自考《计算机网络安全管理》第2版.docx
《自考《计算机网络安全管理》第2版.docx》由会员分享，可在线阅读，更多相关《自考《计算机网络安全管理》第2版.docx（22页珍藏版）》请在冰豆网上搜索。
自考《计算机网络安全管理》第2版
计算机网络安全与管理
（1）.网络体系结构的概念：
计算机网络的各层及协议的集合成为网络的体系结构。
网络协议的三个要素：
语法、语义、同步。
网络协议的概念：
为进行网络数据交换而建立的规则、标准或约定就称为网络协议。
（2）.OSI模型的七层体系结构：
物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
分层原则：
1.根据功能的需要分层。
2.每一层应当实现一个定义明确的功能。
3.每一层功能的选择应当有利于定制国际标准化协议。
4.各层界面的选择应当尽量少通过接口的信息量。
5.层数应足够多，以避免不同的功能混杂在同一层中。
但也不能过多，否则体系结构会过于庞大。
TCP/IP模型的四层体系结构：
接口层、网络层、传输层和应用层。
OSI各层使用协议及功能：
物理层使用物理层协议提供比特流传输、数据链路层使用数据链路层协议对物理层介质的控制、网络层使用网络层协议提供路由器寻址和路由选择、传输层使用传输层协议建立主机端到端的逻辑连接、会话层使用会话层协议建立维护和管理会话、表示层使用表示层协议处理转换数据格式和数据加密、应用层使用应用层协议提供应该程序间的通信。
（3）.网络的安全体系层次模型：
1.物理层，物理信息安全。
2.数据链路层，保证通过网络链路传送的数据不被窃听。
3.网络层，保证网络只给授权的客户使用授权的服务，保证网络路由正确，避免被拦截或监听。
4.操作系统，保证客户资料、操作系统访问控制的安全，能对应用进行审计。
5.应用平台，建立在网络系统之上的应用软件服务。
6.应用系统，保证通信内容安全、通信双方认证、审计。
（4）.网络层安全性的主要优点是它的透明性，即安全服务的提供，不需要应用程序、其他通信层次和网络部件做任何改动。
它的主要缺点是网络层一般对属于不同进程和相应条例的包不加以区别。
目前都使用PKI（公钥基础结构）进行认证和密钥分配。
PEMPKI是按层次组织的：
1.顶层为网络层安全政策登记机构（IPRA）。
2.第二层为安全政策证书颁发机构（PCA）。
3.底层为证书颁发机构（CA）。
SSL记录协议：
该协议涉及应用程序提供的信息的分段、压缩、数据认证和加密。
SSL握手协议：
用来交换版本号、加密算法、（相互）身份认证并交换密钥。
（5）.安全套接字层解决数据包被窃听和劫持的问题。
匿名FTP存在一定的安全隐患，因为有些匿名FTP站点提供可写区为用户所使用，这样可以上传一些软件到站点上。
TFTP服务用于局域网，在无盘工作站启动时用于传输系统文件，安全性极差，常被人用来窃取密码文件，因为它不带有任何安全认证。
（6）.个人网络的安全注意事项：
1.邮箱中标题不明的邮件不能随便打开。
2.在聊天室或BBS上不公开自己的IP、邮件地址等个人隐私。
3.要经常更换自己计算机的密码。
4.一般不要让计算机记住密码。
5.不要在自己的计算机上运行不明程序。
局域网安全方法：
1.网络分段。
2.以交换式集线器代替共享式集线器。
3.虚拟专网。
广域网安全解决方法：
1.加密技术。
2.VPN技术。
3.身份认证技术。
数据加密技术可分为三类：
对称加密、不对称加密和不可逆加密。
隧道技术：
将企业专网的数据加密封装后，透过虚拟的公网隧道进行传输。
交换式集线器代替共享式集线器优点：
使单播包仅在两个节点之间传送，从而防止非法窃听。
（7）.安全漏洞是指资源容易遭受攻击的位置，它可以被视为一个弱点。
类型有：
物理的和自然的、硬件和软件的、媒介的、通信的和人为的。
乘虚攻击是一种威胁可以通过利用环境中的安全漏洞访问到计算机中的资源产生。
乘虚攻击的方法；1.利用技术漏洞型攻击2.信息收集3.拒绝服务。
来自网络的威胁：
