第9章 网络安全
网络安全9-访问控制技术
访问控制三要素：
访问控制的最基本概念
访问控制系统要素之间的行为关系参见下图：
访问控制过程
访问控制由两个重要过程组成 1、通过认证来检验主体的合法身份； 2、通过授权（Authorization）来限制用户 对资源的访问级别。 在认证和授权后，访问控制机制将根据预先设 定的规则对用户访问的资源进行控制，只有规 则允许的资源才能访问。
基于角色的访问控制
第9章 第2节
9.2 入网认证
入网认证即入网访问控制。它为网络访问 提供了第一层访问控制 入网认证控制哪些用户能够登录到服务器 并获得网络资源，也控制准许用户入网的 时间和准许他们在哪台工作站入网 入网认证实质上就是对用户的身份进行认 证
第9章 第2节
9.2 入网认证
网络安全
刘敏贤 副教授
西南科技大学计算机科学与技术学院
第9章 访问控制技术
本章的主要内容是对入网访问控制、物理隔离、 自主访问控制和强制访问控制等技术的实现原 理进行了详细的论述，并介绍了一些新型访问 控制技术。
第9章 访问控制技术
9.1 访问控制技术概述 9.2 入网认证 9.3 物理隔离措施 9.4 自主访问控制 9.5 强制访问控制 9.6 新型访问控制技术
例：工行、建行（见备注）
身份认证技术方法
目前，计算机及网络系统中常用的身份认证方 式主要有以下几种：
4. USB Key认证
基于USB Key的身份认证方式是近几年发展起来的一种 方便、安全的身份认证技术。它采用软硬件相结合、一 次一密的强双因子认证模式，很好地解决了安全性与易 用性之间的矛盾。 USB Key内置单片机或智能卡芯片，可以存储用户的密 钥或数字证书，利用USB Key内置的密码算法实现对用 户身份的认证。 基于USB Key身份认证系统主要有两种应用模式：一是 基于冲击/响应的认证模式，二是基于PKI体系的认证模 式。
网络安全课后习题
第一章二填空题1 网络系统的()性是指保证网络系统不因素的影响而中断正常工作。
可靠性2 数据的(）性是指在保证软件和数据完整性的同时,还要能使其被正常利用和操作。
可用性3 网络攻击主要有（）攻击和（）攻击两大类.被动、主动4 网络威胁主要来自认为影响和外部（）的影响,它们包括对网络设备的威胁和对()的威胁。
自然环境、网络中信息5 被动攻击的特点是偷听或监视传送，其墓地是获得(）.信息内容或信息的长度、传输频率等特征6 某些人或者某些组织想方设法利用网络系统来获取相应领域的敏感信息，这种威胁属于（）威胁。
故意7 软、硬件的机能失常、认为误操作、管理不善而引起的威胁属于（)威胁。
无意8 使用特殊级数对系统进行攻击,以便得到有针对性的信息就是一种(）攻击。
主动9 数据恢复操作的种类有(）、（）和重定向恢复。
全盘恢复、个别文件恢复三选择题1 入侵者通过观察网络线路上的信息，而不干扰信息的正常流动，如搭线窃听或非授权地阅读信息，这事属于（)。
AA 被动攻击B 主动攻击C 无意威胁D 系统缺陷2 入侵者对传书中的信息或者存储的信息进行各种非法处理，如有选择地个该、插入、延迟、删除或者复制这些信息,这是属于(）。
BA 无意威胁B 主动攻击C 系统缺陷D 漏洞威胁3 入侵者利用操作系统存在的后门进入系统进行非法操作，这样的威胁属于（)A 被动攻击B 无意威胁C 系统缺陷D窃取威胁 C4 软件错误、文件损坏、数据交换错误、操作系统错误等是影响数据完整性的（）原因。
BA 人为因素B 软件和数据故障C 硬件故障D 网络故障5 磁盘故障、I/O控制器故障、电源故障、存储器故障、芯片和主板故障是影响数据完整性的（）原因。
DA 人为因素B 软件故障C网络故障 D 硬件故障6 属于通信系统与通信协议的脆弱性的是（).CA 介质的剩磁效应B 硬件和软件故障C TCP/IP漏洞D 数据库分级管理7 属于计算机系统本身的脆弱性的是（）AA 硬件和软件故障B 介质的剩磁效应C TCP/IP漏洞D 数据库分级管理8 网络系统面临的威胁主要是来自（1)(）影响，这些威胁大致可分为(2）（)两大类。
计算机网络安全--第九章 防火墙技术
基于网络体系结构的防火墙实现原理
08:02:44
防火墙与OSI 防火墙与OSI
基本防火墙
Network Transport
高级防火墙
DataLink Session Application
防火墙的原理 按照网络的分层体系结构， 按照网络的分层体系结构，在不同的分层结构 实现的防火墙不同，通常有如下几种。 上实现的防火墙不同，通常有如下几种。 1）基于网络层实现的防火墙，通常称为包过滤 ）基于网络层实现的防火墙， 防火墙。 防火墙。 2）基于传输层实现的防火墙，通常称为传输级 ）基于传输层实现的防火墙， 网关。 网关。 层次越高， 层次越高 3）基于应用层实现的防火墙，通常称为应用级 ）基于应用层实现的防火墙， ，能检测的 资源越多，越安全， 资源越多，越安全， 网关。 网关。 但执行效率变差 4）整合上述所有技术，形成混合型防火墙，根 ）整合上述所有技术，形成混合型防火墙， 据安全性能进行弹性管理。 据安全性能进行弹性管理。
08:02:44
防火墙的概念 因此按照企业内部的安全体系结构， 因此按照企业内部的安全体系结构， 防火墙应当满足如下要求。 防火墙应当满足如下要求。 1）保证对主机和应用的安全访问。 ）保证对主机和应用的安全访问。 访问 2）保证多种客户机和服务器的安全性。 ）保证多种客户机和服务器的安全性 安全 3）保护关键部门不受到来自内部和外 ） 部的攻击，为通过Internet与远程访问 部的攻击，为通过 与远程访问 的雇员、客户、供应商提供安全通道。 的雇员、客户、供应商提供安全通道。
08:02:44
防火墙的概念 因此， 因此，防火墙是在两个网络之间执 行控制策略的系统（包括硬件和软件）， 行控制策略的系统（包括硬件和软件）， 目的是保护网络不被可疑目标入侵。 目的是保护网络不被可疑目标入侵。
网络安全第九章密码学与信息加密.
