网络攻击防范模型

消极安全防范的原理
消极安全防范的一个主要特征就是针对已知 的攻击，建立攻击特征库，作为判断网络数据是 否包含攻击特征的依据。使用消极安全防范模型 的产品，不能对付未知攻击行为，并且需要不断 更新的特征库。
消极安全防范的原理
例如在入侵检测技术中，误用入侵检测技术 就是根据已知的入侵模式来检测入侵。入侵者常 常利用系统和应用软件中的弱点攻击，而这些弱 点易编成某种模式，如果入侵者攻击方式恰好匹 配上检测系统中的模式库，则入侵者即被检测到， 其优点是算法简单、系统开销小，但是缺点是被 动，只能检测出已知攻击，模式库要不断更新。
3.2 网络防范的原理及模型
图3-2 P2DR安全模型示意图
3.2 网络防范的原理及模型
据 P2DR 模型的理论，安全策略是整个网 络安全的依据。不同的网络需要不同的策略，在 制定策略以前，需要全面考虑局域网络中如何在 网络层实现安全性，如何控制远程用户访问的安 全性，在广域网上的数据传输实现安全加密传输 和用户的认证等等问题。对这些问题做出详细回 答，并确定相应的防护手段和实施办法，就是针 对企业网络的一份完整的安全策略。策略一旦制 订，应当作为整个企业安全行为的准则。
3.1 网络攻击的整体模型
弱点信息挖掘分析：从收集到的目标信息 中提取可使用的漏洞信息。包括系统或应用服 务软件漏洞、主机信任关系漏洞、目标网络使 用者漏洞、通信协议漏洞、网络业务系统漏洞 等。 目标使用权限获取：获取目标系统的普通 或特权账户权限。获得系统管理员口令、利用 系统管理上的漏洞获取控制权（如缓冲区溢 出）、令系统运行特洛伊木马、窃听帐号口令 输入等。
3.3 网络攻防实训平台的建设总体方案
Web服务器 Web服务器 交换机 Email服务器 文件服务器 身份认证服务器 软件IDS 主机 主机 主机 主机 主机 主机 主机 主机 交换机 交换机 主机 防火墙 路由器 模拟 互联网 防火墙 路由器 身份认证服务器 硬件IDS 主机 交换机 Email服务器 文件服务器
3.1 网络攻击的整体模型
攻击行为隐藏：隐蔽在目标系统中的操作， 防止攻击行为被发现。连接隐藏，冒充其他用户、 修改logname环境变量、修改utmp日志文件、 IP SPOOF；隐藏进程，使用重定向技术ps给 出的信息、利用木马代替ps程序；文件隐藏， 利用字符串相似麻痹管理员；利用操作系统可加 载模块特性，隐藏攻击时产生的信息等。
图3-5 实例二：对称网络攻防平台拓扑结构
3.2wenku.baidu.com网络防范的原理及模型
通过对网络中的安全漏洞及可能受到的威 胁等内容进行评估，获取安全风险的客观数 据，为信息安全方案制定提供依据。网络安 全具有相对性，其防范策略是动态的，因而， 网络安全防范模型是一个不断重复改进的循 环过程。
3.3 网络攻防实训平台的建设总体方案
在攻防的实际操作训练或学习实验中， 为了避免互联网上的实体成为被攻击对像， 一般需要在局域网上建设专门的网络攻防 实训平台。网络攻防实训平台是通过构建 适合攻防双方训练，能满足基本的攻防操 作要求的软硬件平台。
好网络的防范工作。网络防范分为积极防范和
消极防范，下面介绍这两种防范的原理：
积极安全防范的原理
积极安全防范的原理是：对正常的网络行为 建立模型，把所有通过安全设备的网络数据拿来 和保存在模型内的正常模式相匹配，如果不是这 个正常范围以内，那么就认为是攻击行为，对其 做出处理。这样做的最大好处是可以阻挡未知攻 击，如攻击者才发现的不为人所知的攻击方式。 对这种方式来说，建立一个安全的、有效的模型 就可以对各种攻击做出反应了。
3.1 网络攻击的整体模型
攻击痕迹清除：清除攻击痕迹，逃避攻击取 证。篡改日志文件和审计信息；改变系统时间， 造成日志混乱；删除或停止审计服务；干扰入侵 检测系统的运行；修改完整性检测标签等。
3.1 网络攻击的整体模型
典型的网络攻击的一般流程：
确定目标 信息收集 漏洞挖掘
攻击网络
攻击主机
留下后门 清除日志 结束攻击
3.3 网络攻防实训平台的建设总体方案
Web服务器 主机 主机 主机 主机 路由器 模拟互联网 防火墙 路由器 交换机 Email服务器 文件服务器 身份认证服务器 防火墙 交换机 交换机 IDS 主机 主机 主机 主机 主机 主机
主机 主机 主机
3.3 网络攻防实训平台的建设总体方案
实例二为非对称拓扑结构，左边为甲方，右 边为乙方，甲乙双方可同时进行攻击与防御。双 方通过模拟局域网分开，攻击的目标是要攻击对 方非军事区内的服务器，包括Web服务器、 Email服务器、文件服务器、身份认证服务器和 入侵检测系统等，同时各方有一部分主机直接接 入对方的主机网段的交换机，目的同样是为实施 嗅探提供可操作环境和发挥IDS的作用。各方的 主机不经过防火墙可为相互攻击提供可靠通道。
第一篇 网络攻击与防范概论
第 3章 网络攻击与防范模型
第一篇 网络攻击与防范概论
对正常的网络行为建立模型，把所有通过 安全设备的网络数据拿来和保存在模型内的 正常模式相匹配，如果不是这个正常范围以 内，那么就认为是攻击行为，对其做出处理。 这样做的最大好处是可以阻挡未知攻击。
