信息安全技术

文本为计算机3级科目考试《信息安全技术》大纲考试内容，遵循该导图内容进行辅助学习，助力你通过计算机叁级考试！ "网络安全核心技术解析：从密钥管理到风险防控！ 本文概述中心化单点登录（KDC）的密钥协商机制，保障不安全信道下的数据加密详解TNC双因素认证与动态访问控制技术，结合深度包检测实现主动防御探讨微软SDL开发模型与OWASP社区标准，分析木马C/S架构的攻击原理涵盖BitBlaze叁大组件（TEMU/VINE/Rudder）及拨号认证系统，呈现从加密算法到终端控制的完整防护链条" 。

InfoSEC模型泛化

• 全国计算机等级考试三级信息安全 CSDN 信息安全笔记：https://blog.csdn.net/qq_45418203/article/details/133974473
• 基本要求
  • １． 了解信息安全保障工作的总体思路和基本实践方法
  • ２． 掌握信息安全技术的基本概念、原理、方法和技术
  • ３． 熟练掌握计算机网络安全、系统软件安全和应用软件安全的基本知识和实践技能
  • ４． 掌握信息安全设备的安装、配置和使用的基本方法
  • ５． 了解信息系统安全设施部署与管理基本技术
  • ６． 了解信息安全风险评估和等级保护原理与方法
  • ７． 了解信息安全相关的标准、法律法规和道德规范
• 内容
  • 一、信息安全保障概述
    • 信息安全保障背景
      • 信息技术及其发展阶段
        • 第一阶段，电讯技术的发明； 第二阶段，计算机技术的发展； >>:计算机之父冯·诺依曼等提出了"存储程序通用电子计算机方案"--EDVAC。1946年2月14日,世界上第一台现代电子计算机"埃尼阿克(ENIAC)"诞生于美国宾夕法尼亚大学。现代计算 第三阶段，互联网的使用 >>20世纪60年代末,美国出现了第一个用于军事目的的计算机网络ARPAnet。ARPAnet研究产生的一项非常重孕要的成果就是TCP/IP协议(Transmission Control Protocol/Internet Protocol),即传输控制协议/互联协议,使得连接到网络上的所有计
      • 信息技术的影响
        • 积极：社会发展，科技进步，人类生活 消极：信息泛滥，信息污染，信息犯罪
    • 信息安全保障基础
      • 信息安全发展阶段
        • 通信保密阶段（20世纪四十年代）：机密性，密码学
        • 计算机安全阶段（20世纪六十和七十年代）：机密性、访问控制与认证，公钥密码学（DiffieHellman，DES），计算机安全标准化（安全评估标准）
        • 信息安全保障阶段：信息安全保障体系，
          • PDRR模型：保护（protection）、检测（detection）、响应(response)、恢复（restore），
          • 我国PWDRRC模型：保护、预警（warning）、监测、应急、恢复、反击（counter-attack），
          • BS/ISO 17799标准（有代表性的信息安全管理体系标准）：信息安全管理实施细则、信息安全管理体系规范
      • 信息安全的含义
        • 一是运行系统的安全， 二是系统信息的安全：口令鉴别、用户存取权限控制、数据存取权限方式控制、审计跟踪、数据加密等
        • 信息安全的基本属性:
          • 机密性：网络信息不泄露给非授权的用户 ;即保证机密信息不被窃听,或窃听者不能了解信息的真实含义
          • 完整性：未经授权不能改的特性 ;即保证数据的一致性,防止数据被非法用户篡改
          • 可用性：可以及时获取网络信息和服务的特性
          • 可控性：责任主体对网络信息系统具有管理、支配的能力（可管理、可支配）
          • 抗抵赖性（不可否认性）：防止用户否认其活动行为的特性
          • 信息安全的（目标/三要素）CIA：机密性、可用性、完整性
      • 信息系统面临的安全风险
        • 信息泄露、破坏信息的完整性、拒绝服务 、非授权访问、授权侵犯、业务流分析、窃听、物理侵入、恶意代码、假冒和欺骗、抵赖、重放攻击、陷阱门、媒体废弃、人员不慎
      • 信息安全问题产生根源
        • 信息安全内因:信息系统的复杂性 1. 组成网络的通信和信息系统的自身缺陷 2. 互联网的开放性 信息安全外因:人与环境的威胁 1. 人为原因 2. 自然环境原因
      • 信息安全的地位和作用
        • (1)信息安全是网络时代国家生存和民族振兴的根本保障 (2)信息安全是信息社会健康发展和信息革命成功的关键因素 (3)信息安全是网络时代人类生存和文明发展的基本条件
      • 信息安全技术
        • 网络信息安全的基本功能：防御、监测、应急、恢复
          • 防御：采取各种措施，使网络系统具备阻止、抵御各种网络安全威胁的功能。
          • 监测：采取各种措施检测发现各种已知或者未知的网络安全威胁的功能。
          • 应急：针对网络中的突发事件，具有及时响应和处置网络攻击的能力。
          • 恢复：对已经发现的网络灾害事件，具备恢复网络系统运行的功能
        • 国家密码分类：绝密、机密、秘密
          • 密码分为：普通密码、核心密码、商用密码
          • 核心密码：用于保护国家绝密、机密、秘密级别信息
          • 普通密码：用于保护国家机密、秘密级别信息
          • 商用密码：人人可用的密码
        • 网络信息安全的基本技术：
          • 核心基础安全技术：密码技术
          • 安全基础设施技术：标识与认证技术，授权与访问控制技术
          • 基础设施安全技术：主机系统安全技术，网络系统安全技术
          • 应用安全技术：网络与系统安全攻击技术，网络与系统安全防护与响应技术，安全审计与责任认定技术，恶意代码监测与防护技术
          • 支撑安全技术：信息安全评测技术，信息安全管理技术
            • 信息安全评测流程
              • 受理申请、静态评测、现场评测、风险分析
              • 信息安全监控的流程
                • 受理申请、非现场准备、现场准备、现场监控、综合分析
          • 其他
            • 物理环境安全：包括环境、设备存储介质等
            • 网络认证：鉴别网络资源的访问者身份
            • 访问控制：限制非法用户访问网络资源、防止合法用户越权访问网络资源
            • 网络安全保密：防止非授权用户访问资源
            • 漏洞扫描：检测网络中是否存在漏洞（脆弱性）
            • 恶意代码防护：可以理解为安装杀毒软件
            • 网络信息内容安全：确保网络信息系统中的信息及数据符合法律要求
            • 网络安全 检测：检查安全防护措施是否有效
            • 网络信息安全应急响应：采取措施恢复网络系统的正常运营
    • 信息安全保障体系
      • 信息安全保障体系框架
        • 图示
        • 其他
          • 1、定级：确定定级对象，通过专家评审，确定合适级别
          • 2、备案：按等保2.0规定准备备案材料，到当地公安机关备案和审核
          • 3、建设整改：对当前保护对象的实际情况进行差距分析，针对不符合项整改
          • 4、等级测评：对定级的保护对象进行测评，并出具相应的等级保护测评证书
          • 5、运营维护（监督管理）：运营主体对保护对象的安全相关事宜进行监督管理
          • （三级等保每年一测）
      • 信息系统安全模型与技术框架
        • P2DR安全模型：策略（policy），防护，检测，响应； 防护时间大于检测时间加上响应时间，安全目标暴露时间=检测时间+响应时间，越小越好； 提高系统防护时间，降低检测时间和响应时间
        • 信息保障技术框架（IATF）：纵深防御策略（）：核心：人员，技术，操作； 技术框架焦点域：保护本地计算机，保护区域边界，保护网络及基础设施，保护支撑性基础设施
          • AFT的核心概念包括多层防御 (Defense in Depth)、深度防御 (Depth of Defense) 和全面防护 (Comprehensive Protection) IAFT将信息系统的信息保障技术层面划分成了四个技术框架焦点域：网络和基础设施、区域边界、计算机环境和支撑性基础设施。 核心思想：纵深防御 1. 保护多个位置。包括保护网络和基础设施、区域边计算环境等。 2. 分层防御。如果说上一个原则是横向防御，那么这一原则就是纵向防御，这也是纵深防御思想的一个具体体现。 3. 安全强健性。不同的信息对于组织有不同的价值，该信息丢失或破坏所产生的后果对组织也有不同的影响。所以对信息系统内每个信息安全组件设置的安全强健性（即强度和保障），取决于被保护信息的价值以及所遭受的威胁程度。
    • 信息安全保障基本实践
      • 国内外信息安全保障工作概况
        • 我国信息安全保障的国家战略目标是: 保障国民经济基础设施的信息安全,抵御有关国家、地区、集团可能对我实施的信息息战的威胁,打击国内外的高科技犯罪,保障国家安全、社会会稳定和经济发展。 >> 信息安全保障体系建设2003年9月 《关于加强信息安全保障工作的意见》 ； 2004年8月28日 《中华人名共和国电子签名法》 2005年4月1日实行（中国首部真正意义上的信息化法律）； 2016年11月7日《中国人名共和国网络安全法》 ，2017年6月1日执行 ，我国第一步全面范围网络空间管理方法问题的 基础性法律，网络安全建设的重要里程碑
      • 信息安全保障工作的内容
        • 确定安全需求，
        • 设计和实施安全方案，
        • 进行信息安全评测，
          • 评测流程
            • 受理申请、静态评测、现场评测、风险分析
        • 实施信息安全监控
          • 监控流程
            • 受理申请、非现场准备、现场准备、现场监控、综合分析
        • 其他
          • 确定网络信息安全管理对象
          • 评估网络信息安全管理对象价值
          • 识别网络信息安全管理对象面临的威胁
          • 识别网络信息安全管理对象的脆弱性
          • 确定网络信息安全管理对象的风险级别
          • 制定网络信息安全管理防范措施
          • 实施网络信息安全管理防护措施
          • 运维网络信息安全管理管理对象
    • １． 信息安全保障的内涵和意义
    • ２． 信息安全保障的总体思路和基本实践方法
    • 考点
      • 10. 其他
        • 10.1949年,香农(Shannon)发表了著名的<<保密系统的通信理论>>论文,把密码学置于坚实的数学基础之上,标志着密码学作为一门学科的形成.
        • 11.我国专家在（1999年）提出“保护-预警-监测-恢复-反击”即（PWDRRC模型）
        • 12.中央2003年颁布《国家信息化领导小组关于加强信息安全保障工作的意见》
        • 13.我国《网络安全法》颁布时间：2016年
        • 14.P2DR—>(策略、防护、检测和响应)
        • 15.1972 年完成的著名的Anderson报告，是计算机安全发展的重要里程碑。
        • 16.1977年美国制定了数据加密标准（DES）,单密钥算法，加密密钥能从解密密钥中推算出来。
        • 17.1994年美国联邦政府数字签名（DSS）（数字签名标准）。
        • 18.美国联邦政府2001年颁布高级加密标准（AES)。
        • 19.EBP ------>基地址
        • eip ------>返回地址
        • esp ------>栈顶地址
        • 20.TCB --------->可信计算基
        • TCM -------->可信密码模块
        • TPM --------->可信平台模块
        • TPCM --------->可信平台控制模块
  • 二、信息安全基础技术与原理
    • １． 密码技术
      • 名词解释
        • 子主题
          • 子主题
      • （１）对称密码与非对称密码
        • 密码的概念:是一种用来混淆的技术,使用者希望将正常的(1可识别的)信 息转变为无法识别的信息。但这种无法识别的信息部分是可以再加工并恢复 和破解的。 密码在中文里是"口令"(password)的通称。 研究密码变化的客观规律,应用于编制密码以保守通信秘密密的,称为编码学; 应用于破译密码以获取通信情报的,称为破译学。 总称密码学,密码学是研究编制密码和破译密码的技术科学。 ______________________________________________________________ 
        • 1.基本概念及分类
          • 密码技术的基本思想是伪装信息,即对数据进行一组可逆的数学变换.伪装前的原始数据称为明文,伪装后的消息称为密文.伪装的数据变换过程称为加密,将密文还原成明文的过程称为解密.
          • 密码系统通常由五部分组成:
            • 子主题
            • (1)消息空间:所有可能明文m的有限集称为明文空间,通常用M表示
            • (2)密文空间:所有可能密文c的有限集称为密文空间,通常用C表示
            • (3)密钥空间:所有可能的密钥k构成的有限集称为密钥空间,通常用K表示
            • (4)加密算法:加密算法是基于密钥k将明文m变换为密文c的变换函数,相应的变换过程称为加密,通常用E表示,即c=E(m,k)
            • (5)解密算法:解密算法是基于密钥k将密文c恢复为明文m的变换函数,相应的变换过程称为解密,通常用D表示,即m=D(c,k)
              • 加密密钥通常用Ke来表示,解密密钥通常用Kd来表示
              • 如果密码体制的Ke=Kd,即发送方和接收方双方使用的密钥相同,则称其为对称密钥密码体制,简称对称密码体制;相反地,如果Ke不等于Kd,即发送方和接收方双方使用的密钥不相同,则称其为非对称密钥密码体制.
              • 在非对称密钥体制中,由于在计算上Kd不能由ke推出,这样将Ke公开也不会损害Kd的安全,于是可以将Ke公开,因此,这种密码体制又被称为公开密钥密码体制,简称公钥密码体制.
        • 2.对称密钥体制
          • 对称密钥体制的基本元素包括原始的明文,加密算法,解密算法,密钥,密文及攻击者,如图2.2所示.加密算法E根据输入的明文m和密钥k生成密文c,即c=E(k,m).拥有密钥k的接收方接收到密文c之后,可以使用解密算法D恢复明文m,即m=D(k,c).
          • 密码学中应遵循公开设计的原则,即密钥体制的安全应依赖于对密钥的保密,而不应依赖于对算法的保密,只有在算法公开的条件下依然可以保证密钥的安全,才是可取的,这就是密码学著名的柯克霍夫原则.
          • 相对于非对称密钥,对称密钥的优点是加解密处理速度快、保密度高
          • 缺点则是以下两点:
            • (1)密钥管理和分发复杂代价高.
            • (2)不能提供抗抵赖服务.此外,对称加密不易实现数字签名(不能提供抵赖服务).
          • 对称密钥体制根据对明文的加密方式的不同而分为两类:分组密码和序列密码.
            • 分组密码也被称为分块密码,是将明文消息编码表示后的位或字符序列,按指定的分组长度划分成多个分组后,每个分组分别在密钥的控制下变换成等长的输出,如果编码后明文长度不是分组长度的整数倍,需要对明文进行填充.常见的分组密码算法主要有DES,IDEA,AES等.
            • 序列密码,也被称为流密码,是将明文和密钥都划分为位或字符的序列,并且对明文序列中的每一位或字符都用密钥序列中的对应分量来加密.公开的序列密码算法主要有RC4,SEAL,ZUC,ChaoChao20等
          • 考点
            • 优缺点：加密处理速度快、保密度高，密钥管理分发复杂代价高、数字签名困难
            • 对称密码分类
              • 分组密码：一次加密一个明文分组：DES，IDEA，AES； 序列密码：一次加密一位或者一个字符：RC4，SEAL ，ZUC、ChaCha20、Trivium
            • 加密方法：代换法：单表代换密码，多表代换；置换法
            • 安全性： 攻击密码体制：穷举攻击法（对于密钥长度128位以上的密钥空间不再有效）， 密码分析学； 典型的密码攻击：唯密文攻击，已知明文攻击，选择明文攻击（选择秘文攻击加密算法一般要能够抵抗选择明文攻击才认为是最安全的， 分析方法：差分分析和线性分析
            • 基本运算：异或，加，减，乘，查表
            • 设计思想：扩散，混淆； 乘积迭代：常见的乘积密码是迭代密码，DES，AES
            • 数据加密标准DES：基于Feistel网络，3DES，有效密钥位数：56
            • 国际数据加密算法IDEA：利用128位密钥对64位的明文分组，经连续加密产生64位的密文分组
            • 高级加密标准AES：SP网络
            • 分组密码： 电子密码本模式ECB， 密码分组链模式CBC， 密码反馈模式CFB， 输出反馈模式OFB， 计数模式CTF
              • 3.分组密码工作模式
                • 分组密码的工作模式是一个算法,它刻画了如何利用分组密码提供信息安全服务.主要有五种工作模式,它们分别是
                • 电子密码本(ECB)模式:ECB的一个缺点是要求数据的长度为分组密码长度的整数倍,否则最后一个数据块将是短块,这时需要进行填充.它的另一缺点是容易暴露明文的数据模式.且ECB容易遭受重放攻击.ECB模式是分组密码的基本工作模式.
                • 密码分组链(CBC)模式:在处理第一个明文分组时,与第一个初始向量组进行异或运算,初始向量不需要保密,它可以明文形式与密文一起传送.与ECB一样,CBC的一个缺点也是要求数据的长度是密码分组长度的整数倍.
                • 密码反馈(CFB)模式:
                • 输出反馈(OFB)模式:OFB模式将一个分组密码转换为一个序列密码,具有普通序列密码的优缺点.
                • 计数(CTR)模式:该模式的优点是可以并行,可以预处理,可以证明其安全性至少与CBC一样好.
        • 4.非对称密码
          • (1)在非对称密码中,有一个重要的特性,就是加密和解密运算具有可交换性,即:D(E(m))=E(D(m))
          • 这个特性使得非对称密码可应用到数字签名中.
          • (2)在安全性方面,非对称密码通常依赖于某个难解的数学难题.也就是说,基于难解问题设计密码是非对称密码设计的主要思想.
          • (3)优缺点:非对称密钥密码的优点在于从根本上克服了对称密码密钥分配上的困难,且易于实现数字签名.然而,由于公开密钥密码通常依赖于某个难解的问题设计,虽然安全性高,但降低了加解密效率,这是公开密钥密码的一大缺点.在应用中,通常采用对称密码体制实现数据加密,公钥密码体制实现密钥管理的混合加密机制.
          • 考点
            • 基于难解问题设计密码是非对称密码设计的主要思想，NP问题NPC问题
            • 克服密钥分配上的困难、易于实现数字签名、安全性高，降低了加解密效率
            • RSA：基于大合数因式分解难得问题设计；既可用于加密，又可用于数字签名；目前应用最广泛
            • ElGamal：基于离散对数求解困难的问题设计
            • 椭圆曲线密码ECC：基于椭圆曲线离散对数求解困难的问题设计
            • 通常采用对称密码体制实现数字加密，公钥密码体制实现密钥管理的混合加密机制
        • 5.国密算法
          • 国密算法由国家商用密码管理办公室制定发布, 包含SM1,SM2,SM3,SM4,SM7,SM9,ZUC,SSF33等算法, 其中SM1,SM4,SM7,SSF33为分组密码算法,ZUC为流密码, SM2,SM9为公开密钥密码算法, SM3为哈希算法.
        • 6.数据加密标准DES算法
          • DES算法的分组大小为64位,所使用的加密或解密密钥也是64位,因为其中有8个位是用来做奇偶校验,所以64位中真正起密钥作用的只有56位.
      • （２）哈希函数
        • 哈希函数又称为散列函数,杂凑函数.它是一种单向密码体制,即一个从明文到密文的不可逆映射,只有加密过程,没有解密过程.
        • 哈希函数可以将满足要求的任意长度的输入经过变换后得到固定长度的输出.这个固定长度的输出称为原消息的散列或消息摘要.哈希函数的数学表述为:h=H(m)
        • 典型的哈希函数有:
          • 消息摘要算法MD5和安全散列算法SHA,以及SHA-2和SHA-3.
        • 1.哈希函数的性质
          • (1)压缩(2)易计算(3)单向性(4)抗碰撞性(5)高灵敏性.
        • 2.哈希函数的应用
          • (1)消息认证
            • 在一个开放通信网络的环境中,信息面临的攻击包括窃听,伪造,修改,插入,删除,否认等.因此,需要提供用来验证消息完整性的机制或服务,即消息认证.这种服务的主要功能是确保收到的消息确实与发送的一样和确保消息的来源真实有效.用来消息认证的最常见的密码技术是基于哈希函数的消息认证码.
          • (2)数字签名
            • 因为非对称算法的运算速度较慢,所以在数字签名协议中,哈希函数扮演了一个重要的角色.对哈希值进行数字签名,在统计上可以认为与对文件本身进行数字签名是等效的,这样可以大大提高数字签名的速度.
          • (3)口令的安全性
            • 由于哈希函数具有单向性的特征,因此在口令保护中应用非常广泛.
          • (4)数据完整性
            • 比较熟悉的校验算法有奇偶校验和循环冗余校验码校验.这两种校验并没有抗数据篡改的能力,它们一定程度上能检测并纠正数据传输中的信道误码,但却不能防止对数据的恶意破坏.哈希算法消息摘要的特性使它成为目前应用最广泛的一种数据完整性校验的算法.
        • 3.消息摘要算法MD5
          • 消息摘要算法MD5可以对任意长度的明文产生128位的消息摘要.MD5以512位分组来处理输入的信息,且每一分组又被划分为16个32位子分组,经过一系列处理后,算法的输出由四个32位分组组成,将四个32位分组级联后生成一个128位散列值.
        • 4.安全散列算法SHA
          • 美国国家标准局NIST为配合数字签名标准,在1993年开始陆续对外公布安全散列算法.SHA所产生的摘要比MD5长32bit,因此SHA算法耗时更长,即SHA算法更慢一些.但是SHA算法比MD5算法更安全.
        • 5.国密算法
          • 国际上目前主要以SHA为主要的消息摘要算法.
          • 然而,2005年,王小云等人给出了MD5算法的碰撞攻击方法.2017年,谷歌公布了SHA1的攻击方法.曾被广泛应用的MD5算法和SHA-1算法不再是安全的算法.迄今为止,SM3算法的安全性相对较高.
        • 考点
          • 单向密码体制，从一个明文到密文的不可逆的映射，只有只有加密过程，没有解密过程 可将任意长度的输入经过变换后得到固定长度的输出（原消息的散列或消息摘要） 应用：消息认证（基于哈希函数的消息认证码），数字签名（对消息摘要进行数字签名口令的安全性，数据完整性） 消息摘要算法MD5：128位 安全散列算法SHA：160位 SHA比MD5更安全，SHA比MD5速度慢了25%，SHA操作步骤较MD5更简单 国际上目前主要以SHA为主要的消息摘要算法; MD5和SHA-1不再是安全的算法了
      • （３）数字签名
        • 1.数字签名是一种以电子形式存在于数据信息之中的,或作为其附件或逻辑上与之有联系的数据,可用于辨别数据签署人的身份,并表明签署人对数据信息中包含的信息的认可的技术.
        • 2.数字签名通过密码技术实现,其安全性取决于密码体制的安全程度.,普通数字签名算法有RSA,EIGamal,椭圆曲线(ECC)数字签名算法.
        • 考点
          • 通过密码技术实现，其安全性取决于密码体制的安全程度 普通数字签名：RSA，ElGamal，椭圆曲线数字签名算法等 特殊数字签名：盲签名，代理签名，群签名，不可否认签名，具有消息恢复功能得签名等 常对信息的摘要进行签名 美国数字签名标准DSS：签名算法DSA 应用：鉴权(重放攻击)；完整性(同形攻击)；不可抵赖
      • （４）密钥管理
        • 无论是对称密码还是非对称密码,其安全性实际取决于对密钥的安全保护.在一个信息安全系统中,密钥体制,密码算法可以公开.甚至如果所用的密码设备丢失,只要密钥没有被泄露,保密信息仍然是安全的.而密钥一旦丢失或出错,不但合法用户不能提取信息,而且非法用户也可能会窃取信息.
        • 1.基本概念
          • 密钥管理是指处理密钥自产生到最终销毁的有关问题的全过程.大体上讲,密钥管理包括密钥的生成,存储,分配,启用与停用,控制,更新,撤销与销毁等诸多方面,其中密钥的分配与存储最关键.
        • 2.密钥的种类
          • (1)基本密钥或初始密钥.
          • (2)会话密钥.
          • (3)密钥加密密钥.密钥加密密钥(KEK)是对传送的会话或文件密钥进行加密时采用的密钥,也称次主密钥,通信网中每个节点都分配有一个这类密钥.
          • (4)主机主密钥.主机主密钥是对密钥加密密钥进行加密的密钥,存于主机处理器中.
          • 此外还有用户密钥,族密钥和算法更换密钥等.
        • 3.密钥撤销:
          • 如果密钥丢失或因其他原因在密钥未过期之前,需要将它从正常运行使用的集合中除去,称为密钥的撤销. 一般公钥的有效期为1到2年
            • 子主题
        • 4.密钥的分配
          • (1)人工密钥分发
            • 在很多情况下,用人工的方式给每个用户发送一次密钥.然后,后面的加密信息用这个密钥加密后,再进行传送,这时,用人工方式传送的第一个密钥叫作密钥加密密钥.
          • (2)基于中心的密钥分发
            • 基于中心的密钥分发利用可信任的第三方,进行密钥分发实质上是利用公开密钥密码体制分配传统密码的密钥.
            • 可信第三方可以在其中扮演两种角色:
            • 密钥分发中心(KDC)
            • 密钥转换中心(KTC)
            • 基于中心的密钥分发的优势在于,如果用户知道自己的私钥和KDC的公钥,就可以通过密钥分发中心获取他将要进行通信的他方的公钥,从而建立正确的保密通信.
          • (3)密钥交换协议
            • 最典型的密钥交换协议是Diffie-Hellman算法,又被称为Diffie-Hellman密钥交换协议.Diffie-Hellman算法是第一个实用的在非保护信道中创建共享密钥方法,本身是一个匿名(无认证)的密钥交换协议,已成为很多认证协议的基础.
        • 5.密钥存储
          • (1)公钥存储
            • 公钥通常被分发或提供给其他用户,但还必须通过中央权威机构(CA)认证以便证明它属于密钥对的拥有者.
          • (2)私钥存储
            • 用口令加密后存放在本地软盘或硬盘
            • 存放在网络目录服务器中
            • 智能卡存储
            • USB Key存储
        • 考点
          • 包括密钥的生成，存储，分配，启用与停用，控制，更新，撤销与销毁等诸多方面密钥的分配与存储最为关键 借助加密，认证，签名，协议和公证等技术 密钥的秘密性，完整性，真实性 密钥产生：噪声源技术（基于力学，基于电子学，基于混沌理论的密钥产生技术）；主密钥，加密密钥，会话密钥的产生 密钥分配： 分配手段：人工分发（物理分发），密钥交换协议动态分发 密钥属性：秘密密钥分配，公开密钥分配 密钥分配技术：基于对称密码体制的密钥分配，基于公钥密码体制的密钥分配 密钥信息交换方式：人工密钥分发，给予中心密钥分发，基于认证密钥分发 1、人工密钥分发：主密钥 2、基于中心的密钥分发：利用公开密钥密码体制分配传统密码的密钥；可信第三方：密钥分发中心KDC，密钥转换中心KTC；拉模型，推模型；密钥交换协议：Diffie-Hellman算法 3、公开密钥分配：公共发布；公用目录；公约授权：公钥管理机构；公钥证书：证书管理机构CA，目前最流行 密钥存储： 公钥存储 私钥存储：用口令加密后存放在本地软盘或硬盘；存放在网络目录服务器中：私钥存储服务PKSS；智能卡存储；USB Key存储
    • ２． 认证技术
      • （１）消息认证
        • 1.消息认证是指验证所收到的消息确实来自真正的发送方,并且未被篡改的过程.
        • 2 各种消息认证或数字签名方法在功能上基本可看作有两层. 下层中有某种产生认证码的函数,认证码是一个用来认证消息的值: 上层协议中将该函数作为原语使接收方可以验证消息的真实性.
        • 3.产生认证码的函数类型通常有3类:
          • (1)消息加密:整个消息的密文作为认证码.
          • (2)消息认证码(MAC):它利用密钥对消息产生定长的值,并以该值作为认证码. （基于DES的mac算法）
          • (3)哈希函数:它将任意长的消息映射为定长的哈希值,并以该哈希值作为认证码.
        • 4.传统密码和公钥密码即可提供保密又可提供认证.
        • 5.消息认证码(MAC)是一种认证技术,它利用密钥来生成一个固定长度的数据块,并将该数据块附加在消息之后.
        • 6.消息认证码可以提供认证,但不能提供保密性.
      • （２）身份认证
        • 身份认证涉及到三个概念:认证,授权,审计
        • 认证:
          • 在做任何动作之前必须要有方法来识别动作执行者的真实身份.认证又称为鉴别,确认.身份认证通过标识和鉴别用户的身份,防止攻击者假冒合法用户获取访问权限.
        • 授权:
          • 授权是指当用户身份被确认合法后,赋予该用户进行文件和数据等操作的权限.
        • 审计:
          • 因为每一个人都应该为自己所做的操作负责,所以在做完事情之后都要留下记录,以便核查责任.
        • 1.认证手段
          • (1)静态密码方式:静态密码机制是一种不安全的身份认证方式.
          • (2)动态口令认证:动态口令是应用最广的一种身份识别方式,基于动态口令认证的方式主要有动态短信密码和动态口令牌两种方式,由于动态口令一次一密,因此大大提高了安全性.
          • (3)USB Key认证
          • (4)生物识别技术
        • 2.认证协议
          • (1)基于口令的认证协议
          • (2)基于对称密码的认证
          • (3)基于公钥密码的认证
        • 考点
          • 身份认证系统：认证服务器、认证系统客户端、认证设备 >>系统主要通过身份认证协议（单向认证协议和双向认证协议）和认证系统软硬件进行实现 #认证手段： 静态密码方式： 动态口令认证：动态短信密码，动态口令牌（卡） USB Key认证：挑战/应答模式，基于PKI体系的认证模式 生物识别技术： 认证协议：基于口令的认证协议，基于对称密码的认证，基于公钥密码的认证
          • 那数字签名和消息认证有什么区别？
            • 数字签名和消息认证在信息安全中都起着重要的作用，但它们有一些关键的区别和联系。让我们用一个简单的比喻来解释它们的区别和联系。 ### 数字签名 **数字签名**就像是你在一封信的末尾亲手签上你的名字，并且这个签名是独一无二的，只有你能做出来。数字签名使用的是一种叫做非对称加密的技术，这种技术使用一对密钥：一个是公开的（公钥），另一个是私密的（私钥）。具体来说： 1. **签名过程**： - 你用你的私钥对消息进行签名，这个签名是根据消息内容生成的。 - 这个签名和消息一起发送给接收方。 2. **验证过程**： - 接收方用你的公钥来验证这个签名。 - 如果签名验证通过，接收方就可以确定这条消息确实是你发送的，并且内容没有被篡改。 ### 消息认证 **消息认证**更像是你和朋友之间的一个秘密握手，只有你们两个人知道这个握手的方式。消息认证使用的是一种叫做对称加密的技术，这种技术使用一个共享的密钥。具体来说： 1. **认证过程**： - 发送方和接收方共享一个密钥。 - 发送方用这个密钥生成一个认证码，并将这个认证码和消息一起发送给接收方。 2. **验证过程**： - 接收方用相同的密钥生成一个认证码，并与收到的认证码进行比较。 - 如果认证码匹配，接收方就可以确定这条消息确实是发送方发送的，并且内容没有被篡改。 ### 主要区别 1. **密钥类型**： - 数字签名使用非对称加密（公钥和私钥）。 - 消息认证使用对称加密（共享密钥）。 2. **安全性**： - 数字签名具有更高的安全性和抗否认性，因为只有私钥持有者才能生成签名，且签名可以被第三方验证。 - 消息认证主要用于验证消息的完整性和来源，但如果发送方和接收方之间有利害冲突，消息认证无法防止发送方否认发送过消息。 3. **效率**： - 消息认证的效率较高，适用于对实时性要求较高的场景。 - 数字签名的加密和解密过程相对复杂，效率较低，但安全性更高。 ### 联系 - **数据完整性**：两者都可以验证数据在传输过程中是否被篡改。 - **身份认证**：两者都可以验证消息的发送者身份。 - **组合使用**：在一些应用中，消息认证和数字签名可以互补使用。例如，在电子商务中，可以使用数字签名对交易双方的身份进行认证，并使用消息认证码对交易数据的完整性进行验证。 通过这个比喻和解释，希望你能更清楚地理解数字签名和消息认证的区别和联系。
    • ３． 访问控制技术
      • （１）访问控制模型221
        • • 1、BLP 和 Biba 模型属于强制访问控制（MAC）模型，而 RBAC 是基于角色的访问控制模型。DAC 模型作为一种基本的访问控制类型 2、同时具有强制访问控制（MAC）和自主访问控制（DAC）属性的访问控制模型是 Chinese Wall 模型。Chinese Wall模型也被称为混合策略模型
        • 访问控制在可信计算机系统评估准则中被分为两类:自主访问控制(DAC),强制访问控制(MAC).该标准将计算机系统的安全程度从高到低划分为A1,B3,B2,B1,C2,C1,D共七个等级,每一等级对访问控制都提出了不同的要求.最近几年,基于角色的访问控制(RBAC)正得到广泛的研究与应用.
        • 1.自主访问控制（DAC）
          • 访问矩阵模型：访问能力表（CL），访问控制表（ACL）；商业环境中，大多数系统，如主流操作系统、防火墙等
          • (1)自主访问控制(DAC)是根据自主访问控制策略建立的一种模型,允许合法用户以用户或用户组的身份访问策略规定的客体,同时阻止非授权用户访问客体.
          • (2)任何访问控制策略最终可以被模型化为访问矩阵形式.访问矩阵中的每行表示一个主体,每一列则表示一个受保护的客体,而矩阵中的元素则表示主体可以对客体的访问模式.
          • (3)关于访问控制矩阵:基于矩阵的行的访问控制信息表示的是访问能力表,即每个主体都附加一个该主体可访问的客体的明细表.
          • 基于矩阵的列的访问控制信息表示的是访问控制表,即每个客体附加一个可以访问它的主体的明细表.
        • 2.强制访问控制(MAC)
          • 强制访问控制(MAC)是强加给访问主体的,即系统强制主体服从访问控制政策. 安全标签：具有偏序关系的等级分类标签，非等级分类标签，比较主体和客体的安全标签等级,，访问控制安全标签列表（ACSLL）； 访问级别：最高秘密级，秘密级，机密级，无级别及； Bell-Lapadula模型：只允许向下读、向上写，保证数据的保密性， Biba不允许向下读、向上写，保护数据完整性； Chinese Wall模型：多边安全系统中的模型，包括了MAC和DAC的属性
          • (1)安全标签
            • 具有偏序关系的等级分类标签，非等级分类标签，比较主体和客体的安全标签等级,，访问控制安全标签列表（ACSLL）；
          • (2)强制访问策略:
            • Bell-LaPadula模型
              • Bell-LaPadula安全模型也称为BLP模型,它利用"不上读/不下写"的原则来保证数据的保密性.该模型以信息的敏感度作为安全等级的划分标准,主体和客体用户被划分为以下安全等级:无密,秘密,机密和绝密,安全等级依次增高. 只允许向下读、向上写，保证数据的保密性 高→低
            • Biba模型
              • 由于BLP模型存在不保护信息的完整性和可用性,不涉及访问控制等缺点,因此1977年Biba模型作为BLP模型的补充而被提出.它针对的是信息的完整性保护,主要用于非军用领域. 不允许向下读、向上写，保护数据完整性 低→高
            • Chinese Wall 模型
              • Chinese Wall 模型是应用在多边安全系统中的安全模型,应用在可能存在利益冲突的组织中.它最初是为投资银行设计的,但也可应用在其他相似的场合.同时包括了自主访问控制和强制访问控制的属性,属于混合策略模型. 多边安全系统中的模型，包括了MAC和DAC的属性
        • 3.基于角色的访问控制模型
          • (1)基本定义
          • (2)基本思想
          • (3)特点
            • 角色分配：用户被分配一个或多个角色，这些角色定义了他们在系统中的职责。 权限继承：角色可以继承其他角色的权限，形成角色层次结构。 最小权限原则：用户只获得完成其工作所需的最小权限集，这有助于减少安全风险。 灵活性和可扩展性：新角色和权限可以轻松添加，现有角色的权限可以调整，以适应组织的变化。 易于审计：由于权限与角色紧密相关，审计和跟踪用户权限变得更加容易。 分离职责：RBAC可以强制实施职责分离原则，确保没有单个用户能够执行所有关键操作，从而减少欺诈和错误的风险。 会话管理：用户的会话可能受到其角色的限制，确保在会话期间用户只能访问其角色允许的资源。 RBAC模型通过将用户、角色和权限三者分离，提供了一种灵活且易于管理的访问控制机制，适用于大多数需要细粒度访问控制的信息系统。
          • 考点
            • 子主题
            • #注意 1. RBAC 和DAC 的最大区别： 用户不能自主将访问权限授予给其他用户 2. RBAC 和MAC 的最大区别： 强制访问控制是基于多级安全需求 ，而RBAC不是
        • 4.访问控制是防范计算机系统和资源被未授权访问的第一道防线.
        • 访问控制依赖于四个原则: 身份标识、验证、授权、责任衡量
        • 考点
      • （２）访问控制技术
        • 访问控制的管理方法可以分为两类:一类是集中式访问控制;另一类是分布式访问控制,即非集中式访问控制. 一、集中访问控制： 认证、授权、审计管理（AAA管理） 拨号用户远程认证服务RADIUS：提供集中式AAA管理；客户端/服务器协议，运行在应用层，使用UDP协议；组合认证与授权服务 终端访问控制器访问控制系统TACACS：TACACS+使用TCP；更复杂的认证步骤；分隔认证、授权、审计 Diameter：协议的实现和RADIUS类似，采用TCP协议，支持分布式审计 二、非集中式访问控制： 单点登录SSO Kerberos：使用最广泛的身份验证协议；引入可信的第三方。Kerberos验证服务器；能提供网络信息的保密性和完整性保障；支持双向的身份认证 SESAME：认证过程类似于Kerberos
        • 1.集中访问控制
          • 自网络诞生以来,认证,授权和审计管理就成为其运营的基础.
          • (1)RADIUS协议
            • 拨号用户远程认证服务是一个网络协议,提供集中式AAA管理.
            • RADIUS协议最初由Livingston公司提出,为拨号用户进行认证和审计,经多次改进已形成了一项通用的认证审计协议.由于RADIUS协议具有广泛的适应性,支持绝大多数网络,因此互联网服务供应商和企业远程接入互联网或内部网络都将RADIUS作为主要的AAA管理方法.
            • RADIUS协议是一个客户端/服务器协议,它运行在应用层,使用UDP协议.RADIUS协议的身份认证和授权使用1812端口,而审计使用1813端口.
          • (2)TACACS协议
            • 终端访问控制器访问控制系统,对于UNIX网络来说是一个比较老的基于UDP的认证协议,它允许远程访问服务器传送用户登录密码给认证服务器,认证服务器决定该用户是否可以登录系统.
          • (3)Diameter协议
            • Diameter协议是RADIUS协议的升级版本,Internet工程任务组的AAA工作组同意将Diameter协议作为下一代的AAA协议标准.
        • 2.非集中式访问控制
          • 分布式访问控制需要解决跨域访问的问题.目前广泛使用的3种分布式访问控制方法为单点登录,Kerberos协议和SESAME.
          • (1)单点登录(SSO)
            • Hotmail,Yahoo,163等知名网站上使用的通行证技术和开源社区中的OpenID应用了单点登录技术.
          • (2)Kerberos协议
            • Kerberos认证技术 Kerberos是一个网络协议，其目标时使用密钥加密为客户端/服务器应用程序提供强身份认证。其技术原理是利用对称密码技术（DES加密算法），使用可信的第三方来为应用服务器提供认证服务，并在用户和服务器之间建立安全信道。 一个Kerberos系统涉及四个基本实体 1、Kerberos客户机，用户用来访问服务器设备； 2、AS认证服务器，识别用户身份并提供TGS会话密钥； 3、TGS票据发放服务器，为申请服务的用户授予票据； 4、应用服务器，为用户提供服务的设备或系统； 票据是用于安全的传递用户身份所需要的信息的集合，主要包括客户方实体名称、地址、事件戳、票据生存期和会话密钥等内容
            • 该协议设计的核心是在用户的验证过程中引入一个可信的第三方,即Kerberos验证服务器,它通常也称为密钥分发服务器,负责执行用户和服务的安全验证.
            • Kerberos的优点:
              • 1.单点登录.
              • 2.与授权机制相结合
              • 3.支持双向的身份认证
              • 4.通过交换跨域密钥实现分布式网络环境下的认证
            • Kerberos的缺点:
              • 1.AS和TGS是集中式管理,容易形成瓶颈,系统的性能和安全也严重依赖于AS和TGS的性能和安全.
              • 2.时钟同步问题
              • 3.身份认证采用的是对称加密机制.在用户数量增大时,密钥管理较复杂.
    • ４． 审计和监控技术
      • （１）审计和监控基础
        • #审计系统组成： 日志记录器：收集数据，系统调用Syslog收集数据； 分析器：分析数据； 通告器：通报结果
      • （２）审计和监控技术
        • 恶意行为监控： 主机监测：可监测的地址空间规模有限； 网络监测：蜜罐技术（软件honeyd），蜜网（诱捕网络）：高交互蜜罐、低交互蜜罐、主机行为监视模块 网络信息内容审计： 方法：网络舆情分析：舆情分析引擎、自动信息采集功能、数据清理功能； 技术：网络信息内容获取技术（嗅探技术）、网络内容还原分析技术； 模型：流水线模型、分段模型； 不良信息内容监控方法：网址、网页内容、图片过滤技术
  • 三、系统安全
    • １． 操作系统安全
      • （１）操作系统安全基础
        • 考点：
          • 基本安全实现机制： CPU模式和保护环：内核模式、用户模式 进程隔离：使用虚拟地址空间达到该目的
        • 1.操作系统基本概念: >操作系统是控制其他程序运行,管理系统资源并为用户提供操作界面的系统软件的集合.
          • 现代CPU通常运行在两种模式下:(1)内核模式(2)用户模式.在标准的模型中,将CPU模式从用户模式转到内核模式的唯一方法是触发一个特殊的硬件自陷,如:
          • (1)中断,通常是由外部硬件引发的,如I/O或者时钟.
          • (2)异常,如除数为零,访问非法或者不属于该进程的内存.
          • (3)显式地执行自陷指令.
        • 2.操作系统的功能
          • (1)进程管理:
          • (2)文件系统管理:
            • 文件系统是操作系统负责存取和管理文件的一组软件及所需数据结构,是用户与外存之间的接口.文件系统在操作系统存在的时候就已经存在,操作系统程序自身也是保存在文件系统之中,因此在安装系统之前总是会先将存储盘格式化成某种文件系统格式.
        • 3.线程是为了节省资源而可以在同一个进程中共享资源的一个执行单位.进程是资源分配的基本单位.
        • 操作系统的安全机制 4.操作系统使用保护环机制来确保进程不会在彼此之间或对系统的重要组件造成负面影响.保护环对工作在环内的进程能够访问什么,能够执行什么命令提出了严格的界线和定义.3环中的主体不能直接访问1环中的客体,但1环中的主体能直接访问3环中的客体.
        • 5.
