本文格式為Word版，下載可任意編輯——網(wǎng)絡(luò)信息安全final網(wǎng)絡(luò)信息安全復(fù)習(xí)大綱(2023版)

第一章：引言

計(jì)算機(jī)安全的定義，含通用名稱(chēng)

（通用）用于保護(hù)數(shù)據(jù)安全和防范黑客的工具集合的通用名稱(chēng)便是計(jì)算機(jī)安全

（定義）對(duì)某個(gè)自動(dòng)化信息系統(tǒng)的保護(hù)措施，其目的在于實(shí)現(xiàn)信息系統(tǒng)資源的完整性、可用性以及機(jī)密性（包括硬件、軟件、固件、信息/數(shù)據(jù)、電信）。

計(jì)算機(jī)收到的要挾：竊取/篡改/偽造/重傳/否認(rèn)

（1）竊?。河脩鬉發(fā)送文件給用戶B。這份文件包含需要防止被泄露的敏感信息（例如，工資記錄）。沒(méi)有被授權(quán)閱讀這份文件的用戶C能夠監(jiān)視該文件的整個(gè)傳輸過(guò)程并在傳輸過(guò)程中獲得一份文件副本。

（2）篡改：網(wǎng)絡(luò)管理員D需要在他的管理下發(fā)送一條消息給計(jì)算機(jī)E。這條消息指示計(jì)算機(jī)E更新一份包含一系列可以訪問(wèn)這臺(tái)計(jì)算機(jī)的新用戶屬性的授權(quán)文件。用戶F截取了這條消息并改變了其中的內(nèi)容（如添加或刪除一些條目），之后把修改后的消息發(fā)送給計(jì)算機(jī)E。后者接收這份消息并認(rèn)為它來(lái)自網(wǎng)絡(luò)管理員D，之后相應(yīng)地更新授權(quán)文件。

（3）偽造：用戶F直接編纂了一份自己的消息而不是截取消息，并且把編纂的消息以管理員D的名義發(fā)送給計(jì)算機(jī)E。計(jì)算機(jī)E接收了消息并且相應(yīng)地更新授權(quán)文件。

（4）重傳：某個(gè)雇員毫無(wú)征兆地被開(kāi)除了。人事經(jīng)理發(fā)送一條消息給系統(tǒng)服務(wù)器以注銷(xiāo)該雇員的賬戶信息。當(dāng)注銷(xiāo)過(guò)程完成后，服務(wù)器會(huì)向該雇員的檔案中發(fā)送一份通知以確認(rèn)這個(gè)過(guò)程。被開(kāi)除的雇員能夠截取這條消息并且將該消息延長(zhǎng)足夠長(zhǎng)的時(shí)間以便能夠最終一次訪問(wèn)系統(tǒng)并取回敏感信息。之后，這份消息被送到服務(wù)器，服務(wù)器發(fā)送確認(rèn)通知。可能在相當(dāng)長(zhǎng)的時(shí)間內(nèi)，都不會(huì)有人覺(jué)察到這個(gè)被開(kāi)除的雇員的行為。

（5）否認(rèn)：把一份包含有若干交易進(jìn)行指示的消息從一個(gè)客戶發(fā)送到一個(gè)股票經(jīng)紀(jì)人。后來(lái)投資失敗，同時(shí)客戶否認(rèn)曾經(jīng)發(fā)送過(guò)該消息。

計(jì)算機(jī)安全核心內(nèi)容，CIA三元組+兩概念三元組：?機(jī)密性：

數(shù)據(jù)機(jī)密性：保證私有的機(jī)密的信息不會(huì)被泄露給未經(jīng)授權(quán)的個(gè)體。

隱私性：保證個(gè)人可以控制和影響與之相關(guān)的信息，這些信息有可能被收集、存儲(chǔ)和泄露。?完整性：

數(shù)據(jù)完整性：保證只能由某種特定的、已授權(quán)的方式來(lái)更改信息和代碼。

系統(tǒng)完整性：保證系統(tǒng)正常實(shí)現(xiàn)其預(yù)期功能，而不會(huì)被有意或偶然的非授權(quán)操作控制。?可用性：保證系統(tǒng)及時(shí)運(yùn)轉(zhuǎn)，其服務(wù)不會(huì)拒絕已授權(quán)的用戶。

兩概念：

①真實(shí)性：可以被驗(yàn)證和信任的屬性，或?qū)τ趥鬏?、信息、信息發(fā)送者的信任。這意味著要驗(yàn)證使用者的身份以及系統(tǒng)每個(gè)輸入信號(hào)是否來(lái)自可靠的信息源。

②可計(jì)量性；這個(gè)安全目標(biāo)要求每個(gè)實(shí)體的行為可以被唯一地追蹤到。它支持不可否認(rèn)、威懾、錯(cuò)誤隔離、入侵偵測(cè)和防范、恢復(fù)和合法行為。由于真正意義上的安全系統(tǒng)還不是一個(gè)可以實(shí)現(xiàn)的目標(biāo)，我們必需能夠追蹤安全違規(guī)的責(zé)任方。系統(tǒng)必需記錄自己的活動(dòng)，使得

以后可以用于法庭分析、追蹤安全違規(guī)或者處理交易糾紛。從需求和安全損失角度，分別給出了對(duì)這三個(gè)目標(biāo)的描述

①機(jī)密性：維持施加在數(shù)據(jù)訪問(wèn)和泄露上的授權(quán)限制，包括保護(hù)個(gè)人隱私和私有信息的措施。機(jī)密性損失是指非授權(quán)的信息泄露。

②完整性：防范不當(dāng)?shù)男畔⑿薷暮推茐?，包括保護(hù)信息的認(rèn)證與授權(quán)。完整性損失是指未經(jīng)授權(quán)的信息修改和破壞。

③可用性：保證及時(shí)且可靠地獲取和使用信息?？捎眯該p失是指對(duì)信息或信息系統(tǒng)訪問(wèn)或使用的中斷。

計(jì)算機(jī)安全的設(shè)計(jì)/管理者與攻擊者之間的角逐，設(shè)計(jì)者困難之處和攻擊者有利之處

計(jì)算機(jī)和網(wǎng)絡(luò)安全本質(zhì)上來(lái)說(shuō)是企圖發(fā)現(xiàn)漏洞的犯罪者與企圖彌補(bǔ)這些漏洞的設(shè)計(jì)者和管理者之間的一場(chǎng)智力角逐。攻擊者的有利之處在于他或她只要發(fā)現(xiàn)一個(gè)弱點(diǎn)就可以了，而設(shè)計(jì)者則必需發(fā)現(xiàn)和堵塞所有的弱點(diǎn)使其達(dá)到完全安全。

