网络安全防护总体架构 网络安全防护工作机制

1 实践内容

1.1 安全防范

为了保障"信息安全金三角"的CIA属性、即秘密性、完备性、可用性，信息安全范畴提出了一系列安全模子。此中动态可顺应网络安全模子基于闭环控制理论，典范的有PDR和P^2DR模子。
1.1.1 PDR模子

信息体系的防御机制能反抗入侵的时间P,能高出检测机制发现的入侵的时间D和相应机制有用应对入侵的时间R之和。
1.1.2 P^2DR模子

网络安全=根据风险分析订定安全计谋（policy）+实行安全防护计谋（Procation）+实时监测（Detection）+实时相应（Response）。此中安全计谋是核心。

图1.1 P^2DR模子
1.2 防火墙

1.2.1概述

防火墙是现在最成熟的网络防御技能之一，属于一种网络上的访问控制机制，通过在差别网络域之间创建起安全控制点，对通过的网络传输数据举行查抄，根据详细的安全需求决定是否允许网络访问通过防火墙，到达特定网络安全域免受非法访问和粉碎的目的。
防火墙功能有查抄收支网络的流量、防止脆弱或不安全的协媾和服务、防止内部网络信息外泄、对网络存取和访问举行监控审计、可强化网络安全计谋和集成其他网络安全防御机制。
防火墙对于来自网络安全内部的攻击、通过非法外联的网络攻击和盘算机病毒流传防御有限。
1.2.2 防火墙技能和产物

包过滤技能是通过网络层和传输层的包头信息查抄，根据用户界说的安全计谋规则集，确定是否应该转发该数据包，将一些不符合安全计谋的数据包拦截在网络界限处。
基于状态检测的包过滤技能维护全部通过防火墙的网络毗连记载，并依此确定命据包是否属于一个新的毗连、或是已毗连的一部门，或是一个非法数据包。由于根据数据包的上下文举行查抄和过滤，数据的正当性得到了更有用的包管，但对网络传输的性能影响较大。

图1.2 基于状态检测的包过滤技能
署理技能为客户端起首与署理服务器创建毗连，接着发出一个对外部目的服务器的的文件或哀求，署理服务器通过与目的服务器毗连或从缓存中取得资源，并返回给客户端。网络用户便不直接与外部服务器通讯。详细分为应用层署理技能、电路级署理技能和NAT署理技能。
防火墙产物集成包过滤的路由器、基于通用操纵体系的防火墙软件产物、基于安全操纵体系的防火墙、硬件防火墙装备。
1.3 入侵检测技能

1.3.1 概述

入侵检测技能界说是对入侵活动的检测与发现。两个告急参数是检测率和误报率。信息网络是入侵检测技能的底子。收到信息后最核心的使命是信息分析，两种根本的分析技能是梧误用检测和非常检测。
入侵检测体系的摆设位置如图1.3所示：

图1.3 入侵检测体系的摆设位置
1.3.2 入侵检测体系：snort

snort接纳标准的捕捉数据包的函数库libpcap，具有数据包嗅探、数据包记载和分析、入侵检测功能。软件根本构架如图1.4所示

图1.4 snort软件根本构架
在snort运行时，起首，将捕捉的数据包颠末解码器填入到链路层协议的包结构体之中，以便对高层协议解码；然后送入各种各样的预处置惩罚插件中，对数据举行查抄和操纵；随后检测引擎对每个包的信息举行快速模式匹配检测；对之前各个部件产生的报警/日志信息，调出相应的输出插件举行发送和记载。检测引擎与插件是snort入侵的主体模块，包罗规则库剖析、多模式匹配和规则插件查抄三部门。
2 实践过程

2.1 防火墙设置

设置Linux操纵体系平台上的iptables,大概Windows操纵体系平台上的个人防火墙，完成如下功能，并举行测试。
2.1.1 过滤ICMP数据包，使得主机不吸收Ping包

