2024信息安全工程师考点总结(最新版)

博主很认真的总结请认真看下去,真的有帮助!!!

后面干货满满~~~~~~

想要找什么知识点ctrl+f直接搜基本上都有

涵盖基本上80%的考点内容(包含上下午题知识点)

上午题基本上没啥难度,靠记和刷题就大概率可以拿下

可是下午题范围广,出题比较偏,需要较多的实践和知识积累

加油啊,各位软考人!!!

---

常见对称加密算法

对称加密算法之----des

分组加密算法,一次可以加密64位(明文),然后密钥的长度也为64位(密钥长度),因为校验位的存在,每8位就有一个校验位,即1,2,3,4,5,6,7,8(校验位),以此类推,16,24,32,40,48,56,64,都为校验位,所以实际上密钥长度只有64-8=56位,但是在f轮函数加密的子密钥又只有48位

分组加密与序列加密

算法详解

整体流程了解

初始置换与逆置换

相当于先将8号位换到2号位,经过加密后,又将2号位的数据换回到8号位

初始置换的作用:香农理论中的扩散(Diffusion)

逆置换作用:将通过初始置换后已处于乱序状态的64位数据，变换到原来的正常位置。这样才能保证解密算法可逆。

经过初始置换后将明文分为左32部分与右32部分

经过16轮迭代,每轮迭代遵循逻辑L1=R0(即左边变换后的就是右边原来的)

R1=L0异或f(R0,K1),(右边变换后的结果是左边原来的异或右边的与该轮密钥进行f轮函数变换)

异或即为相同为0,不同为一

F轮函数:

首先解释一下为什么要将右半边的32位扩展到48位,是因为在des加密算法中尽管加密密钥有64位,去掉校验位就只剩下了56位,但是在f轮函数中的k即子密钥仅只有48位

扩展规则

在数据两头扩展,规则如图所示

S盒代替

又称字节代换---非线性模块

将原来48位的数据平均分给8个s盒,每个盒子6位,经过压缩后变成4位,即到最后也只有4*8=32位

扩展置换后，数据由原来的32位扩展为48位，然后和48位子秘钥做异或运算。再进行S盒代替。

代替运算由8个不同的代替盒(S盒)完成。每个S盒有6位输入，4位输出48位的输入被分为8个6位的分组，每一分组对应一个S-盒代替操作。经过S盒代替，形成8个4位分组。

从6位变成4位的方式

P盒置换

RSA算法计算公式

e*d mod (p-1)(q-1)=1, n=p*q ,c=m的e次方 mod n ,m=c的d次方 mod n(大素数分解)

注意:明文消息m的取值必须小于n

定级对象的安全保护等级

(1自保,2审计,3安全标记,4结构化,5,访问验证)

第一级(用户自主保护等级)--无审计要求

第二级(系统保护审计级)

第三级(安全标记保护级)---自主和强制访问控制

第四级(结构化保护级)--扩展到主体与客体自主和强制访问控制

第五级(访问验证保护级)--提供系统恢复机制

计算机机房四类:主要房间(机房,终端室),一类辅助(监控,配电),二类辅助(资料,技术人员办公室,维修室),三类辅助(存储室,休息室)

计算机病毒

特洛伊木马病毒

伪装成合法程序或文件,植入目标计算机

网络蠕虫

蠕虫由四个功能模块构成:探测模块、传播模块、蠕虫引擎模块和负载模块

WannaCry属于蠕虫,利用Windows系统的SMB漏洞

Slammer蠕虫,利用微软MS SQL数据库漏洞

冲击波蠕虫,利用微软DCOM RPC缓冲区溢出漏洞

Internet蠕虫,利用Sendmail及Finger漏洞

红色代码蠕虫,微软安全服务器IS4.0或5.0中index服务的安全漏洞

震网病毒攻击利用Wincc系统漏洞

选择题相关知识点

各层相对应的网络协议

BLP模型的两个特性

简单安全特性：

主读客，主安全级别>=客安全级别；主体的范畴集合包含客体的范畴集合，主只向下读

*特性：主体对客体进行写访问，主只向上写(客>=主)

