網(wǎng)絡(luò)先進防御技術(shù)及其實踐
定 價：41 元
叢書名：網(wǎng)絡(luò)空間安全技術(shù)類圖書
- 作者：劉文彥
- 出版時間：2023/11/1
- ISBN：9787560670553
- 出 版 社：西安電子科技大學(xué)出版社
- 中圖法分類：TP393.081
- 頁碼：248
- 紙張：
- 版次：1
- 開本：16開
本書對網(wǎng)絡(luò)先進防御技術(shù)及其實踐進行了介紹。首先，簡單介紹了網(wǎng)絡(luò)先進防御技術(shù)的基本知識，闡述了典型先進防御技術(shù)尤其是擬態(tài)防御技術(shù)的基本原理和關(guān)鍵技術(shù)；其次，選取擬態(tài)路由器、擬態(tài)Web服務(wù)器、擬態(tài)域名服務(wù)器等若干擬態(tài)防御設(shè)備，設(shè)計了典型的網(wǎng)絡(luò)攻防對抗實踐案例；最后，給出了部分防御技術(shù)的協(xié)同和對比實踐案例。
全書共12章，具體為：先進防御技術(shù)概述，系統(tǒng)基本使用方法，傳統(tǒng)防御技術(shù)實踐，擬態(tài)路由器技術(shù)實踐，擬態(tài)Web服務(wù)器技術(shù)實踐，擬態(tài)DNS技術(shù)實踐，擬態(tài)網(wǎng)關(guān)技術(shù)實踐，擬態(tài)IPS技術(shù)實踐，移動目標防御技術(shù)實踐，擬態(tài)云組件技術(shù)實踐，協(xié)同防御技術(shù)實踐，防御技術(shù)對比實踐。
本書主要面向網(wǎng)絡(luò)空間安全、信息安全等相關(guān)專業(yè)的本科生、研究生和從事相關(guān)科研工作的工程技術(shù)人員。
網(wǎng)絡(luò)空間安全是網(wǎng)絡(luò)信息時代世界各國面臨的共性問題與挑戰(zhàn)，其本質(zhì)是圍繞軟硬件目標對象漏洞、后門等的利用與反利用，各國基于技術(shù)、供應(yīng)鏈甚至國家層面展開的全方位博弈。當前，限于科學(xué)技術(shù)的發(fā)展水平，尚無法有效抑制或管控軟硬件產(chǎn)品在設(shè)計、制造和使用過程中引入的漏洞、后門等安全缺陷，而且在可以預(yù)見的將來，窮盡或徹查目標系統(tǒng)軟硬件代碼中存在的安全缺陷，仍然是一項堅巨的任務(wù)，需要在技術(shù)上有更大的突破。更為嚴峻的是，傳統(tǒng)信息系統(tǒng)的靜態(tài)性、確定性和單一性等架構(gòu)體制和運行機制方面存在“基因缺陷”，使得漏洞、后門等安全缺陷一旦被攻擊者所利用，必然會導(dǎo)致大規(guī)模、持續(xù)性的安全威脅。因此，基于未知漏洞、后門等的未知威脅不可避免地成為網(wǎng)絡(luò)空間最大的安全挑戰(zhàn)。而現(xiàn)有的網(wǎng)絡(luò)防御是以確定性的技術(shù)體系對抗基于未知漏洞后門等的不確定性安全威脅，這必然會導(dǎo)致網(wǎng)絡(luò)空間攻防態(tài)勢嚴重失衡。
網(wǎng)絡(luò)空間現(xiàn)有防御理論與方法一般遵循“威脅感知、認知決策、問題移除”三步走的模式。技術(shù)體制可以分為兩類：一類是以防火墻、IPS/IDS、殺毒軟件等為主要代表的演進式防御技術(shù)，其核心特征是必須在獲取攻擊者先驗知識或行為特征的前提下才能實施有效的防御，本質(zhì)上屬于“亡羊補牢”的外掛式防護思路，無法預(yù)測、應(yīng)對網(wǎng)絡(luò)空間未知的、不確定性的安全威脅。另外一類是以可信計算、移動目標防御、設(shè)計安全等為代表的革新式防御技術(shù)，期望通過增強軟硬件系統(tǒng)運行的可信度和動態(tài)性、降低漏洞的可利用概率，提升主動防御能力，但這種防御類型仍無法有效解決未知后門、病毒木馬等未知威脅。
