網(wǎng)絡(luò)安全攻與防培訓課件

網(wǎng)絡(luò)安全攻與防微博：宮一鳴cn2013年10月網(wǎng)絡(luò)安全攻與防1新聞一則10月18日：BelgacominvestigatesroutercompromiseatitscarrierservicesarmUnderseacables:160countries

700operatorsOnSept.16,Belgacomannouncedithaddiscoveredapreviouslyunknownvirusonsomeofitsinternalsystems.GCHQ

code-named"OperationSocialist.“"AninvestigationfoundchangestotheroutersoftwarethatmostlikelyresultedfromtheintrusionreportedinSeptember新聞一則10月18日：Belgacominvestigat2舊聞一則.cn事件網(wǎng)易科技訊8月25日消息，今天凌晨，.CN的根服務(wù)器因受到攻擊發(fā)生故障，大面積CN域名均無法解析，凌晨4點左右.cn根服務(wù)器恢復正常。工信部:峰值流量較平常激增近1000倍WSJ:CloudFlare…observeda32%dropintrafficforthethousandsofChinesedomainsonthecompany’snetworkduringtheattackcomparedwiththesametime24hoursearlier.botnet直接向6個.cn根域名查詢某私服網(wǎng)址舊聞一則.cn事件3舊聞一則.cn的攻擊流量由多大？最大的根L的數(shù)據(jù)（anycast全球146個點）25000q/s~=12Mb/sinbound舊聞一則.cn的攻擊流量由多大？4挑戰(zhàn)1VisibilityRightnow，你能說得清楚你的網(wǎng)絡(luò)是個什么狀況么？流量是怎么回事？Span+7層分析=Visibility?簽名問題告訴我你要看啥…管中窺豹更進一步的邏輯和關(guān)系？挑戰(zhàn)1VisibilityRightnow，你能說得清5挑戰(zhàn)1最簡單的四元組分析如果不知道要看啥的時候你愿意看這個？挑戰(zhàn)1最簡單的四元組分析6挑戰(zhàn)1最簡單的四元組分析還是這個？挑戰(zhàn)1最簡單的四元組分析7挑戰(zhàn)1挑戰(zhàn)18挑戰(zhàn)1Umbrella的一個可視化展示挑戰(zhàn)1Umbrella的一個可視化展示9挑戰(zhàn)1基于不同數(shù)據(jù)的多視角的可視化的關(guān)系關(guān)聯(lián)是未來？挑戰(zhàn)1基于不同數(shù)據(jù)的10挑戰(zhàn)2網(wǎng)絡(luò)方面網(wǎng)絡(luò)本身安全么？國內(nèi)的網(wǎng)絡(luò)設(shè)備加固文檔禁用telnet,開啟ssh關(guān)閉echo,chargen,proxy-arp等服務(wù)挑戰(zhàn)2網(wǎng)絡(luò)方面網(wǎng)絡(luò)本身安全么？11網(wǎng)絡(luò)方面網(wǎng)絡(luò)設(shè)備加固的核心任務(wù)是啥？保護control|managementplane網(wǎng)絡(luò)方面網(wǎng)絡(luò)設(shè)備加固的核心任務(wù)是啥？12網(wǎng)絡(luò)方面路由器Data（forwarding）plane流量分布式專用硬件（ASIC）高性能，不向上e.g.CRS-32.2Tbit/smax

322Tbit/sControl|ManagementplaneProtoclmakesthenetwork|routerrunbgp|ospf|ssh|snmp|arp|icmperror…etc軟件實現(xiàn)，普通CPU性能|功能（后門等如暗藏帳號）NSAbackdoor?你是攻擊者你選誰？網(wǎng)絡(luò)方面13網(wǎng)絡(luò)方面Stepback來看一看最火的抗D場景網(wǎng)絡(luò)方面Stepback來看一看最火的抗D場景14網(wǎng)絡(luò)方面歷史上最大的ddos攻擊Cloudflare流量>Amazon+Wikipedia+Twitter+Instagram+Apple每分鐘日志數(shù)據(jù)是20G,28800G/dglobalanycast,edgeflowspec網(wǎng)絡(luò)方面歷史上最大的ddos攻擊15網(wǎng)絡(luò)方面歷史上最大的ddos攻擊事件回放3月中cyberbunker>spamhaus3月20cyberbunker>cloudflare>spamhaus