BIBA模型

简单安全特性规则: 主体不能向下读

*特性: 主体不能向上写

算法相关

hash函数具有单向性

MD5算法:消息分组长度有512bit,生成128bit摘要

SHA算法:消息分组长度有512bit,生成160bit摘要

SM3算法:消息分组长度有512bit,生成256bit摘要

AES算法:支持密钥长度有128,192,256bit

Diffie-Hellman密钥交换协议的安全性基于求解(离散对数的困难性)

160位长的椭圆曲线密码SM2的安全性相当于1024位的RSA密码

ECC(优化椭圆曲线算法)数字签名后包含原文,而RSA签名后不包含原文

三重DES算法:加密->解密->加密(有效密钥长度为112位,即两个加密56位)

对称加密算法(私钥体制)SM1(加密强度128位),SM4(分组加密算法,分组长度和密钥长度都为128),SM7

SM1,SM4分组长度和密钥长度都为128

非对称密码算法(公钥体制):SM2(加密强度256位,椭圆曲线问题)---商业体系用来替换RSA算法

SM9(密钥长度256位,国密标准)

密码杂凑算法:SM3杂凑长度256位=32bit,密码系统安全是由密钥决定的,MD5,SHA均为杂凑算法

密钥协商算法ECDH

工具类型及作用

Libpcap,wireshark:网络数据包捕获软件

Elastic Stack:开源日志平台

Netcat:远程监控工具

ip及地址分类

私有地址:10.0.0.0~10.255.255.255 172.16.0.0~172.31.255.255 192.168.0.0~192.168.255.255

保留地址:169.254.0.0~169.254.255.255(属于B类地址128~191)A类(0~127)

ipsec协议是解决ip协议安全问题的一种方案,提供完整性,机密性,认证(两种模式,传出模式,隧道模式--本质用一种协议传播另外一种协议)

ip AH提供数据源认证和ip包的完整性,ipsec不属于身份认证协议,ESP提供加密,保密性

第三方机构及相关服务

Kerberos网络认证协议,先向AS(认证服务器)识别用户身份,提供TGS会话密钥

TGS(票据发放服务器),为申请服务的用户授予票据     应用服务器提供服务,采用DES对称加密算法

AS与TGS统称KDC

PGP加密软件:数据加密算法采用IDEA

S/Key是一种一次性口令生成方案,可以解决重放攻击

CA职责:证书颁发,审批,备份(核心功能颁发和管理数字证书)

RA负责证书申请者的信息录入,审批,注册信息,也是CA发放管理证书的延申

数字签名:实现方法(公钥密码体制和单向的Hash函数算法)--二进制形式

其中数字证书包含(版本号,签名算法标识,证书持有者公钥信息),而数字签名则包含(加密算法标识)

CRL维护废止列表

祖冲之算法(ZUC):非线性序列产生器

ssh由传输层协议,ssh用户认证协议和ssh连接协议(非对称密码体制)

法律法规

<网络安全法>2017.6.1起实施

<中华人民共和国数据安全法>2021,9,1起实施

<中华人民共和国密码法>2020.1.1起实施

<个人信息保护法>2022,11,1起实施

<网络审查办法>2022,2,15起实施

Snort入侵检测系统

HIDS基于主机的入侵检测系统:SWATCH,Tripwire,网络防篡改系统

NIDS基于网络入侵检测系统:Cisco Secure IDS,Snort,Session Wall,ISS RealSecure

Snort典型网络入侵检测系统(嗅探,包记录,网络入侵检测),基于规则的误用检测方法

由两部分组成,即规则头与规则选项由()区分,()内为规则选项

VPN技术

VPN(虚拟专用网络)安全服务-----保密性服务,完整性服务,认证服务

分为数据链路层VPN:ATM,Frame Relay,多协议标签交换MPLS

网络层VPN:受控路由过滤,隧道技术

数字签名,证书,信封区别

数字证书:由认证机构(CA)颁发的电子文件,用于验证公钥的所有者身份,包含持有者的公钥、颁发CA的名称、有效期以及CA的数字签名

数字签名:发送方用私钥对消息摘要进行加密，生成数字签名，接收方通过发送方的公钥解密，确认消息的来源和完整性

数字信封:用密钥对消息进行加密,然后用接收者公钥加密密钥传输,接收者用私钥解开密钥,然后用密钥获得密文

专业常见英语单词

public key(公钥) private key(私钥) encryption(加密) dectyption(解密) component(组件) 

