第一篇：信息安全與網絡安全復習總結
一、概述
1、計算機安全與網絡安全的區別 P1
計算機安全：負責信息存儲和處理過程的安全事務，主要防止病毒和非法訪問。
網絡安全：負責信息傳輸過程的安全事務，主要防止用戶非法接入、竊取或篡改傳輸過程中的信息。
計算機安全與網絡安全都是信息安全的組成部分。
2、病毒是一種且有自復制能力并會對系統造成巨大破壞的惡意代碼。P23、網絡安全體系結構由兩部分組成：網絡安全基礎---加密、報文摘要算法、數字簽名技術
及認證和各種安全協議；作用于網絡每層的安全技術。P134、計算機網絡安全的目標：保證網絡用戶不受攻擊；機密信息不被竊取；所有網絡服務能
夠正常進行。P15
二、黑客攻擊機制P191、竊取與截獲的區別
? 竊取是非法獲得信息副本，但不影響信息正常傳輸；
? 截獲是不僅非法獲得信息，且終止或改變信息傳輸過程；
2、DOS攻擊和Smurf攻擊的區別：P21
拒絕服務攻擊（DOS），就是用某種方法耗盡網絡設備或服務器資源，使其不能正常提供服務的一種攻擊手段。
SYN泛洪攻擊—消耗服務器資源
Smurf攻擊—耗盡網絡帶寬，使被攻擊終端不能和其他終端正常通信的攻擊手段。
3、黑客攻擊過程P27
? 收集信息；收集攻擊目標主機系統或網絡的相關信息
?網絡接入：撥號、無線局域網、以太網
? 主機系統信息：操作系統類型、版本、服務類型、軟件
? 網絡拓撲結構： 傳輸路徑、設備類型、網絡類型
?偵察---攻擊目標的缺陷、攻擊方法；
? 域名、IP地址
? 防火墻的漏洞
? 軟件的缺陷
? 允許建立TCP連接的端口號
? 能否放置木馬
?攻擊---攻擊目的和方法
? 癱瘓目標系統---拒絕服務攻擊
? 控制目標---利用漏洞上載惡意代碼（放置木馬）
5、緩沖區溢出原理：通過往沒有邊界檢測的緩沖區寫超出其長度的內容，造成該函數緩沖區的溢出，溢出的數據覆蓋了用于保留另一函數的返回地址的存儲單元，使程序轉而執行其它指令，以達到攻擊的目的。P326、信息安全由網絡安全、操作系統安全和應用程序安全三部分組成，其中操作系統安全和
應用程序安全統稱為計算機安全。P33
第三章 網絡安全基礎
1、對稱加密與公鑰加密區別
對稱加密：加密和解客的密鑰相同（單鑰）
公鑰加密：加密和解客的密鑰不相同（雙鑰）
2、公鑰加密和數字簽名的區別
3、報文摘要與消息認證的區別
4、密文安全性完全基于密鑰的安全性
5、對稱加密包括：流密碼和分組密碼體制
6、Feistel分組密碼結構及其在DES中的應用
Feistel結構是一種分組密碼體制下的加密運算過程。它的輸入是由明文分割后產生的固定為2W分的數據組和密鑰K，每組數據分為左、右兩部分；經過n次的迭代運算后，輸出2W位的密文。其中每次迭代的密鑰由原始密鑰K經過子密鑰生成運算產生子密鑰集｛k1,k2,…,kn｝，且上一次迭代運算的結果作為下一次運算的輸入。
數據加密標準（DES）采用feistel分組密碼結構。大致可分為：初始置換，迭代過程，逆置換和，子密鑰生成7、DES中的S盒計算：將48比特壓縮成32比特
輸入6比特:b1b2b3b4b5b6
輸出4比特：S(b1b6 ,b2b3b4b5)
8、DES中CBC模式的優良特性
由于加密分組鏈接模式中每一組數據組和前一組數據組對應的密文異或運算后作為加密運算模塊的輸入，因此即使密鑰相同的兩組相同數據組加密運算后產生的密文也不會相同，增加了加密算法的安全性。
9、RSA公鑰加密體制
? 公開密鑰: PK={e, n}
? 秘密密鑰: SK={d, n}
? 加密過程：把待加密的內容分成k比特的分組，k≤ log2n，并寫成數字，設為M，則：C=Memodn
? 解密過程：M = Cdmodn
密鑰產生:
1.取兩個大素數 p, q , p?q, 保密;
2.計算n=pq，公開n;
3.計算歐拉函數ф(n)=(p-1)(q-1)；
4.選擇整數e,使得 e與ф(n)互素;0 5.計算求滿足ed=1 mod?(n)的d.將d 保密，丟棄p, q10、Diffie-Heilman密鑰交換算法 ? 系統參數產生 1.）取大素數 p，2.）計算對應的本原元?，公開(p, ?); ? 用戶A取整數XA，計算YA=axa mod p 公告YA給用戶B; ? 用戶A取整數XB，計算YB=a xb mod p 公告YB給用戶A; ? KA=YBxa mod p,KB=YAxb mod p,KA=KB11、認證中心的作用及證書的表示 認證中心的作用是證明公鑰和用戶的綁定關系 證書的表示：1）用明文方式規定的用于確認公鑰PKB和用戶B之間綁定關系的證明 2）用認證中心的私鑰SKCA對上述明文的提出報文摘要進行解密運算后生成的密文Dskca(MD(P)).證書的主要內容包括：版本、證書序號、簽名算法標識符、簽發者名稱、起始時間、終止時間、用戶名稱、用戶公鑰信息、簽發者唯一標識符、用戶唯一標識符、擴展信息、Dskca(MD(P)).12、Kerberos認證系統的組成? 認證服務器---------------身份認證，? 通行證簽發服務器------獲取服務通行證，確認客戶是否授權訪問某個應用服務器 ? 