信息系统安全题目笔记

1、Kerberos协议是一种集中访问控制协议，他能在复杂的网络环境中，为用户提供安全的单点登录服务。单点登录是指用户在网络中进行一次身份认证，便可以访问其授权的所有网络资源,而不在需要其他的认证过程，实质是消息M在多个应用系统之间的传递或共享。其中消息M是指以下选项中的 (安全凭证)

2、关于Kerberos 认证协议,
A、只要用户拿到了认证服务器(AS)发送的票据许可票据(TGT)并且该TGT没有过期，就可以使用该TGT通过票据授权服务器（TGS)完成到任一个服务器的认证而不必重新输入密码
B、认证服务器(AS)和票据授权服务器(TGS）是集中式管理，容易形成瓶颈,系统的性能和安全也严重依赖于AS和TGS的性能和安全
D、该协议是一种基于对称密码算法的网络认证协议，随用户数量增加，密钥管理较复杂

3、主动攻击：对数据进行篡改和伪造。例如，伪装、重放、消息篡改、拒绝服务。被动攻击，例如，流量分析、搭线监听、无线截获。

4、信息系统安全问题的根源（脆弱性）
（1）网络和通信协议的脆弱性。基于TCP/IP协议栈的因特网及其通信协议在设计时，只考虑了互联互通和资源共享问题，存在大量安全漏洞。
例如要建立一个完整的TCP连接，必须要在两台通信的计算机之间完成三次握手过程，如果三次握手不能够完成，将处于半开连接状态（Haif-open），此时服务器端口一直处于打开状态以等待客户端的通信，这个特性往往会被攻击者利用。
SYN Flooding拒绝服务攻击就是利用了TCP协议三次握手中的脆弱点进行的攻击，在SYN Flooding攻击中，攻击者向目标机发送大量伪造原地址的TCP SYN报文，这些报文的源地址都是虚假的，或者是根本不存在的，当目标机收到这样的请求后，向源地址恢复ACK+SYN数据包，由于源地址是假的IP地址，因此没有任何响应，于是目标机继续发送ACK+SYN数据包，并将该半开放连接放入端口的积压队列中，虽然一般系统都有默认的回复次数和超时时间，但由于端口积压队列的大小有限，如果不断向目标主机发送大量伪造IP的SYN请求，就会形成通常所说的端口被“淹”的情况，使目标机不能提供正常的服务功能。
（2）信息系统的缺陷。信息系统主要由硬件和软件构成，硬软件自身的缺陷客观上导致了计算机系统在安全上的脆弱性。
（3）黑客的恶意攻击。
5、什么是信息系统安全？
为数据处理系统建立和采取的技术和管理的安全保护。保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭受破坏、更改、泄露。
6、信息系统安全包括4个层面，设备安全、数据安全、内容安全、行为安全。
7、被动攻击是指攻击者在未被授权的情况下，对传输的信息进行窃听和监测以非法获取信息或数据文件，但不对数据信息做任何修改。常用的被动攻击手段有：搭线监听、无线截获、其他截获、流量分析。
主动攻击是指对数据进行篡改和伪造。主动攻击分为4类，伪装、重放、篡改、拒绝服务。
伪装：是指一个实体假冒另一个实体，通常攻击者通过欺骗系统冒充合法用户以获取合法用户的权限或特权小的攻击者冒充成特权大的用户。
重放：攻击者对截获的数据进行复制，并在非授权的情况下进行传输。
篡改：对合法消息的某些部分进行修改、删除，或者延迟消息的传输、改变消息的传输顺序，以产生混淆是非的效果。
拒绝服务；阻止或者禁止信息系统的正常使用，它的主要形式是破坏某实体网络或信息系统，使得被攻击目标资源耗尽或降低其性能。
8、信息系统安全的目标是保护信息的机密性、完整性、可用性、认证和不可否认性。
（1）机密性（保密性）：确保信息不被非授权访问，即使非授权用户得到信息也无法知晓信息内容。
（2）完整性：保证消息的真实性，即消息在生成、传输、存储和使用过程中不应发送非授权的篡改、丢失。
（3）可用性：保障信息资源随时可提供服务的能力特性，即授权用户可以根据需要随时访问所需信息。
（4）不可否认性（不可抵赖性）：信息的发送者无法否认已发出的信息或信息的部分内容，信息的接收者无法否认已经接收的信息或信息的部分内容。
（5）认证：通过对用户身份进行鉴别，确保一个实体没有试图冒充别的实体。

9、信息安全的发展历史：通信保密阶段、信息安全阶段、信息安全保障阶段。
香农发表《保密系统的信息理论》，标志着密码成为一门科学。
Differ和Hellman发表《密码学的新方向》，为公开密码机制提供了理论基础。
PDRR保障体系：保护（Protect）、检测（Detect）、响应（React）、恢复（Restore）。

