简介《网络安全课件》PPT为面向高校网络安全课程教学与自学入门的文档资料覆盖网络攻防技术、网络协议、操作系统、网络程序开发工具等基础模块。课件从信息安全与网络安全概念入手梳理蠕虫、木马、拒绝服务、僵尸网络、网络钓鱼等常见威胁并介绍P2DR安全模型、系统安全配置、加密、防火墙与入侵检测等防御手段协议部分还对OSI参考模型、TCP/IP协议栈、IEEE 802体系做了系统讲解。包体仅含1个PPT文件压缩包大小1.31MB便于直接下载用于课堂演示或考前复习。已有554人学习下载内容结构清晰、知识点密集适合网络安全初学者建立整体认知也可供讲授网络基础或信息安全课程的教师参考引用。1. 一份被低估的网络安全课件先看它到底装了什么先说一个反直觉的结论想入门网络安全别急着去刷漏洞利用视频先找一份能把「攻击、防御、协议、系统」串起来的基础课件把框架立住。这份 2021 年年中更新的《网络安全课件ppt.ppt》就是这样一个货真价实的教学底稿五个板块从网络攻防技术、网络协议、操作系统一路讲到 VC6/VS2008 开发工具和软件开发流程。它把病毒、蠕虫、木马、僵尸网络、DoS/DDoS、网络欺骗这些威胁按「中断 / 伪造 / 修改 / 侦听」分类又落到 P2DR 安全模型和防火墙、入侵检测这些防御动作上。适合三拨人网安在校生、半路转岗的开发者、要快速搭课纲的培训讲师。看完你至少能回答三个问题威胁怎么分类、协议哪一层容易被骗、防御从哪里下手。2. P2DR 模型把零散的威胁清单串成一套安全打法2.1 先分清威胁病毒、蠕虫、木马不是同一类东西课件里那串威胁名词——病毒、蠕虫、木马、间谍软件、僵尸网络、DoS、钓鱼、流氓软件、网络欺骗——如果只是背定义背完就忘。我一般让学生先按「破坏了什么属性」归类课件里已经给了线索中断破坏可用性伪造破坏真实性修改破坏完整性侦听破坏保密性。这么一归威胁就分成了四条线威胁类型破坏的属性典型特征防御落点DoS / DDoS可用性大量伪请求导致服务超载流量清洗、连接数限制木马 / 间谍软件保密性后台窃取口令、监控行为主机审计、外联管控病毒 / 蠕虫完整性与可用性感染文件、自我复制传播补丁管理、邮件网关钓鱼 / 垃圾邮件保密性诱导用户主动交出信息内容过滤、安全意识僵尸网络可控性被远程控制组成攻击军团异常流量监测、终端检测同样是「进来」病毒要寄生在宿主程序里蠕虫自己是独立进程还借文件传输能力扩散木马是开了后门等你连同样是「偷」间谍软件在后台监控钓鱼是骗你自己交出来。课件里把僵尸网络单独拿出来强调是因为僵尸程序难以被发现还能被遥控组成「僵尸军团」去打 DDoS。把这些威胁归类到 P2DR 的四个框里你才知道做实验时自己当前在处理哪一环——是在策略上该管还是该上防护或者该补检测。2.2 把 Detection 和 Response 做出动静一个最小告警脚本P2DR 里最容易理解的是 Protection最容易忽略的是 Detection 和 Response。很多人以为装了防火墙就完事忽略了「是否检测到了、是否响应了」。课件里那张 P2DR 模型图是概念要让它活过来我一般会在实验室里放一个最小的失败登录监控脚本用真实日志演示「检测」这一步。#!/usr/bin/env python3 # 文件:ssh_failed_monitor.py # 作用:统计SSH失败登录次数,超过阈值就告警,演示P2DR里的DetectionResponse import subprocess import sys threshold int(sys.argv[1]) if len(sys.argv) 1 else 5 # 触发告警的阈值 window sys.argv[2] if len(sys.argv) 2 else last hour # 统计时间窗口 # 抓取systemd日志里的Failed password行 cmd journalctl -u ssh --since window --no-pager | grep Failed password try: output subprocess.check_output(cmd, shellTrue, universal_newlinesTrue) except subprocess.CalledProcessError: output count len([line for line in output.splitlines() if line.strip()]) print(f窗口内失败登录次数: {count} 次, 阈值: {threshold} 次) if count threshold: print([ALERT] 疑似口令爆破, 建议临时限制来源IP访问) else: print([INFO] 当前处于正常范围)逻辑说明脚本先用journalctl抓取最近一段时间内 SSH 服务的日志再用grep Failed password过滤出认证失败记录统计行数后与阈值比较超过阈值就打印告警提示。