【CISSP备考笔记】第4章：通信与网络安全
第四章：通信与网络安全
4.1 通信
通信是数据在系统之间的电子传输，协议是归档计算机在网络上如何通信的一组规则。
4.2 开放系统互连参考模型
-
OSI模型
-
应用层 协议：SMTP/HTTP/LPD/FTP/TELNET/TFTP
-
表示层 数据表示处理，并不考虑数据的含义，而只关心数据的格式和语法，协议：ASCII/JPG/PNG等
-
会话层 协议
结构化查询语言（SQL） 网络基本输入输出系统（NetBIOS) 远程过程调用（RPC） 密码身份验证协议（PAP） 点对点隧道协议（PPTP） 会话层协议提供进程之间的通信通道 工作模式：单工模式/半双工模式/全双工模式 会话层协议控制应用程序到应用程序的通信，传输层协议控制计算机到计算机的通信 -
传输层
传输层提供了端对端数据传输服务，并且在两台通信计算机之间建立了一个逻辑连接协议 传输控制协议（TCP） 用户数据报协议（UDP） 序列包交互（SPX） 安全套接字层（SSL） -
网络层
协议网际协议（IP） 网际控制消息协议（ICMP） 互联网组管理协议（IGMP） 路由信息协议（RIP） 开放最短路径优先协议（OSPF） 网际数据包交换（IPX） 边际网关协议（BGP） -
数据链路层
协议 地址解析协议（ARP）和逆向地址解析协议（RARP） 点对点协议（PPP） 串行线路网际协议（SLIP） ATM/L2TP/FDDI/以太网（802.3）和令牌环（802.5）、无线以太网（802.11） 逻辑链路控制层（LLC）：负责控制数据流和检测错误，紧靠网络层 介质访问控制层（MAC）：紧靠物理层 -
物理层
控制同步/数据传送速率/线路噪声/介质访问 -
设备类型与OSI层
路由器--网络层 网桥和开关--数据链路层 中继器--物理层 -
多层协议
分布式网络协议3（DNP3），用于SCADA系统的通信协议控制器区域网络总线
-
4.3 TCP/IP模型
-
TCP
TCP：面向连接的协议 UDP：无连接协议 TCP握手中典型DoS：SYN flood ，最有效的缓解技术：SYN缓存
TCP会话劫持：TCP序列号预测，接管TCP连接 通用端口：0~1023 注册端口：1024~49151 动态端口：49152~65535
应用层（数据/消息）—传输层（分片/数据报文 segment/datagram）—网络层（数据包/分组）—数据链路层（帧）
-
IP
提供寻址和路由功能，IPv4 32位,IPV6 128位 mac 48位
虚拟专用网络（VPN）提供网络层保护，MACSee提供数据链路层保护
4.4 传输类型
数据传输方式
数字信号：二进制值表示电脉冲，远距离传输更可靠。
模拟信号：振幅和频率度量
传输控制机制
同步：通过由时钟脉冲启动的时间序列来同步数据传输。
异步：使用开始和停止位进行通信。
传输通道
基带：使用整个通信通道进行传输，一次只允许传输一个信号。
宽带：将一个通信通道分为若干不同且独立的通道，运载多个信号。
4.5 线缆
带宽指采用的最高频率范围，数据吞吐速率值是实际通过线缆的数据流。
同轴电缆，用作传输无限射频信号，比双绞线抗电磁干扰。
双绞线，便宜，容易使用，最不安全的网络互联线缆
光缆，传输速率高，信号传送更远，更安全，价格昂贵
布线问题：噪声、衰减、串扰、线缆的阻燃率
4.6 网络互连基础
网络拓扑
环形拓扑：链路组合闭合回路
总线型拓扑：线型和树型，一根线缆跨越整个网络，线缆成为单点故障。
星型拓扑：所有节点连接到一台集中式设备，每个节点到设备都有专用链路。
网状型拓扑：每个节点都与其他节点相连，提供冗余。
介质访问技术
介质共享
令牌传递：只有拥有令牌的计算机才能将数据帧放在网线上，被令牌环和FDDI技术采用。
载波监听： CSMA/CD和CSMA/CA
轮询：主设备询问每个设备
以太网使用CSMA/CD、令牌环和FDDI使用令牌、wi-fi使用CSMA/CA、大型主机介质访问技术使用轮询
传输方法
单播：一对一
多播：一对多
广播：一对所有
网络协议和服务
地址解析协议（ARP）：ARP表中毒、RARP和BOOTP用于(无盘工作站)
动态主机配置协议（DHCP）：基于UDP的协议，DHCP snooping 窥探
网际控制消息协议（ICMP）
ping/tracetroute
攻击：数据包插入ICMP进行通信
简单网络管理协议（SNMP）
SNMP v1 v2明文嗅探 v3 加密、只读 public、读写 private，端口（161和162）
域名服务（DNS）
域传送同步主从DNS服务器信息
