艾銻知識 |網絡安全基礎之網絡協議與安全威脅的關系介紹

2020-03-18 21:23 作者：admin 瀏覽量：

 
2015年我第一次參加阿里云杭州全球云棲大會時，看到的是驚喜和無限的可能性。
 
 
“2015杭州云棲大會”于10月14日至15日在杭州云棲小鎮如期召開。大會以“互聯網、創新、創業”為本屆主題，展現“互聯網+”時代下無處不在的云計算與各行各業的交錯連接，介紹云計算為產業升級和改革創新提供的源源動力，挖掘云計算助力下生生不息的創業激情和機遇。
 
2015年正式更名為“云棲大會”，阿里云的名字不再出現在會議名稱中，而是更加強調云計算、大數據生態的定位。量子計算、人工智能、生物識別、深度學習等前沿的科技創新力量首次在大會亮相。大會吸引了全球超過20個國家的21500名開發者，參展企業達到219家，參與企業3000多家，現場參觀超過42584人次，全球直播收看人數超過127萬人，成為全球最大規模的云計算峰會之一。
 
走進會場別開生面，豐富多彩，讓人忘掉了科技的冰冷，就像走進了游樂園，有運動，有演出，有游戲，有展示，有互動，4萬多人把整個會場擠得水泄不通，來自全球的技術愛好者，企業家，科學家，政府官員，阿里云的合作伙伴，競爭對手，閑雜人等五花八門，你能想到的人都聚齊了。
 
甚至還有票販子，是什么吸引了各路好漢齊聚一堂，擠破頭也要參加一場聽起來非常專業性的云棲大會呢?
 
除了上面說的阿里云的技術能力和運營能力以外，其實還有一個非常重要的原因，就是能親眼見到馬云馬老師，甚至還能有機會與他零距離接觸.
 
從2015到2018年，在這四年中馬老師每年都會參加杭州云棲大會的分享，而且還會出現在云棲現場的不同地方，這讓很多喜歡馬老師的伙伴興奮極了，你想你一生能有幾次親眼見到“外星人”呢.  
2015年他在主會場20分鐘的分享表達了一個重要的觀點，就是在未來5年無企業，不上云。上云是企業戰略而不是戰術，未來是一個萬物互聯的時代，只有那些在云上的企業才能快速有效的抓住時代變化的先機，才能使用計算的能力，才能利用好數據的價值.
 
當時聽了馬老師的演講，我當刻就決定了和阿里云的合作，讓艾銻無限成為了阿里云的戰略合作伙伴，和阿里云一起為中小企業提供上云解決方案服務。
 
四年多過去了，馬老師當年說無企業，不上云，如今，如果你不知道云，你的企業沒有用云，可能你在這次的疫情中根本就沒有戰斗力，你都不知道別人企業是如何贏得這次疫情戰斗勝利的.
 
企業上云不僅能為企業節省70%以上的成本，更能為企業提升500%以上的效率，甚至它的有些價值是無法計算的，這些年艾銻無限為上千家企業提供了上云服務，親身經歷了有一些企業上云變革后帶來的增長和變化，我記得服務了一家裝修行業的領頭企業，在2016年這家企業因人員場地和機房成本，讓這家公司舉步維艱，離破產僅一步之遙，我和這家企業的CEO是好朋友，有一天我去看他，聽到他和我分享現在遇到的巨大困境，我問了他幾個關鍵的問題，最后確認了是成本不斷提升，業績卻沒有提高，效率低下從而導致企業經營困難，后來艾銻無限的云解決方案團隊幫助他出了三個解決方案:
 
第一， 把他們現有機房近百臺服務器遷到云上，釋放出近百平米的機房空間和硬件運維升級成本，因為云是彈性的，可以根據企業用量來支付費用，這一下就幫他們減輕了一年上百萬的硬件投入成本.
 
第二， 幫助他們打通各個管理系統，讓企業內部數據更透明，讓整體效率一下子就提升了上來，而且當他發現整個環節全部通透后，有1/3的人力是可以節省的，完全沒必要用這么多人，這一下讓他們每年節省了近200萬的人力支出，這就是科技的力量，雖然對失業的員工有些殘忍，但對與一家商業企業來說這是正確的選擇.
 
第三， 重建營銷系統，讓傳統的銷售模式重新變革，提升人員的產出比，讓全員進行銷售，整體銷售額提高了200%，這個時代職責和名稱將會越來越模糊，誰能為企業創造價值，誰就是企業最重要的員工.
 
