信息安全试题答案(题库)_信息安全技术试题答案
信息安全试题答案(题库)由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“信息安全技术试题答案”。
题库
一、选择
1.密码学的目的是（C）。
A.研究数据加密 B.研究数据解密
C.研究数据保密 D.研究信息安全
2.从攻击方式区分攻击类型，可分为被动攻击和主动攻击。被动攻击难以（C），然而（C）这些攻击是可行的；主动攻击难以（C），然而（C）这些攻击是可行的。A.阻止,检测,阻止,检测 B.检测,阻止,检测,阻止 C.检测,阻止,阻止,检测 D.上面3项都不是 3.数据保密性安全服务的基础是（D）。
A.数据完整性机制 B.数字签名机制
C.访问控制机制 D.加密机制
4.数字签名要预先使用单向Hash函数进行处理的原因是（C）。A.多一道加密工序使密文更难破译 B.提高密文的计算速度
C.缩小签名密文的长度，加快数字签名和验
证签名的运算速度
D.保证密文能正确还原成明文
5.基于通信双方共同拥有的但是不为别人知道的秘密，利用计算机强大的计算能力，以该秘密作为加密和解密的密钥的认证是（C）。
A.公钥认证 B.零知识认证 C.共享密钥认证 D.口令认证
6.为了简化管理，通常对访问者（A），以避免访问控制表过于庞大。A.分类组织成组 B.严格限制数量 C.按访问时间排序，删除长期没有访问的用户 D.不作任何限制
7.PKI管理对象不包括（A）。A.ID和口令 B.证书 C.密钥 D.证书撤消
8.下面不属于PKI组成部分的是（D）。
A.证书主体 B.使用证书的应用和系统 C.证书权威机构 D.AS 9.IKE协商的第一阶段可以采用（C）。
A.主模式、快速模式 B.快速模式、积极模式 C.主模式、积极模式 D.新组模式 10．AH协议和ESP协议有（A）种工作模式。A.二 B.三 C.四 D.五 11.（C）属于Web中使用的安全协议。
A.PEM、SSL B.S-HTTP、S/MIME C.SSL、S-HTTP D.S/MIME、SSL 12.包过滤型防火墙原理上是基于（C）进行分析的技术。A.物理层 B.数据链路层 C.网络层 D.应用层 13.VPN的加密手段为（C）。A.具有加密功能的防火墙 B.具有加密功能的路由器
C.VPN内的各台主机对各自的信息进行相应的加密 D.单独的加密设备
14．（B）通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。A.Acce VPN B.Intranet VPN C.Extranet VPN D.Internet VPN 15．（C）通过一个使用专用连接的共享基础设施，将客户、供应商、合作伙伴或感兴趣的 群体连接到企业内部网。
A.Acce VPN B.Intranet VPN C.Extranet VPN D.Internet VPN 16.计算机病毒是计算机系统中一类隐藏在（C）上蓄意破坏的捣乱程序。A.内存 B.软盘 C.存储介质 D.网络
17.“公开密钥密码体制”的含义是（C）。
A.将所有密钥公开 B.将私有密钥公开，公开密钥保密 C.将公开密钥公开，私有密钥保密 D.两个密钥相同 18.“会话侦听和劫持技术”是属于（B）的技术。
A.密码分析还原 B.协议漏洞渗透
C.应用漏洞分析与渗透 D.DOS攻击
19．攻击者截获并记录了从A到B的数据，然后又从早些时候所截获的数据中提取出信息 重新发往B称为（D）。
A.中间人攻击 B.口令猜测器和字典攻击 C.强力攻击 D.回放攻击
20.在ISO/OSI定义的安全体系结构中，没有规定（E）。A.对象认证服务 B.数据保密性安全服务 C.访问控制安全服务 D.数据完整性安全服务 E.数据可用性安全服务
21.Kerberos在请求访问应用服务器之前，必须（A）。A.向Ticket Granting服务器请求应用服务器ticket B.向认证服务器发送要求获得“证书”的请求 C.请求获得会话密钥
D.直接与应用服务器协商会话密钥 22.下列对访问控制影响不大的是（D）。
A.主体身份 B.客体身份
C.访问类型 D.主体与客体的类型 23.PKI的主要组成不包括（B）。
A.证书授权CA B.SSL C.注册授权RA D.证书存储库CR 24.（A）协议必须提供验证服务。
A.AH B.ESP C.GRE D.以上皆是
25．下列选项中能够用在网络层的协议是（D）。A.SSL B.PGP C.PPTP D.IPSec26、（A）协议是一个用于提供IP数据报完整性、身份认证和可选的抗重播保护的机制，但不提供数据机密性保护。
A.AH协议 B.ESP协议 C.IPSec协议 D.PPTP协议 27.IPSec协议中负责对IP数据报加密的部分是（A）。A.封装安全负载（ESP）B.鉴别包头（AH）C.Internet密钥交换（IKE）D.以上都不是 28.SSL产生会话密钥的方式是（C）。A.从密钥管理数据库中请求获得
B.每一台客户机分配一个密钥的方式
C.随机由客户机产生并加密后通知服务器 D.由服务器产生并分配给客户机
29.为了降低风险，不建议使用的Internet服务是（D）。A.Web服务 B.外部访问内部系统 C.内部访问Internet D.FTP服务 30.火墙用于将Internet和内部网络隔离，（B）。A.是防止Internet火灾的硬件设施
B.是网络安全和信息安全的软件和硬件设施 C.是保护线路不受破坏的软件和硬件设施 D.是起抗电磁干扰作用的硬件设施 31.属于第二层的VPN隧道协议有（B）。
A.IPSec B.PPTP C.GRE D.以上皆不是 32．不属于隧道协议的是（C）。A.PPTP B.L2TP C.TCP/IP D.IPSec 33.PPTP和L2TP最适合于（D）。
A.局域网 B.企业内部虚拟网
C.企业扩展虚拟网 D.远程访问虚拟专用网
34．A方有一对密钥（KA公开，KA秘密），B方有一对密钥（KB公开，KB秘密），A方向B方发送数字签名M，对信息M加密为：M’= KB公开（KA秘密（M））。B方收到密文的解密方案是（C）。
A.KB公开（KA秘密（M’））B.KA公开（KA公开（M’））C.KA公开（KB秘密（M’））D.KB秘密（KA秘密（M’））35.从安全属性对各种网络攻击进行分类，阻断攻击是针对（B）的攻击。
A.机密性 B.可用性 C.完整性 D.真实性
11．攻击者用传输数据来冲击网络接口，使服务器过于繁忙以至于不能应答请求的攻击方 式是（A）。
A.拒绝服务攻击 B.地址欺骗攻击 C.会话劫持 D.信号包探测程序攻击 36.（D）不属于ISO/OSI安全体系结构的安全机制。
A.通信业务填充机制 B.访问控制机制 C.数字签名机制 D.审计机制 E.公证机制 37.CA属于ISO安全体系结构中定义的（D）。A.认证交换机制 B.通信业务填充机制 C.路由控制机制 D.公证机制
38.访问控制是指确定（A）以及实施访问权限的过程。A.用户权限 B.可给予哪些主体访问权利 C.可被用户访问的资源 D.系统是否遭受入侵 39.PKI支持的服务不包括（D）。
A.非对称密钥技术及证书管理 B.目录服务
C.对称密钥的产生和分发 D.访问控制服务 40.AH协议中必须实现的验证算法是（A）。
A.HMAC-MD5和HMAC-SHA1 B.NULL C.HMAC-RIPEMD-160 D.以上皆是 41.对动态网络地址交换（NAT），不正确的说法是（B）。A.将很多内部地址映射到单个真实地址 B.外部网络地址和内部地址一对一的映射 C.最多可有64000个同时的动态NAT连接 D.每个连接使用一个端口 42.GRE协议的乘客协议是（D）。
A.IP B.IPX C.AppleTalk D.上述皆可 43．目前，VPN使用了（A）技术保证了通信的安全性。隧道协议、身份认证和数据加密 身份认证、数据加密 隧道协议、身份认证
隧道协议、数据加密
44．IPSec VPN不太适合用于（C）。已知范围的IP地址的网络 固定范围的IP地址的网络 动态分配IP地址的网络 TCP/IP协议的网络
45.假设使用一种加密算法，它的加密方法很简单：将每一个字母加5，即a加密成f。这种算法的密钥就是5，那么它属于（A）。A.对称加密技术 B.分组密码技术
C.公钥加密技术 D.单向函数密码技术
46.从安全属性对各种网络攻击进行分类，截获攻击是针对（A）的攻击。A.机密性 B.可用性 C.完整性 D.真实性 47．最新的研究和统计表明，安全攻击主要来自（B）。
