《信息系统安全》期末考试复习指南
《信息安全》期末复习整理资料
《信息安全》期末复习整理资料第一章：网络安全综述1、网络安全的含义网络安全指网络系统中的软件、硬件以及系统中的数据的安全。
体现在网络信息的存储、传输和使用过程中。
2、威胁网络安全的因素（1）、黑客的攻击（2）、管理的欠缺（3）、网络的缺陷（4）、软件漏洞或后门（5）、企业网内部3、网络安全的目标（1）、机密性（2）、完整性（3）、可用性（4）、可控和可保护性（5）、可审查性（6）、认证4、网络安全模型四要素：转换算法设计、算法生成有关的保密信息、保密信息的管理、通信安全协议的设计动态安全模型：P2DR模型policy（策略）、protection（保护）、detection（检测）、response（响应）5、基本网络安全技术（1）、密码技术（核心与基础）加密数字签名身份认证（2）、防火墙（3）、防毒软件（4）、虚拟专有网络（VPN）：信道协议（5）、安全检测和监控监测（主动防御方式）网络安全扫描技术入侵检测系统黑客诱骗技术（6）、综合防范第二章：密码学基础1、什么是密码学密码学与信息的机密性、数据的完整性、身份鉴别和数据原发鉴别等信息安全问题有关的数学学科。
包括密码编码学和密码分析学。
2、密码学的任务（1）、机密性（2）、完整性（3）、可审查性（4）、认证3、基本概念（1）、被动攻击与主动攻击：被动入侵仅仅监听、主动入侵改变内容（2）、密码系统包含4个方面：明文空间、密文空间、密钥空间、密码算法（加密算法、解密算法）4、密码算法的分类（1）按照保密内容分：①、受限制的算法（算法保密）②、基于密钥的算法（密钥保密）（2）、按照密钥特点分：①、对称密码算法（秘密密钥/单密钥）：解密算法是加密算法的逆过程、加密密钥和解密密钥相同或很容易有一个推出另一个（a）、流密码：明文划分成编码的基本单元与密钥流作用,一次一密 DES、AES（b）、分组密码：明文划分成固定唱的的数据组与密钥留作业RSA②、非对称密码算法（公开密钥/双密钥）：加密密钥和解密密钥不一样，由一个很难退出另一个第三章：常见密码体制1、古典密码技术（1）、换位密码（置换密码）①、列换位法：明文以固定宽度水平写入，密文垂直读出②、矩阵换位法：明文按给定秩序垂直写入，密文按另一给定秩序垂直读出（2）、替代密码①、单字母密码(a)、单表代替密码：移位、乘数、仿射（b）、多表替代：非周期多表替代、周期多表替代（代换表是否重复使用）②、多字母密码(a)、多字母代替：字符块替代（多对多）（b）、多名码替代：一个字符对多个字符之一2、数据加密标准DES（1）、DES利用56bit的密钥加密64bit的明文，得到64bit的密文（2）、对称密码设计原则：①、混淆：掩盖明文与密文之间的关系②、扩散：使明文与密文这件的统计关系复杂（3）、DES核心：S盒（非线性）（4）、对称加密体制的特点①、保密强度高、算法速度快、开放性差②、安全通信之前须有可靠密钥信道，安全性要求高，密钥须妥善保管③、用户增加后密钥空间增大、管理困难④、无法实现抗否认需求——数字签名（5）、对称密码技术的应用：数据的加密与解密3、非对称加密体制（1）、非对称加密体制的特点①、密钥分发简单②、密钥空间减小③、可实现陌生人之间保密通信④、可以实现数字签名⑤、加密速度慢（2）、非对称密码技术的应用：数字签名、密钥分配、数字证书等（3）、RSA算法：基于大整数的素数因子分解问题第四章：数字签名技术1、基础知识（1）、单向散列函数特点①、输入长度可变②、输出长度固定③、给定x，容易计算H(x)④、给定H(x)，很难计算x⑤、唯一性：难以找到两个不同的输入会得到相同输出（2）、数字签名的性质①、能验证签名者身份、签名产生与日期②、能用于证实被签内容③、第三方认证，解决通信争议（3）、数字签名的作用当通信双方发送下列情况时，数字签名技术能够解决引发的争端①、否认发送方否认发送②、伪造接收方自己伪造③、冒充其他用户冒充发送④、篡改接收方篡改（4）、数字签名应满足的条件①、可以被确认②、不可抵赖（不可否认）③、不可重用（唯一性）④、不可伪造（不可冒充）⑤、第三方不能篡改（5）、数字签名与手写签名的区别（随文本是否变化、与文本信息能否分割）第五章：密钥管理技术密钥管理：处理密钥自产生到最终销毁整个过程中的有关问题。
信息安全期末复习资料
第一章1、信息安全的六个需求性质可用性、机密性、完整性、非否认性、真实性、可控性第二章1、对称密码和非对称密码体制的概念和特点1）对阵密码体质的特征是用于加密和解密的密钥是一样的或相互容易推出。
对称密码体制又称单密钥密码体制，是指加密密钥和解密密钥相同的密码体制。
这种密码体制的保密性主要取决于对密钥的保密，其加密和解密算法是公开的。
要保证对称密钥密码体制的安全性，其加密算法必须足够复杂，同时其密钥必须保密并且有足够大的密钥空间，从而使得攻击或者在截取密文和知道加密算法的情况下，仍然无法还原出明文。
