計算機網絡安全課后習題答案

2024年3月2日發(作者：我長大了作文500字)

計算機網絡安全（04751）

第一章 緒論 P2

第二章 物理安全 P6

第三章 信息加密與 P9

第四章 防火墻技術 P14

第五章 入侵檢測技術 P18

第六章 網絡安全檢測技術 P21

第七章 計算機病毒與惡意代碼防范技術 P23

第八章 網絡安全解決方案 P27

1

第1章 緒論

1.1.1計算機網絡面臨的主要威脅：

①計算機網絡實體面臨威脅（實體為網絡中的關鍵設備）

②計算機網絡系統面臨威脅（典型安全威脅）

③惡意程序的威脅（如計算機病毒、網絡蠕蟲、間諜軟件、木馬程序）

④計算機網絡威脅的潛在對手和動機（惡意攻擊/非惡意）

典型的網絡安全威脅：

威脅

竊聽

重傳

偽造

篡改

網絡中傳輸的敏感信息被竊聽

攻擊者事先獲得部分或全部信息，以后將此信息發送給接受者

攻擊者將偽造的信息發送給接受者

攻擊者對合法用戶之間的通信信息進行修改、刪除或插入，再發送給接受者

通過假冒、身份攻擊、系統漏洞等手段，獲取系統訪問權，從而使非法用戶進入非授權訪問

網絡系統讀取、刪除、修改或插入信息等

拒絕服務攻擊

行為否認

旁路控制

電磁/射頻截獲

人員疏忽

攻擊者通過某種方法使系統響應減慢甚至癱瘓，阻止合法用戶獲得服務

通信實體否認已經發生的行為

攻擊者發掘系統的缺陷或安全脆弱性

攻擊者從電子或機電設備所發出的無線射頻或其他電磁輻射中提取信息

授權的人為利益或由于粗心將信息泄漏給未授權人

描述

1.2.1計算機網絡的不安全主要因素：

（1）偶發因素：如電源故障、設備的功能失常及軟件開發過程中留下的漏洞或邏輯錯誤等。

（2）自然災害：各種自然災害對計算機系統構成嚴重的威脅。

（3）人為因素：人為因素對計算機網絡的破壞也稱為人對計算機網絡的攻擊。

可分為幾個方面：①被動攻擊 ②主動攻擊 ③鄰近攻擊 ④分發攻擊 ⑤內部人員攻擊

1.2.2不安全的主要原因：①互聯網具有不安全性 ②操作系統存在的安全問題

③數據的安全問題 ④傳輸線路安全問題 ⑤網絡安全管理的問題

1.3計算機網絡安全的基本概念：計算機網絡安全是一門涉及計算機科學、網絡技術、通信技術、密碼技術、信息安全技術、應用數學、數論和信息論等多學科的綜合性學科。

1.3.1計算機網絡安全的定義：計算機網絡安全是指利用管理控制和技術措施，保證在一個網絡環境里，信息數據的機密性、完整性及可使用性受到保護。

網絡的安全問題包括兩方面內容：一是網絡的系統安全；二是網絡的信息安全（最終目的）。

1.3.2計算機網絡安全的目標：①保密性 ②完整性 ③可用性 ④可控性 ⑤不可否認性

1.3.3計算機網絡安全的層次：①物理安全 ②邏輯安全 ③聯網安全 ④操作系統安全

1.3.4網絡安全包括三個重要部分：①先進的技術 ②嚴格的管理 ③威嚴的法律

2

1.4計算機網絡安全體系結構

1.4.1網絡安全基本模型：(P27圖)

1.4.2 OSI安全體系結構：①術語 ②安全服務 ③安全機制

五大類安全服務，也稱安全防護措施（P29）：①鑒別服務 ②數據機密性服務

③訪問控制服務 ④數據完整性服務 ⑤抗抵賴性服務

對付典型網絡威脅的安全服務

安全威脅

假冒攻擊

非授權侵犯

竊聽攻擊

完整性破壞

服務否認

拒絕服務

鑒別服務

訪問控制服務

數據機密性服務

數據完整性服務

抗抵賴服務

安全服務

鑒別服務、訪問控制服務和數據完整性服務等

八種基本的安全機制：加密機制、數字簽名機制、訪問控制機制、數據完整性機制、鑒別交換機制、通信業務流填充機制、路由控制和公證機制

1.4.3 PPDR模型(P30)包含四個主要部分：Policy(安全策略)、Protection(防護)、Detection(檢測)和Respon(響應)。防護、檢測和響應組成了一個完整的、動態的安全循環。

PPDR模型通過一些典型的數學公式來表達安全的要求：①Pt>Dt+Rt ②Et=Dt+Rt，如果Pt＝0

Pt：防護時間，入侵者攻擊安全目標花費時間；

Dt：入侵開始到系統檢測到入侵行為花費時間；

Rt：發現入侵到響應，并調整系統到正常狀態時間；

Et：系統晨露時間；

安全的全新定義：及時的檢測和響應就是安全；及時的檢測和恢復就是安全；

解決安全問題的方向：提高系統的防護時間Pt，降低檢測時間Dt和響應時間Rt。

1.4.4網絡安全的典型技術：①物理安全措施 ②備份技術 ③審計技術 ④防病毒技術

⑤入侵檢測技術 ⑥訪問控制技術 ⑦終端安全技術 ⑧內外網隔離技術 ⑨安全性檢

3

測技術 ⑩數據傳輸安全技術

1.6.1網絡安全威脅的發展趨勢：

① 與Internet更加緊密結合，利用一切可以利用的方式進行傳播；

② 所有病毒都有混合型特征，破壞性大大增強；

③ 擴散極快，更加注重欺騙性；

④ 利用系統漏洞將成為病毒有力的傳播方式；

⑤ 無線網絡技術的發展，使遠程網絡攻擊的可能性加大；

⑥ 各種境外情報、諜報人員將越來越多地通過信息網絡渠道收集情況和竊取資料；

⑦ 各種病毒、蠕蟲和后門技術越來越智能化，并出現整合趨勢，形成混合性威脅；

⑧ 各種攻擊技術的隱秘性增強，常規防范手段難以識別；

⑨ 分布式計算技術用于攻擊的趨勢增強，威脅高強度密碼的安全性；

⑩ 一些政府部門的超級計算機資源將成為攻擊者利用的跳板；

11）網絡管理安全問題日益突出。

1.6.2網絡安全主要實用技術的發展：①物理隔離 ②邏輯隔離 ③身份認證 ④防御網絡上的病毒 ⑤防御來自網絡的攻擊 ⑥加密通信和虛擬專用網 ⑦入侵檢測和主動防衛

⑧網管、審計和取證

? 課后題：

1、計算機網絡面臨的典型安全威脅有哪些？

①竊聽（傳輸中的敏感信息被竊聽）②重傳（事先獲得部分或全部信息再發送給接收者）③偽造（偽造信息發送給接收者）④篡改（修改、刪除或插入后再發送給接收者）⑤非授權訪問（假冒、身份攻擊、系統漏洞手段獲取訪問權，讀取、刪除、修改和插入信息）⑥拒絕服務攻擊（使系統響應減慢或癱瘓，阻止合法用戶獲取服務）⑦行為否認（否認已經發生的行為）⑧旁路控制（發掘系統缺陷或脆弱性）⑨電磁/射頻截獲（無線射頻或電磁輻射提取信息）⑩人員疏忽（利益或粗心泄秘）。

2、分析計算機網絡的脆弱性和安全缺陷。

計算機網絡是頗具誘惑力的受攻擊目標，無論是個人、企業，還是政府機構，只要使用計算機網絡，都會感受到網絡安全問題所帶來的威脅。無論是局域網還是廣域網，都存在著自然和人為等諸多脆弱性和潛在威脅。計算機網絡面臨的主要威脅①計算機網絡實體面臨威脅（實體為網絡中的關鍵設備）②計算機網絡系統面臨威脅（典型安全威脅）③惡意程序的威脅（如計算機病毒、網絡蠕蟲、間諜軟件、木馬程序）④計算機網絡威脅的潛在對手和動機（惡意攻擊/非惡意）。

一般來說，計算機網絡本身的脆弱性和通信設施的脆弱性共同構成了計算機網絡的潛在威脅。一方面，計算機網絡的硬件和通信設施極易受自然環境和人為的物理破壞；另一方面，計算機網絡的軟件資源和數據信息易受到非法竊取、復制、篡改等。計算機網絡的不安全主要因素和原因。計算機網絡的不安全主要因素：（1）偶發因素：如電源故障、設備的功能失常及軟件開發過程中留下的漏洞或邏輯錯誤等。（2）自然災害：各種自然災害對計算機系統構成嚴重的威脅。（3）人為因素：人為因素對計算機網絡的破壞也稱為人對計算機網絡的攻擊。可分為幾個方面：①被動攻擊②主動攻擊③鄰近攻擊④內部人員攻擊⑤分發攻擊。不安

4

全的主要原因：①互聯網具有不安全性②操作系統存在的安全問題③數據的安全問題④傳輸線路安全問題⑤網絡安全管理的問題。

3、分析計算機網絡的安全需求（P24）

計算機網絡安全的基本概念：計算機網絡安全是一門涉及計算機科學、網絡技術、通信技術、密碼技術、信息安全技術、應用數學、數論和信息論等多學科的綜合性學科。

計算機網絡安全的定義：計算機網絡安全是指利用管理控制和技術措施，保證在一個網絡環境里，信息數據的機密性、完整性及可使用性受到保護。

網絡的安全問題包括兩方面內容：一是網絡的系統安全；二是網絡的信息安全（最終目的）。

計算機網絡安全的目標：①保密性 ②完整性 ③可用性 ④可控性 ⑤不可否認性

計算機網絡安全的層次：①物理安全 ②邏輯安全 ③聯網安全 ④操作系統安全

網絡安全包括三個重要部分：①先進的技術 ②嚴格的管理 ③威嚴的法律

4、計算機網絡安全的內涵和外延是什么？（P24）

內涵：計算機網絡安全是指利用管理控制和技術措施，保證在一個網絡環境里，信息數據的機密性、完整性及可使用性受到保護。

外延：從廣義來說，凡是涉及網絡上信息的 保密性、完整性、可用性、不可否認性和可控性的相關技術和理論都是網絡安全的研究領域。網絡安全的具體含義隨著“角度”的變化而變化。

5、論述OSI安全體系結構（P28）

OSI安全體系結構中定義了鑒別、訪問控制、數據機密性、數據完整性和抗抵賴五種網絡安全服務，以及加密機制、數字簽名機制、訪問控制機制、數據完整性機制、鑒別交換機制、通信業務流填充機制、路由控制和公證機制八種基本的安全機制。

