,网络运行可控性与攻击方法实例：常见的攻击方法有： 网络蠕虫：蠕虫病毒的传染机理是利用网络进行复制和传播，传染途径是通过网络、电子邮件以及u盘、移动硬盘等移动存储设备。蠕虫程序主要利用系统漏洞进行传播。因为蠕虫使用多种方式进行传播，所以蠕虫程序的传播速度是非常快。一般情况下，蠕虫程序只占用内存资源而不占用其它资源。,57,网络攻击的目标 攻击目标,蠕虫病毒和一般的计算机病毒有着很大的区别，对于它现在还没有一个成套的理论体系，但是一般认为：蠕虫病毒是一种通过网络传播的恶性病毒，它除具有病毒的一些共性外，同时具有自己的一些特征，如不利用文件寄生（有的只存在于内存中），对网络造成拒绝服务，以及与黑客技术相结合等等。蠕虫病毒主要的破坏方式是大量的复制自身，然后在网络中传播，严重的占用有限的网络资源，最终引起整个网络的瘫痪，使用户不能通过网络进行正常的工作。,58,网络攻击的目标 攻击目标,每一次蠕虫病毒的爆发都会给全球经济造成巨大损失，有一些蠕虫病毒还具有更改用户文件、将用户文件自动当附件转发的功能，更是严重的危害到用户的系统安全。蠕虫病毒常见的传播方式有2种： 利用系统漏洞传播：蠕虫病毒利用计算机系统的设计缺陷，通过网络主动的将自己扩散出去。 利用电子邮件传播：蠕虫病毒将自己隐藏在电子邮件中，随电子邮件扩散到整个网络中，这也是个人计算机被感染的主要途径。蠕虫病毒一般不寄生在别的程序中，而多作为一个独立的程序存在，它感染的对象是全网络中所有的计算机，并且这种感染是主动进行的，所以总是让人防不胜防。,59,网络攻击的目标 攻击目标,垃圾邮件：网络攻击者利用邮件服务器的漏洞，例如，邮件服务器允许假地址和转发功能，从而使得攻击者隐蔽邮件源。网络攻击者通过搜集大量邮件地址，然后利用邮件发送程序传播敏感信息或者造成网络堵塞。 域名服务数据破环：网络攻击者通过构造特殊的域名解析请求包，使得域名服务器的缓存信息遭到污染，从而无法正常解析域名。,60,网络攻击模型,网络攻击模型将攻击过程划分为以下阶段： 攻击身份和位置隐藏：隐藏网络攻击者的身份及主机位置。 目标系统信息收集：确定攻击目标并收集目标系统的有关信息。 弱点信息挖掘分析：从收集到的目标信息中提取可使用的漏洞信息。 目标使用权限获取：获取目标系统的普通或特权账户权限。 攻击行为隐蔽：隐蔽在目标系统中的操作，防止攻击行为被发现。 攻击实施：实施攻击或者以目标系统为跳板向其他系统发起新的攻击。 开辟后门：在目标系统中开辟后门，方便以后入侵。 攻击痕迹清除：清除攻击痕迹，逃避攻击取证。,61,网络攻击模型 攻击身份和位置隐藏,攻击者通常应用如下技术隐藏攻击的IP地址或域名： 利用被侵入的主机作为跳板，如在安装Windows的计算机内利用Wingate软件作为跳板，利用配置不当的Proxy作为跳板。 应用电话转接技术隐蔽攻击者身份，如利用电话的转接服务连接ISP。 盗用他人的账号上网，通过电话联接一台主机，再经由主机进入Internet。 通过免费代理网关实施攻击。 伪装IP地址。 假冒用户账号。,62,网络攻击模型 目标系统信息收集,攻击者可能在一开始就确定了攻击目标，然后专门收集该目标的信息；也可能先大量地收集网上主机的信息，然后根据各系统的安全性强弱确定最后的攻击目标。 攻击者感兴趣的信息主要包括如下方面： 系统的一般信息，如系统的软硬件平台类型、用户、服务与应用等。 系统及服务的管理、配置情况，如系统是否禁止root远程登录。 系统口令的安全性，如系统是否存在弱口令等。 系统提供的服务的安全性，以及系统整体的安全性能。这一点可以从该系统是否提供安全性较差的服务、系统服务的版本是否是弱安全版本等因素来作出判断。攻击者获取这些信息的主要方法有： 使用口令攻击，如口令猜测攻击、口令文件破译攻击、网络窃听与协议分析攻击、社交欺诈等手段。 对系统进行端口扫描。 探测特定服务的弱点，应用漏洞扫描工具如ISS等。 攻击者进行攻击目标信息搜集时，还要常常注意隐藏自己，以免引起目标系统管理员的注意。