最有影响的对称密钥密码体制是1977年美国国家标准局须布的数据加密标准DES。
2）非对称密码体制也叫公钥加密技术，公钥密码体制有两个不同的密钥，它可将加密功能和解密功能分开。
一个密钥作为私钥，像在对称密码体制中一样，该密钥被秘密保存。
另一个秘钥称作公钥，不需要保密。
公钥密码体制必须具有如下特性：给定公钥，要确定出私钥是计算上不可行的。
公钥密码技术可以简化密钥的管理，并且可通过公开系统如公开目录服务来分配密钥。
该技术就是针对私钥密码体制的缺陷被提出来的。
在公钥加密系统中，加密和解密是相对独立的，加密和解密会使用两把不同的密钥，加密密钥(公开密钥)向公众公开，谁都可以使用，解密密钥(秘密密钥)只有解密人自己知道，非法使用者根据公开的加密密钥无法推算出解密密钥，顾其可称为公钥密码体制。
公钥密码体制的算法中最著名的代表是RSA系统，此外还有:背包密码、McEliece密码、Diffe_Hellman、Rabin、零知识证明非对称密码体制的优点在于：首先，在多人之间进行保密信息传输所需的密钥组和数量很小；第二，密钥的发布不成问题；第三，公开密钥系统可实现数字签名。
缺点：公开密钥加密比私有密钥加密在加密／解密时的速度慢。
特点：1）加密和解密能力分开2）多个用户加密的消息只能由一个用户解读，（用于公共网络中实现保密通信）3）只能由一个用户加密消息而使多个用户可以解读（可用于认证系统中对消息进行数字签名）。
北邮信息系统安全期末整理
信息系统安全期末整理2013.6.17【基本概念】1.信息系统的架构模型应用业务软件：处于顶层，直接与用户或实体打交道应用平台软件：处于中间层，在操作平台支撑下运行的支持和管理应用业务的软件操作平台软件：处于基础层，维系着信息系统组件运行的平台硬件：处于最底层，提供运行环境2. 信息系统安全信息系统安全就是信息在存取、处理、集散和传输中保持其机密性、完整性、可用性、可审计性和抗抵赖性的系统辨识、控制、策略和过程。
①系统辨识：研究如何建立信息系统的数学模型，内容包括模型类型的确定、参数估计方法和达到高精度估计的试验设计方法。
②控制：是指信息系统根据变化进行调整，使信息系统保持特定的状态。
③策略：就是针对信息系统安全面临的系统脆弱性和各种威胁进行安全风险分析，制定安全目标，建立安全模型和安全等级，提出控制对策，并对信息系统安全进行评估，制定安全保障和安全仲裁等对策。
④过程：是指信息系统状态的变化在时间上的持续和空间上的延伸。
3. 信息系统安全的构成要素风险分析：信息系统的风险是对某个脆弱性可能引发某种成功攻击的可能性及其危害性的测度。
***安全需求：信息系统的安全目标与所属组织的安全利益目标完全一致，集中体现为信息保护和系统保护两大目标。
>>信息保护：保护所属组织的敏感信息和系统运行时有关信息的机密性、完整性、可用性和可控性。
>>系统保护：保护所属组织的运行和职能，以实现系统的可靠性、完整性和可用性。
安全策略：是指在某个安全区域内（一个安全区域，通常是指属于某个组织的一系列处理和通信资源），用于所有与安全相关活动的一套规则。
这些规则是由此安全区域中所设立的一个安全权力机构建立的，并由安全控制机构来描述、实施或实现的。
信息安全等级保护：是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。
信息安全期末重点复习
信息安全期末重点复习简述信息安全、⽹络安全、计算机系统安全和密码安全的关系信息安全与⽹络安全、计算机系统安全和密码安全密切相关，但涉及的保护范围不同。
信息安全包含⽹络安全，⽹络安全包含计算机系统安全，计算机系统安全包含密码安全。
其中：（1）信息安全所涉及的保护范围包括所有信息资源；（2）计算机系统安全将保护范围限定在计算机系统硬件、软件、⽂件和数据范畴，安全措施通过限制使⽤计算机的物理场所和利⽤专⽤软件或操作系统来实现；（3）密码安全是信息安全、⽹络安全和计算机系统安全的基础与核⼼，也是⾝份认证、访问控制、拒绝否认和防⽌信息窃取的有效⼿段。
信息安全策略⼀般包括哪些内容？信息安全策略是保障机构信息安全的指导⽂件。
⼀般⽽⾔，信息安全策略包括总体安全策略和具体安全管理实施细则。
其中：（1）总体安全策略包括：1）均衡性原则；2）时效性原则；3）最⼩限度原则。
（2）安全策略内容包括：1）硬件物理安全；2）⽹络连接安全；3）操作系统安全；4）⽹络服务安全；5）数据安全；6）安全管理责任；7）⽹络⽤户安全责任。
PPDR信息安全模型由那⼏部分组成？说明每部分的作⽤PPDR信息安全模型由安全策略、保护、检测和响应四个部分组成。
（1）安全策略是PPDR模型的核⼼，是围绕安全⽬标、依据信息系统具体应⽤、针对信息安全等级在信息安全管理过程中必须遵守的原则。
（2）安全保护是⽹络安全的第⼀道防线，包括安全细则、安全配置和各种安全防御措施，能够阻⽌绝⼤多数⽹络⼊侵和危害⾏为。
