网络安全是个涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等的综合性领域。
网络安全包括网络硬件资源和信息资源的安全性。其中，网络硬件资源包括通信线路、通信设备(路由机、交换机等)、主机等，要实现信息快速安全的交换，必须有一个 可靠的物理网络。信息资源包括维持网络服务运行的系统软件和应用软件，以及在网络中存储和传输的用户信息数据等。信息资源的安全也是网络安全的重要组成部分。
网络管理是指监督、组织和控制网络通信服务，以及信息处理所必需的各种活动的总称。其目标是确保计算机网络的持续正常运行，使网络中的资源得到更加有效的利用，并在计算机网络运行出现异常时能及时响应和排除故障。从网络管理范畴来分类，可分为对网络设备的管理和对行为的管理。
安全网络的特征即为能够通过网络安全与管理技术或手段保障可靠性、可用性、保密性、完整性、可控性、可审查性的网络。
可审查性：可审查性是指出现安全问题时提供的依据与手段。
星形拓扑结构
星形拓扑结构由中央节点和通过点到点链路连接到中央节点的各站点组成。星形拓扑如同电话网一样，将所有设备连接到一个中心点上，中央节点设备常被称为转接器、集中器或中继器。
星形拓扑结构主要存在如下安全缺陷:
1)对电缆的需求大且安装困难 2)扩展困难 3）对中央节点的依赖性太大 4）容易出现“瓶颈”现象
3.环形拓扑结构
环形拓扑结构的网络由一些中继器和连接中继器的点到点链路组成个团合环。每个中储器与两条链路连接，每个站点都通过一个中继器连接到网络上，数据以分组的形式发送。
环形拓扑结构主要存在如下安全缺陷:
1)节点的故障将会引起全网的故障 2)故障诊断困难 3)不易重新配置网络 4)影响访问协议
4.树形拓扑结构
树形拓扑结构是从总线形拓扑演变而来的，其形状像一棵倒置的树。 树形拓扑通采用同精电缆作为传输介质，且使用宽带传输技术。当节点发送信号时，根节点接收此信号，然后再重新广播发送到全网。树形结构的主要安全缺陷是对根节点的依赖性太大。
OSI(开放源代码促进会/开放源码组织)是一个旨在推动开源软件发展的非营利组织。OSI参考模型的全称是开放系统互连参考模型, 它是由国际标准化组织( ISO)和国际电报电话咨询委员会(CCITT)联合制定的。其目的是为异构计算机互连提供共同的基础和标准框架，并为保持相关标准的一致性和兼容性提供共同的参考。这里所说的开放系统，实质上指的是遵循OSI参考模型和相关协议，能够实现互连的具有各种应用目的的计算机系统。它是网络技术的基础，也是分析、评判各种网络技术的依据。
OSI七层模型及其主要功能：
应用层：访问网络服务的接口，例如为操作系统或网络应用程序提供访问网络服务的接口。常见的应用层协议有Telnet、 FTP、HTTP、SNMP、DNS等。
表示层：提供数据格式转换服务，如加密与解密、图片解码和编码、数据的压缩和解压缩常见应用: URL加密、口令加密、图片编解码
会话层：建立端连接并提供访问验证和会话管理。
传输层：提供应用进程之间的逻辑通信。常见应用: TCP、UDP、进程、端口。
网络层：为数据在节点之间传输创建逻辑链路，并分组转发数据。例如，对子网间的数据包进行路由选择常见应用:路由器、多层交换机、防火墙、IP、IPX等。
数据链路层：在通信的实体间建立逻辑链路通信。例如，将数据分帧，并处理流控制、物理地址寻址等常见应用设备:网卡、网桥、二层交换机等。
物理层：为数据端设备提供原始比特流传输的通路。例如，网络通信的传输介质常见应用设备:网线、中继器、光纤等。
OSI协议的运行原理：
每一层都在上层数据的基础上加入本层的数据头，然后再传递给下一层处理。这个过程时数据逐层向下的封装过程，俗称“打包”过程。
与数据的操作与上述过程相反，数据单元在每一层被去掉头部，根据需要传送给上一层来处理，直到应用层解析被用户看到内容。这是一个低层到高层的解封装过程，俗称“拆包”过程。
OSI安全体系结构：
七层模型主要是为了解决异构网络互联时所遇到的兼容性问题。它最大的优点是将服务、接口和协议这三个概念明确地区分开来。
