国家信息安全水平考试NISP一级官方视频知识点整理

一）信息安全概述（了解即可，考察较少）

1.1 信息与信息安全

1.1.1信息

• 信息的定义
  信息是有意义的数据，它具有一定价值，是一种需要适当保护的资产。数据是反映客观事物属性的记录，是信息的具体表现形式。数据经过加工处理之后，就成为信息;而信息需要经过数字化处理转变成数据才能存储和传输。
• 信息的功能
  反映事物内部属性、状态、结构、相互联系以及与外部环境的互动关系，减少事物的不确定性。
• 信息的表达
  信息本身是无形的，借助于信息媒体以多种形式存在或传播。它可以存储在计算机、磁带、纸张等介质中，也可以记忆在人的大脑里，还可以通过网络等方式进行传播。
• 信息与消息
  信息不同于消息，消息是信息的外壳，信息则是消息的内核，也可以说:消息是信息的笼统概念，信息则是消息的精确概念。
• 信息与数据
  信息不同于数据，数据是信息的符号表示，或称载体;信息是数据的内涵，是数据的语义解释。数据是信息存在的—种形式，只有通过解释或处理才能成为有用的信息。数据可用不同的形式表示，而信息不会随数据不同的形式而改变。

1.1.2 信息技术

• 信息技术的定义
  信息技术(Information Technology，lT)，是用于管理和处理信息所采用的各种技术的总称。主要是利用计算机科学和通信技术来设计、开发、安装和实施信息系统及应用软件。
  信息处理是获取信息并对它进行变换，使之成为有用信息并发布出去的过程，主要包括信息的获取、储存、加工、发布和表示等环节。
  目前，信息收集和处理已经成为人们社会工作的-一个重要组成部分。

• 信息技术包括生产和应用两个方面
  信息技术生产主要体现在信息技术产业本身，包括计算机软件、计算机硬件、设备制造、微电子电路等;
  信息技术应用体现在信息技术的扩散上，包括信息服务、信息管理系统等。

• 信息技术 发展阶段
  微电子、通信、计算机和网络是信息系统的核心技术，其发展进程大致可分为以下四个阶段:
  第一阶段:电讯技术的发明
  第二阶段:计算机技术的发展

  • 进入20世纪30年代，计算机理论与技术迅速发展，信息技术进入计算机阶段
  • 20世纪50年代末，第一代电子管计算机出现，用于军事科研信息处理
  • 60年代中期，第二代晶体管计算机逐渐在民用企业中使用
  • 60年代末，集成电路(lntegrated Circuit，IC)和大规模集成电路计算机接踵而至，并开始在社会普及应用。

  第三阶段:互联网的使用

  • 20世纪60年代末，美国出现了第一个用于军事目的的计算机网络ARPANET。ARPANET的重要意义在于它使连接到网络上的计算机能够相互交流信息。
  • 20世纪90年代，计算机网络发展成为全球性网络—因特网(lnternet），网络技术和网络应用迅猛发展。此外，这一阶段电话、计算机等设备也实现了互联互通，信息和数据的传输更加容易。信息技术在这一阶段的飞速发展，深刻地影响着人们作工作和生活方式。

  第四阶段:网络社会

  • 20世纪末，以Internet为核心的信息技术进一步发展，人们的工作、生活和学习越来越离不开网络，国家的经济、社会治理也与网络密不可分。
  • 高度发展的信息网络，一方面通过现实社会投射，构成了虚拟“网络社会”;另一方面通过网络信息渗透，融合了各种已存在的社会实体网络，使“网络社会”成为整个现实社会的结构形态。至此，信息技术步入一个崭新的阶段——网络社会阶段。
  • 在这一阶段，云计算、物联网和大数据技术进入人们的生活，信息和数据的保存、传输更加容易。

1.1.3 信息安全

• 定义
  信息安全一般指信息系统(包括硬件、软件、数据、人、物理环境及其基础设施)受到保护，不受偶然的或者恶意原因的影响而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。
• 信息安全的根本目的
  使信息不受内部、外部、自然等因素的威胁。所谓信息安全就是关注信息本身的安全，而不管是否应用了计算机作为信息处理的手段。在我国信息安全标准化委员会发布的GB/T 25069 -2010《信息安全技术术语》中，信息安全是指保持、维持信息的保密性、完整性和可用性，也可包括真实性、可核查性，抗抵赖性和可靠性等性质。
• 信息安全的目标
  保证信息上述安全属性得到保持，不被破坏，从而对组织业务运行能力提供支撑。
• 信息安全的任务
  保护信息资产(信息及信息系统)免受未经授权的访问使用、披露、破坏、修改、查看、记录及销毁
• 信息安全的属性
  基本属性：完整性、机密性、可用性
  其他属性：真实性、可控性、不可否认性
• 从消息的层次来看，信息安全的属性有:
  1. 机密性:机密性也称保密性，控制信息资源的开放范围，确保信息在存储、使用、传输过程中不会泄漏给非授权用户、实体和进程，或被其利用;
  2. 完整性:确保信息在存储、使用、传输过程中保持未经授权不能改变的特性，即对抗主动攻击，保持数据一致,防止数据被非法用户修改和破坏;
  3. 不可否认性:又称抗抵赖性，即建立有效的责任机制
     防止用户否认其发送信息的行为和信息的内容。
• 从网络的层次来看，信息安全的属性有:
  1. 可用性: 确保授权用户、实体和进程对信息及资源的正常使用不会被不合理拒绝，允许其可靠而及时地访问信息及资源。
  2. 可控性:对信息的传播范围及内容具有控制能力，防止非法利用信息和信息系统。
  3. 不可否认性:又称抗抵赖性，即建立有效的责任机制
     防止用户否认其发送信息的行为和信息的内容。
• 信息安全的特征
  1. 相对性：安全是相对的、动态的，没有绝对安全的系统。所以需要及时对系统安全问题进行跟踪处理，定期进行整体安全评估，及时发现问题并加以解决
  2. 必时效性：安全不能一劳永逸，需要根据安全风险，及时制定应对策略
  3. 相关性：在更改配置等操作时，需对系统重新进行评估和同步更新安全措施
  4. 必不确定性：攻击发起的时间、地点、攻击者和攻击目标都具有不确定性，在制定安全应对措施时，要尽可能考量所有潜在的安全威胁
  5. 必复杂性：信息安全是一项系统工程，涉及到安全管理、教育
     培训、立法、国际合作等领域。
• 与传统安全相比，信息安全具有4个鲜明特征
  1. 系统性:系统地从技术、管理、工程和标准法规等各层面综合保障的信息安全
  2. 动态性:对信息安全不能抱有一劳永逸的思想，应该根据风险的变化，在信息系统的整个生命周期中采取相应的安全措施来控制风险
  3. 无边界性:信息系统安全威胁超越了现实地域和现实行业的限制
  4. 非传统性:与军事安全、政治安全等传统安全相比，信息安全涉及的领域和影响范围十分广泛

1.1.4 信息系统安全

• 信息系统安全：
  1. 设备安全（设备：硬设备、软设备）
     • 设备的稳定性
     • 设备的可靠性
     • 设备的可用性
  2. 数据安全（IBM公司的定义：采取措施确保数据免受未授权的泄露篡改和毁坏）
     • 数据的秘密性（Secrecy）
     • 数据的真实性 (Authenticity)
     • 数据的完整性 (Integrity)
  3. 内容安全
     • 政治上健康
     • 符合国家法律法规
     • 符合中华民族道德规范
  4. 行为安全
     • 行为的秘密性
     • 行为的完整性
     • 行为的可控性

1.2 信息安全威胁

• 我国面临的信息安全威胁: 国家威胁、组织威胁、个人威胁
• 信息安全问题产生的根源:
  内因：系统自身的脆弱性
  外因：人为威胁、环境威胁
  例如：

1.3 信息安全发展阶段与形式

• 信息安全发展阶段：
  1. 通信安全阶段（COMSEC）
     • 核心思想： 通过密码技术解决通信保密，保证数据完整性和保密性，主要关注传输过程中的数据保护
     • 安全威胁： 搭线窃听，密码学分析
     • 安全措施：加密
  2. 计算机安全阶段（Comouter Securiy COMPUSEC）
     • 核心思想：确保信息系统的保密性，完整性，可用性
     • 安全威胁：非法访问、恶意代码、脆弱口令
     • 安全措施： 安全操作系统设计技术
  3. 信息系统安全阶段（Information Systems Security ,INFOSEC）
     • 核心思想：确保信息在存储处理和传输过程中免受泄露非法访问或破坏。
     • 安全威胁： 网络入侵，病毒破坏、信息对抗等
     • 安全措施： 防火墙，防病毒，漏洞扫描，入侵检测，PKI，VPN
  4. 信息安全保障（Information Assurance，IA）
     • 核心思想 ：动态安全，保障信息系统的业务正常，稳定运行。
     • 安全威胁：黑客、恐怖分子、信息战、自然灾害、电力中断
     • 安全措施：技术安全保障体系、安全管理体系、人员意识/培训/教育
• 我国的安全形势：
  1. 我国信息安全环境日趋复杂，网络安全问题对互联
     网的健康发展带来日益严峻的挑战，网络安全事件
     的影响力和破坏程度不断扩大。
  2. 针对网络信息的破坏活动日益严重，利用网络进行违法犯罪案件逐年上升。
  3. 安全漏洞和安全隐患增多，对信息安全构成严重威胁。
  4. 黑客攻击、恶意代码对重要信息系统安全造成严重影响。

1.4 信息安全保障

1.4.1 信息安全保障含义

• 信息安全保障是指采用技术、管理等综合手段保护信息和信息系统能够安全运行的防护性行为。
• 它通过保证信息和信息系统的可用性、完整性、机密性和不可否认性来保护并防御信息和信息系统的操作，包括通过综合保护、检测和响应等能力为信息系统提供修复。
• 防止信息泄露、修改和破坏
• 检测入侵行为，计划和部署针对入侵行为的防御措
• 采用安全措施和容错机制在遭受攻击的情况下保证机密性、私密性、完整性、抗抵赖性、真实性、可用性和可靠性
• 修复信息和信息系统所遭受的破坏

1.4.2 信息安全保障模型

• 概念：信息安全保障模型能准确描述安全的重要方面与系统行为的关系，提高对成功实现关键安全需求的理解层次，计划 -执行一检查一改进(PIan Do Check Act，PDCA) 模型和信息保障技术框架是信息安全管理和信息安全保障技术实施过程遵循的方法和思想。
  • 防护一检测-响应(Protect ion Detect i on Response
    PDR)模型
  • 策略一防护一检测一响应(Policy Protection Detect ion Response，P2DR/PPDR) 模型
• 防护一检测一响应(Protection Detect ion
  Response， PDR)模型
  基本思想是承认信息系统中存在漏洞，正视系统面临的威胁，通过适度防护并加强检测，落实安全事件响应，建立威胁源威慑，保障系统安全。该模型认为，任何安全防护措施都是基于时间的，超过该时间段，这种防护措施就可能被攻破。PDR模型直观、实用，但对系统的安全隐患和安全措施采取相对固定的假设前提，难以适应网络安全环境的快速变化。
• 策略一防护一检测一响应(Policy Protection Detect ion Response，P2DR/PPDR) 模型
  P2DR/PPDR，即策略一防护一检测一响应。该
  模型的核心是信息系统所有防护、检测和响
  应都是依据安全策略实施的。

1.5 信息系统安全保障

1.5.1 信息系统

• 定义：信息系统是具有集成性的系统，每一个组织中信
  息流动的总和构成一个信息系统。信息系统是根
  据一定的需要进行输入、系统控制、数据处理、
  数据存储与输出等活动而涉及到的所有因素的综
  合体。
• 组成：
  

