信息安全總結(jié)

信息安全總結(jié)1：網(wǎng)絡(luò)安全的五種屬性，并解釋其含義：7：CA之間的信任模型有哪幾個，分別描述。保密性：Confidentiality保密性是指保證信息不能被非授權(quán)訪問，即使非授權(quán)用戶得到信息也單CA信任模型：整個PKI中只有一個CA，為所有的終端用戶簽發(fā)和管理證書，PKI中的所無法知曉信息內(nèi)容，因而不能使用。通常通過訪問控制阻止非授權(quán)用戶獲得機(jī)密信息，通過加有終端用戶都信任這個CA。每個證書路徑都起始于改CA的公鑰，改CA的公鑰成為PKI系密變換阻止非授權(quán)用戶獲知信息內(nèi)容。統(tǒng)中的唯一用戶信任錨。完整性：Integrity完整性是指維護(hù)信息的一致性，即信息在生成、傳輸、存儲和使用過程中不優(yōu)點：容易實現(xiàn)，易于管理，只需要一個根CA，所有終端用戶就可以實現(xiàn)相互認(rèn)證；應(yīng)發(fā)生人為或非人為的非授權(quán)篡改。一般通過訪問控制阻止篡改行為，同時通過消息摘要算法缺點：不易擴(kuò)展到支持大量用戶或者不同的群體用戶。終端的用戶群體越大，支持所有的必要來檢驗信息是否被篡改。信息的完整性包括兩個方面：（1）數(shù)據(jù)完整性：數(shù)據(jù)沒有被未授權(quán)篡應(yīng)用就會越困難。改或者損壞；（2）系統(tǒng)完整性：系統(tǒng)未被非法操縱，按既定的目標(biāo)運行。嚴(yán)格分級信任模型：以主從CA關(guān)系建立的分級PKI結(jié)構(gòu)，有一個根CA，根CA下有零層或可用性：Availability可用性是指保障信息資源隨時可提供服務(wù)的能力特性，即授權(quán)用戶根據(jù)需多層子CA，根CA為子CA頒發(fā)證書，子CA為終端用戶頒發(fā)證書。終端進(jìn)行交互時，通過根要可以隨時訪問所需信息?？捎眯允切畔①Y源服務(wù)功能和性能可靠性的度量，涉及到物理、網(wǎng)CA來對對證書進(jìn)行有效性和真實性的認(rèn)證。信任關(guān)系是單向的，上級CA可以而且必須認(rèn)證絡(luò)、系統(tǒng)、數(shù)據(jù)、應(yīng)用和用戶等多方面的因素，是對信息網(wǎng)絡(luò)總體可靠性的要求。下級CA，而下級不能認(rèn)證上級CA?？煽匦裕捍_保個體的活動可被跟蹤。優(yōu)點：可靠性：即行為和結(jié)果的可靠性、一致性。增加新的信任域用戶比較容易；不可抵賴性：信息還要求真實性，即個體身份的認(rèn)證，適用于用戶、進(jìn)程、系統(tǒng)等；包括對等證書由于單向性，容易擴(kuò)展，可生成從終端用戶到信任錨的簡單明確路徑；實體認(rèn)證和數(shù)據(jù)源點認(rèn)證；對等實體認(rèn)證是指網(wǎng)絡(luò)通信必須保證雙方或是多方間身份的相互確證書路徑相對較短；認(rèn)；數(shù)據(jù)源點（主機(jī)標(biāo)識）認(rèn)證是指在安全級別較高的網(wǎng)絡(luò)通信中需要對數(shù)據(jù)源點進(jìn)行認(rèn)證，證書短小、簡單，用戶可以根據(jù)CA在PKI中的位置來確定證書的用途。以阻止各種惡意行為。缺點：單個CA的失敗會影響到整個PKI系統(tǒng)。與頂層的根CA距離越小，則造成的影響越大；建造一個統(tǒng)一的根CA實現(xiàn)起來不太顯示。2：網(wǎng)絡(luò)安全服務(wù)包括哪些？網(wǎng)狀信任模型：對等實體認(rèn)證服務(wù)：網(wǎng)絡(luò)通信必須保證雙方或多方間身份，特別對等實體身份的相互確認(rèn)，這也成分布式信任模型，CA之間交叉認(rèn)證。將信任分散到兩個或者多個CA上。