三万字-计算机三级-信息安全技术-信息安全保障概述_第一章 信息安全保障概述考题及答案

今年五月份报的信息安全技术，考试时间为2022.9.26，因为封校和疫情原因，没有参加上；在这些期间准备时间只能说是10天，10天好像就有点多，大概一周吧，能考个及格，所以当大家备考时一定要老早准备，并关注一些不可预测性的事件防止发生。

下面是我所收集的知识点，望大家参考学习

故不积跬步无以至千里，学习永无止境

注：开始笔记不是在CSDN里写的，这里都是黑色字体（见谅）

目录

第一章信息安全保障概述

第二章信息安全基础技术与原理

密码技术

认证技术

访问控制技术

审计和监控技术

第三章系统安全

操作系统安全

数据库安全

第四章网络安全基础

网络安全基础

网络安全威胁技术

网络安全防护技术

第五章应用安全

软件漏洞

软件安全开发

软件安全检测

软件安全保护

恶意程序

Web应用系统安全

第六章信息安全管理体系ISMS

信息安全管理体系

信息安全风险管理

信息安全管理措施

第七章信息安全标准语法规

数据库题目之数据库安全性

LINUX

笔记

填空题

加密算法

DES加密算法

AES加密算法

RSA加密算法

Base64加密算法

MD5加密算法

SHA1加密算法

网络攻击

---

第一章信息安全保障概述

1.信息安全的基本属性：完整性、机密性、可用性、可控制性、不可否认性

信息技术的影响：

积极：社会发展，科技进步，人类生活

消极：信息泛滥，信息污染，信息犯罪

2.信息安全保障体系框架

生命周期：规划组织、开发采购、实施交付、运行维护、废弃

保障要素：技术、管理、工程、人员

安全特征：保密性、完整性、可用性

3.信息系统安全模型P2DR安全模型：策略(Policy)、保护(Protection)、检测(Detection)和响应(Response)（是美国ISS公司提出的动态网络安全体系的代表模型）

4.信息保障技术框架IATF

核心思想是纵深防御战略

三个主要核心要素：人、技术和操作。(要保障信息及信息系统的安全，三者缺一不可。)

四个技术框架焦点区域:保护本地计算机环境、保护区域边界、保护网络及基础设施、保护支撑性基础设施

所谓深层防御战略就是采用一个多层次的、纵深的安全措施来保障用户信息及信息系统的安全。

5.信息安全保障工作内容：确定安全需求、设计和实施安全方案、进行信息安全评测、实施信息安全监控

第二章信息安全基础技术与原理

密码技术、认证技术、访问控制技术、审计和监控技术

密码技术

明文、密文、加密、解密

信息空间M、密文空间C、密钥空间K、加密算法E、解密算法D

加密密钥、解密密钥

密码体系分为对称密钥体系、非对称密钥体系

无论是对称密码还是非对称密码，其安全性实际取决于对密钥的安全保护

---

对称密钥体系

1 对称密钥优点：加解密处理速度快和保密度高。

缺点：密钥管理和分发负责代价高，数字签名困难

2．对称密钥体系分类：

分组（块）密码（DES/IDEA/AES）和序列密码(RC4/SEAL)

• 一类是对明文的单个位(或字节)进行运算的算法，称为序列密码算法,也称为流密码算法(streamcipher);
• 另一类是把明文信息划分成不同的块(或小组)结构，分别对每个块(或小组)进行加密和解密,称为分组密码算法(Blockcipher)。

3.传统的加密方法：

代换法、置换法

5、攻击密码体系的方法：

穷举攻击法（128位以上不再有效）和密码分析法

6.针对加密系统的密码分析攻击类型分为以下四种：

① 惟密文攻击在惟密文攻击中，密码分析者知道密码算法，但仅能根据截获的密文进行分析，以得出明文或密钥。由于密码分析者所能利用的数据资源仅为密文，这是对密码分析者最不利的情况。

②已知明文攻击是指密码分析者除了有截获的密文外，还有一些已知的“明文—密文对”来破译密码。密码分析者的任务目标是推出用来加密的密钥或某种算法，这种算法可以对用该密钥加密的任何新的消息进行解密。

③ 选择明文攻击选择明文攻击是指密码分析者不仅可得到一些“明文—密文对”，还可以选择被加密的明文，并获得相应的密文。这时密码分析者能够选择特定的明文数据块去加密，并比较明文和对应的密文，已分析和发现更多的与密钥相关的信息。

密码分析者的任务目标也是推出用来加密的密钥或某种算法，该算法可以对用该密钥加密的任何新的消息进行解密。

④ 选择密文攻击选择密文攻击是指密码分析者可以选择一些密文，并得到相应的明文。密码分析者的任务目标是推出密钥。这种密码分析多用于攻击公钥密码体制。

衡量密码系统攻击的复杂性主要考虑三个方面的因素：

数据复杂性用做密码攻击所需要输入的数据量；

处理复杂性完成攻击所需要花费的时间；

存储需求进行攻击所需要的数据存储空间大小。

攻击的复杂性取决于以上三个因素的最小复杂度，在实际实施攻击时往往要考虑这三种复杂性的折衷，如存储需求越大，攻击可能越快。

7.扩散和混淆是对称密码设计的基本思想。

乘积迭代的方法

加密原理

DES使用一个56位的秘钥以及附加的8位奇偶校验位，产生最大64位的分组大小，这是一个迭代的分组密码，使用称为Feistel的技术，其中将加密的文本块分成两半。使用子秘钥对其中一般应用循环功能，然后将输出与另一半进行“异或”运算：接着交换这两半，这一过程会继续下去，但最后一个循环不交换。DES使用16个循环，使用异或，扩展置换，压缩代换(S盒)，换位置换(移位P盒)操作四种基本运算。

扩展：3DES

9.国际数据加密算法（IDEA）

128位密钥对64位明文加密

产生子密钥也很容易。这个算法用了52个子密钥（8轮中的每一轮需要6个，其他4个用与输出变换）。首先，将128-位密钥分成8个16-位子密钥。这些是算法的第一批8个子密钥（第一轮六个，第二轮的头两个）。然后，密钥向左环移25位后再分成8个子密钥。开始4个用在第二轮，后面4个用在第三轮。密钥再次向左环移25位产生另外8个子密钥，如此进行D算法结束。

10.高级加密标准AES

11.分组密码工作模式

电子密码本模式（ECB）、密码分组链模式CBC 、密码反馈模式CFB 、输出反馈模式OFB 、计数模式 CTR

非对称密码体系

1.优缺点：根本上克服了对称密码密钥分配上的困难，且易于实现数字签名，安全性高。但降低了加解密效率。

2.对称密码体系实现密码加密，公钥密码体制实现密钥管理

3.RSA算法基于大合数分解难得问题设计

4.elgamal 基于离散对数求解难

5.ecc 椭圆曲线离散对数求解困难

哈希函数（hash）(散列函数、杂凑函数)

单向密码体制不可逆映射

将任意长度的输入经过变换后得到固定长度的输出原消息的散列或信息摘要散列值/哈希值

1.性质：压缩、易计算、单向性、抗碰撞性、高灵敏性

2.应用：消息认证、数字签名、口令的安全性、数据的完整性

3.典型的两类：消息摘要算法、安全散列算法

4.消息摘要算法MD5 128位

安全散列算法 SHA

数字签名

以电子形式存在于数据信息之中的，或作为其附件的逻辑上与之有联系的数据，可用于辨别数据签署人的身份，并表明签署人对数据信息中包含的信息的认可。

数字签名体制包括签名和验证签名两个过程。

应用：鉴权完整性不可抵赖

密钥管理:指处理密钥自产生到最终销毁的有关问题的全过程

种类：基本密钥或初始密钥、会话密钥、密钥加密密钥、主机主密钥

密钥产生

密钥分配：人工密钥分发、基于中心的密钥分发（密钥分发中心KDC 密钥转换中心KTC）

最典型的密钥交换协议：diffie-hellman算法

公开密钥分配：公开发布、公用目录、公钥授权、公钥证书

认证技术

消息认证

验证所收到的消息确实来自真正的发送方，并且未被篡改的过程

产生认证码的函数类型:

消息加密（对称与非对称）消息认证码（MAC）哈希函数

身份认证

可追究责任机制：认证授权审计

认证：在做任何动作之前必须有方法来识别动作执行者的真实身份，又称鉴别、确认身份认证系统由认证服务器认证系统客户端和认证设备组成

认证手段：静态密码方式动态口令认证 、usb key 认证、生物识别技术

认证协议：基于口令的认证协议、基于对称密码的认证（需要KDC）、基于公钥的认证

访问控制技术

保护系统安全的基础：认证访问控制审计

访问控制是在身份认证的基础上，依据授权对提出的资源访问请求加以控制

主体客体

可信计算机系统评估准则TCSEC

分类：自主访问控制DAC 强制访问控制MAC 基于角色的访问控制RBAC

行访问能力表CL 列访问控制表ACL 访问矩阵

安全标签访问控制标签列表 TS S C U

访问模式向下读RD 向上读RU 向下写WD 向上写WU

Bell-lapadula模型不上读不下写,Biba模型不下读不上写

访问控制技术：集中式访问控制/非集中式访问控制

集中式访问控制

认证、授权、审计（AAA）管理

网络接入服务器（NAS）

AAA管理协议包括

拨号用户远程认证服务RADIUS（3种返回消息：访问拒绝、需要进行挑战、访问接受）终端访问控制器访问控制系统TACACS

Diameter 支持移动ip

非集中式访问控制

分布式访问控制需要解决跨域访问问题

三种方法：

单点登录SSO 所有应用系统共享一个身份认证系统（不是只有一个）；所有应用系统能够识别和提取ticket信息

Kerberos协议密码分发服务器kdc 票据 kdc兼具认证服务器AS和票据授权服务TGS两个功能票据获取凭证TGT 客户端会话密钥

Sesame

审计和监控技术

审计系统通常由日志记录器（通常调用syslogs记录）分析器和通告器组成，分别用于收集数据、分析数据及通报结果。

恶意行为监控：监控方式分为主机监控和网络监控

蜜罐技术是一种网络监控技术，它将未使用地址空间伪装成活动网络空间，通过与入侵者的主动交互获得入侵详细信息，以达到对攻击活动进行监视、检测盒分析的目的。

网络信息内容监控主要方法为网络舆情分析（舆情分析引擎自动信息采集功能/数据清理功能）

网络信息内容审计技术主要有网络信息内容的获取技术（嗅探技术）和网络内容还原分析技术

不良信息内容监控方法：网址过滤技术 网页内容过滤技术 图片内容过滤技术

第三章系统安全

操作系统安全

1.操作系统是控制其他程序运行，管理系统资源并为用户提供操作界面的系统软件的集合

2.用户模式与内核模式触发一个特殊的硬件自陷

3.用户接口是为方便用户使用计算机资源所建立的用户与计算机之间的联系非为作用级接口和程序级接口

4.操作系统的功能：资源管理、用户接口进程管理、内容管理

5.最常见的保护环结构： 操作系统内核 操作系统其他部分 I/O驱动程序和实用工具 应用程序和用户活动

6.守护进程：脱离于终端并且在后台运行的进程

7.inetd进程监视网络请求的守护进程

8.文件权限：一个文件通常属于创建它的用户及该用户的基本分组；每个文件和目录有3组权限与之有关，拥有者，文件所属分组成员，其他所有用户；每组权限有3个权限标志位 r w x（可执行）；9位合起来称为模式位，通常用一列10个字符表示，还有一位指明文件类型 SUID SGID 设置用户ID和分组ID属性，分别表现在所有者或同组用户权限的可执行位上