2013年鄔江興院士原創(chuàng)性地提出了網(wǎng)絡(luò)空間擬態(tài)防御理論和動態(tài)異構(gòu)冗余(擬態(tài))防御架構(gòu)，開辟了網(wǎng)絡(luò)空間內(nèi)生安全研究的新方向，使得信息系統(tǒng)的安全性首次實現(xiàn)了可標定設(shè)計、可驗證度量，有望從根本上改變當前網(wǎng)絡(luò)空間安全的游戲規(guī)則。擬態(tài)防御技術(shù)不基于邊界、不依賴于攻擊先驗知識，能夠有效應(yīng)對網(wǎng)絡(luò)空間軟硬件產(chǎn)品中的漏洞后門等內(nèi)生安全問題。近年來，不少國家都強調(diào)要在系統(tǒng)層面建立“內(nèi)生式”安全機制，毋庸置疑，以擬態(tài)防御為代表的網(wǎng)絡(luò)空間內(nèi)生安全技術(shù)已經(jīng)成為國際學(xué)術(shù)和產(chǎn)業(yè)界普遍關(guān)注的發(fā)展方向，引領(lǐng)了網(wǎng)絡(luò)安全技術(shù)的發(fā)展潮流。擬態(tài)防御技術(shù)自提出以來，在中央網(wǎng)信辦、科技部、工信部、國家自然基金委等項目資助下，完成了從理論探索、技術(shù)突破、系統(tǒng)研制、上線試驗到實戰(zhàn)檢驗的全流程科研創(chuàng)新，取得了重大階段性成果。
網(wǎng)絡(luò)安全的本質(zhì)是對抗，而對抗的本質(zhì)又在于攻防兩端能力的較量。網(wǎng)絡(luò)防御技術(shù)尤其以擬態(tài)防御為代表的新型防御技術(shù)的發(fā)展，為我國關(guān)鍵基礎(chǔ)設(shè)施防護提供了強大支撐。習(xí)主席曾指出：“網(wǎng)絡(luò)空間的競爭，歸根到底是人才競爭�！本W(wǎng)絡(luò)安全人才已成為網(wǎng)絡(luò)空間競爭勝負的決定性因素，并已引起世界各主要國家的高度關(guān)注。以美國、俄羅斯為首的網(wǎng)絡(luò)強國，在近年來幾場局部戰(zhàn)爭中投入了大量網(wǎng)絡(luò)作戰(zhàn)力量，在獲得戰(zhàn)爭勝利的同時，也鍛煉培養(yǎng)了一大批網(wǎng)絡(luò)安全人才。與此同時，美國第一個將網(wǎng)絡(luò)空間安全人才培養(yǎng)問題上升到國家戰(zhàn)略高度。在培養(yǎng)方式上，美國國防部和聯(lián)邦政府機構(gòu)已經(jīng)設(shè)立了各種競賽和推廣戰(zhàn)略，建立了各種訓(xùn)練系統(tǒng)，提供逼真的培訓(xùn)環(huán)境，通過一系列針對性的演習(xí)和實戰(zhàn)檢驗，有效鍛煉了網(wǎng)絡(luò)安全人才隊伍。
與新時代、新形勢、新任務(wù)的需求相比，當前我國網(wǎng)絡(luò)空間安全人才數(shù)量和質(zhì)量還存在著較大差距。據(jù)2022年9月發(fā)布的《網(wǎng)絡(luò)安全人才實戰(zhàn)能力白皮書》公布的數(shù)據(jù)，到2027年，我國網(wǎng)絡(luò)安全人員缺口預(yù)計將達327萬，有高達92%的企業(yè)認為自己缺乏網(wǎng)絡(luò)安全實戰(zhàn)人才。預(yù)計未來3～5年內(nèi)，具備實戰(zhàn)技能的安全運維人員與高水平網(wǎng)絡(luò)安全專家將成為網(wǎng)絡(luò)安全人才市場中最為稀缺和搶手的資源，加強網(wǎng)絡(luò)安全人才培養(yǎng)已成為行業(yè)共識。當前，網(wǎng)絡(luò)信息技術(shù)變革和網(wǎng)絡(luò)攻擊技術(shù)演進，推動網(wǎng)絡(luò)防御技術(shù)進入新的創(chuàng)新周期，需要及時將最先進的防御理念、技術(shù)、手段融入人才培養(yǎng)的各個環(huán)節(jié)，同時通過實戰(zhàn)系統(tǒng)鍛煉人才，打通課堂教學(xué)到網(wǎng)絡(luò)安全實踐的“最后一公里”，滿足新形勢下的實戰(zhàn)化防御能力建設(shè)需求和人才培養(yǎng)需要。本書就是為滿足這一需求所作的努力。