大家可以想象一下，一家企業人員降低原來的1/3，但銷售額卻提升原來的兩倍，這意味著盈利能力和盈利水平呈指數級的增長，這就是變革后的成果.
 
無企業，不上云，你的企業上云了嗎？  
如果你的企業還沒有下云也沒有關系，也許你的企業還沒有遇到挑戰，假如你有和我朋友同樣的困境，那不妨與艾銻無限的云工程師和技術專家聊一聊，說不定就讓你眼前一亮，打開了你遇到的限制和困境，從而讓你的企業邁上了生長的第二春。
 
 
艾銻知識 |網絡安全基礎之網絡協議與安全威脅的關系介紹
網絡安全基礎之網絡協議與安全威脅介紹，首先我們要先了解一下網絡基礎究竟是什么，接下來的文章中小編將會從osi七層模型、TCP/IP協議、OSI模型與TCP/IP協議的對應、數據傳輸的協議單元以及數據封包和解包過程等方面進行詳細的介紹，感興趣的朋友可以閱讀本文進行參考。
OSI(OpenSystem Interconnect)，即開放式系統互聯。 一般都叫OSI參考模型，是ISO(國際標準化組織)組織在1985年研究的網絡互聯模型。
網絡協議的簡介：
定義：協議是網絡中計算機或設備之間進行通信的一系列規則集合。
什么是規則?
交通中的紅黃綠燈：紅燈停，綠燈行就是規則。
OSI七層模型 OSI(OpenSystem Interconnect)，即開放式系統互聯。 一般都叫OSI參考模型，是ISO(國際標準化組織)組織在1985年研究的網絡互聯模型。
(1)物理層(Physical Layer)
物理層是OSI參考模型的最低層，它利用傳輸介質為數據鏈路層提供物理連接。它主要關心的是通過物理鏈路從一個節點向另一個節點傳送比特流，物理鏈路可能是銅線、衛星、微波或其他的通訊媒介。
(2)數據鏈路層(Data Link Layer)
數據鏈路層是為網絡層提供服務的，解決兩個相鄰結點之間的通信問題，傳送的協議數據單元稱為數據幀。
(3)網絡層(Network Layer)
網絡層是為傳輸層提供服務的，傳送的協議數據單元稱為數據包或分組。
(4)傳輸層(Transport Layer)
傳輸層的作用是為上層協議提供端到端的可靠和透明的數據傳輸服務，包括處理差錯控制和流量控制等問題。
傳輸層傳送的協議數據單元稱為段或報文。
(5)會話層(Session Layer)
會話層主要功能是管理和協調不同主機上各種進程之間的通信(對話)，即負責建立、管理和終止應用程序之間的會話。
(6)表示層(Presentation Layer)
表示層處理流經結點的數據編碼的表示方式問題，以保證一個系統應用層發出的信息可被另一系統的應用層讀出。如果必要，該層可提供一種標準表示形式，用于將計算機內部的多種數據表示格式轉換成網絡通信中采用的標準表示形式。數據壓縮和加密也是表示層可提供的轉換功能之一。
(7)應用層(Application Layer)
應用層是OSI參考模型的最高層，是用戶與網絡的接口。該層通過應用程序來完成網絡用戶的應用需求，如文件傳輸、收發電子郵件等。
TCP/IP協議 譯名為傳輸控制協議/因特網互聯協議，又名網絡通訊協議，是Internet最基本的協議、Internet國際互聯網絡的基礎，由網絡層的IP協議和傳輸層的TCP協議組成。
TCP/IP定義了電子設備如何連入因特網，以及數據如何在它們之間傳輸的標準。協議采用了4層的層級結構，每一層都呼叫它的下一層所提供的協議來完成自己的需求。通俗而言：TCP負責發現傳輸的問題，一有問題就發出信號，要求重新傳輸，直到所有數據安全正確地傳輸到目的地。而IP是給因特網的每一臺聯網設備規定一個地址。
OSI模型與TCP/IP協議的對應 左邊是OSI模型，右邊是TCPIP協議棧分層模型，可以看得出，兩個模型有很清晰的對應關系。
兩個模型的下四層是一一對應的，而OSI模型的上三層對應到TCPIP協議的應用層，所以在談論“應用層”概念的時候，要注意討論的是哪個模型。
數據傳輸的協議單元 依據標準的OSI術語，每層間對應的“協議數據單元”(Protocol Data Unit，簡稱PDU)的名稱都是不同的