（3）⼊侵检测是⽹络信息安全的第⼆道防线，⽬的是采⽤主动出击⽅式实时检测合法⽤户滥⽤特权、第⼀道防线遗漏的攻击、未知攻击和各种威胁信息安全的异常⾏为，通过安全监控中⼼掌握整个⽹络与信息系统的运⾏状态，采⽤与安全防御措施联动⽅式尽可能降低威胁⽹络安全与信息系统安全的风险。
（4）应急响应是能够在信息系统受到危害之前，采⽤⽤户定义或⾃动响应⽅式及时阻断进⼀步的破坏活动。
信息管理与信息系统专业信息系统安全考试复习资料
1、网络攻击和防御分别包括哪些内容？攻击：网络扫描、网络监听、网络入侵、网络后门与网络隐身防御：操作系统安全配置技术、加密技术、防火墙技术、入侵检测技术2、简述TCP/IP协议族的基本结构，分析物理层、网络层、应用层可能受到的威胁及防御？TCP/IP协议族包括4个功能层，自顶向下分别为：应用层、传输层、网络层、网络接口层。
物理层可能受到的威胁是未授权用户的接入、物理盗窃、涉密信息被复制或破坏等等。
保护措施主要体现在实时存档和监测网络，提高通信线路的可靠性、软硬件设备安全性、防干扰能力，保证设备的运行环境，不间断电源保障，等等。
网络层可能受到的威胁是IP欺骗攻击，保护措施是使用防火墙过滤和打系统补丁。
SMTP容易受到的威胁是：邮件炸弹，病毒，匿名邮件和木马等。
保护措施是认证、附件病毒扫描和用户安全意识教育。
FTP容易受到的威胁是：明文传输、黑客恶意传输非法使用等。
保护的措施是不许匿名登录，单独的服务器分区，禁止执行程序等。
HTTP容易受到的威胁是：恶意程序。
3、简述学习windows下编程的注意点？根据实际情况选择一门语言，精通使用，切勿看到一种语言学一种，到最后都只是略知一二。
编程是一个循序渐进的过程，需要在学习的过程中一点一滴积累，遇到困难大可不必灰心丧气。
从一开始写程序要养成良好的编程习惯，如变量命名规则、缩进规范、编写文档和注释等，以提高程序的可读性和可扩展性。
4、黑客在进攻的过程中需要经过哪些步骤？目的是什么？隐藏IP，目的是为了不被发现；踩点扫描，目的是为了寻找漏洞；获得系统或管理员权限，目的是为了连接到远程计算机，对其进行控制、攻击；种植后门，目的是为了保持长期访问权；在网络中隐身，目的是为了不被管理员发现。
5、网络监听技术的原理是什么？在局域网中与其他计算机进行数据交换时，数据包发往所有的连在一起的主机，也就是广播，在报头中包含目的机的正确地址。
因此只有与数据包中目的地址一致的那台主机才会接收数据包，其他的机器都会将包丢弃。
信息系统安全课程复习提纲
信息系统安全课程复习提纲信息系统安全课程复习提纲1、信息安全发展的五个阶段：第⼀阶段：通信安全；第⼆阶段：计算机安全；第三阶段：信息安全；第四阶段：信息安全保障体系；第五阶段：⽹络空间安全2、信息系统的基本概念：信息系统是集数据录⼊、存储、加⼯为⼀体，传递信息、知识和数字产品的完整体系。
商业公司和其他组织，通过信息系统来实现业务管理，为顾客和供应商提供信息交互，圆满完成各类业务。
3、GB17859-1999《计算机信息系统安全保护等级划分准则》是我国计算机信息系统安全等级保护系列标准的核⼼，是实⾏计算机信息系统安全等级保护制度建设的重要基础。
将计算机信息系统的安全性从低到⾼划分为5个等级：分别是：⽤户⾃主保护级，系统审计保护级，安全标记保护级，结构化保护级，访问验证保护级等五个级别。
4、对不可维修的产品的平均寿命是指从开始投⼊⼯作，⾄产品失效的时间平均值。
也称平均失效前时间，记以MTTF（Mean Time To Failure）；对可维修产品⽽⾔，其平均寿命是指两次故障间的时间平均值，称平均故障间隔时间，习惯称平均⽆故障⼯作时间MTBF （Mean Time Between Failures）。
5、通常⽤“平均⽆故障时间（MTBF）”和“平均故障修复时间（MTTR）”分别表⽰计算机系统的可靠性和可⽤性，下列哪个选项表⽰系统具有⾼可靠性和⾼可⽤性？A）MTBF⼩，MTTR⼩B）MTBF⼤，MTTR⼩C）MTBF⼩，MTTR⼤D）MTBF⼤，MTTR⼤6、以下不具有容错功能的是：A RAID0B RAID1C RAID3D RAID57、由6块500G硬盘组成的RAID1，最⼤容量⼤概为（）。
A. 3TB. 2.5TC. 2TD. 1.5T8、以下哪些不属于⽣物设别特征指纹，笔迹，声⾳，⼿型，脸型，视⽹膜，令牌环9、如果静态⼝令为3位的数字类型，强⼒爆破理论上最多需要的次数为多少次？如果静态⼝令为6位的数字类型，强⼒爆破理论上最多需要多少次？10、在TCSEC中，美国国防部按处理信息的等级和应采⽤的相应措施，将计算机安全从⾼到低分为A、B、C、D四类七个级别。
信息系统安全课程复习提纲2
1、数据库易受攻击主要来自三个层面：管理层面 :主要表现为人员的职责、流程有待完善，内部员工的日常操作有待规范，第三方维护人员的操作监控失效等等，致使安全事件发生时，无法追溯并定位真实的操作者。
