NCRE | 三级信息安全技术笔记

偏执的太偏执、 2023-01-02 05:19 336阅读 0赞

## 第一章信息安全保障概述 ##

### 1.1信息安全保障背景 ###

1.1.1信息技术及其发展阶段

信息技术两个方面：生产：信息技术产业；应用：信息技术扩散

信息技术核心：微电子技术，通信技术，计算机技术，网络技术

第一阶段，电讯技术的发明；第二阶段，计算机技术的发展；第三阶段，互联网的使用

1.1.2信息技术的影响

积极：社会发展，科技进步，人类生活

消极：信息泛滥，信息污染，信息犯罪

### 1.2信息安全保障基础 ###

1.2.1信息安全发展阶段

通信保密阶段（20世纪四十年代）：机密性，密码学

计算机安全阶段（20世纪六十和七十年代）：机密性、访问控制与认证，公钥密码学（Diffie

Hellman，DES），计算机安全标准化（安全评估标准）

信息安全保障阶段：信息安全保障体系（IA），PDRR模型：保护（protection）、检测（detection）、响应(response)、恢复（restore），我国PWDRRC模型：保护、预警（warning）、监测、应急、恢复、反击（counter-attack），BS/ISO 7799标准（有代表性的信息安全管理体系标准）：信息安全管理实施细则、信息安全管理体系规范

1.2.2信息安全的含义

一是运行系统的安全，二是系统信息的安全：口令鉴别、用户存取权限控制、数据存取权限方式控制、审计跟踪、数据加密等

信息安全的基本属性：完整性、机密性、可用性、可控制性、不可否认性

1.2.3信息系统面临的安全风险

1.2.4信息安全问题产生的根源：信息系统的复杂性，人为和环境的威胁

1.2.5信息安全的地位和作用

1.2.6信息安全技术

核心基础安全技术：密码技术

安全基础设施技术：标识与认证技术，授权与访问控制技术

基础设施安全技术：主机系统安全技术，网络系统安全技术

应用安全技术：网络与系统安全攻击技术，网络与系统安全防护与响应技术，安全审计与责任认定技术，恶意代码监测与防护技术

支撑安全技术：信息安全评测技术，信息安全管理技术

### 1.3信息安全保障体系 ###

1.3.1信息安全保障体系框架

生命周期：规划组织，开发采购，实施交付，运行维护，废弃

保障要素：技术，管理，工程，人员

安全特征：机密性，完整性，可用性

1.3.2信息系统安全模型与技术框架

P2DR安全模型：策略（policy），防护，检测，响应；防护时间大于检测时间加上响应时间，安全目标暴露时间=检测时间+响应时间，越小越好；提高系统防护时间，降低检测时间和响应时间

信息保障技术框架（IATF）：纵深防御策略（）：人员，技术，操作；技术框架焦点域：保护本地计算机，保护区域边界，保护网络及基础设施，保护支撑性基础设施

### 1.4信息安全保障基本实践 ###

1.4.1国内外信息安全保障工作概况

1.4.2信息安全保障工作的内容

确定安全需求，设计和实施安全方案，进行信息安全评测，实施信息安全监控

## 第二章信息安全基础技术与原理 ##

### 2.1密码技术 ###

2.1.1对称密码与非对称密码

对称密钥密码体制：发送方和接收方使用相同的密钥

非对称密钥密码体制：发送方和接收方使用不同的密钥

对称密钥体制：

加密处理速度快、保密度高，密钥管理分发复杂代价高、数字签名困难

分组密码：一次加密一个明文分组：DES，IDEA，AES；序列密码：一次加密一位或者一个字符：RC4，SEAL

加密方法：代换法：单表代换密码，多表代换；置换法

安全性：攻击密码体制：穷举攻击法（对于密钥长度128位以上的密钥空间不再有效），密码分析学；典型的密码攻击：唯密文攻击，已知明文攻击，选择明文攻击（加密算法一般要能够抵抗选择明文攻击才认为是最安全的，分析方法：差分分析和线性分析），选择密文攻击

