4通信和网络安全

4.1 通信

通信是数据在系统之间的电子传输，采用模拟、数字或无线传输类型。数据沿着铜线、同轴电缆、光纤、空气、电话公司的公共交换电话网PSTN或服务供应商的光缆、交换机和路由器流动

国际通信协会ITU

国际标准化组织ISO

4.2 开放系统互联参考模型

网络协议是决定系统如何在网络中通信的规则标准集

计算机通信方式 物理通道（电信号通过线缆从一台计算机传递到另一台计算机）；逻辑通道（封装）

对每层内的功能进行模块化的好处在于：不同的技术、协议和服务能够相互交互，并且提供支持通信的适当接口

应用层：提供文件传输、消息交换、终端会话以及更多功能

应用需要通过网络发送数据，则将指令和数据发送至这一层上支持该应用的协议

简单邮件传输协议SMTP、超文本传输协议HTTP、文件传输协议FTP、Telnet、普通文件传输协议TFTP（小型文件传输协议）、简单网络管理协议SNMP、行式打印机后台程序LPD

表示层：没有协议，只有服务

接收来自应用层的消息，提供了一种其结构能被终端系统正确处理的数据表示方式，将文件转换成不同的标准文件格式

不考虑数据的含义，只关系数据格式和语法

标准格式的转换、处理数据压缩和加密问题

会话层：

负责在两个应用程序之间建立连接，提供进程之间的通信通道，需提供安全身份验证功能

连接建立、数据传输和连接释放

在该层上工作的协议：结构化查询语言SQL、网络基本输入输出系统NetBIOS、远程过程调用RPC、密码身份验证协议PAP

工作模式：单工模式、半双工模式、全双工模式

传输层：控制计算机到计算机的通信

提供端对端的数据传输服务，在两台计算机之间建立一个逻辑连接

工作的协议有：传输控制协议TCP（Transmission Control Protocol）、用户数据报协议UDP、安全套接字层SSL、序列包交换SPX（Sequenced Packet Exchange）

网络层：

在数据包的首部插入信息，将数据正确地编址和路由，并将数据实际路由至正确目的地

工作的协议：网际协议IP、网际控制消息协议ICMP、路由信息协议RIP、开放最短路径优先OSPF、边界网关协议BGP、互联网组管理协议IGMP、网际数据包交换IPX

数据链路层：

数据包转换成局域网和广域网技术的二进制格式，以便沿线路正确传送

LAN和WAN使用不同的协议、网络接口卡NIC、线缆和传输方法

两个子层：

逻辑链路控制层LLC；负责控制数据流和检查错误

介质访问控制MAC（Media Access Control）；确定网络是以太网、令牌还是ATM

针对以太网的 IEEE MAC 规范是 802.3 ，令牌环 802.5 ，无线 LAN 是 802.11等

工作的协议：点对点协议PPP、第二层隧道协议L2TP、FDDI 、 ATM 、以太网和令牌环、地址解析协议ARP、逆向地址解析协议RARP、串行线路网际协议SLIP