1.5.2 信息安全保障的含义

• 含义：信息系统安全保障是在信息系统的整个生命周期
  中，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。
• 关系：
  
• 风险：
  信息安全风险产生的因素主要有信息系统自身存在的漏洞和来自系统外部的威胁。信息系统运行环境中存在具有特定威胁动机的威胁源，通过使用各种攻击方法，利用信息系统的各种脆弱性，对信息系统造成一定的不良影响，由此引发信息安全事件和问题。
• 保障：
  为了降低信息安全风险，信息安全保障就是针对信息系统在运行环境中所面临的各种风险，制定信息安全保障策略，在策略指导下，设计并实现信息安全保障架构或模型，采取技术、管理等安全保障措施，将风险控制到可接受的范围和程度，从而实现其业务使命。
• 使命：
  描述了信息系统从设计、开发、测试、部署、维护废弃整个生命周期中运行的需求和目标。信息系统的使命与其安全保障密不可分，需要通过信息系统安全措施来保障目标正确执行。随着信息系统面临的威胁及运行环境的变化，安全保障也需要提供相应的保障措施，从而保障信息系统的正确运行。

二）信息安全基础技术（重点）

2.1 密码学

2.1.1密码学发展：

2.1.2加密与解密

• 明文(Plaintext) : 原始消息,被隐蔽消息,未经加密的消息。
• 密文(Ciphertext)或密报(Cryptogram) :明文经密码变换而成的一种隐蔽形式。
• 加密员或密码员(Cryptographer) :对明文进行加密操作的人员。
• 截获是指一个非授权方介入系统,窃听传输的信息,导致信息泄露。它破坏了信息的保密性。非授权方可以是一个人,也可以是一个程序。
• 截获攻击主要包括:通过嗅探和监听等手段截获信息,从而推测出有用信息,如用户口令、账号,文件或程序的不正当复制等。
• 加密： 将明文变换为密文
• 解密：将密文恢复出原明文的过程

2.1.3 常见加密算法

• 对称加密算法（也称单钥或私钥密码算法）：加密密钥和解密密钥相同
  • 包括：DES、3DES、IDEA、AES
  • 优缺点：密钥相对较短，一般采用128，192，256比特，适合加密数据量大的信息，因为加密速度快
    
  • 过程：
    

---

• 非对称密码算法:加密密钥和解密密钥不同,从一个很难推出另一一个。其中对外公开的密钥,称为公开密钥( public key) ,简称公钥;必须保密的密钥
  称为私有密钥( private key) ,简称私钥。又叫公钥密码算法( Public-keycipher)。长度：512-2048
  • 常见算法：RSA、ECC、EIGamal
    
  • 过程：公钥加密，私钥解密。例如A给B传信息，需要将信息用B的公钥加密，B收到信息时用B的私钥解密，私钥只要自己有，而公钥是共享的，可以互相交换的，如果传送时用A的公钥加密则传到B时，B无法解密。
    简单来说，非对称加密就是用对方的公钥进行加密，对方收到后用自己的私钥进行解密或者用自己的公钥进行加密，对方收到后用发送方的公钥解密。

---

• 混合加密：A用对称密钥加密信息形成密文，再用非对称方法（用B的公钥）将对称密钥加密，然后一起发给对方，B收到时用自己的私钥解密对称密钥，再用对称密钥解密 密文得到名文，数字信封就是采用这种加密方式。
  其实就是，对加密明文的对称密钥进行非对称加密
  

---

• 哈希函数 ：
  对称密码和非对称密码算法主要解决信息的机密性问题，而实际系统和网络还可能受到消息篡改等攻击。
  篡改攻击主要包括:修改信息内容,改变程序使其不能正确运行等。哈希函数可以用来保证信息的完整性，但不能保证其保密性。哈希(Hash)函数(也称为杂凑函数或单向散列函数)接受一个消息作为输入,产生一个称为哈希值的输出。输出的哈希值也可称为散列值、消息摘要(Message Digest, MD)

  • 常见消息摘要算法：MD5算法、SHA-1（安全哈希算法）
    （ps:注意摘要不能再转换为明文了。）
  • 过程：A发送信息给B，首先A对信息通过单向散列函数产生固定长度的散列值，也就是数字摘要，然后也发送给B，B收到A的明文后对明文用同样的方法产生数字摘要，然后与收到的A产生的数字摘要进行对比，如果一致，说明信息保持了其完整性，没有被破坏。
  • 补充说明：信息有一点改变，所产生的摘要就会不同，所以如果发送方和接收方的数字摘要相同就可以判断完整性没有被破坏，但是传输过程中，因为发送的是明文，很有可能被窃听，不能保证数据的保密性。
    简单来讲，信息摘要技术就是比对发收方的信息摘要是否相同。
  • MD5和SHA1的比较：

  ---

• 数字签名：数字签名（又称公钥数字签名）是只有信息的发送者才能产生的别人无法伪造的一段数字串，这段数字串同时也是对信息的发送者发送信息真实性的一个有效证明。它是一种类似写在纸上的普通的物理签名，但是使用了公钥加密领域的技术来实现的，用于鉴别数字信息的方法。一套数字签名通常定义两种互补的运算，一个用于签名，另一个用于验证。数字签名是非对称密钥加密技术与数字摘要技术的应用。

  • 过程：A将明文发送给B，并将明文进行数字摘要，对产生的摘要用自己的私钥进行加密（就是非对称加密），然后加密后的摘要发送给B，B用公钥进行解密，得到数字摘要，再用收到的明文用摘要算法产生一个数字摘要，将两个摘要进行对比。
  • 补充说明：非对称加密比较复杂，不适合对大数据进行加密，先摘要再签名大大提高了效率。因为发送方是用自己的私钥加密的，私密只要自己有，所以它无法否认，很好的防止了抵赖。
    简单来说数字签名就是对摘要进行非对称加密，数字签名的验证就是对加密的摘要进行解密
  • 应用：
    

  ---

2.2 数字证书与公钥基础设施

2.2.1 数字证书

• 数字证书：绑定用户身份和公钥
  
• 证书载体：内存、IC卡、软盘、USB-KEY

2.2.2公钥基础设施

PKI : Public Key Infrastructure公钥基础设施
- 利用公开密钥技术建立的提供信息安全服务的在线基础设施。它利用加密、数字签名、数字证书来保护应用、通信或事务处理的安全。.
- 是一个包括硬件、软件、人员、策略和规程的集合,用来实现基于公钥密码体制的密钥和数字证书的产生、管理、存储、分发和撤销等功能。
- 如同电力基础设施为家用电器提供电力一样, PKI为各种应用提供安全保障,提供网络信任基础。

2.2.3 CA：认证权威机构

CA专门负责数字证书的产生、发放和管理,以保证数字证书实可靠。它是公钥基础设施PKI的核心，CA负责管理所有用户(包括各种应用程序)证书,把用户的公钥和明户的其他信息捆绑在一起,在网上验证用户的身份。

• 应用：

2.2.4 RA:证书注册机构

2.2.5 LDAP：目录服务

• 证书的存储库,提供了证书的保存、修改、删除和获取的能力
• CA采用LDAP标准的目录服务存放证书,其作用与数据库相同,优点是在修改操作少的情况下,对于访问的效率比传统数据库要高

2.2.6 CRL：证书撤销列表

• CRL (Certificate Revocation List):证书撤销列表,
  也称“证书黑名单”
  • 在证书的有效期期间,因为某种原因(如人员
    调动、私钥泄漏等等) , 导致相应的数字证书
    内容不再是真实可信,此时,进行证书撤销,
    说明该证书已是无效
• CRL中列出了被撤销的证书序列号

2.3 身份认证

• 身份认证基本方法：身份认证是用户登录系统或网站面对的第一道安全防线,如输入账号口令来登录。身份认证是在网络中确认操作者身份的过程。
  身份认证一般依据以下三种基本情况或这三种情况的组合来鉴别用户身份。

2.3.1基于口令或密钥的认证

• 静态口令认证：
  
  缺点：
  1. 通信窃取—— 窃听获得明文的用户名和口令
  2. 重放攻击——截获登录数据(明/密)，重放攻击
  3. 字典攻击——选择有意义 的单词或数字作字典
  4. 暴力攻击——穷举全部可能组合猜测口令
  5. 外部泄漏——搜索存有口令的纸片或文件
  6. 窥 探——安装监视器或从背后窥探
  7. 社交工程——冒充合法用户、假冒管理员,骗取口令。
• 短信口令认证
  是利用移动网络动态口令的认证方式。短信口令验证以手机短信形式请求包含6位随机数的动态口令,身份认证系统以短信形式发送随机的6位动态口令到用户的手机上,用户在认证时输入此动态口令即可。由于手机与用户绑定比较紧密,短信口令生成与使用场景是物理隔绝的,因此口令在通路上被截取几率较低。
• 动态口令
  - 又称一次性口令( One Time Password ，OTP )
  - 口令动态性-- 每次变化,无须人工干预
  - 口令随机性-- 随机性强,难以猜测
  - 实例：刮刮卡，U盾

2.3.2 基于用户拥有的东西,例如印章、U盾(USB Key)等

• USB-KEY 认证
  根据"用户所有"进行认证的方法有:U盾(USB Key)、电子印章等。
  USB Key认证:基于USB Key的认证方法是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合的挑战/应答认证模式。
  USB Key是一种USB接口的硬件设备,它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书,利用USB Key内置的密码算法实现对用户身份的认证。挑战/应答认证模式,即认证系统发送一个随机数(挑战) , 用户使用USB Key中的密钥和算法计算出一个数值(应答) ,认证系统对该数值进行检验,若正确则认为是合法用户。

2.3.3 基于生物特征的认证:例如指纹、声音、虹膜、人脸等。

指纹实现原理：
虹膜识别实现原理：

• 其他身份认证
  
  

2.4 访问控制

2.4.1 访问控制的相关定义

• 访问控制:针对越权使用资源的防御措施

• 目标:防止对任何资源(如计算资源、通信资源或
  信息资源)进行未授权的访问,从而使资源在授权范
  围内使用,决定用户能做什么,也决定代表-定用户
  利益的程序能做什么。

• 未授权访问:包括未经授权的使用、泄露、修改、
  销毁信息以及颁发指令等。
  -非法用户对系统资源的使用
  -合法用户对系统资源的非法使用

• 作用:机密性、完整性和可用性

• 三要素：主体、客体和控制策略

• 控制策略具体解释：

  • 控制策略是主体对客体的相关访问规则集合,即属性集合。访问策略体现了一种授权行为,也是客体对主体某些操作行为的默认。
  • 访问控制是主体依据某些控制策略或访问权限,对客体本身或其资源赋予不同访问权限的能力,从而保障数据资源在合法范围内得以有效使用和管理。
  • 访问控制安全策略实施遵循最小特权原则。在主体执行操作时,按 照主体所需权利的最小化原则分配给主体权力。最大限度地限制主体实施授权行为,避免突发事件、操作错误和未授权主体等意外情况可能给系统造成的危险。

• 授权 ：规定主体可以对客体的操作：读写等

2.4.2 自主访问控制：

自主访问控制(Discretionary Access Control. DAC)是一种广泛应用的访问控制方法。采用这种方法,资源的所有者(往往也是创建者)可以规定谁有权访问他们的资源,用户(或用户进程)可以选择与其他用户共享资源。
- 优缺点：

2.4.3 强制访问控制

(Mandatory Access Con往01，MAC) 是指主体和客体都有一个固定的安全属性,系统用该安全属性来决定一个主体是否可以访问某个客体。如果系统认为具有某一个安全属性的主体不适合访问某个客体,那么任何其他主体都无法使该主体具有访问该客体的权利。
- 主体和客体分配有一个安全属性
- 应用于军事等安全要求较高的系统
- 可与自主访问控制结合使用

