网站建设可行性分析报告,怎样如何做网站赚钱,网站建设毕业答辩问题,建设网站群的意义网络安全威胁类别
网络内部的威胁#xff0c;网络的滥用#xff0c;没有安全意识的员工#xff0c;黑客#xff0c;骇客。
木马攻击原理
C/S 架构#xff0c;服务器端被植入目标主机#xff0c;服务器端通过反弹连接和客户端连接。从而客户端对其进行控制。
病毒
一…网络安全威胁类别
网络内部的威胁网络的滥用没有安全意识的员工黑客骇客。
木马攻击原理
C/S 架构服务器端被植入目标主机服务器端通过反弹连接和客户端连接。从而客户端对其进行控制。
病毒
一些恶意的计算机程序具有传播性破坏性隐蔽性的特点。 网络攻击类型
主要分为三类
侦查攻击搜集网络存在的弱点以进一步攻击网络。分为扫描攻击和网络监听扫描攻击有端口扫描主机扫描漏洞扫描。
主要指只通过软件将使用者计算机网卡的模式置为混杂模式从而查看通过此网络的重要明文信息。
端口扫描根据 TCP 协议规范当一台计算机收到一个TCP 连接建立请求报文TCP SYN 的时候做这样的处理
1、如果请求的TCP端口是开放的则回应一个TCP ACK 报文 并建立TCP连接控制结构TCB
2、如果请求的TCP端口没有开放则回应一个TCP RSTTCP头部中的RST标志设为1报文告诉发起计算机该端口没有开放。
相应的如果IP协议栈收到一个UDP报文做如下处理
1、如果该报文的目标端口开放则把该UDP 报文送上层协议UDP 处理 不回应任何报文上层协议根据处理结果而回应的报文例外
2、如果该报文的目标端口没有开放则向发起者回应一个ICMP 不可达报文告诉发起者计算机该UDP报文的端口不可达。
利用这个原理攻击者计算机便可以通过发送合适的报文判断目标计算机哪些TC 或UDP端口是开放的。
过程如下
1、发出端口号从0开始依次递增的TCP SYN或UDP报文端口号是一个16比特的数字这样最大为65535数量很有限
2、如果收到了针对这个TCP 报文的RST 报文或针对这个UDP 报文 的 ICMP 不可达报文则说明这个端口没有开放
3、相反如果收到了针对这个TCP SYN报文的ACK报文或者没有接收到任何针对该UDP报文的ICMP报文则说明该TCP端口是开放的UDP端口可能开放因为有的实现中可能不回应ICMP不可达报文即使该UDP 端口没有开放 。
这样继续下去便可以很容易的判断出目标计算机开放了哪些TCP或UDP端口然后针对端口的具体数字进行下一步攻击这就是所谓的端口扫描攻击。
主机扫描即利用ICMP原理搜索网络上存活的主机。
网络踩点Footprinting
攻击者事先汇集目标的信息通常采用whois、Finger等工具和DNS、LDAP等协议获取目标的一些信息如域名、IP地址、网络拓扑结构、相关的用户信息等这往往是黑客入侵之前所做的第一步工作。
扫描攻击
扫描攻击包括地址扫描和端口扫描等通常采用ping命令和各种端口扫描工具可以获得目标计算机的一些有用信息例如机器上打开了哪些端口这样就知道开设了哪些服务从而为进一步的入侵打下基础。
协议指纹
黑客对目标主机发出探测包由于不同操作系统厂商的IP协议栈实现之间存在许多细微的差别也就是说各个厂家在编写自己的TCP/IP 协议栈时通常对特定的RFC指南做出不同的解释因此各个操作系统都有其独特的响应方法黑客经常能确定出目标主机所运行的操作系统。
常常被利用的一些协议栈指纹包括TTL值、TCP窗口大小、DF 标志、TOS、IP碎片处理、 ICMP处理、TCP选项处理等。
信息流监视
这是一个在共享型局域网环境中最常采用的方法。
