1 概述

什么是信息安全：

本质上：

保护系统的硬件，软件，数据、
防止系统和数据遭受破坏，更改，泄露、
保证系统连续可靠正常地运行，服务不中断

两个层面：技术层面管理层面

信息安全基本目标

CIA：
机密性（Confidentiality）
完整性（Integrity）
可用性（Availability）

网络空间四要素（简答题）

网络空间资源：数据，也叫网络操作对象
网络空间载体：设施
网络活动主体：用户
网络活动形式：操作

网络空间的定义

是一个人造的电磁空间，以。。。(如各种计算机系统、互联网、各种通信系统和电信网。。。)为载体，用户通过在其上对数据进行创造、存储、改变、传输、使用、展示等操作，以实现特定的信息通信技术活动

网络空间安全的四层次模型（选择）

信息系统都会涉及的四个层面：

设备层：电磁设备
系统层：电子信息系统
数据层：运行数据
应用层：系统应用

网络空间安全四大基础构建模块（选择）

信息安全
应用安全
网络安全
因特网安全

2 风险管理

重点

风险管理的定义
安全风险分析思路
安全风险分析处置

风险定义

人为的或自然的威胁，利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。

只考虑那些对组织产生负面影响的事件。

了解风险+控制风险=管理风险

风险识别（简答题）

包含：

资产：任何对组织有价值的东西，是要保护的对象。
脆弱性：与信息资产有关的弱点或安全隐患。
威胁：一切导致安全事件发生的原因

什么是风险管理（简答题）

识别、控制、消除或者最小化可能影响系统资源的不确定因素的过程。
在组织机构内部识别、优化、管理风险，使风险降低到可接受水平的过程。

常用的四类风险处置方法

减低风险
转移风险
规避风险
接受风险

风险评估、检查评估、等级保护测评

检查评估和等保测评在底层，都是符合性测评

风险评估在这俩上层

等级保护测评：符合国家安全要求的测评
检查评估：符合行业主管安全要求的测评
风险评估：以被评估系统特定安全要求为目标展开的风险识别、风险分析、风险评价

风险评估流程（小心简答题）

风险评估准备
风险要素识别
风险分析
风险处理

国产化替代

替代的是被垄断的国外产品

3 网络空间安全保障和安全运维

PDRR模型（简答题）

该模型强调的是自动故障回复能力

保护（Protect）
检测（Detect）
反应（React）
恢复（Restore）

数学模型

Pt：有效防御攻击的时间
Dt：发起攻击到检测到攻击时间
Rt：检测到攻击到处理完的时间
Et：暴露时间（在系统不安全的时候出现）

结果：

Pt > Dt+Rt ：系统安全
Pt < Dt+Rt 系统不安全，暴露时间Et = Dt + Rt - Pt

深度防御

信息保障技术框架（Information Assurance Technical Framework）

NSA制定的，为保护美国政府和工业界的信息与信息技术设施提供技术指南。
代表理论为“深度防御（Defense-in-Depth）”
在关于实现信息保障目标的过程和方法上，信息保障技术框架论述了
- 系统工程
- 系统采购
- 风险管理、鉴别和鉴定
- 生命周期支持
  等过程，指出了一条较为清晰的建设信息保障体系的路子。

什么是深度防御（简答题）

强调人、技术、操作这三个核心要素，从多种不同的角度对信息系统进行防护
关注四个信息安全保障领域：
- 本地计算环境
- 区域边界
- 网络和基础设施
- 支撑性基础设施
在此基础上，对信息系统可以做到多层防护，实现组织的任务/业务运作。

这样的防护被称为 “深度防护战略（Defense-in-Depth Strategy）”。

4 网络空间安全技术体系与技术

分为

网络空间安全技术体系
网络空间安全技术机制

安全机制和安全服务

1. 安全机制

保护和保障信息系统安全的一种和一类技术总称

八种基本的安全机制：

加密
数字签名
访问控制
数据完整性
鉴别交换
通信业务流填充
路由选择
公证

除此之外的安全机制：

安全审计跟踪等

1.1 加密机制

消息鉴别的三种方式：

Message encryption：用整个信息的密文作为鉴别标识
Hash function：将任意长度的消息映射在固定长度的字符上作为鉴别标识
MAC：一个公开函数，加上一个密钥产生一个固定长度的值作为标识