技术层面 :数据库自身存在漏洞现有的数据库内部操作不明，无法通过外部的任何安全工具（比如防火墙、IDS、IPS等）来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。
审计层面 :现有的依赖于数据库日志文件的审计方法，存在诸多的弊端，比如数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改的风险，难于体现审计信息的真实性。
2、数据库漏洞的种类繁多和危害性严重是数据库系统受到攻击的主要原因3、数据库安全漏洞按来源的不同可分为四类：1.缺省安全漏洞a)数据库安装缺省用户名密码b)缺省端口号c)最低安全级别d)启用不必要功能2.数据库设计缺陷a)明文存储b)DBA/sysDBA等超级用户c)无法鉴别访问是否合法3.人为使用上的漏洞a)过于宽泛授权b)口令复杂度不高c)未及时修补漏洞d)未自我检查e)允许互联网接入f)未加密4.数据库产品的BUGa)缓冲区溢出b)拒绝服务攻击漏洞5.数据库安全体系结构划分1.网络系统2.宿主操作系统3.数据库管理系统6.数据库特权：1.系统特权每一种系统允许用户执行一种特殊的数据库操作或一类数据库操作2.对象特权在指定的表、视图、序列、过程、函数或包上执行特殊动作的权利7.数据库安全技术分为：1.安全防御体系2.自身安全技术8.数据库加密三种方式：库内加密库外加密硬件加密9.库外加密：在库外加密方式中，加/解密过程发生在DBMS之外，DBMS管理的是密文。
加/解密过程大多在客户端实现，也有的由专门的加密服务器或硬件完成。
将数据库的文件作为加密对象优点对DBMS的要求少缺点效率低数据解密需要很大时间和空间代价10.库内加密库内加密在DBMS内核层实现加密，加/解密过程对用户与应用透明，数据在物理存取之前完成加/解密工作。
信息系统安全复习提纲
信息系统安全复习提纲信息系统安全复习提纲by CoverBesti 第⼀章绪论1. 信息系统是由计算机硬件、⽹络和通讯设备、计算机软件、信息资源、信息⽤户和规章制度组成的以处理信息流为⽬的的⼈机⼀体化系统：OA、MIS、电⼦⽂件中⼼、地理信息系统、⽹站信息管理系统。
2. ⽹络信息系统是脆弱的：①⽹络的开放性②组成⽹络通信系统和信息系统的⾃⾝缺陷③⿊客及病毒等恶意程序的攻击。
3. 信息系统安全的基本需求：①保密性②完整性③可⽤性④可控性⑤不可否认性4. 信息系统安全保障体系的建设，从不同⾓度出发可能会有不同的原则，也可以提出若⼲多项原则来，但既然是保障体系的建设，我们应该可以从总体的宏观⾓度来提出建设的原则：(1)个性化原则。
(2)保证应⽤利于发展的原则。
(3)动态性的原则。
(4)适度风险的原则。
5. 信息安全等级保护：①信息资源分类分级保护制度②系统安全功能分级保护制度③安全产品使⽤分级管理制度④事件分级响应与处置制度⑤分级监管制度⑥信息安全等级保护原则⑦保护重点⑧安全等级保护制度运⾏五个关键控制环节⑨信息系统安全集中控制管理体系⑽系统主要⽬标的安全管理⑾互连互通、信息共享，以利发展。
第⼆章物理安全1. 物理安全:信息系统安全的前提：即保护计算机设备、设施免遭⾃然灾害和环境事故（如电磁污染等）以及⼈为操作失误及计算机犯罪⾏为导致的破坏。
2. ⼈为的对物理安全的威胁包括：偷窃、废物搜寻、间谍活动。
3. 物理安全包括三个⽅⾯：环境安全、设备安全、媒体安全。
4. 计算机系统的安全与外界环境有密切的关系，⽤户⽆法改变系统器件、⼯艺、材料等因素，但能决定⼯作环境。
条件包括：⼯作场地、运⾏条件、⼈为影响、⾃然影响。
5. 信息泄漏的两种表现形式：从⽹络进⼊的攻击所造成的信息泄漏；电磁袭击所造成的电磁泄漏。
6. 电磁泄漏的危害：危害计算机周围的⼈体健康；对周围电⼦设备形成电磁⼲扰；导致信息泄密，造成重⼤损失。
两种泄漏⽅式：辐射泄漏、传导泄漏。
信息安全导论期末重点复习资料
第一章1：信息安全威胁的基本类型：信息泄露，信息伪造，完整性破坏，业务否决或拒绝服务，未经授权访问。
2：信息的安全属性主要包括：机密性，完整性，可用性，可控性，不可否认行。
3：信息安全威胁的主要表现形式：攻击原始资料（人员泄露，废弃的介质，窃取），破坏基础设施（电力系统，通信网络，信息系统场所），攻击信息系统（物理侵入，木马，恶意访问，服务干扰，旁路控制，计算机病毒），攻击信息传输（窃听，业务流分析，重放），恶意伪造（业务欺骗，假冒，抵赖），自身失误，内部攻击，社会工程学攻击。
4：面向应用的层次型技术体系结构：物理安全，运行安全，数据安全，内容安全，管理安全。
5：面向目标的知识体系结构：机密性，完整性，可用性。
6：面向过程的信息安全保障体系：保护，检测，反应，恢复。
7：OSI开放系统互联安全体系结构：安全服务（鉴别，访问控制，数据机密性，数据完整性，抗抵赖性），安全机制（加密，数字签名，访问控制，数据完整性，鉴别交换，业务流填充，路由控制，公证机制）。
第三章1:设备安全防护:防盗，防火，防静电，防雷击。
2:防信息泄露:电磁泄露(屏蔽法，频域法，时域法)，窃听。
