01 郑州市 网络安全员培训考试资料 技术 第一章.docx
《01 郑州市 网络安全员培训考试资料 技术 第一章.docx》由会员分享，可在线阅读，更多相关《01 郑州市 网络安全员培训考试资料 技术 第一章.docx（16页珍藏版）》请在冰豆网上搜索。
01郑州市网络安全员培训考试资料技术第一章
第一章基础安全与物理安全技术
一、信息安全技术概述
（一）体系结构
依据信息系统的自然组织方式，信息安全技术体系结构划分如下：
1.物理安全技术
用来达到物理安全目标所采用的具体措施、过程和方法等，它对于各种信息网络应该是普遍适用的。
物理安全技术按照需要保护的对象可以分为：
环境安全技术和设备安全技术。
2.系统安全技术
系统安全是相对于各种软件系统而言的，最基本、最重要的、也可以说是最大的软件系统就是操作系统。
我们将对于系统的保护称为系统安全，那么实现系统安全的各种方法、措施和过程就被称为系统安全技术。
3.网络安全技术
网络安全技术是指保护信息网络依存的网络环境的安全保障技术，通过这些技术的部署和实施，确保经过网络传输和交换的数据不会被增加、修改、丢失和泄露等。
最常用的网络安全技术包括防火墙、入侵检测、漏洞扫描、抗拒绝服务攻击等。
4.应用安全技术
任何信息网络存在的目的都是为某些对象提供服务，我们常常把它们称为应用，如电子邮件、FTP、HTTP等。
应用安全技术，是指以保护特定应用为目的的安全技术，如反垃圾邮件技术、网页防篡改技术、内容过滤技术等。
5.基础安全技术
有些技术并不能简单地归入上述的任何一个层次，而是所有这些层次都会用到的、依赖的技术，如：
加密技术和PKI技术。
（二）安全服务
1.认证：
认证提供了关于某个实体（如人、机器、程序、进程等）身份的保证，为通信中的对等实体和数据来源提供证明。
当某个实体声称具有一个特定的身份时，认证服务提供某种方法来证明这一声明是正确的。
认证是最重要的安全服务，其他安全服务在某种程度上需要依赖于它。
2.访问控制：
访问控制的作用是防止任何实体以任何形式对任何资源（如计算机、网络、数据库等）进行非授权的访问。
非授权的访问包括XX的使用、泄漏、修改、破坏以及发布等。
访问控制的另一个作用是保护敏感信息不经过有风险的环境传送。
3.数据机密性：
数据机密性就是保护信息不泄漏或者不暴露给那些XX的实体。
在信息网络中，我们还常常区分两种类型的机密性服务：
数据的机密性服务和业务流机密性服务。
前者使攻击者从获得的数据中无法获得有用的敏感信息；后者使攻击者通过观察网络中的业务流也无法获得有用的敏感信息。
4.数据完整性：
数据完整性，是指保证数据在传输过程中没有被修改、插入或者删除。
数据完整性服务就是通过技术手段保证数据的完整性可验证、可发现。
5.非否认：
非否认服务的目的是在一定程度上杜绝通信各方之间存在着相互欺骗行为，通过提供证据来防止这样的行为：
发送者的确发送过某一数据，接收者也的确接到过某一数据，但是事后发送者否认自己发送过该数据。
（三）安全机制
1.加密：
加密能够实现数据机密性服务，同时也能提供对业务流的保密，并且还能作为其他机制的补充；
2.数字签名：
可以实现对数据的签名和签名验证功能，由此提供非否认性服务；
3.访问控制：
依据实体所拥有的权限实现对资源访问的控制，对非授权的访问提供报警或者审计跟踪功能，由此提供访问控制服务；
4.数据完整性：
面向数据单元，在数据发送端制作以数据单元为参数的附加码，在数据接收单元通过验证数据单元和附加码的相关性确认数据是否完整，提供数据完整性服务；
5.认证交换：
利用密码技术，由发送方提供由接收方来实
现认证，由此可以实现认证服务；
6.业务流填充：
通过业务流分析可以获得通信信息的相关信
息，业务流填充机制使得业务流的外部特征统一
化，使得攻击者无法通过观察业务流获得敏感信
息，由此可以实现业务流机密性服务；