10、信息系统安全防护基本原则
（1）整体性原则：从整体上构思和设计信息系统的安全框架，合理选择和布局信息安全的技术组件，使他们之间相互关联、相互补充，达到信息系统整体安全的目标。
（2）分层性原则：没有一种安全技术牢不可破，只要给予攻击者足够的时间和资源，任何安全措施都能被破解，因此，保障信息系统安全不能依赖单一的保护机制。
（3）最小特权原则：系统不应赋予用户超过其执行任务所需特权以外的特权。
11、信息系统安全可划分为5个层次：物理安全、网络安全、操作系统安全、数据库安全、应用系统安全。
第一章结束
12、一次一密（One-time Pad），被认为是一种不可攻破的密码体制。一次一密乱码本是一个大的不重复的随机密钥字母集，每个密钥被分别写在一张纸上，所有密钥被粘成一个乱码本，发送者在发送消息时用乱码本中的一个密钥加密，然后销毁乱码本中用过的一页，接收者有一个相同的乱码本，依次用乱码本上的密钥解密，并销毁密钥本中用过的一页。
13、散列函数的特点：
（1）单向性：对任何给定的散列码h，寻找x使得H（x）=h在计算上不可行。
（2）弱抗碰撞性：对于给定的x，寻找不等于x的y，使得H（x）=H（y）在计算上是不可行的。
（3）强抗碰撞性：寻找任何的（x，y），使H（x）=H（y）在计算上是不可行的。

第二章结束

14、信息系统的物理安全包括：环境安全、设备安全、介质安全、系统安全。
15、信息辐射泄露技术（TEMPEST），瞬时电磁脉冲发射标准技术，主要研究与解决计算机和外部设备工作时因电磁辐射和传导产生的信息外漏问题。
16、提高信息系统可靠性的措施：避错、容错、容灾备份。
17、容错技术可分为硬件容错、软件容错、数据容错、时间容错。
硬件容错：用以避免由于硬件造成的系统失效，通过硬件的物理备份来获得容错能力。
软件容错：用于避免由于软件引起的系统失效。
数据容错：增加额外的数据位以检测或纠正数据在运算、存储及传输中的错误。
时间容错：通过消耗时间资源来实现容错，其基本思想是重复执行指令或程序来消除故障带来的影响。
18、硬件冗余有3种基本形式：被动冗余、主动冗余、混合冗余。
软件容错的方法有N版本程序设计和恢复块方法。

19、用于量化描述灾难恢复目标的最常用的恢复目标指标：RPO（恢复点目标）和RTO（恢复时间目标）。
RPO（恢复点目标）：灾难发生后，系统和数据必须恢复到的时间点要求。它代表了灾难发生时允许丢失多长时间的数据量。
RTO（恢复时间目标）：灾难发生后，信息系统或业务功能从停顿到必须恢复的时间要求，它代表了系统恢复的时间。

20、数据存储技术：直接附加存储（DAS）、网络附加存储（NAS）、存储区域网络（SAN）、基于IP的存储网络和iSCSI。
21、心跳技术，就是每隔一段时间都要向外广播自身的状态，在进行心跳检测时，心跳检测的时间和时间间隔是关键问题，如果心跳检测得太频繁，将会影响系统的正常运行，占用系统资源；如果间隔时间太长，则检测就比较迟钝，影响检测的及时性。

