缺少网络安全组织架构 网络安全缺陷

news/2025/2/23 0:09:01/

🍅 点击文末小卡片 ，免费获取网络安全全套资料，资料在手，涨薪更快

目录

TCP/IP概述

一、计算机网络的体系结构

1、计算机网络体系结构定义

2、OSI/RM与TCP/IP对应关系

3、名词释义

4、TCP/IP协议主要构成和功能

5、各层次间调用关系 

二、TCP/IP工作原理 

1、信源侧

2、路由器侧

3、信宿侧

三、Internet安全缺陷的位置 

网络接口层安全缺陷

一、以太网基本原理

1、以太网协议及格式

2、以太网交换机工作原理

二、交换式以太网的安全缺陷

1、MAC地址泛洪攻击

（1）MAC地址泛洪攻击原理

（2）MAC地址泛洪攻击预防

2、假冒生成树攻击

（1）攻击原理

（2）生成树攻击预防

TCP/IP概述

一、计算机网络的体系结构

1、计算机网络体系结构定义

  • 计算机网络体系结构是关于层、协议和层间接口的集合总称。或者说：计算机网络体系结构包括三个内容：分层结构与每层的功能、服务与层间接口、协议。
  • 国际化标准组织（ISO）在IBM的SAN基础上制定了网络体系结构国际标准是OSI/RM。
  • 由DARPA（Defense Advanced Research Projects Agency）的卡恩和斯坦福的瑟夫所提出的TCP/IP体系结构成为事实上的标准。

2、OSI/RM与TCP/IP对应关系

缺少网络<a class=安全组织架构 网络安全缺陷_缺少网络安全组织架构" height="411" src="https://i-blog.csdnimg.cn/img_convert/517400254b4b388e876bcefa1075d86c.png" width="817" />

3、名词释义

协议数据单元（Protocol Data Unit，PDU）是网络体系结构中对等层之间交换的信息报文的统称。在TCP/IP中，各层PDU的称谓包括：

  • 报文（Message）：应用层使用的数据报文格式，通常由具体应用层协议制定格式。
  • 段（Segment）：传输层协议使用的数据报文格式。其中，UDP协议的报文也常常称为数据包。
  • 包（Packet）：网际层协议使用的数据报文格式，常称为IP包、IP分组。
  • 帧（Frame）：网络接口层协议使用的数据报文格式，与使用的网络形式有关，如以太网、ATM、令牌网等使用完全不同的帧。

4、TCP/IP协议主要构成和功能

TCP/IP

主要协议

主要功能

应用层

Http 、Telnet 、FTP 、email 等

负责将数据发送到传输层或者从传输层接收数据

传输层

TCP、UDP

为通信双方主机上的应用程序提供端到编的通信。TCP提供高可靠性的数据通信，将来自应用层的数据分块打包交给网络层进行传输，以及确认接收到的分组等。UDP则为应用层提供不可靠的数据通信，只是把数据包的分组从一台主机发送到另一台主机，不进行接收数据的确认。

网际层

IP、ICMP、IGMP、ARP、RARP（OSI中属于链路层）

为来自传输层的数据包选择传输路由。IP是TCP/IP 协议族中最核心的协议。所有的 TCP 、UDP、ICMP、IGMP 数据都以IP数据包格式传输。

网络接口层

PPP, Ethernet, Token ring, ATM

发送时将IP包作为帧发送，接收时把收到的位组装成帧同时提供链路管理 、错误检测等。

5、各层次间调用关系

缺少网络<a class=安全组织架构 网络安全缺陷_TCP_02" height="507" src="https://i-blog.csdnimg.cn/img_convert/9c84ddd905cff6db6b07dda85eaa55cb.png" width="760" />

二、TCP/IP工作原理

缺少网络<a class=安全组织架构 网络安全缺陷_IP_03" height="396" src="https://i-blog.csdnimg.cn/img_convert/ff90422c1a09787b2d25f022615e5a08.png" width="825" />

主机间的数据通信模型

数据从信源传输到信宿的过程可描述如下：

1、信源侧
  • 应用层程序将需传输数据流封装成规定的报文格式传送给传输层。
  • 传输层将来自应用层数据报文进行分割，对于TCP协议，按照规定的格式封装成TCP段；对于UDP协议，封装成UDP数据包。最后，将封装后的数据传送给网络层。
  • 网络层给来自传输层的数据按照规定的格式封装成分组（也称为IP包），并将分组报传送给接口层 。
  • 接口层在收到来自网络层上的IP报后，按照规定的格式封装成帧，并将帧传送给路由器。
2、路由器侧

