NISP一级学习笔记（1~9章知识点集合大全）

第 1 章 信息安全概述

一、信息

信息的严格定义：信息奠基人香农认为，信息是用来消除随机不确定性的东西。
信息是事物运动状态或存在方式的不确定性的描述。
（信息是具体的，可被人、机器感知并且加以利用的）
（信息来源于物质，又不是物质本身；它从物质的运动中产生出来，又可以脱离源物质而寄生于媒体，相对独立）
信息的功能：反应事物内部属性、状态、结构、相互联系以及与外部环境的互动关系，减少事物的不确定性。
信息的表达：信息本身是无形的，借助于媒体而存在、传播。如磁带等物理介质、记忆在人的大脑、网络传播。
信息的基本属性：
1、普遍性和客观性
2、实质性和传递性
3、可扩散性和可扩充性
4、中介性和共享性
5、差异性和转换性
6、时效性和增值性
7、可压缩性

信息不同于消息，一个是外壳 一个是内核。
信息不同于数据，一个是载体 一个是内涵。

二、信息技术

信息技术Information Technology是用于管理和处理信息所采用的各种技术的总称。
它主要是利用计算机科学和通信技术来设计、开发、安装和实施信息系统及应用软件。其中，信息处理是获取信息并对它进行变换，使之成为有用信息并发布出去的过程，主要包括信息的获取、储存、加工、发布和表示等环节。

信息技术包括生产和应用两个方面。
1.信息技术生产：体现在信息技术产业本身。包括计算机软件、计算机硬件、设备制造、微电子电路等。
2.信息技术应用：体现在信息技术的扩散上，包括信息服务、信息管理系统等。

信息系统的核心技术：微电子、通信、计算机和网络。 其发展进程：
第一阶段：电讯技术的发明
第二阶段：计算机技术的发展
第三阶段：互联网的使用
第四阶段：网络社会

三、信息安全

即关注信息本身的安全，而不在于是否应用了计算机作为信息处理的手段。
信息安全的任务：保护信息财产，防止偶然的或未授权者对信息的恶意泄露、修改和破坏，从而导致信息的不可靠或无法处理等。

对于信息系统，信息安全的定义较明确，即：保护信息系统的硬件、软件及相关数据，使之不因为偶然或者恶意侵犯而遭受破坏、更改或泄露，保证信息系统能够连续、可靠、正常地运行。
对于商业、经济领域，即：消减并控制风险，保持业务操作的连续性，并将风险造成的损失和影响降低到最低程度。

1.设备安全：是信息系统安全的首要问题。 三特性：稳定性、可靠性。可用性。（设备包括硬设备、软设备）
2.数据安全三特性：秘密性、真实性、完整性。
3.内容安全：在法律、政治、道德上。
4.行为安全：是信息安全的终极目的。 秘密性、完整性、可控性。

四、信息安全威胁

国家威胁
组织威胁
个人威胁
信息安全问题产生的根源：内因——系统自身的脆弱性 外因——1 恶意攻击者的攻击—2 自然灾害的破坏

五、信息安全发展、趋势

。。。。。。。。。。

六、 信息安全保障

1.定义：指采用技术、管理等综合手段，保护信息和信息系统能够安全运行的防护性行为。
（通过保障信息和信息系统的可用性、完整性、机密性和不可否认性来保护并防御信息和信息系统的操作，包括综合保护、检测、响应等手段为系统提供修复）

2.具体有哪些
防止信息泄露、修改和破坏。
检测入侵行为，计划和部署针对入侵行为的防御措施。
采用安全措施和容错机制在遭受攻击的情况下保证机密性、私密性、完整性、抗抵赖性、真实性、可用性和可靠性。
修复信息和信息系统所遭受的破坏。

与信息安全、信息系统安全的区别
1信息安全保障的概念更加广泛。
（信息安全重点是保护和防御，安全保障重点是保护、监测和响应综合）
（攻击后的修复不在传统信息安全概念里，但是在信息安全保障的重要部分）
（信息安全的目的是防止攻击的发生，而保障的目的是保证信息系统始终维持特定水平的可用性、完整性、真实性、机密性、抗抵赖性）

七、信息系统安全保障

1.信息系统是具有集成性的系统，每一个组织中信息流动的总和构成一个信息系统。信息系统是根据一定的需要进行输入、系统控制、数据处理、数据存储与输出等活动而涉及到的所有因素的综合体。

2.信息系统安全保障是在信息系统的整个生命周期中，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。

3.信息系统安全模型

第 2 章 信息安全基础技术

一、密码学

1.加密与解密（三要素 明文m、密钥Ke Kd、密文c）

对称密码的优点：
1、效率高，算法简单，系统开销小
2、适合加密大量数据
3、明文长度与密文长度相等
缺点：
1、需要以安全方式进行密钥交换
2、密钥管理复杂
典型对称密码：
分组密码：DES、AES、SM4
非对称密码：RSA、ECC、SM2、SM3

2.哈希函数
也称杂凑函数/ 单向散列函数，哈希函数接受消息作为输入，输出一个哈希值（也称散列值、消息摘要、指纹）。
优点： 输入的消息仅仅改变一个比特的内容，输出的哈希值都会发生变化。
我们通过哈希值是否改变来判断消息是否被篡改。

