1、操作系统安全，操作系统必须能区分用户，以便防止相互干扰。操作系统不允许一个用户修改由另一个账户产生的数据。联网安全通过访问控制服务和通信安全服务两方面的安全服务来达到。（1）访问控制服务：用来保护计算机和联网资源不被非授权使用。（2）通信安全服务：用来认证数据机要性与完整性，以及各通信的可信赖性。（感觉如果说是特点的话这样回答有点别扭。）3. 为什么要研究网络安全？网络需要与外界联系，同时也就受到许多方面的威胁：物理威胁、系统漏洞造成的威胁、身份鉴别威胁、线缆连接威胁和有害程序威胁等。（可详细展开）6. 网络安全橙皮书是什么？包括哪些容？网络安全橙皮书是根据美国国防部开发的计算机安全标准可信任
2、计算机标准评价准则（Trusted Computer Standards Evaluation Criteria，TCSEC），1985年橙皮书成为美国国防部的标准，多年以来它一直是评估多用户主机和小型操作系统的主要方法。其他子系统（如数据库和网络）也一直用橙皮书来解释评估。橙皮书把安全的级别从低到高分成4个类别：D类、C类、B类和A类，每类又分几个级别，如表1-1所示。表1-1 安 全 级 别类 别级 别名 称主 要 特 征D低级保护没有安全保护CC1自主安全保护自主存储控制C2受控存储控制单独的可查性，安全标识BB1标识的安全保护强制存取控制，安全标识B2结构化保护面向安全的体系结构，较好
3、的抗渗透能力B3安全区域存取监控、高抗渗透能力A验证设计形式化的最高级描述和验证D级是最低的安全级别，拥有这个级别的操作系统就像一个门户大开的房子，任何人都可以自由进出，是完全不可信任的。对于硬件来说，没有任何保护措施，操作系统容易受到损害，没有系统访问限制和数据访问限制，任何人不需任何账户都可以进入系统，不受任何限制可以访问他人的数据文件。属于这个级别的操作系统有DOS和Windows 98等。C1是C类的一个安全子级。C1又称选择性安全保护（Discretionary Security Protection）系统，它描述了一个典型的用在UNIX系统上安全级别。这种级别的系统对硬件又有某种程
4、度的保护，如用户拥有注册账号和口令，系统通过账号和口令来识别用户是否合法，并决定用户对程序和信息拥有什么样的访问权，但硬件受到损害的可能性仍然存在。用户拥有的访问权是指对文件和目标的访问权。文件的拥有者和超级用户可以改变文件的访问属性，从而对不同的用户授予不通的访问权限。C2级除了包含C1级的特征外，应该具有访问控制环境（Controlled Access Environment）权力。该环境具有进一步限制用户执行某些命令或者访问某些文件的权限，而且还加入了身份认证等级。另外，系统对发生的事情加以审计，并写入日志中，如什么时候开机，哪个用户在什么时候从什么地方登录，等等，这样通过查看日志，就可
5、以发现入侵的痕迹，如多次登录失败，也可以大致推测出可能有人想入侵系统。审计除了可以记录下系统管理员执行的活动以外，还加入了身份认证级别，这样就可以知道谁在执行这些命令。审计的缺点在于它需要额外的处理时间和磁盘空间。使用附加身份验证就可以让一个C2级系统用户在不是超级用户的情况下有权执行系统管理任务。授权分级使系统管理员能够给用户分组，授予他们访问某些程序的权限或访问特定的目录。能够达到C2级别的常见操作系统有如下几种：（1）UNIX系统；（2）Novell 3.X或者更高版本；（3）Windows NT，Windows 2000和Windows 2003。B级中有三个级别，B1级即标志安全保护
6、（Labeled Security Protection），是支持多级安全（例如：秘密和绝密）的第一个级别，这个级别说明处于强制性访问控制之下的对象，系统不允许文件的拥有者改变其许可权限。安全级别存在秘密和绝密级别，这种安全级别的计算机系统一般在政府机构中，比如国防部和安全局的计算机系统。B2级，又叫结构保护（Structured Protection）级别，它要求计算机系统中所有的对象都要加上标签，而且给设备（磁盘、磁带和终端）分配单个或者多个安全级别。B3级，又叫做安全域（Security Domain）级别，使用安装硬件的方式来加强域的安全，例如，存管理硬件用于保护安全域免遭无授权访问或
