第一章 网络信息安全概述

1.1 网络信息安全基本属性

• 机密性（Confidentiality）：指网络信息不泄露给非授权的用户、实体或程序，能够防止非授权者获取信息。
• 完整性（Integrity）：指网络信息或系统未经授权不能进行更改的特性。
• 可用性（Availibility）：指合法许可的用户能够及时获取网络信息或服务的特性。
• 抗抵赖性：指防止网络系统相关用户否认其活动行为的特性。
• 其他：可控性、真实性、时效性、合规性、公平性、可靠性、可生存性、隐私性。
• 网络信息安全脆弱性：指计算系统中与安全策略相冲突的状态或错误。

1.2 网络信息安全基本功能（PDRR）

• 网络信息安全防御（Protection）
• 网络信息安全监测（Detection）
• 网路信息安全应急（Response）
• 网络信息安全恢复（Recovery）

1.3 网络安全管理方法

• 风险管理 + 等级保护 + 纵深防御 + 层次化保护 + 应急响应 + PDCA（Plan-Do-Check-Act）

1.4 网络信息安全风险

• 避免风险：通过物理隔离设备将内外网分开
• 转移风险：购买商业保险计划或安全外包
• 减少威胁：安装防病毒软件包
• 消除脆弱点：给操作系统打补丁、强化操作人员安全意识
• 减少威胁影响：多通路备份、制定应急预案
• 风险监测：定期进行风险分析

1.5 网络信息安全管理流程

• 确定对象
• 评估价值
• 识别威胁
• 识别脆弱性
• 确定风险级别
• 制定防范体系和措施
• 实施落实防范措施
• 运行维护安全设备及配置

1.6 网络信息安全系统的生命周期

• 系统规划：风险评估、标识安全目标、标识安全需求；
• 系统设计：标识控制方法、权衡解决方案、计体系结构；
• 系统集成实现：购买部署设备或产品、配置激活安全特性、评价实现效果、验证安全需求、检查运行环境；
• 系统运行和维护：建立管理组织、制定规章制度、重新评估管理对象、适时调整配置设备、发现修补系统漏洞、威胁监测与应急；
• 系统废弃：对替换或废弃的组件风险评估、废弃组件安全处理、系统组件的安全更新；

1.7 网络安全等级保护的主要工作

• 定级 → 备案 → 建设整改 → 等级测评 → 运营维护（监督检查）

1.8 国家密码管理与网络安全相关政策文件

文件名称	生效时间
《中华人名共和国密码法》	2020-01-01
《商用密码管理条例》	1999-10-07
《商用密码科研管理规定》	2006-01-01
《商用密码产品生产管理规定》	2006-01-01
《商用密码产品销售管理规定》	2006-01-01
《商用密码产品使用管理规定》	2007-05-01
《境外组织和个人在华使用密码产品管理办法》	2007-05-01
《信息安全等级保护商用密码管理办法》	2008-01-01
《信息安全等级保护商用密码管理办法实施意见》	2009-12-15
《信息安全等级保护商用密码技术实施要求》	2009-12-15
《中华人民共和国电子签名法》	2005-04-01
《中华人民共和国国家安全法》	2015-07-01
《中华人民共和国网络安全法》	2017-06-01
《中华人民共和国数据安全法》	2021-09-01
《网络安全等级保护2.0》	2019-12-01

第二章 网络攻击原理与常用方法

2.1 网络攻击模型

• 攻击树模型：起源故障树，用AND-OR形式的树形结构
• MITRE ATT&CK模型：即攻击矩阵模型
• 网络杀伤链模型（Kill Chain）：目标侦查 → 武器构造 → 载荷投送 → 漏洞利用 →安装植入 → 指挥与控制 → 目标行动

2.2 网络攻击常见技术方法

2.2.1 端口扫描

• 完全连接扫描：利用TCP/IP协议的三次握手连接机制。
• 半连接扫描：三次握手只完成前两次握手。
• SYN扫描：只发送SYN包并查看返回数据包的响应类型，ACK类型为开放，RST类型为关闭。
• ID头信息扫描：需要一台第三方主机配合，该主机通信量非常少（dumb主机B），源主机A先ping主机B，再假冒B向目标主机C任意端口发送SYN数据包，根据后续ping响应数据包的ID头值的递增规律判断端口开放情况。端口开放则递增值大于1；端口关闭则递增值等于1。
• 隐蔽扫描：成功绕过IDS、防火墙和监视系统取得端口信息。
• SYN|ACK扫描：直接发送SYN|ACK数据包。端口开放则直接丢包，无信息返回；端口关闭则返回RST信息。
• FIN扫描：直接发送FIN数据包。端口开放则无信息返回；端口关闭则返回RST信息。
• ACK扫描：直接发送FIN数据包，查看响应数据包的TTL值和WIN值。端口开放则TTL一般小于64，WIN一般大于0；端口关闭则TTL一般大于64，WIN一般等于0。
• NULL扫描：将数据包中的SYN ACK FIN RST URG PSH等标志位全部置空。端口开放则无信息返回；端口关闭则返回RST信息。
• XMAS扫描：与NULL扫描类似，将上述标志位全部置为1。端口开放则无信息返回；端口关闭则返回RST信息。

2.2.2 口令破解

2.2.3 缓冲区溢出

2.2.4 恶意代码

• 小莫里斯蠕虫：具备复制传播功能，可感染UNIX主机，致使网上6000多台主机无法运行。
• 红色代码蠕虫：2001年8月，利用微软Web服务器IIS4.0或5.0的index服务的安全缺陷，通过自动扫描感染方式传播。
• 震网络蠕虫：2010年，首个专门用于定向攻击真实世界中基础能源设施的恶意代码。

2.2.5 拒绝服务

• 同步包风暴（SYN Flood）：假造源IP发送很多SYN数据包给服务器，服务器无法收到ACK数据包，于是大量连接处于半连接状态。
• UDP洪水（UDP Flood）：利用简单的TCP/IP服务，如用Chargen和Echo服务传送毫无用处的占满带宽的数据。将源IP指向开放了Echo服务的主机，伪造该主机与某一主机的Chargen服务之间的一次UDP连接。
• Smurf攻击：将回复地址设置为目标网络广播地址的ICMP应答请求数据包（Ping包），使得该网络所有主机对此Ping请求作出响应，导致网络阻塞。比ping of death高出1-2个数量级。
• 垃圾邮件：制造垃圾邮件耗尽用户信箱的存储空间，使用户无法使用这个信箱。
• 死亡之ping：发送畸形的、尺寸超过ICMP上限（64KB）的Ping请求包是接收方的TCP/IP堆栈崩溃，使接收方停机。
• 泪滴攻击：IP数据包分解和重组需要用到偏移量字段，通过加入过多或者不必要的偏移量字段，使计算机系统重组错乱。
• DDoS：利用僵尸网络对目标主机同时发动DoS攻击。
• 消耗CPU和内存资源的DoS：利用目标系统的计算算法漏洞，构造并导入恶意数据集，使得目标系统CPU或内存耗尽，如Hash DoS。

