网络安全基础期末考察标准（汇编）

第一篇：网络安全基础期末考察标准

网络安全基础考察内容

适用班级：应用12301楼宇12302

考查形式：实践性论文

可选题目：

1、网络安全规划与方案制定，网络规模自定，需完整合理的描述自己的网络安全构建，对于客户机、服务器、路由器、防火墙、入侵检测系统、交换设备等安全相关设备有较完备的安排与规划。

2、对于网络安全形式的分析：分析现有网络的安全风险，并有较为详细的风险说明以及预防措施方面的见解.3、个人对于防火墙的认识：详细说明防火墙工作原理及其可能产生的漏洞与风险，加以说明；

标题，关键字，概要（摘要），正文

4、入侵模拟实验：详细分析一次入侵攻击过程并制定防范措施； 以上4个方向命题自选，需提交打印或手写文档，电子版发至 ；

只交电子档的同学无成绩。字数要求：3500字以上。

提交时间，本学期15周以前

第二篇：网络安全标准

2.3 网络安全的标准

国际标准化组织（ISO）、国际电器技术委员会（IEC）及国际电信联盟（ITU）所属的电信标准化组（ITU-TS）在安全需求服务分析指导、安全技术机制开发、安全评估标准等方面制定了一些标准草案。另外，IETF也有9个功能组讨论网络安全并制定相关标准。

目前国外主要的安全评价标准则有以下几个： 2.3.1 美国TCSEC 该标准由美国国防部制定，将安全分为4个方面，即安全政策、可说明性、安全保障和文档。标准将上述4个方面又分为7个安全级别，从低到高依次为D、C1、C2、B1、B2、B3和A级。

2.3.2 欧洲ITSEC 它叙述了技术安全的要求，把保密作为安全增强功能。与TCSEC不同的是，ITSEC把完整性、可用性与保密性作为与保密同等重要的因素。ITSEC定义了从E0级（不满足品质）到E6级（形式化验证）的7个安全等级，对于每个系统，安全功能可分别定义。ITSEC预定义了10中功能，其中前5种与TCSEC中的C1～B3级非常相识。

2.3.3 联合公共准则（CC）

它的目的是把已有的安全准则结合成一个统一的标准。该计划从1993年开始执行，1996年推出第一版，1998年推出第二版，现已成为ISO标准。CC结合了TCSEC及ITSEC的主要特征，强调将安全的功能与保障分离，并将功能需求分为9类63族，将保障分为7类29族。

2.3.4 ISO安全体系结构标准

ISO7498－2－1989，在描述基本参考模型的同时，提供了安全服务与有关机制的一般描述，确定在参考模型内部可以提供这些服务与机制的位置。

2.3.5 中华人民共和国国家标准

GB17895-1999《计算机信息系统安全保护等级划分准则》。该准则将信息系统安全分为5个等级，分别是自主保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。主要的安全考核指标有身份验证、自主访问控制、数据完整性、审计、隐蔽信道分析、客体重用、强制访问控制、安全标记、可信路径和可信恢复等，这些指标涵盖了不同级别的安全要求。