應用服務器---------------訪問服務器 13、安全協議層 TLS（運輸層安全協議）運輸層 IPSec網絡層 802.1x（基于端口的接入控制協議）數據鏈路層(?) 14、EAP（擴展認證協議）的特點P65 與應用環境無關的、用于傳輸認證協議消息的載體協議，所有應用環境和認證協議都和這種載體協議綁定 15、IPSec體系結構P75 IPSec協議不是一個單獨的協議，它給出了應用于IP層上網絡數據安全的一整套體系結構，包括認證首部協議 Authentication Header（AH）、封裝安全凈荷協議Encapsulating Security Payload（ESP）、安全關聯和密鑰管理協議Internet Security Association and Key Management Portocol(ISAKMP）和用于網絡認證及加密的一些算法 1)安全關聯：用于確定發送者至接收者傳輸方向的數據所使用的加密算法和加密密鑰、MAC算法和MAC密鑰和安全協議等。安全關聯用安全參數索引SPI、目的IP地址和安全協議標識符唯一標識； 2)AH：認證首部的作用是認證發送者，數據完整性檢測； 認證首部AH包含安全參數索引SPI，序號、認證數據等。 運輸模式：在IP分組首部和凈荷之間插入AH，封裝成AH報文 隧道模式：在外層IP首部和凈荷之間插入AH，封裝成AH報文 3)ESP；ESP的作用是實現保密傳輸、發送者認證和數據完整性檢測 ESP首部包含安全參數和序號 ESP尾部包含填充數據、8位填充長度字段和8位下一個首部 運輸模式：在IP分組首部和凈荷之間插入ESP首部，在凈荷后面插入ESP尾部 隧道模式：在外層IP首部和凈荷之間插入ESP首部，在凈荷后面插入ESP尾部 4)ISAKMP；ISAKMP的作用：一是認證雙方身份，當然，每一方在認證對方身份前，應 該具有授權建立安全關聯的客戶名錄。二是建立安全關聯，建立安全關聯的過程是通過協商確定安全協議、加密密鑰、MAC密鑰和SPI的過程； 16、TLS協議的體系結構P60 握手協議參數切換協議報警協議TLS記錄協議 TCP IP 第四章 安全網絡技術 1、IPSec協議為什么不適用端點之間的身份認證？P92 路由協議是基于IP的高層協議，在它建立終端之間的傳輸路徑前，終端之間并不能實現端到端傳輸，所以IPSec協議并不適合用于實現傳輸路由消息的兩個端點之間的身份認證和路由消息的完整性檢測，需要開發專用技術用于解決路由消息的正確傳輸問題。 2、信息流的管制在SYN攻擊中的應用 信息流管制的方法是限制特定信息流的流量，特定信息流是指定源和目的終端之間和某個應用相關的IP分組序列，這樣的IP分組通過源和目的終端地址、源和目的端口號、協議字段值等參數唯一標識。 SYN泛洪攻擊是指黑客終端偽造多個IP，向Web服務器建立TCP連接請求，服務器為請求分配資源并發送確認響應，但是這些確認響應都不能到達真正的網絡終端。因此只要在邊緣服務器中對接入網絡的信息流量進行管制，就能有效地抑制SYN攻擊。 3、NATP106 NAT（Network Address Translation），網絡地址轉換，在邊緣路由器中實現的本地IP地址和全球IP地址之間的轉換功能。 第五章 無線局域網安全技術 1、解決無線局域網安全問題的方法？P116 認證：解決接入控制問題，保證只有授權終端才能和AP通信，并通過AP接入內部網絡； 加密：解決終端和AP之間傳輸的數據的保密性問題 2、WEP安全缺陷 ……P121-125 共享密鑰認證機制的安全缺陷 一次性密鑰字典； 完整性檢測缺陷； 靜態密鑰管理缺陷3、802.11i的兩種加密機制P125 臨時密鑰完整性協議（Temporal Key Integrity Protocol,TKIP） 計數器模式密碼塊鏈消息完整碼協議(CTR with CBC-MAC Protocol,CCMP) 4、802.1x認證機制P131-136 雙向CHAP認證機制…… EAP-TLS認證機制…… 動態密鑰分配機制…… 第六章 虛擬專用網絡 1、專用網絡與虛擬專用網絡的區別： P141-142 專用網絡----費用昂貴、協商過程復雜、利用率低； 網絡基礎設施和信息資源屬于單個組織并由該組織對網絡實施管理的網絡結構；子網互聯通過（獨占點對點的專用鏈路）公共傳輸網絡實現。 虛擬專用網絡----便宜，接入方便，子網間傳輸路徑利用率較高 通過公共的分組交換網絡（如Internet）實現子網之間的互聯，并具有專用點對點鏈路的帶 寬和傳輸安全保證的組網技術。 2、基于IP的VPN結構P143 在IP網絡的基礎上構建的性能等同于點對點專用鏈路的隧道，并用隧道實現VPN各子網間的互聯。根據隧道傳輸的數據類型可分為IP隧道和第2層隧道，IP隧道傳輸IP分組，第2層隧道傳輸鏈路層幀。 3、VPN的安全機制：IPSecP147-148 IP分組和鏈路層幀在經過隧道傳輸之前，在隧道兩端建立雙向的安全關聯，并對經過隧道輿的數據進行加密、認證和完整性檢測，即IPSec 加密：保證數據經過IP網絡傳輸時不被竊取 認證：保證數據在隧道兩端之間的傳輸 完整性檢測：檢測數據在傳輸中是否被篡改 4、VPN需實現的功能P149 1）實現子網之間使用本地IP地址的ip分組的相互交換； 2）實現隧道的封閉性、安全性，使外部用戶無法竊取和篡改經過隧道傳輸的數據 第七章 防火墻 1、防火墻的功能P173 防火墻是一種對不同網絡之間信息傳輸過程實施監測和控制的設備，尤其適用于內部網絡和外部網絡之間的連接處。 ? 服務控制：不同網絡間只允許傳輸與特定服務相關的信息流。 ?? 用戶控制：不同網絡間只允許傳輸與授權用戶合法訪問網絡資源相關的信息流。?2網絡防火墻的位置：內網和外網和連接點 3、單穴與雙穴堡壘主體結構和性質區別P190-191 單穴堡壘主機只有一個接口連接內部網絡； 堡壘主機的安全性基于外部網絡終端必須通過堡壘主機實現對內部網絡資源的訪問； 單穴堡壘主機把外部網絡終端通過堡壘主機實現對內部網絡資源的訪問的保證完全基于無狀態分組過濾器的傳輸控制功能。 雙穴指堡壘主機用一個接口連接內部網絡，用另一個接口連接無狀態分組過濾器，并通過無狀態分組過濾器連接外部網絡；這種結構保證外部網絡終端必須通過堡壘主機才能實現對內部網絡資源的訪問； 4、統一訪問控制的需求及實現（？）P193-195 需求： （1）移動性---終端用戶不再固定到某一個子網； （2）動態性---終端用戶的訪問權限是動態變化的； （3）訪問權限的設置是基于用戶的統一訪問控制：在網絡中設置統一的安全控制器，實施動態訪問控制策略的網絡資源訪問控制系統。由UAC代理、安全控制器和策略執行部件組成。 第八章 入侵防御系統 1、入侵防御系統的分類P205-206 入侵防御系統分為主機入侵防御系統和網絡入侵防御系統 主機入侵防御系統檢測進入主機的信息流、監測對主機資源的訪問過程，以此發現攻擊行為、管制流出主機的信息流，保護主機資源； 網絡入侵防御系統通過檢測流經關鍵網段的信息流，發現攻擊行為，實施反制過程，以此保 護重要網絡資源； 2、主機入侵防御系統的工作原理及目的P223-224 工作原理：首先截獲所有對主機資源的操作請求和網絡信息流，然后根據操作對象、系統狀態、發出操作請求的應用進程和配置的訪問控制策略確定是否允許該操作進行，必要時可能需要由用戶確定該操作是否進行。 目的：防止黑客對主機資源的非法訪問 4、網絡入侵防御系統的工作過程 1) 2) 3) 4)報警； 5) 第九章 網絡管理和監測 1、網絡管理的功能P231 故障管理 計費管理 配置管理 性能管理 安全管理 2、網絡管理系統結構P232 由網絡管理工作站、管理代理、管理信息庫（MIB）、被管理對象(網絡管理的基本單位)和網絡管理協議(SNMP)組成。 3、SNMP SNMP的功能是在管理工作站和管理代理之間傳輸命令和響應 4、網絡性能瓶頸P244 1)監測過載結點 2)分析流量組成3)限制終端流量 第十章 安全網絡設計實例 1、網絡安全主要的構件 P247-248 ? 接入控制和認證構件 ? 分組過濾和速率限制構件 ? 防火墻 ? 入侵防御系統 ? VPN接入構件 ? 認證、管理和控制服務器 2、安全網絡設計步驟P248-249 1)確定需要保護的網絡資源---只對網絡中重要且容易遭受攻擊的網絡資源實施保護； 2)分析可能遭受的攻擊類型； 3)風險評估----使設計過程變得有的放矢； 4)設計網絡安全策略； 5)實現網絡安全策略； 6)分析和改進網絡安全策略。 第十一章 應用層安全協議 1、徹底解決Web安全需要什么？---構建網絡安全體系P2592、網絡體系結構中安全協議P259-260 網絡層---IPSec：在網絡層上實現端到端的相互認證和保密傳輸 運輸層---TLS：在運輸層上實現端到端的相互認證和保密傳輸 應用層---SET：安全電子交易協議，實現網絡安全電子交易 3、SET的組成： (a)持卡人； (b)商家； (c)支付網關； (d)認證中心鏈； (e)發卡機構； (f)商家結算機構。 4、數字封面的設計原理…… P265-266 用指定接收者證書中的公鑰加密對稱密鑰，結果作為數字封面 數字封面=EPKA（KEY），E是RSA加密算法 5、雙重簽名原理及其實現 雙重簽名（DS）= DSKC（H（H(PI)||H（OI)））; 雙重簽名： (1)雙重簽名的目的： 將每次電子交易涉及的購物清單OI和支付憑證PI綁定在一起； 商家A’----需要OI和PIMD=H(PI), 不允許獲得PI； 支付網關G----需要PI和OIMD=H(OI), 不需要OI (2)持卡人用私鑰SKC和公鑰解密算法DSKC(.)，生成雙重簽名 DS= DSKC(h’)，h’=H(PIMD||OIMD); ----向商家發送{DS，OI，PIMD}； ----向支付網關發送{DS，PI，OIMD}； (3)用帳戶C的公鑰PKC和公鑰加密算法EPKC(.)，商家驗證雙重簽名 EPKC(DS)= H(PIMD||H(OI)); (4)用帳戶C的公鑰PKC和公鑰加密算法EPKC(.),支付網關G驗證雙重簽名EPKC(DS)= H(OIMD||H(PI)); 6、PSG的功能 主要實現發送端認證、消息壓縮、加密及碼制轉換等功能 7、防火墻在信息門戶網站的配制 防火墻配置要求只允許內部網絡用戶訪問門戶網站，只允許門戶網站發起對服務器的訪問過程，以此保證內部網絡用戶必須通過門戶網站實現對服務器的訪問。 