信息安全三级技术

三级信息安全技术

安全基础

代码审计

白盒测试方法是针对Web系统的源代码进行全面的代码安全性分析和审查的方法，以全面检测分析Web应用程序的内部运作机制中存在的安全性问题。

时间、人物、事件

信息安全的发展大致经历了3个主要阶段：通信保密阶段、计算机安全阶段和信息安全保障阶段（通计信）

信息技术的产生和发展，大致经历了3个阶段：电讯技术的发明；计算机技术的发展；互联网的使用（电计互）

1949年，香农（Shannon）发表了著名的《保密系统的通信理论》的论文，把密码学置于坚实的数学基础之上，标志着密码学作为一门学科的形成

20世纪60年代末，美国出现了第一个用于军事目的的计算机网络ARPAnet

1972年，Anderson带领的小组完成了著名的Anderson报告，这个报告可以看做是计算机安全发展的里程碑，其中提出了计算机安全的主要问题以及相关的范型

成立于1984年的全国信息技术安全标准化技术委员会（CITS），是目前国内最大的标准化技术委员会。

1994年，美国联邦政府颁布数字签名标准（Digital Signature Standard，DSS）。

1998年5月22日，美国颁布了《保护美国关键基础设施》总统令，首次提出信息保障的概念，此后，美国国家安全局进一步制定了《信息保障技术框架》（IATF），提出了纵深防御策略的思想

2001年 高级加密标准在密码学中又称Rijndael加密法，由美国国家标准与技术研究院于2001年11月26日发布于FIPS PUB 197，并在2002年5月26日成为有效的标准。

我国的信息安全保障体系建设始于2003年9月，中央颁布的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发27号文件），标志着我国信息安全保障体系建设工作的开始

机构

全国信息技术安全标准化技术委员会（CITS）

与信息安全标准化有关的主要组织有：国际标准化组织（ISO）；国际电工委员会（IEC）；国际电信联盟（ITU）；Internet工程任务组（IETF）

中国信息安全测评中心英文名称：China Information Technology Security Evaluation Center 简称：CNITSEC

标准

GB/T 18336《信息技术安全性评估准则》标准的优点在于：提倡安全工程的思想，通过信息安全产品的评价，确保产品的安全性；通过参数化，解决了安全特性在不同产品与系统之间存在的差异；不再强调功能的级别，而是强调保证的级别，注重非技术性因素的评价；从两个侧面，即安全功能和安全保证方面，描述产品的安全模型，并覆盖了物理、网络、安全特性的三维安全框架结构的绝大部分内容；将公认的安全需求制定成相应的标准文档，用户可以直接使用，利于标准的推广以及用户间的共享；安全功能、安全保证及安全评价之间相互独立，安全功能需求定义了所期望的安全行为，安全保证需求是有效实施安全措施的基础，而安全评价则是测定安全功能需求与保证需求的可信程度

我国标准GB/T18336《信息技术安全性评估准则》等同采用ISO 15408标准

ISO 13335标准首次给出了关于IT安全的机密性、完整性、可用性、审计性、认证性、可靠性6个方面的含义，并提出了以风险为核心的安全模型

组织机构实施信息安全管理体系认证是根据国际上的信息安全管理标准——BS7799标准，建立完整的信息安全的体系。、

除了纵深防御这个核心思想之外，IATF还提出了其他一些信息安全原则，这些原则对指导我们建立信息安全保障体系都具有非常重大的意义。

（1）保护多个位置。包括保护网络和基础设施、区域边界、计算环境等。

（2）分层防御。如果说上一个原则是横向防御，那么这一原则就是纵向防御，这也是纵深防御思想的一个具体体现。

（3）安全强健性。不同的信息对于组织有不同的价值，该信息丢失或破坏所产生的后果对组织也有不同的影响。所以对信息系统内每一个信息安全组件设置的安全强健性（即强度和保障），取决于被保护信息的价值以及所遭受的威胁程度。

IATF将信息系统的信息保障技术层面划分成了四个技术框架焦点域：网络和基础设施、区域边界、计算环境和支撑性基础设施

微软公司漏洞分为：

第一级：紧急。

第二级：重要。

第三级：警告。

第四级：注意。

各种技术

特征码 signature指的是：安全厂商已知的所有威胁的特征码，特征码查毒方案实际上是人工查毒经验的简单表述，它再现了人工辨识病毒的一般方法，采用了“同一病毒或同类病毒的某一部分代码相同”的原理，也就是说，如果病毒及其变种、变形病毒具有同一性，则可以对这种同一性进行描述，并通过对程序体与描述结果（亦即“特征码”）进行比较来查找病毒。它是最基本的杀毒技术。

信息安全技术可以归纳为5类：核心基础安全技术、安全基础设施技术、基础设施安全技术、应用安全技术、支撑安全技术。

数据执行保护DEP（Data Execute Prevention）技术可以设置内存堆栈区的代码为不可执行状态，从而防范溢出后代码的执行。

结合了程序理解和模糊测试的方法，称为智能模糊测试（Smart Fuzzing）技术。模糊测试方法是应用最普遍的动态安全检测方法，但由于模糊测试数据的生成具有随机性，缺乏对程序的理解，测试的性能不高，并且难以保证一定的覆盖率。为了解决这个问题，引入了基于符号执行等可进行程序理解的方法，在实现程序理解的基础上，有针对性地设计测试数据的生成，从而实现了比传统的随机模糊测试更高的效率。

RADIUS是一种C/S结构的协议，它的客户端最初就是NAS服务器，任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。RADIUS协议认证机制灵活，可以采用PAP 、CHAP 或者Unix登录认证等多种方式。由于RADIUS协议简单明确，可扩充，因此得到了广泛应用，包括普通电话上网、ADSL 上网、小区宽带上网、IP电话、VPDN（Virtual Private Dialup Networks，基于拨号用户 的虚拟专用拨号网业务）、移动电话预付费等业务

安全监控包括恶意行为监控和网络内容监控，其中网络内容监控的主要方法是网络舆情分析。

污点传播技术是通过分析代码中输入数据对程序执行路径的影响，以发现不可信的输入数据导致的程序执行异常。

在计算机系统中，认证、访问控制和审计共同建立了保护系统安全的基础，其中认证是用户进入系统的第一道防线，审计是对认证和访问控制的有效补充。

目前流行的捆绑技术和方式主要有多文件捆绑、资源融合捆绑和漏洞利用捆绑3种。

特征检测又称误用检测，主要有以下五种方法：(1)基于专家系统的误用入侵检测；(2)基于模型推理的误用入侵检测；(3)基于状态转换分析的误用入侵检测；(4)基于条件概率的误用入侵检测；(5)基于键盘监控的误用入侵检测；

当客户端想与服务端建立连接时，它首先登录到FTP服务器，写主页空间上面的一个文件，并打开端口监听，等待服务端的连接，服务端定期用HTTP协议读取这个文件的内容，当发现是客户端让自己开始连接时，就主动连接，如此就可完成连接工作，因此，客户端必须有公网IP，且木马的服务端程序可穿透所在内网的包过滤防火墙。

静态安全分析技术检测源代码安全缺陷和漏洞的主要优势是不需要构建代码运行环境，分析效率高，资源消耗低。

危机管理的关键部分包括如下:核查人员;检查警报人员名单;检查紧急事件信息卡。

安全模型

P2DR模型是美国ISS公司提出的动态网络安全体系的代表模型，也是动态安全模型的雏形，它包括4个主要部分：策略、防护、检测和响应，策略是核心。

自主访问控制模型的实现机制通过访问控制矩阵实施，具体的实现办法是通过访问能力表或访问控制表来限定哪些主体针对哪些客体可以执行什么操作

信任模型是PKI原理中的一个重要概念，指建立信任关系和验证证书时寻找和遍历信任路径的模型。信任模型的类型有

1.单级CA信任模型

2.严格层次结构模型

3.分布式（网状）信任模型结构

4.Web模型

5.桥CA信任模型

6.用户为中心的信任模型

安全测试

安全测试不同于功能性测试，其主要目的是发现和消除在软件设计和编写中产生的安全隐患，为此安全测试往往需要从攻击者的角度开展测试，

通用的思路和方法有：构造畸形数据包做测试、对用户的输入进行全面检测、验证输入输出的文件、测试非正常的路径及其路径限制、全面测试异常处理、采用反汇编方式检测敏感信息