第九章密码学与信息加密1. 密码学包含哪些概念？有什么功能？答：密码学（Cryptology）是研究信息系统安全保密的科学，密码编码学（Cryptography）主要研究对信息进行编码，实现对信息的隐藏。
密码分析学（Cryptanalytics）主要研究加密消息的破译或消息的伪造。
密码学主要包含以下几个概念：1）密码学的目标：保护数据的保密性、完整性和真实性。
保密性就是对数据进行加密，使非法用户无法读懂数据信息，而合法用户可以应用密钥读取信息。
完整性是对数据完整性的鉴别，以确定数据是否被非法纂改，保证合法用户得到正确、完整的信息。
真实性是数据来源的真实性、数据本身真实性的鉴别，可以保证合法用户不被欺骗。
2）消息的加密与解密：消息被称为明文，用某种方法伪装消息以隐藏它的内容的过程称为加密，加了密的消息称为密文，而把密文转变为明文的过程称为解密。
3）密码学的功能：提供除机密性外，密码学还提供鉴别、完整性和抗抵赖性等重要功能。
这些功能是通过计算机进行社会交流至关重要的需求。
鉴别：消息的接收者应该能够确认消息的来源；入侵者不可能伪装成他人。
完整性：消息的接收者应该能够验证在传送过程中消息没有被修改；入侵者不可能用假消息代替合法消息。
抗抵赖性：发送消息者事后不可能虚假地否认他发送的消息。
4）密码算法和密钥：密码算法也叫密码函数，是用于加密和解密的数学函数。
通常情况下，有两个相关的函数：一个用做加密，另一个用做解密。
密钥是一种参数，它是在明文转换为密文或将密文转换为明文的算法中输入的数据。
基于密钥的算法通常有两类：对称算法和公开密钥算法。
对称密钥加密，又称公钥加密，即信息的发送方和接收方用一个密钥去加密和解密数据。
它的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。
非对称密钥加密，又称私钥密钥加密。
它需要使用一对密钥来分别完成加密和解密操作，一个公开发布，即公开密钥，另一个由用户自己秘密保存，即私用密钥。
第九章 计算机网络安全(TK)
第九章计算机网络安全基于对网络安全性的需求，网络操作系统一般采用4级安全保密机制，即注册安全、用户信任者权限、最大信任者权限屏蔽与()A.磁盘镜像B.UPS监控C.目录与文件属性D.文件备份正确答案是:C美国国防部与国家标准局将计算机系统的安全性划分为不同的安全等级。
下面的安全等级中，最低的是()A.A1B.B1C.C1D.D1正确答案是:D计算机网络系统中广泛使用的DES算法属于()A.不对称加密B.对称加密C.不可逆加密D.公开密钥加密正确答案是:B以下哪种技术不是实现防火墙的主流技术()A.包过滤技术B.应用级网关技术C.代理服务器技术D.NA T技术正确答案是:D在以下认证方式中，最常用的认证方式是()A.基于账户名／口令认证B.基于摘要算法认证C.基于PKI认证D.基于数据库认证正确答案是:A关于防火墙，以下哪种说法是错误的？A) 防火墙能隐藏内部IP地址B) 防火墙能控制进出内网的信息流向和信息包C) 防火墙能提供VPN功能D) 防火墙能阻止来自内部的威胁为了预防计算机病毒应采取的正确措施之一是( )。
A．不同任何人交流 B．绝不玩任何计算机游戏C．不用盗版软件和来历不明的磁盘 D．每天对磁盘进行格式化下面几种说法中，正确的是（）。
A|、在网上故意传播病毒只受到道义上的遣责B、在网上故意传播病毒应付相应的责任，以至刑事责任C、在网上可查阅、传播任意内容，包括黄色的、反动的D、在网上可对他人进行肆意攻击而不付任何责任Windows 2000与Windows 98相比在文件安全性方面有哪项改进？( )A.Windows 2000支持NTFS文件系统而Windows 98不支持B.Windows 2000可以提供共享目录而Windows 98不支持C.Windows 98支持FA T32而Windows 2000不支持D.Windows 98可以恢复已删除的文件而Windows 2000不支持在桌面办公系统（如：win98、win2000）中，什么类型的软件能够阻止外部主机对本地计算机的端口扫描？( )A：个人防火墙B：反病毒软件C：基于TCP/IP的检查工具，如netstatD：加密软件在非对称加密方式中使用那种密钥？( )A. 单密钥B. 公共/私有密钥C. 两对密钥D. 64bits加密密钥8、有设计者有意建立起来的进人用户系统的方法是；（）A、超级处理B、后门C、特洛伊木马D、计算机蠕虫9、一般而言，Internet防火墙建立在一个网络的（）A）内部子网之间传送信息的中枢B）每个子网的内部C）内部网络与外部网络的交叉点D）部分内部网络与外部网络的接合处10、计算机网络安全受到的威胁有很多，以下错误的是：( )A、黑客攻击B、计算机病毒C、拒绝服务攻击D、DMZ11、外部安全包括很多，以下错误的是：( )A、物理安全B、行为安全C、人事安全D、过程安全对照ISO/OSI 参考模型各个层中的网络安全服务，在物理层可以采用__(12)__加强通信线路的安全；在数据链路层，可以采用__(13)__进行链路加密；在网络层可以采用__(14)__来处理信息内外网络边界流动和建立透明的安全加密信道；在传输层主要解决进程到进程间的加密，最常见的传输层安全技术有SSL；为了将低层安全服务进行抽象和屏蔽，最有效的一类做法是可以在传输层和应用层之间建立中间件层次实现通用的安全服务功能，通过定义统一的安全服务接口向应用层提供__(15)__安全服务。
计算机第9章练习题
第九章网络信息安全选择题1．网络安全的属性不包括______。
A．保密性 B．完整性 C．可用性 D．通用性答案：D2．计算机安全通常包括硬件、______安全。
