第一篇：信息安全概论考试总结
信息安全概论知识点
一．名词解释
1.信息安全：信息安全是指信息网络的硬件，软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏，更改，泄露，系统连续可靠地运行，信息服务不中断。
2.安全漏洞：指计算机系统具有的某种可能被入侵者恶意利用的属性，在计算机安全领域，安全漏洞通常又称作脆弱性。
3.缓冲区溢出：是一种非常普遍，非常危险的漏洞，在各种操作系统，应用软件中广泛存在。利用缓冲区溢出攻击，可以导致系统运行失败，系统死机，重新启动等后果。
4.网络后门：是指那些绕过安全性控制而获取对程序或系统访问权的程序方法。
5.计算机病毒：是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。
6.恶意软件：俗称流氓软件，是对破坏系统正常运行的软件的总称。恶意软件介于病毒软件和正规软件之间，同时具备正常功能（下载，媒体播放等）和恶意行为（弹广告，开后门），给用户带来实质危害。7.防火墙：位于可行网络与不可信网络之间并对二者之间流动的数据包进行检查的一台，多台计算机或路由器。
8.入侵检测：是从计算机网络或计算机系统中的若干关键点搜集信息并对其进行分析，从中发现网络或者系统中是否有违反安全策略的行为和遭遇袭击的迹象的一种机制。
9.异常检测技术：也称基于行为的检测，是指根据使用者的行为或资源使用情况来判断是否发生入侵，而不依赖于具体行为是否出现来检测。
10.误用检测技术：也称基于知识的检测，它是指运用已知攻击方法，根据已定义好的入侵模式，通过判断这些入侵模式是否出现来检测。11.VPN:是一种能够将物理上分布在不同地点的网络通过公用骨干网，尤其是Internet连接而成的逻辑上的虚拟子网。
12.对称加密算法：是用加密数据使用的密钥可以计算出用于解密数据的密钥。
13.非对称加密算法：是指用于加密的密钥和用于解密的密钥是不同的，而且从加密的密钥无法推导出解密的密钥。
14.散列函数：也称为Hash函数，杂凑函数，哈希函数，哈希算法，散列算法或消息摘要算法。它通过把单项数学函数应用于数据，将任意长度的一块数据转化成一定长的，不可逆转的数据。
15.蜜罐：是当前最流行的一种陷阱及伪装手段。主要用于监视并探测潜在的攻击行为。
二．简答：
1.网络监听的工作原理
当一个局域网采用共享Hub时，当用户发送一个报文时，这些报文会被发送到LAN上所有在线的机器。一般情况下，网络上所有的机器都可以“听”到通过的流量，但对不属于自己的报文则不予响应，即主机A不会捕获发向主机B的数据，而会简单地忽略这些数据。但是如果局域网中的某台计算机的网络接口处于混杂模式，那么它就可以捕获到网络上所有的报文和帧。如果一台计算机的网卡被设置成这种模式，那么它就是一个监听器或嗅探器。
2.网络监听的防护和检测的主要方法
（1）网络分段
（2）加密会话（3）使用检测工具
（4）观察异常情况 3.缓冲区溢出的原理
主要是通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其他命令，以达到攻击的目的。4.Dos攻击方式
（1）SYN Flood工作原理：该攻击以多个随机的源主机地址向目的主机发送SYN包，而在收到目的主机的SYN ACK后并不回应，这样，目的主机就为这些源主机建立了大量的连接队列，而且由于没有收到ACK 一直维护着队列，造成了资源大量而不能向正常请求提供服务。（2）Smurf工作原理：该攻击向一个子网的广播地址发一个带有特定请求的包，并且将源地址伪装成想要攻击的主机地址。自网上所有主机都回应广播包请求而向被攻击主机发包，使该主机受到攻击。5.计算机病毒的特征（1）传染性：基本特征
（2）隐蔽性
（3）潜伏性
（4）破坏性 6.普通病毒和蠕虫病毒的区别
普通病毒
蠕虫病毒 存在形式：
寄存文件
独立程序 传染机制：
寄主程序运行
主动攻击 传染目标：
本地文件
网络计算机 7.木马病毒的传播方式
通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界透漏用户的信息。
8.物理层常用的防护手段
（1）物理位置选择（2）物理访问控制（3）防盗窃和防破坏（4）防雷击（5）防火（6）防水和防潮（7）防静电（8）温湿度控制（9）电力供应（10）电磁防护要求 9.防火墙的发展历史及局限性
发展历史：第一代：1984年
采用的技术：包过滤
第二代：1989年
采用的技术：代理服务
第三代：1992年
采用的技术：动态包过滤（状态监控）
第四代：1998年
采用的技术：自适应代理服务 局限性：（1）不能防止不经过它的攻击，不能防止授权访问的攻击。
（2）只能对配置的规则有效，不能防止没有配置的访问。
（3）不能防止通过社交工程手段的攻击和一个合法用户的攻击行为。
（4）不能针对一个设计上有问题的系统攻击。10.异常检测技术的原理及前提
原理：该技术首先假设网络攻击行为是不常见的，区别于所有正常行为。如果能够为用户和系统的所有正常行为总结活动规律并建立行为模型，那么入侵检测系统可以将当前捕获到的网络行为与行为模型相比，若入侵行为偏离了正常的行为轨迹，就可以被检测出来。前提条件：入侵活动是异常活动的一个子集，理想的情况是：一场活动集与入侵活动集相等。11.无用检测技术的原理及前提
原理：首先要定义违背安全策略事件的特征，判别所搜集到的数据特征是否在所搜集到的入侵模式库中出现。
前提：假设所有的网络攻击行为和方法都具有一定的模式或特征。12.VPN的作用
它提供了通过公用网络安全地对企业内部网络进行远程访问的连接方式。
账号保护的主要方法及手段
（1）保护guest账户（2）限制用户数量（3）管理员账户改名（4）建陷阱账户 13.对称加密算法优缺点 优点：加密速度快,保密度高。
缺点：分发的困难问题几乎无法解决。密钥是保密通信的关键，发信方必须安全、妥善的把密钥送到收信方，不能泄露其内容，密钥的传输必须安全，如何才能把密钥安全送到收信方是对称加密体制的突出问题。
14.非对称加密算法的优缺点 优点：
（1）公钥加密技术与对称加密技术相比，其优势在于不需要共享通用的密钥。
（2）公钥在传递和发布过程中即使被截获，由于没有与公钥相匹配的私钥，截获的公钥对入侵者没有太大意义。
（3）密钥少便于管理，N个用户通信只需要N对密钥，网络中每个用户只需要保存自己的解密密钥。
（4）密钥分配简单，加密密钥分发给用户，而解密密钥由用户自己保留。
缺点：加密算法复杂，加密和解密的速度比较慢。15.硬盘丢失数据的注意事项
（1）在硬盘数据出现丢失后，请立即换机，不要在对硬盘进行任何写操作，那样会增大修复的难度，也会影响到修复的成功率。（2）每一步操作都应该是可逆的或者对故障硬盘是只读的。16.使用Easy Recovery软件的注意事项
（1）最好在重新安装计算机操作系统完后，就把Easy Recovery软件安装上，这样一旦计算机有文件丢失现象就可以使用Easy Recovery软件进行恢复了。