A.接入网 B.企业内部网 C.公用IP网 D.个人网 48.用于实现身份鉴别的安全机制是（A）。A.加密机制和数字签名机制 B.加密机制和访问控制机制 C.数字签名机制和路由控制机制
D.访问控制机制和路由控制机制
49.身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是（B）。A.身份鉴别是授权控制的基础
B.身份鉴别一般不用提供双向的认证
C.目前一般采用基于对称密钥加密或公开密钥加密的方法 D.数字签名机制是实现身份鉴别的重要机制 50.PKI能够执行的功能是（A）和（C）。A.鉴别计算机消息的始发者 B.确认计算机的物理位置 C.保守消息的机密 D.确认用户具有的安全性特权 51.IKE协议由（A）协议混合而成。
A.ISAKMP、Oakley、SKEME B.AH、ESP C.L2TP、GRE D.以上皆不是 52.一般而言，Internet防火墙建立在一个网络的（C）。A.内部子网之间传送信息的中枢 B.每个子网的内部
C.内部网络与外部网络的交叉点 D.部分内部网络与外部网络的结合处 53.VPN的英文全称是（B）。
A.Visual Protocol Network B.Virtual Private Network C.Virtual Protocol Network D.Visual Private Network 54．L2TP隧道在两端的VPN服务器之间采用（A）来验证对方的身份。A.口令握手协议CHAP B.SSL C.Kerberos D.数字证书 55.信息安全的基本属性是（D）。A.机密性 B.可用性
C.完整性 D.上面3项都是
56.ISO安全体系结构中的对象认证服务，使用（B）完成。A.加密机制 B.数字签名机制 C.访问控制机制 D.数据完整性机制 57.Kerberos的设计目标不包括（B）。
A.认证 B.授权 C.记账 D.审计 58.IPSec协议和（C）VPN隧道协议处于同一层。
A.PPTP B.L2TP C.GRE D.以上皆是
59.传输层保护的网络采用的主要技术是建立在（A）基础上的（A）。A.可靠的传输服务，安全套接字层SSL协议 B.不可靠的传输服务，S-HTTP协议 C.可靠的传输服务，S-HTTP协议
D.不可靠的传输服务，安全套接字层SSL协议 60.以下（D）不是包过滤防火墙主要过滤的信息？
A.源IP地址 B.目的IP地址 C.TCP源端口和目的端口 D.时间 61.将公司与外部供应商、客户及其他利益相关群体相连接的是（B）。
A.内联网VPN B.外联网VPN C.远程接入VPN D.无线VPN 62.窃听是一种（A）攻击，攻击者（A）将自己的系统插入到发送站和接收站之间。截获是一种（A）攻击，攻击者（A）将自己的系统插入到发送站和接受站之间。A.被动,无须,主动,必须 B.主动,必须,被动,无须 C.主动,无须,被动,必须 D.被动,必须,主动,无须
63．（C）是一个对称DES加密系统，它使用一个集中式的专钥密码功能，系统的核心是 KDC。
A.TACACS B.RADIUS C.Kerberos D.PKI 64.下列协议中，（A）协议的数据可以受到IPSec的保护。A.TCP、UDP、IP B.ARP C.RARP D.以上皆可以
65、（D）协议主要由AH、ESP和IKE协议组成。
A.PPTP B.L2TP C.L2F D.IPSec 66.PPTP、L2TP和L2F隧道协议属于（B）协议。
A.第一层隧道 B.第二层隧道 C.第三层隧道 D.第四层隧道 67.机密性服务提供信息的保密，机密性服务包括（D）。A.文件机密性 B.信息传输机密性 C.通信流的机密性 D.以上3项都是 68.不属于VPN的核心技术是（C）。
A.隧道技术 B.身份认证 C.日志记录 D.访问控制
69.（A）通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部 网的远程访问。
A.Acce VPN B.Intranet VPN C.Extranet VPN D.Internet VPN 70.拒绝服务攻击的后果是（E）。A.信息不可用 B.应用程序不可用 C.系统宕机 D.阻止通信 E.上面几项都是 71.通常所说的移动VPN是指（A）。
A.Acce VPN B.Intranet VPN C.Extranet VPN D.以上皆不是
二、填空
1． 密码系统包括以下4个方面：明文空间、密文空间、密钥空间和密码算法。2． 解密算法D是加密算法E的 逆运算。
3． 如果加密密钥和解密密钥 相同，这种密码体制称为对称密码体制。4． DES算法密钥是 64 位，其中密钥有效位是 56 位。5． RSA算法的安全是基于 分解两个大素数的积 的困难。
6． 公开密钥加密算法的用途主要包括两个方面：密钥分配、数字签名。7． 消息认证是 验证信息的完整性，即验证数据在传送和存储过程中是否被篡改、重放或延迟等。
8． Hash函数是可接受 变长 数据输入，并生成 定长 数据输出的函数。
9． 密钥管理的主要内容包括密钥的 生成、分配、使用、存储、备份、恢复和销毁。
10． 密钥生成形式有两种：一种是由 中心集中 生成，另一种是由 个人分散 生成。
11． 密钥的分配是指产生并使使用者获得 密钥 的过程。12． 密钥分配中心的英文缩写是 KDC。
13． 数字签名 是笔迹签名的模拟，是一种包括防止源点或终点否认的认证技术。
14． 身份认证是 验证信息发送者是真的，而不是冒充的，包括信源、信宿等的认证和识别。
15． 访问控制 的目的是为了限制访问主体对访问客体的访问权限。
16． 防火墙是位于两个 网络之间，一端是 内部网络，另一端是 外部网络。
17． 防火墙系统的体系结构分为 双宿主机体系结构、屏蔽主机体系结构、屏蔽子网体系结构。18． IDS的物理实现不同，按检测的监控位置划分，入侵检测系统可分为基于 主机的入侵检测系统、基于 网络的入侵检测系统 和 分布式入侵检测系统。
19． 计算机病毒的5个特征是：主动传染性、破坏性、寄生性（隐蔽性）、潜伏性、多态性。
20． 恶意代码的基本形式还有 后门、逻辑炸弹、特洛伊木马、蠕虫、细菌。21． 蠕虫是通过 网络 进行传播的。
22． 计算机病毒的工作机制有潜伏机制、传染机制、表现机制。
三、问答题
1．简述主动攻击与被动攻击的特点，并列举主动攻击与被动攻击现象。
主动攻击是攻击者通过网络线路将虚假信息或计算机病毒传入信息系统内部，破坏信息的真实性、完整性及系统服务的可用性，即通过中断、伪造、篡改和重排信息内容造成信息破坏，使系统无法正常运行。被动攻击是攻击者非常截获、窃取通信线路中的信息，使信息保密性遭到破坏，信息泄露而无法察觉，给用户带来巨大的损失。
2．简述对称密钥密码体制的原理和特点。
对称密钥密码体制，对于大多数算法，解密算法是加密算法的逆运算，加密密钥和解密密钥相同，同属一类的加密体制。它保密强度高但开放性差，要求发送者和接收者在安全通信之前，需要有可靠的密钥信道传递密钥，而此密钥也必须妥善保管。
4.什么是序列密码和分组密码？
序列密码是一种对明文中的单个位（有时对字节）运算的算法。分组密码是把明文信息
分割成块结构，逐块予以加密和解密。块的长度由算法设计者预先确定。
5.简述公开密钥密码机制的原理和特点？
公开密钥密码体制是使用具有两个密钥的编码解码算法，加密和解密的能力是分开的；
这两个密钥一个保密，另一个公开。根据应用的需要，发送方可以使用接收方的公开密钥加密消息，或使用发送方的私有密钥签名消息，或两个都使用，以完成某种类型的密码编码解码功能。
6.什么是MD5？
MD消息摘要算法是由Rivest提出，是当前最为普遍的Hash算法，MD5是第5个版本，该算法以一个任意长度的消息作为输入，生成128位的消息摘要作为输出，输入消息是按512位的分组处理的。
第二章
安全问题概述
一、选择题
二、问答题
1.请解释5种“窃取机密攻击”方式的含义。
1）网络踩点（Footprinting）
攻击者事先汇集目标的信息，通常采用Whois、Finger、Nslookup、Ping等工具获得目标的一些信息，如域名、IP地址、网络拓扑结构、相关的用户信息等，这往往是黑客入侵所做的第一步工作。2）扫描攻击（Scanning）
这里的扫描主要指端口扫描，通常采用Nmap等各种端口扫描工具，可以获得目标计算
