计算机网络安全复习题.docx
《计算机网络安全复习题.docx》由会员分享，可在线阅读，更多相关《计算机网络安全复习题.docx（41页珍藏版）》请在冰豆网上搜索。
计算机网络安全复习题
第1章复习
计算机网络安全概述
（一）、网络安全的含义
1.网络安全的定义
网络系统的硬件、软件及其系统中的数据受到保护，不因无意或故意威胁而遭到破坏、更改、泄露，保证网络系统连续、可靠、正常地运行。
2.两个含义：
一是系统安全运行，即网络系统能提供有效的服务；
二是系统中信息安全保护，包括信息保密性、完整性和可用性。
3.网络安全的特征（几个特性）（P5）
系统的可靠性、数据的完整性、数据的可用性和数据的保密性
1系统的可靠性：
保证网络系统不因各种因素的影响而中断正常工作
2数据的完整性：
保护网络系统中存储和传输的软件（程序）与数据不被非法改变
3数据的可用性：
保证软件（程序）和数据能被合法用户访问和正常利用
4数据的保密性：
利用密码技术对数据进行加密处理，保证在系统中存储和网络上传输的数据不被无关人员识别。
（二）.网络面临的不安全因素
1内部：
网络系统的脆弱性——漏洞
2外部：
网络系统的威胁即黑客的攻击
1.什么是漏洞，漏洞的危害性
网络系统的脆弱性P6~P8,P227
1操作系统的脆弱性
2计算机系统本身的脆弱性
3电磁泄漏
4数据的可访问性
5通信系统和通信协议的脆弱性
6数据库系统的脆弱性
7存储介质的脆弱
2.网络系统的威胁
1网络信息的4种威胁
窃听、中断、篡改、伪造
2无意威胁、有意威胁，
3有意威胁又非为：
被动攻击、主动攻击
（三）.网络安全体系结构
●OSI网络安全框架 （P10）
●P2DR安全模型
1、OSI网络安全框架 （P11）
●安全单元（独立的网段）……网络信息安全系统由一个或若干个安全单元构成
●安全单元具有三个特性：
◆安全特性
◆系统单元
◆安全层次
●安全单元的三个特性可用安全三维空间描述
2、P2DR模型（p14）
1一个常用的网络安全模型是P2DR模型（基于TCSEC模型）。
P2DR是四个英文单词的字头：
Policy（安全策略）
Protection（防护）
Detection（检测）
Response（响应）
2完整、动态网络安全循环体系
2完整、动态网络安全循环体系
3在整体安全策略的控制指导下，综合运用防护工具的同时利用检测工具，了解和评估系统的状态，通过适当的响应，将系统调整到最“安全”和“风险最低”的状态。
4该模型指出：
安全技术措施是围绕安全策略的具体需求有序的组织在一起，架构一个完整的“动态”、“完整”的安全防范体系。
（四）.网络安全措施（p16）
网络安全措施主要包括以下五种：
1.安全立法
设立各种法律来减少计算机犯罪案
2.安全行政人事管理
设立安全管理机构，制定人事安全管理、系统
安全管理和行政安全管理职责。
3.网络实体安全
网络中的硬件、软件和数据都是系统资源。
网络实体安全保护就是指采取一定措施对网络的硬件系统、数据和软件系统等资源实体进行保护和对自然与人为灾害的防护。
4.系统访问控制
1基本任务：
●对要求入网的用户进行身份验证和确认；
●对入网用户访问系统资源的权限和属性控制
2访问控制措施
●通常采用设置口令和入网限制，
●采取CA认证、数字证书、数字签名等技术对用户身份进行验证和确认，
●规定不同软件及数据资源的属性和访问权限，
●进行网络监视、设置网络审计和跟踪，
●使用防火墙系统、入侵检测和入侵防护系统等方法实现等。
5.数据加密保护
数据加密保护是采用
●密码技术进行信息加密、
●数字签名、用户验证和非否认等措施实现。