（2）不能在文件丢失以后再安装Easy Recovery文件恢复软件，因为这样的话Easy Recovery软件极有可能将要恢复的文件覆盖了，万一在没有安装Easy Recovery软件的情况下文件丢失，这时最好不要给计算机里再复制文件。可以将计算机硬盘拔下来，放到其他已经安装有Easy Recovery软件的计算机上进行恢复，或找专业的安全人员来处理。
三． 问答题：
1.信息安全体系结构
应用安全：（1）数据库加固（2）安全监控
（3）电子文档
（4）安全身份认证统一授权
系统安全：（1）容灾备份
（2）系统加固
（3）HIDS NIDS（4）漏洞扫描 系统防毒
网络安全：（1）VLAN划分
（2）外网的入网访问控制
（3）网络安全边界防火墙
（4）VPN，传输安全
（5）网络防毒
物理安全：（1）环境安全：防火，防水，磁泄露，防震
（2）设备安全：防盗，物理隔离系统的设置，双网隔离设备
（3）介质安全：防盗防电 2.SQL Server 注入攻击的原理
攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。3.黑客攻击步骤
（1）踩点
（2）扫描
（3）入侵
（4）获取权限
（5）提升权限（6）清除日志 4.常见的攻击手段
（1）密码破解攻击 ：字典攻击
混合攻击
暴力攻击
专业工具（2）缓冲区溢出攻击
（3）欺骗攻击：源IP地址欺骗攻击
源路由欺骗攻击（4）DOS/DDOS攻击：DOS攻击
DDOS攻击（5）SQL注入攻击（6）网络蠕虫（7）社会工程学 5.常见的防范手段：
（1）抛弃基于地址的信任策略（2）使用加码方法（3）进行包过滤（4）防火墙技术
（5）确定所有服务器采用最新系统，并打上安全补丁。6.防火墙的体系结构（1）双重宿主主机体系结构
原理：双重宿主主机体质围绕双重宿主主机构建。双重宿主主机至少有两个网络接口，这样的知己可以充当外部网络和内部网络之间的路由器，所以它能够使内部网络和外部网络的数据包直接路由通过。然而双重宿主主机的防火墙体系结构不允许这样直接地通过。因此IP数据包并不是从一个网络直接发送到另一个网络。外部网络能与双重宿主主机通信，内部网络也能与双重宿主主机通信，但是外部网络与内部网络不能直接通信，他们之间的通信必须经过过滤和控制，一般在双重宿主主机上安装代理服务器软件，可以为不同的服务提供转发，并同时根据策略进行过滤和控制。双重宿主主机体系结构连接内部网络和外部网络，相当于内部外部网络的跳板，能够提供级别比较高的控制，可以完全禁止内部网络对外部网络的访问。（2）被屏蔽主机体系结构
原理：被屏蔽主机体系结构防火墙使用一个路由器把内部网络和外部网络隔开，在这种体系结构中，主要的安全防护功能由数据包过滤提供。
（3）被屏蔽子网体系结构
原理：被屏蔽子网体系结构将额外的安全层添加到被屏蔽主机体系结构，即通过添加周边网络更进一步把内部网络和外部网络隔离开。被屏蔽子网体系结构的最简单形式是两个屏蔽路由器，每一个都连接到周边网络。一个位于周边网络与内部网络之间，另一个位于周边网络与外部网络之间。
第二篇：信息安全概论
第一章
1、信息安全的基本属性：（1）可用性（2）机密性（3）非否认性（4）可控性（5）真实性（6）完整性
2、信息安全技术是指保障信息安全的技术，具体来说，它包括对信息的伪装、验证及对信息系统的保护等方面。
3、信息安全划分四个阶段：（1）通信安全发展时期（2）计算机安全发展时期（3）信息安全发展时期（4）信息安全保障发展时期。
4、信息安全威胁有：（1）信息泄露（2）篡改（3）重写（4）假冒（5）否认（6）非授权使用（7）网络与系统攻击（8）恶意代码（9）灾害、故障与人为破坏。
第二章
1、密码技术提供：完整性、真实性、非否认性等属性。
2、密码学分为：密码编码学和密码分析学。
3、按密钥使用方法的不同，密码系统主要分为对称密码、公钥密码。
4、密码分析也可称为密码攻击。
5、密码分析分为4类：（1）唯密文攻击（2）已知明文攻击（3）选择明文攻击（4）选择密文攻击。第三章
1、系统实体标识：（1）系统资源标识（2）用户、组和角色标识（3）与数字证书相关的标识。
2、威胁与对策：（1）外部泄密（2）口令猜测（3）线路窃听（4）重放攻击（5）对验证方的攻击。
3、PKI：公开密钥基础设施。（PKI中最基本的元素就是数字证书）
4、PKI的组成：（1）认证和注册机构（2）证书管理（3）密钥管理（4）非否认服务（5）系统间的认证（6）客户端软件。
5、PKI支撑的主要安全功能：基于PKI提供的公钥证书和私钥，用户之间可以进行相互的实体认证，也可以进行数据起源的认证。
6、公钥认证的一般过程是怎样的？ 公钥来加密，只有拥有密钥的人才能解密。通过公钥加密过的密文使用密钥可以轻松解密，但通过公钥来猜测密钥却十分困难。
7、简述PKI的构成和基本工作原理。PKI的构成：（1）认证和注册机构（2）证书管理（3）密钥管理（4）非否认服务（5）系统间的认证（6）客户端软件 基本原理：PKI就是一种基础设施，其目标就是要充分利用公钥密码学的理论基础，建立起一种普遍适用的基础设施，为各种网络应用提供全面的安全服务 第四章
1、访问控制策略：自主访问控制策略（DAC）、强制访问控制策略（MAC）、基于角色访问控制策略（RBAC）。
（HRU模型 Bell-Lapadula模型 BIBA模型 Dion模型。）
2、PMI技术：授权管理基础设施。
3、PMI基本属性要素：属性证书、属性权威机构及PMI模型。第五章
1、信息隐藏主要包括数字水印技术和隐写技术。
2、鲁棒水印：是一种主要面向数字内容版权保护的信息隐藏技术，他通过原
内容的感知冗余中隐藏地嵌入包含版权信息的数据。
3、脆弱水印技术将防伪信息隐藏在数字内容中，目的是以后通过检查发现篡改，由于防伪信息和被保护数据融合，方便地支持了电子图文的流动。（脆弱水印是一种保护数据完整性和真实性的技术）第六章
1、网络与系统攻击手段主要包括网络与系统调查、口令攻击、拒绝服务攻击、缓冲区溢出攻击等。
2、口令攻击的破解方法：（1）词典生成（2）口令截收和欺骗（3）非技术手段。
3、拒绝服务攻击的主要类型和基本原理是什么？ 主要类型：（1）利用系统漏洞（2）利用网络协议（3）利用合理服务请求（4）分布式拒绝服务攻击。基本原理：攻击者通过发送大量的服务或操作请求，致使服务程序出现难以正常运行的情况。第七章
1、防火墙的基本类型：（1）包过滤防火墙（2）代理网关（3）包检查型防火墙（4）混合型防火墙。
2、入侵检测系统需要解决三个方面的问题：（1）需要充分并可靠地采集网络和系统中数据，提取描述网络和系统行为的特征；（2）必须根据以上数据和特征，高效并准确地判断网络和系统行为的性质；（3）需要对网络和系统入侵提供响应手段。
3、IDS数据源主要可分为两类：（1）基于主机的IDS（2）基于网络的IDS。
4、“蜜罐”技术是指一类对攻击、攻击者信息的收集技术。
5、“蜜罐”主要采用的技术：（1）伪装和引入（2）信息的控制（3）数据捕获和分析。
