軟考資訊安全工程師案例分析筆記

1、密鑰管理包括密鑰的産生、存儲、配置設定、組織、使用、停用、更換、銷毀等一系列技術問題。

2、密碼學安全目标：

1）保密性，確定資訊僅被合法使用者通路，而不洩露給非授權的使用者。

提高手段：防偵查、防輻射、資料加密、實體保密

2）完整性，所有資源隻能有授權方或者以授權方式進行修改，保證資訊的不可抵賴性和真實性。

影響因素：故障、誤碼、攻&擊、病&毒

3）可用性，所有資源在适當的時候可以由授權方通路。

3、“不适用”通常針對機密性。對于公開的資訊，機密性沒有意義。

4、公開且放開個人WEB伺服器上的資訊：機密性NA，完整性M，可用性M

公開的實時股票資訊：機密性NA，完整性H，可用性H

5、求A關于模N的逆元，即求整數B，使得A*B mod N =1（要求A和N互素）

6、防火牆的體系結構：

1）雙重宿主主機體系結構，以一台雙重宿主主機作為防火牆系統的主體，執行分離外部網絡與内部網絡的任務。

2）（被）屏蔽主機體系結構，通過一個單獨的路由器和内部網絡上的堡壘主機共同構成防火牆，主要通過資料包過濾實作内外網絡的隔離和對内網的保護。

3）（被）屏蔽子網體系結構，由兩台路由器包圍起來的周邊網絡，并且将容易受到攻&擊的堡壘主機都置于這個周邊網絡中。

7、内部包過濾器：用于隔離周邊網絡和内部網絡，是屏蔽子網體系結構的第二道屏障。在其上設定了針對内部使用者的通路過濾規則，規則主要對内部使用者通路周邊網絡和外部網絡進行限制。

外部包過濾器：用于保護周邊網絡和内部網絡，是屏蔽子網體系結構的第一道屏障。在其上設定了對周邊網絡和内部網絡進行通路的過濾規則，規則主要針對外網使用者。

8、用戶端首先向伺服器發送SYN分組以便建立連接配接。目标伺服器接收到SYN包後發回确認資料封包（SYN+ACK），該資料封包ACK=1。最後客戶機再以ACK消息響應。

SYN：同步信号，TCP協定的發起連接配接位，是TCP/IP建立連接配接時使用的握手信号。

SYN掃描時，如果端口開放，目标主機會響應掃描主機的SYN/ACK連接配接請求；如果端口關閉，則目标主機向掃描主機發送RST的響應。如果收到RST/ACK分組也表示該端口不在監聽狀态。用戶端不管收到什麼樣的分組，都向發起方發送一個RST/ACK分組，表示該端口關閉。

掃描機首先發出一個SYN連接配接，目标機使用SYN+ACK應答，而掃描機就傳回RST終止三次我是。防火牆往往隻記錄成功的連接配接，而半連接配接的方式減少了對方主機或者防火牆記錄這樣的掃描行為。

防火牆在入方向過濾是為了防止被人攻&擊，而在出口方向過濾是為了防止内部使用者通過本網絡對外攻&擊。

9、入侵檢測是動态安全模型（P2DR）的重要組成部分，P2DR模型是基于靜态模型之上的動态安全模型，該模型不僅包含防護、檢測、響應三個部分，還包含安全政策。

Snort是一款開源的網絡入侵檢測系統，它能夠執行實時流量分析和IP協定網絡的資料包記錄。Snort的配置有三個主要模式：嗅探、包記錄和網絡入侵檢測。

10、入侵檢測系統常用的兩種檢測技術是異常檢測和誤用檢測。

1）異常檢測，是指把使用者習慣行為特征存儲在特征庫中，然後将使用者目前行為特征與特征資料庫中的特征進行比較，若兩者偏差較大，則認為有異常情況發生。

2）誤用檢測，一般由計算機安全專家首先對攻&擊情況和系統漏洞進行分析和分類，然後手工編寫相應的檢測規則和特征模型。誤用入侵檢測的主要假設是具有能夠被精确地按某種方式編碼的攻&擊，并可以通過捕獲攻&擊及重新整理，确認入侵活動是基于同一弱點進行攻&擊的入侵方法的變種。