OSI安全體系結(jié)構(gòu)：安全攻擊，安全機(jī)制，安全服務(wù)。安全服務(wù)與安全機(jī)制之間的關(guān)系安全攻擊：任何可能會(huì)危及機(jī)構(gòu)的信息安全的行為。

安全機(jī)制：用來(lái)檢測(cè)、防范安全攻擊并從中恢復(fù)系統(tǒng)的機(jī)制。

安全服務(wù)：一種用來(lái)加強(qiáng)組織的數(shù)據(jù)處理系統(tǒng)安全性和信息傳遞安全性的服務(wù)。安全服務(wù)與安全機(jī)制的關(guān)系：這些服務(wù)是用來(lái)防范安全攻擊的，它們利用了一種或多種安全機(jī)制來(lái)提供服務(wù)。服務(wù)對(duì)等實(shí)體認(rèn)證數(shù)據(jù)源認(rèn)證訪問(wèn)控制機(jī)密性流量機(jī)密性數(shù)據(jù)完整性不可抵賴(lài)性可用性

主動(dòng)攻擊與被動(dòng)攻擊的類(lèi)型

被動(dòng)攻擊：本質(zhì)是竊聽(tīng)或監(jiān)視數(shù)據(jù)傳輸，兩種形式是消息內(nèi)容泄露攻擊和流量分析攻擊。主動(dòng)攻擊：假冒、重放、改寫(xiě)消息和拒絕服務(wù)。

兩種特定的認(rèn)證服務(wù)

對(duì)等實(shí)體認(rèn)證：在聯(lián)系中確認(rèn)對(duì)等實(shí)體的身份。對(duì)等實(shí)體是在不同系統(tǒng)中應(yīng)用同樣協(xié)議的兩個(gè)實(shí)體，例如，通信系統(tǒng)中的兩個(gè)TCP模塊。此種認(rèn)證使用在連接的建立階段或者數(shù)據(jù)傳輸階段中。它提供對(duì)實(shí)體的確認(rèn)以保證該實(shí)體沒(méi)有假冒或者重放上次連接的非授權(quán)數(shù)據(jù)。

數(shù)據(jù)源認(rèn)證：提供對(duì)數(shù)據(jù)單元來(lái)源的確認(rèn)。但它不提供對(duì)數(shù)據(jù)單元復(fù)制或改寫(xiě)的保護(hù)。這種服務(wù)類(lèi)型支持像電子郵件這樣在通信雙方之間事先未進(jìn)行交互的應(yīng)用程序。

加密YYYYY數(shù)字簽名YYYYY訪問(wèn)控制數(shù)據(jù)完整性YYYY認(rèn)證交換YY流量填充YY路由控制Y公正網(wǎng)絡(luò)安全模型

其次章：對(duì)稱(chēng)密碼和消息機(jī)密性

對(duì)稱(chēng)加密方案的組成：

明文，加密算法，機(jī)要密鑰，密文，解密算法。

密碼體制的分類(lèi)：

?明文轉(zhuǎn)換成密文的操作類(lèi)型：替換-明文的每個(gè)元素都映射到另外一個(gè)元素；換位-明文

的元素都被再排列。

?使用密鑰數(shù)：假使發(fā)送者和接收者使用同一密鑰，就是對(duì)稱(chēng)、單鑰、機(jī)要鑰匙；假使發(fā)

送者和接收者使用不同的密鑰，就是不對(duì)稱(chēng)、雙鑰或者說(shuō)是公鑰加密。

?明文處理方式：分組密碼一次處理一個(gè)輸入元素分組，產(chǎn)生一個(gè)相應(yīng)的輸出分組；流密

碼在運(yùn)行過(guò)程中連續(xù)的處理輸入元素，每次產(chǎn)生一個(gè)輸出元素。

如何破譯密碼系統(tǒng)：5種攻擊類(lèi)型需要已知的信息

試圖找出明文或者密鑰的工作被稱(chēng)為密碼分析或者破譯。攻擊類(lèi)型唯密文已知明文加密算法要解密的密文加密算法要解密的密文一個(gè)或多個(gè)用密鑰產(chǎn)生的明文-密文對(duì)加密算法要解密的密文破譯者選定的明文消息，以及使用密鑰產(chǎn)生的對(duì)應(yīng)密文加密算法要解密的密文破譯者選定的密文，以及使用密鑰產(chǎn)生對(duì)應(yīng)的解密明文加密算法要解密的密文破譯者選定的明文消息，以及使用密鑰產(chǎn)生的對(duì)應(yīng)密文破譯者選定的密文，以及使用密鑰產(chǎn)生對(duì)應(yīng)的解密明文密碼破譯者已知的信息選擇明文選擇密文選擇文本

安全加密的條件：

代價(jià)：破解密文的代價(jià)超出被加密信息的價(jià)值時(shí)間：破解密文需要的時(shí)間超出信息的有用時(shí)間

DES算法描述：明文長(zhǎng)度：64比特；密鑰長(zhǎng)度：56比特；迭代數(shù)：16輪。

3DES加密原理：（加密最終換成k3，解密第一個(gè)換成k3）

使3DES可以解密原來(lái)單重DES加密的數(shù)據(jù)。

與DES比較：由于168比特的密鑰長(zhǎng)度，戰(zhàn)勝DES對(duì)付窮舉工具的不足；3DES的底層是DES，而DES除窮舉攻擊以外沒(méi)有發(fā)現(xiàn)任何有效的基于此算法的攻擊，所以3DES也是對(duì)密碼破解十分有抗?fàn)幜??；救毕菔撬惴ㄟ\(yùn)行相對(duì)較慢，迭代輪數(shù)是DES三倍。

AES算法描述：明文長(zhǎng)度：128比特；密鑰長(zhǎng)度：128，192或256比特；迭代數(shù)：10每一輪四個(gè)步驟，最終一輪只包含三個(gè)步驟是為了使密碼可逆。

真隨機(jī)數(shù)和偽隨機(jī)數(shù)，不同之處

真隨機(jī)數(shù)：真隨機(jī)數(shù)發(fā)生器將一個(gè)有效的隨機(jī)源作為輸入端，這個(gè)源被稱(chēng)為熵源偽隨機(jī)數(shù)：偽隨機(jī)數(shù)生成器采用一個(gè)不變值作為輸入端，這個(gè)不變的值稱(chēng)為種子

