信息安全三级知识点.doc

1、第一章：信息安全保障基础1：信息安全大致发展经历 3 个主要阶段：通信保密阶段，计算机安全阶段和信息安全保障阶段2：现代信息安全主要包含两层含义（1）运行系统的安全（2）完整性，机密性，可用性，可控制性，不可否认性。3：信息安全产生的根源（1）内因：信息系统的复杂性，包括组成网络通信和信息系统的自 身缺陷，互联网的开放性（2）外因：人为因素和自然环境的原因4：信息安全保障体系框架（1）生命周期：规划组织 ，开发采购，实施交付，运行维护，废弃（2）安全特征：保密性，完整性，可用性（3）保障要素：技术，管理，工程，人员 5：P2DR 安全模型Pt Dt+Rt Pt 表示系统为了保护安全气目标设置各

2、种保护后的防护时间，或者理解为在这样的保护方式下，黑客攻击安全目标所花费的时间；Dt 代表从入侵者开始发动入侵开始，到系统能够检测到入侵行为所花费的时间Rt 代表从发现入侵行为开始，到系统能够做出足够的响应，讲系统调整到正常状态的时间Et=Dt+Rt （P t =0） Dt 和 Rt 的和安全目标系统的暴露时间 Et，E t 越小系统越安全6：信息安全技术框架（IATF ）：核心思想是纵深防御战略，即采用多层次的，纵深的安全措施来保障用户信息及信息系统的安全。核心因素是人员，技术，操作。7：IATF4 个技术框架焦点域：本地计算环境，区域边界，网络及基础设施，支撑性基础设施。8：信息系统安全保

3、障工作的内容包括：确保安全需求，设计和实施安全方案，进行信息安全评测和实施信息安全监控与维护。第 2 章：信息安全基础技术与原理1：数据加密标准 DES;高级加密标准 AES；数字签名标准 DSS；2：对称密钥的优点：加密解密处理速度快，保密度高，缺点：密钥管理和分发复杂，代价高，数字签名困难3:对称密钥体制：分组密码和序列密码常见的分组密码算法：DES,IDEA,AES公开的序列算法主要有 RC4，SEAL4：攻击密码体制方法（1）穷举攻击法（2）密码分析学：差分分析和线性分析5：差分密码分析法的基本思想：是通过分析明文对的差值对密文的差值影响来恢复某些密钥比特。线性密码分析基本思想：寻找一

4、个给定密码算法有效的线性近似表达式来破译密码系统:6：对称密码设计的主要思想是：扩散和混淆7：数据加密标准 DES 算法 64 为分组大小，64 位密钥，起作用的只有 56 位。8：IDEA 利用 128 位密钥对 64 位明文分组，经过连续加密产生 64 位密文分组。9：AES 分组长度固定位 128 位，密钥长度可以使 8,192 和 256 位，10：Rijndael 使用的密钥和分组长度可以使 32 位的整数倍，以 128 位为下限，256 位为上限。11：主流的非对称密码包括 RSA,ElGamal，椭圆曲线密码（ECC） 。RSA 基于大合数因式分解难的问题设计ElGamal 基于

5、离散对数求解困难的问题设计ECC 基于椭圆曲线离散对数求解困难的问题设计12：典型的哈希函数：消息摘要算法 MD5，安全散列算法 SHA13：哈希函数的特点：压缩，易计算，单向性，抗碰撞性，高灵敏性。哈希函数的应用：消息认证，数字签名，口令的安全性，数据完整性14：消息摘要算法 MD5 按 512 位进行处理产生 128 位消息摘要，SHA 预处理完毕后的明文长度是 512 位整数倍，输出的是 160 位15：密钥的产生的硬件技术：力学噪声源，电子学噪声源，混沌理论16：密钥的分配：人工密钥分发，基于中心密钥分发（密钥分发中心 KDC，密钥转换中心KTC）17：基于中心的密钥分发两种模式：拉模

6、式和推模式18：最典型的密钥交换协议：Diffie-Hellman 算法。19：公开密钥分配：（1）公开发布（2）公用目录（3）公钥授权（4）公钥证书20：公钥授权的优点：更高的安全性，缺点由于用户想要与其他人联系都要求助于公钥管理机构分配公钥，这样公钥机构可能会成为系统的瓶颈，此外维护 公钥目录表也科恩给你被对手窜扰。21：产生认证函数的 3 种类型：消息加密，消息认证码，哈希函数22：消息认证码是一种认证技术，它利用密钥来生成一个固定长度的数据块，并将该数据块附加在消息之后。23：系统采用的认证协议有两种：单向认证协议，双向认证协议24：身份认证基本手段：静态密码方式，动态口令方式，USB