由于在共享介质的网络上数据包会经过每个网络节点 网卡在一般情况下只会接受发往本机地址或本机所在广播或多播地址的数据包但如果将网卡设置为混杂模式Promiscuous网卡就会接受所有经过的数据包。
基于这样的原理黑客使用一个叫sniffer的嗅探器装置可以是软件也可以是硬件就可以对网络的信息流进行监视从而获得他们感兴趣的内容例如口令以及其他秘密的信息。
访问攻击密码攻击密码暴力猜测特洛伊木马程序数据包嗅探等方式。中间人攻击截获数据窃听数据内容引入新的信息到会话会话劫持session hijacking利用TCP协议本身的不足在合法的通信连接建立后攻击者可以通过阻塞或摧毁通信的一方来接管已经过认证建立起来的连接从而假冒被接管方与对方通信。
拒绝服务攻击伪装大量合理的服务请求来占用过多的服务资源从而使合法用户无法得到服务响应。
要避免系统遭受DoS 攻击从前两点来看网络管理员要积极谨慎地维护整个系统确保无安全隐患和漏洞
而针对第四点第五点的恶意攻击方式则需要安装防火墙等安 全设备过滤DoS攻击同时强烈建议网络管理员定期查看安全设备的日志及时发现对系统存在安全威胁的行为。
常见拒绝服务攻击行为特征与防御方法
拒绝服务攻击是最常见的一类网络攻击类型。
在这一攻击原理下它又派生了许多种不同的攻击方式。
正确了解这些不同的拒绝攻击方式就可以为正确、系统地为自己所在企业部署完善的安全防护系统。
入侵检测的最基本手段是采用模式匹配的方法来发现入侵攻击行为。
要有效的进行反攻击首先必须了解入侵的原理和工作机理只有这样才能做到知己知彼从而有效的防止入侵攻击行为的发生。
下面我们针对几种典型的拒绝服务攻击原理进行简要分析并提出相应的对策。
死亡之Ping Ping of death攻击
由于在早期的阶段路由器对包的最大大小是有限制的许多操作系统TCP/IP栈规定ICMP包的大小限制在64KB 以内。
在对ICMP数据包的标题头进行读取之后是根据该标题头里包含的信息来为有效载荷生成缓冲区。
当大小超过64KB的ICMP包就会出现内存分配错误导致TCP/IP堆栈崩溃从而使接受方计算机宕机。
这就是这种“死亡之Ping”攻击的原理所在。
根据这一攻击原理黑客们只需不断地通过Ping命令向攻击目标发送超过64KB的数据包就可使目标计算机的TCP/IP堆栈崩溃致使接受方宕机。
防御方法现在所有的标准TCP/IP协议都已具有对付超过64KB大小数据包的处理能力并且大多数防火墙能够通过对数据包中的信息和时间间隔分析自动过滤这些攻击。
Windows 98 、Windows NT 4.0SP3之后、Windows 2000/XP/Server 2003 、Linux 、Solaris和Mac OS等系统都已具有抵抗一般“Ping of death ”拒绝服务攻击的能力。
此外对防火墙进行配置阻断ICMP 以及任何未知协议数据包都可以防止此类攻击发生。
泪滴 teardrop攻击
对于一些大的IP数据包往往需要对其进行拆分传送这是为了迎合链路层的MTU最大传输单元的要求。
比如一个6000 字节的IP包在MTU为2000的链路上传输的时候就需要分成三个IP包。
在IP 报头中有一个偏移字段和一个拆分标志MF。
如果MF标志设置为1则表面这个IP包是一个大IP包的片断其中偏移字段指出了这个片断在整个 IP包中的位置。
例如对一个6000字节的IP包进行拆分MTU为2000则三个片断中偏移字段的值依次为020004000。