核心

漏洞利用的核心是shellcode

漏洞利用时都要利用shellcode代码，shellcode是一段机器指令，可实现攻击者指定的操作。漏洞利用的核心是利用程序漏洞去执行shellcode以便劫持进程的控制权。

信息安全技术的核心是密码

等级保护

信息安全等级保护的基本管理要求从安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理五个层面提出（制度、机构、人员、系统、运维）

信息安全等级保护的重要标准有：GB/T22239《信息系统安全等级保护基本要求》；GB/T AAAA-AAAA信息安全技术、信息系统安全等级保护定级指南；GB/T CCCC-CCCC信息安全技术、信息系统安全等级保护实施指南；《计算机信息系统安全等级保护测评准则》

信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度

《计算机信息系统安全保护等级划分准则》

初稿于2005年5月完成，其中提出了定级的四个要素：信息系统所属类型、业务数据类型、信息系统服务范围和业务自动化处理程度

主要的安全考核指标有身份认证、自主访问控制、数据完整性、审计

标准规定了计算机信息系统安全保护能力的五个等级

即第一级:用户自主保护级;

第二级:系统审计保护级;

第三级:安全标记保护级;

第四级:结构化保护级;

第五级:访问验证保护级;本标准适用于计算机信息系统安全保护技术能力等级的划分.计算机信息系统安全保护能力随着安全保护等级的增高,逐渐增强。

风险管理

风险管理阶段：风险识别、风险分析、风险应对和风险监控。

信息安全风险评估的复杂程度取决于受保护的资产对安全的敏感程度和所面临风险的复杂程度。

[+] 信息安全风险评估具有三种风险评估方法：基础风险评估、详细风险评估、基础风险评估和详细风险评估相结合

风险规避是风险应对的一种方法，是指通过计划的变更来消除风险或风险发生的条件，保护目标免受风险的影响。主要有：政策、培训和技术三种方法。

信息安全技术评估准则将评估过程分为两个部分：功能和保证

信息安全中的风险控制目标并不是将残留风险降为0，而是将残留风险保护在机构可以判定的范围内

识别和控制机构面临的风险的过程称为风险管理，这个过程中有两个主要任务：风险识别和风险控制。风险识别是检查和说明机构信息技术的安全态势和机构面临的风险，风险评估就是说明风险识别的结果；风险控制是指采用控制手段，减少机构数据和信息系统的风险，综上

信息安全风险评估的复杂程度将取决于风险的复杂程度和受保护资产的敏感程度,所采用的评估措施应与组织对信息资产风险的保护需求相一致。

事故响应阶段有：计划、检测、反应、恢复

信息安全风险评估的复杂程度将取决于风险的复杂程度和受保护资产的敏感程度,所采用的评估措施应该与组织对信息资产风险的保护需求相一致。风险评估主要对ISMS范围内的信息资产进行鉴定和估价,然后对信息资产面对的各种威胁和脆弱性进行评估,同时对已存在的或规划的安全管制措施进行鉴定。风险评估主要依赖于商业信息和系统的性质、使用信息的商业目的、所采用的系统环境等因素,组织在进行信息资产风险评估时,需要将直接后果和潜在后果一并考虑

风险分析主要分为定量风险分析和定性风险分析

可信计算

TCSEC《可信计算机评估准则》（TCSEC，也称为橘皮书），将计算机系统的安全划分为4个等级、7个级别。D类安全等级：D类安全等级只包括D1一个级别。D1的安全等级最低。C类安全等级：该类安全等级能够提供审慎的保护，并为用户的行动和责任提供审计能力，C类安全等级可划分为C1和C2两类。B类安全等级：B类安全等级可分为B1、B2和B3三类。B类系统具有强制性保护功能。A类安全等级：A系统的安全级别最高。目前，A类安全等级只包含A1一个安全类别

消息与信息

消息是信息的外壳，信息是消息的内核；
消息是信息的笼统概念，信息是消息的精准概念。

知识是从信息中抽象出的产物，是一种具有普遍和概括性的信息，是信息的一个特殊子集

信号是信息的载体，信息则是信号所承载的内容

数据是记录信息的一种形式，同样的信息也可以用文字或图像来表述

情报是指秘密的、专门的一类信息，所有的情报都是信息，但信息并不一定是情报

网络舆情是指在一定的社会空间内，通过网络围绕中介性社会事件的发生、发展和变化，民众对公共问题和社会管理者产生和持有的社会政治态度、信念和价值观。它是较多民众关于社会中各种现象、问题所表达的信念、态度、意见和情绪等等表现的总和。网络舆情分析是网络信息监控的主要方法。

信息安全基本属性

完整性、机密性、可用性、可控制性、不可否认性

PKI技术

随着IKI技术日趋成熟，许多应用中开始使用数字证书进行身份认证与数字加密

消息认证

验证所收到的消息确实来自真正的发送方，并且未被篡改的过程

访问控制

强制访问控制（Mandatory Access Control，MAC）是强加给访问主体的，即系统强制主体服从访问控制政策，属于强制访问控制模型的有：Bell-Lapudula模型（BLP模型）、Biba模型、Clark-Wilson模型、Chinese Wall模型，访问矩阵模型属于自主访问控制

访问控制在准则中被分为两类：自主访问控制（Discretionary Access Control， DAC）和强制访问控制（Mandatory Access Control， MAC)

可以分为三类：预防性的访问控制、探查性的访问控制、纠正性的访问控制。（预防探查纠正）

访问控制指按用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用。访问控制通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。按照实现方法，访问控制可分为如下三类：行政性访问控制、逻辑/技术性访问控制、物理性访问控制（行政逻辑物理）

访问控制依赖于四个原则：身份标识、验证、授权、责任衡量

基于角色的访问控制模型（RBAC）包括要素：用户、角色、许可等

访问控制对于保护客体(其信息和数据）的机密性、完整性和可用性是很有必要的。

在涉及访问控制管理时，这些原则转换为三个主要的职责:用户账户管理;操作跟踪;访问权利和许可权的管理。

集中式访问控制协议：TACACS、RADIUS、DIAMETER

访问控制管理是指按用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用。访问控制通常用于系统管理员控制用户对服务器、目录、文件等网络 的访问。访问控制管理主要依赖：用户账户管理、操作跟踪、访问权利和许可权的管理

基于矩阵的列的访问控制信息表示的是访问控制表（Access Control List，ACL），即每个客体附加一个可以访问它的主体的明细表

目前广泛使用的三种分布式访问控制方法为单点登录、Kerberos协议和SESAME

非集中式访问控制

Kerberos 是一种网络认证协议，其设计目标是通过密钥系统为客户机 / 服务器应用程序提供强大的认证服务。该认证过程的实现不依赖于主机操作系统的认证，故D选项说法错误，无需基于主机地址的信任，不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意地读取、修改和插入数据

在活动网络中被动监听网络流量，利用检测算法识别网络入侵行为的恶意行为监控方式

恶意行为

为了减轻网络恶意行为对互联网基础设施和重要应用系统的危害，必须对网络威胁进行监控和追踪。恶意行为的监控方式主要分为两类：主机检测和网络检测

恶意行为审计与监控主要检测针对网络中针对服务器的恶意行为，包括恶意的攻击行为和入侵行为

守护进程

错误的是

A) 守护进程不能完成系统任务

B) 守护进程常常在系统引导装入时启动，在系统关闭时终止

C) 守护进程是脱离于终端并且在后台运行的进程

D) 如果想让某个进程不因为用户或终端或其它变化而受到影响，那么就必须把这个进程变成一个守护进程

守护进程是脱离于终端并且在后台运行的进程，选项C正确；守护进程常常在系统引导装入时启动，在系统关闭时终止，选项B正确；如果想让某个进程不因为用户或终端或其他变化而受到影响，那么就必须把这个进程变成一个守护进程，选项D正确；守护进程能完成许多系统任务，如作业规划进程crond、打印进程lqd等，选项A错误，本题答案：A

syslogd守护进程用于解决守护进程的日志记录问题，而日志信息保存的位置和记录的信息级别是在syslogd守护进程的配置文件中设定的。

网络安全

TCP头部格式，表示出现差错，必须释放TCP重新连接的标志位是：RST

TCP半连接扫描是：TCP SYN扫描 （两次 握手）

盲攻击：盲攻击发生在攻击者和目标主机不在同一个网络上的情况，因为两者不在同一个网络，所以攻击者无法使用网络嗅探工具捕获TCP数据包，因此无法获得目标主机的初始序列号，而只能预测或探测目标主机的初始序列号，因此盲攻击相对非盲攻击难度较大