7、 Key 认证以及生物识别技术动态口令：主要有短信密码和动态口令牌两种方式。优点在于一次一密，安全性高，缺点在于如果客户端硬件与服务器程序的时间或次数不能保持良好的同步，就可能发生合法的用户无法登陆。USB Key：主要有两种模式（1）挑战应答模式和基于 PKI 体系的认证模式生物识别技术：优点使用者几乎不能被仿冒，缺点价格昂贵，不够稳定25：访问控制模型26：LBP 模型具有下读上写的特点，方式机密信息向下级泄露。Biba 不允许向下读，向上写的特点，可以有效的保护数据的完整性。Chinese Wall 模型是应用在多边安全系统中的安全模型，有两个主要的属性， （1）用户必须选择一个他可以访

8、问的区域（2）用户必须自动拒绝来自其他与用户所选区域的利益冲突区域的访问。27：基于角色访问控制（RBAC）模型要素包括用户，角色和许可28:RBAC 与 MAC 的区别在于：MAC 是基于多级安全需求的，而 RBAC 则不是。29：访问控制技术分两类：一类是集中式访问控制技术，另一类是分布式访问控制技术，即非集中式访问控制技术30：集中式的 AAA 管理协议包括拨号用户远程认证服务 RADIUS,终端访问控制器访问控制系统 TACACS，Diameter 等。31：RADIUS 协议是一个客户端/服务器协议，运行在应用层，使用 UDP 协议，身份认证和授权使用 1812 端口，审计使用 18

9、13 端口。32：RADIUS 有 3 个主要的功能：（1）对需要访问网络的用户或设备进行身份验证， （2）对身份验证的用户或设备授予访问资源的权限， （3）对以及授权的访问进行审计，33：RADIUS 的审计独立于身份验证和授权服务。34：TACACS+使用传输控制协议 TCP35：Diameter 协议支持移动 IP，NAS 请求和移动代理的认证，授权和审计工作，协议的实现和 RADIUS 类似，但是采用 TCP 协议，支持分布式审计。是最适合未来移动通信系统的 AAA 协议。36：Diametet 协议包括基本协议，NAS（网络接入服务）协议,EAP（可扩展鉴别）协议，MIP（移动 IP

10、）协议 ,CMS（密码消息语法）协议37：广泛使用的三种分布式访问控制方法为单点登录，Kerberos 协议和 SESAME38：常用的认证协议：基于口令的认证协议，基于对称密码的认证，基于公钥密码的认证39：一个审计系统通常由 3 部分组成：日志记录器，分析器，通稿器。40：恶意行为的监控方式主要分为两类：主机监测和网络监测。第 3 章：系统安全1：计算机主要由 4 个部分组成：硬件设备，基本输入输出系统，操作系统，应用程序。2：CPU 通常在两种模式下运行（1）内核模式（核心层 Ring0） （2）用户模式，也成用户层（Ring3 ） ，操作系统在内核模式下运行，其他应用应当在用户模式下运

11、行3：将 CPU 从用户模式转到内核模式的唯一办法就是触发一个特殊的硬件自陷如（1）中断（2）异常（3）显式地执行自陷指令4：用户接口是为了方便用户使用计算机资源所建立的用户和计算机之间的联系，主要有两类接口：作业级接口和程序级接口。作业级接口是操作系统为用户对作业运行全过程控制提供的功能，程序级接口是操作系统专门为用户程序设置的，它也是用户程序取得操作系统服务的以为途径。5：从功能上划分 3 类系统调用：设备输入输出系统调用，硬盘的输入输出及磁盘文件管理的系统调用，其他系统调用6：操作系统的基本功能：资源管理，用户接口，进程管理，内存管理操作系统的基本安全实现机制包括 CPU 模式和保护环，

