基本情况

题型：
- 选择（20*1）
- 判断（10*1）
- 名词解释
- 简答题
- 设计题
- 综合分析题
关注小测验里的选择题
五次作业题会考一个大题
关注ppt里面红色的部分！

CH1-网络空间安全概述

1.1.信息安全的基本目标

==CIA==

机密性（Confidentiality）
完整性（Integrity）
可用性（Availability）

1.2.什么是信息安全

信息本身的机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）的保持（一分），即防止未经授权使用信息（一分）、防止对信息的非法修改和破坏（一分）、确保及时可靠地使用信息（一分）。

机密性：确保信息没有非授权的泄漏，不被非授权的个人、组织和计算机程序使用
完整性：确保信息没有遭到篡改和破坏
可用性：确保拥有授权的用户或程序可以及时、正常使用信息

1.3.网络安全的基本定义+组成

1.3.1.网络安全的四个要素（网络空间的组成）

1.3.1.1国家网络安全的四个要素

设施、用户、操作、数据

1.3.1.2.网络空间的组成

网络空间四要素：网络空间载体（设施）；网络空间资源（数据）；网络活动主体（用户）；网络活动形式（操作）

网络空间载体：设施，信息通信技术系统的集合
网络操作对象：数据，表达人类所能理解的意图的信号状态
网络活动主体：用户，网络活动的主体要素，属于人的代理
网络活动形式：操作，对数据的加工、存储、传输、展示等服务形式

1.3.2.==网络空间的一般性定义==

一般性定义是根据《国家网络空间安全战略》给出的定义

网络空间是一种人造的电磁空间，其以互联网、各种通信系统与电信网、各种传播系统与广电网、各种计算机系统、各类关键工业设施中的嵌入式处理器和控制器等信息通信技术基础设施为载体，用户通过在其上对数据进行创造、存储、改变、传输、使用、展示等操作，以实现特定的信息通信技术活动。

1.4.网络空间安全的四层次模型

任何信息系统都会涉及四个层面：电磁设备、电子信息系统、运行数据、系统应用

从上往下：

应用层的安全：应对在信息应用的过程中所形成的安全问题，包括内容安全、应用安全等
数据层的安全：应对在网络空间中处理数据的同时所带来的安全问题，包括数据安全、身份安全、隐私保护等。
系统层的安全：应对在网络空间中信息系统自身所面对的安全问题，包括网络安全、软件安全等。
设备层的安全：应对在网络空间中信息系统设备所面对的安全问题，包括物理安全、环境安全、设备安全等。

CH2-网络空间安全风险及风险管理

2.1.什么是网络空间安全风险管理（定义）

了解风险+控制风险=管理风险

风险管理是出现安全问题的原因。

定义一：（GB/Z 24364《信息安全风险管理指南》）信息安全风险管理是识别、控制、消除或最小化可能影响系统资源的不确定因素的过程。

定义二：在组织机构内部识别、优化、管理风险，使风险降低到可接受水平的过程。

2.2.风险评估工具

由风险评估工具得到风险评估的结果

风险评估与管理工具（标准、知识、模型）
- 基于标准的工具，如基于NIST SP 800-30或ISO 27005开发的工具
- 基于知识的工具，综合各种风险分析方法，形成知识库，以此为基础完成综合评估
- 基于模型的工具，对典型系统的资产、威胁、脆弱性建立量化或半量化的模型
系统基础平台风险评估工具
- 脆弱性扫描工具（漏扫）：基于网络的扫描器、基于主机的扫描器、分布式网络扫描器、数据库脆弱性扫描器
- 渗透性测试工具：黑客工具、脚本文件
风险评估辅助工具
- 检查列表、入侵检测系统（IDS）、安全审计工具、拓扑发现工具和资产信息收集系统，用于评估过程参考的评估指标库、知识库、漏洞库、算法库和模型库

2.3.网络空间安全风险术语

资产（Asset）
威胁源（Threat Agent）
威胁（ Threat ）
脆弱性（Vunerability）
控制措施（Countermeasure,safeguard,control）
可能性（Likelihood,Probability）
影响（ Impact,loss ）
风险（ Risk）
残余风险（Residental Risk）

资产：有价值的

脆弱性：与资产有关的弱点或安全隐患，是造成风险的内因（eg.代码缺陷）。脆弱性本身并不对资产构成危害，但是满足一定条件时，脆弱性会被威胁源利用恰当的威胁方式对资产造成不良后果（形成风险？

控制措施：防范威胁，降低风险的措施。eg.部署防火墙

可能性：威胁源利用脆弱性造成不良后果的可能性

影响：威胁源利用脆弱性造成不良后果的程度大小

风险：威胁源可能采用恰当的威胁方式利用脆弱性造成不良后果

残余风险：采取了安全措施后仍然可能存在的风险（综合考虑成本与效益）

2.3.1.资产

（什么是资产？列举一些事物，来判断什么是资产）

定义：资产是任何对组织有价值的东西，是要保护的对象。

资产以多种形式存在（多种分类方法）

物理的（如计算设备、网络设备和存储介质等）和逻辑的（如体系结构、通信协议、计算程序和数据文件等）；
硬件的（如计算机主板、机箱、显示器、键盘和鼠标等）和软件的（如操作系统软件、数据库管理软件、工具软件和应用软件等）；
有形的（如机房、设备和人员等）和无形的（如品牌、信心和名誉等）；
静态的（如设施和规程等）和动态的（如人员和过程等）；
技术的（如计算机硬件、软件和固件等）和管理的（如业务目标、战略、策略、规程、过程、计划和人员等）等