3:物理隔离:意为通过制造物理的豁口来达到物理隔离的目的。
他是不安全就不联网，绝对保证安全。
4:逻辑隔离也是一种不同网络间的隔离部件，被隔离的两端仍然存在物理上数据通道连线，但通过技术手段保证被隔离的两端没有数据通道，即逻辑上隔离。
在保证网络正常使用的情况下，尽可能安全。
5:物理安全:指为了保证计算机系统安全、可靠地运行，确保系统在对信息进行采集、传输、存储、处理、显示、分发和利用的过程中不会受到人为或自然因素的危害而使信息丢失、泄漏和破坏，对计算机系统设备、通信与网络设备、存储媒体设备和人员所采取的安全技术措施。
主要包括实体安全和环境安全，涉及到网络与信息系统的机密性，可用性，完整性等属性。
6:电磁泄露:就是说你用的电脑，显示器，手机等，都是能产生电子辐射的，而且都有固定的特征，通过技术手段可以分析你电脑的使用内容，或者还原画面，造成秘密泄露！7:物理隔离与逻辑隔离的区别:物理隔离部件的安全功能应保证被隔离的计算机资源不被访问，计算机数据不能被重用。
信息安全期末复习
1、信息安全的概念，信息安全理念的三个阶段（信息保护-5特性，信息保障-PDRR，综合应用-PDRR+管理）概念：信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。
三个阶段：（1）信息保护阶段：信息安全的基本目标应该是保护信息的机密性、完整性、可用性、可控性和不可抵赖性。
（2）信息综合保障阶段--PDRR模型（3）信息安全整体解决方案：在PDRR技术保障模型的前提下，综合信息安全管理措施，实施立体化的信息安全防护。
即整体解决方案＝PDRR模型+ 安全管理。
2、ISC2的五重保护体系，信息安全体系-三个方面，信息安全技术体系国际信息系统安全认证组织（International Information Systems Security Certification Consortium，简称ISC2）将信息安全划分为5重屏障共10大领域。
（1）．物理屏障层（2）．技术屏障层（3）．管理屏障层（4）．法律屏障层（5）．心理屏障层信息安全体系-三个方面：信息安全技术体系、信息安全组织机构体系、信息安全管理体系信息安全技术体系：划分为物理层安全、系统层安全、网络层安全、应用层安全和管理层安全等五个层次。
1）物理安全技术（物理层安全）。
该层次的安全包括通信线路的安全、物理设备的安全、机房的安全等。
2）系统安全技术（操作系统的安全性）。
该层次的安全问题来自网络内使用的操作系统的安全，主要表现在三个方面：一是操作系统本身的缺陷带来的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是对操作系统的安全配置问题；三是病毒对操作系统的威胁。
3）网络安全技术（网络层安全）。
主要体现在网络方面的安全性，包括网络层身份认证、网络资源的访问控制、数据传输的保密与完整性、远程接入的安全、域名系统的安全、路由系统的安全、入侵检测的手段、网络设施防病毒等。
第三章信息系统安全 学考复习课件 2021—2022学年浙教版（2019）高中信息技术必修2
①用户名十口令的认证技术；②依靠生物特征识别的认证技术；③USB Key 认证技术。 (3)访问控制
身份认证要解决的问题是用户是否有权限进入系统使用数据资源，而访问控制要解决 的 问题是用户对数据操作的权限，如读取、写入、执行、删除、追加等权限。
2 信息系统安全与防护
5.黑客及防范 （1）黑客的概念 一般指热衷于计算机技术或解决难题、突破限制的高手。但由于部分人到 处搜集黑客工具，利用网络进行捣乱和破环，使“黑客”逐渐沦为贬义词。 （2）防火墙技术 防火墙一般是有硬件和软件组合而成的复杂系统，也可以只是软件系统。防 火墙一般放在内部网络和外部网络之间，控制外网对内网的数据传输和访问。 防火墙主要由服务访问规则、验证工具、包过滤和应用网关组成。
学考复习资料
第三章 信息系统安全
1.个人信息及保护 2.信息社会责任 3.数据加密与安全 4.身份认证与安全 5.病毒及防治 6.漏洞及其防护
信息系统安全
信息安全与保护 个人信息及其保护 信息社会责任
信息系统安全与防护 数据加密与安全 身份认证与安全
病毒及其防治 漏洞及其防护
1 信息安全与保护
自媒体在享有通信自由权、信息传播自由权、信息选择权时，还应承担道德上 的责任和义务。在传播信息时要提升自律能力，加强自身新闻素养，遵循传播伦 理规范，避免不良信息的产生和传播。
2 信息系统安全与防护
1.数据加密与安全 加密：保护信息的保密性 数字签名：保护信息的不可否认性 容灾备份和恢复：确保数据的完整性
