第一章 网络信息安全概述

网络安全基础

网络信息安全基本概念

• 信息社会的主要特征：数字化、网络化、智能化。网络空间成为国家陆、海、空、天之后的第五疆域。

• 网络信息安全(狭义)：网络信息系统组成要素符合安全属性，即机密性、完整性、可用性、抗抵赖性、可控性。

• 网络信息安全(广义)：涉及国家安全、城市安全、经济安全、社会安全、生产安全、人身安全在内的大安全。

• 网络安全三大发展趋势

  • **对象内容：**保证内容从单维1度 向多维度转变，保障的维度包含网络空间域、物理空间域、社会空间域
  • 理念方法：网络信息安全保障措施从单一性(技术)向综合性(法律、政策、技术、管理、产业、教育)转变
  • **持续时间：**保证时间维度要求涵盖网络系统的整个生命周期，响应速度要求不断缩短， 网络信息安全没有战时、平时之分。

• 网络安全12大问题

  • 网络强依赖性及网络安全关联风险凸显；网络信息产品供应链与安全质量风险；网络信息产品技术同质性与技术滥用风险；网络安全建设与管理发展不平衡、不充分风险；网络数据安全风险；高级持续威胁风险；恶意代码风险；软件代码和安全漏洞风险，人员的网络安全意识风险：网络信息技术复杂性和运营安全风险；网络地下黑产经济风险；网络间谍与网络战风险。

网络信息安全基本属性（CIA特性是重点）

说定义，考属性

• 属性	定义	攻击与防范
  机密性（Confidentiality）	指网络信息不泄露给非授权的用户、实体或程序，能够防治非授权者获得信息。	窃取 - 加密
  完整性（Integrity）	指网络信息或系统未经授权不能进行更改的特性。	修改 - HASH/签名
  可用性（Availability）	指合法许可的用户能够及时获取网络信息或服务的特性。	DOS - 冗余/清洗
  抗抵赖性（Non - Repudiation）	防止网络信息系统相关用户否认其活动行动的特性。	数字签名
  可控性	信息系统责任系统主体对其具有管理、支配能力的属性。	-
  其他特性（了解）	真实性：是指网络空间信息与实际物理空间、社会空间的客观事实保持一致性。 时效性：时效性：是指网络空间信息、服务及系统能够满足时间约束要求。 合规性：是指网络信息、服务及系统符合法律法规政策、标准规范等要求 公平性：是指网络信息系统相关主体处于同等地位处理相关任务，任何一方不占据优势的特性要求。 可靠性：是指网络信息系统在规定条件及时间下，能够有效完成预定的系统功能的特性。 可生存性：是指网络信息系统在安全受损的情形下，提供最小化、必要的服务功能，能够支撑业务继续运行的安全特性。隐私性：是指有关个人	-

网络信息安全的目标与功能

• 网络信息安全目标可以分成宏观的和微观的网络安全目标。

  • 宏观目标：网络信息系统满足国家安全需求特性，符合国家法律法规政策要求，如网络主权、网络合规等。
  • 微观目标：网络信息系统的具体安全要求。
  • 具体目标：保证网络信息及相关信息系统免受网络安全威胁，相关保护对象满足网络安全基本属性要求，用户网络行为符合国家法律法规要求，网络信息系统能够支撑业务安全持续运营，数据安全得到有效保护

• 网络信息安全基本功能：要实现网络信息安全基本目标，网络应具备防御、监测、应急和恢复等基本功能。

网络安全管理

• 网络信息安全管理要素由网络管理对象、网络威胁、网络脆弱性、网络风险、网络保护措施组成。(背，选择)

网络信息安全流程

• 网络信息安全管理一般遭循如下工作流程(可能会出排序)
  • 确定对象 - 评估价值 - 识别威胁 - 识别脆弱性 - 确定风险级别 - 制定防范措施 - 实施防范措施 - 运行/维护网络信息安全管理设备、配置

例如：评估网络信息安全管理对象的价值的下一步是什么？答案：识别网络信息安全管理对象的威胁

网络安全法律法规

网络信息安全法律与政策

(背，日期，政策名)

• 网络信息安全法律与政策文件：涉及国家安全、网络安全战略、网络安全保护制度、密码管理、技术产品、域名服务、数据保护、安全测评等各个方面。

• 《中华人民共和国国家安全法》与2015年7月1日通过，并且当日公布实施。

• 《中华人民共和国网络安全法》已由中华人民共和国第十二届全国人民代表大会常务委员会第二十四次会议于2016年11月7日通过，自2017年6月1日起施行。

  • 制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任
  • 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
  • 采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
  • 采取数据分类、重要数据备份和加密等措施；

• 《网络安全等级保护2.0》于2019年12月1日正式实施。

• 《中华人民共和国密码法》于2020年1月1日起实施。

• 《中华人民共和国数据安全法》于2021年9月1日正式施行。

网络产品和服务安全审查办法

• 为提高网络产品和服务的安全可控水平，防范网络安全风险，维护国家安全，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》等法律法规，制定了《网络产品和服务安全审查办法》。重点评估采购的产品和服务可能带来的国家安全风险。
• 中国网络安全审查技术与认证中心(CCRC，原中国信息安全认证中心)是负责实施网络安全审查和认证的专门机构。
• 发布《网络关键设备和网络安全专用产品目录》，包含：路由器、交换机、服务器、防火墙、IDS/IPS、WAF、网闸等。