3.数字签名
除了保护信息的机密性、完整性，密码学技术也解决消息的可鉴别性（真实性、认证性）和不可否认性。
简单来说，前者确认对方是否本人，后者防止对方否认自己曾经的行为。

数字签名具备防止伪造、否认的功能。
数字签名是非对称密钥加密技术与数字摘要技术的应用。

上图是有哈希算法的数字签名与验证：：发送方首先对发送文件采用哈希算法，得到一个固定长度的消息摘要( Message Digest)；再用自己的私钥( Secret key，SK)对消息摘要进行签名，形成发送方的数字签名。数字签名将作为队件和原文一起发送给接收方；接收方首先用发送方的公钥对数字签名进行解密得到发送方的数字摘要，然后用相同的哈希函数对原文进行哈希计算，得到一个新的消息摘要，最后将消息摘要与收到的消息摘要做比较。
除了上图，还有第二种：基于非对称密钥加密体制的数字签名与验证即发送方首先将原文用自己的私钥加密得到数字签名，然后将原文和数字签名一起发送给接收方。接收方用发送方的公钥对数字签名进行解密，最后与原文进行比较。

二、身份认证

是在计算机网络中确认操作者身份的过程。

1. 基本方法
在分布式系统中有两类主要认证：
1、用户与主机间的认证：基于用户知道的信息如口令密码，信用卡…基于用户的生物特征如指纹声音签字笔迹…
2、主机与主机间的认证
此外，身份认证中不可避免地用到加密技术，分为：基于对称密钥技术的身份认证（如Kerberos），基于共公开密钥的身份认证（如CA）。
2. 数字证书和公钥基础设施
···数字证书（电子证书、公钥证书、证书） ，是一段经过认证权威机构（CA）签名的，包含拥有者身份信息和公开密钥的数据体。

···公钥基础设施（PKI） ，是一种遵循既定标准的公钥管理平台，它为所有网络应用提供加密和数字签名等密码服务所必需的密钥和证书管理体系。
简单说，PKI就是提供安全服务的基础设施，PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。
···PKI的功能：采用证书管理公钥，通过第三方的可信任机构-认证中心CA，把用户的公钥和用户的其他标识信息（如名称、e-mail、身份证号等）捆绑在一起，在Internet上验证用户的身份。

···认证权威机构（认证中心，认证机构，CA），专门负责数字证书的产生、发放和管理，以保证数字证书真实可靠。
···CA的功能：1、证书的签发和管理 2、证书“黑名单”的管理（已作废的证书放入黑名单，用户可查询）3、RA的设立、审查及管理（注册权威机构Registration Authority，受CA委派，负责接收证书申请和审核的机构，用于减轻CA工作负担）。

数字证书的内容：
所有者公钥
用户或实体的身份
发布者身份
由第三方信任机构签名（Certificate Authority）
有限的有效期
X.509定义该结构（ITU,IETF PKIX standards.）现在为v3.
（最简单的证书包含一个公开密钥、名称和CA的数字签名）

数字证书的功能：通过运用对称和非对称密码体制等密码技术建立起一套严密的身份认证系统，从而保证：
信息除发送方和接收方外不被其他人窃取（保密性）
信息在传输过程中不被篡改（不可修改性）
发送方能够通过数字证书来确认接收方的身份（身份认证性）
发送方对自己的信息不能抵赖（不可否认性）
数字证书可用于：发送安全电子邮件、访问安全站点、网上证券交易、网上招标采购、网上办公、网上保险、网上银行等安全电子事务处理和安全电子交易活动。

3. 应用例子
   1、静态口令认证（数字证）
   用户的密码是自己设定的，输入密码 进行登录，就被计算机认为是合法用户本人。这种静态密码数据，在验证过程中 需要在计算机内存中和传输过程中可能被木马程序或网络中截获。因此，静态密码机制无论是使用还是部署都非常简单，从安全性上讲是不安全的。
   2、动态短信口令认证（公钥基础设施）
   发送短信验证码随机数给用户，登录。（安全性、普及性、易收费、易维护）
   3、动态口令牌认证（认证权威机构）
   非常便捷，广泛应用于网上银行、电子政务、电子商务等领域。（USB Key认证、生物识别技术、双因素认证…）
   动态口令牌，是客户手持的用来生成动态密码的终端，主流的是基于时间同步方式的，每60s变换一次动态口令，口令一次有效，产生6位动态数字进行一次一密的方式认证。（问题在于这60s的时间窗口存在风险）——解决：现在已有基于事件同步的，双向认证的动态口令牌。以用户动作触发的同步原则，真正做到了一次一密，双向认证：服务器验证客户端，客户端也需要验证服务器，因此杜绝了木马网站。

···USB Key认证，采用软硬件相结合、一次一密的强双因子认证模式，解决了安全性与易用性之间的矛盾。USB Key是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码算法实现对用户身份的认证。
基于USB Key身份认证系统有两种应用模式：基于冲击/响应（挑战/应答）的认证模式；基于PKI体系的认证模式，运用在电子政务、网上银行。
···生物识别技术，通过可测量的身体或行为等生物特征进行身份认证的一种技术。生物特征分为身体特征和行为特征两类。身体特征包括：指纹、掌形、视网膜、虹膜、人体气味、脸型、手的血管…行为特征包括：签名、语音、行走步态…
···双因素认证方式，即结合两种认证方式更安全。目前使用最广泛的双因素有：动态口令牌+静态密码，USB Key+静态密码，二层静态密码。