3月23cyberbunker>cloudflare>spamhaus攻擊者獲取了大部分的cloudflare

peeringexchange點IPcyberbunker>ISP>cloudflare>spamhaus網(wǎng)絡(luò)方面歷史上最大的ddos攻擊16網(wǎng)絡(luò)方面歷史上最大的ddos攻擊網(wǎng)絡(luò)方面歷史上最大的ddos攻擊17網(wǎng)絡(luò)方面歷史上最大的ddos攻擊網(wǎng)絡(luò)方面歷史上最大的ddos攻擊18網(wǎng)絡(luò)方面騰訊網(wǎng)絡(luò)方面騰訊19網(wǎng)絡(luò)方面國內(nèi)某著名抗D專業(yè)公司traceroute網(wǎng)絡(luò)方面國內(nèi)某著名抗D專業(yè)公司20網(wǎng)絡(luò)方面國內(nèi)某著名抗D專業(yè)公司網(wǎng)絡(luò)方面國內(nèi)某著名抗D專業(yè)公司21網(wǎng)絡(luò)方面更進一步網(wǎng)絡(luò)方面更進一步22抗攻擊手段Bigplayersgoogle,amazon…etc如何做的？他們有個“totalsolution”boxCost$1M除了抗D外，還可以以線速接員工上下班抗攻擊手段Bigplayersgoogle,amazo23抗攻擊手段如果你想抵抗各種攻擊，同時對網(wǎng)絡(luò)影響最小，你需要針對你的環(huán)境采用layered的defense沒有siliverbullet,發(fā)揮各種“平淡無奇”的技術(shù)到極致抗攻擊手段24抗攻擊手段網(wǎng)絡(luò)層面ACL

BGPis

yourfriendFlowspecMPLS+Flowspec未來SDNAnycastbogon其他trickControlplane保護免費darknet沒有payload沒用錘子–釘子？layer3>layer4>layer7抗攻擊手段網(wǎng)絡(luò)層面25抗攻擊手段參考Google的內(nèi)部標準valuepackets/secondbits/secondhttpqueries/secondIPs抗攻擊手段參考Google的內(nèi)部標準value26抗攻擊手段ACL

在接入層面的3,4層快速過濾功能iACL抗攻擊手段ACL27抗攻擊手段BGP(routingprotocol)isyourfriendBGPtotherack(facebook)BGPblackhole（SRCbased

DSTbased）

Diagramfrom抗攻擊手段BGP(routingprotocol)28抗攻擊手段BGP(routingprotocol)isyourfriendCTDstrtbhCThaslooseurpfenabled,soitcandoSrcrtbh抗攻擊手段BGP(routingprotocol)is29抗攻擊手段FlowspecACLonsteroidLayer4infoUsebgpcontrolplanetodistributeACLBenefitsarehugeUseBGPtodistributeflowspecificationfiltersand

dynamicallytakeaction(drop,sampling,redirect)on

routers.SupportedbyJuniperandAlcatelFast:ACLpropgateviabgpadvertisementWecanblocktrafficbysrc|dstip,src|dstport,packet

size,protocol,tcpflags,icmp他type|code...andanyofthecombinationAmazon,cloudflare,google？GoolgeismovingintoSDNworld抗攻擊手段Flowspec30抗攻擊手段MPLS+FlowspecIwanttoseethepayload!!Youhavetoredirecttrafficifyouwanttoseel7牽引+tunnelchinabyte網(wǎng)圖抗攻擊手段MPLS+Flowspec31抗攻擊手段MPLS+Flowspec貌似本人是第一個用這個手段來做的，今年5月份nanog才有人做這一技術(shù)報告Trafficredirect:Wecanredirectmatchedtraffic(wecancollectanytrafficfromanyinterfaceonanypeeringrouterandgetitsenttoourcollector)具體內(nèi)容flowspecppt.pdf