ESP协议为基于IPSec的数据通信提供了安全加密、身份认证和数据完整性鉴别这三种安全保护机制

攻击方式

诱骗式攻击是指通过伪造的或合成的具有较高迷惑性的信息，诱骗用户进行访问，从而诱发用户触发恶意代码或者骗取被攻击者的敏感信息，达到攻击者入侵系统或获取敏感信息的目的。诱骗式攻击包括网站挂马、诱骗下载、网站钓鱼、社会工程等

盲攻击

攻击者和目标不在一个网络上，所以嗅探不到主机的信息和序列号。

密码学攻击

密码分析学中有4种典型的密码攻击：唯密文攻击、已知明文攻击、选择明文攻击、选择密文攻击，其中唯密文攻击是最容易防范的，因为攻击者拥有的信息量最少，选择密文攻击是最难防范

会话劫持

你Telnet到某台主机，这就是一次Telnet会话；你浏览某个网站，这就是一次HTTP会话。而会话劫持（Session Hijack），就是结合了嗅探以及欺骗技术在内的攻击手段。例如，在一次正常的会话过程当中，攻击者作为第三方参与到其中，他可以在正常数据包中插入恶意数据，也可以在双方的会话当中进行监听，甚至可以是代替某一方主机接管会话。会话劫持通常通过窃取用户的SessionID后，利用它登录目标账户

ARP欺骗

原理

ARP欺骗的原理就是恶意主机伪装并发送欺骗性的ARP数据包，致使其他主机收到欺骗性的ARP数据包后，更新其ARP缓存表，从而建立错误的IP地址与MAC地址的映射关系

防御：

为了有效防范ARP欺骗，可以通过IDS、Antiarp或ARP防火墙等查找ARP欺骗的设备或具有检测网络内的ARP欺骗攻击，定位ARP病毒主机，再查杀或手工分析清楚ARP病毒；还可以通过在局域网中进行MAC地址和IP地址的双向静态绑定，使ARP欺骗失效

DDos

DoS攻击的目的是使目标主机无法提供对外服务，一般可以通过3种方式实现：
1、利用目标主机自身存在的拒绝服务型漏洞进行攻击；
2、耗尽目标主机CPU和内存等计算机资源的攻击；
3、耗尽目标主机网络带宽攻击

DDOS攻击的三种常见方式

SYN/ACK Flood攻击、TCP全连接攻击、刷Script脚本攻击

Land攻击 这是DDos攻击的一种

这种攻击方式采用了特别构造的TCP SYN数据包（通常用于开启一个新的连接），使目标机器开启一个源地址与目标地址均为自身IP攻击的空连接，持续地自我应答，消耗系统资源直至崩溃。这种攻击方法与SYN洪泛攻击并不相同

CSRF

跨站点请求伪造攻击（Cross Site Request Forgery， CSRF）属于伪造客户端请求的一种攻击方式

SEH攻击

https://www.dazhuanlan.com/2019/12/17/5df7e19b8c20f/

防御：

结构化异常处理覆盖保护SEHOP（Structured Exception Handler Overwrite Protection）是微软针对SEH攻击提出的一种安全防护方案
它是一种SEH扩展的方式提供的，通过程序中使用的SEH结构进行一些安全检测，来判断应用程序是否受到了SEH攻击；
SEHOP的核心是检测程序栈中的所有SEH结构链表的完整性；SEH是windows异常处理机制所采用的重要数据结构链表

应用安全

软件漏洞：

缓冲区溢出

格式化字符串漏洞

整数溢出漏洞：存储溢出、运算溢出、符号问题

栈是一个后进先出的数据结构，在内存中的增长方向是从高地址向低地址增长

写污点值到污点地址漏洞

栈溢出（Stack Overflow）是在网络与分布式系统中被广泛利用的一种漏洞类型。在汇编中，以线程为线索的指令执行对函数的调用及局部变量的存取是依靠栈来实现的，黑客可以使用特定的脚本语言，通过网络远程向对外提供业务的服务器进行攻击，利用对栈中数据的填充越界，实现有效的漏洞攻击。在本题中的A、B、D选项均可以作为数据进行填充，而Heap为堆内存，与本题没有关系

内存地址对象破坏性掉坏性调用漏洞

堆是内存空间中用于存放动态数据的区域。与栈不同的是，程序员自己完成堆中变量分配与释放，而栈中变量空间的分配与释放由程序负责。

栈指针寄存器esp(extended stack pointer)，用于存放一个指针，该指针始终指向当前执行指令（即正在被调用的函数）所对应栈帧的最新栈顶地址，也称为栈顶指针

数组越界漏洞是目前一种主要的软件漏洞，它是由于不正确的数组访问造成的。攻击者通过精心构造超出数组范围的索引值，就能够对任意内存地址进行读写操作

GS Stack protection技术是一项缓冲区溢出的检测防护技术，使用该技术的编译器针对函数调用和返回时添加保护和检查功能的代码，在函数被调用时，在缓冲区和函数返回地址增加一个32位的随机数security_cookie，在函数返回时，调用检查函数检查security_cookie的值是否有变化

软件开发

软件开发生命周期模型包括瀑布模型、螺旋模型、迭代模型、快速原型模型

软件的动态安全检测技术主要包括模糊测试、智能模糊测试和动态污点分析等

软件静态安全检测技术包括词法分析、数据流分析、污点传播分析、符号执行、模型检查、定理说明等，其中

符号执行技术是指在实际执行程序的前提下，将程序的输入表示成符号，根据程序的执行流程和输入参数的赋值变化，把程序的输出表示成包含这些符号的逻辑或算术表达式的一种技术

基于软件技术的软件安全保护技术有：注册信息验证技术、软件防篡改技术、代码混淆技术、软件水印技术、软件加壳技术、反调试反跟踪技术

​ 代码混淆技术可通过多种技术手段实现，包括词法转换、控制流转换、数据转换等。

​ 软件加壳的目的和作用，分为两类，第一类是压缩包保护壳，这种壳减小软件体积和改变软件可执行代码的特征为目的;第二类是加密保护壳（压缩、加密）

软件开发设计阶段应考虑的安全原则有：

最小权限原则；开放设计原则；全面防御原则；权限分开原则；最少公用原则；心理接受性；代码重用性；

充分考虑软件运行环境；选择安全的加密算法；充分考虑不安全的条件；失效防护；

软件源代码的静态安全监测技术包括词法分析、数据流分析、污点传播分析等，污点传播技术是通过分析代码中输入数据对程序执行路径的影响，以发现不可信的输入数据导致的程序执行异常，

SDL: ?

