信息安全技术基础--期末考点总结

1、4信息安全就是只遭受病毒攻击，这种说法正确吗？不正确，信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。信息安全本身包括的范围很大，病毒攻击只是威胁信息安全的一部分原因，即使没有病毒攻击，信息还存在偶然泄露等潜在威胁，所以上述说法不正确。5.网络安全问题主要是由黑客攻击造成的，这种说法正确吗？不正确。谈到信息安全或者是网络安全，很多人自然而然地联想到黑客

2、，实际上，黑客只是实施网络攻击或导致信息安全事件的一类主体，很多信息安全事件并非由黑客（包括内部人员或还称不上黑客的人）所为，同时也包括自然环境等因素带来的安全事件。补充：信息安全事件分类有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件设备设施故障、灾害性事件、其它事件3.信息系统的可靠性和可用性是一个概念吗？它们有什么区别？不是。信息安全的可靠性：保证信息系统为合法用户提供稳定、正确的信息服务。信息安全的可用性：保证信息与信息系统可被授权者在需要的时候能够访问和使用。区别：可靠性强调提供服务的正确、稳定，可用性强调提供服务访问权、使用权。5.一个信息系统的可靠性可以从哪些方面度量？

3、可以从抗毁性、生存性和有效性三个方面度量,提供的服务是否稳定以及稳定的程度，提供的服务是否正确。7.为什么说信息安全防御应该是动态和可适应的？信息安全防御包括（1）对系统风险进行人工和自动分析，给出全面细致的风险评估。（2）通过制订、评估、执行等步骤建立安全策略体系（3）在系统实施保护之后根据安全策略对信息系统实施监控和检测（4）对已知一个攻击（入侵）事件发生之后进行响应等操作保障信息安全必须能够适应安全需求、安全威胁以及安全环境的变化，没有一种技术可以完全消除信息系统及网络的安全隐患，系统的安全实际上是理想中的安全策略和实际执行之间的一个平衡。实现有效的信息安全保障，应该构建动态适应的、合理

4、可行的主动防御，而且投资和技术上是可行的，而不应该是出现了问题再处理的被动应对。4.什么是PKI？“PKI是一个软件系统”这种说法是否正确？PKI是指使用公钥密码技术实施和提供安全服务的、具有普适性的安全基础设施，是信息安全领域核心技术之一。PKI通过权威第三方机构授权中心CA(Certification Authority)以签发数字证书的形式发布有效实体的公钥。正确。PKI是一个系统，包括技术、软硬件、人、政策法律、服务的逻辑组件，从实现和应用上看，PKI是支持基于数字证书应用的各个子系统的集合。5.为什么PKI可以有效解决公钥密码的技术应用？PKI具有可信任的认证机构（授权中心），在公钥

5、密码技术的基础上实现证书的产生、管理、存档、发放、撤销等功能，并包括实现这些功能的硬件、软件、人力资源、相关政策和操作规范，以及为PKI体系中的各个成员提供全部的安全服务。简单地说，PKI是通过权威机构签发数字证书、管理数字证书，通信实体使用数字证书的方法、过程和系统。实现了PKI基础服务实现与应用分离，有效解决公钥使用者获得所需的有效的、正确的公钥问题。1什么是安全协议？安全协议与传统的网络协议有何关系与区别？答：安全协议是为了实现特定的安全目标，以密码学为基础的消息交换协议，其目的是在网络环境中提供各种安全服务。网络协议为计算机网络中进行数据交换而建立的规则、标准或约定的集合，它是面向计算