缓解DNS威胁
毒害DNS缓存表、HOSTS文件操纵
DNSSEC（DNS Security）：应用PKI和数字签名，验证消息来源。
防止HOSTS文件入侵最有效技术：实施一个主机型IDS
域名注册问题。域抢占和恶意抢注
电子邮件服务
简单邮件传输协议(SMTP）
邮局协议（POP）/互联网消息访问协议（IMAP）
电子邮件伪装，使用发件人策略框架（SPF）
网络地址转换（NAT）
透明的路由选择和地址转化，隐藏内部地址
基本类型
静态映射
动态映射
端口地址转换（PAT）
路由协议
动态路由和静态路由
4.7 网络互连设备
中继器
工作在物理层，中继和放大电信号，转发冲突和广播信息
集线器是一种多端口的中继器
网桥
工作在数据链路层，根据MAC地址过滤数据帧
隔离冲突域，不能隔离广播域，考虑广播风暴问题
路由器
工作在网络层，根据IP地址过滤数据包
分割冲突域和广播域
交换机
工作在数据链路层
交换机所有端口各单独有一个冲突域，默认都在同一个广播域里，通过划分vlan可以划分不同广播域
vlan跳跃攻击
网关
应用层，翻译不同网络之间使用的不同协议
电子邮件网关/语音和介质网关
专用交换机（PBX）：用户公司所有的专用电话交换机
防火墙
用于限制从另一个网络对特定网络的访问
防火墙类型
包过滤防火墙：第一代防火墙，性能高/速度快
状态检测防火墙：跟踪记录通讯会话
代理防火墙：检查出入口流量，电路级代理（会话层，socks）和应用层代理
动态包过滤防火墙：允许任何类型的流量流出，并只允许相应流量流入
内核代理防火墙：第五代防火墙，基于代理的防火墙
下一代防火墙：采用了基于特征的IPS引擎，云引擎
第一代：包过滤
第二代：代理：电路代理和应用代理
第三代：状态检测
第四代：动态包过滤
防火墙的架构：双宿防火墙、被屏蔽主机（在路由器后面）、被屏蔽子网（两个物理防火墙创建了一个DMZ区）
代理服务器
转发代理、开放代理、匿名代理、和反向代理（负载均衡）
蜜罐（honeypot）
用于试图引诱攻击者
统一威胁管理（UTM）
在单一网络设备上提供多个功能，整体上识别网络安全状况
内容分发网络（CDN）
内容优化，抵御DDoS攻击
软件定义网络（SDN）
集中设备的配置和控制
4.8 内联网与外联网
基于web的技术
4.9 城域网（MAN）
用于将LAN连接到LAN，将LAN连接到WAN/互联网和其他电信电缆网
4.10 广域网（WAN）
专用链路：两个目标之间建立单条链路，价格昂贵
帧中继：工作在数据链路层，数据包交换技术
X.25：使用载波交换的交换技术，用户费用基于所使用的带宽，数据包交换技术。
异步传输模式（ATM）:信元交换方法，第一种提供真正QoS的协议
电路交换：面向连接的虚拟链路，通常运载面向语音的数据。
数据包交换：数据包可沿许多不同的动态路径到达同一个目的地，通常运载面向数据的数据。
同步数据链路控制（SDLC）：提供轮询介质访问技术
高级数据链路控制（HDLC）：面向位的链路层协议
点对点协议（PPP）：为点对点连接进行装帧和封装的数据链路协议
高速串行接口（HSSI）：将多路复用器和路由器联系到高速通信服务的接口
4.11 远程连接
拨号连接：调制解调器连接互联网，战争拨号。模拟信号
综合业务数字网（ISDN）：数字信号
数字用户线路（DSL）
线缆调制解调器：共享相同的介质，网络嗅探。
虚拟专用网（VPN）：
点对点隧道协议（PPTP）：使用通用路由封装和TCP来封装PPP数据包，并通过IP网络延伸PPP连接。PPP有效载荷用 Miscrosoft的点对单加密（MPPE）进行加密，MPPE使用了对称算法RC4，容易被破解。用于系统与系统通信，不能用于支持多个用户同时连接的网关到网关的连接。在数据链路层工作，只能通过ip网络传输。
第二层隧道协议（L2TP）：PPTP和Cisco的第二层转发（L2F）协议的功能结合在一起，能在多种网络中传输。不提供任何加密功能。
互联网协议安全(IPSec):工作在网络层，用于保护IP流量，常用与网关之间的连接，能同时处理多个vpn连接。只支持ip网络。隧道模式保护数据包的有效载荷和首部信息，传输模式只保护有效载荷。
身份验证首部（AH），提供数据完整性、数据源验证和免受重放攻击的保护。
封装安全有效载荷（ESP），提供机密性，数据源验证和数据完整性。
互联网安全连接和密钥管理协议（ISAKMP）：提供安全连接创建和密钥交换的框架。
互联网密钥交换（IKE），提供验证的密钥材料和ISAKMP一起使用。
传输层安全VPN（TLS）：工作在会话层，主要用于保护http流量，提供细粒化的访问控制和配置。