网络安全等级保护

网络安全等级保护的主要工作可以概括为定级、备案、建设整改、等级测评、运营维护。(背，选择)

定级：确认定级对象、确定合适级别，通过专家评审和主管部门审核；

备案：按等级保护管理规定准备备案材料，到当地公安机关备案和审核；

建设整改：依据相应等级要求对当前保护对象的实际情况进行差距分析，针对不符合项结合行业要求对保护对象进行整改，建设符合等级要求的安全技术和管理体系；

等级测评：等级保护测评机构依据相应等级要求，对定级的保护对象进行测评，并出具相应的等级保护测评证书；

运营维护：等级保护运营主体按照相应等级要求，对保护对象的安全相关事宜进行监督管理。

网络信息安全部门

• 中国网络安全审查技术与认证中心(CCRC，原中国信息安全认证中心)是负责实施网络安全审查和认证的专门机构。
• 域名服务是网络基础服务。该服务主要是指从事域名根服务器运行和管理、顶级域名运行和管理、域名注册、域名解析等活动。域名系统出现网络与信息安全事件时，应当在24小时内向电信管理机构报告。域名是政府网站的基本组成部分和重要身份标识。
• 国家计算机网络应急技术处理协调中心(CNCERT或CNCERT/CC)是中国计算机网络应急处理体系中的牵头单位，是国家级应急中心。主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护公共互联网安全，保证关键信息基础设施的安全运行。
• 网络信息安全科技信息获取来源主要有网络安全会议、网络安全期刊、网络安全网站、网络安全术语等。
• 网络信息安全领域四大顶级学术会议是：S&P，CCS，NDSS，USENIX Security。
• 网信办、网安、保密局

网络信息安全术语

(背，选择，填空)

• 基础技术类：加密encryption、解密decryption、非对称加密算法asymetric cryptographic algorithm、公钥加密算算法public key cryptographic algonrithm、公钥public key
• 风险评估技术类： 拒绝服务Denial of Service、分布式拒绝服务Distributed Denial of Service、网页篡改Website Distortion、网页仿冒Phishing、网页挂马Website Malicious Code、域名劫持DNS Hijack、路由劫持Routing Hijack、垃圾邮件Spam、恶意代码Malicious Code、特洛伊木马Trojan Horse、网络蠕虫Network Worm、僵尸网络Bot Net
• 防护技术类：访问控制Access Control、防火墙Firewall、入侵防御系统Intrusion Prevention System
• 检查技术类：入侵检测Intrusion Detection、漏洞扫描Vulnerability Scanning
• 响应/恢复技术类：应急响应Emergency Response、灾难恢复Disaster Recovery、备份Backup
• 测评技术类：黑盒测试Black Box Testing、白盒测试White Box Testing、灰盒测试Gray Box Testing、渗透测试Penetration Testing 、模糊测试Fuzz Testing

第二章 网络攻击原理与常用方法

网络攻击基础与模型

网络攻击原理表

(理解，选择)

危害行为： 1）信息泄露攻击 2）完整性破坏攻击 3）拒绝服务攻击 4）非法使用攻击

网络攻击模型 - 攻击树模型

(理解，选择)

• 攻击树模型：起源于故障树分析方法，经过扩展用AND-OR形式的树结构对目标对象进行网络安全威胁分析。可以被Red Team用来进行渗透测试，同时也可以被Blue Team用来研究防御机制。
  • 优点：能够采取专家头脑风暴法，并且将这些意见融合到攻击树中去；能够进行费效分析或者概率分析；能够建模非常复杂的攻击场景。
  • 缺点：由于树结构的内在限制，攻击树不能用来建模多重常识攻击、时间依赖及访问控制等场景；不能用来建模循环事件；对于现实中的大规模网络，攻击树方法处理起来将会特别复杂。

网络攻击模型 - MITRE ATT&CK模型

(理解，选择)

• MITRE ATT&CK模型：根据真实观察到的网络攻击数据提炼形成的攻击矩阵模型；该模型把攻击活动抽象为初始访问、执行、持久化、特权提升、躲避防御、凭据访问、发现、横向移动、收集、指挥和控制、外泄、影响，然后给出攻击活动的具体实现方式。主要应用场景有网络红蓝对抗模拟、网络安全渗透测试、网络防御差距评估、网络威胁情报收集等。
• 网络杀伤链(Ki Chain)模型：将网络攻击活动分成目标侦察、武器构造、载荷投送、漏洞利用、安装植入、指挥和控制、目标行动等七个阶段。【七伤剑】

网络攻击发展趋势

• 网络攻击攻击智能化、自动化
• 网络攻击者群体普适化
• 网络攻击目标多样化和隐蔽性
• 网络攻击计算资源获取方便(DDOS/利用云计算进行口令破解)
• 网络攻击活动持续化强(APT攻击)
• 网络攻击速度加快
• 网络攻击影响扩大
• 网络攻击主体组织化

网络攻击一般过程（八步曲）

(理解，重要)

