《计算机网络技术基础与实战》课件第八章

信息证据
可用性 信息和信息系统随时为 授权者提供服务，保证合 法用户对信息和资源的使
用不会被不合理地拒绝
8.1.2 网络攻击的主要手段
13
2．常见的攻击方法 为了获取访问权限，或者修改、破坏数据等，攻击者会综合利用多种攻击
方法达到其目的。常见的攻击方式主要有以下几种：
1. 获取口令 4.电子邮件攻击 6.SQL注入攻击
8.1.3 网络安全的常见防范技术
21
2 信息确认技术
信息确认技术通过严格限定信息的共享范围来达到防止信息被非法伪造、篡改 和假置的目的。一个安全的信息确认方案应该能：使合法的接收者验证他收到的消 息是否真实；发信者无法抵赖自己发出的消息；除合法发信者外，别人无法伪造消 息；发生争执时可由第三方仲裁。
8.1.1 网络安全网络技术、通信技术、密码技术、信息 安全技术、应用数学、数论、信息论等多种学科的综合学科，包括网络管理、 数据安全等很多方面。网络安全是指网络系统的硬件、软件及其系统中的数据 受到保护，不受偶然的因素或恶意的攻击而遭到破坏、更改、泄露，系统能连 续可靠地正常运行，网络服务不中断。网络安全包括物理安全、逻辑安全、操 作系统安全和网络传输安全。
(1) 系统本身的漏洞； (2) 内部和外部用户的安全威胁； (3) 通信协议本身的安全性；
8.1.1 网络安全研究的主要问题
10
4 网络传输安全
网络传输安全是指信息在传播过程中出现丢失、泄露、受到破坏等情况。其 主要内容如下：
(1) 访问控制服务：用来保护计算机和联网资源不被非授权使用。 (2) 通信安全服务：用来认证数据的保密性和完整性，以及各通信的可信赖 性。
2.放置特洛伊木马程序
3. WWW欺骗技术
5.通过一个节点来攻击其他节点
7.数据库入侵攻击
8.跨站攻击
8.1.2 网络攻击的主要手段
14
1 获取口令
➢ 获取口令有多种方式，包括：通过网络监听非法得到用户口令；在知道用户 的账号后(如用户电子邮件口令@前面的部分)利用一些专门软件强行破解； 在获得一个服务器上的用户口令文件(此文件成为Shadow文件)后，用暴力破 解程序破解用户口令。
SQL注入攻击技术自2004年开始逐步发展，并日益流行，已成为WEB入侵的常 青技术。这主要是因为网页程序员在编写代码时，没有对用户输入数据的合法 性进行判断，使得攻击者可以构造并提交一段恶意的数据，根据返回结果来获 得数据库内存储的敏感信息。由于编写代码的程序员技术水平参差不齐，一个 网站的代码量往往又大得惊人，使得注入漏洞往往层出不穷，也给攻击者带来
8.1.2 网络攻击的主要手段
18
7 数据库入侵攻击
数据库入侵包括默认数据库下载、暴库下载以及数据库弱口令连接等攻击方 式。默认数据库漏洞是指部分网站在使用开源代码程序时，未对数据库路径以 及文件名进行修改，导致攻击者可以直接下载到数据库文件进行攻击。暴库下 载攻击是指由于IIS存在%5C编码转换漏洞，因此攻击者在提交特殊构造的地址 时，网站将数据库真实物理路径作为错误信息返回到浏览器中。攻击者即可以 此8 下跨载站到攻关击键数据库。数据库弱口令连接入侵是指攻击者将通过扫推得到的弱 口令，利用数据库连接工具直接连接到目标主机的数据库上，并依靠数据库的
8.1.3 网络安全的常见防范技术
22
3 防火墙技术
尽管近年来各种网络安全技术不断涌现，但到目前为止防火墙仍是网络系统安 全保护中最常用的技术。防火墙系统是一种网络安全部件，它可以是硬件，也可以 是软件，也可以是硬件和软件的结合。这种安全部件处于被保护网络和其他网络的 边界，接收进出被保护网络的数据流，并根据防火墙所配置的访问控制策略进行过 滤或做出其他操作。防火墙系统不仅能够保护网络资源不受外部的入侵，而且还能 够拦截从被保护网络向外传送有价值的信息。防火墙系统可以用于内部网络与 Internet之间的隔离，也可用于内部网络不同网段的隔离，后者通常称为Intranet 防火墙。
经过防火墙 可以安全地 访问互联网
防火墙
证书颁发机构
发行证书
确认是否为假的 HTTPS服务器
不必担心直接 访问Web服务器
认证 服务器 防火墙
应用服务器
Web服务器 （HTTPS）
DMZ
入侵检查
IDS
入侵检查
获得认证访问 应用服务器
8.2.1 防火墙
1 防火墙的概念
防火墙(Firewall)是一种硬体设备或软 件系统，主要部署在内部网络和外部网络间， 可防止外界恶意程序对内部系统的破坏，或 阻止内部重要信息向外流出，有双向监督的 功能，如图所示。
计算机的逻辑安全主要用口令、文件许可、加密、检查日志等方法来实现。防止黑客 入侵主要依赖于计算机的逻辑安全。逻辑安全可以通过以下措施来加强：
(1) 限制登录的次数，对试探操作加上时间限制； (2) 把重要的文档、程序和文件加密； (3) 限制存取非本用户自己的文件，除非得到明确的授权； (4) 跟踪可疑的、未授权的存取企图。
