NISRA-Network Security

Introducing the network security on web

Transcript

1. 網路安全
   Yun Chen
   

   View Slide

2. 密碼
   

   View Slide

3. 怎樣才是好密碼?
    1.不要有連續的數字、英文
   Like:abc、123
    2.不要有個人資料或單字在裡頭
   Like:nisra、password、good
    3.最好可以達14位以上
   

   View Slide

4. 什麼是MD5?
   Password→X*512=n*32
   加密
   Like:5d41402abc4b2a76b9719d911017c592
   *Demo
   目前常用於檔案驗證的加密技術
   32
   32
   32
   32
   邏輯運算
   32
   

   View Slide

5. 什麼是SHA-1?
   Password→X*512=n*32
   加密
   較前者耐暴力破解
   32
   32
   32
   32
   邏輯運算
   32
   32
   

   View Slide

6. 網路攻擊
   

   View Slide

7. OWASP
   開放網路軟體安全計畫，簡稱OWASP 是一
   個開放社群、非營利性組織。
   其主要目標是研議協助解決網路軟體安全之
   標準、工具與技術文件，長期致力於協助政
   府或企業瞭解並改善應用程式的安全性。美
   國聯邦貿易委員會強烈建議所有企業務必遵
   循OWASP所發佈的十大網路弱點防護守則。
   

   View Slide

8. OWASP十大網路應用安全弱點
   OWASP Top10主要目的，是將最常見的網
   路應用系統安全弱點，
   教育開發者（Developers）、
   設計者（Designers）、
   架構師（Architects）
   和組織（Organizations），
   提供基本的方法保護防止這些弱點，是軟體
   開發安全計劃最好的開始。
   *Show
   

   View Slide

9. 駭客攻擊流程
    1.偵查(合法)
    2.掃描
    3.獲得權限
    4.維持權限(安裝後門)
    5.清除紀錄(相關log)
   

   View Slide

10. Port Scanning
     TCP connect Scanning
    直接做連線可信度最高! 最容被被發現
     TCP SYN Scanning
    送出SYN封包，非建立連線，偵查手法
     IPID Scanning
    控制肉雞(受害電腦)，再做偵查
    

    View Slide

11. 被動式 & 主動式
     被動式:
    流量分析
     主動式:
    身份偽裝
    資料重播(接近使用者行為)
    資料竄改
    

    View Slide

12. 以目標為分類
     伺服器資料庫:
    SQL Injection
     使用者:
    XSS Injection
    混合式-SQL Injection + XSS Injection
    

    View Slide

13. XSS攻擊簡介
    XSS攻擊是利用動態網頁的特性
    開發者未嚴格限制輸入與未過濾特殊字串，
    讓惡意Script得以在使用者的瀏覽器上執行
    駭客的填空遊戲
     可用的Script包含: JavaScript、VBScript。
    *Demo - WebGoat
    

    View Slide

14. SQL Injection
    SQL Injection攻擊並非植入電腦病毒，
    它是描述一個利用寫入特殊SQL程式碼攻擊
    應用程式的動作。
    沒有做到相當嚴密的輸入資料型態管制，就
    有可能會遭受這種行為的攻擊。
    *Demo - WebGoat
    

    View Slide

15. 特洛伊木馬
    駭客用來盜取其他使用者的個人訊息，甚至
    是遠程控制對方的電腦而加殼製作，然後透
    過各種手段傳播或者騙取標的使用者執行該
    程式，以達到盜取密碼等各種資料資料等目
    的。與病毒相似，木馬程式有很強的隱秘性，
    隨作業系統啟動而啟動。
    

    View Slide

16. ARP Spoofing(ARP欺騙)
     取得區域網路上的資料封包甚至改封包，
    且可讓網路上電腦無法正常連線
     如何做防禦?
    1.使用靜態的ARP Table
    2.監控ARP Table
    

    View Slide

17. 中間人攻擊
    

    View Slide

18. 重送攻擊
    指第三者從網路中截取認證訊息，
    並再稍後原封不動地將訊息送出，
    以假扮該訊息的原始送出者
    Onion Gary
    假扮
    

    View Slide

19. 生日攻擊
    生日問題指
    如果一個房間裡有23個人，那麼至少有兩
    個人的生日相同的機率要大於50%。
    這就意味著在一個典型的標準小學班級
    （30人）中，存在兩人生日相同的可能性
    更高。對於60或者更多的人，這種機率要
    大於99%
    已被用於設計著名的攻擊方法：生日攻擊。
    

    View Slide

20. 社交工程
    透過設好的陷阱、網站
    使用戶誤觸而遭植入後門
     >>”最新網路賺錢方法，不用口才/經驗/
    人脈/囤貨，到這裡操爆你的肝
    點擊進入:http://www.nisra.net”
     >>Allen x Orange 同人.pdf
    

    View Slide

21. Flooding
     典型例子 DOS、DDOS
    DOS:單挑;一對一較量決定誰的機器更好
    DDOS:圍毆;用很多主機對目標機器DoS
    台菲攻防懶人包
    

    View Slide

22. DRDoS?反射式拒絕服務攻擊
    更不易防禦
    

    View Slide

23. 網路安全
    

    View Slide

24. 安全環境之首-白皮書
     安全政冊白皮書
    發佈資料、訊息以及網站聲名
    橘皮書? Orange?
    美國國防部提出
    資訊系統安全等級規範
    

    View Slide

25. 資訊安全三要素CIA
     機密性 (Confidentiality)
    合法取閱資訊
     完整性 (Integrity)
    資訊或系統維持正確與完整
     可用性 (Availability)
    資訊或系統需要時即可取用
    

    View Slide

26. 限定型安全政策
     未明確允許的行為是禁止的
    ---------------------------------------------------------
    軟體白名單管理
    只允許已知的合法應用程式，在系統上運行
    反之，那有沒有黑名單?
    

