系分 - 系统安全分析与设计

考点摘要

对称与非对称加密（★★★）
数学签名（★★★）
信息摘要（★★★）
安全协议（★★★）
网络协议（★★）
等级保护标准（★★）

对称加密

对称加密算法也称为私钥加密算法。是指加密密钥和解密密钥相同。 1 加密强度不高，但效率高，适合较大数据加密 2 密钥分发困难
DES	替换+移位、56位密钥、64位数据块、速度快、密钥易产生、共享密钥三重DES：三次加密DES，112位密钥
RC-5	RSA数据安全公司的很多产品都使用了RC-5
IDEA	128位密钥、64位数据块、比DES的加密性好、对计算机功能要求相对低
AES	高级加密标准，又称Rijndael加密法，是美国政府采用的一种区块加密标准。

非对称加密

非对称加密算法也称为公钥加密算法，是指加密密钥和解密密钥完全不同，其中一个为公钥，另一个为私钥，并且不可能从任何一个推导出另一个。它的优点在于可以适应开放性的使用环境，可以实现数字签名与验证。公钥加密，私钥解密加密速度慢
RSA	2048位（或1024位）密钥、计算量极大、难破解，算法的密钥长度为512位
Elgamal	安全性依赖于计算有限域上离散对数这一难题
ECC	椭圆曲线算法

例题1：

在这里插入图片描述

例题1解析与答案：

答案：A

解析：题目描述“传输大量数据”，选“对称加密”

信息摘要

信息摘要：单向散列函数、固定长度的散列值。（信息摘要的算法不能用来加密解密）

常用的消息摘要算法有MD5，SHA等，市场上广泛使用的MD5，SHA算法的散列值分别为128和160位，由于SHA通常采用的密钥长度较长，因此安全性高于MD5.

数字签名

目前主要是使用基于非对称加密算法的数字签名，包括普通数字签名和特殊数字签名

数字签名的主要功能是保证信息传输的完整性、发送者的身份认证、防止交易中的抵赖发生,，数字签名为了证明自己发的，用私钥加密，公钥解密

接收者能够核实发送者对数据的签名，这个过程称为鉴别
发送者事后不能抵赖对数据的签名，这称为不可否认（不能抵赖）
接收者不能伪造对数据的签名，这称为数据的完整性
生成摘要的目的是防止被篡改（无法篡改）
对摘要进行加密的目的是为了防止抵赖

例题2：

在这里插入图片描述

例题2解析与答案：

答案：C B

解析：略

数字证书

数字证书又称为数字标识，是由认证中心（Certificate Authority, CA）签发的对用户的公钥的认证。数字证书的内容应包括CA的信息、用户信息、用户公钥、CA签发时间和有效期等。目前，国际上对证书的格式和认证方法遵从X.509体系标准。

Https有效地解决了钓鱼网站的问题。银行使用的USBKey就是数字证书，USBKey里面还包括了你的私钥信息

数字证书内容：

证书的版本信息
证书的序列号，每个证书都有一个唯一的证书序列号
证书所使用的签名算法
证书的发行机构名称，命名规则一般采用X.500格式
证书的有效期，现在通用的证书一般采用UTC时间格式，它的计时范围为1950-2049
证书所有人的名称，命名规则一般采用X.500格式
证书所有人的公开密钥
证书发行者对证书的签名

数字信封

用接收者的公钥去加密一个对称密钥，并发送给对方去，同时原文使用公钥加密公钥是数字，这个数字是否被黑客改过都不知道。通过数字证书把公钥保护起来。

数字信封就是发送方将原文用对称密钥进行加密，将对称密钥用非对称方式加密后传给接收方的过程。

接收方收到电子信封，用自己的私钥解密信封，取出对称密钥解密得到原文。

PKI公钥体系

在这里插入图片描述

场景描述：

客户访问银行服务器，首先先从银行服务器下载CA中心给银行服务器的证书
下载证书后，提取证书的公钥，前提需要验证数字证书是否可信
在客户机会生成随机密钥（对称密钥），用提取的公钥进行加密，再传递给银行服务器
银行服务器接收到随机密钥，之后所有的操作都通过随机密钥加密传输，提升安全性

