第讲 网络安全一ppt课件.ppt

《第讲 网络安全一ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、一、网络安全威胁1、网络缺陷概述2、网络拓扑安全3、网络软件漏洞4、网络人为威胁1、网络缺陷概述开放性复杂性：规模庞大、集成度高、高度封装管理方面技术落后2、网络拓扑安全总线型拓扑结构（集线器）故障诊断困难故障隔离困难中继器配置终端必须是智能的星型拓扑结构（交换机）电缆的长度和安装扩展困难对中央节点的依赖性太大容易出现“瓶颈”现象环形拓扑结构：节点的故障将会引起全网的故障诊断故障困难不易重新配置网络环型拓扑结构影响访问协议树形拓扑结构：对根节点的依赖性太大3、网络软件漏洞设计缺陷，版本、兼容性问题后门缓冲区溢出4、网络人为威胁二、链路层安全1、以太网安全分析2

2、、电磁信息泄漏3、ARP欺骗1、以太网安全分析非交换式、交换式局域网环境地址映射机制2、电磁信息泄漏电子线路电子设备屏幕无限设备3、ARP欺骗（1）考虑交换式环境攻击者首先会试探交换机是否存在失败保护模式（fail-safemode）。当交换机维护IP地址和MAC地址的映射关系时会花费一定处理能力，当网络通信时出现大量虚假MAC地址时，某些类型的交换机会出现过载情况，从而转换到失败保护模式。有一类工具叫“macof”可以完成此项攻击功能。当交换机进入失败保护模式后，其工作方式和集线器相同。3、ARP欺骗（2）3、ARP欺骗（3）在上图环境中，攻击者主机需要两块

3、网卡，IP地址分别为192.168.0.5和192.168.0.6，插入交换机的两个端口，准备截获和侦听目标主机192.168.0.3和网关192.168.0.1之间的所有通信。另外攻击者主机还需要有IP数据包的转发能力3、ARP欺骗（4）我们先以192.168.0.4的网络通信为例讲述正常的ARP转换过程：步骤一，主机A（192.168.0.4）想要与网关（192.168.0.1）通信，从而接入Internet。步骤二，主机A以广播的方式发送ARP请求，希望得到网关的MAC地址。步骤三，交换机收到ARP请求，并把此请求发送给连接到交换机的各个主机。同时，交换

4、机将更新它的MAC地址和端口之间的映射表，即将192.168.0.4绑定它所连接的端口。步骤四，网关收到A的ARP请求后，发出带有自身MAC地址的ARP响应。3、ARP欺骗（5）步骤五，网关更新ARP缓存表，绑定A的IP地址和MAC地址。步骤六，交换机收到了网关对A的ARP响应后，查找它的MAC地址和端口之间的映射表，把此ARP响应数据包发送到相应端口。同时，交换机更新它的MAC地址和端口之间的映射表，即将192.168.0.1绑定它所连接的端口。步骤七，主机A收到ARP响应数据包，更新ARP缓存表，绑定网关的IP地址和MAC地址。步骤八，主机A使用更新后的M

5、AC地址信息把数据发送给网关，通信通道就此建立3、ARP欺骗（6）ARP欺骗需要攻击者迅速地诱使目标主机（192.163.0.3）和网关（192.168.0.1）都和它建立通信，从而使自己成为中间人MiM（ManinMiddle）。要达到同时欺骗目标主机和网关的目的，攻击者应打开两个命令界面，执行两次ARP欺骗：一次诱使目标主机认为攻击者的主机有网关的MAC地址，这可以利用IP地址欺骗技术，伪造网关的IP地址从攻击者主机的一块网卡上发送给目标主机ARP请求包，则错误的MAC地址和IP地址的映射将更新到目标主机；另一次使网关相信攻击者的主机具有目标主机的MAC地

6、址，方法和前面相似。3、ARP欺骗（7）对于ARP欺骗的防范：要阻止此类攻击可参考2.2.1.1MAC地址欺骗的防范；另外有一些工具可以很容易的检测此类攻击，例如ARPWatch，此类工具监视局域网内所有MAC地址和IP地址的映射对，一旦有改变将产生告警或日志。三、网络层安全1、IP地址欺骗（1）IP欺骗就是攻击者假冒他人IP地址，发送数据包。因为IP协议不对数据包中的IP地址进行认证，因此任何人不经授权就可伪造IP包的源地址。1、IP地址欺骗（2）IP包一旦从网络中发送出去，源IP地址就几乎不用，仅在中间路由器因某种原因丢弃它或到达目标端后，才被使用。这使得

7、一个主机可以使用别的主机的IP地址发送IP包，只要它能把这类IP包放到网络上就可以。因而如果攻击者把自己的主机伪装成被目标主机信任的友好主机，即把发送的IP包中的源IP地址改成被信任的友好主机的IP地址，利用主机间的信任关系和这种信任关系的实际认证中存在的脆弱性（只通过IP确认），就可以对信任主机进行攻击。注意，其中所说的信任关系是指一个被授权的主机可以对信任主机进行方便的访问。1、IP地址欺骗（3）例如UNIX中的所有的r*命令都采用信任主机方案，所以一个攻击主机把自己的IP改为被信任主机的IP，就可以连接到信任主机并能利用r*命令开后门达到攻击的目的。1、

8、IP地址欺骗（4）要实现IP欺骗有两个