信息安全考試重點(diǎn)

第1章信息安全概述被動(dòng)攻擊：攻擊者在未被授權(quán)的情況下，非法獲取信息或數(shù)據(jù)文件，但不對數(shù)據(jù)信息作任何修改。被動(dòng)攻擊手段：搭線監(jiān)聽、無線截獲、其他截獲、流量分析阻止被動(dòng)攻擊：加密對付被動(dòng)攻擊的重點(diǎn)是預(yù)防，不是檢測被動(dòng)攻擊使得機(jī)密信息被泄露，破壞了信息的機(jī)密性主動(dòng)攻擊：包括對數(shù)據(jù)流進(jìn)行篡改或偽造主動(dòng)攻擊四種類型：偽裝、重放、消息篡改、拒絕服務(wù)偽裝、重放、消息篡改，破壞了信息的完整性，拒絕服務(wù)，破壞了信息系統(tǒng)的可用性信息安全的目標(biāo)：機(jī)密性：Confidentiality，指保證信息不被非授權(quán)訪問。完整性：Integrity，指信息在生成、傳輸、存儲(chǔ)和使用過程中不應(yīng)被第三方篡改?？捎眯裕篈vailability，指授權(quán)用戶可以根據(jù)需要隨時(shí)訪問所需信息。其它信息安全性質(zhì)：可靠性，不可抵賴性，可審查性，可控性信息安全基礎(chǔ)研究的主要內(nèi)容：密碼學(xué)研究和網(wǎng)絡(luò)信息安全基礎(chǔ)理論研究密碼理論是信息安全的基礎(chǔ)，信息安全的機(jī)密性，完整性和抗否認(rèn)性都依賴密碼算法密碼學(xué)的主要研究內(nèi)容是：加密算法（保護(hù)信息機(jī)密性）消息認(rèn)證算法（保護(hù)信息的完整性）數(shù)字簽名算法（保護(hù)信息的抗否認(rèn)性）密鑰管理網(wǎng)絡(luò)攻擊方式：泄密：將消息透露給未被授權(quán)的任何人或程序傳輸分析：分析通信雙方的通信模式偽裝：欺詐源向網(wǎng)絡(luò)中插入一條消息內(nèi)容修改：對消息內(nèi)容進(jìn)行插入、刪除、轉(zhuǎn)換或修改順序修改：對通信雙方的消息順序進(jìn)行插入、刪除或重新排序計(jì)時(shí)修改：對消息的延時(shí)和重放發(fā)送方否認(rèn)：發(fā)送方否認(rèn)發(fā)過來某消息接收方否認(rèn)：接收方否認(rèn)接收到某消息安全理論的主要內(nèi)容：身份認(rèn)證、授權(quán)和訪問控制、安全審計(jì)和安全協(xié)議安全技術(shù)：防火墻技術(shù)、漏洞掃描和分析、入侵檢測、防病毒等平臺(tái)安全：物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、數(shù)據(jù)安全、用戶安全和邊界安全物理安全是指保障信息網(wǎng)絡(luò)物理設(shè)備不受物理損害，或是損壞時(shí)能及時(shí)修復(fù)或替換，通常是針對設(shè)備的自然損害、人為破壞或?yàn)?zāi)害損害而提出的網(wǎng)絡(luò)安全的目標(biāo)是防止針對網(wǎng)絡(luò)平臺(tái)的實(shí)現(xiàn)和訪問模式的安全威脅信息安全管理研究：安全策略研究，主要內(nèi)容包括安全風(fēng)險(xiǎn)評估、安全代價(jià)評估、安全機(jī)制的制定以及安全措施的實(shí)施和管理等安全策略是安全系統(tǒng)設(shè)計(jì)、實(shí)施、管理和評估的依據(jù)安全標(biāo)準(zhǔn)研究，主要內(nèi)容包括安全等級劃分、安全技術(shù)操作標(biāo)準(zhǔn)、安全體系結(jié)構(gòu)標(biāo)準(zhǔn)、安全產(chǎn)品測評標(biāo)準(zhǔn)和安全工程實(shí)施標(biāo)準(zhǔn)等安全測評研究，主要內(nèi)容有測評模型、測評方法、測評工具、測評規(guī)程等第2章密碼學(xué)基礎(chǔ)1.研究各種加密方案的學(xué)科稱為密碼編碼學(xué)，加密方案則被稱為密碼體制或者密碼，研究破譯密碼的學(xué)科稱為密碼分析學(xué)數(shù)據(jù)安全基于密鑰而不是算法的保密，也就是說，對于一個(gè)密碼體制，其算法是可以公開的，但具體對于某次加密過程中所使用的密鑰則是保密的根據(jù)密鑰的使用方式分類：對稱密碼體制（秘密鑰密碼體制）和非對稱密碼體制（公鑰密碼體制）對稱密碼體制分為兩類：序列密碼或流密碼，分組密碼攻擊密碼體制一般有兩種方法：密碼分析和窮舉攻擊窮舉攻擊是指攻擊者對一條密文嘗試所有可能的密鑰，直到把它轉(zhuǎn)化成為可讀的有意義明文4.攻擊類型攻擊者擁有的資源惟密文攻擊（難度最大）加密算法截獲的部分密文已知明文攻擊加密算法，截獲的部分密文和相應(yīng)的明文選擇明文攻擊加密算法加密黑盒子，可加密任意明文得到相應(yīng)的密文選擇密文攻擊加密算法解密黑盒子，可解密任意密文得到相應(yīng)的明文如果無論有多少可以使用的密文，都不足以唯一地確定在該體制下地密文所對應(yīng)的明文，則此加密體制是無條件安全的加密算法應(yīng)該至少滿足下面的兩個(gè)條件之一：破譯密碼的代價(jià)超出密文信息的價(jià)值破譯密碼的時(shí)間超出密文信息的有效期滿足上述兩個(gè)條件之一的密碼體制被稱為在計(jì)算上是安全的第3章對稱密碼體制雪崩效應(yīng)：明文或密鑰的微小改變將對密文產(chǎn)生很大的影響弱密鑰：DES算法在每次迭代時(shí)都有一個(gè)子密鑰供加密用，如果一個(gè)外部密鑰所產(chǎn)生的所有子密鑰都是一樣的，則這個(gè)密鑰就稱為弱密鑰。