一、網絡攻擊和防御包括哪些內容 攻擊性技術包括以下幾個方面：1網絡監聽。自己不主動去攻擊別人，而在計算機上設置一個程序，去監聽目標計算機與其它計算機通信的數據。2網絡掃描。利用程序去掃描計算機開放的端口等，目的是發現漏洞，為入侵該計算機做準備。3網絡入侵。當探測發現堆放存在漏洞后，入侵到目標計算機獲取信息4網絡后門。成功入侵目標計算機后，為了實現隊戰利品的長期控制，在目標計算機中種植木馬風后門5網絡隱身。入侵完畢退出目標計算機后，將自己入侵的痕跡清除，從而防止被對方管理員發現。 防御技術：1安全操作系統和操作系統的安全配置。操作系統是網絡安全的關鍵。2加密技術。為防止被監聽和數據被盜取，將所有的數據進行加密3防火墻技術。利用防火墻，對傳輸的數據進行限制，從而防止被入侵4入侵檢測。如果網絡文件最終被突破，需要即時發出被入侵的警報5網絡安全協議。保證傳輸的數據不被竊取和監聽。 二、蜜罐：是一種計算機網絡中專門被吸引并誘騙那些試圖非法入侵他人計算機系統的人而設計的陷阱。設置蜜罐的目的主要用于被監聽被攻擊，從而研究網絡安全的相關技術和方法。 三、DoS攻擊 DoS攻擊是一種實現簡單但又很有效的攻擊方式。攻擊的目的是讓被攻擊的主機拒絕用戶的正常服務訪問，破壞系統的正常運行，最終使用戶的部分internet鏈接和網絡系統失效。最基本的dos攻擊就是利用合理的服務請求來占用過多的服務資源，從而使合法用戶無法得到服務。 四、為什么需要網絡踩點：就是通過各種途徑隊所要。常見的踩點方式：在域名極其注冊機構的查詢，公司性質的了解，對主頁進行分析，郵件地址的搜集和目標ip地址的查詢。踩點得目的：探查對方的各方情況，確定攻擊的時機。摸清對方最薄弱的環節，和首位最松散的時刻，為下一步的入侵提供良好的策略。 五、對稱加密與非對稱解密：在一個加密系統中，加密和解密用同一個密鑰，叫對稱加密，也叫單密鑰加密。如果系統采用雙密鑰，兩個相互關聯的密碼，一個加密，一個解密，叫非對稱加密，攻鑰加密。 六、在網絡入侵中，將自己偽裝成合法用戶來攻擊系統的行為，稱為冒充。復制合法用戶發出的數據，然后進行重發以欺騙接受者的行為稱為重放。終止或干擾服務器，為合法用戶提供服務的行為，稱為服務拒絕。 七、在LAND攻擊中，LAND報文中的原ip地址和目的的地址相同。 八、防火墻將網絡分割成兩部分，…即兩個不同的安全域隊伍接入int的局域網，…其中局域網屬于可信賴的安全域，而int屬于不可信賴的非安全域。 九、VPN系統中的身份認證技術包括：用戶身份認證和信息認證兩種類型。 十、PKI（公鑰基礎設施）是利用密碼學中的公鑰概符合標準的一整套安全基礎平臺。PKI能為各種不同安全需求的客戶提供各種不同的網上安全服務所需要的密鑰和證書。這些安全服務主要包括：身份識別與鑒別（認證），數據保密性，數據完整性，不可否認行性及時間戳服務等，從而達到網上傳遞信息的安全，真實，完整和不可抵賴得目的。PKI的技術基礎之一是公開密鑰體制，技術基礎之二實加密機制。 十一、防火墻分路由模式和透明模式兩類。當用防火墻連接同一網狀的不同設備時，可采用用戶身份認證防火墻，而用防火墻兩個完全不同網絡時，則需要使用信息認證防火墻。 十二、DNSSCE（域名系統安全擴展）是在原有的域名系統DNS上通過公鑰技術對DNS信息進行數字簽名，從而提供DNS的安全認證和信息完整性檢驗。發送方首先使用Hash函數，對要發送的DNS信息進行計算，得到固定長度的“”信息摘要，對信息摘要用私鑰進行加密，此過程實現了對“信息摘要”的秋衣簽名，最后將要發送到DNS信息，該DNS信息的“信息摘要”以及該信息摘要的數字簽名，一起發送出來。接收方首先采用攻鑰系統中的對應攻鑰對接收到的信息摘要的數字簽名進行解密，得到解密后的“信息摘要”、用與發送方相同的Hash函數對接收到的DNS信息運算，得到運算后的信息摘要。最后，對解密后的信息摘要和運算后的比較，如果兩者值相同，就可以確認接收到的DNS信息是完整的，即是由正確的DNS服務器得到相應。 【補充】 1.在密碼學中，密碼算法對明文處理方式是不 同的，可把密碼系統分為：序列密碼和分組密碼。 2.PKA 的技術基礎包括：公開密鑰體制和加密 體制。 3.DNS可同時調用TCP和UDP的53端口，其中 UDP53用于DNS客戶端與DNS服務器的通信，而TCP53端口用于DNS區域間的復制。 4.和病毒相比，蠕蟲的特點是消耗計算機內存 和網絡帶寬。 5.DNS的緩存中毒：DNS為提高查找效率，采 用了緩存機制，把用戶查詢過的最新記錄放在緩存中并設置生存周期。緩存中的記錄一旦被查詢DNS服務器可將記錄直接反給客戶端。DNS緩存中毒是在緩存中存入大量錯誤數據記錄，這些記錄是攻擊者偽造的由于DNS服務器之間會進行記錄的同步復制，因此生存周期內緩存中毒的DNS服務器可能將錯誤的記錄發給其他DNS服務器。6.機密性：確保信息不暴露給未經授權的人和應用進程。完整性：只有得到允許的人或應用進程才能修改數據并且能判斷出數據是否被修改。可用性：只有得到授權的用戶在需要時才能訪問數據。