《網(wǎng)絡(luò)安全-鄭萬波》網(wǎng)絡(luò)安全課件

《《網(wǎng)絡(luò)安全-鄭萬波》網(wǎng)絡(luò)安全課件》由會員分享，可在線閱讀，更多相關(guān)《《網(wǎng)絡(luò)安全-鄭萬波》網(wǎng)絡(luò)安全課件（75頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、網(wǎng)絡(luò)安全,第 3 講,2,網(wǎng)絡(luò)安全威脅,,網(wǎng)絡(luò)系統(tǒng)缺陷,2,,網(wǎng)絡(luò)信息收集,3,,拒絕服務(wù)攻擊,4,,有害程序,5,,6,概述,,網(wǎng)絡(luò)欺騙,1,3,網(wǎng)絡(luò)安全威脅 概述,,根據(jù)威脅起因分類,2,,3,根據(jù)威脅對象分類,,根據(jù)威脅動機分類,1,網(wǎng)絡(luò)攻擊的目標,,網(wǎng)絡(luò)攻擊模型,4,,5,,補充內(nèi)容,網(wǎng)絡(luò)安全威脅的對象、動機和起因是網(wǎng)絡(luò)安全威脅的三大基本要素，以基本要素為依據(jù)可對網(wǎng)絡(luò)安全威脅進行分類分析。,4,概述 威脅對象分類,4,網(wǎng)絡(luò)設(shè)備安全,網(wǎng)絡(luò)軟件安全,網(wǎng)絡(luò)協(xié)議安全,,,總線型結(jié)構(gòu) 星型結(jié)構(gòu) 環(huán)型結(jié)構(gòu) 網(wǎng)狀結(jié)構(gòu) 樹型結(jié)構(gòu) 混合結(jié)構(gòu),網(wǎng)絡(luò)拓撲安全,根據(jù)網(wǎng)絡(luò)系統(tǒng)受威脅的對象，網(wǎng)絡(luò)安全威脅包括：

2、,5,概述 威脅對象分類 網(wǎng)絡(luò)拓撲,總線型結(jié)構(gòu) 網(wǎng)絡(luò)中所有設(shè)備通過連接器并行連接到一個傳輸電纜（通常稱之為“中繼線”、“總線”、“母線”或“干線”）上，并在兩端加裝一個稱之為“終接器”的部件。,6,概述 威脅對象分類 網(wǎng)絡(luò)拓撲,總線型結(jié)構(gòu) 在總線兩端連接有終結(jié)器（或端結(jié)器、終端匹配器），主要與總線進行阻抗匹配，最大限度吸收傳送端部的能量，避免信號反射回總線產(chǎn)生不必要的干擾。 總線拓撲結(jié)構(gòu)采用一條單根線纜做為傳輸介質(zhì)，所有的站點都通過相應(yīng)的硬件接口直接連接到傳輸介質(zhì)上，或稱總線上。任何一個節(jié)點信息都可以沿著總線向兩個方向傳播擴散，并且能被總線中任何一個節(jié)點所接收，所有的節(jié)點共享一條數(shù)據(jù)通道，一

3、個節(jié)點發(fā)出的信息可以被網(wǎng)絡(luò)上的多個節(jié)點接收。,7,概述 威脅對象分類 網(wǎng)絡(luò)拓撲,總線型結(jié)構(gòu)缺點 安全缺陷 總線型拓撲結(jié)構(gòu)的網(wǎng)絡(luò)不是集中控制，故障檢測需在網(wǎng)上各個站點進行，使故障診斷困難。 如果傳輸介質(zhì)損壞整個網(wǎng)絡(luò)將癱瘓。故障發(fā)生在站點，刪除站點；故障發(fā)生在傳輸介質(zhì)上，刪除這段總線； 在總線的干線基礎(chǔ)上擴充，可采用中繼器，但此時需重新配置，包括電纜長度的剪裁，終結(jié)器的調(diào)整等。 接在總線上的站點要有介質(zhì)訪問控制功能（CSMA/CD），用于保證端用戶發(fā)送數(shù)據(jù)時不能出現(xiàn)沖突。因此站點必須是智能的，從而增加了站點的硬件和軟件費用。 所有的工作站通信均通過一條共用的總線，導致實時性很差。,8,概述 威脅

4、對象分類 網(wǎng)絡(luò)拓撲,星型拓撲結(jié)構(gòu) 在星型拓撲結(jié)構(gòu)中，網(wǎng)絡(luò)中的各節(jié)點通過點到點的方式連接到一個中央節(jié)點（又稱中央轉(zhuǎn)接站，一般是集線器或交換機）上，由該中央節(jié)點向目的節(jié)點傳送信息。中央節(jié)點執(zhí)行集中式通信控制策略，因此中央節(jié)點相當復雜，負擔比各節(jié)點重得多。在星型網(wǎng)中任何兩個節(jié)點要進行通信都必須經(jīng)過中央節(jié)點控制。,9,概述 威脅對象分類 網(wǎng)絡(luò)拓撲,星型拓撲結(jié)構(gòu)缺點 安全缺陷 一條通信線路只被該線路上的中央節(jié)點和一個站點使用，因此線路利用率不高； 對中央節(jié)點的依賴性太大致使中央節(jié)點負荷太重，當中央節(jié)點產(chǎn)生故障時，全網(wǎng)不能工作，所以對中央節(jié)點的可靠性和冗余度要求很高。中央節(jié)點結(jié)構(gòu)較復雜，容易出現(xiàn)“瓶頸

5、”現(xiàn)象，系統(tǒng)安全性較差。 電纜長度和安裝：星型拓撲中每個站點直接和中央節(jié)點相連，需要大量電纜，電纜溝、維護、安裝等一系列問題會產(chǎn)生，因此而增加的費用相當可觀。 擴展困難：要增加新的網(wǎng)點，就要增加到中央節(jié)點的連接，這需要事先設(shè)置好大量的冗余電纜； 星型拓撲結(jié)構(gòu)廣泛應(yīng)用于網(wǎng)絡(luò)中智能集中于中央節(jié)點的場合。,環(huán)型拓撲結(jié)構(gòu) 環(huán)型結(jié)構(gòu)中各節(jié)點通過環(huán)路接口連在一條首尾相連的閉合環(huán)型通信線路中，環(huán)路中各節(jié)點地位相同，環(huán)路上任何節(jié)點均可請求發(fā)送信息，請求一旦被批準，便可以向環(huán)路發(fā)送信息，環(huán)型網(wǎng)中的數(shù)據(jù)可以單向或雙向傳輸(雙向環(huán))。由于環(huán)線公用，一個節(jié)點發(fā)出的信息必須穿越環(huán)中所有的環(huán)路接口，信息流的目的地址與環(huán)上

