CISP学习指南：网络攻击与安全运营

本指南涵盖CISP认证中的网络攻击类型、攻击防护、信息收集、安全开发生命周期、安全控制措施等关键领域的核心知识点。

一、拒绝服务攻击（DoS/DDoS）

1.1 拒绝服务攻击概述

1.2 DoS攻击分类

按攻击方式分类：

三类攻击对比：

1.3 流量型DoS攻击

流量型攻击的特点：

流量型攻击对比：

1.4 协议型DoS攻击

协议型攻击利用网络协议的设计缺陷或实现漏洞：

Teardrop攻击原理：

正常IP分片：
┌─────────┬─────────┬─────────┐
│ 分片1   │ 分片2   │ 分片3   │
│ 0-1000  │1000-2000│2000-3000│
└─────────┴─────────┴─────────┘
Teardrop攻击（重叠分片）：
┌─────────┬─────────┬─────────┐
│ 分片1   │ 分片2   │ 分片3   │
│ 0-1000  │ 500-1500│1000-2000│
└─────────┴─────────┴─────────┘
         ↑重叠区域↑
系统尝试重组时崩溃

1.5 DoS攻击防护

防护策略：

DoS攻击防护体系：
├── 网络层防护
│   ├── 流量清洗
│   ├── 黑洞路由
│   ├── 限速（Rate Limiting）
│   └── 流量分析
├── 协议层防护
│   ├── SYN Cookie
│   ├── 禁用IP directed-broadcast
│   ├── 过滤异常数据包
│   └── 连接限制
├── 应用层防护
│   ├── Web应用防火墙（WAF）
│   ├── 请求频率限制
│   ├── 验证码
│   └── 行为分析
└── 基础设施
    ├── CDN分发
    ├── 负载均衡
    ├── 冗余架构
    └── 弹性扩展

Smurf攻击防护：

防护配置示例：

! Cisco路由器配置
interface GigabitEthernet0/0
  no ip directed-broadcast  ! 禁用IP定向广播
  ip verify unicast source reachable-via rx  ! 启用反向路径转发
! 限制ICMP流量
access-list 100 permit icmp any any echo-reply
access-list 100 deny icmp any any echo
access-list 100 permit ip any any
interface GigabitEthernet0/0
  ip access-group 100 in

二、中间人攻击（MITM）

2.1 中间人攻击概述

2.2 公钥替换攻击

攻击类型对比：

2.3 中间人攻击场景

常见MITM攻击场景：

中间人攻击场景：
├── ARP欺骗
│   ├── 伪造ARP响应
│   ├── 劫持局域网流量
│   └── 窃听网络通信
├── DNS劫持
│   ├── 篡改DNS响应
│   ├── 重定向到恶意网站
│   └── 钓鱼攻击
├── SSL剥离
│   ├── 降级HTTPS到HTTP
│   ├── 窃听明文通信
│   └── 绕过加密保护
├── Wi-Fi窃听
│   ├── 伪造热点
│   ├── 截获无线流量
│   └── 窃取敏感信息
└── 路由劫持
    ├── 篡改路由表
    ├── 重定向流量
    └── 中间人位置

ARP欺骗示例：

2.4 MITM防护措施

防护策略：

三、信息收集与侦察

3.1 信息收集概述

3.2 信息收集工具

常用信息收集工具：

3.3 Nmap扫描工具

Nmap功能详解：

Nmap主要功能：
├── 主机发现
│   ├── Ping扫描
│   ├── ARP扫描
│   └── TCP/UDP扫描
├── 端口扫描
│   ├── TCP SYN扫描（半开扫描）
│   ├── TCP Connect扫描（全连接）
│   ├── UDP扫描
│   └── 隐蔽扫描
├── 服务识别
│   ├── 版本检测
│   ├── Banner抓取
│   └── 服务指纹识别
├── 操作系统检测
│   ├── TCP/IP指纹识别
│   ├── 协议栈分析
│   └── OS版本推断
└── 脚本引擎（NSE）
    ├── 漏洞检测
    ├── 服务枚举
    └── 安全审计