机的一些有用信息，比如机器上打开了哪些端口，这样就知道开设了哪些网络服务。黑客
就可以利用这些服务的漏洞，进行进一步的入侵。这往往是黑客入侵所做的第二步工作。
3）协议栈指纹（Stack Fingerprinting）鉴别（也称操作系统探测）
黑客对目标主机发出探测包，由于不同OS厂商的IP协议栈实现之间存在许多细微差别，因此每种OS都有其独特的响应方法，黑客经常能够确定目标主机所运行的OS。这往往也可
以看作是扫描阶段的一部分工作。4）信息流嗅探（Sniffering）
通过在共享局域网中将某主机网卡设置成混杂（Promiscuous）模式，或在各种局域网
中某主机使用ARP欺骗，该主机就会接收所有经过的数据包。基于这样的原理，黑客可以
使用一个嗅探器（软件或硬件）对网络信息流进行监视，从而收集到帐号和口令等信息。
这是黑客入侵的第三步工作。5）会话劫持（Seion Hijacking）
所谓会话劫持，就是在一次正常的通信过程中，黑客作为第三方参与到其中，或者是
在数据流里注射额外的信息，或者是将双方的通信模式暗中改变，即从直接联系变成交由 黑客中转。这种攻击方式可认为是黑客入侵的第四步工作——真正的攻击中的一种。
2.请解释5种“非法访问”攻击方式的含义。
1）口令破解
攻击者可以通过获取口令文件然后运用口令破解工具进行字典攻击或暴力攻击来获得
口令，也可通过猜测或窃听等方式获取口令，从而进入系统进行非法访问，选择安全的口
令非常重要。这也是黑客入侵中真正攻击方式的一种。2)IP欺骗
攻击者可通过伪装成被信任源IP地址等方式来骗取目标主机的信任，这主要针对Linux
UNIX下建立起IP地址信任关系的主机实施欺骗。这也是黑客入侵中真正攻击方式的一种。3)DNS欺骗
当DNS服务器向另一个DNS服务器发送某个解析请求（由域名解析出IP地址）时，因
为不进行身份验证，这样黑客就可以冒充被请求方，向请求方返回一个被篡改了的应答（IP 地址），将用户引向黑客设定的主机。这也是黑客入侵中真正攻击方式的一种。4)重放（Replay）攻击
在消息没有时间戳的情况下，攻击者利用身份认证机制中的漏洞先把别人有用的消息
记录下来，过一段时间后再发送出去。5)特洛伊木马（Trojan Horse）
把一个能帮助黑客完成某一特定动作的程序依附在某一合法用户的正常程序中，而一
旦用户触发正常程序，黑客代码同时被激活，这些代码往往能完成黑客早已指定的任务（如
监听某个不常用端口，假冒登录界面获取帐号和口令等）。
3.请解释下列各种“恶意攻击DoS”的方式：
Ping of Death、Teardrop、SYN Flood、Land Attack、Smurf Attack、DDoS攻击
1）Ping of Death
在早期操作系统TCP/IP协议栈实现中，对单个IP报文的处理过程中通常是设置有一定
大小的缓冲区（65535Byte），以应付IP分片的情况。接收数据包时，网络层协议要对IP分
片进行重组。但如果重组后的数据报文长度超过了IP报文缓冲区的上限时，就会出现溢出
现象，导致TCP/IP协议栈的崩溃。2）泪滴（Teardrop）
协议栈在处理IP分片时，要对收到的相同ID的分片进行重组，这时免不了出现一些重
叠现象，分片重组程序要对此进行处理。对一个分片的标识，可以用offset表示其在整个包
中的开始偏移，用end表示其结束偏移。对于其他一些重叠情况，分片重组程序都能很好地
处理，但对于一种特殊情况，分片重组程序就会出现致命失误，即第二个分片的位置整个
包含在第一个分片之内。
分片重组程序中，当发现offset2小于end1时，会将offset2调整到和end1相同，然后更改
len2：len2=end2-offset2，在这里，分片重组程序想当然地认为分片2的末尾偏移肯定是大
于其起始偏移的，但在这种情况下，分片2的新长度len2变成了一个负值，这在随后的处理
过程中将会产生致命的操作失误。3）SYN Flood
一个正常的TCP连接，需要经过三次握手过程才能真正建立。但是如果客户端不按常
规办事（假定源IP根本就是一个不会产生响应的虚假地址），并不向服务器最终返回三次
握手所必须的ACK包，这种情况下服务器对于未完成连接队列中的每个连接表项都设置一
个超时定时器，一旦超时时间到，则丢弃该表项。
但黑客并不会只发送一次这样的SYN包，如果他源源不断发送，每个SYN包的源IP都
是随机产生的一些虚假地址（导致受害者不可能再进行IP过滤或追查攻击源），受害者的目标端口未完成队列就不断壮大，因为超时丢弃总没有新接收的速度快，所以直到该队列
满为止，正常的连接请求将不会得到响应。4）Land Attack
如果向Windows 95的某开放端口（例如139端口）发送一个包含SYN标识的特殊的TCP 数据包，将导致目标系统立即崩溃。做法很简单，就是设置该SYN包的源IP为目标主机的IP，源端口为目标主机受攻击的端口。5）Smurf Attack
黑客以受害主机的名义向某个网络地址发送ICMP echo请求广播，收到该ICMPecho请求的网络中的所有主机都会向“无辜”的受害主机返回ICMP echo响应，使得受害主机应接不暇，导致其对正常的网络应用拒绝服务。6）DDoS攻击
DDoS攻击是DoS攻击的一种延伸，它之所以威力巨大，是因为其协同攻击的能力。黑客使用DDoS工具，往往可以同时控制成百上千台攻攻击源，向某个单点目标发动攻击，它还可以将各种传统的DoS攻击手段结合使用。
4.了解下列各种攻击方式：
UDP Flood、Fraggle Attack、电子邮件炸弹、缓冲区溢出攻击、社交工程
1）UDP Flood
有些系统在安装后，没有对缺省配置进行必要的修改，使得一些容易遭受攻击的服务端口对外敞开着。Echo服务（TCP7和UDP7）对接收到的每个字符进行回送；Chargen（TCP19和UDP19）对每个接收到的数据包都返回一些随机生成的字符（如果是与Chargen服务在TCP19端口建立了连接，它会不断返*字符直到连接中断）。
黑客一般会选择两个远程目标，生成伪造的UDP数据包，目的地是一台主机的Chargen服务端口，来源地假冒为另一台主机的Echo服务端口。这样，第一台主机上的Chargen服务返回的随机字符就发送给第二台主机的Echo服务了，第二台主机再回送收到的字符，如此反复，最终导致这两台主机应接不暇而拒绝服务，同时
造成网络带宽的损耗。
2）Fraggle Attack它对Smurf Attack做了简单的修改，使用的是UDP应答消息而非ICMP。
3）电子邮件炸弹
黑客利用某个“无辜”的邮件服务器，持续不断地向攻击目标（邮件地址）发送垃圾邮件，很可能“撑破”用户的信箱，导致正常邮件的丢失。4）缓冲区溢出攻击
十多年来应用非常广泛的一种攻击手段，近年来，许多著名的安全漏洞都与缓冲区溢出有关。
所谓缓冲区溢出，就是由于填充数据越界而导致程序原有流程的改变，黑客借此精心构造填充数据，让程序转而执行特殊的代码，最终获得系统的控制权。5）社交工程（Social Engineering）
一种低技术含量破坏网络安全的有效方法，但它其实是高级黑客技术的一种，往往使得处在看似严密防护下的网络系统出现致命的突破口。这种技术是利用说服或欺骗的方式，让网络内部的人（安全意识薄弱的职员）来提供必要的信息，从而获得对信息系统的访问。
6.请解释下列网络信息安全的要素：
保密性、完整性、可用性、可存活性
第三章
安全体系结构与模型
一、选择题
三、问答题
1.列举并解释ISO/OSI中定义的5种标准的安全服务。
（1）鉴别
用于鉴别实体的身份和对身份的证实，包括对等实体鉴别和数据原发鉴别两种。
（2）访问控制
提供对越权使用资源的防御措施。（3）数据机密性
针对信息泄露而采取的防御措施。分为连接机密性、无连接机密性、选择字段机密性、通信业务流机密性四种。（4）数据完整性
防止非法篡改信息，如修改、复制、插入和删除等。分为带恢复的连接完整性、无恢复的连接完整性、选择字段的连接完整性、无连接完整性、选择字段无连接完整性五种。（5）抗否认
是针对对方否认的防范措施，用来证实发生过的操作。包括有数据原发证明的抗否认和有交付证明的抗否认两种。
2.解释六层网络安全体系中各层安全性的含义。
1.物理安全
防止物理通路的损坏、窃听和攻击（干扰等），保证物理安全是整个网络安全的前提，包括环境安全、设备安全和媒体安全三个方面。2.链路安全
保证通过网络链路传送的数据不被窃听，主要针对公用信道的传输安全。在公共链路上采用一定的安全手段可以保证信息传输的安全，对抗通信链路上的窃听、篡改、重放、流量分析等攻击。3.网络级安全
