《网络与信息安全课件.pptx》由会员分享，可在线阅读，更多相关《网络与信息安全课件.pptx（43页珍藏版）》请在三一办公上搜索。
1、网络与通信安全,课程内容,网络协议与安全威胁网络安全控制交换机设备安全配置路由器设备安全配置,第一部分网络协议与安全威胁,四层协议,链路层,设驱动备程序及接口卡,网络层,传输层,应用层,IP、ICMP、IGMP,TCP、UDP,Mail、FTP、HTTP、Telnet,工作模式,链路层,网络层,传输层,应用层,邮寄物品,邮寄类型和申请,邮件封装,邮寄线路,四层协议与网络攻击,链路层,网络层,传输层,应用层,网络窃听攻击,地址欺骗攻击,拒绝服务攻击,信息扫描攻击,服务系统攻击,第二部分网络安全控制,OSI网络参考模型网络组成结构,网络系统,L3L2L1,L7L6L5L4L3L2L1,L3L2L1
2、,路由器,资源子网,通信线路,主机,通信子网,主机,网络系统,通信线路,L1L2L3,L1L2L3,L4L5L6L7,网络通信 子系统,WAN,LAN,OSI网络参考模型通信模式,上层用户：上层协议站，是通信的信源和信宿；通信功能：为实现通信所能提供的特定操作和控制机制，如数据传送、流量控制、差错控制、应答机制、数据包的拆分与重组等；通信服务：是通信功能的外部表现，为上层用户提供通信支持；通信介质：本层以下所有协议层，是本层以下通信结构的抽象表示；通信子系统通过本层的通信功能和下层的通信服务，实现本层不同通信实体之间的通信，并为上层协议提供通信服务。,通信介质,协议站1,协议站2,上层用户1,
3、上层用户2,通信服务,访问,通信协议,通信功能,通信子系统,下层通信服务,通信实体1,通信实体2,理论依据,互联基础设施域,支撑基础设施域,局域计算接入域,局域计算服务域,服务和管理对象,检测和响应、KMI、应急和恢复,处理计算存储,本地接入远程接入,理论依据,美国总统关键基础设施保护委员会关于加强SCADA网络的21条建议美国国家安全局IATFDMTF的分布式管理方法和模型软件行为学,安全域综述概念&理解,一般常常理解的安全域（网络安全域）是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享一样的安全策略。如果理解广义的安全
4、域概念则是，具有相同业务要求和安全要求的IT系统要素的集合。这些IT系统要素包括：网络区域主机和系统人和组织物理环境策略和流程业务和使命等,安全域综述安全域的意义,基于网络和系统进行安全检查和评估的基础安全域的分割是抗渗透的防护方式基于网络和系统进行安全建设的部署依据安全域边界是灾难发生时的抑制点，防止影响的扩散,安全区域的划分原则,需求牵引：业务层面的需求（不同业务、不同部门的安全等级需求不同）以及网络结构层面的需求（安全域在逻辑上可以和网络层次结构对应）；与现有网络结构，网络拓扑紧密结合，尽量不大规模的影响网络布局（考虑到用户需求和成本等因素）与业务需求一致性原则，安全域的范围，边界的界定
5、不能导致业务与实际分离；统一安全策略：安全域的最重要的一个特征是安全策略的一致性，所以划分安全域的的前提是具备自上而下（纵向的），自内而外（横向的）的宏观上的安全策略规划；部署实施方便：最少化安全设备原则，合理的安全域划分可以减少冗余设备，精简开支；等级保护的需要；为集中化的安全管理服务。,安全控制,接入区域,逻辑隔离,业务处理区域,业务终端区域,业务处理区域,横向骨干,接入区域,逻辑隔离,业务处理区域,业务终端区域,业务处理区域,核心数据区域,纵向骨干,安全边界,安全边界将需要保护的资源、可能的风险和保障的需求结合起来可以在通信路径上完成访问控制的授权、范围、期限。安全边界的设计良好的清晰度
6、以便进行审查和测试具备简洁性以便能够迅速自动化执行减轻维护人员的工作量具备现实性以便采用成熟的技术和产品安全边界可采用的安全技术包括隔离、监控、检测、评估、审计、加密等。,可作为安全边界的设备,交换机路由器防火墙入侵检测网关VPNEtc.,第三部分交换机设备安全配置,配置内容,关闭不必要的设备服务使用强口令或密码加强设备访问的认证与授权升级设备固件或OS使用访问控制列表限制访问使用访问控制表限制数据包类型,交换机-针对CDP攻击,交换机-针对STP攻击,说明Spanning Tree Protocol防止交换网络产生回路Root BridgeBPDU-bridge ID,path cost,i
7、nterface攻击强制接管root bridge，导致网络逻辑结构改变，在重新生成STP时，可以导致某些端口暂时失效，可以监听大部份网络流量。BPDU Flood：消耗带宽，拒绝服务对策对User-End端口，禁止发送BPDU,交换机-针对VTP攻击,作用Vlan Trunking Protocol统一了整个网络的VLAN配置和管理可以将VLAN配置信息传递到其它交换机动态添加删除VLAN准确跟踪和监测VLAN变化模式Server,Client,Transparent脆弱性Domain：只有属于同一个Domain的交换机才能交换Vlan信息 set vtp domain netpowerPa
