第二节 网络安全威胁

当今世界信息化建设飞速发展，以通信、计算机、网络为代表的互联网技术更是日新月异，令人眼花缭乱、目不暇接。由于互联网络的发展，计算机网络在政治、经济和生活的各个领域正在迅速普及，全社会对网络的依赖程度也越来越高。伴随着网络技术的发展和进步，网络信息安全问题已变得日益突出和重要。近年来，网络攻击活动“日新月异”，攻击行为已经从零碎的小规模的攻击发展成为大规模的、分布式和手段多样化的攻击。只有了解网络所面临的各种安全威胁，才能够有的放矢，采取有力防护措施，防范和消除网络安全隐患。

学习目标

了解网络安全的脆弱性；

了解网络所面临的安全威胁。

关键知识点

网络系统的脆弱性导致了网络安全问题。

网络安全的脆弱性

网络通信要求各方都要按照规定的协议或规则进行；若通信用户不按照规则或者利用协议缺陷进行通信，就可能导致网络系统通信出现混乱、系统出现漏洞或者信息被非法窃取。由于因特网在设计之初缺乏安全方面的总体构想与设计，致使互联网存在脆弱性。也就是说，互联网本身存在一些固有的脆弱性（脆弱点），非授权用户利用这些脆弱点可对网络系统进行非法访问。这种非法访问会使系统内数据的完整性受到威胁，也可能使信息遭到破坏而不能继续使用，更为严重的是有价值的信息被窃取而不留任何痕迹。

脆弱点也称为漏洞，是在网络安全领域无法忽略的概念。一个脆弱点可能是某个应用程序、系统、设备或者服务本身在编码或设计时所产生的错误或缺陷，它反映该程序、系统、设备或服务对特定威胁攻击或者危险事件的敏感性或者攻击起作用的可能性。在软件方面，脆弱点可能来自编码时产生的错误，也可能来自业务逻辑设计的缺陷或者交互的不合理性；在硬件方面，脆弱点则主要来自设计的不合理之处，例如硬件芯片的设计存在问题。这些安全缺陷、错误或者不合理之处如果被人利用，不管是有意还是无意，都会给整个网络系统带来不利影响。例如，网络系统管理权限被窃取，重要的数据或者资料被窃取、篡改甚至破坏等。

网络系统安全的脆弱性主要表现在网络的体系结构、通信、操作系统和应用系统以及网络系统本身等方面。

网络体系结构的脆弱性

网络体系结构是从功能上来描述计算机网络结构的。层次化的网络体系，其优点在于每层实现相对独立的功能，层与层之间通过接口来提供服务，每一层都对上层屏蔽如何实现协议的具体细节，使网络体系结构做到与具体物理实现无关。层次化结构允许连接到网络的主机和终端型号、性能可以不一，但只要遵守相同的协议即可以实现互操作。高层用户可以从具有相同功能的协议层开始进行互连，使网络成为开放式系统。这里“开放”指任意两系统之间可以按照相同协议进行通信。网络体系结构要求上层调用下层的服务，上层是服务调用者，下层是服务提供者；但当下层提供的服务出错时，会使上层的工作受到影响。

网络通信的脆弱性

网络安全通信是实现网络设备之间、网络设备与主机节点之间进行信息交换的保障。网络协议是网络通信必不可少的，一个完整的网络系统必须有一套复杂的协议集合。网络通信协议或通信系统的安全缺陷往往会危及网络系统的整体安全。通信协议TCP/IP以及FTP、E-mail、NFS、WWW等应用协议都存在安全漏洞。例如，FTP的匿名服务浪费系统资源；E-mail中潜伏着电子炸弹、病毒等，威胁互联网安全；WWW中使用的通用网关接口（CGI）程序、Java Applet程序和SSI等都可能成为黑客的工具；黑客可采用Sock、TCP预测或远程访问直接扫描等攻击防火墙。