每种网络技术（以太网、ATM、FDDI等）都定义了支持网络通信所需的兼容物理传输类型（同轴电缆、双绞线、光纤和无线），定义相应的电信号和解码模式。

网卡桥接数据链路层与物理层

物理层：

根据所使用的网络技术，网卡驱动程序在数据链路层对位进行编码，并在物理层将其转变为电信号状态，然后通过线缆传送

将位转换为用于传送的电压，控制同步、数据传送速率、线路噪声与介质访问

该层上的标准接口：10BASE-T、10BASE2等、综合服务数字网络ISDN、数字用户线路DSL、同步光纤网络SONET

路由器，工作在网络层；网桥（数据链路层）；中继器（物理层）

多层协议：

（1）分布式网络协议3  DNP3

电力和自来水等公用事业中大量使用的数据采集与监视控制系统SCADA的核心是DNP3协议

（2）控制器区域网络总线CAN bus

运行在大部分汽车上

4.3 TCP/IP模型

1、TCP和UDP

TCP 全双工、可靠的、面向连接、支持包序列、流量和拥塞控制、错误检测和纠正

UDP 无连接，侧重传输效率

使用端口与上面的层通信并跟踪同时发生的不同会话，也用于确定其他计算机如何访问服务的机制

套接字：IP+端口号，IP知道该去哪，端口号知道如何与其他计算机的服务通信

SMTP（端口25） FTP（端口20和21） HTTP（端口80） Telnet（23） SNMP（161和162）

端口0-1023仅可供特权系统或根进程使用；1024—49151注册端口；49152-65535动态端口

（1）TCP握手  端口号16bits

三次握手，系统之间建立虚拟连接，协商某些参数、数据流、窗口系统、错误检测和选择

1.主机向接收方发送同步SYN包

2.接收方发送SYN/ACK应答请求

3.发送主机发送应答ACK包进行应答

SYN flood：攻击者发送大量SYN包给系统，导致系统可用的TCP连接资源耗尽（使用SYN缓存缓解）

TCP 会话劫持：TCP握手过程约定TCP序列号插入数据包首部，若攻击者预测TCP序列号，则能欺骗系统接管连接

应用层（消息）—传输层（TCP分片/UDP数据报文）—网络层（数据包）—数据链路层（帧）—物理层（位）

消息通过TCP传输，则称为“分片”；如果通过UDP传输，称为“数据报文”

2、IP寻址

IPv4 32位 IPv6 128位  由主机部分和网络部分组成，子网掩码区分地址组

A类 0.0.0.0——127.255.255.255（一字节网络部分，首位固定为0）

B类 128.0.0.0——191.255.255.255（两字节网络，前两位固定为10）

C类 192.0.0.0——223.255.255.255（三字节网络，前三位固定为110）

D类 用于多播地址

E类 保留

子网：从IP地址主机部分创建，将主机部分进一步分解成逻辑分组，减少管理难题，改善通信性能，潜在地提高安全性

无类别域间路由CIDR即超网

生存时间TTL：每经过一个路由器，TTL值减1

IP报头中包含一个协议字段，17代表UDP 1（ICMP）、2（IGMP）、6（TCP），51（AH）

3、IPv6

支持更多的寻址层次结构级别；提高多播路由的可扩展性

任播地址的地址，用于向节点组中的任一节点发送数据包

指定了支持身份验证、数据完整性和机密性的扩充部分

IPv4与IPv6通信：通过隧道技术完成，把IPv6封装在IPv4中，或者执行自动地址转换

（1）6to4隧道：把IPv4地址数据嵌入本地端的IPv6地址中

（2）Teredo：使用UDP封装自动隧道技术，NAT地址转换不受影响

（3）站点内自动隧道寻址协议ISATAP：把IPv4当做一个虚拟的IPv6本地链接，把IPv4映射到本地IPv6地址

前两个是站间隧道机制，用于不同网络间的链接；ISATAP是站内机制，用户特定网络内

4、第二层安全标准

虚拟专用网络VPN提供网络层保护

802.1 AE是IEEE MAC安全标准（MACSec），用来提供数据保密性、完整性和数据源认证；只有经过认证的可信设备才能通信，未经授权的设备不允许通过网络通信，有助于防止攻击者安装恶意设备；MACSec对帧进行解密，计算帧的完整性校验值，判断帧是否为篡改