（五）.网络安全级别（P19）
可信计算机标准评价准则
《可信计算机标准评价准则》简称为TCSEC
把计算机安全等级分为4类7级。
依据安全性从低到高的级别，依次为D、C1、C2、B1、B2、B3、A级，每级包括它下级的所有特性，
第2章复习
网络操作系统安全
（一）网络操作系统的安全
1.NOS操作系统主要的安全功能包括：
1存储器保护（限定存储区和地址重定位，保护存储信息）
2文件保护（保护用户和系统文件，防止非授权用户访问）
3身份认证（识别请求访问的用户权限和身份）
4授权访问
5网络共享资源的管理
2.NOS的安全漏洞主要有以下两类：
（p40）
1输入/输出非法访问。
2操作系统后门。
（二）.访问控制措施
●访问控制措施是保证网络安全主要措施，也是维护系统安全、保护网络资源的重要手段。
●可分为以下8类：
1入网安全控制（系统登录）
2访问权限限制
3文件和目录属性限制
4网络服务器安全控制
5身份认证
6网络监测和锁定控制
7网络端口和节点的安全控制
8防火墙控制
访问控制措施
1.入网安全控制（系统登录）
通过对某些条件的设置（用户名、口令、账户、安全标识、身份认证）来控制用户是否能进入系统的一种安全控制方法。
1用户名、口令验证：
●每个合法用户都有一个用户名和一个口令，在系统建立用户时将其存入系统的相应数据库中的。
●口令的选择与保护
入网安全控制
口令的选择：
选择字母和数字组合的、容易记忆的、位数多的、不易被猜出的信息作口令。
尽量不使用单个词汇、人名、与用户相关联的数字或号码。
口令的保护：
口令加密，定期或不定期地更换口令等待。
身份认证的方法
●用户名和口令验证
●数字证书验证
●SecurityID验证
●用户的生理特征验证
●智能卡验证
（四）.典型网络操作系统的安全
1.WindowsNT（P44）
2.Windows200X
第3章
计算机网络实体安全
网络实体
●计算机网络实体包括网络系统的硬件、软件和数据资源
●计算机网络实体是网络系统的核心，它既是对数据进行加工处理的中心，也是信息传输控制中心。
●保证计算机网络实体安全就是保证硬件和环境、存储介质、软件和数据的安全
（一）.网络机房及环境安全
1.机房的安全等级
机房安全按计算机系统要求分为三级：
A、B和C级。
1A级要求具有最高的安全性和可靠性
2B级要求有较完善的机房安全措施
3C级则可确保系统一般运行时的最低安全性和可靠性
2机房的安全保护（P83）
1机房环境及场地安全
2机房装饰
3机房的出入管理
4机房内部管理与维护
网络机房及环境安全
3.机房温度、湿度和洁净度（p84）
1温度的影响
2湿度的影响
3洁净度
网络机房及环境安全
4．机房接地系统
●机房必须提供良好的接地系统
为保证设备可靠运行、防止干扰、保护设备及人身安全
●包括直流地、交流地、安全保护地和防雷保护地。
网络机房及环境安全
5．机房的电源保护（p85）
GB2887-2000将供电方式分三类：
2一类供电：
需建立不间断供电系统；
3二类供电：
需要建立带备用的供电系统；
4三类供电：
按一般用户供电要求考虑。
（二）.自然与人为灾害的防护
网络系统可能受到火灾、水灾、风雹、地震、雷电、电磁等自然与人为灾害的侵袭，因此对网络系统在这方面要有相应的防护。
自然与人为灾害的防护
1．机房的防火（P86）
2.机房的防水
3.机房的电磁干扰防护
4.机房的雷电防护
（三）.机房静电和电磁辐射的防护（P87）
1．机房的静电防护
2电磁辐射的防护
（四）.网络安全的日常管理
●对于网络系统的安全管理和维护，不仅需要有配套的安全防御措施，还需要规范的管理制度和流程，更需要高素质的安全管理和操作人员。
