网咯安全总结终结版(去年).docx

安全体系结构部分： 1、安全威胁 安全威胁的概念：安全威胁是指对安全的一种潜在的侵害。 威胁的实施称为攻击。 从威胁来源看分为： 内部攻击：来自内部人员的攻击称为内部攻击。 外部攻击：外部威胁的实施称为外部攻击。 从造成的结果上看可分为： 主动威胁：这种威胁是对系统的状态进行故意的非授权的改变。对系统的主动威胁涉及到系统中所含信息的篡改，或对系统的状态或操作的改变。一个非授权的用户不怀好意地改动路由选择表就是主动威胁的一个例子。与安全有关的主动威胁的例子可能是：入侵、篡改消息、重发消息、插入伪消息、重放、阻塞、抵赖、病毒、冒充已授权实体以及服务拒绝等。主动攻击会直接进入信息系统内部，往往可影响系统的运行、造成巨大的损失，并给信息网络带来灾难性的后果。 什么叫被动威胁？ 这种威胁对信息的非授权泄露而未改变系统状态。如信息窃取、密码破译、信息流量分析等。被动威胁的实现不会导致对系统中所含信息的任何篡改，而且系统的操作与状态也不受改变，但有用的信息可能被盗窃并被用于非法目的。 2、什么叫安全服务？主要安全服务有哪些？ 答：安全服务：在计算机网络中，主要的安全防护措施称作安全服务。 网络通信中目前主要有五种安全服务：认证服务 ，访问控制服务 ，机密性服务，完整性服务 ，非否认服务 ：提供凭证，防止发送者否认或接收者抵赖已接收到相关的信息。分为有数据原发证明的不可否认和有交付证明的不可否认。 数据原发证明的不可否认性：为数据的接收者提供数据来源的证据，这将使发送者谎称未发送过这些数据或否认它的内容的企图不能得逞。 有交付证明的不可否认：为数据的发送者提供数据交付证据，这将使得接收者事后谎称未收到过这些数据或否认它的内容的企图不能得逞。 3、什么叫安全策略？ 安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的一系列条例和规则。即什么事允许的什么是不允许的。 4、什么叫安全机制？ 安全机制是实施安全策略的方法、工具或者规程。 业务流量填充机制 ：防止通信业务流分析。即防止通过观察通信流量???得敏感信息。 身份认证部分： 5、对身份认证过程中对口令的攻击包括： 重放攻击：又称重播攻击，所谓重放攻击就是攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证的过程。 字典攻击：在基于口令的协议中，用户倾向于选择短的容易记忆的口令，因此口令协议容易遭受字典攻击。离线字典攻击是指攻击者通过主动或被动方式获取认证信息，利用该认证信息以离线的方式反复猜测可能的口令并验证猜测是否正确。(附：判断是否存在字典攻击) 社交工程：社会工程就是采用非隐蔽方法盗用口令等。比如冒充是处长或局长骗取管理员信任得到口令；冒充合法用户发送邮件或打电话给管理人员，以骗取用户口令等。 6、图形码（CAPTCHA）的作用？ 答：抵抗在线字典攻击；防止恶意注册。 访问控制部分： 7、机密性安全策略Bell-LaPadula模型的特点及举例。 特点：具有不上读/不下写的保密性特点。 例子：防火墙所实现的单向访问机制 不允许敏感数据从内部网络（安全级别为“机密”）流向Internet（安全级别为“公开”），提供“不上读”功能来阻止Internet对内部网络的访问 ，提供“不下写”功能来限制进入内部的数据流只能经由由内向外发起的连接流入(例如，允许HTTP的GET操作而拒绝POST操作，或阻止任何外发的邮件 ) 。内部用户可以浏览网页但不可发帖子，内部用户可以收邮件但不可发邮件，信息流由低流向高。 8、完整性安全策略Biba模型的特点及举例。 特点：具有不下读/不上写的完整性的特点。 例子：对WEB服务器的访问过程 定义Web服务器上发布的资源安全级别为“秘密”，Internet上用户的安全级别为“公开”，依照Biba模型，Web服务器上数据的完整性将得到保障，Internet上的用户只能读取服务器上的数据而不能更改它 。 9、混合安全策略－基于角色访问控制（RBAC）的各种概念。 角色继承：是一个角色继承其他角色的许可，避免了相同权限的重复设置。角色分配与授权：系统管理员通过为用户分配角色、取消用户的某个角色等操作管理角色分配表（访问控制列表），包括用户标识、角色标识、可用性。 角色激活：用户是一个静态的概念，会话则是一个动态的概念，用户建立会话从而对资源进行访问。一次会话是用户的一个活跃进程，它代表用户与系统交互。当前会话的（被激活的）用户即为活跃角色。一个会话构成一个用户到多个角色的映射，即会话激活了用户授权角色集的某个子集，这个子集称为活跃角色集。 静态角色互斥：只有当一个角色与用户所属的其他角色彼此不互斥时，这个角色才能授权给该用户。 动态角色互斥：只有当一个角色与一主体的任何一个当前活跃角色都不互斥时，该角色才能成为该主体