信息安全知识点记要

我国《网络安全法》关于基础设施安全和个人信息保护的主要内容

• 第二十六条 国务院通信、广播电视、能源、交通、水利、金融等行业的主管部门和国务院其他有关部门(以下称负责关键信息基础设施安全保护工作的部门)按照国务院规定的职责，分别负责指导和监督关键信息基础设施运行安全保护工作。
• 第二十七条 建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。
• 第二十八条 除本法第十七条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：(一) 设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；(二) 定期对从业人员进行网络安全教育、技术培训和技能考核；(三) 对重要系统和数据库进行容灾备份；(四) 制定网络安全事件应急预案，并定期组织演练；(五) 法律、行政法规规定的其他义务。
• 第二十九条 关键信息基础设施的运营者采购网络产品和服务，应当与提供者签订安全保密协议，明确安全和保密义务与责任。
• 第三十条 关键信息基础设施的运营者采购网络产品或者服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的安全审查。具体办法由国务院规定。
• 第三十一条 关键信息基础设施的运营者应当在中华人民共和国境内存储在运营中收集和产生的公民个人信息等重要数据；因业务需要，确需在境外存储或者向境外的组织或者个人提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。
• 第三十二条 关键信息基础设施的运营者应当自行或者委托专业机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并对检测评估情况及采取的改进措施提出网络安全报告，报送相关负责关键信息基础设施安全保护工作的部门。
• 第三十三条 国家网信部门应当统筹协调有关部门，建立协作机制。对关键信息基础设施的安全保护可以采取下列措施：(一) 对关键信息基础设施的安全风险进行抽查检测，提出改进措施，必要时可以委托专业检验检测机构对网络存在的安全风险进行检测评估；(二) 定期组织关键信息基础设施的运营者进行网络安全应急演练，提高关键信息 基础设施应对网络安全事件的水平和协同配合能力；(三) 促进有关部门、关键信息基础设施运营者以及网络安全服务机构、有关研究机构等之间的网络安全信息共享；(四) 对网络安全事件的应急处置与恢复等，提供技术支持与协助。
• 第三十四条 网络运营者应当建立健全用户信息保护制度, 加强对用户个人信息、隐私和商业秘密的保护。
• 第三十五条 网络运营者收集、使用公民个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
• 第三十六条 网络运营者对其收集的公民个人信息必须严格保密，不得泄露、篡改、毁损，不得出售或者非法向他人提供。
• 第三十七条 公民发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的，有权要求网络运营者删除其个人信息；发现网络运营者收集、存储的其个人信息有错误的，有权要求网络运营者予以更正。
• 第三十八条 任何个人和组织不得窃取或者以其他非法方式获取公民个人信息，不得出售或者非法向他人提供公民个人信息。
• 第三十九条 依法负有网络安全监督管理职责的部门，必须对在履行职责中知悉的公民个人信息、隐私和商业秘密严格保密，不得泄露、出售或者非法向他人提供。

《信息系统安全等级保护基本要求》主要内容

• 基本安全要求是针对不同安全保护等级信息系统应该具有的基本安全保护能力提出的安全要求，根据实现方式的不同，基本安全要求分为基本技术要求和基本管理要求两大类。技术类安全要求与信息系统提供的技术安全机制有关，主要通过在信息系统中部署软硬件并正确的配置其安全功能来实现；管理类安全要求与信息系统中各种角色参与的活动有关，主要通过控制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现。
• 基本技术要求从物理安全、网络安全、主机安全、应用安全和数据安全几个层面提出；基本管理要求从安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理几个方面提出，基本技术要求和基本管理要求是确保信息系统安全不可分割的两个部分。基本安全要求从各个层面或方面提出了系统的每个组件应该满足的安全要求，信息系统具有的整体安全保护能力通过不同组件实现基本安全要求来保证。除了保证系统的每个组件满足基本安全要求外，还要考虑组件之间的相互关系，来保证信息系统的整体安全保护能力。对于涉及国家秘密的信息系统，应按照国家保密工作部门的相关规定和标准进行保护。对于涉及密码的使用和管理，应按照国家密码管理的相关规定和标准实施。
• 基本技术要求的三种类型根据保护侧重点的不同，技术类安全要求进一步细分为：保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求；保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求；通用安全保护类要求。

