سلام به همه به شبکه ما خوش آمدید
غواصی عمیق امنیتی نام من کوین است
والاس و من می خواهیم به شما یک هدیه بزرگ بدهیم
ممنون که بخش خوبی از آن را برداشتید
امروز وقت شماست که برای این عمیق به ما بپیوندید
شیرجه رفتن اینجا چه خبر است ما داریم
ثبت این در سپتامبر 2022 اگر
شما در حال تماشای این در پخش و این هستید
هشتمین سالگرد حضور ما است
کسب و کار، بنابراین فکر کردم شما می دانید من چه هستم
قرار است این ماراتن عظیم را انجام دهم
و من نمی توانستم به موضوع بهتری فکر کنم
از امنیت برای آموزش ماراتن ما
جلسه در واقع اجازه بدهید به شما ایده بدهم
همین امروز چه خبر است
با نگاهی به دستور کار ما هستیم
با دیدن آن شبکه شروع می شود
امنیت چه تمرکز شما باشد چه نباشد
در شغل شما باید بدانید که وجود دارد
تقاضای فوق العاده ای برای امنیت در آن
در حال حاضر و این بی سابقه است
مانند هر مجموعه مهارت دیگری که استفاده می کنیم نیست
نگاهی به برخی از آمار و سپس ما وارد
به نوعی در سطح بالایی مرور خواهیم کرد
سه هدف اصلی را بررسی کنید
امنیت شبکه نیک و خواهیم دید
چگونه می توانیم برخی از آنها را انجام دهیم
پس ما به اهداف متفاوتی خواهیم رسید
ورود به یک شبکه مشترک
حمله می کند زیرا ما می خواهیم بدانیم چه چیزی داریم
باید در مقابل دفاع کنیم و صحبت خواهیم کرد
در مورد اینکه چگونه می توانیم برخی از دفاع ها را انجام دهیم
و من باید از همان ابتدا بگویم
در این جلسه قرار است صحبت کنیم
در مورد برخی از ابزارهایی که کاربران مخرب
ممکن است برای دسترسی به یک شبکه استفاده شود
اجازه دهید من یک سلب مسئولیت در حال حاضر من می دهم
از یا مخرب حمایت یا چشم پوشی نکنید
استفاده غیرقانونی از هر یک از این ابزارها که می خواهم
تا این اطلاعات را به شما بدهم تا به شما کمک کند
از آن بازیگران بد دفاع کنید
وجود دارد و چون امروز قرار است باشد
این یک جلسه طولانی است، شرط می‌بندید که من هستم
به شما استراحت می دهد
در سراسر ما احتمالا یک زوج خواهیم داشت
وقفه های اصلی در جلسه امروز
فقط حدس زدن
و این می تواند کمی متفاوت باشد این است
فقط حدس می زنم امروز را حدس می زنم
جلسه حدود پنج ساعت طول خواهد کشید
بنابراین ممکن است بخواهید در مورد آن فکر کنید
و آنچه در سر دارید
چند ساعت آینده اما در راه است
ماژول چهار وارد بی سیم می شویم
امنیت همه نوع بی سیم وجود دارد
استانداردهای امنیتی و نه فقط بی سیم
از نظر Wi-Fi اما در اینجا یک مورد است
بلوتوث آن Uber Tooth One نامیده می شود
در اینجا یک آداپتور بلوتوث وجود دارد که می توانیم
در واقع مقداری هک با uh با انجام دهید
بلوتوث ما به آن نیز خواهیم پرداخت
در مورد اینکه چگونه می توانیم از خود محافظت کنیم صحبت کنیم
در مقابل آن پس از آن ما بسیار صرف
کمی زمان صحبت کردن در مورد جلسه
هواپیماربایی می بینید که معامله اینجاست
به جای تلاش برای حدس زدن یا کشف کردن
رمز عبور شخصی برای ورود به سیستم
چیزی که آنها به چه چیزی دسترسی دارند
اگر منتظر بمانیم تا آنها به آن دسترسی پیدا کنند
خودشون لاگین میکنن خودشون رو میدن
اعتبار آنها در حال صحبت کردن و
آنها آن جلسه را دارند
تاسیس شد و پس از آن ما به خوبی نه ما اما
یک کاربر مخرب چگونه آن را ربوده است
جلسه ای که به آنها اجازه می دهد کل را دور بزنند
فرآیند احراز هویت را انجام خواهیم داد
صحبت در مورد چگونگی ربودن جلسه
اتفاق می افتد و چگونه می توانیم در برابر آن محافظت کنیم
ربودن جلسه در مورد آن صحبت خواهیم کرد
امنیت فیزیکی چون می توانیم داشته باشیم
همه این پروتکل ها و سیستم های عالی در
مکان اما اگر کسی فقط می تواند راه برود
و به خوبی به کنسول برسید اینجا یک
من یک سوئیچ Cisco Catalyst دارم
درست اینجاست که ما از آن استفاده خواهیم کرد
برای نسخه ی نمایشی بعدا اگر کسی بتواند دریافت کند
دسترسی به کنسولی که آنها می توانند مالک شما باشند
دستگاه تقریباً آنها می توانند رمز عبور را انجام دهند
ریکاوری پس می خواهیم فیزیکی داشته باشیم
امنیت نیز وجود دارد و ما در مورد آن صحبت خواهیم کرد
برخی از تهدیدات امنیتی در حال ظهور
که ما به طور سنتی فکر نمی کردیم a
خیلی در مورد یا حداقل من نداشتم و
این با دستگاه های اینترنت اشیا است
و برای ابر چگونه می توانیم همانطور که هستیم محافظت کنیم
انتقال منابع و داده هایمان از
مراکز داده متمرکز در محل
سایت ما را به یک ارائه دهنده خدمات ابری ارائه می کنیم
و ما یک راه را می بینیم
رساندن آن امنیت به ابر و
ما بیشتر و بیشتر از آن استفاده می کنیم VPN است
شبکه خصوصی مجازی فناوری
شبکه های خصوصی مجازی ما صحبت خواهیم کرد
در باره
انواع مختلف پروتکل هایی که می توانند باشند
استفاده کردیم که چگونه ممکن است از برخی از آنها استفاده کنیم
با هم و من فکر می کنم شما واقعا لذت ببرید
آن بحث VPN و ما می رویم
آن را با بحث در مورد پویایی کامل کنید
vpn های چند نقطه ای بسیار عالی
محتوای امنیتی که امروز عرضه می شود امیدوارم
شما هیجان زده هستید امیدواریم که بپذیرید
بسیاری از یادداشت ها و دوباره این را متوجه شدم
قرار است یک جلسه ماراتن باشد بنابراین ما
به شما چند استراحت می دهد
در سراسر و بیوگرافی مختصر من زیرا
ما قرار است زمان زیادی را صرف کنیم
با هم اینجا جایی است که من از آنجا آمده ام
من به این موضوع نزدیک می شوم نام من کوین است
والاس من چند مورد دارم
اولین راه من در سال 2001 بود
سوئیچ مسیر CCA و من از آن زمان
آن را ارتقا داد یا به ccie به روز کرد
زیرساخت های سازمانی نیز دارم
در سال 2012 یک فاکتور CCI گرفتم و دارم
از زمانی که آن را به یک CCA در ارتقاء داد
همکاری و در حال حاضر یک ccia برای
21 سال به اضافه عمر من به پایان رسیده است
وضعیت ممتاز، بنابراین من مجبور نیستم
هر چیزی را که به دست می‌آورم پس بگیرم تا فقط خودم را نگه دارم
CCA برای زندگی و این واقعاً مرا می‌سازد
خوشحالم اما من با سیسکو کار کرده ام
دنده واقعا از همان اولین سیسکو
روتر در اواخر دهه 80 سیسکو
روتر AGS plus که اولین بود
روتری که روی آن کار کردم و دارم کار می کنم
با تجهیزات سیسکو از زمانی که من تدریس کرده ام
دوره هایی برای شرکای یادگیری سیسکو برای
حدود 14 سال قبل از اینکه وارد شدم
کسب و کار برای خودم حدود هشت سال
پیش و شروع به تدریس این دوره ها کرد
آنلاین در دنیای واقعی یکی از من
مشاغل مورد علاقه من همیشه خوب بود
شغل همیشه در دنیای واقعی چون من
من و خانواده شما طرفداران بزرگ دیزنی بودیم
احتمالاً می توان چند دیزنی کوچک را دید
آثار باستانی در قفسه کتاب پشت سرم اما
من باید یکی از پنج شبکه باشم
طراحان در دنیای والت دیزنی در
فلوریدا که فقط شگفت انگیز بود
تجربه ای که برای طراحی شبکه به دست آوردم
که پادشاهی جادویی و
Epcot در استودیوها و Animal Kingdom
و یک دسته از استراحتگاه ها فقط یک
خیلی وقت است آنجا و من نوشته ام
مجموعه ای از کتاب ها ویدئوی زیادی انجام داده اند
دوره های آموزشی برای افراد در سیسکو
مطبوعات و من این افتخار را داشته ام که صحبت کنم
در یک زن و شوهر از همسران سیسکو و هر بار
من جایزه سخنران برجسته را گرفتم
نتیجه این است که من این کار را برای آن انجام داده ام
مدتی است و من به آن علاقه دارم
این مطالب را دوست دارم و نمی توانم صبر کنم تا اضافه کنم
امروز برای شما ارزش زیادی دارد زیرا ما هستیم
قرار است امنیت را لمس کند
مفاهیمی که در دسته ای از آنها ظاهر می شوند
آزمون های مختلف سیسکو و غیر سیسکو
بیایید از اینجا در ماژول یک به یک شروع کنیم
فقط درک چیزهای باورنکردنی
تقاضایی که در این صنعت داریم
مهارت های امنیت شبکه
من قبلاً در سیسکو به صورت زنده شرکت کردم
تابستان در لاس وگاس
بله بیایید ببینیم در ماه ژوئن بود
اوه ژوئن 2022 و بسیاری از آنها را ملاقات کردم
مردم پس از به نوعی تعطیل و
انجام آن عملا برای چند سال آن را
دیدن چهره به چهره مردم عالی بود
من و افراد زیادی را ملاقات کردم
در مراسم کلیدی و یکی از
بیانیه های کلیدی که واقعاً برجسته بودند
برای من این بود که از G2 Patel او بود
معاون اجرایی رئیس جمهور و کل
مدیر امنیت و همکاری
با سیسکو و زمانی که او این را گفت
من را تکان داد و فکر کردم وای این خیلی درست است
او گفت جنگ قبل از آن با سایبر شروع می شود
حرکت به سرزمین هارون در مورد آن فکر کنید
زمانی که جنگ بین کشورها رخ می دهد
به جای راه اندازی نوعی
حمله تهاجمی با موشک یا
چیزی که نه اولین حمله است
احتمالا سایبر یک سایبر خواهد بود
حمله کنیم بنابراین می خواهیم از خود محافظت کنیم
در برابر این نوع حملات چنین است
بسیار مهم است در واقع ما می بینیم که
در فهرست 15 مورد امسال منعکس شده است
بیشترین گواهینامه های مورد تقاضا این است
از مجله CI CIO و یکی از بزرگترین
گواهینامه های امنیتی خارج وجود دارد ceh
هکر اخلاقی تایید شده
من می خواهم به گواهینامه توجه کنید
که آن را به عنوان شماره پنج در این نشان می دهد
لیست کنید که واقعاً از بین می رود
Cisco ccnp و Cisco ccie که روی آن هستند
این لیست نیز در ده نفر برتر قرار دارد اما اوه
هک اخلاقی تایید شده شکست می زند
این گواهینامه های سطح بالای سیسکو برای
جستجوهایی که در سال 2022 مورد تقاضا هستند و
در پایان ژوئن امسال به آنجا برگردیم
مجله فورچون این مقاله را داشت که من
داشتم می خواندم و اوه من عاشق تیتر هستم
می گوید شرکت ها مستاصل هستند
کارکنان امنیت سایبری در حال حاضر آنجا هستند
بیش از 700 هستند
000 شغل در حال حاضر که باید وجود داشته باشد
پر شده و اگر در حال تماشای این هستید
یک یا دو ماه بعد آن را دوباره پخش کنید
ممکن است حتی بیشتر از آن باشد اما
پیش بینی در طول بقیه این است
دهه هر سال ما قرار نیست
این کمبود را جبران کنید
این کمبود سایبری ادامه دارد
حرفه ای های امنیتی پس این است
چیزی که ما باید بدانیم که آیا
ما می خواهیم به عنوان اصلی خود وارد آن شویم
روی مشاغل I.T خود تمرکز کنیم یا من به نوعی هستم
من خودم عاشق همکاری هستم
همکاری من عاشق اینترپرایز معمولی هستم
فن آوری ها اما در همه چیز وجود دارد
امنیت مهم نیست که تمرکز شما چیست
شما باید در مورد امنیت من بدانید
من هرگز این کار را برای چه انجام نداده ام
بالای 30 سال بله 33 سال یا بیشتر درست است
در حال حاضر و من هرگز تقاضا در
صنعت مانند ما تقاضا برای
حرفه ای های امنیتی امروز اینطور است
چیزهای حیاتی برای دانستن و
امیدوارم من شما را در واقع فروخته باشم
که این برای شما بسیار مهم است
شغلی که آیا می خواهید روی آن تمرکز کنید
امنیت یا نه شما هنوز باید یک
دانش پایه از آن، بنابراین شما می توانید
گفتگو با افراد دیگر در
صنعت اما بیایید وارد این سه شویم
اهداف بزرگ امنیت چه وقتی می گویم
ما در حال ایمن سازی یک شبکه هستیم که دقیقاً چیست
آیا این بدان معناست که ما چه اهدافی داریم؟
خوب اول من در مورد آن صحبت می کنم
محرمانه بودن من کسی را نمی خواهم
ایمیل من را بخوان من نمی خواهم کسی
بتوانم بر روی سرور من و نگاه کنم
فایل های من نمی خواهم آنها را در آنها چاپ کنند
چاپگر من اگر ترافیک رفت را ضبط کند
در سراسر سیم یا عبور از آن طرف
امواج رادیویی روی آنتنی که نمی خواهم
آنها بتوانند آن را بخوانند من می خواهم
جامعه محرمانه داشته باشید
ارتباطات و ذخیره سازی محرمانه
ما همچنین می خواهیم مطمئن شویم که داده های ما
اصلاح نشده است ما می خواهیم بررسی کنیم
یکپارچگی آن داده ها و یکی از
چیزهایی که باید در برابر آن دفاع کنیم این است
کسی فقط سیستم ما را خراب می کند
شما بدون شک در مورد dos یا DDOS شنیده اید
حملات انکار سرویس همان جاست
یک مهاجم فقط یک سیستم را با آن سیل می کند
ترافیک زیادی که سیستم قادر به انجام آن نیست
کار معمولی خود را انجام دهد زیرا معامله می کند
با آن هجوم داده های ناخواسته که می آیند
وارد آن شود و این می تواند سیستم ما را بیاورد
ما از خدمات رسانی به خود محروم می شویم
سیستم به عبارت دیگر ما می خواهیم
سیستم های موجود باشد و ما می رویم
صحبت کردن در مورد آنچه که متریک High را تعریف می کند
ابتدا در دسترس بودن اما بیایید روی آن تمرکز کنیم
رازداری یکی از راه هایی که می توانیم داشته باشیم
محرمانه بودن از طریق انواع
وسایل امنیتی که می توانیم در آنها استفاده کنیم
شبکه ما در مورد آن صحبت خواهیم کرد
اینجا فقط در یک لحظه اما علاوه بر
به عنوان مثال در روترهای سیسکو ما
ما می توانیم از لیست های کنترل دسترسی ACLS استفاده کنیم
و من به شما نشان خواهم داد
نحو و من به چالش می کشم
شما با چند سناریو عیب یابی
با ACLS که در یک لحظه به اینجا می آید و
همچنین ما قصد داریم ترافیک خود را رمزگذاری کنیم
ما نمی گوییم ترافیک Crypt ما هستیم
رشته داده ما را می گیرد
و ما قصد داریم آن را به هم بزنیم و به عنوان
بخشی از آن تقلای ما با استفاده از یک
الگوریتم ریاضی و این
احتمالاً از الگوریتم استفاده خواهد شد
چیزی به نام کلید ممکن است 128 باشد
طول بیت ممکن است 109 باشد
تعداد بیت ها متفاوت است اما این کلید است
چیزی که شاید باشد
راز بسته به اینکه چگونه و اگر آن را انجام دهیم
من از یک کلید استفاده می کنم و شما از یک کلید و ما استفاده می کنیم
همان کلید برای رمزگذاری و رمزگشایی
داده های ما اگر کسی آن را در آن ضبط کند
وسط و آن کلید را ندارند
آنها نمی توانند ما را بخوانند
داده هایی که در مورد آنها صحبت خواهیم کرد متفاوت است
گزینه های رمزگذاری اما بیایید شروع کنیم
با نگاهی به برخی متفاوت
لوازم امنیتی یکی که شما دارید
احتمالاً چیزهای زیادی در مورد آن شنیده شده است
مفهوم فایروال در حال حاضر فایروال است
به طور کلی به نگهبانی در
محیط شبکه خود را هنگامی که بیرون می روید
به اینترنت بروید یا به یک فضای گسترده بروید
شبکه منطقه ای یا یا شاید شما به فقط بروید
یک منطقه متفاوت از خود شما
شبکه با سطح امنیتی متفاوت
اما فایروال اساسا مجموعه ای از
قوانینی برای گفتن اینکه چه ترافیکی مجاز است
آمدن در جایی که ترافیک مجاز است
برو بیرون و در مورد برخی صحبت کنیم
انواع مختلف فایروال یکی از انواع آن است
ممکن است روی سیستم عامل شما اجرا شود
روی کامپیوتر دسکتاپ یا لپ تاپ خود درست است
حالا اگر مایکروسافت ویندوز را اجرا می کنید
یا سیستم عامل مک یا لینوکس تقریباً هر کدام
سیستم عامل احتمالا وجود دارد
گزینه ای برای شما برای استفاده از یک نرم افزار مبتنی بر
یا فایروال مبتنی بر میزبان بنابراین اگر
کسی سعی می کند به شما برسد
کامپیوتر به طور خاص شما می توانید راه اندازی کنید
برخی از قوانین فایروال برای اجازه یا رد کردن
این نوع فعالیت در حال حاضر در حال انجام است
پایین آمدن سطح خرد به
دستگاه های فردی اما اغلب ما
فایروال ها را به عنوان یک وسیله کاربردی در نظر بگیرید
که قرار است در مرز بنشیند
شبکه ما و یک نوع بسیار ابتدایی
از فایروال و من حتی در تماس گرفتن تردید دارم
این یکی فایروال است
اما من می خواهم شما آن را بدانید زیرا آن را
ممکن است روزی در امتحان ظاهر شود
فایروال فیلترینگ بسته وقتی می گویم
فایروال فیلترینگ بسته من صحبت می کنم
در مورد یک کنترل دسترسی واقعا یک مجموعه است
از قوانین برای گفتن این بخش از
شبکه یا این آدرس IP یا این IP
آدرس‌هایی که مجاز به بیرون رفتن هستند یا
آنها اجازه ندارند بیرون بروند یا اجازه دارند
اجازه ورود به عنوان مثال این نیست
استفاده خوبی از یک بسته نخواهد بود
فیلتر کردن فایروال فرض کنید که تنظیم کردیم
یک روتر در لبه شبکه ما قرار دهید
به اینترنت رفتیم و فکر کردیم
خوب من به افراد داخل شبکه خود اعتماد دارم
من به آنها اجازه می دهم وارد من شوند
روتر و به اینترنت بروید اما من
به اینترنت اعتماد نکنید زیرا وجود دارد
بسیاری از بازیگران بد وجود دارند، بنابراین ما آن را تنظیم کردیم
لیست کنترل دسترسی ما را برای مسدود کردن بالا ببرید
ورود ترافیک به اینترنت
ما
به این فکر کنید که چگونه کار می کند
یا اینکه چگونه کار نمی کند بیایید بگوییم
شما در درون هستید شما یک مورد اعتماد هستید
فردی و شما در حال تلاش برای رفتن به یک
وب سایت در اینترنت و همچنین آن
بسته به روتر می رود و می گوید oh
آنها افراد خوبی هستند که در آنها حضور دارند
داخل شبکه به آنها اجازه دهید به بیرون بروند
اینترنت و شما به اینترنت می روید
وب سایت وب سایت اینترنتی در حال تلاش است
برای ارسال صفحه ای که درخواست کرده اید
بازگشت اما زمانی که آن صفحه به آن باز می گردد
روتر رانر می گوید نه نه نه
شما از اینترنت می آیید من نمی دانم
به شما اعتماد کنید و آن را رها کنید
می بینید که ما دو طرفه نمی شویم
ارتباطات بنابراین در مرز نشسته است
از شبکه ما که جای خوبی نیست
برای استفاده از فایروال فیلترینگ بسته چه
ممکن است به جای آن از یک حالت استفاده کنیم
فایروال اکنون در اینجا ما در حال غلبه بر آن هستیم
موضوعی که من فقط توضیح دادم ما به یاد داریم
وضعیت یک جلسه دوباره من در
در داخل من سعی می کنم به یک دستگاه بیرون بروم
در اینترنت جایی و وقتی می روم
به روتر یا به این حالت
فایروال آن را یادداشت می کند
این می‌خواهد بگوید اوه من این من را می‌بینم
آدرس IP در داخل شبکه
به این آدرس IP دیگر در
خارج از شبکه ای که از آن استفاده می کنند
این منبع و این پورت مقصد
شماره من می خواهم آن را به خاطر بسپارم
سپس زمانی که آن وب سرور در این
مثال آن صفحه وب را منبع برمی گرداند
و آدرس های IP مقصد و
شماره پورت مبدا و مقصد
آنها در حال رفتن به انتقال اما
روتر این را متوجه می شود و می گوید
اوه این ترافیک برگشتی از یک جلسه است
که در اینجا کلید یک جلسه است که
از داخل شبکه منشا گرفته است
بنابراین من به آن ترافیک اجازه بازگشت خواهم داد
در آن یک فایروال حالت است و این است
چیزی که واقعاً برای چندین دهه استفاده کردیم اما در
سال های اخیر که حتی بهبود یافته است
اکنون ممکن است در مورد Next بشنوید
فایروال نسل یا لایه 7
فایروال اینجا
فایروال Appliance می تواند بیشتر بررسی کند
نه فقط اطلاعات آدرس IP که می تواند
همانطور که از نام آن پیداست وارد شوید
به اطلاعات لایه 7 می تواند
درک نحوه عملکرد پروتکل های مختلف
با هم به عنوان مثال اینجا اول است
یکی که به ذهن می رسد
من در همکاری و زمانی که هستم کارهای زیادی انجام می دهم
برقراری تماس تلفنی IP با سیسکو
تلفن IP ممکن است از پروتکل استفاده کنم
به نام sip شروع جلسه
پروتکل برای تنظیم جلسه برای ایجاد
تماس تلفنی اما بعد از آن یک بار شروع کردم
صحبت از آن جلسه جرعه جرعه است
به من اجازه می دهد پخش جریانی را شروع کنم
پخش صدای من و این در حال رفتن به
با استفاده از پروتکل RTP انجام شود
پروتکل حمل و نقل بلادرنگ
خوب یک فایروال حالت دار فقط همین بود
اولین مثالی که به ذهن می رسد این است
می فهمم که اوه بله اگر الف
جلسه با استفاده از جرعه شروع می شود سپس ممکن است
انتقال به RTP و آن را به
خوب متوجه شوید که هنوز بخشی از آن است
همان جلسه تا بتوانیم بررسی کنیم
چیزهای خاص پروتکل در جریان های ما
و بر این اساس تردد را مجاز یا رد کنید
کار دیگری که ممکن است بخواهیم انجام دهیم و
این کاری است که ما در دانشگاه انجام دادیم
جایی که سال ها پیش کار می کردم
می توانیم شبکه را به قسمت های مختلف تقسیم کنیم
مناطق امنیتی
آنچه در دانشگاه داشتیم همین بود که داشتیم
اتصال به اینترنت و یکی
فایروال پورت اشاره کرد
اینترنت بخش دیگری از اینترنت داشتیم
دانشگاهی که حاوی Uh the
اقامتگاه هایی که دانشجویان در آن زندگی می کردند
و ما بخش دیگری داشتیم که
شامل دانشکده و کارکنان بود
کلاس های درس
می خواستیم جلوی کسی را بگیریم
نشستن در اتاق خوابگاه خود در شب از
شاید وارد کامپیوتر دانشکده شویم
می خواستم آن را در قالب دیگری قرار دهم
منطقه امنیتی پس کاری که ما انجام دادیم ما هستیم
چیزی را ایجاد کرد که برخی افراد آن را DMZ یا a می نامند
منطقه غیرنظامی شده یک فایروال داشتیم
پورت خروجی به اینترنت داشتیم
یک پورت فایروال دیگر که به داخل می رود
اعضای هیئت علمی و کارکنان در داخل
دانشگاه و یک پورت فایروال دیگر
متصل به سالن های اقامت
در داخل دانشگاه
مثالی دیگر در شرکتی uh in
محیط شرکتی که ممکن است داشته باشیم
سرورهایی که می خواهیم در دسترس باشند
از اینترنت شاید ما خودمان را داشته باشیم
وب سروری که به صورت محلی میزبانی می کنیم در اختیار داریم
سرور ایمیل خودمان که میزبان آن هستیم
به صورت محلی در مرکز داده ما است
مردم در اینترنت باید بتوانند
برای دسترسی به آن سرورها حداقل در
پورت های خاصی بنابراین کاری که ممکن است انجام دهیم این است که قرار دهیم
آن سرورهای در دسترس عموم در الف
DMZ ما هنوز هم می توانیم محدود کنیم
برخی از چیزهایی که می توانیم پورت ها را محدود کنیم
قرار است استفاده شود اما اگر کسی
قرار بود آن وب سرور را به خطر بیاندازیم
نمی خواهم که به یک Hopping off تبدیل شود
اشاره به وارد شدن و مصالحه کردن چیزی
در داخل شبکه تا بتوانیم ایجاد کنیم
این DMZ که قرار نیست داشته باشد
اجازه شروع یک جلسه در DMZ
و سپس وارد شبکه داخلی شوید
بنابراین ما می توانیم این لایه های مختلف را داشته باشیم
امنیت بنابراین یک فایروال که یکی است
وسیله ای که ممکن است دیگری داشته باشیم
دستگاه یک حسگر شناسه یا شناسه نامیده می شود
سنسور سیستم تشخیص نفوذ در اینجا
متوجه خواهید شد که حسگر ایده من است
به یک سوئیچ اترنت متصل شده و
وقتی یک بسته از
بازدیدهای اینترنتی که سوئیچ سوئیچ است
ساختن یک کپی از آن
یک کپی که فرستادی
خوب بسته اصلی به ارسال می شود
مقصد آن مشتری است که در آن می بینید
گوشه سمت چپ بالای صفحه نمایش
اما کپی که ساخته شده شما آن را دیدید
به حسگر IDS رفت تا ایده
حسگر جریان ترافیک را زیر نظر دارد
از طریق آن سوئیچ و نظارت است
آن را برای
الگوهای مخرب چیزی است که وجود دارد
یک پایگاه داده امضا نامیده می شود که IDS
سنسور دارد و اگر ببیند که وجود دارد
ترافیک بالقوه مخرب وارد می شود
این می تواند به ما هشدار دهد که در واقع برخی از شناسه ها
حسگرها حتی می توانند بیرون بروند و با آن صحبت کنند
فایروال و بگویید هی ما هستیم
از این شبکه یا از این حمله شده است
آدرس IP من از شما می خواهم یک قانون ایجاد کنید
که می گوید آن آدرس IP را مسدود کنید
وارد شدن
اما توجه داشته باشید که بسته در اصل
ممکن است یک بسته مخرب باشد که
در ابتدا وارد آن شد آن را به
مشتری برخی از حملات آنها وجود دارد
به نام حملات اتمی که در آن یک مهاجم
فقط با یکی می تواند به سیستم آسیب برساند
یا دو بسته در موردی مانند آن
حسگر ایده ممکن است متوجه شود که ما هستیم
حمله کردیم اما ما از آن جلوگیری نکردیم
حمله کنند
برای غلبه بر این موضوع چه کاری می توانیم انجام دهیم
از نوع دیگری از سنسور به نام استفاده می شود
یک سنسور IPS و یک سنسور IPS یک است
سنسور سیستم جلوگیری از نفوذ بنابراین
دوباره یک شناسه ترافیک را بررسی می کند و آن را بررسی می کند
می تواند به یک کپی از دریافت شده واکنش نشان دهد
ترافیک اما جلوگیری از نفوذ
سنسور سیستم قرار است در صف بنشیند
با ترافیک بنابراین زمانی که ترافیک
اگر تشخیص دهد از اینترنت وارد می شود
بر اساس پایگاه داده امضای خود که
این ترافیک مخربی است که به آن می رود
بتواند واکنش نشان دهد و به طور بالقوه سقوط کند
آن ترافیک در خط نگاهی به آن می اندازد
که می گوید اوه شما با این شناخته شده مطابقت دارید
نوع حمله در پایگاه داده امضای من به عنوان
در نتیجه من شما را رها خواهم کرد و
گاهی اوقات درست مثل اینکه می توانیم میزبان داشته باشیم
فایروال مبتنی بر
گاهی اوقات می توانیم یک IPS مبتنی بر میزبان داشته باشیم
در جایی که بتوانیم یک سنسور IPS را سیستم کنیم
جایی که ما می توانیم بلاک میزبان خود را گرامی بداریم
ترافیک وارد شده به رابط شبکه ما
کارت قبل از اینکه بتواند آسیبی به آن وارد کند
سیستم ما پس تمایز همین است
بین IPS و حسگر ID
فایروال ایده سنسور سنسور IPS آن
از جمله وسایل امنیتی هستند که
ممکن است از خط دفاعی دیگری استفاده کنیم
یک لیست کنترل دسترسی یا یک ACL اگر
شما مطالعات CCNA خود را گذرانده اید یا
شاید Encore مطالعات پس از آن شما
احتمالاً در مورد این دسترسی ها یاد گرفته اند
لیست های کنترلی اجازه دهید کمی مرور کنیم
برای شروع بسیاری از مردم فکر می کنند
یک لیست کنترل دسترسی اساسا یک است
پلیس راهنمایی و رانندگی که تابلوی برو یا الف را در دست گرفته است
علامت توقف بر اساس ترافیک ورودی به الف
رابط روتر یا خروج از a
رابط روتر و این درست است که می تواند
انجام این کار یک لیست کنترل دسترسی آن است
فهرست قوانین هر قانون آس نامیده می شود
یک ACE ورودی کنترل دسترسی و آن
آس می تواند بگوید بله
این را مجاز یا انکار و علاوه بر آن
اجازه یا رد کردن ترافیک
می خواهم بفهمی که می تواند باشد
هنگامی که ترافیک را به یک روتر ارسال می کنیم اعمال می شود
یا وقتی ترافیک از روتر خارج می شود
ما می توانیم آن را به صورت ورودی یا خروجی اعمال کنیم
هنگامی که ما این Access را تنظیم می کنیم
ورودی ها را به عنوان بخشی از دسترسی ما کنترل کنید
لیست کنترلی که باید در مورد آن فکر کنیم
ترافیک در حال آمدن کدام جهت است
وارد روتر می شود یا در حال رفتن است
خارج از روتر و علاوه بر
فقط اجازه یا رد کردن ترافیک ما
همچنین می توانید استفاده کنید و این یک مفهوم است اغلب
نادیده گرفته شده ما همچنین می توانیم ترافیک را مطابقت دهیم
من دارم کاری شبیه کیفیت انجام می دهم
خدمات یا ترجمه آدرس شبکه
شاید بخواهم ترافیک را مطابقت دهم
که از یک زیر شبکه خاص می آید
من می توانم این کار را با یک کنترل دسترسی انجام دهم
لیست و برای انجام آن من می گویم می خواهم
برای اجازه دادن به این آدرس شبکه با این
ماسک وایلدکارد خوب
فقط به این دلیل که من اجازه می دهم که این اجازه را نمی دهد
یعنی همه چیزهای دیگر را مسدود می کنم
زمینه استفاده از این با کیفیت
سرویس یا به عنوان آدرس شبکه
ترجمه
من از آن برای مطابقت با ترافیک استفاده می کنم
همیشه برای مسدود کردن یا حذف ترافیک استفاده نمی شود
یا اجازه دهید ترافیک از طریق آن قابل استفاده باشد
مطابقت با ترافیک و آن یک لیست است و آن را
پردازش از بالا به پایین اگر به من اجازه بدهید
شما یک مثال فرض کنید که من یک
قانونی که می گوید
از همه افراد در این زیرشبکه جلوگیری می شود
آنها از دسترسی به این خاص محروم هستند
سرور شرکت به دلیل
اطلاعات حساس در آن سرور است
هیچ کس در این زیرشبکه به آن دسترسی ندارد
سرور با یک استثنا
ما یک مدیر شبکه داریم که
زندگی در آن زیرشبکه کاری که ما می توانیم انجام دهیم این است
یک قانون تنظیم کنید تا بگویید خوب می خواهم
به IP مدیر شبکه اجازه دهید
آدرس برای رسیدن به آن سیستم برای رسیدن
آن سرور به خوبی در لیست من اگر من اول
بگو ساب نت را انکار کن و بعد می گویم
به آن یک مدیر شبکه اجازه دهید
چه کسی متعلق به زیر شبکه ای است که می روند
رد شود زیرا در حال پردازش هستیم
از بالا به پایین به محض نگاه کردن به و
اولین آسی که می گوید انکار کنید را ارزیابی کنید
کل زیر شبکه به خوبی مدیر
بخشی از زیرشبکه ding ding ding است
ما یک مسابقه داریم و آن
ترافیک مدیر خواهد بود
کاهش یافته است، بنابراین ما باید ورودی آنها را جابجا کنیم
که می گوید اجازه اوه که خاص است
کاربر مدیر شبکه باید آنها را جابجا کنیم
بالای خطی که می گوید subnet را انکار کنید
ترافیک بنابراین به عنوان یک اصل کلی ما
باید ورودی های خاص تری را در ما قرار دهد
لیست کنترل دسترسی بالاتر در لیست ما
زیرا اینها فرآیند از بالا به پایین و
وقتی مسابقه ای داشته باشیم می رویم
بقیه ورودی ها را در آن نادیده بگیرید
لیست اما بیایید بگوییم که ما به همه
از طریق لیست و ما یک
نقشه مطابقت هیچ چیز ما نداشتیم
ورودی کنترل دسترسی که مطابقت داشت
یک بسته خاص آنچه در a اتفاق می افتد
مورد مانند آن خوب در پایین ما
لیست کنترل دسترسی هر دسترسی
لیست کنترل ما ایجاد نمی کنیم این است
در آنجا به طور پیش فرض نمی توانیم این را حذف کنیم
یک قانون ضمنی انکار همه چیز وجود دارد
که می گوید اگر توسط a مجاز نبود
ورودی قبلی Access Control در حال رفتن است
به طور ضمنی انکار شود، بنابراین ما نیاز داریم
باید آن را در ذهن داشته باشیم و زمانی که هستیم
برای تنظیم این ها می توانید از شماره گذاری استفاده کنید
ACLS می توانید شخصاً از ACLS با نام استفاده کنید
من به نوعی طرفدار ACLS هستم و
آنها می توانند استاندارد یا توسعه یافته باشند و
من برای شما یک مثال از هر آمدن می زنم
فقط در یک لحظه بلند شد
در واقع بیایید برویم و نگاهی به a
ACL استاندارد در حال حاضر اینجا من یک
چند زیر شبکه از این روتر pc1
PC2 آنها متعلق به 10.1.1.0 24 هستند
زیر شبکه چند سرور دارد
192.168.1.024 و هدف برای ACL ما
در اینجا من می خواهم از ترافیک جلوگیری کنم
pc1
از رسیدن به زیر شبکه ای که حاوی
سرورها بنابراین به عبارت دیگر PC2 باید
اجازه داشته باشید و متوجه شوید که ما چه می کنیم
اول می گویم اگر متوجه این موضوع شدید
نحو پیکربندی روی صفحه نمایش I'm
گفتن لیست خط تیره دسترسی 2. بله الان
اعدادی در محدوده 1 تا 99
آنها برای ما استفاده می شوند
استاندارد ACLS در حال حاضر ACL استاندارد توسط
راهی که فقط با آن مطابقت دارد
آدرس IP منبع یک پورت TCP منبع نیست
شماره آدرس مقصد نیست
فقط با آدرس IP منبع مطابقت دارد
بنابراین آن را به عنوان دانه دانه نیست
هنوز من احتمالا از یک استاندارد استفاده خواهم کرد
ACL هر بار که من Nat را راه اندازی می کنم
چون سعی می کنم آدرس ها را مطابقت دهم
که از یک زیرشبکه منبع می شوند بنابراین من
به چیز دیگری نیاز ندارم اما من اینجا هستم
گفتن می خواهم به میزبان اجازه بدهم
10.1.1.102 که PC2 است
سپس آن را با آس بعدی دنبال می کنم
که می گوید دسترسی خط تیره لیست دو اطلاعیه
من همان شماره را می دهم که بخشی از آن است
همان لیستی که من می گویم می خواهم رد کنم
کل آن زیر شبکه که شامل قطعات است
یک و دو
10.1.1.0 و به جای ماسک زیر شبکه ما
را متقابل از آن وحشی
ماسک کارت و این خواهد شد
0.0.0.255.