流密碼，RC4：

RC4是密鑰大小可變的流密碼，使用面向字節(jié)的操作。基于隨機(jī)交換的使用。分組密碼的ECB模式：

明文一次被處理b比特，而且明文的每一個(gè)分組都使用同一個(gè)密鑰加密。區(qū)別：

流密碼與分組密碼相比幾乎總是更快，使用代碼更少；分組密碼的優(yōu)點(diǎn)是可以重復(fù)利用密鑰什么時(shí)候用流密碼，什么時(shí)候用分組密碼：

對(duì)于需要加密/解密數(shù)據(jù)流的應(yīng)用，譬如在數(shù)據(jù)通信信道或者瀏覽器/網(wǎng)絡(luò)鏈路上，流密碼是更好的選擇；對(duì)于處理數(shù)據(jù)分組的應(yīng)用，譬如文件傳遞、電子郵件和數(shù)據(jù)庫(kù)，分組密碼更適合。

第三章：公鑰密碼和消息認(rèn)證

用常規(guī)加密作為認(rèn)證的好處害處(可逆)

非加密消息認(rèn)證(MAC/HASH)一致與不同處(不可逆)

單向散列函數(shù)（HASH）是MAC（消息認(rèn)證法）的一種替代方法，宛如MAC，散列函數(shù)接收變長(zhǎng)的消息M作為輸入，生成定長(zhǎng)的消息摘要H(M)作為輸出。與MAC不同的是，散列函數(shù)不需要密鑰輸入。為了認(rèn)證消息，消息摘要隨消息一起以可信的形式傳送。

消息和摘要，與加密非加密組合：消息整個(gè)加密：常規(guī)加密的消息認(rèn)證消息不加密摘要加密：消息認(rèn)證碼

消息不加密摘要也不加密：摘要的生產(chǎn)使用一種散列函數(shù)

用DES生成MAC方法：DES密文的最終16或32比特作為MAC

消息認(rèn)證的三種方法(傳統(tǒng)加密/公鑰加密/機(jī)要值)

a使用傳統(tǒng)加密：消息在散列函數(shù)的作用下產(chǎn)生一個(gè)散列值，對(duì)散列值進(jìn)行傳統(tǒng)加密后附加到消息上傳送，解密時(shí)，把消息上附帶的加密散列值解密得到散列值與消息產(chǎn)生的散列值比較假使不一樣則消息被篡改為偽消息。

b使用公鑰加密：過(guò)程與傳統(tǒng)加密相像，只是在對(duì)散列值加密時(shí)采用了公鑰加密方式。

c使用機(jī)要值：把機(jī)要值與消息連接，再經(jīng)過(guò)散列函數(shù)產(chǎn)生一個(gè)散列值，把散列值附加到消息上傳送，解密時(shí)，把機(jī)要值與消息連接塊經(jīng)過(guò)散列函數(shù)產(chǎn)生的散列值與接收的加密散列值解密后的散列值比較，若一樣，則不是偽消息，否則是偽消息。

散列函數(shù)的性質(zhì)(6個(gè))

1.H可用于任意長(zhǎng)度的數(shù)據(jù)塊2.H能生成固定長(zhǎng)度的輸出

3.任意給定的x，計(jì)算H(x)相對(duì)簡(jiǎn)單，并且可用于軟/硬件方式實(shí)現(xiàn)

4.對(duì)于任意給定值h,找到滿足H（x）=h的x在計(jì)算上不可行。滿足這一特性的散列函數(shù)稱(chēng)為具有單向性，或具有抗原像攻擊性。

5.對(duì)于任意給定的數(shù)據(jù)塊x,找到滿足H（y）=H（x）的y≠x在計(jì)算上是不可行的。滿足這一特性的散列函數(shù)被稱(chēng)為具有抗其次原像攻擊性，有時(shí)也具有抗弱碰撞攻擊性。

6.找到滿足H（x）=H（y）的任意一對(duì)（x,y）在計(jì)算上是不可行的。滿足這一特性的散列函數(shù)就稱(chēng)為抗碰撞性，有時(shí)也被稱(chēng)為抗強(qiáng)碰撞性。

SHA安全散列函數(shù)

SHA-1（加密散列碼）的摘要/消息/塊/字/步驟/大小摘要大?。?60消息大?。?可度量的服務(wù)：監(jiān)視和控制資源的使用，并告知供應(yīng)商和用戶，達(dá)到透明化

?按需自助服務(wù)：①消費(fèi)者單方面自動(dòng)獲取計(jì)算能力，免去交互過(guò)程；②由于服務(wù)是按需

的，資源不是永久保存在IT基礎(chǔ)設(shè)施上

?資源共享：提供多客戶共享模型，根據(jù)客戶需求動(dòng)態(tài)分派資源

服務(wù)模型:

?軟件即服務(wù)（SaaS:SoftasaService）:運(yùn)行在云基礎(chǔ)設(shè)施上的應(yīng)用程序（如WEB瀏覽器）?平臺(tái)即服務(wù)（PasS:PlatformaaService）:建立在云基礎(chǔ)設(shè)施上的編程應(yīng)用程序（數(shù)據(jù)庫(kù)、

組件服務(wù)等）

?基礎(chǔ)設(shè)施即服務(wù)（IaaS:InfrastractureaaService）：提供系統(tǒng)基礎(chǔ)功能及運(yùn)算資源，使用

戶能夠組建更高級(jí)的有適應(yīng)能力的計(jì)算機(jī)系統(tǒng)

部署模型：

?公有云：對(duì)群眾或大型行業(yè)組織公開(kāi)可用?私有云：被一個(gè)組織獨(dú)立操作

?社區(qū)云：有共同利益且共享基礎(chǔ)設(shè)施的組織共同創(chuàng)立

?混合云：兩個(gè)或兩個(gè)以上的云用綁定在一起，實(shí)現(xiàn)數(shù)據(jù)和應(yīng)用程序的可移植性

云安全受到的要挾：

?濫用和惡意使用云計(jì)算：輕松注冊(cè)后，發(fā)送垃圾郵件、惡意代碼攻擊等?擔(dān)憂全的API：設(shè)計(jì)防意外和逃避政策企圖的安全接口?惡意的內(nèi)部人員：規(guī)范合同、報(bào)告透明、內(nèi)部管理?共享技術(shù)問(wèn)題：加強(qiáng)監(jiān)測(cè)改變或授權(quán)的活動(dòng)

?數(shù)據(jù)丟失或泄露：數(shù)據(jù)保護(hù)、加密及認(rèn)證完整性等

?賬戶或服務(wù)劫持：原理:證書(shū)被盜解決方法：雙因素認(rèn)證技術(shù)、屏蔽賬戶證書(shū)共享

?未知的風(fēng)險(xiǎn)：如：雇員非法部署程序和資源解決方法：部分公開(kāi)信息和細(xì)節(jié)、監(jiān)控和警

惕必要信息

第六章：傳輸層安全

Web安全需求，安全要挾

Web安全需求（P133自己總結(jié)的，和書(shū)上有點(diǎn)不一樣）：①提高Web服務(wù)器抵御來(lái)自互聯(lián)網(wǎng)攻擊的能力②防止Web服務(wù)器遭到破壞③防止來(lái)自底層軟件的安全攻擊

