国家信息安全水平考试（NISP 续）
一，信息安全概述
信息:
信息是用于消除随机不确定的东西。————香农
信息是用于消除不确定性的。
信息，数据两者的关系：信息是有价值的数据，数据是反应客观事物记录的属性。数据通过加工处理之后就可以变成信息，信息通过数字化处理后变成数据。
信息安全：
一般指信息系统受到保护，可以连续可靠的运行，实现业务连续性。信息安全的根本目的是使信息不受内部，外部，自然等因素的威胁。
信息安全的基本属性：CIA模型
- 机密性(Confindentiality)
- 完整性(Integrity)
- 可用性(Availability)
CIA模型上的扩展属性：
- 真实性
- 不可否认性
- 可控性
信息安全的特征：
- 相对性
- 时效性
- 相关性
- 复杂性
- 不确定性
信息安全的发展阶段
1. 通信安全阶段：防窃听和数据加密
2. 计算机系统安全段：密码学算法和信息安全模型
3. 网络安全阶段：防火墙，VPN
4. 网络保障阶段：综合技术，管理和工程等措施进行保障
信息安全保障
信息安全保障模型P2DR模型策略，防护，检测，响应。这是一个完整，动态的安全循环。
信息系统安全保障
信息系统：是一个处理数据输入和输出，对于数据进行存储，系统进行控制的系统。
信息系统安全保障模型
通过保障要素来保障信息安全系统在生命周期内的安全特征
二，信息安全基础技术
密码学
加密与解密（解决CIA中的机密性）
对称加密：又称单一密匙
由于加密密钥和解密是完全相同的，所以密钥在传输的途中泄露就会导致信息泄露，通常密钥不和密文在同一个网络通道内传送，而是，单独的一个确保安全的通道。
非对称加密
公钥和私钥是绝对不可相互推导的，公钥存在于密钥库中，私钥是由接收者自己保管的，所以，不用像对称加密一样需要一个单独的安全通道来进行密钥的传送。
混合加密
采用对称加密的壳，利用非对称加密对对称加密的密钥进行加密处理，相当于利用非对称加密创建了一个安全通道来传送对称加密的密匙。
哈希算法（解决CIA中的完整性）
Hash算法是一个不可逆的算法，几乎不可能从Hash值来得到原文件的内容
文件通过Hash单向散列得到一个Hash值，将Hash值和原文件一起进行加密后传送，接收者解密后得到原Hash值和文件，验证过程：将文件通过Hash加密得到一个新的Hash值，比较新Hash值和原Hash值是否一致来验证文件的完整性。
数字签名（解决CIA中的不可否认性）
加密过程和Hash算法分别解决了CIA中的机密性，不可否认性，但是，还无法保证信息是否是真实，是我们所期待的对象发的，而不是第三方发的虚假信息
数字签名工作原理
与Hash加密相比较，在得到Hash值的基础上用A的私钥进行加密（这一步就是 A对文件进行数字签名）
数字证书与公钥基础设施
数字证书
由可信第三方颁发（CA）的数字证书，用于证明用户身份的可信度(类似于公安局给公民颁发身份证，来证明其合法身份）
公钥基础设施
- 公钥管理平台PKI（Public Key Infrastructure） 为网络应用提供加密和数字签名等密码服务所需要的秘匙和证书管理体系。
- 权威认证机构CA（Certification Authority） 主要作用是 证书的办理和管理，建立证书黑名单，RA（用户注册系统）的设立，审查和管理
PKL，CA，RA三者的关系：PKL是基础，证书中心，CA的认证中心，对数字证书进行签名，RA是辅助CA工作，用于接收和审核用户的证书申请。
身份认证
用于鉴别用户身份：
三种基本认证方式
- 用户所知道的：密匙，口令
- 用户所拥有的：印章，U盾
- 用户所具有的：指纹，虹膜
更加安全的是：双因素进行认证：例如静态密码+短信验证
对于虚假网站，用户也可以对服务器进行身份验证
访问控制
访问控制基本概念
访问控制一般是由三者组成的：主体，客体，控制策略
- 主体：发起访问请求的实体
- 客体：被访问资源的实体
- 控制策略：主体对客体访问规则的集合
访问发生的两个步骤：
- 认证：判断主体是普通用户，管理员还是审计用户
- 授权 ：授予用户的访问权限