网络攻击过程：1）隐藏攻击源 2）收集攻击目标信息 3）挖掘漏洞信息 4）获取目标访问权限5）隐藏攻击行为 6）实施攻击 7）开辟后门 8）清除攻击痕迹

实施攻击的目标：1、攻击其他被信任的主机和网络 2、修改或删除重要数据 3、窃听敏感数据 4、停止网络服务 5、下载敏感数据 6、删除数据账号 7、修改数据记录

网络攻击常用技术方法

理解TCP三次握手建立连接，打招呼过程。

14种：端口扫描、口令破解、缓冲区溢出、恶意代码、拒绝服务、网络钓鱼、网络窃听、SQL注入、社交工程、电子监听、会话劫持、漏斗扫描、代理技术、数据加密。

端口扫描 —— 找出目标系统上提供的服务列表

目的：逐个尝试与TCP/UDP端口连接，然后根据端口与服务的对应关系，结合服务器的反馈，推断目标系统上是否运行了某项服务。

(注意理解，重要，考过大题)

• 完全连接扫描 - 三次握手，成功：端口开放；失败：端口关闭。
• 半连接扫描/SYN扫描 - 只完成两次握手，不建立完整的连接，目的：不留扫描痕迹。
• SYN扫描 - 发送连接请求，返回响应进行断开，返回ACK：端口开放；返回RESET：端口关闭。
• ID头信息扫描 - 需要使用一台点三方及其配置扫描，并期望这台机器的网络通信量要非常少，即dumb主机。SYN|ACK：端口开放； RST|ACK：端口关闭。
• 隐蔽扫描 - 绕过IDS、防火墙等安全机制。
• SYN|ACK扫描 - 发送SYN|ACK数据包，返回RST：端口关闭；不返回信息，端口开放。
• FIN扫描：发送FIN数据包，返回RESET：端口关闭；不返回信息：端口开放。
• ACK扫描：发送FIN数据包，返回TTL<64或WIN>0：端口开放；返回TTL>64或WIN=0：端口关闭。
• NULL扫描：发送空数据，不返回：端口开放；返回RET：端口关闭。
• XMAS扫描：发送1，不返回：端口开放；返回RET：端口关闭。

• ID头描述
  • 首先由源主机A向dumb主机B发出连续的PING数据包，并且查看主机B返回的数据包的ID头信息。般而言，每个顺序数据包的ID头的值会加1，然后由源主机A假冒主机B的地址向目的主机C的任意端口(1-65535)发送SYN数据包。
  • 如果主机C端口是关闭的，那么B返回A的数据包中ID头的值递增1，非常规律
  • 如果主机C端口是开放的，我那么B返回A的数据包中ID头的值不是递增1，而是大于1

1
2
3
4
5
6
7
8
9
10
11
12

2016 年软件设计师考试真题（题干 + 选项 + 解析）
题干：为了攻击远程主机，通常利用（9）技术检测远程主机状态。
选项：
        A. 病毒查杀
        B. 端口扫描
        C. QQ 聊天
        D. 身份认证
正确答案：B
考点解析：
本题直接考查端口扫描在 “攻击链” 中的定位 —— 属于信息收集阶段的核心技术。端口扫描通过尝试连接目标主机的 TCP/UDP 端口，根据服务器反馈判断端口是否开放，进而识别运行的服务（如 21/FTP、22/SSH）及潜在漏洞，为后续渗透（如缓冲区溢出、暴力破解）提供情报。
干扰项排除：A（病毒查杀）是防御手段，与 “攻击行为” 冲突；C（QQ 聊天）是应用层通信，与主机状态检测无关；D（身份认证）是访问控制机制，非探测技术。
关联教材：《软件设计师教程》“网络攻击步骤” 章节，明确端口扫描为 “信息收集” 的关键环节。

1
2
3
4
5
6
7
8
9
10

题干：根据端口扫描利用的技术，填写下列扫描类型名称：
（1）利用 TCP/IP 协议的三次握手连接机制，使源主机和目的主机的某个端口建立一次完整的连接，建立成功则端口开放 ——；
（2）在三次握手过程中只完成前两次握手，不建立完整连接 ——；
（3）需要第三方 “dumb 主机” 配合，通过分析数据包 ID 头信息判断端口状态 ——；
（4）将数据包中 ACK、FIN、RST 等标志位全部置空，无反馈则端口开放 ——；
（5）能绕过 IDS、防火墙，隐蔽获取端口信息的扫描方式 ——________。
正确答案：
（1）完全连接扫描；（2）半连接扫描（SYN 扫描）；（3）ID 头信息扫描；（4）NULL 扫描；（5）隐蔽扫描
考点解析：
本题来自信息安全工程师备考默写本（摘要 3、4、6），核心考查 “不同端口扫描类型的定义区别”，是该科目填空 / 选择题的高频考点，需熟记各类扫描的核心特征（如 “三次握手完整性”“标志位设置”“第三方主机依赖”）。