Nmap常用命令：

# 基本扫描
nmap 192.168.1.1
# 扫描端口范围
nmap -p 1-1000 192.168.1.1
# 服务版本检测
nmap -sV 192.168.1.1
# 操作系统检测
nmap -O 192.168.1.1
# 综合扫描
nmap -A 192.168.1.1
# 扫描整个网段
nmap 192.168.1.0/24
# 隐蔽扫描（SYN扫描）
nmap -sS 192.168.1.1
# 使用脚本扫描漏洞
nmap --script vuln 192.168.1.1

3.4 DNS信息收集

Nslookup工具：

# 查询域名的IP地址
nslookup example.com
# 查询邮件服务器
nslookup -type=MX example.com
# 查询名称服务器
nslookup -type=NS example.com
# 查询所有DNS记录
nslookup -type=ANY example.com
# 使用指定DNS服务器查询
nslookup example.com 8.8.8.8

3.5 Whois信息查询

信息来源对比：

# 查询域名注册信息
whois example.com
# 查询IP地址归属
whois 8.8.8.8
# 在线Whois查询
# https://whois.icann.org/
# https://www.whois.com/

Whois查询结果示例：

Domain Name: EXAMPLE.COM
Registry Domain ID: 2336799_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.iana.org
Registrar URL: http://res-dom.iana.org
Updated Date: 2023-08-14T07:01:31Z
Creation Date: 1995-08-14T04:00:00Z
Registrar Registration Expiration Date: 2024-08-13T04:00:00Z
Registrar: RESERVED-Internet Assigned Numbers Authority
Registrant Organization: Internet Assigned Numbers Authority
Registrant State/Province: CA
Registrant Country: US
Admin Organization: Internet Assigned Numbers Authority
Tech Organization: Internet Assigned Numbers Authority
Name Server: A.IANA-SERVERS.NET
Name Server: B.IANA-SERVERS.NET

3.6 信息收集防护

防护措施：

信息收集防护策略：
├── 减少信息暴露
│   ├── 隐藏服务器版本信息
│   ├── 使用隐私保护服务
│   ├── 限制DNS区域传输
│   └── 最小化错误信息
├── 检测和监控
│   ├── 入侵检测系统（IDS）
│   ├── 日志监控
│   ├── 异常流量检测
│   └── 扫描行为识别
├── 访问控制
│   ├── 防火墙规则
│   ├── 端口过滤
│   ├── IP白名单
│   └── 速率限制
└── 主动防御
    ├── 蜜罐部署
    ├── 欺骗技术
    ├── 动态防御
    └── 威胁情报

四、ICMP Flood攻击

5.1 ICMP Flood攻击原理

5.2 ICMP攻击类型对比

常见ICMP攻击对比：

ICMP攻击类型详解：
├── ICMP Flood
│   ├── 原理：发送大量ICMP Echo Request
│   ├── 特点：消耗CPU和带宽资源
│   ├── 流量：高流量攻击
│   └── 防御：限制ICMP流量、流量清洗
├── Ping of Death
│   ├── 原理：发送超过65535字节的ICMP包
│   ├── 特点：利用IP分片重组漏洞
│   ├── 流量：低流量攻击
│   └── 防御：过滤超大数据包、系统补丁
├── Smurf
│   ├── 原理：伪造源IP，向广播地址发ICMP
│   ├── 特点：流量放大攻击
│   ├── 流量：放大后的高流量
│   └── 防御：禁用IP directed-broadcast
└── Land
    ├── 原理：源地址和目标地址相同
    ├── 特点：导致系统死循环
    ├── 流量：极低流量
    └── 防御：过滤异常数据包

5.3 ICMP Flood防护

防护策略：

# iptables配置（Linux）
# 限制ICMP Echo Request速率
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 5 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
# 只允许特定ICMP类型
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT
iptables -A INPUT -p icmp -j DROP

! Cisco ACL配置
! 限制ICMP流量
access-list 100 permit icmp any any echo-reply
access-list 100 permit icmp any any unreachable
access-list 100 permit icmp any any time-exceeded
access-list 100 deny icmp any any echo
access-list 100 permit ip any any
interface GigabitEthernet0/0
  ip access-group 100 in
! 使用rate-limit限制ICMP
interface GigabitEthernet0/0
  rate-limit input access-group 101 1000000 250000 500000 conform-action transmit exceed-action drop
access-list 101 permit icmp any any

