信息安全管理重点

第一篇：信息安全管理重点

信息安全管理

第一章

1，什么是信息安全？

答：在网络基础上其安全定义是：保护信息系统的硬件，软件及相关数据，是指不因偶然或恶意侵犯而遭受破坏，更改及泄露，保证信息系统能够连续，可靠，正常的运行。在商业和经济领域：消减并控制风险，保持业务操作的连续性，并将风险造成的损失和影响降到最低。2，叙述信息安全管理的内容。

答：包括指定信息安全政策，风险评估，控制目标，选择方式，制定规范的操作流程，对人员进行安全意识培训等一系列工作。

第二章

信息安全管理体系（ISMS）是组织在整体或特定范围内建立的信息安全方针和目标，以及完善这些目标所用的方法和手段所构成的体系；

ISMS的作用

一、强化员工的信息安全意识，规范组织信息安全行为；

二．促使管理层贯彻信息安全保障体系；

三、对组织的关键信息字长进行全面的系统保护，维持竞争优势；

四、在信息组织受到侵袭时，确保业务持续开张并将损失降到最低；

五、使组织的生意伙伴和客户对组织充满信心；

六、如果通过体系认证，表明体系符合标准，证明组织有能力保障重要信息，可以提高组织的知名度和信任度。

建立ISMS的步骤 1。信息安全管理体系的策划与准备；

2．信息安全管理体系文件的编制；

3.建立信息安全体系框架；

4.信息安全管理体系的运行；

5.信息安全管理体系的审核；

6.信息安全管理体系的管理评审；

SSE-CMM将安全工程划分为3个基本的过程区域，即风险，工程，和保证；即风险，工程，和保证；其含义~风险就是有害事件发生的可能性；工程：是一个包括概

念，设计，实现，测试，部署，运行，维护和退出的完整过程。保证：

安全需求得到满足的信任程度；

PCDA的含义：

P（PLAN）计划，确定方针和目标，确定活动的计划；

D、实施，采取实际措施，事先计划中的内容；

C、检查，检查并总结执行计划的结果，评价效果，找出问题；

A、行动，对检查总结的结果进行处理，成果的经验加以肯定并适当推广，标准化；失败的教训加以总结，以免重现；

第三章

风险评估的基本步骤：1、按照组织业务运作流程进行资产识别，并根据估价原则对资产进

行估价；

2、根据资产所处的环境进行威胁评估；

3、对应每一威胁，对资产或组织存在的脆弱性进行评估；

4、对已采取的安全机制进行识别和确认；

5、建立风险测量的方法及风险等级评价原则，确定风险的大小与等

级；

第四章

在我国信息安全管理组织有4个层面：1，各部委信息安全管理部门2，各省信息安全管理

部门，3，各基层信息安全管理部门4经营单位；

信息安全组织的基本任务是：是在政府主管部门的指导下，由与系统有关的各方面专家，定

期或适时进行风险评估，根据本单位的实际情况和需要，确定信息系统的的安全等级和管理总体目标，提出相应的对策并监督实施，似的本单

位和信息系统的安全保护工作能够与信息系统的建设、应用和发张同步

进行；

信息安全教育包括：法规教育（法规教育是信息安全教育的核心）、安全技术教育（信息及

信息安全技术是信息安全的技术保证）、安全意识教育（包括组织信息安

全方针与控制目标，适用的法律法规等）；

第五章

信息系统在实际应用中采用的防泄漏措施主要有哪些？

答：1，选用低辐射设备2，利用噪声干扰源3，采取屏蔽措施4，具体防护5，采用微波吸

收材料

信息系统的记录按照其重要性和机密程度可分为以下四类；

一类记录——关键性记录；二类记录——重要记录；

三类记录——有用记录；四类记录——不重要记录；

保证电子文档安全的技术措施：签名措施，加密技术、身份认证、防火墙。

第六章

1、系统的整体开发过程可以划分为、五个阶段。、2、系统面临的技术安全问题包括、应用程序安全性 和 数据安全性 5个方面。

3、系统安全检验的方法一般有两种，分别为和；

4、系统安全原则包括：

保护薄弱环节——系统薄弱部分一般是最易受到攻击影响的部分，所以系统安全程度与薄

弱的环节密切相关，在进行系统策划时必须重点考虑可能存在的薄弱环节以

及对薄弱环节的保护；

纵深防御——使用多重防御测略来管理风险，一边在一层防御不够时另一层防御将会阻止

完全的破坏；

故障控制——任何复杂的系统都会有故障发生，这是很难避免的，可以避免的是同故障有

关的安全性问题。一次必须通过有效的故障管理，确保及时发现故障，分离

故障，找出实效的原因，并在可能的情况下解决故障，避免因系统故障而导

致系统安全问题的产生；

最小特——，是指只授予主体执行操作所必须的最小访问权限并且对于该访问权限只准许

使用所需的最少时间；

分隔——其基本思想是如果系统分成尽可能多的独立单元，那么就可以将对系统可能造成的损害降到最低；

5、系统开发应遵循的原则： 主管参与、优化与创新、充实利用信息资源、实用和实效、规范化、有效安全控制、适应发张变化；

6、系统安全性检验就是对系统的安全性进行测试验证，并评价其安全性所达到的程度的过程。系统的安全验证的方法一般有两种分别是系统鉴定和破坏性分析。

系统鉴定：

破坏性分析：把一些在系统使用方面具有丰富经验的专家和一些富有设计经验的专家组织起来，对被测试的系统进行安全脆弱性分析，专门查找可能的弱点和缺点。

第七章

1、信息安全策略分为信息安全方针和具体信息安全策略；

2、系统运行安全管理的目标是确保系统运行过程中的安全性，主要包括可靠性、可用性、保密性、完整性、不可抵赖和可控性等几个方面；

3网络故障管理的基本步骤包括 ：、解决问题；

4、系统安全审计是指对安全活动进行识别、记录、存储和分析，以查证是否发生安全事件的一种信息安全技术，它能够为管理人员提供有关追踪安全事件和入侵行为的有效证据，提高信息系统的安全管理能力。