6、信息安全应急响应一般分为前期响应、中期响应、后期响应三个阶段。
7、IDS主要的分析检查方法：误用检测、异常检测、其他检测。8防火墙的原理是什么？
（监视 拒绝 隔离 可疑文件。）第八章
1、日志和审计是两个紧密相关的概念。
2、审计事件通常包括系统事件、登录事件、资源访问、操作、特权使用、账号管理和策略更改等类别。
3、事件分析与追踪：（1）检查进程（2）检查通信连接（3）检查登录用户（4）分析日志（5）文件系统分析（6）地址追踪（7）假冒地址追踪。
4、电子证据：利用计算机和其他数字工具进行犯罪的一些证据以电子信息的形式存储在计算机存储系统或网络中。
5、数字取证：利用计算机和其他数字工具进行犯罪的一些证据以电子信息的形式存储在计算机存储系统或网络中，它们就是电子证据。第九章
1、操作系统安全技术主要包括：（1）内存分离和进程分离（2）账户系统与特权管理（3）访问控制（4）文件保护（5）内核安全技术（6）安全审计（7）形式化验证。
2、典型数据库特色的安全需求：（1）
数据完整性（2）操作可靠性（3）存储
可靠性（4）敏感数据保护。
3、可信计算的基本思想是：如果可以从计算平台的源头实施可靠的防范，这些不安全因素可以被有效控制。
4、TCPA 可信计算平台联盟TPM 可信平台模块。第十章
1、OSI（国际标准化组织）安全体系结构：1-4层的安全服务以“底层网络安全协议”的方式提供，包括传输层安全协议（TLSP）和网络层安全协议（NLSP）；5-7层的安全服务以“安全组件”的方式提供，包括系统安全组件和安全通信组件。
2、IPSex协议：应用于网络层。
3、SET（电子商务协议）标准：主要目的是保护互联网上信用卡交易安全。第十一章
1、常见的恶意代码：计算机病毒、蠕虫和特洛伊木马。
2、计算机病毒：是一类具有传染、隐蔽、破坏等能力的恶意代码。（CIH病毒、蠕虫、特洛伊木马）
3、恶意代码检测方法主要有：（1）
特征代码法（2）校验和法、行为监测法（3）软件模拟法（4）比较法（5）感染实验法 第十二章
1、内容安全技术主要用于不良内容传播控制、数字版权侵权控制、敏感内容泄露及其控制等方面。
2、内容安全技术分为被动内容安全技术和主动内容安全技术，被动内容安全技术不事先预处理被监管的内容，主动内容安全技术对被监管的内容进行预处理。第十三章1、1999年，我国颁布了国家标准《计算机信息系统安全保护等级划分准则》 2、2001年5月，成立了“中国信息安全产品测评认证中心”。
3、2001年，我国根据CC颁布了国家标准《信息技术 安全技术 信息技术安全性评估准则》
4、2007年，我国成立了“中国信息安全认证中心”。
5、设计人员或分析人员已经可以采用安全模型、协议形式化分析和可证明安全性方法等手段对安全策略、安全协议或密码算法进行验证。第十四章
1、安全策略主要应明确以下问题：（1）安全目标（2）访问主体（3）访问客体（4）访问方式。
2、在进行风险评估前，一般需要先分析信息系统的威胁、脆弱性和可能的攻击。
第三篇：信息安全概论课程学习总结
信息安全概论课程学习总结
本学期经过一学期的对于信息安全概论课程的学习，对于信息安全所涉及的领域、信息安全科目所包含的知识以及信息安全专业学习所需要的相关知识储备和相关发展方向有了简单程度上的相应了解。于此，对于本学期所学信息安全概论的课程进行梳理与详述。
本学期信息安全概论课程内容大致可分为这几部分：信息安全概述、数字水印、僵尸网络、电子商务中的安全技术、操作系统基础知识、网络安全导论、密码学概论以及身份认证技术概述。
一、信息安全概述
信息安全之目的在于将信息系统之脆弱性降到最低，即将信息系统的任何弱点减小至最少。信息安全的属性为：机密性、完整性、可用性、不可否认性以及可控性。
1.机密性，是指保护数据不受非法截获和未经授权浏览。此之于敏感数据之传输甚为紧要，对于通信网络中处理用户的私人信息是十分必须且关键的。
2.完整性，是指保障数据在被传输、接受或者存储时的完整以及未发生篡改。此之于保证重要数据之精确性是必不可少的。
3.可用性，是指当发生突发事件时，用户依然可以得到并使用数据且服务处于正常运转状态，例如发生供电中断以及相应地自然灾害与事故使。
4.不可否认性，是指行为人不能否认其信息之行为。此之于可用于防止参与某次通信交换的一方在事后否认本次交换曾经发生过的情况。
5.可控性，是指对于信息即信息系统实施安全监控。此之于可用于确保管理机制对信息之传播及内容具有控制能力。
信息安全的研究内容包括：安全检测与风险评估、网络信任体系、可信计算、访问控制、身份认证、密码技术、内容安全、安全协议、恶意行为及恶意代码检测、信息隐藏、网络监控、入侵检测、防火墙、无线通信安全、嵌入式安全、云安全以及量子密码等。
与信息安全相关的法规在世界各国也都有了长足的发展。
美国于1998年5月22日总统令《保护美国关键基础设施》，就围绕“信息保障”成立了多个组织，包括：全国信息保障委员会、全国信息保障同盟、关键基础设施保障办公室、首席信息官委员会、联邦计算机事件响应行动组等十多个全国性机构。1998年美国国家安全局制定了《信息保障技术框架》，确定了包括网络与基础设施防御、区域边界防御、计算环境防御和支撑性基础设施的“深度防御策略”。而后，于2000年1月，发布《保卫美国计算机空间—保护信息系统的国家计划》。分析了美国关键基础设施所面临的威胁，制定出联邦政府关键基础设施保护计划，以及关键基础设施保障框架。
与此同时，俄罗斯于1995年颁布《联邦信息、信息化和信息保护法》，明确界定了信息资源开放和保密的范畴，提出了保护信息的法律责任。又于1997年出台《俄罗斯国家安全构想》。明确提出“保障国家安全应把保障经济安全放在第一位”，而“信息安全又是经济安全的重中之重。而后的2000年普京总统批准了《国家信息安全学说》，明确了联邦信息安全建设的任务、原则和主要内容。第一次明确了俄罗斯在信息领域的利益是什么，受到的威胁是什么，以及为确保信息安全首先要采取的措施等。
日本也紧跟步伐，出台《21世纪信息通信构想》和《信息通信产业技术战略》，强调“信息安全保障是日本综合安全保障体系的核心”。加紧建立与信安全相关的政策和法律法规，发布了《信息通信网络安全可靠性基准》和《IT安全政策指南》。成立了信息安全措施促进办公室，综合安全保障阁僚会议、IT安全专家委员会和内阁办公室下的IT安全分局。
在我国现已颁布《中华人民共和国计算机安全保护条例》、《中华人民共和国商用密码管理条例》、《计算机信息网络国际联网管理暂行办法》、《计算机信息网络安全保护管理办法》、《计算机信息系统安全等级划分标准》以及在《刑法》的修订过程中增加了有关于计算机犯罪的条款。我国的信息安全法律法规发展现在已经颇具规模。
二、数字水印
数字水印，是指将一些标识信息直接嵌入数字载体当中或是间接表示且不影响原载体的使用价值，也不容易被探知和再次修改,仍能被生产方识别和辨认的技术。数字水印技术是对抗盗版等不法行为的一种行之有效的防伪方式。
三、僵尸网络