12、进程隔离，内存保护等7：文件系统准确的说是一种数据链表，用来描述磁盘上的信息结构8：常见保护环（1）0 环：操作系统内核（2）1 环：操作系统的其他部分（3）2 环：I/O驱动程序和实用工具（4）3 环：应用程序和用户活动9：UNIX 系统可分为 3 层：硬件层，内核层和用户层。关键系统组件包括内存管理系统，文件系统，进程间通信，进程调度系统和设备驱动程序10：守护进程是脱离于终端并且在后台运行的进程，在系统引导时装入，在系统关闭时终止。11：系统和用户进行交流的界面称为终端，当控制终端关闭时，相应的进程都会自动关闭。12：服务是运行在网络服务器上监听用户请求的进程，通过 inetd 进程或启

13、动脚本来启动通过 inetd 来启动的服务可以通过在/etc/inetd.conf 文件中注释来禁用，通过启动脚本启 动的服务可以通过改变脚本的名称禁用。13：inetd 是 UNIX 最重要的网络服务进程，通过集中配置文件 inetd.conf 来管理大多数入网连接，根据网络请求来调用相应的服务进程来处理连接请求，有助于降低系统负载。xinetd 以及取代了 inetd，并且提供了访问控制，加强的日志和资源管理功能，已经成为新版的 UNIX/Linux 系统的 Internet 标准超级守护进程。14：Linux 系统中，用户的关键信息被存放在系统的/etc/passwd 文件中。 15：I

14、SO/IEC 15408 标准将可信定义为：参与计算的组件，操作或过程在任意的条件下是可预测的，并能够抵御病毒和物理干扰。16：信任根是系统可信的基点，TCG 定义可信计算平台的信任根包括 3 个根：可信测量根（RTM） ，可信存储根（RTS） ，可信报告根（RTR） 。17：可信平台（TPM）是由 CPU，存储器，I/O，密码运算器，随机数产生器和嵌入式操作系统等部件。18：可信密码模块的核心功能包括：度量平台完整性，建立平台免疫力，为平台身份提供唯一性表示，提供硬件级密码计算和密钥保护。 19：可信计算组织的可信计算系统结构可划分为 3 个层次：可信密码模块，可信密码模块服务模块，安全应用

15、。20：可信网络连接（TNC）的优点：开放性，安全型，增加了平台身份验证和完整性验证。局限性：局限于完整性，单向可信评估，缺乏安全协议支持，缺乏网络接入后的安全保障第四章：网络安全1：网络之间的连接通过物理介质实现的：物理介质包括双绞线，光纤灯有线介质，也包括无线电，微波，激光等无线介质。2：TCP/IP 的体系结构：从下往上：物理和数据链路层，网际层，传输层和应用层。3：网络地址：A 类：0.0.0.0127.255.255.255 B 类： 128.0.0.0191.255.255.255 C 类：192.0.0.0223.255.255.255 D 类：224.0.0.0239.255.

16、255.255 E 类：240.0.0.0255.255.255.255私有地址：A 类：10.0.0.010.255.255.255 B 类：172.16.0.0172.31.255.255 C 类：192.168.0.0192.168.255.255 （1）网络地址：在 A，B，C 三类地址中，主机号全为 0 的地址用来表示一个网络的本网地址。（2）直接广播地址：在 A， B，C 三类地址中，主机号全为 1 的地址为直接广播地址，用于表示特定网络的所有主机（3）受限广播地址：ip 地址 32 位全为 1，即 255.255.255.255，则这个地址表示当前网络的广播地址（4）自环地址：I

17、P 地址为 127.0.0.14：TCP 初始序列号常用的产生方法包括 3 种：第一种 64K 规则法，就是在一个 tcp 连接启动时，在原有的序列号基础上增加一个 64000 的常量作为新的序列号。第二种是与时间相关的产生规则，序列号的值是与时间相关的值，第三种是伪随机数产生规则，通过伪随机数产生器产生序列号。5：TCP 欺骗攻击包括非盲攻击和盲攻击两种6：DNS 欺骗技术可分为基于 DNS 服务器的欺骗和基于用户计算机的欺骗。7：网站挂马的主要技术手段有：框架挂马（分直接加载框架挂马和框架嵌套挂马两种方法），JS 脚本挂马，body 挂马和伪装欺骗挂马8：DoS/DDoS 攻击的防御措施（