6、某節(jié)點地址相符時，信息被該節(jié)點的環(huán)路接口所接收，并繼續(xù)流向下一環(huán)路接口，一直流回到發(fā)送該信息的環(huán)路接口為止。 數(shù)據(jù)以分組的形式發(fā)送。由于多個設(shè)備共享一個環(huán)，因此需要對此進行控制，以便決定每個站在什么時候可以把分組放在環(huán)上。這種功能是用分布控制的形式完成的，每個站都有控制發(fā)送和接收的訪問邏輯。 環(huán)型網(wǎng)絡(luò)的典型代表是適用于IEEE 802.5的令牌網(wǎng)（Token ring network），在這種網(wǎng)絡(luò)中，令牌是在環(huán)型連接中依次傳遞。,10,概述 威脅對象分類 網(wǎng)絡(luò)拓撲,11,概述 威脅對象分類 網(wǎng)絡(luò)拓撲,環(huán)型拓撲結(jié)構(gòu)缺點 安全缺陷 不易重新配置網(wǎng)絡(luò)。擴充環(huán)的配置比較困難，同樣要關(guān)掉一部分已接入

7、網(wǎng)的站點也不容易。 由于信息是串行穿過多個節(jié)點環(huán)路接口，當節(jié)點過多時，影響傳輸效率，使網(wǎng)絡(luò)響應(yīng)時間變長。但當網(wǎng)絡(luò)確定時，其延時固定，實時性強。 節(jié)點的故障將會引起全網(wǎng)的故障：環(huán)型拓撲中數(shù)據(jù)傳輸通過了接在環(huán)上的每一個節(jié)點，如果環(huán)上某一節(jié)點出現(xiàn)故障，將會引起全網(wǎng)的故障。 診斷故障困難：因為某一節(jié)點故障會引起全網(wǎng)不工作，因此難以診斷故障，需要對每個節(jié)點進行檢測。 環(huán)上每個節(jié)點接到數(shù)據(jù)后，要負責將它發(fā)送至環(huán)上，這意味著要同時考慮訪問控制協(xié)議。節(jié)點發(fā)送數(shù)據(jù)前，必須事先知道傳輸介質(zhì)對它是可用的。,12,概述 威脅對象分類 網(wǎng)絡(luò)拓撲,樹型拓撲結(jié)構(gòu) 樹型結(jié)構(gòu)是總線型結(jié)構(gòu)的擴展，它是在總線網(wǎng)上加上分支形成的，其

8、傳輸介質(zhì)可有多條分支，但不形成閉合回路；也可以把它看成是星型結(jié)構(gòu)的疊加。又稱為分級的集中式結(jié)構(gòu)。 樹型拓撲具有層次結(jié)構(gòu)，是一種分層網(wǎng)，網(wǎng)絡(luò)的最高層是中央處理機，最低層是終端，其他各層可以是多路轉(zhuǎn)換器、集線器或部門用計算機。其結(jié)構(gòu)可以對稱，聯(lián)系固定，具有一定容錯能力，一般一個分支和節(jié)點的故障不影響另一分支節(jié)點的工作，任何一個節(jié)點送出的信息都由根接收后重新發(fā)送到所有的節(jié)點，可以傳遍整個傳輸介質(zhì)，也是廣播式網(wǎng)絡(luò)。,13,概述 威脅對象分類 網(wǎng)絡(luò)拓撲,樹型拓撲結(jié)構(gòu)缺點 安全缺陷 除葉節(jié)點及其相連的鏈路外，任何一個工作站或鏈路產(chǎn)生故障都會影響整個網(wǎng)絡(luò)系統(tǒng)的正常運行。 對根的依賴性太大，如果根發(fā)生故障，

9、則全網(wǎng)不能正常工作。因此這種結(jié)構(gòu)的可靠性問題和星型結(jié)構(gòu)相似。 樹型拓撲結(jié)構(gòu)優(yōu)點 結(jié)構(gòu)比較簡單，成本低。 網(wǎng)絡(luò)中任意兩個節(jié)點之間不產(chǎn)生回路，每個鏈路都支持雙向傳輸。 網(wǎng)絡(luò)中節(jié)點擴充方便靈活，尋找鏈路路徑比較方便。,14,概述 威脅對象分類,14,網(wǎng)絡(luò)設(shè)備安全,網(wǎng)絡(luò)軟件安全,網(wǎng)絡(luò)協(xié)議安全,,,總線型結(jié)構(gòu) 星型結(jié)構(gòu) 環(huán)型結(jié)構(gòu) 網(wǎng)狀結(jié)構(gòu) 樹型結(jié)構(gòu) 混合結(jié)構(gòu),網(wǎng)絡(luò)拓撲安全,根據(jù)網(wǎng)絡(luò)系統(tǒng)受威脅的對象，網(wǎng)絡(luò)安全威脅包括：,15,概述 威脅對象分類 網(wǎng)絡(luò)協(xié)議,Protocol (RFC2828) (I) A set of rules (i.e., formats and procedures) to im

10、plement and control some type of association (e.g., communication) between systems. (E.g., see: Internet Protocol.) (C)In particular, a series of ordered steps involving computing and communication that are performed by two or more system entities to achieve a joint objective. A9042 I identifies a R

11、ECOMMENDED Internet definition C identifies commentary or additional usage guidance.,16,概述 威脅對象分類 網(wǎng)絡(luò)協(xié)議,通信網(wǎng)的運行機制基于通信協(xié)議。 在網(wǎng)絡(luò)信息系統(tǒng)中，協(xié)議使互不了解的雙方能夠相互配合并保證公平性。協(xié)議可以為通信者建立、維護和解除通信聯(lián)系，實現(xiàn)不同主機網(wǎng)絡(luò)互聯(lián)的共同約定。 協(xié)議的基本特點是：預先建立、相互約定：協(xié)議的所有參加者要約定按順序執(zhí)行的步驟、無歧義、完備性：對每一種可能發(fā)生的情況都有預防措施。,17,概述 威脅對象分類 網(wǎng)絡(luò)協(xié)議,不同節(jié)點之間的信息交換按照事先約定的固定機制，通過協(xié)議

12、數(shù)據(jù)單元來完成。對每個節(jié)點來說，所謂通信只是對接收到的一系列協(xié)議數(shù)據(jù)單元產(chǎn)生響應(yīng)，面對從網(wǎng)上收到的信息真實性或從節(jié)點發(fā)給網(wǎng)絡(luò)中其他節(jié)點的真實性均無法提供保證。 由于TCP/IP協(xié)議的廣泛使用性，因此它的任何安全漏洞都會產(chǎn)生巨大的影響。TCP/IP是無連接的網(wǎng)絡(luò)，數(shù)據(jù)信息包穿過傳輸網(wǎng)時并不采用特定的路由，所以TCP/IP技術(shù)并不能向終端應(yīng)用提供QoS保證。,18,概述 威脅對象分類,18,網(wǎng)絡(luò)設(shè)備安全,網(wǎng)絡(luò)軟件安全,網(wǎng)絡(luò)協(xié)議安全,,,總線型結(jié)構(gòu) 星型結(jié)構(gòu) 環(huán)型結(jié)構(gòu) 網(wǎng)狀結(jié)構(gòu) 樹型結(jié)構(gòu) 混合結(jié)構(gòu),網(wǎng)絡(luò)拓撲安全,根據(jù)網(wǎng)絡(luò)系統(tǒng)受威脅的對象，網(wǎng)絡(luò)安全威脅包括：,19,概述 威脅對象分類 網(wǎng)絡(luò)軟件,網(wǎng)