在OSI安全体系结构中，定义了五类相关的安全服务，包括认证服务、访问控制服务、数据保密性服务、数据完整性服务和抗否认性服务。
TCP/IP是Internet的基本协议，由OSI七层模型中的网络层IP协议和传输层TCP协议组成。TCP/IP定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。
(2) SSL协议
安全套接层协议是用来保护网络传输信息的，它工作在传输层之上、应用层之下，其底层是基于传输层可靠的流传输协议。
该标准刚开始制定时是面向Web应用的安全解决方案，随着SSL部署的简易性和较高的安全性逐渐为人所知。
SSL采用TCP作为传输协议保证数据的可靠传送和接收。SSL工作在Socket层上，因此独立于更高层应用，可为更高层协议(如Telnet、FTP和HTTP)提供安全服务。
SSL协议分为记录层协议和高层协议。记录层协议为高层协议服务，限定了所有发送和接收数据的打包。
SSL的工作分为两个阶段:握手阶段和数据传输阶段。
（3）S-HTTP
安全超文本传输协议（S-HTTP）处于应用层，可提供通信保密、身份识别、可信赖的信息传输服务及数字签名等。S-HTTP提供了完整且灵活的加密算法及相关参数。
S-HTTP支持端对端安全传输。在语法上，S-HTTP报文与HTTP相同，均由请求或状态行组成，后面是信头和主体。显然信头各不相同并且主体密码设置更为精密。
与HTTP报文类似，S-HTTP报文由客户机到服务器的请求和从服务器到客户机的响应组成。
S-HTTP响应中的状态并不表示开展的HTTP请求为成功或失败。
（4）S/MIME
S/MIME的全称是安全多用途网际邮件扩充协议。Intenet电子邮件由一个邮件头部和一个可选的邮件主体组成，其中邮件头部含有邮件的发送方和接收方的有关信息。MIME中的数据类型一般是复合型的，也称为复合数据。 S/MIME对安全方面的功能也进行了扩展，可以把MIME的实体(比如加密信息和数字签名等)封装成安全对象。它定义了增强的安全服务。SMIME增加了新的MIME数据类型，用于提供数据保密、完整性保护、认证和鉴定服务等。
MIME消息可以包含文本、图像、声音、视频及其他应用程序的特定数据，采用单向散列算法和公钥机制的加密体系。S/MIME的证书采用X-509标准格式。S/MIME的认证机制依相于层次结构的证书认证机构。
无线局域网是相当便利的数据传输系统，它利用电磁波作为传输介质，在一定范围内取代物理线缆所构成的网络。
(2) WPA (Wi-Fi网络安全接人)
由于WEP是用IV+WEP密码的方式来保护明文的，属于弱加密方式，不能全面保证无线网络数据传输的安全。
新的安全机制WPA是从密码强度和用户认证两方面入手来强化无线网络安全的。它采用两种认证方式:共享密钥认证和IEEE 802.1x认证。共享密钥认证适用于小的企业网、家庭网络以及一些公共热点地区，没有认证服务器( RADIUS (远程用户拨号认证系统)服务器)，也叫做PSK ( Pre-Shared Key,预先共享密钥)模式;而802.1x认证适用于大型网络，其中设置了专门的认证服务器。WPA采用IEEE802.1x和密钥完整性协议实现无线局域网的访问控制、密钥管理和数据加密。WPA是继承了WEP基本原理而又解决了WEP缺点的一种新技术。它加强了生成加密密钥的算法，使得窃密攻击者即使收集到包信息并对其进行解析也几乎无法计算出通用密钥，使数据在无线网络中传播的安全性得到一定的保证。然而，WPA所使用的RC4算法还是存在一定的安全隐患，有可能被破解。 同时，802.1x 本身也存在不足。它对于合法的EAPOL＿Start 报文AP (无线接入点）都会进行处理。类似前面小节讲到的TCP连接时三次握手阶段的SYN请求，攻击者只要发送大量EAPOL＿Start报文就可以消耗AP的资源，这属于DoS攻击。
（3)WPA2
AES（高级加密标准）是美国国家标准技术研究所取代DES的新一代的加密标准。
（4)WAPI
无线局域网鉴别和保密基础结构是中国针对IEEE802.11协议中的安全问题而提出的拥有自主知识产权的WLAN安全解决方案。