三、访问控制

访问控制策略是主体对客体的操作行为集合约束条件集；
简单讲，访问控制策略是主体对客体的访问规则集，这个规则集直接定义了主体对客体的作用行为和客体对主体的条件约束。
访问控制策略体现了一种授权行为，即客体对主体的权限允许，这种允许不超过规则集。

主体：
1、一个提出请求的实体，是动作的发起者，但不一定是执行者。
2、可以对其它实体施加动作的主动实体，记为S，有时也称用户（User）或访问者（被授权使用计算机的人），记为U。
3、用户、计算机终端、应用服务程序、进程等。

客体：
1、接受其它实体访问的被动实体，记为O。
2、信息、资源、对象、文件、记录、硬件设施等。
3、一个客体可以包含另外一个客体。

访问控制由两个重要过程组成：
一、认证：检验主体的合法身份
二、授权：限制用户对资源的访问权限

区分 身份认证与访问控制
1、身份认证用于确认主体是它所声明的，提供了关于某个实体身份的保证。
2、正确建立用户的身份是认证服务的责任，而访问控制则假定在通过监控器实施访问控制前，用户的身份就已经得到了验证；因此，访问控制的有效性取决于用户的正确识别，也取决于监控器正确的控制。

自主访问控制（DAC）
根据主体的身份及允许访问的权限进行决策，也称自由访问控制。
Linux、UNIX、Windows NT/SERVER版本的操作系统都提供自主访问控制功能。
具体实现上，首先对用户的身份进行鉴别；然后按照访问控制列表所赋予用户的权限允许和限制用户使用客体的资源。
DAC一般采用以下三种机制来存放不同主体的访问控制权限，从而完成对主体访问权限的限制：
1、访问控制矩阵
2、访问控制列表
3、访问控制能力列表

强制访问控制（MAC）
指主体和客体都有一个固定的安全属性，系统用该安全属性来决定一个主体是否可以访问某个客体。如果系统认为某一个安全属性的主体不适合访问某个客体，那么任何其他主体都无法使该主体具有访问该客体的权利。

基于角色的访问控制（RBAC）
基于“角色”的，明确区分权限和职责。管理员负责将系统和数据的访问权限（不同类别和级别）分别赋予承担不同工作职责的用户。

入网访问控制
入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源，控制准许用户入网的时间和在哪一台工作站入网。
用户的入网访问控制可分为三步骤：
1、用户名的识别与验证
2、用户口令的识别与验证
3、用户账号的缺省限制检查（网络应能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。当用户的交费网络欠费时，网络应能对用户的账号加以限制，用户此时应无法进入网络访问网络资源。网络应对所有用户的访问进行审计。如果多次输错口令，应该认定为非法入侵，给出报警信息。）

权限控制
网络的权限控制是针对非法操作提出的一种安全保护措施。用户和用户组被赋予一定权限，对于文件等资源分别拥有不同程度的权限。

受托者指派和继承权限屏蔽（irm）可作为两种实现方式。（？？？）
受托者指派 控制用户和用户组如何使用网络服务器的目录、文件和设备。
继承权限屏蔽相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限。

根据访问权限将用户分为以下几类：
1、特殊用户：：系统管理员
2、一般用户：：系统管理员根据需要为他们分配权限
3、审计用户：:负责网络的安全控制与资源使用情况的审计。
用户对网络资源的访问权限可以用—访问控制表—来描述。
。。。。。。

四、安全审计

日志是记录的事件或统计数据，这些内容提供了关于系统性能的信息。
审计是对日志记录的分析，并以清晰的、易理解的方式表述系统信息。
审计使系统分析员可以评审资源的使用模式，以便评价保护机制的有效性。

日志记录的内容应满足以下原则：
1、日志应记录任何必要的事件，以检测已知的攻击模式
2、日志应记录任何必要的事件，以检测异常的攻击模式
3、日志应记录关于记录系统连续可靠工作的信息

每一条审计记录至少应包含以下信息：
事件发生的日期、时间、事件类型、主题标识、执行结果（成功/失败）、引起此事件的用户的标识以及对每一个审计事件与该事件有关的审计信息。

审计是对访问控制的必要补充，是访问控制的一个重要内容。
审计会对用户使用何种信息资源、使用的时间、以及如何使用（执行何种操作）进行记录与监控。
审计的重要意义在于，比如客体的管理员有操作赋予权，他有可能滥用这一权利，这是无法在策略中加以约束的。必须对这些行为进行记录，从而达到威慑和保证访问控制正常实现的目的。

计算机安全审计（Audit） 是按照一定的安全策略，记录历史操作事件，并利用记录进行分析，发现系统漏洞、入侵行为等，并改善系统性能和安全性的一系列过程。

安全审计可分为被动式审计、主动式审计（被动式审计是简单记录一些活动，并不做什么处理）

每一条审计记录至少应包含以下信息：
主动式审计包括：结束一个登陆会话、拒绝一些主机的访问（包括web 站点、FTP服务器、电子邮件服务器）、跟踪非法活动的源位置等行为。