13、絡(luò)軟件缺陷 由于軟件程序的復雜性、編程的多樣性和開發(fā)人員能力的局限性，在網(wǎng)絡(luò)信息系統(tǒng)的軟件中很容易有意或無意地留下一些不易被發(fā)現(xiàn)的安全漏洞。,20,概述 威脅對象分類 網(wǎng)絡(luò)軟件,操作系統(tǒng)漏洞 操作系統(tǒng)是硬件和軟件應(yīng)用程序之間接口的程序模塊，它是整個網(wǎng)絡(luò)信息系統(tǒng)的核心控制軟件，系統(tǒng)的安全體現(xiàn)在整個操作系統(tǒng)之中。對一個設(shè)計上不夠安全的操作系統(tǒng)，事后采用增加安全特性或打補丁的辦法是一項很艱巨的任務(wù)。 數(shù)據(jù)庫安全 網(wǎng)絡(luò)應(yīng)用缺陷,21,概述 威脅對象分類 網(wǎng)絡(luò)軟件,操作系統(tǒng)漏洞 數(shù)據(jù)庫安全 數(shù)據(jù)庫系統(tǒng)安全缺陷基本類別有：數(shù)據(jù)管理系統(tǒng)漏洞缺陷、數(shù)據(jù)庫中數(shù)據(jù)備份方面可能的不足、數(shù)據(jù)庫認證機制的不完善、數(shù)據(jù)存

14、儲的完整性不足和數(shù)據(jù)存儲的機密性不足等。 網(wǎng)絡(luò)應(yīng)用缺陷,22,概述 威脅對象分類 網(wǎng)絡(luò)軟件,操作系統(tǒng)漏洞 數(shù)據(jù)庫安全 網(wǎng)絡(luò)應(yīng)用缺陷 網(wǎng)絡(luò)應(yīng)用軟件是最終用戶使用網(wǎng)絡(luò)服務(wù)的接口，網(wǎng)絡(luò)應(yīng)用軟件的缺陷會直接導致用戶遭受損失。如：電子郵件等。,23,概述 威脅對象分類,23,網(wǎng)絡(luò)設(shè)備安全,網(wǎng)絡(luò)軟件安全,網(wǎng)絡(luò)協(xié)議安全,,,總線型結(jié)構(gòu) 星型結(jié)構(gòu) 環(huán)型結(jié)構(gòu) 網(wǎng)狀結(jié)構(gòu) 樹型結(jié)構(gòu) 混合結(jié)構(gòu),網(wǎng)絡(luò)拓撲安全,根據(jù)網(wǎng)絡(luò)系統(tǒng)受威脅的對象，網(wǎng)絡(luò)安全威脅包括：,24,概述 威脅對象分類 網(wǎng)絡(luò)設(shè)備,網(wǎng)橋 網(wǎng)橋工作在OSI參考模型的第二層，完成數(shù)據(jù)幀的轉(zhuǎn)發(fā)，主要目的是在連接的網(wǎng)絡(luò)間提供透明的通信。網(wǎng)橋的轉(zhuǎn)發(fā)依據(jù)數(shù)據(jù)幀中的源地

15、址和目的地址來判斷一個數(shù)據(jù)幀是否應(yīng)轉(zhuǎn)發(fā)和轉(zhuǎn)發(fā)到哪個端口。幀中的地址稱為MAC地址或硬件地址，即網(wǎng)卡地址。 網(wǎng)橋只能連接相同或相似的網(wǎng)絡(luò)，只能轉(zhuǎn)發(fā)相同或相似結(jié)構(gòu)的數(shù)據(jù)幀。 使用網(wǎng)橋互聯(lián)的問題： 廣播風暴：由于網(wǎng)橋不阻擋網(wǎng)絡(luò)中的廣播信息，當網(wǎng)絡(luò)的規(guī)模較大時（幾個網(wǎng)橋，多個以太網(wǎng)段），有可能引起網(wǎng)絡(luò)風暴，導致整個網(wǎng)絡(luò)全被廣播信息填滿，直至完全癱瘓。 當與外部網(wǎng)絡(luò)互聯(lián)時，網(wǎng)橋會把內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)合二為一，合成一個網(wǎng)，雙方都向?qū)Ψ酵耆_放自己的網(wǎng)絡(luò)資源。其主要根源是網(wǎng)橋只是最大限度地把網(wǎng)絡(luò)連通，而不管傳送的信息是什么。 由于網(wǎng)橋基于“最佳效果”來傳送數(shù)據(jù)信息包，還可能會引起數(shù)據(jù)丟失，這為網(wǎng)絡(luò)的安全埋下

16、了隱患。,25,概述 威脅對象分類 網(wǎng)絡(luò)設(shè)備,網(wǎng)橋與交換機（二層交換機） 網(wǎng)橋和交換機都工作在OSI參考模型的第二層，所以一般被人們統(tǒng)稱為數(shù)據(jù)鏈路層設(shè)備。 交換機已經(jīng)取代了傳統(tǒng)的網(wǎng)橋。相對于網(wǎng)橋，交換機的數(shù)據(jù)吞吐性能更好，端口集成度更高，成本更低，使用更加靈活和方便。 網(wǎng)橋和交換機具有很多相同點，不過這兩種技術(shù)之間還是存在一些顯著區(qū)別的： 在速度方面，交換機要明顯快于網(wǎng)橋，這是因為交換機主要是使用硬件進行交換，而網(wǎng)橋則需要借助軟件來實現(xiàn)交換。 交換機可以連接不同帶寬的網(wǎng)絡(luò)。例如，一個10 Mbps速度的以太局域網(wǎng)和一個100Mbps的以太局域網(wǎng)之間可以通過一臺交換機實現(xiàn)互連。 在交換技術(shù)方面，

