计算机网络安全课后习题答案

2024年3月2日发(作者：我长大了作文500字)

计算机网络安全（04751）

第一章 绪论 P2

第二章 物理安全 P6

第三章 信息加密与 P9

第四章 防火墙技术 P14

第五章 入侵检测技术 P18

第六章 网络安全检测技术 P21

第七章 计算机病毒与恶意代码防范技术 P23

第八章 网络安全解决方案 P27

1

第1章 绪论

1.1.1计算机网络面临的主要威胁：

①计算机网络实体面临威胁（实体为网络中的关键设备）

②计算机网络系统面临威胁（典型安全威胁）

③恶意程序的威胁（如计算机病毒、网络蠕虫、间谍软件、木马程序）

④计算机网络威胁的潜在对手和动机（恶意攻击/非恶意）

典型的网络安全威胁：

威胁

窃听

重传

伪造

篡改

网络中传输的敏感信息被窃听

攻击者事先获得部分或全部信息，以后将此信息发送给接受者

攻击者将伪造的信息发送给接受者

攻击者对合法用户之间的通信信息进行修改、删除或插入，再发送给接受者

通过假冒、身份攻击、系统漏洞等手段，获取系统访问权，从而使非法用户进入非授权访问

网络系统读取、删除、修改或插入信息等

拒绝服务攻击

行为否认

旁路控制

电磁/射频截获

人员疏忽

攻击者通过某种方法使系统响应减慢甚至瘫痪，阻止合法用户获得服务

通信实体否认已经发生的行为

攻击者发掘系统的缺陷或安全脆弱性

攻击者从电子或机电设备所发出的无线射频或其他电磁辐射中提取信息

授权的人为利益或由于粗心将信息泄漏给未授权人

描述

1.2.1计算机网络的不安全主要因素：

（1）偶发因素：如电源故障、设备的功能失常及软件开发过程中留下的漏洞或逻辑错误等。

（2）自然灾害：各种自然灾害对计算机系统构成严重的威胁。

（3）人为因素：人为因素对计算机网络的破坏也称为人对计算机网络的攻击。

可分为几个方面：①被动攻击 ②主动攻击 ③邻近攻击 ④分发攻击 ⑤内部人员攻击

1.2.2不安全的主要原因：①互联网具有不安全性 ②操作系统存在的安全问题

③数据的安全问题 ④传输线路安全问题 ⑤网络安全管理的问题

1.3计算机网络安全的基本概念：计算机网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论和信息论等多学科的综合性学科。

1.3.1计算机网络安全的定义：计算机网络安全是指利用管理控制和技术措施，保证在一个网络环境里，信息数据的机密性、完整性及可使用性受到保护。

网络的安全问题包括两方面内容：一是网络的系统安全；二是网络的信息安全（最终目的）。

1.3.2计算机网络安全的目标：①保密性 ②完整性 ③可用性 ④可控性 ⑤不可否认性

1.3.3计算机网络安全的层次：①物理安全 ②逻辑安全 ③联网安全 ④操作系统安全

1.3.4网络安全包括三个重要部分：①先进的技术 ②严格的管理 ③威严的法律

2

1.4计算机网络安全体系结构

1.4.1网络安全基本模型：(P27图)

1.4.2 OSI安全体系结构：①术语 ②安全服务 ③安全机制

五大类安全服务，也称安全防护措施（P29）：①鉴别服务 ②数据机密性服务

③访问控制服务 ④数据完整性服务 ⑤抗抵赖性服务

对付典型网络威胁的安全服务

安全威胁

假冒攻击

非授权侵犯

窃听攻击

完整性破坏

服务否认

拒绝服务

鉴别服务

访问控制服务

数据机密性服务

数据完整性服务

抗抵赖服务

安全服务

鉴别服务、访问控制服务和数据完整性服务等

八种基本的安全机制：加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、通信业务流填充机制、路由控制和公证机制

1.4.3 PPDR模型(P30)包含四个主要部分：Policy(安全策略)、Protection(防护)、Detection(检测)和Respon(响应)。防护、检测和响应组成了一个完整的、动态的安全循环。

PPDR模型通过一些典型的数学公式来表达安全的要求：①Pt>Dt+Rt ②Et=Dt+Rt，如果Pt＝0

Pt：防护时间，入侵者攻击安全目标花费时间；

Dt：入侵开始到系统检测到入侵行为花费时间；

Rt：发现入侵到响应，并调整系统到正常状态时间；

Et：系统晨露时间；

安全的全新定义：及时的检测和响应就是安全；及时的检测和恢复就是安全；

解决安全问题的方向：提高系统的防护时间Pt，降低检测时间Dt和响应时间Rt。

1.4.4网络安全的典型技术：①物理安全措施 ②备份技术 ③审计技术 ④防病毒技术

⑤入侵检测技术 ⑥访问控制技术 ⑦终端安全技术 ⑧内外网隔离技术 ⑨安全性检

3

测技术 ⑩数据传输安全技术

1.6.1网络安全威胁的发展趋势：

① 与Internet更加紧密结合，利用一切可以利用的方式进行传播；

② 所有病毒都有混合型特征，破坏性大大增强；

③ 扩散极快，更加注重欺骗性；

④ 利用系统漏洞将成为病毒有力的传播方式；

⑤ 无线网络技术的发展，使远程网络攻击的可能性加大；

⑥ 各种境外情报、谍报人员将越来越多地通过信息网络渠道收集情况和窃取资料；

⑦ 各种病毒、蠕虫和后门技术越来越智能化，并出现整合趋势，形成混合性威胁；

⑧ 各种攻击技术的隐秘性增强，常规防范手段难以识别；

⑨ 分布式计算技术用于攻击的趋势增强，威胁高强度密码的安全性；

⑩ 一些政府部门的超级计算机资源将成为攻击者利用的跳板；

11）网络管理安全问题日益突出。

1.6.2网络安全主要实用技术的发展：①物理隔离 ②逻辑隔离 ③身份认证 ④防御网络上的病毒 ⑤防御来自网络的攻击 ⑥加密通信和虚拟专用网 ⑦入侵检测和主动防卫

⑧网管、审计和取证

 课后题：

1、计算机网络面临的典型安全威胁有哪些？

①窃听（传输中的敏感信息被窃听）②重传（事先获得部分或全部信息再发送给接收者）③伪造（伪造信息发送给接收者）④篡改（修改、删除或插入后再发送给接收者）⑤非授权访问（假冒、身份攻击、系统漏洞手段获取访问权，读取、删除、修改和插入信息）⑥拒绝服务攻击（使系统响应减慢或瘫痪，阻止合法用户获取服务）⑦行为否认（否认已经发生的行为）⑧旁路控制（发掘系统缺陷或脆弱性）⑨电磁/射频截获（无线射频或电磁辐射提取信息）⑩人员疏忽（利益或粗心泄秘）。

2、分析计算机网络的脆弱性和安全缺陷。

计算机网络是颇具诱惑力的受攻击目标，无论是个人、企业，还是政府机构，只要使用计算机网络，都会感受到网络安全问题所带来的威胁。无论是局域网还是广域网，都存在着自然和人为等诸多脆弱性和潜在威胁。计算机网络面临的主要威胁①计算机网络实体面临威胁（实体为网络中的关键设备）②计算机网络系统面临威胁（典型安全威胁）③恶意程序的威胁（如计算机病毒、网络蠕虫、间谍软件、木马程序）④计算机网络威胁的潜在对手和动机（恶意攻击/非恶意）。

一般来说，计算机网络本身的脆弱性和通信设施的脆弱性共同构成了计算机网络的潜在威胁。一方面，计算机网络的硬件和通信设施极易受自然环境和人为的物理破坏；另一方面，计算机网络的软件资源和数据信息易受到非法窃取、复制、篡改等。计算机网络的不安全主要因素和原因。计算机网络的不安全主要因素：（1）偶发因素：如电源故障、设备的功能失常及软件开发过程中留下的漏洞或逻辑错误等。（2）自然灾害：各种自然灾害对计算机系统构成严重的威胁。（3）人为因素：人为因素对计算机网络的破坏也称为人对计算机网络的攻击。可分为几个方面：①被动攻击②主动攻击③邻近攻击④内部人员攻击⑤分发攻击。不安

4

全的主要原因：①互联网具有不安全性②操作系统存在的安全问题③数据的安全问题④传输线路安全问题⑤网络安全管理的问题。

3、分析计算机网络的安全需求（P24）

计算机网络安全的基本概念：计算机网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论和信息论等多学科的综合性学科。

计算机网络安全的定义：计算机网络安全是指利用管理控制和技术措施，保证在一个网络环境里，信息数据的机密性、完整性及可使用性受到保护。

网络的安全问题包括两方面内容：一是网络的系统安全；二是网络的信息安全（最终目的）。

计算机网络安全的目标：①保密性 ②完整性 ③可用性 ④可控性 ⑤不可否认性

计算机网络安全的层次：①物理安全 ②逻辑安全 ③联网安全 ④操作系统安全

网络安全包括三个重要部分：①先进的技术 ②严格的管理 ③威严的法律

4、计算机网络安全的内涵和外延是什么？（P24）

内涵：计算机网络安全是指利用管理控制和技术措施，保证在一个网络环境里，信息数据的机密性、完整性及可使用性受到保护。

外延：从广义来说，凡是涉及网络上信息的 保密性、完整性、可用性、不可否认性和可控性的相关技术和理论都是网络安全的研究领域。网络安全的具体含义随着“角度”的变化而变化。

5、论述OSI安全体系结构（P28）

OSI安全体系结构中定义了鉴别、访问控制、数据机密性、数据完整性和抗抵赖五种网络安全服务，以及加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、通信业务流填充机制、路由控制和公证机制八种基本的安全机制。

6、简述PPDR安全模型的结构（P30）

PPDR模型包含四个主要部分：Policy(安全策略)、Protection(防护)、Detection(检测)和Respon(响应)。防护、检测和响应组成了一个完整的、动态的安全循环。