可控性：能夠為授權范圍內的信息流向和行為方式進行控制。7.PMI（授權管理基礎設施）：PMI以資源管理為核心，對資源訪問控制權統一交由授權機構處理，PMI能與PKI緊密集成并系統的建立起對認可用戶的特定授權，對權限管理進行系統的定義和描述，完整的提供授權服務所需過程。8.防火墻：設置在不同網絡之間或網絡安全域之間的一系列的部件的組合，通過檢測、限制、更改進入不同網絡或不同安全域的數據流，盡可能的對外屏蔽網絡內部的信息結構和運行狀況，以防止發生不可預測的潛在破壞性的入侵，實現網絡的安全保護。9.UPN（虛擬專用網）：UPN是利用Internet等公共網絡的基礎設施，通過隧道技術為用戶提供一條與專用網絡具有相同通信功能的安全數據通道，實現不同網絡之間以及用戶與網絡之間的相互連接，其中虛擬是指用戶不需要建立自己專用的物理線路，而是利用因特網資源建立一條邏輯上的專用數據通道，專用網絡是指這一虛擬出來的網絡，不是任何連在公共網絡上的用戶都可使用的，只有經過授權的用戶才可以使用，且傳輸的數據經過了加密和認證，保證了傳輸內容的完整性和機密性。10.個人防火墻的只要功能和應用特點：防火墻是指設置在不同網絡之間或網絡安全域之間的一系列的部件的組合，通過檢測、限制、更改進入不同網絡或不同安全域的數據流，盡可能的對外屏蔽網絡內部的信息結構和運行狀況，以防止發生不可預測的潛在破壞性的入侵，實現網絡的安全保護。個人防火墻是依靠安裝在個人計算機上的軟件系統，它能夠監視計算機的通信狀況，一旦發現有對計算機產生危險的通信就會報警通知管理員或立即中斷網絡連接，以此實現對個人計算機上重要數據的安全保護，個人防火墻是在企業防火墻的基礎上發展起來的采用的技術，也與企業防火墻基本相同，但在規則的設置防火墻的管理等方面，進行了簡化，使非專業的普通用戶能夠容易的安裝和使用，為了防止安全威脅對個人計算機產生的破壞個人防火墻主要功能如下：防止因特網上的用戶攻擊;阻斷木馬及其他惡意軟件的攻擊；為移動計算機提供安全保護與其他安全產品進行集成。11.有關拒絕服務攻擊（DoS）的實現方法：DDoS(分布拒絕服務攻擊)攻擊是利用一批受控制的主機向一臺主機發起攻擊，其攻擊的強度和造成的威脅要比DoS攻擊嚴重的多，破壞性也更強，在整個DDoS攻擊中共有四部分組成：攻擊者；主控端；代理服務器和被攻擊者。攻擊者是指整個DDoS攻擊的主控臺負責向主控端發攻擊命令，主控端是攻擊者非法侵入并控制的一些主機，通過這些主機再分別控制大量的代理服務器，代理服務器也是攻擊者侵入并控制的一批主機，同時攻擊者也需要再入侵這些主機并獲得對這些主機的寫入權限后在上面安裝并運行攻擊程序，接收和運行主控端發來的命令。被攻擊者是DDoS攻擊的對象，多為一些大型企業的網站和數據庫系統。 教學內容信息與網絡安全課型新課 教學 目 標知識 與技能讓學生了解網絡安全的重要性、計算機病毒、病毒的特點和傳播方式等內容。過程 與方法:通過舉例講解讓學生了解網絡安全和計算機病毒相關知識。 情感態度 與價值觀:通過本部分內容的了解,培養學生文明上網的意識。 教材分析 本節內容主要講解網絡安全的相關內容。 教學流程教師指導學生活動設計意圖 一、課前準備 二、引入: 三、教學過程:概述,網絡中的信息。 今天我們就來看看信息與網絡安全。 1、計算機病毒是怎么回事。讓學生傾聽網絡中的信息,并回答教師相關問題。 學生傾聽 學生傾聽并并在老師的引導下說出自己遇到過“怪異”情況。讓學生對信息與網絡安全有大概的了解。 引入 讓學生明白計算機病毒無處不在。 復習總結 第一章 信息安全概述 1.信息安全、網絡安全的概念對信息的安全屬性的理解；常見的安全威脅有哪些？信息安全保障（IA）發展歷史信息保障（IA）的定義 第二章 我國信息安全法律法規和管理體制(了解) 第三章 密碼學基礎 1.按照密鑰的特點對密碼算法的分類 對稱密碼算法的優缺點；非對稱密碼算法的優缺點； 2.基于公鑰密碼的加密過程；基于公鑰密碼的鑒別過程 3.密鑰管理中的主要階段 4.哈希函數和消息認證碼；消息認證方案 5．數字簽名、數字信封的原理 第四章 密碼學應用（PKI和VPN） （一）PKI 1.PKI、CA定義 2.SSL協議的工作流程 3.SSL在網絡購物、電子商務、電子政務、網上銀行、網上證券等方面的應用 （二）VPN 1.VPN概述 --為什么使用VPN --什么是VPN --VPN關鍵技術（隧道技術、密碼技術、QoS技術） --VPN分類（Access VPN和網關-網關的VPN連接） 2.IPSec 的組成和工作原理 IPSec安全協議（ESP機制、傳輸模式與隧道模式的特點及優缺點；AH、傳輸模式與隧道模式的特點） 3.VPN的安全性 第五章 訪問控制與審計監控 1.訪問控制模型 （1）自主訪問控制模型（DAC Model） -----訪問控制的實現機制：訪問控制表、訪問控制矩陣、訪問控制能力列表、訪問控制安全標簽列表 （2）強制訪問控制模型（MAC Model） -----Bell-LaPadula模型、Biba模型 （3）基于角色的訪問控制模型 2.安全審計的內容和意義 3．防火墻的功能、防火墻的局限性 4.