7、更改其他安全域的对象。该级别也要求用户通过一条可信任途径连接到系统上。A级，又称验证设计（Verified Design）级别，是当前橙皮书的最高级别，它包含了一个严格的设计、控制和验证过程。该级别包含较低级别的所有的安全特性。第2章 网络安全协议基础2. 简述TCP/IP协议族的基本结构，并分析每层可能受到的威胁及如何防御TCP/IP协议族包括4个功能层，自顶向下分别为：应用层、传输层、网络层、网络接口层。应用层中很多应用程序驻留并运行在此层，并且依赖于底层的功能，使得该层是最难保护的一层。简单传输协议（SMTP）容易受到的威胁是：炸弹，病毒，匿名和木马等。保护措施是认证、附件病毒扫描和用户
8、安全意识教育。文件传输协议（FTP）容易受到的威胁是：明文传输、黑客恶意传输非法使用等。保护的措施是不许匿名登录，单独的服务器分区，禁止执行程序等。超文本传输协议（HTTP）容易受到的威胁是：恶意程序（ActiveX控件，ASP程序和CGI程序等）。传输层可能受到的威胁是拒绝服务（DOS）和分布式拒绝（DDOS）服务的攻击，其中包括TCP SYN淹没攻击、SSL中间人攻击、Land攻击、UDP淹没攻击、端口扫描攻击等，保护措施是正确设置客户端SSL，使用防火墙对来源不明的有害数据进行过渡等。网络层可能受到的威胁是IP欺骗攻击，保护措施是使用防火墙过滤和打系统补丁。网络接口层又可分为数据链路层和
9、物理层。数据链路层可能受到的威胁是容录址存储器表格淹没、VLAN中继、操纵生成树协议、MAC地址欺骗、ARP攻击、专用VLAN、DHCP耗竭等。保护措施是，在交换机上配置端口安全选项可以防止CAM表淹没攻击。正确配置VLAN可以防止VLAN中继攻击。使用根目录保护和BPDU保护加强命令来保持网络中主网桥的位置不发生改变，可防止操纵生成树协议的攻击，同时也可以强化生成树协议的域边界。使用端口安全命令可以防止MAC欺骗攻击。对路由器端口访问控制列表（ACL）进行设置可以防止专用VLAN攻击。通过限制交换机端口的MAC地址的数目，防止CAM表淹没的技术也可以防止DHCP耗竭。物理层可能受到的威胁是未
10、授权用户的接入（部人员、外部人员）、物理盗窃、涉密信息被复制或破坏等等。保护措施主要体现在实时存档和监测网络，提高通信线路的可靠性（线路备份、网管软件、传输介质）、软硬件设备安全性（替换设备、拆卸设备、增加设备）、防干扰能力，保证设备的运行环境（温度、湿度、烟尘），不间断电源保障，等等。5. 简述常用的网络服务及提供服务的默认端口。常见服务及提供服务的默认端口和对应的协议如下表所示端 口协 议服 务21TCPFTP服务25SMTP服务53TCP/UDPDNS服务80Web服务135RPC服务137UDPNetBIOS域名服务NetBIOS数据报服务NetBIOS会话服务443基于SSL的HTT
11、P服务445Microsoft SMB服务3389Windows终端服务第4章 网络扫描与网络监听2. 黑客在进攻的过程中需要经过哪些步骤？目的是什么？黑客一次成攻的攻击，可以归纳成基本的五个步骤：第一， 隐藏IP；第二， 踩点扫描；第三， 获得系统或管理员权限；第四， 种植后门；第五， 在网络中隐身。以上几个步骤根据实际情况可以随时调整。3. 简述黑客攻击和网络安全的关系。黑客攻击和网络安全是紧密结合在一起的，研究网络安全不研究黑客攻击技术等同于纸上谈兵，研究攻击技术不研究网络安全等同于闭门造车。某种意义上说没有攻击就没有安全，系统管理员可以利用常见的攻击手段对系统进行检测，并对相关的漏洞采
12、取措施。网络攻击有善意也有恶意的，善意的攻击可以帮助系统管理员检查系统漏洞，恶意的攻击可以包括：为了私人恩怨而攻击，为了商业或个人目的获得秘密资料而攻击，为了民族仇恨而攻击，利用对方的系统资源满足自己的需求、寻求刺激、给别人帮忙，以及一些无目的攻击。4. 为什么需要网络踩点？踩点就是通过各种途径对所要攻击的目标进行尽可能的了解。常见的踩点方法包括：在域名及其注册机构的查询，公司性质的了解，对主页进行分析，地址的搜集和目标IP地址围查询。踩点的目的就是探察对方的各方面情况，确定攻击的时机。摸清对方最薄弱的环节和守卫最松散的时刻，为下一步的入侵提供良好的策略。5. 扫描分成哪两类？每类有什么特点？
