信息安全.docx

信息安全.docx

《信息安全.docx》由会员分享，可在线阅读，更多相关《信息安全.docx（15页珍藏版）》请在冰豆网上搜索。

信息安全

信息安全

第一章网络安全概述

1.网络安全的定义

从本质上讲，网络安全就是网络上的信息安全，是指网络系统的硬件、软件和系统中的数据受到保护，不因自然因素或人为因素而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

2.为什么网络这么脆弱？

开放性网络环境、计算机软件安全缺陷、计算机硬件故障、协议本身的缺陷、人为因素

3.网络安全的目标及实现的任务

●保密性、完整性、可用性、抗否认性、可控性、可靠性

4.信息安全模型

（1）强制访问控制（MAC）

●用来保护系统确定的对象，用户不能改变他们的安全级别或对象的安全属性

●需划分安全等级，常用于军事用途

（2）自主访问控制（DAC）

●允许对象的属主来制定针对该对象的保护策略

●通过访问控制列表控制，常用于商业系统

多级安全模型

（3）BLP保密性模型（第一个）

●基于强制访问控制系统

●五个安全等级（公开、受限，秘密，机密，高密）

●两种规则（上读，下写）

（4）BIBA完整性模型（第一个）

●基于强制访问控制系统

●对数据提供了分级别的完整性保证

●五个等级

●两种规则（下读，上写）

多边安全模型

（5）Lattice安全模型

●通过划分安全边界对BLP模型进行了扩充

●在不同的安全集束（部门、组织等）间控制信息的流动

●一个主体可以从属于多个安全集束，而一个客体仅能位于一个安全集束

（6）ChineseWall模型

5.安全策略的内容及完成的任务

●保护、检测、反应、恢复

●Protect：

采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和不可否认性。

●Detect：

利用高级术提供的工具检查系统存在的可能提供黑客攻击、白领犯罪、病毒泛滥脆弱性。

●React：

对危及安全的事件、行为、过程及时作出响应处理，杜绝危害的进一步蔓延扩大，力求系统尚能提供正常服务。

●Restore：

一旦系统遭到破坏，尽快恢复系统功能，尽早提供正常的服务。

第二章密码学概论

1.网络安全模型

2.古典密码学的基本构造模块

●替代：

将明文字母替换成其他字母、数字或符号的方法

●置换：

将明文字母通过置换而形成新的排列的方法。

3.古典密码学的加密算法

●Caesar密码

●已知的最早的代换密码

●对字母表中的每个字母，用它之后的第3个字母来代换

●重要特征

•如果已知加密和解密算法，需测试的密钥只有25个（穷举攻击）

•明文所用的语言是已知的，且其意义易于识别

●改进

•将明文压缩

•扩充字母集合

●Playfair密码

●最著名的多表代换密码

●把明文中的双字母音节作为一个单元并将其转换成密文的“双字母音节”