6、机网络的，是计算机通信时采用的语言。网络协议使网络上各种设备能够相互交换信息。常见的协议有：TCP/IP协议等。网络协议是由三个要素组成：语义、语法、时序。人们形象地把这三个要素描述为：语义表示要做什么，语法表示要怎么做，时序表示做的顺序。区别与联系：两者都是针对协议实体之间通信问题的协议，网络协议是使具备通信功能，安全协议旨在通信的同时，强调安全通信。1.为什么说WLAN比有线网络更容易遭受网络攻击？（1）有线网络中存在的网络安全威胁在WLAN中都存在。（2）WLAN固有的特点-开放的无线通信链路，使得网络安全问题更为突出，从而WLAN面临更多的安全隐患。例如：在两个无线设备间传输未加密的敏

7、感数据，容易被截获并导致泄密。恶意实体更容易干扰合法用户的通信，更容易直接针对无线连接或设备实施拒绝服务攻击DoS，并坑你跟踪他们的行为。11如果让你来设计WLAN安全机制，请论述你将考虑的方面以及设计思路。WLAN需要解决的问题（138）：01. 访问控制。只有合法的实体才能够访问WLAN及其相关资源。02. 链路保密通信。无线链路通信应该确保数据的保密性、完整性及数据源的可认证性。基于上述需求，WLAN安全机制应该包括实体认证、链路加密和完整性保护、数据源认证等，此外应该考虑防止或降低无线设备遭受DoS攻击。大致设计思路：采用基于密码技术的安全机制，借鉴全新的WLAN安全基础架构健壮安全网

8、络关联RSNA设计建立过程：（1）基于IEEE 802.1X或预共享密钥PSK实现认证与密钥管理，建立RSNA。（2）在RSNA建立过程中，使用协议栈中一些相关标准协议，确保协议的安全性。（3）密钥管理协议部分：采用4次握手密钥协商协议用于在STA与AP之间协商产生和更新共享临时密钥，以及密钥使用方法。（4）STA与AP之间相互认证之后，使用数据保密协议保护802.11数据帧。6.若一个单位部署防火墙时，需要对外提供Web和E-mail服务，如何部署相关服务器？答：部署过程如下图：部署：在内部网与Internet之间设置一个独立的屏蔽子网，在内部网与屏蔽子网和屏蔽子网与Internet之间各设

9、置一个屏蔽路由器（防火墙）。这种防火墙部署也称为DMZ部署方式：提供至少3个网络接口：一个用于连接外部网络通常是Internet，一个用于连接内部网络，一个用于连接提供对外服务的屏蔽子网。DMZ是一个安全系统与非安全系统之间的一个缓冲区，这个缓冲区位于企业内部网络和外部网络之间，放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。9.什么是入侵检测系统？如何分类？答：入侵检测系统：通过收集和分析计算机网络或计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。分类：主机型IDS、网络型IDS主机型IDS:安装在服务器或PC机上的软件，监测到

10、达主机的网络信息流网络型IDS:一般配置在网络入口处或网络核心交换处，通过旁路技术监测网络上的信息流。10.网络入侵检测系统是如何工作的？1）截获本地主机系统的网络数据，查找出针对本地系统的非法行为。2）扫描、监听本地磁盘文件操作，检查文件的操作状态和内容，对文件进行保护、恢复等。3）通过轮询等方式监听系统的进程及其参数，检查出非法进程。4）查询系统各种日志文件，报告非法的入侵者。15.入侵检测技术和蜜罐技术都是用于检测网络入侵行为的，它们有什么不同？入侵检测系统是根据人定义的规则、模式阻止非授权访问或入侵网络资源的行为。其收集和分析计算机网络或计算机系统中若干关键点的信息，检查网络或系统中是

11、否存在违反安全策略的行为和被攻击的迹象，其前提即已知非法访问规则和入侵方式，否则容易产生误判。蜜罐(Honeypot)技术则是可以在不确定攻击者手段和方法前提下发现攻击。发现自身系统已知或未知的漏洞和弱点。它可以看成是一种诱导技术，目的是发现恶意攻击和入侵。蜜罐技术可以运行任何的操作系统和任意数量的服务，蜜罐上配置的服务决定了攻击者可用的损害和探测系统的媒介。16.如果你是一个单位的网络安全管理员，如何规划部署网络安全产品？答：安装安全的无线路由器（防火墙）、选择安全的路由器名字、定制密码、隐藏路由器名字、限制网络访问、选择一种安全的加密模式、考虑使用入侵检测系统或蜜罐等高级技术。2.信息隐藏

