信息安全导论期末复习笔记（教材——《计算机网络安全教程》）

---

*写在前面（必看）

1.答案为本人总结，仅供参考，有不妥之处可指正。
2.打星号的是重点复习对象，不打星号的题有好有坏，自行斟酌，打略的是本人认为一定不会考的点并且有一些已经被我删掉了，写为X.5的是所发原大纲没有但由本人补充认为有必要了解或掌握的知识。
3.有附图的题都是含金量拉满需要着重复习的，没有一个字是多余的，相较于标准答案只少不多，最好全背下来
4.目前是稳定版本，不会有大的更改，有更新会说明
5.12.26更新，补充重点：散列函数（第三章），基于代理的防火墙（第四章），磁盘阵列技术（第九章），基于角色的访问控制RBAC（第六章），其它一些细节的修改
6.12.27更新，把9101112章之前有不少题没写的都补充进去了，看着记吧
7.12.28,预祝各位期末拿一个好成绩
8.本次期末一个概念题都没考，不知道是偶然还是什么，简答可能是重点，因为你不会就是真的不会啊
9.没打星号的都需要看看，但是真的不需要背，有个理解就行
10.鼓励翻开书本，虽然本人复习全靠本博客，但是想要拿下最好一点细节（大概5分）还是在书上，当然来不及复习就另说

（考完啦，征集大家觉得容易错的或者博客中未涉及到的题，在文末本人已回忆了一些，但可能有遗漏）

第一章：绪论

*0.计算机实体面临威胁：

答：各类计算机、网络通信设备、存放数据的媒体、传输线路、防雷系统和抗电磁干扰系统等
计算机网络系统面临威胁：
① 主机可能受攻击②网络中的敏感数据可能泄露或被修改
③从内网向公网传送的信息可能被他人窃听或篡改

*1．计算机网络面临的典型的网络安全威胁有哪些 （理解类别）

答：窃听、重传、伪造、篡改、非授权访问、拒绝服务攻击、行为否认、旁路控制、电磁/射频截获、APT攻击、人员疏忽)

2．解释拒绝服务攻击（DOS，Denial of Service）的含义。

答：攻击者通过某种方法使系统响应减慢甚至瘫痪，阻止合法用户获得服务。

* 3．计算机网络不安全因素：偶发性因素,自然灾害,人为因素，对计算机网络安全威胁最大是人为因素，列举其中对计算机网络的攻击方法，能够举例解释主动攻击、被动攻击、邻近攻击。

答：人为因素包括被动攻击、主动攻击、邻近攻击、内部人员攻击、分发攻击
被动攻击：监视公共媒体信息（监视明文、解密通信数据，口令嗅探……）
*主动攻击：突破安全防护，引入恶意代码等（修改数据，利用恶意代码，伪装成授权用户……）
邻近攻击：指未授权者可物理上接近网络的攻击（物理破坏、修改数据或收集信息……）

* 5．计算机网络安全的内涵和外延。

内涵：计算机网络安全是指利用网络安全管理控制和技术措施，保证在一个网络环境里，信息数据的机密性，完整性和可用性受到保护。
外延：从广义上讲，凡是涉及到网络上信息的保密性，完整性，可用性、不可否认性、可控性的相关技术和理论都是信息安全的研究领域。

* 6．计算机网络要达到的安全目标（就是确保信息系统的：保密性、完整性、可用性、不可否认性、可控性。）各项目标能够简述。

①保密性：指网络中的保密信息只能供经过允许的人员以经过允许的方式使用，信息不泄露给非授权用户。
-保密性的要素包括数据保护、数据隔离和通信流保护。

②完整性：指网络中的信息安全精确有效，不因不安全因素而改变信息原有的内容、形式与流向。确保信息在存储或传输过程中不被修改、不被破坏和丢失。
-破坏信息的完整性有人为因素（有意和无意）和非人为因素（传输干扰、系统差错）

③可用性：指网络资源在需要时可使用，不因系统故障或误操作等妨碍对资源的使用，是被授权实体按需求访问的特性。网络可用性还包括在某些不正常条件下继续运行的能力。
-保证可用性的方法是提供一个具有普适安全服务的安全网络环境，包括避免受到攻击，避免非授权使用和防止进程失败。

*④不可否认性⭐：不可否认是保证信息行为人不能否认其信息行为，不可否认性安全服务提供了向第三方证明该实体确实参与了那次通信的能力。
-数据的接受者提供数据发送者身份及原始发送时间的证据。
-数据的发送者提供数据已交付接受者的证据。
-审计服务提供了信息交换中各涉及方的可审计性，可用来跟踪某些人的相关事件，这些人应对其行为负责。

⑤可控性：指对信息的传播及内容具有控制能力，保证信息和信息系统的授权认证和监控管理，确保某个实体身份的真实性，也可以确保执法者对社会的执法管理行为。

7．网络安全中的不可否认性。*

见6

8．了解计算机网络安全体系结构。

答：OSI体系结构
五大安全服务：鉴别服务、访问控制服务、数据机密性服务、数据完整性服务、抗抵赖服务
八大安全机制：加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、通信业务流填充机制、路由控制机制、公证机制
OSI参考模型：物理层->数据链路层->网络层->传输层->会话层->表示层->应用层

* 9．试从技术、管理、法律法规论述计算机网络安全的三个重要部分。

①先进的技术：物理安全措施、数据传输安全技术、内外网隔离技术、入侵检测技术、访问控制技术、审计技术、安全性检测技术、防病毒技术
②严格的管理：必须加强网络的安全管理，建立审计和跟踪体系，提高整体信息安全意识。据权威机构统计：信息安全大约60%以上的问题是由管理方面原因造成的。
③威严的法律：网络安全标准是信息安全保障体系的重要组成部分，关系到国家安全和利益，有利于保证信息安全的可信性和计算机网络的安全可靠。目前我国有章可循的信息安全标准共100多条。

10． 列举三种以上你所了解的网络安全技术，简述其原理。

答：网络安全技术
入侵检测技术：入侵检测的目的是提供实时的检测以及采取想要的防护手段，以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻断，从而防止黑客的入侵。
审计技术：审计技术是记录用户使用计算机网络系统进行所有活动的过程，记录系统产生的各种事件。对系统事件进行记录，能更快识别系统产生的问题，为事故处理提供重要依据。另外，对特定用户进行审计跟踪，可以发现并证明其的破坏性行为。
备份技术：采用备份技术可以尽可能快地全面恢复运行计算机网络所需的数据和系统信息。是系统灾难恢复的前提之一。

第二章：物理安全

1．物理安全主要包含哪些方面的内容：

机房安全、通信线路安全、设备安全、电源系统安全。

2．机房的三度要求。*

答：温度、湿度和洁净度并称为三度。为使机房内的三度达到规定的要求，空调系统、去湿机、除尘器是必不可少的设备。重要的计算机系统安放处还应配备专用空调系统，它比公用的空调系统在加湿、除尘等方面有更高的要求。

3．地线种类。

答：保护地、直流地、屏蔽地、静电地、雷击地

4．通信线路安全中的电缆加压技术。

答：电缆加压技术：通信电缆密封在塑料套管中，并在线缆的两端充气加压。线上连接了带有报警器的监示器，用来测量压力。如果压力下降，则意味电缆可能被破坏了，技术人员还可以进一步检测出破坏点的位置，以便及时进行修复

5．电磁辐射干扰和电磁兼容性的关系。*

电磁兼容性就是电子设备或系统在一定的电磁环境下互相兼顾、相容的能力。
计算机网络系统的各种电子设备在工作时都不可避免地会向外辐射电磁波，同时也会受到其他电子设备的电磁波干扰，当电磁干扰达到一定的程度就会影响设备的正常工作。

电磁干扰可通过电磁辐射和传导两条途径影响电子设备的工作。
-电子设备辐射的电磁波通过电路耦合到另一台电子设备中引起干扰；
-通过连接的导线、电源线、信号线等耦合而引起相互之间的干扰。

6．电磁辐射的主要防护措施。

答：屏蔽、滤波、隔离、接地

第三章前补充 计算机网络基础概述

1．理解三种数据交换技术，分别是线路交换、报文交换、报文分组交换 *

①线路交换：通过网络中的结点在两个站之间建立一条专用的通信线路。“交换”就是按照某种方式动态地分配传输线路的资源。
-最普通的线路交换例子是电话系统。线路交换方式的通信也包括三种状态，即线路建立、数据传送和线路拆除。
②报文交换：对一些实时性要求不高的信息可以采用。以报文为传输单位，报文中包含要发送的正文信息和指明收发站地址及其它控制信息。
不需要建立专用通路，站点发送报文只需要将目的地址附在报文上然后发送整个报文即可，报文从发送站到接收站中间要经过多个结点，每个中间结点都要接收整个报文，暂存，然后转发到下一结点。
③报文分组交换：是国际上计算机网络普遍采用的数据交换方式，试图综合线路交换和报文交换的优点。把一个要传送的报文分成若干段，每段作为一个新的报文分组，允许每个报文分组走不同的路径。
-报文分组交换与报文交换形式上的主要差别在于：在分组交换网络中，要限制所传输的数据单位的长度。