9.用chmod命令改变文件的权限设置如chmod 666 myfile（绝对模式） chmod g+r

foo（符号模式）表示给文件foo的分组读权限

10.系统启动过程：预引导阶段、引导阶段、载入内核阶段、初始化内核阶段、登陆阶段

11.进程安全管理方法：任务管理器 Msinfo32 、dos命令行

12.系统服务：服务是一种在系统后台运行的应用程序类型服务控制管理器net start/Stop 命令 sc命令

13.用户权利与授权网络安全性依赖于给用户或组所授予的能力，包括权限（文件系统能力、权利（系统上完成特定动作的授权）、共享（通过网络使用文件夹）

14.windows有3种类型的事件日志：系统日志、应用程序日志、安全日志。

15.安全策略：密码策略、锁定策略、审核策略、用户权力指派、安全选项装载自、定义安全模板

16.windows 加密文件系统

17.可信计算技术可信计算机TB 可信约等于安全+可靠可信计算机系统是能够提供系统的可靠性、可用性、信息和行为安全性的计算机系统。信任根和信任链从信任根到硬件平台到操作系统到应用可信信任模块TCM是可信计算平台的信任根可信网络连接TNC中国的：可信密码模块

数据库安全

1.数据库是一个长期存储在计算机内的、有组织的、有共享的、统一管理的数据集合。

2.结构化查询语言SQL

3.数据库的安全性是指保护数据库，防止因用户非法使用数据库造成数据泄露、更改或破坏。

4.数据库安全性控制的方法包括用户标识和鉴定、存取控制、审计、数据加密等

5.视图与数据保密性

6.数据完整性就是确保数据库中的数据的一致性和正确性。数据库提供了约束、规则和默认事务处理等功能保证数据完整性。

默认值，如

create default con3 as 20

Create rule R1

As condition-expression

绑定规则 exec sp-（un）bindrule ‘r1’，‘table8.c1’

7.事务处理（transaction）回退（rollback）提交（commit）保留点（savepoint）

事务处理的特性：原子性 一致性 隔离性 持久性

类型：自动处理事务、隐式事务、用户定义事务、分布式事务

8.数据库威胁：过分特权滥用 合法特权滥用 特权提升平台漏洞 sql 注入 不健全审计 拒绝服务数据库通信协议漏洞不健全的认证（暴力社会工程直接窃取备份数据暴露

9.数据库安全防护：事前检查、事中监控、事后审计

10.数据库安全特性检测对数据库的静态安全防护有3个层次，分别为：

端口扫描（服务发现）

渗透测试（内容：监听器安全特性分析，用户名和密码渗透、漏洞分析）

内部安全检测

11.数据库运行安全监控主要由网络嗅探器、数据库分析器、sql分析器和安全审计组成。

第四章网络安全基础

网络安全基础

1、TCP/IP开放模型：物理和数据链接层、网络层、传输层、应用层、网络协议

2、数据链接层协议

ARP协议是"Address Resolution Protocol"(地址解析协议)的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？

他就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行

RARP协议逆向地址转换协议

3、网络层协议

IP协议是英文Internet Protocol（网络之间互连的协议）的缩写，中文简称为“网协”，也就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机系统，只要遵守IP协议就可以与因特网互连互通。IP地址具有唯一性，根据用户性质的不同，可以分为5类。另外，IP还有进入防护，知识产权，指针寄存器等含义。

如今的IP网络使用32位地址，以点分十进制表示，如192.168.0.1。

地址格式为：IP地址=网络地址+主机地址

IP地址=网络地址+子网地址+主机地址。

A类地址

（1）A类地址网络号7位，主机号24位。它的第1个字节的第一位固定为0.

B类地址

（1）B类地址网络号14位，其它2个字节为主机地址。它的第1个字节的前两位固定为10.

C类地址

（1）C类地址第1字节、第2字节和第3个字节为网络地址，第4个字节为主机地址。另外第1个字节的前三位固定为110。

D类地址

E类地址

（1）E类地址不分网络地址和主机地址，它的第1个字节的前四位固定为1111。

暂时保留

A/B/C类主机号全为0的地址表示一个网络的本网络地址，为1的为直接广播地址

受限广播地址：32为全为1

自环地址：127.0.0.1

ICMP协议

ICMP是（Internet Control Message Protocol）internet控制报文协议。它是TCP/IP协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。

传输层协议

TCP协议传输控制协议

TCP是因特网中的传输层协议，使用三次握手协议建立连接。当主动方发出SYN连接请求后，等待对方回答SYN，ACK。这种建立连接的方法可以防止产生错误的连接，TCP使用的流量控制协议是可变大小的滑动窗口协议。第一次握手：建立连接时，客户端发送SYN 包（SEQ=x）到服务器，并进入SYN_SEND状态，等待服务器确认。第二次握手：服务器收到SYN包，必须确认客户的SYN(ACK=x+1），同时自己也送一个SYN包（SEQ=y），即SYN+ACK包，此时服务器进入SYN_RECV状态。第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ACK=y+1），此包发送完毕，客户端和服务器进入Established状态，完成三次握手。

建立一个连接需要三次握手，而终止一个连接要经过四次握手，这是由TCP的半关闭（half-close）造成的。

应用层协议

HTTP协议超文本传输协议

一种详细规定了浏览器和万维网服务器之间互相通信的规则，通过因特网传送万维网文档的数据传送协议。

由请求和响应构成，是一个标准的客户端服务器模型。HTTP是一个无状态的协议。

SMTP即简单邮件传输协议，它是一组用于源地址到目的地址传送邮件的规则，它是来控制信件中转方式。SMTP协议属于TCP/IP协议族，它帮助每台计算机在发送或中转信件时找到下一个目的地。通过SMTP协议所指定的服务器，就可以把E-mail寄到收信人的服务器上了。整个过程只要几分钟。SMTP服务器则是遵循SMTP协议的发送邮件服务器，用来发送或中转发出的电子邮件。

POP3协议即邮局协议的第3个版本，它是规定个人计算机如何连接到互联网上的邮件服务器进行收发邮件的协议。它是因特网电子邮件的第一个离线协议标准，POP3协议允许用户从服务器上把邮件存储到本地主机(即自己的计算机)上，同时根据客户端的操作删除或保存在邮件服务器上的邮件，而POP3服务器则是遵循POP3协议的接收邮件服务器，用来接收电子邮件的。POP3协议是TCP/IP协议族中的一员，由RFC 1939定义。本协议主要用于支持使用客户端远程管理在服务器上的电子邮件去记住能够被机器直接读取的IP数串。

网络安全威胁技术

攻击流程：准备阶段（扫描技术）具体网络攻击阶段（网络嗅探协议分析、诱骗式攻击、漏洞攻击、拒绝服务攻击、web攻击）成功入侵后的控制阶段（植入木马）

扫描技术

互联网信息的收集 IP地址扫描网络端口扫描（TCP全连接扫描、 tcp syn扫描、 tcp fin 扫描、 udp的icmp端口不可达扫描、 icmp扫描、乱序扫描和慢速扫描）漏洞扫描（网络漏洞扫描主机漏洞扫描）弱口令扫描（基于字典攻击的弱口令扫描技术和基于穷举攻击的）综合漏洞扫描

防范技术：防火墙安全检测工具

网络嗅探技术

利用网络嗅探工具获得目标计算机的网络传输的数据包，就可以通过对数据包按照协议进行还原和分析，从而获取目标计算机传输的大量信息。

工具：wireshark/sniffer pro/omnipeek/netxray

网络传输数据的加密 利用网络设备的物理或者逻辑隔离的手段防止信息泄露

网络协议欺骗

Ip地址欺骗、 arp欺骗（实施中间人欺骗伪装成网关的欺骗） 、tcp欺骗（非盲攻击盲攻击、 dns欺骗（基于dns服务器、基于用户计算机的欺骗

欺骗式攻击

网站挂马：网络中的网页被攻击者恶意修改后，添加了可以触发并下载恶意程序的链接及恶意代码和脚本。主要技术手段有框架挂马，js脚本挂马 body挂马和伪装欺骗挂马。

诱骗下载：多媒体类文件下载网络游戏软件和插件下载热门应用软件下载电子书爱好者 p2p种子文件文件捆绑方式：多文件捆绑方式资源融合捆绑方式漏洞利用捆绑方式

钓鱼网站：一种被黑客实施网络欺诈的伪装网站

社会工程

软件漏洞攻击利用技术

操作系统服务就程序漏洞、文件处理软件漏洞、浏览器软件漏洞、其他软件漏洞

利用技术：直接网络攻击、诱骗式网络攻击（基于网站的诱骗式网络攻击网络传播本地诱骗点击攻击）

防范：安装使用新版本的操作系统和软件访问正规网站不随意点击通过电子邮件或及时通信软件发来的文件安装杀毒软件和主动防御软件

拒绝服务攻击DOS攻击

目标是主机，目的是使目标主机的网络带宽和资源耗尽，使其无法提供正常对外服务。实现方式:利用目标主机自身存在的拒绝服务型漏洞进行攻击耗尽目标主机cpu和内存等计算机资源的攻击耗尽目标主机网络带宽攻击

分类：ip层协议的攻击（smurf攻击）、tcp协议的攻击（syn flood和ack flood 攻击 tcp全连接dos攻击）、 udp协议、攻击应用层协议攻击

防御措施：静态和动态的ddos过滤器反欺骗技术异常识别协议分析速率限制其他（提供系统安全性，及早发现漏洞，安装补丁，防护墙路由器）

Web脚本攻击

注入攻击（sql注入、代码注入、命令注入等）跨站脚本攻击（xss分为反射型xss 存储型 dom based xss）跨站点请求伪造

远程控制

木马：具有远程控制、信息偷取、隐蔽传输功能的恶意程序。伪装性隐藏性窃密性破坏性

连接防止：传统木马的客户端程序主动连接服务端程序反弹式木马是服务端主动发起连接请求

隐藏方式：线程插入技术 dll动态劫持技术 rootkit技术

Webshell

一种用web脚本写的木马后门

网络安全防护技术

防火墙

可信和不可信网络之间，通过设置一系列安全规则对两个网络之间的通信数据包进行访问控制，检测网络交换的信息，防止对重要信息资源的非法存取和访问，以达到保护内部可信网络的目的。一般部署在网络边界。

功能:内外网之间数据过滤对网络传输和访问的数据进行记录和审计防范内外网之间的异常网络攻击通过配置nat提高网络地址转换功能

分类：软件防火墙（企业级个人级安装在操作系统上）硬件防火墙（X86架构的防火墙 asic架构的防火墙 np架构的防火墙）

防火墙技术：包过滤技术状态监测技术地址翻译技术应用级网关

体系架构主要包括双重宿主主机体系结构和屏蔽主机体系结构、屏蔽子网络体系结构的防火墙

安全策略：内网可以访问外网内网可以访问dmz（非军事区即缓冲区）外网不可以访问内网外网可以访问dmz dmz不能访问内网 dma可以访问外网

不能防范的安全威胁：内网之间的恶意攻击绕过防火墙通道上的攻击病毒和内部驱动的木马针对防护墙开发端口的攻击

入侵检测系统

工作在计算机网络系统中的关键节点上，通过实时地收集和分析计算机网络系统中的信息来检测是否出现违反安全策略的行为和是否存在入侵的迹象，进而达到提示入侵、预防攻击的目的。