监控和检测：

五、WLAN安全

6.1 WLAN安全概述

6.2 WLAN安全措施

安全措施详解：

6.3 WLAN认证模式

认证模式对比：

WLAN认证模式：
├── 开放认证（Open Authentication）
│   ├── 无需密码
│   ├── 任何人可连接
│   ├── ❌ 完全不安全
│   └── 适用场景：公共热点（配合Portal认证）
├── 共享密钥认证（Shared Key）
│   ├── 使用预共享密钥（PSK）
│   ├── WPA/WPA2-Personal
│   ├── ✅ 适合家庭和小型办公室
│   └── 安全性：中到高（取决于密码强度）
├── 802.1X认证（Enterprise）
│   ├── 基于RADIUS服务器
│   ├── WPA/WPA2/WPA3-Enterprise
│   ├── 支持多种EAP方法
│   ├── ✅ 适合企业环境
│   └── 安全性：高
└── WPA3-SAE
    ├── 同时认证等价（SAE）
    ├── 防止离线字典攻击
    ├── 前向保密
    ├── ✅ 最新标准
    └── 安全性：最高

为什么开放认证不安全：

6.4 WLAN安全最佳实践

安全配置清单：

WLAN安全配置清单：
├── 基本配置
│   ├── ✅ 修改默认管理员密码
│   ├── ✅ 修改默认SSID
│   ├── ✅ 禁用WPS（Wi-Fi Protected Setup）
│   ├── ✅ 启用防火墙
│   └── ✅ 定期更新固件
├── 加密和认证
│   ├── ✅ 使用WPA2或WPA3
│   ├── ✅ 使用强密码（至少12位）
│   ├── ✅ 启用802.1X认证（企业）
│   ├── ❌ 禁用WEP
│   └── ❌ 禁用开放认证
├── 访问控制
│   ├── ✅ MAC地址过滤（辅助）
│   ├── ✅ 限制连接设备数量
│   ├── ✅ 隔离客户端
│   └── ✅ 访客网络隔离
├── 监控和审计
│   ├── ✅ 启用日志记录
│   ├── ✅ 监控异常连接
│   ├── ✅ 定期安全审计
│   └── ✅ 入侵检测
└── 物理安全
    ├── ✅ AP放置在安全位置
    ├── ✅ 控制信号覆盖范围
    ├── ✅ 防止未授权AP
    └── ✅ 定期巡检

六、ARP欺骗防护

7.1 ARP欺骗原理

7.2 ARP欺骗防护措施

# Windows系统
# 查看ARP缓存
arp -a
# 添加静态ARP条目
arp -s 192.168.1.1 00-11-22-33-44-55
# 删除ARP条目
arp -d 192.168.1.1
# Linux系统
# 查看ARP缓存
arp -n
# 添加静态ARP条目
arp -s 192.168.1.1 00:11:22:33:44:55
# 删除ARP条目
arp -d 192.168.1.1
# 永久静态ARP（添加到启动脚本）
echo "192.168.1.1 00:11:22:33:44:55" >> /etc/ethers

7.3 ARP防护方案对比

多种防护方案：

ARP欺骗防护方案：
├── 静态ARP绑定
│   ├── 优点：完全防止ARP欺骗
│   ├── 缺点：管理复杂，不适合大型网络
│   └── 适用：小型网络、关键主机
├── 动态ARP检测（DAI）
│   ├── 优点：自动检测和阻止ARP欺骗
│   ├── 缺点：需要交换机支持
│   └── 适用：企业网络
├── ARP防火墙
│   ├── 优点：实时监控和防护
│   ├── 缺点：需要安装软件
│   └── 适用：终端防护
├── 端口安全
│   ├── 优点：限制MAC地址数量
│   ├── 缺点：配置复杂
│   └── 适用：交换机端口
└── 网络隔离
    ├── 优点：限制攻击范围
    ├── 缺点：需要网络重新规划
    └── 适用：VLAN划分

动态ARP检测（DAI）配置示例：

! Cisco交换机DAI配置
! 启用DHCP Snooping（DAI依赖）
ip dhcp snooping
ip dhcp snooping vlan 10
! 配置信任端口
interface GigabitEthernet0/1
  ip dhcp snooping trust
! 启用DAI
ip arp inspection vlan 10
! 配置DAI信任端口
interface GigabitEthernet0/1
  ip arp inspection trust
! 限制ARP速率
ip arp inspection vlan 10 rate 15
! 验证选项
ip arp inspection validate src-mac dst-mac ip