防火墻的分類（個人防火墻、軟件防火墻、一般硬件防火墻和純硬件防火墻的特點、典 型應用）防火墻的體系結構 分組過濾路由器、雙宿主機、屏蔽主機和屏蔽子網的特點、優缺點防火墻的實現技術 數據包過濾、代理服務和狀態檢測技術的工作原理/過程、優缺點； 第六章 入侵檢測技術 1.IDS基本結構（事件產生器、事件分析器、事件數據庫和響應單元） 2.入侵檢測技術 （1）異常檢測技術的原理和優缺點 （2）誤用/濫用檢測技術的原理和優缺點） 第七章 病毒防護技術概述（計算機病毒定義、特征、傳播途徑和分類） 惡意代碼：特洛伊木馬的攻擊步驟、特征和行為、傳播途徑；計算機蠕蟲的主要特點、組成 2 病毒原理 計算機病毒的邏輯結構 傳統病毒、引導型和文件型病毒的工作流程 宏病毒及其特點、機制、工作流程 網絡病毒的特點、種類、傳播方式病毒技術（寄生技術、駐留技術、加密變形技術、隱藏技術）反病毒技術 計算機病毒檢測技術、計算機病毒的清除、計算機病毒的免疫、計算機病毒的預防 第八章 網絡攻擊與防范 1.典型的網絡攻擊的一般流程 2.常見的網絡攻擊的手段和攻擊原理舉例 第九章Windows 操作系統安全和Web安全（做實驗） 第十章 補充內容 1.業務連續性計劃（了解） 數據備份技術（做實驗） 災難恢復技術 安全應急響應安全管理（了解） 風險評估 人員和機構管理 信息安全管理標準信息系統安全方案設計方法（理解）（寫報告：XXXXX信息系統安全方案設計） 1）信息系統基本結構及資源分析，包括：網絡結構、資源分析（硬件、軟件和數據資源； 服務與應用） 2)安全風險分析（資源分析、脆弱性分析、威脅分析） 3)安全需求分析 方法：（1）按對信息的保護方式進行安全需求分析 （2）按與風險的對抗方式進行安全需求分析 4)系統安全體系 (1)建立安全組織體系: 安全組織建立原則、安全組織結構、安全組織職責 （2）建立安全管理體系: 法律管理、制度管理、培訓管理 5)安全解決方案 （1）物理安全和運行安全 （2）網絡規劃與子網劃分（網絡拓撲） （3）網絡隔離與訪問控制 （4）操作系統安全增強 （5）應用系統安全 （6）重點主機防護 （7）連接與傳輸安全 （8）安全綜合管理與控制 //////////////////////////////////////////////////////////////////////////// 報告格式： XXXXX信息系統安全方案設計 一、XXXXX安全背景與現狀 1.某單位組織機構和信息系統簡介 包括哪些部門，具有什么職能，需要保護的相關數據有哪些等等，對信息系統的使用情況說明。 2.用戶安全需求分析 日常情況下，該單位各部門在使用信息系統時，會有哪些安全隱患？ 3.描述所面臨的主要風險(如：頁面被篡改、在線業務被攻擊、機密數據外泄等) 二、安全需求分析 （1）按對信息的保護方式進行安全需求分析 （2）按與風險的對抗方式進行安全需求分析 三、安全解決方案 （1）物理安全和運行安全 （2）選擇和購買安全硬件和軟件產品（防火墻、入侵檢測系統、防病毒軟件、掃描軟件） （3）網絡規劃與子網劃分（畫：網絡拓撲圖） （4）網絡隔離與訪問控制（防火墻的正確配置） （5）操作系統安全增強（操作系統補丁升級） （6）應用系統安全（漏洞掃描） （7）重點主機防護 （8）連接與傳輸安全 （9）安全綜合管理與控制 四、安全運維措施（業務連續性計劃） （1）數據備份（選擇哪種數據備份技術、安排備份計劃、信息備份和設備備份） （2）日志審計和備份 （3）制定災難恢復 （3）制定安全應急響應 可供選擇的題目： 應用案例一：某市某機關單位 應用案例二：某校園網 應用案例三：國家某部委全國信息網絡系統 應用案例四：電子政務安全應用平臺 …………………………………………………………………等等 信息安全導論論文 論文標題：網絡安全與防護 班級：1611203班 姓名：劉震 學號：16112032 4網絡安全與防護 摘要： 網絡已經成為了人們生活中不可缺少的重要元素，沒有了網絡，人們現代化的生活將會出現很大的不便。但是網絡出現的安全性問題不禁令人擔憂，對于愈發依賴于網絡的人們，我們應該怎么避免出現安全性問題呢？ 提出問題： 隨著電子信息業的發展，Internet正越來越多地離開了原來單純的學術環境，融入到社會的各個方面。一方面，網絡用戶成分越來越多樣化，出于各種目的的網絡入侵和攻擊越來越頻繁；另一方面，網絡應用也已經滲透到金融、商務、國防等關鍵的要害。因此，網絡安全包括其上的信息數據安全和網絡設備服務的安全運行，已經成為國家、政府、企業甚至個人利益休戚相關的事情。所以，如何保障網絡安全，儼然成為了現代計算機發展中一個重要的話題。分析問題： 一、網絡發展的現狀 我們幸運的生長在一個網絡時代，雖然從計算機誕生到現如今不到70年的時間，但是在這短短的70年時間內，計算機的發展史超乎想象的，從最初的需要占用幾個房間的原始計算機到現在隨身可以攜帶的筆記本，計算機已經普及到了平常的老百姓家。而計算機網絡的發展相對于計算機的歷史來說則更是短的多，然而網絡給人們帶來的方便和快捷卻是之前人類的任何一項技術都不能比擬的。