滨州学院计算机网络安全技术期末复习题及参考答案

第/\*Arabic1页2023年下学期计算机网络安全技术复习资料一、简答题1.如下图所示,简述包过滤防火墙的工作原理及应用特点;

(1分)答案：包过滤PacketFilter是在网络层中根据事先设置的安全访问策略过滤规则,检查每一个数据包的源IP地址、目的IP地址以及IP分组头部的其他各种标志信息如协议、服务类型等,确定是否允许该数据包通过防火墙;包过滤防火墙中的安全访问策略过滤规则是网络管理员事先设置好的,主要通过对进入防火墙的数据包的源IP地址、目的IP地址、协议及端口进行设置,决定是否允许数据包通过防火墙;如图所示,当网络管理员在防火墙上设置了过滤规则后,在防火墙中会形成一个过滤规则表;当数据包进入防火墙时,防火墙会将IP分组的头部信息与过滤规则表进行逐条比对,根据比对结果决定是否允许数据包通过;包过滤防火墙主要特点：过滤规则表需要事先进行人工设置,规则表中的条目根据用户的安全要求来定；防火墙在进行检查时,首先从过滤规则表中的第1个条目开始逐条进行,所以过滤规则表中条目的先后顺序非常重要；由于包过滤防火墙工作在OSI参考模型的网络层和传输层,所以包过滤防火墙对通过的数据包的速度影响不大,实现成本较低;但包过滤防火墙无法识别基于应用层的恶意入侵;另外,包过滤防火墙不能识别IP地址的欺骗,内部非授权的用户可以通过伪装成为合法IP地址的使用者来访问外部网络,同样外部被限制的主机也可以通过使用合法的IP地址来欺骗防火墙进入内部网络;

2.简述L2TP协议操作过程(1分)答案：

1用户通过PSTN,ISDN等拨号方式连接到本地接入服务器LAC,LAC接收呼叫并进行基本的辨别;

2当用户被确认为合法用户时就建立一个通向LNS的拨号VPN通道;

3位于内部网络中的安全认证服务器拨号用户的身份进行鉴别;

4LNS与远程用户交换PPP信息;

5端到端的数据从拨号用户到LNS;

3.如图所示,描述DDoS攻击的实现方法;

(1分)答案：DDoS攻击是利用一批受控制的主机向一台主机发起攻击,其攻击的强度和造成的威胁要比DoS攻击严重得多,当然其破坏性也要强得多;在整个DDoS攻击过程中,共有四部分组成：攻击者、主控端、代理服务器和被攻击者,其中每一个组成在攻击中扮演的角色不同;1攻击者;攻击者是指在整个DDoS攻击中的主控台,它负责向主控端发送攻击命令;与DoS攻击略有不同,DDoS攻击中的攻击者对计算机的配置和网络带宽的要求并不高,只要能够向主控端正常发送攻击命令即可;2主控端;主控端是攻击者非法侵入并控制的一些主机,通过这些主机再分别控制大量的代理服务器;攻击者首先需要入侵主控端,在获得对主控端的写入权限后,在主控端主机上安装特定的程序,该程序能够接受攻击者发来的特殊指令,并且可以把这些命令发送到代理服务器上;

3代理服务器;代理服务器同样也是攻击者侵入并控制的一批主机,同时攻击者也需要在入侵这些主机并获得对这些主机的写入权限后,在上面安装并运行攻击器程序,接受和运行主控端发来的命令;代理服务器是攻击的直接执行者,真正向被攻击主机发送攻击;4被攻击者;是DDoS攻击的直接受害者,目前多为一些大型企业的网站或数据库系统;

4.简述ARP欺骗的实现原理及主要防范方法(1分)答案：

由于ARP协议在设计中存在的主动发送ARP报文的漏洞,使得主机可以发送虚假的ARP请求报文或响应报文,报文中的源IP地址和源MAC地址均可以进行伪造2分;在局域网中,即可以伪造成某一台主机如服务器的IP地址和MAC地址的组合,也可以伪造成网关的IP地址和MAC地址的组合,ARP即可以针对主机,也可以针对交换机等网络设备;

目前,绝大部分ARP欺骗是为了扰乱局域网中合法主机中保存的ARP表,使得网络中的合法主机无法正常通信或通信不正常,如表示为计算机无法上网或上网时断时续等;

针对主机的ARP欺骗的解决方法：主机中静态ARP缓存表中的记录是永久性的,用户可以使用TCP/IP工具来创建和修改,如Windows操作系统自带的ARP工具,利用“arp-s网关IP地址网关MAC地址”将本机中ARP缓存表中网关的记录类型设置为静态static;

