# 网络安全概述
### 网络安全的特征
- **机密性：信息不泄露给非授权的实体或对象**
- **完整性：数据未经授权不能进行改变的特性， 即信息在存储或传输过程中保持不被修改，不被破坏的特性**
- **可用性：可被授权实体访问并按需求使用的特性，即当需要时应能存取所需的信息。**
- **可控性：对网络信息的传播及内容具有控制能力**
### 常见攻击手段
- 社会工程：攻击者可通过各种社交渠道获得有关目标 的结构、使用情况、安全防范措施等有用信息从而提 高攻击成功率
- 口令破解：攻击者可通过获取口令文件，然后运用口 令破解工具获得口令，也可通过猜测或窃听等方式获 取口令
- 地址欺骗：攻击者可通过伪装成被信任的IP 地址， 邮件地址等方式来骗取目标的信任
- 连接盗用：在合法的通信连接建立后，攻击者可通过 阻塞或摧毁通信的一方来接管已经过认证建立起来的 连接，从而假冒被接管方与对方通信
- 网络窃听：网络的开放性使攻击者可通过直接或间接 窃听获取所需信息
- 数据篡改：攻击者可通过截获并修改数据或重放数据 等方式破坏数据的完整性
- 恶意扫描：攻击者可编制或使用现有扫描工具发现目标的漏洞，进而发起攻击
- 基础设施破坏：攻击者可通过破坏DNS 或路由信息等基础设施，使目标陷于孤立
- 数据驱动攻击：攻击者可通过施放病毒、特洛伊木马、数据炸弹等方式破坏或遥控目标
- 拒绝服务：攻击者可直接发动攻击，也可通过控制其它主机发起攻击，使目标瘫痪，如发送大量的数据洪流阻塞目标
### 小结
- 中断（Interruption） 〈-〉可用性（Availability）
- 窃听（Interception） 〈-〉机密性（Confidentiality ）
- 修改（Modification） 〈-〉完整性（Integrity）
- 伪造（Fabrication） 〈-〉可认证性（Authenticity）
### 网络
#### ISO - OSI 模型
`PDNTSPA`
**P-物理层**
**D-数据链路层**
**N-网络层**
**T-传输层**
**S-会话层**
**P-表示层**
**A-应用层**
#### TCP/IP 模型
`PNTA`
**P-网络与接口层**
**N-网络层**
**T-传输层**
**A-应用层**
#### 两个模型的比较
##### 相同点
1.都是基于独立的协议栈概念。
2.两者都有功能相似的应用层、传输层、网络层。
##### 不同点
1.在OSI模型中，严格地定义了服务、接口、协议；在TCP/IP模型中， 并没有严格区分服务、接口与协议。
2.OSI模型支持非连接和面向连接的网络层通信，但在传输层只支持面向连接的通信；TCP/IP模型只支持非连接的网络层通信，但在传输层有支持非连接和面向连接的两种协议可供用户选择。
3.TCP/IP模型中不区分、甚至不提起物理层和数据链路层。
### 安全体系结构
- **安全攻击：损害机构所拥有信息的安全的任何行为。**
- **安全机制：设计用于检测、预防安全攻击或者恢复系统的机制。**
- **安全服务：系统提供的对资源进行特殊保护的进程或者通信服务。**
#### 安全攻击
**主动攻击**(passive attack): 更改数据流，或伪造假的数据流。
- 伪造
- 重放
- 篡改
- 拒绝服务
**被动攻击**(active attack): 对传输进行偷听与监视，获得传输信息。
- 窃听
- 流量分析
#### ==安全机制（8个）==
- **加密**：用加密算法对信息加密。保护信息的机密性
- **数字签名**：用签名算法对信息进行计算，计算结果附加于信 息单元。用于身份认证、数据完整性和非否认服务
- **访问控制**：用于实施资源访问权限的机制
- **数据完整性**：用于确保信息的完整性
- **认证交换**：确保信息交换的实体是所声称的实体，通过信息交换以确保实体身份，包括公知密码、特征、位置信息等
- **流量填充**：填充信息，防止流量分析
- **路由控制**：能够为特定数据选择特定路由
- **公证**：采用可信任的第三方以确保一些信息交换的性质
#### ==安全服务（5类）==
- **认证**（鉴别）（Authentication）:提供某个实体的身份保证对等实体认证、数据源认证
- **访问控制**（Access control）:保护资源，防止对它的非法使用和操纵
- **数据机密性**（Data encryption）:保护信息不被泄露连接保密性、无连接保密性、选择域保密性、流量保密性
- **数据完整性**（Integrity）:保护信息以防止非法篡改具有恢复功能的连接完整性、无恢复功能的连接完整性、选择与连接完整性、无连接完整性、选择域无连接完整性
- **不可否认性**（No-repudiation）:防止参与通信的一方事后否认源点的不可否认性、信宿的不可否认性
#### 安全服务与机制的关系
| 服务\机制 | 加密 | 数字签名 | 访问控制 | 数据完整性 | 认证交换 | 流量填充 | 路由控制 | 公证 |
| :----------------------: | :--: | :------: | :------: | :--------: | :------: | :------: | :------: | :--: |
| 对等实体认证 | ✔️ | ✔️ | | | ✔️ | | | |
| 数据源认证 | ✔️ | ✔️ | | | | | | |
| 访问控制服务 | | | ✔️ | | | | | |
| 连接机密性 | ✔️ | | | | | | ✔️ | |
| 无连接机密性 | ✔️ | | | | | | ✔️ | |
| 选择字段机密性 | ✔️ | | | | | | | |
| 通信业务流机密性 | ✔️ | | | | | ✔️ | ✔️ | |
| 待恢复的连接完整性 | ✔️ | | | ✔️ | | | | |
| 不带恢复的连接完整性 | ✔️ | | | ✔️ | | | | |
| 选择字段的连接完整性 | ✔️ | | | ✔️ | | | | |
| 无连接完整性 | ✔️ | ✔️ | | ✔️ | | | | |
| 选择字段的无连接的完整性 | ✔️ | ✔️ | | ✔️ | | | | |
| 不可抵赖，带交付证据 | | ✔️ | | ✔️ | | | | ✔️ |
**PPT**
| 安全服务\安全机制 | 加密 | 数字签名 | 访问控制 | 完整性 | 认证 | 流量填充 | 路由控制 | 公证 |
| :---------------: | :--: | :------: | :------: | :----: | :--: | :------: | :------: | :--: |
| 对等实体认证 | ✔️ | ✔️ | | | ✔️ | | | |
| 数据源认证 | ✔️ | ✔️ | | | | | | |
| 访问控制 | | | ✔️ | | | | | |
| 机密性 | ✔️ | | | | | | ✔️ | |
| 流量机密性 | ✔️ | | | | | ✔️ | ✔️ | |
| 数据完整性 | ✔️ | ✔️ | | ✔️ | | | | |
| 非否认服务 | | ✔️ | | ✔️ | | | | ✔️ |
| 可用性 | | | | ✔️ | ✔️ | | | |