ARP防护效果对比：

七、安全控制措施分类

8.1 安全控制措施概述

8.2 控制措施分类题目

逐项分析：

8.3 三类控制措施详解

预防性控制（Preventive Controls）：

8.4 控制措施实例分析

1. 网络防火墙 - 预防性控制（P）

网络防火墙：
├── 功能：阻止未授权访问
├── 时机：事前防御
├── 作用：
│   ├── 过滤恶意流量
│   ├── 阻止攻击尝试
│   ├── 控制网络访问
│   └── 防止数据泄露
└── 分类：预防性控制（P）

2. RAID级别3 - 纠正性控制（C）

RAID级别3：
├── 功能：数据冗余和恢复
├── 时机：故障发生后
├── 作用：
│   ├── 数据条带化
│   ├── 奇偶校验
│   ├── 单盘故障可恢复
│   └── 保证数据可用性
└── 分类：纠正性控制（C）

3. 银行账单监督复审 - 检测性控制（D）

账单监督复审：
├── 功能：发现异常交易
├── 时机：事后检查
├── 作用：
│   ├── 检测欺诈行为
│   ├── 发现错误交易
│   ├── 识别异常模式
│   └── 提供审计证据
└── 分类：检测性控制（D）

4. 分配计算机用户标识 - 预防性控制（P）

用户标识分配：
├── 功能：身份识别和认证
├── 时机：访问前验证
├── 作用：
│   ├── 唯一标识用户
│   ├── 控制访问权限
│   ├── 防止未授权访问
│   └── 支持审计追踪
└── 分类：预防性控制（P）

5. 交易日志 - 检测性控制（D）

交易日志：
├── 功能：记录系统活动
├── 时机：实时记录
├── 作用：
│   ├── 记录所有交易
│   ├── 支持审计分析
│   ├── 发现异常行为
│   └── 提供证据链
└── 分类：检测性控制（D）

8.5 控制措施组合策略

纵深防御策略：

完整的安全控制体系：

安全控制体系：
├── 预防层（Preventive）
│   ├── 网络防火墙
│   ├── 访问控制列表
│   ├── 身份认证系统
│   ├── 数据加密
│   ├── 安全策略
│   └── 安全培训
├── 检测层（Detective）
│   ├── 入侵检测系统
│   ├── 日志管理系统
│   ├── 安全信息和事件管理（SIEM）
│   ├── 文件完整性监控
│   ├── 异常行为检测
│   └── 定期审计
└── 纠正层（Corrective）
    ├── 数据备份系统
    ├── RAID阵列
    ├── 应急响应计划
    ├── 灾难恢复方案
    ├── 故障切换机制
    └── 补丁管理流程

八、访问审计系统

9.1 建筑物访问审计

9.2 访问审计系统记录内容

访问审计系统记录的信息：

详细记录内容：

9.3 访问审计日志示例

典型的访问审计日志：

访问审计日志示例：
┌──────────────────────────────────────────────────────────┐
│ 时间戳          │ 2025-01-15 09:23:45                    │
│ 用户ID          │ EMP001234                              │
│ 用户姓名        │ 张三                                    │
│ 部门            │ IT部门                                  │
│ 出入口          │ 主楼1层东门                             │
│ 门禁点编号      │ DOOR-001                               │
│ 访问方式        │ 刷卡 + 指纹                             │
│ 访问结果        │ 成功                                    │
│ 方向            │ 进入                                    │
│ 授权级别        │ 员工                                    │
└──────────────────────────────────────────────────────────┘
┌──────────────────────────────────────────────────────────┐
│ 时间戳          │ 2025-01-15 09:25:12                    │
│ 用户ID          │ VISITOR-5678                           │
│ 用户姓名        │ 李四                                    │
│ 访客类型        │ 外部访客                                │
│ 出入口          │ 主楼1层访客通道                         │
│ 门禁点编号      │ DOOR-VISITOR                           │
│ 访问方式        │ 访客卡                                  │
│ 访问结果        │ 成功                                    │
│ 方向            │ 进入                                    │
│ 授权级别        │ 访客                                    │
│ 接待人          │ 张三（EMP001234）                       │
│ 有效期          │ 2025-01-15 09:00 - 18:00               │
└──────────────────────────────────────────────────────────┘
┌──────────────────────────────────────────────────────────┐
│ 时间戳          │ 2025-01-15 02:15:33                    │
│ 用户ID          │ UNKNOWN                                │
│ 卡号            │ 9999-8888-7777                         │
│ 出入口          │ 主楼3层机房门                           │
│ 门禁点编号      │ DOOR-SERVER                            │
│ 访问方式        │ 刷卡                                    │
│ 访问结果        │ ❌ 失败 - 未授权                        │
│ 方向            │ 尝试进入                                │
│ 告警            │ 是 - 非工作时间未授权访问尝试            │
└──────────────────────────────────────────────────────────┘