7.路由控制：
针对数据的安全性要求提供相应的路由选择，由此可以实现部分机密性服务；
8.公证：
利用第三方机构，实现对数据的完整性、时间、目的地、发起者等内容的公证，通常需要借助数字签名和加密等机制。
二、密码技术
密码学是一门研究加密与破译的科学，它是信息安全的基础学科之一。
密码学的核心是密码加密技术，原理是利用一定的加密算法，将明文转换成无意义的密文，阻止非法用户理解原始数据，从而确保数据加密性。
密码技术是结合数学、计算机科学、电子与通信等诸多学科于一身的交叉学科，是保护信息安全的主要技术手段之一。
用户在计算机网络信道上相互通信，其主要危险是被非法窃听。
例如采用搭线窃听，对线路上传输的信息进行截获，采用电磁窃听，对用无线电传输的信息进行截获等。
因此，对网络传输的报文进行数据加密，是一种很有效的反窃听手段。
密码技术不仅可以保证信息的机密性，而且可以保证信息的完整性，还能够实现通信用户间的身份认证和不可否认性。
（1）信息机密性：
只有有权限的用户才可以对信息进行加密和解密。
（2）信息完整性：
信息在存储或传输过程中保持不被修改数据是否被修改过。
（3）身份认证：
鉴别通信双方的身份。
（4）不可否认性：
保证用户不能否认发送或接收过一个特定的信息或做过某个操作。
（二）基本概念
（1）明文：
信息的原始形式（Plaintext,记为P）。
（2）密文：
明文经过加密后的形式（Ciphenext，记为C）。
（3）加密：
由明文变成密文的过程称为加密（Enciphering，记为E），加密通常是由加密算法来实现。
（4）解密:
由密文还原成明文的过程称为解密（Deciphering，记为D），解密通常是由解密算法来实现。
（5）加密算法：
实现加密所遵循的规则。
（6）解密算法：
实现解密所遵循的规则。
（7）密钥：
为了有效地控制加密和解密算法的实现，在其处理过程中要有通信双方单程的专门信息参与加密和解密操作，这种信息称为密钥（记为K）。
1.对称密匙加密
对称密匙加密，又称私钥加密，信息的发送方和接收方用同一个密匙去加密和解密数据，相同的密钥叫做公共密钥。
对称加密算法主要有DES（数学加密标准），IDEA（国际数据加密算法），Rijndael，AES，RC4算法等。
DES是ISO核准的一种加密算法，一般密钥56位。
针对DES密钥短的问题，在DES基础上采用了三重DES的方法，用两个56位的密钥。
IDEA是在DES基础上发展起来的，类似三重DES，IDEA的密钥长度为128位。
对称加密算法算法简单，最大优势是加密速度快，但要求通信双方在首次通信时必须通过安全的渠道协商一个共同的专用密匙。
最大的问题是密匙的分发和管理非常复杂、代价高昂。
另外一个缺点就是不能实现数字签名。
2.非对称密匙加密
非对称密匙加密又称公钥加密，需要使用一对密匙分别完成加密和解密操作，一个公开发布，是公开密匙，另外一个由用户自己秘密保存，是私用密匙。
信息发送者用公开密匙加密，信息接收者则用私用密匙去解密。
典型的非对称式加密算法有RSA、DSA、Diffie一Hellman、ECC（椭圆曲线加密算法）等。
其中RSA密钥长度为512位。
非对称加密算法由于加密钥匙是公开的，密匙的分配和管理很简单，但是加密和解密速度比对称密匙加密慢得多。
通常用来加密关键性、核心的机密数据。
3.单项哈希函数
哈希算法，也称为单向散列函数、杂凑函数、HASH算法。
它通过一个单向数学函数，将任意长度的一块数据转换为一个定长的、不可逆转的数据。
这段数据通常叫做信息摘要，其实现过程通常称为压缩。
算法并不保密，是公开的，其秘密就是它的“单向性”。
典型的哈希算法有MD5、SHA、HMAC等。
例如：
任何信息经过MD5压缩之后都生成128位的信息摘要，经过SHA压缩之后都生成160位信息摘要。
数字签名技术