• 比较：
  自主访问控制：细粒度，灵活度高，配置效率低
  强制访问控制：控制粒度大，灵活性不高，安全性强

2.4.4 基于角色的访问控制：

特点：便于授权管理，便于工作分级，便于实现各种安全策略，便于而任务分担。

2.5 安全审计

2.5.1 安全审计定义：

• 即便是采取了很多方法来保障计算机或网络安全,但仍然不可避免系统感染病毒或数据安全受到威胁。受到威胁后,如何从安全事故中恢复过来,使系统尽快运作起来,需要预先采取- -些措施。安全审计是提高安全性的重要工具,它能够再现问题，以帮助事后的责任追查和数据恢复等。
  审计技术的出现早于计算机技术,它按照时间顺序产生、记录系统事件,并对其进行检查。安全审计可以跟踪和监测系统中的异常事件,也可以监视系统中其他安全机制的运行情况。
• 计算机安全审计( Audit)是指按照一定的安全策略，记录历史操作事件并利用记录进行分析,发现系统漏洞、入侵行为等,并改善系统性能和
  安全性的一系列过程。安全审计是对访问控制的必要补充,它会对用户使用何种信息资源、使用的时间，以及如何使用(执行何种操作)进行记录与监控。通过对系统和用户进行充分和适当的审计,能够分析发现安全事件的原因,并提供相应的证据。

2.5.2 日志

日志是安全审计系统的主要组成部分。为了维护自身系统资源的运行状况，计算机系统一般都会有相应的日志系统,记录有关日常事件或者误操作警报的日期及时间。
受到可疑攻击或安全威胁后,可以通过查看事件安全日志来确认可疑或恶意的行为。例如,通过查看事件日志,发现非工作时间某个用户成功登录账户,则可能有人窃取了账号和口令:日志中有多次登录失败的记录,则可能有攻击者尝试进入系统。

2.5.3 安全审计作用：

• (1)威慑和警告潜在的攻击者和滥用授权的合法用户。如果系统使用者知道他们的行为活动被记录在审计日志中,相应人员需要为自己的行为负责,他们就会审慎自己的行为,不太会违反安全策略和绕过安全控制措施。
• (2)提供有价值的系统使用日志,帮助系统管理员及时发现系统入侵行为或潜在的系统漏洞。对审计的每一次记录进行分析,可实时发现或预防、检测入侵活动。实时入侵检测审计能及时发现非法授权者对系统的
  访问,也可以探测到病毒活动和网络攻击。
• (3)在发生故障后，可以帮助评估故障损失、重建事件和数据恢复。通过审查系统活动,可以比较容易地评估故障损失,确定故障发生的时间、原因和过程。通过对审计日志进行分析可以帮助重建系统或事件,也能协助恢复数据文件。同时,还有助于避免再次发生此类故障。
• (4)对系统控制、安全策略与规程中特定的改变做出评价和反馈,便于修订决策和部署。

三）网络安全防护技术

3.1 网络基础知识

3.1.1 网络协议模型：

• TCP/IP协议分层：
  

3.1.2 几个基本概念

• 通信地址：
  物理地址：在网络接口层，MAC地址（48bit）
  逻辑地址：在ip地址，IP地址（有IPv4和IPv6）
  封装Encapsulation：
  当高层进程要进行数据传输时，会将数据从高层向底层传送，经过底层时，分别会加上该底层的头部信息于数据首部。
  

• 解封装Decapsulation：封装的逆过程
  

• IPv4 包头格式：
  
  
  

• 端口Port：
  1.计算机中有一-些协议常用端口, 这些端口绑定了一些服务 且明确表示使用
  某种服务协议。如80端口表示HTTP协议。
  2.黑客攻击常将各种协议端口作为入侵通道。端口通过端口号标记,范围是
  0~65535。

3.1.3 几个重要协议和概念(常考英文全称，重点)

1. TCP/IP协议
   传输控制协议/因特网互联协议
   Transmission Control Protocol /Internet Protocol
   面向连接的可靠的字节流服务
2. UDP
   用户数据报协议
   User Datagram Protoocol
   面向事务的简单的不可靠信息传输服务，协议简单，占资源少，效率高
3. HTTP
   超文本传输协议
   Hyper Text Transfer Protocol
   用于从WWW服务器传输超文本到本地浏览器的传输协议，使浏览更高效，网络传输减少
4. HTML
   超文本标记语言
   Hyper Text Mark-up Language
   制作万维网页面的标准语言
5. DNS
   域名系统
   Domain Name System
   将域名解析为IP地址
6. URL
   统一资源定位符
   Uniform Resource Locator
   用户在访问网站时，为了获取特定的信息资源，需要给出特定资源的地址，即统一资源定位符，是用来标记万维网中每个信息资源的地址
   三部分组成：http://主机域名或IP地址[：端口号]/文件路径/文件名（端口号可以省略）
7. WWW
   万维网
   World Wide Web
   通过客户端程序访问服务器提供给的页面

3.2 网络安全威胁

主要来自攻击者对网络及信息系统的攻击
攻击者可以通过网络嗅探，网络钓鱼，拒绝服务，远程控制，社会工程学等网络攻击手段，获得目标计算机的控制权或有价值的信息和数据。

3.2.1社会工程学攻击

社会工程学(Social Engineering，SE）不是一门科学，而是一门综合运用信息收集、语言技巧、心理陷阱等多种手段，完成欺骗目的的方法。
社会工程学攻击主要是利用人们信息安全意识淡薄以及人性的弱点，从而让用户上当受骗。
攻击者通过各种手段和方法收集用户信息，进而使用这些用户信息完成各种非法的活动，比如身份盗用，获取有价值的情报和机密等。

3.2.2 网络嗅探

• 定义：
  嗅探，英文是sniff，也被叫做监听。网络嗅探,就是通过截获、分析网络中传输的所有数据帧而获取有用信息的行为。
• 威胁：
  对黑客来说，通过嗅探技术能以非常隐蔽的方式攫取网络中大量敏感信息，例如:你正在访问什么网站，你的邮箱密码是多少，你的QQ聊天记录是什么等等
  很多攻击方式（如著名的会话劫持）都是建立在嗅探的基础上的。
• 图示：
  

3.2.3 网络钓鱼

• 定义：网络钓鱼(Phishing)是指攻击者利用伪造的Web站点和
  欺骗性的电子邮件来进行的网络诈骗活动，受骗者往往会泄露自己的私人资料，如网上银行账号及密码、信用卡号、各种支付系统的账号及密码、身份证号等内容。诈骗者通常会将自己伪装成网络银行、网上卖家和信用
  卡公司等令人信任的品牌，骗取用户的机密信息，盗取
  用户资金。
• 常用技术：复制图片和网页设计、相似的域名、URL隐藏、欺骗性的超链接

3.2.4拒绝服务攻击

• 定义：此类攻击指一个用户占据了大量的共享资源，使得系统没有剩余的资源给其他用户可用的一种攻击方式。这是一类危害极大的攻击方式，严重时候可以使一个网络瘫痪。

• 分类：

  • Flooding攻击
    发送垃圾数据或者响应主机的请求来阻塞服务

  • Smurf攻 击
    利用IP的广播系统的反射功能来增强Flooding 攻击

  • SYN ( Synchronize ) Flooding攻击
    利用TCP实现中的漏洞(有限的缓存）来限寨外来的连请求

    简介：假设一个用户向服务器发送了SYN报文后突然死机或掉
    线，那么服务器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的( 第三次握手无法完成)，这种情况下服务器端一般会重试(再次发送SYN+ACK给客户端)并等待一段时间后丢弃这个未完成的连接，这段时间的长度称为SYN超时(Timeout) ，一般来说这个时间是分钟的数量级(大约为30秒到2分钟) ;一个用户出现异常导致服务器的一个线程等待1分钟并不是什么很大的问题，但如果有一个恶意的攻击者大量模拟这种情况。服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源:数以万计的半连接，即使是简单的保存并遍历也会消耗非常多的CPU时间和内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。实际上如果服务器的TCP/IP栈不够强大，最后的结果往往是堆栈溢出崩溃—即使服务器端的系统足够强大，服务器端也将忙于处理攻击者伪造的TCP连接请求而无暇理睬客户的正常请求(毕竟客户端的正常请求比率非常之小)，此时从正常客户的角度看来，服务器失去响应，这种情况我们称作:服务器端受到了SYN Flood攻击(SYN洪水攻击)。

• 针对拒绝服务攻击的防范措施

  1. 安装防火墙，禁止访问不该访问的服务端口，过滤不正常的畸形数据包，使用NAT隐藏内部网络结构
  2. 安装入侵检测系统，检测拒绝服务攻击行为
  3. 安装安全评估系统，先于入侵者进行模拟攻击，以便及早发现问题并解决
  4. 提高安全意识，经常给操作系统和应用软件打补丁

3.2.5 远程控制攻击

• 威胁 ：
  远程控制攻击的安全威胁
  网络攻击成功可以实现对目标主机的入侵，攻击者下一步希望对目标主机进行远程控制，以便可轻松获取目标主机中有价值的数据和信息。对目标主机的远程控制主要利用木马来实现，此外，对于web服务器还可以通过Web Shell进行远程控制。
• 远程控制攻击的实现技术
  1. 木马
     ▶木马的演变技术：
     第1代木马:20世纪80年代，主要是在UNIX环境中通过命令行界面实现远程控制。
     第2代木马:20世纪90年代末，在Windows环境中大量应用。例如，BO2000，冰河木马。
     第3代木马:通过端口反弹技术，实现从内网到外网的连接，可以穿通硬件防火墙,比较典型的是灰鸽子木马。第4代木马:通过线程插入技术在系统进程和应用进程中，实现木马运行时没有进程，网络连接也隐藏在系统进程或者应用进程中，例如广外男生木马。
     第5代木马:普遍采用rootkit技术，在隐藏方面比第4代有进一步提升。
     ▶木马的检测
     木马的检测和查杀除了依靠杀毒软件和安全防护软件等常用手段外，还可以通过全面检测系统的注册表、文件、网络连接、运行的进程等实现人工的分析。木马的远程控制功能要实现，必须通过执行一段代码来实现。因此，即使木马使用的技术再新，也会在操作系统中留下痕迹。通过运用多种监控手段和工具，可以协助发现植入的木马程序。
  2. Webshell
     ▶和操作系统中的木马程序功能类似，Webshell可以理解为是一种Web脚本写的木马后门，它用于远程控制网站服务器。Webshell以ASP、PHP、xJSP等网页文件的形式存在，攻击者首先利用Web网站的漏洞将这些网页文件非法上传到网站服务器的Web目录中，然后通过浏览器访问这些网页文件，利用网页文件的命令行执行环境，获得对网站服务器的远程操作权限，以达到控制网站服务器的目的。
     Webshell除了被攻击者利用之外，也常被网站管理员用Webshell进行网站管理、服务器管理等。Webshell能提供对网站服务器的较为强大的管理功能，它在为网站管理员提供方便的同时，也为攻击者远程控制网站提供了方便的手段。
     ▶Webshell的远程控制功能:
     在线编辑网页脚本的功能
     上传和下载文件的功能查看和管理数据库的功能
     利用网站服务器的某些漏洞进行提权后也能获得服务器上的系统管理权限

3.3 网络安全防护与实践

3.3.1 虚拟专用网络与实践

虚拟专用网络(Virtual Private Network，VPN）是在公用网络上建立专用网络的技术。

• “虚拟的"，即用户实际上并不存在一个独立专用的网络，既不需要建设或租用专线,也不需要配置专用的设备,而是将其建立在分布广泛的公共网络上，就能组成一个属于自己的专用网络。

