NISRA-Network Security

Introducing the network security on web

Transcript

1. 網路安全 Yun Chen
2. 密碼
3. 怎樣才是好密碼?  1.不要有連續的數字、英文 Like:abc、123  2.不要有個人資料或單字在裡頭 Like:nisra、password、good  3.最好可以達14位以上
4. 什麼是MD5? Password→X*512=n*32 加密 Like:5d41402abc4b2a76b9719d911017c592 *Demo 目前常用於檔案驗證的加密技術 32 32 32 32 邏輯運算 32
5. 什麼是SHA-1? Password→X*512=n*32 加密 較前者耐暴力破解 32 32 32 32 邏輯運算 32 32
6. 網路攻擊
7. OWASP 開放網路軟體安全計畫，簡稱OWASP 是一 個開放社群、非營利性組織。 其主要目標是研議協助解決網路軟體安全之 標準、工具與技術文件，長期致力於協助政 府或企業瞭解並改善應用程式的安全性。美 國聯邦貿易委員會強烈建議所有企業務必遵 循OWASP所發佈的十大網路弱點防護守則。
8. OWASP十大網路應用安全弱點 OWASP Top10主要目的，是將最常見的網 路應用系統安全弱點， 教育開發者（Developers）、 設計者（Designers）、 架構師（Architects） 和組織（Organizations）， 提供基本的方法保護防止這些弱點，是軟體 開發安全計劃最好的開始。 *Show
9. 駭客攻擊流程  1.偵查(合法)  2.掃描  3.獲得權限  4.維持權限(安裝後門)  5.清除紀錄(相關log)
10. Port Scanning  TCP connect Scanning 直接做連線可信度最高! 最容被被發現  TCP SYN Scanning 送出SYN封包，非建立連線，偵查手法  IPID Scanning 控制肉雞(受害電腦)，再做偵查
11. 被動式 & 主動式  被動式: 流量分析  主動式: 身份偽裝 資料重播(接近使用者行為) 資料竄改
12. 以目標為分類  伺服器資料庫: SQL Injection  使用者: XSS Injection 混合式-SQL Injection + XSS Injection
13. XSS攻擊簡介 XSS攻擊是利用動態網頁的特性 開發者未嚴格限制輸入與未過濾特殊字串， 讓惡意Script得以在使用者的瀏覽器上執行 駭客的填空遊戲  可用的Script包含: JavaScript、VBScript。 *Demo - WebGoat
14. SQL Injection SQL Injection攻擊並非植入電腦病毒， 它是描述一個利用寫入特殊SQL程式碼攻擊 應用程式的動作。 沒有做到相當嚴密的輸入資料型態管制，就 有可能會遭受這種行為的攻擊。 *Demo - WebGoat
15. 特洛伊木馬 駭客用來盜取其他使用者的個人訊息，甚至 是遠程控制對方的電腦而加殼製作，然後透 過各種手段傳播或者騙取標的使用者執行該 程式，以達到盜取密碼等各種資料資料等目 的。與病毒相似，木馬程式有很強的隱秘性， 隨作業系統啟動而啟動。
16. ARP Spoofing(ARP欺騙)  取得區域網路上的資料封包甚至改封包， 且可讓網路上電腦無法正常連線  如何做防禦? 1.使用靜態的ARP Table 2.監控ARP Table
17. 中間人攻擊
18. 重送攻擊 指第三者從網路中截取認證訊息， 並再稍後原封不動地將訊息送出， 以假扮該訊息的原始送出者 Onion Gary 假扮
19. 生日攻擊 生日問題指 如果一個房間裡有23個人，那麼至少有兩 個人的生日相同的機率要大於50%。 這就意味著在一個典型的標準小學班級 （30人）中，存在兩人生日相同的可能性 更高。對於60或者更多的人，這種機率要 大於99% 已被用於設計著名的攻擊方法：生日攻擊。
20. 社交工程 透過設好的陷阱、網站 使用戶誤觸而遭植入後門  >>”最新網路賺錢方法，不用口才/經驗/ 人脈/囤貨，到這裡操爆你的肝 點擊進入:http://www.nisra.net”  >>Allen x Orange 同人.pdf
21. Flooding  典型例子 DOS、DDOS DOS:單挑;一對一較量決定誰的機器更好 DDOS:圍毆;用很多主機對目標機器DoS 台菲攻防懶人包
22. DRDoS?反射式拒絕服務攻擊 更不易防禦
23. 網路安全
24. 安全環境之首-白皮書  安全政冊白皮書 發佈資料、訊息以及網站聲名 橘皮書? Orange? 美國國防部提出 資訊系統安全等級規範
