網(wǎng)絡(luò)安全基礎(chǔ)之網(wǎng)絡(luò)協(xié)議與安全威脅的關(guān)系介紹-網(wǎng)絡(luò)運維
2020-05-29 20:52 作者:admin
網(wǎng)絡(luò)安全基礎(chǔ)之網(wǎng)絡(luò)協(xié)議與安全威脅的關(guān)系介紹-網(wǎng)絡(luò)運維
網(wǎng)絡(luò)運維 保姆級的IT外包,2小時內(nèi)上門,專業(yè)工程師7*24h隨叫隨到,提供整體的IT解決方案,兼職網(wǎng)管,桌面運維,it外包
網(wǎng)絡(luò)安全基礎(chǔ)之網(wǎng)絡(luò)協(xié)議與安全威脅介紹,首先我們要先了解一下網(wǎng)絡(luò)基礎(chǔ)究竟是什么,接下來的文章中小編將會從osi七層模型、TCP/IP協(xié)議、OSI模型與TCP/IP協(xié)議的對應、數(shù)據(jù)傳輸?shù)膮f(xié)議單元以及數(shù)據(jù)封包和解包過程等方面進行詳細的介紹
下面由網(wǎng)絡(luò)運維工程師為您講解專業(yè)的解決方案
OSI(OpenSystem Interconnect),即開放式系統(tǒng)互聯(lián)。 一般都叫OSI參考模型,是ISO(國際標準化組織)組織在1985年研究的網(wǎng)絡(luò)互聯(lián)模型。
網(wǎng)絡(luò)協(xié)議的簡介:
定義:協(xié)議是網(wǎng)絡(luò)中計算機或設(shè)備之間進行通信的一系列規(guī)則集合。
什么是規(guī)則?
交通中的紅黃綠燈:紅燈停,綠燈行就是規(guī)則。
OSI七層模型
專業(yè):IT駐場服務 網(wǎng)絡(luò)機房綜合布線 計算機網(wǎng)絡(luò)安全維護 解決方案
OSI(OpenSystem Interconnect),即開放式系統(tǒng)互聯(lián)。 一般都叫OSI參考模型,是ISO(國際標準化組織)組織在1985年研究的網(wǎng)絡(luò)互聯(lián)模型。
(1)物理層(Physical Layer)
物理層是OSI參考模型的最低層,它利用傳輸介質(zhì)為數(shù)據(jù)鏈路層提供物理連接。它主要關(guān)心的是通過物理鏈路從一個節(jié)點向另一個節(jié)點傳送比特流,物理鏈路可能是銅線、衛(wèi)星、微波或其他的通訊媒介。
(2)數(shù)據(jù)鏈路層(Data Link Layer)
數(shù)據(jù)鏈路層是為網(wǎng)絡(luò)層提供服務的,解決兩個相鄰結(jié)點之間的通信問題,傳送的協(xié)議數(shù)據(jù)單元稱為數(shù)據(jù)幀。
(3)網(wǎng)絡(luò)層(Network Layer)
網(wǎng)絡(luò)層是為傳輸層提供服務的,傳送的協(xié)議數(shù)據(jù)單元稱為數(shù)據(jù)包或分組。
(4)傳輸層(Transport Layer)
傳輸層的作用是為上層協(xié)議提供端到端的可靠和透明的數(shù)據(jù)傳輸服務,包括處理差錯控制和流量控制等問題。
傳輸層傳送的協(xié)議數(shù)據(jù)單元稱為段或報文。
(5)會話層(Session Layer)
會話層主要功能是管理和協(xié)調(diào)不同主機上各種進程之間的通信(對話),即負責建立、管理和終止應用程序之間的會話。
(6)表示層(Presentation Layer)
表示層處理流經(jīng)結(jié)點的數(shù)據(jù)編碼的表示方式問題,以保證一個系統(tǒng)應用層發(fā)出的信息可被另一系統(tǒng)的應用層讀出。如果必要,該層可提供一種標準表示形式,用于將計算機內(nèi)部的多種數(shù)據(jù)表示格式轉(zhuǎn)換成網(wǎng)絡(luò)通信中采用的標準表示形式。數(shù)據(jù)壓縮和加密也是表示層可提供的轉(zhuǎn)換功能之一。