2．了解计算机网络功能 （略）

①数据通信
②资源共享
③计算机系统可靠性和可用性的提高
④易于进行分布处理

3．理解网络的拓扑结构的优缺点 *

①星型拓扑结构：星型拓扑结构是由中心结点和通过点对点链路连接到中心结点的各站点组成。中心结点由集线器或是交换机来承担。
优点是一个线路或工作站故障只会影响一个工作站、而不会对整个网络有大的影响，网络的拓展容易，故障诊断方便，访问协议简单
缺点是过分依赖中心结点、成本高。

②总线型拓扑结构：总线型拓扑结构采用单根传输线作为传输介质，所有的站点均通过相应的硬件接口直接连接到传输介质或称总线上，各工作站地位平等，无中心结点控制。
优点是结构简单、可靠性高，易于扩充站点，使用的电缆较少且安装容易，使用的设备相对简单；
缺点是故障诊断困难（网络非集中控制，诊断须在各个站点上进行）和故障隔离困难（从总线上拆除站点以及更换总线）。

③环形拓扑结构：环型拓扑结构是由网络中若干中继器通过点到点的链路首尾
相连型成一个闭合的环。
优点是路由选择控制简单（信息流是单向的，所以两个站点仅有一条通路），电缆长度短，适用光纤（单方向的传输）；
缺点是结点故障会引起整个网络瘫痪，故障诊断困难（无法确定具体是那个结点出现故障）。

④树形拓扑结构：树型拓扑是从总线拓扑演变过来的，形状像一棵倒置的树，顶端有一个带有分支的根，每个分支还可延伸出子分支。
优点是易于拓展加入新的结点，故障隔离容易（很容易把单个分支和整个系统隔离开）；
缺点是对根的依赖性太大，如果根发生故障那么全网不能正常工作，这一点和星型结构相似。

⑤全互联型拓扑结构：网络中任意两个站点之间都有直接通路相连。
优点是任意两站点之间由专线相连，通信速度快，可靠性高；
缺点是组建这样的网络成本是巨大的，且灵活性差。

⑥混合型拓扑结构：包括星型/总线拓扑和星型环拓扑
星型/总线拓扑是想综合星型拓扑和总线拓扑的优点，优点是用户很容易配置和重新配置网络设备。

星型环拓扑试图综合两种拓扑的优点，优点是故障诊断方便而且隔离容易，网络扩展简便，电缆安装方便。

4．了解计算机网络的类型与模式

①类型：局域网和广域网是计算机网络的两种基本类型，校园网和城域网是变种
②模式：客户机/服务器网络（C/S B/S）——基于服务器的网络
对等网络模式（P2P）——相连的机器没有主从之分，既是客户机又是服务器

5．理解 OSI 参考模型的结构和数据流 *

七层结构——
物理层：利用传输介质在网络结点之间建立物理连接，传输单位为比特
数据链路层：在通信的实体间建立数据链路连接，传输以“帧”为单位的数据包
网络层：为数据在结点之间创建逻辑链路
传输层：提供可靠的端到端服务，处理关键传输问题
会话层
表示层
应用层：为应用程序提供了网络服务

数据流——
从A应用层到A物理层到B物理层到A应用层

6．了解 TCP/IP 参考模型及协议

答：TCP/IP，即传输控制协议/网际协议，分别处于传输层和网络层

TCP/IP协议的体系结构共有四个层次，即应用层、传输层、网络互联层和网络接口层，每层都有对应的协议，如图所示。
·网络接口层：与数据链路层和物理层对应，是TCP/IP的最底层
·网络互连层（网际层）：解决计算机之间的通信问题，主要定义了网络互联协议（IP）以及数据分组的格式，主要功能是路由选择和拥塞控制
·传输层：解决的是计算机程序之间的通信问题，主要有网络传输协议TCP和用户数据报协议UDP协议
·应用层：TCP/IP将所有与应用相关的内容都归为一层。主要有超文本传输协议（HTTP）提供WWW服务，文件传输协议（FTP）用于交互式的文件传输，电子邮件协议（SMTP）复杂互联网中电子邮件的传递，网络终端协议（Telnet），域名服务（DNS）负责域名到IP地址的转换

7．理解 IP 地址划分

答：IP地址由32位二进制数组成。在实际应用中，将这32位二进制数分成4段，每段包含8位二进制数。为了便于应用，将每段都转换为十进制数，段与段之间用“.”号隔开。点分十进制记法：130.9.44.192。
IP地址编码方案——

8．理解 IP 数据报首部定义 *

数据报的一般格式：数据报首部+数据报的数据区

①版本：数据报的前4bit包含了IP协议的版本信息
②首部长度：4bit，给出以32bit字长为单位的首部长度
③服务类型：8bit，规定了本数据报的处理方式，并被分成如图所示的5个子字段，3bit的优先级（允许发送方表示本数据报的重要程度，0-普通优先级到7-网络控制），1bit的D（低时延，Delay），T（高吞吐量，Throughput），R（高可靠性，Reliability），C（费用更低廉的路由，Cost）

④总长度：给出以8bit为单位的IP数据报长度
⑤标识、标志和片偏移：用作控制数据报的分片和重组
标识——含有唯一标识该数据报的整数，便于主机识别到达的数据报片
标志——第一个控制位指定数据报是否分片，该bit为0才允许分片
    第二个控制位指明了本分片是否为原始数据的最后，为0表示最后一片
片偏移——指明分片所携带的数据在原始数据报中以8字节为单位的偏移量
⑥寿命（TTL）：设置了数据报在互联网中允许存在的时间，以喵(s)为单位
⑦协议：8bit，协议字段指出此数据报的传输层数据使用何种协议，包括TCP、UDP、ICMP、IGMP
⑧首部检验和：检验数据报的首部
⑨地址：源站IP地址和目的站IP地址各占4字节（32bit）
⑩选项字段：一些协议内容依靠此字段实现，例如排错、记录路由、时间戳等

8.5 了解TCP和UDP协议

①TCP（传输控制协议）：面向连接的，即数据传输之间需要先建立连接
②UDP（用户数据报协议）：面向无连接的，高效的传输服务

9. 理解传输层端口机制 *

答：TCP/IP传输层可以通过协议端口来标识通信的应用进程。
·传输层和应用层之间通过端口进行信息交互
·端口实际上是一个16bit长的地址，范围从0到65535，将0到1223端口号称为熟知端口，其余称为一般端口
·在数据传输过程中，应用层中不同的服务器进程不断地检测分配给它们的端口以便发现是否有应用进程要与它通信

本人认为重要的端口号：42，53，20和21，23，25，80

10．理解 TCP 报文的格式（略）

11.理解 TCP 的流量控制机制 *

答：流量控制是指防止快速的发送数据时超过接收者的能力，采用的方法基于滑动窗口的原理。
传输层的流量控制机制与链路层类似，但链路层常采用固定窗口大小，而传输层采用可变窗口大小和使用动态缓冲分配，在TCP报文段首部的窗口字段写入的数值就是当前设定的接收窗口的大小。

（了解）发送端主机在发送数据时，既要考虑到接收方的接收能力，也要考虑网络目前的使用情况。应考虑减轻网络负载
（1）通知窗口（advertised window）：这是接收方根据自己的接收能力而确定的接收窗口的大小。
（2）拥塞窗口（congestion window）：这是发送方根据目前网络的使用情况而得出的窗口值，也就是来自发送方的流量控制。
当中最小的一个最为适宜，即：发送窗口=Min[通知窗口，拥塞窗口]

12.理解 TCP 的差错控制机制 *

答：TCP的差错控制通过三种简单工具来完成：检验和、确认和超时
①检验和——每个报文包括检验和字段用来检查受到损伤的报文段，若报文段受到损伤，由目的TCP将其丢弃
②确认——确认已无损伤地到达了目的TCP
③超时——TCP不使用否认，若超时前未被确认则认为是损伤或丢失，受损伤的报文段和丢失的报文段情况相同，都会经过超时重发的过程

13.5 TCP的传输连接管理（三次握手）

TCP连接的建立——
第一次握手：源端机发送一个带有本次连接序号的请求。
第二次握手：目的主机收到请求后，如果同意连接，则发回一个带有本次连接序号和源端机连接序号的确认。
第三次握手：源端机收到含有两次初始序号的应答后，再向目的主机发送一个带有两次连接序号的确认。
连接的释放——
第一次握手：由进行数据通信的任意一方提出要求释放连接的请求报文段。
第二次握手：接收端收到此请求后，会发送确认报文段，同时当接收端的所有数据也都已经发送完毕后，接收端会向发送端发送一个带有其自己序号的报文段。
第三次握手：发送端收到接收端的要求释放连接的报文段后，发送反向确认。

14.了解 Internet 应用层协议

①超文本传输协议HTTP：是万维网客户端进程和服务器端进程交互遵守的协议，是万维网上资源传送的规则。客户给服务器发送请求，服务器向客户发送响应。
②DNS域名系统：顶级域名-二级域名-三级域名

在DNS中由域名服务器完成域名与IP地址的转换过程，这个过程称为域名解析
域名服务器主要分为：本地域名服务器、根域名服务器、授权域名服务器
③文件传输协议FTP：可以在任意不同类型的计算机和操作系统之间传送文件。FTP由FTP服务器提供服务，文件传输分上传和下载两种
④简单邮件传输协议SMTP：目前经常使用第三版POP3协议，使用@隔开的两部分，前一部分指明用户邮箱，后一部分指明域名
⑤远程通信网络Telnet
⑥简单网络管理协议SNMP：实现了监视、检查、恢复等网络管理基本功能