路由器是一个具有多个接口的网络互连设备。在路由器上运行有TCP/IP的下两层协议和路由选择协议。

路由选择协议的功能是根据传输数据的目的地以及当前网络各链路的状况，选择一条适当的传输路径，从而实现将数据从一个网络转发到另一个网络。

比较常见的路由选择协议有：RIP、OSPF等。

  • 接口层在接收到来自物理链路上的数据后，将数据帧的首部和尾部丢弃，并把由此获得的IP数据包传送给网（际）层。
  • 网络（际）层收到来自接口层的IP数据报后，解析数据包，取出包首部中的目的IP地址，并由路由选择协议根据目的IP地址进行计算，选择一条适当的传输路径，再将IP数据包传送给接口层。
  • 接口层再重新按照规定的格式将IP包封装成帧，并通过物理链路将帧发送到目的IP地址所在的网络。
3、信宿侧

信宿侧按照信源侧的反方向进行工作。

  • 接口层丢弃从链路上传来的数据帧的帧头和帧尾，获得IP数据包并将其传送给网络层。
  • 网络层首先计算来自接口层的IP报的校验和，并与存放在IP包首部中校验和进行比较，若不一致，则丢弃该 IP数据报；若一致，则丢弃IP 包首部，将获得的TCP段传送给传输层 。
  • 传输层检查来自网络层的TCP段中的顺序号，判断是否正确的TCP段 ，并检查TCP首部。若正确，则向信源发确认消息；若不正确或丢包，并向信源要求重发信息。
  • 对于正确的TCP段，传输层将丢弃TCP首部，按照顺序将TCP段组装成应用层报文，并将其传送给应用层。
  • 应用层在收到来自传输层的报文后，可以直接丢弃报文首部，也可以按照要求进行必要的检查，最后将获得的数据流直接传送给应用程序，从而完成一次数据传输。

数据从信源传输到信宿的过程示例：

、

缺少网络<a class=安全组织架构 网络安全缺陷_缺少网络安全组织架构_04" height="582" src="https://i-blog.csdnimg.cn/img_convert/2609d8dd8bb682d71f64efcd32289e2b.png" width="753" />

 

三、Internet安全缺陷的位置

Internet是以TCP/IP技术为基础的互联网络，TCP/IP的安全缺陷是先天因素，是由于TCP/IP设计时所在的时代与技术局限造成的。我们现在能做的就是认识和设法弥补这些缺陷，并在设计新的互联网技术时克服这些缺陷。

TCP/IP的安全缺陷存在于TCP/IP的各个层次，包括：

缺少网络<a class=安全组织架构 网络安全缺陷_缺少网络安全组织架构_05" height="223" src="https://i-blog.csdnimg.cn/img_convert/4d496375bdcd63b28233bcf6a592ce5d.png" width="777" />

网络接口层安全缺陷

在TCP/IP中并没有定义数据链路层（网络接口层）的协议，而是设计了面向现有数据链路层协议的接口，以便兼容包括以太（Ethernet）协议在内的第三方数据链路层协议。

以太网络技术是应用最广泛的局域网技术，其基础是IEEE802.3协议，定义了CSMA/CD标准的媒体访问控制（MAC）子层和物理层规范。

共享通信媒介是以太网的基础，凡是连接在同一个局域网内的主机都可以接受到在公共媒介上传输的信息。

以太网包括：标准以太网（10M bit/s)、快速以太网（100M bit/s）、千兆以太网（1000M bit/s）和10G（10Gbit/s）以太网，以及无线以太网等，并都符合IEEE802.3。

一、以太网基本原理

1、以太网协议及格式

缺少网络<a class=安全组织架构 网络安全缺陷_数据_06" height="139" src="https://i-blog.csdnimg.cn/img_convert/9259d1ff2d5c061ef6e4531409b15fb3.png" width="752" />

目的地址和源地址都是指数据链路层（网络接口层）网络中节点的标识，由IEEE管理和负责分配，也称为MAC地址。MAC地址有48位，前24位由相关设备生产厂商向IEEE申请，后24位由设备生产厂商自主设定，但需保证不发生冲突。

由于通常都是预先写进硬件设备中且修改相对困难，所以也常被称为硬件地址或物理地址。

通常，48位MAC地址按照每4位用1个十六进制数表示，共有12个十六进制数。如：00 07 e9 53 87 d9

若某个帧的目的MAC地址为ff ff ff ff ff ff，则表示此帧为广播帧

2、以太网交换机工作原理

（1）公共媒介的缺陷

缺少网络<a class=安全组织架构 网络安全缺陷_数据_07" height="109" src="https://i-blog.csdnimg.cn/img_convert/3cc02d6a0e40eabd70609b860cbc8038.png" width="399" />