软件漏洞危险等级主要分为“紧急”、“重要”、“警告”、“注意”这四个等级，其中最高等级为“紧急”。

软件保护技术中的代码混淆技术，是在保持原有代码功能的基础上，通过代码变换等混淆手段实现降低代码的人工可读性、隐藏代码原始逻辑的一种技术

safeSEH、SEHOP、ASLR都属于软件漏洞利用防范技术，而NOP属于漏洞利用技术

安全编程时需要考略的原则包括:数据的机密性;数据的完整性;数据的有效性。（机密、完整、有效）

木马

第二代木马：冰河、广外女生

第三代木马：有服务端被动连接改为主动连接，网络防火墙形同虚设、灰鸽子

第四代木马：隐藏进程的形式、广外幽灵、广外男生

第五代木马：具备远程控制、信息偷取、隐藏传输功能，普遍采用Rookit技术，代表黑暗天使。

Shellcode

漏洞利用时都要利用shellcode代码，shellcode是一段机器指令，可实现攻击者指定的操作。漏洞利用的核心是利用程序漏洞去执行shellcode以便劫持进程的控制权。

逆向

CS4免杀：https://www.52pojie.cn/thread-1401826-1-1.html

污点传播分析技术是通过分析代码中输入数据对程序执行路径的影响，以发现不可信的输入数据导致的程序执行异常。

堆与栈

操作系统的内存空间分为：.text段是存放程序代码的区域，该区域是只读的；.bss段和.data段保存的是全局变量数据；堆用来存放动态数据；栈用来保存本地变量、函数调用等信息；缓冲区用来存放程序运行时加载到内存的运行代码和数据；栈帧存放在栈中，通常在函数调用时，被调用函数的相关信息会保存在内存中的栈区，这块内存中连续的栈的区域即栈帧

linux操作系统的虚拟内存空间包括堆、栈等部分

堆是先进先出的数据结构，往高地址增长；

栈是后进先出的数据结构，往低地址增长

日志

通过对日志进行分析，发现所需事件信息和规律是安全审计的根本目的

防火墙

防火墙

防火墙不对应用层数据进行深度安全监测，所以目前防火墙不能对SQL注入漏洞进行有效防范

为了防止网络攻击者对目标主机和网络的扫描，可以通过拦截源主机的扫描数据包来实现有效的防范。实现方法很简单，只要在目标主机和网络的外围边界部署防火墙即可。

包过滤防火墙

包过滤防火墙作用在网络层和传输层，它根据包的包头源地址、目的地址和源端口号、目的端口号、协议类型等标志确定是否允许数据包通过。

防火墙的体系结构包括屏蔽路由器、双重宿主主机体系结构、屏蔽主机体系结构、屏蔽子网体系结构等

按照其硬件平台的不同又分为X86架构的防火墙、ASIC架构的防火墙、NP架构的防火墙

入侵检测

根据入侵检测系统检测入侵行为的方式和原理的不同，可以分为误用检测型入侵检测系统和异常检测型入侵检测系统，其中，误用检测型入侵检测系统收集攻击行为和非正常操作的行为特征，建立相关的特征库。当检测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵。这种检测技术对于已知的攻击类型非常有效，而对攻击的变种和新的攻击几乎无能为力

文件完整性检验主要用于基于主机的入侵检测系统（Host based IDS，HIDS），它是对计算机中文件的完整性进行前后比较，发现被篡改的系统文件。

IDS即入侵检测系统（Intrusion Detection System），根据数据采集方式的不同，IDS分为基于网络的入侵检测系统（Netword based IDS，NIDS）和基于主机的入侵检测系统（Host based IDS，HIDS）

入侵检测系统包括控制台和探测器两部分，其中探测器是前端采集数据的网络设备，连接交换机的网络端口，实行对交换机中传输数据的分析

IDS入侵检测可根据入侵行为的方式和原理分为基于统计分析原理的异常检测和基于模式匹配原理的误用检测

数据库安全

在数据库中，用户权限是由两个要素组成的：数据库对象和操作类型。定义一个用户的存取权限就是要定义这个用户可以在哪些数据库对象上进行哪些类型的操作

数据库的渗透测试：监听器安全特性分析、用户名和密码渗透、漏洞分析

数据库系统提供了两种存取控制机制:自主存取控制和强制存取控制。

数据库安全检测具有3个不同的层次，按照检测的目的划分，由外及里，分别是端口扫描、渗透测试和内部安全检测

SQL注入攻击是利用程序对用户输入数据的检查不足或程序自身对变量的处理的处理不当，把额外的 SQL语句附加到中间层往后台数据库提交的语句中，轻则可以获得敏感信息，重则能够控制服务器。

底层操作系统中的漏洞和安装在数据库服务器上的其它服务中的漏洞可能导致未经授权的访问、数据破坏或拒绝服务

攻击者可以利用数据库平台软件的漏洞将普通用户的权限转换为管理员权限

薄弱的身份验证方案可以使攻击者窃取或以其它方法获得登录凭据，从而获取合法的数据库用户的身份

在数据库中，用户权限是由两个要素组成的：数据库对象和操作类型

对数据库开放端口进行扫描，检查其中的安全缺陷的安全检测技术是：服务发现

在CREATE TABLE语句中使用DEFAULT子句，是定义默认值的首选方法，也是定义默认值的比较简洁的方法

AUDIT命令也就是核查命令，用于设置数据库审计功能。

每个数据库事务均以BEGIN TRANSACTION语句显式开始，以COMMIT或ROLLBACK语句显式结束，COMMIT是表示“提交”，就是提交事务的所有操作。具体地说，就是将事务中的所有对数据库的更新写回到磁盘上的物理数据库中去，事务正常结束。ROLLBACK指的是“回滚”，即是在事务的运行过程中，发生了某种故障，事务不能继续执行，系统将事务中对数据库的所有的已完成的操作全部撤销，回滚到事务开始之前的状态

表和视图

新创建的数据库用户有3种权限：DBA、RESOURCE、CONNECT，

​ 其中拥有CONNECT权限的用户不能创建新用户、模式和基本表，只能登陆数据库，选项A错误；

​ 拥有DBA权限的用户是系统中的超级用户，可以创建新的用户、创建模式、创建其他用户，选项B错误；

​ 拥有RESOURCE权限的用户能创建基本表和视图，称为所创建对象的属主，但是不能创建模式和新的用户

从用户角度出发，基本表和视图都是关系，使用SQL访问它们的方式一样；视图机制的安全保护功能不太精细，往往不能达到应用系统的要求，其主要功能在于提供了数据库的逻辑独立性；在实际应用中，通常将视图机制与授权机制结合起来使用，首先用视图机制屏蔽一部分保密数据，然后在视图上再进一步定义存取权限

系统安全

现代CPU运行在两种模式下：用户模式和内核模式，将CPU模式从用户模式转到内核模式的唯一方法是触发一个特殊的硬件自陷，如中断、异常，显式地执行自陷指令

windows系统中，修改了日志文件的存放目录后，日志还是可以被清空的，可以通过修改日志文件访问权限，以防止日志信息被清空，但是前提是windows系统要采用NTFS文件系统格式

UNIX系统实用可插入认证模块PAM进行认证登入

不要 随意把root shell留在终端上，避免root登入

windows操作系统核心组件

硬件抽象层 hal.dll

win32K.sys 子系统

安全账号管理器的具体表现就是%SystemRoot%\system32\config\sam文件，该文件是Windows的用户账户数据库，多数Windows系统的所有用户的登录名及口令等相关信息都会保存在这个文件中

网络监测

进程管理

init进程是一个由内核启动的用户级进程，加载内核之后，就通过启动一个用户级程序init的方式，完成指导进程，因此init始终是第一个进程（其进程编号始终为1）。

任务管理器

Msinfo32 ：提供系统消息的工具

DOS命令行

Windows进程管理方法有三种：任务管理器、Msinfo32、Dos命令行，其中Msinfo32提供视图。

保护环机制

操作系统使用保护环机制来确保进程不会在彼此之间或对系统的重要组件造成负面影响，保护环对工作在环内的进程能够访问什么、能够执行什么命令提出了严格的界线和定义；

在内环中执行的进程比在外环中执行的进程有更高的权限，这是因为内环只允许最可信的组件和进程在其中执行，由于内环的换号低，所以环号越低，赋予运行在该环内的进程的权限就越大；

虽然操作系统在保护环上的数量有所不同，但是在内环中执行的进程往往处于内核模式，在外环中工作的进程则处于用户模式；

所有实体只能访问它所在环的客体，不能直接与外环的客体通信，所以保护环在主体和客体之间提供了一个中间层，当一个主体试图访问一个客体时，可以用它来进行访问控制

信息安全管理

GB/T 18336《信息技术安全性评估准则》（CC）标准将评估过程划分为功能和保证两个部分

CC将评估过程划分为功能和保证两部分，评估等级分为EAL1、EAL2、EAL3、EAL4、EAL5、EAL6和EAL7共七个等级。每一级均需评估7个功能类，分别是配置管理、分发和操作、开发过程、指导文献、生命期的技术支持、测试和脆弱性评估

