信息安全工程师珍藏笔记.doc

信息安全工程师 笔记2016年8月9日初稿 2017年5月6日修改第一章 信息安全基础传统信息安全: 信息的秘密性，完整性，可用性。信息系统安全四个层次：设备安全，数据安全，内容安全，行为安全。设备安全：稳定性，可靠性，可用性。数据安全：秘密性，完整性，可用性。内容安全：政治上健康，符合国家法律，符合道德规范。行为安全：行为的秘密性，完整性，可控性。网络空间安全学科内涵：网络空间安全学科是研究信息获取，信息存储，信息传输和信息处理淋雨中信息安全保障问题的一门新兴学科。研究方向：密码学，网络安全，信息系统安全，信息内容安全，信息对抗。网络空间安全方法论：理论分析，逆向分析，实验验证，技术实现。信息安全立法特点：没有形成一个完整性，实用性，针对性的完善的法律体系，不具开放性，缺乏兼容性，难以操作。计算机犯罪分类：1窃取和破坏计算机资产2未经批准使用计算机信息系统资源3批准或超越权限接收计算机服务4篡改或窃取计算机中保存的信息或文件5计算机信息系统装入欺骗性数据和记录6窃取或诈骗系统中的电子钱财法律规章:中华人民共和国网络安全法，中华人民共和国计算机信息系统安全保护条例，互联网络安全管理相关法律法规，商用密码和信息安全产品相关法律法规，计算机病毒防治相关管理办法，电子签名法，电子政务法。系统安全保护能力等级：1用户自主保护级。2系统审计保护级。3安全标记保护级。4结构化保护级。5访问验证保护级涉密信息系统等级：秘密级，机密级，绝密级。网络隔离技术的安全要点：1具有高度的自身安全性。2确保网络之间是隔离的。3保证网间交换的只是应用数据。4对网间的访问进行严格的控制和检查。5在坚持隔离的前提下保证网络畅通和应用透明。网络安全监控功能：1全面的网络控制。2细粒度控制。3网络审计。4其他风险评估主要任务：1识别组织面临的各种风险。2评估风险概率和可能带来的负面影响。3确定组织承受风险能力。4确定风险降低和控制的优先等级。5推荐风险降低策略。风险评估过程：1确定资产。2脆弱性和威胁分析。3制定及评估控制措施4决策。5沟通与交流。6监督实施风险评估方法：1定量评估法。2定性评估法。3定性与定量相结合的综合评估方法。评估过程：系统分解，构造判断矩阵，层次总排序。选择安全措施考虑以下因素：控制的易用性，用户透明度，未用户提供帮助，发挥控制功能，控制的相对强度，实现的功能类型。降低风险途径：避免风险，转移风险，减少威胁，减少脆弱性，减少威胁可能的影响，检测意外事件。=第二章 密码学基础与应用密码编制学：研究密码编制的科学 密码分析学：研究密码破译的科学密码学：密码编制学和密码分析学共同组成。 密码安全目标：保密性，完整性，可用性。密码体制组成：明文空间M，密文空间C，密钥空间K，加密算法E，解密算法DKd=Ke 称为单密钥密码体制，对称密码体制，传统密码体制。Ke公开，称为公开密钥密码体制，公钥密码体制。密码分析攻击方法：穷举攻击，数学分析攻击，基于物理的攻击。攻击密码类型：仅知密文攻击，已知明文攻击，选择明文攻击，选择密文攻击。密码分为:绝对不可破译，计算上不可破译密码。古典密码：1置换密码，2代替密码 3 代数密码代替密码：加法密码，乘法密码，仿射密码古典密码破译方法：穷举分析，统计分析。DES密码：是一种分组密码，明文，密文，密钥的分组长度都是64位，面向二进制密码算法，能加密任何形式的计算机数据，对合运算，因而加密和解密共用同一算法。DES弱点和不足：密钥较短，存在弱密钥。3DES可以使用三个密钥，也可以使用两个密钥。RIJNDAEL轮函数三层：非线性层，线性混合层，密钥加层。RIJNDAEL数据块长度和密钥长度都可变，最短密钥128位。RIJNDAEL算法能有效抵抗目前已知的攻击，如差分攻击，线性攻击，相关密钥攻击，插值攻击。分组密码工作模式：电子密码本模式，密码分组链接模式，输出反馈模式，密码反馈模式，CTR模式。Hash函数：报文摘要。Hash函数满足性质：单向性，抗弱碰撞性，抗强碰撞性。椭圆密码适用：航空，航天，卫星，智能卡应用。数字签名用途：确认，核准，生效，负责任。