④加強(qiáng)本地站點(diǎn)服務(wù)器的保護(hù)和驗(yàn)證機(jī)制

⑤向Web用戶推廣或培訓(xùn)防范安全風(fēng)險(xiǎn)的知識(shí)和工具

Web安全要挾（P134）：

①按主動(dòng)攻擊和被動(dòng)攻擊劃分：

主動(dòng)攻擊：用戶假冒、在客戶和服務(wù)器的傳輸過(guò)程中替換消息、更改Web站點(diǎn)的信息。被動(dòng)攻擊：瀏覽器和服務(wù)器通信時(shí)竊聽(tīng)、獲取Web站點(diǎn)上受限訪問(wèn)信息的訪問(wèn)權(quán)。②按地域分：Web服務(wù)器、瀏覽器、瀏覽器與服務(wù)器之間的網(wǎng)絡(luò)通信。

SSL體系結(jié)構(gòu)，工作層次，四個(gè)協(xié)議的各自功能作用SSL（安全套接字層）SSL作用（P135）：使用TCP提供一種可靠的端對(duì)端的安全服務(wù)

SSL體系結(jié)構(gòu)：由兩層協(xié)議組成：①SSL記錄協(xié)議②SSL握手協(xié)議、SSL密碼變更協(xié)議、SSL報(bào)警協(xié)議

SSL工作層次：TCP層之上

四個(gè)協(xié)議的功能作用（P136了解就好）：?SSL記錄協(xié)議：機(jī)密性、消息完整性

?SSL密碼變更協(xié)議：使掛起狀態(tài)變?yōu)楫?dāng)前狀態(tài)，用于更新此連接使用的密碼套件?SSL警報(bào)協(xié)議：傳遞警報(bào)給對(duì)等實(shí)體

?SSL握手協(xié)議：允許客戶端和服務(wù)器相互認(rèn)證，協(xié)商加密和MAC算法，保護(hù)密鑰通過(guò)

SSL記錄傳送。握手協(xié)議在任何應(yīng)用數(shù)據(jù)被傳輸前使用。

HTTPS所加密的元素加密元素：

?要求文件的URL?文件的內(nèi)容

?瀏覽器表單的內(nèi)容（瀏覽器使用者填寫(xiě)）

?從瀏覽器發(fā)送到服務(wù)器和從服務(wù)器發(fā)送到瀏覽器的Cookie?HTTP報(bào)頭的內(nèi)容

除了HPPTS中IP地址不加密

SSH工作層次，三個(gè)通信協(xié)議組成工作層次（P151）：運(yùn)行在TCP層之上

三個(gè)通信協(xié)議組成（P151具體：P151-159）：?傳輸層協(xié)議

?用戶身份驗(yàn)證協(xié)議?連接協(xié)議

第七章：無(wú)線網(wǎng)絡(luò)安全

無(wú)線網(wǎng)絡(luò)與有線網(wǎng)絡(luò)相比，只會(huì)要挾無(wú)限的因素

①信道：典型的無(wú)線網(wǎng)絡(luò)包括廣播通信，與有線網(wǎng)絡(luò)相比，更易受監(jiān)聽(tīng)和干擾的影響。特別當(dāng)攻擊者利用通信協(xié)議中的漏洞發(fā)動(dòng)攻擊時(shí)，無(wú)線網(wǎng)絡(luò)更是不堪一擊。

②移動(dòng)性：無(wú)線設(shè)備，相較有線設(shè)備，更具有移動(dòng)性和便捷性。移動(dòng)性造成好多安全隱患。③資源：一些無(wú)線設(shè)備只有有限的空間和資源供我們抗?fàn)幹T如拒絕服務(wù)和惡意軟件的攻擊。④易接近性：?jiǎn)为?dú)放置在遙遠(yuǎn)、敵方的環(huán)境中的無(wú)線設(shè)備更簡(jiǎn)單受到物理攻擊。

無(wú)線安全措施：無(wú)線傳輸/無(wú)線接入點(diǎn)/無(wú)線網(wǎng)絡(luò)，各自采取的安全措施無(wú)線安全措施：無(wú)線傳輸/無(wú)線接入點(diǎn)/無(wú)線網(wǎng)絡(luò)，各自采取的安全措施

①無(wú)線傳輸：信息隱蔽技術(shù)：采取諸如取消廣播服務(wù)、設(shè)置SSID，給SSID分派加密名稱(chēng)等隱蔽信息。

加密：對(duì)所有無(wú)線傳輸加密，前提是密鑰是安全的。

②無(wú)線接入點(diǎn)：通過(guò)IEEE802.1x對(duì)基于端口的網(wǎng)絡(luò)訪問(wèn)進(jìn)行控制

③無(wú)線網(wǎng)絡(luò)：使用加密手段：無(wú)線路由內(nèi)部加密使用殺毒軟件、反間諜軟件和防火墻

關(guān)閉標(biāo)識(shí)符廣播：假使網(wǎng)絡(luò)被配置成標(biāo)識(shí)符廣播模式，認(rèn)證設(shè)備就會(huì)知道路由器身份，關(guān)閉這種功能可以防衛(wèi)攻擊者。

改變路由器標(biāo)識(shí)符，不使用默認(rèn)值改變路由器預(yù)設(shè)密碼，不使用預(yù)設(shè)值只允許專(zhuān)用計(jì)算機(jī)訪問(wèn)

802.11i協(xié)議架構(gòu)

①認(rèn)證：一種定義了用戶和認(rèn)證服務(wù)器之間交換的協(xié)議，能夠相互認(rèn)證，并產(chǎn)生暫時(shí)密鑰用于通過(guò)無(wú)線連接的用戶和訪問(wèn)接入點(diǎn)之間。

②訪問(wèn)控制：該功能迫使認(rèn)證功能的使用，合理安排信息，幫助密鑰交換，能夠在一系列的認(rèn)證協(xié)議下工作。

③信號(hào)完整性加密：MAC層數(shù)據(jù)與信號(hào)完整性字段一起加密，以確保數(shù)據(jù)沒(méi)有被篡改

WEP、WPA、WPA2安全技術(shù)WEP（有線等效保密協(xié)議）：40位或104位密鑰，兼容舊版本的IEEE802.11操作WPA（Wi-Fi網(wǎng)絡(luò)安全存取）：一系列的安全機(jī)制，能夠消除大部分802.11安全問(wèn)題，并且基于現(xiàn)行的802.11i標(biāo)準(zhǔn)。

