软考刷题：网络安全

1.WAPI鉴别及密钥管理的方式有两种，即基于证书和基于预共享密钥PSK。若采用基于证书的方式，整个过程包括证书鉴别、单播密钥协商与组播密钥通告；若采用预共享密钥的方式，整个过程则为单播密钥协商与组播密钥通告。

2.SYN Cookie是对TCP服务器端的三次握手协议作一些修改，专门用来防范SYN Flood攻击的一种手段。

3.计算机病毒的生命周期一般包括潜伏阶段（休眠）、传播阶段、触发阶段、发作阶段。

4.沙箱里的资源被虚拟化或被间接化，沙箱里的不可信程序的恶意行为往往会被限制在沙箱中。

5.计算机机房的耐火等级应不低于2级

6.核心内嵌技术即密码水印技术。该技术将篡改检测模块内嵌在web服务器软件里，它在每一个页面流出时都进行完整性检查，对于篡改网页进行实时访问阻断，并予以报警和恢复。

7.当一个TCP连接处于CLOSE-WAIT状态时等待应用程序关闭端口。

8.渗入威胁：假冒、旁路、授权侵犯
植入威胁：木马、陷阱

9.基于入侵检测技术的入侵检测系统一般由信息采集部件、入侵分析部件与入侵响应部件组成。
入侵分析部件是入侵检测系统的核心部分，在接收到信息采集部件收集的格式化信息后，按着部件内部的分析引擎进行入侵分析，分析引擎的类型不同，所需的格式化信息也不同，当信息满足了引擎的入侵标准时就触发了入侵响应机制。

10.VPN依靠ISP（Internet服务提供商）和其他NSP（网络服务提供商），在公用网络中建立专用的、安全的数据通信通道的技术。

11.TCP Xmas树扫描。该方法向目标端口发送FIN、URG和PUSH分组。按照RFC793的规定，目标系统应该给所有关闭着的端口发送回一个RST分组。
TCP FIN扫描是向目标端口发送一个FIN分组。按照RFC793的规定，目标端口应该给所有关闭着的端口发回一个RST分组，而打开着的端口则往往忽略这些请求。此方法利用了TCP/IP实现上的一个漏洞来完成扫描，通常只在基于UNIX的TCP/IP协议栈上才有效。

12.诱骗服务是指在特定PI服务端口上进行侦听，并像其他应用程序那样对各种网络请求进行应答和应用程序。诱骗服务是蜜罐的基本配置，例如，可以将诱骗服务配置为Sendmail服务模式后，当攻击者连接到蜜罐的TCP/25端口时，就会收到一个由蜜罐发出的代表Sendmail版本号的标识。

13.屏蔽子网方式配置方式安全性最高。

14.SSH协议由传输层协议、用户认证协议、连接协议三个部分组成。
传输层协议：负责进行服务器认证、数据机密性、信息完整性等方面的保护，并提供作为可选项的数据压缩功能，还提供密钥交换功能。
用户认证协议：在进行用户认证之前，假定传输层协议已提供数据机密性和完整性保护。用户认证协议接受传输层协议确定的会话ID，作为本次回话过程的唯一标识。然后服务器和客户端之间进行认证。
连接协议：提供交互式登录会话，可远程执行命令。所有会话和连接通过隧道实现。

15.netstat是一个监控 TCP/IP网络的工具，他可以显示路由表、实际的网络连接、每一个网络接口设备的状态信息，以及与IP、TCP、UDP和ICMP等协议相关的统计数据，一般用于本机各端口的网络连接情况。

16.智能卡的片内操作系统（COS）一般由通信管理模块、安全管理模块、应用管理模块和文件管理模块四个部分组成。
通讯管理模块：半双工通讯通道，用于COS 与外界联系；
安全管理模块：为COS提供安全保证
应用管理模块：非独立模块，接收命令并判断其可执行性
文件管理模块：COS为每种均建立对应的文件来管理和存储应用，文件就是智能卡中数据单元、记录的有组织集合。

17.协同防御是防护墙的基本功能之一。防火墙和入侵检测系统通过交换信息实现联动，根据网络的实际情况配置并修改安全策略，增强网络安全。

18.DPI技术在分析包头的基础上，增加了对应用层的分析，是一种基于应用层的流量检测和控制技术。

19.IPSecVPN各类性能要求的前提是，以太帧分别为64、1428字节（IPv6为1408字节）。

20.常见异常检测方法
基于统计的异常检测
基于模式预测的异常检测
基于文本分类的异常检测
基于贝叶斯推理的异常检测