چیزی که من لزوما باید می دادم
آن دومین لیست کنترل دسترسی
ورود
قطعا نه
اگر ترافیک باشد به خوبی ترافیک را رد می کند
اگر به طور ضمنی یا من نباشد، ضمنی نیست
باید به صراحت بگوید مجاز است
به طور ضمنی تکذیب می شود تا بتوانم
آن قانون دوم و آن را حذف کرده اند
الان که هستیم خیلی خوب بود
قرار است آن را اعمال کند
ما به رابط gig0 one می رویم
این رابط رو به PCS و
می گوییم گروه خط تیره دسترسی IP و ما
شماره گروه دو یا لیست را بدهید
عدد دو است و به عنوان ترافیک می گوییم n
می رود به آن روتر که در آن است
ما بسته ها را ارزیابی می کنیم
و این به هدف ما خواهد رسید
در اینجا نگاهی به ACL توسعه یافته بیندازید
هدف این است که pc1 متصل شود
با استفاده از tftp به سرور یک متصل شوید
پروتکل انتقال فایل بی اهمیت PC2
باید بتواند به سرور 2 متصل شود
با استفاده از FTP و من حدس می زنم که
همه چیز دیگر رد می شود
هنوز به فهرست دسترسی ورودی های ما نگاه کنید
101 بنابراین از 100 تا 199 آن شروع می شود
می توان برای اعداد ACL توسعه یافته استفاده کرد
لیست دسترسی 101 مجوز و در اینجا من اجازه نمی دهم
باید با یک زیر شبکه کامل یا یک شبکه مطابقت داشته باشد
در کل یک زیرشبکه نیست اما با یک زیرشبکه مطابقت دارد
کل مجموعه پروتکل مانند IP I can
مطابق با پروتکل های خاص اینجا من هستم
با انتقال فایل بی اهمیت مطابقت دارد
پروتکلی که مبتنی بر UDP است، بنابراین من می گویم
مجوز UDP و بعد از آن در این خط
خواهید دید که من پورت UDP را مشخص می کنم
شماره اما من می خواستم به میزبان اجازه بدهم
از 10.1.1
10.1.1.101 که pc1 برای رفتن به a
مقصدی که نتوانستیم a را مشخص کنیم
مقصد با ACLS استاندارد اما ما
نمی توانم بشنوم که می خواهیم به یک
مقصد 192.168.1.2
و این سرور یک خواهد بود و
سپس می گوییم EQ 69 که برابر است
پورت UDP 69 که tftp است
ما در خط بعدی یک کار مشابه انجام می دهیم
ما می گوییم لیست دسترسی 101 اجازه TCP این را می دهد
زمان FTP از میزبان PC2 و
مقصد یک سرور دو است و ما
می گویند EQ FTP
و من این کار را برای نشان دادن آن انجام دادم
گاهی اوقات می توانیم فردی را مشخص کنیم
شماره پورت اما Cisco iOS از آن مطلع است
نام طیف گسترده ای از پروتکل ها
آن را با زمینه بررسی کنید
کمک حساس بنابراین من لزوما
باید یک شماره پورت بدهم که می توانم a بدهم
نام پروتکل مانند FTP
و من نگفتم چیز دیگری را انکار کنم
با اینکه همه چیز دیگه رو گفتم
باید رد شود آیا به خاطر دارید که چرا
دلیل این بود که همه چیز دیگری قرار است
اگر این کار را نکنم، به طور ضمنی انکار شود
صراحتاً اجازه دهید سپس وارد آن می شوم
رابط gig01 و من می گویم خط فاصله ipx
گروه N
منم همین طور
من ورود به روتر R1 را مشخص می کنم
اکنون از زیر شبکه حاوی PCS
بگذارید با چند مثال شما را به چالش بکشم
در اینجا نحو فعلی را مشاهده می کنید
روتر R1 و هدف جلوگیری از
ترافیک از PC1 از رسیدن به
زیر شبکه حاوی سرورها اما
علامتی که ما داریم PC2 عجیب است
قادر به رسیدن به
شبکه 192.168.1.024
بنابراین pc1 باید رد شود اما علامت
هر دو pc1 و PC2 در واقع رد می شوند
بنابراین می توانید نحو را کمی بهتر ببینید
من قصد دارم این تمام صفحه را برای
شما
که به شما اجازه می دهد نگاه بهتری به آن داشته باشید
و من می خواهم شما به من بگویید در
اگر می خواهید چت کنید و ما چت می کنیم
در اینجا با رابط های مختلف وارد می شود
بنابراین اوه من باید به اطراف نگاه کنم
بیش از یک رابط اما اوه و توسط
از زمانی که من یک تاخیر وجود دارد
چیزی را به زمانی که آن را می شنوید بگویید
ممکن است 15 ثانیه تاخیر وجود داشته باشد
بنابراین سعی می کنم آن را زیاد طولانی نکنم
اما من از شما می خواهم که ادامه دهید و چت کنید
اگر بخواهید چه اشکالی دارد
چه مشکلی با این نحو روی صفحه وجود دارد
من چند ثانیه به شما فرصت می دهم و شما می توانید
وقتی مشکل را متوجه شدید با آن چت کنید
بسیار خوب شروع به دریافت برخی از پاسخ ها
بیایید اینجا را مرور کنیم
ابتدا می گوید لیست دسترسی یکی رد میزبان
10.1.101
ما
10.1.1.101 که pc1 است ما همه را انکار می کنیم
ترافیک از bc1 این چیزی است که ما داریم
می‌خواهیم کار فوق‌العاده‌ای انجام دهیم، سپس وارد آن می‌شویم
رابط gig0 اسلش یک و ما هستیم
می‌گویند ترافیک ورودی به این را مسدود کنید
رابط
که مطابقت با لیست دسترسی یکی که است
به نظر می رسد که ما در حال مسدود کردن رایانه شخصی هستیم
انجام کاری که به ما گفته شده بود چگونه می شود
این کار نمی کند و بله بسیاری از شما
این را درست می فهمند
این انکار ضمنی است
پایین
من می خواستم به PC2 اجازه بدهم
برای رسیدن به آن زیرشبکه و اینطور نیست
چون ضمنی هر چیزی را انکار می کند
در انتهای کار فوق العاده ACL ما روی
که یکی بیایید نگاهی به دیگری بیندازیم
یکی
در این مثال ترافیک از در واقع
این همان هدف و همان علامت است
pc1 باید از رسیدن به آن جلوگیری شود
زیرشبکه سرور PC2 قادر به دسترسی نیست
آن را نیز و ما آن را نمی خواستیم
می خواهم PC2 بتواند به آنجا برسد و اگر
در نحوی که من انجام دادم متوجه خواهید شد
آنچه گفتی گفتی که باید
به صراحت PC2 را مجاز کنید، بنابراین من آن را بررسی کردم
من همان خط دوم است
خطی اضافه کرد که میزبان مجوز را می‌گفت
10.1.1.102
این PC2 است، پس اگر می خواهید دوباره با آن چت کنید
چگونه است که کار نمی کند
بله کار عالی به این دلیل است که این یک
لیست کنترل دسترسی و این لیست است
پردازش از بالا به پایین به طوری که اولین آس
که کل زیرشبکه را انکار می کند
10.1.1.024
آن را با هر دو PC1 و PC2 مطابقت دارد، بنابراین قبل از ما
به صراحت می گویند PC2 مجاز است
به صراحت گفت کل زیر شبکه را مسدود کنید
که PC2 به آن تعلق دارد زیرا ما هستیم
پردازش از بالا به پایین ما هرگز به
قانون اجازه PC2 و بنابراین آن را
مسدود شده است، اجازه دهید به یک حرکت کنیم
ACL را اکنون کمی بیشتر گسترش داده است
چالش در اینجا هدف است
pc1 باید بتواند به سرور متصل شود
1 با استفاده از tftp PC2 باید بتواند
اتصال به سرور 2 با استفاده از FTP و PC2 می باشد
خوب کار می کند، اما pc1 درست است
قادر به دسترسی به سرور از طریق tftp نیست
این شبیه چیزی است که ما در خود دیدیم
مثال چند لحظه پیش
و من به شما چند ثانیه فرصت می دهم تا
سینتکس را مطالعه کنید و در خود چت کنید
پاسخ دهید اینجا چه مشکلی دارد
بله این کمی پیچیده تر بود
در این مثال همه چیز به نظر می رسد
واقعا خوبه جز اینکه باید اینو بدونیم
tftp یک پروتکل UDP است و TCP نیست
پروتکل و به یاد داشته باشید که یک استاندارد
ACL با یک کل مطابقت دارد
مجموعه پروتکل مانند IP
اما یک سابق اما با ACL گسترش یافته ما
می تواند با پورت های خاص مطابقت داشته باشد و یک پورت است
معمولاً یا TCP یا a خواهد بود
پورت UDP و اینجا همان خط اول می گوید
TCP باید می گفت UDP شما بچه ها هستید
کار بسیار خوبی است، بیایید یک بار دیگر در اینجا انجام دهیم
می خواهید اجازه دهید pc1 به سرور 1 برسد و
سرور دو و ما می خواهیم از PC2 جلوگیری کنیم
از رسیدن به هر کدام از سرورها، بنابراین pc1 به آن بروید
سرورهای PC2 به سرورها نمی روند
علامت این است که هیچ یک از رایانه های شخصی نمی توانند به آنها دسترسی پیدا کنند
سرور و بیایید نگاهی به آن بیندازیم
نحو در اینجا یک ACL توسعه یافته است
دسترسی به لیست 150 که در این محدوده قرار دارد
100 تا 199 اجازه IP پس من هستم
اجازه دادن به تمام ترافیک IP
من می گویم TCP و UDP گنجانده شده اند
میزبان مجوز
10.1.1.101 که برای رفتن به آن pc1 است
زیر شبکه حاوی سرورها
192.168.1.0 با ماسک عام از
0.0.0.255 که درست به نظر می رسد که من هستم
من به صراحت PC2 را انکار می کنم
میزبان
10.1.1.102 رفتن به همان زیر شبکه
که درست به نظر می رسد
و شما می بینید که من وارد می شوم و هستم
اعمال آن
اینجا چه اشکالی دارد
این خیلی خوب به نظر می رسد اما اینطور نیست
کار می تواند هر کسی شما می دانید چه من
حتی نیازی به مکث در اینجا نیست
کار فوق العاده ای است که بسیاری از مردم هستند
لکه بینی که من آن را به اعمال کرده ام
در واقع پایان اشتباه خوب است
من یا آن را به اشتباه اعمال کرده ام
رابط من می توانم آن را به این طریق متوجه شوید
من می گویم می خواهم این ورودی را اعمال کنم
به خوبی وارد روتر در gig02 می شود
برش صفر دو که پورت اشاره می کند
به سرورهای من
بنابراین می‌توانم آن را روی برش ۲ gig0 اعمال کنم
این یک گزینه است اما اگر این کار را انجام دادم
باید آن را در خروجی اعمال کرد
جهت همانطور که از روتر R1 خارج شدم تا یکی
راه حل این است که فقط آن را تغییر دهید
جهت را به داخل و خارج تغییر دهید
راه حل دیگر تغییر من خواهد بود
رابط به gig0 one چون من آنجا هستم
از رایانه شخصی وارد می شود بنابراین هر کدام
آن مشکل را برطرف می کرد، بنابراین ما نیاز داریم
بکار گرفتن
لیست دسترسی در جهت صحیح
روی رابط صحیح
در مرحله بعدی بیایید در مورد رمزگذاری صحبت کنیم
گفت رمزگذاری ما را درهم می‌کشد
داده ها به گونه ای است که اگر کسی رهگیری کند
آنها می توانند آن را بخوانند
و ما دو نوع اساسی داریم
رمزگذاری رمزگذاری متقارن وجود دارد
و اکنون رمزگذاری نامتقارن وجود دارد
رمزگذاری متقارن اجازه دهید من به شما یک
چند نمونه یک نمونه واقعا قدیمی که
ما قطعاً نمی خواهیم از امروز استفاده کنیم
در واقع اجازه دهید صورتم را برگردانم
صفحه نمایشی که ما به آن نگاه نمی کنیم
نحو دیگر یک استاندارد است که ما
امروز نمی خواهم استفاده کنم توسعه داده شد
در دهه 1970 این داده ها بود
استاندارد رمزگذاری 56 از 56 استفاده می کند
کلید یا طول کلید 56 بیتی وجود دارد
در واقع سخت افزاری وجود دارد که می توانید
خودتان بسازید یا بخرید که یک کرک شود
رشته رمزگذاری شده ای که نمی خواهید
اکنون بهتر از Des از آن استفاده کنید
سه دس بهش میگن
3des که از سه تا از آن کلیدها استفاده می کند و
راه های مختلفی برای پیاده سازی وجود دارد
این شما می توانید 56 بیت برای یک کلید خود استفاده کنید
می توانید از 64 استفاده کنید. راه های مختلفی وجود دارد
با انجام آن می توانید کلیدها را با هم ترکیب کنید
نتیجه این است که خیلی بهتر از
Des اما شما می دانید چه چیزی بهتر از
سه گانه دس
AES استاندارد رمزگذاری پیشرفته و
که واقعا امروز گل سرسبد است
الگوریتم رمزگذاری متقارن وجود دارد
ما آن را روی بی سیم خود خواهیم دید
شبکه، بنابراین ما آن را در شبکه خود خواهیم دید
ipsec VPN راه اندازی AES که همین است
احتمالاً همان چیزی است که امروز می خواهیم استفاده کنیم
حالا وقتی می گویم رمزگذاری متقارن
اینجاست که ما یک کلید مشترک داریم
به عبارت دیگر من در حال ارسال داده ها هستیم
و من و تو و ما می خواهیم
داده هایی را که ما ارسال می کنیم رمزگذاری کنید
هر کدام از ما این کلید مخفی را داریم و داریم
همان را گرفتم که کلید در آن متقارن است
به عبارت دیگر به این معنی است که ما هر دو آن را داریم
همان کلید
این کلید متقارن قرار است استفاده شود
در الگوریتمی مانند AES که در حال انجام است
برای رمزگذاری داده های ما و اگر کسی بود
برای رهگیری آن داده ها، آنها نمی توانند
توانایی کاری را داشتن
آن داده ها را تفسیر می کنند زیرا آنها این کار را نمی کنند
راز ما را بدان که ما را ندارند
کلید مخفی این چیزی است که به ما می دهد
آنچه به ما محرمانه می دهد
رمزگذاری گزینه دیگری است
رمزگذاری نامتقارن نامتقارن است
رمزگذاری و به هر حال استاندارد
بیرون وجود دارد برای آن که شما به اجرا
RSA است که مخفف مردم است
که آن را توسعه داد شمیر و
Adelman اما با کلیدهای نامتقارن ما داریم
کلیدهایی که ما و شما از آنها استفاده می کنیم
ارتباط برقرار کنند اما آنها متفاوت هستند
آنها یک جفت کلید خصوصی عمومی نامیده می شوند
اگر بخواهیم این ایده است
ارتباط ناهمزمان یا
به صورت نامتقارن
من یک کلید خصوصی خواهم داشت و من
کلید عمومی من را در اینجا به شما می دهم
روشی که این کار ممکن است بخواهید قرار دهید
این در یادداشت های شما اگر رمزگذاری کنم
چیزی با کلید عمومی من یا شما دارید
اگر چیزی را رمزگذاری کنم، کلید عمومی من است
با کلید عمومی یا رمزگذاری می کنید
چیزی با کلید عمومی من فقط می تواند
با کلید خصوصی من رمزگشایی شود
بنابراین این بدان معناست که اگر چیزی را رمزگذاری کنید
با کلید عمومی که I
بهت داد من تنها کسی هستم که میتونم
آن را رمزگشایی کنید زیرا من خودم را نمی دهم
کلید خصوصی را به هر کسی که من خواهم داد
کلید عمومی من در اختیار هر کسی که بخواهد است
بنابراین بیایید بگوییم که من به شما داده ام
کلید عمومی و من به یک بازیگر بد یک
کاربر مخرب کلید عمومی من و
شما می خواهید می خواهید برخی از داده ها را به
من محرمانه خوب شما از عمومی من استفاده می کنید
کلید به هم زدن همه چیز
اگر آن کاربر مخرب رهگیری کند چه می شود
ترافیک خود را که با آن رمزگذاری کرده اید
کلید عمومی که به شما دادم به خوبی آنها را دارند
کلید عمومی من را نیز گرفتم که بد است
به این معنی که چون آنها این را دارند
همان کلیدی که شما دارید، اکنون می توانند
داده ها را به خوبی رمزگشایی کنید که درست باشد
با متقارن اما نه با نامتقارن
با هر چیزی نامتقارن رمزگذاری شده با
کلید عمومی را فقط می توان رمزگشایی کرد
با کلید خصوصی که فقط من دارم
بنابراین حتی اگر آنها ترافیک را متوقف کنند
آنها نمی توانند آنها نمی توانند رمزگشایی کنند
آن و متقابل آن قاعده است
درست است و همچنین اگر چیزی رمزگذاری شده باشد
با کلید خصوصی من فقط می تواند باشد
رمزگشایی شده با کلید عمومی من اجازه دهید من بدهم
شما چند مثال برای این بیشتر کنید
دنیای واقعی برای ما بیایید بگوییم که ما هستیم
تلاش برای برقراری ارتباط از یک مشتری به یک
سرور یا شاید یک نقطه دسترسی بی سیم
به یک کلاینت بی سیم از این به عنوان استفاده می کند
خوب شاید رمزگذاری متقارن داشته باشیم
کلیدی به دست آوردیم که به اشتراک گذاشته شده است و ما آن را روی آن قرار دادیم
کلاینت ما آن را روی سرور قرار می دهیم و
همانطور که آنها داده ها را به عقب و جلو می فرستند
الگوریتم رمزگذاری که در حال اجرا هستیم
هر کدام که قرار است به عنوان استفاده شود
بخشی از آن محاسبه است
از آن کلید مشترک استفاده کنید
و اگر کسی آن را رهگیری کند
داده ها
آنها قادر به تفسیر آن نیستند
مگر اینکه آنها کلید مشترک را نیز داشته باشند
ما می خواهیم مطمئن شویم که این کلید حفظ می شود
راز اما این واقعا مقیاس نیست
خیلی خوب انجامش میده
اگر 5000 کاربر داشتم به این فکر کنید
شرکت و ما به همه دادیم
همان کلید مشترک در دستگاه آنها چه می شود اگر
ما یک کارمند ناراضی داشتیم که رفت
و کلید خود را با خود بردند
و شاید آنها می دانستند چه کلیدی دارند
روی رایانه شخصی آنها پیکربندی شده است
ناگهان باید به اطراف برویم و
کلیدهای هزاران ما را تغییر دهید
دستگاه‌هایی که جالب نیستند، بنابراین اینطور نیست
چیزی می شود که ما می خواهیم
که ما می توانیم مقیاس واقعا بزرگ اگر ما می توانیم
باید به هر دستگاه جداگانه بروید
و آن را با یک چاه کلید پیکربندی کنید
آیا ما نمی توانیم فقط از نامتقارن استفاده کنیم
رمزگذاری
بله در اینجا معامله با آن چیزی است
من به رمزگذاری نامتقارن اشاره نکردم
است
در مقایسه با متقارن آهسته منظورم این است
آهسته مثل صد بار حرف زدن
کندتر یا 100 برابر بیشتر طول می کشد
انجام رمزگذاری نامتقارن در مقایسه با
رمزگذاری متقارن بنابراین نامتقارن ما
می توانیم آن را کمی بهتر مقیاس کنیم
بحث در مورد آن چیزی است که ما در مورد استفاده می کنیم
اینترنت اغلب اوقات اما زیاد است
کندتر از متقارن پس بیایید در نظر بگیریم
نامتقارن و یک مثال معمولی که من خریدم
چیزهایی از آمازون تقریباً هر روز
با اوه کامیون پرایم بالا می کشد
در واقع اغلب اوقات در راهروی من
احتمالا قبل از اینکه کلاس تمام شود امروز هستم
احتمالاً یک تحویل خواهد داشت
بنابراین اگر صدای زنگ در را شنیدید احتمالا
احتمالا آمازون اما بیایید بگوییم که ما هستیم
به آمازون می رویم و می خواهیم
چیزی بخریم و ما می رویم
اطلاعات کارت اعتباری ما را بدهید بنابراین بله
من می خواهم آن را امن است
این چیزی است که آمازون دارند
چیزی به نام گواهی دیجیتال
و از نظر فنی گواهی دیجیتال
احتمالاً به آن می گویند
x.509 نسخه سه گواهی دیجیتال
اما این چیزی است که آن را ثابت می کند
آنها واقعا آمازون هستند پس وقتی من هستم
با فرستادن اطلاعاتم به آنها می دانم که هستم
در حال حاضر واقعاً با آمازون صحبت می کنید
توجه داشته باشید که روی صفحه ما این را نیز داریم
سرور این موجودیت در اینترنت
یک CA نامیده می شود که و بستگی به چه چیزی دارد
ادبیاتی که گاهی اوقات می خوانی تقریباً است
گفته می شود برای مرجع صدور گواهی
یا خط پایین مرجع صدور گواهینامه
آیا اول یک شخص ثالث قابل اعتماد است
شرکتی که به ذهن خطور می کند، Verisign است
اگر آمازون بخواهد این را داشته باشد
گواهی دیجیتال برای اثبات آن
هویت به اینترنت که می تواند با آن دریافت کند
بررسی کنید و بگویید هی من یک دیجیتال می خواهم
گواهی که شما آن را تایید کرده اید
تو به من داده ای پس اگر آن را به من بدهم
شخص دیگری یکی از مشتریان من
آنها خواهند دانست که شما واقعاً چه چیزی هستید
یعنی در اینجا چه اتفاقی می افتد
علوم مختلف همه حق آمازون اینجاست
گواهی دیجیتال شما است و اینجاست
کلید خصوصی شما که به شما می دهم
بنابراین ما در اینجا از یک جفت کلید استفاده می کنیم
با استفاده از جفت کلید خصوصی عمومی در حال حاضر به عنوان
بخشی از آن گواهی دیجیتالی که ما داریم
کلید عمومی آمازون را آزادانه ارائه خواهیم داد
کلید عمومی ما به هر کسی که آن را بخواهد می دهد
اما ما کلید خصوصی خود را نمی دهیم
کلید خصوصی ما بنابراین verisign همه چیز را می گوید
کلید خصوصی شما اینجاست، نگو
هر کسی که اینجاست دیجیتال شماست
گواهی حاوی کلید عمومی شما
آن را به مشتریان خود بدهید
و سپس
وقتی میخوام برم ازش چیزی بخرم
آمازون وقتی می بینید بسته به
مرورگر خود را، اما اگر آن را کمی ببینید
نماد قفل در نوار آدرس اینترنتی شماست
گفتن اینکه این داده ها رمزگذاری شده یا
اینجا یک ارتباط امن است
چه اتفاقی می افتد
آمازون
گواهی دیجیتال خود را برای ما ارسال می کند
گواهی دیجیتال آنها حاوی آنها است
طرفدار کلید عمومی آنها سوال این است
چگونه می توانم این گواهی دیجیتال را بشناسم
که من به تازگی دریافت کردم واقعا از
آمازون منظورم این است که ممکن است یک مخرب وجود داشته باشد
کاربر در اینترنت که آن است
تظاهر به آمازون بودن که گرفتم
هدایت شد و گفتند من آمازون هستم
اینجا مدرک من است اینجا دیجیتال من است
گواهینامه همونطور که من میدونم خوبه
واقعا آمازون این گواهی است
توسط یک شخص ثالث قابل اعتماد در امضا شد
مثال من من فقط Versign I را انتخاب کردم
نمی دانم آیا آمازون از verisign استفاده می کند یا نه
نه اما اوه
Versign دیجیتال را امضا کرده است
گواهی برای گفتن من اعتبار این است
واقعاً با آمازون سر و کار دارید
امضای دیجیتال به چه معناست
گواهی خوب
علامت خرس یا حدودی که دارند
رمزگذاری شده است
آن گواهی دیجیتال با آنها
کلید خصوصی
اگر چیزی هست قانون را به خاطر بسپار
رمزگذاری شده با کلید خصوصی شخصی
فقط با عمومی آنها می توان رمزگشایی کرد
کلید و ما یک کلید عمومی Versons داریم
اجازه دهید از طریق این یک قدم به یک
زمان تا آمازون آنها یک عمومی و
جفت کلید خصوصی verisigna گفت اینجاست
کلید خصوصی شما به کسی نگو
اینجا کلید عمومی شماست که آن را در خود قرار داده است
گواهی را به هر که می خواهید بدهید
و من می خواهم برای خرید به آمازون بروم
چیزی بنابراین من می گویم می خواهم یک را ایجاد کنم
اتصال امن تا بتوانم خود را ارسال کنم
اطلاعات کارت اعتباری و آمازون می گوید خوب است
در اینجا گواهی دیجیتال من و این است
گواهی دیجیتال
حاوی کلید عمومی آمازون من است
آن را برای شما در اینجا روی صفحه برجسته کرد
حالا از کجا بفهمم این واقعا از
آمازون به خوبی متوجه شده که می گوید امضا شده است
توسط verisign
و بسته به این در مرورگر من تعبیه شده است
احتمالاً از چه مرورگری استفاده می کنید
در برخی از بخش های امنیتی حفاری کنید
تنظیمات امنیتی و شما در واقع می توانید
گواهینامه های دیجیتالی را ببینید
این اشخاص ثالث قابل اعتماد دوست دارند
versign که به معنای واقعی کلمه در آن تعبیه شده است
مرورگر خود را به شما داده می شود زمانی که شما
مرورگر خود را که به شما داده شده است نصب کنید
کلید عمومی برای علامت خرس
و verisign این گواهی را امضا کرده است
از آمازون آن را با آن رمزگذاری کرده اند
کلید خصوصی آنها که شما باید Verisign را داشته باشید
کلید عمومی پس اگر بتوانید این را رمزگشایی کنید
گواهی از آمازون شما
بر اساس کلید عمومی علمی Vera تحقق یابد
متوجه می شوید اوه بله این واقعاً از طرف است
آمازون
چون از کلید عمومی verscience استفاده کردم
آن را باز کنید
چون آنها آن را قفل کردند یا آنها
اکنون آن را با کلید خصوصی خود امضا کردند
من می دانم که این واقعاً از آنجا ناشی شده است
من و آمازون کلید عمومی آمازون را در اختیار داریم
دارایی من در حال حاضر
اما من نمی خواهم از متقارن استفاده کنم
رمزگذاری همانطور که گفتم کند است بنابراین
بیایید یک کلید مشترک فقط برای آن تنظیم کنیم
مدت زمان جلسه چیزی که من می روم
برای انجام این کار من قصد دارم کامپیوتر خود را تولید کنم
رشته بزرگی تولید می شود
یک رشته تصادفی بزرگ و من می خواهم از آن استفاده کنم
که به عنوان کلید متقارن آمازون
و من در طول این جلسه استفاده خواهم کرد
کاری که من می خواهم انجام دهم این است که این رشته را بگیرم
از داده ها و من می خواهم آن را رمزگذاری کنم
با استفاده از کلید عمومی آمازون
و اگر این کار را انجام دهم اگر کسی رهگیری کند
مشکل این است که مشکل نیست
زیرا اگر آن را با آمازون رمزگذاری کنم
کلید عمومی فقط با آن قابل رمزگشایی است
کلید خصوصی آنها و آنها نمی دهند
که به هر کسی، بنابراین ما این را به
آمازون و اگر کسی آن را رهگیری کند
کلید خصوصی آمازون را ندارید
هنوز امن است اما آمازون آنها یک
کلید خصوصی بنابراین آمازون خواهد بود
قادر به رمزگشایی این رشته تصادفی بزرگ است
که کامپیوتر من به آن دست یافت و بر اساس آن
در مورد آن خواهد گفت آه
در اینجا کلیدی است که می بینم شما می خواهید
برای این جلسه استفاده کنید، بنابراین اکنون من آن را دارم
همان کلید جلسه ای که آمازون برای آن انجام می دهد
مدت زمان جلسه و فقط
با من آمازون و من قصد استفاده از
که برای انجام رمزگذاری متقارن بنابراین شما
ببینید ما در اینجا چه می گوییم واقعاً اینطور است
بهترین های هر دو جهان ما مجبور نیستیم
به همه در اینترنت بدهید
یک کلید متقارن برای صحبت با آمازون که ما از آن استفاده می کنیم
این جفت کلید نامتقارن عمومی-خصوصی
و سپس بر اساس آن جفت کلید من می توانم
یک کلید متقارن درست کنید
این اوه من فکر می کنم که فقط شگفت انگیز است
چگونه کار می کند اما هدف دیگری از
امنیت که شما گفتید یکپارچگی ما می خواهیم
برای اطمینان از عدم وجود داده ها
اصلاح شده یا درهم و وقتی می گویم
یکپارچگی ما می توانیم یک ریاضی اجرا کنیم
بررسی کنید که به آن الگوریتم هش می گویند
و بسیاری از مردم هش کردن را با آن اشتباه می گیرند
رمزگذاری پس به من اجازه دهید
برای یک لحظه بین آنها تمایز قائل شوید
هش و رمزگذاری کاملاً است
اگر داشته باشم متفاوت است
اگر یکی از آن پرس های سیسکو را بگیرم، بسیار بزرگ است
به عنوان مثال، کتاب های خارج از قفسه کتاب من
پشت سرم است و من آن را رمزگذاری می کنم
این یک کتاب ضخیم بزرگ و زیبا خواهد بود
به همان اندازه که بزرگ خواهد بود
چون من حدود 600 صفحه را رمزگذاری می کنم
اما اگر الگوریتم هش را اجرا کنم مانند
الگوریتم md5 خلاصه پیام
پنج الگوریتم در یکی از مطبوعات سیسکو
کتاب هایی که قرار است 125 بیت تولید کند
ببخشید نتیجه 128 بیتی به نام a
هش دیجست به آن به عنوان یک فکر کنید
اثر انگشت آن رمزگذاری نیست که
می توان آن را استخراج یا رمزگشایی کرد
اثر انگشت
و یک الگوریتم هش پیام md5 است
هضم پنج و ایده این است که اگر من را
اثر انگشت و من می گویم اینجاست
خلاصه پیام که من محاسبه کردم
و من داده ها را برای شما ارسال می کنم که شما آن را اجرا کنید
همان الگوریتم و شما می آیید با
همان اثر انگشت اگر اثر انگشت
همخوانی داشتن
این نشانه خوبی است که داده ها
در حمل و نقل اصلاح نشده است اگر I
به جای کتاب، یک کتاب گرفتم، فرض کنید من
یک کلمه سه حرفی مثل من و گربه را گرفت
من یک الگوریتم هش مانند md5 را روی آن انجام دادم
