网络安全防范

news2024/12/22 18:43:51
实践内容
学习总结

  • PDR，$$P^2$$DR安全模型。

  • 防火墙（Firewall）：

    网络访问控制机制，布置在网际间通信的唯一通道上。

    不足：无法防护内部威胁，无法阻止非网络传播形式的病毒，安全策略不够精细。

    包过滤技术：数据包包头信息的检查和安全策略匹配。

    代理（Proxy）：建立非直接网络连接。

    netfilter/iptables：前者为功能模块，后者为管理工具。包含最基本的三个表，filter（包过滤处理），nat（地址转换），mangle（数据包修改）。

其中的五个规则链对应者netfilter在TCP/IP协议中的五个Hook检查点（上下两部分分别对应外内数据通道）。

PREROUTING 对应检查点 1，检查进入主机的数据包，用于源地址NAT转换；INPUT对应检查点2，检查发往本地网络协议栈的数据包，用于过滤本地网络服务的连接；FORWARD对应检查点3，用于经由本地路由转发的数据包检查，过滤网络连接；ROSTROUTING对应检查点4，用于目的地址NAT转换；OUTPUT对应检查点5，对本地发出的数据包进行检查，可用于本地对外的访问控制。

Iptables：基本命令为

iptables [-t table] command [match][target]

-t 指定表， command 指定规则链，match 指定匹配条件，target指定目标操作
eg: iptables -t filter -A FORWARD -s 192.168.0.0/24 -d 192.168.1.0/24 -j ACCEPT
即指定filter表，对路由转发的数据进行网段流量的筛选，-A 追加命令规则至规则链尾，-s,-t 源目的地址 -j ACCEPT 指定ACCEPT操作（常用默认为ACCEPT或DROP）

动态包过滤命令（状态跟踪命令）

eg: iptables -t filter -A FORWARD -d [WEB_SERVER] -m state --state NEW -j ACCEPT
即允许连接目标为Web_server的ip, 当前状态为NEW(新建连接)的网络连接可通过防火墙转发

ip伪装（利用nat规则链）

通过一个在防火墙绑定一个外网ip共享进行外部访问
eg: iptables -t nat -A POSTROUTING -i eth1 -o eth0 -j MASQUERADE 
-MASQUERADE（ip伪装）
eg: iptables -t -nat -A POSTROUTING -p tcp -o eth0 -j SNAT --to 1.2.3.4:1-1023
将通过路由发出的tcp网络连接的源ip改为1.2.3.4,端口为前1023个端口（除0端口外的保留端口）

转化目的ip

eg: iptables -t nat -A PREROUTING -i eth1 -j DNAT --to 5.6.7.8
将目的地址转换为5.6.7.8

  • 入侵检测：

    入侵者分类：

    检测指标：检测率（True Positive）和误报率（False Positive），前者为捕获到的攻击数和全部攻击数目之比，后者为对正常行为的误报数和全部报警数目之比。综合分析可用ROC曲线（改变算法阈值，得到检-误曲线）。

    snort（sniffer and more，解码器（sniffer）+ 预处理器 + 检测引擎 + 出输出模块）：

    解码器：将网卡设置为混杂模式，利用libpacp抓包函数进行数据包监听和捕获，在调用循环pacp_loop()中调用ProcessPacket()，利用decode.c解码。

    预处理器：会话重组，编码规范，一些检测的预处理。

    检测引擎：入侵检测功能的主体模块，主要包含规则库解析，多模式匹配，规则插件检测。其中Snort规则采用文本格式，分为规则头和规则选项。

    规则头：

    eg:alert tcp $EXTERNAL_NET any -> $HOME_NET 21
alert 输出格式，报警信息方式，此外还有 log,pass,dynamic等
TCP 协议字段
$EXTERNAL_NET 源ip地址匹配范围位置，这里为外部网段网络
any 源端口位置，这里设为任何源端口
$HOME_NET 目标地址匹配范围位置
21 攻击目的端口位置，这里为21

    规则选项：

    eg:(msg:"FTP EXPLOIT wu-ftpd 2.6.0 site exec format string overflow Linux"; flow:to_server, established; content: "|131c0000000000db|"; reference:bugtraq, 1387; reference:cve, CAN-2000-0573; reference:arachnids, 287; class type:attempted; sid:344; rev:4)
msg: 报警信息
flow: 匹配当前连接状态及流方向
content：标识用于字符串匹配的攻击特征
reference: 对第三方攻击的解释
classtype: 分类目录，识别攻击及优先级
sid: 规则的唯一标识号
rev: 规则版本号