          • chmod(改变文件或目录的访问权限)
          • chown(改变文件拥有权)
          • chgrp(改变文件分组)
          • lastlog(列出用户最后登录的时间和登录终端的地址)
      • （２）操作系统安全实践
        • 考点
          • UNIX/Linux系统： 文件系统安全：所有的事物都是文件：正规文件、目录、特殊文件（/dev下设备文件）、链接、Sockets； 文件系统安全基于i节点中的三层关键信息：UID、GID、模式；模式位，权限位的八进制数表示；设置SUID（使普通用户完成一些普通用户权限不能完成的事而设置）和SGID，体现在所有者或同组用户权限的可执行位上；chmod改变文件权限设置、chown、chgrp；unmask创建文件默认权限 账号安全管理：/etc/passwd、/etc/shadow；伪用户账号；root账户管理：超级用户账户可不止一个，将UID和GID设置为0即可，使用可插入认证模块PAM进行认证登录 日志与审计：日志系统：记录连接时间的日志：/var/log/wtmp、/var/run/utmp，进程统计：pacct与acct，错误日志：/var/log/messages Windows系统： Windows安全子系统：winlogon和图形化标识和验证GINA、本地安全认证、安全支持提供者的接口（SSPI）、认证包、安全支持提供者、网络登录服务、安全账号管理器（SAM） 登录验证：Kerberos 用户权力与权限：用户权限：目录权限、文件权限；共享权限 日志与审计：系统日志、应用程序日志、安全日志 安全策略：密码策略；锁定策略；审核策略；用户全力指派；安全选项；装载自定义安全模板；windows加密文件系统 可信计算技术： 可信计算平台联盟（TCPA），可信计算组织（TCG） 可信PC，可新平台模块（TPM），可信软件栈（TSS），可信网络连接（TNC） 可信平台模块（TPM）：具有密码运算能力和存储能力，是一个含有密码运算部件和存储部件的小型片上系统；物理可信、管理可信的； 可信密码模块（TCM）：中国 可信计算平台：三个层次：可信平台模块（信任根）、可信软件栈、可信平台应用软件；我国：可信密码模块、可信密码模块服务模块、安全应用 可信网络连接（TNC）：开放性、安全性
        • 1.UNIX/Linux系统概述
          • 系统启动过程
            • (1)加载BIOS.
            • (2)读取主引导记录.
            • (3)加载引导程序
            • (4)加载内核
            • (5)执行init进程:init进程是一个由内核启动的用户级进程.加载内核之后,就通过启动一个用户级程序init的方式,完成引导进程,因此init始终是第一个进程.
          • 系统服务与进程
            • (1)守护进程:UNIX/Linux系统有很多守护进程,大多数服务都是通过守护进程实现的.同时,守护进程还能完成许多系统任务.
            • (2)启动与关闭服务:在UNIX/Linux系统中,服务是通过inetd进程或启动脚本来启动.
            • (3)inetd进程:inetd是UNIX最重要的网络服务进程,是监视网络请求的守护进程.
        • 2.UNIX/Linux系统安全(安全实践)
          • (1)文件系统安全
            • 文件系统安全如此重要的一个原因是在UNIX/Linux中,所有的事物都是文件.UNIX/Linux中的部分文件类型如下:
              • 正规文件:
              • 目录:
              • 特殊文件:
              • 链接:
              • Sockets:
          • (2)root账号的管理
            • 在UNIX/Linux系统中,root账号是一个超级用户账号,可以对系统进行任何操作.
            • UNIX/Linux超级用户账号可以不止一个.在UNIX系统中,只要将用户的UID和GID设置为0就可以将其变成超级用户. ，使用可插入认证模块PAM进行认证登录
          • （3）日志与审计
            • 子主题
        • 3.Windows系统概述
          • 1.系统服务和进程
            • (1)net start/stop 命令.net start/stop 命令可以启动或关闭一项服务,还可以直接使用不带任何参数的net start命令查看当前已经启动的服务列表.
            • (2)进程管理有3种方法:任务管理器,Msinfo32,DOS命令行.
        • 4.Windows系统安全（安全实践）
          • 包含三种：posix 、os/2 、win32
          • 登录验证：Kerberos
            • 用户权力与权限：用户权限：目录权限、文件权限； 共享权限 日志与审计：系统日志、应用程序日志、安全日志 安全策略：密码策略；锁定策略；审核策略；用户全力指派；安全选项；装载自定义安 全模板；windows加密文件系统
        • 5. 可信计算机技术
          • 可信计算平台联盟（TCPA），可信计算组织（TCG） 可信技术规范：可信PC，可信平台模块（TPM），可信软件栈（TSS），可信网络连接（TNC），可信手机模块等 可信平台模块（TPM）：具有密码运算能力和存储能力，是一个含有密码运算部件和存储部件的小型片上系统；物理可信、管理可信的； 可信密码模块（TCM）：中国 可信计算平台：三个层次：可信平台模块（信任根）、可信软件栈、可信平台应用软件； 我国：可信密码模块、可信密码模块服务模块、安全应用 可信网络连接（TNC）：开放性、安全性 （局限于完整性、单项可评估、缺乏安全协议的支持、缺乏网络接入后的 安全保护） >>三元、三层、对等 集中管理的结构
    • ２． 数据库安全
      • 考点
        • 3.2.1数据库安全基础 统计数据库安全 现代数据库运行环境：多层体系结构，中间层完成对数据库访问的封装 数据库安全功能： 用户标识和鉴定 存取控制： 自主存取控制：用户权限有两个要素组成：数据库对象和操作类型，GRANT语句向用户授予权限，REVOKE语句收回授予的权限，角色：权限的集合；强制存取控制：主体和客体，敏感度标记：许可证级别（主体）、密级（客体），首先要实现自主存取控制 审计： 用户级审计、系统审计；AUDIT设置审计功能，NOAUDIT取消审计功能 数据加密 视图与数据保密性：将视图机制与授权机制结合起来使用，首先用视图机制屏蔽一部分保密数据，然后在视图上再进一步定义存取权限 数据完整性： 语义完整性，参照完整性，实体完整性 约束：优先于使用触发器、规则和默认值 默认值：CREATE DEFAULT 规则：CREATE RULE，USE EXEC sp_bindefault，DROP RULE 事务处理：BEGAIN TRANSACTION，COMMIT，ROLLBACK；原子性、一致性、隔离性、持久性；自动处理事务、隐式事物、用户定义事物、分布式事务 3.2.2数据库安全实践 数据库十大威胁： 过度的特权滥用；合法的特权滥用；特权提升；平台漏洞；SQL注入；不健全的审计；拒绝服务；数据库通信协议漏洞；不健全的认证；备份数据库暴露 安全防护体系：事前检查，事中监控，事后审计 数据库安全特性检查： 端口扫描（服务发现）：对数据库开放端口进行扫描；渗透测试：黑盒式的安全监测，攻击性测试，对象是数据库的身份验证系统和服务监听系统，监听器安全特性分析、用户名和密码渗透、漏洞分析；内部安全监测：安全员数据、内部审计、安全配置检查、漏洞检测、版本补丁检测 数据库运行安全监控： 网络嗅探器、数据库分析器、SQL分析器、安全审计
      • （１）数据库安全基础
        • 1.数据库安全基础
          • (1)SQL命令:
            • 创建基本表的命令为CREATE
            • 修改,删除基本表的基本命令是ALERT和DROP.
            • 插入数据的命令为INSERT,SQL查询用SELECT语句
            • 删除记录的命令为DELETE,建立视图的命令GREATE view ,更新记录的命令为UPDATE
            • 将查询结果中的重复元祖去掉的SOL子句是DISTINCT.
        • 2.数据完整性
          • (1)数据库软件执行3种类型的完整性服务:
            • 语义完整性
            • 参照完整性:所有的外键参考现有的主键,则说明一个数据库具有参照完整性.
            • 实体完整性
          • (2)数据库提供了约束,规则和默认,事务处理等功能以保证数据完整性.
        • 3.存取控制
          • 数据库安全主要关心的是数据库管理系统的存取控制机制.
          • (1)自主存取控制方法主要通过SQL的GRANT语句和REVOKE语句来实现. GRANT语句向用户授予权限, REVOKE语句收回授予的权限.
          • (2)发出GRANT语句的可以是DBA,也可以是该数据库对象创建者,还可以是已经拥有该权限的用户.
          • (3)只有系统的超级用户才有权创建一个新的数据库用户.
        • 4.数据库安全检测
          • (1)端口扫描
          • (2)渗透测试:主要包括3个方面:监听器安全特性分析,用户名和密码渗透,漏洞分析.
          • (3)内部安全检测:内部安全检测是深入数据库之内,对数据库内部的安全相关对象进行完整的扫描和检测.
        • 5.利用服务器端漏洞进行攻击的是SQL注入攻击.
      • （２）数据库安全实践
        • 数据库十大威胁： 过度的特权滥用；合法的特权滥用；特权提升；平台漏洞；SQL注入；不健全的审计；拒绝服务；数据库通信协议漏洞；不健全的认证；备份数据库暴露 安全防护体系：事前检查，事中监控，事后审计 数据库安全特性检查： 1、端口扫描（服务发现）：对数据库开放端口进行扫描； 2、渗透测试：黑盒式的安全监测，攻击性测试，对象是数据库的身份验证系统和服务监听系统，监听器安全特性分析、用户名和密码渗透、漏洞分析； 3、内部安全监测：安全员数据、内部审计、安全配置检查、漏洞检测、版本补丁检测 数据库运行安全监控：网络嗅探器、数据库分析器、SQL分析器、安全审计 数据库脱敏： （脱敏算法=【同义替换、混合屏蔽、确定性屏蔽、可逆脱敏】） >>隐私数据泄露分多种类型：个人标识泄露、属性泄露、成员关系泄露 >动态：端口扫描（服务发现）、渗透测试（黑盒式的安全监测）、攻击性测试 >静态：全员数据、内部审计、安全配置检查、漏洞检测、版本补丁检测
  • 四、网络安全
    • １． 网络安全基础
      • TCP/IP协议架构
        • 子主题
      • 网络协议
        • 数据链路层协议：地址解析协议（ARP），逆向地址解析协议（RARP） 网络层协议：IP协议， Internet控制报文协议（ICMP）：发送出错和控制消息，提供了一个错误侦测与回馈机制 传输层协议：TCP协议，UDP协议 应用层协议：HTTP（80），SMTP（25）和POP3，DNS（53）、SSH(22)、telnet（23）、FTP（21）
    • ２． 网络安全威胁技术
      • 1、网络攻击的一般流程 隐藏攻击源、收集目标的信息、挖掘目标的漏洞信息、获取目标的访问权限 隐藏攻击行为、实施攻击、开辟后门、清除攻击痕迹 2、常见的端口扫描技术 完全连接扫描：源主机和目的主机，建立一次三次握手 半连接扫描：只完成前两次握手，不建立一次完整的连接 SYN扫描：向目标主机发送连接请求，当目标主机返回响应后，立即切断连接过程（返回：ACK开放、RESET关闭） ID头信息扫描：借助第三方主机，ID头递增１则端口关闭，否则端口开放 隐蔽扫描：绕过安全设备，取得目标主机端口信息 SYN｜ACK扫描：发送SYN｜ACK数据包，不返回信息则端口开放，返回RST则端口关闭 FIN扫描：发送FIN数据包，不返回信息则端口开放，返回RST则端口关闭 ACK扫描：发送FIN数据包，开放＜TLL值６４＜关闭　关闭＜WIN值０＜开放 NULL扫描：标志位置空，不返回信息则端口开放，返回RST则端口关闭 XMAS扫描：标志位全部置成1，不返回信息则端口开放，返回RST则端口关闭 3、DDOS攻击的一般过程：采用C/S部署 通过探测扫描大量主机，寻找可被攻击的目标 攻击有安全漏洞的主机，并设法获取控制权 在已攻击成功的主机中安装客户端攻击程序 利用已攻击成功的主机继续扫描和攻击，从而扩大可被利用的主机 当安装了攻击程序的客户端，达到一定数量后，攻击者在主机端给客户端攻击程序发布命令，同时攻击特定主机 常见的DDOS攻击手段包括：HTTP Flood攻击、SYN FLood攻击、DNS放大攻击 4、拒绝服务攻击的特点 难确认性：用户在得不到及时响应时，很难判断自己是否受到攻击 隐蔽性：正常请求服务，从而隐蔽拒绝服务攻击的过程 资源有限性：计算机的资源时有限的，容易实现拒绝服务攻击的过程 软件复杂性：因难以确保软件没有缺陷，所以攻击者利用软件缺陷进行拒绝服务攻击 5、拒绝服务攻击的方式 同步包风暴（SYN Flood）：发送大量的半连接状态的服务请求，使TCP/IP的三次握手无法完成，从而无法建立连接 UDP洪水（UDP Flood）：利用主机能自动回复的服务，在两台主机之间传送足够多的无用数据流 Smurf攻击：将回复地址设置成目标网络广播地址，如果在复杂点就把原地址改为第三方的目标网络 垃圾邮件:耗尽用户信箱的磁盘空间，使用户无法应用这个邮箱 消耗CPU和内存资源的拒绝服务攻击：构造恶意的输入数据，导致目标系统CPU或资源耗尽 死亡之ping：ICMP数据包大于64KB,就会出现内存分配错误 泪滴攻击：暴漏出IP数据包分解与重组的弱点，增加了偏移量 分布式拒绝服务攻击：植入后门程序，然后统一攻击统一目标 6、远程口令破解的流程 建立与目标网络服务的网络连接 选取一个用户列表文件及字典文件 在用户列表文件及字典文件中，选取一组用户名和口令，发送到目标网络服务端口 检测远程服务返回的信息，确定口令尝试是否成功 若不成功，再取另一组，重复试验，直到口令用户列表及字典文件选取完毕 7、网络攻击模型 【攻击树杀伤CK】 攻击树模型（又称故障树模型） 可以被red team用来进行渗透测试，同时也可以被blue team用来研究御机制 优：能够采取专家头脑风暴法，并且将这些意见融合到攻击树中去；能够进行费效分析或者概率分析；能够建模非常复杂的攻击场景 缺：由于树结构的内在限制，攻击树不能用来建模多重尝试攻击、时间依赖及访问控制等场景；不能用来建模循环事件；对于现实中的大规模网络，攻击树方法处理起来将会特别复杂。 MITRE 　ATT＆CK模型（又称攻击矩阵模型） 基于MITRE 　ATT＆CK常见的应用场景主要有网络红蓝对抗模拟、网络安全渗透测试、网络防御差距评估、网络威胁情报收集等 网络杀伤链 该模型将网络攻击活动分成：目标侦察、武器构造、载荷投送、漏洞利用、安装植入、指挥和控制、目标行动等七个阶段。 ———————————————— 版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。 原文链接：https://blog.csdn.net/qq_45418203/article/details/133974473
      • 1.扫描技术
        • 考点
          • IP地址扫描：操作系统命令ping（网络故障诊断命令）、tracer，自动化的扫描工具Namp 、Superscan 端口扫描：Namp软件； TCP全连接扫描，TCP SYN扫描，TCP FIN扫描， UDP的ICMP端口不可达扫描，ICMP扫描； 乱序扫描和慢速扫描 漏洞扫描：网络漏洞扫描（模拟攻击技术）；主机漏洞扫描（漏洞特征匹配技术、补丁安装信息的检测） 弱口令扫描：基于字典攻击的弱口令扫描技术、基于穷举攻击的弱口令扫描技术 综合漏洞扫描：Nessus 扫描防范技术：防火墙，用安全监测工具对扫描行为进行监测
        • (1)IP地址扫描
        • (2)端口扫描:慢速扫描可以隐藏端口扫描行为.
          • 常见的端口扫描技术:TCP全连接扫描,TCP SYN扫描,TCP FIN扫描(也称为秘密扫描)
          • 网络端口扫描工具中功能最强,使用最普遍的是Nmap软件,它支持Linux和Windows等操作系统.
        • (3)漏洞扫描
        • (4)弱口令扫描:对弱口令等登录信息的扫描主要包括基于字典攻击的扫描技术和基于穷举攻击的扫描技术.
        • (5)综合漏洞扫描:扫描工具非常多,可对网络漏洞和系统漏洞进行全面的扫描,具体的扫描技术包括互联网信息收集,IP地址扫描,网络端口的扫描,漏洞扫描,弱口令的扫描,注入攻击.
          • 工具：Sniffer 非主动类信息获取攻击技术 防范：实现对网络传输数据的加密，VPN、SSL、SSH等加密和传输的技术和设备，利用网络设备的物理或者逻辑隔离的手段
      • 2.网络嗅探:
        • 网络攻击者如果能够通过网络嗅探工具获得目标计算机的网络传输的数据包,就可以通过对数据包按照协议进行还原和分析,从而获取目标计算机传输的大量信息.
        • (1)网络嗅探的防范:VPN,SSL,SSH等加密传输的设备和技术可有效防范网络嗅探工具对数据包的嗅探和分析.
      • 3.网络协议欺骗:
        • (1)IP地址欺骗
          • 和其他攻击技术相结合
        • (2)ARP欺骗
          • 中间人欺骗（局域网环境内实施）， 伪装成网关欺骗（主要针对局域网内部主机与外网通信的情况）； 防范：MAC地址与IP地址双向静态绑定
        • (3)TCP欺骗
          • 将外部计算机伪装成合法计算机； 非盲攻击：网络嗅探，已知目标主机的初始序列号， 盲攻击：攻击者和目标主机不在同一个网络上
        • (4)DNS欺骗
          • 基于DNS服务器的欺骗， 基于用户计算机的DNS欺骗
      • 4.诱骗式攻击
        • (1)网站挂马: 网站挂马是指网站中的网页被攻击者恶意修改后,添加了可以触发并下载恶意程序的链接以及恶意代码和脚本.
          • 目前,网络挂马的主要技术手段有框架挂马, js脚本挂马, body挂马和 伪装欺骗挂马4种.
          • 攻击者成功入侵网站服务器，具有了网站中网页的修改权限 技术：框架挂马：直接加在框架代码和框架嵌套挂马；JS脚本挂马；body挂马；伪装欺骗挂马 防范：Web服务器，用户计算机
        • (2)诱骗下载: 诱骗下载是指攻击者将木马病毒与图片,FLash动画,文本文件,应用软件等多种格式的文件进行捆绑,将捆绑后的文件配以迷惑性或欺骗性的文件名在网络中发布散播以诱使用户点击下载.
          • 主要方式：多媒体类文件下载，网络游戏软件和插件下载，热门应用软件下载，电子书爱好者，P2P种子文件 文件捆绑技术：多文件捆绑方式，资源融合捆绑方式，漏洞利用捆绑方式
        • (3)钓鱼网站: 钓鱼网站是一种被黑客实施网络欺诈的伪造网站.
        • (4)社会工程学: 社会工程学是针对受害者的好奇心,贪婪,心理弱点,本能反应等特点而采取的欺骗,陷阱,伤害等危害手段.
      • 5.软件漏洞攻击利用技术
        • 考点
          • 软件漏洞：操作系统服务程序漏洞，文件处理软件漏洞，浏览器软件漏洞，其他软件漏洞 软件漏洞攻击利用技术： 1、直接网络攻击； 2、诱骗式网络攻击：基于网站的诱骗式网络攻击，网络传播本地诱骗点击攻击
        • (1)Metasploit是一款知名的软件漏洞网络攻击框架性工具,它提供了开源的软件框架,允许开发者以插件的形式提交攻击的脚本.
        • (2)在操作系统平台中的软件漏洞按照软件类别的不同,可以分为操作系统服务程序漏洞,文件处理软件漏洞,浏览器软件漏洞和其他软件漏洞.
        • (3)2004年引发的"震荡波"病毒利用的是微软LSASS服务中的缓冲区溢出漏洞,这些漏洞属于操作系统服务程序漏洞.
      • 6.拒绝服务攻击(DoS)
        • 考点
          • 实现方式：利用目标主机自身存在的拒绝服务性漏洞进行攻击，耗尽目标主机CPU和内存等计算机资源的攻击，耗尽目标主机网络带宽的攻击 分类： - IP层协议的攻击：发送ICMP协议的请求数据包，Smurf攻击； - TCP协议的攻击：利用TCP本身的缺陷实施的攻击，包括SYN-Flood和ACK-Flood攻击，使用伪造的源IP地址，利用TCP全连接发起的攻击，僵尸主机； - UDP协议的攻击；应用层协议的攻击：脚本洪水攻击 分布式拒绝服务（DDos）：攻击者，主控端，代理端，僵尸网络 防范：支持DDos防御功能的防火墙
        • DDos攻击的一般过程：采用C/S部署
          • · 通过探测扫描大量主机，寻找可被攻击的目标 · 攻击有安全漏洞的主机，并设法获取控制权 · 在已攻击成功的主机中安装客户端攻击程序 · 利用已攻击成功的主机继续扫描和攻击，从而扩大可被利用的主机 · 当安装了攻击程序的客户端，达到一定数量后，攻击者在主机端给客户端攻击程序发布命令，同时攻击特定主机
        • 拒绝服务攻击的特点
          • . 难确认性：用户在得不到及时响应时，很难判断自己是否受到攻击
          • . 隐蔽性：正常请求服务，从而隐蔽拒绝服务攻击的过程
          • . 资源有限性：计算机的资源时有限的，容易实现拒绝服务攻击的过程
          • . 软件复杂性：因难以确保软件没有缺陷，所以攻击者利用软件缺陷进行拒绝服务攻击
        • 拒绝服务攻击的方式
          • . 同步包风暴（SYN Flood）：发送大量的半连接状态的服务请求，使TCP/IP的三次握手无法完成，从而无法建立连接
          • . UDP洪水（UDP Flood）：利用主机能自动回复的服务，在两台主机之间传送足够多的无用数据流
          • . Smurf攻击：将回复地址设置成目标网络广播地址，如果在复杂点就把原地址改为第三方的目标网络
          • . 垃圾邮件:耗尽用户信箱的磁盘空间，使用户无法应用这个邮箱
          • . 消耗CPU和内存资源的拒绝服务攻击：构造恶意的输入数据，导致目标系统CPU或资源耗尽
          • . 死亡之ping：ICMP数据包大于64KB,就会出现内存分配错误
          • . 泪滴攻击：暴漏出IP数据包分解与重组的弱点，增加了偏移量
          • . 分布式拒绝服务攻击：植入后门程序，然后统一攻击统一目标
        • 常见的DDOS攻击手段包括：HTTP Flood攻击、SYN FLood攻击、DNS放大攻击
        • (1)拒绝服务攻击是指攻击者向目标计算机发出数量众多的攻击数据包,消耗目标计算机大量的网络带宽和计算机资源,使得目标计算机没有剩余带宽和资源给正常用户的服务请求提供响应的一种攻击方式.
        • (2)DoS攻击主要有IP层协议的攻击,TCP协议的攻击,UDP协议的攻击和应用层协议的攻击
        • (3)利用TCP协议的DoS攻击可分为两类, 一类是利用TCP协议本身的缺陷实施的攻击,包括SYN-Flood和ACK-Flood攻击; 另一类是利用TCP全连接发起的攻击.ACK-Flood攻击发送的是TCP协议中ACK标志位设为1的数据包,其中的源IP地址是伪造的,目标主机收到后根据TCP协议规则会回应ACK和RST标志位设为1的数据包.
        • (4)UDP Flood攻击是耗尽目标主机网络带宽的攻击。
      • 7.Web脚本攻击
        • 针对Web服务器端应用系统的攻击技术： 注入攻击：SQL注入，代码注入，命令注入，LDAP注入，XPath注入； 防范：遵循数据与代码分离的原则 访问控制攻击，非授权的认证和会话攻击 针对Web客户端的攻击技术： 跨站脚本攻击（XSS）：反射型XSS（非持久性的跨站脚本攻击）， 存储型XSS（持久型的跨站脚本攻击）， DOM-based XSS（基于文档对象模型的跨站脚本攻击）：从效果上来说属于反射型XSS 跨站点请求伪造攻击（CSRF）：伪造客户顿请求； 防范：使用验证码，在用户会话验证信息中添加随机数 点击劫持攻击：
      • 8.远程控制
        • 考点
          • 具有远程控制、信息偷取、隐藏传输功能的恶意程序；通过诱骗的方式安装；一般没有病毒的的感染功能；特点：伪装性，隐藏性，窃密性，破坏性； 连接方式：C/S结构；最初的网络连接方法； 反弹端口技术：服务器端主动的发起连接请求，客户端被动的等待连接； 木马隐藏技术：线程插入技术、DLL动态劫持技术、RootKit（内核隐藏技术） Webshell：用Web脚本写的木马后门，用于远程控制网站服务器；以ASP、PHP、ASPX、JSP等网页文件的形式存在；被网站管理员可利用进行网站管理、服务器管理等
        • 对目标主机的远程控制主要利用木马来实现,此外,对于web服务器还可以通过webshell进行远程控制.
          • (1)木马的特点:伪装性,隐藏性,窃密性,破坏性
          • (2)木马的连接方式:为了实现对目标主机的远程控制,木马程序都采用C/S的结构.它由两部分程序组成,即客户端和服务端木马程序.
          • (3)木马的隐藏技术
          • webshell在被控服务器上传递远程控制数据的网络端口是: 80
        • 线程插入技术
        • DLL动态劫持技术:是一种让程序加载非系统目录下DLL的技术.
        • Rootkit技术:RootKit是一种内核隐藏技术,它使得恶意程序可以逃避操作系统标准管理程序的查找.
    • ３． 网络安全防护技术
      • （１）防火墙
        • 考点
          • 一般部署在网络边界，也可部署在内网中某些需要重点防护的部门子网的网络边界
            • 功能：在内外网之间进行数据过滤； 对网络传输和访问的数据进行记录和审计； 防范内外网之间的异常网络行为； 通过配置NAT提高网络地址转换功能
            • 分类： 1、硬件防火墙：X86架构的防火墙（中小企业），ASIC、NP架构的防火墙（电信运营商）； 2、软件防火墙（个人主机防火墙、企业级软件防火墙）
          • 防火墙技术：
            • 包过滤技术：默认规则；主要在网络层和传输层进行过滤拦截，不能阻止应用层攻击，也不支持对用户的连接认证，不能防止IP地址欺骗
            • 状态检测技术（动态包过滤技术）：增加了对数据包连接状态变化的额外考虑，有效阻止Dos攻击
            • 地址翻译技术：静态NAT、NAT池、端口地址转换PAT
            • 应用级网关（代理服务器）：在应用层对数据进行安全规则过滤
          • 体系结构：
            • 双重宿主主机体系结构：至少有两个网络接口，在双重宿主主机上运行多种代理服务器，有强大的身份认证系统
            • 屏蔽主机体系结构：防火墙由一台包过滤路由器和一台堡垒主机组成，通过包过滤实现了网络层传输安全的同时，还通过代理服务器实现了应用层的安全
            • 屏蔽子网体系结构：由两个包过滤路由器和一台堡垒主机组成；最安全，支持网络层、传输层、应用层的防护功能；添加了额外的保护体系，周边网络（非军事区，DMZ）通常放置堡垒主机和对外开放的应用服务器；堡垒主机运行应用级网关
          • 防火墙的安全策略:
        • (1)防火墙不能防范的安全威胁
          • 不能防范内网之间的恶意攻击
          • 不能防范绕过防火墙通道上的攻击
          • 不能防范病毒和内部驱动的木马
          • 不能防备针对防火墙开放端口的攻击
        • (2)防火墙的安全策略
          • 内网可以访问外网
          • 内网可以访问DMZ
          • 外网不能访问内网
          • 外网可以访问DMZ
          • DMZ不能访问内网
          • DMZ可以访问外网
        • (3)防火墙的体系结构
          • 双重宿主主机体系结构,屏蔽主机体系结构,屏蔽子网体系结构
      • （２）入侵检测系统与入侵防御系统
        • 考点
          • 入侵检测系统（IDS）：
            • 控制台：在内网中，探测器：连接交换机的网络端口
            • 分类： 根据数据采集方式：基于网络的入侵检测系统（NIDS）、基于主机的入侵检测系统（HIDS）； 根据检测原理：误用检测型入侵检测系统、异常检测型入侵检测系统
            • 技术： 误用检测技术：专家系统、模型推理、状态转换分析； 异常检测技术：统计分析、神经网络； 其他入侵检测技术：模式匹配、文件完整性检验、数据挖掘、计算机免疫方法
            • 体系结构：集中式结构：单一的中央控制台； 分布式结构：建立树形分层结构
            • 部署：一个控制台可以管理多个探测器，控制台可以分层部署，主动控制台和被动控制台
            • 总之：注重安全审计，适合用于了解网络安装状态 ，但在防御攻击方面不能提供有效帮助 ；
          • 入侵防御系统（IPS）：
            • 功能： 1.拦截恶意流量 2.实现对传输内容的深度检测和安全防护 3.对网络流量监测的同时进行过滤
            • 部署：网络设备：网络中需要保护的关键子网或者设备的网络入口处，控制台
            • 不足：可能造成单点故障，可能造成性能瓶颈，漏报和无保的影响
        • (1)入侵检测系统包括控制台和探测器两部分,其中,探测器是前端采集数据的网络设备,连接交换机的网络端口.
        • (2)误用检测技术是指利用已知系统和应用软件的弱点攻击模式建立相关特征库来检测入侵.常用的误用检测技术包括专家系统,模型推理和状态转换分析.
      • （３）ＰＫＩ
        • PKI公钥基础设施 · PKI就是有关创建、管理、存储、分发和撤销公钥证书所需要的硬件、软件、人员、策略和过程的安全服务设施 · PKI各实体的功能分别叙述如下： · 客户端：指需要基于PKI安全服务的使用者，包括用户、服务进程等 · RA：证书登记权威机构，将公钥和对应的证书持有者的身份及其他属性联系起来，进行注册和担保；注册机构提供用户和CA之间的一个接口，他获取用户信息并进行资格审查，然后向CA发起出证书的请求。较小的机构，可以有CA兼任RA的工作 · CA：证书授权机构，主要进行证书的颁发、废止和更新； · 目录服务器：CA通常使用一个目录服务器，提供证书管理和分发的服务。 · 终端实体：指需要认证的对象，例如服务器、打印机、E-mali地址、用户等
        • 考点
          • 公共密钥基础设施（PKI）是创建、管理、存储、分布和作废数字证书的一场系列软件、硬件、人员、策略和过程的集合 组成： 数字证书是PKI的核心； 典型的pki系统包括 1、安全策略； 2、证书认证机构（CA）； 3、证书注册机构； 4、证书分发机构； 5、基于PKI的应用接口 数字证书 信任模式：单证书认证机构信任模式，层次信任模型，桥证书认证机构信任模型 证书注册机构「RA」 是接受客户端证书申请并进行审核注册的机构
        • (1)公共密钥基础设施(PKI)是一个用公钥密码学技术来实施和提供安全服务的安全基础设施,它是创建,管理,存储,分布和作废数字证书的一系列软件,硬件,人员,策略和过程的集合.
        • (2)目前,国内外已经提出的信任模型包括单证书认证机构信任模型,层次信任模型,网状信任模式,混合信任模式,桥证书认证机构信任模式,多根信任模式,web信任模型和以用户为中心的信任模型.
        • (3)数字证书的验证需要对三个信息进行确认:验证有效性,验证可用性,验证真实性
        • (4)数字证书内容包括:证书序列号,证书持有者名称,证书颁发者名单,证书有效期,公钥,证书颁发者的一系列数字签名.
        • 考点
          • 当然，以下是PKI（公钥基础设施）及相关网络安全技术考点的详细叙述： 1. PKI的定义和组成： - PKI是一套用于创建、管理、分发、使用、存储和撤销数字证书的技术和流程。 - 组成包括：证书颁发机构（CA）、注册机构（RA）、证书库、证书吊销列表（CRL）、密钥归档和恢复服务。 2. 数字证书： - 数字证书是一种数字文档，用于证明公钥的所有者身份。 - 包含：证书所有者的公钥、证书所有者的身份信息、CA的数字签名等。 数字证书的存储格式标准有多种,[6]X.509是最基本的证书存储格式。采用此格式的证书结构如下所示。 3. 信任模式： - 单证书认证机构信任模式：所有用户都信任同一个CA。 - 层次信任模型：多个CA形成一个层次结构，下级CA信任上级CA。 - 桥证书认证机构信任模型：用于连接两个不同的PKI体系。 4. PKI的应用： - Web安全：如HTTPS，使用数字证书加密数据传输。 - 安全电子邮件：如S/MIME，确保邮件内容的保密性和完整性。 - SET（安全电子交易）：保护在线交易的安全。 - VPN（虚拟私人网络）：使用数字证书进行身份验证和加密通信。 - IPSec：使用数字证书进行身份验证和加密IP通信。 5. PKI的安全性： - CA私钥保护：确保CA的私钥不被未授权访问。 - 角色分离：确保关键操作由不同的人执行，以减少安全风险。 - 安全策略：定义PKI的运作规则和安全要求。 6. 密码技术： - 对称加密：使用相同的密钥进行加密和解密。 - 非对称加密：使用一对密钥，公钥加密，私钥解密。 - 哈希函数：将任意长度的数据转换为固定长度的哈希值。 - 数字签名：使用私钥对数据进行签名，确保数据的完整性和来源的不可否认性。 7. 信息安全风险评估： - 资产识别：确定需要保护的信息资产。 - 威胁识别：识别可能对资产造成损害的威胁。 - 脆弱性识别：发现资产中可能被威胁利用的弱点。 8. 网络安全协议： - IPSec：一套用于保护IP通信的协议，包括认证和加密。 - SSL/TLS：用于Web浏览器和服务器之间建立加密连接的协议。 9. VPN技术： - VPN允许远程用户通过公共网络（如互联网）安全地连接到企业内部网络。 - 使用数字证书进行身份验证，确保只有授权用户可以访问网络。 10. 安全策略： - CP（证书策略）：定义证书的颁发和使用规则。 - CPS（证书实践声明）：详细描述CA的操作实践，包括证书的颁发、吊销和更新过程。 掌握这些考点对于理解PKI在网络安全中的作用至关重要，它们是构建安全网络通信的基础。
      • （４）ＶＰＮ
        • 考点
          • 利用开放的物理链路和专用的安全协议实现逻辑上网络安全连接的技术 网络连接类型：远程访问型VPN（Client-LAN）客户机和服务器都安装VPN软件； 网络到网关类型的VPN（LAN-LAN）客户端和服务器各自在自己的网络边界部署硬件VPN网关设备 VPN协议分类：网络隧道技术 1、 链路层：第二层隧道协：封装数据链路层数据包； 2、 介于二、三层之间的隧道协议；（基于多协议标记交换技术的一种协议，使用标签进行转发面向连接的技术） 3、网络层：第三层隧道协议IPSec，通用路由封装协议（GRE）； 4、传输层的SSL VPN协议：SSL协议工作在TCP/IP和应用层之间
        • VPN类型
          • - 链路层VPN ATM、Frame Relay、多协议标签交换MPLS、PPTP、L2TP - 网络层VPN 受控路由过滤、隧道技术（IPsec、GRE） - 传输层VPN SSL/TSL - VPN的实现技术：密码算法、秘钥管理、认证访问控制、IPsec、SSL、PPTP、L2TP
            • SSL
              • 传输层安全协议，用于构建客户端和服务器之间的安全通道，包含两层协议：
              • 上层：SSL握手协议、SSL密码变化协议和SSL报警协议
              • 下层：SSL记录协议；为高层协议提供基本的安全服务，比如分块、压缩、计算添加HMAC、加密等
              • SSL握手协议：认证、协商加密算法和密钥
              • SSL密码规格变更协议：保护客户端和服务器双方应该每隔一段使劲按改变加密规范
              • SSL报警协议：通信过程中某一方发现任何异常，就需要给对方发送一条警示消息通告
              • SSL协议提供三种安全通信服务：
                • - 保密性通信：握手协议产生秘密密钥后才开始加、解密数据。数据的加、解密使用对称式密码算法，例如DES、AES等
                • - 点对点之间的身份认证：采用非对称式密码算法，例如RSA、DSS等
                • - 可靠性通信：信息传送时包含信息完整性检查，使用有密钥保护的消息认证（Message Authentication Code，MAC），MAC的计算采用安全杂凑函数例如SHA、MD5
        • (1)VPN是利用开放网络的物理链路和专用的安全协议实现逻辑上网络安全连接的技术.
        • (2)现有封装协议主要包括第二层隧道协议,第三层隧道协议,介于二,三层之间的隧道协议,以及传输层的隧道协议.
        • (3)目前在VPN中应用
      • （５）网络安全协议
        • 考点
          • Internet安全协议（IPSec）：引入加密算法、数据完整性验证和身份认证； 网络安全协议：认证协议头（AH）、安全载荷封装（ESP，传输模式、隧道模式）， 密钥协商协议：互联网密钥交换协议（IKE） 传输层安全协议（SSL）：解决点到点数据安全传输和传输双方身份认证的网络安全传输协议；记录协议和握手协议(加密、身份验证、完整性保护) 应用层安全协议： Kerberos协议； SSH协议：加密所有传输的数据，能防止DNS欺骗和IP欺骗； 安全超文本传输协议（SHTTP）； 安全多用途网际邮件扩充协议（S/MIME）； 安全电子交易协议（SET）
        • (1)Internet安全协议(IPSec)是由互联网工程任务组提供的用于保障Internet安全通信的一系列规范,为私有信息通过公用网提供安全保障.IPSec支持IPv6和IPv4.
        • (2)IPSec协议是一组开放协议的总称,它包括网络安全协议和密钥协商协议两部分.其中, 网络安全协议包括认证协议头协议(AH)和 安全载荷封装协议(ESP),密钥协商协议包括互联网密钥交换协议(IKE).
          • 组成：
            • 认证头AH------保证IP数据包的完整性和数据源认证代表协议：MD5、SHA
            • 封装安全负荷ESP------将IP数据包进行封装加密处理，生成带有ESP协议的信息的新IP包，防重放攻击代表协议：DES、3DES、AES
          • 工作模式：透明模式---只保护IP包中的数据域
          • 随到模式---保护IP包的包头+数据
            • 秘钥交换协议------用于生成和分发秘钥 代表协议：DHCP
        • (3)ESP协议:为基于IPSec的数据通信提供了安全加密,身份认证和数据完整性鉴别这三种安全保护机制.ESP可以对IP层及其上层应用协议进行封装,并进行加密或者认证处理,从而实现对数据的机密性和完整性的保护.根据ESP封装的内容不同,可将ESP分为传输模式和隧道模式两种模式.
        • (4)认证协议头AH协议
        • (5)密钥协商协议:IKE协议负责两个IPSec对等体之间协商相关安全参数,IKE协议属于混合型协议,由3个协议组成:ISAKMP,OaKley,SKEME.
      • 其他
        • A. CNVD : 国家信息安全漏洞共享平台的英文缩写为CNVD，全称为China National Vulnerability Database 。其他选项的英文全称和含义如下： B. CNCERT：国家计算机网络应急技术处理协调中心（National Computer Network Emergency Response Technical Team/Coordination Center of China），是中国计算机网络应急处理体系中的牵头单位 。 C. CNNVD：中国国家信息安全漏洞库（China National Vulnerability Database of Information Security），是中国信息安全测评中心（CNITSEC）负责建设运维的国家级信息安全漏洞库 。 D. NVD：美国国家计算机通用漏洞数据库（National Vulnerability Database），是美国权威的漏洞数据收集平台 。
  • 五、应用安全
    • １． 软件漏洞
      • 软件漏洞的概念和特点
        • 漏洞的定义包含以下3个要素: 首先,1、漏洞是计算机系统本身存在的缺陷; 2、其次,漏洞的存在和利用都有一定的环境要求; 3、最后,漏洞存在的本身是没有危害的,只有被攻击者恶意利用,才能给计算机系统带来威胁和损失. 软件漏洞的特点： 1、危害性大 2、影响广泛 3、存在的长久性 4、隐蔽性
        • 1.按照漏洞生命周期的阶段进行分类的方法包括以下三种:(1)0day漏洞(2)1day漏洞(3)已公开漏洞
      • 软件漏洞的分类
        • 1. 漏洞的生命周期不同阶段的划分
          • 0day漏洞、1day漏洞、已公开漏洞
        • 2.软件漏洞危险等级的划分, >>根据件漏洞在破坏性,危害性,严重性方面造成的潜在威胁程度,以及漏洞被利用的可能性,对各种软件漏洞进行分级.
          • (1)第一级:紧急,这是危险级别最高的等级,微软公司安全公告的第一级定义为"严重".
          • (2)第二级:重要,微软公司安全公告的第二级定义为"重要".
          • (3)第三级:中危,微软公司安全公告的第三级定义为"中等".
          • (4)第四级:低危,微软公司安全公告的第四级定义为"警告".
      • 漏洞库
        • 国内外知名的软件库有: 1.CVE 2.Bugtraq 3.NVD 4.CNNVD（中国国家信息安全漏洞库） 5.CNVD 6.其他漏洞库: 1.EDB漏洞库 2.微软安全公告板和微软安全建议 3.绿盟科技的中文安全漏洞库 4.启明星辰的中文安全公告库
      • 常见的软件漏洞
        • (1)缓冲区(溢出)漏洞: 栈溢出漏洞、堆溢出漏洞、单字节溢出漏洞 >>堆是先进先出的数据结构,往高地址增长;栈是一个后进先出的数据结构,往低地址增长.
        • (2)格式化字符串漏洞
        • (3)整数溢出漏洞: 存储溢出,运算溢出,符号问题
        • (4)数组越界漏洞
        • (5)写污点值到污点地址漏洞
        • (6)内存地址对象破坏性调用漏洞: >属于攻击者了解程序代码后实施的一种非正常调用导致的漏洞,属于UAF漏洞.
      • 软件漏洞利用及其防护技术
        • Windows操作系统中提供的主要几种漏洞防范技术:
          • (1)GS Stack protection
          • (2)DEP
          • (3)ASLR
          • (4)SafeSEH
          • (5)SEHOP
        • 其他
          • A.漏洞利用 exploit（Vulnerability Exploit）: 漏洞利用是根据软件漏洞的具体条件,构造相应输入参数不和shellcode代码,最终实现获得程序控制权的过程, B. 漏洞挖掘（Vulnerability Discovery）：是指发现软件、系统或网络中存在的安全漏洞的过程。 C. 漏洞分析（Vulnerability Analysis）：是指对已知的漏洞进行深入研究，分析其成因、影响范围和潜在危害的过程。 D. 漏洞修复（Vulnerability Patching）：是指对已知的漏洞进行修补，以防止攻击者利用这些漏洞对系统造成损害的过程。
      • 软件漏洞的发展趋势
        • 5.漏洞利用的核心是利用程序漏洞去执行shellcode以便劫持进程的控制权.
      • 考点
        • 定义
          • 软件漏洞是指软件中存在的缺陷或错误，可能导致安全问题。
        • 常见类型
          • 缓冲区溢出：通过向缓冲区写入超过其容量的数据，导致程序崩溃或执行恶意代码。 格式字符串漏洞：通过恶意构造的格式字符串，导致程序泄露内存信息或执行任意代码。 整数溢出：通过恶意构造的数据导致整数溢出，引发安全问题。 内存泄漏：程序未能正确释放内存，导致资源耗尽。 竞争条件：多个线程或进程同时访问共享资源，导致不一致的状态。 输入验证不足：对用户输入的验证不充分，导致注入攻击等安全问题。
        • 漏洞利用
          • 漏洞扫描
            • ：使用工具扫描软件中的漏洞。
          • 漏洞利用
            • ：利用已知漏洞进行攻击，如缓冲区溢出攻击、SQL注入等。
        • 漏洞管理
          • 漏洞评估：评估漏洞的风险和影响。 漏洞修复：及时修复已知漏洞，发布安全补丁。 漏洞公告：发布漏洞公告，提醒用户采取措施。
    • ２． 软件安全开发
      • 软件生命周期
      • 软件开发生命周期模型
      • 软件安全开发
        • 子主题
      • 软件安全开发生命周期
      • 软件开发生命周期
        • 需求分析：明确安全需求，识别潜在的安全风险。 设计：设计安全架构，选择合适的安全技术和标准。 编码：编写安全的代码，避免常见的安全漏洞。 测试：进行安全测试，发现和修复安全问题。 部署：安全地部署软件，确保运行环境的安全性。 运维：持续监控和维护软件，及时修复新发现的安全问题。
      • 安全编码
        • 避免常见漏洞：如SQL注入、XSS、CSRF等。 代码审查：定期进行代码审查，发现和修复安全漏洞。 使用安全库：使用经过安全验证的库和框架。
      • 安全测试
        • 静态代码分析：使用工具检查代码中的潜在漏洞。 动态测试：模拟攻击测试应用程序的安全性。 渗透测试：模拟黑客攻击，发现和修复安全漏洞。
      • 软件安全开发生命周期
      • 子主题
        • (1)建立安全威胁模型
        • (2)安全设计
        • (3)安全编程
        • (4)安全测试
    • ３． 软件安全检测
      • 软件安全检测技术主要用于对软件中的安全缺陷或漏洞进行分析测试,以期发现软件中的安全隐患.软件安全检测技术主要包括软件静态安全检测技术,软件动态安全检测技术和软件动静结合的安全检测技术.