本書作者長期跟蹤研究網(wǎng)絡(luò)防御技術(shù)，對持續(xù)研究的擬態(tài)防御技術(shù)及系列設(shè)備進行了系統(tǒng)性分析和總結(jié)，在此基礎(chǔ)上編寫了本書，旨在為從事網(wǎng)絡(luò)防御技術(shù)研究和人才培養(yǎng)的工作者提供一本兼具知識性和實踐性的參考書。全書共分為12章。第1章由劉文彥負責(zé)編撰，對網(wǎng)絡(luò)先進防御技術(shù)進行了簡單介紹。第2章由程國振、李明陽負責(zé)編撰，介紹了網(wǎng)絡(luò)先進防御系統(tǒng)的基本使用方法。第3章由霍樹民、許德鵬負責(zé)編撰，介紹了傳統(tǒng)防御技術(shù)的技術(shù)原理和攻防實踐，包括防火墻技術(shù)、ACL技術(shù)、虛擬IPS技術(shù)、虛擬沙箱技術(shù)和虛擬蜜罐技術(shù)。第4章由梁浩、李舒意負責(zé)編撰，第5章由李遠博、劉軒宇負責(zé)編撰，第6章由張帥、陳尚煜負責(zé)編撰，第7章由霍樹民、路致平負責(zé)編撰，第8章由楊曉晗、路致平負責(zé)編撰。這五章介紹了幾種典型的擬態(tài)防御技術(shù)，包括擬態(tài)路由器技術(shù)、擬態(tài)Web服務(wù)器技術(shù)、擬態(tài)DNS技術(shù)、擬態(tài)網(wǎng)關(guān)技術(shù)和擬態(tài)IPS技術(shù)，從功能介紹、系統(tǒng)架構(gòu)、關(guān)鍵技術(shù)、典型應(yīng)用場景的攻防實踐等方面進行了詳細的介紹。第9章由劉文彥、杜雨盈負責(zé)編撰，對移動目標防御(Moving Target Defense，MTD)技術(shù)原理進行了分析，并介紹了MTD的典型場景下的攻防實驗。第10章由霍樹民、杜雨盈負責(zé)編撰，介紹了擬態(tài)云組件的系統(tǒng)架構(gòu)、關(guān)鍵技術(shù)和典型應(yīng)用場景，包括執(zhí)行體創(chuàng)建、執(zhí)行體輪換等攻防實踐。第11章由程國振、張帥普負責(zé)編撰，介紹了動態(tài)IP技術(shù)和擬態(tài)Web技術(shù)、虛擬場景編排技術(shù)等協(xié)同防御攻防實踐。第12章由李遠博、許含意負責(zé)編撰，本章在前面介紹的防御技術(shù)的基礎(chǔ)上，進行了各種防御技術(shù)的對比攻防實踐，體現(xiàn)出擬態(tài)防御技術(shù)的先進性。全書由劉文彥、霍樹民負責(zé)統(tǒng)稿和定稿。
本書在國家自然科學(xué)基金青年基金項目“基于擬態(tài)構(gòu)造的云自適應(yīng)認知安全防御理論與方法研究”(批準號：62002383)和面上項目“云計算環(huán)境下內(nèi)生安全理論、方法與關(guān)鍵技術(shù)研究”(批準號：62072467)的支持下完成。寫作過程中，項目組成員李舒意、路致平、張帥普、劉軒宇、許含意、李明陽、杜雨盈、許德鵬、陳尚煜等博士、碩士研究生查閱了大量的資料，深入?yún)⑴c了本書的編撰工作，為本書的完成提供了至關(guān)重要的幫助。在此，對所有為本書付出辛勤勞動的同事和同學(xué)們表示衷心的感謝。
由于作者水平有限，加之網(wǎng)絡(luò)防御技術(shù)本身仍處于快速發(fā)展時期，書中難免存在紕漏和不足，懇請讀者批評指正。
編 者?