1.操作系统存在安全漏洞。
2.防火墙是否设置错误。
3.内部安全威胁。
4.缺乏有效的手段监控评估网络系统的安全性。
5.TCP/IP缺乏安全性。
6.不能对电子邮件携带病毒进行有效控制。
7.应用服务的安全。
（8）.网络系统安全应具备的功能：
访问控制、检查安全漏洞、攻击监控、加密通信、认证、备份和恢复、多层防御、隐藏内部信息、设立安全控制中心。
（9）.网络安全中常用的攻击形式有信息收集、利用技术漏洞型攻击、会话劫持、防止DNS毒化、URL字符串攻击、攻击安全账户管理器、文件缓冲区溢出、拒绝服务、攻击后门攻击和恶意代码。
信息收集：
攻击者总是要挖空心思找到攻击环境的信息。
防范的关键技术就是限制外部对资源进行XX的访问。
利用技术漏洞型攻击：
攻击者会企图利用环境中的技术漏洞，以获取对系统的访问权限并提升其权限。
缓冲区溢出是攻击者为获取系统访问权限所采用的一种非常危险的技术。
恶意代码分为：
病毒、蠕虫、特洛伊木马、其他恶意代码。
（10）.网络安全的关键技术：
1.防电磁辐射。
2.访问控制技术。
3.安全鉴别技术。
4.权限控制。
5.信息保密。
6.数据完整性。
7.实现身份鉴别。
8.安全审计。
9.病毒防范及系统安全备份。
10.加密方法。
11.网络的入侵检测和漏洞扫描。
12.应用系统安全。
13.文件传送安全。
14.邮件安全。
（11）.保证网络安全的措施：
防火墙、身份认证、加密、数字签名、内容检查、存取控制、安全协议及智能卡技术。
（12）.网络的安全策略：
数据防御、应用程序防御、主机防御、网络防御、物理安全防御。
（13）.密码算法是一个函数变换，要加密的信息称为明文，经过以密钥为参数的函数加以转换。
可分为传统密码算法和现代密码算法。
加密公式可表示为C=EK（P），其中C代表密文，P代表明文，E代表加密算法，K代表密钥。
（14）.对称加密是一种传统的加密算法，它的基本原理如下：
在对称加密中，数据信息的传送、加密及接收解密都需用到一个共享的钥匙，也就是说加密和解密共用一把钥匙。
DES使用56位密钥对64位的数据块进行加密，并对64位的数据块进行16轮编码。
在每轮编码时，一个48位的“每轮”密钥值由56位的完整密钥得出来。
三重DES步骤：
1.用密钥1进行DES加密。
2.用密钥2对步骤1的结果进行DES解密。
3.对步骤2的结果使用密钥1进行DES加密。
（15）.不对称加密技术就是加密和解密不是同一把钥匙，一把用来数据信息加密，而用另一把不同的钥匙来解密。
主要用途：
数据加密、身份认证。
优点是易于密钥在公网上的传送，可以和不认识某一实体使用加密进行通信。
（16）.RSA算法是第一个能同时用于加密和数字签名的算法，也是被研究得最广泛的公钥算法。
RSA的安全性依赖于大数分解。
RSA算法的保密强度，随其密钥的长度增加而增强，当密钥长度大于512位时，以有限的人生攻破密钥是无法实现的。
数学表达式：
加密P时计算C=Pd（modn）,解密C时计算P=Cd（modn）。
RSA具体工作原理：
主机A和主机B进行安全的数据传输，那么首先主机A随机产生密钥1，并使用主机B的公钥进行加密，然后发送给主机B，主机B使用自己的私钥进行解密，得到主机A的密钥；然后主机B随机生成密钥2，使用主机A的公钥对密钥2进行加密后传送给主机A。
此时主机A和主机B都同时得到了密钥1和密钥2，也就是彼此之间的私钥。
密钥对的产生：
1.独立选取两个大素数p和q。
2.计算n=p*q。
3.计算小于n并且与n互质的正整数的个数即欧拉函数∮（n）=（p-1）*（q-1）4.随机选取加密密钥e，满足1≤e≤∮（n）,并且与∮（n）互质。
5.计算解密密钥d：
e*d=1（mod∮（n））
RSA在选择密文攻击面前很脆弱。
一般攻击者是将某一信息做一下伪装，让拥有私钥的实体签署，然后经过计算就可得到它所想要的信息。
数字签名就是信息发送者用其私钥对从所传报文中提取特征数据或数字指纹进行RSA算法解密运算操作，得到发信者对数字指纹的签名函数H（m）。
