对应教材第8章。本知识域从物理环境和传输介质出发，逐步进入通信分层、协议安全、无线安全、典型攻击和网络防护。
一、知识结构总览
text
物理与网络通信安全
├─ 8.1 物理安全：环境、设施、传输介质
├─ 8.2 OSI 模型：七层、封装过程、分层安全
├─ 8.3 TCP/IP 协议安全：各层风险与保护
├─ 8.4 无线通信安全：蓝牙、WLAN、RFID
├─ 8.5 典型攻击：欺骗、DoS/DDoS
└─ 8.6 防护技术：边界、检测审计、接入管理二、知识子域 8.1：物理安全
8.1.1 环境安全
1. 场地选择
- 避开洪水、地震、雷击、火灾、污染、强电磁干扰和高风险公共设施区域。
- 评估交通、消防、供电、通信、供水、治安和相邻单位风险。
- 关键场所避免暴露明显标识，保留安全距离和扩展能力。
2. 抗震与承重
- 建筑和机房等级应与系统重要性、当地抗震设防要求匹配。
- 核算机柜、电池、UPS 和存储设备的静载与动载，重设备合理分布并固定。
3. 火灾防护
- 预防：控制可燃物、规范布线和电气负载、防火分区、使用阻燃材料。
- 检测：感烟、感温、火焰等探测器和联动报警。
- 抑制：选择适合电子设备的灭火系统，考虑人员安全、误喷和残留损害。
4. 防水
- 避开给排水管道下方，设置防水围挡、地漏和漏水检测。
- 空调冷凝、屋顶渗漏、消防用水和楼上漏水均应纳入风险。
5. 供电安全
- 双路供电降低单一电源故障。
- UPS 提供短时不间断电力和电能质量保护。
- 发电机支撑较长时间运行；需定期带载测试并保障燃料。
- 设计接地、防浪涌、过载和紧急断电机制。
6. 空气调节
- 控制温度、湿度、洁净度和气流，避免过热、凝露、静电和腐蚀。
- 关键制冷应冗余并监测，机柜冷热通道合理组织。
7. 电磁、防雷与静电
- 屏蔽、滤波、接地和安全距离可降低电磁泄漏与干扰。
- 建筑防雷、信号/电源浪涌保护和等电位连接共同防护雷击。
- 防静电地板、腕带、湿度控制和规范操作保护设备。
8.1.2 设施安全
- 安全区域：按重要性划区，设置接待区、办公区、设备区和核心区等层次。
- 边界防护：围栏、墙体、门禁、双门互锁、访客登记和陪同。
- 监控审计：CCTV、非法闯入探测、报警、保安巡查和记录留存。
- 物理访问应最小授权、定期复核，离职和临时访问及时撤销。
8.1.3 传输介质安全
- 同轴电缆：抗干扰较好，但可被物理搭接和窃听。
- 双绞线：成本低、应用广，需保护配线间、端口和线路，关注串扰及电磁泄漏。
- 光纤：带宽高、抗电磁干扰，但仍可能弯曲耦合窃听或物理切断。
- 无线：信号越过物理边界，容易被监听、干扰、伪装接入和拒绝服务。
- 通用控制：管线隐蔽/加固、端口管理、完整性巡检、加密、冗余路由和故障监测。
三、知识子域 8.2：OSI 模型
8.2.1 七层职责
| 层 | 名称 | 主要职责 | 典型安全关注 |
|---|---|---|---|
| 7 | 应用层 | 为应用提供网络服务 | 应用认证、输入验证、恶意内容 |
| 6 | 表示层 | 编码、格式转换、压缩、加密 | 数据表示、加解密、序列化 |
| 5 | 会话层 | 建立、管理、终止会话 | 会话劫持、超时、重放 |
| 4 | 传输层 | 端到端传输、可靠性、端口 | SYN Flood、端口滥用、TLS |
| 3 | 网络层 | 逻辑寻址与路由 | IP 欺骗、路由攻击、IPsec |
| 2 | 数据链路层 | 帧、MAC 地址、介质访问 | ARP 欺骗、VLAN、802.1X |
| 1 | 物理层 | 比特和物理信号传输 | 窃听、切断、干扰、设备破坏 |
8.2.2 通信与封装
text
发送端：应用数据 → 段 → 包 → 帧 → 比特
接收端：比特 → 帧 → 包 → 段 → 应用数据- 每层为上层提供服务，并与对端同层协议逻辑通信。
- 发送时逐层加入首部或尾部，接收时逐层解析。
- 分层利于标准化和故障定位，但攻击可跨层组合，安全不能只保护单层。
8.2.3 分层安全体系
