网络安全概论刘建伟课件

网络安全概论刘建伟教授课程第一章网络安全概述网络安全定义CIA三原则五大安全目标保护网络系统的硬件、软件及其系统中的数信息安全的三大核心要素:在CIA基础上扩展的网络安全核心目标:据,防止因偶然或恶意原因遭到破坏、更改、•机密性Confidentiality:防止信息泄

1.机密性:信息不被非法获取泄露,确保系统连续可靠正常运行,网络服务露给未授权实体

2.完整性:数据保持准确完整不中断•完整性Integrity:保证数据未被篡改

3.可用性:系统持续提供服务•可用性Availability:确保合法用户能

4.不可抵赖性:行为可追溯验证正常访问网络安全的四大安全属性中国科学院院士王小云教授提出的网络安全核心属性框架,为我国网络安全理论体系奠定了重要基础机密性1确保信息只能被授权的用户访问,防止敏感数据被未授权实体获取通过加密技术、访问控制等机制实现信息的隐私保护完整性2保证数据在存储和传输过程中不被非法篡改、删除或伪造采用哈希函数、数字签名等技术验证数据的真实性和完整性不可抵赖性3防止通信实体否认已经发生的行为通过数字签名、时间戳等技术手段,确保发送方无法否认已发送的消息,接收方无法否认已接收的信息可认证性网络安全体系结构与标准国际标准框架网络安全的标准化工作为全球安全实践提供了统一的参考框架和技术规范ISO7498-2:OSI安全体系结构,定义了七层模型中的安全服务和机制ITU X.800:电信安全体系结构标准,补充了OSI安全框架RFC4301:IPsec安全架构,规定了IP层的安全协议和密钥管理网络安全攻防体系网络攻击攻击者利用计算机系统、网络协议或应用程序的漏洞和安全缺陷,采用各种技术手段破坏系统的机密性、完整性、可用性等安全目标,以获取非法利益或造成破坏的行为攻击类型包括被动攻击窃听、流量分析和主动攻击篡改、假冒、拒绝服务网络防御采用技术手段和管理措施,保护网络系统中的数据安全,维护系统的正常运行,防止攻击者的入侵和破坏包括预防性防御、检测性防御和响应性防御三个层次主要防御技术:防火墙、入侵检测、加密通信、身份认证、安全审计等网络安全本质上是攻击与防御的动态博弈过程攻击技术不断演进,防御体系也需要持续升级只有深入理解攻击原理,才能构建有效的防御策略安全不是静态的状态,而是动态的平衡过程计算机网络的脆弱性计算机网络系统在设计、实现和运行过程中存在多方面的安全隐患,这些脆弱性为攻击者提供了可乘之机协议设计缺陷硬件安全隐患软件安全隐患TCP/IP协议族在设计初期主要关注功能实现硬件层面的安全风险往往更难检测和防御:软件系统是网络安全最薄弱的环节:和互联互通,未充分考虑安全问题这导致了诸•制造过程中的缺陷和后门•代码漏洞:缓冲区溢出、SQL注入、XSS等多安全隐患:•芯片级木马植入风险•配置错误:默认口令、过度授权、服务暴露•IP地址欺骗:攻击者可伪造源IP地址发起攻•侧信道攻击威胁功耗分析、电磁泄露•操作系统安全级别不足击•固件漏洞和更新机制缺陷•第三方组件和依赖库的安全风险•源路由攻击:利用IP选项绕过安全控制•软件供应链攻击威胁•TCP会话劫持:利用序列号预测劫持连接•DNS缺乏认证:易遭受缓存投毒攻击网络攻击分类与实例被动攻击攻击者不对数据进行修改,只是窃听或监控网络传输的信息这类攻击难以检测,因为不会留下明显痕迹窃听Eavesdropping:截获网络通信内容流量分析Traffic Analysis:通过分析通信模式推测敏感信息主动攻击攻击者主动对系统或数据进行破坏、修改或伪造,容易被检测但危害更大假冒Masquerade:伪装成合法用户重放攻击Replay:重复发送截获的数据数据篡改Modification:修改传输中的数据拒绝服务DoS/DDoS:使系统无法提供正常服务经典案例:2016年Mirai僵尸网络攻击2016年10月,Mirai僵尸网络感染了数十万台物联网设备,对DNS服务提供商Dyn发起大规模DDoS攻击,导致Twitter、Netflix、Reddit等主流网站在美国和欧洲大面积瘫痪攻击峰值流量超过1Tbps,创下当时DDoS攻击的历史记录该事件暴露了物联网设备安全的严重问题模型中的安全威胁与防护OSI网络攻击可以针对OSI七层模型的不同层次发起,每一层都有其特定的安全威胁和相应的防护措施网络层威胁传输层威胁IP地址欺骗:伪造源IP地址发起攻击,难以追踪TCP