控制台和探测器

分类：数据采集方式：基于网络的和基于主机的

检测原理：误用检测型和异常检测型

技术：误用检测技术（专家系统模型推理状态转换分析）异常检测技术（统计分析神经网络）其他（模式匹配文件完整性检验数据挖掘计算机免疫方法

入侵防御系统

功能：拦截恶意流量实现对传输内容的深度检测盒安全防护对网络流量监测的同时进行过滤

不足：可能造成单点故障可能造成性能瓶颈漏报和误报的影响

PKI（公共密钥基础设施）

组成：安全策略证书认证机构（CA）证书注册机构（RA）证书分发系统（CDS）基于pki的应用接口

数字证书：经证书认证机构签发的，包含用户身份信息、用户公开密钥信息和证书认证机构的数字签名等信息的一个文件，这个文件可以方便地在计算机和移动介质中进行存储保护。

VPN(虚拟专用网)

是利用开发网络的物理链路和专用的安全协议实现逻辑上网络安全连接的技术。

连接类型：client-lan类型的vpn lan-lan类型

Vpn协议分类：第二次隧道协议介于第二、三之间的隧道协议第三层隧道协议（ipsec 协议）传输层的ssl vpn 协议

网络安全协议

网络层安全协议IPSEC：包含esp协议 ah协议和密钥协商协议

主要包括两个基本协议:分别封装安全有效负荷协议(ESP)，认证头协议(AH)

四个要件:加密算法，认证算法，解释域，密钥管理；

ESP协议:为报文提供加密和可选认证服务(消息认证)；

AH协议:认证服务，包括数据源认证，无连接的完整性和一个抗重放服务；

差异:二者均包含认证功能，AH的作用于是整个IP数据包，ESP只包括数据部分，不包括IP头；所以AH认证的安全性要高于ESP；

加密算法：必须支持DES；用于支持ESP；

认证算法:支持AH和ESP，默认使用SHA和MD5;

解释域：获得IPSEC的相关安全参数和信息，相当于一个系统参考；

密钥管理:确定和分配密钥；

安全关联SA:安全参数和策略集合，定义了一个单向连接；

SAD(安全关联数据库)，SPD(安全策略数据库)；

SA工作流程:

对发送的IP数据包,查询SPD,SAD；先查询SPD,确定对IP数据包要使用的策略，如果希望应用IPsec，就在SAD得到对应的SA指针，根据SA，就实施具体的协议；否则丢弃数据包，报错；

对于接收的IP数据包，先查询SAD，如果有这样的IPSEC的策略，就表示存在这样的IPSEC处理策略，直接处理数据，之后查询SPD，设定是否希望处理，如果设置相符，就算作接受有效，做其他处理，否则，则表示对该IP包的IPSE处理不被允许，则丢弃；

传输层安全协议ssl：记录协议和握手协议

应用层安全协议：

kerberos协议:它旨在通过使用加密技术为客户端/服务端应用程序提供强大的认证服务。

ssh协议（secure shell） https协议（安全超文本传输协议 S/MIME协议（安全多用途网际邮件扩充协议）

第五章应用安全

软件漏洞

漏洞是计算机系统中可以被攻击者利用从而对系统造成较大危害的安全缺陷

软件漏洞产生原因：软件设计开发运行阶段的疏漏、软件技术和代码规模的快速发展、软件安全测试技术的滞后

1.特点：危害性大、影响广泛、存在长久性、隐蔽性

2.分类：被攻击者利用地点：本地利用漏洞、远程利用漏洞

形成原因：输入验证错误漏洞、缓冲器溢出漏洞（堆溢出栈溢出）、设计错误漏洞、意外情况漏洞、访问验证错误漏洞、配置错误漏洞、竞争条件漏洞、环境错误漏洞、外部数据被异常执行漏洞

生命周期不同阶段：0day 1day 已公开漏洞

3.等级划分：紧急、重要、中危、低危

4.漏洞库：cve bugtraq nvd cnnvd cnvd 其他（edb等）

5．常见漏洞：

格式化字符漏洞、%s输出对应地址所指向的字符串 %x 以16进制形式输出堆栈的内容 %n 将格式化函数输出字符串的长度写入函数参数指定的位置、整数溢出漏洞（存在溢出运算溢出符号问题）、数组越界漏洞、写污点值到污点地址漏洞、内存地址对象破坏性调用漏洞、软件漏洞利用shellcode代码

漏洞利用技术：静态shellcode地址的利用技术、动态变化的shellcode地址的利用技术 、heap spray技术（堆喷洒技术）滑板指令（slide code）大量弄NOP空指令0x90填充组成的质量序列

防护技术：GS stack protection技术是一项缓冲器溢出的检测防护技术

DEP数据执行保护技术可以限制内存堆栈区的代码为不可执行状态，从而防范溢出后代码的执行。

ASLR地址空间分布随机化技术是一项通过将系统关键地址随机化，从而使攻击者无法获得需要跳转的精确地址的技术。

SafeSEH是windows异常处理机制所采用的重要数据结构链表。保护SHE函数不被非法利用的技术。

SEHOP结构化异常处理覆盖保护技术通过桟溢出或其他漏洞，使用精心构造的数据覆盖SHE上面的某个函数或多个函数，从而控制EIP（控制程序执行流程）

软件安全开发

软件开发生命周期：问题的定义、与规划需求分析、软件设计程序编码软、件测试运行维护

软件开发生命周期模型：瀑布模型、及改进的瀑布模型、螺旋模型、迭代模型、快速原型模型

软件安全开发技术：建立安全威胁模型安全设计安全编码安全测试

软件安全检测

软件静态安全检测技术

软件源代码的静态安全检测技术：词法分析、数据流分析、污点传播分析、符号执行、模型检查、定理证明不需要构建代码运行环境，分析效率高，资源消耗低

可执行代码的静态安全检测技术：基于程序结构的基于程序语义的

软件动态安全检测技术：模糊测试、智能模糊测试、动态污点分析等

软件动静结合检测技术

软件安全保护

通过技术手段对受保护文件以及其运行环境添加防护和控制措施，使得受保护的软件在防护和控制范围内无法被逆向分析，从而防止软件被破解、篡改及盗用版权。

基于软件的软件安全保护技术：注册信息验证技术、软件防篡改技术代码混淆技术、（词法转换控制流转换数据转换）软件水印技术、软件加壳技术反调试反跟踪技术

基于硬件介质：加密狗光盘保护技术专用的计算机接口卡

恶意程序

分类：单一功能病毒（文件感染型、病毒宏、病毒引导型、病毒邮件型病毒），木马、蠕虫、恶意脚本、综合型病毒

传播方法：网站挂马、诱骗下载、通过移动存储介质传播、通过电子邮件和即时通信软件传播、通过局域网传播

破坏功能：浏览器配置被修改、窃取工行密码账号等隐私信息实现远程控制破坏系统或网络的正常运行

检测查杀技术：特征码查杀、技术启发式查杀、技术虚拟机查杀、技术主动防御技术

防范：计算机自身安全防护、防止网站浏览和访问造成的恶意程序入侵、防止因下载造成的恶意程序入侵、防止通信类软件造成的因移动存储介质造成的局域网造成的入侵。

Web应用系统安全

遭破坏的身份认证和会话管理

不安全的直接对象引用

安全配置错误

不安全的加密存储

没有限制的url访问

传输层保护不足

未验证的重定向及转发

安全防护：客户端安全防护、通信信道安全防护、服务器端安全防护

Web安全检测：黑盒检测技术、白盒检测技术

第六章信息安全管理体系ISMS

是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立基于系统、全面和科学的安全风险评估

信息安全管理体系

建立信息安全管理框架

定义信息安全政策定义isms范围进行信息安全风险评估确定管制目标和选择管制措施准备信息安全适用性申明

定义isms范围时，应重点考虑组织机构的如下实际情况：组织机构现有部门处所资产状况所采用的技术

三种风险评估方法：基本风险评估、详细风险评估、基本和详细结合

Isms构架的具体实施

建立相关文档：一份管理框架概要（信息安全方针控制目标适用性申明确定的实施控制方法）阐述isms管理及实施的程序一本方针手册（信息安全方针的阐述控制目标与控制方法描述程序或其引用）

文档的严格管理

安全事件记录、回馈

信息安全管理体系审核

审核准备（编制审核计划收集并审核有关文件准备审核工作文件——编写检查表）审核实施

审核报告

纠正措施、纠正措施实施情况跟踪

审核风险控制

信息安全管理体系评审

程序：编制评审计划准备评审资料召开评审会议评审报告分发与保存评审后要求体系评审与持续改进

信息安全管理体系认证——BS7799

信息安全风险管理

风险管理是指找出机构信息系统中的漏洞，采取适当的措施，确保机构信息系统中所有组成部分的机密性、完整性和有效性。

风险识别

资产识别和评估：人员、过程及数据资产的识别硬件、软件和网络资产的识别

信息资产的分类：人员、过程、数据和信息、软件、硬件 secsdlc方法最好加一列表示数据的敏感性和安全优先等级，或表示传输和处理数据的设备

信息资产评估

安全调查

分类数据的管理：存储分布移植销毁

威胁识别和威胁评估

漏洞识别

风险评估

风险=出现漏洞的可能性X信息资产价值-当前控制减轻的风险几率+对漏洞了解的不确定性

风险评估原值：自主适应度量已定义过程连续过程的基础

过程：信息资产评估风险的确定识别可能的控制

风险控制策略

避免：采取措施，消除或减小漏洞的不可控制的残留风险

转移：将风险转移到其他区域，或外部

缓解：减小漏洞产生的影响（事件响应计划IRP 灾难恢复计划DRP 业务持续性计划BCP）

接受：了解产生的后果，并接受没有控制或缓解的风险

事故：直接面向信息资产具有成功的现实可能性可威胁信息资源的机密性、完整性、可用性

事故响应的四个阶段：计划、检测、反应、恢复

信息安全的三个基本属性：完整性、机密性、可用性

信息安全管理措施

基本安全管理措施

安全策略人员安全管理安全组织机构（第三方访问安全外包控制）资产管理

物理与环境安全（围墙和门警卫警犬 id卡和证章钥匙和锁捕人陷阱电子监视警报和警报系统计算机机房和配电室）通信及操作管理访问控制

重要安全管理过程

系统获取、开发和维护

开发过程（规划分析设计实现运行）

维护分类：改正性维护适用性维护完善性维护预防性维护

维护的注意事项：维护和更改记录更改的清除错误报告处理老版本的备份和清理维护步骤：报告错误处理错误处理错误报告

站外灾难数据存储：电子拱桥远程日志数据库镜像

第七章信息安全标准语法规

信息安全标准化组织：

国际：国际标准化组织ISO 国际电工委员会IEC 国际电信联盟ITU internet工程任务组IETF

我国：全国信息技术安全标准化技术委员会CITS

五个信息系统安全保护等级对应的安全保护能力级别

系统定级要素：威胁源信息系统受侵害的各方利益

CC将评估过程划分为功能和保证两个部分。由美英法德加拿大荷兰 EAL1-7

7个功能类：配置管理、分发和操作、开发过程、指导文献、生命期的技术支持、测试和脆弱性评估

Iso 13335 IT 安全的机密性、完整性、可用性、审计性、认证性、可靠性

GB/T22240 信息系统安全保护等级划分准则定级的四个要素：信息系统所属类型、业务数据类型、信息系统服务范围业务、自动化处理程度

五个等级：自主保护级、系统审计保护级、安全标记保护级、构化保护级、访问验证保护级

保护国家秘密法电子签名法（电子签名人电子签名依赖方

国家商用密码管理政策（商用密码技术属于国家秘密，国家对商用密码产品的科研、生产/销售和使用实行专控管理

信息安全保护等级有两个定级要素决定：等级保护对象受到破坏时所侵害的客体对客体造成侵害的程度

中国信息安全产品测评认定中心 CNITSEC

数据库题目之数据库安全性

可移植性不是数据库系统必须提供的数据控制功能

保护数据库，防止未经授权的或不合法的使用造成的数据泄漏、更改破坏。这是指数据的安全性

数据库的完整性是指数据的正确性和相容性

在数据系统中，对存取权限的定义称为授权

数据库管理系统通常提供授权功能来控制不同用户访问数据的权限，这主要是为了实现数据库的安全性

当对某一表进行诸如(insert )(delete )(update) 这些操作时，SQL Server 就会自动执行触发器所定义的SQL 语句。

DBMS存取控制机制主要包括两部分：自主存取控制，强制存取控制

在SQL语言中，为了数据库的安全性，设置了对数据的存取进行控制的语句，对用户授权使用GRANT 语句，收回所授的权限使用REVOKE语句。grant,revoke

