計算機系統與網路安全-簡答題復習

參考文獻

[1] 周世杰，陳偉，羅緒成，《計算機系統與網路安全技術》，高等教育出版社

第一章 資訊安全概述

（1.1資訊及資訊安全+1.2 資訊安全體系）

1. 資訊安全基本屬性

• 完整性( Integrity )：資料沒有遭受以非授權方式所作的篡改或破壞
• 可用性(Availability)：經過授權的物體在需要時可請求訪問資源或服務
• 機密性(Confidentiality) ：資訊不泄露給非授權的物體，不為其所用
• 可靠性(Reliability) ：系統在規定的條件下和規定的時間內完成指定功能的概率
• 不可抵賴性(Non-repudiation)：保證訊息的發送者和接收者無法否認自己所做過的操作或行為

2. 資訊安全體系結構

資訊安全體系(Information Security System)概念：指對資訊和資訊系統安全功能的抽象描述，它從整體上定義資訊及資訊系統所提供的安全服務、安全機制以及各種安全組件之間的關系和互動

主要包括：

安全服務：提供資料處理和資料傳輸安全性的方法

安全機制：保護資訊與資訊系統安全措施的總稱

第二章 TCP/IP協議族及其面臨的安全威脅

（2.1概述+其他）

1. 概述：

計算機網路是通信技術和計算機技術的結合體

2. 安全威脅

TCP/IP協議堆疊從底至上各層的安全威脅如下

物理層：竊聽

鏈路層：竊聽、假冒

網路層：假冒

傳輸層：UDP假冒；

TCP- SYN-Flooding，ACK Flooding， 序列號預測攻擊，Land攻擊

第三章 網路安全隔離技術

（3.3 防火墻與網路隔離）

1. 防火墻：

用一個或一組網路設備（計算機系統或路由器等），在兩個或多個網路間加強訪問控制，以保護一個網路不受來自另一個網路攻擊的安全技術

2. 包過濾路由器模型，單宿主堡壘主機模型，雙宿主堡壘主機模型、子網屏蔽防火墻模型

3. 網路隔離

物理隔離 ：指處于不同安全域的網路之間不能以直接或間接的方式相連接，

第四章 網路安全技術

（4.1網路安全模型+4.3安全保護技術VPN+4.4 安全檢測技術：入侵檢測和網路掃描）

1. 網路安全模型

PDR, PPDR, PDRR, APPDRR, PADIMEE

2. 安全保護技術

加密技術：對資訊進行重新編碼，從而隱藏資訊內容，防止秘密資料的泄漏，加密技術本質上是一種秘密變換技術，它是保障資訊安全的最基本、最核心的技術，是所有通信安全的基石，

3．什么是入侵檢測？什么是入侵檢測系統？入侵檢測使用的例外檢測和誤用檢測的區別是什么？

入侵檢測是對入侵行為的發覺，它通過從計算機網路或計算機系統的關鍵點收集資訊并進行分析，從中發現網路或系統中是否有違反安全策略的行為和被攻擊的跡象， （2‘）

進行入侵檢測的軟體與硬體的組合便是入侵檢測系統， （2‘）

例外檢測是總結正常操作應該具有的特征（用戶輪廓），當用戶活動與正常行為有重大偏離時即被認為是入侵， （1‘）

誤用檢測是指收集非正常操作的行為特征，建立相關的特征庫，當監測的用戶或系統行為與庫中的記錄相匹配時，系統就認為這種行為是入侵， （1‘）

4. 網路掃描

埠掃描的基本原理是什么？埠掃描技術可以分成哪幾類？

目的：通過對受保護網路內的主機或設備（路由器）開放的服務埠進行探測，發現可被利用的服務，

原理：向目標主機的TCP/IP埠發送探測資料包，并記錄目標主機的回應，通過分析回應來判斷埠是打開還是關閉等狀態資訊，

分類：根據所使用通信協議的不同，網路通信埠可以分為TCP埠和UDP埠兩大類，因此埠掃描技術也可以相應地分為TCP埠掃描技術和UDP埠掃描技術，

第五章 協議安全技術

（5.3認證協議+ 5.4電子商務及其安全協議SET +5.5安全協議實體：傳輸層安全協議SSL和TLS）

1. 認證協議

認證（即身份認證）是聲稱者向驗證者出示自己的身份的證明程序，認證目的是使別的成員（驗證者）獲得對聲稱者所聲稱的事實的信任，身份認證是獲得系統服務所必須的第一道關卡，常見的協議包括用戶口令認證協議（PAP）、挑戰－握手認證協議（CHAP）、Kerberos認證協議和X.509認證協議等，