entity(实体) fake(虚假的) attacker(攻击者) intruders(入侵者) terminals(终端) internal(内部)

collapse(崩溃) companies(公司) resources(资源) symmetric(对称的) Asymmetric(非对称的)

signature(签名) plain-text(明文) cipher-text(密文) routing(路由) unauthorized(未经许可的)

tunnel(隧道) diagrams(图表) retransmission(转发) reservation(保留) distribution(分发)

其他

ssl,ipsec,vpn--完整性,保密性,可认证性

适合攻击数字签名的是;选择密文攻击,根据密文推出明文

WAPI(无线局域网鉴别和保密体系):密钥管理方式:基于证书和基于预共享PSK两种方式

自主访问分类,基于行访问:能力表,前缀表,口令     基于列访问:保护位,访问控制表

NAT池---外网映射内网,端口NAT(PAT)---内部地址映射一个ip的不同端口

衡量密码体制安全性:

1.计算能力和时间现实不具备--实际安全(计算安全)

2.依赖于深入研究数学难题的解决--可证明安全

3.无限时间也无法破译--无条件安全

Oracle系统内部密码存储在:strxxx.cmd

宏病毒前缀是Macro    外部网关协议:BGP

对文件读写进行访问控制属于---操作系统访问控制

针对物理隔离可以使用网闸,使两个主机不存在直接的通信物理连接,主机对网闸具有读写操作

网卡四状态:unicast(单播),broadcast(广播),multicast(组播),promiscuous(混杂模式,接受所有报文)

SMTP协议:HELO(发送身份标识),MAIL(识别邮件发送方),RCPT(识别邮件接收方),SEND(发送邮件),DATA(传输报文)

访问控制三个基本要素:主体,客体,授权访问

密码学三大安全目标:机密性,完整性,可用性(CIA)

安卓平台软件主要有四种类型:远程控制木马,话费汲取,隐私窃取,系统破坏

鲁棒性攻击:像素失真,置乱攻击,梯度下降攻击

数字水印应用领域:版权保护,票据防伪,证据篡改鉴定

ISO五种安全服务:鉴别服务,访问控制,数据完整性,抗抵赖性,数据保密

PKI组成部分:证书主体,使用证书的系统和应用,证书权威机构,注册中心CA,注册机构RA

信息安全风险评估:资产识别,威胁识别,脆弱性识别

SSH由传输层协议,用户认证协议,连接协议三个子协议组成

IDC(互联网数据中心)三个安全级别业务可用性 R1>99.5% R2>99.9% R3>99.99%

基于自主,强制,角色的访问控制模型适用于操作系统,数据库

基于属性的访问控制适用于web服务与分布式环境

windows iis FTP 提供了三种访问限制技术:实现用户账号认证,匿名访问控制,ip地址限制

认证类型可以分为单项认证,双向认证,第三方认证,一般由表示和鉴别两部分组成

Access数据库系统表为msysobjects SQL-SERVER默认表sysobjects

异常检测依赖于:异常模型建立  误用检测依赖于:攻击模式库

出口ip查看网址:https://myip.ipip.net

案例知识点

历年考点(没做太详细简单了解)