      • 1.软件静态安全检测技术
        • 是针对未处于运行状态的软件所展开的安全分析测试技术.静态安全检测技术可以用于对软件源代码和可执行代码的检测.
        • (1)软件源代码的静态安全检测技术:词法分析,数据流分析,污点传播分析,符号执行,模型检验,定理证明.
        • (2)可执行代码的静态安全检测技术:基于程序结构的安全检测技术,基于程序语义的安全检测技术.
      • 2.软件动态安全检测技术
        • (1)模糊测试
        • (2)智能模糊测试
        • (3)动态污点分析
      • 3.软件动静结合安全检测技术
        • 将动态分析和静态分析结合起来对二进制程序进行分析,这种技术比单纯的动态分析和静态分析更加复杂,比较有代表性的是 BitBlaze,BitBlaze由三部分组成:TEMU,VINE和Rudder.
      • 考点
        • 常见工具
          • 静态分析工具：如Fortify、Coverity、Klockwork等。 动态分析工具：如AppScan、WebInspect、OWASP ZAP等。 漏洞扫描器：如Nessus、OpenVAS等。
        • 检测方法
          • 代码审查：人工或工具辅助的代码审查，发现潜在的安全问题。 单元测试：编写单元测试用例，确保代码的正确性和安全性。 集成测试：测试软件各模块之间的交互，发现集成过程中的安全问题。 渗透测试：模拟黑客攻击，发现和修复安全漏洞。
        • 检测流程
          • 计划：制定检测计划，明确检测范围和目标。 执行：使用工具进行检测，记录检测结果。 报告：生成检测报告，详细记录发现的安全问题。 修复：根据检测报告，修复发现的安全问题。
    • ４． 软件安全保护
      • 0.软件安全保护的基本概念
      • 1.基于软件技术的软件安全保护技术
        • (1)注册信息验证技术
        • (2)软件防篡改技术
        • (3)代码混淆技术 (词法转换、控制流转换、数据转换)
        • (4)软件水印技术
        • (5)软件加壳技术 (代码变形技术)
        • (6)反调试反跟踪技术
      • 2.基于硬件介质的软件安全保护技术
        • 加密狗,加密光盘,专用接口卡
      • 考点
        • 常见技术
          • 加密技术：使用对称加密和非对称加密保护数据的机密性。 数字签名：使用数字签名验证软件的真实性和完整性。 代码混淆：通过混淆代码，增加逆向工程的难度。 反调试技术：检测和阻止调试器的使用。 白盒加密：保护密钥和敏感数据在内存中的安全。
        • 保护措施
          • 防篡改：使用数字签名和完整性校验，防止软件被篡改。 防逆向：使用代码混淆和白盒加密，防止逆向工程。 防调试：使用反调试技术，防止调试器的使用。 防破解：使用加密技术和数字签名，防止软件被破解。
    • ５． 恶意程序
      • 恶意程序定义
        • 是指恶意影响计算机操作系统,应用系统和数据的完整性,可用性,可控性和保密性的计算机程序.
      • 1.恶意程序的分类
        • (1)单一功能病毒(2)木马(3)蠕虫(4)恶意脚本(5)综合性病毒
      • 2.恶意程序的传播方法和破坏功能
        • (1)网络挂马(2)诱骗下载(3)通过移动存储介质传播(4)通过电子邮件和即时通信软件传播(5)通过局域网传播
      • 3,恶意程序检测查杀技术
        • (1)特征码查杀技术:依据恶意程序的特征码进行查杀是最基本的一种杀毒技术,然而,特征码查杀技术不能有效检测采用加壳技术的恶意程序.
        • (2)启发式查杀技术
        • (3)虚拟机查杀技术
        • (4)主动防御技术
      • 4.恶意程序的防范
      • 考点图例
      • 考点
        • 常见类型
          • 病毒：通过感染其他文件传播，破坏系统或数据。 蠕虫：通过网络传播，自动复制和传播。 木马：伪装成合法软件，诱使用户下载和安装，然后执行恶意操作。 间谍软件：收集用户信息并发送给攻击者。 勒索软件：加密用户数据，要求支付赎金才能解密。
        • 防范措施
          • 防病毒软件：安装和更新防病毒软件，定期扫描系统。 防火墙：使用防火墙控制网络流量，防止恶意程序的传播。 用户教育：提高用户的安全意识，避免下载和安装不明来源的软件。 系统更新：及时更新操作系统和应用程序，修复已知漏洞。 备份：定期备份重要数据，防止数据丢失。
    • ６． Ｗｅｂ 应用系统安全
      • Web安全威胁
        • 注入攻击：如SQL注入、命令注入等。 跨站脚本（XSS）：通过恶意脚本攻击用户浏览器。 跨站请求伪造（CSRF）：诱使用户发送恶意请求。 文件上传漏洞：通过上传恶意文件执行攻击。 不安全的直接对象引用：直接通过URL或其他方式访问未授权的对象。 安全配置错误：不当的配置设置导致安全漏洞。 敏感数据泄露：未加密或未妥善保护的敏感数据被泄露。
      • Web安全防护
        • 考点
          • 客户端安全防护、 通信信道安全防护、 服务器端安全防护
        • 输入验证：对用户输入进行严格的验证，防止注入攻击。 输出编码：对输出内容进行编码，防止XSS攻击。 CSRF令牌：使用CSRF令牌验证请求的合法性。 文件上传限制：限制文件类型和大小，防止恶意文件上传。 安全配置：确保应用程序和服务器的安全配置。 数据加密：使用加密技术保护敏感数据。 日志记录：记录应用程序的操作和事件，便于审计和追踪。
      • Web安全检测
      • 考点
  • 六、信息安全管理
    • １． 信息安全管理体系
      • 建立信息安全管理框架
        • 1. 信息安全政策
          • 对于一个规模较小的组织机构,可以只制定一个信息安全政策,并对组织机构内所有部门和员工适用;在规模相对较大的组织机构中,有时需要分别制定不同的信息安全政策,以适应组织
        • 2. 定义ISMS范围
          • 信息安全风险评估的复杂程度取决于风险的复杂程度和受保护资产的敏感程度,所采用的 评估措施应与组织机构对信息资产风险的保护需求相一致
        • 3. 进行信息安全风险评估
          • （1）基本风险评估
          • （2）详细风险评估
          • （3）基本风险评估和详细风险评估相结合
        • 4. 确定管制目标和选择管制措施
        • 5. 准备信息安全适用性申明
      • ISMS构架的具体实施
        • 1. 建立相关文档
        • 2. 文档的严格管理
        • 3. 安全事件记录、回馈
      • 信息安全管理体系审核
        • 1. 体系审核的概念
          • 信息安全管理体系审核(以下简称体系审核)是为了获得审核证据,对体系进行客观的评价,以确定满足审核准则的程度所进行的系统的、独立的并形成文件的检查。
        • 2. 审核准备
          • (1)编制审核计划
          • (2)收集并审核有关文件
          • (3)准备审核工作文件——编写检查表
          • (4)通知受审核部门并约定审核时间
        • 3. 审核实施
        • 4. 审核报告
        • 5. 纠正措施
        • 6. 审核风险控制
      • 信息安全管理体系评审
        • 1.信息安全管理体系评审程序
          • (1)编制评审计划
          • (2)准备评审资料
          • (3)召开评审会议
          • (4)评审报告分发与保存
          • (5)评审后要求
        • 2. 体系评审与持续改进
          • (1)纠正措施
            • 1)识别在实施和运行ISMS过程中的不符合因素。
            • 2)确定这些不符合因素产生的原因。
            • 3)对确保这些不符合不再发生所需的措施进行评价。
            • 4)确定和实施所需要的纠正措施,并记录结果。
            • 5)评审所采取的纠正措施。
          • (2)预防措施
            • 1)识别潜在的不符合因素的原因。
            • 2)对预防这些不符合因素采取所需的措施进行评价。
            • 3)确定和实施所需要的预防措施,并记录结果。
            • 4)评审所采取的预防措施。
            • 5)识别发生变化的风险,并通过关注变化显著的风险来识别预防措施的要求。
            • 6)应根据风险评估的结果来确定预防措施的优先级。
          • (3)控制不符合项
      • 信息安全管理体系认证
        • 1. 信息安全管理体系认证的目的
          • BS7799-2:1999标准构成了BS7799信息安全管理体系评估的基础,并用作正式认证计划的 基础。BS7799-2:1999第二部分被分成独立的三部分: 第一部分说明了标准、目的和所用的定义。 第二部分解释了制定维持一个文件化ISMS的要求,基于对风险的恰当评估,识别受控的风 险区域,选取第三部分中相应的控制手段。 第三部分列举了10种安全主题、目标及其之下的控制手段,有127种控制方法供组织机构 选择。
        • 2. 信息安全管理认证的依据与范围
          • 
        • 3. 申请认证
          •    
      • 子主题
        • 信息安全管理体系(ISMS)：
          • 是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立基于系统、全面和科学的安全风险评估。ISMS体现预防控制为主的思想。（叙述8） >>定义ISMS的范围,就是在组织机构内选定构架ISMS的范围。
        • 重要安全管理过程：
          • 包括系统获取、开发和维护，信息安全事件管理与应急响应，业务连续性管理与灾难恢复。（叙述9）
        • 信息安全的管理涉及五个层面：
          • 物理安全、网络安全、主机安全、应用安全和数据安全。（叙述10）
        • 审核准备：
          • 包括编制审核计划、收集并审核有关文件、准备审核工作文件-编写检查表、通知受审核部门并约定审核时间。（叙述13）
        • 信息安全管理体系审核：
          • 是为了获得审核证据，对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的、独立的并形成文件的检查。（叙述4）
    • ２． 信息安全风险管理
      • 风险管理概述
        • 管理风险是了解风险和控制风险。风险管理是一个持续的 PDCA管理过程。 信息安全风险管理是识别、控制、消除或最小化可能影响系统资源的不确定因因素的过程。
        • 风险管理术语
          • 资产
          • 威胁
          • 脆弱性
          • 控制措施
          • 可能性
          • 影响
          • 剩余风险
          • 风险评估
          • 信息安全风险术语之间的关系
      • 风险管理内容
        • 1. 资产识别和评估
          • （1）人员、过程及数据资产的识别
          • （2）硬件、软件和网络资产的识别
        • 2. 信息资产分类
          • 
        • 3. 信息资产评估
        • 4. 威胁识别和威胁评估
          • 
      • 风险评估
        • 1. 风险评估概述
          • 风险=出现漏洞的可能性x信息资产的价值-当前控制减轻的风险概率+对漏洞了解的不确定性
        • 2. 风险评估原则
          • （1）自主
          • （2）适应度量
          • （3）已定义过程
            • 为执行评估分配责任;
            • 定义所有的评估活动;
            • 规定评估过程所需的所有工具、工作表和信息目录;
            • 为记录评估结果创建通用的格式。
          • （4）连续过程的基础
            • ①使用已定义的评估过程标识出信息安全风险;
            • ②实施信息安全风险评估的结果;
            • ③逐步培养管理信息安全风险的能力;
            • ④实施安全策略和计划,使安全改进结合基于实践的方法。
        • 3. 风险评估的过程
          • （1）信息资产评估
          • （2）风险的确定
          • （3）识别可能的控制
          • （4）记录风险评估的结果
      • 风险控制
        • 安全措施：实施技术和管理措施来降低风险。 风险转移：通过保险或合同将风险转移给第三方。 风险接受：在风险被评估为可接受的情况下，选择不采取进一步措施。
        • 避免
          • 应用政策、教育培训、应用技术
        • 转移
        • 缓解
          • 事件响应计划(IRP)、灾难恢复计划(DRP)和业务持续性计划(BCP)
        • 接受
        • 选择风险控制策略
          • · 确定了风险等级。
          • · 评估了攻击的可能性。
          • · 估计了攻击带来的潜在破坏。
          • · 进行了全面的成本效益分析。
          • · 评估了使用每种控制的可行性。
          • · 认定了某些功能、服务、信息或资产不值得保护。
      • 子主题
        • 信息资产评估：在对机构的每一项资产归类时，应提出一些问题，来确定用于信息资产评估或影响评估的权重标准。（叙述3）
        • 计算机信息系统安全的三个特性：
          • 机密性、完整性、有效性。（叙述8）
    • ３． 信息安全管理措施
      • 基本安全管理措施
        • 安全策略
          • 
        • 人员安全管理
        • 安全组织机构
          • （1）建立安全组织机构的必要性
          • （2）安全组织的规模
            • 在我国,计算机安全管理组织有4个层面,各部委 计算机安全管理部门、各省计算机安全管 理部门、各基层计算机安全管理部门以及经营单位。其中,直接负责计算机应用和系统运行业务的单位为系统经营单位,其上级单位为系统管理部门。国内外计算机信息系统安全领域已经发
          • （3）安全组织机构的控制目标
          • （4）安全组织的基本要求
          • （5）第三方访问安全
          • （6）外包控制
        • 资产管理
        • 物理与环境安全
        • 通信及操作管理
        • 访问控制
          • 分类
            • 预防性的访问控制
              • > 预防性访问控制包括防护、安全策略、安全感知训练和反病毒毒软件
            • 探查性访问控制
              • > 探查性访问控制包括安全性防护、监督用户、时间调查和攻击监测系统。
            • 纠正性访问控制
              • > 举例来说,纠正性访问控制包括报警、圈套和安全性策略。
          • 访问控制的实现可以按照行政、逻辑/技术或物理进行分类:
            • 行政性访问控制
            • 逻辑/技术性访问控制
            • 物理性访问控制
          • （1）用户账户管理
          • （2）账户、日志和定期监控
          • （3）访问权限和许可证管理
      • 重要安全管理过程
        • 1. 系统获取、开发和维护
        • （1）系统获取、开发和维护
        • （2）系统开发
        • （3）系统安全维护
        • 2. 信息安全事件管理与应急响应
          • 计划：业务持续性计划(BCP)、灾难恢复计划(DRP)、事故响应计划(IRP)和应急计划(CP)
          • （1）业务响应分析
          • （2）事故响应计划
        • 3. 业务连续性管理与灾难恢复
          • 1）灾难恢复计划
          • 2）危机管理
          • 3）恢复操作
          • 4）业务持续性计划（BCP）
          • 5) 持续性战略
      • 子主题
        • 因特网组件再细分：
          • 为服务器、网络设备（路由器、集线器、交换机）、保护设备（防火墙、代理服务器）以及电缆。（叙述1）
        • 标准信息系统的组成：
          • 人员、过程、数据和信息、软件、硬件。（叙述2）
        • 访问控制的实现：
          • 包括行政性访问控制、逻辑/技术性访问控制、物理性访问控制。（叙述6）
        • 应急计划过程开发的第一阶段：是业务影响分析(BIA)。（叙述5）
        • 事故响应由以下4个阶段组成：
          • 计划、检测、反应、恢复。（叙述11）
        • 在定义ISMS范围时：为了使ISMS定义得更加完整，应重点考虑组织机构如下的实际情况：
          • 组织机构现有部门、处所、资产情况、所采用的技术。（叙述12）
  • 七、信息安全标准与法规
    • 信息安全标准
      • 安全标准化概述
        • 信息安全标准体系是信息安全保障体系十分重要的技术体系,其主要作用突出地体现在两个方面: 一是： 确保有关产品、设施的技术先进性、可靠性和一致性,确保信息化安全技术工程的整体合理、可用、互联互通互操作。 二是： 按国际规则实行IT产品市场准入时为相关产品的安全性合格评定提供依据,以强化和保证我国信息化的安全产品,工程、服务的技术自主可控。 国家信息安全标准化的重要工作之一是建立国家信息安全标准体系系。建立科学的国家信息安全标准
      • 信息安全标准化组织
        • 1. 国际信息安全标准化组织
          • 国际标准化组织(ISO)
            • 1947年2月23日正式开始工作，
            • ISO/TC68负责与银行业务应用范围内有关信息化安全标准的制定
          • 国际电工委员会(IEC)
            • 国际电工委员会(IEC)正式成立于1906年10月,是世界上成立最早的专门的国际标准化机构。在信息安全标准化方面,除了与ISO联合成立了JTC1所属的分委员会外,它还在电信、电子系统、信息技术和电磁兼容等方面成立了技术委员会
          • 国际电信联盟(ITU)
          • Internet工程任务组(IETF)
            • Internet工程任务组(IETF)创立于1986年,其主要任务是负责互联网相关技术规范的研发和制定。目前,IETF已成为全球互联网最具权威的大型技术研究组织。IETF制定标准的具体工作由各个工作组承担,工作组分为8个领域,涉及Internet路由、传输、应用领域等,包括在RFC系列之中的IKE和IPsec,以及电子邮件、网络认证和密码标准。此外,也包括了TLS标准和其他的安全协议标准。
        • 2. 我国信息安全标准化组织
          •  
      • 信息安全评估标准
        • 安全技术评估标准发展过程
          • 1. 可信的计算机系统安全评估标准(TCSEC)：
            • 公布时间：1985年
            • 公布机构：美国国防部
            • 内容：计算机系统信息安全评估的第一个正式标准
            • 分类：4类、7个级别
              • 
            • 涉及内容：用户登录、授权管理、访问控制、审计跟踪、隐蔽通道分析、可信通道建立、安全检测、生命周期保障、文档写作、用户指南等
          • 2. 信息技术安全评估标准(ITSEC)：
            • 公布时间：20世纪90年代初
            • 联合发布国家：法国、英国、荷兰、德国
            • 安全属性：机密性、完整性、可用性
            • 影响：对国际信息安全的研究和实施产生了深刻影响
          • 3. 信息技术安全评价的通用标准(CC)：
            • 提出时间：1996年
            • 联合提出国家：美国、加拿大、英国、法国、德国、荷兰
            • 国际标准：ISO 15408
            • 内容：定义评价信息技术产品和系统安全性的基本准则
            • 安全要求分类：功能要求和保证要求
          • 4. BS 7799/ISO 17799：
            • 内容：信息安全管理事务准则和信息安全管理系统规范
            • 控制项目：10个控制大项、36个控制目标和127个控制措施
            • 目的：提供信息系统风险管理的建议和风险管理的方法和过程
          • 5. 中国国家标准GB 17895-1999：
            • 公布机构：公安部、国家质量技术监督局
            • 内容：计算机信息系统安全保护等级划分准则
            • 安全等级：5个等级（自主保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级）
            • 安全考核指标：身份认证、自主访问控制、数据完整性、审计等
          • 6. GB18336：
            • 内容：等同采用ISO15408标准
        • GB/T18336《信息技术安全性评估准则》(CC)的优缺点
          •  
        • 信息安全技术评估准则
          • 1. CC的主要目标用户： 消费者 开发者 评估者 系统管理员和系统安全管理员 内部和外部审核员 安全规划和设计者 认可者 评估发起者 评估机构 2. CC的主要目的： 保护资产不受威胁 减小资产所受到的安全风险 3. CC评估过程的划分： 功能部分 保证部分 4. CC评估等级： EAL1至EAL7共七个等级 5. 每一级评估的7个功能类： 配置管理 分发和操作 开发过程 指导文献 生命周期的技术支持 测试 脆弱性评估 这些知识点概述了CC标准的主要用户群体、目的、评估过程的分类以及评估等级和功能类。
          • CC将评估过程划分为功能和保证两个部分,评估等级分为EALI,EAL2、EAL3、EAL3、EAL4、EAL5、EAL6和EAL7共七个等级。每一级均需评估7个功能类,分别是配置管理、分发和操作、开发过程、指导文献、生命期的技术支持、测试和脆弱性评估。
      • 等级保护标准
        • 1.GB/T22240《信息系统安全保护等级定级指南》主要内容 ：
          • 初稿完成时间：2005年5月
          • 定级要素：信息系统所属类型、业务数据类型、信息系统服务范围、业务自动化处理程度
          • 业务数据安全性等级：由信息系统所属类型和业务数据类型确定
          • 业务服务连续性等级：由信息系统服务范围、业务自动化处理程度及调节因子确定
          • 征求意见和修改：文档名称、形式和内容经过多次修改以完善《定级指南》
        • 2.五个信息系统安全保护等级的定义 ：
          • 第一级：损害公民、法人和其他组织的合法权益，但不损害国家安全、社会秩序和公共利益
          • 第二级：严重损害公民、法人和其他组织的合法权益，或对社会秩序和公共利益造成损害，但不损害国家安全
          • 第三级：对社会秩序和公共利益造成严重损害，或对国家安全造成损害
          • 第四级：特别严重损害社会秩序和公共利益，或对国家安全造成严重损害
          • 第五级：对国家安全造成特别严重损害
        • 3.系统定级的要素、基本方法和流程 ：
          • 等级高低取决于信息系统被破坏后产生的损害，而非系统本身因素
          • 威胁源、信息系统和受侵害的各方利益之间的关系是确定安全保护等级的核心
          • 借鉴刑法学中的“客体”概念，指受法律保护的、等级保护对象受到破坏时所侵害的社会关系
          • 等级保护对象：直接受威胁源作用的信息系统
          • 信息系统安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度
      • 等级保护基本要求
        • 物理安全：保护信息系统免受物理损害或未经授权的访问。 网络安全：确保网络通信的保密性、完整性和可用性。 数据加密：保护存储和传输中的数据不被未授权访问。 访问控制：确保只有授权用户才能访问信息系统。 安全审计：定期检查和评估安全控制措施的有效性。
        • 1.GB/T22239《信息系统安全等级保护基本要求》主要内容：
          • 该标准是信息安全等级保护系列标准之一。
          • 相关系列标准包括其他信息系统安全等级保护指南。
          • 与GB17859-1999、GB/T 20269-2006、GB/T 20270-2006、GB/T 20271-2006等标准共同构成信息系统安全等级保护的相关配套标准。
          • GB17859-1999是基础性标准，其他标准是在该基础上的细化和扩展。
          • 本标准提出不同安全保护等级信息系统的最低保护要求，包括基本技术要求和基本管理要求。
          • 适用于指导不同安全保护等级信息系统的安全建设和监督管理。
        • 2.五个信息系统安全保护等级对应的安全保护能力级别：
          • 第一级：防护个人威胁、一般自然灾难，部分功能恢复能力。
          • 第二级：防护外部小型组织威胁、一般自然灾难，发现安全漏洞和事件，部分功能恢复能力。
          • 第三级：防护外部有组织团体威胁、较为严重的自然灾难，发现安全漏洞和事件，快速恢复绝大部分功能。
          • 第四级：防护国家级别、敌对组织威胁、严重自然灾难，发现安全漏洞和事件，迅速恢复所有功能。
          • 第五级：信息略。
      • 子主题
        • １． 信息安全标准
          • 其他
            • 1.可信计算机评估标准(TCSEC)由美国国防部于1985年公布,是计算机系统信息安全评估的第一个正式标准.它把计算机系统的安全分为4类,7个级别.
              • 
            • 2.<<计算机信息系统安全保护等级划分细则>>已正式颁布并实施,该准则将
              • 信息系统安全分为5个等级:
                • 自主保护级,系统审计保护级,安全标记保护级,结构化保护级,访问验证保护级,
              • 主要的安全考核指标有
                • 身份认证,自主访问控制,数据完整性,审计等,其中提出了定级的四个要素:
                  • 信息系统所属类型,业务数据类型,信息系统服务范围,业务自动化处理程度.
            • 3.<<电子签名法>>被称为"中国首部真正意义上的信息化法律".
            • 4.BS 7799是依据英国的工业,政府和商业共同需求而发展的一个标准,它分为两部分:
              • 第一部分为"信息安全管理事务准则"
              • 第二部分为"信息安全管理系统的规范".（信息安全管理体系的规范）
            • 5.刑法中有关信息安全犯罪包括3条.
            • 6.信息技术安全评价的通用标准(CC),是由六个国家(美国,加拿大,英国,法国,德国,荷兰)于1996年联合提出的,并逐渐形成国际标准ISO 15408.我国与之对应的标准为GB/T 18336. >> CC标准是第一个 信息技术安全评价国际标准
              • 信息技术安全评价的通用准则（CC），是由六个国家（美国、加拿大、英国、法国、德国、荷兰）于1996年联合提出。CC标准是第一个信息技术安全评价国际标准，它的发布对信息安全具有重要意义，是信息技术安全评价标准以及信息安全技术发展的一个重要里程碑。
              • CC将评估过程划分为功能和保证两个部分，
                • 评估等级分为 EAL1，EAL2,EAL3,EAL4,EAL5,EAL6,EAL7 七个等级。
                • 每一个级均需评估7个功能类，分别是配置管理、分发和操作、开发过程、指导文献、生命的技术支持、测试和脆弱性评估。
            • ISO 13335 标准首次给出了关于IT安全的6个方面的含义：
              • 机密性、完整性、可用性、审计性、认证性、可靠性
            • 定级四要素：
              • 信息系统所需类型、业务数据类型、信息系统服务范围、业务自动化处理程序。
            • GB/T 22239《信息系统安全等级保护基本要求》从五个层面提出：
              • 物理安全；网络安全；主机安全；数据安全。
            • 基本管理要求：
              • 信息安全等级保护的基本管理要求：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理
              • 基本技术要求和基本管理要求是确保信息系统安全不可分割的两个部分。
              • 国家秘密的密级分为： 绝密（30年），机密（20年），秘密（10年）。
        • ２． 信息安全法律法规与国家政策
        • ３． 信息安全从业人员道德规范
    • 信息安全相关法规与国家政策
      • 我国网络空间安全战略
        • 1.《国家网络空间安全战略》发布背景：
          • 2016年12月27日，经中央网络安全和信息化领导小组批准，国家互联网信息办公室发布。
          • 网络空间安全（网络安全）的重要性：事关人类共同利益、世界和平与发展、各国国家安全。
        • 2.网络安全的机遇和挑战：
          • -机遇：信息革命推动经济社会发展，网络技术改变生产生活方式，成为信息传播、生产生活、经济发展、文化繁荣、社会治理、交流合作的新渠道和新平台。
          • -挑战：网络安全形势严峻，包括政治安全、经济安全、文化安全、社会安全和国际竞争等方面的风险与挑战。
        • 3.网络安全目标：
          • 和平：信息技术滥用得到遏制，网络空间军备竞赛得到控制。
          • 安全：网络安全风险得到控制，国家网络安全保障体系健全。
          • 开放：信息技术标准、政策和市场开放透明，数字鸿沟弥合。
          • 合作：国际合作密切，多边、民主、透明的国际互联网治理体系。
          • 有序：网络空间合法权益得到保障，网络环境诚信、文明、健康。
        • 4.网络安全原则：
          • 尊重维护网络空间主权。
          • 和平利用网络空间。
          • 依法治理网络空间。
          • 统筹网络安全与发展。
        • 5.战略任务：
          • 捍卫网络空间主权。
          • 维护国家安全。
          • 保护关键信息基础设施。
          • 加强网络文化建设。
          • 打击网络恐怖和违法犯罪。
          • 完善网络治理体系。
          • 夯实网络安全基础。
          • 提升网络空间防护能力。
          • 强化网络空间国际合作。
      • 现行的重要信息安全法规
        • 1. 《网络安全法》
          • 目的与适用范围：保障网络安全，维护网络空间主权和国家安全，保护合法权益，促进信息化健康发展。
          • 网络安全管理：国家坚持网络安全与信息化发展并重，推进网络基础设施建设，建立健全网络安全保障体系。
          • 网络安全战略：国家制定并完善网络安全战略，明确网络安全的基本要求和主要目标。
          • 监测与防御：国家采取措施监测、防御、处置网络安全风险和威胁，保护关键信息基础设施。
          • 倡导与教育：国家倡导诚实守信、健康文明的网络行为，提高全社会的网络安全意识。
          • 国际合作：国家积极开展网络空间治理、技术研发和标准制定等方面的国际交流与合作。
          • 监督管理职责：国家网信部门负责统筹协调网络安全工作和相关监督管理工作。
          • 网络运营者责任：网络运营者必须遵守法律、行政法规，履行网络安全保护义务。
          • 网络安全等级保护制度：实行网络安全等级保护制度，网络运营者应履行安全保护义务。
          • 关键信息基础设施保护：对关键信息基础设施实行重点保护，运营者需履行额外的安全保护义务。
          • 网络信息安全：网络运营者应严格保密用户信息，遵循合法、正当、必要的原则收集、使用个人信息。
          • 法律责任：违反《网络安全法》规定的行为，将依法承担相应的法律责任。
        • 2. 《保守国家秘密法》
          • 目的与适用范围：保守国家秘密，维护国家安全和利益，保障改革开放和社会主义建设事业的顺利进行。
          • 国家秘密的定义：关系国家安全和利益，依照法定程序确定，在一定时间内只限一定范围的人员知悉的事项。
          • 保密工作方针：积极防范、突出重点、依法管理。
          • 保密行政管理部门职责：国家保密行政管理部门主管全国的保密工作。
          • 国家秘密的范围和密级：国家秘密分为绝密、机密、秘密三级。
          • 保密制度：包括国家秘密载体的制作、收发、传递、使用、复制、保存、维修和销毁等。
          • 监督管理：保密行政管理部门依法组织开展保密宣传教育、保密检查、保密技术防护和泄密案件查处工作。
          • 法律责任：违反《保守国家秘密法》规定的行为，将依法承担相应的法律责任。
        • 3. 《电子签名法》
          • 目的与适用范围：规范电子签名行为，确立电子签名的法律效力，维护合法权益。
          • 电子签名的定义：数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。
          • 电子签名的效力：可靠的电子签名与手写签名或者盖章具有同等的法律效力。
          • 电子认证服务：提供电子认证服务应当具备相应条件，并依法设立。
          • 法律责任：违反《电子签名法》规定的行为，将依法承担相应的法律责任。
        • 4. 《刑法》有关信息安全犯罪的规定
          • 侵入计算机信息系统罪：违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统，或非法获取数据、非法控制计算机信息系统。
          • 破坏计算机信息系统罪：违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，或故意制作、传播计算机病毒等破坏性程序。
          • 利用计算机实施犯罪：利用计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密等犯罪行为。
        • 5. 《全国人民代表大会常务委员会关于加强网络信息保护的决定》
          • 保护个人信息：国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。
          • 网络服务提供者责任：网络服务提供者和其他企业事业单位在业务活动中收集、使用公民个人电子信息，应遵循合法、正当、必要的原则。
          • 信息安全管理：网络服务提供者应采取技术措施和其他必要措施，确保信息安全。
          • 法律责任：违反决定的行为，将依法给予警告、罚款、没收违法所得、吊销许可证等处罚，构成犯罪的，依法追究刑事责任。
      • 信息安全国家政策
        • 1. 国家信息安全管理总体方针
          • 自主定级、自主保护：信息系统的安全保护等级应根据其在国家安全、经济建设、社会生活中的重要程度确定。
          • 五级保护：信息系统的安全保护等级分为五级。
          • 管理原则：包括基于安全需求原则、主要领导负责原则、全员参与原则、系统方法原则、持续改进原则、依法管理原则、分权和授权原则、选用成熟技术原则、分级保护原则、管理与技术并重原则、自保护和国家监管结合原则。
        • 2. 互联网信息服务管理办法（2011修订）
          • 规范目的：规范互联网信息服务活动，促进健康有序发展。
          • 服务分类：经营性和非经营性互联网信息服务。
          • 许可与备案：经营性服务需许可，非经营性服务需备案。
          • 特别规定：特定领域如新闻、出版等需主管部门审核同意。
          • 服务提供者责任：提供合法内容，记录信息发布和用户信息，发现违法信息应立即停止传输并报告。
          • 法律责任：未获许可或未备案的处罚，违法信息传播的处罚。
        • 3. 电子政务及重要信息系统信息安全政策
          • 电子政务定义：利用IT技术实现政府业务电子化。
          • 立法现状：电子政务立法处于摸索状态，缺乏纲领性立法和有效的立法评价及监督机制。
        • 4. 等级保护有关政策规范
          • 等级保护原则：自主定级、自主保护。
          • 五级保护：信息系统安全保护等级分为五级，各级有不同的保护要求和监管措施。
        • 5. 国家商用密码管理政策
          • 商用密码管理条例：加强商用密码管理，保护信息安全。
          • 商用密码定义：对非涉密信息进行加密保护或安全认证的密码技术和产品。
          • 管理机构：国家密码管理委员会主管全国商用密码管理工作。
          • 科研、生产、销售、使用管理：商用密码的科研、生产、销售和使用实行专控管理。
          • 法律责任：违反条例规定的法律责任，包括没收产品、罚款、刑事责任等。
    • 道德标准
      • 1.CISP职业准则
        • 注册信息安全专业人员必须严格履行其职责并遵守以下道德准则 所有注册信息安全专业人员(CISP)都必须付出努力才能注册。为贯彻这条原则,所有的 CISP都必须承诺完全遵守道德准则; CISP必须诚实,公正,负责,守法; CISP必须勤奋和胜任工作,不断提高自身专业能力和水平; CISP必须保护信息系统、应用程序和系统的价值; CISP必须接受中国信息安全测评中心(CNITSEC)的监督,在任何情况下,不损坏CNIT SEC或注册过程的声誉,对CNITSEC针对CISP而进行的调查应给予充分的合作; CISP必须按规定向CNITSEC交纳费用。
      • 2.计算机使用道德规范
        • 计算机使用应遵守如下道德规范: 不破坏别人的计算机系统资源; 不制造传播病毒程序; 不窃取别人的软件资源; 不破译别人的口令或密码; 不使用带病毒的软件,更不向别人提供带病毒的软件; 坚持使用正版软件。
      • 3.因特网使用道德规范
        • 因特网使用应遵守中国互联网协会《文明上网自律公约》,其主要内容如下 自觉遵纪守法,倡导社会公德,促进绿色网络建设; 提倡先进文化,摒弃消极颓废,促进网络文明健康; 提倡自主创新,摒弃盗版剽窃,促进网络应用繁荣; 提倡互相尊重,摒弃造谣诽谤,促进网络和谐共处; 提倡诚实守信,摒弃弄虚作假,促进网络安全可信; 提倡社会关爱,摒弃低俗沉迷,促进少年健康成长; 提倡公平竞争,摒弃尔虞我诈,促进网络百花齐放; 提倡人人受益,消除数字鸿沟,促进信息资源共享。
• 方式
  • 上机考试，考试时长 １２０ 分钟，满分 １００ 分。包含：选择题（６０ 分）、填空题（２０ 分）、综合应用题（２０ 分）。
• 网络安全漏洞
  • 1、网络安全漏洞威胁
    • . 网络安全漏洞又称为脆弱性，简称漏洞。漏洞一般是致使网络信息系统安全策略相冲突的缺陷根据漏洞的补丁状况，可将漏洞分为：普通漏洞和零日漏洞 . 攻击者基于漏洞构成的安全威胁主要有 . 敏感信息泄露、非授权访问、身份假冒、拒绝服务。 . 解决漏洞问题的方法包括：漏洞检测
  • 2、网络安全漏洞来源及分类
    • . 网络信息系统的漏洞主要来自两个方面：技术性安全漏洞、非技术性安全漏洞 . CVSS是一个通用漏洞计分系统，分数计算依据由：基本度量计分、时序度量计分、环境度量计分组成。 . 基本度量计分：由攻击向量、攻击复杂性、特权要求、用户互交、完整性影响、保密性影响、可用性影响、影响范围等决定。 . 时许度量计分：由漏洞利用代码成熟度、修补级别、漏洞报告可信度等参数决定 . 环境度量计分：由完整性要求、保密性要求、可用性要求、修补基本得分等决定。 . 国家信息安全漏洞库（CNNVD）漏洞分类分级标准 . 国家信息安
• 网络安全审计
  • 1、网络安全审计系统一般包括
    • - 审计信息获取、审计信息存储、审计信息分析、审计信息展示及利用、系统管理等组成部分 - 审计数据信息安全保护 - 审计信息分析结果展示及管理服务 - 系统管理 - 审计信息分析 - 审计信息存储 - 审计信息获取
  • 2、网络安全审计机制与实现技术
    • 审计机制：基于主机的审计机制、基于网络通信的审计机制、基于应用的审计机制等
    • 实现技术
      • 系统日志数据采集技术：
        • 常见的系统日志数据采集技术是把操作系统、数据库、网络设备等系统中产生的事件信息汇聚到统一的服务器存储，以便于查询分析与管理
      • 网络流量数据获取技术：
        • 常见的技术方法由共享网络监听、交换机端口镜像、网络分流器
• 网络物理隔离
  • 1、网络物理隔离系统与类型
    • 网络物理隔离系统是指通过物理隔离技术，再不同的网络安全区域之间建立一个能够实现物理隔离、信息交换和可信控制的系统，已满足不同安全域的信息或数据交换。
    • 按照隔离的对象分
      • 单点隔离系统：主要是保护单独的计算机系统，防止外部直接攻击和干扰。
      • 区域隔离系统：针对的是网络环境，防止外部攻击内部保护网络。
    • 按照网络物理隔离的信息传递方向分
      • 双向网络物理隔离系统
      • 单向网络物理隔离系统
    • 国家管理政策文件明确指出：电子政务网络=政务内网+政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离
  • 2、网络物理隔离实现技术
• 入侵检测
  • 1、入侵检测及入侵检测模型
    • - 入侵：违背访问目标的安全策略的行为 - 判断入侵的依据：对目标的操作是否超出了目标的安全策略范围 - 入侵检测：通过收集操作系统、系统程序、应用程序、网络包等信息，发现系统中违背安全策略或危及系统安全的行为。 - 入侵检测系统：具有入侵检测功能的系统称为入侵检测系统，称为IDS。 - 入侵检测系统的目的：发现违背安全策略or危害系统安全的行为 - 通用入侵检测框架模型，简称为CCIDF。该模型认为入侵检测系统包括：事件产生器、
  • 2、基于误用的入侵检测技术
    • 攻击者常常利用系统和应用软件中的漏洞技术进行攻击
    • 误用入侵检测的前提条件是：入侵行为能够按某种方式进行特征编码
    • 入侵检测的过程实际上是：模式匹配的过程
      • - 基于条件概率的误用检测 将入侵方式对应一个事件序列，然后观测事件发生序列，应用贝叶斯定理（概率公式）进行推理，推测入侵行为
      • - 基于状态迁移的误用检测 记录系统的一系列状态，检查系统的状态变化发现系统中的入侵行为，这种方式状态特征用状态图描述
      • - 基于键盘监控的误用检测 检测用户的击键模式，检索攻击模式库，发现入侵行为（不能检测恶意程序的自动攻击）
      • - 基于规则的误用检测 用于规则描述入侵行为，通过匹配规则，发现入侵行为（Snort）
  • 3、基于异常的入侵检测技术
    • 异常检测方法：建立系统正常行为的“轨迹”，定义一组系统正常情况的数值，然后将系统运行时的数据值与所定义的“正常”情况相比较，得出是否有被攻击的迹象
    • 异常检测的前提是异常行为包括入侵行为
      • -基于统计的异常检测方法 利用数学统计理论技术，至于统计的抽样周期可以从短到几分钟到长达几个月甚至更长（系统登录时间、资源被占用的时间等）
      • -基于模式预测的异常检测 事件序列不是随机发生的而是服从某种可辨别的模式，其特点是考虑了事件序列之间的互相联系