1.2 数据签名机制

作用：

身份鉴别
防假冒
抗抵赖
防数据篡改
在Web商务中有重大意义

性质：

抗抵赖性
不可伪造性
保证消息完整性

1.3 数据完整性机制

数据完整性包含有两种形式：
一种是数据单元完整性、一种是数据单元序列完整性

1.4 访问控制机制

访问控制模型：对一系列访问控制规则集合的描述，可以是非形式化的，也可以是形式化的。

2. 五种安全服务

加强数据处理系统和信息传输的安全性的一类服务，利用一种或者多种安全机制保障信息系统安全

五种安全服务：

鉴别服务
访问控制服务
数据机密性服务
数据完整性服务
抗抵赖性服务

日志或记录被视为一种安全机制，而分析和报告生成被视为一种安全管理功能。

完整的网络空间安全体系框架

技术体系
组织机构体系
管理体系

技术体系

技术机制、技术管理

组织机构体系

机构、岗位、人事三个模块构成一个体系

机构：决策层、管理层、执行层
岗位：信息安全管理机关设定的一个或几个安全事务的岗位
人事机构：对岗位上的在职、待职和离职的雇员进行素质教育、业绩考核和安全监管的机构

管理体系

是信息系统安全的灵魂。

分为法律管理、制度管理、培训管理

法律管理：根据国家法律、法规对信息系统主体及其外界关联行为进行的规范和约束
制度管理：信息系统内部依据系统必要的国家、团体的安全需求制定的一系列内部规章制度
培训管理是确保信息系统安全的前提

5 鉴别技术

鉴别可以对抗假冒攻击的危险

主动攻击和被动攻击

被动攻击：窃听，不对消息做出任何修改，不影响原来的业务流
主动攻击：阻断、伪造、重放

实现身份鉴别的途径

基于你知道的
- 口令、密码
基于你拥有的
- 身份证、钥匙等
基于你的个人特征
- 指纹、虹膜等

基于质询－应答的身份鉴别技术

基于质询—应答的身份鉴别在鉴别时，由验证者给声称者发送一个确定的值（质询消息），该值参与鉴别信息的运算。

产生的非重复质询消息完全由验证者决定，使得每次传输的鉴别信息不同。这能很好地防止口令窃听和重放，但需要额外的通信花销。

安全性

质询—响应的身份鉴别，其安全性取决于

散列函数的安全性；
由于是单向鉴别，还存在着验证者的假冒和重放攻击。

缺点

询问/应答方法不适应非连接性的应用，因为它要求在传输开始之前先有握手的额外开销，这就抵消了无连接通信的主要特点。

中间人攻击

2. 画图说明中间人攻击原理

在这里插入图片描述

6 访问控制技术

定义

访问控制：针对越权使用资源的防御措施

访问的三要素：

主体：用户、程序、进程等，可以操作客体的相关信息或数据
客体：文件、存储介质、程序、进程等，被操作的对象
访问操作：对资源的使用，读、写、修改、删除等操作

访问控制模型

对一系列访问控制规则集合的描述，可以是非形式化的，也可以是形式化的。

主体
客体
访问控制执行功能
访问控制决策功能常用实现方法：
访问控制表ACL：每个客体拥有的主体列表
访问能力表（Capabilities List)：每个主体有的客体列表
访问控制矩阵：每一行是能力表，每一列是访问控制表访问控制矩阵：每一行是一个主体（用户），每一列是一个客体（文件、资源等）。
同时，单独看每一列是一个访问控制表，每一列是一个能力表。

访问控制模型的分类

自主访问控制模型（DAC）
强制访问控制模型（MAC）
基于角色的访问控制模型（RBAC）

1. 自主访问控制 DAC：Discretionary Access Control

DAC是一种分布式授权管理的模式
允许客体的创造者决定主体对客体的访问权限
使用访问控制表（Access Control Lists）、访问能力表（Capacity List）

2. 强制访问控制 MAC：Mandatory Access Control

每个主体和客体分配一个固定的安全级别，只有系统管理员才可以修改
只有在主体和客体的安全级别满足一定规则时，才允许访问
客体的属主无权控制客体的访问权限

四种强制访问控制策略规定：

主体对客体：下读/上写、上读/下写
将主体和客体分级，根据主体和客体的级别标记来决定访问模式。
通过梯度安全标签实现单向信息流通模式

其中上读：是指客体在主体之上时可以进行读取（向上读）

其余的类似

上读/下写：保证数据完整性，不保证数据机密性
下读/上写：保证数据机密性

Bell－LaPadula(BLP)模型

下读/上写
保证机密性
应用：防火墙

Biba模型

上读/下写
保证完整性
应用：Web服务器

Lattice模型

下读/下写
只有主体安全级别大于客体才能读写

3. 基于角色的访问控制 (Role Based Access Control)