2022年:(iptables配置规则)

linux命令,文件权限   网络流量:日志分析

防火墙防御体系结构:双宿主机防火墙,代理防火墙,屏蔽子网防火墙

网络安全四道防线:保护,检测,响应,恢复

查看Windows日志:使用命令eventvwr  或者 Win+r 输入eventvwr.msc

2021年(熟悉linux操作命令)

ssh日志文件路径var/log 名称var/log/secure

ssh配置文件:etc/ssh/sshd_config

>>号的含义,将前面的文件内容追加到后面的文件中

ssh xiaoming@server   cat  /home/xiaoming/.ssh/id_rsa.pub>>authorized keys

重启服务 systemctl restart ssh || service ssh restart

清除历史命令 history -c

2020年

linux:文件路径,权限,用户等级,参数含义,

CIA三个基本要素,RSA密码计算,公式,消息m的取值细节

Windows防火墙,流量分析,判断攻击方式,防火墙配置,

iptables规则配置(重要)

如果默认过滤策略使ACCEPT,则添加规则就会拦截对应的包,即为黑名单过滤,反之则为白名单过滤

规则配置:

iptables -L(查看默认表filter的链规则)       iptables -P INPUT ACCEPT(修改默认规则)

-A(对链进行添加规则操作) -s(源地址) -d(目的地址) -p(协议类型) --dport,--sport(目的和源端口)

保存规则:service iptables save 查看规则:iptables -L 清除所有规则:iptables -F

删除某条规则:iptables -D INPUT 2(代表该表的第几条)

例题:

某服务器ip地址为192.168.70.140,若使互联网只能访问该服务器,请配置防火墙规则

iptables -t filter -A FORWARD -d 192.168.70.140 -t tcp --dport 80 -j ACCEPT

仅仅开放 http 80端口显然是不够的,还得开放https 443端口服务

iptables -t filter A FORWARD -d 192.168.470.140 -t tcp --dport 443 -j ACCEPT

linux知识点(重要)

用户信息

普通用户提示符为$,超级用户提示符位#

etc/passwd存储用户信息 etc/shadow保存密码(口令数据,默认权限一般为640,600,400,000)

linux用户有用户id(UID)和组id(GID)两个标识,用户id范围是0~65535,

其中0是超级用户的标识号,1~99系统预留号100~499给服务使用,500~65535给一般用户

系统根据UID来判断用户

依次代表用户名,密码(加密形式),UID,GID,用户信息,主目录,默认shell

用户信息后面跟上bin/bash表示可以远程登录,而如果有nologin则表示不可以

添加一个用户命令: useradd -u 600 -g 12 -s/bin/zsh -aaa(为用户名) 删除用户userdel

finger,id都可以查看用户信息 w(谁登录到本机)

网络文件配置

网络配置文件 etc/sysconfig/network-scripts 下的 ifcfg-eth0文件下

kalli linux文件在 etc/network 下的interfaces文件下

域名配置文件在 etc/ 下的resolv.conf文件下

网络服务重启命令:service network restart

端口路由状态

netstat命令:-a(列出端口)     -t(关于tcp)       -u(关于udp)    -x(关于unix)

                    -l(监听端口)     -p(显示PID)     -n(服务数字化显示)

router(网络设备路由名称) route(操作系统设备名称)

查看路由:netstat -r   或者   route

路由命令:添加默认路由 route add default gw 192.168.40.2

route add -net(网段路由) / -host(主机路由) gw 192.168.40.2(添加网段路由时有子网掩码要添加 netmask x.x.x.x)

查看ssh的端口号 netstat -anp |grep ssh (a代表所有,n以数字显示p进程)

netstat -i (显示所有网卡接口) netstat -antl(显示所有tcp的监听端口,listen)

进程状态

ps进程命令:-A(显示所有进程) kill -9 PID (结束进程,-9表示彻底结束) top(动态查看进程使用情况)

ps -aux 或者 -ef(显示内存进程详细信息) ps -aux | grep ssh(指定查看某进程信息)

其中a是所有,u是以用户为中心的格式显示进程的详细信息,x是守护进程或者运行在后台的进程

DNS配置

nslookup两种工作模式,交互模式,非交互模式

DNS经典配置nameserver 202.106.0.20---(在文件etc/resolv.conf文件下编辑)

dig @8.8.8.8 www.baidu.com(指定DNS服务器解析ip地址)