2.3.2.威胁

概念：可能导致组织机构出现网络安全事件和信息资源损失的活动，威胁是一个动作，威胁源是威胁动作的发起者

内部人员威胁
黑客渗透
木马后门
病毒和蠕虫
流氓软件
拒绝服务
社会工程
地震、雷雨、失火
供电中断
网络通信故障
硬件故障
系统漏洞

2.3.3.脆弱性（漏洞-vulnerability）

概念：与信息资产有关的弱点或安全隐患。

造成风险的内因，脆弱性是固有的，本身一定会存在漏洞，但是没被利用则不会形成安全事件。

脆弱性本身并不对资产构成危害，但是在一定条件得满足时，脆弱性会被威胁源利用恰当的威胁方式对信息资产造成危害。

脆弱性举例

系统程序代码缺陷
系统设备安全配置错误
系统操作流程有缺陷
维护人员安全意识不足

2.3.4.控制措施

根据安全需求部署，用来防范威胁，降低风险的措施。

举例

部署防火墙、入侵检测、审计系统
测试环节
操作审批环节
应急体系
终端U盘管理制度

2.3.5.==风险==

指威胁源采用恰当的威胁方式利用脆弱性造成不良后果。

如：网站存在SQL注入漏洞，普通攻击者利用自动化攻击工具很容易控制网站，修改网站内容，从而损害国家政府部门声誉。

概念：

GB/T 20984的定义：网络空间安全风险是人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
网络空间安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性。
网络空间安全风险是指信息资产的机密性、完整性和可用性遭到破坏的可能性。
网络空间安全风险只考虑那些对组织有负面影响的事件。（会考判断题）

这些定义强调了网络空间安全风险的多方面因素，包括威胁的来源、脆弱性的利用、资产的损失或损害，以及对组织的具体影响。

2.3.6.残余风险

概念：

指采取了安全措施后，信息系统仍然可能存在的风险。
有些残余风险是在综合考虑了安全成本与效益后不去控制的风险（风险管理是要付出代价的）
残余风险应受到密切监视，它可能会在将来诱发新的安全事件（此一时彼一时）

举例

风险列表中有10类风险，根据风险成本效益分析，只有前8项需要控制，则另2项为残余风险，一段时间内系统处于风险可接受水平。

2.4.常用的四类风险处置方法

减低风险
转移风险
规避风险
接受风险

2.5.风险分析

2.6.国产化替代

国产化替代究竟替什么？

答案是替代被垄断的国外产品。

在第十四届中国（南京）国际软件产品和信息服务交易博览会上，倪光南院士提到，目前信息技术国产化替代在不同领域正在加速推进。这包括：

国产桌面计算机技术体系对Wintel体系的替代；
高端服务器和数据库对“IOE”的替代。

这里的“Wintel体系”指的是微软的Windows操作系统和英特尔的处理器技术体系，

而“IOE”通常指的是IBM的硬件（大型计算机）、甲骨文（Oracle）的数据库软件以及EMC的存储设备。

国产化替代的目的是减少对这些国外产品的依赖，推动国内信息技术产业的发展。

**为什么要国产化替代：**自主可控，规避依赖导致的风险。

CH3-信息与网络空间安全保障

3.1.信息系统安全保障

信息系统安全保障是在信息系统的整个生命周期中，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的机密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。

3.2.安全模型的概念

3.2.1.什么是网络空间安全模型

通过建模的思想来解决网络安全管理问题，有效抵御外部攻击，保障网络安全。
安全模型用于精确和形式地描述信息系统的安全特征，解释系统安全相关行为。

3.2.2.为什么需要安全模型

能准确地描述安全的重要方面与系统行为的关系。（模型的处理方式，更能抓住重点）
能提高对成功实现关键安全需求的理解层次。（层次化、分段化的模型利于问题的处理）
从中开发出一套安全性评估准则，和关键的描述变量。（标准化、规则化处理）

3.3.PDR演变

3.3.1.PDR

出发点：任何防护措施都是基于时间的，是可以被攻破的

PDR：protect+detect+response，强调落实反应

3.3.2.PDRR

PDRR：protect+detect+react+restore，强调自动故障恢复能力

保护（Protect）
作为基础，将保护视为活动过程。
检测（Detect）
用检测手段发现安全漏洞。
反应（React）
采取应急响应措施对抗入侵。
恢复（Restore）
系统被入侵后，采取措施将其恢复到正常状态。

3.3.3.分布式动态主动模型PPDR

PPDR：policy+protect+detect+response，强调控制和对抗（系统安全的动态性），以安全检测、漏洞监测和自适应填充“安全间隙”为循环，特别考虑人为的管理因素。

在整体的安全策略的控制和指导下，综合运用防护工具（如防火墙、身份鉴别、加密等）的同时，利用检测工具（如漏洞评估、入侵检测系统）了解和评估系统的安全状态，通过适当的响应将系统调整到一个比较安全的状态。保护、检测和响应组成了一个完整的、动态的安全循环。

policy：策略，模型的核心；所有的防护、检测、响应都是依据安全策略实施的；策略体系的建立包括安全策略的制定、评估与执行等。策略包括访问控制策略、加密通信策略、身份认证策略、备份恢复策略……
protection：防护，通过传统的静态安全技术和方法提高网络的防护能力，主要包括：访问控制技术、信息加密技术、身份鉴别技术……
detect：检测，利用检测工具，监视、分析、审计网络活动，了解判断网络系统的安全状态；使安全防护从被动防护演进到主动防御，是整个模型动态性的体现；如实时监控、报警……
response：反应，在检测到安全漏洞和安全事件时，通过及时的响应措施将网络系统的安全性调整到风险最低的状态。评估系统受到的危害与损失，恢复系统功能和数据，启动备份系统等。主要方法包括：关闭服务、跟踪、反击……

（关注时间关系）

数学法则：Pt > Dt + Rt

Pt是防护时间（有效防御攻击的时间）
Dt是检测时间（发起攻击到检测到的时间）
Rt是反应时间（检测出攻击到处理完成时间）
Et是暴露时间
- 如果Pt＞Dt＋Rt，那么系统是安全的。
- 如果Pt＜Dt＋Rt，那么Et＝(Dt＋Rt)－Pt。