PPDR模型通过一些典型的数学公式来表达安全的要求：①Pt>Dt+Rt②Et=Dt+Rt，如果Pt＝0

Pt：防护时间，入侵者攻击安全目标花费时间；Dt：入侵开始到系统检测到入侵行为花费时间；Rt：发现入侵到响应，并调整系统到正常状态时间；Et：系统晨露时间；

及时的检测和响应就是安全；及时的检测和恢复就是安全；

提高系统的防护时间Pt，降低检测时间Dt和响应时间Rt。

7、简述计算机网络安全技术及其应用（P32）

网络安全的典型技术：①物理安全措施②数据传输安全技术③内外网隔离技术④入侵检测技术⑤访问控制技术⑥审计技术⑦安全性检测技术⑧防病毒技术⑨备份技术⑩终端安全技术

网络安全威胁的发展趋势：①与Internet更加紧密结合，利用一切可以利用的方式进行传播；②所有病毒都有混合型特征，破坏性大大增强；③扩散极快，更加注重欺骗性；④

5

利用系统漏洞将成为病毒有力的传播方式；⑤无线网络技术的发展，使远程网络攻击的可能性加大；⑥各种境外情报、谍报人员将越来越多地通过信息网络渠道收集情况和窃取资料；⑦各种病毒、蠕虫和后门技术越来越智能化，并出现整合趋势，形成混合性威胁；⑧各种攻击技术的隐秘性增强，常规防范手段难以识别；⑨分布式计算技术用于攻击的趋势增强，威胁高强度密码的安全性；⑩一些政府部门的超级计算机资源将成为攻击者利用的跳板；11）网络管理安全问题日益突出。

网络安全主要实用技术的发展①物理隔离②逻辑隔离③防御来自网络的攻击④防御网络上的病毒⑤身份认证⑥加密通信和虚拟专用网⑦入侵检测和主动防卫⑧网管、审计和取证

8、简述网络安全管理意义和主要内容（P34）

面对网络安全的的脆弱性，除了采用各种技术和完善系统的安全保密措施外，必须加强网络的安全管理，诸多的不安全因素恰恰存在于组织管理方面。据权威机构统计表明：信息安全大约60%以上的问题是由于管理造成的。也就是说，解决信息安全问题不应仅从技术方面着手，同时更应加强信息安全的管理工作。主要内容：①网络安全管理的法律法规 ②计算机网络安全评价标准 ③计算机网络安全技术发展趋势

第2章 物理安全

2.1物理安全主要包括：①机房环境安全 可控性强、损失大；内容有防火与防盗、防雷与接地、防尘与防静电，防地震。②通信线路安全 线路防窃听技术。③设备安全 防电慈辐射泄漏、防线路截获、防电磁干扰及电源保护。④电源安全 防电源供应、输电线路安全、电源稳定性。

2.1.1机房的安全等级分为三个基本类别：

A类：对计算机机房的安全有严格的要求，有完善的计算机机房安全措施。

B类：对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。

C类：对计算机机房的安全有基本的要求，有基本的计算机机房安全措施。

A类机房 要求内部装修、供配电系统、空调系统、火灾报警和消防设施、防水、防静电、防雷击、防鼠害；对防火、场地选择、防电磁泄漏有要求。

2.1.1机房安全要求（P42）和措施：

安全类别

A类机房

安全项目

场地选择

放火

内部装修

供配电系统

空调系统

火灾报警和消防设施

防水

防静电

-

-

+

+

+

+

+

+

-

-

-

-

-

-

-

-

-

-

-

-

6

B类机房 C类机房

防雷击 + -

防鼠害

防电磁泄漏

+

-

-

-

说明：+ 表示要求； - 表示有要求或增加要求q

①机房的安全要求，机房的场地，选址避免靠近公共区域，避免窗户直接邻街，机房布局应使工作区在内，生活辅助区在外；机房不要在底层或顶层。措施：保证所有进出计算机机房的人都必须在管理人员的监控之下，外来人员进入机房，要办理相关手续，并检查随身物品。

②机房的防盗要求，对重要的设备和存储媒体应采取严格的防盗措施。措施：早期采取增加质量和胶粘的防盗措施，后国外发明了一种通过光纤电缆保护重要设备的方法，一种更方便的措施类似于超市的防盗系统，视频监视系统是一种更为可靠的防盗设备，能对计算机网络系统的外围环境、操作环境进行实时的全程监控。

③机房的三度要求（温度（18-22度）、湿度（40%-60%为宜）、洁净度（要求机房尘埃颗粒直径小于0.5μm））为使机房内的三度达到规定的要求，空调系统、去湿机和除尘器是必不可少的设备。

④防静电措施：装修材料避免使用挂毯、地毯等易吸尘，易产生静电的材料，应采用乙烯材料，安装防静电地板并将设备接地。

⑤接地与防雷要求：

1.地线种类：A保护地 B 直流地 C屏蔽地 D静电地 E雷击地

2.接地系统：A各自独立的接地系统 B交、直流分开的接地系统 C共线接地系统D直流地、保护地共用地线系统 E建筑物内共地系统

3、接地体：A地桩 B水平栅网 C金属接地板 D建筑物基础钢筋

4.防雷措施，使用接闪器、引下线和接地装置吸引雷电流。机器设备应有专用地线，机房本身有避雷设备和装置。

⑥机房的防火、防水措施：为避免火灾、水灾，应采取的措施为：隔离、火灾报警系统、灭火设施（灭火器，灭火工具及辅助设备）、管理措施

2.3.1硬件设备的使用管理：

①要根据硬件设备的具体配置情况，制定切实可靠的硬件设备的操作使用规程，并严格按操作规程进行操作；

②建立设备使用情况日志，并严格登记使用过程的情况；

③建立硬件设备故障情况登记表，详细记录故障性质和修复情况；

④坚持对设备进行例行维护和保养，并指定专人负责。

2.3.2电磁辐射防护的措施：一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合；另一类是对辐射的防护，又分为两种：一种是采用各种电磁屏蔽措施，第二种是干扰的防护措施。

为提高电子设备的抗干扰能力，主要措施有①屏蔽 ②滤波 ③隔离 ④接地，其中屏蔽是应用最多的方法。

2.4.电源对用电设备安全的潜在威胁：①脉动与噪声 ②电磁干扰

7

2.4供电要求（P53），供电方式分为三类：①一类供电：需建立不间断供电系统②二类供电：需建立带备用的供电系统③三类供电：按一般用户供电考虑。

 课后题：

1、简述物理安全在计算机网络信息系统安全中的意义。

物理安全是整个计算机网络系统安全的前提。物理安全是保护计算机网络设备、设施及其他媒体免遭地震、水灾和火灾等环境事故、人为操作失误或各种计算机犯罪行为导致的破坏过程。物理安全在整个计算机网络信息系统安全中占有重要地位，也是其它安全措施得以实施并发挥正常作用的基础和前提条件。

2、物理安全主要包含哪些方面的内容？（2.1）

①机房环境安全 可控性强、损失大；内容有防火与防盗、防雷与接地、防尘与防静电，防地震。②通信线路安全 线路防窃听技术。③设备安全防电慈辐射泄漏、防线路截获、防电磁干扰及电源保护。④电源安全防电源供应、输电线路安全、电源稳定性。

3、计算机机房安全等级的划分标准是什么？（2.1.1）

机房的安全等级分为三个基本类别：

A类：对计算机机房的安全有严格的要求，有完善的计算机机房安全措施。

B类：对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。

C类：对计算机机房的安全有基本的要求，有基本的计算机机房安全措施。

A类机房 要求内部装修、供配电系统、空调系统、火灾报警和消防设施、防水、防静电、防雷击、防鼠害；对防火、场地选择、防电磁泄漏有要求。

4、计算机机房安全技术主要包含哪些方面的内容？（2.1.1）

机房安全要求（P42）和措施：

①机房的场地，选址避免靠近公共区域，避免窗户直接邻街，机房布局应使工作区在内，生活辅助区在外；机房不要在底层或顶层。措施：保证所有进出计算机机房的人都必须在管理人员的监控之下，外来人员进入机房，要办理相关手续，并检查随身物品。

②机房的防盗要求，对重要的设备和存储媒体应采取严格的防盗措施。措施：早期采取增加质量和胶粘的防盗措施，后国外发明了一种通过光纤电缆保护重要设备的方法，一种更方便的措施类似于超市的防盗系统，视频监视系统是一种更为可靠的防盗设备，能对计算机网络系统的外围环境、操作环境进行实时的全程监控。

③机房的三度要求（温度（18-22度）、湿度（40%-60%为宜）、洁净度（要求机房尘埃颗粒直径小于0.5μm））为使机房内的三度达到规定的要求，空调系统、去湿机和除尘器是必不可少的设备。

④防静电措施：装修材料避免使用挂毯、地毯等易吸尘，易产生静电的材料，应采用乙烯材料，安装防静电地板并将设备接地。

⑤接地与防雷要求：1.地线种类：A保护地B直流地C屏蔽地D静电地E雷击地2.接地系统：A各自独立的接地系统B交、直流分开的接地系统C共线接地系统D直流地、保护地

8

共用地线系统E建筑物内共地系统3、接地体：A地桩B水平栅网C金属接地板D建筑物基础钢筋4.防雷措施，使用接闪器、引下线和接地装置吸引雷电流。机器设备应有专用地线，机房本身有避雷设备和装置。

⑥机房的防火、防水措施：为避免火灾、水灾，应采取的措施为：隔离、火灾报警系统、灭火设施（灭火器，灭火工具及辅助设备）、管理措施

5、保障通信线路安全技术的主要技术措施有哪些？

①电缆加压技术②对光纤等通信线路的防窃听技术（距离大于最大长度限制的系统之间，不采用光纤线通信；加强复制器的安全，如用加压电缆、警报系统和加强警卫等措施）

6、电磁辐射对网络通信安全的影响主要体现在哪些方面，防护措施有哪些？

影响主要体现在：计算机系统可能会通过电磁辐射使信息被截获而失密，计算机系统中数据信息在空间中扩散。

防护措施：一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合；另一类是对辐射的防护，又分为两种：一种是采用各种电磁屏蔽措施，第二种是干扰的防护措施。为提高电子设备的抗干扰能力，主要措施有①屏蔽②滤波③隔离④接地，其中屏蔽是应用最多的方法。