是網(wǎng)絡(luò)間有效通信的前提；對等實體主要指用戶應(yīng)用實體；優(yōu)點：具有較好的靈活性；從安全性削弱的CA中恢復(fù)相對容易，并且只是影響到相對較少的數(shù)據(jù)源點認(rèn)證服務(wù)：高安全級別的網(wǎng)絡(luò)通信需要對數(shù)據(jù)源點進(jìn)行認(rèn)證，以阻止各種可能的惡意用戶；攻擊行為。這里，數(shù)據(jù)源點主要指主機(jī)標(biāo)識，增加新的信任域比較容易。數(shù)據(jù)保密服務(wù)：信息不泄露給非授權(quán)的用戶、實體或過程，或供其利用的特性；缺點：路徑發(fā)現(xiàn)比較困難；擴(kuò)展性差。數(shù)據(jù)完整性服務(wù)：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性。即信息在存儲或傳輸過程中不被修改、橋CA信任模型：不被破壞和丟失的特性；也稱中心輻射式信任模型，用于克服分級模型和網(wǎng)絡(luò)模型的缺點和連接不同的PKI體系。橋訪問控制服務(wù)：通信雙方應(yīng)該能夠?qū)νㄐ?、通信的?nèi)容具有不同強(qiáng)度的控制能力，這是有效和CA與不同的信任域建立對等的信任關(guān)系，允許用戶保持原有的信任域。這些關(guān)系被結(jié)合起來高效通信的保障；就形成了信任橋，使得來自不同的信任域用戶通過指定信任級別的橋CA相互作用。類似網(wǎng)絡(luò)可用性：可被授權(quán)實體訪問并按需求使用的特性。例如網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)和有關(guān)中的HUB集線器。系統(tǒng)的正常運行等都是對可用性的攻擊。優(yōu)點：現(xiàn)實性強(qiáng)；分散化的特性比較準(zhǔn)確地代表了現(xiàn)實世界證書之間的交互關(guān)系3：可信計算機(jī)系統(tǒng)評估準(zhǔn)則將信息安全分為幾級，各級的主要特征。證書路徑較易發(fā)現(xiàn)；用戶只需要知道到橋的路徑就可以了分為7級證書路徑較短；橋CA與網(wǎng)狀信任相比有更短的可信任路徑(最小保護(hù))D級：該級的計算機(jī)系統(tǒng)除了物理上的安全設(shè)施外沒有任何安全措施，任何人只要WEB信任模型：啟動系統(tǒng)就可以訪問系統(tǒng)的資源和數(shù)據(jù)，如DOS，Windows的低版本和DBASE均是這一類(指構(gòu)建在瀏覽器的基礎(chǔ)上，瀏覽器廠商在瀏覽器中內(nèi)置了多個根CA，每個根CA相互間是平行不符合安全要求的系統(tǒng)，不能在多用戶環(huán)境中處理敏感信息)。的，瀏覽器用戶信任這多個根CA并把這多個根CA作為自己的信任錨。各個嵌入的根CA并(自主保護(hù)類)C1級：具有自主訪問控制機(jī)制、用戶登錄時需要進(jìn)行身份鑒別。不是被瀏覽器廠商顯示認(rèn)證，而是物理地嵌入到軟件中來發(fā)布，作為對CA名字和它的密鑰的(自主保護(hù)類)C2級：具有審計和驗證機(jī)制((對TCB)可信計算機(jī)基進(jìn)行建立和維護(hù)操作，防止外安全綁定。部人員修改)。如多用戶的UNIX和ORACLE等系統(tǒng)大多具有C類的安全設(shè)施。優(yōu)點：方便簡單，操作性強(qiáng)，對終端用戶的要求較低，用戶只需簡單地信任嵌入的各個根ＣＡ。(強(qiáng)制安全保護(hù)類)B1級：引入強(qiáng)制訪問控制機(jī)制，能夠?qū)χ黧w和客體的安全標(biāo)記進(jìn)行管理。缺點：安全性較差；若有一個根CA損壞，即使其他的根CA完好，安全性也將被破壞B2級：具有形式化的安全模型，著重強(qiáng)調(diào)實際評價的手段，能夠?qū)﹄[通道進(jìn)行限制。(主要是根CA與終端用戶的信任關(guān)系模糊；終端用戶與嵌入的根CA間交互十分困難，終端用戶無法對存儲隱通道)知道瀏覽器中嵌入了哪個根，根CA也無法知道它的依托方是誰。