TCP/IP 模型与常见端口

OSI（开放系统互连）模型将网络通信划分为七个层次：Physical、Data Link、Network、Transport、Session、Presentation 和 Application。每一层都有明确的用途，并且只与其正上方和正下方的层通信。安全控制可以应用于任何层，因此理解该模型有助于您确定特定攻击或防御所处的层次。助记语“Please Do Not Throw Sausage Pizza Away”可以帮助您从底层到顶层记住这些层次。

TCP/IP 模型（也称为 DoD 模型）将 OSI 层次压缩为四层：Network Access（OSI 第 1–2 层）、Internet（OSI 第 3 层）、Transport（OSI 第 4 层）和 Application（OSI 第 5–7 层）。现实中的大多数网络和安全分析都使用 TCP/IP 术语。理解两个模型之间的对应关系对于 Security+ 至关重要，因为考试题目在描述攻击或控制所处位置时，可能会引用其中任意一个模型。

IP 地址用于在网络中唯一标识设备。IPv4 使用 32 位地址，并以点分十进制表示法书写（例如 192.168.1.10）；IPv6 使用 128 位地址。子网掩码决定地址的哪一部分标识网络，哪一部分标识主机。CIDR 表示法（例如 /24）可以简洁地表示子网掩码。安全专业人员使用子网划分网络，并限制不同信任区域之间的流量流向。

在通过 TCP 交换数据之前，三次握手会建立连接：客户端发送SYN，服务器回复SYN-ACK，客户端再通过ACK完成这一过程。攻击者会在 SYN 洪水 DoS 攻击中利用这一序列：发送大量 SYN 数据包却不完成握手，从而耗尽服务器资源。了解正常的握手行为，有助于分析人员在数据包捕获结果和 SIEM 日志中发现异常。

UDP（用户数据报协议）是一种无连接传输协议，无需先建立会话即可发送数据包。由于没有确认或重传机制，它比 TCP 更快，但可靠性更低。DNS、DHCP、NTP 和 SNMP 等服务使用 UDP，是因为低延迟比保证数据送达更重要。其安全影响包括基于 UDP 的放大攻击：攻击者发送很小的请求，却能生成大量响应，从而压垮受害者。

知名端口（0-1023）由 IANA 分配，供常见服务使用。记住其中最重要的端口对于通过 Security+ 考试至关重要。端口 22 是 SSH，端口 443 是 HTTPS，端口 80 是 HTTP，端口 25 是 SMTP，端口 53 是 DNS。了解服务使用哪个端口，有助于分析人员区分合法流量与攻击，并编写准确的防火墙规则。

注册端口（1024-49151）供需要使用固定端口、但不要求特权的应用程序使用。例如，3389（RDP）、3306（MySQL）、1433（MSSQL）和8080（备用 HTTP）。Dynamic（临时）端口（49152-65535）由 OS 临时分配给客户端连接。攻击者有时会在编号较高的端口上运行恶意服务，以避开只阻止知名端口的防火墙规则。

ICMP（互联网控制消息协议）用于诊断和错误报告。ping命令使用 ICMP Echo Request/Reply 来测试可达性。ICMP 虽然很有用，但也可能被利用：ping 扫描可以发现活动主机，ICMP 重定向消息可能操纵路由表，而隐蔽通道可以将数据隐藏在 ICMP 负载中。许多组织会在网络边界阻止 ICMP，同时在内部允许 ICMP 以便进行故障排查。

ARP（地址解析协议）用于在本地网络网段中将 IP 地址映射为 MAC 地址。当主机希望向 192.168.1.1 发送流量时，会广播 ARP 请求并询问“谁拥有 192.168.1.1？”，该地址的所有者则会使用自己的 MAC 地址进行回复。ARP 没有身份验证机制，因此容易受到ARP 欺骗（也称为 ARP 中毒）的攻击。攻击者会发送伪造的 ARP 回复，将流量重定向到自己的机器，从而发动中间人攻击。

DNS（域名系统）会将人类可读的主机名（www.example.com）转换为 IP 地址。DNS 查询会经过一个层级结构：客户端向递归解析器发起查询，递归解析器再依次查询根服务器、TLD 服务器和权威名称服务器。其安全影响十分显著：DNS 缓存中毒会插入伪造记录，DNS 隧道会将数据编码到查询中，以窃取数据或连接 C2 服务器，而域名仿冒会注册外观相似的域名来诱骗用户。

分析 TCP/IP 流量的两个必备工具是 Wireshark 和 Nmap。Wireshark 是一种数据包分析器，可让您检查单个帧、按协议进行筛选，并跟踪 TCP 流以重建会话。Nmap 是一种网络扫描器，可以识别活动主机、开放端口、正在运行的服务以及 OS 版本。二者结合后，可以让安全专业人员了解网络中实际传输的内容，从而检测异常并确认防火墙规则是否按预期工作。

测试您对本课 CompTIA Security+（SY0-701）概念的理解。

在本课中，您学习了以下内容：OSI 和 TCP/IP 模型描述了网络层，安全控制在这些网络层上运行；知名端口（0-1023）用于标识常见服务，必须在考试前记熟；而ARP、DNS 和 ICMP 等协议各自带来独特的安全风险，包括欺骗、缓存中毒和隧道传输。接下来，我们将学习防火墙以及它们如何筛选网络流量。