基本运算：异或，加，减，乘，查表

设计思想：扩散，混淆；乘积迭代：乘积密码，常见的乘积密码是迭代密码，DES，AES

数据加密标准DES：基于Feistel网络，3DES，有效密钥位数：56

国际数据加密算法IDEA：利用128位密钥对64位的明文分组，经连续加密产生64位的密文分组

高级加密标准AES：SP网络

分组密码：电子密码本模式ECB，密码分组链模式CBC，密码反馈模式CFB，输出反馈模式OFB，计数模式CTF

非对称密码：

基于难解问题设计密码是非对称密码设计的主要思想，NP问题NPC问题

克服密钥分配上的困难、易于实现数字签名、安全性高，降低了加解密效率

RSA：基于大合数因式分解难得问题设计；既可用于加密，又可用于数字签名；目前应用最广泛

ElGamal：基于离散对数求解困难的问题设计

椭圆曲线密码ECC：基于椭圆曲线离散对数求解困难的问题设计

通常采用对称密码体制实现数字加密，公钥密码体制实现密钥管理的混合加密机制

2.1.2哈希函数

单向密码体制，从一个明文到密文的不可逆的映射，只有只有加密过程，没有解密过程

可将任意长度的输入经过变换后得到固定长度的输出（原消息的散列或消息摘要）

应用：消息认证（基于哈希函数的消息认证码），数字签名（对消息摘要进行数字签名口令的安全性，数据完整性）

消息摘要算法MD5：128位

安全散列算法SHA：160位

SHA比MD5更安全，SHA比MD5速度慢了25%，SHA操作步骤较MD5更简单

2.1.3数字签名

通过密码技术实现，其安全性取决于密码体制的安全程度

普通数字签名：RSA，ElGamal，椭圆曲线数字签名算法等

特殊数字签名：盲签名，代理签名，群签名，不可否认签名，具有消息恢复功能得签名等

常对信息的摘要进行签名

美国数字签名标准DSS：签名算法DSA

应用：鉴权：重放攻击；完整性：同形攻击；不可抵赖

2.1.4密钥管理

包括密钥的生成，存储，分配，启用与停用，控制，更新，撤销与销毁等诸多方面密钥的分配与存储最为关键

借助加密，认证，签名，协议和公证等技术

密钥的秘密性，完整性，真实性

密钥产生：噪声源技术（基于力学，基于电子学，基于混沌理论的密钥产生技术）；主密钥，加密密钥，会话密钥的产生

密钥分配：

分配手段：人工分发（物理分发），密钥交换协议动态分发

密钥属性：秘密密钥分配，公开密钥分配

密钥分配技术：基于对称密码体制的密钥分配，基于公钥密码体制的密钥分配

密钥信息交换方式：人工密钥分发，给予中心密钥分发，基于认证密钥分发

人工密钥分发：主密钥

基于中心的密钥分发：利用公开密钥密码体制分配传统密码的密钥；可信第三方：密钥分发中心KDC，密钥转换中心KTC；拉模型，推模型；密钥交换协议：Diffie-Hellman算法