A．数据和运行 B．软件和数据C．软件、数据和操作 D．软件答案：B3．用某种方法伪装消息以隐藏它的内容的过程称为______。
A．数据格式化 B．数据加工C．数据加密 D．数据解密答案：C4．若信息在传输过程被未经授权的人篡改，将会影响到信息的________。
A．保密性 B．完整性 C．可用性 D．可控性答案：B5．加密技术不仅具有______，而且具有数字签名、身份验证、秘密分存、系统安全等功能。
A．信息加密功能 B．信息保存功能C．信息维护功能 D．信息封存功能答案：A6．基于密码技术的传输控制是防止数据______泄密的主要防护手段。
A．连接 B．访问C．传输 D．保护答案：C7．在数据被加密后，必须保证不能再从系统中_____它。
A．阅读 B．传输 C．可见 D．删除答案：A8．网络环境下身份认证协议通常采用______来保证消息的完整性、机密性。
A．知识因子 B．拥有因子C．生物因子 D．密码学机制答案：D9．活动目录服务通过________服务功能提升Windows的安全性。
A．域间信任关系 B．组策略安全管理C．身份鉴别与访问控制 D．以上皆是答案：D10．不属于Windows XP系统安全优势的是________。
A．安全模板 B．透明的软件限制策略C．支持NTFS和加密文件系统EFS D．远程桌面明文账户名传送答案：D11. 下面不能够预防计算机病毒感染的方式是_______。
A. 及时安装各种补丁程序B. 安装杀毒软件,并及时更新和升级C. 定期扫描计算机D. 经常下载并安装各种软件答案：D12．网络安全攻击事件中大部分是来自( )的侵犯。
A．城域网 B．内部网络C．广域网 D．外部网络答案：B13．保护计算机网络免受外部的攻击所采用的常用技术称为______。
计算机应用基础教程(Windows 7+Office 2010)(第4版) (9)[48页]
![计算机应用基础教程(Windows 7+Office 2010)(第4版) (9)[48页]](https://img.taocdn.com/s3/m/5d05ca770c22590102029dbf.png)
9.3 计算机网络的体系结构
（2）IPX/SPX协议 IPX/SPX协议是Novell公司为了适应网络的发展而
开发的通信协议，具有很强的适应性，安装很方便， 同时还具有路由功能，可以实现多个网段之间的通信 。
IPX协议负责数据包的传送；SPX负责数据包传输 的完整性。IPX/SPX协议一般用于局域网中。
9.1 计算机网络概述
2．按传输介质进行分类 （1）有线网 （2）光纤网 （3）无线网
3．按网络的使用者进行分类 （1）公用网（public network） （2）专用网（private network）
9.1 计算机网络概述
4．按网络的拓扑结构进行分类 网络的拓扑结构是抛开网络物理连接来讨论网络
9.3.1 计算机网络常用协议
目前在局域网上流行的数据传输协议有3种。 1．TCP/IP协议 TCP/IP（ Transmission Control Protocol/ Internet
Protocol）即“传输控制协议/网际协议”。计算机网络中 最常用的协议为TCP/IP协议。不同网络通过TCP/IP协议才 能相互通信。
2．“计算机—计算机”网络
以资源共享为目的的计算机通信网络。典型的代表是20 世纪60年代后期美国国防部远景研究计划局的ARPA（ Advanced Research Projects Agency）网，它是第一个以 实现资源共享为目的的计算机网络。
9.1 计算机网络概述
3．计算机互联网络
具有统一的网络体系结构，遵循国际标准化协议， 实现资源共享的计算机网络。典型的例子就是国际互联 网Internet。
9.3 计算机网络的体系结构
（3）NetBEUI协议 NetBEUI协议的全称是“NetBIOS Extends User
网络安全基础第三版课后完整答案
加油 计算机网络安全第一章：1、什么是OSI安全体系结构？安全攻击 安全机制 安全服务2、被动和主动安全威胁之间有什么不同？被动攻击的本质是窃听或监视数据传输；主动攻击包含数据流的改写和错误数据流的添加3列出并简要定义被动和主动安全攻击的分类？被动攻击：小树内容泄漏和流量分析；主动攻击：假冒，重放，改写消息，拒绝服务4、列出并简要定义安全服务的分类？认证，访问控制，数据机密性，数据完成性，不可抵赖性5、列出并简要定义安全机制的分类？加密，数字签名，访问控制，数据完整性，可信功能，安全标签，事件检测，安全审计跟踪，认证交换，流量填充，路由控制，公证，安全恢复。
第二章：1、对称密码的基本因素是什么？明文，加密算法，秘密密钥，密文，解密算法2、加密算法使用的两个基本功能是什么？替换和转换3、两个人通过对称密码通信需要多少个密钥？1个4、分组密码和流密码的区别是什么？流密码是一个比特一个比特的加密，分组密码是若干比特（定长）同时加密。
比如des是64比特的明文一次性加密成密文。
密码分析方面有很多不同。
比如流密码中，比特流的很多统计特性影响到算法的安全性。
密码实现方面有很多不同。
比如流密码通常是在特定硬件设备上实现。
分组密码既可以在硬件实现，也方便在计算机上软件实现。
5、攻击密码的两个通用方法是什么？密钥搜索和夯举方法6、什么是三重加密？在这种方式里，使用三个不同的密钥对数据块进行三次加密，三重DES 的强度大约和112-bit的密钥强度相当。
三重DES有四种模型。