13、可以使用哪些工具进行扫描、各有什么特点？扫描，一般分成两种策略：一种是主动式策略，另一种是被动式策略。被动式策略是基于主机之上，对系统中不合适的设置、脆弱的口令及其他同安全规则抵触的对象进行检查，不会对系统造成破坏。主动式策略是基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞，但是可能会对系统造成破坏。常见的扫描工具包括：第一，系统自带的扫描工具如windows和linux中的ping，linux中的namp。这类工具操作简单，大多工作在命令行模式下。第二，开源的和免费的扫描工具如Nessus，X-scan，Netcat，X-port以及Googl
14、e在2010年新推出的Skipfish等。这类扫描工具一般具有单一、独特的功能，因此扫描速度极快、更新速度快、容易使用，由于其开源、免费的特点，使其具有更广泛的影响力。第三，商用的扫描工具，如eEye公司的Retina，Network Associates的CyberCop Scanner以及Symantec 的NetRecon等。基本上大部分商业扫描器都工作在黑盒模式，在这种模式下无法看到源代码，以一个近似于渗透者或攻击者的身份去看待需要评估的。在商业化应用中，对误报、漏报的容忍程度比较低。商用扫描器在精确扫描之后，会给出一些建议和手段来屏蔽。最初是提供一些修补建议，这种方式对专业人员来说有
15、相当价值，但对于一些较薄弱或者比较懒惰的用户，修补建议的作用就被忽略了。在新一代的商用扫描器中，提出了修补联动的概念，通过发送注册表去提示用户，用户双击注册表，就可以导入需要修改、升级补丁的信息，并且还可以和WSUS进行联动。这样就可以基本上达到自动化的修补。6. 网络监听技术的原理是什么？监听器Sniffer的原理是：在局域网中与其他计算机进行数据交换时，数据包发往所有的连在一起的主机，也就是广播，在报头中包含目的机的正确地址。因此只有与数据包中目的地址一致的那台主机才会接收数据包，其他的机器都会将包丢弃。但是，当主机工作在监听模式下时，无论接收到的数据包中目的地址是什么，主机都将其接收下来
16、。然后对数据包进行分析，就得到了局域网信的数据。一台计算机可以监听同一网段所有的数据包，不能监听不同网段的计算机传输的信息。第5章 网络入侵1. 简述社会工程学攻击的原理。社会工程是使用计谋和假情报去获得密码和其他敏感信息的科学。研究一个站点的策略，就是尽可能多地了解这个组织的个体，因此黑客不断试图寻找更加精妙的方法从他们希望渗透的组织那里获得信息。另一种社会工程的形式是黑客试图通过混淆一个计算机系统去模拟一个合法用户。3. 简述暴力攻击的原理。暴力攻击如何破解操作系统的用户密码、如何破解密码、如何破解Word文档的密码？针对暴力攻击应如何防御？暴力攻击的原理：黑客使用枚举的方法，使用运算能力
17、较强的计算机，尝试每种可能的字符破解密码，这些字符包括大小写、数字和通配符等。字典文件为暴力破解提供了一条捷径，程序首先通过扫描得到系统的用户，然后利用字典中每一个密码来登录系统，看是否成功，如果成功则显示密码。的密码一般需要设置为8位以上，7位以下的密码容易被破解。尤其7位全部是数字的密码，更容易被破解。使用相应暴力破解软件可以每秒50到100个密码的速度进行匹配。破解Word文档的密码方法与破解密码相似。进行适宜的安全设置和策略，通过结合大小写字母、数字和通配符组成健壮的密码可以防御暴力攻击。5. 简述缓冲区溢出攻击的原理。当目标操作系统收到了超过了它的能接收的最大信息量时，将发生缓冲区溢
18、出。这些多余的数据使程序的缓冲区溢出，然后覆盖实际的程序数据。缓冲区溢出使目标系统的程序被修改，经过这种修改的结果将在系统上产生一个后门。最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell，再通过shell执行其他命令，如果该shell有管理员权限，就可以对系统进行任意操作。6. 简述拒绝服务的种类与原理。DoS（Denial of Service，拒绝服务）攻击，其目的是使目标计算机或网络无法提供正常的服务。最常见的DoS攻击是计算机网络带宽攻击和连通性攻击。带宽攻击是以极大的通信量冲击网络，使网络所有可用的带宽都被消耗掉，最后导致合法用户的请求无法通过。连通性攻击指用大量的连接请