کلمه گربه
همچنین در 128 بیت آن را ببینید
مهم نیست که رشته چقدر بزرگ باشد
اگر از md5 استفاده می کنیم در حال هش کردن هستیم
نتیجه همیشه 128 خواهد بود
بیت هش دیجست
پس اوه این چیزی نیست که ما هستیم
فقط برای اطمینان از رمزگشایی آن است
که اثر انگشت با md5 بسیار زیباست
سیسکو خوب برای چندین دهه از آن استفاده کرده است اما
حتی بهتر از md5 Shaw است که ایستاده است
برای الگوریتم هش امن، بنابراین شما دریافت کردید
گزینه ای که احتمالاً از Shaw it's it's استفاده می کنم
در اینجا امن تر در نظر گرفته می شود
چالشی که داریم اما اجازه دهید بگوییم که
شما برای من می فرستید برای من می فرستید
مقداری داده و شما گفتید اوه اتفاقا
در اینجا هش md5 ​​است که من محاسبه کرده ام
برای این فایلی که در حال دانلود هستید
پس رشته ات را به من می دهی و می دهی
من فایل تو
خوب من می خواهم الگوریتم md5 را اجرا کنم
در آن فایل و من می خواهم تولید کنم
رشته خود من و اگر رشته من یا اگر من
هش md5 ​​md5 با رشته شما مطابقت دارد
هش پس این نشانه خوبی است که
با این حال، چیزهایی در مورد اصلاح نشده اند
اگر این فایل را برای من بفرستید چه می شود
در میانه راه از طریق آن انتقال
یک کاربر مخرب آن فایل را دریافت می کند
آن را تغییر دهید و سپس md5 را اجرا کنید
خود الگوریتم آنها یک کلید دارند
یا نه یک کلید آنها یک هش دیجست دارند
بر اساس آن فایل تغییر یافته و ارسال می کنند
به من گفتن اینجاست
فایل و در اینجا پیام شما به خوبی هضم شده است
من قصد دارم الگوریتم md5 خود را روی آن اجرا کنم
همان فایلی که آنها تغییر داده اند و
منم همینو میگیرم
هش هضم که آنها شما را ببینید
کسی رمزگذاری کرده است یا کسی
در حمل و نقل آن را تغییر دادند و تغییر کردند
هضم برای مبارزه چه کنم
برای غلبه بر آن محدودیت
چیزی به نام hmac hash مبتنی بر وجود دارد
مش بیایید دوباره آن را بر اساس هش امتحان کنیم
کد احراز هویت پیام که a را اضافه می کند
کلید مخفی به مخلوط تا زمانی که هش
با uh hmac محاسبه می شود
قرار است از آن کلید مخفی استفاده کند
و کسی که آنها را رهگیری می کند
فایل ما را رهگیری می کنند و آنها سعی می کنند اجرا کنند
الگوریتم روی فایل آنها را ندارند
کلید مخفی را که ما از آن استفاده می کنیم را بدانید
آنها قادر به ایجاد a نیستند
باورپذیر یا یک هش دایج معتبر و
وقتی فایل را دریافت کنم متوجه می شوم
و رشته آنها
و در نهایت همانطور که ما در مورد آن صحبت می کنیم
سه هدف بزرگ امنیتی وجود دارد
در دسترس بودن بالا که ما نمی خواهیم باشیم
دسترسی به سیستم‌های ما که ما می‌خواهیم ممنوع است
سیستم ها بسیار در دسترس باشند اما چه
بسیار در دسترس است واقعاً یعنی من بودم
بعضی ها را شنیدم فراموش کردم که چه بود
خدمات روز دیگر شنیدم تبلیغ می شود
و آنها چیزی گفتند که شما می دانید
ما 99.9 در دسترس داریم و من
فکر کردم 99.9 واقعاً خوب نیست
این مدت زمان زیادی از کار افتاده است
از یک سال واقعا نوع طلا
استاندارد در دسترس بودن نامیده می شود
پنج نه از در دسترس بودن به این معنی است
که ما 99.99 از زمان بالا هستیم و اگر
شما آن را به مقدار زمان ترجمه می کنید
ما ممکن است در هر سال آن را در مورد
پنج دقیقه
به هر حال دستیابی به آن واقعاً سخت است
می تواند بسیار گران باشد اما واقعا
این یک نوع استاندارد طلایی است
شما همچنین ممکن است شش نهن از را شنیده باشید
در دسترس بودن به این معنی است که شما بیدار هستید
99.9999 از زمان و این خواهد شد
فقط حدود 30 ثانیه به شما می دهد
خرابی در هر سال که اوه که برای
در دسترس بودن واقعا فوق العاده بالا شما
سیستم ها، اما به طور کلی پنج نه این است
چیزی که ما برای آن عکس می گیریم
و برخی چیزهایی که می تواند وارد شود
راه آن کاربران مخرب است
ممکن است فرمت نامناسبی برای ما ارسال کند
داده هایی که ممکن است باعث یک عملیات شود
سیستم برای خراب شدن ما قصد داریم صحبت کنیم
امروز در مورد حملات dos و DDOS
و برای جلوگیری از آن می خواهیم مطمئن شویم
که امنیت سیستم عامل ما
ممکن است بخواهیم وصله ها به روز هستند
از برخی از آن وسایل فایروال استفاده کنید
همانطور که در مورد استفاده سیسکو صحبت کردیم
این اصطلاح که من عاشق استعاره آنها هستم
در مورد امنیت به طور عمیق صحبت کنید
آنها در مورد لایه های همپوشانی صحبت می کنند
امنیت
من از استعاره من در رختخواب هستم روی الف استفاده می کنم
شب سرد زمستان است و واقعاً سرد است
در اتاق و من یک پتو دارم
من اما پاهایم بیرون زده اند پس گذاشتم
پتوی دیگر روی پاهایم و آه من
یک آرنج در اینجا دارم که می چسبد
بیرون و من متاسفم که آن را زیر آن گذاشتم
پتوی دیگری که من اینها را دارم
پتوهای روی هم قرار گرفته اند، بنابراین تعدادی وجود دارد
مناطقی که تحت پوشش چندگانه هستند
پتوهایی که برخی از آنها ممکن است فقط باشند
پوشیده از یک پتو اما با دادن
لایه های همپوشانی حفاظتی من هستم
به طور کامل از همان چیزی محافظت می شود
شبکه ما فقط فایروال نمی خریم و
بگو ما محافظت شده ایم من یک امنیت دارم
دستگاه نه ما می خواهیم همپوشانی داشته باشیم
لایه های امنیت شبکه
و ما در مورد برخی از مواردی که خواهیم گفت صحبت کردیم
هر چه روز می گذرد بیشتر در مورد صحبت کنید اما
که ماژول دو را تکمیل می کند
سه هدف بزرگ امنیت شبکه
در ماژول سه می خواهیم نگاهی بیندازیم
دوباره در سطح بالایی
برخی از حملات رایج شبکه و نحوه ما
ممکن است از خود در برابر برخی از آنها دفاع کنیم
آن حملات و بیایید با آن شروع کنیم
چرا من می گویم یکی از محبوب تر است
حملاتی که در مورد آنها می شنوید
اخبار بسیاری از dos یا انکار خدمات
و DDOS انکار سرویس را توزیع کرد
ابتدا اجازه دهید در مورد یک Dos صحبت کنیم
حمله به انکار سرویس اینجاست
ما یک کاربر مخرب داریم
و آنها در حال تلاش برای رد خدمات به a
سیستم بنابراین در اینجا ما مخرب خود را داریم
کاربر در من سعی می کنم از استفاده از آن اجتناب کنم
کلمه هکر تا آنجا که می توانم چون
من متوجه شدم که هکرها ذاتا بد نیستند
هکرهای کلاه گسترده ای وجود دارد
آنها افراد خوبی هستند که هستند
هکرها آه هکرها می توانند اصطلاح هکر را بگویند
می تواند معانی مختلفی به خود بگیرد و
زمینه های مختلف بنابراین من نمی خواهم
می‌گویند همه هکرها هستند
بد است که من در حال تلاش برای این نیستم
می گویند کاربر مخرب اما اگر من لغزش و
بگو هکر من احتمالا با یک ملاقات می کنم
کاربر مخرب اما ما یک کاربر مخرب داریم
کاربر در سمت چپ صفحه نمایش
و آنها این قربانی را هدف قرار می دهند
آدرس IP از
192.0.2.123 و راه های مختلفی وجود دارد
که ممکن است این کار را بکنیم جز این مهاجم
قرار است چیزی را که پینگ نامیده می شود ارسال کند
مرگ که یک نام دراماتیک است
آیا آن را به ارسال یک پینگ از
مرگ به این قربانی به طور خاص
مهاجم قرار است در مورد آنها دروغ بگوید
آیا آنها قصد دارند IP خود را جعل کنند؟
آدرس و آنها ادعا می کنند که هستند
آدرس IP قربانی ما که آنها به آن می روند
ادعای بودن
192.0.2.123 و آنها قصد انجام یک
به آدرس IP خاصی پینگ نکنید
آنها در حال رفتن به Ping یک زیر شبکه کامل
با استفاده از پخش مستقیم یک زیرشبکه
آدرس پخش مستقیم را به خاطر بسپارید
به همه افراد موجود در آن زیر شبکه می رود بنابراین
آنها می گویند که دارند جعل می کنند
در مورد آدرس IP منبع خود دروغ می گویند
آنها می گویند این است
192.0.2.123 و آنها در حال پینگ هستند
را
پخش آه آه پخش
آدرس آن شبکه ای که آنها پینگ می کنند
198.150 یا نقطه
51.100.255 و وقتی به آن می روند
کارگردانی پخش پاسخ از
هر دستگاه در آن زیر شبکه بیرون می آید
و بم همگی به یکباره آن قربانی را زدند
و این فقط می تواند ادامه یابد و ادامه یابد
آن ماشین قربانی بیچاره آنها خیلی شلوغ هستند
تلاش برای مقابله با آن هجوم
پاسخ های پینگ ممکن است قادر به انجام آن نباشند
کار معمولی خود را اکنون با یکی انجام دهند
مهاجمی که تلاش می کند قربانی را با یک سیل
ترافیک زیادی داشتند و از آنها استفاده می کردند
یک پخش مستقیم برای انجام این کار اما ما
شنیدن بسیاری احتمالا مخرب تر
نوع حمله نسبت به DOS DDOS یا a است
حمله انکار سرویس توزیع شده
اینجا به جای فقط یکی
یک کاربر مخرب تلاش می کند تا a را سیل کند
قربانی با ترافیک زیاد
زمان می تواند دستگاه ها را در سراسر جهان آلوده کند
شاید ده ها هزار دستگاه
در سراسر جهان و آنها خواهند بود
توانایی کاری را داشتن
شاید آنها را با بدافزار آلوده کنید
و آنها در حال تبدیل شدن به زیر
کنترل مهاجم ما اکنون اینهاست
گاهی اوقات ماشین های آلوده نامیده می شوند
ربات ها گاهی اوقات به آنها زامبی می گویند
و این مهاجم وقتی آماده می شوند
حمله را علیه هدف خود آغاز کنند
قربانی آنها قصد دارند با یک سرور صحبت کنند
که فرمان خود را خوانده اند و
سروری را که قرار است کنترل کند
هماهنگ کردن دستورالعمل ها از
که سرور فرمان و کنترل به اینها
ربات های آلوده یا این زامبی ها همین است
به معنای واقعی کلمه ظهور زامبی ها در اینجا
ما از دستور و
کنترل سرور به این آلوده
کامپیوترهای سراسر جهان و ما
به طور همزمان همه آنها بلند شوند و
شروع به حمله به قربانی مورد نظر خود کنیم
شاید با وارد کردن برخی بدافزارها به آن
دست کاربران در سراسر جهان
تظاهر به اینکه شاید نوعی بازی است
از برنامه های دیگر یا شاید ما داشته باشیم
برخی از کدهای مخرب در یک صفحه وب که
آنها را آلوده می کند و سپس ضعیف می شود
مهاجم می تواند آنها را کنترل کند و همه را بگوید
حمله راست و به طور همزمان همه آنها
به قربانی حمله کنید و ما ده ها نفر داریم
هزاران کامپیوتر در اطراف
اینترنت که احتمال آسیب رساندن به آن بیشتر است
از اینکه فقط یک کاربر تلاش کند
یک هدف گذاری ترافیک زیادی ایجاد می کند
هدف قرار دادن یک سیستم چگونه محافظت کنیم
در مقابل آن برای تلفن های موبایل زیبا به نظر می رسد زیبا
اینطور نیست
خوب در اینجا برخی از این موارد کلی است
دستورالعمل ها و این برخی از مطالب است که
من از ceh گرفته ام چارلز برخی را آموزش داد
برخی از آن ماژول ها را من آموزش دادم
ماژول ها این از ماژولی است که I
آموزش داده شده است و در مورد اینکه چگونه می توانیم صحبت کنیم
دفاع در برابر حملات dos و DDOS و
ما در مورد هر یک از این TCP صحبت خواهیم کرد
روترها دارای ویژگی رهگیری TCP هستند
قبلاً در مورد IPS صحبت کرده ایم
سنسور برخی از تشخیص وجود دارد
الگوریتم هایی که ممکن است بخواهیم بیشتر ارائه دهیم
پهنای باندی که برای رسیدگی به آن نیاز داریم
ترافیک بیش از حد در هنگام حمله در حال حاضر چه
ما در پاسخ به حمله این کار را انجام خواهیم داد
با طرح واکنش به حادثه و ما
ممکن است بخواهد به کسی پول بدهد تا به ما حمله کند
شبکه ای که ما در مورد آن می دانیم تا آنها
می تواند هر نقطه ضعفی را قبل از بد تشخیص دهد
بازیگران هر نقطه ضعفی را تشخیص می دهند اما
بیایید در مورد اینها یکی یکی صحبت کنیم
با این رهگیری TCP شروع می شود
ویژگی به یاد داشته باشید که TCP چگونه کار می کند
دست دادن سه طرفه اگر بخواهم راه اندازی کنم
یک مکالمه با شما برای شما ارسال می کنم
پیام همگام سازی s-y-n یک گناه
پیام می دهد و من می گویم هی دوست دارم
با شما صحبت می کنم و شما با یک پاسخ می دهید
تصدیق گفت: باشه من حاضرم
برای اینکه این اتفاق بیفتد، می توانید با من صحبت کنید
به هر حال من هم می خواهم با شما صحبت کنم
تو برای من گناهی از خودت می فرستی
بنابراین من برای شما یک گناه می فرستم که بیا صحبت کنیم
شما برای من یک عمل گناه می فرستید که می خواهم
با شما صحبت می کنم و بله من شما را تایید می کنم
گناه کن و بعد به گناهت اعتراف میکنم
با اعمال خودم، بنابراین این سه راه است
دست دادن گناه ACH ack که چگونه یک TCP
جلسه تنظیم شده است در حال حاضر مهاجم است
ارسال پیام همگام سازی به
روتر R1 و
با ویژگی رهگیری TCP R1 قبل از آن
ترافیک را به هدف منتقل می کند
سرور یکی از گزینه ها برای تنظیم این است
تا خود روتر در آن شرکت کند
که دست دادن تا سرور مورد نظر
هر کسی در داخل شبکه
آنها حتی تا زمانی که درگیر نمی شوند
روتر تایید کرده است که این
جلسه به طور کامل تاسیس شده است
از طرف سرور ما در این مثال
روتر با synec و پاسخ می دهد
مهاجم با آک پاسخ می دهد و
هنگامی که دست دادن سه طرفه تنظیم شد
سپس پیام یا تنظیم جلسه
بین روتر و سرور مورد نظر
و آنها به هم گره خورده اند بنابراین
مهاجم یا شخص موجود در اینترنت
ما هنوز نمی دانیم که آنها بد هستند یا نه
آنها سپس با هدف صحبت می کنند
سرور اما چه هستند که مخرب
کاربر ممکن است انجام دهد ارسال سیل از
همگام سازی یا ارسال پیام گفتن
هی بیایید یک جلسه راه اندازی کنیم بیایید راه اندازی کنیم
یک جلسه اجازه دهید آنها فقط سیل بیش از
و دوباره و هر بار که فقرا را انجام می دهند
روتر می‌گوید خوب، این بدبین من است
خوب اینجا سیناک من است اگر سیل بگذریم
این روتر با این همه پیام ارسال می کند
اما ما هرگز به این عمل گناه پاسخ نمی دهیم
آنها گفتند که نویسنده می فرستد
بازگشت به مهاجم
سپس منابع روتر در حال موجود شدن هستند
مصرف شده آنها چیزی به نام
اتصالات نیمه باز یا گاهی اوقات در
ادبیات و یا آنها را نامیده می شود
اتصالات جنینی آنها به طور کامل نیست
ارتباطات شکل گرفته و این ارتباطات
اگر به اندازه کافی از آنها وجود داشته باشد مصرف خواهد شد
منابع روتر ما به ما می دهد
حمله انکار سرویس به روتر
بنابراین این چیزی است که من سال ها انجام می دادم
قبل از بازگشت به دانشگاهی که در آن بودم
مهندس شبکه ما این را تنظیم کردیم
ویژگی رهگیری TCP و دو تا وجود دارد
حالت هایی که می توانستیم در The Intercept عمل کنیم
حالت همان چیزی است که در انیمیشن a دیدیم
چند لحظه پیش روتر اینجاست
مطمئن شوید که این معتبر است
جلسه قبل از اینکه کسی را ملاقات کنیم
داخل شبکه درگیر
آنها به ارسال پاسخ خواهند داد
پیام هایی از طرف کاربران داخلی
و اگر راه اندازی نشده است، مجبور نیستیم
سرور در داخل با
تمام این اتصالات نیمه باز
روتر قرار است با آن مقابله کند
یا می توانیم روتر را منفعل تر کنیم
می تواند در حالت ساعت و در ساعت باشد
حالت ما در حال بررسی هستیم که چه اتفاقی می افتد
در حال تماشای ترافیک هستیم که می بینیم
پیام ارسال می بینم شما پیام ارسال می کنید
شما به سرور مورد نظر می روید
داخل آن را یادداشت کردیم و
ما اجازه می دهیم این اتفاق بیفتد تا زمانی که از مقداری تجاوز کنیم
آستانه که در آن بیش از حد وجود داشته است
ارسال پیام های ارسال شده در یک معین
دوره زمانی در آن نقطه روتر
درگیر می شود و شروع به مسدود کردن چیزها می کند
راه دیگری برای پیشگیری یا کاهش
آن dos و DDOS به چیزی حمله می کند
قبلاً در مورد سنسور IPS صحبت کرده ایم
جایی که می توانیم این امضا را داشته باشیم
حملات معروف و آنهایی که شناخته شده اند
حملات
اگر ما اگر آنها با امضای در آن مطابقت داشته باشند
پایگاه داده امضا که می توانیم آنها را در آن مسدود کنیم
خط و این پایگاه داده امضا می تواند
چیزی باشد که ما به ندرت به عنوان آن را به روز می کنیم
بخشی از برنامه هفتگی ما یا گاهی اوقات
گاهی اوقات می توانیم IPS خود را یکپارچه کنیم
سنسور با یک سرویس آنلاین که نگه می دارد
اطلاعات به روز در مورد تهدیدات
مانند حملات روز صفر که در حال ظهور هستند
در اینترنت سیسکو چیزی دارد
Cisco Taos نامیده می شود و می توانیم ادغام کنیم
سنسور IPS سیسکو ما با Cisco Talus
و به ما می گوید و می رود
تا اطلاعاتی در مورد این داغ به ما بدهد
نقاطی در سراسر جهان که دارند
نقض‌های امنیتی و ما می‌توانیم ببینیم چه اتفاقی می‌افتد
امضاهای فعلی چیست؟
ما در حال تلاش برای محافظت در برابر یکی از
سخت ترین چیزهایی که می توان با Dos مسدود کرد
یا حمله DDOS روز صفر نامیده می شود
حمله کنند
این جایی است که یک کاربر برای اولین بار
زمانی که کاربر مخرب ما راه اندازی شد
برای اولین بار حمله و
در پایگاه داده امضای ما نیست
چگونه چیزی را تشخیص دهیم که نمی‌دانیم
رکورد خوبی وجود دارد روز صفر است
حملات را می توان تا حدودی کاهش داد
ادغام با یک سیستم آنلاین مانند
تالوس که خیلی سریع به ما می دهد
به روز رسانی زمانی که آنها شناسایی شده اما حتی
فراتر از آن
سیسکو می تواند به عنوان بخشی از Firepower خود استفاده کند
سری فایروال
آنها می توانند از یادگیری ماشین برای شناسایی استفاده کنند
چیزی که آن را مخرب تخمین می زند
ترافیک حتی اگر هرگز نبوده است
مدتها قبل از اینکه در ما نباشد شناسایی شده است
پایگاه داده امضا بله Cisco Firepower
ممکن است از طریق یادگیری ماشینی امکان پذیر باشد
دوباره برای تشخیص آنچه مشکوک است
ترافیک مخرب و سپس ایزوله
آن ترافیک را مسدود کنید و در دسترس است
در سری 9300 به عنوان نمونه سیسکو
فایروال Firepower سیسکو نیز توصیه می کند
که برای محافظت در برابر Dos یا DDOS
ما می‌توانیم به ما حمله کنیم
پهنای باند زیرا زمانی که ما هستیم
با آمدن سیل ترافیک مورد حمله قرار گرفت
در آن سیل ترافیک قرار است باشد
مصرف رگ اضافی با ورود به
شبکه ما بنابراین حتی اگر روتر ما باشد
نگه داشتن گزارش از تمام پیام های ارسال شده
و ما چیزها را مسدود می کنیم و هستیم
شناسایی ترافیک مخرب
هنوز هم از طریق لوله به سمت ما می آید
در زمانی که ما در حال شناسایی هستیم
و پاسخ به آن حمله ممکن است
ایده خوبی است که مقداری اضافی داشته باشید
پهنای باند روی آن لینک، بنابراین اگر داشته باشیم
آن سیل ترافیکی که وارد می شویم
بهتر می توانیم از عهده آن برآییم و ما نمی توانیم
دریافت خدمات انکار در اینترنت ما
لینک به عنوان نمونه
و وقتی مورد حمله قرار می گیریم عالی است
اگر بدانیم قرار است چه کاری انجام دهیم
پاسخ زیرا گاهی اوقات
راستش من احساسات زیادی در آن می بینم
شبکه سازی زمانی که همه چیز اشتباه می شود یا زمانی
برخی از افراد ممکن است حملاتی را انجام دهند
دمدمی مزاج آه ما مورد حمله هستیم چه کنیم
اکنون انجام می دهیم، بیایید همه چیز را اکنون از برق بکشیم
خیلی بهتر است که به جای تلاش کردن
برای ارائه پاسخ در گرما
از لحظه تحت فشار
اگر شما مورد حمله قرار گرفته ایم
قبلا با ذهن روشن مستند شده است
کاری که می خواهید در پاسخ انجام دهید
شما یک برنامه عمل دارید پس ما داریم
تحت حمله بیایید این طرح را اجرا کنیم
ما این کار را انجام می دهیم و اطلاع می دهیم
این افراد را ما می خواهیم این را راه اندازی کنیم
ما این قانون را که هستیم ایجاد می کنیم
این را به روز می کنم
ما یک برنامه گام به گام خواهیم داشت
از نحوه پاسخگویی ما از قبل تصمیم گرفته ایم
هر گونه حملات آتی که قرار است انجام دهد
همه چیز خیلی سریعتر خیلی هموارتر پیش میره
با استرس بسیار کمتر
و یک گزینه دیگر برای محافظت
در برابر این حملات dos و DDOS است
شناسایی هر گونه آسیب پذیری قبل از
افراد بد شما را می شناسند
آسیب پذیری هایی که ممکن است این را در الف ببینید
فیلم یا یک برنامه تلویزیونی گاهی اوقات که در یک
بانک ممکن است گاهی اوقات یک بانک پرداخت کند
کسی برای دیدن اینکه آیا آنها می توانند وارد شوند
بانک آنها و اوه و اگر بتوانند
به اتاق کنفرانسی که گذاشته اند بیایید
کیسه بزرگ را پایین بیاورید و پر است از
این پول بله من همه اینها را از آن گرفتم
شورش و این چیزی است که من برای ورود به آن انجام دادم
ممکن است بخواهید از این امنیت عبور کنید
به خوبی همان چیزی را با با نقض می کند
شبکه های ما می توانیم برای انجام آن به کسی پول بدهیم
تست نفوذ در واقع وجود دارد
یک گواهینامه تست پلاس وجود دارد
از CompTIA که به شما آموزش می دهد تا یک قلم باشید
تستر اما این یک حمله مجاز است
در سیستمی که می دانیم کسی در حال حمله است
سیستم ما و آن برای انجام کارهای بد نیست
برای سیستم ما این است که ما را ارزیابی کنیم
وضعیت فعلی سطح فعلی ما از
امنیت و شناسایی هر
آسیب پذیری هایی که ممکن است به آن نیاز داشته باشیم
نشانی
نوع دیگری از حمله حمله در مسیر است
حمله یا گاهی اوقات این بود
به نام مردی در وسط شما خواهید شنید
یکی در مسیر یا Main in را فراخوانی می کرد
وسط اما ایده این است
ما کسی را داریم که بین آنها نشسته است
منبع و مقصد ما
جریان ارتباط و در اینجا من یک
چند کامپیوتر در حال صحبت کردن هستند و
از طریق یکدیگر هیچ مشکلی وجود ندارد اما
چه می شود اگر مهاجمی بیاید
مهاجم می آید و به این وصل می شود
سوئیچ کنید و شروع به گرفتن کپی از
ترافیک بین آن PCS آنها
ممکن است بتواند آن ترافیک را رمزگشایی کند
شاید آن ترافیک حتی وجود نداشته باشد
ارسال متن واضح شاید آنها می توانند داشته باشند
یک سیستم ترافیک خود را برای آنها ارسال می کند
آنها آن را اصلاح می کنند یا آن را می گیرند و
سپس آن را به مقصد می فرستند اما
منظورم این است که چگونه کار می کند
این یکی از چیزهای بزرگی است که ما دوست داریم
در مورد یک گربه سیسکو یا یک سوئیچ اترنت
به طور کلی این است که سوئیچ می رود
برای ساخت یک جدول آدرس MAC در حال رفتن است
برای یادگیری آدرس های مک چیست
سپس از پورت های مختلف موجود است
وقتی ترافیک وارد می شود، فرض کنید از یکی
از این لپ تاپ ها
و به مقصد و مقصد می نگرد
مقصد لپ‌تاپ دیگری است
می خواهم بگویم آه که در این بندر زندگی می کند
بنابراین من فقط ترافیک را ارسال می کنم
خارج از آن بندر
ما چیزی به این موضوع نمی فرستیم
مهاجمی که فقط چگونه چگونه را وصل کرده است
آیا حتی کار می کند چگونه می تواند چگونه می تواند
آن مهاجم به خود تزریق می کند
این مکالمه زمانی که یک سوئیچ توسط آن
طبیعت مانع از این می شود که این چیزی است که ما هستیم
در مورد صحبت کردن می خواهم در مورد صحبت کنم
سه راه مختلف که یک مهاجم
ممکن است مردی را در وسط راه اندازی کند یا
در حمله مسیر یکی از گزینه ها سیل است
پایگاه داده آدرس MAC در این سوئیچ
فقط برای ارائه پیش نمایش به شما
این سوئیچ فکر می کنم کمی بیشتر نگه می دارد
8000 آدرس مک در آدرس مک آن
جدول
اگر پر بود چه می شد
جدول آدرس کاملا پر بود و
کسی وصل شد
آیا آدرس مک آنها یاد می شود؟
نه
دیگر جایی برای ذخیره آن وجود ندارد
آدرس مک ماشین را پیوست کرده ام تا اگر هستم
ارسال ترافیک به آن ماشین جدید که
فقط ضمیمه کردم و یاد نگرفتم
آدرس مک چگونه می توانم آن را به آن برسانم
ماشین من نمی دانم کجا زندگی می کند
سوئیچ به آن می رود
سیل آن ترافیک از همه بنادر
غیر از پورتی که آن فریم روی آن قرار دارد
وارد شد تا این یک راه است که یک
مهاجم ممکن است به خودشان تزریق کنند
جدول آدرس MAC a را پر کنید
تعویض
بنابراین یک دستگاه به تازگی متصل است که ترافیک
رفتن به آن دستگاه تازه متصل شده است
همه بنادر را سیل خواهد کرد
از جمله بندری که مهاجم به آن می رود
پیوست شده است ما همچنین در مورد ARP صحبت خواهیم کرد
مسمومیت در جایی که ممکن است واقعاً
متقاعد کردن a در سیستم و متقاعد کردن a
روتر که باید ترافیک ما را بفرستند
به ما به جای روتر یا آن که
سیستم پایانی
و اگر بتوانیم از سرور DHCP خود برای uh استفاده کنیم
برای اطلاع رسانی به مشتری در مورد آدرس IP
اطلاعات و اطلاعات DNS و
اطلاعات دروازه پیش فرض ما می توانیم
آنها را به عنوان پیش فرض خود به ما هدایت کنید
gateway یا می توانیم آنها را به DNS خود هدایت کنیم
سرور بنابراین اگر آنها سعی می کنند به a
سایت رسانه های اجتماعی شاید ما آنها را هدایت کنیم
به چیزی شبیه به یک سایت رسانه اجتماعی است
اما واقعاً چیزی زیر دست ماست
کنترل می کنیم و ما آنها را دستگیر می کنیم
اعتبار زمانی که آنها تلاش می کنند وارد سیستم شوند
پس بیایید در مورد هر یک از اینها صحبت کنیم
ابتدا درباره اینکه چگونه می توانیم پر کنیم بحث کردم
جدول آدرس MAC یک سوئیچ را بالا ببرید
و اگر این کار را انجام دهیم، به تازگی پیوست شده است
دستگاه مک خود را نخواهد داشت
آدرس یاد گرفته شده در اینجا چیزی است که یک مهاجم
ممکن است مهاجم ممکن است انجام دهد
یک کامپیوتر خود را یک سری از فریم به
سوئیچ اما با استفاده از یک برنامه از
mackov سرریز مک همان چیزی است که کوتاه است
برای اما با استفاده از یک برنامه مانند آن
یا زمانی که ما فقط آن را برای خود می نویسیم
مهاجم می تواند هزاران نفر را ارسال کند
هزاران فریم فقط در یک
موضوع چند ثانیه
به سوییچ
و آن را به ما در حال رفتن به ادعا
که هر فریم از یک مک متفاوت است
آدرس و آن را به فکر می کنم که
حدود 8000 آدرس مک وجود دارد
زندگی کردن از این یک بندر که هست
ممکن است منظورم اگر آن یک پورت باشد
به سوئیچ متصل است که آن را متصل می کند
به یک سری سوئیچ های دیگر که
آن را به تعداد زیادی سوئیچ دیگر متصل می کند
و آنها PCS دارند بله ما می توانیم
به طور بالقوه هزار وجود ندارد