(7)應用層(Application Layer)
應用層是OSI參考模型的最高層,是用戶與網(wǎng)絡(luò)的接口。該層通過應用程序來完成網(wǎng)絡(luò)用戶的應用需求,如文件傳輸、收發(fā)電子郵件等。
TCP/IP協(xié)議
IT運維 我們選擇北京艾銻無限
譯名為傳輸控制協(xié)議/因特網(wǎng)互聯(lián)協(xié)議,又名網(wǎng)絡(luò)通訊協(xié)議,是Internet最基本的協(xié)議、Internet國際互聯(lián)網(wǎng)絡(luò)的基礎(chǔ),由網(wǎng)絡(luò)層的IP協(xié)議和傳輸層的TCP協(xié)議組成。
TCP/IP定義了電子設(shè)備如何連入因特網(wǎng),以及數(shù)據(jù)如何在它們之間傳輸?shù)臉藴省f(xié)議采用了4層的層級結(jié)構(gòu),每一層都呼叫它的下一層所提供的協(xié)議來完成自己的需求。通俗而言:TCP負責發(fā)現(xiàn)傳輸?shù)膯栴},一有問題就發(fā)出信號,要求重新傳輸,直到所有數(shù)據(jù)安全正確地傳輸?shù)侥康牡亍6鳬P是給因特網(wǎng)的每一臺聯(lián)網(wǎng)設(shè)備規(guī)定一個地址。
OSI模型與TCP/IP協(xié)議的對應
專業(yè):管理企業(yè)網(wǎng)絡(luò) 網(wǎng)站安全運維 機房綜合布線 無線覆蓋解決方案
左邊是OSI模型,右邊是TCPIP協(xié)議棧分層模型,可以看得出,兩個模型有很清晰的對應關(guān)系。
兩個模型的下四層是一一對應的,而OSI模型的上三層對應到TCPIP協(xié)議的應用層,所以在談論“應用層”概念的時候,要注意討論的是哪個模型。
數(shù)據(jù)傳輸?shù)膮f(xié)議單元
依據(jù)標準的OSI術(shù)語,每層間對應的“協(xié)議數(shù)據(jù)單元”(Protocol Data Unit,簡稱PDU)的名稱都是不同的
物理層為“位”(bit),即平常講的二進制數(shù)位流,在物理傳輸介質(zhì)上以二進制數(shù)字信號傳輸(簡單的如高電平代表“1”,底電平代表“0”)。
物理層的傳輸介質(zhì)包括:
同軸電纜(coaxical cable):細纜和粗纜,目前已經(jīng)不常用;
雙絞線(twistedpair):UTP(Unshielded Twisted Paired , 非屏蔽雙絞線),這種即平時常用的網(wǎng)線;STP (Shielded Twisted Pair,屏蔽雙絞線),這種線適用于電磁干擾惡劣的工業(yè)環(huán)境;(這兩種線使用銅線做介質(zhì),到用戶家雖然看起來就一兩根,但在運營商的管線里是幾千條幾百條線在一起的大對線纜,經(jīng)常是偷銅者的目標)
光纖(OpticalFiber):使用光信號來傳播數(shù)字信號的介質(zhì),坐火車到處看到路邊寫的大標語:“光纖沒銅,挖了沒用”就是指這個;
無線電波(wirelessradio);
數(shù)據(jù)鏈路層PDU名稱叫數(shù)據(jù)幀“Frame”,例如幀中繼技術(shù)名稱叫Frame Relay ,其數(shù)據(jù)單元名字叫“幀”,對以太網(wǎng)來說是以太幀。
網(wǎng)絡(luò)層PDU的名稱叫數(shù)據(jù)包Packet, 因為IP協(xié)議在這一層,所以互聯(lián)網(wǎng)上的數(shù)據(jù)一般被稱為IP數(shù)據(jù)包。
傳輸層PDU的名稱叫數(shù)據(jù)段Segment ,這個層面最著名的是傳輸控制協(xié)議TCP和用戶數(shù)據(jù)報協(xié)議UDP。
會話層Session 的PDU叫SPDU,會晤協(xié)議數(shù)據(jù)單元;
表示層Presentation的PDU叫PPDU,表示協(xié)議數(shù)據(jù)單元;