SYN Flood:发送大量SYN请求耗尽服务攻击源器资源ARP欺骗:伪造ARP响应,将流量重定向到攻击UDP Flood:发送大量UDP数据包占用带宽者会话劫持:预测TCP序列号劫持连接ICMP攻击:利用ICMP协议进行死亡之Ping、Smurf攻击等应用层威胁DNS劫持:篡改DNS解析结果,将用户引导到恶意网站FTP匿名攻击:利用匿名FTP上传恶意文件或窃取数据邮件垃圾攻击:发送大量垃圾邮件或钓鱼邮件Web应用攻击:SQL注入、XSS跨站脚本、CSRF等典型网络攻击技术详解SYNFlood攻击ARP欺骗攻击DNS污染攻击攻击原理:利用TCP三次握手机制,发送大量伪造攻击原理:攻击者发送伪造的ARP响应,将网关的攻击原理:向DNS服务器注入虚假的域名解析记的SYN请求,服务器分配资源等待ACK响应,导致MAC地址映射到攻击者的MAC地址,使局域网内录,或在传输过程中篡改DNS响应,将用户引导到连接队列耗尽的流量都经过攻击者恶意网站防御措施:防御措施:防御措施:•SYN Cookie技术:不立即分配资源,通过特•配置静态ARP表绑定关键主机•部署DNSSEC技术:使用数字签名验证DNS殊算法验证连接响应•启用ARP监控和异常检测•SYN Proxy代理:由防火墙代为完成三次握手•使用加密DNS协议DoH/DoT•使用交换机端口安全功能•增加连接队列长度和超时时间•定期清理DNS缓存•部署ARP防火墙软件•配置可信的DNS服务器密码学基础密码学是网络安全的核心技术基础,为信息的机密性、完整性和身份认证提供数学保障古典密码非对称加密凯撒密码:最早的替换密码,将字母移动固定位数RSA:基于大整数分解难题,密钥长度通常2048位以上置换密码:改变明文字符的位置顺序ECC:椭圆曲线密码学,相同安全强度下密钥更短,效率更高古典密码易于破解,不适用于现代安全需求特点:公钥加密私钥解密,解决了密钥分发问题但速度较慢1234对称加密数字签名与MACDES:数据加密标准,56位密钥,已不安全数字签名:使用私钥对消息摘要签名,提供身份认证和不可抵赖性AES:高级加密标准,支持128/192/256位密钥,目前最广泛使用的对MAC:消息认证码,使用共享密钥验证消息完整性称加密算法广泛应用于数字证书、电子合同、安全协议等特点:加密解密使用相同密钥,速度快但密钥分发困难网络身份认证技术身份鉴别三要素现代身份认证系统通常基于以下三类因子的组合:知识因子:用户知道的信息密码、PIN码、安全问题拥有因子:用户拥有的物品智能卡、USB密钥、手机生物因子:用户的生物特征指纹、虹膜、人脸、声纹多因素认证MFA结合两种或以上因子,显著提升安全性Kerberos认证协议公钥基础设施PKI基于票据的网络认证协议,广泛应用于企业环境如Windows ActiveDirectory基于公钥密码学的信任体系,通过数字证书建立身份与公钥的绑定关系核心机制:通过可信第三方KDC颁发票据,实现单点登录和相互认证,避免密码在网络中传输核心组件:证书颁发机构CA、注册机构RA、证书库、密钥管理系统应用于HTTPS、电子签名、VPN等防火墙技术防火墙是部署在内部网络与外部网络之间的安全屏障,根据预定义的安全策略控制网络流量的进出包过滤防火墙工作在网络层,根据IP地址、端口号、协议类型等信息过滤数据包实现简单、效率高,但无法检测应用层攻击,易受IP欺骗攻击应用代理防火墙工作在应用层,为每个应用协议提供专门的代理服务可深度检查应用层内容,安全性高,但性能开销大,需要为每种协议开发代理状态检测防火墙结合包过滤和应用代理的优点,维护连接状态表,跟踪会话信息既能提供较高的安全性,又保持良好的性能,是当前主流技术下一代防火墙集成入侵防御、应用识别、用户身份识别、深度包检测等功能能够识别应用层协议和用户行为,提供更精细的访问控制和威胁防护部署架构局限性单防火墙:简单场景,内外网之间单一防火墙•无法防御内部攻击和绕过防火墙的攻击双防火墙:在内外网之间建立DMZ区,隔离公共服务器•对加密流量检