（a）使用三个不同密钥，顺序进行三次加密变换（b）使用三个不同密钥，依次进行加密-解密-加密变换（c）其中密钥K1=K3,顺序进行三次加密变换（d）其中密钥K1=K3，依次进行加密-解密-加密变换7、为什么3DES的中间部分是解密而不是加密？3DES加密过程中的第二步使用的解密没有密码方面的意义。
它的唯一好处是让3DES的使用者能够解密原来单重DES使用者加密的数据8、链路层加密和端到端加密的区别是什么？对于链路层加密，每条易受攻击的通信链路都在其两端装备加密设备。
网络规划师-第 9 章 网络安全解决方案和病毒防护
第 9 章：网络安全解决方案和病毒防护试题1(2016年下半年试题3)阅读下列说明，回答问题1至问题4，将解答填入答题纸的对应栏内。
【说明】图3-1是某互联网服务企业网络拓扑，该企业主要对外提供网站消息发布、在线销售管理服务，Web网站和在线销售管理服务系统采用JavaEE开发，中间件使用Weblogic，采用访问控制、NAT地址转换、异常流量检测、非法访问阻断等网络安全措施。
【问题1】（6分）根据网络安全防范需求，需在不同位置部署不同的安全设备，进行不同的安全防范，为上图中的安全设备选择相应的网络安全设备。
在安全设备1处部署(1)；在安全设备2处部署(2)；在安全设备3处部署(3)。
(1)～(3)备选答案：（3）A.防火墙 B．入侵检测系统(IDS) C．入侵防御系统(IPS)【问题2】（6分，多选题）在网络中需要加入如下安全防范措施：（4）A.访问控制B．NATC．上网行为审计D．包检测分析E．数据库审计F．DDoS攻击检测和阻止G．服务器负载均衡H．异常流量阻断I．漏洞扫描J．Web应用防护其中，在防火墙上可部署的防范措施有 (4)；在IDS上可部署的防范措施有(5)；在口S上可部署的防范措施有(6)。
【问题3】（5分）结合上述拓扑，请简要说明入侵防御系统(IPS)的不足和缺点。
【问题4】（8分）该企避网络管理员收到某知名漏洞平台转发在线销售管理服务系统的漏洞报告，报告内容包括：1．利用Java反序列化漏洞，可以上传jsp文件到服务器。
2．可以获取到数据库链接信息。
3．可以链接数据库，查看系统表和用户表，获取到系统管理员登录帐号和密码信息，其中登录密码为明文存储。
4．使用系统管理员帐号登录销售管理服务系统后，可以操作系统的所有功能模块。
针对上述存在的多处安全漏洞，提出相应的改进措施。
试题分析问题1 ：A B C试题分析:内网用户去往外网需要部署NAT，安全设备1部署防火墙。
看图安全设备2旁挂，部署IDS对网络流量进行检测不影响网络。
网络安全技术 习题及答案 第9章 入侵检测系统
第9章入侵检测系统1. 单项选择题1) B2) D3) D4) C5) A6) D2、简答题（1）什么叫入侵检测,入侵检测系统有哪些功能？入侵检测系统（简称“IDS”）就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
入侵检测系统功能主要有:●识别黑客常用入侵与攻击手段●监控网络异常通信●鉴别对系统漏洞及后门的利用●完善网络安全管理（2）根据检测对象的不同,入侵检测系统可分哪几种？根据检测对象的不同，入侵检测系统可分为基于主机的入侵检测基于网络的入侵检测、混合型三种。
主机型入侵检测系统就是以系统日志、应用程序日志等作为数据源.主机型入侵检测系统保护的一般是所在的系统。
网络型入侵检测系统的数据源是网络上的数据包.一般网络型入侵检测系统担负着保护整个网段的任务。
混合型是基于主机和基于网络的入侵检测系统的结合，它为前两种方案提供了互补，还提供了入侵检测的集中管理，采用这种技术能实现对入侵行为的全方位检测。
（3）常用的入侵检测系统的技术有哪几种？其原理分别是什么？常用的入侵检测系统的技术有两种，一种基于误用检测（Anomal Detection），另一种基于异常检测（Misuse Detection）.对于基于误用的检测技术来说,首先要定义违背安全策略事件的特征，检测主要判别这类特征是否在所收集到的数据中出现,如果检测到该行为在入侵特征库中，说明是入侵行为,此方法非常类似杀毒软件。
基于误用的检测技术对于已知的攻击，它可以详细、准确的报告出攻击类型，但是对未知攻击却效果有限，而且知识库必须不断更新。
基于异常的检测技术则是先定义一组系统正常情况的数值，如CPU利用率、内存利用率、文件校验和等（这类数据可以人为定义，也可以通过观察系统、并用统计的办法得出）,然后将系统运行时的数值与所定义的“正常"情况比较，得出是否有被攻击的迹象。
网络安全
第一章序论计算机网络面临的主要威胁1、计算机网络中受到威胁的实体2、计算机网络系统面临威胁威胁描述窃听网络中传输的敏感信息被窃听。
重传攻击者将事先获得部分或全部信息重新发送给接收者。
伪造攻击者将伪造的信息发送给接收者。
篡改攻击者对通讯信息进行修改、删除、插入，再发送。
非授权访问通过假冒、身份攻击、系统漏洞等手段，获取系统访问权拒绝服务攻击攻击者使系统响应减慢甚至瘫痪，阻止合法用户获得服务。
行为否认通讯实体否认已经发生的行为。
旁路控制攻击者发掘系统的缺陷或安全脆弱性。
电磁/射频截获攻击者从电磁辐射中提取信息。
人员疏忽授权的人为了利益或由于粗心将信息泄漏给未授权人。
3、恶意程序的威胁(计算机病毒的威胁)4、计算机网络威胁的潜在对手和动机恶意攻击的潜在对手国家黑客恐怖份子/计算机恐怖份子有组织计算机犯罪其他犯罪成员国际新闻社工业竞争不满的雇员计算机网络不安全的主要因素、偶发性因素：如电源故障、设备的机能失常、软件开发过程中留下的某种漏洞或逻辑错误等。
自然灾害：各种自然灾害（如地震、风暴、泥石流、建筑物破坏等）。
人为因素：一些不法之徒，利用计算机网络或潜入计算机房，篡改系统数据、窃用系统资源、非法获取机密数据和信息、破坏硬件设备、编制计算机病毒等。