    View Slide

27. 資訊安全管理系統ISMS標準
    和產品服務、食品標準一樣
    資訊安全管理系統也有一套標準
    ISO27001
    

    View Slide

28. 防火牆
    防火牆可以針對流量進行稽核與警告
    But….
    1. 不能針對訊息傳輸的內容做保護
    2. 無法防護已通過它的連線
    3. 無法防護來自內部的攻擊
    

    View Slide

29. 防火牆 & IDS
    應該沒有人不知道防火牆吧?
    想像一下…
     防火牆
    大樓出入口的門鎖
     IDS
    出入口大門旁的監視器
    

    View Slide

30. 定期檢查log檔
     偵測性措施
    什麼是登錄檔呢？簡單的說，
    就是記錄系統活動記錄的幾個檔案，
    例如：何時、何地（來源 IP ）、何人
    （ login name ）、做了什麼動作
    *Demo
    

    View Slide

31. 安全協定
     SSL
     SET
    電子安全交易、數位憑證(常用X.509標準)
    兩者皆以PKI(Public Key Infrastructure)為基楚
    PKI-可信賴第三者公開鑰匙
    

    View Slide

32. 安全性電子郵件S/E-Mail
    常用的標準:
     S/MIME-電子郵件數位簽章
    公鑰(Public Key)與私鑰(Private Key)
     OpenPGP-加密電子郵件公用金鑰
    加密電子郵件的公用密鑰系統
    

    View Slide

33. 簽章與驗章
    

    View Slide

34. 對稱式加密式
    常見之演算法如 DES, Triple-DES, AES 等。
    

    View Slide

35. 非對稱式加密
    常見的加密演算法如 RSA, DSA等。
    

    View Slide

36. Honeypot
    主要目地為誘捕入侵者
    並詳細紀錄其攻擊行為
    做為事後研究、防禦
    

    View Slide

37. 網路安全測試技術
     Vulnerability Scanning(漏洞掃描)
     ST&E(安全測試與評估)
     Penetration Testing(滲透測試)
    各種手段的攻擊來找出系統存在的漏洞
    風險也較高 WHY?
    

    View Slide

38. Penetration Testing(滲透測試)
    滲透測試透過模擬的真實攻擊行為，
    可證實惡意攻擊者有可能竊取或破壞企業的
    數位設備、資產、資訊與資料。
    因需交由第三方來測試，
    相對其它風險也較高，需為信任的第三方
    Like: 大夫扣耳(?
    

    View Slide

39. APT攻擊
     非常低調，不容易被偵測
     持續時間甚至可長達10年
    News 韓國黑暗日
    

    View Slide

40. 實體安全
    

    View Slide

41. 問題發生如何應變?
     BCP(Business Continuity Planning)
    公司面對問題(災難、其它)
    要如何持續運作
     DRP(Disaster Recovery Planning)
    災難應變
    第一時間:疏散人員
    

    View Slide

42. 實體安全強化
     安裝機殼鎖，防止零件被偷走
     設立門禁管制與機房管理
     設定硬碟開機與BIOS密碼
    

    View Slide

43. 其它
    

    View Slide

44. VoIP
    寬頻電話或網路電話是一種透過網際網路或
    其他使用IP技術網路，實現新型的電話通訊。
    過去IP電話主要應用在大型公司的內聯網內
    Ask: 最後裝入封包是用 TCP or UDP?
    

    View Slide

45. 什麼是AP
     AP-Access Point:Infrastructure Mode
    無線存取點或無線接收盒或無線網路基地台
    不然哪來的wifi讓你們在學校上網XD
     Ad Hoc Mode(隨意模式)
    不需要無線存取器AP
    個別電腦間無線連結，建構出一個群組
    網路，以達到資源共享 Like:印表機
    

    View Slide

46. Proxy
    

    View Slide

47. VPN
    

    View Slide

48. 常見的Port
     DNS (Port 53)：DNS就是域名解析服務。
     FTP (Port 20/21)：文件傳輸協定。
     HTTP (Port 80)：超文件傳輸協定，用來進行HTTP (或 Web)通訊。
     HTTPS (Port 443 + 445)：加密套接字協議層 (SSL)所使用的Port。
     POP3 (Port 110 + 995)：接收電郵的伺服器端口。
     SMTP (Port 25)：寄送電郵的伺服器端口。
     SNMP (Port 161/162)：簡單網路管理協定。
     Telnet (Port 23)：遠端文字登錄模式，常用於Linux或UNIT系統上。
     TFTP (Port 69)：TFTP是一個像FTP一樣的檔案傳輸協定，較簡單。
    

    View Slide

49.  telnet, http, ftp, pop, smtp 皆為明碼傳送
    帳號密碼封包，易被竊聽
     POP SMTP 都是E-mail的協定
     SMTP 就像是郵差 POP則是信箱
    

    View Slide

50. Q _Q & A_A
    

    View Slide