• 其次是“专用的"，相对于“公用的"来说，它强调私有性和安全可靠性。

• 整个VPN网络的任意两个节点之间的连接手没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台。

• VPN是利用Internet等公共网络基硅设旅,通过隧道技术,为用户提供的与专用网络具有相同通信功能的安全数据通道，可以实现不同网络之间以及用户与网络之间的相互连接。

• 虚拟专用网络的主要特征：成本低，安全性高，服务质量保证，可管理性，可扩展性。

• VPN的实现技术：

  • 隧道技术是VPN的核心技术，是一种隐式传输数据的方法;隧道技术通过对数据进行封装，在公共网络上建立一条数据通道（隧道)，让数据包通过这条隧道传输:从协议层次看，主要有三种:第二层隧道协议、第三层隧道协议和第四层隧道协议。
  • IPsec协议
  • 安全套阶层协议（Security Socket Layer ，SSL）

• 过程：
  

• VPN的实际应用：
  实际应用中VPN技术针对不同的用户有不同的解决方案。
  (1）远程访问虚拟闷(Access VPN) 、
  (2）企业内部虚拟网( Intranet VPN)
  (3）企业扩展虚拟闷（Extranet VPN)

3.3.2 防火墙

• 定义：是指在一个受保护的企业内部网络与互联网间,用来强制执行企业安全策略的一个或一组系统

• 基本功能：
  根据不同的需要，防火墙的功能有比较大差异，但是一般都包含以下三种基本功能：

  • 内部和外部之间的所有网络数据流必须经过防火墙。否则就失去了防火墙的主要意义了。
  • 只有符合安全策略的数据流才能通过防火墙。这也是防火墙的主要功能：审计和过滤数据。
  • 防火墙自身应对渗透(penetration)免疫。如果防火墙自身都不安全，就更不可能保护内部网络的安全了。
    注：由于防火墙假设了网络边界和服务，因此适合于相对独立的网络例如lntranet等种类相对集中的网络。Internet上的Web网站中，超过三分之一的站点都是有某种防火墙保护的，任何关键性的服务器，都应该放在防火墙之后。

• 四大组成要素：
  ① 安全策略:一个防火墙能否充分发挥其作用的关键。哪些数据不能通过防火墙、哪些数据可以通过防火墙;防火墙应该如何具备部署;应该采取哪些方式来处理紧急的安全事件;以及如何进行审计和取证的工作。等等这些都属于安全策略的范畴。防火墙绝不仅仅是软件和硬件，而且包括安全策略，以及执行这些策略的管理员。
  ②内部网:需要受保护的网。
  ③外部网:需要防范的外部网络。
  ④技术手段:具体的实施技术。

• 缺点
  ①限制或关闭了一些有用但存在安全缺陷的网络服务给用户带来使用的不便。这是防火墙在提高安全性的同时，所付出的代价。
  ②无法应对网络内部攻击。防火墙只对内外网之间的通信进行审计和“过滤”，但对于内部人员的恶意攻击，防火墙无能为力。
  ③防火墙不能防范不经过防火墙的攻击，如内部网用户通过SLI或PPP直接进入Internet。或内部提供拨号服务。这种绕过防火墙的攻击，防火墙无法抵御。
  ④防火墙对用户不完全透明，可能带来传输延迟、瓶颈及单点失效。
  ⑤防火墙也不能完全防止受病毒感染的文件或软件的传输，由于病毒的种类繁多，如果要在防火墙完成对所有病毒代码的检查，防火墙的效率就会降到不能忍受的程度。
  ⑥防火墙不能有效地防范数据驱动式攻击。防火墙不可能对所有主机上运行的文件进行监控，无法预计文件执行后所带来的结果
  ⑦作为一种被动的防护手段，防火墙不能防范因特网上不断出现的新的威胁和攻击。

• 基本功能模块：
  

• 实物：
  
  补充：防火墙划分的四个安全区域

• 防火墙部署：

• 防火墙类型
  ①包过滤
  ② 应用代理（Application Proxy) :也叫应用网关(Application Gateway) ，它作用在应用层，其特点是完全“阻隔”网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。实际中的应用网关通常由专用工作站实现。
  ③状态检测(Status Detection) :直接对分组里的数据进行处理，并且结合前后分组的数据进行综合判断，然后决定是否允许该数据包通过。

3.4 无线局域网安全防护

3.4.1无线局域网概述

• 概念:
  无线局域网技术可以非常便捷的以无线方式连接网络设备，相对于有线局域网它具有许多优点，如人们可以随时随地的访问网络资源。
  无线网络的安全性主要体现在访问控制和数据加密两个方面
  (1）访问控制保证敏感数据只能由授权用户进行访问，
  (2）数据加密则保证发送的数据只能被所期望的用户所接受和理解。
• 示意图：
  

3.4.2 无线接入点安全管理

(1） 修改admin密码
(2） WEP加密传输
(3) 禁用DHCP服务
(4) 修改SNMP字符串
(5) 修改SSID标识
(6） 禁止SSID广播
(7) 禁止远程管理
(8） MAC地址过滤
(9) 合理放置无线AP
(10) WPA用户认证

3.5 相关实验命令

四）操作系统安全防护技术

4.1 操作系统概述

4.1.1 概念：

操作系统(Operating System，OS)是计算机系统软硬件资源的控制中心，它以尽量合理有效的方法组织多个用户程序共享计算机的各种资源。
- 有效〈efficient):系统效率，资源利用率
(如:CPU利用的充足与否，内存、外部设备是否忙碌)
- 合理:公平与否，如果不公平则会产生“死锁”或“饥饿”
- 方便（convenience) :用户界面,编程接口

• 组成：
  ①命令行用户界面(Command line User InterfaceCUI)
  键盘输入
  DOS,Linux,UNIX
  ②图形用户界面(Graphic User Interface GUI)鼠标输入
  MacOs,os/2,WINDows
  ③程序接口
  系统调用、API
• 所在层次：
  

4.1.2操作系统的功能:

• 处理器管理
• 存储器管理
• 设备管理
• 文件管理
• 网络与通信管理
• 提供用户接口

---

①处理器管理：解决如何同时运行多个程序
进程控制和管理
进程同步和互斥
进程间通信
进程死锁的防止和解决进程调度
②存储器管理—解决如何更有效地利用内存
内存分配与回收
地址变换与保护
内存共享
存储扩充
③设备管理—怎么使用外围设备设备中断管理
缓冲区管理
逻辑设备到真实设备的映射
设备分配与回收
实现虚拟设备
④文件管理—怎么保存和读取数据
提供文件的物理组织方法
提供文件的逻辑组织方法
文件存取和使用
目录管理
文件共享和安全性控制
⑤网络与通信管理—如何与另一台计算机通信
网络资源管理
数据通信管理
网络管理

4.1.3 几个常见操作系统

1. Windows家族
   Windows是美国微软公司开发的一系列操作系统，包括个人版的和商用版的，遍及个人电脑，服务器以及手机，个人电脑版本占有大部分的市场份额,商用版本也具有很好的性能和稳定性。
2. Unix家族
   Unix是一个通用、交互性的分时操作系统，最先由贝尔实验室的Ken Tompson和Dennis Richie于1969年开发出来，后来Dennis Riche开发出C语言，并用C语言重写了Unix，两人为此获得了1983年图灵奖。
   Unix有几个流派：
   • BSD (Berkeley Software Distribution )
   • AT&T UNIX
   • SUN Solaris
   • Free BSD
3. Linux
   首先由芬兰的Linus Torvalds于1991年，编写的一个操作系统内核，并发布到网上，然后由网上的无数志愿者，共同开发完成。
   Linux的发展离不开“自由软件”运动，离不开互联网，离不开全世界的无数程序员。
4. 其他一些操作系统
   IBM系列操作系统
   Mach操作系统
   Mac OS操作系统
   NetWare操作系统
   Minix操作系统

4.2 操作系统的安全威胁

• 主要包括：
  1、漏洞和漏洞扫描
  2、恶意代码
  3、端口扫描威胁

---

4.2.1 漏洞和漏洞扫描：

• 漏洞——任何可能会给系统和网络安全带来隐患的因素
  任何系统和网络都有漏洞
• 漏洞扫描——对目标网络或者主机进行安全漏洞的检测与分析，找出网络中安全隐患和存在的可能被攻击者利用的漏洞。
• 漏洞分类
  系统或应用本身存在的漏洞
  配置不当所造成的漏洞
• 举例：
  Windiws系统的漏洞产生原因：
  人为因素
  客观因素
  硬件因素
  Windows系统中的安全隐患：
  • 代码庞大复杂，代码重用现象严重
  • 盲目追求易用性和兼容性
  • Unicode的支持
  • 扩展名欺骗
  • 无法辨别”\“和”/“
  • UNC路径支持
  • 设备文件名问题
  • 注册表庞大而复杂
  • WSH:内嵌于Windows操作系统中的脚本语言工作环境
  • 系统权限分配繁冗
  • 默认兼容lanman验证
  • 设计失误
  • Windows系统中的bug
• 漏洞和漏洞扫描主要来自：
  黑客直接攻击
  黑客性质的病毒
  黑客程序（冰河、SSS)
  信息泄露（嗅探器、破解工具)
  妨碍正常运行（拒绝服务、DNS修改)

---

---

4.2.2 恶意代码

又称Malicious Code，或MalCode,MalWare。
其是设计目的是用来实现某些恶意功能的代码或程序。
恶意代码:恶意代码是一种程序，它通过把代码在不被察觉的情况下镶嵌到另一段程序中，从而达到破坏被感染电脑数据、运行具有入侵性或破坏性的程序、破坏被感染电脑数据的安全性和完整性的目的。按传播方式，恶意代码可以分成五类:病毒，木马，蠕虫，移动代码和复合型病毒。

• 图示
  
• 计算机病毒:一组能够进行自我传播、需要用户干预来触发执行的破坏性程序或代码。
  • 定义
    狭义:
    我国出台的《中华人民共和国计算机安全保护条例》对病毒的定义如下:“计算机病毒是指编制、或者在计算机程序中插入的，破坏数据、影响计算机使用，并能自我复制的一组计算机指令或者程序片段代码。”
    广义:
    能够引起计算机故障,破坏计算机数据的程序都统称为计算机病毒。
  • 例子：CIH、爱虫、新欢乐时光、求职信、恶鹰、rose.
  • 病毒程序于正常程序的比较：
    

---

• 网络蠕虫:一组能够进行自我传播、不需要用户干预即可触发执行的破坏性程序或代码。
  1．其通过不断搜索和侵入具有漏洞的主机来自动传播。2．利用系统漏洞（病毒不需要漏洞)
  3 . 如红色代码、SQL蠕虫王、冲击波、震荡波、极速波
  • 具体解释：蠕虫是一种通过网络传播的恶性病毒，它具有病毒的一些共性，如传播性，隐蔽性，破坏性等等，同时具有自己的一些特征，如不利用文件寄生(有的只存在于内存中），对网络造成拒绝服务，以及和黑客技术相结合等等。
  • 蠕虫病毒一般分为2类，一种是面向企业用户和局域网而言，这种病毒利用系统漏洞，主动进行攻击，可以对整个互联网可造成瘫痪性的后果，以“红色代码”，“尼姆达”，以及“sql蠕虫王”为代表;
    另外一种是针对个人用户的,通过网络(主要是电子邮件，恶意网页形式)迅速传播的蠕虫病毒，以爱虫病毒、求职信病毒为代表。
  • 对比
    蠕虫与一般病毒的异同：
    蠕虫一般不采取插入文件的方法，而是复制自身在互联网环境下进行传播，病毒的传染能力主要是针对计算机内的文件系统而言,而蠕虫病毒的传染目标是互联网内的所有计算机。