AES，RC4，IDEA，CLIPPER，Blowfish，Twofish，CAST-128，GOST第4章公鑰密碼體制公鑰密碼體制有4個(gè)組成部分：明文，密文，公鑰和私鑰，加密、解密算法持有公鑰的任何人都可以加密消息，但卻無法解密。只有持有私鑰的人才能夠解密。加密的時(shí)候可以用公鑰也可以用私鑰公鑰加密體制的特點(diǎn)和優(yōu)點(diǎn)加密和解密能力分開多個(gè)用戶加密的消息只能由一個(gè)用戶解讀，可用于公共網(wǎng)絡(luò)中實(shí)現(xiàn)保密通信用私鑰加密的消息可以用對應(yīng)的公鑰解密，所以由一個(gè)用戶加密消息而使多個(gè)用戶可以解讀，可用于認(rèn)證系統(tǒng)中對消息進(jìn)行數(shù)字簽字無需事先分配密鑰密鑰持有量大大減少提供了對稱密碼技術(shù)無法或很難提供的服務(wù)：如與哈希函數(shù)聯(lián)合運(yùn)用可生成數(shù)字簽名，可證明的安全偽隨機(jī)數(shù)發(fā)生器的構(gòu)造，零知識證明等公鑰密碼體制目前主要用于密鑰管理和數(shù)字簽名RSA算法的可靠性基于大素?cái)?shù)的因子分解問題RSA算法流程：選兩個(gè)保密的大素?cái)?shù)p和q。計(jì)算n=pXq,e(n)=(p-1)(q-1),其中祖(n)是n的歐拉函數(shù)值。選一整數(shù)e,滿足1<e<l(n)，且gcd(祖(n),e)=1。計(jì)算d,滿足d?e三1mode(n),即d是e在模^(n)下的乘法逆元，因e與祖(n)互素，由模運(yùn)算可知，它的乘法逆元一定存在。以｛e,n｝為公開鑰,｛d,n｝為秘密鑰。ElGamal密碼橢圓曲線密碼體制(ECC)是基于橢圓曲線數(shù)學(xué)的一種公鑰密碼的方法第5章消息認(rèn)證認(rèn)證與加密的區(qū)別：加密用以確保數(shù)據(jù)的保密性，阻止對手的被動(dòng)攻擊，如截取、竊聽。這種被動(dòng)攻擊只是獲取和破譯數(shù)據(jù)，并不對傳輸中的數(shù)據(jù)進(jìn)行篡改。認(rèn)證用以確保報(bào)文發(fā)送者和接受者的真實(shí)性以及保文的完整性，阻止對手的主動(dòng)攻擊，如冒充、篡改、重播等。認(rèn)證往往是應(yīng)用系統(tǒng)中安全保護(hù)的第一道防線，極為重要。消息認(rèn)證是一個(gè)證實(shí)收到的消息來自可信的源點(diǎn)且未被篡改的過程認(rèn)證函數(shù)可分為三類：消息加密，消息認(rèn)證碼MAC，Hash函數(shù)(用的最多)圖2內(nèi)部錯(cuò)誤控制內(nèi)部錯(cuò)誤控制圖解：根據(jù)明文M和公開的函數(shù)F產(chǎn)生FCS，即錯(cuò)誤檢測碼，或幀校驗(yàn)序列，校驗(yàn)和把M和FCS合在一起加密，并傳輸。接收端把密文解密，得到M。根據(jù)得到的M，按照F計(jì)算FCS，并與接收到的FCS比較是否相等。F值有唯一性和單向性

F(我(M))圖3外部錯(cuò)誤控制消息認(rèn)證碼，也是一種認(rèn)證技術(shù)，它把一個(gè)密鑰和需要認(rèn)證的消息一起代入一個(gè)函數(shù)，計(jì)算出一個(gè)固定長度的短數(shù)據(jù)塊，稱為MAC或密碼校驗(yàn)，并把MAC附加在消息后，一起發(fā)送給接收方圖4消息認(rèn)證碼的基本用法MAC圖4消息認(rèn)證碼的基本用法MAC函數(shù)與加密函數(shù)類似，都需要明文、密鑰和算法的參與。但MAC算法不要求可逆性，K1：用于生成MACK2：用于加密CK[eCK[ek(M)J1 2圖6與密文有關(guān)的認(rèn)證圖解：A和B共享K1和K2K1：用于生成MACK2：用于加密散列函數(shù)(Hash),又稱為哈希函數(shù)或雜湊函數(shù)，是對不定長的輸入產(chǎn)生定長輸出的一種特殊函數(shù)，可以表達(dá)為h=H(M)，M為消息，其長度不定，h被稱為散列值、Hash值、散列碼或哈希值，長度一定，一般為128位或160位。假定兩次輸入同樣的數(shù)據(jù)，那么散列函數(shù)應(yīng)該能夠生成相同的散列值。輸入數(shù)據(jù)中的一位發(fā)生了變化，會(huì)導(dǎo)致生成的散列值完全不一樣。散列函數(shù)有個(gè)非常重要的特性為單向性，也就是從M計(jì)算h容易，而從h計(jì)算M不可能。散列函數(shù)H必須滿足以下幾個(gè)性質(zhì)H對于任何大小的數(shù)據(jù)分組，都能產(chǎn)生定長的輸出。對于任何給定的M，H(M)要相對易于計(jì)算。單向性：對于任何給定的hash值h，計(jì)算出M在計(jì)算上不可行。弱無碰撞性：對任何給定的M1，尋找M2，使H(M1)=H(M2)在計(jì)算上不可行。強(qiáng)無碰撞性：尋找任何的(M1，M2)，使H(M1)=H(M2)在計(jì)算上不可行。8.常用Hash算法：MD5，SHA算法，MD4，RIPEMD算法9.對Hash函數(shù)的攻擊可分三個(gè)級別：預(yù)映射攻擊(PreimageAttack)，次預(yù)映射攻擊(SecondPreimageAttack)，碰撞攻擊(CollisionAttack)第6章身份認(rèn)證與數(shù)字簽名1.身份認(rèn)證是驗(yàn)證主體的真實(shí)身份與其所聲稱的身份是否符合的過程身份認(rèn)證和消息認(rèn)證的區(qū)別：身份認(rèn)證一般都是實(shí)時(shí)的，消息認(rèn)證一般不提供時(shí)間性。另外身份認(rèn)證只證實(shí)實(shí)體的身份，消息認(rèn)證除了消息的合法和完整外，還需要知道消息的含義。