（1）Linux操纵体系平台上的iptables
起首，输入指令"iptables -L"查察全部规则，确认是默认的。

图2.1 全部规则
然后，用攻击机（192.168.200.4）ping靶机（192.168.200.129）。发现可以ping通。

图2.2 ping通
输入指令"iptables -A INPUT -p icmp -j DROP"使得主机不吸收ICMP包。
此中各参数的意思是：
-A INPUT：将input规则添加到链尾；
-p icmp：指定icmp协议；
-j DROP：指定对应数据包举行扬弃。
然后再次查察规则：

图2.3 再次查察全部规则
可以看出第一行已经酿成"anywhere"。
此时用用攻击机（192.168.200.4）ping靶机（192.168.200.129），发现已经不能ping通。

图2.4 ping失败
利用wireshark抓包，可以看到发出了许多icmp数据包。

图2.5 wireshark抓包
乐成后，利用iptables -F扫除全部规则。此时，用攻击机（192.168.200.4）ping靶机（192.168.200.129）乐成ping通。

图2.6 再次ping通
（2）Windows操纵体系平台上的个人防火墙
启动WinXPattacker，暗码为"mima1234"。用kali ping WinXPattacker（192.168.200.8），可以ping通。

图2.7 ping乐成
打开"控制面板"的"Windows防火墙"。

图2.8 控制面板的防火墙
在"高级"→"ICMP设置"中，把"允许传入回显哀求"勾掉。

图2.9 勾掉允许传入回显哀求
此时看到kali就ping不通windowsXP了。

图2.10 无法ping通
实行完毕，再调回设置，发现可以重新ping通。

图2.11 再次ping通
2.1.2 只允许特定IP所在访问主机的某一网络服务(如FTP、HTTP、SMB)，而其他的IP所在无法访问。

本节实行的各主机的IP所在如下：
A：192.168.200.4
B：192.168.200.6
C：192.168.200.7
起首给A安装FTP服务，输入指令"apt-get install vsftpd"。再输入"service vsftpd start"开启FTP服务。

图2.12 开启FTP服务
然后用B和C访问A的ftp服务均乐成。

图2.13 B乐成毗连FTP

图2.14 C乐成毗连FTP
对A举行设置，输入指令"iptables -P INPUT DROP"拒绝齐备数据流入。再输入指令"iptables -A INPUT -p tcp -s 192.168.200.6 -j ACCEPT"只允许B（192.168.200.6）访问主机。
设置好后，用B和C访问A，可见只有B可以乐成访问。

图2.15 B再次乐成毗连FTP

图2.16 C毗连FTP失败
输入"iptables -F"和"iptables -P INPUT ACCEPT"规复之前的状态。
2.2 动手实践：Snort

利用Snort对给定pcap文件（第4章中的解码网络扫描任一个pcap文件，之前的实践已经提供了，请在云班课中下载）举行入侵检测，并对检测出的攻击举行阐明。在BT4 Linux攻击机或Windows Attacker攻击机上利用Snort，对给定的pcap文件举行入侵检测，得到报警日志。
输入指令"snort -c /etc/snort/snort.conf -r /home/kali/Desktop/listen.pcap -K ascii"从离线的pcap文件读取网络日志数据源。

图2.17 读取网络日志数据
通太过析效果可以看出TCP包占绝大多数。
snort会在默认目次"/var/log/snort"天生一个日志文件，输入指令"cd/var/log/snort"查察日志文件。可以看出本次攻击是用nmap发起的。攻击机IP所在是172.31.4.178，靶机IP所在是172.31.4.188，还可以看到端标语等等。

图2.18 干系信息
2.3 分析设置规则

分析假造网络攻防情况中蜜网网关的防火墙和IDS/IPS设置规则，阐明蜜网网关是怎样利用防火墙和入侵检测技能完成其攻击数据捕捉和控制需求的。
详细分析设置规则与启动项文件包罗：
防火墙（netfilter+IPTables）：/etc/init.d/rc.firewall:
入侵检测体系（Snort）：/etc/init.d/hflow-snort 与/etc/snort/snort.conf:
入侵防御体系（Snort_inlinc）：/etc/init.d/hflow-snort_inline 与/etc/snort_inline/snort. inline.conf
2.3.1 数据捕捉

