第1章 网络安全管理基础 §1.1 网络体系结构概述
一个网络协议主要由以下三个要素组成： 语法，即数据与控制信息的结构或格式；语义，即需要发出何种控制信息、完成何种协议以及做出何种应答；同步，即事件实现顺序的详细说明。
§1.1 网络体系结构概述
计算机网络的各层及协议的集合，称为网络的体系结构（Network architecture）。 1.2.1 OSI参考模型
OSI模型有七层，其分层原则如下：
根据功能的需要分层；每一层应当实现一个定义明确的功能；每一层功能的选择应当有利于制定国际标准化协议；各层界面的选择应当尽量减少通过接口的信息量；层数应足够多，以避免不同的功能混杂在同一层中；但也不能过多，否则体系结构会过于庞大。
OSI参考模型由低到高依次是物理层、数据链路层、网络层、传输层、会话层、表示层和应用层
1.2.2 TCP/IP网络接口层、网络层、传输层和应用层。 1.物理层信息安全，主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击。
2.数据链路层的网络安全需要保证通过网络链路传送的数据不被窃听。
3.网络层的安全需要保证网络只给授权的客户使用授权的服务，保证网络路由正确，避免被拦截或监听。
4.操作系统安全要求保证客户资料、操作系统访问控制的安全，同时能够对该操作系统上的应用进行审计。
6.应用系统完成网络系统的最终目的-为用户服务。应用系统使用应用平台提供的安全服务来保证基本安全如通讯内容安全，通讯双方的认证，审计等手段。 1.4 TCP/IP层次安全
1.4.1 Internet层的安全性
Internet层是非常适合提供基于主机对主机的安全服务的。相应的安全协议可以用来在Internet上建立安全的IP通道和虚拟私有网。
1.4.2 传输层的安全性
建立在可靠的传输服务基础上的安全套接层协议(SSL)。 1.4.3 应用层的安全性
网络层(传输层)的安全协议允许为主机(进程)之间的数据通道增加安全属性。
1.5 TCP/IP的服务安全 1.5.1 ＷＷＷ服务
WWW服务相对于其它服务出现比较晚，是基于超文本传输协议（HTTP），是人们最常使用的Internet服务。 1.5.2 电子邮件服务
电子邮件服务给人们提供了一种方便和快捷的服务，现在大部分人都有一个或多个E-mail地址。 1.5.3 FTP服务和TFTP服务
TFTP服务用于局域网，在无盘工作站启动时用于传输系统文件，安全性极差，常被人用来窃取密码文件/etc/passwd，因为它不带有任何安全认证。FTP服务对于局域网和广域网都可以，可以用来下载任何类型的文件。 1.5.4 Finger服务
Finger服务于查询用户的信息，包括网上成员的真实姓名、用户名、最近的登录时间、地点等，也可以用来显示当前登录在机器上的所有用户名 注意的问题。
1. 邮箱中标题不明的邮件不能随便打开。 2. 在聊天室或BBS上不公开自己的IP、邮件地址等各人隐私。3.要经常更换自己计算机的密码。另外，不要当外人的面输入密码，密码的长度足够长。4. 一般不要让计算机记住密码，以免别人使用你的计算机使自己的机密外泄。5.不要在自己的计算机上运行不明的程序，这些可能是黑客程序。 1.7.1 网络分段
网络分段是保证安全的一项重要措施，就是将非法用户与网络资源相互隔离，从而达到限制用户非法访问的目的。
网络分段可分为物理分段和逻辑分段两种方式：1.物理分段 通常是指将网络从物理层和数据链路层上分为若干网段，各网段相互之间无法进行直接通讯。2.逻辑分段、网络分段是指将整个系统在网络层上进行分段。 1.8.1 加密技术
数据加密技术可以分为三类，即对称型加密、不对称型加密和不可逆加密。 1.8.2 VPN技术
VPN（虚拟专网）技术的核心是采用隧道技术，将企业专网的数据加密封装后，透过虚拟的公网隧道进行传输，从而防止敏感数据的被窃。
1.8.3身份认证技术
对拨号用户的身份进行验证并记录完备的登录日志。 1.9网络安全威胁 1.安全漏洞
安全漏洞类型有物理自然的，硬件和软件的，媒介的，通信的（未加密的协议），人为的等2.乘虚攻击
一个威胁通过利用您环境中的安全漏洞就可以访问到您的资源。
另外，来自网络的威胁还有：
操作系统的安全性：许多操作系统均存在网络安全漏洞。防火墙的安全性：防火墙产品是否设置错误等。来自内部网用户的安全威胁。缺乏有效的手段监视、评估网络系统的安全性。采用的TCP/IP协议族软件，本身缺乏安全性。未能对来自Internet的电子邮件挟带的病毒进行有效控制。应用服务的安全：应用服务系统在访问控制及安全通讯设置错误等。 1.10 网络系统的安全应具备功能 访问控制；检查安全漏洞:攻击监控:加密通讯: 主动的加密通讯认证:备份和恢复:多层防御: 隐藏内部信息:设立安全监控中心: 1.11 网络安全的主要攻击形式 1.信息收集 2 利用技术漏洞型攻击 1.12 网络安全的关键技术式
1. 防电磁辐射2. 访问控制技术3. 安全鉴别技术4. 权限控制5. 通信保密：6. 数据完整性：使用消息完整性编码MIC 7. 实现身份鉴别可利用8. 安全审计9. 病毒防范及系统安全备份；10. 加密方法： 11. 网络的入侵检测和漏洞扫描：12. 应用系统安全： 13. 文件传送安全14. 邮件安全： 1.13 保证网络安全的措施
保证网络安全的措施一般包括如下几种: 1. 防火墙
防火墙是一种防御技术，它网络安全是不可缺少的。它像一道防盗门，把内部网和外部网分隔开来，转发可信的分组的数据包，丢弃不可疑的数据包。 2. 身份认证
身份认证是一致性验证的一种, 验证是建立一致性(Identification)证明的一种手段。身份验证主要包括验证依据、验证系统和安全要求 3. 加密
加密是通过对信息的重新组合，使得只有收发双方才能解码还原信息。按作用不同, 数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种。 4. 数字签名
大多数电子交易采用两个密钥加密：密文和用来解码的密钥一起发送，而该密钥本身又被加密，还需要另一个密钥来解码。这种组合加密被称为数字签名 一旦配置了域级别的设置，就该为所有成员服务器定义公2. PAM身份认证体系
6. 存取控制
用的设置了。
可插拔认证模块，只有在程序编写时选择了PAM库支存取控制规定何种主体对何种客体具有何种操作权力。存取控成员服务器的基准组策略如下： 持的时候，才能使用PAM认证。PAM认证部分是由一制是内部网安全理论的重要方面, 主要包括人员限制、数据标· 审计策略· 安全选项· 注册表访问控制列表· 文组模块构成的，相互可以堆叠，堆叠的意思就是说，识、权限控制、控制类型和风险分析。 件访问控制列表· 服务配置 可以连续执行多个模块或者让一个模块多次使用。可 7. 安全协议
4. 禁用自动运行功能
以在一个PAM认证过程中使用多种认证模块，后面的 安全协议的建立和完善是安全保密系统走上规范化、标准化自动运行功能的设置 NoDriveTypeAutoRun DWORD 认证过程的执行依赖于前面的认证模块结果。 道路的基本因素。 0xFF。
§5.1.4 存储空间安全
第2章 加密技术
5. 成员服务器基准文件访问控制列表策略
内存以及外存储设备的安全，包括越过文件系统直接· 保密性保证信息不泄露给未经授权的任何人；· 完整性防为加强文件系统安全，应确保对域中的所有成员服务器公访问裸设备的保护。最重要的是内存安全性。
止信息被未经授权的人篡改；· 可用性保证信息和信息系统用的目录和文件应用限制性更强的权限。 内存安全性可以分成两个部分，一个是禁止内存中的确实为授权者所用；· 可控性对信息和信息系统实施安全监§3.3.3 组策略的安全模板
重要数据被窥探到，另一个是保证进程不去执行非法控，防止非法利用信息和信息系统。 1. 组策略的配置设置存储位置
指令。
§2.2 对称加密技术
组策略的存储位置是GPO位于 Active Directory 中；安基本的溢出攻击方式按照其使用的程序空间类型可对称加密算法是一种传统的加密算法，原理：在对称加密中，全模板文件位于本地文件系统中。对 GPO 所做的更改直接以分成三种： 数据信息的传送，加密及接收解密都需用到这个共享的钥匙，保存在 Active Directory 中，而对安全模板文件所作的· 堆栈溢出
也就是说加密和解密共用一把钥匙。
更改必须先导回到 Active Directory 内的 GPO 中，才能堆栈溢出是最重要的缓冲区溢出攻击手段，它的思路对称加密最常用的一种方式是资料加密标准(DES)。所有的参应用所作的更改。
是利用堆栈返回地址。 与者都必须彼此了解，而且完全的互相信任， 2. Windows 2000的安全模板
· 函数指针
§2.2.1 DES算法
Windows 2000的安全模板有如下几种：
C语言可以定义函数指针，执行某个地址上的任何函DES使用56位密钥对64位的数据块进行加密，并对64位的· Basicwk.inf 适用于 Windows 2000 Professional。 数。但是这个指针可以指向任何地址空间。所以攻击数据块进行16轮编码。与每轮编码时，一个48位的“每轮”· Basicsv.inf 适用于 Windows 2000 Server。 者可以用缓冲区溢出的办法改写指针内容，指向自己密钥值由56位的完整密钥得出来。 · Basicdc.inf 适用于基于 Windows 2000 的域控制准备的shell代码，当程序执行到调用函数指针的部§2.3 不对称加密技术
器。 分的时候，攻击者就取得了控制权。 一个钥匙用来将数据信息加密，而用另一把不同的钥匙来解· Securedc.inf 和 Hisecdc.inf — 适用于域控制器 。 · 长跳转点
密。这两把钥匙之间有些数学关系，所以用一个钥匙加密过的· Securews.inf 和 Hisecws.inf — 适用于成员服务器setjmp/longjmp是一个C语言的非结构化跳转系统，资料只能用相对的另一个钥匙来解密。公钥：它可以给任何请和工作站。 它允许程序员设定一个跳转点，然后可以从任何函数求它的应用程序或用户。私钥：只有它的所有者知道。
内部直接跳入这个跳转点。 §2.4 RSA算法简介
4. 策略的验证
§5.1.5 数据的加密
RSA算法，是既能用于数据加密也能用于数字签名的算法。还策略的验证有以下两种方法。
原因是交换数据的需要。如果你要通过某种不可信的可利用RSA来完成对电文的数字签名以对抗电文的否认与抵· 使用“本地安全策略”MMC 验证策略 方式交换数据，必须保证不能让一般人随便窥探数赖；同时还可以利用数字签名较容易地发现攻击者对电文的非步骤1，启动本地安全策略 MMC。
据。基于权限的保护方式已经不能使用，只能通过加法篡改，以保护数据信息的完整性。 步骤2，在安全设置下，单击本地策略，然后单击安全选密来提供额外的保护。
§2.4.1 RSA算法 项。
PGP：首先，B和A各生成一对密匙，然后通过一个可RSA算法如下：
步骤3，在右窗格中，查看有效设置列。“有效设置”列应信的机构，交换自己的公用密匙，如果B想要向A发1．选两个大素数，r1和r2，通常均大于10100。 当显示在模板中为选定服务器角色配置的设置。 送自己的信息，那么，他首先要用md5算法计算出整2．计算n=r1*r2和x=(r1-1)*(r2-1)。 · 使用命令行工具验证策略 个信息（在PGP中，计算的是信息+发送者的ID+日期3．选这一个与x互质的数令其为d。 Secedit
时间等等）的校验和，然后用自己的私用密匙加密这4．找到一个e，满足e*d=1(mod x)。
§3.5 审计与入侵检测
个校验和并且附加在整个信息后面；接着，再用A的5．选好这些参数后，将明文划分成块使得每个明文报文P长审计的一个主要目标是识别攻击者对你的网络所采取的操公开密匙加密得到的全部数据，最后发送给A。而当度m满足0 是否被修改过。 §2.4.7 RSA的缺点 §3.5.2 入侵检测 · 入侵防护 RSA的缺点如下： 1. 扫描端口 它可以对系统中重要的文件、进程和设备进行保护，1. 产生密钥很麻烦，受到素数产生技术的限制，因而难以做2. 通过事件查看器中的筛选器 保证这些对象不会被入侵者操纵，即使是入侵者已经到一次一密。2. 分组长度太大，不利于数据格式的标准化。 · 被动式检测方法 被动式侵入检测系统涉及对事件日志拿到了root账号。 §2.5 RSA算法和DES算法的比较 和应用程序日志进行手动检查。· 事件查看器 可以用来· 入侵检测 DES使用56位密钥对64位数据块进行加密DES算法的加密和查看应用程序日志、安全日志和系统日志。 LIDS可以提供对于端口扫描的检测。 解密的流程是完全相同的，区别仅仅是加密与解密使用子密钥3. Dump Event Log Tool（转储事件日志工具）· 入侵响应 序列的顺序正好相反。 (Dumpel.exe) 当发现系统受到攻击之后，它可以将必要的信息记录RSA算法的安全性是建立在具有大素数因子的合数其因子分解4. ISA Server 的侵入检测功能 到日志文件中。 困难这一法则之上的。RSA算法中加密密钥和解密密钥不相同，· 所有端口扫描 §5.1.7 日志 其中加密密钥公开，解密密钥保密，并且不能从加密密钥或密攻击者在判断目标计算机或网络上打开的端口时所使用的日志就是对系统行为的记录。 文中推出解密密钥。 一种方法。 1. 连接时间日志 §2.9 PKI管理机制 · IP 半扫描 用来记录用户的登录信息，利用它来跟踪谁在什么时它是由公开密钥技术、数字证书、证书发行机构（CA）和相关它利用了 TCP 通信是一个三步骤过程这一事实。“IP 半扫候进入了系统。 的公钥安全策略等组成。 描”攻击不发送第三个数据包“TCP 三向握手”以避免被2. 进程记账 PKI即公共密钥体系。它建立一套证书发放、管理和使用的体检测到。 用来记录系统中执行的进程信息。 系，来支持和完成网络系统中的身份认证、信息加密、保证数· 陆地攻击 3. syslog 据完整性和抗抵赖性。 将向计算机发送一个数据包，它带有欺骗性源 IP 地址，它是各种程序对运行中发生的事件的描述。 §2.9 .1 认证机构 还带有与目标地址和端口的端口号匹配的端口号。欺骗性我们分别来讨论这些日志。 CA是证书的签发机构。