电磁防护层主要是通过上述种种措施，提高计算机的电磁兼容性，提高设备的抗干扰能力，使计算机能抵抗强电磁干扰，同时将计算机的电磁泄漏发射降到最低，使之不致将有用的信息泄漏出去。

7、保障信息存储安全的主要措施有哪些？（Ｐ52）

①存放数据的盘，应妥善保管；②对硬盘上的数据，要建立有效的级别、权限，并严格管理，必要时加密，以确保数据的安全；③存放数据的盘，管理须落实到人，并登记；④对存放重要数据的盘，要备份两份并分两处保管；⑤打印有业务数据的打印纸，要视同档案进行管理；⑥凡超过数据保存期的，须经过特殊的数据清除处理；⑦凡不能正常记录数据的盘，需经测试确认后由专人进行销毁，并做好登记；⑧对需要长期保存的有效数据，应质量保证期内进行转存，并保证转存内容正确。

8、简述各类计算机机房对电源系统的要求。（Ｐ53）

电源系统安全应该注意电源电流或电压的波动可能会对计算机网络系统造成的危害。

Ａ、Ｂ类安全机房要求，C类安全机房要求。

第3章 信息加密与PKI

信息加密技术是利用密码学的原理与方法对传输数据提供保护的手段，它以数学计算为基础，信息论和复杂性理论是其两个重要组成部分。

3.1.1密码学的发展历程大致经历了三个阶段：古代加密方法、古典密码和近代密码。

3.1.2密码学的基本概念：密码学作为数学的一个分支，是研究信息系统安全保密的科

9

学，是密码编码学和密码分析学的统称。

在密码学中，有一个五元组：明文，密文，密钥，加密算法，解密算法，对应的加密方案称为密码体制。

明文（Plaintext）：是作为加密输入的原始信息，即消息的原始形式，通常用m或p表示。所有可能明文的有限集称为明文空间，通常用M或P来表示。

密文（Ciphertext）：是明文经加密变换后的结果，即消息被加密处理后的形式，通常用c表示。所有可能密文的有限集称为密文空间，通常用C表示。

密钥（Key）：是参与密码变换的参数，通常用k表示。一切可能的密钥构成的有限集称为密钥空间，通常用K表示。

加密算法（Encryption Algorithm）：是将明文变换为密文的变换函数，相应的变换过程称为加密，即编码的过程，通常用E表示，即c=Ek（p）

解密算法（Decryption Algorithm）：是将密文恢复为明文的变换函数，相应的变换过程称为解密，即解码的过程，通常用D表示，即p=Dk（c）

对于有实用意义的密码体制而言，总是要求它满足： p=Dk（Ek（p）），即用加密算法得到的密文总是能用一定的解密算法恢复出原始的明文。

3.1.3加密体制的分类：从原理上可分为两大类：即单钥或对称密码体制和双钥或非对称密码体制

单钥密码体制与双钥密码体制的区别：

单钥密码体制的本质特征是所用的加密密钥和解密密钥相同，或实质上等同，从一个可以推出另一个。单钥密码的特点是无论加密还是解密都使用同一个密钥，因此，此密码体制的安全性就是密钥的安全。如果密钥泄露，则此密码系统便被攻破。最有影响的单钥密码是1977年美国国家标准局颁布的DES算法。按照加密模式的差异，单钥密码体制有序列密码和分组密码两种方式，它不仅可用于数据加密，还可用于消息认证。单钥密码的优点是：安全保密度高，加密解密速度快。缺点是：1）密钥分发过程十分复杂，所花代价高；2）多人通信时密钥组合的数量会出现爆炸性膨胀，使分发更加复杂化；3）通信双方必须统一密钥，才能发送保密的信息；4）数字签名困难。

双钥密码体制的原理是，加密密钥与解密密钥不同，而且从一个难以推出另一个。两个密钥形成一个密钥对，其中一个密钥加密的结果，可以用另一个密钥来解密。双钥密码是：1976年和an提出的一种新型密码体制。优点：由于双钥密码体制的加密和解密不同，可以公开加密密钥，且仅需保密解密密钥，所以密钥管理问题比较简单。双钥密码还有一个优点是可以用于数字签名等新功能。最有名的双钥密码体系是：1977年由Rivest，Shamir和Ad1eman人提出的RSA密码体制。双钥密码的缺点是：双钥密码算法一般比较复杂，加解密速度慢。

3.2加密算法就其发展而言，共经历了古典密码、对称密钥密码（单钥密码体制）和公开密钥密码（双钥密码体制）三个发展阶段。

3.2.1古典密码算法（P64）：①简单代替密码或单字母密码 ②多名或同音代替

③多表代替 ④多字母或多码代替。现代密码按照使用密钥方式不同，分为单钥密码体制和双钥密码体制两类。

10

3.2.2数据加密标准DES、国际数据加密算法IDEA、RSA加密算法的基本原理；（P66）

3.3常见的网络数据加密方式有：链路加密、节点加密和端到端加密。

3.4.1认证技术的分层模型（P77图）认证技术可以分为三个层次：安全管理协议、认证体制和密码体制。

认证的三个目的：一是消息完整性认证，即验证信息在传送或存储过程中是否被篡改；二是身份认证，即验证消息的收发者是否持有正确的身份认证符；三是消息的序号和操作时间等的认证，其目的是防止消息重放或延迟等攻击。

3.4.2认证体制应满足的条件（要求）：

①意定的接收者能够检验和证实消息的合法性、真实性和完整性；

②消息的发送者对所发的消息不能抵赖，有时也要求消息的接收者不能否认收到的消息；

③除了合法的消息发送者外，其他人不能伪造发送消息。

3.4.3手写签名与数字签名的区别：一是手写签名是不变的，而数字签名对不同的消息是不同的，即手写签名因人而异，数字签名因消息而异；二是手写签名是易被模拟的，无论哪种文字的手写签名，伪造者都容易模仿，而数字签名是在密钥控制下产生的，在没有密钥的情况下，模仿者几乎无法模仿出数字签名。

3.4.6数字签名与消息认证的区别：消息认证可以帮助接收方验证消息发送者的身份及消息是否被篡改。当收发者之间没有利害冲突时，这种方式对防止第三者破坏是有效的，但当存在利害冲突时，单纯采用消息认证技术就无法解决纠纷，这时就需要借助于数字签名技术来辅助进行更有效的消息认证。

3.5.1PKI的基本概念：PKI是一个用公钥密码算法原理和技术来提供安全服务的通用型基础平台，用户可利用PKI平台提供的安全服务进行安全通信。PKI采用标准的密钥管理规则，能够为所有应用透明地提供采用加密和数字签名等密码服务所需要的密钥和证书管理。

PKI特点：①节省费用 ②互操作性 ③开放性 ④一致的解决方案 ⑤可验证性 ⑥可选择性

3.5.2 PKI认证技术的组成：主要有认证机构CA、证书库、密钥备份、证书作废处理系统和PKI应用接口系统等。①认证机构CA ②证书库 ③证书撤销 ④密钥备份和恢复

⑤自动更新密钥 ⑥密钥历史档案 ⑦交叉认证 ⑧不可否认性 ⑨时间戳 ⑩客户端软件

11

3.6 PGP和GnuPG是两个常用的公钥加密软件，PGP软件由于采用了专利算法受到美国政府的软件出口限制，GnuPG作为PGP的代替软件，属于开源免费软件，可以自由使用。

 课后题：

1、简述信息加密技术对于保障信息安全的重要作用。

加密技术是保障信息安全的基石，它以很小的代价，对信息一种强有力的安全保护。长期以来，密码技术被广泛应用于政治、经济、军事、外交、情报等重要部门。近年来，随着计算机网络和通信技术的发展，密码学得到了前所未有的重视并迅速普及，同时其应用领域也广为拓展。如今，密码技术不仅服务于信息的加密和解密，还是身份认证、访问控制及数字签名等多种安全机制的基础。

2、简述加密技术的基本原理，并指出有哪些常用的加密体制及其代表算法。

信息加密技术是利用密码学的原理与方法对传输数据提供保护的手段，它以数学计算为基础，信息论和复杂性理论是其两个重要组成部分。加密体制的分类：从原理上可分为两大类：即单钥或对称密码体制（代表算法：DES算法，IDEA算法）和双钥或非对称密码体制（代表算法：RSA算示，ElGamal算法）。

3、试分析古典密码对于构造现代密码有哪些启示？（P64）

古典密码大都比较简单，可用手工或机械操作实现加解密，虽然现在很少采用，但研究这些密码算法的原理，对于理解、构造和分析现代密码是十分有益的。古典密码算法主要有代码加密、代替加密、变位加密和一次性密码簿加密等几种算法。…….