اما ما می توانیم 8000 دستگاه را خاموش کنیم
تک پورت در چنین موردی اما یک
مهاجم ممکن است از این برنامه استفاده کند
به نام macov که ما آن را ساخته ایم
با Kali Linux من فکر می کنم اینجا کمی است
ویدیوی من در حال انجام آن در کالی لینوکس و
در عرض حدود سه ثانیه پر کردم
جدول ماکادر از این بسیار
تعویض
و در اینجا یک نشانی مک نشان می دهد
شمارش جدول
که من بعد از حدود سه ثانیه انجام دادم
این سیل با استفاده از makov و آن را می گوید
که این سوئیچ قابلیت ذخیره سازی را داشت
8 170 آدرس مک
و همین الان
چند عدد صفر در حدود موجود است
سه ثانیه گفتم بیش از 8000 فریم
در آن سوئیچ که هر کدام ادعا می کنند هستند
از یک آدرس مک متفاوت و آن
کاملا اشباع شد و آن را پر کرد
جدول آدرس مک به هر حال من می خواهم
من می خواهم در یک نسخه ی نمایشی زنده به شما نشان دهم که چگونه
ما می توانیم با استفاده از a با آن مبارزه کنیم
ویژگی به نام امنیت پورت
چیز دیگری که ممکن است اتفاق بیفتد یک است
حمله DCP
با حمله DHCP
ما در حال تلاش برای متقاعد کردن یک کاربر برای آمدن هستیم
به سرور DHCP سرکش ما و دریافت کنید
اگر بتوانیم آنها را ارسال کنیم، اطلاعاتی از ما دریافت می کنیم
اطلاعاتی که می گوید آی پی شما اینجاست
آدرس و در اینجا دروازه پیش فرض شما است
اگر ما مهاجم باشیم چه می شود
چه می شود اگر آدرس IP خود را به عنوان آدرس بدهیم
دروازه پیش فرض به طور ناگهانی که ضعیف است
قربانی بی خبر تمام ترافیک
ارسال خود را که در حال ارسال به آن هستند ترک می کنند
ما ممکن است آن را بگیریم، ممکن است آن را تغییر دهیم
و سپس آن را به آن ارسال می کنیم
مقصد مورد نظر به طوری که آنها هستند
هیچ کدام عاقل تر
چون به مقصد میرسه
بعد از اینکه آن را گرفتیم
بنابراین ما نمی خواهیم یک dtp سرکش داشته باشیم
سرور را باور کنید اما اینجا یک راه است
که یک مهاجم ممکن است یک DHCP راه اندازی کند
حمله گرسنگی مانند استفاده از همه
فضای آدرس مک در آدرس مک
جدول با ابزار Mac OV
مهاجم ممکن است از ابزاری به نام استفاده کند
yersenia که با کالی لینوکس ارائه می شود
و این ابزار سینمایی شما فقط می تواند ارسال کند
سیل کشف DHCP پخش شد
از شبکه و آنها ممکن است به
سرور DHCP شرکتی و آنها می گویند بله
من یک سرور DHCP هستم و می توانیم همه چیز را بگوییم
درست است یک آدرس IP به من بدهید و اینجاست
آدرس مک من خیلی شبیه مک است
آدرس حمله سیل که ما ارسال می کنیم
دسته ای از ترافیک دوباره به آن DHCP
سرور می گوید به من آدرس IP بده
من یک آدرس IP چون همه چیز را می دهم
این مک های ساختگی به خوبی آن را نشان می دهند
سرور DHCP شرکتی فقط همینطور است
آدرس های زیادی در یک استخر به دست و
در عرض چند ثانیه ما
می تواند آن استخر را به طور کامل تخلیه کند
پس حالا اگر کسی اوه اگر مهاجم
سرور DHCP سرکش را به شبکه اضافه می کند
چه اتفاقی می افتد زمانی که یک لپ تاپ
چکمه های تا آن را به ارسال که
DHCP پخش را کشف می کند و می گوید سلام هستند
سرورهای DHCP به خوبی وجود دارد
سرور CPU شرکتی d8 نمی رود
برای پاسخ دادن به دلیل پر بودن آن هیچ
آدرس ها را به دست اما مهاجمان
سرور DHCP Rogue که به تازگی معرفی شده است
پاسخ خواهد داد و این خواهد شد
یک مسئله برای ما
و سپس ممکن است به قربانی گفته شود
قبل از uh as، ابتدا به سمت مهاجم بیایید
دروازه پیش فرض آنها مهاجم
ترافیک را به سمت مهاجم جذب می کند
ترافیک را به اینترنت منتقل می کند
دفاع در برابر این و من می روم
به شما یک دفاع در برابر این بندر نشان می دهد
امنیت
امنیت بندر که قرار است نیز باشد
چگونه در برابر آن سیل مک دفاع می کنیم
حمله نوع دیگری از حمله DHCP است
جعل DHCP این مشابه است و می تواند
در ارتباط با DHCP استفاده شود
حمله گرسنگی اما بیایید یک
لحظه و بررسی فقط مطمئن شوید که ما هستیم
همه در همان صفحه نحوه کار DHCP آن است
اگر تا به حال دورا کاوشگر را تماشا کرده باشید
من فکر می کنم نیکلودئون من بود
دختر عادت داشت وقتی آنها را تماشا کند
جوان بودند اما دورا وجود داشت
کوله پشتی و نقشه و به تازگی
من در تلویزیون دیدم که یک آه وجود دارد
یک دورا جدید بود
مثل نوعی معابد طلای گمشده من
نام آن را فراموش کنید اما وجود دارد
در اکشن زنده فیلم Explorer که
بیرون آمد و من فکر کردم اوه شرط می بندم
خیلی خوبه مثل ایندیانا جونز
فقط با دورا کاوشگر من می دانم
بچه ها دوست دارند که تماشای آن لذت بخش باشد
بله درست کردم این فیلم من است
نقد را تماشا نکن من آن را حدود 10 کردم
چند دقیقه و آنقدر کسل کننده بود که نمی توانستم
صبر کنید شاید برای کودکان ساخته شده باشد
شاید این بد من بود اما لذت نمی بردم
فیلم اما در کل من عاشق شدم
خاطرات دخترهای کوچولوی من در حال تماشا
در آن روز و من به دورا فکر می کنم
همه چیز هر بار که به DHCP فکر می کنم
چون دورا d-o-r-a که مرا به یاد می آورد
فرآیند چهار مرحله ای چگونگی به دست آوردن یک
آدرس IP D کاشف ما است
یک برنامه پخش بفرست و بگو هی هستی
سرورهای DHCP وجود دارد و
هر سرور DHCP که آن را می شنود
کشف پخش می‌خواهد پاسخ دهد
با صاحب و پیشنهاد گفتن بله
من یک سرور DHCP هستم و هر کدام که پیشنهاد می دهیم
در صورت وجود چندین مورد، ابتدا دریافت کنید
پاسخ ها همان چیزی است که مشتری می خواهد
برای استفاده
سپس r Endor a را ارسال می کند
درخواست کنید می توانید مقداری IP به من بدهید
اطلاعات نشانی
و سپس آن سرور با A پاسخ می دهد
و یا تصدیق گفتن بله
در اینجا تمام اطلاعات آدرس IP شما وجود دارد
آدرس شما اینجاست زیرشبکه شما
ماسک اینجا دروازه پیش‌فرض شماست
سرور DNS شما و روشن و روشن و روشن و
به طور معمول مشتری قرار است ارسال کند
پخش Discover در حال رفتن است
به سرور DHCP شرکتی می رود
برای گفتن بله من یک سرور DHCP معتبر هستم
در صورت تمایل از من برای IP خود استفاده کنید
رفع نیازهای مشتری
بگو خوب من می خواهم به طور رسمی
درخواست برخی از اطلاعات آدرس IP و
سرور قرار است آن را در قسمت به ما بدهد
شکل یک پیام قدردانی اما
چه می شود اگر یک حمله مهاجم متصل شود
سرور detp سرکش خود را به این سوئیچ
هنگامی که مشتری DHCP خود را ارسال می کند
پخش کنید که همه جا می رود
زیر شبکه یا اگر یک رله DHCP داشته باشیم
عامل راه اندازی آن ممکن است رفتن به
زیرشبکه های مختلف اما ما سرکش هستیم
سرور به همان زیر شبکه ای متصل می شود که
سرور DHCP شرکت به آن متصل است
و پخش کاشف را دریافت می کند
همینطور الان نه هر بار اما الف
درصد از زمان همه چیز برای
ممکن است پیام قبلاً به مشتری برسد
پیام پیشنهاد از طرف قانونی
سرور DHCP شرکتی و از آن زمان در این
موردی که مشتری Rogue DHCP را دریافت کرده است
سرورها ابتدا پیام ارائه می دهند
بگو خیلی خب من تو را انتخاب می کنم
زیرا شما در کار ما سریع هستید
از شما می خواهم اطلاعاتی به من بدهید
و به ما اطلاعات غلط داده می شود که چگونه انجام دهیم
ما از خود در برابر آن محافظت می کنیم
خوب ما می توانیم یک ویژگی به نام DHCP راه اندازی کنیم
جاسوسی در سوئیچ‌های سیسکو ما
آنچه ما در آنجا انجام می دهیم این است که می گوییم پورت چیست
قابل اعتماد و اینکه چه پورت یا پورت هایی هستند
غیر قابل اعتماد
اگر یک پورت قابل اعتماد باشد، خواهیم گفت
به DHCP قانونی ما متصل می شود
سرور بنابراین در اینجا اولین پورت در
سوئیچ که به قانونی من وصل می شود
سرور DHCP شرکتی و ما می گوییم که اینطور است
قابل اعتماد
همه غیر قابل اعتماد خواهند بود
حالا چه چیزی غیر قابل اعتماد به معنای غیر قابل اعتماد است
یعنی اگر پیام پیشنهاد DHCP را دریافت کنم
وارد این پورت می شود
کاهش یافته است
اگر غیر قابل اعتماد است، در این مورد
پخش Discover هم DHCP است
خوب و بد هر دو
پاسخ اما زمانی که پیام پیشنهاد از
مهاجم سعی می کند وارد شود
سوئیچ بام آن را رها می کند
چون دارد سعی می کند وارد شود
در یک پورت غیر قابل اعتماد و من می روم
فقط در یک رابط زنده به شما نشان می دهد
چند لحظه در واقع ما این کار را خواهیم کرد
آن را روی این سوئیچ که نشان خواهم داد پیکربندی کنید
شما چگونه DHCP را راه اندازی کنید
فکر می کنم از آن راه دیگری لذت خواهید برد
حمله در مسیر ممکن است راه اندازی شود
است با مسمومیت ARP به یاد داشته باشید که چگونه ARP
زمانی کار می کند که کامپیوتر آدرس IP خود را دریافت کند
اطلاعات و می خواهد به بیرون برود
اینترنت به عنوان مثال می داند در
در این مورد لپ تاپ قربانی می داند که
دروازه پیش فرض آن 10.1.1.1 است اما
اولین بار است که سعی می کند با او صحبت کند
10.1.1.1
آدرس مک آن را نمی داند
10.1.1.1 چگونه آن را یاد می گیرد که یاد می گیرد
آن را با استفاده از یک ARP و آدرس
پروتکل وضوح پخش می گوید
سلام کسی میتونه آدرس مک رو بگه
از 10.1.1.1 و روتر می گوید اوه بله
این من هستم من آدرس MAC همه را دارم
الف تظاهر خواهد کرد و به هر حال که
قاب که از قربانی وارد شده است
لپ تاپ از قربانی وارد شده است
آدرس مک لپ تاپ تمام C ها تا
روتر به تازگی کش ARP خود را به روز کرده است
بدانید که لپ تاپ قربانی در
10.1.1.100 یک آدرس MAC از همه دارد
خوب پاسخ روتر بله است
آدرس مک قدیمی uh A من 10.1.1.1 هستم
و PC میگه خیلی ممنون و
کامپیوتر حافظه نهان ARP را به روز می کند، بنابراین اکنون
لپ تاپ و روتری که می شناسند یکی
آدرس مک دیگری و لپ تاپ
یک فریم به آدرس MAC خود می فرستد
دروازه پیش فرض که سپس به
آن را به اینترنت منتقل کنید
اگر مهاجمی بیاید چه می شود
و آن مهاجم می تواند متقاعد کند
هم رایانه شخصی و هم روتری که تردد می کنند
باید به آن فرستاده شود در اینجا منظور من است
مهاجم قرار است چه چیزی را ارسال کند
پاسخ های رایگان ARP نامیده می شوند
به عبارت دیگر رایانه شخصی MAC درخواست نمی کند
اطلاعات آدرس خوب است
پر شده است uh ibr این کش ARP است
همه چیز خوب است اما مهاجم می فرستد
پاسخ های ناخواسته یا بلاعوض هستند
امم گفتن درست مثل اینکه تو اینو بدونی
10.1.1.1 این یک نوع آدرس مک است
زنبورها
این آدرس MAC مهاجم است
و لپ تاپ قربانی می شود که و
می گوید آه خیلی متشکرم من می خواستم
فکر کردم احمقانه من فکر کردم این بود
آدرس مک همه A به من اجازه می دهد ARP خود را به روز کنم
حافظه پنهان برای منعکس کردن آن زمانی که می خواهم بروم
به 10.1.1.1 من می خواهم به
آدرس مک همه زنبورها
ببینید در اینجا چه اتفاقی افتاده است
قربانی سعی می کند به حالت پیش فرض خود برود
دروازه
اکنون به سمت مهاجم می رود
مهاجم همچنین می خواهد متقاعد کند
روتر که آن را لپ تاپ پس از آن است
در حال ارسال یک Arc رایگان به
روتر می گوید
10.1.1.100 این من هستم همه چیز را دارم
آدرس مک B و روتر می گوید oh
با تشکر برای به روز رسانی و به روز رسانی
اکنون حافظه پنهان ما است
فقط با دروغ گفتن در مورد این مهاجم
به طور منطقی خود را به آنها تزریق کرده است
این مسیر و ترافیک بین
کامپیوتر و روتر همانطور که می بینید است
از طریق لپ تاپ مهاجم جریان می یابد
جایی که آنها ممکن است ترافیک را جذب کنند
آنها ممکن است ترافیک را تغییر دهند
به نام حمله مسمومیت ARP و من هستم
به شما نشان می دهد که یک ویژگی وجود دارد که
با DHCP Snooping دست در دست هم دارد
به نام بازرسی Dynamic ARP که می تواند
جلوگیری از این نوع چیزها
در واقع بیایید برای زندگی بیرون برویم
رابط در حال حاضر من این را
تمام صفحه تا بتوانید کمی آن را ببینید
بهتر است و اینجا روی سوئیچ نشسته ایم
sw1 که سیسکو Catalyst 2960 CG است
که در تمام مدت به شما نشان داده ام
جلسه امروز و بیایید اینها را تنظیم کنیم
سه ویژگی اول از همه پورت است
امنیت که به ما کمک می کند از آن دفاع کنیم
در برابر آن حمله سیلابی مک است
به دفاع از ما کمک می کند
در برابر حمله گرسنگی d8cp به عنوان
خوب کاری که انجام می دهد محدود می کند
تعداد آدرس های مکی که می تواند باشد
بیایید از یک رابط واحد یاد بگیریم
به حالت پیکربندی جهانی بروید و
بیایید اولین پورت را بر روی آن راه اندازی کنیم
سوئیچ بیایید به رابط گیگ 0 برویم
اسلش یک و یک مورد نیاز وجود دارد
بندر
برای انجام امنیت پورت که پورت باید
یک پورت دسترسی باشد بنابراین می خواهم بگویم
سوئیچ دسترسی به حالت پورت بر خلاف
پویا یا بر خلاف تنه آن است
اکنون می توانم یک پورت دسترسی خواهم بود
با دستور Port Security را روشن کنید
خط فاصله پورت پورت را تغییر دهید
امنیت حالا با امنیت پورت گفتیم
که بتوانیم حداکثر عدد را مشخص کنیم
آدرس‌های مکی که قابل یادگیری هستند
از یک پورت منفرد
بگذارید گاهی اوقات آن را روی نمی دانم تنظیم کنیم
ما ماشین‌های مجازی را اجرا می‌کنیم
بسیاری از ماشین های مجازی در مک من اگر من
می خواهید مانند ویندوز 11 مایکروسافت اجرا شود
به عنوان مثال من دوست دارم خودم را در مورد
فقط چهار یا پنج آدرس مک در هر پورت
فقط برای حساب کردن چیزهایی از این دست
اجازه دهید این را تنظیم کنیم تا اجازه دهیم بگوییم
چهار آدرس مک می گویم سوئیچ پورت
امنیت پورت هنوز در رابط است
حالت پیکربندی و من حداکثر می گویم
اوم نه بیایید بگوییم حداکثر چهار اجازه می دهم
چهار آدرس مک برای یادگیری و اکنون
که گفته ایم می خواهیم یاد بگیریم a
حداکثر چهار آدرس مک در این مورد
بندر
تصمیم بعدی که باید بگیریم این است
اگر یک آدرس مک پنجم نشان دهد چگونه است
آیا ما به آن چیزی که داریم پاسخ می دهیم؟
گزینه ها
می‌توانیم بگوییم که چه اقدامی نقض کرده‌ایم
خواهد شد و من آن را به شما نشان خواهم داد
فقط یک لحظه اما من می خواهم به شما نشان دهم
اول چیز دیگری
حداکثر تعداد مک
آدرس ها
آیا آنها باید مک خاص باشند؟
آدرس ها به خوبی می توانند به من اجازه نشان بدهند
شما می توانم بگویم سوئیچ برای خط تیره پورت
امنیت
و من میتونم یه سری مک بدم
آدرس ها را می توانم بگویم مک آدرس خط فاصله
و من می توانم یک آدرس مک I را پیکربندی کنم
می تواند دوباره دستور را وارد کند
یکی دیگر و دیگری را پیکربندی کنید
و یکی دیگر که من می توانم که بسیار است
احتمالاً من نمی خواهم این کار را انجام دهم
به صورت دستی آنچه می توانم انجام دهم این است که بگویم
چسبنده اگر بگویم چسبنده است، آنگاه می رود
برای یادگیری پویا چهار مک اول
آدرس هایی که در این پورت می بیند و
آن را در حال اجرا قرار خواهد داد
پیکربندی
پس بعداً بعد از این اتفاق شاید من
به روز بعد برگرد و من پس انداز می کنم
پیکربندی من
این اولین چهار آدرس مک است که
آموخته شد، بنابراین ما فرض می کنیم که آنها هستند
چهار ماکولا چهار مک هستند
آدرس هایی که باید روی این پورت باشند
بنابراین ما می توانیم به صورت دستی آنها را پیکربندی کنیم
می تواند چسبنده آنها را یاد بگیرد یا ما فقط می توانیم
اجازه دهید هر کسی که چهار R اول باشد
اول یا چهار نفری باشند که مجاز هستند
اما من لحظه ای پیش به اوه اشاره می کردم
تصمیم گیری در مورد نحوه پاسخگویی ما
به نقض چه می شود اگر یک مک پنجم
آدرس نشان می دهد که چه چیزی نقض ماست
گزینه ها فرض کنید سوئیچ پورت
نقض امنیتی خط تیره پورت و ما
دارای سه گزینه محافظت است
محدود کردن
و خاموش شدن
اول از همه بیایید در مورد آن صحبت کنیم
محافظت
حالا محافظت می گوید در این مورد من هستم
یادگیری حداکثر چهار آدرس مک
اگر آدرس مک پنجم نشان داده شود و
سعی می کند ترافیک را به آن سوئیچ ارسال کند
ترافیک از آن مک پنجم می آید
آدرسی که از آن ترافیک حذف می کنیم
آی تی
هر کس دیگری از قبل از مک
آدرس ها آن ها را بدون مزاحمت رها می کند
به طوری که هیچ چیز قطع نمی شود
فقط ترافیک آن مک پنجم را مسدود کنید
آدرسی که نشان داده می شود
گزینه محدودیت محدودیت بسیار است
بسیار شبیه به محافظت با محدودیت
ما هنوز هم قرار است فریم های آینده را رها کنیم
از جانب
آدرس مک شماره پنج یا آدرس مک
شماره شش ما هنوز هم همین کار را می کنیم
هنوز حرف هیچ کس دیگری را قطع نمی کند جز
ما قصد داریم چیزی را افزایش دهیم
سوئیچ را نقض امنیتی نامید
شمارنده بنابراین یک سیاهه وجود خواهد داشت
که تخلفی رخ داده است
ما چهار مورد اول را قطع نمی کنیم
آدرس های مک قانونی اما حداقل
ما سابقه ای خواهیم داشت که تخلف است
اتفاق می افتد من به شما نشان خواهم داد که چگونه چگونه
مشاهده که اینجا فقط در یک لحظه اما اوم
در واقع اجازه دهید این را به شما نشان دهم
خوب بعد از دادن آن به شما نشان خواهم داد
گزینه نقض اما من می خواهم بگویم من
گزینه نقض محدود است من می خواهم
برای ایجاد یک گزارش اما قطع نکردن
چهار آدرس مک اول یا من می توانم باشم
بسیار محدود کننده است و می توانم بگویم ببند
خاموش کردن خاموش می گوید اگر وجود دارد
نقض پس از آن باید چیزی باشد
چیزی که در آن خوب نیست
محله در حال حاضر پس من می روم
برای مسدود کردن همه، این را قرار می دهم
به چیزی که هوا غیرفعال می گویند
دولت و ما در آن باقی خواهیم ماند
دولت تا
ما یا بعد از مدتی سعی می کنیم
از آن حالت یا کسی بیرون بیاید
رابط کاربری را منعکس می کند
بگو محدود کن که این یکی از راه های من است
و من می توانم بگویم نشان دهید
پورت سوئیچ
یا در واقع امنیت خط تیره Port را نشان می دهد
و این نقض امنیتی است
مقابله ای که من در مورد آن صحبت می کردم بنابراین اگر
ما تخلفی داشتیم که کسی امتحان کرد
از چهار آدرس مک در پورت فراتر رود
gig01 که می شود
در اینجا در نقض امنیتی ثبت شده است
شمارنده پس دوباره به همین راحتی است
برای راه اندازی امنیت پورت و این می تواند
از ما در برابر سیل مک دفاع کنید
حمله می تواند از ما در برابر آن دفاع کند
حمله گرسنگی DHCP بعدی DHCP است
snooping به یاد داشته باشید با DCP snooping ما
می خواهم بگویم چه پورتی قابل اعتماد است یا
غیر قابل اعتماد و اگر پورتی غیرقابل اعتماد باشد
ما هر پیشنهاد DHCP را کنار می گذاریم
بسته هایی که وارد آن پورت می شوند، در اینجا
من قصد دارم آن را در سطح جهانی روشن کنم
بگو ipdhcp
snooping و این آن را در سطح جهانی روشن می کند
اما موضوع این است
حتی اگر آن را در سطح جهانی روشن کرده ام
هنوز برای هیچ یک از vlan های ما فعال نیست
شما باید آن را برای یک VLAN در a روشن کنید
اکنون در مورد من فقط یک مورد دارم
VLAN یک VLAN است بنابراین من می خواهم بگویم
ipd CP snooping VLAN یکی و بیا بریم
دوباره وارد اینترفیس گیگ صفر اسلش یک
که ما استفاده می کردیم و من می گویم ipd8cp
جاسوسی اعتماد
بیایید وانمود کنیم که gig01 همان پورت است
که از آن شرکت قانونی من است
سرور DHCP ساکن است
من می توانم ام
سپس می توانم شروع به حذف ترافیک کنم
در هر بندر دیگری می آید
می توانم بگویم IP DHCP snooping را نشان دهید
و می بینید که من اعتماد دارم
gig0 یکی از بقیه خواهد بود
غیر قابل اعتماد به این معنی که من خواهم بود
حذف هر گونه ترافیکی که وارد می شود
به طور خاص Deets پیام های پیشنهادی باشد
که سعی می کنند در هر بندر دیگری بیایند
از gig0 one
به هر حال یک ویژگی دیگر نیز وجود دارد
این کمک خواهد کرد
مبارزه با آن حمله جعل dtb اما
حمله مسمومیت ARP را به خاطر بسپار
بیایید ببینیم چگونه می توانیم آن را شکست دهیم یا آن را شکست دهیم
بهتر است در برابر آن که می توانیم استفاده کنیم دفاع کنیم
چیزی به نام d-a-i Dynamic ARP
بازرسی و با Dynamic ARP
بازرسی ما در واقع از a
جدولی که با DHCP ما ساخته می شود
تنظیمات snooping منظورم DCP است
پیکربندی snooping که من آن را تنظیم کردم
خیلی ساده بود من آن را روشن کردم
آن را برای یک VLAN فعال کرد و گفتم چه
پورت قابل اعتماد بود ما کار را تمام کردیم
اما علاوه بر فقط مسدود کردن پیشنهاد
پیام هایی که در پورت های دیگر می آیند وجود دارد
جدولی که در حال ساخت است
پس زمینه و آن جدول می گوید چه
این پیام های DHCP را زیر نظر می گیرد
این فقط به دنبال پیام های پیشنهادی نیست
این در واقع خواندن مطالب است
این پیام های DTV می داند که الف
آدرس IP خاص با یک مک خاص
آدرس از این پورت خاص زندگی می کند
بنابراین می تواند با بازرسی Dynamic ARP اگر
شروع به دریافت اطلاعات می کند
ناسازگار با آنچه آموخته شده است
از طریق DHCP می تواند آن ترافیک را کاهش دهد
اجازه دهید به شما نشان دهم چگونه آن را روشن کنید
بیایید به دنیای جهانی برگردیم
حالت پیکربندی و من می گویم می خواهم
برای روشن کردن بازرسی IPR برای VLAN one
و بیایید بگوییم که من می خواهم فقط اعتماد کنم
که اولین پورت دوباره من می گویم رابط
gig0 one پس ترافیک آن را بررسی نکنید
این پورت من می گویم IPR
اعتماد بازرسی هر کس دیگری می رود
قابل اعتماد نیست، بنابراین در حال حاضر DHCP snooping است
قرار است آن جدول را بسازم و اگر
اطلاعات یا بسته نمایش داده می شود
در یک بندر خاص که
با IP آدرس مک سازگار نیست
تکالیفی که توسط
سرور DHCP مانند کسی است
جعل آدرس مک خود را پس از آن است
انکار خواهد شد
مسدود شده است بنابراین نگاهی به سه است
ابزارهای مختلفی که می توانیم از آنها استفاده کنیم
بهتر است در برابر اینها از خود دفاع کنیم
انواع حملات این آه این در مسیر
حملات ما نگاهی به نحوه انجام آن انداختیم
پیکربندی امنیت پورت را بررسی کردیم
نحوه پیکربندی DCP Snooping و
بر اساس آن DHCP را پیکربندی می کنیم
اول جاسوسی می کنیم اما ما بر اساس آن کار می کنیم
سپس Dai Dynamic ARP را پیکربندی کرد
بازرسی
در مرحله بعدی اجازه دهید نگاهی به چند مورد دیگر بیندازیم
حملات و ما می خواهیم انجام دهیم
اولین وقفه ما در اینجا فقط در یک سال آینده انجام می شود
لحظه ای متوجه شدم که ما برای یک
در حالی که اما من می خواهم نگاهی به چند مورد بیاندازم
حملات دیگر اول و بعدی است
یک حمله پرش VLAN با VLAN
حمله پرش
ممکن است یک مهاجم در حال تلاش برای گرفتن باشد
دسترسی به یک VLAN که می توانم بگویم که
ممکن است حاوی برخی از سرورهای امن باشد
نباید دسترسی داشته باشد
بنابراین امنیت در محل وجود دارد که می گوید
شما در VLAN one مجاز نیستید
از رسیدن به اینجا تا VLAN 5. یک
راه دسترسی به یک ممنوعه
VLAN برای انجام جعل سوئیچ در موارد دیگر است
کلمات ماشین مهاجم آن را می تواند
وانمود کنید که یک سوئیچ است
آیا پروتکل استفاده شده را به خاطر دارید؟
توسط یک سوئیچ Cisco Catalyst به
به صورت پویا یک ترانک تشکیل دهید و با آن چت کنید
اگر آن را به خاطر دارید
چه پروتکلی توسط سیسکو استفاده می شود
سوئیچ کاتالیست که می تواند به صورت پویا
یک تنه تشکیل دهید و یک تنه را به خاطر بسپارید
پیش فرض اجازه می دهد تا ترافیک برای تمام vlan ها به
روی آن تنه جاری شود
بله، این dtp تنه پویا است
پروتکل کار بزرگ ترانک پویا
پروتکل بنابراین با استفاده از یک ابزار یا با استفاده از یک ابزار
مثل سینیای شما که آن دیگری است
یکی از آن ابزارهایی که در آن موجود است
کالی لینوکس یا می توانید آن را روی آن نصب کنید
نسخه های دیگر لینوکس اما با استفاده از شما
cenia ممکن است مهاجم dtp را ارسال کند
فریم و سوئیچ یک را در این قانع کنید
در صورتی که یک سوئیچ سوئیچ است یکی می گوید
من با سوئیچ دیگری صحبت می کنم آنها فقط
برای من یک تبلیغ dtp ارسال کرد تا ما a را تشکیل دهیم
DOT 1q تنه روی آن سوئیچ که
به من امکان دسترسی به VLAN 5 را می دهد. من فقط تگ می کنم
VLAN من با یک VLAN یا برچسب فریم من با VLAN
5 می رود تا سوئیچ یکی آن را می فرستد
روی سوئیچ دو سوئیچ دو می گوید آه بله
من این را در پورت VLAN 5 خود ارسال خواهم کرد
و ما به قربانی گزینه دیگری می رسیم
انجام کاری به نام برچسب گذاری دوگانه است
بنابراین حتی اگر من نباشم
حتی اگر تظاهر به یک بودن نکنم
سوئیچ ممکن است dtp روی a خاموش باشد
پورت خاص برای امنیت شاید ما
باید اما ما می توانستیم کاری انجام دهیم یا
مهاجم می تواند کاری به نام انجام دهد
اگر بومی را می شناسند دوبار تگ کنند
بازار VLAN بومی باید بگویم
بین سوئیچ sw1 و سوئیچ sw2
به یاد داشته باشید که در یک DOT 1q چه یک VLAN بومی است
در بزرگسالان 1q trunk یک VLAN بومی است
یک VLAN که تگ نمی شود
اکنون به طور پیش فرض VLAN one است اما برای
هر VLAN دیگری وجود خواهد داشت
چهار بایت برچسب به هر فریم اضافه شده و
چند بیت در آن وجود دارد
بایت هایی را تگ کنید که VLAN ما را شناسایی می کند
عضویت
به جز VLAN که ما متمایز می کنیم
که ما آن را VLAN بومی خود می نامیم و
دوباره به طور پیش فرض که VLAN یکی پس چه
اگر ما این کار را انجام دادیم، مهاجم این را می داند
VLAN بومی بین سوئیچ sw1 و
sw2 یا حدس می زنند که دارند
آن را در حالت پیش فرض که باید رها کنیم
احتمالا Elan بومی ما را تغییر دهید اما
ما آنها ممکن است فرض کنند که
VLAN پیش فرض یک مورد استفاده قرار می گیرد
کاری که آنها انجام خواهند داد این است که آنها را خواهند گرفت
فریم و آن را با VLAN 5 تگ می کنند.