此外，管理不好、规章制度不健全、有章不循、安全管理水平低、人员素质差、操作失误、渎职行为等都会对计算机网络造成威胁。
1．被动攻击2．主动攻击3．邻近攻击4．内部人员攻击不安全的主要原因1．Internet具有不安全性2．操作系统存在安全问题3．数据的安全问题4．数据的安全问题5．网络安全管理问题网络安全的定义(目标)p8计算机网络安全的定义计算机网络安全是指利用网络管理控制和技术措施，保证在一个网络环境里，信息数据的机密性、完整性及可使用性受到保护。
从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、不可否认性和可控性的相关技术和理论都是网络安全的研究领域。
第9章 计算机安全与维护
知的漏洞，这个漏洞使得窃取TCP连接成为可能。当TCP连
接正在建立时，服务器用一个含有初始序列号的回答报文 来确认用户的请求。这个序列号无特殊要求，只要是唯一 的就可以了。客户端收到回答后，再对其确认一次，连接 便建立了。
（11）反客为主法。在UNIX系统下，大多数的文件修 改权限只能由超级用户拥有，而很少的权限是可以由某一 类用户所有，这使得管理员必须在Root下进行各种操作。 不过这种做法并不是很安全，黑客攻击的首要对象就是 Root，最常受到攻击的目标正是超级用户的密码。
脑病毒植入他人网络内，使其网络无法正常运行。更有甚
者，进入军事情报机关的内部网络，干扰指挥系统的正常 工作，任意修改军方首脑的指示和下级通过网络传递到首 脑机关的情报，篡改军事战略部署，导致部队调防和军事 运输上的障碍，严重者可导致局部战争的失利。
（5）业余爱好型。这种人可以帮助某些内部网堵塞
漏洞和防止损失扩大。有些爱好者还能够帮助政府部门修
第二节 网络黑客
黑客也称为“骇客”，是英文Hacker的音译。黑客大
都是对操作系统和编程语言有着较深认识的程序员或电脑
爱好者。在用户电脑防范不力的情况下，黑客可以轻松闯 入信息禁区，窃取重要或机密的信息资源，它们给网络的 安全带来了极大的隐患，于是现在黑客成了入侵者、破坏 者的代名词。
一、黑客的类型
台主机，然后再跳到欧洲，最后在法国的一台主机向联邦调
查局发起攻击。这样被攻击网站即使发现了黑客是从何处向 自已发起的攻击，管理人员也很难顺藤摸瓜地把黑客找出来， 更何况黑客在取得某台主机的系统特权后，可以在退出时删 掉系统日志，把线索割断。
（10）窃取TCP连接。网络互连协议（TCP）也存在许 多受攻击的地方。安全的协议分析成为攻击的最厉害的一 招。在几乎所有的UNIX实现的协议中，存在着一个久为人
计算机网络技术基础(微课版)(第6版)-PPT课件第 9 章 网络安全
本章学习要点：
➢ 网络安全的现状与重要性 ➢ 防火墙技术 ➢ 网络加密技术 ➢ 数字证书与数字签名 ➢ 入侵检测技术 ➢ 网络防病毒技术 ➢ 网络安全技术的发展前景
9.1 网络安全的现状与重要性
9.1.1 网络安全的基本概念
ISO 将计算机安全定义为：为数据处理系统建立和采取的技术与管 理方面的安全保护，保护计算机软件数据、硬件不因偶然和恶意的原 因而遭到破坏、更改及泄露。
➢ 软件的漏洞或“后门”
➢ 企业网络内部
返回本节首页 返回本章首页
9.2 防火墙技术
9.2.1 防火墙的基本概念
1. 什么是防火墙
“防火墙”（Fire Wall）是用来连接两个网络并控制两个网络之间相 互访问的系统，如图9-1所示。它包括用于网络连接的软件和硬件以及控 制访问的方案。防火墙用于对进出的所有数据进行分析，并对用户进行 认证，从而防止有害信息进入受保护网，为网络提供安全保障。
为了在对称加密过程中有效地管理好密钥，保证数据的机密性，美 国麻省理工学院提出了一种基于可信赖的第三方的认证系统—— Kerberos。它是一种在开放式网络环境下进行身份认证的方法，使网 络上的用户可以相互证明自己的身份。
Kerberos采用对称密钥体制对信息进行加密。其基本思想是：能正 确对信息进行解密的用户就是合法用户。用户在对应用服务器进行访 问之前，必须先从第三方（Kerberos服务器）获取该应用服务器的访 问许可证（ticket）。
链路加密简单、容易实现，但由于全部报文都以明文形式通过各结点， 因此在这些结点上，数据容易受到非法存取的危险，而且每条链路都需 要一对加、解密设备和一个独立密钥，因此成本较高。
（2）结点加密
结点加密是对链路加密的改进，它也要为通信链路上传输的所有数据 进行加密，而且加密过程对用户是透明的。
计算机网络安全基础第三版习题参考答案
计算机网络安全基础（第三版）习题参考答案第一章习题：1．举出使用分层协议的两条理由？1.通过分层，允许各种类型网络硬件和软件相互通信，每一层就像是与另一台计算机对等层通信；2.各层之间的问题相对独立，而且容易分开解决，无需过多的依赖外部信息；同时防止对某一层所作的改动影响到其他的层；3.通过网络组件的标准化，允许多个提供商进行开发。
2．有两个网络，它们都提供可靠的面向连接的服务。
一个提供可靠的字节流，另一个提供可靠的比特流。
请问二者是否相同？为什么？不相同。
在报文流中，网络保持对报文边界的跟踪；而在字节流中，网络不做这样的跟踪。
例如，一个进程向一条连接写了1024字节，稍后又写了另外1024字节。
那么接收方共读了2048字节。
对于报文流，接收方将得到两个报文，、每个报文1024字节。
而对于字节流，报文边界不被识别。
接收方把全部的2048字节当作一个整体，在此已经体现不出原先有两个不同的报文的事实。
3．举出OSI参考模型和TCP/IP参考模型的两个相同的方面和两个不同的方面。
