網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)(編輯修改稿)
2024-09-01 16:01 本頁面
【文章內(nèi)容簡(jiǎn)介】 g）。2)服務(wù)集標(biāo)識(shí)SSID（the service set identifier）信息。3)假冒(inpersonation)。4）寄生者（parasites）。5）直接安全漏洞（direct security breaches）。風(fēng)險(xiǎn)緩解的方法：1)SSID打標(biāo)簽。2）廣播SSID。3）無線放置。4）MAC過濾。5）WEP。6）其他密碼系統(tǒng)。7）網(wǎng)絡(luò)體系結(jié)構(gòu)。課本P107圖63 CHAP處理。ARP和RARP的風(fēng)險(xiǎn) 課本P110圖64 作為MitM攻擊的ARP受損。所有的分段機(jī)制有兩個(gè)主要風(fēng)險(xiǎn)：丟失分段和組裝數(shù)據(jù)的容量。此外分段管理的類型能導(dǎo)致丟失數(shù)據(jù)分段。 分段的風(fēng)險(xiǎn)：1）丟失分段攻擊。2）最大的不分段大小。3）分段重組。IP風(fēng)險(xiǎn)：1）地址沖突。2）IP攔截。3）回答攻擊。4）分組風(fēng)暴。5）分段攻擊。）6）轉(zhuǎn)換通道。七、Internet安全體系結(jié)構(gòu)之二TCP DoS攻擊：1）SYN攻擊。2）RST和FIN攻擊。3）ICMP攻擊。4）LAND攻擊。*緩解對(duì)TCP攻擊的方法：1）改變系統(tǒng)框架。2）阻斷攻擊指向。3）識(shí)別網(wǎng)絡(luò)設(shè)備。4）狀態(tài)分組校驗(yàn)。5）入侵檢測(cè)系統(tǒng)（IDS）。6）入侵防御系統(tǒng)（IPS）。*UDP攻擊：1）非法的進(jìn)入源。2）UDP攔截。3）UDP保持存活攻擊。4）UDP Smurf攻擊。5）UDP偵察。DNS風(fēng)險(xiǎn)：1）直接風(fēng)險(xiǎn)（無身份鑒別的響應(yīng)、DNS緩存受損、ID盲目攻擊、破壞DNS分組）。2）技術(shù)風(fēng)險(xiǎn)（DNS域攔截、DNS服務(wù)器攔截、更新持續(xù)時(shí)間、動(dòng)態(tài)DNS）。3）社會(huì)風(fēng)險(xiǎn)（相似的主機(jī)名、自動(dòng)名字實(shí)現(xiàn)、社會(huì)工程、域更新）。緩解風(fēng)險(xiǎn)的方法：1）直接威脅緩解?；镜木S護(hù)和網(wǎng)絡(luò)分段能限制直接威脅的影響。 補(bǔ)?。篋NS服務(wù)器的增強(qiáng)版經(jīng)常會(huì)發(fā)布，DNS服務(wù)器和主機(jī)平臺(tái)應(yīng)定期打補(bǔ)丁 和維護(hù)。 內(nèi)部和外部域分開：DNS服務(wù)器應(yīng)該是分開的。大的網(wǎng)絡(luò)應(yīng)考慮在內(nèi)部網(wǎng)絡(luò)分 段間分開設(shè)置服務(wù)器，以限制單個(gè)服務(wù)器破壞的影響，且能夠平衡DNS負(fù)載。 限制域或轉(zhuǎn)換：域的轉(zhuǎn)換限制于特定的主機(jī)，且由網(wǎng)絡(luò)地址或硬件地址標(biāo)識(shí)。這 個(gè)方案對(duì)MAC和IP的偽裝攻擊是脆弱的，但對(duì)任意的主機(jī)請(qǐng)求域轉(zhuǎn)換確實(shí)是有用的。 鑒別的域轉(zhuǎn)換：采用數(shù)字簽名和鑒別域轉(zhuǎn)換能減少來自域轉(zhuǎn)換攔截和破壞的影響。 有限的緩沖間隔：緩沖間隔減少至低于DNS回答規(guī)定的值，可以減少緩沖器受 損的損壞裝口。 