      • -基于文本分类的异常检测 将程序的系统调用视为某个文档中的“字”，N此第调用以后形成一个文档分析文档的相似性，发现异常的系统调用，从而检测入侵行为
      • -基于贝叶斯推理的异常检测方法 通过分析和测量，任一时刻的若干系统特征（磁盘读/写操作数量、网络连接并发数），判断是否发生异常
  • 4、入侵检测系统的组成
    • 入侵检测功能模块组成：数据采集模块、入侵分析引擎模块、应急处理模块、管理配置模块、辅助模块
    • 子主题
    • - 基于主机的入侵检测系统HIDS - 基于网络的入侵检测系统NIDS - 基于主机检测的分布式入侵检测系统HDIDS - 基于网络的分布
  • 5、网络入侵检测系统Snort
    • - Snort基于技术原理是通过获取网络数据包，然后基于安全规则进行入侵检测，最后形成报警信息。 - Snort由两部分组成：规则头、规则选项。 - 规则头包含：规则操作、协议、源地址、目的IP地址、网络掩码、源端口、目的端口号信息。 - 规则选项包含：报警消息、被检查网络包的部分信息、规则应采取的动作（所有Snort规则选项都用“；”隔开，规则选项关键词使用“：”和对应的参数区分） - Snort规则如下所示 - ALert tcp any any 192.168.1.0/24 111(content:"|00 01 86 a5|";msg:"mountd access";) - 动作 协议 源IP 源端口 目标IP 目标端口（需要匹配的数据包内容；alert动作报警弹出的内容） - 规则选项常用的关键字是msg、content。msg用于显示报警信息，content用于指定匹配网络数据包的内容。 - sid表示Snort规则id；rev表示规则修订的版本号。 - 例如： alert icmp any any 192.168.X.Y any(msg:"NMAP ping swee
• 防火墙
  • １、防火墙概念
    • - 为了应对网络威胁，联网的机构或公司将自己的网络与公共的不可信任的网络进行隔离。网络的安全信任程度和需要保护对象，认为地划分若干区域，这些安全区域有： - 公共外部网络 Internet - 内联网 如某个公司或组织的专用网络，网络访问限制在组织内部； - 外联网 内联网的扩展延伸，常用作组织与合作伙伴之间进行通信； - 军事缓冲区域，简称DMZ，该区域是介于内部网络和外部网络之间的网络段，常放置公
  • ２、防火墙的功能
    • - 过滤非安全网络访问：将防火墙设置为只允许符合安全策略的能通过 - 限制网络访问：例如可以制定外网只能访问DMZ区的设备or特定主机 - 网络访问审计：防火墙是内外网唯一的网络通道，通过防火墙日志可以掌握网络使用情况 - 网络带宽控制：防火墙可以控制网络带宽实现Qos保障 - 协同防御：可以和I
  • 3、防火墙安全风险
    • 防火墙功能缺陷：导致一些网络威胁无法阻断。
      • - 不能完全防止感染病毒的软件或文件传输； - 不能防止基于数据驱动式的攻击；
    • 网络安全旁路：防火墙只能对通过它的网络通信包进行访问控制，而未经过它的网络通信就无能为力
    • 防火墙安全机制形成单点故障和特权威胁：所有网络流量都要经过防火墙，一旦防火墙管理失败，就会对网络造成单点故障和网络安全特权失控
    • 防火墙无法有效防范内部威胁：内网用户操作失误，攻击者就能利用内网用户发起主动网络连接
    • 防火墙效用受限与安全规则：依赖与安全规则的更新
  • 4、包过滤技术
    • 包过滤是在IP层实现的防火墙技术，包过滤根据包的源IP地址、目的IP地址、源端口、目的端口、包传递方向等包头信息判断是否允许包通过。
    • 包过滤的规则由规则号、匹配条件、匹配操作三部分组成
      • . 匹配条件：源IP地址、目标IP地址、源端口号、目标端口号、协议、通信方向等
      • . 匹配操作：拒绝、转发、审计
    • 包过滤防火墙技术优点：低负载、高通过率对用户透明。
    • 包过滤技术的弱点：不能再用户级别进行过滤
  • 5、状态检查技术
    • 基于状态的防火墙通过利用TCP会话和UDP“伪”会话的状态信息进行网络访问机制。采用状态检查技术的防火墙首先建立并维护一张会话表，当有符合已定义安全策略的TCP连接或UDP流时，防火墙会创建会话项，然后依据状态表项检查，与这些会话相关联的包才允许通过防火墙。
    • 处理包流程：
      • . 接受到数据包 . 检查数据包的有效性，若无效，则丢掉数据包并审计。 . 查找会话表；若找到，则进一步检查数据包的序列号和会话状态，如有效，则进行地址转换和路由，转发该数据包；否则，丢掉数据包并审计。 . 当会话表中没有新到的数据包信息时，则查找策略表，如符合策略表，则增加会话条目到会话表中，并进行地址转换
  • 6、防火墙防御体系结构类型
    • 基于双宿主主机防火墙、基于代理型防火墙、基于屏蔽子网的防火墙。
  • 7、防火墙的部署
    • 1
• 访问控制参考模型
  • １、访问控制参考模型组成要素
    • * 主体－－是客体的操作实施者。通常是人、进程或设备等，一般是代表用户执行操作的进程。 * 客体－－是被主体操作的对象。对一个客体的访问隐含着对其信息的访问 * 参考监视器－－是访问控制的决策单元和执行单元的集合体 * 访问控制数据库－－主体访问客体的权限及其访问方式的信息，提供访问控制决策判断的依据，也称为访问控制策略库 * 审计库－－存储主体访问客体的操作信息，包括访问成
  • ２、自主访问控制
    • 按照自己的安全策略授予系统中的其他用户对“客体”的访问权 基于行的自主访问控制 概念：在每个主体上附加一个它可以访问的“客体明细表”【主体＋客体明细表】 基于列的自主访问控制 概念：在每个客体上都附加一个可以访问它的主体明细表【
  • ３、口令安全管理遵守的原则
    • · 主体－－是客体的操作实施者。通常是人、进程或设备等，一般是代表用户执行操作的进程。 · 客体－－是被主体操作的对象。对一个客体的访问隐含着对其信息的访问 · 参考监视器－－是访问控制的决策单元和执行单元的集合体 · 访问控制数据库－－主体访问客体的权限及其访问方式的信息，提供访问控制决策判断的依据，也称为访问控制策略库 · 审计库－－存储主体访问客体的操作信息，包括访问成
  • ４、Linux访问控制
    • 每个文件上使用“９比特位模式”来标识访问控制权限信息，这些二进制位标识了“文件的拥有者与文件拥有者同组的用户、其他用户”对文件所具有的访问权限和方
• 物理安全
• 网络安全体系
  • 1、网络安全体系：网络安全保障系统的最高层概念抽象
    • 整体性：网络安全单元按照一定的规则，相互依赖、相互作用而形成人机物一体化的网络安全保护方式
    • 协同性：通过各种安全机制的相互协作，构建系统性的网络安全保护方案
    • 过程性：网络安全体系提供一种过程式的网络安全保护机制，覆盖保护对象的全生命周期
    • 全面性：网络安全体系基于多个维度、多个层面对安全威胁进行管控
    • 适应性：网络安全体系能够适应网络安全威胁的变化和需求，动态的
  • 2、BLP机密性模型
    • Bell-LaPadula模型符合军事安全策略的计算机安全模型，用于防止非授权信息的扩散
    • BLP模型的2个特征：简单安全特性、*特性
      • 简单安全特性：操作者读访问资源时，操作者（主体）的安全级别和范畴都大于等于资源（客体）（主体只能向下读，不能向上读——>下读）
      • *特性：操作者写访问资源时，操作者（主体）的安全级别和范畴都≤资源（客体）（主体只能向上写，不能向下写——>上写）
    • Biba完整性模型：不能下读，不能上写，不能调用；
      • 简单安全特性：主体的完整性级别和范畴≥客体；
      • *特性：主体的完整性级别
      • 调用特性：主体完整性级别
    • 子主题
  • 3、信息保障模型P2DR、PDRR、WPDRRC模型
    • P2DR模型策略（预防、检测、响应和恢复）
    • PDRR模型（保护、检测、响应和恢复）
    • WPDRRC模型 （警告、保护、检测、响应、恢复和反击）
  • 4、能力成熟度模型
    • 网络安全方面的成熟度模型主要有：SSE-CMM、数据安全能力成熟度模型、软件安全能力成熟度模型
      • SSE-CMM系统安全工程能力成熟度模型 分为五级： 1级（初始级） ---非正式执行、 2级（已管理级） ---计划跟踪、 3级（已定义级） ---充分定义、 4级（量化管理级）---量化控制、 5级（优化级） ---持续优化
      • 系统安全工程能力成熟度模型 包括：工程过程类、组织过程类、项目过程类
      • 数据安全能力成熟度模型 数据安全能力从组织建设、制度流程、技术工具、人员能力四个维度评估
      • 软件安全能力成熟度模型 分为五级： 1级---补丁修补； 2级---渗透测试、安全代码评审； 3级---漏洞评估、代码分析、安全编码标准； 4级---软件安全风险识别、SDLC（软件开发生命周期）实施不同安全检查点； 5级---改进安全风险覆盖率、评估安全差距
  • 5、网络安全等级保护体系应用参考
    • 等级保护制度是中国网络安全保障的特色和基石
    • 网络安全等级保护工作主要包括定备案、建设整改、等级测评、监督检查五个阶段
    • 定级对象的安全保护等级分为五个， 第一级用户自主保护级 （用户、自主、基础）、 第二级系统保护审计级（系统、审计、监控）、 第三级安全标记保护级（标记、分类、敏感性）、 第四级结构化保护级（结构化、完整性、抗抵赖）、 第五级访问验证保护级（访问验证、硬件、最高级别）
  • 6、网络安全等级保护2.0的主要变化包括：
    • 扩大了对象范围
    • 提出1个中心，三重防护体系架构
    • 强化了可信计算机技术使用的要求，增加了“可信验证”控制点
  • 7、软件安全能力成熟度模型
    • CMM1级——补丁修补 CMM2级——渗透测试、安全代码评审 CMM3级——漏洞评估、代码分析、安全编码标准； CMM4级——软件安全风险识别、SDLC实施不同安全检查点 CMM5级——改进软
  • 8、四种模型区分
    • Bell-Lapudula模型基于强制访问控制系统，以敏感度来划分资源的安全级别。
    • Biba访问控制模型对数据提供了分级别的完整性保证，类似于BLP保密模型，也使用强制访问控制系统。
    • Clark-Wilson模型是一种广泛应用于商务领域的信息安全模型，能够较好满足企业信息系统所追求的完整性安全需求，它的完整性保证在早期是通过遵循一些静态的授权约束来实现的。
    • ChineseWall安全策略的基础是客户访问的信息不会与目前他们可支配的信息产生冲突。用户必须选择一个他可以访问的区域，必须自动拒绝来自其他与用户的所选区域的利益冲突区域的访问，同时包括了强制访问控制和自主访问控制的属性，属于混合策略模型
• 密码名词
  • ２、国产密码算法主要有：
    • SM１分组密码算法（对称、128）、 SM２椭圆曲线公钥密码算法（非对称、256）、 SM３密码杂凑算法（杂凑、256）、 SM４分组算法（对称、128）、 SM９标识密码算法
  • ３、密码体制分类
    • 私钥密码体制
      • 速度快、秘钥管理问题、秘钥保管量多
      • DES、IDEA、AES等
    • 公钥密码体制
      • 秘钥分发方便、秘钥保管量少、支持数字签名
      • 包括椭圆曲线密码、ELGamal、RSA
    • 混合密码体制
      • 私钥＋公钥（利用公钥体制来解决私钥体制存在的问题）
  • ４、密码分析攻击的五种类型：
    • 唯密文攻击：只知道密文
    • 已知明文攻击：只知道明文和对应明文（固定片段）
    • 选择明文攻击：知道自己选定的明文和对应的密文（可自选任意明文）
    • 选择密文攻击：知道自己选定的密文和明文
    • 密文验证攻击：密码分析者对于任何选定的密文，能够得到该密文“是否合法”的判断
  • ５、密码管理
    • 包括：秘钥管理、密码管理政策、密码测评
  • ６、常见密码算法（加密算法可逆，哈希算法不可逆）
    • DES　 分组64　 秘钥56　 IDEA　 分组64　 秘钥128　 AES　 分组128　秘钥支持12
    • RSA（非对称）基于大整数因子分解的困难性
    • Hash函数
      • 相同的明文输入得到相同的Hash值
      • Hash值越大的Hash函数安全性越高
      • Hash函数名 分组大小 Hash值大小（消息摘要）
      • MD5 512bit 128bit
      • SHA 512bit 160bit
      • SM3 512bit 256bit
    • 数字证书内容：版本号、序列号、有效期、主体、主体唯一标识、主体公钥信息、颁发者、颁发者唯一标识、签名算法、扩展项
    • 数字证书的应用场景及目标
  • CA：认证授权中心
  • 数字证书由证书认证机构（CA）签名的
• 网络攻击
  • 1、网络攻击的一般流程
    • 隐藏攻击源、收集目标的信息、挖掘目标的漏洞信息、获取目标的访问权限
    • 隐藏攻击行为、实施攻击、开辟后门、清除攻击痕迹
  • 2、常见的端口扫描技术
    • 完全连接扫描：源主机和目的主机，建立一次三次握手
    • 半连接扫描（TCP SYN 扫描）：只完成前两次握手，不建立一次完整的连接
    • SYN扫描：向目标主机发送连接请求，当目标主机返回响应后，立即切断连接过程（返回：ACK开放、RESET关闭）
    • ID头信息扫描：借助第三方主机，ID头递增１则端口关闭，否则端口开放
    • 隐蔽扫描：绕过安全设备，取得目标主机端口信息
    • SYN｜ACK扫描：发送SYN｜ACK数据包，不返回信息则端口开放，返回RST则端口关闭
    • FIN扫描：发送FIN数据包，不返回信息则端口开放，返回RST则端口关闭
    • ACK扫描：发送FIN数据包，开放＜TLL值６４＜关闭　关闭＜WIN值０＜开放
    • NULL扫描：标志位置空，不返回信息则端口开放，返回RST则端口关闭
    • XMAS扫描：标志位全部置成1，不返回信息则端口开放，返回RST则端口关闭
  • 3、DDOS攻击的一般过程：采用C/S部署
    • 通过探测扫描大量主机，寻找可被攻击的目标
    • 攻击有安全漏洞的主机，并设法获取控制权
    • 在已攻击成功的主机中安装客户端攻击程序
    • 利用已攻击成功的主机继续扫描和攻击，从而扩大可被利用的主机
    • 当安装了攻击程序的客户端，达到一定数量后，攻击者在主机端给客户端攻击程序发布命令，同时攻击特定主机
    • 常见的DDOS攻击手段包括：HTTP Flood攻击、SYN FLood攻击、DNS放大攻击
  • 4、拒绝服务攻击的特点
    • 难确认性：用户在得不到及时响应时，很难判断自己是否受到攻击
    • 隐蔽性：正常请求服务，从而隐蔽拒绝服务攻击的过程
    • 资源有限性：计算机的资源时有限的，容易实现拒绝服务攻击的过程
    • 软件复杂性：因难以确保软件没有缺陷，所以攻击者利用软件缺陷进行拒绝服务攻击
  • 5、拒绝服务攻击的方式
    • 同步包风暴（SYN Flood）：发送大量的半连接状态的服务请求，使TCP/IP的三次握手无法完成，从而无法建立连接
    • UDP洪水（UDP Flood）：利用主机能自动回复的服务，在两台主机之间传送足够多的无用数据流
    • Smurf攻击：将回复地址设置成目标网络广播地址，如果在复杂点就把原地址改为第三方的目标网络
    • 垃圾邮件:耗尽用户信箱的磁盘空间，使用户无法应用这个邮箱
    • 消耗CPU和内存资源的拒绝服务攻击：构造恶意的输入数据，导致目标系统CPU或资源耗尽
    • 死亡之ping：ICMP数据包大于64KB,就会出现内存分配错误
    • 泪滴攻击：暴漏出IP数据包分解与重组的弱点，增加了偏移量
    • 分布式拒绝服务攻击：植入后门程序，然后统一攻击统一目标
  • 6、远程口令破解的流程
    • 建立与目标网络服务的网络连接
    • 选取一个用户列表文件及字典文件
    • 在用户列表文件及字典文件中，选取一组用户名和口令，发送到目标网络服务端口
    • 检测远程服务返回的信息，确定口令尝试是否成功
    • 若不成功，再取另一组，重复试验，直到口令用户列表及字典文件选取完毕
  • 7、网络攻击模型 【攻击树杀伤CK】
    • 攻击树模型（又称故障树模型）
      • 可以被red team用来进行渗透测试，同时也可以被blue team用来研究御机制
      • 优：能够采取专家头脑风暴法，并且将这些意见融合到攻击树中去；能够进行费效分析或者概率分析；能够建模非常复杂的攻击场景
      • 缺：由于树结构的内在限制，攻击树不能用来建模多重尝试攻击、时间依赖及访问控制等场景；不能用来建模循环事件；对于现实中的大规模网络，攻击树方法处理起来将会特别复杂。
    • MITRE 　ATT＆CK模型（又称攻击矩阵模型）
      • 基于MITRE 　ATT＆CK常见的应用场景主要有网络红蓝对抗模拟、网络安全渗透测试、网络防御差距评估、网络威胁情报收集等
    • 网络杀伤链
      • 该模型将网络攻击活动分成：目标侦察、武器构造、载荷投送、漏洞利用、安装植入、指挥和控制、目标行动等七个阶段。
• 信息安全
• 补充
  • 1、CSRF 跨站点请求伪造攻击 Cross Site Request Forger，属于伪造客户端请求的一种攻击方式。CSRF攻击是让用户访问攻击者构造的网页，执行网页中的恶意脚本，伪造用户的请求，对用户有登录权限的网站空间实施攻击。 2、诱骗式攻击 网站挂马、诱骗下载、网站钓鱼、社会工程。 3、在探测器无法直接连接控制台的情况下，常用的IDS控制台与探测器管理模式是主动控制台模式。 4、软件安全技术 主要有软件水代码混淆、软件加密、功能限制等，主要实现降低代码的可读性和防止软件本身在运行时被调试等，主要应用在软件防盗版、放滥用、防篡改、防止信息获取等方面 5、逆向分析辅助工具 可实现对软件的逆向分析，例如：OllyDbg、Soft ICE、WinDBG、IDA pro等 6、ISMS 信息安全管理体系ISMS是一个体系化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立基于系统、全面和科学的安全风险评估。 信息安全管理体系审核是为了获得审核证据，对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的、独立的并形成文件的检查。 7、纠正措施（Corrective Action） 是为了消除已发现的不符合的或其他不期望的情况所采取的措施。 8、针对恶意程序检测或查杀技术 主要包括特征码查杀、启发式查杀、基于虚拟机技术的行为判定以及主动防御等 9、中国国家信息安全漏洞库CNNVD 10、污点传播 通过分析代码中输入数据对程序执行路径的影响，以发现不可信的输入数据导致的程序执行异常。 11、自主访问控制模型DAC 是根据自主访问控制策略建立的一种模型，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其他用户。DAC模型一般采用访问控制矩阵和访问控制列表来存放不同主体的访问控制信息，从而达到主体访问权限的限制目的。 12、操作系统的功能模块，一般以进程的方式在后台运行，以启动服务的方式对用户提供访问接口。 13、与反射型XSS对应，存储型XSS被称作持久型的跨站脚本攻击。 14、限制内存堆栈区的代码为不可

信息安全技术

• 第1章 信息安全保障概述
  • １.1 信息安全保障的内涵和意义
    • 1.1.1 信息技术及其发展阶段
      • (1) 信息技术定义
        • 信息技术是能够延伸或扩展人的信息能力的手段和方法。它涵盖了从信息的获取、处理、存储到传输的全过程，包括硬件、软件、通信网络及相关的技术和服务。
        • 香农(Shannon)认为:通信系统所处理的信息本质上都是随机的,可以用统计的方法进行处理,在进行信息的定量计算时,明确地把信息量定义为随机不确定程度的减少。这表明了香农对信息的理解:“信息是用于减少不确定性的东西”
        • 维纳(Wiener)认为:信息是人们在适应外部世界且这种适应反作用于外部世界的过程中,同外部世界进行互相交换的内容的名称。
        • 朗高(Longo)认为:信息是反映事物的形式.关系和差异的东西,它包含在事物的差异中,而不在事物本身。
        • 我国信息论专家钟义信把信息定义为:事物运动的状态和状态变化的方式。
      • (2) 发展阶段
        • 1. 电讯技术的发明（19世纪30年代）：
          • 电报电话的发明标志着通信技术的重大进步，开启了人类信息交流的新纪元。
        • 2. 计算机技术的发展（1936年图灵机理论的提出，1946年世界上第一台现代电子计算机ENIAC诞生）：
          • 计算机技术的出现使得信息处理速度大幅提升，为后续的信息技术发展奠定了基础。
          • 1937年,香农《继电器和开关电路的符号分析》硕士论文,奠定了数字电路的理论基础。
          • 1945年,现代计算机之父 冯.诺依曼等提出了“存储程序通用电子计算机方案“——EDVAC
          • 1946年2月14日,世界上第一台现代电子计算机“埃尼阿克(ENIAC)“诞生于美国宾夕法尼亚大学。现代计算机一直沿用着冯.诺依曼体系结构
        • 3. 互联网技术的发展（20世纪60年代末ARPAnet 「美国用于军事目的的计算机网络」 的出现，20世纪90年代全球性网络因特网的发展）：
          • 互联网的普及使得信息可以快速、广泛地传播，极大地改变了人们的沟通方式和社会结构。
    • 1.1.2 信息技术的影响
      • (1) 积极影响
        • 1. 社会发展：
          • 信息技术引发社会变革，加速了社会生产力的发展，推动了全球化进程。
        • 2. 科技进步：
          • 促进了新技术的变革，推动了科学技术的进步，如人工智能、大数据、云计算等新兴技术的快速发展。
        • 3. 人类生活：
          • 提高了工作效率和生活质量，转变了人们的工作和学习方式，使得信息获取更加便捷。
      • (2) 消极影响
        • 1. 信息泛滥：
          • 信息增长速度超出承受能力，导致人们难以有效筛选和利用信息。
        • 2. 信息污染：
          • 错误信息、虚假信息混杂，影响了信息的真实性和可靠性。
        • 3. 信息犯罪：
          • 利用信息技术手段进行犯罪活动，如网络诈骗、黑客攻击等，给个人和社会带来了严重威胁。
  • １.2 信息安全保障的总体思路和基本实践方法
    • 1.2.1 信息安全发展阶段
      • (1) 通信保密阶段（20世纪40年代）
        • 1949年,香农Shannon在发表的《保密系统的通信理论》将密码学置与坚实的数学基础之上，论文中,首先用信息论的观点对信息保密问题做了全面的论述 ,是现代通信安全的代表作,是信息安全发展的重要里程碑。标志着密码学形成一门学科。 宣告了科学的密码学时代的到来
        • 关注重点：信息在通信过程中的安全性问题，主要集中在加密技术和通信协议的安全性上。即 机密性
        • 代表性技术：对称加密算法、密钥管理等。
      • (2) 计算机安全阶段（20世纪60年代和70年代）
        • 《可信计算机系统评估准则》(TCSEC,也称为桂皮书)是计算机系统安全评估的第一个正式标准,TCSEC将计算机系统的安全划分为A、B(B1B2.B83).C(C1、C2)D共4个等级7个级别,等级由A到D依次降低。
        • 20世纪80年代的标志性特征之一是计算机安全的标准化工作。《可信计算机系统评估准则》(TCSEC,也称为桂皮书)是计算机系统安全评估的第一个正式标准,具有划时代的意义,为计算机安全评估奠定了基础
        • 关注重点：计算机系统的“机密性、访问控制与认证”，防止未经授权的访问和数据泄露。
        • 代表性技术：访问控制列表（ACL）、用户认证系统、文件加密等。
      • (3) 信息安全保障阶段（20世纪90年代以后）
        • 关注重点：倡导信息保障(IA)，强调“预警、保护、检测、响应、恢复、反击”整个过程，形成综合性的安全保障体系。
        • 代表性技术：入侵检测系统（IDS）、防火墙、安全审计等。
    • 1.2.2 信息安全的含义
      • 一、运行系统的安全
        • 1.描述：确保信息系统的正常运行，防止系统受到攻击或故障影响，保障业务的连续性和稳定性。
        • 2.重要性：运行系统的安全是信息安全的基础，确保关键业务和服务始终可用，不受中断影响。
      • 二、系统信息的安全
        • 1.完整性
          • 描述：确保信息的准确性和一致性，防止信息被篡改或损坏。
          • 重要性：维护数据的真实性和可靠性，确保业务流程和决策基于正确的信息。
        • 2.机密性
          • 描述：确保信息不被未授权的个人、实体或过程访问或知晓。
          • 重要性：保护敏感信息，如商业秘密、个人隐私和政府机密，防止信息泄露。
        • 3.可用性
          • 描述：确保信息和信息系统在需要时可以被授权用户访问和使用。
          • 重要性：保障业务连续性，确保关键系统和服务始终可用，不受中断影响。
        • 4.可控性
          • 描述：确保信息系统的操作和管理符合预定的安全策略和标准。
          • 重要性：控制信息的流向和使用权限，防止未经授权的操作和滥用。
        • 5.不可否认性
          • 描述：确保信息的发送者和接收者不能否认其操作和行为。
          • 重要性：提供法律和技术上的证据，确保交易和通信的可追溯性和责任认定。
      • 三、信息安全的目标
        • 1.保护信息资产
          • 描述：通过技术和管理措施，保护信息的机密性、完整性和可用性，防止信息资产受到威胁和损害。
          • 重要性：确保组织的核心信息资产安全，减少因信息泄露或破坏带来的经济损失和声誉损害。
        • 2.防范安全威胁
          • 描述：识别和应对各种安全威胁，如黑客攻击、恶意软件、内部威胁等，提高信息系统的抗攻击能力。
          • 重要性：建立多层次的安全防护体系，及时发现和响应安全事件，降低风险。
        • 3.确保业务连续性
          • 描述：通过灾备建设和应急预案，确保在发生安全事件或自然灾害时，业务能够迅速恢复，减少停机时间。
          • 重要性：保障关键业务的持续运行，维持组织的正常运营和社会服务的稳定性。
        • 4.遵守法律法规
          • 描述：遵循国家和地区的法律法规，确保信息处理和存储符合相关要求，避免法律风险。
          • 重要性：合法合规是信息安全的重要组成部分，有助于维护组织的信誉和合法性。
        • 5.提升安全意识
          • 描述：通过培训和宣传，提高员工和用户的网络安全意识，增强其安全防护能力。
          • 重要性：人的因素是信息安全的关键，提升全员的安全意识可以有效减少人为错误和安全漏洞。
    • 1.2.3 信息系统面临的安全风险
      • 1. 网络社会与信息安全
        • 人类社会与计算机和网络组成了一个巨大系统，形成了网络社会。
        • 人类对信息网络的依赖增强，涉及个人、企业、民族、国家乃至全人类安全。
      • 2. 信息安全内涵的变化
        • 信息安全涉及个人权益、企业生存、金融风险防范、社会稳定、国家安全。
        • 关系到环境安全、生态安全和人类安全。
      • 3. 信息系统面临的安全风险
        • 1. 信息泄露：信息被泄露或透露给非授权实体。
        • 2. 破坏信息的完整性：数据在未授权的情况下被增删、修改或破坏。
        • 3. 拒绝服务：停止服务，阻止合法访问。
        • 4. 非授权访问：未经同意使用网络或计算机资源。
        • 5. 授权侵犯：利用授权权限进行非法操作，即内部攻击。
        • 6. 业务流分析：通过长期监听和统计分析方法发现有价值的信息和规律。
        • 7. 窃听：利用设备和技术手段窃取系统中的信息资源和敏感信息。
        • 8. 物理侵入：绕过物理控制获得系统访问。
        • 9. 恶意代码：计算机病毒、木马、蠕虫等破坏系统或窃取数据的代码。
        • 10. 假冒和欺诈：非法用户冒充合法用户或低权限用户冒充高权限用户。
        • 11. 抵赖：否认自己曾经发布过的消息或伪造对方来信。
        • 12. 重放攻击：发送已接收过的包欺骗系统，破坏认证正确性。
        • 13. 陷阱门：设计时有意建立的非法进入手段。
        • 14. 媒体废弃：从废弃存储介质中获得敏感信息。
        • 15. 人员不慎：授权人员泄露信息给未授权的人。
    • 1.2.4 信息安全问题产生根源
      • (1)信息系统的内因：信息系统的复杂性
        • 组成网络的通信和信息系统的自身缺陷
        • 互联网的开放性
      • (2)信息安全的外因：人为和环境的威胁
    • 1.2.5 信息安全的地位和作用
      • (1)信息安全是网络时代国家生存和民族振兴的根本保障
      • (2)信息安全是信息社会健康发展和信息革命成功的关键因素
      • (3)信息安全是网络时代人类生存和文明发展的基本条件
    • 1.2.6 信息安全技术
      • 现有的信息安全技术可以归纳为5类: 核心基础安全技术(主要包括密码技术)、 安全基础设施技术(包括标识与认证技术.授权与访问控制技术等) 基础设施安全技术(包括主机系统安全技术网络系统安全技术等) 应用安全技术(包括网络与系统安全攻击技术、网络与系统安全防护与响应技术安全审计与责任认定技术、恶意代码检测与防范技术等) 支撑安全技术(包括信息安全测评技术.信息安全管理技术等)。
      • (1) 密码技术 (2)标识与认证技术 (3)授权与访问技术 (4)网络与系统攻击技术 (5)网络与系统安全防护和应急响应技术 (6)安全审计与责任认定技术 (7)主机系统安全技术 (8)网络系统安全技术 (9)恶意代码检测与防范技术 (10)信息安全评测技术 (11)安全管理技术
  • 1.3 信息安全保障体系
    • 1.3.1 信息安全保障体系框架 >> 信息系统安全保障涵盖三个方面： 生命周期、保障要素、安全特征
      • 概念：
        • 定义：信息系统安全保障是指在信息系统的整个生命周期中，通过分析信息系统的风险，制定并执行相应的安全保障策略。
        • 目的：保护信息和资产的安全，更重要的是通过保障信息系统安全来保障信息系统所支持的业务安全，实现组织机构的使命。
        • 保障要素：包括技术、管理、工程和人员等方面。
      • 生命周期：
        • 阶段：规划组织、开发采购、实施交付、运行维护和废弃等5个阶段。
        • 目标：获得信息系统安全保障能力的持续性。
      • 保障要素：
        • 安全技术：考虑具体的产品和技术，以及信息系统的安全技术体系架构。
        • 安全管理：考虑基本安全管理实践，结合组织或机构的特点建立相应的安全保障管理体系。
        • 安全工程：考虑信息系统建设的最终结果，注重工程过程各个阶段的规范化实施。
        • 人员安全：考虑与信息系统相关的所有人员的安全意识以及安全专业技能和能力。
      • 安全特征：
        • 过程保障：基于过程的保障，通过风险识别、风险分析、风险评估、风险控制等风险管理活动。
        • 目标：降低信息系统的风险，实现信息系统机密性、完整性和可用性的安全保障。
    • 1.3.2 信息系统安全模型与技术框架
      • 1. P2DR安全模型
        • - P2DR模型由美国ISS公司提出，是动态网络安全体系的代表模型。
        • - 包括四个主要部分：策略（Policy）、防护（Protection）、检测（Detection）、响应（Response）。
          • - 策略：模型核心，指导所有安全活动。
          • - 防护：预防措施，包括数据加密、身份认证、访问控制等。
          • - 检测：攻击穿透防护时发挥作用，与防护互补。
          • - 响应：检测到入侵后，进行事件处理，包括紧急响应和恢复。
        • - 认为信息安全活动需消耗时间，用时间衡量体系安全性和能力。
      • 2. 信息保障技术框架（IATF）(Information Assurance Technical Framework,IATF）
        • - 由美国国家安全局（NSA）制定，用于描述信息保障。
        • - 核心思想：纵深防御战略（Defense in Depth），多层次安全措施保障信息和系统安全。
          • (1) IATF的核心要素
            • - 人员：培训、安全意识教育、物理安全、场所安全、人员安全、系统安全管理。
            • - 技术：纵深防御技术框架域、信息保障要素、安全标准、风险分析（技术评估）、证书与信任。
            • - 操作：安全策略、认证与委派、安全管理、证书、密钥、密码管理、风险分析（合规性检查）、应急响应（分析、监控、告警、恢复）。
          • (2) IATF的4个技术框架焦点域
            • - 本地计算环境：保护客户机、服务器和应用。
            • - 区域边界：保护物理和逻辑区域，防范拒绝服务攻击。
            • - 网络及基础设施：保护广域网数据安全，防止未授权访问。
            • - 支撑性基础设施：提供密钥管理、检测和响应功能。
  • 1.4 信息安全保障基本实践
    • 1.4.1 国内外信息安全保障工作概况.
      • 信息全球化加快，各国政府重视信息保障，成为国家安全战略的重要组成部分。
      • 美国：1998年颁布《保护美国关键基础设施》(PDD-63)，提出信息保障概念。2002年发布IATF 3.1版，2003年信息保障成为军队指导思想。2005年《国防战略报告》将网络空间视为重要领域。
      • 俄罗斯：1995年《联邦信息化和信息保护法》，1997年《俄罗斯国家安全构思》，2000年《国家信息安全学说》，使用SORM-2网络监视系统。
      • 日本：1999年《21世纪信息通信构想》，2000年修改《21世纪信息通信技术研究开发基本计划》，制定信息安全政策、法律和法规。
      • 我国的信息安全保障体系建设始于2003年9月,中央颁布的《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发27号文件)提出要在5年内建设中国信息安全保障体系。
    • 1.4.2 信息安全保障工作的内容
      • 确定安全需求：依据信息安全保障体系结构框架进行分析，建立健全法律法规和规章制度，提高人员安全意识和技能。
      • 设计和实施安全方案：信息安全方案是保障信息安全的基础,安全方案的设计与实施是以安全需求分析为依据的。 遵循综合性、整体性、需求风险代价平衡、标准性、一致性、分步实施、易操作性、多重保护原则。
      • 进行信息安全评测：从风险管理角度，分析信息系统面临的威胁和脆弱性，评估安全事件可能造成的危害，提出防护对策和整改措施。
        • 风险评估方式： 配置核查、工具测试、专家访谈、资料审阅、专家评议
        • 在评估信息系统存在的各类风险的数量、可能性和影响时,主要从安全技术和安全管理两个角度评估。 安全技术：物理安全、网络层安全、主机系统层安全、应用层安全、数据安全 安全管理：安全管理组织机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理
        • 系统安全风险评估流程图
      • 实施信息安全监控：对信息系统的黑客入侵、网站挂马鞥行为进行安全监控 ，经过内部分析提交重大安全隐患分析报告和安全态势分析报告，以便在系统生命周期中持续提高信息系统安全保障能力 现场监控： 非现场监控：
    • 1.4.3 信息安全保障基本实践
      • 安全技术评估：物理安全、网络层安全、主机系统层安全、应用层安全、数据安全。
      • 安全管理评估：安全管理组织机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理。
    • 4. 实施信息安全监控
      • 监控内容： 门户网站黑客威胁、网站挂马、网络流量异常、病毒泛滥趋势、网络入侵事件。
      • 监控方式： 现场监控（测评人员分析关键设备安全信息），非现场监控（资深评测人员使用日志分析工具进行综合分析）。
• 第2章 信息安全基础技术与原理
  • 2.1密码技术
    • 1、信息安全技术的核心基础安全技术主要： 密码技术 ，信息安全技术的核心是 密码 2、信息机密性核心技术
    • 时间对照表
    • 图论
      • 
    • 2.1.1 对称密码与非对称密码
      • 1. 基本概念及其分类
        • 基本概念
          • - 明文(Plaintext)：原始数据。 - 密文(Ciphertext)：加密后的数据。 - 加密(Encryption)：数据变换过程。 - 解密(Decryption)：数据还原过程。 - 密码体制(Crypto-system)：加密方案。 - 密码编码学(Cryptography)：研究加密方案的学科。 - 密码分析学(Cryptoanalysis)：研究破译密码的学科。
        • 密码组成
          • - 消息空间(M)：所有可能明文的集合。 - 密文空间(C)：所有可能密文的集合。 - 密钥空间(K)：所有可能密钥的集合。 - 加密算法(E)：基于密钥的变换函数。 - 解密算法(D)：基于密钥的逆变换函数。
      • 2. 对称密码体制
        • （1）对称密码体制
          • - ① 定义：加密和解密使用同一密钥的密码体制。
          • - ② 特点：
            • - 加密速度快，适用于大量数据的加密。
            • - 密钥管理复杂，需要安全地分发和存储密钥。
            • - 不能提供抗依赖服务
          • - ③ 常见算法：
            • - DES（Data Encryption Standard）：早期广泛使用的对称加密算法，现已不再推荐用于新系统。
            • - AES（Advanced Encryption Standard）：目前最常用的对称加密算法，具有较高的安全性和效率。
          • 即使算法公开，只要密钥保密，密码体制仍然安全，这是柯克霍夫原则的核心
        • （2）对称密码体制分类： 明文加密方式不同，分为
          • 分组密码（分块密码） > 将明文按指定长度分组后加
            • DES、IDEA、AES
          • 序列密码（流密码） > 将明文和密钥划分为序列，逐位或逐字符加
            • 公开的序列密码算法主要有RC4、SEAL、ZUC、ChaCha20、Trivium
        • （3）传统的加密方法
          • 代换法：将明文字母替换成其他字母、数字或符号。 1、 单表代换密码2、多表代换密码（代表代换规则集、秘钥决定变换规则） 最简单的Vigenere 密码
            • 已知最早的代换密码是由Julius发明的 Caesar密码 > 解释：将字母表中的每个字母 ，用其之后的第 k 个字母替代
          • 置换法：通过置换形成新的排列。
        • （4）安全性
          • 穷举攻击法
            • 指攻击者对一条密文尝试所有可能的密钥,直到有一个合法的密钥能将密文恢复为明文。平均而言,获得成功至少要尝试所有可能密钥的一半
            • 穷举攻击是对任何密码都普遍适用的攻击办法,抵抗穷举攻击的方法是增大密钥量,即保证有足够大的密钥空间,进而增加穷举攻击所需的时间代
          • 密码分析学
            • 密码分析学的攻击依赖于算法的性质和明文的一般特征或某些明文密文对。这种形式的攻击企图利用算法的特征来推导出特别的明文或使用的秘钥
            • 20世纪90年代提出了两种有效的对称密码的明文分析方法：差分分析和 线性分析
            • 1、唯密文攻击是最容易防范的,因为攻击者拥有的信息量最少。选择密文攻击最难防范 2、差分分析的基本怡想是通过分析明文对的差值对密文对的差值的影响来恢复某些密钥比特。差分分析是迄今已知的攻击迭代密码最有效的方法之一,它可以用来攻击任何由迭代一个固定的轮函数的结构的密码以及很多分组密码(包括DES) 3、线性分析比差分分析更有效,其基本思想是通过寻找一个给定密码算法有效的线性近似表达式来破译密码系统。由于每个密码系统均为非线性系统,因此只能寻找线性近似表达式
        • （5）设计思想
          • 扩散(Diffusion)和混淆(Confusion)是对称密码设计的主要思想 > 扩散：将每一位明文和秘钥比特的影响扩散到尽可能多的密文比特中 > 混淆：使密文和秘钥之间的关系复杂化
            • 乘积迭代的方法是达到扩散和混淆目的的常见方法,常见的乘积密码是迭代密码。Shannon 1949年论文提出
        • （6）数据加密标准（DES）算法
          • 注：基于Feistel 网络
          • DES算法：1977年由美国国家标准局公布，分组大小为64位，有效密钥长度为56位。
            • 1949年香农 《保密系统通信理论》 ， 1976年 diffie-hellman 、1977年des
        • （7）国际数据加密算法（IDEA →International Data Encryption ALgorithm）
          • IDEA算法：一种分组加密算法 、利用128位密钥对64位明文分组进行加密
          • IDEA加密方法
          • 子密钥生成
          • 解密方法
          • 安全性
        • （8）高级加密标准（AES）
          • 注： 基于SP 网络
          • AES算法：一种分组密码算法、基于SP网络（代换-置换网络）的分组密码算法
          • SP网络
            • 又称为SP 结构 ，是Feistel网络的一种扩展 ;S 混淆层、P 扩展层
              • 1、Feistel网络(又称为Feistel结构)是由HorstFeistel网络(又称为Feistel在设计Lucifer分组密码时发明的,并被DES、FEAL、Twofish、RC5等算法使用; 2、AES算法在整体结构上采用的是代换-置换SP网络组成的圈函数,多图送代,而非Feiste网络结构,
          • AES 算法结构
            • 采用SP网络
              • S盒变换
              • 行移位变换
              • 列混淆变换
              • 秘钥加变换
          • 圈秘钥产生算法
            • 秘钥扩展、 圈秘钥选择
      • 3. 分组密码工作模式
        • 1. 图论
          • 一、核心差异一句话总结​​ ​​ECB​​：明文直接加密，像查字典（不安全！） ​​CBC​​：前一个密文搅乱下一个（需填充数据） ​​CFB/OFB​​：把分组密码当流水线用（CFB实时，OFB预计算） ​​CTR​​：用计数器造密钥流（最快最安全） 二、考试必背​​ ​​最不安全​​：ECB（永远不要用） ​​最常用​​：CTR（速度快+无填充+可并行） ​​需要IV​​：CBC/CFB/OFB（IV必须随机且不重复） ​​错误传播​​：CBC/CFB（一个错，后面全错）
        • 2. 电子密码本模式（ECB）
          • ECB的一个缺点是要求数据的长度为分组密码长度的整数倍,否则最后一个数据块将是短块,这时需要进行填充.它的另一缺点是容易暴露明文的数据模式.且ECB容易遭受重放攻击.ECB模式是分组密码的基本工作模式.
        • 3. 密码分组链模式（CBC）
          • 处理第一个明文分组时,与第一个初始向量组进行异或运算,初始向量不需要保密,它可以明文形式与密文一起传送.与ECB一样,CBC的一个缺点也是要求数据的长度是密码分组长度的整数倍. > 每一分组加密都依赖前面分组、数据长度是分组长度的整数倍、明文和秘文进行亦或运算然后加密，从而形成秘文链、 除过用于加密大长度明文外常用于鉴别与认证
        • 4. 输出反馈模式（OFB）
          • OFB模式将一个分组密码转换为一个序列密码,具有普通序列密码的优缺点. > 适合冗余度较大的数据，语音和图像数据，但是秘文的篡改难以监测
        • 5. 密码反馈模式（CFB）
        • 6. 计数模式（CTR）
          • 附：​​CTR模式加密流程​​（常考简答题） 1、生成计数器值（Nonce+序号） 2、加密计数器→密钥流块 3、明文⊕密钥流=密文 4、计数器+1重复操作
          • 该模式的优点是可以并行,可以预处理,可以证明其安全性至少与CBC一样好.