完善的数字签名满足：签名者事后不能抵赖自己的签名，任何其他人不能伪造签名，如果双方发生争执，能够在公正的仲裁者面前通过验证签名来确认真伪。数字签名体制包括：施加签名，验证签名。认证：又称鉴别和确认，证实某事是否名副其实或者是否有效。认证和加密区别：加密用以确保数据的保密性，认证确保发送者和接收者的真实性及报文的完整性。认证系统常用参数：口令，表示服，密钥，信物，智能卡，指纹，视网纹。认证和数字签名区别：1认证给予收发双方共享保密数据来鉴别真实性，数字签名用于验证签名的数据是公开的。2认证允许双方互相验证正式性，不许第三方验证，而数字签名允许收发双方和第三方都能验证。3数字签名具有发送方不可抵赖，接收方不能伪造和具有在公证人前解决纠纷的能力，而认证则不一定具备。身份认证：口令认证，生物特征识别，报文认证改进口令验证机制：利用单向函数加密口令，利用数字签名方法验证口令，口令的双向验证，一次性口令。好口令应具备：使用多种字符，足够长度，尽量随机，定期更换。报文内容认证验证码产生的方式：报文加密，消息认证码MAC，基于hash函数的消息认证码。密钥分级安全性：初级密钥，二级密钥，主密钥（高级密钥）。密钥存储形态：明文形态，密文形态，分量形态。第三章 网络安全基础网络协议：为进行网络中的数据交换而建立的规则，标准或约定。计算机网络体系结构：计算机网络的各层及其协议的集合。Internet路由协议：1RIP 路由信息协议，2OSPf 开放最短路径优先协议3BGP 外部网关协议，4IGMP Internet组管理协议。ARP地址解析协议 RARP反向地址解析协议 。ICMP internet控制报文协议，分为差错报文，询问报文。BGP 外部网关路由协议，实现资质系统间无环路的域间路由。重传机制是保护正TCP可靠性的重要措施。控制拥塞方法：慢开始，拥塞避免，快重传，快恢复。连续收到三个重复ACK即可断定有分组丢失。UDP特点：发送数据前不需要建立连接，UDP主机不需要维持复杂的连接状态表UDP用户数据报只有8个字节的首部开销，网络出现拥塞不会使源主机发送速率降低，有利于实时应用。TCP的应用层协议：SMTP，TELNET，HTTP，FTPUDP的应用层协议：DNS，TFTP，RIP，BOOTP，DHCP，SNMP，NFS，voIP，IGMP域名不区分大小写，完整域名不超过255字符。全世界有13个根域名服务器，名字为a到m，1个为主根服务器在美国，其余12个为辅根服务器，9个在美国，2个在欧洲，1个在日本。 DNS采用分区的办法来设置域名服务器。域名解析方式：递归查询，迭代查询。递归查询：首先向本地域名服务器请求，如果本地没有，他作为DNS客户向根域名服务器发出请求，依次完成。迭代查询：根域名服务器收到本地域名服务器其查询请求时，根据请求告诉本地域名服务器下一步应该去查询的顶级域名服务器IP，接着本地域名服务器到该顶级域名服务器进行查询，依次工作。邮件发送协议：SMTP 邮件接收协议：POP3、IMAP4 。PGP协议功能包括加密，鉴别，电子签名和压缩等技术。保证了电子邮件的安全性，报文完整性和送达方鉴别。PEM协议是因特网的邮件加密建议标准。FTP文件传输协议，FTP是一个交互会话系统，FTP的客户和服务器之间建立两个TCP连接，一个控制连接，一个数据连接，控制连接在整个会话期间一直打开着，文件传输完毕后，数据连接关闭，但是控制连接不一定关闭。传输层使用TCP。FTP两种模式：标准模式，被动模式。TFTP简单文件传输协议，传输层使用UDP数据包，需要有自己的差错改正措施。P2P优势：非中心分散化，扩展性，健壮稳定性，资源共享，优化传播速度。NAT，IP转换功能，本地地址，全球地址转换。静态NAT分类：静态NAT，动态地址NAT，端口地址转换PAT。动态方式：以地址池的方式。网络安全事件：信息泄露事件，网络故障事件，恶意代码事件，漏洞利用事件。中华人民共和国网络安全法：1用户不实名禁止提供服务，2阻断违法信息传播，3重大事件时候可限制网络，4出售公民个人信息最高10倍违法所得罚款。APT：一种以商业或者政治目的为前提的特定攻击，通过一系列具有针对性的攻击行为以获取重要信息，特别是针对国家重要的基础设施和单位开展攻击。