/zHiKjtGsampleconfig.pdf

/zHiKjtbHugebenefit抗攻擊手段MPLS+Flowspec32抗攻擊手段AnycastMagic!!Everybodylikesit,lifeisgoodafterthatReally?Howabout.cnwhichusesanycast…蝗蟲Attackcomes,moves

away,comesbackagain,movesawayagain…Bgpwithdrawn,advertise,withdrawn,advertise…Controlhowfaritgoes抗攻擊手段Anycast33抗攻擊手段BogonTeamcymru抗攻擊手段Bogon34抗攻擊手段其他trickE.g.抗攻擊手段其他trick35抗攻擊手段其他trickE.g.抗攻擊手段其他trick36抗攻擊手段其他trickE.g.雙IP

DNSserver白名單+TTL抗攻擊手段其他trick37抗攻擊手段保護control

planeCorehidingDon’tredistributeconnected設(shè)計合理的內(nèi)部ip段（loopbacks,interfaceips）bgpnull抗攻擊手段保護controlplane38抗攻擊手段保護control

plane依然有問題脆弱的Chain抗攻擊手段保護controlplane39抗攻擊手段保護control

plane脆弱的Chain:Peeringdb抗攻擊手段保護controlplane40抗攻擊手段保護control

plane脆弱的Chain:Bgplookingglass抗攻擊手段保護controlplane41抗攻擊手段DarknetExpensive!?NotreallyNobodyshouldtouchyourinfrasturcureNobodyshouldtouchyourunusedIps抗攻擊手段Darknet42抗攻擊手段Darknet抗攻擊手段Darknet43抗攻擊手段Darknet抗攻擊手段Darknet44抗攻擊手段Darknet

see15169there?抗攻擊手段Darknet45抗攻擊手段Darknet抗攻擊手段Darknet46最后合作企業(yè)和企業(yè)，企業(yè)和運營商，運營商和運營商一個人一個企業(yè)走不遠Securitycommunity最后合作47