安全审计的作用

第 3 章 网络安全防护技术

一、网络 基础知识（能叙述定义？）

1、TCP/IP协议

2、HTML 超文本标记语言

3、HTTP 超文本传输协议

4、端口

5、DNS 域名系统

6、URL 同一资源定位符

7、WWW 万维网

二、网络安全 威胁（能叙述内容？）

1.社会工程学攻击

2.网络嗅探攻击

是一种常用的攻击手段。
在主机A与主机B的通信过程中，将流量数据包截获下来，进行分析。

3.钓鱼攻击

在传统的利用漏洞进行攻击的可能性越来越小的前提下，网络钓鱼攻击开始成为常用手段。随着网购越来越普及，网络钓鱼迅速泛滥，对网民的威胁逐渐超过挂马网站。
（关键词 是“欺骗”。 重灾区是电子商务网站，也就是网购之类的巴啦）

4.拒绝服务攻击

（其中有一种 也叫泛洪）
区分 ：：DOS 拒绝服务攻击，DDOS 分布式 拒绝服务攻击

5.远程控制攻击

常见两种：
木马
Webshell：理解为一种Web脚本写的木马后门，用于远程控制网站服务器。Webshell以ASP、PHP、XJSP等网页文件的形式存在。Webshell除了被攻击者利用，也常被网站管理员用来管理网站、管理服务器。当然，为管理员提供方便的强大的管理功能的同时，也为攻击者远程控制网站提供了方便。

三、网络安全 防护与实践

1.

2.防火墙

防火墙的本义：古代人们房屋之间修建的墙，这道墙可以防止火灾发生的时候蔓延到别的房屋。

(免疫：意思是防火墙自身能够对抗渗透，阻止渗透）

由于防火墙假设了网络边界和服务，因此适合于 相对独立的网络。
例如Intranet等种类相对集中的网络。Internet上的Web网站中，超过三分之一的站点都是有某种防火墙保护的，任何关键性的服务器，都应该放在防火墙之后。

防火墙由四大要素组成：
1、安全策略：一个防火墙能否充分发挥作用的关键。哪些数据能/否通过防火墙；防火墙应如何部署；应采取哪些方式来处理紧急的安全事件；如何进行审计和取证的工作…等。防火墙绝不仅仅是软件和硬件，更包括安全策略、和执行这些策略的管理员！
2、内部网：需要受保护的网。
3、外部网：需要防范的外网。
4、技术手段：具体的实施技术。

防火墙不是万能的，只是网络安全政策和策略的一个组成部分！
防火墙的缺陷 不足：
1、为了提高安全性，限制或关闭了一些有用但存在安全缺陷的网络服务，可能影响了用户 带来不便。（这是防火墙提高安全性所付出的代价）
2、目前，对来自网络内部的攻击无能为力。防火墙只对内外网之间的通信进行审计和过滤，但对于内部人员的恶意攻击，无能为力。
3、不能防范不经过防火墙的攻击。 如内部网用户通过SLIP或PPP直接进入Internet、内部提供拨号服务这种绕过防火墙的攻击。
4、防火墙对用户不完全透明。 可能带来传输延迟、瓶颈及单点失效。
5、不能完全防止受病毒感染的文件或软件的传输。 由于病毒种类繁多，如果要让防火墙完成对病毒代码的全部检查， 将严重降低防火墙工作效率。
6、不能有效防范数据驱动式攻击。 防火墙不可能对所有主机上运行的文件进行监控，无法预计文件执行的后果，如特洛伊木马。
7、作为一种被动的 防护手段，防火墙不能防范因特网上不断出现的 新的 威胁和攻击。

防火墙主要用于保护内部安全网络免受外部网不安全网络的侵害。
典型情况：安全网络为企业内部网络，不安全网络为因特网。
但防火墙不只用于因特网，也可用于Intranet各部门网络之间（ 内部防火墙）。如，财务部与市场部之间。

应用代理（Application Proxy）：也叫应用网关（Application Gateway），作用在应用层，特点是完全阻隔网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。实际中的应用网关通常由专用工作站实现。

状态检测（Status Detection）：直接对分组里的数据进行处理，并且结合前后分组的数据进行综合判断，然后决定是否允许该数据包通过。

防火墙可以工作在不同层，如下图，工作在传输层的称为 “电路级防火墙” …

四、无线局域网 安全防护

1.无线局域网概述

无线局域网技术可以非常便捷的以无线方式连接网络设备，相对于有限局域网优点很多，如人们可以随时随地访问网络资源。

无线网络的安全性，体现在两个方面：
1、访问控制： 保证敏感数据只能由授权用户进行访问。
2、数据加密： 保证发送的数据只能被所期望的用户接受和理解。

2.无线接入点安全管理

1、修改admin密码
2、WEP加密传输
3、禁用DHCP服务
4、修改SNMP字符串
5、修改SSID标识
6、禁止SSID广播
7、禁止远程管理
8、MAC地址过滤
9、合理放置无线AP
10、WPA用户认证

第 4 章 OS安全防护

一、OS概述

操作系统（Operating System，OS）是计算机系统软硬件资源的控制中心。

1、命令行用户界面（Command line User Interface，CUI）
键盘输入
DOS,Linux，UNIX
2、图形用户界面（Graphic User Interface GUI）
鼠标输入
MacOS,OS/2,WINDOWS
3、程序接口
系统调用、API