保护数据安全性的一般方法是设置用户标识和存取权限控制

安全性控制的一般方法有用户标识鉴定、存取权限控制、审计、数据加密和视图的保护五级安全措施。

在SQL Server 中删除触发器用DROP(drop)

把对关系SC的属性GRADE的修改权授予用户ZHAO的SQL语句是

GRANT UPDATE (GRADE) ON SC TO ZHAO (grant update(grade) on sc to zhao)

能够实现“收回用户ZHAO对学生表（STUD）中学号（XH）的修改权”这一功能的是

REVOKE UPDATE(XH) ON STUD FROM ZHAO (revoke update(xh) on stud from zhao)

创建基本表的基本命令是CREATE

插入数据的基本命令是INSERT

修改基本表的基本命令是ALERT

删除基本表的基本命令是drop

建立视图的命令是CREATE view

更新记录的命令是update

AUDIT命令也就是核查命令，用于设置数据库审计功能。audit

数据库事务处理的四大特性为：原子性、一致性、分离性、持久性

ALTER，数据库SQL语言的修改语句，可以用来修改基本表。

DELETE，删除，常用于编程语言中（C++,SQL等等）

INSERT，鼠标点击可输入框后会出现闪动的光标. 一般情况下,Windows系统默认光标位置插入字符,而光标向后移动,即输入时对光标后字符无影响. 但是Insert是嵌入,即插入并覆盖,所以当按下Insert键后再输入,光标后的字符会被消去,即被当前输入字符替换掉,再次按下后则会还原到默认插入状态.。

UPDATE，语句用于修改表中的数据，

事务处理是一种机制，用来管理必须成批执行的SQL操作，以保证数据库不包含不完整的操作结果。

事务处理的术语包括：

事务（Transcaction）：指一组SQL语句

回退（Rollback）：指撤销指定的SQL语句的过程

提交（Commit）：指将未存储的SQL语句结果写入数据库表

保留点（Savepoint）：指事务处理中设置的临时占位符，可以对它发布回退 可以回退的语句包括事务管理用来管理INSERT、UPDATE和DELETE语句，不能回退SELECT语句也不能回退CREATE语句和DROP语句；

每个事务均以BEGIN TRANSACTION语句显示开始，以COMMIT或ROLLBACK语句显示结束。

SQL注入攻击是利用服务器端漏洞进行的攻击

（1）自主存储控制主要通过SQL的GRANT语句和REVOKE语句来实现，GRANT语句向用户授予权限，如果指定了WITH GRANT OPTION子句，则获得某种权限的用户还可以把这种权限再授予其他用户；REVOKE语句收回授予的权限
（2）CREATE USER命令中如果没有指定创建的新用户权限，默认该用户拥有CONNECT权限。

DBMS存取控制机制主要包括两部分：自主存取控制，强制存取控制

因为事务按照要么全部，要么全不方式被执行，事务的边界（开始点和结束点）必须清晰。边界使DBMS作为一个原子单元来执行这些语句。事务隐式开始于第一个可执行的SQL语句或显式使用 BEGIN TRANSACTION语句。事务显式结束于COMMIT或ROLLBACK语句（无法隐式结束），且无法在提交之后回滚事务。

信任根是系统可信的基点。TCG定义可信计算平台的信任根包括3个根：

可信测量根（Root of Trust for Measurement，RTM）

可信存储根（Root of Trust for Storage，RTS）

可信报告根（Root of Trust for Report）

数据库中，为不同的用户定义不同的视图，可以限制各个用户的访问范围

视图是基于数据表的一种查询窗口。不能在这种查询窗口中再建数据表

在数据库内部，存在大量的内置函数和过程。这些函数和过程中，有的存在严重的安全漏洞，如具有SQL注入缺陷和缓冲区溢出漏洞，这也是进行安全检测的对象所在。这些安全漏洞一个重要的特征就是，每个安全漏洞只存在于相应的某个具体版本

每个数据库事务均以BEGIN TRANSACTION语句显式开始，以COMMIT或ROLLBACK语句显式结束，COMMIT是表示“提交”，就是提交事务的所有操作。具体地说，就是将事务中的所有对数据库的更新写回到磁盘上的物理数据库中去，事务正常结束。ROLLBACK指的是“回滚”，即是在事务的运行过程中，发生了某种故障，事务不能继续执行，系统将事务中对数据库的所有的已完成的操作全部撤销，回滚到事务开始之前的状态。

如果所有外键参考现有的主键，则说明一个数据库具有参照完整性

深入数据库内，对数据库内部的安全相关对象进行完整的扫描和检测，即内部安全检测

新创建的数据库用户有3种权限：DBA、RESOURCE、CONNECT，其中拥有CONNECT权限的用户不能创建新用户、模式和基本表，只能登陆数据库，

拥有DBA权限的用户是系统中的超级用户，可以创建新的用户、创建模式、创建其他用户

拥有RESOURCE权限的用户能创建基本表和视图，称为所创建对象的属主，但是不能创建模式和新的用户

在数据库中，用户权限是由两个要素组成的：数据库对象和操作类型

在CREATE TABLE语句中使用DEFAULT子句，是定义默认值的首选方法，也是定义默认值的比较简洁的方法

数据库运行安全监控是对数据库的动态安全防护

动态数据库安全防护也称为数据库入侵检测防护

数据库安全特性检查是对数据库的静态安全防护

新创建的数据库用户有3种权限：DBA、RESOURCE、CONNECT，其中拥有CONNECT权限的用户不能创建新用户、模式和基本表，只能登陆数据库，

拥有DBA权限的用户是系统中的超级用户，可以创建新的用户、创建模式、创建其他用户

拥有RESOURCE权限的用户能创建基本表和视图，称为所创建对象的属主，但是不能创建模式和新的用户

在数据库中，用户权限是由两个要素组成的：数据库对象和操作类型

为不同的数据库用户定义不同的视图，可以限制各个用户的访问范围

拥有CONNECT权限的用户不能创建新用户，不能创建模式，也不能创建基本表，只能登录数据库

如果所有外键参考现有的主键，则说明一个数据库具有参照完整性

数据库完整性就是确保数据库中的数据的一致性和正确性，数据库软件执行3种类型的完整性服务：语义完整性、参照完整性和实体完整性，如果所有外键参考现有的主键，则说明一个数据库具有参照完整性

为不同的用户定义不同的视图，可以限制各个用户的访问范围。

视图不存储数据

LINUX

用户可以使用chmod命令改变文件的权限设置

文件系统安全是UNIX/Linux系统安全的核心

在UNIX/Linux系统中，root账号是一个超级用户账户，可以对系统进行任何操作，除非必要，否则避免以超级用户登录

UNIX/Linux系统中，使用umask设置用户创建文件的默认权限

在UNIX系统中，主要的审计工具是syslogd守护进程，通过配置这个后台进程程序，可以提供各种水平的系统审计和指定输出目录，本题答案：syslogd

可执行文件(exe)不属于Unix/Linux文件类型

守护进程是脱离于终端并且在后台运行的进程，UNIX/Linux系统有很多守护进程，大多数服务都是通过守护进程实现的

守护进程，也就是通常说的Daemon进程，是Linux中的后台服务进程。它是一个生存期较长的进程，通常独立于控制终端并且周期性地执行某种任务或等待处理某些发生的事件。

守护进程常常在系统引导装入时启动，在系统关闭时终止

UNIX/Linux系统中超级用户账号可以不止一个，在UNIX系统中，只要将用户的UID和GID设置为0就可以将其变成超级用户

账户GID：账号GID一般也是由一个整数表示的，范围是0~65535，当添加账户时，默认情况下会同时建立一个与用户同名且UID和GID相同的组。

UID（User Identify）中文用户ID,相当于身份证一样，在系统中是唯一的。

UNIX文件系统安全就是基于i结点中3段关键信息：
（1）UID：文件拥有者
（2）GID：文件所在分组
（3）模式：文件的权限设置

除非必要，避免以超级用户登录在UNIX/Linux只能够，服务是通过inetd进程或启动脚本来启动

在Linux/UNIX系统中：

/bin是用户命令的可执行文件（二进制文件）；

/dev是特殊设备文件；

/etc是系统执行文件、配置文件、管理文件，

Red Hat Linux中为非二进制配置文件保留；

/lib是引导系统以及在root文件系统中运行命令所需的共享库文件

保护环支持多任务操作系统所要求的可用性、完整性和机密性要求，进程运行所在的环编号越小，进程的可信度越高，最常用的保护环结构提供4个保护环：
1、0环：操作系统内核
2、1环：操作系统的其他部分
3、2环：I/O驱动程序和实用工具
4、3环：应用程序和用户活动
当操作系统为0环和1环执行指令时，它在管理员模式或内核模式下运行。

在UNIX/LINUX中，主要的审计功能是由syslogd守护进程完成的

COMMIT语句用于告诉DBMS，事务处理中的语句被成功执行完成了，ROLLBACK也是告诉DBMS事务处理中的语句不能被成功执行，不能回退SELECT语句，因此该语句在事务中必然成功执行

笔记

访问控制在准则中被分为两类：

自主访问控制（Discretionary Access Control， DAC）

强制访问控制（Mandatory Access Control， MAC）

强制访问控制模型有：Bell-LaPadula模型、Biba模型、Clark-Wilson模型和Chinese Wall模型

非集中访问控制方法又称为分布式访问控制方法，广泛使用了有单点登录（Single Sign On，SSO）、Kerberos协议和SESAME

基于角色的访问控制，Role-based Access，RBAC

自主访问控制模型的实现机制通过访问控制矩阵模型实施，具体的实现办法是通过访问能力表或访问控制表来限定哪些主体针对哪些客体可以执行什么操作。

自主访问控制模型（DAC Model，Discretionary Access Control Model）是根据自主访问控制策略建立的一种模型，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其它用户。

DAC模型一般采用访问控制矩阵和访问控制列表来存放不同主体的访问控制信息，从而达到对主体访问权限的限制目的。

强制访问控制（Mandatory Access Control，MAC）是访问控制模型的一种，它通过分级的安全标签实现了信息的单向流通，一直被军方采用，其中最著名的是Bell-LaPadula模型和Biba模型

强制访问控制系统通过比较主体和客体的安全标签来决定一个主体是否能够访问某个客体。

强制访问控制是系统独立于用户行为强制执行访问控制，它也提供了客体在主体之间共享的控制，但强制访问控制机制是通过对主体和客体的安全级别进行比较来确定授予还是拒绝用户对资源的访问，从而防止对信息的非法和越权访问，保证信息的保密性。