僵尸网络，是指通过各种手段在大量计算机中植入特定的恶意程序，使控制者能够通过相对集中的若干计算机直接向大量计算机发送指令的攻击网络。被植入恶意程序的计算机就如同僵尸一般受控于攻击者，进而从事攻击破坏活动。
构成僵尸网络的组成为：僵尸主控机、“僵尸”：被入侵的计算机、指挥和控制协定。
现如今僵尸网络已成为会联网的主要威胁，因为大量的计算机被控制，展开猛烈的攻击、破坏、收集敏感数据和增加更多的被控制的计算机，网络允许受控计算机的运行。其攻击的方式为：DDoS 攻击、垃圾邮件、Clickfruad、恶意传播、非法入侵、Manipulating online polls。僵尸网络的主要目的还是金钱的驱使。
四、电子商务中的安全技术 1.应用背景
2.加密技术 3.在线支付协议
五、操作系统基础知识 第一部分，OS有关概念。1.计算机硬件组成。2.OS的目标及功能。
3.操作系统的发展。按计算机换代李成划分：
第一代(1945至1955)——电子真空管和插件板，机器语言、没有OS、体积大速度慢。
第二代（1955至1965）——晶体管和批处理，有Fortran和汇编、按批处理作业,有了监控程序。
第三代（1965至1980）——集成电路和多道程序,多道程序、联机即时外设操作,操作系统走向成熟。第四代（1980至1990）——个人机时代，大规模集成电路，有了成熟的操作系统产品MS-dos、Windows、UNIX。后第四代（90年以后）——网络OS、分布式OS。
第二部分，OS研究的主要成就。1.创建了并行调度概念。2.形成了储存器管理理论。3.建立信息保护和信息安全机制。4.实现资源调度和资源管理。5.提出了OS构建理论。第三部分，典型OS分类介绍。1.批处理操作系统。2.分时操作系统。3.实时操作系统。4.多处理操作系统。5.网络操作系统。6.布式操作系统。7.个人计算机操作系统。第四部分，OS核心技术简述。1.并发性问题。2.存储管理技术。3.文件管理技术。4.I/O管理技术。5.系统安全与防范技术。第五部分，OS技术面临的挑战。
六、网络安全导论
网络安全，是指网络系统的硬件、软件及其中数据受到保护，不受偶然的或者恶意的破坏、更改、泄露，保证系统连续可靠地运行，网络服务不中断的措施。
1.攻击、服务和机制。2.网络安全模型。3.加密。
4.身份验证和数字签名。5.IPSec、S/MIME和SSL。6.防火墙、IDS和蜜罐技术。
七、密码学概论 密码技术的发展历史：
第一阶段（1949年前），古典密码学发展阶段。此阶段的发展情况为，采用隐写术，暗语、隐语、藏头诗等，而采用的变换方式为手工或者机械变换的方式来实现。具有代表性的密码有：单表代换密码：Capesar密码、仿射密码；多表代换密码：Vigenere密码、Hill密码等；转轮密码：Enigma、Red密码等。
第二阶段（1949年至1976年），近代密码学阶段。
1949年，Shannon发表了《保密系统的通信理论》，用信息论的观点分析了密码学的基本原理，奠定了密码学的理论基础。而后，1967年David Kahn出版了《破译者》一书，促进了密码学的理论发展。
第三阶段（1976年至今），现代密码学阶段。
1976年，Diffie、Hellman发表《密码学新方向》，开辟了公钥密码学的新领域。同年，美国建立DES为联邦标准。现代密码学的主要发展方向为：混沌密码学、量子密码学、椭圆曲线密码学。
八、身份认证技术概述
1.身份认证，是指计算机及网络系统确认操作者身份的过程，其目的是使通信双方建立信任关系。在信息安全理论体系中，加密和认证是两个最重要的分支。2.身份认证的发展历史：
第一阶段，最早的身份认证技术往往是以对罪犯的身份认证联系在一起的，由于古代技术的落后，身份认证主要借助于一些附加于人体的特征来进行身份认证。第二阶段，根据人体骨骼长度进行身份识别。
第三阶段，指纹身份识别。随着计算机技术的发展，目前指纹技术已经成为一种成熟易用的技术，其应用领域已相当广泛。
3.古代身份认证的方法：根据你所知道的信息来证明身份；根据你所拥有的东西来证明身份；根据你独一无二的身体特征来证明身份。然而这三种方法都存在一定缺陷，也许你知道的信息别人也知道，也学你所拥有的东西别人也拥有或者你的东西已丢失，对于特定身体特征的证明也存在一定的不便。
4.数字身份认证技术：用户名/密码认证方式；数字证书；智能卡；生物特征认证；零知识身份认证。以上对本学期所学相关知识根据感兴趣情况进行了各有详略的概述，现在对本人较为感兴趣的单个方面进行较为具体的论述。由于本人经常网购，所以对于电子商务方面的安全问题较为感兴趣，对于课程所涉及的相关问题及知识进行一下较为详尽的论述。
电子商务是指凭借电子手段而进行的商业活动。当前电子商务面临的主要问题为：付款、认证问题；商品投送保证问题；标准问题；税收问题；安全与法律问题。电子商务安全机制具有保密性、完整性、可靠性和不可否认性。保密性是指必须实现该信息对除特定收信人以外的任何人都是不可读取的。这样一来加密就显得尤为重要，加密是指通过密码算术对数据进行转化，使之成为没有正确密钥任何人都无法读懂的报文，而这些以无法读懂的形式出现的数据一般被称为密文。按照国际上通行的惯例，将这些方法按照双方收发的密钥是否相同的标准划分为两大类：第一，常规算法。加密密钥和解密密钥是相同或等价的。第二，公钥加密算法。可以适应网络的开放性要求，且密钥管理问题也较为简单，尤其可方便的实现数字签名和验证，但算法复杂，加密数据的速率较低。
现在进行进一步的论述。对称加密算法有很强的保密强度，且经受住时间的检验和攻击，但其密钥必须通过安全的途径传送。因此，其密钥管理成为系统安全的重要因素。著名的对称加密算法有：美国的DES及其各种变形、欧洲的IDEA、日本的FEALN、LOKI 91、Skipjack、RC4、RC5以及以代换密码和转轮密码为代表的古典密码等，其中影响最大的DES与AES。公钥密码可以适应网络的开放性要求，且密钥管理问题也较为简单，尤其可方便的实现数字签名和验证，但算法复杂，加密数据的速率较低。DES是IBM公司1977年为美国政府研制的一种算法，以56位密钥为基础的密码块加密。它的加密过程为：一次性把64位明文块打乱置换；把64位明文块拆成两个32位块；用加密DES密钥把每个32位块打乱位置16次；使用初始置换的逆置换。但是DES的安全性受到了很大的挑战，1999年1月，EFF和分散网络用不到一天的时间，破译了56位的DES加密信息，DES的统治地位受到了严重的影响。目前椭圆曲线加密技术（EEC）正在兴起，该技术具有安全性能高、计算量小处理速度快、储存空间占用小以及带宽要求低的特点，正在逐步受到人们的青睐。ECC的这些特点使它必将取代RSA，成为通用的公钥加密算法。所有这些算法的安全性都基于密钥的安全性；而不是基于算法的细节的安全性。