APT三个阶段：攻击前准备，攻击入侵阶段，持续攻击阶段。APT五个步骤：情报收集，防线突破，通道建立，横向渗透，信息收集及外传。APT攻击特点：全球性，有组织，团体，敌对者，特定目标攻击，针对国家安全信息，重要商业秘密等，攻击手段复杂，形式多样，结合0day，特种木马攻击，社工，攻击时间长，潜伏期长，多次渗透攻击，攻击特征弱，隐蔽，缺少样本数据，很难被检测。科研机构受APT攻击最多，其次是政府机构，能源企业第三。APT攻击发展趋势：持续以政治，经济，科研，军工等热点行业为目标。暗网：存储在网络数据库里，不能通过链接访问而需要通过动态网页技术访问的资源集合，不属于那些可以被搜索引擎索引的表面网络。网络三层：表层网络，深网，暗网。暗网威胁：泄露敏感信息，洗钱，贩卖违禁品，枪支，假币，伪造身份证等。信息安全：信息的完整性，可用性，保密性，可靠性。控制安全：身份认证，不可否认性，授权和访问控制。互联网安全问题：1信息泄露，信息污染，信息不受控。2处于特殊目的的信息泄露，信息破坏，信息侵权和意识形态渗透，政治颠覆活动。3控制权分散问题导致信息安全问题变得广泛而复杂。4核心控制系统面临恶意攻击风险，包括通讯，动力控制网，金融系统，政府网站等等。我国网络安全问题突出：1计算机遭受病毒和破坏情况相当严重。2黑客活动形成重要威胁。3信息基础设施面临网络安全挑战。4网络政治颠覆活动频繁。制约我国网络安全的因素：1缺乏自主的计算机网络和软件核心技术。2安全意识淡薄是网络安全的瓶颈。3运行管理机制的缺陷和不足制约安全防范的力度。4缺乏制度化的防范机制。检测网络监听的手段：反应时间，DNS测试，利用ping监测，利用ARP数据包进行监测。口令攻击类型：字典攻击，强行攻击，组合攻击。Email口令破解：利用邮件服务器操作系统漏洞，利用邮件服务器本身漏洞，在邮件的传输过程中窃听。对服务器实施拒绝攻击两种方式：1服务器的缓冲区满，不接收新的请求。2使用IP欺骗，破事服务器把合法用户的连接复位，影响合法用户链接。拒绝服务攻击类型：消耗资源，破坏或更改配置信息，物理破坏或改变网络部件，利用服务程序中的处理错误使服务失败。服务端口攻击：同步风暴（SYNFlooding），Smurf攻击，利用处理程序错误的拒绝服务攻击。同步风暴攻击特点：针对TCP/IP协议的薄弱环节进行攻击，发动攻击时，只要很少的数据流量就可以产生显著的效果，攻击来源无法定位，在服务端无法区分TCP链接请求合法性。同步风暴应对：优化系统配置，优化路由器配置，完善基础设施，使用防火墙，主动监视。Smurf攻击：结合了IP欺骗和ICMP回复方式使用大量网络数据充斥目标系统，引起目标系统拒绝正常服务。应对Smurf攻击措施：被攻击者利用进行攻击的中间网络应采取措施，禁止IP广播包。被攻击目标应采取措施：与ISP协商，由ISP暂时阻止流量。攻击者攻击实际发起的网络采取措施：使用过滤技术减少伪造发生的可能性。利用处理程序错误的拒绝服务攻击：1Ping of Death 2 Teardrop 3Winnuke 4Land低速率拒绝服务攻击LDOS防范：基于协议的LDos攻击防范，基于攻击流特征检测的防范。被DDOS攻击的现象：1被攻击主机有大量TCP链接。2大量到达数据分组并不是网站服务链接的一部分，往往指向机器的任意端口。3网络中充斥大量无用数据包，原地址为假。4制造高流量的无用数据，造成网络拥塞。5利用受害主机服务缺陷反复发出服务请求无法提供正常服务。6严重时造成死机。漏洞攻击：exploit攻击，缓冲区溢出攻击。系统漏洞：windows常见漏洞；系统热键漏洞，重定向漏洞，资源管理器内存破坏漏洞，帮助支持中心接口欺骗漏洞，ANI安全漏洞。僵尸网络（Botnet）：采用一种或多种传播手段，将大量主机感染bot程序，从而在控制者和被感染者之间形成的一个可以一对多控制的网络。Botnet工作过程包括：传播，加入和控制。传播过程的几种手段：主动攻击漏洞，邮件病毒，即时通讯软件，恶意网站脚本，特洛伊木马。僵尸网络防御方法：使用蜜网技术，网络流量研究，IRCServer识别技术。网络钓鱼防范技巧：申请安装数字证书，规范使用操作。