3.4.IATF-深度防御保障模型

代表理论：深度防御

三个核心要素。
1）人(People)
信息保障体系的核心，是第一位的要素，同时也是最脆弱的。
2）技术（Technology）
实现信息保障的重要手段。
动态的技术体系：防护、检测、响应、恢复
3）操作(Operation)
是将各方面技术紧密结合的主动过程，构成安全保障的主动防御体系。

四个信息安全保障领域（三保护一支撑）
1）本地计算环境
2）区域边界
3）网络和基础设施
4）支撑性基础设施

信息保障技术框架（Information Assurance Technical Framework，IATF）

NSA制定的，为保护美国政府和工业界的信息与信息技术设施提供技术指南。

IATF的代表理论为“深度防御（Defense-in-Depth）”。

在关于实现信息保障目标的过程和方法上，IATF论述了**系统工程、系统采购、风险管理、鉴别和鉴定以及生命周期支持等过程**，指出了一条较为清晰的建设信息保障体系的路子。

3.5.何谓“深度防御”

IATF强调**人、技术、操作**这三个核心要素，从多种不同的角度对信息系统进行防护。
IATF关注四个信息安全保障领域（三保护一支撑）
- 本地计算环境
- 区域边界
- 网络和基础设施
- 支撑性基础设施
  - 保护了本地计算环境、区域边界、网络和基础设施，来构建一个支撑环境以实现三保护

在此基础上，对信息信息系统就可以做到多层防护，实现组织的任务/业务运作。这样的防护被称为 “深度防护战略（Defense-in-Depth Strategy）”。

3.6.IATF的三要素

人（People）：
- 信息保障体系的核心，是第一位的要素，同时也是最脆弱的。
- 基于这样的认识，安全管理在安全保障体系中愈显重要，包括：
  - 意识培训、组织管理、技术管理、操作管理
技术（Technology）：
- 技术是实现信息保障的重要手段。
- 动态的技术体系：
  - 防护、检测、响应、恢复
操作（Operation）：
- 也叫运行，构成安全保障的主动防御体系。
- 也是将各方面技术紧密结合在一起的主动的过程，包括：
  - 风险评估、安全监控、安全审计
  - 跟踪告警、入侵检测、响应恢复

3.7.IATF的安全需求划分

IATF定义了四个主要的技术焦点领域：

本地计算环境
区域边界
网络和基础设施
支撑性基础设施

这四个领域构成了完整的信息保障体系所涉及的范围。

在每个领域范围内，IATF都描述了其特有的安全需求和相应的可供选择的技术措施。这些领域共同确保了信息系统的安全性和可靠性，通过在不同层面上实施安全措施来保护信息资产。

3.8.DDOS事件处理

SYN Flood攻击：

使用抗DDOS设备或其他专用防护设备来进行防护，**默认参数下**就可以达到比较好的效果。

（图片勘误：“SYS请求”和“SYS包”系笔误，应该是“SYN请求”和“SYN包”）

3.9.常见应急事件

根据主机收到的攻击的表象可将木马病毒分为四类：

勒索病毒（也叫勒索木马）
- 特征：磁盘文件被加密，一旦完成勒索过程则无法恢复文件。
- 防御策略：以预防为主，安装杀毒软件，做好主机防黑工作，及时打补丁，对重要文件要及时隔离备份。
挖矿木马
- 特征：CPU和GPU异常占用过高，且有对矿池地址的解析。
- 实现方式：可有落地文件实现，也可通过WMI等无落地文件实现。
远控木马
- 特点：一直是APT（高级持续性威胁）攻击的主流，复杂程度高。
- 功能：集成了攻击模块、控制模块、持久化模块等，且有C2（命令与控制）服务器。
普通木马
- 定义：指除上述类型之外的其他木马类型。

CH4-网络空间安全技术体系与技术

4.1.信息系统安全体系框架

信息系统安全的总需求是物理安全、网络安全、信息内容安全、应用系统安全和安全管理的总和

安全的最终目标是确保信息的机密性、完整性、可用性、可控性和抗抵赖性，以及信息系统主体 (包括用户、团体、社会和国家)对信息资源的控制。

完整的信息系统安全体系框架由技术体系、组织机构体系和管理体系共同构建

技术体系
物理安全技术、系统安全技术
组织机构体系
机构、岗位、人事三个模块
管理体系
法律管理、制度管理、培训管理
~~三分技术，七分管理；~~（这种说法是不太合适的！要说管理和技术并重）管理与技术并重。

4.2.网络空间安全体系框架

管理体系管理是信息系统安全的灵魂。

信息系统安全的管理体系由法律管理、制度管理和培训管理三个部分组成。（~~三分技术，七分管理；~~）管理与技术并重。

法律管理是根据相关的国家法律、法规对信息系统主体及其与外界关联行为的规范和约束。
制度管理是信息系统内部依据系统必要的国家、团体的安全需求制定的一系列内部规章制度。
培训管理是确保信息系统安全的前提。

4.3.数据完整性机制

完整性检测，不符合完整性检测要求则重发数据

定义：数据完整性是防止非法实体对交换数据的修改、插入、替换和删除，或者如果被修改、插入、替换和删除时可以被检测出来。数据完整性可以通过消息认证模式来保证。

完整性机制分类：

通过密码学提供完整性
通过上下文提供完整性
通过探测和确认提供完整性
通过阻止提供完整性

4.4.数字签名机制

传统签名的基本特点：

能与被签的文件在物理上不可分割
签名者不能否认自己的签名
签名不能被伪造
容易被验证

数字签名的基本要求：

能与所签文件“绑定”
签名者不能否认自己的签名
签名不能被伪造
容易被验证

数字签名的特性：

不可伪造性
- 没有私钥，很难伪造一个合法的数字签名。
抗抵赖性
- 对普通数字签名，任何人可用签名者的公钥验证签名的有效性。
保证消息完整性
- 可以防止消息被篡改。