（2）交换机工作原理

缺少网络<a class=安全组织架构 网络安全缺陷_TCP_08" height="354" src="https://i-blog.csdnimg.cn/img_convert/cb1f361a2061bef43f58fcffd4d88160.png" width="831" />

例1：一个已知节点向另一个已知节点发生信息：

缺少网络<a class=安全组织架构 网络安全缺陷_IP_09" height="290" src="https://i-blog.csdnimg.cn/img_convert/86e5de653c990cac975fc1984265c1f7.png" width="829" />

❏A主机连接在交换机的1号接口，已经在交换表登记

❏E主机连接在交换机的2号接口，已经在交换表中登记

例2：一个未知节点向另外一个未知节点发生信息：

缺少网络<a class=安全组织架构 网络安全缺陷_数据_10" height="298" src="https://i-blog.csdnimg.cn/img_convert/9957ea45d05d3374561b204a2570fa7d.png" width="829" />

C主机连接在交换机的1号接口，尚未在交换表中登记。

D主机连接在交换机的2号接口，尚未在交换表中登记。

缺少网络<a class=安全组织架构 网络安全缺陷_IP_11" height="54" src="https://i-blog.csdnimg.cn/img_convert/fa5c080362ce8fcd8e831ba96979d704.png" width="617" />

例3：向同一个接口号下的节点发生信息：

缺少网络<a class=安全组织架构 网络安全缺陷_缺少网络安全组织架构_12" height="405" src="https://i-blog.csdnimg.cn/img_convert/ddaa68a48803badc9e58620bf4e71961.png" width="829" />

交换完成后，交换表中新增了C主机表项。

❏A主机和B主机在交换机的同一个接口号下，交换机丢弃数据帧。

二、交换式以太网的安全缺陷

1、MAC地址泛洪攻击

交换机解决了共享媒介（HUB）同时只能一对主机进行通信的问题，而且还做到了既减少广播风暴，又防止了网络嗅探。

然而，如果黑客连续不断向交换机发送垃圾帧，结果会怎样？

（1）MAC地址泛洪攻击原理

❏由于交换表空间的有限性，新的来源MAC地址不断的填写交换表项，当表被填满后，新的表项将会替代旧的表项。

❏如果攻击者发送大量的具有不同伪造源MAC地址的帧，由于交换机的自学习功能，整个交换表将会被垃圾表项填满。当有正常的数据帧到达时，由于交换表不再有正常的MAC地址表项，交换机完全退化为广播模式，从而使得攻击者又可以用嗅探的方式窃听数据。

 

缺少网络<a class=安全组织架构 网络安全缺陷_缺少网络安全组织架构_13" height="109" src="https://i-blog.csdnimg.cn/img_convert/46e3ea8698f31619e97ac6ebe4c33369.png" width="798" />

（2）MAC地址泛洪攻击预防

本质上，针对MAC地址泛洪攻击没有理想的预防方法。

❏MAC地址-接口号绑定

固化MAC地址-接口号表项，即为每个接口号设置固定的MAC地址，只接收和转发这些固定MAC地址的数据帧。

这种方法有极大的网络维护工作量，不适用大型，并且一旦更换了网卡，必须重新绑定。

❏限制MAC地址数量

为每个交换机接口下可以连接的MAC地址数量进行限制，如交换表中每个接口只能与一个MAC地址构成表项，从而防止交换表溢出。这种方法可以防止交换表溢出，但并没有解决广播通信方式可能带来的数据窃听问题。

2、假冒生成树攻击

生成树协议 (Spanning Tree Protocol， STP)是交换机常用的协议，该协议可以修剪冗余链路，从而达到避免环路的目的。

（1）攻击原理

多个交换机运行生成树协议后，会选举一个根交换机。如果攻击者向广播域发送一个生成树消息，让交换机重新选举，并选择攻击者的交换机为根交换机，则该攻击者就达到了伪装根交换机的目的，从而获得各种数据帧或致使网络运行混乱，并使网络瘫痪。  

（2）生成树攻击预防

生成树攻击相对比较容易预防，已经在大部分交换机上配备了相应的功能，即spanning-tree root guard功能。 

根交换机如果发现了比自己优先级更高的交换机后，则端口会被置为root-inconsistent状态，这种状态类似于listen状态，忽略任何优先级更高的生成树报文，这样可以阻止连接在此端口的交换机成为根交换机。只要在3个周期（6秒内）没有再接收到优先级更高的生成树报文，可自动恢复，担当起根的责任。 