信息安全的几个基本属性

• 完整性
  指信息在传输、交换、存储和处理过程保持非修改、非破坏和非丢失的特性，即保持信息原样性，使信息能正确生成、存储、传输，这是最基本的安全特征。研究范畴：防篡改、摘要技术、杂凑函数。
• 保密性
  指信息按给定要求不泄漏给非授权的个人、实体或过程，或提供其利用的特性，即杜绝有用信息泄漏给非授权个人或实体，强调有用信息只被授权对象使用的特征。研究范畴：加密/解密、量子通信、干扰通信。
• 可用性
  指网络信息可被授权实体正确访问，并按要求能正常使用或在非正常情况下能恢复使用的特征，即在系统运行时能正确存取所需信息，当系统遭受攻击或破坏时，能迅速恢复并能投入使用。可用性是衡量网络信息系统面向用户的一种安全性能。
• 不可否认性
  指通信双方在信息交互过程中，确信参与者本身，以及参与者所提供的信息的真实同一性，即所有参与者都不可能否认或抵赖本人的真实身份，以及提供信息的原样性和完成的操作与承诺。研究范畴：身份认证、消息认证。
• 可控性
  指对流通在网络系统中的信息传播及具体内容能够实现有效控制的特性，即网络系统中的任何信息要在一定传输范围和存放空间内可控。除了采用常规的传播站点和传播内容监控这种形式外，最典型的如密码的托管政策，当加密算法交由第三方管理时，必须严格按规定可控执行。研究范畴：识别、过滤、生成。

《密码法》主要内容

• 密码的定义：根据密码法（第二条）的法律定义：密码是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。其实，这个关于密码概念的定义，即是法律定义，也是业界公认的技术定义。这里有两个关键点，一个是密码的工作方法：特定的“变换”，一个是密码的作用：“加密保护”与“安全认证”。因此，我们生活中在登录界面输入“密码”，以及人脸识别、指纹识别、声纹识别等生物识别技术，都不是真正的密码，它们只是“登录口令”，是某种特征的输入和匹配。而真正的密码则工作在这个过程的背后。在你“刷脸”的时候，以及系统存储你的面部特征信息的时候，系统都会用密码对这些信息进行加密，以保护你的身份特征信息不被黑客窃取。
• 密码的分类：密码法根据应用场景和加密强度的要求，把密码范围三类（第六条、第七条）：核心密码、普通密码和商用密码。其中核心密码、普通密码都是用于保护国家秘密信息的密码。核心密码保护信息的最高密级为绝密级，普通密码保护信息的最高密级为机密级。而商用密码则是用于保护不属于国家秘密的信息的密码，用于保护公民、法人和其他组织的信息安全。
  特别的，普通密码其实一点都不普通。这个名字只不过是业界的一种通行叫法而已。而且，密码法还明确说明：核心密码、普通密码属于国家秘密。
• 与密码相关的违法犯罪行为：密码法主要规定了三种情形（第十二条）属于与密码相关的犯罪：一、窃取他人加密保护的信息。二、非法侵入他人的密码保障系统。三、利用密码从事危害国家安全、社会公共利益、他人合法权益等违法犯罪活动。

网络攻击时进行网络扫描的类型

SQL注入攻击方法及如何预防

• SQL注入（ SQL Injection ）：
  程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据或进行数据库操作。
• 攻击方法：
  注入漏洞分为数字型和字符型，通过检查Web应用调用数据库服务器或操作系统功能所有调用点，检查是否能构造恶意输入，进而影响调用命令。
  所谓SQL注入，就是通过把SQL插入到Web表单提交到输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
• SQL注入预防方法：
  1、开发时过滤特殊字符：单引号、双引号、斜杠、反斜杠、冒号、空字符等字符。
  2、过滤的对象:用户的输入、提交的URL请求中的参数部分、从cookie中得到的数据。
  3、部署防SQL注入系统或脚本。

素数的性质，素数的判定方法

• 素数定义：
  设整数 $n\ne 0$, $\pm 1$。如果除了$\pm 1$和$\pm n$外，$n$没有其它因数 （因子），则$n$是素数（或质数、不可约数）。否则$n$叫合数。素数总是指正整数，通常写成 $p$
• 互素的概念：
  设${\alpha }_1,\cdots ,{\alpha }_n$是$n(n\ge 2)$个整数，若整数d是它们中每一个数的因数，那么，$d$叫做${\alpha }_1,\cdots ,{\alpha }_n$的公因数。如果${\alpha }_1,\cdots ,{\alpha }_n$不全为零，则${\alpha }_1,\cdots ,{\alpha }_n$的所有公因数中最大的一个叫做最大公因数，记作$gcd({\alpha }_1,\cdots ,{\alpha }_n)$，或$({\alpha }_1,\cdots ,{\alpha }_n)$。特别地，当$({\alpha }_1,\cdots ,{\alpha }_n)=1$ 时，称${\alpha }_1,\cdots ,{\alpha }_n$互素或互质。（也就是说${\alpha }_1,\cdots ,{\alpha }_n$没有公因数。）
• $a,b$是整数，$p$是素数
  则 $(a,b)=(b,a)$;
  如果 $b|a$（整除）, 则$（a,b）=b$;
  如果 $p\nmid a$ （不整除），则$（p,a）=1$，即互素。
• 判定定理：
  设$n$是一个正整数，如果对所有的素数，都有$\nmid n$，则$n$一定是素数。
  该定理提供了一个寻找素数的方法（平凡除法）：
  从1到$n$的整数中，删除的所有素数$p_1,p_2,\cdots p_k$的倍数（不含自己），余下来的数就是不大于$n$的素数。