      • 4. 非对称密码
        • （1）基本概念
          • 加密和解密使用不同密钥的密码体制，通常包括公钥和私钥。
          • 基本思想： 基于难解问题设计密码是非对称密码设计的主要思想
          • 数字签名的应用
            • 在非对称密码中,还有一个重要的特性,也就是加密和解密运算具有可交换性 ；
          • 安全性
          • 优缺点
            • - 加密速度较慢，但安全性更高，适合用于密钥交换和数字签名。
            • - 公钥可以公开，私钥必须保密。
        • （2）RSA（Rivest-Shamir-Adleman）：基于大整数因式分解难题，广泛应用于密钥交换和数字签名。 为了确保RSA密码的安全,必须认真选择公钥参数(n,e):模数n至少1024位;为了使加密速度快,根据"反复平方乘二进制表示中应当含有尽量少的 1
          • 
        • （3） ElGamal：基于离散对数求解困难的问题设计
        • （4）ECC（Elliptic Curve Cryptography）：基于椭圆曲线离散对数问题，提供相同安全性的前提下，密钥长度更短，计算效率更高。 错误检查和纠正的技术 ； 选取的参数P的规模不少于 160 位 ，：ECC 160位密钥等效RSA 1024位安全性
      • 5. 国密算法
        • SM4：分组密码算法，增加非线性变换。
        • SM2：公钥密码算法，基于ECDLP
    • 2.1.2 哈希函数
      • 哈希函数：又被称为 散列函数、杂凑函数，单向密码体制
      • - (1) 定义：哈希函数是一种将任意长度的消息映射为固定长度的摘要值（哈希值）的算法。
      • - (2) 特点：
        • 1. 压缩性：哈希函数能够将任意大小的输入数据（x）压缩成固定长度的哈希值（H(x)）。
        • 2. 易计算性：对于任何给定的消息，可以快速计算出其哈希值。
        • 3. 单向性：给定一个哈希值（h），找到原始消息（m'）使得哈希函数H(m')等于h在计算上是不可行的，即哈希函数是不可逆的。
        • 4. 抗碰撞性：
          • 弱抗碰撞性：对于给定的消息x，找到另一个不同的消息y，使得H(x)等于H(y)在计算上是不可行的。
          • 强抗碰撞性：对于任意两个不同的消息x和y，找到它们使得H(x)等于H(y)在计算上是不可行的。
        • 5. 高灵敏性（雪崩效应）：输入数据的微小变化会导致输出哈希值的显著变化，即输出位中有一半以上会发生变化。
      • - (3) 应用：
        • 消息认证
        • 数字签名
        • 口令的安全性
        • 数据完整性
      • - (4) 常见算法：
        • - MD5（Message-Digest Algorithm 5）：消息摘要算法 早期常用的哈希算法，已被证明存在碰撞漏洞，不推荐用于新系统。
        • 安全散列算法SHA
          • - SHA-1（Secure Hash Algorithm 1）：曾广泛使用，但已被发现存在安全弱点，逐渐被替换。 SHA-1和MD5最大区别在于其摘要比MD5摘要长32bit故耗时要更长, SHA算法消息摘要长度为 160
          • - SHA-256、SHA-384、SHA-512：SHA-2系列算法，具有更高的安全性和抗碰撞性，广泛应用于现代系统。
          • - SHA-3：最新的哈希算法标准，设计上更加安全和灵活。
        • 国密算法
          • 国际上主要使用SHA系列算法作为消息摘要算法。
          • MD5和SHA-1由于这些安全漏洞，不再被认为是安全的算法。
          • SM3算法的结构和特性
            • SM3算法采用Merkle-Damgard结构。 消息分组长度为512位，摘要值长度为256位。 压缩函数与SHA-256具有相似结构，但设计更为复杂。 压缩函数的每一轮都使用2个消息字
          • 迄今为止，SM3算法的安全性相对较高
    • 2.1.3 数字签名
      • 1. 概念：数字签名是一种利用非对称加密技术验证消息完整性和发送者身份的技术。 （数字签名不一定具有数据加密功能）能够解决篡改、伪造等安全性问题
      • 2. 工作原理：
        • - ① 签名过程：发送者使用自己的私钥对消息或其哈希值进行加密，生成数字签名。
        • - ② 验证过程：接收者使用发送者的公钥对数字签名进行解密，并与消息的哈希值进行比较，以验证消息的完整性和发送者的身份。
        • - ③ 应用场景：
      • 3. 美国数字签名标准
        • 概念：从1994年美国政府颁布了数字签名标准(Digital Signature Standard,DSS)以来,至今尚未发现DSS有明显缺陷。目前,DSS的应用已十分广泛,并被一些国际标准化组织采纳作为标准。2000年1月,美国政府将RSA和椭圆曲线密码引人数字签名标准DSS,进一步丰富了DSS算法。
        • 算法参数： DSS的签名算法称为DSA ( Digital Signature Algorithm )
        • 签名产生
        • 验证签名
      • 4. 应用
        • - 电子合同、电子邮件、软件发布等场合，确保信息的真实性和不可否认性。 > 鉴权、完整性、不可抵赖
    • 2.1.4 密钥管理
      • 1. 基本概念
        • 定义：密钥管理是指对密钥的的生成、存储、分配、启用与停用控制更新,撤销与销毁 过程
        • • 放弃秘钥称为秘钥销毁、秘钥期限到后，更新秘钥，称为旧秘钥的过期。 怀疑一个特定的秘钥已受到威胁或者秘钥目的已改变，称为秘钥的撤销
        • 1.1 现代密码学把数据加密保护的全部系于密钥之上,因此密钥的安全管理是保证密码系统安全性的关键因素。 1.2 密钥管理是指处理密钥自产生到最终销毁的有关问题的全过程。大体上讲,密钥管理包括密钥的生成、存储、分配、启用与停用控制更新,撤销与销毁等诸多方面,其中密钥的分配与存储最关键。 1.3 密钥管理的目的是维持系统中各实体之间的密钥关系,以抗击各种可能的威肺。密钥管理要借助加密、认证、签名、协议和公证等技术。
        • 密钥种类
          • 1、基本密钥或初始秘钥：是由用户选出或由系统分配给用户的可在较长时间(相对于会话密钥)内用户所专用的秘密密钥,称用户密钥。基本密钥和会话密钥一起启动和控制由树种算法所构造的密钥产生器,以此产生用于加密数据的密钥。。
          • 2、会话密钥：会话密钥是两个通信终端用户在一次交换数据时所采用的密钥,当用其保护传输数据时称为数据加密密钥, 当用其保护文件时称为文件密锏。会话密钥可由通信双方预先约定,也可由系统动态地产生并赋予通信双方,它为通信双方专用,故又称为专用密钢
          • 3、密钥加密密钥 (KEK)：用于加密其他密钥 ；对传送的会话或文件秘钥进行加密时采用的秘钥，也称次主秘钥 ，通信网络中每个节点都分配一个这类秘钥
          • 4、主机主秘钥：主机主密钥是对密钥加密密钥进行加密的密钥,存于主机处理器中。此外还有用户密钥、族密钥和算法更换密钥等
        • 秘钥生成
        • 秘钥存储
        • 秘钥分配
        • 秘钥替换与更新
        • 秘钥撤销
        • 秘钥销毁
        • 秘钥有效期
          • 一个秘钥有效期 就是秘钥生命期 ，一个秘钥系统必须有一个策略能够检验秘钥的有效期
      • 2. 秘钥产生
        • 1. 硬件技术
          • 力学噪声源：如硬币、骰子。 效率低、随机性差
          • 电子学噪声源：如真空管、稳压二极管。
          • 混沌理论：基于混沌现象的密钥产生技术。随机性好，产生效率高
        • 2. 软件技术
          • ：X9.17标准，使用三重DES算法
        • 3. 公钥体制下的秘钥产生
          • - 3.1 不同于对称密钥,公开密钥密码通常建立在某一数学难题之上。不同的公开密钥密码依据的难题不同,其密钥产生的具体要求不同。 - 3.2 秘钥的产生主要根据安全性和工作效率来合理地产生相关的密钥参数。 - 3.3 一般来说,p和g越大越安全,但效率就越低。根据目前因式分解的能力,对于一般应用,p和q至少要有 512位,以使n至少有1024位。而对于重要应用,p和q至少要有1024位,以使n至少有2048位。此外,还要求p和q要随机,p和q差要大,e的二进制位要有尽可能少的1等。
        • 4. 针对不同秘钥类型的产生方法
          • 主密钥的产生： 控制产生其他加密秘钥的秘钥
          • 加密秘钥的产生： 秘钥加密构成的秘钥表存储在主机上的辅助存储器中
          • 会话秘钥的产生： 可在秘钥加密秘钥作用下通过某种加密算法动态的产生，如用秘钥加密秘钥控制DES算法
      • 3. 秘钥分配 > 分为三类： 人工秘钥分发、中心的分发、基于认证的分发
        • 人工密钥分发：适用于主密钥，由专职人员负责。
        • 基于中心的密钥分发：通过KDC或KTC，如Kerberos协议。 利用可信任的第三方 秘钥分发实质是：利用公开秘钥密码体制分配传统密码的秘钥 可信第三方扮演两种角色：秘钥分发中心KDC、秘钥转换中心KTC、 两种模型：拉模型 和推模型
          • KDC（Key Distribution Center，密钥分发中心）​是“密钥批发商”​​（自己造钥匙发给你）。 ​​KTC（Key Translation Center，密钥转换中心）​“密钥翻译官”​​（把你的钥匙转换成别人能用的） 
          • 中心化单点登录 ，KDC 集中式管理
          • 1、​​AS​​（认证服务器）：发身份门票（TGT）。 2、​​TGS​​（门票授予服务器）：发服务钥匙（ST）。 3、​​必须时钟同步​​！时间差大了会认证失败。
        • 密钥交换协议：如Diffie-Hellman，需认证机制
          • 安全协商共享秘钥 ；它允许双方在不安全的通信信道（如互联网）上​​安全地协商共享密钥​​，用于后续的对称加密（如AES）。 > 匿名无认证的交换协议
          • ​​DH的数学基础​​：离散对数问题
          • 优点​​：无需预共享密钥，适合开放网络。
          • ​​缺点​​：易受中间人攻击（需结合数字签名或证书验证身份）
        • 公开秘钥分配
          • 公开发布
          • 公用目录： 公用目录表是指建立一个公用的公钥动态目录表,公用目录的建立维护及公钥的分发由某个可信的实体或组织承担 优缺点：比公开发布安全性高、目录表可能被伪造 、容易受对手串扰
          • 公钥授权：类似公用目录表,假定有一个公钥管理机构负责建立.维护通信各方公钥的动态目录表。此外,每个用户都可靠的知道管理机构的公开密钥,并且只有管理机构知道相应的秘密密钥
          • 公钥证书：指用户通过公钥证书交换自己的公钥而无须与公钥管理机构联系,公钥证书由证书管理机构(CertificationAuthority,CA)为用户建立。用户可将自己的公开钥通过公钥证书发给另一用户,接收方可用CA的公钥对证书加以验证。
      • 4. 密钥存储
        • 1. 公钥存储
          • 通过CA认证，确保密钥对的拥有者。
        • 2. 私钥存储
          • 私钥管理是公钥系统安全中最薄弱的环节
          • 本地存储：软盘、硬盘。
          • 网络目录服务器：将用户的私钥集中存放在特殊的服务器中,用户可以通过一定的安全协议使用口令来获得自己的私钥和修改自己的私钥和口令,这种方式称为私钥存储服务(Private Key Storage Service,PKSS)。 缺点：容易遭到口令猜测攻击
          • 智能卡：保护用户证书和私钥，需要特殊硬件读卡器，难以推广
          • USB Key：便携、安全
      • 5. 密钥更换与撤销
        • 密钥更换： 一旦密钥有效期到期,就必须消除原密钥存储区,或者使用随机产生的噪声重写 ； 如果批密钥的生成与废除是顺序的,则序数低于正在使用的密钥的所有密钥都已过期,相应的存储区清零。
        • 密钥吊销：由于会话密钥只能存在于一个会话中,因此在会话结柬时,这个密钥会被删除,不需要吊销它。一些密钥可能需要在给定的时间段内有效。一般来说,公钥对的有效期为一年到两年
  • 2.2 认证技术
    • 
    • 2.2.1 消息认证
      • 定义：消息认证是指验证消息的真实性和完整性，确保消息未被篡改或伪造。 只提供保密性不提供认证
      • 攻击类型：
        • 包括泄密、传输分析、伪装、内容修改、顺序修改、计时修改、发送方否认、接收方否认。 >注： 消息认证不能预防的是 “发送方否认”
      • 认证方法
        • 消息加密： 整个消息的密文作为认证码 1、对称加密 、 2、非对称加密 ；
        • 消息认证码 (MAC)：利用密钥生成固定长度的数据块，并将该数据块附加在消息之后。
        • 哈希函数：输入可变大小的消息输出固定大小的哈希值。
        • 题中给出的MD5、AES、Diffie-Hellman算法, 分别属于哈希函数密码体制、对称加密算法和非对称加密算法。
    • 2.2.2 身份认证
      • 3个概念
        • 1、认证(Authentication):在做任何动作之前必须要有方法来识只别动作执行者的真实身份。认证又称为鉴别、确认。身份认证通过标识和鉴别用户的身份防止攻击者假冒合法用户获取访问权限。
        • 2、授权(Authorization):授权是指当用户身份被确认合法后,赋予该用户进行文件和数据等操作的权限。这种权限包括读、写、执行及从属权等。
        • 3、审计(Auditing):因为每一个人都应该为自己所做的操作负责,所以在做完事情之后都要留下记录，以便核查责任
      • - (1) 定义：身份认证是指验证用户的身份，确保用户是其所声称的人。
        • 身份证认证协议分为单向认证协议和双向认证协议两类
      • - (2) 认证手段：
        • 静态密码：简单但易被截获。
        • 动态口令：动态短信密码和动态口令（卡）两种方式
        • USB Key：硬件设备，增强安全性
          • 挑战/应答模式
          • 基于PKI体系的认证模式
        • 生物识别技术
          • 优点:使用者几乎不可能被仿冒。
          • 缺点:较昂贵,不够稳定(辨识失败率高)。
      • 2. 认证协议
        • 基于口令的认证协议
          • 单项函数加密口令
          • 一次性口令
        • 基于对称密码的认证
          • 基于对称密码Needham-Schroeder：使用KDC和会话密钥，抵抗重放攻击。 >在对称密码体系中，通过KDC（密钥分发中心）分配会话密钥，解决密钥分发和重放攻击问题
        • 基于公钥密码的认证
          • 基于公钥密码Denning-Sacco：改进Needham-Schroeder，使用时间戳。 > 在公钥密码体系中，通过时间戳改进Needham-Schroeder，增强安全性并简化流程
        • 速记表
          • 区别联系
            • 
  • 2.3 访问控制技术
    • 2.3.1 访问控制模型
      • - (1) 自主访问控制（DAC）
        • 自主访问控制(DAC)是根据自主访问控制策略建立的一种模型,允许合法用户以用户或用户组的身份访问策略规定的客体,同时阻止非授权用户访问客体。树些用户还可以自主地把自已所拥有的客体的访问权限授予其他用户。 自主访问控制又称为任意访问控制。Linux/UNIX Windows操作系统都提供自主访问控制的功能。在实现上,首先要对用户的身份进行鉴别,然后就可以按照访问控制列表所赋予用户的权限允许和限制用户使用客体的资源。主体控制权限的修改通常由特权用户或是特权用户(管理员)组实现。
        • 访问控制矩阵（Access Control Matrix）
          • 自主访问控制模型的实现机制是通过 访问控制矩阵 可以执行什么操作。 实施的,而具体的实现办法,则是通过访问能力表(基于行)或访问控制表（基于列）来限定哪些主体
          • 任何访问控制策略最终可以被模型化为访问矩阵形式
          • - ② 特点：直观清晰，但不适合大规模系统，因为矩阵规模会迅速增大。
        • 访问能力表和访问控制表
          • - (1) 访问控制列表（ACL）
            • 基于矩阵的列的访问控制信息表示的是访问控制表(Access Control List,ACL),即每个客体附加一个可以访问它的主体的明细表。
          • - (2) 能力表（Capability Table）
            • 基于矩阵的行的访问控制信息表示的是访问能力表( Capacity List ,CL ),即每个主体都附加一个该主体可以访问的客体明细表
          • 自主访问控制模型的实现机制是通过访问控制矩阵实施,具体的实现办法则是通过访问能力表或访问控制表来限定哪些主体针对哪些客体可以执行什么操作。
          • 多数集中式操作系统使用访问控制表或者类似方式实现访问控制
        • 优缺点
          • 优点:根据主体的身份和访问权限进行决策;具有某种访问能力的主体能够自主地将访问权的某个子集授予其他主体;灵活性高,被大量采用。
          • 缺点:信息在传递过程中其访问权限关系会被改变。
      • - (2) 强制访问控制（MAC）
        • 强制访问控制(Mandatory Access Control,MAC)是强加给访问主体的,即系统强制主体服从访问控制政策。强制访问控制的主要特征是对所有主体及其所控制的客体(如进程、文件、段、设备)实施强制访问控制。
        • 1. 安全标签
          • 强制访问控制对访问主题和受控对象标识两个安全标签 ； 一个具有偏序关系的安全等级标签 ，另一个是非等级分类标签 强制访问控制强调主体服从访问控制政策,对访问主体和受控对象标识安全标签,系统通过比较主体和客体的安全标签来决定一个主体是否能够访问某个客体 1、安全标签是限制和附属在主体或客体上的一组安全属性信息。安全标签的含义比能力广泛和严格,因为它实际上还建立了一个严格的安全等级集合。 2、访问控制标签列表(Access Control Security Labels Lists, ACSLL) 是限定一个用户对一个客体目标访问的安全属性集合 3、安全标签能对敏感信息加以区分,这样就可以对用户和客体资源强制执行安全策略。因此,强制访问控制经常会用到这种实现机制。
        • 2. 强制访问策略
          • 强制访问策略将每个主体与客体赋予一个访问级别,如绝密级(TopSecret)、机密级(HighlySecret)、秘密级(Secret)及无密级(Clearance)。用一个例子来说明强制访问控制规则的应用,如Web服务以“秘密级“的安全级别运行。假如Web服务器被攻击,攻击者在目标系统中以 "秘密级" 的安全级别进行操作,他将不能访问系统中安全级为“最高秘密级“的数据。 强制访问控制系统根据主体和客体的敏感标记来决定访问模式
          • 3. ​​保密性模型（Bell-LaPadula）​​
            • “不上读/不下写”的原则来保证数据的保密性。 该模型以信息的敏感度作为安全等级的划分标准,主体和客体用户被划分为以下安全等级:无密.秘密、机密和绝密,安全等级依次增高
              • 规则1：下级不能读上级文件（士兵不能看将军邮件）。 规则2：上级不能写下级文件（防将军误删士兵报告）。
          • 4. 完整性模型（Biba）
            • 不允许向下读、向上写，保护数据完整性 - 针对 信息完整性保护 ，用于非军用领域 - 主体和客体用户被划分为以下完整性级别:重要(Important)、很重要(VeryImportant)和极重要(Crucial),完整性级别依次增高。
              • 规则1：下级不能写上级文件（实习生不能改CEO合同）。 规则2：上级不能读下级文件（防CEO误信实习生草稿）
          • 5. 混合模型（Chinese Wall）
            • 在多边安全系统中的安全模型，应用在可能存在利益冲突的组织中。
            • 同时包括了自主访问控制和强制访问控制的属性,属于混合策略模型.
            • ChineseWall安全策略的基础是客户访问的信息不会与目前他们可支配的信息产生冲突。
            • ChineseWall安全模型的两个主要属性:
              • 用户必须选择一个他可以访问的区域。
              • 用户必须自动拒绝来自其他与用户所选区域的利益冲突区域的访问。
          • 6. Clark-Wilson 模型
      • - (3) 基于角色的访问控制（RBAC）
        • 基于角色的访问控制(Role-based Access, RBAC ) 模型的要素包括用户、角色和许可等
    • 2.3.2 访问控制技术
      • 图例
        • 核心考点速记版​​ ​​协议三选一必考​​： 问传输协议：Radius(UDP) vs TACACS+(TCP) vs Diameter(TCP/SCTP) 问加密强度：TACACS+ > Diameter > Radius ​​Kerberos四步流程​​： 找AS领TGT（临时通行证） 找TGS换ST（服务门票） 用ST访问服务 全程依赖时间同步 ​​单点登录风险链​​： 主凭证泄露 → 所有关联系统沦陷（典型案例：微信扫码登录的APP全部被盗） ​​记忆口诀​​ ​​集中三兄弟​​：RUDP（Radius）、TTCP（TACACS+）、D强加密（Diameter）
      • 1. 集中访问控制
        • Radius协议
          • 拨号用户远程认证服
          • 1、拨号用户远程认证服务(RemoteAuthentication Dial-In UseSystem,RADIUS) 2、客户端/服务器协议，运行在应用层 ，使用UDP协议 。身份认证和授权使用1812端口，审计使用1813端口 ；服务器通常运行在主机之上的一个后台进程 3、3种返回消息：访问拒绝、挑战、接收 4、Radiius 审计 独立于身份验证和授权服务 ，使用独立的udp端口通讯 5、协议特点： 简单明确、可扩充。
        • TACACS协议
          • 终端访问控制器访问控制系
        • Diameter协议
          • 终端访问控制器访问控制系
      • 2. 非集中访问控制
        • 单点登录SSO
        • Kerberos协议 (应用层协议)
          • 答疑:【解析】Kerberos是一种网络认证协议,其设计目标是通过密钥系统为客户机/服务器应用程序提供强大的认证服务。该认证过程的实现不依赖 操作系统的认证,故D选项说法错误,无需基于主机地址的信任,不要求网络上所有主机的物理安全,并假定网络上传送的数据包可以被任意地读取、修入数据。故选择D选项。
          • 使用对称加密技术
        • SESAME
  • 2.4审计和监控技术
    • 2.4.1 审计和监控基础
      • 定义
        • 日志是记录的事件或统计数据, 这些事件或统计数据能提供关于系统使用及性能方面的信息。审计是对日志记录的分析,并以清晰的、能理解的方式表述系统信息。审计使得系统分析员可以评审资源的使用模式,以便评价保护机制的有效性。 安全审计的目标有两个:1、必须提供足够的信息使得安全人员能够将问题限制于局部,而信息量不足以以此为基础进行攻击。2、优化审计记录的内容,审计分析机制应可以对一些特定资源辨认正常的行为。
        • 审计是通过对所关心的事件进行记录和分析来实现的,因此一个审计系统通常由日志记录器、分析器、通告器3部分组成,它们分别用于收集数据分析数据及通报结果。
      • 日志记录器：
        • 日志内容
        • 不安全记录机制：
          • 日志的记录可能由操作系统完成,也可以由应用系统或其他专用记录系统完成。在大部分情况下,都可用系统调用Syslog来记录日志。
      • 分析器：
        • 分析器以日志作为输人,然后分析日志数据。分析的结果可能会改变正在记录的数据,也可能只是检测一些事件或问题。通过对日志进行分析,发现所需事件信息和规律是安全审计的根本目的
        • 潜在侵害分析
        • 基于异常检测的轮廓
        • 简单攻击探测
        • 复杂攻击探测
      • 通告器
    • 2.4.2 审计和监控技术
      • 1. 恶意行为监控
        • 恶意行为审计与监控主要监测针对网络中针对服务器的恶意行为,包括恶意的攻击行为和入侵行为
        • 主机检测
        • 网络检测
          • 活动网络被动监听
          • 未使用 IP 地址空间被动收集
          • 蜜罐技术（Honeynet Project）
            • 1、一种网络监测技术,它将未使用地址空间伪装成活动网络空间,通过与人侵者的主动交互获取人侵详细信息,以达到对攻击活动进行监视、检测和分析的目的。 2、网络信息内容监控的主要方法为网络舆情分析。
          • 蜜网
            • 蜜网是在蜜罐技术的基础上逐渐发展起来的一个新的概念,又称为诱捕网络；蜜网技术实质上还是一类研究型的高交互蜜罐技术,其主要目的是收集黑客的攻击信息。与传统的蜜罐技术不同的是,蜜网构成了一个黑客诱捕网络体系架构
          • 恶意代码诱捕系统：
            • 恶意代码诱捕系统由高交互蜜罐.低交互蜜罐和主机行为监视模块3部分组成。其中,高交互蜜罐和低交互蜜罐配合完成“诱“的功能,主机行为监视模块在“诱“的平台上完成“捕“的操作。
              • 高交互蜜罐指的是用作攻击诱捕的有真实操作系统的虚拟机系统,可以收集到丰富的主机响应信息
              • 低交互蜜罐：是通过脚本或其他形式程序虚拟部分操作系统及服务行为,同时模拟系统服务漏洞,以达到攻击诱捕的目的
              • 主机行为监视模块：装在高交互蜜罐系统上,负责捕获系统网络连接变化、文件系统变化、系统服务变化、进程变化等操作系统主机行为信息,生成主机监视日志,同时通过文件系统变化情况提炼恶意样本文件
      • 2. 网络信息内容审计
        • 主要是对特定信息的监测与阻断,主要作用于内容的机密性、真实性和可用性
        • 网络信息内容监控的主要方法： 网络舆情分析
        • 审计与监控方法（网络舆情分析）
          • 组成
            • 舆情分析引擎（核心功能）
            • 自动信息采集功能
            • 数据清理功能
          • 舆情分析系统核心技术
            • 舆情分析引擎，涉及文本分类、聚类、观点倾向性识别、主题检测与跟踪、自动摘要等计算机文本信息内容识别技术 。
        • 网络信息内容审计系统模型
          • 涉及技术
            • 网络信息内容获取技术（嗅探技术）
            • 网络内容还原分析技术
          • 过程模型
            • 流水线模型
            • 分段式处理模型
          • 不良信息内容监控方法
            • 网址过滤技术
            • 网页内容过滤技术
            • 图像内容过滤方式
      • 附外
        • - (1) 日志记录
          • - ① 系统日志：记录操作系统、应用程序和服务的操作行为，如登录、文件访问、网络连接等。
          • - ② 安全日志：专门记录与安全相关的事件，如入侵尝试、权限变更、异常登录等。
          • - ③ 应用日志：记录应用程序的运行状态和操作行为，帮助排查应用故障和安全问题。
        • - (2) 实时监控
          • - ① 网络监控：通过网络流量分析工具，实时监控网络中的数据传输，检测异常流量和攻击行为。
          • - ② 主机监控：通过主机监控工具，实时监控系统的资源使用情况、进程状态和文件系统变化，发现潜在的安全威胁。
          • - ③ 用户行为监控：通过行为分析工具，实时监控用户的操作行为，识别异常活动和潜在的内部威胁。
        • - (3) 安全信息和事件管理（SIEM）
          • - ① 定义：SIEM系统集成了日志管理、实时监控和安全分析功能，能够自动收集、分析和报告安全事件。
          • - ② 特点：提供全面的安全视图，支持自动化响应和告警，帮助快速应对安全威胁。
• 第3章 系统安全
  • 3.1 操作系统安全
    • 3.1.1 操作系统安全基础
      • 1. 操作系统基本概念
        • 基本概念
          • 操作系统是控制其他程序运行,管理系统资源并为用户提供共操作界面的系统软件的集合。操作系统是计算机系统的内核与基石。
          • - 用户不能直接操作裸机，必须通过BIOS
          • - 操作系统（OS）管理计算机资源，提供操作界面
          • - 计算机由硬件设备、BIOS、操作系统及应用程序组成
        • 基本元素
          • 用户模式和内核模式
            • - 内核模式,在Intelx86系列中称为核心层(Ring0)。 - 用户模式,也称为用户层(Ring3)。 > 当操作系统为0环 和1 环执行指令时候 ，它在管理员模式或 内核 模式下运行
            • 在标准的模型中,将CPU模式从用户模式转到内核模式的唯一方法是触发一个特殊的硬件自陷,如 1. 中断,通常是由外部硬件引发的,如I/O或者时钟。 2. 异常,如除数为零、访问非法或者不属于该进程的内存。 3. 显式地执行自陷指令。
          • 内存管理
            • 用户进程隔离：为了避免用户进程相互影响，需要避免它们互相读写对方的存储区域，同时也要避免读写操作系统的内存区域，包括操作系统代码。
            • 内存管理单元（MMU）：系统通过在CPU和系统其他部分之间的地址总线上嵌入内存管理单元（MMU）来达到隔离的目的。MMU负责将逻辑地址转换成物理地址。
            • 地址转换：CPU发射合适的地址，MMU单元负责将这些虚拟地址转换成实际的物理地址。
            • 操作系统控制：操作系统使用特殊指令来建立和控制地址转换关系。
            • 内存访问权限：对用户代码而言，MMU的转换机制可以标记某些内存区域为仅可读。如果用户级的CPU试图写入这些地址，MMU将拒绝转换地址，并引发异常，从而进入内核级。
            • 内存保护：MMU可以避免用户代码读取不该访问的内存。内核创建仅由它自己才能查看的内存区域，并使用这片内存来存储用户进程维护数据、I/O调度等。
            • 依赖于硬件和操作系统设计：完成这一过程依赖于硬件体系结构和操作系统的设计选择。
          • 用户接口
            • 作业级接口：操作系统为用户对作业运行全过程控制提供的功能，涉及用户如何将请求告诉计算机以及计算机如何服务用户。
              • 作业是用户要求计算机完成的工作集合，由一系列相对独立的执行步骤（作业步）组成。
              • 从系统角度看，作业由用户程序、数据和作业说明书三部分组成。
              • 用户需要用程序设计语言编写源程序并准备数据，然后输入到计算机系统中，经过编译、装配、运行等步骤得到处理结果
            • 程序级接口：操作系统专门为用户程序设置的接口，是用户程序获取操作系统服务的唯一途径。
              • 程序级接口由系统调用组成，不同系统提供的系统调用命令不同。
              • 系统调用大致分为三类：一般设备输入输出的系统调用、磁盘输入输出及文件管理的系统调用、其他系统调用。
          • 系统调用
            • 用户态→软中断→内核态→执行→返回用户态 操作系统内核中设置了用于实现特定系统功能的子程序（过程），供应用程序调用。 用户代码通过系统调用来请求操作系统服务，包括存储请求服务的值和参数，然后发出自陷指令。 系统响应后，保存用户进程状态，切换到内核模式，执行系统调用处理程序，完成上下文切换。 服务完成后，恢复用户进程状态，控制权重新交给进程。
            • 用户态→软中断→内核态→执行→返回用户态
            • 操作系统内核中设置了用于实现特定系统功能的子程序（过程），供应用程序调用。
            • 用户代码通过系统调用来请求操作系统服务，包括存储请求服务的值和参数，然后发出自陷指令。
            • 系统响应后，保存用户进程状态，切换到内核模式，执行系统调用处理程序，完成上下文切换。
            • 服务完成后，恢复用户进程状态，控制权重新交给进程。
      • 2. 操作系统的功能
        • 操作系统由资源管理、用户接口、进程管理、内存管理、文件系统管理等功能模块组成。
        • 1. 进程管理：
          • 概念：
            • 进程是程序运行的一个实例，是运行着的程序。
            • 线程是进程中可独立执行的更小单位，可共享进程资源。
            • 进程时资源分配的基本单位 ，与进程有关资源都被记录进程控制块PCB中。线程与资源分配无关，术语某一个进程，并与其他线程共享进程资源。通常都是把进程作为分配资源的基本单位，而把线程昨日独立运行和独立调度的基本单位。
          • 实现：
            • 操作系统负责建立新进程、分配资源、同步通信、确保安全。
            • 操作系统维护进程表，记录进程状态、堆栈指针、内存分配等信息。
            • 进程管理通过中断信号与CPU通信，操作系统通过定时器中断实现进程调度。
        • 2. 文件系统管理：
          • 文件定义：
            • 文件是存储在外存上的一组相关字符流或记录的集合。
          • 文件系统功能：
            • 文件系统负责存取和管理文件，是用户与外存之间的接口。
            • 文件系统在操作系统存在时已经存在，操作系统程序也保存在文件系统中。
          • 数据结构：
            • 文件系统是一种数据链表，描述磁盘上的信息结构，如创建日期、修改日期、文件作者、读写属性等。
          • 文件操作：
            • 支持文件的新建、修改、复制、剪切、粘贴、删除等操作。
          • 数据链表的重要性：
            • 数据链表一旦被破坏，即使磁盘数据未破坏，也无法被读取。
      • 3. 基本安全实现机制
        • 1. CPU模式和保护环：
          • 保护环机制：操作系统使用保护环机制来确保进程不会彼此之间相互影响或对系统重要组件造成负面影响。
          • 权限和环：内环中的进程比外环中的进程有更高的权限，内环只允许最可信的组件和进程执行。
          • 内核模式和用户模式：内环进程通常处于内核模式，外环进程处于用户模式。
          • 保护环结构：最常见的保护环结构提供4个保护环，包括操作系统内核、操作系统其他部分、I/O驱动程序和实用工具、应用程序和用户活动。 每个主体和客体都分配有一个编号(0~3),这个编号取决于操作系统赋予它的信任级别
          • 访问控制：环决定对敏感系统资源的访问权限，环号越低，权限越大。
          • 系统调用：当应用程序需要访问不允许直接访问的环中的组件时，需要通过系统调用来处理。
          • 1、当操作系统为 0环 和 1环 执行指令时,它在管理员模式或内核模式下运行。 2、当操作系统为3环中的应用程序和进程执行指令时,它在用户模式下运行。 >> 用户模式为在其中运行的应用程序提供一个更加限制性的环境,这反过来又保护系统不会受到行为不端程序的伤害 >> 许多操作系统并不经常使用第二保护环，甚至根本用不到
        • 2. 进程隔离：
          • 进程隔离定义：系统对同时执行的进程进行隔离，防止进程之间的互相影响。
          • 硬件和软件技术：进程隔离是操作系统在安全性方面的主要贡献之一，使用虚拟地址空间来实现。
          • 虚拟地址空间：不同的进程拥有不同的虚拟地址，通过内存管理禁止一个进程读写其他进程的内存。
          • 防止数据写入：进程隔离防止一个进程将数据信息写入另一个进程。
    • 3.1.2 操作系统安全实践
      • 1. UNIX/Linux系统概述
        • 概念
          • 特点：交互式、多用户、多任务操作系统。
          • 起源：1974年，贝尔实验室开发的分时系统。
          • 应用：网络、大型机和工作站
        • 系统架构和关键系统组件
          • 层次结构
            • 硬件层：系统基础。
            • 内核层：设备管理、进程管理、文件管理、系统调用接口。
            • 用户层：应用程序。
        • 系统启动过程
          • 步骤：
            • 1. 加载BIOS：包含系统硬件信息。
            • 2. 读取MBR：主引导记录，包含预启动信息。 0磁道 MBR扇区 512字节
            • 3. 加载引导程序：如Grub、Lilo 和 spfdisk，初始化硬件，准备操作系统内核。 > Lilo 系统启动运行、Grub 多操作系统启动
            • 4. 加载内核：解压内核映像，调用start_kernel()函数。
            • 5. 执行init进程：第一个用户级进程，负责系统初始化。由内核启动的用户级进程 > inittab ：设定linux的运行等级
              • init进程是一个由内核启动的用户级进程，始终是第一个进程
        • 系统服务和进程
          • 守护进程：
            • > 脱离于终端并且在后台运行的进程 1、后台运行，独立于控制终端，周期性执行任务。 2、系统引导装入时启动，系统关闭时终止 3、控制终端关闭相应进程关闭，守护进程不受影响（知道整个系统关闭） 如果想让某个进程不因为用户或终端其他变化受到影响，必须将这个进程变为一个守护进程 > 守护进程还能完成许多系统任务,如作业规划进程crond、打印进程lqd等〈这里的结尾字母d是daemon的意思
            • 在UNIX/Linux中,系统与用户进行交流的界面称为终端,每一个从终端开始运行的进程都会依附于这个终端,这个终端就称为这些进程的控制终端
            • 在UNIX/Linux系统中,服务是通过inetd进程或启动脚本来启动。通过inetd来启动的服务可以通过在/ete/inetd.conf文件中注释来禁用;通过启动脚本启动的服务可以通过改变脚本名称的方式禁用。
          • 服务启动与关闭：
            • 通过inetd进程或启动脚本来启动。
          • inetd进程：
            • UNIX 最红药的网络服务进程，监视网络请求的守护进程。集中与inetd.conf 配置文件来管理入网链接 ； xinetd 已经取代了inetd
      • 2. UNIX/Linux系统安全
        • 概念定义
          • 核心：文件系统安全。
          • 基础安全机制：文件系统安全、账户安全、日志和审计。
        • 文件系统安全
          • 文件系统基础：
            • 所有事物都是文件，包括用户数据、目录、进程、命令、网络连接。 UNIX/Linux中的部分文件类型如下: 1、正规文件:ASCII文本文件,二进制数据文件,二进制可执行文件等。 2、目录:包括一组其他文件的二进制文件。 3、特殊文件:包括通常能在/dev目录下找到的设备文件,对硬件驱动器等进行信息编码。 4、链接:硬链接,把两个或更多处于同一存储位置的文件名连接起来;软链接(符号链),指向其他文件。 5、Sockets:进程间通信时使用的特殊文件。 这些不同类型的文件以分层的树结构进行组织,以一个叫“root“的目录为起始位置(用“/“表示)
            • 1、i节点关注UNIX文件系统中所有的文件活动。UNIX文件系统安全就是基于i节点中3段关键信息 uid gid 模式 ;UID:文件拥有者。 CID:文件所在分组。 模式:文件的权限设置
          • 目录结构：
            • 树结构组织，以"root"目录为起始。
          • 文件权限：
            • 每组权限：拥有者、分组、其他用户。
            • 权限标志位：可读(r)、可写(w)、可执行(x)。
          • SUID和SGID：
            • 特殊权限，允许用户以特殊权利运行程序。
          • 查看文件权限：
            • 使用ls -l命令。
          • 修改文件权限：
            • 使用chmod命令。 决定​​谁能读/写/执行​​这个文件。
          • 文件权限修改命令：
            • chown（改变拥有权）： 改变文件的​​所有者​​（user）和​​所属组​​（group）。 chgrp（改变分组）：仅修改文件的所属组​​ > chown可以同时改主人和组，但如果你​​只想改组​​，用chgrp更直观。
          • 创建文件的默认权限：
            • umask设置默认权限。
        • 账号管理安全
          • passwd文件
            • Linux系统中用户关键信息存放于`/etc/passwd`文件。
            • 记录格式包括：注册名、口令、用户标识号、组标识号、用户名、用户主目录、命令解释程序Shell。
            • 口令字段通常用"x"代替，实际口令存储在`/etc/shadow`文件中。
            • 账号被查封时，passwd字段中的第一个字符是"*"。
            • 禁用账号在`/etc/passwd`文件中用户名前加"#"。
          • 伪用户账号
            • 伪用户在`/etc/passwd`文件中占有记录，但不能登录。
            • 存在主要是为了方便系统管理，满足系统进程对文件属主的要求。
          • root账户的管理
            • 在UNIX\Linux系统中,root账号是一个超级用户账户,可以双对系统进行任何操作。 UNIX\Linux超级用户账户可以不止一个。在UNIX系统中,只要将用户的UID和GID设置为0就可以将其变成超级用户。但并不是所有的超级用户都能很容易的登录到UNIX系统中,这是因为UNIX系统使用了可插入认证模块PAM进行认证王登录,PAM要求超级用户只能在指定的终端上进行访问,以确保系统的安全性。 root用户账户也是有密码的,这个密码可以对那些通过控制台访问系统的用户进行控制,即使是使用su命令的用户也不例外。
            • root账号是超级用户账户，可以对系统进行任何操作。
            • 避免以超级用户登录，严格限制root只能在某一个终端登录。
            • 不要把root shell留在终端上，考虑使用sudo工具。
        • 日志与审计
          • 在UNIX\Linux中,主要的审计工具是syslogd 守护进程
          • 日志系统
            • 包括记录连接时间的日志 ： var/log/wtmp、var/run/utmp 由login进程完成 进程统计： 错误日志：有syslogd 执行
          • 连接时间日志
            • 当前登录用户信息记录在`/var/run/utmp`，登录记录在`/var/log/wtmp`。 wimp和utmp文件都是二进制文件,它们不能被诸如tail命令剪贴或合并(使用cat命令)。 1、who: 查询utmp 文件报告当前登录的每个用户 2、w : 查询utmp 文件显示系统中每个用户和它运行的进程信息 3、users: 打印当前登录的用户、每个显示的用户名显示一个登录会话 4、last: 往回搜索wtmp显示从第一个创建以来登录过的用户 5、ac: 登录进入 、退出报告用户链接的实际那
          • 进程统计日志
            • 1、进程终止时，往进程统计文件`pacct`或`acct`中写记录。 2、启动进程使用accton命令 ，必须使用root 运行 ；命令形式accton file 3、一旦accton被激活,就可以使用lastcomm命令监测系统中任何时候执行的命令。若要关闭统计,可以使用不带任何参数的accton命令。
          • 错误日志
            • 由`syslogd`执行，记录系统守护进程、用户程序和内核的事件。
          • 本地日志记录方式
            • 
            • syslog设备配置
              • 依据`/etc/syslogd`（守护进程）和`/etc/syslog.conf`（配置文件）。
              • 日志信息通常写入`/var/log`目录下的信息文件（如`messages.*`）。
            • syslog记录组成
              • 包括生成程序的名字、文本信息、设备（如表3.7所示）和优先级（如表3.8所示）。
            • 设备描述（表3.7）
              • 设备包括：auth、cron、daemon、kern、lpr、mail、news、user、uucp、local0-7。
            • 优先级行为（表3.8）
              • 包括：debug、info、notice、warning、err、crit、alert、emerg、none。
            • syslog.conf配置
              • 指定syslogd程序记录日志的行为，由不同程序或消息分类的单个条目组成。
              • 选择域和动作域由tab隔开，选择域指明消息类型和优先级，动作域指明执行动作。
            • 日志记录示例
              • 如何将所有邮件消息记录到一个文件中：`mail.* /var/log/maillog`。
            • 日志打印
              • 将重要日志文件打印到连续打印的打印机`/dev/lp0`。
          • 远程日志记录方式
            • 因为syslog daemon的默认配置是拒绝接收来自网络上的信息,所以必须使它能够接收来自网络上的信息。在syslog daemon的脚本文件(指的是接收日志文件的服务器上的脚本文件)中加人下面的“-r“参数编辑syslogd脚本文件
            • syslogd配置修改
              • 默认配置拒绝接收网络信息，需修改以接收网络信息。
              • 在syslogd脚本文件中加入`-r`参数，如：`SYSLOGD_OPTIONS="-r -m 0"`。
            • syslog.conf远程日志配置
              • 在`syslog.conf`文件中配置远程日志记录，如：`authpriv.*;mail.*;local7.*;auth.*;daemon.info @logserver`。
            • 远程日志记录优势
              • 即使本地日志被攻击者删除，远程计算机上仍有备份，可用于分析和处理安全事件。
      • 3. Windows 系统概述
        • 概述
          • Windows设计融合了分层操作系统和客户/服务器操作系统的特点
        • 系统架构：用户模式和内核模式 >注：为防止访问或更改重要数据
          • 4种基本用户模式进程