4、选择凯撒（Caesar）密码系统的密钥k=6。若明文为caesar，密文是什么。密文应为：igkygx

abcdefghijklmnopqrstuvwxyz

5、DES加密过程有几个基本步骤？试分析其安全性能。

加密过程可表示为：DES(m)IP-1•T16•T15……T2•T1•IP(m)

①初始转换IP及其逆初始置换IP-1②乘积变换③选择扩展运算、选择压缩运算和转换运算

DES安全性分析：DES的出现是密码学上的一个创举，由于其公开了密码体制及其设计细节，因此其安全性完全依赖于其所用的密钥，关于DES学术界普遍印象是密钥仅有56bit有点偏短。

6、在本章RSA例子的基础上，试给出m=student的加解密过程。（P72）

abcdefghijk(10) lmnopqrstu(20) vwxyz

m的十进制编码为18 19 20 03 04 13 19;

互素——若两个整数的最大公因数是1，则称这两个整数互质（互素）。

设p=3, q=11;产生两个大素数，保密的

则 计算n和φ(n) 保密的

n=3X11

φ(n)=(p-1)(q-1)=2X10

选择一个随机数，要求0

且通过计算得出d,de≡1 mod φ(n)(与n互素的数中选取与φ(n)互素的数 可通过

12

Eucliden 算法得出。是保密的，用于解密)

取e=3，0<3<20 (3,20)=1

则d=7;7X3=1 mod 20

将n=33和e=3公开；

m加密为 对m进行加密变换，E(m)=m~e mod n=c

E(s)=18~3=24 mod 33

E(t)=19~3=28 mod 33

E(u)=20~3=14 mod 33

E(d)=3~3=27 mod 33

E(e)=4~3=31 mod 33

E(n)=13~3=19 mod 33

E(t)=19~3=28 mod 33

c=E(m)=24 28 14 27 31 19 28 它对应的密文为c=y*o**t*

c解密为 对c进行解密变换 D(c)=c~d mod n=(m~e mod n)~d mod n=m~ed mod n=m mod

n

D(y)=24~7=18 mod 33

D(*)=28~7=19 mod 33

D(O)=14~7=20 mod 33

D(*)=27~7=03 mod 33

D(*)=31~7=04 mod 33

D(t)=19~7=13 mod 33

D(*)=28~7=19 mod 33

则还原明文为m=18 19 20 03 04 13 19 即student

7、RSA签名方法与RSA加密方法对密钥的使用有什么不同？（P74）

RSA加密方法是在多个密钥中选用一部分密钥作为加密密钥，另一些作为解密密钥。RSA签名方法：如有k1/k2/k3三个密钥，可将k1作为A的签名私密钥，k2作为B的签名私密钥，k3作为公开的验证签名用密钥，实现这种多签名体制，需要一个可信赖中心对A和B分配秘密签名密钥。

8、试简述解决网络数据加密的三种方式。（P75）

常见的网络数据加密方式有：①链路加密：对网络中两个相邻节点之间传输的数据进行加密保护。②节点加密：指在信息传输路过的节点处进行解密和加密。③端到端加密：指对一对用户之间的数据连续的提供保护。

9、认证的目的是什么，试简述其相互间的区别。（P77）

认证的三个目的：一是消息完整性认证，即验证信息在传送或存储过程中是否被篡改；二是身份认证，即验证消息的收发者是否持有正确的身份认证符；三是消息的序号和操作时间等的认证，其目的是防止消息重放或延迟等攻击。

10、什么是PKI？其用途有哪些？（P83）

PKI是一个用公钥密码算法原理和技术来提供安全服务的通用型基础平台，用户可利用

13

PKI平台提供的安全服务进行安全通信。PKI采用标准的密钥管理规则，能够为所有应用透明地提供采用加密和数字签名等密码服务所需要的密钥和证书管理。

11、简述PKI的功能模块组成。

主要包括认证机构CA、证书库、密钥备份、证书作废处理系统和PKI应用接口系统等。①认证机构CA②证书库③证书撤销④密钥备份和恢复⑤自动更新密钥⑥密钥历史档案⑦交叉认证⑧不可否认性⑨时间戳⑩客户端软件

12、通过学习，你认为密码技术在网络安全实践中还有哪些应用领域？举例说明。（P76）

加密技术在其它领域也经常发挥作用，如电子商务和VPN。（P76）

第４章 防火墙技术

4.1.1防火墙的基本概念：是位于被保护网络和外部网络之间执行访问控制策略的一个或一组系统，包括硬件和软件，它构成一道屏障，以防止发生对被保护网络的不可预测的、潜在破坏性的侵扰。

4.1.2防火墙的主要功能：

① 过滤进、出网络的数据

② 管理进、出网络的访问行为

③ 封堵某些禁止的业务

④ 记录通过防火墙的信息和内容

⑤ 对网络攻击检测和告警

4.1.3防火墙的局限性：

① 网络的安全性通常是以网络服务的开放性和灵活性为代价

② 防火墙只是整个网络安全防护体系的一部分，而且防火墙并非万无一失。

4.2防火墙的体系结构：双重宿主主机体系结构；屏蔽主机体系结构；屏蔽子网体系结构。（图见P106）

4.3防火墙可以分为网络层防火墙和应用层防火墙，这两类防火墙的具体实现技术主要有包过滤技术、代理服务技术、状态检测技术和NAT技术等。

4.3.1包过滤技术的工作原理（P110）：工作在网络层，通常基于IP数据包的源地址、目的地址、源端口和目的端口进行过滤。包过滤技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制列表。通过检查数据流中每个数据包的源地址、目的地址、所用的端口号和协议状态等因素或它们的组合，来确定是否允许该数据包通过。

4.3.1包过滤技术的缺陷：①不能彻底防止地址欺骗 ②无法执行某些安全策略

③安全性较差 ④一些应用协议不适合于数据包过滤 ⑤管理功能弱

4.3.2代理服务技术(Proxy)是一种较新型的防火墙技术，它分为应用层网关和电路层网关。

4.3.2代理服务技术的工作原理（P116）：所谓代理服务器，是指代表客户处理连接请求的程序。当代理服务器得到一个客户的连接意图时，它将核实客户请求，并用特定的安全

14

化的proxy应用程序来处理连接请求，将处理后的请求传递到真实的服务器上，然后接受服务器应答，并进行下一步处理后，将答复交给发出请求的最终客户。代理服务器在外部网络向内部网络申请服务时发挥了中间转接和隔离内、外部网络的作用，所以又叫代理防火墙。代理防火墙工作于应用层，且针对特定的应用层协议。

4.3.2代理技术的优点：①代理易于配置 ②代理能生成各项记录 ③代理能灵活、完全地控制进出流量、内容 ④代理能过滤数据内容 ⑤代理能为用户提供透明的加密机制

⑥代理可以方便地与其它安全手段集成。

4.3.2代理技术的缺点：①代理速度较路由器慢 ②代理对用户不透明 ③对每项服务代理可能要求不同的服务器 ④代理服务不能保证免受所有协议弱点的限制 ⑤代理不能改进底层协议的安全性。

4.3.3状态检测技术的工作原理（P119）：也称为动态包过滤防火墙。基于状态检测技术的防火墙通过一个在网关处执行网络安全策略的检测引擎而获得非常好的安全特性，检测引擎在不影响网络正常运行的前提下，采用抽取有关数据的方法对网络通信的各层实施检测，并将抽取的状态信息动态地保存起来作为以后执行安全策略的参考。状态检测防火墙监视和跟踪每一个有效连接的状态，并根据这些信息决定是否允许网络数据包通过防火墙。

4.3.3状态检测技术的特点：①高安全性②高效性③可伸缩性和易扩展性④应用范围广

4.3.4 NAT技术的工作原理（P121）：网络地址转换，是一个internet工程任务组的标准，允许一个整体机构以一个公用IP地址出现在互联网上。即是一种把内部私有IP地址翻译成合法网络IP地址的技术。NAT有三种类型：静态NAT、动态NAT和网络地址端口转换NAPT。

4.6.2个人防火墙的主要功能：①IP数据包过滤功能 ②安全规则的修订功能 ③对特定网络攻击数据包的拦截功能 ④应用程序网络访问控制功能 ⑤网络快速切断、恢复功能

⑥日志记录功能 ⑦网络攻击的报警功能 ⑧产品自身安全功能

4.6.3个人防火墙的特点：

优点：①增加了保护级别，不需要额外的硬件资源；

②除了可以抵挡外来攻击的同时，还可以抵挡内部的攻击；

③是对公共网络中的单位系统提供了保护，能够为用户隐蔽暴露在网络上的信息，比如IP地址之类的信息等。

缺点：①对公共网络只有一个物理接口，导致个人防火墙本身容易受到威胁；

②在运行时需要占用个人计算机的内存、CPU时间等资源；

③只能对单机提供保护，不能保护网络系统。

4.7防火墙的发展趋势（P142）：①优良的性能 ②可扩展的结构和功能 ③简化的安装与管理 ④主动过滤 ⑤防病毒与防黑客 ⑥发展联动技术

 课后题：

1、简述防火墙的定义。（P103）

4.1.1防火墙的基本概念：是位于被保护网络和外部网络之间执行访问控制策略的一个或一组系统，包括硬件和软件，它构成一道屏障，以防止发生对被保护网络的不可预测的、潜在破坏性的侵扰。

15

2、防火墙的主要功能。（P135）

4.1.2防火墙的主要功能：①过滤进、出网络的数据②管理进、出网络的访问行为③封堵某些禁止的业务④记录通过防火墙的信息和内容⑤对网络攻击检测和告警

3、防火墙的体系结构有哪几种？简述各自的特点。（P106）

防火墙的体系结构：双重宿主主机体系结构；屏蔽主机体系结构；屏蔽子网体系结构。

双重宿主主机体系结构是围绕具有双重宿主的主机计算机而构筑的，该计算机至少有两个网络接口，这样的主机可以充当与这些接口相连的网络之间的路由器，它能够从一个网络往另一个网络发送数据包。

双重宿主主机体系结构是由一台同时连接在内外部网络的双重宿主主机提供安全保障的，而被屏蔽主机体系结构则不同，在屏蔽主机体系结构中，提供安全保护的主机仅仅与被保护的内部网络相连.