OSI模型(开放式系统互连参考模型)：这个模型把网络通信工作分为7层，他们从低到高分别是物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
第一层到第三层属于低三层，负责创建网络通信链路；第四层到第七层为高四层，具体负责端到端的数据通信。
每层完成一定的功能，每层都直接为其上层提供服务，并且所有层次都互相支持。
TCP/IP模型只有四个层次：应用层、传输层、网络层、网络接口层。
与OSI功能相比，应用层对应的是OSI的应用层、表示层、会话层；网络接口层对应着OSI的数据链路层和物理层。
两种模型的不同之处主要有：(1) TCP/IP在实现上力求简单高效，如IP层并没有实现可靠的连接，而是把它交给了TCP层实现，这样保证了IP层实现的简练性。
OSI参考模型在各层次的实现上有所重复。
(2) TCP/IP结构经历了十多年的实践考验，而OSI参考模型只是人们作为一种标准设计的；再则TCP/IP有广泛的应用实例支持，而OSI参考模型并没有。
第9章网络安全
公用钥匙
加密
!@#$~%^~&~*()-
私有钥匙
解密
This is a book
缺点：利用公用钥匙加密虽然可避免钥匙共享而带来 的问题，但其使用时，需要的计算量较大。
9.3 数据完整性验证与数字签名
9.3.1 Hash函数
Hash函数又名信息摘要（message digest）函 数，可将一任意长度的信息浓缩为较短的固定长度 的数据。其特点是：
9.3.3 数字签名
利用钥匙加密验证值可防止信息遭篡改。进一步 地，采用公用钥匙算法中的私有钥匙加密验证值， 则除了可防止信息遭篡改外，该加密值也同时是数 字签名。
如下页图9-3-1所示为甲和乙之间进行数字签名的 生成和确认流程。
从图中可看出，数字签名的功能有三：可证明信 件的来源；可判定信件内容是否被篡改；发信者无 法否认曾经发过信。
9.2.1 加密与解密
图9-2-1示意了加密、解密的过程。其中，“This is a book”称为明文（plaintext或cleartext）；“!@# $~%^ ~ & ~ *()-”称为密文（ciphertext）。将明文转换成密文 的过程称为加密（encryption），相反的过程则称为解 密（decryption）。
第9章 网络安全
本章学习目标
本章主要讲述与网络安全有关的背景知识 和防范措。通过本章学习，应掌握以下内容 ： l 网络安全隐患 l 加密技术基本知识 l 身份认证技术 l 网络安全标准、措施和有关法规
第9章 网络安全
9.1 网络安全隐患 9.2 数据加密 9.3 数据完整性验证与数字签名 9.4 网上身份认证常识 9.5 防火墙技术
秘密钥匙
!@#$~%^~&~*()-
第9章_网络攻击防范
由于网络病毒主要通过网络传播，所以其扩散面很广，一 台PC机的病毒可以通过网络感染与之相连的众多机器。
(2)种类翻新迅速
病毒可以借助网络传播到世界各地，极大地诱发了病毒制 造者研制新病毒的兴趣。目前在网络上传播的病毒层出不 穷，每天至少会有十几种病毒诞生。
计算机网络安全
(3)传播速度快 一方面，病毒自身带有较强的再生机制，甚至可以繁衍出 不同特征的多种同一类病毒，一旦与用户计算机接触，就 可迅速扩散和传染;另一方面，在网络环境下，病毒借助 网络通信以指数增长模式进行再生，短短几天就传遍整个 世界，从而威胁全网用户的安全。 (4)破坏性强 网络上的病毒将直接影响网络的工作，轻则降低速度，影 响工作效率，重则造成网络系统的瘫痪，破坏服务器系统 资源，使众多工作毁于一旦。由网络病毒造成网络 瘫痪 的损失是难以估计的。
计算机网络安全
9.2. 1 IDS的定义
网络安全技术主要有认证授权、数据加密、访问控制、安 全审计等。入侵检测技术是安全审计中的核心技术之一， 是网络安全防护的重要组成部分。入侵检测技术是一种主 动保护自己的网络和系统免遭非法攻击的网络安全技术。 它从计算机系统或者网络中收集、分析信息，检测任何企 图破坏计算机资源的完整性(Integrity)、机密性 (Confidentiality)和可用性(Availability)的行为，即 查看是否有违反安全策略的行为和遭到攻击的迹象，并作 出相应的反应。
计算机网络安全
(3)病毒特征库和扫描引擎自动升级 可以通过指定的网络目录对病毒特征库和引擎自动升级， 提供定时、命令(手工驱动)甚至实时方式进行，在紧急情 况时，可以通过中央控制平台进行强制升级。现在的防病 毒系统大多以自动增量升级方式替代传统的覆盖升级模式， 并自动判断 是否需要升级，技术好的还能在升级过程中 断情况下自动判断增量文件中断点(即断点续传功能) ，以 降低数据流量，同时有效保证下载高峰时自动下载升级的 最大成功性。
网络安全技术及应用实践教程 第4版 习题集 第9章[5页]
![网络安全技术及应用实践教程 第4版 习题集 第9章[5页]](https://img.taocdn.com/s3/m/958fd952dd3383c4ba4cd2ec.png)
第9章防火墙应用技术1．选择题（1）拒绝服务攻击的一个基本思想是（）A．不断发送垃圾邮件工作站B．迫使服务器的缓冲区满C．工作站和服务器停止工作D．服务器停止工作（2）TCP采用三次握手形式建立连接，在（）时候开始发送数据。
A．第一步B．第二步C．第三步之后D．第三步（3）驻留在多个网络设备上的程序在短时间内产生大量的请求信息冲击某web服务器，导致该服务器不堪重负，无法正常相应其他合法用户的请求，这属于（）A．上网冲浪B中间人攻击C．DDoS攻击D．MAC攻击（4）关于防火墙，以下( )说法是错误的。