第三章结束

22、身份认证是验证主体的真实身份与其所声称的身份是否相符的过程，它是信息系统的第一道安全防线。身份认证包括标识与鉴别两个过程。
标识（Identification）是系统为区分用户身份而建立的用户标识符，一般是在用户注册到系统时建立，用户标识符必须是唯一的且不能伪造。
将用户标识符与用户物理身份联系的过程称为鉴别（Authentication），鉴别要求用户出示能证明其身份的特殊信息，并且这个信息是秘密的或独一无二的，任何其他用户都不能拥有它。
23、常见的身份认证方式有：
（1）利用用户所知道的东西，如口令、PIN码或者回答预先设置的问题。
（2）利用用户所拥有的东西，如智能卡等物理识别设备。
（3）利用用户所具有的生物特征，如指纹、声音、DNA等。
24、针对弱口令的攻击主要有字典攻击和穷举攻击（暴力破解）。
（1）字典攻击。攻击者利用各种手段收集用户的口令构成口令字典，借助于口令破解工具逐一尝试字典中的口令，实现口令的破解。
（2）穷举攻击。如果把字符集的全集作为字典进行攻击称为穷举攻击，简单说就是尝试所有可能的口令，直到破解成功。
25、验证码通常称为全自动区分计算机和人类的图灵测试，是一种区分用户是计算机和人的自动程序。这类验证码的随机性不仅可以防止口令猜测攻击，还可以有效防止攻击者对某一个特定注册用户用特定程序进行不断的登录尝试。
26、一次性口令产生机制。根据动态因素的不同，主要分为两种实现技术：同步认证技术和异步认证技术。其中同步认证技术又分为基于时间同步认证技术和基于事件同步认证技术；异步认证技术即为挑战/应答认证技术。
挑战/应答方式（Challenge/Response），应用最广泛的一次性口令实现方式是挑战/应答方案，该方案的基本原理为每次认证时，服务器产生一个随机数发送给客户端，客户端以该随机数作为不确定因素，用某种单向算法计算出结果作为应答，服务器通过验证应答的有效性来判断客户端身份的合法性。最为经典的挑战/应答方案是S/Key协议，S/Key口令认证方案分为两个过程：注册过程和认证过程。注册过程只执行一次，而认证过程则在用户每次登录时都要执行。
27、在网络中，通常是服务器要验证用户的身份，称为单向认证，但为了防止网络钓鱼等假冒服务器的现象发生，客户端有时也需要验证服务器的身份，这就需要进行双向认证。
28、零知识证明：不泄露秘密信息进行身份认证的技术。

第四章结束

第五章 在纸质笔记上

第五章结束

1、 操作系统面临的安全问题？
（1）网络攻击。常见的网络攻击形式有缓冲区溢出、拒绝服务攻击、ARP攻击、计算机病毒、木马等，严重威胁操作系统的安全。
（2）隐蔽信道。系统中不受安全策略控制的、违反安全策略的信息泄露路径，一般可分为存储隐蔽信道和时间隐蔽信道，他们都是通过共享资源来传递秘密信息的，隐蔽信道会泄露系统信息、破坏系统的机密性。
（3）用户的误操作。
2、进程是操作系统进行资源分配和保护的基本单位。
3、POSIX权能机制
权能是有效实现最小特权的机制，主要思想是将超级用户的所有特权划分成多种权能，每种权能代表某种特权的权限，系统根据一定的策略赋予进程权能，并根据进程拥有的权能进行特权操作的访问控制。
4、Windows安全子系统中实现自主访问控制主要包含5个关键的组件：
安全标识符（SID）、访问令牌（Access Token）、安全描述符（Security Descriptor）、访问控制表（Access Control List）、访问控制项（Access Control Entry）。
5、访问权限
例如，-rw-r—r—l root root
文件类型 文件拥有者的权限 同组用户的权限 其他用户的权限
6、隐蔽信道：如果一个通信信道不是被设计用来传输信息的，那么此信道是隐蔽的。

第六章结束

1、数据库面临的安全威胁分为物理上的威胁和逻辑上的威胁。
物理上的威胁是如水灾、火灾等造成的硬件故障，从而导致数据的损坏和丢失等。为了消除物理上的威胁通常采用备份和恢复的策略。
逻辑上的威胁主要是指对信息的未被授权存取。（1）信息泄露，包括直接和非直接地对保护数据的存取；（2）非法的数据修改，由操作人员的失误或非法用户的故意修改引起；（3）拒绝服务，通过独占系统资源导致其他用户不能访问数据库。为了消除逻辑上的威胁，DBMS必须提供可靠的安全策略，以确保数据库的安全性。

2、VPD机制：虚拟专用数据库（VPD）机制是一种细粒度的、基于内容的记录级访问控制机制。它的思想是动态地、透明地给数据库访问语句附加上合适的谓词，以便根据实际的安全需求限定用户所能访问到的数据记录，从而达到为特定的安全需求提供特定的数据库数据记录集的效果。

第七章结束

1、可信计算机系统评价标准（Trusted Computer System Evaluation Criteria，TCSEC），将信息安全等级分为4类，从低到高分别为D、C、B、A。
2、《计算机信息系统安全保护等级划分准则》将信息系统划分为5个等级，分别是自主保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。

第八章结束

1、信息系统风险评估是从风险管理的角度，运用科学的方法和手段，系统分析网络和信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，为防范和化解信息安全风险，或者将风险控制在可接受的水平，制定有针对性的抵御威胁的防护对策和整改措施，以最大限度地为保障计算机网络信息系统安全提供科学依据。
2、风险评估的方法分为3大类：定量的风险评估方法、定性的风险评估方法、定性与定量相结合的评估方法。