18、1）静态和动态 DDoS 过滤器（2）反欺骗技术（3）异常识别（4）协议分析（5）速率限制（6）增强系统安全性，及早发现系统中的漏洞，及时安装补丁，禁止所有不需要的服务（7）利用普通防火墙，路由器等网络设备，和网络安全设备加固网络的安全性，关闭服务器的非开放服务端口，限制 SYN 半连接数量，配置好访问控制列表的过滤规则，禁止网络中的无用 UDP 数据包和 ICMP 数据包。9：开源 Web 应用安全项目（OWASP）10：注入攻击的防范（1）使用预编译语句（2）使用存储过程来验证用户的输入（3）在数据类型，长度，格式和范围等方面对用户输入进行过滤（4）使用数据库自带的安全参数（5）按照最小权

19、限原则设置数据库的连接权限11：跨站脚本攻击 XSS 分三类：（1）反射型 XSS（2）存储型 XSS（3）DOM-based XSS12：反射型 XSS 也称作为非持久型跨站脚本攻击：一般是向用户发出带有恶意攻击脚本的一个 URL 连接，诱骗用户区点击。存储型 XSS 称为持久型跨站脚本攻击，攻击者将恶意数据非法存储在 Web 服务器端的页面中。DOM-based XSS 是基于文档对象模型的跨站脚本攻击，攻击者通过对 javascript 脚本动态修改 DOM 结构，进而导致 XSS 漏洞。13：XSS 的防范（1）给关键 Cookie 设置 Httponly 标识（2）进行输入检查（3）

20、进行输出查14：跨站脚本请求伪造（CSRF）是伪造客户端请求的一种攻击方式。是让用户访问攻击者伪造的网页，执行网页中的恶意脚本。防范措施：（1）使用验证码（2）在用户会话验证信息中添加随机数15：木马的连接方式：木马程序都采用 C/S 的结构，他由两部分程序组成，客户端和服务端木马程序，攻击一方安装木马的客户端，同时诱骗用户安装木马的服务端。16：防火墙的功能：（1）防火墙在内网外网之间进行数据过滤（2）对网络传输和访问的数据进行记录和审计（3）防范内外网之间的异常网络攻击（4）通过配置 NAT 提高网络地址转换功能17：防火墙技术：（1）包过滤技术（2）状态监测技术（3）地址翻译技术（4）应

21、用级网关技术18：防火墙体系结构：双重宿主主机体系结构，屏蔽主机体系结构和屏蔽子网体系结构的防火墙19：入侵检测系统的分类（1）根据数据采集方式的分类：基于网络的入侵检测系统 NIDS和基于主机的入侵检测系统 HIDS（2）根据检测原理分类：误用检测型入侵检测系统和异常检测型入侵检测系统。误用检测技术（1）专家系统（2）模型推理 异常检测技术（1）统计分析（2）神经网络（3）其他入侵检测技术：模式匹配，文件完整性检验，数据挖掘，计算机免疫20：入侵检测体系结构：基于网络/主机的入侵检测系统，集中式结构，分布式结构 21：入侵检测系统包括探测器和控制台两大部分：探测器是专用的硬件设备负责网络数据

22、流的捕获，分析检测和报警等。控制台是管理探测器的工具，它负责接收探测器的检测日志数据，并提供数据查询和报告生成功能。22：入侵防御系统可以实现下面 3 个功能（1）拦截恶意流量（2）实现对传输内容的深度检测和安全防护（3）对网络流量检测的同时进行过滤23：入侵防御系统的部署（1）内外网络的边界（2）DMZ 与防火墙的边界（3）内网核心交换机和防火墙中间（4）内网关键服务器的外侧24：入侵防御系统的不足（1）可能造成单点故障（2）可能造成性能瓶颈（3）漏报和误报的影响25：公共密钥基础设施 PKI 的作用主要包括（1）验证用户身份并颁发证书（2）确保用于证书签名的非对称密钥的安全（3）管理证书信

23、息资料26：证书认证机构系统的组成结构：认证中心（根 CA） ，密钥管理中心（KM） ，认证下级中心（子 CA） ，证书审批中心（RA 中心） ，证书审批受力点（RAT）27：证书的验证（1）验证有效性（2）验证可用性（3）验证真实性证书的安全性（1）物理安全（2）网络安全（3）密码安全28：信任模式：（1）单证书认证机构信任模式：这种模式中的 PKI 体系只有一个证书认证机构，PKI 的所有终端用户都信任这个证书认证机构（2）层次信任模式：由一级根证书认证机构 1 个，二级的政策证书认证机构 3 个，三级的运营证书认证机构多个，三个层次组成。第一层为根认证机构（Root CA） ，第二层为政