这样接收端在全部接收完IP数据包后就可以根据这些信息重新组装没正确的值这样接收端在收后这些分拆的数据包后就不能按数据包中的偏移字段值正确重合这些拆分的数据包但接收端会不断偿试这样就可能致使目标计算朵操作系统因资源耗尽而崩溃。
泪滴攻击利用修改在TCP/IP 堆栈实现中信任IP碎片中的包的标题头所包含的信息来实现自己的攻击。
IP分段含有指示该分段所包含的是原包的哪一段的信息某些操作系统如SP4 以前的 Windows NT 4.0 的TCP/IP 在收到含有重叠偏移的伪造分段时将崩溃不过新的操作系统已基本上能自己抵御这种攻击了。
防御方法尽可能采用最新的操作系统或者在防火墙上设置分段重组功能由防火墙先接收到同一原包中的所有拆分数据包然后完成重组工作而不是直接转发。
因为防火墙上可以设置当出现重叠字段时所采取的规则。
TCP SYN 洪水TCP SYN Flood攻击
TCP/IP栈只能等待有限数量ACK应答消息因为每台计算机用于创建TCP/IP连接的内存缓冲区都是非常有限的。
如果这一缓冲区充满了等待响应的初始信息则该计算机就会对接下来的连接停止响应直到缓冲区里的连接超时。
TCP SYN 洪水攻击正是利用了这一系统漏洞来实施攻击的。
攻击者利用伪造的IP地址向目标发出多个连接SYN请求。
目标系统在接收到请求后发送确认信息并等待回答。
由于黑客们发送请示的IP地址是伪造的所以确认信息也不会到达任何计算机当然也就不会有任何计算机为此确认信息作出应答了。
而在没有接收到应答之前目标计算机系统是不会主动放弃的继续会在缓冲区中保持相应连接信息一直等待。
当达到一定数量的等待连接后缓区部内存资源耗尽从而开始拒绝接收任何其他连接请求当然也包括本来属于正常应用的请求这就是黑客们的最终目的。
防御方法在防火墙上过滤来自同一主机的后续连接。
不过“SYN洪水攻击”还是非常令人担忧的由于此类攻击并不寻求响应所以无法从一个简单高容量的传输中鉴别出来。
防火墙的具体抵御TCP SYN 洪水攻击的方法在防火墙的使用手册中有详细介绍。
Land 攻击
这类攻击中的数据包源地址和目标地址是相同的当操作系统接收到这类数据包时不知道该如何处理或者循环发送和接收该数据包以此来消耗大量的系统资源从而有可能造成系统崩溃或死机等现象。
防御方法这类攻击的检测方法相对来说比较容易因为它可以直接从判断网络数据包的源地址和目标地址是否相同得出是否属于攻击行为。
反攻击的方法当然是适当地配置防火墙设备或包过滤路由器的包过滤规则。
并对这种攻击进行审计记录事件发生的时间源主机和目标主机的MAC地址和IP地址从而可以有效地分析并跟踪攻击者的来源。
Smurf 攻击
这是一种由有趣的卡通人物而得名的拒绝服务攻击。
Smurf攻击利用多数路由器中具有同时向许多计算机广播请求的功能。
攻击者伪造一个合法的IP地址然后由网络上所有的路由器广播要求向受攻击计算机地址做出回答的请求。
由于这些数据包表面上看是来自已知地址的合法请求因此网络中的所有系统向这个地址做出回答最终结果可导致该网络的所有主机都对此ICMP应答请求作出答复导致网络阻塞这也就达到了黑客们追求的目的了。
这种Smurf攻击比起前面介绍的“Ping of Death ”洪水的流量高出一至两个数量级更容易攻击成功。
还有些新型的Smurf攻击将源地址改为第三方的受害者不再采用伪装的IP地址最终导致第三方雪崩。
防御方法关闭外部路由器或防火墙的广播地址特性并在防火墙上设置规则丢弃掉ICMP协议类型数据包。
Fraggle 攻击
Fraggle 攻击只是对Smurf 攻击作了简单的修改使用的是UDP协议应答消息而不再是ICMP协议了因为黑客们清楚 UDP 协议更加不易被用户全部禁止。