第三章：信息加密与 PKI

1．在构成上，密码技术主要由密码编码技术和密码分析技术两个既相互对立又相互依存的分支组成，分析它们的关系。*

①密码学（cryptology）作为数学的一个分支，是研究信息系统安全保密的科学，是密码编码学和密码分析学的统称。
②密码编码学（cryptography）是使消息保密的技术和科学。密码编码学是密码体制的设计学，即怎样编码，采用什么样的密码体制保证信息被安全地加密。
③密码分析学（cryptanalysis）是与密码编码学相对应的技术和科学，即研究如何破译密文的科学和技术。密码分析学是在未知密钥的情况下从密文推演出明文或密钥的技术。

2．单钥密码体制与双钥密码体制的主要原理和区别，能够结合图分析。*

特点：加密密钥和解密密钥相同，不仅可用于数据加密，也可用于消息的认证，最有影响力的单钥密码是DES算法，系统的保密性取决于密钥的安全性
分析：发送方通过加密算法和明文P和密钥K生成密文C=E_k（p）
接受方通过解密算法和密文C和密钥K恢复明文P=D_k（c）

特点：加密和解密能力分开，加密和解密次序可换。它既可以用于实现公共通信网的保密通信，也可以用于认证系统中对消息进行数字签名。可实现双重加解密
分析：A用自己的私钥和B的公钥加密，这样只能用B的私钥和A的公钥解密
B解码过程——E_kA1(D_kB2(c））=E_kA1(D_kB2(E_kB1(D_kA1(m))))=m

3．古典密码方案，移位密码、置换密码的原理等，能够做计算题。*

典型的例如Caesar密码，右移三位的变换；
置换密码，只是将明文中的字符打乱顺序；

4．DES 算法原理，能够根据流程图解释。*

初始置换IP：打乱64bit的明文组，分成两个32bit的L0和R0
逆初始置换IP：迭代后的置换，恢复明文中的顺序
乘积变换：L和R在迭代中左右交换位置，每次只对右边加密，迭代16次
置换运算：k由64位密钥产生，56位有效位经置换选择PC1分成左右各28bit，分别进行循环移位置换，拼合后用置换选择PC2得到48bit的k_i，48bit数据均分成8组，每组经S盒变换，得到32bit数据，再经Permulation坐标置换运算

*5．RSA 加密算法，能够根据所给条件计算密文。在RSA 加密中，取 n=3x11，fai（n）=20，取 e=3,明文是 adenf，密文是？

fai（n）=(p-1)(q-1)，fai（n）要求保密，de mod fai（n）=1
d=7，d是私钥，e是公钥，模数是n，n和e作为公钥公开
密文是0 27 31 19 26

6．使用两步公钥加密和解密如何实现签名与数据加密的双重作用，能用公式表示从加密到解密的变换关系。*

答：用A的私钥加密再用B的公钥加密，B用私钥解密再用A的公钥验证签名。

7．链路加密、节点加密、端到端加密的主要联系和区别。*

①链路加密是对网络中两个相邻节点之间传输的数据进行加密保护，每个节点对接收到的消息解密后，再使用下一个链路的密钥对消息进行加密
②节点加密在操作方式上与链路加密类似，与链路加密不同的是，节点加密不允许消息在网络节点以明文形式存在，它先把收到的消息进行解密，然后采用另一个不同的密钥进行加密，这一过程在节点上的一个安全模块中进行
③端到端加密是指对一对用户之间的数据连续地提供保护。它允许数据在从源点到终点的传输过程中始终以密文形式存在，消息在到达终点之前不进行解密

8．数字签名技术的原理。*

  数字签名技术是一种实现消息完整性认证和身份认证的重要技术。
  一个数字签名方案有安全参数、消息空间、签名、密钥生成算法、签名算法、验证算法等成分构成。从接收者验证签名的方式可将数字签名分为真数字签名和公证数字签名两类。
  数字签名方案如图所示

9．认证的目的。

答：①消息完整性认证②身份认证③消息的序号和操作时间认证

10． 身份认证常用的方式。*

答：通行字方式和持证方式。
通行字识别的方法是：被认证者先输入其通行字，然后计算机确定其正确性，当采用单向函数克服通行字文件暴露缺陷时，认证过程为：
①被认证者将其通行字输入计算机；
②计算机完成通行字的单向函数值计算；
③计算机把单向函数值和机器存储值进行比较

11． 消息认证中的报文摘要（Message Digests）和 MD5、安全散列函数（SHA） +

散列函数：对任意长度的明文经散列函数可产生固定长度的散列值h(m)
散列函数必须满足的条件——
①散列函数必须对任意长度的明文产生固定长度的散列函数值
②对任意的明文，散列函数都要容易产生
③对任意的h(m)不能找到与之对应的m
④对任意的m1不能找到m2使得h(m1)=h(m2)
⑤找不到任意的一对(m1,m2)具有相同的散列函数值
（个人觉得⑤和④没区别）

答：①报文摘要是单向的散列函数，变长明文压缩为定长摘要
②MD5是任意长明文压缩为128位的摘要，用10000000……序列填充明文到同余448（512-64） mod 512，然后再将真正的长64bit的明文添加到填充完的明文后面，构成的明文正好是512的倍数
③安全散列函数压缩成160位的摘要，用5个16进制表示的32位的数输出，同样填充明文直到512的倍数

MD5和SHA主要的区别——
①安全性：SHA摘要多了32位，更安全
②速度：SHA运算步骤多，记录单元长，所以速度更慢
③简易性：两种方法的实现都很简单，但在对操作步骤的描述上SHA要更简单一些

12． 什么是 PKI？其用途有哪些？*

答：PKI（Public Key Infrastruture）是一个用公钥密码算法原理和技术来提供安全服务的通用性基础平台，用户可利用PKI平台提供的安全服务进行安全通信。PKI采用标准的密钥管理规则，能够为所有应用透明地提供采用加密和数字签名等密码服务所需要的密钥和证书管理。
  PKI首先是适用于多种环境的框架，这个框架避免了零碎的、点对点的、特别是那些没有互操作性的解决方案，它引入了可管理的机制以及跨越多个应用和多种计算平台的一致安全性。

13． PKI 认证技术各个组成部分，能够例举几种。

答：认证机构CA、证书库、密钥备份（即恢复系统）、证书作废处理系统、PKI应用接口系统等。

14． CA 和证书库的概念和作用。*

（1）CA
它是数字证书的签发机构，是PKI的核心，并且是PKI应用中权威的、可信任的、公正的第三方机构。
（2）证书库
它是CA颁发证书和撤销证书的集中存放地，是网上的一种公共信息库，供广大公众进行开放式查询。

15． 什么是交叉认证。

答：在全球范围内建立一个容纳所有用户的单一PKI是不太可能实现的。现实可行的模型是：建立多个PKI域，进行独立的运行和操作，为不同环境和不同行业的用户团体服务。为了在不同PKI之间建立信任关系，产生了“交叉认证”的概念，它能够保证一个PKI团体的用户验证另一个团体的用户证书。交叉认证是PKI中信任模型的概念。它是一种把以前无关的CA连接在一起的机制，从而使得它们在各自主体群间实现安全通信。

第四章：防火墙技术

1．防火墙概念。*

答：防火墙是位于被保护网络和外部网络之间执行访问控制策略的一个或一组系统，包括硬件和软件，构成一道屏障，以防止发生对被保护网络的不可预测的、潜在破坏性的侵扰。
  防火墙配置在不同网络或网络安全域之间，它遵循的是一种允许或阻止业务来往的网络通信安全机制，只允许授权的通信，尽可能地对外部屏蔽网络内部的信息、结构和运行状况。

2．防火墙的五大基本功能。*

①过滤进、出网络的数据；
②管理进、出网络的访问行为；
③封堵某些禁止的业务；
④记录通过防火墙的信息内容和活动；
⑤对网络攻击的检测和告警。

3．防火墙的发展简史。

答：第一代防火墙——采用了包过滤技术。
第二代防火墙——电路层防火墙
第三代防火墙——应用层防火墙（代理防火墙）的初步结构
第四代防火墙——基于动态包过滤技术
第五代防火墙——自适应代理技术

4．包过滤防火墙进行数据包过滤的主要工作机制。*

包过滤防火墙工作在网络层；
利用访问控制列表（ACL）对数据进行过滤；
过滤依据是TCP/IP数据包（源地址和目的地址、源端口和目的端口）；

优点是效率比较高，对用户透明；
缺点是难于配置、监控和管理，无法有效地区分同一IP地址的不同用户；

5．防火墙的各种主要的体系结构，能够结合图分析其主要原理。*

①双重宿主主机体系结构：围绕具有双重宿主的计算机构筑，计算机充当网络之间的路由器；防火墙内部的系统能与双重宿主主机通信，防火墙外部的系统能与双重宿主主机通信，防火墙内部的系统不能与外部系统直接通信。

②屏蔽主机体系结构：提供安全保护的堡垒主机仅仅与被保护的内网相连，是外部网络连接内网的桥梁；还需要一个单独的过滤路由器来提供主要安全，路由器中有数据包过滤策略。

③周边网络附加在内网与外网中提供保护，堡垒主机在内外网之间提供通信服务，使用一个内部路由器来完成大部分的数据包过滤工作，外部路由器完成很少的数据包过滤工作，一般由外界提供。