网络建设必须确定合理的安全指标，才能检验其达到的安全级别。具体实施网络建设时，应根据网络结构和需求，分别参照不同的标准条款制定安全指标。

第三篇：网络技术基础期末考察说明

《网络技术基础》课程期终考察

网络技术基础课程针对广播电视新闻系学生，采取了网络技术功能介绍和工具平台应用体验为主的教学方式，考核方式采取平时应用作业考核和期终综合报告考察相结合的方式。

一、期终考察综合题：

Web2.0时代 新闻从业者 网络技术工具 应用实践与价值分析

二、答题要求：

体现对网络技术工具应用的认识了解，能结合新闻专业未来工作需求和实践，分析网络技术工具的应用现状及前景展望。（不少于2000字）

三、答题内容参考：

1.描述Web2.0时代互联网的特征；

2.对以下网络技术工具的应用体验感受或功能价值理解；

网络浏览（可以IE、chrome、firefox等浏览器为例）

信息检索与获取（可以google，百度等搜索引擎为例）

即时通讯（可以QQ、MSN、Yahoo messenger、skype等为例）

异步通讯（可以email、BBS等为例）

网络社区（可以人人网为例）

在线资讯收藏（可以delicious、QQ书签、收客网等为例）

在线资讯阅读（可以google reader、鲜果网、抓虾网、QQ阅读空间等为例）

在线写作表达（可以博客和微博客，如新浪博客、twitter、饭否网等为例）

在线协作编辑（可以维基百科wikipedia、google docs等为例）

个人网络门户（可以igoogle、my yahoo等为例）

……

3.简要论述网络技术应用工具对新闻专业实践的影响与作用，以及新闻从业人员对网络技术工具的潜在需求或应用前景预测等。

四、作业格式：

【封面】

Web2.0时代新闻从业者

网络技术工具应用实践与价值分析

----副标题（可自拟）

班级：

姓名：

学号：

（注：作业用A4纸打印，封面单独一页，学号为完全格式，格式规范方予评阅。）

【正文】

Web2.0时代新闻从业者网络技术工具应用实践与价值分析一、二、三、

第四篇：44、网络安全管理标准

网络安全管理标准

总 则

第一条 为加强宁洱伟业水电有限责任公司（以下简称公司）网络与信息安全管理，全面掌握公司及所属发电厂网络与信息安全现状，及时发现存在的薄弱环节和安全隐患，有效防范信息安全事件的发生，规范网络与信息安全检查工作，制定本办法。

第二条 第三条 网络与信息安全检查坚持“贵在真实，重在整改”的工作原则。网络与信息安全检查工作由发电厂行政正职负责，分管副职组织实施，做到责任明确，措施到位。

第四条

本办法适用于公司各发电厂（以下简称电厂）。

第一章

工作职责

第五条

（一）（二）

核工作； 公司总经理的主要职责：

落实国家有关职能部门安排的各项网络与信息安全检查工作； 制定公司组织的网络与信息安全检查计划，并组织专家实施检查与考

（三）（四）

（五）汇总、审阅电厂网络与信息安全自查计划和自查报告，审核风险控制措施和整改方案，督促解决检查中发现的突出问题；

组织研究网络与信息安全检查工作中存在的共性问题，并提出对策；对涉及公司层面的重大问题，提出整改意见；

指导电厂全面、深入开展网络与信息安全检查工作，制定检查标准、制度与实施细则。第六条

（一）（二）

正常开展。电厂生产领导负责人工作职责：

根据当地政府和公司的安排，组织实施所管理和所属电厂的网络与信息安全检查工作。

统筹所管理和所属电厂各类网络与信息安全检查工作，确保检查工作

（三）（四）

（五）（六）

（七）对所管理和所属电厂网络与信息安全自查工作进行指导。组织审查所管理和所属电厂制定的整改计划和自查报告。

监督所管理和所属电厂网络与信息安全检查整改计划的执行情况，将未及时完成整改的问题要列入监控重点，确保整改到位。

对所管理和所属电厂的网络与信息安全检查工作存在的共性问题进行研究，审查检查中发现重大问题的整改方案。

对公司网络与信息安全检查标准的改进和完善提出意见和建议。

（八）电厂应积极配合上级安排的网络与信息安全检查工作，负责本电厂的自查工作和日常管理；组织本电厂的有关人员对查评结果进行分析，制定并落实整改工作计划。

第七条

检查人员应严格遵守有关保密规定。

第二章

检查依据与内容

第八条 电厂应依据《信息技术 安全技术 信息安全管理体系》（GB/T22080）和《信息安全管理实用规则》（ISO 27001:2005）的要求，结合本电厂网络与信息安全现状以及公司有关管理制度，确定检查内容。

第九条 网络与信息安全检查内容应重点包括组织机构与管理体系建设、规章制度的贯彻执行和监督检查、网络安全管理、应用系统安全管理、桌面办公系统的使用和安全管理、运行环境管理、运行值班及技术维护管理、运行安全控制管理等内容。

第十条 电厂根据检查目的和检查重点的不同，可以直接引用《网络与信息安全检查实施导则》（见附件一），也可以在此基础上定制适合的检查表。

第三章

检查方式和周期

第十一条 公司网络与信息安全检查采取自查、抽查和专项检查相结合的方式。

（一）自查是电厂基于本办法的要求，周期性开展的网络与信息安全检查。电厂信息化主管部门制定并实施本电厂网络与信息安全检查的计划，检查工作可以由本电厂相关信息安全人员承担，也可以委托具有相关安全认证资质的机构或邀请专家承担。