●一般网络管理人员所面对的网络管理环境大都已经采取了某些安全措施，构成了一定的防御体系。
网络安全的日常管理
1.口令（密码）管理
1一般人们常犯的口令错误有：
●多个账号使用同一个密码；
●密码全部采用数字组合或字母组合；
●密码从不更新；
●密码被记录于易见的媒体上
●远程登录系统时，账号和密码在网络中以明文形式传输等。
2网络安全管理人员，在口令管理上应该养成好习惯，比如：
●选取数字、字母、符号相间的口令；
●口令不随便书写在易见的媒体上；
●适时更新口令；
●及时删除已撤消的账号和口令；
●远程登录时使用加密口令；
●更严格情况可采用口令鉴别和PKI验证过程
2.病毒防护
1机房管理和使用人员均应有防护病毒意识。
2网络系统的所有计算机都安装相关的防病毒软件。
3在日常维护中，最好是每隔两三天就检查一次是否需要升级病毒库，在必要时及时进行升级。
3.漏洞扫描
1网络管理员应通过漏洞扫描系统对网络系统进行扫描，查找网络上存在哪些漏洞并及时修补。
比如：
对IIS打补丁可避免红色代码蠕虫问题；对SQLServer打补丁就可避免SQL蠕虫问题；
2及时加强口令的控制，关闭不必要的服务，就不会发生被他人远程控制问题；
3如果在出口进行源路由控制，就不会有DDoS攻击从本网发动。
4.边界控制
1通常可利用路由器网络对边界访问进行控制，特别是连接Internet的边界。
2边界访问控制得比较好，就能有效地减少来自Internet的攻击风险。
比如采用源路由器控制方法，过滤非本地的IP报文发送到Internet上，可避免黑客的IP欺骗，也可控制DDoS攻击。
3加强局域网之间的边界控制，可以减少攻击威胁的范围。
5.实时监控
1网络管理员要时刻监视网络的访问情况
●密切注意潜在的攻击行为，采取必要手段进行及时控制；
●对已攻击成功的事件，应启动应急响应流程
●分析网络中的薄弱环节，考虑应如何调整和加强安全措施等。
2利用IDS建立全网的监控系统
可以实施对网络的实时全面监控和对某个或某些安全事件进行特别监控。
6.日志审核
1日志是指操作系统日志、应用程序日志和防火墙日志。
2如果网络范围比较大，设备比较多，日志量就比较大。
如果没有专门的日志分析工具，网络管理员应只对特别重要的服务器日志进行常规的日志分析。
3通过这些分析，可以发现服务器上是否有异常活动。
日志分析审核是对网络安全监控系统的一个补充，在日常维护中，建议每月进行一次。
7.应急响应
1每个较大的网络系统安全管理员都建立自己的紧急响应流程，使所有安全管理人员都知道，在出现紧急安全事件时应如何处理。
2如果暂不具备对安全事件分析的实力，可由有能力提供紧急响应安全服务的服务提供商进行支持。
3此外，应及时对每次应急响应进行总结，修正应急响应流程。
第5章复习
数据加密与鉴别
（一）.数据加密
1.数据加密的作用--密码技术是信息安全的核心技术
●保密性
●认证
●完整性
●不可抵赖性
所以采用密码技术对信息进行加密是最常用、最有效的安全保护手段。
密码技术与网络协议相结合，可以发展为认证、访问控制、电子证书等，
2.在安全体制的基础上，就可以发展各种安全应用，如安全电子邮件，安全远程登录等。
3.简单的密码系统示意图
（二）.密码技术分类（p133）
1分组密码和序列密码
2传统密码技术
3现代计算机密码技术:
●对称（秘密）密钥密码体制，主要算法DES算法。
●非对称（公开密钥）密钥密码体制，主要算法RSA算法。
1.DES主要特点
●DES主要采用替换和移位的方法加密。
●用实际56位密钥对64位二进制数据块进行加密