网络系统的通信线路也在面对各种威胁时显得非常脆弱，非法用户可对线路进行物理破坏、搭线窃听、通过未保护的外部线路访问系统内部信息等。

计算机网络中的网络端口、传输线路和各种处理机，都有可能因屏蔽不严或未屏蔽而造成电磁信息辐射，从而造成有用信息甚至机密信息泄露。

网络操作系统的脆弱性

网络操作系统体系结构本身就是不安全的。目前，对于操作系统而言，无论是Windows、UNIX还是其他网络操作系统，都可能存在安全漏洞；这些安全漏洞一旦被发现和利用，对整个网络系统就会造成安全威胁。操作系统的脆弱性具体表现为：

动态连接—— 为了系统集成和系统扩充的需要，操作系统采用动态连接结构，系统的服务和I/O操作都可用补丁方式进行升级和动态连接。这种方式虽然为厂商和用户提供了方便，但同时也为黑客提供了入侵的方便（漏洞）。这种动态连接也是计算机病毒产生的温床。

创建进程—— 操作系统可以创建进程，而且这些进程可在远程节点上被创建和激活，更加严重的是被创建的进程又可以继续创建其他进程。这样，若黑客在远程将“间谍”程序以补丁方式附在合法用户（特别是超级用户）上，就能摆脱系统进程和作业监视程序的检测。

空口令和 RPC—— 操作系统为维护方便而预留的无口令入口和提供的远程过程调用（RPC）服务，都是黑客进入系统的通道。

超级用户—— 操作系统的另一个安全漏洞就是存在超级用户，如果入侵者得到了超级用户口令，则整个系统将完全受控于入侵者。

网络应用系统的脆弱性

随着网络的普及应用，网络应用系统越来越多。网络应用系统也可能存在安全漏洞，这些漏洞一旦被发现或者利用，将可能导致数据被窃或破坏，应用系统瘫痪等。例如：

数据的可访问性—— 进入系统的用户可方便地复制系统数据而不留任何痕迹；网络用户在一定的条件下，可以访问系统中的所有数据，并可将其复制、删除或破坏掉。例如，黑客通过探访工具可强行登录或越权使用数据库数据。

数据库系统的脆弱性—— 国际通用的数据库如Oracle、SQL Server、MySQL等，都存在大量的安全漏洞。以Oracle为例，仅CVE公布的数据库漏洞就有2 000多个。同时，在使用数据库时，还存在着补丁未升级、权限提升、缓冲区溢出等问题，这无疑是先天的不足。

浏览器访问—— 由于服务器/浏览器（B/S）结构中的应用程序直接对数据库进行操作，所以在B/S结构的网络应用程序中，某些缺陷也可能威胁数据库的安全。

数据加密—— 数据加密往往会与DBMS的功能发生冲突，或者影响数据库的运行效率。

网络系统本身的脆弱性

网络系统的硬件、软件故障可影响系统的正常运行，严重时系统会停止工作。网络系统的硬件故障通常有计算机硬件故障、电源故障、芯片主板故障、驱动器故障等；网络系统的软件故障通常有操作系统故障、应用软件故障和驱动程序故障以及软件本身的“后门”和漏洞等。

网络系统本身的脆弱性还表现为保密的困难性、介质的剩磁效应和信息的聚生性等。各种存储器中存储了大量的信息，这些存储介质很容易被盗窃或损坏，造成信息丢失。存储器中的信息也很容易被复制而不留痕迹。

此外，在网络管理中，也常常会出现安全意识淡薄、安全制度不健全、岗位职责不明、安全审计不力等问题。这些人为造成的安全漏洞也会导致网络安全问题。

网络犯罪

每当有新技术问世，罪犯们总会考虑如何利用新技术去实施犯罪活动。互联网也不例外——就像大多数用户所知的那样，利用互联网进行的犯罪活动已经见诸报端。虽然网络犯罪（如身份窃取）仅影响个人，但最大的伤害是对商务活动造成威胁，除了直接的货物和服务盗窃之外，还可能影响到企业的长期生存力。声誉的损害、客户信心的丢失、知识产权的失窃以及对用户访问的阻碍，对商业运营都是至关重要的。

