06[1][1]網絡安全概述(編輯修改稿)

　

【文章內容簡介】 .Header說明：3.EtherBody包含的是 IP分組該分組的類型，如 AppleTalk數據包、 Novell數據包、DECNET數據包等。輸送該分組的機器的 Ether 地址（源址）接收該分組的機器的 Ether地址（宿址 ）IP layer1.IP分組＝ IPheader+IPBody3.IP可將分組細分為更小的部分段 (fragments)， 以便網絡傳輸。4.IPBody包含的是 TCP分組。2.IPheader包括：IP源地址： 4bytes,eg.IP的目的地址 ：同上IP協議類型 ：說明 IPBody中是 TCP分組或是UDP分組， ICMP等IP選擇字段 ：常空，用于 IP源路由 或 IP安全選項的標識IP 分組字段版本 IHL 服務類型 總長度標識 O 分段偏差有效期 協議 報頭校驗和源地址宿地址選項 填充數據OMFF32BIT過濾字段50BNCCIP:處于 Inter中間層次。其下有很多不同的層：如 Ether， tokenring， FDDI， PPP等。其上有很多協議： TCP， UDP， ICMP。與分組過濾有關的特性是：分段示意圖：IP選項：用于 Firewall中，對付 IP源路由。IP分段： Firewall只處理首段，而讓所有非首段通過。丟掉了首段，目的地就不能重組。IPHeaderTCPHeader DATA DATAIPHeaderTCPHeader DATAIPHeader DATAIPHeader DATATCP Layer TCP分組： TCP報頭＋ TCP 本體報頭中與過濾有關部分：TCP源端口 ： 2byte數，說明處理分組的源機器。TCP宿端口 ：同上TCP旗標字段（ flag）， 含有 1bit的 ACKbit。本體內是實際要傳送的數據。TCP Layer 源端口 宿端口 序 號 確 認 號 HLEN 保留 碼位 窗口 校驗和 緊急指針 選 項 填充字節 數 據WordsBits0 4 8 12 16 20 24 28 31頭標端口掃描攻擊54BNCCSniffer攻擊55BNCCDOS原理l DoS的英文全稱是 DenialofService，也就是 “拒 絕 服 務 ”的意思。從網 絡 攻 擊 的各種方法和所 產 生的破壞情況來看， DoS算是一種很 簡單但又很有效的 進 攻方式。它的目的就是拒 絕 你的服 務訪問 ，破壞 組織 的正常運行，最 終 它會使你的部分 Inter連 接和網 絡 系 統 失效。DoS的攻 擊 方式有很多種，最基本的 DoS攻 擊就是利用合理的服 務請 求來占用 過 多的服 務資 源，從而使合法用 戶 無法得到服 務 。 DoS攻擊 的原理如 圖 所示。56BNCCDOS原理57BNCCDOS原理l 　　從 圖 我 們 可以看出 DoS攻 擊 的基本 過 程：首先攻 擊 者向服 務 器 發 送眾多的 帶 有虛假地址的 請 求，服 務 器 發 送回復信息后等待回 傳信息，由于地址是 偽 造的，所以服 務 器一直等不到回 傳 的消息，分配 給這 次 請 求的 資 源就始 終 沒有被 釋 放。當服 務 器等待一定的 時間后， 連 接會因超 時 而被切斷，攻 擊 者會再度傳 送新的一批 請 求，在 這 種反復 發 送 偽 地址請 求的情況下，服 務 器 資 源最 終 會被耗盡。58BNCCDDOS原理l DDoS（分布式拒 絕 服 務 ），它的英文全稱 為DistributedDenialofService，它是一種基于DoS的特殊形式的拒 絕 服 務 攻 擊 ，是一種分布、 協 作的大 規 模攻 擊 方式，主要瞄準比 較大的站點，象商 業 公司，搜索引擎和政府部 門的站點。從 圖 1我 們 可以看出 DoS攻 擊 只要一臺 單 機和一個 modem就可 實現 ，與之不同的是 DDoS攻 擊 是利用一批受控制的機器向一臺機器 發 起攻 擊 ， 這樣 來 勢 迅猛的攻 擊 令人 難以防 備 ，因此具有 較 大的破壞性。 DDoS的攻擊 原理如 圖 所示。