需要从网络架构（路由正确）、网络访问控制（防火墙、安全网关、VPN）、漏洞扫描、网络监控与入侵检测等多方面加以保证，形成主动性的网络防御体系。4.信息安全
包括信息传输安全（完整性、机密性、不可抵赖和可用性等）、信息存储安全（数据备份和恢复、数据访问控制措施、防病毒）和信息（内容）审计。5.应用安全
包括应用平台（OS、数据库服务器、Web服务器）的安全、应用程序的安全。6.用户安全
用户合法性，即用户的身份认证和访问控制。
9．Windows 2000 Server属于哪个安全级别，为什么？
Windows 2000 Server属于C2级。因为它有访问控制、权限控制，可以避免非授权访问，并通过注册提供对用户事件的跟踪和审计。
第八章
密钥分配与管理
一、填空题
二、问答题
5．KDC在密钥分配过程中充当何种角色？
KDC在密钥分配过程中充当可信任的第三方。KDC保存有每个用户和KDC之间共享的唯一密钥，以便进行分配。在密钥分配过程中，KDC按照需要生成各对端用户之间的会话密钥，并由用户和KDC共享的密钥进行加密，通过安全协议将会话密钥安全地传送给需要进行通信的双方。
第十章
数字签名与鉴别协议
一、选择题
二、填空题
三、问答题
1.数字签名有什么作用？
当通信双方发生了下列情况时，数字签名技术必须能够解决引发的争端：
• 否认，发送方不承认自己发送过某一报文。
• 伪造，接收方自己伪造一份报文，并声称它来自发送方。• 冒充，网络上的某个用户冒充另一个用户接收或发送报文。• 篡改，接收方对收到的信息进行篡改。
2.请说明数字签名的主要流程。
数字签名通过如下的流程进行：
(1)采用散列算法对原始报文进行运算，得到一个固定长度的数字串，称为报文摘要(Meage Digest)，不同的报文所得到的报文摘要各异，但对相同的报文它的报文摘要却是惟一的。在数学上保证，只要改动报文中任何一位，重新计算出的报文摘要值就会与原先的值不相符，这样就保证了报文的不可更改性。
(2)发送方用目己的私有密钥对摘要进行加密来形成数字签名。(3)这个数字签名将作为报文的附件和报文一起发送给接收方。
(4)接收方首先对接收到的原始报文用同样的算法计算出新的报文摘要，再用发送方的公开密钥对报文附件的数字签名进行解密，比较两个报文摘要，如果值相同，接收方就能确认该数字签名是发送方的，否则就认为收到的报文是伪造的或者中途被篡改。
3.数字证书的原理是什么？
数字证书采用公开密钥体制（例如RSA）。每个用户设定一仅为本人所知的私有密钥，用它进行解密和签名；同时设定一公开密钥，为一组用户所共享，用于加密和验证签名。
采用数字证书，能够确认以下两点：
(1)保证信息是由签名者自己签名发送的，签名者不能否认或难以否认。
(2)保证信息自签发后到收到为止未曾做过任何修改，签发的信息是真实信息。
4.报文鉴别有什么作用，公开密钥加密算法相对于常规加密算法有什么优点？
报文鉴别往往必须解决如下的问题：(1)报文是由确认的发送方产生的。(2)报文的内容是没有被修改过的。
(3)报文是按传送时的相同顺序收到的。(4)报文传送给确定的对方。
一种方法是发送方用自己的私钥对报文签名，签名足以使任何人相信报文是可信的。另一种方法常规加密算法也提供了鉴别。但有两个问题，一是不容易进行常规密钥的分发，二是接收方没有办法使第三方相信该报文就是从发送方送来的，而不是接收方自己伪造的。
因此，一个完善的鉴别协议往往考虑到了报文源、报文宿、报文内容和报文时间性的鉴别。
第十二章
身份认证
一、选择题
二、填空题
三、问答题
1.解释身份认证的基本概念。
身份认证是指用户必须提供他是谁的证明，这种证实客户的真实身份与其所声称的身份是否相符的过程是为了限制非法用户访问网络资源，它是其他安全机制的基础。
身份认证是安全系统中的第一道关卡，识别身份后，由访问监视器根据用户的身份和授权数据库决定是否能够访问某个资源。一旦身份认证系统被攻破，系统的所有安全措施将形同虚设，黑客攻击的目标往往就是身份认证系统。
2.单机状态下验证用户身份的三种因素是什么？
（1）用户所知道的东西：如口令、密码。（2）用户所拥有的东西：如智能卡、身份证。
（3）用户所具有的生物特征：如指纹、声音、视网膜扫描、DNA等。
4.了解散列函数的基本性质。
散列函数H必须具有性质： • H能用于任何长度的数据分组； • H产生定长的输出；
• 对任何给定的x，H(x)要相对容易计算；
• 对任何给定的码h，寻找x使得H(x)=h在计算上
是不可行的，称为单向性； • 对任何给定的分组x，寻找不等于x的y，使得H(y)=H(x)在计算上是不可行的，称为弱抗冲突（Weak Collision Resistance）；
• 寻找对任何的(x,y)对，使得H(y)=H(x)在计算上是不可行的，称为强抗冲突（Strong Collision Resistance）。
12.了解Kerberos系统的优点。
(1)安全：网络窃听者不能获得必要信息以假冒其他用户，Kerberos应足够强壮以致于潜在的敌人无法找到它的弱点连接。
(2)可靠：Kerberos应高度可靠并且应借助于—个分布式服务器体系结构，使得一个系统能
够备份另一个系统。
(3)透明：理想情况下用户除了要求输入口令以外应感觉不到认证的发生。(4)可伸缩：系统应能够支持大数量的客户和服务器，这意味着需要一个模块化的分布式结
构。
第十三章
授权与访问控制
一、选择题
二、填空题
三、问答题
1.解释访问控制的基本概念。
访问控制是建立在身份认证基础上的，通过限制对关键资源的访问，防止非法用户的侵入或因为合法用户的不慎操作而造成的破坏。
访问控制的目的：限制主体对访问客体的访问权限（安全访问策略），从而使计算机系统在合法范围内使用。
2.访问控制有几种常用的实现方法？它们各有什么特点？ 访问控制矩阵
行表示客体（各种资源），列表示主体（通常为用户），行和列的交叉点表示某个主体对某个客体的访问权限。通常一个文件的Own权限表示可以授予（Authorize）或撤消（Revoke）其他用户对该文件的访问控制权限。2 访问能力表
实际的系统中虽然可能有很多的主体与客体，但两者之间的权限关系可能并不多。为了减轻系统的开销与浪费，我们可以从主体（行）出发，表达矩阵某一行的信息，这就是访问能力表（Capabilities）。
只有当一个主体对某个客体拥有访问的能力时，它才能访问这个客体。但是要从访问能力表获得对某一特定客体有特定权限的所有主体就比较困难。在一个安全系统中，正是客体本身需要得到可靠的保护，访问控制服务也应该能够控制可访问某一客体的主体集合，于是出现了以客体为出发点的实现方式——ACL。3 访问控制表
也可以从客体（列）出发，表达矩阵某一列的信息，这就是访问控制表（Acce Control List）。它可以对某一特定资源指定任意一个用户的访问权限，还可以将有相同权限的用户分组，并授予组的访问权。4 授权关系表
授权关系表（Authorization Relations）的每一行表示了主体和客体的一个授权关系。对表按客体进行排序，可以得到访问控制表的优势；对表按主体进行排序，可以得到访问能力表的优势。适合采用关系数据库来实现。
8.为什么MAC能阻止特洛伊木马？
MAC能够阻止特洛伊木马。一个特洛伊木马是在一个执行某些合法功能的程序中隐藏的代码，它利用运行此程序的主体的权限违反安全策略，通过伪装成有用的程序在进程中泄露信息。
阻止特洛伊木马的策略是基于非循环信息流，由于MAC策略是通过梯度安全标签实现信息的单向流通，从而它可以很好地阻止特洛伊木马的泄密。
第十四章
PKI技术
一、选择题
二、问答题
2.什么是数字证书？现有的数字证书由谁颁发，遵循什么标准，有什么特点？
数字证书是一个经证书认证中心(CA)数字签名的包含公开密钥拥有者信息以及公开密钥的文件。认证中心(CA)作为权威的、可信赖的、公正的第三方机构，专门负责为各种认证需求提供数字证书服务。认证中心颁发的数字证书均遵循X.509 V3标准。X.509标准在编排公共密钥密码格式方面已被广为接受。X.509证书已应用于许多网络安全，其中包括IPSec(IP安全)、SSL、SET、S/MIME。
3.X.509规范中是如何定义实体A信任实体B的？在PKI中信任又是什么具体含义？
X.509规范中给出了适用于我们目标的定义： 当实体A假定实体B严格地按A所期望的那样行 动，则A信任B。在PKI中，我们可以把这个定 义具体化为：如果一个用户假定CA可以把任一 公钥绑定到某个实体上，则他信任该CA。4.有哪4种常见的信任模型？