数字签名就是附加在数据单元上的一些数据,或是对数据单元所作的密码变换。
这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据,防止被别人伪造。
它是对电子形式的消息进行签名的一种方法，一个签名消息能在一个通信网络中传输。
基于公钥密码体制和私钥密码体制都可以获得数字签名。
公钥密码体制实现数字签名的基本原理很简单，假设A要发送一个电子文件给B，经过三个步骤：
（1）A用其私钥加密文件，这便是签名过程；
（2）A将加密的文件和未加密的文件都发送到B；
（3）B用A的公钥解开A传送来的文件，将解密得到的文件与明文文件进行比较，如果二者相同就可以认为文件的确来自A，否则认为文件并非来自A，这就是签名验证过程。
数字签名有两种功效：
一是能确定消息确实是由发送方签名并发出来的，因为别人假冒不了发送方的签名。
二是数字签名能确定消息的完整性。
因为数字签名的特点是它代表了文件的特征，文件如果发生改变，数字签名的值也将发生变化。
不同的文件将得到不同的数字签名。
三、PKI技术
（一）PKI的定义
PKI是利用公开密钥技术所构建的、解决网络安全问题的、普遍适用的一种基础设施。
美国的部分学者也把提供全面安全服务的基础设施，包括软件、硬件、人和策略的集合称作PKI。
但我们的理解更偏重于公开密钥技术，公开密钥技术即利用非对称算法的技术。
将PKI在网络信息空间的地位与电力基础设施在工业生活中的地位进行类比非常确切。
电力系统通过延伸到用户的标准插座为用户提供能源；PKI通过延伸到用户本地的接口为各种应用提供安全的服务。
作为基础设施，PKI与使用PKI的应用系统是分离的，这也正是社会发展的分工所导致的，是一种先进的特征；从另一个侧面看，离开应用系统，PKI本身没有任何用处。
（二）PKI的组成
简单地讲，PKI是一个为实体发证的系统，它的核心是将实体的身份信息和公钥信息绑定在一起，并且利用认证机构，简称CA的签名来保证这种绑定关系不被破坏，形成一种数据结构，即数字证书。
可以说PKI中最活跃的元素就是数字证书，所有安全的操作主要通过它来实现。
PKI的部件包括签发这些证书的CA、登记和批准证书签署的注册机构，简称RA，以及存储和发布这些证书的数据库。
PKI中还包括证书策略、证书路径等元素以及证书的使用者。
所有这些都是PKI的基本组件，许多这样的基本组件有机地结合在一起就构成了PKI。
PKI的组成
1.终端实体（Entity）
一个终端实体可以是一个终端用户、一个设备或一个进程等。
因而终端实体是一个通用的术语，可以用来指代终端用户、设备或者那些身份能够由公钥证书中的主体域鉴别的实体。
终端实体通常是PKI相关服务的使用者或者支持者。
终端实体可以分为：
（1）PKI证书的使用者；
（2）终端用户或者系统，它们是PKI证书的主体。
实体必须与证书绑定。
例如，服务器、终端用户这些实体在成为PKI体系中的一员之前必须向PKI系统注册。
2.认证机构（CA）
证书和证书撤销列表的签发者，是PKI系统安全的核心。
CA的主要功能是接收实体的证书请求，在确认实体的身份之后，为实体签发数字证书，该证书将实体的身份信息和公钥信息绑定在一起，绑定是通过CA的数字签名实现的。
3.注册机构（RA）
RA在PKI系统中是一个可选的组件，主要是完成CA的一些管理功能。
在实际的PKI系统中大都具有RA这一组件，RA提供了与终端实体直接交互的物理和人员接口。
4.证书撤销列表发布者（简称CRLIssuer）
证书撤销列表发布者在PKI系统中也是一个可选的组件，它接受CA的授权发布CRL。
5.证书资料库（CertificateRepository）
证书资料库是一个通用的术语，用来指代存储证书和CRL的任何方法。
它是存储证书和CRL的一个系统或者分布式的系统，提供一种向终端实体发布证书和CRL的方法。