针对交换机的ARP欺骗的解决方法：在交换机上防范ARP欺骗的方法与在计算机上防范ARP欺骗的方法基本相同,还是使用将下连设备的MAC地址与交换机端口进行一一绑定的方法来实现;

5.根据实际应用,以个人防火墙为主,简述防火墙的主要功能及应用特点(1分)答案：防火墙是指设置在不同网络如可信赖的企业内部局域网和不可信赖的公共网络之间或网络安全域之间的一系列部件的组合,通过监测、限制、更改进入不同网络或不同安全域的数据流,尽可能地对外部屏蔽网络内部的信息、结构和运行状况,以防止发生不可预测的、潜在破坏性的入侵,实现网络的安全保护;个人防火墙是一套安装在个人计算机上的软件系统,它能够监视计算机的通信状况,一旦发现有对计算机产生危险的通信就会报警通知管理员或立即中断网络连接,以此实现对个人计算机上重要数据的安全保护;个人防火墙是在企业防火墙的基础上发展起来,个人防火墙采用的技术也与企业防火墙基本相同,但在规则的设置、防火墙的管理等方面进行了简化,使非专业的普通用户能够容易地安装和使用;为了防止安全威胁对个人计算机产生的破坏,个人防火墙产品应提供以下的主要功能;防止Internet上用户的攻击、阻断木马及其他恶意软件的攻击、为移动计算机提供安全保护、与其他安全产品进行集成;

二、单项选择题6.死亡之ping属于(1分)A.冒充攻击B.拒绝服务攻击C.重放攻击D.篡改攻击答案：B7.下面有关3DES的数学描述,正确的是(1分)A.C=EEEP,K1,K1,K1B.C=EDEP,K1,K2,K1C.C=EDEP,K1,K1,K1D.C=DEDP,K1,K2,K1答案：B8.木马与病毒的最大区别是(1分)A.木马不破坏文件,而病毒会破坏文件B.木马无法自我复制,而病毒能够自我复制C.木马无法使数据丢失,而病毒会使数据丢失D.木马不具有潜伏性,而病毒具有潜伏性答案：B9.目前使用的防杀病毒软件的作用是(1分)A.检查计算机是否感染病毒,并消除已感染的任何病毒B.杜绝病毒对计算机的侵害C.检查计算机是否感染病毒,并清除部分已感染的病毒D.查出已感染的任何病毒,清除部分已感染的病毒答案：C10.对“防火墙本身是免疫的”这句话的正确理解是(1分)A.防火墙本身是不会死机的B.防火墙本身具有抗攻击能力C.防火墙本身具有对计算机病毒的免疫力D.防火墙本身具有清除计算机病毒的能力答案：B11.以下传统防火墙的描述,不正确的是(1分)A.即可防内,也可防外B.存在结构限制,无法适应当前有线网络和无线网络并存的需要C.工作效率较低,如果硬件配置较低或参数配置不当,防火墙将成形成网络瓶颈D.容易出现单点故障答案：A12.以下有关软件加密和硬件加密的比较,不正确的是(1分)A.硬件加密对用户是透明的,而软件加密需要在操作系统或软件中写入加密程序B.硬件加密的兼容性比软件加密好C.硬件加密的安全性比软件加密好D.硬件加密的速度比软件加密快答案：B13.PKI无法实现(1分)A.身份认证B.数据的完整性C.数据的机密性D.权限分配答案：D14.TCPSYN泛洪攻击的原理是利用了(1分)A.TCP三次握手过程B.TCP面向流的工作机制C.TCP数据传输中的窗口技术D.TCP连接终止时的FIN报文答案：A15.将通过在别人丢弃的废旧硬盘、U盘等介质中获取他人有用信息的行为称为(1分)A.社会工程学B.搭线窃听C.窥探D.垃圾搜索答案：D16.以下认证方式中,最为安全的是(1分)A.用户名+密码B.卡+密钥C.用户名+密码+验证码D.卡+指纹答案：D17.数字证书不包含(1分)A.颁发机构的名称B.证书持有者的私有密钥信息C.证书的有效期D.CA签发证书时所使用的签名算法答案：B18.ARP欺骗的实质是(1分)A.提供虚拟的MAC与IP地址的组合B.让其他计算机知道自己的存在C.窃取用户在网络中传输的数据D.扰乱网络的正常运行答案：A19.当计算机上发现病毒时,最彻底的清除方法为(1分)A.格式化硬盘B.用防病毒软件清除病毒C.删除感染病毒的文件D.删除磁盘上所有的文件答案：A20.经常与黑客软件配合使用的是(1分)A.病毒B.蠕虫C.木马D.间谍软件答案：C21.“在因特网上没有人知道对方是一个人还是一条狗”这个故事最能说明(1分)A.身份认证的重要性和迫切性B.网络上所有的活动都是不可见的C.网络应用中存在不严肃性D.计算机网络是一个虚拟的世界答案：A22.ICMP泛洪利用了(1分)A.ARP命令的功能B.tracert命令的功能C.ping命令的功能D.route命令的功能答案：C23.DNSSEC中并未采用(1分)A.数字签名技术B.公钥加密技术C.地址绑定技术D.报文摘要技术答案：C24.以下设备和系统中,不可能集成防火墙功能的是(1分)A.集线器B.交换机C.路由器D.WindowsServer2003操作系统答案：A25.泪滴使用了IP数据报中的(1分)A.段位移字段的功能B.协议字段的功能C.标识字段的功能D.生存期字段的功能答案：A26.非法接收者在截获密文后试图从中分析出明文的过程称为(1分)A.破译B.解密C.加密D.攻击答案：A27.CA的主要功能为(1分)A.确认用户的身份B.为用户提供证书的申请、下载、查询、注销和恢复等操作C.定义了密码系统的使用方法和原则D.负责发放和管理数字证书答案：D28.以下哪一种方法无法防范口令攻击(1分)A.启用防火墙功能B.设置复杂的系统认证口令C.关闭不需要的网络服务D.修改系统默认的认证名称答案：A29.将利用虚假IP地址进行ICMP报文传输的攻击方法称为(1分)A.ICMP泛洪B.LAND攻击C.死亡之pingD.Smurf攻击答案：D三、判断题30.与IDS相比,IPS具有深层防御的功能;(1分)答案：正确31.在利用VPN连接两个LAN时,LAN中必须使用TCP/IP协议;(1分)答案：错误32.当通过浏览器以在线方式申请数字证书时,申请证书和下载证书的计算机必须是同一台计算机;(1分)答案：正确33.防火墙一般采用“所有未被允许的就是禁止的”和“所有未被禁止的就是允许的”两个基本准则,其中前者的安全性要比后者高;(1分)答案：正确34.蠕虫既可以在互联网上传播,也可以在局域网上传播;而且由于局域网本身的特性,蠕虫在局域网上传播速度更快,危害