این مقصدی است که می خواهیم به آن برویم
VLAN 5 و اوه اینجاست که قربانی
زندگی می کند، اما ما یک برچسب دیگر روی آن قرار می دهیم
خارج از آن می گوید VLAN one
بنابراین در اینجا چیزی است که این اتفاق می افتد
سوییچ sw1 می گوید اوه می بینم که هستی
شما با VLAN یکی که می شناسید تگ شده اید
که در واقع یک VLAN بومی این است
پورت رفتن به سوییچ sw2 بنابراین اجازه دهید
آن را بردارید ما برچسب نمی زنیم
ترافیک VLAN 1
ما آن‌ها را اضافه نمی‌کنیم، آن‌ها را اضافه نمی‌کنیم
چهار بایت تگ اضافی تا حالا که در معرض دید قرار می گیرد
تگ VLAN 5 که به آن می رسد
سیستم قربانی در حال حاضر در این مورد بر خلاف
با جعل سوئیچ هیچ بازگشتی وجود ندارد
مسیر هیچ راهی برای اگر ما اگر ما وجود دارد
سعی کنید از قربانی اطلاعات دریافت کنید
تگ کردن دوبل این کار را نمی کند
برای ما تگ دوگانه می تواند ما را به آن برساند
VLAN اما اجازه بازگشت را نمی دهد
ترافیک به عقب برگردد بنابراین ممکن است این اتفاق بیفتد
اگر برای حمله انکار سرویس استفاده می شود
ما سعی می کنیم آن سیستم قربانی را سیل کنیم
قربانی متعلق به VLAN 5 ما نیست
مهاجم می تواند به VLAN 5 دسترسی داشته باشد
شاید اگر آنها فریم آنها را دوبار تگ کنید
می تواند به درستی VLAN بومی را تعیین کند
بین چند سوئیچ و آنها
می تواند شروع به سیل کردن آن قربانی با مقدار زیادی کند
و ترافیک زیاد دیگری بسیار بسیار
نوع رایج حمله اجتماعی است
حمله مهندسی اینجاست
کسی استفاده می کند
اساساً مهارت های اجتماعی برای به دست آوردن
اطلاعات برای دسترسی به
اطلاعاتی که نباید به آنها دسترسی داشته باشند
در واقع یکی از مورد علاقه من در واقع آن است
کتاب مورد علاقه من است
صحبت در مورد هک و تلفن
واقعاً این کار توسط کوین میتنیک است
آن را به صورت صوتی دریافت کردم من آن را گوش کردم
نمی دانم شاید سه بار صدا شده است
اوه به آن Main می گویند و سیم ها اوه نه
یا شبح در سیم در واقع شما می دانید
چه چیزی به من اجازه می دهد تا آن چیزی را که می خواهم بسازم جستجو کنم
مطمئنم درست متوجه شدم بله فکر می کنم همینطور است
روح در سیم ها به من اجازه دهید این را باز کنم
واقعا سریع
بله، من از طرفداران پر و پا قرص کوین میتنیک هستم
چند تا از
من چند تا از کتاب هایش را دارم ببینیم
اجازه دهید من فقط سریع به آمازون بروم
اینجا
و بیایید بگوییم که فکر می‌کنم روح است
سیم ها
بله این روح در سیم است
اگر می خواهید فقط آن کتاب را توصیه کنید
اگر می‌خواهید داستان‌های واقعی جنگ را بشنوید
از اوه او به عنوان جهان شناخته شد
شماره یک هکرهای تحت تعقیب برای یک
در حالی که او اکنون خوب شده است
شرکت امنیت سایبری اما اوه بله برخی
دلیل آن داستان های واقعا جالبی است
من فکر می کردم که او فقط فوق العاده است
تعداد زیادی از
حملاتی که او توانست انجام دهد
او بر اساس مهندسی اجتماعی بود
مهارت های اجتماعی خوبی داشته باشد
کسی را متقاعد کنید که اجازه دهد او عمل کند
دسترسی فیزیکی او به اتاقی که او
نباید به آن دسترسی داشته باشد یا فقط خیلی زیاد است
از طریق مهندسی اجتماعی ارائه شد
تکنیک ها یکی از انواع اجتماعی
حمله مهندسی ما می بینیم بسیار است
ماهیگیری ممکن است ایمیلی دریافت کرده باشید
که چیزی شبیه به
این بانک شماست و ما می رویم
رمز عبور خود را بازنشانی کنید یا شاید مال شما باشد
رسانه یا سرویس رسانه های اجتماعی شما ما هستیم
می خواهید رمز عبور خود را بازنشانی کنید
دوباره وارد سیستم می شوید و آنها به شما پاسخ می دهند
لینک رفتن به بازنشانی رمز عبور خود و شما
به صفحه ای بروید که شبیه صفحه بانک است
صفحه اما واقعاً این یک صفحه نیست
مهاجم دارد و می بینند که شما را وارد کرده اید
رمز عبور قدیمی شما و ناگهان آنها را دریافت کرده اند
اطلاعات نام کاربری و رمز عبور شما
این ماهیگیری است که ما می خواهیم بسیار بسیار
در مورد کلیک کردن روی هر پیوند محتاط باشید
که در داخل یک ایمیل ما باید
انجام این کار یک راه فیزیکی برای
دسترسی فیزیکی به یک محیط داشته باشید
ممکن است از طریق tailgating بیایید بگوییم
که یک در امن وجود دارد
جایی که مردم باید به آن نشان بدهند
وارد یک مرکز داده و یا شاید
وارد یک ساختمان شوید این چیزی است
کاری که کوین میتنیک انجام خواهد داد وقتی او
او به ساختمان ها دسترسی پیدا می کند
یه همچین کاری انجام بده
وانمود کنید که تحویل ما امن است
راننده ای که یک جعبه بزرگ حمل می کند شما هستید
به طور بالقوه سنگین است و شما کسی را می بینید
وارد شوید تا از ماشین خود پیاده شوید و
شما شروع به حمل این جعبه می کنید و می گویید هی
رفیق می تونی در رو برای من نگه داری
و آنها انسانها، انسانهای خوبی هستند
بسیاری از مردم خوب هستند و فقط تلاش می کنند
کمک کردن طبیعت ماست تا اوه بله
اجازه دهید کمک کنم اجازه دهید آن در را برای شما بگیرم
و آنها در را باز نگه می دارند در حالی که
کاربر مخرب با این جعبه وارد می شود
واقعاً حاوی هیچ چیز نیست، مگر آنها
از امکاناتی که به آنها دسترسی دارند استفاده کردم
ساختمانی که به آن پیگیبک می گویند
راه دیگری که ممکن است انجام دهیم یا
مهاجم ممکن است مهندسی اجتماعی انجام دهد
به نام شانه خدمت اینجا آنها هستند
آنها از روی شانه نگاه می کنند
شخصی در حال وارد کردن رمز عبور یا کلید زدن
در قلم در حال حاضر شخصا
من احتمالا نه من آن را تمرین نکرده ام
برای یک چیز، اما اگر من به دنبال
کسی در حال تایپ رمز عبور
صفحه کلید من نمی دانم چه تایپ کردند
اما برخی از افرادی که این کار را انجام داده اند
آنها واقعاً خوب هستند که می توانند
تماشا کنید که چیزی و هشت تایپ می کنید
شخصیت ها بله آنها می دانند که شما چه چیزی را تایپ می کنید
فقط با تماشای انگشتان خود روی
صفحه کلید بنابراین شما ممکن است بخواهید بسیار
مراقب باشید وقتی شما در اطراف هستید
وارد کردن رمز عبور یا اطلاعات پین به عنوان
یک مثال
یکی دیگر از انواع رایج حملات بدافزار است
بدافزار با ویروس متفاوت است
اغلب اوقات یک ویروس آلوده می شود
با یک ویروس و ممکن است
چیزهای موجود در بدافزار سیستم ما را نابود کنید
می تواند این کار را انجام دهد یا ممکن است از بدافزار استفاده شود
برای اهداف دیگر من دادم
یک نمونه بدافزار در اوایل زمانی که ما بودیم
صحبت در مورد حمله DDOS با a
حمله انکار سرویس توزیع شده ما
گفت ما شاید از طریق نوعی از
برنامه بازی که مردم ما دانلود کردند
کامپیوترهای سراسر جهان را آلوده کرده است
بدافزار یکی از ویژگی های آن بدافزار است
در آن مثال توانایی برای
کسی که از در پشتی وارد شود
از آن سرور فرمان و کنترل و
به این رایانه های شخصی یا تلفن های هوشمند دسترسی داشته باشید
یا روترهای بی سیم که در اطراف زندگی می کنند
دنیا چون آلوده شده اند
بد افزار
یک مهاجم همچنین ممکن است مسمومیت DNS را انجام دهد
اگر می توانند ما را متقاعد کنند که به سراغ آنها برویم
سرور DNS که در صورت وجود می توانند
می توانند اطلاعات خود را برای ما ارسال کنند
سرور DHCP ما می توانیم مسمومیت DNS را انجام دهیم
جایی که آنها سعی می کنند به سمت محبوب بروند
سایت های رسانه های اجتماعی اما در عوض آنها هستند
به سایت ما هدایت شد که به نظر می رسد
آن سایت رسانه های اجتماعی و ما ضبط می کنیم
اطلاعات رمز عبور آنها نوعی از
بدافزاری که واقعاً زشت است
باج افزار چند سال پیش وجود داشت
یکی از محبوب ترین اخبار آن بود
به نام ویروس Wannacry Wannacry
باعث شد بخواهی گریه کنی چون این کار را می کرد
به معنای واقعی کلمه داده های خود را برای باج نگه دارید
شما این صفحه قرمز بزرگ را دریافت خواهید کرد که می گوید
داده های کامپیوتر شما بوده است
رمزگذاری شده بود و آنها نبودند
بلوف کردن آنها داده های شما را رمزگذاری کردند
کامپیوتر و گفتند اگر می خواهی اوه
اگر می‌خواهید قفل داده‌هایتان را باز کنید، این کار را می‌کنیم
کلید را به شما می دهم اما باید برای ما ارسال کنید
این مقدار بیت کوین و
آنقدر بد شد که مردم بودند
آنها با از دست دادن اطلاعات خود به دادگاه رفتند
پاسخ مجری قانون مجریان
به جایی رسید که گفتند ما
تنها گزینه این است که آن را بپردازیم که ما نیستیم
در صورت تمایل می توانید اطلاعات خود را رمزگشایی کنید
هر شانسی برای بازگرداندن اطلاعات شما وجود دارد
باید باج را بپردازی
در حال حاضر درصدی از زمان مردم
باج را که می گرفتند را پرداخت می کردند
کلید گاهی اوقات باج را پرداخت می کردند
هنوز هم داده های خود را از دست داده اند، آنها هرگز یک
کلید، بله، من طرفدار بزرگی هستم
داشتن اسکنر بدافزار یا باج افزار
اسکنرها
و اسکنرهای ویروس در دستگاه های ما به
بهتر از خودمان محافظت کنیم
نوع دیگری از حمله ما هستیم و دیدیم
این قبلاً یک حمله جعل است
یک مهاجم ادعا می کند که از یک می آید
از یک آدرس IP که واقعاً هستند
از اینجا نیامده بودیم
راه اندازی آن حمله دوز قبل از آن
مهاجم ادعا می کرد که قربانی است
آدرس IP زمانی که آنها این آدرس را ارسال کردند
هنگامی که آنها یک پینگ انجام دادند پخش شد
پخش کارگردانی بله آنها بودند
جعل آدرس IP آنها
ما به هر حال می توانیم از آن جلوگیری کنیم
روترهای سیسکو با استفاده از قابلیتی به نام
ارسال مسیر معکوس RPF چه RPF است
این کار را انجام خواهد داد تا مطمئن شود که
ما از نمی آییم
یک آدرس IP که نباید روی آن دیده شود
اما در یک رابط روتر خاص توسط
نگاهی به آدرس منبع i p
بسته هایی که در یک رابط وارد می شوند و
مقایسه آن با IP روتر
جدول مسیریابی و روتر می گوید اگر من
قرار بود ترافیک را به آن بازگردانند
آدرس IP از کدام رابط استفاده کنم
و اوه من از gig02 استفاده خواهم کرد
خوب اگر آن آدرس IP گیگابیت باشد
صفر سایز پنج که با آن ناسازگار است
جدول مسیریابی IP و اگر ما هستیم
در حال اجرا مسیر معکوس حمل و نقل در
روتر آن ترافیک را مسدود می کند
احراز هویت چیزی است که ما ممکن است
استفاده در نقطه دسترسی بی سیم
به عنوان مثال اوه اینجا یک بی سیم سیسکو است
نقطه دسترسی و حتی اگر این باشد
با شش نقطه دسترسی بیشتر Wi-Fi بهتر است
Wi-Fi شش را اجرا نمی کنیم ما هنوز داریم
مانند نقطه 11 AC که Wi-Fi است اجرا می شود
پنج اما اوه
بیایید بگوییم که من اینجا هستم
گوشی های هوشمند
بیایید ببینیم که من اتصال تلفن هوشمندم را دارم
با این دسترسی بی سیم احراز هویت می شود
به خوبی به عنوان مهاجمی که می توانم بفرستم اشاره کنید
فریم‌های احراز هویت برای این دسترسی
اشاره کنید تا گوشی هوشمند را خاموش کنید و
سعی می کند دوباره احراز هویت کند
اگر برای گواهی ما به ما بپیوندید
آموزش هکر اخلاقی من به شما نشان می دهم که چگونه
برای انجام این کار در کالی لینوکس، من کلی دارم
لینوکس تعداد زیادی را ارسال می کند
فریم های احراز هویت به یک بی سیم
نقطه دسترسی وقتی گوشی من را خاموش می کند
گوشی من سعی می کند دوباره وصل شود تلاش می کند
احراز هویت مجدد از طریق یک not a می گذرد
سه طرفه اما یک دست دادن چهار طرفه I
آنچه در آن اتفاق می افتد را ضبط کنید
دست دادن چهار طرفه در دمویی که انجام می دهم
و من فکر می کنم به آن ما می گویند
دوره حرفه ای هک اخلاقی اما
شما را برای گواهینامه آماده می کند
امتحان هکر اخلاقی من در آن شرکت می کنم
اطلاعاتی که در آن چهار طرفه گرفته شده است
دست دادن و من یک حمله Brute Force را اجرا می کنم
در مقابل لیست رمز عبور
رمز عبور حدود 14 میلیون شرکت
و مطمئناً این یکی از موارد بود
من فکر می کنم رمزهای عبور رایج در آن استفاده می شود
نسخه ی نمایشی من از جنگ ستارگان سیث مورد علاقه ام استفاده می کنم
لرد دارث بین اگر تا به حال خوانده اید
سه گانه Darth Bane واقعا عالی است
در آنجا می خواندم، اما دارث بین بود
رمز عبوری که در آن مثال استفاده کردم و
آیا نمی دانید که این یکی از آنها بود
رمزهای عبور رایج در آن لیست
که من برای حمله Brute Force استفاده کردم
و در عرض حدود 20 دقیقه
من توانستم به آن دسترسی نفوذ کنم
به این نکته توجه کنید که اوه، یک آزمایشگاه مجزا بود
و این تجهیزات خودم بود که من نبودم
نفوذ به شبکه I شخص دیگری
این کار را برای اهداف نمایشی انجام می داد
فقط در تجهیزات خودم اما همین است
می توانیم با فریم های احراز هویت انجام دهیم
و دوباره
که با وای فای نسخه شش بهتر می شود
ما بعداً امروز در مورد آن صحبت خواهیم کرد اما
همچنین
حتی برخی از نقاط دسترسی سیسکو
قبل از نسخه IP 6 آنها اوه
آنها می توانند از آنها جلوگیری کنند
فریم‌های احراز هویت نیز و I
اشاره کرد که اگر ما برخی از داده ها را دریافت کنیم
یک رشته هش یا رمزگذاری شده دریافت کنید
رشته یا ما آن چهار طرفه را تماشا می کنیم
دست دادن با یک شبکه بی سیم ما
ممکن است یک حمله Brute Force را علیه آن انجام دهد
که داده ها uh md5 را به عنوان مثال ما می گیرند
هشی که قبلاً در مورد آن صحبت کردیم
می تواند به طور معمول یک دسته از موارد مختلف را مصرف کند
پسوردهای استفاده شده هش md5 ​​را روی آنها اجرا می کنند
ببینید آیا با رشته من مطابقت دارد یا خیر
اگر آن را انجام دهد که احتمالا
رمز عبور بنابراین حتی اگر ما نمی توانیم
ما می توانیم چیزی را که هش شده است رمزگشایی کنیم
یک حمله Brute Force را روی یک رمز عبور اجرا کنید
لیست کنید و ببینید آیا آن هش با آن مطابقت دارد یا خیر
هشی که داریم و سعی می کنیم
رمزگشایی که یک حمله Brute Force است
چگونه از خود در برابر برخی دفاع کنیم
از این تهدیدات مختلف وجود دارد
فقط برخی از بهترین شیوه ها بسیاری از اینها
عقل سلیم هستند، اما آیا ما آنها را به عنوان انجام می دهیم
برندان بوچارد می گوید عقل سلیم همین است
عمل همیشه رایج نیست
ما چیزهایی مانند شناسه یا IPS خود را داریم
سنسورها و من اشاره کردم که آنها یک
پایگاه داده امضا باید آن را حفظ کنیم
پایگاه داده امضا به روز است پس بیایید
مطمئن شوید که امضای خوبی انجام می دهیم
مدیریت نیز مجموعه ای از
بهترین روش ها برای سخت کردن دستگاهی مانند
این را روشن کن خاموش این را خاموش کن سیسکو دارای یک
ماکرو که می توانید در برخی از سیسکوها استفاده کنید
روترها این کار را در حالت غیر تولیدی انجام می دهند
هنگامی که برای اولین بار در حال آزمایش هستید، شبکه کنید
با آن اما می توانید به Global بروید
پیکربندی یا نه حتی جهانی
حالت پیکربندی شما فقط می توانید بگویید
می توان گفت ایمن خودکار
و تو را به راه می اندازد
از طریق جادوگری که اجازه می دهد
شما باید یک دسته از بهترین تمرین ها را اعمال کنید
توصیه های امنیتی به سیسکو شما
روتر ما نیز احتمالا باید تغییر دهید
VLAN بومی من یک VLAN را به شما نشان دادم
حمله جهشی قبل از آن بود
پیش بینی شده است که مهاجم بداند
اوه VLAN بومی
که در تنه بزرگسالان 1q استفاده می شد
که احتمالاً آن را به چیزی تغییر می دهد
به غیر از یک شاید آن را به 20 تغییر دهید
یک مثال
و کار دیگری که باید انجام دهیم این است
به کاربران دسترسی زیادی به چیزها ندهید
آنها ممکن است نیازی به دسترسی به موارد دیگر نداشته باشند
کلماتی که می خواهیم امتیازات را تعریف کنیم
به حساب های کاربری مختلف داده می شود و
وقتی در مورد کاربران صحبت می کنیم
ممکن است بخواهیم کاربرانی را ارسال کنیم
اگر اکنون در حال یادگیری هستند، آنها را بفرستید
به جای اینکه فقط آن را دانلود کنید
ممکن است بخواهیم یک فایل را نیز برای آنها ارسال کنیم
هش دایجست یا ممکن است از hmac برای گفتن استفاده کنیم
شما باید بتوانید این را محاسبه کنید
همان هش هضم با اجرای آن بر روی این
فایل برای اطمینان از یکپارچگی آن فایل
به خطر نیفتاده است کسی نیست
ترانزیت و زمان زیر را اصلاح کرد
ما در حال راه اندازی کاربران هستیم، بیایید به آنها بدهیم
نقش های مختلف را بیشتر به آنها ندهیم
اجازه بیش از آنچه نیاز دارند
ما همچنین میتوانیم
با نصب از شبکه های ما محافظت کنید
حواس پرتی ما می توانیم یک سرور نصب کنید
به نام دیگ عسل و هانی پات یک است
سروری که بسیار ضعیف محافظت شده است
اگر مهاجمی بخواهد ما را اسکن کند
شبکه به دنبال هر نقطه ضعفی است
آنها به احتمال زیاد به این عسل می آیند
قابلمه برای گفتن آه آنها این پورت ها را دارند
باز آنها نیستند، آنها این را ندارند
به روز رسانی این پچ برای آنها اعمال شد
سیستم عامل و مهاجم می شکند
یک بار به سیستم Honeypot وارد شوید
آنها در آنجا هستند و در اطراف ما کاوش می کنند
داده هایی دارید که ممکن است به نظر برسد
مهم است اما واقعاً اینطور نیست
داده های امن آن حواس پرتی در حالی که
آنها در آنجا شماره یک هستند که ما می توانیم ببینیم
مهاجم از چه نوع ابزارهایی استفاده می کند
برای ورود به شبکه ما تا بهتر بتوانیم
در برابر آن رویکردها دفاع کنید
و همچنین ما فقط وقت آنها را تلف می کنیم
آنها تمام وقت خود را صرف جستجو می کنند
از طریق یک سیستم بی معنی در حالی که ما هستیم
تماشای آنها و در مقیاس بزرگتر شما
می تواند یک شبکه کامل داشته باشد که یک
حواس پرتی و به آن توری عسلی می گویند
و چیزی که قبلا به آن پین اشاره کردیم
تست کردن آن ممکن است ارزش داشته باشد
کسی داخلی یا کسی خارجی
یک تست نفوذ در شبکه ما انجام دهید
هر نقطه ضعفی را تعریف کنید یا هر کدام را شناسایی کنید
نقاط ضعف و دانشگاه دادم
نمونه قبلی از تقسیم بندی ما
شبکه به مناطق امنیتی مختلف
بله شاید در مثال دانشگاه
ما می خواهیم دانش آموزان را از بد محافظت کنیم
مردم در اینترنت هستند اما ما می خواهیم
از اساتید و کارکنان خود محافظت کنیم
دانش آموزانی که کنجکاو می شوند و سعی می کنند به دست آورند
در و شاید تغییر درجه آنها است
چیز کلاسیکی که در آن می بینید
فیلم ها
راه های دیگری که ممکن است از آنها دفاع کنیم
در برابر این حملات استفاده از آنچه من است
در مورد قبلی صحبت شد سیسکو آن را می نامد
دفاع در عمق من استعاره از
یک پتو روی یک دسته پتو روی یک
شب سرد زمستان ما نه فقط
یک فایروال نصب کنید که ما فقط نصب نمی کنیم
یک سنسور IPS که ما فقط نصب نمی کنیم
نرم افزار تشخیص بدافزار We Do It All
ما لایه های امنیتی همپوشانی داریم
ما امنیت را در عمق دفاع خود می خواهیم
و وقتی آن را اضافه می کنیم در مورد آن صحبت می کنیم
کاربران دوباره وقتی یک کاربر اضافه می کنیم ما
احتمالاً نمی خواهم بگویم خوب یک کاربر
قرار است این مجموعه پیش فرض را داشته باشد
اجازه می دهد آن را به برخی چیزها اما
ما باید به آنها اضافه کنیم
اجازه دسترسی به چیزهای دیگر
بسیاری از مردم در امنیت بالا
محیط ها استفاده از چیزی را توصیه می کنند
هنگامی که یک مورد جدید اضافه می کنید، به آن اعتماد صفر می گویند
کاربر به طور پیش‌فرض از آن استفاده نمی‌کند
اوه آنها به یک پیش فرض دسترسی ندارند
مجموعه ای از منابعی که به آنها دسترسی دارند
منابع صفر که ما به آنها اعتماد نداریم
همه را تا زمانی که به صراحت به آنها بدهیم
اجازه و بیایید بگوییم که یک کاربر
این به دو گروه مختلف تعلق دارد
گروه اجازه دسترسی به این یکی را ندارد
سرور این گروه دیگر مجاز است
اگر از آن استفاده کنیم به این یک سرور برسیم
رویکرد کم امتیاز
گروهی که بیشترین محدودیت را دارد
این قاعده خواهد بود
بنابراین حتی اگر کاربر متعلق به آن باشد
به این دو گروه و یک گروه می گوید
بله شما می توانید با حداقل به سرور دسترسی پیدا کنید
امتیازی که نخواهیم توانست
به سرور بروید زیرا کاربر نیز
متعلق به گروهی است که نباید داشته باشد
دسترسی به سروری که ما نیز می خواهیم باشد
قادر به احراز هویت کاربران و اثبات آن هستیم
آنها کسانی هستند که ادعا می کنند هستند و شما
می تواند یک پایگاه داده راه اندازی کند
برای مثال روی یک روتر یا یک سوئیچ
جایی که یک نفر باید یک جواب بدهد
نام کاربری و رمز عبور برای ورود به آن
سوئیچ اما این خیلی مقیاس پذیر نیست و
اگر این را روی 20 روتر داشتیم
و ما کسی را مجبور کردیم که شبکه ما را ترک کند
شاید ما اخراجشون کردیم
آنها رمز عبور روترهای ما را می دانند
ما باید به اطراف برویم و
آن را در همه روترهایی که اینطور نیست تغییر دهید
مقیاس پذیر بنابراین کاری که می توانیم انجام دهیم این است
اکنون از AAA استفاده کنید AAA که مخفف است
ایستاده برای احراز هویت
مجوز و حسابداری
احراز هویت آمریکا ثابت می کند که ما چه کسی هستیم
ما ادعا می کنیم که مانند دادن اعتبارنامه هستیم
مجوز می پرسد ما چه هستیم
پس از احراز هویت مجاز به انجام آن است
و حسابداری نوعی نگه داشتن یک است
ممیزی تریل می گوید چه کردی
یک بار که وارد شدید این به من یادآوری می کند
وقتی برای کار در UH Walt Disney رفتم
جهانی در دنیای والت دیزنی آنها دارند
آنها بیش از 600 روتر سیسکو داشتند و
هزاران سوئیچ کاتالیست سیسکو
خوب آنها نمی خواستند به من بدهند
رمز عبور فعال کردن رمز عبور مخفی به
600 روتر به علاوه کاری که آنها انجام دادند
آنها یک حساب کاربری در سرور AAA به من دادند
من یک نام کاربری و یک رمز عبور داشتم و من
مجوز دسترسی به
روترها وقتی وارد سیستم شدم
و سپس وقتی دیزنی را ترک کردم
آنها مجبور به تنظیم مجدد نیستند
رمز عبور در 600 روتر آن را فقط
اکانت من را حذف کرد بنابراین خیلی بیشتر است
مقیاس پذیر در یک محیط Enterprise
و دو نوع اساسی AAA وجود دارد
سرورهایی که ممکن است با tacx اجرا شوند
به علاوه سرورها و سرورهای شعاع و روشن
برخی از امتحانات که ممکن است بخواهید بدانید
تفاوت بین اینها اول از همه
tacx به علاوه plus به این معنی است که یک آن است
یک پیاده سازی اختصاصی سیسکو
شعاع استاندارد tacx صنعت
که یک استاندارد صنعتی است
جالب است که tacx plus مبتنی است
در TCP در حالی که شعاع بر اساس UDP و است
اگر a را رها کنیم UDP اتصال کمتر است
بسته ای که قرار نیست باشد
چیزی را بازنقل کرد که باید در ذهن داشت
وجود دارد و با tacx Plus
مجوز احراز هویت و
حسابداری آنها را به عنوان
نهادهای جداگانه کارگران جداگانه انجام می دهند
آن سه کار مجزا با شعاع
به نوعی همه در یک جا جمع شده است
چیز بزرگ
و با tacx Plus
سرور فقط احراز هویت نمی کند
کاربری که کاربر آن را احراز هویت می کند
سرور بنابراین ما بدانیم که با a صحبت نمی کنیم
سرور سرکش با شعاع فقط
احراز هویت یک طرفه، بنابراین من دارم یک
موردی که دسترسی حمله در الف بهتر است
موارد زیادی وجود دارد اما هنوز موارد زیادی وجود دارد
زمان هایی که قرار است از شعاع استفاده کنم
شعاع اغلب در بی سیم استفاده می شود
شبکه هایی برای احراز هویت
چیز دیگری tacx قرار است رمزگذاری کند
کل بسته اما فقط شعاع
رمز عبور ارسال شده را رمزگذاری می کند
زمانی که ما مدارک خود را می دهیم
و احراز هویت کاربر ممکن است باشد
احراز هویت چند عاملی با
احراز هویت چند عاملی بیشتر است
به جای دانستن رمز عبور که می تواند
ممکن است احراز هویت تک فاکتوری باشد
چیزی باشد که ما می دانیم مانند رمز عبور اما
همچنین ممکن است چیزی باشد که ما داریم
مانند نوعی نشان یا کلید
کارت
نوعی کارت هوشمند شاید چه باشد
کاربر اسکنرهای بیومتریک است یا شاید هم باشد
جایی که یک کاربر بر اساس موقعیت جغرافیایی ما است
می توانند شمشیربازی جغرافیایی داشته باشند یا کاری که انجام می دهند
اجازه بدهید با خودم مثال بزنم
با گوشی هوشمند من
شاید برای ورود به آن باید یک پین بدانم
تلفن من
یا اگر دارم سعی می کنم به اوه بروم
تلاش برای رفتن به
مثلاً یک بانک یا برخی دیگر
برخی دیگر از حساب های آنلاین دیگر و من
احراز هویت چند عاملی تنظیم شد
در آن حساب
علاوه بر دانستن الف
رمز عبور من ممکن است مجبور به ارائه نوعی
از کدی که دارم اوه من گوگل را دارم
برنامه Authenticator در تلفن من و
برنامه Google Authenticator با یک
من فکر می کنم این یک رشته شش رقمی است
این سایت های مختلف که من دارم
گذرواژه‌ها روشن است و اگر بخواهم به آن پیوست کنم
یکی از این سایت ها علاوه بر دادن
یک رمز عبور صحیح من فقط چندتا دارم
چند ثانیه برای قرار دادن کد شش رقمی
که برنامه احراز هویت من می گوید که من هستم
که باید از آن استفاده کنم به عبارت دیگر I
باید یک گوشی با آن برنامه داشته باشید
این چیزی است که یک کاربر دارد، من همان کاربر هستم
می توانم شناسه صورت را انجام دهم می توانم به این نگاه کنم
و لیدار من را اسکن می کند
سنسور صورتم را اسکن می کند و
این من هستم یا در لپ تاپم دارم
یک اسکنر اثر انگشت که در آن کاربر است
بله من جی پی اس روی گوشیم دارم میتونم
فکر نکن من همچین سیستمی دارم
در حال حاضر که من استفاده می کنم، اما ما می توانیم
افراد را فقط به استفاده از یک سرویس محدود کنید
خوب من یک مثال کامل برای شما می زنم
چندی پیش، ماه گذشته در ماه اوت
بله در ماه اوت که ماه گذشته من بود
من و خانواده به یک سفر دریایی دیزنی رفتیم
فکر می کردم شما طرفداران بزرگ دیزنی هستید و
ما به کشتی جدید رفتیم تا آرزو کنیم
خوب وقتی که در حال سوار شدن هستید وقتی که هستید
به محض رسیدن به آرزو
شما می توانید به منابع دسترسی داشته باشید
که شما به خاموش کردن دسترسی نخواهید داشت
از کشتی بنابراین وقتی به برنامه می روید
می گوید اوه ما می بینیم که شما در مرز هستید ما می بینیم
شما اساساً در این مورد نیستید
موردی که موقعیت جغرافیایی زیادی وجود ندارد
بیشتر به شبکه Wi-Fi آنها دسترسی پیدا می کند
اما به عنوان نمونه یکی از موارد
رسیدن به آن سخت است
به سالن جنگ ستارگان آنها می گویند
سالن هایپراسپیس و رزرو
خیلی سریع برو به محض ما
از طریق امنیت وارد شدیم
ترمینال به محض اینکه Geo قرار گرفتیم
کنار کشتی که می توانم سوار شوم
نقطه دسترسی آنها و من قادر به ایجاد
ما می توانیم برای آنها رزرو کنیم
تمام خانواده برای رفتن به
Hyperspace Lounge که واقعا عالی است
به هر حال، پنج هزار آنها را بررسی کنید
دلار کیبر نوشیدنی کریستالی که یک
داستان کاملاً دیگری است اما اوه بله می تواند
فقط به برخی موارد دسترسی دارید
منابع بر اساس جایی که در آن قرار دارید
یا شاید کاری که کاربر روی برخی انجام می دهد
دستگاه هایی که باید مانند قرعه کشی a بدهید
ستاره دار یا نوعی الگو با
انگشت شما ممکن است روی یک صفحه کلید در یک لمس
برای اثبات اینکه شما همانی هستید که ادعا می کنید، صفحه را بررسی کنید
بودن
و یک مخفف امنیتی یا استاندارد
شما در مورد 802.1x این چیزهای زیادی خواهید شنید
می توان از این بسیار با بی سیم استفاده کرد