7 防火墙技术

防火墙的定义（简答）

防火墙：网络间提供安全连接的设备，用于实现和执行网络之间通信的安全策略

防火墙的分类

从实现方式上：

硬件防火墙
软件防火墙

按发展阶段：

包过滤：网络层
应用代理：应用层
状态检测：2-4层也就是关注TCP连接的特性，关注整个连接
完全内容检测：工作在2-7层

防火墙的五个基本功能

过滤进出数据
管理进出访问行为
封堵某些业务
记录通过防火墙的信息内容和活动
对网络攻击的检测和告警

防火墙的常见功能

地址转换、访问控制、VLAN支持、带宽管理、入侵检测/攻击防御、用户认证、IP/MAC绑定

动态IP转换、数据库长连接应用支持、路由支持、ADSL拨号、SNMP网管支持、日志审计、高可用性

衡量防火墙性能的五大指标（简答题）

吞吐量
时延
丢包率
背靠背：考察防火墙为保证连续不丢包所具备的缓冲能力，当网络流量突增而防火墙一时无法处理时，可以把数据包先缓存起来再发送
并发连接数：穿越防火墙的主机之间或者主机和防火墙之间能建立的最大连接数

防火墙的接入方式

透明接入方式：防火墙相当于网桥，网络结构并没有变化
路由接入方式：防火墙相当于一个简单的路由器
混合接入方式：同一个防火墙包含了两种接入模式

混合接入的时候是对不同的子网是路由接入模式，同一子网是透明接入

企业防火墙的部署案例

8 入侵检测技术

定义

入侵检测（Intrusion Detection）：是对入侵行为的发觉。通过对计算机网络或计算机系统的关键点采集信息，发现网络或系统中否有违反安全策略的行为。
入侵检测系统（IDS）：是实现入侵检测功能的软件硬件的结合

入侵检测技术模型（三种）

通用入侵检测模型（Denning模型）
层次化入侵检测模型（IDM）
管理式入侵检测模型（SNMP-IDSM）

通用入侵检测模型（Denning模型）

层次化入侵检测模型IDM

管理式入侵检测模型（SNMP-IDSM）

定义了用来描述入侵事件的管理信息库（MIB）

入侵检测技术通用模型（CIDF）

事件生成器
事件分析器
事件数据库
事件响应器

入侵检测系统分类

1 按检测分析技术

1.1 异常检测：

首先建立起用户的正常使用模式，即知识库；
自适应、自学习功能；
实现难度较大

1.2 特征检测：

也称为误用检测
是针对已知（类似）的攻击行为和间接的违背系统安全策略行为的检测；
建立攻击和系统漏洞库是特征检测的基础。
准确率高、算法简单。
特征库要不断更新（动态性），无法检测新的入侵。

2 按检测范围

基于主机
基于网络
基于网络节点

2.1 基于主机的入侵检测系统

以代理软件的形式安装在主机或者服务器上

分为

网络连接检测
- 可以有效地检测出是否存在攻击探测行为，攻击探测几乎是所有攻击行为的前奏。
- 未经授权的连接也列入检测对象
主机文件检测
- 检测对象主要包括
  - 系统日志：不正常的反复登录失败记录、未授权用户越权访问重要文件、非正常登录行为
  - 文件系统：目录或文件被非正常地创建、修改或删除
  - 进程记录：进程被分解，致使程序中止

2.2 基于网络的入侵检测系统（优点和缺点注意）

以混杂模式接入网络
感应器可部署在网络的关键位置
将日志/告警信息发送至服务器

注意：

基于网络的入侵检测系统通常是作为一个独立的个体放置于被保护的网络上
使用原始的网络分组数据包作为进行攻击分析的数据源

优点：

不需重新配置或重定向日志机制即可快速获取信息；
实时监视与检测网络攻击或误用；
使用原始的网络分组数据包作为进行攻击分析的数据源
其部署不影响现有的网络架构或数据源；
与操作系统无关、不会增加系统开销。

缺点：

无法分析加密的数据；
从网络流量可以推断发生了什么，但不能判断结果
对全交换网络需要配置交换机端口镜像；
对于带宽的要求较高。

IDS的两个指标（小心简答）

漏报率
误报率

9 其他安全技术

安全隔离与信息交换系统（网闸）
入侵防御系统（IPS）
安全管理平台（SOC）
统一威胁管理系统（UTM）
网络准入控制（NAC）

入侵防御系统（IPS）

集入侵检测和防御于一体的安全产品，IPS是深层防御的最优方案

简单来说，可认为IPS就是防火墙+入侵检测系统

主要功能

识别对网络和主机的恶意攻击，并实时进行阻断；
向管理控制台发送日志信息；
集成病毒过滤、带宽管理和URL过滤等功能；

IPS不能影响业务系统的可用性、IDS仅关注自身功能的实现

网闸

定义：

在两个不同安全域之间的设备，通过协议转换的手段，以信息摆渡的方式实现数据交换。其信息流一般为通用应用服务。

网闸产品至少有两套主机和一个隔离部件

数据隔离交换过程如下：

统一威胁管理系统（UTM）

由硬件、软件和网络技术组成的具有专门用途的设备，它将多种安全特性集成于一个硬设备里, 构成一个标准的统一安全平台。

功能：

传统的防火墙功能；
入侵防御（IPS）功能；
防病毒功能；
端到端的IPSec VPN功能；
动态路由功能；
内容过滤功能。

网络准入控制(NAC)