同时具有强制访问控制和自主访问控制属性的访问控制模型是Chinese wall

分布式访问控制是指用户要对特定的资源进行访问控制

基于PKI体系的认证模式明显属于集中式访问控制

PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术

软件加壳的全称是可执行程序资源压缩,是保护文件的常用手段。加“壳”其实是利用特殊的算法，对EXE、DLL文件里的资源进行压缩。类似WINZIP 的效果，只不过这个压缩之后的文件，可以独立运行，解压过程完全隐蔽，都在内存中完成。

软件保护技术中的软件加壳技术，也称为代码变形技术，可以实现对可执行文件的压缩或加密，从而改变可执行文件中的代码表现形式，使逆向分析人员对存储在硬盘上的文件难以进行静态逆向分析，同时增加动态分析的难度

代码混淆技术在保持原有代码功能的基础上，通过代码变换等混淆手段实现降低代码的人工可读性、隐藏代码原始逻辑的技术。代码混淆技术可通过多种技术手段实现，包括词法转换、控制流转换、数据转换。

渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。通渗透测试常评估方法是根据已知信息资产或其他被评估对象，去发现所有相关的安全问题。其对象主要是数据库的身份验证系统和服务监听系统

栈是一个后进先出的数据结构，在内存中的增长方向是从高地址向低地址增长

堆的生长方向是向上，也就是向内存增加的方向。栈相反

TCP是面向连接的协议，它要先建立网络连接，在此连接基础上再进行数据的传输，UDP协议是一个无连接的传输层协议，因此在数据传输方面不如TCP可靠性高，但发送端和接收端之间交互的信息少，开销小

各种消息认证或数字签名方法在功能上基本可看作有两层，下层中有某种产生认证码的函数，认证码是一个用来认证消息的值，产生认证码的函数类型通常有3类：消息加密、消息认证码(MAC)和哈希函数

消息认证是指验证所收到的消息确实来自真正的发送方，并且未被篡改的过程。要实现消息认证，产生认

信息系统安全保障涵盖以下3个方面：生命周期、保障要素和安全特征

恶意行为的监控方式主要有主机监测和网络监测

密码系统（即密码体制）通常由五个部分组成：消息空间、密文空间、密钥空间、加密算法、解密算法

网络嗅探器无论是在网络安全还是在黑客攻击方面均扮演了很重要的角色。通过使用网络嗅探器可以把网卡设置于混杂模式，并可实现对网络上传输的数据包的捕获与分析。

Bell-Lapadula安全模型也称为BLP模型，它利用“不上读/不下写”的原则来保证数据的保密性；

Biba模型利用“不下读/不上写”的原则来保证数据的完整性；

风险分析主要分为定量风险分析和定性风险分析

IPsec

IPsec由两大部分组成：（1）建立安全分组流的密钥交换协议；（2）保护分组流的协议。前者为互联网金钥交换（IKE）协议。后者包括加密分组流的封装安全载荷协议（ESP协议）或认证头协议（AH协议）协议，用于保证数据的机密性、来源可靠性（认证）、无连接的完整性并提供抗重播服务。

IPSec中的有三个主要协议，其中Internet密钥交换协议IKE是实现两台计算机之间的约定，IKE是一个混合协议，它使用到了三个不同协议的相关部分：安全关联和密钥交换协议ISAKMP，密钥确定协议Oakley和SKEME。所以通过Wireshark嗅探的前面10个数据包是ISAKMP协议的数据包。

智能模糊测试是通过将程序理解和模糊测试相结合的一种软件动态安全检测技术。

USB Key身份认证采用软硬件相结合、一次一密的强双因子认证模式。它是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码学算法实现对用户身份的认证，有两种应答模式：基于挑战/应答的认证模式和基于PKI体系的认证模式。

Nmap是一个网络连接端扫描软件，用来扫描网上电脑开放的网络连接端，并且推断计算机运行哪个操作系统。它只能用于端口扫描

ping命令在windows和UNIX/Linux操作系统中是默认安装的网络故障诊断命令，它是利用ICMP协议数据包判断目标主机是否开机，检测和本机之间网络链路是否连通

CC是国际标准化组织统一现有多种准则的结果，是目前最全面的评价准则。

CC将评估过程划分为功能和保证两部分，评估等级分为EAL1、EAL2、EAL3、EAL4、EAL5、EAL6和EAL7共七个等级。每一级均需评估7个功能类，分别是配置管理、分发和操作、开发过程、指导文献、生命期的技术支持、测试和脆弱性评估。

Web安全检测技术包括黑盒检测和白盒检测两种检测技术

软件静态安全检测技术包括词法分析、数据流分析、污点传播分析、符号执行、模型检查、定理说明等，其中符号执行技术是指在实际执行程序的前提下，将程序的输入表示成符号，根据程序的执行流程和输入参数的赋值变化，把程序的输出表示成包含这些符号的逻辑或算术表达式的一种技术

分组密码的工作模式主要有五种：

电子密码本（ECB）模式

密码分组链（CBC）模式

密码反馈（CFB）模式

输出反馈（OFB）模式

计数（CTR）模式

其中密码分组链（CBC）模式的明文要与前面的密文进行异或运算然后被加密，从而形成密文链

信息安全管理体系（ISMS）是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立基于系统、全面和科学的安全风险评估

在信息安全管理措施中，事故响应由4个阶段组成：计划、检测、反应和恢复

答疑：解析：信息安全管理体系审核，包括管理和技术两个方面的审核，

信息安全政策作为组织机构的信息安全的最高方针，必须形成书面文件，做到人手一份，并要对所有相关员工进程信息安全政策培训，对信息安全负有特殊责任的人员要进行特殊培训，以使信息安全方针真正根植于组织机构内所有员工的脑海并落实到实际工作中

信息安全风险评估的复杂程度取决于受保护的资产对安全的敏感程度和所面临风险的复杂程序，所采用的评估措施应与组织机构对信息资产风险的保护需求相一致，具有的风险评估方法：基本风险评估、详细风险评估、基本风险评估和详细风险评估相结合，共有三种

GB/T 18336《信息技术安全性评估准则》（CC）标准将评估过程划分为功能和保证两个部分

我国标准GB/T18336《信息技术安全性评估准则》等同采用ISO 15408标准

《信息系统安全保护等级划分准则》初稿于2005年5月完成，其中提出了定级的四个要素：信息系统所属类型、业务数据类型、信息系统服务范围和业务自动化处理程度

《保守国家秘密法》第二章第九条，涉及国家安全和利益的事项，泄露后可能损害国家在政治、经济、国防、外交等领域安全和利益的，应当确定为国家秘密

《商用密码管理条例》第二章第七条，商用密码产品由国家密码管理机构指定的单位生产。未经指定，任何单位或者个人不得生产商用密码产品

成立于1984年的全国信息技术安全标准化技术委员会（CITS），是目前国内最大的标准化技术委员会

中国信息安全测评中心英文名称：China Information Technology Security Evaluation Center

简称：CNITSEC

与信息安全标准化有关的主要组织有：

国际标准化组织（ISO）；国际电工委员会（IEC）；

国际电信联盟（ITU）；Internet工程任务组（IETF）等

DES密码结构基于一个称为Feistel网络的结构

单点登录技术提供一个更有效的用户登录流程，用户只需输入一次用户名和密码，就能访问到多个该用户所需要的资源，降低了用户名密码的记忆难度并减少了用户验证所需的时间，单点登录技术消除了多个系统中的用户密码进行同步时的风险。 Hotmail、yahoo、163等知名网站上是用的通行证技术和开源社区中的OpenID等都是用了单点登录技术。

现有的信息安全技术可以归纳为5类：

核心基础安全技术、安全基础设施技术、

基础设施安全技术、应用安全技术、支撑安全技术

信息安全管理的主要内容，包括信息安全管理体系、信息安全风险评估和信息安全管理措施三个部分。

不同的计算机其硬件结构和软件指令是不完全相同的，因此，中断系统也是不相同的。

计算机的中断系统能够加强CPU对多任务事件的处理能力。

中断机制是现代计算机系统中的基础设施之一，它在系统中起着通信网络作用（如进程与CPU通信），以协调系统对各种外部事件的响应和处理。

中断是实现多道程序设计的必要条件。

中断是CPU对系统发生的某个事件作出的一种反应。

引起中断的事件称为中断源。

中断源向CPU提出处理的请求称为中断请求。

发生中断时被打断程序的暂停点称为断点。

CPU暂停现行程序而转为响应中断请求的过程称为中断响应。

处理中断源的程序称为中断处理程序。

CPU执行有关的中断处理程序称为中断处理。

而返回断点的过程称为中断返回。

中断的实现实行软件和硬件综合完成，硬件部分叫做硬件装置，软件部分称为软件处理程序

如果一个缺陷不能被利用来干"原本"不能干的事（安全相关的），那么就不能被称为安全漏洞，所以安全漏洞必然和漏洞利用紧密联系在一起。漏洞利用的视角有：数据视角：访问本来不可访问的数据，包括读和写。这一条通常是攻击者的核心目的，而且可造成非常严重的灾难（如银行数据可被人写）。权限视角：主要为权限绕过或权限提升。通常权限提升都是为了获得期望的数据操作能力。可用性视角：获得对系统某些服务的控制权限，这可能导致某些重要服务被攻击者停止而导致拒绝服务攻击。认证绕过：通常利用认证系统的漏洞而不用受权就能进入系统。通常认证绕过都是为权限提升或直接的数据访问服务的。代码执行角度：主要是让程序将输入的内容作为代码来执行，从而获得远程系统的访问权限或本地系统的更高权限。这个角度是SQL注入、内存指针游戏类漏洞（缓冲区溢出、格式串、整形溢出等等）等的主要驱动。这个角度通常为绕过系统认证、权限提升、数据读取作准备的。

对于网络中不良信息监控的方法，主要包括：网络过滤技术、网页内容过滤技术、图像内容过滤方式

现代CPU通常运行在两种模式下：内核模式和用户模式，一般来说，操作系统应当运行在内核模式下，其他应用应当运行在用户模式下，在标准模型中，将CPU模式从用户模式转到内核模式的唯一方法是触发一个特殊的硬件自陷，如中断、异常、显示地执行自陷指令

哈希函数的应用有：消息认证、数字签名、口令的安全性、数据完整性。对于口令的完全性，由于哈希函数具有单向性的特征，因此在口令保护中应用非常广泛。通常，仅将口令的哈希值进行保存，进行口令校验的时候比对哈希值即可，即使攻击者获得了保存的哈希值，也无法计算出口令。典型的哈希函数有两类：消息摘要算法（Message Digest Algorithm，MD5）和安全散列算法（Secure Hash Algorithm，SHA）

哈希函数的特点有：压缩、易计算、单向性、抗碰撞性、高灵敏性，由于哈希函数是一种单向密码体制，即一个从明文到密文的不可逆映射。

与ECB一样，CBC的一个缺点是要求数据的长度是密码分组长度的整数倍，否则最后一个数据块将是短快，这时需要特殊处理；CBC模式除了用于加密大长度明文外，还常用于报文鉴别与认证。

消息认证是指验证所收到的消息确实来自真正的发送方，并且未被篡改的过程，它可以抵抗伪装、内容修改、顺序修改、计时修改等攻击

对称密码设计的主要思想是扩散和混淆。扩散将明文及密钥的影响尽可能迅速散布到较多个输出的密文中。混淆其目的在于使作用于明文的密钥和密文之间的关系复杂化，是明文和密文之间、密文和密钥之间的统计相关特性极小化，从而使统计分析攻击不能奏效。