公开密钥分配：公共发布；公用目录；公约授权：公钥管理机构；公钥证书：证书管理机构CA，目前最流行

密钥存储：

公钥存储

私钥存储：用口令加密后存放在本地软盘或硬盘；存放在网络目录服务器中：私钥存储服务PKSS；智能卡存储；USB Key存储

### 2.2认证技术 ###

2.2.1消息认证

产生认证码的函数：

消息加密：整个消息的密文作为认证码

消息认证码（MAC）：利用密钥对消息产生定长的值，并以该值作为认证码；基于DES的MAC算法

哈希函数：将任意长的消息映射为定长的哈希值，并以该哈希值作为认证码

2.2.2身份认证

身份认证系统：认证服务器、认证系统客户端、认证设备

系统主要通过身份认证协议（单向认证协议和双向认证协议）和认证系统软硬件进行实现

认证手段：静态密码方式

动态口令认证：动态短信密码，动态口令牌（卡）

USB Key认证：挑战/应答模式，基于PKI体系的认证模式

生物识别技术

认证协议：基于口令的认证协议，基于对称密码的认证，基于公钥密码的认证

### 2.3访问控制技术 ###

访问控制模型：

自主访问控制（DAC）：访问矩阵模型：访问能力表（CL），访问控制表（ACL）；商业环境中，大多数系统，如主流操作系统、防火墙等

强制访问控制（DAC）：安全标签：具有偏序关系的等级分类标签，非等级分类标签，比较主体和客体的安全标签等级,，访问控制安全标签列表（ACSLL）；访问级别：最高秘密级，秘密级，机密级，无级别及；Bell-Lapadula模型：只允许向下读、向上写，保证数据的保密性，Biba不允许向下读、向上写，保护数据完整性；Chinese Wall模型：多边安全系统中的模型，包括了MAC和DAC的属性

基于角色的访问控制（RBAC）：要素：用户，角色，许可；面向企业，大型数据库的权限管理；用户不能自主的将访问权限授权给别的用户；MAC基于多级安全需求，RBAC不是

2.3.2访问控制技术  
集中访问控制：

认证、授权、审计管理（AAA管理）

拨号用户远程认证服务RADIUS：提供集中式AAA管理；客户端/服务器协议，运行在应用层，使用UDP协议；组合认证与授权服务

终端访问控制器访问控制系统TACACS：TACACS+使用TCP；更复杂的认证步骤；分隔认证、授权、审计

Diameter：协议的实现和RADIUS类似，采用TCP协议，支持分布式审计

非集中式访问控制：

单点登录SSO

Kerberos：使用最广泛的身份验证协议；引入可信的第三方。Kerberos验证服务器；能提供网络信息的保密性和完整性保障；支持双向的身份认证

SESAME：认证过程类似于Kerberos

### 2.4审计和监控技术 ###

2.4.1审计和监控基础

审计系统：日志记录器：收集数据，系统调用Syslog收集数据；分析器：分析数据；通告器：通报结果

2.4.2审计和监控技术

恶意行为监控：主机监测：可监测的地址空间规模有限；网络监测：蜜罐技术（软件honeyd），蜜网（诱捕网络）：高交互蜜罐、低交互蜜罐、主机行为监视模块

网络信息内容审计：方法：网络舆情分析：舆情分析引擎、自动信息采集功能、数据清理功能；技术：网络信息内容获取技术（嗅探技术）、网络内容还原分析技术；模型：流水线模型、分段模型；不良信息内容监控方法：网址、网页内容、图片过滤技术

## 第三章系统安全 ##

### 3.1操作系统安全 ###

3.1.1操作系统安全基础

基本安全实现机制：

CPU模式和保护环：内核模式、用户模式

进程隔离：使用虚拟地址空间达到该目的

3.1.2操作系统安全实践

UNIX/Linux系统：

文件系统安全：所有的事物都是文件：正规文件、目录、特殊文件（/dev下设备文件）、链接、Sockets；文件系统安全基于i节点中的三层关键信息：UID、GID、模式；模式位，权限位的八进制数表示；设置SUID（使普通用户完成一些普通用户权限不能完成的事而设置）和SGID，体现在所有者或同组用户权限的可执行位上；chmod改变文件权限设置、chown、chgrp；unmask创建文件默认权限

账号安全管理：/etc/passwd、/etc/shadow；伪用户账号；root账户管理：超级用户账户可不止一个，将UID和GID设置为0即可，使用可插入认证模块PAM进行认证登录