شبکه ها و در شرکت ها می توانند
همچنین با شبکه های سیمی استفاده می شود
اساسا یک کاربر مجبور است
قبل از اینکه به a دسترسی پیدا کنند احراز هویت کنند
شبکه تا بتوانیم این را روی یک تنظیم کنیم
تعویض
یا می توانیم این را روی یک بی سیم تنظیم کنیم
کنترل دسترسی به شبکه نقطه دسترسی
آن را کمی جلوتر می برد و بررسی می کند که انجام می دهد
چیزی که به آن اعتبار سنجی وضعیت نامیده می شود
رایانه شخصی یا تلفنی را که چک می کند بررسی می کند
دستگاه مطمئن شوید که به عنوان مثال
سیستم عامل آن پچ خاصی دارد
کاربردی یا ضد نسخه یا
نرم افزار آنتی ویروس در حال اجرا است
نسخه ما مطمئن شوید که
که دستگاهی که در مورد
به شبکه ما معرفی شود دارای یک
سطح کافی حفاظت و اگر
آنها اجازه حضور در شبکه را دارند
اگر این کار را نکنند، نخواهند بود
در شبکه مجاز است که ممکن است فیلتر کنیم
آدرس‌های مک، بنابراین کسی یک را وارد می‌کند
ماشین سرکش ما اجازه نمی دهیم سوار شوند
شبکه ما یا شاید ما یک اسیر داریم
پورتال این است آه این چیزی است که شما
اغلب در یک هتل یا شاید ببینید
در هواپیما اگر من با دلتا پرواز کنم آنها
آنها دلتای خود را دارند
وای فای که به آن متصل می شوید تا سوار شوید
وای فای در هواپیما و زمانی که سعی می کنید
برای رفتن به یک وب سایت نه چندان سریع که دارید
تا به پورتال اسیر اسیر خود بروند
آنها شما را به یکی از صفحات خود هدایت می کنند
جایی که می توانید برای دسترسی به آن هزینه پرداخت کنید
اینترنت یا در یک هتل ممکن است یک
صفحه ای که می گوید نام خانوادگی خود را به من بدهید
و اگر شماره اتاق شما مطابقت داشت
پایگاه داده آنها پس شما مجاز به انجام آن هستید
دریافت اوه شما اجازه دارید سوار شوید
شبکه
علاوه بر AAA نوع دیگری از سرور امنیتی
که ما در خارج وجود دارد نامیده می شود
Kerberos یا برخی افراد آن را تلفظ می کنند
Cerberus آن را به نام
سگ چند سر که متعلق به هادس است
در گارد استن در دروازه هادس
اما در واقع کمی است
کمی پیچیده تر از AAA شما
برای داشتن بلیط
تا بتوانید با آن احراز هویت کنید
قوس کاذب برای اینکه بتوانید دسترسی داشته باشید
به سرور فایل به طور استعاری شما هستید
گفتن من برای دسترسی به تو بلیط دارم
خوب برای گرفتن آن بلیط باید
ابتدا خود را احراز هویت کنید پس اول ما
احراز هویت با احراز هویت
سروری که هر اعتباری را که داریم می دهد
با استفاده از فرض اینکه ما احراز هویت شده ایم
سپس اجازه صحبت با
سرور اعطای بلیط و اگر بلیط
سپس یا سرور اعطای بلیط می دهد
برای ما یک بلیط می توانیم آن بلیط را بگیریم
و با سرور فایل ما صحبت کنید و ما
بگو ما بلیتی گرفتیم که اجازه داریم
با شما صحبت کنم و در برخی موارد اینطور است
قرار است از آن گواهی های عمومی استفاده کند
یا آن گواهی های دیجیتالی که ما بودیم
صحبت کردن در مورد قبل با مردم
و جفت کلید خصوصی که قرار است به
آن را کمی مقیاس پذیرتر کنید و
وقتی در مورد امضای کاربران صحبت می کنیم
بر
به روزی که سال ها پیش می توانستیم داشته باشیم
یک پایگاه داده برای کاربران ایمیل به یاد دارم
پایگاه داده دیگری برای وجود خواهد داشت
قرار گرفتن در سرورها یا اشتراک گذاری فایل در a
ممکن است پایگاه داده دیگری وجود داشته باشد
برای برخی دیگر برخی از خدمات دیگر در
شبکه
سخت است که با ما همراهی کنیم
پایگاه داده های چند کاربر برای همان
کاربر و اگر رمز عبور خود را تغییر دهد
یکی از آنها در حال حاضر نمی خواهد مطابقت در
سیستم های دیگر برای دور زدن آن بسیار
افراد از یک ورود به سیستم استفاده می کنند
ما یک بار ثبت نام می کنیم و می توانیم از ldap استفاده کنیم
سروری که مخفف سبک وزن است
پروتکل دسترسی دایرکتوری و آن می تواند
یک مخزن واحد در شبکه ما باشید
برای دسترسی به همه ایمیل ها
سرورهای نادرست هر چه باشد
ما باید به خدمات VPN دسترسی داشته باشیم
فقط یک بار در آن ldap احراز هویت کنید
سرور و من از دانش آموزانم پرسیده ام
سالها از چه سرور ldap استفاده می کنند
و من می توانم بگویم بیش از 90 درصد از
شاگردانم به من گفته اند که هستند
با استفاده از دایرکتوری فعال مایکروسافت برای
سرور ldap آنها به هر حال من یک
ویدیو در یوتیوب اگر مایلید ببینید
چگونه به صورت رایگان فقط در یک آزمایش راه اندازی کنیم
محیط دایرکتوری فعال مایکروسافت
شما فقط می توانید جستجو کنید من فکر می کنم کوین
فهرست فعال والاس و باید
اگر می خواهید ببینید که چگونه است، حضور پیدا کنید
راه اندازی و تلفن های IP گفتم من خیلی کار می کنم
در دنیای همکاری بله آیفون ها
آنها می توانند از آن سرورهای لپ نیز استفاده کنند و
این نگاهی به برخی از شبکه های رایج است
حملات و دفاع مشترک برای پیش بینی
در برابر آن حملات شماره ماژول او
چهار می خواهیم در مورد برخی صحبت کنیم
جنبه های مختلف چگونه ما می توانیم بهتر است
امنیت این چیزها وجود دارد بی سیم
نقاط دسترسی بنابراین زمانی که ما ارتباط برقرار می کنیم
از بیایید ببینیم اینجا من اینجا یک است
تبلت بی سیم اگر در حال ارتباط هستم و
کسی قرار بود آن را رهگیری کند
ارتباطی که می خواهیم مطمئن شویم
آنها قادر به خواندن آن نیستند که ما داریم
اساساً همان اهدافی که ما داریم
همانطور که قبلاً در مورد آن صحبت کردیم، داشتیم
چیزهایی که باید محرمانه باشد
ما نمی خواهیم کسی به آن دسترسی پیدا کند
یک شبکه بی سیم اگر نباید
به آن شبکه بی سیم دسترسی داشته باشند و
این اولین تمرکز ما خواهد بود
برخی از تهدیدات مختلف را در نظر بگیرید
ممکن است در محیط بی سیم داشته باشد
یکی جایی است که کسی وارد یک می شود
محیط و رادیو را روشن می کنند
به عنوان مثال در لپ تاپ خود و آنها
فقط شروع به اسکن امواج رادیو کنید تا ببینید
آنچه در بیرون وجود دارد این است گاهی
به نام ردپای منفعل آنها نیستند
به طور فعال ارسال هر گونه ترافیک به خارج و
سعی می کنند کارهای مخربی انجام دهند
فقط نشسته و تماشا می کند و
گوش دادن و درک زمین
از شبکه بی سیم چه هستند
نقاط دسترسی آدرس های مک چیست
یا bssids از دسترسی های مختلف
اشاره می کند که از چه کانال هایی استفاده می شود و
با جمع آوری آن ردپا
اطلاعاتی که ممکن است فرموله کنند
حمله ای که می خواهند آنها را راه اندازی کنند
همچنین می تواند ردپای فعال این کار را انجام دهد
جایی است که آنها هنوز در تلاش برای به دست آوردن یک
اگر می خواهید زمین را در نظر بگیرید اما آنها هستند
عملاً ترافیک را به یک دسترسی ارسال می کند
نقطه و گرفتن پاسخ از آن
نقطه دسترسی تلاش برای سرعت بخشیدن به کارها
کمی
ما همچنین ممکن است یک مهاجم داشته باشیم که
جعل آدرس مک آنها شاید ما داشته باشیم
امنیت بی سیم آن را مشخص کرده است
آدرس های مک می توانند در شبکه دریافت کنند و
دیگر آدرس‌های مک نمی‌توانند وارد شوند
شبکه خوبی را که مهاجم ممکن است تنظیم کند
چیزهایی که آنها در مورد آنها دروغ می گویند
آدرس IP آنها اوایل امروز صحبت کردیم
در مورد جعل آدرس IP به خوبی آنها
ممکن است آدرس مک آنها را جعل کند و
اگر ببینند که یک کاربر به یک
نقطه دسترسی و آن ترافیک را بو می کنند
آنها می گویند اوه این کاربر این MAC را دارد
آدرس روی کارت شبکه بی سیم آنها
خوب من می خواهم بگویم که من آن را دارم
آدرس مک اکنون دیدم که کاربر این آدرس را دارد
آدرس مک قدیمی A من می خواهم بگویم I
آدرس مک Ole و سپس if را داشته باشید
ما از امنیت مبتنی بر آدرس مک استفاده می کنیم
مهاجم می تواند به دست آورد
در شبکه چیز دیگری که ممکن است
انجام دهید این است که دسترسی سرکش خود را وارد کنند
اشاره کنند که ممکن است آن را پشت میز پنهان کنند
یا چیزی که در آن واضح نیست اما
آنها یا شاید یک کمد سیم کشی اما
آنها اتصال به شرکت را دریافت می کنند
شبکه و سپس آنها می توانند به جایی بروند
دیگری در توجه داشته باشید و دسترسی داشته باشید
شاید آنها در آن شبکه سیمی هستند
ماشین آنها در پارکینگ اما
آنها آن نقطه دسترسی را روی
طبقه دوم و آنها هنوز هم می توانند برسند
که از ماشین آنها بله آنها
یک نقطه دسترسی سرکش را درج کرده است
آنها راه دیگری را در تلاش برای انجام
چیزهای وحشتناک در شبکه
آنها ممکن است یک دسترسی بی سیم وارد کنند
نقطه و آن دسترسی بی سیم داشته باشید
ادعا می کند که SSID آن یکسان است
به عنوان SSID شرکت که راه زمانی که
کسی می رود تا به شبکه بپیوندد و
آنها آن را می بینند
آنها سعی می کنند به شبکه بپیوندند
XYZ Corp خوب آنها ممکن است اوه ممکن است
بگو اوه بله، شبکه من است که می روم
برای پیوستن به آن و درصد از
زمانی که قرار است به آن وصل شوند
این دوقلو شیطانی که تبلیغ می کند
بسیار مشابه SSID قانونی
شبکه شرکتی بنابراین چه کاری ممکن است انجام دهیم یا
کاری که یک مهاجم ممکن است انجام دهد ارسال است
فریم‌های احراز هویت برای آن دسترسی
اشاره به ضربه زدن به کاربران قانونی
مجبور کردن آنها به احراز هویت مجدد و
دوباره سعی کنید به شبکه و
درصد مواقعی که حدس زدید
آنها قرار است وصل شوند نه به
نقطه دسترسی واقعی شرکت
آنها قرار است به ما متصل شوند
شرور دوقلو و مرتبط با
جایی که مهاجم می تواند آن را بگیرد
آن قاب ها
ما قبلا در مورد اوه صحبت کردیم
احراز هویت در جایی که ما نیز می توانستیم
گرفتن آن دست دادن چهار طرفه است
یک تهدید دیگر برای احراز هویت و ما
می تواند حمله Brute Force را علیه آن انجام دهد
که چهار طرفه دست دادن و تعیین
رمز عبور برای یک کاربر چیست
همچنین ممکن است سعی کند یک موجود را هک کند
جلسه ربودن جلسه قرار است باشد
جایی که شخصی قبلاً احراز هویت شده است
با یک نقطه دسترسی که قبلاً داشته اند
نام کاربری و رمز عبور خود را ارائه کردند
مدارک یا هر چیز دیگری که هستند
ارائه و از آنجایی که آنها در حال حاضر در
مهاجم ممکن است در آن نقطه باشد
ربودن آن جلسه موجود به جای
تلاش برای کشف رمز عبور
به خودی خود و یک چیز است که ما
می تواند انجام دهد محافظت بهتر و بهتر است
نقاط دسترسی خود را که نمی خواهیم، ​​ایمن کنید
برای استفاده از رمزهای عبور پیش‌فرض ما از آن استفاده نمی‌کنیم
به عنوان مثال می خواهید Linksys Linksys را بگویید
در ما در روتر خانه ما به عنوان
نام کاربری ترکیب رمز عبور ما می خواهیم
از استانداردهای امنیتی قوی استفاده کنید
پسوردهایی که در مورد آنها صحبت خواهیم کرد
در این ماژول
اما علاوه بر هک بی سیم در
زمینه Wi-Fi ما همچنین بلوتوث داریم
هک من قبلا به شما نشان دادم این کمی
اوبر دندان یک آداپتور این چیزی است
که به من امکان می دهد از رایانه شخصی خود ارتباط برقرار کنم
با استفاده از بلوتوث و در آن حرفه ای
دوره هک اخلاقی به شما گفتم
در مورد در واقع انجام یک تظاهرات که در آن
من این را به دستگاه وصل کردم
کالی لینوکس را اجرا می کنم و من آن را بو می کنم
محیط بلوتوث اطراف من و به
تعجب من آن را برداشت من اوه من من
لیوان قهوه اخگر من یک لیوان قهوه دارم
در آشپزخانه من که قابل کنترل است
با یک برنامه که در آن نگه می دارد
درجه حرارت در یک سطح خاص و من بود
قادر به تشخیص آن است که نشان می دهد
بلوتوث تا بلوتوث هک وجود دارد
چند متفاوت
چند طعم مختلف بلوتوث
هک کردن و ما در مورد برخی از آنها صحبت خواهیم کرد
آنها اما بلوتوث به طور کلی از 2.4 استفاده می کنند
گروه موسیقی و معمولاً یک به یک است
ارتباطی که در آن یک دستگاه مانند من است
کنترلر بازی با دیگری صحبت می کند
دستگاهی مانند کنسول بازی من یا شاید
گوشی من در ماشینم صحبت می کند در حال صحبت کردن است
به سیستم صوتی ماشین من با استفاده از a
نمونه های اتصال بلوتوث از
دستگاه های بلوتوث شامل مواردی مانند
تلفن همراه شما یا اینجاست که من دارم
Apple airpods Pro من که در خودم گذاشتم
گوش وقتی دارم ورزش میکنم و وصل میشن
به تجهیزات ورزشی من از طریق بلوتوث
ما به کنسول های بازی که داریم اشاره کردیم
بلندگوها من چند بلندگوی خارجی دارم
و بله من از بلوتوث برای آن استفاده می کنم و
من متوجه شده ام که اگر آنها را داشته باشم
بلندگوهای بیرونی در کنار استخر ما هستند
منطقه اگر تلفنم را خیلی دور بگذارم مانند
در طرف دیگر استخر یا آن را قرار دهید
زیر یک دسته چیزهایی که مسدود می شوند
که سیگنال بلوتوث سیگنال بلوتوث
این همه دور نمی رود و بله
وقتی این کار را انجام می دهم شروع به شکستن صدا می کند
که بیشتر امنیت مربوط به
اخبار خوب معمولا با قدیمی تر است
دستگاه‌های بلوتوثی که می‌توانیم برخی از آنها را انجام دهیم
چیزهایی که شاید ما نباید باشیم
انجام می دهد اما اجازه دهید نگاهی به
برخی از تهدیداتی که ممکن است داشته باشیم
با بلوتوث و اتفاقا برد
همه چیز آنقدرها هم دور نیست
30 فوت حدود 10 متر یا بیشتر اما
یکی از انواع هک بلوتوث نامیده می شود
آبی اوه آبی جک و با آبی
جک کردن مهاجم در حال ارسال است
اطلاعات یک دستگاه برای مثال I
می‌خواهید شاید یک کارت تماس جدید وارد کنید
در لیست تماس کسی که خوب است
نمونه ای از آبی jacking آبی خواهد بود
snarfing که در آن است
اینجاست که ما در حال یادگیری اطلاعات هستیم
در مورد دستگاهی که به نوعی در حال انجام آن هستیم
شناسایی روی آن دستگاه و
جمع آوری اطلاعات در مورد آن دستگاه
ما همچنین می توانیم یک سرویس را راه اندازی کنیم
حمله به آن دستگاه با uh با آبی
smacking blue bugging به عنوان نام
پیشنهاد می کند به ما امکان می دهد در شاید استراق سمع کنیم
در مکالمه تلفنی و آبی
چاپ نوعی نقشه برداری غیرفعال است
ما فقط در حال گرفتن یک طرح اولیه هستیم
از طرح چشم انداز بلوتوث
بلوتوث نه جناس در نظر گرفته شده وجود دارد اما
من تازه یاد می‌گیرم که چه چیزی در آنجا وجود دارد
Blueprinting اما برخی از آنها هستند
چیزهایی که می توانیم تزریق کنیم
داده های موجود در دستگاهی مانند تلفن با a
جک آبی جمع آوری اطلاعات در مورد
آن دستگاه با آبی snarfing آبی
smacking راه اندازی عرشه انکار خدمات
استراق سمع بانگ آبی در چاپ آبی
فقط یک نوع بررسی محیط زیست در حال حاضر
بیایید در مورد اینکه چگونه می توانیم دفاع کنیم صحبت کنیم
در برابر انواع مختلف بی سیم
حملات و بازگشت به Wi-Fi ما
بحث بیایید بگوییم که ما آن را داریم
هدف از نخواستن کسی
داده های ما را استراق سمع می کنیم یا نه
می خواهید آنها به شبکه دسترسی پیدا کنند
اگر آنها نباید به آن دسترسی داشته باشند
شبکه و فرض کنید من این را دارم
نقطه دسترسی در ساختمان من
آیا اجازه می دهید این را از شما بپرسم
تا به حال یک پورت اترنت را در خارج قرار داده اید
از ساختمان شما و اجازه دهید کسی رانندگی کند
سوار ماشینشان شوند و شاید به آن وصل شوند
جک اترنت نه که من نخواهم بود
امن با آن، اما این اساسا است
اگر هفته نامه داشته باشیم چه کار می کنیم
نقطه دسترسی ایمن و نامناسب
جایی که سیگنال ممکن است گسترش یابد
پارکینگ کسی می تواند رانندگی کند
و آنها می توانند به آن دسترسی داشته باشند
شبکه شرکتی برای جلوگیری از آن ما
ممکن است بخواهد دسترسی را تغییر مکان دهد
نکته ما ممکن است بخواهیم قدرت آن را کاهش دهیم
سطح به طوری که منطقه تحت پوشش ندارد
به اندازه یک شعاع بزرگ اما ما می خواهیم
مطمئن شوید که کسی خواهد داشت
تا خودشان را قبل از آنها احراز هویت کنند
می تواند به شبکه بیش از
فقط دسترسی به سیگنال و
هنگامی که ما در حال انتقال داده بر روی
شبکه اگر قرار باشد کسی شنود کند
و داده هایی را که ما آنها را نمی خواهیم ضبط کنیم
تا بتوان با آن کاری انجام داد
ما می خواهیم آن را مانند ما رمزگذاری کنیم
قبلا در مورد آن صحبت شده است
و چندین بی سیم مختلف وجود دارد
استانداردهای امنیتی وجود دارد بیایید برویم
بازگشت به اصلی یکی از اصلی
استاندارد امنیتی برای بی سیم
شبکه ها دوباره به حالت اولیه برگشتند
مشخصات 802.11 چیزی بود
به نام Web که مخفف Wired است
حریم خصوصی معادل در حال حاضر نام کمی است
گمراه کننده من فکر می کنم معادل سیمی
حریم خصوصی برای من به نظر می رسد که ما می گوییم
این معادل بودن روی سیم است
شبکه ای که سطح حریم خصوصی شماست
این نزدیکی نیست
سطح حریم خصوصی شما در سیمی
در واقع این شبکه بسیار ضعیف است
استاندارد امنیتی آن از rc4 استفاده می کند
الگوریتم رمزگذاری و مخفف آن است
رون کد 4 و
مشکل مربوط به Ron's Code 4 است
مشکل با نحوه اجرای آن است
rc4 رشته داده را می گیرد
که ما در حال تلاش برای ایمن سازی آن هستیم
برای گرفتن کلید از قبل مشترک ما و آن است
قصد گرفتن چیزی به نام an
مقداردهی اولیه بردار یک IV و آن است
همه اینها را از نظر ریاضی مخلوط می کنیم
دوباره رشته ما را با هم جمع کنید
تلاش برای رمزگذاری کلید از پیش مشترک و
بردار مقداردهی اولیه و
مشکل rc4 این است که از یک کوتاه بسیار کوتاه استفاده می کند
مقداردهی اولیه بردار آن فقط 24 بیت است
طولانی و ممکن است زیاد به نظر برسد اما
شما می توانید در محیطی مناسب
مقدار ترافیک در یک شبکه وب اگر
شما ترافیک را برای حدود هشت ضبط می کنید
چند دقیقه خدمات آب و برق در خارج وجود دارد
اینترنت که می تواند
آن بسته های ضبط را بگیرید و تعیین کنید
کلید پیش اشتراک گذاری در حدود هشت چیست
دقایقی است که فقط من را منفجر می کند
ذهن در حال حاضر که با از پیش مشترک بود
کلید به یاد داشته باشید که قبلا در مورد آن صحبت کردیم
داشتن یک کلید متقارن که به نوعی
یک کلید از پیش مشترک چیست که ما به آن می رویم
مشتری به نقطه دسترسی می رویم و ما
به هر دوی آنها یک کلید بدهید تا اگر شما
می خواهید یک دستگاه جدید به دستگاه خود اضافه کنید
شبکه بی سیم کسی جدید می شود
تلفنی که در کلید از پیش مشترک قرار داده اید
همه استفاده می کنند و کلید پیش اشتراک گذاری است
قرار است با هر چیزی استفاده شود
الگوریتم رمزگذاری که ما برای رمزگذاری استفاده می کنیم
داده ها دوباره این قرار نیست
اگر ما یک شرکت داشته باشیم، بسیار خوب مقیاس کنیم
محیطی با صدها یا شاید
هزاران کاربر که ما نمی خواهیم به آنها بدهیم
همه کلید از قبل مشترک که می توانند
اوه که ممکن است گم شود یا کسی ممکن است
این چیز خوبی نیست
بنابراین در یک محیط بزرگ می خواهیم از آن استفاده کنیم
نه کلید از پیش مشترک یا حالت شخصی
ما می خواهیم از چیزی به نام استفاده کنیم
حالت Enterprise در اینجا ما یک
سرور احراز هویت مانند a
سرور radius ما در مورد radius صحبت کردیم
قبلاً و این واقعاً 802.1x است
که ذکر کردیم
802.1x که می‌توانیم با آن استفاده کنیم
سوئیچ یا می توانیم با یک دسترسی استفاده کنیم
نکته این است که واقعاً سه نقش دارد
در اینجا بازی می شود یک نقش آن است
دستگاه در تلاش برای دسترسی به
شبکه ای که درخواست کننده به نامیده می شود
التماس این است که چنین چیزی بخواهی
دعا کننده اجازه می خواهد
بر روی شبکه احراز هویت و
من فکر می کنم این نام کمی است
گمراه کننده و همچنین که سوئیچ یا
در این مورد نقطه دسترسی
authenticator فقط نوعی رله است
این پیام‌ها را دریافت می‌کند
دعا کننده و آنها را به آنها منتقل می کند
به سرور شعاع ما و شعاع
سروری که سرور احراز هویت ما است
پس دعا کننده به آن می گوید
authenticator من واقعاً دوست دارم به آن بپیوندم
شبکه ای که احراز هویت کننده آن را ارسال می کند
به سرور شعاع و شعاع
سرور در صورتی که مناسب را ارائه کرده باشیم
اعتبار سرور radius در حال رفتن است
برای ایجاد یک کلید فقط برای من و فقط برای
آن جلسه و آن را به یک
کپی از آن کلید برای احراز هویت
نقطه دسترسی و به من مشتری
و در طول مدت آن جلسه
مشتری و نقطه دسترسی آنها
از آن کلید متقارن استفاده خواهد شد
جفت برای رمزگذاری داده های خود اما دوباره ما
نمی خواهم از rc4 با 24 بیت استفاده کنم
بردارهای اولیه که قرار است
بسیار ضعیف باشد، به خوبی بهبود یافته است
tkip است که مخفف کلید زمانی است
پروتکل یکپارچگی این محبوب شد
بعد از اینکه وب مشخص شد که همینطور است
با tkip بسیار ضعیف هستیم
با استفاده از rc4 اما ناامید نباشید
استفاده كردن
ما از نسخه بهتری از rc4 استفاده می کنیم
آن را بسیار ایمن تر از شلاق می کند
به طور خاص ما از یک 48 بیتی استفاده می کنیم
اکنون ممکن است بگویید بردار اولیه
خوب ما از 24 به 48 رفتیم این کار را می کند
یعنی الان دو برابر امنیت داریم
به جای اینکه 16 دقیقه طول بکشد
هشت به نفوذ به شبکه نه در
وقتی از 24 بیت به 24 بیت می رویم همه چیز را می بینید
25 بیت که امنیت ما را دوچندان می کند
به 26 بیت که دوباره آن را دو برابر می کند بنابراین اگر
ما از 24 به 48 بیتی که سفارش داریم می رسیم
قدر امن تر از ما
قبل و tkip نیازی به یک عالی ندارد
معامله پردازش در بخشی از
کارت شبکه بی سیم
بنابراین یک سازش عالی برای بزرگترها بود
دستگاه هایی که تعداد زیادی نداشتند
اسب بخار در رابط بی سیم آنها
کارت در حالی که هنوز به ما بهتر می دهد
امنیت نسبت به WEP اما ما را به یاد داشته باشید
قبلاً به AES اشاره کردم، گفتم که همین است
واقعا الگوریتم رمزگذاری پرچمدار است
که امروز می خواهیم از آن استفاده کنیم بله همینطور است
اگر از AES استفاده کنیم بهتر است
بهتر از tkip و فقط دیوانه کننده است
بهتر از WEP بود اما AES این کار را می کند
مقداری اسب بخار اضافی می گیرد و مقداری هم نیاز دارد
چرخه های پردازنده اضافی برای مشتریان
یا نقاط دسترسی یا هر بی سیم
دستگاهی که رمزگذاری را پردازش کند
هنگامی که نقطه دسترسی خود را تنظیم می کنید
ممکن است با مجموعه ای از
استانداردهای امنیتی WPA WPA2 و wpa3 در حال حاضر
WPA که مخفف Wi-Fi protected است
دسترسی و اصل
wwpa از tkip استفاده کرد که خوب بود
که از برخی دستگاه های قدیمی پشتیبانی می کند
که پردازش زیادی نداشت
قدرت اما بهتر از وب بود
بنابراین ما باید سرمایه گذاری خود را حفظ کنیم
سخت افزار موجود و استفاده های tkip را به خاطر بسپارید
که مقداردهی اولیه بهتر بردار 48
بیت در مقابل 24 بیت اما همچنان
هنوز هم ضعیف تر به مراتب ضعیف تر است
از AES بنابراین Wi-Fi یا Wi-Fi محافظت می شود
دسترسی یا WPA2 بیرون آمد و برای بیش از برای
حدود یک دهه یا بیشتر این بود
امنیت بی سیم است
استانداردهایی که شما در حال تنظیم یک دسترسی هستید
نکته شما بهتر است از WPA2 در واقع استفاده کنید
اتحاد Wi-Fi که به فروشندگان اجازه می دهد
برچسب وای فای را روی دستگاه خود قرار دهید
2006 گفتند این یک الزام است اگر
اگر قرار باشد باشید
دارای گواهینامه Wi-Fi Alliance شما
WPA2 باید یا دستگاه شما باید پشتیبانی کند
WPA2 بنابراین آنها بسیار جدی هستند
این و یک مورد نیاز برای WPA2 این بود
باید از AES بهتر پشتیبانی می کرد
استاندارد رمزگذاری اما توجه کنید
در اینجا باید از AES پشتیبانی می کرد
لزوماً به این معنی نبود که باید فرار کنیم
AES و این ممکن است بسته به نوع ما متفاوت باشد
سخت افزار فروشنده اما در برخی موارد
شما می توانید WPA2 را اجرا کنید اما گفتید
من همه این وسایل قدیمی را دارم که ندارم
می خواهم مجبور به اجرای AES my
دستگاه ها نمی توانند به خوبی از عهده آن برآیند
در برخی از سیستم ها می توانید به wpe2 بگویید نه
برای استفاده از AES حتی اگر می تواند پشتیبانی کند
و به جای آن از tkip استفاده کنید یا می توانید بگویید
فقط برای استفاده از AES یا می توانید بگویید استفاده کنید
یکی به مشتری اجازه می دهد تصمیم بگیرد که کدام
یکی که ما از آن استفاده خواهیم کرد اما AES آن را داریم
به قدرت پردازشی بیشتری نیاز دارد
WPA اما در طول سالها منظورم این است
برای مدتی در طول این سال ها خارج شده است
افراد بیشتری بیشتر و بیشتر دریافت خواهند کرد
سخت افزار مدرن با پردازش بهتر
و همانطور که گفتم این یک دهه بود
استاندارد امنیتی بی‌سیم به بازار آمد
وجود دارد تا
2016 اتفاق افتاد در سال 2016 وجود داشت
آسیب پذیری با wpe2 آن کشف شد
آسیب پذیری کرک نامیده شد
بنابراین بله، اکنون wpa3 همان چیزی است که هست
ترجیح داده می شود این است
فقط از AES no t-kip استفاده کنید و اگر وارد هستیم
حالت شخصی ما از AES 128 بیتی استفاده می کنیم
کلیدها اما برای حالت Enterprise با a
سرور شعاع و نقطه 1X ما 192 بیتی داریم
کلیدها، بنابراین ما با AES ایمن تر می شویم
و به یاد داشته باشید که ما در مورد آنها صحبت کردیم
فریم‌های احراز هویت که ممکن است
ارسال کنید یا یک مهاجم ممکن است ارسال کند تا ضربه بزند
کسی خارج از یک اکسس پوینت
ما در برابر آن با wpa3 محافظت می‌شویم
و همچنین امنیت بیشتری خواهیم داشت
در شبکه های در دسترس عمومی مانند شما
به فرودگاه یا کافی شاپ بروید و
شما به جای وای فای عمومی هستید
کسی فقط تو را استراق سمع می کند
با wpa3 بهتر محافظت می شود
و همچنین قبلاً یک دکمه وجود داشت
پشت بسیاری از این ها آه این خانه
نقاط دسترسی بی سیم که ممکن است
آن را از فروشگاه بزرگ جعبه خود دریافت کنید
با برچسب WPS شما آن WPS را فشار می دهید
را فشار دهید و این راهی برای رفتن به راحتی بود
دستگاه دیگری را به شبکه اضافه کنید
بدون نیاز به کلید زدن در یک دسته از
اطلاعات رمز عبور به خوبی وجود دارد
ضعف در آن نیز به طوری که
نمی خواهم بگویم می خواهم بگویم
راه اندازی خودکار اما راه اندازی کمکی I
حدس بزنید این روش بهتری برای گفتن آن است
راه اندازی کمکی متفاوتی وجود داشت
فرآیندی که با wpa3 معرفی شد
که جایگزین WPS شد و به آن DPP می گویند
پروتکل تامین دستگاه چیزی
دیگری که می توانیم انجام دهیم این است که یک جداگانه داشته باشیم
شبکه مهمان برای افرادی که وارد می شوند
سازمان ما و آنها ندارند
اجازه حضور در شرکت
شبکه ای که ما آنها را به آنها جدا می کنیم
شبکه مهمان خود را داشته باشیم یا ممکن است نخواهیم
یک حدس بزنید تا ببینید مهمان دیگری چیست
با انجام این کار حتی می توانیم مقداری هم بدهیم
حفاظت اضافی برای آن مهمانان
توسط
با جداسازی مشتریان بی‌سیم
در آن شبکه مهمان بنابراین یک مهمان
مشتری نمی تواند از دیگری شنود کند
مشتری مهمان
همچنین ممکن است فیلتر آدرس مک را انجام دهیم
اکنون این فوق العاده قوی نیست اما یک است
لایه به یاد داشته باشید پتو در سرما
شب زمستان لایه ای از امنیت است
ممکن است یک فیلتر آدرس MAC داشته باشیم که
می گوید تا یک دستگاه بی سیم به
به این نقطه دسترسی که باید متصل شود
یکی از آدرس های مک را در این مورد مطابقت دهید
لیست و اگر آن را نگه نمی تا بزرگ است
علامت توقف و بگو نه تو نباید عبور کنی