更大;(1分)答案：正确35.暴力破解与字典攻击属于同类网络攻击方式,其中暴力破解中所采用的字典要比字典攻击中使用的字典的范围要大;(1分)答案：正确36.要实现DDoS攻击,攻击者必须能够控制大量的计算机为其服务;(1分)答案：正确37.PKI和PMI在应用中必须进行绑定,而不能在物理上分开;(1分)答案：错误38.Feistel是密码设计的一个结构,而非一个具体的密码产品;(1分)答案：正确39.脚本文件和ActiveX控件都可以嵌入在HTML文件中执行;(1分)答案：正确40.计算机病毒只会破坏计算机的操作系统,而对其他网络设备不起作用;(1分)答案：错误41.ARP缓存只能保存主动查询获得的IP和MAC的对应关系,而不会保存以广播形式接收到的IP和MAC的对应关系;(1分)答案：错误42.当硬件配置相同时,代理防火墙对网络运行性能的影响要比包过滤防火墙小;(1分)答案：错误43.“一次一密”属于序列密码中的一种;(1分)答案：正确44.DHCP服务器只能给客户端提供IP地址和网关地址,而不能提供DNS服务器的IP地址;(1分)答案：错误45.链路加密方式适用于在广域网系统中应用;(1分)答案：错误46.在传统的包过滤、代理和状态检测3类防火墙中,只有状态检测防火墙可以在一定程度上检测并防止内部用户的恶意破坏;(1分)答案：正确47.间谍软件能够修改计算机上的配置文件;(1分)答案：错误48.由于在TCP协议的传输过程中,传输层需要将从应用层接收到的数据以字节为组成单元划分成多个字节段,然后每个

字节段单独进行路由传输,所以TCP是面向字节流的可靠的传输方式;(1分)答案：正确49.在网络身份认证中采用审计的目的是对所有用户的行为进行记录,以便于进行核查;(1分)答案：正确四、填空题50.在PKI/PMI系统中,一个合法用户只拥有一个唯一的

________

,但可能会同时拥有多个不同的________

(1分)答案：公钥证书;属性证书51.VPN系统中的身份认证技术包括

________和

________

两种类型;(1分)答案：用户身份证明;信息认证52.在网络入侵中,将自己伪装成合法用户来攻击系统的行为称为冒充；复制合法用户发出的数据,然后进行重发,以欺骗接收者的行为称为________

；中止或干扰服务器为合法用户提供服务的行为称为________

(1分)答案：重放;服务拒绝拒绝服务53.SSL是一种综合利用

________和

________技术进行安全通信的工业标准(1分)答案：对称密钥;非对称密钥54.零知识身份认证分为

________

和

________

两种类型;(1分)答案：交互式;非交