6、簡述PPDR安全模型的結構（P30）

PPDR模型包含四個主要部分：Policy(安全策略)、Protection(防護)、Detection(檢測)和Respon(響應)。防護、檢測和響應組成了一個完整的、動態的安全循環。

PPDR模型通過一些典型的數學公式來表達安全的要求：①Pt>Dt+Rt②Et=Dt+Rt，如果Pt＝0

Pt：防護時間，入侵者攻擊安全目標花費時間；Dt：入侵開始到系統檢測到入侵行為花費時間；Rt：發現入侵到響應，并調整系統到正常狀態時間；Et：系統晨露時間；

及時的檢測和響應就是安全；及時的檢測和恢復就是安全；

提高系統的防護時間Pt，降低檢測時間Dt和響應時間Rt。

7、簡述計算機網絡安全技術及其應用（P32）

網絡安全的典型技術：①物理安全措施②數據傳輸安全技術③內外網隔離技術④入侵檢測技術⑤訪問控制技術⑥審計技術⑦安全性檢測技術⑧防病毒技術⑨備份技術⑩終端安全技術

網絡安全威脅的發展趨勢：①與Internet更加緊密結合，利用一切可以利用的方式進行傳播；②所有病毒都有混合型特征，破壞性大大增強；③擴散極快，更加注重欺騙性；④

5

利用系統漏洞將成為病毒有力的傳播方式；⑤無線網絡技術的發展，使遠程網絡攻擊的可能性加大；⑥各種境外情報、諜報人員將越來越多地通過信息網絡渠道收集情況和竊取資料；⑦各種病毒、蠕蟲和后門技術越來越智能化，并出現整合趨勢，形成混合性威脅；⑧各種攻擊技術的隱秘性增強，常規防范手段難以識別；⑨分布式計算技術用于攻擊的趨勢增強，威脅高強度密碼的安全性；⑩一些政府部門的超級計算機資源將成為攻擊者利用的跳板；11）網絡管理安全問題日益突出。

網絡安全主要實用技術的發展①物理隔離②邏輯隔離③防御來自網絡的攻擊④防御網絡上的病毒⑤身份認證⑥加密通信和虛擬專用網⑦入侵檢測和主動防衛⑧網管、審計和取證

8、簡述網絡安全管理意義和主要內容（P34）

面對網絡安全的的脆弱性，除了采用各種技術和完善系統的安全保密措施外，必須加強網絡的安全管理，諸多的不安全因素恰恰存在于組織管理方面。據權威機構統計表明：信息安全大約60%以上的問題是由于管理造成的。也就是說，解決信息安全問題不應僅從技術方面著手，同時更應加強信息安全的管理工作。主要內容：①網絡安全管理的法律法規 ②計算機網絡安全評價標準 ③計算機網絡安全技術發展趨勢

第2章 物理安全

2.1物理安全主要包括：①機房環境安全 可控性強、損失大；內容有防火與防盜、防雷與接地、防塵與防靜電，防地震。②通信線路安全 線路防竊聽技術。③設備安全 防電慈輻射泄漏、防線路截獲、防電磁干擾及電源保護。④電源安全 防電源供應、輸電線路安全、電源穩定性。

2.1.1機房的安全等級分為三個基本類別：

A類：對計算機機房的安全有嚴格的要求，有完善的計算機機房安全措施。

B類：對計算機機房的安全有較嚴格的要求，有較完善的計算機機房安全措施。

C類：對計算機機房的安全有基本的要求，有基本的計算機機房安全措施。

A類機房 要求內部裝修、供配電系統、空調系統、火災報警和消防設施、防水、防靜電、防雷擊、防鼠害；對防火、場地選擇、防電磁泄漏有要求。

2.1.1機房安全要求（P42）和措施：

安全類別

A類機房

安全項目

場地選擇

放火

內部裝修

供配電系統

空調系統

火災報警和消防設施

防水

防靜電

-

-

+

+

+

+

+

+

-

-

-

-

-

-

-

-

-

-

-

-

6

B類機房 C類機房

防雷擊 + -

防鼠害

防電磁泄漏

+

-

-

-

說明：+ 表示要求； - 表示有要求或增加要求q

①機房的安全要求，機房的場地，選址避免靠近公共區域，避免窗戶直接鄰街，機房布局應使工作區在內，生活輔助區在外；機房不要在底層或頂層。措施：保證所有進出計算機機房的人都必須在管理人員的監控之下，外來人員進入機房，要辦理相關手續，并檢查隨身物品。

②機房的防盜要求，對重要的設備和存儲媒體應采取嚴格的防盜措施。措施：早期采取增加質量和膠粘的防盜措施，后國外發明了一種通過光纖電纜保護重要設備的方法，一種更方便的措施類似于超市的防盜系統，視頻監視系統是一種更為可靠的防盜設備，能對計算機網絡系統的外圍環境、操作環境進行實時的全程監控。

③機房的三度要求（溫度（18-22度）、濕度（40%-60%為宜）、潔凈度（要求機房塵埃顆粒直徑小于0.5μm））為使機房內的三度達到規定的要求，空調系統、去濕機和除塵器是必不可少的設備。

④防靜電措施：裝修材料避免使用掛毯、地毯等易吸塵，易產生靜電的材料，應采用乙烯材料，安裝防靜電地板并將設備接地。

⑤接地與防雷要求：

1.地線種類：A保護地 B 直流地 C屏蔽地 D靜電地 E雷擊地

2.接地系統：A各自獨立的接地系統 B交、直流分開的接地系統 C共線接地系統D直流地、保護地共用地線系統 E建筑物內共地系統

3、接地體：A地樁 B水平柵網 C金屬接地板 D建筑物基礎鋼筋

4.防雷措施，使用接閃器、引下線和接地裝置吸引雷電流。機器設備應有專用地線，機房本身有避雷設備和裝置。

⑥機房的防火、防水措施：為避免火災、水災，應采取的措施為：隔離、火災報警系統、滅火設施（滅火器，滅火工具及輔助設備）、管理措施

2.3.1硬件設備的使用管理：

①要根據硬件設備的具體配置情況，制定切實可靠的硬件設備的操作使用規程，并嚴格按操作規程進行操作；

②建立設備使用情況日志，并嚴格登記使用過程的情況；

③建立硬件設備故障情況登記表，詳細記錄故障性質和修復情況；

④堅持對設備進行例行維護和保養，并指定專人負責。

2.3.2電磁輻射防護的措施：一類是對傳導發射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合；另一類是對輻射的防護，又分為兩種：一種是采用各種電磁屏蔽措施，第二種是干擾的防護措施。

為提高電子設備的抗干擾能力，主要措施有①屏蔽 ②濾波 ③隔離 ④接地，其中屏蔽是應用最多的方法。

2.4.電源對用電設備安全的潛在威脅：①脈動與噪聲 ②電磁干擾

7

2.4供電要求（P53），供電方式分為三類：①一類供電：需建立不間斷供電系統②二類供電：需建立帶備用的供電系統③三類供電：按一般用戶供電考慮。

? 課后題：

1、簡述物理安全在計算機網絡信息系統安全中的意義。

物理安全是整個計算機網絡系統安全的前提。物理安全是保護計算機網絡設備、設施及其他媒體免遭地震、水災和火災等環境事故、人為操作失誤或各種計算機犯罪行為導致的破壞過程。物理安全在整個計算機網絡信息系統安全中占有重要地位，也是其它安全措施得以實施并發揮正常作用的基礎和前提條件。

2、物理安全主要包含哪些方面的內容？（2.1）

①機房環境安全 可控性強、損失大；內容有防火與防盜、防雷與接地、防塵與防靜電，防地震。②通信線路安全 線路防竊聽技術。③設備安全防電慈輻射泄漏、防線路截獲、防電磁干擾及電源保護。④電源安全防電源供應、輸電線路安全、電源穩定性。

3、計算機機房安全等級的劃分標準是什么？（2.1.1）

機房的安全等級分為三個基本類別：

A類：對計算機機房的安全有嚴格的要求，有完善的計算機機房安全措施。

B類：對計算機機房的安全有較嚴格的要求，有較完善的計算機機房安全措施。

C類：對計算機機房的安全有基本的要求，有基本的計算機機房安全措施。

A類機房 要求內部裝修、供配電系統、空調系統、火災報警和消防設施、防水、防靜電、防雷擊、防鼠害；對防火、場地選擇、防電磁泄漏有要求。

4、計算機機房安全技術主要包含哪些方面的內容？（2.1.1）

機房安全要求（P42）和措施：

①機房的場地，選址避免靠近公共區域，避免窗戶直接鄰街，機房布局應使工作區在內，生活輔助區在外；機房不要在底層或頂層。措施：保證所有進出計算機機房的人都必須在管理人員的監控之下，外來人員進入機房，要辦理相關手續，并檢查隨身物品。

②機房的防盜要求，對重要的設備和存儲媒體應采取嚴格的防盜措施。措施：早期采取增加質量和膠粘的防盜措施，后國外發明了一種通過光纖電纜保護重要設備的方法，一種更方便的措施類似于超市的防盜系統，視頻監視系統是一種更為可靠的防盜設備，能對計算機網絡系統的外圍環境、操作環境進行實時的全程監控。

③機房的三度要求（溫度（18-22度）、濕度（40%-60%為宜）、潔凈度（要求機房塵埃顆粒直徑小于0.5μm））為使機房內的三度達到規定的要求，空調系統、去濕機和除塵器是必不可少的設備。

④防靜電措施：裝修材料避免使用掛毯、地毯等易吸塵，易產生靜電的材料，應采用乙烯材料，安裝防靜電地板并將設備接地。

⑤接地與防雷要求：1.地線種類：A保護地B直流地C屏蔽地D靜電地E雷擊地2.接地系統：A各自獨立的接地系統B交、直流分開的接地系統C共線接地系統D直流地、保護地

8

共用地線系統E建筑物內共地系統3、接地體：A地樁B水平柵網C金屬接地板D建筑物基礎鋼筋4.防雷措施，使用接閃器、引下線和接地裝置吸引雷電流。機器設備應有專用地線，機房本身有避雷設備和裝置。

⑥機房的防火、防水措施：為避免火災、水災，應采取的措施為：隔離、火災報警系統、滅火設施（滅火器，滅火工具及輔助設備）、管理措施

5、保障通信線路安全技術的主要技術措施有哪些？

①電纜加壓技術②對光纖等通信線路的防竊聽技術（距離大于最大長度限制的系統之間，不采用光纖線通信；加強復制器的安全，如用加壓電纜、警報系統和加強警衛等措施）

6、電磁輻射對網絡通信安全的影響主要體現在哪些方面，防護措施有哪些？

影響主要體現在：計算機系統可能會通過電磁輻射使信息被截獲而失密，計算機系統中數據信息在空間中擴散。

防護措施：一類是對傳導發射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合；另一類是對輻射的防護，又分為兩種：一種是采用各種電磁屏蔽措施，第二種是干擾的防護措施。為提高電子設備的抗干擾能力，主要措施有①屏蔽②濾波③隔離④接地，其中屏蔽是應用最多的方法。