WPA2（Wi-Fi聯(lián)盟對(duì)采用IEEE802.11i安全加強(qiáng)功能的產(chǎn)品的認(rèn)證計(jì)劃。簡(jiǎn)單一點(diǎn)理解，WPA2是基于WPA的一種新的加密方式）

802.11i操作階段：發(fā)現(xiàn)/認(rèn)證/密鑰/傳輸

①發(fā)現(xiàn)：訪問(wèn)接入點(diǎn)使用信標(biāo)和探測(cè)響應(yīng)信息來(lái)發(fā)布其IEEE802.11i安全策略。站點(diǎn)通過(guò)這些來(lái)確認(rèn)希望進(jìn)行通信的無(wú)線局域網(wǎng)訪問(wèn)接入點(diǎn)的身份。站點(diǎn)連接訪問(wèn)接入點(diǎn)，當(dāng)信標(biāo)和探測(cè)響應(yīng)提供選擇時(shí)，選擇加密套件和認(rèn)證機(jī)制。②認(rèn)證：站點(diǎn)和認(rèn)證服務(wù)器相互證明各自的身份。③密鑰的產(chǎn)生及配送：訪問(wèn)接入點(diǎn)和站點(diǎn)執(zhí)行幾種操作之后產(chǎn)生加密密鑰，并配送到訪問(wèn)接入點(diǎn)和站點(diǎn)。

④保密數(shù)據(jù)傳輸：數(shù)據(jù)幀在站點(diǎn)和終端站點(diǎn)之間通過(guò)訪問(wèn)接入點(diǎn)進(jìn)行交換。⑤連接終止：訪問(wèn)接入點(diǎn)和站點(diǎn)交換數(shù)據(jù)幀。

第八章：電子郵件安全

PGP服務(wù)：簽名/加密/壓縮/兼容

簽名：消息的散列碼利用SHA-1產(chǎn)生，將此消息摘要和消息一起用發(fā)送方的私鑰按DSS或RSA加密并附上消息本身。

加密：將消息用發(fā)送方生成的一次性會(huì)話密鑰加密。用接收方公鑰加密會(huì)話密鑰。壓縮：消息在傳送或存儲(chǔ)中用ZIP壓縮

兼容：為對(duì)電子郵件應(yīng)用程序提供透明性，一個(gè)加密信息可以用BASE-64轉(zhuǎn)換為ASCII串

基-64轉(zhuǎn)換作用，

將原始8比特二進(jìn)制流轉(zhuǎn)換為ASCII字符的功能

S/MIME與PGP應(yīng)用場(chǎng)合至不同處

S/MIME適用于商業(yè)和團(tuán)體使用的工業(yè)標(biāo)準(zhǔn)，PGP適用于個(gè)人郵件的安全MIME結(jié)構(gòu)原理

MIME是多用途網(wǎng)際郵件擴(kuò)展的英文縮寫(xiě)。老師說(shuō)了解即可了解DKIM

DKIM是一種電子郵件信息密碼簽名規(guī)范，通過(guò)簽名域?qū)︵]件流中的某個(gè)郵件負(fù)責(zé)。

第九章：IP安全

IPsec好處，功能，服務(wù)

IPSec提供了在LAN、專(zhuān)用和公用WAN以及互聯(lián)網(wǎng)中安全通信的性能。用途如下：?通過(guò)互聯(lián)網(wǎng)安全分支機(jī)構(gòu)接入：?通過(guò)互聯(lián)網(wǎng)進(jìn)行安全遠(yuǎn)程訪問(wèn)：

?與合建立企業(yè)間網(wǎng)和企業(yè)內(nèi)聯(lián)網(wǎng)接入：?加強(qiáng)電子商務(wù)安全性：好處：

?當(dāng)在路由器和防火墻中使用ipsec時(shí)，它對(duì)其邊界的所有通信流提供了強(qiáng)安全性。公司

或則工作組內(nèi)部的通信不會(huì)引起與安全相關(guān)的開(kāi)銷(xiāo)。

?防火墻內(nèi)的ipsec能在所有的外部流量必需使用ip時(shí)阻止旁路，由于防火墻是從互聯(lián)網(wǎng)

進(jìn)入組織內(nèi)部的唯一通道。

?ipsec位于傳輸層（TCP、UDP）之下，所以對(duì)所有的應(yīng)用都是透明的。因此當(dāng)防火墻或

則路由器使用ipsec時(shí)。沒(méi)有必要對(duì)用戶系統(tǒng)和服務(wù)器系統(tǒng)的軟件做任何改變。即使終端系統(tǒng)中使用ipsec，上層軟件和應(yīng)用也不會(huì)受到影響。

?ipsec可以對(duì)終端用戶是透明的。不需要對(duì)用戶進(jìn)行安全機(jī)制的培訓(xùn)，如分發(fā)基于每個(gè)

用戶的密鑰資料嗎，或在用戶離開(kāi)組織時(shí)撤銷(xiāo)密鑰資料。

?若有必要，ipsec能給個(gè)人用戶提供安全性，這對(duì)網(wǎng)外員工十分有用，它對(duì)在敏感的應(yīng)

用領(lǐng)域中建一個(gè)安全虛擬子網(wǎng)絡(luò)也是有用的。

功能：認(rèn)證、機(jī)密性和密鑰管理。

服務(wù)：

?訪問(wèn)控制?無(wú)連接完整性?數(shù)據(jù)源認(rèn)證

?拒絕重放包（一種部分順序完整的格式）?保密性（加密）?受限制的流量保密性

IPsec的AH、ESP、IKEAH（認(rèn)證報(bào)頭）：AH是一種用于提供消息認(rèn)證的擴(kuò)展頭，由于消息認(rèn)證是由ESP提供的，所以AH使用的是透明的。

ESP（封裝安全在和）:ESP包含了一個(gè)封裝的頭和尾用來(lái)提供加密或則機(jī)密和認(rèn)證的結(jié)合。IKE:（因特網(wǎng)密鑰交換）：這是描述用于ipsec中的密鑰交換方案的問(wèn)答集合。