第九章结束

1、计算机病毒：编制者在计算机程序中插入的破坏系统功能或破坏数据，影响系统使用并能够自我复制的一组指令或程序代码。

2、恶意代码（Malicious Code）：在未授权的情况下，以破坏软硬件设备、窃取用户信息、干扰用户正常使用、扰乱用户心理为目的而编制的软件或代码片段。

3、计算机病毒的特点？
（1）传染性：计算机病毒可借助各种渠道从已经感染的计算机系统扩散到其他计算机系统。
（2）潜伏性：计算机病毒可以依附于其他媒体寄生的能力，侵入后的病毒一般不会马上破坏系统而是潜伏到条件成熟才发作。
（3）触发性：潜伏下来的病毒一般要在一定的条件下才被激活，发起攻击。
（4）非授权执行：计算机病毒隐蔽在合法程序和数据中，当用户运行正常程序时，病毒伺机取得系统的控制权，先于正常程序执行，并对用户呈透明状态。
（5）破坏性：对计算机数据信息的直接破坏、抢占系统资源、影响计算机运行速度、对计算机硬件的破坏。

4、按照计算机病毒攻击的系统分类
（1）攻击Windows系统的病毒。
（2）攻击UNIX/Linux系统的病毒。

5、按照计算机病毒的链接方式分类
（1）源码型病毒：该病毒攻击高级语言编写的程序，该病毒在高级语言所编写的程序编译前插入到源程序中，经编译成为合法程序的一部分。
（2）嵌入型病毒：将自身嵌入到现有程序中，把计算机病毒的主体程序与其攻击的对象以插入的方式链接。
（3）外壳型病毒：将其自身包围在主程序的四周，对原来的程序不作修改。
（4）操作系统型病毒：用自己的逻辑部分取代操作系统的合法程序模块，具有很强的破坏力，可以导致整个系统瘫痪。

6、按照计算机病毒的破坏情况分类
（1）良性计算机病毒：不包含立即对计算机系统产生直接破坏作用的代码的病毒。
（2）恶性计算机病毒：其代码中包含损失和破坏计算机系统的操作，在其传染或发作时会对系统产生直接的破坏作用的病毒。

7、按照计算机病毒的寄生部位或传染对象分类
（1）磁盘引导区传染的计算机病毒：用病毒的全部或部分逻辑取代正常的引导记录，将正常的引导记录隐藏在磁盘的其他地方。由于引导区是磁盘正常使用的先决条件，这种病毒一开始就能获得控制权，传染性较大。
（2）操作系统传染的计算机病毒：利用操作系统中所提供的一些程序及程序模块寄生并传染的。这类病毒作为操作系统的一部分，只要计算机开始工作，病毒就会处在随时被触发的状态，而操作系统的开放性和不完善性给这类病毒的可能性与传染性提供了方便。
（3）可执行程序传染的计算机病毒：寄生在可执行程序中，一旦程序被执行，病毒也就被激活，病毒程序首先被执行，并将自身驻留在内存，然后设置触发条件，进行传染。

8、按照计算机病毒激活的时间分类：分为定时病毒和随机病毒。

9、按照寄生方式和传染途径分类：分为引导型病毒和文件型病毒。
引导型病毒：是一种在ROM BIOS之后，系统引导时出现的病毒，它先于操作系统，依托的环境是BIOS中断服务程序。引导型病毒常驻在内存中。
文件型病毒：以感染可执行程序为主。它的安装必须借助于病毒的载体程序，即要运行病毒的载体程序，方能把文件型病毒引入内存。感染病毒的文件被执行后，病毒通常会趁机再对下一个文件进行感染。（CIH病毒会向主板可擦写的BIOS中写入垃圾信息，导致BIOS中的内容被洗去，造成计算机无法启动）