1
2
3
4
5
6
7
8
9

题干：攻击者试图入侵某企业的 SQL Server 服务，第一步需通过端口扫描确认目标端口是否开放，该服务的默认端口是（ ）；若需自动化尝试用户名密码组合获取权限，应选用的工具是（ ）。
选项：
（1）端口：A. 80 B. 1433 C. 3306 D. 22
（2）工具：A. Hydra B. Wireshark C. Nikto D. Nmap
正确答案：（1）B；（2）A
考点解析：
本题结合 “端口扫描 + 暴力破解” 的攻击流程，考查 “服务与默认端口的对应” 及 “工具分类”：
SQL Server 默认端口为 1433（3306 是 MySQL 端口，80 是 HTTP 端口，22 是 SSH 端口）；
Hydra 是支持多协议（含 SQL Server）的暴力破解工具；Nmap 是端口扫描工具，Wireshark 是嗅探工具，Nikto 是 Web 漏洞扫描工具。

口令破解

网络攻击者常常以破解用户的弱口令作为突破口，获取系统的访问权限。主要流程： (了解即可)
①建立与目标网络服务的网络连接；
②选取一个用户列表文件及字典文件；
③在用户列表文件及字典文件中，选取一组用户和口令，按网络服务协议规定，将用户名及口令发送给目标网络服务端口；
④检测远程服务返回信息，确定口令尝试是否成功；
⑤再取另一组用户和口令，重复循环试验，直至口令用户列表文件及字典文件选取完毕。

缓冲区溢出

(重点)

• 缓冲区溢出攻击是一种通过往程序的缓冲区写超出其长度的内容，造成缓冲区溢出，从而破坏程序的堆栈，使程序转而执行其他预设指令，以达到攻击目的的攻击方法。
• 基本原理：向缓冲区中写入超长的、预设的内容，导致缓冲区溢出，覆盖其他正常的程序或数据，然后让计算机转去运行这行预设的程序，达到执行非法操作、实现攻击的目的。

1
2
3
4
5
6
7

题干：以下哪种攻击方式主要利用操作系统或应用程序的未授权访问漏洞？（ ）
选项：
A. DDoS 攻击 B. 缓冲区溢出 C. 社会工程学 D. 跨站脚本（XSS）
正确答案：B
解析：
缓冲区溢出的核心危害是篡改程序执行流程（如覆盖返回地址），进而注入恶意代码、获取未授权系统权限；
干扰项排除：A（DDoS 是资源耗尽型攻击）、C（社会工程学依赖人为诱导）、D（XSS 是客户端脚本注入，无内存操作）。

1
2
3
4
5
6
7

题干：攻击者利用 IIS 服务程序的缓冲区溢出漏洞，构造（ ）攻击，比如 “红色代码”。
选项：
A. 非授权访问 B. 网络蠕虫 C. 网页篡改 D. 拒绝服务
正确答案：B
解析：
本题考查缓冲区溢出与攻击场景的关联 ——“红色代码” 是典型的网络蠕虫，其传播依赖 IIS 的栈溢出漏洞：通过超长数据包触发溢出，注入蠕虫代码，实现自动扫描、感染其他主机；
干扰项排除：A（非授权访问是溢出的 “结果”，而非攻击类型）、C（网页篡改需修改 Web 文件）、D（拒绝服务需耗尽资源，红色代码核心是 “传播”）。

1
2
3
4
5
6
7
8
9

题干：某电商平台用户注册接口未对手机号长度校验（可接收 15 位手机号），攻击者利用该缺陷注入恶意代码，获取 500 万用户数据。问题：（1）分析该事件中的漏洞类型；（2）提出 5 条整改措施。
参考答案：
（1）漏洞类型：①缓冲区溢出漏洞（输入未校验→超长手机号覆盖内存，注入恶意代码）；②日志审计缺失（无法追溯攻击路径）；③弱加密（MD5 存储密码）。
（2）整改措施：
输入校验：对手机号、用户名等输入做长度 / 格式校验（如手机号限制 11 位，正则表达式过滤异常字符）；
编译防护：服务端程序启用栈保护（GCC -fstack-protector）和数据执行保护（DEP）；
安全编程：用strncpy替代strcpy，动态内存操作前校验数据长度；
日志审计：启用数据库操作审计日志，记录敏感数据查询 / 修改行为；
加密升级：用 PBKDF2/BCrypt 等慢哈希算法存储密码，增加盐值（Salt）。

恶意代码

(后面有专门的章节讲解，此处只了解)

• 恶意代码是指为达到恶意目的而专门设计的程序或代码，指一切旨在破坏计算机或者网络系统可靠性可用性、安全性和数据完整性或者损耗系统资源的恶意程序。
  • 常见的恶意代码类型有计算机病毒、网络蠕虫、特洛伊木马、后门、逻辑炸弹、僵尸网络等。
  • 网络蠕虫特点：具有复制传播功能，代表：红色代码、震网。

拒绝服务攻击DOS

(重点)

拒绝服务攻击DOS(DenialofService)原理：攻击者恶意消耗系统资源(CPU、内存、硬盘、网络带宽等)，导致目标系统不能为正常用户提供服务。

1
2
3
4
5

题干：简述拒绝服务攻击（DoS）的核心防御措施，至少列举 3 种。
参考答案：
技术层防御：使用 SYN Cookie 技术防御 SYN Flood，通过流量清洗设备过滤恶意数据包（如 ICMP 泛洪），配置防火墙阻断异常协议（如 UDP Flood）；
资源层优化：部署 CDN 分发流量、采用分布式集群分担负载，避免单点资源耗尽；
监控与应急：建立流量基线分析（如监控 SYN/SYN-ACK 比例异常），制定应急响应预案（如切换备用 IP、启动黑洞路由）。