这段代码把 P2DR 里的 Detection统计失败次数和 Response告警建议变成可观测的输出比只背模型图直观得多。参数说明threshold默认 5 次意思是 5 次失败就告警window默认是last hour统计最近一小时。实际用的时候可以把阈值调成 3、窗口调成30 min做更频繁的观察。如果你的系统没有 systemd日志在/var/log/auth.log把cmd那行改成读文件再 grep 即可。2.3 把四要素落到实验室的三个动作课件里的 P2DR 画得很完整但落地时我习惯拆成三个动作先写策略再做保护最后接检测响应。策略不是口号就是一条可执行的基线语句比如「SSH 禁止 root 直接登录口令登录最多允许失败 3 次」。写成配置就是/etc/ssh/sshd_config里的PermitRootLogin no和MaxAuthTries 3。保护动作我一般交给 fail2ban 去做它本身就是 P2DR 里 Protection 和 Response 的组合体。# /etc/fail2ban/jail.local [sshd] enabled true port 22 maxretry 3 bantime 3600 findtime 600逻辑说明maxretry 3表示在findtime定义的时间窗口内允许的最大失败次数超过 3 次就触发封禁bantime 3600是封禁 3600 秒。把这套配置和 2.2 的监控脚本放一起就是完整的最小闭环策略限定行为保护限制入口检测发现异常响应执行封禁。做完这一步再回看课件里那张 P2DR 图它就从一个黑匣子变成了一条看得见的数据流。3. 网络协议与攻击面从 TCP/IP 分层到安全协议的选择3.1 分层不是背概念TCP/IP 每一层都是一张攻击面课件里把 OSI 七层和 TCP/IP 四层并列讲目的不是让你背协议名而是让你知道攻击发生在哪一层。网络接口层对应 ARP 欺骗网际层对应 IP 欺骗和 ICMP 异常传输层对应 SYN 洪泛和 TCP 会话劫持应用层对应 DNS 欺骗和 HTTP 注入。课件里「网络欺骗」那一页提到的 ARP 欺骗、IP 欺骗、DNS 欺骗和 TCP 劫持正好是四个不同层次上的典型手法。我上课时有个习惯每讲一层协议就让学生回答「如果这一层被欺骗上面会看到什么现象」。比如 ARP 被欺骗后受害主机的流量会先经过攻击者再转发表现为网络延迟异常但业务不断TCP 被劫持后会话可能凭空中断服务端却依然认为连接活着。把分层和攻击面绑定之后再去看课件里的协议栈图它就不再是考试提纲而是一张「哪里能被打」的地图。3.2 亲手抓一次包三次握手和过滤表达式协议这东西看十遍不如自己抓一遍。我一般让学生先装 Wireshark再用命令行抓包验证三次握手。# 抓取本机网卡上的TCP流量,只看30个包 sudo tcpdump -i eth0 -nn tcp -c 30逻辑说明-i eth0指定抓包网卡换成你自己的实际网卡名-nn表示不做域名和端口反向解析避免 DNS 查询干扰结果tcp是过滤表达式只保留 TCP 包-c 30抓到 30 个包自动退出防止抓包文件刷爆磁盘。执行后在另一台机器上访问一个 HTTP 站点就能看到 SYN、SYN/ACK、ACK 的三次握手过程。Wireshark 里我常用的显示过滤器是tcp ip.addr 192.168.1.10 tcp.port 80它把目标机器 80 端口的 TCP 流量全部筛出来配合「Follow TCP Stream」可以完整看到一次 HTTP 请求的交互过程。这里要提醒两点一是网上大部分站点已经走 HTTPS抓下来是密文你看不到明文内容所以练习时最好起一个本地 HTTP 服务二是抓包一定要在自建实验网里做不要跑到别人网络里去嗅探。如果想把协议讲得更深一点我会用 Scapy 构造一个 SYN 包来观察握手行为。注意这个脚本只发给自己的测试机不是拿来扫公网的。#!