网络安全 – 概述

---

在这个现代时代，组织极大地依赖计算机网络以高效和富有成效的方式在整个组织内共享信息。组织计算机网络现在变得庞大且无处不在。假设每个员工都有一个专用的工作站，那么大型公司在网络上将有几千个工作站和许多服务器。

这些工作站很可能没有集中管理，也没有周边保护。它们可能拥有多种操作系统、硬件、软件和协议，用户之间的网络意识水平也不同。现在想象一下，公司网络上的这数千个工作站直接连接到 Internet。这种不安全的网络成为攻击的目标，其中包含有价值的信息并显示漏洞。

在本章中，我们描述了网络的主要漏洞和网络安全的意义。在随后的章节中，我们将讨论实现相同目标的方法。

物理网络

网络被定义为连接在一起以有效共享资源的两个或多个计算设备。此外，将两个或更多网络连接在一起称为网络互联。因此，互联网只是一个互联网络——互联网络的集合。

对于设置其内部网络，组织有多种选择。它可以使用有线网络或无线网络连接所有工作站。如今，组织大多使用有线和无线网络的组合。

有线和无线网络

在有线网络中，设备通过电缆相互连接。通常，有线网络基于以太网协议，其中设备使用非屏蔽双绞线 (UTP) 电缆连接到不同的交换机。这些交换机进一步连接到网络路由器以访问互联网。

在无线网络中，设备通过无线电传输连接到接入点。接入点通过电缆进一步连接到交换机/路由器以进行外部网络访问。

无线网络因其提供的移动性而广受欢迎。移动设备无需绑定线缆，可以在无线网络范围内自由漫游。这确保了有效的信息共享并提高了生产力。

漏洞和攻击

有线和无线网络中都存在的常见漏洞是对网络的“未经授权的访问”。攻击者可以通过不安全的集线器/交换机端口将他的设备连接到网络。在这方面，无线网络被认为不如有线网络安全，因为无线网络无需任何物理连接即可轻松访问。

访问后，攻击者可以利用此漏洞发起攻击，例如 –

• 嗅探数据包数据以窃取有价值的信息。

• 通过用虚假数据包淹没网络介质来拒绝对网络上合法用户的服务。

• 欺骗合法主机的物理身份 (MAC)，然后窃取数据或进一步发起“中间人”攻击。

网络协议

网络协议是一组规则，用于管理网络上连接的设备之间的通信。它们包括建立连接的机制，以及用于发送和接收消息的数据打包的格式规则。

已经开发了几种计算机网络协议，每种协议都是为特定目的而设计的。流行和广泛使用的协议是 TCP/IP 以及相关的高层和低层协议。

TCP/IP 协议

传输控制协议(TCP) 和互联网协议(IP) 是两种不同的计算机网络协议，通常一起使用。由于它们的流行和广泛采用，它们内置于联网设备的所有操作系统中。

IP 对应于网络层（第 3 层），而 TCP 对应于 OSI 中的传输层（第 4 层）。TCP/IP 适用于网络通信，其中 TCP 传输用于跨 IP 网络传送数据。

TCP/IP 协议通常与其他协议一起使用，例如应用层的 HTTP、FTP、SSH 和数据链路/物理层的以太网。

TCP/IP 协议套件创建于 1980 年，作为一种很少考虑安全方面的网络互连解决方案。

它是为有限可信网络中的通信而开发的。然而，一段时间后，该协议成为不安全互联网通信的事实上的标准。

TCP/IP 协议套装的一些常见安全漏洞是 –

• HTTP 是 TCP/IP 套件中的应用层协议，用于从 Web 服务器传输构成网页的文件。这些传输以纯文本形式完成，入侵者可以轻松读取服务器和客户端之间交换的数据包。

• 另一个 HTTP 漏洞是在会话初始化期间客户端和 Web 服务器之间的弱身份验证。此漏洞可能导致会话劫持攻击，攻击者窃取合法用户的 HTTP 会话。

• TCP协议漏洞是建立连接的三向握手。攻击者可以发起拒绝服务攻击“SYN-flooding”来利用该漏洞。他通过不完成握手来建立许多半开的会话。这会导致服务器过载并最终崩溃。

• IP 层容易受到许多漏洞的影响。通过修改IP协议头，攻击者可以发起IP欺骗攻击。

除了上述提到的之外，TCP/IP 协议族在设计和实现过程中还存在许多其他安全漏洞。

顺便提一下，在基于 TCP/IP 的网络通信中，如果一层被黑客入侵，其他层不会意识到黑客入侵，整个通信都会受到损害。因此，需要在每一层采用安全控制来确保万无一失的安全性。

DNS 协议

域名系统(DNS) 用于将主机域名解析为 IP 地址。网络用户主要在通过在 Web 浏览器中键入 URL 来浏览 Internet 期间依赖 DNS 功能。

在对 DNS 的攻击中，攻击者的目标是修改合法的 DNS 记录，以便将其解析为错误的 IP 地址。它可以将该 IP 的所有流量定向到错误的计算机。攻击者可以利用 DNS 协议漏洞或破坏 DNS 服务器来实现攻击。