作用是

一、对潜在的攻击者起到震慑或警告作用；

二、对于已经发生的系统破坏行为有效的追究证据；

三、提供有价值的系统使用日志，帮助管理人员及时发现系统入侵行为或潜在的系统漏洞；

四、提供系统运行的统计日志，是管理范闲人员能够系统性能上的不足或需要改进与加强的地方；

5，系统评价的主要内容？

答：系统评价是对用户和业务需求的相对满意程度，系统开发过程是否规范，系统功能的先进性，可靠性，完备性和发展性，系统的性能成本效益综合比，系统运行结果的有效性可行性和完整性，系统的实用性和操作性等方面的质量检测与分析。

第二篇：信息安全考试重点

信息是一种消息，通常以文字或声音、图像的形式来表现，是数据按有意义的关联排列的结果。信息由意义和符号组成。简单的说，信息就是指以声音、语言、文字、图像、动画、气味等方式所表示的内容。

信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。

信息安全问题可以定位在五个层次：物理安全、网络安全、系统安全、应用安全和安全管理 信息安全具有三个目标：机密性：保证机密信息不被窃听，或窃听者不能了解信息的真实含义。完整性：保证数据的一致性，防止数据被非法用户篡改。可用性：保证合法用户对信息和资源的使用不会被不正当地拒绝。

常用的网络命令

1、ping命令是DOS命令，一般用于检测网络是否通畅以及网络连接速度，其结果值越大，说明速度越慢。用法有以下：ping IP，ping URL，ping IP-t，ping IP-l 3000，ping IP-n count

2、ipconfig命令ipconfig 可用于显示当前的TCP/IP配置的设置值，这些信息一般用来检验人工配置的TCP/IP设置是否正确。用法有 ipconfig，ipconfig/all3、netstat命令 用于显示与IP、TCP、UDP和ICMP协议相关的统计数据，一般用于检验本机各端口的网络连接情况。用法有 netstat-a，netstat-n，netstat-r4、arp命令 用于确定对应IP地址的网卡物理地址。

5、net命令用于核查计算机之间的NetBIOS连接，可以查看管理网络环境、服务、用户、登录等信息内容。用法有 net share，net start

6、at命令是Windows系列操作系统中内置的命令。At命令可在指定时间和日期、在指定计算机上运行命令和程序。

7、tracert命令显示用于将数据包从计算机传递到目标位置的一组IP路由器，以及每个跃点所需的时间，用法有tracert IP或tracert URL，tracert IP-d或tracert URL-d

8、route命令是用来显示、添加和修改路由表项的，用法如下route print，route add，route change，route delete

9、nbtstat命令用来释放和刷新NetBIOS名称，用于提供关于NetBIOS的统计数据，用法如下 nbtstat-n，nbtstat-c，nbtstat-r，nbtstat-a IP

攻击是对系统安全策略的一种侵犯，是指任何企图破坏计算机资源的完整性、机密性以及可用性的活动。攻击的分类：按照威胁的来源分类1）外来人员攻击2）内部人员攻击，按照安全属性分类1)阻断攻击2）截取攻击3）篡改攻击4）伪造攻击，按照攻击方式分类1）被动攻击2）主动攻击，按照入侵者的攻击目的分类1）拒绝服务攻击2）利用型攻击3）信息收集型攻击4）假消息攻击

网络踩点也就是信息收集，踩点技巧归纳中收集的信息包括：域名，IP地址，TCP和UDP服务，系统体系结构，设备旗标，网络拓扑结构，认证控制

网络扫描是进行信息收集的一项必要工作，可以完成大量的重复性工作，为使用者收集与系统相关的必要信息。安全漏洞是指计算机系统具有的某种可能被入侵者恶意利用的属性。为什么进行网络扫描：很多入侵者常常通过发现存活的目标及其存在的安全漏洞，然后通过漏洞入侵目标系统。为了解决安全问题，网络管理员也常借助于扫描器对所管辖的网络进行扫描，以发现自身系统中的安全隐患，然后修补漏洞排除隐患。为了解决安全隐患和提高扫描效率，很多公司和开源组织开发了各种各样的漏洞评估工具。发现目标的扫描有Ping扫描和ICMP查询两种，都是用来确定目标主机是否存活。端口扫描就是发送信息到目标计算机的所需要扫描的端口，然后根据返回端口状态来分析目标计算机的端口是否打开、是否可用。端口扫描原理：端口扫描向目标主机的TCP/IP服务端口发送探测数据包，并记录目标主机的响应。通过分析响应来贩毒案服务端口是打开还是关闭，从而得知端口提供的服务或消息。常见的端口扫描技术有TCP connect全连接扫描，TCP SYN半连接扫描，秘密扫描，间接扫描。扫描工具：Nmap-扫描器之王，Nessus-分布式扫描器，X-Scan扫描器。网络监听可以有效地对网络数据、流量进行侦听、分析，从而排除网络故障，但它又同时又带来了信息失窃等安全隐患。

网络监听工具：Sniffer Pro，Ethereal，Sniffit，Dsniff其中Sniffer Pro是NAI推出的图形化嗅探器。黑客攻击的一般流程是：踩点—扫描—入侵—获取权限—提升权限—清除日志信息 踩点：获得信息的过程。扫描：是进行信息收集的一项必要工作，可以完成大量的重复性工作，为使用者收集与系统相关的必要信息。入侵：在非授权的情况下，试图存取信息、处理信息或破坏系统以使系统不可靠、不可用的故意行为。攻击的方法与技术：密码破解攻击，缓冲区溢出攻击，欺骗攻击，Dos/DDos攻击，SQL注入攻击，网络蠕虫和社会工程攻击等。密码破解攻击有字典攻击，混合攻击，暴力攻击，专业攻击LC5

