网络安全 - 概述
在这个现代时代，组织非常依赖计算机网络以高效和高效的方式在整个组织内共享信息。组织计算机网络现在变得越来越大，无处不在。假设每个员工都有一个专用的工作站，那么一家大型公司将在网络上拥有几千个工作站和许多服务器。
这些工作站可能不是集中管理的，也没有外围保护。它们可能有各种操作系统、硬件、软件和协议，用户的网络意识水平也不同。现在想象一下，公司网络上的数千个工作站直接连接到互联网。这种不安全的网络成为攻击的目标，它包含有价值的信息并显示漏洞。
在本章中，我们描述了网络的主要漏洞和网络安全的重要性。在后续章节中，我们将讨论实现相同目标的方法。
物理网络
网络定义为两个或多个计算设备连接在一起以有效共享资源。此外，将两个或多个网络连接在一起称为互联网络。因此，互联网只是一个互联网络——一个互连网络的集合。
对于设置内部网络，组织有多种选择。它可以使用有线网络或无线网络连接所有工作站。如今，组织大多使用有线和无线网络的组合。
有线和无线网络
在有线网络中，设备使用电缆相互连接。通常，有线网络基于以太网协议，其中设备使用非屏蔽双绞线 (UTP) 电缆连接到不同的交换机。这些交换机进一步连接到网络路由器以访问互联网。
在无线网络中，设备通过无线电传输连接到接入点。接入点进一步通过电缆连接到交换机/路由器以进行外部网络访问。
无线网络因其提供的移动性而广受欢迎。移动设备无需绑定到电缆，可以在无线网络范围内自由漫游。这确保了高效的信息共享并提高了生产力。
漏洞和攻击
有线和无线网络中都存在的常见漏洞是"未经授权访问"网络。攻击者可以通过不安全的集线器/交换机端口将其设备连接到网络。在这方面，无线网络被认为不如有线网络安全，因为无线网络无需任何物理连接即可轻松访问。
访问后，攻击者可以利用此漏洞发起攻击，例如−
嗅探数据包数据以窃取有价值的信息。
通过向网络介质发送虚假数据包，拒绝向网络上的合法用户提供服务。
伪造合法主机的物理身份 (MAC)，然后窃取数据或进一步发起"中间人"攻击。
网络协议
网络协议是一组管理网络上连接的设备之间通信的规则。它们包括建立连接的机制，以及发送和接收消息的数据打包格式规则。
已经开发了几种计算机网络协议，每种协议都用于特定目的。流行且广泛使用的协议是 TCP/IP，以及相关的高级和低级协议。
TCP/IP 协议
传输控制协议 (TCP) 和 Internet 协议 (IP) 是两种不同的计算机网络协议，大多一起使用。由于它们的流行和广泛采用，它们内置于所有联网设备的操作系统中。
IP 对应于 OSI 中的网络层（第 3 层），而 TCP 对应于传输层（第 4 层）。TCP/IP 适用于网络通信，其中 TCP 传输用于跨 IP 网络传递数据。
TCP/IP 协议通常与其他协议一起使用，例如应用层的 HTTP、FTP、SSH 和数据链路/物理层的以太网。
TCP/IP 协议套件于 1980 年创建，是一种网络互联解决方案，很少关注安全方面。
它是为有限信任网络中的通信而开发的。然而，一段时间后，该协议成为不安全互联网通信的事实标准。
TCP/IP 协议套件的一些常见安全漏洞包括 −
HTTP 是 TCP/IP 套件中的应用层协议，用于从 Web 服务器传输组成网页的文件。这些传输以纯文本形式完成，入侵者可以轻松读取服务器和客户端之间交换的数据包。
另一个 HTTP 漏洞是在会话初始化期间客户端和 Web 服务器之间的弱身份验证。此漏洞可导致会话劫持攻击，攻击者可窃取合法用户的 HTTP 会话。
TCP 协议漏洞是建立连接的三次握手。攻击者可发起拒绝服务攻击"SYN 泛洪"来利用此漏洞。攻击者通过不完成握手来建立大量半开会话。这会导致服务器过载并最终崩溃。
IP 层容易受到许多漏洞的影响。通过修改 IP 协议头，攻击者可发起 IP 欺骗攻击。
除上述漏洞外，TCP/IP 协议系列在设计和实现中还存在许多其他安全漏洞。
顺便说一句，在基于 TCP/IP 的网络通信中，如果一层被黑客入侵，其他层不会意识到黑客入侵，整个通信都会受到损害。因此，需要在每一层都采用安全控制措施，以确保万无一失的安全。
DNS 协议
域名系统 (DNS) 用于将主机域名解析为 IP 地址。网络用户在浏览互联网时主要依靠 DNS 功能，方法是在 Web 浏览器中输入 URL。
在对 DNS 的攻击中，攻击者的目的是修改合法的 DNS 记录，使其解析为错误的 IP 地址。它可以将该 IP 的所有流量导向错误的计算机。攻击者可以利用 DNS 协议漏洞或破坏 DNS 服务器以实施攻击。