17、交換機支持直通轉(zhuǎn)發(fā)、存儲轉(zhuǎn)發(fā)和無碎片直通轉(zhuǎn)發(fā)；而網(wǎng)橋則只能夠使用存儲轉(zhuǎn)發(fā)技術(shù)。,26,概述 威脅對象分類 網(wǎng)絡(luò)設(shè)備,路由器 路由器（Router）工作在OSI參考模型第三層，即網(wǎng)絡(luò)層。它是互聯(lián)網(wǎng)的主要節(jié)點設(shè)備。路由器通過路由決定數(shù)據(jù)的轉(zhuǎn)發(fā)。轉(zhuǎn)發(fā)策略稱為路由選擇（routing）。 在路由選擇過程中，路由器有兩種選擇方式，即靜態(tài)路由和動態(tài)路由。 所謂路由表，指的是路由器或者其他互聯(lián)網(wǎng)網(wǎng)絡(luò)設(shè)備上存儲的表，該表中存有到達特定網(wǎng)絡(luò)終端的路徑，在某些情況下，還有一些與這些路徑相關(guān)的度量。,27,概述 威脅對象分類 網(wǎng)絡(luò)設(shè)備,路由器的安全隱患 路由表被惡意修改或遭受破壞，則可能會給網(wǎng)絡(luò)的整體或局部帶來災難

18、性的后果。 某些局域網(wǎng)可能會采用IP過濾技術(shù)，利用路由器的IP過濾對來自網(wǎng)絡(luò)外部的非授權(quán)用戶進行控制，但由于IP的冒用，往往不能達到維護網(wǎng)絡(luò)安全的目的，而且此法可能會引起黑客對路由表的攻擊。,28,概述 威脅對象分類,28,,,攻擊者的動機一般是竊取目標的信息、使目標不能正常工作以及破壞受害人的資源等。,29,概述 威脅動機分類 利用型攻擊,利用型攻擊是一類試圖直接對機器進行控制的攻擊。 最常見的有3種： 口令猜測 特洛伊木馬 緩沖區(qū)溢出,30,概述 威脅動機分類 消息收集型攻擊,消息收集型攻擊并不對目標本身造成危害，這類攻擊用來為進一步入侵提供有用的信息。 主要包括 掃描技術(shù):Nmap,Ne

19、ssus,X-Scan 體系結(jié)構(gòu)刺探 利用信息服務(wù),31,概述 威脅動機分類 消息偽造攻擊,消息偽裝攻擊用于攻擊目標配置不正確的消息，例如： DNS高速緩存污染：由于DNS服務(wù)器與其他名稱服務(wù)器交換信息時并不進行身份驗證，這就使得黑客可以將不正確的信息摻進來，并將用戶引向黑客自己的主機。 偽裝電子郵件：由于SMTP并不對郵件發(fā)送者的身份進行鑒定，因此黑客可以對內(nèi)部客戶偽裝電子郵件，聲稱是來自某個客戶認識并相信的人，并附帶上可安裝的特洛伊木馬程序或者一個引向惡意網(wǎng)站的連接。,32,概述 威脅對象分類,32,,,網(wǎng)絡(luò)安全威脅的起因包括網(wǎng)絡(luò)安全威脅各核心基本要素，它代表著網(wǎng)絡(luò)安全威脅的行為形式。,3

20、3,概述 威脅起因分類 網(wǎng)絡(luò)系統(tǒng)缺陷,網(wǎng)絡(luò)系統(tǒng)是指構(gòu)成網(wǎng)絡(luò)的各種組件系統(tǒng)，包括實現(xiàn)網(wǎng)絡(luò)協(xié)議的網(wǎng)絡(luò)設(shè)備、實現(xiàn)網(wǎng)絡(luò)協(xié)義的網(wǎng)絡(luò)操作系統(tǒng)，網(wǎng)絡(luò)應(yīng)用服務(wù)和網(wǎng)絡(luò)數(shù)據(jù)庫等。這些網(wǎng)絡(luò)系統(tǒng)在設(shè)計和實現(xiàn)過程中都可能包含缺陷，由此會導致各種各樣的安全威脅。 基本表現(xiàn)形式 來自網(wǎng)絡(luò)協(xié)議或應(yīng)用的實現(xiàn)，如IP協(xié)議棧； 來自軟件或系統(tǒng)實現(xiàn)過程中，如緩沖區(qū)溢出、注入式攻擊和陷門等。,34,概述 威脅起因分類 網(wǎng)絡(luò)系統(tǒng)缺陷,緩沖區(qū)溢出是指當計算機向緩沖區(qū)內(nèi)填充數(shù)據(jù)位數(shù)時超過了緩沖區(qū)本身的容量溢出的數(shù)據(jù)覆蓋在合法數(shù)據(jù)上。 SQL注入式攻擊，就是攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的查詢字符串，欺騙服務(wù)器執(zhí)行惡意的

21、SQL命令。 陷門：計算機操作的陷門設(shè)置是指進入程序的秘密入口，它使得知道陷門的人可以不經(jīng)過通常的安全檢查訪問過程而獲得訪問。程序員為了進行調(diào)試和測試程序，已經(jīng)合法地使用了很多年的陷門技術(shù)。當陷門被無所顧忌的程序員用來獲得非授權(quán)訪問時，陷門就變成了威脅。將安全測量集中在程序開發(fā)和軟件更新的行為上才能更好地避免這類攻擊。,35,概述 威脅起因分類 網(wǎng)絡(luò)欺騙,缺乏安全認證是多數(shù)基本網(wǎng)絡(luò)通信協(xié)議的安全缺陷，由此帶來的直接后果就是網(wǎng)絡(luò)欺騙。例如： IP協(xié)議缺乏認證導致IP欺騙；TCP缺乏安全認證導致TCP會話劫持。 由于缺乏IP認證，DNS交互過程的認證安全性有限，從導致DNS欺騙。 網(wǎng)絡(luò)釣魚：現(xiàn)實生

22、活中的欺騙手段在網(wǎng)絡(luò)交互過程中的使用。,36,概述 威脅起因分類 有害程序,有害程序是對計算機或網(wǎng)絡(luò)用戶活動有不同程度負面影響的計算機可執(zhí)行程序（軟件），有害程序是一類有確定危害載體的網(wǎng)絡(luò)安全威脅。有害程序所能使用的手段也涵蓋了各類其他網(wǎng)絡(luò)安全缺陷。 計算機病毒、特洛伊木馬、計算機蠕蟲和流氓軟件等是有害程序的基本類別，從危害、技術(shù)原理和表現(xiàn)方式來看，他們各具特點。,37,概述 威脅對象分類,37,,,網(wǎng)絡(luò)安全威脅的起因包括網(wǎng)絡(luò)安全威脅各核心基本要素，它代表著網(wǎng)絡(luò)安全威脅的行為形式。,38,概述 威脅起因分類 拒絕服務(wù)攻擊,拒絕服務(wù)（DoS）攻擊是指故意攻擊網(wǎng)絡(luò)協(xié)議實現(xiàn)的缺陷或直接通過各種手段耗