●每次加密可对64位的输入数据进行16轮编码，经一系列替换和移位后，输入的64位原始数据转换成完全不同的64位加密输出数据。
●运算速度快，密钥生成容易，适合于在当前大多数计算机上用软件方法实现，同时也适合于在专用芯片上实现。
2.RSA的主要特点
●RSA是一个可以支持变长密钥的公开密钥加密算法，在其所生成的一对相关密钥中，任何一个都可以用于加密,同时另一个用于解密。
●由于RSA的计算效率要比DES等慢100～1000倍，因此，比较适合于加密数据块长度较小的报文。
●基于RSA算法的非对称加密可用于数据加密、密钥分发和数字签名。
3.DES和RSA算法的特点和比较
（1）DES的特点
1可靠性较高（16轮变化，增大了混乱性和扩散性，输出不残存统计信息）；
2加密/解密速度快；
3算法容易实现（可由软件和硬件实现，硬件实现速度快），通用性强；
4算法具有对称性，密钥位数少，存在弱密钥和半弱密钥，便于穷尽攻击；
5密钥管理复杂。
（2）RSA算法的特点
1密钥管理简单（网上每个用户仅保密一个密钥，且不需密钥配送）；
2便于数字签名；
3可靠性较高（取决于分解大素数的难易程度）；
4算法复杂，加密/解密速度慢,难于实现。
RSA的应用
●算法为公用网络上信息加密和鉴别提供了一种基本方法。
●它通常是先生成一对密钥，其中之一是保密密钥，由用户保存；另一个为公开密钥，可对外公开，甚至可在网络服务器中注册。
●实用于数字签名
（3）混合加密方法应用—数字信封技术（p151）
●对称密钥密码算法的特点是算法简单，加/解密运算速度快；但其密钥管理复杂，不便于数字签名。
●而公开密钥密码算法的特点是密钥管理简单，便于数字签名；但算法的理论复杂，加/解密运算速度慢。
两者的优缺点互补。
（三）.密钥管理
●当合理的密码算法确定后，密码系统的保密强度完全取决于密钥的保密程度。
●密钥管理的目的就是要保证数据保密系统安全性。
1.密钥管理
1密钥管理包括密钥的产生、密钥的存储和保护、密钥的更新、密钥的分发和传输、密钥的验证、密钥的使用、密钥的销毁等。
这些问题的本质就是要正确地解决密钥从产生到使用全过程的安全性和实用性。
2密钥管理最主要的过程是密钥的产生、保护和分发。
2.一种公开密钥的保护体制
1若A与B通信，A产生公钥Ke和私钥Kd；
2A将公钥Ke传输给B；
3B用公钥Ke加密其产生的一个会话密钥Ks，并传输给A；
4A用私钥Kd解密会话密钥Ks；
5Ａ用Ks加密A发给B的数据；
6通信结束后，Ks被清除。
3.一种网络环境下的密钥管理算法
----Kerberos
1Kerberos的主要功能是解决密钥管理与分发问题。
2Kerberos建立在一个安全的、可信赖的密钥分配中心（KDC）的概念上。
建有KDC的系统用户只需保管与KDC之间使用的密钥加密密钥—与KDC通信的密钥即可。
（四）.通信安全技术
1.几种通信加密方式的比较
常用的通信加密方式是链路加密和端—端加密
1链路加密——是对整个链路的通信采取保护措施；
2端—端加密——则是对整个网络系统采取保护措施。
（五）.几个重要的加密软件
1.PGP（p171）
（1）PGP（PrettyGoodPrivacy）概述
●PGP是一个广泛应用于电子邮件和其它文件加密的软件，已成为电子邮件加密的事实上的标准。
PGP提供可安全通信环境。
●PGP软件功能强，速度快，而且源代码全免费，使用方便（它把整个加密技术交给用户）。
（2）PGP汇集了各种加密方法的精华
PGP实现了目前大部分流行的加密和认证算法，如DES、IDEA、RSA等加密算法，及MD5、SHA等散列算法。
1数据的加密主要使用了IDEA算法，因为它速度快，安全性好；