1.认证机构的严格层次结构模型
认证机构(CA)的严格层次结构可以被描绘为一棵倒置的树，根代表一个对整个PKI系统的所有实体都有特别意义的CA——通常叫做根CA(Root CA)，它充当信任的根或“信任锚(Trust Anchor)”——也就是认证的起点或终点。2.分布式信任结构模型
分布式信任结构把信任分散在两个或多个CA上。也就是说，A把CA1作为他的信任锚，而B可以把CA2做为他的信任锚。因为这些CA都作为信任锚，因此相应的CA必须是整个PKI系统的一个子集所构成的严格层次结构的根CA。3.Web模型
Web模型依赖于流行的浏览器，许多CA的公钥被预装在标准的浏览器上。这些公钥确定了一组CA，浏览器用户最初信任这些CA并将它们作为证书检验的根。从根本上讲，它更类似于认证机构的严格层次结构模型，这是一种有隐含根的严格层次结构。
4.以用户为中心的信任模型
每个用户自己决定信任哪些证书。通常，用户的最初信任对象包括用户的朋友、家人或同事，但是否信任某证书则被许多因素所左右。
9.CA有哪些具体的职责？
• 验证并标识证书申请者的身份。
• 确保CA用于签名证书的非对称密钥的质量。
• 确保整个签证过程的安全性，确保签名私钥的安全性。• 证书材料信息(包括公钥证书序列号、CA标识等)的管理。•
确定并检查证书的有效期限。
• 确保证书主体标识的惟一性，防止重名。• 发布并维护作废证书表（CRL）。• 对整个证书签发过程做日志记录。• 向申请人发通知。
其中最为重要的是CA自己的一对密钥的管理，它必须确保高度的机密性，防止他方伪造证书。
12.什么是X.500目录服务？
X.500是一种CCITT针对已经被ISO接受的目录服务系统的建议，它定义了一个机构如何在一个企业的全局范围内共享名字和与它们相关的对象。
一个完整的X.500系统称为一个“目录”，X.500是层次性的，其中的管理性域(机构、分支、部门和工作组)可以提供这些域内的用户和资源的信息。它被认为是实现一个目录服务的最好途径。
X.500目录服务是一种用于开发一个单位内部人员目录的标准方法，这个目录可以成为全球目录的一部分，任何人都可以查询这个单位中人员的信息。这个目录有一个树型结构：国家，单位(或组织)，部门和个人。一个知名和最大的X.500目录是用于管理域名注册的InterNIC。
X.500目录服务可以向需要访问网络任何地方资源的电子函件系统和应用，或需要知道在网络上的实体名字和地点的管理系统提供信息。这个目录是一个目录信息数据库(DIB)。
13.什么是X.509方案，它是如何实现数字签名的？
X.509是一种行业标准或者行业解决方案——X.509公共密钥证书，在X.509方案中，默认的加密体制是公钥密码体制。
为进行身份认证，X.509标准及公共密钥加密系统提供了数字签名的方案。用户可生成一段信息及其摘要(指纹)。用户用专用密钥对摘要加密以形成签名，接收者用发送者的公共密钥对签名解密，并将之与收到的信息“指纹”进行比较，以确定其真实性。
16.实施PKI的过程中产生了哪些问题，如何解决？
首先是实施的问题，PKI定义了严格的操作协议和信任层次关系。任何向CA申请数字证书的人必须经过线下(offline)的身份验证(通常由RA完成)，这种身份验证工作很难扩展到整个Internet范围，因此，现今构建的PKI系统都局限在一定范围内，这造成了PKI系统扩展问题。
由于不同PKI系统都定义了各自的信任策略，在进行互相认证的时候，为了避免由于信任策略不同而产生的问题，普遍的做法是忽略信任策略。这样，本质上是管理Internet上的信任关系的PKI就仅仅起到身份验证的作用了。
提出用PMI解决。18．叙述基于X.509数字证书在PKI中的作用。
X.509数字证书是各实体在网络中的身份证明，它证书了实体所声明的身份与其公钥的匹配关系。从公钥管理的机制讲，数字证书是非对称密码体制中密钥管理的媒介。即在非对称密码体制中，公钥的分发、传送是通过数字证书来实现的。通过数字证书，可以提供身份的认证与识别，完整性、保密性和不可否认等安全服务。
第十五章
IP的安全
一、选择题
二、问答题
1.IPSec和IP协议以及VPN的关系是什么？
IPSec是一种由IETF设计的端到端的确保IP层通信安全的机制。不是一个单独的协议，而是一组协议。IPSec是随着IPv6的制定而产生的，后来也增加了对IPv4的支持。在前者中是必须支持的，在后者中是可选的。
IPSec作为一个第三层隧道协议实现了VPN通信，可以为IP网络通信提供透明的安全服务，免遭窃听和篡改，保证数据的完整性和机密性，有效抵御网络攻击，同时保持易用性。
2.IPSec包含了哪3个最重要的协议？简述这3个协议的主要功能？
IPSec众多的RFC通过关系图组织在一起，它包含了三个最重要的协议：AH、ESP、IKE。
（1）AH为IP数据包提供如下3种服务：无连接的数据完整性验证、数据源身份认证和防重放攻击。数据完整性验证通过哈希函数（如MD5）产生的校验来保证；数据源身份认证通过在计算验证码时加入一个共享密钥来实现；AH报头中的序列号可以防止重放攻击。
（2）ESP除了为IP数据包提供AH已有的3种服务外，还提供数据包加密和数据流加密。数据包加密是指对一个IP包进行加密（整个IP包或其载荷部分），一般用于客户端计算机；数据流加密一般用于支持IPSec的路由器，源端路由器并不关心IP包的内容，对整个IP包进行加密后传输，目的端路由器将该包解密后将原始数据包继续转发。
AH和ESP可以单独使用，也可以嵌套使用。可以在两台主机、两台安全网关（防火墙和路由器），或者主机与安全网关之间使用。
（3）IKE负责密钥管理，定义了通信实体间进行身份认证、协商加密算法以及生成共享的会话密钥的方法。IKE将密钥协商的结果保留在安全联盟(SA)中，供AH和ESP以后通信时使用。解释域(DOI)为使用IKE进行协商SA的协议统一分配标识符。
第十六章
电子邮件的安全
一、问答题
1.电子邮件存在哪些安全性问题？
1）垃圾邮件包括广告邮件、骚扰邮件、连锁邮件、反动邮件等。垃圾邮件会增加网络负荷，影响网络传输速度，占用邮件服务器的空间。
2）诈骗邮件通常指那些带有恶意的欺诈性邮件。利用电子邮件的快速、便宜，发信人能迅速让大量受害者上当。
3）邮件炸弹指在短时间内向同一信箱发送大量电子邮件的行为，信箱不能承受时就会崩溃。4）通过电子邮件传播的病毒通常用VBScript编写，且大多数采用附件的形式夹带在电子邮件中。当收信人打开附件后，病毒会查询他的通讯簿，给其上所有或部分人发信，并将自身放入附件中，以此方式继续传播扩散。
2.端到端的安全电子邮件技术，能够保证邮件从发出到接收的整个过程中的哪三种安全性？
端到端的安全电子邮件技术，保证邮件从被发出到被接收的整个过程中，内容保密、无法修改、并且不可否认。目前的Internet上，有两套成型的端到端安全电子邮件标准：PGP和S/MIME。它一般只对信体进行加密和签名，而信头则由于邮件传输中寻址和路由的需要，必须保证原封不动。
3.画图说明PGP的工作原理。
第十七章
Web与电子商务的安全
一、选择题
二、问答题
1.讨论一下为什么CGI出现的漏洞对Web服务器的安全威胁最大？
相比前面提到的问题，CGI可能出现的漏洞很多，而被攻破后所能造成的威胁也很大。程序设计人员的一个简单的错误或不规范的编程就可能为系统增加一个安全漏洞。一个故意放置的有恶意的CGI程序能够自由访问系统资源，使系统失效、删除文件或查看顾客的保密信息(包括用户名和口令)。
3.比较JavaApplet和ActiveX实现安全性的不同。
JavaApplet就是活动内容的一种。它使用Java语言开发，可以实现各种各样的客户端应用。这些Applet随页面下载下来，只要浏览器兼容Java，它就可在客户机上自动运行。Java使用沙盒(Sandbox)根据安全模式所定义的规则来限制JavaApplet的活动。
ActiveX是另一种活动内容的形式，可以用许多程序设汁语言来开发，但它只能运行在安装Windows的计算机上。ActiveX在安全性方面不如JavaApplet。一旦下载，它就能像其他程序一样执行，能访问包括操作系统代码在内的所有系统资源，这是非常危险的。
4.说明SSL的概念和功能。