2. 電子商務及其安全協議SET

3. SSL和TSL

SSL安全套接層（secure socket layer）協議

TSL傳輸層安全（transport layer security）協議

底層：TLS記錄協議，主要負責使用對稱密碼對訊息進行加密

上層：握手協議，密碼規格變更協議，警告協議和應用資料協議

握手協議負責在客戶端和服務端商定密碼演算法和共享密鑰，包括證書認證，

密碼規格變更協議主要用于通告對方啟用新的密碼引數

報警協議主要用來處理協議程序中的錯誤或向對方發送報警資訊

應用資料協議負責將TLS承載的應用資料傳達給通信物件

第六章 計算機系統物理安全技術

（物理安全）P198

物理安全是為了保證計算機系統安全可靠運行，確保計算機系統在對資訊進行采集，處理，傳輸，存盤的程序中，不致受到人為或自然因素的危害，而使資訊丟失，泄露或破壞，對計算機設備、設施、環境人員、系統等采取適當的安全措施，

傳統意義的物理安全包括設備安全，環境安全/設施安全以及介質安全，

第七章計算機系統可靠性技術

（7.3計算機系統的容災技術）

容災技術是指對可能引起生產系統服務停止的問題所采用的防范和保護技術，包括資料容災技術和應用容災技術，

資料容災技術包括資料復制技術、資料備份技術和資料管理技術等

而應用容災包括系統遷移技術、災難檢測技術和系統恢復技術等等，

第八章 作業系統安全技術

（8.3訪問控制+8.4和8.5作業系統安全）

1. 訪問控制 ppt141 P243

8.4 P253

8.5 P256

其它

1. SET協議（Secure Electronic Transaction）使用了雙重數字簽名技術，請簡述雙重數字簽名的目的和基本程序，

SET協議中，持卡人進行支付時需要對訂單資訊和支付資訊同時進行簽名，因此稱為雙重數字簽名，

雙重數字簽名允許商家驗證持卡人對訂單資訊和支付資訊的簽名，但只能看到訂單資訊，而不知道支付資訊的具體內容，這樣的目的是保護用戶的個人資訊的隱私性，（2‘）

持卡人將支付資訊摘要，訂單資訊和雙重數字簽名用數字信封加密后發送給商家，（2‘）

將訂單資訊摘要、支付資訊和雙重數字簽名用數字信封加密后經商家轉發給支付網關，商家解開信封，生成訂單的摘要后和賬號的摘要連接起來，用持卡人證書的簽名公鑰即可認證簽名（2‘）

2. 什么是例外檢測？什么是誤用檢測？那種檢測方法誤報率較低？

例外檢測是總結正常的操作應該具有的特征（用戶輪廓），當用戶活動與正常行為有重大偏離時即被認為是入侵（2‘）

誤用檢測是指收集非正常操作的行為特征，建立相關的特征庫，當監測的用戶或系統中的行為與庫中的記錄相匹配時，系統就認為這種行為是入侵，（2‘）

誤用檢測的誤報率低，（2‘）

3. 簡述TLS安全協議的概念及功能

TLS即Transport Layer Security安全傳輸層協議，在客戶端和服務器兩物體之間建立一個安全的通道，防止敵手的偵聽、篡改以及訊息偽造，TLS協議基于可靠的傳輸協議（如TCP協議），其組成主要包括TLS記錄層協議和TLS握手協議，（3‘）

TLS記錄層協議利用密鑰協商協議和對稱加密機制，可以為通信雙方提供一個安全通道，用于資料的安全性傳輸，此外，TLS記錄層協議還包括了訊息的完整性校驗功能，從而確保訊息傳輸的完整性，

TLS握手協議用于通信物體之間的相互認證和密鑰協商，

TLS協議位于OSI模型中的應用層和傳輸層之間，對于參與通信的客戶端和服務器來說，TLS協議是透明的，（3‘）

4. 什么是拒絕服務攻擊？SYN Flooding式針對TCP協議的一種拒絕服務攻擊方法，請敘述SYN Flooding攻擊的基本原理

拒絕服務攻擊指攻擊者想辦法讓目標機器停止提供服務或資源訪問，是黑客常用的攻擊手段之一，這些資源包括磁盤空間、記憶體、行程甚至網路寬帶，從而阻止正常用戶的訪問，（2）