---

• 特洛伊木马:是指一类看起来具有正常功能，但实际上隐藏着很多用户不希望功能的程序。通常由控制端和被控制端两端组成。
  ◆大多数木马都可以使木马的控制者登录到被感染电脑上，并拥有绝大部分的管理员级控制权限。为了达到这个目的，木马一般都包括一个客户端和一个服务器端。客户端放在木马控制者的电脑中，服务器端放置在被入侵电脑中，木马控制者通过客户端与被入侵电脑的服务器端建立远程连接。一旦连接建立，木马控制者就可以通过对被入侵电脑发送指令来传输和修改文件。
  通常木马能够发动DdoS(拒绝服务)攻击。
  ◆还有一些木马不具备远程登录的功能。它们中的一些的存在只是为了隐藏恶意进程的痕迹，例如使恶意进程不在进程列表中显示出来。
  ◆另一些木马用于收集信息，例如被感染电脑的密码;木马还可以把收集到的密码列表发送互联网中一个指定的邮件帐户中。
  • 例子：冰河、网络神偷、灰鸽子
  • 特洛伊木马可以分为以下三个模式:
    • 通常潜伏在正常的程序应用中，附带执行独立的恶意操作
    • 通常潜伏在正常的程序应用中，但是会修改正常的应用进行恶意操作
    • 完全覆盖正常的程序应用，执行恶意操作
      （注：常考例子，需重点记忆）

---

• 后门:使得攻击者可以对系统进行非授权访问的一类程序。
  • 例子：IBits.WinEggDrop、Tini…
    • RootKit:通过修改现有的操作系统软件,使攻击者获得访问权并隐藏在计算机中的程序。
    • RootKit、 Hkdef、ByShel l…
    • 拒绝服务程序，黑客工具，广告软件，间谍软件…
    • 流氓软件…
  • 后门与特洛伊木马的比较：
    如果一个程序仅仅提供远程访问，那么它只是一个后门。
    如果攻击者将这些后门伪装成某些其他良性程序，那么那就变成真的特洛伊木马。
    木马是披着羊皮的狼!!它对用户个人隐私造成极大威胁。

---

---

4.2.3 端口扫描

• 端口扫描就是得到目标主机开放和关闭的端口列表，这些开放的端口往往与一定的服务相对应，通过这些开放的端口，就能了解主机运行的服务，然后就可以进一步整理和分析这些服务可能存在的漏洞，随后采取针对性的攻击。
• “端口扫描”通常指对目标计算机的所有所需扫描的端口发送同一信息，然后根据返回端口状态来分析目标计算机的端口是否打开、是否可用。
• “端口扫描”行为的一个重要特征:在短时期内有很多来自相同的信源地址传向不同的目的地端口的包。
• 对于用端口扫描进行攻击的人来说，攻击者总是可以做到在获得扫描结果的同时，使自己很难被发现或者说很难被逆向跟踪。为了隐藏攻击，攻击者可以慢慢地进行扫描。通常来说，用大时间间隔的端口扫描是很难被识别的。
  隐藏源地址的方法是发送大量的（数千个或上万个）欺骗性的端口扫描包，其中只有一个包的源地址是真实的。
  即使全部包都被拦截并被记录下来，要想辨别哪一个是真正的信源地址也是很困难的，因为只有一个包的源地址是真实的。

4.3 操作系统安全防护

4.3.1 安全防护策略

一个计算机系统是安全系统，是指该系统达到了设计时所制定的安全策略的要求，一个安全的计算机系统从设计开始，就要考虑安全问题。安全策略是构建可信系统的坚实基础,而安全策略的制定取决于用户的安全需求。

• 安全策略是指:在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。根据组织现实要求所制定的组经授权使用计算机及信息资源的规则。
• 安全策略的目标:是防止信息安全事故的影响降为最小，保证业务的持续性，保护组织的资源，防范所有的威胁。
• 分类：
  • 军事安全策略
    主要目的是提供机密性，同时还涉及完整性、可记帐性和可用性。用于涉及国家、军事和社会安全部门等机密性要求很高的单位，一旦泄密将会带来灾难性危害。
  • 商业安全策略
    主要目的是提供完整性，但不是惟一的，也涉及机密性、可记帐性和可用性。它要满足商业公司的数据不被随.意篡改。例如，一个银行的计算机系统受到完整性侵害，客户账目金额被改动，引起金融上的严重后果。
• 安全策略制定的考虑方面：
  ①物理安全策略
  物理安全策略包括以下几个方面:
  一是为了保护计算机系统、网络服务器、打印机等硬件实体和通信链路，以免受自然灾害、人为破坏和搭线攻击;
  二是验证用户的身份和使用权限，防止用户越权操作;
  三是确保计算机系统有一个良好的电磁兼容工作环境;
  四是建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。

② 访问控制策略
访问控制是对要访问系统的用户进行识别，并对访问权限进行必要的控制。
访问控制策略是维护计算机系统安全、保护其资源的重要手段。访问控制的内容有入网访问控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制等。另外，还有加密策略、防火墙控制策略等。

4.3.2 补丁程序

• 补丁包：
  针对Windows操作系统，Microsoft公司每隔一段时间就会推出一个补丁程序的集合软件，将先前发布的所有补丁程序都集合在一起，方便用户对相应软件系统的修补，该软件称为补丁包。

• 安装方式：

• 系统漏洞：
  应用软件或操作系统在逻辑设计上的缺陷或在编写时产生的错误，这个缺陷或错误可以被不法者或者电脑黑客利用，通过植入木马、病毒等方式来攻击或控制你的计算机,从而窃取计算机中的重要资料和信息，甚至破坏你的系统。
  对于软件系统来说，漏洞是无法避免、会长期存在下去

• 漏洞的产生大致有三个原因
  ⑴)编程人员的人为因素，在程序编写过程，为实现不可告人的目的，在程序代码的隐蔽处保留后门。
  2受编程人员的能力、经验和当时安全技术所限，在程序中难免会有不足之处，轻则影响程序效率，重则导致非授权用户的权限提升。
  (3由于硬件原因，使编程人员无法弥补硬件的漏洞，从而使硬件的问题通过软件表现。

4.3.3 终端防护软件

计算机已成为生活和工作中不可缺少的工具,而且随首信息技术的发展，在电脑使用中面临越来越多的系统红护和管理问题，如系统硬件故障、软件故障、病毒防范、系统升级等，如果不能及时有效地处理好,将会绍正常工作、生活带来影响。为此，提供全面的计算机司统维护服务，使用户以较低的成本换来较为稳定的系台性能,以最好的性价比保证电脑系统的正常使用，解险用户后顾之忧，使您专注于发展自己的事业，在自己的专业领域不断前进。

• windows优化大师
  Wi ndows优化大师是一款功能强大的系统辅助软件，它提供了全面有效且简便安全的系统检测、系统优化、系统清理、系统维护四大功能模块及数个附加的工具软件。使用Windows优化大师，能够有效地帮助用户了解自己的计算机软硬件信息:简化操作系统设置步骤:提升计算机运行效率;清理系统运行时产生的垃圾;修复系统故障及安全漏洞;维护系统的正常运转。
• 杀毒软件应运而生
  杀毒软件，也称反病毒软件或防毒软件，是用于消除电脑病毒、特洛伊木马和恶意软件的一类软件。杀毒软件通常集成监控识别、病毒扫描和清除和自动升级等功能,有的杀毒软件还带有数据恢复等功能，是计算机防御系统（包含杀毒软件，防火墙，特洛伊木马和其他恶意软件的查杀程序，入侵预防系统等）的重要组成部分。

4.3.4 个人防火墙

• 目前常用的防火墙技术主要有:
  包过滤型技术
  代理服务技术
  自适应代理技术
• 包过滤防火墙的基本原理
  所谓“包过滤技术”是指:将一个包过滤防火墙软件置于Intranet的适当位置，通常是在路由器或服务器中，使之能对进出lntranet的所有数据包按照指定的过滤规则进行检查，仅对符合指定规则的数据包才准予通行，否则将之抛弃。图中示出了基于包过滤技术的防火墙的位置。
• 包过滤防火墙的位置：
• 优缺点：
  

五）应用安全

5.1 浏览器安全

• 浏览器Web应用的客户端;展示网页提供用户查看和支持用户操作。
  网页的位置以URL（统一资源定位符)指示，此乃网页的地址;以http:开头的便是通过HTTP协议登陆。
  常见浏览器有:Internet Explorer 、 Firefox 、Google Chrome等。
• Cookie是由服务器端生成，发送给User-Agent(一般是浏览器)的小量信息;
  浏览器会将Cookie的key/value保存到某个目录下的文本文件内，下次请求同一网站时就发送该Cookie给服务器，这样服务器可以知道该用户是否合法用户以及是否需要重新登录等，服务器可以设置或读取Cookies中包含信息，借此维护用户跟服务器会话中的状态

5.1.1 C/S结构

• 服务器端
  服务器端是指网络中能对其它计算机和终端提供某些服务的计算机系统，比如新浪网站服务器等。
• 客户端
  客户端与服务器端相对应，是指为客户
  提供本地服务的程序，一般安装在普通的客户机上，需要与服务器端互相配合运行，如安装在移动智能终端上的地冬客户端导航程序。
• C/S结构
  客户端/服务器结构(Client/Server，简称为C/S结构)是一种软件系统的体系结构。
  此结构中客户端程序和服务器端程序通常分布于两台计算机上，客户端程序的任务是将用户的要求提交给服务器端程序，再将服务器端程序返回的结果以特定的形式显示给用户。
  服务器端程序的任务是接收客户端程序提出的服务请求，并进行相应的处理，再将结果返回给客户端程序。

5.1.2 B/S结构

• B/S结构
  以新浪网网站为例，用户所使用的浏览器即为客户端程序，在浏览器中输入新浪的网址，用户就向新浪的网站服务器发出访问请求，新浪的服务器接受客户端访问请求并进行处理，将结果返回给浏览器，由浏览器显示，提供给用户查看。
  随着因特网和移动互联网的快速发展，B/S模式得以快速发展，针对浏览器的安全威胁也越来越多，因此保护浏览器的安全就显得非常重要。
• 浏览器
  浏览器是可以显示网页文件并提供用户与服务器交互功能的一种软件。
  个人计算机上常见的网页浏览器有Internet Explorer.Firefox、Chrome.360安全浏览器等。
• 浏览器安全措施:
  (1）删除和管理Cookies
  Cookie是指网站放置在个人计算机上的小文件，用于存储用户信息和用户偏好的资料。Cookie可以记录用户访问某个网站的账户和口令，从而避免每次访问网站时都需要使用输入账户和口令登录。
  Cookie给用户访问网站带来便利的同时，也存在一些安全隐患。因为Cookie中保存的信息中常含有一些个人隐私信息，如果攻击者获取这些Cookie信息，就会危及个人隐私安全。所以在公用计算机上使用浏览器后需删除Cookie信息。
  (2）删除浏览器历史纪录
  浏览历史记录是在用户浏览网页时，由浏览器记住并存储在计算机中的信息。
  这些信息包括输入表单的信息、口令和访问的网站等，方便用户再次使用浏览器访问网站。
  如果用户使用公用计算机上网，而且不想让浏览器记住用户的浏览数据，用户可以有选择地删除浏览器历史记录。
  (3) 禁用ActiveX控件
  ActiveX控件是一些嵌入在网页中的小程序，网站可以使用这类小程序提供视频和游戏等内容。
  浏览网站服务器时，用户还可以使用这些小程序与工具栏和股票行情等内容进行交互。
  但是，ActiveX控件会导致一些安全隐患，攻击者可以使用ActiveX控件向用户提供不需要的服务。
  某些情况下，这些程序还可以用来收集用户计算机的个人信息、破坏计算机的信息，或者在未获取用户同意的情况下安装恶意软件。