身份验证协议：
密码身份验证协议（PAP）：最不安全的身份验证方法之一，以明文形式发生凭证，容易被网络嗅探者截获，不推荐使用。
挑战握手身份验证协议（CHAP）：不发生密码，采用挑战/响应机制进行身份验证，不易遭受中间人攻击。
可扩展身份验证协议（EAP）：身份验证框架，可以与各种技术和协议一起使用。
EAP-TLS，客户端和服务器彼此使用数字证书进行身份验证
EAP-TTLS，服务器必须使用数字证书来验证客户端的身份。客户端可以使用其他方式来验证服务器。
4.12 无线网络
无线通信技术：信号频率越高，信号运载的数据越多，传输距离越短。CSMA/CA（冲突避免）技术。
扩频类型：通过在大量频率上扩散数据来实现数据传输。
调频扩频（FHSS）、直接序列扩频（DSSS）、正交频分多路复用（OFDM）
IEEE标准 802.11
WEP协议使用RC4算法，流对称密码，被认为是不安全的。
两种身份验证方式：开放系统身份验证（OSA）和共享密钥身份验证(SKA)。OSA只需要无线设备的SSID值，SKA明文传输，容易被嗅探。
三个主要缺陷：应用静态加密密钥、初始化向量使用效率低、缺乏数据包完整性保证。
存在的问题包括：身份验证不完整，静态WEP密钥能够被攻击轻易截获，ICV重复使用且不能提供必要的随机性，缺乏数据完整性。
IEEE标准 802.11i
WPA TKIP WPA2 使用AES算法和CBC-MAC
802.11b 2.4GHz频率，使用DSSS，数据传输率最高可达11Mbps
802.11g 2.4GHz频率，使用，54Mbps
802.11a 5Ghz，使用OFDM，54Mbps (美国使用，其他国家不一定用) --->802.11h （满足欧洲无限规则的要求）
802.11n 5GHz，100Mbps
802.11ac 5Ghz，1.3Gbps，向下兼容以上协议
802.15.4 2.4GHz，ZigBee协议基于802.11.4标准，250kbps，128位对称密钥加密
蓝牙无线技术 802.15的一部分，传输速率1-3Mbps，工作范围为1-100米，2.4GHz工作，蓝牙劫持（Bluejacking）是使用蓝牙技术的设备容易遭到的一种攻击，攻击者向一台支持蓝牙的设备主动发送一条信息。 应对是设置为无法发现模式。
IEEE标准802.1X
基于端口的网络访问控制协议
卫星
移动无线通信：1G(FDMA)、2G(TDMA)、3G(CDMA)、4G(OFDM)
4.13 网络加密
链路加密
发生在数据链路层和物理层，会加密沿某种特定通道传输的所有数据，如卫星链路、T3线路或电话线路。
优点：所有的数据都被加密 缺点：每一跳都要解密，存在很多脆弱点
端到端加密
发生在应用层
优点：数据加密字段比较灵活，每个用户可以选择特定配置 缺点：数据包的头部/地址和路由信息未被加密
电子邮件加密标准
多用途互联网邮件扩展（MIME)/安全MIME(S/MIME)
可靠加密（PGP），主要使用RSA公钥加密来实现密钥管理，使用IDEA对称密码完成加密。
互联网安全
HTTP/HTTPS
安全套接字层（SSL）工作在传输层，Netscape开发，最终版本SSL3.0
传输层安全（TLS），目前版本TLS1.2，端到端加密技术
安全外壳（SSH）取代Telnet/FTP/rlogin/rexec/rsh,通过Diffie-Hellman交互会话密钥，这个会话密钥将在会话过程中加密和保护传送的数据。
4.14 网络攻击
拒绝服务攻击（DoS），本质是对安全三元组中的可用性进行破坏，导致服务或资源性能降低，或使合法用户无法使用。
畸形数据包：最著名的死亡ping
洪泛攻击：SYN洪泛
分布式拒绝服务攻击（DDoS）
勒索软件
嗅探：对数据机密性的攻击
DNS劫持：基于主机、网络、服务器进行劫持
偷渡下载思维导图：
问题难点：
1、会话初始化协议（SIP）是一种广泛用于VoIP通信会话的信令协议，应用层协议。
2、TCP Segment TCP段，表示一个TCP包在传输层的单个数据单元。
3、呼叫转移是回拨系统特有的弱点。
4、帧中继和X.25属于分组交换服务。
5、SET 安全电子交易协议，需要两对非对称密钥和两个数字证书。
6、IKE在IPsec协议的作用是对等身份验证和密钥交换。
7、Smurf攻击，使用了IP欺骗和ICMP回复方法使大量网络传输充斥目标系统，引起目标系统拒绝为正常系统进行服务。
8、TLS协议是一个双层套接字层安全协议，包括TLC记录协议和TLS握手协议。
9、Teardrop攻击是一种畸形报文攻击,向被攻击者发送多个分片的IP包。