23、盡被攻擊對象的資源，目的是讓目標計算機或網(wǎng)絡(luò)無法提供正常的服務(wù)，使目標系統(tǒng)停止響應(yīng)甚至崩潰。這些服務(wù)資源包括網(wǎng)絡(luò)帶寬、文件系統(tǒng)空間容量、開放的進程或者允許的連接等。 基本類別為：單一拒絕服務(wù)攻擊、分布式拒絕服務(wù)攻擊、反射式分布拒絕服務(wù)攻擊。,39,概述 威脅起因分類 拒絕服務(wù)攻擊,最基本的DoS攻擊就是利用合理的服務(wù)請求來占用過多的服務(wù)資源，從而使合法用戶無法得到服務(wù)的響應(yīng)。單一的DoS攻擊一般是采用一對一方式的，當攻擊目標CPU速度低、內(nèi)存小或者網(wǎng)絡(luò)帶寬小等等各項性能指標不高時，它的效果是明顯的。 DDoS攻擊手段是在傳統(tǒng)的DoS攻擊基礎(chǔ)之上產(chǎn)生的，是一種特殊形式的拒絕服務(wù)攻擊。它是利用多臺

24、已經(jīng)被攻擊者所控制的機器對某一臺單機發(fā)起攻擊，在這樣的帶寬相比之下被攻擊的主機很容易失去反應(yīng)能力的?，F(xiàn)在這種方式被認為是最有效的攻擊形式，并且很難于防備。,40,概述 威脅起因分類 拒絕服務(wù)攻擊,DrDoS這是DDoS攻擊的變形，它與DDoS的不同之處就是DrDoS不需要在實際攻擊之前占領(lǐng)大量的傀儡機。這種攻擊是在偽造數(shù)據(jù)包源地址的情況下進行的，DrDoS可以在廣域網(wǎng)上進行。 其名稱中的“r”意為反射，是這種攻擊行為最大的特點。黑客同樣利用特殊的發(fā)包工具，首先把偽造了源地址的SYN連接請求包發(fā)送到那些被欺騙的計算機上，根據(jù)TCP三次握手的規(guī)則，這些計算機會向源IP發(fā)出SYN+ACK或RST包來

25、響應(yīng)這個請求。攻擊者所發(fā)送的請求包的源IP地址是被害者的地址，這樣受欺騙的計算機就都會把回應(yīng)發(fā)到受害者處，造成該主機忙于處理這些回應(yīng)而被拒絕服務(wù)攻擊。,41,網(wǎng)絡(luò)攻擊的目標,網(wǎng)絡(luò)攻擊技術(shù)的演變 網(wǎng)絡(luò)攻擊的目標 網(wǎng)絡(luò)攻擊的分類,42,網(wǎng)絡(luò)攻擊的目標 技術(shù)演變,John D. Howard博士的論文認為，網(wǎng)絡(luò)系統(tǒng)的攻擊者共有黑客、間諜、恐怖主義者、公司職員、職業(yè)犯罪、破壞者6種類型，不同攻擊者的攻擊目的各不相同。安全威脅金字塔說明攻擊技術(shù)復雜性與攻擊者人群數(shù)量變化之間的關(guān)系。目前，已知的黑客攻擊手段達數(shù)百種之多，而隨著攻擊工具的完善，攻擊者不需要專業(yè)知識就能夠完成復雜的攻擊過程。,43,網(wǎng)絡(luò)攻擊的

26、目標 技術(shù)演變,黑客攻擊早在主機終端時代就已經(jīng)出現(xiàn)，隨著Internet的發(fā)展，現(xiàn)代攻擊則從以系統(tǒng)為主的攻擊轉(zhuǎn)變到以網(wǎng)絡(luò)為主的攻擊。攻擊者為了實現(xiàn)其目的，使用各式各樣的工具，甚至由軟件程序自動完成目標攻擊。,44,網(wǎng)絡(luò)攻擊的目標 技術(shù)演變,網(wǎng)絡(luò)攻擊技術(shù)的變化特征（1）： 網(wǎng)絡(luò)攻擊自動化：網(wǎng)絡(luò)攻擊者利用已有攻擊技術(shù)，編制能夠自動進行攻擊的工具軟件。 網(wǎng)絡(luò)攻擊人群： 網(wǎng)絡(luò)攻擊人群從以前的的技術(shù)人員向非技術(shù)人員變化，從單獨個體攻擊行為向有組織的攻擊行為變化。 網(wǎng)絡(luò)攻擊目標：網(wǎng)絡(luò)攻擊目標已經(jīng)面向網(wǎng)絡(luò)的各個層面。網(wǎng)絡(luò)通信協(xié)議、密碼協(xié)議、網(wǎng)絡(luò)域名服務(wù)、網(wǎng)絡(luò)的路由服務(wù)系統(tǒng)、網(wǎng)絡(luò)應(yīng)用服務(wù)系統(tǒng)，甚至網(wǎng)絡(luò)安全保障

27、系統(tǒng)均成為攻擊對象。,45,網(wǎng)絡(luò)攻擊的目標 技術(shù)演變,網(wǎng)絡(luò)攻擊技術(shù)的變化特征（2）： 網(wǎng)絡(luò)攻擊協(xié)同：攻擊者利用Internet上巨大的資源，開發(fā)特殊的程序，將不同地域的計算機協(xié)同起來，向特定的目標發(fā)起攻擊。 2000年2月，黑客以DDos方法攻擊雅虎(Yahoo!)等大型網(wǎng)站，導致服務(wù)癱瘓。 愛爾蘭數(shù)學家Robert Haley和他的3位同事動用Internet網(wǎng)絡(luò)中9500臺計算機強行破解了應(yīng)用橢圓曲線算法加密的信息，其中密鑰長度為109位。 網(wǎng)絡(luò)攻擊智能化：網(wǎng)絡(luò)攻擊與病毒程序相結(jié)合，病毒的復制傳播特點使攻擊程序如虎添翼。,46,網(wǎng)絡(luò)攻擊的目標 技術(shù)演變,網(wǎng)絡(luò)攻擊技術(shù)的變化特征（3）： 拒絕

28、服務(wù)攻擊：最簡單的拒絕服務(wù)攻擊是“電子郵件炸彈”，它使用戶在很短時間內(nèi)收到大量電子郵件，使用戶系統(tǒng)不能處理正常業(yè)務(wù)，嚴重時會使系統(tǒng)崩饋、網(wǎng)絡(luò)癱瘓。 網(wǎng)絡(luò)攻擊的主動性：網(wǎng)絡(luò)攻擊者掌控主動權(quán)，而防御者被動應(yīng)付。攻擊者處于暗處，而攻擊目標則處于明處。,47,網(wǎng)絡(luò)攻擊的目標 攻擊目標,網(wǎng)絡(luò)攻擊是指網(wǎng)絡(luò)用戶末經(jīng)授權(quán)的訪問嘗試或者未經(jīng)授權(quán)的使用嘗試。網(wǎng)絡(luò)攻擊方法眾多，其攻擊目標主要是破壞網(wǎng)絡(luò)信息的機密性、網(wǎng)絡(luò)信息的完整性、網(wǎng)絡(luò)服務(wù)的可用性、網(wǎng)絡(luò)信息的非否認（抗抵賴）性和網(wǎng)絡(luò)運行的可控性。,48,網(wǎng)絡(luò)攻擊的目標攻擊目標,網(wǎng)絡(luò)信息的機密性與攻擊方法實例：網(wǎng)絡(luò)信息的機密性目標是防止未經(jīng)授權(quán)泄漏敏感信息。常見的針