5.3.3 C/S和B/S的区别

C/S模式就是客户端(client)/服务器(server)模式，客户端的电脑也可以参与整个系统的事务处理，可以处理一些不需要服务器处理的事务。B/S模式就是浏览器(brower)/服务器(server)模式，浏览器端只能通过浏览程序（IE等）访问服务器，显示服务器提供的信息，整个系统的事务处理都要由服务器来完成。

5.2 网上金融交易安全

• 网上金融交易是指用户通过因特网完成各种网络金融服务和网络电子商务支付。网络金融服务包括账户开户、查询、对帐、行内转账、跨行转账、信贷、网上证券、投资理财等服务项目，用户可以是不出户就完成各种金融业务。网络电子商务支付可以使用银行卡或者第三方支付平台完成网络购物，如购买飞机票和火车票等。为保障安全，网上金融交易一般不采用简单的账户/口令的验证方式来识别用户身份，多采取双因素身份认证识别用户身份，只有通过身份认证的用户才能通过网络完成各种转账、支付等操作。

---

网上金融交易常用的安全措施如下︰
(1) U盾(USB-Key)
(2） 手机短信验证
(3) 口令卡
(4) 采用安全超文本传输协议

---

5.2.1 U盾(USB-Key)

U盾是用于网上电子银行签名和数字认证的工具，它内置微型智能卡处理器，采用非对称加密体制对网上数据进行加密、解密和数字签名。用户选择使用U盾后，所有涉及资金对外转移的网银操作，都必须使用U盾才能完成。
使用U盾时，除了需要将U盾插入计算机，还需要输入设置的口令才能完成身份认证。

5.2.2 手机短信验证

用户向网络金融交易平台发出交易请求后，网络金融平台通过短信向用户绑定的手机号码发出一次性口令，只有在输入正确的用户口令和短信验证口令后，整个交易才能被确认并完成。

5.2.3 口令卡

口令卡相当于一种动态的电子银行口令。
口令卡上以矩阵的形式印有若干字符串，用户在使用电子银行进行对外转账、缴费等支付交易时，电子银行系统就会随机给出一组口令卡坐标，用户根据坐标从卡片中找到口令组合并输入。
只有口令组合输入正确时，用户才能完成相关交易。
这种口令组合是动态变化的，用户每次使用时输入的口令都不一样，交易结束后即失效，从而防止攻击者窃取用户口令。

5.2.4 采用安全超文本传输协议

安全超文本传输协议是以安全为目标的HTTP通道协议（Hyper TextTransfer Protocol over Secure Socket Layer,HTTPS),是HTTP协议的安全版。
HTTPS协议提供了身份验证与加密通信的方法，广泛用于因特网上安全敏感的通信，例如银行网站登录采用的是HTTPS方式，该安全协议可以很大程度上保障用户数据传输的安全。

5.3 电子邮件安全

• 电子邮件系统
  电子邮件(Electronic mail ,Email)是一种用电子手段提供信息交换的服务方式，是因特网上应用最为广泛的服务之一。

5.3.1电子邮件安全威胁

随着电子邮件的广泛应用，电子邮件面临的安全威胁越来越多。这些威胁包括邮件地址欺骗、垃圾邮件、邮件病毒、邮件炸弹、邮件拦截、邮箱用户信息泄露等。
( 1)邮件地址欺骗
邮件地址欺骗是黑客攻击和垃圾邮件制造者常用的方法。由于在SMTP协议中，邮件发送者可以指定SMTP发送者的发送账户、发送账户的显示名称、SMTP服务器域名等信息，如果接收端未对这些信息进行认证就可能放过一些刻意伪造的邮件。攻击者可以通过自行搭建SMTP服务器来发送伪造地址的邮件。目前，正规的邮件服务器都有黑名单和反向认证等机制，如检查邮件来源IP、检查邮件发送域、反向DNS查询、登录验证等。伪造邮件一般很难通过严格设置的邮件服务器，但用户还是要对邮件内容涉及敏感信息的邮件来源保持高度警惕。
( 2)垃圾邮件
垃圾邮件是指未经用户许可就强行发送到用户邮箱的电子邮件。垃圾邮件一般具有批量发送的特征，其内容包括赚钱信息、成人广告、商业或个人网站广告、电子杂志、连环信等。垃圾邮件可以分为良性和恶性的。良性垃圾邮件是对收件人影响不大的信息邮件，例如各种宣传广告﹔恶性垃圾邮件是指具有破坏性的电子邮件，例如携带恶意代码的广告。
(3)邮件病毒
邮件病毒和普通病毒在功能上是一样的，它们主要是通过电子邮件进行传播，因此被称为邮件病毒。一般通过邮件附件发送病毒，接收者打开邮件，运行附件会使计算机中病毒。
(4）邮件炸弹
邮件炸弹指邮件发送者利用特殊的电子邮件软件，在很短的时间内连续不断地将邮件发送给同一收信人，由于用户邮箱存储空间有限，没有多余空间接收新邮件，新邮件将会丢失或被退回，从而造成收件人邮箱功能瘫痪。同时，邮件炸弹会大量消耗网络资源，常常导致网络阻塞，严重时可能响到大量用户邮箱的使用

5.3.2 电子邮件安全防护技术

(1)垃圾邮件过滤技术
垃圾邮件过滤技术是应对垃圾邮件问题的有效手段之一。下面介绍实时黑白名单过滤和智能内容过滤两种垃圾邮件过滤技术。
黑白名单过滤采用最简单直接的方式对垃圾邮件进行过滤。由用户手动添加需要过滤的域名、发信人或发信IP地址等。对于常见的广告型垃圾邮件，此方法的防范效果较为明显。但此种方式属于被动防御，需要大量手工操作，每次需要对黑白名单手工添加。
内容过滤主要针对邮件标题、邮件附件文件名和邮件附件大小等选项设定关键值。当邮件标题，邮件附件文件名和邮件附件大小等选项被认为是垃圾邮件，邮件系统就会将其直接删除。
( 2 )邮件加密和签名
未经加密的邮件很容易被不怀好意的偷窥者看到，如果对带有敏感信息的邮件进行加密和签名，就可以大大提高安全性。
用于电子邮件加密和签名的软件有许多，GnuPG ( GNU Privacy Guard)是其中常见的一种开源软件。
GnuPG是一个基于RSA公钥密码体制的邮件加密软件，可以加密邮件以防止非授权者阅读，同时还可以对邮件加上数字签名，使收信人可以确认邮件发送者，并确认邮件没有被篡改。

• 防范邮件的篡改伪冒抵赖

1. 通信和会话加密
   使用安全协议,例如使用SSL代替http。
2. 限制连接
   减少攻击者进行会话劫持的机会。
3. 完善认证措施
   在建立会话后继续进行认证。正是由于伪冒的可能性存在，所以一个合法的用户可以抵赖，否认发送邮件。

5.4 数据安全

5.4.1 数据备份

数据备份就是保留一套后备系统，做到有备无患。数据备份就是保存数据的副本。数据备份的目的是为了预防事故（如自然灾害、病毒破坏和人为损坏等)造成的数据损失。数据备份就是从应用主机的硬盘或阵列复制到其它异地存储介质或移动硬盘的过程。

• 数据备份的方式：

1. 传统方式是采用内置或外置的磁带机进行冷备份。备份后的磁带机数据保存在安全的位置，这种备份方式恢复数据的时间很长。
2. 随着技术的不断发展，海量数据的增加，不少企业开始采用网络备份。网络备份一般通过专业的数据存储管理软件结合相应的硬件和存储设备来实现。
3. 随着云计算和云技术的发展，越来越多人们常使用云备份的方式来保存重要资料。个人和企业可以将重要数据备份到云服务器上，需要使用时，从云服务器上下载到本地使用。

• 数据备份与数据复制：
  数据复制是指将重要的数据复制到其他存储介质，并保存在其他地方，当数据遭到意外损坏或者丢失时,再将保存的数据副本恢复到系统。
  完善的备份必须在数据复制的基础上，提供对数据复制的管理，彻底解决数据的备份与恢复问题。单纯的数据复制无法提供文件的历史记录，也无法备份系统状态等信息，不便于系统的完全恢复。

• 数据备份主要有：
  ①完全备份:对服务器上的所有数据进行完全备份，包括系统文件和数据文件。并不依赖文件的存档属性来确定备份那些文件。（在备份过程中，任何现有的标记都被清除，每个文件都被标记为已备份，换言之，清除存档属性）。
  完全备份所需时间最长，但恢复时间最短，操作最方便。当系统中的数据量不大时，采用完全备份最可靠。
  ② **增量备份:**只对上一次备份后增加的和修改过的数据进行备份。增量备份过程中，只备份有标记的选中的文件和文件夹，备份后，它清除标记，即:备份后清除存档属性。
  优点：由于没有重复的备份数据，既节省磁盘空间，又缩短了备份时间。但是一旦发生灾难，恢复数据则比较麻烦，因而实际应用中一般不采用这种方式。
  ③ 差异备份：对上一次完全备份（而不是上次备份）之后新增加的和修改过的数据进行备份。差异备份过程中，只备份有标记的那些选中的文件和文件夹。它不清除标记，即:备份后不标记为已备份文件，换言之，不清除存档属性）。
  降低增量备份存储空间不足的可能性;在恢复数据时,需两份数据,一份是上一次完全备份，另一份是最新的差异备份。

• 硬件容错和数据备份
  ①硬件容错是指用冗余的硬件来保证系统的连续运行。硬件容错的目的为了保证系统数据的可用性和不间断运行，即保护系统的在线伏态，保证数据可信且可用。
  ②数据备份则是将整个系统的数据或状态保存下来,以便将来挽回因事故带来的数据损失，保存的数据副本处于离线状态。备份数据的恢复需要一定的时间，在此期间，系统往往是不可用的。

5.4.2 数据恢复

• 定义：数据恢复就是将数据恢复到事故之前的状态。数据恢复总是与备份相对应,实际上可以看成备份操作的逆过程。备份是恢复的前提，恢复是备份的目的,无法恢复的备份是没有意义的
• 工具：
  EasyRecovery是一款常用的数据恢复工具，当硬盘受病毒影响、格式化分区、误删除、断电或瞬间电流冲击造成的数据毁坏、程序的非正常操作或系统故障造成的数据毁坏等意外操作时，它可以帮助用户恢复丢失的数据以及重建文件系统。
  EasyRecovery不会向用户的原始驱动器写入任何数据，它的工作原理是在内存中重建文件分区表，然后将数据安全地传输到其他驱动器中。使用数据恢复软件找回数据文件的前提是硬盘中还保留有误删除文件的信息和数据块。当用户误删除文件或者误格式化U盘后，不要在该分区中写入任何文件，否则这些需要恢复的数据就有可能被写入的数据覆盖，恢复数据的难度就会加大。因此，为了恢复误删除的数据，就不能对要修复的分区或硬盘进行新的读写操作。

5.4.3 数据加密

数据加密是保护数据安全的主要手段之一，可以避免用户在传输或存储重要信息过程中，被第三方窃取信息。常见的数据加密工具可以分为硬件加密和软件加密。硬件加密工具直接通过硬件单元，如利用USB接口或者计算机并行口等对数据进行加密，加密后可以有效地保护用户信息、隐私或知识产权。软件加密工具主要有文件加密工具、光盘加密工具和磁盘加密工具。对单个文件或文件夹进行加密的工具有很多。