8.1.2 网络攻击的主要手段
17
5 通过一个节点来攻击其他节点
通过一个节点来攻击其他节点是指黑客在突破一台主机后，往往以此主机作 为根据地，攻击其他主机(以隐蔽其入侵路径，避免留下蛛丝马迹)。他们可以 使用网络监听方法，尝试攻破同一网络内的其他主机；也可以通过IP欺骗和主 机信任关系攻击其他主机。这类攻击很狡猾，但由于IP欺骗等技术很难掌握， 6因此S较QL少注被入黑攻客击使用。
学习目标
0
1
0
2
0 3
0
0
4
5
了解防火墙和入侵检测系统的基本 原理
了解对称密码体制和非对称密码体质的 区别
熟悉常见的身份认证技术及安全协 议
掌握最常见的网络攻击手段及防范措 施
熟悉Windows 7系统的基本安全 配置、MD5加密解密工具的使用 以及IE浏览器的安全配置
任务8.1 了解网络攻击与防范
8.1.2 网络攻击的主要手段
16
3 WWW欺骗技术
WWW欺骗技术是指要访问的网页已经被黑客篡改过。例如，黑客将用户要浏 览网页的URL改写为指向黑客自己的服务器，当用户浏览目标网页的时候，实际 上是向黑客服务器发出请求，黑客就可以达到欺骗的目的了。 4 电子邮件攻击
电子邮件攻击主要表现为两种方式：一是电子邮件轰炸和电子邮件“滚雪 球”，也就是通常所说的邮件炸弹，指的是用伪造的IP地址和电子邮件地址向 同一信箱发送数以千计、万计甚至无穷多次的内容相同的垃圾邮件，致使受害 人邮箱被“炸”，严重者可能会给电子邮件服务器操作系统带来危险，甚至造 成服务器瘫痪。二是电子邮件欺骗，这类欺骗只要用户提高警惕，一般危害性 不是太大。
8.1.3 网络安全的常见防范技术
23
4 网络安全扫描技术
网络安全扫描技术是指为使系统管理员能够及时了解系统中存在的安全漏洞， 并采取相应防范措施，从而降低系统安全风险而发展起来的一种安全技术。利用安 全扫描技术，可以对局城网络、Web站点、主机操作系统、系统服务及防火墙系统 的安全漏洞进行扫描，同时系统管理员可以了解在运行的网络系统中存在的不安全 的网络服务，在操作系统上存在的可能导致遭受缓冲区溢出攻击或者拒绝服务攻击 的安全漏洞，还可以检测主机系统中是否被安装了窃听程序，防火墙系统是否存在 安全漏洞和配置错误。网络安全扫描技术主要有网络远程安全扫描、防火墙系统扫 描、Web网站扫描、系统安全扫描等几种方式。
8.1.1 网络安全研究的主要问题
7
1 物理安全
物理安全是指用来保护计算机硬件和存储介质的装置和工作程序。物理安全包 括防盗、防火、防静电、防雷击和防电磁泄漏等内容。 (1)防盗。 (2)防火。 (3) 防静电。 (4) 防雷击。 (5) 防电磁泄漏。
8.1.1 网络安全研究的主要问题
8
2 逻辑安全
8.1.3 网络安全的常见防范技术
24
5 网络入侵检测技术
网络入侵检测技术也叫网络实时监控技术，它通过硬件或软件对网络上的数据 流进行实时检查，并与系统中的入侵特征数据库进行比较，一旦发现有被攻击的迹 象，立刻根据用户所定义的动作做出反应，如切断网络连接，或通知防火墙系统对 访问控制策略进行调整，将入侵的数据包过滤掉等。
8.1.2 网络攻击的主要手段
12
完整性 信息从真实的发信 者传送到真实的收信 者的过程中没有被非 法用户添加、删除、 替换等
可控性 管理者能够对信息实施 必要的控制管理，以对抗 社会犯罪和外敌侵犯
保密性 信息为授权者享用而 不泄露给未经授权者
不可否认性 人们要为自己的信息行 为负责，提供保证社会依 法管理需要的公证、仲载
8.1.2 网络攻击的主要手段
15
2 放置特洛伊木马程序
特洛伊木马程序可以直接侵入用户的电脑 并进行破坏。它常被伪装成工具程序或者游 戏等，诱使用户打开带有特洛伊木马程序的 邮件附件或从网上直接下载，一旦用户打开 了这些邮件的附件或者执行了这些程序，它 们就会像古特洛伊人在敌人城外留下的藏满 士兵的木马一样留在自己的电脑中，并在计 算机系统中隐藏一个可以在Windows启动时悄 悄执行的程序。
按照其具体目的，信息确认系统可分为消息确认、身份确认和数字签名。消息 确认是指约定的接收者能够证实消息是由约定发信者送出的，且在通信过程中未被 篡改过。身份确认是指用户的身份能够被正确判定，最简单但却最常用的身份确认 方法有个人识别号、口令、个人特征(如指纹)等。数字签名与日常生活中的手写签 名效果一样，它不但能使消息接收者确认消息是否来自合法方，而且可以为仲裁者 提供发信者对消息签名的证据。
8.1.1 网络安全研究的主要问题
9
3 操作系统安全
操作系统是计算机中最基本、最重要的软件，同一计算机可以 安装几种不同的操作系统。如果计算机系统需要提供给许多人使 用，操作系统必须能区分用户，防止他们相互干扰。一些安全性 高、功能较强的操作系统可以为计算机的不同用户分配账户。不 同账户有不同的权限。操作系统不允许一个用户修改由其他账户 产生的数据。操作系统分为网络操作系统和个人操作系统，其安 全内容主要包括如下几方面：