1.个人信息及其保护 （1）个人信息常见分类 个人敏感信息：一旦遭到泄露或修改，会对信息主体造成不良影响的信息，一般 包括但不限于手机号，身份证号，政治观点，基因，指纹等。 个人一般信息：除了个人敏感信息以外的个人信息。 （2）个人信息泄露的渠道 注册时无意泄露；网上交流时被恶意窃取 （3）个人信息泄露的危害 轻者导致个人或家庭被骚扰，隐私被公开。严重时不法分子会利用泄露的信 息从事各种犯罪活动。 （4）个人信息保护途径 ①国家立法②行业自律③加强个人信息意识；（定期修改口令；不随意提供 个人或亲属信息；一旦发现信息被盗用，第一时间报警或通过法律途径维权）
《信息安全》期末复习资料
《信息安全》期末复习资料1、信息系统资源包括：硬件软件数据通信设备与⽹络2、信息安全的三层含义：(1) 系统安全(实体安全)，即系统运⾏的安全性。
(2) 信息的安全，即通过对⽤户权限的控制、数据加密等⼿段确保信息不被⾮授权者获取和篡改。
(3) 管理安全，即综合运⽤各种⼿段对系统运⾏的安全性和信息资源进⾏有效的管理。
3、信息安全的三⼤⽬标（CIA 三元组）：机密性完整性可⽤性4、⽬前安全问题很多，但是对⽤户最⼤的安全威胁是：⿊客技术和病毒技术5、信息安全安全策略：物理安全策略，访问控制策略，防⽕墙控制，信息加密策略，⽹络安全管理策略6、OSI 安全体系结构包含内容：安全攻击，安全机制，安全服务，安全管理7、凯瑟密码思想：单表代替密码，把字母表中的每个字母⽤该字母后⾯的第三个字母进⾏替代8、⼀次⼀密（弗纳姆密码技术）的思想及优缺点：（1）思想：其加密⽅法是，将明⽂和密钥分别表⽰成⼆进制序列，再把它们按位进⾏模2加法。
（2）优点：如果密钥是随机选择的，除了长度之外，攻击者根据密⽂⽆法获得任何消息。
（3）缺点：密钥的长度必须与消息的长度相同，在密⽂被解密之前必须保证密钥被安全地传递给接收者。
⽽且⼀次⼀密的密钥只能使⽤⼀次！9、序列密码的思想及⼀次⼀密的区别：（1）思想：将明⽂信息m 看成是连续的⽐特流(或字符流)m1m2…，在发送端⽤密钥序列发⽣器产⽣的密钥序列（通过种⼦密钥K 产⽣）k1k2…，对明⽂中的mi 进⾏加密 Ek(m)= (m1) (m2) （2）区别：序列密码的密钥是由密钥发⽣器产⽣的10、DES 算法：（1） DES 算法的基本构成：DES 是16轮的Feistel 结构密码DES 的分组长度是64位DES 使⽤56位密码DES 每轮使⽤48位⼦密钥，每个密钥由56位密钥的⼦集构成DES 算法的特点如下所述：(1) 分组加密算法。
(2) 对称算法。
加密和解密⽤同⼀密钥。
(3) 有效密钥长度为56位。
华东师大《信息系统安全概论》期末考纲
exit(1); }
fd = open("file", O_WRONLY); // Actually writing over /etc/passwd write(fd, buffer, sizeof(buffer)); Attacker // // // After the access check symlink("/etc/passwd", "file"); // Before the open, "file" points to the password database // //
5. 缓冲区漏洞，“检查时刻到使用时刻（TOCTTOU）”漏洞 缓冲区溢出： for(i=0;i<=9;i++) sample[i]='A'; sample[i]='B';
“检查时刻到使用时刻”错误(TOCTTOU) time-of-check-to-time-of-use 实例：
A simple example is as follows: Consider a Web application that allows a user to edit pages, and also allows administrators to lock pages to prevent editing. A user requests to edit a page, getting a form which can be used to alter its content. Before the user submits the form, an administrator locks the page, which should prevent editing. However, since editing has already begun, when the user submits the form, those edits (which have already been made) are accepted. When the user began editing, the appropriate authorization was checked, and the user was indeed allowed to edit. However, the authorization was used later, at a time when edits should no longer have been allowed.