物理層為“位”(bit)，即平常講的二進制數位流，在物理傳輸介質上以二進制數字信號傳輸(簡單的如高電平代表“1”，底電平代表“0”)。
物理層的傳輸介質包括：
同軸電纜(coaxical cable)：細纜和粗纜，目前已經不常用;
雙絞線(twistedpair)：UTP(Unshielded Twisted Paired , 非屏蔽雙絞線)，這種即平時常用的網線;STP (Shielded Twisted Pair,屏蔽雙絞線)，這種線適用于電磁干擾惡劣的工業環境;(這兩種線使用銅線做介質，到用戶家雖然看起來就一兩根，但在運營商的管線里是幾千條幾百條線在一起的大對線纜，經常是偷銅者的目標)
光纖(OpticalFiber)：使用光信號來傳播數字信號的介質，坐火車到處看到路邊寫的大標語：“光纖沒銅，挖了沒用”就是指這個;
無線電波(wirelessradio);
數據鏈路層PDU名稱叫數據幀“Frame”，例如幀中繼技術名稱叫Frame Relay ，其數據單元名字叫“幀”，對以太網來說是以太幀。
網絡層PDU的名稱叫數據包Packet, 因為IP協議在這一層，所以互聯網上的數據一般被稱為IP數據包。
傳輸層PDU的名稱叫數據段Segment ，這個層面最著名的是傳輸控制協議TCP和用戶數據報協議UDP。
會話層Session 的PDU叫SPDU,會晤協議數據單元;
表示層Presentation的PDU叫PPDU,表示協議數據單元;
應用層Application的PDU叫APDU,應用協議數據單元;
數據封包和解包過程 用戶數據報文的一個封裝過程，應用程序的數據使用TCP協議進行傳輸，用戶數據被切割成合適的數據片段后，被加上網絡層協議IP的首部字節，成為IP數據包，然后被加上數據鏈路層的以太網首部，成為以太網數據幀，再由以太網驅動程序將幀轉化為二進制位流，在物理層面傳送。
數據包傳輸過程 上圖是兩個主機通過一臺交換機和一臺路由器通信的示意圖。二層交換機僅跨越OSI模型的物理層和數據鏈路層，所以稱為二層交換機，僅為所有連接的主機提供數據鏈路層間的互通功能。
路由器是跨越物理層、數據鏈路層、網絡層的設備。
最簡單的路由器的概念是一臺裝有兩塊網卡的主機，主機內部安裝的路由軟件可以根據IP地址在兩塊網卡間轉發IP數據包，兩塊網卡各有一個IP地址，具有兩個物理接口的路由器同這個道理是類似的。
由上圖圖四可以看到，IP地址的概念是屬于IP協議，IP協議是屬于OSI模型第三層網絡層的，所有跨越網絡層的設備都需要有IP地址。最左邊的主機同路由器的左側接口各有一個IP地址，使用IP協議通信;最右邊的服務器和路由器右側接口各有一個IP地址，使用IP協議通信;路由器的不同接口的IP地址是屬于不同的IP子網的，路由器就是在不同IP子網間傳送IP數據包的設備，路由是根據IP數據包里的地址選擇正確傳遞路徑的過程。
TCP/IP 四層模型 ARP協議：
地址解析協議，即ARP(Address Resolution Protocol)，是根據IP地址獲取物理地址的一個TCP/IP協議。
原理：
主機發送信息時將包含目標IP地址的ARP請求廣播到網絡上的所有主機，并接收返回消息，以此確定目標的物理地址;收到返回消息后將該IP地址和物理地址存入本機ARP緩存中并保留一定時間，下次請求時直接查詢ARP緩存以節約資源。地址解析協議是建立在網絡中各個主機互相信任的基礎上的，網絡上的主機可以自主發送ARP應答消息，其他主機收到應答報文時不會檢測該報文的真實性就會將其記入本機ARP緩存。
網絡接口層的安全威脅 在網絡中，flooding是指從任何節點通過一個路由器發送的信息包會被發送給與該路由器相連的所有其他節點(除了發送信息包出來的那個節點)。
在典型的MAC flooding中，攻擊者能讓目標網絡中的交換機不斷泛洪大量不同源MAC地址的數據包，導致交換機內存不足以存放正確的MAC地址和物理端口號相對應的關系表。如果攻擊成功，交換機會進入failopen模式，所有新進入交換機的數據包會不經過交換機處理直接廣播到所有的端口(類似HUB集線器的功能)。攻擊者能進一步利用嗅探工具(例如Wireshark)對網絡內所有用戶的信息進行捕獲，從而能得到機密信息或者各種業務敏感信息。