身份認(rèn)證方式：單向認(rèn)證(One-wayAuthentication)，雙向認(rèn)證(Two-wayAuthentication)和信任的第三方認(rèn)證(TrustedThird-partyAuthentication)①EgKJ②E(RRa)K)②E(RRa)K)圖1基于對稱密碼的單向認(rèn)證圖解：雙方共享的密鑰KSS隨機(jī)數(shù)ra隨機(jī)數(shù)ra?A.②Egg)圖2基于非對稱密碼的單向認(rèn)證圖解：隨機(jī)數(shù)raB的私鑰KrSbE(Ra?Ks)(a\_.?E(Ra||RbKs)__?B③E(Rg圖3基于對稱密碼的雙向認(rèn)證圖解：A產(chǎn)生一個(gè)隨機(jī)數(shù)RA雙方共享的密鑰KSB產(chǎn)生一個(gè)隨機(jī)數(shù)RrB①Ra③E(Rb,Ksa)③E(Rb,Ksa)圖4基于非對稱密碼的雙向認(rèn)證圖解：A產(chǎn)生一個(gè)隨機(jī)數(shù)RaB產(chǎn)生一個(gè)隨機(jī)數(shù)RrBB的私鑰KrSBA的私鑰KsaSA?E(N2??E(N2?Pkb)圖5第三方認(rèn)證機(jī)制圖解：skau:管理員的私鑰PKB:B的公鑰PKA:A的公鑰

N1：A的臨時(shí)交互號N2：B產(chǎn)生的新臨時(shí)交互號4.身份認(rèn)證的Kerberos協(xié)議5.數(shù)字簽名可以分為直接數(shù)字簽名方法和仲裁數(shù)字簽名方法A B圖6數(shù)字簽名協(xié)議原理仲裁數(shù)字簽名的三種實(shí)現(xiàn)方法：方法一(1)X—A:MIIEk^[ID^IIH(M)](2)A—Y:EKay[IDXIIMIIEKxa[IDxIIH(M)IIT]E：單鑰加密算法KxA,KAy：A與X和Y的共享密鑰^X^A. ?AYM：消息T：時(shí)戳IDX：X的身份H(M)：M的雜湊值在(1)中，X以ek[IDxHH(M)]作為自己對M的簽名，將M及簽名發(fā)往A。在(2)中A將從X收到的內(nèi)容和IDX、T一起加密后發(fā)往Y,其中的T用于向Y表示所發(fā)的消息不是舊消息的重放。Y對收到的內(nèi)容解密后，將解密結(jié)果存儲(chǔ)起來以備出現(xiàn)爭議時(shí)使用。如果出現(xiàn)爭議，Y可聲稱自己收到的M的確來自X,并將eK[IDxHMIIeK[IDxHH(M)]]發(fā)給A,由A仲裁，A由KAY解密后，再用KXA對eK[IDxHH(M)懈密，并對H(M)加以XA驗(yàn)證，從而驗(yàn)證了X的簽名。方法二(1)X一A:IDxIIeK[M]IIEK[IDxIIH(EK(M))]

（2）AfY:Ek[IDxIIEk[M]llEk[IDxIIH（EK（M））]llT]此方案提供了對M的保密性，和前一方案相同，仲裁者可和發(fā)方共謀否認(rèn)發(fā)方曾發(fā)過的消息，也可和收方共謀產(chǎn)生發(fā)方的簽名方法三（1）.XTA:IDxllESKx[IDxllEp、血％[M]]]（2）ATY:ESk^[IDxllEpK^[ESk^[M]]llT]第1步中，X用自己的秘密鑰SKX和Y的公開鑰PKy對消息加密后作為對M的簽名，以這種方式使得任何第3方（包括A）都不能得到M的明文消息。A收到XA收到X發(fā)來的內(nèi)容后，用X的公開鑰可對eSkUDxHePKy[eSKx[M]]]解密并將解密得到的IDx與收到的IDx加以比較，從而可確信這一消息是來自于X的（因只有X有SKX）。第2步，A將X的身份IDx和X對M的簽名加上一時(shí)戳后，再用自己的秘密鑰加密發(fā)往Y。數(shù)字簽名算法：RSA簽名、DSS簽名和基于ECC密碼體制的ECDSA數(shù)字簽名（數(shù)字簽名的應(yīng)用）數(shù)字簽名由公鑰密碼發(fā)展而來，它在網(wǎng)絡(luò)安全，包括身份認(rèn)證、數(shù)據(jù)完整性、不可否認(rèn)性以及匿名性等方面有著重要應(yīng)用。第7章密鑰管理密鑰分為初級密鑰、二級密鑰和主密鑰。初級密鑰：用于加解密數(shù)據(jù)的密鑰。初級通信密鑰和初級會(huì)話密鑰原則上采用一個(gè)密鑰只使用一次的“一次一密”方式。初級密鑰在系統(tǒng)中不能以明文形式保存，必須用更高級的密鑰進(jìn)行加密保存二級密鑰：用于保護(hù)初級密鑰。二級密鑰也不能以明文形式保存在系統(tǒng)中，必須接受更高級密鑰的保護(hù)。主密鑰：密鑰管理方案中的最高級密鑰，用于對二級密鑰進(jìn)行保護(hù)?？梢砸悦魑男问奖４妗Ｖ髅荑€的產(chǎn)生：用于加解密主密鑰應(yīng)當(dāng)是高質(zhì)量的真隨機(jī)序列常采用物理噪聲源的方法來產(chǎn)生。二級密鑰的產(chǎn)生:利用真隨機(jī)數(shù)產(chǎn)生器芯片來產(chǎn)生二級密鑰或使用主密鑰和一個(gè)強(qiáng)的密碼算法來產(chǎn)生二級密鑰密鑰的存儲(chǔ)形態(tài)有明文形態(tài)、密文形態(tài)、分量形態(tài)三種分量形態(tài)是指密鑰以分量的形式存儲(chǔ)，密鑰分量不是密鑰本身，而是用于產(chǎn)生密鑰的部分參數(shù)，只有在所有密鑰分量共同作用下才能產(chǎn)生出真正的密鑰，而且只知道其中一個(gè)或部分分量，無法求出其他分量。