電磁防護層主要是通過上述種種措施，提高計算機的電磁兼容性，提高設備的抗干擾能力，使計算機能抵抗強電磁干擾，同時將計算機的電磁泄漏發射降到最低，使之不致將有用的信息泄漏出去。

7、保障信息存儲安全的主要措施有哪些？（Ｐ52）

①存放數據的盤，應妥善保管；②對硬盤上的數據，要建立有效的級別、權限，并嚴格管理，必要時加密，以確保數據的安全；③存放數據的盤，管理須落實到人，并登記；④對存放重要數據的盤，要備份兩份并分兩處保管；⑤打印有業務數據的打印紙，要視同檔案進行管理；⑥凡超過數據保存期的，須經過特殊的數據清除處理；⑦凡不能正常記錄數據的盤，需經測試確認后由專人進行銷毀，并做好登記；⑧對需要長期保存的有效數據，應質量保證期內進行轉存，并保證轉存內容正確。

8、簡述各類計算機機房對電源系統的要求。（Ｐ53）

電源系統安全應該注意電源電流或電壓的波動可能會對計算機網絡系統造成的危害。

Ａ、Ｂ類安全機房要求，C類安全機房要求。

第3章 信息加密與PKI

信息加密技術是利用密碼學的原理與方法對傳輸數據提供保護的手段，它以數學計算為基礎，信息論和復雜性理論是其兩個重要組成部分。

3.1.1密碼學的發展歷程大致經歷了三個階段：古代加密方法、古典密碼和近代密碼。

3.1.2密碼學的基本概念：密碼學作為數學的一個分支，是研究信息系統安全保密的科

9

學，是密碼編碼學和密碼分析學的統稱。

在密碼學中，有一個五元組：明文，密文，密鑰，加密算法，解密算法，對應的加密方案稱為密碼體制。

明文（Plaintext）：是作為加密輸入的原始信息，即消息的原始形式，通常用m或p表示。所有可能明文的有限集稱為明文空間，通常用M或P來表示。

密文（Ciphertext）：是明文經加密變換后的結果，即消息被加密處理后的形式，通常用c表示。所有可能密文的有限集稱為密文空間，通常用C表示。

密鑰（Key）：是參與密碼變換的參數，通常用k表示。一切可能的密鑰構成的有限集稱為密鑰空間，通常用K表示。

加密算法（Encryption Algorithm）：是將明文變換為密文的變換函數，相應的變換過程稱為加密，即編碼的過程，通常用E表示，即c=Ek（p）

解密算法（Decryption Algorithm）：是將密文恢復為明文的變換函數，相應的變換過程稱為解密，即解碼的過程，通常用D表示，即p=Dk（c）

對于有實用意義的密碼體制而言，總是要求它滿足： p=Dk（Ek（p）），即用加密算法得到的密文總是能用一定的解密算法恢復出原始的明文。

3.1.3加密體制的分類：從原理上可分為兩大類：即單鑰或對稱密碼體制和雙鑰或非對稱密碼體制

單鑰密碼體制與雙鑰密碼體制的區別：

單鑰密碼體制的本質特征是所用的加密密鑰和解密密鑰相同，或實質上等同，從一個可以推出另一個。單鑰密碼的特點是無論加密還是解密都使用同一個密鑰，因此，此密碼體制的安全性就是密鑰的安全。如果密鑰泄露，則此密碼系統便被攻破。最有影響的單鑰密碼是1977年美國國家標準局頒布的DES算法。按照加密模式的差異，單鑰密碼體制有序列密碼和分組密碼兩種方式，它不僅可用于數據加密，還可用于消息認證。單鑰密碼的優點是：安全保密度高，加密解密速度快。缺點是：1）密鑰分發過程十分復雜，所花代價高；2）多人通信時密鑰組合的數量會出現爆炸性膨脹，使分發更加復雜化；3）通信雙方必須統一密鑰，才能發送保密的信息；4）數字簽名困難。

雙鑰密碼體制的原理是，加密密鑰與解密密鑰不同，而且從一個難以推出另一個。兩個密鑰形成一個密鑰對，其中一個密鑰加密的結果，可以用另一個密鑰來解密。雙鑰密碼是：1976年和an提出的一種新型密碼體制。優點：由于雙鑰密碼體制的加密和解密不同，可以公開加密密鑰，且僅需保密解密密鑰，所以密鑰管理問題比較簡單。雙鑰密碼還有一個優點是可以用于數字簽名等新功能。最有名的雙鑰密碼體系是：1977年由Rivest，Shamir和Ad1eman人提出的RSA密碼體制。雙鑰密碼的缺點是：雙鑰密碼算法一般比較復雜，加解密速度慢。

3.2加密算法就其發展而言，共經歷了古典密碼、對稱密鑰密碼（單鑰密碼體制）和公開密鑰密碼（雙鑰密碼體制）三個發展階段。

3.2.1古典密碼算法（P64）：①簡單代替密碼或單字母密碼 ②多名或同音代替

③多表代替 ④多字母或多碼代替。現代密碼按照使用密鑰方式不同，分為單鑰密碼體制和雙鑰密碼體制兩類。

10

3.2.2數據加密標準DES、國際數據加密算法IDEA、RSA加密算法的基本原理；（P66）

3.3常見的網絡數據加密方式有：鏈路加密、節點加密和端到端加密。

3.4.1認證技術的分層模型（P77圖）認證技術可以分為三個層次：安全管理協議、認證體制和密碼體制。

認證的三個目的：一是消息完整性認證，即驗證信息在傳送或存儲過程中是否被篡改；二是身份認證，即驗證消息的收發者是否持有正確的身份認證符；三是消息的序號和操作時間等的認證，其目的是防止消息重放或延遲等攻擊。

3.4.2認證體制應滿足的條件（要求）：

①意定的接收者能夠檢驗和證實消息的合法性、真實性和完整性；

②消息的發送者對所發的消息不能抵賴，有時也要求消息的接收者不能否認收到的消息；

③除了合法的消息發送者外，其他人不能偽造發送消息。

3.4.3手寫簽名與數字簽名的區別：一是手寫簽名是不變的，而數字簽名對不同的消息是不同的，即手寫簽名因人而異，數字簽名因消息而異；二是手寫簽名是易被模擬的，無論哪種文字的手寫簽名，偽造者都容易模仿，而數字簽名是在密鑰控制下產生的，在沒有密鑰的情況下，模仿者幾乎無法模仿出數字簽名。

3.4.6數字簽名與消息認證的區別：消息認證可以幫助接收方驗證消息發送者的身份及消息是否被篡改。當收發者之間沒有利害沖突時，這種方式對防止第三者破壞是有效的，但當存在利害沖突時，單純采用消息認證技術就無法解決糾紛，這時就需要借助于數字簽名技術來輔助進行更有效的消息認證。

3.5.1PKI的基本概念：PKI是一個用公鑰密碼算法原理和技術來提供安全服務的通用型基礎平臺，用戶可利用PKI平臺提供的安全服務進行安全通信。PKI采用標準的密鑰管理規則，能夠為所有應用透明地提供采用加密和數字簽名等密碼服務所需要的密鑰和證書管理。

PKI特點：①節省費用 ②互操作性 ③開放性 ④一致的解決方案 ⑤可驗證性 ⑥可選擇性

3.5.2 PKI認證技術的組成：主要有認證機構CA、證書庫、密鑰備份、證書作廢處理系統和PKI應用接口系統等。①認證機構CA ②證書庫 ③證書撤銷 ④密鑰備份和恢復

⑤自動更新密鑰 ⑥密鑰歷史檔案 ⑦交叉認證 ⑧不可否認性 ⑨時間戳 ⑩客戶端軟件

11

3.6 PGP和GnuPG是兩個常用的公鑰加密軟件，PGP軟件由于采用了專利算法受到美國政府的軟件出口限制，GnuPG作為PGP的代替軟件，屬于開源免費軟件，可以自由使用。

? 課后題：

1、簡述信息加密技術對于保障信息安全的重要作用。

加密技術是保障信息安全的基石，它以很小的代價，對信息一種強有力的安全保護。長期以來，密碼技術被廣泛應用于政治、經濟、軍事、外交、情報等重要部門。近年來，隨著計算機網絡和通信技術的發展，密碼學得到了前所未有的重視并迅速普及，同時其應用領域也廣為拓展。如今，密碼技術不僅服務于信息的加密和解密，還是身份認證、訪問控制及數字簽名等多種安全機制的基礎。

2、簡述加密技術的基本原理，并指出有哪些常用的加密體制及其代表算法。

信息加密技術是利用密碼學的原理與方法對傳輸數據提供保護的手段，它以數學計算為基礎，信息論和復雜性理論是其兩個重要組成部分。加密體制的分類：從原理上可分為兩大類：即單鑰或對稱密碼體制（代表算法：DES算法，IDEA算法）和雙鑰或非對稱密碼體制（代表算法：RSA算示，ElGamal算法）。

3、試分析古典密碼對于構造現代密碼有哪些啟示？（P64）

古典密碼大都比較簡單，可用手工或機械操作實現加解密，雖然現在很少采用，但研究這些密碼算法的原理，對于理解、構造和分析現代密碼是十分有益的。古典密碼算法主要有代碼加密、代替加密、變位加密和一次性密碼簿加密等幾種算法。…….