2.2.6 网络钓鱼

2.2.7 网络窃听

2.2.8 SQL注入

2.2.9 社交工程

2.2.10 电子监听

2.2.11 会话劫持

2.2.12 漏洞扫描

2.2.13 代理技术

2.2.14 数据加密

2.3 黑客常用工具

2.3.1 扫描器

• Nmap:可以检测网络上主机开放端口号、主机操作系统类型以及提供的网络服务。
• Nessus：早期免费开源的远程安全扫描器，可运行在Linux系统，支持多线程和插件。现在已经商业化。
• SuperScan:具有TCP连接扫描、Ping和域名解析功能的工具，较容易对指定范围的IP进行Ping和端口扫描。

2.3.2 远程监控软件

• 冰河
• 网络精灵（Netspy）
• Netcat

2.3.3 密码破解工具

• John the Ripper：用于爆破Unix/Linux系统的弱口令，支持几乎所有Unix平台上讲过crypt函数加密后的口令哈希类型
• LOphtCrack：常用于破解Windows系统口令，含有词典攻击、组合攻击、强行攻击等口令破解方法

2.3.4 网络嗅探器

• Tcpdump / Wireshark：Tcpdump是基于命令行的网络抓包分析软件，Wireshark提供图形化的界面用于网络抓包分析。
• DSniff：一套包含多个工具的软件套件，包括dsniff、filesnarf、mailsnarf、msgsnarf、rlsnarf、webspy。

2.3.5 安全渗透工具箱

• Metasploit：开源渗透测试工具，提供OWASP TOP10漏洞测试。
• Kali Linux：前身为BackTrack5，集成了大量的安全工具软件。

2.4 网络攻击案例

2.4.1 DDoS

• SYN Flood：利用TCP/IP协议缺陷，伪造主机IP地址发送大量SYN包到目标系统使之瘫痪
• DNS放大攻击：假冒目标系统向多个DNS解析服务器发送大量请求，使得DNS服务器同时应答目标系统，产生巨大流量

2.4.2 W32.Blaster.Worm

• 利用DCOM RPC漏洞进行传播的网络蠕虫，采用顺序扫描感染方式传播。

第三章 密码学基本理论

3.1 密码安全性分析

• 选择明文攻击：能够得到当前密钥下自己选定的明文对应的密文，适合攻击文件系统、数据库系统。
• 选择密文攻击：能够得到任何选定的密文所对应的明文，适合攻击公钥密码体制，特别是数字签名。
• 已知明文攻击：仅知道当前密钥下的部分明文及其对应的密文。
• 唯密文攻击：只拥有一个至多个用同一密钥加密的密文。
• 密文验证攻击：对任何选定密文，能够得到其是否“合法”的判断。

3.2 密码体制分类

3.2.1 私钥密码体制（对称密码体制）

• 优点：算法处理速度快，常用于数据加密
• 缺点：密钥分配问题、密钥管理问题、无法认证源

3.2.2 公钥密码体制（非对称密码体制）

• 优点：密钥分发方便、密钥保管量少、支持数字签名
• 缺点：算法处理速度不及私钥密码体制，一般不用于大数据量加密

3.2.3 混合密码体制

• 定义：公、私钥密码体制混合。利用公钥密码体制分配私钥密码体制的密钥，之后利用该密钥进行加密通信
• 应用：数字信封技术

3.3 常见密码算法

算法	类型	分组长度/bit	有效密钥长度/bit	备注
DES	对称加密	64	56	子密钥长度 48bit
TDEA	对称加密	64	112	3DES，DES三重加密
IDEA	对称加密	64	128	PGP中得到应用
AES	对称加密	>=128	128、192、256及以上
SM1	对称加密	128	128
SM2	非对称加密	-	-	国家标准推荐素数域 256位 椭圆曲线
SM3	杂凑算法	512	-	杂凑值长度 256bit
SM4	对称加密	128	128
SM7	对称加密	128	128
SM9	标识密码	-	-
ZUC	对称加密	-	-	属于流密码类型

⭐RSA算法计算步骤

步骤	操作	是否保密
1	随机选取两个大素数p、q	p、q保密
2	计算 n = p * q	n公开
3	计算 φ(n) = (p-1)(q-1)	φ(n)保密
4	随机选取一个正整数 e，1 < e < φ(n) 且 gcd(e,φ(n)) = 1	e公开
5	根据 e * d = 1 mod φ(n)，求出d	d保密
6	加密运算 C = Me mod n，解密运算 M = Cd mod n
	RSA公钥 Ke = <n,e>，私钥 Kd = <p,q,d,φ(n)>

3.4 Hash函数及算法

3.4.1 Hash函数

1. 能够将任意长度的信息转换为固定长度的哈希值（数字摘要、消息摘要）
2. 令 h 表示Hash函数，则满足下列条件：

• h 的输入可以是任意长度的消息或者文件M
• h 的输出长度是固定的
• 给定 h 和 M，计算 h(M) 是容易的
• 给定 h 的描述，找到两个不同的消息 M₁ 和 M₂ ，使得 h(M₁) = h(M₂) 在计算上是不可行的

3. Hash函数安全性：指在现有计算资源下，找到一个碰撞是不可能的

3.4.2 Hash算法

算法	数据块长度/bit	摘要长度/bit
MD5	512	128
SHA-1	512	160
SHA-224	512	224
SHA-256	512	256
SHA-384	1024	384
SHA-512	1024	512
SHA-512/224	1024	224
SHA-512/256	1024	256
SM3	512	256

3.5 数字签名

定义

指签名者使用私钥对待签名数据的杂凑值做密码运算得到的结果

特点

• 非否性：签名者不能事后否认自己的签名
• 真实性：接受者能够验证签名，其他任何人都不能够伪造签名
• 可鉴别性：当双方关于签名的真伪发生争执，第三方能够解决该争执

典型数字签名方案

• RSA签名体制
• Rabin签名体制
• ElGamal签名体制
• DSS标准（Data Signature Standard）

验证数字签名

使用签名者的公钥对数字签名做解密运算

签名与加密的不同之处

• 加密目的是保护信息不被非授权用户访问
• 签名目的是使消息接收者确定信息发送者是谁，信息是否被篡改

3.6 密码管理政策

《中华人名共和国密码法》明确规定密码分为核心密码、普通密码、商用密码。核心密码、普通密码用于保护国家秘密信息，属于国家秘密；商用密码用于保护不属于国家秘密的信息，公民、法人、其他组织均可依法使用它。

3.7 数字证书

定义

也称公钥证书，是由证书认证机构CA签名的包含公钥拥有者信息、公钥、签发者信息、有效期及扩展信息的数据结构

分类

• 按类别可分为个人证书、机构证书、设备证书
• 按用途可分为签名证书、加密证书

CA

• 负责证书签发
• 承担证书管理
• 拥有根证书
• 具备数字签名能力

RA

• 负责申请受理
• 执行身份核验
• 承担流程辅助
• 分流 CA 压力

3.8 Diffie-Hellman密钥交换协议

基于求解离散对数问题的困难性

3.9 SSH协议

定义

由SSH传输层协议、SSH用户认证协议、SSH连接协议组成

SSH传输层协议

• 提供算法协商和密钥交换，并实现服务器认证
• 提供完整性、保密性、压缩选项服务

SSH用户认证协议

• 利用传输层服务建立连接
• 使用口令认证、公钥认证、主机认证等多种机制认证用户

SSH连接协议

• 在前面两个协议基础上，利用已建立的认证连接，将其分解为多种不同的并发逻辑通道，支持注册会话隧道、TCP转发，而且能为这些通道提供流控服务、通道参数协商机制。
• SSH服务进程端口号：22