拒絕不匹配的回答：假如緩沖DNS服務(wù)器接到多個(gè)具有不同值的回答，全部緩 沖器應(yīng)刷新。雖然這會(huì)影響緩沖器性能，但它消除了長(zhǎng)期緩沖器受損的風(fēng)險(xiǎn)。2）技術(shù)威脅的緩解。技術(shù)風(fēng)險(xiǎn)預(yù)防方法包括網(wǎng)絡(luò)、主機(jī)和本地環(huán)境。 加固服務(wù)器：限制遠(yuǎn)程可訪問進(jìn)程的數(shù)量，就能限制潛在攻擊的數(shù)量。加固服務(wù) 器可降低來自技術(shù)攻擊的威脅。 防火墻：在DNS服務(wù)器前放置硬件防火墻限制了遠(yuǎn)程攻擊的數(shù)量。3）偵察威脅的緩解。 限制提供DNS信息：這可以緩解攻擊者偵察的威脅，雖然DNS不能完全做到， 但可限制提供信息的類型和數(shù)量。 限制域轉(zhuǎn)換：域的轉(zhuǎn)換僅限于鑒別過的主機(jī)。雖然不能組織蠻力主機(jī)的查找，但 可組織偵察。 限制請(qǐng)求：限制DNS請(qǐng)求的數(shù)量可由任何單個(gè)網(wǎng)絡(luò)地址完成。雖然不能防止蠻 力域監(jiān)聽，但是可設(shè)置障礙。 去除反向查找：假定反向查找不是必須的，那么去除它。這可限制蠻力域監(jiān)聽的 影響。 分開內(nèi)部和外部域：DNS域服務(wù)器應(yīng)該是分開的，以確保LAN的信息保持在 LAN。特別是內(nèi)部主機(jī)名應(yīng)該不允許外部可觀察。 去除額外信息：不是直接為外部用戶使用的信息應(yīng)該去除，例如TXT，CHAME，HINFO這些信息。 隱藏版本：對(duì)允許本地登錄或遠(yuǎn)程狀態(tài)報(bào)告的DNS服務(wù)器，這些DNS版本可 能被泄漏。因?yàn)椴煌陌姹竞筒煌睦孟嚓P(guān)，應(yīng)該修改版本以報(bào)告假信息或?qū)⑵淙?除。4）社會(huì)威脅緩解。除了對(duì)用戶進(jìn)行培訓(xùn)，防止相似主機(jī)名和自動(dòng)名字完成的風(fēng)險(xiǎn)，還有： 監(jiān)控相似域：經(jīng)常搜索域名的變化。當(dāng)發(fā)現(xiàn)有相似主機(jī)名的標(biāo)識(shí)，DNS提供者 要求他們關(guān)掉。雖然這是一個(gè)復(fù)雜的耗時(shí)的任務(wù)，但這是監(jiān)控相似域名的一種專門服 務(wù)。 鎖住域：使用支持域名鎖定的域注冊(cè)者。這需要一些附加信息，諸如賬戶信息、 轉(zhuǎn)換域名的口令。 使用有效聯(lián)系：在域注冊(cè)中提供一個(gè)或多個(gè)有效聯(lián)系方法，以允許用戶和注冊(cè)者 聯(lián)系域主。但不需要專門的人名或個(gè)人信息，以免攻擊者使用這些信息攻擊域主。 不間斷支持：選擇一天24小時(shí)，一周7天不間斷支持的域注冊(cè)者。這樣在任何 時(shí)候可和注冊(cè)者聯(lián)系，以解決有關(guān)域的問題。 自己主持：大的單位應(yīng)選擇稱為擁有管理自己域的注冊(cè)者。5）優(yōu)化DNS設(shè)置。6）確定可信的回答。P133 圖72 SSL協(xié)議會(huì)話過程示意圖。八、防火墻防火墻一般安防在被保護(hù)網(wǎng)絡(luò)的邊界，必須做到以下幾點(diǎn)，才能使防火墻起到安全防護(hù)的作用：1）所有進(jìn)出被保護(hù)網(wǎng)絡(luò)的通信必須通過防火墻。2）所有通過防火墻的通信必須經(jīng)過安全策略的過濾或者防火墻的授權(quán)。3）防火墻本身是不可被侵入的。*防火墻的功能：1）訪問控制功能。2）內(nèi)容控制
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1