29、對網(wǎng)絡(luò)信息保密性的攻擊方法有： 網(wǎng)絡(luò)信息攔截：網(wǎng)絡(luò)攻擊者可以偷聽移動電話，搭線竊聽，或者偷看傳輸?shù)碾娮余]件。 Tempest技術(shù)：網(wǎng)絡(luò)攻擊者采用電子設(shè)備遠距離監(jiān)視電磁波的傳送過程。靈敏的無線電接收裝置能夠在遠處看到計算機操作者輸入的字符或屏幕顯示的內(nèi)容。 社交工程(Social Engineering)方法：網(wǎng)絡(luò)攻擊者通過一系列的社交活動，獲取需要的信息。例如，偽造系統(tǒng)管理員的身份，給特定的用戶發(fā)電子郵件騙取他的密碼口令。,49,網(wǎng)絡(luò)攻擊的目標 攻擊目標,網(wǎng)絡(luò)信息重定向：網(wǎng)絡(luò)攻擊者設(shè)法將信息發(fā)送端重定向到攻擊者所在的計算機，然后再轉(zhuǎn)發(fā)給接收者。例如，攻擊者偽造某個網(wǎng)上銀行域名，用戶不知真假，卻

30、按銀行要求輸入賬號和密碼，攻擊者從而獲取銀行賬號信息。 數(shù)據(jù)推理：數(shù)據(jù)聚合和相關(guān)入侵使攻擊者有可能從公開信息推測出敏感信息。 網(wǎng)絡(luò)監(jiān)聽：利用以太網(wǎng)的特點，網(wǎng)絡(luò)攻擊者可以接收整個網(wǎng)絡(luò)上的信息包（如將網(wǎng)卡設(shè)為混雜模式）。 郵件病毒：網(wǎng)絡(luò)郵件病毒讓郵件傳播帶有病毒的文件。,50,網(wǎng)絡(luò)攻擊的目標 攻擊目標,網(wǎng)絡(luò)信息的完整性與攻擊方法實例：網(wǎng)絡(luò)信息的完整性目標是防止未經(jīng)授權(quán)修改信息。在特定的環(huán)境中，完整性比機密性更加重要。例如，甲方向乙方通過網(wǎng)絡(luò)電子轉(zhuǎn)賬100萬元，如果將100萬元改為1000萬元，比泄漏這筆交易的后果更為嚴重。,51,網(wǎng)絡(luò)攻擊的目標 攻擊目標,常見的針對網(wǎng)絡(luò)信息完整性的攻擊方法有： 身

31、份認證攻擊：身份認證攻擊是指攻擊者偽裝成具有特權(quán)的用戶。常見的攻擊方法有：密碼猜測、竊取口令、竊聽網(wǎng)絡(luò)連接口令、利用協(xié)議實現(xiàn)/設(shè)計缺陷、密鑰泄漏、中繼攻擊。 會話劫持：會話劫持是指攻擊者在初始授權(quán)之后建立一個連接。在會話劫持以后，攻擊者具有合法用戶的特權(quán)權(quán)限。典型的實例是“TCP會話劫持”。 程序異常輸入：利用程序設(shè)計者的疏忽，攻擊者可以通過輸入異常數(shù)據(jù)給某個處理接收程序，導致該程序出現(xiàn)異常，最常用的輸入異常攻擊是緩沖區(qū)溢出攻擊方法。攻擊者有意向程序輸入大量的字符，造成堆棧溢出，而溢出的地址指向一段有惡意的程序。這樣，攻擊者就可能獲得系統(tǒng)更高的權(quán)限，進而修改敏感數(shù)據(jù)。,52,網(wǎng)絡(luò)攻擊的目標 攻

32、擊目標,網(wǎng)絡(luò)可用性與攻擊方法實例：網(wǎng)絡(luò)攻擊者另一種常用的方法是針對網(wǎng)絡(luò)可用性的攻擊，即拒絕服務(wù)攻擊。拒絕服務(wù)攻擊具有以下特點：難確認性、隱蔽性、資源有限性、軟件復雜性。 常見的拒絕服務(wù)攻擊方法有以下3種：,53,網(wǎng)絡(luò)攻擊的目標攻擊目標,消耗網(wǎng)絡(luò)帶寬：攻擊者有意制造大量的數(shù)據(jù)包或傳輸大量文件以占用有限的網(wǎng)絡(luò)帶寬，使合法的用戶無法正常使用網(wǎng)絡(luò)資源。具體過程如下： 假冒個不存在的主機向整個網(wǎng)絡(luò)發(fā)ICMP數(shù)據(jù)包，探測主機是否存在。 網(wǎng)絡(luò)中的每臺主機在接到這樣一個ICMP數(shù)據(jù)包時，都試圖回應(yīng)，向那個假冒的實際上不存在的主機發(fā)應(yīng)答包，由于該主機實際并不存在，應(yīng)答包的發(fā)送者會以為網(wǎng)絡(luò)有故障，在有規(guī)律的幾次延

33、遲（一般是5:10:20秒）之后，如果還是得不到響應(yīng)，才會放棄繼續(xù)發(fā)包。 在以上攻擊過程中，至少存在4次廣播過程：第1次由攻擊者發(fā)起，發(fā)向網(wǎng)絡(luò)中的每一臺主機，第2次第4次由網(wǎng)絡(luò)上的每一臺主機發(fā)起，目標是并不存在的假冒主機，由此而產(chǎn)生的網(wǎng)絡(luò)流量是巨大的，尤其是第2次第4次的數(shù)據(jù)包，由于目標并不存在，這種數(shù)據(jù)包流遍網(wǎng)絡(luò)中的每一個結(jié)點之后，才會由于找不到目標而停止。,54,網(wǎng)絡(luò)攻擊的目標 攻擊目標,消耗磁盤空間： 利用垃圾郵件產(chǎn)生大量的郵件信息； 故意制造出出錯的Log信息：某些系統(tǒng)提供出錯信息記錄功能，攻擊者就故意制造出錯Log信息。 故意制造垃圾文件：攻擊者以合法的身份進入系統(tǒng)，然后編制shel

