系分 - 系统安全分析与设计

个人总结，仅供参考，欢迎加好友一起讨论

系分 - 系统安全分析与设计

考点摘要

• 对称与非对称加密（★★★）
• 数学签名（★★★）
• 信息摘要（★★★）
• 安全协议（★★★）
• 网络协议（★★）
• 等级保护标准（★★）

对称加密

非对称加密

例题1：

例题1解析与答案：

​ 答案：A

​ 解析：题目描述“传输大量数据”，选“对称加密”

信息摘要

信息摘要：单向散列函数、固定长度的散列值。（信息摘要的算法不能用来加密解密）

常用的消息摘要算法有MD5，SHA等，市场上广泛使用的MD5，SHA算法的散列值分别为128和160位，由于SHA通常采用的密钥长度较长，因此安全性高于MD5.

数字签名

目前主要是使用基于非对称加密算法的数字签名，包括普通数字签名和特殊数字签名

数字签名的主要功能是保证信息传输的完整性、发送者的身份认证、防止交易中的抵赖发生,，数字签名为了证明自己发的，用私钥加密，公钥解密

1. 接收者能够核实发送者对数据的签名，这个过程称为鉴别
2. 发送者事后不能抵赖对数据的签名，这称为不可否认（不能抵赖）
3. 接收者不能伪造对数据的签名，这称为数据的完整性
4. 生成摘要的目的是防止被篡改（无法篡改）
5. 对摘要进行加密的目的是为了防止抵赖

例题2：

例题2解析与答案：

​ 答案：C B

​ 解析：略

数字证书

数字证书又称为数字标识，是由认证中心（Certificate Authority, CA）签发的对用户的公钥的认证。数字证书的内容应包括CA的信息、用户信息、用户公钥、CA签发时间和有效期等。目前，国际上对证书的格式和认证方法遵从X.509体系标准。

Https有效地解决了钓鱼网站的问题。银行使用的USBKey就是数字证书，USBKey里面还包括了你的私钥信息

数字证书内容：

• 证书的版本信息
• 证书的序列号，每个证书都有一个唯一的证书序列号
• 证书所使用的签名算法
• 证书的发行机构名称，命名规则一般采用X.500格式
• 证书的有效期，现在通用的证书一般采用UTC时间格式，它的计时范围为1950-2049
• 证书所有人的名称，命名规则一般采用X.500格式
• 证书所有人的公开密钥
• 证书发行者对证书的签名

数字信封

用接收者的公钥去加密一个对称密钥，并发送给对方去，同时原文使用公钥加密 公钥是数字，这个数字是否被黑客改过都不知道。通过数字证书把公钥保护起来。

数字信封就是发送方将原文用对称密钥进行加密，将对称密钥用非对称方式加密后传给接收方的过程。

接收方收到电子信封，用自己的私钥解密信封，取出对称密钥解密得到原文。

PKI公钥体系

场景描述：

• 客户访问银行服务器，首先先从银行服务器下载CA中心给银行服务器的证书
• 下载证书后，提取证书的公钥，前提需要验证数字证书是否可信
• 在客户机会生成随机密钥（对称密钥），用提取的公钥进行加密，再传递给银行服务器
• 银行服务器接收到随机密钥，之后所有的操作都通过随机密钥加密传输，提升安全性

基本结构：

• CA下有RA进行注册审批
• RA下会有受理点进行业务受理

网络安全 - 安全协议

• 物理层的隔离：防止无线信号传播出去。
• 物理层的屏蔽：使用专用的网络，比如军用网络，公安专网。
• PPTP和L2TP：在通用的互联网基础之上开出两条安全的通道。
• IPSec是针对IP包加密的协议（互联网安全协议）。它将原有的IP包加上密之后再传，进一步提高了IP数据包的安全性。针对IPv4和IPv6。
• PGP是一套用于信息加密、验证的应用程序，基于RSA公钥加密体系的邮件加密软件。PGP既可以用于邮件，也可以用于文件加密。基于RSA的邮件加密，还可用于文件存储加密。
• SSL安全套接字协议，用户使用持有证书的因特网浏览器访问服务器，主要任务是进行数据加密，并对通信会话过程进行安全保护，用于在因特网上传输机密文件也可以用与安全电子邮件。工作在传输层至应用层。传统的Http协议和SSL的结合，就有了Https，它保证了安全性，一般用在银行网络中。
• SET，安全电子交易协议，多用于电子商务，身份认证。
• TLS，传输层安全协议。

例题3：

例题3解析与答案：

​ 答案：D

​ 解析：略

例题4：

例题4解析与答案：

​ 答案：C

​ 解析：SSL如果使用Web登录邮箱，需要SSL和HTTPS进行安全保护

​ MIME是电子邮箱的信息格式

例题5：

例题5解析与答案：

​ 答案：D

​ 解析：略

网络安全 - 网络威胁与攻击

例题6：

例题6解析与答案：

​ 答案：A

​ 解析：略

例题7：

例题7解析与答案：

​ 答案：D

​ 解析：略

防火墙 - 功能

• 访问控制功能。

  这是防火墙最基本也是最重要的功能，通过禁止或允许特定用户访问特定的资源，保护内部网络的资源和数据。需要禁止非授权的访问，防火墙需要识别哪个用户可以访问何种资源，包括服务控制、方向控制、用户控制和行为控制等功能。