4、選擇凱撒（Caesar）密碼系統的密鑰k=6。若明文為caesar，密文是什么。密文應為：igkygx

abcdefghijklmnopqrstuvwxyz

5、DES加密過程有幾個基本步驟？試分析其安全性能。

加密過程可表示為：DES(m)IP-1?T16?T15……T2?T1?IP(m)

①初始轉換IP及其逆初始置換IP-1②乘積變換③選擇擴展運算、選擇壓縮運算和轉換運算

DES安全性分析：DES的出現是密碼學上的一個創舉，由于其公開了密碼體制及其設計細節，因此其安全性完全依賴于其所用的密鑰，關于DES學術界普遍印象是密鑰僅有56bit有點偏短。

6、在本章RSA例子的基礎上，試給出m=student的加解密過程。（P72）

abcdefghijk(10) lmnopqrstu(20) vwxyz

m的十進制編碼為18 19 20 03 04 13 19;

互素——若兩個整數的最大公因數是1，則稱這兩個整數互質（互素）。

設p=3, q=11;產生兩個大素數，保密的

則 計算n和φ(n) 保密的

n=3X11

φ(n)=(p-1)(q-1)=2X10

選擇一個隨機數，要求0

且通過計算得出d,de≡1 mod φ(n)(與n互素的數中選取與φ(n)互素的數 可通過

12

Eucliden 算法得出。是保密的，用于解密)

取e=3，0<3<20 (3,20)=1

則d=7;7X3=1 mod 20

將n=33和e=3公開；

m加密為 對m進行加密變換，E(m)=m~e mod n=c

E(s)=18~3=24 mod 33

E(t)=19~3=28 mod 33

E(u)=20~3=14 mod 33

E(d)=3~3=27 mod 33

E(e)=4~3=31 mod 33

E(n)=13~3=19 mod 33

E(t)=19~3=28 mod 33

c=E(m)=24 28 14 27 31 19 28 它對應的密文為c=y*o**t*

c解密為 對c進行解密變換 D(c)=c~d mod n=(m~e mod n)~d mod n=m~ed mod n=m mod

n

D(y)=24~7=18 mod 33

D(*)=28~7=19 mod 33

D(O)=14~7=20 mod 33

D(*)=27~7=03 mod 33

D(*)=31~7=04 mod 33

D(t)=19~7=13 mod 33

D(*)=28~7=19 mod 33

則還原明文為m=18 19 20 03 04 13 19 即student

7、RSA簽名方法與RSA加密方法對密鑰的使用有什么不同？（P74）

RSA加密方法是在多個密鑰中選用一部分密鑰作為加密密鑰，另一些作為解密密鑰。RSA簽名方法：如有k1/k2/k3三個密鑰，可將k1作為A的簽名私密鑰，k2作為B的簽名私密鑰，k3作為公開的驗證簽名用密鑰，實現這種多簽名體制，需要一個可信賴中心對A和B分配秘密簽名密鑰。

8、試簡述解決網絡數據加密的三種方式。（P75）

常見的網絡數據加密方式有：①鏈路加密：對網絡中兩個相鄰節點之間傳輸的數據進行加密保護。②節點加密：指在信息傳輸路過的節點處進行解密和加密。③端到端加密：指對一對用戶之間的數據連續的提供保護。

9、認證的目的是什么，試簡述其相互間的區別。（P77）

認證的三個目的：一是消息完整性認證，即驗證信息在傳送或存儲過程中是否被篡改；二是身份認證，即驗證消息的收發者是否持有正確的身份認證符；三是消息的序號和操作時間等的認證，其目的是防止消息重放或延遲等攻擊。

10、什么是PKI？其用途有哪些？（P83）

PKI是一個用公鑰密碼算法原理和技術來提供安全服務的通用型基礎平臺，用戶可利用

13

PKI平臺提供的安全服務進行安全通信。PKI采用標準的密鑰管理規則，能夠為所有應用透明地提供采用加密和數字簽名等密碼服務所需要的密鑰和證書管理。

11、簡述PKI的功能模塊組成。

主要包括認證機構CA、證書庫、密鑰備份、證書作廢處理系統和PKI應用接口系統等。①認證機構CA②證書庫③證書撤銷④密鑰備份和恢復⑤自動更新密鑰⑥密鑰歷史檔案⑦交叉認證⑧不可否認性⑨時間戳⑩客戶端軟件

12、通過學習，你認為密碼技術在網絡安全實踐中還有哪些應用領域？舉例說明。（P76）

加密技術在其它領域也經常發揮作用，如電子商務和VPN。（P76）

第４章 防火墻技術

4.1.1防火墻的基本概念：是位于被保護網絡和外部網絡之間執行訪問控制策略的一個或一組系統，包括硬件和軟件，它構成一道屏障，以防止發生對被保護網絡的不可預測的、潛在破壞性的侵擾。

4.1.2防火墻的主要功能：

① 過濾進、出網絡的數據

② 管理進、出網絡的訪問行為

③ 封堵某些禁止的業務

④ 記錄通過防火墻的信息和內容

⑤ 對網絡攻擊檢測和告警

4.1.3防火墻的局限性：

① 網絡的安全性通常是以網絡服務的開放性和靈活性為代價

② 防火墻只是整個網絡安全防護體系的一部分，而且防火墻并非萬無一失。

4.2防火墻的體系結構：雙重宿主主機體系結構；屏蔽主機體系結構；屏蔽子網體系結構。（圖見P106）

4.3防火墻可以分為網絡層防火墻和應用層防火墻，這兩類防火墻的具體實現技術主要有包過濾技術、代理服務技術、狀態檢測技術和NAT技術等。

4.3.1包過濾技術的工作原理（P110）：工作在網絡層，通常基于IP數據包的源地址、目的地址、源端口和目的端口進行過濾。包過濾技術是在網絡層對數據包進行選擇，選擇的依據是系統內設置的過濾邏輯，被稱為訪問控制列表。通過檢查數據流中每個數據包的源地址、目的地址、所用的端口號和協議狀態等因素或它們的組合，來確定是否允許該數據包通過。

4.3.1包過濾技術的缺陷：①不能徹底防止地址欺騙 ②無法執行某些安全策略

③安全性較差 ④一些應用協議不適合于數據包過濾 ⑤管理功能弱

4.3.2代理服務技術(Proxy)是一種較新型的防火墻技術，它分為應用層網關和電路層網關。

4.3.2代理服務技術的工作原理（P116）：所謂代理服務器，是指代表客戶處理連接請求的程序。當代理服務器得到一個客戶的連接意圖時，它將核實客戶請求，并用特定的安全

14

化的proxy應用程序來處理連接請求，將處理后的請求傳遞到真實的服務器上，然后接受服務器應答，并進行下一步處理后，將答復交給發出請求的最終客戶。代理服務器在外部網絡向內部網絡申請服務時發揮了中間轉接和隔離內、外部網絡的作用，所以又叫代理防火墻。代理防火墻工作于應用層，且針對特定的應用層協議。

4.3.2代理技術的優點：①代理易于配置 ②代理能生成各項記錄 ③代理能靈活、完全地控制進出流量、內容 ④代理能過濾數據內容 ⑤代理能為用戶提供透明的加密機制

⑥代理可以方便地與其它安全手段集成。

4.3.2代理技術的缺點：①代理速度較路由器慢 ②代理對用戶不透明 ③對每項服務代理可能要求不同的服務器 ④代理服務不能保證免受所有協議弱點的限制 ⑤代理不能改進底層協議的安全性。

4.3.3狀態檢測技術的工作原理（P119）：也稱為動態包過濾防火墻。基于狀態檢測技術的防火墻通過一個在網關處執行網絡安全策略的檢測引擎而獲得非常好的安全特性，檢測引擎在不影響網絡正常運行的前提下，采用抽取有關數據的方法對網絡通信的各層實施檢測，并將抽取的狀態信息動態地保存起來作為以后執行安全策略的參考。狀態檢測防火墻監視和跟蹤每一個有效連接的狀態，并根據這些信息決定是否允許網絡數據包通過防火墻。

4.3.3狀態檢測技術的特點：①高安全性②高效性③可伸縮性和易擴展性④應用范圍廣

4.3.4 NAT技術的工作原理（P121）：網絡地址轉換，是一個internet工程任務組的標準，允許一個整體機構以一個公用IP地址出現在互聯網上。即是一種把內部私有IP地址翻譯成合法網絡IP地址的技術。NAT有三種類型：靜態NAT、動態NAT和網絡地址端口轉換NAPT。

4.6.2個人防火墻的主要功能：①IP數據包過濾功能 ②安全規則的修訂功能 ③對特定網絡攻擊數據包的攔截功能 ④應用程序網絡訪問控制功能 ⑤網絡快速切斷、恢復功能

⑥日志記錄功能 ⑦網絡攻擊的報警功能 ⑧產品自身安全功能

4.6.3個人防火墻的特點：

優點：①增加了保護級別，不需要額外的硬件資源；

②除了可以抵擋外來攻擊的同時，還可以抵擋內部的攻擊；

③是對公共網絡中的單位系統提供了保護，能夠為用戶隱蔽暴露在網絡上的信息，比如IP地址之類的信息等。

缺點：①對公共網絡只有一個物理接口，導致個人防火墻本身容易受到威脅；

②在運行時需要占用個人計算機的內存、CPU時間等資源；

③只能對單機提供保護，不能保護網絡系統。

4.7防火墻的發展趨勢（P142）：①優良的性能 ②可擴展的結構和功能 ③簡化的安裝與管理 ④主動過濾 ⑤防病毒與防黑客 ⑥發展聯動技術

? 課后題：

1、簡述防火墻的定義。（P103）

4.1.1防火墻的基本概念：是位于被保護網絡和外部網絡之間執行訪問控制策略的一個或一組系統，包括硬件和軟件，它構成一道屏障，以防止發生對被保護網絡的不可預測的、潛在破壞性的侵擾。

15

2、防火墻的主要功能。（P135）

4.1.2防火墻的主要功能：①過濾進、出網絡的數據②管理進、出網絡的訪問行為③封堵某些禁止的業務④記錄通過防火墻的信息和內容⑤對網絡攻擊檢測和告警

3、防火墻的體系結構有哪幾種？簡述各自的特點。（P106）

防火墻的體系結構：雙重宿主主機體系結構；屏蔽主機體系結構；屏蔽子網體系結構。

雙重宿主主機體系結構是圍繞具有雙重宿主的主機計算機而構筑的，該計算機至少有兩個網絡接口，這樣的主機可以充當與這些接口相連的網絡之間的路由器，它能夠從一個網絡往另一個網絡發送數據包。

雙重宿主主機體系結構是由一臺同時連接在內外部網絡的雙重宿主主機提供安全保障的，而被屏蔽主機體系結構則不同，在屏蔽主機體系結構中，提供安全保護的主機僅僅與被保護的內部網絡相連.