信息系统安全保障工作的内容包括：确定安全需求、设计和实施安全方案、进行信息安全评测和实施信息安全监控与维护

信息安全的管理涉及五个层面，分别是：物理安全、网络安全、主机安全、应用安全和数据安全

ISMS即信息安全管理体系，定义ISMS的范围，就是在组织机构内选定构架ISMS的范围

信息安全管理体系（ISMS）构架的具体实施包括：建立相关文档、文档的严格管理、安全事项记录和回馈

信息安全管理体系评审程序包括：编制评审计划、准备评审材料、召开评审会议、评审报告分发与保存、评审后要求

随着在世界范围内，信息化水平的不断发展，信息安全逐渐成为人们关注的焦点，世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准，国际标准化组织(ISO)也发布了ISO17799、ISO13335、ISO15408等与信息安全相关的国际标准及技术报告。而信息安全管理体系认证是基于自愿的原则。

在信息安全管理中的控制策略实现后，接下来要采取的措施有：估计残留风险的准确性、对控制效果进行监控和衡量、确定安全控制的有效性

要制定一套一套好的安全管理策略，必须与决策层进行有效沟通，并得到组织机构高层领导的支持与承诺，这有三个作用：一是制定的安全管理策略与组织机构的业务目标一致；二是制定的安全方针政策、控制措施可以在组织机构的上上下下得到有效贯彻；三是可以得到有效的资源保证，例如在制定安全策略时，必要的资金与人力资源的支持及跨部门之间的协调工作都必须由高层管理人员来推动

网络技术

【1】物理层：主要定义物理设备标准，如网线的接口类型、光纤的接口类型、各种传输介质的传输速率等。它的主要作用是传输比特流（就是由1、0转化为电流强弱来进行传输,到达目的地后在转化为1、0，也就是我们常说的数模转换与模数转换），这一层的数据叫做比特。

• 以太网物理层、调制解调器、PLC 、SONET/SDH 、G.709 、光导纤维、 同轴电缆、双绞线

【2】数据链路层：定义了如何让格式化数据以进行传输，以及如何让控制对物理介质的访问，这一层通常还提供错误检测和纠正，以确保数据的可靠传输。

• ARQ（Automatic Repeat-reQuest ）自动重传请求协议，错误纠正协议之一，包括停止等待ARQ 协议和连续ARQ 协议，错误侦测、正面确认、逾时重传与负面确认继以重传等机制。

• 停止等待协议：

• CSMA/CD(Carrrier Sense Multiple Access with Collision Detection)载波监听多点接入/碰撞检测协议。总线型网络，协议的实质是载波监听和碰撞检测。载波监听即发数据前先检测总线上是否有其他计算机在发送数据，如暂时不发数据，避免碰撞。碰撞检测为计算机边发送数据边检测信道上的信号电压大小。

• PPP(Point-to-Ponit Protocol)点对点协议面向字节，由三部分组成：一个将IP 数据报封装到串行链路的方法；一个用于建立、配置和测试数据链路连接的链路控制协议

• LCP(Link Control Protocol) ：一套网络控制协议NCP 。

• HDLC （High-Level Data Link Control ）高级数据链路控制同步网上传输数据、面向比特的数据链路层协议。

• ATM （Asynchronous Transfer Mode ）异步传递方式，建立在电路交换和分组交换的基础上的一种面向连接的快速分组交换技术。 “异步”是指将ATM 信元“异步插入”到同步的 SDH 比特流中。如同步插入则用户在每帧中所占的时隙相对位置固定不变。“同步”是指网络中各链路上的比特流都是受同一非常精确的主时钟的控制。Wi-Fi 、WiMAX 、DTM 、令牌环、以太网、FDDI 、帧中继、 GPRS 、 EVDO 、HSPA 、L2TP 、ISDN

　　【3】网络层：在位于不同地理位置的网络中的两个主机系统之间提供连接和路径选择，Internet的发展使得从世界各站点访问信息的用户数大大增加，而网络层正是管理这种连接的层。

• IP (IPv4 · IPv6) (Internet Protocol) 网络之间互连的协议
• ARP (Address Resolution Protocol) 即地址解析协议，实现通过IP 地址得 知其物理地址。
• RARP (Reverse Address Resolution Protocol)反向地址转换协议允许局域 网的物理机器从网关服务器的 ARP 表或者缓存上请求其 IP地址。
• ICMP (Internet Control Message Protocol ）Internet 控制报文协议。它是TCP/IP 协议族的一个子协议，用于在IP 主机、路由器之间传递控制消息。
• ICMPv6 :
• IGMP (Internet Group Management Protocol) Internet 组管理协议,是因特 网协议家族中的一个组播协议，用于 IP 主机向任一个直接相邻的路由器报 告他们的组成员情况。
• RIP (Router information protocol) 路由信息协议是一种在网关与主机之间交换路由选择信息的标准。
• OSPF (Open Shortest Path Firs)开放式最短路径优先,分布式链路状态协议。
• BGP（Border Gateway Protocol ）边界网关协议，用来连接Internet 上独立系统的路由选择协议.采用路径向量路由选择协议。
• IS-IS （Intermediate System to Intermediate System Routing Protocol ）中间系统到中间系统的路由选择协议.
• IPsec (IP Secure) “Internet 协议安全性”是一种开放标准的框架结构，通过使用加密的安全服务以确保在 Internet 协议 (IP) 网络上进行保密而安全的通讯。

　　【4】传输层：定义了一些传输数据的协议和端口号（WWW端口80等），如：TCP（传输控制协议，传输效率低，可靠性强，用于传输可靠性要求高，数据量大的数据），UDP（用户数据报协议，与TCP特性恰恰相反，用于传输可靠性要求不高，数据量小的数据，如QQ聊天数据就是通过这种方式传输的）， 主要是将从下层接收的数据进行分段和传输，到达目的地址后再进行重组，常常把这一层数据叫做段。

• TCP （Transmission Control Protocol ）传输控制协议提供可靠的面向连接的服务，传输数据前须先建立连接，结束后释放。可靠的全双工信道。可靠、有序、无丢失、不重复。
• UDP (User Datagram Protocol ）用户数据报协议发送数据前无需建立连接，不使用拥塞控制，不保证可靠交付，最大努力交付。
• DCCP （Datagram Congestion Control Protocol ）数据报拥塞控制协议
• SCTP （STREAM CONTROL TRANSMISSION PROTOCOL ）流控制传 输协议
• RTP(Real-time Transport Protocol ）实时传送协议
• RSVP （Resource ReSer Vation Protocol ）资源预留协议
• PPTP ( Point to Point Tunneling Protocol ）点对点隧道协议

　　【5】会话层：通过传输层（端口号：传输端口与接收端口）建立数据传输的通路，主要在你的系统之间发起会话或者接受会话请求（设备之间需要互相认识可以是IP也可以是MAC或者是主机名）。

　　【6】表示层：可确保一个系统的应用层所发送的信息可以被另一个系统的应用层读取。例如，PC程序与另一台计算机进行通信，其中一台计算机使用扩展二一十进制交换码（EBCDIC），而另一台则使用美国信息交换标准码（ASCII）来表示相同的字符。如有必要，表示层会通过使用一种通格式来实现多种数据格式之间的转换。

　　【7】应用层： 是最靠近用户的OSI层，这一层为用户的应用程序（例如电子邮件、文件传输和终端仿真）提供网络服务。
DHCP(Dynamic Host Configuration Protocol)动态主机分配协议，使用 UDP 协议工作，主要有两个用途：给内部网络或网络服务供应商自动分配 IP 地址，给用户或者内部网络管理员作为对所有计算机作中央管理的手段。实 现即插即用连网。
BOOTP (BOOTstrapProtocol) 引导程序协议/ 自举协议，使用UDP 来使 一个无盘工作站自动获取配置信息。静态的配置协议 DNS （Domain Name System ）域名解析<端口号53>
FTP （File Transfer Protocol ）文件传输协议<端口号21>减少或消除不同操作系统下处理文件的不兼容性。
Gopher （The Internet Gopher Protocol ）网际Gopher 协议
HTTP（Hypertext Transfer Protocol ）超文本传输协议 <端口号 80>， 面向事务的应用层协议。
IMAP4 (Internet Message Access Protocol 4) Internet 信息访问协议的第 4 版本