（17）DES算法多次组合迭代算法和换位算法，利用分散和错乱的相互作用，把明文编制成密码强度很高的密文，其加密和解密流程完全相同。
RSA算法中加密密钥和解密密钥不相同，其中加密密钥公开，解密密钥保密，并且不能从加密密钥或密文中退出解密密钥。
DES和RSA的比较：
1.在加密、解密的处理效率方面DES优于RSA。
2.在密钥管理方面RSA比DES更优越。
3.在安全方面DES和RSA都较好。
4.在签名和认证方面，DES不能实现数字签名和身份认证，但RSA可以容易地进行数字签名和身份认证。
（18）DSA是Schnorr和ElGamal签名算法的变种，被美国NIST称为DSS。
DSA是基于整数有限域离散对数问题的，其安全性与RSA相比差不多。
DSA的一个重要特点是两个素数不公开，这样，当使用别人的p和q时，即使不知道私钥，也能确认它们是否是随机产生的，而这正好是由于RSA算法之处。
（19）椭圆曲线上的密码算法种类：
离散对数密码算法、超椭圆曲线上实现公钥密码算法、在椭圆曲线上实现RSA算法、类似ElGamal的加密算法。
优点：
密码算法速度很快。
现在密码学界普遍认为它将替代RSA成为通用的公钥密码算法。
（20）.量子加密技术具有安全性高，但是不能用普通的铜缆实现而且不能用于数字签名。
使用范围：
卫星通信、光纤通信。
量子信息技术如果能走向实用，那么现代的公钥加密体制将被取代。
（21）.PKI（PublicKeyInfrastructure）即公开密钥体系，它是由公开密钥技术、数字证书、证书发行机构（CA）和相关的公钥安全策略等组成。
认证机构CA是证书的签发机构，它的职责：
证书申请、证书更新、证书吊销或撤销、证书的公布或查询。
数字证书是一种能在完全开放系统中使用的证书，通用标准是X.509。
公共密钥方法还提供了进行数字签名的方法：
签字方首先要对发送的数据提取摘要并用自己的私钥对其进行加密；接收方验证签字方证书的有效性和身份，用签字方公钥进行解密和验证，确认被签字信息的完整性和抗抵赖性。
证书的主要应用：
1.使用S/MINE协议实现安全的电子邮件系统。
2.使用SSL协议实现浏览器与Web服务器之间的安全通信。
3.使用SET协议实现信用卡网上安全支付。
（22）.智能卡的内部组成：
内部有微处理器（CPU）和可重写存储单元（EEPROM），并且有文件管理系统和保护算法。
智能卡的优点：
1.把用户的重要信息，包括证书、密钥、口令和个人信息等，存放于智能卡中安全保管。
2.加密处理可以在卡内完成，使用于加密的个人密钥等信息不能从卡中读出，从而最大限度地保障通信的安全使用。
3.每张智能卡存放的内容都是独特的，是不可替代的，具有代表使用者身份的意义，提供对操作安全的可管理性。
4.智能卡的拥有者可以方便地携带它，可以到任何地点的连接读卡器的计算机上去完成电子商务操作，不仅安全而且比其他方法更方便。
（23）Windows2000安全特性的三个主要体现方面：
对Internet上的新型服务的支持、使用安全性框架及实现对WindowsNT4.0的网络支持。
（24）Windows2000的验证服务架构：
Kerberos的验证机制：
Kerberos是在Internet上广泛采用的一种安全验证机制，它基于公钥技术。
Kerberos验证机制加强了Windows2000的安全性，它使网络应用服务验证速度更快捷，同时可以建立域信任以及在建立域信任的域中传递信任关系，另外Kerberos验证有互操作性的优势。
（25）.Windows2000安全特性：
数据安全性、企业间通信的安全性、企业和Internet的单点安全登录以及易用和良好扩展性的安全管理等安全特性。
数据安全性是指数据的保密性和完整性，Windows2000的数据安全性：
1.用户登录时的安全性。
2.网络数据的保护。
网络数据是指本地网络中数据以及不同网络间传送的数据。
（26）.Windows2000中的组策略有：