19、求冲击计算机，最终导致计算机无法再处理合法用户的请求。9. 简述DDos的特点以及常用的攻击手段，如何防？分布式拒绝服务攻击的特点是先使用一些典型的黑客入侵手段控制一些高带宽的服务器，然后在这些服务器上安装攻击进程，集数十台，数百台甚至上千台机器的力量对单一攻击目标实施攻击。在悬殊的带宽力量对比下，被攻击的主机会很快因不胜重负而瘫痪。分布式拒绝服务攻击技术发展十分迅速，由于其隐蔽性和分布性很难被识别和防御。常用攻击手段及防措施如下：第一，破坏物理设备。这些物理设备包括：计算机、路由器、电源、冷却设备、网络配线室等。防这种破坏的主要措施有：例行检查物理实体的安全；使用容错和冗余网络硬件的方法，必
20、要时迅速实现物理设备切换，从而保证提供正常的应用服务。第二，破坏配置文件。错误配置也会成为系统的安全隐患，这些错误配置常常发生在硬件装置、系统或应用程序中。如果攻击者侵入目标系统，更改了某些配置信息，目标系统很可能因配置不当而无法继续提供正常的服务。因此，管理员首先应该正确设置系统及相关软件的配置信息，并将这些敏感信息备份到软盘等安全介质上；利用Tripwire等工具的帮助及时发现配置文件的变化，并快速恢复这些配置信息保证系统和网络的正常运行。第三，利用网络协议或系统的设计弱点和实现漏洞。SYN flooding攻击即是利用TCP/IP协议的设计弱点，即建立连接时的三次握手协议和该过程中资源的
21、非对称分配，及IP欺骗。若要从根本上克服这些弱点，需要重新设计协议层，加入更多的安全控制机制。若要在现有的网络构架中弥补这些弱点，可以采取上面介绍的半通明网关或主动监视技术。第四，消耗系统资源。系统资源包括CPU资源，存资源，磁盘空间，网络带宽等，攻击者利用资源有限的特点，恶意消耗系统资源，使系统无法提供正常的服务。Smurf，DDoS等都属于该类型。随着攻击技术的日新月异，智能型协作型的攻击工具的不断开发，信息的可用性面临着更为严峻的考验。安全专家对此深感忧虑，因为一旦发动DDoS攻击，目前没有什么快速有效的解决办法。 另外，全球网络管理员要管理好自己的网络，可以采取下面这些行之有效的防措施
22、： 1）及时地给系统打补丁，设置正确的安全策略； 2）定期检查系统安全：检查是否被安装了DDoS攻击程序，是否存在后门等； 3）建立资源分配模型，设置阈值，统计敏感资源的使用情况； 4）优化路由器配置：（1）配置路由器的外网卡，丢弃那些来自外部网而源IP地址具有部网络地址的包；（2）配置路由器的网卡，丢弃那些即将发到外部网而源IP地址不具有部网络地址的包；（3）设置TCP拦截；（4）限制TCP连接超时阈值；（5）禁止IP广播包流入部网络；（6）禁止外出的ICMP不可达消息； 5）由于攻击者掩盖行踪的手段不断加强，很难在系统级的日志文件中寻找到蛛丝马迹。因此，第三方的日志分析系统能够帮助管理员更
23、容易地保留线索，顺藤摸瓜，将肇事者绳之以法； 6）使用DNS来跟踪匿名攻击； 7）对于重要的WEB服务器，为一个域名建立多个镜像主机。第6章 网络后门与网络隐身2. 如何留后门程序？列举三种后门程序，并阐述原理及如何防御。网络攻击经过踩点、扫描、入侵以后，如果攻击成功，一般就可以拿到管理员密码或者得到管理员权限。第一，Login后门。在Unix里，login程序通常用来对telnet来的用户进行口令验证。入侵者获取login。c的原代码并修改，使它在比较输入口令与存储口令时先检查后门口令。如果用户敲入后门口令，它将忽视管理员设置的口令让你长驱直入。这将允许入侵者进入任何账号，甚至是root。由
24、于后门口令是在用户真实登录并被日志记录到utmp和wtmp前产生一个访问的，所以入侵者可以登录获取shell却不会暴露该账号。管理员注意到这种后门后，便用“strings”命令搜索login程序以寻找文本信息。许多情况下后门口令会原形毕露。入侵者就开始加密或者更好的隐藏口令，使strings命令失效。所以更多的管理员是用MD5校验和检测这种后门的。第二，线程插入后门。这种后门在运行时没有进程，所有网络操作均播入到其他应用程序的进程中完成。也就是说，即使受控制端安装的防火墙拥有“应用程序访问权限”的功能，也不能对这样的后门进行有效的警告和拦截，也就使对方的防火墙形同虚设！这种后门本身的功能比较强