密鑰備份遵循的原則：密鑰的備份應(yīng)當(dāng)是異設(shè)備備份，甚至是異地備份備份的密鑰應(yīng)當(dāng)受到與存儲(chǔ)密鑰一樣的保護(hù)，包括物理安全保護(hù)和邏輯安全保護(hù)為了減少明文形態(tài)的密鑰數(shù)量，一般采用高級密鑰保護(hù)低級密鑰的方式來進(jìn)行備份對于高級密鑰，不能以密文形態(tài)備份。為了進(jìn)一步增強(qiáng)安全，可采用多個(gè)密鑰分量的形態(tài)進(jìn)行備份密鑰的備份應(yīng)當(dāng)方便恢復(fù)，密鑰的恢復(fù)應(yīng)當(dāng)經(jīng)過授權(quán)而且要遵循安全的規(guī)章制度密鑰的備份和恢復(fù)都要記錄日志，并進(jìn)行審計(jì)具有保密性和認(rèn)證的密鑰分配方法①E [NIIID]圖解：①A用B的公鑰加密A的身份和一個(gè)一次性隨機(jī)數(shù)N1后發(fā)送給B；B解密得到N1，并用A的公鑰加密N1和另外一個(gè)隨機(jī)數(shù)N2發(fā)送給A；A用B的公鑰加密N2后發(fā)送給B；A選擇一個(gè)會(huì)話密鑰Ks，用A的私鑰加密后再用B的公鑰加密，發(fā)送給B，B用A的公鑰和B的私鑰解密得Ks。公鑰的分配方式：公開發(fā)布，公鑰動(dòng)態(tài)目錄表，數(shù)字證書公鑰基礎(chǔ)設(shè)施PKI：公鑰證書、證書管理機(jī)構(gòu)、證書管理系統(tǒng)、圍繞證書服務(wù)的各種軟硬件設(shè)備以及相應(yīng)的法律基礎(chǔ)共同組成公開密鑰基礎(chǔ)設(shè)施PKI。PKI是一種標(biāo)準(zhǔn)的密鑰管理平臺(tái)，它能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用透明地提供采用加密和數(shù)據(jù)簽名等密碼服務(wù)所必須的密鑰和證書管理。PKI邏輯結(jié)構(gòu)(簡答)：PKI應(yīng)用fTM字證書: 證書機(jī)構(gòu)CA 注冊機(jī)構(gòu)RA 證書發(fā)布系統(tǒng):I IPKI策略 軟硬件系統(tǒng)PKI安全策略：建立和定義了一個(gè)組織信息安全方面的指導(dǎo)方針，同時(shí)也定義了密碼系統(tǒng)使用的處理方法和原則證書機(jī)構(gòu)CA：是PKI的信任基礎(chǔ)，它管理公鑰的整個(gè)生命周期，作用包括發(fā)放證書、規(guī)定證書的有效期和通過發(fā)布證書撤銷列表，確保必要時(shí)可以廢除證書注冊機(jī)構(gòu)RA：提供用戶和CA之間的一個(gè)接口，它獲取并認(rèn)證用戶的身份，向CA提出證書請求證書發(fā)布系統(tǒng)：負(fù)責(zé)證書的發(fā)放，如可以通過用戶自己，或是通過目錄服務(wù)數(shù)字證書：在PKI中，最重要的信息就是數(shù)字證書，可以說，PKI的所有的活動(dòng)都是圍繞數(shù)字證書進(jìn)行的PKI應(yīng)用：PKI的應(yīng)用范圍非常廣泛，并且在不斷發(fā)展之中，可以說只要需要使用到公鑰的地方就要使用到PKI證書驗(yàn)證數(shù)據(jù)的完整驗(yàn)證過程：驗(yàn)證者將客戶端發(fā)來的數(shù)據(jù)解密將解密后的數(shù)據(jù)分解成原始數(shù)據(jù)、簽名數(shù)據(jù)和客戶證書三個(gè)部分用CA根證書(CA的公鑰)驗(yàn)證客戶證書的簽名完整性檢查客戶證書是否有效檢查客戶證書是否作廢驗(yàn)證客戶證書結(jié)構(gòu)中的證書用途用客戶的證書(客戶的公鑰)驗(yàn)證原始數(shù)據(jù)的簽名完整性PKI的信任模型：CA的嚴(yán)格層次模型，CA分布式信任結(jié)構(gòu)，Web模型，以用戶為中心的信任模型交叉認(rèn)證模型(在兩個(gè)CA之間的交叉認(rèn)證是指：一個(gè)CA承認(rèn)另一個(gè)CA在一個(gè)名字空間中被授權(quán)頒發(fā)的證書)PKI的應(yīng)用實(shí)例：虛擬專用網(wǎng)絡(luò)，安全電子郵件，Web安全第8章訪問控制訪問控制是為了限制訪問主體(或稱為發(fā)起者，是一個(gè)主動(dòng)的實(shí)體，如用戶、進(jìn)程、服務(wù)等)對訪問客體(需要保護(hù)的資源)的訪問權(quán)限，從而使計(jì)算機(jī)系統(tǒng)在合法范圍內(nèi)使用。訪問控制由兩個(gè)重要過程組成：通過認(rèn)證來檢驗(yàn)主體的合法身份；通過授權(quán)(Authorization)來限制用戶對資源的訪問級別控制策略是主體對客體的訪問規(guī)則集，這個(gè)規(guī)則集直接定義了主體對客體的作用行為和客體對主體的條件約束訪問控制策略：自主訪問控制，強(qiáng)制訪問控制，基于角色的訪問控制，基于任務(wù)的訪問控制，基于對象的訪問控制自主訪問控制(DAC)允許合法用戶以用戶或用戶組的身份訪問規(guī)定的客體，同時(shí)阻止非授權(quán)用戶訪問客體，某些用戶還可以自主地把自己所擁有的客體的訪問權(quán)限授予其他用戶。自主訪問控制的實(shí)現(xiàn)機(jī)制：訪問控制矩陣，訪問控制列表，訪問控制能力列表強(qiáng)制訪問控制(MAC)：是比DAC更嚴(yán)格的訪問控制策略。每個(gè)用戶及文件都被賦予一定的安全級別，用戶不能改變自身或任何客體的安全級別，即不允許單個(gè)用戶確定訪問權(quán)限，只有系統(tǒng)管理員可以確定用戶和組的訪問權(quán)限基于角色的訪問控制(Role-basedAccess，RBAC)：基本思想是將訪問許可權(quán)分配給一定的角色，用戶通過飾演不同的角色獲得角色所擁有的訪問許可權(quán)。