            • 系统支持进程： 登录进程和会话管理器 服务进程： windows服务 ，事件日志、任务调度器和假脱机服务等 环境子系统： 用户应用程序： win23、windows3.1 、ms-dos、posix 或os/2 这5种之一 服务进程和应用程序是不能直接调用操作系统服务的,它们必须通过子系统动态链接库和系统交互。子系统动态链接库的作用就是将文档化函数(公开的调用接口)转换为适当的Windows内部系统调用。
            • windows核心模式组件 1、执行体: 包含了基本的操作系统服务,如内存管理器.进程和线程管理.安全控制及进程间的通信。 2、内核：包含最低级操作系统功能： 现成调度、中断和异常调度等分发 3、硬件抽象层 4、设备驱动程序： 包含 文件系统和硬件设备驱动程序 5、图形引擎: 实现图形用户界面GUI 的基本函数
            • windows 操作系统核心组件
        • 关键系统组件：
          • 图例
          • 1、环境子系统和子系统动态链接库：
            • windows有3种环境子系统:POSIX,0S/2和Win32。 1、Win32子系统比较特殊 ，必须始终运行 2、环境子系统的作用是将基本的执行体系统服务的某些子集提供给应用程序。用户应用程序不能直接调用Windows系统服务,这种调用必须通过一个或多个子系统动态链接库作为中介才可以完成
          • 2、执行体： Windows的执行体是ntoskrnl.exe的上层(内核是其下层)。
            • 包含组件
              • 
            • 4类支持函数
              • 对象管理器： 本地过程调换用 LPC机制: 同一台计算机客户进程和服务进程传递消息 公用运行库函数： 执行体支持例程：
          • 内核： 内核是由ntoskrnl.exe中的一组函数以及对于硬件体系结构的低层支持(比如中断和异常分发)构成的。ntoskrmnl.exe中的这组函数提供了一些最为基本的机制,执行Windows中最基本的操作。 Windows的内核始终运行在核心模式,代码短小紧凑,可移植性也很好。一般来说,除了中断服务例程(Interrupt Service Routine,ISR),正在运行的线程是不能抢先内核的。
          • 硬件抽象层： HAL （核心模块hal.dll）成为一致性可能关键部分
          • 设备驱动程序： 通常以 sys 为扩展名
          • 系统支持进程
            • idle: idle 进程ID 0 ，空闲进程 系统进程： 进程ID 总是为2 ，具有一般用户态线程的所有属性和描述表，不同点在于他们仅运行在核心态 会话管理器smss： 第一个系统中创建的用户进程 登录进程 winlogon： winlogon 用户登录和注销的内部活动，CTRL+ALT+DELETE 本地安全身份验证服务lsass：接收来自winlogind 的身份验证请求 ，检查是否与存储在SAM文件中的密码匹配 服务控制器services及其相关服务进程 ： 特指用户模式进程服务
        • 系统启动过程： 1、预引导: 读取并运行主引导记录 MBR 2、引导：初始化引导载入程序 （ntldr查找文件系统驱动读取文件分区，载入程序）→ 操作系统选择 (读取boot.ini、multi 标识非scsi硬盘设备) → 硬件检测 → 配置文件选择 3、载人内核： ntldr 4、初始化内核及登录： 创建hardware注册表→ 对control set注册表→载入→初始化设备驱动程序→ 启动服务（smss.exe 第一个用户态进程） 5、登录阶段：winlogon.exe 启动本地安全性授予lsass.exe→ 加载图形化标识和验证 GINA (默认msgina.dll) → 通过services.exe启动标识为自启动的Win32服务程序
          • ntldr( NT Loader) 系统加载程序， 隐藏的只读文件系统，位于系统盘根目录。用来装载操纵系统 ，主要职责 解析boot.ini 文件
        • 系统服务和进程：
          •  
          • windows系统基本进程
            • 基本系统进程 和附加进程
          • 进程安全管理： 1、任务管理器： 提供正在运行的程序和进程的相关信息 2、msinfo32: 查看系统信息工具 3、dos命令行：
          • 系统服务 > 系统后台运行的应用程序类型，又被称为windows本机应用程序编程接口 ， 由执行体为 用户模式和内核模式的程序提供系统服务集 1、服务控制管理器： services.msc 2、net start/stop , 启动或关闭一项服务 ；不带任务参数 net start 查看已启动的服务列表 3、sc ： sc.exe服务启动类型以及服务启动或者关闭进行操作 > sc 命令更加强大 管理员操作，net 普通用户操作
        • 三个子系统
          • Win32： POSIX 、OS/2 ： 需要时运行 一些unix/linux应用
      • 4. 系统安全
        • Windows安全子系统
          • 1、winlogon和GINA (Graphical Identifiacal and Authentication ,GINA)： 交互式界面为用户登录提供认证请求 ;。如果存在GinaDLL键,winlogon将使用这个DLL;如果不存在该键,则winlogon将使用默认值msgina.dll 2、本地安全认证: 安全子系统核心 3、安全支持提供这接口： 4、认证包：为真实用户提供认证 5、安全支持提供者： 附加安全机制 ,默认情况下有Msnsspe.dll(微软网络挑战/反应认证模块)、Msapsspc.dll(分布式密码认证挑战/反应模块)、Schannel.dl(证书模块)3种。 6、网络登录服务： 7、安全账号管理器：保存用户账号和口令的数据库 ;windows对以用户账户的安全管理使用了安全账号管理器机制 ，安全账号管理器对账号的管理是通过安全标识进行的
        • 登录验证
          • windows NT 中口令密码保存在SAM文件中，SYSKEY 文件用于加密SAM文件的秘钥
        • 用户权利与权限
          • 
          • 用户权利
            • 
            • 网络安全性依赖于给用户或者组所授予的能力,包括权限、权利和共享。 1、权限：授予用户或组的文件系统能力 2、权利：系统上完成特定动作的授权 ，一般由系统内置组 ，也可由管理员将其扩大到组和用户上 3、共享：通过网络使用的文件夹
          • 用户权限
            • 如果对目录有Execute(X)权限,那么表示可以穿越目录,进人其子目录
            • > 注：适用特定对象如目录 或文件（NTFS的操作）
          • 共享权限
            • 
            • 要使网络用户可以访问在NTServer服务器上的文件和目录,必须首先对它建立共享
            • > 注：共享权限建立了通过网络对共享目录访问的最高操作
        • 日志与审计
          • 三种日志：系统日志、应用程序日志、安全日志
            • 1、修改日志文件目录
              • 开始→运行：Regedit
            • 2、文件访问权限
              • 过修改日志文件访问权限,防止这种事情发生,前提是Windows系统要采用NTFS文件系统格式。
            • 3、日志审计
        • 安全策略
          • 1、密码策略: 必须符合 复杂性要求、最长留存期 2、锁定策略: 多次无效登录后对用户账户锁定 3、审核策略：审核报告将被写人安全日志中,可以使用“事件查看器“来查 4、用户权利指派： 5、安全选项： 6、装载自定义安全模版： 除系统定义的各种安全设置外,Windows还提供了“安全模板“来初始化系统安全配置。安全模板是对整个系统安全属性的一个配置文件。系统管理员可以生成一个能够反映实际需要的安全模板,并把它应用于本地计算机或把它输人到活动目录的一个组策略对象
        • Windows加密文件系统
          • 加密文件系统提供一种核心文件加密技术,该技术用于在NTFS文件系统卷上存储已加密文件 如果人侵者试图打开、复制.移动或重新命名已加密文件或文件夹,则将收到拒绝访问的消息。
        • Windows用户权限控制
          • 1、用户账户控制UAC(User Account Control)是微软提高系统安全性从Windows Vista 以后引人的新技术。它要求所有的用户在标准账号模式下运行程序和任务,阻止未认证的程序自动安装,并且阻止标准用户不当地改变系统设置。 2、当用户登录输入账密后，由winlogon进程获取 ，并由LSA 本地安全子系统在SAM数据库中对比，如果匹配 ，LSA 生成一个访问令牌，并传递给用户
      • 5. 可信计算技术
        • 
        • 可信计算的发展：国外进展、国内进展
          • 
          • TCG可信计算组织系统结构制定一系列可信计算技术规范 可信平台模块( Trusted Platform Module., TPM) 、可信软件栈 ( TrustedSoftware Stack TSS) 、可信网络连接(Trusted Network Connection , TNC ) 、可信手机模块
          • 中国可信平台与TCG 可信平台最根本差异：平台模块不同， TCG 使用了TPM 、中国可信平台使用了可信密码模块TCM
        • 可信计算概述：可信的定义、信任的属性等
          • 定义
            • 国际标准（ Trusted Computing Group , TCG 可信计算组织）​​：实体行为始终以预期方式达成目标，强调可预测性和可控性。
            • ​​中国标准（沈昌祥院士）​​：采用“主动免疫”模式，通过计算与防护并行的双体系结构，确保系统全程可测可控、不被干扰
          • 属性
            • 信任具有二重性，具有主观性又具有客观性 。信任不一定具有对诚信 ，信任可传递但不绝对
          • 获得方法
            • 直接和间接
          • 信任根和信任链
            • 是可信计算平台最主要的关键技术之一
            • 信任根是系统可信的基点。TCP定义可信计算平台信任根包括3个根：
              • RTM​​（可信测量根）：root of trust for measurement验证启动代码（如：BIOS→Bootloader→OS的链式度量）。 是一个软件模块
              • ​​RTS​​（可信存储根）：root of trustt for storage保护密钥（如：TPM的PCR寄存器存储哈希值）。 可信平台模块 + 存储根密码组成
              • ​​RTR​​（可信报告根）：trust for reporting生成平台身份证明（如：远程认证时的Quote操作）；可信平台模块芯片和根秘钥组成
            • 信任链 将信任关系扩展到整个计算机系统
        • 可信平台模块：(Trusted Platform Module, TPM)是可信计算平台的信任根
          • 作用：防篡改、数据保护、合规性
          • 可信计算组织的可信平台模块
          • 中国可信平台模块
            • 可信密码模块 (Trust Cryptorgraphy Module,TCM)是核心 ，可信密码模块的核心功能包括: 度量平台完整性、建立平台免疫力、为平台身份提供唯一性表示、提供硬件级密码学计算与密钥保护。 针对可信计算组织的可信平台模块不足，我国研制了 可信平台控制模块（Trusted Platform Control Module, TPCM）
        • 可信计算平台：
          • 可信计算组织的可信平台
            • 
            • 可信计算系统结构划分： 可信平台模块、可信软件栈、可信平台应用软件
            • 可信平台模块是可信计算平台的信任根， 是可信计算平台的关键组件
            • 可信软件栈位于可信平台模块和可信平台应用软件之间,主要功能对可信平台应用软件提供可信计算支持,包括提供对可信平台模块的访问和操作、安全认证、密码操作调用和资源管理等。
          • 我国的可信平台
            • 包含：可信密码模块、可信密码密码服务模块、和安全应用
        • 可信网络连接：
          • 可信网络连接TNC作用：身份+环境双认证、 动态访问控制
          • 可信计算组织的可信网络连接 （TNC）
            • 开放性和安全性是可信网络连接 突出优点
          • 中国可信网络连接研究
            • 我我的TNC 架构采用了 一种 三元、三层、对等、集中管理的结构
        • 考点示例
          • ​​简答题​​：简述TPM在可信启动过程中如何保证系统完整性？
            • ​​答案要点​​：链式度量、PCR寄存器扩展、哈希值比对。
          • ​​案例分析​​：某政务系统需满足等保2.0三级要求，如何设计可信网络接入？
            • ​​答案框架​​：TCM身份认证 + 终端完整性检查 + 动态访问控制。
  • 3.2数据库安全
    • 3.2.1 数据库安全基础
      • 1.数据库概念
        • 数据库作为信息集合，具备长期存储、组织、共享和管理特性。
      • 2.结构化查询语言(SQL)
        • 结构化查询语言(Structured Query Language,SQL)是一种数据库查询和程序设计语言,用于存取数据以及查询、更新和管理关系数据库系统。 SQL 是高级的非过程化编程语言 ，允许用户在高层数据结构上工作
        • 基本表视图
          • 基本表是本身独立存在的表，即实际存在数据库中的表。 视图是从一个或几个基本表或几个视图导出来 的表。视图本身并不独立存储数据 ，系统只保存视图单独定义。用户观点出发，基本表和视图都是关系 ，使用SQL 访问他们的方式一样
        • 定义基本表 （创建基本表）
          • create table
        • 修改删除基本表 alter drop
        • 插入数据 insert into
        • sql查询 select
        • 数据操纵指令
          • 更新 ： update set
          • 删除 ：delete from
        • 附外
          • 作为数据库查询和程序设计语言，用于数据存取、查询、更新和管理。
          • 支持数据定义语言(DDL)、数据操作语言(DML)、数据控制语言(DCL)和事务控制语言(TCL)。
      • 3.数据库安全概念
        • 非法使用数据库的情况
          • 合法程序绕过数据库管理系统及其授权机制
          • 直接或编写应用程序执行非授权文件
          • 通过多次合法查询数据库导出保密数据
        • 传统数据库运行环境
          • 在传统数据库运行环境中,数据安全主要体现在防止未经授权的数据泄露和数据修改,相应的安全策略包括认证、授权和审计。
        • 统计数据库安全
          • 目标：允许用户查询聚集类类型信息（合计、平均值），但是不允许查询单个记录信息
        • 现代数据库运行环境
          • 现代应用软件多数采用多层体系架构 ，通过设置中间层完成对数据库访问的封装
        • 计算机系统中的安全模型
          • 计算机系统中 ，安全措施是逐级分层设置的，安全控制模型如下
        • 数据库安全有关基本概念
          • 用户
          • 数据库对象
          • 权限
          • 授权
      • 4. 数据库安全功能
        • 用户标识与锁定
          • 数据库系统是不允许一个未经授权的用户对数据库进行操作的。用户标识和鉴定是系统提供的最外层的安全保护措施
            • 方法
              • 1、用一个用户或用户标识符来标明用户身份,系统以此来鉴别用户的合法
              • 2、用户标识符是用户公开的标识,它不足以成为鉴别用户身份的凭证。为了进一步核实用户身份,常采用用户名与口令相结合的方法,系统通过核对口令判别用户身份的真伪
              • 3、每个用户都预先约定好一个过程或者函数,鉴别用户身份时,系统提供一个随机数,用户根据自己预先约定的计算过程或者函数进行计算,系统根据计算结果辨别用户身份的合法性
        • 存取控制
          • 数据库安全主要关心的是数据库管理系统的存取控制机制。数据库安全中最重要的一点就是确保只授权给有资格的用户访问数据库的权限,同时令所有未被授权的人员无法接近数据,这主要通过数据库系统的存取控制机制实现
          • 自主存取控制
            • 两要素组成：数据库对象和操作类型。 定义一个用户的存取权限就是要定义这个用户可以在哪些数据库对象上进行哪些类型的操作
            • 自主存取控制主要通过SQL的GRANT语句和REVOKE语句来实现。GRANT语句向用户授予权限,REVOKE语句收回授予的权限。
            • 拥有RESOURCE权限的用户能创建基本表和视图,成为所创建对象的属主。但是,不能创建模式和新的用户。数据库对象的属主可以使用GRANT语句把该对象上的存取权限授予其他用户。拥有DBA权限的用户是系统中的超级用户,可以创建新的用户、创建模式、创建基本表和视图等。DBA拥有对所有数据库对象的存取权限,还可以把这些权限授予一舱用户。
            • 如果指定了WITH GRANT OPTION子句,则获得某种权限的用户还可以把这种权限再授予其他的用户。如果没有指定WITH GRANT OPTION子句,则获得枸种权限的用户只能使用该权限 , 不能传播 该权限 。
            • 命令合集
              • 自主存取控制主要通过SQL的GRANT语句和REVOKE语句来实现。GRANT语句向用户授予权限,REVOKE语句收回授予的权限。 1、GRANT <权限> 2、REVOKE 3、创建数据库模式全：CREATE USER 未指定创建新用户权限、默认拥有CONNECT权限 - 3.1 只有系统的超级用户才有权创建一个新的数据库用户。新创建的数据库用户有3种权限:DBA、RESOURCE、CONNECT - 3.2 CREATE USER命令中如果没有指定创建的新用户的权限,默认该用户拥有CONNECT权限。拥有CONNECT权限的用户不能创建新用户、模式和基本表,只能登录数据 - 3.3 拥有RESOURCE权限的用户能创建基本表和视图,成为所创建对象的属主。但是,不能创建模式和新的用 4、创建数据库角色： CREATE ROLE ; 减少一个角色的权限REVOKE SELECT - 4.1 将创建的角色授予其他角色或用户 WITH ADMIN OPTION - 4.2 修改角色权限 ，在原有基础上加入DELETE 权限 ,则可以 GRANT DELETE - 4.3 减少角色权限，比如取消啊SELECT 权限： REVOKE SELECT
              • 新创建的数据用户有3种权限： DBA 、RESOURCE、CONNECT
                • DBA 一切 、CONNECT 登录 ; RESOURCE : 创建表和视图
          • 和强制存取控制
            • 数据库管理系统所管理的全部实体被分为主体和客体两大类 ； 对于主体和客体,数据库管理系统为它们每个实例分配一个敏感度标记(Label)。 敏感度标记被分为若干级别,如绝密(TOPSecret)、机密(Secret)、可信(Confidential)、公开(Public)等。主体的敏感度标记称为许可证级别(ClearanceLevel), 客体的敏感度标记称为密级(ClassificationLevel)。强制存取控制机制就是通过对比主体的Label和客体的Label,最终确定主体是否能够存取客体。 当某一用户(或某一主体)以标记Label注册人系统时,系统要要求他对任何客体的存取必须 遵循如下规则: 1、仅当主体的许可证级别大于或等于客体的密级时,该主体z能读取相应的客体; 2、仅当主体的许可证级别等于客体的密级时,该主体才能能写相应的客体。可见,这两条规则禁止了拥有高许可证级别的主体更新低密级的数据对象,从而防止了敏感数据的泄漏。
              • 
            • 命令合集
              • 子主题
        • 审计
          • 审计可以分为用户级审计和 系统级审 计
            • 用户级审计: 是任何用户都可设置的审计,主要是用户针对自己创建的数据库表或视图进行审计,记录所有用户对这些表或视图的一切成功和(或)不成功的访问要求以及各种类型的SQL操作 系统级审计:只能由数据库管理员设置,用以监测成功或失败的登录请求监测GRANT和REVOKE操作以及养他数据库级权限下的操作
          • AUDIT语句用来设置审计功能,NOAUDIT语句取消审计功能
        • 数据加密
      • 5. 视图与数据保密性
        • 为不同的用户定义不同的视图,可以限制各个用户的访问范围。通过视图机制把要保密的数据对无权存取这些数据的用户隐藏起来,从而自动地对数据提供一定程度的安全保
        • 1、为不同用户定义不同视图可以限制各个用户访问范围。通过视图将保密数据对无权存取数据用户隐藏 2、视图机制安全保护功能不太精细 、主要提供了数据库逻辑独立性 3、通常将试图机制与授权机制结合起来，先屏蔽一部分保密数据，然后在视图上进一步定义存取权限
      • 6. 数据完整性
        • 数据库完整性就是确保数据库中的数据的一致性和正确性。数据库软件执行3种类型的完整性服务: 语义完整性：保证结构化规则和语义规则得到遵守 参照完整性：所有外键参考现有主键、则说明一个数据库具有参照完整性 实体完整性：元组由主键唯一性确定
        • 约束
          • 设计表时需要识别列的有效值并决定如何强制实现列中数据的完整性
          • PRIMARY KEY 约束标识列或列集 FOREIGN KEY 约束标识表之间关系 ，用于强制参照完整性 UNIQUE: 列集内强制执行值唯一性。 优先于唯一索引 CHECK: 限制用户输入加强域完整性 NOT NULL : 是否允许为空
        • 默认值
          • 通过定义列的默认值或使用数据库的默认值对象绑定表的列,以确保在没有为树列指定数据时,来指定列的值
        • 规则
          • 1、规则限制了可以存储在表中或者用户定义数据类型的值。它可以使用多种方式来完成对数据值的检验,可以使用函数返回验证信息,也可以使用关键字BETWEEN、LIKE和IN完成对输人数据的检查。 2、当将规则绑定到列或者用户定义数据类型时,规则将指定可以插人到列中的可接受的值。规则是作为一个独立的数据库对象存在,表中每列或者每个用户定义数据类型只能和一个规则绑定。和默认对象类似,规则只有绑定到列或者用户定义数据类型上才能起作用
        • 事务处理
          • 事务处理是一种机制,用来管理必须成批执行的SQL操作,以保证数据库不包含不完整的操作结果
          • 术语
            • 事务 Transaction:
            • 回退 Rollback:
            • 提交 Commit:
            • 保留点savePoint： 事务处理总设置的临时占位符、可以对它发布回退
            • 可以回退的语句包括事务管理用来管理 INSERT、UPDATE和DELETE语句,不能回退SELECT语句也不能回退CREATE语句和DROP
            • 每个事务均以BEGIN TRANSACTION语句显式开始,以COMMIT或ROLLBACK语句显式结束
          • 事务特性：
            • 原子性、(全部执行或全部不执行) 一致性、一个一致性状态转换为另一个一致性状态 隔离性、不能被其他事务干扰 持久性、一旦提交， 改变时持久的！
          • 事务处理类型：
            • 自动处理事务:
              • 默认每个SQL命令都是事务处理， 包含自动处理事务和隐式事务
            • 隐式事务：
              • 当连接以隐性事务模式进行操作时,数据库引擎实例将在提交或回滚当前事务后自动启动新事务。无须描述事务的开始,只需提交或回滚每个事务。隐性事务模式生成连续的事务链。
              • 在发出COMMIT或ROLLBACK语句之前,该事务将一直保持有效。在第一个事务被提交或回滚之后,下次当连接执行以上任何语句时,数据库引擎实例都将自动启动一个新事务。该实例将不断地生成隐性事务链,直到隐性事务模式关闭为止。
            • （使用SET IMPLICIT_TRANSACTIONS ON语句可以开启隐式事务模式,使用SET IMPLICIT_TRANSACTIONS OFF语句可以关闭隐式事务模式）、
            • 用户定义事务：由用户来控制事务的开始和结束命令包括BEGIN TRANSACTION 、COMMIT、ROLLBACK等。
            • 分布式事务：跨越多个服务器的事务称为分布式事务,可以使用BEGIN DISTRIBUTED TRANSACTION命令启动一个分布式事务处理。
    • 3.2.2 数据库安全实践
      • 1.数据库威胁与防护
        • （1） 十大威胁
          • 过度特权滥用：被授予超出工作职能所需访问权限
          • 合法特权滥用：合法数据权限用于未经授权目的
          • 特权提升：利用数据库平台软件漏洞将普通用户权限转换为管理员权限 ，使用管理权限,恶意的开发人员可以禁用审计机制开设伪造的账户以及转账等。
          • 平台漏洞：底层操作系统中漏洞和安装在数据库服务器上 其他服务中的漏洞可能导致未经授权的访问、数据破坏或者拒绝服务
          • SQL注入：程序对输入数据检查不足或自身对变量处理不当 ； 通常 ，攻击所针对的数据信道包括存储过程和web应用程序输入参数
            • 利用程序对用户输人数据的检查不足或程序自身对变量处理不当,把额外的SQL语句附加到中间层往后台数据库提交的语句中,轻则可以获得敏感信息,重则能够控制服务器 ，SQL注入攻击被俗称为黑客的填空游戏。
          • 不健全的审计：实施全面审计策略。
          • 拒绝服务攻击：加强网络和服务器防护。
          • 数据库通信协议漏洞：使用安全协议和加密。
          • 不健全的认证：实施强认证机制。
            • 暴力
            • 社会工程
            • 直接窃取凭据
          • 备份数据泄露：加密备份数据。
        • （2）.安全防护体系
          • 事前检查：部署前的安全性评估。
          • 事中监控：实时监控数据库活动。
          • 事后审计：分析日志以发现问题。
      • 2. 安全特性检查 (静态安全防护) > 数据库安全检测具有3个不同的层次,按照检测的目的划分,由外及里,分别是端口扫描 、渗透测试和内部安全检测。
        • 服务发现 （也被称作端口扫描 ，主要是对数据库的开放端口进行扫描,检查其中的安全缺陷,如开放了多余的服务端口等。）
          • 端口扫描：使用工具如Nmap发现开放端口。
          • 确认有效端口：通过特定请求确认端口服务。
          • 持续扫描：定期扫描以发现新开放端口。
        • 渗透测试
          • 渗透测试原理
            • 依据公共漏洞、已发现安全堵漏洞以及隐患漏洞 ，模拟入侵者攻击方法对应用系统、服务器系统和网络设备进行非破坏性质的攻击性测试
          • 渗透测试方法
            • 人工渗透测试和工具扫描
          • 渗透测试的主要内容
            • 主要包括3个方面: 监听器安全特性分析 、 用户名和密码渗透、 漏洞分析（数据库内大量内置函数和过程存在安全漏洞 ，这些安全漏洞一个重要的特征就是,每个安全漏洞只存在于相应的某个具体版本）
          • 渗透测试对象主要内容
            • 数据库的身份验证系统 和服务监听系统
        • 内部安全检测
          • 内部安全检测是深人数据库之内,对数据库内部的安全相关对象进行完整的扫描和检测,包括安全元数据、内部审计、安全配置检查、漏洞检测和版本补丁检测等。
        • 安全特征分析以及检测工具
      • 3. 数据库运行安全监控
        • 图3.25：数据库安全监控平台架构示意图，展示各组件及其功能。
        • 数据库安全监控平台的基本架构组成：由网络嗅探器 、数据库分析器、SQL分析器和安全审计4部分组成
        • 数据库运行安全监控是对数据库的动态安全防护
      • 4.数据库脱敏
        • 个人标识泄露：隐藏或替换个人标识信息。
        • 属性泄露：限制敏感属性的访问。
        • 成员关系泄露：控制数据访问权限。
        • 脱敏方法：同义替换、混合屏蔽、确定性屏蔽 、可逆脱敏
• 第4章 网络安全
  • 4.1 网络安全基础
    • 4.1.1 TCP/IP协议架构
      • TCP/IP开放模型：定义了异构网络互联的通信协议规范，适用于不同异构网络中或同一局域网中实现不同计算机间的数据通信。1973年9月,美国斯坦福大学的文顿.瑟夫与卡恩提出了TCP/IP开放模型的协议规范。TCP/IP是互联网采用的标准协议 TCP/IP体系结构包括4层：物理和数据链路层、网络层(IP层)、传输层和应用层（常用的应用层协议有文件传输协议FTP.超文本传输协议HTTP,简单邮件传输协议SMTP/POP3.域名系统DNS,远端登录协议Telnet和简单网络管理协议SNMP等。）
      • OSI/RM参考模型：国际标准化组织(ISO)制定的标准化开放式计算机网络层次结构模型，定义了7个层次：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
    • 4.1.2 网络协议
      • 数据链路层协议：主要介绍ARP协议和RARP协议。
        • ARP协议：实现主机IP地址与MAC地址之间的映射。
        • RARP协议：用于MAC地址向IP地址转换，适用于无盘工作站获取IP地址。
      • 网络层协议：
        • IP协议
          • IP地址：网络中每个设备都需要一个唯一的全局地址，分为A类、B类、C类、D类和E类。
          • IP地址分类：详细描述了各类IP地址的特点和用途。
        • ICMP协议
          • 传递网络状态信息(如连通性、错误报告)
        • IP协议族是网络层的基础协议,包括用于路由选择的RIP、OSPF等路由协议,用于数据传输的IP协议,用于网络管理的SNMP协议,以及用于故障诊断的ICMP协议等
      • 传输层协议：主要介绍TCP协议和UDP协议。
        • TCP协议：面向连接的传输层协议，提供可靠的端到端传输功能，通过三次握手建立连接。
          • 1. TCP 数据包头部格式
            • 包由头部和数据两部分组 ，头部字段中前20个字节长度固定 ，后面选项字段和数据字段长度是可变的。 1、确认号是在ACK标志位为1时,期望后面接收的下一个数据包的序号。 2、TCP头部长度用来说明数据包头部的大小。保留位为6位,为后续其他功能保留之用,黯认为0。控制位为6个标志位,每一个标志位如果由0设置为1,则此标志位说明了这个数据包的特定信息。 3、URG标志位说明紧急指针有效; 4、ACK标志位说明确认序号字段有效; 5、PSH标志位表示请求接收端主机尽快将数据包交付应用层; 6、RST标志位表示出现差错,必须释放TCP连接重新建立新连接; 7、SYN标志位说明建立一个同步连接; 8、FIN标志位用于释放TCP连接； 9、紧急指针在URG标志位为1时,指出了紧急数据最后一个字节的位置。选项的长度是可变的,TCP定义了一些可选项,如最大报文长度表示所能接收TCP数据包的最大长度。最后的数据字段中包含了上层协议的数据。
          • 2. TCP 的三次握手 三次握手​​TCP半连接原理和三次握手协议详解​​
            •   
          • 案例
        • UDP协议：无连接的传输层协议，适用于传输不重要的网络数据，速度较快。
      • 应用层协议：主要介绍HTTP、SMTP、POP3和DNS协议。
        • HTTP：超文本传输协议，Web服务的核心协议。
        • SMTP：简单邮件传输协议，用于发送电子邮件。 > 注：邮件客户端程序和邮件传输代理协议两部分
        • POP3：邮局协议的第3个版本，用于从邮件服务器下载电子邮件。
        • DNS：域名系统，将域名解析成相应的IP地址。
      • 附外：
        • FTP 21 、TELNET 23 、SMTP 25 、 POP3110 、HTTP 80
  • 4.2 网络安全威胁技术
    • 4.2.1 扫描技术
      • 网络扫描是攻击者在实施网络攻击之前必要的信息收集步骤。通过网络扫描,可以获取被攻击目标的IP、端口操作系统版本.存在的漏洞等攻击必需信息,为实施下一步的网络攻击做好前期准备。
      • 互联网信息收集
        • Whois是Internet上提供的查找相关域名、IP地址、E-mail信箱、联系电话等信息的一种服务。InterNIC是负责Internet的域名注册和维护工作的
        • 中国互联网络信息中心(China Internet Network Information Center, CNNIC) 是行使我国国家互联网络信息中心职责的管理和服务机构。作为我国的域名体系注册管理机构,CNNIC也提供了所辖范围内域名信息查询的Whois服务。
      • IP地址扫描
        • 识别目标网络中的活跃IP地址 ，确定网络范围和主机信息 ，使用工具如Nmap、superScan进行IP范围扫描
        • ping命令在Windows和UNIX/Linux操作系统中是默认安装的网络故障诊断命令。ping和令利用ICMP协议数据包判断目标主机是否开机,检测和本机之间的网络链路是否连通
      • 网络端口扫描
        • 网络端口是在传输层的TCP协议和UDP协议中定义 。TCP协议通过套接字(Socket)建立起两台计算机之间的网络连接。普遍使用的工具（Nmap）
        • 定义：TCP协议和UDP协议的端口号在0~65535范围之内,其中1024以下的端口保留给常用的网络服务。例如,21端口为FTP服务 23端口为Telnet服务, 25端口为SMTP服务, 80端口为HTTP服务, 110端口为POP3服务等。
        • TCP全连接扫描（利用三次握手原理）： ，ESTABLISH 状态，容易被检测
        • TCP SYN扫描： TCP 半链接扫描（前2次握手） ，降低被发现可能， 提高准确性
        • TCP FIN扫描 （发送FIN标志位为1的数据包进行端口扫描）
          • 该方法不采用TCP三次握手连接方法，因此扫描行为更加隐秘,也称为秘密扫描（隐藏性最高）。适合UNIX操作主机 ，有的操作系统（WINDOWS NT）无论端口是否打开，都回复RST ，该方法不适用
        • UDP的ICMP端口不可达扫描
          • 利用UDP协议向目标主机UDP网络端口发送探测的数据包
        • ICMP扫描
        • 乱序扫描和慢速扫描： 一般端口扫描默认从小到大 ，扫描快 ，数量大 ；攻击者设置扫描软件打乱扫描端口顺序，降低扫描速度，使数据包淹没与大量正常网络数据包中。以影藏端口扫描行为 > 端口扫描软件是黑客常用的工具,目前的扫描工具有很多种,如Nmap、SuperScan、Netcat、X-port、PortScanner、NetScanTools、WinScan等。其中,Nmap是一款专门用于端口扫描的知名开源软件,它针对端口扫描提供了丰富的功能
        • 工具简介：
          • Nessus: 漏洞扫描 Metasploit: 渗透测试工具 Nmap:端口扫描工具 X-Scan: 国产综合扫描工具
      • 漏洞扫描
        • 自动识别系统或应用程序的已知漏洞 ；评估潜在的安全风险 ；使用工具如Nessus、OpenVAS进行漏洞检测
        • 网络漏洞扫描
        • 主机漏洞扫描
          • 具通过漏洞特征匹配技术和补丁安装信息的检测来进行操作系统和应用软件系统的漏洞检测
          • 常用的扫描工具中具有网络漏洞扫描功能的工具包括Nessus、X-Scan、SSS、绿盟极光漏洞扫描器等,具有主机漏洞扫描功能的工具包括Nessus、360安全卫士等。
      • 弱口令扫描
        • 检测使用常见或默认密码的账户 ；识别安全配置弱点 ；使用工具如Hydra进行弱口令检测
        • 基于字典攻击的弱口令扫描技术
        • 基于穷举攻击的弱口令扫描技术
          • 基于穷举攻击的弱口令扫描技术利用穷举的方法构造探测用的口令字
      • 综合漏洞扫描
        • 综合漏洞扫描工具是一种自动检测系统和网络安全性弱点的工具,它集成了IP地址扫描、网络端口扫描、网络漏洞扫描等多种扫描功能（不包括SQL注入扫描）
      • 扫描的防范技术
    • 4.2.2 网络嗅探
      • 网络嗅探的原理
        • 网络攻击者如果能够通过网络嗅探工具获得目标计算机的网络传输的数据包,就可以通过对数据包按照协议进行还原和分析,从而获取目标计算机传输的大量信息。因此,网络噪探技术是一种威胁性极大的非主动类信息获取攻击技术。 1、对目标计算机的网络进行嗅探可以通过Sniffer类的工具即网络嗅探器来完成 2、为了捕获网络接口收到的所有数据帧,网络喝探工具会将网络接口设署为“混杂“(Promiscuous)模式 3、网络嗅探工具只能监听到处于同一个物理网络内发送到自己网络接口的数据帧 4、网络喻探工具分为软件和硬件两种。网络嘎探软件包括Wireshark、Sniffer Pro、OmniPeek、NetXray等,其优点是安装配置方便,易于学习使用,同时也易于交流;缺点是无法抓取网络上所有的数据帧,少数情况下也就无法真正了解网络的故障和运行情况
      • 网络嗅探的防范
        • VPN、SSL、SSH等加密传输的设备和技术可有效防范网络喝探工具对数据包的嗅探和分析。
      • HTTP协议、FTP协议、Telnet协议、POP协议、SMTP办议都属于明文报文传输协议,他们不能有效的防范网络噢探。TELNET采用密文报文传输协议
    • 4.2.3 网络协议欺骗
      • IP地址欺骗
        • 伪造源IP地址，进行攻击或数据窃取
        • 进行会话劫持或数据篡改
      • ARP欺骗
        • ARP中间人欺骗攻击
          • 拦截并伪造ARP响应，实现流量劫持
        • ARP伪装网关欺骗攻击
          • 伪装成网关，误导内网流量
      • TCP欺骗
        • 非盲攻击
          • 攻击者和目标主机同一个网络 ，可通过网络嗅探工具获得目标主机数据包，预测出TCP初始序列号的攻击方法
        • 盲攻击
          • 不在同一个网络。无法使用嗅探工具捕获TCP数据包。无法获得目标主机序列号，只能预测或探测目标主机初始序列号。相对非盲攻击难度较大
      • DNS欺骗
        • 基于DNS服务器的欺骗
          • 伪造DNS应答，重定向流量
        • 基于用户计算机的DNS欺骗
          • 本地DNS缓存投毒，误导解析
    • 4.2.4 诱骗式攻击
      • 诱骗式攻击的概念及原理
        • 利用人性弱点，通过欺骗手段获取信息或植入恶意软件
      • 诱骗式攻击包括 网站挂马、诱骗下载、钓鱼网站、社会工程学等。
        • 网站挂马技术：
          • 概念
            • 网页被攻击者恶意修改，添加可触发下载恶意程序链接以恶意代码和脚本
          • 技术
            • 框架挂马、 js脚本挂马、body挂马 和伪装欺骗性挂马
        • 诱骗下载方式
          • 多媒体类文件下载、、网站游戏和插件下载、热门应用软件下载、电子书爱好者、p2p种子文件、文件捆绑即使 （多文件捆绑、资源润合捆绑、漏洞利用捆绑）
    • 4.2.5 软件漏洞攻击利用技术
      • 软件漏洞的概念与分类
        • 定义
          • 软件漏洞是指计算机系统中的软件在具体的实现\运行、机制.策略上存在的缺陷或者脆骏点。
        • 分类
          • 操作系统服务程序漏洞
          • 文件处理软件漏洞
          • 浏览器软件漏洞
          • 其他软件漏洞 : ActiveX空间漏洞
      • 软件漏洞攻击利用技术
        • 直接网络攻击
          • 针对对外提供开放网络服务的 操作系统程序 漏洞
          • 红色代码： 微软IIS服务程序处理请求数据时存在的缓冲区溢出漏洞 震荡波 ： 微软LSASS服务缓冲区溢出漏洞 metasploit: 知名软件漏洞网络攻击框架性工具
        • 诱骗式网络攻击
      • 软件漏洞攻击的防范
        • 安装新版操作系统和软件、访问正网站、不随意点击电子邮件或及时通信软件发来发来的文件、安装杀毒软件和主动防御软件
    • 4.2.6 拒绝服务攻击
      • 附外
        • DoS攻击原理
          • 利用TCP/IP协议的缺陷进行攻击
        • DoS攻击的实现方式 (TCP 协议层)
          • 通过SYN-Flood、UDP-Flood等手段实现
          • 利用工具如HOIC、LOIC进行攻击
      • 拒绝服务攻击概念
        • 攻击者向目标主机发出数量众多攻击数据包，通过资源耗尽使服务不可用
      • Dos攻击原理
        • 拒绝服务(DenialofService,DoS)的攻击对象是目标主机,攻击的目的是使目标主机的网络带宽和资源耗尽,使其无法提供正常对外服务
        • 1. 攻击实现方式
          • 目标主机自身存在拒绝服务型漏洞
          • 耗尽目标主机CPU 和内存资源
          • 耗尽目标主机网络带宽攻击
        • 2. 攻击分类
          • IP层协议的攻击
            • IP层攻击是Dos最低层次的攻击，利用发送ICMP协议和IGMP协议的请求数据包实现。 Smurf 是较早使用的一种攻击方法，是一种发射性的拒绝服务攻击方法
          • TCP 协议的攻击
            • 定义：分类两类 TCP协议本身缺陷实施的攻击 ，包括SYN-FLood 和ACK-Flood 攻击，另一类利用TCP全连接发起的攻击
            • 1、SYN-FLood 和Ack-Flood攻击：TCP协议本身具有一定的安全缺陷,TCP协议的三次握手过程就存在缺陷。SYN-Flood攻击和ACK-Flood攻击就是利用握手过程的缺陷完成拒绝服务攻击的。 - SYN-Flood 攻击： SYN-Flood 洪水攻击 - Land攻击是较早使用的一种攻击方法， 利用了TCP协议握手过程 - 缺点 ：实施起来需要高带宽攻击主机支持
            • 2、TCP全连接Dos攻击： 利用攻击者计算机发起多线程目标机器的TCP服务端口 ，让目标服务器端口存在大量established 状态连接
            • 3、UDP协议攻击：典型的带宽消耗型Dos攻击
            • 4、应用层协议的攻击：常见应用层Dos攻击是脚本洪水攻击（Scipt Flood） ，攻击者利用代理服务器对web服务器发起大量HttpGet请求
      • Ddos攻击原理
        • 分布式拒绝服务(Distributed DoS,DDOS)攻击是在 DoS攻击技术的基础上,由攻击者通过非法控制大量的第三方计算机辅助其进行攻击的一种攻击方式,DDoS可简单理解为多对一的攻击。
      • Dos/DDos攻击利用的网络
        • 最初基础网络互联网， 后扩展至物联网
      • Dos/DDos攻击的防御措施
        • 定义：支持DDos 防御功能的防火墙
        • 静态和动态的DDoS过滤器:
          • 静态过滤器用来阻断非必要的数据包,用户可对其进行配置,预先设定默认值。动态过滤器由其他模块根据观测到的行为和对业务流的详细分析动态嵌人,它能提供实时的升级来提高对可疑流的验证级别,以及阻断被确定为恶意的源头和数据流。
        • 反欺骗技术:
          • 用于核实进入系统的数据包有没有欺骗信息,可通过使用反向路由源鉴定机制来阻止欺骗的数据包到达受害者。
        • 异常识别:
          • 监测所有通过了过滤器和反欺骗的业务,并将其其与随时间记录的基准行为相比,搜寻那些有偏差的业务,识别恶意包的来源。
        • 协议分析:
          • 识别反常事件,发现可疑数据流,以便识别特定的应用攻击,如http-error 攻击。然后检测出任何不正确的协议处理,包括不完全处理或错误处理。
        • 速率限制:
          • 通过更详细的监测来防止不正当数据流攻击击目标,实施每个数据流业务的修整,处罚长时间消耗大量资源的源头。
    • 4.2.7 Web脚本攻击
      • OWASP的十大安全威胁排名: 第一位:注入式风险; 第二位:跨站点脚本(简称XSS); 第三位:无效的认证及会话管理功能; 第四位:对不象的直接引用; 第五位:伪造的跨站点请求(简称CSRF); 第六位:安全配置错误; 第七位:加密存储方面的不安全因素; 第八位:不限制访问者的URL; 第7输层面的保护力度不足; 第十位:未经验证的重新指向及转发。故选择C选项。
      • 开源Web应用安全项目(OpenWebApplicationSecurityProject,OWASP)是一个专注于讨论Web应用程序和代码开发安全与威胁的开放的社区组织
      • 注入攻击
        • 注入攻击的概念和原理
          • 利用输入处理不当执行恶意代码
        • SQL注入的原理
          • 注：利用服务器端漏洞进行攻击
          • 通过SQL语句注入，篡改数据库操作
        • SQL注入攻击的步骤
        • 注入攻击的防范
      • 跨站脚本攻击
        • 反射型XSS
          • 也叫做非持久型跨站脚本攻击。 一般向用户发送带有恶意脚本的url链接、诱导用户点击
        • 存储型XSS
          • 持久型跨站脚本攻击。恶意脚本存储在服务器，用户访问时执行
          • XSS攻击的防范
            • 输入验证、输出编码、使用安全库等
            • 使用HTTPOnly标记保护Cookie
            • 利用内容安全策略(CSP)防止XSS
        • DOM-based XSS
          • 利用DOM的修改执行脚本 ，术语反射型XSS ，，
      • 跨站点请求伪造 csrf
        • 定义：CSRF攻击是让用户访问攻击者构造的网页,执行网页中的恶意脚本,伪造用户客户端的请求,对用户有登录权限的网站空间实施攻击
        • CSRF 攻击防范：
          • 使用验证码、在用户回话验证信息中添加随机数
    • 4.2.8 远程控制
      • 木马
        • 1、了实现对目标主机的远程控制,木马程序都采用C/S的结构.它由两部分程序组成,即客户端和服务端木马程序. （黑客通过客户端控制远程用户计算机） 2、木马是恶意程序中的一种,它是具有远程控制、信息偷取、隐蔽传输功能的恶意程序。木马通过诱骗的方式安装,并在用户的计算机中通过隐藏运行以实现长时间控制用户计算机的目的 > 注：通过伪装欺骗手段诱导用户安装，对远端目标主机实现远程控制，但不具备复制、传播能力的恶意代码是 木马
        • 木马的特点
          • 伪装性、隐藏性、窃密性、破坏性
        • 木马技术的演变