12、与传统数据加密有什么区别？信息隐藏过程中加入加密算法的优点是什么？信息隐藏就是利用特定载体中具有随机特性的冗余部分，将有特别意义的或重要的信息嵌入其中掩饰其存在，嵌入的秘密信息称为隐藏信息，现代信息隐藏通常要把传输的秘密信息写到数字媒介中，如图像、声音、视频信号等，其目的在于将信息隐藏的足够好，以使非法用户在截获到媒介物时不会怀疑媒介中含有隐藏信息。传统数据加密指通过加密算法和加密密钥将明文转变为密文，其目的是使明文信息不可见，它的核心是密码学。优点：由于隐藏算法必须能够承受一定程度的人为攻击，保证隐藏信息不会破坏，所以信息隐藏中使用加密算法，增强了隐藏信息的抗攻击能力，更加有利于对信息的安全

13、性保护，5.什么是数字水印？数字水印技术与信息隐藏技术有什么联系和区别？数字水印是指嵌入在数字产品中的、不可见、不易移除的数字信号，可以是图像、符号、数字等一切可以作为标识和标记的信息，其目的是进行版权保护、所有权证明、指纹（追踪发布多份拷贝）和完整性保护等。联系和区别：信息隐藏与数字水印都是采用信息嵌入的方法，可以理解为信息隐藏的概念更大，但通常讲到的信息隐藏是隐秘和保护一些信息传递，而数字水印是提供版权证明和知识保护，二者目的不同。8.如何对数字水印进行攻击？从数字水印的2个主要性质：鲁棒性、不可见性入手。基于攻击测试评价，分析数字水印的鲁棒性，结合使用峰值信噪比PSNR分析数字水印不可见

14、性，使用低通滤波、添加噪声、去噪处理、量化、几何变换(缩放、旋转、平移、错切等)、一般图像处理(灰度直方图调整、对比度调整、平滑处理、锐化处理等)、剪切、JPEG压缩、小波压缩等方式综合完成数字水印进行攻击。9.RSA及公钥密码体制的安全基础：RSA密码系统的安全性依赖两个数学问题：大数分解问题、RSA问题。由于目前尚无有效的算法解决这两个问题的假设，已知公钥解密RSA密文是不容易的。10.保密通信系统模型图11.简述公钥密码体制在信息安全保护中的意义：公钥加密系统中任何主体只拥有一对密钥-私钥和公钥，公开其公钥，任何其他人在需要的时候使用接收方的公钥加密信息，接收方使用只有自己知道的私钥解密

15、信息。这样，在N个人通信系统中，只需要N个密钥对即可，每个人一对。公钥加密的特点是公钥是公开的，这很好地解决了对称密码中密钥分发与管理问题。12. AES由多轮操作组成，轮数由分组和密钥长度决定。AES在4×n字节的数组上操作，称为状态，其中n是密钥字节数除4。AES的数据结构：以字节为单位的方阵描述：输入分组in、中间数组State、输出分组out、密钥分组K。排列顺序：方阵中从上到下，从左到右AES算法轮操作过程：轮变换包括以下子步骤：（1） 字节替换：执行一个非线性替换操作，通过查表替换每个字节。（2） 行移位：状态（矩阵）每一行以字节为单位循环移动若干个字节。（3） 列混合：