网络欺骗：ARP欺骗，DNS欺骗，IP欺骗，Web欺骗，Email欺骗。ARP欺骗的防范措施：固化ARP表，使用ARP服务器，双向绑定，ARP防护软件。Web欺骗的方法和手段：改写URL，特殊网页假象。执行Email欺骗的三种方法：相似的email地址，修改客户邮件，远程联系，登录到端口25。网站威胁：SQL注入攻击，跨站攻击XSS，旁注攻击。SQL注入过程：1发现sql注入位置;2判断后台数据库类型;3确定XP_CMDSHELL可执行情况;4发现WEB虚拟目录;5上传ASP木马;6得到管理员权限。跨站攻击方式：盗取cookie信息，XST攻击。XST：攻击者将恶意代码嵌入到一台已经被控制主机的Web文件，当访问者浏览时恶意代码在浏览器执行，然后访问者的cookie，http基本验证及验证信息将被发送到控制主机。XSS和脚本注入的区别：脚本注入会把插入的脚本保存在被修改的远程Web页面，XSS脚本是临时的，执行后消失。可以被插入远程页面的主流脚本：HTML，Java，VB，ActiveX，Flash。跨站攻击的防范：服务器设置，硬盘权限，组件安全，IIS用户，服务器安全和性能，本地安全策略和系统服务设置。旁注攻击抵御方式：设置IIS单用户权限，阻止非法用户运行CMD，利用端口转发技术。阻止入侵者得知服务器IP，迷惑whois查询，将自己服务器IP地址进行隐藏。社会工程学：使人们顺从你的意愿，满足你的欲望的一门艺术和学问。WEP安全漏洞：加密算法漏洞，秘钥管理漏洞，身份认证漏洞。OpenSSL安全漏洞：计时攻击缺陷，分之预测缺陷，故障分析缺陷，单/双字节偏差缺陷，伪随机数生成器缺陷，PaddingOracle缺陷，Heartbleed缺陷，中间人攻击缺陷，拒绝服务缺陷。网络防御：防火墙，入侵检测，VPN，安全扫描，风险评估，网络蜜罐技术，常见的安全协议。防火墙：一种静态安全技术，实现网络安全策略，其安全规则由匹配条件和处理方式两部分组成。防火墙处理方式：Accept，Reject，Drop。防火墙访问控制包括：服务控制，方向控制，用户控制，行为控制。防火墙功能：1设立单一阻塞点，禁止未授权用户进入网络。2提供监控安全事件的地点，可以实现安全问题检查和警报。3地址转换功能，审查记录日志功能。4可以作为IPSec平台，实现虚拟专用网。防火墙局限性：不能防御内部威胁，不能消除内部威胁，不能防止病毒感染的程序和文件进出网络。防火墙分类：个人防火墙，企业防火墙，软件防火墙，硬件防火墙。按照技术分类：数据包过滤，应用层网关，电路层网关。堡垒主机（BastionHost）可以直接面对外部用户攻击的主机系统，处于内部网络边缘，暴露于外部网络。双重宿主主机（DualHomedHost）至少拥有两个网络接口的计算机系统，一个接口内网，一个接口外网。周边网络（DMZ）指在内部网络，外部网络之间增加的一个网络。对外提供各种服务的服务器可以放在这里。防火墙经典结构：双重宿主主机，被屏蔽主机体系结构和被屏蔽子网体系结构。防火墙配置和应用：连接线路，配置网络接口，测试网络连通性，配置路由算法，路由器的访问控制。安装堡垒主机步骤：选择合适的物理位置，选择合适的硬件设备，选择合适的操作系统，注意堡垒主机的网络接入位置，设置堡垒主机提供的服务。硬件防火墙规则包括：源对象，目的对象，源端口，目的端口，协议和时间。收到数据包防火墙的处理顺序：1数据包是ARP/RARP，如果设置了透明，在设置透明的网卡之间转发，否则丢弃。2数据包若为IP包，匹配IP和MAC地址绑定规则，通过则继续。3数据包是IP广播包或多播包，如设置了透明，且IP广播包多播包允许，则在设置透明的网卡之间转发IP包，否则丢弃。4如果是普通IP包，匹配防火墙具体规则从而判断如何处置。入侵检测与防护。入侵后果严重程度看，分类：拒绝服务攻击，获取权限攻击，毁坏数据，获得系统控制权。入侵的来源：外部入侵者，内部入侵者。入侵检测基本模型是PDR模型，其思想是防护时间大于检测时间和响应时间。P2DR模型：Policy策略 Protection防护Detection检测 Response响应。入侵检测技术分类：异常入侵检测和误用入侵检测。