●基于一个5×5的字母矩阵

●Vigenère密码

●密钥：

k=（k1,k2,…,km），m为任意值

●明文X=（x1,x2,…,xn）被分为长度为m的段，如果消息的长度不是m的倍数，则在末尾填充随机字符。

●加密函数

●密文：

Y=（y1,y2,…,yn）

●解密函数

Vernam密码的改进

●1918年，GilbertVernam

●运算基于二进制数据而非字母

●加密：

ci=pi⊕ki

●解密：

pi=ci⊕ki

●陆军情报军官JosephMauborgne

●一次一密

●其安全性完全取决于密钥的随机性

●两个难点

●产生大规模的随机密钥的实际困难

●密钥的分配和保护

●Hill密码

●分组密码

●密钥：

K=[m×m]，m为分组大小

●加密：

C=Ek（P）=KPmod26

●解密：

P=Dk（C）=K-1Cmod26

4.分组密码算法设计指导原则

●Diffusion（扩散）

●小扰动的影响波及到全局

●密文没有统计特征，明文一位影响密文的多位，增加密文与明文之间关系的复杂性

●Confusion（混淆）

●强调密钥的作用

●增加密钥与密文之间关系的复杂性

●结构简单、易于分析

5.DES加密算法

●分组长度：

64bit

●密钥长度：

56bit

●迭代轮数：

16

●基本单元：

置代换+模2运算

●1.初始置换IP2.扩展置换E3.与子密钥异或4.S-盒替换

5.P-盒置换6.与L0异或7.与R0拼接

6.DES的工作模式（图）及优缺点

●电码本模式（ECB）：

●一次处理64bit明文，每次使用相同的密钥加密适用于数据较少的情况（如加密密钥）特征

●优点：

简单、有利于并行计算、误差不会被传送

●缺点：

不能隐藏明文的模式、可能对明文进行主动攻击

●密码分组链接模式（CBC）：

●以当前的明文组和上一个密文组的异或作为输入，而使用的密钥相同。

第一块明文可以和一个初始矢量（IV）异或后再加密。

适合加密长度大于64bit的消息可用于认证

●优点：

不容易主动攻击，安全性好于ECB，适合传输长度长的报文，是SSL、IPSec的标准

●缺点：

不利于并行计算，误差传递，需要初始化向量IV

●密码反馈模式（CFB）：

●亦可作为流密码使用；

●加密函数的输入是64bit的移位寄存器，它的值为初始矢量IV；加密函数输出最左边的sbit与明文P1异或得到第一个密文单元C1；移位寄存器左移sbit，C1填入移位寄存器的最右边sbit。

●优点：

隐藏了明文模式、分组密码转化为流模式、可以及时加密传送小于分组的数据

●缺点：

不利于并行计算、误差传送：

一个明文单元损坏影响多个单元、唯一的IV

●输出反馈模式（OFB）

●与CFB模式相似

●区别：

用加密函数的输出填充移位寄存器中的最右边sbit

●优点：

隐藏了明文模式、分组密码转化为流模式、可以及时加密传送小于分组的数据、一个明文单元损坏不会影响后续单元

●缺点：

不利于并行计算、对明文的主动攻击是可能的

7.RSA算法

●基于大整数因子分解的困难性

●大整数因子分解问题

●有限域的乘法群上的离散对数问题

●椭圆曲线上的离散对数问题

●背包问题

8.ELGamal算法

●基于有限域上求解离散对数的困难性

9.对公钥密码体制的几种误解

●比传统密码更安全、传统密码已经过时、密钥分配更简单

第三章数字签名与身份认证

1.数字签名：

是通信双方在网上交换信息用公钥密码防止伪造和欺骗的一种身份认证。

消息认证：

又称为鉴别、确认，它是验证所收到的消息确实是来自真正的发送方且未被修改的消息，它也可验证消息的顺序和及时性。

认证是防止主动攻击的重要技术。

2.网络攻击的两种手段

●被动攻击（侦听和截取手段）、主动攻击（伪造、重放、篡改、乱序）

3.报文鉴别的方式

●报文加密函数：

加密整个报文，以报文的密文作为鉴别

●报文鉴别码：

依赖公开的函数对报文处理，生成定长的鉴别标签

●散列函数：

将任意长度的报文变换为定长的报文摘要，并加以鉴别

4.报文鉴别的过程及每个过程的鉴别方法

●报文源的鉴别

●条件：

别人不知道该密钥

●明文具有某种易于识别的结构，比如错误检测码

●公钥密码也可以进行报文源的鉴别

●报文宿的鉴别

●对称密钥：

发方A在报文中加入收方B的识别码IDB

●公钥密码：

发方A用收方B的公开密钥进行加密

●报文时间性的鉴别

●初始向量法

●时间参数法

●随机数法

●报文内容的鉴别

●报文鉴别码（MessageAuthenticationCode，MAC），也叫消息认证码。

●报文摘要（MessageDigest，MD），也叫消息摘要。

5.最常用的散列函数

●MD5：

生成的是128位的哈希值、SHA-1算法：

生成的是160位的哈希值

6.Kerberos网络用户认证系统的认证过程（P110图）

●优点：

较高的安全性、用户透明性好、扩展性好

●缺点：

服务器在回应用户的口令时，不验证用户的真实性；随着用户数的增加，密钥管理较复杂；AS和TGS是集中式管理，容易形成瓶颈，系统的性能和安全也严重依赖于AS和TGS的性能和安全

7.公钥基础设施PKI的基本组成

●CA、数字证书库、密钥备份及恢复系统、证书注销系统

8.公钥的分配方法

●公开发布、公开可访问目录、公钥授权、公钥证书

9.Diffie-Hellman密钥交换（PPT71）

●数学基础：

计算离散对数困难性

第四章Windows操作系统安全

1.漏洞:

在硬件、软件、协议的具体实现或系统安全策略以及人为因素上存在的缺陷.