34、l程序，故意制造垃圾文件。 在匿名FTP站點的公開目錄下或者網(wǎng)絡(luò)鄰居的共享區(qū)域下放置大量的垃圾文件。,55,網(wǎng)絡(luò)攻擊的目標 攻擊目標,消耗CPU資源和內(nèi)存資源：一些系統(tǒng)提供的CPU資源和內(nèi)存資源是由許多進程共用的，攻擊者利用系統(tǒng)的特點，任意使用大量的CPU資源和內(nèi)存資源，從而導致系統(tǒng)服務(wù)性能下降甚至造成系統(tǒng)崩潰。,56,網(wǎng)絡(luò)攻擊的目標 攻擊目標,網(wǎng)絡(luò)運行可控性與攻擊方法實例：常見的攻擊方法有： 網(wǎng)絡(luò)蠕蟲：蠕蟲病毒的傳染機理是利用網(wǎng)絡(luò)進行復制和傳播，傳染途徑是通過網(wǎng)絡(luò)、電子郵件以及u盤、移動硬盤等移動存儲設(shè)備。蠕蟲程序主要利用系統(tǒng)漏洞進行傳播。因為蠕蟲使用多種方式進行傳播，所以蠕蟲程序的傳播速度

35、是非常快。一般情況下，蠕蟲程序只占用內(nèi)存資源而不占用其它資源。,57,網(wǎng)絡(luò)攻擊的目標 攻擊目標,蠕蟲病毒和一般的計算機病毒有著很大的區(qū)別，對于它現(xiàn)在還沒有一個成套的理論體系，但是一般認為：蠕蟲病毒是一種通過網(wǎng)絡(luò)傳播的惡性病毒，它除具有病毒的一些共性外，同時具有自己的一些特征，如不利用文件寄生（有的只存在于內(nèi)存中），對網(wǎng)絡(luò)造成拒絕服務(wù)，以及與黑客技術(shù)相結(jié)合等等。蠕蟲病毒主要的破壞方式是大量的復制自身，然后在網(wǎng)絡(luò)中傳播，嚴重的占用有限的網(wǎng)絡(luò)資源，最終引起整個網(wǎng)絡(luò)的癱瘓，使用戶不能通過網(wǎng)絡(luò)進行正常的工作。,58,網(wǎng)絡(luò)攻擊的目標 攻擊目標,每一次蠕蟲病毒的爆發(fā)都會給全球經(jīng)濟造成巨大損失，有一些蠕蟲病毒

36、還具有更改用戶文件、將用戶文件自動當附件轉(zhuǎn)發(fā)的功能，更是嚴重的危害到用戶的系統(tǒng)安全。蠕蟲病毒常見的傳播方式有2種： 利用系統(tǒng)漏洞傳播：蠕蟲病毒利用計算機系統(tǒng)的設(shè)計缺陷，通過網(wǎng)絡(luò)主動的將自己擴散出去。 利用電子郵件傳播：蠕蟲病毒將自己隱藏在電子郵件中，隨電子郵件擴散到整個網(wǎng)絡(luò)中，這也是個人計算機被感染的主要途徑。蠕蟲病毒一般不寄生在別的程序中，而多作為一個獨立的程序存在，它感染的對象是全網(wǎng)絡(luò)中所有的計算機，并且這種感染是主動進行的，所以總是讓人防不勝防。,59,網(wǎng)絡(luò)攻擊的目標 攻擊目標,垃圾郵件：網(wǎng)絡(luò)攻擊者利用郵件服務(wù)器的漏洞，例如，郵件服務(wù)器允許假地址和轉(zhuǎn)發(fā)功能，從而使得攻擊者隱蔽郵件源。網(wǎng)絡(luò)

37、攻擊者通過搜集大量郵件地址，然后利用郵件發(fā)送程序傳播敏感信息或者造成網(wǎng)絡(luò)堵塞。 域名服務(wù)數(shù)據(jù)破環(huán)：網(wǎng)絡(luò)攻擊者通過構(gòu)造特殊的域名解析請求包，使得域名服務(wù)器的緩存信息遭到污染，從而無法正常解析域名。,60,網(wǎng)絡(luò)攻擊模型,網(wǎng)絡(luò)攻擊模型將攻擊過程劃分為以下階段： 攻擊身份和位置隱藏：隱藏網(wǎng)絡(luò)攻擊者的身份及主機位置。 目標系統(tǒng)信息收集：確定攻擊目標并收集目標系統(tǒng)的有關(guān)信息。 弱點信息挖掘分析：從收集到的目標信息中提取可使用的漏洞信息。 目標使用權(quán)限獲?。韩@取目標系統(tǒng)的普通或特權(quán)賬戶權(quán)限。 攻擊行為隱蔽：隱蔽在目標系統(tǒng)中的操作，防止攻擊行為被發(fā)現(xiàn)。 攻擊實施：實施攻擊或者以目標系統(tǒng)為跳板向其他系統(tǒng)發(fā)起新的

38、攻擊。 開辟后門：在目標系統(tǒng)中開辟后門，方便以后入侵。 攻擊痕跡清除：清除攻擊痕跡，逃避攻擊取證。,61,網(wǎng)絡(luò)攻擊模型 攻擊身份和位置隱藏,攻擊者通常應(yīng)用如下技術(shù)隱藏攻擊的IP地址或域名： 利用被侵入的主機作為跳板，如在安裝Windows的計算機內(nèi)利用Wingate軟件作為跳板，利用配置不當?shù)腜roxy作為跳板。 應(yīng)用電話轉(zhuǎn)接技術(shù)隱蔽攻擊者身份，如利用電話的轉(zhuǎn)接服務(wù)連接ISP。 盜用他人的賬號上網(wǎng)，通過電話聯(lián)接一臺主機，再經(jīng)由主機進入Internet。 通過免費代理網(wǎng)關(guān)實施攻擊。 偽裝IP地址。 假冒用戶賬號。,62,網(wǎng)絡(luò)攻擊模型 目標系統(tǒng)信息收集,攻擊者可能在一開始就確定了攻擊目標，然后專門

39、收集該目標的信息；也可能先大量地收集網(wǎng)上主機的信息，然后根據(jù)各系統(tǒng)的安全性強弱確定最后的攻擊目標。 攻擊者感興趣的信息主要包括如下方面： 系統(tǒng)的一般信息，如系統(tǒng)的軟硬件平臺類型、用戶、服務(wù)與應(yīng)用等。 系統(tǒng)及服務(wù)的管理、配置情況，如系統(tǒng)是否禁止root遠程登錄。 系統(tǒng)口令的安全性，如系統(tǒng)是否存在弱口令等。 系統(tǒng)提供的服務(wù)的安全性，以及系統(tǒng)整體的安全性能。這一點可以從該系統(tǒng)是否提供安全性較差的服務(wù)、系統(tǒng)服務(wù)的版本是否是弱安全版本等因素來作出判斷。攻擊者獲取這些信息的主要方法有： 使用口令攻擊，如口令猜測攻擊、口令文件破譯攻擊、網(wǎng)絡(luò)竊聽與協(xié)議分析攻擊、社交欺詐等手段。 對系統(tǒng)進行端口掃描。 探測特定