对称密钥体制，根据对明文的加密方式的不同可分为分组密码和序列密码。分组密码 以一定大小作为每次处理的基本单元，而序列密码则是以一个元素（一个字母或一个比特）作为基本的处理单元。

RSA密码建立在大整数因式分解的困难性之上，ElGamal密码建立在离散对数的困难性之上。

密码技术是实现信息安全的核心技术。利用密码技术可以实现网络信息安全的机密性、完整性、抗否认性

高级加密标准在密码学中又称Rijndael加密法，由美国国家标准与技术研究院于2001年11月26日发布于FIPS PUB 197，并在2002年5月26日成为有效的标准

在20世纪90年代初提出了两种有效的对称密码的选择明文分析方法：差分分析和线性分析

PKI（Public Key Infrastructure)即"公钥基础设施"，是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。PKI是一系列基于公钥密码学之上，用来创建、管理、存储、分布和作废数字证书的一系列软件、硬件、人员、策略和过程的集合。

TACACS+ (Terminal Access Controller Access-Control System Plus)是一种为路由器、网络访问服务器和其他互联计算设备通过一个或多个集中的服务器提供访问控制的协议。所以并不是用户只需要一个接受或拒绝即可获得访问。

信息安全管理的任务是保证信息的使用安全，保证信息载体的运行安全，其目标是达到信息系统所需要的安全级别，将风险控制在可以接受的程度，信息安全的管理涉及五个层面，分别是：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理。

信息安全风险评估是从风险管理的角度，运用科学的手段，系统的分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，为防范和化解信息安全风险，或者将风险控制在可以接受的水平，制定有针对性的抵御威胁的防护对策和整改措施以最大限度的保障网络和信息安全提供科学依据。常用的方法是：基本风险评估、详细风险评估、两者相结合

GB/T 22239《信息系统安全等级保护基本要求》是信息安全等级保护相关系列标准之一，与本标准相关的系列标准，包括：
——GB/T AAAA-AAAA 信息安全技术、信息系统安全等级保护定级指南；
——GB/T CCCC-CCCC 信息安全技术、信息系统安全等级保护实施指南；

1994年，美国联邦政府颁布数字签名标准（Digital Signature Standard，DSS），

《电子签名法》第二十一条，电子认证服务提供者签发的电子签名认证证书应当准确无误，并应当载明下列内容：
1、电子认证服务提供者名称；
2、证书持有人名称；
3、证书序列号；
4、证书有效期；
5、证书持有人的电子签名验证数据；
6、电子认证服务提供者的电子签名；
7、国务院信息产业主管部门规定的其他内容；

《电子签名法》第十七条，提供电子提供服务，应当具备下列条件：
1、具有与提供电子认证服务相适应的专业技术人员和管理人员；
2、具有与提供电子认证服务相适应的资金和经营场所；
3、具有符合国家安全标准的技术和设备；
4、具有国家密码管理机构同意使用密码的证明文件；
5、法律、行政法规规定的其他条件；

《计算机信息系统安全保护等级划分准则》主要的安全考核指标有身份认证、自主访问控制、数据完整性、审计等

数据流测试技术是一种基于代码的白盒测试技术，它能提供充分的代码覆盖，通过分析软件代码中变量的取值变化和语句的执行情况，来分析数据处理逻辑和程序的控制流关系，从而分析软件代码的潜在安全缺陷。

特征码指的是：安全厂商已知的所有威胁的特征码，特征码查毒方案实际上是人工查毒经验的简单表述，它再现了人工辨识病毒的一般方法，采用了“同一病毒或同类病毒的某一部分代码相同”的原理，也就是说，如果病毒及其变种、变形病毒具有同一性，则可以对这种同一性进行描述，并通过对程序体与描述结果（亦即“特征码”）进行比较来查找病毒。它是最基本的杀毒技术。

现代CPU通常在两种模式下运行：内核模式，也称之为特权模式，在Intel x86系列中，称为核心层；用户模式，也称为非特权模式，或者用户层。

要使特权模式所提供的保护真正有效，那么普通指令就不能自由修改CPU的模式。在标准的模型中，将CPU模式从用户模式转到内核模式的唯一方法是触发一个特殊的硬件自陷，如
● 中断：一些外部硬件引发的，如I/O或者时钟
● 异常：如除数为零，访问非法的或者不属于该进程的内存
● 显式地执行自陷指令
与上述行为的处理过程基本相同：CPU挂起用户程序，将CPU模式改变为内核模式，查表(如中断向量表)以定位处理过程，然后开始运行由表定义的操作系统代码。

根据《信息安全等级保护管理办法》，信息系统的五个安全保护等级为：
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或对社会秩序和公共利益造成损害，但不损害国家安全。
第三极，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

《中华人民共和国保守国家秘密法》第十四条机关、单位对所产生的国家秘密事项，应当按照国家秘密及其密级的具体范围的规定确定密级，同时确定保密期限和知悉范围

我国的信息安全保障体系建设于2003年9月，中央颁布的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发27号文件）提出要在5年内建设中国信息安全保障体系。

数字证书内容包括：证书序列号、证书持有者名称、证书颁发者名称、证书有效期、公钥、证书颁发者的一系列数字签名，是数字签名。

数字签名是非对称密钥加密技术与数字摘要技术的综合应用

从密钥信息的交换方式来看，可以将密钥分配分为三类：人工密钥分发、基于中心的密钥分发和基于认证的密钥分发

在基本安全管理措施中，访问控制依赖于四个原则：身份标识、验证、授权和责任衡量

windows操作系统中，配置IPSec时支持三种身份验证方法：

第一种是Active Directory默认值（Kerberos V5协议）；

第二种是利用CA颁发的数字证书进行身份验证；

第三种是两台计算机之间设置一个预共享密钥，两台计算机的预共享密钥必须相同，才能完成身份验证。

层次信任模型：层次信任模型是实现最简单的模型，使用也最为广泛。

建立层次信任模型的基础是所有的信任用户都有一个可信任根。

所有的信任关系都基于根来产生。层次信任模型是一种双向信任的模型。

层次信任模型适用于孤立的、层状的企业，对于有组织边界交叉的企业，要应用这种模型是很困难的。另外，在层次信任模型的内部必须保持相同的管理策略。

层次信任模型主要使用在以下三种环境：
（1）严格的层次结构；
（2）分层管理的PKI商务环境；
（3）PEM（Privacy-Enhanced Mail，保密性增强邮件）环境。

对信息资产进行分类的目的是便于在处理信息时指明保护的需求、优先级和期望程度。分类数据的管理包括这些数据的存储、分布移植及销毁。

国家信息安全漏洞共享平台CNVD（China National Vulnerability Database）是CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系

Kerberos协议支持双向的身份认证；通过交换跨域密钥实现分布式网络环境下的认证；AS和TGS是集中式管理，容易形成瓶颈；Kerberos协议身份认证采用的是对称加密机制

恶意程序会修改被感染计算机的 Hosts文件，利用虚假IP地址的映像劫持技术来屏蔽被感染计算机与安全站点之间的连接

Feistel网络（又称为Feistel结构）是由Horst Feistel在设计Lucifer分组密码时发明的，并被DES、FEAL、Twofish、RC5等算法使用；AES算法在整体结构上采用的是代换-置换SP网络组成的圈函数，多圈迭代，而非Feistel网络结构。

常用的认证协议包括：基于口令的认证协议、基于对称密码的认证协议和基于公钥密码的认证协议

OCSP(在线证书状态协议)是维护服务器和其它网络资源安全性的两种普遍模式之一。OCSP克服了证书注销列表（CRL）的主要缺陷：必须经常在客户端下载以确保列表的更新。当用户试图访问一个服务器时，在线证书状态协议发送一个对于证书状态信息的请求。服务器回复一个“有效”、“过期”或“未知”的响应。协议规定了服务器和客户端应用程序的通讯语法。在线证书状态协议给了用户的到期的证书一个宽限期，这样他们就可以在更新以前的一段时间内继续访问服务器。

逆向地址转换协议（RARP）的功能与ARP协议相似，只不过RARP协议是用于MAC地址向IP地址转换的

跨站点请求伪造攻击（Cross Site Request Forgery， CSRF）属于伪造客户端请求的一种攻击方式

80端口通常提供给应用层的http协议使用，普通防火墙无法检测通过80端口传递的数据，需要部署专用的Web防火墙，这是因为专用的Web防火墙比普通防火墙增加了对应用层的过滤，

公钥证书方式是指用户通过公钥证书交换自己的公钥而无须与公钥管理机构联系，公钥证书和证书管理机构（Certification Authority，CA）为用户建立。用户可将自己的公开密钥通过公钥证书发给另一用户，接收方可用CA的公钥对证书加以验证。

电子认证服务提供者拟暂停或者终止电子认证服务的，应当在暂停或者终止服务六十日前向国务院信息产业主管部门报告，并与其他电子认证服务提供者就业务承接进行协商，作出妥善安排。

RADIUS即拨号用户远程认证服务，是一个网络协议，属于集中式访问控制技术，提供集中式AAA管理，它是一个客户端/服务器协议，运行在应用层，使用UDP协议，它允许RADIUS服务器支持多种用户的身份验证方法

地址解析协议，即ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。其功能是：主机将ARP请求广播到网络上的所有主机，并接收返回消息，确定目标IP地址的物理地址，同时将IP地址和硬件地址存入本机ARP缓存中，下次请求时直接查询ARP缓存。

地址解析协议是建立在网络中各个主机互相信任的基础上的，网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记录在本地的ARP缓存中，这样攻击者就可以向目标主机发送伪ARP应答报文，使目标主机发送的信息无法到达相应的主机或到达错误的主机，构成一个ARP欺骗。ARP命令可用于查询本机ARP缓存中IP地址和MAC地址的对应关系、添加或删除静态对应关系

逆向地址转换协议（RARP）的功能与ARP协议相似，只不过RARP协议是用于MAC地址向IP地址转换的

桥证书认证机构信任模型具有良好的适应性，可支持多种不同类型的证书认证机构系统相互传递信任关系，这也是目前这种模型在国内外应用较广泛的原因

入侵检测系统（IDS）只能对网络行为进行检测，而入侵防御系统（IPS）同时具有在应用层进行防护功能以及入侵检测功能

根据入侵检测系统检测入侵行为的方式和原理的不同，IDS的检测技术可以分为基于异常检测型入侵检测系统和误用检测型入侵检测系统

IDS入侵检测可根据入侵行为的方式和原理分为基于统计分析原理的异常检测和基于模式匹配原理的误用检测。

按入侵检测所采用的技术方法又可将IDS的异常检测技术细分为下面四种方法：

一是基于用户行为概率统计模型的入侵检测方法；

二是基于神经网络的入侵检测方法；

三是基于专家系统的入侵检测技术；

四是基于模型推理的入侵检测技术；

其中概率统计模型、基于专家系统的入侵检测、基于模型推理的入侵检测技属于统计分析方法。其中前两种为主要方法。

污点传播分析技术是通过分析代码中输入数据对程序执行路径的影响，以发现不可信的输入数据导致的程序执行异常

软件开发的设计阶段，安全设计原则有：最小权限原则、开放设计原则、全面防御原则、权限分开原则、最少公用原则、心理接受性、代码重用性、充分考虑软件运行环境、选择安全的加密算法、充分考虑不安全条件、失效防护