基于任務(wù)的訪問控制(Task-basedAccessControl，TBAC)：是從應(yīng)用和企業(yè)層角度來解決安全問題，以面向任務(wù)的觀點(diǎn)，從任務(wù)(活動(dòng))的角度來實(shí)現(xiàn)安全機(jī)制，在任務(wù)處理的過程中提供動(dòng)態(tài)實(shí)時(shí)的安全管理網(wǎng)絡(luò)訪問控制的應(yīng)用：MAC地址過濾VLAN隔離：是為了讓避免檔一個(gè)網(wǎng)絡(luò)系統(tǒng)中網(wǎng)絡(luò)設(shè)備數(shù)量增加到一定程度后，眾多的網(wǎng)絡(luò)廣播報(bào)文消耗大量的網(wǎng)絡(luò)帶寬，使得真正的數(shù)據(jù)傳遞受到很大的影響，確保部分安全性比較敏感的部門數(shù)據(jù)不被隨意訪問瀏覽而采用一種劃分相互隔離子網(wǎng)的方法ACL訪問控制列表：訪問控制列表在路由器中被廣泛采用，它是一種基于包過濾的流向控制技術(shù)。訪問控制列表可以有效地在網(wǎng)絡(luò)層上控制網(wǎng)絡(luò)用戶對網(wǎng)絡(luò)資源的訪問，它既可以細(xì)致到兩臺(tái)網(wǎng)絡(luò)設(shè)備間的具體的網(wǎng)絡(luò)應(yīng)用，也可以按網(wǎng)段進(jìn)行大范圍的訪問控制管理防火墻訪問控制：防火墻技術(shù)在最大限度上限制了源IP地址、目的IP地址、源端口號、目的端口號的訪問權(quán)限，從而限制了每一業(yè)務(wù)流的通斷（5） IEEE802.1Q身份驗(yàn)證（6） 基于IP地址的訪問控制列表第9章網(wǎng)絡(luò)攻擊技術(shù)1.一次完整的網(wǎng)絡(luò)攻擊包含的基本步驟攻擊的步驟解釋例子偵查被動(dòng)或者主動(dòng)獲取信息的過程嗅探網(wǎng)絡(luò)流量，察看HTML代碼，社交工程，獲取目標(biāo)系統(tǒng)的一切信息掃描及漏洞分析識別所運(yùn)行系統(tǒng)和系統(tǒng)上活動(dòng)的服務(wù)，從中找出可攻擊的弱點(diǎn)Ping掃描、端口掃描、漏洞掃描獲取訪問權(quán)限攻擊識別的漏洞，以獲取未授權(quán)的訪問權(quán)限利用緩沖區(qū)溢出或者暴力破解口令，并登錄系統(tǒng)保持訪問權(quán)限上傳惡意軟件，以確保能重新進(jìn)入系統(tǒng)在系統(tǒng)上安裝后門消除痕跡消除惡意活動(dòng)的蹤跡刪除或修改系統(tǒng)和應(yīng)用日志中的數(shù)據(jù)偵查也被稱為踩點(diǎn)，目的是發(fā)現(xiàn)目標(biāo)。通過踩點(diǎn)主要收集以下可用信息：網(wǎng)絡(luò)域名，內(nèi)部網(wǎng)絡(luò)，外部網(wǎng)絡(luò)，目標(biāo)所用的操作系統(tǒng)被動(dòng)操作系統(tǒng)踩點(diǎn)和主動(dòng)操作系統(tǒng)踩點(diǎn)的區(qū)別：被動(dòng)操作系統(tǒng)踩點(diǎn)主要是通過嗅探網(wǎng)絡(luò)上的數(shù)據(jù)包來確定發(fā)送數(shù)據(jù)包的操作系統(tǒng)或者可能接收到的數(shù)據(jù)包的操作系統(tǒng)，其優(yōu)點(diǎn)是用被動(dòng)踩點(diǎn)攻擊或嗅探主機(jī)時(shí)，并不產(chǎn)生附加的數(shù)據(jù)包，主要是監(jiān)聽并分析，一般操作是先攻陷一臺(tái)薄弱的主機(jī)，在本地網(wǎng)段內(nèi)嗅探數(shù)據(jù)包，以識別被攻陷主機(jī)能夠接觸到的機(jī)器操作系統(tǒng)類型主動(dòng)操作系統(tǒng)識別是主動(dòng)產(chǎn)生針對目標(biāo)機(jī)器的數(shù)據(jù)包進(jìn)行分析和回復(fù)。其缺點(diǎn)是很容易驚動(dòng)目標(biāo)，把入侵者暴露給入侵檢測系統(tǒng)端口掃描方法：?全TCP連接?半打開式掃描：掃描主機(jī)自動(dòng)向目標(biāo)計(jì)算機(jī)的指定端口發(fā)送SYN數(shù)據(jù)段，表示發(fā)送建立連接請求，如果目標(biāo)計(jì)算機(jī)的回應(yīng)TCP報(bào)文中SYN=1，ACK=1，則說明該端口是活動(dòng)的，接著掃描主機(jī)傳送一個(gè)RST給目標(biāo)主機(jī)拒絕建立TCP連接，從而導(dǎo)致三次握手過程的失??；如果目標(biāo)計(jì)算機(jī)的回應(yīng)是RST，則表示該端口為“死端口”，這種情況下，掃描主機(jī)不用做任何回應(yīng)?FIN掃描?第三方掃描漏洞掃描只能找出目標(biāo)機(jī)上已經(jīng)被發(fā)現(xiàn)并且公開的漏洞，不能找出還未被發(fā)現(xiàn)的漏洞，并且只能掃描出在掃描器中已經(jīng)存在特征碼的漏洞流光和X-Scan是國內(nèi)最有名的兩款掃描工具。獲取訪問權(quán)限：緩沖區(qū)溢出，SQL注入攻擊日志系統(tǒng)：應(yīng)用程序日志，安全性日志，系統(tǒng)日志拒絕服務(wù)攻擊（DenialofService，簡稱DoS）是指攻擊者利用系統(tǒng)的缺陷，通過執(zhí)行一些惡意的操作而使合法的系統(tǒng)用戶不能及時(shí)的得到服務(wù)或者系統(tǒng)資源，如CPU處理時(shí)間、存儲(chǔ)器、網(wǎng)絡(luò)帶寬、Web服務(wù)等。