屏蔽子網體系結構添加額外的安全層到屏蔽主機體系結構，即通過添加周邊網絡更進一步地把內部網絡與Internet隔離開。

4、簡述包過濾防火墻的工作機制和包過濾模型。（P110，P111圖）

包過濾型防火墻一般有一個包檢查模塊，可以根據數據包頭中的各項信息來控制站點與站點、站點與網絡、網絡與網絡之間的相互訪問，但不能控制傳輸的數據內容，因為內容是應用層數據。包過濾模型P111

TCP/IP 與過濾規則匹配 審計 轉發包 丟棄包

5、簡述包過濾的工作過程。（P112）

源地址 目的地址 協議類型 源端口 目的端口 ICMP消息類型

不讓外用TELNET登陸 允許SMTP往內部發郵件 允許NNTP往內部發新聞

不能識別用戶信息 不能識別文件信息 可以提供整個網絡保護

6、簡述代理防火墻的工作原理，并闡述代理技術的優缺點。（P116）

所謂代理服務器，是指代表客戶處理連接請求的程序。當代理服務器得到一個客戶的連接意圖時，它將核實客戶請求，并用特定的安全化的proxy應用程序來處理連接請求，將處理后的請求傳遞到真實的服務器上，然后接受服務器應答，并進行下一步處理后，將答復交給發出請求的最終客戶。代理服務器在外部網絡向內部網絡申請服務時發揮了中間轉接和隔離內、外部網絡的作用，所以又叫代理防火墻。代理防火墻工作于應用層，且針對特定的應用層協議。

優點：①代理易于配置②代理能生成各項記錄③代理能靈活、完全地控制進出流量、內容④代理能過濾數據內容⑤代理能為用戶提供透明的加密機制⑥代理可以方便地與其他安全手段集成

缺點：①代理速度較路由器慢②代理對用戶不透明③對于每項服務代理可能要求不同的服務器④代理服務不能保證免受所有協議弱點的限制⑤代理不能改進底層協議的安全性

7、簡述狀態檢測防火墻的特點。（P120）

狀態檢測防火墻結合了包過濾防火墻和代理服務器防火墻的長處，克服了兩者的不足，能夠根據協議、端口，以及源地址、目的地址的具體情況決定數據包是否允許通過。優點：①高安全性②高效性③可伸縮性和易擴展性④應用范圍廣。不足：對大量狀態信息的處理過

16

程可能會造成網絡連接的某種遲滯。

8、簡述NAT技術的工作原理（P121）

4.3.4NAT技術的工作原理（P121）：網絡地址轉換，是一個internet工程任務組的標準，允許一個整體機構以一個公用IP地址出現在互聯網上。即是一種把內部私有IP地址翻譯成合法網絡IP地址的技術。NAT有三種類型：靜態NAT、動態NAT和網絡地址端口轉換NAPT。

9、試描述攻擊者用于發現和偵察防火墻的典型技巧。（P122）

攻擊者往往通過發掘信任關系和最薄弱環節上的安全脆弱點來繞過防火墻，或者經由拔號帳號實施攻擊來避開防火墻。典型技巧：①用獲取防火墻標識進行攻擊。憑借端口掃描和標識獲取等技巧，攻擊者能有效地確定目標網絡上幾乎每個防火墻的類型、版本和規則。②穿透防火墻進行掃描。利用原始分組傳送進行穿透防火墻掃描和利用源端口掃描進行穿透防火墻掃描。③利用分組過濾的脆弱點進行攻擊。利用ACL規則設計不完善的防火墻，允許某些分組不受約束的通過。④利用應用代理的脆弱點進行攻擊。

10、若把網絡衛士防火墻3000部署在本單位網絡出口處，試給出其應用配置。（P129）

①配置防火墻接口地址

ifconfig eth0 ip ip

ifconfig eth2:0 ip ip

ifconfig eth2:1 ip ip

②設置路由表

route add ip ip eth0

route add ip ip

route add ip ip eth2:0

route add ip ip ip

route add default ip

③指定防火墻接口屬性

fwip add eth0 ip o

fwip add eth1 ip s

fwip add eth2:0 ip i

④配置域名服務器

dns //按提示輸入所在域及域名服務器

⑤透明設置

Settrans eth0 eth1 on

Settrans eth0 eth2:1 on

⑥增加用戶

addur 輸入用戶名 口令 綁定的IP 用戶屬性

⑦NAT配置⑧反向NAT配置⑨訪問規則配置

11、簡述個人防火墻的特點。（P136 4.6.3）

4.6.2個人防火墻的主要功能：①IP數據包過濾功能②安全規則的修訂功能③對特定網

17

絡攻擊數據包的攔截功能④應用程序網絡訪問控制功能⑤網絡快速切斷、恢復功能⑥日志記錄功能⑦網絡攻擊的報警功能⑧產品自身安全功能

4.6.3個人防火墻的特點：優點：①增加了保護級別，不需要額外的硬件資源；②除了可以抵擋外來攻擊的同時，還可以抵擋內部的攻擊；③是對公共網絡中的單位系統提供了保護，能夠為用戶隱蔽暴露在網絡上的信息，比如IP地址之類的信息等。缺點：①對公共網絡只有一個物理接口，導致個人防火墻本身容易受到威脅；②在運行時需要占用個人計算機的內存、CPU時間等資源；③只能對單機提供保護，不能保護網絡系統。

12、簡述防火墻的發展動態和趨勢。（P141）

防火墻的發展動態：防火墻有許多防范功能，但由于互聯網的開放性，它也有一些力不能及的地方，主要表現在以下方面：①防火墻不能防范不經由防火墻的攻擊。②防火墻目前還不能防止感染了病毒的軟件或文件的傳輸，這只能在每臺主機上安裝反病毒軟件。③防火墻不能防止數據驅動式攻擊。④另外，防火墻還存在著安裝、管理、配置復雜的缺點，在高流量的網絡中，防火墻還容易成為網絡的瓶頸。

防火墻的發展趨勢：①優良的性能②可擴展的結構和功能③簡化的安裝與管理④主動過濾⑤防病毒與防黑客⑥發展聯動技術。

第5章 入侵檢測技術

5.1.1入侵檢測的原理（P148圖）：通過監視受保護系統的狀態和活動，采用誤用檢測或異常檢測的方式，發現非授權或惡意的系統及網絡行為，為防范入侵行為提供有效的手段。

5.1.2入侵檢測的系統結構組成（P148圖）：從系統構成上看，入侵檢測系統應包括數據提取、入侵分析、響應處理和遠程管理四大部分。

5.1.3入侵檢測系統的分類（P149）：

①基于數據源的分類：按數據源所處的位置，把入侵檢測系統分為五類：即基于主機、基于網絡、混合入侵檢測、基于網關的入侵檢測系統及文件完整性檢查系統；

②基于檢測理論分類，可分為異常檢測和誤用檢測；

③基于檢測時效的分類，可分為離線檢測方式（采取批處理方式）和在線檢測方式（實時檢測）。

5.2.1入侵檢測分析模型：分析是入侵檢測的核心功能，一般的，入侵檢測分析處理過程可分為三個階段：構建分析器，對實際現場數據進行分析，反饋和提煉過程。其中，前兩個階段都包含三個功能，即數據處理、數據分類（數據可分為入侵指示、非入侵指示或不確定）和后處理。

5.2.2誤用檢測（P153）：誤用檢測是按照預定模式搜尋事件數據的，最適用于對已知模式的可靠檢測。執行誤用檢測，主要依賴于可靠的用戶活動記錄和分析事件的方法。分為：①條件概率預測法 ②產生式/專家系統 ③狀態轉換方法④用于批模式分析的信息檢索技術⑤Keystroke Monitor和基于模型的方法。

5.2.3異常檢測（P156）：異常檢測基于一個假定：用戶的行為是可預測的、遵循一致性模式的，且隨著用戶事件的增加，異常檢測會適應用戶行為的變化。用戶行為的特征輪廓

18

在異常檢測中是由度量集來描述的。分為 ①Denning的原始模型 ②量化分析 ③統計度量④非參數統計度量 ⑤基于規則的方法

5.3.1分布式入侵檢測的優勢（P163）：分布式入侵檢測由于采用了非集中的系統結構和處理方式，相對于傳統的單機IDS具有一些明顯的優勢：①檢測大范圍的攻擊行為 ②提高檢測的準確度 ③提高檢測效率 ④協調響應措施

5.3.2分布式入侵檢測的技術難點（P164）：①事件產生及存儲 ②狀態空間管理及規則復雜度 ③知識庫管理 ④推理技術

5.4入侵檢測系統的標準（P166）：①IETF/IDWG。IDWG定義了用于入侵檢測與響應系統之間或與需要交互的管理系統之間的信息共享所需要的數據格式和交換規程。IDWG提出了三項建議草案：入侵檢測消息交換格式（IDMEF）、入侵檢測交換協議（IDXP）及隧道輪廓（Tunnel Profile） ②CIDF。CIDF的工作集中體現在四個方面：IDS的體系結構、通信機制、描述語言和應用編程接口API。

5.4.2 CIDF的體系結構組成（P169圖）：分為四個基本組件：事件產生器、事件分析器、響應單元和事件數據庫。事件產生器、事件分析器、響應單元通常以應用程序的形式出現，而事件數據庫則是以文件或數據流的形式。

? 課后題：

1、簡述入侵檢測系統的基本原理。（5.1.1）

5.1.1入侵檢測的原理（P148圖）：通過監視受保護系統的狀態和活動，采用誤用檢測或異常檢測的方式，發現非授權或惡意的系統及網絡行為，為防范入侵行為提供有效的手段。

2、簡述誤用檢測技術的實現。（5.2.2）

5.2.2誤用檢測（P153）：誤用檢測是按照預定模式搜尋事件數據的，最適用于對已知模式的可靠檢測。執行誤用檢測，主要依賴于可靠的用戶活動記錄和分析事件的方法。分為①條件概率預測法②產生式/專家系統③狀態轉換方法④用于批模式分析的信息檢索技術⑤Keystroke Monitor和基于模型的方法。

3、簡述異常檢測技術的實現。（5.2.3）

5.2.3異常檢測（P156）：異常檢測基于一個假定：用戶的行為是可預測的、遵循一致性模式的，且隨著用戶事件的增加，異常檢測會適應用戶行為的變化。用戶行為的特征輪廓在異常檢測中是由試題集來描述的。分為①Denning的原始模型②量化分析③統計度量④非參數統計度量⑤基于規則的方法

4、簡述入侵檢測技術當前的研究熱點。（P164）（不知對不對）

盡管分布式入侵檢測存在技術和其他層面的難點 ，但由于其相對于傳統的單機IDS所具有的優勢，目前已經成為這一領域的研究熱點。研究現狀如下：①Snortnet②Agent-Bad③DIDS④GrIDS⑤Intrusion Strategy⑥數據融合⑦基于抽象的方法

5、試指出分布式入侵檢測技術的優勢和劣勢。（5.3.1）

5.3.1分布式入侵檢測的優勢（P163）：分布式入侵檢測由于采用了非集中的系統結構和處理方式，相對于傳統的單機IDS具有一些明顯的優勢：①檢測大范圍的攻擊行為②提高檢測的準確度③提高檢測效率④協調響應措施

5.3.2分布式入侵檢測的技術難點（P164）：①事件產生及存儲②狀態空間管理及規則

19

復雜度③知識庫管理④推理技術

6、你認為入侵檢測的標準化工作對于當前入侵檢測的研究有什么幫助。

DARPA和IETF的入侵檢測工作組發起制定了一系列建議草案，從體系結構、API、通信機制和語言格式等方面來規范IDS的標準，此標準化工作可提高IDS產品、組件及與其他安全產品之間的互操作性。