操作系统的功能：

1、处理器管理——解决如何同时运行多个程序：进程控制和管理、进程同步和互斥、进程间通信、进程死锁的防止和解决、进程调度
2、存储器管理——解决如何更有效的利用内存：内存分配与回收、地址变换与保护、内存共享、存储扩充
3、设备管理——怎么使用外围设备：设备中断管理、缓冲区管理、逻辑设备到真实设备的映射、设备分配与回收、实现虚拟设备
4、文件管理——怎么保存和读取数据：提供文件的物理组织方法和逻辑组织方法，文件存取和使用，目录管理，文件共享和安全性控制
5、网络与通信管理——如何与另一台计算机通信：网络资源管理，数据通信管理，网络管理
6、提供用户接口

OS 家族：

1、Windows家族：美国微软公司，分个人版和商用版，遍及个人电脑，服务器和手机。
2、Unix家族：一个通用、交互性的分时操作系统，有几个流派：

1. BSD（Berkeley Software Distribution）
2. AT & T UNIX
3. SUN Solaris
4. Free BSD

3、Linux：（比以上两者更晚出现）由芬兰的Linus Torvalds于1991年 编写一个操作系统内核，并发布到网上，然后由网上的无数志愿者，共同开发完成。Linux的发展离不开“自由软件”运动，离不开互联网。
4、其他OS： IBM 系列操作系统、Mach操作系统、Mac OS操作系统、NetWare操作系统、Minix操作系统

二、OS的安全威胁

1、漏洞和漏洞扫描

漏洞——任何可能给系统和网络安全带来隐患的因素
任何系统和网络都有漏洞
漏洞扫描——对目标网络或者主机进行安全漏洞的检测与分析，找出网络中安全隐患和存在的可能被攻击者利用的漏洞。
漏洞分类——1.系统或应用本身存在的漏洞 2.配置不当所造成的漏洞
一、Windows系统的漏洞产生的原因：（人为因素、客观因素、硬件因素）
1、黑客直接攻击
2、黑客性质的病毒
3、黑客程序（冰河、SSS）
4、信息泄露（嗅探器、破解工具）
5、妨碍正常运行（拒绝服务、DNS修改）
二、Windows系统中的安全隐患
1、代码庞大复杂，代码重用现象严重
2、盲目追求易用性和兼容性
3、Unicode的支持
4、扩展名欺骗
5、无法辨别 “ \ ” 和 “ / ”
6、UNC路径支持
7、设备文件名问题
8、注册表庞大而复杂
9、WSH：内嵌于Windows操作系统中的脚本语言工作环境
10、系统权限分配繁冗
11、默认兼容lanman验证
12、设计失误
13、Windows系统中的bug

2、恶意代码

（又称Malicious Code，或MalCode，MalWare）是一种用来实现恶意功能的程序，通过把代码在不被察觉的情况下镶嵌到另一段程序中 ，从而达到破坏被感染电脑数据、运行具有入侵性或破坏性的程序、破坏被感染电脑数据的安全性和完整性的目的。
根据传播方式分为五类： 病毒，木马，蠕虫，移动代码，复合型病毒。

。。。。。。

3、端口扫描威胁

端口扫描通常指什么？ 对目标主机的所有所需扫描的端口发送同一信息，然后根据返回端口状态来分析目标端口是否打开、是否可用。
端口扫描能得到什么？ 即得到目标主机开放和关闭的端口列表，这些开放的端口往往对应着一定的服务，通过这些开放的端口——了解主机运行的服务——整理和分析这些服务可能存在的漏洞——采取针对性的攻击。
端口扫描的一个重要特征：在短时期内有很多来自相同的信源地址传向不同的目的地端口的包。

三、OS 安全防护

1.安全防护策略

一个安全的计算机系统从设计开始，就要考虑安全问题。安全策略是构建可信系统的坚实基础，而安全策略的制定取决于用户的安全需求。“一个计算机系统是安全系统”，是指该系统达到了设计时所制定的安全策略的要求。
安全策略是指：在一个特定的环境里，为保证 提供 一定级别的安全保护 所必须遵守的 规则。根据组织现实要求所制定的一组经授权使用计算机及信息资源的规则。

**安全策略的目标 **：将信息安全事故的影响降为最小；保证业务的持续性；保护组织的资源；防范所有的威胁。

军事安全策略：主要目的是提供机密性，同时涉及完整性、可记帐性、可用性。用于国家、军事和社会安全部门等机密性要求高的单位。
商业安全策略：主要目的是提供机密性，同时涉及完整性、可记帐性、可用性。要求满足商业公司的数据不被随意篡改。如，一个银行的客户账目金额被改动。

制定安全策略从以下两个方面考虑：
1、物理安全策略
不只是设备！！！还包括 禁止从软盘和CD Rom启动系统、停掉guest账号不许guest账号登录系统以及若要启动guest账号必须受限权限运行、限制不必要的用户数量、修改一些用户的权限、使用安全密码…把系统administrator账号改名、创建一个陷阱账号（名为Administrator的本地账户，把它的权限设置为最低，什么也干不了的那种，加上一个复杂的十位以上密码，这就够那些想破解的人忙上一段时间了）…很多。（很像安全测评实验课的内容）
2、访问控制策略
对要访问系统的用户进行识别，并对访问权限进行控制。
内容有 入网访问控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制等。另外，还有加密策略、防火墙控制策略等。

2.补丁程序

什么叫补丁包？针对Windows OS，Microsoft公司每隔一段时间就会推出一个补丁程序的集合软件，将先前发布的所有补丁程序集合在一个，方便用户拿来修补，该软件称为补丁包。
系统漏洞是指： 应用软件或操作系统在逻辑设计上的缺陷或在编写时产生的错误，这可以被不法者利用。
对于软件系统来说，漏洞无法避免、会长期存在下去。