特點(diǎn)：它本身并不能使攻擊者獲取什么資源，例如系統(tǒng)的控制權(quán)力、秘密的文件等，它只是以破壞服務(wù)為目的，僅針對暴露于網(wǎng)絡(luò)上的服務(wù)器或客戶端的軟、硬件服務(wù)進(jìn)行干擾，迫使目標(biāo)服務(wù)暫時(shí)性的失效，具有很強(qiáng)的破壞性，往往把這種方式稱為“攻擊”而不是“入侵”常見的拒絕服務(wù)攻擊方法：基于網(wǎng)絡(luò)帶寬消耗的拒絕服務(wù)攻擊：攻擊者有意制造大量的數(shù)據(jù)包或傳輸大量文件以占用有限的帶寬資源，使合法用戶無法正常使用網(wǎng)絡(luò)資源，從而實(shí)現(xiàn)攻擊者的意圖消耗磁盤空間的拒絕服務(wù)攻擊：利用系統(tǒng)的缺陷，制造大量的垃圾信息消耗CPU資源和內(nèi)存的拒絕服務(wù)攻擊：操作系統(tǒng)需要提供CPU和內(nèi)存資源給許多進(jìn)程共用，攻擊者利用系統(tǒng)存在的缺陷，有意使用大量的CPU和內(nèi)存資源，從而導(dǎo)致系統(tǒng)服務(wù)性能下降甚至造成系統(tǒng)崩潰基于系統(tǒng)缺陷的拒絕服務(wù)攻擊：兩種典型的攻擊方式PingofDeath和Teardrop分布式拒絕服務(wù)(DistributedDenialofService，DDoS)攻擊指借助于客戶/服務(wù)器技術(shù)，將多個(gè)計(jì)算機(jī)聯(lián)合起來作為攻擊平臺(tái)，對一個(gè)或多個(gè)目標(biāo)發(fā)動(dòng)DoS攻擊，從而成倍地提高拒絕服務(wù)攻擊的威力拒絕服務(wù)攻擊的防范措施(簡答)：確保所有服務(wù)器采用最新系統(tǒng)，并打上安全補(bǔ)丁確保管理員對所有主機(jī)進(jìn)行檢查，而不僅針對關(guān)鍵主機(jī)確保從服務(wù)器相應(yīng)的目錄或文件數(shù)據(jù)庫中刪除未使用的服務(wù)如FTP或NFS，守護(hù)程序是否存在一些已知的漏洞，黑客通過根攻擊就能獲得訪問特權(quán)系統(tǒng)的權(quán)限，并能訪問其他系統(tǒng)甚至是受防火墻保護(hù)的系統(tǒng)確保運(yùn)行在UNIX上的所有服務(wù)都有TCP封裝程序，限制對主機(jī)的訪問權(quán)限禁止使用網(wǎng)絡(luò)訪問程序如Telnet、Ftp、Rsh、Rlogin、Rcp,以更加安全的協(xié)議如SSH取代限制在防火墻外與網(wǎng)絡(luò)文件共享在防火墻上運(yùn)行端口映射程序或端口掃描程序檢查所有網(wǎng)絡(luò)設(shè)備和主機(jī)/和服務(wù)器系統(tǒng)的日志第10章惡意代碼分析惡意代碼類型類型定義特征典型實(shí)例計(jì)算機(jī)病毒(Virus)感染宿主文件，例如可執(zhí)行文件和文檔等，自動(dòng)復(fù)制。經(jīng)常需要人們交互感染復(fù)制CIH和梅里莎病毒蠕蟲(Worm)通過網(wǎng)絡(luò)傳播，自動(dòng)復(fù)制，通常無需人們交互感染傳播Nimda、莫里斯蠕蟲、沖擊波惡意移動(dòng)代碼移動(dòng)代碼是能夠從主機(jī)傳輸?shù)娇蛻舳擞?jì)算機(jī)上并執(zhí)行的代碼，它通常是作為病毒，蠕蟲，或是特洛伊木馬的一部分被傳送到客戶計(jì)算機(jī)上。另外，移動(dòng)代碼可以利用系統(tǒng)的漏洞進(jìn)行入侵，例如非法的數(shù)據(jù)訪問和盜取root賬號，通常用于編寫移動(dòng)代碼的工具包括JavaApplets、ActiveX、JavaScript和VBScriptCrossSiteScripting特洛伊木馬(TrojanHorse)將自己偽裝成有用的程序掩飾惡意目的Hydan、冰河RootKit替換或修改系統(tǒng)管理員和用戶使用的可執(zhí)行程序。甚至控制操作系統(tǒng)的內(nèi)核LinuxRootKit(LRK)系列組合惡意代碼組合上述不同技術(shù)以增強(qiáng)破壞力Lion、Bugbear.B2.蠕蟲是一種可以自我復(fù)制的代碼，并且通過網(wǎng)絡(luò)傳播，通常無需人為干涉就能傳播。蠕蟲和病毒的區(qū)別與聯(lián)系：蠕蟲與病毒在實(shí)質(zhì)上是相關(guān)的，在開始蔓延時(shí)都是自我復(fù)制。然而，蠕蟲特征是通過網(wǎng)絡(luò)傳輸，而病毒不一定要通過網(wǎng)絡(luò)傳播。病毒的主要特征是感染主文件，例如文檔或者可執(zhí)行文件，而蠕蟲沒有這個(gè)必要，它不需要宿主文件。3.蠕蟲的組成探測裝置傳播引擎目標(biāo)選擇算法掃描引擎有效載荷探測裝置：獲得目標(biāo)計(jì)算機(jī)的訪問權(quán)傳播引擎：傳輸自身的其他部分到目標(biāo)機(jī)目標(biāo)選擇算法：尋找新的攻擊目標(biāo)掃描引擎：對潛在的目標(biāo)慢慢傳送一個(gè)或者多個(gè)數(shù)據(jù)包，以此權(quán)衡蠕蟲的彈頭是否可以在這臺(tái)計(jì)算機(jī)上工作有效載荷：蠕蟲進(jìn)入目標(biāo)機(jī)后所做的事情防御蠕蟲：安裝反病毒軟件，及時(shí)配置補(bǔ)丁，阻斷任意的輸出連接，建立事故響應(yīng)機(jī)制惡意移動(dòng)代碼可能的攻擊形式：拒絕服務(wù)攻擊，瀏覽器劫持，竊取Cookie值，跨網(wǎng)站腳本攻擊后門的類型：本地權(quán)限的提升:這類后門使得對系統(tǒng)有訪問權(quán)的攻擊者突然變換權(quán)限等級成為管理員，有了這些超級用戶權(quán)限，攻擊者可以重新設(shè)置系統(tǒng)或訪問存儲(chǔ)在系統(tǒng)中的文件單個(gè)命令的遠(yuǎn)程執(zhí)行：利用這種類型的后門，攻擊者可以向目標(biāo)計(jì)算機(jī)發(fā)送消息。