计算机网络安全期末复习-2.ppt

* 防火墙主要技术 包过滤技术 代理服务技术 状态检测技术 地址翻译技术 * 包过滤基本原理 5 4 3 2 1 5 4 3 2 1 计算机 1 AP2 AP1 计算机 2 tcp pdu 应 用 程 序 数 据 ip 只检查报头 方向 源IP 源端口 目的IP 目的端口 协议 动作 in any any www_ip 80 udp/tcp Permit in 外部 any Dns_ip 53 udp/tcp Permit in 内部 any Dns_ip 53 udp/tcp Permit 查找安全策略决定转发还是丢弃 * 两类包过滤 ⑴ 按地址过滤 包过滤路由器检查包头的地址信息，与过滤规则进行匹配，决定是否转发该数据包 ⑵ 按服务过滤 根据安全策略决定允许或拒绝某种服务比如：禁止外部主机访问内部的DNS服务器，端口号53 * 如基于IP地址和服务设置ACL 方向 源IP 源端口 目的IP 目的端口 协议 动作 备注 in 内部ip any any any udp/tcp Deny 防止IP欺骗 in any any www_ip 80 udp/tcp Permit 允许WWW in any any Mail_ip 25 Tcp Permit 允许Mail服务 in any any Dns_ip 53 udp/tcp Permit 允许DNS服务 in any any any any udp/tcp Deny 禁止其他服务 * 包过滤技术的优缺点 优点： 一个放置在重要位置上的包过滤路由器即可保护整个网络 对用户和应用程序透明 效率高 缺点： 正确制定过滤规则非常复杂 不识别用户，不能防止IP盗用 6.4.4 系统中值入木马后的症状 1． 随意弹出窗口 虽然用户的计算机已经连接在网上，但即没有打开任何的浏览器。这时，如果系统突然会弹出一个上网窗口，并打开某一个网站，这时有可能运行了木马。 2． 系统配置参数发生改变 有的时候，用户使用的Windows操作系统的配置参数（如屏幕保护、时间和日期显示、声音控制、鼠标的形状及灵敏度、CD-ROM的自动运行程序等）莫名其妙地被自动更改。 3． 频繁地读写硬盘 在计算机上并未进行任何操作时，如果系统频繁地读写硬盘（硬盘指示灯会不停地闪烁），有时软盘驱动器也会经常自己读盘，这时可能有木马在运行。 7.1 网络攻击概述 7.1.1 网络入侵与攻击的概念 网络入侵是一个广义上的概念，它是指任何威胁和破坏计算机或网络系统资源的行为，例如非授权访问或越权访问系统资源、搭线窃听网络信息等。入侵行为的人或主机称为入侵者。一个完整的入侵包括入侵准备、攻击、侵入实施等过程。而攻击是入侵者进行入侵所采取的技术手段和方法，入侵的整个过程都伴随着攻击，有时也把入侵者称为攻击者。 入侵者（或攻击者）所采用的攻击手段主要有以下八种特定类型。 · 冒充。将自己伪装成为合法用户（如系统管理员），并以合法的形式攻击系统。 · 重放。攻击者首先复制合法用户所发出的数据（或部分数据），然后进行重发，以欺骗接收者，进而达到非授权入侵的目的。 · 篡改。 · 服务拒绝。中止或干扰服务器为合法用户提供服务或抑制所有流向某一特定目标的数据。 · 内部攻击。利用其所拥有的权限对系统进行破坏活动。 · 外部攻击。通过搭线窃听、截获辐射信号、冒充系统管理人员或授权用户、设置旁路躲避鉴别和访问控制机制等各种手段入侵系统。 · 陷阱门。首先通过某种方式侵入系统，然后安装陷阱门（如值入木马程序）。并通过更改系统功能属性和相关参数，使入侵者在非授权情况下能对系统进行各种非法操作。 · 特洛伊木马。这是一种具有双重功能的客户/服务体系结构。特洛伊木马系统不但拥有授权功能，而且还拥有非授权功能，一旦建立这样的体系，整个系统便被占领。 7.1.2 拒绝服务攻击 1． 死亡之ping 死亡之ping（ping of death）是最常使用的拒绝服务攻击手段之一，它利用ping（Packet Internet Groper）命令来发送不合法长度的测试包来使被攻击者无法正常工作。 2． 泪滴 如果一个攻击者打破这种正常的分片和重组IP数据包的过程，把偏移字段设置成不正确的值（假如，把上面的偏移设置为0，1300，3000），在重组IP数据包时可能会出现重合或断开的情况，就可能导致目标操作系统崩溃。这就是所谓的泪滴（teardrop）攻击。 防范泪滴攻击的有效方法是给操作系统安装必威体育精装版的补丁程序，修补操作系统漏洞。同时，对防火墙进行合理地设置，在无法重组IP数据包时将其丢弃，而不进行转发。 3． ICMP泛洪