1、2022-10-9网络攻防技术1本章主要内容9.1 网络安全模型 9.2 网络安全管理 9.3 网络防御技术的发展趋势 9.2 网络安全管理 APPDRR模型侧重于技术，对管理的因素并没有过多的强调。网络安全体系应该是融合了技术和管理在内的一个全面解决安全问题的体系结构。网络安全管理的内容主要包括：1.制定网络安全策略 2.进行网络安全风险评估 3.网络安全风险管理 4.确定管制目标和选定管理措施2022-10-9网络攻防技术29.2 网络安全管理 1.制定网络安全策略 在定义安全策略时，要使组织的安全策略和自身的性质一致。作为组织网络安全的最高方针，必须形成书面的文件，并对员工进行信息安全策
2、略的培训，对网络安全负有责任的人员要进行特殊的培训，使网络安全的策略落实到实际工作中。2022-10-9网络攻防技术39.2 网络安全管理 2.网络安全风险评估 网络安全风险评估的复杂度取决于风险的复杂程度和受保护资产的敏感程度，所采用的评估措施应与组织对信息资产的保护要求相一致。对网络进行风险评估时，不能有侥幸心理，必须将直接后果和潜在后果一并考虑，同时对已存在的或已规划的安全管理措施进行鉴定。2022-10-9网络攻防技术49.2 网络安全管理 3.网络安全风险管理 网络安全的风险很多，且不断发生变化，在进行风险评估之后，必须对风险进行管理。管理风险有以下四种手段：(1)降低风险。几乎所有
3、风险都可以被降低，甚至被消灭。(2)避免风险。通过采用不同的技术、更改操作流程等可能避免风险。(3)转嫁风险。一般用于那些低概率、但一旦风险发生时会对组织单位有重大影响的风险。(4)接受风险。采取了降低风险和避免风险的措施后，出于实际和经济的原因，只要组织进行运营，就必然存在并必须接受的风险。2022-10-9网络攻防技术59.2 网络安全管理 4.选择安全管理措施 安全管理包括监视网络危险情况，对危险进行隔离，并把危险控制在最小的范围内；身份认证、权限设置；对资源和用户的动态审计；对违规事件进行全面记录，及时进行分析和审计；口令管理，对无权操作人员进行控制；密钥管理，设置密钥的生命期、密钥备
4、份等管理功能；冗余备份，提高关键数据和服务的可靠性。2022-10-9网络攻防技术62022-10-9网络攻防技术7本章主要内容9.1 网络安全模型 9.2 网络安全管理 9.3 网络防御技术的发展趋势 9.3 网络防御技术的发展趋势 现有的网络安全防御体系综合采用防火墙、入侵检测、主机监控、身份认证、防病毒软件、漏洞修补等多种手段构筑堡垒式的刚性防御体系，阻挡或隔绝外界入侵。这种静态分层的防御体系是基于威胁特征感知的精确防御，在面对己知攻击时，具有反应迅速、防护有效的优点，但在对抗未知攻击对手时，则力不从心，且存在自身易被攻击的危险。2022-10-9网络攻防技术89.3 网络防御技术的发展
5、趋势 目前网络安全“易攻难守”的不对称态势也是被动防御理论体系和技术的基因缺陷所致。更为严峻的是，网络空间信息系统架构和防御体系本质上说都是“静态的、相似的和确定的”，体系架构透明、处理空间单一，缺乏多样性。2022-10-9网络攻防技术99.3 网络防御技术的发展趋势 软件的遗产继承将导致安全链难以闭合，系统缺陷和脆弱性持续暴露且易于攻击，使之成为了网络空间最大的安全黑洞。为有效开展网络防御，学术界和业界提出主动防御、动态防御、软件定义安全（Software Defined Security，SDS）等防御思想和方法。2022-10-9网络攻防技术109.3.1 主动防御 美国国防部2011
6、年网络空间防御战略首先提出主动防御战略，旨在提高信息系统同步、实时地发现、检测、分析和迁移威胁及脆弱性的能力，特别提高防御方的“反击攻击能力、中止攻击能力和主动欺骗能力”，力求在攻击链的网络结合带（Network Engagement Zone，NEZ）发现并控制攻击行动。2022-10-9网络攻防技术119.3.1 主动防御 2022-10-9网络攻防技术129.3.1 主动防御 网络主动防御技术主要包括：1.可信计算 2.主动认证 3.沙箱 4.蜜罐 5.微虚拟机 6.主动诱骗等技术 2022-10-9网络攻防技术139.3.1 主动防御 1.可信计算2022-10-9网络攻防技术149.