2023年8月
第1章 先進防御技術(shù)概述 1
1.1 引言 1
1.2 先進防御技術(shù)概念與內(nèi)涵 2
1.3 典型先進防御技術(shù)簡介 6
1.3.1 沙箱技術(shù) 6
1.3.2 蜜罐技術(shù) 8
1.3.3 入侵容忍 12
1.3.4 可信計算 17
1.4 移動目標防御(MTD)技術(shù) 19
1.4.1 MTD概述 19
1.4.2 MTD的主要特征和分類 20
1.4.3 MTD的技術(shù)機制 20
1.4.4 進一步的研究 22
1.5 擬態(tài)防御技術(shù) 23
1.5.1 產(chǎn)生背景 23
1.5.2 擬態(tài)防御的概念 24
1.5.3 原理與特性 25
1.5.4 動態(tài)異構(gòu)冗余架構(gòu) 26
1.5.5 擬態(tài)防御實現(xiàn)機制 27
1.5.6 擬態(tài)防御應(yīng)用對象 29
第2章 系統(tǒng)基本使用方法 31
2.1 用戶管理 31
2.1.1 新建用戶 31
2.1.2 編輯用戶 32
2.1.3 搜索用戶 32
2.1.4 禁用恢復(fù) 32
2.1.5 批量導(dǎo)入 33
2.1.6 批量導(dǎo)出 33
2.1.7 升降權(quán)限與刪除用戶 33
2.2 登錄說明 34
2.2.1 登錄地址 34
2.2.2 頁面布局 34
2.3 課程管理 35
2.3.1 方向管理 35
2.3.2 新增課程 35
2.3.3 授權(quán)管理 35
2.3.4 課時管理 36
2.3.5 搜索課程與刪除課程 39
2.4 考試管理 39
2.4.1 試題集 39
2.4.2 考試 41
2.5 平臺管理 45
2.5.1 集群管理 45
2.5.2 運行日志 46
2.5.3 審計日志 46
2.5.4 系統(tǒng)配置 47
2.5.5 授權(quán)信息 47
2.5.6 系統(tǒng)公告 48
第3章 傳統(tǒng)防御技術(shù)實踐 49
3.1 防火墻技術(shù)攻防實踐 49
3.1.1 技術(shù)原理簡介 49
3.1.2 實驗內(nèi)容簡介 49
3.1.3 實驗步驟 50
3.2 ACL技術(shù)攻防實踐 52
3.2.1 技術(shù)原理簡介 52
3.2.2 實驗內(nèi)容簡介 53
3.2.3 實驗步驟 53
3.3 虛擬IPS技術(shù)攻防實踐 56
3.3.1 技術(shù)原理簡介 56
3.3.2 實驗內(nèi)容簡介 56
3.3.3 實驗步驟 56
3.4 虛擬沙箱技術(shù)攻防實踐 59
3.4.1 技術(shù)原理簡介 59
3.4.2 實驗內(nèi)容簡介 59
3.4.3 實驗步驟 60
3.5 虛擬蜜罐技術(shù)攻防實踐 62
3.5.1 技術(shù)原理簡介 62
3.5.2 實驗內(nèi)容簡介 62
3.5.3 實驗步驟 62
第4章 擬態(tài)路由器技術(shù)實踐 68
4.1 擬態(tài)路由器技術(shù)簡介 68
4.1.1 功能介紹 68
4.1.2 系統(tǒng)架構(gòu) 68
4.1.3 關(guān)鍵技術(shù) 69
4.1.4 典型應(yīng)用場景 70
4.2 針對擬態(tài)路由器的黑盒漏洞利用
攻擊實踐 70
4.2.1 實驗內(nèi)容 70
4.2.2 實驗拓撲 70
4.2.3 實驗步驟 71
4.2.4 實驗結(jié)果及分析 74
4.3 注入虛擬路由的擬態(tài)功能驗證 74
4.3.1 實驗內(nèi)容 74
4.3.2 實驗拓撲 75
4.3.3 實驗步驟 75
4.3.4 實驗結(jié)果及分析 78
4.4 擬態(tài)路由器奪旗實踐 78
4.4.1 實驗內(nèi)容 79
4.4.2 實驗拓撲 79
4.4.3 實驗步驟 80
4.4.4 實驗結(jié)果及分析 83