802.1 AR为每个设备定义全局唯一的安全标识符，该标识符通过公钥加密和数字证书与设备绑定，提供数据加密、完整、原始身份验证

802.1 AF为用于数据加密的会话密钥实施密钥协商功能

5、汇聚协议

协议开始独立，随着时间推移封装在另一个协议中

光纤通道以太网PCoE，允许光纤通道帧通过以太网网络，用于存储区域网络SAN

多协议标签交换MPLS

互联网小型计算机系统接口iSCSI

4.4 传输类型

物理数据传输

1、模拟和数字  数据传输方式

信号是指以物理形式从一个地方向另一个地方传送信息的方式

模拟信号：波纹形式，振幅和频率

数字信号：二进制表示电脉冲，远距离传输更可靠

调制解调器：负责把数字数据调制成模拟信号

2、同步和异步  传输控制机制

同步：通过由时钟脉冲启动的时间序列同步数据传输；具有强大的错误检测，通过循环冗余校验CRC实现；用于高速高质量传输

异步：使用开始和停止位进行通信；使用校验位控制错误，每个字节需要开始、停止、奇偶校验指令

3、宽带和基带   一次能有多少通信会话发生

基带：使用整个通信通道进行传输，一次只允许传输一个信号

宽带：将通信通道分为若干不同且独立的通道，传输不同类型的数据，运载多个信号；划分频率，并把数据调制到各个频率通道

4.5 线缆电信号以电流方式沿线缆传播

布线具有与之相关联的带宽和数据吞吐速率值，带宽指示它采用的最高频率范围，数据吞吐速率是经过压缩和编码之后实际通过线缆的数据量。带宽可视为管道的大小，数据吞吐速率则是通过管道的实际数据量。

（1）同轴电缆

用作传输无线射频信号

与双绞线相比，更加抗电磁干扰EMI，提供更高的带宽，更大的线缆长度；但是双绞线更便宜

可克服双绞线的长度问题

（2）双绞线   具有被外保护层包裹的隔离铜线

屏蔽双绞线STP：线缆存在外围金属屏蔽层

非屏蔽双绞线UTP：没有屏蔽层，最不安全的网络互连线缆

价格便宜，易于使用；但铜线对电流阻抗大，电流传播一段距离后引起信号衰减

（3）光缆

光纤使用一种玻璃，运载光波，具有更高的传输速率，信号传送更远，难以被偷听，更安全，极为昂贵，不会受到衰减和EMI影响

光缆通常在主干网络和需要高速数据传输的环境中使用，大多数网络使用UTP，然后连接到使用光纤的主干网络

传输模式：

单一模式：小玻璃芯，用于远距离高速数据传输，与多模式相比，不易衰减

多模式：大玻璃芯，比单芯承载更多数据，衰减快，适用于短距离传输

光探测器：把光信号转换回电子信号

布线问题：噪声、衰减（传输数据的频率越高，线缆的长度应越短，保证衰减不会导致问题，标准规定线缆最大长度不得超过185米，若超过则需要使用中继器）、串扰（一根线路上的电信号溢出到另一根线路上）、线缆的阻燃率

（增压空间：房屋天花板和上一层楼地板之间的空间）

4.6 网络互连基础

可扩展性、冗余、性能、安全、可管理性和可维护性

网络由路由器、交换机、web服务器、代理、防火墙、名称解析技术、协议、IDS、IPS、存储系统、抗恶意程序软件、VPN、非军事区DMZ、数据丢失防护解决方案、电子邮件系统、云计算、web服务、身份验证服务、冗余技术、公钥基础设施、专用分组交换机PBX等构成。

1、网络拓扑   计算机和设备的物理安排

环形拓扑ring：单向传输链路组成闭合回路

总线型拓扑bus：线性和树状，一根线缆跨越整个网络，线缆会成为单一故障点；以太网采用总线型和星型拓扑

星型拓扑：所有节点连接到一台集中式设备，每个节点到集中式设备都有一条专用链路，集中式设备需提供足够的吞吐量，潜在的单一故障点

网状型拓扑mesh：每个节点都与其他所有节点直接相连，提供冗余路径

2、介质访问技术

网络拓扑决定使用的物理介质类型以及如何建立连接，介质访问技术处理系统如何在介质上通信的问题

LAN访问技术建立计算机在网路上如何通信、如何处理错误、采用何种物理介质、数据帧最大传输单元MTU（Maximum Transmission Unit）大小等规则