4.5.公钥加密模型

4.6.消息鉴别码

在网路通信中，有一些针对消息内容的攻击方法（面临的风险）：
- 伪造消息
- 窜改消息内容
- 改变消息顺序
- 消息重放或者延迟
消息认证：对收到的消息进行验证，确保消息确实是来自声称的发送方，并且没有被修改过。
- 如果在消息中加入时间及顺序信息，则可以完成对时间和顺序的鉴别，增强消息的安全性。

消息鉴别的三种方式：

Message encryption（消息加密）：用整个消息的密文作为鉴别标识
- 接收方必须能够识别错误。
Hash function（哈希函数）：一个公开函数将任意长度的消息映射到一个固定长度的散列值，作为鉴别标识
MAC（消息认证码）：一个公开函数，加上一个密钥产生一个固定长度的值作为鉴别标识。
- 步骤1: A根据要发送的消息M0，利用密钥K通过MAC产生函数C产生MAC0=Ck(M0);
  
  步骤2: A将M0和MAC0合在一起，并通过网络发送到B;
  
  步骤3: B收到信息后，并将二者分开，设为M1和MAC1;
  
  步骤4: B利用密钥K对收到的信息M1用与A相同的MAC产生函数C重新计算M1的验证码，设为MAC2，
  
  步骤5: B比较MAC2和MAC1是否相同，如果相等，B断定数据是完整的，如果不相等，则B断定数据遭到篡改。

通过消息鉴别码**对数据完整性**进行验证的技术实现思路：

CH5-鉴别机制与技术

5.1.对身份鉴别系统的要求

（1）验证者正确识别合法申请者的概率极大化。

（2）不具有可传递性（Transferability)

（3）攻击者伪装成申请者欺骗验证者成功的概率要小到可以忽略的程度

（4）计算有效性

（5）通信有效性

（6）秘密参数能安全存储

（补充点别太在意）

5.2.实现身份鉴别的途径

设计依据：安全水平、系统通过率、用户可接受性、成本等。

基于你所知道的（What you know ）
- 知识、口令、密码
基于你所拥有的（What you have ）
- 身份证、信用卡、钥匙、智能卡、令牌等
基于你的个人特征（What you are）
- 指纹，笔迹，声音，手型，脸型，视网膜，虹膜
双因素、多因素认证

5.3.==基于质询－应答的身份鉴别技术==

这是第四级身份鉴别

基于质询—应答的身份鉴别在鉴别时，由验证者给声称者发送一个确定的值（质询消息），该值参与鉴别信息的运算。产生的非重复质询消息完全由验证者决定，使得每次传输的鉴别信息不同。这能很好地防止口令窃听和重放，但需要额外的通信花销。

产生非重复值的能力完全掌握在验证者手中。提供了一种很好的重放检测能力。
附加的复杂协议意味着这种机制不能与传统的简单口令协议结合使用。

质询—响应的身份鉴别，其安全性取决于

散列函数的安全性；
由于是单向鉴别，还存在着验证者的假冒和重放攻击。（这可以通过双向鉴别或时间戳来解决）

质询应答方式(Challenge/Response)与过程

A期望从B获得一个消息
- 首先发给B一个随机值(challenge)
- B收到这个值之后，对它作某种变换，并送回去
- A收到B的response，希望包含这个随机值
询问应答方法不适应非连接性的应用，因为它要求在传输开始之前先有握手的额外开销，这就抵消了无连接通信的主要特点。

CH6-访问控制机制与技术

6.1.访问控制的概念和目标

访问控制的概念：针对越权或未授权使用资源的防御措施
目标：防止对任何资源（如计算资源、通信资源或信息资源）进行未授权的访问，从而使资源在授权范围内使用，决定用户能做什么，也决定代表一定用户利益的程序能做什么。

6.2.访问控制模型的分类

6.2.1.自主访问控制-Discretionary Access Control , DAC

自主访问控制的含义

允许客体的属主（创建者）决定主体对该客体的访问权限
- 灵活地调整安全策略
- 具有较好的易用性和可扩展性
- 常用于商业系统
- 安全性不高
DAC是一种分布式授权管理的模式

自主访问控制的特点

优点
- 根据主体的身份和访问权限进行决策
- 具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体
- 灵活性高，被大量采用
缺点
- 信息在传递过程中其访问权限关系会被改变

6.2.2.==强制访问控制-Mandatory Access Control，MAC==

强制访问控制的含义

主体对客体的所有访问请求按照强制访问控制策略进行控制，客体的属主无权控制客体的访问权限，以防止对信息的非法和越权访问

主体和客体分配有一个安全属性
应用于军事等安全要求较高的系统
可与自主访问控制结合使用

强制型访问控制（MAC）特点：

将主体和客体分级，根据主体和客体的级别标记来决定访问模式。
其访问控制关系分为：上读/下写（完整性），下读/上写（机密性）。
通过梯度安全标签实现单向信息流通模式。

四种强制访问控制策略规定：

下读：用户级别大于文件级别的读操作。
上写：用户级别低于文件级别的写操作。
下写：用户级别大于文件级别的写操作。
上读：用户级别低于文件级别的读操作。

强制访问控制——下读/上写（上写机密性）

向下读 (Read Down, rd)
- 主体高于客体时允许读
- 低级别用户不能读高敏感度的信息
向上写 (Write Up, wr)
- 主体低于客体时允许写
- 不允许高敏感度的信息写入低敏感度区域