构建密码服务系统的核心内容是如何数据包导致目标计算机进入一个循环，最终导致计算机崩§5.2 网络安全 实现密钥管理。目前较好的解决方案是引进证书机制。 溃。 5.2.1 网络接口层 §2.9 .2 加密标准 · 死亡之 Ping 1. 监听 对称加密算法：DES，Tripl－DES，RC2，RC4，CAST等。 非此攻击涉及向一台计算机发送大量异常大的 ICMP 回应请许多网络接口卡（NIC）被电缆和集线器连接在一起。对称加密算法：RSA，DSA，Diffie－Hellman等。 散列算法：求 (ping) 数据包。目标计算机试图响应所有的数据包，当某一台机器准备发送数据的时候，它首先根据电缆SHA－1，MD5等。 导致缓冲区溢出，从而使计算机崩溃。 电平判断一下当前是否有其它网卡在工作，如果没3. 证书库 · UDP 炸弹 有，就开始发送一段数据（称为以太网帧），然后暂证书库是证书的集中存放地，是网上的一种公共信息库，用户以某些字段中的非法值构造的 UDP 数据包将导致一些较停一下，再重复上述操作。如果有两台机器同时发送可从此处获得其他用户的证书和公钥。 旧的操作系统在收到该数据包时崩溃。如果目标计算机崩数据，会导致网络冲突，这种情况下双方都会暂停一§3.1 Windows 2000的安全性设计 溃，则常常很难确定崩溃的原因。 下（具体暂停的时间是个随机量），然后继续发送。 Windows 2000在安全特性主要体现在三个方面： · Windows 带外 监听的主要目的是了解对方传输的信息内容，特别是1.对Internet上的新型服务的支持 2.使用安全性框架3. 这是一种可用于将 Windows 网络禁用的拒绝服务攻击，也对于www/mail/ftp/telnet等协议，其中很多东西是实现对Windows NT 4.0的网络的支持 称为 WinNuke。 简单文本传输 §3.2 Windows 2000中的验证服务架构 §3.6 修补程序 2. SSL Kerberos的验证机制 Hfnetchk –［开关］ SSL安全套接层协议的协议来强化http的安全性，它Kerberos是在Internet上广泛采用的一种安全验证机制，它§4.2 Windows Server 2003的新安全机制 实际是基于socket的，安装在传输层和应用层之间，基于公钥技术。Kerberos协议规定了客户机/密钥发布中心·授权管理器：是基于角色安全管理的改进，它可以定义可以提供数据的加密传输。它并不包含数据签名功(Key Distribution Center，KDC)/服务器三者之间获得和使角色以及角色执行的任务。 能，后者需要浏览器另外实现。利用SSL进行www传用Kerberos票证进行通信规则和过程。 ·存储用户名和密码：Windows Server 2003的存储用户输的协议有个专门的名字，叫做https。 Kerberos验证机制加强了Windows 2000的安全性，它使网络名和密码功能允许用户连接服务器时使用的用户名和密码3. SSH 应用服务验证速度更快捷，同时可以建立域信任以及在建立域与登录网络时使用的用户名和密码不同。 ssh是一个用来解决TELNET/FTP协议安全性的工具，信任的域中传递信任关系 · 软件限制策略：防止软件应用程序基于软件的哈希算它支持两种协议：ssh和sftp,简单的说就是telnet§3.3 Windows 2000的安全特性 法、软件的相关文件路径、软件发行者的证书或寄宿该软和ftp的加密传输版本。 Windows 2000有数据安全性、企业间通信的安全性、企业和件的 Internet 区域来运行。 4. VPN Internet网的单点安全登录、以及易用和良好扩展性的安全· 证书颁发机构：新的PKI功能，旨在展示证书模板编虚拟专用网(VPN)被定义为通过一个公用网络建立一管理等安全特性。 辑功能和为用户和计算机的证书进行自动注册。 个临时的、安全的连接。它在Internet的一些机器1. 数据安全性 · 受限委派：可指定要信任的服务用以委派服务器。 之间建立一个虚拟连接，从而这些机器看上去就像是数据安全是指数据的保密性和完整性，Windows 2000的数据· 有效权限工具：此工具将计算授予指定用户或组的权处在一个独立的网络中，其他系统无法加入。 安全性表现在： 限。 1. ARP （1）用户登录时的安全性 · 加密文件系统 (EFS)：在Windows Server 2003中不ARP即地址解析协议，用来在一个局部网内找到和某（2）网络数据的保护 再需要恢复代 理。 个IP地址对应的机器。即由IP地址找到对应的MAC（3） 存储数据的保护 · Everyone 成员身份。 地址。 2. 通信的安全性 · 基于操作的审核：基于操作的审核提供了更多描述性2. ICMP重定向 它支持虚拟专用网技术以及使用公钥体制并可以使用电子证的审核事件，并提供用户选择在审核对象访问时要审核的Icmp网间报文控制协议， IP层用它来与其他主机或书来把外部用户映射成为目录服务中的一个用户账户。 操作。 路由器交换错误报文和其他重要控制信息。ICMP报文3. 单点安全登录 · 重新应用安全默认值：此过程可以使用用户重新应用 是在IP数据报内部被传输的，主要用来对系统中的Windows 2000的用户单点登录网络后，通过网络验证之后，Windows Server 2003 家族的默认安全设置。 错误进行分析和控制。 它就可以根据自己拥有的权限访问其相应的服务，Windows 4.6.1 Windows Server 2003的安全策略 Ping of Death攻击，许多系统对ICMP包规定了一个2000透明地管理一个用户的安全属性 对安全性有着极大的影响： 尺寸上限，一般是在64KB左右。当操作系统接收到4. 安全的管理性 · 用户帐号和用户密码· 域名管理· 用户组权限· 共ICMP报文的时候，需要按照报文标题中的尺寸信息来Windows 2000使用安全性模板对计算机进行安全性配置和分享资源的权限；· 机制对系统操作的影响。 分配TCP/IP缓冲区。如果接收到一个错误或者畸形析。 第5章 Linux网络操作系统的安全管理 的ICMP报文，其中的尺寸信息是错误的，比如超出§3.4 Windows 2000组策略的管理安全 §5.1.1 C1/C2安全级设计框架 了64KB，缓冲区分配就可能出现问题，严重的情况下在Windows 2000中的组策略有如下几种： TCSEC（TDI）将系统划分为四组(division)七个等级，依会导致TCP/IP栈崩溃。 ·帐户策略\\密码策略·帐户策略\\帐户锁定策略·帐户策略次是D；C（C1，C2）；B（B1，B2，B3）；A（A1），安全级3. IGMP组播 \\Kerberos 策略 配置票证寿命 别从左至右逐步提高，各级之间向下兼容，也就是说高级IGMP，提供Internet网际多点传送的功能，即将一·本地策略\\审计策略 启用/禁用特定事件的记录·本地策略\\别必须拥有低级别的一切特性。 个IP包的拷贝传给多个目标主机。客户机器接收到用户权限 定义权限 §5.1.2 身份认证 IGMP消息的话，标准响应方式是将这个消息报文再传·本地策略\\安全选项 修改与注册表值有关的特定安全选身份认证系统最基本的实现是Linux login程序，不过其送给别的组内机器 项·事件日志 启用成功或失败监视· 受限制的组 管理员他各种应用程序也一样要通过身份认证来确定用户身份。 §5.2 .3 传输层 可控制谁属于特定组·系统服务 控制每个服务的启动模 1. Shadow身份认证体系 1. UDP拒绝服务攻击 式·注册表·文件系统 对文件夹、子文件夹和文件配置权限 最基本的身份认证系统由口令验证构成。用户输入一个口一个是面向连接的传输控制协议TCP，一个是面向无3.3.1 Windows 2000中的组策略 令，与系统进行比较，如果合法，就可以进入系统。 连接的直接数据传送的用户数据报文协议UDP。单纯1. 密码策略 （1）系统记录用户的原始口令，并将其加密保存在系统中，传输层的攻击主要是针对这两个协议的堆栈缓冲区，将对域中的所有服务器强制执行一个标准密码策略。 口令原文则被丢弃。（2）当用户登录系统的时候，输入口通过发送不合法的或者特殊的数据，以及攻击协议的2. 帐户锁定策略 令，系统用同样的加密算法将用户输入的口令转换成密文。具体实现，导致系统出错或者崩溃。2. TCP拒绝服有效的帐户锁定策略有助于防止攻击者猜出你帐户的密码。 （3）比较保存的密文和现在得到的密文，如果相同，允许务攻击 3. 成员服务器基准策略 用户登录系统。 TCP “三次握手”，请求连接的客户机首先将一个带 SYN标志位的包发给服务器；服务器收到这个包后产生一个自己的SYN标志，并把收到包的SYN+1作为ACK标志返回给客户机；客户机收到该包后，再发一个ACK=SYN+1的包给服务器。经过这三次握手，连接才正式建立。 §5.2 .4 应用层 1. RPC和NFS相关服务 RPC即远程过程调用， 由于代码实现的问题，RPC的几个服务进程很容易遭到远程缓冲区溢出的攻击，相当多的漏洞和rpc.statd有关。 2. r命令 容易遭受IP欺骗攻击的另外一组命令是Linux的r命令，它们提供了一组不需要给出用户名和口令就可以登录到系统并且执行对应命令的方法，主要有rsh，rexec，rlogin，rcp等等。 绕过用户名和口令的方法都是基于远程机器之间的互相信任。在Linux中，确定这种互相信任的文件有两种，一种是全局的信任文件，这个文件是/etc/hosts.equiv；另外一种是单个的对于某个用户的信任文件，这个文件存放在每个用户的宿主目录下，名字是.rhosts。 /etc/hosts.equiv定义了那些远程机器的账号和本地账号等价 3. 电子邮件：炸弹和身份认证 smtp协议：它就是一次次邮件接力的过程。当一台机器准备发送电子邮件的时候，它连接到服务器的25端口，然后开始一个邮件会话，这个过程中客户机器必须给出发送者和接收者的邮件地址。如果服务器认为这两个地址是“可以接受的”，那么客户机将邮件内容编码成ASCII码传送给服务器，服务器将它保存在自身的投递队列里面，这样一次邮件接力就完成了。 称为邮件接力的原因是，服务器接下来要对邮件进行具体处理。邮件的目标地址通常是服务器的一个账号，那么邮件服务程序将会调用预设的邮件分检程序将邮件送入这个账号的邮箱中，这样投递才完成。也可能，邮件的目标地址不在本地，那么邮件服务程序需要解析邮件地址得出对应邮件地址的服务主机，然后再一次邮件接力将它投递到对应的服务主机——这次的投递由服务器完成。也许，对应主机还要进行下一次投递接力，总之，这样连续的投递直到送到最终用户的邮箱中。 4. DNS DNS的功能，它把Internet域名转换为IP地址。 5. ftp和www 对于ftp服务器， 需要考虑的主要是下面几点：未经授权的用户禁止在服务器上进行FTP操作。 匿名FTP用户不能读取未经系统所有者允许的文件或目录。未经允许，匿名FTP用户不能在服务器上建立/删除文件或目录。 http协议是最主要的网络信息传输协议。它本身是明文传送，容易遭到监听的威胁。 6. inetd UNIX/Linux系统有一类独特的网络服务进程，称为inetd。 它监听服务端口，一旦有请求到来，inetd去启动对应的服务，但是并不把socket句柄传递给对应的服务程序，而是接管服务进程的输入输出，由客户机器送来的请求数据，格式化后传递给服务程序的stdin。而如果服务程序想要向客户机器发送数据，只要直接向stdout写就行了。这样，socket编程被简化成了scanf/printf的操作。 7. 端口扫描 端口扫描也是一种获取主机信息的有效方法。从扫描的端口数目和端口号能够判断出目标主机运行的操作系统，通过收集扫描的信息，也能够轻松的掌握局域网络的构造。 §5.3 安全工具 5.3.1 tcp server tcpserver是一个inetd类型的服务程序，它监听进入的连接请求，为要启动的服务设置各种环境变量，然后启动指定的服务。 1. tcpserver程序的语法tcpserver [opts] [host] [port] [prog]opts是一系列的getopt格式选项。 host是服务器名称 port是服务器端口 §5.3.2 xinetd xinetd具有下述特点： 支持tcp、ucp、RPC服务 、基于时间段的访问控制、功能完备的log功能，可以限制log文件的大小、有效的防止DoS（Denial of Services）攻击 、可以限制同时运行的同类服务器数目、可以限制启动的所有服务器数目 、在特定的系统端口绑定某个服务，从而实现只允许私有网络访问该服务 、 可以作为其他系统的代理 安装、配置、生成、样本说明和安全 第6章 路由器安全管理 6.2 AAA与RADIUS协议原理及配置 AAA是（认证）、（授权）和（计费）的简称。它提供对用户进行认证、授权和计费三种安全功能。一般采用客户/服务器结构，客户端运行于被管理的资源侧，服务器上则集中存放用户信息。这种结构既具有良好的可扩展性，又便于用户信息的集中管理。具体如下： · 认证：认证用户是否可以获得访问权，确定哪些用户可以访问网络。 · 授权：授权用户可以使用哪些服务。 · 计费：记录用户使用网络资源的情况。 RADIUS服务器对用户的认证过程通常需要利用 NAS等设备的代理认证功能，RADIUS客户端和 RADIUS服务器之间通过共享密钥认证相互间交互的消息，用户密码采用密文方式在网络上传输，增强了安全性。 RADIUS协议合并了认证和授权过程，即响应报文中携带了授权信息。 6.2.2 AAA与RADIUS协议配置方法 开始使用的时候启用AAA，这时缺省使用本地验证。而本地验证也是需要计费的，由于没有配置RADIUS服务器，造成计费失败，在计费失败时就断开用户，因此用户不能成功上网。 aaa accounting-scheme optional的作用是在计费失败时允许用户继续使用网络。 AAA的配置包含如下几个主要步骤： 1．首先应该能够使用AAA在系统视图下进行下列配置，操作命令为： AAA aaa enable 禁止AAA undo aaa enable 2. 配置认证方案 6.2.3 AAA和RADIUS显示与调试 在所有视图下执行 display命令可以显示配置后AAA和 RADIUS的运行情况，通过查看显示信息认证配置的效果。