B3級：具有硬件支持的安全域分離措施，從而保證安全域中軟件和硬件的完整性，提供可信通擴(kuò)展性差。根CA預(yù)先安裝，難于擴(kuò)展道。對時間隱通道的限制。以用戶為中心的信任模型：A1級：要求對安全模型作形式化的證明，對隱通道作形式化的分析，有可靠的發(fā)行安裝過程。每個用戶都直接決定信賴和拒絕哪個證書，沒有可行的第三方作為CA，終端用戶就是自己的根CA；4：分組密碼與流密碼對稱密碼與非對稱密碼優(yōu)點：安全性強(qiáng)；在高技術(shù)高利害關(guān)系的群體中比較占優(yōu)勢；按加密方式的不同可分為分組密碼與流密碼：用戶可控性強(qiáng)：每個用戶可以決定是否信賴某個證書流密碼（StreamCipher）（或稱序列密碼）和分組密碼（BlockCipher）缺點：使用范圍較窄；需要用戶有非常專業(yè)的安全知識區(qū)別是：流密碼是將明文消息按字符逐位加密；分組密碼是將明文消息先進(jìn)行分組，再逐組加在公司、政府、金融機(jī)構(gòu)不適宜；在這些組織中需要有組織地方式控制公約的使用。密。按密鑰的特點分為對稱密碼和非對稱密碼：8：攻擊的步驟對稱密碼體制（SymmetricCryptosystem）：單鑰（One-Key）體制或私鑰（PrivateKey）體制或進(jìn)行網(wǎng)絡(luò)攻擊是一件系統(tǒng)性很強(qiáng)的工作，其主要工作流程是：收集情報，遠(yuǎn)程攻擊，清除日志，傳統(tǒng)密碼體制（ClassicalCryptosystem）；加密解密密碼相同；密鑰必須保密存放；通信前，收留下后門。發(fā)雙方必須實現(xiàn)密鑰共享；主要應(yīng)用于數(shù)據(jù)加解密、可以實現(xiàn)數(shù)據(jù)保密性、認(rèn)證等安全服務(wù)。非對稱密碼體制（AsymmetricCryptosystem）：雙鑰（Two-Key）或公鑰（PublicKey）9:可以通過哪些方法搜集信息。加密解密密碼不同；私鑰保密存放，公鑰公開存放；通信前，收發(fā)雙方無需實現(xiàn)密鑰共享；可IP掃描端口掃描漏洞掃描操作系統(tǒng)掃描社會工程應(yīng)用于數(shù)據(jù)加解密、數(shù)字簽名、密鑰交換等方面，實現(xiàn)數(shù)據(jù)保密、認(rèn)證、數(shù)據(jù)完整性、不可否認(rèn)性等安全服務(wù)。10：操作系統(tǒng)的訪問控制方法自主訪問控制（DiscretionaryAccessControl）5：保證密碼系統(tǒng)安全就是要保證密碼算法的安全性，這種說法是否錯誤，并解釋。基本思想：說法錯誤，系統(tǒng)的保密性不依賴于對加密體制或算法的保密，而僅依賴于密鑰的安全性。對于對象（object）的創(chuàng)建者為其所有者（owner），可以完全控制該對象當(dāng)今的公開密碼系統(tǒng)，加密解密算法是公開的。對象所有者有權(quán)將對于該對象的訪問權(quán)限授予他人（grantee）不同的DAC模型：6：PKI，PKI的組成部分，各部分的作用。StrictDAC:grantee不能授權(quán)他人PKI，PublicKeyInfrastructure是一個用公鑰概念與技術(shù)來實施和提供安全服務(wù)的具有普適性的LiberalDAC:grantee可以授權(quán)他人安全基礎(chǔ)設(shè)施。PKI根據(jù)grantee可以繼續(xù)授權(quán)的深度可以分為一級的和多級的是生成、管理、存儲、分發(fā)和吊銷基于公鑰密碼學(xué)的公鑰證書所需要的硬件、軟件、人員、策存在的問題：不易控制權(quán)限的傳遞；容易引起權(quán)限的級聯(lián)吊銷；略和規(guī)程的總和。