WAPI由无线局域网鉴别基础结构和无线局域网保密基础结构组成。
WPI的封装过程为:利用完整性校验密钥与数据分组序号(PN),通过校验算法对完整性校验数据进行计算，得到完整性校验码( MIC);再利用加密密钥和数据分组序号(PN), 通过工作在OFB模式的加密算法对MSDU数据及MIC进行加密，得到MSDU数据以及MIC密文;然后封装后组成帧发送。
WPI的解封装过程为:
1)判断数据分组序号(PN)是否有效，若无效，则丢弃该数据。
2)利用解密密钥与数据分组序号(PN), 通过工作在OFB模式的解密算法对分组中的MSDU数据及MIC密文进行解密，恢复出MSDU数据以及MIC明文。
3)利用完整性校验密钥与数据分组序号(PN),通过工作在CBC-MAC模式的校验算法对完整性校验数据进行本地计算，若计算得到的值与分组中的完整性校验码MIC不同，则丢弃该数据。
4)解封装后将MSDU明文进行重组处理并递交至上层。
常见的外部威胁包括如下几类：
1）应用系统和软件安全漏洞
2）安全策略
3）后门和木马程序
4）病毒及恶意网站陷阱
5）黑客
6）安全意识淡薄
7）用户网络内部工作人员的不良行为引起的安全问题
网络存储介质的脆弱
深化国际合作，逐步提升网络空间国际话语权
蜜獾技术
蜜獾在整个系统中扮演的是情报采集员的角色，它故意让人攻击，引诱攻击者。当入侵者得逞后，“蜜獾”会对攻击者进行详细分析。
蜜獾技术可分为实系统蜜獾和伪系统蜜獾。
安全配置管理
（1）资产管理 （2）资源管理 （3）服务目录管理 （4）服务请求 （5）监控管理
物联网的层次架构与特征
物联网的价值在于让物体拥有“智慧”，从而实现人与物、物与物之间的沟通，物联网的特征在于感知、互联和智能的叠加。
物联网三大部分：
数据感知部分、网络传输部分、智能处理部分
一般将物联网体系划分为三层结构，即感知层、网络层、应用层
感知层解决的是人类世界和物理世界的数据获取问题。
传输层也被称为网络层，解决的是感知层所获取的数据的长距离传输问题，主要完成接入和传输功能，是进行信息交换、传递的数据通路。
应用层也可称为处理层，解决的是信息处理和人机界面的问题。
物联网应该具备如下3种能力：全面感知、可靠传递、智能处理
从体系架构角度可以将物联网支持的应用分为三类:具备物理世界认知能力的应用、在网络融合基础上的泛在化应用、基于应用目标的综合信息服务应用
物联网的安全架构
物联网面临的安全攻击：
●针对感知层数据传输的攻击主要有认证攻击、权限攻击、静默方式的完整性攻未
●物理层攻击通常包括占据各节点通信信道以阻碍节点间通信的通信阻塞拒绝服务
攻击，以及提取节点敏感信息实施物理篡改的节点篡改攻击。
●链路层拒绝服务攻击主要包括同时启动多个节点以相同信道频率发送数据的冲突
式攻击，以及重复多次发送大量请求、过度消耗通信传输资源导致通信信道异常中断的耗尽式攻击。
●网络层攻击包括欺骗攻击、虫洞攻击、Hello洪泛攻击以及确认式泛洪攻击。除此之外，还包括由簇头和拥有网络管理权限的节点所实施的归巢攻击以及选择攻击目标节点实现恶意目的的选择转发攻击。
●应用层攻击主要是利用不同协议之间数据转换实施由感知层节点向基站创建巨大信号以阻塞传输线路的拒绝服务攻击。
工业控制系统是几种类型控制系统的总称，包括监控和数据采集系统、分布式系统、过程控制系统、可编程逻辑控制器等。
工业系统的架构：
控制器、组态编程软件、数据采集与监视控制组件、人机界面、分布式过程控制系统
工业控制系统所涉及的网络部分包括：企业资源网络、过程控制和监控网络、控制系统网络。
工控系统的安全防护一般分为工控系统基础防护方法和基于主控系统安全基线的防护方法。工控系统基础防护方法主要包括失泄密防护、主机安全管理、数据安全管理等。基于主机系统安全基线的防护方法主要包括基线建立、运行监控、实施防御。
2019-2020-1学期 20192419 《网络空间安全专业导论》第九周学习总结 （读书笔记）
原文：https://www.cnblogs.com/wty2419/p/11977987.html