在在线电子商务中协议十分重要，在线支付协议有SSL协议、SET协议。SSL是Netscape公司在网络传输层之上提供的一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术。SSL目前已成为Internet上保密通信的工业标准。现行Web浏览器普遍将HTTP和SSL相结合，来实现安全通信。SSL采用公开密钥技术，其目标是保证两个应用间通信的保密性和可靠性，可在服务器和客户机两端同时实现支持。它能使客户/服务器应用之间的通信不被攻击者窃听，并且始终对服务器进行认证，还可选择对客户进行认证。SSL是对计算机之间整个会话进行加密的协议，采用了公开密钥和私有密钥两种加密方法。SSL在两个结点间建立安全的TCP连接，基于进程对进程的安全服务和加密传输信道，通过数字签名和数字证书可实现浏览器和Web服务器双方的身份验证，安全强度高。其主要工作流程为：网络连接建立；与该连接相关的加密方式和压缩方式选择；双方的身份识别；本次传输密钥的确定；加密的数据传输；网络连接的关闭。应用数据的传输过程：应用程序把应用数据提交给本地的SSL；发送端根据需要，使用指定的压缩算法，压缩应用数据；发送端使用散列算法对压缩后的数据进行散列，得到数据的散列值；发送端把散列值和压缩后的应用数据一起用加密算法加密；密文通过网络传给对方；接收方用相同的加密算法对密文解密，得到明文；接收方用相同的散列算法对明文中的应用数据散列；计算得到的散列值与明文中的散列值比较。SSL是一个面向连接的协议，只能提供交易中客户与服务器间的双方认证，在涉及多方的电子交易中，SSL协议并不能协调各方间的安全传输和信任关系。SSL在用数字证书对双方的身份验证后，双方就可以用保密密钥进行安全的会话了。
SET是由VISA和MASTCARD于1997年5月联合开发的，为了在Internet上进行在线交易时保证用卡支付的安全而设立的一个开放的规范。由于得到了IBM、HP、Microsoft、NetScape、VeriFone、GTE、VeriSign等很多大公司的支持，它已形成了事实上的工业标准，目前它已获得IETF标准的认可。SET主要是为了解决用户、商家和银行之间通过信用卡支付的交易而设计的，以保证支付信息的机密、支付过程的完整、商户及持卡人的合法身份、以及可操作性。其核心技术主要有公开密匙加密、电子数字签名、电子信封、电子安全证书等。SET协议比SSL协议复杂，它不仅加密两个端点间的单个会话，它还可以加密和认定三方间的多个信息。SET协议可通过双重签名的方法将信用卡信息直接从客户方透过商家发送到商家的开户行，而不容许商家访问客户的帐号信息，这样客户在消费时可以确信其信用卡号没有在传输过程中被窥探，而接收SET交易的商家因为没有访问信用卡信息，故免去了在其数据库中保存信用卡号的责任。
基于SET的电子交易流程为：持卡人使用浏览器在商家的WEB主页上查看在线商品目录浏览商品；持卡人选择要购买的商品；持卡人填写定单，包括：项目列表、价格、总价、运费、搬运费、税费。定单可通过电子化方式从商家传过来，或由持卡人的电子购物软件建立。有些在线商场可以让持卡人与商家协商物品的价格；持卡人选择付款方式。此时SET开始介入；持卡人发送给商家一个完整的定单及要求付款的指令。在SET中，定单和付款指令由持卡人进行数字签名。同时利用双重签名技术保证商家看不到持卡人的帐号信息；商家接受定单后，向持卡人的金融机构请求支付认可，通过Gateway到银行，再到发卡机构确认，批准交易，然后返回确认信息给商家；商家发送定单确认信息给顾客。顾客端软件可记录交易日志，以备将来查询；商家给顾客装运货物，或完成订购的服务。到此为止，一个购买过程已经结束。商家可以立即请求银行将钱从购物者的帐号转移到商家帐号，也可以等到某一时间，请求成批划帐处理。在认证操作和支付操作中间一般会有一个时间间隔。
第四篇：信息安全概论论文
浅析高校校园网信息安全的现状与防范
摘要：信息安全是高校信息化建设的根本保证，高校通过制定一系列校园网信息安全来保障校园网的安全。本文概述了高校校园网信息安全的现状，提出了保障高校校园网信息安全的防范措施，为科学地构建高校校园网信息安全体系提供了参考。
随着高校校园网络的不断扩建和升级，网络规模日益庞大。在方便信息传递，实现资源共享，提高工作效率的同时，高校校园网的信息安全问题已成为高校日常工作中不可或缺的重要组成部分。校园网作为高校教学应用的内部网及教职工对外交流的窗口，具有开放共享的特点，使校园网的信息安全受到极大的危险。近年来高校中的信息安全事件时有发生，信息的泄密、数据的破坏、服务无法正常进行等屡屡发生，有些甚至导致校园网瘫痪，给高校校园网的管理和维护带来了严重挑战。
关键词：校园网；信息安全；现状防范； 安全威胁；网络安全；安全规划；防火墙;入侵检测
1.引言
随着Internet的迅速发展和应用的普及，计算机网络已经深入教育、政府、商业、军事等各行各业，计算机校园网是信息化建设的基础设施，在教学支持服务、教学教务管理、行政管理和校内外信息沟通等方面起着举足轻重的作用。然而计算机网络所具有的开放性、互连性和共享性等特征使网上信息安全存在着先天不足，再加上系统软件中的安全漏洞以及所欠缺的严格管理，致使网络易受黑客、恶意软件的攻击。在现有的校园网络环境中，安全问题成为当前各信息网络中心工作人员考虑得最多的问题。了解和分析这些安全隐患，采取正确的策略来抵御威胁，是校园网安全建设的根本，也是校园网络正常发挥作用的保障。当然 要保证网络的绝对安全是不可能的，必须根据网络的现有状况，对安全需求进行分析，采取必要的网络安全策略，使网络安全问题所造成的影响降到最低。在校园网建设中，很多校园网由于系统管理不善，安全保障措施不力，病毒通过系统漏洞、邮件等途径在校园网传播和泛滥，导致校园网成为计算机病毒滋生和泛滥的温床，给校园网信息系统的应用、管理和维护带来巨大的负面影响。
2.高校校园网信息安全的现状
高校本身是研究和探索新科技、传授新知识的场所，储存了大量的科研成果和技术资料，是信息安全受到威胁的“集中营”。例如今年四月份，我校的域名被攻击，导致我校的主页面打不开、网速变慢等一些问题，给老师和同学们带来了不便。
2.1工作人员对信息系统的应急处理能力不强，防范水平不高。
高校办公室工作人员大都是非计算机专业的人员，计算机知识相对缺乏，对信息安全的防范意识尤为薄弱，缺乏对系统的基本维护能力，这势必给高校校园网的信息安全造成威胁。
2.2信息安全管理观念薄弱，负责信息安全人员的意识不强。
高校校园网用户对安全意识以及防范能力没有足够重视，且认为防范信息安全是网络信息或专业人员的事情，与个人无关。负责信息安全人员把计算机安装还原卡当作“万事通”，只对出问题的计算机进行检查并未对高校网络检查等。2.3信息安全保障管理机构和组织队伍不健全
对于高校校园网，信息浏览人数多，流量大，加大了信息安全人员对其管理和维护难度。且高校普遍存在维护人员短缺、工作机制不完善、队伍不健全、无法及时响应、快速解决，不能很好地保证校园网络方便、快捷、规范地运行。2.4信息系统安全保障的必要设施短缺
信息系统软硬件的内在缺陷不仅直接造成系统瘫痪，还会为一些人为的恶意攻击提供机会。应用软件的缺陷造成计算机信息系统的故障，降低系统安全性能，而设备的不完善、不更新，也给恶意攻击有机可乘。2.5信息安全管理制度和标准缺乏开发性