访问控制基本技术
- 自主访问控制（DAC）：由资源所有者（如管理员）设定，谁可以有哪些权限来访问哪些资源
- 强制访问控制（MAC）：由系统决定一个主体是否可以访问某一个客体，如果该主体不可以访问某一个客体，那么其他主体就不可以通过该主体访问该客体，这一条访问通路被切断。强制访问控制的力度很强。
- 角色访问控制（RBAC）：基于角色来设定访问权限。
安全审计
日志：记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件
审计：对日志进行分析，得到有用的信息。
安全审计分类
- 被动审计：记录系统活动，并不对信息进行处理
- 主动审计：：结束一个登陆会话、拒绝一些主机的访问（包括web 站点、FTP服务器、电子邮件服务器）、跟踪非法活动的源位置等行为。
安全审计的作用
- (对人而言）威胁和警告潜在的攻击者和滥用授权的合法用户
- （对系统而言）提供有价值的系统日志，有利于及时发现系统入侵行为和存在的潜在漏洞
- （对于修复而言）在发生故障后，有利于评估故障损失，重建和数据修复
- （对于策略而言）有利于以后的修订决策和部署
三，网络安全防护技术
网络基础知识
TCP/IP协议
因特网通过TCP/IP协议将全球各地的计算机互联，从而形成超级计算机网络
协议：约定或定义的一组通信规则，规定了交换数据的格式和传输方法，定义了电子设备如何接入网络，以及数据如何在他们之间传输。
TCP/IP：是一个不同层次上的多个协议的组合
OSI与TCP/IP的对应关系
TCP/IP的内部结构
其中Ip协议是网际层中最重要的协议。
通信：将数据从一端传送到另外一端的过程
通信地址：
- 物理地址（MAC地址），每一个物理设备都有宇哥独一无二的MAC地址
- 逻辑地址（IP地址）,ip地址有两种，Ipv4和ipv6
封装：数据从高层向底层传送时，经过低层，会分别将该层的头部信息加早数据首部，类似于邮件盖邮戳的行为
解封装：封装的逆过程，将头部信息分别去除
IP包头格式
TCP协议：提供面向连接，可靠的字节流服务。
UDP协议：面向事物的简单不可靠信息传送服务，特点是：无连接，不可靠，简单，效率高
端口
计算机中有一些协议常用端口，如80端口表示HTTP协议，黑客通常就是通过各种协议端口入侵计算机，端口标号的范围是0-65535
统一资源定位符(URL)
用于标识万维网中每一个信息资源的地址
URL的组成，
http：//主机域名或ip地址[：端口号]/文件路径/文件名
网络安全威胁
网络嗅探
通过截获，分析网络中传输的数据而获取有用信息的行为
拒绝舒服攻击
- 拒绝服务攻击（DoS)
- 分布式拒绝服务攻击（DDoS)
- 同步泛洪攻击（SYN flooding)
网络钓鱼
攻击者利用伪造的网站或欺骗性的电子邮件进行的网络诈骗活动
社会工程学
远程控制
网络安全防护与实践
虚拟专用网络（VPN）
VPN是在公用网络上建立专用网络的技术 利用就可以到达单独搭建的专用网络。
VPN的特点
- 成本低
- 安全性高
- 服务质量高
- 可管理性（可分权限管理结点）
- 可拓展性（可增加新的结点和各种协议）
VPN常用协议 - IpSec协议：通过使用加密的安全服务来实现功能。
- 安全套接层协议（SSL）：提供一个可靠的端到端的服务。
防火墙
防火墙：指设置在不同网络之间的一系列包括软硬件的组合其在内网和外网之间构建一道保护墙，只有符合保护墙标准的数据流才可以通过。
防火墙的功能
- 数据包过滤
- 审计和报警机制
- 远程管理
- 网络地址转换
- 代理
- 流量控制，统计分析和流量计费
无线局域网安全防护
无线网络安全措施
增强无限网络安全性的措施
- 修改admin密码
- 使用无线网络安全协议
- 禁止DHCP服务 DHCP（动态主机配置协议），服务器自动分配ip地址
- 禁止SSID广播 SSID（服务集标志），广播设备id
- 禁止远程管理
- MAC地址过滤 建立白名单，非法的MAC地址不接入
- 合理放置无线AP
四，操作系统安全防护技术
操作系统概述
操作系统是连接用户和计算机硬件的接口