6．屏蔽子网体系结构中周边网络的作用。*

答：周边网络是额外的安全层，是在外部网络与被保护的内部网络之间的附加网络，提供一个附加的保护层防止内部信息流的暴露。

7．结合 P85 图分析包过滤模型。

答：包过滤防火墙一般有一个包检查模块，位于软件层次的最底层，深入到操作系统的核心，深入到系统的网络层和数据链路层之间。抢在操作系统或路由器的TCP层对IP包的所有处理之前对IP包进行处理。
  通过检查模块，防火墙能拦截或检查所有进出的数据。检查模块首先验证这个数据包是否符合过滤规则，符合规则的包经过审计后决定是否转发，不符合规则的包二次搜索是否有额外的规则。不管是否符合过滤规则，一般都要记录情况，不符合规则的包要进行报警或通知管理员。对于丢弃的数据包，防火墙可以给发送方一个消息，也可以不发。

8．包过滤技术允许或限制数据包在网络上传输的主要依据。*

①数据包的源地址
②数据包的目的地址
③数据包的协议类型（TCP、UDP、ICMP等）
④TCP/UDP的源端口
⑤TCP/UDP的目的端口
⑥ICMP消息类型

9．结合 P88 图分析包过滤操作流程。*

(1)包过滤标准必须由包过滤设备端口存储起来，这些包过滤标准叫包过滤规则。
(2)包过滤器规则以特殊的方式存储。
(3)当包到达端口时，对包的报头进行语法分析，大部分的包过滤设备只检查IP、TCP或UDP报头中的字段，不检查数据的内容。
(4)如果一条规则阻止包传输或接收，此包不允许通过。
(5)如果一条规则允许包传输或接收，此包可以继续处理。
(6)如果一个包不满足任何一条规则，此包被丢弃。
(7)过滤规则的排列顺序是非常重要的。

10． 包过滤路由器的配置一般采用默认拒绝的原则，默认拒绝含义。*

答：默认拒绝是指，没有被明确允许的就应该被拒绝。从安全角度来看，用默认拒绝的原则更加合适。

11． 代理防火墙的主要工作原理。*

代理服务（Proxy）是一种较新型的防火墙技术，它分为：应用层网关和电路层网关。
所谓代理服务器，是指代表客户处理连接请求的程序。当代理服务器得到一个客户的连接请求时，它将核实客户请求，并用特定的安全化的代理应用程序来处理连接请求，将处理后的请求传递到真实的服务器上，然后接受服务器应答，做进一步处理后将答复交给发出请求的客户。
·代理防火墙工作于应用层，针对特定的应用层协议。
·代理服务器作为内部网络客户端的服务器，拦截住所有请求，也向客户端转发响应；
·代理客户机负责代表内部客户端向外部服务器发出请求，当然也向代理服务器转发响应；

12．电路层网关防火墙一般采用自适应代理技术，其主要机制是什么。

答：在自适应代理与动态包过滤器之间存在一个控制通道。在对防火墙进行配置时，用户仅仅将所需要的服务类型、安全级别等信息通过相应Proxy的管理界面进行设置就可以。然后，自适应代理可以根据用户的配置信息，决定是使用代理服务从应用层代理请求还是从网络层转发数据包。如果是后者，它将动态地通知包过滤器增减过滤规则，满足用户对速度和安全性的双重要求。所以，它结合了应用层网关型防火墙的安全性和包过滤防火墙的高速度等优点，在毫不损失安全性的基础之上将代理型防火墙的性能提高10倍以上。

13．代理技术的优缺点。 （略）

14． 理解状态检测技术。

答：状态检测技术即动态包过滤技术，基于状态检测技术的防火墙在网关处增加一个执行网络安全策略的检测引擎，检测引擎维护了一个动态的状态信息表并对后续的数据包进行检查，一旦发现连接的参数异常立即终止。
状态检测技术采用的是一种基于连接的状态检测机制，将属于同一连接的所有包作为一个整体的数据流看待，构成连接状态表，通过规则表与状态表的共同配合，对表中的各个连接状态因素加以识别。

15．获取防火墙标识的方法：

答：1.直接扫描 2．路径跟踪 3．标志获取 4．使用 nmap 简单推断。

16．了解个人防火墙

答：个人防火墙是一个运行在单台计算机上的软件，它可以截取进出计算机的TCP/IP网络连接数据包，并使用预先定义的规则允许或禁止其连接。
个人防火墙如同在计算机上建立了一个虚拟网络接口，不再是操作系统直接通过网卡进行通信，而是操作系统通过和个人防火墙对话，仔细检查网络通信，然后再通过网卡通信。

17．防火墙发展动态和趋势。

①优良的性能
②可拓展的结构和功能
③简化的安装和管理
④主动过滤
⑤防病毒与防黑客
⑥发展联动技术

 

第五章：入侵检测技术

1．入侵检测系统的概念。*

所谓入侵检测系统（Intrusion Detection System，IDS）是执行入侵检测任务的硬件或软件产品。
入侵检测提供了一种用于发现入侵攻击与合法用户滥用特权的一种方法。其应用前提是入侵行为与合法行为是可以区分的，也即可以通过提取行为的特征来判断行为的性质。

一般地，入侵检测系统需要解决两个问题：如何充分并可靠地提取描述行为特征的数据；如何根据特征数据高效并准确地判定行为的性质。

2．结合图分析入侵检测的基本原理。*

入侵检测是采用误用检测和异常检测的方式防范入侵行为的网络安全技术

看图说话：结合历史行为模式形成安全策略，借助入侵检测分析引擎分析当前用户行为是否是入侵行为。如果非入侵行为，那么记录下用户数据用于分析用户行为；如果是入侵行为，及时进行响应并留下审计记录。

3．基于主机的入侵检测系统与基于网络的入侵检测系统各自原理。*

①基于主机：安装在需要重点检测的主机之上，监视与分析主机的审计记录，如果发现主机的活动十分可疑，入侵检测系统就会采取相应措施。此种方式对IDS分析可能的攻击行为非常有用，可以提供较为详尽的取证信息。不足在于目标系统千差万别，依赖于具体平台。

②基于网络：放置在共享网段的重要位置，对监听采集的可疑数据包进行特征分析，如果与某些规则吻合，IDS就会发出警报直至切断网络连接。
当前大部分IDS属于该类型产品。

4．文件完整性检查系统的工作原理。

答：检查计算机自上次检测后，文件系统的变化情况。文件完整性检测系统中存有每个文件的数字文摘库，每次检查重新计算数字文摘并比较，不同说明已修改。
数字文摘通过Hash函数得到。

5．入侵检测系统中异常检测和误用检测的原理。*

①所谓异常检测，是指根据使用者行为或资源使用状况的正常程度来判断是入侵，而不依赖于具体行为是否出现。
②所谓误用检查，是指运用已知的攻击方法，根据定义好的入侵模式，通过判断这些入侵模式是否出现来检测。

6．离线检测方式在线检测方式的对比分析。

答：离线检测方式将一段时间内的数据存储起来，然后定时发给数据处理单元进行分析，如果在这段时间内有攻击发生就报警。在线检测方式的实时处理是大多数IDS所采用的办法，由于计算机硬件速度的提高，使得对攻击的实时检测和响应成为可能。

7．了解入侵检测技术中误用检测和异常检测两个方面当前的主流技术实现。 （略）

误用检测——
①条件概率预测法②产生式/专家系统③状态转换方法
异常检测——
①Denning的原始模型②量化分析③统计度量

8．举出至少三种其它非传统的入侵检测技术。

答：①神经网络②免疫学方法（识别自我/非自我）③基因算法④基于Agent的检测
（吐槽：三个都和生物学相关）

9．分布式入侵检测（Distributed Intrusion Detection）对信息的两种处理方法。

分布式信息收集、集中式处理；
分布式信息收集、分布式处理。

10．相对于传统的单机 IDS，分布式入侵检测具有哪些明显的优势。

①检测大范围的攻击行为
②提高检测的准确度
③提高检测效率
④协调响应措施

11．结合图分析基于 Agent （代理）的 IDS 主要工作机制。*

·AAFID（入侵检测自治代理）形成了一个基于代理的分层顺序控制和报告结构
·一台主机上可驻留任意数量的代理，收发器负责监控允许在主机上的所有代理，并对代理收集的信息执行数据精简，而后向一个或多个监视器报告结果
·监视器具有监控整个网络数据的能力，并可以对收发器的结果执行高级聚合功能
·系统提供的用户接口用于管理员输入控制监视器的命令

12．了解入侵检测系统的标准。

①IDWG：入侵检测消息交换格式IDMEF，入侵检测交换协议IDXP，隧道轮廓Tunnel
②CIDF：事件产生器、事件分析器、响应单元和事件数据库

13．了解入侵防护系统。

①概念：入侵防护系统（Intrution Prevention System，IPS），是一种主动的、智能的入侵检测系统，能预先对入侵行为和攻击性网络流量进行拦截，避免造成任何损失，而不是简单地在恶意数据报传送时或后才发出报警信号。
IPS通常部署在网络的进出口处，当它检测到攻击企图后，就会自动地将攻击包丢掉或采取措施将攻击源阻断。
②使用的关键技术包括：主动防御技术、防火墙与IPS联动技术、集成多种检测技术、硬件加速系统
③根据部署方式分类：网络型、主机型、应用型