日志与审计：日志系统：记录连接时间的日志：/var/log/wtmp、/var/run/utmp，进程统计：pacct与acct，错误日志：/var/log/messages

Windows系统：

Windows安全子系统：winlogon和图形化标识和验证GINA、本地安全认证、安全支持提供者的接口（SSPI）、认证包、安全支持提供者、网络登录服务、安全账号管理器（SAM）

登录验证：Kerberos

用户权力与权限：用户权限：目录权限、文件权限；共享权限

日志与审计：系统日志、应用程序日志、安全日志

安全策略：密码策略；锁定策略；审核策略；用户全力指派；安全选项；装载自定义安全模板；windows加密文件系统

可信计算技术：

可信计算平台联盟（TCPA），可信计算组织（TCG）

可信PC，可新平台模块（TPM），可信软件栈（TSS），可信网络连接（TNC）

可信平台模块（TPM）：具有密码运算能力和存储能力，是一个含有密码运算部件和存储部件的小型片上系统；物理可信、管理可信的；

可信密码模块（TCM）：中国

可信计算平台：三个层次：可信平台模块（信任根）、可信软件栈、可信平台应用软件；我国：可信密码模块、可信密码模块服务模块、安全应用

可信网络连接（TNC）：开放性、安全性

### 3.2数据库安全 ###

3.2.1数据库安全基础

统计数据库安全

现代数据库运行环境：多层体系结构，中间层完成对数据库访问的封装

数据库安全功能：

用户标识和鉴定

存取控制：自主存取控制：用户权限有两个要素组成：数据库对象和操作类型，GRANT语句向用户授予权限，REVOKE语句收回授予的权限，角色：权限的集合；强制存取控制：主体和客体，敏感度标记：许可证级别（主体）、密级（客体），首先要实现自主存取控制

审计：用户级审计、系统审计；AUDIT设置审计功能，NOAUDIT取消审计功能

数据加密

视图与数据保密性：将视图机制与授权机制结合起来使用，首先用视图机制屏蔽一部分保密数据，然后在视图上再进一步定义存取权限

数据完整性：

语义完整性，参照完整性，实体完整性

约束：优先于使用触发器、规则和默认值

默认值：CREATEDEFAULT

规则：CREATE RULE，USE EXEC sp\_bindefault，DROP RULE

事务处理：BEGAIN

TRANSACTION，COMMIT，ROLLBACK；原子性、一致性、隔离性、持久性；自动处理事务、隐式事物、用户定义事物、分布式事务

3.2.2数据库安全实践

数据库十大威胁：

过度的特权滥用；合法的特权滥用；特权提升；平台漏洞；SQL注入；不健全的审计；拒绝服务；数据库通信协议漏洞；不健全的认证；备份数据库暴露

安全防护体系：事前检查，事中监控，事后审计

数据库安全特性检查：

端口扫描（服务发现）：对数据库开放端口进行扫描；渗透测试：黑盒式的安全监测，攻击性测试，对象是数据库的身份验证系统和服务监听系统，监听器安全特性分析、用户名和密码渗透、漏洞分析；内部安全监测：安全员数据、内部审计、安全配置检查、漏洞检测、版本补丁检测