8、ssword：同一domain可以相互通过经MD5加密的password验证，但password设置非必需的，如果未设置password，可能构造VTP帧，添加或者删除Vlan。对策设置password尽量将交换机的vtp设置为Transparent模式：set vtp domain netpower mode transparent password sercetvty,第四部分路由器设备安全配置,配置内容,关闭不必要的设备服务使用强口令或密码加强设备访问的认证与授权升级设备固件或OS使用访问控制列表限制访问使用访问控制表限制数据包类型,路由器-发现路由,通过tracertroute命令最后
9、一个路由容易成为DoS攻击目标,路由器-猜测路由器类型,端口扫描操作系统堆栈指纹登陆旗标（banner）其它特征：如Cisco路由器1999端口的ack分组信息，会有cisco字样提示,路由器-缺省帐号,路由器-密码,Cisco路由器的密码弱加密MD5加密Enable secret 5,路由器-SNMP,SNMP版本 SNMPv1,SNMPv2,SNMPv3Snmp AgentMIB轮循(Polling-only)和中断(Interupt-base)Snmp网管软件禁用简单网络管理协议no snmp-server enable使用SNMPv3加强安全特性snmp-server enable t
10、raps snmp auth md5使用强的SNMPv1通讯关键字snmp-server communityname,保证路由器密码安全,使用加密的强密码service password-encryptionenable secret pa55w0rd使用分级密码策略enable secret 6 pa55wordprivilege exec 6 show使用用户密码策略user name password pass privilege exec 6 show控制网络线路访问access-list 8 permit 192.168.0.10access-list 8 permit*.*.*.*
11、access-list 8 deny anyline vty 0 4access-class 8 in设置网络连接超时Exec-timeout 5 0,Cisco路由器安全配置,降低路由器遭受应用层攻击1 禁止CDP(Cisco Discovery Protocol)。如：Router(Config)#no cdp run Router(Config-if)#no cdp enable2 禁止其他的TCP、UDP Small服务。Router(Config)#no service tcp-small-servers Router(Config)#no service udp-samll-ser
12、vers3 禁止Finger服务。Router(Config)#no ip finger Router(Config)#no service finger4 建议禁止HTTP服务。Router(Config)#no ip http server 如果启用了HTTP服务则需要对其进行安全配置：设置用户名和密码；采用访问列表进行控制。,Cisco路由器安全配置,5 禁止BOOTp服务。Router(Config)#no ip bootp server6 禁止IP Source Routing。Router(Config)#no ip source-route7 建议如果不需要ARP-Proxy服务
13、则禁止它，路由器默认识开启的。Router(Config)#no ip proxy-arp Router(Config-if)#no ip proxy-arp8禁止IP Directed Broadcast。Router(Config)#no ip directed-broadcast,Cisco路由器安全配置,9 禁止ICMP协议的IP Unreachables,Redirects,Mask Replies。Router(Config-if)#no ip unreacheables Router(Config-if)#no ip redirects Router(Config-if)#no
14、ip mask-reply10 建议禁止SNMP协议服务。在禁止时必须删除一些SNMP服务的默认配置。如：Router(Config)#no snmp-server community public Ro Router(Config)#no snmp-server community admin RW11 如果没必要则禁止WINS和DNS服务。Router(Config)#no ip domain-lookup 如果需要则需要配置：Router(Config)#hostname Router Router(Config)#ip name-server 219.150.32.xxx12 明确禁止