数据捕捉是密网的一个告急目的，包罗三个条理，分别是防火墙的日志记载、eth0上的嗅探器记载的网络流多和Seek捕捉的体系活动；记载的内容重要包罗：数据包通逾期间、包协议范例、收支的网络接口、源所在、目的所在、源端口、目的端口、包长度等。
蜜罐网关通过三种方式捕捉数据：防火墙日志、网络通讯、体系活动。防火墙可以大概记载全部的进入和外出本网络的毗连。全部收支防火墙的日志信息记载在/var /log /messages 文件中。但防火墙能记载的数据是有限的，重要是报头信息，如攻击的时间、源和目的IP所在以及源和目的端口，对于入侵者的击键活动、数据包的载荷等无能为力。
打开密网网关，输入vim /etc/init.d/rc.firewall查察防火墙的文件。看到create_chains函数中新建了许多规则链，包罗黑名单、白名单、防护名单等

图2.19 防火墙文件
2.3.2 控制需求

Roo的数据控制包罗两方面，一是防火墙Iptables对连出（Outbound）的毗连数的控制，另一个是网络信息防御体系Snort_inline对连出非常数据的限定，还增长了黑名单、白名单、防护名单的功能。防火墙对源所在大概目的所在属于黑名单的主机，扬弃全部包。对于属于白名单的主机，担当且不记载。对于属于防护名单内的主机，克制访问某些不渴望被访问到的主机。
在蜜罐中，利用iptables -t filter -L下令来查察规则列表。可以看出，默认的规则比方OUTPUT、INPUT、FORWARD都已经被关闭了

图2.20 蜜罐规则列表
3.学习中碰到的标题及办理

3.1 kali的FTP服务

Kali默认没有安装FTP服务。须要先安装后再利用。
3.2 windows允许传入回显哀求关

ICMP设置中允许传入回显哀求前面的复选框是灰色的，默认勾选，无法取消勾选。须要关掉破例选项，允许传入回显哀求前面的复选框就可以关掉了。
4 感想和领会

通过本次实行，我学习到了各种网络安全防范技能的根本原理和方法。认识利用Windows的防火墙和linux的iptables的设置。对ICMP数据包有了进一步的认识。学习了利用Snort对给定pcap文件举行分析，找出各种信息。对蜜网网关是怎样利用防火墙和入侵检测技能完成其攻击数据捕捉和控制需求也有进一步的认识。
网络安全学习门路

对于从来没有打仗过网络安全的同砚，我们帮你预备了详细的学习发展门路图。可以说是最科学最体系的学习门路，各人跟着这个大的方向学习准没标题。

同时每个发展门路对应的板块都有配套的视频提供：

须要网络安全学习门路和视频教程的可以在批评区留言哦~
末了

• 假如你确实想自学的话，我可以把我本身整理收藏的这些教程分享给你，内里不但有web安全，另有分泌测试等等内容，包罗电子书、口试题、pdf文档、视频以及干系的课件条记，我都已经学过了，都可以免费分享给各人！
  

给小搭档们的意见是想清楚，自学网络安全没有捷径，相比而言体系的网络安满是最节流资源的方式，由于可以大概帮你节流大量的时间和精力资源。对峙住，既然已经走到这条路上，固然出息看似困难重重，只要咬牙对峙，终极会收到你想要的效果。
黑客工具&SRC技能文档&DF册本&web安全等（可分享）

结语

网络安全财产就像一个江湖，各色人等聚集。相对于西欧国家底子踏实（懂加密、会防护、能挖洞、擅工程）的浩繁王谢端正，我国的人才更多的属于歪路左道（许多白帽子大概会不平气），因此在未来的人才造就和创建上，须要调解结构，鼓励更多的人去做“正向”的、联合“业务”与“数据”、“主动化”的“体系、创建”，才气解人才之渴，真正的为社会全面互联网化提供安全保障。
特别声明：
此教程为纯技能分享！本教程的目的决不是为那些怀有不良动机的人提供及技能支持！也不负担由于技能被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒各人对网络安全的器重，并采取相应的安全步调
，从而镌汰由网络安全而带来的经济丧失