数据链路层网络层传输层应用层

©20103HuaweiTechnologiesCo.,Ltd.Allrightsreserved.第一章网络安全概述Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page2目标学完本课程后，您将能够:了解OSI模型理解TCP/IP协议原理了解TCP/IP协议存在的安全隐患理解针对TCP/IP各层常见攻击的技术原理Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page3目录1.TCP/IP协议基础2.TCP/IP协议安全3.常见网络攻击方式Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page4OSI模型的提出OSI模型提出的目的OSI模型设计原则OSI模型的优点Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page5OSI模型七层应用层表示层会话层传输层网络层数据链路层物理层1234567提供应用程序间通信处理数据格式、数据加密等建立、维护和管理会话建立主机端到端连接寻址和路由选择提供介质访问、链路管理等比特流传输APDUPPDUSPDUSegmentPacketFrameBit上三层下四层Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page6对等层通讯每一层利用下一层提供的服务与对等层通信HostAHostBAPDUPPDUSPDUSegmentPacketFrameBit应用层表示层会话层传输层网络层数据链路层物理层应用层表示层会话层传输层网络层数据链路层物理层Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page7网络数据流处理流程网络层数据链路层物理层网络层数据链路层物理层网络层数据链路层物理层网络层数据链路层物理层表示层会话层传输层应用层ABCDERouterARouterBRouterC网络层数据链路层物理层表示层会话层传输层应用层Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page8TCP/IP和OSI的对应关系TCP/IP协议栈具有简单的分层设计，与OSI参考模型有清晰的对应关系OSITCP/IP物理层数据链路层网络层传输层会话层表示层应用层数据链路层网络层传输层应用层Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page9TCP/IP协议栈封装解封装过程数据链路层网络层传输层应用层用户数据APPTCPIPEth1010101101010100101010001110数据链路层网络层传输层应用层封装过程解封装过程发送方接收方用户数据APPTCP用户数据APPIPTCP用户数据APPCopyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page10TCP/IP协议栈各层作用提供应用程序网络接口建立端到端连接寻址和路由选择物理介质访问HTTP,Telnet,FTP,TFTP,DNS数据链路层网络层传输层应用层Ethernet,802.3,PPP,HDLC,FRTCP/UDPIPICMP,IGMPARP,RARPCopyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page12套接字HTTPFTPTelnetSMTPDNSTFTPSNMPTCPUDPIP数据包套接字8020/2123255369161源套接字：源IP地址＋协议＋源端口目的套接字：目的IP地址＋协议＋目的端口Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page13以太网协议封装类型信息类型，0x0800：代表IP类型，0x0806：代表ARP类型，0x8035：代表RARP数据链路层协议目的地址源地址类型数据CRC46-1500字节6字节6字节2字节4字节Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page14网络层协议版本报文长度服务类型总长度标识符标志片偏移生存时间TTL协议报头校验和源IP地址目的IP地址IP选项481619310填充项Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page16传输层协议源端口目的端口序列号确认号URGACKPSHRSTSYNFIN首部长度保留(6位)窗口大小TCP校验和紧急指针选项数据08162431源端口目的端口UDP校验和（可选）数据UDP报文格式TCP报文格式UDP长度Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page18建立TCP连接三次握手ClientServerCopyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page19断开TCP连接四次握手主动关闭方被动关闭方Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page20目录1.TCP/IP协议基础2.TCP/IP协议安全3.常见网络攻击方式Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page21TCP/IP协议栈-IPV4安全隐患1缺乏数据源验证机制缺乏机密性保障机制缺乏完整性验证机制23Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page22TCP/IP协议栈常见安全风险漏洞、缓冲区溢出攻击WEB应用的攻击、病毒及木马、……TCP欺骗、TCP拒绝服务、UDP拒绝服务端口扫描、……IP欺骗、Smurf攻击、ICMP攻击地址扫描、……MAC欺骗、MAC泛洪、ARP欺骗……设备破坏、线路侦听应用层传输层网络层链路层物理层Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page23设备破坏物理设备破坏指攻击者直接破坏网络的各种物理设施，比如服务器设施，或者网络的传输通信设施等设备破坏攻击的目的主要是为了中断网络服务设备破坏攻击防范主要靠非技术方面的因素，比如建造坚固的机房，指定严格的安全管理制度，对于需要铺设在外部环境中的通信电缆等，采用各种加强保护措施及安全管理措施Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page24线路侦听物理层网络设备集线器中继器无线网络对线路侦听的防范对于网络中使用集线器，中继器之类的，有条件的话置换设备为交换机等对于无线网络，使用强的认证及加密机制，这样窃听者即使能获取到传输信号，也很难把原始信息还原出来侦听者Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page25MAC欺骗MAC欺骗是一种非常直观的攻击，攻击者将自己的MAC地址更改为受信任系统的地址。对于MAC攻击的防范措施在交换机上配置静态条目，将特定的MAC地址始终与特定的端口绑定F0-DE-F1-33-7F-DA我也是:F0-DE-F1-33-7F-DAE0E1仿冒者Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page26MAC泛洪MAC泛洪攻击利用了：交换机的MAC学习机制MAC表项的数目限制交换机的转发机制MAC泛洪攻击的预防配置静态MAC转发表配置端口的MAC学习数目限制攻击者Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page27ARP欺骗当A与B需要通讯时：A发送ARPRequest询问B的MAC地址B发送ARPReply告诉A自己的MAC地址ABHackerCopyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page28IP欺骗攻击（IPSpoofing）节点间的信任关系有时会根据IP地址来建立攻击者使用相同的IP地址可以模仿网络上合法主机，访问关键信息B:192.168.0.6A:192.168.0.1Sniffer192.168.0.1requestsniffered攻瘫Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page29Smurf攻击192.168.1.2192.168.1.3192.168.1.5192.168.1.4192.168.1.1Victim:128.100.100.2AttackercontrolsthishostICMPEchorequest,src=128.100.100.2dest=192.168.1.255ICMPEchorepliesCopyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page30ICMP重定向和不可达攻击ManyICMPRedirect192.168.1.2192.168.1.3192.168.1.5192.168.1.4192.168.1.1受害主机128.100.100.2AttackercontrolsthishostManyICMPdestunreachablefloodto192.168.1.x,src=128.100.100.2网关收到不到数据包Attackercontrolsthishost为什么收不到数据包？Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page31IP地址扫描攻击攻击者运用ICMP报文探测目标地址，或者使用TCP/UDP报文对一定地址发起连接，通过判断是否有应答报文，以确定哪些目标系统确实存活着并且连接在目标网络上。192.168.1.2192.168.1.3192.168.1.5192.168.1.4192.168.1.1攻击者Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page32TCP欺骗主机A主机BSYNseqack1110000spoofedpacketfromCtoASYNseqack15400211001ACK1ACKseqack11100154003spoofedpacketfromBtoA拒绝服务攻击fromCtoBA信任B攻击主机C非授权连接Copyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page33TCP拒绝服务——SYNFlood攻击SYN报文是TCP连接的第一个报文，攻击者通过大量发送SYN报文，造成大量未完全建立的TCP连接，占用被攻击者的资源。攻击者ServerSynCopyright©2013HuaweiTechnologiesCo.,Ltd.Allrightsreserved.Page34UDP拒