• 例子
  ZIP和RAR等压缩包可以用来加密大文件，压缩时可以设置密码，获取压缩包内的内容需要输入正确的口令才能解压。WPS、Word、PPT、PDF等也可以通过设置口令的方式来加密文件。光盘加密工具可以防止光盘数据被复制，可采用的方法很多。用户可以给光盘添加密码。
• 目前磁盘加密工具主要有∶
  ( 1 )PGPDisk，该软件是美国PGP公司开发的PGP系列安全软件中的一个套件，它的核心思想是通过建立虚拟磁盘来存放并保护加密数据。用户在使用虚拟磁盘文件时需要输入口令，所有存放在虚拟磁盘中的文件都是加密的。如果用户不需要这个虚拟磁盘，可以删除。
  (2 ) TrueCrypt，这是一款免费开源的加密软件，同时支持多种操作系统。该软件通过在计算机上产生一个或几个虚拟盘来存放敏感数据，每个虚拟磁盘使用高强度密码算法进行加解密，加解密过程全部自动实现，用户只要输入正确的口令，就能读取这些文件，否则不能读取数据。
• 为了数据安全，加密数据时应尽量保证:
  (1）加密过程足够强壮并覆盖整个磁盘，包括剩余空间、交换文件等;
  (2) 加密密钥足够长，能够抵御暴力破解攻击;
  (3) 加密密钥自身的机密性能够得到保障，例如用于加密磁盘的密钥从不存储在被加密保护的磁盘中。
  (4) 除了采用数据加密保证数据的保密性，用户还可以通过对数据文件添加数字签名来保证数据文件的完整性和真实性，防止数据被篡改或伪造，也可避免可能存在的欺骗和抵赖。一些应用软件可以对数据文件进行签名，如Word、邮件客户端Foxmail等。

5.4.4 数据删除

硬盘等存储介质作为数据存储和交换的媒体，在日常工作中使用频繁。这些介质的处置不当，往往使得不法分子有机会通过对存储介质进行数据恢复来窃取曾经存储的重要数据，导致涉密，这成为了信息安全的重要隐患。因此，如何彻底删除计算机数据，防止信息泄露，已成为当今信息安全技术的一个重要研究内容。

• Windows 删除文件
  在Windows系统中，系统的文件删除命令是“delete”，使用“delete"删除文件以后，文件并没有真正删除，而是被移动到一个称为“回收站”的系统目录中，除非回收站满，或使用“shift+delete”组合键来删除，或当清空回收站时，才真正删除了文件。由于Windows操作系统只考虑了由操作系统本身对系统资源存取，因此无论是在文件分配表（FileAllocation Table , FAT)还是新技术文件系统(New Technology FileSystem，NTFS)下，操作系统刷除文件的标准都是“对操作系统不可见”，事实上，只是对文件的目录作了删除标记，保证了文件在删除前所占用的空间确实得到释放，而文件实际存放在数据区的内容毫无改变。从以上原理可知，只要数据区没有被破坏，数据就没有完全删除，就存在被恢复的可能。
• 数据安全删除分类：
  数据安全删除就是要安全删除了要删除的文件，包括文件相关属性信息，即完全破坏数据，使数据恢复无法进行，从而实现保护数据的目的。目前安全删除的方法，归纳起来，大体上可以分为硬销毁和软销毁两类。
  ①数据删除——硬销毁
  数据硬销毁即破坏性销毁，是指采用物理破坏或化学腐蚀的方法把记录涉密数据的物理载体完全破坏掉，从而从根本上删除数据的销毁方式，是对保护数据不被恢复的安全、彻底的方法。数据硬销毁可分为物理销毁和化学销毁两种方式。
  ◆ 物理销毁又可分为消磁、熔炉中焚化和熔炼、借助外力粉碎及研磨磁盘表面等方法。物理销毁方法费时、费力，一般只适用于保密要求较高的场合。
  ◆ 化学销毁是指采用化学药品（比如高腐蚀性的浓盐酸和浓硫酸等)腐蚀、溶解、活化及剥离磁盘记录表面的数据销毁方法。化学销毁方法只能由专业人员在特定场所中进行。
  ②数据删除——软销毁
  软清除即逻辑销毁，是指通过软件编程实现对数据及其相关信息的反复覆盖擦除，达到不可恢复的安全删除目的，一般情况下，认为低级格式化以后，数据恢复的可能性依然存在。
  要保证安全，必须通过多次写入新数据来覆盖旧数据才能真正达到数据安全删除的目的。数据软销毁通常采用数据覆写法。数据覆写是将非保密数据写入以前存有敏感数据的硬盘簇的过程，其技术原理是依据硬盘上的数据都是以二进制的“1”和“O”形式存储的，而使用预先定义的无意义、无规律的信息反复多次覆盖硬盘上原先存储的数据，就无法知道原先的数据，也就达到了销毁数据的目的。
  由于经过数据覆写法处理后的硬盘可以循环使用，适用于密级要求不是很高的场合，特别是需要对某一具体文件进行销毁而其他文件不能破坏时，这种方法更为实用。
  • 现在常见的数据销毁软件：
    BCWipe,Eraser等，主要是针对文件、剩余空间和物理磁盘的销毁。所采用的方式都是通过软件对磁盘进行相应的覆写。数据覆写技术犹如碎纸机，是安全、经济的数据软销毁方式之一。
• 文件删除和文件粉碎
  文件删除，只是将文件名更改，加上一特殊符号表示该文件已删除，这样系统就不再访问它。
  文件粉碎，就是用0和1等数将源文件所在区域重写一遍。这样就使得源文件彻底被删除。
  文件粉碎软件:360文件粉碎机超级文件粉碎机金山文件粉碎机

5.5 账户口令安全

当用户在使用各种应用时，需通过账户和口令来验证身份从而访问某些资源，因此，账号口令的安全性非常重要。

5.5.1 窃取口令的方式

(1)暴力破解
暴力破解又称口令穷举，就是通过计算机对所有可能的口令组合进行穷举尝试。如果攻击者已知用户账户，用户的口令又比较简单，例如简单的数字组合，攻击者使用暴力破解工具可以很快破译口令。因此在一些安全性较高的系统，如网银系统，会限制口令的输入次数，降低暴力破解口令的成功率。

• 例子

(2）键盘记录木马
如果用户的计算机被植入键盘记录木马，当用户通过键盘输入口令时，键盘记录木马程序会记住用户输入的口令，然后木马程序通过自带邮件发送功能把记录的口令发送到攻击者指定的邮箱。
(3）屏幕快照木马
如果用户的计算机被植入屏幕快照木马，木马程序会通过屏幕快照将用户的登录界面连续保存为两张黑白图片，然后通过自带的发信模块将图片发送到指定邮箱。攻击者通过对照图片中鼠标的点击位置，就能破译出用户账号和口令。

5.5.2 设置账户的口令的原则

• 口令字典组成：
  电话号码，出生日期，姓名字母，英文，数字
• 口令设置原则

• 不安全密码
  

六）移动智能终端安全防护

6.1 移动智能终端概述

移动终端或者叫移动通信终端是指可以在移动中使用的计算机设备，广义的讲包括手机、笔记本、平板电脑、POS机甚至包括车载电脑。但是大部分情况下是指手机或者具有多种应用功能的智能手机以反平板电脑。随着网络和技术朝着越来越宽带化的方向的发展，移动通信产业将走向真正的移动信息时代。另一方面，随着集成电路技术的飞速发展，移动终端的处理能力已经拥有了强大的处理能力，移动终端正在从简单的通话工具变为一个综合信息处理平台。这也给移动终端增加了更加宽广的发展空间。

• 移动智能终端的定义
  移动智能终端(mobile intelligent terminal)即为安装有开放式操作系统，可装载相应的程序来实现相应的功能的设备。移动设备以智能手机、平板电脑、电子阅览器等为代表
• 移动智能终端的特点
  
• 结构：
  
  
• 平台差异性：
  智能手机平台安全性差异
  目前主要操作系统平台有Android、iPhone、WindowsPhone以及Symbian。虽然恶意软件在各个平台都存在，但由于各个平台的安全机制差异甚大，不同厂商的智能终端面临的安全风险截然不同。
  • Windows Phone平台
    Windows Phone 7学习了iPhone的封闭性。应用程序商店Marketplace是Windows Phone 7移动终端安装应用程序的唯一方式，这将在一定程度上杜绝盗版软件，吸引开发者。
    Windows Phone 7的应用程序模型目前主要支持第三方应用在前台执行，不完全支持后台应用，这样能够在一定程度降低系统风险。
    从API开发层面来说，Windows Phone 7没有读取通话记录、短信等的APl，保护了用户的隐私。
    另外发短信、打电话也需要用户确认，防止了恶意扣费。
  • iPhone平台
    iPhone从一开始就是完全封闭的，封闭有利有弊，对安全却是有好处的。比如，iPhone缺省没有读取通话记录、短信等的APl，这保护了用户的隐私;调用显示用户位置信息的API也会弹出提示信息。另外，iPhone也不允许使用API直接发短信和打电话，都需要用户确认，这样间接减少了恶意订购和恶意话费的风险。
  • Android平台
    Android把决定权交给了用户，由用户决定一个程序是否可以直接发短信。Android要求开发者在使用API时进行申明，这样对一些敏感API的使用在安装时就可以给用户风险提示，由用户确定是否安装。但让用户承担这个决策责任目前看来风险很大。
  • Symbian平台
    Symbian接口比较开放，只要申请到对应的能力，
    就可以做对应的事情。通常程序发短信、窃听账户都很容易在Symbian平台实现，无需高能力。代码签名是Symbian平台的核心所在，不同的签名赋予不同的
    能力。Symb ian系统如果申请到高权限，就具备高能力，具备了设备制造商能力就可以干任何事情。

6.2 移动智能终端安全威胁

1、伪基站攻击
2、二维码扫描
3、移动智能终端遗失
4、手机病毒
5、恶意扣费软件

解释：“伪基站”即假基站。设备是一种高科技仪器，一般由主机和笔记本电脑组成，通过短信群发器、短信发信机等相关设备能够搜取以其为中心、一定半径范围内的手机卡信息，通过伪装成运营商的基站，任意冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。（其余的很好理解，不写了，几乎没考过）

6.3 移动智能终端的安全防护

七）信息安全管理

7.1 信息安全管理概述

7.1.1 信息安全管理

信息安全管理(Information Security Management,ISM)
ISM是管理者为实现信息安全目标（如信息资产的CIA等特性、业务运行的持续性）而进行计划、组织、指挥、协调和控制的一系列活动。
C （confidentiality）保密性，I （integrality）完整性 A （authentication）认证性
ISM管理对象是组织的信息及相关资产，包括信息、人员、软件等，同时还包括信息安全目标、信息安全组织架构、信息安全策略规则等。
ISM目的是保障组织的业务正常运转。

• 成功实施信息安全管理的关键因素
  (1）组织的活动能够反映组织的业务目标。
  (2)组织所有级别的管理者能够给予信息安全实质性的、可见的支持和承诺。
  (3)组织的管理者对信息安全需求、信息安全风险、风险评估及风险管理有正确深入的理解。
  (4)向所有管理者、员工和其他相关方提供有效的信息安全宣传以提升信息安全意识。
  

7.1.2 信息安全管理体系

信息安全管理体系是整个管理体系的一部分，它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进信息安全的体系。
一般地，信息安全管理体系包括信息安全组织架构、信息安全方针、信息安全规划活动、信息安全职责，以及信息安全相关的实践、规程、过程和资源等要素，这些要素既相互关联，又相互作用。