6.数字证书与密钥对
数字证书就是一个公开密钥和身份信息绑在一起、用CA的私钥签名后得到的数据结构，数字证书根据其用途可以分为加密证书和签名证书。
加密证书用来加密数据；签名证书用来证明
身份。
相应的，每个实体可能拥有两对公私密钥对：
加密密钥对和签名密钥对。
7.密钥管理中心（KeyManagementCenter，简称KMC）
PKI系统的一个重要功能就是管理密钥对，一般而言，这些功能是CA功能的一部分，但是随着对密钥管理的重视，常常将这部分与密钥紧密相关的功能由单独的组件来完成，逐渐形成了KMC的概念。
（三）数字证书
数字证书就是互联网通讯中标志通讯各方身份信息的一系列数据，它提供了一种在Internet上验证用户身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。
数字证书由一个权威机构——CA机构，又称为证书授权中心，可以在网上用它来识别对方的身份。
数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。
从原理上来讲，就是一个可信的第三方实体对另一个实体的一系列信息进行签名得到一个数字文档，证书用户可以通过这个可信第三方签发的证书来证明另一实体的身份。
证书中信息由三部分组成：
1.实体的一系列信息
2.签名加密算法
3.一个数字签名
其中实体的信息主要包括三方面的内容：
证书所有者的信息、证书所有者的公开密钥和证书颁发机构的信息。
数字证书和其他加密算法结合使用可以实现的安全性能指标为：
（1）保密性：
双方的通信内容高度保密，第三方无从知晓。
（2）完整性：
通信的内容无法被篡改。
（3）身份认证：
收方通过发方的电子签名确认发方的确切身份，但无法伪造。
（4）不可否认性：
发方一旦将数字签名的信息发出，就不能再否认。
随着Internet的普及、各种电子商务活动和电子政务活动的飞速发展，数字证书开始广泛地应用到各个领域之中，目前主要包括：
发送安全电子邮件、访问安全站点、网上招标投标、网上签约、网上订购、安全网上公文传送、网上缴费。
四、物理安全
（一）物理安全概述
物理安全是运行于物理设备之上的系统安全的基础，是网络信息安全最基本的保障，也是整个安全系统不可缺少和忽视的组成部分。
1.物理安全威胁
信息网络要求运行在稳定的环境之中，但是实际运行中总会有各种意想不到的情况出现。
比如，自然灾害：
地震、洪水、海啸等；或者一些意外情况：
火灾、停电等；或者一些人为的破坏：
战争、恐怖分子爆炸活动、窃贼偷盗行为等；都有可能导致信息网络不能正常使用。
还有一些攻击者可能采用一些物理手段来窃取信息网络的信息，比如，从报废硬盘进行磁信息恢复获取机密信息。
2.物理安全概念
物理安全，是指在物理介质层次上对存储和传输的网络信息的安全保护，也就是保护计算机网络设备、设施以及其他媒体免遭地震、水灾、火灾等事故以及人为行为导致的破坏的过程。
物理安全是网络信息安全的最基本保障，是整个安全系统不可缺少和忽视的组成部分，它主要涉及网络与信息系统的机密性、可用性、完整性等。
3.物理安全分类
信息网络的物理安全可以分成两大类：
环境安全和设备安全。
环境安全包括：
场地安全、防火、防水、防静电、防雷击、电磁防护、线路安全等；
设备安全包括：
设备的防盗、防电磁泄露、防电磁干扰等。
（二）环境安全
对于环境安全的要求，分成场地安全和运行环境安全两部分。
场地安全指对电子设备工作所处的建筑环境的一些必要的基本要求，运行环境安全指对于电子设备安全运行所特别需要考虑的一些方面。
1.场地安全:
场地安全并不是指建筑物质量安全，而是对于专门用于运行的信息网络场地的基础设施要能保障系统安全正常工作需要考虑的问题，包括：
场地选址，场地防火、防水、防潮，场地温度控制，场地电源供应五个方面。