7、3.1 主动防御 1.可信计算 基本思想：1）首先在计算机系统中建立一个信任根。2）再建立一条信任链。3）以此类推，从信任根到硬件平台，到操作系统，再到应用程序，一级测量认证一级，一级信任一级，把这种信任扩展到整个计算机系统，从而确保整个计算机系统的可信。2022-10-9网络攻防技术159.3.1 主动防御 2.主动认证 主动认证技术是一种新型的认证技术，能够不依赖于传统的口令、密码、令牌等认证方式，实现对用户或系统的不间断、实时、可靠的认证。目前，主动认证技术主要研究可大规模部署、且无需依赖额外硬件的基于生物特征的认证技术，如“认知指纹”、“可计算指纹”等。认知指纹的可计算行为特征包括：按
8、键、眼睛扫描、用户搜索信息方式、用户选择信息方式、用户阅读材料方式（包括眼睛对页面的追踪、阅读速度等）、交流方式和结构（电子邮件交换）等。2022-10-9网络攻防技术169.3.1 主动防御 3.沙箱 沙箱是指为一些不可靠的程序提供试验而不影响系统运行的环境。以Sandboxie应用层的沙箱为例，它能够将应用程序限制在一个沙箱中运行，任何操作只影响沙箱，不能对计算机造成永久性的改变。但是类似于Sandboxie这样的应用层沙箱，以及类似于Adobe或Chrome中的主从式（Master/Salve）沙箱，都无法抵御针对操作系统内核缺陷的攻击。因为沙箱无法限制与自己权限相等或更高的代码执行，一
9、旦攻击者利用内核缺陷执行任意的代码，就能绕开沙箱的限制。2022-10-9网络攻防技术179.3.1 主动防御 4.蜜罐 蜜罐技术是利用虚拟机构造一个虚假的系统运行环境，提供给攻击者探测、攻击和损害，以帮助防御人员识别攻击的行为模式（包括战术、技术和过程）。以DataSoft公司的Nova为例，它是一个典型的智能蜜罐系统，能够自动扫描真实网络配置（系统及服务）并采用大量Honeyd轻量级蜜罐生成近真实的虚拟网络；能够基于包的大小、分布、TCP标志比例等流量统计特性自动识别攻击威胁，对登录尝试报警。2022-10-9网络攻防技术189.3.1 主动防御 5.微虚拟机 微虚拟机技术是一种超轻量级的
10、虚拟机生成技术，它能够在毫秒级创建虚拟机，提供基于硬件虚拟化技术（Virtualization Technology，VT）支持的、任务级的虚拟隔离。提供实时攻击检测和取证分析能力，在任务中创建子进程时，在任务中打开、保存或读取文件时，直接访问原始存储设备时，对剪贴板进行访问时，对内核内存和重要系统文件进行修改时，甚至当有PDF提交DNS解析申请时，都会触发警报信息。在攻击遏制方面，与检测后阻塞攻击、采用沙箱限制攻击相比，微虚拟机防范攻击具有隔离攻击更加彻底、对系统造成的影响最小的鲜明特点。2022-10-9网络攻防技术199.3.1 主动防御 6.主动诱骗 主动诱骗技术属于数据丢失中止（Da
11、ta Loss Prevention，DLP）或数据丢失告警（Data Loss Alerting，DLA）技术，包括对敏感文档嵌入水印，装配诱骗性文档并对其访问行为报警，文档被非授权访问时的自销毁技术等。特别适用于发现内部人员窃密或身份冒充窃密。2022-10-9网络攻防技术209.3.1 主动防御 6.主动诱骗 此外，主动诱骗技术的应用还包括：(1)网络和行为诱骗。通过伪造网络数据流并嵌入用户登录凭证的方式，诱骗网络监听攻击者使用截获的凭证登录取证系统或服务，进而检测攻击行为；(2)基于云的诱骗。云端服务一旦发现攻击则提供虚假的数据或计算资源；(3)移动诱骗。采用与真实App相似的诱骗Ap
12、p，引诱攻击者下载安装。2022-10-9网络攻防技术219.3.2 动态防御 动态防御体现了网络空间安全游戏规则的新理念和新技术。这种技术旨在通过部署和运行不确定、随机动态的网络和系统，大幅提高攻击成本，改变网络防御的被动态势。动态防御的方向一经确立，相关研究迅速展开，美国政府、陆军、海军、空军相继安排了动态防御研发项目，在理论研究和技术实现的两个方面都取得了初步成果。2022-10-9网络攻防技术229.3.2 动态防御 1.动态防御主要思想 从防御思想上分类，动态防御主要有：（1）移动目标防御（2）网络空间拟态防御（3）动态赋能网络空间防御2022-10-9网络攻防技术239.3.2 动