DNS 缓存中毒是一种利用 DNS 协议中发现的漏洞的攻击。攻击者可能通过伪造对解析器发送到权威服务器的递归 DNS 查询的响应来毒化缓存。一旦 DNS 解析器的缓存中毒，主机将被定向到恶意网站，并可能通过与该站点的通信来破坏凭据信息。

ICMP协议

Internet 控制管理协议(ICMP) 是 TCP/IP 网络的基本网络管理协议。它用于发送有关联网设备状态的错误和控制消息。

ICMP 是 IP 网络实施的一个组成部分，因此存在于网络设置中。ICMP 有其自身的漏洞，可以被滥用以对网络发起攻击。

由于ICMP漏洞可能在网络上发生的常见攻击是 –

• ICMP 允许攻击者进行网络侦察，以确定网络拓扑和进入网络的路径。ICMP 扫描涉及发现在整个目标网络中处于活动状态的所有主机 IP 地址。

• 跟踪路由是一种流行的 ICMP 实用程序，用于通过实时描述从客户端到远程主机的路径来映射目标网络。

• 攻击者可以利用 ICMP 漏洞发起拒绝服务攻击。此攻击涉及向目标设备发送超过 65,535 字节的 IPMP ping 数据包。目标计算机无法正确处理此数据包，并可能导致操作系统崩溃。

其他协议如 ARP、DHCP、SMTP 等也存在漏洞，攻击者可以利用这些漏洞破坏网络安全。我们将在后面的章节中讨论其中的一些漏洞。

协议设计和实施过程中对安全方面最不关心的问题已成为威胁网络安全的主要原因。

网络安全的目标

正如前面部分所讨论的，网络中存在大量漏洞。因此，在传输过程中，数据极易受到攻击。攻击者可以瞄准通信通道，获取数据，然后读取相同的信息或重新插入虚假消息以实现其邪恶目的。

网络安全不仅仅关注通信链两端计算机的安全；然而，它旨在确保整个网络的安全。

网络安全需要保护网络和数据的可用性、可靠性、完整性和安全性。有效的网络安全可以抵御进入网络或在网络上传播的各种威胁。

网络安全的主要目标是机密性、完整性和可用性。网络安全的这三个支柱通常被表示为CIA 三角形。

• 机密性–机密性的功能是保护宝贵的业务数据免受未经授权的人的侵害。网络安全的保密部分确保数据仅对预期和授权的人可用。

• 完整性– 此目标意味着维护和确保数据的准确性和一致性。完整性的功能是确保数据是可靠的，不会被未经授权的人更改。

• 可用性– 网络安全中的可用性功能是确保合法用户在需要时始终可以使用数据、网络资源/服务。

实现网络安全

确保网络安全可能看起来非常简单。要实现的目标似乎很简单。但实际上，用于实现这些目标的机制非常复杂，理解它们需要合理的推理。

国际电信联盟(ITU) 在其关于安全架构 X.800 的建议中定义了某些机制，以实现网络安全的方法标准化。其中一些机制是 –

• 加密– 此机制通过将数据转换为未授权人员无法读取的形式来提供数据保密服务。该机制使用带有秘密密钥的加密-解密算法。

• 数字签名– 这种机制是电子数据中普通签名的电子等效物。它提供了数据的真实性。

• 访问控制– 此机制用于提供访问控制服务。这些机制可以使用实体的标识和认证来确定和强制执行实体的访问权限。

在开发和确定了实现网络安全的各种安全机制之后，决定在何处应用它们是至关重要的；物理上（在什么位置）和逻辑上（在体系结构的哪个层，如 TCP/IP）。

网络层的安全机制

已经开发了几种安全机制，它们可以在 OSI 网络层模型的特定层进行开发。

• 应用程序层的安全 – 该层使用的安全措施是特定于应用程序的。不同类型的应用程序需要单独的安全措施。为了保证应用层的安全，需要对应用进行修改。

  人们认为设计一个加密合理的应用协议是非常困难的，而正确地实现它则更具挑战性。因此，用于保护网络通信的应用层安全机制最好是已经使用了一段时间的基于标准的解决方案。

  应用层安全协议的一个示例是安全多用途 Internet 邮件扩展 (S/MIME)，它通常用于加密电子邮件消息。DNSSEC 是该层的另一个协议，用于安全交换 DNS 查询消息。

• 传输层安全 – 该层的安全措施可用于保护两台主机之间单个通信会话中的数据。传输层安全协议最常见的用途是保护 HTTP 和 FTP 会话流量。传输层安全 (TLS) 和安全套接字层 (SSL) 是用于此目的的最常用协议。

• 网络层– 该层的安全措施可应用于所有应用程序；因此，它们不是特定于应用程序的。两台主机或网络之间的所有网络通信都可以在这一层得到保护，而无需修改任何应用程序。在某些环境中，由于难以向单个应用程序添加控件，因此网络层安全协议（例如 Internet 协议安全性 (IPsec)）提供了比传输层或应用程序层控制更好的解决方案。然而，这一层的安全协议提供了一些应用程序可能需要的较少的通信灵活性。

顺便说一下，设计为在较高层运行的安全机制不能为较低层的数据提供保护，因为较低层执行较高层不知道的功能。因此，可能需要部署多种安全机制来增强网络安全性。

在本教程的以下章节中，我们将讨论在 OSI 网络架构的不同层采用的安全机制，以实现网络安全。