数据库运行安全监控：网络嗅探器、数据库分析器、SQL分析器、安全审计

## 第四章网络安全 ##

### 4.1网络安全基础 ###

4.1.1TCP/IP体系架构

4.1.2网络协议

数据链路层协议：地址解析协议（ARP），逆向地址解析协议（RARP）

网络层协议：IP协议， Internet控制报文协议（ICMP）：发送出错和控制消息，提供了一个错误侦测与回馈机制

传输层协议：TCP协议，UDP协议

应用层协议：HTTP，SMTP和POP3，DNS

### 4.2网络安全威胁技术 ###

4.2.1扫描技术

互联网信息搜集

IP地址扫描：操作系统命令ping（网络故障诊断命令）、tracer，自动化的扫描工具Namp 、Superscan

端口扫描：Namp软件；TCP全连接扫描，TCP SYN扫描，TCP FIN扫描，UDP的ICMP端口不可达扫描，ICMP扫描；乱序扫描和慢速扫描

漏洞扫描：网络漏洞扫描：模拟攻击技术；主机漏洞扫描：漏洞特征匹配技术、补丁安装信息的检测

弱口令扫描：基于字典攻击的弱口令扫描技术、基因穷举攻击的弱口令扫描技术

综合漏洞扫描：Nessus

扫描防范技术：防火墙，用安全监测工具对扫描行为进行监测

4.2.2网络嗅探

非主动类信息获取攻击技术

防范：实现对网络传输数据的加密，VPN、SSL、SSH等加密和传输的技术和设备，利用网络设备的物理或者逻辑隔离的手段

4.2.3网络协议欺骗

IP地址欺骗：和其他攻击技术相结合

ARP欺骗：中间人欺骗（局域网环境内实施），伪装成网关欺骗（主要针对局域网内部主机与外网通信的情况）；防范：MAC地址与IP地址双向静态绑定

TCP欺骗：将外部计算机伪装成合法计算机；非盲攻击：网络嗅探，已知目标主机的初始序列号，盲攻击：攻击者和目标主机不在同一个网络上

DNS欺骗：基于DNS服务器的欺骗，基于用户计算机的DNS欺骗

4.2.4诱骗式攻击

网站挂马：

攻击者成功入侵网站服务器，具有了网站中网页的修改权限

技术：框架挂马：直接加在框架代码和框架嵌套挂马；JS脚本挂马；b ody挂马；伪装欺骗挂马

防范：Web服务器，用户计算机

诱骗下载：

主要方式：多媒体类文件下载，网络游戏软件和插件下载，热门应用软件下载，电子书爱好者，P2P种子文件

文件捆绑技术：多文件捆绑方式，资源融合捆绑方式，漏洞利用捆绑方式

钓鱼网站

社会工程

4.2.5软件漏洞攻击利用技术

软件漏洞：操作系统服务程序漏洞，文件处理软件漏洞，浏览器软件漏洞，其他软件漏洞

软件漏洞攻击利用技术：直接网络攻击；诱骗式网络攻击：基于网站的诱骗式网络攻击，网络传播本地诱骗点击攻击

4.2.6拒绝服务攻击

实现方式：利用目标主机自身存在的拒绝服务性漏洞进行攻击，耗尽目标主机CPU和内存等计算机资源的攻击，耗尽目标主机网络带宽的攻击

分类：IP层协议的攻击：发送ICMP协议的请求数据包，Smurf攻击；TCP协议的攻击：利用TCP本身的缺陷实施的攻击，包括SYN-Flood和ACK-Flood攻击，使用伪造的源IP地址，利用TCP全连接发起的攻击，僵尸主机；UDP协议的攻击；应用层协议的攻击：脚本洪水攻击

分布式拒绝服务（DDos）：攻击者，主控端，代理端，僵尸网络

防范：支持DDos防御功能的防火墙

4.2.7Web脚本攻击

针对Web服务器端应用系统的攻击技术：

注入攻击：SQL注入，代码注入，命令注入，LDAP注入，XPath注入；防范：遵循数据与代码分离的原则

访问控制攻击，非授权的认证和会话攻击

针对Web客户端的攻击技术：

跨站脚本攻击（XSS）：反射型XSS（非持久性的跨站脚本攻击），存储型XSS（持久型的跨站脚本攻击），DOM-based XSS（基于文档对象模型的跨站脚本攻击）：从效果上来说属于反射型XSS