我国的信息安全管理制度结构比较单一，层次较低，难以适应信息网络技术发展的需要和日新月异带来的信息安全问题。我国现行的信息安全管理制度基本上 是一些保护条例、管理办法，缺少系统规范网络行为的相应法律。
3.校园网络面临的安全威胁
中国的校园网一般都最先应用最先进的网络技术，网络应用普及，用户群密集而且活跃。然而校园网由于自身的特点也是安全问题比较突出的地方，它既存在着自然因素导致的安全隐患，也存在着人为等诸多因素导致的危险，同时校园网络的安全管理也更为复杂、困难。3.1 校园网的物理安全及自身的缺陷威胁
① 系统漏洞。系统漏洞是造成系统的安全风险的主要因素。虽然操作系统的功能及安全性日趋完善, 但仍存在着很多漏洞。由于操作系统的程序是可以动态链接的,包括I/O的驱动程序与系统服务均可以采用打补丁的方式进行升级。但这种软件厂商使用的方法同样也为黑客打开方便之门。如有名的Windows DCOM蠕虫病毒就是利用Windows DCOM MS03-26漏洞进行攻击的。另一方面系统管理员或使用人员对复杂的系统和自身的安全机制了解不够、配置不当，从而形成安全隐患。还有操作系统自身设置不当也会留下安全隐患。
② 系统架构缺乏安全策略。多数校园网普遍采用基于以太网技术且采用开放的网络架构，本身就不具备必要的安全策略。虽然随着技术不断更新，安全管理方面有所变化，但大多数校园网管还是采用一种单
一、被动、缺乏主动性和灵活性的基于网络设备的集中式的安全策略，根本无法适应现行的网络规范。另外，大多的校园网用户并发上网现象普遍突出，集中式管理往往又会造成用户认证时间过长或认证无效等问题。
③ 物理安全威胁。网络周边环境和物理特性引起的计算机系统、网络服务器等网络设备和物理链路等基础设施的不可用，如设备被盗、被毁坏，链路老化或被有意或者无意的破坏。因电子辐射造成信息泄露、设备意外故障、停电、雷击以及其它自然灾害、有害气体的破坏等等物理方面的因素，对校园网的正常运行构成威胁。
3.2 来自校园网内部的安全威胁
高校学生他们会把学校的网络当作一个实验环境，测试各种网络功能。一些学生用自己的计算机和操作系统配置一个DHCP SEVER使在网络上的计算机从假冒的 DHCP SEVER了解到IP地址，导致合法用户不能登陆到DHCP提供的正确IP 地址而无法使用网络资源。另外很多学生通过网络在线看电影、听音乐、聊天，占据了宝贵的网络资源，很容易造成网络堵塞和病毒传播。总之，来自校园网内部的安全隐患所造成的破坏力、影响、威胁都是非常大的。3.3 来自外部互联网的安全威胁
几乎所有校园网络都是利用Internet 技术构建的，同时又与 Internet 相连。网络用户可以直接访问互联网的资源，同样任何能上互联网的用户也可以直接访问校园网的资源。这对宣传学校、扩大学校的影响和知名度很有好处，但Internet 的共享性和开放性使网上信息安全存在先天不足，在带来方便的同时，也带来安全风险。
3.4 黑客、拒绝式服务、病毒带来的安全威胁
① 黑客攻击。随着网络的迅猛发展，黑客攻击活动日益猖獗。校园网在接入Internet的时候，即使有防火墙的保护，由于技术本身的局限或错误配置等原因，仍很难保证校园网不遭到黑客攻击。
② 拒绝式服务。是指恶意地向被攻击服务器发送信息洪流，占用计算机设备的资源而造成正常的服务请求被中断，使网络运行速度变慢甚至处于一种瘫痪状态。
③ 病毒的危害。网络病毒, 无论是在传播速度, 破坏性, 还是在传播范围等方面都远远超过了单机病毒。如当今流行的蠕虫病毒, 通过电子邮件、网络共享或主动扫描等方式从客户端感染校园网的web服务器。还有通过网络传播病毒或恶意脚本文件，干扰用户的正常使用，如冻结注册表、修改设置等。计算机病毒对计算机的攻击，轻则使系统变慢，破坏文件，重则使硬件遭到破坏，网络遭到病毒攻击，则使网络堵塞及瘫痪。
4.校园网络的安全对策
如何能够保证网络的安全运行，同时又能提供丰富的网络资源，达到办公、教学以及学生上网的多种需求成为了一个难题。网络安全问题 , 不是单纯的技术问题，而是一个系统工程。因此必须从系统的观点去考虑。下面就校园网安全问题提出一些对策、措施。4.1 物理安全措施
物理安全的目的是保护路由器、交换机、工作站、各种网络服务器、打印机 等硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听攻击；确保网络设备有一个良好的电磁兼容工作环境；妥善保管备份磁带和文档资料；防止非法人员进入机房进行破坏活动。其中包括：设立实物安全周界，实物进入控制，设施安全考虑（防尘、防火、防洪、防雷等），安全区域内工作的规范规程，设备供电安全，通信电缆安全（防搭线），设备维护，运行日志以及电磁屏蔽、抑制和防止电磁泄漏等相关制度与技术。4.2 系统配置及软件设置安全措施
要从系统配置及软件设置上使得网络更安全，主要做到以下几个方面：一要关闭不必要的服务端口，取消服务器上不用的服务和协议种类。二要设置系统运行日志。通过运行系统日志，记录下所有用户使用系统的情形，分析日志文件，发现异常情况，及时防范。三要及时安装系统补丁和更新服务方软件。新版本的服务软件能够提供更多更好的功能，保证这些设备更有效更安全地运行。四要定期检查系统安全性。通过安全检测工具，在防火墙外对网络内所有的服务器和客户机进行端口扫描，并检查用户口令的安全性以及各用户对网络设备访问的合法性等。五要封锁系统安全漏洞。黑客之所以得以非法访问系统资源和数据，很多情况下是因为操作系统和各种应用软件的设计漏洞或者管理上的漏洞所致。在制定访问控制策略时，不要忘记封锁系统安全漏洞。4.3 校园网络电子邮件安全策略
保障电子邮件安全的唯一一种办法是让攻击者截获了数据包但无法阅读它。目前在校园网络上可以采用如下策略来实现电子邮件的安全：
一、利用S/MIME来实现。S/MIME是一种安全的电子邮件格式，它采用一种消息加密与数字签名格式，是一种已被接受的标准。
二、利用PGP。PGP是一个基于RSA公钥加密体系的邮件加密软件。可以用它对你的邮件保密，以防止非授权者阅读，它还能对你的邮件加上数字签名从而使收信人可以确信邮件是你发来的。让你可以安全地与人们通讯，事先并不需要任何保密的渠道用来传递密钥。
三、利用PEM。PEM是增强Internet电子邮件隐秘性的标准草案，它在Internet电子邮件的标准格式上增加了加密、鉴别和密钥管理的功能，允许使用公开密钥和专用密钥的加密方式，并能够支持多种加密工具。
四、利用MOSS。MOSS（MIME对象安全服务）是将PEM和MIME两者的特性进行了结合。
五、采用安全网关。最便捷的途径是 采用电子邮件安全网关，即电子邮件防火墙。使进入或输出的每一条消息都经过网关，从而使安全政策可以被执行。4.4 正确配置路由器
