信息安全读书笔记day01-网络安全的概念

网上买的《信息安全原理及应用》的书还没到，就找了一本《密码编码学与网络安全》的电子书，写的也不错，计划今天和明天把第一章绪论和第二章的数论给看完

1. 计算机网络安全概念

计算机安全的三个核心是：完整性（只要特定授权方法才可修改数据）、保密性（确保数据不被泄露）、可用性（系统能快速工作，不得拒绝授权用户的访问）。

1.1 OSI安全架构：

• 安全攻击：* 主动安全攻击：劫持流量+修改流量。* 被动安全攻击：劫持流量
• 安全机制：主要是加密数据，防止破解* 数据加密、数字签名（数据的尾端定义解密算法）、流量填充、公证（第三方做加密解密）、路由控制（选择特定物理线路）、访问控制（设置访问资源的权限）
• 安全服务：针对攻击做出的预防方案* 认证：确保双方是声称的实体* 数据保密性：主要防止被动攻击和流量分析。包括连接保密性（保护一次连接中的所有用户的数据）、无连接保密性（保护单个数据块中的所有用户数据）、流量保密性（防止劫持流量得出重要信息）。* 数据完整性：包括具有恢复功能的连接完整性（检测一次连接中是所有用户数据的操作和完整性，可以恢复数据）、无恢复的连接完整性（提供检测数据的操作日志，但不可恢复）、无连接完整性（检测无连接下数据块是否修改）。* 不可否认性：防止通信双方有拒绝对方的行为，验证对方是否属实。

1.2 网络安全模型：

下面是我画的流程图：

1.3 攻击面和攻击树

攻击面主要是指一系列可利用的系统漏洞组成，例如web端口扫描渗透、SQL注入、以及对一些文件注入代码等。

攻击树是根据不同的攻击，利用漏洞形成以一个可行攻击方法的集合，组织成树状结构，从各个层次节点进行攻击。

1.4 安全设计准则

• 机制的经济性：代码尽可能的简单、短小。
• 权限分离：不同的角色有不同的操作数权限
• 故障安全默认、开放的设计、完整的监察、模块化、隔离等

总结：

大致了解了攻击者是从哪几个部分进行攻击，以及相应的预防措施如数据加密、认证、不可否认性、以及数据完整性。明天开始学习数论基础，更好的理解加密算法。

网络安全成长路线图

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成hei客大神，这个方向越往后，需要学习和掌握的东西就会越来越多，以下是学习网络安全需要走的方向：