應用層Application的PDU叫APDU,應用協(xié)議數(shù)據(jù)單元;
數(shù)據(jù)封包和解包過程
專業(yè):IT機房建設(shè) 辦公大樓網(wǎng)絡(luò)布線 IT硬件設(shè)備維護外包 運維服務方案
用戶數(shù)據(jù)報文的一個封裝過程,應用程序的數(shù)據(jù)使用TCP協(xié)議進行傳輸,用戶數(shù)據(jù)被切割成合適的數(shù)據(jù)片段后,被加上網(wǎng)絡(luò)層協(xié)議IP的首部字節(jié),成為IP數(shù)據(jù)包,然后被加上數(shù)據(jù)鏈路層的以太網(wǎng)首部,成為以太網(wǎng)數(shù)據(jù)幀,再由以太網(wǎng)驅(qū)動程序?qū)D(zhuǎn)化為二進制位流,在物理層面?zhèn)魉汀?br />
數(shù)據(jù)包傳輸過程
上圖是兩個主機通過一臺交換機和一臺路由器通信的示意圖。二層交換機僅跨越OSI模型的物理層和數(shù)據(jù)鏈路層,所以稱為二層交換機,僅為所有連接的主機提供數(shù)據(jù)鏈路層間的互通功能。
路由器是跨越物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層的設(shè)備。
最簡單的路由器的概念是一臺裝有兩塊網(wǎng)卡的主機,主機內(nèi)部安裝的路由軟件可以根據(jù)IP地址在兩塊網(wǎng)卡間轉(zhuǎn)發(fā)IP數(shù)據(jù)包,兩塊網(wǎng)卡各有一個IP地址,具有兩個物理接口的路由器同這個道理是類似的。
由上圖圖四可以看到,IP地址的概念是屬于IP協(xié)議,IP協(xié)議是屬于OSI模型第三層網(wǎng)絡(luò)層的,所有跨越網(wǎng)絡(luò)層的設(shè)備都需要有IP地址。最左邊的主機同路由器的左側(cè)接口各有一個IP地址,使用IP協(xié)議通信;最右邊的服務器和路由器右側(cè)接口各有一個IP地址,使用IP協(xié)議通信;路由器的不同接口的IP地址是屬于不同的IP子網(wǎng)的,路由器就是在不同IP子網(wǎng)間傳送IP數(shù)據(jù)包的設(shè)備,路由是根據(jù)IP數(shù)據(jù)包里的地址選擇正確傳遞路徑的過程。
TCP/IP 四層模型
專業(yè):IT機房建設(shè) 辦公大樓網(wǎng)絡(luò)布線 IT硬件設(shè)備維護外包 運維服務方案
ARP協(xié)議:
地址解析協(xié)議,即ARP(Address Resolution Protocol),是根據(jù)IP地址獲取物理地址的一個TCP/IP協(xié)議。
原理:
主機發(fā)送信息時將包含目標IP地址的ARP請求廣播到網(wǎng)絡(luò)上的所有主機,并接收返回消息,以此確定目標的物理地址;收到返回消息后將該IP地址和物理地址存入本機ARP緩存中并保留一定時間,下次請求時直接查詢ARP緩存以節(jié)約資源。地址解析協(xié)議是建立在網(wǎng)絡(luò)中各個主機互相信任的基礎(chǔ)上的,網(wǎng)絡(luò)上的主機可以自主發(fā)送ARP應答消息,其他主機收到應答報文時不會檢測該報文的真實性就會將其記入本機ARP緩存。
網(wǎng)絡(luò)接口層的安全威脅
艾銻無限專業(yè):IT外包、企業(yè)外包、網(wǎng)站外包、中小企業(yè)云服務平臺等北京IT外包服務
在網(wǎng)絡(luò)中,flooding是指從任何節(jié)點通過一個路由器發(fā)送的信息包會被發(fā)送給與該路由器相連的所有其他節(jié)點(除了發(fā)送信息包出來的那個節(jié)點)。
在典型的MAC flooding中,攻擊者能讓目標網(wǎng)絡(luò)中的交換機不斷泛洪大量不同源MAC地址的數(shù)據(jù)包,導致交換機內(nèi)存不足以存放正確的MAC地址和物理端口號相對應的關(guān)系表。如果攻擊成功,交換機會進入failopen模式,所有新進入交換機的數(shù)據(jù)包會不經(jīng)過交換機處理直接廣播到所有的端口(類似HUB集線器的功能)。攻擊者能進一步利用嗅探工具(例如Wireshark)對網(wǎng)絡(luò)內(nèi)所有用戶的信息進行捕獲,從而能得到機密信息或者各種業(yè)務敏感信息。