信息流只能从低级别流向高级别，从而保证数据机密性。

强制访问控制——上读/下写（下写完整性）

向上读 (Read Up, ru)
- 主体低于客体时允许读操作
- 低信任级别的用户能够读高敏感度的信息
向下写 (Write Down, wd)
- 主体高于客体时允许写操作
- 允许高敏感度的信息写入低敏感度区域

实现数据完整性要求

下读上写机密性，上写下读完整性

==下图会画！==

（选择题会考保证了机密性还是保证了完整性，哪个是机密性哪个是完整性）

6.3.常见的强制访问控制模型

BLP模型
- 1973年提出的多级安全模型，影响了许多其他模型的发展，甚至很大程度上影响了计算机安全技术的发展
Biba模型
- 1977年，Biba提出的一种在数学上与BLP模型对偶的完整性保护模型
Clark-Wilson模型
- 1987年，David Clark和David Wilson开发的以事物处理为基本操作的完整性模型，该模型应用于多种商业系统
Chinese Wall模型（别太在意）
- 1989年，D. Brewer和M. Nash提出的同等考虑保密性与完整性的安全策略模型，主要用于解决商业中的利益冲突

6.3.1.==Bell－LaPadula(BLP)模型==

下读/上写
保证机密性

6.3.2.基于角色的访问控制-RBAC

基本思想
- 根据用户所担任的角色来决定用户在系统中的访问权限。
- 用户必须扮演并激活某种角色，才能访问对象或执行某种操作。
特点
- 便于授权管理，如系统管理员需要修改系统设置等内容时，必须有几个不同角色的用户到场方能操作，增强了安全性
- 便于处理工作分级，如文件等资源分级管理
- 利于安全约束，容易实现各种安全策略，如最小特权、职责分离等
- 便于任务分担，不同角色完成不同的任务

CH7-防火墙技术及其发展

7.1.防火墙的基本概念

防火墙定义：

在网络间（内部/外部网络、不同信息级别）提供安全连接的设备
用于实现和执行网络之间通信的安全策略（预先设定的安全策略）

7.2.防火墙的检测与过滤技术

包过滤（Packet Filtering）：工作在网络层，仅根据数据包头中的IP地址、端口号、协议类型等标志确定是否允许数据包通过。
应用代理（Application Proxy）：工作在应用层，通过编写不同的应用代理程序，实现对应用层数据的检测和分析。
状态检测（Stateful Inspection）：工作在2~4层，访问控制方式与1同，但处理的对象不是单个数据包，而是整个连接，通过规则表和连接状态表，综合判断是否允许数据包通过。
完全内容检测（Compelete Content Inspection）：工作在2~7层，不仅分析数据包头信息、状态信息，而且对应用层协议进行还原和内容分析，有效防范混合型安全威胁。

7.3.包过滤防火墙

工作原理

简单包过滤防火墙不检查数据区
简单包过滤防火墙不建立连接状态表
前后报文无关
应用层控制很弱

包过滤防火墙具有以下特点：

优点：
- 只对数据包的 IP 地址、 TCP/UDP 协议和端口进行分析，规则简单，处理速度较快
- 易于配置
- 对用户透明-用户访问时不需要提供额外的密码或使用特殊的命令
缺点：
- 检查和过滤器只在网络层——不能识别应用层协议或维持连接状态
- 安全性薄弱-不能防止IP欺骗等
- 静态策略可能成为漏洞

7.4.应用代理防火墙

应用网关或代理（ Application Gateway or Proxy）

工作原理

不检查IP、TCP报头，只查数据
不建立连接状态表
网络层保护比较弱

应用代理或网关防火墙具有以下特点

优点：

可以检查应用层、传输层和网络层的协议特征，对数据包的检测能力比较强
提供良好的安全性——所有数据的有效负载都在应用层进行检查

缺点：

支持的应用数量有限，无法很好的支持新的应用、技术和协议
对用户不透明
性能表现欠佳

但是，自适应代理技术的出现让应用代理防火墙技术出现了新的转机，它结合了代理防火墙的安全性和包过滤防火墙的高速度等优点，在不损失安全性的基础上大大提高了代理防火墙的性能。

7.5.状态监测防火墙

内置TCP/IP协议状态机，创建状态表用于维护连接上下文，检查每个会话连接的合法性
（是否符合TCP/IP 通信原理和特征）。
能够识别和监听常用动态端口应用的协商过程，从而自动为动态应用建立通过防火墙的安全连接。

状态检测防火墙摒弃了包过滤防火墙“仅考查数据包的 IP 地址等几个参数，而不关心数据包连接状态变化”的缺点，在防火墙的核心部分建立状态连接表，并将进出网络的数据当成一个个的会话，利用状态表跟踪每一个会话状态。状态监测对每一个包的检查不仅根据规则表，更考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能力。

工作原理

不检查数据区
建立连接状态表
前后报文相关
应用层控制很弱

状态检测防火墙具有以下特点：

性能大大提高
支持大量应用
在内核级实现检测过滤
- 在所有接口对进/出的数据包进行状态检查
支持应用层协议检查
- 在动态状态表中存储连接状态
- 检查对外的连接并预先计算出将返回的连接

状态检测技术在大为提高安全防范能力的同时，也改进了流量处理速度。状态监测技术采用了一系列优化技术，使防火墙性能大幅度提升，能应用在各类网络环境中，尤其是在一些规则复杂的大型网络上。从 2000 年开始，国内的著名防火墙公司都开始采用这一新的体系架构。

7.6.完全内容检测防火墙

工作原理

网络层保护强
应用层保护强
会话保护很强
上下文相关
前后报文有联系

7.7.地址转换-NAT

通过防火墙实现

隐藏了内部网络的结构
内部网络可以使用私有IP地址
公开地址不足的网络可以使用这种方式提供IP复用功能

7.8.地址/端口映射-MAP

一、端口映射（Port Mapping）
端口映射是将外网主机的IP地址的一个端口映射到内网中，一台机器提供相应的服务。当用户访问该IP的这个端口时，服务器会自动将请求映射到对应局域网内部的机器上。