信息安全技术复习资料
期末复习提纲– 信息安全技术一、概述1. 安全基本目标有哪些？其含义分别是什么？答：保密性：对信息的访问和公开进行授权限制，包括保护个人隐私和秘密信息。
保密性缺失的定义是信息的非授权泄露；（数据保密性：确保隐私或者秘密信息不向非授权者泄露，也不被非授权者使用。
隐私性：确保个人能够控制或确定与其自身相关的哪些信息是可以被收集、被保存的、这些信息可以被谁公开以及向谁公开。
）完整性：防止对信息的不恰当修改或破坏，包括信息的不可否认性和真实性。
完整性缺失的定义是对信息的非授权修改和毁坏。
（数据完整性：确保信息和程序只能以特定和授权的方式进行改变。
系统完整性：确保系统以一种正常的方式来执行预定的功能，免于有意或者无意的非授权操纵。
）可用性：确保对信息的及时和可靠的访问和使用。
可用性的缺失是对信息和信息系统访问和使用的终端确保系统能工作迅速，对授权用户不能拒绝服务。
真实性、认证/鉴别（Authentication）认证就是确认实体是它所声明的。
适用于用户、进程、系统、信息等可追溯性、审计（Accountability）确保实体的行为可以唯一追溯到该实体不可否认性（Non-repudiation ）要求无论发送方还是接收方都不能抵赖所进行的传输关键目标（CIA）：保密性、完整性、可用性。
2. OSI安全框架定义了哪三个方面？其中安全攻击被分成哪两个类别，有什么特点？分别有哪些实例？答：（1）OSI安全框架定义了：安全攻击、安全机制、安全服务三方面。
安全攻击：任何危及信息系统安全的行为安全机制：用来检测、组织攻击或者从攻击状态恢复到正常状态的过程（实现该过程的设备）安全服务：加强数据处理系统和信息传输的安全性的一种处理过程或通信服务。
其目的在于利用一种或多种安全机制进行反击。
（2）安全攻击被分为主动攻击和被动攻击。
主动攻击：包括对数据进行修改和伪造数据流。
可分为四类：伪装、重播、消息修改、拒绝服务。
（2.1）伪装：指某实体假装别的实体，伪装攻击还包含其他形式的主动攻击。
信息安全管理期末复习资料
一、信息安全管理1.信息：信息是通过施加于数据上的某些约定而赋予这些数据的特定含义。
2.信息安全定义：保护信息系统的硬件、软件及相关数据，使之不因为偶然或者恶意侵犯而遭受破坏、更改或泄露，保证信息系统能够连续、可靠、正常地运行。
3.信息安全的主要目标：机密性、完整性、可用性。
4.信息安全的内容：实体安全、运行安全、信息安全、管理安全。
5.信息安全的重要性：1)解决信息及信息系统的安全问题不能只局限于技术、更重要的还在于管理。
2)安全技术只是信息安全控制的手段、要让安全技术发挥应有的作用，必须要有适当的管理程序的支持。
6.相关标准1)BS7799：信息安全管理体系标准，英国标准协会制定，包括BS7799-1和BS7799-2，BS7799-1于2000年12月纳入ISO。
2)ITIL：IT基础设施库，英国中央计算机与通信机构（CCTA）发布。
3)COBIT：信息及相关技术控制目标，最先进、最权威的信息安全技术管理和控制标准。
4)ISO13335：IT安全管理指南，最新版称作信息和通信技术安全管理（MICTS）。
二、信息安全管理体系1.信息安全管理体系ISMS定义：组织在整体或特定范围内建立的信息安全方针和目标，以及完善这些目标所用的方法和手段所构成的体系。
2.ISMS范围：组织所有部分的信息系统、组织的部分信息系统、特定的信息系统。
3.ISMS特点：1)预防控制为主；2)遵守法律法规和合同方要求；3)强调全过程和动态控制，本着控制费用和风险平衡的原则选择安全控制方式；4)强调保护关键信息资产，而不是全部信息资产。
4.建立ISMS的步骤：1)策划与准备；2)文件编制；3)建立信息安全管理框架；4)运行；5)审核；6)管理评审。
5.PDCA：P-计划，D-实施，C-检查，A-行动6.ISMS的PDCA过程：1)计划阶段：确定信息安全方针、确定ISMS范围、指定风险识别和评估计划、制定风险控制计划；2)实施阶段：保证资源，提供培训，提高安全意识、风险治理；3)检查阶段：进行有关方针、程序、标准和法律法规符合性的检查。
计算机信息安全技术期末复习.doc
计算机信息安全技术期末复习计算机信息安全技术期末复习1.2从技术角度分析引起计算机信息系统安全问题的根木原因。
原因是计算机软件可修改性以及人们在设计程序时无法尽善尽美造成的。
1.5什么是信息的完整性、可用性、保密性。
完整性是保护计算机系统内软件和数据不被偶然或人为蓄意地破坏、篡改、伪造等；可用性是在用户授权的条件下，无论是么时候，只要用户需要，信息必须是可用、可访问的，信息系统不能拒接服务；保密性是防止信息失窃和泄漏。
1. 9什么是计算机系统的可靠性，包括哪些内容。
在给定的时间内和一定条件下，计算机系统能完成应有功能的能力。
包括硕件可靠性、软件可靠性、人员可靠性、坏境可靠性。
1.12容错设计技术有哪些。
硕件冗余设计、信息冗余设计、软件兀余设计。
2.39什么是信息隐藏术、数字水印。
信息隐藏术是主要研究如何将某一机密信息隐藏于某一公开的信息中，然后通过公开信息的传输來传递机密信息的技术。
数字水印是为保护版权、秘密通信、数据文件的真伪鉴别和产品识别而嵌入到数据产品中的数字、序列号、文字、图像、标志等版权信息。
3.1什么是数字签名？在网络通信中数字签名能够解决哪些问题。
数字签名就是针对数字信息进行的签名。
能够防止信息被伪造或篡改，也可用丁•通信双方的身份鉴别。
3.3写出DSA算法过程。
1参数选择过程、02对信息m的签名03过程、签名验证过程。
O3.MKerberos 份验证系统由哪儿部分组成，写出该鉴别协议步骤。
认证服务器AS、票据许可服务器TGS、客户机和应用服务器。
