7.安全性基础知识

主要议题：

安全防护体系：7层次，要记7层次的名称以及这些层次与哪些方面相关；
安全保护等级：5等级，要记5等级安全性的高低排序，掌握每个等级的特点；
用户认证机制：用户认证的方式、访问控制的技术；比较重要；
加密技术：对称性、非对称性、单向加密；每个技术的特点、优点、典型代表；
网络攻击：了解网络攻击的类型；DOS拒绝服务攻击，有哪些代表；每种攻击属于哪类要知道，不要求掌握攻击原理；
病毒防治：了解病毒、木马；两者区别；典型病毒有哪些；
常见的安全协议：知道目前使用的协议有哪些，它们之间的关系；
SQL注入攻击、XSS攻击：重点掌握；要回根据题干给的场景设计测试用例；常常用作下午题考；要掌握原理；

1.安全防护体系

实体安全：物理设备的基础安全，如服务器、网络设备的安全；
平台安全：系统平台（操作系统）、网络平台、数据库平台的安全；
数据安全：数据是否加密，加密算法是否安全；
通信安全：信息在传输过程中是否容易被截获；
应用安全：体现在业务逻辑；
运行安全：随着系统的运行，可能出现不安全的情况，安全是动态变化的过程；
管理安全：以上安全，以及相关人员综合在一起，的安全；
下午题：网站通信，涉及以上哪些层面？
记住每个安全的名称及其含义，要结合题干灵活运用；

2.安全保护等级—GB17859-1999

从上往下（从1到5），安全级别由低到高；
高级具备低级的功能；
用户自主：用户、用户组通过设置用户访问权限来控制；
系统审计：强调了用户得对自己的行为负责；
安全标记：把资源划分成不同的安全级别；对应的账户也划分不同的安全级别；只有具备相应安全级别的账户才有权限访问当前安全级别的资源；
结构化：再将资源划分成两类：关键部分、非关键部分；最大化保护关键资源；
访问验证：增设访问验证器，访问验证器直接仲裁用户是否可以访问；

3.数据安全策略

考察较少，大概有影响选哪几个选项就行；
备份和恢复的容灾技术、加密技术；

4.安全防护策略

基础策略如下：
后面的安全测试会介绍高级策略：

隔离网闸采用的协议是非标准的、非公开的，黑客难以攻克；
防火墙控制访问行为，限制低安全级别设备访问高安全级别资源；
入侵检测：检测通信的数据包，看有无入侵行为；主动；检测到后，通知防火墙断开连接；或者通知管理员进行处理；
安全日志：只会被动的记录事件的发生；便于管理员事后分析；

5.防火墙

上午题：考防火墙的分类、原理；
下午题：考对防火墙测试哪些方面的内容；
三种类型的防火墙：
包过滤类型：工作在OSI参考模型第3层或第4层；会根据数据包的端口号（比如TCP类型的端口号80）、IP地址的源和目的地 来进行访问控制；
比如不让192.168.1.0的网段访问192.168.2.0网段的Web服务器；
不会管应用层数据，如果将攻击代码放在应用层，包过滤防火墙就无能为力；
对用户透明，用户使用网络时，不需要做一些配置；
不建立链接状态表：发送数据包后，当前的链路状态不会保留，不会根据链路状态调整端口；也就是说，要在防火墙上永远开启一个端口，开启后才能正常通信；

状态监测型：也是基于网络层、传输层；
与包过滤的区别是：会建立链路状态表；比如允许内网访问互联网，当有数据包发出去后，防火墙会记录链路的状态，如果互联网的包返回来，在链路表上有这个信息，就让它通过；不会向包过滤一样，每个规则都进行检验，所以效率高于包过滤；
通信链路结束后，端口可以动态的关闭，互联网包就传不过来了；所以可以使用动态的端口号，比如大于1024的；用就动态开启，不用就动态关闭；

代理服务型：可以检测应用层的攻击行为；
安全性高于上2，效率低于上2；

DMZ区（“隔离区”，也称“非军事化区”）：一般用于存放对外提供服务的服务器；比如存放企业内部的邮件服务器（因为它对外提供服务）；
内网------>防火墙------->外网：内网有个web服务器要对外提供服务，就需要防火墙开放端口，允许外网访问web服务器，如果黑客攻击了web服务器，并以Web服务器作为跳板，再攻击pc，这样会导致内网不安全；
有了DMZ区后就可以将Web服务器放在DMZ区；这样web服务器和内网之间就有防火墙，黑客无法直接攻击；

6.访问控制

访问控制可以保护计算机不受到非法、非授权的系统的访问；
隔离技术法：将数据隔离开；

物理识别：IC卡；
三种常用方法：你知道啥？ 你有啥？你的特征是啥？

IC卡硬件不可复制：把内容写到IC卡后，它的内容就是静态的；把IC卡中的内容读到缓存中后，黑客就可从缓存中获取相关信息再加以利用；还需要读卡器才能读；
动态密码：使用不方便，如果服务器的时间和客户端出现偏差，或者次数两端不一致，就无法使用；易用性差，随机生成的密码容易输入错误；比如网银；
USB key认证：安全性高、易用性好；解决了安全性和易用性之间的矛盾（常考！！！！）

