网络攻防原理与技术 第3版 教案 第3讲 网络脆弱性分析.docx

内容

备注

《网络攻防原理与技术》课程教案

讲课题目：第三讲网络脆弱性分析

目的要求：了解影响网络安全的因素；掌握因特网易被攻击者利用的特性；掌握典型网络协议存在的安全问题。

重点难点：因特网易被攻击者利用的特性；典型网络协议的安全问题。

方法步骤：理论讲授。

器材保障：电脑、投影仪。

主要教学内容:

一、影响网络安全的因素

我们将所有影响网络正常运行的因素称之为网络安全威胁，从这个角度讲，影响网络安全的既包括环境和灾害因素，也包括人为因素和系统自身的因素。

多数网络安全事件是由于人员的疏忽、黑客的主动攻击造成的，此即为人为因素，包括：

（1）有意：人为主动的恶意攻击、违纪、违法和犯罪等。

（2）无意：工作疏忽造成失误（配置不当等），对网络系统造成不良影响。

系统自身因素是指网络中的计算机系统或网络设备因为自身的原因引发的网络安全风险，主要包括：

（1）计算机系统硬件系统的故障。

（2）各类计算机软件故障或安全缺陷，包括系统软件（如操作系统）、支撑软件（各种中间件、数据库管理系统等）和应用软件的故障或缺陷。

（3）网络和通信协议自身的缺陷。

二、计算机网络概述

（一）网络结构和组成

计算机网络由若干结点(node)和连接这些结点的链路(link)组成。网络中的结点主要包括两类：端系统和中间结点。

端系统(endsystem)通常是指网络边缘的结点，它不再仅仅是功能强大的计算机，还包括其他非传统计算机的数字设备，如智能手机、电视、汽车、家用电器、摄像机、传感设备等。可以将这些连接在网络上的计算机和非计算机设备统称为主机(host)。中间结点，主要包括集线器、交换机、路由器、自治系统、虚拟结点和代理等网络设备或组织。链路则可以分为源主机到目的主机间的端到端路径(path)和两个结点之间的跳(hop)。

网络和网络通过互联设备（路由器,router）互连起来，可以构成一个覆盖范围更大的网络，即互联网(internet或internetwork)，或称为网络的网络(networkofnetworks)，泛指由多个计算机网络互连而成的网络，这些网络之间的通信协议可以是任意的。

因特网(Internet)是全球最大的、开放的互联网，它采用TCP/IP协议族作为通信的规则，且其前身是美国的ARPANET。

网络体系结构

计算机网络之所以能够做到有条不紊地交换数据，是因为网络中的各方都遵守一些事先约定好的规则。这些规则明确规定了所交换的数据的格式以及有关的同步问题。这些为进行网络中的数据交换而建立的规则、标准或约定即称为网络协议。

在计算机网络中，将计算机网络的各层及其协议的集合，称为网络的体系结构(architecture)。比较著名的网络体系结构有：国际标准化组织(ISO)制定的开放系统互连参考模型(OSI/RM,OpenSystemInterconnection/ReferenceModel)，采用7层结构，IETF的TCP/IP体系结构等。以TCP/IP体系结构为基础的计算机网络得到广泛应用，成为事实上的网络标准。尽管OSI/RM从整体上来讲未被采用，但其制定的很多网络标准仍在今天的因特网得到了广泛应用。

在体系结构的框架下，网络协议可定义为：为网络中互相通信的对等实体间进行数据交换而建立的规则、标准或约定。实体(entity)是指任何可以发送或接收信息的硬件或软件进程。在许多情况下，实体就是一个特定的软件模块。位于不同子系统的同一层次内交互的实体，就构成了对等实体(peerentity)。网络协议是计算机网络不可缺少的组成部分，它保证实体在计算机网络中有条不紊地交换数据。

网络体系结构的脆弱性

因特网的设计初衷是在各科研机构间共享资源，因此尽可能地开放以方便计算机间的互联和资源共享，对安全性考虑较少。导致其存在一些固有的安全缺陷，即具有一些容易被攻击者利用的特性。

一般认为，因特网的以下几个特性易被攻击者利用，特别是在基于IPv4的因特网中。

(1)分组交换。

因特网是基于分组交换的，这使得它比采用电路交换的电信网更容易受攻击。所有用户共享所有资源，给予一个用户的服务会受到其他用户的影响。

(2)认证与可追踪性。

因特网没有认证机制，任何一个终端接入即可访问全网，这导致一个严重的问题就是IP欺骗：攻击者可以伪造数据包中的任何区域的内容然后发送数据包到Internet中。通过IP欺骗隐藏来源，攻击者就可以发起攻击而无须担心对由此造成的损失负责。

(3)尽力而为(best-effort)的服务策略。

因特网采取的是尽力而为策略，即只要是交给网络的数据，不管其是正常用户发送的正常数据，还是攻击者发送的攻击流量，网络都会尽可能地将其