补丁安装的三种方法：
1、使用 Windows Update 在线安装（最常用方法）
2、利用“自动更新”
3、离线安装

漏洞产生的三大原因：
1、编程人员的人为因素，为实现不可告人的目的，在程序代码的隐蔽处保留后门。
2、受编程人员能力水平和当时的技术限制，程序中难免有不足之处。
3、由于硬件原因，使编程人员无法弥补硬件的漏洞，从而使硬件的问题通过软件表现。

3.终端防护软件

Windows优化大师
杀毒软件：金山毒霸、卡巴斯基、小红伞、瑞星、360杀毒…别忘了经常更新病毒库和给软件升级！

4.个人防火墙

目前常用的防火墙技术有：
1、包过滤型技术
包过滤防火墙的基本原理：“包过滤技术”是指将一个包过滤防火墙软件置于Intranet的适当位置，通常在路由器、服务器中，使之能对进出Intranet的所有数据包按照指定的过滤规则进行检查，仅对符合指定规则的数据包才准予通行，否则抛弃。下图展示了基于包过滤技术的防火墙的位置。

包过滤防火墙的优缺点：
有效灵活、简单易行。
防火墙机制本身存在固有缺陷、不能防止假冒、只在网络层和传输层实现、缺乏可审核性、不能防止来自内部人员造成的威胁。
2、代理服务技术

3、自适应代理技术

第 5 章 应用安全

一、浏览器安全

常用浏览器的安全措施：
1、删除和管理Cookie（Cookie指某些网站为了辨别用户身份、进行session跟踪而储存在用户本地终端上的数据(通常经过加密)。Cookie是由服务器端生成，发送给User-Agent（一般是浏览器）的小量信息，浏览器会将Cookie的Key/value保存到某个目录下的文本文件内，下次请求同一网站时就发送该Cookie给服务器，这样服务器可以知道该用户是否合法用户以及是否需要重新登录等，服务器可以读取Cookies中的信息。
Cookies最典型的应用是判定注册用户是否已经登录网站，用户可能会得到提示，是否在下一次进入此网站时保留用户信息以便简化登录手续。
另一个重要应用场合是“购物车”之类，用户可能在一段时间内在同一家网站的不同页面中选择不同商品，这些信息都会写入到Cookies，以便在最后付款时提取信息。）
2、删除浏览历史记录
3、禁用ActiveX控件（ActiveX是Microsoft对于一系列策略性面向对象程序技术和工具的称呼，也称插件程序。）

二、网上金融交易安全

常用的安全措施如下：
1、U盾（USB-Key）
2、手机短信验证
3、口令卡
4、采用安全超文本传输协议

网上银行也称3A银行（任何时间Anytime任何地点Anywhere任何方式Anyway为客户提供金融服务）

三、电子邮件安全

1.安全威胁：

电子邮件欺骗（常用欺骗手段：使用字眼类似的地址；远程登录smtp服务器；搭设本地smtp服务器，绕过需要身份验证的smtp服务器…）
垃圾邮件（定义：凡是未经用户许可就强行发送到用户的邮箱中的任何电子邮件。统计目前60%以上为垃圾邮件。 例子：垃圾邮件中有大量的“网络钓鱼”邮件，最典型的是将收信人引诱到一个与目标非常相似的钓鱼网站上然后获取收信人输入的个人敏感信息。）
邮件病毒（定义：与普通病毒的功能一样，由于通过电子邮件传播so称为邮件病毒。例子：一般通过邮件附件发送病毒，接收者打开邮件，运行附件会中毒。）
邮件炸弹（定义：邮件发送者，利用特殊的电子邮件软件，在很短的时间内连续不断地将邮件寄给同一个收信人，在数以千万计的大容量信件面前收件箱不堪重负“爆炸身亡”。基本原理：每个人的邮箱是有限的，庞大的邮件垃圾会挤爆信箱，把正常的邮件给冲掉的同时，由于它占用了大量的网络资源，常常导致网络塞车，使大量的用户不能正常工作。邮件炸弹的目的：（1）对收信人的计算机或终端进行恶意破坏（2）在UNIX系统中，还可使其部分内容在邮件接收端被编译成shell命令，这种攻击包括的范围小到开玩笑，大到服务拒绝。）

2.防护技术

1、垃圾邮件过滤技术

2、邮件加密和签名

3、邮件篡改、伪冒与抵赖的防范

四、数据安全

1、数据备份

硬件容错： 指用冗余的硬件来保证系统的连续运行。目的是保证系统数据的可用性和不间断运行，即保护系统的在线状态，保证数据可信且可用。
数据备份： 即保留一套后备系统，数据备份就是保存数据的副本，这副本处于离线状态。目的是预防事故造成的数据损失。