执行 debugging命令可对 AAA和 RADIUS进行调试。 6.3访问控制列表配置 访问控制列表ACL)为网络设备提供基本的服务安全性。 访问列表的主要用途有： 包过滤、镜像、流限制、流统计、分配队列优先级等。 报文监控技术：监控端口一般接报文/协议分析仪，用于报文/协议分析。进入或离开路由器的所有ICM P报文都会被拷贝到监控端，连接到该端口的网络分析仪能同时收到该报文进行分析。 流量限制(CAR)技术：管理员可以限制某一源与目的对之间的平均报文流量。既可以是IP地址对，也可以是MAC地址对。流量限制将在两个方向上同时进行。 报文统计技术：管理员确定要统计的报文流向，即从何处而来(报文的源地址)，准备去和一哪里(报文的口的地址)。 引导型病毒主要感染软盘、硬盘的引导扇区或主引导SSL协议主要由SSL记录协议和SSL握手协议两部分 6.3.2 访问控制列表的创建 扇区，在用户对软盘硬盘进行读写操作时进行感染。 组成。 一个访问控制列表是由 permit | deny语句组成的一系列的· 复合型病毒 §10.5 建立安全的Web站点 规则列表，若干个规则列表构成一个访问控制列表。在配置访 混合型病毒不仅传染可执行文件而且还传染硬盘引导通过SSL安全机制使用数字证书.SSL位于HTTP层和问控制列表的规则之前，首先需要创建一个访问控制列表。 区，被这种病毒传染的系统用格式化命令都不能消除此类TCP层之间，建立用户与服务器之间的加密通信，确6.4 IPSec与IKE技术与配置 病毒。 保所传递信息的安全性. IPSec协议族是IETF制定的一系列协议，它为IP数据报提供2. 按病毒的破坏后果分类 §10.5.1建立安全的Web站点应具备的条件 了高质量的、可互操作的、基于密码学的安全性。数据报在网· 良性病毒 干扰用户工作，但对计算机系统无损。 1. 一台装有Windows 2000 Server的服务器。2安络上传输时的私有性、完整性、真实性和防重放。 · 恶性病毒 这类病毒删除程序、破坏数据、清除系统装了IIS服务。3. 安装了证书服务。 内存区和操作系统中重要的信息。 §10.5.2 建立安装一个站点证书 私有性指对用户数据进行加密保护，用密文的形式传送。 3. 按病毒的发作条件分类 个步骤： 1.建立虚拟目录2.建立密钥对和证书请求完整性指对接收的数据进行验证，以判定报文是否被篡改。 · 定时发作型 · 定数发作型· 随机发作型 3. 向证书授权机构提交证书请求文件4.证书服务器真实性指验证数据源，以保证数据来自真实的发送者。 工具5.安装服务器证书 防重放指防止恶意用户通过重复发送捕获到的数据包所进行4. 按连接方式分类 6.在站点上允许使用SSL 的攻击，即接收方会拒绝旧的或重复的数据包。 · 源码型病毒 主要攻击高级语言编写的源程序。 7.向客户浏览器的Root仓库中增加CA证书 · 入侵型病毒 主要攻击特定的程序，用自身替代部分 IPSec通过AH认证头和 ESP封装安全载荷这两个安全协议来模块或堆栈区。 §9.1.1 防火墙的特点 实现还可以通过IKE因特网密钥交换协议）为 IPSec提供了· 操作系统型病毒 主要攻击操作系统，用自身替代操·广泛的服务支持·数据的加密支持 · 电子欺骗·过自动协商交换密钥、建立和维护安全联盟的服务， 作系统功能。 滤掉不安全服务和非法用户；·控制对特殊站点的访 AH是报文头验证协议，主要提供的功能有数据源验证、数据· 外壳型病毒 主要是附在正常程序的开头或结尾。 问；·提供了监视Internet安全和预警的方便端完整性校验和防报文重放功能。 §7.1.5 计算机病毒的发展 点；·防火墙能强化安全策略；·防火墙能有效地记录2. IPSec协议的操作模式 1.DOS引导阶段2.DOS可执行阶段3.变体阶段4. WindowsInternet上的活动；作为访问的唯一点，防火墙能在IPSec协议有：传输模式和隧道模式。传输模式下， AH或 ESP阶段5.网络阶段 被保护的网络和外部网络之间进行记录。·防火墙限被插入到 IP头之后但在所有传输层协议之前，或所有其他 §8.1.6 计算机病毒的破坏现象 制暴露用户点。 IPSec协议之前。在隧道模式下， AH或 ESP插在原始 IP头计算机产生的相关现象。 §8.1.2 实现防火墙的技术 之前，另外生成一个新头放到 AH或 ESP之前。不同安全协议引导时死机；引导失败；开机运行几秒后突然黑屏；外部1.包过滤技术2.应用网关技术 在传输模式和隧道模式下的数据封装形式 设备无法找到； 3.代理服务4. IP通道5.网络地址转换器(NAT)6.隔3. 验证算法与加密算法 电脑发现异样声音；计算机处理速度明显变慢；系统文件离域名服务器 MD5：MD5通过输入任意长度的消息，产生 128bit的消息摘要。 字节变化或系统日期发生改变；驱动程序被修改计算机经8.2 防火墙的类型 SHA-1：SHA-1通过输入长度小于 2的 64次方比特的消息，常死机或重新启动；应用程序不能被进行一些必要操作；1 网络级防火墙2 应用级防火墙3 电路级网关防火产生 160bit的消息摘要。 SHA-1的摘要长于 MD5，因而是更系统内出现大量文件垃圾。文件的大小和日期改变。系统墙4 规则检查防火墙.5 状态监视器 安全的。 的启动速度慢。键盘、打印、显示有异常现象。文件突然8.3 防火墙体系结构主要有三种： (2) 加密算法 丢失。 ·双重宿主主机体系结构；·被屏蔽主机体系结构；·被 系统异常死机的次数增加。 屏蔽子网体系结构。 DES：使用 56bit的密钥对一个 64bit的明文块进行加密。 §常见的几种病毒 §8.5 常用防火墙的配置与管理 3DES：使用三个56bit的DES密钥对明文进行加密。 1 CIH病毒最常见的就是对BIOS的攻击，它将计算机中的防火墙配置一般有三种方式：Dual-homed方式、AES：VRP实现了128bit密钥长度的 AES算法，这也是IETFBIOS内容重新改写，造成计算机无法启动。 Screened-host方式和Screened-subnet方式。 标准要求实现的。 §2木马，又名特洛伊马，木马的危害性在于对电脑系统 6.4.3 IPSec在VRP上的配置与实现方法IPSec主要配置包强大的控制和破坏能力，窃取密码、控制系统操作、进行§8.5 .2 防火墙的管理 括： 文件操作等。 1. 防火墙的失效状态 (1) 配置访问控制列表 §3宏病毒就是使用Word的vba编程接口，编写的具有病未受伤害能够继续正常工作；关闭并重新启动，同时(2) 定义安全提议，它包括创建安全提议、选择安全协议、选毒特征的宏集合§4 BO黑洞病毒是通过电子邮件进行传播恢复到正常工作状态；关闭并禁止所有的数据通行；择安全算法和选择报文封装形式 。(3) 创建安全策略包括手的，它先将Boserve.exe服务器端程序植入目标计算机 关闭并允许所有的数据通行。 工创建安全策略和用IKE创建安全策略手工创建安全策略。(4) .5 邮件病毒是现代网络发展的不可避免的产物，它利用网2. 防火墙的动态维护 配置安全策略模板(5) 在接口上应用安全策略 络这并不安全的工具大量传播。 想充分发挥它的安全防护作用，必须对它进行跟踪和 1. 美丽杀手此病毒的传染的对象是word类文件，当用户维护 第7章 电子邮件安全管理 收发这类电子邮件时，交插感染。 3.防火墙的非法访问 §7.1 电子邮件概述 2. 求职信利用微软系统的漏洞，可以自动感染 4. 防火墙安全的几个威胁 电子邮件是一种利用电子手段提供信息交换的通信方式，是因“概念”病毒，也是一种恶性邮件病毒，它通过微软IE浏 特网中应用服务中用户最多 览器解释outlook邮件MIME头的漏洞感染和传播 第一章 网络安全管理基础 §7.2 电子邮件使用的协议 .6 CodeRed病毒 1.网络安全：网络安全硬件、网络安全软件、网络安POP邮局协议POP3协议，它是一种从远程邮箱中读取电子邮CodeRed病毒及其变种是一种能够破坏Windows 2000的安全服务。 件的简单协议。 全体系，修改系统的文件并且安装木马 2.网络协议：为网络数据交换而建立的规则、标准或IMAP交互式电子邮件访问协议 §8.3 计算机病毒的检测 者约定。它的三要素为语法、语义、同步。语法：数IMAP协议是指从公司的邮件服务器获得E-mail的有关信息或注意以下几点： 据与控制信息的结构或格式。语义需要发出何种控制直接收取邮件的协议。 要具备一定的防范意识，来历不明的文件及邮件程序不要信息、完成何种协议以及做出何种作答。同步：事件SMTP简单电子邮件传输协议 打开。 实现顺序的详细说明。 SMTP是一个简单的ASCII协议，它用于接受到来的连接，并不断升级自己的防毒软件，包括防火墙软件及自动实时监3.网络体系结构：计算机网络的各层协议的集合。 将消息发送到目的邮箱，如果传送失败，则返回错误报告。 控软件； 4.OSI参考模型的分层原则：根据功能的需要分层；电子邮件的收发方式有两种： 对于经常使用的软盘，光盘及u盘等可插拔存储介质，要每一层应当实现一个定义明确的功能；每一层功能的· 使用Web页方式 用IE登录到主页，进入自己的邮箱，随时查毒； 选择应当有利于制定国际标准化协议；各层界面的选来收发自己的邮件。 在网络上下载一切资料时，一定要先做病毒扫描然后下载。 择应当尽量减少通过接口的信息量;层数应该足够3. OutLook安全电子邮件的配置 注意一定要减少机内共享资料。 多，以避免不同功能混扎在同一层中，但也不能过多，安全的电子邮件有三个选项： §8.4 计算机病毒的防治策略 否则体系结构会过于庞大。 · 将待发邮件的内容及附件加密 计算机病毒的防治要从防毒、查毒、解毒三方面来进行；5.TCP—IP协议：是事实上的网络标准，由低到高分· 给待发邮件添加数字签名 系统对于计算机病毒的实际防治能力和效果也要从防毒能为网络接口层、网络层、传输层、应用层。 力、查毒能力和解毒能力三方面来评判。 6.网络接口层：该层中的协议提供了一种数据传送的§7.5 Exchange是通过MMC管理控制台来提供管理的，单击§8.5 病毒检测方法 方法，使得系统可以通过直接的物理连接的网络，将开始→程序→ Microsoft Exchange→system Manage即可打.1 特征代码法.2 校验和法3 行为监测法.4 软件模拟法 数据传送到其他设备，并定义了如何利用网络来传送开管理控制台 IP数据报。 §7.5.1 收件人的创建与配置 第10章 电子商务网站安全 7.网络层协议：网络层协议IP是TCP-IP的核心协议，1. 收件人的创建2. 收件人的配置3. 过滤收件人 电子商务站点的安全准则如下： IP可提供基本的分组传输服务。网络层还有地址转换§7.5.2 Exchange Server的监控 ·信息的完整性与真实性；信息的保密性；信息的不可否协议（ARP）和网间控制报文协议（ICMP）。还提供了1. 事件浏览器 认性·确保消费者隐私的安全；保护消费者的机密； 确保虚拟专用网（VPN）。 2. 安装一种操作系统 服务器的安全；身份认证；使用安全策略；禁用范例和文8.传输层协议：有传输控制协议（TCP）和用户数据3. 安装成独立的域控制器（StandAlone） 献；指定命令的安全级别；备份与恢复。 报协议（UDP）。还提供了安全套接字服务（SSL）。 4. 系统文件所在分区与WEB数据的分区分开 §10..1 认证机构 9.应用层协议：网络终端协议（Telnet）、文件传输5. 安装操作系统最新的补丁程序 证书是公开密钥体制的一种密钥管理媒介。它是一种权威协议（FTP）、简单邮件传输协议（SMTP）、邮件接收§7.5 .2 Windows NT设置 性的电子文档，形同网络计算环境中的一种身份证，用于协议（POP）、超文本传输协议（HTTP）、域名服务（DNS）。 1. 帐号策略 证明某一主体的身份以及其公开密钥的合法性。 10.系统安全结构：物理层（防止物理通路的损坏、2. 解除NetBIOS与TCP/IP协议的绑定 §.2 数字证书 窃听、攻击）、数据链路层（保证网络链路传送的数3. 删除所有的网络共享资源 数字证书应有下列信息：版本号； 序列号； 签字算法； 据不被窃听）、网络层（保证网络路由正确，避免被4. 更改NTFS的安全权限 发出该证书的认证机构；有效期限； 主题信息，包括持有拦截和监听）、操作系统（保证客户资料、操作系统5. 系统启动的等待时间设置为0秒6. 只开放必要的端口，人的姓名、服务处所等信息； 公共密钥信息； 认证机构访问控制的安全）、应用平台（利用SSL），应用系统关闭其余端口7. 加强日志审核 的数字签字。 （使用应用平台提供的安全服务来保证基本安全）。 8. 加强数据备份9. 只保留TCP/IP协议，删除NETBEUI、1. 证书的格式与证书的发放 11.网络层的安全性：一般使用IP封装技术（其本质IPX/SPX协议 数字证书格式的通用标准是X.509。证书由CA根据X.509是纯文本的包被加密，封装在外层的IP报头里。用10. 只保留与网站有关的服务和服务器所需的必要服务 协议产生 来对加密的包进行因特网上的路由选择，到达另一端11. 隐藏上次登录用户名，修改注册表WinNT 2. 证书的管理 时，外层的IP头被拆开，报文被解密，然后送到收12. 关闭IP转发功能 认证机构应有一证书管理机构来管理它发出的所有证书 报地点），相应的安全协议可以用来在Internet上建13. 安装最新的MDAC 3. 证书库 立安全的IP通道和虚拟私有网。 §7.5.6 IIS设置 证书库是证书的集中存放地，它与网上“白页”类似，是12.传输层安全性：安全套接层协议（SSL），此协议1. 只安装必要服务2. 停止默认站点3. 删除不必要的互联网上的一种公共信息库，用户可从此处获得其他用户包括SSL记录协议和SSL握手协议。前者涉及应用程IIS扩展名映射4.安装新的ServicePack后，IIS的应用程序的证书和公钥。 序提供的信息的分段、压缩、数据认证和加密。后者映射应重新设置5. 设置IP拒绝访问列表 4. 密钥备份及恢复系统 用来交换版本号、加密算法、身份认证并交换密钥。 6. 禁止对FTP服务的匿名访问 5. 证书作废处理系统 13.应用层的安全性：它实际上是最灵活的处理单个7. 建议使用W6C扩充日志文件格式8. 慎重设置WEB站点目6. 客户端证书处理系统 文件安全性的手段。