入侵检测系统的主要功能：1监视并分析用户和系统的活动，查找非法用户和合法用户的越权操作。2检测系统配置的正确性和安全漏洞，并提示管理员修补漏洞。3对用户的非正常活动进行统计分析，发现入侵行为的规律。4检查系统程序和数据的一致性与正确性，计算和比较系统的校验和。5实时对检测到的入侵行为作出反应。6操作系统审计跟踪管理。入侵检测系统要素：1目标系统里需要保护的资源。2标记和这些资源相关的“正常”“合法”的行为模型。3比较已经建立的模型和收集到的行为之间差别的技术。入侵检测系统体系结构分类：基于主机型，基于网络型，基于主体型的。单独依靠主机审计信息进行入侵检测难以适应网络安全的需求，主要表现在：1主机的审计信息弱点，容易受攻击，入侵者可以通过使用系统特权或调用比审计本身更低级的操作来逃避审计。2不能通过分析主机的审计记录来检测网络攻击。异常检测的方式：统计方法，预测模式生成，专家系统，神经网络，用户意图识别，数据挖掘和计算机免疫学方法。异常入侵检测缺点：1在不同工作环境下，正常特征选取有很大不同。2阈值的正确确定非常困难。3用户行为经常动态改变。4需要通过关联分析多个数据包或事件才能检测出异常行为。5基于统计的系统一般来说训练时间比较长。入侵者可以逐步更新用户模型使系统误认为其行为正常。Snort：开源网络入侵检测系统，可以执行实时流量分析和Ip协议网络数据包记录。Snort主要模式：嗅探（Sniffer），包记录（PacketLogger），网络入侵检测（NetworkIntrusionDetection）。Snort组成：嗅探器，预处理器，检测引擎，输出。VPN：依靠ISP或NSP在公网中建立专用的，安全的数据通讯通道技术。VPN安全机制：隧道技术，加解密技术，秘钥管理技术，身份认证技术。VPN可以通过ISAKMP/IKE/Oakley 协商确定可选的数据加密算法，其中包括：DES，3DES，AES。3AES加密数据块长度64比特位，密码长度112比特位。AES密码长度和加密数据长度均可变。隧道协议：PPTP，L2TP，IPSec。安全扫描：漏洞扫描，端口扫描，密码类扫描，风险评估。主流扫描工具：Nmap，Nessus，X-Scan。安全协议：IPSec，SSL，PGP，TLS，IEEE802.1，WEP，WPA，RADIUS，Kerberos，X.509，S/MIME，SSH。802.1认证过程三部分：认证系统，客户端系统，认证服务器。WEP基于RC4算法用相同的秘钥加密和解密，用开放系统认证和共享秘钥认证进行认证。WPA（Wifi ProtectedAccess）继承了WEP基本原理又解决了WEP缺点的一种新技术，加强了生成加密秘钥的算法，几遍收集分组信息并对其解析，也几乎无法计算出通用秘钥。WEP是数据加密算法，不是用户认证机制。RADIUS：即远程认证接入用户服务，是一种提供在网络接入服务器和共享认证服务器间传递认证，授权和配置信息等服务的协议。Kerberos：一种应用于分布式网络环境，以对称密码体制为基础，对用户及网络连接进行认证的增强网络安全的服务。SSH连接建立过程：协议版本协商，会话加密初始化，认证，会话模式。蜜罐：一种主动防御技术，入侵检测的一个重要发展方向，专门吸引诱骗非法闯入者。蜜罐优点：使用简单，资源占用少，数据价值高。蜜罐缺点：数据收集面窄，给使用者带来风险。蜜罐分类：低交互蜜罐，中交互蜜罐，高交互蜜罐。蜜罐技术分类：牺牲型蜜罐，外观型蜜罐，测量型蜜罐。蜜罐基本配置：诱骗服务，弱化系统，强化系统，用户模式服务器。蜜罐产品：DTK，Specter，Honeynet。匿名网络Tor:是第二代洋葱路由的一种实现，用户通过Tor可以在因特网上进行匿名的交流。Tor是一个能抵御流量分析的软件项目。洋葱代理使用源路由方式随机选择洋葱路由器组成匿名传输路径。Tor安全缺陷：Tor的威胁模型是一个较弱的威胁模型，是一个不够安全的威胁模型，实际上，Tor的匿名性并没有那么好，作为一种低延时匿名系统，Tor的目标是抵御非全局的主动或被动攻击。针对Tor的攻击有两种：时间攻击，通讯流攻击。灾难是指导致信息系统丧失技术服务能力的事件。