屏蔽子网体系结构添加额外的安全层到屏蔽主机体系结构，即通过添加周边网络更进一步地把内部网络与Internet隔离开。

4、简述包过滤防火墙的工作机制和包过滤模型。（P110，P111图）

包过滤型防火墙一般有一个包检查模块，可以根据数据包头中的各项信息来控制站点与站点、站点与网络、网络与网络之间的相互访问，但不能控制传输的数据内容，因为内容是应用层数据。包过滤模型P111

TCP/IP 与过滤规则匹配 审计 转发包 丢弃包

5、简述包过滤的工作过程。（P112）

源地址 目的地址 协议类型 源端口 目的端口 ICMP消息类型

不让外用TELNET登陆 允许SMTP往内部发邮件 允许NNTP往内部发新闻

不能识别用户信息 不能识别文件信息 可以提供整个网络保护

6、简述代理防火墙的工作原理，并阐述代理技术的优缺点。（P116）

所谓代理服务器，是指代表客户处理连接请求的程序。当代理服务器得到一个客户的连接意图时，它将核实客户请求，并用特定的安全化的proxy应用程序来处理连接请求，将处理后的请求传递到真实的服务器上，然后接受服务器应答，并进行下一步处理后，将答复交给发出请求的最终客户。代理服务器在外部网络向内部网络申请服务时发挥了中间转接和隔离内、外部网络的作用，所以又叫代理防火墙。代理防火墙工作于应用层，且针对特定的应用层协议。

优点：①代理易于配置②代理能生成各项记录③代理能灵活、完全地控制进出流量、内容④代理能过滤数据内容⑤代理能为用户提供透明的加密机制⑥代理可以方便地与其他安全手段集成

缺点：①代理速度较路由器慢②代理对用户不透明③对于每项服务代理可能要求不同的服务器④代理服务不能保证免受所有协议弱点的限制⑤代理不能改进底层协议的安全性

7、简述状态检测防火墙的特点。（P120）

状态检测防火墙结合了包过滤防火墙和代理服务器防火墙的长处，克服了两者的不足，能够根据协议、端口，以及源地址、目的地址的具体情况决定数据包是否允许通过。优点：①高安全性②高效性③可伸缩性和易扩展性④应用范围广。不足：对大量状态信息的处理过

16

程可能会造成网络连接的某种迟滞。

8、简述NAT技术的工作原理（P121）

4.3.4NAT技术的工作原理（P121）：网络地址转换，是一个internet工程任务组的标准，允许一个整体机构以一个公用IP地址出现在互联网上。即是一种把内部私有IP地址翻译成合法网络IP地址的技术。NAT有三种类型：静态NAT、动态NAT和网络地址端口转换NAPT。

9、试描述攻击者用于发现和侦察防火墙的典型技巧。（P122）

攻击者往往通过发掘信任关系和最薄弱环节上的安全脆弱点来绕过防火墙，或者经由拔号帐号实施攻击来避开防火墙。典型技巧：①用获取防火墙标识进行攻击。凭借端口扫描和标识获取等技巧，攻击者能有效地确定目标网络上几乎每个防火墙的类型、版本和规则。②穿透防火墙进行扫描。利用原始分组传送进行穿透防火墙扫描和利用源端口扫描进行穿透防火墙扫描。③利用分组过滤的脆弱点进行攻击。利用ACL规则设计不完善的防火墙，允许某些分组不受约束的通过。④利用应用代理的脆弱点进行攻击。

10、若把网络卫士防火墙3000部署在本单位网络出口处，试给出其应用配置。（P129）

①配置防火墙接口地址

ifconfig eth0 ip ip

ifconfig eth2:0 ip ip

ifconfig eth2:1 ip ip

②设置路由表

route add ip ip eth0

route add ip ip

route add ip ip eth2:0

route add ip ip ip

route add default ip

③指定防火墙接口属性

fwip add eth0 ip o

fwip add eth1 ip s

fwip add eth2:0 ip i

④配置域名服务器

dns //按提示输入所在域及域名服务器

⑤透明设置

Settrans eth0 eth1 on

Settrans eth0 eth2:1 on

⑥增加用户

addur 输入用户名 口令 绑定的IP 用户属性

⑦NAT配置⑧反向NAT配置⑨访问规则配置

11、简述个人防火墙的特点。（P136 4.6.3）

4.6.2个人防火墙的主要功能：①IP数据包过滤功能②安全规则的修订功能③对特定网

17

络攻击数据包的拦截功能④应用程序网络访问控制功能⑤网络快速切断、恢复功能⑥日志记录功能⑦网络攻击的报警功能⑧产品自身安全功能

4.6.3个人防火墙的特点：优点：①增加了保护级别，不需要额外的硬件资源；②除了可以抵挡外来攻击的同时，还可以抵挡内部的攻击；③是对公共网络中的单位系统提供了保护，能够为用户隐蔽暴露在网络上的信息，比如IP地址之类的信息等。缺点：①对公共网络只有一个物理接口，导致个人防火墙本身容易受到威胁；②在运行时需要占用个人计算机的内存、CPU时间等资源；③只能对单机提供保护，不能保护网络系统。

12、简述防火墙的发展动态和趋势。（P141）

防火墙的发展动态：防火墙有许多防范功能，但由于互联网的开放性，它也有一些力不能及的地方，主要表现在以下方面：①防火墙不能防范不经由防火墙的攻击。②防火墙目前还不能防止感染了病毒的软件或文件的传输，这只能在每台主机上安装反病毒软件。③防火墙不能防止数据驱动式攻击。④另外，防火墙还存在着安装、管理、配置复杂的缺点，在高流量的网络中，防火墙还容易成为网络的瓶颈。

防火墙的发展趋势：①优良的性能②可扩展的结构和功能③简化的安装与管理④主动过滤⑤防病毒与防黑客⑥发展联动技术。

第5章 入侵检测技术

5.1.1入侵检测的原理（P148图）：通过监视受保护系统的状态和活动，采用误用检测或异常检测的方式，发现非授权或恶意的系统及网络行为，为防范入侵行为提供有效的手段。

5.1.2入侵检测的系统结构组成（P148图）：从系统构成上看，入侵检测系统应包括数据提取、入侵分析、响应处理和远程管理四大部分。

5.1.3入侵检测系统的分类（P149）：

①基于数据源的分类：按数据源所处的位置，把入侵检测系统分为五类：即基于主机、基于网络、混合入侵检测、基于网关的入侵检测系统及文件完整性检查系统；

②基于检测理论分类，可分为异常检测和误用检测；

③基于检测时效的分类，可分为离线检测方式（采取批处理方式）和在线检测方式（实时检测）。

5.2.1入侵检测分析模型：分析是入侵检测的核心功能，一般的，入侵检测分析处理过程可分为三个阶段：构建分析器，对实际现场数据进行分析，反馈和提炼过程。其中，前两个阶段都包含三个功能，即数据处理、数据分类（数据可分为入侵指示、非入侵指示或不确定）和后处理。

5.2.2误用检测（P153）：误用检测是按照预定模式搜寻事件数据的，最适用于对已知模式的可靠检测。执行误用检测，主要依赖于可靠的用户活动记录和分析事件的方法。分为：①条件概率预测法 ②产生式/专家系统 ③状态转换方法④用于批模式分析的信息检索技术⑤Keystroke Monitor和基于模型的方法。

5.2.3异常检测（P156）：异常检测基于一个假定：用户的行为是可预测的、遵循一致性模式的，且随着用户事件的增加，异常检测会适应用户行为的变化。用户行为的特征轮廓

18

在异常检测中是由度量集来描述的。分为 ①Denning的原始模型 ②量化分析 ③统计度量④非参数统计度量 ⑤基于规则的方法

5.3.1分布式入侵检测的优势（P163）：分布式入侵检测由于采用了非集中的系统结构和处理方式，相对于传统的单机IDS具有一些明显的优势：①检测大范围的攻击行为 ②提高检测的准确度 ③提高检测效率 ④协调响应措施

5.3.2分布式入侵检测的技术难点（P164）：①事件产生及存储 ②状态空间管理及规则复杂度 ③知识库管理 ④推理技术

5.4入侵检测系统的标准（P166）：①IETF/IDWG。IDWG定义了用于入侵检测与响应系统之间或与需要交互的管理系统之间的信息共享所需要的数据格式和交换规程。IDWG提出了三项建议草案：入侵检测消息交换格式（IDMEF）、入侵检测交换协议（IDXP）及隧道轮廓（Tunnel Profile） ②CIDF。CIDF的工作集中体现在四个方面：IDS的体系结构、通信机制、描述语言和应用编程接口API。

5.4.2 CIDF的体系结构组成（P169图）：分为四个基本组件：事件产生器、事件分析器、响应单元和事件数据库。事件产生器、事件分析器、响应单元通常以应用程序的形式出现，而事件数据库则是以文件或数据流的形式。

 课后题：

1、简述入侵检测系统的基本原理。（5.1.1）

5.1.1入侵检测的原理（P148图）：通过监视受保护系统的状态和活动，采用误用检测或异常检测的方式，发现非授权或恶意的系统及网络行为，为防范入侵行为提供有效的手段。

2、简述误用检测技术的实现。（5.2.2）

5.2.2误用检测（P153）：误用检测是按照预定模式搜寻事件数据的，最适用于对已知模式的可靠检测。执行误用检测，主要依赖于可靠的用户活动记录和分析事件的方法。分为①条件概率预测法②产生式/专家系统③状态转换方法④用于批模式分析的信息检索技术⑤Keystroke Monitor和基于模型的方法。

3、简述异常检测技术的实现。（5.2.3）

5.2.3异常检测（P156）：异常检测基于一个假定：用户的行为是可预测的、遵循一致性模式的，且随着用户事件的增加，异常检测会适应用户行为的变化。用户行为的特征轮廓在异常检测中是由试题集来描述的。分为①Denning的原始模型②量化分析③统计度量④非参数统计度量⑤基于规则的方法

4、简述入侵检测技术当前的研究热点。（P164）（不知对不对）

尽管分布式入侵检测存在技术和其他层面的难点 ，但由于其相对于传统的单机IDS所具有的优势，目前已经成为这一领域的研究热点。研究现状如下：①Snortnet②Agent-Bad③DIDS④GrIDS⑤Intrusion Strategy⑥数据融合⑦基于抽象的方法

5、试指出分布式入侵检测技术的优势和劣势。（5.3.1）

5.3.1分布式入侵检测的优势（P163）：分布式入侵检测由于采用了非集中的系统结构和处理方式，相对于传统的单机IDS具有一些明显的优势：①检测大范围的攻击行为②提高检测的准确度③提高检测效率④协调响应措施

5.3.2分布式入侵检测的技术难点（P164）：①事件产生及存储②状态空间管理及规则

19

复杂度③知识库管理④推理技术

6、你认为入侵检测的标准化工作对于当前入侵检测的研究有什么帮助。

DARPA和IETF的入侵检测工作组发起制定了一系列建议草案，从体系结构、API、通信机制和语言格式等方面来规范IDS的标准，此标准化工作可提高IDS产品、组件及与其他安全产品之间的互操作性。