跨站点请求伪造攻击（CSRF）：伪造客户顿请求；防范：使用验证码，在用户会话验证信息中添加随机数

点击劫持攻击

4.2.8远程控制

木马：

具有远程控制、信息偷取、隐藏传输功能的恶意程序；通过诱骗的方式安装；一般没有病毒的的感染功能；特点：伪装性，隐藏性，窃密性，破坏性；

连接方式：C/S结构；最初的网络连接方法；反弹端口技术：服务器端主动的发起连接请求，客户端被动的等待连接；木马隐藏技术：线程插入技术、DLL动态劫持技术、RootKit（内核隐藏技术）

Wwbshell：用Web脚本写的木马后门，用于远程控制网站服务器；以ASP、PHP、ASPX、JSP等网页文件的形式存在；被网站管理员可利用进行网站管理、服务器管理等

### 4.3网络安全防护技术 ###

4.3.1防火墙

一般部署在网络边界，也可部署在内网中某些需要重点防护的部门子网的网络边界

功能：在内外网之间进行数据过滤；对网络传输和访问的数据进行记录和审计；防范内外网之间的异常网络行为；通过配置NAT提高网络地址转换功能

分类：硬件防火墙：X86架构的防火墙（中小企业），ASIC、NP架构的防火墙（电信运营商）；软件防火墙（个人计算机防护）

防火墙技术：

包过滤技术：默认规则；主要在网络层和传输层进行过滤拦截，不能阻止应用层攻击，也不支持对用户的连接认证，不能防止IP地址欺骗

状态检测技术（动态包过滤技术）：增加了对数据包连接状态变化的额外考虑，有效阻止Dos攻击

地址翻译技术：静态NAT，NAT池，端口地址转换PAT

应用级网关（代理服务器）：在应用层对数据进行安全规则过滤

体系结构：

双重宿主主机体系结构：至少有两个网络接口，在双重宿主主机上运行多种代理服务器，有强大的身份认证系统

屏蔽主机体系结构：防火墙由一台包过滤路由器和一台堡垒主机组成，通过包过滤实现了网络层传输安全的同时，还通过代理服务器实现了应用层的安全

屏蔽子网体系结构：由两个包过滤路由器和一台堡垒主机组成；最安全，支持网络层、传输层、应用层的防护功能；添加了额外的保护体系，周边网络（非军事区，DMZ）通常放置堡垒主机和对外开放的应用服务器；堡垒主机运行应用级网关

防火墙的安全策略

4.3.2入侵检测系统和入侵防御系统

入侵检测系统（IDS）：

控制台：在内网中，探测器：连接交换机的网络端口

分类：根据数据采集方式：基于网络的入侵检测系统（NIDS）、基于主机的入侵检测系统（HIDS）；根据检测原理：误用检测型入侵检测系统、异常检测型入侵检测系统

技术：误用检测技术：专家系统、模型推理、状态转换分析；异常检测技术：统计分析、神经网络；其他入侵检测技术：模式匹配、文件完整性检验、数据挖掘、计算机免疫方法

体系结构：集中式结构：单一的中央控制台；分布式结构：建立树形分层结构

部署：一个控制台可以管理多个探测器，控制台可以分层部署，主动控制台和被动控制台

入侵防御系统（IPS）：

部署：网络设备：网络中需要保护的关键子网或者设备的网络入口处，控制台

不足：可能造成单点故障，可能造成性能瓶颈，漏报和无保的影响

4.3.3PKI

公共密钥基础设施是创建、管理、存储、分布和作废数字证书的一场系列软件、硬件、人员、策略和过程的集合

组成：数字证书是PKI的核心；安全策略；证书认证机构（CA）；证书注册机构；证书分发机构；基于PKI的应用接口

数字证书

信任模式：单证书认证机构信任模式，层次信任模型，桥证书认证机构信任模型

4.3.4VPN

利用开放的物理链路和专用的安全协议实现逻辑上网络安全连接的技术

网络连接类型：远程访问型VPN（Client-LAN）客户机和服务器都安装VPN软件；网络到网关类型的VPN（LAN-LAN）客户端和服务器各自在自己的网络边界部署硬件VPN网关设备