16、基于状态列的混合操作。（4） 轮密钥加：状态的每一个字节混合轮密钥。轮密钥也是由蜜月调度算法产生。需要注意的是，最后一轮（第10轮）操作与上述轮操作略有不同，不包括列混合操作，即只包括字节替换、行移位和密钥叠加操作。13.简述PKI的功能：PKI功能包括数字证书管理和基于数字证书的服务。01. 数字证书是PKI应用的核心，它是公钥载体，是主题身份和公钥绑定的凭证。因此，证书管理是PKI的核心工作，即CA负责完成证书的产生、发布、撤销、更新以及密钥管理工作，包括完成这些任务的策略、方法、手段、技术和过程。02. PKI服务：PKI的主要任务是确立证书持有者可信赖的数字身份，通过将这些身份与密码机

17、制相结合，提供认证、授权或数字签名等服务。当完善实施后，能够为敏感通信和交易提供一套信息安全保障，包括保密性、完整性、认证性和不可否认性等基本安全服务。03. 交叉认证。为了在PKI间建立信任关系，引入了“交叉认证”的概念，实现一个PKI域内用户可以验证另一个PKI域内的用户证书。14信息安全威胁主要来自人为攻击，其大致可分为 主动攻击 和 被动攻击 两大类型。15.现代密码系统按其原理可分为两大类： 对称加密系统 和 非对称加密 系统。16安全的定义只有相对的安全，没有绝对的安全。安全的意义在于保护信息安全所需的代价与信息本身价值的对比，因此信息安全保护是一种效能的折衷。可将信息系统的安全性

18、定义为以下三种：01. 理论安全性：即使具有无限计算资源，也无法破译。02. 可证明安全性：从理论上可以证明破译一个密码系统的代价/困难性不低于求解某个已知的数学难题。03. 计算安全性：使用已知的最好算法和利用现有的最大的计算资源仍然不可能在合理的时间完成破译一个密码系统。3种又可区分为理论安全性和实际安全性两个层次，其中实际安全性又包括两个层次：可证明安全性 和 计算安全性。16.1如何攻击密码系统？惟密文攻击：破译者已知的东西只有两样：加密算法、待破译的密文。已知明文攻击：破译者已知的东西包括加密算法和经密钥加密形成的一个或多个明-密文对，即知道一定数量的密文和对应的明文。选择明文攻击：

19、破译者除了知道加密算法外，他还可以选定明文消息，并可以知道该明文对应的加密密文。选择密文攻击：破译者除了知道加密算法外，还包括他自己选定的密文和对应的、已解密的明文，即知道选择的密文和对应的明文。选择文本攻击：是选择明文攻击与选择密文攻击的结合。破译者已知的东西包括：加密算法、破译者选择的明文消息和它对应的密文，以及破译者选择的猜测性密文和它对应的解密明文。17消息认证（如何主体的身份或消息的真实性？）被认证的主体包括两类：01. 消息的发送实体，人或设备（实现技术，例如：数字签名）02. 对消息自身的认证，顺序性、时间性、完整性（时间戳服务、消息标识等方法）由中国制定的无线网络安全国际标准是

20、GB 15629.11；公钥基础设施PKI通过 控制中心CA 以签发 数字证书 的形式发布有效的实体公钥。18.网路安全协议：18.1数字签名工作过程： 19.密码体制分类（根据密钥情况分类）对称密钥密码体制：加密与解密使用相同密钥(单钥)优点（为什么使用对称密码加密消息呢？）：加解密速度快、效率高、加密算法简单、易于实现，计算开销小。缺点：密钥分发困难，即在通信双方共享的密钥一般需要带外传递，总之，通信双方最初的共享密钥必须通过安全的方式传递交换。对称加密密钥使用 接受者 公钥，数字签名使用 发送者 的私钥。公钥密码体制：加密与解密使用不同密钥(双钥) 公、私钥成对出现，公钥加密、私钥解密。20. 对称密码体制分类分组密码先将明文划分成若干等长的块分组（如64b），然后再分别对每个分组进行加密，得到等长的密文分组；解密过程也类似。有些密码体制解密算法与加密算法完全一样，如DES。序列密码是把明文以位或字节为