14．结合图分析Snort 检测引擎的基本工作过程。*

检测引擎是NIDS（网络入侵检测系统）的核心

（本段了解即可）
如上图所示。Snort将所有已知的攻击方法以规则的形式存放在规则库中，每一条规则由规则头（RTN）和规则选项（OTN）两部分组成。
·规则头对应于规则树结点RTN（Rule Tree Node），包含动作、协议、源（目的）地址和端口以及数据流向，这是所有规则共有的部分。
·规则选项对应于规则选项结点OTN（Optional Tree Node），包含报警信息（msg）、匹配内容（content）等选项，这些内容需要根据具体规则的性质确定。 Snort在初始化并解析规则时，就分别生成TCP、UDP、ICMP、IP四个不同的规则树，每个规则树包含独立的三维链表：RTN（规则头）、OTN（规则选项）和指向匹配函数的指针。

当Snort 捕获一个数据包时，首先分析该数据包使用哪个IP协议以决定将与某个规则树进行匹配。
然后与RTN规则树结点依次进行匹配，当与一个头结点相匹配时，向下与OTN 规则选项结点进行匹配。
每个OTN 结点包含一条规则所对应的全部选项，同时包含一组函数指针，用来实现对这些选项的匹配操作。
当数据包与某个OTN 结点相匹配时，即判断此数据包为攻击数据包。然后调用相应处理函数进行处理。具体流程如下图所示。

第六章：操作系统与数据库安全技术

1．访问控制的基本概念和原理。*

答：所谓访问控制（Access Control），就是通过某种途径显式地管理着对所有资源的访问请求。根据安全策略的要求，访问控制对每个资源请求做出许可或限制访问的判断，可以有效地防止非法用户访问系统资源和合法用户非法使用资源。
访问控制是实现数据保密性和完整性机制的主要手段。

2．什么是访问控制，访问控制和认证有何区别。*

答：同1和3

3．认证、访问控制与审计的关系。*

答：在计算机系统中，认证、访问控制和审计共同建立了保护系统安全的基础。
其中认证是用户进入系统的第一道防线。访问控制则在鉴别用户的合法身份后，通过引用监控器控制用户对数据信息的访问。审计通过监视和记录系统中相关的活动，起到事后分析的作用。

区分认证和访问控制是非常重要的。正确地建立用户的身份表示是由认证服务实现的。在通过引用监视器进行访问控制时，总是假定用户的身份已经被确认，而且访问控制在很大程度上依赖用户身份的正确鉴别和引用监控器的正确控制。
同时要认识到，访问控制不能作为一个完整的策略来解决系统安全，它必须要结合审计而实行。审计主要关注系统所有用户的请求和活动的事后分析。

4．自主访问控制 DAC 和强制访问控制 MAC 各自的基本思想。*

①自主访问控制DAC( Discretionary Access Control) 的基本思想是，允许某个主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问以及访问类型。

②强制访问控制MAC(Mandatory Access Control) 的基本思想是，每个主体都有既定的安全属性，每个客体也有既定的安全属性，主体对客体是否能执行特定的操作取决于两者安全属性之间的关系。（上读下写上写下读的出处）

5．MAC 技术如何保证信息的单向流动？

答：通过两个基本特性
①简单安全性：仅当主体的安全级不低于客体安全级及且主体的类别集合包含客体的类别集合时，才允许该主体读该客体。（向下读）
②*-特性：仅当主体的安全级不高于客体安全级且客体的类别集合包含主体的类别集合时，才允许该客体写该主体。（向上写）

6．基于角色的访问控制原理RBAC。 +

答：在RBAC中，在用户和访问许可权之间引入了角色的概念，用户与特定的一个或多个角色相联系，角色与一个或多个访问权相联系。这里所谓的角色就是一个或多个用户可以执行的操作的集合，它体现了RBAC的基本思想，即授权给用户的访问权限通常由用户在一个组织中担当的角色来确定。
用户和角色间是多对多的关系，角色与客体间也是多对多的关系。
设置角色和会话带来的好处是容易实施最小特权原则。

四种RBAC模型——
①基本模型RBAC0，指明了用户，角色，访问权和会话之间的关系
②层次模型1：上层角色可继承下层角色的访问权
③约束模型2：增加了对RBAC0所有元素的约束检查，只有拥有有效值的元素才可以被接受
④层次约束模型：兼有1和2的特点

6.5 RBAC的五个特点 +

①以角色作为访问控制的主体②角色继承③最小权限原则④职责分离
⑤角色容量

-RBAC最大的优势在于它对授权管理的支持。对用户的访问授权转变为对角色的授权，然后再将用户与特定的角色联系起来。
（1）改变客体的受访问权限
（2）改变角色的访问权限
（3）改变主体所担任的角色
-RBAC中所有角色的关系结构是可以层次化的，便于管理
-RBAC方便执行最小特权原则，提高了安全性
-RBAC具有责任分离的能力
-RBAC基于策略无关的特性，使得它几乎可以描述任何安全策略，包括DAC和MAC

7．角色容量的含义。 +

答：在一个特定的时间内，有一些角色只能由一定数量的用户占用

7.5 基于任务的访问控制技术TBAC和基于组机制的访问控制技术

基于任务的访问控制TBAC：采用面向任务的观点，在任务处理的过程中提供动态实时的安全管理。在TBAC中，对象的访问权限控制并不是静止不变的，而是随着执行任务的上下文环境发生变化。
首先，TBAC在工作流的环境中考虑对信息的保护，因此它是上下文相关的
其次，TBAC能对不同工作流、同一工作流的不同实例执行不同的访问控制策略，因此它是基于实例的
最后，因为任何任务都有时效性，所以用户授权的使用也是有时效性的
TBAC的不足之处在于比任何模型都要复杂

基于组机制的NTree访问控制：NTree模型的继承是偏序的维数理论，通过比较组结点在NTree中的属性决定资源共享和权限隔离。创新之处在于提出了简单的组层次表示方法和自顶向下的组逐步细化模型，倒影树是NTree模型的一个特例

8．访问控制的三种实现技术：访问控制表（文件）、能力关系表（用户）和权限关系表（权限数组）的主要实现原理、区别和各自特点。*

访问控制矩阵中存在不少空项，为了减少系统开销与浪费，形成了三种具体的访问控制技术
①访问控制表ACL：以文件为中心建立访问权限表，但是要查询特定主体能够访问的客体时需要遍历所有客体的访问控制表，是目前采用最多的一种方式

②能力关系表：以用户为中心建立访问权限表，表中规定了该用户可访问的文件名以及访问权限

③权限关系表：一种列举了所有权限关系的列表，用每一行（或称元组）来表示主体和客体的一个权限关系，试图综合能力关系表和访问控制表的优点

9．操作系统使用的主要安全机制。

答：可信计算机系统评价准则（TCSEC），D类最低，A类最高

10．操作系统隔离控制安全措施。

设备隔离：物理上隔离
时间隔离：进程在不同时间段运行，系统是独占的
逻辑隔离：允许多进程同时允许，但感觉不到其它进程存在
加密隔离：进程隐藏起自己的数据，数据以密码形式存储，禁止其它用户访问
这几种隔离措施的复杂度是递增的，安全性则是递减的。

11．操作系统访问控制安全措施。*

在操作系统中为了提高安全级别，通常采用一些比较好的访问控制措施以提高系统的整体安全性，尤其是针对多用户、多任务的网络操作系统。
常用的访问控制措施有：
①自主访问控制DAC
②强制访问控制MAC
③基于角色的访问控制RBAC
④域和类型执行的访问控制DTE

12．操作系统资源防护技术中如何从登录控制、内存管理、文件系统三方面实施安全保护？

（1）登录控制：①登录控制要严格②系统的口令管理③良好的用户管理
（2）内存管理：①单用户内存保护技术②多道程序的保护③标记保护法④分段与分页技术
（3）文件系统：①分组保护②许可权保护③指定保护

13．例举五条以上 Linux 系统安全的防范措施。

①按“最小权限”原则设置每个内部用户账户的权限
②确保用户口令的安全
③利用防火墙机制
④定期对Linux网络进行安全检查
⑤利用日志安全机制，记录所有网络访问
⑥禁止所有控制台程序的使用

13.5 Windows 7系统

特点：更加简单、更加安全、更好的连接、更低的成本
安全机制：内核完整性、内存保护、系统完整性及用户空间防护

14．例举三条以上 Windows 7 的用户管理、文件共享等安全措施。

①设置安全密码和屏保密码
②关闭不必要的服务
③安装反病毒木马软件

14.5 数据库安全的内涵

答：包括数据库系统安全和数据库数据安全两层含义。

15．数据库安全的层次分布是如何划分的？

①物理层②人员层③操作系统④网络⑤数据库系统层

第七章：网络安全检测与评估技术

1．网络安全漏洞含义。*

答：漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，可以使攻击者在未授权的情况下访问或破坏系统。
漏洞的产生有其必然性，这是因为软件的正确性通常是通过检测来保障的，而检测只能证明错误存在，不能证明错误不存在。

2．理解信息型漏洞检测。*

答：信息型漏洞探测技术就是通过探测目标的型号、允许的操作系统版本及补丁安装情况、配置情况、运行服务及其服务程序版本等信息确定目标存在的安全漏洞的探测技术。
该技术具有实现方便、对目标不产生破坏性影响的特点。其不足之处在于对某个具体的漏洞存在与否难以给出确定性的结论。