VPN协议分类：网络隧道技术

第二层隧道协：封装数据链路层数据包；介于二、三层之间的隧道协议；第三层隧道协议IPSec，通用路由封装协议（GRE）；传输层的SSL VPN协议：SSL协议工作在TCP/IP和应用层之间

4.3.5网络安全协议

Internet安全协议（IPSec）：引入加密算法、数据完整性验证和身份认证；网络安全协议：认证协议头（AH）、安全载荷封装（ESP，传输模式、隧道模式），密钥协商协议：互联网密钥交换协议（IKE）

传输层安全协议（SSL）：解决点到点数据安全传输和传输双方身份认证的网络安全传输协议；记录协议和握手协议

应用层安全协议：

Kerberos协议；SSH协议：加密所有传输的数据，能防止DNS欺骗和IP欺骗；安全超文本传输协议（SHTTP）；安全多用途网际邮件扩充协议（S/MIME）；安全电子交易协议（SET）

# 信息安全技术补充 #

## 密码学 ##

*  1949年Shannon发表了注明的《保密系统的通信理论》把密码学至于坚实的数学基础之上，标志着密码学形成一门学科。
 *  信息技术的产生与发展大致经历了三个阶段：电讯技术的发明、计算机技术的使用、互联网的使用。
 *  信息技术带来的负面影响：1.信息泛滥 2.信息污染 3.信息犯罪
 *  传统密码和公钥密码都能提供保密性和消息认证。
 *  已知最早的代换密码是 Caesar密码。
 *  采用Feistel网络的加密算法：DES，3DES，RC5，
 *  密钥分配可以分成三类：人工密钥分发、基于中心的密钥分发、基于认证的密钥分发
 *  基于中心的密钥分发有两种模型：拉模型和推模型

## 信息系统安全理论 ##

*  根据具体需求和资源限制，可以将网络信息内容审计系统分为流水线模型和分段模型两种过程模型。
 *  全国信息技术安全标准化技术委员会【CITS】
 *  中国国家信息安全漏洞库（隶属于中国信息安全测评中心【CNITSEC】）英文缩写：CNNVD
 *  信息系统安全保障涵盖以下三个方面：生命周期、保障要素和安全特征。
 *  《信息系统安全保护等级划分准则》中踢出了定级的四个要素：1.信息系统所属类型 2.业务数据类型 3.信息系统服务范围 4.业务自动化处理程度
 *  信息安全管理体系（ISMS）是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立基于系统、全面和科学【风险评估】
 *  信息安全管理体系审核包含两方面审核，即【技术】和【管理】
 *  信息技术安全评价通用标准（CC），是由六个国家联合提出，并逐渐形成国际标准ISO 15408
 *  与我国标准GB/T18336（《信息技术安全性评估准则》）对应的国际标准为ISO 15408
 *  ISO 13335标准首次给出了关于IT安全六个方面的定义：机密性、完整性、可用性、审计性、认证性、可靠性。

## 操作系统安全 ##

*  Windows有三种类型的事件日志：系统日志、应用程序日志、安全日志
 *  Windows操作系统核心组件中，kernel32.dll属于windows核心系统DLL组件；Ntdll.dll组件属于windows内部支持函数组件；win32k.sys属于windows子系统的内核模式部分组件；HAL.dll属于windows硬件抽象层组件。
 *  Windows安全子系统包括winlogon、图形化表示和验证GINA等，winlogon调用GINA DLL并监视安全认证序列，所调用的GINA DLL提供一个交互式的界面为用户登录提供认证请求。
 *  整数溢出的三个原因：【符号问题】、【运算溢出】、【存储溢出】
 *  攻击者利用栈溢出发起攻击时，向存在漏洞的软件程序输入的数据包括：【随机填充数据】、【NOP填充字段】、【新的返回地址】
 *  【GS Stack protection】技术是一项缓冲区溢出的检测防护技术，使用该技术的编译器针对函数调用和返回时添加保护和检查功能的代码，在函数被调用时，在缓冲区和函数返回地址增加一个32位的随机数security\_cookie，在函数返回时，调用检测函数检查security\_cookie的值是否有变化。  
    由大量NOP控制领ox90填充组成的指令序列是滑板指令。