/usr/bin/env python3 # 文件:syn_handshake.py # 作用:构造TCP SYN包,观察目标是否回应SYN/ACK,验证端口状态 # 注意:仅在自建虚拟机/靶场中使用,不要对公网目标发送 from scapy.all import IP, TCP, sr1, conf conf.verb 0 dst 192.168.56.10 # 目标IP,按自己实验网修改 dst_port 80 # 目标端口 syn IP(dstdst) / TCP(dportdst_port, flagsS, seq1000) response sr1(syn, timeout3) if response is None: print(没有收到响应: 目标不可达或被防火墙丢弃) elif response.haslayer(TCP) and response[TCP].flags 0x12: # 0x12 SYNACK print(f收到SYN/ACK: 目标端口{dst_port}开放, 三次握手可完成) else: print(收到异常响应, 目标端口可能被过滤)逻辑说明脚本构造了一个 TCP SYN 包seq1000是起始序号发出去后等待响应。如果收到 SYNACK 标志位说明目标端口开放如果超时无响应说明目标不可达或防火墙丢弃了探测包。这里判断用的是flags 0x120x12 是 SYN 和 ACK 两个标志位的组合值这是 TCP 头标志位的基础运算建议照着 Wireshark 里的包确认一下。参数说明dst和dst_port按实际环境修改多网卡机器要给sr1加iface参数指定网卡否则可能用错网卡导致收不到响应。脚本依赖 Scapy安装命令是pip install scapy。3.3 安全协议对照哪些还能用、哪些已经退役课件最后列了一组安全协议对新手来说容易看花眼。我把它整理成一张「现状表」按 TCP/IP 层次归类顺便标了哪些还值得投入精力分层协议当前状态应用层SSH、S/MIME、PGP仍在广泛使用应用层S-HTTP、PEM基本被 TLS 和 S/MIME 取代传输层SSL已退役由 TLS 1.2/1.3 接替传输层TLS、SOCKS V5TLS 是当前 HTTPS 的基础网络层IPSec仍是 IETF 标准的网络层加密方案链路层PPTP / L2F / L2TPPPTP 已不推荐L2TP 多与 IPSec 搭配我的建议是主攻 TLS 和 IPSec 两条线TLS 对应你每天访问的 HTTPS 和邮件加密IPSec 对应站点间通信和远程接入场景。课件里的 SSL-Telnet、SSL-POP3 这些写法现在的落地形态就是 STARTTLS 和隐式 TLS 端口概念一致只是协议版本从 SSL 换成了 TLS。把「应用层加密靠 TLS、网络层加密靠 IPSec、链路层使用隧道协议」这条主线理清楚比挨个记缩写有意义得多。4. 防御技术落地从配置加固到防火墙与入侵检测4.1 系统安全配置先把服务面收窄课件里的防御技术第一条就是系统安全配置这句话听上去平平无奇但绝大多数翻车都是从「默认安装」开始的。Windows 上常见的问题是 Guest 账号被启用、Server 服务暴露到公网Linux 上常见的问题是开了 Telnet、rlogin 这类明文协议。我拿到一台实验机会先跑一遍服务清单# 列出所有开机自启的服务 systemctl list-unit-files --typeservice --stateenabled # 如果有远程管理需求,先确认SSH配置 grep -E PermitRootLogin|MaxAuthTries /etc/ssh/sshd_config # 关闭明确的明文远程协议 systemctl disable --now telnet.socket rlogin.socket逻辑说明list-unit-files看的是系统里所有 enabled 状态的服务是排查「多开了什么」最快的入口sshd_config的PermitRootLogin和MaxAuthTries决定远程登录的风险等级。关闭 Telnet 和 rlogin 是因为它们用明文传输口令抓包即泄露这套动作做完服务面就收窄了一大半。Windows 端常见做法是禁用 Guest、关闭不用的服务、开启审核策略这三个动作和 Linux 的systemctl disable是同一个思路先减面再谈防御。4.2 加密技术区分传输加密和静态数据加密课件里把加密技术列为防御手段之一但有个边界新手容易混淆传输加密保护的是数据在网络上流动的过程静态数据加密保护的是数据落盘之后的状态。