密码策略、账户锁定策略、Kerberos策略、审计策略、用户权限、安全选项、事件日志、受限制的组、系统服务、注册表、文件系统。
加强内置账户的安全的方法;禁用Guest账户、Administrator账户应重命名，切描述也要更改。
组策略的安全模板以inf文件的格式存储在%SystemRoot%\Security\Templates文件中，有以下几种：
Basicwk.inf、Basicsv.inf、Basicdc.inf、Securedc.inf、Securews.inf。
策略的验证方法：
“本地安全策略”MMC验证和命令行工具验证。
组策略的实现步骤：
创建OU结构、域级策略、显示“事件日志”的事件和策略的验证。
（27）.审计的主要目标是识别攻击者对网络所采取的操作。
审计事件分为两类：
成功事件和失败事件。
审计的八种类别：
登录事件、账户登录事件、对象访问、目录服务访问、特权使用、进程跟踪、系统事件和策略更改。
入侵检测分类：
主动检测和被动检测，端口扫描和事件查看器入侵检测方法。
（28）.修补程序：
因为一个操作系统是由许多软件人员共同编写，虽然经过反复测试，但在发布之后仍然会有漏洞，及时修补漏洞就需要修补程序，因为大量受到黑客攻击的都是那些没有安装最新安全修补程序的系统。
（29）.信任安全架构提供的主要安全服务：
身份验证、授权与访问控制、审核与计帐、密码管理、安全管理，包括鉴别与安全策略。
访问层：
位于资源层和外围层之间。
资源层：
由各种应用和数据组成。
外围层：
包括一些安全设备。
信任的完成过程：
识别、验证、审核。
（30）.WindowsServer2003中内置TSI架构：
授权管理器（基于角色安全管理的改进）、存储用户名和密码（允许用户连接服务器时使用的用户名和密码与登录网络时使用的用户名和密码不同）、软件限制策略（防止软件应用程序基于软件的哈希算法、软件的相关文件路径、软件发行者的证书或寄宿该软件的Internet区域来运行）、证书颁发机构（展示证书模板编辑功能及为用户和计算机的证书进行自动注册）、受限委派（可知道要信任的服务用以委派服务器）、有效权限工具（此工具将计算授予指定用户或组的权限）、加密文件系统（在WindowsServer2003中不再需要恢复代理）、Everyone成员身份（内置Everyone组包括AuthenticatedUsers和Guests，但不再包括Anonymous组的成员）、基于操作的审核（提供了更多描述性的审核事件，并提供用户选择在审核对象访问时要审核的操作）、重新应用安全默认值（此过程可以使用用户重新应用WindowsServer2003家族的默认安全设置）
（31）.WindowsServer2003身份验证的功能：
启动了对所有资源的单一登录，允许用户使用一个秘密一次登录到域，然后向域中的任何计算机验证身份。
①基于本地系统的身份验证，不带秘密的账户将不能再用于远程系统的访问。
②基于活动目录域的身份验证，是跨越林的信任功能允许在林的根域之间创建基于Kerberos的信任关系。
四种验证方式：
1.某个具体内容：
如用户名/秘密等。
2.某个具体的设备：
如ATM卡、密钥等。
3.某种特征：
如指纹、视网膜扫描和声音检测等。
4.某个位置：
如网络适配卡地址、基于全球卫星定位的系统等。
验证机制的体现：
支持的验证方法的数量、方法的强度、验证信息是否集成到所有安全模式中。
存储用户名和密码：
将用户登录的用户名、密码等信息存储为用户配置文件的一部分，用户可以使用这些用户名和密码遍历网络上的所有计算机。
交互验证：
向域账户或本地计算机验证用户身份。
原理，①如果使用域账户，从单一登录凭证使用密码登录到网络。
②如果使用密码登录到域账户，系统将使用KerberosV5进行验证。
③如果使用智能卡，则需要将Kerberos身份验证和证书一起使用。
网络验证：
用于确认访问网络服务的用户的身份验证，验证机制包括KerberosV5，安全套接字SSL。