数据备份与数据复制： 完善的备份必须在数据复制的基础上，提供对数据复制的管理，彻底解决数据的备份与恢复问题。单纯的数据复制无法提供文件的历史记录，也无法备份系统状态等信息，不便于系统的完全恢复。
完全备份、增量备份、差异备份：
1、完全备份：所需时间最长，但恢复时间最短，操作最方便。当系统中的数据量不大时，采用完全备份最可靠（清除存档属性，即每个文件都被标记为已备份）
2、增量备份：只备份上次备份以后有变化的数据.(他才不管是那种类型的备份,有变化的数据就备份,只备份有标记的选中的文件和文件夹，他会清除存档属性,即备份后清除标记。优点：节省磁盘空间，且缩短了备份时间。缺点：一旦发生灾难，恢复数据比较麻烦，so实际应用中一般不采用这种方式)
3、差异备份：只备份上次完全备份以后有变化的数据(他针对的上次的完全备份,他备份过程中不清除存档属性,即备份后不标记为已备份文件)

2、数据恢复

即，将数据恢复到事故之前的状态。 看作是备份操作的逆过程，备份是恢复的前提，恢复是备份的目的，无法恢复的备份是没有意义的。

数据恢复工具 EasyRecovery

五、账户口令安全

1.安全威胁

当前黑客主要通过三种途径盗取账号密码：
1、暴力破解（又’密码穷举’）
（1字典式口令破解
姓+名，电话号码，生日猜测，英文单词，弱口令 如123456，用户名与密码相同…
特点：（1）字典相对容量小，因此速度快。（2）破解可能性小。
（2枚举式口令破解
根据排列组合的算法而来，将字母数字等字符的所有可能组合，通过循环程序来实现。
特点：（1）攻击力强大。（2）耗时很长，从理论上讲只要时间足够就能达到目的。
2、键盘记录木马
黑客在木马程序里设计钩子程序，一旦目标电脑感染了，系统就被种下了“钩子”，黑客通过“钩子”程序监听和记录用户的击键动作，然后通过自身的邮件发送模块把记录下的密码发送到黑客指定的邮箱。
软键盘输入 和 “ 复制+粘贴”输入密码 和 “混乱输入密码” 可以防御使用击键记录技术的木马。
3、屏幕快照
病毒作者考虑到软键盘这种密码保护技术，病毒在运行后，会通过屏幕快照将用户的登录界面连续保存为两张黑白图片，然后通过自带的发信模块发向指定的邮箱。黑客通过对照图片中鼠标的点击位置，很有可能破译出用户的登录账号和密码，从而突破软键盘密码保护技术，严重威胁网上交易安全。

2.口令设置 原则

关于字符种类三种以上、关于长度、关于输入方式：软键盘输入 和 “ 复制+粘贴”输入密码 和 “混乱输入密码”

第 6 章 移动智能终端 安全

一、概述

移动终端也叫移动通信终端，是指可以在移动中使用的计算机设备，广义包括手机、笔记本、平板、POS机、甚至车载电脑等，但多数情况下指智能手机、平板。

移动智能终端的定义安装有开放式操作系统，可装载相应程序来实现相应功能的设备。以智能手机、平板电脑、电子阅览器等为代表。
移动智能终端的功能： 一般具有蓝牙、触摸屏、WIFI、4G、传感器、芯片处理等功能。
——————的特点： 1.开放性的OS平台 2.具备PDA的功能 3.无线接入互联网 4.扩展性强，功能强大
————的逻辑结构： ——应用——Email，Offices，GPS等
————————OS———开放智能操作系统、操作平台
————————硬件——CPU、Flash、I/O设备、屏幕、摄像头等

智能手机平台安全性差异：目前主要OS平台有Android/ iPhone/ Windows Phone 以及Symbian。由于各个平台的安全机制差异甚大，不同厂商的智能终端面临的安全风险也截然不同。

二、安全威胁

手机木马、恶意扣费软件；窃取用户财产，收集用户隐私数据…

1.伪基站攻击

又称假基站、假基地台，是一种利用GSM单向认证缺陷的非法无线电通信设备，主要由主机和笔记本电脑组成，能够搜取以其为中心、一定半径范围内的GSM移动电话信息，并任意冒用他人手机号码强行向用户手机发送诈骗、推销等垃圾短信，通常安放在汽车或者一个比较隐蔽的地方发送。伪基站运行时，用户手机信号被强制连接到该设备上，无法连接到公用电信网络，以影响手机用户的正常使用。
危害很大，欺骗性极强。方便流动作案，隐蔽性很强。

2.二维码扫描

指通过智能手机客户端应用软件获取二维码图片中的内容和信息。二维码扫描根据手机OS不同，分为IOS，Android、塞班等，同时版本不同 所支持的OS也不同。
1、手机病毒： 该病毒伪装成手机聊天软件，并通过二维码提供下载链接，用户 一旦扫描，就会自动向手机发送短信等一系列操作。
2.木马程序： 将木马以及相关插件网址生成一个二维码，然后给它套上 “商场打折、优惠券、抽奖”等外衣，诱导用户扫描 。这种诈骗手段，多是采取强制下载、安装应用达到获取广告费、恶意扣费、强制产生流量费等以非法获取为目的的诈骗犯罪活动。
更可怕的是，用户一旦扫描二维码，木马便会植入你的手机当中，接下来“隐身大盗”就会拦截手机收到的网银和支付类的手机验证短信——转发给黑客指定的手机——转移用户资金。

3.移动智能终端遗失

…不要在旅行期间访问财务或银行记录，特别是在公共无线网络上

4.手机病毒

是一种具有传染性、破坏性的手机程序。 可以通过短信、电子邮件、蓝牙等方式传播。

智能手机的安全设置之 停用wifi自动连接（免费的wifi安全隐患）

5.恶意扣费软件

1、手机通信的开放性。决定了只要有相应的接收设备，就能够截获任何时间、任何地点、任何人的通话信息。
2、手机待机状态也能泄密。待机时，也要与通信网络保持不间断的信号交换，产生电磁频谱，所以很容易被识别、监视和跟踪。
3、手机关机并非绝对安全。