（二）抽查是指由公司或分子公司组织的网络与信息安全检查。公司科技信息部制定并实施公司的信息安全检查计划，检查工作可以由系统内相关信息安全人员承担，也可以委托具有相关安全认证资质的机构或邀请专家承担。

（三）专项检查是由国家主管部门、公司或者电厂组织的、具有特定目的的网络与信息安全检查。检查工作由检查组织单位委托具有相关安全认证资质的机构或邀请专家承担。

第十二条 检查周期。

（一）（二）

而开展的。电厂每年至少开展一次自查工作。原则上可选在“两会”与国庆节前进行，检查重点为上次自查、抽查或者专项检查问题的整改情况和发生变化的系统。

抽查工作是与阶段性的重点工作、重大活动和节假日保电工作相结合（三）专项检查工作是根据国家、公司、电厂的阶段性重点工作或者针对网络与信息安全事件原因而开展的。

第四章

检查内容和方法

第十三条 检查内容可分为管理和技术两个方面。管理方面检查安全管理要求和流程的执行情况；技术方面检查各软硬件系统是否符合安全技术要求、安全配置要求以及其它安全技术规范。

第十四条 检查方法应采取人工与技术手段相结合的方式进行，包括对系统进行基线检查、漏洞扫描、渗透测试、日志审查、人员访谈、现场观察、资料查阅等，确保检查的有效性和完整性。

第五章

检查流程和要求

第十五条 检查流程包括：制定计划、准备、实施、改进等四个阶段。第十六条 计划阶段。检查前，组织者应制订具体的检查计划，确定本次检查范围、重点内容、检查方法、时间安排、人员安排、主要风险及防范措施等。

第十七条 准备阶段

（一）（二）细化检查内容。如：检查的系统范围，检查的重点项，各个系统中增、删、改等重点操作的指令与关键词等。

编写《网络与信息安全检查表》（参见附件二）。检查表应包含依据标准、检查方式、检查内容、检查方法、检查结果、问题描述、检查人员和被检查人员签字等内容。

（三）（四）

（一）（二）

（三）培训。重点培训检查人员，说明检查内容和方法、主要风险及防范措施、表格填写要求、问题处理方法等。

配置必要的技术装备，如漏洞扫描工具、WEB扫描工具等。

第十八条 实施阶段

按照《网络与信息安全检查表》进行检查并如实记录。检查人员、配合人员共同签字确认检查结果。

检查结束后，检查组织者编写《网络与信息安全检查报告》（参见附件三），被检查电厂负责人在报告书签字确认后，于3日内提交上级主管部门备案。

第十九条 改进阶段

（一）被检查电厂认真分析发现的问题，在7日内制订《网络与信息安全检查问题整改计划及实施方案》，做到“项目、措施、责任、时间和资金”五落实；每月对整改情况进行督察。

（二）整改完成后，向上级信息主管部门提交《网络与信息安全检查整改情况报告》（参见附件四），并提请复核。

第二十条 《网络与信息安全检查报告》、《网络与信息安全检查问题整改计划及实施方案》、《网络与信息安全检查整改情况报告》等相关文档，经过审批后存档。

第二十一条

对于国家主管部门组织的各种网络与信息安全检查，被查电厂要以电话、传真或电子邮件形式及时、逐级上报至公司科技信息部。被检查电厂应按照本办法相关要求进行改进，妥善保留有关检查结果和报告并存档。

第二十二条

各种形式的检查都应获得相应授权，不得违反公司相关信息安全管理规定要求，应遵循对业务影响最小化的原则，严格控制可能带来高风险的检查方法；对于在线业务系统的评估检查时间必须避开业务高峰时期。