机房安全等级分为A、B、C三个基本类别：
A类：
对机房的安全有严格的要求，有完善的计算机机房安全措施；B类：
对机房的安全有较严格的要求，有较完善的计算机机房安全措施；
C类：
对机房的安全有基本要求，有基本的计算机机房安全措施。
如下图所示：
（1）场地选址
计算机机房的建设选址要有相应的规范要求，应符合国家标准GB50174-93《电子计算机机房设计规范》、GB2887-89《计算站场地技术条件》和GB9361-88《计算站场地安全要求》等的规定。
在场地建设地点的选择上应考虑以下几个方面：
①避开易发生火灾和爆炸的地区，如油库、加油站和其他易燃物附近的区域。
②避开尘埃、有毒气体、腐蚀性气体、盐雾腐蚀等环境污染的区域
③避免低洼、潮湿及落雷区域。
④避开强震动源和强噪声源区域。
⑤避开附近有强电场和强磁场区域
⑥避开地震活跃地带，或者洪涝灾害常发区域
⑦避免在建筑物的高层以及用水设备的下层或隔壁。
⑧避免靠近公共区域，如运输通道、停车场或餐厅等。
（2）场地防火
计算机机房的耐火等级应不低于二级。
场地防火主要包括建筑材料防火；防火隔离；报警系统；灭火系统；粉尘含量。
（3）场地防水、防潮
信息网络所使用的电子设备，往往都对水、潮气比较敏感，当湿度超过一定标准后，可能会造成电子设备生锈短路而无法使用，合适状态是将场地湿度控制在湿度40%～65%。
（4）场地温度控制
信息系统场地应该保持比较稳定的适合电子设备运行的温度，最好是完备的中央空调系统，保证机房各个区域的温度变化能满足计算机
运行、人员活动和其他辅助设备的要求。
机房温度一般应控制在18～22℃。
（5）场地电源供应
电源是电子设备运行的必要条件，持续稳定的电源供应是环境运行的基本保证。
在电源供应方面主要考虑以下几个方面：
①信息网络的供电线路应该和动力、照明用电分开，最好配备照明应急装置；
②特殊设备独占专有回路；
③提供备份电路，以保证在电源出现故障时系统仍然能运转；
④设置电源保护装置，如滤波器、电压调整变压器、避雷针和浪涌滤波器等；
⑤防止电源线干扰，包括中断供电、异常状态供电（指连续电压过载或低电压）、电压瞬变、噪声（电磁干扰）以及由于核爆炸或雷击等引起的设备突然失效事件；
⑥物理安全电缆布放距离尽量短而整齐，通信电缆与电力电缆应分别在不同路由铺设，由动力机房至主机房的电源线、信号线不得穿越或穿入空调通风管道；
⑦提供紧急情况供电，配置抵抗电压不足的设备，包括基本的UPS、改进的UPS、多级UPS和应急电源等。
2.运行环境安全
（1）防静电
静电对电子设备的危害不容忽视。
大量的静电荷积聚会导致磁盘读写错误、损坏磁头、引起计算机误动作等现象，静电敏感电路也会造成击穿或者毁坏。
静电防护主要包括以下几个方面：
①地面静电防护。
活动地板应有稳定的抗静电性能和承载能力，同时耐油、耐腐蚀、柔光、不起尘等。
具体要求应符合GB6650—86《计算机机房用活动地板技术条件》的规定。
②墙壁、顶棚、工作台防护。
墙壁和顶棚表面应该减少灰尘堆积，光滑平整，避免眩光。
③静电保护接地。
静电保护接地电阻应该不太大，防静电活动地板金属支架，墙壁、顶棚的金属都接在静电地上，整个场地形成一个屏蔽罩。
电子设备的静电地，终端操作台地线应分别接到总地线上。
④其他措施。
空气中的温度、湿度、含尘浓度都应该满足国家标准GB2887—89《计算站场地技术条件》的要求。
必要时可以使用静电消除剂和静电消除器等，进一步消除环境、人体和设备上的静电。
（2）防雷击
雷电防护包括以下几个方面：
①机房位置选择：
机房最好放在建筑物的中间位置，而且最好避开大楼外侧作为引下线的柱子。
②机房内设备的位置摆放：
在机房内布置设备时应该放在比较接近中心的位置，以与外墙特别是外墙立柱保持一定的距离。
③接地与等电位连接：