对于大多数校园网来说，路由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数校园网络都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。经过恰当的设置，边界路由器能够把几乎所有的最顽固的坏分子挡在网络之外。
一、修改默认的口令。据国外调查显示，80%的安全突破事件是由薄弱的口令引起的。
二、关闭IP直接广播（IP Directed Broadcast）。Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网络广播地址发送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网络性能。
三、如果可能，关闭路由器的HTTP设置。
四、封锁ICMP ping请求。ping通常用于更大规模的协同性攻击之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”（script kiddies）。
五、关闭IP源路由。IP协议允许一台主机指定数据包通过你的网络的路由，而不是允许网络组件确定最佳的路径。这个功能的合法的应用是用于诊断连接故障。但是，这种用途很少应用。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。
六、确定你的数据包过滤的需求。在这种规定中，除了网路功能需要的之外，所有的端口和IP地址都必要要封锁。
七、建立准许进入和外出的地址过滤政策。在你的边界路由器上建立策略以便根据IP地址过滤进出网络的违反安全规定的行为。
八、审阅安全记录。审阅你的路由器记录（通过其内置的防火墙功能）是查出安全事件的最有效的方法。利用出网的记录，用心的安全管理员在病毒传播者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。4.5 建立统一的身份认证系统
认证是网络信息安全的关键技术之一，其目的是实现身份鉴别服务、访问控制服务、机密性服务和不可否认服务等。校园网与Internet没有实施物理隔离，但是，对于运行内部管理信息系统的内网 , 建立其统一的身份认证系统仍然是非常必要的 , 以便对数字证书的生成、审批、发放、废止、查询等进行统一管 理。只有建立了基于校园网络的全校统一身份认证系统，才能彻底的解决用户上网身份问题。同时也为校园信息化的各项应用系统提供了安全可靠的保证。校园网用户不但要通过统一的身份认证系统确认，而且合法用户上网的行为也要受到统一的监控。
4.6 服务器访问控制策略
像服务器这样的网络基础设备，避免非法入侵的有效方法是去掉不必要的网络访问，在所需要的网络访问周围建立访问控制。限制诸如chargen、echo、日期等这些简单的TCP 协议。因为很多网络测试工具可以利用这些特定的协议, 对网络实施DOS 入侵。
4.7培养高素质的安全运行维护队伍
高校可以组建一支以学生为主体的安全运行维护队伍，由网络中心统一领导，中心专业老师负责对学生等用户进行安全管理方面的培训和指导，加强校园网的管理和维护力量，力争对突发安全事件做到及时响应，快速解决，保证校园网方便、快捷、规范地运行。这样不但能解决由于经费和维护人员不足造成的困难，而且也可以通过让学生参与校园网的管理维护，来锻炼他们的实际动手能力，为今后的工作奠定良好的基础。4.8制定完善安全管理规章制度
安全管理贯穿于安全防范体系的始终，是保证网络安全的基础。各部门配备专职的信息安全管理人员，落实建立信息安全责任制度和工作章程，负责并保证组织内部的信息安全。管理人员必须做到及时进行漏洞修补、定期软件升级和定期安全系统巡检，保证对网络的监控和管理。同时必须制订一系列的安全管理制度，并遵循可操作、动态性、管理与技术的有机结合等原则，使校园网的信息安全工作进一步走向规范化和制度化。4.9利用多种形式进行信息安全教育
高校应利用多种形式进行信息安全教育:①是利用行政手段，通过各种会议进行信息安全教育;②是利用教育手段，通过信息安全学术研讨会、安全知识竞赛、安全知识讲座等进行信息安全教育;③是利用学校传播媒介、舆论工具等手段，通过校刊、校报、校园网络、广播、宣传栏等进行信息安全教育。建议我校开展全校学生的信息安全教育。4.10构建良好的校园文化氛围
信息安全是高校实现教育信息化的头等大事，除先进的安全技术、完善的安全管理外，良好的校园文化氛围也是保证高校信息安全工作顺利开展的前提。
5.结束语
校园网信息安全是一项复杂的系统工程，不能仅仅依靠某一方面的安全策略，而需要仔细考虑系统的安全需求，网络信息安全涉及的内容既有技术方面的问题，又有管理方面的问题，应加强从网络信息安全技术和网络信息安全管理两个方面来进行网络信息安全部署，尽可能的为校园网提供安全可靠的网络运行环境。面对日益复杂的高校校园网信息安全及与日俱增的安全威胁，高校校园网的安全建设必须以了解校园网信息安全的现状为前提。通过信息安全培训加强所有用户的安全意识，从而完善安全防范体系赖以生存的大环境，有效地实现校园网可靠、稳定地运行，创造出一个安全、便捷的网络应用环境，有效地保障校园网的安全，提高网络信息的保密性、完整性和可用性。
参考文献: [1] 段云所.信息安全概论.高等教育出版社.2003.9 [2] 高峡，陈智罡，袁宗福.网络设备互联学习指南.科学出版社2009.4 [3] 张武军.高校校园网安全整体解决方案研究.电子科技.2006 年第3 期.[4] 朱海虹．浅谈网络安全技术．科技创新导报，2007，32：32． [5] 符彦惟．计算机网络安全实用技术.清华大学出版社.2008．9 [6] 王育民.通信网的安全—理论与技术.西安电子科技大学出版社.2000 [7] 段云所.个人防火墙.人民邮电出版社.2002 [8] 黎萍等.网络安全与管理与Windows2000.人民邮电出版社.2000 [9] 唐正军.网络入侵检测系统的设计与实现.电子工业出版社.2000 [10] 卢开成.计算机密码学.清华大学出版社.1998
第五篇：信息安全概论总复习总结
信息安全概论总复习总结
1、根据TCP/IP协议，共有0-65535个端口，可分为私有端口、注册端口、公认端口，其中公认端口的范围为： 0——1023；私有端口的范围为： 49152——65535；注册端口的范围为： 1024——49151。
2、IPSec通过安全策略为用户提供一种描述安全需求的方法，允许用户使用安全策略来定义 保护对象、安全措施 以及 密码算法 等。3.IPsec的加密算法只用于（ESP协议）。
4.计算机病毒的特性有（传染性、隐蔽性、潜伏性、破坏性）。5.特洛伊木马的特性主要有（隐蔽性、欺骗性、特殊功能性）。
6.一个典型的PKI系统组成主要有（公钥证书、证书管理机构、证书管理系统、围绕证书服务的各种软硬件设备以及相应的法律基础）。
7.包过滤和代理是两种实现防火墙功能的常见技术，其中包过滤技术工作在（网络层）层，代理防火墙工作在（应用层）层。