中国可信平台与TCG可信平台的差异体现在它们使用了不同的可信平台模块，TCG可信平台使用了TPM，而中国可信平台使用了可信密码模块TCM。

Trusted Platform Module（TPM）称为可信平台模块，属于可信计算技术规范的一种，是可信计算平台的信任根，是可信计算的关键技术之一

用户接口是为方便用户使用计算机资源所建立的用户和计算机之间的联系，包括作业级接口和程序级接口。

TCG可信计算系统结构可划分为三个层次，分别为可信平台模块、可信软件栈和可信平台应用软件。

ISO/IEC JTC1负责制定的标准主要是开放系统互连、密钥管理、数字签名、安全评估等方面的内容

一个审计系统通常由三部分组成：日志记录器、分析器、通告器，分别用于收集数据、分析数据及通报结果。

灾难恢复中，有些选项可用于恢复持续性之外的其他意图，这些选项包括：

电子拱桥：其中电子拱桥是把大批数据转移到站外设备上

远程日志：远程日志是把实时交易转移到站外设备上

数据库镜像：数据库镜像改进了远程日志过程，不只处理完全相同的实时数据存储，而且把远程站点的数据库复制到多个服务器上

EIP寄存器里存储的是CPU下次要执行的指令的地址，也就是函数调用完返回的地址；

EBP寄存器里存储的是是栈的栈底指针，通常叫栈基址；

ESP寄存器里存储的是在调用函数fun()之后，栈的栈顶。

SMTP协议是简单邮件传输协议，它的主要作用是将电子邮件发送到邮件服务器，属于电子邮件系统的重要协议，它在传输层基于TCP协议，在25端口提供网络服务

NTLDR全称是NT Loader，是系统加载程序，是一个隐藏的、只读的系统文件，位置在系统盘的根目录，用来装载操作系统。NTLDR一般存放于C盘根目录下，它的主要职责是解析Boot.ini文件。

WebShell就是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。因此与被控制的服务器通过80端口传递交互的数据。

通过对日志进行分析，发现所需事件信息和规律是安全审计的根本目的

填空题

国家秘密的保密期限，除另有规定外，机密级不超过20年

1977年，美国联邦政府颁布数据加密标准（DES），这是密码史上的一个创举，为加密算法的标准化奠定了基础。

密码分组链模式（CBC）是一种分组密码的工作模式，明文要与前面的密文进行异或运算然后被加密，从而形成密文链；每一分租的加密都依赖于所有前面的分组；在处理第一个明文分组时，与一个初始向量（IV）组进行异或运算，IV不需要保密，它可以明文形式与密文一起传送；CBC模式除了用于加密大长度明文外，还常用于报文鉴别与认证

密钥种类有很多，其中由用户选出或由系统分配给用户的可在较长时间（相对于会话密钥）内用户所专用的秘密密钥，称为用户密钥，又称为基本密钥或初始密钥

密码分析学中有4种典型的密码攻击：唯密文攻击、已知明文攻击、选择明文攻击、选择密文攻击，其中唯密文攻击是最容易防范的，因为攻击者拥有的信息量最少，选择密文攻击是最难防范的。

技术和管理层面的良好配合，是组织机构实现网络与信息安全系统的有效途径

软件产品的攻击面包括一个软件可能遭受外来攻击的所有攻击点，包括代码、网络接口、服务和协议

数据流分析技术是通过分析软件代码中变量变化和语句的执行情况，来分析数据处理逻辑和程序的控制流关系，从而分析软件代码的潜在安全缺陷

模糊测试属于软件动态安全测试技术

栈指针寄存器esp用于存放栈顶指针

处于所有根CA的中心，与所有CA系统之间建立对等的信任关系，并实现信任传递的CA被称为桥CA

由于网络信息量十分巨大，仅依靠人工的方法难以应对网络海量信息的收集和处理，需要加强相关信息技术的研究，即网络舆情分析技术

审计就是对日志记录的分析，并以清晰的、能理解的方式表述系统信息

消息加密本身提供了一种认证手段，其中整个消息的密文作为认证码

产生认证码的函数类型通常有三类，消息加密，消息认证码和哈希函数

无论是对称密码还是非对称密码，其安全性实际取决于对密钥的安全保护

传统对称密码加密时所使用的两个技巧是：代换和置换

20世纪60年代末，美国出现了第一个计算机网络ARPAnet

应当在专用VPN中传递国家秘密

访问控制主要可以分为三类，预防性的访问控制，探查性的访问控制，纠正性的访问控制。按照实现方法，访问控制可分为行政性访问控制，逻辑/技术性访问控制，物理性访问控制

风险分析主要分为定量风险分析和定性风险分析

栈帧地址的分配动态变化时，jmp esp可以使新的返回地址定位到shellcode起始地址

利用ICMP协议进行扫描时，IP地址可以被扫描到

USB Key的身份认证的认证模式有挑战/应答模式和基于PKI体系的认证模式

信息安全的管理涉及五个层面，分别是物理安全，网络安全，主机安全，应用安全以及数据安全

端口扫描时，隐蔽性最高的扫描方式是TCP FIN扫描

MD5算法首先将任意长度的消息填充为512的倍数然后进行处理

Windows有三个环境子系统，Win32,POSIX,OS/2。win32子系统必须始终处于运行状态

动态污点分析，模糊测试，智能模糊测试都属于软件动态安全检测技术。对源代码的检测，模型检验属于软件静态安全检测技术。词法分析是计算机科学中将字符序列转换为单词序列的过程

特征检测又称误用检测，主要有五种方法，基于专家系统，模型推荐，状态转换，条件概率，键盘监控

网状信任模型，层次信任模型，桥证书认证机构信任模型都属于PKI信任模型。链状信任模型不属于PKI信任模型

SSL协议为应用层提供了加密，身份认证和完整性验证的保护

Internet安全协议(IPsec)是由互联网工程任务组提供的用于保障Internet安全通信的一系列规范。支持IPv4协议和IPv6协议

SSO，Kerberos，SESAME都属于分布式访问控制方法，RADIUS属于集中式

RADIUS是一个客户端/服务器端协议，它运行在应用层，使用UDP协议，它的审计独立于身份验证和授权服务，审计服务使用一个独立的UDP端口进行通讯，不能很好的提供完备的丢包处理及数据重传机制。

在Windows系统中，查看当前已经启动的服务列表的命令是net start

文件系统是一种数据链表，用来描述磁盘上的信息结构，并支持磁盘文件的取出和写回，在安装系统之前总是会先将存储盘格式化成某种文件系统格式

TCP，ICMP，UDP均会被DoS攻击，IPSec无法被DoS攻击

非对称加密算法又名为公开密钥加密算法，对称加密算法名为非公开密钥加密算法。

非对称密钥加密算法复杂，在实际应用中不适合数据加密

目前的认证技术有用对用户的认证和对消息的认证两种方式。数字签名，又称公钥数字签名，电子签章，是一种类似写在纸上的普通的物理签名，但是使用了公钥加密领悟的技术实现，用于鉴别数字信息的方法，数字签名不能用于产生认证码

计算机系统安全评估的第一个正式标准是TCSEC

TCSEC将计算机系统的安全划分为四个等级七个级别

签署电子签名时电子签名制作数据仅有电子签名人控制

提出软件安全开发生命周期SDL模型的公司是微软

代码混淆技术包括词法转换，控制流转换，数据转换。不属于代码混淆技术的是语法转换

漏洞转换三要素，漏洞是计算机系统本身存在的缺陷，漏洞的存在和利用都有一定的环境要求，漏洞存在的本身是没有危害的。漏洞在计算机系统中不可避免不属于漏洞定位三要素

操作系统所使用的缓冲区又被称为 堆栈 。不属于缓冲区溢出的是整数溢出

在信息安全事故响应中，必须采取的措施中包括 建立清晰的优先次序。清晰的指派工作和责任，对灾难进行归档。不包括保护物理资产。

系统开发分为五个阶段 ，规划，分析，设计，实现和运行。

任何系统都会经历一个发生，发展和消亡的过程

在信息安全管理中的控制策略实现后就应该对控制效果进行监控和衡量，从而来确定安全控制的有效性，并估计残留风险的准确性，整个安全控制是一个循环过程不会终止，并不能减少这方面的预算

并不是所有的组织都需要进行认证。认证可以建立信任度而已

涉密信息系统建设使用单位将保密级别分为三级，秘密，机密和绝密

基本安全要求中基本技术要求从五个方面提出，物理安全，网络安全，主机安全，应用安全，数据安全及备份恢复。没有路由安全

应急三要素是事件响应，灾难恢复，业务持续性计划。基本风险评估预防风险，而应急计划是当风险发生时采取的措施

ESP协议可以对应用层协议，传输层协议，网络层协议进行封装，但是不能对链路层协议进行封装

HTTPS是以安全为目标的HTTP通道，即HTTP下加入SSL层，SSL是HTTPS的安全基础。用户认证的请求通过加密信道进行传输的是HTTPS

AH协议用于保证数据包的完整性和真实性，考虑到计算效率，AH没有采用数字签名而是采用了安全哈希算法来对数据包进行保护。它具有的功能是数据完整性鉴别

windows系统中，修改了日志文件的存放目录后，日志还是可以被清空的，可以通过修改日志文件访问权限，以防止日志信息被清空，但是前提是windows系统要采用NTFS文件系统格式

windows系统中，权限适用于对特定对象如目录和文件（只适用于NTFS卷）的操作，指定允许哪些用户可以使用这些对象，以及如何使用（如把某个目录的访问权限授予指定的用户），其中List权限级别可以查看目录中的子目录和文件名，也可以进入其子目录

Trusted Platform Module（TPM）称为可信平台模块，属于可信计算技术规范的一种，是可信计算平台的信任根，是可信计算的关键技术之一

有服务发现、渗透测试、内部安全检测、安全特性分析及检测工具属于数据库静态安全防护

网络端口和网络服务程序是一一对应的,网络21端口对应FTP服务;23端口对应TELNET服

网络嗅探是通过网络嗅探工具获得目标计算机网络传输的数据包，对数据包按照协议进行还原和分析，从而获得目标计算机传输的大量信息；ESP协议为基于IPSec的数据通信提供了安全加密、身份认证和数据完整性鉴别这三种安全保护机制；SSL协议为传输层之上的应用层提供了加密、身份认证和完整性验证的保护；SSH协议可以把所有传输的数据进行加密；AH协议为IP数据包提供了数据完整性校验、数据源身份验证等服务功能，但不提供数据的加密保护，综上，可以防范网络嗅探协议的有ESP、SSL、SSH，

根据防火墙组成形式的不同，可以将防火墙分为软件防火墙和硬件防火墙，硬件防火墙以网络硬件设备的形式出现，按照其硬件平台的不同又分为X86架构的防火墙、ASIC架构的防火墙、NP架构的防火墙

文件完整性检验主要用于基于主机的入侵检测系统（Host based IDS，HIDS），它是对计算机中文件的完整性进行前后比较，发现被篡改的系统文件。

根据入侵检测系统检测入侵行为的方式和原理的不同，可以分为误用检测型/入侵检测系统和异常检测型/入侵检测系统，其中，误用检测型入侵检测系统收集攻击行为和非正常操作的行为特征，建立相关的特征库。当检测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵。这种检测技术对于已知的攻击类型非常有效，而对攻击的变种和新的攻击几乎无能为力

协议为IP数据包提供了数据完整性检验、数据源身份验证等服务功能，AH协议中两个应用最普遍的完整性检验算法是MD5和SHA-1；ESP协议对IP层及其上层应用协议进行封装，并进行加密或者认证处理，从而实现对数据的机密性和完整性保护，ESP采用的主要加密标准是DES和3DES，加密算法是MD5，SHA-1。