59BNCCDDOS原理60BNCCDDOS原理l 從 圖 可以看出， DDoS攻 擊 分 為 3層 ：攻 擊 者、主控端、代理端，三者在攻 擊 中扮演著不同的角色。　 　 攻 擊 者 ：攻 擊 者所用的 計 算機是攻 擊 主控臺，可以是網 絡上的任何一臺主機，甚至可以是一個活 動 的便攜機。攻 擊 者操 縱整個攻 擊過 程，它向主控端 發 送攻 擊 命令。　　 主控端 ：主控端是攻 擊 者非法侵入并控制的一些主機， 這 些主機 還 分 別 控制大量的代理主機。主控端主機的上面安裝了特定的程序，因此它 們 可以接受攻 擊 者 發 來的特殊指令，并且可以把這 些命令 發 送到代理主機上。　 　 代理端 ： 代理端同 樣 也是攻 擊 者侵入并控制的一批主機，它們 上面運行攻 擊 器程序，接受和運行主控端 發 來的命令。代理端主機是攻 擊 的 執 行者，真正向受害者主機 發 送攻 擊 。61BNCCSYN Flood的基本原理　　l 大家都知道， TCP與 UDP不同，它是基于 連 接的，也就是 說 ： 為了在服 務 端和客 戶 端之 間傳 送 TCP數據，必 須 先建立一個虛 擬電 路，也就是 TCP連 接，建立 TCP連 接的 標 準 過 程是 這樣 的：　　首先， 請 求端（客 戶 端） 發 送一個包含 SYN標 志的 TCP報文， SYN即同步（ Synchronize），同步 報 文會指明客 戶 端使用的端口以及 TCP連 接的初始序號；　　第二步，服 務 器在收到客 戶 端的 SYN報 文后，將返回一個SYN+ACK的 報 文，表示客 戶 端的 請 求被接受，同 時 TCP序號被加一， ACK即確 認 （ Acknowledgement）。　　第三步，客 戶 端也返回一個確 認報 文 ACK給 服 務 器端，同樣 TCP序列號被加一，到此一個 TCP連 接完成。以上的 連 接 過 程在 TCP協議 中被稱 為 三次握手（ ThreewayHandshake）。62BNCCSYN Flood的基本原理　　l 假 設 一個用 戶 向服 務 器 發 送了 SYN報 文后突然死機或掉 線 ，那么服 務 器在 發 出 SYN+ACK應 答 報 文后是無法收到客 戶 端的 ACK報 文的（第三次握手無法完成）， 這 種情況下服 務 器端一般會重試 （再次 發 送 SYN+ACK給 客 戶 端）并等待一段 時間 后 丟 棄 這 個未完成的 連 接， 這 段 時間 的 長 度我 們 稱 為 SYNTimeout，一般來 說這 個 時間 是分 鐘 的數量 級 （大 約為 30秒 2分 鐘 ）；一個用戶 出 現 異常 導 致服 務 器的一個 線 程等待 1分 鐘 并不是什么很大的問題 ，但如果有一個 惡 意的攻 擊 者大量模 擬這 種情況，服 務 器端將 為 了 維護 一個非常大的半 連 接列表而消耗非常多的 資 源 數以萬 計 的半 連 接，即使是 簡單 的保存并遍 歷 也會消耗非常多的CPU時間 和內存，何況 還 要不斷 對這 個列表中的 IP進 行SYN+ACK的重 試 。 實際 上如果服 務 器的 TCP/IP棧 不 夠 強 大，最后的 結 果往往是堆 棧 溢出崩 潰 即使服 務 器端的系 統 足 夠 強大，服 務 器端也將忙于 處 理攻 擊 者 偽 造的 TCP連 接 請 求而無暇理睬客 戶 的正常 請 求（ 畢 竟客 戶 端的正常 請 求比率非常之小），此 時 從正常客 戶 的角度看來，服 務 器失去響 應 ， 這 種情況我 們稱作：服 務 器端受到了 SYNFlood攻 擊 （ SYN洪水攻 擊 ）。　　63BNCCSYN Flood的基本 基本解決方法l 第一種是 縮 短 SYNTimeout時間 ，由于 SYNFlood攻 擊 的效果取決于服 務 器上保持的 SYN半 連 接數， 這 個 值 =SYN攻 擊 的 頻 度 xSYNTimeout，所以通 過縮 短從接收到 SYN報 文到確定 這 個 報 文無效并 丟 棄改 連 接的 時間 ，例如 設 置 為 20秒以下（ 過 低的 SYNTimeout設 置可能會影響客 戶 的正常 訪問 ），可以成倍的降低服務 器的 負 荷。　　