8.包过滤防火墙的过滤依据主要有（ip源地址；ip目的地址；协议类型；tcp或udp的目的端口；tcp或udp的源端口；icmp消息类型；tcp报头的ack位。）9.按照检测技术的不同，可以将入侵检测分为（异常检测系统和误用检测系统），按照数据来源，可以分为（基于主机检测系统和基于网络检测系统）。
10、信息安全模型P2DR模型中各个字母分别代表（策略、防护、检测、响应）。
11、常用的服务及其对应的端口号。
ftp：21〃22，http：80，telnet：23，snmp：161，SMTP:25，POP3：110
12、运行保护中各保护环对应的内涵。
（安全操作系统的运行保护是基于一种保护环的等级结构实现的，这种保护环称为运行域，一般的系统设置了不少于3—4个环，理解可答可不答）R0：操作系统，它控制整个计算机系统的运行；
R1：受限使用的系统应用环，如数据库管理系统或事务处理系统； R2：应用程序环，它控制计算机对应用程序的运行；
R3：受限用户的应用环，他控制各种不同用户的应用环。
13、安全策略的实施原则。
(1)最小特权原则：主体执行操作时，按照主体所需权利的最小化原则分配给主体权利
（2）最小泄露原则：主体执行任务时，按照主体所需要知道的信息最小化的原则给主体权利
（3）多级安全策略：指主体和客体间的数据流向和权限控制按照安全级别的绝密（TS），秘密（S），机密（C），限制（RS）和无级别（U）5级来划分。
14、朴素模式匹配算法的时间复杂度:文本串长n； 模式串长m。最坏情况下匹配搜索次数为 m*(n-m+1)。
15、KMP算法主要是消除了 主串 指针的回溯，从而使算法效率有了某种程度的提高。
1、假如你要向你的朋友发送某个信息，为了实现信息的不可否认性、完整性、机密性，你会怎样做，画图说明你的方案。
2、IPSEC安全协议中，其工作模式及其体系结构。
答：
1、隧道模式：保护整个ip数据包；传输模式：保护ip包头。
2、体系结构：ah（认证报头协议）协议、esp（封装安全负荷）协议、ike（秘钥交换）协议
3、在访问控制中，什么是主体，什么是客体，分别举例说明。
答：主体：可导致信息在客体间流动或使系统状态发生变化的主动实体。例子：用户、进程。
客体：包含或接收信息的被动实体。例子：页面、段、文件、目录、进程、硬件设备，……
4、CA的信任模型主要有哪几种，各有什么特点。答：1.严格层次信任模型：优点：（1）到达一个特定最终实体只有唯一的信任路径，证书信任路径构建简单；（2）它建立在严格的层次机制之上，建立的信任关系可信度高。缺点：（1）根CA密钥的安全最重要，一旦泄漏整个信任系统瓦解；（2）根CA策略制定要考虑各个参与方，这会使策略比较混乱。
2.桥信任模型：优点：现实性强，证书路径较易发现，证书路径相对较短。缺点：证书路径的有效发现和确认不很理想，大型PKI的目录的互操作性不方便，且证书复杂。
3.网状信任模型：优点：信任关系可以传递；缺点：存在多条信任路径，要进行路径选择。
4.对等信任模型：优点：信任路径构建简单，信任关系可信度高；缺点：限制自己只允许直接信任，所以证书量大。
5、SSL握手协议过程中创建一个会话。答：（1）hello阶段；（2）加解密参数传输（3）server确认（4）会话数据传输
6、IPSec中密钥交换协议IKE主要提供的功能分别是什么？ 答：（1）协商服务（2）身份认证服务（3）密钥管理（4）安全交换
2、对称密码体制与非对称密码体制下密钥数量计算问题。
n*(n-1)/2;2n
3、IPSEC中AH协议中载荷长度计算公式。
kdAkmessagesign||Z||EC||HkEPkdBDPkkeAkeBkDCZ-1DPsignA(keA,kdA)HmessageH’B(keB,kdB)k比较载荷长度 n=验证数据长度（bit）/32(bit) +1
4、门限秘密共享方案中的秘密与多项式重构计算问题。
例题：Shamir在1979年提出利用有限域GF(p)上的k-1次多项式h(x)ak1xk1a1xa0modp构造秘密共享的(k,n)门限体制。一个(3,5)门限方案，若已知随机素数p为17，当x=1，2，3，4，5时，对应的5个秘密份额为S1=
8、S2=
7、S3=
10、S4=0、S5=11，请采用LaGrange拉格朗日插值法从秘密份额中选择S1、S3、S5个重构多项式h(x)和秘密S。（15分）
解：h(x)=8(x-3)(x-5)/(1-3)(1-5)+10(x-1)(x-5)/(3-1)(3-5)+11(x-1)(x-3)/(5-1)(5-3)mod 17= x2-8x+15-5(x2-6x+5)/2+11(x2-4x+3)/8 mod 17= x2-8x+15 mod 17 +(5(x2-6x+5)/(-2))mod 17 +11(x2-4x+3)/8 mod 17 h(x)= x2-8x+15 mod 17 +(5(x2-6x+5)*8)mod 17-22(x2-4x+3)mod 17=19 x2-160x+149 mod 17=2x2+10x+13 mod 17 多项式h(x)= 2x2+10x+13
秘密S=13。
5、入侵检测模型与HIDS、NIDS的优缺点。
HIDS:基于主机的模型 优点：性价比高；更加细致，容易监测一些活动；视野集中；易于用户剪裁；有较少的主机；对网络流量不敏感。缺点：代价大；不监测网络上的情况；对入侵行为分析工作量随主机增加而增加。
NIDS：基于网络的模型 优点：侦测速度快；隐蔽性好；视野更宽；较少的监测器；占的资源少 缺点：只检查直接连接网段通信；不能监测不同网段的网络包；实现复杂，需要大量计算和分析，工作量大。
6、包过滤型防火墙的作用就是在网络中的适当位置对数据包实施有选择的通过。选择依据为系统内设置的过滤规则，只有满足过滤规则的数据包才被转发到相应的网络接口，其余数据包则被丢弃。包过滤一般要检查哪些内容，配置包过滤包括哪些步骤。
答：检查内容：ip源地址；ip目的地址；协议类型；tcp或udp的目的端口；tcp或udp的源端口；icmp消息类型；tcp报头的ack位。配置步骤：（1）必须知道什么是应该和不应该被允许的，必须制定一个安全策略。（2）必须正式规定允许的包类型、包字段和逻辑表达式。（3）必须用防火墙支持的语法重写表达式。
7、描述利用KMP单模匹配算法进行模式匹配过程。例如：T={ababcabcacbab}；P={abcac}
8、某公司有一B类网123.45。该网的子网123.45.6.0/24，有一合作网络135.79。管理员希望：①禁止一切来自Internet的对公司内网的访问；②允许来自合作网络的所有子网135.79.0.0/16访问公司的子网123.45.6.0/24；③禁止合作网络的子网135.79.99.0/24的对123.45.0.0/16访问权。请设计合理的过滤规则。
规
则
A B C 源
地
址
目的地
址
123.45.6.0/24
123.45.0.0/16 0.0.0.0/0
过滤操作
允许 拒绝 拒绝
135.79.0.0/16
135.79.99.0/24 0.0.0.0/0
点击咨询 