缓冲区溢出攻击主要是通过网程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而达到破坏程序的堆栈，是程序转而执行其他指令，以达到攻击的目的。欺骗攻击有：源IP地址欺骗攻击，源路由欺骗攻击。

SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。

木马是一种基于远程控制的黑客工具，具有隐蔽性和非法授权性的特点。其传播方式有：通过E-mail，通过软件下载。常见的木马攻击类型：密码发送型木马，键盘记录型木马，毁坏型木马，FTP型木马。

计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。计算机病毒的特征：传染性，隐蔽性，潜伏性，破坏性。计算机病毒的命名格式<病毒前缀>.<病毒名>.<病毒后缀>，病毒前缀是指一个病毒的种类，是用来区别病毒的种族分类。病毒名是指一个病毒的家族特征，是用来区别和标志病毒家族的。病毒后缀是指一个病毒的变种特征，用来区别具体某个家族病毒的某个变种。

恶意软件也称为流氓软件，是对破坏系统正常运行的软件的统称。恶意软件介于病毒软件和正规软件之间，同时具备正常功能和恶意行为，给用户带来实质性危害。恶意软件有以下特征：强制安装，难以卸载，浏览器劫持，广告弹出，恶意卸载，恶意捆绑等

网络的物理安全风险主要指由于网络周边环境和物理特性引起的网络设备和线路的不可用，而造成网络系统的不可用。比如设备被盗，设备老化，意外故障，无线电磁辐射泄密等。防火墙通常是运行在一台或多台计算机之上的一组特别的服务软件，用于对网络进行防护和通信控制。内部网络与外部网络所有通信的数据包都必须经过防火墙，防火墙只放行合法的数据包。防火墙的规则：1）接受—允许通过 2）拒绝—拒绝信息通过，通知发送信息的信息源 3）丢弃—直接丢弃信息，不通知信息源。防火墙的优点主要包括：1）可以完成整个网络安全策略的实施。2）可以限制对某种特殊对象的访问。3）具有出色的审计功能，对网络连接的记录、历史记录、故障记录等都具有很好的审计功能、4）可以对有关的管理人员发出警告。5）可以将内部网络结构隐藏起来。防火墙的缺点、弱点：1）不能防止不经过它的攻击，不能防止授权访问的攻击。2）只能对配置的规则有效，不能防止没有配置的访问。3）不能防止通过社交工程手段的攻击和一个合法用户的攻击行为。4）不能防止针对一个设计上有问题的系统攻击。防火墙技术包括1）包过滤技术 是防火墙在网络层中根据数据包中包头信息有选择地实施允许通过或阻断。2）应用网关技术接受内、外部网络的通信数据包，并根据自己的安全策略进行过滤，不符合安全协议的信息被拒绝或丢弃。3）电路级网关技术常被称为线路级网关，它工作在会话层，在两个主机首次建立TCP连接时创建一个电子屏障，它作为服务器接收外来请求、转发请求，与被保护主机连接时，则担当客户机的角色，起代理服务的作用。4）状态监测技术当数据包达到防火墙的接口时，防火墙判断数据包是不是属于一个已经存在的连接，如果是就对数据包进行特征检测，并判断策略是否允许通过，如果允许就转发到目的端口并记录日志，否则就丢掉数据包。5）代理服务器技术代理服务器防火墙作用在应用层，用来提供应用层服务的控制，在内部网络向外部网络申请服务时起到中间转接作用。6）网络地址转换技术（NAT）堡垒主机是网络上最容易遭到非法入侵的设备，构建堡垒主机应注意以下几点：1）选择合适的操作系统，它需要可靠性好，支持性好，可配置性好。2）堡垒主机的安装位置3）堡垒主机提供的服务4）保护系统日志5）进行监测和备份。防火墙的性能指标有：吞吐量、报文转发率、最大并发连接数、每秒新建连接数。

FDT指64字节数据包的全双工吞吐量，该指标既包括吞吐量指标也涵盖了报文转发率指标。防火墙的常见产品：Check Point FireWall-1，Gauntlet，NetEye，天网防火墙，瑞星防火墙，Linux自带防火墙iptables。入侵检测技术包括异常检测技术和误用检测技术。异常检测也称基于行为的检测，是指根据使用者的行为或资源使用情况来判断是否发生了入侵，而不依赖于具体行为是否出现来检测。入侵检测有四种可能性：是入侵但非异常；非入侵但表现异常；非入侵且非异常；是入侵且异常。该技术包括的方法：1）用户行为概率统计模型2）预测模式生成3)神经网络。

误用检测技术也称基于知识的检测，它是指运用已知攻击方法，根据已定义好的入侵模式，通过判断这些入侵模式是否出现来检测。它通过分析入侵过程的特征、条件、排列以及事件间的关系来描述入侵行为的迹象。误用检测技术首先要定义违背安全策略事件的特征，判别所搜集到的数据特征是否在所搜集的入侵模式库中出现。该技术包括的方法：1）专家系统2）模型推理3）状态转换分析4）模式匹配5）键盘监控

是一种能够将物理上分布在不同地点的网络通过公共骨干网，尤其是Internet连接而成的逻辑上的虚拟子网。它提供了通过公用网络安全地对企业内部网络进行远程访问的连接方式。VPN安全技术有：1）隧道技术2）加密技术3）身份认证技术：安全口令，PPP认证协议，使用认证机制的协议4）密钥管理技术