24、策证书认证机构（Policy CA） ，第三层为运营证书认证机构（ Operation CA）（3）桥证书机构认证信任模式：使不同结构类型的 PKI 体系中的中端用户都可以通过桥证书认证机构连接在一起，并实现相互信任。29：虚拟专网 VPN 分为 Client-LAN（也被称为远程访问型 VPN）和 LAN-LAN 两种连接类型（也被称为网络到网关类型的 VPN） 。30:VPN 应用了多种信息安全技术和网络技术，包含隧道技术，加密解密，完整性验证密钥管理技术和身份认证技术。其中网络隧道技术室 VPN 的关键技术，它的原理是使一种协议封装在另一种安全协议中传输，从而实现被封装协议的安全性。31

25、：VPN 协议的分类（1） 第二层隧道协议即链路层隧道协议，主要有三种，第一种点对点隧道协议 PPTP，第二种是二层转发协议 L2F，第三种二层隧道协议 L2TP，结合前面两种协议的优点。（2） 介于二三层之间的隧道协议：MPLS VPN 是一种基于多协议标记交换 MPLS 技术的 IP-VPN（3） 第三层隧道协议即网络层的隧道协议，主要包括 IPSec 和 GRE 等隧道协议（4） 传输层的 SSL VPN 协议，采用标准的安全套接层协议 SSL 对传输的数据包进行加密32：Internet 安全协议 IPSec 包括网络安全协议和米啊哟协商协议两部分。网络安全协议包括：认证协议头 AH

26、协议和安全载荷封装 ESP 协议。密钥协商协议包括互联网密钥交换协议 IKE 等33：（1）ESP 协议为基于 IPSec 的数据通信提供了安全加密，身份认证和数据完整性鉴别这三种安全保护机制。根据封装的内容不同，可将 ESP 分为传输模式和隧道模式两种模式。传输模式下，ESP 对于要传输的 IP 数据包中的 IP 有效数据载荷进行加密和认证。隧道模式用于网关设备到网关设备的网络连接。ESP 采用的主要加密标准时 DES 和 3DES（2）认证协议头分为传输模式和隧道模式两种。分别用于和 ESP 相同的网络连接环境中传输模式中，认证协议头被插在 IP 数据包的 IP 头之后，有效数据载荷之前，

27、它对整个新 IP 数据包进行完整性检验认证，IP 报头 AH 头 IP 有效载荷隧道模式中 IP 数据包格式不变，认证协议头被插在原 IP 头之前，并生成一个新的 IP 头放在认证协议头之前，新 IP 报头AH 报头 原 IP 报头 IP 有效载荷（3）密钥协商协议ESP 和认证协议在进行 IPSec 数据安全封装过程中需要使用加密算法，数据完整性检验算法和密钥等多种安全参数。IKE 协议负责两个 IPSec 对等体之间协商相关安全参数，包括协商协议参数，交换公共密钥，双方进行认证以及在交换安全参数后对密钥的管理，IKE 协议属于混合型协议，由 3个协议组成：ISAKMP,Oakley，SKE

28、ME.沿用了 Oakley 的密钥交换模式和 SKEME 的共享密钥和密钥组成技术。IKE 使用两阶段协商安全参数：第一阶段，通过协商 IKE SA 建立一个通信信道并对该信道进行验证。第二阶段，IKE 使用第一阶段由 IKE SA 协议建立的安全通道一个完整的 IPSec 隧道建立过程：1） IPSec 的一端收到另一端的 IPSec 数据流后将产生 IKE 会话2） IPSec 两端使用 IKE 的主模式或者主动模式协商，交换 IKE SA，建立安全通道3） IPSec 两端使用 IKE 的快速模式协商，交换 IPSec SA，建立 IPSec 安全通道4） 上述协商完成并建立 IPSec

29、 安全通道，传输的数据采用 ESP 或者认证协议进行封装后就可以在加密通道上传输了综上可知 IPSec 提供了数据加密，身份认证和完整性检验这三个最基本的安全措施保证通过 IPSec 建立的 VPN 的安全性。34：安全套接层：解决了 TCP/IP 协议的安全防护问题，为传输层之上的应用层提供了加密，身份认证，和完整性验证的防护。（1） SSL 协议的构成，建立在 TCP/IP 协议之上，包括两层协议：记录协议和握手协议SSL 记录协议位于 SSL 握手协议的下层，定义了传输格式，上层数据包括 SSL 握手协议建立安全连接时所需传送的数据，他们都通过 SSL 记录协议往下层进行传送。35：应用