- 物理与链路层保护接入、介质和局域网。
- 网络层保护路由、地址和跨网通信。
- 传输/会话层保护端到端信道和会话状态。
- 应用层理解业务语义，可实施最细粒度身份、权限和内容控制。
- 下层加密不必然保护终端或应用处理后的明文，需纵深防御。
四、知识子域 8.3：TCP/IP 协议安全
8.3.1 协议结构与问题
- 网络接口层：以太网、无线和链路接入；面临嗅探、ARP 欺骗、MAC 泛洪和非法接入。
- 互联网络层：IP 和路由；面临源地址欺骗、分片、路由操纵和 ICMP 滥用。
- 传输层：TCP/UDP；TCP 面临握手资源耗尽、序列号和会话攻击，UDP 无连接且易伪造和用于反射放大。
- 应用层：HTTP、DNS、邮件、文件传输等；风险与协议认证、明文、输入处理和配置相关。
TCP 与 UDP 对比
| 特性 | TCP | UDP |
|---|---|---|
| 连接 | 面向连接 | 无连接 |
| 可靠性 | 确认、重传、排序 | 不保证到达和顺序 |
| 开销 | 较高 | 较低 |
| 常见风险 | SYN Flood、会话劫持 | 源地址伪造、反射放大 |
8.3.2 安全解决方案
- 网络接口层：物理保护、端口安全、VLAN、802.1X、链路加密和 ARP 防护。
- 网络层：IPsec、路由认证、反欺骗过滤、访问控制和分区隔离。
- 传输层：TLS、安全套接字、连接限速、状态防火墙和抗 DoS。
- 应用层：应用身份鉴别、授权、输入验证、协议安全扩展和内容检查。
- IPv6 扩大地址空间并改进协议机制，但不会自动消除配置错误、应用漏洞和拒绝服务风险。
五、知识子域 8.4：无线通信安全
8.4.1 蓝牙安全
- 保密性：被动监听、弱配对或密钥问题导致数据泄露。
- 完整性：中间人和数据篡改。
- 非授权连接：可发现模式、默认 PIN、不安全服务暴露。
- 可用性：干扰、连接耗尽和恶意请求导致拒绝服务。
- 防护：使用新版本和安全配对、关闭不必要可发现性与服务、及时更新、核对配对信息。
8.4.2 无线局域网安全
协议演进
- WEP：使用 RC4 和短初始化向量，设计缺陷严重，易被破解，不应使用。
- WPA：作为过渡方案引入 TKIP 等改进。
- WPA2：基于 IEEE 802.11i，通常使用 AES-CCMP，分个人和企业认证模式。
- WAPI：我国无线局域网鉴别与保密基础结构协议体系。
WPA/WPA2 典型过程
- 发现 AP。
- 通过 802.1X/EAP 或预共享密钥完成认证。
- 通过握手派生和安装会话密钥。
- 对数据进行机密性与完整性保护。
防护措施
- 使用强协议、强口令或企业级 802.1X，禁用 WEP 和默认配置。
- 隔离访客和内部网络，限制管理接口，发现恶意 AP。
- 合理布置信号覆盖，持续监测、更新固件和记录接入活动。
8.4.3 RFID 安全
- 标签攻击：克隆、篡改、跟踪、禁用或物理破坏。
- 读写器攻击：伪造读写器、恶意指令、接口入侵。
- 信道攻击：窃听、重放、中间人、干扰和碰撞。
- 防护：双向认证、访问控制、加密与随机数、标签休眠/销毁、屏蔽、距离控制和后端异常检测。
六、知识子域 8.5：典型网络攻击及防范
8.5.1 欺骗攻击
- IP 欺骗：伪造源 IP，常用于隐藏来源、绕过简单信任或反射攻击；使用入口/出口过滤、状态检测和强身份认证。
- ARP 欺骗：发送伪造 ARP 映射，使流量经攻击者或黑洞；使用静态绑定、DHCP Snooping、动态 ARP 检测和加密协议。
- DNS 欺骗：污染解析缓存或伪造响应，把用户导向错误地址；使用 DNSSEC、随机化、可信解析和监控。
8.5.2 拒绝服务攻击
- SYN Flood：大量半开 TCP 连接耗尽状态资源。
- UDP Flood：大量 UDP 流量耗尽带宽或处理能力。
- 泪滴攻击：利用异常分片重组缺陷影响旧系统。
- DDoS：多个受控节点同时攻击，常结合反射放大。