NNTP （Network News Transport Protocol ）网络新闻传输协议
IRC （Internet Relay Chat ）网络聊天协议
SSH （Secure Shell ）安全外壳协议
SNMP (Simple Network Management Protocol),简单网络管理协议
SMTP （Simple Mail Transfer Protocol ）简单邮件传输协议 <端口号25> 用于发送邮件。
SIP()信令控制协议
POP3 (Post Office Protocol 3) 即邮局协议的第3 个版本，用于接受邮件。
XMPP 可扩展消息处理现场协议
TELNET 远程登录协议 <端口号23>
RPC （Remote Procedure Call Protocol ）（RFC- 1831）远程过程调用协 议
RTCP （RTP Control Protocol ）RTP 控制协议
RTSP （Real Time Streaming Protocol ）实时流传输协议
TLS （Transport Layer Security Protocol ）安全传输层协议
SDP( Session Description Protocol ）会话描述协议
SOAP （Simple Object Access Protocol ）简单对象访问协议
GTP 通用数据传输平台
STUN （Simple Traversal of UDP over NATs ，NAT 的UDP 简单穿越） 是一种网络协议
NTP （Network Time Protocol ）网络校时协议。

IP地址

分为ABCDE类

TCP

RST：TCP重新连接的标志

利用TCP协议的Dos攻击可以分为两类：一类是利用TCP协议本身的缺陷实施的攻击，包括SYN-Flood和ACK-Flood攻击；另一类是利用TCP全连接发起的攻击

IPSec

ESP协议为基于IPSec的数据通信提供了安全加密、身份认证和数据完整性鉴别这三种安全保护机制

IPSec 对 网络 层封装
SSL 对 应用 层封装

图1：ESP协议 传输模式

图2：ESP协议 隧道模式

图3：AH协议 传输模式

图4：AH协议 隧道模式

AAA

集中式的AAA管理协议包括拨号用户远程认证服务RADIUS、终端访问控制器访问控制系统TACACS、Diameter等。

IPSec

IPSec协议是一组开放协议的总称，包括ESP协议、AH协议和密钥协商协议，ESP协议为基于IPSec的数据通信提供了安全加密、身份认证和数据完整性鉴别这三种安全保护机制，采用的主要加密标准是DES和3DES。

ps：由于ESP对数据进行加密，因此它比AH需要跟多的处理时间，从而导致性能下降。

Intenel安全协议（Internet Protocol Security，IPSec）是由互联网工程工程任务组提供的用于保障Internet安全通信的一系列规范，为私有信息通过公用网提供安全保障。它是现在VPN中使用最广泛的一种协议，IPSec协议通过引入加密算法，数据完整性验证和身份验证3种安全性措施实现了数据传输的安全性

SSL

SSL协议是安全套接层协议，它为传输层之上的应用层提供了加密、身份认证和完整性验证的保护；SET协议称为安全电子交易协议（Secure Electronic Transaction，SET），与SSL协议相比，它将整个信息流动过程都进行了安全保护，因此其安全性高于SSL协议

SSL是一种在客户端和服务器端之间建立安全通道的协议。客户端通过对服务器端发来的证书进行验证，以完成对服务器端的身份认证。

SSL协议包括两层协议：记录协议和握手协议，其中握手协议的作用是建立安全连接，在客户和服务器传送应用层数据之前，负责完成诸如加密算法和会话密钥的协商以及通信双方身份验证等功能

S/MIME

安全多用途网际邮件扩充协议（Secure Multipurpose Internet Mail Extensions， S/MIME）提供了针对电子邮件的数字签名和数据加密功能，以弥补SMTP协议和POP3协议在安全功能方面的不足

RARP

逆向地址转换协议（RARP）的功能与ARP协议相似，只不过RARP协议是用于MAC地址向IP地址转换的

NAT

网络地址翻译技术（NAT）根据映射方式不同而分为3种类型：静态NAT、NAT池和端口地址转换PAT

密码技术

密钥加密密钥是对传送的会话或文件密钥进行加密时采用的密钥，也称次主密钥，通信网中每个节点都分配有一个这类密钥

密码学包括密码编码学和密码分析学两门学科

对称加密不易实现数字签名，限制了它的应用范围

密码体制的安全仅依赖于对秘钥的保密，不依赖于对算法的保密

对称密钥密码体制也称为单密钥密码体制或传统密码体制，基本特征是发送方和接收方共享相同的密钥，即加密密钥与解密密钥相同

消息摘要是一个唯一对应一个消息或文本的固定长度的值，它是由一个单向hash加密函数对消息进行作用产生的，哈希算法实际上将明文压缩成消息摘要，是一定会有碰撞产生，也就是两个不同的明文生成相同的哈希值(即消息摘要)，因为明文和消息摘要的信息量不同

DES算法为密码体制中的对称密码体制，又被称为美国数据加密标准，是1972年美国IBM公司研制的对称密码体制加密算法。明文按64位进行分组，密钥长64位，密钥事实上是56位参与DES运算（第8、16、24、32、40、48、56、64位是校验位，使得每个密钥都有奇数个1）分组后的明文组和56位的密钥按位替代或交换的方法形成密文组的加密方法。单秘钥加密算法是指加密密钥能从解密密钥中推算出来

商用密码技术是指能够实现商用密码算法的加密、解密和认证等功能的技术，包括密码算法编程技术和密码算法芯片、加密卡等的实现技术。商用密码技术是商用密码的核心，属于国家秘密，国家对商用密码产品的科研、生产、销售和使用实行专控管理。

在20实际90年代初提出了两种有效的对称密码的选择明文分析方法：差分分析和线性分析

密码系统（即密码体制）通常由五个部分组成：消息空间、密文空间、密钥空间、加密算法、解密算法

从密钥信息的交换方式来看，可以将密钥分配分为三类：人工密钥分发、基于中心的密钥分发和基于认证的密钥分发

常用的认证协议包括：基于口令的认证协议、基于对称密码的认证协议和基于公钥密码的认证协议

各种消息认证或数字签名方法在功能上基本可看作有两层，下层中有某种产生认证码的函数，认证码是一个用来认证消息的值，产生认证码的函数类型通常有3类：消息加密、消息认证码和哈希函数

算法

Diffie-Hellman算法是第一个实用的在非保护信道中创建共享密钥方法，本身是一个匿名（无认证）的密钥交换协议，已成为很多认证协议的基础。

密钥体制

对称 与非对称

对称密码设计的主要思想是扩散和混淆，而达到扩散和混淆目的的常用方法是乘积迭代

对称：分组（DES、IDEA、AES）与序列（RC4）

DES分组大小为64，密钥大小为56位

DES密码结构基于—个称为Feistel网络的结构

IDEA分组大小64，密钥大小128

AES分组大小128，密钥128、192、256

SEAL

非对称：ECC

ElGamal密码是除了RSA密码之外最有代表 的公开密钥 密码

RSA密码建立在大整数因式分解的困难性之上的，而ElGamal密码则是建立在离散对数的困难性上 。

哈希函数的特点是：压缩、易计算、单向性、抗碰撞性、高灵敏性

SHA产生的消息摘要长度比MD5长32位

MD5128位

SHA160位

第一个实用在非保护信道中创建密钥的方法是Diffie-Hellman算法

对称密码设计的主要思想是扩散和混淆，而达到扩散和混淆目的的常用方法是乘积迭代

密钥种类有很多，其中密钥加密密钥（Key Encryption Key，KEK）是对传送的会话或文件密钥进行加密时采用的密钥，也称次主密钥，通信网中每个节点都分配有一个这类密钥