安全套接层协议SSL主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，但它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输。它是Netscape公司提出的基于Web应用的安全协议，它包括服务器认证、客户认证(可选)、SSL链路上的数据完整性和SSL链路上的数据保密性。SSL通过在浏览器软件和Web服务器之间建立一条安全通道，实现信息在Internet中传送的保密性。
在TCP/IP协议族中，SSL位于TCP层之上、应用层之下。这使它可以独立于应用层，从而使应用层协议可以直接建立在SSL之上。SSL协议包括以下一些子协议；SSL记录协议、SSL握手协议、SSL更改密码说明协议和SSL警告协议。SSL记录协议建立在可靠的传输协议(例如TCP)上，用来封装高层的协议。SSL握手协议准许服务器端与客户端在开始传输数据前，能够通过特定的加密算法相互鉴别。
5.什么是SET电子钱包？
SET交易发生的先决条件是，每个持卡人(客户)必须拥有一个惟一的电子(数字)证书，且由客户确定口令，并用这个口令对数字证书、私钥、信用卡号码及其他信息进行加密存储，这些与符合SET协议的软件一起组成了一个SET电子钱包。
9.简述SSL的记录协议和握手协议。
SSL记录协议是建立在可靠的传输协议（如TCP）之上，为更高层提供基本的安全服
务，如提供数据封装、眼所、加密等基本功能的支持。
SSL记录协议用来定义数据传输的格式，它包括的记录头和记录数据格式的规定。在SSL协议中，所有的传输数据都被封装在记录中。
SSL握手协议负责建立当前会话状态的参数。双方协商一个协议版本，选择密码算法，相互认证（不是必须的），并且使用公钥加密技术通过一系列交换的消息在客户端和服务器之间生成共享密钥。
第十八章
防火墙技术
一、选择题
二、填空题
三、问答题
1.什么是防火墙，为什么需要有防火墙？
防火墙是一种装置，它是由软件/硬件设备组合而成，通常处于企业的内部局域网与Internet之间，限制Internet用户对内部网络的访问以及管理内部用户访问Internet的权限。换言之，一个防火墙在一个被认为是安全和可信的内部网络和一个被认为是不那么安全和可信的外部网络(通常是Internet)之间提供一个封锁工具。如果没有防火墙，则整个内部网络的安全性完全依赖于每个主机，因此，所有的主机都必须达到一致的高度安全水平，这在实际操作时非常困难。而防火墙被设计为只运行专用的访问控制软件的设备，没有其他的服务，因此也就意味着相对少一些缺陷和安全漏洞，这就使得安全管理变得更为方便，易于控制，也会使内部网络更加安全。
防火墙所遵循的原则是在保证网络畅通的情况下，尽可能保证内部网络的安全。它是一种被动的技术，是一种静态安全部件。
2.防火墙应满足的基本条件是什么？
作为网络间实施网间访问控制的一组组件的集合，防火墙应满足的基本条件如下：
(1)内部网络和外部网络之间的所有数据流必须经过防火墙。(2)只有符合安全策略的数据流才能通过防火墙。
(3)防火墙自身具有高可靠性，应对渗透(Penetration)免疫，即它本身是不可被侵入的。
3.列举防火墙的几个基本功能？
(1)隔离不同的网络，限制安全问题的扩散，对安全集中管理，简化了安全管理的复杂程度。
(2)防火墙可以方便地记录网络上的各种非法活动，监视网络的安全性，遇到紧急情况报警。
(3)防火墙可以作为部署NAT的地点，利用NAT技术，将有限的IP地址动态或静态地与内部的IP地址对应起来，用来缓解地址空间短缺的问题或者隐藏内部网络的结构。
(4)防火墙是审计和记录Internet使用费用的一个最佳地点。(5)防火墙也可以作为IPSec的平台。
(6)内容控制功能。根据数据内容进行控制，比如防火墙可以从电子邮件中过滤掉垃圾邮件，可以过滤掉内部用户访问外部服务的图片信息。只有代理服务器和先进的过滤才能实现。
1.包过滤防火墙的过滤原理是什么？
包过滤防火墙也称分组过滤路由器，又叫网络层防火墙，因为它是工作在网络层。路由器便是一个网络层防火墙，因为包过滤是路由器的固有属性。它一般是通过检查单个包的地址、协议、端口等信息来决定是否允许此数据包通过，有静态和动态两种过滤方式。
这种防火墙可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。如果没有一条规则能符合，防火墙就会使用默认规则（丢弃该包）。在制定数据包过滤规则时，一定要注意数据包是双向的。
2.状态检测防火墙的原理是什么，相对包过滤防火墙有什么优点？
状态检测又称动态包过滤，所以状态检测防火墙又称动态防火墙，最早由CheckPoint提出。
状态检测是一种相当于4、5层的过滤技术，既提供了比包过滤防火墙更高的安全性和更灵活的处理，也避免了应用层网关的速度降低问题。要实现状态检测防火墙，最重要的是实现连接的跟踪功能，并且根据需要可动态地在过滤规则中增加或更新条目。防火墙应当包含关于包最近已经通过它的“状态信息”，以决定是否让来自Internet的包通过或丢弃。
3.应用层网关的工作过程是什么？它有什么优缺点？
主要工作在应用层，又称为应用层防火墙。它检查进出的数据包，通过自身复制传递数据，防止在受信主机与非受信主机间直接建立联系。应用层网关能够理解应用层上的协议，能够做复杂的访问控制，并做精细的注册和审核。
基本工作过程是：当客户机需要使用服务器上的数据时，首先将数据请求发给代理服务器，代理服务器再根据这一请求向服务器索取数据，然后再由代理服务器将数据传输给客户机。
常用的应用层网关已有相应的代理服务软件，如HTTP、SMTP、FTP、Telnet等，但是对于新开发的应用，尚没有相应的代理服务，它们将通过网络层防火墙和一般的代理服务。
应用层网关有较好的访问控制能力，是目前最安全的防火墙技术。能够提供内容过滤、用户认证、页面缓存和NAT等功能。但实现麻烦，有的应用层网关缺乏“透明度”。应用层网关每一种协议需要相应的代理软件，使用时工作量大，效率明显不如网络层防火墙。
4.代理服务器有什么优缺点？
代理服务技术的优点是：隐蔽内部网络拓扑信息；网关理解应用协议，可以实施更细粒度的访问控制；较强的数据流监控和报告功能。（主机认证和用户认证）缺点是对每一类应用都需要一个专门的代理，灵活性不够；每一种网络应用服务的安全问题各不相同，分析困难，因此实现困难。速度慢。5.什么是堡垒主机，它有什么功能？
堡垒主机(Bastion Host)的硬件是一台普通的主机（其操作系统要求可靠性好、可配置性好），它使用软件配置应用网关程序，从而具有强大而完备的功能。它是内部网络和Internet之间的通信桥梁，它中继（不允许转发）所有的网络通信服务，并具有认证、访问控制、日志记录、审计监控等功能。它作为内部网络上外界惟一可以访问的点，在整个防火墙系统中起着重要的作用，是整个系统的关键点。
6.什么是双宿主机模式，如何提高它的安全性？
双宿主主机模式是最简单的一种防火墙体系结构，该模式是围绕着至少具有两个网络接口的堡垒主机构成的。双宿主主机内外的网络均可与双宿主主机实施通信，但内外网络之间不可直接通信（不能直接转发）。双宿主主机可以通过代理或让用户直接到其上注册来提供很高程度的网络控制。
由于双宿主机直接暴露在外部网络中，如果入侵者得到了双宿主主机的访问权（使其成为一个路由器），内部网络就会被入侵，所以为了保证内部网的安全，双宿主主机首先要禁止网络层的路由功能，还应具有强大的身份认证系统，尽量减少防火墙上用户的账户数。
7.边界防火墙有哪些缺陷？分布式防火墙的组成是什么，它有哪些优势？
首先是结构性限制。随着企业业务规模的扩大，数据信息的增长，使得企业网的边界已成为一个逻辑边界的概念，物理的边界日趋模糊，因此边界防火墙的应用受到越来越多的结构性限制。
其次是内部威胁。当攻击来自信任的地带时，边界防火墙自然无法抵御，被攻击在所难免。
最后是效率和故障。边界防火墙把检查机制集中在网络边界处的单点上，一旦被攻克，整个内部网络将完全暴露在外部攻击者面前。分布式防火墙是三部分组成的立体防护系统：
1）网络防火墙(Network Firewall)：它承担着传统边界防火墙看守大门的职责； 2）主机防火墙(Host Firewall)：它解决了边界防火墙不能很好解决的问题(例如来自内部的攻击和结构限制等)；
3）集中管理(Central Management)：它解决了由分布技术而带来的管理问题。
分布式防火墙的优势主要有：