3.10 PGP协议

定义

是一种加密软件，最广泛应用于电子邮件安全，它采用了多种密码技术并将它们有机融合在一起。

涉及算法

• 密钥管理算法：RSA
• 数据加密算法：IDEA
• 完整性检测算法：MD5
• 数字签名算法：RSA

第四章 网络安全体系与网络安全模型

4.1 网络安全体系特征

• 整体性：网络安全单元按照一定规则，相互依赖、相互约束、相互作用而形成人机物一体化的网络安全保护方式
• 协同性：依赖多种安全机制，通过各种安全机制相互协作，构建系统性的网络安全保护方案
• 过程性：针对保护对象，提供一种过程式的网络安全保护机制，覆盖保护对象的全生命周期
• 全面性：基于多个维度、多个层面对安全威胁进行管控，构建PDRR等网络安全功能
• 适应性：具有动态演变机制，能够适应网络安全威胁的变化和需求

4.2 网络安全模型

TIP

简单安全特性都是关于读权限，*特性都是关于写权限。

4.2.1 BLP机密性模型

• 简单安全特性：主体只能向下读，不能向上读
• * 特性：主体只能向上写，不能向下写

4.2.2 Biba完整性模型

• 简单安全特性：主体不能向下读，防止影响高级别数据的完整性
• * 特性：主体不能向上写
• 调用特性：若是主体的完整性级别小于另一个主体，不能调用另一个主体

4.2.3 信息流模型

• 访问控制模型的一种变形，简称FM
• 不检查主体对客体的存取，而是根据两个客体的安全属性来控制一个客体到另一个客体的信息传输
• 可用于分析系统的隐蔽通道，防止敏感信息通过隐蔽通道泄露
• 隐蔽通道常表现为低安全等级主体对高安全等级主体所产生信息的间接读取

4.2.4 信息保障模型

• PDRR模型：Protection保护、Detection检测、Response响应、Recovery恢复
• P2DR模型：Policy策略、Protection保护、Detection检测、Response响应
• WPDRRC模型：Warn预警、Protection保护、Detection检测、Response响应、Recovery恢复、Counterattack反击

4.2.5 能力成熟度模型

1. 基本等级划分

• 1级 --- 非正式执行：具备随机、无序、被动的过程
• 2级 --- 计划跟踪：具备主动、非体系化的过程
• 3级 --- 充分定义：具备正式、规范的过程
• 4级 --- 量化控制：具备可量化的过程
• 5级 --- 持续优化：具备可持续优化的过程

2. SSE-CMM 系统安全工程能力成熟度模型

• Engineering 工程过程类
• Organization 组织过程类
• Project 项目过程类

3. 数据安全能力成熟度模型（从以下4个维度评估数据安全能力）

• 组织建设
• 制度流程
• 技术工具
• 人员能力

4. 软件安全能力成熟度模型

• CMM1级：补丁修补
• CMM2级：渗透测试、安全代码评审
• CMM3级：漏洞评估、代码分析、安全编码标准
• CMM4级：软件安全风险识别、SDLC实施不同安全检查点
• CMM5级：改进软件安全风险覆盖率、评估安全差距

4.2.6 纵深防御模型

1. 将网络信息安全防护措施有机结合起来，针对保护对象，部署合适的安全措施，形成多道保护线
2. 安全业界目前认为网络需要建立4道防线

• 安全保护是第一道防线
• 安全监测是第二道防线
• 实时响应是第三道防线
• 恢复是第四道防线

4.2.7 分层防护模型

• 分层防护模型针对单独保护节点，对保护对象进行层次化保护
• 以OSI 7层模型为参考，典型保护层次分为：物理层、网络层、系统层、应用层、用户层、管理层
• 针对每层的安全威胁，部署合适的安全措施，进行分层防护

4.2.8 等级保护模型

• 根据网络信息系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度
• 结合系统面临的风险、系统特定的安全保护要求和成本开销等因素
• 将其划分成不同的安全保护等级，采取相应的安全保护措施，以保障信息和信息系统的安全

4.2.9 网络生存模型

• 首先，将系统划分成不可攻破的安全核和可恢复部分
• 然后，对一定的攻击模式，给出相应的 3R策略，即抵抗 Resistance、识别 Recognition、恢复 Recovery
• 最后，定义网络信息系统应具备的正常服务模式和入侵模式，给出系统需要重点保护的基本功能服务和关键信息

4.3 网络安全等级保护体系应用参考

4.3.1 定级对象的安全保护等级分为5个

• 第一级 --- 用户自主保护级：用户自主决定保护措施
• 第二级 --- 系统审计保护级：需要具备基础安全审计能力
• 第三级 --- 安全标记保护级：对数据、资源划分安全标记，按标记实施强制访问控制MAC，具备数据完整性校验能力
• 第四级 --- 结构化保护级：结构化设计，安全功能与业务功能分离，支持细粒度权限控制，具备抗渗透能力
• 第五级 --- 访问验证保护级：对所有访问行为进行严格验证，具备高抗毁性和容错能力

4.3.2 网络安全等级保护2.0主要变化

• 扩大了对象范围，将云计算、移动互联、物联网、工业控制系统等列入标准范围
• 提出了在安全通信网络 --- 安全区域边界 --- 安全计算环境和安全管理中心支持下的三重防护体系架构
• 强化了可信计算技术使用的要求，各级增加了可信验证控制点

TIP

• 一级要求设备的系统引导程序、系统程序进行可信验证；
• 二级增加重要配置参数和应用程序进行可信验证，并将验证结果形成审计记录送至安全管理中心；
• 三级增加应用程序的关键执行环节进行动态可信验证；
• 四级增加应用程序的所有执行环节进行动态可信验证；

第五章 物理与环境安全技术

5.1 机房安全分析与防护

5.1.1 机房功能区域组成

• 主要工作房间：主机房、终端室
• 第一类辅助房间：低压配电间、不间断电源室、蓄电池室、空调机室、发电机室、气体钢瓶室、监控室
• 第二类辅助房间：资料室、维修室、技术人员办公室
• 第三类辅助房间：储藏室、缓冲间、技术人员休息室、盥洗室

5.1.2 机房安全等级划分

• A级：计算机系统运行中断后，会对国家安全、社会秩序、公共利益造成严重损害；
• B级：计算机系统运行中断后，会对国家安全、社会秩序、公共利益造成较大损害；
• C级：不属于A B级的情况，对机房安全有基本要求，有基本的机房安全措施。

5.2 数据中心安全分析与防护

5.2.1 数据中心建设安全要求

• 耐火等级不能低于二级
• 数据中心与其他功能用房之间要采用耐火极限不低于2.0h的防火隔墙和1.5h的楼板隔开，隔墙上开门要采用甲级防火门
• 所有设备的金属外壳、各类金属管道等等必须等电位联结并接地
• 采用管网式气体灭火系统或细水雾灭火系统的主机房，应同时设置两组独立的火灾探测器
• 采用气体灭火系统的主机房，应配置专用空气呼吸器或氧气呼吸器

5.2.2 数据中心级别划分

• A级：电子信息系统运行中断将造成重大经济损失或公共场所秩序严重混乱
• B级：电子信息系统运行中断将造成较大经济损失或公共场所秩序混乱
• C级：不属于A B等级的数据中心