3．理解攻击型漏洞检测。*

答：模拟攻击是最直接的漏洞探测技术，其探测结果的准确率也是最高的。该探测技术的主要思想是模拟网络入侵的一般过程，对目标系统进行无恶意攻击尝试，若攻击成功则表明相应安全漏洞必然存在。
模拟攻击也有局限性：难以做到面面俱到；模拟攻击不可能做到完全没有破坏性。
模拟攻击主要通过专用攻击脚本语言、通用程序设计语言和成形的攻击工具来进行

4．结合图来分析网络安全评估标准的发展历程，主要的三个发展阶段。 （值得了解）

①首创而孤立的阶段TCSEC
②普及而分散的阶段ITSEC、CTCPEC、FC
③集中统一阶段CC、ISO

5．了解网络安全各标准的等级划分，各等级的高低顺序。* （要求能对应上名字）

（1）TCSEC分为四类七个安全级别

（2）ITSEC也定义了七个安全级别
  EO:不能充分满足保证；
  E1:功能测试;
  E2:数字化测试;
  E3:数字化测试分析;
  E4:半形式化分析;
  E5:形式化分析;
  E6:形式化验证;

(3)CC的评估等级共分7级：EAL1到EAL7，分别为
  EAL1功能测试
  EAL2结构测试
  EAL3系统测试和检验
  EAL4系统设计、测试和评审
  EAL5半形式化设计和测试
  EAL6半形式化验证的设计和测试
  EAL7形式化验证的设计和测试

6．了解网络安全主要的评估方法：1、基于通用评估方法(CEM)的网络安全评估模型、2. 基于指标分析的网络安全综合评估模型、3. 基于模糊评价的网络安全状况评估模型

①基于通用评估方法（CEM）的网络安全评估模型
CEM由两部分组成，第一部分为简介与一般模型，包括评估的一般原则等，第二部分为评估方法，包括PP评估、ST评估、EAL1~EAL4评估等。
如下图，CEM中所有评估都具备的评估任务是评估输入任务和评估输出任务。

每一项评估活动可以进一步细分为子活动，子活动又进一步细分为动作，而每一个动作又由一个或多个确定的工作单元组成。

②基于指标分析的网络安全综合评估模型
为全面了解目标网络系统的安全性能的状况，需要对各个方面的指标或项目进行测试或评估，必须将全体评估项目的评估结果进行综合，才能得到关于目标网络信息系统的安全性能的最终评价。
定量指标的归一化：线段、折线、曲线
定性评估项的量化：等级形式“很差、较差、一般、较好、很好”
定性评估项的归一化：分配一个整数来实现结果的量化
层次结构：

典型的综合评估方法有：加权算数平均、加权几何平均、混合平均
③基于模糊评价的网络安全状况评估模型
在评估实践中，经常遇到一些评估项，它们的评估结果难于以定量的方式表达。模糊数学特别适合于用来处理定性的评估项目。

7．了解网络安全监测评估系统。

① Nessus：（1）支持多种操作系统（2）采用B/S架构（3）采用plug-in技术（4）调用外部程序增强测试能力（5）生成详细报告
② AppScan：动态分析、静态分析、交互分析

第八章：计算机病毒与恶意代码防范技术

1．请简述计算机病毒的定义。*

答：计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。
美Fred Cohen博士认为：计算机病毒是一种能传染其他程序的程序，病毒是靠修改其他程序，并把自身的拷贝嵌入其它程序而实现的。

2．计算机病毒的主要特征。*

①计算机病毒是一个程序；
②计算机病毒具有传染性，可以传染其它程序；
③计算机病毒的传染方式是修改其它程序，把自身拷贝嵌入到其他程序中而实现的；

随着计算机网络技术的飞速发展，计算机病毒逐渐融合木马、网络蠕虫和网络攻击等技术，形成了以普通病毒、木马、网络蠕虫、移动代码和复合型病毒等形态存在的恶意代码，造成更大的社会危害。

3．结合下图分析计算机病毒模块结构的相互作用关系。*

病毒分为引导模块，传染模块和发作模块
传染模块是发作模块的携带者，发作模块依赖于传染模块侵入系统。如果没有传染模块，则发作模块只能称之为一种破坏程序；如果没有发作模块，传染模块侵入系统后也不能对系统起到一定的破坏作用。
而如果没有引导模块完成病毒的驻留内存，获得控制权的操作，传染模块和发作模块也根本没有执行的机会。

4．请从磁盘结构和内存驻留两个角度对比分析系统型病毒和文件型病毒的主要区别。*

磁盘结构——
①系统型病毒：病毒的一部分存放在磁盘的引导扇区中，另一部分存放在磁盘其他扇区中，引导型病毒没有对应的文件名字。
②文件型病毒：专门感染系统中的可执行文件，其程序依附在被感染文件的首部、尾部、中部或空闲部位，绝大多数文件型病毒属于外壳型病毒。
内存驻留——
①系统型病毒：系统型病毒在系统启动时被装入，病毒程序将自身移动到适当的内存高端，采用修改内存向量描述字的方法隐藏自己，有些病毒也利用小块没有使用的低端内存系统
②文件型病毒：文件型病毒在运行其宿主程序时被装入内存，可分为高端驻留型、常规驻留型、内存控制链驻留型、设备程序补丁驻留型、不驻留内存型

5．计算机病毒模块结构。

①引导模块：获取系统控制权
②传染模块：担负计算机病毒的扩散传染任务
③发作模块：执行病毒设计者的目的操作，完成病毒的表现和破坏

6．计算机病毒如何利用中断的作用机制。*

定义：中断是CPU处理外部突发事件的一个重要技术。

中断程序的入口地址存放在计算机内存的最低端，病毒窃取和修改中断的入口地址获得中断的控制权，在中断服务中插入病毒体。
中断可以被用户程序所修改，使得中断服务程序被用户指定的程序所取代。这虽然大大方便了用户，却也给病毒提供了可乘之机，病毒正是通过修改中断以使该中断指向病毒自身来进行发作和传染的。

7．请简述计算机病毒的传染机制。

传染是指计算机病毒由一个载体传播到另一载体，由一个系统进入另一个系统的过程。计算机病毒的传染方式主要有：
①病毒程序利用操作系统的引导机制或加载机制进入内存；
②内存的病毒传染新的存储介质或程序文件是利用操作系统的读写磁盘的中断或加载机制来实现的。

8．宏病毒的行为机制。*

Word模式定义出一种文件格式，将文档资料以及该文档所需要的宏混在一起放在后缀为doc的文件之中，这种作法已经不同于以往的软件将资料和宏分开存储的方法。正因为这种宏也是文档资料，便产生了宏感染的可能性。
Word宏病毒通过.doc文档和.dot模板进行自我复制及传播。计算机文档是交流最广的文件类型。这就为Word宏病毒传播带来了很多便利，特别是Internet网络的普及和E-mail的大量应用更为Word宏病毒的传播“拓展”了道路。

9．网络病毒的概念和特点。

概念——网络病毒专指在网络中传播、并对网络进行破坏的病毒；
特点——传染方式多、传播速度快、清除难度大、破坏性强、潜在性深

10．例举计算机工作时出现哪些异常现象，则有可能感染了病毒。

①屏幕出现异常的图形或画面
②扬声器发出与正常操作无关的声音
③磁盘可用空间减少
④硬盘不能引导系统
⑤磁盘读写文件变慢
⑥系统经常死机或出现异常的重启动现象

12．计算机病毒的检测手段中的特征代码法、校验和法和行为监测法的基本方法和区别。*

①特征代码法：采集已知病毒样本，抽取特征代码，在被检测文件中搜索病毒特征代码。
优点是检测已知病毒最简单、开销最小的方法、误报警率低，缺点是速度慢、不能检查多形性和隐蔽性病毒
②校验和法：将正常文件的内容计算校验和，将校验和写入文件中或其他文件中保存，定期检查文件中的现在的校验和与原来保存的校验和是否一致，可以发现文件是否感染。
实现方法：在检测病毒工具中、在应用程序中、将校验和检测程序常驻内存
优点是方法简单、能发现未知病毒、被查文件的细微变化也能发现，缺点是易误报警、不能识别病毒名称、不能检测隐蔽性病毒
③行为监测法：利用病毒的特有行为特征来监测病毒的方法，称为行为监测法。
主要行为特征有：占用INT13H，对com、exe文件做写入动作，病毒程序和宿主程序的切换
优点是可发现未知病毒、可准确预报病毒，缺点是可能误报警、不能识别病毒名称、实现困难

14．了解恶意代码的特征

答：恶意的目的、本身是程序、通过执行发生作用

15．了解恶意代码的关键技术

生存技术——
反跟踪技术、加密技术、模糊变换技术、自动生产技术
攻击技术——
进程注入技术、端口复用技术、对抗检测技术、端口反向连接技术、缓冲区溢出攻击
隐藏技术——
本地隐藏（文件隐藏、进程隐藏、网络连接隐藏、内核模块隐藏等）
通信隐藏（通信内容隐藏和传输通道隐藏）