強(qiáng)制訪問控制（MandatoryAccessControl）完整的PKI系統(tǒng)必須具有權(quán)威認(rèn)證機(jī)構(gòu)(CA)、數(shù)字證書庫、密鑰備份及恢復(fù)系統(tǒng)、證書作廢系強(qiáng)制訪問控制是系統(tǒng)獨立于用戶行為強(qiáng)制執(zhí)行訪問控制，它也提供了客體在主體之間共享的控統(tǒng)、應(yīng)用接口（API）等基本構(gòu)成部分；制，但強(qiáng)制訪問控制機(jī)制是通過對主體和客體的安全級別進(jìn)行比較來確定授予還是拒絕用戶對認(rèn)證機(jī)構(gòu)（CA）：即數(shù)字證書的申請及簽發(fā)機(jī)關(guān)，CA必須具備權(quán)威性的特征；資源的訪問，從而防止對信息的非法和越權(quán)訪問，保證信息的保密性。與自主訪問控制不同的數(shù)字證書庫：用于存儲已簽發(fā)的數(shù)字證書及公鑰，用戶可由此獲得所需的其他用戶的證書及公是，強(qiáng)制訪問控制由安全管理員管理，由安全管理員根據(jù)一定的規(guī)則來設(shè)置，普通數(shù)據(jù)庫用戶鑰；不能改變他們的安全級別或?qū)ο蟮陌踩珜傩?；自主訪問控制盡管也作為系統(tǒng)安全策略的一部分，密鑰備份及恢復(fù)系統(tǒng)：如果用戶丟失了用于解密數(shù)據(jù)的密鑰，則數(shù)據(jù)將無法被解密，這將造成但主要由客體的擁有者管理基本假定，合法數(shù)據(jù)丟失。為避免這種情況，PKI提供備份與恢復(fù)密鑰的機(jī)制。但須注意，密鑰的備份與主體和客體的安全標(biāo)記一旦指定，不再改變恢復(fù)必須由可信的機(jī)構(gòu)來完成。并且，密鑰備份與恢復(fù)只能針對解密密鑰，簽名私鑰為確保其存在的問題：僅有唯一的管理員，無法實現(xiàn)管理的分層關(guān)系復(fù)雜，不易實現(xiàn)唯一性而不能夠作備份。11：簡述網(wǎng)絡(luò)嗅探的原理證書作廢系統(tǒng)：證書作廢處理系統(tǒng)是PKI的一個必備的組件。與日常生活中的各種身份證件一以太網(wǎng)的數(shù)據(jù)傳輸是基于“共享”原理的：所有的同一本地網(wǎng)范圍內(nèi)的計算機(jī)共同接收到相同的樣,證書有效期以內(nèi)也可能需要作廢，原因可能是密鑰介質(zhì)丟失或用戶身份變更等。為實現(xiàn)這一數(shù)據(jù)包。這意味著計算機(jī)直接的通訊都是透明可見的。正常情況下，以太網(wǎng)卡都構(gòu)造了硬件的“過點,PKI必須提供作廢證書的一系列機(jī)制。濾器”這個過濾器將忽略掉一切和自己無關(guān)的網(wǎng)絡(luò)信息。事實上是忽略掉了與自身MAC地址不應(yīng)用接口（API）：PKI的價值在于使用戶能夠方便地使用加密、數(shù)字簽名等安全服務(wù)，因此一符合的信息。嗅探程序正是利用了這個特點，它主動的關(guān)閉了這個嗅探器，設(shè)置網(wǎng)卡為個完整的PKI必須提供良好的應(yīng)用接口系統(tǒng)，使得各種各樣的應(yīng)用能夠以安全、一致、可信的“混雜模式”。因此，嗅探程序就能夠接收到整個以太網(wǎng)內(nèi)的網(wǎng)絡(luò)數(shù)據(jù)信息，從而實現(xiàn)嗅方式與PKI交互，確保安全網(wǎng)絡(luò)環(huán)境的完整性和易用性。探功能。12：什么是網(wǎng)絡(luò)蠕蟲，描述其特征。網(wǎng)絡(luò)蠕蟲是一種智能化、自動化，綜合網(wǎng)絡(luò)攻擊、密碼學(xué)和計算機(jī)病毒技術(shù)，無須計算機(jī)使用者干預(yù)即可運行的攻擊程序或代碼。特征：具有病毒的特征，傳染性，隱蔽性，破壞性；不利用文件寄生，可以主動傳播，并且通過網(wǎng)絡(luò)可快速傳播，容易造成網(wǎng)絡(luò)擁塞；具有智能化、自動化和高技術(shù)化；13：什么是木馬技術(shù)，木馬技術(shù)有哪些植入方式。