第六章

评价与考核

第二十三条

公司科技信息部将按照《宁洱伟业水电有限责任公司网络与信息安全管理标准》，对电厂网络与信息安全检查工作、检查结果以及整改情况进行评价考核。

第二十四条

在网络与信息安全检查与整改工作中弄虚作假的，一经查实，将按照公司有关管理制度对该电厂的相关领导和责任人进行处罚。

第七章

第二十五条 第二十六条

附 则

本办法自印发之日起实行。本办法由总经理办公室负责解释。

宁洱伟业水电有限责任公司

勐先河二级水电厂

2011年6月1日

第五篇：2014网络安全基础应用与标准(第4版)(清华大学出版社)期末复习总结

信息安全基础复习

1、列出并简述安全机制。P12

2、列出并简述安全攻击的分类。P7-8 被动攻击：本质是窃听或监视数据传输，获取传输的数据信息；攻击形式有消息内容泄露攻击、流量分析攻击；难以检测，使用加密来防范。

主动攻击：本质是数据流改写、错误数据流添加；方式有假冒、重放、改写消息、拒绝服务；容易检测，解决办法是检测威慑与攻击后恢复。

3、简述凯撒密码加密算法与破解依据。

通过把字母移动一定的位数实现加解密，加密程度低，只需要简单统计字频就可破译。

4、简述维吉尼亚（vigenere）加密算法与破解方法。

使用词组作为密钥，词组中每个字母都作为移位替换密码密钥确定一个替换表，维吉尼亚密码循环的使用每一个替换表明文字母到密文字母的变化，最后得到的密文字母序列即为密文；先推理出密钥长度，再根据起始位置用破解凯撒密码的方式破解。

5、什么是乘积密码？

以某种方式连续执行两个或多个密码，使得到的最后结果或乘积从密码编码角度而言比其任意一个组成密码都强。

6、（古典密码）加密算法的两种基本操作？ 置换、代换。

7、简述雪崩效应。对加密算法为什么要求雪崩效应？

少量消息位的变化会引起信息摘要的许多位变化。为加强保密的安全强度，防止消息被破解。

8、列出分组密码常用的五种加密模式，各自的优缺点和用途。画出CBC（MAC用）模式的示意图。P40

一、电子密码本模式（ECB），性质用途：ECB模式下，加密算法的输入是明文，算法的输出将直接作为密文进行输出，不进行任何形式的反馈，每个明文分组的处理是相互独立的，这种方式也是分组密码工作的标准模式。适用于对字符加密, 例如, 密钥加密。缺：在给定密钥k 下，同一明文组总是产生同一密文组，这会暴露明文组的数据格式，重要数据可能泄露被攻击者利用；优：用同个密钥加密的单独消息，不会错误传播。

二、密码分组链接模式（CBC），性质用途：在密钥固定不变的情况下，改变每个明文组输入的链接技术。可用于认证系统，能被用来产生一个消息认证码。缺: 会出现错误传播,密文中任一位发生变化会涉及后面一些密文组;优：(1)能隐蔽明文的数据模式，(2)在某种程度上能防止数据篡改, 诸如明文组的重放,嵌入和删除等.三、密码反馈模式（CFB），性质用途：反馈的密文不再是64bit, 而是s bit，且不直接与明文相加，而是反馈至密钥产生器中，能将任意分组密码转化为流密码，能实时操作。可用于认证系统，能被用来产生一个消息认证码。优点:它特别适用于用户数据格式的需要。缺点：一是对信道错误较敏感且会造成错误传播，二是数据加密的速率较低。

四、计数器模式（CRT），用途：允许在解密时进行随机存取。由于加密和解密过程均可以进行并行处理，适合运用于多处理器的硬件上。优点：硬件效率高，软件效率高，有预处理能力，随机存取能力，安全性强，具备一定的简单性。

五、输出反馈模式（OFB），性质用途：实质上就是一个同步流密码，通过反复加密一个初始向量IV来得到密钥流。常用于卫星通信中的加密。优点：克服了CBC 模式和CFB 模式的错误传播带来的问题，缺点：明文很容易被控制窜改，任何对密文的改变都会直接影响明文。

总结：（1）ECB模式简单、高速，但最弱，易受重发和替换攻击，一般不采用。（2）CBC，CFB，OFB模式的选用取决于实际的特殊需求。（3）明文不易丢信号，对明文的格式没有特殊要求的环境可选用CBC模式。需要完整性认证功能时也可选用该模式。（4）容易丢信号的环境，或对明文格式有特殊要求的环境，可选用CFB模式。（5）不易丢信号，但信号特别容易错，但明文冗余特别多，可选用OFB模式