(1)保证系统的安全性。分布式防火墙技术增加了针对主机的入侵检测和防护功能，加强了对来自于内部的攻击的防范，对用户网络环境可以实施全方位的安全策略，并提供了多层次立体的防范体系。(2)保证系统性能稳定高效。消除了结构性瓶颈问题，提高了系统整体安全性能。(3)保证系统的扩展性。伴随网络系统扩充，分布式防火墙技术可为安全防护提供强大的扩充能力。
第十九章
VPN技术
一、选择题
二、问答题
1.解释VPN的基本概念。
VPN是Virtual Private Network的缩写，是将物理分布在不同地点的网络通过公用骨干网，尤其是Internet连接而成的逻辑上的虚拟子网。
Virtual是针对传统的企业“专用网络”而言的。VPN则是利用公共网络资源和设备建立一个逻辑上的专用通道，尽管没有自己的专用线路，但它却可以提供和专用网络同样的功能。
Private表示VPN是被特定企业或用户私有的，公共网络上只有经过授权的用户才可以使用。在该通道内传输的数据经过了加密和认证，保证了传输内容的完整性和机密性。
3.简述VPN使用了哪些主要技术。
1）隧道（封装）技术是目前实现不同VPN用户业务区分的基本方式。一个VPN可抽象为一个没有自环的连通图，每个顶点代表一个VPN端点（用户数据进入或离开VPN的设备端口），相邻顶点之间的边表示连结这两对应端点的逻辑通道，即隧道。
隧道以叠加在IP主干网上的方式运行。需安全传输的数据分组经一定的封装处理，从信源的一个VPN端点进入VPN，经相关隧道穿越VPN（物理上穿越不安全的互联网），到达信宿的另一个VPN端点，再经过相应解封装处理，便得到原始数据。（不仅指定传送的路径，在中转节点也不会解析原始数据）
2）当用户数据需要跨越多个运营商的网络时，在连接两个独立网络的节点该用户的数据分组需要被解封装和再次封装，可能会造成数据泄露，这就需要用到加密技术和密钥管理技术。目前主要的密钥交换和管理标准有SKIP和ISAKMP（安全联盟和密钥管理协议）。
3）对于支持远程接入或动态建立隧道的VPN，在隧道建立之前需要确认访问者身份，是否可以建立要求的隧道，若可以，系统还需根据访问者身份实施资源访问控制。这需要访问者与设备的身份认证技术和访问控制技术。
4.VPN有哪三种类型？它们的特点和应用场合分别是什么？
1.Acce VPN（远程接入网）
即所谓移动VPN，适用于企业内部人员流动频繁和远程办公的情况，出差员工或在家办公的员工利用当地ISP就可以和企业的VPN网关建立私有的隧道连接。
通过拨入当地的ISP进入Internet再连接企业的VPN网关，在用户和VPN网关之间建立一个安全的“隧道”，通过该隧道安全地访问远程的内部网（节省通信费用，又保证了安全性）。
拨入方式包括拨号、ISDN、ADSL等，唯一的要求就是能够使用合法IP地址访问Internet。2.Intranet VPN（内联网）
如果要进行企业内部异地分支结构的互联，可以使用Intranet VPN的方式，即所谓的网关对网关VPN。在异地两个网络的网关之间建立了一个加密的VPN隧道，两端的内部网络可以通过该VPN隧道安全地进行通信。3.Extranet VPN（外联网）
如果一个企业希望将客户、供应商、合作伙伴连接到企业内部网，可以使用Extranet VPN。其实也是一种网关对网关的VPN，但它需要有不同协议和设备之间的配合和不同的安全配置。
5.举例说明什么是乘客协议、封装协议和传输协议？
（1）乘客协议：用户真正要传输（也即被封装）的数据，如IP、PPP、SLIP等。（2）封装协议：用于建立、保持和拆卸隧道，如L2F、PPTP、L2TP、GRE。（3）传输协议：乘客协议被封装后应用传输协议，例如UDP协议。
8.了解第三层隧道协议——GRE。
GRE是通用的路由封装协议，支持全部的路由协议（如RIP2、OSPF等），用于在IP包中封装任何协议的数据包（IP、IPX、NetBEUI等）。在GRE中，乘客协议就是上面这些被封装的协议，封装协议就是GRE，传输协议就是IP。在GRE的处理中，很多协议的细微差别都被忽略，这使得GRE不限于某个特定的“X over Y”的应用，而是一种通用的封装形式。
原始IP包的IP地址通常是企业私有网络规划的保留IP地址，而外层的IP地址是企业网络出口的IP地址，因此，尽管私有网络的IP地址无法和外部网络进行正确的路由，但这个封装之后的IP包可以在Internet上路由——最简单的VPN技术。（NAT，非IP数据包能在IP互联网上传送）
GRE VPN适合一些小型点对点的网络互联。
第二十章
安全扫描技术
一、问答题
1.简述常见的黑客攻击过程。目标探测和信息攫取
先确定攻击日标并收集目标系统的相关信息。一般先大量收集网上主机的信息，然后根据各系统的安全性强弱确定最后的目标。1)踩点（Footprinting）
黑客必须尽可能收集目标系统安全状况的各种信息。Whois数据库查询可以获得很多关于目标系统的注册信息，DNS查询(用Windows/UNIX上提供的nslookup命令客户端)也可令黑客获得关于目标系统域名、IP地址、DNS务器、邮件服务器等有用信息。此外还可以用traceroute工具获得一些网络拓扑和路由信息。
2)扫描（Scanning）
在扫描阶段，我们将使用各种工具和技巧(如Ping扫射、端口扫描以及操作系统检测等)确定哪些系统存活着、它们在监听哪些端口(以此来判断它们在提供哪些服务)，甚至更进一步地获知它们运行的是什么操作系统。3)查点（Enumeration）
从系统中抽取有效账号或导出资源名的过程称为查点，这些信息很可能成为目标系统的祸根。比如说，一旦查点查出一个有效用户名或共享资源，攻击者猜出对应的密码或利用与资源共享协议关联的某些脆弱点通常就只是一个时间问题了。查点技巧差不多都是特定于操作系统的，因此要求使用前面步骤汇集的信息。2 获得访问权（Gaining Acce）
通过密码窃听、共享文件的野蛮攻击、攫取密码文件并破解或缓冲区溢出攻击等来获得系统的访问权限。特权提升（Escalating Privilege）
在获得一般账户后，黑客经常会试图获得更高的权限，比如获得系统管理员权限。通常可以采用密码破解(如用L0phtcrack破解NT的SAM文件)、利用已知的漏洞或脆弱点等技术。4 窃取（Stealing）
对敏感数据进行篡改、添加、删除及复制（如Windows系统的注册表、UNIX的rhost文件等）。5 掩盖踪迹（Covering Tracks）
此时最重要就隐藏自己踪迹，以防被管理员发觉，比如清除日志记录、使用rootkits等工具。创建后门（Creating Bookdoor）
在系统的不同部分布置陷阱和后门，以便入侵者在以后仍能从容获得特权访问。
6.掌握几种主要的端口扫描方式。
7.安全扫描系统的逻辑结构是什么？
1.策略分析部分
用于控制网络安全扫描系统的功能，即根据系统预先设定的配置文件，它应当检测哪些Internet域内的主机并进行哪些检测(简单、中级和高级)。2.获取检测工具部分
用于决定对给定的目标系统进行检测的工具。目标系统可以是一个主机，或是某个子网上的所有主机。确定目标系统后，该部分就可以根据策略分析部分得出的测试级别类，确定需要应用的检测工具。3.获取数据部分
对于给定的检测工具，获取数据部分运行对应的检测过程，收集数据信息并产生新的事实记录。最后获得的新的事实记录是事实分析部分的输入。4.事实分析部分
对于给定的事实记录，事实分析部分能产生出新的目标系统、新的检测工具和新的事实记录。新的目标系统作为获取检测工具部分的输入，新的检测工具又作为获取数据部分的输入，新的事实记录又再一次作为事实分析部分的输入。循环直到不产生新的事实记录为止。5.报告分析部分
报告分析部分将关于目标系统的大量有用的信息组织起来，用HTML界面显示，使用户可以通过Web浏览器方便查看运行的结果。
9．什么是漏洞扫描？
系统漏洞检测又称漏洞扫描，就是对重要网络信息进行检查，发现其中可被攻击者利用的漏洞。
第二十一章
入侵检测与安全审计
一、填空题
1．二、问答题
1.什么是IDS，它有哪些基本功能？
入侵检测系统IDS，它从计算机网络系统中的若干关键点收集信息，并分析这些信息，检查网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门。
1）监测并分析用户和系统的活动，查找非法用户和合法用户的越权操作；2）核查系统配置和漏洞并提示管理员修补漏洞； 3）评估系统关键资源和数据文件的完整性； 4）识别已知的攻击行为，统计分析异常行为；
5）操作系统日志管理，并识别违反安全策略的用户活动等。