30、层安全协议：Kerberos 协议，SSH 协议，SHTTP 协议，S/MIME 协议，SET 协议。（1） Kerberos 协议是一种认证协议，主要用于分布式网络环境中，实现用户和服务器之间的安全身份认证。（2） SSH 协议可以把所有的传输数据进行加密，同时能防止 DNS 欺骗和 IP 欺骗攻击。SSH 支持的两种登陆认证方式第一种基于口令的登录认证第二种是登录认证需要依靠密钥来进行（3） SHTTP 协议是一种基于 HTTP 设计的消息安全通信协议，提供了对称密钥加密功能，支持用户浏览器到服务器之间的数据安全传输，加密用到的对称密钥是通过公钥加密后传输到 Web 服务器的。（4） S/

31、MIME 协议即安全多用途网际邮件扩充协议提供针对电子邮件的数字签名和数据加密功能，以弥补 SMTP 协议和 POP3 协议在安全功能方面的不足。第五章应用安全1：漏洞分类（1） 本地漏洞：指攻击者必须在本机拥有访问权限的前提下才能攻击并利用的软件漏洞（2） 远程利用漏洞：指攻击者可以通过网络发起攻击并利用的软件漏洞2：根据漏洞形成的原因分类（1）输入验证错误漏洞（2）缓冲区溢出漏洞（3）设计错误漏洞（4）意外情况处置错误漏洞（5）访问验证错误漏洞（6）配置错误漏洞（7）竞争条件漏洞（8）环境错误漏洞（9）外部数据被异常执行漏洞3：美国国家漏洞数据库 NVD 收录了三个漏洞公告和安全警告：CV

32、E 漏洞公告，US-CERT 漏洞公告，US-CERT 安全警告。CNNVD 中国国家信息安全漏洞库，国家信息安全漏洞共享平台 CNVD，国家互联网应急中心（CNDERT 或 CNCERT/CC）4：.text 段是存放程序代码的区域，该区域为只读，任何对该区域的写操作都会导致段违法出错。.bss 段和.data 段都保存的是全局变量，其中.bss 段包含未初始化的全局变量，.data 段包含已初始化的全局变量，他们都是可写的。这块区域编译时分配空间，程序运行结束时回收。 堆（heap）是先进先出的数据结构，往高地址增长，主要用来保存动态分配变量栈（stack ）是一个后进先出的数据结构，往低

33、地址增长，它保存本地变量，函数调用信息。5：Windows 应用程序 4GB 虚拟内存空间被分成两个部分：一个给用户模式，其范围是0x000000000x7fffffff。另一个分给内核模式，空间是 0x800000000xbfffffff。6：（1）指令寄存器 eip 用于存放一个指针，该指针始终指向下一条要执行指令（即要被调用的函数）的地址，即返回地址（2）基址指针寄存器 ebp 用于存放一个指针，该指针始终指向当前执行指令（正被调用的函数）所对应栈帧的底部地址，即基址，也被称为栈帧底部指针。（3）栈指针寄存器 esp 用于存放一个指针，该指针始终指向当前执行指令（即正在被调用的函数）所对

34、应栈帧的最新栈顶地址，也称为栈顶指针。7：函数别调用一般过程（1） 参数入栈（2）返回地址入栈（3）代码区跳跃（4）ebp 中母函数栈帧基址指针入栈（5）esp 值装入 ebp，ebp 更新为新栈帧基地址（6）给新栈帧分配空间8：溢出漏洞：栈溢出，堆溢出，单字节溢出，格式化字符串漏洞，内存地址对象破坏性调用漏洞整数溢出漏洞：整数分有符号类和无符号类，有符号的负数最高位是 1，正数最高位是 0，无符号类就没有这类限制，分为三类：存储溢出，运算溢出，符号问题数组越界漏洞：由不正确的数组访问造成的，相关特征：读取恶意构造的输入数据，用输入数据计算数组访问索引，对数组进行读/写操作写污点值到污点地址漏