用于备份的设备：硬盘，光盘，磁带。备份方式：完全备份，增量备份，差异备份。网络备份中常见存储架构：NAS，SAN。NAS：网络附加存储，适应信息存储和共享的应用需求，现代企业级备份常用方案。SAN：存储区域网络，是一种在服务器和外部存储资源之间实现高速可靠访问的专用网络。网络安全防范意识与策略：保证通讯安全，保证信息安全，加强安全保障（检测，响应，恢复）。计算机病毒的破坏：恶意攻击，人为失误，软件漏洞。局域网安全防范策略：物理安全策略，划分vlan防止监听，网络分段，交换机代替集线器，访问控制策略，使用数字签名，用户管理策略，使用代理服务器，防火墙控制，入侵检测，定期进行漏洞安全扫描，建立完善的网络安全响应机制，使用VPN。无线网分类：WWAN无线广域网，WMAN无线城域网，WLAN无线局域网，WPAN无线个域网。无线网络拓扑结构：集中式，分散式，分布式。无线网络安全威胁：无线窃听，假冒攻击，信息篡改，服务抵赖，重放攻击，认证及秘钥的攻击类型，无线传感器网络节点劫持sybil攻击，无线传感器网络虫洞攻击，2G伪基站攻击，NFC特殊攻击，RFID特殊攻击。无线网络在信息安全方面特点：1无线网络的开放性使得其容易受到恶意攻击。2无线网络的移动性使得安全管理的难度更大。3无线网络动态变化的拓扑结构使得安全方案实施难度变大。4传输信号不稳定性带来的健壮性问题。无线网络的脆弱性：有其媒体的开放性，终端的移动性，动态变化的网络拓扑结构，协作算法，缺乏集中监视管理。网络节点通常具有如下特点：计算能力弱，存储空间有限，持续供电时间短，容易被盗丢失损坏。无线网络安全方案设计策略：1分析对系统的假设和约定。2分析网络的体系结构。3分析网络的业务构成，设计的实体。4分析网络和系统中的信任模型。5分析攻击网络和系统的敌手模型，内部or外部。6从存在的威胁中归纳出共性的安全需求。7根据以上步骤归纳安全需求，网络体系结构。无线网络安全方案涉及策略：1安全策略2效率策略3兼容性，可移动性和可扩展性。无线网络安全机制：WPKI无线公开秘钥体系，WEP有线等效保密协议，WPA/WPA2 wifi安全接入，WAPI无线局域网鉴别和保密体系。无线传感器网络安全：秘钥管理，身份认证，数据加密，攻击检测和抵御，安全路由。第四章 信息系统安全基础计算机安全的定义包括：计算机实体及其信息的完整性，机密性，抗否认性，可用性，可审计性，可靠性等几大关键因素。电磁泄露的处理方法：1低泄射产品2电磁干扰器3处理涉密信息的电磁屏蔽室技术4其他的防泄露技术。物理安全：场地安全，设备安全，介质安全。机房安全从以下几方面考虑：1供配电系统2防雷接地系统3消防报警及自动灭火系统功能4门禁系统5保安监控系统设备安全：1设备防盗2设备防毁3防止电磁信息泄露4防止路线截获5抗电磁干扰6电源保护。计算机电磁干扰主要来源：工业电气设备干扰。主要来源：工频干扰，开关干扰，放电干扰，射频干扰。容错目标：数据的完整性，数据的可用性。容错系统工作方式：自动侦测，自动切换，自动恢复。容错系统设计原则：1冗余性2预防性3恢复性。冗余技术：1硬件冗余2堆积冗余3待命储备冗余4混合冗余。硬件容错：双CPU容错系统，双机热备份，三级表决系统，集群系统。软件容错：一是对软件自身故障的处理，二是使用软件对系统中出现的其他故障进行处理。数据备份方式：完全备份，增量备份，差分备份，渐进式备份，数据恢复，容灾技术，容灾与备份的区别，数据纠错技术。操作系统面临的安全威胁：不合理的授权机制，不恰当的代码执行，不恰当的主体控制，不安全的进程通讯IPC，网络协议安全漏洞，服务的不当配置。按照威胁的行为方式划分：切断，截取，篡改，伪造。操作系统面临的威胁：1计算机病毒2逻辑炸弹3特洛伊木马4后门5隐蔽通道。安全模型：状态机模型，信息流模型，无干扰模型，不可推断模型，完整性模型。操作系统面临的安全威胁：不合理的授权机制，不恰当的代码执行，不恰当的主体控制，不安全的进程间通讯，网络协议的安全漏洞，服务的不当配置。威胁的行为方式：切断，截取，篡改，伪造。BLP模型（Bell-LaPadula）模型与1973年提出的对应于军事类型安全秘密分类的计算机操作系统模型。