    五个解析后的规则表：Activation, Dynamic, Alert, Pass, Log(只记录不报警)。

    输出模块:处理信息的记录。

实践内容
  • 过滤ICMP数据包，使主机不接受Ping包。
  • 只允许特定IP地址访问主机的某一网络服务。
  • 从离线的pcap文件读取网络日志数据源。
  • 在snort.conf中配置明文输出报警日志文件。
  • 指定报警日志log目录（/var/log/snort）。
  • 分析脚本：/etc/init.d/rc.firewall, /etc/init.c/hflow-snort, /etc/snort/snort.conf, /etc/init.d/hflow-snort_inline, /etc/snort_online/snort_inline.conf。包括网关的捕获和数据控制机制，IPTables规则列表，Snort和Snort_inline执行参数，网关开机后，防火墙、NIDS、NIPS是如何启动的，Snort规则是如何自动升级的。
实践过程
实验机器ip
A(kali)192.168.200.7
B(SEED)192.168.200.2
C(metas..linux)192.168.200.125
命令详情查询iptables -h， snort -h及上述内容

  • 过滤ICMP数据包，使主机不接受Ping包

    选取A，B,确定A，B可相ping通后，在A中输入命令iptables -t filter -A INPUT -p icmp -j DROP阻塞ping包，发现B已经不能ping通A：

查看 chain rules list确认阻塞ping包规则：

  • 只允许特定IP地址访问主机的某一网络服务

    此实验为禁止某一ip访问操作，“只允许”实验操作步骤为禁止所有ip访问某端口后添加可访问的ip,参考iptables 设置特定IP访问指定端口 。

    操作类似阻塞ping包操作。首先选取A，B，C，其中A访问被控制，B提供服务，确认实验之前A,C皆可访问B的网络服务，本实验访问ftp服务。然后在B中输入命令iptables -t -filter -A INPUT -s 192.168.200.7 -p tcp --dport 21 -j DROP：

    发现A已经不能访问B的ftp服务，但C依然可以：

    查看 chain rules list确认阻塞端口21访问规则：

  • 从离线的pcap文件读取网络日志数据源

    命令snort -r /file/path:

    得到文件listen.pcap输出的一大长串报告：

    分析上次写过了，这次就不写了。

  • 在snort.conf中配置明文输出报警日志文件

    貌似默认明文（-K<model> ascii）输出，但是还是进入配置文件查看，在output模块输出配置中并未发现关于编码格式的配置（可能在预处理模块中）。

  • 指定报警日志log目录（/var/log/snort）

    虽然在配置文件中未找到输出编码格式配置，但发现了log_to_dir 配置注释:

    命令 snort -l /var/log/snort执行后初始化output模块插件，并作一次网口抓包分析（也不知道为啥进行这次操作，可能是为了验证上述命令生效）:

    查看目录，有刚扫描的文件:

  • 分析脚本：/etc/init.d/rc.firewall, /etc/init.d/hflow-snort, /etc/snort/snort.conf, /etc/init.d/hflow-snort_inline, /etc/snort_online/snort_inline.conf。包括网关的捕获和数据控制机制，IPTables规则列表，Snort和Snort_inline执行参数，网关开机后，防火墙、NIDS、NIPS是如何启动的，Snort规则是如何自动升级的:

    对个人来说，读这种源码基本是让我读注释：

  1. 查看/etc/init.d/rc.firewall分析数据的捕获和控制：

    基本上就是利用一些基本模块（），flush模块（用于清除all tables），create_chains模块（创建规则链），default_policy和localhost_policy模块（用于控制本地主机访问和缺省访问数据的策略），management_policy模块（管理的访问权限设置）进行数据包捕获和控制：

    捕获到数据包后，检查其变量（ip啥的），如果在blacklist（creat_chains）里，就丢弃且不log:

    如果在whitelist里，接受且不log:

    如果在fencelist里,接受且log:

    然后就是根据网卡模式进行一些防火墙的设置，并且进行一些更细致的命令设置和协议handle以用来控制匹配命令。

  2. IPTables规则列表

    命令 iptables --list|less观察规则列表：

  3. Snort和Snort_inline执行参数

    snort:

    查看/etc/snort/snort.conf（没有文件/etc/init.d/hflow-snort，只有.../hflow,难顶 ）,variable设置包括 HOME_NET, server lists, service ports for attacks,以及一些其他的variables：

    snort_inline:

    查看/etc/init.d/hw-snort_inline(同样没找到文件.../hflow-snort_inline，配置文件中也只有一些默认网络变量设置，不需人为设置)查看执行参数：

  4. 网关开机后，防火墙、NIDS、NIPS是如何启动的，Snort规则是如何自动升级的:

    命令 chkconfig --list|grep [服务]查询服务状态（这里操作没看源码，也不知道配置文件写没写这些，参考的同学博客），发现snort_inline的开启与防火墙（系统）同步，snortd需手动设置：