損壞:自然災害、動物破壞、老化、誤操作
干擾:大功率電器/電源線路/電磁輻射
電磁泄漏:傳輸線路電磁泄漏
搭線竊聽:物理搭線
欺騙:ARP欺騙
嗅探:常見二層協(xié)議是明文通信的(以太、arp等)
拒絕服務:macflooding,arpflooding等
互聯(lián)網(wǎng)網(wǎng)絡(luò)層
譯名為傳輸控制協(xié)議/因特網(wǎng)互聯(lián)協(xié)議,又名網(wǎng)絡(luò)通訊協(xié)議,是Internet最基本的協(xié)議、Internet國際互聯(lián)網(wǎng)絡(luò)的基礎(chǔ),由網(wǎng)絡(luò)層的IP協(xié)議和傳輸層的TCP協(xié)議組成。
TCP/IP定義了電子設(shè)備如何連入因特網(wǎng),以及數(shù)據(jù)如何在它們之間傳輸?shù)臉藴省f(xié)議采用了4層的層級結(jié)構(gòu),每一層都呼叫它的下一層所提供的協(xié)議來完成自己的需求。通俗而言:TCP負責發(fā)現(xiàn)傳輸?shù)膯栴},一有問題就發(fā)出信號,要求重新傳輸,直到所有數(shù)據(jù)安全正確地傳輸?shù)侥康牡亍6鳬P是給因特網(wǎng)的每一臺聯(lián)網(wǎng)設(shè)備規(guī)定一個地址。
IP協(xié)議簡介:
IP協(xié)議是用于將多個包交換網(wǎng)絡(luò)連接起來的,它在源地址和目的地址之間傳送一種稱之為數(shù)據(jù)包的東西,它還提供對數(shù)據(jù)大小的重新組裝功能,以適應不同網(wǎng)絡(luò)對包大小的要求。
IP實現(xiàn)兩個基本功能:尋址和分段。IP可以根據(jù)數(shù)據(jù)包包頭中包括的目的地址將數(shù)據(jù)報傳送到目的地址,在此過程中IP負責選擇傳送的道路,這種選擇道路稱為路由功能。如果有些網(wǎng)絡(luò)內(nèi)只能傳送小數(shù)據(jù)報,IP可以將數(shù)據(jù)報重新組裝并在報頭域內(nèi)注明。IP模塊中包括這些基本功能,這些模塊存在于網(wǎng)絡(luò)中的每臺主機和網(wǎng)關(guān)上,而且這些模塊(特別在網(wǎng)關(guān)上)有路由選擇和其它服務功能。對IP來說,數(shù)據(jù)報之間沒有什么聯(lián)系,對IP不好說什么連接或邏輯鏈路。
互聯(lián)網(wǎng)層網(wǎng)絡(luò)安全威脅
機房服務器維護 弱電布線工程 小公司IT外包 網(wǎng)絡(luò)運維方案 商場無線覆蓋
傳輸層
IP分片技術(shù)
以太網(wǎng)的MTU是1500,你可以用 netstat -i 命令查看這個值。如果IP層有數(shù)據(jù)包要傳,而且數(shù)據(jù)包的長度超過了MTU,那么IP層就要對數(shù)據(jù)包進行分片(fragmentation)操作,使每一片的長度都小于或等于MTU。我們假設(shè)要傳輸一個UDP數(shù)據(jù)包,以太網(wǎng)的MTU為1500字節(jié),一般IP首部為20字節(jié),UDP首部為8字節(jié),數(shù)據(jù)的凈荷(payload)部分預留是1500-20-8=1472字節(jié)。如果數(shù)據(jù)部分大于1472字節(jié),就會出現(xiàn)分片現(xiàn)象。
IP分片攻擊