8.8.8.8是Google提供的公共DNS服务器地址，因其快速、可靠而常被用于网络配置

文件操作与解压缩

linux相关命令:

mkdir创建目录,touch创建文件,vim编辑文件,cat查看文件,esc进入命令模式(:回到底部,:wq保存退出,:q!强制退出)

rmdir删除目录  rm 删除文件 rm -rf 递归删除

tar(打包配合-cvf或-xvf表示打包或者解包,-zcvf或-zxvf表示压缩或解压---例如tar -zcvf a.tar.gz a.txt表示将a.txt文件压缩成a.tar.gz)

tar解压命令tar -zxvf a.tar.gz -C ./test1 (不指定默认解压到当前目录下)

zip用法:zip -r 123.zip 1.txt 2.txt 3.txt(压缩) (被压缩文件是文件夹时需要加上-r)

unzip 123.zip -d ./test1(-d指定解压路径)

gzip和gunzip针对单个文件压缩和解压

文件查找与权限修改

创建链接符号:ln -s dev/shm shm (-s后面接的是源文件,然后是目标文件)

chmod权限设置(三个组分别为u(文件所属者),g(文件所属组),o(其他用户),a可以代表对所有组进行权限操作)

例如:chmod (777或者 a+rwx 或者 u+rwx g+rwx o+rwx) 文件名

find命令

find命令:例如 find ./ -name '*.txt' 即查询当前目录下名字以txt文件结尾的文件

找到文件后修改权限:find /path/to/search -name '*.sh' -exec chmod +x {} \(表示找到的文件列表);

查出失效链接:find /home(哪个目录下) -xtype|-print

查找失效链接find ./ -maxdepth 1 -xtype l -print (-maxdepth 1 只查找当前目录 l 为文件类型--链接文件)

查找当前目录下不是以txt结尾的文件 find ./ ! -name "*.txt"

grep命令

命令格式:grep+匹配内容+匹配文件

例如grep -w root --colo=auto1.txt

(匹配1.txt文件中的root,-w表示精确匹配,--color=auto给匹配的加上颜色)

在查找内容情况下,可以使用管道符号|直接匹配规则

例如:cat 1.txt |grep -w root 或者 ps -aux |grep -i ssh(-i 可以忽略大小写)

文件编辑Vim

vi编辑命令:普通模式下u(撤回操作) /查找内容(模糊匹配) /\(精准匹配) GG(到最后一行)

:set nu(显示行号) 数字+gg(跳到指定行号,不加默认到第一行) dd(删除一行) yy(复制) p(粘贴)

linux私钥登录

目的:为了防止黑客远程登录系统利用弱口令爆破登录,即可以开启密钥登录,取消密码登录

输入命令:ssh-keygen (暂时不添加其他限制,无脑回车)

会生成一对由RSA非对称加密算法生成的公钥以及私钥

都是默认存放在/home/kali/.ssh/目录下 文件名例如(id_ed25519.pub带.pub的为公钥,即锁,另一个即为私钥,即为开锁的钥匙)--如果看不到.ssh记得开起显示隐藏文件

我们可以将锁写入文件/home/kali/.ssh/authorized_keys文件(可以理解为看门的,没有自行创建)

然后就可以将另一个私钥进行拷贝(建议拷贝到windows命令行默认路径下,例如C:\Users\86198)

这样就可以进行测试:在命令行终端输入ssh kali@192.168.40.146(kali的ip) -i 拷贝文件名

这样就可以实现无密码用私钥验证登录(开启kali的ssh服务:service ssh start或 systemctl start ssh)