現如今，網絡早已滲透到各個領域，如網上銀行，網上購物，上網查詢資料，看電影，聽音樂，現在更是出現了云空間，可以將用戶的文件上傳并且存儲，在需要時，只要有網絡便可以輕松下載，隨時隨地可以獲得自己想要的信息。可以說，如果現在沒有了網絡，我們的生活會在一段時間內變得一塌糊涂，畢竟現在的人們太過依賴于網絡。 二、信息泛濫的信息時代 俗話說的好，網絡是一把雙刃劍。目前，網絡上的色情內容泛濫，已引起廣泛的社會關注，利用互聯網向兒童傳播色情和誘導兒童犯罪等現象日趨嚴重。同時，網絡游戲也是導致學生荒廢學業的一個重要原因。 以上所說的只是網絡負面影響的一部分而已，可以說網絡上的不良信息多如牛毛，而他們的傳播對象多為沒有抵抗力的學生，甚至有學生在網上玩暴力游戲之后在現實生活失控的案例。 三、病毒泛濫的信息時代 網絡病毒在計算機網絡普及的現代早已經不是什么新鮮的名詞了，但是對它們的歷史卻是很少有人了解。 從1982年攻擊個人計算機的第一款全球病毒誕生到現在已經有了31年的時間，在這些年間，病毒的種類和破壞方式不斷的翻新。 2000年，一個叫做“愛蟲”的病毒就以極快的速度感染了全球范圍內的個人計算機系統。這是一種蠕蟲類腳本病毒，通過電子郵件附件進行傳播，對電子郵件系統產生極大的危害。該病毒在數小時內就感染了大量的個人計算機，幾乎 使得整個計算機網絡癱瘓。 2001年，在PC機迎來它20歲生日的時候，“CAM先生”和“紅色代碼”病毒侵襲了全球的計算機系統，在短短數天的時間里已經讓美國損失了近20億美元。同年，美國將近數百萬的電腦被“求職信”病毒攻擊導致癱瘓。 2003年，電腦病毒“沖擊波”突襲，全球混亂。2004年，又出現了“震蕩波”，并且由于其較大的破壞性，被人們戲稱為“毒王”。 再說說國內此時的情況。21世紀初期是我國計算機用戶急速增長的一個時間段，但是由于中國新增的用戶網絡安全意識較差，導致國內地域化的病毒爆發頻繁。就比如2007年的“熊貓燒香”，它會使所有的程序圖標都變成“熊貓燒香”，并使其不能運行，更可惡的是，該病毒還會刪除擴展名為“gho”的文件，使用戶無法使用ghost軟件恢復操作系統。 進入2008年，一種利用系統漏洞從網絡入侵的病毒——“掃蕩波”開始蔓延。它的快速傳播帶有一定的諷刺性，當時恰逢微軟打擊盜版系統的黑屏事件，大批用戶關閉了系統的自動更新功能，從而讓該病毒有機可乘。 有金山云安全檢測中心與2010年1月4日發布的最新數據顯示，僅元旦三天，互聯網新增的病毒、木馬數已經接近50萬。在元旦的前后一個月時間里，全球業已有7.5萬臺電腦感染“僵尸”病毒，還有80萬電腦受到感染的“隱身貓”病毒。 四、網絡隱患的原因 1.現代網絡速度快并且規模大。當今的網絡傳播的媒介已經不像網絡剛剛誕生時那樣的單一，現在的網絡通過光纖傳播，有的容量甚至已經達到了3.2Tbps！同時，現在的網絡也四通八達的，在國內任何一個網站都可以輕松的找到（國外的需要翻墻），感染病毒的概率也因此增大。 2.方案設計的問題。在實際的網絡布線中，不可能像理論的那么完美，經常會出現一些為了實現某些異構網絡間信息的通信，往往會犧牲一些安全機制的設置和實現，從而提出更高的網絡開放性要求。但有些特定的環境會有特定的安全需求，所以不存在可以通用的設計方案。如果設計者的安全理論與實踐水平不夠的話，他設計出來的方案可能會出現很多的漏洞。 3.系統的安全漏洞。隨著軟件系統規模的擴大，系統的安全漏洞也不可避免。就算是微軟這樣的國際型的公司設計出來的標志性產品windows操作系統，也必須不斷的更新來彌補系統原先的漏洞，而且就算更新也不可能將系統的漏洞完全杜絕。不僅僅是操作系統，還有我們應用的軟件，他們之所以在不斷的更新也是為了彌補其中的漏洞。而軟件或者系統漏洞的出現可能只是因為程序員的一個疏忽，設計中的一個小缺陷而已。 4.網絡協議的安全問題。因特網最初設計考慮時該往不會因局部的故障而影響信息的傳輸，因此基本沒有考慮過安全問題，因此它在安全可靠、服務質量、帶寬和方便性等方面存在嚴重的不適應性。同時，作為因特網核心的TCP/IP協議更存在著很大的安全隱患，缺乏強健的安全機制，這也是網絡不安全的主要因素之一。 5.人為因素。計算機病毒不會憑空而生，其根本原因還是在于人。而人為因素也存在以下兩種。 （1）人為的無意失誤。比如說操作員安全配置不當，用戶的安全意識不強，用戶口令選擇不慎，或者用戶將自己的賬號輕易借給他人或與別人共享，這些行為都有可能給網絡安全帶來威脅。 （2）人為的惡意攻擊。黑客這個詞大家想必也不陌生，但是真正了解他們的人也不多。在普通的計算機用戶眼中，他們或許是一群神秘的人，他們擁有著常人無法達到的計算機技術，只是他們用他們的技術來干一些違法的事情，比如侵入別人的電腦，盜取用戶信息，或者侵入公司的數據庫，盜取有用資料賣給敵對的公司，更有甚者侵入國家安全部門盜取國家機密！黑客的攻擊分為主動攻擊和被動攻擊。主動攻擊是以各種方式有選擇地破壞信息的有效性和完整性，而被動攻擊則是在不影響網絡正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信息。黑客活動幾乎覆蓋了所有的操作系統，包括windows，Unix，Linux等等。而且黑客的攻擊比病毒攻擊更具有目的性，因此也更具有危害性。