          • 从unix命令行→ 图形界面→突破防火墙→线程插入→再到Rootkit技术
        • 木马的连接方式
          • 传统连接、反弹端口、代理服务器等
          • 利用动态IP和端口隐藏连接
        • 木马隐藏技术
          • 线程插入技术： 把木马程序作为一个线程插人其他应用程序的地址 DLL动态劫持技术：程序加载非系统目录下的DLL技术 Rootkit技术 （第5代木马）：内核隐藏技术，早期依赖HOOK 、后期DKOM
        • 木马的检测
          • 可以通过全面检测系统的注册表.文件网络连接、运行的进程等实现人工的分析。木马的远程控制功能,必须通过执行一段代码来实现。因此,即使木马采用的技术再新,也会在操作系统中留下痕迹
      • Webshell
        • Webshell的概念与原理
          • 是一种用Web脚本写的木马后门,它用于远程控制网站服务
          • 通过Webshell对网站的控制具有较高的隐藏性。由于Webshell与被控制的服务器都是通过80端口传递交互数据的,因此不会被一般的防火墙拦截
        • Webshell的防范
          • 为了有效防范通过非法Webshell对正常的网站服务器的控制,需要考虑从下面的几方面进行防范。 1、部署专用的Web防火墙,实现对Web攻击的有效防护。 2、遵循Web安全编程规范,编写安全的网站页面,防止攻击者利用注入、跨站脚本等网站漏洞对网站的人侵。 3、进行安全的Web权限配置和管理,包括:严格限制甚至关闭服务器FSO权限;严格限制文件上传权限,尤其是限制可执行脚本文件的上传和运行;将Web应用文件和系统上传文件分开,保持独立的Web应用空间。
    • 附外
      • BitBlaze平台由三个部分组成:Vine,静态分析组件,TEMU,动态分析组件,Rudder,结合动态和静态分析进行具体和符号化分听的 1、Nessus：是目前全世界最多人使用的系统漏洞扫描与分析软件。 2、Metasploit是一个免费的、可下载的框架,通过它可以很容易地获取、开发并对计机 实施攻击。 3、NMap,也就是Network Mapper,是Linux下的网络扫描和吗嗅探工具包,故选择C选项。
  • 4.3 网络安全防护技术
    • 注：防火墙不能防范的攻击：病毒和内部驱动木马、内部之间的恶意攻击、防火墙开放端口的攻击
    • 4.3.1 防火墙
      • 在内部网和外部 网络之间、专用网于公共网之间的界面上构造的保护屏障、是一种获取安全性方法的形象说法 。是一种计算机硬件与软件的集合。使internet 与internet 之间建立起一个安全网关，从而保护内部网免受非法用户的侵入 。 因此不能 1、防范内网之间的恶意攻击 2、不能防范病毒和内部驱动的木马 3、不能防备针对防火墙开放端口的攻击， 但是对面向链接协议的攻击，还是可以防范的！   
      • 概念 ： 位于可信和不可信网络之间,通过设置一系列安全规则对两个网络之间的通信数据包进行访问控制,检测网络交换的信息,防止对重要信息资源的非法存取和访问,以达到保护内部可信网络的目的。。
        • 软件防火墙根据功能的差别又分为企业级软件防火墙和个人主机防火墙。企业级软件防火墙以软件形式安装在网络边界的计算机或服务器上,它功能强大,安装配置复杂。个人主机防火墙以软件形式安装在个人用的PC机上,对操作系统中和外网有连接的应用程序和传输的数据进行过滤和拦截。
      • 功能:
        • 数据过滤：基于预设规则检查数据包，决定是否允许通过。
        • 记录和审计：记录网络活动日志，用于安全审计和分析。
        • 异常网络攻击防范：识别并阻止恶意攻击，如DDoS攻击。
        • NAT地址转换：隐藏内部网络结构，提供地址转换功能。
      • 分类:
        • 软件防火墙：运行在操作系统上的应用程序。
        • 硬件防火墙：专用硬件设备，提供高性能和稳定性。
          • X86架构：基于X86处理器的硬件防火墙。
          • ASIC架构：专用集成电路，提供高速处理能力。
          • NP架构：网络处理器，提供高性能和灵活性。
      • 技术:
        • 包过滤技术：防火墙最基本的过滤技术；根据上述数据包特征 对数据包进行过滤; 内网之间传输数据按照一定规则进行过滤或筛选
        • 状态检测技术：也被称为 动态包过滤技术 ，针对内网主机访问外网的连接请求， 防火墙会在连接状态表中加以标注
          • 状态检测技术也称为动态包过滤技术,它不像包过滤防火墙仅靠设置静态的包过滤规则来进行数据包的过滤拦截,而是增加了对数据包连接状态变化的额外考虑。它在防火墙的核心部分建立数据的连接状态表,对在内外网间传输的数据包以会话角度进行检测,利用状态表跟踪每一个会话状态,记录有用的信息以帮助识别不同的会话
        • NAT技术(地址翻译技术)：转换IP地址，隐藏内部网络结构。
          • 能够将单位内网用的内部IP地址翻译为合法的公网IP地址，这使的内网iP地址的计算机无需变动也能够与外网链接 1、静态NAT: 内部ip地址与公有iP地址建立一一对应的静态映射关系 2、NAT池： 事先定义一组可用的公网IP地址 3、端口地址转换PAT: 采用端口地址转换， 设定一个或多个可用作地址转换的公网iP地址。
          • 1. 静态NAT: 内部IP地址与公有IP地址建立一一静态映射 2. NAT池：动态地址分配 ， 3. 端口地址转换PAT: 设定一个或多个可用作端口地址转换的公网IP地址
        • 应用级网关技术：即代理服务器技术：代理网络请求，提供额外的安全层。
          • 代理服务器和防火墙的包过滤技术.,NAT技术不同之处在于,对于内外网转发的数据包, 1、代理服务器在应用层对这些数据进行安全规则过滤; 2、而包过滤技术、NAT技术主要在网络层和传输层进行过滤
      • 体系结构:
        • 双重宿主主机体系结构：防火墙作为独立主机，连接内网和外网。
        • 屏蔽主机体系结构：防火墙和堡垒主机结合，提供额外保护。
        • 屏蔽子网体系结构：在防火墙和内网之间增加DMZ区域，增强安全性。
          • DMZ (demilitarizd zone) 中文 “隔离区” ，为了解决安装防火墙后外部网络的访问用户不能访问内部网络服务器的问题，从而设立的一个缓冲区
      • 配置: (防火墙访问控制规则表)
        •  
        • 网络接口IP地址配置：为防火墙的每个接口分配IP地址。
        • Web管理界面配置：通过Web界面进行防火墙规则和策略配置。
        • 访问控制规则设置：定义允许或拒绝的流量规则。
    • 4.3.2 人侵检测系统和人侵防御系统
      • 入侵检测系统的概念
        • 工作在计算机网络系统中的关键节点上,通过实时地收集和分析计算机网络或系统中的信息来检查是否出现违反安全策略的行为和是否存在人侵的迹象,进而达到提示人侵、预防攻击的目的。人侵检测系统包括控制台和探测器两部分
      • 入侵检测系统的功能
        • 定义：人侵检测系统是对防火墙有益的补充,它对网络和主机行为进行检测,提供对内部攻击.外部攻击和误操作的实时监控,增强了网络的安全性
      • 入侵检测系统分类
        • 采集数据来源和数据检测原理介绍人侵检测系统的分类
        • 数据采集方式
          • NIDS: 原始网络信息作为数据员， 随机模式下网络适配器实施监听和分析通过网络通信 HDIS: 安装在被检测主机上， 与主机网络实时连接，负责丢系统审计日志进行智能分析和判断
          • 基于网络的人侵检测系统〈Netword base IDS,NIDS)
            • 基于网络的人侵检测系统使用监听的方式,在网络通信中寻找符合网络人侵规则的数据包。基于网络的人侵检测系统往往以硬件设备的方式部署在在网络中,它独立于被保护的机器之外。基于网络的人侵检测系统根据入侵数据包的特征进行检测,它可以提供针对网络层、传输层和应用层入侵行为的全面检测。
          • 基于主机的人侵检测系统<Host based IDS,HIDS>
            • 基于主机的人侵检测系统则在主机系统中通过审计日志文件或文件完整性等操作中寻找攻击特征,它通常以软件形式安装在被保护的计算机上 文件完整性校验技术主要用于： HIDS
        • 检测原理分类
          • 误用检测(MisuseDetection)型入侵检测系统
            • 定义：误用检测型人侵检测系统收集攻击行为和非正常操作的行为特征,建立相关的特征 。对已知攻击类型有效，对攻击变种和新的攻击几乎无能为力
          • 异常检测(AnomalyDetection)型入侵检测系统
            • 根据检测用户异常行为和正常行为之间差别检测入侵
            • 定义：总结正常操作具有特征同用户互动正常行为比较较大偏离被认为入侵 ，利用统计等方法检测系统异常行为， 有效性与误用检测型相反
      • 入侵检测技术 （IDS）
        • 误用检测技术： 误用检测技术是指利用已知系统和应用软件的弱点攻击模式建立相关特征库来检测人侵。
          • 专家系统
            • 专家系统允许用户使用类似ff-then规则判断攻击信息 ，不能长久持续性综合连续性判断 ，受知识水平和人员技能限制
          • 模型推理
            • 依据行为序列构成特征模型 , 根据模型攻击亿图行为特征，预测攻击意图
          • 状态转换分析
            • 建立状态转换模型 ， 初始状态转换到入侵状态
        • 异常检测技术： 根据用户异常行为和正常行为差别来检测入侵
          • 统计分析
            • 使用人数最多 ，通过收集用户行为建立特征表
          • 神经网络
            • 自适应学习技术描述异常行为
        • 其他入侵检测技术
          • 模式匹配
            • 是基于主机的人侵检测系统和基于网络的人侵检测系统进行实际检测时用到的检测匹配技术
          • 文件完整性
            • 于基于主机的人侵检测系统,它是对计算机中文件的完整性进行前后比较,发现被符改的系统文
          • 数据挖掘
            • 指从大量实体数据中分析出含有内置关联的数据,它可以用于误用检测和异常检测中规则库的辅助生成
          • 计算机免疫方法
            • 基于生物的生理免疫系统和计算机系统的保护机制之间有非常显著的相似性；其本质就是“自我/非自我“的决定能
        • 入侵检测体系结构
          • (1)基于网络的人侵检测系统和基于主机的人侵检测系统
            • 基于网络：统使用监听的方式,在网络通信的原始数据包中寻找符合网络人侵模板的数据 基于主机：在主机系统的审计日志或系统操作中查找信息源进行智能分析和判断
          • （2）集中式结构
          • （3）分布式结构
        • 入侵检测系统的部署
          • ,基于网络的人侵检测系统包括探测器和控制台两大部分。探测器是专用的硬件设备,负责网络数据流的捕获.分析检测和报警等。控制台是管理探测器的工具,它负责接收测器的检测日志数据,并提供数据查询和报告生成等功能 探测器的基本部署原则是保证每个网络数据包都可以被探测器侦听和捕获
          • 控制台和探测器之间的基本管理模式有两种: 主动控制台(Active Console)和被动控制台(Passive Console)。 主动控制台和被动控制台是对探测器和控制台连接方式的一种描述。 主动控制台是指由控制台主动发起连接的一种方式,常用于探测器无法直接连接控制台的情况
        • 入侵检测系统的配置
          • 探测器的配置
          • 控制台的安装和配置
          • 链接的探测器和控制台
            • 主动控制台
            • 被动控制台
          • 基于网络的乳清系统对网络异常数据包进行检测
        • 入侵检测系统的不足
          • 攻击行为已造成损失，入侵检测系统无法有效阻断攻击 ，对于ddos 、缓冲区溢出攻击等混合威胁 ，侧重网络行为检测监控，注重安全审计
      • 入侵防御系统(IPS):
        • 功能：检测+拦截 技术：深度包检测、行为分析
          • IPS: 在应用层具有 防护功能以及入侵检测功能 （拦截 和检测）
            • IPS: 可以检测拦截硬件包过滤防火墙不能检测拦截： 应用层
        • 入侵防御系统功能: 实时检测并阻断攻击，提供更高层次的防护。。和人侵检测系统在网络中旁路部署不同的是,人侵防御系统是通过直接串联到网络链路中实现其防御功能
          • 实现如下功能：拦截恶意流量、传输内容深度检测和安全防护、网络流量检测同时进行过滤
        • 入侵防御系统部署
          • 内外网的网络边界
          • DMZ与防火墙的边界
          • 内网核心交换机和防火墙中间
          • 内网关键服务的外侧
        • 入侵防御系统的不足
          • 造成单点故障、性能瓶颈、漏保和误报的影响
      • IDS vs IPS区别​​：
        • IDS是旁路监听（不影响网络），IPS是串联阻断
        • 考选择题时会问"哪种系统能主动拦截攻击？" → 选IPS
    • 4.3.3 PKI （公钥基础设施）​ > 数字证书是PKI 的核心
      • PKI 的概念和组成
        • PKI 是一套管理数字证书的系统，用于验证身份、加密通信（如HTTPS）。
        • 公共秘钥基础设施的概念
          • PKI:(public Key Infrastructure, PKI)是一个用公钥密码学技术来实施和提供安全服务的安全基础设施,它是创建、管理.存储、分布和作废数字证书的一系列软件硬件、人员、策略和过程的集合
          • PKI核心： 解决信息网络空间中的信任问题
        • PKI的组成:
          • 注：数字证书是 PKI 的核心
          • 安全策略：定义组织信息安全方针。
          • 证书认证机构(CA)：（Certificate Authority,CA）机构是PKI的执行机构 ，是PKI的主要组成部分。称为认证中心 ，主要作用包括以下三个功能
            • 1、验证用户身份并颁发证书： 2、确保拥有证书签名的非对称秘钥的安全： 为确保私钥安全， CA用于签名的私钥必须足够长 3、管理证书信息资料： 通过发布证书黑名单（CRL） ,公开已废除的证书
          • 证书注册机构(RA)： (registration Authority ,RA) : 证书认证机构组成部分 ，用户向证书认证机构申请服务的注册机构，即证书认证机构面向用户提供证书申请的一个窗口。 接受用户证书申请→审核身份，为用户认证机构提示证书申请 ，颁发证书给用户
          • 证书分发系统(CDS)：(certificate distribution system ,CDS)发布证书，供用户查询。
          • 基于PKI应用接口： 安全框架，方便的使用加密、数字签名等安全服务
          • 例题
            • CA 是公共秘钥基础设施的核心机构，提供数字证书生成、 CA根证书发送、证书的管理等服务 。 RA 接受客户证书申请并进行审核注册的机构 ， 数字证书存储格式 X.509 是最基本的存储格式， 证书结构中（证书用户公钥信息、签名是CA（证书签发机构） 对证书上述内容的数字签名值） 。数字证书使用过程中，为了验证证书真实性、其他用户、应用程序和实体需下载安装 CA根 （证书认证机构根证书），使用此证书中的 公钥对证书中的数字签名进行验证
      • 数字证书
        • 数字证书概念：
          • 数字证书是证书认证机构对用户进行身份验证后签发的用于标志用户身份信息的一系列数据,用来在网络通信中识别通信各方的真实身份,它具有对用户身份标识的唯一性。数字证书主要用于在Intemnet上解决“我是谁“的问题
        • 基于数字证书的信任链传递关系
          • 通过真实的数字证书来相信网络用户身份的真实性是通过 信任链 的传递关系保证
        • 基于数字证书的安全机制
          • - 包含认证认证机构为用户 采用公钥密码体制生成的公钥和证书认证机构对数字证书的数字签名 - 证书认证机构利用 非对称密码算法 生成专属用户公钥对 ，公钥按X.509 格式封装到数字证书中
        • 数字证书存储格式
          • X.509 最基本的证书存储标注格式
      • 证书认证机构
        • 认证认证机构 是PKI 的核心部分
        • 证书认证机构系统组成机构
          • 证书认证机构系统包括PKI结构、高强度抗攻击的公开加解密算法、数字签名技术、身份认证技术、运行安全管理技术、可靠的信任责任体系等。 1、从业务流程涉及的角度看：证书认证系统包括认证机构、数字证书库和黑名单库、密钥托管处理系统、证书目录服务、.证书审批和作废处理系统。 2、从证书认证机构的层次绪构来看,可以分为认证中心(根CA)、密钥管理中心(KMC)、认证下级中心(子CA)、证书审批中心(RA中心)、证书审批受理点(RAT)等
          • 认证机构系统
            • 认证认证机构服务器：整个证书机构的核心
            • 证书认证机构：
            • 目录服务器 ： 称为 LDAP服务器
            • 证书下载中心：
            • 在线证书状态协议服务器：
            • 秘钥管理中心：
              • 密钥管理中心(KeyManagementCenter,KMC)提供了证书认证机构系统生成的密钥的管理、备份恢复等功能。
        • 认证中心系统主要功能
          • 是对证书进行管理,包括颁发证书、废除证书、更新证书、验证证书、管理密钥等。
        • 证书认证机构的安全运行要求
          • 证书认证机构是PKI 系统的核心 ； 安全性：物理安全、网络安全、密码安全
      • 信任模式
        • 定义：信任锚是证书链的起始端。信任锚的选择和证书链构造方式的不同就构成了不同的信任模式
        • 信任模型
    • 4.3.4 VPN
      • 概念: 利用开放网络的物理链路和专用的安全协议实现逻辑上网络安全链接的技术
      • 网络连接类型:
        • Client- LAN：远程访问型VPN ,提供了一种安全的远程控制访问手段
        • LAN- LAN：网络到网关类型的vpn ,不同局域网间建立安全连接。
      • vpn协议分类:
        • 第二层隧道协议
        • 介于第二、三层之间的隧道协议
          • MPLS VPN 是一种基于多协议标记交换技术IP-VPN ，MPLS 标记交换通道
        • 第三层隧道协议
          • 包括IPsec 和GRE 等隧道协议 ; 网络层安全协议，提供端到端加密。
        • 传输层的SSL VPN 协议
          • 采用标准的安全套接层协议SSL 对传输中的数据包进行加密 ，从而在应用层保护了数据的安全性 ；SSL/TLS：应用层安全协议，保护Web通信。
    • 4.3.5 网络安全协议
      • 1、网络层安全协议IPsec
        • 由于IPSec在网络层实现,因此可以有效地保护网络层及其各种上层协议。IPSec协议是现在VPN中使用最广泛的一种协议,IPSec协议通过引人加密算法、数据完整性验证和身份认证3种安全性措施实现了数据传输的安全性。
        • 提供了安全加密、数据完整性验证和身份认证3种安全性措施实现了数据传输的安全性。
        • IPSec协议是一组开放协议的总称,它包括网络安全协议和密钥协商协议两部分 ,透过对ip分组进行加密和认证来保护ip协议的网络协议族。Ipsec协议工作在osi模型的第三层 ，使其在单独使用时适于保护基于TCP或UDP 协议的协议
          • 1、网络安全协议包括认证协议头协议(AH)和安全载荷封装协议(ESP),
            • ESP协议
              • 基于IPSec数据通信提供安全加密、身份认证和数据完整性鉴别
              • esp 三层保护机制
                • 安全加密,身份认证和数据完整性
              • esp封装内容不同
                • ESP协议主要设计在IPV4和IPV6中提供安全服务的混合应用。IESP通过加密需要保护的数据以及在ESP的数据部分放置这些加密的数供机密性和完整性。且ESP加密采用的是对称密钥加密算法,能够提供无车接的数据完整性验证、数据来源验证和抗重放攻击服务。根据用户安全要要求, 制既可以用于加密一个传输层的段(如:TCP、UDP、ICMP、IGMP),也可以用于加密一整个的IP数据报,封装受保护数据是非常必要的,这样就可个原始数据报提供机密性,但是, 1、ESP协议无法封装链路层协议。故放选择D选项 2、ESP协议在传输模式下不进行加密的是 源IP和目标IP 3、Ipsec协议工作在osi模型的第三层
                • ESP采用的主要加密标准是DES和3DES。由于ESP对数据进行加密,因此它比AH需要更多的处理时间,从而导致性能下降
            • 认证协议头AH协议
              • 为IP数据包提供了数据完整性校验、数据源验证等服务功能。 AH 协议中普遍的完整性检验算法是md5 和SHA-1 AH 不能防范网络嗅探协议 （Ah不提供加密）
              • 根据封装格式不同： 传输模式和隧道模式（加密​​整个IP包​​（含IP头））两种模式 > 隧道模式：适用于网关设备到网关设别的网络连接.
          • 2、秘钥协商协议包括互联网秘钥交换协议（IKE）
            • 秘钥协商协议IKE
              • 定义： ESP和AH认证协议在进行IPSec数据安全封装过程中需要使用加密算法.数据完整性检验算法和密钥等多种安全参数,因此采用IPSec连接的两台计算机或网关必须事先通过协商机制使用相同的安全参数,才能在一端进行封装,在另一端进行解封。密钥协商协议提供了安全参数的协商功能。
              • IKE协商协议属于混合型协议， 3个协议组成
                • ISAKMP: IKE 协议负责两个IPSEC对等体之间协商相关安全参数 ，包括协商协议参数、交换公共秘钥、对双方认证以及在交换安全参数后对秘钥的管理 Oakley: SEKME:
                  • SAKMP协议规定了密钥交换要经过两个阶段, 在第一阶段没双方协商SA,建立一个经过身份鉴别和加密保护的安全通道; 在第二阶段建立起针对其他具体协议的SA交换,因为IKE是建立在ISAKMP框架上的,所以也使用两阶段协商安全参数。第一阶段交换IKESA,主要通过两种模式实现:第二阶段利用第一阶段建立的SA来创建其他协议的SA。
                • 两台配置了IPSec协议的Windows计算机进行IPSec初始连接时, 通过Wireshark嗅探的前面10个数据包是 ISAKMP 协议的数据包 （第一阶段主模式 6个和第二阶段快速模式的 4个）
                  • 解析：IPSec中的有三个主要协议,其中Internet密钥交换协议IK还E实现两台计算机之间的约定,IKE是一个混合协议,它使用到了三个不同协议的关部分: 安全关联和密钥交换协议ISAKMP,密钥确定协议Oakley和SKEMIE。所以通过Wireshark嗅探的前面10个数据包是ISAKMP协议的数据包。 ​​协议​​ ​​英语联想​​ ​​核心功能​ ​ ​​ 对应角色​​ ISAKMP Ice-Sack-Map 协商框架/消息格式 会议主持人 Oakley Oak Key DH密钥交换/前向安全 密码学家 SKEME Secret KEEp ME 身份保护/密钥更新 特工
        • windows操作系统中,配置IPSec时支持三种身份验证方法:
          • 第-种是Active?Directory默认值(KerberosV5协议);
          • 第二种是利用CA颁发的字证书进行身份验证;
          • 第三种是两台计算机之间设置一个预共享密钥,两台计算机的预共享密钥必须相同,才能完成身份验证,
      • IPsec vs SSL/TLS
      • 2.传输层安全协议SSL
        • ssl协议中： 客户端通过对服务器端发来的 证书进行验证， 以完成服务器t的身份验证
        • SSL(SecureSocketsLayer?安全套接层),及其继任者传输层安全(TransportLayerSecurity,TLS)是为网络通信提供安全及数据完整性的一种安全协议SSL协议可分为两层: 1、SSL记录协议(SSLRecordProtocol):它建立在可靠的传输协议(如TCP)之上,为高层协议提供数据封装、压缩、加密等基本功能的支持. 2、SSL握手协议(SSLHandshakeProtocol):它建立在SSL记录协议之上,用于在实际的数据传输开始前,通讯双方进行身份认证、协商加密算法、交换加密密钥等,
        • SSL协议构成： 1、记录协议： 定义传输格式 2、握手协议： 建立安全链接
        • SSL协议的连接过程
      • 3. 应用层安全协议
        • Kberos协议 ：实现分布式网络环境中的安全认证。
          • Kerberos V5协议也存在不足之处,它使用了时间戳防止重放攻击,这就要求在Kerberos系统中,所有计算机都要有时间同步机制。如果时间同步机制在实际运行过程中存在不稳定性,造成各计算机时间不一致,则该系统就很难正常运行了。
        • SSH协议：
          • 两种安全登录验证方式： 基于口令、依靠秘钥
          • SSH加密通过5个阶段实现
            • 协商SSH版本→协商产生会话秘钥→登录认证→处理会话请求→交互会话
        • SHTTP协议
          • SHTTP协议是一种基于HTTP设计的消息安全通信协议。SHTTP的设计基于与HTTP相同的协议规范,易于与HTTP应用程序相整合。
          • SHTTP协议提供了对称密钥加密的功能,支持用户浏览器到服务器之间的数据安全传输,加密用到的对称密钥是通过公钥加密后传输到Web服务器的
        • S/MIME协议、\
          • 支持​​加密、数字签名和身份验证 多用途网际邮件扩充协议 提供针对电子邮件的数字签名和数据加密功能
        • SET协议： 安全电子交易协议
          • (因流程复杂、成本高，已被 ​​SSL/TLS​​ 和 ​​3D Secure​​ 取代。) 1、SET协议主要功能包括：防止数据被非法用户窃取 、保证信息在互联网上安全传输 ；SET使用了一种双签名技术保证电子商务参与者信息的相互隔离 2、SET协议安全性高于SSL协议， 是由于SET 协议将整个信息流动过程都进行了安全保护
• 第5章 应用安全
  • 5.1 软件漏洞
    • 5.1.1软件漏洞的概念和特点
      • 漏洞定义： 1、漏洞是计算机系统本身存在的缺陷 ; 2、其次,漏洞的存在和利用都有一定的环境要求 ; 3、最后,漏洞存在的本身是没有危害的,只有被攻击者恶意利用,才能给计算机系统带来威胁和损失。
      • 漏洞类型：Hole,Vulnerability,Error,Fault,Weakness,Failure。
      • 漏洞利用：攻击者利用漏洞获取系统控制。
      • 漏洞危害：可能导致系统崩溃或数据泄露。
    • 5.1.2软件漏洞的分类
      • 漏洞分类
        • 地点分类
          • 本地利用漏洞：需要本地访问权限。
          • 远程利用漏洞：可通过网络远程攻击。
        • 形成原因
          • 输入验证错误漏洞：未对用户输入进行合法性验证。
          • 缓冲区溢出漏洞：数据超出缓冲区容量。
          • 设计错误漏洞：程序设计逻辑错误导致的漏洞。
          • 意外情况处置错误漏洞：实现逻辑中没有考虑到一些意外情况
          • 访问验证错误漏洞
          • 配置错误漏洞
          • 竞争条件漏洞 ： 程序处理文件等实体时在时序和同步方面 存在缺陷
          • 环境错误漏洞
          • 外部数据被异常执行漏洞
        • 漏洞生命周期不同阶段分类
          • 0day漏洞
            • 处于未公开状态的漏洞。
          • 1day漏洞
            • 义 是指补 丁 发 布在 1 天 内 的 漏洞, 不 过 通 常指 发 布补 丁时 间 不 长 的 漏 洞
          • 已公开漏洞
            • 义是指补丁发布在1天内的漏洞,不过通常指发布补丁时间不长的漏洞
        • 威胁后果
          • 普通用户访问权限漏洞
          • 本地管理员权限漏洞
          • 远程管理员权限漏洞
          • 权限提升漏洞
          • 本地拒绝服务漏洞
          • 远程拒绝服务漏洞
          • 服务器信息泄露漏洞
          • 远程非授权文件存取漏洞
          • 读取受限文件漏洞等。
      • 漏洞等级划分
        • 紧急（第一级）：危险级别最高，利用可致网络蠕虫、病毒传播或远程恶意代码执行，适用软件环境和系统广泛，需立即装补丁，微软定义为 “严重”
        • 重要（第二级）：利用会导致严重后果（如远程恶意代码执行、权限提升 ），适用环境比紧急级苛刻，需装补丁，微软定义为 “重要”
        • 中危（第三级）：因默认配置等因素，利用效果降低，危害数据可用性等，含拒绝服务攻击漏洞等，可装补丁，微软定义为 “中等”
        • 低危（第四级）：利用难度大，危害效果极低，阅读安全信息判断影响，可装补丁，微软定义为 “警告”
    • 5.1.3漏洞库
      • CVE：公共漏洞和风险暴露数据库。 行业标准
      • BugTraq：安全焦点的漏洞数据库。
        • 安全焦点(SecurityFocus)是赛门铁克公司2002年收购的一个著名安全网站,被认为是互联网上最广泛且最可信的安全信息源,其所包含的漏洞列表是目前最大的漏洞数据库之
      • NVD：美国国家漏洞数据库。
      • CNNVD：中国国家信息安全漏洞库”（China National Vulnerability Database of Information Security）
      • CNVD: 国家信息安全漏洞共享平台”（China National Vulnerability Database）
        • 国家互联网应急中心(CNCERT或CNCERT/CC)成立于1999年9月,是工业和信息化部领导下的国家级网络安全应急机构。 国家信息安全漏洞共享平台CNVD(ChinaNationalVulnerabilityDatabase)是CNCERT联合国内重要信息系统单位,基础电信运苑商、网络安全厂商软件 厂商和互联网企业建立的信息安全潘洞信息共享知识库,致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。
      • 其他漏洞库
        • EDB: 十多位安全人员自愿维护 微软安全公告和微软安全建议： 绿盟科技中文安全漏洞库： 目前国内漏洞数量最多、更新最快的漏洞数据库之一 启明星辰中文安全公告库
    • 5.1.4常见的软件漏洞
      • 缓冲区溢出：数据写入超出缓冲区边界。
        • 概念
        • 内存管理机制
          • 堆 先进先出结构 生长方向是向上的,也就是向着内存增加的方向;栈相反（先进后出结构）。
          • Linux操作系统的虚拟内存空间地址如图5.1所示,每一个进程拥有的虚拟内存空间为4GB。其中: 1、text段是存放程序代码的区域,该区域是只读的,任何对该区域的写操作都会导致段违法出错。 2、.bss段与.data段都保存的是全局变量,其中.bss段包含未初始化的全局变量,.data段包含已初始化的全局变量,它们都是可写的。这块区域在编译时分配空间,在程序运行结束时回收。 3、堆(heap)是先进先出的数据结构,往高地址增长,主要用来保存动态分配变量。洁 4、栈(stack)是一个后进先出的数据结构,往低地址增7长,它保存本地变量,函数调用等信息。
        • 函数调用时栈布局
          • 指令寄存器esp(extended instruction pointer) 返回地址
          • 基址指针寄存器ebp(extended base pointer) : 基地址， 也被称为 栈帧底部指针
          • 栈指针寄存器（esp extended stack pointer）: 栈顶指针
          • 被调用的子函数下一步写人数据的长度,大于栈帧的基址到 esp （extended stack pointer） 之间预留的保存局部变量的宇间时,就会发生栈的溢出
        • 栈溢出 ： 采用先进先出策略 ，保存函数调用时有关信息 ，函数中的非静态局部变量存放在栈中
        • 堆溢出： 堆是内存空间中用于存放动态数据区域
        • 单字节溢出
      • 格式化字符串漏洞：格式化函数使用不当。
      • 整数溢出：整数运算超出表示范围。
        • 存储溢出 ： 使用另外的数据类型存储整型数据
        • 运算溢出： 对整型变量进行运算时没有考虑到边界范围
        • 符号问题
      • 数组越界：构造超出数组范围的索引值,就能够对任意内存地址进行读写操作 1、读取恶意构造的输入数据 2、输入数据计算数组访问索引3、对数组进行读、写操作
      • 写污点值到污点地址：错误地写入内存地址。 1、读取污点数据 2、读取污点地址3、向污点地址写入污点数据
      • 内存地址对象破坏性调用漏洞
        • 内存地址对象破坏性调用漏洞模型,属于攻击者了解程序代码后实施的一种非正常调用导致的漏洞,属于UAF(Use-After-Free)溥洞。
        • 内存地址对象破坏性调用的漏洞模型,是指菪对象保存的内存地址写人一个变量中,攻击者通过调用初始化或释放功能的异常操作,将保存对象的内存地址进行释放,从而导致读取变量中保存的内存地址以期访问某对象的过程,从而触发内存访问异常
      • 考试高频问题​​ 1、​​栈和堆的生长方向？​​ → ​​堆向上（内存地址增加），栈向下​​（如图中粉色标注） ​​2、%n 格式化符的危害？​​ → 可向任意地址写入数据（如修改管理员权限标志位） ​​3、数组越界 vs 缓冲区溢出区别？​​ → 数组越界是​​访问​​越界，缓冲区溢出是​​写入​​越界
    • 5.1.5软件漏洞利用及其防护技术
      • 1.漏洞利用(exploit)的概念和shellcode的编写
        • 漏洞必然和漏洞利用联系在一起： 数据视角：访问本不可访问的数据 、包括读和写 权限视角：绕过权限或权限提升
        • 漏洞利用基本概念
          • 根据软件漏洞具体条件,构造相应输入参数和shellcode代码,最终实现获得程序控制权的过程,就是漏洞利用,一般用exploit
          • 在缓冲区滥出攻击时,例如攻击者利用栈溢出发起攻击,向存在溥洞的软件程序输人的数据 一般包括:随机填充数据 、NOP填充字段、shellcode和新的返回地址
        • shellcode概念
          • 漏洞利用时都要利用shellcode代码，shellcode是一段机器指令,可实现攻击者指定的操作
          • 根据shellcode执行的程序或命令的不同,或启动针对远端端口反向连接务能的不同,可以将不同功能的shellcode封装成一个个通用的模块,在攻击者进行漏洞利用时根据其不同的攻击意图来调用。
        • shellcode的编写
          • shellcode代码可用C语言编写,编译通过后,用OllyDbg加载其可执行文件,再从中选中所需的机器代码;也可通过IDAPro等反汇编工具从PE文件中得到对应的机器代码。
          • shellcode代码在实现攻击者指定的下载程序、开启shell 、添加账户等操作时,为了以较短的代码实现其功能,一般需要调用系统提供的API函数来实现。XfFLinux系统
          • shellcode中要实现的功能主要是通过系统调用来完成
      • 2.漏洞利用技术
        • (1) 静态shellcode地址利用技术
          • 如果存在溢出漏洞的程序是一个操作系统每次启动都要加载的程序,操作系统启动时为其分配的内存地址一般是固定的,则函数调用时分配的栈帧地址也是固定
          • 写入栈帧的shell code代码其内存地址也是静态不变的,所以可以目接将shell code代码在栈帧中的静态地址覆盖原有返回地址。
        • (2) 动态变化的shellcode地址利用技术
          • 中使用了jmp esp指令作为跳板,实现了在栈帧动态分配的情况下,可以自动跳回shellcode的地址并执行。对于查找jmp esp的指令地址,可以在系统常用的kermel32.diluser32,dll等动态链接库或其他被所有程序都加载的模块中查找,这些动态链接库或模块加载的基地址始终是固定的。
          • 在内存中的栈帧地址是动态变化的,则植人的shell code代码在内存中的起始地址也是变化的。在这种情况下,需要让溢出发生时,覆盖返回地址后新写人的返回地址能够自动定位到shell code的起始地址。
        • (3) Heap Spray技术
          • HeapSpray也称为堆喷酒技术 , 是在shellcode的前面加上大量的滑板指令(slidecode)), 组成一个非常长的注入代码段。然后向系统申请大量内存,并且反复用这个注人代码段来填充。 > 使用类NOP指令覆盖、占用内存大、配合堆栈溢出攻击不能保证成功，可开启DEP 进行防范
            • 滑板指令(slide code)是由大量NOP(no-operation)空指令0x90填充组成的指令序列,当遇到这些NOP指令时,CPU指令指针会一个指令接一个指令地执行下去,中间不做任何具体操作,
          • Heap Spray 用于针对浏览器漏洞的攻击较多，尤其是网页木马应用
          • HeapSpray技术通过使用类NOP指令来进行覆盖,对shellcode地址的跳转准确性要求不高,从而增加了缓冲区溢出攻击的成功率;。针对Heap Spray, 对于 Windows系统比较好的系统范办法是开吕DEP功能,即使被绕过,被利用的概率也会大大降低
          • 由于堆分配地址随机性较大,为了解决shellcode在堆中的定位以便触发,可以采用Heap Spray 的方法.
      • 3.Windows几种软件漏洞利用的防范技术
        • GS(gs stack protection)：栈保护：缓冲区溢出检测防护技术 > 在函数被调用时,在缓冲区和函数返回地址增加一个32位的随机数security_cookie,在函数返回时,调用检查函数检查security_cookie的值是否有变化。
        • DEP: data excute prv 数据执行保护技术：设置内存堆栈区代码不可执行状态 （分为软件DEP和硬件DEP）
        • ASLR: address space layout randomization : 关键地址随机化， 无法获得需跳转的精确地址的技术
        • （safeSEH: SHE(structured exception handler) 异常处理机制所采用的重要数据结构链表 ，攻击者通过缓冲区溢出覆盖SHE中异常处理函数句柄 。）safeSHE 保护SHE （重要数据结构链表）函数不被非法利用的技术。
          • 1. SEHOP(Structured Exception Handler Over write Protection) 结构化异常处理覆盖保护 ： 是微软针对SEH攻击提出的一种安全防护方案。通过对SEH结构进行安全检测，判断应用是否遭受SHE攻击， 核心检测程序栈中SEH结构链表的完整性
    • 5.1.6软件漏洞的发展趋势
      • Web应用漏洞增加：Web服务的普及。
      • 商业软件漏洞利用难度增大：安全防护加强。
      • 定制软件漏洞增多：定制软件的普及。
      • 已知漏洞攻击广泛：利用已知漏洞成本低。
      • 新兴技术漏洞：云计算、物联网等新技术的漏洞。
  • 5.2 软件安全开发
    • 5.2.1软件开发生命周期
      • 软件开发生命周期
        • 问题定义与规划：确定开发目标和计划。
        • 需求分析：详细分析软件功能需求。
        • 软件设计：系统设计和模块设计。
        • 程序编码：根据设计文档编写代码。
        • 软件测试：单元测试、集成测试、系统测试。
        • 运行维护：软件发布后的维护和升级。
      • 软件开发生命周期模型
    • 5.2.2软件安全开发
      • 建立安全威胁模型：分析软件安全环境和潜在威胁。
        • 
      • 安全设计：应用安全设计原则，如最小权限原则。
        • 
      • 安全编程：遵循安全编程原则，确保代码安全性。 数据机密性、完整性、有效性、其他
      • 安全测试：实施模糊测试、渗透测试等。 > 构造畸形数据包测测试、用户输入全面检测、输入输出文件、非正常路径以及路径依赖、全面测试异常处理、反汇编检测敏感信息
    • 5.2.3软件安全开发生命周期（SDL）
      • 准备 - 启动 - 定义原则 - 风险评估
      • 2004年微软 SDL模型中文全称为软件安全开发周期「Security, Development Lifecycle」模型
      • 第0阶段：准备阶段：是通过教育培训,培养开发团队员工的安全意识
        • 注意：易错混淆 ，考试经常容易出现填写 第 1 阶段 ， 注意是 0 阶段
      • 第1阶段：项目启动，安全问题分析。
      • 第2阶段：定义需要遵守安全设计原则
        • 
        • 软件产品的被攻击面包括一个软件可能遭受外来攻击的所有攻击点,包挠代码网络接口、服务和协议
      • 第3阶段：产品风险评估。
        • 两部分：1、评估理解安全开发需投入的成本大小 2、调查软件产品涉及使用者多少隐私
        • 风险评估一般通过调查表来进行,需要调查要开发的软件产品在安装时的详细细节,软件产品的被攻击面问题,软件产品中有关使用脚本代码的问题,以及安全特性和常规问题
      • 第4阶段：风险分析。
        • 对于存在高风险的软件产品,有必要通过威胁建模开展深人的风险分析。威胁建模的目的是帮助软件开发团队在进人编码阶段之前发现系统的威胁,理解软件中潜在的安全威胁,以明确风险并建立相应的威胁消减机制
      • 第5阶段：创建安全文档和配置工具。
      • 第6阶段：安全编码策略。
      • 第7阶段：安全测试策略。
        • 安全测试可以简单地理解为以攻击者的角度开展的测试,具体包括模糊测试(Fuzzing)、渗透测试、运行时验证测试重新审核威胁模型、重新评估被攻击面。
        • 渗透测试往往是在产品部署后开展的用于发现信息系统脆弱性的测试,然而为了提高软件产品的安全性,在产品的测试阶段就应开始计划开展渗透工作
      • 第8阶段：开发团队自身进行全面安全分析检测。
        • 评审后要进行威胁模型的更新,以及被攻击面和所有文档的更新,并重新进行安全测试,发现的bug应被记录下来,并组织修复。
      • 第9阶段：最终安全评审。
      • 第10阶段：组建安全响应团队制定安全响应计划。
      • 第11阶段：产品发布。
      • 第12阶段：安全响应执行
  • 5.3 软件安全检测
    • 5.3.1 软件静态安全检测技术 > 对未处于运行状态的软件所开展的安全分析测试技术。静态安全检测技术可以用于对软件源代码和可执行代码的检测 注：静态安全检测技术是软件源代码主要安全检测技术
      • 1. 软件源代码的静态安全检测技术
        • 词法分析：基于文本匹配查找符合特定特征和词法规则的危险函数
          • 词法分析通过对源代码进行基于文本或字符标识的匹配分析对比,以查找符合特定特征和词法规则的危险函数、API或简单语句组合
        • 数据流分析：代码中变量的取值变化和语句的执行情况分析处理逻辑和程序的控制流关系，从而分析代码的潜在安全威胁
          • 数据流分析技术是通过分析软件代码中变量的取值变化和语句的执行情况,来分析数据处理逻辑和程序的控制流关系,从而分析软件代码的潜在安全缺陷。
        • 污点传播分析：污点传播分析技术是通过分析代码中输人数据对程序执行路径的影响,以发现不可信的输人数据导致的程序执行异
        • 符号执行：将程序输入表示为符号，根据执行流程和输入参数赋值变化，将程序输出表示包含这些符号的逻辑或算数表达式的一种技术 > 执行源代码检测的工具有：EXE、SAGE 、 SMART、 KLEE
        • 模型检验：将程序的执行过程抽象为状态迁移的模型，采用状态迁移过程中安全属性的验证来判断程序的安全性质 > 微软 SLAM、伯克利 MOPS 典型代表工具
        • 定理证明：定理证明是将待验证问题转化为数学上的定理证明问题,从而判定程序是否满足特定安全 > 使用该技术的安全检测工具包括Satum.ESC/Java等。
      • 2. 可执行代码的静态安全检测技术
        • 基于程序结构的安全检测技术
          • 根据二进制可执行文件的格式特征，从二进制文件的头部、符号以及调试信息中提取安全敏感信息，分析安全缺陷
          • 1、基于程序结构的安全检测技术需要根据垮洪制可执行文件的格式特征,从二进制文件的头部.符号表以及调试信息申提取安全敏感信息,来分析交棣申是香震在安全缺陷 2、由Data—Rescue公司开发的IDAProl觊怡敦备受业内人土青眯的友汇编工具,它能够对可执行代码的静态安全检测分析猩供怡酒辅助作用。lBagseam棉测工具能够基于IDAPro对被测试程序进行安全缺陷检测。它采用了基于程序绪构的安全检测技术
        • 基于程序语义的安全检测技术
          • 1、对程序进行反汇编后转换为中间语言，分析中间语言的基础上针对得到的语义信息进行缺陷和漏洞的检测 2、UAFChecker检测工具采用了基于程序语义的安全检测技术,它能够对浏览器软件中常见的Use-After-Free漪洞迹行静态检测。它首先将IDAPro反汇编得到的汇编代码转换为中间语言,然后再建立USE-DEFINE和DEFINE-USE链,通过结合数据流分析遍历这两个链,来检测程序中是否存在对被释放资源的使用。
    • 5.3.2 软件动态安全检测技术 > 通过构造非正常的输人来检测软件运行时是否出现故障或崩溃等非正常的输出,并通过检测软件运行中的内部状态信息来验证或检测 软件铁陷的过程,它的分析对象是可执行代码
      • 一、模糊测试： 自动化或半自动化的安全漏洞检测技术，通过项目标软件输入大量畸形数据监测目标系统异常发现潜在漏洞 ，模糊测试工具包括SPIKE、Peach等 1、确定测试对象和输入数据 2、生成模糊测试数据 3、检测模糊测试数据 4、检测程序异常 5、确定可利用性
      • 二、智能模糊测试：最普遍的动态安全检测方法，基于符号执行等可程序理解方法，针对性设计测试数据生成从而实现比随机模糊测试更高效率， 结合了程序理解和模糊测试方法称为智能模糊测试 1、反汇编 2、中间语言转换 3、采用智能技术分析输入数据和执行路径的关系 4、利用分析获得的输入数据集合，对执行路径集合进行测试
      • 三、动态污点分析：模糊测试技术侧重随机生成数据样本，不关注程序真实的执行过程。动态污点分析技术通过分析被测试程序内部指令真实的执行过程，追踪输入数据在程序内部的传递、处理流程、以检测输入数据是否存在涉及安全的敏感操作，从而分析五点数据导致的潜在安全缺陷和漏洞 动态污点分析的基本思想：是在程序的执行过程中跟踪用户的输人数据在寄存器和内存单元之间的传播过程,然后监控被测试程序对输人数据使用的相关信息。BitBlaze软件安全检测工具中应用丁动态污点分析技术。
    • 5.3.3 软件动静结合安全检测技术
      • BitBlaze,BitBlaze由三部分组成:TEMU,VINE和Rudder.