测能力有限分布式防火墙:在网络多个位置部署,实现纵深防御•配置复杂,规则冲突可能导致安全漏洞•无法防御零日漏洞和高级持续威胁APT入侵检测系统IDS入侵检测系统通过监控网络流量或系统活动,识别潜在的安全威胁和攻击行为,是防火墙的重要补充误用检测异常检测基于已知攻击特征库进行模式匹配,检测率高、误报建立正常行为基线,检测偏离基线的异常行为可发率低,但无法检测未知攻击类似于病毒查杀的特征现未知攻击,但误报率较高,需要长期学习和调优码匹配主机型IDS网络型IDS安装在受保护主机上,监控系统日志和文件变化检部署在网络关键节点,监控网络流量覆盖范围广,测精度高,可发现内部威胁,但增加主机负担,管理复不影响主机性能,但难以检测加密流量和主机内部攻杂击IDS部署策略在网络边界部署NIDS监控外部威胁,在关键服务器部署HIDS监控系统完整性结合使用可实现纵深防御,及时发现和响应安全事件现代趋势是将IDS与IPS入侵防御系统结合,实现主动防御虚拟专用网络VPNVPN通过在公共网络上建立加密隧道,为远程用户和分支机构提供安全的私有网络连接VPN的核心功能数据加密:保护传输数据的机密性身份认证:验证通信双方的合法性数据完整性:防止数据在传输中被篡改访问控制:限制用户访问特定资源VPN的应用场景远程办公接入、分支机构互联、移动办公安全、跨境数据传输、云资源安全访问等在疫情期间,VPN成为企业支持远程办公的关键技术IPsec VPNSSL/TLS VPNMPLS VPN工作在网络层的VPN协议,支持站点到站点和远程访问两种模工作在传输层和应用层之间,基于Web浏览器实现远程访问无基于多协议标签交换技术的VPN解决方案,由运营商提供性能式由AH认证头和ESP封装安全载荷两个协议组成,提供强需安装客户端软件,部署简单,适合移动办公和临时访问安全性高、可扩展性强,适合大型企业的广域网互联通过标签隔离不大的安全保障适用于企业专线和分支互联依赖于SSL/TLS协议和证书体系同客户的流量,保证私密性网络安全法律法规与伦理《中华人民共和国网络安全法》核心条款2017年6月1日正式实施,是我国网络安全领域的基础性法律,确立了网络安全的基本原则和制度框架关键信息基础设施保护网络产品和服务安全审查对公共通信、能源、交通、金融等重要行业和领域的关键信息基础设施实行重点保护,要求关键信息基础设施的运营者采购网络产品和服务,可能影响国家安全的,应当通过国家网信部运营者采取技术措施和管理措施,保障网络安全门会同有关部门组织的安全审查个人信息保护数据本地化与跨境传输网络运营者收集、使用个人信息应遵循合法、正当、必要原则,明示收集使用规则,不得违反关键信息基础设施运营者在境内运营中收集和产生的个人信息和重要数据应当在境内存储,法律规定和双方约定收集使用个人信息确需向境外提供的,应进行安全评估网络安全伦理原则国家网络安全战略•尊重隐私,保护个人数据坚持网络安全和信息化发展并重,建立关键信息基础设施保护体系,加强网络安全态势感知能力,提升网络安全防护和应急处置能力•负责任地披露漏洞•遵守授权边界,反对黑客攻击•推动技术向善,服务社会发展网络安全攻防经典案例全球网络安全态势网络空间已成为大国博弈的新战场美国组建网络司令部,中国成立战略支援部队,各国纷纷将网络安全上升到国家战略高度网络攻防能力成为衡量国家综合实力的重要指标WannaCry勒索病毒2017SolarWinds供应链攻击2020利用Windows SMB协议漏洞永恒之蓝,在全球150多个国家爆黑客入侵SolarWinds公司的软件更新系统,在Orion平台更新中植发,感染超过30万台计算机攻击者加密用户文件并勒索比特币赎入后门,影响包括美国多个政府部门和数千家企业攻击持续数月未金该事件暴露了系统补丁管理的重要性,促使各国加强网络安全应被发现,被认为是近年来最严重的供应链攻击事件凸显了供应链安急响应能力建设全和零信任架构的重要性案例启示与防御策略•建立多层次、纵深防御体系•实施零信任安全架构•加强漏洞管理和及时打补丁•加强员工安全意识培训•重视供应链安全审查•定期进行安全演练和渗透测试•提升安全监测和应急响应能力•建立网络安全情报共享机制新兴网络安全技术趋势随着技术的快速发展,网络安全面临新的挑战,同时也催生了创新的安全技术和解决方案人工智能安全应用云安全技术物联网安全挑战AI技术在网络安全领域的应用日益广泛:云计算带来的安全挑战与解决方案:物联网设备规模庞大但安全防护薄弱:智能威胁检测:利用机器学习识别异常行为多租户隔离:虚拟化技术确保不同客户数据设备安全:默认密码、固件漏洞、缺乏更新和零日攻击隔离机制自动化响应:AI驱动的安全编排与自动化云原生安全:容器安全、微服务安全、通信安全:轻量级加密算法,安全协议适配响应SOAR