KerberosV5是与密码或智能卡一起使用以进行交互登录的协议，它的三个头在协议中分别代表验证、授权、审核，还具备密钥交换等。
（32）.访问令牌：
定义了用户的权利，用户提供用户名和密码，则本地系统分配给用户的访问令牌，该令牌定义了用户在本地计算机系统上的访问权限，资源所在计算机负责对该令牌进行鉴别，以保证用户只能在管理员定义的权限范围内使用本地计算机上的资源。
访问掩码：
一个访问掩码有32位，用于决定用户对象的操作。
在掩码中，每个标准权限，特定权限和接着的8位保存的是特定权限，高4位保存的是混合权限。
安全描述符：
定义一个进程的保护级别。
在Windows的文档中将对象所受保护的级别称为安全描述符，它是一种结构，它能告诉安全系统在一个给定位置，用户有什么访问权。
用户账号模拟：
用户访问系统资源由服务器进程完成进程是用户账号的模拟。
当进程模拟用户时，意味着用户运行在安全的上下文。
默认授权集种类：
1.NTFS根目录的权限受限更严。
2.默认共享权限限制更严。
3.控制台应用限制更严。
4.匿名账户不再属于Everyone组。
5.事件日志的安全增强。
增加的有效权限表：
打开资源管理器，选择相应的文件或文件夹，然后右击，在弹出的快捷菜单中选择“共享与安全”命令，然后单击“安全”按钮，出现相关用户的权限，然后单击“高级”按钮，就会看到在WindowsServer2003中增加的有效权限表。
默认AD安全描述符的改变：
1.选择“开始”→“运行”命令，在“运行”对话框中的“打开”下拉列表框中输入regsvr32schmmgmt.dll，然后单击“确定”按钮，将会弹出注册成功的对话框，单击“确定”按钮。
2.建立活动目录架构MMC管理单元，选择“开始”→“运行”命令，在“运行”对话框中的“打开”下拉列表框中输入mmc，启动控制台。
3.单击控制台中的“文件”菜单，选择“添加/删除管理单元”命令，在打开的对话框中单击“添加”按钮，在列表框中选择ActiveDirectory架构选项，然后单击“确定”。
4.展开类别，为相应的类更改默认的安全性。
AD对象的配额有助于域控制器抵御拒绝服务攻击。
（33）.授权管理器（AzMan）是Windows的一种通用的、基于角色的新安全体系结构，它由运行库和管理UI两部分构成，有开发人员和管理员两种工作模式。
.（34）系统各安全级别的描述：
C1所有的用户都被分组；对于每个用户，必须登记后才能使用系统；系统必须记录每个用户的登记；系统必须对可能破坏自身的操作发出警告。
C2在C1的基础上增加以下几条要求：
所有的对象都有且仅有一个物主；对于每个试图访问对象的操作，都必须检验权限，对于不符合权限要求的访问，必须予以拒绝；有且仅有物主和物主指定的用户可以更改权限；管理员可以取得对象所有权，但不能归还；系统必须保证自身不能被管理员以外的用户改变；系统必须有能力对所有的操作进行记录，并且只有管理员和由管理员指定的用户可以访问该记录。
B1在C2的基础上增加以下几条要求：
不同的组成员不能访问对方创建的对象，但管理员许可的除外；管理员不能取得对象的所有权。
B2在B1的基础上增加以下几条要求：
所有的用户都被授予一个安全等级；安全等级较低的用户不能访问高等级用户创建的对象。
C1/C2安全级别的要求：
1.身份认证，每个用户都必须在系统中标志其身份。
2.系统的资源（文件、内存等）被归于不同的所有者，对这些资源的访问必须验证用户权限。
3.系统要对用户的行动进行记录。
连接时间日志：
用来记录用户的登录信息。
进程记账日志：
用来记录系统中执行的进程信息。
Syslog：
它是各种程序对运行中发生的事件的处理代码。
drwxrwxr-x4rootwheel792Feb52002Darwin4.0-Linux:
最左面的一位是文件属性，然后每三个字符为一组，分别代表用户、组合其他用户的存取权限。
第一位字符为d，表示这是一个目录，然后头三个字符rwx表示用户的拥有者可以对它进行读、写和执行的操作，-表示均不可以。