,63,网络攻击模型 弱点信息挖掘分析,攻击者收集到大量目标系统的信息后，开始从中挖掘可用于攻击的目标系统弱点信息。常用到的弱点挖掘方法如下： 系统或应用服务软件漏洞：如利用finger、tftp、email等服务中的弱点获取系统的访问权限。 主机信任关系漏洞：网络攻击者总是寻找那些被信任的主机。这些主机可能是管理员使用的机器，或是一台被认为安全的服务器。攻击者可以利用CGI的漏洞，读取/etc/hosts.allow等文件。通过这些文件，攻击者可以大致了解主机间的信任关系，然后，探测这些被信任主机存在哪些漏洞。 目标网络的使用者漏洞：通过目标网络使用者漏洞，寻找攻破目标系统的捷径。 通信协议漏洞：分析目标网络的协议信息，寻找漏洞，如寻找TCP/IP协议安全漏洞。 网络业务系统漏洞：分析目标网络的业务流程信息，挖掘其中的漏洞，如网络申请使用权限登记漏洞。,64,网络攻击模型 目标使用权限获取,一般账户对目标系统只有有限的访问权限，要达到某些攻击目标，攻击者必须具有更多的权限。因此在获得一般账户权限之后，攻击者经常会试图获得更高的权限，如系统管理账户的权限。获取系统管理权限通常有以下途径： 获得系统管理员的口令，如专门针对root用户的口令攻击。 利用系统管理上的漏洞，如错误的文件许可权，错误的系统配置，某些SUID程序中存在的缓冲区溢出漏洞等。 使系统管理员运行特洛伊木马程序，如经篡改之后的LOGIN程序等。 窃听管理员口令。,65,网络攻击模型 攻击行为隐蔽,进入系统之后，攻击者要做的第一件事就是隐藏行踪，攻击者隐藏自己的行踪通常要用到下面的技术： 连接隐藏，如冒充其他用户、修改LOGNAME环境变量、修改utmp日志文件、使用IP SPOOF技术等。 进程隐藏，如使用重定向技术减少ps给出的信息量、使用特洛伊木马代替ps程序等。 文件隐蔽，如利用字符串的相似来麻痹系统管理员，或修改文件属性使普通显示方法无法看到。 利用操作系统可加载模块特性，隐藏攻击时所产生的信息。,66,网络攻击模型 攻击实施,不同的攻击者有不同的攻击目标。一般来说，攻击目标有以下几个方面： 攻击其他被信任的主机和网络。 修改或删除重要数据。 窃听敏感数据。 停止网络服务。 下载敏感数据。 删除用户账号。 修改数据记录。,67,网络攻击模型 开辟后门,一次成功的入侵通常要耗费攻击者大量的时间与资源，因此攻击者在退出系统之前会在系统中制造一些后门，方便下次入侵。攻击者开辟后门时通常会应用以下方法： 放宽文件许可权。 重新开放不安全的配置，如TFTP等。 修改系统的配置，如系统启动文件、网络服务配置文件等。 替换系统的共享库文件。 修改系统的源代码，安装各种特洛伊木马。 安装嗅探器。 建立隐蔽信道。,68,网络攻击模型 开辟后门,攻击者为了避免IDS和系统安全管理员的追踪，攻击时和攻击后都要设法消除攻击痕迹。常用的方法有： 篡改日志文件中的审计信息。 改变系统时间造成日志文件数据紊乱。 删除或停止审计服务进程。 干扰入侵检测系统的正常运行。 修改完整性检测标签。,69,网络攻击模型 攻击讨论,攻击过程的关键阶段是弱点信息挖掘分析和目标使用权限获取阶段。根据收集到的目标系统信息，攻击者对这些信息进行弱点分析。攻击者攻击成功的条件之一是目标系统存在安全漏洞或弱点。显然，攻击者攻击系统能力的强弱在于尽早发现或利用安全漏洞的能力。 目标使用权限获取是网络攻击的难点。对内部攻击者来说，大都具备目标的普通权限，攻击者往往具备发起后续攻击活动的条件。攻击者为了获得目标系统更大的管理权限，通常会寻找系统漏洞提升自己的权限，如利用操作系统的漏洞或猜测管理员的口令。获得系统的管理权限之后，攻击者己接近于完全成功。 攻击者能否成功地攻破一个系统，取决于多方面的因素。因此，攻击者在攻击目标之前，要做到知己知彼，首先要摸清目标的安全防范措施，挖掘目标系统的弱点，乘虚而入，攻破系统。为此，网络安全防范不仅要从正面去进行防御，更要从反面入手，从攻击者的角度设计更坚固的安全保障系统。,例子-扫描器程序设计,70,71,72,73,74,Thank You !,