两者解决的不是同一个问题。做实验时我一般先用 SSH 密钥登录演示传输加密# 生成ed25519密钥对,-t指定算法,-C加注释便于识别 ssh-keygen -t ed25519 -C student-lab # 复制公钥到目标主机,之后登录不再需要口令 ssh-copy-id student192.168.1.20逻辑说明ssh-keygen -t ed25519生成一对基于 Ed25519 算法的密钥比传统 RSA 短且更安全ssh-copy-id把公钥追加到目标主机的authorized_keys之后登录时客户端用私钥签名、服务端用公钥验证口令不再上网络传输。这正好解释了课件里 SSH 那条安全协议为什么能替代 rlogin。静态数据加密的常见做法是给磁盘做 LUKS 加密或给重要文件自己做加密备份实验阶段知道这条线存在即可不必一上来就上全套。4.3 防火墙iptables 的规则顺序决定你翻不翻车防火墙是课件防御技术里的第三条我见过最多的坑是「顺手把默认策略设成 DROP然后 SSH 断了」。iptables 规则是有顺序的匹配到第一条就不会继续走所以正确姿势是先放行必要流量再收紧默认策略。# 放行已建立的连接,避免把自己踢下线 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 放行回环接口 iptables -A INPUT -i lo -j ACCEPT # 只允许内网网段访问SSH iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT # 最后设默认策略为DROP iptables -P INPUT DROP逻辑说明第一条规则放行所有已建立连接和关联连接保证你当前这条 SSH 会话不断第二条放行回环本地进程通信不受影响第三条把 22 端口的访问源限制在192.168.1.0/24内网段最后才把默认策略设为 DROP。顺序反了规则一执行 SSH 立刻断你只能去控制台救回来这是血泪经验。参数说明-s 192.168.1.0/24的网段按自己实验环境改需要开放 HTTP 就加一条iptables -A INPUT -p tcp --dport 80 -j ACCEPT放在 DROP 之前。实验环境里建议先用iptables -L -n -v确认规则落库再重启网络服务验证一遍别在远程机器上盲改。4.4 入侵检测给实验室装一个会自动叫的哨兵防火墙挡在前面但如果内部已经被渗透总得有个东西能报警。课件里的入侵检测讲得比较概念化我落实验证时用的是 Snort写一条被学术界和实战都验证过的规则# /etc/snort/rules/local.rules alert tcp $EXTERNAL_NET any - $HOME_NET 22 \ (msg:SSH brute force attempt detected; \ flow:to_server, established; \ detection_filter:track by_src, count 5, seconds 60; \ sid:1000002; rev:1;)逻辑说明这条规则监控外部网络到内网 22 端口的 TCP 连接flow:to_server, established表示只分析已经建立的连接detection_filter是 Snort 的检测过滤含义是同一个来源 IP 在 60 秒内建立 5 次以上 SSH 连接就触发告警这也是判断口令爆破的常见基线。告警信息会落入 Snort 的 alert 日志配合 2.2 的脚本就是完整的检测响应链路。参数说明$EXTERNAL_NET和$HOME_NET是 Snort 配置文件里的网络变量count 5和seconds 60可以按场景调整内网环境通常设得更严格。Snort 部署在旁路镜像口更安全接在串联位置规则写错会直接丢流量新手实验阶段我建议先用镜像口。5. 避坑照着课件动手时最容易翻车的五件事照着这份课件上手真正劝退人的往往不是概念而是环境和工具的坑。下面五条是我自己带实验踩过的按「现象→原因→解决」写清楚。第一件事VC6 装好了代码一编译就报错。现象课件要求安装 VC6 或 VS2008学生在新电脑上装完 VC6打开网络编程示例编译直接报找不到头文件或fatal error C1083。