25、大，是现在非常主流的一种，对它的查杀比较困难，很让防护的人头疼。第三，网页后门。网页后门其实就是一段网页代码，主要以ASP和PHP代码为主。由于这些代码都运行在服务器端，攻击者通过这段精心设计的代码，在服务器端进行某些危险的操作，获得某些敏感的技术信息或者通过渗透，提权获得服务器的控制权。并且这也是攻击者控制服务器的一条通道，比一般的入侵更具有隐蔽性。防御后门的方法主要有：建立良好的安全习惯，关闭或删除系统中不需要的服务，经常升级安全补丁，设置复杂的密码，迅速隔离受感染的计算机，经常了解一些反病毒资讯，安装专业的防毒软件进行全面监控等。4. 简述木马由来，并简述木马和后门的区别。“木马”一词来
26、自于“特洛伊木马”，英文名称为Trojan Horse。传说希腊人围攻特洛伊城，久久不能攻克，后来军师想出了一个特洛伊木马计，让士兵藏在巨大的特洛伊木马中，部队假装撤退而将特洛伊木马丢弃在特洛伊城下，让敌人将其作为战利品拖入城中，到了夜里，特洛伊木马的士兵便趁着夜里敌人庆祝胜利、放松警惕的时候从特洛伊木马里悄悄地爬出来，与城外的部队里应外合攻下了特洛伊城。由于特洛伊木马程序的功能和此类似，故而得名。本质上，木马和后门都是提供网络后门的功能，但是木马的功能稍微强大一些，一般还有远程控制的功能，后门程序则功能比较单一，只是提供客户端能够登录对方的主机。第7章 恶意代码分析与防治2. 简述恶意代码长
27、期存在的原因。在信息系统的层次结构中，包括从底层的操作系统到上层的网络应用在的各个层次都存在着许多不可避免的安全问题和安全脆弱性。而这些安全脆弱性的不可避免，直接导致了恶意代码的必然存在。3. 恶意代码是如何定义，可以分成哪几类？恶意代码的定义随着计算机网络技术的发展逐渐丰富，Grimes 将恶意代码定义为，经过存储介质和网络进行传播，从一台计算机系统到另外一台计算机系统，XX认证破坏计算机系统完整性的程序或代码。它可以分成以下几种类型：计算机病毒（Computer Virus）、蠕虫（Worms）、特洛伊木马（Trojan Horse）、逻辑炸弹（Logic Bombs）、病菌（Bacter
28、ia）、用户级RootKit、核心级RootKit、脚本恶意代码（Malicious Scripts）和恶意ActiveX 控件。4. 说明恶意代码的作用机制的6个方面，并图示恶意代码攻击模型。恶意代码的整个作用过程分为6个部分：侵入系统。侵入系统是恶意代码实现其恶意目的的必要条件。恶意代码入侵的途径很多，如：从互联网下载的程序本身就可能含有恶意代码；接收已经感染恶意代码的电子；从光盘或软盘往系统上安装软件；黑客或者攻击者故意将恶意代码植入系统等。维持或提升现有特权。恶意代码的传播与破坏必须盗用用户或者进程的合法权限才能完成。隐蔽策略。为了不让系统发现恶意代码已经侵入系统，恶意代码可能会改名、
29、删除源文件或者修改系统的安全策略来隐藏自己。潜伏。恶意代码侵入系统后，等待一定的条件，并具有足够的权限时，就发作并进行破坏活动。破坏。恶意代码的本质具有破坏性，其目的是造成信息丢失、泄密，破坏系统完整性等。重复至对新的目标实施攻击过程。恶意代码的攻击模型如下图所示。第8章 安全操作系统基础1. 简述操作系统账号密码的重要性，有几种方法可以保护密码不被破解或者被盗取？标识与鉴别是涉及系统和用户的一个过程，可将系统账号密码视为用户标识符及其鉴别。标识就是系统要标识用户的身份，并为每个用户取一个系统可以识别的部名称用户标识符。用户标识符必须是惟一的且不能被伪造，防止一个用户冒充另一个用户。将用户标识符与用户联系的过程称为鉴别，鉴别过程主要用以识别用户的真实身份，鉴别操作总是要求用户具有能够证明他的身份的特殊信息，并且这个信息是秘密的，任何其他用户都不能拥有它。较安全的密码应是不小于6个字符并同时含有数字和字母的口令，并且限定一个口令的生存周期。另外生物技术是一种比较有前途的鉴别用户身份的方法，如利用指纹、视网膜等，目前这种技术已取得了长足进展，逐步