第5章 擬態(tài)Web服務(wù)器技術(shù)實踐 84
5.1 擬態(tài)Web服務(wù)器技術(shù)簡介 84
5.1.1 功能介紹 84
5.1.2 系統(tǒng)架構(gòu) 84
5.1.3 關(guān)鍵技術(shù) 86
5.1.4 典型應(yīng)用場景 87
5.2 針對擬態(tài)Web服務(wù)器的病毒木馬
攻擊實踐 88
5.2.1 實驗內(nèi)容 88
5.2.2 實驗拓撲 88
5.2.3 實驗步驟 89
5.2.4 實驗結(jié)果及分析 93
5.3 針對擬態(tài)Web服務(wù)器的黑盒漏洞利用
攻擊實踐 94
5.3.1 實驗內(nèi)容 94
5.3.2 實驗拓撲 94
5.3.3 實驗步驟 95
5.3.4 實驗結(jié)果及分析 97
5.4 擬態(tài)Web服務(wù)器功能驗證 98
5.4.1 實驗內(nèi)容 98
5.4.2 實驗拓撲 98
5.4.3 實驗步驟 98
5.4.4 實驗結(jié)果及分析 100
5.5 擬態(tài)Web服務(wù)器奪旗實踐 100
5.5.1 實驗內(nèi)容 100
5.5.2 實驗拓撲 100
5.5.3 實驗步驟 101
5.5.4 實驗結(jié)果及分析 105
第6章 擬態(tài)DNS技術(shù)實踐 106
6.1 擬態(tài)DNS技術(shù)簡介 106
6.1.1 功能介紹 106
6.1.2 系統(tǒng)架構(gòu) 107
6.1.3 關(guān)鍵技術(shù) 107
6.1.4 典型應(yīng)用場景 108
6.2 針對擬態(tài)DNS技術(shù)的黑盒漏洞利用
攻擊實踐 108
6.2.1 實驗內(nèi)容 108
6.2.2 實驗拓撲 108
6.2.3 實驗步驟 109
6.2.4 實驗結(jié)果及分析 114
6.3 針對擬態(tài)DNS技術(shù)的緩存投毒
攻擊實踐 114
6.3.1 實驗內(nèi)容 114
6.3.2 實驗拓撲 114
6.3.3 實驗步驟 114
6.3.4 實驗結(jié)果及分析 119
6.4 擬態(tài)DNS功能驗證 119
6.4.1 實驗內(nèi)容 119
6.4.2 實驗拓撲 119
6.4.3 實驗步驟 119
6.4.4 實驗結(jié)果及分析 124
第7章 擬態(tài)網(wǎng)關(guān)技術(shù)實踐 125
7.1 擬態(tài)網(wǎng)關(guān)簡介 125
7.1.1 功能介紹 125
7.1.2 系統(tǒng)架構(gòu) 126
7.1.3 關(guān)鍵技術(shù) 126
7.1.4 典型應(yīng)用場景 127
7.2 針對擬態(tài)網(wǎng)關(guān)技術(shù)的黑盒漏洞
利用實踐 127
7.2.1 實驗內(nèi)容 127
7.2.2 實驗拓撲 128
7.2.3 實驗步驟 128
7.2.4 實驗結(jié)果及分析 135
7.3 擬態(tài)網(wǎng)關(guān)功能驗證 135
7.3.1 實驗內(nèi)容 135
7.3.2 實驗拓撲 135
7.3.3 實驗步驟 136
7.3.4 實驗結(jié)果及分析 138
第8章 擬態(tài)IPS技術(shù)實踐 139
8.1 擬態(tài)IPS技術(shù)簡介 139
8.1.1 功能介紹 140
8.1.2 系統(tǒng)處理流程 141
8.1.3 關(guān)鍵技術(shù) 141
8.1.4 典型應(yīng)用場景 142
8.2 針對擬態(tài)IPS技術(shù)的黑盒漏洞利用
攻擊實踐 142
8.2.1 實驗內(nèi)容 142
8.2.2 實驗拓撲 142
8.2.3 實驗步驟 143
8.2.4 實驗結(jié)果及分析 156
8.3 擬態(tài)IPS功能驗證 156
8.3.1 實驗內(nèi)容 156