• 信息安全管理体系作用：
  • 对内
    形成单位可自我持续改进的信息安全管理机制使信息安全的角色和职责清晰，并落实到人，确保实现动态的、系统的、制度化的信息安全管理有利于根本上保证业务的连续性，提高市场竞争力
  • 对外
    能够使客户、业务伙伴对单位信息安全充满信心有助于界定外包双方的信息安全责任
    可以使单位更好地满足市计要求和符合法律法规保证和外部数据交换中的信息安全
• 建立信息安全管理体系的意义
  ISMS是组织整体管理体系的一部分，是组织在整体或特定范围内建立信息安全的方针和目标，以及完成这些目标所用的方法的体系。
  安全管理体系是安全技术体系真正有效发挥保护作用的重要保障，安全管理体系的涉及立足于总体安全策略，并与安全技术体系相互配合，增强技术防护体系的效率和效果，同时，也弥补当前技术无法完全解决的安全缺陷。

7.2 信息安全风险管理

7.2.1 信息安全风险

信息安全风险就是指在信息系统中，信息安全事件的概率及其结果的组合
在本课程中，常简称为风险
《信息安全风险管理指南》(GB/Z 24364-2009)
信息安全风险是指“人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响”

• 信息安全风险的含义
  信息系统不可能达到绝对安全，但可以通过信息安全风险控制，来实现符合个人或单位目标的一定程度的安全。
  信息安全管理的核心思想是风险管理，关键在于如何控制、化解和规避风险。
  信息安全风险管理是信息安全管理的基本方法。
  
• 安全风险概念：

• 安全风险要素之间的相互关系

• 控制措施
  ◆通过各种人员、技术、工程和管理等方面的控制
  措施减少风险，以保护有形和无形的资产，最终
  达到完成其使命的任务
• 残余风险
  ◆在控制措施使用后，系统可能还会存在一一些残留
  的、没有被修补的脆弱性，这些残留的脆弱性仍
  然可以被威胁主体所利用，从而导致资产存在残
  余风险。

7.2.2 风险管理

• 定义
  信息安全风险管理是识别、控制、消除或最小化可能影响系统资源的不确定因素的过程。

---

• 目的
  • 成本与效益平衡
    好的风险管理过程可以让机构以最具有成本效益的方式运行，并且使已知的风险维持在可接受的水平。
  • 工作条理化
    好的风险管理过程可以使机构用一致的、条理清晰的方式来组织有限的资源，更好地管理风险。
• 内容
  
• 四个阶段：
  第一步:背景建立
  根据要保护系统的业务目标和特性，确定风险管理的范围和对象，明确对象的特性及安全需求。
  第二步:风险评估
  分析风险和影响、评估风险等级。
  第三步:风险处理
  选择和实施合适的安全措施。
  第四步:批准监督
  对风险评估和风险处理的结果的批准和持续监督
• 两个贯穿
  ① 监控审查监控
  • 监视和控制风险管理过程，及时发现变化和偏差，以保证上述四个步骤的过程有效性。
    分析和平衡成本效益，即成本效益管理，以保证上述四个步骤的成本有效性。
  • 审查
    跟踪受保护系统自身或所处环境的变化，以保证上述四个步骤结果的有效性。
    ② 沟通咨询
  • 沟通
    通过畅通的交流和充分的沟通，保持行动的协调和一致。
  • 咨询
    为相关人员答疑和服务，以提高他们的风险意识和知识。

---

• 风险评估
  • 对信息系统安全性进行分析，了解和认识客观存在于信息系统中风险的一种手段和方法。
  • 风险评估重要性
    风险评估是信息安全管理机制建立的基础。
    信息安全需求获取的主要手段就是风险评估。信息安全风险管理要依靠风险评估的结果来确定随后的风险处理和批准监督活动
  • 准备：
  • 工作形式：
  • 方法：
• 风险评估阶段
  ①风险分析准备:制定风险评估方案、选择评估方法。
  ②风险要素识别:发现系统存在的威胁、脆弱性和控制措施。
  ③风险分析:判断风险发生的可能性和影响的程度
  

④风险结果判定:综合分析结果判定风险等级。

• 风险处理：
  

• 规避风险
  通过改变原有计划来消除风险或风险发生的条件，保护目标免受风险的影响。
  在没有足够安全保障的信息系统中，不处理特别敏感的信息，从而防止敏感信息的泄漏。对于只处理内部业务的信息系统，不使用互联网，从而避免外部的有害入侵和不良攻击。通常在风险的损失无法接受，又难以通过控制措施减低风险的情况下。

• 转移风险
  通过将面临风险的资产或其价值转移到更安全的地方来避免或降低风险。
  通常只有当风险不能被降低或避免、且被被转嫁方接受时才被采用。
  在本机构不具备足够的安全保障的技术能力时，将信息系统的技术体系外包给满足安全保障要求的第三方机构，从而避免技术风险。通过给昂贵的设备上保险，将设备损失的风险转移给保险公司，从而降低资产价值的损失。

• 降低风险
  通过采取保护措施来降低风险
  通常在安全投入小于负面影响价值的情况下采用保护措施减少威胁源
  ◆遏制打击威胁来源减低威胁能力
  部署身份认证措施减少脆弱性
  ◆及时给系统打补丁、关闭无用的网络服务端口防护资产
  设置各种防护措施，保护资产不受侵犯降低负面影响

• 接受风险
  接受风险是选择对风险不采取进一步的处理措施，接受风险可能带来的结果。
  接受风险意味着经过成本效益评估，允许相关风险存在，并接受可能带来的损失。接受风险不意味着不闻不问，需要对风险态势变化进行持续的监控，一旦发展为无法接受的风险就要进一步采取措施。

7.3 信息安全事件与应急响应

7.3.1 信息安全事件

“网络与信息安全事件”是突发事件的一种，也被称为"信息安全事件”。
信息安全事件在业界尚未有统一的定义,政府管理、科学研究、企业根据各自的关注点对其的理解也存在一定的差异。

• 信息安全事件可以是故意、过失或非人为原因引起的:
  有害程序事件
  网络攻击事件
  信息破坏事件
  信息内容安全事件
  设备设施故障
  灾害性事件
  其他信息安全事件
• 对信息安全事件的分级主要考虑三个要素:
  信息系统的重要程度
  系统损失
  社会影响

7.3.2 信息安全应急响应

• 信息安全应急响应，是指一个组织为了应对各种安全意外事件的发生所采取的防范措施，既包括预防性措施，也包括事件发生后的应对措施。
  实践证明，现实中难以发现和抵御所有威胁，安全事件具有突发性、复杂性，需要建立信息系统安全事件的快速响应机制。
  应急响应工作的主要任务是做好预先防范，安全事件发生后，尽快做出正确反应，及时阻止事件的发展，并减少损失，使系统恢复正常运行，同时采取追踪攻击者及必要的法律行动。
• 应急响应组织是专门处理安全事件的组织
  常用的名字是计算机网络安全事件应急组、计算机安全事件响应组(Computer Security Incident Response Team，CSRT)、信息安全事件响应组（ Information Security Incident Response Team，ISIRT)或事件响应组（ Incident Response Team，IRT)。
  通常，应急响应组织由管理、业务、技术和行政后勤等人员组成。

7.3.3 信息安全应急响应管理过程

• 工作机制示意图
  
• 应急响应流程：
  

八）信息安全法律法规

8.1 信息保护相关法律法规

• 发展阶段
  

8.1.1 信息保护相关法律保护国家秘密相关法律

《保守国家秘密法》、《刑法》、《全国人民代表大会常务委员会关于维护互联网安全的决定》等

• 保护国家秘密法：
  目的︰保守国家秘密，维护国家安全和利益
  国家秘密受法律保护，—切单位和公民都有保守国家秘密的义务
  国家保密行政管理部门主管全国的保密工作
  保密工作责任制:健全保密管理制度，完善保密防护措施，开展保密宣传教育，加强保密检查
  主要内容
  对我国国家秘密的定密程序、解密制度和保密期限等作出了明确规定
  明确了国家秘密相关的保密制度明确了国家秘密的监督管理部门
• 国家秘密基本范围
  主要包括产生于政治，国防军事、外交外
  事、经济、科技和政法等领域的秘密事项国家事务重大决策中的秘密事项
  • 国防建设和武装力量活动中的秘密事项
  • 国防建设和武装力量活动中的秘密事项
  • 外交和外事活动中的秘密事项以及对外承担保密义务的秘密事项
  • 国民经济和社会发展中的秘密事项
  • 科学技术中的秘密事项
  • 维护国家安全活动和追查刑事犯罪中的秘密事项
  • 党政秘密中符合上述各项内容的事项
  • 其他经国家保密行政管理部门确定的秘密事项
• 国家秘密的保密期限
  除另有规定外绝密级不超过三十年
  机密级不超过二十年
  秘密级不超过十年
  另有规定
  • 主要是指在保密事项范围中明确规定某类国家秘密事项保密期限为“长期的情况
  • 这些国家秘密事项长期关系国家安全和利益，即使定为三十年的最长保密期限，也难以满定保密需求
  • 不能确定保密期限的国家秘密，应当确定解密条件
• 密级划分
  
• 危害国家秘密安全的行为
  ( 1)严重违反保密规定行为
  • 违反涉密信息系统和信息设备保密管理规定的行为
  • 违反国家秘密载体管理规定的行为
  • 违反国家秘密信息管理规定的行为
    (2)定密不当行为
    (3)公共信息网络运营商、服务商不履行保密义务的行为
    (4)保密行政管理部门工作人员的违法行为

8.1.2 保护商业秘密相关法律

《反不正当竞争法》、《合同法》、《劳动法》、《刑事诉讼法》、《民事诉讼法》等

• 商业秘密
  商业秘密
  不为公众所知悉、能为权利人带来经济利益、具有实用性并经权利人采取保密措施的技术信息和经营信息
  技术信息类商业秘密
  ◆未公开的设计、程序、产品配方、制作工艺等完整的技术方案、开发过程中的阶段性技术成果以及取得的有价值的技术数据
  ◆针对技术问题的技术诀窍经营信息类商业秘密
  ◆经营策略、产销策略、管理诀窍、客户名单、货源情报、招投标中的标底及标书内容等信息

8.1.3 保护个人信息相关法律

《宪法》
《居民身份证法》
《护照法》
《民法通则》
《全国人民代表大会常务委员会关于维护互联网安全的决定》
《全国人民代表大会常务委员会关于加强网络信息保护的决定》

8.2 打击网络违法犯罪相关法律法规

网络违法犯罪

• 狭义
  指以计算机网络为违法犯罪对象而实P的危害网络空间的行为
• 广义
  是以计算机网络为违法犯罪工具或者为违法犯罪对象而实滩的危害网络空间的行为，网当包括违反国家规定，直接危害网络安全及网络正常秩序的各种违法/犯罪行为
• 相关法律
  《关于维护互联网安全的决定》
  《治安管理处罚法》
  《刑法》
• 网络违法/犯罪行为
  破坏互联网运行安全的行为破坏国家安全和社会稳定的行为
  破坏社会主义市场经济秩序和社会管理秩序的行为
  侵犯个人、法人和其他组织的人身、财产等合法权利的行为
  利用互联网实施以上四类所列行为以外的违法/犯罪行为

8.3 信息安全管理相关法律法规

主要：

• 《计算机信息系统安全保护条例》
• 《商用密码管理条例》
  其他
• 《中华人民共和国计算机信息网络国际联网管理暂行规定》
• 《中华人民共和国电信条例》《互.联网信息服务管理办法》
• 《互.联网上网服务营业场所管理条例》《信息网络传播权保护条例》

---

ps：重点章节是第二章，第三章，第四章，这几章所涉及到的协议一定要知道英文全称，中文名称以及作用。第二章里加入很多自己的理解，如果有发现错误，可以评论指出来，我会及时改正。第四章里恶意代码的分类，病毒，木马，蠕虫等他们的区别以及各自的经典例子也是常考查的。第一章第七章第八章考察不多，随便看看就可以了。