7、上網查找相關資料，整理并分析當前主流入侵檢測產品的技術性能指標。

公司的NetRanger

NetRanger以其高性能而聞名，而且它還非常易于裁剪。控制器程序可以綜合多站點的信息并監視散布在整個企業網上的攻擊。NetRanger的最大名聲在于其是針對企業而設計的。路徑備份(Path-doubling)功能。如果一條路徑斷掉了，信息可以從備份路徑上傳過來。它甚至能做到從一個點上監測全網或把監測權轉給第三方。檢測問題時不僅觀察單個包的內容，而且還看上下文，即從多個包中得到線索。不足。它被設計為集成在OpenView或NetView下，在網絡運行中心(NOC)使用，其配置需要對Unix有詳細的了解。NetRanger相對較昂貴，這對于一般的局域網來講未必很適合。

k Associates公司的CyberCop

CyberCop基本上可以認為是NetRanger的局域網管理員版。CyberCop被設計成一個網絡應用程序，它預設了6種通常的配置模式:Windows NT和Unix的混合子網、Unix子網、NT子網、遠程訪問、前沿網(如Internet的接入系統)和骨干網。它沒有Netware的配置。前端設計成瀏覽器方式主要是考慮易于使用， CyberCop還能生成可以被 Sniffer識別的蹤跡文件。

et Security System公司的RealSecure

優勢在于其簡潔性和低價格。引擎部分負責監測信息包并生成告警，控制臺接收報警并作為配置及產生數據庫報告的中心點。兩部分都可以在NT、Solaris、SunOS和Linux上運行，并可以在混合的操作系統或匹配的操作系統環境下使用。它們都能在商用微機上運行。

ion Detection公司的Kane Security Monitor

三部分組成，即一個審計器、一個控制臺和代理。代理用來瀏覽NT的日志并將統計結果送往審計器。系統安全員用控制臺的GUI界面來接收告警、查看歷史記錄以及系統的實時行為。KSM在TCP/IP監測方面特別強。

8、簡述Snort是如何檢測分布式拒絕服務攻擊的，并在局域網內進行實驗驗證。（P171）

SNORT由數據包捕獲和解碼、檢測引擎及日志和報警三個子系統組成；

數據包捕獲和解碼子系統捕獲傳輸數據 TCP/IP協議 解析 LIBPCAP庫函數采集數據

NIDS實現 SNORT可處理以太網 令牌環及SLIP等鏈路的數據包；

檢測引擎 已知攻擊方法以規則形式存放規則庫中，每一條規則由規則頭和規則選項組成，規則頭對應規則樹結點RTN 包含動作、協議、源目的地址和端口及數據流向；規則選項對應規則選項結點OTN 包含報警信息和匹配信息；

SNORT捕獲一個數據包時，分析數據包協議，決定與某個規則樹匹配，與RTN結點依次

20

匹配，相配后，往下與OTN結點匹配，相配時，判斷此數據包為攻擊數據包。

日志和報警子系統

9、針對入侵檢測在實際應用中面臨的困難，提出幾種可能的解決方案。（P164）

Snort入侵檢測實用解決方案

網站入侵與腳本攻防修煉

第1章 網站腳本入侵與防范概述.

第2章 SQL注入, 刺入網站的核心

第3章 深入SQL注入攻擊與防范

第4章 未隱藏的危機——數據庫入侵

第5章 程序員的疏忽, 過分信任上傳

第6章 入門牌的泄露與欺騙——Cookie攻擊

第7章 網站成幫兇, 嫁禍攻擊的跨站技術

第8章 打造安全的網站服務器

10、若構建一個基于入侵檢測技術和防火墻技術的聯動安全系統，你是如何考慮的？（不知對不對）

在安全實踐中，部署入侵檢測系統是一項較為煩瑣的工作，需要從三個方面對入侵檢測進行改進，即突破檢測速度瓶頸制約，適應網絡通信需求；降低漏報和誤報，提高其安全性和準確度；提高系統互動性勇，增強全系統的安全性能。

第6章 網絡安全檢測技術

6.1安全威脅的概念：安全威脅是指所有能夠對計算機網絡信息系統的網絡服務和網絡信息的機密性、可用性和完整性產生阻礙、破壞或中斷的各種因素。可分為人為安全威脅和非人為安全威脅兩大類。

6.1.1網絡安全漏洞威脅等級的劃分方法：可按風險等級進行歸類（P181圖）

嚴重度

低嚴重度：漏洞難以利用，并且潛在的損失較少

中等嚴重度：漏洞難以利用，但是潛在的損失較大，或者漏洞易于利用，但是潛在的損失較少

高嚴重度：漏洞易于利用，并且潛在的損失較大

等級

1

影響度

低影響度：漏洞的影響較低，不會產生連帶的其他安全漏洞

中等影響度：漏洞可能影響系統的一個或多個模2

塊，該漏洞的利用可能會導致其他漏洞可利用

3

高影響度：漏洞影響系統的大部分模塊，并且該漏洞的利用顯著增加其他漏洞的可利用性

6.1.2網絡安全漏洞的分類：漏洞的分類方法主要有按漏洞可能對系統造成的直接威脅分類和按漏洞的成因分類兩大類。（P182表）

直接威脅分類：遠程管理員權限、本地管理員權限、普通用戶訪問權限、權限提升、調取受限文件、遠程拒絕服務、本地拒絕服務、遠程非授權文件存取、口令恢復、欺騙、服務器信息泄露、其它漏洞；

21

漏洞成因分類：輸入驗證錯誤、訪問驗證錯誤、競爭條件、意外情況處理錯誤、設計錯誤、配置錯誤、環境錯誤；

6.1.2漏洞的概念：漏洞是在硬件、軟件和協議的具體實現或系統安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統。

6.2.1端口掃描的基本原理：端口掃描的原理是向目標主機的TCP/IP端口發送探測數據包，并記錄目標主機的響應。通過分析響應來判斷端口是打開還是關閉等狀態信息。根據所使用通信協議的不同，網絡通信端口可以分為 TCP端口UDP端口兩大類，因此端口掃描技術也可相應地分為TCP端口掃描技術和UDP端口掃描技術。

6.2.2操作系統類型探測的主要方法：操作系統探測技術主要包括：獲取標識信息探測技術、基于TCP/IP協議棧的操作系統指紋探測技術和ICMP響應分析探測技術。

6.2.3信息型漏洞探測和攻擊型漏洞探測技術的原理。

信息型漏洞探測的原理：大部分的網絡安全漏洞都與特定的目標狀態直接相關，因此只要對目標的此類信息進行準確探測就可以在很大程度上確定目標存在的安全漏洞。

攻擊型漏洞探測的原理：模擬攻擊是最直接的漏洞探測技術，其探測結果的準確率也是最高的。該探測技術的主要思想是模擬網絡入侵的一般過程，對目標系統進行無惡意攻擊嘗試，若攻擊成功則表明相應安全漏洞必然存在。

? 課后題：

1、簡述網絡安全檢測對保障計算機網絡信息系統安全的作用。（P181）

網絡安全檢測是保證計算機網絡信息系統安全運行的重要手段，對于準確掌握計算機網絡信息系統的安全狀況具有重要意義。計算機網絡信息安全狀況動態變化，安檢也是動態過程，信息在生命周期內，隨著網絡結構變化，新的漏洞發現及管理員/用戶操作，主機安全狀況不斷變化，安全檢測，安全意識和安全制度貫穿過程，盡可能安全，一勞永逸安檢不存在。

2、什么是安全漏洞，安全漏洞產生的內在原因是什么？（P182）

漏洞是在硬件、軟件和協議的具體實現或系統安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統。漏洞的產生有其必然性，這是因為軟件的正確性通常是通過檢測來保障的。像操作系統這樣的大型軟件不可避免的存在著設計上的缺陷，這些缺陷反映在安全功能上便造成了系統的安全脆弱性。

3、網絡安全漏洞的分類方法有哪些？漏洞的分類方法主要有按漏洞可能對系統造成的直接威脅分類和按漏洞的成因分類兩大類。（P182表）

按漏洞可能造成的直接威脅分類：遠程管理員權限、本地管理員權限、普通用戶訪問權限、權限提升、讀取受限文件、遠程拒絕服務、本地拒絕服務、遠程非授權存取、口令恢復、欺騙、服務器信息泄露、其它漏洞；

按漏洞的成因分類：輸入驗證錯誤、訪問驗證錯誤、競爭條件、意外情況處置錯誤、設計錯誤、配置錯誤、環境錯誤；

4、網絡安全漏洞檢測技術分為幾類，其具體作用是什么？

網絡安全漏洞檢測技術主要包括端口掃描、操作系統探測和安全漏洞探測三類。通過端口掃描可以掌握系統都開放了哪些端口、提供了哪些服務；通過操作系統探測可以掌握操作

22

系統的類型信息；通過安全漏洞探測可以發現系統中可能存在的安全漏洞。

5、端口掃描的原理是什么，根據通信協議的不同可以分為幾類？（6.2.1）

6.2.1端口掃描的基本原理：端口掃描的原理是向目標主機的TCP/IP端口發送探測數據包，并記錄目標主機的響應。通過分析響應來判斷端口是打開還是關閉等狀態信息。根據所使用通信協議的不同，網絡通信端口可以分為 TCP端口UDP端口兩大類，因此端口掃描技術也可相應地分為TCP端口掃描技術和UDP端口掃描技術。

6、操作系統探測技術分為幾類？（6.2.2）

6.2.2操作系統探測技術主要包括：

獲取標識信息探測技術——（telnet IP得到主機操作系統的類型）、

基于TCP/IP協議棧的操作系統指紋探測技術——（操作系統指紋——通過網絡連接獲取唯一標識某一操作系統的類型及版本號的一組特征信息。一個應用工具NMAP）

ICMP響應分析探測技術。——(發送UDP或ICMP請求報文，分析ICMP應答信息，判斷操作系統類型及版本。本制也是基于TCP/IP，X-Probe是一款應用工具。)

7、安全漏洞探測技術有哪些分類？（P186）

按照網絡安全漏洞的可利用方式來劃分，漏洞探測技術可分為信息型漏洞探測和攻擊型漏洞探測兩種。按照漏洞探測的技術特征，又可以劃分為基于應用的探測技術、基于主機的探測技術、基于目標的探測技術和基于網絡的探測技術等。

8、上網查找相關資料，整理并分析當前主流網絡安全檢測評估系統的技術性能指標。

第7章 計算機病毒與惡意代碼防范技術

7.1.1計算機病毒的定義：計算機病毒是指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數據，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼。