• 内容控制功能。

  根据数据内容进行控制，例如，防火墙可以从电子邮件中过滤掉垃圾邮件，可以过滤掉内部用户访问外部服务的图片信息，也可以限制外部访问，使它们只能访问本地Web服务器中一部分信息。

• 全面的日志功能。

  防火墙需要完整地记录网络访问情况，包括内、外网进出的访问，以检查网络访问情况。一旦网络发生了入侵或者遭到了破坏，就可以对日志进行审计和查询。

• 集中管理功能。

  在一个安全体系中，防火墙可能不止一台，因此，防火墙应该是易于集中管理的。

• 自身的安全和可用性。

  防火墙要保证自身的安全，不被非法侵入，保证正常的工作。如果防火墙被侵入，安全策略被修改，这样，内部网络就变得不安全。同时，防火墙也要保证可用性，否则网络就会中断，网络连接就会失去意义。

• 流量控制。

  针对不同的用户限制不同的流量，可以合理使用带宽资源。

• 网络地址转换（Network Address Translation, NAT）。

  NAT是通过修改数据包的源地址（端口）或者目的地址（端口）来达到节省IP地址资源，隐藏内部IP地址功能的一种技术。

• VPN（Virtual Private Network，虚拟专用网）。

  只利用数据封装和加密技术，使本来只能在私有网络上传送的数据能够通过公共网络进行传输，使系统费用大大降低。

防火墙是一种静态安全技术。网络层防火墙效率高但工作的层次较低；应用层正好相反，应用层防火墙效率低但工作层次高。防火墙工作层次：工作层次越低，则工作效率越高，但安全性就低了；反之，工作层次越高，工作者效率越低，则安全性越高。

防火墙 - 分类

电路级网关型防火墙、应用网关型防火墙、代理服务型防火墙、状态检测型防火墙和自适应代理型防火墙

防火墙 - 实现模式

双宿/多宿主机模式，屏蔽主机模式，屏蔽子网模式

入侵检测技术与入侵防护技术

入侵检测系统（Intrusion-detection system, IDS）一般有两种分类方法：

1. 基于数据源的分类。IDS首先需要解决的问题是数据源，或者说是审计事件发生器。IDS根据其检测数据来源可分为两类，分别是基于主机的IDS和基于网络的IDS。基于主机的IDS必须具备一定的审计功能，并记录相应的安全性日志；基于网络的IDS可以放在防火墙或者网关的后面，以网络嗅探器的形式捕获所有的对内和对外的数据包。
2. 基于检测方法的分类。从检测方法上可以将IDS分为异常检测和误用检测两种类型。异常检测也称为基于行为的检测，首先建立用户的正常使用模式（即知识库），标识出不符合正常模式的行为活动；误用检测也称为基于特征的检测，建立已知攻击的知识库，判别当前行为活动是否符合已知的攻击模式。

防火墙与入侵检测的区别：

• 入侵检测可以良好的解决对内发起的攻击，可弥补防火墙的不足。
• 入侵检测更加侧重于监控，同时监控内外部网络。
• 防火墙是被动的策略，而入侵检测采用的是以攻为守的策略，它所提供的数据不仅可用来发现合法用户是否滥用职权，还可以追究入侵者法律责任。提供有效证据。

入侵检测技术4个模块（系统个构成）：

• 事件产生器
• 事件分析器
• 事件数据库
• 响应单元

入侵检测技术分析方法：

• 模式匹配：将收集到的信息与已知的网络入侵数据库进行比较，从而发现违背安全策略的行为。

• 统计分析：首先给系统对象建立正常使用时的特征文件，这些特征值将被用来与网络中发生的行为进行比较。当观察值超出正常值范围时，就认为有可能发生入侵行为。

• 数据完整性分析：主要关注文件或系统对象的属性是否被修改，这种方法往往用于事后的审计分析。

系统安全体系结构

例题8：

例题8解析与答案：

​ 答案：D

​ 解析：略

例题9：

例题9解析与答案：

​ 答案：C D

​ 解析：略

信息安全保障层次

例题10：

例题10解析与答案：

​ 答案：C B

​ 解析：利用公钥加密算法实现的数字签名方案

​ 发送方A要发送给接收方B的报文P，经过A的私钥签名和B的公钥加密后形成报文EB(DA§)发送给B

​ B利用自己的私钥DB和A的公钥EA对消息EB(DA§) 进行解密和认证后得到报文P

​ 并且保存经过A签名的消息DA§作为防止A抵赖的证据

保护安全等级