10、计算机病毒的结构：病毒一般由感染标记、感染模块、触发模块、破坏模块和主控模块构成。
感染标记：又称病毒签名。病毒程序感染宿主程序时，要把感染标记写入宿主程序，作为该程序已被感染的标记。病毒在感染健康程序前，先要对感染对象进行搜索，查看它是否带有感染标记。如果有，说明它被感染过，就不再进行感染；如果没有，病毒就感染该程序。
感染模块：病毒进行感染时的动作部分，主要做3件事：
（1）寻找一个可执行文件；（2）检查该文件是否有感染标记；
（3）如果没有感染标记，进行感染，将病毒代码放入宿主程序。
破坏模块：负责实现病毒的破坏动作，其内部是实现病毒编写者预定的破坏动作的代码。
触发模块：根据预定条件满足与否，控制病毒的感染或破坏动作。
主控模块：在总体上控制病毒程序的运行，其基本动作：（1）调用感染模块，进行感染；（2）调用触发模块，接收其返回值；（3）如果返回真值，执行破坏模块；（4）如果返回假值，执行后续程序。
感染了病毒的程序运行时，首先运行的是病毒的主控模块。
11、计算机病毒的检测
（1）长度检测法
（2）病毒签名检测法：宿主程序被病毒程序感染的标记，不同病毒感染宿主程序时，在宿主程序的不同位置放入特殊的感染标记。
（3）特征代码检测法。病毒本身一般以二进制代码的形式存在，其中存在某一个代码序列用于标识一个病毒，成为特征代码。（该方法不能检测出未知的恶意代码，特征代码库要经常更新，而且在特征代码库尺寸比较大时，匹配开销比较大。）
（4）校验和法：在文件使用过程中，定期地或每次使用文件前，检查根据文件当前内容算出的校验和与原来保存的校验和是否一致，从而发现文件是否感染。（既能发现已知病毒，也能发现未知病毒，但无法识别病毒种类，而且常误报警。）
（5）行为监测法：病毒在执行过程中可能存在一些特殊的行为，行为检测法就是通过发现它们进行报警。
（6）软件模拟法：用可控的软件模拟器模拟恶意代码的执行，在执行中确认恶意代码的特征。
（7）感染实验法：将一些已确定是干净的文件复制到可能含有病毒的系统中，反复执行或打开它们，根据它们长度或内容上的变化来确定病毒的存在。
12、病毒防御
（1）反病毒软件：利用病毒的特征码，防病毒软件商收集病毒样本并采集其特征码，当反病毒软件扫描文件时，将当前文件和病毒特征相比较，检测是否有文件片段和特征码相吻合，以此判断文件是否染毒。
（2）强化配置、加强管理。
13、木马是一种在远程计算机之间建立起连接，使远程计算机能通过网络控制本地计算机的程序。从本质上讲，木马程序属于远程管理工具的范畴，其目的在于通过网络进行远程管理控制。
14、木马与远程控制软件的区别：
（1）远程控制软件的服务器端会出现很醒目的标志。
（2）木马的服务器端在运行时则使用多种手段来隐藏自己。
15、木马的基本功能：
（1）窃取数据。窃取用户的网游账号、密码等重要信息。
（2）远程控制。一是实时截取用户屏幕图像，监视远程用户当前正在进行的操作；二是远程桌面控制，通过远程控制窗口或命令，直接控制目标计算机进行相应的操作。
（3）远程文件管理：攻击者可通过远程控制对被控主机上的文件进行复制、删除、上传、下载等一系列操作。
（4）打开未授权的服务：木马程序被植入远程用户后，可以偷偷安装及打开某些服务，使其为攻击者服务。
16、木马的特点：
（1）隐蔽性：木马必须采用各种技术隐藏自己，实现长期潜伏于目标机器而不被用户发现。
（2）自启动性：木马只有伴随系统启动才能更好地完成自身的功能。
（3）自动恢复性：许多木马程序不再由单一文件组成，而是由多个木马文件协同工作，具有多重备份。这些文件同时运行，互相检查其他文件是否被删除。一旦发现其他文件被删除，就会将自动恢复。木马可以使用多个守护进程，这些进程相互监视，达到防止木马进程被关闭的目的。
（4）易植入性：向目标主机成功植入木马，是木马成功运行、发挥作用的前提。
17、木马工作机理分析
木马程序大多采用C/S架构，服务器端程序潜入目标机内部，获取系统操作权限，接收控制指令，并根据指令或配置发送数据给控制端。服务器端程序通常隐藏在一些合法程序或数据当中。某个系统“中了木马”是指安装了木马的服务端程序。客户端程序又称为控制端程序，用来远程控制被植入木马的机器，安装在控制者的计算机，它的作用是连接木马服务器端程序，监视或控制远程计算机。
典型的木马工作原理是：当服务器端在目标计算机上被执行后，木马打开一个默认的端口进行监听，当客户机向服务器端提出连接请求，服务器上的相应程序就会自动运行来应答客户机的请求，服务器端程序与客户端建立连接后，由客户端发出指令，服务器在计算机中执行这些指令，并将数据传送到客户端，以达到控制主机的目的。这种由控制端向服务器端发起通信的木马称为正向连接型木马，是当前木马最广泛采用的方式，但是由于防火墙对于由外部向内部发起的连接过滤严格，这种通信方式不能穿透防火墙。为了规避防火墙的限制，又出现了反向连接型木马，这种木马通信时由服务器端向控制端发起连接。木马服务器端程序首先通过一个指定的第三方网址获取木马攻击者的IP地址，然后根据该IP地址向控制端发起连接。
18、木马的一般攻击过程：配置木马、传播木马、运行木马、信息泄露、建立连接、远程控制。
19、木马的检测与防范技术
木马的查杀，最简单的方法是利用杀毒软件。
（1）检查本地文件。查看是否有隐藏的或多扩展名的程序，如果有就可能是木马文件，然后检查系统文件是否都处于正常的系统文件夹内，如果存在多个同样的系统文件，要注意查看是否为木马文件。
（2）检查端口及连接。木马一般需要端口进行通信，因此检查系统开放端口及连接是辅助判断木马的一个重要依据。用户可以通过系统自带的netstat命令查看系统的开放端口和TCP/UDP连接，来判断系统是否有木马存在。
（3）检查系统进程。用户可利用Windows系统自带的任务管理器检查系统的活动进程，观察有没有陌生的进程，重点注意一些CPU占用率较高的进程。
（4）检查注册表。重点检查注册表启动项和系统服务相关键值，是否有新增的和可疑的键值。
（5）检查系统配置文件。检查win.ini，在它的windows字段中有启动命令“load=”和“run=”，一般情况下，“=”后面是空白的，如果有启动程序，很可能是木马。
检查System.ini文件，其[boot]字段的“shell=explorer.exe”是加载木马的常见位置。如果该字段变为：“shell=explorer.exe 某一程序名”，那么后面跟着的那个程序就是木马。