同时Fraggle攻击使用了特定的端口通常为7号端口但也有许多使用其他端口实施 Fraggle 攻击的攻击与Smurf 攻击基本类似不再赘述。
防御方法关闭外部路由器或防火墙的广播地址特性。在防火墙上过滤掉UDP报文或者屏蔽掉一些常被黑客们用来进Fraggle攻击的端口。
电子邮件炸弹
电子邮件炸弹是最古老的匿名攻击之一通过设置一台计算机不断地向同一地址发送大量电子邮件来达到攻击目的此类攻击能够耗尽邮件接受者网络的带宽资源。
防御方法对邮件地址进行过滤规则配置自动删除来自同一主机的过量或重复的消息。
虚拟终端VTY耗尽攻击
这是一种针对网络设备的攻击比如路由器交换机等。
这些网络设备为了便于远程管理一般设置了一些TELNET用户界面即用户可以通过TELNET到该设备上对这些设备进行管理。
一般情况下这些设备的TELNET用户界面个数是有限制的。比如5个或10个等。
这样如果一个攻击者同时同一台网络设备建立了5个或10个TELNET连接。
这些设备的远程管理界面便被占尽这样合法用户如果再对这些设备进行远程管理则会因为TELNET连接资源被占用而失败。
ICMP洪水
正常情况下为了对网络进行诊断一些诊断程序比如PING等会发出ICMP响应请求报文ICMP ECHO接收计算机接收到ICMP ECHO 后会回应一个ICMP ECHO Reply 报文。
而这个过程是需要CPU 处理的有的情况下还可能消耗掉大量的资源。比如处理分片的时候。
这样如果攻击者向目标计算机发送大量的ICMP ECHO报文产生ICMP洪水则目标计算机会忙于处理这些ECHO 报文而无法继续处理其它的网络数据报文这也是一种拒绝服务攻击DOS。
WinNuke 攻击
NetBIOS 作为一种基本的网络资源访问接口广泛的应用于文件共享打印共享 进程间通信 IPC以及不同操作系统之间的数据交换。
一般情况下NetBIOS 是运行在 LLC2 链路协议之上的是一种基于组播的网络访问接口。
为了在TCP/IP协议栈上实现NetBIOS RFC规定了一系列交互标准以及几个常用的 TCP/UDP 端口
139NetBIOS 会话服务的TCP 端口
137NetBIOS 名字服务的UDP 端口
136NetBIOS 数据报服务的UDP 端口。
WINDOWS操作系统的早期版本WIN95/98/NT 的网络服务文件共享等都是建立在NetBIOS之上的。
因此这些操作系统都开放了139端口最新版本的WINDOWS 2000/XP/2003 等为了兼容也实现了NetBIOS over TCP/IP功能开放了139端口。
WinNuke 攻击就是利用了WINDOWS操作系统的一个漏洞向这个139端口发送一些携带TCP带外OOB数据报文。
但这些攻击报文与正常携带OOB数据报文不同的是其指针字段与数据的实际位置不符即存在重合这样WINDOWS操作系统在处理这些数据的时候就会崩溃。
分片 IP 报文攻击
为了传送一个大的IP报文IP协议栈需要根据链路接口的MTU对该IP报文进行分片通过填充适当的IP头中的分片指示字段接收计算机可以很容易的把这些IP 分片报文组装起来。
目标计算机在处理这些分片报文的时候会把先到的分片报文缓存起来然后一直等待后续的分片报文。
这个过程会消耗掉一部分内存以及一些IP协议栈的数据结构。
如果攻击者给目标计算机只发送一片分片报文而不发送所有的分片报文这样攻击者计算机便会一直等待直到一个内部计时器到时。