損壞：自然災害、動物破壞、老化、誤操作
干擾：大功率電器/電源線路/電磁輻射
電磁泄漏：傳輸線路電磁泄漏
搭線竊聽：物理搭線
欺騙：ARP欺騙
嗅探：常見二層協議是明文通信的(以太、arp等)
拒絕服務：macflooding，arpflooding等
互聯網網絡層 譯名為傳輸控制協議/因特網互聯協議，又名網絡通訊協議，是Internet最基本的協議、Internet國際互聯網絡的基礎，由網絡層的IP協議和傳輸層的TCP協議組成。
TCP/IP定義了電子設備如何連入因特網，以及數據如何在它們之間傳輸的標準。協議采用了4層的層級結構，每一層都呼叫它的下一層所提供的協議來完成自己的需求。通俗而言：TCP負責發現傳輸的問題，一有問題就發出信號，要求重新傳輸，直到所有數據安全正確地傳輸到目的地。而IP是給因特網的每一臺聯網設備規定一個地址。
IP協議簡介：
IP協議是用于將多個包交換網絡連接起來的，它在源地址和目的地址之間傳送一種稱之為數據包的東西，它還提供對數據大小的重新組裝功能，以適應不同網絡對包大小的要求。
IP實現兩個基本功能：尋址和分段。IP可以根據數據包包頭中包括的目的地址將數據報傳送到目的地址，在此過程中IP負責選擇傳送的道路，這種選擇道路稱為路由功能。如果有些網絡內只能傳送小數據報，IP可以將數據報重新組裝并在報頭域內注明。IP模塊中包括這些基本功能，這些模塊存在于網絡中的每臺主機和網關上，而且這些模塊(特別在網關上)有路由選擇和其它服務功能。對IP來說，數據報之間沒有什么聯系，對IP不好說什么連接或邏輯鏈路。
互聯網層網絡安全威脅 傳輸層 IP分片技術
以太網的MTU是1500，你可以用 netstat -i 命令查看這個值。如果IP層有數據包要傳，而且數據包的長度超過了MTU，那么IP層就要對數據包進行分片(fragmentation)操作，使每一片的長度都小于或等于MTU。我們假設要傳輸一個UDP數據包，以太網的MTU為1500字節，一般IP首部為20字節，UDP首部為8字節，數據的凈荷(payload)部分預留是1500-20-8=1472字節。如果數據部分大于1472字節，就會出現分片現象。
IP分片攻擊
如果有意發送總長度超過65535的IP碎片，一些老的系統內核在處理的時候就會出現問題，導致崩潰或者拒絕服務。另外，如果分片之間偏移量經過精心構造，一些系統就無法處理，導致死機。所以說，漏洞的起因是出在重組算法上。pingo‘ death是利用ICMP協議的一種碎片攻擊。攻擊者發送一個長度超過65535的EchoRequest數據包，目標主機在重組分片的時候會造成事先分配的65535字節緩沖區溢出，系統通常會崩潰或掛起。ping不就是發送ICMPEcho Request數據包的嗎?讓我們嘗試攻擊一下吧!不管IP和ICMP首部長度了，數據長度反正是多多益善，就65535吧
IP數據包
數據包的結構：數據包的結構非常復雜，不是三言兩語能夠說清的，在這里主要了解一下它的關鍵構成就可以了，這對于理解TCP/IP協議的通信原理是非常重要的。數據包主要由“目的IP地址”、“源IP地址”、“凈載數據”等部分構成，包括包頭和包體，包頭是固定長度，包體的長度不定，各字段長度固定，雙方的請求數據包和應答數據包的包頭結構是一致的，不同的是包體的定義。數據包的結構與我們平常寫信非常類似，目的IP地址是說明這個數據包是要發給誰的，相當于收信人地址;源IP地址是說明這個數據包是發自哪里的，相當于發信人地址;而凈載數據相當于信件的內容。正是因為數據包具有這樣的結構，安裝了TCP/IP協議的計算機之間才能相互通信。我們在使用基于TCP/IP協議的網絡時，網絡中其實傳遞的就是數據包。理解數據包，對于網絡管理的網絡安全具有至關重要的意義。