5.3 互联网数据中心（IDC）

5.3.1 IDC机房要求如下

• 在我国抗震设防烈度**7度以上（包括7度）**地区IDC工程中使用的主要电信设备必须经电信设备抗震性能检测合格
• 机房内必须配备有效的灭火消防器材
• 楼板预留孔洞应配置非燃烧材料的安全盖板，已用的电缆走线孔洞应用非燃烧材料封堵
• 机房内严禁存放易燃易爆等危险物品
• 机房内不同电压的电源设备、电源插座应有明显区别标志

5.3.2 IDC机房级别划分

• R1级：IDC机房的机房基础设施和网络系统的主要部分应具备一定的冗余能力，可支撑的IDC业务可用性不小于99.5%
• R2级：IDC机房的机房基础设施和网络系统应具备冗余能力，可支撑的IDC业务可用性不小于99.9%
• R3级：IDC机房的机房基础设施和网络系统应具备容错能力，可支撑的IDC业务可用性不小于99.99%

第六章 认证技术原理与应用

6.1 认证依据

1. 所知道的秘密信息：实体掌握的秘密信息，如用户口令、密码等
2. 所拥有的实物凭证：实体所持有的不可伪造的物理设备，如智能卡、U盾等
3. 所具有的生物特征：实体所具有的生物特征，如指纹、声音、虹膜、人脸等
4. 所表现的行为特征：实体所表现的行为特征，如鼠标使用习惯、键盘敲击力度、地理位置等

6.2 认证类型

6.2.1 单向认证

• 验证者对声称者进行单方面的鉴别，而声称者不需要识别验证者的身份
• 实现的技术方法有：基于共享秘密、基于挑战响应

6.2.2 双向认证

• 声称者和验证者双方互相进行单方面的鉴别
• 在网络服务认证过程中，解决服务器的真假识别安全问题

6.2.3 第三方认证

• 指两个实体在鉴别过程中通过可信的第三方来实现，可信的第三方简称TTP（Trusted Third Party）

根据认证过程中鉴别信息的使用量还可分为：

1. 单因素认证
2. 双因素认证
3. 多因素认证

6.3 认证技术方法

6.3.1 口令认证技术

1. 基于用户所知道的秘密进行的认证技术，是网络常见的身份认证方法
2. 容易受到攻击，如窃听、重放、中间人攻击、口令猜测等
3. 要实现口令认证的安全，至少满足以下条件：

• 口令信息安全加密存储
• 口令信息安全传输
• 口令认证协议要抵抗攻击，符合安全协议设计要求
• 口令选择避免弱口令

6.3.2 智能卡技术

• 一种带有存储器和微处理器的集成电路卡，能够安全存储认证信息，并具有一定计算能力

6.3.3 基于生物特征认证技术

• 利用人类生物特征来进行验证

6.3.4 Kerberos认证技术

• Kerberos系统涉及四个实体：Kerberos客户端、AS（认证服务器）、TGS（票据发放服务器）、应用服务器
• 通常将AS、TGS统称为KDC
• Kerberos认证流程如下：

IMPORTANT

• Kerberos客户端首先向认证服务器AS申请TGT，该过程用客户端密钥加密（密钥由用户密码衍生）
• 认证服务器AS验证客户端身份，若认证通过，返回TGT（内层用客户端密钥加密，外层用KDC共享密钥加密）给客户端
• 客户端收到TGT后使用客户端密钥解密TGT内层得到TGS会话密钥，使用TGS会话密钥加密认证请求单，与TGT、目标服务标识一起发送给TGS
• TGS按约定方式提取TGT内层的TGS会话密钥，将解密认证请求单获取的信息与TGT中的比较，若认证成功，返回服务票据ST（应用服务器密钥加密，只有应用服务器能解密）以及客户端、应用服务器会话密钥（TGS会话密钥加密）
• 客户端解密获得与应用服务器的会话密钥，使用该密钥加密新生成的认证单，与服务票据ST一并发送给应用服务器
• 应用服务器解密认证成功后，客户端访问应用服务，二者使用客户端、应用服务器会话密钥加密通信。

6.3.5 公钥基础设施认证技术（PKI）

• 主要是CA、RA等实体，主要是数字证书认证

6.3.6 单点登录

• 指用户访问使用不同系统时，只需要进行一次身份认证就可以这次登录的认证身份访问授权资源
• 例如，使用大学统一登录平台登录学生账号，就可以访问教务系统，学工系统，选课系统等等。

6.3.7 基于人机识别认证技术

• 该技术通常称为CAPTCHA技术
• 该技术利用计算机求解问题的困难性以区分计算机和人的操作，防止计算机程序恶意操作，如恶意注册、暴力猜解口令
• 例子：按顺序点击图片上的文字

6.3.8 多因素认证技术

• 使用多种鉴别信息进行组合，提升认证的安全强度。

6.3.9 基于行为的身份鉴别技术

• 根据用户行为和风险大小而进行的身份鉴别技术。通过分析用户的基本信息，获取用户个体画像，进而动态监控用户状态以判定用户身份。

6.3.10 快速在线认证（FIDO）

• Fast IDentity Online，简称FIDO
• 使用标准公钥加密技术来提供强身份验证

第七章 访问控制技术原理与应用

7.1 访问控制类型

7.1.1 自主访问控制（DAC）

1. 定义：客体所有者按照自己的安全策略授予系统中的其他用户对其的访问权
2. 基于行的自主访问控制

• 在每个主体上都附加一个该主体可访问的客体的明细表，该明细表分为三种：能力表、前缀表、口令

3. 基于列的自主访问控制

• 在每个客体上都附加一个可访问它的主体的明细表，它有两种形式：保护位、访问控制表

7.1.2 强制访问控制（MAC）

1. 定义：指系统根据主体和客体的安全属性以强制方式控制主体对客体的访问

7.1.3 基于角色的访问控制（RBAC）

1. 定义：- 指根据完成某些职责任务所需要的访问权限来进行授权和管理

• RBAC由**用户（U）、角色（R）、会话（S）、权限（P）**四个基本要素组成
• 例子：数据库中通过创建角色role，赋予角色相应权限，再把角色分配给相应用户

7.1.4 基于属性的访问控制（ABAC）

1. 定义：根据主体的属性、客体的属性、环境条件、访问策略对主体的请求操作进行授权许可或拒绝

7.2 访问控制主要产品

• 4A系统：4A指认证（Authentication）、授权（Authorization）、账号（Account）、审计（Audit）
• 安全网关：如防火墙、统一威胁管理（UTM）等
• 系统安全增强：该产品特点是通常利用强制访问控制技术来增强操作系统、数据库系统的安全。如Linux的安全增强系统SELinux，Windows操作系统加固。

第八章 防火墙技术原理与应用

8.1 防火墙概念

1. 为了应对网络威胁，联网的机构或者公司将自己的网络与公共的不可信网络进行隔离，人为划分若干安全区域：

• 公共外部网络：如Internet
• 内联网：某个公司或组织的专用网络，网络访问限制在内部
• 外联网：内联网的扩展延伸，常用于组织与合作伙伴之间通信
• 军事缓冲区域：简称 **DMZ **，介于内部网络和外部网络之间的网络段，常放置公共服务设备，向外提供信息服务