密码学是研究编制密码和破解密码的技术科学。密码体制的基本类型：1）错乱—安全规定的图形和线路，改变明文字母或数码等的位置成为密文。2）代替—用一个或多个代替表将明文字母或数码等代替密文3）密本—用预先编定的字母或数字密码组，代替一定的词组单词等变明文为密文4）加乱—用有限元素组成的一串序列作为乱数，按规定的算法，同明文序列等变明文为密文。进行明密变换的法则称为密码的体制，指示这种变换的参数称为密钥。密码体制的分类：对称密码体制和非对称密码体制。对称密码体制又称单钥或私钥或传统密码体制。非对称密码体制又称双钥或公钥密码体制。对密码的攻击类型有：1）唯密文攻击2）已知明文攻击3）选择明文攻击4）选择密文攻击。古典密码学有：古典加密方法，代替密码，换位密码。对称密码学有：DES加密算法 是一种常规密码体制的密码算法，是64位的比特。非对称加密算法是指用于加密的密钥与用于解密的密钥是不同的，而且从加密的密钥无法推导出解密的密钥。RSA算法是目前应用最为广泛的公钥密码算法。

散列函数也称为Hash函数、杂凑函数、哈希算法、散列算法。它通过把一个单向数学函数应用于数据，将任意长度的一块数据转换为一个定长的、不可逆的数据。可以敏感地检测到数据是否被篡改。散列函数的特点：1）接受的输入报文数据没有长度限制。2）对输入任何长度的报文数据能够生成该电文固定长度的摘要输出3）从报文能方便地算出摘要4）极难从指定的摘要生成一个报文，而由该报文又反推算出该指定的摘要5）两个不同的报文极难生成相同的摘要。Hash算法在信息安全反面主要体现在：1）文件校验2）数字签名3）鉴权协议。以512位分组来处理输入的信息，且每一分组又被划分为16个32位子分组，经过了一系列的处理后，算法的输出由4个32位分组组成，将这4个32位分组级联后将生成一个126位散列值。数字签名就是通过某种密码算法运算生成一系列字符及代码组成电子密码进行签名，来代替书写签名或印章，对于这种电子式的签名还可以进行技术验证，其验证的准确度是一般手工签名和图章的验证无法比拟的。数字签名目前电子商务、电子政务中应用最普遍、技术最成熟、可操作性最强的一种电子签名方法。

利用数字证书标识密钥持有人的身份，通过对密钥的规范化管理，为管理机构建立和维护一个可信赖的系统环境，透明地为应用系统提供身份认证、数据保密性和完整性、杭抵赖等各种必要的安全保障，满足各种应用系统的安全需求。PKI是提供公钥加密和数字签名服务的系统，目的是为了自动管理密钥和证书，保证网上数字信息传输的机密性、真实性、完整性和不可否认性。PKI的作用：1）对身份合法性进行验证2）实现数据保密性和完整性 3）实现数据传输安全性4）实现数字签名和不可抵赖性

PKI的体系结构可以有三种情况：单个CA，分级（层次）结构的CA和网状结构的CA。PKI的组成：PKI公钥基础设施体系主要由密钥管理中心，CA认证机构，RA注册审核机构，证书/CRL发布系统和应用接口系统五部分组成。一个典型、完整、有效地PKI应用系统至少应具有以下部分：公钥密码证书管理，黑名单的发布和管理，密钥的备份和管理，自动更新密钥，自动管理历史密钥，支持交叉认证。PKI的标准：1）X.209ASN.1基本编码规则的规范2）X.500信息技术之开发系统互联：概念、模型及服务简述3）X.509信息技术之开放系统互联：鉴别框架4）PKCS系列标准5）OCSP在线证书状态协议6）LDAP轻量级目录访问协议

数字证书就是网络通信标志通信各方身份信息的一系列数据，其作用类似于现实生活中的身份证。数字证书的内容：1）证书数据：版本信息，证书序列号，CA所使用的签名算法，发行证书CA的名称，证书的有效期限，证书主题名称等2）发行证书的CA签名

SQL注入攻击的防范：（1）Web服务器的安全配置1）修改服务器初始配置2）及时安装服务器安全补丁3）关闭服务器的错误提示信息4）配置目录权限5）删除危险的服务器组件6）及时分析系统日志

（2）数据库的安全配置1）修改数据库初始配置2）及时升级数据库3）最小权利法则（3）脚本解析器安全配置（过滤特殊字符（5）应用存储过程防范SQL注入攻击

第三篇：信息安全复习重点

信息安全概论期末复习提纲

１、试从密码哈希函数、密钥交换、数字签名和证书等几方面论述加密技术在信息安全方面的应用。

（1）密码哈希函数

主要用于保证数据的完整性，该函数必须依赖于被密封文件或数据的所有位，这样，文件或数据的每一位的变化都会影响到校验和的结果。

（2）密钥交换

公钥加密体制可以在两个主体建立加密通道以前，安全地交换相应的对称会话密钥。假设S和R(发送者和接受者)想得到一个共享的对称密钥，假定S和R都已经拥有了用于普通加密算法的公钥，S和R的私钥、公钥分别为kPRIV_S、kPUB_S和kPRIV_R、kPUB_R，S任意选出一个对称密钥K，想把它安全地发给R，并且让R确认该密钥是S所发，则S可以发送E(kPUB_R ,E(kPRIV_S,K))给R。

（3）数字签名

数字签名是指用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据。信息接收者使用信息发送者的公钥对附在原始信息后的数字签名进行解密后获得哈希摘要，并通过与自己用收到的原始数据产生的哈希哈希摘要对照，便可确信原始信息是否被篡改。这样就保证了数据传输的不可否认性。

（4）证书

数字证书是各类实体(持卡人/个人、商户/企业、网关/银行等)在网上进行信息交流及商务活动的身份证明，在电子交易的各个环节，交易的各方都需验证对方证书的有效性，从而解决相互间的信任问题。证书是一个经证书认证中心（CA）数字签名的包含公开密钥拥有者信息以及公开密钥的文件。