4.什么是基于主机的IDS、基于网络的IDS、分布式IDS？
1.基于主机的入侵检测系统
基于主机的IDS的输入数据来源于系统的审计日志，即在每个要保护的主机上运行一个代理程序，一般只能检测该主机上发生的入侵。它在重要的系统服务器、工作站或用户机器上运行，监视操作系统或系统事件级别的可疑活动(如尝试登录失败)。此类系统需要定义清楚哪些是不合法的活动，然后把这种安全策略转换成入侵检测规则。2.基于网络的入侵检测系统
基于网络的IDS的输入数据来源于网络的信息流，该类系统一般被动地在网络上监听整个网段上的信息流，通过捕获网络数据包，进行分析，能够检测该网段上发生的网络入侵。3.分布式入侵检测系统
分布式IDS一般由多个部件组成，分布在网络的各个部分，完成相应功能，分别进行数据采集、数据分析等。通过中心的控制部件进行数据汇总、分析、产生入侵警报等。在这种结构下，不仅可以检测到针对单独主机的入侵，同时也可以检测到针对整个网络上的主机的入侵。
5.IDS有哪两类分析方法，并对两者分析比较。
1.异常检测
假定所有入侵行为都是与正常行为不同的，如果建立系统正常行为的轨迹（特征文件 Profiles），那么理论上可以通过统计那些不同于我们已建立的特征文件的所有系统状态的数
量，来识别入侵企图，即把所有与正常轨迹不同的系统状态视为可疑企图。
例如，一个程序员的正常活动与一个打字员的正常活动肯定不同，打字员常用的是编辑/打印文件等命令；而程序员则更多地使用编辑/编译/调试/运行等命令。这样，根据各自不同的正常活动建立起来的特征文件，便具有用户特性。入侵者使用正常用户的账号，但其行为并不会与正常用户的行为相吻合，从而可以被检测出来。对于异常阀值与特征的选择是异常发现技术的关键。比如，通过流量统计分析将异常时间的异常网络流量视为可疑。
异常检测指根据使用者的行为或资源使用状况来判断是否入侵，所以也被称为基于行为(Behave—based)的检测。
2.误用探测（基于知识(Knowledge—based)检测）
假定所有入侵行为和手段(及其变种)都能够表达为一种模式或特征，那么所有已知的入侵方法都可以用匹配的方法发现。因为很大一部分的入侵是利用了系统的脆弱性，通过分析入侵过程的特征、条件、排列以及事件间关系能具体描述入侵行为的迹象。
误用检测系统的关键问题是如何从已知入侵中提取和编写特征，使得其能够覆盖该入侵的所有可能的变种，而同时不会匹配到非入侵活动（把真正入侵与正常行为区分开来）。
6.什么是现代安全审计技术，它提出的意义是什么？
安全审计是一个安全的网络必须支持的功能特性，它记录用户使用计算机网络系统进行所有活动的过程，是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能指出系统正被怎样使用。审计信息对于确定是否有网络攻击和攻击源很重要。同时，系统事件的记录能够更迅速和系统地识别问题，并且它是后面阶段事故处理的重要依据，为网络犯罪行为及泄密行为提供取证基础。
在TCSEC中定义的Accountability其实已经提出了“安全审计”的基本要求。Accountability需求中明确指出了：审计信息必须被有选择地保留和保护，与安全有关的活动能够被追溯到负责方，系统应能够选择哪些与安全有关的信息被记录，以便将审计的开销降到最小，可以进行有效的分析。在C2等级中，审计系统必须实现如下的功能：系统能够创建和维护审计数据，保证审计记录不能被删除、修改和非法访问。CC准则的安全功能需求定义了多达11个的安全功能需求类，其中包括安全审计类。在CC准则中，对网络安全审计定义了一套完整的功能。
目前对于安全审计这个概念的理解还不统一，安全领域对于怎么样的产品才属于安全审计产品还没有一个普遍接受的认识。
第二十二章
网络病毒防范
一、选择题
二、填空题
1．2．
1． 4．
三、问答题
1.掌握恶意代码的概念和分类，以及几种主要的恶意代码。
黑客编写的扰乱社会和个人，甚至起着破坏作用的计算机程序，就是恶意代码。
1）按恶意代码是否需要宿主，即特定的应用程序、工具程序或系统程序。需要宿主的恶意代码具有依附性，不能脱离宿主而独立运行；不需宿主的恶意代码具有独立性，可不依赖宿主而独立运行。
2)按恶意代码是否能够自我复制，不能自我复制的恶意代码是不感染的，能够自我复制的恶意代码是可感染的。1.不感染的依附性恶意代码（1）特洛伊木马
一段能实现有用的或必需的功能的程序，但是同时还完成一些不为人知的功能，这些额外的功能往往是有害的（试图访问未授权资源、试图阻止正常访问、试图更改或破坏数据和系统等）。
它一般没有自我复制的机制，但欺骗性是其得以传播的根本原因。电子新闻组和电子邮件是它的主要传播途径。特洛伊木马经常伪装成游戏软件、搞笑程序、屏保、非法软件、色情资料等，上载到网上直接传播，容易被不知情的用户接收和继续传播。（2）逻辑炸弹
一段具有破坏性的代码，事先预置于较大的程序中，等待某扳机事件（特殊日期或指定事件）发生触发其破坏行为。它往往被那些有怨恨的职员使用，一旦逻辑炸弹被触发，就会造成数据或文件的改变或删除、计算机死机等。（3）后门或陷门
是进入系统或程序的一个秘密入口，它能够通过识别某种特定的输入序列或特定帐户，使访问者绕过访问的安全检查、直接获得访问权利，并且通常高于普通用户的特权。
2.不感染的独立性恶意代码（1）点滴器
为传送和安装其他恶意代码而设计的，它本身不具有直接的感染性和破坏性。它专门对抗反病毒检测，使用了加密手段，以阻止反病毒程序发现它们。当特定事件出现时，它将启动，将自身包含的恶意代码释放出来。3.可感染的依附性恶意代码
计算机病毒是一段附着在其他程序上的可以进行自我复制的代码，由于绝大多数恶意代码都或多或少地具有计算机病毒的特征。4.可感染的独立性恶意代码（1）蠕虫
一种通过计算机网络能够自我复制和扩散的程序。蠕虫不需要宿主，不会与其他特定功能程序混合。蠕虫感染的是系统环境（如操作系统或邮件系统）。新感染系统采取同样的方式进行复制和传播，使得蠕虫传播非常迅速。蠕虫可以大量地消耗计算机时间和网络通信带宽，导致整个计算机系统和网络的崩溃，成为拒绝服务攻击的工具。（2）细菌
在计算机系统中不断复制自己的程序。一个典型的细菌是在多任务系统中生成它的两个副本，然后以指数级增长，最终占用全部的系统资源，无法为用户提供服务。
8.计算机病毒的定义和特征是什么？
计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能够自我复制的一组计算机指令或者程序代码。1）主动传染性
这是病毒区别于其他程序的一个根本特性。病毒能够将自身代码主动复制到其他文件或扇区中，这个过程并不需要人为的干预。病毒通过各种渠道从已被感染的计算机扩散到未被感染的计算机。所谓“感染”，就是病毒将自身嵌入到合法程序的指令序列中，致使执行合法程序的操作会招致病毒程序的共同执行或以病毒程序的执行取而代之。2）破坏性
这也是计算机病毒的一个基本特性，比如删除文件、毁坏主板BIOS、影响正常的使用等。近年来随着将特洛伊木马程序、蠕虫程序等纳入计算机病毒的范畴，将盗取信息、使用他人计算机的资源等也列入了破坏行为的范围。3）寄生性（隐蔽性）
早期的计算机病毒绝大多数都不是完整的程序，通常都是附着在其他程序中。病毒取得系统控制权后，可以在很短时间里传染大量其他程序，而且计算机系统通常仍能正常运行，用户不会感到任何异常（非常危险）。当然现在的某些病毒本身就是一个完整的程序。4）潜伏性
病毒进入系统之后一般不会马上发作，可以或长或短地潜伏在合法程序中，进行传染而不被人发现。潜伏的时间越长，传染范围越大。5）多态性
病毒试图在每一次感染时改变它的形态，使对它的检测变得更困难。一个多态病毒还是原来的病毒，但不能通过扫描特征字符串来发现。病毒代码的主要部分相同，但表达方式发生了变化，也就是同一程序由不同的字节序列表示。
9．什么是病毒的特征代码？它有什么作用？
病毒的特征代码是病毒程序编制者用来识别自己编写程序的唯一代码串。因此检测病毒程序可利用病毒的特征代码来检测病毒，以防止病毒程序感染。
10．什么是网络蠕虫？它的传播途径是什么？
网络蠕虫是一种可以通过网络（永久连接网络或拨号网络）进行自身复制的病毒程序。一旦在系统中激活，蠕虫可以表现得象计算机病毒或细菌。可以向系统注入特洛伊木马程序，或者进行任何次数的破坏或毁灭行动。普通计算机病毒需要在计算机的硬件或文件系统中繁殖，而典型的蠕虫程序会在内存中维持一个活动副本。蠕虫是一个独立运行的程序，自身不改变其他的程序，但可以携带一个改变其他程序功能的病毒。