2. 防火墙一般安装在安全区域边界处，用于网络通信安全控制，由专用硬件或者软件系统组成

8.2 防火墙工作原理

8.2.1 防火墙安全策略

• 白名单策略：只允许符合安全规则的数据包通过防火墙，其他数据包禁止
• 黑名单策略：禁止与安全规则相冲突的数据包通过防火墙，其他数据包允许

8.2.2 防火墙的主要功能方面

• 过滤非安全网络访问
• 限制网络访问
• 网络访问审计
• 网络带宽控制
• 协同防御

8.3 防火墙安全风险

1. 网络安全旁路
2. 防火墙功能缺陷，导致一些网络威胁无法阻断

• 不能完全防止感染病毒的文件或软件传输
• 不能防止基于数据驱动式的攻击
• 不能完全防止后门攻击

3. 防火墙安全机制形成单点故障和特权威胁
4. 防火墙无法有效防范内部威胁
5. 防火墙效用受限于安全规则

8.4 防火墙类型与实现技术

8.4.1 防火墙类型

• 包过滤防火墙
• 代理防火墙
• 下一代防火墙
• Web应用防火墙（WAF）
• 数据库防火墙
• 工控防火墙

8.4.2 实现技术

1. 包过滤

• 在IP层实现，根据数据包的源IP、目的IP、源端口、目的端口、协议信息、包传递方向等判断是都允许通过

2. 状态检查技术

• 通过利用TCP会话和UDP伪会话的状态信息进行网络访问控制，比如iptables中的连接跟踪

3. 应用服务代理

• 代理防火墙代替受保护的主机向外部发送服务请求，并将外部服务请求响应的结果返回给受保护主机，
• 采用代理服务技术的防火墙称为代理服务器

4. 网络地址转换技术（NAT）

• 主要为了解决公网IP不足的问题
• 实现NAT的方式主要有：静态NAT、NAT池、端口NAT

5. Web防火墙技术

• 根据预先定义的过滤规则和安全规则，对所有HTTP请求和响应进行HTTP协议过滤和内容过滤
• 目前开源的WAF有ModSecurity、WebKnight、Shadow Deamon

6. 数据库防火墙技术

• 原理主要是基于数据库通信协议深度分析和虚拟补丁，根据安全规则对数据库访问操作及通信进行安全访问控制
• 虚拟补丁技术通过在数据库外部创建一个安全屏障层，监控所有数据库活动

7. 工控防火墙技术

• 一种用于保护工业设备及系统的网络安全机制
• 侧重分析工控协议：如Modbus TCP协议、IEC 61850协议、OPC协议、Ethernet / IP协议、DNP3协议等等

8. 下一代防火墙技术

• 应用识别和管控
• 入侵防护
• 数据防泄漏
• 恶意代码保护
• URL分类与过滤
• 带宽管理与QoS优化
• 加密通信分析

8.5 防火墙防御体系结构类型

8.5.1 基于双宿主主机防火墙结构

• 最基本的防火墙结构
• 双宿主主机具有两块网卡：一块连接内网，一块连接外网
• 由双宿主主机的安全模块检查流量的合法性，放行合法流量，拦截非法流量

8.5.2 基于代理型防火墙结构

• 代理主机同外部网连接，代理内外网的通信，同时还在代理主机和外部网之间增加一个路由器用以过滤
• 这种结构中，代理主机位于内部网络
• 代理型结构的主要缺点：只要攻击者攻破代理主机，那么攻击者就变成了内网合法用户，可以侦听到内网所有信息

8.5.3 基于屏蔽子网的防火墙结构

• 在代理型结构中增加一层周边网络的安全机制，使得内、外网有两层隔离带
• 攻击者攻破了堡垒机也不能侦听到内网信息
• 两个过滤路由器之间的网段称为被屏蔽子网，代理主机和向外公开的服务器一般放在这里
• 优点：安全级别最高
• 缺点：成本高，配置复杂

第九章 VPN技术原理与应用

9.1 VPN概念

1. Virtual Private Network，中文翻译为虚拟专用网
2. 将需要经过公共网络传递的报文加密处理后，再由公共网络发送到目的地
3. 利用VPN技术可以在不可信任的网络上构建一条专用的安全通道，经过VPN传输的数据在公网上具有保密性
4. 所谓虚拟指网络连接特性是逻辑上的物理上的
5. VPN提供以下安全服务：

• 保密性服务：防止传输的信息被监听
• 完整性服务：防止传输的信息被修改
• 认证服务：提供用户和设备的访问认证，防止非法接入

9.2 VPN类型

按照VPN在TCP/IP协议层的实现方式，可以分为以下三种：

• 链路层VPN：实现方式有ATM、Frame Relay、多协议标签交换MPLS
• 网络层VPN：实现方式有受控路由过滤、隧道技术
• 传输层VPN：实现方式有SSL

9.3 VPN密码算法和密钥管理

• 密码算法：VPN的核心技术是密码算法。除了国外的DES、AES、IDE、RSA，国产密码算法SM1、SM4分组密码算法和SM3杂凑算法也可以用到VPN
• 密钥管理：密钥分发方式有两种：
• 手工配置：方法可靠，但是密钥更新速度慢，一般适合简单网络
• 密钥交换协议：采用软件方式，自动协商动态生成密钥，更新速度快，显著提高VPN安全性
• 主要密钥交换与管理协议有SKIP（互联网简单密钥管理协议）、ISAKMP/Oakley（互联网安全联盟与密钥管理协议）

9.4 IPSec

• 中文称为IP协议安全，在TCP/IP中由于IP协议的安全脆弱性，通过IPSec来加强IP协议安全性。IPSec工作组制定了相关的IP安全系列规范：认证头AH、封装安全有效负荷ESP、密钥交换协议
• IP AH：是一种安全协议，又称认证头协议，安全目的是保证IP包的完整性和提供数据源认证，为IP数据报文提供无连接的完整性、数据源鉴别和抗重放攻击服务
• IP ESP：是一种安全协议，用于用于保证IP数据包的保密性，而IP AH不能提供IP包的保密性，IP AH和IP ESP可以合用也可以分用，二者都拥有两种工作模式：透明模式、隧道模式
• 透明模式：只保护IP数据包的数据域（data payload）
• 隧道模式：保护IP数据包的包头和数据域，该模式下，将创建新的IP包头，并将旧的包头作为新的IP包数据
• 密钥交换协议：主要有互联网密钥交换协议IKE、互联网安全关联与密钥管理协议ISAKMP、密钥交换协议Oakley

9.5 SSL

1. 是Secure Sockets Layer的缩写，称为安全套接字层。应用于应用层和传输层之间的协议，用于构建客户端和服务端之间的安全通道
2. 包含以下4个子协议：

• 握手协议：用于握手鉴别和安全参数协商
• 密码规格变更协议：用于通知安全参数的变更
• 报警协议：用于关闭通知和对错误进行报警
• 记录层协议：用于传输数据的分段、压缩及解压、加密及解密、完整性校验等

3. SSL是一个分层协议，最底层为记录层协议，位于传输层之上，作用是将各种高层协议封装后再传送；另一层是SSL握手协议，由握手协议、密码规格变更协议、报警协议组成，作用是提供客户端和服务端的相互认证服务，并相互协商通信使用的加密算法和加密密钥。
4. SSL协议提供3种安全通信服务：

• 保密性通信：数据的加解密使用对称密码算法，如AES、DES
• 点对点之间的身份认证：采用非对称密码算法，如RSA、DSS
• 可靠性通信：对信息进行完整性检查，使用由密钥保护的消息认证码（MAC），MAC的计算采用安全哈希函数如SHA、MD5