如果攻击者发送了大量的分片报文就会消耗掉目标计 算机的资源而导致不能相应正常的IP报文这也是一种DOS攻击。
Teardrop
分段攻击。利用了重装配错误通过将各个分段重叠来使目标系统崩溃或挂起。
路由协议攻击
网络设备之间为了交换路由信息常常运行一些动态的路由协议这些路由协议可以完成诸如路由表的建立路由信息的分发等功能。
常见的路由协议有RIPOSPFIS-ISBGP等。
这些路由协议在方便路由信息管理和传递的同时也存在一些缺陷如果攻击者利用了路由协议的这些权限对网络进行攻击可能造成网络设备路由表紊乱这足可以导致网络中断网络设备资源大量消耗甚至导致网络设备瘫痪。
常见路由协议的攻击方式及原理
针对 RIP 协议的攻击
RIP即路由信息协议是通过周期性一般情况下为30S的路由更新报文来维护路由表的。
一台运行RIP路由协议的路由器如果从一个接口上接收到了一个路由更新报文它就会分析其中包含的路由信息并与自己的路由表作出比较。
如果该路由器认为这些路由信息比自己所掌握的要有效它便把这些路由信息引入自己的路由表中。
这样如果一个攻击者向一台运行RIP协议的路由器发送了人为构造的带破坏性的路由更新报文就很容易的把路由器的路由表搞紊乱从而导致网络中断。
如果运行RIP路由协议的路由器启用了路由更新信息的HMAC验证则可从很大程度上避免这种攻击。
针对 OSPF 路由协议的攻击
OSPF即开放最短路径优先是一种应用广泛的链路状态路由协议。
该路由协议基于链路状态算法具有收敛速度快平稳杜绝环路等优点十分适合大型的计算机网络使用。
OSPF路由协议通过建立邻接关系来交换路由器的本地链路信息然后形成一个整网的链路状态数据库针对该数据库路由器就可以很容易的计算出路由表。
可以看出如果一个攻击者冒充一台合法路由器与网络中的一台路由器建立邻接关系并向攻击路由器输入大量的链路状态广播LSA组成链路状态数据库的数据单元就会引导路由器形成错误的网络拓扑结构从而导致整个网络的路由表紊乱导致整个网络瘫痪。
当前版本的WINDOWS操作系统都实现了OSPF路由协议功能因此一个攻击者可以很容易的利用这些操作系统自带的路由功能模块进行攻击。
跟RIP类似如果OSPF启用了报文验证功能HMAC验证则可以从很大程度上避免这种攻击。
针对 IS-IS 路由协议的攻击
IS-IS 路由协议即中间系统到中间系统是ISO提出来对ISO的CLNS网络服务进行路由的一种协议。
这种协议也是基于链路状态的原理与OSPF类似。
IS-IS路由协议经过扩展可以运行在IP网络中对IP报文进行选路。
这种路由协议也是通过建立邻居关系收集路由器本地链路状态的手段来完成链路状态数据库同步的。
该协议的邻居关系建立比OSPF简单而且也省略了OSPF特有的一些特性使该协议简单明了伸缩性更强。
对该协议的攻击与OSPF类似通过一种模拟软件与运行该协议的路由器建立邻居关系然后传送给攻击路由器大量的链路状态数据单元LSP可以导致整个网络路由器的链路状态数据库不一致因为整个网络中所有路由器的链路状态数据库都需要同步到相同的状态从而导致路由表与实际情况不符致使网络中断。
与OSPF类似如果运行该路由协议的路由器启用了IS-IS协议单元PDUHMAC验证功能则可以从很大程度上避免这种攻击。
应用层攻击
能够使用多种不同的方法来实现最平常的方法是应用服务器上通常可找到的应用软件如 SQL Server、Sendmail、PostScript和FTP缺陷。
通过使用这些缺陷攻击者能够获得计算机的访问权以及该计算机上运行相应应用程序所需账户的许可权。