傳輸模式，隧道模式，各自的工作原理，兩者的區(qū)別傳輸模式：主要為上層協(xié)議提供保護(hù)，也就是說(shuō)，傳輸模式保護(hù)加強(qiáng)了對(duì)ip包載荷的保護(hù)，如對(duì)TCP段，UDP段或ICMP包的保護(hù)（這些均運(yùn)行在主機(jī)協(xié)議棧的ip地址之上），一般的額傳輸模式用于在兩個(gè)主機(jī)（如客戶端和服務(wù)器、兩個(gè)工作站）之間進(jìn)行端對(duì)端的通信。隧道模式：隧道模式對(duì)整個(gè)ip包提供保護(hù)。隧道模式被使用在當(dāng)SA的一段或則兩端為安全網(wǎng)關(guān)時(shí)，譬如使用ipsec的防火墻和路由器。AH傳輸模式SA對(duì)ip載荷和報(bào)頭的選中部分、ipv6的擴(kuò)展報(bào)頭進(jìn)行認(rèn)證對(duì)ip載荷和跟在ESP報(bào)頭后面的任何擴(kuò)展ipv6的報(bào)頭進(jìn)行認(rèn)證對(duì)ip載荷和跟在ESP報(bào)頭后面的任何擴(kuò)展ipv6的報(bào)頭進(jìn)行認(rèn)證。認(rèn)證ip載荷但不認(rèn)證ip報(bào)頭隧道模式SA對(duì)整個(gè)內(nèi)部ip包（內(nèi)部報(bào)頭和ip載荷）和外部ip報(bào)頭的選中部分、外部ipv6的擴(kuò)展報(bào)頭進(jìn)行認(rèn)證加密整個(gè)內(nèi)部ip包加密整個(gè)內(nèi)部ip包。認(rèn)證內(nèi)部ip包ESP帶認(rèn)證的ESPAH與ESP的格式，兩者一致/不同之處

ESP圖中的下是指下一跳，

AH和ESP的最大區(qū)別有兩個(gè)：一個(gè)是AH不提供加密服務(wù)，另一個(gè)是它們驗(yàn)證的范圍不同，ESP不驗(yàn)證IP報(bào)頭，而AH同時(shí)驗(yàn)證部分報(bào)頭，所以需要結(jié)合使用AH和ESP才能保證IP報(bào)頭的機(jī)密性和完整性。AH為IP報(bào)頭提供盡可能多的驗(yàn)證保護(hù)，驗(yàn)證失敗的包將被丟棄，不交給上層協(xié)議解密，這種操作模式可以減少拒絕服務(wù)攻擊成功的機(jī)遇。

IP安全策略的組成：SA、SAD、SPD相互關(guān)系SA（安全關(guān)聯(lián)）：安全關(guān)聯(lián)是發(fā)送端和接收端之間用于對(duì)它們之間傳遞的數(shù)據(jù)流提供安全服務(wù)的一個(gè)單向規(guī)律連接。

一個(gè)安全關(guān)聯(lián)由如下三個(gè)參數(shù)唯一地確定：?安全參數(shù)索引（SPI）：賦給此SA的一個(gè)僅在本地有意義的比特串。此SPI由AH和ESP

報(bào)頭攜帶，使得接受系統(tǒng)能選擇適合的SA（接收到的數(shù)據(jù)包將在此SA下處理）

?ip目的地址：目前僅允許使用單播地址，這是SA的目的端點(diǎn)地址，可以是終端用戶系

統(tǒng)或則防火墻、路由器這樣的網(wǎng)絡(luò)系統(tǒng)。

?安全協(xié)議標(biāo)識(shí)：它標(biāo)識(shí)關(guān)聯(lián)是一個(gè)AH安全關(guān)聯(lián)還是一個(gè)ESP安全關(guān)聯(lián)。SAD（安全關(guān)聯(lián)數(shù)據(jù)庫(kù)）：它定義了與每個(gè)SA相關(guān)聯(lián)的參數(shù)。SPD（安全策略數(shù)據(jù)庫(kù)）：ip流量與特定的SA相關(guān)聯(lián)（不需要ipsec保護(hù)時(shí)沒(méi)有SA）的方法在名義上是安全策略數(shù)據(jù)庫(kù)（SPD）

第十章：惡意軟件

病毒、蠕蟲(chóng)、木馬的描述定義病毒：當(dāng)執(zhí)行時(shí)，向可執(zhí)行代碼傳播自身副本的惡意代碼；傳播成功時(shí)，可執(zhí)行程序被感染。當(dāng)被感染代碼執(zhí)行時(shí)，病毒也執(zhí)行。

蠕蟲(chóng)：可獨(dú)立執(zhí)行的計(jì)算機(jī)程序，并可以向網(wǎng)絡(luò)中的其他主機(jī)傳播自身副本。

木馬：貌似有用的計(jì)算機(jī)程序，當(dāng)也包含了能夠規(guī)避安全機(jī)制的潛藏惡意功能，有事利用系統(tǒng)的合法授權(quán)引發(fā)特洛伊木馬程序。病毒、蠕蟲(chóng)、木馬的感染機(jī)制

病毒：病毒散布或傳播的方法，能使病毒復(fù)制。這種機(jī)制也被稱(chēng)作感染載體。蠕蟲(chóng)：蠕蟲(chóng)挖掘用戶或服務(wù)程序中的軟件漏洞從而獲得每個(gè)新系統(tǒng)的訪問(wèn)權(quán)限。木馬：利用某些軟件漏洞使得自身能夠自動(dòng)安裝并執(zhí)行，從而不再需要用戶的輔助。

病毒、蠕蟲(chóng)、木馬的結(jié)構(gòu)不同之處病毒：是寄生的蠕蟲(chóng)：可自我復(fù)制的

木馬：需要有兩端，兩部分，服務(wù)器端/客戶端。黑客操縱客戶端，被害電腦裝服務(wù)器端木馬組成：兩部分，服務(wù)器端/客戶端。黑客操縱客戶端，被害電腦裝服務(wù)器端

第十一章：

入侵者分為三類(lèi)：

假冒用戶：未授權(quán)使用計(jì)算機(jī)的個(gè)體，或潛入系統(tǒng)的訪問(wèn)控制來(lái)獲得合法用戶的賬戶。違法用戶：系統(tǒng)的合法用戶訪問(wèn)未授權(quán)的數(shù)據(jù)，程序，或者資源，或者授權(quán)者誤用其權(quán)限。隱秘用戶：通過(guò)某些方法奪取系統(tǒng)的管理控制權(quán)限，并使用這種控制權(quán)躲避審計(jì)機(jī)制和訪問(wèn)控制，或者取消審計(jì)集合的個(gè)體。