9.6 PPTP

• 是一个点到点安全隧道协议。目标是给电话上网的用户提供VPN服务，它是PPP协议的一种扩展。远程用户通过PPTP协议可以在客户机和PPTP服务器之间形成一条安全隧道，能够保证远程用户安全访问企业的内部网

9.7 L2TP

• Layer 2 Tunneling Protocol的缩写，用于保护设置L2TP-enabled的客户端和服务器的通信。客户端要求安装L2TP软件，L2TP采用专用的隧道协议，该协议运行在UDP 1701端口

9.8 VPN主要产品

• IPSec VPN：工作模式支持隧道模式和传输模式，其中隧道模式适用于主机和网关实现，传输模式是可选功能，仅适用于主机实现
• SSL VPN：工作模式分为客户端 - 服务端模式，网关 - 网关模式两种

9.9 国内VPN产品密码算法要求

1. IPSec VPN

• 非对称密码算法使用1024位RSA算法、256位SM2椭圆曲线密码算法，用于实体验证、数字签名、数字信封等
• 对称密码算法使用128位分组的SM1算法，用于密钥协商数据和报文数据的加密保护，工作模式为CBC
• 密码杂凑算法使用SHA-1算法、SM3杂凑算法，用于对称密钥生成和完整性校验。SM3输出为256bit
• 随机数生成算法生成的随机数应能通过**《随机性检测规范》**规定的检测

2. SSL VPN

• 非对称密码算法包括256位SM2椭圆曲线密码算法、IBC标识密码算法SM9、1024位以上RSA算法
• 对称密码算法为SM1算法，用于密钥协商数据和报文数据的加密保护，工作模式为CBC
• 密码杂凑算法包括SHA-1算法、SM3杂凑算法，用于密钥生成和完整性校验

9.10 VPN应用场景

按照VPN的用途可将其分为3类：

• 远程访问虚拟网（Access VPN）：主要解决远程用户安全办公问题
• 企业内部虚拟网（Intranet VPN）：可用于解决把分散在不同地理区域的企业办公点的局域网安全互联起来
• 企业扩展虚拟网（Extranet VPN）：将企业合作伙伴的网络或主机安全接入企业内网

第十章 入侵检测技术原理与应用

10.1 入侵检测系统

• 具有入侵检测功能的系统称为入侵检测系统，简称为IDS（Intrusion Detection System）

10.2 入侵检测模型

1. CIDF：一种通用的入侵检测框架模型

• 由事件产生器、事件分析器、响应单元、事件数据库组成
• CIDF将入侵检测系统需要分析的数据统称为事件，它可以是网络数据包也可以是系统日志获取的信息

10.3 入侵检测作用

• 直接目的不是阻止入侵事件的发生，而是通过检测技术来发现系统中企图或已经违背安全策略的行为
• 入侵检测技术还常用于网络安全态势感知，以获取网络信息系统的安全状况

10.4 入侵检测技术

10.4.1 基于误用的入侵检测技术

1. 通常称为基于特征的入侵检测方法，依赖于攻击模式库，通过模式匹配检测攻击。采用该技术的IDS产品的检测能力取决于攻击模式库的大小以及攻击方法的覆盖面。攻击模式库太小，则IDS的有效性大打折扣；太大则IDS的性能就会受到影响。
2. 以下是常见的误用检测方法：

• 基于条件概率的误用检测方法：将入侵方式对应一个事件序列，然后观测事件发生序列，应用贝叶斯定理进行推理，推测入侵行为。缺点是先验概率难以给出，事件独立性难以满足
• 基于状态迁移的误用检测方法：利用状态图表示攻击特征，不同状态刻画了系统某一时刻的特征。初始状态对应于入侵开始前的系统状态，危害状态对应于已成功入侵时刻的系统状态。它通过检测系统的状态变化发现系统中的入侵行为。采用该方法的IDS有STAT、USTAT
• 基于键盘监控的误用检测方法：假设入侵行为对应特定的击键序列模式，然后检测用户的击键模式，并将这一模式与入侵模式匹配，从而发现入侵行为。不能检测恶意程序的自动攻击
• 基于规则的误用检测方法：将攻击模式或入侵模式表示成一种规则，只要符合规则就认定它是一种入侵行为。优点是检测起来比较简单；缺点是受到规则库限制，无法发现新的攻击且容易受到干扰。目前大部分IDS采用这种方法，比如Snort

10.4.2 基于异常的入侵检测技术

1. 指通过计算机或网络资源统计分析，建立系统正常行为的“轨迹”，定义一组系统正常情况的数值，然后根据系统运行时的数值与所定义的“正常”情况相比，得出是否有被攻击的迹象
2. 通过异常检测入侵行为的前提是异常行为包括入侵行为。理想情况下，异常行为集合等同于入侵行为集合，此时IDS能够检测到所有的入侵行为；但在现实中，入侵行为集合通常不等同于异常行为集合，具有以下4种情况：

• 行为是入侵行为，但不表现异常
• 行为不是入侵行为，却表现异常
• 行为既不是入侵行为也不是异常行为
• 行为是入侵行为且表现异常

3. 以下是常见的异常检测方法：

• 基于统计的异常检测方法：利用数学统计理论技术，构建用户或系统正常行为的特征轮廓。比如：系统的登录与注销期间，资源被占用时间和处理机、内存、外设的使用情况
• 基于模式预测的异常检测方法：前提条件是事件序列不是随机发生的而是服从某种可辨别的模式，其特点是考虑了事件序列之间的相互联系。

优点

• 能较好地处理变化多样的用户行为，具有很强的时序模式
• 能够集中考察少数几个相关的安全事件，而不是关注可疑的整个登录会话过程
• 容易发现针对监测系统的攻击

• 基于文本分类的异常检测方法：基本原理是将程序的系统调用视为某个文档中的“字”，而进程运行所产生的系统调用集合就产生一个“文档”。对于每个进程所产生的文档，利用K - 最近邻聚类文本分类算法，分析文档的相似性，发现异常的系统调用，从而检测入侵行为
• 基于贝叶斯推理的异常检测方法：指在任意给定的时刻，测量A₁ A₂ ......A_n变量值，推理判断系统是否发生入侵行为

10.4.3 基于规范的检测方法

1. 介于误用检测和异常检测之间。优点是不仅能够发现已知攻击，还能发现未知攻击

10.4.4 基于生物免疫的检测方法

1. 模仿生物有机体的免疫系统工作机制，使受保护系统能够将“非自我”的攻击行为和“自我”的合法行为区分开来，它综合了异常检测和误用检测两种方法

10.4.5 基于攻击诱骗的检测方法

1. 将一些虚假的系统或漏洞信息提供给入侵者，如果入侵者利用这些信息攻击系统，就可以推断出系统正在遭受入侵，安全管理员还可以诱惑入侵者，进一步跟踪攻击来源

10.4.6 基于入侵报警的关联检测方法

1. 通过对原始IDS报警事件的分类和相关性分析来发现复杂攻击行为

10.4.7 基于沙箱动态分析的检测方法

1. 指通过构建程序运行的受控安全环境，形成程序运行安全沙箱，然后监测可疑恶意文件或程序在安全沙箱的运行状况，获取其动态信息，最后检测相关信息是否异常，从而发现入侵行为