最大口令时效、最小口令时效针对的是密码的有效期；最大指密码最多使用多久；最小指密码必须使用多久才能改密码（为了防止黑客攻击后把管理员密码改了）；
口令历史：系统记最近几个使用过的密码；告诉你下次改的时候不能改成最近使用的历史密码；
口令复杂度：密码组成得是大写、小写、数字、特殊字符中的几个；
加密选项：默认密码是单向加密，不可解密的，特殊情况下需要把密码进行解密，就得配置这个选项，同时也会降低系统安全性；
口令锁定：密码输错几次就给锁了；

7.加密技术

掌握加密技术各自的特点和典型代表；
对称性加密：加密解密用的同一个密钥；如无线通信；
非对称性加密：密钥成对出现，一个加密一个解密；

PKI（公钥基础结构）
数字证书：会记录用户信息、公钥、公钥的算法等；可公开；
不可否认性：我给你发邮件会涉及到私钥，私钥只有持有者才有；
完整性：发送数据时，用我的私钥进行签名，我加密后发布，别人想改，他要签名密钥对不上；
鉴别性：身份的确认性；基于证书与私钥一同实现；
机密性由数字证书实现，其他三性与数字签名有关；

CA给颁发证书，同时会用自己的私钥给证书签名，收到后，利用CA的公钥进行验证；这样会保证数据在传输过程中不会被修改；

8.签名/加密

下图1公钥加密，私钥解密的算法只能保证数据的机密性，无法对发送方的身份进行确认；保证机密性，无法保证身份；
确认身份需要签名技术；发送方用私钥进行签名，接收方收到密文后看是否是发送方的私钥进行的签名，是的话再进行解密，否的话说明信息在传输过程中被篡改； 这种私钥加密，公钥解密的算法无法保证机密性，任何用户都能用公钥解密；保证身份，无法保证机密性；

以下即可同时解决上述问题；

非对称加密效率低，为此，往往会用哈希算法生成哈希值，对哈希值进行签名；

9.哈希+签名

通过哈希算法生成报文摘要（数据较小）；对报文摘要进行签名就比之前的数据明文（数据较大）进行签名效率高得多！
如果B用公钥对哈希值进行解密后的值，和对报文X进行哈希运算后的值，相同，表示传输过程中没遭受篡改；

10.网络攻击术语

往往只考察概念的理解；划分攻击所属的类型；

冒充：A以B的名义去做啥事；猜取口令（猜密码）；
重演：利用已经生效的（某个账户已经获取了权限，能够访问），利用这种行为去发送攻击；或者利用他的部分特征去发动攻击；即让已经有权限的对象的特征重复演示；黑客去计算机高速缓存中抓取已经生效的令牌，用令牌去发送攻击；
消息篡改：修改发送过去的消息；DNS高速缓存污染，将域名对应的ip进行修改；
服务拒绝（又称DOS）：使被攻击者瘫痪，不能正常提供服务；伪造大量的通信数据包，和被攻击的服务器通信，耗尽相关资源，使得服务器无法正常响应正常访问；但不会造成机密信息的泄漏；
分布式拒绝服务攻击：（DDOS）
木马：盗取账号密码、盗取文件；
病毒：破坏文件；

计算机病毒
病毒：人为编写的，或者在程序中插入的一段代码，这段代码能够自我复制，能够破坏和影响计算机正常使用；
木马：盗取服务器上的机密文件；通过查看计算机的链路状况，看是否感染木马；

宏病毒：美丽莎，考察较多，特点是会以宏（Macro）开头；
考试类型：下列选项哪个属于木马/病毒？

11.安全相关协议-SSL、TSL、Https

了解SSL和其他两个协议的关系即可，不要求掌握SSL的算法、特征；
记：能在TCP/IP和应用层间无缝实现Internet协议栈处理；

记：TSL是在SSL3.0的基础上，增加了xxxx内容；

Https

12.SQL注入攻击

SQL注入攻击和XSS攻击，下午题经常考；
针对场景设计测试用例，让服务器防止注入式攻击/防止XSS攻击；

–在数据库中相当于注释符，下图中and password = xxx之后的语句就不执行了；

考试时要你写测试用例：
1、一定要出现注释符- -，使- -后的功能丧失；（得分点）
2、使得where语句的判定逻辑恒为真；

13.XSS攻击（跨站式脚本攻击）

对服务器不会有影响，但是会影响到访问此网站的客户端；
典型特点：url中有，或者是html的关键标签；
让你设计测试用例，尽量用script标签；

例如上传资料时，传的是超链接，按理应当是给一个合法的url地址，但是给了一个下图中的链接，下一个用户想看你传的数据，点开后，执行你链接中的脚本；如果你的脚本是从指定的目标链接下载一个木马程序，这样就会中毒；

下图第1段代码：警告：xss；
第2段代码：打开新的访问窗口，访问www.xss1.com，同时把你当前cookie中的内容提交上去；

.js，运行的是脚本文件；
答题时，写script测试用例，看是否会出现下图新浪的这种转码，使其原来的含义丢失；

预防SQL注入：
1、不信用户的输入；
2、限制用户输入的内容；
3、转义；将- -的含义进行变化；
预防XSS：
1、不信用户的输入，检验其输入；
2、转义；