端口映射过程就如同：你的办公室在一个商务楼15楼（ip）2810室（port），你有快递要通过快递公司寄出去，你写好邮寄地址，放到门卫，门卫那边的快递公司就给你寄出去了；当有你的快递运送到商务楼，门卫收到后，知道你公司在2810室，然后就直接送到你的办公室。端口映射的目的是传输数据，数据如何进来，又如何发出去，通过端口映射可以达到和公网上的网络设备通信的目的。

https://blog.csdn.net/weixin_70208651/article/details/135708705

通过防火墙实现

公开服务器可以使用私有地址
隐藏内部网络的结构

7.9.IP与MAC（用户）绑定

通过防火墙来实现绑定

7.10.防火墙的工作接入方式

路由接入方式（配置ip），防火墙相当于一个简单的路由器
透明接入方式（不配置ip），防火墙相当于网桥，原网络结构没有改变
混合接入方式
- 工作于透明接入模式的防火墙可以实现透明接入。
- 工作于路由模式的防火墙可以实现不同网段的连接。
- 路由接入模式的优点和透明接入模式的优点是不能同时并存的。
- 大多数的防火墙一般同时保留了透明接入模式和路由接入模式。
- 根据用户网络情况及用户需求，在使用时由用户进行选择。

关于被屏蔽子网-DMZ区

既允许来自非信任的外部网络的访问也允许来自内部网络的访问，但不允许数据流在这两个网络之间流动的中间子网。

https://blog.csdn.net/m0_58983558/article/details/127452484

通常被屏蔽子网体系结构的防火墙由四个部分组成：周边网络、外部路由器、内部路由器和堡垒主机。

周边网络，它是处于非安全、不可信的外部网络与可信的内部网络之间的一个附加网络。周边网络与外部网络，周边网络与内部网络之间都是通过屏蔽路由器实现逻辑隔离的。外部用户想要访问内部网络需要通过两道屏蔽路由器才能访问内部的资源，通常仅能访问周边网络中的资源。外部用户即使入侵了周边网络中的堡垒主机，也无法监听到内部网络的信息。
外部路由器，它的主要作用是保护周边网络和内部网络，是整个屏蔽子网体系结构的第一道屏障。在外部路由器上设置了对周边网络DMZ和内部网络进行访问的过滤规则，通过这些规则可以限制外网用户只能访问周边网络不能访问内部网络，或者只允许外网用户访问内部网络的部分主机、部分服务。
内部路由器，它用于隔离周边网络和内部网络，是屏蔽子网体系结构的第二道屏障。在内部路由器上设置了针对内部用户的访问过滤规则，对内部用户访问周边网络和外部网络进行了限制。一些规则可以限制内部网络用户只可以访问周边网络不允许访问外部网络。内部路由器会复制外部路由器的过滤规则，这样可以防止外部路由器过滤功能失效所带来的严重后果。内部路由器还要限制周边网络的堡垒主机和内部网络之间的访问，这样可以减轻在堡垒主机被入侵的情况下，内部网络和服务的正常运行。
堡垒主机，它处于周边网络中，可以向外部用户提供WWW服务、FTP服务，能够接受外部网络用户的服务资源请求的访问。它也可以向内部网络用户提供DNS，电子邮件、WWW代理、FTP代理等多种服务，是内部网络用户访问外部网络资源的接口。
被屏蔽子网体系结构的防火墙与双重宿主主机体系结构和被屏蔽子网体系结构相比，安全性更高：外部路由器和内部路由器构成了双层的防护体系；外部路由器和内部路由器上的过滤规则避免了路由器失效产生的安全隐患。但是这个体系结构也有它的不足：构建被屏蔽子网体系的建设成本相对比较高；配置也比较复杂，需要维护人员的专业化程度更高，容易出现配置错误导致的安全隐患。

7.11.衡量防火墙性能的五大指标

吞吐量：该指标直接影响网络的性能，吞吐量
时延：入口处输入帧最后1个比特到达至出口处输出帧的第1个比特输出所用的时间间隔
丢包率：在稳态负载下，应由网络设备传输，但由于资源缺乏而被丢弃的帧的百分比
背靠背：从空闲状态开始，以达到传输介质最小合法间隔极限的传输速率发送相当数量的固定长度的帧，当出现第一个帧丢失时，发送的帧数。背靠背是体现防火墙对突发数据的处理能力。

通俗来说，“背靠背”测试就像是你尽可能快地通过网络发送数据到阈值，直到网络开始丢包，然后你看看在丢包发生之前你成功发送了多少数据。这有助于了解你的网络在高负载下的表现如何。

衡量标准：背对背包主要是指防火墙缓冲容量的大小 ,网络上经常有一些应用会产生大量的突发数据包（例如：NFS，备份，路由更新等），而且这样的数据包的丢失可能会产生更多的数据包的丢失，强大缓冲能力可以减小这种突发对网络造成的影响。
并发连结数：并发连接数是指穿越防火墙的主机之间或主机与防火墙之间能同时建立的最大连接数

7.12.防火墙的功能

7.13.注意

政务内网&外网之间的网闸：物理隔离

政务外网&互联网之间的防火墙：逻辑隔离

CH8-入侵检测

8.1.什么是入侵

入侵（Intrusion）是指在非法或未经授权的情况下，试图存取或处理系统或网络中的信息，或破坏系统或网络正常运行，致使系统或网络的机密性、完整行和可用性受到破坏的故意行为。