و ما این ترافیک را حذف خواهیم کرد
باز هم فوق العاده امن نیست زیرا ما
به راحتی می تواند مک را به راحتی جعل کند
آدرسی که از آن استفاده می کنیم نیز صحبت کردیم
در مورد اوه
بر اساس جایی که ما احراز هویت می شود
آیا ما اصطلاح geofencing را ذکر کرده ایم
این چیزی است که ما می توانستیم انجام دهیم، شاید در یک
محیطی که دارای یک دسته از
یک دسته از فروشندگان مختلف متفاوت است
مانند مرکز خرید که همه چیز را داریم
این فروشگاه های مختلف
و شاید به شما یک
کوپن بر اساس نزدیکی شما به a
فروشگاه این اتفاق برای من افتاده است
مانند یک منطقه خرید بزرگ و من دریافت خواهم کرد
یک پیام پاپ آپ
گفتن که نوعی کوپن تخفیف
در این فروشگاه که اتفاقا من هستم
ایستادن در مقابل درست پس شاید
بر اساس موقعیت جغرافیایی ما که
ما می توانیم یا نمی توانیم به برخی از آنها دسترسی داشته باشیم
چیزها یا قبل از اینکه بتوانیم فکر کنم من
مثال چک کردن را ذکر کرد
یک کشتی تفریحی که باید در آن نزدیک بودم
نزدیکی با آن کشتی کروز به منظور
تا بتوانم به آنجا برو تا بتوانم
برای ورود به شبکه آنها نیز صحبت کردیم
در مورد یک پورتال اسیر که ممکن است ببینید
که در دلتا مثال زدم
خطوط هوایی و دریافت وای فای آنها یا
در هتلی که ممکن است از شما خواسته شود که بدهید
نام حساب شما واقعی است
نام و رمز عبور یا اتاق شما
عدد به عنوان نمونه
حالا یه چیز دیگه فقط یه چیز دیگه
مجموعه ای از بهترین شیوه هایی که می توانیم
برای محافظت بهتر از خود استفاده کنیم
از شبکه بی سیم پیش فرض استفاده نکنید
نام هایی که با ما می آیند
نقاط دسترسی ما مانند پیوندهای این
قبلاً یکی بود که فکر می کنم آنها داشته اند
از آن زمان آن را تغییر داد، اما شما می روید
پایین و شما یک روتر از یک جعبه بزرگ خریداری می کنید
فروشگاه و آن Linksys و بود
رمز عبور Linksys یا admin admin یا بود
مدیر مدیر یا چیزی شبیه این
و آن‌ها به خوبی شناخته شده بودند، بنابراین بسیار بود
به راحتی افراد وارد تجهیزات می شوند
که آن اعتبار پیش فرض را داشت
بیایید بی سیم پیش فرض را تغییر دهیم
نام شبکه ssids اجازه دهید تغییر کنیم
نام کاربری و رمزهای عبور پیش فرض در
واقعیت دوباره این سطح بالایی نیست
امنیت اما این یک لایه است که ما ممکن است
ممکن است پخش های SSID خود را غیرفعال کنیم
حتی اعلام کنید که این شبکه است
در حال حاضر در دسترس است می گویند که آن را فوق العاده بالا نیست
سطح امنیت زیرا کسی یک
مهاجمی که آگاه است
بتواند امواج رادیویی و آنها را استشمام کند
همچنان می تواند آن SSID را ببیند
حتی اگر در حال پخش نبود و
ما قبلا در مورد چگونگی یک مهاجم صحبت کردیم
ممکن است یک نقطه دسترسی سرکش معرفی کند
به خوبی شبکه وجود دارد
اسکنرهایی وجود دارد که بسیاری از
بی سیم سطح سازمانی بزرگ
فروشندگان سطح سازمانی این اراده را دارند
شبکه ها را اسکن کنید سیسکو این کار را انجام می دهد
می تواند Wireless X یا Rogue wireless را تشخیص دهد
نقاط دسترسی تا بتوانید مکان و
آنها را غیرفعال کنید و ممکن است بخواهید به عنوان
بخشی از آن ممکن است بخواهید مطمئن شوید
که شما هیچ نقطه دسترسی ندارید
که کد فروشنده متفاوتی دارند
نسبت به فروشنده ای که از آن استفاده می کنید
نقطه دسترسی فروشنده X را وارد می کند
شبکه ای که ممکن است یکی از راه های ما باشد
در حال اسکن برای نقاط دسترسی سرکش ما هستیم
اسکن نیمه اول MAC
کد فروشنده را آدرس دهید تا مطمئن شوید که ما
برخی از فروشندگان عجیب و غریب دسترسی ندارند
در شبکه ما اشاره کنید و بیایید استفاده کنیم
رمزگذاری قوی و قوی
احراز هویت حداقل WPA2 ترجیحا
اگر بتوانیم wpa3
کارهای دیگری که می توانیم انجام دهیم می توانیم استفاده کنیم
سیستم جلوگیری از نفوذ بی سیم
حسگرهایی که این کار درست است
می تواند آن دوقلوهای شیطانی را شناسایی کند
جایی که کسی هست
تبلیغات همان شبکه به عنوان
شبکه شرکتی آن تلاش خواهد کرد
شناسایی کسی که انکار بی سیم را انجام می دهد
از سرویس یا یک اصلی در وسط یا یک
در حمله مسیر می تواند جمع آوری و
تجزیه و تحلیل داده ها به ما می دهد بسیاری از
تجزیه و تحلیل چند نمونه از IPS بی سیم
سیستم‌ها شامل محافظت از RF آروبا است
IPS بی سیم و سیسکو یک نام دارد
Cisco Wireless EPS یا
ببخشید IPS و
این یک نمای کلی در سطح بالایی از برخی است
کارهایی که می توانیم برای امنیت بهتر خود انجام دهیم
شبکه های بی سیم
حالا تا بعد می خواهم در مورد جلسه صحبت کنم
هواپیماربایی و من به این اشاره کرده ام
چند بار در حال حاضر با جلسه
هواپیماربایی
جایی که مهاجم به کاربر اجازه می دهد
ادامه دهید و احراز هویت
با هر آنچه که سیستم هدف است
بنابراین یک بار آنها یک بار ما دور زده ایم
که مرحله احراز هویت مهاجم است
فقط آن جلسه موجود را در اختیار می گیرد
آنها مجبور به احراز هویت نیستند زیرا
کاربر قبلاً این کار را انجام داده است و ما فقط
ربوده جلسه خود را در حال حاضر که و
این یک حمله فعال در جایی است که ما هستیم
قرار است یک جلسه را از کاربر بگیرد
یا ممکن است در اینجا یک حمله غیرفعال انجام دهیم
ما در حال نظارت بر ترافیک در یک جلسه هستیم
اما ما واقعاً قطع نمی کنیم
جریان اما ما هنوز ربوده شده است
جلسه ما در حال ایجاد جریان جلسه هستیم
از طریق ما به عنوان مهاجم و ما هستیم
نظارت بر آن حتی اگر ما نیستیم
برافراشتن هر گونه پرچم قرمزی که نیستیم
مزاحم هر چیزی خیلی فعال و
منفعل پس بعد از جلسه است
ایجاد می شود اغلب اوقات یک a
شناسه جلسه که جلسه را مشخص می کند
و در برخی موارد به این بستگی دارد
اجرا اما در برخی موارد اگر
مهاجم شناسه جلسه ای را که می تواند می داند
به آن جلسه بپیوندید که می گویند اینجا من است
شناسه جلسه به من اجازه داد وارد شوم و آنها هم می‌شوند
بخشی از آن جلسه چون آنها دارند
آنها شناسه جلسه را یاد گرفته اند
بنابراین پس از احراز هویت اتفاق می افتد
مهاجم به شبکه ای که آنها می شناسند می پیوندد
شناسه جلسه را خارج کنید و در مورد آن صحبت خواهیم کرد
راه های پیدا کردن شناسه جلسه و
سپس آنها می توانند بخشی از جلسه باشند و
آنها می توانند با استفاده از یک جلسه جدید ایجاد کنند
شناسه آن جلسه
جلسه سطح برنامه وجود دارد
ربودن و در سطح برنامه
این اغلب حملات وب با استفاده از HTTP یا
https و این معمولاً استفاده می شود
شناسه های جلسه ای که در مورد آنها صحبت کردیم
ربودن سطح شبکه نیز وجود دارد
در اینجا ما بیشتر با TCP و
چیزهای UDP پایین در حمل و نقل
و سطوح شبکه و
این معمولا شامل می شود
رهگیری بسته ها نه فقط یافتن
وقتی می‌گویم جلسه، شناسه جلسه را بیرون بیاورید
ID من در مورد چیزی صحبت می کنم که همین است
به طور منحصر به فرد یک جلسه را شناسایی می کند
قرار است برای TCP استفاده شود زیرا
این یک پروتکل اتصال گرا است
قرار نیست برای UDP استفاده شود
بدون اتصال است و معمولاً در حال انجام است
این رشته طولانی نیمه بزرگ باشد
نویسه های الفبایی عددی به ظاهر تصادفی
پس بیایید فکر کنیم که چگونه
مهاجم یک شناسه جلسه دریافت کرده و تزریق می کند
خودشان در آن جلسه تا بتوانند
چیزی شبیه یک مرد را در آن قفل کنید
حمله وسط جایی که ترافیک شروع می شود
جریان از طریق مهاجم در راه
از کاربر به سمت سرور
مسئله این است که آنها می توانند از یک مرد در آن استفاده کنند
حمله مرورگر
یک مرد در حمله مرورگر جایی است که
نوعی اسب تروا وجود دارد
که به نرم افزار مرورگر اضافه شده است
سیستم کاربر و سپس زمانی که آنها تلاش می کنند
فرض کنید از آن مرورگر استفاده کنید و به
بانک آنها که نرم افزار اسب تروجان است
آن را به پایین هدایت می کنیم
مهاجم به آن وب سایت می روند و
شاید بخواهند هزار نفر را انتقال دهند
دلار از حساب جاری خود به
حساب پس انداز آنها اما آن تروجان
اسب در مرورگر نرم افزار مجبور است
ترافیک از طریق ماشین مهاجم
و مهاجم می گوید اجازه دهید آن را تغییر دهم
کمی بالا بیایید پنج را انتقال دهیم
هزار دلار از حساب شما به من
حساب و اوه سپس آنها می توانند ارسال کنند
تایید به کاربر می گوید
همه چیز خوب و شیک است وقتی در
واقعیت
آنها فقط پنج هزار دلار از دست دادند و
به مهاجم منتقل شده است
گاهی اوقات شناسه جلسه تحویل داده می شود
یک روش تا حدودی قابل پیش بینی و یک
مهاجم ممکن است بتواند حدس بزند چه چیزی
شناسه جلسه که قرار است از آن استفاده کنید
اگر چندین جلسه استشمام کنند
ممکن است بتواند برخی را اجرا کند
الگوریتم هایی برای تعیین یا برآورد
فکر میکنی نفر بعدی چی میره
بیایید ببینیم در این مورد چگونه عمل می کنید
فرض کنید ID جلسه اول abc102 باشد
شناسه جلسه بعدی است
abc104 و IDE جلسه بعدی است
abc108
آن اطلاعات را به آنها بدهید
قادر به حدس زدن ID جلسه بعدی بروید و
در مورد B چت کنید
اوه واضح است که من خیلی بد نیستم
امن اینجا این اوه امن اینجا این است
فقط یک مثال ساده
بله بسیاری از مردم می گویند اوه
abc116 موافقم چون متوجه خواهید شد
که درست ترین عددی که می گیرد
هر بار دو برابر شد
دو دوبل چهار چهار دوبل هشت است
هشت دوبرابر بله همینطور خواهد بود
16. ممکن است کلید جلسه بعدی باشد
آنها همچنین ممکن است مهاجم نیز ممکن است
بو کشیدن
بسته ها در یک جلسه که می شود
تاسیس شد که تمام حق را دارد
اطلاعات در آن و سپس آنها می آیند
بعدا برگرد
و با استفاده از آن بسته هایی که آنها
گرفتن آنها قادر به آه با استفاده از
خانواده ID جلسه در آن ضبط
بسته هایی که می توانند از آن استفاده کنند
کلید جلسه به گونه ای که گویی جلسه ثابت است
با فرض اینکه کاربر راه رفته است ادامه دارد
ما هنوز از کامپیوتر آنها دور هستیم
شناسه جلسه آنها هنوز جلسه است
فعال در از دیدگاه
سرور هی ببر فقط به نوعی آن را می گیرد
در حال حاضر تثبیت جلسه در اینجا
مهاجم قرار است این را آغاز کند
ارتباط با سرور آنها می گویند من می خواهم
دوست دارم یک جلسه امن راه اندازی کنم و
سرور می گوید همه چیز اینجا جلسه است
شناسه ای که قرار است از آن استفاده کنیم اما نه
خیلی سریع که هنوز مجبوری
خود را احراز هویت کنید تا مهاجم
میگه باشه من با تو و اون برمیگردم
مهاجم شناسه جلسه را می گیرد
فقط از سرور دریافت کردم و سپس رسید
در حال ارسال یک لینک شاید در یک ایمیل
شاید یک متن یا چیزی برای کاربر
گفت که باید رمز عبور خود را بازنشانی کنید
به این لینک بروید و آن لینک متصل می شود
کاربر با سرور با استفاده از
شناسه جلسه ارائه شده توسط مهاجم بنابراین
هنگامی که کاربر با آن احراز هویت می کند
سرور با استفاده از شناسه جلسه که حدس زدید
اکنون مهاجم احراز هویت شده است
با سرور چون آنها قبلا
آنها ابتدا شناسه جلسه را داشتند
آنها به سرور دسترسی پیدا می کنند
اسکریپت بین سایتی ممکن است شنیده باشید
این جایی است که
یک کاربر قرار است پیوندی داشته باشد که آنها
روی آن کلیک کنید شاید در یک ایمیل آمده باشد
و این یک پیوند مخرب خواهد بود
که باعث یک شناسه جلسه معتبر می شود که
کاربر در حال استفاده از آن است که آن را ارسال می کند
شناسه جلسه به مهاجم و
مهاجم دوباره می تواند از آن شناسه جلسه استفاده کند
برای صحبت با سروری که مشابه آن است
در عوض جعل درخواست بین سایتی در اینجا
دریافت ایمیل با نوعی
کد مخرب در آن وجود خواهد داشت
برخی از کدهای مخرب نصب شده در یک سایت
که کاربر به آن وصل می شود و زمانی که آنها را متصل می کند
روی یک لینک در سایت کلیک کنید
مشابه متقابل سایت
اسکریپت نویسی باعث می شود
کاربر برای ارسال آن جلسه را کلید می زنم
کلید جلسه به uh به یک وب سایت که
کنترل شده توسط مهاجم در واقع من
گفت که به عقب جلو افتادم
خودم ببخشید ما هستیم
ما دریافت می کنیم که کاربر را معتبر می کنیم
یا با کاربر برای بازدید از مهاجم
وب سایت و کد مخرب موجود در آن
وب سایتی که جلسه را استخراج می کند
ID من گفتم که به عقب ببخشید و
که قرار است به مهاجم داده شود
سپس و سپس مهاجم می تواند از آن استفاده کند
شناسه جلسه برای برقراری ارتباط با
سرور بعدی اجازه دهید سطح شبکه را در نظر بگیریم
ربودن سطح شبکه ربودن است
ربودن جلسات TCP و IP می توانیم انجام دهیم
بازنشانی که می توانیم با آن به صورت رمزگذاری شده سروکار داشته باشیم
ترافیکی که ما حتی نمی توانیم آن را تفسیر کنیم
اما ما می توانیم آن را ربوده به هر حال آن را به نام
ربودن کور و ربودن UDP است
تقریباً یک نام اشتباه است زیرا UDP است
اتصال
ما واقعاً یک جلسه تنظیم نمی کنیم
اما هنوز هم می توانیم کاری به نام UDP انجام دهیم
هواپیماربایی ما در مورد آن صحبت خواهیم کرد
لحظه اما اینجا با TCP ربودن شما
همه را به خاطر بسپارید
گناه synac و ACT است
دست دادن سه طرفه به خوبی علاوه بر
که یک حرف اولیه وجود دارد
شماره دنباله ای که داده شده است
یک Isn و آن با
synack و کاربر با آن پاسخ می دهد
عدد به علاوه یک اگر مهاجم باشد
نظارت بر بازگشت آن ترافیک
و وقتی دریافت که Isn فرستاده می شود
از سرور اگر سریع هستند
پاهای آنها مهاجم قرار است باشد
قادر به پاسخگویی به سرور قبل از
کاربر انجام می دهد و آن را دریافت می کند
جلسه تنظیم شده به جای
کاربر قانونی
ریست جایی است که کاربر به آن می رود
کاربر را مجبور کنید که او را ارسال کند
یک فرمان بازنشانی ارسال کنید و به کاربر بگویید
آنها نیاز به احراز هویت مجدد دارند و چه زمانی
آنها مجدداً هویت مهاجم را تأیید می کنند
با استفاده از شناسه جعلی سرور
کاربر در حال ارسال آن نام کاربری است
ترکیب رمز عبور برای مهاجم
که سپس از آن برای ورود به سرور استفاده می کند
هواپیماربایی کور جایی است که ما می توانیم
تزریق ترافیک بین کاربر و
سروری که رمزگذاری شده است نامیده می شود
کور چون رمزگذاری شده است ما نمی توانیم
آن را بخوانیم، اما ما هنوز هم می توانیم با آن سر و کار داشته باشیم
هنوز می تواند یا مهاجم هنوز می تواند
داده ها را با تزریق ترافیک تغییر دهید
رفتن به سرور
ما همچنین به ربودن UDP اشاره کردیم
بله من یک انیمیشن در اینجا دارم که نشان می دهد
که ترافیک رمزگذاری شده همچنان می تواند
جریان از طریق مهاجم حتی اگر
مهاجم آن را نمی خواند آنها می توانند
آنها می توانند مقداری اضافه کنند
ترافیک اضافی در حال حاضر ربودن UDP
این اصطلاح کمی مرا آزار می دهد ما هستیم
واقعا ربودن یک جلسه نیست زیرا
چیزی به نام جلسه UDP وجود ندارد
با این حال ما پروتکل هایی داریم که از UDP استفاده می کنند
مانند DNS
ربودن UDP به این معنی است که ما قصد داریم
با استفاده از UDP سریعتر به چیزی پاسخ دهید
از کاربر قانونی اجازه دهید
می گویند که ام یا سریعتر از
سرور انجام می دهد، فرض کنید که کاربر انجام می دهد
یک پرس و جوی DNS و مهاجم آن را می بیند
جستجوی یک وب سایت خاص
و با یک آدرس IP نادرست پاسخ می دهد
برای آن دامنه کاملاً واجد شرایط نام آن را بگذارید
با آدرس IP DNS سریعتر پاسخ می دهد
نسبت به سرور DNS این یک راه است
که مهاجم می تواند کاربر را تغییر مسیر دهد
به سرور مخرب خود که به نظر می رسد
مانند سرور بانک اما واقعا ما
یکی را برای کپی کردن بانک تنظیم کنید
سرور تا بتوانیم نام کاربری را بگیریم
ترکیب رمز عبور
در مقابل این خیلی به نظر می رسد
خیلی جدی خوب یک چیز بزرگ است
آموزش کاربر به کاربران شما
روی چیزی در ایمیل کلیک نکنید
از منابع ناشناخته و حتی گاهی
از منابع شناخته شده اگر بانک شما باشد
روی لینک موجود در ایمیل کلیک نکنید
یک مرورگر را باز کنید و مستقیماً به آن بروید
وب سایت بانک خود را که می خواهید نگه دارید
نرم افزار شما به روز همه شما
نرم افزار امنیتی که می خواهید پاک کنید
تاریخچه مرورگر شما به صورت دوره ای
و از وب سایت های غیر قابل اعتماد بازدید نکنید
مطمئناً روی پیوندهایی که می آیند کلیک نکنید
در متن ها یا ایمیل هایی که ممکن است بخواهیم
از شناسه های جلسه امن در جایی که یک مهاجم است استفاده کنید
نمی تواند
به تعدادی شناسه جلسه و سپس نگاه کنید
خوب بگو بعدی احتمالا می رود
این بار دو باشد حالا بیایید استفاده کنیم
شناسه های جلسه رمزگذاری شده اجازه دهید از session استفاده کنیم
شناسه هایی که برای کل معتبر نیستند
جلسه ما بسته به سیستم شما می توانیم
گاهی اوقات می توانید از کلیدهای جلسه استفاده کنید
پس از مدت معینی منقضی می شود یا
ممکن است داشته باشید یا ممکن است نیاز داشته باشید
ورود مجدد دوره ای مانند زمان تمام شدن چیزها
مثلاً به مطب دکترم می روم
و آنها وارد سیستم می شوند و سوابق من را بررسی می کنند
بنشینند و یک لحظه صحبت کنند آنها می روند
برای ایجاد به روز رسانی در سوابق من آنها هستند
از سیستم خارج شده اید بله ممکن است نیاز داشته باشید
ورودهای مکرر پس از مقدار مشخصی
زمان و ما می‌خواهیم شناسه‌های جلسه ما به آن برسد
تا حد امکان تصادفی شود
آنها خواهند بود آنها خواهند بود
پیش بینی سخت تر است
کارهای دیگری که می توانیم انجام دهیم این است که از ایمن استفاده کنیم
وب سرورهایی مانند https به جای HTTP
شاید بهتر باشد از گواهی استفاده کنید
اقتدار یک شخص ثالث قابل اعتماد است
از گواهی اختصاصی
گاهی اوقات به آدرس اینترنتی که انجام می دهید نگاه می کنید
کپی پیست یک URL در دفترچه یادداشت یا
چیزی و این طولانی را خواهید دید
رشته و شما در حال فکر کردن به چه چیزی است
این حرف بیهوده یک شناسه جلسه است
از شناسه های جلسه که در قسمت نمایش داده می شوند استفاده نکنید
URL که می تواند واقعا بد باشد، اجازه دهید حفظ کنیم
وصله های امنیتی ما به روز و
بیایید امنیت اصلی شبکه را انجام دهیم
همانطور که قبلا در مورد آن صحبت کردیم نشان دادم
شما چگونه همه اینها را در پورت تنظیم کنید
امنیت d8cp
ردیابی و بازرسی IPR
چه کارهای دیگری می توانیم به خوبی انجام دهیم
ذکر شد اجازه دهید از پروتکل های امن استفاده کنیم
مانند HTTP به جای https، اجازه دهید از uh استفاده کنیم
FTP امن یا
FTP امن آه و اجازه دهید از um let's do استفاده کنیم
که به جای FTP از SSH استفاده کنیم
به جای telnet بیایید از ipsec استفاده کنیم
به جای GRE به عنوان چند مثال
و ممکن است بخواهیم از VPN ipsec استفاده کنیم
تونل بنابراین اگر من در سراسر یک
شبکه غیر قابل اعتماد مانند اینترنت اگر
هر کسی در اینترنت بزرگ غیرقابل اعتماد
بسته های من را می گیرد که قرار نیست آنها را ببرند
قادر به انجام هر کاری با آنها هستند زیرا
به لطف ipsec همه چیز درهم ریخته شده است
و ما در مورد ipsec و صحبت خواهیم کرد
vpns در پایان جلسه امروز
به هر حال، اما این نگاهی به جلسه است
هواپیماربایی و حالا می‌خواهیم بگیریم
وارد ماژول 6 شدیم و به این اشاره کردیم
قبلا در مورد فیزیکی صحبت می کنیم
تامین امنیت تجهیزات شبکه ما به طوری که
کسی با آن کنار نمی رود یا
آن را تغییر دهید یا به نوعی به خطر بیاندازید یا
شکستن آن و یکی از چیزها
ما نگران این هستیم که یک
مزاحم مانند بازی ویدیویی قدیمی
هشدار مزاحم هشدار مزاحم و یک
کاری که این روزها می توانیم بسیار اساسی انجام دهیم
ما حتی آن را در خانه هایمان زیاد داریم
در حقیقت ما می توانیم حرکت داشته باشیم
تشخیص سیستم تشخیص حرکت هستند
حسگرها برای تشخیص هر حرکتی که می توانیم
برچسب های RFID غیرفعال خود را به عنوان قرار دهید
برچسب های موجودی در تجهیزات ما و ما
می تواند درگاه هایی در اطراف درها داشته باشد بنابراین اگر
کسی وسیله ای را حمل می کند
با یکی از این برچسب های موجودی روی آن
هشدار می دهد یا الف می دهد
اطلاع رسانی ما می توانیم ویدئو داشته باشیم
نظارت در فیلم های قدیمی
جایی که مردم در حال نفوذ به کازینو هستند
یا چیزی یا بانکی که ممکن است داشته باشند
ویدئویی که آنها حلقه می زنند و در آن بازی می کنند
انجام این کار با IP به راحتی انجام نمی شود
دوربین ها، بنابراین اگر ویدیو مبتنی بر IP داشته باشیم
نظارتی که مدت زیادی طول خواهد کشید
راهی برای تامین امنیت فیزیکی ما
تجهیزات ما همچنین می توانیم چیزی داشته باشیم
که شواهدی از هر کدام به دست می دهد
با دستکاری می توانید اینها را دریافت کنید
نوعی برچسب فلزی یا حتی سیم
پیوندهایی که می توانید کامپیوتر را ببندید
شاسی همراه با شاید در یک سرور
مزرعه یا مرکز داده و اگر کسی بود
باز کردن آن برای درج چیزی
در آن یا بیرون بردن یک درایو یا چیزی
معلوم می شود که این کار را می کند
شواهدی وجود خواهد داشت که آنها
دستکاری شده چون آن مهر است
شکسته می شود یا به نظر می رسد
کشیده شده یا شواهدی از آن ارائه خواهد شد
یا اینکه شاید آن سیم پاره شده باشد
به عنوان نمونه ای برای جلوگیری از مردم
من فکر می کنم دسترسی به این مناطق یک
ایده عالی برای داشتن نشان مردم
مناطق ممکن است از چیزی مانند a استفاده کنند
اسکنر اثر انگشت یک اسکنر شبکیه
و مطمئن شوید که کاربران شما در این زمینه آموزش دیده اند
مراقب چه چیزی باشیم
اگر ممکن است در مقابل مرکز داده شما
نمی خواهم کسی در آن سرگردان باشد
و وارد یک مرکز داده شوید
به یاد داشته باشید که به شخص دیگری می پردازید
قبل از اینکه بگوییم من این قوطی جعبه را دارم
در حالی که من می روم تو در را برای من نگه داری
از درب و کسی ممکن است اجازه دهد
شما در در خوب چیزی وجود دارد
دهلیز کنترل دسترسی یا a
تله انسان گاهی به آن می گویند This is a
اتاقی که دو در دارد و راه اندازی شده است
به طوری که برای یک در به اگر یک در است
باز کردن درب دیگر باید بسته شود
هیچ راهی وجود ندارد که کسی فقط مرتب کند
از تماشای شما به داده ها می گذرد
مرکز و آنها فقط به نوعی دنبال می کنند
درست پشت سرت چون
قبل از اینکه در را باز کنید و وارد آن شوید
مرکز داده و شما در این دهلیز هستید
مهاجم
اگر به مرکز داده می روید
دری که مهاجم از آن عبور می کرد
برای ورود به دهلیز بسته شده است
تنها راهی که آنها می توانند این کار را انجام دهند حضور در آن است
هشتی همزمان با شما
و آنها می خواهند و شما دوست خواهید داشت
تو کی هستی که اوه و گاهی
یک نگهبان در آنجا وجود دارد و
شما باید اعتبار را به آنها نشان دهید
قبل از اینکه بتوانید به یک داده سرگردان شوید
مرکز و حداقل بیایید قفل کنیم
چیزهای ما یک زمان اعتراف شخصی است
من یک طرفدار بزرگ هستم
امنیت فیزیکی پس از یک حادثه که
زمانی که در یک کار می کردم گذشتم
دانشگاهی که در آن روزها استفاده می کردیم
تعداد زیادی از تجهیزات ATM ناهمزمان بود
تجهیزات حالت انتقال همراه با
شبکه محلی کابلی
و ما یک دسته از تجهیزات اضافی مانند
شاید صد هزار دلار
ارزش تجهیزات ATM اضافی در یک سرور
اکنون مزرعه کنید تا به سرور مزرعه شما برسید
مجبور شدم از این طریق عبور کنم
اتاق آموزش کامپیوتر که گذاشته بودیم
بالا و وارد آن کامپیوتر شوید
اتاق تمرین باید پایین می رفتی
راهرو و از طریق یک در و وجود دارد
در دیگری برای ورود به آن راهرو
برای رسیدن باید از یک راهرو می گذشتی
داخل در، در دیگری من
برای رسیدن به آن باید از یک در گذشت
راهرو و سپس از دری عبور می کنید
برای رسیدن به اتاق تمرین و سپس شما
برای رسیدن باید از در دیگری عبور کرد
به مزرعه سرور
بنابراین فکر کردم هیچ کس سرگردان نخواهد بود
تمام راه بازگشت به آنجا چیزهای ما هستند
امن در مزرعه سرور بدون نیاز به
قفلش کن چون کی قراره بره
از طریق سه در و پرسه زدن در اطراف به
دریافت که کسی انجام داده است
چون من منظورم تقصیر من است که می پذیرم
مسئولیت چون من یک شبکه بودم
مدیر من همه را نداشتم
درها محکم شد و یک نفر بیرون رفت
با بسیاری از تجهیزات خودپرداز بنابراین yikes
اون یکی که یکی انجام شده من نمیخوام
شما باید در آن موقعیت و زمانی که آن را
زمان برای خلاص شدن از شر تجهیزاتی که ندارید
فقط می خواهم بگویم خوب است
فرمت در درایو C من خوب است که بروید و
شما آن را به جایی می دهید
نه فقط به این دلیل که دوست دارید یک قالب را انجام دهید
درایو C شما به این معنی نیست که شما دارید
تمام داده هایی را که پاک کرده اید پاک کرد
شما اساساً ایندکس را پاک کرده اید
فایل های روی آن هارد دیسک تا شما می خواهید
هر پیکربندی که دارید را پاک کنید
اگر دستگاهی دارید که می توانید یک کار را انجام دهید
بازنشانی پیش فرض کارخانه باید این کار را انجام دهید
شما باید دستگاه را هم اکنون ضد عفونی کنید اگر
من از دست کامپیوتر و هیچکس خلاص می شوم
دیگری قرار است از آن استفاده کنم
دور انداختن آن من این کار را بسیار انجام داده ام
بار
من یک کف بتنی خوب پیدا خواهم کرد و خواهم کرد
یک چکش بزرگ پیدا کن و من آن را سخت می گذارم
روی زمین رانندگی کنید و من همین کار را خواهم کرد
فقط آنقدر آن را بزنید که جغجغه کند و تمام
یک راه برای اطمینان از اینکه هیچ کس هرگز نیست
قرار است آن داده ها را بخوانم اما بیایید بگوییم
شما می خواهید یک سیستم را به
شخص دیگری و شما می خواهید آنها باشند
می توانید از آن هارد دیسکی که نمی توانید استفاده کنید
می خواهم چکش به آن بگیری چه می توانی
دوباره انجام دهید فقط آن را قالب بندی کنید
این کار را انجام نمی دهد من دوست دارم استفاده کنم
چیزی به نام اوه
dbn به آن می گویند Derek's uh Boot and nuke
و شما می توانید با این یو اس بی راه اندازی شوید
کلید یا یک دی وی دی یا سی دی که می توانید روی آن بوت کنید
این و قرار نیست فقط پاک شود
هارد دیسک خود را می توانید چندین کار انجام دهید
چندین عبور از روی آن هارد دیسک
جایی که فقط قرار است تعدادی مانند بنویسد
تصادفی و صفر به آن پس اینطور نیست
درست مانند قالب بندی جایی که در حال پاک کردن آن هستیم
شاخص آنچه در آن وجود دارد آن را ندارد
در واقع همه چیز را در آنجا رونویسی می کند
و می تواند چندین بار آن را لغو کند
و اوه بله این در صورتی است که من از a استفاده مجدد کنم
سیستمی که قصد دارم آن را به آن منتقل کنم
شخص دیگری من اغلب از یک dbn استفاده می کنم
چکمه و هسته درک
بنابراین این نگاهی به امنیت فیزیکی است
بعدی اینترنت اشیا و
چیزهای امنیت ابری که ما نکردیم
واقعا به این 10 تا فکر نکردم
سال ها پیش به همان اندازه اما امروز مجبوریم
دستگاه های اینترنت اشیا iot را می بینید
به آنهایی که در آنها داری فکر کن
ممکن است بخواهید در خانه خود چت کنید
چه نوع دستگاه iot دارید
من یک نمونه در خانه به شما می دهم
ما زنگ در داریم و ویدیو داریم
دوربین ها
اوه من یک تلویزیون دارم که یخچالم می تواند
بگو بالاخره خاموشش کردم