1
2
3
4
5
6
7
8
9
10
11
12

题干：下列网络攻击行为中，属于 DoS 攻击的是（ ）。
选项：
A. 特洛伊木马攻击
B. SYN Flooding 攻击
C. 端口欺骗攻击
D. IP 欺骗攻击
正确答案：B
解析：
DoS 的核心是 “耗尽目标资源（CPU、带宽、连接队列）使其无法提供正常服务”。
B 选项（SYN Flooding）利用 TCP 三次握手缺陷，发送大量伪造 SYN 请求，导致服务器半连接队列溢出，属于资源耗尽型 DoS；
A（木马）是 “隐蔽植入恶意代码”，目的是控制主机而非耗尽资源；
C、D（欺骗攻击）是 “伪造身份”，用于会话劫持等，不直接导致服务不可用。

1
2
3

题干：针对 SYN Flood 攻击的核心防御技术是________，其原理是给每个请求连接的 IP 分配唯一标识，避免半连接队列溢出。
正确答案：SYN Cookie
解析：SYN Cookie 是 DoS 防御的高频填空考点，需熟记其 “绕过半连接队列限制” 的核心机制；同类考点还包括 “缩短 SYN Timeout 时间”“黑洞路由” 等。

• **网络钓鱼(Phishing，与fishing发音相近得名)**是一种通过假冒可信方(知名银行、在线零售商和信用卡公司等可信的品牌)提供网上服务，以欺骗手段获取敏感个人信息(如口令、信用卡详细信息等)的攻击方式。网络钓鱼者利用欺骗性的电子邮件和伪造的网站来进行诈骗活动，诱骗访问者提供一些个人信息，以谋求不正常的利益。

• 网络窃听：是指利用网络通信技术缺陷，使得攻击者能够获取到其他人的网络通信信息。常见的网络窃听技术手段主要有网络嗅探、中间人攻击。网络攻击者将主机网络接口的方式设成“杂乱”模式，就可以接收整个网络上的信息包，从而可以获取敏感口令，甚至将其重组，还原为用户传递的文件。**(杂乱模式考过，英文缩写是Promiscuousmode，简称为Promiscmode。)**

• SQL注入攻击：在Web服务中，一般采用三层架构模式，浏览器+Web服务器+数据库。其中，WEB脚本程序负责处理来自浏览器端提交的新东西。但是由于WEB脚本程序的编程漏洞，对来自浏览器端的信息缺少输入安全合法性检查，网络攻击者利用这个漏洞，把SQL命令插入WEB表单的输入域或页面的请求查找字符串，欺骗服务器执行恶意的SQL命令。

• 社交工程：网络攻击者通过一系列的社交活动，获取需要的信息。例如伪造系统管理员的身份，给特定的用户发电子邮件骗取他的密码口令。有的攻击者会给用户送免费实用程序，不过该程序除了完成用户所需的功能外，还隐藏了一个将用户的计算机信息发送给攻击者的功能。(杀猪盘)

• 电子监听：网络攻击者采用电子设备远距离地监视电磁波的传送过程。灵敏的无线电接收装置能够在远处看到计算机操作者输入的字符或屏幕显示的内容

• 会话劫持：是指攻击者在初始授权之后建立一个连接，在会话劫持以后，攻击者具有合法用户的特权权限。如“TCP会话劫持”。

• 漏洞扫描：是一种自动检测远程或本地主机安全漏洞的软件，通过洞扫描器可以自动发现系统的安全漏洞。常见的漏洞扫描技术有CGI漏洞扫描、弱口令扫描、操作系统漏洞扫描、数据库漏洞扫描等。

• 代理技术：网络攻击者通过免费代理服务器进行攻击，其目的是以代理服务器为“攻击跳板”，即使攻击目标的网络管理员发现了，也难以追踪到网络攻击者的真实身份或IP地址。为了增加追踪的难度，网络攻击者还会用多级代理服务器或者“跳板主机”来攻击目标。代理服务器被叫做“肉鸡”，黑客常利用所控制的机器进行攻击活动，如DDOS攻击。

• 数据加密：网络攻击者常常采用数据加密技术来逃避网络安全管理人员的追踪。加密使网络攻击者的数据得到有效保护，即使网络安全管理人员得到这些加密的数据，没有密钥也无法读懂，这样就实现了攻击者的自身保护。攻击者的安全原则是，任何与攻击有关的内容都必须加密或者立刻销毁。

黑客常用工具分析

网络攻击案例分析

DDOS

(重点)

• DDOS攻击：分布式拒绝服务攻击，整个攻击过程可以分为下面五个步骤：

  • ①通过探测扫描大量主机，寻找可以进行攻击的目标。
  • ②攻击有安全漏洞的主机，并设法获取控制权。
  • ③在已攻击成功的主机中安装客户端攻击程序。
  • ④利用已攻击成功的主机继续进行扫描和攻击
  • ⑤当攻击客户端达到一定的数目后，攻击者在主控端给客户端攻击程序发布攻击命令。