13、态防御 1.动态防御主要思想（1）移动目标防御 为解决易攻难守这一当前网络安全面临的核心问题，移动目标防御提出“允许系统漏洞存在，但不允许对方利用”的全新安全思路，其核心思想是通过增加系统的随机性（不确定性）或者是减少系统的可预见性，来对抗攻击者利用网络系统相对静止的属性发动的进攻。2022-10-9网络攻防技术249.3.2 动态防御 1.动态防御主要思想（2）网络空间拟态防御 拟态现象（MP）是指一种生物在色彩、纹理和形状等特征上模拟另一种生物或环境，从而使一方或双方受益的生态适应现象。按防御行为分类可将其列入基于内生机理的主动防御范畴，又可称之为拟态伪装（MG）。如果这种伪装不仅限于色彩
14、、纹理和形状上，而且在行为和形态上也能模拟另一种生物或环境，称之为“拟态防御”（MD）。2022-10-9网络攻防技术259.3.2 动态防御 1.动态防御主要思想（2）网络空间拟态防御 将拟态防御引入到网络空间，能够帮助解决网络空间安全问题，尤其是面对当前最大的安全威胁未知漏洞后门，病毒木马等不确定威胁时，具有显著效果，克服了传统安全方法的诸多问题，网络空间拟态防御（Cyberspace Mimic Defense，CMD）理论应运而生。2022-10-9网络攻防技术269.3.2 动态防御 1.动态防御主要思想（2）网络空间拟态防御 CMD在技术上以融合多种主动防御要素为宗旨：以异构性、多
15、样或多元性改变目标系统的相似性、单一性；以动态性、随机性改变目标系统的静态性、确定性；以异构冗余多模裁决机制识别和屏蔽未知缺陷与未明威胁；以高可靠性架构增强目标系统服务功能的柔韧性或弹性；以系统的视在不确定属性防御或拒止针对目标系统的不确定性威胁。用基于动态异构冗余（DHR）的一体化技术架构集约化地实现上述目标。2022-10-9网络攻防技术279.3.2 动态防御 1.动态防御主要思想（2）网络空间拟态防御 CMD的基本概念可以简单归纳为“五个一”：一个公理，“人人都存在这样或那样的缺点，但极少出现在独立完成同样任务时，多数人在同一个地方、同一时间、犯完全一样错误的情形”；一种架构，动态异构
16、冗余架构；一种运行机制，“去协同化”条件下的多模裁决和多维动态重构机制；一个思想，“移动攻击表面”（MAS）思想；一种非线性安全增益，纯粹通过架构内生机理获得的拟态防御增益（MDG）。2022-10-9网络攻防技术289.3.2 动态防御 1.动态防御主要思想（3）动态赋能网络空间防御 动态赋能网络空间防御将“变”的思想应用于网络空间防御体系中，提出动态赋能理念，在不可预测性的基础上，将“变”的思想进行系统化、体系化的应用，通过动态变化的技术机理和体系，制造网络空间的“迷雾”，使攻击者找不到攻击目标、接入路径和系统漏洞，以期彻底改变安全防护工作长期以来的被动局面。2022-10-9网络攻防技术
17、299.3.2 动态防御 1.动态防御主要思想（3）动态赋能网络空间防御 使得攻击者在攻击信息系统时达到以下效果的一部分或者全部：难以发现目标；发现错误目标；发现目标而不可实施攻击；实施攻击而不可持续；实施攻击但很快被检测到。任何适应以上范畴的技术都可以隶属到动态赋能网络安全防御技术的范畴。2022-10-9网络攻防技术309.3.2 动态防御 2.动态防御主要技术 动态防御的每一种技术都是以保护信息系统中的某种实体为目的。一般来说，信息系统中的实体主要包括软件、网络节点、计算平台、数据等。为此，动态防御技术也可主要分为软件动态防御技术、网络动态防御技术、平台动态防御技术和数据动态防御技术四种
18、。2022-10-9网络攻防技术319.3.2 动态防御 2.动态防御主要技术2022-10-9网络攻防技术329.3.2 动态防御 2.动态防御主要技术（1）软件动态防御技术 软件动态防御技术指动态更改应用程序自身及其执行环境的技术，包括更改指令集、内存空间分布以及更改程序指令或其执行顺序、分组或格式等。相关技术主要有地址空间布局随机化技术、指令集随机化技术、就地代码随机化技术、软件多态化技术和多变体执行技术等。2022-10-9网络攻防技术339.3.2 动态防御 2.动态防御主要技术（2）网络动态防御技术 网络动态防御技术指在网络层面实施动态防御，具体是指在网络拓扑、网络配置、网络资源、