同時，網絡犯罪的隱蔽性好，并且殺傷力強，因此成為網絡安全的主要威脅之一。 6.管理上的因素。網絡系統的嚴格管理是企業、機構以及用戶免受攻擊的重要措施。但是事實上，很多的企業、用戶的網站或系統都疏于安全方面的管理。在美國，很多公司對黑客的攻擊準備不足，甚至還有可能是公司的內部人員泄露機密，這樣對公司造成的損失是不必要的，如果企業加強安全管理，就可以避免這些不必要的損失。 五、網絡攻擊常用技術 1.口令的破解。這是黑客常用的方法之一，也是黑客利用系統通常沒有設置口令或者口令設置的不科學、太簡單，來輕易的侵入系統。具體的方法有窮舉法，字典發，缺省的登陸界面攻擊法等等。 2.計算機病毒攻擊法。這是一種較為常見的攻擊方法，從計算機網絡誕生到現在，影響巨大的計算機病毒攻擊事件不勝枚舉。特別聞名的有“愛蟲”，“梅麗莎”，“熊貓燒香”等等。 3.拒絕服務攻擊。這是新的一種黑客攻擊方法，黑客采用“無法向用戶提供服務”的攻擊方式，向各大網站發送了及其大量的信息（垃圾郵件），致使這些網站的計算機無法容納，從而是用戶無法進入網站。 4.網絡監聽。這亦是黑客們常用的工具。網絡監聽工具可以監視網絡的狀態、數據流動情況以及網絡上傳輸的信息。當信息已明文的形式在網絡上傳輸時，便可以使用網絡監聽的方式來進行攻擊。 5.特洛伊木馬。這是一種將木馬程序植入到系統文件中，用跳轉指令來控制木馬。其傳播方式有e-mail傳播，和將木馬程序捆綁在軟件的安裝程序上，在用戶不知情的情況下下載安裝，便可將木馬程序安裝到用戶的計算機上。 6.后門以及緩沖區溢出。任何系統都是有bug的，即使是微軟的Windows。黑客會對Windows系統Cmd.exe的訪問權限進行攻擊，就可以獲得一般用戶的身份及權限。不過系統漏洞一旦被發現，生產商就會立即發補丁糾正，所以一般不會有流傳很廣或者能夠使用很長時間的系統漏洞。 解決問題 對于上述網絡安全隱患，我認為真正的解決方法，也就是完全消除網絡安全隱患的方法是不存在的，除非你拔出網線，這輩子都不在與互聯網打交道，否則的話，你就需要面對網絡的安全隱患。但是對于安全的問題，我想應該是可以不斷的優化的。 對于網絡布線方案的設計，人們在不斷的尋找最優解。雖然也許不存在這樣的最優解，但是我想只要是優秀的設計師，應該可以統籌兼顧。 至于系統的安全漏洞，我只想說，人無完人，一個龐大的系統，不出現漏洞 是不可能的，尤其是我們在編寫代碼的時候還需要考慮機器的情況，為了適應機器，可能會不得已的使用一些算法，從而造成一些漏洞。或者是相反的情況，有的時候計算機的硬件雖然可以跟得上，但是我們還沒有一個好的算法來實現某些問題，所以不得不用有漏洞的那些算法，所以說我們對于某些算法的優化做的還不是很好，在未來或許會出現很多非常優秀的算法，這樣也可以避免掉一些系統的漏洞。 而對于黑客，我們可以用法律來強制性的限制他們。或者在平時加強對計算機人員的思想道德教育，讓黑客認識到他們所作的會給人們帶來怎樣的損失。 但是這些都只是從主觀上來降低網絡安全隱患，從客觀上來說，我們需要做到以下幾點： 1.硬件系統的安全防護。在物理設備上進行必要的設置，避免黑客獲得硬件設備的遠程控制權指的是安全設置安全。比如加載嚴格的訪問列表，口令加密，對一些漏洞端口禁止訪問等。 2.防火墻技術。在網絡的訪問中，有效攔截外部網絡對內部網絡的非法行為，可以有效保障計算機系統安全的互聯網設備就是防火墻。入侵者想要侵入用戶的電腦必須經過防火墻的防線，用戶可以將防火墻配置成多種不同的保護級別。一個好的防火墻可以再很大的程度上阻止黑客的入侵。但是世上沒有不透風的墻，再好的防火墻也會有被發現漏洞的一天，所以防火墻一定要及時更新。 3.漏洞的修補。計算機軟件生產廠商一旦發現自己發布的軟件出現漏洞的話，應該做到對漏洞進行安全分析，并且及時發布補丁，以免漏洞被不法分子利用，造成不必要的損失。 4.加強網絡安全管理。網絡需要一套完整的規章制度和管理體制，并且要加強計算機安全管理制度的建設。同時還要加強網絡相關技術人員安全知識教育，對技術員和網絡管理員的職業道德與專業操作能力要不斷的加強。對于企業計算機網絡的安全，各企業需要與相關技術人員簽訂保密協議，并根據公司的規定做好數據備份。最主要的是要對相關人員加強安全知識教育，鼓勵相關人員持證上崗，加強他們的只是儲備，并強化實踐學習。 總結 網絡時代的網絡也是日新月異。從之前的物理傳輸變成了現在的無線傳輸，wifi和平板即將成為未來一段時間的主潮流。網絡的發展其安全問題必然十分重要，但是在未來那個wifi開放的時代，應該怎樣保證網絡的安全，這也是一個重要的問題。 通過這門課的學習，我也大概了解了我所學習的專業所需要掌握的知識以及其重要性，希望通過日后的學習能夠加強我的個人能力，為信息安全作出一些貢獻。 參考文獻： 《身邊的網絡安全》 機械工業出版社 王彬 李廣鵬 史艷艷編著2011年出版 《網絡安全》 東北財經大學出版社薛偉 史達編著2002年出版 《淺談互聯網網絡安全隱患及其防范措施》網絡文檔 百度百科 計算機網絡第二篇：信息與網絡安全[最終版]
第三篇：信息與網絡安全教案
第四篇：信息安全復習總結內容
第五篇：信息安全導論論文——網絡安全
點擊咨詢 