Euler函数与Euler定理

• Euler函数
  定义：设$m$是一个正整数，把$0,1,\cdots ,m-1$中与$m$互素的数的个数记作 $\phi (m)$, $\phi (m)$就叫做Euler函数。
  定理：设$m、n$是两个互素的正整数，则$\phi (mn)=\phi (m)\phi (n)$
  推论：设$p、q$是不同的素数，
  则 （1）$\phi (pq)=pq-p-q+1$
  设$n=pq$, 则（2）如果知道$n$和$\phi (n)$，就可求出$p$和$q$.
• Euler定理
  设$m$是大于1的整数，$\phi (m)$是$m$的Euler函数。如果$a$是满足$（a,m）=1$的整数，则
  $$a^{\phi (m)}\equiv 1modm$$

由古典密码演进到现代密码

• 1949年前：
  古典密码阶段。密码技术是一种技巧，算法和秘钥都是保密的，秘钥空间较小，信息的安全性主要依赖于对加密和解密算法的保密。
• 1949-1975年：
  对称密码阶段。1949年Shannon发表《保密系统的通信理论》，1970年IBM推出DES（数据加密标准）密码算法。这个阶段的加密和解密算法无需保密，信息的安全性主要依赖于对秘钥的保密。
• 1976年-至今：
  公钥密码阶段。1976年Diffie和Hellman发表了《密码学的新方向》，引入公钥密码的概念，基于公开信息的密钥交换和互不信任双方的信息认证问题成为可能。加密秘钥（公钥）可以公开，仅对解密秘钥（私钥）保密。广泛应用于信息加密、真实性认证、完整性保护、产品防伪等。

国密算法以及各自主要内容+应用场合

国密算法是中国国家密码局制定标准的一系列算法。其中包括了对称加密算法，椭圆曲线非对称加密算法，杂凑算法。包括以下类型：

• SM1为不公开的分组密码算法，对称加密，加密强度为128位。该算法调用加密芯片实现。应用于芯片、IC卡、电子钥匙、加密机等产品。
• SM2为公钥算法，基于椭圆加密算法，加密强度为256位。应用于公开密钥加密、电子商业、计算机数据加密等。
• SM3为杂凑算法（哈希、散列），杂凑值长度为32字节，校验结果256位，应用于商用密码应用中的数字签名和验证，消息认证码的生成与验证以及随机数的生成。
• SM4为无线局域网标准的分组密码算法，对称加密，加密强度为128位。应用于无线局域网协议WAPI。

两个用户利用CA中心在公钥基础设施（PKI）架构中进行安全通信

网银U盾的作用和工作原理

• 作用：
  从技术角度看，U盾是用于网上银行电子签名和数字认证的工具，它内置微型智能卡处理器，采用1024位非对称密钥算法对网上数据进行加密、解密和数字签名，确保网上交易的保密性、真实性、完整性和不可否认性。

• 工作原理：
  基于USBKey身份认证系统主要有两种应用模式：
  一种是基于冲击/响应的认证模式，另一种是基于PKI体系的认证模式，广泛运用在电子政务、网上银行。

主机Cookie的作用与隐私保护的关系

• Cookie是某些网站为了辨别用户身份，进行Session跟踪而储存在用户本地终端上的数据（通常经过加密），由用户客户端计算机暂时或永久保存的信息。

• 作用：Cookie是一个保存在客户机中的简单的文本文件, 这个文件与特定的 Web 文档关联在一起, 保存了该客户机访问这个Web 文档时的信息, 当客户机再次访问这个 Web 文档时这些信息可供该文档使用。