从证书的用途来看，数字证书可分为签名证书和加密证书。签名证书主要用于对用户信息进行签名，以保证信息的不可否认性；加密证书主要用于对用户传送信息进行加密，以保证信息的真实性和完整性。

简单的说，数字证书是一段包含用户身份信息、用户公钥信息以及身份验证机构数字签名的数据。认证中心（CA）的数字签名可以确保证书信息的真实性。

２、消息认证有哪些方式？试分析其实现过程。

３、常见的古典密码（替换密码、置换密码）以及现代密码的原理与实现过程。４、何为缓冲区溢出漏洞？其可能产生的危害是什么？（回答要点）

缓冲区是用来存放数据的空间，缓冲区大小是有限的，一旦存放的数据超过了缓冲区的容量就会产生缓冲区溢出，其主要可能的危害有：

（１）（２）（３）（４）

当数据溢出到用户代码区域时，就会使应用程序执行错误代码而运行错误； 当数据溢出到用户的数据空间时，可能覆盖已存在的变量值，使计算结果错误； 当数据溢出到系统的代码区域时，会使系统执行错误指令异常而停机； 当数据溢出到系统的数据空间时，也会导致计算结果错误；

（５）攻击者可能利用缓冲区溢出修改系统代码；

（６）攻击者可能修改旧堆栈指针或改变返回地址，当程序定位到他希望的地方，造成更严重的安全问题。

５、举例说明何为“检查时刻到使用时刻(TOCTTOU)”漏洞？简述其解决方案。（回答要点）（1）选择一个实例说明时关键要讲清楚检查时刻与使用时刻的主体是不同的。（2）可以通过在检查后对主体进行数字签字的方式来防止检查后主体被修改。６、计算机病毒的特点以及运行机制。（传统计算机病毒、宏病毒以及蠕虫病毒）

计算机病毒可分初始化驻留、病毒的传染与传播、病毒表现、反跟踪调试四个部分来讨论其运行机制。

（１）初始化驻留

计算机病毒一般都要加载到系统，驻留于内存，并截取相关的中断，以便进行病毒的传染与传播，控制病毒的潜伏与表现，为此很多病毒还会通过修改系统系统注册表等方法，把自己设置成能够自动加载的程序，当然系统引导性病毒附着于系统引导程序，自然可以保证在系统启动加载。

（２）病毒的传染与传播

传统计算机病毒可通过存储介质间的拷贝和网络进行主动传播，主要是通过截取磁盘读写等一些常用的中断，以便在系统进行磁盘读写或可执行文件加载到内存时对其进行传染，有较强的隐蔽性；而蠕虫病毒主要是利用系统或应用程序的一些漏洞，入侵系统并获取控制权来进行蠕虫病毒在网络上的传播或安装，当然也有通过Email、伪装成常用的工具或游戏软件方法进行间接的传播，蠕虫病毒也可以利用Java、ActiveX等技术“潜伏”在网页中，用户浏览该网页时就有机会进行传播；而宏病毒是利用word等文档中采用的宏，将病毒代码插入这些文档的自动宏、标准宏以及常用的一些模板文件中。

（３）病毒表现

很多病毒进行系统后并不马上表现出一些相关的病毒特征，而是处于潜伏状态，静静地进行病毒的复制与传播，只有在满足一定条件的情况下才会发作，表现出相应的干扰或破坏。很多病毒都有专门的代码时刻检测病毒表现的条件是否满足，通常是把这些代码插入或替换跟时钟有关的一些中断服务程序。

（４）反跟踪调试

很多病毒有专门对付跟踪调试的代码，使得对病毒的分析难以进行，通常是把这部分代码插入或替换单步中断、断点中断等跟程序调试有关的中断服务程序。

而蠕虫病毒主要是利用系统或应用程序的一些漏洞，入侵系统并获取控制权来进行蠕虫病毒在网络上的传播或安装，当然也有通过Email、伪装成常用的工具或游戏软件方法进行间接的传播，蠕虫病毒也可以利用Java、ActiveX等技术“潜伏”在网页中，用户浏览该网页时就有机会进行病毒传播。

蠕虫病毒的主要危害是进行病毒复制传播时，大量激增的数据通信会使网络阻塞，有些蠕虫病毒还会攻击系统的一些安全漏洞使被入侵的系统无法正常工作（如反复启动、死机等），以上这些实际上成了一种拒绝服务攻击。有些蠕虫病毒还跟一些黑客手段结合，如在被入侵的系统中

安装木马，以此达到对被入侵目标的更完全的控制。

宏病毒主要是利用了Office软件提供的宏功能，是一种寄存在Word文档或模板的宏中的计算机病毒。一旦打开这样的文档，宏病毒就会被激活，转移到计算机上，并驻留在 Normal 模板上。从此以后，所有自动保存的文档都会感染上这种宏病毒，如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。为了确保自己有机会运行进驻系统，宏病毒通常感染标准宏、自动宏以及一些通用模板。

７、木马程序的特点、功能以及运行机制。（从程序结构、植入方式、控制等几方面阐述）特洛伊木马程序往往采用的是C/S结构，其Server端程序要先植入被入侵的主机，攻击者使用其Client端程序通过Server程序达到控制被入侵主机的目的。

木马Server端程序采用直接入侵和间接入侵两种植入方法。直接入侵就是通过探测扫描大量主机以寻找入侵主机目标，入侵有安全漏洞的主机并获得控制权，即可在这些主机上安装木马Server端程序，并可利用已入侵主机继续进行扫描和入侵。而间接入侵主要通过伪装软件法、Email法和网页法欺骗用户安装木马Server端程序。木马程序往往通过修改系统注册表等方法，把自己设置成能够自动加载的程序。