SYN Flooding攻擊是拒絕服務攻擊的一種，根據TCP協議，在資料傳輸之前，兩個節點之間必須首先通過“三次握手”方式建立連接，服務器首先發開偵聽埠，偵聽到達的請求，當客戶端請求服務時，客戶端發起一個TCP SYN包；服務器端接收到該請求后，如果能夠回應該請求，即回復一個TCP ACK SYN包，同時分配回應的資源記錄客戶請求資訊，然后等待客戶端的ACK包，以便完成三次握手程序，(2)

在這個程序中，客戶端可以不理會服務端的TCP ACK SYN包，而是繼續發送假冒的TCP SYN包，在沒有超時之前服務器端都會分配資源保持客戶端請求的狀態資訊，服務端的資源總是有限的，如果達到足夠多的假冒TCP SYN包，就會造成服務器資源的枯竭，因而無法為新到達的合法訪問分配資源，(2)

5. 簡述包過濾技識訓本原理及其優缺點

防火墻在網路層中根據資料包的包頭資訊進行判斷，允許該包通過或者阻斷，其原理是根據資料包的源IP地址、目的IP地址、源埠號、目的埠號、包型別和資料包頭中的各種標志位等因素來確定是否允許資料包通過，其核心是安全策略即過濾規則的設計，（2‘）

包過濾技術的優點：其容易實作、費用少、對性能的影響不大和對流量的管理較出色，

包過濾技術的缺點：

1. 過濾規則表隨著應用的深化會很快變得很大且復雜，這樣不僅規則難以測驗，而且規則結構出現漏洞的可能性也會增加；
2. 包過濾技術只對資料包頭進行檢查，沒有身份驗證機制，因此不能分辨正常用戶和入侵者，
3. 包過濾技術不能進行應用層的深度檢查，因此不能發現傳輸的惡意代碼及其攻擊資料包，
4. 包過濾技術容易遭受源地址欺騙，外部攻擊者可通過將攻擊資料包源地址改為內部地址而穿透防火墻

6. 數字證書的作用是什么？X.509版本3中規定的數字證書包括了哪些內容？

數字證書的作用是系結用戶名稱和公鑰資訊，以抵抗公鑰替換攻擊， （2‘）

數字證書包括了版本號、序列號、簽名演算法、（1‘）

簽發者和主體（1‘）

有效期、主體公鑰資訊、（1’）

簽發者唯一識別符號、主體唯一識別符號、證書擴展、簽名值（1‘），

7. OSI模型與TCO/IP協議的區別與聯系

聯系：

1. OSI引入了服務、介面、協議、分層的概念，TCP/IP借鑒了OSI的這些概念建立TCP/IP模型；
2. OSI先有模型，后有協議，先有標準，后進行實踐；TCP/IP先有協議和應用，再提出了模型，并且參照了OSI的模型；
3. OSI是一種理論下的模型，而TCP/IP已被廣泛使用，成為網路互聯事實上的標準，

區別：

1. TCP/IP是一個協議簇，而OSI（開發系統互聯）是一個模型，且TCP/IP的開發時間在OSI之前；
2. TCP/IP是由一些互動性的模塊做成的分層次的協議，其中每個模塊提供特定的功能；OSI則指定了哪個功能是屬于哪一層的；
3. TCP/IP是五層結構，OSI是七層，OSI的最高三層在TCP中用應用層表示，

8. 入侵檢測系統的主要技術指標有哪些？

1. 準確性（accuracy）：指IDS從各種行為中正確地識別入侵的能力，當一個IDS的檢測不準確時，就有可能把系統中的合法活動當作入侵行為并標識為例外（虛警現象）；
2. 處理性能（performance）：指一個IDS處理資料源資料的速度，當IDS的處理性能較差時，它就不可能實作實時的IDS，并有可能成為整個系統的瓶頸，進而嚴重影響整個系統的性能，
3. 完備性（completeness）：指IDS能夠檢測出所有攻擊行為的能力，如果存在一個攻擊行為，無法被IDS檢測出來，那么該IDS就不具有檢測完備性，即把對系統的入侵活動當作正常行為（漏報現象），由于在一般情況下，攻擊型別、攻擊手段的變化很快，我們很難得到關于攻擊行為的所有知識，所以關于IDS的檢測完備性的評估相對困難，
4. 容錯性（fault tolerance）：由于IDS是檢測入侵的重要手段，所以它成為了很多入侵者攻擊的首選目標，IDS自身必須能夠抵御對它自身的攻擊，特別是拒絕服務攻擊，
5. 及時性：及時性要求IDS必須盡快地分析資料并把分析結構傳播出去，以使系統安全管理者能夠在入侵攻擊尚未造成更大危害以前做出反應，阻止入侵者進一步的破壞活動，