BLP是最早的一种计算机多级安全模型。Biba模型：1977年提出的第一个完整性安全模型。BLP模型通过防止非授权信息的扩散保证系统的安全，但它不能防止非授权修改系统信息。Biba模型提出三种策略：下陷标记策略，环策略，严格完整性策略。Clark-Wilson模型：核心在于以良构事物和任务分离机制来保证数据的一致性和事物处理的完整性。RBAC模型：基于角色的存取控制模型，主要用于管理特权，在基于权能的访问控制中实现职责隔离及极小特权原理。RBAC包含基本要素：用户，主题进程集，角色集，操作集，操作对象集。DTE模型：域类增强模型，1991年提出的访问控制技术，它通过赋予文件不同的类型，赋予进程不同的域来进行访问控制，从一个域访问其他的域以及从一个域访问不同的类型都要通过DTE策略的控制。中国墙模型：对数据的访问控制是根据主题已经具有的访问权力来确定是否可以访问当前数据。模型的基本思想只允许主体访问与其所拥有的信息没有利益冲突的数据集内的信息。中国墙的含义:最初，一个主题可以自由选择访问任何客体，一旦主体访问了某个企业数据集内的客体，它将不能再访问这个利益冲突中其他企业数据集内的客体。安全操作系统支持哪些安全模型是由安全需求决定的。操作系统的安全机制：标识与鉴别机制，访问控制机制，最小特权管理，可信通路机制，运行保护机制，存储保护机制，文件保护机制，安全审计机制。文件保护机制：文件备份，文件恢复，文件加密。操作系统设计基本原则：隔离性，完整性，可验证性。最小特权原则是系统安全中最基本的原则之一。文件保护机制：文件备份，文件恢复，文件加密。安全操作系统考虑到以下因素：1实现通用操作系统中的基本安全安全功能，保护各个过程相互隔离，每个过程都有独立运行的安全空间。2安全性在安全操作系统中的实现，即安全内核的设计。操作系统安全增强技术：增强对用户的身份鉴别，增强对访问的控制，审计增强，安全管理增强，多管理员增强，自动化辅助管理。数据库安全涉及：物理数据库的完整性，逻辑数据库的完整性，元素安全性，可审计性，访问控制，身份认证，推理控制，多级保护，消除隐通道。数据库安全模型：最小特权模型，最大共享原则，开放系统原则和封闭系统原则。数据库安全策略实施：子模式法，SQL修改查询法，集合法，请求排序法。数据库管理体系结构：可信主体结构，TCB子集结构，完整性锁结构。推理通道：演绎推理通道，不明推理通道，概率推理通道。产生推理通道的原因：函数依赖与多值依赖，取值约束，实体完整性约束，分级约束，组合查询推理，统计数据库推理。数据库备份：冷备份，热备份，逻辑备份。数据库恢复：基于数据转储的恢复，基于日志恢复，基于检测点恢复，基于镜像数据库的恢复。恶意代码产生原因：经济利益驱动，政治军事目的，计算机爱好者，技术交流炫耀。恶意代码共同特征：具有恶意目的，自身是计算机程序或代码，通过执行发生作用。常见木马后缀：win32，worm，trojan，script，vbs，macro，backdoor，harm，joke，binderCARO计算机反病毒研究组织。计算机病毒特点：传播性，程序性，破坏性，非授权性，隐蔽性，潜伏性，可触发性，不可预见性。计算机病毒生命周期：潜伏阶段，传播阶段，触发阶段，发作阶段。计算机传播途径：通过软盘，光盘传播，通过移动存储介质传播，通过网络传播。远程控制木马的两种连接方式：正向连接，反向连接。远控木马常见控制功能：主机信息管理，文件系统管理，屏幕监视与控制，密码截获，注册表管理，服务管理，进程管理，shell控制，键盘记录。远控木马其他功能：隐藏功能，自启动功能，卸载功能。后门：绕过系统中常规安全控制机制而获取对特定软件或系统的访问权限的程序，它按照攻击者自己的意图提供通道。恶意代码通常对主机做如下修改：添加文件到系统中，对磁盘扇区进行修改，修改主机系统中文件，在系统中写入启动项。恶意代码运行过程中产生的影响：修改系统函数功能，修改系统内核数据结构，创建恶意进程或线程，启动服务，装载驱动程序，对本系统或其他系统进行破坏。典型反病毒技术：特征值查毒，校验和技术，启发式扫描技术，虚拟机技术，行为监控技术。计算机取证：将计算机调查和分析技术应用于对潜在的，有法律效力的证据的确定与提取上。