35、洞：这个漏洞一般存在 Windows 设备驱动中，攻击者利用这种漏洞修改操作系统内核的关键数据结构，相关特征：读取污点数据，读取污点地址，向污点地址写入污点数据9：缓冲区溢出攻击，攻击者一般向存在漏洞的软件程序输入数据一般包括：随机填充数，NOP 填充字段，shellcode 和新的返回地址。10：kernel32.dll 中提供了 LoadLibrary（）和 GetProcAddress（）两个关键的函数，通过他们就可以获取任意 API 的地址，从而实现 API 调用。11：漏洞利用技术（1） 静态 shellcode 地址的利用技术：（2） 动态变化的 shellcode 地址的利用技术

36、（3） Heap Spray 技术：在 shellcode 的前面加上大量的滑板指令，之后反复向系统申请大量的内存，并且反复用这个注入代码段来填充12：软件漏洞利用的防范技术（1） GS Stack protection 技术是一项缓冲区溢出的检测防护技术（2） DEP 数据执行保护技术可以限制内存堆栈区的代码为不可执行状态，从而防范溢出后代码的执行（3） ASLR 地址空间分布随机化是一项通过将系统关键地址随机化，从而使攻击者无法获得需要跳转的精确地址的技术，使用 ASLR 技术的目的就是打乱系统中存在的固定地址（4） SafeSEH 是 Windows 异常处理机制所采用的重要数据结构链表

37、，定义程序发生各种异常时相应的处理函数保存在 SHE 中，攻击者通过缓冲区溢出覆盖SHE 中异常处理函数句柄，将其替换为指向恶意代码 shellcode 的地址。（5） SEHOP 结构化异常处理覆盖保护13：软件开发生命周期模型：瀑布模型，螺旋模型，迭代模型，快速原型模型14：软件静态安全检测技术可以用于对软件源代码和可执行代码的检测软件源代码静态检测：词法分析，数据流分析，污点传播分析，符号执行，模型检验，定理证明可执行代码的静态安全检测：基于程序结构的安全检测技术，基于程序语义的安全检测技术15：软件动态安全检测技术：模糊测试，智能模糊测试，动态污点分析16：基于软件技术的软件安全保护技

38、术：（1） 注册信息验证技术（2） 软件防篡改技术：通过完整性检验来检测软件是否被攻击者篡改，有两种方式判断。第一种：判断内存中的代码段是否能通过完整性检验。第二种：判断硬盘中的文件是否被篡改（3） 代码混淆技术：技术手段有词法转换，控制流转换，数据转换（4） 软件水印技术：可分为代码水印和数据水印，代码水印是将水印信息隐藏在程序的代码和指令部分。数据水印是将水印信息隐藏在程序的头文件，字符串和调试信息数据中。（5） 软件加壳技术：第一类压缩保护壳，第二类加密保护壳17：单一功能的病毒：（1）文件感染型病毒（2）宏病毒（3）引导型病毒（4）邮件型病毒18：蠕虫一般由两个部分组成：一个主程序和一

39、个引导程序19：加密狗一种广泛应用在硬件介质的软件安全保护技术20：针对 Web 系统的主要安全威胁包括：注入，跨站脚本，造破坏的身份认证和会话管理，不安全的直接对象引用，伪造跨站请求。第六章：信息安全管理 1：信息安全管理体系（ISMS）构架实施的有效性有两方面的含义：一是控制活动应严格要求实施，二是活动的结果要达到预期的目标要求。2：信息安全管理体系审核时为了获得审核证据。对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的，独立的并形成文件的检查。3：组织机构实施信息安全管理体系认证时根据国际上的信息安全管理标准BS7799 标准4：识别和控制机构面临的风险的过程成为风险管理，这

40、个过程有两个主要任务：实现识别和风险控制5：信息安全风险评估原值：自主，适应度量，已定义过程，连续过程的基础6：风险评估过程：（1）信息资产评估（2）风险的确定（3）识别可能的控制（4）记录风险评估的结果7：风险控制策略（1）采取安全措施，消除或减小漏洞的不可控制的残留风险（2）将风险转移到其他区域，或转移到外部（3）减小漏洞产生的影响（4）了解产生的后果，并接受没有控制或缓解的风险8：访问控制可以分为下列三类：预防性的访问控制，探查性访问控制，纠正性访问控制，9：访问控制依赖四个原则：身份标识，验证，授权和责任衡量 10：信息安全事件管理与应急响应 4 个不同的计划：业务持续性计划 BCP，