所谓网络犯罪，是指行为人运用计算机技术，借助于网络对其系统或信息进行攻击、破坏，或利用网络进行其他犯罪的总称。网络犯罪既包括行为人运用其编程、加密、解码技术或工具在网络上所实施的犯罪，也包括行为人利用软件指令而进行的犯罪。简言之，网络犯罪是针对和利用网络所进行的犯罪，其本质特征是危害网络及其信息的安全与秩序。

从法律的概念来讲，网络犯罪是指行为主体以计算机或计算机网络为犯罪工具或攻击对象而故意实施的危害计算机网络安全的、触犯有关法律规范的行为。从此概念出发，网络犯罪在行为方式上包括以计算机网络为犯罪工具和以计算机网络为攻击对象两种；在行为性质上包括网络一般违法行为和网络严重违法犯罪行为两种。此概念的界定过于宽泛，不利于从刑法理论上对网络犯罪进行研究。综观现有的关于网络犯罪的描述，大体可归纳为以下三种类型：

通过网络并以其为工具进行的各种犯罪活动；

攻击网络并以其为目标进行的犯罪活动；

使用网络并以其为获利来源的犯罪活动。

第一种以网络为犯罪手段，视其为工具，可以称这种行为人为网络工具犯。由于网络已渗透到人们生活的方方面面，其被犯罪分子利用进行犯罪活动的表现形形色色，可以说刑法分则中除了杀人、抢劫、强奸等需要两相面对的罪行以外，绝大多数都可以通过网络进行。后两种网络犯罪类型均以网络为行为对象，称其行为人为网络对象犯。其中包含着以网络为获利来源的犯罪行为和以网络为侵害对象的犯罪行为，其行为人分别称为网络用益犯和网络侵害犯。从技术的角度归纳，当前互联网存在的犯罪现象如表1.1所示，因此互联网犯罪可从以下两个方面加以防范：

检查利用网络技术犯罪的方法；

创建使网络犯罪更困难和更高成本的相关技术和手段。

网络面临的安全威胁

互联网对人类社会的工作和生活将越来越重要，全世界对这个巨大的信息宝藏正在进行不断的发掘和利用。然而，人们在获得巨大利益的同时，也面临着各种各样的安全威胁。所谓安全威胁，是指某个人、物、事或概念对某个资源的机密性、完整性、可用性或合法性所造成的危害。例如，篡改网页、计算机病毒、黑客入侵、信息泄露、网站欺骗、拒绝服务、非法利用漏洞等安全事件。表1.2示出了网络攻击者常用的特殊技术。

归纳起来，计算机网络通信面临4种安全威胁：

截获—— 攻击者通过监控或搭线窃听等手段截获网络上传输的信息。

篡改—— 攻击者截获传输的信息并篡改其内容后再进行传输，破坏数据的完整性。

伪造—— 攻击者假冒合法用户伪造信息并通过网络传送。

中断—— 使系统中断、不正常工作甚至瘫痪，如破坏通信设备、切断通信线路、破坏文件系统等。此外，攻击者还可以通过发送大量信息流，使目标超载乃至瘫痪，以致不能正常提供网络服务。

通常，可将安全威胁分为故意威胁和偶然威胁两类。故意威胁又可分为主动攻击和被动攻击两种。被动攻击试图从系统中获取或使用信息，不影响系统资源；主动攻击则试图改变系统资源，或者影响系统的操作。

主动攻击

主动攻击是指攻击者访问他所需信息的故意行为。例如，远程登录到指定主机的端口25，找出某邮件服务器的信息；伪造无效IP地址去连接服务器，使接收到错误IP地址的系统浪费时间去连接某个非法地址。也就是说，攻击者在主动地做一些不利于网络系统安全运行的事情。主动攻击包括拒绝服务、篡改信息、使用资源、欺骗等攻击方法，它涉及对数据流的某些篡改，或者生成假的数据流。主动攻击主要有伪装、重放、数据篡改和拒绝服务4种类型。

伪装—— 一个实体假装成另外一个实体，从而可以获得更多的特权。伪装攻击往往连同另一类主动攻击一起进行。例如，身份鉴别序列可能被捕获，并在有效的身份鉴别发生时重放，这样通过伪装一个具有较少特权的实体得到额外的特权。