超级用户权限：
权限体系有一个基本的例外，即超级用户root,超级用户就是uid=0的用户。
一般情况下这个用户名字被称为root，不过实际上也可以是任何其他名字，只要设置其uid=0。
作为系统的管理者，root可以访问任何文件并对其读写。
Suid机制：
suid机制就是在权限组中增加suid/sgid位，凡是suid位被置1的文件，当它被执行的时候，自动获得文件属主的uid；同样，sgid被置位，也能自动获得文件属组的gid。
文件的三种存取权限：
用户存取权限、组存取权限和其他用户的存取权限。
LIDS的功能：
入侵防护、入侵检测、入侵响应。
Shadows身份认证体系：
即把口令认证文件分成两个，分别是/etc/passwd和/etc/shadow。
/etc/passwd文件包含了“公共“的，也就是一般用户可以访问的内容；而/etc/shadow文件包含了加密的密文，其内容只有超级用户可以访问。
PAM身份认证体系：
PAM认证部分是由一组模块构成的，相互可以堆叠。
堆叠的意思就是说，可以连续执行多个模块或者让一个模块多次使用，可以在一个PAM认证过程中使用多种认证模块，后面的认证过程的执行依赖于前面的认证模块的结果。
基本的溢出攻击方式：
1.堆栈溢出2.函数指针3.长跳转点
溢出攻击解决方案：
1.补丁2.编写程序3.提升安全级4.利用文件系统和磁盘分区5.chroot
MD5：
利用HASH函数的不可逆性的一种单向算法，为一个文件生成md5检验和。
PGP：
利用单向算法给数据加上签名。
（35）监听：
一切以太网卡都可以设置成不区分目标MAC而且直接记录所有听到的以太网帧的工作方式，这种工作方式叫做“混杂模式”。
虚拟专用网的定义：
通过一个公用网络建立一个临时的、安全的链接。
它在因特网的一些机器之间建立一个虚拟链接，使得这些机器看上去就像是处在一个独立的网络中，其他系统无法加入。
它能提供如下功能：
加密数据、信息认证和身份认证、提供访问控制。
目前，可以用来实现VPN技术的标准协议主要有Microsoft的PPTP，IETF的IPsec和NEC的socks。
IGMP组播的功能：
将一个IP包的副本传给多个目标主机。
客户机器接收到IGMP消息，标准响应方式是将这个份消息报文再传送给别的组内机器。
RPC和NFS相关服务：
RPC即远程过程调用，用来在远程主机上执行特定任务一种协议。
PRC的最重要服务是NFS，NFS及网络文件系统，NFS允许一个系统在网络上与他人共享目录和文件，通过NFS，用户和程序可从像访问本地文件一样访问远端系统中的文件。
r命令：
它们提供了一组不需要给出用户名和口令就可以登录到系统并且执行对应命令的方法，主要有rsh、rexec、rlogin和rep等。
“邮件炸弹”和身份认证：
如果谁愿意让你的邮件报废的话，简单地给你发送一百万封空邮件就可以了，标准术语叫做“邮件炸弹”。
由于邮箱实际是属于用户的一个文件，访问它需要进行用户身份认证，因而一般情况下，这个认证是个简单的校验用户名/口令的过程。
DNS：
DNS服务器是在防火墙系统的外边，对查询数据流不做防护以方便客户机的访问。
DNS毒药，篡改WWW站点的域名记录，让原来指向这个站点的访问重定向到攻击者的站点，从而骗取敏感信息。
区域传递，就是把本DNS服务器负责的一个完整域内的所有DNS记录直接传送给客户机。
FTP和WWW：
对于FTP服务器，需要考虑的是，XX的用户禁止在服务器上进行FTP操作。
目前Linux下最主要的WWW服务程序是apache，所以需要设置apache的运行权限。
Inetd：
可以将tcp服务简化。
端口扫描：
任何用户可以使用端口扫描程序获得主机信息，如从扫描到的端口数目和端口号判断主机运行的操作系统，掌握局域网的构造，为攻击作准备。
SSL工作原理：
当一个客户试图和服务器对话的时候，它首先要执行一个握手过程：
客户将一些配置信息发送给服务器，同样，服务器响应的时候要把自己的SSL
升级会员 