目前都是用PKI（公钥基础结构），录的访问权限9. 解决IIS4以及之前的版本受到D.O.S攻击客户端证书与浏览器有关，证书申请人可以通过浏览器申此结构包括3个层次：顶层为网络层安全政策登记结会停止服务，运行Regedt62.exe 请和下载证书，并安装在浏览器上使用。 构IPRA、第2层为安全政策证书颁发机构PCA、底层10. 端口安全性的实现 7. 认证算法 为证书颁发机构CA。 11. IP转发的安全性 认证算法采用X.509电子证书标准，通过使用RSA算法进14.局域网的安全：局域网基本上都采用以广播为技12. SSL安全机制 行数字签名来实现的。 术基础的以太网。它的安全分为网络分段、以交换式SSL（加密套接字协议层）位于HTpt层和TCP层之间，建立用（1）服务器的认证（2）客户的认证 集线器代替共享式集线器（可防止网络监听）、虚拟户与服务器之间的加密通信，确保信息传递的安全性。 §10.4 SSL协议 专网。 第8章 计算机病毒 安全套接字协议(SSL)是在Internet基础上提供的一种保15.网络分段：物理分段（是指将网络从物理层和数计算机病毒是指编制或者在计算机程序中插入的破坏计算机证私密性的安全协议。它能使客户/服务器应用之间的通信据链路层上分为若干网段）和逻辑分段(在网络层上功能或者毁坏数据，影响计算机使用，并能自我复制的一组计不被攻击者窃听，并且始终对服务器进行认证，还可选择进行分段)。 算机指令或者程序代码。 对客户进行认证。 16.虚拟专网VPN：以局域网交换技术（ATM和以太网§8.1.3 计算机病毒的特征 1. TCP/IP层 交换）为基础的面向连接的技术，它的核心技术是采引导部分、传染部分和表现部分。 TCP/IP层是处理从源端到目的网络数据包的传送。用隧道技术（将企业专网的数据加密封装后，透过虚引导部分是将病毒加载到内存，作好传染的准备；传染部分将TCP/IP会话的基础：一层（client）和另一个对等层 拟的公网隧道进行传输，从而防止敏感数据的被窃）。 病毒代码复制到目标；表现部分根据特定的条件触发病毒。 （Server）建立网络连接。连接用于两对等层的会话期间，17.广域网的安全：加密技术（通过对网络数据的加· 传染性· 寄生性 · 潜伏性 · 隐蔽性 · 破坏当会话结束，连接被释放。 密来保障网络的安全）、VPN技术、身份认证技术（对性 §8.1.4 病毒的分类 2. 应用层 拨号用户的身份进行验证并记录完备的登陆日志）。 1. 按病毒寄生方式分类 应用层定义公共的共享协议，这些协议被用于建立TCP/IP18.网络安全的威胁：安全漏洞（是指资源容易遭受网络型病毒、可执行文件型病毒、引导型病毒以及复合型病毒。 连接的通信中。 攻击的位置）、乘虚攻击（通过利用环境中的安全漏· 网络型病毒 3. SSL层 洞访问到计算机中的资源产生）。 通过计算机网络传播、感染网络中的可执行文件； SSL层用于验证最终安全的应用层通信内容。 19．乘虚攻击的方法：利用技术漏洞型攻击（强力攻· 可执行文件型病毒 §.2 SSL协议连接安全的特征 击、缓冲区溢出、错误配置、重放攻击、会话劫持）；可执行文件病毒主要是感染可执行文件。 私密性 确认性.可靠性 信息收集；拒绝服务（物理损坏、资源删除、资源修· 引导型病毒 2. SSL协议栈 改、资源饱和） 20．网络系统的安全体系：访问控制、检查安全漏洞、攻击监控、加密通信、备份和恢复、多层防御、隐藏内部信息、设立安全监控信息。 21．网络安全的主要攻击形式：信息收集（防范信息收集的关键技术就是限制外部对资源进行未经授权的访问）、利用技术漏洞型攻击、会话劫持、防止DNS毒化、URL字符串攻击、攻击安全账户管理器、文件缓冲区溢出、拒绝服务、攻击后门攻击、恶意代码（四种类型：病毒、蠕虫、特洛伊木马、其他恶意代码）。 22．网络安全的关键技术：防电磁辐射（分为对传导发射的防护和对辐射的防护）、访问控制技术、安全鉴别技术（a. 网络设备的鉴别，基于VPN设备和IP加密机的鉴别；b. 应用程序中的个人身份鉴别；c. 远程拨号访问中心加密设备（线路密码机）与远程加密设备（线路密码机）的鉴别； d. 密码设备对用户的鉴别）、权限控制（操作系统、数据库的访问、密码设备管理、应用业务软件操作的权限控制）、通信保密（a. 中心网络中采用IP加密机进行加密；b. 远程拨号网络中采用数据密码机进行线路加密）、数据完整性、实现身份鉴别（可利用：a. 数字签名机制；b. 消息鉴别码；c. 校验等；d. 口令字；e. 智能卡; f.身份验证服务：Kerberos和X.509目录身份验证）、安全审计、病毒防范及系统安全备份，加密方法、网络的入侵检测和漏洞扫描、应用系统安全、文件传送安全、邮件安全。 23．保证网络安全的措施：防火墙、身份认证（主要包括验证依据、验证系统和安全要求）、加密（数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术四种）、数字签名（密文和用来解码的密钥一起发送，而该密钥本身又被加密，还需要另一个密钥来解码）、内容检查、存取控制、安全协议（加密协议(两个要素：一是能把保密数据转换成公开数据，在公用网中自由发送：二是能用于授权控制，无关人员无法解读)，身份验证协议，密钥管理协议，数据验证协议，安全审计协议，防护协议）、智能卡技术。 网络的安全策略：它是纵深防御策略，包括物理安全、数据防御（对数据进行加密）、应用程序防御（在应用于产品前，测试环境中对它们严格的安全达标测试）、主机防御（对主机的评估，然后制定相应的策略以限制每台服务器仅能执行规定的任务）、网络防御、周边防御。 网络攻击常用工具：任何攻击都需要进行嗅探或端口扫描。网络嗅探的常用工具为Ethereal（它是开放源代码的软件，免费的网络协议程序，支持UNIX、Windows）、端口扫描是主动的，常用攻击是nmap（它基于Linus和UNIX）。 第二章 加密技术 1、信息安全性表现在以下的四个特性：保密性、完整性、可用性、可控性 2、一个加密网络，不但可以防止非授权用户的搭线窃听和入网，而且也是对付恶意软件的有效方法. 3、密码算法主要分为3类：对称密钥算法、公钥加密算法（非对称加密）、单项函数算法。 4、对称密钥算法：这种技术使用单一的密钥加密信息，加密和解密共用一把密钥。 5、公钥加密算法（非对称加密）：这种技术使用两个密钥，一个公钥用于加密信息，一个私钥用于解密信息。这两把密钥之间具有数学关系，所以用一个密钥加密过的资料只能用相应的另一个密钥来解密。 6、单项函数算法：这个函数对信息加密产生原始信息的一个“签名”，即数字签名，该签名被在以后证明它的权威性。 7、DES算法：它是最著名的对称密钥加密算法。DES使用56位密钥和64位的数据块进行加密，并对64位数据块进行16轮编码。在每轮编码时，一个48位的“每轮”密钥值由56位的完整密钥的出来。 8、三重DES算法：这种方法用两个密钥对明文进行了3次加密，但不是加密了3次，而是加密、解密、加密的过程。用密钥1进行DES加密，用密钥2对步骤1的结果进行DES解密，对步骤2的结果使用密钥1进行DES加密。 9、RSA算法：是非对称加密算法，RSA是用两个密钥，用公钥加密，私钥解密。加密时吧明文分成块，块的大小可变，但不能超过密钥的长度。密钥越长，加密效果越好，加密解密的开销也大，一般64位较合适。RSA比较知名的应用是SSL。 10、公共密钥算法的2种用途：数据加密和身份认证。 11、数据加密：发送者用接收者的公钥对要发送的数据加密，接收者用自己的私钥对接收到的数据解密。第三者由于不知道接收者的私钥而无法破译该数据。 12、身份认证：发送者可以用自己的私钥对要发送的数据加上“数字签名”，接收者可以通过验证“数字签名”来确定数据的来源。 13、DES和RSA算法的比较：一是在加密解密的处理效率方面，DES优于RSA；二是理方面，RSA比DES更优越;；三是在安全性方面，两者都较好；四是在签名和认证方面，RSA算法更容易。总之，DES加密解密速度快，适用用于数据量大、需要在网上传播的信息。RSA算法于数据量小但非常重要的数据，以及数字签名和DES算法的密钥。 14、认证机构CA：它是证书的签发机构。他的职责是验证并标识申请者的身份；确保CA用于签名证书的非对称密钥的质量；确保整个签名过程的安全，确保签名私钥的安全性；管理证书材料信息；确定并检查证书的有效期限；确保证书主题标识的唯一性，防止重名；发布并维护作废证书表；对整个证书签发过程做日志记录及向申请人发通知等。CA也拥有一个证书，也有剖自己的私钥，所以也有签字能力。 15、认证中心：是一个负责发放和管理数字证书的权威机构。 16. 通用的加密标准分为：对称加密算法、非对称加密算法、散列算法。 对称加密算法：DES、Triple-DES、RC2、RC4、CAST。 非对称加密算法：RSA、DSA、Diffie-Hellman。 散列算法：SHA-1、MD5。 17、数字证书：是一种能在完全开放系统中使用的证书（例如互联网络），它的用户群绝不是几个人互相信任的小集体。在这个用户群中，从法律度讲彼此之间都不能轻易信任。所以公钥加密体系采用了将公钥和公钥主人的名字联系在一起，再请一个大家都信任的权威机构确认，并加上全球为机构的签名，就形成了证书。 18、通用的证书标准是X.509，目录服务标准 X.500及LDAP 19、数字签名：私钥拥有者用私钥加密数据，任何拥有公钥的人都能解除开。信息发送者用其私钥对从所传报文中提取的特征数据或称数字指纹进行RSA算法解密运算操作得到发电者对数字指纹的签名函数H（m）。数字签名具有不可抵赖性和完整性。 20、数字证书应具备的信息：版本号、序列号、签名算法、发出该证书的认证机构、有效期限、主题信息、公钥信息、认证机构的数字签名。 21、证书的管理功能：用户能方便地查找各种证书及已经撤销的证书，能根据用户请求或其它相关信息撤销用户的证书，能根据证书的有效期限自动地撤销证书，能完成证书数据库的备份工作 22、认证机构发放的证书主要应用有： 使用S/MIME协议实现安全的电子邮件系统； 使用SSL协议实现浏览器与Web服务器之间的安全通信； 使用SET协议实现信用卡网上安全支付 23、智能卡：是当前国际上公认的商业网络安全通信中最好的用户端解决方案，它的外形与普通信用卡相同，内部有微处理器（CPU）和可重写存储单元（EEPROM），并有文件管理系统和保护算法不怀还以的人获得智能卡必须还要得到卡的密码PIN，否则几次输入不成功，卡会被锁定。 3.基本的溢出攻击方式：堆栈溢出、函数指针、长跳转点。 ACL和基于接口的ACL 24、使用智能卡的优点：可把用户重要信息安全存在卡中；加4.溢出攻击的解决方案：补丁、编写程序、提升安全级、14．访问控制列表子规则的匹配顺序：config 指定密处理可在卡内完成、每张卡存放的内容都是独立的、不可代利用文件系统和磁盘分区、chroot（可以让用户程序吧某匹配该规则时按用户的配置顺序；auto 指定匹配该替的；便于携带。 个目录当成根目录）。 规则时系统自动排序（按“深度优先”的顺序）。深第三章 Windows 2000操作系统的安全管理 5.PGP：电子邮件加密技术，是双密钥体系（用户A要建立度优先的原则：把指定数据包范围最小的语句排在最1、Windows 2000的安全特性主要体现在：对Internet上的两个密钥，一个私钥，一个公钥，用户B向A发送信息时，前面 新型服务的支持、便于安全性框架、实现对Windows NT4.0的先用A的公钥加密，再传给A）它是加密和签名的综合体。 15．安全联盟由一个三元组来唯一标识，这个三元组网络支持。 6.常用服务端口号：ftp21 、ssh22、telnet23、smtp25。 包括SPI（安全参数索引）、目的IP地址、安全协议2、Kerberos是在Internet上广泛采用的一种安全验证机制，7.网络接口层：这两层主要是讲数据转化成物理帧，并且号（AH或ESP） 它基于公钥技术。Kerberos协议规定了客户机/密钥发布中心在电气连接上传递。 第七章 电子邮件的安全管理 (Key Distribution Center，KDC)/服务器三者之间获得和使8.集线器：是一个简单的信号放大器，用来补偿信号在传1．电子邮件的子系统：用户代理和消息传输代理。用Kerberos票证进行通信规则和过程。Kerberos验证机制加输中的衰减和变形。一台集线器可以连接很多网卡。而网电子邮件系统采用了缓存技术 强了Windows 2000的安全性，它使网络应用服务验证速度更卡首先用双绞线连接到集线器和交换机，然后再连接到其2．电子邮件相关的协议：POP邮局协议(是个说明PC快捷，同时可以建立域信任以及在建立域信任的域中传递信任他的机器。 如何与Internet上的邮件服务器连接及如何下载关系，另外Kerberos验证有互操作性的优势。在一个多种操9.MAC地址：是以太网使用的一个48位的整数来标志自身，E-MAIL的协议)，IMAP交互式电子邮件访问协议（是作系统并存的异构网络环境中，Kerberos协议使用一个统一当某一个网卡发送数据时，它在以太帧中携带发送者和接指从公司的邮件服务器获得E-MAIL的有关信息或直的用户数据库对各种用户进行验证，这样就解决了现在异构环收者的MAC地址。 接收取邮件的协议。）和SMTP简单邮件传输协议（是境中的统一验证问题 10.混杂模式：程序绕过TCP/IP堆栈和网卡直接打交道。 一个简单的ASCII协议，它用于接受连接，并将消息3、Windows 2000的安全特性：数据安全性（用户登录时的安11.嗅探器：在以太网内，用一个正确设计的程序就可以监发送到目的邮箱，如果传送失败，则返回出错报告。全性和网络数据的保护、存储数据的保护）、通信的安全性、听到别人发送的信息，它可以作为专门的窃听工具。 通过SMTP协议所指定的服务器，就可以把E-MAIL寄单点安全登录、安全的管理性（对工作站、服务器、域控制器12.SSL：网络接口层，安全套阶层协议，它是基于scoket到收信人的服务器上） 的安全管理）。 的采用客户/服务器方式，安装在传输层和应用层之间，可3．电子邮件的收发方式：使用Web页方式，使用邮4、Windows 2000中的组策略：账户策略/密码策略（配置密以提供数据的加密传输，可强化HTTP的安全性。当一个客件客户端 码存留期、长度和复杂性）、账户策略\\账户锁定策略（配置锁户视图和服务器对话的时候，它首先要执行一个握手过程。 