搜索
计算机网络安全内容：1、网络实体的安全2、网络系统的安全计算机网络安全的目标1、完整性2、可用性3、机密性4、可控性5、不可抵赖性计算机网络面临的威胁网络实体威胁：1、自然因素的威胁2、电磁泄漏产生信息泄漏、受电磁干扰和痕迹泄漏等威胁3、操作失误和意外事故的威胁4、计算机网络机房的环境威胁网络系统威胁：网络存储威胁网络传输威胁：截获、中断、篡改、伪造恶意程序威胁：计算机病毒、计算机蠕虫、特洛伊木马、逻辑炸弹网络的其他威胁影响网络安全的因素1、自然因素：自然灾害的影相、环境的影响、辅助保障系统的影响2、技术因素：网络硬件存在安全方面的缺陷、网络软件存在的安全漏洞、系统配置不当造成的其他安全漏洞3、人为因素：人为无意失误、人为恶意攻击P2DR模型策略Policy：是核心，所有的防护、检测和相应都是依据安全策略进行实施防护Protection：系统安全防护、网络安全防护、信息安全防护检测Detection：检查系统本身存在的脆弱性；检查、测试信息是否发生泄漏、系统是否遭到入侵，并找出泄漏的原因和攻击的来源。响应Response：解决潜在安全问题PDRR模型Protection、Detection、Response、Recovery网络安全体系结构层次结构：物理层、数据链路层、网络层、传输层、会话层、表示层、应用层TCP/IP协议：物理网络接口层、网际层、传输层、应用层安全服务：1、鉴别服务2、访问控制服务3、数据保密性服务：连接的保密性、无连接的保密性、选择字段的保密性、流量保密性4、数据完整性服务：有恢复功能的连接完整性、无恢复功能的连接完整性、选择字段的完整性、无连接完整性、选择字段无连接完整性5、抗抵赖服务：数据源发证明的抗抵赖、数据交付证明的抗抵赖安全机制1、加密机制2、数字签名机制：（保证三点）报文鉴别、报文的完整性、不可抵赖3、访问控制机制：确定访问权、建立访问控制机制的手段4、数据完整性机制5、鉴别交换机制6、业务流填充机制、7、路由控制：路由选择、路由连接、安全策略8、公证机制安全管理系统安全管理（活动）：总体安全策略的管理、与其他OSI管理功能的相互作用、与安全服务管理和安全机制的交互作用、事件处理管理、安全审计管理、安全恢复管理安全服务管理（活动）：为安全服务指派安全保护的目标、制定与维护选择规则，选取安全服务所需的特定安全机制、协商需要取得管理员取得同意的可用安全机制、通过适当的安全机制管理功能调用特定的安全机制、与其他安全服务管理功能和安全机制管理进行交互安全机制管理：密钥管理、加密管理、数字签名管理、访问控制管理、数据完整性管理、鉴别管理、通信业务流填充管理、路由控制管理、公证管理网络安全协议一、数据链路层安全通信协议在数据链路层提供安全机制优点：无需对其他任何上层进行改变就能对所有数据加密，提供链路安全；能够有硬件在数据传输和接收时轻易实现，对性能的影响很小能达到速率最高；能够和数据压缩很好的结合起来；对流分析能提供最高的保护性；对隐通道能提供最高的保护性；基于网络攻击的途径最少。缺点：只能应用在两个直连的设备上，而数据在网络上传输时重要的是端到端的安全，在单独的链路上加密并不能保证整个路径的安全性；局域网并不能提供链路层安全；最高的通信成本；新节点加入时需要电信公司重新配置网络。PPP协议部件：HDLC部件、可扩展的LCP部件、NCP部件建链过程：链路层协商阶段、认证阶段、网络层协商阶段PPTP协议（点到点隧道协议）工作流程：让远程用户拨号连接到本地ISP，通过因特网安全远程访问公司网络资源。PPTP对PPP协议本身并没有做任何修改，只是使用PPP拨号连接然后获取这些PPP包并把它们封装进GRE头中。L2TP协议（第二层隧道协议Layer2TunnelingProtocol）好处：不必让第二层连接在NAS（NetworkAccessServer，网络接入服务）而是在电路汇集处终止。特点：差错控制、地址分配、身份认证、安全性能。网络层主要负责网络地址分配和网络上数据包的路由选择。常见的安全认证、数据加密、访问控制、完整性鉴别等，都可以在网络层实现。该层协议有IPSec等。网络层的优点是：在网络层提供安全服务具有透明性，即网络层上不同安全服务的提供不需要应用程序、其它通信层次和网络部件做任何修改；密钥协商的开销相对来说很小；对于任何传输层协议都能为其“无缝”地提供安全保障；可以以此为基础构建虚拟专用网VPN和企业内部网Intranet。缺点：在于很难解决如数据的不可抵赖之类的问题。二、传输层安全通信协议在数据链路层提供安全机制：优点：不需要强制为每个应用作安全方面的改进，传输层能够为不同的通信应用配置不同的安全策略和密钥缺点：传输层不可能提供类似于“隧道”和“防火墙”这样的服务三、应用层安全通信协议在应用层提供安全机制：优点：以用户为背景执行，更容易访问用户凭据；对用户想保护的数据具有完整的访问权，简化了提供某些特殊服务的工作；应用可自由扩展，不必依赖操作系统来提供缺点：针对每个应用，都要单独设计一套安全机制PGP加密解密过程：1、根据一些随机的环境数据产生一个密钥2、发送者采用加密算法，使用会话密钥报文进行加密3、发送者采用非加密算法，使用接受者的公开密钥对会话密钥进行加密，并与加密报文结合PGP的签名验证过程：1、PGP根据报文内容，利用单向hash函数计算出定长的报文摘要2、发送者用自己的私钥对报文摘要进行加密得到数字签名3、发送者把报文和数字签名一起打包传送给接收者4、接收者用相同的hash函数计算接收到的报文的摘要5、接收者用发送者的公钥解密接收到的数字签名6、接收者比较4、5步计算的结果是否相同，相同的则表示验证通过，否则拒绝PGP加密签名过程：1、PGP根据报文内容，利用单向hash函数计算出定长的报文摘要2、发送者用自己的私钥对报文摘要进行加密得到数字签名3、发送者把报文和数字签名合并然后用IDEA对称加密算法加密4、发生者采用RSA算法，使用接收者的公开密钥对IDEA回话密钥进行加密5、将3、4步的计算结果一起发送给接收者6、接收者首先用自己的私钥解密出会话密钥7、接收者用会话密钥解密出邮件明文（M）和发送者的数字签名（S1）8、接收者用相同的单位hash函数计算M的摘要9、接收者用发送者的公钥解密接收到的数字签名S110、接收者比较8、9的计算结果是否相同，相同的则表示验证通过，否则不通过SET协议双签名过程：1、产生订购信息OI和支付指令PI2、构造双签名DoubleSig3、产生会话密钥：SessionKey1和SessionKey24、构造通过商家发给支付网关的持卡人的支付授权信息CH_PG_PayAuth5、DoubleSig构造持卡人的支付授权信息6、用SessionKey1加密CH_PayAuth，生成持卡人给支付网关的数字信封7、构造CH_PG_PayAuth，以及持卡人发给购物商家的购物请求CH_M_PurchaseReq8、用用SessionKey2加密后，生成持卡人给商家的数字信封，向商家发送CH_M_PurchaseReq密码体制分类：对称密码体制、公钥密码体制、混合密码体制信息加密方式：链路加密、节点加密、端到端加密消息认证技术：消息内容认证、源和宿认证、消息序号和操作时间的认证Web站点安全措施：完整性、机密性、加密、认证、授权、责任、可用性、审计安全策略：认证策略、访问控制策略、隐私策略一般攻击方法：对用户的攻击、对系统的攻击电子邮件安全策略：认证、访问控制、日志审计、邮件过滤、垃圾邮件行为标识电子邮件攻击方法：邮件炸弹、邮件欺骗、匿名转发、邮件病毒的危害、垃圾邮件FTP工作模式：Port模式、Pasv模式DNS设计缺陷问题：单点故障、无认证机制、超高速缓冲中毒、访问量和维护量巨大以及远距离集中式数据库DNS安全隐患：网络拓扑结构不合理、软件配置不当以及没有及时更新升级访问控制方法：访问控制矩阵、访问能力表、访问控制表、授权关系表、Bell-LaPadula模型：微信安全系数高于QQ，原因：在BLP模型中的访问控制原则是“只能向下读、向上写”，从消息保密性方面来看，由于在QQ和微信两者中，只能是微信可以访问QQ的信息资源，QQ可以向微信写入数据。Biba模型：QQ高于微信，原因：在Biba模型中，用户只能向比自己安全级别低的课题写入信息，从消息完整性方面来看，由于在QQ和微信两者中，只能是QQ可以向微信写入信息、微信可以向QQ读取信息防火墙的特性：内部网络和外部网络之间的所有网络数据流都必须经过防火墙只有符合安全策略的数据流才能通过防火墙防火墙自身应具有非常强的抗攻击免疫力防火墙体系结构：双重宿主主机体系结构：Interest---网卡—主机---网卡---用户屏蔽主机体系结构：Interest---屏蔽路由—主机---用户屏蔽子网体系结构：Interest---屏蔽路由—主机---屏蔽路由---用户.防火墙技术：数据包过滤、应用网关、代理服务入侵检测系统结构：事件发生器、事件分析器、相应单元、事件数据库入侵检测系统分类：基于主机的入侵检测、基于网络的入侵检测(检测的数据来源)入侵检测模型：通用入侵检测模型、层次化入侵检测模型、智能化入侵检测模型入侵检测技术1、异常检测：量化分析、统计法、预测模型生成法、神经网络、基于免疫学方法误用检测：模式匹配、专家系统、完整性分析、协议分析、状态转移分析2、分布式入侵检测系统类型：层次式、协作式、对等式入侵检测系统评估标准：准确性、完备性、及时性、容错性