第3章 网络攻击与防范模型
图3-1典型的网络攻击的一般流程
3.1 网络攻击的整体模型
攻击过程中的关键阶段是：弱点挖掘和权 获取限； 攻击成功的关键条件之一是：目标系统存 在安全漏洞或弱点； 网络攻击难点是：目标使用权的获得。能 否成功攻击一个系统取决于多方面的因素。
3.2 网络防范的原理及模型
面对当前的如此猖獗的黑客攻击，必须做
制定安全策略
P
系统防护 A
实时响应 R
实时检测 D
图3-3 APPDRR动态安全模型
3.2 网络防范的原理及模型
事实上，对于一个整体网络的安全问题， 无论是P2DR还是APPDRR，都将如何定位 网络中的安全问题放在最为关键的地方。这 两种模型都提到了一个非常重要的环节—— P2DR中的检测环节和APPDRR中的风险分 析，在这两种安全模型中，这个环节并非仅 仅指的是狭义的检测手段，而是一个复杂的 分析与评估的过程。
3.1 网络攻击的整体模型
攻击身份和位置隐藏：隐藏网络攻击者的身 份及主机位置。可以通过利用被入侵的主机（肉 鸡）作跳板；利用电话转接技术；盗用他人帐号 上网；通过免费网关代理；伪造IP地址；假冒用 户帐号等技术实现。 目标系统信息收集：确定攻击目标并收集目 标系统的有关信息，目标系统信息收集包括：系 统的一般信息（软硬件平台、用户、服务、应用 等）；系统及服务的管理、配置情况；系统口令 安全性；系统提供服务的安全性等信息。
3.1 网络攻击的整体模型 3.2 网络防范的原理及模型 3.3 网络攻防实训平台的建设总体方案
3.1 网络攻击的整体模型
网络攻击模型将攻击过程划分为以下阶段： 1.攻击身份和位置隐藏； 2.目标系统信息收集； 3.弱点信息挖掘分析； 4.目标使用权限获取； 5.攻击行为隐藏； 6.攻击实施； 7.开辟后门； 8.攻击痕迹清除。
积极安全防范的原理
例如，包过滤路由器对所接收的每个数据包 做允许拒绝的决定。路由器审查每个数据报以便 确定其是否与某一条包过滤规则匹配。管理员可 以配置基于网络地址、端口和协议的允许访问的 规则，只要不是这些允许的访问，都禁止访问。 入侵检测分:误用检测和异常检测
消极安全防范的原理
消极安全防范的原理是：以已经发现的攻击 方式，经过专家分析后给出其特征进而来构建攻 击特征集，然后在网络数据中寻找与之匹配的行 为，从而起到发现或阻挡的作用。它的缺点是使 用被动安全防范体系，不能对未被发现的攻击方 式做出反应。
3.2 网络防范的原理及模型
为实现整体网络安全的工作目标， 有两种流行的网络安全模型 （1）P2DR模型 （2）APPDRR模型。
3.2 网络防范的原理及模型
P2DR模型是动态安全模型(可适应网络 安全模型)的代表性模型。 在整体的安全策略的控制和指导下，在综 合运用防护工具（如防火墙、操作系统身份 认证、加密等手段）的同时，利用检测工具 （如漏洞评估、入侵检测等系统）了解和评 估系统的安全状态，通过适当的反应将系统 调整到“最安全”和“风险最低”的状态。 模型如下：
3.3 网络攻防实训平台的建设总体方案
建立网络攻防平台需要考虑以下几个 方面： (1) 经济实用性原则 (2) 可拓展性原则
(3) 整体性原则
3.3 网络攻防实训平台的建设总体方案
以下以网络攻防实训平台的网络拓扑图为 例进行说明。实例一为非对称拓扑结构，左边 为攻方，右边为防方。攻防双方通过模拟局域 网分开，攻方的目标是要攻击防方非军事区内 的服务器，包括Web服务器、Email服务器、 文件服务器、身份认证服务器和入侵检测系统 等。特别说明的是，攻方有一部分主机直接接 入防方的主机网段的交换机，这样设计的目的 主要是为实施嗅探提供可操作环境，同时也可 以发挥防方IDS的作用。
3.2 网络防范的原理及模型
为更好实现网络安全，应两种防范原理结 合使用。网络防范的目的就是实现网络安全目 标，网络安全的工作目标通俗地说就是下面的 “六不” 1.“进不来”——访问控制机制。 2.“拿不走”——授权机制。 3.“看不懂”——加密机制。 4.“改不了”——数据完整性机制。 5.“逃不掉”——审计、监控、签名机制。 6.“打不跨”——数据备份与灾难恢复机制。
3.1 网络攻击的整体模型
攻击实施：实施攻击或者以目标系统为跳 板向其他系统发起新的攻击。攻击其他网络和 受信任的系统；修改或删除信息；窃听敏感数 据；停止网络服务；下载敏感数据；删除用户 帐号；修改数据记录。 开辟后门：在目标系统中开辟后门，方便以 后入侵。放宽文件许可权；重新开放不安全服 务，如TFTP等；修改系统配置；替换系统共享 库文件；修改系统源代码、安装木马；安装嗅 探器；建立隐蔽通信信道等。
3.2 网络防范的原理及模型
APPDRR模型则包括以下环节： 网络安全=风险分析（A） +制定安全策略（P） + 系统防护（P） +实时监测（D） +实时响应（R） +灾难恢复（R） 通过对以上APPDRR的6个元素的整合， 形成一套整体的网络安全结构。
3.2 网络防范的原理及模型
风险分析 A
灾难恢复 R