41、灾难恢复计划DRP，事故响应计划 IRP，应急计划 CP。11：持续性战略计划有三种互不相同的选项：热站点，暖站点，冷站点，以及三种共享功能：时间共享，服务台和共有协议。第七章：信息安全标准与法规1：可信的计算机系统安全评估标准（TCSEC） ，信息技术安全评估标准（ITSEC）由（法国，英国，荷兰，德国）发布的，信息技术安全评价的通用标准（CC）由六个国家联合发布的（美国，加拿大，英国，法国，德国，荷兰）2：BS 7799 分为两个部分，第一部分：信息安全管理实务准则。第二部分：信息安全管理系统的规范3：GB 17895-1999计算机信息系统安全保护等级划分准则 ，将信息系统划分 5 个等

42、级：自主保护级，信息审计保护级，安全标记保护级，结构化保护级和访问验证保护级。主要考核指标有身份认证，自主访问控制，数据完整性，审计。4：GB/T 18336信息技术安全性评估准则 的优缺点优点：（1） 提倡安全工程的思想，通过信息安全产品的评价，确保产品的安全性（2） 通过参数化，解决了安全特性的不同产品与系统之间存在的差异（3） 不再强调功能的级别，而是强调保证的级别，注重非技术性因素的评价（4） 从两个侧面，即安全功能和安全保证方面，描述产品的安全模型，并覆盖了物理，网络，安全特性的三维安全框架结构的绝大部分内容（5） 将公认的安全需求制定成响应的标准文档（6） 安全功能，安全保证及安全

43、评价之间相互独立，安全功能需求定义了所期望的安全行为，安全保证需求是有效实施安全措施的基础，而安全评价则是测定安全功能需求与保证需求的可信程度缺点：（1） 只是指定了一个框架，定义了标准的主体，可操作性不强，具体步骤还需要大量文档进行补充。（2） CC 标准比价复杂，概念众多，标准文本晦涩难懂，在一定程度上制约了该标准的推广和普及（3） 更适合于产品在市场推广之前的认证，产品经过安全性评价和可用性鉴定之后投入实际使用，所以适合于指导开发过程，而对已经使用的信息系统不太适用（4） 评估结果最终是一个客观参考性的结果，是一个通过或未通过的声明，对企业的实际指导意义不是很强，国际上基于 CC 标准评

44、价的认证机构很少，且评估过程复杂，评估成本高，缺少灵活性与实用性5：保障信息网络安全的法治对策的分析（1） 必须坚持加快信息法治建设，依法保障信息网络安全 （2） 必须坚持依法遏制信息安全纳入维护国家安全之中（3） 必须坚持依法耳坠恐怖与分裂势力向信息化领域的蔓延（4） 必须不断提高依法应对信息化条件下反分裂斗争的法治能力（5） 必须坚持从保障信息安全的国际法治建设方面谋划国际合作.6：CC 评估 7 个等级 EAL1， EAL2. EAL3, EAL4，EAL5，EAL6, EAL7.每一级需评估 7 个功能类，分别是配置管理，分发和操作，开发过程，指导文献，生命期的技术支持，测试和脆弱性评

45、估。7：CNITSEC 中国国家信息安全测评中心的简称ISO 13335 标准首次提出关于 IT 安全的机密性，完整性，可用性，审计性，认证性，可靠性 6 个方面的含义。并提出了以风险为核心的安全模型。8：国际标准化主要组织有国际标准化组织（ISO）,国际电工委员会（IEC） ，国际电信联盟（ITU） ，Internet 工程任务组（ IETF）等。9：信息安全管理基本技术从物理安全，网络安全，主机安全，应用安全和数据安全五个层面提出信息安全管理基本管理要求从安全管理制度，安全管理机构，人员安全管理，系统建设管理和系统运维管理五个层面提出。 基本技术要求和基本管理要求是确保信息系统安全不可分割的两个部分。 10：信息系统的安全保护等级由两个等级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成的危害程度11：信息系统安全保护等级划分准则的四个要素：业务信息类型，业务信息受到破坏影响的客体，系统服务类型和系统服务受到破坏影响的客体12：国家秘密的保密期限除另有规定外，绝密级不超过三十年，机密级不超过二十年，秘密级不超过十年。13：国家对商用密码产品的科研，生产，销售和使用实行专控管理。