A.防火墙能隐藏内部IP地址B.防火墙能控制进出内网的信息流向和信息包C.防火墙能提供VPN功能D.防火墙能阻止来自内部的威胁（5）以下说法正确的是（）A.防火墙能够抵御一切网络攻击B.防火墙是一种主动安全策略执行设备C.防火墙本身不需要提供防护D.防火墙如果配置不当，会导致更大的安全风险解答：B C C D D2．填空题（1）防火墙隔离了内部、外部网络，是内、外部网络通信的途径，能够根据制定的访问规则对流经它的信息进行监控和审查，从而保护内部网络不受外界的非法访问和攻击。
唯一（2）防火墙是一种设备，即对于新的未知攻击或者策略配置有误，防火墙就无能为力了。
被动安全策略执行（3）从防火墙的软、硬件形式来分的话，防火墙可以分为防火墙和硬件防火墙以及防火墙。
软件、芯片级（4）包过滤型防火墙工作在OSI网络参考模型的和。
网络层、传输层（5）第一代应用网关型防火墙的核心技术是。
代理服务器技术（6）单一主机防火墙独立于其它网络设备，它位于。
网络边界（7）组织的雇员，可以是要到外围区域或Internet 的内部用户、外部用户（如分支办事处工作人员）、远程用户或在家中办公的用户等，被称为内部防火墙的。
完全信任用户（8）是位于外围网络中的服务器，向内部和外部用户提供服务。
堡垒主机（9）利用TCP协议的设计上的缺陷，通过特定方式发送大量的TCP 请求从而导致受攻击方CPU超负荷或内存不足的一种攻击方式。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第9章网络安全一、术语辨析从给出的26个定义中挑出20个，并将标识定义的字母填在对应术语前的空格位置。
1. 后门攻击 2. 拒绝服务攻击3. 篡改信息4. 数据保密服务5. 身份认证6. 入侵检测系统7. 防抵赖8. 欺骗攻击9. 对称加密10. 僵尸网络11. 认证中心12. 公钥基础设施13. 数字签名14. 包过滤路由器15. 漏洞攻击16. 木马程序17. 非对称加密18. 防火墙19. 异常检测20. 业务持续性规划A. 目的节点没有接收到应该接收的信息，信息在传输过程中丢失。
B. 信息遭到修改或插入欺骗性信息，使得接收的信息是错误的。
C. 对网络攻击者的统称。
D. 利用网络中硬件或软件存在的缺陷，非法访问网络、窃取信息的行为。
E. 通过口令破解等方法达到非法侵入网络系统的目的。
F. 通过消耗网络带宽或系统资源，导致网络瘫痪或停止正常的网络服务的攻击。
G. 控制、指挥大量分布在不同地理位置的主机，同时向一台目标主机发起攻击的方式。
H. 通过调试后门等方式，绕过网络防护系统的攻击方式。
I. 防止信息在网络传输过程中被非授权用户获取的服务。
J. 检查用户真实身份与授权，实施访问控制的功能。
K. 保证网络中所传输的数据不被修改、插入或删除的服务。
L. 保证通信的双方不能对已发送或已接收的信息予以否认的服务功能。
M. 控制与限定网络用户对主机系统、网络服务与网络信息资源访问和使用的功能。
N. 对信息的加密与解密使用相同的密钥。
O. 加密用的公钥与解密用的私钥不同。
P. 利用公钥加密和数字签名技术建立的提供安全服务的基础设施。
Q. 产生用户之间通信所使用的非对称加密的公钥与私钥对的部门。
R. 用户申请下载包含用户密钥的数字证书的部门。
S. 网络环境中利用非对称加密算法保证文件发送人身份真实性的方法。
T. 保护内部网络资源不被外部非授权用户使用和攻击的网络设备。
U. 建立检查进出内部网络数据包合法性，标准网络区域安全的方法。
V. 按照系统内部设置的分组过滤规则决定该分组是否应该转发的网络设备。
W. 对计算机和网络资源的恶意使用行为进行识别的系统。
X. 根据已知网络的正常活动状态来判断攻击行为的方法。
Y. 对突发事件对网络与信息系统影响的预防技术。
Z. 假扮成其他的程序，依靠用户的信任去激活的恶意代码。
（参考答案：HFBIJ WLENG QPSVD ZOTXY）二、选择题（请从4个选项中挑选出1个正确答案）1. 以下关于网络安全威胁发展的趋势的描述中错误的是 .A. 趋利性是当前网络攻击的主要特点B. 网络攻击开始演变成某些国家或利益集团重要的政治、军事工具C. 网络攻击、病毒与垃圾邮件是网络安全的三大公害D. 云计算可以有效地防止网络攻击发生2. 以下关于网络安全的三大公害的描述中错误的是.A. 网络攻击、病毒与垃圾邮件攻击方式相互融合，变种不断出现B. 垃圾邮件具有自复制特征C. 利用漏洞制造病毒的速度加快D. 病毒已经从传统的Internet向无线与P2P网络扩张3. 以下关于服务攻击与非服务攻击基本概念的描述中错误的是.A. 网络防攻击可以归纳为两种基本类型：服务攻击与非服务攻击B. 服务攻击是指对网络服务器发起攻击，造成服务器工作不正常甚至瘫痪C. 非服务攻击的对象主要针对物理通信线路D. 非服务攻击的目的是使网络通信不正常甚至中断4. 以下关于漏洞攻击特征的描述中错误的是.A. 网络攻击者通过网络踩点等多种形式，利用网络中存在的漏洞非法访问网络B. 漏洞可以分为两类：技术漏洞与管理漏洞C. 技术漏洞是指：网络协议、协议软件与应用软件的瑕疵，及系统、网络配置错误D. 管理漏洞是指：用户密码泄漏5. 以下攻击形式中属于典型的欺骗攻击的是.A. 蠕虫病毒B. 中间人攻击C. IP碎片攻击D. 拒绝服务攻击6. 以下关于DDoS攻击特征的描述中错误的是.A. 被攻击主机上有大量等待的UDP连接B. 网络中充斥着大量源IP地址是真实的、无用的分组C. 大量无用数据包造成网络拥塞，使被攻击的主机无法正常地与外界通信D. 被攻击主机无法正常回复合法用户的服务请求，严重时会造成主机系统瘫痪7. 以下关于网络安全基本要求的描述中错误的是.A. 