16．理解网络蠕虫的定义和功能模型*

定义：网络蠕虫是一种智能化、自动化，综合网络攻击、密码学和计算机病毒技术，不需要计算机使用者干预即可自主运行的攻击程序或代码。
网络蠕虫具有主动攻击、行踪隐蔽、利用漏洞、造成网络拥塞、降低系统性能、产生安全隐患、反复性和破坏性等特征，网络蠕虫无需计算机用户干预即可自主运行，通过不断获得网络中存在特定漏洞的计算机的控制权来进行传播。
功能模型：（全部背诵）

17．了解 Rootkit 技术

答：Rootkit是攻击者用来隐藏自己的踪迹和维持远程管理员访问权限的工具，而不是用来获得系统管理员访问权限的工具。
Window系统下的Rootkit关键技术有进程隐藏技术和文件隐藏技术。

第九章：数据备份技术

0. 数据备份的概念

数据备份是指将计算机磁盘上的原始数据复制到可移动存储介质上，如磁带、光盘等。在出现数据丢失或系统灾难时将复制在可移动存储介质上的数据恢复到磁盘中，从而保护计算机的系统数据和应用数据。
采用备份技术可以尽可能快地全面恢复运行计算机网络所需的数据和系统信息。是系统灾难恢复的前提之一。

1．了解产生数据失效的主要原因。

①计算机软硬件故障
②人为操作故障
③资源不足引起的计划性停机
④生产地点的灾难

2. 热备份的概念

热备份是系统处于正常运转状态下的备份。
是实现计算机高可用性的主要方式，避免因单点故障（如磁盘损伤）导致整个系统无法运行。
最典型的实现方式是双机热备份，即双机容错

3．与系统备份对应的概念是灾难恢复，简述灾难恢复步骤。

答：恢复硬件，重新装入操作系统，设置操作系统，重新装入应用程序、进行系统设置，用最新的备份恢复系统数据

4．硬盘备份的主要方式：磁盘阵列和磁盘镜像。*

5．根据框图简述形成磁盘阵列的两个基本技术。*

①磁盘延伸：如图中磁盘阵列控制器连接了4个磁盘，这四个磁盘形成了一个阵列，而磁盘序列控制器将这4个磁盘视为单一的磁盘

 

②磁盘或数据分段：因为磁盘阵列是将统一阵列的多个磁盘视为单一的虚拟磁盘，所以其数据是以分段的方式顺序存放在磁盘阵列中

5.5 磁盘阵列level +

RAID0：提供了一个便宜灵活高性能的系统结构，解决了数据存取效率和磁盘利用率的问题，RAID1和RAID5是在此基础上提供磁盘安全的方案。
RAID1：使用磁盘镜像技术
RAID2：使用海明码，在磁盘阵列中做间隔写入，写到每个磁盘中的地址（扇区）都是相同的，便于读取
RAID3：不使用海明码而采用奇偶校验，所以只需要一个额外的校验磁盘
RAID4：以扇区作为数据分段，各磁盘相同位置的分段形成一个校验磁盘分段放在校验磁盘
RAID5：不用校验磁盘，而是将校验数据以循环的方式放在每一个磁盘中，但事实上RAID5的性能并没有那么理想

6．磁盘镜像原理和实现磁盘镜像的方式。*

答：简单地讲，磁盘镜像就是一个原始的设备虚拟技术，原理是系统产生的每个I/O操作都在两个磁盘上进行，而这一对磁盘看起来就像一个磁盘一样
实现磁盘镜像的方式——
①软件镜像②外部磁盘子系统中的镜像③主机I/O控制器镜像

7．深入理解双机备份的几种主要方案，能够结合图分析。*

①纯软件方案：不使用任何附加硬件，数据通过镜像专用网将数据实时备份到备机，无公共的存储设备

②灾难备份方案：采用异步传输的方式同时镜像到其它镜像站点，自动的定时同步保证了各站点间数据变化过程的一致性

③共享磁盘阵列方案：由两台服务器和共享磁盘阵列柜构成高可用系统，双机通过共享独立的存储子系统来保证故障后数据的一致性，在两台服务器中安装所有的服务模块，服务监测模块通过网络和串口来定时监测对方状态及服务

④双机单柜方案：磁盘阵列子系统单独连接到主机，磁盘阵列中的数据只给主机专用，数据通过专用的镜像数据网完整并实时备份到备机上，风险完全分散到双机。

⑤双机双柜方案：主备机各自链接一台磁盘阵列子系统，其上的数据通过进行专用网实时镜像到备机，备机和主机有完全相同的系统和数据环境。

8．分级存储管理（Hierarchical Storage Management，HSM）技术的原理。

HSM用于对海量数据的存储备份，以至于不能完全存放在磁盘上时。
HSM是一个将硬驱、磁带驱动器和光驱组合起来的自动存储系统。其基本原则是将大部分最常用的数据保留在磁盘上，而将很少使用的数据存储到数据库中或磁盘和光带上。当数据使用率较低时，系统自动将其转移到中间存储媒介，然后存放到专用的存储介质中进行长期保存。

9．了解存储区域网(SAN)技术和网络附加存储（NAS）技术的概念。

SAN是随着光纤通道技术出现的新一代磁盘共享系统，实际上，SAN就是通过交换机把两个或更多的存储系统连接到两个或更多的服务器上。一般来说SAN包括3个主要部件：接口（包括SCSI，光纤通道），互联设备（路由器，交换机）和交换光纤。
SAN的诱人之处在于它能对一个存储网络设备中的带宽进行集中、多路复用和分散使用，并将对这个数据的访问拓展到多个平台。

NAS（Network Attached Storage，网络附属存储）按字面简单说就是连接在网络上，具备资料存储功能的装置，因此也称为“网络存储器”。它是一种专用数据存储服务器。
它以数据为中心，将存储设备与服务器彻底分离，集中管理数据，从而释放带宽、提高性能、降低总拥有成本、保护投资。其成本远远低于使用服务器存储，而效率却远远高于后者。

10． 一个完整的系统备份方案应包括：硬件备份、备份软件、日常备份制度和灾难恢复制度四个部分；目前最常用的备份介质是磁带。

10.5 数据备份策略

包括完全备份，增量备份（每天备份相较前一天的增量），差分备份（每天备份相较上一次完全备份的差分）
磁带轮换策略包括三带轮换策略，六带轮换策略，祖-父-子轮换策略

第十章：无线网络安全

0.5 无线网络的概念

简单来说，无线通信技术就是在没有物理连接的情况下使多个设备之间能够互相通信的技术。
无线网络可分为无线广域网，无线城域网，无线局域网（WLAN），无线个人网。

1．了解无线网络面临的安全威胁

①无线电信号干扰
②非法接入
③网络欺骗和会话拦截
④网络监听
⑤网络阻塞攻击

2．理解 WLAN 的安全标准*

与WLAN有关的安全机制主要包括WEP、WPA和WPA2等协议标准
①WEP
WEP即有线等价保密。WEP协议的设计目标是保护传输数据的机密性、完整性和提供对WLAN的访问控制，但是由于协议设计者对于RC4加密算法的不正确使用，使得WEP实际上无法达到其期望目标。WEP采用一个初始向量（V）和密钥(KEY)生成一个中间密钥，然后用该中间密钥加密信息。WEP加密采用的密钥长度为40bits，V的长度为24bits。
②WPA
WPA标准是Wi-Fi联盟联合IEEE 802.11i任务组的专家共同提出的，在该标准中数据加密使用临时密钥完整性协议（Temporal Key Integrity Protocol ，TKIP)，认证有两种可选模式：一种是使用802.1x协议进行认证，适用于企业用户；另一种称为预先共享密钥（Pre-Shared Key，PSK）模式，采取用户在WLAN的所有设备中手工输入共享密钥的办法来进行认证，适用于家庭用户。
③WPA2
WPA2是对WPA的增强，实际上是802.11i的完整实现。802.11i标准包括一组鲁棒性很强的安全标准集，包括802.1X身份验证和基于端口的访问控制，AES加密模块和CCMP，用来保持关联性的跟踪，并提供保密、完整性和源身份验证。

3．了解 iOS 安全机制

①可信引导
②程序签名
③沙盒和权限管理
④密钥链和数据保护

4．了解iOS 安全隐患

①越狱
②隐私泄露
③安全漏洞和恶意程序

5．了解 Android 安全机制

①权限机制
②沙盒机制
③签名机制 *.apk

6．理解常用无线网络安全技术 *

●访问控制技术：利用MAC地址访问控制和服务区认证ID (SSID，Service Set Identifier)技术来防止非法的无线设备入侵。
●数据加密技术：数据加密是无线网络安全的基础，对传输的数据进行加密是为了防止其在未授权的情况下被泄露、破坏或篡改。
●端口访问技术：IEEE802.1x协议是一种基于端口访问的控制协议，能够实现对局域网设备的安全认证和授权。该技术是用于无线网络的一种增强性网络安全解决方案。lEEE802.1x除提供端口访问控制能力之外，还提供基于用户的认证系统，使得网络管理者能更容易控制网络接入。
●数据校验技术：校验是为了确保传输数据的完整性，防止数据在传输的过程中被非法截取后而进行恶意修改的行为。

7．了解无线网络安全技术应用

①修改无线路由器的默认账号和密码
②设置服务区标识符SSID
③启用无线网络的加密设置
④设置MAC地址过滤
⑤有效管理IP分配方式
⑥DoS攻击防范
⑦部署无线入侵防御系统