在这里插入图片描述

基本结构：

CA下有RA进行注册审批
RA下会有受理点进行业务受理

网络安全 - 安全协议

在这里插入图片描述

物理层的隔离：防止无线信号传播出去。
物理层的屏蔽：使用专用的网络，比如军用网络，公安专网。
PPTP和L2TP：在通用的互联网基础之上开出两条安全的通道。
IPSec是针对IP包加密的协议（互联网安全协议）。它将原有的IP包加上密之后再传，进一步提高了IP数据包的安全性。针对IPv4和IPv6。
PGP是一套用于信息加密、验证的应用程序，基于RSA公钥加密体系的邮件加密软件。PGP既可以用于邮件，也可以用于文件加密。基于RSA的邮件加密，还可用于文件存储加密。
SSL安全套接字协议，用户使用持有证书的因特网浏览器访问服务器，主要任务是进行数据加密，并对通信会话过程进行安全保护，用于在因特网上传输机密文件也可以用与安全电子邮件。工作在传输层至应用层。传统的Http协议和SSL的结合，就有了Https，它保证了安全性，一般用在银行网络中。
SET，安全电子交易协议，多用于电子商务，身份认证。
TLS，传输层安全协议。

例题3：

在这里插入图片描述

例题3解析与答案：

答案：D

解析：略

例题4：

在这里插入图片描述

例题4解析与答案：

答案：C

解析：SSL如果使用Web登录邮箱，需要SSL和HTTPS进行安全保护

MIME是电子邮箱的信息格式

例题5：

在这里插入图片描述

例题5解析与答案：

答案：D

解析：略

网络安全 - 网络威胁与攻击

被动攻击：收集信息为主，破坏保密性。
攻击类型	攻击名称	描述
被动攻击	窃听/网络监听	用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。
	业务流分析	通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从而发现有价值的信息和规律。
	非法登录	有些资料将这种方式归为被动攻击方式。

主动攻击：中断（破坏可用性)，篡改（破坏完整性)，伪造（破坏真实性)。
攻击类型	攻击名称	描述
主动攻击	假冒身份	通过欺骗通信系统或用户达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的，黑客大多是采用假冒进行攻击。
	抵赖	这是一种来自用户的攻击，比如否认自己曾经发布过的某条消息，伪造一份对方来信等。
	旁路控制旁路攻击	攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。
	重放攻击	所截获的某次合法的通信数据拷贝，出于非法的目的而被重新发送。加时间戳能识别并应对重放攻击。
	DOS攻击	拒绝服务攻击，它是对信息或其他资源的合法访问被无条件地阻止。
	DDOS攻击	分布式拒绝服务攻击，它在DOS攻击基础之上利用控制成百上千台计算机，组成一个DDOS攻击群，同一时刻对目标发起攻击。

例题6：

在这里插入图片描述

例题6解析与答案：

答案：A

解析：略

例题7：

在这里插入图片描述

例题7解析与答案：

答案：D

解析：略

防火墙 - 功能

访问控制功能。

这是防火墙最基本也是最重要的功能，通过禁止或允许特定用户访问特定的资源，保护内部网络的资源和数据。需要禁止非授权的访问，防火墙需要识别哪个用户可以访问何种资源，包括服务控制、方向控制、用户控制和行为控制等功能。
内容控制功能。

根据数据内容进行控制，例如，防火墙可以从电子邮件中过滤掉垃圾邮件，可以过滤掉内部用户访问外部服务的图片信息，也可以限制外部访问，使它们只能访问本地Web服务器中一部分信息。
全面的日志功能。

防火墙需要完整地记录网络访问情况，包括内、外网进出的访问，以检查网络访问情况。一旦网络发生了入侵或者遭到了破坏，就可以对日志进行审计和查询。
集中管理功能。

在一个安全体系中，防火墙可能不止一台，因此，防火墙应该是易于集中管理的。
自身的安全和可用性。

防火墙要保证自身的安全，不被非法侵入，保证正常的工作。如果防火墙被侵入，安全策略被修改，这样，内部网络就变得不安全。同时，防火墙也要保证可用性，否则网络就会中断，网络连接就会失去意义。
流量控制。