面向系统资源：操作系统必须尽可能的提高资源利用率
面向用户：操作系统必须提供方便易用的用户界面
操作系统的特征
- 并发：多个程序可以同时运行，* 并行：多个程序在同一时刻运行，同一时刻和同一时间不在同一个时间维度*
- 共享：
1. 互斥共享：如打印机，复印机不可以同时访问同一个数据
2. 同时共享（分时共享）：如多个设备可以同时访问磁盘 - 虚拟：把一个物理CPU虚拟成多个逻辑CPU
- 异步：由于分时系统。一个程序不是一次就从运行开始到运行结束的，而是多个程序分段运行，这样的运行模式称为异步运行
操作系统的作用
硬件资源：电脑中所有的硬件部分
软件资源：程序和数据等信息
1.管理系统中各种资源
- CPU管理
- 存储管理
- 设备管理
- 文件管理
- 网络与通信管理
2.给用户提供良好的界面
1.作业控制级接口：分为联机和脱机用户接口
2.程序级接口：用于开发程序时使用
操作系统的分类
- 按机型分：大，中，小，微型机
- 按用户数目分：单用户和多用户操作系统
多用户可以允许多个用户同时登陆，运行程序
单用户一次只可以一个用户登陆
- 按功能特征分：批处理操作系统，实时操作系统，分时操作系统
批处理操作系统：用户将一批作业，用户就不再干预。不具备交互性，可以提高CPU的利用率
分时操作系统：支持多个用户在线
实时操作系统：强调实时性
- 按应用领域分：桌面操作系统，服务器操作系统，嵌入式操作系统
桌面操作系统：主要是个人计算机，Os，Linus，Windos Xp
服务器操作系统：Unix，Linus，Windows 三个系列
嵌入式操作系统：Android，ios...
Windows系统
于1985年问世，最开始是模拟DOS环境，除了个人电脑上，也用在低级和中级服务器上
Linux系统
于1991年问世，是免费开源的类Unix操作系统，多用户系统，Linux可以安装到各种计算机的硬件设备中
Mac OS
于1984年问世，基于Unix内核的图形化操作系统。Windos中病毒不可以在Mac OS上运行
Android
谷歌公司开发，基于Linux内核的综合操作系统，多应用于电话，平板等
IOS
苹果公司开发，主要给iPhone，ipad，touch等苹果公司产品使用
操作系统的安全威胁
漏洞和漏洞扫描
系统漏洞：也可称为系统脆弱性，是指计算机系统在硬件，软件，协议的设计，具体实现以及系统安全策略上存在的缺陷和不足。只要可以导致系统安全受到威胁的漏洞都可以称为系统安全漏洞
漏洞的特性
- 时间的局限性
- 广泛性
- 隐蔽性
- 被发现性
漏洞产生的原因
- 程序逻辑结构设计不合理，不严谨
- 程序设计错误漏洞
- 目前硬件无法解决的问题，编程人员用软件设计来表现硬件功能而产生的漏洞
漏洞的安全威胁
漏洞的防范
- 防火墙
- 加强病毒防范
- 漏洞扫描技术
- 强化端口解析和加强数据备份
漏洞扫描：主动对计算机系统或其他网络设备进行检查
漏洞扫描的必要性：
- 防火墙的局限性
- IDS的逃避技术
3，不仅是检测外来的攻击，也可以检测系统内部的漏洞。
扫描工具的选择
![在这里插入图片描述]
恶意代码
故意编制或设置的，对网络或系统会产生威胁或者潜在威胁的计算机代码
恶意代码的攻击机制
侵入系统：下载带有恶意代码的软件或者邮箱。
常见的恶意代码
-
病毒：编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码
-
木马：源于希腊神话“特洛伊木马”，在计算机领域延伸为利用计算机程序漏洞侵入后窃取他人文件，财产与隐私的程序称为木马，计算机木马是一种后门程序，常被黑客用作远程控制计算机的工具，一般不会自动复制。
木马组成的三个部分：- 硬件部分
- 软件部分
- 具体链接部分
-
蠕虫：是一种常见的计算机病毒，利用网络进行复制和传播，与普通病毒相比不需要宿主
蠕虫的传播过程
- 扫描 2. 攻击3. 复制
蠕虫的特点：
1.独立性 2.利用漏洞主动攻击 3.传播更快更广
端口扫描
端口扫描通常指对目标计算机的所有端口发送同一信息，然后根据返回端口状态来分析目标计算机的端口是否打开或可用