应用层攻击的一种最新形式是使用许多公开化的新技术如HTML规范、Web 浏览器的操作性和HTTP协议等。
这些攻击通过网络传送有害的程序包括JAVA applet和Active X控件等并通过用户的浏览器调用它们很容易达到入侵、攻击的目的。
虽然微软公司提供的代码验证技术可以使用户的ActiveX控件因安全检查错误而暂停这类攻击但攻击者已经发现怎样利用适当标记和有大量漏洞的ActiveX 控件使之作为特洛伊木马实施新的攻击方式。
这一技术可使用VBScript脚本程序直接控制执行隐蔽任务如覆盖文件 执行其他文件等预防、查杀的难度更大。
在应用层攻击中容易遭受攻击的目标包括路由器、数据库、Web 和 FTP服务器和与协议相关的服务如DNS 、WINS 和SMB。
接入层攻击
MAC/CAM泛洪攻击
MAC/CAM泛洪攻击是指利用工具产生大量欺骗MAC快速填满CAM表交换机CAM表被填满后流量在所有端口广播导致交换机就像共享HUB一样工作这时攻击者可以利用各种嗅探攻击获取网络信息。
同时CAM表满了后流量以洪泛方式发送到所有接口也就代表TRUNK接口上的流量也会发给所有接口和邻接交换机会造成交换机负载过大网络缓慢和丢包甚至瘫痪。
解决方案可使用端口安全技术允许特定的主机访问及定义最多允许通过主机的数量。
针对DHCP的攻击
采用DHCP协议可以自动为用户设置网络IP地址、掩码、网关、DNS、WINS等参数简化了用户网络设置提高了管理效率。
但在DHCP管理使用上也存在着一些令网管人员比较头疼的问题。
1 DHCP 报文泛洪攻击
DHCP报文泛洪攻击是指利用工具伪造大量DHCP请求报文发送到服务器。
一方面恶意耗尽了IP资源使得合法用户无法获得IP 资源
另一方面使得服务器高负荷运行无法响应合法用户的请求造成网络故障。
解决方案DHCPsnooping 比较二层以太网帧的源MAC与DHCP请求报文中的client MAC是否一直如果不一致则丢弃。
2 DHCP Server欺骗攻击
由于DHCP协议在设计的时候没有考虑到客户端和服务器端之间的认证机制如果网络上存在多台DHCP服务器将会给网络照成混乱。
通常黑客攻击是首先将正常的DHCP服务器所能分配的IP 地址耗尽然后冒充合法的DHCP服务器。
最为隐蔽和危险的方法是黑客利用冒充的DHCP服务器为用户分配一个经过修改的DNS server在用户毫无察觉的情况下被引导至预先配置好的假金融网站或电子商务网站骗取用户帐户和密码这种攻击后果是非常严重的。
解决方案DHCPsnooping设置信任端口和非信任端口非信任端口拒绝DHCP offer报文和DHCP ack报文。还可以采用DHCP snooping的报文限速功能如果报文速率超过限制值则端口进入errdisable状态。
针对 ARP攻击
ARP作为IP层和链路层之间的联系纽带其作用和责任非常重大最主要的使命就是确定IP地址对应的链路层地址MAC地址。
但是由于特定的历史原因ARP协议在设计的时候也没有考虑到安全因素因此黑客可以很轻易的针对ARP协议的漏洞发起攻击 轻松窃取到网络信息。
1 ARP流量攻击
ARP流量攻击的方式多种多样比如伪造大量ARP请求伪造大量ARP应答伪造目的IP不存在的IP报文等等。
其最终目的只有一个增加网络中ARP报文的流量浪费交换机CPU带宽和资源浪费内存资源造成CPU繁忙产生丢包现象严重的甚至造成网络瘫痪。
解决方案防范ARP流量攻击通过两种手段
1对端口ARP报文进行限速当端口ARP报文速率超过设定值则down掉端口