网络传输通道是该网络上所有系统和设备所必须共享的主要资源，可以是同轴电缆上的令牌环、UTP上的以太网、光纤上的FDDI、无线电波上的Wifi，确保每个系统可访问该通道

（1）介质共享

令牌传递：令牌是决定哪台计算机在哪个时间区间通信的24位控制帧，只有拥有令牌的计算机才能将数据帧放在网络上（被令牌环和FDDI技术采用）

CSMA：两种类型CSMA/CD和CSMA/CA

计算机使用带有冲突检测的载波侦听多路访问CSMA/CD协议时，会监控网线上的传输活动或载波活动，检测到冲突时，所有工作站执行一段随机的冲突计时（后退算法）

无线LAN 802.11使用CSMA/CA实现介质访问功能

载波侦听方法快，但存在冲突；令牌传递没有冲突

冲突域指抢夺或竞争相同的共享通信介质的一组计算机

以太网有广播域和冲突域，广播域是计算节点的集合，所有节点接收第2层广播帧，由交换机、集线器或网桥互联，没有路由器。

碰撞域是计算节点在传输数据时可能产生冲突的集合，这些节点通常由集线器、中继器或无线接入点链接。

轮询：主站询问从站是否有内容发送，从站唯一通信的时候（主要用在大型机系统环境中）

以太网使用CSMA/CD、令牌环使用令牌、FDDI使用令牌、WiFi使用CSMA/CA，大型主机介质访问使用轮询

两个LAN用路由器连接时网间网络；两个LAN使用不同的数据链路层技术（如帧中继或 ATM）连接，则为WAN

LAN由其使用的物理拓扑、数据链路层技术、协议和设备定义

（2）以太网Ethernet  使用总线型或星型拓扑

使用广播和冲突域、支持全双工通信、使用CSMA/CD；能使用同轴电缆、双绞线或光纤

以太网类型

10Base-T   Cat3 UTP  速率10Mbps，使用双绞线，使用RJ-45连接面板连接计算机

100Base-TX，快速以太网  Cat5 UTP  100Mbps

1000Base-T，G速以太网 Cat5 UTP 1000Mbps，最长距离100米

10GBase-T Cat6a UTP 10000Mbps

（3）令牌环

星型拓扑中采用令牌传递技术，每台计算机连接到多站访问单元MAU的集中式集线器

主动监控机制可去除网络上循环的数据帧

检测到网络问题，发送信标帧

（4）FDDI 光纤分布式数据接口（Fiber Distributed Data Interface）

高速的令牌传递介质访问技术，最高100Mbps数据传输速率，使用光纤电缆作为主干网络

主环顺时针传送数据，用于常规的数据传输；；副环逆时针传送数据，提供容错功能，在主环出现故障时激活，FDDI网络上的每个节点都具有连接到两个环上的中继

应用距离最长100公里，常用在城域网MAN中，连接不同的LAN

优点：跨远距离高速工作，只受最小的干扰

连接到FDDI环上的设备：单衔接工作站SAS，通过集线器只连接到主环

双衔接工作站DAS，两个端口，连接到主环和副环

单衔接集线器SAC，将SAS设备连接到主环的集线器

双衔接集线器DAC，将DAS、SAS、SAC设备连接到两个环的集线器

3、传输方法

单播：一对一

多播：一对多

广播：一对所有

IPv4多播协议使用D类地址，网际组管理协议IGMP（Internet Group Management Protocol）用于向路由器报告多播组成员关系

4、网络协议和服务

（1）地址解析协议ARP（Address Resolution Protocol）

NIC具有唯一的物理地址（介质访问控制地址MAC，Media Access Control），制造商写在网卡上的ROM芯片内，数据链路层处理MAC地址

ARP广播数据帧，请求与目标IP地址相对应的MAC地址，并将映射信息缓存一段时间

ARP 表中毒：攻击者攻击系统的ARP表，使之包含错误的信息（伪装攻击）（面对多种不同的响应时，ARP使用最近响应的）