木馬本質(zhì)上是一個客戶端、服務(wù)器端的網(wǎng)絡(luò)軟件系統(tǒng)，包括主控端和被控端兩個程序，其中主控端安裝在攻擊者自己的計算機(jī)上，用于遠(yuǎn)程遙控被攻擊主機(jī)，被控端則通過各種隱秘手段植入到被攻擊者的計算機(jī)中，從而實現(xiàn)攻擊者的遠(yuǎn)程遙控。木馬的植入是指木馬程序在被攻擊系統(tǒng)中被激活，自動加載運行的過程。常見的植入方式有：通過E-MAIL方式，軟件下載，利用共享和Autorun方式，通過網(wǎng)頁將木馬轉(zhuǎn)換為圖片格式，偽裝成應(yīng)用程序擴(kuò)展程序，利用WinRar制作自釋放文件，將木馬和其他文件捆綁在一起，基于DLL和遠(yuǎn)程線程插入。木馬的自動運行方式有：修改系統(tǒng)配置文件的自動啟動選項、加載自動啟動的注冊表項、修改文件關(guān)聯(lián)加載。14：僵尸網(wǎng)絡(luò)的工作機(jī)制，并解釋其含義。僵尸網(wǎng)絡(luò)Botnet是指采用一種或多種傳播手段，將大量主機(jī)感染bot程序（僵尸程序）病毒，從而在控制者和被感染主機(jī)之間所形成的一個可一對多控制的網(wǎng)絡(luò)。攻擊者通過各種途徑傳播僵尸程序感染互聯(lián)網(wǎng)上的大量主機(jī)，而被感染的主機(jī)將通過一個控制信道接收攻擊者的指令，組成一個僵尸網(wǎng)絡(luò)。攻擊者在公共或者秘密設(shè)置的IRC聊天服務(wù)器中開辟私有聊天頻道作為控制頻道，僵尸程序中預(yù)先就包含了這些頻道信息，當(dāng)僵尸計算機(jī)運行時，收取頻道中的消息。攻擊者則通過控制頻道向所有連線的僵尸程序發(fā)送指令。從而就可以發(fā)動各種各樣的攻擊。攻擊機(jī)制如下圖所示：15：什么是防火墻，解釋防火墻的基本功能，及其局限性。概念：為了保護(hù)計算機(jī)系統(tǒng)免受外來的攻擊，在內(nèi)網(wǎng)與外網(wǎng)Internet在保持內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的連通性的同時，通過強(qiáng)制實施統(tǒng)一的安全策略，防止對重要信息資源的非法存取和訪問以達(dá)到保護(hù)系統(tǒng)安全的目的?；竟δ埽哼^濾進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)；管理進(jìn)出網(wǎng)絡(luò)的訪問行為；封堵某些禁止的業(yè)務(wù)；記錄進(jìn)出網(wǎng)絡(luò)的信息和活動；對網(wǎng)絡(luò)的攻擊進(jìn)行將側(cè)和報警。局限性：使用不便，認(rèn)為防火墻給人虛假的安全感對用戶不完全透明，可能帶來傳輸延遲、瓶頸及單點失效無法防范通過防火墻以外途徑的攻擊；不能防范來自內(nèi)部用戶的攻擊；不能防止傳送已感染病毒的軟件或文件；無法防止數(shù)據(jù)驅(qū)動型的攻擊。16：簡述包過濾防火墻，電路級網(wǎng)關(guān)防火墻和應(yīng)用級網(wǎng)關(guān)防火墻的工作原理。包過濾防火墻對所接收的每個數(shù)據(jù)包做允許拒絕的決定。防火墻審查每個數(shù)據(jù)報以便確定其是否與某一條包過濾規(guī)則匹配。過濾規(guī)則基于可以提供給IP轉(zhuǎn)發(fā)過程的包頭信息。包的進(jìn)入接口和出接口如果有匹配并且規(guī)則允許該數(shù)據(jù)包，那么該數(shù)據(jù)包就會按照路由表中的信息被轉(zhuǎn)發(fā)。如果匹配并且規(guī)則拒絕該數(shù)據(jù)包，那么該數(shù)據(jù)包就會被丟棄。如果沒有匹配規(guī)則，用戶配置的缺省參數(shù)會決定是轉(zhuǎn)發(fā)還是丟棄數(shù)據(jù)包。優(yōu)點：速度快、性能高、對用戶透明