7、上网查找相关资料，整理并分析当前主流入侵检测产品的技术性能指标。

公司的NetRanger

NetRanger以其高性能而闻名，而且它还非常易于裁剪。控制器程序可以综合多站点的信息并监视散布在整个企业网上的攻击。NetRanger的最大名声在于其是针对企业而设计的。路径备份(Path-doubling)功能。如果一条路径断掉了，信息可以从备份路径上传过来。它甚至能做到从一个点上监测全网或把监测权转给第三方。检测问题时不仅观察单个包的内容，而且还看上下文，即从多个包中得到线索。不足。它被设计为集成在OpenView或NetView下，在网络运行中心(NOC)使用，其配置需要对Unix有详细的了解。NetRanger相对较昂贵，这对于一般的局域网来讲未必很适合。

k Associates公司的CyberCop

CyberCop基本上可以认为是NetRanger的局域网管理员版。CyberCop被设计成一个网络应用程序，它预设了6种通常的配置模式:Windows NT和Unix的混合子网、Unix子网、NT子网、远程访问、前沿网(如Internet的接入系统)和骨干网。它没有Netware的配置。前端设计成浏览器方式主要是考虑易于使用， CyberCop还能生成可以被 Sniffer识别的踪迹文件。

et Security System公司的RealSecure

优势在于其简洁性和低价格。引擎部分负责监测信息包并生成告警，控制台接收报警并作为配置及产生数据库报告的中心点。两部分都可以在NT、Solaris、SunOS和Linux上运行，并可以在混合的操作系统或匹配的操作系统环境下使用。它们都能在商用微机上运行。

ion Detection公司的Kane Security Monitor

三部分组成，即一个审计器、一个控制台和代理。代理用来浏览NT的日志并将统计结果送往审计器。系统安全员用控制台的GUI界面来接收告警、查看历史记录以及系统的实时行为。KSM在TCP/IP监测方面特别强。

8、简述Snort是如何检测分布式拒绝服务攻击的，并在局域网内进行实验验证。（P171）

SNORT由数据包捕获和解码、检测引擎及日志和报警三个子系统组成；

数据包捕获和解码子系统捕获传输数据 TCP/IP协议 解析 LIBPCAP库函数采集数据

NIDS实现 SNORT可处理以太网 令牌环及SLIP等链路的数据包；

检测引擎 已知攻击方法以规则形式存放规则库中，每一条规则由规则头和规则选项组成，规则头对应规则树结点RTN 包含动作、协议、源目的地址和端口及数据流向；规则选项对应规则选项结点OTN 包含报警信息和匹配信息；

SNORT捕获一个数据包时，分析数据包协议，决定与某个规则树匹配，与RTN结点依次

20

匹配，相配后，往下与OTN结点匹配，相配时，判断此数据包为攻击数据包。

日志和报警子系统

9、针对入侵检测在实际应用中面临的困难，提出几种可能的解决方案。（P164）

Snort入侵检测实用解决方案

网站入侵与脚本攻防修炼

第1章 网站脚本入侵与防范概述.

第2章 SQL注入, 刺入网站的核心

第3章 深入SQL注入攻击与防范

第4章 未隐藏的危机——数据库入侵

第5章 程序员的疏忽, 过分信任上传

第6章 入门牌的泄露与欺骗——Cookie攻击

第7章 网站成帮凶, 嫁祸攻击的跨站技术

第8章 打造安全的网站服务器

10、若构建一个基于入侵检测技术和防火墙技术的联动安全系统，你是如何考虑的？（不知对不对）

在安全实践中，部署入侵检测系统是一项较为烦琐的工作，需要从三个方面对入侵检测进行改进，即突破检测速度瓶颈制约，适应网络通信需求；降低漏报和误报，提高其安全性和准确度；提高系统互动性勇，增强全系统的安全性能。

第6章 网络安全检测技术

6.1安全威胁的概念：安全威胁是指所有能够对计算机网络信息系统的网络服务和网络信息的机密性、可用性和完整性产生阻碍、破坏或中断的各种因素。可分为人为安全威胁和非人为安全威胁两大类。

6.1.1网络安全漏洞威胁等级的划分方法：可按风险等级进行归类（P181图）

严重度

低严重度：漏洞难以利用，并且潜在的损失较少

中等严重度：漏洞难以利用，但是潜在的损失较大，或者漏洞易于利用，但是潜在的损失较少

高严重度：漏洞易于利用，并且潜在的损失较大

等级

1

影响度

低影响度：漏洞的影响较低，不会产生连带的其他安全漏洞

中等影响度：漏洞可能影响系统的一个或多个模2

块，该漏洞的利用可能会导致其他漏洞可利用

3

高影响度：漏洞影响系统的大部分模块，并且该漏洞的利用显著增加其他漏洞的可利用性

6.1.2网络安全漏洞的分类：漏洞的分类方法主要有按漏洞可能对系统造成的直接威胁分类和按漏洞的成因分类两大类。（P182表）

直接威胁分类：远程管理员权限、本地管理员权限、普通用户访问权限、权限提升、调取受限文件、远程拒绝服务、本地拒绝服务、远程非授权文件存取、口令恢复、欺骗、服务器信息泄露、其它漏洞；

21

漏洞成因分类：输入验证错误、访问验证错误、竞争条件、意外情况处理错误、设计错误、配置错误、环境错误；

6.1.2漏洞的概念：漏洞是在硬件、软件和协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。

6.2.1端口扫描的基本原理：端口扫描的原理是向目标主机的TCP/IP端口发送探测数据包，并记录目标主机的响应。通过分析响应来判断端口是打开还是关闭等状态信息。根据所使用通信协议的不同，网络通信端口可以分为 TCP端口UDP端口两大类，因此端口扫描技术也可相应地分为TCP端口扫描技术和UDP端口扫描技术。

6.2.2操作系统类型探测的主要方法：操作系统探测技术主要包括：获取标识信息探测技术、基于TCP/IP协议栈的操作系统指纹探测技术和ICMP响应分析探测技术。

6.2.3信息型漏洞探测和攻击型漏洞探测技术的原理。

信息型漏洞探测的原理：大部分的网络安全漏洞都与特定的目标状态直接相关，因此只要对目标的此类信息进行准确探测就可以在很大程度上确定目标存在的安全漏洞。

攻击型漏洞探测的原理：模拟攻击是最直接的漏洞探测技术，其探测结果的准确率也是最高的。该探测技术的主要思想是模拟网络入侵的一般过程，对目标系统进行无恶意攻击尝试，若攻击成功则表明相应安全漏洞必然存在。

 课后题：

1、简述网络安全检测对保障计算机网络信息系统安全的作用。（P181）

网络安全检测是保证计算机网络信息系统安全运行的重要手段，对于准确掌握计算机网络信息系统的安全状况具有重要意义。计算机网络信息安全状况动态变化，安检也是动态过程，信息在生命周期内，随着网络结构变化，新的漏洞发现及管理员/用户操作，主机安全状况不断变化，安全检测，安全意识和安全制度贯穿过程，尽可能安全，一劳永逸安检不存在。

2、什么是安全漏洞，安全漏洞产生的内在原因是什么？（P182）

漏洞是在硬件、软件和协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。漏洞的产生有其必然性，这是因为软件的正确性通常是通过检测来保障的。像操作系统这样的大型软件不可避免的存在着设计上的缺陷，这些缺陷反映在安全功能上便造成了系统的安全脆弱性。

3、网络安全漏洞的分类方法有哪些？漏洞的分类方法主要有按漏洞可能对系统造成的直接威胁分类和按漏洞的成因分类两大类。（P182表）

按漏洞可能造成的直接威胁分类：远程管理员权限、本地管理员权限、普通用户访问权限、权限提升、读取受限文件、远程拒绝服务、本地拒绝服务、远程非授权存取、口令恢复、欺骗、服务器信息泄露、其它漏洞；

按漏洞的成因分类：输入验证错误、访问验证错误、竞争条件、意外情况处置错误、设计错误、配置错误、环境错误；

4、网络安全漏洞检测技术分为几类，其具体作用是什么？

网络安全漏洞检测技术主要包括端口扫描、操作系统探测和安全漏洞探测三类。通过端口扫描可以掌握系统都开放了哪些端口、提供了哪些服务；通过操作系统探测可以掌握操作

22

系统的类型信息；通过安全漏洞探测可以发现系统中可能存在的安全漏洞。

5、端口扫描的原理是什么，根据通信协议的不同可以分为几类？（6.2.1）

6.2.1端口扫描的基本原理：端口扫描的原理是向目标主机的TCP/IP端口发送探测数据包，并记录目标主机的响应。通过分析响应来判断端口是打开还是关闭等状态信息。根据所使用通信协议的不同，网络通信端口可以分为 TCP端口UDP端口两大类，因此端口扫描技术也可相应地分为TCP端口扫描技术和UDP端口扫描技术。

6、操作系统探测技术分为几类？（6.2.2）

6.2.2操作系统探测技术主要包括：

获取标识信息探测技术——（telnet IP得到主机操作系统的类型）、

基于TCP/IP协议栈的操作系统指纹探测技术——（操作系统指纹——通过网络连接获取唯一标识某一操作系统的类型及版本号的一组特征信息。一个应用工具NMAP）

ICMP响应分析探测技术。——(发送UDP或ICMP请求报文，分析ICMP应答信息，判断操作系统类型及版本。本制也是基于TCP/IP，X-Probe是一款应用工具。)

7、安全漏洞探测技术有哪些分类？（P186）

按照网络安全漏洞的可利用方式来划分，漏洞探测技术可分为信息型漏洞探测和攻击型漏洞探测两种。按照漏洞探测的技术特征，又可以划分为基于应用的探测技术、基于主机的探测技术、基于目标的探测技术和基于网络的探测技术等。