（2）动态主机配置协议DHCP（Dynamic Host Configuration Protocol）

基于UDP的协议，允许服务器为网络客户端实时分配IP地址

DHCPDISCOVER 客户端寻找DHCP服务器

DHCPOFFER 服务器为客户端提供可用的IP地址和服务设置

DHCPREQUEST 客户端确认接受被分配的设置

DHCPACK 包括IP地址的有效期

BOOTP是DHCP的前身

网络屏蔽未进行身份验证的DHCP客户端的有效方法在网络交换机上使用DHCP窥探（DHCP snooping），确保只为选定的系统分配IP地址

（3）网际控制消息协议ICMP（Internet Control Message Protocol）

递送状态信息、报告错误、回答某些请求、报告路由信息、用于测试IP网络的连通性和排查问题

Eg ping程序

ICMP目的是发送状态信息，不装载用户数据

Loki是攻击者在系统上建立后门的客户端/服务器程序，选择目标计算机，安装Loki的服务器部分，服务器部分在端口上侦听，攻击者发送ICMP数据包里的命令，攻击成功

攻击者用ICMP重定向流量

对策：利用防火墙规则，仅允许必要的ICMP数据进入网络，IDS和IPS监测可疑活动，安装配置主机防火墙和主机IDS识别

（4）简单网络管理协议SNMP（Simple Network Management Protocol）

两个主要组件：管理器和代理

代理是运行在网络设备上的软件，通常集成至OS，管理器组件轮询代理，代理分析从管理信息库MIB收集的数据

陷阱操作允许代理通知一个事件的管理器，而不是必须等待轮询。eg如果路由器上的接口出现故障，代理会发送陷阱消息给管理器，这是代理不需要首先被调用便可以和管理器进行通信的唯一方式。

任何连接到端口161的人能读取设备的状态信息并重新配置它

社区字符串是管理器用来从代理那请求数据的密码：只读和读写，在SNMPv1和v2中用明文发送，SNMPv3提供加密、消息完整性和身份验证安全

5、域名服务DNS

将主机名解析成IP地址

统一资源定位符URL

配备主DNS服务器和从DNS服务器实现容错能力和冗余

主DNS服务器通过区域传送 zone transfer同步信息，主DNS服务器发生变更后，必须被复制到从DNS服务器，要对DNS服务器进行配置，以允许区域传送仅在特定的服务器间进行。攻击者通过执行未授权的区域传送从受害者的DNS服务器中收集信息

计算机有一个DNS解析器（DNS客户端），负责向DNS服务器发送请求，索要主机IP地址信息

非递归查询指请求只是到达指定的DNS服务器，为解析器返回答案或者错误提示

递归查询指请求从一个DNS服务器传递到另一个DNS服务器

HOSTS文件驻留在本地计算机，保存静态主机名到IP地址映射信息，解析器首先查看缓存或HOSTS文件，然后发送请求给本地DNS服务器，若没有，则本地DNS发送请求给另外的服务器

DNS 威胁：

对策：使用更强的身份验证机制，如DNSSEC，应用了PKI和数字签名，DNS服务器可验证消息的来源，保证响应来自被授权的DNS服务器，使得DNS服务器在自身之间发送和接收授权消息，阻止攻击者毒害DNS缓存表

HOSTS文件操纵问题  对策：设置为只读文件和实施一个主机型IDS

域抢占和恶意抢注问题  注册域名时遵循先到先服务策略的治理模型

6、电子邮件服务    采用身份验证方案

简单邮件传输协议SMTP，工作在TCP层之上

邮局协议POP

互联网消息访问协议IMAP，用户可下载所有邮件或保存在中央存储库的远程消息文件夹中

POP常用于基于互联网的电子邮件账户，egGmail，IMAP通常用于企业电子邮件账户

电子邮件服务器使用的中继代理应正确配置，采用防病毒和内容过滤应用程序，启用邮件服务器的反垃圾邮件功能，才能确保公司的邮件服务器不被恶意团体所利用进行垃圾邮件活动。