设置避雷地，应以深埋地下、与大地良好相通的金属板作为接地点，避雷针的引线应采用粗大的紫铜条，整个建筑的钢筋自地基以下焊连成钢筋网作为“大地”与避雷针相连。
④屏蔽措施：
设置安全防护地与屏蔽地，应采用阻抗尽可能小的良导体的粗线，以减小各种地之间的电位差；应采用焊接方法，并经常检查是否接地良好，检测接地电阻，确保人身、设备和运行的安全。
⑤雷电过电压保护：
当雷电击中电网或电网附近遭雷击时，都能在线路上产生雷电过电压，因此，实际安装时，要求保护装置靠近被保护设备，保护元件两端采用双绞线，使得耦合回路的总面积减少，减弱磁场耦合效应。
⑥防雷分区：
防雷区域是根据雷击在不同区域的电磁脉冲强度划分，一般以在交界处的电磁环境有无明显的改变来作为划分不同防雷区域的特征。
不同的防雷区域之间电磁强度不同，首先做好屏蔽措施，在一定程度上防止雷电电磁脉冲的侵入。
（3）电磁防护
计算机及其外部设备携带的数据信息可以通过两种方式泄露出去：
一种方式是以电磁波的形式由空中辐射出去，称为辐射泄露。
这种辐射是由计算机内部的各种传输线、信号处理电路、时钟电路、显示器、开关电路及接地系统、印刷电路板线路等产生。
另一种方式是电磁能量通过各种线路传导出去，称为传导泄露。
如：
计算机系统的电源线，机房内的电话线、地线等都可以作为传导媒介。
这些金属导体有时也起着天线作用，将传导的信号辐射出去。
作为环境方面可以对电磁防护从以下几个方面入手：
①采用距离防护的方法，尽可能地把计算机机房的位置选在外界电磁干扰小并远离可能接收辐射信号的地方。
②采用接地的方法，防止外界电磁干扰和设备寄生耦合干扰。
③采用屏蔽方法，对计算机机房进行电磁屏蔽，防止外部电磁场对计算机设备的干扰，防止电磁信号的泄露。
（4）通信线路安全
环境中的各种电子设备总是由各种线路连接起来的，包括电力线路和通信线路。
没有这些线路的连接，大部分系统将无法工作。
所以，保证线路的连通和正常工作是系统可用性的前提。
而保证线路信号不被窃听，是保证系统机密性的一个重要方面。
为了防止电磁干扰，电力线不能与网络线同槽铺设；广域网线不能与局域网线同槽架设；有条件的情况下，网线安装与墙壁应该保留一定距离；线路外安装屏蔽槽进行保护。
（三）、设备安全
1设备防盗、防毁
（1）新增加设备时应该先给设备或者部件做上明显标记，最好是明显的、无法除去的标记，以防更换和方便查找赃物；
（2）机房有专门的门禁或者防盗系统，防止非授权人员进入机房，应利用闭路电视系统对计算机中心的各个重要部位进行监视，并有专人值守，防止夜间从门窗进入的盗窃行为；
（3）机房外部的网络设备，应采取加固防护等措施，必要时安排专人看管，以防止盗窃和破坏；
（4）对于一些重要设备可以考虑使用一些加锁或者特制的机箱，进一步加强防盗保护。
2设备防水
设备本身需要具有一定的防潮能力。
一种情况是一些电子设备在出厂前就由厂家进行过专门的防潮处理，能够在较高的湿度环境下工作；另外一种情况是在设备无法变动的情况下，针对设备的专门防护，如在设备周围加干燥剂或者干燥机，或者使用专门的防潮机柜等。
3设备防静电
防静电主要是从环境上进行防护，操作人员也要有防静电意识，能按照规范操作。
在设备上尽量采用防静电材料。
4设备电磁防护
只要计算机处于工作状态，就会向周围辐射可能含有有用信息的电磁波。
比如，计算机开关电源、时钟频率、并行数据线的电磁辐射、寄生振荡、视频信号辐射、显示器阴极射线管等。
对于设备的电磁防护，我们可以分成防电磁泄露和防电磁干扰两个方面：
（1）防电磁泄露：
主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合；
（2）防电磁干扰：
1）采用各种电磁屏蔽措施，如对设备的金属屏蔽和各种接插件的屏蔽，同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离；
2）干扰的防护措施，在
升级会员 