风险有哪些？非法刷机和修改；手机丢失、被借；SIM卡复制；短消息攻击；蓝牙的漏洞；淘汰的旧手机泄密…

手机智能化带来的威胁？ BUG类手机病毒、短信类手机病毒、炸弹类、蠕虫类、木马类。

三、安全防护

1、注意隐私权限访问请求
2、慎重扫描二维码
3、从正规渠道下载应用
4、安装安全防护软件
5、定期备份
6、不要登录到不安全的无线网络
7、尽量避免在外出时使用无线智能终端访问财务或银行信息
8、在上网浏览时不要选择“记住我”（手机遗失后被直接使用）
9、清空历史记录和缓存（以及Cookie、因特网文件等）

第 7 章 信息安全管理（Information Security Management，ISM）

一、概述

定义： ISM是管理者为实现信息安全目标而进行计划、组织、指挥、协调和控制的一系列活动。
ISM管理对象： 组织的信息以及相关资产，包括信息、人员、软件等，同时还包括信息安全目标、信息安全组织架构、信息安全策略规则等。
ISM目的： 保障组织的业务正常运转。
成功实施信息安全管理的关键因素：
（1）组织的活动能反映业务目标。
（2）组织所有级别的管理者能给予实质性的支持和承诺。
（3）组织的管理者对信息安全需求、风险、风险评估及风险管理有正确深入的理解。
（4）向所有管理者、员工和其他方提供信息安全宣传以提高信息安全意识。
（5）向所有管理者、员工和其他方宣贯信息安全方针、策略和标准。
（6）管理者提供足够的资金。（这是必要保障）
（7）建立有效的信息安全事件管理过程。
（8）建立有效的信息安全测量体系。

。。。。。。太无聊了）

二、信息安全风险管理

1.信息安全风险

定义： 信息安全风险 是指在信息系统中，信息安全事件的概率及其结果的组合。（简称为风险）
《信息安全风险管理指南》（GB/Z 24364-2009）中表示：信息安全风险是指“人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响”。
安全风险的基本概念——资产：对单位 有价值的信息或资源（例如，有形的：硬件设备，无形的：知识产权，专利，公司形象和名誉…）
安全风险的基本概念——威胁：通过进行…等操作…对系统造成潜在危害的任何环境或事件（例如，黑客入侵，病毒 恶意程序，软硬件故障，人为误操作，自然灾害火灾…）
安全风险的基本概念——脆弱性：存在的缺陷，能够被不法者在未授权的情况下访问或破坏系统（例如，系统漏洞、系统后门、空口令、缺乏安全管理…）

控制措施： 通过从人员、技术、工程和管理等方面的控制措施 减少风险，以保护…
残余风险： 在控制措施使用后，系统残留的脆弱性，这残留的脆弱性仍然可以被威胁主体所利用，从而导致资产存在残余风险。

2.风险管理

定义： 信息安全风险管理是识别、控制、消除或最小化可能影响系统资源的不确定因素的过程。
目的：（1）成本与效益平衡（2）工作条理化
信息安全管理的核心是风险管理 ，关键在于如何控制、化解、规避风险。
风险管理的内容：

。。。。详细解释每一步。。。。。

风险评估准备：

风险评估工作形式：以自评估为主，与检查评估相结合（这几种评估可以自己，自己技术太差的话也可委托给第三方帮忙）

。。。。详细解释红圈儿内每一步。。。。。

三、信息安全事件与应急响应

1.信息安全事件

在不同领域，并没有统一的定义。
引起的原因： 故意、过失或非人为原因。
对信息安全事件的分级 考虑三因素： 信息系统的重要程度、系统损失、社会影响

2.信息安全应急响应

定义： 指一个组织为了应对各种安全意外事件的发生所采取的防范措施，即包括预防性措施，也包括事件发生后的应对措施。
实践证明，安全事件具有突发性、复杂性，需要建立快速响应机制。

应急响应工作的主要任务是做好预防（备份、升级…），在安全事件发生后尽快做出正确反应（隔离，限制，根除，关闭服务…），阻止事件的发展，并减少损失，使系统恢复正常运行，同时采取追踪攻击者及必要的法律行动。

应急响应组织是专门处理安全事件的组织，常用名：计算机网络安全事件应急组、计算机安全事件响应组（Computer Security Incident Response Team，CSIRT）、信息安全事件响应组（Information Security Incident Response Team，ISIRT）、事件响应组（ Incident Response Team，IRT）…通常该组织由管理、业务、技术和行政后勤等人员组成。

3.信息安全应急响应管理过程

四、灾难备份

???没看见

第 8 章 信息安全法律法规

一、“信息保护” 相关法律法规

1.“保护国家秘密”相关法律法规

。。。。。。。。。。。

2.“保护商业秘密”相关法律法规

。。。。。。。。。。。

3.“保护个人信息”相关法律法规

。。。。。。。。。。。

二、打击 “网络违法犯罪” 相关法律法规

。。。。。。。。。。。

三、“信息安全管理” 相关法律法规

。。。。。。。。。。。。。。。。

第 9 章 实践