发送大量扫描包，只有其中一个是有用的，来隐藏源地址
端口扫描的作用
- 判断目标主机开放了那些服务
- 判断目标主机的系统
扫描器：自动检测远程或本地主机安全弱点的程序
操作系统安全防护
安全防护策略
- 制定操作系统安全策略：linux中抗洪工具，windows的本地安全工具
- 关闭不必要的服务
- 关闭不必要的端口
- 开启审核策略:操作系统中一般默认不开启的
- 开启密码策略
补丁程序
修复有漏洞的程序的程序就叫补丁程序
终端防护软件
常指杀毒软件
终端防护软件常识
- 杀毒软件不可能查杀所有病毒
- 杀毒软件可以查到的病毒，不一定能杀掉
- 杀毒软件的对被感染的文件杀毒有多种方式:1.清除，2.删除，3.禁止访问，4隔离，5不处理
个人防火墙
用户在计算机上设置特定的规则组织来外部网络的攻击保护操作系统的安全，例如：杀毒软件，系统自带的防火墙。
防火墙的功能
- 过滤不安全的服务和非法用户，防止未授权的用户访问内部网络
- 能控制对内部网络的访问权，可以选择性的开放一部分主机
- 能对网络安全进行监控
五，应用与数据安全
浏览器安全
服务器端：网络中对其他计算机或终端提供某些服务的计算机系统
客户端：为客户提供本地服务的程序
C/S结构：客户端/服务器结构是一种软件系统的体系结构
- 客户端程序将用户要求提交给服务端程序，再将服务器返回的结果以特定的形式显示给用户。
- 服务器端接受客户端的请求，并进行相应的处理后将结果返回给客户端
例如：微信，迅雷等等
B/S结构：浏览器/服务器结构
用户端不需要特定软件，所有请求都在服务器端处理
浏览器：显示网页文件并提供用户与服务器交互功能的一种软件
常见的浏览器的安全措施
- 删除和管理Cookies
Cookie是网站放置在个人计算机上的小文件，用于存储用户的信息和用户的偏好设置，比如：记录某一个网站的账户和口令 - 删除浏览器历史记录
用户浏览网站时，浏览器记住并存储在计算机中的信息，比如：表单的信息，口令 - 禁用ActiveX控件
ActiveX控件是嵌入在网页中的小程序，ActiveX可能被利用
网络金融交易安全
U盾：网上电子银行签名和数字认证的工具，采用非对称加密体制。
手机短信验证：
口令卡：相当于一种动态的电子银行口令。
采用安全超文本传输协议：HTTP通信协议的安全版，HTTPS协议提供身份验证与加密等措施
电子邮件安全
邮件地址欺骗
黑客攻击和垃圾邮件制造者常用的方法。其原因是：SMTP协议中，发送者可以指定SMTP来伪造发送者的
垃圾邮件
邮件病毒：和普通病毒一样，只是载体是邮件
邮件炸弹：利用特殊的软件，短时间内不断的将邮件发送给同一收信人
电子邮件防护技术
- 垃圾邮件过滤技术：黑白名单过滤 和智能内容过滤
邮件加密和签名 例如利用GnuPG对邮件进行加密和签名
数据安全
数据备份
数据备份是容灾的基础，方式有很多例如
- 磁带机进行冷备份
- 网络备份
- 云备份
数据恢复
- 删除硬盘分区或格式化硬盘后，应该先重启然后用数据恢复软件来恢复数据，例如EasyRecovery，误删除文件恢复的前提是，该分区或硬盘不能进行新的读写操作
数据加密 - 硬件加密：通过硬件单元，如usb接口等
- 软件加密：文件加密工具，如zip，rar，PPT，pdf等等，光盘加密工具，如SecureBurn可以在正式刻录前对光盘进行保护，磁盘加密工具,如OAPDisk，TrueCrypt原理是建立虚拟磁盘来加密，
数据删除
windows中delete删除文件实际上只是将文件移动到系统回收站的这个分区里，数据目录和数据内容都没有被删除。除非回收站满或者使用“shift+delete”来删除文件，才真正的将文件的目录标记上了删除，但是文件数据的内容毫无变化，只是文件被删除前的空间得到了释放。
安全删除的方法 - 数据硬销毁：用物理或者化学方法把记录数据的载体完全破坏掉
- 数据软销毁：即逻辑销毁，通过软件编程对相关数据进行反复覆盖擦除。
账户口令安全
威胁口令安全的三种方法
- 暴力破解
- 键盘记录木马