可用性是指出现停电、攻击等情况下，网络系统仍然可以正常运转B. 机密性是指保证网络中的数据不被非法截获或被非授权用户访问C. 完整性是指保证不出现对已发送或已接收的信息否认的现象D. 可控性是指能够限定网络用户对网络服务与网络信息资源的访问和使用8. 可信计算机系统评估准则TC-SEC-NCSC中安全等级最高的是 .A. A1B. B1C. C1D. D9. 以下关于密码体制基本概念的描述中错误的是.A. 密码体制包括加密、解密算法和密钥B. 加密密钥和解密密钥相同称为对称密码体制C. 加密密钥和解密密钥不相同称为非对称密码体制D. 一切秘密寓于加密、解密算法之中10. 以下关于非对称加密基本概念的描述中错误的是.A. 非对称加密对信息的加密与解密使用不同的密钥B. 加密的公钥是可以公开的C. 对应一个私钥，可以有多个公钥D. 不能通过公钥来计算出私钥11. 以下关于公钥基础设施PKI基本概念的描述中错误的是 .A. PKI是利用非对称加密密码体系，提供安全服务的通用性网络安全基础设施B. 用户在使用时必须监控PKI系统对证书与密钥管理过程C. PKI能够为所有的网络应用提供加密与数字签名服务D. PKI的主要任务是确定用户在网络中可信任的合法身份12. 以下关于数字签名基本概念的描述中错误的是.A. 数字签名可以防止信息发送者抵赖行为的发生B. 数字签名最常用的加密方法是对称加密算法C. 使用单向散列函数对要签名的信息进行计算，生成信息摘要D. 通过检查消息摘要值可以发现发送的消息是否已经被人篡改13. 为了防止A在签订合同之后反悔，B在与A交换文本时要采用的技术是.A. 消息认证B. 数据加密C. 数字签名D. 数字水印14. 以下关于网络身份认证技术的描述中错误的是.A. 所知：网络管理员所掌握的信息B. 所有：个人的身份证、护照、信用卡、钥匙等C. 个人特征：指纹、声音、笔迹、脸型、血型、视网膜、虹膜、DNA及动作特征等D. 根据安全要求和用户可接受的程度，可以选择适当的组合15. 以下关于防火墙基本概念的描述中错误的是.A. 防火墙是在网络之间执行控制策略的硬件（或软件）系统B. 防火墙的设计是建立在内部网络与外部网络都是“不可信任的网络”的前提之上C. 设置防火墙的目的是保护内部网络资源不被外部非授权用户使用和攻击D. 最简单的防火墙系统是包过滤路由器16. 以下关于入侵检测基本概念的描述中错误的是.A. IDS是对计算机和网络资源的恶意使用行为进行识别的系统B. IDS用于监测和发现来自系统外部的入侵行为和来自内部用户的非授权行为C. IDS一般是由事件发生器、事件分析器、响应单元与事件数据库组成D. IDS依据过滤规则表检查、发现入侵行为17. 以下关于蜜罐概念的描述中错误的是.A. 蜜罐是一个包含漏洞的诱骗系统B. 蜜罐可以用来转移网络攻击者对有价值的资源的注意力，保护网络资源C. 蜜罐可以收集攻击者攻击目标、企图、行为等数据，以研究网络管理对策D. 蜜罐对入侵者行为和操作过程进行记录，为起诉入侵者搜集有用的证据18. 以下关于业务可持续性规划概念的描述中错误的是 .A. 针对可能出现的突发事件，提前制定预案，控制对关键业务流程所造成的影响B. 规划第一步的工作应该是选择备份设备C. 规划包括风险分析、用户需求、设计流程、可选的方案及安全评价方法等D. 评价标准是：如何在最短的时间内恢复对数据的访问能力19. 以下关于恶意代码基本概念的描述中错误的是.A. 能够从一台计算机传播到另一台计算机，从一个网络传播到另一个网络B. 目的是在用户和网络管理员不知情的情况下，修改配置、窃取信息和发动攻击C. 恶意代码就是病毒D. 恶意代码具有如下共同特征：恶意的目的、本身是程序、通过执行发生作用20. 以下关于网络病毒特点的描述中错误的是.A. 特洛伊木马是一种非自身复制程序B. 蠕虫一般寄生在其他文件或引导区中C. 网络服务器感染病毒之后可能造成瘫痪D. 网络服务器可能成为病毒传播的代理人，在工作站之间传播病毒（参考答案：DBCDB ACADC BBCAB DCBCB）三、计算与问答题1. 图9-31给出了典型的PKI结构示意图。
请根据对PKI原理的理解，写出图中省略的①～④处密钥的名称。
图9-31 典型的PKI结构示意图答：○1私钥；○2公钥；○3私钥（加密）；○4公钥（解密）2. 图9-32为IPSec VPN的网络结构示意图。
图中给出了IPSec隧道模式主机A到安全网关A、从安全网关A通过隧道到安全网关B，以及从安全网关B到主机B的简化IP分组结构示意图。
图9-32 IPSec VPN网络结构示意图请根据图中所标记的数据，回答以下问题：(1) 请写出图中①～⑥省略的IP地址。
(2) 请指出在安全网关之间隧道中传输的IP分组中，哪一部分的数据是加密的数据？(3) 请指出在ESP认证数据时对哪一部分的数据加以认证？答：（1）○1202.1.2.3 ○2212.10.5.2 ○320.16.25.30○4190.2.2.2 ○5201.1.2.3 ○6212.10.5.2（2）IP分组头，高层数据。
（3）ESP头，IP分组头，高层数据。
3. 图9-33为数字信封工作原理示意图，图中①～⑥省略了密钥名称。
如果对称密钥为K0，接收方私钥为K1，接收方公钥为K2。
请写出图中①～⑥省略了的密钥名称。
图9-33 数字信封工作原理示意图答：○1K0 ○2K2○3K0○4K1○5K0○6K04. 图9-34为S-B1-S-B1防火墙网络结构示意图。
图9-34 S-B1-S-B1防火墙网络结构示意图请画出主机A访问数据库服务器A通过的S-B1-S-B1防火墙层次结构示意图。
答：S-B1-S-B1防火墙网络结构示意图为：。