4．为了使Outlook能安全地收发电子邮件，必须首定时间、阀值和复位计数器）、账户策略\\Kerberos策略（配13.SSH：网络接口层，是一个用来解决TELNET/FTP协议安先拥有数字标识。安全的电子邮件有三个选项：将待置票证寿命）、本地策略\\审计策略、本地策略\\用户权限、本全性的工具。 发邮件的内容和附件加密，给待发邮件添加数字签地策略\\安全选项、事件日志、受限制的组、系统服务、注册14.VPN：网络接口层，虚拟专用网，采用隧道技术。它通名，发送文字签名邮件。如选择第二项则所以签名的表、文件系统。 过一个公共网络建立一个临时的、安全的连接。它在因特邮件都会出现一个签名图标，显示在主题一栏的右下5、密码策略：密码必须符合复杂性的要求，密码必须为6个网的一些机器之间建立一个虚拟连接，使得这些机器看上角 字符长（见意为8个字符），密码中必须包含以下三个类别的去在一个独立的网络中，其他系统无法加入。VPN的功能：第八章 计算机病毒 字符（英语大写字母，英语小写字母、阿拉伯数字、标点符号） 加密数据、信息认证和身份认证、提供访问控制。 1．计算机病毒是指编制或者在计算机程序中插6、Windows 2000的安全模板：以inf的格式存储。 15.ARP：地址解析协议，网络层，可有IP地址找到对应的入的破坏计算机功能或者破坏数据，影响计算7、组策略的安全级别：域级和OU级。域级是一般的安全要求，MAC地址。 机使用并且能够自我复制的一组计算机指令如对所有服务器使用的账户策略和审计策略等；OU级是对特16.ICMP：网络层，网络报文控制协议，它是IP协议的附或者程序代码 定的服务器的安全要求，如IIS的服务器。 属协议，网络层用它来与其他主机或路由器交换错误报文2．计算机病毒的特点：人为的特制程序，具8、审计：主要目标是识别攻击者对网络所采取的操作，分为和其他重要控制信息。ICMP豹纹是在IP数据报内部被传有自我复制能力，很强的感染性，一定的潜伏成功事件和失败事件。 输的，主要用来对系统中的错误进行分析和控制。 性，特定的触发性和很大的破坏性 9、安全审计的类别：登录事件、账户登录事件、对象访问、17.IP地址欺骗：即外网地址冒充本地IP，是通过向路由3．计算机病毒包括三部分：引导部分，传染目录服务访问、特权使用、进程跟踪、系统事件、策略更改。 和目标发送虚假的重定向豹纹，导致本地机器的路由表被部分和表现部分。 10、入侵检测：可分为主动监测和被动检测。 欺骗实现的。 计算机病毒的特征：传染性，寄生性，潜伏性，11、主动监测：有目的地查找攻击并阻止这些攻击，有端口扫18.TCP三次握手过程：传输层，请求连接的客户机首先将隐蔽性，破坏性 描、事件查看器、转储日志工具、EventCombMT工具，其中端一个带SYN标志位的包发给服务器；服务器受到这个包后4．病毒的分类 按病毒寄生方式：网络型，口是最常用的。 产生一个自己的SYN标志，并把收到包的SYN+1作为ACK可执行文件型，引导性和复合型；按病毒的破12、被动检测：是被攻击后使用检查日志的方法。 标志返回给客户机；客户机收到该包后，再发一个 坏后果：良性病毒和恶性病毒；按病毒的发作第四章Windows Server 2003的安全管理 ACK=SYN+1的包给服务器。经过三次握手，才正式建立连条件：定时发作性，定数发作性和随机发作性；1、Windows Server2003的内置信任安全构架TSI主要包括：接。 按连接方式：源码性，入侵型，操作系统型和身份验证、授权与访问控制、审计与记账、密码管理、安全管19.网络地址转换 (NAT) 是一个 Internet 工程任务组 外壳性 理（包括鉴别与安全策略）。 (Internet Engineering Task Force，IETF) 标准，用于5．计算机病毒的发展：DOS引导阶段，DOS可执行阶2、Windows Server2003的安全功能：授权管理器、存储用户允许专用网络上的多台 PC (使用专用地址段，例如 段，变体阶段，Windows阶段，网络阶段 名和密码、软件限制策略、证书颁发机构、受限委派、有效权10.0.x.x、192.168.x.x、172.x.x.x) 共享单个、全局路6．现代查杀病毒使用如下技术：虚拟执行技术，宏限工具、加密文件系统、Everyone成员身份、基于操作的审由的 IPv4 地址。Internet 网关通常将 NAT (网络地址转指纹技术和VxD技术 核、重新应用安全默认值。3、Windows Server2003的身份验换) 作为将多个主机连接到Internet 以共享单个公共 IP 7．第一代反病毒技术是采取单纯的病毒特征判断，证有四种：某个具体内容、某个具体设备、某种特征（如指纹）、地址的途径。 将病毒从带毒文件中清除掉。 某个位置。 第六章 路由器安全管理 第二代反病毒技术是采用静态广谱特征扫描方法4、操作系统的验证机制体现在：支持的验证方法的数量、方1．路由器相关安全特性具有两层含义：保证内部局域网的检测病毒。可以更多地检测出变形病毒，但误报率也法的强度、验证信息是否集成到所有安全操作中。 安全（不被非法侵入）和保护外部进行数据交换的安全 提高，尤其是用这种不严格的特征判定方式去清除病5、交互式登录身份验证须执行2个方面：交互正式登陆（向2．路由器必须具有的安全特性：身份认证，访问控制，信毒带来的风险性很大，容易造成文件和数据的破坏 域账户或本地计算机确认用户身份）和网络身份验证（使用本息隐藏，数据的加密和防伪，安全管理，可靠性和线路安 第三代反病毒技术的主要特点是将静态扫描技术地计算机的用户每次访问网络资源时，必须提供凭据）。 全 和动态仿真跟踪技术结合起来，将查找病毒和清除病6、Kerberos V5身份验证：Kerberos V5是与密码或者智能卡3．网络安全身份认证包括访问路由器时的身份认证，毒合二为一，形成一个整体解决方案，能够全面实现一起使用已进行交互登陆的协议。它是Windows Server2003Console登录配置，Telnet登录配置，Modem远程配置，防、查、消等反病毒所必备的各种手段，以驻留内存对服务进行网络身份验证的默认方法。Kerberos的三个头在对其他路由的身份认证，直接相连的邻居路由器配置，逻方式防止病毒的入侵，凡是检测到的病毒都能清除，协议中分别代表验证、授权、审核。是基于对称密钥加密的。 辑连接的对等体配置，路由信息的身份认证，防伪造路由不会破坏文件和数据。 7、Kerberos身份验证优点：使用独特的票证系统并能提供更信息的侵入安全特性 第四代反病毒技术则是针对计算机病毒的发展快的身份验证；是交互式验证；是开放的标准；支持委托验证、4．AAA技术可以提供基于用户的验证、授权、记账服务。而基于病毒家族体系的命名规则，基于多位CRC校验支持智能卡网络登录的验证。 基于用户的含义是AAA技术不是根据IP地址等信息验证用和扫描机理，启发式智能代码分析模块、动态数据还8、Kerberos V5身份验证的过程：（1）客户端系统上的用户户，而是根据用户名、口令对用户进行验证。 原模块（能查出隐蔽性极强的压缩加密文件中的病使用密码或智能卡向KDC进行身份验证。（2）KDC为此客户颁5．访问控制实现的功能：对网络设备的访问控制，分级保毒）、内存解毒模块、自身免疫模块等先进的解毒技发一个特别的票证授予式票证。（3）TGS接着向客户颁发服务护不同级别的用户拥有不同的操作权限，基于五元组（指术，较好的解决了以前防毒技术顾此失彼、此消彼长票证。（4）客户向请求的网络服务出示服务票证。 IP包头中的源IP地址、目的IP地址、协议号、源端口和的状态。 9、强密码的规则：长度至少有7个字符；不包含用户名、真目的端）的访问控制，根据数据包信息进行数据分类，不8．病毒检测的方法：特征代码法，校验和法，行为实姓名或公司名称；不包含完整的字典词汇；与先前的密码大同的数据流采用不同的策略，基于用户的访问控制，对于检测法和软件模拟法 不相同；包含全部下列四组字符类型（大写字母、小写字母、接入服务用户设定特定的过滤。 特征代码法的优点：检测准确快速、可识别病毒的名数字、键盘上的符号）。远程资源账户、本地计算机账户、域6．包过滤技术是指提供访问控制的基本框架，来提供基于称、误报警率低，依据检测结果，可做解毒处理，缺账户都要使用强密码。 IP地址等信息、基于接口、基于时间段的包过滤。包过滤点：速度慢，不能检测未知病毒，不能检查多形性病10、授权：SRM是安全参考监视器，它是Windows 操作系统内技术是利用访问控制列表实现的一种防火墙技术。是最常毒，不能对付隐蔽性病毒校验和法的优点：方法简单核模式中最有特权的安全组件，它检测所有来自用户端访问资用的访问控制手段，最显著的特点是利用IP数据包的特征能发现未知病毒、被查文件的细微变化也能发现。缺源的请求。授权不仅处理访问控制，还能控制对操作系统的进进行访问控制，不能使用于接入服务中。 点：会误报警、不能识别病毒名称、不能对付隐蔽型程和线程的访问。 7．IPSec可以实现数据的加密以及防伪，可以使在不安全病毒。 11、访问令牌：当每个用户登录系统时，产生访问令牌。访问的线路上传输加密信息形成“安全的隧道”。它为IP数据行为监测法的优点：可发现未知病毒、可相当准确地令牌的组件是本地安全认证机构LSA。令牌包含用户域的授权报提供了高质量的，可互操作的，基于密码学的安全性，预报未知的多数病毒。缺点：可能误报警、不能识别和用户本地授权信息。 特定的通信费之间在IP层通过加密与数据源验证等方式病毒名称、实现有一定难度。 12、ACL：访问控制列表集，有多个访问控制实体ACE组成，来保证数据报在网络上传输时的私有性、完整性、真实性 ACE与安全标识符SID连接来确定用户的访问权限，如读取、和防重放 第九章 防火墙安全管理 修改等。 IPSec通过AH（报文头验证协议）和ESP（封装安全载荷1．现代网络安全服务一般有两种：一是存取控制，13、Windows Server2003有以下模拟级：匿名、识别、模拟、协议）这两个安全协议来实现。并且还可以通过IKE为禁止非法的通信和联网；二是通信安全服务，提供授委托。 IPSec提供自动协商交换密钥、建立和维护安全联盟的服权数据的完整性和可靠性，具有对同级通信者的访问14、Windows Server2003的安全策略：用户账号和用户密码、务，以简化IPSec的使用和管理。 AH主要提供数据源否定权 域名管理、用户组权限、共享资源权限。 验证、数据完整性校验和防报文重放功能，AH不加密所保2．防火墙对内部网络与外部网络之间的通信量进行15、域：是指网络服务器和其他计算机的逻辑分组，每个用户护的数据报。ESP除提供AH协议的所有功能外，还提供对筛选，符合标准的分组将被正常转发，不能通过检查有一个账号，每次登陆是整个域，而不是某一个服务器。可节IP报文的加密功能 的分组就被丢弃。防火墙是设置在被保护网络和外部省管理员和用户的精力和时间。 IKE（因特网密钥交换协议）为通信双方提供交换密钥等服网络之间的一道屏障，保护着内部敏感的数据不被偷16、用户组权限：分为全局组和本地组。全局组由一个域的几务，IKE定义了通信双方进行身份认证、协商加密算法以窃和破坏，并用日志记录通信发生的时间和操作。 个用户账号组成。本地组由用户账号和一个或者多个域中的全及生成共享的会话密钥的方法。IKE的精髓在于它永远不一般的防火墙有两个组成部分：两个分组筛选器（路局组构成。本地组可以包含用户和全局组，但不能包含其他本在不安全的网络上直接传送密钥，而是通过一系列数据的由器）和一个应用程序网关 地组。 交换，通信双方最终计算出共享的密钥 3．防火墙的特点：广泛的服务支持，数据的加密支17、有3种方式访问Windows Server2003：通过用户账号、8．虚拟私有网VPN的一个核心技术就是“隧道技术”，这持，防电子欺骗，过滤不安全服务和非法用户，控制密码和用户组方式登陆；在局部范围内通过资源共享的形式登种技术的主要思想是将一种类型网络的数据包通过另一种对特殊站点的访问，提供了监视Internet安全和预陆；在网络中通过TCP\\IP协议对服务器进行访问。 类型网络进行传输。二层隧道是建立在链路层的隧道，三警的方便端点，能强化安全策略，能有效的记录18、Windows Server2003的安全管理体现在3方面：安全策层隧道是建立在网络层的隧道 Internet上的活动，限制暴露用户点 略管理、安全补丁管理、相关审核管理。 9．AAA是认证、授权和计费的简称。AAA一般采用客户/4．实现防火墙的技术 ①包过滤技术。包过滤是在19、Windows Server2003的组策略：来定义用户工作的坏境，服务器结构，客户端运行于被管理的资源侧，服务器上则网络层中对数据包进行有选择的通过，在IP层实现，包括用户账户策略、审计策略、用户权利和事件日志。 集中存放用户信息。这种结构既具有良好的可扩展性，又可以只用路由器完成。包过滤有一个很关键的弱点是20、密码策略包括：强制密码历史、密码最常使用期限、密码便于用户信息的集中管理 不能在用户级别上进行过滤，既不能识别不同的用户最短使用期限、密码长度最小值、密码必须符合复杂性要求、10．RADIUS远程认证拨号用户服务，作为一种分布式的客和防止IP地址的盗用 ②应用网关技术。③代理服务。用可还原加密来存储密码。 户机/服务器系统，能提供AAA功能。RADIUS服务器通常代理服务器一般包括应用代理服务器和回路级代理21、Windows Server2003的加密系统：它支持EFS技术对任需要维护三个数据库，第一个数据库Users用于存储用户服务器。④IP通道。⑤网络地址转换器。就是在防火意文件或文件夹进行加密，这是一种核心的文件加密技术，只信息，第二个数据库Clients用于存储RADIUS客户端的信墙上装一个合法IP地址集。当内部某一用户要访问有NTFS才能使用，加密后的文件不可以被被除此用户以外的息，第三个数据库Dictionary存储的信息用于解释RADIUSInternet时，防火墙动态地从地址集中选一个未分配任何文件访问。 协议中的属性和属性值的含义。RADIUS采用UDP传输信息，的地址分配给该用户，该用户即可使用这个合法地址22、Windows Server2003的安全管理采用的对策：物理安全通过定时器管理机制、重传机制、各用服务器机制，确保进行通信。