## 访问控制 ##

*  Chinese wall 安全策略的基础是：客户访问的信息不会与目前他们可支配的信息产生冲突
 *  Bell-Lapudula模型也称为BLP模型，它利用“不上读/不下写”的原则来保证数据的保密性；
 *  Biba模型利用“不下读/不上写”的原则来保证数据的完整性。  
    事故响应阶段：计划、反应、恢复
 *  在访问控制管理时，由访问控制依赖的四个原则转换成的三个职责包括：用户账户管理、操作跟踪、访问权利和许可权的管理。
 *  访问控制类型：【预防性的访问控制】、【探查性的访问控制】、【纠正性的访问控制】
 *  关于DMZ（隔离区）：  
    DMZ区域的计算机不能访问内网的计算机  
    外网的计算机可以访问DMZ区域的计算机  
    内网的计算机可以访问DMZ区域的计算机  
    DMZ区域的计算机可以访问外网的计算机
 *  防火墙体系结构：【屏蔽路由器】、【双重宿主主机体系结构】、【屏蔽主机体系结构】、【屏蔽子网体系结构】
 *  入侵检测系统可以实现事中防护，是指入侵攻击发生时，入侵检测系统可以通过与防火墙联动从而实现动态防护。
 *  IDS的异常检测技术主要通过 统计分析方法和神经网络方法
 *  根据IDS检测入侵行为的方式和原理的不同，可以分为基于统计分析原理的异常检测和基于模式匹配原理的误用检测
 *  入侵检测系统（IDS）只能对网络行为进行检测，入侵防御系统（IPS）同时具有在应用层进行防护功能和入侵检测功能。

## 软件工程和软件安全 ##

*  白盒测试访问针对web系统的源代码进行全面的代码安全性分析和审查的方法，以全面检测分析web应用程序的内部运行机制中存在的安全性问题。
 *  软件安全开发技术，主要包括建立安全威胁模型、安全设计、安全编码和安全测试等方面
 *  微软SDL模型的中文全称为软件 安全开发周期 模型。

## 数据库： ##

对于数据库的安全防护分为三个阶段：1.事前检查 2.式中监控 3.事后审计

## 其他 ##

*  SMTP是简单邮件传输协议，主要作用是将电子邮件发送到邮箱，在传输层基于TCP进行传输，在25端口提供网络服务。
 *  TCG（trusted computing base）定义可信计算平台的信任根包括三个根：1.可信测量根 2.可信存储根 3.可信报告根

*  加密算法分为**对称**和**非对称**两种，对称加密算法中加密方与解密方有相同的密钥，在算法过程中，加密与解密共用一个相同密钥；而非对称加密算法有两个密钥：一个可公开的公钥和一个需要妥善保管的密钥，通信过程中，发送方使用接收方发布的公钥进行加密，加密后只有接收方的密钥才可以进行解密。
 *  **Hash算法**是保护数据完整性的最好方法，Hash算法对输入消息进行相应处理并输出一段代码，称为该信息的消息摘要。
 *  Hash函数具有单向性，所以在发送方发送信息之前会附上一段消息摘要，用于保护其完整性。
 *  **数字签名技术**：通过数字签名，使其信息具有不可替代性，而信息的不可替代性可以导致两种结果：
    
     *  在认证过程中，双方通信的数据可以不被恶意的第三方肆意更改
     *  在认证过程中，信息具有高认证性，并且不会被发送方否认
 *  信息资产大致分为物理资产、知识资产、时间资产和名誉资产四类