威胁：电子邮件伪装，用于垃圾邮件和网络钓鱼

对策：防止未经授权用户对其发送电子邮件、记录连接、防火墙过滤、使用发件人策略框架SPF（电子邮件验证系统，验证发件人的IP检测电子邮件伪装）

SMTP-AUTH  SMTP认证用来在邮件传输协议中提供访问控制机制，包含身份验证功能，接收邮件之前对发送方进行验证

7、网络地址转换NAT（Network Address Translation）

使公司能使用私有IP地址，并透明得与互联网计算机进行通信

私有IP地址范围：不可路由

A类 10.0.0.0—10.255.255.255

B类 172.16.0.0—172.31.255.255

C类 192.168.0.0—192.168.255.255

NAT将内部地址集中在一个设备上，隐藏了内部地址，任何离开网络的数据帧只有改设备的源地址

三种类型：

（1）静态映射：私有地址静态映射到特定的公共地址上

（2）动态映射：NAT软件配置IP地址池，估计一次可能有多少台计算机与外部网络通信，即购买的公共地址的数量

（3）端口地址转换PAT（Port Address Translation）：仅使用一个公共IP，修改IP地址和源端口号

8、路由协议   确定源系统和目标系统之间的一条路径

互联网上单独的网络成为自治系统AS，AS的边界由边界路由器界定，与其他AS的路由器相连，运行内部和外部路由协议

AS内部路由器  内部路由协议

AS之间  外部路由协议

动态路由VS静态路由

距离向量（基于跳数和方向决定路由）VS链路状态（构建更加准确的路由表，使用跳数、数据包大小、链路速度、延迟、网络负荷和可靠性）

内部路由协议：Interior Routing Protocols，路由同一个AS范围内流量

（1）路由信息协议RIP（Routing Information Protocol）：距离向量路由协议，只用在小型网络中，第1版不具有身份验证，第2版以明文发送密码或使用MD5进行散列

（2）开放最短路径优先OSPF（Open Shortest Path First）：链路状态算法，大型网络首选，可使用明文密码或散列密码进行身份验证

外部路由协议EGP（Exterior Gateway Protocol）：连接不同AS的路由器

边界网关协议BGP（Border Gateway Protocol），组合使用了距离向量和链路状态算法

路由器攻击成功的原因：未启动身份验证，导致接受任何路由器的路由更新信息

虫洞攻击：攻击者在网络中某个位置捕获数据包，并将其通过隧道传送到另一个位置，隧道称为虫洞；对策：使用约束，eg限制数据包的最大传输距离；确保数据包发送位置；限定数据包的生命周期

4.7 网络互连设备

需要物理设备实际应用提到的协议和服务

1、中继器repeater

工作在物理层，只是中继和放大线缆段之间的电信号

集线器hub是一个多端口的中继器

2、网桥  扩展LAN

一种用于连接不同LAN网段的LAN设备，工作在数据链路层

数据帧到达网桥时，会判断MAC地址是否在本地网段，若不在则转发至另一个网段

广播风暴问题：网桥转发了所有广播包，导致网络负担过重

类型：

本地：在局部区域内连接网段

远程：通过电信链路连接一个MAN上两个或多个LAN网段

翻译：若连接的两个LAN类型不同，使用不同的标准和协议，翻译网桥

透明桥接技术

3、路由器

能基于访问控制列表ACL过滤流量（基于IP、协议类型和端口），必要时将数据包分片

路由器为每个端口分配新的地址，因此可将不同的网络连接

4、交换机   组合中继器和网桥的功能

全双工通信

基本交换机工作在数据链路层，基于MAC地址转发流量

多层交换机基于硬件的处理能力，提供路由选择和流量管理任务

第3层交换机：具有路由器的功能，使用更高效的硬件实现

多协议标签交换 MPLS（Multiprotocol Label Switching），每个网络分配标记，数据包到达交换机时，查看目标地址的标记并附加到数据包，那么后面的交换机只需要查看标记就可确定路由，提高路由速度