2使用RSA算法对IDEA的密钥加密（因为RSA公钥加密算法的密钥管理方便）。
这样，两类体制的算法结合在一起，扬长避短，各尽其能。
3PGP还使用MD5作为散列函数，对数据的完整性进行保护，并与加密算法结合，提供数字签名功能
3.PGP兼有数据加密和数字签名两种功能
1数据加密可以对用户的邮件保密，防止非授权者阅读;
2还能对邮件加上数字签名让收信人确信邮件未被第三者篡改;
3其加密功能和签名功能同时使用，由用户自定。
PGP两种功能
4PGP只签名而不加密
●这适用于用户发布公开信息的情况。
用户为了证实自己的身份，在发送信件时用自己的私钥签名。
●这样就可以让收信人能确认发信人的身份，也可以防止发信人抵赖自己的声明
●这一点在商业领域有很大的应用前途，它可以防止发信人抵赖和信件被途中篡改。
2.安全套接层协议SSL
3.安全电子交易SET（P161）
4安全超文本传输协议SHTTP
（五）.鉴别与认证技术
●数据加密的作用:
隐蔽消息，以防止有价值的信息在网上被窃取并识别
●鉴别与认证的作用：
是用来确定用户身份的真实性和数据的真实性，以防止假冒、篡改。
鉴别技术
1.鉴别（Authentication也叫验证）
●是防止主动攻击的重要技术。
●鉴别的目的就是验证一个用户身份的合法性和用户间传输信息的完整性与真实性。
（1）鉴别服务包括报文鉴别和身份验证
1报文鉴别
是为了确保数据的完整性和真实性，对报文的来源、时间性及目的地进行验证。
2身份验证
●一对合法用户的识别
●二验证进入网络系统者是否是合法用户，以防非法用户访问系统，
（2）鉴别技术
报文鉴别和身份验证可采用
●数字加密技术
●签名技术
●报文摘要等相关技术来实现。
2、身份验证
（1）身份验证的方法有：
口令验证、个人持证验证和个人特征验证三类。
1口令法最简单，系统开销也小，但其安全性也最差；
2持证为个人持有物，如数字证书、磁卡、智能卡等。
它比口令法安全性好，但验证系统比较复杂。
磁卡常和PIN一起使用；
3以个人特征进行验证时，可有多种技术为验证机制提供基础，如指纹识别、声音识别、血型识别、视网膜识别等。
个人特征方法验证的安全性最好，但验证系统相应地也最复杂。
3.数字签名（p160）
（1）数字签名的功能：
1收方能够确认发方的签名，但不能伪造；
2发方发出签过名的信息后，不能再否认；
3收方对收到的签名信息也不能否认；
4一旦收发方出现争执，仲裁者可有充足的证据进行评判。
5数字签名即可保证信息的完整性，也可保证信息发送者的身份认证
（2）通过对报文摘要MD加密形成数字签名
1数字签名的主要方式是：
●报文的发送方利用单向散列函数从报文文本中生成一个128位的散列值或（信息摘要）
●发送方用自己的私人密钥对这个散列值进行加密来形成发送方的数字签名。
●然后，该数字签名将作为报文的附件和报文一起发送给报文的接收方。
2报文的接收方验证
●首先从接收到的原始报文中计算出128位的散列值（或信息摘要），
●接着再用发送方的公开密钥来对报文附加的数字签名进行解密得到原散列值。
●如果这两个散列值相同，则接收方就能确认该数字签名是发送方的。
●通过数字签名能够实现对原始报文的鉴别。
4.CA认证
●CA（CertificateAuthority认证中心）认证是网络的一种安全控制技术。
它可以提供网上交易（交换）所需的信任，构架一个安全可信的网络环境，是各种网上操作顺利开展的有力保障。
●证书（Certification）或凭证是一种特殊的签名信息。
它包含用户名字、公钥和有效期。
它是由CA进行签名得到的（发放的）。