25. 資訊安全三要素CIA  機密性 (Confidentiality) 合法取閱資訊  完整性 (Integrity) 資訊或系統維持正確與完整  可用性 (Availability) 資訊或系統需要時即可取用
26. 限定型安全政策  未明確允許的行為是禁止的 --------------------------------------------------------- 軟體白名單管理 只允許已知的合法應用程式，在系統上運行 反之，那有沒有黑名單?
27. 資訊安全管理系統ISMS標準 和產品服務、食品標準一樣 資訊安全管理系統也有一套標準 ISO27001
28. 防火牆 防火牆可以針對流量進行稽核與警告 But…. 1. 不能針對訊息傳輸的內容做保護 2. 無法防護已通過它的連線 3. 無法防護來自內部的攻擊
29. 防火牆 & IDS 應該沒有人不知道防火牆吧? 想像一下…  防火牆 大樓出入口的門鎖  IDS 出入口大門旁的監視器
30. 定期檢查log檔  偵測性措施 什麼是登錄檔呢？簡單的說， 就是記錄系統活動記錄的幾個檔案， 例如：何時、何地（來源 IP ）、何人 （ login name ）、做了什麼動作 *Demo
31. 安全協定  SSL  SET 電子安全交易、數位憑證(常用X.509標準) 兩者皆以PKI(Public Key Infrastructure)為基楚 PKI-可信賴第三者公開鑰匙
32. 安全性電子郵件S/E-Mail 常用的標準:  S/MIME-電子郵件數位簽章 公鑰(Public Key)與私鑰(Private Key)  OpenPGP-加密電子郵件公用金鑰 加密電子郵件的公用密鑰系統
33. 簽章與驗章
34. 對稱式加密式 常見之演算法如 DES, Triple-DES, AES 等。
35. 非對稱式加密 常見的加密演算法如 RSA, DSA等。
36. Honeypot 主要目地為誘捕入侵者 並詳細紀錄其攻擊行為 做為事後研究、防禦
37. 網路安全測試技術  Vulnerability Scanning(漏洞掃描)  ST&E(安全測試與評估)  Penetration Testing(滲透測試) 各種手段的攻擊來找出系統存在的漏洞 風險也較高 WHY?
38. Penetration Testing(滲透測試) 滲透測試透過模擬的真實攻擊行為， 可證實惡意攻擊者有可能竊取或破壞企業的 數位設備、資產、資訊與資料。 因需交由第三方來測試， 相對其它風險也較高，需為信任的第三方 Like: 大夫扣耳(?
39. APT攻擊  非常低調，不容易被偵測  持續時間甚至可長達10年 News 韓國黑暗日
40. 實體安全
41. 問題發生如何應變?  BCP(Business Continuity Planning) 公司面對問題(災難、其它) 要如何持續運作  DRP(Disaster Recovery Planning) 災難應變 第一時間:疏散人員
42. 實體安全強化  安裝機殼鎖，防止零件被偷走  設立門禁管制與機房管理  設定硬碟開機與BIOS密碼
43. 其它
44. VoIP 寬頻電話或網路電話是一種透過網際網路或 其他使用IP技術網路，實現新型的電話通訊。 過去IP電話主要應用在大型公司的內聯網內 Ask: 最後裝入封包是用 TCP or UDP?
45. 什麼是AP  AP-Access Point:Infrastructure Mode 無線存取點或無線接收盒或無線網路基地台 不然哪來的wifi讓你們在學校上網XD  Ad Hoc Mode(隨意模式) 不需要無線存取器AP 個別電腦間無線連結，建構出一個群組 網路，以達到資源共享 Like:印表機
46. Proxy
47. VPN
48. 常見的Port  DNS (Port 53)：DNS就是域名解析服務。  FTP (Port 20/21)：文件傳輸協定。  HTTP (Port 80)：超文件傳輸協定，用來進行HTTP (或 Web)通訊。  HTTPS (Port 443 + 445)：加密套接字協議層 (SSL)所使用的Port。  POP3 (Port 110 + 995)：接收電郵的伺服器端口。  SMTP (Port 25)：寄送電郵的伺服器端口。  SNMP (Port 161/162)：簡單網路管理協定。  Telnet (Port 23)：遠端文字登錄模式，常用於Linux或UNIT系統上。  TFTP (Port 69)：TFTP是一個像FTP一樣的檔案傳輸協定，較簡單。
49.  telnet, http, ftp, pop, smtp 皆為明碼傳送 帳號密碼封包，易被竊聽  POP SMTP 都是E-mail的協定  SMTP 就像是郵差 POP則是信箱
50. Q _Q & A_A