8、上网查找相关资料，整理并分析当前主流网络安全检测评估系统的技术性能指标。

第7章 计算机病毒与恶意代码防范技术

7.1.1计算机病毒的定义：计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。

7.1.3计算机病毒的特征：①非授权可执行性 ②隐蔽性 ③传染性 ④潜伏性 ⑤破坏性⑥触发性

7.1.4计算机病毒的主要危害（P202）：

① 直接破坏计算机数据信息

② 占用磁盘空间和对信息的破坏

③ 抢占系统资源

④ 影响计算机运行速度

⑤ 计算机病毒错误与不可预见的危害

⑥ 计算机病毒的兼容性对系统运行的影响

⑦ 给用户造成严重的心理压力

7.2.2计算机病毒的分类（P208）：

按病毒攻击的系统分类：①攻击DOS系统的病毒 ②攻击windows系统的病毒

③攻击UNIX系统的病毒 ④攻击OS/2系统的病毒。

按病毒的攻击机型分类：①攻击微型计算机的病毒 ②攻击小型机的计算机病毒

③攻击工作站的计算机病毒。

23

按病毒的链接方式分类：①源码型病毒②嵌入型病毒③外壳型病毒④操作系统型病毒。

按病毒的破坏情况分类：①良性计算机病毒 ②恶性计算机病毒。

按病毒的寄生方式分类：①引导型病毒 ②文件型病毒 ③复合型病毒。

按病毒的传播媒介分类：①单机病毒 ②网络病毒。

7.3.1常用计算机病毒检测手段的基本原理（P216）： ①特征代码法 ②校验和法③行为监测法 ④软件模拟法

7.3.2计算机病毒的防范手段（P216）：

防范计算机病毒主要从管理和技术两方面着手：

① 严格的管理。制定相应的管理制度，避免蓄意制造、传播病毒的事件发生。

② 有效的技术。1）将大量的消毒/杀毒软件汇集一体，检查是否存在已知病毒。

2）检测一些病毒经常要改变的系统信息，以确定是否存在病毒行为；

3）监测写盘操作，对引导区或主引导区的写操作报警。

4）对计算机系统中的文件形成一个密码检验码和实现对程序完整性的验证，在程序执行前或定期对程序进行密码校验，如有不匹配现象即报警。

5）智能判断型：设计病毒行为过程判定知识库，应用人工智能技术，有效区别正常程序与病毒程序的行为。

6）智能监察型：设计病毒特征库，病毒行为知识库，受保护程序存取行为知识库等多个知识库及相应的可变推理机。

③ 宏病毒的防范。通过Word来防止宏病毒的感染和传播和使用各种反宏病毒软件。

④ 电子邮件病毒的防范。1）思想上高度重视不要轻易打开来信中的附件；

2）不断完善“网关”软件及病毒防火墙软件，加强对整个网络入口点的防范；

3）使用优秀的放毒软件同时保护客户机和服务器；

4）使用特定的SMTP杀毒软件。

7.4.1恶意代码的特征与分类：

特征：①恶意的目的 ②本身是程序 ③通过执行发生作用。

分类：按恶意代码的工作原理和传输方式区分，恶意代码可分为普通病毒、木马、网络蠕虫、移动代码和复合型病毒等类型。

7.4.2恶意代码的关键技术（P222）：恶意代码主要关键技术有生存技术、攻击技术和隐藏技术。

7.4.5恶意代码的防范措施（P228）：①及时更新系统，修补安全漏洞 ②设置安全策略，限制脚本程序的运行 ③养成良好的上网习惯。④启用防火墙，过滤不必要的服务和系统信息。

 课后题：

1、简述计算机病毒的定义和特征（7.1.1-3）。

7.1.1计算机病毒的定义：计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。

7.1.3计算机病毒的特征：①非授权可执行性②隐蔽性③传染性④潜伏性⑤破坏性⑥触发性

24

2、结合自己的经历说明病毒的危害（7.1.4）。

7.1.4计算机病毒的主要危害（P202）：①直接破坏计算机数据信息②占用磁盘空间和对信息的破坏③抢占系统资源④影响计算机运行速度⑤计算机病毒错误与不可预见的危害⑥计算机病毒的兼容性对系统运行的影响⑦给用户造成严重的心理压力

3、简述计算机病毒的分类（7.2.2）。

7.2.2计算机病毒的分类（P208）：按病毒攻击的系统分类：①攻击DOS系统的病毒②攻击windows系统的病毒③攻击UNIX系统的病毒④攻击OS/2系统的病毒。按病毒的攻击机型分类：①攻击微型计算机的病毒②攻击小型机的计算机病毒③攻击工作部的计算机病毒。按病毒的链接方式分类：①源码型病毒②嵌入型病毒③外壳型病毒④操作系统型病毒。按病毒的破坏情况分类：①良性计算机病毒②恶性计算机病毒。按病毒的寄生方式分类：①引导型病毒②文件型病毒③复合型病毒。按病毒的传播媒介分类：①单机病毒②网络病毒。

4、试述计算机病毒的一般构成、各个功能模块的作用和作用机制。

计算机病毒一般包括三大功能模块，即引导模块、传染模块和发作模块（破坏/表现模块）。①引导模块。计算机病毒要对系统进行破坏，争夺系统控制权是至关重要的，一般的病毒都是由引导模块从系统获取控制权，引导病毒的其它部分工作。中断与计算机病毒，中断是CPU处理外部突发事件的一个重要技术。它能使CPU在运行过程中对外部事件发出的中断请求及时地进行处理，处理完后又立即返回断点，继续进行CPU原来的工作。②传染模块。计算机病毒的传染是病毒由一个系统扩散到另一个系统，由一张磁盘传入另一张磁盘，由一个系统传入另一张磁盘，由一个网络传播到另一个网络的过程。计算机病毒是不能独立存在的，它必须寄生于一个特定的寄生宿主之上。③发作模块。计算机病毒潜伏在系统中处于发作就绪状态，一旦病毒发作就执行病毒设计者的目的操作。破坏机制在设计原理、工作原理上与传染机制基体相同。

5、目前计算机病毒预防采用的技术有哪些？（7.3.2）

7.3.2计算机病毒的防范手段（P216）： 防范计算机病毒主要从管理和技术两方面着手：①严格的管理。制定相应的管理制度，避免蓄意制造、传播病毒的事件发生。②有效的技术。1）将大量的消毒/杀毒软件汇集一体，检查是否存在已知病毒。2）检测一些病毒经常要改变的系统信息，以确定是否存在病毒行为；3）监测写盘操作，对引导区或主引导区的写操作报警。4）对计算机系统中的文件形成一个密码检验码和实现对程序完整性的验证，在程序执行前或定期对程序进行密码校验，如有不匹配现象即报警。5）智能判断型：设计病毒行为过程判定知识库，应用人工智能技术，有效区别正常程序与病毒程序的行为。6）智能监察型：设计病毒特征库，病毒行为知识库，受保护程序存取行为知识库等多个知识库及相应的可变推理机。

6、对于计算机病毒有哪些检测技术？（P214）

①特征代码法——简单、开销小，实现方法：采集病毒样本、抽取特征代码纳入病毒数据库、特征代码与病毒数据库中代码一一比对，判断病毒类型。优点：检测准确、可识别名称、误报警率低。缺点：无法检测新病毒、收集特征代码开销大效率低。特点：速度慢、误报擎率低、不能检测多形性病毒、不能对付隐蔽性病毒。

②校验和法——计算校验和，并写入文件中或别的文件中保存，定期或用前检查，发现

25

是否感染，可以发现已知或未知病毒。查病毒方式有三种：检测工具中纳入校验和法，计算正常状态值，写入文件中或检测工具中；应用程序中放入检验和法自我检查功能，应用程序自检；校验和检查程序常驻内存，应用程序运行，自动检查校验和。缺点：不能识别病毒类和名、常误报警、对隐蔽性病毒无效。优点：方法简单、能发现未知病毒、灵敏。

③行为监测法——利用病毒特有行为特征来监测病毒的方法。病毒行为特征：占有INT

13H（引导型病毒，攻击BOOT扇区或主引导扇区，占用INT 13H 放置病毒代码）、改变DOS系统内存总量（病毒常驻内存，为防止DOS系统覆盖，修改内存总量）、对COM EXE文件进行写入动作、病毒程序与宿主程序切换（染毒程序运行，先运行病毒，后执行宿主程序）。优点：发现未知病毒，预报未知多数病毒。缺点：误报警、不能识别病毒名、实现有一定难度。

④软件模拟法——为检测多态性病毒，引入软件模拟法，软件分析器，模拟和分析程序的运行。使用特征代码法检测病毒，发现隐蔽病毒或多态病毒嫌疑时，启动软件模拟模块，监视病毒运行，特病毒自身密码译码后，运用特征代码法识别病毒种类。

7、CIH病毒一般破坏哪些部位？它发作时有哪些现象？（P211）

CIH病毒一般破坏硬盘数据甚至主板上的BIOS的内容，导致主机无法启动。发作时现象：在4月26日开机，显示器突然黑屏，硬盘指示灯闪烁不停，重新开机后，计算机无法启动。

8、简要回答宏病毒的特征。（P212）

①word宏病毒会感染.doc文档和.dot模板文件；②word宏病毒的传染通常是word在打开一个带宏病毒的文档或模板时，激活宏病毒。③多数word宏病毒包含AutoOpen、AutoClo、AutoNew、AutoExit等自动宏，通过这自动宏病毒取得文档操作权。④word宏病毒中总是含有对文档读写操作的宏命令。⑤word宏病毒在.doc文档、.dot模板中以BFF格式存放，这是一种加密压缩格式，不同word版本格式可能不兼容。

9、简述计算机病毒的发展趋势。（P221）

①变形病毒成为下一代病毒首要的特点；②与Internet和Intranet更加紧密的结合，利用一切可以利用的方式进行传播；③病毒往往具有混合性特征，集文件传染、蠕虫、木马、黑客程序的特点于一身，破坏能力大大增强，获取经济复兴开始成为编写病毒的主要目的；④因为其扩散极快，不再追求隐藏性，而更加注重欺骗性；⑤利用系统和应用程序漏洞将成为病毒有力的传播方式。

10、什么是恶意代码？防范恶意代码有哪些？（P221）

恶意代码是一种程序，通常在人们没有察觉的情况下把代码寄宿到另一段程序中，从而达到破坏被感染计算机的数据，运行具有入侵性或破坏性的程序，破坏被感染系统数据的安全性和完整性的目的。

11、简述恶意代码所使用的关键技术。

恶意代码主要关键技术有生存技术、攻击技术和隐藏技术。①生存技术主要包括4个方面：反跟踪技术、加密技术、模糊变换技术和自动生产技术。②常见的恶意代码攻击技术包括：进程注入技术、三线程技术、端口复用技术、对抗检测技术、端口反向连接技术和缓冲区溢出攻击技术等。③隐藏技术通常包括本地隐藏和通信隐藏，本地隐藏主要有文件隐藏、