اگر کسی آن را ترک کند آزاردهنده بود
یخچال یا درب خیلی طولانی باز است
پیامی در تلویزیون من ظاهر می شود
محدوده فقط انواع چیزهایی که من دارم
یک فن دایسون گرفتم و همیشه ادامه دارد
لامپ هایی که ما داریم که هستند
دستگاه های اینترنت اشیا فوق العاده است
راحت من دوست دارم که می توانیم تنظیم کنیم
برنامه ریزی در مورد چگونگی روشن شدن چراغ ها و
من می توانم همه اطراف را ببینم
خانه اگر از خانه دور باشم
اما شما می دانید که همه آن دستگاه ها چه کار می کنند
شما تا به حال چیزهای زیادی در مورد آنها می دانید
به روز رسانی سیستم عامل را در آیوت لایت خود انجام دادید
لامپ برای مثال شاید وجود نداشته باشد
بسیاری از حفره های امنیتی زمانی که ما
معرفی کنید وقتی ما سوراخ می کنیم
این دستگاه های iot را معرفی کرد زیرا الف
بسیاری از این دستگاه ها امنیت آنها بود
زمانی که در ذهن طراح نیست
آنها آن دستگاه ها را ساختند و ما صحبت کردیم
در مورد قدرت پردازش و در مقابل
قدرت رمزگذاری بله بسیاری از آنها
دستگاه ها اگر اصلاً در حال رمزگذاری هستند
آنها از یک الگوریتم رمزگذاری ضعیف استفاده می کنند
فقط برای اینکه مجبور نباشند بیشتر بگذارند
پردازنده قدرتمند در آن دستگاه و
درایو مرحله تماس و بسیاری از آنها
دستگاه ها رمزهای عبور پیش فرض دارند
مثل دوربین فیلمبرداری یا اوه شما
حتی روترهای بی سیم شما و
گاهی اوقات مردم نرم افزار را انجام نمی دهند
به روز رسانی ها ممکن است به صورت خودکار نباشند
مستقر شد و آیا واقعا فکر می کنید که بروید؟
لامپ های خود را اغلب به روز کنید
به این یکی از بهترین ها فکر نکن
نمونه های معروفی که کسی می گیرد
مزیت امنیت iot
آسیب پذیری یک انکار توزیع شده بود
حمله سرویس این اتفاق دوباره در داخل رخ داد
اکتبر 2016 و به یاد داشته باشید که کجا هستیم
در مورد اینکه چگونه یک مهاجم می تواند صحبت کرد
استفاده از بدافزار در واقع یک دسته از
کامپیوتر و آنها تبدیل به ربات یا
زامبی ها به خوبی در این مورد مهاجم
یه جورایی دنبال اینترنت گشتم
دوربین های ویدئویی مبتنی بر IP مانند خانه
دوربین های مدار بسته و بی سیم
روترهایی که روی پیش فرض خود تنظیم شده بودند
اعتبارنامه خیلی از افراد فقط جعبه را باز می کنند
آنها را وصل می کنند و آنها را در آن رها می کنند
اعتبار پیش فرض خود را بنابراین
مهاجم فقط تمام این ویدیوها را امتحان می کند
دوربین ها و این همه روتر بی سیم
در تلاش برای ورود با پیش فرض
اعتبار توانست به تعداد زیادی وارد شود
از آنها پس در اختیار آنها و
این مهاجم تمام این دوربین ها را داشت
و همه این روترهای بی سیم در اطراف
جهان و مهاجم آنها را داشتند
به طور همزمان به این سرور DNS حمله کنید
کدام یکی از DNS ها یکی از
سایت هایی که آن سرور DNS در حال سرویس دهی بود
توییتر بود در واقع توییتر را آورد
پایین برای بخش بزرگی از جهان در
اکتبر 2016 زیرا کسی فقط
با استفاده از تمام این دستگاه های iot وارد شده است
اعتبار پیش فرض، پس چه کاری باید انجام دهیم
قطعا همه چیز را به حال خود رها نکنید
پسوردهای پیش فرض و زمانی که تغییر می دهید
رمز عبور آن را به یک رمز عبور قوی تبدیل می کند
و چیزی که من توصیه می کنم این است
دستگاه های iot خود را در خود قرار دهید
VLAN بنابراین این چیزی است که حتی اگر من داشته باشم
راه اندازی فایروال و فایروال نیست
به هر کسی در اینترنت اجازه می دهد
وارد شبکه من شوید
اگر جلسه در مورد شروع شود
اینترنت
من همه این دستگاه های iot را دارم که ندارم
من در مورد این تولید کنندگان نمی دانم
لامپ من را از سیسکو خرید من آن را خریدم
از برخی فروشنده های دیگر که من هرگز نگرفته ام
شنیده شده است
چه کسی می داند
می تواند آن فروشنده
ایجاد بدافزار در داخل آن لامپ یا
ممکن است کسی بدخواهانه داشته باشد
بدافزار از پیش تزریق شده در آن نور
لامپی که اکنون بیرون من آویزان است
گاراژ اگر انجام دادند در داخل است
شبکه من
و می تواند به اینترنت و
گزارش اطلاعات را شروع کنید و شروع کنید
سعی می کنم بقیه شبکه ام را جست و جو کنم
آن را در داخل است بنابراین آن را دارد
اجازه داشتن دو جهته
ارتباط با اینترنت نور من
لامپ می تواند من لامپ خود را نمی خواهم
در حال اسکن کردن و تلاش برای به دست آوردن
به سیستم فایل لینوکس من، پس ما چه کنیم
آیا آنها را روی VLAN خودشان قرار می دهیم؟
تقریباً مانند داشتن یک LAN بی سیم مهمان
فقط برای دستگاه های iot این چیزی است
وقتی در حال راه‌اندازی هستم، اغلب این کار را انجام می‌دهم
وای فای
آنها را روی شبکه وای فای خود قرار دهید
نه فقط یک نام متفاوت
در واقع یک زیر شبکه متفاوت است تا بتوانید
دارند
شما می توانید این نقطه مرزی را داشته باشید
بین دستگاه های iot شما و بقیه
دستگاه های شبکه شما
امنیت ابری که نگرانی بزرگی است
این روزها که فکر نمیکردم
در مورد چون من
شبکه هایی که من در آن بزرگ شدم
سرور مزارع یا مراکز داده داده بود
به صورت محلی اما در گذشته واقعاً ذخیره شده است
حدود یک دهه گذشته این اتفاق افتاده است
خروج دسته جمعی داده ها از ما
مراکز داده در محل به ابر
پس از همه، ما داده های خود را به سرورهای داخل منتقل می کنیم
ابر آن‌ها می‌توانند ماشین‌های مجازی باشند
ما می توانیم سرورها را همانطور که نیاز داریم بچرخانیم
ما مجبور نیستیم سخت افزاری را بخریم
ما مجبور نیستیم سخت افزار را حفظ کنیم
نیازی به تامین برق اضافی برای
سخت افزاری که ما فقط برای آن می پردازیم
قدرت پردازش و
منابع ذخیره سازی که ما در هر مورد نیاز داریم
با توجه به این لحظه، عالی است به جز
ما همه داده های خود را به عقب برگردانده ایم
و بین سایت ما و ابر
و ما می خواهیم مطمئن شویم که این داده ها
اگر من از طریق اینترنت می روم امن است
شاید با استفاده از یک مرورگر وب که می خواهیم انجام دهیم
که به صورت ایمن و یک راه برای انجام آن
با یک ویژگی امنیتی که می توانیم
در مرورگر وب ما حمل و نقل TLS است
لایه امنیتی که قرار است رمزگذاری شود
داده هایی که بین مرورگر ما ارسال می شود
و هر کسی که ارائه دهنده ابر ما باشد، ممکن است
اینجا در مورد vpns صحبت خواهد شد
فقط یک لحظه شاید بخواهیم a را راه اندازی کنیم
شبکه خصوصی مجازی بین سایت ما
و ارائه دهنده ابر ما به طوری که ما می رویم
اگر کسی بخواهد از طریق اینترنت
ترافیک ما را رهگیری کنند
قادر به هر معنایی از آن است زیرا
این همه در داخل آن VPN درهم است
شاید ما یک برد خصوصی Cloud داشته باشیم
جایی که ما از چیزی مانند مترو استفاده می کنیم
اترنت یا شاید mpls اما ما داریم
این ارتباط خصوصی که نمی کند
از اینترنت استفاده کنیم و شاید داشته باشیم
برخی از سرورهای اختصاصی در فضای ابری
جایی که ما منابع را در a به اشتراک نمی گذاریم
فیزیکی ما یک VM روی آن نداریم
سرور فیزیکی که شخصی می گوید
VM on منظورم از نظر تئوری آنها در حال رفتن هستند
منزوی باشیم اما ممکن است بخواهیم داشته باشیم
برخی فقط برای امنیت بیشتر برخی
سرورهای اختصاصی سرورهای فیزیکی که
هیچ کس دیگری از چیز دیگری استفاده نمی کند ما
می توانید از یک ویژگی یا این استفاده کنید
عملکردی که می توانیم از متفاوت دریافت کنیم
ارائه دهندگان به نام casby casby مخفف
کارگزار امنیت دسترسی ابری این گونه است
قرار است عاملی باشد که در آن حضور دارد
وسط بین کاربران در
سمت شرکت و منابع موجود در
ابری و می تواند ترافیک رفت و آمد را نظارت کند
رفت و برگشت بین Enterprise
و ارائه دهنده ابر برای اطمینان
همه چیز خوب به نظر می رسد که هیچ کس انجام نمی دهد
هر چیز ماهی و اگر وجود داشته باشد
فعالیت های مخرب می تواند آن را گزارش کند
بنابراین این نگاهی به ایمن سازی بهتر است
اینترنت و ما اینترنت از
وسایلی که ما داریم و ابر ما
و در ماژول نهایی ما درست است
بالاخره به ماژول نهایی رسید
ببینید من تخمین می زدم که ما حدوداً پنج نفر خواهیم رفت
ساعت امروز من فقط در حال انجام یک فرافکنی هستم
اینجا
شاید فقط یک تار موی ما تمام شود
چهار ساعت به نظر می رسد بین چهار
و پنج ساعت به نظر می رسد جایی که ما هستیم
امروز فرود می آییم اما بیایید نگاهی بیندازیم
در ماژول نهایی ما در مجازی vpn
شبکه های خصوصی ابتدا بیایید تشخیص دهیم
بین دسترسی از راه دور و سمت به سایت
vpns یک VPN دسترسی از راه دور جایی است که ما داریم
باید ببینیم لپ تاپ من اینجاست
من لپ تاپم را دارم این یکی از آن هاست
مک بوک جدید با این رنگ پخش می شود
می گویند مشکل اثر انگشت بدی دارد
نمی دونم می تونی ببینیش یا نه اما اوه
آنها شوخی نمی کنند که مطمئنا اینطور است اما من
عاشق لپ تاپم هستم و اگر در جاده هستم
و من می خواهم به طور ایمن ارتباط برقرار کنم
با یک سیستم دیگر من VPN دارم
نرم افزار در اینجا من می توانم یک VPN راه اندازی کنم
دستگاهی که در خانه من است یک
سرور VPN در آن تعبیه شده است تا بتوانم آن را راه اندازی کنم
یک ارتباط امن بین هر چیزی
اتاق هتلی که من در آن هستم و نگهبانی
لوازم خانگی در خانه من و اوه بله همینطور است
همه از طریق اینترنت رمزگذاری شده اند اما
من باید نرم افزاری روی لپ تاپم داشته باشم
برای انجام این کار اما اگر انجام دهم منظورم این است که یک
راه حل عالی من به فیزیکی محدود نیستم
مکان و من می توانم رمزگذاری شوم
ترافیک رمزگذاری شده ارسال شده از طریق
اینترنت و اوه حتی لازم نیست
لزوما نرم افزاری باشد که من نصب می کنم
می توانید از SSL بدون کلاینت در جایی که می روید استفاده کنید
یک پورتال و شما از طریق یک وب دریافت می کنید
رابطی که به آن دسترسی ایمن دارید
منابع انتخاب شده در یک سایت اما
معمولاً ما در حال نصب یک نرم افزار VPN هستیم
روی یک سیستم و این کمی است
کار اضافی پس اگر ما چه کار کنیم
فقط می خواهم دو دفتر را به هم وصل کنم
با هم ما یک شعبه در آن داریم
دفتر اصلی مقر ما
می توانید انجام دهید این است که روترها را در آن قرار دهید
سایت ها به عنوان نقاط پایانی در این VPN عمل می کنند
تونل به طوری که تمام دستگاه ها در
سایت های مختلف این شفاف است
آنها مجبور نیستند آنها را نصب کنند
نیازی به نصب نرم افزار VPN ندارند
آنها فقط با روتر خود به طور معمول صحبت کنند
می خواهم به دفتر مرکزی شماره برگردم
مشکلی که روتر قرار است آنها را دریافت کند
وجود دارد اما پیکربندی در آنها وجود دارد
روترهایی که در حال رفتن هستند
داده ها را به صورت رفت و برگشت رمزگذاری کنید
بین آن سایت هایی که یک سایت به
سایت VPN و
یادم می آید که در دهه 90 بود
زمانی که من با مشتری کار می کنم که
می خواستم سایت ها را به هم متصل کنم
احتمالا به چیزی شبیه به
گرفتن VPN نه VPN بلکه یک قاب
اتصال رله من بیشتر روی آن کار کرده ام
آنها از من بیش از آنچه که فکر می کنم اهمیت دارند
یک اتصال رله فریم یا شاید یک دستگاه خودپرداز
اتصال اگر شما واقعا bougie بازگشت
در روز یا شاید آن یک T1 مستقیم است
پیوند بین چند سایت همه اینها
گزینه ها واقعا گران بودند در حال حاضر ما
دسترسی نسبتا کم هزینه به
اینترنت یعنی فکر کنم صد میدم
دلار در ماه در خانه من برای فیبر ATT
و این یک کنسرت است، یک کنسرت بالا و پایین است
زمانی که من بودم چیزی شنیده نشده بود
پیوند دادن این مشاغل
در روز
بله بله واقعاً ارزان است و
برای بسیاری از مکان ها واقعا سریع است
به اینترنت بیایید از آن استفاده کنیم اما
بیایید این کار را ایمن با VPN و
این چیزی است که ما می توانیم با سایت انجام دهیم
سایت VPN و دوباره این خواهد شد
شفاف به دستگاه های نهایی ما در حال حاضر چه
من می خواهم این کار را انجام دهم و شما ممکن است بخواهید
برخی را بردارید و می خواهید یادداشت برداری کنید
در این مورد من فقط به شما می گویم
من می خواهم در مورد دو VPN مختلف صحبت کنم
پروتکل های GRE رایتینگ عمومی
encapsulation و ipsec کوتاه برای IP
امنیت ابتدا اجازه دهید در نظر بگیرید
پروتکل Jiri a Jury Tunnel a Jiri
تونل در آن فوق العاده انعطاف پذیر است
فقط در مورد هر نوع آه هر نوع
بسته ای که می توانیم ارسال کنیم از یک روتر
رابط ما می توانیم آن را در یک GRE قرار دهیم
تونل یک بسته GRE وجود دارد
که آن را کامل می کند برای من مهم نیست که باشد
unicast پخش چندپخشی من مهم نیست
اگر هست برای من مهم نیست که قدیمی باشد
جدید ipx یا اپل صحبت نمی کند
مهم است که آیا می توانید آن را از یک ارسال کنید
رابط روتر شما قادر خواهید بود
برای محصور کردن آن در داخل یک جیری
بسته فوق العاده انعطاف پذیر عالی است
خبر بد این است که به هیچ وجه امن نیست وجود دارد
بدون رمزگذاری با GRE این اصلاً نیست
امن بنابراین آه که نوع ما را می کشد
کل ایده ایمن بودن در سراسر
اینترنت نیست آه اینجاست
یکی دیگر در اینجا یک پروتکل است
بسیار امن آن را در نام آن IP است
امنیت یا ipsec این یک فوق العاده امن است
پروتکلی که قرار است به ما بدهد
محرمانگی در قالب
رمزگذاری مانند AES می تواند از آن استفاده کند
به ما هش بدهید شاید شاو بتواند این کار را انجام دهد
احراز هویت با کلیدهای از پیش مشترک یا
امضای دیجیتال و اگر کسی تلاش کند
به تلاش برای گرفتن بسته ها به عنوان بخشی از a
دنباله ورود معتبر و پخش آن ها
بعداً برای ورود به سیستم شخصی کار می کند
زیرا ipsec به نوعی تقریباً دادن است
مانند اعداد ترتیبی به بسته ها به عنوان
آنها فرستاده شده اند، بنابراین اگر من برگردم
بعداً و سعی کنید بسته های معتبر را پخش کنید
قبل از آن شماره های دنباله ای می روند
همه چیز از کار افتاده و اینطور نیست
قابل باور است بنابراین بسیار امن است
عالی
خبر بد و خبر بد این است که اینطور نیست
انعطاف پذیر است در حالی که GRE می تواند unicast را انجام دهد
پخش چندپخشی هر چه می خواستیم
ipsec به بسته های IP unicast محدود می شود
فقط این یک مشکل است که شرط می‌بندید این یک مشکل است
مشکل به این دلیل که اکثر ما راودی
پروتکل‌ها از چندپخشی if استفاده می‌کنند
من دارم سعی میکنم ospf کنم اونوقت میخوام باشم
ارسال ترافیک به چندپخشی
آدرس های
224.0.0.5 و
224.0.0.6 با uh با ریپ نسخه 2
224.0.0.9 eigrp
224.0.0.10 من فقط همه اینها را کشتم اگر من
سعی کنید آن را از طریق یک تونل IPC ارسال کنید
باشه بهش برمیگردیم
مشکل اما چیزهای جالب زیادی وجود دارد
در مورد ipsec اجازه دهید من بیشتر به شما ارائه دهم
ویژگی ها و سپس من به شما بگویم چگونه ما
می تواند این محدودیت را برطرف کند
اول از شما می خواهم این را بفهمید
دو حالت مختلف وجود دارد
ارتباط وجود دارد حالت حمل و نقل و
حالت تونل وجود دارد اکنون این یک است
معاوضه شما می توانید کمی بیشتر داشته باشید
امنیت
اما شما بیشتر سربار دریافت می کنید یا می توانید
امنیت کمی کمتر و کمتر دارند
سربار بنابراین یک عمل متعادل کننده است
حالت حمل و نقل برای شما مهمتر است
بسته های اصلی را نگه می دارد
هدر دست نخورده بنابراین منبع اصلی و
آدرس IP مقصد آنها هستند
آنها هنوز آنجا خواهند بود
با این حال دیده شود
با حالت تونل ما در حال کپسوله کردن آن هستیم
کل بسته از جمله اصلی
آدرس های IP مبدا و مقصد که
به این معنی است که اگر کسی قرار بود دستگیر شود
آن بسته و آنها قرار بود به آن نگاه کنند
منبع و مقصد IPS آنها را نمی خواهد
IPS واقعی سیستم های واقعی را ببینید
در مکالمه ای که انجام می دهند، شرکت می کنند
آدرس های IP را ببینید
نقاط انتهایی تونل VPN مانند
روترها به عنوان مثال
اوم بله، ما در حال اضافه کردن اطلاعات هدر هستیم
بنابراین سربار بیشتر اما کمی وجود دارد
امنیت کمی بهتر ما نیز می توانیم استفاده کنیم
احراز هویت یا احراز هویت و
رمزگذاری
و ما در اینجا چند گزینه داریم
ما می توانیم کاری به نام انجام دهیم
هدر احراز هویت
رمزگذاری نمی کند اما انجام می دهد
کل بسته IP را احراز هویت کنید
از جمله سربرگ بیرونی به عنوان
در مقایسه با امنیت کپسوله کردن
payload رمزگذاری را انجام می دهد اما
اوه، آن را احراز هویت نمی کند
هدر آن فقط احراز هویت می شود
بسته پس چه چیزی مهمتر است
شما معمولاً با ESP می روم
این چیزی است که من به آن عادت دارم
حالا وقتی یک تونل ipsec را در آنجا راه اندازی کردیم
دو مرحله شامل فاز Ike است
یک و فاز دو آیک در حال حاضر آن را دوست دارم
مخفف عبارت تبادل کلید اینترنتی است
و در فاز اول یک استعاره است
تا به حال برنامه تلویزیونی قدیمی را تماشا کرده اید یا اکنون است
اوم چند سال پیش به عنوان یک ظاهر شد
فیلم با استیو کارل باهوش شو
آیا آن یکی را دیده اید که من از طرفداران زیادی بودم
باهوش بودن در تلویزیون دوباره وارد شوید
روزهای قدیم و من عاشق فیلم اگر
شما ندیده اید که با استیو باهوش شوید
کارل خنده دار است، همینطور است
فوق العاده است و آیا شما تماشا می کنید
فیلم یا برنامه های تلویزیونی معمولاً یک
صحنه ای که مکس و مکسول اسمارت او
می خواهد با رئیس اوه و اوه صحبت کند
کنترل کند و او می خواهد با آن صحبت کند
رئیس از چیزی به نام uh استفاده می کند
مخروط سکوت و سپس تلویزیون قدیمی
نمایش مانند این چیز پلاستیکی بزرگ بود
که بالای سرشان آمد و
مانند این نوع حباب مجازی است
فیلم اما در مخروط سکوت
ایده این است که دو طرف قرار است باشند
قادر به صحبت با یکدیگر و هیچ کس
دیگری قادر به گوش دادن خواهد بود
آنها نمی توانند
آن مکالمه را استراق سمع کنید
زیرا آنها در زیر مخروط هستند
سکوت
در حال حاضر در فیلم ها و برنامه های تلویزیونی برای
شما از جنبه کمدی آن را هرگز نمی دانید
درست کار می کند
اما این چیزی است که در اینجا اتفاق می افتد
با I'd be sec من فاز یک نیز شناخته شده است
همانطور که فاز ایزوکامپ است
به صورت استعاری پایین آوردن مخروط از
سکوت در مورد این دو نقطه پایانی
و این به آنها یک خصوصی می دهد
کانال ارتباطی حالا چه خبر است
از طریق آن خصوصی ارتباط برقرار شود
کانال ارتباطی آن داده است
که میخواهیم بفرستیم هنوز نمیرویم
برای استفاده از امنیت آن مخروط از
تونل فاز یک ACT را خاموش کنید
در مورد پارامترهای ACT مذاکره کنید
تونل فاز 2 که ipsec واقعی است
تونل، بنابراین ما می توانیم بگوییم خوب است که من حمایت می کنم
من از این مجموعه از ویژگی های این پشتیبانی می کنم
مجموعه تبدیل
و
ام من از این این کپسولاسیون یا
من از این پروتکل رمزگذاری پشتیبانی می کنم
پشتیبانی از این پروتکل احراز هویت یا
همه چیزهایی که شما حمایت می کنید
گروه diffie-helman یک دو
همه پارامترها خواهند بود
در چارچوب حفاظت از آیک مذاکره شد
فاز یک تونل و سپس یک بار تونل
طرفین در مورد آنچه که قرار است به توافق برسند
برای رمزگذاری و برای استفاده شود
تمامیت
آنها می‌خواهند فاز یاک را راه‌اندازی کنند
دو تونل که همان تونل ipsec است
داده های واقعی ارسال می شود اما
بازگشت به پارادوکس بزرگی که داریم
از یک طرف ما GRE بسیار عالی داریم
از سوی دیگر انعطاف پذیر نیست
ما ipsec فوق العاده امن داریم
انعطاف پذیر فقط از IP unicast پشتیبانی می کند
ترافیک پس چیکار کنیم
چه می شود اگر هر دو را انجام دهیم
چرا ما انجام نمی دهیم
GRE و ipsec این چیزی است که من می توانیم
بسته اصلی ما را بگیرید برای من مهم نیست
پخش تک‌پخشی چندپخشی است
هر چه
ما آن بسته اصلی را می گیریم
و آن را درون یک GRE کپسوله کنید
بسته
بسته GRE چیست
این یک بسته IP unicast است
جایی که من با این می روم
آن بسته IP unicast را بگیرید و سپس
با امنیت ipsec از آن محافظت کنید
تونل، بنابراین ما هر چیزی که آن را در آن بپیچانیم، برداریم
یک بسته IP unicast یک بسته GRE که
سپس می توان داخل ipsec قرار داد
تونل، بنابراین ما می خواهیم از هر دو استفاده کنیم
از بهترین های هر دو جهان استفاده می کنیم
اینجا و به آن GRE روی ipsec می گویند
و من در ابتدا قصد داشتم
ایجاد یک GRE روی ipsec را نشان دهید
تونل با تو امروز و بعد من
متوجه شدم که جلسه ما قرار است باشد
نزدیک به پنج ساعت و اگر من
چند دموی اضافی اضافه کردیم
یک ساعت دیگر نگاه کردم و بعد من
یادت اومد میدونی چیه
من یک ویدیوی یوتیوب دارم که در آن
من این را تنظیم می کنم، بنابراین یک را ایجاد کردم
پیوند کوچکی برای شما که شما را به آن می برد
یک صفحه با چند دمو که من
فقط نمی خواستم وقت کلاس را صرف کنم
امروز اما اگر به kwtrain.com VPN بروید
خط تیره اولین ویدیوی مربوط به آن را نمایش می دهد
صفحه GRE نسبت به ipsec خواهد بود
و من به شما گام به گام نحوه تنظیم را نشان می دهم
آنچه را که ما به صورت تئوری در مورد آن صحبت کردیم
و ما آن را آزمایش می کنیم
ویدیوی دیگر قرار است در
آخرین موضوعی که ما فقط در یک
لحظه و آن پویا چند نقطه است
vpns من آن را از ابتدا تنظیم کردم
و در مورد چگونگی تأیید آن نوع صحبت کنید
اتصال VPN که به صورت پویا است
در واقع بیایید در مورد آن صحبت کنیم
موضوع آخر روز ما پویا است
vpns چند نقطه ای یا dmvpns ایده این است
این اگر من یک نقطه به چند نقطه
توپولوژی مانند این
شاید من همه اینها را مستقیم داشته باشم
اتصالات شاید اوه
نمی دانم مترو اترنت هستند یا نه
اتصالات شاید اتصالات pls اما
عملا من یک ارتباط از
دفتر مرکزی به شعبه a دارم یک
ارتباط از ستاد به
شاخه b و یک اتصال از
مقر به شعبه ج یا هر از گاهی
زمان
حتی اگر بیشتر ارتباطات
بین شعبه و شعبه می رود
مقر ممکن است مواقعی پیش بیاید که من
می خواهید مستقیماً از شعبه C به
شعبه ب
و در حال حاضر قرار است سنجاق سر باشد
آن را به بازگشت به
مقر و سپس باید به
شاخه b اگر بتوانم این کار را بکنم عالی است
که از طریق اینترنت به طور مستقیم با
سرعت مغز اینطور نیست اما من نمی خواهم
به پرداخت برای داشتن یک دائمی داشتن
مدار مجازی همیشه راه اندازی می شود
بین دو سایت ما اما زمانی که به آن نیاز دارم
من مطمئناً می خواهم یک پویا را مطرح کنم
VPN چند نقطه ای از طریق اینترنت اجازه دهید
زمانی که به آن نیاز داریم به صورت پویا آن را مطرح کنیم
و وقتی به آن نیاز نداریم، آن را پاره کنیم
این چیزی است که dmvpns به ما اجازه می دهد انجام دهیم
آنها به ما این امکان را می دهند که به صورت پویا در حال پرواز باشیم
یک تونل بین این دو ایجاد کنید
سایت ها و قرار است از چیزی استفاده کند
دوباره آن ویدیو را چند نقطه ای GRE نامید
و من آن لینک را دوباره در اینجا به شما می دهم
در یک لحظه اما آن ویدیو شما را راه می اندازد
از طریق نحوه راه اندازی یک GRE چند نقطه ای
رابط
و ایده این است که ما از این استفاده خواهیم کرد
پروتکل بعدی با وضوح بالا به
IP در دسترس عموم را مشخص کنید
آدرسی که باید این را با آن تنظیم کنیم
تونل پویا می بینید مشکل ما است
مواجهه چیزی شبیه به این است که من دارم
در شعبه a من یک خصوصی دارم
شبکه شاید آدرس 10 نقطه ای باشد
فضایی در شعبه b دارم شاید این باشد
فضای آدرس 172.16 و شاید ببینید
من دارم
192.168.1.0 24 فضای آدرس دارم
آدرس های IP خصوصی در سایت های من و
اگر من تبلیغات می کنم شاید مانند ospf یا
eigrp من در حال تبلیغ در هاب هستم
در اینجا شبکه هایی که من دارم و سپس وجود دارد
هاب آن را به ریموت دیگر رله می کند
سایت ها و می گویند اینجا شبکه هایی هستند که
برنت سی دارد
شعبه b ممکن است بگوید وای واقعاً
دوست دارم با آن شبکه صحبت کنم
گرانت سی
اما این یک آدرس IP خصوصی است
و من باید به آن از طریق عموم برسم
اینترنت چگونه کار می کند
من نمی توانم مسیر را به سمت
192.168.1.0 24 شبکه از طریق اینترنت
این خصوصی است RFC 1918 خصوصی است
آدرس دهی IP که کار نمی کند
نمی توان آن را بر روی عموم قرار داد
اینترنت بنابراین کاری که ما انجام می دهیم استفاده از اینترنت بعدی است
پروتکل با وضوح بالا
و در اینجا من در واقع از یک متفاوت استفاده می کنم
مجموعه ای از I از آدرس های IP خصوصی در این
به عنوان مثال، اما کاری که ما می خواهیم انجام دهیم این است
ما می خواهیم بگوییم
این پایگاه داده در مقر
هی اوه
اگر کسی بخواهد با آن یک تونل راه اندازی کند
من اینجا IP قابل مسیریابی عمومی من است
آدرس در خارج از روتر من که
می رود به اینترنت اینجا من است
آدرس IP قابل مسیریابی عمومی اگر آنها
می خواهم با آن یک تونل راه اندازی کنم
آدرس IP آره من بازی هستم بیایید
به صورت پویا یک تونل راه اندازی کنید و سپس
آنها می توانند به آدرس های IP خصوصی دسترسی پیدا کنند
در شبکه من، بنابراین در اینجا پایگاه داده است
در روتر Hub ما می بینیم
ما آدرس IP را می بینیم که قرار است باشد
در انتهای دیگر تونل
آدرس IP خصوصی و ما می بینیم
آدرس IP قابل مسیریابی به صورت فیزیکی
که برای راه اندازی آن تونل از آن استفاده خواهیم کرد
اجازه دهید یک مثال را مرور کنیم
بگو که اوه
که R4 در Brick C می خواهد با آن صحبت کند
این شبکه 10 نفره یا می خواهد با آن صحبت کند
آدرس IP 10.0.0.2 که I
باور کنید که روتر شاخه B بود
می خواهد با آن یک تونل راه اندازی کند
با این حال آن را به طور عمومی نمی داند
آدرس IP قابل مسیریابی برای استفاده از آن برای ارسال
یک پروتکل با وضوح بالا بعدی در hrp ایجاد کنید
پرس و جو می گوید هی IP عمومی چیست
آدرسی که می توانم برای رسیدن به 10.0.0.2 استفاده کنم و
هاب می گوید اوه می خواهی بروی صحبت کنیم
به آه
203.0.113.1 R3 که به صورت عمومی است
آدرس IP گرد گرد به صورت پویا R4
قرار است این لینک را با R3 راه اندازی کند
آن را به صورت پویا تشکیل می دهد
تونلی که پس از آن اجازه می دهد
کاربران در مغز C برای رسیدن به خصوصی
فضای آدرس IP در داخل شعبه b بالای آن
اگر بخواهید دوباره آن تونل پویا
گام به گام ببینید که چگونه همه چیز تنظیم شده است
فقط به دموهای خط تیره VPN kwtrain.com بروید
و من آن دو نسخه دمو VPN را در اختیار دارم
برای شما اولین GRE تمام شده است
ipsec و یکی در حال راه اندازی وجود دارد
وی پی وی های پویا چند نقطه ای خواهد داشت
اضافه شده احتمالا بیش از یک ساعت به داشتن
تمام کارهایی که امروز برای شما زندگی می کنند انجام دادم
ما در حال حاضر با هم کنار می آییم پس می رویم
به جلو و به شما اجازه تماشای آن به عنوان
تکلیف همه خوب است که می رود
به ام
که قرار است همه چیز را برای ما جمع بندی کند
پخش اینترنتی ما و برای شما
تماشای ما در پخش مجدد YouTube که می خواهم
برای تشکر بزرگ از شما برای شما
سرمایه گذاری زمانی بزرگ من مطمئنا امیدوارم
ارزشش را داشت که با آن صحبت کنیم
شما دفعه بعد