木马程序一般具有一下功能：

（１）远程主机的Windows资源浏览(上下载、远程执行)。（２）远程屏幕显示以及键盘、鼠标控制。

（３）Email飞鸽传书功能。通过这一功能一旦被入侵者上网，木马Server端程序就可以及时通过Email通知攻击者，并提供被入侵主机IP地址的和木马Server端程序的端口等重要信息。

８、何为间谍程序(Spyware)、Salami攻击？试分析其运行机制以及主要危害。

Salami是指一种意大利香肠，Salami攻击类似于香肠制作过程，是一种积少成多的非法获取利益的攻击过程。比如每次都将交易的零星小数从总额中扣下，存入自设的账户，日积月累往往可以达到可观的数目，而每次扣掉的金额很小，一般很难被发现，有较好的隐蔽性。

９、何为隐蔽通道？

１０、试简述操作系统对一般对象常用的访问控制方法，分析这些方法的特点并比较之。操作系统中，对一般对象的访问控制采用访问目录、访问控制列表和访问控制矩阵三种控制方法。

采用访问目录的控制方法，每个用户都需要一张访问目录表，该列表指定了该用户可以访问的对象以及访问权限，该方法易于实现。但主要有三个问题，首先，如果所有用户都可访问的共享对象太多，将造成列表太大；另一个问题是如果要撤消某一个共享对象的访问权限，要更新的列表可能很多，开销很大。第三个问题跟文件别名有关。

采用访问控制列表的控制方法，每个对象都有一个列表，列表中包含可以访问该对象的所有主体，以及主体具有的访问权限。这一控制方法可以在列表包含默认用户以及相应的访问权限，这样，特殊用户可以在列表的前面说明其访问权限，而其他用户则是默认的访问权限，这一方法可以大大地减小控制列表，使维护更加方便。

访问控制矩阵是一张表格，每一行代表一个主体，每一列代表一个对象，表中的每个元素都表示一个主体对某一个对象的访问权限。总的说来，访问控制矩阵是一个稀疏矩阵，因为许多主

体对大多数对象没有访问权。访问控制矩阵可以用一个形式为<主体，对象，权限>的三元组表示。但是查找大量的三元组效率太低，故很少使用。

１１、试简述unix系统中Suid访问许可的特点以及应用。

在unix系统中，可以通过对一个可执行文件设置Suid位，使其他用户在运行该程序时获得文件主的访问权限，可以对该文件主的其他文件也有完全的访问权限，而一旦退出该程序，用户恢复其原来的权限。

可以利用Suid访问许可的特点做很多有关系统安全方面的工作，unix系统的口令修改程序就是一个很好的例子，任何用户都可以且只能通过运行该程序来修改自己的口令，而用户自己则不能直接修改口令文件，保证了系统的安全。

１２、何为salt口令？其作用是什么？采用salt口令时的用户鉴别过程。

salt口令的作用是防止在密文口令系统中通过查找相同的口令密文来猜测口令，具体的做法是在原来的口令中加上扩展信息(即salt)，这样即使口令相同，由于每个口令的salt不同，最后口令的密文也不同，避免了从相同的口令密文推测口令的可能性。salt可以是用户的ID+口令创建时间，创建用户的同时，在口令表中要登记相应的salt，这样在用户登录时，根据用户输入的用户名，可以找到口令表中相应的表目，再根据用户输入的口令附加上对应的salt，按照相应的单向加密算法，求得相应的口令密文，跟口令表中的口令密文做比对，以此来确定用户身份的合法性。

１３、试简述数据库的两阶段更新方案。

如果在修改数据的途中计算系统出现故障，则数据库的完整性有可能被破坏，为了解决此问题，数据库系统通常采用两阶段更新方案。

第一阶段称为意向阶段，在这个阶段计算结果，并将其保存于一些临时变量中，这个阶段不会对数据库做任何修改，所以如果在期间系统出现故障，所有的操作可以等系统恢复时重做。

第一阶段的最后事件是设置提交标记，意味着系统进入第二阶段，即永久更新阶段，在这个阶段数据库将前一个阶段保存于临时变量的计算结果复制到相应的数据库字段中，如果在这个阶段系统出现故障，则等系统恢复后只需重复第二阶段的操作即可。提交标记为０或１是区分系统在哪个更新阶段出现故障的依据，数据库系统可以根据不同的情况做不同的处理。

１４、举例说明数据库统计推理攻击的原理以及常用的对策。

数据库统计推理攻击是一种通过非敏感数据(如一些敏感数据的统计结果)推断或推导敏感数据的方法。例如可以综合利用一些敏感数据的“和”和“计数”的统计结果，揭露某个计数为１的分类的个体敏感数据。推理问题是数据库安全中的一个很微妙的弱点，常用的对策有查询控制和数据项控制，其中数据项控制包括有限响应禁止、组合结果、随即样本和随机数据扰乱几种方法。

１５、钓鱼网站攻击原理以及预防方法

钓鱼网站的攻击原理是伪装，通过将黑客控制的网站伪装成另一网站，并发布在互联网上，吸引用户点击链接并输入私密信息，然后进行网络欺诈，严重危害互联网用户的利益，这种诱捕式的攻击类似钓鱼活动，故叫钓鱼网站攻击。常用方式有混淆域名和覆盖受害者主页。