2.漏洞的分类

●按形成的原因：

逻辑结构、设计错误、开放式协议、人为

●按发现的先后顺序：

已知、未知和0day

3.安全模板中策略的设置

●密码策略

●强制密码历史：

0~24个

●密码最长使用期限：

0~999天，0为永不过期

●密码最短使用期限：

0~999天，建议2天

●密码长度最小值：

0~14个，建议8个字符

●密码必须符合复杂性要求

●账户锁定策略

●账户锁定时间：

0表示永远锁定该账户

●账户锁定阀值：

0~999，0表示不锁定该账户

4.用户权限的管理策略

5.网络攻击的基本步骤

●隐藏位置、踩点、找漏洞、掌握控制权、隐藏行踪、实施攻击、开辟后门

6.网络扫描器的主要功能

●扫描目标主机识别其工作状态（开/关机）

●识别目标主机端口的状态（监听/关闭）

●识别目标主机系统及服务程序的类型和版本

●根据已知漏洞信息，分析系统脆弱点

●生成扫描结果报告

7.网络攻击的原理

●口令攻击、拒绝服务攻击Dos、缓冲区溢出、欺骗类攻击

第五章通信协议分析与网络攻击

1.网络监听原理：

网卡设为混杂模式

2.ARP协议的工作过程

3.ARP欺骗的基本原理：

冒充网关

4.（D）Dos攻击的基本原理和基本步骤：

TCP“三次握手”

第六章网络安全协议

1.SSL的体系结构及各协议的作用

●底层：

记录协议：

提供连接的安全性（保密性、完整性）

●上层：

握手协议（密钥协商）、告警协议、修改密文规约协议

●记录协议：

定义了一系列的传输格式；用来封装高层协议；提供连接的安全性，有两个特点：

保密性，使用了对称加密算法；完整性，使用HMAC算法

●握手协议：

客户和服务器之间相互认证；协商加密算法和会话密钥；提供连接的安全性，有三个特点：

身份认证、密钥的安全性、协商过程的可靠性

●修改密文规约协议目的：

为了表示密码策略的变化

●告警协议：

当握手过程或数据加密等操作出错或发生异常情况时，向对方发出警告或中止当前连接。

2.两个重要概念

●SSL连接（connection）

●连接是提供合适服务类型的一种传输（OSI模型）

●SSL的连接是端对端的关系

●连接是暂时的，每一个连接和一个会话关联

●SSL会话：

●一个客户端和服务器间的关联。

会话由握手协议创建，会话定义了一组可供多个连接共享的密码安全参数。

●会话用以避免为每一个连接提供新的安全参数，从而减少了昂贵的协商代价

3.IPSec的应用方式：

端到端、端到路由、路由到路由

4.IPSec的内容

●AH（认证头）协议：

提供数据完整性、数据源身份认证和抗重放攻击服务

●ESP（封装安全载荷）协议：

通信的机密性、完整性保护

●密钥管理：

SA、ISAKMP定义了密钥管理框架、IKE是目前正式确定用于IPSec的密钥交换协议

5.IPSec安全体系结构（P138）

6.IPSec的工作模式、协议格式及优缺点

●ESP协议：

根据ESP封装的载荷内容不同

●传输模式：

将上层协议部分封装

●隧道模式：

将整个IP分组封装

●ESP协议传输模式

¡优点：

内网的其他用户也不能理解通信主机之间的通信内容

分担了IPSec处理负荷（与隧道传输相比）

¡缺点：

不能使用私有IP地址；暴露了子网的内部拓扑；

不具备对端用户的透明性，用户为获得ESP提供的安全服务，必须付出内存、处理时间等代价。

●ESP协议隧道模式

¡优点：

保护子网中的所有用户都可以透明地享受由安全网关提供的安全保护

子网内部可以使用私有IP地址；子网内部的拓扑结构受到保护

¡缺点：

增大了安全网关的处理负荷，容易形成通信瓶颈

对内部的诸多安全问题将不可控

第七章防火墙与反病毒技术

1.防火墙：

是位于两个（或多个）网络间，实施网间访问控制的一组组件的集合。

2.防火墙的发展历史

●基于路由器的防火墙、用户化防火墙工具套（软件）、建立在通用操作系统上的防火墙（通用OS）、具有安全操作系统的防火墙（专用OS）

3.防火墙的四种类型（结构、功能、优缺点）

●分组过滤路由器，又称包过滤防火墙或屏蔽路由器

¡特点：

实现IP层的安全

屏蔽路由器作为内外连接的唯一通道，要求所有的报文都必须在此通过检查。

¡缺点：

在主机上实现，是网络中的“单失效点”