20、防范木马攻击的方法
防范木马攻击的最基本的方法就是安装杀毒软件和防火墙。
（1） 安装杀毒软件和个人防火墙，并及时升级。
（2） 为个人防火墙设置好安全等级，防止未知程序向外传送数据。
（3） 使用安全性比较好的浏览器和电子邮件客户端。
（4） 不要随意下载和运行来历不明的软件，安装软件之前先用杀毒软件查杀。
（5） 不登录陌生网站，禁用浏览器的“ActiveX控件和插件”以及“Java脚本”功能，禁用文件系统对象FileSystemObject，防止恶意站点网页木马全自动入侵。
21、蠕虫类恶意代码是具有自我复制和主动传播能力并在网络上尤其是在Internet上进行扩散的恶意代码。
计算机蠕虫和计算机病毒都具有传染性和复制功能，但是二者又很大区别，蠕虫是通过网络传播，而病毒不一定要通过网络。病毒主要感染的是文件系统，在其传染过程中，计算机使用者是传染的触发者，需要用户运行一个程序或打开文档以调用恶意代码，而蠕虫利用计算机系统漏洞进行传染，不需要宿主文件，搜索到网络中存在漏洞的计算机后主动进行攻击，在传染的工程中，无须通过人为干预。
22、蠕虫的结构和工作机制
蠕虫功能模块划分为主体功能模块和辅助功能模块。
主体功能模块用来实现蠕虫自我传播，包括信息搜集模块、探测模块、攻击模块和自我推进模块。
辅助功能模块用来增强蠕虫的破坏力，是对除主体功能模块之外的其他模块的归纳，包括实体隐藏模块、宿主破坏模块、通信模块、远程控制模块和自我更新模块。
蠕虫的攻击行为大体分为4个阶段：目标信息收集主要完成对本地和目标结点主机的信息汇集；扫描探测主要完成对具体目标主机服务漏洞的检测，攻击渗透利用已发现的服务漏洞实施攻击；自我推进完成对目标结点的感染。

23、蠕虫的防范
（1）安装反病毒软件。
（2）及时配置补丁程序。
（3）阻断任意的输出链接。
（4）建立事故响应机制。

第11章 应用系统安全

1.缓冲区溢出攻击一直是网络攻击事件中用得最多的一种攻击方式。
2.“冲击波”和“震荡波”都是利用缓冲区溢出漏洞进行攻击的。
3.格式化字符串漏洞的根源在于数据输出函数对输出格式解析的缺陷。
4.整数溢出主要分三种情况：存储溢出、计算溢出、符号问题。
5.Web应用架构包括以下组成部分：浏览器、Web服务器、数据库服务器。
6.跨站脚本漏洞有3类：反射型XSS、存储型XSS、DOM型XSS。

11.1缓冲区溢出
1.什么是缓冲区溢出攻击？缓冲区溢出攻击由哪几部分组成？
人为蓄意向缓冲区提交超长数据从而破坏程序的堆栈，使程序转而执行其他指令或对系统正常运行造成了不良影响。
缓冲区溢出攻击需要3部分组成：
（1） 在目标程序中植入攻击代码（shellcode）；
（2） 实际复制进入需要溢出的缓冲区并破坏邻近区域的数据结构（通过输入超长的字符串作为输入参数来达到溢出，且溢出后返回地址指向shellcode的开始地址）；
（3） 控制劫持（获得shell）从而执行攻击代码（Shellcode）。