DevSecOps对抗性AI:AI既是防御工具,也被攻击者利云访问安全代理:CASB技术监控和控制云数据安全:海量数据的隐私保护和安全存储用生成对抗样本服务使用挑战:AI模型本身可能存在安全漏洞,需要趋势:零信任架构在云环境中的应用,边缘计解决方案:建立物联网安全标准,设备身份认建立AI安全评估体系算安全证,安全芯片网络安全管理与风险评估技术措施需要与管理制度相结合,才能构建有效的网络安全防护体系风险管理是网络安全工作的核心方法论安全策略制定风险识别评估制定覆盖组织全员的网络安全政策,明确安全目标、责任分工、管理流程和技术标准策略应与业务目标保持一致,获得高层支持识别资产、威胁和脆弱性,评估风险发生的可能性和影响程度采用定性或定量方法计算风险值,确定风险优先级风险应对措施持续监控改进根据风险评估结果,选择风险规避、降低、转移或接受策略实施技术控制和管理控制措施,降低风险到可接受水平建立安全监控机制,定期审查安全策略有效性根据威胁变化和业务发展,持续优化安全体系,形成安全管理闭环安全事件响应与恢复流程准备阶段1建立应急响应团队,制定应急预案,准备工具和资源,开展演练2检测识别通过监控系统发现异常,初步判断事件性质和影响范围遏制处置3隔离受影响系统,阻止攻击扩散,收集证据,分析攻击手段4根除恢复清除恶意代码,修复漏洞,恢复系统和数据,验证系统安全性总结改进5分析事件原因,总结经验教训,完善防护措施和应急预案网络安全人才培养与职业发展网络安全人才短缺是全球性问题我国网络安全人才缺口超过百万,培养高素质安全人才是国家战略需求专业知识体系能力素质要求基础知识:计算机网络、操作系统、编程语言、数据库•扎实的技术功底和持续学习能力•敏锐的安全意识和风险洞察力安全技术:密码学、防火墙、IDS/IPS、漏洞分析•良好的沟通协作和问题解决能力攻防技能:渗透测试、逆向工程、取证分析•职业道德和法律法规意识管理能力:风险管理、合规审计、安全架构设计安全工程师渗透测试员负责安全产品的部署配置、安全策略制定、日常安全运维模拟黑客攻击,发现系统漏洞和安全隐患需要掌握各种攻击需要熟悉各类安全设备和技术,具备系统集成能力技术和工具,具备创新思维和实战经验应急响应专家处置安全事件,进行取证分析和溯源调查需要具备快速响应能力、丰富的攻防经验和强大的抗压能力学习路径建议夯实计算机基础知识→学习网络安全核心技术→参与CTF竞赛和实战演练→考取专业认证CISP、CISSP等→持续关注安全动态和前沿技术推荐资源:OWASP、Kali Linux、漏洞平台、安全社区构筑坚固的网络安全防线网络安全是信息时代的基石在数字化转型加速的今天,网络安全已经超越技术层面,成为关系国家安全、经济发展、社会稳定和个人权益的重大战略问题没有网络安全就没有国家安全,就没有经济社会稳定运行,广大人民群众利益也难以得到保障技术创新管理规范法律保障持续研发先进的安全技术,构建主动防御、智建立健全网络安全管理制度,落实安全责任制,完善网络安全法律法规体系,加大执法力度,严能感知、协同响应的新一代网络安全体系推强化风险评估和应急响应推动网络安全标准厉打击网络犯罪加强国际合作,共同应对跨动密码技术、人工智能、区块链等前沿技术在化建设,提升安全管理的科学化和规范化水国网络安全威胁,构建和平、安全、开放、合安全领域的应用平作的网络空间网络安全为人民,网络安全靠人民维护网络安全是全社会共同责任,需要政府、企业、社会组织、广大网民共同参与,共筑网络安全防线让我们携手共进,以技术创新为驱动,以法治建设为保障,以人才培养为支撑,构建安全可信的网络空间,为数字中国建设保驾护航,共同守护数字世界的安全与信任!。