预防方法：

（１）准确记忆常用网址，输入时进入小心校对，以免疏忽大意进入此类网站。（２）不要轻易打开陌生人给的网址，或不熟悉网址，谨防受骗。

（３）安装个人防火墙进行保护，并及时升级病毒库和补丁更新。也可以有安装专门拦截钓鱼网站的安全软件，一旦发现此类网站便将其过滤掉。

１６、对称和非对称加密体制下的中间人（MITM）攻击的原理以及实施过程。

中间人攻击就是一个恶意的中间人可以通过截取加密通信的密钥，偷听甚至修改某些通信内容。假如用户A和用户B要通过公钥体制进行加密通信，则中间人攻击的实施过程如下：

（1）截取用户A发往密钥服务器的要求用户B的公钥的请求，代之以其对用户B的公钥请求，传送给服务器。

（2）当服务器用用户B的公钥进行响应的时候，他又将它截取下来，并将他自己的公钥发送给用户A。

（3）用户A用获取的公钥（实际上是中间人的公钥）对数据进行加密，中间人将截取并解密，读取甚至修改其中的内容，而后重新用用户B的公钥进行加密后，发送给用户B。而以上这些情况用户A和用户B都很难有所察觉。

１７、常见的拒绝服务(DoS)攻击有哪些？试分析各自的特点以及原理；何为分布式拒绝服务(DDoS)攻击？试分析其特点以及运行机制。

DoS是Denial of Service的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。

（１）连接洪泛是利用ICMP(Internet Control Message Protocol, 网间控制报文协议)的一种网络攻击，而同步洪泛则是利用使用面向会话的TCP协议组的缺陷来实施攻击，它们的本质都是拒绝服务攻击。

（２）以常见的连接洪泛攻击为例，如响应索取、死亡之Ping和Smurf攻击等，说明其原理以及拒绝服务攻击的本质。

（３）同步洪泛攻击则要着重说明三次连接握手的过程，要解释被攻击利用的面向会话TCP协议组的缺陷。

分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者利用系统或应用程序的一些漏洞，入侵系统并获取控制权,将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经通过与主控程序类似的入侵方法被安装在Internet上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。

拒绝服务攻击是通过一定方式干扰或淹没服务器或个人通信系统，使其无法向用户提供正常

服务的攻击方式。

实例：

(1)同步洪泛：基于TCP/IP协议的对等层次间三次握手，建立对话的机制，攻击者发送大量SYN请求，而不以ACK进行响应，以占满受害者的SYN-RECV连接队列，这样当有真正请求发过来时，其请求将会被丢失。

(2)流量重定向：路由器工作在网络层，负责路由寻址，假设有一个路由器向附近路由器报告它到所有目标地址都有最佳路径，那么其他路由器将会把信息发到该路由器上，该路由器会因被淹没而丢失信息，或直接将所有信息一丢了之，这样就造成了拒绝服务。

DNS攻击是通过系统的漏洞控制一个DNS服务器，修改其中的地址转换表表目，使相应的域名不能转换到正确的IP地址，进而不能访问到相应的网页，这样就造成了拒绝服务。

１８、何为通信流推理威胁？简述对付通信流推理威胁的常用方法。

所谓通信流推理攻击是指通过分析网络通信流量变化和通信的源地址和目标地址，来推理一些敏感的信息。通常采用维护节点间流量平衡来抵御流量分析，还可以洋葱式路由的通信控制方式来隐匿源节点和目标节点的地址，，１９、SSL（Secure Sockets Layer）建立安全通信通道的过程。SSL加密的实施过程如下：（１）客户请求一个SSL会话。

（２）服务器用它的公钥证书响应，以便客户可以确认服务器的真实性（３）客户返回用服务器公钥加密的对称会话密钥，服务器用它的私钥解开。（４）双方用共享的会话密钥进行加密通信。２０、签名代码的机制以及实现过程

签名代码是让一个值得信赖的第三方对代码进行签名，言外之意，使代码更值得信赖，通过数字签名来证实软件来源及发布者的真实身份，签名后代码将不能被恶意修改，这也保证了代码完整性，用户下载到软件包时，也可以验证代码的可信度。

实现过程：

（1）可信任的第三方对代码计算哈希值，并用其私钥进行数字签名。

（2）用户下载代码后，用该第三方的公钥对其进行解密并得到该代码原来的哈希值。

（3）重新求代码哈希值并与原来的哈希值对比，若相同，则说明该代码的真实性由第三方保证，并且该代码没有被恶意修改过。

２１、何为链路加密和端对端加密？试分析它们各自的特点以及利弊。

２２、试简述口令攻击的一般方法，并讨论一个安全的口令选择要注意什么？如何构造一个安全的鉴别系统？

口令攻击有在线口令攻击和离线口令两种。

在线口令攻击是通过截取口令，如果口令是加密的，还要采用暴力攻击、字典攻击或猜测用户可能的口令等方法对口令进行解密。

离线口令攻击则通过分析系统中的口令文件来获得相关的口令。如果口令文件是加密的，则可以采用暴力攻击、字典攻击或猜测用户可能的口令等方法对相关的口令进行解密；如果口令文

件是明文，则系统一般是通过设置访问权限的方法控制对口令文件的访问，攻击者可以通过利用操作系统缺陷来获取对口令文件的访问权限、分析口令可能存放的内存区或利用系统备份来获取相关的口令。

可以通过以下方法来构造一个安全的鉴别系统：（１）帐户封锁。多次登陆错误，就封锁相关的帐户。

（２）鉴别程序响应延时。发生一次登陆错误后，延时显示登陆界面。（３）采用一次性口令。（４）采用质询响应系统。

（５）采用组合健保证安全鉴别。（６）采用生物特征鉴别方式。

２３、一次性口令（包括口令列表、口令令牌）、质询响应系统的实施方案（原理、用户鉴别过程）以及特点比较。

在一次性口令系统中，每个口令就只使用一次，每次鉴别采用不同的口令。可以采用口令列表或口令令牌的方式来管理一次性口令。口令列表中存放着可用的口令，每次鉴别使用一个口令，用户和主机使用相同的口令列表，口令列表方式中对于口令列表的维护是个难题；口令令牌方式使用硬件设备来产生不可预测的口令序列，采用的是同步令牌，这种设备能定时地（如每分钟）产生一个随机数，用户读取设备显示的数据，将它作为一个一次性口令输入，接收端主机执行算法产生适合于当前时刻的口令，如与用户输入的口令相符，则用户可通过鉴别。采用口令令牌方式要解决设备间的时间偏差问题，另外两个口令之间的一个时间间隔内，原来这个口令是可以重用的，截取者有可能会利用这一弱点。