9、什么是MAC，什么用途，怎样产生？P51 MAC即为消息认证码，可以附到消息上，由一种认证技术利用私钥产生。

10、什么是安全散列函数？它为什么要抗碰撞？P54 安全散列函数目的是为文件、消息或其他数据块产生指纹，具备6个安全性质（P54）； 抗碰撞可以防止像生日攻击（生日攻击：利用概率性质进行随机攻击）这种类型的复杂攻击。

11、数字签名为什么要借助散列函数？P54 P72 因为数字签名不仅认证了消息源，还保证了数据的完整性，而散列函数有单向性，它能给消息产生指数，安全性高，可防止消息被伪造。

12、简述RSA算法，实例。P66-68

13、简述DH算法，实例。P69-70

14、简述Kerberos协议执行时的通信过程。P86结合P90项目，AS,TGS

15、X.509证书内容。p96-98

16、简述数字签名（DS），数字签名标准（DSS），数字签名适用的算法，数字签名算法（DSA）。P65 P71-72

17、什么是KDC？P72

18、模指数算法，算法叙述与实例计算。P68

19、求模一个素数(100内）的本原根。（习题）20、目前流行的公钥体制，一般靠什么保证安全？P102 公钥基础设施（PKI）

21、什么是SSL？其中握手协议的通信过程？P117 P123-127 安全套接字层（SSL）；四个阶段。

22、数字签名算法（DSA），靠什么保证安全，有什么优点？P71-72 它的安全基础是求解离散对数的困难性，它足够的密钥长度可以抵抗穷搜索方法、生日攻击等攻击方法，安全系数高。

23、简述SET协议的执行步骤，说明其中双联签名的作用。P96 SET即安全电子交易，以X.509为标准，步骤：支付初始化请求和响应阶段——支付请求阶段——授权请求阶段——授权响应阶段——支付响应阶段；

双联（双重或者对偶）签名技术下，持卡人的订购信息和支付指令是相互对应的，这样可以保证顾客的隐私不被侵犯。

24、公钥分配有哪些方法？各自存在什么问题？P81 方法：公钥公布（方法简单，但容易伪造）、公开可访问目录（安全性较公钥公布高，但仍易受攻击）、公钥授权中心（想与他人通信必须申请，公钥管理员可能成为系统瓶颈，而且管理员所维护的含有姓名和公钥的目录表也容易被篡改）、公钥证书（所有数据经CA用自己的私钥签字后形成证书，需要较多条件来满足证书要求）。

25、密钥分配有哪些方法？P81 四种方法。

26、什么是木马病毒？P276

27、什么是蠕虫病毒？P287

28、什么是拒绝服务攻击(DOS)？P295

29、什么是包过滤路由器？包过滤有哪些缺点？P308 PPT及补充： 30、基于挑战/应答（Challenge/Response）方式的身份认证系统(用户登录验证，挑战—应答协议)： 每次认证时认证服务器端都给客户端发送一个不同的“挑战”字串，客户端程序收到这个“挑战”字串后，做出相应的“应答”,以此机制而研制的系统.认证过程：

1)客户向认证服务器发出请求，要求进行身份认证；

2)认证服务器从用户数据库中查询用户是否是合法的用户，若不是，则不做进一步处理； 3)认证服务器内部产生一个随机数，作为“提问”，发送给客户；

4)客户将用户名字和随机数合并，使用单向散列函数生成一个字节串作为应答；

5)认证服务器将应答串与自己的计算结果比较，若二者相同，则通过一次认证；否则，认证失败； 6)认证服务器通知客户认证成功或失败。

31、缓冲区溢出概念？

介绍：一种非常普遍、非常危险的漏洞，在各种操作系统、应用软件中广泛存在。利用缓冲区溢出攻击，可以导致程序运行失败、系统宕机、重新启动等后果。更为严重的是，可以利用它执行非授权指令，甚至可以取得系统特权，进而进行各种非法操作。

原理：通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，造成程序崩溃或使程序转而执行其它指令，以达到攻击的目的。造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数。防范：