    Snort规则的手动升级可通过编辑local.rules文件，自动升级则需通过Oinkmaster（社区默认工具）或者pullpork等工具。

学习问题及解决
  1. 找不到书上指定的文件
实践总结

安全防护通过防火墙，入侵检测等方式进行，需系统掌握工具的命令及一些安全防护的思想。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2263845.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

GhostRace: Exploiting and Mitigating Speculative Race Conditions-记录

GhostRace: Exploiting and Mitigating Speculative Race Conditions-记录

文章目录 论文背景Spectre-PHT&#xff08;Transient Execution &#xff09;Concurrency BugsSRC/SCUAF和实验条件 流程Creating an Unbounded UAF WindowCrafting Speculative Race ConditionsExploiting Speculative Race Conditions poc修复flush and reload 论文 https:/…
阅读更多...
c4d动画怎么导出mp4视频，c4d动画视频格式设置

c4d动画怎么导出mp4视频，c4d动画视频格式设置

宝子们&#xff0c;今天来给大家讲讲 C4D 咋导出mp4视频的方法。通过用图文教程的形式给大家展示得明明白白的&#xff0c;让你能轻松理解和掌握&#xff0c;不管是理论基础&#xff0c;还是实际操作和技能技巧&#xff0c;都能学到&#xff0c;快速入门然后提升自己哦。 c4d动…
阅读更多...
你的第一个博客-第一弹

你的第一个博客-第一弹

使用 Flask 开发博客 Flask 是一个轻量级的 Web 框架&#xff0c;适合小型应用和学习项目。我们将通过 Flask 开发一个简单的博客系统&#xff0c;支持用户注册、登录、发布文章等功能。 步骤&#xff1a; 安装 Flask 和其他必要库&#xff1a; 在开发博客之前&#xff0c;首…
阅读更多...
嵌入式单片机的运行方式详解

嵌入式单片机的运行方式详解

程序的运行方式轮询系统 指的是在程序运行时，首先对所有的硬件进行初始化，然后在主程序中写一个死循环，需要运行的功能按照顺序进行执行，轮询系统是一种简单可靠的方式，一般适用于在只需要按照顺序执行的并且没有外部事件的影响的情况下。 程序的运行过程中出现如按键等需…
阅读更多...
学技术学英文：SpringBoot的内置监控组件-Spring Boot Actuator

学技术学英文：SpringBoot的内置监控组件-Spring Boot Actuator

导读&#xff1a; Spring Boot Actuator是Spring Boot提供的一个模块&#xff0c;简单配置后就能开启&#xff0c;属于拿来即用&#xff0c;具体功能如下&#xff1a; 监控和管理Spring Boot应用 Spring Boot Actuator提供了一组REST端点和命令行工具&#xff0c;用于查看应…
阅读更多...
「Mac畅玩鸿蒙与硬件45」UI互动应用篇22 - 评分统计工具

「Mac畅玩鸿蒙与硬件45」UI互动应用篇22 - 评分统计工具

本篇将带你实现一个评分统计工具&#xff0c;用户可以对多个选项进行评分。应用会实时更新每个选项的评分结果&#xff0c;并统计平均分。这一功能适合用于问卷调查或评分统计的场景。 关键词 UI互动应用评分统计状态管理数据处理多目标评分 一、功能说明 评分统计工具允许用…
阅读更多...
压缩glb模型文件

压缩glb模型文件

使用?gltf-pipeline进行压缩&#xff1a; GitHub地址[这里是图片001]https://github.com/CesiumGS/gltf-pipeline 1. 安装gltf-pipeline npm install -g gltf-pipeline2. 在glb文件目录打开cmd进行命令行压缩&#xff1a; // cmd: gltf-pipeline -i glb.glb -d -s以下是 -…
阅读更多...
创建SpringBoot项目的五种方式

创建SpringBoot项目的五种方式

1. 使用SpringBoot官方模板创建 1.1 IDEA集成创建 File > new Project 目前SpringBoot官方对于SpringBoot模板版本都比较新&#xff0c;所以对Java的依赖版本也很新&#xff0c;这里可以看到已经不支持jdk8了&#xff0c;并且只有SpringBoot3版本 我们选择好之后点击…
阅读更多...
软件维护的实施