- 屏幕快照木马
口令安全原则
- 严禁使用空口令
- 严禁使用与账号相同或相似的口令
- 不要设置简单字母和数字祝贺
- 不要设置短于6个字符或仅包含字母或数字的口令
- 不要使用与个人信息有关的信息
六，移动智能终端安全防护
移动智能终端
定义：具有独立的操作系统，可安装应用程序，使用无线局域网或移动网络来访问因特网的设备。比如：智能手机，平板电脑等
逻辑结构
分类：主要分为智能手机，平板电脑
功能：
- 访问不同模式的移动通信网络
- 通过不同的网络接口访问因特网
- 具有开放的API接口
- 支持多媒体功能
- 具有GPS导航功能
移动智能终端安全威胁
安全形势
- 终端操作系统敏感权限滥用，系统漏洞，系统后门
- 应用软件难以溯源
安全威胁
- 伪基站攻击：一般由主机和笔记本电脑组成，伪装成运行商的基站，通过短信群发器，短信发信机等搜取一定半径内的手机卡信息
- 二维码扫描：二维码使用黑白色矩阵图案，里可以存各种连接，音频等，但二维码本身是没有病毒的。
二维码的安全问题
移动终端遗失- 挂失手机号
- 冻结各种与手机号有关的账号
手机病毒：窃取，破坏用户信息，发送垃圾信息
恶意扣费软件：没有通过用户同意就扣除费用的软件
移动智能终端的安全使用
使用建议
- 注意隐私权限访问请求
- 慎重扫描二维码
- 正规渠道下载应用
- 安装安全防护软件
- 定期备份
- 不要访问不安全的无线网络
- 网上浏览时不要选择“记住我”
- 清空历史记录和缓存内容
- 启动用户认证，如pin码
七，信息安全管理
信息安全管理概述
信息安全管理（ISM)：是管理者为实现信息安全目标而进行计划，组织，指挥和控制的一系列活动，从而保障组织的业务正常运转。管理不是一次性的，而是处于动态变化中。
信息安全管理的关键因素
- 组织的活动能够反映组织的业务目标
- 组织的管理者对信息安全需求，风险，评估要有正确深入的理解并要给予员工有效的支持
- 提高所有人的安全意识
- 建立有效的信息安全事件管理过程和信息安全测量体系
信息安全风险管理
信息安全管理的核心思想是风险管理
信息安全风险
风险强调的损害的可能性，而不是事实上已经发生的。
风险管理：以风险为驱动的信息安全管理，其核心就是通过识别风险，选择对策，消减风险
风险管理的步骤
- 背景建立
- 风险评估
- 风险处理
- 批准监督
风险管理是一个动态发展，不断循环的过程，以体系化的方式实施信息安全管理，才能实现并保持一定的信息安全水平
信息安全事件与应急响应
信息安全事件，是由于自然或者认为
信息安全的分类
1.
信息安全事件分级标准
- 信息系统的重要程度
- 系统损失
- 社会影响
信息安全应急响应：一个组织为了应对各种安全意外事件的发生所采取的措施。主要体现在两个方面：
- 未雨绸缪
- 亡羊补牢
信息安全应急响应组织
- 计算机安全事件应急组
- 计算机安全事件响应组(CSIRT)
- 信息安全事件响应组（ISIRT)
- 事件响应组(IRT)
大多与管理，业务，组织，后勤等组成。
应急过程
1.准备 2.检测 3.遏制 4.根除 5.恢复 6.跟踪总结
灾难备份
- 灾难备份：1.本地备份和异地备份 2. 数据级备份和系统系备份 3.完全备份和不完全备份
- 灾难恢复：恢复时间目标，恢复点目标
灾备方法 - 执行完全备份
- 经常增量备份
- 定期差异备份
八 ，信息安全法律法规
信息保护相关法律法规
打击网络违法犯罪相关法律法规
网络违法犯罪行为
破坏互联网运行安全的行为
破坏国家安全和社会稳定的行为
破坏市场经济秩序和社会管理秩序的行为
侵犯个人，法人和其他组织的人身，财产等合法权利的行为
利用以上4类，综合的第五类
相关法律：《刑法》，《关于维护互联网安全的决定》，《治安管理处罚法》
信息安全管理相关法律法规
《中华人民共和国保守国家秘密法》
《中华人民共和国人民警察法》
《中华人民共和国电子签名法》
《网络安全法》
2017年6月1日正式实施，是我国第一部全面规范网络空间安全管理方面问题的基础性法。
三个原则
- 主权原则
- 网络安全与信息化发展并重原则
- 共同治理原则