1、最孤獨的時光，會塑造最堅強的自己。

2、把臉一直向著陽光，這樣就不會見到陰影。

3、永遠不要埋怨你已經(jīng)發(fā)生的事情，要么就改變它，要么就安靜的接受它。

4、不論你在什么時候開始，重要的是開始之后就不要停止。

5、通往光明的道路是平坦的，為了成功，為了奮斗的渴望，我們不得不努力。

6、付出了不一定有回報，但不付出永遠沒有回報。

7、成功就是你被擊落到失望的深淵之后反彈得有多高。

8、為了照亮夜空，星星才站在天空的高處。

9、我們的人生必須勵志，不勵志就仿佛沒有靈魂。

10、拼盡全力，逼自己優(yōu)秀一把，青春已所剩不多。

11、一個人如果不能從內(nèi)心去原諒別人，那他就永遠不會心安理得。

12、每個人心里都有一段傷痕，時間才是最好的療劑。

13、如果我不堅強，那就等著別人來嘲笑。

14、早晨給自己一個微笑，種下一天旳陽光。

15、沒有愛不會死，不過有了愛會活過來。

16、失敗的定義：什么都要做，什么都在做，卻從未做完過，也未做好過。

17、當我微笑著說我很好的時候，你應該對我說，安好就好。

18、人不僅要做好事，更要以準確的方式做好事。

19、我們并不需要用太華麗的語言來包裹自己，因為我們要做最真實的自己。

20、一個人除非自己有信心，否則無法帶給別人信心。

21、為別人鼓掌的人也是在給自己的生命加油。

22、失去金錢的人損失甚少，失去健康的人損失極多，失去勇氣的人損失一切。

23、相信就是強大，懷疑只會抑制能力，而信仰就是力量。

24、那些嘗試去做某事卻失敗的人，比那些什么也不嘗試做卻成功的人不知要好上多少。

25、自己打敗自己是最可悲的失敗，自己戰(zhàn)勝自己是最可貴的勝利。

26、沒有熱忱，世間便無進步。

27、失敗并不意味你浪費了時間和生命，失敗表明你有理由重新開始。

28、青春如此華美，卻在煙火在散場。

29、生命的道路上永遠沒有捷徑可言，只有腳踏實地走下去。

30、只要還有明天，今天就永遠是起跑線。

31、認真可以把事情做對，而用心卻可以做到完美。

32、如果上帝沒有幫助你那他一定相信你可以。

33、只要有信心，人永遠不會挫敗。

34、珍惜今天的美好就是為了讓明天的回憶更美好。

35、只要你在路上，就不要放棄前進的勇氣，走走停停的生活會一直繼續(xù)。

36、大起大落誰都有拍拍灰塵繼續(xù)走。

37、孤獨并不可怕，每個人都是孤獨的，可怕的是害怕孤獨。

38、寧可失敗在你喜歡的事情上，也不要成功在你所憎惡的事情上。

39、我很平凡，但骨子里的我卻很勇敢。

40、眼中閃爍的淚光，也將化作永不妥協(xié)的堅強。

41、我不去想是否能夠成功，既然選了遠方，便只顧風雨兼程。

42、寧可自己去原諒別人，莫等別人來原諒自己。

43、踩著垃圾到達的高度和踩著金子到達的高度是一樣的。

44、每天告訴自己一次：我真的很不錯。

45、人生最大的挑戰(zhàn)沒過于戰(zhàn)勝自己！

46、愚癡的人，一直想要別人了解他。有智慧的人，卻努力的了解自己。

47、現(xiàn)實的壓力壓的我們喘不過氣也壓的我們走向成功。

48、心若有陽光，你便會看見這個世界有那么多美好值得期待和向往。

49、相信自己，你能作繭自縛，就能破繭成蝶。

50、不能強迫別人來愛自己，只能努力讓自己成為值得愛的人。

51、不要拿過去的記憶，來折磨現(xiàn)在的自己。

52、汗水是成功的潤滑劑。

53、人必須有自信，這是成功的秘密。

54、成功的秘密在于始終如一地忠于目標。

55、只有一條路不能選擇――那就是放棄。

56、最后的措手不及是因為當初游刃有余的自己

57、現(xiàn)實很近又很冷，夢想很遠卻很溫暖。

58、沒有人能替你承受痛苦，也沒有人能搶走你的堅強。

59、不要拿我跟任何人比，我不是誰的影子，更不是誰的替代品，我不知道年少輕狂，我只懂得勝者為。

60、如果你看到面前的陰影，別怕，那是因為你的背后有陽光。

61、寧可笑著流淚，絕不哭著后悔。

62、覺得自己做得到和做不到，只在一念之間。

63、跌倒，撞墻，一敗涂地，都不用害怕，年輕叫你勇敢。

64、做最好的今天，回顧最好的昨天，迎接最美好的明天。

65、每件事情都必須有一個期限，否則，大多數(shù)人都會有多少時間就花掉多少時間。

66、當你被壓力壓得透不過氣來的時候，記住，碳正是因為壓力而變成閃耀的鉆石。

67、現(xiàn)實會告訴你，不努力就會被生活給踩死。無需找什么借口，一無所有，就是拼的理由。

68、人生道路，絕大多數(shù)人，絕大多數(shù)時候，人都只能靠自己。

69、不是某人使你煩惱，而是你拿某人的言行來煩惱自己。

70、當一個人真正覺悟的一刻，他放棄追尋外在世界的財富，而開始追尋他內(nèi)心世界的真正財富。

71、失敗并不意味你浪費了時間和生命，失敗表明你有理由重新開始。

72、人生應該樹立目標，否則你的精力會白白浪費。

73、山澗的泉水經(jīng)過一路曲折，才唱出一支美妙的歌。

74、時間告訴我，無理取鬧