7.1.3計算機病毒的特征：①非授權可執行性 ②隱蔽性 ③傳染性 ④潛伏性 ⑤破壞性⑥觸發性

7.1.4計算機病毒的主要危害（P202）：

① 直接破壞計算機數據信息

② 占用磁盤空間和對信息的破壞

③ 搶占系統資源

④ 影響計算機運行速度

⑤ 計算機病毒錯誤與不可預見的危害

⑥ 計算機病毒的兼容性對系統運行的影響

⑦ 給用戶造成嚴重的心理壓力

7.2.2計算機病毒的分類（P208）：

按病毒攻擊的系統分類：①攻擊DOS系統的病毒 ②攻擊windows系統的病毒

③攻擊UNIX系統的病毒 ④攻擊OS/2系統的病毒。

按病毒的攻擊機型分類：①攻擊微型計算機的病毒 ②攻擊小型機的計算機病毒

③攻擊工作站的計算機病毒。

23

按病毒的鏈接方式分類：①源碼型病毒②嵌入型病毒③外殼型病毒④操作系統型病毒。

按病毒的破壞情況分類：①良性計算機病毒 ②惡性計算機病毒。

按病毒的寄生方式分類：①引導型病毒 ②文件型病毒 ③復合型病毒。

按病毒的傳播媒介分類：①單機病毒 ②網絡病毒。

7.3.1常用計算機病毒檢測手段的基本原理（P216）： ①特征代碼法 ②校驗和法③行為監測法 ④軟件模擬法

7.3.2計算機病毒的防范手段（P216）：

防范計算機病毒主要從管理和技術兩方面著手：

① 嚴格的管理。制定相應的管理制度，避免蓄意制造、傳播病毒的事件發生。

② 有效的技術。1）將大量的消毒/殺毒軟件匯集一體，檢查是否存在已知病毒。

2）檢測一些病毒經常要改變的系統信息，以確定是否存在病毒行為；

3）監測寫盤操作，對引導區或主引導區的寫操作報警。

4）對計算機系統中的文件形成一個密碼檢驗碼和實現對程序完整性的驗證，在程序執行前或定期對程序進行密碼校驗，如有不匹配現象即報警。

5）智能判斷型：設計病毒行為過程判定知識庫，應用人工智能技術，有效區別正常程序與病毒程序的行為。

6）智能監察型：設計病毒特征庫，病毒行為知識庫，受保護程序存取行為知識庫等多個知識庫及相應的可變推理機。

③ 宏病毒的防范。通過Word來防止宏病毒的感染和傳播和使用各種反宏病毒軟件。

④ 電子郵件病毒的防范。1）思想上高度重視不要輕易打開來信中的附件；

2）不斷完善“網關”軟件及病毒防火墻軟件，加強對整個網絡入口點的防范；

3）使用優秀的放毒軟件同時保護客戶機和服務器；

4）使用特定的SMTP殺毒軟件。

7.4.1惡意代碼的特征與分類：

特征：①惡意的目的 ②本身是程序 ③通過執行發生作用。

分類：按惡意代碼的工作原理和傳輸方式區分，惡意代碼可分為普通病毒、木馬、網絡蠕蟲、移動代碼和復合型病毒等類型。

7.4.2惡意代碼的關鍵技術（P222）：惡意代碼主要關鍵技術有生存技術、攻擊技術和隱藏技術。

7.4.5惡意代碼的防范措施（P228）：①及時更新系統，修補安全漏洞 ②設置安全策略，限制腳本程序的運行 ③養成良好的上網習慣。④啟用防火墻，過濾不必要的服務和系統信息。

? 課后題：

1、簡述計算機病毒的定義和特征（7.1.1-3）。

7.1.1計算機病毒的定義：計算機病毒是指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數據，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼。

7.1.3計算機病毒的特征：①非授權可執行性②隱蔽性③傳染性④潛伏性⑤破壞性⑥觸發性

24

2、結合自己的經歷說明病毒的危害（7.1.4）。

7.1.4計算機病毒的主要危害（P202）：①直接破壞計算機數據信息②占用磁盤空間和對信息的破壞③搶占系統資源④影響計算機運行速度⑤計算機病毒錯誤與不可預見的危害⑥計算機病毒的兼容性對系統運行的影響⑦給用戶造成嚴重的心理壓力

3、簡述計算機病毒的分類（7.2.2）。

7.2.2計算機病毒的分類（P208）：按病毒攻擊的系統分類：①攻擊DOS系統的病毒②攻擊windows系統的病毒③攻擊UNIX系統的病毒④攻擊OS/2系統的病毒。按病毒的攻擊機型分類：①攻擊微型計算機的病毒②攻擊小型機的計算機病毒③攻擊工作部的計算機病毒。按病毒的鏈接方式分類：①源碼型病毒②嵌入型病毒③外殼型病毒④操作系統型病毒。按病毒的破壞情況分類：①良性計算機病毒②惡性計算機病毒。按病毒的寄生方式分類：①引導型病毒②文件型病毒③復合型病毒。按病毒的傳播媒介分類：①單機病毒②網絡病毒。

4、試述計算機病毒的一般構成、各個功能模塊的作用和作用機制。

計算機病毒一般包括三大功能模塊，即引導模塊、傳染模塊和發作模塊（破壞/表現模塊）。①引導模塊。計算機病毒要對系統進行破壞，爭奪系統控制權是至關重要的，一般的病毒都是由引導模塊從系統獲取控制權，引導病毒的其它部分工作。中斷與計算機病毒，中斷是CPU處理外部突發事件的一個重要技術。它能使CPU在運行過程中對外部事件發出的中斷請求及時地進行處理，處理完后又立即返回斷點，繼續進行CPU原來的工作。②傳染模塊。計算機病毒的傳染是病毒由一個系統擴散到另一個系統，由一張磁盤傳入另一張磁盤，由一個系統傳入另一張磁盤，由一個網絡傳播到另一個網絡的過程。計算機病毒是不能獨立存在的，它必須寄生于一個特定的寄生宿主之上。③發作模塊。計算機病毒潛伏在系統中處于發作就緒狀態，一旦病毒發作就執行病毒設計者的目的操作。破壞機制在設計原理、工作原理上與傳染機制基體相同。

5、目前計算機病毒預防采用的技術有哪些？（7.3.2）

7.3.2計算機病毒的防范手段（P216）： 防范計算機病毒主要從管理和技術兩方面著手：①嚴格的管理。制定相應的管理制度，避免蓄意制造、傳播病毒的事件發生。②有效的技術。1）將大量的消毒/殺毒軟件匯集一體，檢查是否存在已知病毒。2）檢測一些病毒經常要改變的系統信息，以確定是否存在病毒行為；3）監測寫盤操作，對引導區或主引導區的寫操作報警。4）對計算機系統中的文件形成一個密碼檢驗碼和實現對程序完整性的驗證，在程序執行前或定期對程序進行密碼校驗，如有不匹配現象即報警。5）智能判斷型：設計病毒行為過程判定知識庫，應用人工智能技術，有效區別正常程序與病毒程序的行為。6）智能監察型：設計病毒特征庫，病毒行為知識庫，受保護程序存取行為知識庫等多個知識庫及相應的可變推理機。

6、對于計算機病毒有哪些檢測技術？（P214）

①特征代碼法——簡單、開銷小，實現方法：采集病毒樣本、抽取特征代碼納入病毒數據庫、特征代碼與病毒數據庫中代碼一一比對，判斷病毒類型。優點：檢測準確、可識別名稱、誤報警率低。缺點：無法檢測新病毒、收集特征代碼開銷大效率低。特點：速度慢、誤報擎率低、不能檢測多形性病毒、不能對付隱蔽性病毒。

②校驗和法——計算校驗和，并寫入文件中或別的文件中保存，定期或用前檢查，發現

25

是否感染，可以發現已知或未知病毒。查病毒方式有三種：檢測工具中納入校驗和法，計算正常狀態值，寫入文件中或檢測工具中；應用程序中放入檢驗和法自我檢查功能，應用程序自檢；校驗和檢查程序常駐內存，應用程序運行，自動檢查校驗和。缺點：不能識別病毒類和名、常誤報警、對隱蔽性病毒無效。優點：方法簡單、能發現未知病毒、靈敏。

③行為監測法——利用病毒特有行為特征來監測病毒的方法。病毒行為特征：占有INT

13H（引導型病毒，攻擊BOOT扇區或主引導扇區，占用INT 13H 放置病毒代碼）、改變DOS系統內存總量（病毒常駐內存，為防止DOS系統覆蓋，修改內存總量）、對COM EXE文件進行寫入動作、病毒程序與宿主程序切換（染毒程序運行，先運行病毒，后執行宿主程序）。優點：發現未知病毒，預報未知多數病毒。缺點：誤報警、不能識別病毒名、實現有一定難度。

④軟件模擬法——為檢測多態性病毒，引入軟件模擬法，軟件分析器，模擬和分析程序的運行。使用特征代碼法檢測病毒，發現隱蔽病毒或多態病毒嫌疑時，啟動軟件模擬模塊，監視病毒運行，特病毒自身密碼譯碼后，運用特征代碼法識別病毒種類。

7、CIH病毒一般破壞哪些部位？它發作時有哪些現象？（P211）

CIH病毒一般破壞硬盤數據甚至主板上的BIOS的內容，導致主機無法啟動。發作時現象：在4月26日開機，顯示器突然黑屏，硬盤指示燈閃爍不停，重新開機后，計算機無法啟動。

8、簡要回答宏病毒的特征。（P212）

①word宏病毒會感染.doc文檔和.dot模板文件；②word宏病毒的傳染通常是word在打開一個帶宏病毒的文檔或模板時，激活宏病毒。③多數word宏病毒包含AutoOpen、AutoClo、AutoNew、AutoExit等自動宏，通過這自動宏病毒取得文檔操作權。④word宏病毒中總是含有對文檔讀寫操作的宏命令。⑤word宏病毒在.doc文檔、.dot模板中以BFF格式存放，這是一種加密壓縮格式，不同word版本格式可能不兼容。

9、簡述計算機病毒的發展趨勢。（P221）

①變形病毒成為下一代病毒首要的特點；②與Internet和Intranet更加緊密的結合，利用一切可以利用的方式進行傳播；③病毒往往具有混合性特征，集文件傳染、蠕蟲、木馬、黑客程序的特點于一身，破壞能力大大增強，獲取經濟復興開始成為編寫病毒的主要目的；④因為其擴散極快，不再追求隱藏性，而更加注重欺騙性；⑤利用系統和應用程序漏洞將成為病毒有力的傳播方式。

10、什么是惡意代碼？防范惡意代碼有哪些？（P221）

惡意代碼是一種程序，通常在人們沒有察覺的情況下把代碼寄宿到另一段程序中，從而達到破壞被感染計算機的數據，運行具有入侵性或破壞性的程序，破壞被感染系統數據的安全性和完整性的目的。