每次執(zhí)行一個(gè)單獨(dú)的命令，并且返回輸出遠(yuǎn)程命令行訪問：這是一種遠(yuǎn)程的shell(remoteshell)，這種類型的后門允許攻擊者通過網(wǎng)絡(luò)快速直接地鍵入受害計(jì)算機(jī)的命令遠(yuǎn)程控制GUI:這是最徹底的遠(yuǎn)程控制，可以讓攻擊者看到目標(biāo)計(jì)算機(jī)的桌面，看到受害者對計(jì)算機(jī)的所有操作和內(nèi)容特洛伊木馬分成三個(gè)模式：潛伏在正常的程序應(yīng)用中，附帶執(zhí)行獨(dú)立的惡意操作。潛伏在正常的程序應(yīng)用中，但是會(huì)修改正常的應(yīng)用進(jìn)行惡意操作。完全覆蓋正常的程序應(yīng)用，執(zhí)行惡意操作RootKit是一種特洛伊木馬工具，通過修改現(xiàn)有的操作系統(tǒng)軟件，使攻擊者獲得訪問權(quán)并隱藏在計(jì)算機(jī)中。和傳統(tǒng)的特洛伊木馬的區(qū)別：它獲取運(yùn)行在目標(biāo)計(jì)算機(jī)上與操作系統(tǒng)相關(guān)聯(lián)的常規(guī)程序，用惡意版本替代它們。防御方法：定期地對重要系統(tǒng)文件的完整性進(jìn)行核查，像Tripwire第11章防火墻1.防火墻的基本功能服務(wù)控制：確定哪些服務(wù)可以被訪問；方向控制：對于特定的服務(wù)，可以確定允許哪個(gè)方向能夠通過防火墻；用戶控制：根據(jù)用戶來控制對服務(wù)的訪問；行為控制：控制一個(gè)特定的服務(wù)的行為。防火墻的實(shí)施策略一切未被禁止的就是允許的(Yes規(guī)則)：確定那些被認(rèn)為是不安全的服務(wù)，禁止其訪問；而其他服務(wù)則被認(rèn)為是安全的，允許訪問。一切未被允許的就是禁止的(No規(guī)則)：確定所有可以被提供的服務(wù)以及它們的安全性，然后開放這些服務(wù)，并將所有其他未被列入的服務(wù)排除在外，禁止訪問。防火墻根據(jù)實(shí)現(xiàn)原理分類包過濾(PacketFiltering)型：工作在OSI網(wǎng)絡(luò)參考模型的網(wǎng)絡(luò)層和傳輸層，根據(jù)數(shù)據(jù)包頭源地址、目的地址、端口號和協(xié)議類型等標(biāo)志確定是否允許通過。應(yīng)用代理(ApplicationProxy)型:工作在OSI的最高層，即應(yīng)用層。其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流，通過對每種應(yīng)用服務(wù)編制專門的代理程序，實(shí)現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。根據(jù)防火墻結(jié)構(gòu)分類：單一主機(jī)防火墻，路由器集成式防火墻，分布式防火墻按照防火墻應(yīng)用部署分類：邊界防火墻，個(gè)人防火墻，混合式防火墻數(shù)據(jù)包過濾技術(shù)：數(shù)據(jù)包過濾原理(在網(wǎng)絡(luò)的適當(dāng)位置，根據(jù)系統(tǒng)設(shè)置的過濾規(guī)則。對數(shù)據(jù)包實(shí)施過濾，只允許滿足過濾規(guī)則的數(shù)據(jù)包通過并被轉(zhuǎn)發(fā)到目的地，而其他不滿足規(guī)則的數(shù)據(jù)包被丟棄)靜態(tài)包過濾類型防火墻，狀態(tài)監(jiān)測防火墻(動(dòng)態(tài)包過濾防火墻)靜態(tài)與動(dòng)態(tài)的區(qū)別：靜態(tài)包過濾防火墻的優(yōu)點(diǎn)是邏輯簡單，對網(wǎng)絡(luò)網(wǎng)絡(luò)性能的影響較小，有較強(qiáng)的透明性。此外，它的工作和應(yīng)用層無關(guān)，無須改動(dòng)任何客戶主機(jī)和主機(jī)上的應(yīng)用程序，易于安裝和使用。最明顯的缺陷是，為了實(shí)現(xiàn)期望的通信，它必須保持一些端口永久開放。動(dòng)態(tài)包過濾防火墻的優(yōu)點(diǎn)是減少了端口的開放時(shí)間，提供了對幾乎所有服務(wù)的支持，缺點(diǎn)是它也允許了外部客戶和內(nèi)部主機(jī)的直接，不提供對用戶的認(rèn)證。包過濾防火墻的優(yōu)缺點(diǎn)優(yōu)點(diǎn)：性能優(yōu)于其他防火墻，因?yàn)樗鼒?zhí)行的計(jì)算較少，并且容易用硬件方式實(shí)現(xiàn)；規(guī)則設(shè)置簡單，通過禁止內(nèi)部計(jì)算機(jī)和特定Internet資源連接，單一規(guī)則即可保護(hù)整個(gè)網(wǎng)絡(luò)；不需要對客戶端計(jì)算機(jī)進(jìn)行專門配置；通過NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換)，可以對外部用戶屏蔽內(nèi)部IP缺點(diǎn)：無法識別協(xié)議層次，也無法對協(xié)議子集進(jìn)行約束，甚至最基本的服務(wù)，如ftp中的put和get命令也無法識別；處理包內(nèi)信息的能力有限，通常不能提供其他附加服務(wù)；一般無法約束由內(nèi)部主機(jī)到防火墻服務(wù)器上的信息，只能控制哪些信息可以通過，從而入侵者可能訪問到防火墻主機(jī)的服務(wù)，帶來安全隱患；由于對眾多網(wǎng)絡(luò)服務(wù)的支持所造成的復(fù)雜性，很難對規(guī)則有效性進(jìn)行測試。