质询响应中，质询和响应设备看起来更象一个简单的计算器，用户先到设备上进行鉴别（通常使用PIN），远程系统就会发送一个称为“质询”的随机数，用户将它输入到设备中，然后将该设备的响应数字传递给系统。这种方式消除了用户重用一个时间敏感的口令的弱点，而且没有PIN，响应生成器即使落到其他人手中也是安全的。

２４、以请求访问文件服务器中的一个文件F为例，试从用户身份鉴别、访问请求授权、访问请求的实现三方面来阐述Kerberos系统的运行机制以及特点。

在Kerberos系统中，该过程分以下三步实现：（１）启动一个Kerberos会话

在用户登陆时，用户工作站将用户的身份发送给Kerberos服务器，在验证该用户是已授权的合法用户后，Kerberos服务器发送给用户工作站一个会话密钥SG和票据授权服务器(G)的一个票据TG，其中用于与票据授权服务器的通信，使用用户的口令进行加密：E(SG+TG, pw);同时给票据授权服务器一个会话密钥SG的拷贝和用户的身份，用Kerberos服务器与票据授权服务器之间共享的KS-TGS密钥加密。

如果用户可以使用它的口令pw成功解密E(SG+TG, pw)，则该用户通过了鉴别，事实上也认证了Kerberos服务器的真实性。用户的口令存放于Kerberos服务器中，没有在网络上传送，保证了系统的基本安全。

（２）获得访问文件的票据

用户U向票据授权服务器发送一个用SG加密的访问文件F的请求，票据授权服务器对U的访问许可进行验证后，它会返回一个票据和一个会话密钥SF，其中SF将用于与文件服务器的通信，返回的票据包含了U的已鉴别身份、F的说明、允许的访问权限、会话密钥SF以及该票据的有效日期等，票据使用一个票据授权服务器与文件服务器之间共享的TGS-F密钥加密，用户以及其他人不能读取、修改或伪造它，其中的时间戳也在一定程度上保证了该票据不能被重用。

已加密的票据和会话密钥SF通过SG加密后返回给用户U，用户解密后即可获得SF，以上这一个过程事实上也认证了票据授权服务器的真实性。

（３）向文件服务器请求访问文件F

用户U向文件服务器发送已用TGS-F密钥加密的服务票据，文件服务器用TGS-F密钥解密后，分析允许的访问权限、票据的时间戳等后，根据要求提供服务，随后的文件传送数据是用会话密钥SF加密的。

文件服务器能用TGS-F解密相应的服务票据，也就认证了其身份的真实性。

２５、试从邮件（电子支票）的机密性、完整性、发送者身份的鉴别和加密密钥的交换四个方面阐述安全邮件系统（电子支票系统）的实现方案。

安全邮件系统通常结合了公钥（非对称）加密体制、密钥（对称）加密体制和数字签名技术，来保证邮件系统的安全性和效率。

邮件系统的机密性通过对邮件的加密来实现，考虑加密解密的效率，通常采用密钥（对称）加密体制，发送者用系统随机产生的对称密钥对邮件进行加密后，再用接受者的公钥对该对称蜜钥进行加密，并将其附在加密后的邮件中，这样接受者收到加密的邮件后，可以先用其私钥解密发送者事先用接受者公钥加密的对称加密密钥，取得该对称密钥，就能够解密邮件，取得邮件明文。

在发送者对邮件进行加密以前，可以先取得该邮件的消息摘要，并用其私钥对该消息摘要进行数字签名，并将数字签名后的邮件消息摘要附在加密邮件中，这样接受者可以用发送者的公钥解密加密的消息摘要，并计算邮件当前的消息摘要，如果与原来保存的一致，就证明邮件没有被篡改，同时也确认了发送者的身份。

试卷组成（１）（２）（３）（４）

单选题 判断题 简答题 综合题

30分 22分

28分 20分

第四篇：信息安全管理

概述

1、信息安全定义：在技术上和管理上为数据处理系统建立的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭至破坏、更改和泄露

2、分类：实体安全、运行安全、信息安全、管理安全

3、信息安全保障：人员、技术、管理

4、管理活动的五个基本要素：

谁来管：管理主体，回答由谁管的问题；

管什么：管理客体，回答管什么的问题；

怎么管：组织的目的要求，回答如何管的问题；

靠什么管：组织环境或条件，回答在什么情况下管的问题。

管得怎么样：管理能力和效果，回答管理成效问题。

5、信息安全管理是通过维护信息的机密性、完整性和可用性等，来管理和保护信息资产的一项体制，是对信息安全保障进行指导、规范和管理的一系列活动和过程。

6、信息安全管理是信息安全保障体系建设的重要组成部分

7、信息安全管理的内容：安全方针和策略；组织安全；资产分类与控制；人员安全；物理与环境安全；通信、运行与操作安全；访问控制；

第五篇：网络信息安全重点

重点

一、对称密码算法DES，要熟悉其过程，并能对对S盒子进行计算，书上有例子。

二、非对称密钥RSA算法，熟悉密钥产生过程，能根据给出的公钥，会计算私钥及加密，书上有例子。

三、熟悉数字签名的基本原理，并能根据要求画图设计，这个上课反复强调。

四、掌握一些基本概念知识点：如信息安全三大安全属性、入侵检测分类、防火墙概念、数字证书、PKI、IPsec的模式、以及哈希函数等概念。