11、簡述惡意代碼所使用的關鍵技術。

惡意代碼主要關鍵技術有生存技術、攻擊技術和隱藏技術。①生存技術主要包括4個方面：反跟蹤技術、加密技術、模糊變換技術和自動生產技術。②常見的惡意代碼攻擊技術包括：進程注入技術、三線程技術、端口復用技術、對抗檢測技術、端口反向連接技術和緩沖區溢出攻擊技術等。③隱藏技術通常包括本地隱藏和通信隱藏，本地隱藏主要有文件隱藏、

26

進程隱藏、網絡連接隱藏和內核模塊隱藏等；通信隱藏包括通信內容隱藏和傳輸通道隱藏。

第8章 網絡安全解決方案

8.1.1保護、檢測、響應、恢復的含義（P234）：

保護（Protect）：保護包括傳統安全概念的繼續，用加解密技術、訪問控制技術、數字簽名技術，從信息動態流動、數據靜態存儲和經授權方可以使用，以及可驗證的信息交換過程等多方面對數據及其網上操作加以保護。

檢測(Detect)：含義是對信息傳輸的內容的可控性的檢測，對信息平臺訪問過程的檢測，對違規與惡意攻擊的檢測，對系統與網絡弱點的漏洞的檢測等。

響應(React)：在復雜的信息環境中，保證在任何時候信息平臺能高效正常運行，要求安全體系提供有力的響應機制。

恢復(Restore)：狹義的恢復指災難恢復，在系統受到攻擊的時候，評估系統受到的危害與損失，按緊急響應預案進行數據與系統恢復，啟動備份系統恢復工作。

8.1.2計算機網絡安全設計遵循的基本原則：

①需求、風險、代價平衡分析的原則 ②綜合性、整體性原則 ③一致性原則 ④易操作性原則 ⑤適應性、靈活性原則 ⑥多重保護原則

網絡安全體系的主要內容：

8.2.1網絡安全解決方案的基本概念：網絡安全解決方案的內涵是綜合運用各種計算機網絡信息系統安全技術，將安全操作系統技術、防火墻技術、病毒防護技術、入侵檢測技術、安全掃描技術、認證和數字簽名技術、VPN技術等綜合起來，形成一個完整的、協調一致的網絡安全防護體系。

8.2.3網絡安全解決方案應包括的主要內容（P238）：①網絡安全需求分析 ②網絡安全風險分析 ③網絡安全威脅分析 ④網絡系統的安全原則（動態性、唯一性、整體性、專業性、嚴密性） ⑤網絡安全產品 ⑥風險評估 ⑦安全服務。

8.4.1單機用戶面臨的主要安全威脅：單機上用戶面臨的安全問題主要有：計算機硬件設備的安全、計算機病毒、網絡蠕蟲、惡意攻擊、木馬程序、網站惡意代碼、操作系統和應用軟件漏洞等。除此之外，電子郵件也會帶來一些安全問題，主要包括：①電子郵件容易被截獲 ②電子郵件客戶端軟件設計存在缺陷

8.4.2電子郵件安全的主要措施：保護電子郵件安全的唯一方法就是讓攻擊者無法理解截獲的數據包，即對電子郵件的內容進行某種形式的加密處理。代表性的是PGP加密系統。除此之外，對單機用戶的操作系統進行安全配置也是單機用戶網絡安全解決方案的一個重要方面。

8.5.3計算機信息系統安全管理的主要原則：

①分離與制約的原則 ②有限授權原則 ③預防為主原則 ④可審計原則。

? 課后題：

1、全方位的網絡安全解決方案需要包含哪些方面的內容？（P238）

8.2.3網絡安全解決方案應包括的主要內容（P238）：①網絡安全需求分析②網絡安全

27

風險分析③網絡安全威脅分析④網絡系統的安全原則（動態性、唯一性、整體性、專業性、嚴密性）⑤網絡安全產品⑥風險評估⑦安全服務。

2、研究網絡信息安全比較困難的原因主要體現在哪些方面？（P233）

①邊界模糊②評估困難③安全技術滯后④管理滯后

3、進行計算機網絡安全設計、規劃時，應遵循的原則是什么？（P235）

8.1.2計算機網絡安全設計遵循的基本原則：①需求、風險、代價平衡分析的原則②綜合性、整體性原則③一致性原則④易操作性原則⑤適應性、靈活性原則⑥多重保護原則

4、實施一個完整的網絡與信息安全體系，需要采取哪些方面的措施？（P234）

實施一個完整的網絡與信息安全體系，至少應包括三類措施，且缺一不可。一是社會的法律政策、企業的規章制度及安全教育等外部軟環境。二是技術方面的措施，如防火墻、網絡防毒、信息加密存儲與通信、身份認證授權等。三是審計和管理措施，在此方面同時包含有技術和社會兩個方面的措施。

5、簡述網絡安全解決方案的基本框架。（P238-8.2.3）

8.2.3網絡安全解決方案應包括的主要內容（P238）：①網絡安全需求分析②網絡安全風險分析③網絡安全威脅分析④網絡系統的安全原則（動態性、唯一性、整體性、專業性、嚴密性）⑤網絡安全產品⑥風險評估⑦安全服務。

6、簡述制訂網絡安全解決方案的一般過程。（P240）

1)安全需求分析。

①網絡層需求分析——保護網絡不受攻擊，確保網絡服務可用性，邊界安全：企業網絡和互聯網互聯且隔離、信息交互可信任、內部網不被外網訪問、公共資源合法用戶安全訪問、網安事件審計、網安狀態量化評估、網安狀態實時監控。防范外網非法利用HTTP應用、FTP應用、SMTP應用。防范外網入侵和攻擊時，做到實時鑒別、預警、阻斷與記錄。

②應用層需求分析——信息共享和資源共享。針對用戶和網絡應用資源：合法指定訪問、合法不能訪問不允許信息、非法不能訪問、訪問有記錄。解決安全問題包括：非法進入、身份假冒、非授權訪問、數據竊取、數據篡改、數據重放攻擊、抵賴。應用系統設計自身安全機制保障安全，可以和系統緊密結合，但有明顯缺點：開發量大、安全強度參差不齊、安全沒保障、維護復雜、用戶使用不方便。采用具有以下功能的應用層安全設備：統一入口控制安全身份認證和訪問授權、安全機制系統健壯、無縫集成三方應用系統、集中第三方系統管理減輕工作、可伸縮安全可靠。安全體系包括：訪問控制、檢查安全漏洞、攻擊監控、加密通道、認證、備份和恢復、多層防御、隱藏內部信息、設立安全監控中心。

③安全管理需求分析——三個方面：內部安全管理、網絡安全管理、應用安全管理。

2）網絡安全解決方案

網絡安全解決方案——多接口防火墻劃分外部網絡、內部網絡和DMZ區域，工作主機置于內部網絡，WEB服務器、數據庫服務器放在DMZ區域，服務器訪問經過防火墻模塊檢查，中心交換機配制IDS系統，服務器安裝入侵檢測系統，訪問監控，操作記錄和審計。電子商務網站服務器獨立配置，身份認證和加密傳輸。配制基于主機的入侵檢測系統。總部安裝統一身份認證服務器，認證管理。

防火墻配置——安裝在出口網關位置。安全策略：服務器允許IP維護、防IP欺騙、外

28

部到達DMZ區指定端口、內部過防火墻發達，隔離內部、指定應用包過防火墻、URL過濾、HTTP應用檢測、FTP應用檢測、SMTP應用附件檢測、流量帶寬控制，專用流量保證、其它包不能過防火墻；

設備說明

——防火墻設備：應用程序支持、分布式客戶機/服務器結構、網絡訪問安全保障

——防病毒設備：趨勢科技

——入侵檢測設備：NFR入侵監測設備 基于網絡的入侵檢測設備NFR NID 和基于主機的入侵檢測設備NFR HID

——SAP身份認證設備：Secure Computing 的SafeWord

7、單機上用戶面臨的威脅主要來自哪些方面？有哪些應對措施？（P246）

8.4.1單機用戶面臨的主要安全威脅：單機上用戶面臨的安全問題主要有：計算機硬件設備的安全、計算機病毒、網絡蠕蟲、惡意攻擊、木馬程序、網站惡意代碼、操作系統和應用軟件漏洞等。除此之外，電子郵件也會帶來一些安全問題，主要包括：①電子郵件容易被截獲②電子郵件客戶端軟件設計存在缺陷

應對措施：

防病毒和木馬——防病毒軟件，養成定期升級病毒庫的習慣；

防網絡攻擊——網絡攻擊有端口掃描、拒絕服務（DoS）、竊取文件和安裝后門。安裝個人防火墻

防網站惡意代碼——網站惡意代碼有兩種形式：直接嵌入到網頁源代碼中或嵌入到特意構造的EMAIL中。常用VS和JS編寫，利用IE缺陷執行，破壞主機或下載惡意程序，修改主頁或修改標題欄，鎖定注冊表。使用超級兔子或360安全衛士。

電郵件安全——電子郵件被截取，唯一方法加密數據。

8、簡述進行網絡安全需求分析的必要性，并分析企業網絡的安全威脅主要來源。（P239）

網絡系統的安全性和易用性是矛盾的，需要找到一個平衡點。安全需求分析需要確立幾種意識：風險意識、權衡意識、相對意識、集成意識。

網絡系統安全威脅主要來自以下方面：

操作系統的安全性——網絡安全漏洞，UNIX NT WINDOWS

防火墻的安全性

來自內部網用戶的安全威脅

缺乏有效手段監視、評估網絡系統的安全性

采用TCP/IP協議，本身缺乏安全性

未能對來自INTERNET的電子郵件夾帶病毒及WEB JAVA/ACTIVEX控件進行有效控制

應用服務的安全，訪問控制和安全通信考慮少，設置錯誤造成損失。

9、簡述網絡內部安全管理制度的主要內容，以及其在保障網絡安全中的主要意義。（P247）

安全威脅途徑：系統漏洞、系統缺陷、人員意識薄弱，制度漏洞；

系統管理有助于：發現漏洞、審查體系、人員安全知識教育、完善系統管理制度；

安全管理三大原則：多人負責原則、任期有限原則、職責分離原則；

29

安全管理實現：確定系統安全等級、確定安全管理范圍、機房出入管理制度（分區控制，限制出入無關區域）、制訂操作規程（職責分離、多人負責）、制訂系統維護制度（部門批準，安全管理人員在場，原因、內容、維護情況記錄）、制訂應急措施、人員雇傭解聘制度（人員調離，調整授權）。

網絡安全管理制度

網絡安全管理基本原則：分離與制約原則（內外部分離、用戶和開發人員分離、用戶和開發機器分離、權限分級管理）、有限授權原則、預防為主原則、可審計原則；

安全管理制度的主要內容：機構與人員安全管理；系統運行與環境安全管理；硬設施安全管理；軟設施安全管理；網絡安全管理；數據安全管理；技術文檔安全管理；應用系統運營安全管理；操作安全管理；應用系統開發安全管理。

30