客户机向Kerberos发出票据-许可票据请求，客户机在接收到该票据后，向TGS发岀服务器票据请求，在接收到服务器票据请求Z后向服务器请求服务。
PKI就是通过使用公开密钥技术和数字证书来提供网络信息安全服务的基础设施。
由认证机构、数据认证库、密钥备份、恢复系统、证书作废处理系统、PKI应用接口系统。
3.16什么是数字证书，X. 509数字证书包含哪些内容。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
《信息系统安全》
期末考试通知&复习指南
2015年1月7日
周亚建
zhouyajian@
School of Computer Science, BUPT
2
尽快提交实验报告！
实验报告不全者没有成绩！
3
教三楼435教室
2015年1月22日8:00-10:00
4
基本概念基本原理基本操作
5
信息系统安全：重点关注
信息安全和信息系统安全的区别
信息系统安全的三个角度
：基于通信保密、基于系统防护、基于信息保障 信息系统安全的构成要素 信息系统面临的安全威胁 信息系统自身的脆弱性
计算机系统可靠性
计算机系统可靠性的组成 软件可靠性，软件可靠性
模型及模型的分类
不可修系统vs. 可修系统 寿命、MTTF 、MTBF 可靠性函数、不可靠函数
可靠度、失效率
可维修产品的维修性指标 不可修产品的维修性指标
基本概念
物理安全的概念
物理安全体系结构：环
境安全、设备安全、介质安全、电源安全、线路安全
相关国家标准
6
VLAN
虚拟局域网vs. 真实
局域网
VLAN 的特点
基本概念
容错
故障检测、故障诊断 故障屏蔽 冗余技术 RAID 技术
访问控制
访问控制的一般策略 访问控制列表 ACL 的作用 通配掩码 Any 和host
身份认证需要解决的问题 OTP
7
计算机取证 潜在数据
基本概念
什么样的操作系统是安全的？ 操作系统安全需求
操作系统安全策略：访问控制策略，安全支持
策略（TCSEC 定义的六类访问支持策略） 隐通道的概念及其分类 TCB TCSEC
通用准则CC 及CC 的几个概念：TOE ，PP ，
ST ，SFR ，SAR ，EAL
我国的计算机系统安全保护能力等级划分 Android 的Sandbox 机制 Android 的组件
数据库的漏洞
域，工作组，域
控制器
目录和目录服务 活动目录 OU
域中资源命名的
方式
8
信息系统安全就是信息在存取、处理、集散和传输中保持其机密性、完整性、可用性、可审计性和抗抵赖性的系统辨识、控制、策略和过程。
9
物理安全又叫实体安全
（Physical Security ），是保护计算机设备、设施（网络及通信线路）免遭地震、水灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。
物理安全技术主要针对计算机及网络系统的环境、场地、设备和通信线路等采取的安全技术措施。
计算机系统可靠性的定义可靠性理论以产品的寿命特征
作为主要研究对象
在规定的条件下、在
给定的时间内，计算
机系统能实施应有功
能的能力。
11
电磁泄漏的途径
抑制电磁信息泄漏的技
术途径
基本原理
信息系统的架构模型 信息系统安全体系
12
可维修产品的工作过程 如何实现系统的可靠性
产品的寿命特性：浴盆曲线 R (t )和 的关系
串联系统、并联系统、表决系统、冷贮系统
串联系统和并联系统寿命的推导 几种常见的软件可靠性模型
容错技术的主要内容：冗余技术
、故障屏蔽技术、故障检测与诊断技术
硬件冗余技术（TMR ）
时间冗余技术（指令复执、程序
卷回）
软件冗余技术（N 版本编程方法
和恢复块技术）
信息冗余技术（纠错码） RAID0-RAID5
基本原理
13
Windows 、Linux 、Symbian 、
Android 、Oracle 的访问控制机制 防火墙可实现的访问控制
加密方式在访问控制系统中的应用 访问控制矩阵
Bell-LaPadula 模型
BIBA 完整性模型及应用 Chinese WALL 模型 RBAC
基于访问控制模型对防火墙的策略
进行分析
身份认证的基本途径
常用的身份认证技术/协议：基
于口令的认证、第三方认证，CHAP ，OTP 、Kerberos 认证（要求掌握原理）
基于公钥证书的身份认证、基
于生物特征的身份认证（仅作常识性的了解）
不确定因子选择与口令生成
基本原理
14
操作系统面临的安全威胁 操作系统安全的主要研究
内容
TCSEC 定义的六类访问
支持策略
Windows 的安全组件 Windows 安全机制：AD
、PKI 、Kerberos V5、EFS 和IPSec
Android 的体系架构 Android 的安全机制 Android 的权限分类
ACL 的分类
通配掩码的工作原理 ACL 的放置位置
VLAN 的分类：基于端口、
基于MAC 、根据网络层协议或地址
跨交换机的VLAN 实现 同一VLAN 内主机通信 VLAN 间的主机通信 交换网中链路的类型 交换机接口模式
IEEE802.1Q 对比Cisco ISL VLAN 实现信息同步的方式
：VTP 协议
基本原理
15
取证的基本流程 取证的原则
计算机取证常用软/硬件
工具
数据库安全漏洞按来源的不同可分为四类 数据库的安全防御体系
数据库自身的安全机制：数据库系统的安全
框架、用户及权限、加密、审计、备份 Oracle 的体系架构及安全机制
基本原理
R(t)和 的关系
17
考核范围
失效率、寿命的计算 通配掩码的计算
基本操作
ACL 的配置 VLAN 的配置
操作系统的安全配置 数据库的安全配置
计算机犯罪取证一般的操作过程及操作原则
设计简单的硬件冗余
方案
设计简单的安全性测
试方案
分析协议的抗攻击性
能，例如CHAP 协议抗中间人攻击的性能 特定应用的安全需求
分析
分析
设计
计算
配置。