8.2.入侵检测模型

通用入侵检测模型（Denning模型）
层次化入侵检测模型（IDM）
管理式入侵检测模型（SNMP-IDSM）

IDS分析技术分类

异常检测：通过采集和统计来发现网络或系统中可能出现的异常行为，向管理员提出警告。（黑白名单）
特征检测：通过对采集的信息按已知的知识进行分析，来发现正在发生和已经发生的入侵行为。

分析策略	特征检测	异常检测
缺省即允许	基于信号的特征检测	基于机器学习的异常检测
缺省即禁止	基于策略的特征检测	基于轮廓的异常检测

缺省（Default）设置是预设的、用户无需进行任何配置即可使用的设置。

缺省即允许：

在这种策略下，如果没有特定的规则来禁止某个行为或访问，那么这个行为或访问就是被允许的。这意味着系统默认允许所有未被明确禁止的活动。

在特征检测中，这可能意味着基于信号的特征检测，即系统默认允许所有未被识别为恶意信号的活动。

在异常检测中，这可能意味着基于机器学习的异常检测，即系统默认允许所有未被机器学习模型识别为异常的行为。

缺省即禁止：

在这种策略下，如果没有特定的规则来允许某个行为或访问，那么这个行为或访问就是被禁止的。这意味着系统默认禁止所有未被明确允许的活动。

在特征检测中，这可能意味着基于策略的特征检测，即系统默认禁止所有未被策略明确允许的活动。

在异常检测中，这可能意味着基于轮廓的异常检测，即系统默认禁止所有未被定义为正常行为的活动。

8.3.异常检测

也称为基于行为的检测
首先建立起用户的正常使用模式，即知识库
标识出不符合正常模式的行为活动
假设所有的入侵行为是异常的
基于系统和基于用户的异常
比较符合安全的概念，但是实现难度较大
- 正常模式的知识库难以建立
- 难以明确划分正常模式和异常模式

8.4.特征检测

也称为误用检测
是针对已知（类似）的攻击行为和间接的违背系统安全策略行为的检测，攻击和系统漏洞库是特征检测的基础。
建立入侵行为模型(攻击特征库)
判别当前行为活动是否符合已知的攻击模式
假设可以识别和表示所有可能的特征
基于系统的和基于用户
目前研究工作比较多，并且已经进入实用

优点：

准确率高
算法简单

关键问题：

有所有的攻击特征，建立完备的特征库
特征库要不断更新（动态性）
无法检测新的入侵

数据来源

审计日志或网络流量
特殊用途的数据收集机制

8.5.IDS的两个指标

漏报率(false negative)
- 指攻击事件没有被IDS检测到
误报率(false alarm rate)
- 把正常事件识别为攻击并报警
- 误报率与检出率成正比例关系

CH9-其他网络安全技术及设备

应对网络安全漏洞的传统解决办法

“电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。”

“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息相连接，必须实行物理隔离”。

一些组织根据自身业务的特点，在有不同安全需求的网络之间也采取了物理隔离的措施。

物理隔离的核心思想是不连接，没有连接。

物理隔离带来的问题

物理隔离使得正常的信息交流被阻断了

部分重要的与业务相关的数据需要在涉密网络和非涉密网络间交换，但由于物理隔离无法实现

物理隔离也成为电子政务、电子商务的数据传输应用的瓶颈

传统物理隔离的应用解决方案分析

优点

保持了网络间物理隔离的特性，有效防止了对涉密网络的直接网络攻击

缺点

延时长、速度慢、能够满足的应用过于单一、可靠性低、在防病毒、内容过滤等方面效果较差、人工操作风险高

安全隔离与信息交换系统（网闸）
传统
物理隔离
核心思想是不连接

什么是网闸
用于在两个隔离程度较高的网络之间进行安全的数据交换。
至少需要两套主机和一个隔离部件。

组成
内端机、外端机、隔离系统

网闸与防火墙
防火墙：保证互联互通，尽量安全
网闸：保证安全，尽量互联互通

9.1.网闸

网闸：在不同的安全域之间，通过特殊的通讯协议实现数据的安全交换。

网闸是在两个不同安全域之间，通过（特殊的通讯）协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息才可以通过。其信息流一般为通用应用服务。
在信息摆渡的过程中内外网（上下游）通过策略控制连接发生，所以“网闸产品”必须要有至少两套主机和一个隔离部件才可完成物理隔离任务。
网闸主要用于在两个隔离程度高的网络之间进行安全的数据交换。

9.2.安全隔离网闸的组成

（概念、原理+画出网闸的三个组成部分，再简单说明原理+关键字“私有协议”、“切断”）

（要画图，关注安全隔离网闸的组成图里的小字，“私有协议”！考题类似于“画出三个组成部分并说明原理”）

由内端机、外端机、隔离系统（也称数据迁移控制单元）三部分组成

原理：
- 切断网络之间的通用协议连接；
- 将数据包进行分解或重组为静态数据；
- 对静态数据进行安全审查，包括网络协议检查和代码扫描等；
- 确认后的安全数据流入内部单元。

9.3.数据隔离交换过程

9.4.网络准入控制-NAC（Network Access Control）

9.4.1.NAC概念

使用网络准入安全策略，确保进入网络的设备符合策略。

9.4.2.网络准入控制系统的功能需求

用户流程

用户尝试访问某网页或客户端，NAC先对用户进行检查

未登录：重定向到登录界面
设备不符合安全策略或登录失败：拒绝接入，分配一个隔离角色，使其访问在线修复资源
通过检查：获得接入许可

9.4.3.网络准入控制系统的主要功能

认证与授权
扫描与评估
隔离与实施
更新与修复

9.5.入侵防御系统

IPS与IDS技术同源各有侧重。ips是ids和防火墙的融合

概念：

IPS是一种集入侵检测和防御于一体的安全产品，它不但能检测入侵的发生，而且能通过一定的响应方式，实时地中止入侵行为的发生和发展，实时地保护信息系统不受实质性的攻击。IPS使得IDS和防火墙走向统一。简单地理解，可认为 IPS就是防火墙加上入侵检测系统。