      • 结合静态和动态分析，提高检测全面性和准确性。
      • 第一种：源代码静态分析发现潜在漏洞，然后构造数据在程序运行时检测其真实性
      • 第二种 对可执行代码进行反汇编，通过对汇编代码或中间语言进行静态检测分析获取信息指导动态漏洞分析
  • 5.4 软件安全保护
    • 5.4.1 软件安全保护的基本概念
      • 1. 软件安全保护概念
        • 软件安全保护技术主要有软件水印、代码混淆,软件加密、功能限制等,主要实现降低代码的可读性和防止软件本身在运行时被调试等,主要应用在软件防盗版防滥用、防篡改、防止信息获取等方面
        • 保护软件免受逆向分析和破解。逆向分析辅助工具可实现对软件的逆向分析,例如OllyDbg、SoftICE、WinDBG、IDApro等。
      • 2. 软件安全保护的意义
      • 3. 软件安全保护相关法案
        • DMCA (digital millennium copyright Act) 美国数字千禧版权法案 核心思想：版权 保护技术本身容易受攻击，须通过立法方式保护这些技术
    • 5.4.2 基于软件技术的软件安全保护技术
      • 注册信息验证：目前较广泛的软件安全保护手段； 通过注册码验证用户合法性。 注册信息的生成和验证
      • 软件防篡改：通过完整性检验来检测软件是否被篡改 ；使用哈希值或数字签名保护完整性。
      • 代码混淆：在原有带代码基础上，通过变换等混淆手段实现降低代码可读性、改变代码结构，隐藏逻辑的一种技术
        • 词法转换
          • 对程序中函数和变量名称进行变换
        • 控制流转换
          • 对程序执行流程进行转换，改编程序控制流执行顺序和执行流向
        • 数据转换
          • 变换程序数据而不修改程序控制流的代码混淆技术
      • 软件水印：嵌入标识信息，保护版权。
      • 软件加壳技术：也称为代码变形技术 ，对可执行文件压缩或加密、更改表现形式 软件脱壳技术：是将可执行文件进行解压缩或解密,从而使可执行文件还原为可执行的正常状态。
        • 根据软件加壳的目的和作用,可分为两类。 1. 第一类是压缩保护壳,这种壳以减小软件体积和改变软件可执行代码的特征为目的,例如ASPacK、UPX和PECompact等。 2. 第二类是加密保护壳,这种壳以保护软件为目的,根据用户输入的密码用相应的加密算法对原程序进行加密,如果破解者强行更改密码检测指令,因加密代码并未被解密还原,将导致程序的错误执行,例如ASProtect、Armadillo、EXECryptor等。
        • 压缩壳的特点是减小软件体积大小,加密保护不是重点。
      • 反调试反跟踪技术：通过调试工具完成，通过使用反调试反跟踪以及反汇编技术阻止调试者成功使用调试器
    • 5.4.3 基于硬件介质的软件安全保护技术
      • 加密狗（USBKEY 电子钥匙常见的加密狗硬件设备）、加密光盘、专用接口卡等。
  • 5.5 恶意程序·
    • 恶意程序是指恶意影响计算机操作系统、应用程序和数据白的完整性、可用性、可控性和保密性的计算机程序。
    • 5.5.1 恶意程序的分类
      • 单一功能病毒：针对特定攻击。
        • 文件感染型病毒
          • 主要感染.exe文件
        • 宏病毒
          • 门寄生在具有宏功能的文档或模板中的计算机病
        • 引导型病毒
          • 引导型病毒将其代码写人MBR主引导区(硬盘0头0柱面第1个扇区)或BR引导区(硬盘逻辑0扇),将真正的引导区内容转移或替换
      • 木马：通过欺骗手段诱导用户安装，但不具备复制、传播能力的恶意代码
      • 蠕虫：蠕虫是指可以通过网络等途径,自动将自身的全部代码或部分代码通过网络复制,传播给其他网络中计算机的完全独立可运行程 > 两部分组成： 主程序 、 引导程序 > 普遍没有安装防火墙
      • 恶意脚本：脚本语言编写的恶意代码 ，恶意脚本的载体是web系统
      • 综合型病毒：具备多种感染传播功能实现
        • 1、 它通过网络挂马、移动存储介质、诱骗下载等途径 2、 攻击服务器接胡搜指令实现下述功能：窃取信息、下载其他恶意程序、制造点击量、攻击其他计算机等。
    • 5.5.2 恶意程序的传播方式和破坏功能
      • 传播方法
        • 网站挂马
          • 是恶意程序从互联网传播到用户个人计算机或单位内网计算机的一种主要手段
        • 诱骗下载 、移动存储介质传播 、电子邮件和及时通信软件传播、局域网传播（利用网络程序漏洞进行传播的是局域网传播）
      • 破坏功能
        • 1、浏览器配置、 2、窃取用户账密、 3、远程控制、 4、破坏系统或网络的正常运行： - 恶意程序会修改被感染计算机的Hosts文件,利用虚假IP地址的映像劫持技术来屏蔽被感染计算机与安全站点之间的连接。
    • 5.5.3 恶意程序检测查杀技术
      • 特征码查杀：
        • 特征码查杀技术
          • 依据恶意程序的特征码进行查杀是最基本的一种杀毒技术,目前大多数杀毒软件均采用此方法 ，它针对已知病毒木马等恶意程序进行分析,提取典型代码特征添加到特征库中 ,然后根据恶意程序的特征码对文件或内存进行扫描匹配 ,匹配成功则检测出相应特征码对应的恶意程序。 基于病毒特征码检测。具有低误报率、高准确性、、高可靠性等优势 注：不能检测 加壳技术 恶意程序 ； 恶意程序查杀最基本杀毒技术
        • 特征码的提取
          • 特征码查杀技术对恶意程序查杀可实现很高的准确性和可靠性不同的杀毒厂商提取特征码的方式不同,有的直接提取恶意程序的十六进制串作为特征串,有些则以恶意程序某些区段中十六进制串的校验和作为特征
      • 启发式查杀：启发式查杀技术通过事先分析恶意程序执行指令的顺序或特定行为的组合情况等特征,建立检测的基准行为或指令的样本库,并以这些基准行为或指令的特征来检测并确定是否是恶意程序
      • 虚拟机查杀：虚拟机查杀技术是在扫描恶意程序时,通过将恶意程序加载到虚拟机环境中运行,从而让恶意程序自动脱壳还原为原有状态,再进行检测查杀的技术。
      • 主动防御： 主动防御技术不是实现对恶意程序的查杀 ,而是实现对恶意程序的及时拦截
    • 5.5.4 恶意程序的防范
      • 提高安全意识，使用安全软件，避免下载未知文件。
  • 5.6 Web应用系统安全
    • 5.6.1 Web安全威胁
      • 遭破坏的身份认证和回话管理
        • 基本概念
          • 遭破坏的认证和会话管理“排名已经超过了“跨站脚本“,成为仅次于“注人“的排名第二的威
          • HTTP本身是无状态的,HTTP的每次访问请求都要带有个人凭证,SessionID是用户访问请求的凭证。SessionID本身很容易在网络上被喂探到,所以攻击者往往通过监听SessionID来实现进一步的攻击,这就是这种安全风险居高不下的重要原因,但这种形式的攻击主要针对身休认证和会话。
        • 密码的安全性
          • 长度、复杂度、特殊字符、最短密码长度、连续相同字符
          • 1、目前黑客们常用的破解密码手段,不是暴力破解,而是使用一些弱口令去尝试进行字典攻击破解,例如123456admin等,同时猜解用户名,直到发现使用这些弱口令的账户为 2、密码必须使用不可逆的加密算法或者是单向散列函数算法进行加密后存储到数据库中,这可以最大限度地保证密码的私密
        • 用户的认证必须通过加密信道进行传输
          • 用户登录时,在用户输人用户名和密码后一般通过POST的方法进行传输,认证信息可通过不安全的HTTP传递,也可通过加密的HTTPS传递
        • 会话与认证
          • 会话劫持就是一种窃取用户SessionID后,使用该SessionID登录进人目标账户的攻击方法,此时攻击者实际上是利用了目标账户的有效Session。如果SessionID是被保存在Cookie中,则这种攻击被称为Cookie劫持。
            • 两种类型
              • 中间人攻击
              • 注射式工具
            • 两种形式
              • 被动劫持
              • 主动劫持
        • 会话保持攻击
          • 如果攻击者窃取了用户的Session,并一直保持一个有效的Session(如间隔性地刷新页面,以使服务器认为这个用户仍然在活动),而服务器对于活动的Session也一直不销毁,攻击者就能通过此有效Session一李使用用户的账户,即成为一个永久的“后门“,这就是会话保持攻击
      • 不安全的直接对象引用
        • 概念
          • 所谓不安全的直接对象引用就是指一个用户通过更改URI等操作可以成功访问到未被授权的内容。例如一个网站上的用户通过更改URL可以访问到其他用户的私密信息和数据等。
      • 安全配置错误
        • 1、必须及时将各个软件更新到最新状态。 2、其次,采用安全的系统框架 3、对Web系统的各个组件进行分离。 4、最后,考虑定时对Web系统进行扫描,以发现可能存在的配置错误。
      • 不安全的加密存储
        • 敏感性数据加密 、秘钥妥善保管、定期更换、 严格访问控制权限
      • 没有限制的URL访问
        • 通常URL访问限制主要是限制未授权用户访问树些链接,一般通过隐藏来实现保护这些链接。然而对于一个攻击者来说,在树些情况下有可能能够访问被隐藏了的链接,从而可以使用未被授权的功能。 适当授权和访问机制3、隐藏的链接限制非授权用户访问、加强角色访问控制、禁止访问私密页面类型
      • 传输层保护不足
        • 会话劫持、
        • 中间人攻击
      • 未验证的重定向及转发
        • 1、尽量避免使用重定向和转发; 2、使用重定向和转发要避免通过参数获得地址; 3、如果必须使用目标地址,必须校验地址,并加强授权和认证。
    • 5.6.2 Web安全防护
      • 客户端防护：
        • 目的：防护远程代码恶意执行
        • 措施：选择安全、可信浏览器、web浏览器进行更新
      • 通信信道防护：
        • 目的：放置明文在网络中传输
        • 措施：https代替http
      • 服务器端防护：
        • 目的：
        • 措施： 部署专用的web防火墙、web服务器安装配置、web服务器上应用进行安全控制
    • 5.6.3 Web安全检测
      • 黑盒检测技术：当不了解Web应用系统的内部机制时,可以开展对Web系统的黑盒测试。主要是从Web系统的外部输人测试数据,根据Web的输出情况,检测Web应用程序的安全性。
        • 例如IBM公司的AppScan, HP公司的WebInspect, OWASP项目组开发的ZAP, (综合类渗透测试工具) Web Vulnerability Scanner, 国内的JSky、明鉴Web应用弱点扫描器软件等。
      • 白盒检测技术：白盒测试方法是针对Web系统的源代码进行全面的代码安全性分析和审查的方法,以全面检测分析Web应用程序的内部运作机制中存在的安全性问
        • Fortify、Coverity 、Klockwork是典型的软件源代码安全测试商业工具。它们通过内置的分析引擎,从数据流、语义结构.控制流配置流等多个方面对应用软件的源代码进行静态分析,将源代码中存在的安全缺陷和漏洞扫描出来,并给予整理形成输出报告。扫描的结果中不但包括详细的安全漏洞信息,还会有相关的说明和修复意见。
• 第6章 信息安全管理
  • 信息安全管理,主要包括信息 安全管理体系、信息安全风险评估和信息安全管理措施3个部分。
  • 目的：保护组织机构信息资产、确保信息机密性、、完整性和可用性， 保持机构内部竞争优化和商务运作的持续性
  • 技术层面和管理层面的良好配合,是组织机构实现网络与信息安全系统的有效途
  • 上岗前在岗期间离职时人员安全控制 策略执行安全措施,掌握内部组织机构建立的原则和外部组织机构建立的原则,掌握资产责任管理的基本方法,掌提操作程序和职责管理原则
  • 6.1信息安全管理体系(ISMS) > Information Security Management System
    • 预防控制为主思想
    • ISMS 体系是一个系统化、程序化、文件化的管理体系 ，属于风险管理范畴 ，体系的建立基于系统、全面科学的安全风险评估
    • 6.1.1建立信息安全管理框架
      • 流程图
      • 1、定义信息安全政策：必须形成书面文件
        • 信息安全政策作为组织机构的信息安全的最高方针, 必须形成书面文件,
      • 2、定义ISMS范围：部门、处所、资产状况、采用技术
      • 3、进行信息安全风险评估 ： 信息安全风险评估的复杂程度取决于风险的复杂程度和受保护资产的敏感程度 ，所采用的评估措施同组织机构对信息资产风险保护需求一致 3.1 三种风险评估方法 - 基本风险评估、详细风险评估、基本风险评估和详细风险评估相结合 3.2 风险评估主要依赖于所采用的系统环境、使用信息的商业目的、商业信息和系统的性质等。
      • 4、确定管制目标和选择管制措施
        • 是费用不高于风险所造成的损失
      • 5、准备信息安全适用性申明
        • 信息安全适用性申明记录了组织机构内相关的风险管制目标,及针对每一类风险所采取的对应管制措施。 组织机构全面、系统审视组织机构的信息安全系统，必须将管制的风险控制在能够被接受的范围内
    • 6.1.2ISMS构架的具体实施
      • 建立相关文档：创建必要的政策、程序和记录。
      • 文档的严格管理：确保文档的控制、更新和分发。
      • 安全事件记录、回馈：记录和分析安全事件。
        • 安全事件日志：详细记录安全事件。
        • 安全事件的处置：对安全事件的响应措施。
    • 6.1.3信息安全管理体系审核
      • 体系审核的概念：定期检查ISMS的有效性和合规性。
        • 体系审核应对体系范围内所有安全领域进行全面系统地审核, 应由与被审核对象无直接责任的人员来实施,对不符合项的纠正措施必须跟踪审查,并确定其有效性。另外,组织机构要对审核过程本身进行安全控制,使审核效果最大化,并使体系审核过程的影响最小化。
        • 组织机构要对审核过程本身进行安全控制,使审核效果最大化,并使体系审核过程的影响最小化。
        • 信息安全管理体系审核， 是指机构为验证程序正确实施和检查系统符合标准进行系统、独立的检查和评价 ，是信息安全管理体系的一种 自我保证手段
        • ISMS 审核 包括管理和技术层面： 管理：方针与程序是否被正确有效实施、技术：定期检查组织机构系统符合安全实施标准情况
        • 体系审核：体系内所有安全领域进行全面系统审核。 由被审核对象无直接人员实施，不符合纠正 措施必须跟踪审查、确定有效性 此外：要对审核过程本身进行安全控制 、使审核效果最大化、体系审核过影响最小化
      • 审核准备：收集文件，编制审核计划，编写检查表，通知受审核部门约定审核时间
      • 审核实施：执行审核计划，记录不符合项。
      • 审核报告：编写和分发审核结果。
      • 纠正措施：实施和跟踪纠正措施。
      • 审核风险控制
    • 6.1.4信息安全管理体系评审
      • 评审程序：定期评审ISMS的有效性。
        • 评审计划
        • 评审资料：准备评审所需的资料。
        • 召开评审会议：进行评审讨论。
        • 评审报告分发与保存：记录和分发评审结果。
        • 评审后要求：实施评审建议。
      • 体系评审与持续改进
        • 纠正
        • 预防
        • 控制不符合项
    • 6.1.5信息安全管理体系认证
      • 组织机构实施信息安全管理体系认证是根据国际上的信息安全管理标准一一BS7799标准,建立完整的信息安全的体系,达到动态的,系统的、全员参与的、制度化的、以预防为主的信息安全管理方式,用最低的成本,达到可接受的信息安全水平,从根本上保证业务的持续性。 信息安全管理体系认证基于自愿的原则
      • 信息安全管理体系认证的目的
      • 信息安全管理体系认证的依据和范围
        • 认证依据
          • BS7799-21999标准构成了BS7799信息安全管理体系评估的基础,并用作正式认证计划的基础。BS7799-2:1999第二部分被分成独立的三部分: 第一部分说明了标准.目的和所用的定义。 第二部分解释了制定维持一个文件化ISMS的要求,基于对风险的恰当评估,识别受控的风险区域,选取第三部分中相应的控制手段。 第三部分列举了10种安全主题.目标及其之下的控制手段,有127种控制方法供组织机构选择。
        • 认证范围
          • 认证范围定义是审核员确定评估程序的根
      • 申请认证
        • 申请认证基本条件
        • 寻求认证机构
          • 组织机构在具备体系认证的墓本条件时就可以进行体系认证
          • 认证费用按照审核人天数（文件审核与完成审核包的人天）与每人天的审核价格来计算
        • 组织机构向认证机构提供的信息
  • 6.2信息安全风险管理
    • 6.2.1风险管理概述
      • 风险管理基本概念：识别、评估和控制风险。
      • 风险管理术语：定义关键术语和概念。
        • （1）资产：组织有价值的信息资源。
        • （2）威胁：可能损害资产的事件。
        • （3）脆弱性：资产的弱点。
        • （4）控制措施：降低风险的措施。
        • （5）可能性：威胁发生的概率。
        • （6）影响：威胁发生的后果。
        • （7）风险：可能性和影响的组合。
        • （8）残余风险：控制后剩余的风险。
        • （9）风险评估：评估风险的过程。
        • （10）信息安全风险术语之间的关系
    • 6.2.2风险管理内容
      • 风险管理的两个主要任务： 识别风险、控制风险
      • 资产识别与评估：识别和评估信息资产。
        • 人员、过程及数据资产的识别
        • 硬件、软件和网络资产的识别
          • 1、决定跟踪哪一种信息资产时,需要考虑名称、IP地址、MAC地址、序列号、制造商名称、软件版本、物理位置、逻辑位置、控制实体等资产属性 2、对于硬件资产的跟踪识别管理中,可以识别该资产的资产编号、MAC地址、产品序列号;不能有效识别该资产的属性是软件版本号。
      • 信息资产分类
        • 标准信息系统的组成(人员过程、数据和信息、软件、硬件)与改进系统(结合了风险管理和安全系统软件开发生命周期方法,也称SecSDLCFE)
        • 因特网组件: 再细分为服务器、网络设备(路由器、集线器交换机)、保护设备(防火墙,代理服务器)以及电缆
        • 分类数据的管理包括这些数据的存储、分布移植和 销毁
      • 信息资产评估
      • 威胁识别和威胁评估
    • 6.2.3风险评估
      • 风险评估是基础、 风险处置是核心、安全管理控制措施是具体手段
        • 风险评估给每项信息资产分配一个风险等级或分数。此数字可用于评估每项易受攻击的信息资产的相关风险,并在风险控制过程中,促进比较等级的发展。
      • 风险评估分为： 自评估 和检查评估
      • 风险评估概述： 1、风险=出现漏洞的可能性x信息资产的价值-当前控制减轻的风险概率+对漏洞了解的不确定性 2、出现漏洞的可能性是指成功攻击机构内某个漏洞的概率。在风险评估中,要给成功攻击漏洞的可能性指定一个数值。国家标准与技术协会在“Special Publication800-30中推荐,这个可能性应指定为0.1~1.0之间的一个值
      • 风险评估原则：指导风险评估的基本原则。
        • 自主
        • 适应度量
        • 已定义过程
          • 为执行评估分配责任;
          • 定义所有的评估活动;
          • 规定评估过程所需的所有工具、工作表和信息目录;
          • 为记录评估结果创建通用的格式。
        • 连续过程的基础
          • 使用已定义的评估过程标识出信息安全风险;
          • 实施信息安全风险评估的结果;
          • 逐步培养管理信息安全风险的能力;
          • 实施安全策略和计划,使安全改进结合基于实践的方法。
      • 风险评估过程：详细描述风险评估的步骤。
        • 信息资产评估
        • 风险的确定
        • 识别可能的控制
        • 记录风险评估的结果
    • 6.2.4风险控制
      • 风险控制概述：采取措施降低风险。
      • 风险控制措施：实施控制措施以降低风险。
        • 1.避免：采取措施防止风险发生。
          • 应用政策：制定和执行安全政策。
          • 教育培训：提高员工的安全意识。
          • 应用技术：使用技术手段降低风险。
        • 2.转移：将风险转移给第三方。
        • 3.缓解：采取措施减少风险的影响。
          • 图论
        • 4.接受：接受风险作为业务决策的一部分。
          • 确定了风险等级：评估风险的严重性。
          • 评估了攻击的可能性：评估攻击发生的概率。
          • 估计了攻击带来的潜在破坏：评估攻击可能造成的损害。
          • 进行了全面的成本效益分析：分析控制措施的成本和效益。
          • 评估了使用每种控制的可行性：评估控制措施的实施难度。
          • 认定了某些功能、服务、信息或资产不值得保护：确定哪些资产不值得投入资源进行保护。
        • 5.选择风险控制策略
          • 控制策略
            • 存在漏洞(缺陷或缺点):实现安全控制,来减小漏洞被利用的可能性
              • 漏洞可利用： 分层保护、结构设计和管理控制 ，风险降至最小
              • 攻击者开销少于收益：通过保护增加攻击者成本
              • 可能的损失非常大：用设计原理建筑设计、技术和非技术手段保护、限制攻击范围、减少损失
              • 总结： 一旦实现了控制策略 ，就应对效果进行监督衡量、确定安全控制有效性、估计残留风险准确性
          • 残留风险
            • ​​定义​​：即使控制各种漏洞、仍然存在风险未能完全排除、缓解或规划，称为 残留风险 残留风险是：降低了通过安全措施减小威胁效果的一种威胁、 减少漏洞效果的一种漏洞、安全措施保护资产价值的效果的一种资产。
            • 1、必须在机构内部判断残留风险重要性。目标不是降低为0 而是控制在可接受范围内 。如果决定者发现未受控风险，内部权威机构决定不予理会 ，则信息安全计划达成了目的 2、系统报告：的另一个方法：行动计划中证明对信息资产、威胁控制策略达到了预期结果 3、风险评估：管理人员需某个信息系统详细信息和机构面临的风险信息时，可在特定主体报告中进行风险评估
  • 6.3信息安全管理措施
    • 6.3.1基本安全管理措施
      • 安全策略：制定全面的安全策略。要制定一套好的安全管理策略,必须与决策层进行有效沟通,并得到组织机构高层领导的支持与承诺 ；三个作用: 一、是制定的安全管理策略与组织几构的业务目标一致; 二、是制定的安全方针政策、控制措施可以在组织机构的上上下下得到有效贯彻; 三、是可以得到有效的资源保证,例如在制定安全策略时,必要的资金与人力资源的支持及跨部门之间的协调工作都必须由高层管理人员来推动。
      • 人员安全管理：确保员工的安全意识和行为。
      • 安全组织机构：建立有效的安全管理组织。
        • 建立安全组织机构的必要性
        • 安全组织的规模
          • “三结合“,即领导、保卫和计算机技术人员相结合。
        • 安全组织机构的控制目标
        • 对安全组织机构的基本要求
        • 第三方访问安全
        • 外包控制
      • 资产管理：保护和管理信息资产。
      • 物理与环境安全管理：确保物理环境的安全。
      • 通信及操作管理：保护通信和操作过程。
      • 访问控制：控制对信息资产的访问。控制对资源的访问是安全性的中心话话题
        • 访问控制分类
          • 预防性的访问控制
            • 预防性访问控制包括防护、安全策略、安全感知训练和反病毒软
          • 探查性访问控制
            • 包括安全性防护、监督用户、时间调查和攻击监测系统
          • 纠正性访问控制
            • 纠正性访问控制包括报警.圈套和安全性策略
        • 访问控制实现
          • 行政性访问控制
            • 依照机构安全性策略定义的策略和执行过程
          • 递辑/技术性访问控制
            • 作为硬件或软件机制，管理对资源和系统的访问
          • 物理性访问控制
            • 物理屏障， 用来保护对系统的直接访问
          • 访问控制控制着主体对客体的访问。这个过程的首要步骤是对客体进行标识。实际上,在对客体的实际访问之前还有几个步骤需要执行: 标识、验证、授权和责任衡量
        • 访问控制管理时 ，原则转换三个主要的职责： 1、用户账户管理、 2、操作跟踪、 3、访问权利和许可权的管理 > 最少特权的原则(PrincipleofLeastPrivilege)来自当主体被赋予对客体进行访问的权限时所形成的复杂结构。这个原则规定主体只应当被授权访问那些完成其工作所需要的客体。换而言之,应当阻止主体访问那些工作内容不需要的客体。
    • 6.3.2重要安全管理过程
      • 1. 系统获取、开发和维护：确保系统生命周期的安全。
        • 系统获取
        • 系统开发
          • 规划
          • 分析
          • 设计
          • 实现
          • 运行
        • 系统安全维护
          • 分类
            • 改正性维护:诊断和改正在使用过程中发现的系统错误;
            • 适应性维护:修改系统以适应环境的变化;
            • 完善性维护:根据用户的要求改进或扩充系统使其更完善;
            • 预防性维护:修改系统为将来的维护活动做准备。
          • 维护目标： 影响维护代价因素： 维护注意事项：维护和更改记录、更改清除、错误报告处理、老版本备份和清理 系统安全维护步骤：报告错误→ 处理错误→ 处理错误报告
      • 2. 信息安全事件管理与应急响应
        • 核心概念与计划类型​
        • （1）、业务响应分析 (BIA)​
          • 应急计划过程开发的第一阶段是业务影响分析(BIA)
          • ​​阶段​​： （应急计划小组在下列阶段进行 业务响应分析BIA ）
            • ​​威胁识别与分级​​：列出潜在攻击（如网络攻击、自然灾害）
            • ​​业务单元分析​​：确定关键业务功能优先级
            • ​​攻击场景开发​​：模拟成功攻击的影响
            • ​​损害评估​​：量化财务/运营损失
            • ​​从属计划分类​​：匹配IRP/DRP/BCP
          • ​​考点​​：
            • BIA假设防护措施已失效，聚焦事后响应
            • 输出：恢复时间目标（RTO）、恢复点目标（RPO） > 恢复时间目标（RTO）​​: ​​定义​​：从灾难发生到业务恢复的​​最长可容忍时间​ > 恢复点目标（RPO）​: ​​定义​​：业务恢复时允许的​​数据丢失时间窗口​
        • （2）、事故响应计划 (IRP)​
          • 触发条件​​：
            • 攻击直接威胁信息资产（机密性/完整性/可用性）
            • 攻击有成功可能性
          • ​​四阶段​​：
            • ​​计划​​：制定响应流程（如联系人清单）
            • ​​检测​​：通过日志/监控发现事故
            • ​​反应​​：遏制（如隔离系统）、根除（如删除恶意软件）
            • ​​恢复​​：修复系统并验证安全性
          • ​​考点​​：
            • IRP是​​事后响应​​，非主动防御
            • 与DRP/BCP联动：事故升级为灾难时启动DRP
        • 记忆口诀​​
          • "IRP快准狠，DRP修根本，
          • BCP保命脉，RTO/RPO量分寸。"
      • 3. 业务连续性管理与灾难恢复
        • （1）灾难恢复计划（DRP）核心要点​
          • DRP与事故响应计划（IRP）的区别：DRP针对​​大规模系统性中断​​
          • 恢复操作需分阶段：人员安全→资产保护→系统重建
          • 措施
            • 建立优先次序
            • 指派工作责任
            • 启动通知人员
            • 灾难进行归档
            • 减轻灾难影响
        • （2）危机管理要点​
          • 与事故响应的区别​​
            • ​​焦点​​：危机管理优先关注​​人员安全​​，其次才是业务
            • ​​响应方式​​：灾难恢复小组需在无文档支持下快速决策
          • 关键部分
            • 核查人员
            • 检查警报人员名单
            • 检查紧急事件信息卡
        • （3）恢复操作
        • （4）业务持续性计划（BCP）​
          • BCP策略选择依据：​​业务关键性​​（RTO/RPO）与 ​​预算​​
        • （5）持续性 战略
          • 制定业务持续性计划时,有许多策略可供机构选择。在这些选项中,决定性因素通常是成本。
            • 通常有3种互不相同的选项:热站点.暖站点和冷站点,
            • 以及3种共享功能:时间共享、服务台和共有协议。|
          • 图例
          • ​​站外数据存储技术​ （灾难恢复中，可用于持续性之外的其他意图选项）
            • 电子拱桥、远程日志、数据库镜像
• 第7章 信息安全标准与法规
  • 7.1 信息安全标准
    • 7.1.1 安全标准化概述
      • 1. 定义
        • - 安全标准化：通过制定和实施标准，确保信息系统和数据的安全性和可靠性。
      • 2. 目的
        • - 统一规范：确保不同系统和产品之间的互操作性。
        • - 提高安全性：通过标准提高系统的安全性和抗攻击能力。
        • - 促进发展：推动信息技术的发展和应用。
      • 3. 重要性
        • - 国际接轨：与国际标准接轨，提升国际竞争力。
        • - 行业规范：规范行业发展，提升整体安全水平。
      • 信息安全标准体系
    • 7.1.2 信息安全标准化组织
      • 国际信息安全标准化组织
        • 1、信息技术标准化委员会(ISO/TEC JTC1)负责信息技术安全的一般方法和技术的标准化工作；是开放系统互连.密钥管理MEER安全评估等方面的内容。 2、ISO/TC68负责与银行业务应用范围内有关信息安全标准的制定,它主要制定行业应用标 3、1906年10月 国际电工委员会(IEC), 是世界上成立最早的专门国际标准化机构 4、1947年 国际电信联盟(ITU)、 5、1986年 Internet工程任务组(IETF)
      • 我国信息安全标准化组织
        • 成立于1984年的全国信息技术安全标准化技术委员会(CITS), 国内目前最大的标准化技术委员会 。在国家标准化管理委员会和信息产业部的共同领导下,负责全国信息技术领域以及与ISO/IECITC1相对应的标准化工作
    • 7.1.3 信息安全评估标准
      • 1.安全技术评估标准发展过程
        • 可信的计算机系统安全评估标准(TCSFEC,从橘皮书到彩虹系列)由美国国防部于1985年公布,是计算机系统信息安全评估的第一个正式标准。它把计算机系统的安全分为4类、7个级别, 对用户登录.授权管理、访问控制审计跟踪、隐蔽通道分析.可信通道建立.安全检测,生命周期保障.文档写作.用户指南等内容提出了规范性要求。
        • 1、信息技术安全评估标准(ITSEC,欧洲白皮书)是由法国.英国.荷兰、德国欧洲四国于20世纪90年代初联合发布的,它提出了信息安全的机密性、完整性、可用性的安全属性
        • 2、信息技术安全评价的通用标准(CC) ，由六个国家(美国加拿大、英国,法国、德国荷兰)于1996年联合提出的, 并逐渐形成国际标准ISO15408 ，是信息技术安全评价标准以及信息安全技术发展的一个重要里程碑。 > ;我国于2015年5月正式颁布了GB/T18336:2013《信息技术安全技术信息技术安全评估准则》,作为信息技术安全评估的国家标准。
        • >: 自主保护→系统审计→安全标记→结构化→访问验证保护级 国内等同采用国际标准，为5个等级: 自主保护级 、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级。 主要的安全考核指标有身份认证、自主访问控制数据完整性.审计等
        • 3、BS7799是依据英国的工业.政府和商业共同需求而发展的一个标准,它分为两部分:第一部分为“信息安全管理事务准则“,第二部分为“信息安全管理系统的规范“。
        • 信息技术安全评估标准(ITSEC,欧洲白皮书),它提出了信息安全的机密性完整性.可用性的安全属性
        • 国内主要是等同采用国际标准。1999 （中国首歌信息安全分级国家标准）国家标准GB17895一19994计算机信息系统安全保护等级划分准则》已正式颁布并实施。配合《网络安全法》《等级保护2.0》实施，成为国内网络安全建设的强制性要求。 1、《计算机信息系统安全保护等级划分准则》信息系统安全分为5个等级:自主保护级.系统审计保护级.安全标记保护级.结构化保护级和访问验证保护级。 2、主要的安全考核指标有身份认证、自主访问控制、数据完整性、审计等,这些指标涵盖了不同级别的安全要求。 CB18336也是等同采用ISO15408标准。
      • 2.GB/T18336 《信息技术安全性评估准则》(CC)的优缺点
        • 子主题
      • 3. 信息安全技术评估准则
        • CC将评估过程划分为功能和保证两个部分,评估等级分为EALIEAL2.EAL3、EAL4、EALSEAL6和EAL7共七个等级。每一级均需评估7个功能类,分别是配置管理.分发和操作、开发过程、指导文献、生命期的技术支持、测试和脆弱性评估。
    • 7.1.4 等级保护标准
      • 1.GB/T22240《信息系统安全保护等级定级指南》的主要内容
        • 定级的四个要素: 信息系统所属类型、业务数据类型、信息系统服务范围和业务自动化处理程度
      • 2.五个信息系统安全保护等级的定义
        • 根据《信息安全等级保护管理办法》,信息系统的五个安全保护等级为: 第一级：信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国 家安全、社会秩序和公共利益。 第二级：信息系统受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或对社 会秩序和公共利益造成损害,但不损害国家安全。、 第三级：信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或对国家安全造成损害。 第四级：信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或对国家安全 造成严重损害。 第五级：信息系统受到破坏后,会对国家安全造成特别严重损害。
      • 3.系统定级的要素、基本方法和流程
        • 信息系统的安全保护等级由两个定级要素决定:等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度
    • 7.1.5 等级保护基本要求
      • GB/T22239《信息系统安全等级保护基本要求》的主要内容
      • 1.GB/T22239 《信息系统安全等级保护基本要求》的主要内容1.GB/T22239%《俊息系统安全等级保护基本要求》的主要内容
        • 根据现有技术的发展水平,提出和规定了不同安全保护等级信息系统的最低保护要求,即基本安全要求 ，基本安全要求包括基本技术要求和基本管理要求,本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理要求
        • ——GB/TAAAA-AAAA信息安全技术,信息系统安全等级保护定级指南; ——GB/TCCCC-CCCC 信息安全技术,信息系统安全等级保护实施指南。
      • 2.五个信息系统安全保护等级对应的安全保护能力级别
        • 图论
  • 7.2 信息安全相关法规与国家政策
    • 7.2.1 我国网络空间安全战略
      • - 网络空间安全战略：中国政府制定的关于网络空间安全的战略规划。 “四项原则“和构建网络空间命运共同体的“五点主张
      • 1. 机遇和挑战
      • 2.目标
        • - 总体目标：构建和平、安全、开放、合作、有序的网络空间。
      • 3. 原则
        • 尊重维护、和平利用、依法治理网络空间统筹网络安全与发展
      • 4. 战略任务
        • 坚定捍卫网络主权、坚决维护国家安全、保护关键信息基础设施、加强网络文化建设、打击网络犯罪和违法犯罪、完善网络治理体系、夯实网络安全基础、提升网络空间防护能力强化网络空间国际合作
        • 加强对发展中国家和落后地区互联网技术普及和基础设施建设的支持援助,努力弥合数字鸿沟。推动一带一路“建设,提高国际通信互联互通水平,畅通信息丝绸之路。搭建世界互联网大会等全球互联网共享共治平台,共同推动互联网健康发展。通过积极有效的国际合作,建立多边、民主、透明的国际互联网治理体系,共同构建和平、安全.开放,合作.有序的网络空间
    • 7.2.2 现行的重要信息安全法规
      • 1. 网络安全法
        • - 生效日期：2017年6月1日。
        • - 主要内容
          • 1. 网络安全保护义务：网络运营者应当采取技术措施和其他必要措施，保障网络安全。
          • 2. 个人信息保护：网络运营者应当保护用户的个人信息，不得泄露、篡改、毁损。
          • 3. 关键信息基础设施保护：国家对关键信息基础设施实行重点保护。
      • 2. 保守国家秘密法
        • 国家秘密的密级分为绝密、机密、秘密三级。
        • 机关、单位对所产生的国家秘密事项,应当按照国家秘密及其密级的具体范围的规定确定密级,同时确定保密期限和知悉范围
        • 国家秘密的保密期限,应当根据事项的性质和特点,按照维护国家安全和利益的需要,限定在必要的期限内;不能确定期限的,应当确定解密的条件
        • 绝密级不超过三十年,机密级不超过二十年,秘密级不超过十年。
        • 关于国家秘密 ，机关、单位应当根据工作需要, 确定具体的保密期限、解密时间或者解密条件。
        • 机关单位对所产生的国家秘密事项,应当按照国家秘密及其密级的具体范围的规定确定密级,同时确定保密期限和知悉范围
        • 泄露后可能损害国家在政治经济国防外交等领域的安全和利益的,应当确定为国家秘密:
      • 3. 电子签名法
        • 《电子签名法》规定,可靠的电子签名与手写签名或者盖章具有同等的法律效力。根据《电子签名法》的规定,同时符合下列四个条件的视为可靠的电子签名:(1)电子签名制作数据用于电子签名时,属于电电子签名人专有;(2)签署时电子签名制作数据仅由电子签名人控制;(3)签署子签名的任何改动能够被发现;(4)签署后对数据电文内容和形式的任何改动能够被发现 # 电子签名证书载明 1、电子认证服务提供者名称; 2、证书持有人名称; 3、证书序列号; 4、证书有效期; 5、证书持有人的电子签名验证数据; 6、电子认证服务提供者的电子签名; 7、国务院信息产业主管部门规定的其他内容;
        • 《电子签名法》被称为"中国首部真正意义上的信息化法律"
        • 电子认证服务提供者拟暂停或者终止电子认证服务时,应当提前就业务承接及其他相关事项通知有关各方,该时间应提前 60 天
        • 申请电子认证服务， 45日内做出许可 ； 予以许可的颁发电子许可证书、不予许可的书面通知申请人且告知理由
        • 电子认证服务提供者拟暂停或者终止电子认证服务的， 90日前通知相关方 ；60日前向相关主管部门报告
        • 电子认证服务提供者保存与认证相关信息，期限至少在电子签名证书失效后 5年
        • 未经许可提供电子认证服务，违法获得30w 以上罚款一倍以上三倍以下 ；不足30w的十万以上30w以下
        • 电子认证服务提供者不遵守认证业务规则，吊销证书（国务院信息产业主管部门的规定执行），十年内 不得从事电子认证服务
        • 电子认证服务提供者应当妥善保存与认证相关的信息,信息保存期限至少为电子签名认证证书失效后五年
        • 机构想要提供电子认证服务 ，应具体的条件包括 1、具有与提供电子认证服务相适应的专业技术人员和管理人 2、具有与提供电子认证服务相适应的资金和经营场所; 3、具有符合国家安全标准的技术和设备; 4、具有国家密码管理机构同意使用密码的证明文件; 5、法律、行政法规规定的其他条件;
        • 基于对电子签名认证证书或者电子签名依赖从事有关活动的人或机构称为： 电子签名依赖方
        • 电子签名同时符合下列条件的,视为可靠的电子签名:
          • (一)电子签名制作数据用于电子签名时,属于电子签名人专有; (二)签署时电子签名制作数据仅由电子签名人控制; (三)签署后对电子签名的任何改动能够被发现; (四)签署后对数据电文内容和形式的任何改动能够被发现。当事人也可以选择使用符合其约定的可靠条件的电子签名。
        • 第八条审查数据电文作为证据的真实性,应当考虑以下因素:
          • (一)生成、储存或者传递数据电文方法的可靠性; (二)保持内容完整性方法的可靠性; (三)用以鉴别发件人方法的可靠性; (四)其他相关因素。
        • 第九条“数据电文有下列情形之一的,视为发件人发送:
          • (一)经发件人授权发送的; (二)发件人的信息系统自动发送的; (三)收件人按照发件人认可的方法对数据电文进行验证后结果相符的。当事人对前款规定的事项另有约定的,从其约定。
        • 第二十一条 电子认证服务提供者签发的电子签名认证证书应当准确无误,并应当载明下列内容: (一)电子认证服务提供者名称; (二)证书持有人名称; (三)证书序列号; (四)证书有效期; (五)证书持有人的电子签名验证数据; (六)电子认证服务提供者的电子签名; (七)国务院信息产业主管部门规定的其他内容。
      • 4.《刑法》有关信息安全犯罪的规定
        • 违反国家规定、侵入国家事务、建设、尖端科学领域 ，处3年以下有期徒刑或者拘役 ；除过上述以外的计算机，获取系统重存储、处理或传输数据或非法控制、情节严重 处3年以下有期徒刑或者拘役 ；情节特别严重3年以上7年以下
        • “违反国家规定,对计算机信息系统功能进行 删除、修改、增加、干扰 造成计算机信息系统不能正常运行,后果严重的,处5年以下有期徒刑或者拘役;后果特别严重的,处5年以上有期徒刑
        • 注： <刑法> 中有关系信息安全犯罪的规定包含了 3条
      • 5. 全国人民代表大会常务委员会关于加强网络信息保护的决定
    • 7.2.3 信息安全国家政策
      • 1.国家信息安全管理总体方针
        • 自主定级、自主保护原则
          • 信息安全等级分为5级 、
        • 遵循原则：安全需求、领导负责、全员参与、系统方法、还需改进、依法管理、分权与授权结合、成熟技术、分级保护、管理与技术并重、自保护 国家监督、
      • 2.互联网信息服务管理办法(2011修订)
        • 从事经营性互联网信息服务，申请许可主管部门60日内审查完毕，做出决定
        • 互联网服务信息提供者变更事项，提前30日办理变更手续
        • 互联网信息服务提供者记录备份保存60日
        • 未取得许可擅自从事经营互联网信息服务,处违法所得3倍以上5倍以下的罚款;没有违法所得或者违法所得不足5万元的,处10万元以上100万元以下的罚款;情节严重的,责令关闭网站。
      • 3.电子政务及重要信息系统信息安全政策
      • 4.等级保护有关政策规范
        • 自主定级 、自主保护原则
        • 信息系统安全保护等级分为 5 级
          • 
      • 5.国家商用密码管理政策
        • 商用密码技术属于国家密码
        • 销售商用密码产品，需具备条件：熟悉商用密码产品知识和售后人员、有完善的销售服务和规章制度、独立的法人资格
        • 商用密码技术属于国家秘密。国家对商用密码产品的科研.生产.销售和使用实行专控管理
  • 7.3 道德规范
    • 1. 注册信息安全专业人员(CISP) 职业准则
      • 所有注册信息安全人员CISP必须经过努力后注册、遵守道德准则、接受受中国信息安全测评中心（CNITSEC）China Information Technology Security Evaluation Center 监督 ，按规定缴纳费用
    • 2. 计算机使用道德规范
    • 3. 因特网使用道德规范
      • 因特网使用应遵守中国互联网协会 《文明上网自律公约》
• 附外
  • 信任属性
    • 1、具有二重性，主观性和客观性 2、不具有对称性： A信任B ，B不一定信任 A 3、可度量：可分等级 4、可传递、但不绝对
  • 相关机构组织名称
    • ​​A. ISO/IEC JTC1​​（国际标准化组织/国际电工委员会 第一联合技术委员会）是​​全球信息技术标准的核心制定机构​​，直接负责：
      • ​​密钥管理​​（如ISO/IEC 11770系列）
      • ​​数字签名​​（如ISO/IEC 14888系列）
      • ​​安全评估​​（如ISO/IEC 15408，即通用评估准则CC）。
    • ​​B. ISO/TC68​​：专注金融领域标准（如银行卡安全），不涵盖通用密码技术。
    • ​​C. ITU JTC1​​：国际电信联盟无此机构（混淆项，ITU主要制定通信标准）。
    • ​​D. IETF JTC1​​：IETF（互联网工程任务组）无JTC1分支，且侧重互联网协议（如TLS）。
  • 如何选择加密算法？​​
    • ​​校验数据完整性​​ → ​​SHA-256​​（如下载文件校验）。
    • ​​加密存储/传输数据​​ → ​​AES-256​​（如加密硬盘或HTTPS）。
    • ​​数字签名/密钥交换​​ → ​​RSA/ECC​​（如SSL证书）
  • [密钥加密密钥是对传送的会话或文件密钥进行加密时采用的密老钥,也称次主密钥,通信网中每个节点都分配有一个这类密钥,本题答案为C。
  • ISO 13335标准首次给出了关于IT安全的六个方面含义,包括: 机密性、完整性、可用性、审计性、认证性和可靠性
  • 公钥私钥案例题1
    • 
  • 通过Wireshark捕获的前面10个数据包是ISAKMP协议数据包,包括ISAKMP第一阶段主模式(MainMode)的6个数据包和第二阶段快过模式(QuickMode)的4个数据包
  • ping命令利用的是ICMP协议 ， wireShark不支持对ip地址进行扫描 ，不能防范嗅探工具对数据包进行嗅探的是 TELNET
  • 静态包过滤防火墙技术对数据包进行过滤的协议层为 网络层和传输层
  • 时间问题
    • 20世纪40年代： 通信保密、 机密、 密码学
    • 1949年： 香农 《保密系统的通信理论》 信息安全发展重要里程碑、使其信息论称为研究密码学和密码分析学的重要理论基础 ，宣告密码学时代的到来
    • 20世纪60年代：用于军事网络的计算机网络ARPAnet
    • 1970年 HRU模型给出了形式化的访问控制矩阵的描述,并提出了安全模型领域中著名的SAFTY问题(授权传播的可判定性问题)。
    • 1972年： 著名的Anderson报告，是计算机发展的重要里程碑 ,提出了计算机安全 主要问题以及相关的范型（访问监控机）
    • 1976年 ： Diffie Hellman 发布《密码编码学新方向》 证明了发送者和接受这之间无秘钥交换保密通信是可能的 ，开创了公钥密码学的新纪元
    • 1977年 美国联邦政府颁布数据加密标准(DES),这是密码史上的一个举,为加密算法的标准化美定了基础。
    • 1984年：成立于1984年的全国信息技术安全标准化技术委员会(CITS), 国内目前最大的标准化技术委员会 。
    • 1985年: 美国国防部计算机系统安全评估的第一个正式标准 - 可信计算机系统安全评估标准(TCSEC) 也称为桔皮书 ；为计算机安全评估奠定了基础 ； TCSEC将计算机安全划分为 4个等级 7个级别
    • 20时间90年代初 发布信息技术安全评估准则 ITSEC
    • 1994年美国政府颁布了数字签名标准(Digital Signature Standard,DSS)以来,至今尚未发现DSS有明显缺陷
    • 1995年 BS7799（英国信息安全管理标准）​由英国标准协会（BSI）在 1995 年发布，是一个关于信息安全管理的标准。后来该标准被国际标准化组织采纳，演变为 ISO/IEC 27000 系列标准。 1、组织机构实施信息安全管理体系认证是根据国际上的信息安全管理标准一一BS7799标准, ✅ 企业信息安全管理框架 ✅ 首个体系化安全管理框架 ✅ 强调风险管理（资产识别→风险评估→控制措施） 2、它分为两部分:第一部分为“信息安全管理事务准则“,第二部分为“信息安全管理系统的规范“。
    • 1996年 ISO 15408（通用评估准则，CC） 信息技术安全性评估通用准则，是评估信息技术产品和系统安全性的基础标准；我国于2015年5月正式颁布了CB/T18336 等同于国际采用的CC标准: 国内产品安全认证 2015 《信息技术 安全技术 信息技术安全评估准则》,作为信息技术安全评估的国家标准。 ✅ 测评产品安全等级（EAL1-7） ISO 13335（IT安全管理指南）​​ ​​发布时间​​：1996年（首版），2004年废止 ​​核心内容​​：次给出了关于IT安全的机密性、完整性、可用性、审计性、认证性、可靠性6个方面的含义. 提供IT安全管理​​实施方法论​​（非认证标准） 聚焦风险管理流程（与ISO 27001互补） ​​特点​​： ✅风险管理方法论 ✅ 强调​​安全生命周期管理​​ ✅ 被ISO 27005（风险管理标准）替代
    • 1998 年 10 月 , 美国NSA 颁 布 了 信息 保 障 技 术 框 架(IATF)1. 1 版
    • 1999年： 我国专家提出完善的保护-预警 - 检测-响应- 反击PWDRRC模型，信息保障技术建立了更为坚实的基础
    • 1999年9月 国家互联网应急中心(CNCERT或CNCERT/CC)成立于1999年9月,是工业和信息化部领导下的国家级网络安全应急机构。
    • 2001年（等同采用ISO 15408）：中国等保2.0的参考标准之一 ✅ 强制要求​​政府/金融领域​​产品通过认证
    • 我国的信息安全保障体系建设始于2003年9月,中央颁布的《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发27号文件)提出要在5年内建设中国信息安全保障体系。
  • 为了防止网络攻击者对目标主机和网络的扫描，可部署 防火墙
  • 不能防范网络嗅探的协议是 AH (AH 提供)
• 题组
  • 数字签名
    • 试题1：   
• 浮动主题
• 浮动主题

中心主题

• https://www.bilibili.com/read/cv4980699/?jump_opus=1 转：全国计算机等级考试三级信息安全技术知识点总结