- 防护：源地址过滤、限速、连接队列保护、清洗、Anycast/CDN、冗余、黑洞/牵引及应用降级；没有单一设备能消除所有 DoS 风险。
七、知识子域 8.6：网络安全防护技术
8.6.1 边界防护
- 包过滤：依据地址、端口和协议规则控制，速度快但上下文有限。
- 状态检测：维护连接状态，能识别不符合会话状态的报文。
- 应用代理/应用层防火墙：理解应用协议，控制更细但开销更高。
- 部署：互联网边界、区域边界、数据中心、主机和云安全组；规则遵循最小开放、明确责任、定期复核。
- 安全隔离与信息交换系统：在高安全区域间限制直接连接并受控交换数据。
8.6.2 检测与审计
- IDS 按位置分网络型和主机型，按方法分特征和异常检测。
- 特征检测准确识别已知攻击但难发现未知变种；异常检测可发现新模式但误报较高。
- 部署需考虑可见性、加密流量、性能、时间同步、告警关联和响应闭环。
- 安全审计汇聚网络、系统和应用日志，支持追责、检测、调查和合规。
8.6.3 接入管理
- VPN 通过隧道、加密、完整性和身份认证保护远程或站点间通信。
- 网络准入控制在设备接入前后检查身份、设备状态和策略合规，并实施允许、隔离、修复或拒绝。
- 接入控制不是一次认证；会话期间设备风险变化时可动态调整权限。
八、关键关系与易混点
| 概念 | 区别 |
|---|---|
| 防火墙 | 按策略控制流量通过 |
| IDS | 检测并告警，通常不主动阻断 |
| IPS | 在线检测并主动阻断 |
| VPN | 保护通信通道，不自动保证终端和应用安全 |
| 网络准入控制 | 决定设备能否及以何权限接入网络 |
| VLAN | 逻辑分段手段，不能单独代替安全边界控制 |
九、英文缩写解释
| 缩写 | 英文全称 | 中文含义 |
|---|---|---|
| UPS | Uninterruptible Power Supply | 不间断电源 |
| CCTV | Closed-Circuit Television | 闭路电视监控 |
| OSI | Open Systems Interconnection | 开放系统互连参考模型 |
| TCP/IP | Transmission Control Protocol / Internet Protocol | 传输控制协议/网际协议 |
| UDP | User Datagram Protocol | 用户数据报协议 |
| IPsec | Internet Protocol Security | 网际协议安全 |
| TLS | Transport Layer Security | 传输层安全协议 |
| WLAN | Wireless Local Area Network | 无线局域网 |
| WEP | Wired Equivalent Privacy | 有线等效保密协议 |
| WPA | Wi-Fi Protected Access | Wi-Fi 保护接入 |
| WAPI | WLAN Authentication and Privacy Infrastructure | 无线局域网鉴别与保密基础结构 |
| AP | Access Point | 无线接入点 |
| RFID | Radio Frequency Identification | 射频识别 |
| ARP | Address Resolution Protocol | 地址解析协议 |
| DNS | Domain Name System | 域名系统 |
| DoS | Denial of Service | 拒绝服务 |
| DDoS | Distributed Denial of Service | 分布式拒绝服务 |
| IDS | Intrusion Detection System | 入侵检测系统 |
| IPS | Intrusion Prevention System | 入侵防御系统 |
| VPN | Virtual Private Network | 虚拟专用网络 |