26

进程隐藏、网络连接隐藏和内核模块隐藏等；通信隐藏包括通信内容隐藏和传输通道隐藏。

第8章 网络安全解决方案

8.1.1保护、检测、响应、恢复的含义（P234）：

保护（Protect）：保护包括传统安全概念的继续，用加解密技术、访问控制技术、数字签名技术，从信息动态流动、数据静态存储和经授权方可以使用，以及可验证的信息交换过程等多方面对数据及其网上操作加以保护。

检测(Detect)：含义是对信息传输的内容的可控性的检测，对信息平台访问过程的检测，对违规与恶意攻击的检测，对系统与网络弱点的漏洞的检测等。

响应(React)：在复杂的信息环境中，保证在任何时候信息平台能高效正常运行，要求安全体系提供有力的响应机制。

恢复(Restore)：狭义的恢复指灾难恢复，在系统受到攻击的时候，评估系统受到的危害与损失，按紧急响应预案进行数据与系统恢复，启动备份系统恢复工作。

8.1.2计算机网络安全设计遵循的基本原则：

①需求、风险、代价平衡分析的原则 ②综合性、整体性原则 ③一致性原则 ④易操作性原则 ⑤适应性、灵活性原则 ⑥多重保护原则

网络安全体系的主要内容：

8.2.1网络安全解决方案的基本概念：网络安全解决方案的内涵是综合运用各种计算机网络信息系统安全技术，将安全操作系统技术、防火墙技术、病毒防护技术、入侵检测技术、安全扫描技术、认证和数字签名技术、VPN技术等综合起来，形成一个完整的、协调一致的网络安全防护体系。

8.2.3网络安全解决方案应包括的主要内容（P238）：①网络安全需求分析 ②网络安全风险分析 ③网络安全威胁分析 ④网络系统的安全原则（动态性、唯一性、整体性、专业性、严密性） ⑤网络安全产品 ⑥风险评估 ⑦安全服务。

8.4.1单机用户面临的主要安全威胁：单机上用户面临的安全问题主要有：计算机硬件设备的安全、计算机病毒、网络蠕虫、恶意攻击、木马程序、网站恶意代码、操作系统和应用软件漏洞等。除此之外，电子邮件也会带来一些安全问题，主要包括：①电子邮件容易被截获 ②电子邮件客户端软件设计存在缺陷

8.4.2电子邮件安全的主要措施：保护电子邮件安全的唯一方法就是让攻击者无法理解截获的数据包，即对电子邮件的内容进行某种形式的加密处理。代表性的是PGP加密系统。除此之外，对单机用户的操作系统进行安全配置也是单机用户网络安全解决方案的一个重要方面。

8.5.3计算机信息系统安全管理的主要原则：

①分离与制约的原则 ②有限授权原则 ③预防为主原则 ④可审计原则。

 课后题：

1、全方位的网络安全解决方案需要包含哪些方面的内容？（P238）

8.2.3网络安全解决方案应包括的主要内容（P238）：①网络安全需求分析②网络安全

27

风险分析③网络安全威胁分析④网络系统的安全原则（动态性、唯一性、整体性、专业性、严密性）⑤网络安全产品⑥风险评估⑦安全服务。

2、研究网络信息安全比较困难的原因主要体现在哪些方面？（P233）

①边界模糊②评估困难③安全技术滞后④管理滞后

3、进行计算机网络安全设计、规划时，应遵循的原则是什么？（P235）

8.1.2计算机网络安全设计遵循的基本原则：①需求、风险、代价平衡分析的原则②综合性、整体性原则③一致性原则④易操作性原则⑤适应性、灵活性原则⑥多重保护原则

4、实施一个完整的网络与信息安全体系，需要采取哪些方面的措施？（P234）

实施一个完整的网络与信息安全体系，至少应包括三类措施，且缺一不可。一是社会的法律政策、企业的规章制度及安全教育等外部软环境。二是技术方面的措施，如防火墙、网络防毒、信息加密存储与通信、身份认证授权等。三是审计和管理措施，在此方面同时包含有技术和社会两个方面的措施。

5、简述网络安全解决方案的基本框架。（P238-8.2.3）

8.2.3网络安全解决方案应包括的主要内容（P238）：①网络安全需求分析②网络安全风险分析③网络安全威胁分析④网络系统的安全原则（动态性、唯一性、整体性、专业性、严密性）⑤网络安全产品⑥风险评估⑦安全服务。

6、简述制订网络安全解决方案的一般过程。（P240）

1)安全需求分析。

①网络层需求分析——保护网络不受攻击，确保网络服务可用性，边界安全：企业网络和互联网互联且隔离、信息交互可信任、内部网不被外网访问、公共资源合法用户安全访问、网安事件审计、网安状态量化评估、网安状态实时监控。防范外网非法利用HTTP应用、FTP应用、SMTP应用。防范外网入侵和攻击时，做到实时鉴别、预警、阻断与记录。

②应用层需求分析——信息共享和资源共享。针对用户和网络应用资源：合法指定访问、合法不能访问不允许信息、非法不能访问、访问有记录。解决安全问题包括：非法进入、身份假冒、非授权访问、数据窃取、数据篡改、数据重放攻击、抵赖。应用系统设计自身安全机制保障安全，可以和系统紧密结合，但有明显缺点：开发量大、安全强度参差不齐、安全没保障、维护复杂、用户使用不方便。采用具有以下功能的应用层安全设备：统一入口控制安全身份认证和访问授权、安全机制系统健壮、无缝集成三方应用系统、集中第三方系统管理减轻工作、可伸缩安全可靠。安全体系包括：访问控制、检查安全漏洞、攻击监控、加密通道、认证、备份和恢复、多层防御、隐藏内部信息、设立安全监控中心。

③安全管理需求分析——三个方面：内部安全管理、网络安全管理、应用安全管理。

2）网络安全解决方案

网络安全解决方案——多接口防火墙划分外部网络、内部网络和DMZ区域，工作主机置于内部网络，WEB服务器、数据库服务器放在DMZ区域，服务器访问经过防火墙模块检查，中心交换机配制IDS系统，服务器安装入侵检测系统，访问监控，操作记录和审计。电子商务网站服务器独立配置，身份认证和加密传输。配制基于主机的入侵检测系统。总部安装统一身份认证服务器，认证管理。

防火墙配置——安装在出口网关位置。安全策略：服务器允许IP维护、防IP欺骗、外

28

部到达DMZ区指定端口、内部过防火墙发达，隔离内部、指定应用包过防火墙、URL过滤、HTTP应用检测、FTP应用检测、SMTP应用附件检测、流量带宽控制，专用流量保证、其它包不能过防火墙；

设备说明

——防火墙设备：应用程序支持、分布式客户机/服务器结构、网络访问安全保障

——防病毒设备：趋势科技

——入侵检测设备：NFR入侵监测设备 基于网络的入侵检测设备NFR NID 和基于主机的入侵检测设备NFR HID

——SAP身份认证设备：Secure Computing 的SafeWord

7、单机上用户面临的威胁主要来自哪些方面？有哪些应对措施？（P246）

8.4.1单机用户面临的主要安全威胁：单机上用户面临的安全问题主要有：计算机硬件设备的安全、计算机病毒、网络蠕虫、恶意攻击、木马程序、网站恶意代码、操作系统和应用软件漏洞等。除此之外，电子邮件也会带来一些安全问题，主要包括：①电子邮件容易被截获②电子邮件客户端软件设计存在缺陷

应对措施：

防病毒和木马——防病毒软件，养成定期升级病毒库的习惯；

防网络攻击——网络攻击有端口扫描、拒绝服务（DoS）、窃取文件和安装后门。安装个人防火墙

防网站恶意代码——网站恶意代码有两种形式：直接嵌入到网页源代码中或嵌入到特意构造的EMAIL中。常用VS和JS编写，利用IE缺陷执行，破坏主机或下载恶意程序，修改主页或修改标题栏，锁定注册表。使用超级兔子或360安全卫士。

电邮件安全——电子邮件被截取，唯一方法加密数据。

8、简述进行网络安全需求分析的必要性，并分析企业网络的安全威胁主要来源。（P239）

网络系统的安全性和易用性是矛盾的，需要找到一个平衡点。安全需求分析需要确立几种意识：风险意识、权衡意识、相对意识、集成意识。

网络系统安全威胁主要来自以下方面：

操作系统的安全性——网络安全漏洞，UNIX NT WINDOWS

防火墙的安全性

来自内部网用户的安全威胁

缺乏有效手段监视、评估网络系统的安全性

采用TCP/IP协议，本身缺乏安全性

未能对来自INTERNET的电子邮件夹带病毒及WEB JAVA/ACTIVEX控件进行有效控制

应用服务的安全，访问控制和安全通信考虑少，设置错误造成损失。

9、简述网络内部安全管理制度的主要内容，以及其在保障网络安全中的主要意义。（P247）

安全威胁途径：系统漏洞、系统缺陷、人员意识薄弱，制度漏洞；

系统管理有助于：发现漏洞、审查体系、人员安全知识教育、完善系统管理制度；

安全管理三大原则：多人负责原则、任期有限原则、职责分离原则；

29

安全管理实现：确定系统安全等级、确定安全管理范围、机房出入管理制度（分区控制，限制出入无关区域）、制订操作规程（职责分离、多人负责）、制订系统维护制度（部门批准，安全管理人员在场，原因、内容、维护情况记录）、制订应急措施、人员雇佣解聘制度（人员调离，调整授权）。

网络安全管理制度

网络安全管理基本原则：分离与制约原则（内外部分离、用户和开发人员分离、用户和开发机器分离、权限分级管理）、有限授权原则、预防为主原则、可审计原则；

安全管理制度的主要内容：机构与人员安全管理；系统运行与环境安全管理；硬设施安全管理；软设施安全管理；网络安全管理；数据安全管理；技术文档安全管理；应用系统运营安全管理；操作安全管理；应用系统开发安全管理。

30