原因VC6 是上世纪九十年代末的产物对 Windows 10/11 的 SDK 和路径长度兼容性极差课件是 2021 年更新的但开发工具栏仍保留了老教材的 VC6 传统。解决换 VS2008 或 VS2019代码逻辑不用改如果必须用 VC6把安装目录放到纯英文短路径并用兼容模式运行。我的建议是直接上 VS2019C 语言和 Winsock 程序都能正常编译省掉大量环境折腾。第二件事在物理机上跑病毒样本演示主机中招。现象课件讲病毒蠕虫时有人直接下载样本在 Windows 物理机上双击运行结果主机被感染文件被加密或桌面弹广告。原因没有做环境隔离直接把教学验证当成普通软件运行。解决所有恶意样本演示必须在虚拟机里做VMware 或 VirtualBox 都行网络模式选 host-only保证虚拟机之间能通信但不影响物理网络。开虚拟机前先拍一个快照演示完恢复快照这是后悔药没有快照的恶意样本实验就是在赌命。第三件事抓包抓了半天只看到三次握手看不到 HTTP 内容。现象按 3.2 的命令抓包TCP 包能看到但应用层数据是乱码或干脆看不到。原因你访问的站点是 HTTPS应用层数据被 TLS 加密了或者过滤表达式没有筛对端口和 IP抓到了无关流量。解决实验时访问本机或实验网内的明文 HTTP 服务不要在抓 HTTPS确认过滤表达式是tcp ip.addr 目标IP tcp.port 80并且目标端口和实际访问端口一致。如果只想看握手tcp.port 80配合三次握手标志位过滤器就够。第四件事把课件里的 P2DR 模型直接当生产安全基线用。现象学完课件后给公司或自己的服务器套 P2DR 体系几个月后被安全审计发现大量漏洞质疑「检测和响应在哪」。原因课件是 2021 年的教学框架覆盖的是经典威胁没讲 0-day、供应链攻击、AI 生成钓鱼这些新场景把它当完整基线用遗漏面太大。解决把课件当入门骨架生产环境要叠加漏洞情报源和基线检查工具常见做法是用 Lynis 或 OpenSCAP 做系统基线审计再把威胁情报源接进告警平台。课件的价值是让你理解模型不是让你拿它当等保整改依据。第五件事讲 TCP 劫持时对着课件图讲得云里雾里。现象对着 PPT 里的 TCP 劫持示意图讲学生问一句「攻击者怎么知道序列号的」当场卡壳。原因自己没抓过包没验证过序号变化过程概念停留在图里。解决动手前先按 3.2 的 Scapy 脚本发一个 SYN 包在 Wireshark 里看 seq 和 ack 的变化再对照 PPT 讲。从那以后我每次讲协议安全都强制自己先抓一遍包再上讲台课件里也留了几处「请自行抓包验证」的标记。6. 把课件变成自己的课从 PPT 到大纲、靶场和验证这份课件最大的价值不在 PPT 本身而在你能不能用它搭出一套自己的学习路线或培训课。我动手时会先把五个板块拆成一张「模块→实验→验证标准」的映射表每学完一块就要求自己交一个可验证的结果模块对应课件内容实验动作验证标准攻防基础与 P2DR1.1 网络攻防技术在靶场复现病毒/木马/僵尸网络案例能画出威胁分类树协议与抓包1.2 网络协议抓三次握手和一次 HTTP 请求能解释 TCP 标志位含义操作系统加固1.3 操作系统关闭多余服务、配置 SSH 策略加固前后端口对比差异防火墙与 IDS1.4 网络程序开发工具用 iptables 限制访问、Snort 告警能模拟一次扫描并触发告警综合演练1.5 软件开发过程完成一次攻击-检测-响应闭环输出一份实验报告搭建靶场时我一般用 VMware 开三台虚拟机一台 Kali 当攻击机一台 Windows 7 当目标机一台 Ubuntu 当防御和服务端网络模式全部选 host-only。三台机组成完全隔离的私有网络不影响物理网络快照在实验前必须拍好。想走赛事路线的把面向网络安全赛事的靶场题和这张表对照着刷效率比海量刷题高后续想往 SRC 方向和就业岗位靠的也能在这张表的基础上往上叠渗透测试和代码审计的内容——但前提永远是在授权靶场里练不在任何未授权的网络里做验证。这套课件里有一点我一直觉得挺值它没把攻击和防御拆成两门课讲而是放在一个章节里对照着铺开攻击手段讲完马上接防御技术和安全协议能让新手快速建立起「攻防一体」的视角。如果你也要带一门网安入门课或者正在自学打算转岗这份 2021 年的课件值得拿回去当底稿把框架拆出来再按上面那张映射表往里填自己的实验内容。我第一次讲 TCP 劫持时对着课件图讲到一半被学生问住回去花了一晚上抓包验证才把序列号的变化过程真正讲清楚。从那以后我每次讲协议安全都强制自己先抓一遍包再上讲台希望帮到你。本文还有配套的精品资源点击获取