针对不同的用户限制不同的流量，可以合理使用带宽资源。
网络地址转换（Network Address Translation, NAT）。

NAT是通过修改数据包的源地址（端口）或者目的地址（端口）来达到节省IP地址资源，隐藏内部IP地址功能的一种技术。
VPN（Virtual Private Network，虚拟专用网）。

只利用数据封装和加密技术，使本来只能在私有网络上传送的数据能够通过公共网络进行传输，使系统费用大大降低。

防火墙是一种静态安全技术。网络层防火墙效率高但工作的层次较低；应用层正好相反，应用层防火墙效率低但工作层次高。防火墙工作层次：工作层次越低，则工作效率越高，但安全性就低了；反之，工作层次越高，工作者效率越低，则安全性越高。

防火墙 - 分类

电路级网关型防火墙、应用网关型防火墙、代理服务型防火墙、状态检测型防火墙和自适应代理型防火墙

防火墙 - 实现模式

双宿/多宿主机模式，屏蔽主机模式，屏蔽子网模式

入侵检测技术与入侵防护技术

入侵检测系统（Intrusion-detection system, IDS）一般有两种分类方法：

基于数据源的分类。IDS首先需要解决的问题是数据源，或者说是审计事件发生器。IDS根据其检测数据来源可分为两类，分别是基于主机的IDS和基于网络的IDS。基于主机的IDS必须具备一定的审计功能，并记录相应的安全性日志；基于网络的IDS可以放在防火墙或者网关的后面，以网络嗅探器的形式捕获所有的对内和对外的数据包。
基于检测方法的分类。从检测方法上可以将IDS分为异常检测和误用检测两种类型。异常检测也称为基于行为的检测，首先建立用户的正常使用模式（即知识库），标识出不符合正常模式的行为活动；误用检测也称为基于特征的检测，建立已知攻击的知识库，判别当前行为活动是否符合已知的攻击模式。

防火墙与入侵检测的区别：

入侵检测可以良好的解决对内发起的攻击，可弥补防火墙的不足。
入侵检测更加侧重于监控，同时监控内外部网络。
防火墙是被动的策略，而入侵检测采用的是以攻为守的策略，它所提供的数据不仅可用来发现合法用户是否滥用职权，还可以追究入侵者法律责任。提供有效证据。

入侵检测技术4个模块（系统个构成）：

事件产生器
事件分析器
事件数据库
响应单元

入侵检测技术分析方法：

模式匹配：将收集到的信息与已知的网络入侵数据库进行比较，从而发现违背安全策略的行为。
统计分析：首先给系统对象建立正常使用时的特征文件，这些特征值将被用来与网络中发生的行为进行比较。当观察值超出正常值范围时，就认为有可能发生入侵行为。
数据完整性分析：主要关注文件或系统对象的属性是否被修改，这种方法往往用于事后的审计分析。

系统安全体系结构

物理环境的安全性	包括通信线路、物理设备和机房的安全等
操作系统的安全性	主要表现在3个方面，一是由操作系统本身的缺陷带来的不安全因素，主要包括身份认证、访问控制和系统漏洞等；二是对操作系统的安全配置问题；三是病毒对操作系统的威胁
网络的安全性	主要体现在计算机网络方面，包括网络层身份认证、网络资源的访问控制、数据传输的保密与完整性、远程接入的安全、域名系统的安全、路由系统的安全、入侵检测的手段和网络设施防病毒等
应用的安全性	由提供服务所采用的应用软件和数据的安全性产生，包括Web服务、电子邮件系统和DNS等。此外，还包括病毒对系统的威胁
管理的安全性	包括安全技术和设备的管理、安全管理制度、部门与人员的组织规则等

例题8：

在这里插入图片描述

例题8解析与答案：

答案：D

解析：略

例题9：

在这里插入图片描述

例题9解析与答案：

答案：C D

解析：略

信息安全保障层次

在这里插入图片描述

身份认证	用户名+口令，数字证书，生物特征识别。
访问控制	自主访问控制，强制访问控制，基于角色的访问控制，基于任务的访问控制，基于对象的访问控制。
系统	PKI/CA，Kerberos。 Kerberos是一种计算机网络授权协议，用来在非安全网络中，对个人通信以安全的手段进行身份认证。

例题10：

在这里插入图片描述