9.4 访问审计系统的价值

审计系统的作用：

访问审计系统价值：
├── 安全管理
│   ├── 实时监控人员进出
│   ├── 识别未授权访问
│   ├── 异常行为告警
│   └── 访问权限验证
├── 事件调查
│   ├── 提供历史记录
│   ├── 追溯人员行踪
│   ├── 确定事件时间线
│   └── 提供证据支持
├── 合规要求
│   ├── 满足安全标准
│   ├── 审计追踪
│   ├── 数据保护
│   └── 法规遵从
└── 运营管理
    ├── 考勤统计
    ├── 访客管理
    ├── 区域管理
    └── 报表分析

访问审计报表示例：

九、检测未授权信息处理活动

10.1 安全控制措施分类

10.2 检测未授权活动的措施

检测措施分类：

详细分析：

10.3 各项措施详解

A. 设置网络连接时限

网络连接时限：
├── 功能：限制会话持续时间
├── 检测能力：
│   ├── 发现异常长时间连接
│   ├── 检测可能的会话劫持
│   ├── 识别僵尸连接
│   └── 防止资源占用
├── 实现方式：
│   ├── 空闲超时
│   ├── 绝对超时
│   ├── 强制断开
│   └── 重新认证
└── 分类：辅助检测措施

B. 记录并分析系统错误日志

系统错误日志：
├── 主要用途：
│   ├── 系统故障诊断
│   ├── 性能问题分析
│   ├── 软件bug追踪
│   └── 系统优化
├── 安全价值：
│   ├── 有限的安全信息
│   ├── 可能包含攻击痕迹
│   ├── 但不是主要检测手段
│   └── 需要结合其他日志
└── 分类：非专门检测措施

C. 记录并分析用户和管理员操作日志

操作日志分析：
├── 功能：记录所有用户操作
├── 检测能力：
│   ├── 发现未授权访问
│   ├── 识别权限滥用
│   ├── 检测异常操作
│   ├── 追踪操作轨迹
│   └── 提供审计证据
├── 记录内容：
│   ├── 用户身份
│   ├── 操作时间
│   ├── 操作类型
│   ├── 操作对象
│   ├── 操作结果
│   └── 源IP地址
└── 分类：直接检测措施

D. 启用时钟同步

时钟同步（NTP）：
├── 功能：确保系统时间准确
├── 检测支持：
│   ├── 准确的时间戳
│   ├── 事件关联分析
│   ├── 跨系统审计
│   └── 时间线重建
├── 重要性：
│   ├── 审计的基础
│   ├── 法律证据要求
│   ├── 事件调查必需
│   └── 合规要求
└── 分类：辅助检测措施

10.4 完整的检测体系

未授权活动检测体系：

未授权活动检测体系：
├── 日志收集
│   ├── 操作日志
│   ├── 访问日志
│   ├── 安全日志
│   ├── 应用日志
│   └── 网络日志
├── 实时监控
│   ├── 入侵检测系统（IDS）
│   ├── 入侵防御系统（IPS）
│   ├── 安全信息和事件管理（SIEM）
│   ├── 用户行为分析（UBA）
│   └── 网络流量分析
├── 分析检测
│   ├── 规则匹配
│   ├── 异常检测
│   ├── 行为分析
│   ├── 威胁情报
│   └── 机器学习
├── 辅助措施
│   ├── 时钟同步
│   ├── 连接时限
│   ├── 会话管理
│   └── 访问控制
└── 响应处置
    ├── 告警通知
    ├── 自动阻断
    ├── 事件调查
    └── 证据保全

十、总结

11.1 核心知识点回顾

网络攻击类型：

11.2 考试要点

相关资源：

• OWASP Top 10
• NIST Cybersecurity Framework
• ISO/IEC 27001
• Microsoft SDL
• IEEE 802.11 Wireless Standards