40、服務(wù)的弱點，應(yīng)用漏洞掃描工具如ISS等。 攻擊者進行攻擊目標信息搜集時，還要常常注意隱藏自己，以免引起目標系統(tǒng)管理員的注意。,63,網(wǎng)絡(luò)攻擊模型 弱點信息挖掘分析,攻擊者收集到大量目標系統(tǒng)的信息后，開始從中挖掘可用于攻擊的目標系統(tǒng)弱點信息。常用到的弱點挖掘方法如下： 系統(tǒng)或應(yīng)用服務(wù)軟件漏洞：如利用finger、tftp、email等服務(wù)中的弱點獲取系統(tǒng)的訪問權(quán)限。 主機信任關(guān)系漏洞：網(wǎng)絡(luò)攻擊者總是尋找那些被信任的主機。這些主機可能是管理員使用的機器，或是一臺被認為安全的服務(wù)器。攻擊者可以利用CGI的漏洞，讀取/etc/hosts.allow等文件。通過這些文件，攻擊者可以大致了解主機間的信任關(guān)

41、系，然后，探測這些被信任主機存在哪些漏洞。 目標網(wǎng)絡(luò)的使用者漏洞：通過目標網(wǎng)絡(luò)使用者漏洞，尋找攻破目標系統(tǒng)的捷徑。 通信協(xié)議漏洞：分析目標網(wǎng)絡(luò)的協(xié)議信息，尋找漏洞，如尋找TCP/IP協(xié)議安全漏洞。 網(wǎng)絡(luò)業(yè)務(wù)系統(tǒng)漏洞：分析目標網(wǎng)絡(luò)的業(yè)務(wù)流程信息，挖掘其中的漏洞，如網(wǎng)絡(luò)申請使用權(quán)限登記漏洞。,64,網(wǎng)絡(luò)攻擊模型 目標使用權(quán)限獲取,一般賬戶對目標系統(tǒng)只有有限的訪問權(quán)限，要達到某些攻擊目標，攻擊者必須具有更多的權(quán)限。因此在獲得一般賬戶權(quán)限之后，攻擊者經(jīng)常會試圖獲得更高的權(quán)限，如系統(tǒng)管理賬戶的權(quán)限。獲取系統(tǒng)管理權(quán)限通常有以下途徑： 獲得系統(tǒng)管理員的口令，如專門針對root用戶的口令攻擊。 利用系統(tǒng)管理上

42、的漏洞，如錯誤的文件許可權(quán)，錯誤的系統(tǒng)配置，某些SUID程序中存在的緩沖區(qū)溢出漏洞等。 使系統(tǒng)管理員運行特洛伊木馬程序，如經(jīng)篡改之后的LOGIN程序等。 竊聽管理員口令。,65,網(wǎng)絡(luò)攻擊模型 攻擊行為隱蔽,進入系統(tǒng)之后，攻擊者要做的第一件事就是隱藏行蹤，攻擊者隱藏自己的行蹤通常要用到下面的技術(shù)： 連接隱藏，如冒充其他用戶、修改LOGNAME環(huán)境變量、修改utmp日志文件、使用IP SPOOF技術(shù)等。 進程隱藏，如使用重定向技術(shù)減少ps給出的信息量、使用特洛伊木馬代替ps程序等。 文件隱蔽，如利用字符串的相似來麻痹系統(tǒng)管理員，或修改文件屬性使普通顯示方法無法看到。 利用操作系統(tǒng)可加載模塊特性，隱

43、藏攻擊時所產(chǎn)生的信息。,66,網(wǎng)絡(luò)攻擊模型 攻擊實施,不同的攻擊者有不同的攻擊目標。一般來說，攻擊目標有以下幾個方面： 攻擊其他被信任的主機和網(wǎng)絡(luò)。 修改或刪除重要數(shù)據(jù)。 竊聽敏感數(shù)據(jù)。 停止網(wǎng)絡(luò)服務(wù)。 下載敏感數(shù)據(jù)。 刪除用戶賬號。 修改數(shù)據(jù)記錄。,67,網(wǎng)絡(luò)攻擊模型 開辟后門,一次成功的入侵通常要耗費攻擊者大量的時間與資源，因此攻擊者在退出系統(tǒng)之前會在系統(tǒng)中制造一些后門，方便下次入侵。攻擊者開辟后門時通常會應(yīng)用以下方法： 放寬文件許可權(quán)。 重新開放不安全的配置，如TFTP等。 修改系統(tǒng)的配置，如系統(tǒng)啟動文件、網(wǎng)絡(luò)服務(wù)配置文件等。 替換系統(tǒng)的共享庫文件。 修改系統(tǒng)的源代碼，安裝各種特洛伊木馬

44、。 安裝嗅探器。 建立隱蔽信道。,68,網(wǎng)絡(luò)攻擊模型 開辟后門,攻擊者為了避免IDS和系統(tǒng)安全管理員的追蹤，攻擊時和攻擊后都要設(shè)法消除攻擊痕跡。常用的方法有： 篡改日志文件中的審計信息。 改變系統(tǒng)時間造成日志文件數(shù)據(jù)紊亂。 刪除或停止審計服務(wù)進程。 干擾入侵檢測系統(tǒng)的正常運行。 修改完整性檢測標簽。,69,網(wǎng)絡(luò)攻擊模型 攻擊討論,攻擊過程的關(guān)鍵階段是弱點信息挖掘分析和目標使用權(quán)限獲取階段。根據(jù)收集到的目標系統(tǒng)信息，攻擊者對這些信息進行弱點分析。攻擊者攻擊成功的條件之一是目標系統(tǒng)存在安全漏洞或弱點。顯然，攻擊者攻擊系統(tǒng)能力的強弱在于盡早發(fā)現(xiàn)或利用安全漏洞的能力。 目標使用權(quán)限獲取是網(wǎng)絡(luò)攻擊的難點

45、。對內(nèi)部攻擊者來說，大都具備目標的普通權(quán)限，攻擊者往往具備發(fā)起后續(xù)攻擊活動的條件。攻擊者為了獲得目標系統(tǒng)更大的管理權(quán)限，通常會尋找系統(tǒng)漏洞提升自己的權(quán)限，如利用操作系統(tǒng)的漏洞或猜測管理員的口令。獲得系統(tǒng)的管理權(quán)限之后，攻擊者己接近于完全成功。 攻擊者能否成功地攻破一個系統(tǒng)，取決于多方面的因素。因此，攻擊者在攻擊目標之前，要做到知己知彼，首先要摸清目標的安全防范措施，挖掘目標系統(tǒng)的弱點，乘虛而入，攻破系統(tǒng)。為此，網(wǎng)絡(luò)安全防范不僅要從正面去進行防御，更要從反面入手，從攻擊者的角度設(shè)計更堅固的安全保障系統(tǒng)。,例子---掃描器程序設(shè)計,,70,,,71,,,,72,,,,73,,,,74,,Thank You !,