• DDoS常用的攻击技术手段有HTTP Flood攻击、SYN Flood攻击、DNS放大攻击等。

  • HTTP Flood攻击是利用僵尸主机向特定目标网站发送大量的HTTP GET请求，以导致网站瘫痪

    

  • SYN Food攻击利用TCP/IP协议的安全缺陷，伪造主机发送大量的SYN包到目标系统，导致目标系统的计算机网络瘫痪。

    

  • DNS放大攻击是攻击者假冒目标系统向多个DNS解析服务器发送大量请求，而导致DNS解析服务器同时应答目标系统，产生大量网络流量，形成拒绝服务。

    

W32.Blaster.Worm

(考过选择，记住worm就是蠕虫病毒)

W32.Blaster.Worm是一种利用DCOM RPC漏洞进行传播的网络蠕虫，其传播能力很强，感染蠕虫的计算机系统运行不稳定，系统会不断重启，并且该蠕虫还将对windowsupdate.com进行拒绝服务攻击，使得受害用户不能及时地得到这个漏洞的补丁，如图所示：

网络安全导致停电事件

乌克兰电力攻击事件：

①黑客首先利用钓鱼邮件，欺骗电力公司员工下载了带有BlackEnergy的恶意代码文件·②然后诱导用户打开这个文件，激活木马

③安装SSH后门和系统自毁工具Kidisk，致使黑客最终获得了主控电脑的控制权

④最后，黑客远程操作恶意代码将电力公司的主控计算机与变电站断连并切断电源

⑤同时，黑客发送DDOS攻击电力客服中心，致使电厂工作人员无法立即进行电力维修工作

ATP攻击

(考过特点)

• APT攻击(Advanced PersistentThreat，高级持续性威胁)
  • A：技术高级。攻击者掌握先进的攻击技术，使用多种攻击途径，包括购买或自己开发的0Day漏洞，而且，攻击过程复杂，攻击持续过程中攻击者能够动态调整攻击方式，从整体上控制攻击过程。
  • P：持续时间长。与传统黑客进行网络攻击的目的不同，实施APT攻击的黑客组织通常具有明确的攻击目标和目的，通过长期不断的信息搜集、信息监控、渗透入侵实施攻击步骤，攻击成功后一般还会继续留在网络中，等待时机执行进行后续攻击。
  • T：威胁性大。APT攻击通常拥有雄厚的资金支持，由经验丰富的黑客团队发起，一般以破坏国家或是大型企业的关键基础设施为目标，窃取内部核心机密信息，危害国家安全和社会稳定。
• APT防范措施：通过安全沙箱、安全大数据和态势感知等平台，联动全网安全设备，进行统一分析及时检测和预防APT攻击。[核心体现综合分析，多设备联动，不要单纯说某个安全设备]

APT攻击案例

海莲花是一个海外黑客组织，主要攻击中国海事机构、海域建设部门、科研院所和航运企业等单位。其攻击手段主要通过鱼叉邮件投递内嵌恶意宏的Word文件、快捷方式文件、SFX自解压文件、捆绑后的文档图标的可执行文件，入侵成功后通过一些内网渗透工具扫描渗透内网并横向移动，入侵重要服务器，植入Denis家族木马进行持久化控制，通过横向移动和渗透拿到域控或者重要的服务器权限。以上描述的是(D)，这类攻击的特点是()，解决思路()。

选项 A.宏攻击 B.木马 C扫描 D.APT攻击

第三章 密码学基本理论

(本章节大概会考10分)

密码学基础

密码学概念与法律

(背，日期，条例名)

• 密码学主要由密码编码和密码分析两个部分组成：
  • 密码编码学：研究信息的变换处理以实现信息的安全保护
  • 密码分析学：则研究通过密文获取对应的明文信息。
• 《中华人民共和国密码法》于2020年1月1日起实施。2005年4月1日起国家施行《中华人民共和国电子签名法》。密码学相关概念：

密码安全分析

(背，标红处，重点，选择题常考)

密码体制分类

(背，常见的算法对应体制，选择题)

私钥密码/对称密码体制

• 密码体制分为私钥和公钥密码体制两种，而介于私钥和公钥之间的密码体制称为混合密码体制。

• 私钥密码体制又称对称密码体制，该体制的特点是加密和解密使用相同的密钥。消息的收发双方必须事先通过安全渠道交换密钥。

  • 优点：加解密速度快、密文紧凑、使用长密钥时的难破解。
  • 缺点：密钥分配问题、密钥管理问题、无法认证源。

• 常见的对称密钥加密算法如下：DES、3DES、AES、RC4/5、IDEA。

公钥密码/非对称密码体制

• 公钥密码体制又称为非对称加密体制，就是对数据加密和解密的密钥是不同的。
  • 优点：密钥分发方便、密钥保管量少、支持数字签名
  • 缺点：加密速度慢(计算量大，不适合加密大数据)、数据膨胀率高。
• 每个实体有两个密钥：公钥公开，私钥自己保存
  • 公钥加密，私钥解密可实现保密通信
  • 私钥加密，公钥解密，可实现数字签名
• 常见的非对称加密算法如下：
  • RSA：512位(或1024位)密钥，计算量极大，难破解。
  • Elgamal、ECC(椭圆曲线算法)、背包算法、Rabin、DH等。

混合密码体制

混合密码体制：发送方用对称密钥加密需要发送的消息，再用接收方的公钥加密对称密钥，然后一起发送给接收方；接收方先用自己的私钥解密得到对称密钥，然后用对称密钥解密得到明文。

对称加密算法

对称加密算法总结

(常考考点，特别是标红)

DES分组64位，密钥长度56位，每轮子密钥48位

3DES一般情况下密码长度112位

DEA分组64位，密钥长度128位

AES分组128位，密钥长度128、192、256

国产加密算法-SM系列

国产密码算法：是指由国家密码研究相关机构自主研发，具有相关知识产权的商用密码算法，目前已经公布的国产密码算法如下：

公钥密码分类

(选择题)

• 目前公认的比较安全的公钥密码有两类：
  • 基于大素数因子分解困难性：RSA
  • 基于离散对数问题困难性：DH、Elgamal、ECC(椭圆曲线密码)

RSA算法概述

• RSA算法是非对称算法，由Ronald Rivest、Adi Shamir、Leonard Adleman三人发明。RSA算法中公钥和私钥都可以用于加密消息，用于加密消息的密钥与用于解密消息的密钥相反。

• RSA算法提供了一种保护网络通信和数据存储的机密性、完整性、真实性和不可否认性的方法。

• SSH、OpenPGP、S/MIME和SSL/TLS都依赖于RSA进行加密和数字签名功能。

• 公钥密码思想是将传统密码的密钥K一分为二，分为加密钥Ke和解密钥Kd，用加密钥Ke控制加密，用解密钥Kd控制解密。

• 每个用户都将自己的姓名、地址和公开的加密钥等信息在KMC(密钥管理中心)登记，将公钥记,入共享的公钥数据库PKDB(Public Key Database)。

RSA三种模式

(考过大题，计算题/文字描述/看文字画过程图)

加密模式(确保数据的秘密性)

• 发方：

  • ①A首先查PKDB，查到B的公开的公钥KeB
  • ②A用KeB加密明文M得到密文C：C=E(M,KeB)
  • ③A发密文C给B

• 收方：

  • ①B接受C
  • ②B用自己的私钥KdB解密C，得到明文M=D(C,KdB)

认证模式(确保数据的真实性)

• 发方：
  • ①A用自己的私钥KdA加密M,得到密文C：C=E(M,KdA)
  • ②A发密文C给B
• 收方：
  • ①B接受C
  • ②B查PKDB，查到A的公开的公钥KeA③用KeA解密C得到明文M：M=D(C,KeA)

加密认证混合模式(同时确保数据的秘密性和真实性)

• 发方：
  • ①A用自己的私钥KdA加密M，得到中间密文S：S=E(M,KdA)
  • ②然后A查PKDB，查到B的公开的公钥KeB
  • ③A用KeB加密S得到最终的密文C：C=E(S,KeB)
  • ④A发密文C给B
• 收方：
  • ①B接受C
  • ②B用自己的私KdB解密C，得到中间密文S=D(C,KdB)
  • ③B查PKDB，查到A的公开的公钥KeA。用KeA解密S得到明文M，M=D(S,KeA)

非对称加密算法RSA

欧拉函数：对于一个正整数n，小于n且与n互素的正整数的个数，记为φ(n)。

• 对于一个素数n，可知q(n)=n-1
• 对于两个素数p和q，它们的乘积满足n=p×q，则可知φ(n)=(p-1)×(9-1)

欧几里得算法：gcd(a,b)表示a和b的最大公约数，gcd(a,b)=1，表示a,b最大公约数为1，说明a和b互质。

同余：两个整数a,b，若它们除以整数m所得的余数相等，则称a与b对于模m同余，或a同余b模m，记作a=b(mod m).

• 例如：40=1(mod13)，26=2(mod12)。

求解乘法逆元：

• 5xd=1 mod 72，求d ?

• 5xd-1=nx72(n=1,2,3,4…)

• 得：当n=2，d=29

非对称加密算法RSA计算

RSA密码公开密钥(公钥)Ke=<n,e>，保密的解密钥(私钥)Kd =<p,9,d,φ(n)>。

Hash哈希算法

• HASH函数，又称为杂凑函数、散列函数，它能够将任意长度的信息转换成固定长度的哈希值(数字摘要)，并且任意不同消息或文件所生成的哈希值是不一样的。
• h表示hash函数，则h满足下列条件：
  • (1)h的输入可以是任意长度的消息或文件M；
  • (2)h的输出的长度是固定的；
  • (3)给定h和M，计算h(M)是容易的；
  • (4)给定h的描述，找两个不同的消息M1和M2，使得h(M1)=h(M2)是计算上不可行的。
• 哈希函数特性：不可逆性(单向)、无碰撞性、雪崩效应。
• 常见的Hash算法有：
  • (1)MD5算法：以512位数据块为单位来处理输入，产生128位的信息摘要。常用于文件校验
  • (2)SHA算法：以512位数据块为单位来处理输入，产生160位的哈希值，具有比MD5更强的安全性。
  • (3)SM3国产算法：消息分组长度为512比特，输出256位摘要