如果有意發(fā)送總長度超過65535的IP碎片,一些老的系統(tǒng)內(nèi)核在處理的時候就會出現(xiàn)問題,導致崩潰或者拒絕服務。另外,如果分片之間偏移量經(jīng)過精心構(gòu)造,一些系統(tǒng)就無法處理,導致死機。所以說,漏洞的起因是出在重組算法上。pingo‘ death是利用ICMP協(xié)議的一種碎片攻擊。攻擊者發(fā)送一個長度超過65535的EchoRequest數(shù)據(jù)包,目標主機在重組分片的時候會造成事先分配的65535字節(jié)緩沖區(qū)溢出,系統(tǒng)通常會崩潰或掛起。ping不就是發(fā)送ICMPEcho Request數(shù)據(jù)包的嗎?讓我們嘗試攻擊一下吧!不管IP和ICMP首部長度了,數(shù)據(jù)長度反正是多多益善,就65535吧
機房服務器維護 弱電布線工程 小公司IT外包 網(wǎng)絡(luò)運維方案 商場無線覆蓋
IP數(shù)據(jù)包
數(shù)據(jù)包的結(jié)構(gòu):數(shù)據(jù)包的結(jié)構(gòu)非常復雜,不是三言兩語能夠說清的,在這里主要了解一下它的關(guān)鍵構(gòu)成就可以了,這對于理解TCP/IP協(xié)議的通信原理是非常重要的。數(shù)據(jù)包主要由“目的IP地址”、“源IP地址”、“凈載數(shù)據(jù)”等部分構(gòu)成,包括包頭和包體,包頭是固定長度,包體的長度不定,各字段長度固定,雙方的請求數(shù)據(jù)包和應答數(shù)據(jù)包的包頭結(jié)構(gòu)是一致的,不同的是包體的定義。數(shù)據(jù)包的結(jié)構(gòu)與我們平常寫信非常類似,目的IP地址是說明這個數(shù)據(jù)包是要發(fā)給誰的,相當于收信人地址;源IP地址是說明這個數(shù)據(jù)包是發(fā)自哪里的,相當于發(fā)信人地址;而凈載數(shù)據(jù)相當于信件的內(nèi)容。正是因為數(shù)據(jù)包具有這樣的結(jié)構(gòu),安裝了TCP/IP協(xié)議的計算機之間才能相互通信。我們在使用基于TCP/IP協(xié)議的網(wǎng)絡(luò)時,網(wǎng)絡(luò)中其實傳遞的就是數(shù)據(jù)包。理解數(shù)據(jù)包,對于網(wǎng)絡(luò)管理的網(wǎng)絡(luò)安全具有至關(guān)重要的意義。
我們可以用一個形象一些的例子對數(shù)據(jù)包的概念加以說明:我們在郵局郵寄產(chǎn)品時,雖然產(chǎn)品本身帶有自己的包裝盒,但是在郵寄的時候只用產(chǎn)品原包裝盒來包裝顯然是不行的。必須把內(nèi)裝產(chǎn)品的包裝盒放到一個郵局指定的專用紙箱里,這樣才能夠郵寄。這里,產(chǎn)品包裝盒相當于數(shù)據(jù)包,里面放著的產(chǎn)品相當于可用的數(shù)據(jù),而專用紙箱就相當于幀,且一個幀中只有一個數(shù)據(jù)包。“包”聽起來非常抽象,那么是不是不可見的呢?通過一定技術(shù)手段,是可以感知到數(shù)據(jù)包的存在的。 就是用數(shù)據(jù)包捕獲軟件Iris捕獲到的數(shù)據(jù)包的界面圖,在此,大家可以很清楚地看到捕獲到的數(shù)據(jù)包的MAC地址、IP地址、協(xié)議類型端口號等細節(jié)。通過分析這些數(shù)據(jù),網(wǎng)管員就可以知道網(wǎng)絡(luò)中到底有什么樣的數(shù)據(jù)包在活動了。
TCP/UDP協(xié)議
面向連接的TCP協(xié)議:
TCP(TransmissionControl Protocol,傳輸控制協(xié)議)是基于連接的協(xié)議,也就是說,在正式收發(fā)數(shù)據(jù)前,必須和對方建立可靠的連接。一個TCP連接必須要經(jīng)過三次“對話”才能建立起來,也就是所謂的”TCP的三次握手”。
面無連接的UDP協(xié)議:
UDP(UserData Protocol,用戶數(shù)據(jù)報協(xié)議)是與TCP相對應的協(xié)議。它是面向非連接的協(xié)議,它不與對方建立連接,而是直接就把數(shù)據(jù)包發(fā)送過去!