同时，对于内部的某些服务器如Web服务管理、及时更新补丁、避免给用户定义特定的访问控制、实施RADIUS服务器和客户端之间交互信息的正确收发。 器，网络地址转换器允许为其分配一个固定的合法地账号及口令策略、控制远程访问服务、启动审核功能、确保注11．RADIUS实现AAA验证和授权过程：首先发送验证请求址。外部网络的用户就可通过防火墙来访问内部的服册表安全、应用系统的安全、取消TCP/IP撒谎能够的NetBIOS 包；RADIUS服务器收到验证请求包后，首先检查包的合法务器。这种技术既缓解了少量的IP地址和大量的主绑定、Internet Explorer增强的安全配置、清除远程可访问性，然后根据包中用户信息验证用户是否合法；路由器收机之间的矛盾，又对外隐藏了内部主机的IP地址，的注册表路径、禁止不必要的服务。 到访问接受/拒绝包时，首先要判断包中的签名是否正确，提高了安全性。⑥隔离域名服务器 Linux网络操作系统的安全管理 如果不正确将任务收到了一个非法包 5．防火墙的类型 ①网络级防火墙②应用级网关防1.TCSEC将系统划分为4组7个等级：从低到高依次是D；C12．访问控制列表ACL使用的技术：包过滤技术，报文监火墙③电路级网关防火墙④规则检测防火墙⑤状态（C1、C2）；B（B1、B2、B3）；A（A1）。 控技术，流量限制（CAR）技术，报文统计技术 监视器 2.文件的三种存取权限：用户存取权限、组存取权限、其他用13．访问控制列表的分类 按ACL的表示方法：名字型的6．防火墙体系结构：双重宿主主机体系结构。被屏户存取权限。 ACL，数字型的ACL；按ACL的用途：基本的ACL，高级的蔽主机体系结构。被屏蔽子网体系结构 7．防火墙的选择：好的防火墙是一个整体网络的保护者，必须能弥补其他操作系统的不足，应该为使用者提供不同平台的选择，应能向使用者提供完善的售后服务，有提供完整的安全检查功能，能实现IP转换，应该有双重DNS，查杀病毒功能。 8．防火墙配置一般有三种方式：Dual-homed、Screened- host和Screened-subnet Dual-homed方式最简单。 Dual-homedGateway放置在两个网络之间，这个 Dual-omedGateway又称为bastionhost。这种结构成本低，但是它有单点失败的问题。这种结构没有增加网络安全的自我防卫能力，而它往往是受“黑客”攻击的首选目标，它自己一旦被攻破，整个网络也就暴露了。 Screened-host方式中的Screeningrouter为保护Bastionhost的安全建立了一道屏障。它将所有进入的信息先送往Bastionhost，并且只接受来自Bastionhost的数据作为出去的数据。这种结构依赖 Screeningrouter和Bastionhost，只要有一个失败，整个网络就暴露了。Screened-subnet包含两个Screeningrouter和两个Bastionhost。在公共网络和私有网络之间构成了一个隔离网，称之为”停火区”（DMZ，即 DemilitarizedZone）,Bastionhost放置在“停火区”内。这种结构安全性好，只有当两个安全单元被破坏后，网络才被暴露，但是成本也很昂贵。 9．防火墙的管理应注意以下几点：防火墙的失效状态（未受伤害能够继续正常工作；关闭并重新启动，同时恢复到正常工作状态；关闭并禁止所有的数据通行；关闭并允许所有的数据通行）；防火墙的动态维护；防火墙的非法访问；防火墙安全的几个威胁 第十章 电子商务网站的安全 1．电子商务是端对端的网上交易，必须具有强有力的安全防范措施，并提供数据的完整性，保密性和不可否认性。 2．安全体系包括物理系统的安全，操作系统的安全，网络安全及电子商务站点的安全，即Web的安全性 3．电子商务站点的安全准则：信息的完整性与真实性，信息的保密性，信息的不可否认性（即不可抵赖性），确保消费者隐私的安全，保护消费者的机密，确保服务器的安全，身份认证，使用安全策略，禁用范例和文献，指定命令的安全级别，备份与恢复 4．电子商务安全解决方案分4个层次：基础设备安全，终端设备安全，网络设备安全和系统设备安全 5．数字签名就是信息发送者用其私钥对从所传报文中提取出的特征数据或称数字指纹进行RSA算法解密运算操作，得到发信者对该数字指纹的签名函数H(m) 在数字签名中有重要作用的数字指纹，是通过一类特殊的散列函数（HASH函数）生成的，对这些HASH函数的特殊要求是：接收的输入报文数据没有长度限制，对任何输入报文数据生成固定长度的摘要并输出，从报文能方便的算出摘要，难以对指定的摘要生成一个报文，而由该报文可以算出该指定的摘要，难以生成具有相同摘要的两个不同的报文 6．安装在IIS服务器上用来为服务器提供身份证明的证书叫做服务器证书，安装在客户浏览器端的叫做客户证书 7．SSL（安全套接层）协议 8．SSL协议提供连接安全有三个基本特征：私密性，确认性和可靠性 9．会话状态包括的元素：会话检验，对等的证书，压缩方法，密码规则，主要的密钥，可恢复；连接状态包括的元素：随机服务器和客户，服务器写MAC密码，客户写MAC秘密码，服务器写密钥，客户写密钥 10．SSL协议栈主要由SSL记录协议和SSL握手协议两部分组成。握手协议是用来协商密钥的，记录协议定义了传输的格式。 11．建立安全的Web站点，一般应具备三个条件：一台装有Windows 2000 Server的服务器；安装了IIS服务；安装证书服务。在安装证书服务之前，建立一个共享文件夹，用来保存CA证书和各种配置文件，建立共享文件夹为D：\\Certificate 12．建立并安装一个站点证书需要7个步骤：建立虚拟目录，建立密钥对和证书请求，向证书授权机构提交证书请求文件，证书服务器工具，安装服务器证书，在虚拟服务器上允许使用SSL和向客户浏览器中增加CA证书 第1章 网络安全在IT业内可分为：网络安全硬件、网络安全软件、网络安全服务。 网络硬件包括：防火墙和VPN、独立的VPN、入侵检测系统、认证令牌和卡、生物识别系统、加密机和芯片 网络安全软件包括：安全内容管理、防火墙／VPN、入侵检测系统、安全3A、加密等 网络安全服务包括：顾问咨询、设计实施、支持维护、教育培训、安全管理。 网络协议：议进行网络数据交换而建立的规则、标准或约定。 网络协议三个要素组成：①语法，即数据与控制信息的结构或格式；②语义，即需要发出何种控制信息、完成何种协议以及做出何种应答；③同步，即事件实现顺序的详细说明。 分层的好处：每一层都实现相对的独立功能，因此就能将一个难以处理的复杂问题分解为若干个较容易处理的问题。 网络的体系结构：计算机网络的各层及协议的集合，换言之，计算机网络的体系结构即使这个计算机网络及其部件所应该完成的功能的精确定义。 网络体系结构的参考模型主要有两种：即OSI模型和TCP/IP模型。 OSI模型有七层，其分层原则如下：①根据功能的需要分层；②每一层应当实现一个定义明确的功能；③每一层功能的选择应当有利于制定国际标准化协议；④各层界面的选择应当尽量减少通过接口的信息量；⑤层数应足够多，以避免不同的功能混杂在同一层中；但也不能过多，否则体系结构会过于庞大。 OSI参考模型由低到高依次七层是：物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。 TCP/IP协议体系结构分为四层：网络接口层、网络层、传输层和应用层。 1.网络接口层：提供一种数据传送方法，使得系统可以通过直接的物理连接的网络，将数据传送到其他设备，并定义了如何利用网络来传送IP数据报。 2.网络层：是TCP/IP的核心协议，它包括地址转换协议（ARP）和网间控制报文协议（ICMP），其中ICMP协议具有测试网络链接和检测网络故障的功能，是IP协议不可分割的部分。 3.传输层：有传输控制协议（TCP）和用户数据报协议（UDP）。TCP利用端到端的错误检测与纠正功能，提供可靠的数据传输服务。而UDP提供低开销、无连接的数据传输服务。 4.应用层：为用户提供直接的服务。 常见的应用层协议有：①Telnet网络终端协议②FTP文件传输协议③SMTP简单邮件传输协议④POP邮件接收协议⑤HTTP超文本传输协议⑥DNS域名服务 网络安全贯穿于信息系统的4个层次：①物理层：主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击（干扰等）。②数据链路层：需要保证通过网络链路传送的数据不被窃听。主要采用划分VLAN（局域网）、加密通（远程网）等手段。③网络层：需要保证网络只给授权的客户使用授权的服务，保证网络路由正确，避免被拦截或监听。④操作系统：要求保证客户资料、操作系统访问控制的安全，同时能够对该操作系统上的应用进行审计。 ⑤应用平台：指建立在网络系统之上的应用软件服务，通常采用多种技术（如SSL等）来增强应用平台的安全性。⑥应用系统：完成网络系统的最终目的-为用户服务，使用应用平台提供的安全服务来保证基本安全如通讯内容安全，通讯双方的认证，审计等手段。 用密钥加密，后又出现了椭圆曲线密码学。⑴网络的入侵 基于RSA算法的公钥加密系统具有：数据加密、数字TCP/IP层次安全：①Internet层的安全性，Internet层是非检测和漏洞扫描：1、入侵检测的5种技术：基于应用的监签名、信息源识别、密钥交换等功能。 常适合提供基于主机对主机的安全服务的。可以在Internet控技术；基于主机的监控技术；基于目标的监控技术；基RSA算法和DES算法的比较：1.DES数据加密标准用上建立安全的IP通道和虚拟私有网传。②输层的安全性 于网络的监控技术；2、漏洞检查的5种技术:基于应用的于对64比特的数据进行加密和解密。DES算法所用的在Internet中提供安全服务的首先一个想法便是强化它的检测技术；基于主机的检测技术；基于目标的检测的技术；密钥长度是56比特。DES算法多次组合迭代算法和换IPC界面，具体做法包括双端实体的认证，数据加密密钥的交基于网络的检测技术。⑵应用系统安全：总体思想是利用位算法，利用分散和错乱的相互作用，把明文编制成换等。③应用层的安全性：网络层(传输层)的安全协议允许为安全PC卡、PC安全插卡来实现所有应用的安全保密。⑶密码强度很高的密文。2.DES算法的加密和解密的流主机(进程)之间的数据通道增加安全属性。 文件传送安全：要求对等实体鉴别、数据加密、完整性检程是完全相同的，区别仅仅是加密与解密使用子密钥传输层的安全性个包括两个协议：①SSL记录协议，该协议涉验、数字签名。⑷邮件安全：邮件加密、数字签名、利用序列的顺序正好相反。RSA算法的安全性是建立在具及应用程序提供的信息的分段、压缩、数据认证和加密。②SSL安全PC卡。 有大素数因子的合数其因子分解困难这一法则之上握手协议，用来交换版本号、加密算法、（相互）身份认证并保证网络安全的措施一般包括如下几种: 的。RSA算法中加密密钥和解密密钥不相同，其中加交换密钥。 ⒈防火墙：是一种防御技术，它网络安全是不可缺少的。密密钥公开，解密密钥保密，并且不能从加密密钥或PEM PKI的三个层次构成：①顶层为网络安全政策登记机构它像一道防盗门，把内部网和外部网分隔开来，转发可信密文中推出解密密钥。 (IPRA)②第二层为安全政策书颁发机构（PCA）③底层为证书的分组的数据包，丢弃不可疑的数据包。⒉身份认证：是RSA算法和DES算法各有自的优缺点的可以进行如下颁发机构 一致性验证的一种, 验证是建立一致性证明的一种手段。比较：1.在加密，解密的处理效率方面：DES算法优TCP/IP的服务安全：①ＷＷＷ服务：是基于超文本传输协议主要包括验证依据、验证系统和安全要求。3.加密：是通于RSA算法，DES算法可以利用软件和硬件实现高速（HTTP），是人们最常使用的Internet服务。②电子邮件服务：过对信息的重新组合，使得只有收发双方才能解码还原信度处理，但RSA的处理速度明显就慢于DES算法2.给人们提供了一种方便和快捷的服务，现在大部分人都有一个息。数据加密技术主要分为数据传输、数据存储、数据完在密钥的管理方面:RSA算法比DES算法更优越。3.或多个E-mail地址。③FTP服务和TFTP服务：这两个服务都整性的鉴别以及密钥管理技术四种。 在安全性方面：DES算法和RSA算法的安全性都较好。是用于传输文件的，TFTP服务用于局域网，FTP服务对于局域4.数字签名：采用两个密钥加密：密文和用来解码的密钥4.在签名和认证方面：DES算法从原理上不可能实现网和广域网都可以，可以用来下载任何类型的文件。 一起发送，而该密钥本身又被加密，还需要另一个密钥来数字签名和身份认证，但RSA算法能够容易地进行数④Finger服务：于查询用户的信息，包括网上成员的真实姓解码。比较普遍采用的签名算法有RSA和DSS。5.内容检字签名和身份认证。 名、用户名、最近的登录时间、地点等，也可以用来显示当前查6.存取控制：规定何种主体对何种客体具有何种操作权有限域上的椭圆曲线：设K表示一个有限域，E是域登录在机器上的所有用户名。 力。是内部网安全理论的重要方面, 主要包括人员限制、K上的椭圆曲线，则E是一个点的集合： ④其它的服务：还有X-Window服务，基于RPC的NFS服务，数据标识、权限控制、控制类型和风险分析。7.安全协议：E/K = { ( x， y ) | y2+ a1xy + a3y = x3 + a2x2 BSD Unix的以“r”开头的服务，这些服务在设计上安全性很安全协议的建立和完善是安全保密系统走上规范化、标准+ a4x + a6， a1， a3， a2， a4， a6 x， y K }{ O } 差，一般只在内部网使用。 化道路的基本因素。有如下几种协议：加密协议；身份验其中O表示无穷远点。在E上定义‘+’运算，P + Q 关于个人网络的安全应该注意的问题:①邮箱中标题不明的邮证协议；密钥管理协议；数据验证协议；安全审计协议；= R，R是过P、Q的直线与曲线的另一交点关于x轴件不能随便打开。②在聊天室或BBS上不公开自己的IP、邮防护协议；8.智能卡技术。 的对称点，当P = Q时R是P点的切线与曲线的另一件地址等各人隐私。③要经常更换自己计算机的密码。另外，网络的安全策略：数据预防；应用程序预防；主机预防；交点关于x轴的对称点。这样，( E,+ )构成可换群不要当外人的面输入密码，密码的长度足够长。④一般不要让网络预防；周边预防；物理安全。 ( Abel群)，O是加法单位元(零元)。