• 使用类似的域名进行Web欺骗
  注册一个与目标公司或组织相似的域名 ，然后建立一个欺骗网站，骗取该公司
  的用户的信任，以便得到这些用户的信息。

• SQL注入防御
  a.开发时过滤特殊字符
  单引号、双引号、斜杠、反斜杠、冒号、空字符等的字符
  b.过滤的对象
  1)用户的输入
  2)提交的 URL 请求中的参数部分
  3)从 cookie 中得到的数据
  c.部署防 SQL 注入系统或脚本

• 跨站脚本危害
  获取其他用户 Cookie 中的敏感数据
  屏蔽页面特定信息
  伪造页面信息
  拒绝服务攻击
  突破外网内网不同安全设置
  与其它漏洞结合

P2DR安全模型及应用

• Policy（安全策略）：根据风险分析产生的安全策略描述了系统中哪些资源要得到保护，以及如何实现对它们的保护等。策略是模型的核心，所有的防护、检测和响应都是依据安全策略实施的。 网络安全策略一般包括总体安全策略和具体安全策略2个部分

• Protection （防护）：通过修复系统漏洞、正确设计开发和安装系统来预防安全事件的发生；通过定 期检查来发现可能存在的系统脆弱性；通过教育等手段，使用户和操作员正确使用系统，防止意外威胁：通过访问控制、监视等手段来防止恶意 威胁。采用的防护技术通常包括数据加密、身份认证、访问控制、授权和虚拟专用网（VPN）技 术、防火墙、安全扫描和数据备份等

• Detection（检测）：是动态响应和加强防护的依据，通过不断地检测和监控网络系统，来 发现新的威胁和弱点，通过循环反馈来及时做出有效的响应。当攻击者穿透防护系统时， 检测功能就发挥作用，与防护系统形成互补

• Response（响应）：系统一旦检测到入侵，响应系统就开始工作，进行事件处理。响应 包括紧急响应和恢复处理，恢复处理又包括系统恢复和信息恢复

• 应用：1.与等级保护标准结合，应用于等级测评模式和评价体系；2.建立安全防御体系；

操作系统的四个安全等级

等级由高到低（A到D）为：验证保护等级、强制保护等级、自主保护等级、最小保护等级

可信计算平台上可信链的建立过程

• 可信计算建立过程：首先建立一个信任根（TPM）。信任根的可信性由物理安全和管理安全确保。再建立一条信任链。从信任根开始到硬件平台、到操作系统、再到应用，一级认证一级，一级信任一级。从而把这种信任扩展到整个计算机系统。
• 传递过程：
  $\Rightarrow$ 加电开始直到操作系统加载完毕。实模式下运行，串行引导阶段
  $\Rightarrow$ 从操作系统内核开始运行直到终端平台应用环境建立完毕。保护模式下运行，并行引导阶段。

《信息保障技术框架》IATF关于信息系统安全威胁的分类

• 被动攻击：是指通过拦截网络流量，进行分析，从而获取信息的方法。这种攻击通常在网络的飞地边界以外进行。
• 主动攻击：是指通过发现协议和系统的漏洞，渗透到用户信息系统中，盗取信息、更改数据，甚至使系统不能提供正常服务等。这种攻击也通常是采用远程攻击方法进行。
• 物理临近攻击：是指攻击者接近实际的信息系统设备，进入实际系统工作环境，寻找可以攻击的方法。
• 内部人员攻击：是指信息系统内部人员即拥有合法访问权限的用户有意或无意对系统进行的破坏或更改，以致造成系统泄密或不能提供正常服务。
• 分发攻击：通常是指信息系统中的产品在分发或维修过程中，在产品中留下后门，以便日后可以远程攻击。

信息隐藏的目的，如何做LSB信息隐藏，如何评价隐藏性能

• 保证隐藏的信息不引起监控者的注意和重视，从而减少被攻击的可能性，在此基础上再使用密码术来加强隐藏信息的安全性，因此信息隐藏比信息加密更为安全。
• 用秘密信息比特替换载体中的最不重要的部分，可以达到对信息隐藏的目的。在数字图像中，每个字节的最低位对图像信息的影响最小，因此将数字图像的最低位用信息比特替换可以实现信息隐藏。由于载体图像的每个字节只隐藏一个秘密信息大小的8倍以上时才能完整的将秘密信息隐藏。在隐藏了秘密信息的数字图像中，每个字节的最低位就是秘密信息比特位，只需将这些信息比特提取出来并组合，就可以恢复出原来的秘密信息。
• 优点：简单，容易实现，隐藏容量大。对载体影响不大。
• 缺点：（1）安全性不是很强（2）鲁棒性不是很高：有损压缩，滤波，加噪等影响很大。