11、防火牆預設規則

預設拒絕是指一切未被允許的就是禁止的。其安全規則的處理方式一般為accept。

預設允許是指一切未被禁止的就是允許的。其安全規則的處理方式一般為reject或drop。

12、防火牆規則的處理方式：

accept，允許資料包或資訊通過。

reject，拒絕資料包或資訊通過，并且通知資訊源該資訊被禁止。

drop，将資料包或資訊直接丢棄，并且不通知資訊源。

13、防火牆的目的是實施通路控制和加強站點安全政策，其通路控制包含四個方面為服務控制、方向控制、使用者控制和行為控制。

服務控制，控制内部或者外部的服務，哪些可以被通路。

方向控制，決定特定方向發起的服務請求可以通過防火牆。需确定服務是在内網還是在外網。可以限制雙向的服務。

使用者控制，決定内網或者外網使用者可以通路哪些服務。使用者可以使用使用者名、IP位址、MAC位址标示。

行為控制，進行内容過濾。如過濾網絡流量中的病&毒、木&馬或者垃圾郵件。

14、通路控制的三個基本要素

主體，改變資訊流動和系統狀态的主動方。主體可以通路客體。主體可以是程序、使用者、使用者組、應用等。

客體，包含或者接收資訊的被動方。客體可以是檔案、資料、記憶體段、位元組等。

授權通路（通路權限），決定誰能通路系統，誰能通路系統的哪種資源以及如何使用這些資源。方式有讀、寫、執行、搜尋等。

15、三種控制實作方法（P159）

通路控制矩陣

通路控制表

權能表

16、BLP模型是一種強制通路控制模型，它隻允許主體向下讀，不能上讀（簡單安全特性規則）；主體隻能向上寫，不能向下寫（*特性規則）。既不允許低信任級别的主體讀高敏感度的客體，也不允許高敏感度的客體寫入低敏感度區域，禁止資訊從進階别流向低級别。這樣保證了資料的機密性。

17、C語言不進行數組的邊界檢查。

通常，一個程式在記憶體中分為程式段、資料段和堆棧三部分。程式段裡放着程式的機器碼和隻讀資料；資料段放程式中的靜态資料；動态資料則通過堆棧來存放。

18、緩沖區溢出解決方案：

1）編寫正确的代碼

2）緩沖區不可執行

3）改進C語言函數庫

4）使堆棧向高位址方向增長

5）程式指針完整性檢查

（檢查代碼正确性，檢查輸入參數的長度）

19、棧區（堆棧）：壓棧（push）、出棧（pop）

20、模糊測試：屬于軟體測試中的黑盒測試，是一種通過向目标系統提供非預期的輸入并監視異常結果來發現軟體漏洞的方法。模糊測試不需要程式的源代碼就可以發現問題。

模糊測試是一種自動化的動态漏洞挖掘技術，不存在誤報，也不需要人工進行大量的逆向分析工作。

21、可以利用黑盒測試方法向伺服器發送特定封包，通過伺服器傳回資料解析出封包，解析并判斷是否存在“心髒出血”漏洞。

22、從資料挖掘的角度，隐私保護技術主要可以分為以下三類：

1）基于資料失真的技術：使敏感資料失真，但同時保持某些關鍵資料或資料屬性不變的方法。如采用添加噪聲、交換等技術對原始資料進行擾動處理，但要求保證處理後的資料仍然可以保持某些統計方面的性質，以便進行資料挖掘等操作。

2）基于資料加密的技術：采用加密技術在資料挖掘過程中隐藏敏感資料的方法。

3）基于資料匿名化的技術：根據具體情況有條件地釋出資料。如不釋出資料的某些域值、資料泛化。

23、SDLC安全開發模型的實作階段給出了三種可以采取的安全措施。

1）使用準許工具：編寫安全代碼

2）使用不安全函數：禁用C語言中有隐患的函數

3）靜态分析：檢測程式指針的完整性

24、針對弱密碼最有效的攻&擊方式是窮舉攻&擊。

25、雜湊演算法具有單向性，經過哈希值運算之後的随機數，即使被攻&擊者截獲也無法對該随機數進行還原，擷取該随機數的産生資訊。

26、/etc/passwd和/etc/shadow預設通路權限分别為rw- r-- r--；r-- r-- ---。

27、WannaCry主要利用了微軟windows作業系統的漏洞，以獲得自動傳播的能力。

28、惡意代碼的特點如下：