会话密钥是两个通信终端用户在一次交换数据时所采用的密钥，当用其保护传输数据时称为数据加密密钥，当用其保护文件时称为文件密钥

RSA
用RSA密码时，应当采用足够大的整数n，普遍认为，n至少应取1024位。

产生认证符的函数类型，通常有如下三类：消息加密、消息认证码和哈希函数。

分组密码

在CBC模式中，每一分组的加密都依赖于所有前面的分组。在处理第一个明文分组时，与一个初始向量（IV）组进行异或运算。IV不需要保密，它可以明文形式与密文一起传送

工作模式：

ECB、CFB、OFB

CCB（密码块链接），每个平文块先与前一个密文块进行异或后，再进行加密，没有分组工作模式。ECB（电码本）模式是分组密码的一种最基本的工作模式。在该模式下，待处理信息被分为大小合适的分组，然后分别对每一分组独立进行加密或解密处理。CFB（密文反馈），其需要初始化向量和密钥两个内容，首先先对密钥对初始向量进行加密，得到结果(分组加密后)与明文进行移位异或运算后得到密文，然后前一次的密文充当初始向量再对后续明文进行加密。OFB（输出反馈），需要初始化向量和密钥，首先运用密钥对初始化向量进行加密，对下个明文块的加密

口令认证

利用DES等强密码算法可以实现一次性口令认证：系统产生一个随机数r，并对其加密得到Ek(r)，并将Ek(r)提供给用户，用户计算Ek(Dk(Ek(r)) + 1)，并将计算值回送给系统。同时系统计算Ek(r+1)，系统将用户返回的值与系统自己计算的值进行比较，若两者相等，则系统认为用户的身份为真，这种方法中，系统和用户必须持有相同的密钥

身份认证

USB Key身份认证采用软硬件相结合、一次一密的强双因子认证模式。它是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码学算法实现对用户身份的认证，有两种应答模式：基于挑战/应答的认证模式和基于PKI体系的认证模式

Kerberos协议支持双向的身份认证；通过交换跨域密钥实现分布式网络环境下的认证；AS和TGS是集中式管理，容易形成瓶颈

身份认证的基本手段包括静态密码方式、动态口令认证、USB Key认证以及生物识别技术等，其中静态密码方式是指以用户名及密码认证的方式；动态口令认证主要有动态短信密码和动态口令牌两种方式，生物识别技术是指通过可测量的生物信息和行为等特征进行身份认证的一种技术，例如指纹认证

数字签名

数字签名技术是将摘要信息用发送者的私钥加密，与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要信息，然后用HASH函数对收到的原文产生一个摘要信息，与解密的摘要信息对比。如果相同，则说明收到的信息是完整的，在传输过程中没有被修改，否则说明信息被修改过，因此数字签名能够验证信息的完整性。所以数字签名能够解决篡改、伪造等安全性问题

消息认证

消息加密本身提供了一种认证手段，在这种方法中，整个消息的密文作为认证码

应用题

1 密钥的

假设用户Alice和Bob分别拥有自己的公钥和私钥，请按要求完成下列有关数字签名的题目。
（1）为了预防Alice抵赖，Bob要求Alice对其发送的消息进行签名。Alice将使用自己的71对消息签名；如果要求对消息保密传输，Alice将使用Bob的72对消息加密。（各1分）
（2）基于签名机制也可以实现身份认证， Alice为了认证Bob的身份：
首先，Alice发送给Bob一个随机数x，即：Alice → Bob：x；
然后，Bob产生一个随机数b，并将b以及使用私钥对随机数签名的信息发送给Alice, 用SignB表示用Bob的私钥产生数字签名，即：Bob → Alice ：b || SignB (x || b )
最后，为了认证Bob的身份，Alice得到随机数b和签名信息之后，只需要使用Bob的73对签名信息进行解密，验证解密的结果是否等于74即可。（各1分）
（3）假设Alice的RSA公钥为(e=3, n=15)，已知素数p=3，q=5。Alice要发送消息m=3给Bob，并对该消息进行签名后得到的签名是75。（2分）

答疑：解析：（1）数字签名主要采用公钥密码体制，题意中Bob要求Alice对其发送的消息进行签名，所以Alice将使用自己的私钥对消息签名，Bob使用Alice公钥对签名后的消息进行验证；在传输过程中，如果要求对消息进行保密传输，Alice可以使用Bob的公钥对消息加密。
（2）由于Bob发送给Alice的是随机数b和SignB（用Bob的私钥加密的x||b），所以Alice为了验证是Bob的身份，需要使用Bob的公钥对SignB解密，如果解密后的值等于x||b即可。
（3）RSA算法中，首先根据两个素数p和q，计算出n，题意p和q是3和5，所以n=pq=15；Φ(n)=(p=1)(q-1)=24=8，根据ed=1modΦ(n)，即3*d=1mod8，可求得Alice的私钥为d=3，使用私钥对消息m进行签名，33mod15 = 12，即使用Alice的私钥对消息m签名的结果为12。
综上，本题答案：
[1]私钥
[2]公钥
[3]公钥
[4]x||b
[5]12

2 Linux文件系统

文件系统安全是UNIX/Linux系统安全的核心，请按要求完成下列题目。
（1）在图1中，表示用户命令的可执行文件的目录文件是76。
（2）每个文件和目录有三组权限与之相关：一组为文件的拥有者，一组为文件所属分组的成员，一组为其它所有用户（通常用“the world”或“others”指代）。ls -l命令可以查看UNIX文件权限，如果：
$ ls –l
-rwx—— 1jrandom hackers 2967 Aug 30 1994 private
则表示：private是一个77，其它用户有78权限（请用A-F选项作答）。
A、文件
B、目录
C、不可读、不可写和不可执行
D、不可读、可写和可执行
E、可读、可写和可执行
F、可读、可写和不可执行
（3）对于一个文件，用户可以使用79命令来改变文件的权限设置。
答疑：

（1）图1中的所有内容称为文件系统，UNIX/Linux系统中，i结点关注UNIX文件系统中所有的文件活动，当攻击者篡改文件时，他们经常因修改i节点设置而留下一个足印，该足印有时能用来作为搜索攻击者的证据，即使他们试图掩盖痕迹。
（2）图1中表示用户命令的可执行程序的目录文件是bin
（3）本题ls –l命令会输出当前目录下所有文件的权限模式位，即-rwx——，其中第一位是文件类型（p表示命名管道文件，d表示目录文件，l表示符号连接文件，-表示普通文件，s表示socket文件，e表示字符设备文件，b表示块设备文件），第二四位表示文件拥有者的权限（rwx表示可读、可写、可执行）；第五七位表示文件拥有组权限（—表示不可读、不可写、不可执行），第八~第十位表示其他人权限（—表示不可读、不可写、不可执行），所以private是一个文件，拥有者有可读、可写、可执行
（3）对于一个文件，用户可以使用chmod命令来改变文件的权限设置，chmod命令只能由文件拥有者或root运行。
本题答案：
[1]bin
[2]A
[3]C
[4]chmod

3 密钥的

根据下述描述，完成填空。（每空1分，共10分）
（1）公共密钥基础设施（英文缩写PKI）是一个用公钥密码学技术来实施和提供安全服务的安全基础设施，它是创建、管理、存储、分布和作废数字证书的一系列软件、硬件、人员、策略、和过程的集合。
（2）证书签发机构是公共密钥基础设施的核心机构，提供数字证书生成、证书发放、证书的管理等服务。证书注册机构是接受客户证书申请并进行审核注册的机构。
（3）数字证书的存储格式标准有多种，X.509是最基本的证书存储格式。采用此格式的证书结构如下所示。
证书的版本号
证书序列号
签名算法
证书签发机构名
证书有效期
证书持有者用户名
证书用户公钥信息
签发者唯一标识符
证书持有者唯一标识符
签名值
其中，签名值是证书签发机构对证书上述内容的数字签名值。
（4）数字证书在使用过程中，为了验证此数字证书的真实性，其他用户、应用程序或实体需下载安装CA根证书，使用此证书中的公钥对证书中的数字签名进行验证。

