网络与信息安全概论 作业 第一章.docVIP

网络与信息安全概论 作业1 网络与信息安全概论 作业1 思考题： 1.1 OSI安全框架是什么？ 答：OSI安全体系结构是一个架构，它为规定安全的要求和表征满足那些要求的途径提供了系统的方式。该文件定义了安全攻击、安全机制和安全服务，以及这些范畴之间的关系。 1.2被动和主动安全威胁的区别是什么？ 答：被动攻击的特性是对传输进行窃听和监测。攻击者的目标是获得传输的信息。消息内容的泄漏和流量分析就是两种被动攻击。被动攻击由于不涉及对数据的更改，所以很难觉察。典型主动攻击包括对数据流进行修改或伪造数据流，它可以分为四类：伪装、重放、消息修改和拒绝服务。主动攻击与被动攻击相反。被动攻击虽然难以被监测到但可以防止，另一方面因为物理通信设施、软件和网络本身所潜在的弱点具有多样性，主动攻击难以绝对预防，但容易检测。所以重点在于检测并从破环或造成的延迟中恢复过来。因为检测主动攻击有一种威慑效果，所以可在某种程度上阻止主动攻击。 1.3 列出并简短地定义被动和主动安全攻击的种类。 答：被动攻击指消息内容发布与流量分析，对传输中的明文进行窃听,导致信息泄露。主动攻击指对信息进行伪装、重复和修改，以及拒绝服务。 1.4列出并简短地定义安全服务的种类。 答：①身份认证：确定通讯实体身份的真实性。 ②访问控制：阻止越权的资源使用行为（这项服务是用来控制谁可以使用资源；在何种条件下可以获得使用权以及可以使用哪些资源。） ③数据保密性：保护数据以免受到未授权披露。 ④数据完整性：确保收到授权实体所发送的正确数据（指未经修改、潜入、删除或重复的数据）。 ⑤不可否认性：提供保护以防止某一实体抵赖自己发送或接收的信息。 ⑥可用性服务：根据系统的性能规格，通过被授权的系统实体获得系统或系统资源的进入权和使用权（当用户发出请求时，系统将根据其设定，为使用者提供服务）。 1.5列出并简短地定义安全机制的种类。 答：特定安全机制（可以并入适当的协议层以提供一些OSI安全服务不具有普适性）：加密、数字签名；访问控制；数据完整性；认证交换、流量填充；路由控制、公证。 普遍的安全机制（不局限于任何OSI安全服务或协议层次的机制，具有普适性）：可信功能、安全标签；事件检测、安全审计；安全恢复。 习题： 1.1 考虑一个自动柜员机（ATM），用户为其提供个人身份码（PIN）和账户访问的卡。给出有关这个系统的保密性、完整性和可用性要求的例子，就每一个例子说明要求的重要性程度。 答：①ATM保密性要求：由于ATM使用具有私密性，使用时都是用户独自一人，且系统需要根据账户访问卡和个人身份码进行系统授权和操作，因此ATM保密性的重要性程度低。 ②完整性要求：由于ATM根据用户请求完成操作，且操作涉及经济利益，因此对数据的正确性有较高要求，若用户通过手段修改、伪装或删除数据，将造成较大损失，所以完整性的重要程度为高。 ③可用性要求：ATM的系统使用授权环节非常重要，是否对正确的实体进行授权直接关系到用户的个人财产安全，因此在授权时需要用户的账户访问卡和个人身份码进行认证，双重认证方式可以在一定程度上保障系统安全，故ATM可用性的重要程度为中。 1.2 以电话交换系统为例重做习题1.1。电话交换系统根据呼叫用户呼叫的电话号码通过交换网络路由呼叫。 答：①电话交换系统保密性要求：对于一般用户来说，通话内容的保密性并不是最重要的，但出于对用户的隐私保护，又有一定要求。因此该系统保密性的重要程度为中。 ②完整性要求：拨打电话时，能否接通正确的通话人，以及通话内容能否完整清晰地从呼叫方传送到被叫方，是最重要的。因此系统完整性的重要程度为高。 ③可用性要求：由于电话交换系统是面向公众，且无特定授权要求，故该系统可用性的重要程度为低。 1.3 考虑为各种组织产生文档的桌面发布系统。（a）给出一种发布类型的例子，此时对存储数据的保密性是最重要的。（b）给出一种发布类型的例子，此时对存储数据的完整性是最重要的。（c）给一个例子，其对系统可用性的要求是最重要的。 答：（a）招投标文档发布过程中，由于竞标企业存在竞争关系，各企业标书内容为商业机密，因此此时对数据的保密性是最重要的。 （b）金融系统发布股票交易行情时，其所发布的信息内容不能有任何差错，因此对存储数据的完整性是最重要的。 （c）政府机关向公众发布重要信息时，信息发布的授权主体是最重要的，因此这种情况下，对系统的可用性要求最高。 1.4 对于下面的资产，当发生保密性、可用性和完整性损失时，分别为其产生的影响划分低、中和高等级，并陈述理由。（a）在自己的网络服务器上管理公开信息的组织。（b）法律执行组织管理极端敏感的调查信息。（c）金融机构管理例行的行政信息（非隐私信息）。（d）合同签订机构的大单