2.缓冲区溢出的原因是什么？如何防范？
缓冲区溢出是因为人们向程序中提交的数据超出了数据接收区所能容纳的最大长度，从而使提交的数据超过相应的边界而进入了其他区域。
面对缓冲区溢出攻击的挑战，常见的防范措施主要有：
（1）安全编码。尽量选用自带边界检查的语言（如Java、Python）来进行程序开发；在使用像C这类开发语言时要做到尽量调用安全的库函数，对不安全的调用进行必要的边界检查。
（2）数组边界检查。只要数组的使用被严格限制在其边界之内，就不会出现缓冲区溢出问题。
（3）返回地址。通过在系统的其他地方对正确的返回地址进行备份，在返回前对两者进行核对，可以成功地阻断攻击。
（4）了解系统常见进程。发现可疑进程，终止其运行，降低遭受攻击的风险。
（5）及时打补丁或升级。

3.内存的上面为低端，下面为高端。代码段：存放程序机器码和只读数据。
数据段：存放程序中的静态数据；堆栈段：存放程序中的动态数据。
堆栈是由内存的高地址向低地址方向增长，而数组变量是从内存低地址向高地址增长。
4.整数溢出漏洞？
（1）存储溢出：使用不同的数据类型来存储整数造成的。当一个较小的整数变量存储区域中放入一个较大的整数变量，就会造成截断多余位只保留较小变量所能存储的位数的结果。
（2）计算溢出：在计算整型变量的过程中，对其所能表示的边界范围没考虑到，从而导致计算得到的数值超出了其最大存储空间。
（3）符号问题：有符号整数和无符号整数是整数的两种类型，一般要求数据的长度变量都要使用无符号整数，如果符号问题被程序员所忽略，那么意想不到的情况就可能发生在对数值的边界进行安全检查时。

5、白盒分析是指拥有被测程序的源代码和设计文档；
黑盒分析：没有源代码而只能运行目标软件观察其输出结果来进行分析；
灰盒分析：介于二者之间，通过逆向工程获得目标软件的汇编代码来进行分析。
静态分析方法：静态分析程序代码来实现的，并不需要执行程序，检测时间更少。
动态分析技术：一般是通过在调试器中加载目标程序并观察程序在运行过程中的状态以发现潜在的漏洞。

OWASP：Web应用十大应用漏洞：SQL注入攻击、跨站脚本攻击、敏感数据泄露等。

6、SQL注入攻击：当用户提交恶意请求，而Web应用程序如果对用户提交的参数未做过滤就直接构造SQL语句，就会使得数据库服务器执行攻击者精心构建的SQL语句或语句序列，从而达到破坏数据库、获取机密数据，甚至可能盗取数据库服务器的管理员权限的目的。

7、XSS漏洞有3类：反射型XSS、存储型XSS和DOM型XSS。
XSS漏洞的防范措施：
程序开发过程中应该采取的措施：
（1）过滤用户提交数据中的代码。不仅需要考虑标签，各种可能的XSS攻击载体都要考虑进来。
（2）对用户输入的数据或基于用户输入数据而生成的输出数据进行编码；
（3）对表单输入字符长度加以限制。
（4）禁止上传Flash。
（5）检查cookies信息；
用户的应对措施：
（1） 慎重点击不可信的链接，只点击一些可信链接、可信网站。
（2） 提高浏览器的安全等级，及时将浏览器更新到最新版本，将浏览器的安全级别设置为高，同时禁用一些不需要运行的脚本。
（3） 要在不同的Web应用程序中使用不同的用户名和密码。

第十一章结束

第12章 信息系统安全

12.1云计算信息系统及其安全技术
1.云计算安全包括两个方向：
（1）云安全，即保护云计算系统本身的安全。
（2）安全云，属于云计算应用范畴，即利用云的特性，将云作为一种安全服务提供给第三方。

2.云计算的3种交付模式：
基础设施即服务（Infrastructure as a Service,IaaS）
平台即服务（Platform as a Service,PaaS）
软件即服务（Software as a Service,SaaS）