10.4.8 基于大数据分析的检测方法

1. 指通过汇聚系统日志、IDS报警日志、防火墙日志、DNS日志、网络威胁情报、全网流量等多种资源，形成网络安全大数据资源池，然后利用 AI 技术进行机器学习以发现入侵行为

10.5 入侵检测系统组成及分类

10.5.1 入侵检测系统组成

• 数据采集模块、入侵分析引擎模块、应急处理模块、管理配置模块、相关辅助模块

10.5.2 分类有以下3类

基于主机的入侵检测系统

1. 简称HIDS。通过收集主机系统的日志文件、系统调用以及应用程序的使用、系统资源、网络通信和用户使用等信息，分析这些信息是否包含攻击特征或异常情况，以此判断主机是否受到入侵。HIDS中的软件包含以下几个例子：

• SWATCH：用于实时监控日志的PERL程序
• Tripwire：一个文件和目录完整性检测工具软件包
• 网页防篡改系统：防止网页文件被入侵者非法修改

HIDS优点

• 可以检测NIDS不能检测的攻击
• 可以运行在应用加密系统的网络上，只要加密信息在到达被监控的主机时或到达前解密
• 可以运行在交换网络中

HIDS缺点

• 必须在每个被监控的主机安装和维护信息收集模块
• HIDS可能受到攻击并被攻击者破坏
• 占用主机系统资源，降低主机性能
• 不能检测对网络中所有主机的网络扫描
• 不能有效检测和处理DoS攻击
• 只能使用所监控的主机计算资源

基于网络的入侵监测系统

1. 简称NIDS。通过侦听网络系统，捕获网络数据包，依据数据包是否包含攻击特征或网络通信流是否异常来识别入侵行为。NIDS通常由用途单一的计算机组成：探测器和管理控制器。NIDS能检测以下入侵行为：

• 同步风暴
• DDoS
• 网络扫描
• 缓冲区溢出
• 协议攻击
• 流量异常
• 非法网络访问

2. NIDS产品有以下几个：

• Session Wall
• ISS RealSecure
• Cisco Secure IDS
• Snort

NIDS优点

• 适当配置可以监控大型网络的安全状况
• NIDS的安装对已有网络影响很小，通常属于被动型设备，只监听网络而不干扰网络正常运作
• NIDS可以很好地避免攻击，对于攻击者甚至不可见

NIDS缺点

• 在高速网络中，NIDS很难处理所有网络数据包，可能出现漏检
• 如果网络流量被加密，NIDS的探测器就不能对数据包中的协议进行有效的分析
• NIDS仅靠网络流量无法推知命令执行结果，从而无法判断攻击是否成功
• 交换机将网络分成许多小单元VLAN，而多数交换机不能提供统一的监测端口，这就减少了NIDS的监测范围

分布式入侵检测系统

1. 可以跨越多个子网检测攻击行为，特别是大型网络，其分为以下两种类型：

• 基于主机的分布式入侵检测系统：简称HDIDS。结构分为两部分：主机探测器和入侵管理控制器。主机探测器多以安全代理的形式安装在受保护主机上，通过系统管理控制台进行远程控制。
• 基于网络的分布式入侵检测系统：简称NDIDS。结构分为两部分：网络探测器和管理控制器。

10.6 入侵检测相关产品

• 主机入侵检测系统
• 网络入侵检测系统
• 统一威胁管理（UTM）：集成IDS相关功能模块，部署在内外网边界。部署方式包括：透明网桥、路由转发、NAT网关
• 高级持续威胁检测
• 其他

10.7 入侵检测相关指标

• 可靠性
• 可用性
• 可扩展性
• 时效性
• 准确性
• 安全性

10.8 开源入侵检测系统Snort

• 技术原理是通过获取网络数据包，然后基于安全规则进行入侵检测，最后形成报警信息。
• Snort规则由两部分组成：规则头、规则选项。规则头包含操作、协议、IP地址、网络掩码、端口号信息；规则选项包含报警消息、被检查数据包的部分信息、应采取的动作。
• 规则示例：alert tcp any any -> 192.168.1.0/24 111 (content:"| 00 01 86 a5 |";msg:"mountd access"😉

第十一章 网络物理隔离技术原理与应用

11.1 网络物理隔离概念

• 基本原理是避免两台计算机之间直接的信息交换以及物理上的连通，以阻断两台计算机之间的直接在线网络攻击
• 目的是阻断网络攻击活动，避免敏感数据向外部泄露，保障不同网络安全域之间进行信息交换和数据交换

11.2 网络物理隔离安全风险

• 网络非法外联：处于隔离状态的网络用户私自连接互联网或第三方网络
• U盘摆渡攻击：利用U盘作为内外网络的摆渡工具，攻击程序将敏感数据拷贝到U盘中，然后由内部人员通过U盘泄露
• 网络物理隔离产品安全隐患：网络隔离产品本身存在安全漏洞
• 针对物理隔离的攻击新方法：原理是利用各种手段，将被隔离计算机中的数据转换成声波、热量、电磁波等模拟信号然后发射出去，在接收端通过模数转换复原数据

11.3 网络物理隔离系统及类型

网络物理隔离系统

• 指通过物理隔离技术，在不同的网络安全区域之间建立一个能够实现物理隔离、信息交换、可信控制的系统，以满足不同安全域的信息或数据交换。

网络物理隔离类型

1. 按隔离对象可分为：

• 单点隔离系统：主要是保护单独的计算机系统
• 区域隔离系统：针对的是网络环境，防止外部攻击内部保护网络

2. 按信息传递方向可分为：

• 单向网络物理隔离系统
• 双向网络物理隔离系统

11.4 网络物理隔离实现技术

11.4.1 专用计算机上网

• 在内部网络中指定一台计算机，这台主机只和外网相连，不与内网相连。用户必须通过这台计算机才能上网，并要求用户离开自己的工作环境。

11.4.2 多PC

• 内部网络中，在需要上外网的用户桌面放置两台PC，一台连接内网，另一台连接外网。

11.4.3 外网代理服务

• 在内部网指定一至多台计算机充当服务器，负责专门搜集外部网指定信息，然后手工导入内部网，供内部用户使用。从而实现内部用户上网并且切断了内外网的物理连接。

11.4.4 内外网线路切换器

• 在内部网中，上外网的计算机上连接一个物理线路A/B交换盒，通过交换盒的开关控制计算机的网络物理连接。

11.4.5 单硬盘内外分区

• 原理是将单一硬盘分隔成内、外区域，在IDE总线物理层上通过一块IDE总线信号控制卡截取IDE总线信号，控制磁盘通道的访问，任意时刻仅允许操作系统访问指定分区。
• 这样就把单台物理PC虚拟成逻辑上的两台PC，使得计算机在某一时刻只能连接到内部网或者外部网

优点

• 提供数据分类存放和加工处理
• 有效防止外部盗走内部网数据
• 实现一台PC功能多用，节省资源开支

缺点

• 误将敏感数据存放在对外分区中
• 驱动程序软件bug
• 计算机病毒潜入
• 特洛伊木马程序
• 内部人员故意泄露数据

11.4.6 双硬盘

• 在一台主机上安装2个硬盘，通过硬盘控制卡对硬盘进行切换控制。
• 用户连接外网时挂载外网硬盘；连接内网时挂载内网硬盘。
• 两个硬盘中各有一个操作系统，用户切换内外网访问必须重启切换系统，使用不方便