确保进入网路的设备是否符合网络准入安全策略

主要功能：

认证与授权
扫描与评估
隔离与实施
更新与修复

包括：

身份鉴别
设备安全
网络安全

功能需求

10 虚拟专用网技术

什么是VPN

在公用网络上建立专用网络，进行安全通讯。

VPN网关通过对数据包的加密和数据包目标地址的转换实现远程访问。

常用的安全VPN协议（简答）

IPsec协议：主要工作在网络层
SSL协议：主要工作在传输层

VPN可以使用的五种协议

二层隧道协议
GRE协议
IPSec协议
SOCK v5协议
SSL协议

IPsec协议

IPsec是一个协议包，主要由三个主要的协议以及加密解密算法构成

ESP协议
密钥管理协议
AH协议

除此之外，还有一个Internet安全协商和密钥管理协议（ISAKMP）是IPsec的重要组件

安全协商和密钥管理协议提供了应用层服务的通用格式，支持IPsec协商方的密钥管理需求

AH协议

通过为IP数据包插入一个AH头来提供安全服务

AH可以为IP数据包提供

无连接完整性
数据起源鉴别
抗重放攻击

AH协议的工作模式

传输模式、隧道模式

IP封装安全载荷（Encapsulation Security Payload—— ESP）

ESP机制通过将整个IP分组或上层协议部分进行封装到一个ESP载荷之中，对此载荷进行安全处理，实现机密性和完整性保护
每个ESP的SA除了具备AH的全部功能以外还用于确保数据包的机密性，所以每一个ESP的SA都必须同时定义两个算法：

负责保护机密性的加密算法
负责进行身份验证的鉴别算法

ESP工作模式

传输模式和隧道模式

传输模式

隧道模式

此时的新IP头也是协议字段是50，表明是IP头之后的是一个ESP头

VPN通道建立的方式

Host对Host
Host对VPN网关

以上两种都：

要求两边的主机支持IPsec

VPN网关无要求是否支持IPsec

VPN对VPN网关：
- 不要求主机支持IPSec，VPN网关必须支持
Remote User对VPN网关：
- 不要求同关内主机支持IPSec

VPN的解决方案

连接分支机构（Intranet VPN）

连接合作伙伴（Extranet VPN）

连接远程用户（Access VPN ）

SSL协议

SSL协议：Secure Sockets Layer 安全套接层协议
用于Web浏览器和服务器之间的身份认证和加密数据传输

提供的服务：

认证用户和服务器，确保数据发送到正确的位置
加密数据防止数据被窃取
维护数据完整性，确保数据在传输过程中不被改变

SSL框架分为两层

第一层是用于通讯双方进行身份验证、协商加密算法、交换密钥
第二层是用来数据封装、压缩、加密等

HTTPS协议

建立一个安全通道，来保证数据传输的安全；当使用HTTPS时，下面的通信内容是被加密保护的，第三方即使截获，也没有任何意义

请求文档的URL
文档的内容
浏览器格式的内容
在浏览器和服务器之间传输的Cookies
HTTP报头的内容。

一般采用HTTPS的服务器都会从CA （Certificate Authority）申请一个用于证明服务器用途类型的证书。

该证书只有用于对应的服务器的时候，客户端才信任此主机。

所以所有的银行系统网站，关键部分应用都是HTTPS的。客户通过信任该证书，从而信任该主机

简答题

1 风险管理

常用的四类风险处置方法
画图分析安全风险的思路

2 鉴别技术

说明“质询-应答”的身份鉴别技术的原理

3 防火墙

给出防火墙的定义和五个考核指标
企业防火墙的经典部署方案

3 入侵检测技术

说明入侵检测技术的技术分类和数据来源分类
常用的入侵检测模型以及图示
网络入侵检测系统的缺点

4 虚拟专用网技术

常用的VPN技术有哪些，在什么层上工作
常用的VPN的五种协议
IPSec的结构

5 访问控制技术

强制访问控制的含义
自主访问控制和强制访问控制的区别
强制访问控制中数据保密性和数据完整性的具体模型
四种强制访问策略规定

6 其他安全技术

网络准入系统（NAC）的功能
网闸的定义

其他题

AES 对称加密的使用到的方法
数字签名的作用
数据机密性的机制
防止窃听的手段
入侵检测技术的两种类别及优缺点