取消密码登录:在etc/ssh/sshd_config文件下,将PasswordAuthentication yes改为 no

其他零碎命令及文件作用

系统启动日志:boot.log

用户执行命令日志:acct/pacct

使用su命令日志:sulog

记录当前用户信息:utmp

用户登录与登出信息:wtmp

用户不良登录尝试记录:loginlog

最近几次成功登录及最后一次登录不成功:lastlog

设置口令最小长度与最短使用时间修改文件:/etc/login.defs

任何本地登录用户都属于interractive组

常见命令:ps(process status)显示进程信息 lsof(list open file)列出打开或使用文件的信息

pwck验证系统文件格式完整性

配置eth0接口的IP地址和子网掩码

sudo ifconfig eth0 192.168.1.100 netmask 255.255.255.0 up

实现网络服务最小化有:inetd.conf(文件权限设为600),services(文件权限设为644),属组都为root

windows知识点

系统日志:SysEvent.evt 应用程序日志:AppEvent.evt 安全日志:SecEvent.evt

(都通常存放在System32/config下)

打开控制面板:Win+r 输入control  可以配置防火墙

打开任务管理器:Win+r 输入 taskmgr    计划任务:taskschd.msc

注册表查看 Win+r 输入regedit 服务信息查看services.msc

查看Windows日志:使用命令eventvwr  或者 Win+r 输入eventvwr.msc

组策略编辑:gpedit.msc(家庭版无)   

新增用户:net user 用户名 密码 /add

将新增用户添加到管理员组:net localgroup Administrators username /add

新建隐私用户:net user 用户名$ 密码 /add(net user查不到隐私用户,只能在注册表中查看)

查看用户: net user test(用户名)

锁定和解锁用户net user 用户名 active:no 或者yes

查找对应端口号的PID:netstat -ano | findstr 22

启动关闭服务:net start/stop mysql  或者 sc start/stop apache2.4

查看进程命令:tasklist  查看指定进程:tasklist | findstr httpd.exe

杀死进程命令 taskill /pid +(pid号) /f(代表强制删除)

文件共享与网络发现端口:445 关掉即代表关闭对外共享服务,无法通过正常扫描发现

防止自己phpstudy网站被别人访问,可在相对应的配置里限定本地地址只能为127.0.0.1:80(对应开放端口)访问,比如apache的httpd.conf的listen监听,mysql下添加bind-address=127.0.0.1

查看dns服务器ip:nslookup

安卓系统安全

应用程序层：权限声明机制、保障代码安全

应用框架层：应用程序签名机制

系统运行库层：网络安全、采用SSL/TLS加密通信、虚拟机安全、安全沙箱

linux内核层：ACL权限机制、集成SElinux模块、地址空间布局随机化、文件系统安全

系统应用程序权限声明文件:Mainifest.xml

四种存储方式:SharePrefrence(本质是xml文件),SQLite(轻量级数据库)

Content Provider(应用数据共享存储),File(存储数据)

四大组件:Activities(用户与程序交互窗口),Broadcast Receiver(接受系统和程序广播并回应)

Service(与Activities相似,但没有视图),Content Providers(对外共享数据)

流量分析

Smurf攻击:攻击者向网络广播发出ICMP echo request包,并将回复响应地址ip设为受害者ip,其实就是相当于受害者向网络广播发起请求包,然后该局域内的各个主机向受害者ip回复响应包,淹没受害主机

泪滴攻击:泪滴攻击把ip数据包几个分片后数据包偏移量改小一些，这样两个分片的包会有部分重合，当目标设备接收到这样的数据包后，就无法重新组合，这种构造出畸形数据包的方法就叫泪滴攻击，以前的操作系统会死机，现在一般没有什么作用了，现在一般与泛洪攻击结合起来，泪滴攻击针对的是分片

wireshark抓包工具:

过滤规则:源ip指定 ip.src== ,目的ip指定:ip.dst==,指定ip:ip.addr==

端口过滤：tcp.port == 端口号    tcp.dstport == xxxx   tcp.srcport == xxxx

还可以利用and 或者or来指定其他过滤条件 如and tcp ,or udp之类

可以自己尝试抓包,着重了解TCP三次握手包的发送,icmp包的发送,ARP协议包等

2024案例题预测

从王至强老师那里搬来的2024下午题预测: