1、信息系统项目管理师重点考点知识点 1：瀑布模型的特点 瀑布模型为软件的开发和维护提供了一种有效有管理模式，对保证软件产品的质量有重要的作用；可根据这一模式制定出开发计划，进行成本预算，组织开发力量，以项目的阶段评审和文档控制为手段，有效地对整个开发过程进行指导；在一定程度上消除非结构化软件、降低软件的复杂度、促进软件开发工程化方面起到显著作用；瀑布模型缺乏灵活性、无法通过开发活动来澄清本来不够确切的需求，这将导致直到软件开发完成时发现所开发的软件并非是用户所需求的。知识点 2：信息安全有三类加密方式：对称加密算法、非对称加密算法和不可逆加密算法。他们可以分别应用于数据加密、身份认证和数据安全传
2、输。l 对称加密算法对称加密算法是应用较早的加密算法，技术成熟。在对称加密算法中，数据发信方将明文（原始数据）和加密密钥一起经过特殊加密算法处理后，使其变成复杂的加密密文发送出去。收信方收到密文后，若想解读原文，则需要使用加密用过的密钥及相同算法的逆算法对密文进行解密，才能使其恢复成可读明文。在对称加密算法中，使用的密钥只有一个，发收信双方都使用这个密钥对数据进行加密和解密，这就要求解密方事先必须知道加密密钥。对称加密算法的特点是算法公开、计算量小、加密速度快、加密效率高。不足之处是，交易双方都使用同样钥匙，安全性得不到保证。此外，每对用户每次使用对称加密算法时，都需要使用其他人不知道的惟一钥
3、匙，这会使得发收信双方所拥有的钥匙数量成几何级数增长，密钥管理成为用户的负担。对称加密算法在分布式网络系统上使用较为困难，主要是因为密钥管理困难，使用成本较高。在计算机专网系统中广泛使用的对称加密算法有 DES、IDEA 和 AES。传统的 DES 由于只有 56 位的密钥，因此已经不适应当今分布式开放网络对数据加密安全性的要求。1997 年 RSA 数据安全公司发起了一项“DES 挑战赛”的活动，志愿者四次分别用了四个月、41 天、56 个小时和 22 个小时破解了 56 位密钥 DES 算法加密的密文，证明了 DES 加密算法在计算机速度提升后的今天被认为是不安全的！（3DES 是 128
4、 位的）AES 是美国联邦政府采用的商业及政府数据加密标准，预计将在未来几十年里代替 DES在各个领域中得到广泛应用。AES 提供 128 位密钥，因此，128 位 AES 的加密强度是 56 位DES 加密强度的 1021 倍还多。假设可以制造一部可以在 1 秒内破解 DES 密码的机器，那么使用这台机器破解一个 128 位 AES 密码需要大约 149 亿万年的时间。 （更深一步比较而言，宇宙一般被认为存在了还不到 200 亿年）因此可以预计，美国国家标准局倡导的 AES 即将作为新标准取代 DES。2 不对称加密算法不对称加密算法使用两把完全不同但又是完全匹配的一对钥匙公钥和私钥。在使用
5、不对称加密算法加密文件时，只有使用匹配的一对公钥和私钥，才能完成对明文的加密和解密过程。加密明文时采用公钥加密，解密密文时使用私钥才能完成，而且发信方（加密者）知道收信方的公钥，只有收信方（解密者）才是唯一知道自己私钥的人。不对称加密算法的基本原理是，如果发信方想发送只有收信方才能解读的加密信息，发信方必须首先知道收信方的公钥，然后利用收信方的公钥来加密原文；收信方收到加密密文后，使用自己的私钥才能解密密文。显然，采用不对称加密算法，收发信双方在通信之前，收信方必须将自己早已随机生成的公钥送给发信方，而自己保留私钥。由于不对称算法拥有两个密钥，因而特别适用于分布式系统中的数据加密。广泛应用的不
6、对称加密算法有 RSA 算法和美国国家标准局提出的 DSA。以不对称加密算法为基础的加密技术应用非常广泛。3 不可逆加密算法不可逆加密算法的特征是加密过程中不需要使用密钥，输入明文后由系统直接经过加密算法处理成密文，这种加密后的数据是无法被解密的，只有重新输入明文，并再次经过同样不可逆的加密算法处理，得到相同的加密密文并被系统重新识别后，才能真正解密。显然，在这类加密过程中，加密是自己，解密还得是自己，而所谓解密，实际上就是重新加一次密，所应用的“密码”也就是输入的明文。不可逆加密算法不存在密钥保管和分发问题，非常适合在分布式网络系统上使用，但因加密计算复杂，工作量相当繁重，通常只在数据量有限
7、的情形下使用，如广泛应用在计算机系统中的口令加密，利用的就是不可逆加密算法。近年来，随着计算机系统性能的不断提高，不可逆加密的应用领域正在逐渐增大。在计算机网络中应用较多不可逆加密算法的有 RSA 公司发明的 MD5 算法和由美国国家标准局建议的不可逆加密标准 SHS(Secure Hash Standard:安全杂乱信息标准)等知识点 3：成本管理要估计为了提交项目可交付成功所进行的所有任务和活动，以及这些任务和活动需要的时间和资源。这些都要耗费组织的资金，只有把所有的这些成本累加，管理者才能真正了解项目的成本并进行相应的成本控制。成本管理的主要工作包括：1、 首先进行项目成本估算，2、 其
8、次项目成本预算，3、 然后作出成本管理计划，4、 最后也是最关键的是根据成本管理计划进行成本控制。当评估项目时，根据成本管理计划对成本偏差作出判断，根据数据与基线的偏差程度将作出不同的反应。10%的偏差可能不需要作出任何反应，而 100%的偏差将需要进行调查。根据往年项目管理师考试题型分布，成本管理重点考核的两点是：挣值分析法 和 净现值相关计算。1、 挣值分析法a) 三个基本参数。PV 是计划工作量的预算费用，AC 已完成工作量的实际费用，EV 已完成工作量的预算成本（挣值）b) 四个评价指标i. CV = EV AC，CV0 表示成本节省，0 表示进度超前，1 表示节省，否则超支iv. S
9、PI = EV / PV，SPI 1 表示进度超前，否则落后2、 净现值相关计算a)净现值 = 第 n 年利润 / （1+贴现率）nb)动态投资回收期，是根据净现值计算出来的c)投资收益率 = 1 / 动态投资回收期 * 100%知识点 4：软件信息系统项目管理的软件维护软件维护 软件经过测试，交付给用户后，在使用和运行过程中必定需要一些维护工作，比如程序修改等。软件维护占整个软件生命周期的 6080。维护的类型包括四类：改正性维护、适应性维护、完善性维护以及预防性维护。1、改正性维护：为了识别和纠正软件错误、改正软件性能上的缺陷、排除实施中的错误，应当进行的诊断和改正错误的过程叫做改正性维护
10、。2、适应性维护：在使用过程中，外部环境（新的硬件软件配置） 、数据环境（数据库、数据格式、数据输入/输出方式、数据存储介质）可能发生变化。为使软件适应这种变化，而进行的软件修改过程叫做适应性维护。3、完善性维护：在软件的使用过程中，用户往往会对软件提出新的功能、性能要求。为了满足这种要求而进行的软件功能扩充、增强性能的维护过程叫做完善性维护。4、预防性维护：为了提高软件的可维护性、可靠性等，为以后进一步改进软件打下良好的基础。即把今天的方法学用于昨天的系统以满足明天的需要。以上四类维护在软件维护过程种所占的比例如下：sss序号 维护类别 所占比例 1 完善性维护 50 2 适应性维护 25
11、3 改正性维护 20 4 预防性维护 5知识点 5：VLAN- 信息系统项目管理师VLAN 具有以下优点： 控制网络的广播风暴 确保网络安全 简化网络管理 1 、VLAN 概述 VLAN（Virtual Local Area Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。IEEE 于 1999 年颁布了用以标准化 VLAN 实现方案的 802.1Q 协议标准草案。 VLAN（虚拟局域网）是对连接到的第二层交换机端口的网络用户的逻辑分段，不受网络用户的物理位置限制而根据用户需求进行网络分段。一个 VLAN 可以在一个交换机
12、或者跨交换机实现。VLAN 可以根据网络用户的位置、作用、部门或者根据网络用户所使用的应用程序和协议来进行分组。基于交换机的虚拟局域网能够为局域网解决冲突域、广播域、带宽问题。VLAN 技术允许网络管理者将一个物理的 LAN 逻辑地划分成不同的广播域（或称虚拟 LAN，即 VLAN） ，每一个 VLAN 都包含一组有着相同需求的计算机工作站，与物理上形成的 LAN 有着相同的属性。但由于它是逻辑地而不是物理地划分，所以同一个 VLAN 内的各个工作站无须被放置在同一个物理空间里，即这些工作站不一定属于同一个物理 LAN 网段。一个 VLAN内部的广播和单播流量都不会转发到其他 VLAN 中，从
13、而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN 是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了 VLAN 头，用 VLAN ID 把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。VLAN 在交换机上的实现方法，可以大致划分为 4 类：1、基于端口划分的 VLAN 这种划分 VLAN 的方法是根据以太网交换机的端口来划分，比如 Quidway S3526 的 14 端口为 VLAN 10，517 为 VLAN 20，1824 为
14、VLAN 30，当然，这些属于同一 VLAN 的端口可以不连续，如何配置，由管理员决定，如果有多个交换机，例如，可以指定交换机 1 的 16端口和交换机 2 的 14 端口为同一 VLAN，即同一 VLAN 可以跨越数个以太网交换机，根据端口划分是目前定义 VLAN 的最广泛的方法，IEEE 802.1Q 规定了依据以太网交换机的端口来划分 VLAN 的国际标准。这种划分的方法的优点是定义 VLAN 成员时非常简单，只要将所有的端口都指定义一下就可以了。它的缺点是如果 VLAN A 的用户离开了原来的端口，到了一个新的交换机的某个端口，那么就必须重新定义。2、基于 MAC 地址划分 VLAN
15、这种划分 VLAN 的方法是根据每个主机的 MAC 地址来划分，即对每个 MAC 地址的主机都配置他属于哪个组。这种划分 VLAN 的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN 不用重新配置，所以，可以认为这种根据 MAC 地址的划分方法是基于用户的 VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个 VLAN 组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样
16、，VLAN 就必须不停的配置。3、基于网络层划分 VLAN 这种划分 VLAN 的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如 IP 地址，但它不是路由，与网络层的路由毫无关系。它虽然查看每个数据包的 IP 地址，但由于不是路由，所以，没有 RIP，OSPF 等路由协议，而是根据生成树算法进行桥交换，这种方法的优点是用户的物理位置改变了，不需要重新配置所属的 VLAN，而且可以根据协议类型来划分 VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别 VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检
17、查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查 IP 帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。4、根据 IP 组播划分 VLAN IP 组播实际上也是一种 VLAN 的定义，即认为一个组播组就是一个 VLAN，这种划分的方法将 VLAN 扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。鉴于当前业界 VLAN 发展的趋势，考虑到各种 VLAN 划分方式的优缺点，为了最大程度上地满足用户在具体使用过程中
18、需求，减轻用户在 VLAN 的具体使用和维护中的工作量，Quidway S 系列交换机采用根据端口来划分 VLAN 的方法。知识点 6：VPN- 信息系统项目管理师随着企业网应用的不断发展，企业网的范围也不断扩大，从一个本地网络发展到跨地区跨城市甚至是跨国家的网络。与此同时随着互联网络的迅猛发展，Internet 已经遍布世界各地，从物理上讲 Internet 把世界各地的资源相互连通。正因为 Internet 是对全世界开放的，如果企业的信息要通过 Internet 进行传输，在安全性上可能存在着很多问题。但如果采用专用线路构建企业专网，往往需要租用昂贵的跨地区数据专线。如何能够利用现有的
19、Internet 来建立企业的安全的专有网络呢？虚拟专用网（VPN）技术就成为一个很好的解决方案。虚拟专用网（VPN）是指在公共网络中建立专用网络，数据通过安全的“加密通道“在公共网络中传播。企业只需要租用本地的数据专线，连接上本地的 Internet，各地的机构就可以互相传递信息；同时，企业还可以利用 Internet 的拨号接入设备，让自己的用户拨号到 Internet 上，就可以连接进入企业网中。使用 VPN 有节省成本、提供远程访问、扩展性强、便于管理和实现全面控制等优点，将会成为今后企业网络发展的趋势。虚拟专用网的本质实际上涉及到密码的问题。在无法保证电路安全、信道安全、网络安全、应
20、用安全的情况下，或者也不相信其他安全措施的情况下，一种行之有效的办法就是加密，而加密就是必须考虑加密算法和密码的问题。考虑到我国对密码管理的体制情况，密码是一个单独的领域。对防火墙而言，是否防火墙支持对其他密码体制的支持，支持提供 API 来调用第三方的加密算法和密码，非常重要。VPN 通常采用的加密标准是 3DES，然而它的算法相当复杂，加密过程需要很多计算处理步骤，这会影响到系统性能，增加加密设备的带宽开销。另一类新型加密标准是 AES（增强加密标准） ，它采用的算法要简单些，但目前还只有Check Point 和 Nortel 支持。AES 具备较大的密钥空间，不易攻破，AES 有望在不
21、远的将来取代 3DES。对大多数公司来说，主要是选择加密标准（3DES 或 AES） ，至于与加密相关的其它功能，如 IKE（Internet 密钥交换）会话、加密密钥生成、通道协议以及安全机制组合都易于设置，一般运用产品的默认设置也就可以了。知识点 7：PKI-信息系统项目管理师PKI 是一种新的安全技术，它由公开密钥密码技术、数字证书、证书发放机构（CA）和关于公开密钥的安全策略等基本成分共同组成的。PKI 是利用公钥技术实现电子商务安全的一种体系，是一种基础设施，网络通讯、网上交易是利用它来保证安全的。从某种意义上讲，PKI 包含了安全认证系统，即安全认证系统-CA/RA 系统是 PKI
22、 不可缺的组成部分。PKI（Public Key Infrastructure）公钥基础设施是提供公钥加密和数字签名服务的系统或平台，目的是为了管理密钥和证书。一个机构通过采用 PKI 框架管理密钥和证书可以建立一个安全的网络环境。PKI 主要包括四个部分：X.509 格式的证书（X.509 V3）和证书废止列表 CRL（X.509 V2） ；CA/RA 操作协议；CA 管理协议；CA 政策制定。一个典型、完整、有效的 PKI 应用系统至少应具有以下部分；认证中心 CA CA 是 PKI 的核心，CA 负责管理 PKI 结构下的所有用户（包括各种应用程序）的证书，把用户的公钥和用户的其他信息捆
23、绑在一起，在网上验证用户的身份，CA 还要负责用户证书的黑名单登记和黑名单发布，后面有 CA 的详细描述。X.500 目录服务器 X.500 目录服务器用于发布用户的证书和黑名单信息，用户可通过标准的 LDAP 协议查询自己或其他人的证书和下载黑名单信息。 具有高强度密码算法(SSL)的安全 WWW 服务器 出口到中国的 WWW 服务器，如微软的IIS、Netscape 的 WWW 服务器等，受出口限制，其 RSA 算法的模长最高为 512 位，对称算法为 40 位，不能满足对安全性要求很高的场合，为解决这一问题，采用了山东大学网络信息安全研究所开发的具有自主版权的 SSL 安全模块，在 SS
24、L 安全模块中使用了自主开发的SJY 系列密码设备，并且把 SSL 模块集成在 Apache WWW 服务器中，Apache WWW 服务器在WWW 服务器市场中占有百分之 50 以上的份额，其可移植性和稳定性很高。 Web（安全通信平台） Web 有 Web Client 端和 Web Server 端两部分，分别安装在客户端和服务器端，通过具有高强度密码算法的 SSL 协议保证客户端和服务器端数据的机密性、完整性、身份验证。 自开发安全应用系统 自开发安全应用系统是指各行业自开发的各种具体应用系统，例如银行、证券的应用系统等。 完整的 PKI 包括认证政策的制定（包括遵循的技术标准、各 C
25、A 之间的上下级或同级关系、安全策略、安全程度、服务对象、管理原则和框架等） 、认证规则、运作制度的制定、所涉及的各方法律关系内容以及技术的实现。知识点 8：Kerberos-信息系统项目管理师Kerberos 是一种提供验证物理不安全网络上主体身份方法的网络认证服务。Kerberos 提供相互认证、数据完整性和保密性，是基于网络流量易受攻击以导致被捕获、检查和替换的情况下的现实假设。Kerberos 使用对称密钥加密算法来实现。Kerberos 凭单是验证身份的凭证。有两种类型的凭单：授予凭单的凭单和服务凭单。授予凭单的凭单针对的是初始标识请求。登录到主机系统时，需要能验证您的身份的凭证，例
26、如密码或标记。具有授予凭单的凭单后，就可以使用授予凭单的凭单来为特定的服务请求服务凭单。这种两种凭单的方法称为 Kerberos 的可信任第三方。授予凭单的凭单向 Kerberos 服务器认证您的身份，而服务凭单是向服务安全地介绍您。Kerberos 中的可信任第三方或媒介称为密钥分发中心（KDC） 。KDC 向客户机发出所有 Kerberos 票据。Kerberos 数据库保留每个主体的记录；记录包含关于每个主体的名称、专用密钥、主体的到期日及某些管理信息。主 KDC 包含数据库的主要副本，并将其发送到从属 KDC。知识点 9：入侵检测入侵检测是指监视或者在可能的情况下，阻止入侵或者试图控制
27、你的系统或者网络资源的那种努力。入侵检测系统执行的主要任务包括：监视、分析用户及系统活动；审计系统构造和弱点；识别、反映已知进攻的活动模式，向相关人士报警；统计分析异常行为模式；评估重要系统和数据文件的完整性；审计、跟踪管理操作系统，识别用户违反安全策略的行为。入侵检测一般分为 3 个步骤，依次为信息收集、数据分析、响应（被动响应和主动响应） 。 入侵检测系统技术：可以采用概率统计方法、专家系统、神经网络、模式匹配、行为分析等来实现入侵检测系统的检测机制，以分析事件的审计记录、识别特定的模式、生成检测报告和最终的分析结果。发现入侵检测一般采用如下两项技术： 异常检测技术，假定所有入侵行为都是与
28、正常行为不同的。它的原理是，假设可以建立系统正常行为的轨迹，所有与正常轨迹不同的系统状态则视为可疑企图。异常阀值与特征的选择是其成败的关键。其局限在于，并非所有的入侵都表现为异常，而且系统的轨迹难于计算和更新。误用检测技术，它是假定所有入侵行为和手段（及其变种）都能够表达为一种模式或特征，所有已知的入侵方法都可以用匹配的方法发现。模式发现技术的关键是如何表达入侵的模式，以正确区分真正的入侵与正常行为。模式发现的优点是误报少，局限是只能发现已知的攻击，对未知的攻击无能为力。入侵检测系统的分类：通常，入侵检测系统按其输入数据的来源分为 3 种：基于主机的入侵检测系统，其输入数据来源于系统的审计日志
29、，一般只能检测该主机上发生的入侵。基于网络的入侵检测系统，其输入数据来源于网络的信息流，能够检测该网段上发生的网络入侵。分布式入侵检测系统，能够同时分析来自主机系统审计日志和网络数据流的入侵检测系统，系统由多个部件组成，采用分布式结构。 另外，入侵检测系统还有其他一些分类方法。如根据布控物理位置可分为基于网络边界（防火墙、路由器）的监控系统、基于网络的流量监控系统以及基于主机的审计追踪监控系统；根据建模方法可分为基于异常检测的系统、基于行为检测的系统、基于分布式免疫的系统；根据时间分析可分为实时入侵检测系统、离线入侵检测系统。入侵检测的主要方法：静态配置分析静态配置分析通过检查系统的当前系统配
30、置，诸如系统文件的内容或者系统表，来检查系统是否已经或者可能会遭到破坏。静态是指检查系统的静态特征（系统配置信息） ，而不是系统中的活动。采用静态分析方法主要有以下几方面的原因：入侵者对系统攻击时可能会留下痕迹，这可通过检查系统的状态检测出来；系统管理员以及用户在建立系统时难免会出现一些错误或遗漏一些系统的安全性措施；另外，系统在遭受攻击后，入侵者可能会在系统中安装一些安全性后门以方便对系统进行进一步的攻击。 所以，静态配置分析方法需要尽可能了解系统的缺陷，否则入侵者只需要简单地利用那些系统中未知的安全缺陷就可以避开检测系统。异常性检测方法异常性检测技术是一种在不需要操作系统及其防范安全性缺陷
31、专门知识的情况下，就可以检测入侵者的方法，同时它也是检测冒充合法用户的入侵者的有效方法。但是，在许多环境中，为用户建立正常行为模式的特征轮廓以及对用户活动的异常性进行报警的门限值的确定都是比较困难的事，所以仅使用异常性检测技术不可能检测出所有的入侵行为。目前这类入侵检测系统多采用统计或者基于规则描述的方法建立系统主体的行为特征轮廓：统计性特征轮廓由主体特征变量的频度、均值以及偏差等统计量来描述，如 SRI 的下一代实时入侵检测专家系统，这种方法对特洛伊木马以及欺骗性的应用程序的检测非常有效。基于规则描述的特征轮廓由一组用于描述主体每个特征的合法取值范围与其他特征的取值之间关系的规则组成（如 T
32、IM） 。该方案还可以采用从大型数据库中提取规则的数据挖掘技术。 神经网络方法具有自学习、自适应能力，可以通过自学习提取正常的用户或系统活动的特征模式，避开选择统计特征这一难题。基于行为的检测方法通过检测用户行为中那些与已知入侵行为模式类似的行为、那些利用系统中缺陷或间接违背系统安全规则的行为，来判断系统中的入侵活动。 目前基于行为的入侵检测系统只是在表示入侵模式（签名）的方式以及在系统的审计中检查入侵签名的机制上有所区别，主要可以分为基于专家系统、基于状态迁移分析和基于模式匹配等几类。这些方法的主要局限在于，只是根据已知的入侵序列和系统缺陷模式来检测系统中的可疑行为，而不能检测新的入侵攻击行
33、为以及未知的、潜在的系统缺陷。入侵检测方法虽然能够在某些方面取得好的效果，但总体看来各有不足，因而越来越多的入侵检测系统都同时采用几种方法，以互补不足，共同完成检测任务。 入侵检测系统的结构及标准化：目前，通用入侵检测架构（CIDF）组织和 IETF 都试图对入侵检测系统进行标准化。CIDF 阐述了一个入侵检测系统的通用模型，将入侵检测系统分为 4 个组件：事件产生器、事件分析器、响应单元及事件数据库。CIDF 将入侵检测系统需要分析的数据统称为事件，它可以是网络中的数据包，也可以是从系统日志等其他途径得到的信息。 事件产生器是从整个计算环境中获得事件，并向系统的其他部分提供此事件；事件分析器
34、分析得到的数据，并产生分析结果；响应单元则是对分析结果作出反应的功能单元，它可以作出切断连接、改变文件属性等强烈反应，也可以是简单的报警。事件数据库是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。在这个模型中，前三者以程序的形式出现，而最后一个则往往是文件或数据流。 入侵检测系统的几个组件往往位于不同的主机上。一般会有 3 台机器，分别运行事件产生器、事件分析器和响应单元。 IETF 的 Internet 草案工作组（IDWG）专门负责定义入侵检测系统组件之间，及不同厂商的入侵检测系统之间的通信格式，目前只有相关的草案（draft） ，还未形成正式的 RFC
35、 文档。IDWG 文档有：入侵警报协议（IAP） ，该协议是用于交换入侵警报信息、运行于 TCP 之上的应用层协议；入侵检测交换协议（IDXP） ，这个应用层协议是在入侵检测实体间交换数据，提供入侵检测报文交换格式（IDMEF）报文、无结构的文本，二进制数据的交换； IDMEF 是数据存放格式隧道（TUNNEL） 文件，允许块可扩展交换协议（BEEP）对等体能作为一个应用层代理，用户通过防火墙得到服务。IAP 是最早设计的通信协议，它将被 IDXP 替换，IDXP 建立在 BEEP 基础之上，TUNNEL 文件配合IDXP 使用。 入侵检测系统面临的主要问题误报误报是指被入侵检测系统测出但其实
36、是正常及合法使用受保护网络和计算机的警报。假警报不但令人讨厌，并且降低入侵检测系统的效率。攻击者可以而且往往是利用包结构伪造无威胁“正常”假警报，以诱使收受人把入侵检测系统关掉。 没有一个入侵检测无敌于误报，应用系统总会发生错误，原因是：缺乏共享信息的标准机制和集中协调的机制，不同的网络及主机有不同的安全问题，不同的入侵检测系统有各自的功能；缺乏揣摩数据在一段时间内行为的能力；缺乏有效跟踪分析等。精巧及有组织的攻击攻击可以来自四方八面，特别是一群人组织策划且攻击者技术高超的攻击，攻击者花费很长时间准备，并发动全球性攻击，要找出这样复杂的攻击是一件难事。另外，高速网络技术，尤其是交换技术以及加密
37、信道技术的发展，使得通过共享网段侦听的网络数据采集方法显得不足，而巨大的通信量对数据分析也提出了新的要求。 总之，存在的问题：首先，入侵系统必须具有更高的效率，以最小的失误率检测到最大范围的攻击；其次，随着现代网络不断向大范围、高速度和动态发展，入侵检测必须跟上网络发展的步伐。我们需要进一步分析技术来支持对各种类型攻击的有效识别。入侵检测系统的发展趋势 从总体上讲，目前除了完善常规的、传统的技术（模式识别和完整性检测）外，入侵检测系统应重点加强与统计分析相关技术的研究。许多学者在研究新的检测方法，如采用自动代理的主动防御方法，将免疫学原理应用到入侵检测的方法等。其主要发展方向可以概括为： （1
38、）分布式入侵检测与 CIDF 传统的入侵检测系统一般局限于单一的主机或网络架构，对异构系统及大规模网络的检测明显不足，同时不同的入侵检测系统之间不能协同工作。为此，需要分布式入侵检测技术与 CIDF。（2）应用层入侵检测许多入侵的语义只有在应用层才能理解，而目前的入侵检测系统仅能检测 Web 之类的通用协议，不能处理如 Lotus Notes 数据库系统等其他的应用系统。许多基于客户服务器结构、中间件技术及对象技术的大型应用，需要应用层的入侵检测保护。 （3）智能入侵检测 目前，入侵方法越来越多样化与综合化，尽管已经有智能体系、神经网络与遗传算法应用在入侵检测领域，但这些只是一些尝试性的研究工
39、作，需要对智能化的入侵检测系统进一步研究，以解决其自学习与自适应能力。 （4） 与网络安全技术相结合 结合防火墙、PKIX、安全电子交易（SET）等网络安全与电子商务技术，提供完整的网络安全保障。 （5） 建立入侵检测系统评价体系 设计通用的入侵检测测试、评估方法和平台，实现对多种入侵检测系统的检测，已成为当前入侵检测系统的另一重要研究与发展领域。评价入侵检测系统可从检测范围、系统资源占用、自身的可靠性等方面进行，评价指标有：能否保证自身的安全、运行与维护系统的开销、报警准确率、负载能力以及可支持的网络类型、支持的入侵特征数、是否支持IP 碎片重组、是否支持 TCP 流重组等。 总之，入侵检测
40、系统作为一种主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。随着网络通信技术安全性的要求越来越高，为给电子商务等网络应用提供可靠服务，而由于入侵检测系统能够从网络安全的立体纵深、多层次防御的角度出发提供安全服务，必将进一步受到人们的高度重视。小结：入侵检测解决方案应具有全面的入侵防护能力，是一个高效、简单易用的解决方案。它应提供广泛的监视、入侵和攻击检测、非法 URL 检测和阻塞、报警、记录及实时响应等各种功能。通过对网络流量进行监听，对传输内容进行扫描、显示、报告、记录和报警，并提供相应的报告。知识点 10：OMT 方法OMT 方法有三
41、种模型：对象模型、动态模型、功能模型。对象模型：描述系统中对象的静态结构、对象之间的关系、对象的属性、对象的操作。对象模型表示静态的、结构上的、系统的“数据”特征。 （用对象和类图表示）动态模型：描述与时间和操作顺序有关的系统特征激发事件、事件序列、确定事件先后关系的状态以及事件和状态的组织。动态模型表示瞬时的、行为上的、系统的“控制”特征。 （用状态图表示）功能模型：描述与值变换有关的系统特征功能、映射、约束和函数依赖。 （用数据流图表示）三者的关系： 与功能模型的关系：对象模型展示了功能模型中的动作者、数据存储和流的结构，动态模型展示了执行加工的顺序。 与对象模型的关系：功能模型展示了类上
42、的操作和每个操作的变量，因此它也表示了类之间的“供应者客户”关系；动态模型展示了每个对象的状态以及它接受事件和改变状态时所执行的操作。 与动态模型的关系：功能模型展示了动态模型中未定义的不可分解的动作和活动的定义，对象模型展示了是谁改变了状态和经受了操作。知识点 11：OOA 的主要优点加强了对问题域和系统责任和理解；改进与分析有关的各类人员之间的交流；对需求的变化具有较强的适应性；支持软件复用；贯穿软件生命周期全过程的一致性；实用性；有有利于用户的参与。OOA 过程包括以下主要活动：发现对象，定义它们的类；识别对象的内部特征，定义属性，定义服务；识别对象的外部关系；划分主题，建立主题图；定义
43、 use case，建立交互图；建立详细说明；原型开发。知识点 12：Enterprise JavaBean（EJB）组件模型特点EJB 基础知识 EJB(Enterprise Java Bean)规范由 Sun 公司制定，在 EJB2.0 规范中对 EJB 定义如下：EJB 是用于开发和部署多层结构的、分布式的、面向对象的 Java 应用系统的跨平台的构建体系结构。使用 EJB 编写的应用程序具有可扩展性、交互性，以及多用户安全的特性。这些应用只需要写一次，就可以发不到任何支持 EJB 规范的服务器平台上。 虽然 EJB 似乎仅仅是 Java Bean 的企业版，但 EJB 绝对不是 Jav
44、a Bean 的简单升级。Java Bean 是 Java 语言中的一种构件模型，其重点是允许开发人员在开发工具中可视化的操作构件，Java Bean 可以被集成到任何 Java 程序中，尤其是在 Java Applet 和Application 中得到了大量的应用。而 EJB 是一种非可视化构件，EJB 完全运行于服务器端。EJB 可以和远程的客户端程序通讯，并提供一定的功能。如果 EJB 不和客户端程序交互，则不执行具体的功能。同 Java Bean 不一样的是，EJB 仅仅在网络计算的环境下才有意义。 有三种类型的 EJB，分别是会话 Bean(Session Bean)、实体 Bean
45、(Entity Bean)和消息驱动 Bean(Message-driven Bean)。一个 Session Bean 描述了与客户端的一个短暂的会话。当客户端的执行完成后，Session Bean 和它的数据都将消失。Entity Bean 对应数据实体，它描述了存储在数据库的表中的持久数据。如果客户端终止或者服务结束，底层的服务会负责 Entity Bean 数据的持久性(也就是将其存储到某个地方，如数据库)；Message-driven Bean 是 EJB2.0 新增的类型，它结合了一个 Session Bean 和一个 Java 信息服务(JMS)信息监听者的功能。客户把消息发给
46、JMS 目的地，然后 JMS 提供者和 EJB 容器协作， 把消息发送给 Message- driven Bean.Enterprise JavaBean（EJB）组件模型特点：EJB 是面向服务端的 JavaBean 组件模型。它是一种特殊的、非可视化的 JavaBean，运行在服务器上；EJB 组件模型主要包括 EJB Server、EJB Container、EJB Object 发及诸多相关特性；EJB Server 提供 EJB 组件运行环境，它负责管理和协调应用程序资源的分配；EJB Container 是用于管理 EJB Object 的设备，它负责 EJB 对象的生命周期的管理
47、，实现 EJB 对象的安全性，协调分布式事务处理，并负责 EJB 对象的上下文切换；EJB 规范提供了这样的一种机制，你可以通过在运行时设置相应的属性值来定义每一个EJB 对象的运行状态；Deployment Descriptor 被用于设置 EJB 对象的运行状态。知识点 13：JavaBean 组件模型特点 JavaBean 组件模型特点：JavaBean 组件模型是面向向客户端的组件模型； 它支持可移植和可重用的 Java 组件的开发； JavaBean 组件可以工作于任何 Java 程序应用开发工具中； JavaBean 组件总是在程序运行时被实例化； JavaBean 支持可视化及非
48、可视化的组件模型。知识点 14：三层 Cs 结构具有优点传统的二层结构相比，三层 Cs 结构具有以下优点。允许合理地划分三层结构的功能，佼之在逻辑上保持相对独立性，从而使整个系统的逻辑结构更为清晰，能提高系统和软件的可维护性和可扩展件。允许更灵活有效地选用相应的平台和硬件系统，使之在处理负荷能力上与处理特性上分别适应于结构清晰的二层；并且这些平台和各个组成都分可以具有良好的可升级件和开放性。例如，最初用一台 uNx 工作站作为服务器，将数据层和功能层都配置在这台服务器上。随着业务的发展，用户数和数据量逐渐增加，这时，就可以将洲 D(工作站作为功能层的专用服务器，另外追加一台专用于数据层的服务器
49、。若业务进一步扩人，用户数进”步增加，则可以继续增加功能层的服务器数目，用以分割数据库。清晰、合理地分割三层结构并使其独立，可以便系统构成的变更非常简单。因此，被分成二层的应用基本上不需要修正。三层 Cs 结构中，应用的各层可以并行开发，各层也可以选择各自最适合的开发话言。使之能并行地而且是高效地进行开发，达到较高的性能价格比；对每腰的处理逻辑的开发和维护也会更容易些。允许充分利用功能层有效地隔离开表示层与数据层，未授权的用户难以绕过功能层而利用数据库工具或黑客手段去非法地防问数据层，这就为严格的安全管理奠定了坚实的基础；整个系统的管理层次也更加合理和可控制。知识点 15：结构化分析结构化分析是面向数据流进行需求分析的方法，适用于数据处理类型软件的需求分析。具体来说，结构化分析就是用抽象模型的概念，按照软件内部数据传递、变换的关系，自顶向下逐层分解，直至找到满足功能要求的所有可实现的软件为止。知识点 16：软件需求分析的目标软件需求分析的目标是深入描述软件的功能和性能，确定软件设计的约束和软件同其他系统元素的接口细节，定义软件的其他有效性需求。需求分析的任务就是借助于当前系统的逻辑模型导出目标系统