我們可以用一個形象一些的例子對數據包的概念加以說明：我們在郵局郵寄產品時，雖然產品本身帶有自己的包裝盒，但是在郵寄的時候只用產品原包裝盒來包裝顯然是不行的。必須把內裝產品的包裝盒放到一個郵局指定的專用紙箱里，這樣才能夠郵寄。這里，產品包裝盒相當于數據包，里面放著的產品相當于可用的數據，而專用紙箱就相當于幀，且一個幀中只有一個數據包。“包”聽起來非常抽象，那么是不是不可見的呢?通過一定技術手段，是可以感知到數據包的存在的。 就是用數據包捕獲軟件Iris捕獲到的數據包的界面圖，在此，大家可以很清楚地看到捕獲到的數據包的MAC地址、IP地址、協議類型端口號等細節。通過分析這些數據，網管員就可以知道網絡中到底有什么樣的數據包在活動了。
TCP/UDP協議
面向連接的TCP協議：
TCP(TransmissionControl Protocol，傳輸控制協議)是基于連接的協議，也就是說，在正式收發數據前，必須和對方建立可靠的連接。一個TCP連接必須要經過三次“對話”才能建立起來，也就是所謂的”TCP的三次握手”。
面無連接的UDP協議：
UDP(UserData Protocol，用戶數據報協議)是與TCP相對應的協議。它是面向非連接的協議，它不與對方建立連接，而是直接就把數據包發送過去!
“面向連接”就是在正式通信前必須要與對方建立起連接。比如你給別人打電話，必須等線路接通了、對方拿起話筒才能相互通話。
TCP的三次握手：
其中的過程非常復雜，我們這里只做簡單、形象的介紹，你只要做到能夠理解這個過程即可。我們來看看這三次對話的簡單過程：主機A向主機B發出連接請求數據包：“我想給你發數據，可以嗎?”，這是第一次對話;主機B向主機
A發送同意連接和要求同步(同步就是兩臺主機一個在發送，一個在接收，協調工作)的數據包：“可以，你什么時候發?”，這是第二次對話;主機A再發出一個數據包確認主機B的要求同步：“我現在就發，你接著吧!”，這是第三次對話。三次“對話”的目的是使數據包的發送和接收同步，經過三次“對話”之后，主機A才向主機B正式發送數據。
“面向非連接”就是在正式通信前不必與對方先建立連接，不管對方狀態就直接發送。與手機短信非常相似：你在發短信的時候，只需要輸入對方手機號就OK了。
TCP:FTPHTTP POP IMAP SMTP TELNET SSH
UDP
Q聊天,在線視頻RTSP,網絡語音電話VoIP 第一次握手：建立連接時，客戶端發送syn包(syn=j)到服務器，并進入SYN_SENT狀態，等待服務器確認;SYN：同步序列編號(Synchronize Sequence Numbers)。第二次握手：服務器收到syn包，必須確認客戶的SYN(ack=j+1)，同時自己也發送一個SYN包(syn=k)，即SYN+ACK包，此時服務器進入SYN_RECV狀態;第三次握手：客戶端收到服務器的SYN+ACK包，向服務器發送確認包ACK(ack=k+1)，此包發送完畢，客戶端和服務器進入ESTABLISHED(TCP連接成功)狀態，完成三次握手。完成三次握手，客戶端與服務器開始傳送數據。
傳輸層的安全威脅 在網絡中，flooding是指從任何節點通過一個路由器發送的信息包會被發送給與該路由器相連的所有其他節點(除了發送信息包出來的那個節點)。
在典型的MAC flooding中，攻擊者能讓目標網絡中的交換機不斷泛洪大量不同源MAC地址的數據包，導致交換機內存不足以存放正確的MAC地址和物理端口號相對應的關系表。如果攻擊成功，交換機會進入failopen模式，所有新進入交換機的數據包會不經過交換機處理直接廣播到所有的端口(類似HUB集線器的功能)。攻擊者能進一步利用嗅探工具(例如Wireshark)對網絡內所有用戶的信息進行捕獲，從而能得到機密信息或者各種業務敏感信息。
拒絕服務：syn flood/udp flood/Smurf欺騙：TCP會話劫持竊聽：嗅探偽造：數據包偽造
應用層的安全威脅 域名解析：DNS電子郵件：SMTP/POP3文件傳輸：FTP網頁瀏覽：HTTP…… 拒絕服務：超長URL鏈接欺騙：跨站腳本、釣魚式攻擊、cookie欺騙竊聽：嗅探偽造：應用數據篡改暴力破解：應用認證口令暴力破解等……