虚拟局域网VLAN（Virtual LAN）

基于资源需求、安全性或业务需求为计算机进行逻辑分组（网桥和路由器，系统和资源按照物理位置分组的）

VLAN 跳跃攻击：攻击者访问各种VLAN分段中的流量，攻击者能让系统起到交换器的作用，系统理解网络中正在使用的标记值和中继协议，能够把自己插在其他VLAN设备之间，访问来往的流量，也能插入标记值操控数据链路层的流量

端口镜像：通过在交换机或路由器上，将一个或多个源端口的数据流量转发到某一个指定端口来实现对网络的监听，指定端口称为镜像端口

5、网关gateway

用于连接两个不同环境的设备上运行的软件，eg将网际数据包交换IPX包翻译成IP包，连接翻译不同的数据链路技术；翻译不同网络之间使用的不同协议

6、PBX专用交换分机（Private Branch Exchange）

PBX具有到本地电话公司交换中心的专门连接，能和几种设备连接

把手机接到连接着公司网络的笔记本上，并把手机当做调制解调器时，便构成不受监控的WAN连接 为什么？

7、防火墙用于限制另一个网络对特定网络的访问

可以是运行防火墙软件产品的服务器或特殊的硬件设备，包基于源地址、目标地址、端口、服务端口、包类型、协议类型、头部信息等过滤

通过设立防火墙构造DMZ区，一个位于受保护网络和未受保护网络之间的网段（至少两个防火墙）

（1）包过滤防火墙 第一代  无状态检查

使用ACL，仅能审核网络层和传输层协议的首部信息，接受或拒绝

能阻断网络协议级的许多攻击

弱点：不能防止利用针对应用程序的脆弱性或功能的攻击；日志记录功能有限；不支持高级的用户身份验证方案；无法检测伪造地址；不能检测数据包分片攻击

（2）状态检测防火墙    网络或传输层

记住并跟踪哪些包到达什么位置，直至特定的连接关闭

特点：维护一个状态表，跟踪每个通信会话；提供了高度安全性，不会像代理防火墙那样引入性能问题；可升级，对用户透明；为跟踪连接协议（UDP或ICMP）提供数据；存储和更新包内数据的状态和上下文