2对引起ARP解析失败的目的IP进行记录当在固定时间内该IP引起ARP解析失败的次数超过设定值的时候下发ACL通过硬件将目的IP为此IP的报文丢弃
2 ARP 欺骗攻击
根据ARP协议的设计为了减少网络上过多的ARP数据通信一个主机即使收到非本机的ARP应答也会对其进行学习。
这样就造成了“ARP 欺骗”的可能。
比如黑客分别向两台主机发送一个ARP应答包让两台主机都“误”认为对方的MAC地址是第三方的黑客所在的主机。
这样双方看似“直接”的通信连接实际上都是通过黑客所在的主机间接进行的。
黑客一方面得到了想要的通信内容另一方面只需要更改数据包中的一些信息成功地做好转发工作即可。
同时黑客连续不断地向这两台主机发送这种虚假的ARP响应包让这两台主机一直保存错误的ARP表项使其可以一直探听这两台主机之间的通信。
解决方案对于ARP 欺骗攻击利用接入层交换机上已经记录了Snooping表项或和静态绑定了合法用户的信息进行报文合法性判断。
当交换机端口上收到ARP报文将报文中的IP和MAC地址提取出来然后与上述表项进行对比若IP、MAC以及收到报文的端口信息在表项中则认为是合法报文正常处理否则认为是非法报文予以丢弃。
3 IP/MAC欺骗攻击
常见的欺骗种类有MAC欺骗、IP 欺骗、IP/MAC欺骗黑客可以伪造源地址进行攻击。
例如以公网上的DNS 服务器为目标希望通过使DNS服务器对伪造源地址的响应和等待造成DOS攻击并以此扩大攻击效果。
此外IP/MAC欺骗的另一个目的为了伪造身 份或者获取针对IP/MAC的特权。
解决方案防止IP/MAC欺骗处理类似上面讲到的防止ARP欺骗也是利用Snooping 表项和静态绑定表项检测IP报文中IP、MAC和端口号的正确性。
所不同的是IP地址检查特性配置在交换机的端口上对该端口生效不是通过软件丢弃报文而是直接在端口下发ACL规则由硬件直接丢弃非法报文极大降低了 伪IP报文对交换机处理效率的影响。
针对网络攻击的解决方案
边界安全防火墙访问控制列表和防火墙类似于建筑物外墙上的门锁只让经过授权的用户拥有钥匙或者胸牌的用户进出。
边界安全可以控制对关键性应用、服务和数据的访问使得只有合法的用户和信息才能从一个网络信任域进入另外一个网络。
基本的实施是访问控制和防火墙访问攻击缓解DOS攻击检测扫描攻击及作出相应措施。
入侵防范IDSIPS入侵检测系统的作用类似于现实生活中的监视摄像机。
它们可以不间断地扫描网络流量通过将流量拷贝一份到传感器查找可疑的数据分组。
利用一个跟踪特征数据库它们可以记录任何不正常的情况并采取相应的措施发出警报 重置攻击者的TCP连接或者禁止攻击者的IP地址再次登录网络。
网络IDSNIDS检则器通常可以利用一个不可寻址的混和接口卡监听某个子网上的所有流量并通过另外一个更加可靠的接口发送任何警报和记录的流量检测攻击代码如木马、病毒扫描攻击。
安全连接VPN利用互联网协议安全标准IPS的虚拟专用网VPN可以提供信息的机密性、完整性和终端身份认证防止数据被非法用户窃取防止中间人的攻击。
身份识别802.1X,AAA只有通过认证的用户才能访问网络非法用户不能接入防止密码攻击。
准入控制 NAC/EAD(H3C) NAC为完全符合安全策略的终端设备提供网络接入且有助于确保拒绝不符合策略的设备接入将其放入隔离区以修复或仅允许其有限地访问资源解决网络威胁。
行为管理限制网络用户对网络的滥用解决网络威胁。
集成化产品安全在提供传统防火墙、VPN 功能基础上同时提供病毒防护、URL 过滤、漏洞攻击防护、垃圾邮件防护、P2P/IM 应用层流量控制和用户行为审计等安全功能。