11.4.7 网闸

• 利用一种GAP技术，使两个或以上的的网络在不连通的情况下实现它们之间的安全数据交换和共享。
• 原理是使用一个具有控制功能的开关读写存储安全设备，通过开关的设置来连接或切断两个独立主机系统的数据交换
• 两个独立主机系统与网闸的连接是互斥的，因此两个独立主机之间不存在通信的物理连接，且主机对网闸只有读写操作
• 网闸仍然存在安全风险，攻击者可通过恶意数据驱动攻击，将恶意代码隐藏在电子文档中

11.4.8 协议隔离技术

• 指处于不同安全域的网络在物理上是有连线等的，通过协议转换手段保证受保护信息在逻辑上是隔离的，只有被系统要求传输的、内容受限的信息可以通过。
• 把基于网络公共协议的应用数据剥离，用系统专用协议封装传递至目标系统，再用专用协议剥离并封装成需要的格式

11.4.9 单向传输部件

• 指一对具有物理上单向传输特性的传输部件，，由一对独立的发送部件和接收部件组成
• 两种部件只能以单工方式工作

11.4.10 信息摆渡技术

• 类似于网闸

11.4.11 物理断开技术

• 指处于不同安全域的网络不能以直接或者间接方式相连接。物理断开通常由电子开关来实现

第十二章 网络安全审计技术原理与应用

12.1 网络安全审计相关标准

• 我国国家标准《计算机信息系统安全保护等级划分准则》要求从第二级（系统审计保护级）提供审计安全机制，该级要求计算机信息系统可信计算基实施了粒度更细的自主访问控制。

级别类型	安全审计要求
用户自主保护级	无
系统审计保护级	能创建和维护受保护客体的访问审计跟踪记录，并能阻止非授权用户对它访问或破坏
安全标记保护级	在上级基础上，要求增强的审计功能：审计记录包含客体名和客体安全级别
结构化保护级	在上级基础上，要求增强的审计功能：能够审计利用隐蔽存储信道时可能被使用的事件
访问验证保护级	在上级基础上，要求增强的审计功能：能监控可审计安全事件发生与积累的机制，超过阈值时能报警

12.2 网络安全审计系统组成

• 一般包括审计信息获取、审计信息存储、审计信息分析、审计信息展示与利用、系统管理

第十三章 网络安全漏洞防护技术原理与应用

13.1 网络安全漏洞概念

1. 网络安全漏洞又称为脆弱性，简称漏洞。
2. 根据漏洞补丁状况，可分为普通漏洞、零日漏洞

• 普通漏洞：相关漏洞信息已经公开，安全厂商有了解决修补方案
• 零日漏洞：新发现、尚未提供补丁的漏洞，通常被用来实施定向攻击

13.2 与漏洞相关的重大网络安全事件

时间	网络安全事件	所利用漏洞
1988年	“莫里斯”蠕虫	Sendmail及finger漏洞
2000年	DDoS	TCP / IP协议漏洞
2001年	“红色代码”蠕虫	微软Web服务器IIS4.0或5.0中index服务漏洞
2002年	Slammer蠕虫	微软MS SQL数据库系统漏洞
2003年	冲击波蠕虫(W32.Blaster.Worm)	微软操作系统 DCOM RPC缓冲区溢出漏洞
2010年	震网病毒	Windows操作系统、WinCC系统漏洞
2017年	WannaCry勒索病毒	Windows系统的SMB系统

13.3 安全漏洞分析与漏洞管理

• 通用漏洞披露（CVE）：用来统一漏洞规范命名
• 通用漏洞评分系统（CVSS）：采用十进制方式对安全漏洞的严重性进行评分估计，分数越高则表明漏洞危害性越大
• OWASP TOP10：OWASP组织发布有关Web应用的前10种安全漏洞
• 我国相关安全漏洞平台：国家信息安全漏洞库CNNVD，国家信息安全漏洞共享平台CNVD

13.4 网络安全漏洞信息获取

• CERT：世界上第一个计算机安全应急响应组织，主要任务是提供入侵事件响应与处理
• Security Focus Vulnerability Database：Security Focus开发维护的漏洞信息库
• 国家信息安全漏洞库CNNVD：中国信息安全测评中心
• 国家信息安全漏洞共享平台CNVD
• 厂商漏洞信息

13.5 安全漏洞扫描器分类

1. 主机漏洞扫描器：不需要建立网络连接就可以进行
2. 网络漏洞扫描器：通过与待扫描的主机建立网络连接后，发送特定网络请求进行漏洞检查

• Nmap：国际知名端口扫描工具
• Nessus：典型网络漏洞扫描器，由客户端、服务端两部分组成
• X-scan：国内安全组织xfocus开发，运行在Windows环境

3. 专用漏洞扫描器：针对特定系统的安全漏洞检查工具

13.6 网络安全漏洞利用防范技术

• 地址空间随机化技术（ASLR）：通过对程序加载到内存的地址进行随机化处理，使得攻击者不能事先确定程序的返回地址值。这是用来防范缓冲区溢出攻击
• 数据执行阻止（DEP）：指操作系统通过对特定的内存区域标注为非执行，使得代码不能在指定区域运行，可有效保护堆栈
• SEHOP：防止攻击者利用Structured Exception Handler（SEH）重写
• 堆栈保护：通过设置堆栈完整性标记以检测函数调用返回地址是否被篡改，从而阻止攻击者利用缓冲区漏洞
• 虚拟补丁：对尚未进行漏洞永久补丁修补的目标系统程序，在不修改可执行程序的前提下，检测进入目标系统的网络流量而过滤掉漏洞攻击数据包

第十四章 恶意代码防范技术原理

14.1 恶意代码概述

1. 英文是Malicious Code。是一种违背目标系统安全策略的程序代码，会造成目标系统信息泄露、资源滥用、破坏系统的完整性及可用性。
2. 种类主要包括：计算机病毒、网络蠕虫、特洛伊木马、逻辑炸弹、细菌、恶意脚本、恶意ActiveX控件、间谍软件
3. 按照恶意代码的传播特性可以分为两类：

• 被动传播：计算机病毒、特洛伊木马、间谍软件、逻辑炸弹
• 主动传播：网络蠕虫、其他

14.2 恶意代码攻击模型

1. 侵入系统
2. 维持或提升已有的权限
3. 隐蔽
4. 潜伏
5. 破坏
6. 重复前面5步对新的目标实施攻击

14.3 恶意代码生存技术

1. 反跟踪技术：用来提高恶意代码的伪装和防破译能力。大致分为两类：反动态跟踪技术、防静态分析技术
2. 加密技术：Cascade是第一例采用加密技术的DOS环境下的恶意代码
3. 模糊变幻技术：通过该技术使得潜入宿主程序的代码不尽相同

该技术主要分为以下几种：

• 指令替换技术
• 指令压缩技术
• 指令扩展技术
• 伪指令技术
• 重编译技术：宏病毒和脚本恶意代码就是这种类型，Tequtla是第一例在全球范围内传播和破坏的变形病毒

4. 自动生产技术
5. 变形技术

该技术主要分为以下几种：

• 重汇编技术：
• 压缩技术
• 膨胀技术
• 伪指令技术
• 重编译技术

6. 三线程技术
7. 进程注入技术
8. 通信隐藏技术
9. 内核级隐藏技术