最后感谢每一个认真阅读我文章的人，礼尚往来总是要有的，虽然不是什么很值钱的东西，如果你用得到的话可以直接拿走：

上述所有都有配套的资料，这些资料，对于做【网络安全】的朋友来说应该是最全面最完整的备战仓库，这个仓库也陪伴我走过了最艰难的路程，希望也能帮助到你！凡事要趁早，特别是技术行业，一定要提升技术功底。


http://www.ppmy.cn/news/1574280.html

相关文章

视频HDR技术详解，你的电脑怎么播放HDR视频？

视频HDR技术详解，你的电脑怎么播放HDR视频？

闲聊&#xff1a;前两天在b站上面看到影视飓风的视频&#xff0c;让我有点疑惑&#xff0c;我不知道为什么播放视频有设备撑不住一说&#xff0c;所以感兴趣去ytb下载了4k原片30hz刷新的&#xff0c;然后测试一下我的电脑能不能播放&#xff0c;发现还是可以的&#xff0c;视觉…
阅读更多...
【Rust中级教程】1.16. 泛型trait：泛型（类型参数）trait、关联类型trait

【Rust中级教程】1.16. 泛型trait：泛型（类型参数）trait、关联类型trait

喜欢的话别忘了点赞、收藏加关注哦&#xff08;加关注即可阅读全文&#xff09;&#xff0c;对接下来的教程有兴趣的可以关注专栏。谢谢喵&#xff01;(&#xff65;ω&#xff65;) 这篇文章以概念性的和建议性的文字偏多&#xff0c;需要你对泛型类型参数和关联类型有一定了…
阅读更多...
【数据库系统概论】第第12章 并发控制

【数据库系统概论】第第12章 并发控制

12.1 并发控制概述 并发控制是指数据库管理系统&#xff08;DBMS&#xff09;通过控制多个事务同时执行&#xff0c;保证数据的一致性和隔离性&#xff0c;避免事务间的相互干扰。 事务串行执行不能充分利用系统资源 并发执行的优点&#xff1a;能够减少处理机的空闲 时间&a…
阅读更多...
【Gee】7天用 Go 从零实现 Web 框架 Gee

【Gee】7天用 Go 从零实现 Web 框架 Gee

7天用 Go 从零实现 Web 框架 Gee 设计一个框架 在设计一个框架之前&#xff0c;我们需要回答框架核心为我们解决了什么问题。只有理解了这一点&#xff0c;才能想明白我们需要在框架当中实现什么功能。 首先我们来看一下标准库 net/http 如何处理一个请求&#xff1a; func…
阅读更多...
计算机视觉（CV）

计算机视觉（CV）

计算机视觉&#xff08;CV&#xff09;技术是人工智能&#xff08;AI&#xff09;领域的一个重要分支&#xff0c;其优势和挑战如下所示&#xff1a; 优势&#xff1a; 自动化处理&#xff1a;CV 技术可以自动处理大量图像和视频数据&#xff0c;实现高效的信息提取和分析&am…
阅读更多...
百问网(100ask)的IMX6ULL开发板的以太网控制器(MAC)与物理层(PHY)芯片(LAN8720A)连接的原理图分析(包含各引脚说明以及工作原理)

百问网(100ask)的IMX6ULL开发板的以太网控制器(MAC)与物理层(PHY)芯片(LAN8720A)连接的原理图分析(包含各引脚说明以及工作原理)

前言 本博文承接博文 https://blog.csdn.net/wenhao_ir/article/details/145663029 。 本博文和博文 https://blog.csdn.net/wenhao_ir/article/details/145663029 的目录是找出百问网(100ask)的IMX6ULL开发板与NXP官方提供的公板MCIMX6ULL-EVK(imx6ull14x14evk)在以太网硬件…
阅读更多...
DeepSeek私有化专家 | 云轴科技ZStack入选IDC中国生成式AI市场概览

DeepSeek私有化专家 | 云轴科技ZStack入选IDC中国生成式AI市场概览

DeepSeek 火爆全球AI生态圈&#xff0c;并引发企业用户大量私有化部署需求。 国际数据公司IDC近日发文《DeepSeek爆火的背后&#xff0c;大模型/生成式AI市场生态潜在影响引人关注》&#xff0c;认为中国市场DeepSeekAI模型的推出在大模型/生成式AI市场上引起了轰动&#xff0c…
阅读更多...
Android TabLayout 实现随意控制item之间的间距

Android TabLayout 实现随意控制item之间的间距

效果 红色标注是不同的间距。 实现方式 1、xml中定义 <com.google.android.material.tabs.TabLayoutandroid:id"id/tab_layout"android:layout_width"wrap_content"app:tabIndicatorColor"color/color_FF00B2E3"app:tabBackground"a…
阅读更多...
最新文章

Copyright @ 2022~2023