IKE协议负责两个IPSec对等体之间协商相关安全参数，包括协商协议参数、交换公共密钥、对双方进行认证以及在交换安全参数后对密钥的管理。IKE协议属于混合协议，由3个协议组成：ISAKMP、Oakley、SKEME；IKE创建再ISAKMP协议定义的框架上，沿用了Oakley的密钥交换模式和SKEME的共享密钥和密钥组成技术。由于IKE是建立在ISAKMP框架上，所以也使用两阶段协商安全参数，第一阶段交换IKE SA，主要通过两种模式实现；第二阶段利用第一阶段建立的安全关联来创建其他协议的安全关联，用于IPSec协议时，创建IPSec SA。

如果通过Wireshark捕获IPSec的前面10个数据包，这10个数据包是ISAKMP协议数据包，包括ISAKMP第一阶段主模式（Main Mode）的6个数据包和第二阶段快速模式（Quick Mode）的4个数据包。

无论是对称密码还是非对称密码，其安全性实际取决于对密钥的安全保护

桥证书认证机构处于所有根证书认证机构的中心，桥整数认证是一个单独的证书认证机构（CA），它与所有证书认证机构系统之间建立对等的信任关系，这些信任关系被结合起来通过桥证书认证机构实现了信任的传递

软件产品的攻击面包括一个软件可能遭受外来攻击的所有攻击点，包括代码、网络接口、服务和协议。

信息安全保障工作内容：确定安全需求、设计和实施安全方案、进行信息安全评测、实施信息安全监控

TCP数据包中，ACK标志位说明确认序列号字段有效；PSH标志位表示请求接收端主机尽快将数据包交付应用层；FIN标志位用于释放TCP链接；SYN标志位说明建立一个同步连接

入侵防御系统（IPS）具有在应用层进行防护功能以及入侵检测功能，

SSL协议包括两层协议：记录协议和握手协议，其中握手协议的作用是建立安全连接，在客户和服务器传送应用层数据之前，负责完成诸如加密算法和会话密钥的协商以及通信双方身份验证等功能。

A类IP地址范围：0.0.0.0~127.255.255.255
B类IP地址范围：128.0.0.0~191.255.255.255
C类IP地址范围：192.0.0.0~223.255.255.255
D类IP地址范围：224.0.0.0~239.255.255.255

网络地址翻译技术（Network Address Translation，NAT）能够将单位内网使用的内部IP地址翻译为合法的公网IP地址，这使内网使用内部IP地址的计算机无需变动也能够与外网连接。

防火墙所具备的网络地址翻译技术（NAT）根据映射方式不同而分为3种类型：

静态NAT、NAT池和端口、地址转换PAT

1972年，Anderson带领的小组完成了著名的Anderson报告，这个报告可以看做是计算机安全发展的里程碑，其中提出了计算机安全的主要问题以及相关的范型

《计算机信息系统安全保护等级划分准则》标准规定了计算机信息系统安全保护能力的五个等级，即

第一级:用户自主保护级

第二级:系统审计保护级

第三级:安全标记保护级

第四级:结构化保护级

第五级:访问验证保护级

本标准适用于计算机信息系统安全保护技术能力等级的划分.

计算机信息系统安全保护能力随着安全保护等级的增高,逐渐增强.

在编程过程中，需要系统完成特定的功能时，可以通过调用系统中特定的子程序完成，这就是系统调用；

当用户身份被确认合法后，赋予该用户进行文件和数据等操作权限的过程称为授权

加密算法

安全散列算法SHA的摘要长度为160位

消息摘要算法MD5的摘要长度为128位，所以SHA所产生的摘要比MD5长32位

消息摘要算法MD5可以对任意长度的明文产生128位的消息摘要

在网络通信环境中，可以抵抗伪装、内容修改、顺序修改、计时修改的方法一般称为消息认证。

消息加密可以抵抗泄密、传输分析攻击；

数字签名可以抵抗发送方否认、接收方否认的攻击。

对称加密属于消息加密的一种

DES加密算法

DES加密算法是一种分组密码，以64位为分组对数据加密，它的密钥长度是56位，加密解密用同一算法。DES加密算法是对密钥进行保密，而公开算法，包括加密和解密算法。这样，只有掌握了和发送方相同密钥的人才能解读由DES加密算法加密的密文数据。因此，破译DES加密算法实际上就是搜索密钥的编码。对于56位长度的密钥来说，如果用穷举法来进行搜索的话，其运算次数为256。

随着计算机系统能力的不断发展，DES的安全性比它刚出现时会弱得多，然而从非关键性质的实际出发，仍可以认为它是足够的。不过，DES现在仅用于旧系统的鉴定，而更多地选择新的加密标准。

AES加密算法

AES加密算法是密码学中的高级加密标准，该加密算法采用对称分组密码体制，密钥长度的最少支持为128、192、256，分组长度128位，算法应易于各种硬件和软件实现。这种加密算法是美国联邦政府采用的区块加密标准，这个标准用来替代原先的DES，已经被多方分析且广为全世界所使用。

AES加密算法被设计为支持128／192／256位（/32=nb)数据块大小（即分组长度）；支持128／192／256位（/32=nk)密码长度，，在10进制里，对应34×1038、62×1057、1.1×1077个密钥。

RSA加密算法

RSA加密算法是目前最有影响力的公钥加密算法，并且被普遍认为是目前最优秀的公钥方案之一。RSA是第一个能同时用于加密和数宇签名的算法，它能够抵抗到目前为止已知的所有密码攻击，已被ISO推荐为公钥数据加密标准。RSA加密算法基于一个十分简单的数论事实：将两个大素数相乘十分容易,但那时想要对其乘积进行因式分解却极其困难，因此可以将乘积公开作为加密密钥。

Base64加密算法

Base64加密算法是网络上最常见的用于传输8bit字节代码的编码方式之一，Base64编码可用于在HTTP环境下传递较长的标识信息。例如，在JAVAPERSISTENCE系统HIBEMATE中，采用了Base64来将一个较长的唯一标识符编码为一个字符串，用作HTTP表单和HTTPGETURL中的参数。在其他应用程序中，也常常需要把二进制数据编码为适合放在URL（包括隐藏表单域）中的形式。此时，采用Base64编码不仅比较简短，同时也具有不可读性，即所编码的数据不会被人用肉眼所直接看到。

MD5加密算法

MD5为计算机安全领域广泛使用的一种散列函数，用以提供消息的完整性保护。对MD5加密算法简要的叙述可以为：MD5以512位分组来处理输入的信息，且每一分组又被划分为16个32位子分组，经过了一系列的处理后，算法的输出由四个32位分组组成，将这四个32位分组级联后将生成—个128位散列值。

MD5被广泛用于各种软件的密码认证和钥匙识别上。MD5用的是哈希函数，它的典型应用是对一段信息产生信息摘要，以防止被篡改。MD5的典型应用是对一段Message产生fingerprin指纹，以防止被“篡改”。如果再有—个第三方的认证机构，用MD5还可以防止文件作者的“抵赖”，这就是所谓的数字签名应用。MD5还广泛用于操作系统的登陆认证上，如UNIX、各类BSD系统登录密码、数字签名等诸多方。

SHA1加密算法

SHA1是和MD5一样流行的消息摘要算法。SHA加密算法模仿MD4加密算法。SHA1设计为和数字签名算法（DSA）一起使用。

SHA1主要适用于数字签名标准里面定义的数字签名算法。对于长度小于2“64位的消息，SHA1会产生一个160位的消息摘要。当接收到消息的时候，这个消息摘要可以用来验证数据的完整性。在传输的过程中，数据很可能会发生变化，那么这时候就会产生不同的消息摘要。SHA1不可以从消息摘要中复原信息，而两个不同的消息不会产生同样的消息摘要。这样，SHA1就可以验证数据的完整性，所以说SHA1是为了保证文件完整性的技术。

SHA1加密算法可以采用不超过264位的数据输入，并产生一个160位的摘要。输入被划分为512位的块，并单独处理。160位缓冲器用来保存散列函数的中间和最后结果。缓冲器可以由5个32位寄存器（A、B、C、D和E）来表示。SHA1是一种比MD5的安全性强的算法，理论上，凡是采取“消息摘要”方式的数字验证算法都是有“碰撞”的——也就是两个不同的东西算出的消息摘要相同，互通作弊图就是如此。但是安全性高的算法要找到指定数据的“碰撞”很困难，而利用公式来计算“碰撞”就更困难一目前为止通用安全算法中仅有MD5被破解。

加密算法是密码技术的核心，以上这些加密算法是常用的加密算法，而这些算法有些已经遭到破译，有些安全度不高，有些强度不明，有些待进—步分析，有些需要深入研究，而神秘的加密算法世界，又会有新的成员加入，期待更安全的算法诞生。

网络攻击

会话劫持就是攻击者窃取用户SessionID后，使用该SessionID登录进入目标账户的攻击方法，此时攻击者实际上是利用了目标账户的有效Session。

如果SessionID是被保存在Cookie中，则这种攻击被称为Cookie劫持

恶意程序检测查杀技术主要包括：特征码查杀、启发式查杀、基于虚拟机技术的行为判定以及主动防御等

在实施攻击之前，需要做大量的调试工作，包括了解存在缓冲区溢出漏洞的程序有几个输入参数，哪个输入参数会造成缓冲区的溢出，如何构造输入参数的长度和内容，以便使缓冲区的偏移距离恰好能够覆盖返回地址，并将攻击者构造的可执行shellcode代码的地址写入到返回地址。这个根据软件漏洞具体条件，构造相应输入参数的shellcode代码，最终实现获得程序控制权的过程，就是漏洞利用，一般用exploit来表示

木马不会自我繁殖，也不会刻意的去感染其他文件

SQL注入攻击是利用服务器端漏洞进行的攻击

网络漏洞扫描工具不可以扫描微软Word软件的漏洞

BitBlaze采用软件动静结合安全检测技术

加壳欺骗不属于恶意程序传播方法

ARP欺骗分为两种，一种是对路由器ARP表的欺骗，路由器ARP欺骗的原理是截获网关数据；另一种是对内网PC的网关欺骗。第二种ARP欺骗的原理是伪造网关。网站挂马，网站钓鱼，社会工程都属于诱骗式攻击

软件漏洞网络攻击框架性工具是Metasploit

OWASP的十大安全威胁排名，第一位是注入式风险，第二位跨站脚本攻击，第三位无限的认证及会话管理功能，第十位是未经验证的重新指向及转发

缓冲区溢出漏洞是由于向程序的缓冲区中输入的数据超过其规定长度，破坏程序正常堆栈，使程序执行其他指令

渗透测试的对象主要是数据库的身份验证系统和服务监听系统

泄密和传输分析这两种攻击和方法属于消息保密性范畴，不能通过消息认证技术解决

UAF(Use After Free)类漏洞，即引用了已经释放的内存，例如，内存地址对象破坏性调用的漏洞

微软公司漏洞分为，第一级:紧急，第二级:重要，第三级:警告，第四级:注意

软件漏洞危险等级主要分为“紧急”、“重要”、“警告”、“注意”这四个等级，其中最高等级为“紧急”。

数组越界漏洞往往会引起内存的泄露，所以黑客会通过构造超出数组范围的索引值，实现对任意内存地址进行读写操作，实现攻击。

蠕虫是指可以通过网络等途径，自动将自身的全部代码或部分代码通过网络复制、传播给其他网络中计算机的完全独立可运行程序

网站挂马是指网站中的网页被攻击者恶意修改后，添加了可以触发并下载恶意程序的链接以及恶意代码和脚本。网站挂马的前提是攻击者成功入侵网站服务器，具有了网站中网页的修改权限；用户计算机的浏览器或相关软件模块存在可利用漏洞；同时用户访问了挂马的网站