不支持有效的用户认证，不提供有用的日志，安全性低

●双宿主机：

这种配置是用一台装有两块网卡的堡垒主机做防火墙。

两块网卡分别与内部网和外部网相连。

¡采用代理服务的方法

¡优缺点

●堡垒主机的系统软件可用于身份认证和维护系统日志，有利于进行安全审计

●仍然是“单失效点”

●隔离了一切内部网与Internet的直接连接

●屏蔽主机:

路由表应受到严格保护

●屏蔽子网:

堡垒主机不再是“单一失效点”

4.防火墙的局限性

●安全性↑灵活性↓、网络功能↓、并非万无一失

¡只能防范经过其本身的非法访问和攻击，对绕过防火墙的访问和攻击无能为力；

¡不能解决来自内部网络的攻击和安全问题；

¡不能防止受病毒感染的文件的传输；

¡不能防止策略配置不当或错误配置引起的安全威胁；

¡不能防止自然或人为的故意破坏；

¡不能防止本身安全漏洞的威胁。

5.防火墙的实现技术及其工作原理

●包过滤工作原理:

¡系统在网络层检查数据包，与应用层无关。

¡依据在系统内设置的过滤规则（访问控制表）对数据流中每个数据包包头中的参数或它们的组合进行检查，以确定是否允许该数据包进出内部网络。

●代理服务、动态检测、网络地址转换

6.病毒的定义

●广义：

凡能够引起计算机故障，破坏计算机数据的程序统称为计算机病毒

●法律：

指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据、影响计算机使用，并能够自我复制的一组计算机指令或者程序代码

7.病毒的特征

●寄生性、隐蔽性、传染性、潜伏性、可触发性、破坏性或表现性、针对性

8.病毒的传播途径：

硬盘、移动硬盘、网络、点对点通信

9.病毒的分类

●按照传播媒介、按照感染或者寄生的对象、按照计算机病毒的破坏情况分类…

10.木马的实现原理、特征行为

●原理：

C/S模式，服务器提供服务，客户机接受服务。

●作为服务器的主机一般会打开一个默认的端口进行监听，如果有客户机向服务器的这一端口提出连接请求，服务器上的相应程序就会自动运行，来应答客户机的请求，这个程序被称为守护进程。

●特征和行为

●木马本身不进行自我复制

●被感染的计算机系统会表现出不寻常的行为或运行变慢。

11.蠕虫的特点

●主动传播、自我复制

12.计算机病毒的表现症状：

屏幕显示、系统声音、键盘工作、系统运行。

应用程序运行、文件系统、网络、其他异常

第八章入侵检测系统

1.入侵检测有关概念

●入侵：

是指系统发生的任何违反安全策略的事件，包括对系统资源的非法访问、恶意攻击、探测系统漏洞和攻击准备等对网络系统造成危害的各种行为。

●入侵检测：

是指通过从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现或识别企图入侵、正在进行的入侵或已经发生的入侵的技术。

●入侵检测系统：

用于进行入侵检测的自动化工具，是入侵检测的软件与硬件的组合。

2.入侵检测的起源

●IDES（入侵检测专家系统）、审计技术、分布式入侵检测系统（DIDS）

3.入侵检测的工作模式

●从系统的不同环节收集信息

●分析该信息，试图寻找入侵活动的特征

●自动对检测到的行为做出响应

●记录并报告检测过程及结果

4.入侵检测系统的通用模型及其各模块的功能

●事件产生器：

负责收集、采集各种原始数据，且将其转换为事件，向系统的其他部分提供此事件。

●事件分析器：

接收事件信息，对其进行分析，判断是否为入侵行为或异常现象，最后将判断的结果转变为告警信息

●事件响应器：

存放各种中间和最终数据的地方。

从事件产生器或事件分析器接收数据，一般会将数据进行较长时间的保存，以便于今后的关联分析等。

●事件数据库：

根据告警信息做出反应，是IDS中的主动武器

5.检测IDS性能的两个关键参数：

误报率、漏报率

6.入侵检测系统的分类

●根据其采用的分析方法（检测原理）分：

误用检测、异常检测

●根据数据来源分：

基于主机的IDS（HIDS）、基于网络的IDS（NIDS）、混合型

●根据体系结构：

集中式、分布式

●根据系统的工作方式：

离线、在线

7.入侵检测技术

●异常检测技术：

概率统计异常检测

●误用/滥用检测技术：

专家系统滥用检测

●高级检测技术：

遗传算法、数据挖掘

●入侵诱骗技术：

蜜罐技术Honeypot、蜜网技术（Honeynet）

●入侵响应技术：

主动响应、被动响应