9. X.509證書包含的主要內容有哪些

數字證書的作用是系結用戶名稱和公鑰資訊，以抵抗公鑰替換攻擊，

數字證書包括了版本號、序列號、簽名演算法、

簽發者和主體、

有效期、主體公鑰資訊、

簽發者唯一識別符號、主體唯一識別符號、證書擴展、簽名值

10. 列舉計算機系統的容錯技術，并分別簡要說明每種技術

容錯技術是指在一定程度上容忍故障的技術，主要靠冗余設計來實作，以增加資源的辦法換取可靠性，由于資源不同，冗余技術主要分為以下四種：

1. 硬體冗余：通過硬體的重復使用來獲得容錯能力；
2. 軟體冗余：用多個不同軟體執行同一功能，用軟體設計差異實作容錯；
3. 資訊冗余：利用在資料中外加的一部分資訊位來檢測或糾正資訊在運算或傳輸中的錯誤而達到容錯，常用的可靠性編碼包括：奇偶校驗碼、回圈冗余碼CRC、漢明碼等；
4. 時間冗余：通過消耗時間資源來實作容錯，基本思想是重復運算以檢測故障，按照重復運算是在指令級還是程式級分為指令復執和程式復算，指令復執是指當指令執行的結果被送到目的地址中時如果有錯誤恢復請求信號，則重新執行該指令，程式復算常用程式回滾技術

11. 描述windows系統用戶登錄程序

在這一程序中，Windows子系統會啟動winlogon.exe，這是一系統服務，用于提供對Windows用戶的登錄注銷的支持，Winlogon.exe可以完成如下一些作業：

1、啟動服務子系統(services.exe)，也稱服務控制管理器(ServiceControlManager,SCM)

2、啟動本地安全授權（LocalSecurityAuthority，LSA）程序(Isass.exe)

3、在開始登錄提示的時候，對C+Alt+De丨組合鍵進行分析處理，

4、一個圖形化的識別和認證組件收集用戶的帳號和密碼，然后將這些資訊安全地傳送給LSA以進行認證處理，如果用戶提供的資訊是正確的，能夠通過認證，就允許用戶對系統進行訪問，

· 要注意的是，如果您的計算機中，只有Administrator這一個用戶，那么在歡迎螢屏中就會顯示Administrator用戶項，如果您的計算機中不僅有Administrator用戶，還有別的可以互動登錄的用戶，那么歡迎螢屏中就只顯示出Administrator之外的用戶，而不顯示

Administrator用戶，

※直接在歡迎螢屏中按下兩次Crt丨+Alt+De|組合鍵，即可打開標準的登錄視窗，可以再輸入Administrator之外的用戶名和密碼，以便用最高管理員的身份登錄，'

12. 鏈路加密與端到端加密的區別是什么？

（l)在端系統和中間系統中的安全性：鏈路加密中，訊息在發送主機時為明文，訊息在中間節點為明文，端到端加密時，訊息在發送主機和中間節點都為密文，

（2）用戶的作用：

[1]鏈路加密是由發送主機應用，而端到端加密是由發送行程應用；

[2]鏈路加密是對用戶透明的，而端到端加密是應用用戶加密，

[3]鏈路力日密是由主機維護加密設施，而端到端加密是由用戶決定演算法；

[4]鏈路加密中所有用戶用一個設施，而在端到端加密中由用戶選擇加密方案；

[5]鏈路加密可以由硬體完成，而端到端加密是由軟體實作，

[6]鏈路力日密中所有或沒有報文被加密，而端到端加密中對每個報文有用戶決定是否加密，

（3）實作上的考慮．

[1]鏈路加密中每對主機和中間結點、每個中間結點和中間結點之間都需要密鑰，而端到端加密每個用戶對需要一個密鑰；

[2]鏈路加密提供主機認證，而端到端加密提供用戶認證

13. 公鑰密碼體制的主要成分是什么？公鑰密碼體制的三種應用是什么？

明文：演算法的輸入，它們可以是可讀資訊與各種交換，

加密演算法：加密演算法對明文進行的各種變換，

公鑰與私鑰：這對密鑰中一個用于加密，一個用于解密，

密文：演算法輸出，以對給定的明文與密鑰，產生的密文，

解密演算法：該演算法接收密文與密鑰，產生原始的明文，

公鑰密碼體制的三種應用：加密與解密，數字簽名，密鑰交換，

公鑰和私鑰的作用是什么？

公鑰與私鑰都可以用來加密與解密，公鑰加密，私鑰解密的系統就是加密系統，私鑰加密，公鑰解密，就是認證系統，