DNS 缓存中毒是一种利用 DNS 协议中发现的漏洞的攻击。攻击者可以通过伪造对解析器发送给权威服务器的递归 DNS 查询的响应来毒害缓存。一旦 DNS 解析器的缓存被毒害，主机将被定向到恶意网站，并可能通过与该网站的通信泄露凭据信息。
ICMP 协议
Internet 控制管理协议 (ICMP) 是 TCP/IP 网络的基本网络管理协议。它用于发送有关联网设备状态的错误和控制消息。
ICMP 是 IP 网络实现不可或缺的一部分，因此存在于每个网络设置中。ICMP 有其自身的漏洞，可能被滥用来对网络发起攻击。
由于 ICMP 漏洞，网络上可能发生的常见攻击有 −
ICMP 允许攻击者进行网络侦察以确定网络拓扑和进入网络的路径。 ICMP 扫描涉及发现整个目标网络中所有活动的主机 IP 地址。
跟踪路由是一种流行的 ICMP 实用程序，用于通过实时描述从客户端到远程主机的路径来映射目标网络。
攻击者可以利用 ICMP 漏洞发起拒绝服务攻击。此攻击涉及向目标设备发送超过 65,535 字节的 IPMP ping 数据包。目标计算机无法正确处理此数据包，并可能导致操作系统崩溃。
其他协议（如 ARP、DHCP、SMTP 等）也存在漏洞，攻击者可以利用这些漏洞来危害网络安全。我们将在后面的章节中讨论其中一些漏洞。
在协议设计和实施过程中对安全方面最不关心的问题已成为威胁网络安全的主要原因。
网络安全的目标
如前面章节所述，网络中存在大量漏洞。因此，在传输过程中，数据极易受到攻击。攻击者可以瞄准通信通道，获取数据，并读取数据或重新插入虚假消息以实现其邪恶目的。
网络安全不仅关注通信链两端计算机的安全；但它旨在确保整个网络的安全。
网络安全需要保护网络和数据的可用性、可靠性、完整性和安全性。有效的网络安全可以阻止各种威胁进入或传播到网络。
网络安全的主要目标是机密性、完整性和可用性。网络安全的这三大支柱通常表示为CIA 三角。
机密性 − 机密性的作用是保护宝贵的业务数据不被未经授权的人员获取。网络安全的机密性部分确保数据仅供预期和授权人员使用。
完整性 − 此目标意味着维护和确保数据的准确性和一致性。完整性的作用是确保数据可靠且不会被未经授权的人员更改。
可用性 − 网络安全中的可用性功能是确保合法用户在需要时可以持续获得数据、网络资源/服务。
实现网络安全
确保网络安全可能看起来非常简单。要实现的目标似乎很直接。但实际上，实现这些目标的机制非常复杂，理解它们需要合理的推理。
国际电信联盟 (ITU) 在其关于安全架构 X.800 的建议中定义了某些机制，以实现网络安全方法的标准化。其中一些机制是 −
加密 − 此机制通过将数据转换为未经授权人员无法读取的形式来提供数据机密性服务。此机制使用带有密钥的加密解密算法。
数字签名 − 此机制是电子数据中普通签名的电子等价物。它提供了数据的真实性。
访问控制 − 此机制用于提供访问控制服务。这些机制可以使用实体的标识和身份验证来确定和执行实体的访问权限。
在开发和确定了实现网络安全的各种安全机制后，必须决定在何处应用它们；无论是物理上（在什么位置）还是逻辑上（在 TCP/IP 等架构的哪一层）。
网络层的安全机制
已经开发了几种安全机制，它们可以在 OSI 网络层模型的特定层上开发。
应用层的安全 − 此层使用的安全措施是特定于应用程序的。不同类型的应用程序需要单独的安全措施。为了确保应用层安全，需要修改应用程序。
设计一个加密可靠的应用协议被认为是非常困难的，而正确实施它则更具挑战性。因此，保护网络通信的应用层安全机制最好是已经使用了一段时间的基于标准的解决方案。
应用层安全协议的一个示例是安全多用途互联网邮件扩展 (S/MIME)，它通常用于加密电子邮件。DNSSEC 是此层的另一个协议，用于安全交换 DNS 查询消息。
传输层的安全性 − 此层的安全措施可用于保护两个主机之间单个通信会话中的数据。传输层安全协议最常见的用途是保护 HTTP 和 FTP 会话流量。传输层安全 (TLS) 和安全套接字层 (SSL) 是用于此目的的最常见协议。
网络层 − 此层的安全措施可应用于所有应用程序；因此，它们不是特定于应用程序的。两个主机或网络之间的所有网络通信都可以在此层受到保护，而无需修改任何应用程序。在某些环境中，由于向单个应用程序添加控件的困难，网络层安全协议（如 Internet 协议安全 (IPsec)）提供了比传输层或应用程序层控件更好的解决方案。但是，此层的安全协议提供了某些应用程序可能需要的较少通信灵活性。
顺便说一句，设计为在较高层运行的安全机制无法为较低层的数据提供保护，因为较低层执行的功能是较高层不知道的。因此，可能需要部署多种安全机制来增强网络安全性。
在本教程的后续章节中，我们将讨论在 OSI 网络架构的不同层上采用的安全机制，以实现网络安全。
