网络安全

网络安全通过使用密码协议、边界控制和监控来保护传输中的数据和网络基础设施本身，以防御窃听、欺骗、拒绝服务和入侵。

Definition

网络安全是指保护数据在网络传输过程中的机密性、完整性和可用性，以及保护网络设备和服务本身免受恶意活动侵害的实践。

Scope

本主题从密码学和安全角度出发，涵盖了网络通信特有的威胁及其防御措施：网络层加密（IPsec、VPN）、防火墙和网络分段、入侵检测和防御、拒绝服务缓解以及DNS和路由安全。它探讨了密码学如何保护流量免受路径上攻击者的侵害。它不包括TLS的安全通道协议细节以及计算机网络主题下涵盖的网络架构内容。

Core questions

• 当数据和服务跨越不受信任的网络时，哪些攻击会对其构成威胁？
• 网络层密码学（IPsec、VPN）如何对应用程序透明地保护流量？
• 防火墙和分段如何限制攻击者在网络内部的活动范围？
• 如何检测和遏制入侵和异常流量？
• DNS和路由等基础服务如何免受欺骗和劫持的侵害？

Key concepts

• 路径上（中间人）攻击者
• IPsec和VPN
• 防火墙
• 网络分段
• 入侵检测和防御
• 拒绝服务缓解
• DNS安全（DNSSEC）
• ARP和路由欺骗
• 数据包过滤

Key theories

纵深防御和分段

网络通过分层、独立的控制措施进行防御——边界防火墙、内部网络分段、主机防御和监控——这样，突破一层并不会导致在整个网络中自由移动。

传输中流量的密码保护

通过加密和认证数据包（IPsec）或会话，实现网络流量的机密性和完整性，从而挫败位于路径上的攻击者的窃听和篡改行为。

Mechanisms

网络层安全对IP数据包进行加密和认证（IPsec的ESP和AH），在网关或主机之间建立隧道，从而使应用程序无需更改。防火墙通过过滤地址、端口和连接状态的数据包来执行策略，而分段则隔离网络区域。入侵检测系统检查流量以查找签名或异常，DNSSEC对DNS记录进行签名以防止伪造响应。这些控制措施假设攻击者可能在路径上观察或注入流量。

Clinical relevance

网络安全是远程工作和企业运营的基础：VPN和IPsec安全连接分支机构和远程员工，防火墙和分段遏制漏洞，DDoS缓解保持在线服务可用。高知名度事件——BGP路由劫持、DNS缓存投毒和大型僵尸网络驱动的DDoS攻击——展示了这些保护措施失效时会发生什么。

Evidence & guidelines

IPsec在RFC（4301及相关）中标准化，DNSSEC在RFC 4033-4035中标准化，NIST SP 800-41（防火墙）和SP 800-77（IPsec VPN）提供了指导。现代指南倾向于零信任分段（NIST SP 800-207），而非扁平的仅边界网络，MITRE ATT&CK框架则收录了网络攻击技术。

History

随着TCP/IP网络的增长，网络安全变得日益紧迫：1988年的莫里斯蠕虫病毒在早期互联网上传播，1990年代带来了防火墙和首批VPN，IPsec被标准化以保护网络层。DNS（卡明斯基2008年的缓存投毒攻击）和路由（BGP劫持）中反复发生的事件推动了DNSSEC和路由安全措施的部署，而DDoS攻击则演变为一种持续的威胁。

Key figures

• William Stallings
• Ross Anderson
• Steven Bellovin
• Radia Perlman

Seminal works

• stallings2017
• anderson2020
• kurose2021

Frequently asked questions

VPN能让我匿名上网吗？

VPN在您和VPN服务器之间加密流量，将其隐藏于您的本地网络和ISP，并向目标服务器隐藏您的IP地址。但它不能提供完全匿名：VPN提供商可以看到您的流量，其他跟踪方式（Cookie、账户、指纹识别）仍会识别您。

如果流量已通过TLS加密，为什么仍需要网络安全？

TLS保护单个应用程序会话，但网络还面临拒绝服务、入侵、突破后的横向移动、DNS和路由攻击以及未加密或配置错误的服务。网络级防御措施解决了仅靠会话加密无法解决的威胁。