答疑：解析：

（1）公共密钥基础设施（Public Key Infrastructure，PKI）是一个用公钥密码学技术来实施和提供安全服务的安全基础设施，它是创建、管理、存储、分布和作废数字证书的一系列软件、硬件、人员、策略和过程的集合。
（2）证书认证机构（Certificate Authority，CA）是公共密钥基础设施的核心机构，提供数字证书生成、证书发放、证书的管理等服务。证书注册机构（Registration Authority，RA）是接受客户证书申请并进行审核注册的机构。
（3）数字证书的存储格式标准有多种，X.509是最基本的证书存储标注格式。它包含的内容有：证书的版本号；证书序列号；签名算法；证书签发机构名；证书有效期；证书持有者用户名；证书用户公钥信息；签发者唯一标识符；证书持有者唯一标识符；签名值；其中签名值是证书颁发机构对证书上述内容的数字签名值。
（4）在证书使用过程中，其他用户、应用程序或实体需下载安装证书认证机构根证书，使用证书认证机构根证书中的证书认证机构公钥，对证书认证机构给用户颁发证书中的数字签名进行验证。

4.密钥的

MD5、SHA1、AES、RSA、ECC算法

1.用于高效加密算法是 - > AES

2.校验数据完整性消息摘要 -> SHA1

3.对别人的公钥加密，用自己的私钥解密

4.MD5明文 -> 128位消息摘要

5.RSA模至少->1024位

法律

刑法

第二百八十五条，违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处3年以下有期徒刑或者拘役。

第二百八十六条，违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处5年以下有期徒刑或者拘役

电子签名法

电子认证服务提供者签发的电子签名认证证书应当准确无误，并应当载明下列内容：
（一）电子认证服务提供者名称；
（二）证书持有人名称；
（三）证书序列号；
（四）证书有效期；
（五）证书持有人的电子签名验证数据；
（六）电子认证服务提供者的电子签名；
（七）国务院信息产业主管部门规定的其他内容；

第八条规定，审查数据电文作为证据的真实性，应当考虑的因素有：生成、储存或者传递数据电文方法的可靠性；保持内容完整性方法的可靠性；用以鉴别发件人方法的可靠性；其他相关因素

第十三条，电子签名符合下列条件的，视为可靠的电子签名：电子签名制作数据用于电子签名时，属于电子签名人专有；签署时电子签名制作数据仅由电子签名人控制；签署后对电子签名的任何改动能够被发现；签署后对数据电文内容和形式的任何改动能够被发现。当事人也可以选择使用符合其约定的可靠条件的电子签名

第十四条 可靠的电子签名与手写签名或者盖章具有同等的法律效力。

第十六条，电子签名需要第三方认证的，由依法设立的电子认证服务提供者提供认证服务

第二十一条，电子认证服务提供者签发的电子签名认证证书应当准确无误，并应当载明下列内容：电子认证服务提供者名称；证书持有人名称；证书序列号；证书有效期；证书持有人的电子签名验证数据；电子认证服务提供者的电子签名；国务院信息产业主管部门规定的其他内容

第二十三条，电子认证服务提供者拟暂停或者终止电子认证服务的，应当在暂停或者终止服务九十日前，就业务承接及其他有关事项通知有关各方

第二十四条，电子认证服务提供者应当妥当保存与认证相关的信息，信息保存期限至少为电子签名认证证书失效后五年

第三十一条，电子认证服务提供者不遵守认证业务规则、未妥善保存与认证相关的信息，或者有其他违法行为的，由国务院信息产业主管部门责令限期改正；逾期未改正的，吊销电子认证许可证书，其直接负责的主管人员和其他直接责任人员十年内不得从事电子认证服务

商用密码管理条例

涉密信息系统安全分级保护根据其涉密信息系统处理信息的最高密级，可以划分为秘密级、机密级和机密级（增强）、绝密级三个等级

第三条，商用密码技术属于国家秘密。国家对商用密码产品的科研、生产、销售和使用实行专控管理。第二十三条，电子认证服务提供者拟暂停或者终止电子认证服务的，应当在暂停或者终止服务九十日前，就业务承接及其他有关事项通知有关各方

第七条，商用密码产品由国家密码管理机构指定的单位生产。未经指定，任何单位或者个人不得生产商用密码产品

第九条，商用密码产品，必须经国家密码管理机构指定的产品质量检测机构检测合格

第十条，商用密码商品由国家密码管理机构许可的单位销售。未经许可，任何单位或者个人不得销售商用密码产品

国家保密法

第十条，国家秘密的密级分为绝密、机密、秘密三级，绝密级国家秘密是最重要的国家秘密，泄露会使国家安全和利益遭受特别严重的损害

第十四条，机关、单位对所产生的国家秘密事项，应当按照国家秘密及其密级的具体范围的规定确定密级，同时确定保密期限和知悉范围。

第十五条，国家秘密的保密期限，应当根据事项的性质和特点，按照维护国家安全和利益的需要，限定在必要的期限内；不能确定期限的，应当确定解密的条件

信息安全等级保护管理办法

第七条：信息系统的安全保护等级分为五级

其它

可信计算的基本思想是在计算机系统中首先构建一个信任根，再建立一条信任链。从信任根开始到硬件平台，到操作系统，再到应用，一级认证一级，一级信任一级。把这种信任扩展到整个计算机系统，从而确保整个计算机系统的可信，因此，信任根和信任链是可信计算平台的最主要的的关键技术之一

信任根是系统可信的基点。TCG定义可信计算平台的信任根包括3个根：可信测量根（Root of Trust for Measurement，RTM）、可信存储根（Root of Trust for Storage，RTS）和可信报告根（Root of Trust for Report） // 测量、存储、报告

密码学设计中应遵循公开设计的原则，即密钥体制的安全应依赖于对密钥的保密，而不应依赖于对算法的保密

国内外已经提出的信任模型有：单证书认证机构信任模型、层次信任模型等，其中层次信任模型主要适用于有严格的层次级别划分的大型组织机构和行业领域。

当用户身份被确认合法后，赋予该用户进行文件和数据等操作权限的过程称为授权

在编程过程中，需要系统完成特定的功能时，可以通过调用系统中特定的子程序完成，这就是系统调用；当用户代码需要请求操作系统提供的服务时，通常采用系统调用的方法来完成这一过程

支持多种不同类型的CA系统相互传递信任关系的是桥CA信任模型。

会话劫持就是攻击者窃取用户SessionID后，使用该SessionID登录进入目标账户的攻击方法，此时攻击者实际上是利用了目标账户的有效Session。如果SessionID是被保存在Cookie中，则这种攻击被称为Cookie劫持

安全策略：是指在某个安全区域内（一个安全区域，通常是指属于某个组织的一系列处理和通信资源），用于所有与安全相关活动的一套规则。这些规则是由此安全区域中所设立的一个安全权力机构建立的，并由安全控制机构来描述、实施或实现的。分配访问权限时一个重要的原则是最小特权原则，另外一个原则是最小泄露原则。

出现漏洞的可能性是指成功攻击机构内某个漏洞的概率

体系审核中，需要识别潜在不符合及其原因；确定并实施所需的预防措施；记录所采取措施的结果；评审所采取的预防措施；识别已变化的风险，并确保对发生重大变化的风险予以关注。所以对不符合项的纠正措施需要重新审查修订

信息系统安全保障：生命周期、保障要素、安全特征（周期要素特征）

应急计划过程开发过程中，需要先对可能造成的影响作出分析，然后才能进行下一步计划

术语

DMZ是英文“demilitarized zone”的缩写，中文名称为“隔离区”。它是为了解决安装防火墙后外部网络的访问用户不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区

TCB 可信计算基

TCM 可信密码模块

rootkit技术木马属于第五代

webshell：webshell是一种用web脚本写的木马后门，它用于远程控制网站服务器，由于webshell与被控制的服务器都是通过80端口传递交互数据的，因此不会被一般的防火墙拦截

CNVD 国家信息安全漏洞共享平台

CNNVD 国家信息安全漏洞库

Heap Spray

Trusted Platform Module（TPM）称为可信平台模块

入侵检测系统（Host based IDS，HIDS）文件完整性检验

参考

[0] https://blog.csdn.net/qq_40837276/article/details/86583074