1、关闭端口或服务。管理员应该知道自己的系统上安装了什么，并且哪些服务正在运行

2、安装软件厂商的补丁,漏洞一公布，大的厂商就会及时提供补丁

3、在防火墙上过滤特殊的流量,无法阻止内部人员的溢出攻击

4、自己检查关键的服务程序，看看是否有可怕的漏洞

5、以所需要的最小权限运行软件

32、信息安全面临的威胁？

信息窃取、信息假冒、信息篡改、抵赖、拒绝服务

33、信息安全（计算机安全）的三个方面？P3 机密性、完整性、可用性，还有真实性（认证），责任性（防抵赖）

34、P23 对称加密=常规加密=私钥加密=单钥加密, 原理。

35、P28 对称分组加密算法，最常用的是分组密码，举三个类型：数据加密标准（DES），三重数据加密标准（3DES），高级加密标准（AES）。

36、密码技术

1）古典密码两种基本操作：代换、置换 2）现代密码——。。。3）我们讲的也是民用通行的分组

乘积密码、多轮、安全靠密钥保密，不靠算法保密、雪崩效应

37、MAC与分组密码的加密模式关联，凡是带反馈的模式，都可以产生，为什么？ 无解，参考：P42密码反馈模式(CFB)P51消息认证码（MAC）

38、数论基础。

有限域、GF(28)、用二进制数表示多项式，GF(23)乘法表，GF(28)乘法表、在分组密码AES中的应用。

39、初等数论。

离散对数问题（椭圆曲线密码算法(ECC）大数因数分解问题

费尔马小定理：假如a是整数，p是质数，且a,p互质(即两者只有一个公约数1)，那么a的(p-1)次方除以p的余数恒等于1。欧拉定理：若n,a为正整数，且n,a互质，则: 40、一对密钥，即公钥、私钥，阐述各自的用途。

效率低，速度慢，所以对于对称密码来说是补充而不是取代。

41、P66-72 公钥加密算法：RSA和DH（密钥交换）。RSA：理解，通过两个不大的素数、公钥，来求私钥。

DH:给一个素数，一个本原根（元），两个私钥，求出共享秘密。

42、P54 散列函数、安全散列函数要求

任意长输入、固定长输出、散列值容易计算、知道散列值，求不出消息、弱抗碰撞、强抗碰撞

43、签名和认证。

先计算散列值、在散列值上用私钥签名、用公钥验证签名。

44、(见24题）密钥管理：

有了公钥系统，解决了会话密钥的分配问题 公钥的管理：

公开声明、在公开发行的目录上登记、公钥授权服务、证书

45、证书的内容（结构）。P97

46、协议。Kerberos、SSL、SET、（次要：PGP、IPsec）

一、Kerberos：(14题 P82）

参与方、申请服务的通讯过程、客户-各服务器的共享密钥及其来源、服务器间的密钥

阐述：Kerberos：网络认证协议，过程是客户机向认证服务器（AS）发送请求，要求得到某服务器的证书，然后 AS 的响应包含这些用客户端密钥加密的证书。证书的构成为： 1)服务器 “ticket” ； 2)一个临时加密密钥（又称为会话密钥 “session key”）。客户机将 ticket（包括用服务器密钥加密的客户机身份和一份会话密钥的拷贝）传送到服务器上。会话密钥可以（现已经由客户机和服务器共享）用来认证客户机或认证服务器，也可用来为通信双方以后的通讯提供加密服务，或通过交换独立子会话密钥为通信双方提供进一步的通信加密服务。

二、SSL：（21题）

包括握手协议、密码变更规格协议、报警协议。会话、连接的概念（P118）

执行握手协议要完成的工作、执行过程。(P122-127)阐述：握手协议、密码变更规格协议、报警协议。

三、SET:（23题 P96）电子交易过程（见23题）对偶签名及其作用

如何实施：SET协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性。其理论基础就是不可否认机制，采用的核心技术包括X.509电子证书标准，数字签名，报文摘要，双重签名等技术。如何验证：SET协议使用数字证书对交易各方的合法性进行验证。通过数字证书的验证，可以确保交易中的商家和客户都是合法的，可信赖的。