HASH应用

(一) 文件完整性校验

(二) 账号密码存储

(三) 用户身份认证

• MAC=Hash(密码+R)增加一个随机数R做哈希
• 需要双方预先知道这个R
• MAC：消除中间人攻击，源认证+完整性校验

MAC

• MAC(Message Authentication Code，消息认证码)MAC消息认证码在加密的过程中有两种方法：
  • ①用单向散列函数的实现，MAC函数用单向hash函数加密时，MAC被称为HMAC(Hash Message Authentication Code), MAC=Hash(M+key)
  • ②通过分组密码的实现，比如基于AES的CBC-MAC。

HASH、MAC和HMAC对比

• Hash能验证数据完整性，无法进行用户身份认证，计算过程无密钥参与。
• MAC能保证数据完整性，同时可以进行用户身份验证，有key参与。可以采用Hash或对称加密算法两种技术产生MAC值。
• HMAC是MAC的一种，可以验证数据完整性，也可以验证数据是由原始发送方发出的，使用hash函数来构造，HMAC输出长度与Hash长度一样。

数字签名

• 数字签名：签名者使用私钥对待签名数据的哈希值做密码运算得到的结果，该结果只能用签名者的公钥进行验证。【私钥签名，公钥验证】
• 数字签名具有如下特点：
  • ①非否认：签名者事后不能抵赖自己的签名。(不可否认性)
  • ②真实性：接收者能验证签名，而任何其他人不能伪造签名。(解决冒充问题)
  • ③可鉴别性：如果当事的双方关于签名的真伪发生争执，能够在公正的仲裁者面前通过验证签名来确认其真伪。
  • ④不可篡改：私钥不公开，所以不能篡改签名。
  • 数字签名，可以保证数据的完整性和不可否认性。
• 典型数字签名算法(公钥加密算法)：RSA、Rabin、ELGamal签名体制和DSS标准

PKI与数字证书

数字证书

数字证书(Digital Certificate，类似身份证的作用)

CA(Certificate Authority，电子商务认证授权机构)

• 数字证书按类别可分为个人证书、机构证书和设备证书，按用途可分为签名证书和加密证书。其中签名证书是用于证明签名公钥的数字证书。加密证书是用于证明加密公钥的数字证书。
• 为更好的管理数字证书，一般是基于PKI技术建立数字证书认证系统(简称CA)，CA提供数字证书的申请、审核、签发、查询、发布以及证书吊销等全生命周期的管理服务。
• 数字证书认证系统的构成包括目录服务器、OCSP服务器、注册服务器、签发服务器等。

PKI体系结构

1、用户/终端实体：指将要向认证中心申请数字证书的客户，可以是个人，也可以是集团或团体、某政府机构等。

2、注册机构RA：负责受理用户申请证书，对申请人的合法性进行认证，并决定是批准或拒绝证书申请。注册机构并不给用户签发证书，而只是对用户进行资格审查。较小的机构，可以由CA兼任RA的工作

3、证书颁发机构CA：负责给用户颁发、管理和撤销证书。

4、证书发布系统：负责证书发放，如可以通过用户自己或是通过目录服务。

CRL库：证书吊销列表，存放过期或者无效证书。

密码管理安全协议

密码管理

密码系统的安全性依赖于密码管理。密码管理主要可以分成三个方面内容，即密钥管理、密码管理政策、密码测评。

密码管理：主要围绕密钥的生命周期进行，包括密钥生成、密钥存储、密钥分发、密钥使用、密钥更新,密钥撤销、密钥备份、密钥恢复、密钥销毁、密钥审计。

安全协议

(可能选择题)

• Diffie-Hellman密钥交换协议：基于求解离散对数问题的困难性，通过交换控制消息，保障通信双方能生成相同的密钥K，避免密钥在互联网上传输。常用于IPSec密钥交换

• SSH(Secure Shell ，安全外壳)是基于公钥的安全应用协议，基于TCP22端口，包含SSH传输层协议、SSH用户认证协议和SSH连接协议三个子协议，实现加密、认证、完整性检查等多种安全服务。

  • SSH传输层协议：提供算法协商和密钥交换，并实现服务器的认证，最终形成一个加密的安全连接，该安全连接提供完整性、保密性和压缩选项服务。
  • SSH用户认证协议：利用传输层的服务来建立连接，使用传统的口令认证、公钥认证、主机认证等多种机制认证用户。
  • SSH连接协议：在前面两个协议的基础上，利用已建立的认证连接，并将其分解为多种不同的并发逻辑通道，支持注册会话隧道和TCP转发，而且能为这些通道提供流控服务以及通道参数协商机制。
  • SSH支持远程登录、rsh，rogin、文件传输等多种安全服务，Linux系统一般提供SSH服务，端口号一般为22。
  • SSH可能受到中间人攻击和拒绝服务攻击。

第四章 网络安全体系与安全模型

网络安全模型

网络安全体系概述

网络安全体系是网络安全保证系统的最高层概念抽象，是由各种网络安全单元按照一定的规则组成共同实现网络安全的目标。网络安全体系包括法律法规政策文件、安全策略、组织管理、技术措施标准规范、安全建设与运营、人员队伍、教育培训、产业生态、安全投入等多种要素。