8.3.2 實驗拓撲 156
8.3.3 實驗步驟 157
8.3.4 實驗結(jié)果及分析 160
第9章 移動目標防御技術(shù)實踐 161
9.1 動態(tài)IP技術(shù)實踐 161
9.1.1 實驗內(nèi)容 161
9.1.2 實驗拓撲 161
9.1.3 實驗步驟 162
9.1.4 實驗結(jié)果及分析 165
9.2 動態(tài)端口技術(shù)實踐 165
9.2.1 實驗內(nèi)容 165
9.2.2 實驗拓撲 165
9.2.3 實驗步驟 166
9.2.4 實驗結(jié)果及分析 168
9.3 動態(tài)主機名技術(shù)實踐 169
9.3.1 實驗內(nèi)容 169
9.3.2 實驗拓撲 169
9.3.3 實驗步驟 169
9.3.4 實驗結(jié)果及分析 171
9.4 動態(tài)協(xié)議指紋技術(shù)實踐 171
9.4.1 實驗內(nèi)容 171
9.4.2 實驗拓撲 171
9.4.3 實驗步驟 172
9.4.4 實驗結(jié)果及分析 177
第10章 擬態(tài)云組件技術(shù)實踐 178
10.1 擬態(tài)云組件技術(shù)簡介 178
10.1.1 功能介紹 178
10.1.2 系統(tǒng)架構(gòu) 178
10.1.3 關(guān)鍵技術(shù) 179
10.1.4 典型應(yīng)用場景 180
10.2 擬態(tài)執(zhí)行體創(chuàng)建 180
10.2.1 實驗內(nèi)容 180
10.2.2 實驗拓撲 180
10.2.3 實驗步驟 181
10.2.4 實驗結(jié)果及分析 184
10.3 執(zhí)行體動態(tài)輪換 185
10.3.1 實驗內(nèi)容 185
10.3.2 實驗拓撲 185
10.3.3 實驗步驟 185
10.3.4 實驗結(jié)果及分析 189
第11章 協(xié)同防御技術(shù)實踐 190
11.1 動態(tài)IP技術(shù)與擬態(tài)Web技術(shù)
協(xié)同防御實踐 190
11.1.1 實驗內(nèi)容 190
11.1.2 實驗拓撲 190
11.1.3 實驗步驟 191
11.1.4 實驗結(jié)果及分析 198
11.2 虛擬場景編排實踐 198
11.2.1 實驗內(nèi)容 198
11.2.2 實驗拓撲 199
11.2.3 實驗步驟 199
11.2.4 實驗結(jié)果及分析 211
第12章 防御技術(shù)對比實踐 212
12.1 針對Web服務(wù)器的攻擊實踐 212
12.1.1 實驗內(nèi)容 212
12.1.2 實驗拓撲 212
12.1.3 實驗步驟 212
12.1.4 實驗結(jié)果及分析 217
12.2 針對虛擬DNS的攻擊實踐 218
12.2.1 實驗內(nèi)容 218
12.2.2 實驗拓撲 218
12.2.3 實驗步驟 218
12.2.4 實驗結(jié)果及分析 220
12.3 針對虛擬路由器的攻擊實踐 220
12.3.1 實驗內(nèi)容 221
12.3.2 實驗拓撲 221
12.3.3 實驗步驟 221
12.3.4 實驗結(jié)果及分析 224
12.4 基于虛擬防火墻的Web服務(wù)器與基于
動態(tài)IP的Web服務(wù)器攻防對比實踐 225
12.4.1 實驗內(nèi)容 225
12.4.2 實驗拓撲 225
12.4.3 實驗步驟 226
12.4.4 實驗結(jié)果及分析 229
12.5 基于虛擬WAF防護的Web服務(wù)器與
擬態(tài)Web服務(wù)器攻防對比實踐 230
12.5.1 實驗內(nèi)容 230
12.5.2 實驗拓撲 230
12.5.3 實驗步驟 230
12.5.4 實驗結(jié)果及分析 236
參考文獻 237
書單推薦