动态观点看计算机取证：在犯罪过程中或之后收集证据的技术，需要重构犯罪行为，将为起诉提供证据，对计算机网络取证较为困难，完全依靠所保护的犯罪场景的信息质量。计算机取证步骤：准备工作，保护目标计算机，确定电子证据，收集电子证据，保护电子证据。计算机取证分析技术：对比分析关键字，文件特征分析，密码破译，数据恢复与残留数据分析，磁盘备份文件，镜像文件，交换文件，临时文件分析技术，日志文件分析，相关性分析。智能卡用途：身份识别，支付工具，加密解密，信息存储。USB key认证特点：双因子认证，带有安全存储空间，硬件实现加密算法，便于携带，安全可靠，身份认证模式。USB key安全漏洞：交互操作存在漏洞，黑客意义远控。无法防止数据被篡改。智能终端软件系统：winCE，Palm OS， Pocket PC，Windows Phone，安卓，IOS。电力工控系统安全威胁：内部人为风险，黑客攻击，病毒破坏，预设陷阱。第五章 应用系统安全基础Web安全威胁：可信任站点漏洞，浏览器插件漏洞，终端用户，可移动存储设备，网络钓鱼，僵尸网络，键盘记录程序，多重攻击。Web访问控制技术：通过IP，子网域名控制，通过用户名口令控制，通过公钥加密控制。网页防篡改技术：时间轮询技术，核心内嵌技术，事件触发技术，文件过滤驱动技术。Web内容安全：邮件过滤技术，网页过滤技术，反间谍软件。电子商务安全需求：交易实体身份可认证需求，信息保密需求，信息完整性需求，交易信息不可抵赖需求，有效性，访问控制性。安全认证体系：身份认证技术，数字证书技术。电子商务安全服务协议：SET协议。认证技术设计证书信息：持卡人证书，商家证书，支付网关证书，发卡行证书，认证信息。SET证书安全分析：机密性，数据完整性，身份验证，不可否认性，证书发行，证书更新，证书撤销，证书链确认。SSL工作流程：网络连接建立，选择加密方式压缩方式，双方身份识别，确定本次传输秘钥，加密传输数据，关闭网络连接。SSL是两层协议：握手层协议，记录层协议。信息隐藏的分类：按载体分，按嵌入域分，按密钥分。信息隐写技术特点：透明性（隐蔽性），鲁棒性，不可检测性，安全性，自恢复性，对称性，可纠错性。信息隐藏应用领域：数据保密，数据不可抵赖，版权保护，防伪，数据完整性。网络舆情表现方式：新闻评论，BBS，博客，播客，RSS，新闻跟帖，转帖。网络舆情特点：直接性，随意性，多元性，突发性，隐蔽性，偏差性。网络舆情诱发因素：社会突发公共事件，虚假信息，不良信息。网络舆情监测技术：舆情采集提取额，话题发现与追踪，舆情倾向性分析，多文档自动文摘技术。网络舆情预警措施：指定应急预案，加强监测力度，建立完善公共危机信息通报机制，部门联动，分工协作。隐私：个人隐私，通信内容隐私，行为隐私。隐私泄露方式：互联网服务，智能终端，黑客攻击，管理者监听。=第六章 网络安全技术与产品安全服务：认证，访问控制，数据完整性，数据保密性，抗抵赖，审计和可用性。网络安全设计原则：最小权限原则，纵深防御原则，防御多样性原则，防御整体性原则，安全性与代价平衡原则，网络资源的等级性原则。校园网网络安全威胁因素：对网络硬件设备的破坏，窃取，干扰网络传输介质承载信号，对邮件服务器进行攻击，对应用服务器攻击，管理者和使用者威胁。网络流量监测：负载监测，性能分析，网络纠错，网络优化，业务质量监视，流量计费，入侵监测，协议调测。网络流量监控内容：流量大小，吞吐量，带宽情况，时间计数，延迟情况，流量故障网络流量监控技术：基于数据采集探针的监测技术，基于SNMP RMON流量监测技术，基于Netflow流量监控技术，基于实时抓包的流量监控技术。协议分析：深度流监测技术DFI，深度包检测技术DPI。网络协议分析工具：sniffer，wireshark，Nbar，MRTG。网络安全风险评估基本原则：标准性原则，关键业务原则，可控性原则，最小影响原则。资产识别：资产分类，资产调查，资产赋值，资产赋值报告。威胁识别：威胁分类，威胁调查，威胁分析，威胁分析报告。脆弱性识别主要方法：文档查阅，问卷调查，人工核查，工具检测，渗透测试。网络安全漏洞扫描：发现目标主机或网络，进一步收集