椭圆曲线离散计算机记住密码，以免别人使用你的计算机使自己的机密外物理安全的措施：采取物理措施保护办公楼的所有区域；对数问题ECDLP定义如下：给定定义在K上的椭圆曲泄。⑤不要在自己的计算机上运行不明的程序，这些可能是黑要求客人在达到时登记所有计算设备；要求所有员工登记线E，一个n阶的点P E/K，和点Q E/ K，如果存在客程序。 他们所拥有的任何便携式设备；在将数据存储设备从办公L，确定整数L，0≤L≤n–1，Q = LP。 局域网安全方法有如下几种： ①网络分段：是保证安全的一楼搬走之前，都要对它们一一进行登记；将服务器放在仅量子加密算法的工作原理:量子加密法是两个使用此项重要措施，就是将非法用户与网络资源相互隔离，从而达到有管理员才允许进入的单独房间等。 加密算法的用户各自产生一个私有的随机数字符串。限制用户非法访问的目的。②以交换式集线器代替共享式集线网络攻击常用工具：嗅探（常用的工具是Ethereal）和端第一个用户向第二个用户的接受装置发送代表数字器 ：使用最广泛的分支集线器通常是共享式集线器，以交换口扫描(常用工具是nmap) 字符串的单个量子序列（光脉冲），接受装置从两个式集线器代替共享式集线器，使单播包仅在两个节点之间传信息安全主要表现在以下的四个特性：保密性，保证信息字符串中取出相匹配的比特值。 送，从而防止非法侦听。③虚拟专用网：主要基于近年发展的不泄露给未经授权的任何人；完整性，防止信息被未经授PKI:即公开密钥基础设施。公钥的管理机制都采用局域网交换技术(ATM和以太网交换)，交换技术将传统的基于权的人篡改；可用性，保证信息和信息系统确实为授权者PKI机制，它是由公开密钥技术、数字证书、证书发广播的局域网技术发展为面向连接的技术。 所用；可控性，对信息和信息系统实施安全监控，防止非行机构（CA）和相关的公钥安全策略等组成。PKI即网络分段可分为：①物理分段，通常是指将网络从物理层和数法利用信息和信息系统。 公共密钥体系。它建立一套证书发放、管理和使用的据链路层上分为若干网段，各网段相互之间无法进行直接通 体系，来支持和完成网络系统中的身份认证、信息加讯。②逻辑分段，逻辑分段是指将整个系统在网络层上进行分第2章 密、保证数据完整性和抗抵赖性。PKI体系可以有多段。 明文：密码算法是一个函数变换，要加密的信息。 种不同的体系结构、实现方法和通信协议。 广域网的安全包括：①加密技术：基本思想是不依赖于网络中密文：加密过程的输出。 CA:是证书的签发机构。构建密码服务系统的核心内数据通道的安全性来实现网络系统的安全，而是通过对网络数加密公式：C = EK(P)，C代表密文，即加密后得到的字符容是如何实现密钥管理。公钥体制涉及到一对密钥，据的加密来保障网络的安全可靠性。数据加密技术可以分为三序列，P代表明文,即需要加密的字符序列，K表示密钥，即私钥和公钥。私钥只由持有者秘密掌握，无须在网类，即对称型加密、不对称型加密和不可逆加密。 ②VPN（虚是秘密选定的一个字符序列。 上传送，而公钥是公开的，需要在网上传送，故公钥拟专网）技术：核心是采用隧道技术，将企业专网的数据加密密码学：加密和解码的技术。 体制的密钥管理主要是公钥的管理问题。CA也拥有一封装后，透过虚拟的公网隧道进行传输，从而防止敏感数据的目前流行的密码算法主要有：DES，RSA，IDEA，DSA等。 个证书（内含公钥），当然，它也有自己的私钥，所被窃。VPN可以在Internet、服务提供商的IP、帧中继或ATM密码算法可分为：传统密码算法和现代密码算法。传统密以它有签字的能力。 网上建立。③身份认证技术：对拨号用户的身份进行验证并记码算法的特点是加密和解密必须是同一密钥，如DES和加密标准:1.对称加密算法：DES，Tripl－DES，RC2，录完备的登录日志，较常用的身份认证技术，有Cisco公司提IDEA等；现代密码算法将加密密钥与解密密钥区分开来，RC4，CAST等。2.非对称加密算法：RSA，DSA，Diffie出的TACACS＋以及业界标准的RADIUS等。 且由加密密钥事实上求不出解密密钥。 －Hellman等。3.散列算法：SHA－1，MD5等。 网络安全威胁包括: 密码算法主要有以下三类：1.对称加密算法：这种技术使证书标准：1.通用的证书标准是X.509。2.目录服务⑪安全漏洞:是资源容易遭受攻击的位置,它可以被视为是一用单一的密钥加密信息。2.公钥加密算法（非对称加密）: 标准 是X.500及LDAP。 个弱点。安全漏洞类型有物理自然的、硬件和软件的、媒介的、这种技术使用两个密钥，一个公钥用于加密信息，另一个数字证书：是一种能在完全开放系统。 通信的（未加密的协议）、人为的等。⑫乘虚攻击:一个威胁通私钥用于解密信息。3.单项函数算法：这个函数对信息进证书的格式：数字证书格式的通用标准是X.509。应过利用可以环境中的安全漏洞就可以访问到的计算机中的资行加密产生原始信息的一个“签名“，该签名将被在以后具备的信息有：版本号，用来区分X.509的不同版本；源。这种类型的攻击也称为乘虚攻击。乘虚攻击资源的伎俩有证明它的权威性。 序列号，由CA给予每一个证书的特殊编码；签名算许多种。⑬来自网络的威胁还有：①操作系统的安全性：许多对称加密算法的基本原理如下：在对称加密中，数据信息法，用于产生证书所用的方法以及一切参数；发出该操作系统均存在网络安全漏洞。②防火墙的安全性：防火墙产的传送，加密及接收解密都需用到这个共享的钥匙，也就证书的认证机构，CA的识别名字；有效期限，包括2品是否设置错误等。③来自内部网用户的安全威胁。④缺乏有是说加密和解密共用一把钥匙。 个日期，在所指定的2个时间之间有效；主题信息，效的手段监视、评估网络系统的安全性。⑤采用的TCP/IP协DES算法：是最著名的对称密钥加密算法DES，DES使用56证书持有人的姓名、服务处所等信息。公钥信息，被议族软件，本身缺乏安全性。⑥未能对来自Internet的电子位密钥对64位的数据块进行加密，并对64位的数据块进证明的公钥值，加上使用这个公钥的方法名称；以及邮件挟带的病毒进行有效控制。⑦应用服务的安全：应用服务行16轮编码。与每轮编码时，一个48位的“每轮”密钥认证机构的数字签名。 系统在访问控制及安全通讯设置错误等。 值由56位的完整密钥得出来。 认证的发放：认证机构在发放证书时要遵循一定的准网络系统的安全应具备功能: ①访问控制:对特定网段、服务DES的缺点:就是密钥长度相对比较短， 则，如要保证自己发出的证书的序列号没有相同的，建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标之三重DES:这种方法用两个密钥对明文进行三次加密。 用没有两个不同的实体获得的证书中的主题内容是一前。②检查安全漏洞: 对安全漏洞的周期检查，即使攻击可到密钥1进行DES加密；用密钥2对步骤1的结果进行DES致的，不同主题内容的证书所包含的公开密钥要不相达攻击目标，也可使绝大多数攻击无效。③攻击监控:对特定解密；对步骤2的结果使用密钥1进行DES加密。 同等。 网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，非对称加密算法的原理:利用了两把钥匙，一个钥匙用来将证书的管理功能包括：1.用户能方便地查找各种证书并采取相应的行动.④加密通讯: 主动的加密通讯，可使攻击数据信息加密，而用另一把不同的钥匙来解密。 及已经撤销的证书。2.能根据用户请求或其它相关信者不能了解、修改敏感信息。⑤认证: 良好的认证体系可防止公共密钥加密的两种用途：数据加密；身份认证 息撤销用户的证书。3.能根据证书的有效期限自动地攻击者假冒合法用户。⑥备份和恢复: 良好的备份和恢复机常用的公共密钥加密算法有:RSA和DSA 撤销证书。4.能完成证书数据库的备份工作。 制，可在攻击造成损失时，尽快地恢复数据和系统服务。⑦多公共密钥（非对称加密）的优点：也许你并不认识某一实证书库 证书库是证书的集中存放地，是网上的一种层防御: 攻击者在突破第一道防线后，延缓或阻断其到达攻击体，但只要你的服务器认为该实体的CA（认证机构）是可公共信息库，用户可从此处获得其他用户的证书和公目标。⑧隐藏内部信息: 使攻击者不能了解系统内的基本情靠的，就可以进行安全通信。 钥。构造证书库的最佳方法是采用支持LDAP协议的况。⑨设立安全监控中心: 为信息系统提供安全体系管理、监 RSA算法:是既能用于数据加密也能用于数字签名的算法。目录系统，用户或相关的应用通过LDAP来访问证书控、保护及紧急情况服务。 它易于理解和操作，也很流行。算法的名字以发明者的名库。系统必须确保证书库的完整性，防止伪造、篡改网络安全的主要攻击形式：①信息收集②利用技术漏洞型攻击字命名：Ronald Rivest，Adi Shamir 和Leonard Adleman。 证书。 ③会话劫持④防止DNS毒化⑤URL字符串攻击⑥攻击安全账户RSA算法如下：1.选两个大素数，r1和r2，通常均大于10100。密钥备份及恢复系统：PKI应该提供备份与恢复解密管理器⑦文件缓冲区溢出⑧拒绝服务⑨攻击后门攻击⑩恶意2.计算n=r1*r2和x=(r1-1)*(r2-1)。3.选这一个与x互密钥的机制。密钥的备份与恢复应该由可信的机构来代码 质的数令其为d。4.找到一个e，满足e*d=1(mod x)。5.完成，密钥备份与恢复只能针对解密密钥，签名私钥信息收集经常使用的方法：①确保网上只有那些已标识的特定选好这些参数后，将明文划分成块使得每个明文报文P长不能够做备份。 设备能够建立远程访问连接。②在通过外部防火墙直接连接度m满足0 击者审阅该代码来获取宝贵的信息。⑥审查一般为公众提供的机A的公钥对密钥2进行加密后传送给主机A。此时主机A证书的发放方式：使用 Net-Pass 智能卡时，证书的信息有没有自己的IP地址个域名注册信息。 和主机B都同时得到了密钥1和密钥2，也就是彼此之间发放可以在网上在线签发，也可以进行卡的预制签攻击安全账户管理器SAM文件的管理方法包括：①利用系统密的私钥。 发。 钥在SAM文件上启用附加加密。②通过某想策略禁止用局域网加密公式：Cei=Mi(mod n) 证书的应用： 1.使用S/MIME协议实现安全的电子邮（LAN）Manager身份验证及LAN Manager散列存储，并利用解密公式：Mi=Cdi(mod n) 件系统；2.使用SSL协议实现浏览器与Web服务器之其他形式的身份验证。③建立并执行复杂的密码策略。 RSA的安全性:依赖于大数分解。 间的安全通信；3.使用SET协议实现信用卡网上安全后门攻击通常采用的方法：①运行完整的扫描，并用最新的特RSA的速度 ：由于进行的都是大数计算，使得RSA最快的支付。 征文件及时更新防病毒工具。②当心通过电子邮件发送的所有情况也比DES慢上100倍，无论是软件还是硬件实现。速智能卡:外形与普通的信用卡相同，内部有微处理器 内容，并限制未知附加的执行。③运行ISS扫描等工具，扫描度一直是RSA的缺陷。一般来说只用于少量数据加密。 （CPU）和可重写存储单元（EEPROM），。智能卡的优整个网络是否存在攻击者工具。④仅接受已签名的Microsoft RSA的小指数攻击 点：1.把用户的重要信息，包括证书、密钥、口令、ActiveX控件。 有一种提高RSA速度的建议是使公钥e取较小的值，这样个人信息等，存放于智能卡中安全保管；2.加密处理恶意代码的4种类型：①病毒②蠕虫③特洛伊木马④其他恶意会使加密变得易于实现，速度有所提高。但这样作是不安可以在卡内完成，用于加密的个人密钥等信息是不允代码 全的，对付办法就是e和d都取较大的值。 许从卡中读出的，从而最大限度地保障通讯的安全使网络安全的关键技术式：⑪防电磁辐射：分为对传导发射的防RAS数字签名：就是信息发送者用其私钥对从所传报文中用；3.每张智能卡存放的内容都是独特的，是不可替护和对辐射的防护。⑫访问控制技术：网络、数据库、操作系提取出的特征数据或称数字指纹进行RSA算法解密运算操代的，具有代表使用者身份的意义，提供对操作安全统、应用程序、远程拨入等的访问控制。⑬安全鉴别技术：①作，得到发信者对该数字指纹的签名函数H（m）。 的可管理性；4.智能卡的拥有者可以方便的携带它，网络设备的鉴别，基于VPN设备和IP加密机的鉴别；②应用RSA的缺点如下：1.产生密钥很麻烦，受到素数产生技术可以更到任何地点的连接读卡器的计算机上去完成程序中的个人身份鉴别；③远程拨号访问中心加密设备（线路的限制，因而难以做到一次一密2.分组长度太大，为保证电子商务操作，不仅安全而且比其他方法更方便。 密码机）与远程加密设备（线路密码机）的鉴别；④密码设备安全性，n 至少也要 600 bits以上，使运算代价很高， 对用户的鉴别。⑭权限控制：操作系统、数据库的访问、密码尤其是速度较慢，较对称密码算法慢几个数量级；不利于第5章 设备管理、应用业务软件操作的权限控制。 ⑮通信保密：①数据格式的标准化。 安全级别的划分：划分为7个等级，依次是D；C（C1，中心网络中采用IP加密机进行加密；②远程拨号网络中采用RSA的实用性：RSA算法已经在互联网的许多方面得以广泛C2）；B（B1，B2，B3）；A（A1）。 数据密码机进行线路加密。⑯数据完整性：使用消息完整性编应用，包括在安全接口层（SSL）标准。目前，RSA加密系C1/C2的要求包括以下三个部分：1.身份认证，每个码MIC是一种HASH函数来计算信息的摘要。⑰实现身份鉴别统主要应用于智能IC卡和网络安全产品。RSA 算法作为公用户必须在系统中标志其身份。2.系统的资源被归于可利用：①数字签名机制②消息鉴别码③校验等③口令字④智共钥加密系统的主要算法的原因是算法安全性好。得到随不同的所有者，对这些资源的访问必须验证用户权能卡⑤身份验证服务⑱安全审计：①数据库/操作系统的审计机、安全的密钥对。公共钥加密系统多用于分布式计算环限。3.系统要对用户的行动进行记录。 ②防火墙的进出数据审计③应用业务软件/平台的审计安全备境，密钥分配和管理易于实现，局部攻击难以对整个系统Shadow身份认证体系：采用下面的步骤：（1）系统记份⑲病毒防范及系统安全备份⑳加密方法：公共密钥加密和专的安全造成威胁。 录用户的原始口令，并将其加密保存在系统中，口令 原文则被丢弃。（2）当用户登录系统的时候，输入口令，系统用同样的加密算法将用户输入的口令转换成密文。（3）比较保存的密文和现在得到的密文，如果相同，允许用户登录系统。 