软件维护的实施

软件维护活动 (1) 维护机构 除了较大的软件开发公司外&#xff0c;通常在软件维护工作方面&#xff0c;不保持正式的维护机构。维护往往是在没有计划的情况下进行的。虽然不要求建立一个正式的维护机构&#xff0c;但是在开发部门&#xff0c;确立一个非正式的维护机构则是非常…
阅读更多...
stm32 rtc 详解

stm32 rtc 详解

目录 L151 RTC 唤醒代码 方式一 通过 RTC Alarm Interrupt&#xff1a;(基本和F1系列一样)&#xff1a; L151 RTC 唤醒代码 方式二 通过 RTC WakeUp Interrupt F103VE RTC 闹钟唤醒代码 &#xff08;103RC 没有闹钟中断&#xff09;&#xff1a; RTC&#xff08;real time…
阅读更多...
arcgisPro相接多个面要素转出为完整独立线要素

arcgisPro相接多个面要素转出为完整独立线要素

1、使用【面转线】工具&#xff0c;并取消勾选“识别和存储面邻域信息”&#xff0c;如下&#xff1a; 2、得到的线要素&#xff0c;如下&#xff1a;
阅读更多...
机器人国际会议IROS论文latex模板

机器人国际会议IROS论文latex模板

机器人国际会议IROS论文latex模板 文档 root.tex 可以配置为 US Letter 纸或 A4。请注意以下重要行&#xff1a;\documentclass[letterpaper, 10 pt, Conference]{ieeeconf} % 如果需要 a4paper&#xff0c;请注释掉此行%\documentclass[a4paper, 10pt, Conference]{ieeeconf} …
阅读更多...
JVM和数据库面试知识点

JVM和数据库面试知识点

JVM内存结构 主要有几部分&#xff1a;堆、栈、方法区和程序计数器 堆是JVM中最大的一块内存区域&#xff0c;用于存储对象实例&#xff0c;一般通过new创建的对象都存放在堆中。堆被所有的线程共享&#xff0c;但是它的访问时线程不安全的&#xff0c;通常通过锁的机制来保证线…
阅读更多...
数据结构：栈和队列的实现

数据结构：栈和队列的实现

栈&#xff1a;一种特殊的线性表&#xff0c;其只允许在固定的一端进行插入和删除元素操作。 进行数据插入和删除操作的一端 称为栈顶&#xff0c;另一端称为栈底。 栈中的数据元素遵守后进先出 LIFO &#xff08; Last In First Out &#xff09;的原则。 压栈&#xff1a;栈…
阅读更多...
实现 WebSocket 接入文心一言

实现 WebSocket 接入文心一言

目录 什么是 WebSocket&#xff1f; 为什么需要 WebSocket&#xff1f; HTTP 的局限性 WebSocket 的优势 总结&#xff1a;HTTP 和 WebSocket 的区别 WebSocket 的劣势 WebSocket 常见应用场景 WebSocket 握手过程 WebSocket 事件处理和生命周期 WebSocket 心跳机制 …
阅读更多...
开源轮子 - Logback 和 Slf4j

开源轮子 - Logback 和 Slf4j

spring boot内置&#xff1a;Logback 文章目录 spring boot内置&#xff1a;Logback一&#xff1a;Logback强在哪&#xff1f;二&#xff1a;简单使用三&#xff1a;把 log4j 转成 logback四&#xff1a;日志门面SLF4J1&#xff1a;什么是SLF4J2&#xff1a;SLF4J 解决了什么痛…
阅读更多...
MFC/C++学习系列之简单记录13

MFC/C++学习系列之简单记录13

MFC/C学习系列之简单记录13 前言memsetList Control代码注意 总结 前言 今天记录一下memset和List control 的使用吧&#xff01; memset memset通常在初始化变量或清空内存区域的时候使用&#xff0c;可以对变量设定特定的值。 使用&#xff1a; 头文件&#xff1a; C&#…
阅读更多...
Layui table不使用url属性结合laypage组件实现动态分页

Layui table不使用url属性结合laypage组件实现动态分页

从后台一次性获取所有数据赋值给 Layui table 组件的 data 属性&#xff0c;若数据量大时&#xff0c;很可能会超出浏览器字符串最大长度&#xff0c;导致渲染数据失败。Layui table 结合 laypage 组件实现动态分页可解决此问题。 HTML增加分页组件标签 在table后增加一个用于…
阅读更多...
网络方案设计

网络方案设计

一、网络方案设计目标 企业网络系统的构成 应用软件 计算平台 物理网络及拓扑结构 网络软件及工具软件 网络互连设备 广域网连接 无论是复杂的&#xff0c;还是简单的计算机网络&#xff0c;都包括了以下几个基本元素 &#xff1a; 应用软件----支持用户完成专门操作的软件。…
阅读更多...
QT QWidget 背景颜色 鼠标hover 背景颜色研究

QT QWidget 背景颜色 鼠标hover 背景颜色研究

自定义控件 UserAvatarWidget 的样式问题及解决方案 场景描述 我开发了一个继承自 QWidget 的自定义控件 UserAvatarWidget&#xff0c;并在 .ui 文件中引入了该控件。引入代码如下&#xff1a; <item><widget class"UserAvatarWidget" name"userAv…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023