口令文件的保護(hù)方法：兩種：?jiǎn)蜗蚝瘮?shù)，訪問(wèn)控制

單向函數(shù)：系統(tǒng)只保存一個(gè)基于用戶口令的函數(shù)值。當(dāng)用戶輸入口令的時(shí)候，系統(tǒng)計(jì)算該口令的函數(shù)值并且和系統(tǒng)內(nèi)部存儲(chǔ)的值相比較。實(shí)際應(yīng)用中，系統(tǒng)尋常執(zhí)行單向變換（不可逆），在這個(gè)變換中，口令被用于產(chǎn)生單向函數(shù)的密鑰并產(chǎn)生固定長(zhǎng)度的輸出。訪問(wèn)控制：訪問(wèn)口令文件的權(quán)限僅授予一個(gè)或者十分有限的幾個(gè)賬戶。

破譯者獲取口令的方法：8種方法

1.嘗試標(biāo)準(zhǔn)賬戶使用的系統(tǒng)默認(rèn)口令。大量管理員為了便利并沒(méi)有更改這些默認(rèn)值2.窮舉嘗試所有短口令（只包含一到三個(gè)字符的口令）

3.嘗試系統(tǒng)在線字典中的詞匯或者可能的口令列表。例如那些在黑客公告欄上很簡(jiǎn)單得

到的詞匯

4.收集用戶的相關(guān)信息，例如全名，配偶及子女的名字，辦公室的圖片以及與用戶業(yè)余

愛(ài)好有關(guān)的書(shū)籍等

5.嘗試用戶的電話號(hào)碼，社會(huì)保險(xiǎn)號(hào)碼以及門(mén)派號(hào)碼等。6.嘗試該州所有的合法牌照號(hào)碼7.使用特洛伊木馬繞開(kāi)對(duì)訪問(wèn)的限制8.在遠(yuǎn)程用戶和主機(jī)系統(tǒng)之間搭線竊聽(tīng)。

入侵檢測(cè)的基本工具：審計(jì)

入侵檢測(cè)的基本工具就是審計(jì)記錄，對(duì)用戶當(dāng)前行為的記錄可以用作入侵檢測(cè)系統(tǒng)中的輸入?yún)⒘恳詸z測(cè)攻擊行為是否發(fā)生。有兩種審計(jì)記錄：

原始審計(jì)記錄：事實(shí)上所用的多用戶操作系統(tǒng)都包含了收集用戶活動(dòng)信息的賬戶統(tǒng)計(jì)軟件。使用這些信息的優(yōu)點(diǎn)是不需要額外的收集軟件，缺點(diǎn)是原始審計(jì)記錄并不包含所需要的信息或者包含的信息格式不便于直接應(yīng)用。

面向檢測(cè)的審計(jì)記錄：這是一種收集工具，只生成入侵檢測(cè)系統(tǒng)所需信息的審計(jì)記錄。這種方法的一個(gè)優(yōu)點(diǎn)是它采用第三方的審計(jì)記錄收集機(jī)制，適用于多種類(lèi)型的系統(tǒng)。其缺點(diǎn)是在于需要額外的處理開(kāi)銷(xiāo)，由于這種方法使得系統(tǒng)內(nèi)部同時(shí)運(yùn)行兩種賬戶統(tǒng)計(jì)工具包。

統(tǒng)計(jì)異常檢測(cè)，基于規(guī)則的入侵檢測(cè)，兩者的工作模式，區(qū)別，誤報(bào)和漏報(bào)統(tǒng)計(jì)異常檢測(cè)：包括在一定時(shí)間內(nèi)與合法用戶的行為相關(guān)的數(shù)據(jù)集合。然后使用統(tǒng)計(jì)學(xué)測(cè)試方法對(duì)觀測(cè)到的用戶行為進(jìn)行測(cè)試，以便能夠更加確定判斷該行為是否是合法用戶行為閾值檢測(cè)：這個(gè)方法包括對(duì)各種事件的出現(xiàn)頻率定義獨(dú)立于個(gè)體用戶的閾值。（詳細(xì)：閾值檢測(cè)包括在一定時(shí)間間隔內(nèi)對(duì)某種特定類(lèi)型事件出現(xiàn)的次數(shù)進(jìn)行統(tǒng)計(jì)。假使統(tǒng)計(jì)結(jié)果超出了預(yù)先定義的閾值，則認(rèn)為出現(xiàn)了入侵行為，閾值分析，從其自身看來(lái)，即使對(duì)于繁雜度一般的攻擊行為來(lái)說(shuō)也是一種效率低下的粗糙檢測(cè)方案。閾值和時(shí)間間隔二者都必需是確定的。由于不同的訪問(wèn)用戶之間行為變化很大，從而使得閾值檢測(cè)可能產(chǎn)生較多的“誤報(bào)警〞（閾值較低的時(shí)候）或者“漏報(bào)警〞（閾值較高的時(shí)候）。然而簡(jiǎn)單的閾值檢測(cè)技術(shù)和其他繁雜

檢測(cè)技術(shù)結(jié)合起來(lái)會(huì)有更好的結(jié)果?；谛袨榍€：為每個(gè)用戶建立行為曲線，之后可以用來(lái)檢測(cè)個(gè)體賬戶的行為變化。（詳情：基于用戶行為曲線的異常檢測(cè)的焦點(diǎn)是建立單個(gè)用戶或者相關(guān)用戶群的行為模型，然后檢測(cè)當(dāng)前用戶模型與該模型是否有較大的偏離。行為曲線可能包含一組參數(shù)，因此僅僅單個(gè)參數(shù)發(fā)生偏離對(duì)其自身來(lái)說(shuō)是不足以發(fā)出報(bào)警信號(hào)的。

基于規(guī)則的檢測(cè)：包括嘗試定義一套能夠用于判斷某種行為是否是入侵者行為的規(guī)則。異常檢測(cè)：定義了一個(gè)規(guī)則集，用于檢測(cè)當(dāng)前行為模式和歷史行為模式的偏離。（詳情：從起采用的方法和所具有的能力來(lái)看，和統(tǒng)計(jì)異常檢測(cè)很相像。在基于規(guī)則的方法中，對(duì)歷史審計(jì)記錄的分析被用來(lái)識(shí)別使用模式，并自動(dòng)生成描述這些模式的規(guī)則集。這些規(guī)則代表了用戶以前的行為方式，程序，權(quán)限，時(shí)間槽和訪問(wèn)終端等實(shí)體的歷史行為模式，然后將當(dāng)前行為和這些規(guī)則進(jìn)行匹配，并且根據(jù)匹配狀況來(lái)判斷當(dāng)前行為是否和某條規(guī)則所代表的行為一致）