第十一章：云计算安全

1．了解云安全的含义

包括：
①云自身的安全防护
②以云的形式交付和提供安全，也就是云计算技术的具体应用，可称为安全云计算

2．了解云安全的内容

①IaaS安全（Infrastruture as a service，基础设施即服务）
②PaaS安全（Platform as a service，平台即服务）
③SaaS安全（Software as a servIce，软件即服务）

3．理解云安全威胁*

云计算系统不仅面临传统信息系统的安全问题，还面临着由其运营特点所产生的一些新的安全威胁。概括来说，云计算在安全方面必须解决好下列问题：多租户高效、安全地资源共享；租户角色信任关系保证；个性化、多层次的安全保障机制。

①多租户高效、安全地资源共享
●资源的共享实现了服务成本下降和可扩展性提高，但同时也给安全带来了巨大挑战。一方面，共享系统为安全风险的快速蔓延提供了条件。另一方面，多租户共享的特征给恶意租户攻击其他租户或自私租户恶意抢占资源提供了便利。常见的安全威胁包括：恶意租户使用侧信道方法探测运行在同一主机上其他租户的隐私数据；通过抢占大量资源致使其他租户的服务不可用等。

②租户角色信任关系保证
●云端管理租户的定制应用，降低了租户对数据处理过程的可控性，为防止提供商利用其特权窃取租户的隐私信息，系统应具有相应机制保证租户和提供商间的可信关系。
●租户间的数据共享和传输依赖于租户设置的访问控制协议，为防止数据的恶意篡改和泄露，需要提供必要的手段保证租户间的可信关系。

③个性化、多层次的安全保障机制
●各层面的保障机制应分别满足下列要求：SaaS需要提供对企业更加透明的数据存储和安全方案；PaaS应具有完善的访问控制机制防止平台被黑客利用；laaS应实现数据存储、资源利用的合理性和安全性；Haas则应关注硬件的性能和数据的泄露。

4．了解云安全架构种类

基于可信根的安全架构（TPM）
基于隔离的安全架构
安全即服务的安全架构

5．根据图描述一种针对云计算环境的基于 TPM 的可信云计算平台架构 TCCP 的协议结构*

云计算TPM可信根架构
在TCCP中，云计算用户的使用空间为基于TPM的封闭虚拟环境，用户通过设置符合要求的密钥等安全措施保证其运行空间的安全性。云计算管理者仅负责虚拟资源的管理和调度。用户私密信息交由使用TPM的可信计算管理平台保管，实现了与云计算管理者的分离。从而实现了利用TPM防止管理者非法获取用户数据、篡改软件功能的行为。
TCCP主要包含两个模块：可信虚拟机监控模块TVMM和可信协同模块TC，TVMM安装在每个主机上并不断验证自身的完整性，其上安装了TPM芯片允许远程验证主机上是否运行着可信的TVMM模块；TC的主要功能是管理可信结点的信息，确保可信结点嵌入了TPM芯片，并将认证信息通知给用户。TCCP一般是由一个第三方可信机构进行管理。

6． 理解云计算安全服务体系*

云计算安全服务体系由一系列云安全服务构成，是实现云用户安全目标的重要技术手段。根据其所属层次的不同，云安全服务可以进一步分为可信云基础设施服务、云安全基础服务以及云安全应用服务3类。

①安全云基础设施服务
云基础设施服务为上层云应用提供安全的数据存储、计算等IT资源服务，是整个云计算体系安全的基石。这里，安全性包含两个层面的含义：其一是抵挡来自外部攻击的能力；其二是证明自己无法破坏用户数据与应用的能力。
②安全云基础服务
云安全基础服务属于云基础软件服务层，为各类云应用提供共性信息安全服务，是支撑云应用满足用户安全目标的重要手段。其中比较典型的几类云安全服务包括：
i.云用户身份管理服务（相当于认证）
ii.云访问控制服务
iii.云审计服务
iv.云密码服务
③安全云应用服务
云安全应用服务与用户的需求紧密结合，种类繁多。典型的例子，如DDoS攻击防护云服务、Botnet检测与监控云服务、云网页过滤与杀毒应用、内容安全云服务、安全事件监控与预警云服务、云垃圾邮件过滤及防治等。

7．了解云计算安全技术种类。 (略)

①云计算安全测试技术
②云计算认证与授权技术
③云计算安全隔离技术
④云计算安全监控技术
⑤云计算安全恢复技术

第十二章：网络安全解决方案

1．要实施一个完整的网络与信息安全体系，至少应包括三类措施，并且三者缺一不可*

答：一是社会的法律政策、规章制度措施；二是技术措施；三是审计和管理措施。

2．要使信息系统免受攻击，关键要建立起安全防御体系，从信息的保密性，拓展到信息的完整性、信息的可用性、信息的可控性、信息的不可否认性等。*

3．保护、检测、响应、恢复涵盖了对现代网络信息系统保护的各个方面，构成了一个完整的体系，请分析解释各自的作用和相互关系。【PDRR】*

①保护（Protect）：
保护包括传统安全概念的继承，用加解密技术、访问控制技术、数字签名技术、从信息动态流动、数据静态存储、经授权方可使用以及可验证的信息交换过程等方面对数据进行保护。
②检测（Detect）：
检测的含义是对信息传输的内容的可控性的检测，对信息访问过程的甄别检测，对违规与恶意攻击的检测，对系统与网络的弱点漏洞的检测等。
③响应（React）：
在复杂的信息环境中，保证在任何时候信息平台都能高效正常运行，要求安全体系提供有力的响应机制。
④恢复（Restore）：
狭义的恢复指灾难恢复，在系统受到攻击时评估系统受到的危害与损失，按紧急响应预案进行数据与系统恢复，启动备份系统恢复工作等。广义的恢复还包括灾难生存等现代新兴学科的研究。

保护、检测、响应、恢复四个概念之间存在着一定的因果和依存关系，形成一个整体。如果全面的保护仍然不能确保安全，就需要响应来为检测创造条件，有效与充分的响应安全事件能够大大减少对保护和恢复的依赖。而恢复是在其他信息安全策略都失效的情况下的最后保障机制。

4．了解网络安全设计的基本原则。

需求与代价平衡的原则
综合性和整体性的原则
一致性原则
易操作性原则
适应性与灵活性原则
多重保护原则（访问控制，漏洞检测，攻击监控，加密，认证，备份和恢复）
（多重防护的理念还是蛮重要的）

5．了解网络安全解决方案的层次划分。

答：安全的基石是社会法律法规和手段
第二部分是增强的用户认证
第三部分是授权
第四部分是加密
第五部分是审计和监控

6．了解网络安全解决方案的框架。

①网络安全需求分析
②网络安全风险分析
③网络安全威胁分析
④网络系统的安全原则
⑤网络安全产品
⑥风险评估
⑦安全服务

7．能够结合一个网络的拓扑，综合使用防火墙、入侵检测、防病毒、身份认证和审计等技术给出一个网络安全解决方案，请具体写出各种技术部署的位置。 *

-在网关位置配置多接口防火墙，将整个网络划分为外部网络、内部网络、DMZ区等多个安全区域，将工作主机放置于内部网络区域，数据库服务器等放置在DMZ区域，其它区域对DMZ区的访问必须经过防火墙模块的检查。
-在中心交换机上配置基于网络的入侵检测系统，监控整个网络内网络流量。
-在DMZ区内的数据库服务器中等重要服务器上安装基于主机的入侵检测系统，对所有上述服务器的访问进行监控，并对相应的操作进行记录和审计。
-将在DMZ区的电子商务网站和进行企业普通web发布的服务器进行独立配置，对电子商务网站的访问需要身份认证和加密传输，还要配置基于主机的入侵检测系统，防止来自Internet的攻击。
-在企业总部安装统一身份认证服务器，对所有需要认证的进行统一管理，并根据客户的安全级别设置所需要的认证方式（如静态口令、动态口令和数字证书等）。
-在内网和DMZ区都配置防病毒手段

8．了解单机用户网络安全解决方案。

①防病毒与木马
②防网络攻击
③防网站恶意代码
④电子邮件安全

9．简述计算机信息系统的安全管理的基本原则。

①多人负责
②任期有限
③职责分离

期末试题回忆

选择题

MD5的摘要是（128）位的

银行最应该采用哪种RAID level？（）

角色和用户间是（多对多）的关系

入侵检测技术来源于什么传统技术？
A.防病毒 B.防火墙技术 C.审计

多选题

下列哪些病毒属于网络蠕虫？ 选项有CIH，Nirom，冲击波，震荡波，宏病毒
以下哪些是被动的漏洞检测方法？选项有基于网络、基于目标、基于应用、基于主机，除了基于网络是主动的其余是被动的

填空题

操作系统的安全策略包括隔离控制和（访问控制）
三度包括（温度，湿度，洁净度）
系统型病毒主要入侵（操作系统）

简答题

全是打星号的题，自己看看哪些长得像简答题吧
例如：
1.线路交换、报文交换、报文分组交换
2.误用检测、异常检测
3.链路加密、节点加密、端到端加密
4.包过滤防火墙进行数据包过滤的主要机制
5.身份验证的方法

计算题

1.凯撒密码
2.RSA密码
（也没有别的计算题能考了吧）

结合图分析题（共5道，30分）

1.屏蔽子网体系结构

2.结合图分析双重解加密的具体过程

3.基于Agent的入侵检测技术

4.基于角色的访问控制RBAC

5.结合网络拓扑结构给出安全方案