3.云计算中的安全问题及应对策略
（1）云中的数据安全。需要增强加密技术、密钥管理、数据隔离、防止数据残留。
（2）应用安全。对于使用云服务的用户而言，应提高安全意识，采取必要措施，保证云终端的安全。例如，用户可以在处理敏感数据的应用程序服务器之间通信时采用加密技术，以确保其机密性；云用户应定期自动更新，及时为使用云服务的应用打补丁或更新版本。
（3）虚拟化安全。虚拟化是云计算的重要特色，虚拟化技术有效加强了基础设施、平台、软件层面的扩展能力，但虚拟化技术的应用使得传统物理安全边界缺失，传统的基于安全域/安全边界的防护机制难以满足虚拟化下的多租户应用模式，用户信息安全使用户信息隔离问题在共享物理资源环境下的保护更加迫切。
虚拟化技术为云计算引入的风险包括两个方面，即虚拟化软件安全和虚拟服务器的安全。
如果主机受到破坏，那么主要的主机所管理的客户端服务器有可能面临被攻克的风险；如果虚拟网络受到破坏，那么客户端也会受到损害。需要保障客户端共享和主机共享的安全，因为这些共享有可能被非法攻击者利用；如果主机有问题，那么所有的虚拟机都会产生问题。
（4）云服务滥用
云计算平台为用户提供低门槛的使用接口，用户不需要自行维护服务器、网络，只需专注于自身业务。不法分子可利用云平台庞大的网络资源和计算资源，组织大规模DDOS攻击，这样的攻击难以防范及溯源；
云计算服务被国外巨头垄断，国外借此对我国进行远程监测和控制，并通过用户整体情况进行统计分析，获取我国重要数据；还可有针对性地向我国推送反动有害等信息，一方面要对云平台自身的滥用进行管理，另一方面要对云平台外部的攻击进行管理。
12.2物联网系统及其安全问题
物联网（Internet of Things，IoT）
1.物联网体系结构包含3个层次，下层是感知真实世界的感知层、中间是完成数据传输的网络层、上层是面向用户的应用层。

2.物联网安全新特征？
（1）大众化。物联网时代如果出现了安全问题，每个人都将面临重大损失。只有当安全与人们的利益相关的时候，人们才会重视安全，这就是 “大众化”。
（2）轻量级。物联网安全必须是轻量级、低成本的安全解决方案。只有这种轻量级的思路，普通大众才可能接受。轻量级解决方案正是物联网安全的一大难点，安全措施的效果必须要好，同时要低成本。
（3）非对称。物联网安全在面向非对称网络的时候，需要将能力弱的感知节点安全处理能力与网络中心强的处理能力结合起来，采用高效的安全管理措施，使其形成综合能力，从而在整体上发挥出安全设备的效能。
（4）复杂性。物联网安全所面临的威胁、安全问题、安全技术，不仅在数量上比互联网大很多，而且还可能出现互联网安全没有的新问题和新技术。物联网安全涉及到信息感知、信息传输和信息处理等多个方面，并且更强调用户隐私。

3.物联网安全威胁分析？
（1）感知层普遍的安全威胁是某些普通站点被攻击者控制之后，其与关键节点交互的所有信息都将被攻击者获取。攻击者的目的除了窃听信息外，还可能通过其控制的感知结点发出错误信息，从而影响系统的正常运行。
（2）网络层涉及到大量异构网络的互联互通，跨网络安全域的安全认证等方面会更加严重。网络层很可能面临非授权结点非法接入的问题，如果网络层不采取网络接入控制措施，就很可能被非法接入，其结果可能是网络层负担加重或者传输错误信息。互联网或者下一代网络将是物联网网络层的核心载体，需要有更好的安全防护措施和抗毁容灾机制。
（3）物联网应用层的重要特征是智能化。智能化应用能够很好地处理海量数据，满足使用需求，但如果智能化应用一旦被攻击者利用，将造成更加严重的后果。
12.3 移动互联网安全技术
1.移动互联网安全威胁？
（1）终端方面的安全威胁。终端越来越智能化，终端上的操作系统逐步开放。出现了潜在威胁，如非法篡改信息、通过操作系统修改终端中存在的信息。
（2）网络方面的安全威胁。存在非法接入网络，对数据机密性、完整性进行破坏；进行拒绝服务攻击，利用各种手段产生数据包造成网络负荷过重。
（3）业务方面的安全威胁。非法访问业务、非法访问数据、拒绝服务攻击、垃圾信息的泛滥、不良信息的传播、个人隐私和敏感信息的泄露。
2.移动互联网的安全机制？
（1）终端方面的安全机制。移动互联网终端，应具有身份认证的功能。对于数据信息的安全性保护和访问控制，可以通过设置访问控制策略来保证其安全性，对于终端内部存储的一些数据，可以通过分级存储和隔离，以及数据的完整性的检测来保证安全性。
（2）网络方面的安全机制。2G系统安全机制是基于私钥密码体制，采用共享秘密数据（私钥）的安全协议，实现对接入用户的认证和数据信息的保密，在身份认证及加密算法等方面存在着许多安全隐患；3G、4G定义了更加完善的安全特征与安全服务。
（3）业务方面的安全机制。3GPP、3GPP2都有相应的业务标准的机制。例如WAP安全机制、定位业务安全机制、移动支付业务安全机制、垃圾短消息的过滤机制。