滲透檢測(cè)：建立一個(gè)用來(lái)探尋可疑行為的專(zhuān)用系統(tǒng)。（詳情：是一種基于專(zhuān)家系統(tǒng)技術(shù)的檢測(cè)方法，和之前提到的入侵檢測(cè)技術(shù)有很大不同。這種方法的關(guān)鍵特征是它利用規(guī)則集識(shí)別已知的滲透模式和可能發(fā)生的對(duì)系統(tǒng)安全漏洞進(jìn)行的滲透模式。它還可以定義規(guī)則集，使其能夠識(shí)別可疑的行為—即使該行為并沒(méi)有超出已建立的可用模式范圍。尋常來(lái)說(shuō)，這些系統(tǒng)所用的規(guī)則是機(jī)器和系統(tǒng)所特有的。獲取這種規(guī)則最有效的方法是對(duì)網(wǎng)絡(luò)上搜集到的攻擊工具和記錄進(jìn)行分析。對(duì)有經(jīng)驗(yàn)的安全人員提出的規(guī)則也是這種規(guī)則集的補(bǔ)充。對(duì)形成規(guī)則集的后一種狀況，尋常的制定是采訪系統(tǒng)管理員和安全分析員從而收集到一組已知的滲透場(chǎng)景和要挾目標(biāo)系統(tǒng)的重要事件。

區(qū)別：簡(jiǎn)單而言，統(tǒng)計(jì)方法用來(lái)定義普通的或者期望的行為，而基于規(guī)則的方法則致力于定義正確的行為。根據(jù)之前列出的攻擊類(lèi)型，統(tǒng)計(jì)異常檢測(cè)是檢測(cè)假冒用戶的有效手段，這是由于假冒用戶不能完全正確地模仿合法用戶的行為。另外，統(tǒng)計(jì)異常檢測(cè)卻不能用來(lái)有效檢測(cè)違規(guī)用戶。對(duì)于這種攻擊來(lái)說(shuō)，基于規(guī)則的檢測(cè)方法則可以有效地檢測(cè)出代表滲透攻擊行為的時(shí)間或者動(dòng)作序列。實(shí)際應(yīng)用中，系統(tǒng)必需把兩種異常檢測(cè)方法結(jié)合起來(lái)，使其能更有效檢測(cè)到更多類(lèi)型的攻擊

蜜罐原理，DMZ區(qū)設(shè)置

蜜罐：是一個(gè)誘騙系統(tǒng)，用來(lái)把潛在的攻擊者從重要系統(tǒng)中引誘開(kāi)（并不能防止攻擊），其目的如下：

?轉(zhuǎn)移攻擊者對(duì)重要系統(tǒng)的訪問(wèn)?收集有關(guān)攻擊者活動(dòng)的信息

?勉勵(lì)攻擊者停留在系統(tǒng)中足夠長(zhǎng)時(shí)間以便管理員做出反應(yīng)

DMZ區(qū)設(shè)置：外部網(wǎng)絡(luò)可用服務(wù)，如wed，郵件，尋常稱(chēng)為DMZ（非軍事區(qū)），是另一個(gè)可以防止蜜罐的候選地點(diǎn)（位置2）。加鹽的原理和目的

原理：為了加載一個(gè)新的口令到系統(tǒng)中，用戶選擇或者被分派一個(gè)口令?？诹罡潭ㄩL(zhǎng)度的加鹽值結(jié)合使用。在比較老的實(shí)現(xiàn)中，加鹽值跟將口令分派給用戶時(shí)的時(shí)間相關(guān)。較新的實(shí)現(xiàn)中，使用偽隨機(jī)數(shù)或真隨機(jī)數(shù)?？诹詈图欲}值作為散列函數(shù)的輸入，產(chǎn)生一個(gè)固定長(zhǎng)度的散列碼，散列算法被設(shè)計(jì)成慢速執(zhí)行以便阻止攻擊。然后將用戶散列后的口令和加鹽值的明文副本保存在口令文件中。

目的:

?防止在口令文件中的口令副本可見(jiàn)。即使兩個(gè)用戶選取了一致的口令，但由于這些口令

分派時(shí)間不同，他們經(jīng)過(guò)salt擴(kuò)展后的口令也將不同。

?極大增加了離線字典攻擊的難度。對(duì)長(zhǎng)度為b比特的加鹽值，可能的口令熟練增加了

2^b，從而增加了在字典攻擊中猜測(cè)口令的難度。

?找出一個(gè)用戶是否在兩個(gè)或多個(gè)系統(tǒng)上使用了同一口令變得不可能了。

防止暴力破解口令的技術(shù)：如，加鹽，慢速散列算法等。（如上）口令選擇策略：教育，計(jì)算機(jī)生成，后驗(yàn)，先驗(yàn)?用戶教育

?由計(jì)算機(jī)生成口令（并不簡(jiǎn)單被用戶接受）

?后驗(yàn)口令檢驗(yàn)（大量消耗資源，在檢查出易于猜測(cè)的口令之前，該口令一直存在，其脆

弱性給系統(tǒng)帶來(lái)了很大的安全隱患）

?先驗(yàn)口令檢驗(yàn)（目前最為認(rèn)可的一種提高口令安全的方法）

第十二章：防火墻

防火墻設(shè)計(jì)目的，4種機(jī)制，局限性目的：

?所有入站和出站的網(wǎng)絡(luò)流量都必需通過(guò)防火墻。?只有經(jīng)過(guò)授權(quán)的網(wǎng)絡(luò)流量才允許通過(guò)。?防火墻本身不能被攻破。機(jī)制：

?服務(wù)控制?方向控制?用戶控制?行為控制局限性：

?防火墻不能阻止那些繞開(kāi)防火墻的攻擊?防火墻不能完全防止內(nèi)部要挾

?一個(gè)安全性不當(dāng)?shù)臒o(wú)線局域網(wǎng)可能會(huì)受到來(lái)自該系統(tǒng)外的訪問(wèn)

?筆記本電腦，掌上電腦或者掌上存儲(chǔ)設(shè)備可能會(huì)被使用中的網(wǎng)絡(luò)外部利用，感染，然后

再被接入到內(nèi)網(wǎng)和在內(nèi)網(wǎng)中被使用。

包過(guò)濾防火墻原理，狀態(tài)檢測(cè)防火墻原理，堡壘主機(jī)概念包過(guò)濾防火墻原理：

對(duì)每個(gè)接收和發(fā)送的IP包應(yīng)用一些規(guī)則，然后決定傳遞或者丟棄此包。防火墻一般會(huì)配置成雙向過(guò)濾（來(lái)自?xún)?nèi)部網(wǎng)或從內(nèi)部網(wǎng)發(fā)送出去）。過(guò)濾規(guī)則基于網(wǎng)絡(luò)包中所包含的信息：?源IP地址?目的IP地址

?源端和目的端傳輸層地址?I