19、网络节点、网络业务等网络要素方面，通过动态化、虚拟化和随机化方法，打破网络各要素静态性、确定性和相似性的缺陷，抵御针对目标网络的恶意攻击，提升攻击者网络探测和内网节点渗透的攻击难度。2022-10-9网络攻防技术349.3.2 动态防御 2.动态防御主要技术（2）网络动态防御技术 相关技术主要有动态网络地址转换技术、网络地址空间随机化分配技术、端口跳变技术、地址跳变技术、路径跳变技术、端信息跳变防护技术及基于覆盖网络的相关动态防护技术等。2022-10-9网络攻防技术359.3.2 动态防御 2.动态防御主要技术（3）平台动态防御技术 平台动态防御技术通过动态改变应用运行的环境来使系统呈现出不
20、确定性和动态性，从而缩短应用在某种平台上暴露的时间窗口，给攻击者造成侦察迷雾，使其难以摸清系统的具体构造，难以发动有效的攻击。相关技术主要有基于动态可重构的平台动态化、基于异构平台的应用热迁移、Web服务的多样化以及基于入侵容忍的平台动态化等。2022-10-9网络攻防技术369.3.2 动态防御 2.动态防御主要技术（4）数据动态防御技术 数据动态防御技术指能够根据系统的防御需求，动态化更改相关数据的格式、句法、编码或者表现形式，从而增大攻击者的攻击面，达到增强攻击难度的效果。相关技术主要有数据随机化技术、N变体数据多样化技术、面向容错的N-copy数据多样化及面向Web应用安全的数据多样化
21、技术等。2022-10-9网络攻防技术379.3.3 软件定义安全 抵御日益复杂的攻击，就要求安全机制在攻击者试探、投放载荷时能够感知到异常，在攻击者得手前及时响应、阻断和隔离，甚至在攻击者开始尝试时就能预测。只要阻断攻击链的其中一环，就能挫败攻击者最终窃取数据或破坏系统的目的。2022-10-9网络攻防技术389.3.3 软件定义安全 要做到以快对快抵御攻击者的恶意行为，需要以下必备条件：(1)连接协同，有机结合多种安全机制，实现协同防护、检测和响应；(2)敏捷处置，在出现异常时进行智能化的判断和决策，自动化地产生安全策略，并通过安全平台快速分发到具有安全能力的防护主体；(3)随需而变，当一
22、个安全事件爆出后，防护者能紧跟甚至超过攻击者攻击方法更新的速度，以快制快，在数据泄露的窗口期内阻止攻击者。2022-10-9网络攻防技术399.3.3 软件定义安全 软件定义安全是从软件定义网络（Software Defined Network，SDN）引申而来，原理是通过将安全数据平面与控制平面分离，对物理及虚拟的网络安全设备与其接入模式、部署方式、实现功能进行了解耦，底层抽象为安全资源池里的资源，顶层统一通过软件编程的方式进行智能化、自动化的业务编排和管理，以完成相应的安全功能，从而实现一种灵活的安全防护。2022-10-9网络攻防技术409.3.3 软件定义安全 SDN技术的出现，特别是
23、与网络虚拟化结合，给安全设备的部署模式提供了一种新的思路。SDN的一个特点是将网络中的控制平面与数据平面分离，通过集中控制的方式管理网络中数据流、拓扑和路由。基于软件定义架构的安全防护体系将安全的控制平面和数据平面分离，绿盟科技提出的SDS架构可分三个部分：用户环境中实现安全功能的设备资源池、软件定义的安全控制平台和安全应用及安全厂商云端的应用商店APPStore。2022-10-9网络攻防技术419.3.3 软件定义安全 2022-10-9网络攻防技术42本章小结 本章首先介绍了网络安全模型，并从风险评估、安全策略、系统防护、安全检测、安全响应、灾难恢复六个环节介绍了APPDRR模型；接着介绍了网络安全体系不可或缺的网络安全管理；然后对可信计算、主动认证、沙箱、蜜罐、微虚拟机、主动诱骗等主动防御技术进行了介绍；对移动目标防御、网络空间拟态防御、动态赋能网络空间防御等动态防御思想进行了阐述；并对从软件定义网络新架构引申来的软件定义安全新防御方案进行了介绍。2022-10-9网络攻防技术43本章小结 随着网络攻防形势的不断变化与演进，网络防御理念和技术也在不断进步和发展，如演化防御（Evolving Defense）、欺骗防御（Defensive Deception）、智能动态防御等网络防御思想和方法也相继被提出。2022-10-9网络攻防技术44
