网络安全 – 概述

在当今时代，组织极大地依赖计算机网络以高效且富有成效的方式在整个组织内共享信息。组织计算机网络现在变得庞大且无处不在。假设每个员工都有一个专用的工作站，一个大型公司将在网络上拥有数千个工作站和许多服务器。

这些工作站很可能没有集中管理，也没有外围保护。他们可能拥有各种操作系统、硬件、软件和协议，用户的网络意识水平也不同。现在想象一下，公司网络上的这数千个工作站直接连接到互联网。这种不安全的网络成为攻击的目标，其中包含有价值的信息并显示漏洞。

在本章中，我们描述了网络的主要漏洞以及网络安全的意义。在后续章节中，我们将讨论实现相同目标的方法。

物理网络

网络被定义为连接在一起以有效共享资源的两个或多个计算设备。此外，将两个或多个网络连接在一起称为互联网络。因此，互联网只是一个互联网络——互连网络的集合。

为了设置其内部网络，组织有多种选择。它可以使用有线网络或无线网络连接所有工作站。如今，组织大多使用有线和无线网络的组合。

有线和无线网络

在有线网络中，设备通过电缆相互连接。通常，有线网络基于以太网协议，其中设备使用非屏蔽双绞线 (UTP) 电缆连接到不同的交换机。这些交换机还连接到网络路由器以访问互联网。

在无线网络中，设备通过无线电传输连接到接入点。接入点进一步通过电缆连接到交换机/路由器以进行外部网络访问。

有线和无线网络

无线网络因其提供的移动性而受到欢迎。移动设备无需绑定线缆，可以在无线网络范围内自由漫游。这确保了有效的信息共享并提高了生产力。

漏洞与攻击

有线和无线网络中存在的常见漏洞是对网络的“未经授权的访问”。攻击者可以通过不安全的集线器/交换机端口将其设备连接到网络。在这方面，无线网络被认为不如有线网络安全，因为无线网络无需任何物理连接即可轻松访问。

访问后，攻击者可以利用该漏洞发起如下攻击：

  • 嗅探数据包以窃取有价值的信息。

  • 通过用虚假数据包淹没网络介质来拒绝网络上合法用户的服务。

  • 欺骗合法主机的物理身份 (MAC)，然后窃取数据或进一步发起“中间人”攻击。

网络协议

网络协议是一组管理网络上连接的设备之间通信的规则。它们包括建立连接的机制，以及发送和接收消息的数据打包的格式化规则。

已经开发了多种计算机网络协议，每种协议都是针对特定目的而设计的。流行且广泛使用的协议是 TCP/IP 以及相关的高层和低层协议。

TCP/IP协议

传输控制协议(TCP) 和互联网协议(IP) 是两种不同的计算机网络协议，通常一起使用。由于它们的流行和广泛采用，它们内置在网络设备的所有操作系统中。

IP 对应于 OSI 中的网络层（第 3 层），而 TCP 对应于传输层（第 4 层）。TCP/IP 适用于网络通信，其中 TCP 传输用于跨 IP 网络传送数据。

TCP/IP 协议通常与其他协议一起使用，例如应用层的 HTTP、FTP、SSH 和数据链路/物理层的以太网。

TCP/IP协议

TCP/IP 协议套件创建于 1980 年，作为一种网际互联解决方案，很少考虑安全方面的问题。

它是为有限可信网络中的通信而开发的。然而，在一段时间之后，该协议成为不安全互联网通信的事实上的标准。

TCP/IP 协议套件的一些常见安全漏洞是 -

  • HTTP 是 TCP/IP 套件中的应用层协议，用于从 Web 服务器传输构成网页的文件。这些传输以纯文本形式完成，入侵者可以轻松读取服务器和客户端之间交换的数据包。

  • 另一个 HTTP 漏洞是会话初始化期间客户端和 Web 服务器之间的弱身份验证。此漏洞可能导致会话劫持攻击，攻击者会窃取合法用户的 HTTP 会话。

  • TCP协议漏洞是建立连接的三向握手。攻击者可以发起拒绝服务攻击“SYN-flooding”来利用此漏洞。他通过不完成握手来建立许多半开放的会话。这会导致服务器过载并最终崩溃。

  • IP层容易受到许多漏洞的影响。通过修改IP协议头，攻击者可以发起IP欺骗攻击。

除了上述之外，TCP/IP 协议族在设计和实现中还存在许多其他安全漏洞。

顺便说一句，在基于 TCP/IP 的网络通信中，如果一层被黑客攻击，其他层不会意识到黑客攻击，整个通信就会受到损害。因此，需要在每一层采用安全控制以确保万无一失的安全性。

DNS协议

域名系统(DNS) 用于将主机域名解析为 IP 地址。网络用户主要在通过在 Web 浏览器中键入 URL 浏览 Internet 时依赖 DNS 功能。

在对 DNS 的攻击中，攻击者的目标是修改合法的 DNS 记录，以便将其解析为不正确的 IP 地址。它可以将该 IP 的所有流量定向到错误的计算机。攻击者可以利用 DNS 协议漏洞或破坏 DNS 服务器来实施攻击。