代理類型防火墻最突出的優(yōu)點(diǎn)就是安全性高，最大的缺點(diǎn)就是速度相對比較慢電路級網(wǎng)關(guān)是一個(gè)通用代理服務(wù)器，通常可以認(rèn)為它工作于OSI互聯(lián)模型的會(huì)話層或是TCP/IP協(xié)議的TCP層堡壘主機(jī)(BastionHost):物理內(nèi)部網(wǎng)中唯一可供外界訪問到的主機(jī)，它通常配置了嚴(yán)格的安全防范措施，堡壘主機(jī)為內(nèi)部網(wǎng)和外部網(wǎng)之間的通信提供一個(gè)阻塞點(diǎn)。非軍事區(qū)(DMZ)：指供外部網(wǎng)訪問的專門區(qū)域，用于發(fā)布信息、提供服務(wù)。防火墻的體系結(jié)構(gòu)一般有雙重宿主主機(jī)體系結(jié)構(gòu)、屏蔽主機(jī)體系結(jié)構(gòu)和屏蔽子網(wǎng)體系結(jié)構(gòu)。防火墻的局限性：防火墻無法防范來自網(wǎng)絡(luò)內(nèi)部的攻擊，而通過調(diào)查發(fā)現(xiàn)，有將近一半以上的攻擊都來自網(wǎng)絡(luò)內(nèi)部，對于那些心懷不滿而要破壞內(nèi)部網(wǎng)絡(luò)的內(nèi)部員工來說，防火墻形同虛設(shè)防火墻無法對繞過它的通信進(jìn)行限制。防火墻不能堵住來自外部網(wǎng)絡(luò)的病毒。第12章入侵檢測系統(tǒng)入侵檢測：是通過從計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中的若干關(guān)鍵節(jié)點(diǎn)收集信息，并分析這些信息，監(jiān)控網(wǎng)絡(luò)中是否有違反安全策略的行為或者是否存在入侵行為，是對指向計(jì)算和網(wǎng)絡(luò)資源的惡意行為的識別和響應(yīng)過程。入侵檢測系統(tǒng)(IntrusionDetectionSystem,IDS)：入侵檢測系統(tǒng)通過監(jiān)視受保護(hù)系統(tǒng)的狀態(tài)和活動(dòng)，采用異常檢測或?yàn)E用檢測的方式，發(fā)現(xiàn)非授權(quán)的或惡意的系統(tǒng)及網(wǎng)絡(luò)行為，為防范入侵行為提供有效的手段，是一個(gè)完備的網(wǎng)絡(luò)安全體系的重要組成部分。入侵檢測系統(tǒng)分類：基于主機(jī)的入侵檢測系統(tǒng)，基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)，分布式入侵檢測系統(tǒng)入侵檢測方法：濫用檢測(MisuseDetection)：也被稱為誤用檢測或者基于特征的檢測。這種方法首先直接對入侵行為進(jìn)行特征化描述，建立某種或某類入侵特征行為的模式，如果發(fā)現(xiàn)當(dāng)前行為與某個(gè)入侵模式一致，就表示發(fā)生了這種入侵。指標(biāo):誤報(bào)低、漏報(bào)高異常檢測(AnomalyDetection)：基本思想是任何人的正常行為都是有一定規(guī)律的，并且可以通過分析這些行為產(chǎn)生的日志信息(假定日志信息足夠完全)總結(jié)出一些規(guī)律，而入侵和濫用行為則通常與正常行為會(huì)有比較大的差異，通過檢查出這些差異就可以檢測出入侵。指標(biāo):誤報(bào)高、漏報(bào)低入侵檢測前沿技術(shù)：人工神經(jīng)網(wǎng)絡(luò)技術(shù)，人工免疫技術(shù)，數(shù)據(jù)挖掘技術(shù)入侵檢測系統(tǒng)的局限性：誤報(bào)和漏報(bào)的矛盾隱私和安全的矛盾被動(dòng)分析與主動(dòng)發(fā)現(xiàn)的矛盾海量信息與分析代價(jià)的矛盾功能性和可管理性的矛盾單一產(chǎn)品與復(fù)雜網(wǎng)絡(luò)應(yīng)用的矛盾Snort是一個(gè)多平臺(tái)的強(qiáng)大的網(wǎng)絡(luò)入侵檢測系統(tǒng)。第13章安全協(xié)議網(wǎng)絡(luò)層協(xié)議的安全隱患：IP協(xié)議在實(shí)現(xiàn)通信的過程中并不能為數(shù)據(jù)提供完整性和機(jī)密性保護(hù)，缺少基于IP地址的身份認(rèn)證機(jī)制，容易遭到IP地址欺騙攻擊。因此IP地址假冒成為IP協(xié)議的主要安全問題。另一個(gè)安全問題是利用源路由選項(xiàng)進(jìn)行攻擊。此外，還存在重組IP分片包的威脅傳輸層協(xié)議的安全隱患：TCP協(xié)議的安全隱患和UDP協(xié)議的安全隱患。欺騙UDP比欺騙TCP包更加容易應(yīng)用層協(xié)議的安全隱患：大部分協(xié)議以超級管理員的權(quán)限運(yùn)行，一旦這些程序存在安全漏洞且被攻擊者利用，極有可能取得整個(gè)系統(tǒng)的控制權(quán)。許多協(xié)議采用簡單的身份認(rèn)證方式，并且在網(wǎng)絡(luò)中以明文方式傳輸。TCP/IP的安全體系結(jié)構(gòu)

SNMPPGPS/MIMEPEMSETIKETELNETHTTPSX.509RIPv2SNMPv3BGP-4SNMP