XMAS攻击：DoS攻击，TCP标志值都为1的数据包

（3）代理防火墙    拒绝在源系统和目标系统之间进行实际的端对端连接

接受流进或流出网络的消息，检查可疑的信息，认为没有问题时才传输数据

代理防火墙断开通信信道，两个通信设备之间不能直接连接，在接口处代表用户重新启动新的会话

电路级代理：工作在OSI模型的底层代理防火墙，工作在会话层；与应用级代理相比，能处理更多类型的协议和服务，但无法提供应用级代理的细粒度化控制

应用级代理：工作在应用层的代理防火墙，理解整个数据包；每个协议至少使用一个代理，可根据协议的命令结构进行访问决策

特点：拥有强大的日志记录功能；能够直接对用户进行身份验证；能够抵御欺骗攻击和其他复杂的攻击

缺点：不适合高带宽或实时应用；支持新网络应用和协议的能力有限；性能问题

SOCKS是电路级代理网关的例子

（4）动态包过滤防火墙

动态添加新的ACL

（5）内核代理防火墙  一种基于代理的防火墙

防火墙对数据包创建新的虚拟网络栈，只加载必要的协议代理，对每一层进行检查，所有检测和处理在内核进行，比应用级代理防火墙快

（6）下一代防火墙NGFW

（7）防火墙架构

堡垒主机：某个系统高度暴露，最容易成为攻击者的目标（系统应禁用所有不必要的服务、禁用不必要的账户、关闭不需要的端口、删除不用的应用程序、减少系统的攻击面）

双宿防火墙：双宿指的是一个设备具有两个接口：一个面向外部网络，一个面向内部网络；防火墙软件安装在双宿设备上，底层的 OS 应当关闭包转发和路由功能

被屏蔽主机：一种直接与边缘路由器和内部网络通信的防火墙

互联网的流量通过外部路由器的包过滤进行过滤，发送至屏蔽主机防火墙，应用更多规则检查后进入内部目标主机

防火墙（屏蔽主机）是直接从路由器接收数据流的唯一设备；屏蔽设备是路由器

被屏蔽子网：在被屏蔽主机架构基础上添加一层安全性

外部防火墙对进入DMZ网络的数据进行屏蔽，内部路由器或防火墙还可过滤流量

两个防火墙之间设立了DMZ区，可将信任的内部网络和外部网络隔离

屏蔽主机架构也称为单层配置，屏蔽子网称为双层配置；使用3个防火墙创建两个独立的DMZ，称为三层配置

（8）虚拟防火墙

在虚拟化实体之间提供保护，监控虚拟机之间的流量链路

（9）防火墙规则

任何防火墙的默认操作为隐式拒绝，来自互联网的数据包拥有内部网络的源地址应拒绝，任何没有内部源地址的数据流都不应允许离开内部网络（有可能是僵尸机，DDoS的攻击的代理）

拒绝含有源路由信息（数据包头部有路由信息，自己决定如何到达目标）的数据包进入网络

防火墙缺点：潜在的流量瓶颈和单点故障威胁；不能防止恶意软件；不能阻止嗅探和恶意的无线接入点AP，对内部攻击提供的保护很少

防火墙规则：

沉默规则：不记录嘈杂流量便弃用它，不对不重要的数据包做响应，减少日志规模

隐形规则：不允许未经授权的系统访问防火墙软件

清理规则：规则库中的最后一条规则，放弃并且记录任何不符合前面规则的流量

否定规则：用来代替广泛允许的任何规则，否定规则规定什么系统能够被访问和如何被访问，对许可权限控制较紧

片段攻击：构建了利用网络协议中数据包片段的方法

IP片段：利用IP内的片段和重组缺陷，引起DOS攻击

泪滴攻击：创建畸形片段，一旦被重组，可使得受害者系统不稳定

重复片段攻击：颠覆在检查前不重组数据包片段的数据包过滤器，恶意片段重写以前已批准的片段

8、代理服务器

介于客户端和提供服务的服务器之间

9、蜜罐honeypot

指位于屏蔽子网或DMZ区中的计算机，用于试图引诱攻击者

可用作早期检测机制

一起使用两个或多个蜜罐系统，则构成蜜网honeynet

确保蜜罐系统没有连接生产系统，没有给攻击者提供“跳点”

10、统一威胁管理UTM（Unified Thread Management）

将多数安全功能集于一身的设备

问题：单点故障（应进行冗余部署）；单点防护（如果被攻破则没有部署其他层的保护措施）；性能问题

11、内容分发网络CDN（Content Distribution Network）

由分布在一大片区域的多台服务器组成，每台为距离他们最近的用户提供优化后的内容

可抵御DDoS攻击

内容分发网络(CDN)旨在提供可靠、低延迟、地理分布的内容分发

12、软件定义网络SDN（Software-Defined Networking）

云计算、大数据和移动计算的发展推动SDN

分布式软件的网络方法，使得新的服务分配和平台之间通过动态路径的通信更加容易

集中设备配置和控制

（1）控制和转发平面

控制平面是决定网络路线的地方，负责发现相邻网络的拓扑并负责维护路由向外发送的数据包列表

转发平面是做出通信转发决定的位置

（2）实现方法

开放式、API、叠置

4.8 内联网和外联网

基于web的技术

本文由 在线网速测试 整理编辑，转载请注明出处。