重放—— 一种众所周知的攻击技术，它是指捕获某个数据单元后，通过重新传输这些数据来达到未经授权的效果。但重放可能与网络无关，例如攻击者安装了软件或者硬件设备来记录键盘输入。当用户输入他们的密码或者个人身份信息时，记录器就会记录用户按下了哪些键，然后攻击者就可以按照相同的顺序来按键，从而获得访问权。

数据篡改—— 攻击者通过未授权的方式非法读取数据并篡改数据，或者对原始报文中的某些报文内容进行修改，或者将报文延迟或重新排序，以达到用户无法获得真实信息的目的。

拒绝服务（DoS）—— 将大量数据包以泛洪方式冲击主机（通常是Web服务器），即使该服务器能够继续运行，但这种攻击将其消耗大量资源，意味着其他用户的正常服务延时增大或请求被拒绝。由于服务器管理员可以侦察来自单个源的攻击数据包并使之无效，于是又出现了分布式拒绝服务（DDOS）攻击，其做法是：由攻击者操控大量遍布互联网的主机发送数据包去攻击服务器，从而使网络瘫痪或超载，以达到降低网络性能的目的。

还有一种特殊的主动攻击是恶意程序攻击。恶意程序攻击实现的威胁可分为两个方面：一是渗入威胁，如假冒、旁路控制、授权侵犯；二是植入威胁，如特洛伊木马、逻辑炸弹、蠕虫、陷门等。计算机病毒就是对网络安全威胁较大的一种恶意程序。

被动攻击

被动攻击是指对传输的数据进行窃听、窃取或监视，即观察和分析协议数据单元（PDU）的内容，目的是获得正在传送的信息。被动攻击可分为泄露报文内容和通信流量分析两种类型。

泄露报文内容是指通信双方传送的报文中的敏感或机密信息被攻击者截获，并从中获知了报文的真实内容。

通信流量分析是指攻击者通过观察协议数据单元（PDU）判断通信主机的位置和身份，观察被交换报文的频率和长度，对其进行猜测，从而分析正在进行的通信的种类和特点。

被动攻击主要是收集信息而不是进行访问，数据的合法用户对这种活动觉察不到。防止被动攻击的方法是加密；然而，即使采用加密技术，攻击者仍有可能观察到所传输的报文内容。

练习

1.列出互联网上所存在的主要安全问题，并分别给出简要说明。

2.列举用于互联网攻击的主要技术。

3.网络系统面临的主要威胁有哪些？有哪些相应的安全措施？

4.在网络通信过程中，主要存在哪几种类型的攻击？

5.简要分析威胁网络安全的主要因素。

6.主动攻击和被动攻击的区别是什么？

7.下列攻击行为中属于典型被动攻击的是（　）。

a.拒绝服务攻击　　b.会话拦截　　 c.系统干涉　　 d.修改数据命令

8.窃取是对（1）的攻击，DDoS攻击破坏了（2）。

（1）a.可用性　　 b.保密性　　　c.完整性　　　d.真实性

（2）a.可用性　　 b.保密性　　　c.完整性　　　d.真实性

【提示】窃取是窃取者绕过系统的保密措施得到真实、完整且可用的信息。DoS（拒绝服务攻击）是指一种拒绝服务的攻击行为，目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。而DDoS采用分布式的方法和多台机器进行拒绝服务攻击，从而使服务器变得不可用。

9.计算机感染特洛伊木马后的典型现象是（　）。

a.程序异常退出　　　　　　　　　b.有未知程序试图建立网络连接

c.邮箱被垃圾邮件填满　　　　　　 d.Windows系统黑屏

【提示】任何木马程序成功入侵到主机后都要和攻击者通信，因此如果发现有未知程序试图建立网络连接，则可以认为主机感染了木马病毒。

10.攻击者截获并记录了从A到B的数据，然后又从早些时候所截获的数据中提取出信息重新发往B，这被称为（）。

a.中间人攻击　 b.口令猜测器和字典攻击　 c.强力攻击　 d.重放攻击

【参考答案】8.（1）b;（2）a　 9.b　　 10.d

补充练习

通过调研和查阅资料，总结近期常见的网络安全攻击事件，分析其所采用的攻击手段。