15、不使用的端口。如：Router(Config)#interface eth0/3 Router(Config)#shutdown,Cisco路由器安全配置,认证与日志管理使用AAA加强设备访问控制日志管理logging onlogging buffered 36000,Cisco路由器安全配置,禁用IP Unreachable报文禁用ICMP Redirect报文no ip redirect禁用定向广播no ip directed-broadcast禁用ARP代理no ip proxy-arp使用IP验证Ip verify unicast reverse-path禁用IP源路由选项no ip
16、source-route,Cisco路由器安全配置,启用TCP截获特性防止DoS攻击创建截获访问控制列表起用TCP截获特性设置截获模式设置门限制设置丢弃模式,Cisco路由器安全配置,使用访问控制列表限制访问地址使用访问控制列表限定访问端口使用访问控制列表过滤特定类型数据包使用访问控制列表限定数据流量使用访问控制列表保护内部网络,DDoS预防方法,限制ICMP数据包出站速率Interface xxRete-limit output access-group 102 256000 8000 8000 conform-action transmit exceed-action dropAccess
17、-list 102 permit icmp any any echoAccess-list 102 permit icmp any any echo-reply,DDoS预防方法,限制SYN数据包连接速率Interface xxRete-limit input access-group 103 8000 8000 8000 conform-action transmit exceed-action dropAccess-list 103 deny tcp any host xx.xx.xx.xx established Access-list 103 permit tcp any host x
18、x.xx.xx.xx,DDoS预防方法,RFC1918约定过滤Interface xxIp access-group 101 inAccess-list 101 deny ip 10.0.0.0 0.255.255.255 anyAccess-list 101 deny ip 172.16.0.0 0.0.255.255 anyAccess-list 101 deny ip 192.168.0.0 0.0.0.255 anyAccess-list 101 permit ip any any,DDoS预防方法,验证单点传送反向路径检查数据包地返回路径是否使用与到达相同接口，以缓解某些欺骗数据包需
19、要路由CEF（快速向前传输）特性在存在非对称路径时不适合,问题？,1、有时候读书是一种巧妙地避开思考的方法。23.3.2523.3.25Saturday,March 25,20232、阅读一切好书如同和过去最杰出的人谈话。21:05:2021:05:2021:053/25/2023 9:05:20 PM3、越是没有本领的就越加自命不凡。23.3.2521:05:2021:05Mar-2325-Mar-234、越是无能的人，越喜欢挑剔别人的错儿。21:05:2021:05:2021:05Saturday,March 25,20235、知人者智，自知者明。胜人者有力，自胜者强。23.3.2523.
20、3.2521:05:2021:05:20March 25,20236、意志坚强的人能把世界放在手中像泥块一样任意揉捏。2023年3月25日星期六下午9时5分20秒21:05:2023.3.257、最具挑战性的挑战莫过于提升自我。2023年3月下午9时5分23.3.2521:05March 25,20238、业余生活要有意义，不要越轨。2023年3月25日星期六9时5分20秒21:05:2025 March 20239、一个人即使已登上顶峰，也仍要自强不息。下午9时5分20秒下午9时5分21:05:2023.3.2510、你要做多大的事情，就该承受多大的压力。3/25/2023 9:05:20 PM21:05:202023/3/2511、自己要先看得起自己，别人才会看得起你。3/25/2023 9:05 PM3/25/2023 9:05 PM23.3.2523.3.2512、这一秒不放弃，下一秒就会有希望。25-Mar-2325 March 202323.3.2513、无论才能知识多么卓著，如果缺乏热情，则无异纸上画饼充饥，无补于事。Saturday,March 25,202325-Mar-2323.3.2514、我只是自己不放过自己而已，现在我不会再逼自己眷恋了。23.3.2521:05:2025 March 202321:05,谢谢大家,