第二種方法是 設 置 SYNCookie，就是 給 每一個 請 求 連 接的IP地址分配一個 Cookie，如果短 時間 內 連續 受到某個 IP的重復SYN報 文，就 認 定是受到了攻 擊 ，以后從 這 個 IP地址來的包會被丟 棄。　　64BNCCDDoS攻 擊 使用的常用工具l 　　 DDoS攻 擊實 施起來有一定的 難 度，它要求攻 擊 者必 須 具備 入侵他人 計 算機的能力。但是很不幸的是一些傻瓜式的黑客程序的出 現 ， 這 些程序可以在幾秒 鐘 內完成入侵和攻 擊 程序的安裝，使 發動 DDoS攻 擊變 成一件 輕 而易 舉 的事情。下面我 們 來分析一下 這 些常用的黑客程序。　　 Trinool 　　 Trinoo的攻 擊 方法是向被攻 擊 目 標 主機的隨機端口 發 出全零的 4字 節 UDP包，在 處 理 這 些超出其 處 理能力的垃圾數據包的 過程中，被攻 擊 主機的網 絡 性能不斷下降，直到不能提供正常服 務，乃至崩 潰 。它 對 IP地址不做假，采用的通 訊 端口是：l 　　攻 擊 者主機到主控端主機： 27665/TCP　　主控端主機到代理端主機： 27444/UDP　　代理端主機到主服 務 器主機： 31335/UDPFNl 　　 TFN由主控端程序和代理端程序兩部分 組 成，它主要采取的攻 擊 方法 為 ： SYN風 暴、 Ping風 暴、 UDP炸 彈 和 SMURF，具有偽 造數據包的能力。 65BNCCDDoS攻 擊 使用的常用工具l 　 TFN2Kl 　　 TFN2K是由 TFN發 展而來的，在 TFN所具有的特性上，TFN2K又新增一些特性，它的主控端和代理端的網 絡 通 訊 是 經過 加密的，中 間還 可能混 雜 了 許 多虛假數據包，而 TFN對 ICMP的通 訊 沒有加密。攻 擊 方法增加了 Mix和 Targa3。并且 TFN2K可配置的代理端 進 程端口。l 　 Stacheldrahtl 　　 Stacheldraht也是從 TFN派生出來的，因此它具有 TFN的特性。此外它增加了主控端與代理端的加密通 訊 能力，它 對 命令源作假，可以防范一些路由器的 RFC2267過濾 。 Stacheldrah中有一個內嵌的代理升 級 模 塊 ，可以自 動 下 載 并安裝最新的代理程序。66BNCCDDoS的 監測　　l 現 在網上采用 DDoS方式 進 行攻 擊 的攻 擊 者日益增多，我 們 只有及早 發現 自己受到攻 擊 才能避免遭受慘重的 損 失。l 　　 檢測 DDoS攻 擊 的主要方法有以下幾種：l 　　 根據異常情況分析l 　　當網 絡 的通 訊 量突然急 劇 增 長 ，超 過 平常的極限 值時 ，你可一定要提高警惕， 檢測 此 時 的通 訊 ；當網站的某一特定服 務總 是失 敗時 ，你也要多加注意；當 發現 有特大型的 ICP和 UDP數據包通 過 或數據包內容可疑 時 都要留神。 總 之，當你的機器出 現異常情況 時 ，你最好分析 這 些情況，防患于未然。l 　　 使用 DDoS檢測 工具l 　　當攻 擊 者想使其攻 擊 陰 謀 得逞 時 ，他首先要 掃 描系 統 漏洞，目前市面上的一些網 絡 入侵 檢測 系 統 ，可以杜 絕 攻 擊 者的 掃描行 為 。另外，一些 掃 描器工具可以 發現 攻 擊 者植入系 統 的代理程序，并可以把它從系 統 中 刪 除。67BNCCDDoS攻 擊 的防御策略由于 DDoS攻 擊 具有 隱 蔽性，因此到目前 為 止我 們還 沒有 發現對DDoS攻 擊 行之有效的解決方法。所以我 們 要加 強 安全防范意 識，提高網 絡 系 統 的安全性。可采取的安全防御措施有以下幾種：　　 及早 發現 系 統 存在的攻 擊 漏洞，及 時 安裝系 統補 丁程序。對 一些重要的信息（例如系 統 配置信息）建立和完善 備 份機制。對 一些特 權帳 號（例如管理 員帳 號）的密 碼設 置要 謹 慎。通 過這樣 一系列的 舉 措可以把攻 擊 者的可乘之機降低到最小。　　 在網 絡 管理方面，要 經 常 檢查 系 統 的物理 環 境，禁止那些不必要的網 絡 服