（1）CA（CertificateAuthority）
证书授权中心，也叫认证中心。
1CA作为权威的、可信赖的第三方，是发放、管理、废除数字证书的机构。
2其作用是检查证书持有者身份的合法性，并签发证书，以防证书被伪造或篡改，
3对证书和密钥进行管理，承担公钥体系中公钥合法性检验的责任。
（2）数字证书主要有以下四大功能
1保证信息的保密性
2保证信息的完整性
3保证交易者身份的真实性
4保证不可否认性
第6章防火墙复习
（一）防火墙几个基本概念
1.FW的位置
1防火墙（FW,Firewall）是在两个网络之间执行访问控制策略的有效的安全系统。
2防火墙的位置
●设置在内网（局域网、Intranet）和外网（Internet）之间的交界处，
●通过它可以隔离风险区域（Internet网络）与安全区域（局域网）的连接，
2.防火墙的功能（P180）
（1）内网安全屏障
（2）强化网络安全策略
集中化的网络安全管理
（3）对网络存取和访问进行监控审计
FW记录和统计网络访问活动。
记录系统使用和误用的信息作为“日志”、提供统计信息、给出报警信号。
（4）防止内部敏感信息外泄。
（5）网络安全策略检查，所有进出网络的信息都必须通过防火墙，这样防火墙便成为一个安全检查点，使可疑的访问被拒之门外。
3.安全策略是防火墙的基础
安全策略可按以下两个基本安全准则来制定:
1除非明确允许,否则就禁止（包过滤防火墙采用）
2除非明确禁止，否则就允许
4.防火墙的局限性（见P181）
●不能防范内部人员的攻击
●不能防范绕过它的连接
●不能防范恶意程序、不能防病毒、木马等.
●不能防备全部的威胁
（二）防火墙分类
1根据防火墙的技术原理分类，有包过滤防火墙，代理服务器防火墙、状态检测防火墙和自适应代理防火墙等
2基于防火墙硬件环境分类
基于路由器的防火墙和基于主机系统的防火墙
3基于防火墙的功能分类
FTP防火墙、Telnet防火墙、E-mail防火墙、病毒防火墙、个人防火墙等
1.包过滤防火墙
（1）包过滤技术工作原理
1包过滤防火墙工作在网络层，又称网络层防
火墙。
通常是一个具有包过滤功能的路由器；
2包过滤是在网络的入口对通过的数据包进行检测，只有满足网络管理人员设定的规则（访问控制列表ACL）,数据包才允许通过，否则被抛弃；
3包过滤的规则根据包头信息：
IP地址、端口地址和使用的协议等制定；
4包过滤的安全策略是‘除非明确允许,否则就禁止’（最小权限）。
（2）.包过滤防火墙的特点
1优点
1）一个放置在重要位置上的包过滤路由器可保护整个网络；
2）包过滤工作对用户来说是透明的；
3）过滤路由器速度快、效率高；
4）包过滤技术通用、廉价、有效；
5）包过滤技术易于安装、使用和维护。
2缺点（见P185）
1）安全性较差（与代理技术相比）；
2）不能彻底防止IP地址欺骗；
3）一些应用协议不适合数据包过滤（如RPC、
X－Window和FTP）；
4）无法执行某些安全策略，例如能限制主机而不能限制恶意用户；能控制端口不能控制特定程序。
2.代理服务防火墙技术
（1）代理服务防火墙的工作原理
代理服务是运行在防火墙主机上的特定的FW应
用程序（代理服务器程序），工作在应用层。
1防火墙主机
●可以是双穴（DuelHomed）主机，
●也可以是一些可以访问Internet并可被内部主机访问的堡垒主机。
2代理服务器程序
代理服务程序是在双穴主机或堡垒主机上运行
的特殊协议或一组协议。
●接受用户对Internet服务的请求，
●并按安全策略转发它们的实际的服务。
3状态检测技术
（1）状态检测技术工作原理
状态检测防火墙又称动态包过
升级会员 