DNS 缓存中毒是利用 DNS 协议中发现的漏洞进行的攻击。攻击者可能会通过伪造对解析器发送到权威服务器的递归 DNS 查询的响应来毒害缓存。一旦 DNS 解析器的缓存中毒，主机将被引导至恶意网站，并可能通过与该网站的通信来泄露凭证信息。

DNS协议

ICMP协议

ICMP（ Internet Control Management Protocol，互联网控制管理协议）是TCP/IP网络的基本网络管理协议。它用于发送有关联网设备状态的错误和控制消息。

ICMP 是 IP 网络实现的一个组成部分，因此存在于所有网络设置中。ICMP 有其自身的漏洞，可能被滥用对网络发起攻击。

由于 ICMP 漏洞，网络上可能发生的常见攻击是 -

  • ICMP 允许攻击者执行网络侦察以确定网络拓扑和进入网络的路径。ICMP 扫描涉及发现整个目标网络中活动的所有主机 IP 地址。

  • 跟踪路由是一种流行的 ICMP 实用程序，用于通过实时描述从客户端到远程主机的路径来映射目标网络。

  • 攻击者可以利用ICMP漏洞发起拒绝服务攻击。此攻击涉及向目标设备发送超过 65,535 字节的 IPMP ping 数据包。目标计算机无法正确处理此数据包，可能会导致操作系统崩溃。

其他协议如ARP、DHCP、SMTP等也存在漏洞，攻击者可利用这些漏洞危害网络安全。我们将在后面的章节中讨论其中一些漏洞。

协议设计和实现过程中对安全问题的忽视已经成为威胁网络安全的主要原因。

网络安全的目标

正如前面几节所讨论的，网络中存在大量漏洞。因此，在传输过程中，数据很容易受到攻击。攻击者可以瞄准通信通道、获取数据并读取数据或重新插入虚假消息以实现其邪恶目的。

网络安全不仅仅关注通信链各端计算机的安全；然而，它的目的是确保整个网络的安全。

网络安全需要保护网络和数据的可用性、可靠性、完整性和安全性。有效的网络安全可以抵御进入网络或在网络上传播的各种威胁。

网络安全的主要目标是机密性、完整性和可用性。网络安全的这三个支柱通常用CIA 三角形来表示。

  • 机密性- 机密性的功能是保护宝贵的业务数据免受未经授权的人员的侵害。网络安全的保密部分确保数据仅可供指定人员和授权人员使用。

  • 完整性- 这个目标意味着维护和确保数据的准确性和一致性。完整性的作用是确保数据可靠并且不被未经授权的人更改。

  • 可用性- 网络安全中可用性的功能是确保合法用户在需要时持续可用数据、网络资源/服务。

实现网络安全

确保网络安全看似非常简单。要实现的目标似乎很简单。但实际上，用于实现这些目标的机制非常复杂，理解它们需要合理的推理。

国际电信联盟（ITU）在其关于安全架构X.800的建议中定义了某些机制，以实现网络安全的方法标准化。其中一些机制是 -

  • 加密- 该机制通过将数据转换为未经授权的人不可读的形式来提供数据机密性服务。该机制使用带有密钥的加密解密算法。

  • 数字签名- 此机制相当于电子数据中普通签名的电子形式。它提供了数据的真实性。

  • 访问控制- 该机制用于提供访问控制服务。这些机制可以使用实体的标识和认证来确定和强制执行该实体的访问权限。

开发并确定了实现网络安全的各种安全机制后，必须决定在何处应用它们；物理上（在什么位置）和逻辑上（在 TCP/IP 等体系结构的哪一层）。

网络层的安全机制

已经开发了多种安全机制，使得它们可以在 OSI 网络层模型的特定层上开发。

  • 应用层的安全性- 此层使用的安全措施是特定于应用程序的。不同类型的应用程序需要单独的安全措施。为了保证应用层的安全，需要对应用进行修改。

    人们认为，设计一个密码学上健全的应用协议非常困难，正确实现它则更具挑战性。因此，用于保护网络通信的应用层安全机制优选仅是已经使用了一段时间的基于标准的解决方案。

    应用层安全协议的一个示例是安全多用途 Internet 邮件扩展 (S/MIME)，它通常用于加密电子邮件消息。DNSSEC 是该层的另一个协议，用于安全交换 DNS 查询消息。

  • 传输层的安全性- 该层的安全措施可用于保护两个主机之间的单个通信会话中的数据。传输层安全协议最常见的用途是保护 HTTP 和 FTP 会话流量。传输层安全性 (TLS) 和安全套接字层 (SSL) 是用于此目的的最常用协议。

  • 网络层- 该层的安全措施可以应用于所有应用程序；因此，它们不是特定于应用程序的。两个主机或网络之间的所有网络通信都可以在这一层受到保护，而无需修改任何应用程序。在某些环境中，网络层安全协议（例如 Internet 协议安全 (IPsec)）提供了比传输或应用程序层控制更好的解决方案，因为向单个应用程序添加控制很困难。然而，这一层的安全协议提供的通信灵活性较低，而某些应用程序可能需要这种灵活性。

顺便提及，设计用于在较高层操作的安全机制不能为较低层的数据提供保护，因为较低层执行较高层不知道的功能。因此，可能需要部署多种安全机制来增强网络安全。

在本教程的后续章节中，我们将讨论 OSI 网络体系结构不同层所采用的安全机制，以实现网络安全。