“面向連接”就是在正式通信前必須要與對方建立起連接。比如你給別人打電話,必須等線路接通了、對方拿起話筒才能相互通話。
TCP的三次握手:
其中的過程非常復雜,我們這里只做簡單、形象的介紹,你只要做到能夠理解這個過程即可。我們來看看這三次對話的簡單過程:主機A向主機B發(fā)出連接請求數(shù)據(jù)包:“我想給你發(fā)數(shù)據(jù),可以嗎?”,這是第一次對話;主機B向主機
A發(fā)送同意連接和要求同步(同步就是兩臺主機一個在發(fā)送,一個在接收,協(xié)調(diào)工作)的數(shù)據(jù)包:“可以,你什么時候發(fā)?”,這是第二次對話;主機A再發(fā)出一個數(shù)據(jù)包確認主機B的要求同步:“我現(xiàn)在就發(fā),你接著吧!”,這是第三次對話。三次“對話”的目的是使數(shù)據(jù)包的發(fā)送和接收同步,經(jīng)過三次“對話”之后,主機A才向主機B正式發(fā)送數(shù)據(jù)。
“面向非連接”就是在正式通信前不必與對方先建立連接,不管對方狀態(tài)就直接發(fā)送。與手機短信非常相似:你在發(fā)短信的時候,只需要輸入對方手機號就OK了。
TCP:FTPHTTP POP IMAP SMTP TELNET SSH
UDP
Q聊天,在線視頻RTSP,網(wǎng)絡(luò)語音電話VoIP
綜合布線弱電 企業(yè) IT服務桌面運維方案 北京自建機房 弱電施工公司
第一次握手:建立連接時,客戶端發(fā)送syn包(syn=j)到服務器,并進入SYN_SENT狀態(tài),等待服務器確認;SYN:同步序列編號(Synchronize Sequence Numbers)。第二次握手:服務器收到syn包,必須確認客戶的SYN(ack=j+1),同時自己也發(fā)送一個SYN包(syn=k),即SYN+ACK包,此時服務器進入SYN_RECV狀態(tài);第三次握手:客戶端收到服務器的SYN+ACK包,向服務器發(fā)送確認包ACK(ack=k+1),此包發(fā)送完畢,客戶端和服務器進入ESTABLISHED(TCP連接成功)狀態(tài),完成三次握手。完成三次握手,客戶端與服務器開始傳送數(shù)據(jù)。
傳輸層的安全威脅
在網(wǎng)絡(luò)中,flooding是指從任何節(jié)點通過一個路由器發(fā)送的信息包會被發(fā)送給與該路由器相連的所有其他節(jié)點(除了發(fā)送信息包出來的那個節(jié)點)。
在典型的MAC flooding中,攻擊者能讓目標網(wǎng)絡(luò)中的交換機不斷泛洪大量不同源MAC地址的數(shù)據(jù)包,導致交換機內(nèi)存不足以存放正確的MAC地址和物理端口號相對應的關(guān)系表。如果攻擊成功,交換機會進入failopen模式,所有新進入交換機的數(shù)據(jù)包會不經(jīng)過交換機處理直接廣播到所有的端口(類似HUB集線器的功能)。攻擊者能進一步利用嗅探工具(例如Wireshark)對網(wǎng)絡(luò)內(nèi)所有用戶的信息進行捕獲,從而能得到機密信息或者各種業(yè)務敏感信息。
拒絕服務:syn flood/udp flood/Smurf欺騙:TCP會話劫持竊聽:嗅探偽造:數(shù)據(jù)包偽造
應用層的安全威脅
北京IT運維 IT外包駐場 IT巡檢服務 辦公室設(shè)備維護
域名解析:DNS電子郵件:SMTP/POP3文件傳輸:FTP網(wǎng)頁瀏覽:HTTP……
拒絕服務:超長URL鏈接欺騙:跨站腳本、釣魚式攻擊、cookie欺騙竊聽:嗅探偽造:應用數(shù)據(jù)篡改暴力破解:應用認證口令暴力破解等……
以上文章由北京艾銻無限科技發(fā)展有限公司整理