PAM身份认证体系：PAM认证部分是由一组模块构成的，相互可以堆叠，可以连续执行多个模块或者让一个模块多次使用，可以在一个PAM认证过程中使用多种认证模块，后面的认证过程的执行依赖于前面的认证模块结果，还可以随时加入新的模块, 加入之后, PAM客户程序无须重新编译，也无须做任何修改就可以使用这个新模块。 PAM系统的配置文件：分为/etc/pam.conf文件和/etc/pam.d/目录两种方式。 文件存在三种存取权限：用户存取权限，组存取权限和其他用户的存取权限 suid机制：就是在权限组中增加suid/sgid位，凡是suid位被置位的文件，当它被执行的时候，自动获得文件属主的uid，同样，sgid被置位，也能获得文件属组的gid。 存储空间安全:指的是内存以及外存储设备的安全，包括越过文件系统直接访问裸设备的保护。其中，最重要的是内存安全性。 内存安全性:分为两部分，一个是禁止内存中的重要数据被窥探到，另一个是保证进程不去执行非法指令。 基本的溢出攻击方式：可以分成三种： 1.堆栈溢出：是最重要的缓冲区溢出攻击手段，它的思路是利用堆栈返回地址。2.函数指针： C语言可以定义函数指针，执行某个地址上的任何函数。3.长跳转点：setjmp/longjmp是一个C语言的非结构化跳转系统，它允许程序员设定一个跳转点，然后可以从任何函数内部直接跳入这个跳转点。 溢出攻击的解决方案：1.补丁；2.编写程序；3.提升安全级；4.利用文件系统和磁盘分区；5.chroot PGP的算法：首先，B和A各生成一对密匙，然后通过一个可信的机构，交换自己的公用密匙，在这之后，如果B想要向A发送自己的信息，那么，他首先要用md5算法计算出整个信息的校验和，然后用自己的私用密匙加密这个校验和并且附加在整个信息后面；接着，再用A的公开密匙加密得到的全部数据，最后发送给A。而当A接收到这个数据的时候，他首先用自己的私用密匙解开密文，得到原文和加密后的校验和；然后再用B的公匙解密校验和；最后重新计算校验和，判断信息是否被修改过。 LIDS可以实现以下功能：1.入侵防护：它可以对系统中重要的文件、进程和设备进行保护，保证这些对象不会被入侵者操纵，即使是入侵者已经拿到了root账号。2.入侵检测：LIDS可以提供对于端口扫描的检测。3.入侵响应:当发现系统受到攻击之后，它可以将必要的信息记录到日志文件中。 授权规则：由主体,客体，授权构成，主体是发起操作的程序，客体是它准备操作的目标，而授权则是由 DENY/READ/APPEND/WRITE/IGNORE几个级别构成的。 日志：就是对系统行为的记录。 操作系统维护三个基本的日志： 1.连接时间日志：用来记录用户的登录信息2.进程记账：用来记录系统中执行的进程信息。3.syslog：系统并不由系统内核维护，而是由syslogd或者其它一些相关程序完成。它是各种程序对运行中发生的事件的描述。 连接时间日志：由utmp，wtmp和lastlog记录构成。 网络接口层：监听；SSL；SSH；VPN。 网络层:ARP；ICMP重定向；IGMP组播。 传输层：UDP拒绝服务攻击；TCP拒绝服务攻击。 应用层：RPC和NFS相关服务；r命令；电子邮件（炸弹和身份认证）；DNS；FTP和WWW；inetd； 端口扫描。 监听通常采用的工具是:嗅探器（sniffer），还有典型的tupdump和sniffit等工具。 集线器：就是一个简单的信号放大器，用来补偿信号在传输中的衰减和变形。 SSL安全套接层协议：它实际是基于socket的，安装在传输层和应用层之间，可以提供数据的加密传输，但它并不包含数据签名功能，后者需要浏览器另外实现。 SSL的工作原理：当一个客户试图和服务器对话的时候，它首先要执行一个握手过程：客户将一些配置信息（SSL版本号、使用的加密算法及一些随机数据）发给服务器，同样，服务器响应的时候要把自己的SSL版本号、加密算法、随机数据和证书（证明自己身份的信息）传给客户，除此之外，服务器还要传送一个用自己的私用密钥传送的问候信息。 SSH:是一个用来解决TELNET/FTP协议安全性的工具， SSH它支持两种协议：ssh和sftp,简单的说就是telnet和ftp的加密传输版本。 SSH协议有两个版本，分别称为ssh1和ssh2，两者的功能基本是一样的，不过算法不兼容。 SSH的两版本提供两种安全级别的安全：1.基于口令的安全验证，也就是一个加密传输的telnet。所有传输的数据都会被加密，只要给出用户名和口令，就可以连接到系统，其它方面也和telnet完全一样。2.基于密匙的安全验证。需要准备一对密匙，如果你要连接到ssh服务器上，客户端软件就会向服务器发出请求，请求用你的密匙进行安全验证。 VPN(虚拟专用网)：被定义为通过一个公用网络(通常是因特网)建立一个临时的、安全的连接。它在Internet的一些机器（或者子网）之间建立一个虚拟连接，从而这些机器看上去就像是处在一个独立的网络中，其他系统无法加入。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。 VPN所提供的功能：1.加密数据。保证通过公网传输的信息即使被人截获也不会泄露。2.信息认证和身份认证。保证信息的完整性、合法性、并能鉴别用户的身份。3.提供访问技术。不同的用户有不同的访问权限。 VPN技术的标准协议：Microsoft的PPTP（点对点隧道协议），IETF的IPsec(Internet安全协议)和NEC的socks5。 路由协议:Internet的核心，它用来定位某个数据包应该传送到何处，以及某一台机器位于什么地方。 ARP即地址解析协议：用来在一个局部网内找到和某个IP地址对应的机器。 ICMP（网间报文控制协议）：它是IP协议的附属协议，IP层用它来与其他主机或路由器交换错误报文和其他重要控制信息。ICMP报文是在IP数据报内部被传输的，主要用来对系统中的错误进行分析和控制。ICMP协议本身并不复杂，常用的ping命令就是使用发送一个ICMP echo报文检查回应的方式来工作的。 Ping of Death攻击 ：当操作系统接收到ICMP报文的时候，需要按照报文标题中的尺寸信息来分配TCP/IP缓冲区。如果接收到一个错误或者畸形的ICMP报文，其中的尺寸信息是错误的，比如超出了64KB，缓冲区分配就可能出现问题，严重的情况下会导致TCP/IP栈崩溃。 Smurf攻击：它基本上就是一个ping命令，它的目标地址是一个网络广播地址，而源地址被冒充为被攻击的目标机器。 IGMP组播：提供Internet网际多点传送的功能，即将一个IP包的拷贝传给多个目标主机。 UDP拒绝服务攻击：有UDP flood攻击；tear-drop攻击。 TCP/IP协议定义了两个基本的数据传输协议：一个是面向连接的传输控制协议TCP，一个是面向无连接的直接数据传送的用户数据报文协议UDP。 UDP flood攻击：首先取得某台及其的控制权，然后伪造与某一台的Chargen服务之间的一次UDP连接，回复地址指向开着 的echo服务的一台主机，当然echo服务又会自动回复，这样 就生成在两台主机之间的大量的无用数据流，如果生成了足够多的数据流，那么整个网络的带宽都被耗尽。 TCP拒绝服务攻击：synflood(半开式连接攻击)；Land攻击 一个TCP连接需要连接双方进行三个动作，即“三次握手”过程如下：请求连接的客户机首先将一个带SYN标志位的包发给服务器；服务器收到这个包后产生一个自己的SYN标志，并把收到包的SYN+1作为ACK标志返回给客户机；客户机收到该包后，再发一个ACK=SYN+1的包给服务器。 应用层攻击有两种情况：一种是协议本身就缺乏安全性；另一种则是实现协议的程序可能存在各种各样的漏洞。 RPC和NFS相关服务：RPC即远程过程调用，是Sun发明的用来在远程主机上执行特定任务的一种协议。通过portmap和几个rpc服务进程实现。NFS是Sun发明的用来在UNIX系统 之间共享文件的一种服务，实际就是将某和UNIX/Linux机器的一个目录共享出来，由其他机器直接使用。 r命令：容易遭受IP欺骗攻击的另外一组命令是Linux的r命令，它们提供了一组不需要给出用户名和口令就可以登录到系统并且执行对应命令的方法，主要有rsh，rexec，rlogin，rcp。 Linux中互相信任的文件有两种：1.全局的信任文件 /etc/hosts.equiv。2.单个的对于某个用户的信任文件，名字是.rhosts。 与邮件相关的两个主要的协议：POP(邮局协议)；IMAP(Internet邮件存储协议) DNS的功能：是Internet域名转换为IP地址。1.几乎所有的主机信任关系都是基于域名而不是IP地址，以便可以透明地修改。2.如负载均衡之类的工作，通常利用DNS数据系统的多记录随机分配来完成，这种情况下，无法直接使用IP地址来访问主机。3.DNS是分级体系，一旦某个DNS出现问题，整个下辖系统全部会出现问题，而且因为DNS缓存的问题，错误会在Internet上扩散。4.DNS服务程序因为运转在TCP/UDP的53端口——小于1024的特权端口——必须用超级用户身份执行，而且它要读配置文件和写大量的log记录，也要求具有存取系统文件的能力，因此一旦被溢出，后果是灾难性的。 FTP服务：对于ftp服务器，需要考虑下面几点：未经授权的用户禁止在服务器上进行FTP操作； 匿名FTP用户不能读取未经系统所有者允许的文件或目录；未经允许，匿名FTP用户不能在服务器上建立/删除文件或目录。 FTP 常见的服务程序有：wuf-ftpd，proftpd，ncftpd。 Http协议：是最主要的网络信息传输协议。它本身是明文传送，容易遭到监听的威胁。 Inetd:UNIX/Linux系统中一类独特的网络服务进程。用inetd程序来统提供inetd daemon功能的程序，包括inetd，xinetd，tcpserver等。 端口扫描：扫描器能够自动检测远程或本地主机的安全性弱点，发现远程服务器各种TCP端口的分配、提供的服务以及相应的软件版本，记录目标给予的回答，搜集关于目标主机的各种有用信息。端口扫描也是一种获取主机信息的有效方法。 常用的安全工具有：Tcpserver；Xinetd；Sudo；Nessus；Sniffit；Nmap；nmap；Netcat；Tcpdump ；Snort；Saint；Ethereal；Whisker；Abacus Portsentry；DSnif；Tripwire ；Cybercop Scanner；Hping2；SARA。 tcpserver：是一个inetd类型的服务程序，它监听进入的连接请求，为要启动的服务设置各种环境变量，然后启动指定的服务。 可选项:包括综合选项、连接选项、数据集选项。 Xinetd的特点：1.支持tcp、ucp、RPC服务2.基于时间段的访问控制 3.功能完备的log功能，可以限制log文件的大小4.有效的防止DoS攻击5.可以限制同时运行的同类服务器数目6.可以限制启动的所有服务器数目7.在特定的系统端口绑定某个服务，从而实现只允许私有网络访问该服务8.可以作为其他系统的代理 。 Xinetd的默认配置文件是：/etc/xinetd.conf。 Xinetd的内部服务：（包括基于流和基于数据报的服务）有echo、time、daytime、chargen和discard。 Xinetd提供两种基于流的未列表的内部服务：服务器程序和服务。 Sudo：是一个用来允许系统管理员给予特定的普通用户（或者用户组）有限的超级用户特权，使其能够以超级用户或其他用户的身份运行一些（或者所有）命令并且记录其所有命令和参数的程序。Sudo是自由软件，以BSD风格的许可证发布。 Sudo最基本的原则是：在普通用户可以完成工作的范围内给予尽可能少的特权。Sudo以命令的方式操作，它不是shell的替代品。 Sudo的特征：1.用户在每主机上运行的命令限制。2.Sudo 对于每个命令都进行记录，可以清楚的审核谁做了什么。3.Sudo为“通行证系统“提供标记日期的文件。4.Sudo配置文件是“sudoers“。 Nessus：是一个的远程安全扫描器。它是自由软件，功能强大、更新极快、易于使用。 安全扫描器的功能是：对指定网络进行安全检查与弱点分析，确定是否有破坏者闯入或存在某种方式的误用，寻找导致对手攻击的安全漏洞。Nessus的安全检查由plug-ins插件完成。Nessus还提供描述攻击类型的脚本语言（NSSL）来进行附加的安全测试。 Sniffit：是可以在Linux、SunOS、Solaris、FreeBSD 和 IRIX平台运行的网络监听软件，主要用于监听运行TCP/IP协议的的机器以监听其不安全性。 Top：是sniffit最有名的一个插件，也称“TCP”杀手。 Nmap：是开放源码的网络探测和安全扫描工具。 Nmap的特点：1.灵活，支持多种高级探测技术，包括UDP、TCP connect、TCP SYN、ftp代理、反向标志、ICMP、FIN、ACK扫描、圣诞树(Xmas Tree)、SYN扫描和null扫描。2.强大，Nmap可以扫描拥有万台以上机器的巨型网络。3.可移植，支持绝大多数操作系统类型，Linux, Open/Free/Net BSD, Solaris, IRIX, Mac OS X, HP-UX, Sun OS。4.容易，包括通过TCP/IP协议栈特征探测操作系统类型，秘密扫描，动态延时和重传计算，并行扫描，通过并行ping扫描探测关闭的主机，诱饵扫描，避开端口过滤检测，直接RPC扫描(无须端口映射)，碎片扫描，以及灵活的目标和端口设定。5.自由，Nmap遵循GPL版权，可以免费下载修改发布。 6.良好的文档支持，有丰富的man手册、向导等帮助文档。7.技术支持，除了可以写信给作者只外还可以加入邮件列表。8.流行，每天都有成千的人下载nmap。 SSH有两个版本：ssh1和ssh2。 OpenSSH的配置数据有三种语法形式：命令行选项、用户配置文件、系统配置文件。 常用的邮件服务器： sendmail，Postfix和qmail。 qmail是一种可以完全替代Sendmail-binmail体系的新一代Unix邮件系统，较之其它邮件服务器软件具有安全、可靠、高效、简单的特点，由于支持Maildir，保证了系统在突然崩溃的情况下不至于破坏整个信箱。 因篇幅问题不能全部显示，请点此查看更多更全内容