功能：

识别对网络和主机的恶意攻击，并实时进行阻断；
向管理控制台发送日志信息；
集成病毒过滤、带宽管理和URL过滤等功能；

（下两张表提了一嘴仅仅，“所以他的部署上的和设计上的对比，那么vpn”）

部署方式对比

IPS	IDS
在线, 流量必须通过IPS	旁路, 通过镜像获得数据
实时, 其时延必须满足业务要求	准实时, 可接受秒级时延
立刻影响网络报文	对网络及业务无直接影响
作用范围有限制	监控范围广

设计出发点对比

IPS	IDS
无误报	无漏报
满足峰值流量和时延要求	满足平均流量, 可接受秒级时延
不能影响业务系统可用性	只需关注自身功能实现

CH10-虚拟专用网技术

10.1.VPN概念

在公用网络上建立专用网络，进行安全通讯。在企业网络中有广泛应用。
VPN网关通过对数据包的加密和数据包目标地址的转换实现远程访问。

10.2.VPN的主要协议-IPsec协议、SSL协议

10.2.1.IPsec协议

IPSec协议实际上是一个协议包而不是一个单个的协议。自从1995年IPSec的研究究工作开始以来，现在已经积累了大量的标准文件集，保护网络层安全。
IPSec的安全协议由三个主要的协议组成，它由下图的第二层以及加密和鉴别算法组成。
Internet安全协商和密钥管理协议（ISAKMP）是 IPSec的另一个主要组件。ISAKMP提供了用于应用层服务的通用格式，它支持IPSec协商方的密钥管理需求。

10.2.1.1.鉴别头部-AH

（关注数据包的结构，有头没尾）

主要实现的是鉴别功能。

AH的两种工作模式
- 根据AH头插入IP包的位置不同，AH有传输模式和隧道模式两种工作模式

10.2.1.1.1.AH传输模式

AH头插入原IP头后面

10.2.1.1.2.AH隧道模式

AH头插入原IP头前面，并在AH头前面放一个协议字段是51的新IP头

AH的隧道模式将AH头插入原IP分组的IP头之前，并在AH头之前添加新的IP头，这个新的IP头的协议字段将是51，以表明IP头之后的是一个AH头

10.2.1.2.负载安全封装ESP

（关注数据包的结构细节，有头有尾）

1）把整个IP分组或传输层协议部分封装到ESP载荷中，进行安全处理，实现机密性和完整性保护。ESP具备AH的全部功能，还能保证机密性。
2）ESP只鉴别ESP头之后的信息，AH还要对外部IP头各部分进行鉴别。
3）两套算法：负责保护机密性的加密算法和负责进行身份验证的鉴别算法

ESP的两种工作模式

与AH机制相类似，根据ESP封装的载荷内容不同，ESP头可选用两种方式中的一种来应用于IP数据包，即传送模式或隧道模式，其间的差别决定了ESP保护的真正对象是什么

10.2.1.2.1.传输模式

在原IP头后面插入ESP头，封装后面的TCP/UDP头和数据。原IP头的协议字段会变成50.

10.2.1.2.1.隧道模式

在隧道模式，整个IP包（包括原IP包头）都被封装在ESP有效载荷中，并产生一个新IP头附着在ESP头之前，这个新的IP头的协议字段将是50，以表明IP头之后的是一个ESP头

封装原IP头、TCP/UDP头和数据，在原IP头前面插入ESP头，最前面是协议字段为50的新IP头。相当于先把包括IP头在内的整个IP包加密封装到新IP包中。
特点：对被保护子网中的用户透明；子网内不需要用公网IP；子网内部拓扑结构被保护

10.3.VPN通道的建立方式

Host 对 Host
Host 对 VPN 网关
VPN 对 VPN 网关
Remote User 对 VPN 网关

10.3.1.VPN通道的建立方式-Host 对 Host

该模式要求两边主机都支持IPSec
VPN网关可支持也可不支持IPSec

10.3.2.VPN通道的建立方式-Host to VPN 模式：

该模式要求host方主机支持IPSec
VPN网关VPN一侧需要支持IPSec

10.3.3.VPN通道的建立方式-VPN to VPN 模式：

该模式不要求主机支持IPSec
两边的VPN网关必须支持IPSec

10.3.4.VPN通道的建立方式-Remote User to VPN 网关

该模式不要求网关内主机支持IPSec

10.4.传输层安全协议及其应用-SSL

SSL协议
- Secure Sockets Layer （安全套接层)
- 广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输（实例应用：HTTPS）
- SSL协议提供的服务主要有：
  - 认证用户和服务器，确保数据发送到正确的客户机和服务器
  - 加密数据以防止数据中途被窃取
  - 维护数据的完整性，确保数据在传输过程中不被改变

10.4.1.SSL握手协议行为过程

SSL / TLS 握手详细过程

**”client hello”消息：**客户端通过发送”client hello”消息向服务器发起握手请求，该消息包含了客户端所支持的 TLS 版本和密码组合以供服务器进行选择，还有一个”client random”随机字符串。
**”server hello”消息：**服务器发送”server hello”消息对客户端进行回应，该消息包含了数字证书，服务器选择的密码组合和”server random”随机字符串。
**验证：**客户端对服务器发来的证书进行验证，确保对方的合法身份，验证过程可以细化为以下几个步骤：
1. 检查数字签名
2. 验证证书链 (这个概念下面会进行说明)
3. 检查证书的有效期
4. 检查证书的撤回状态 (撤回代表证书已失效)
**”premaster secret”字符串：**客户端向服务器发送另一个随机字符串”premaster secret (预主密钥)”，这个字符串是经过服务器的公钥加密过的，只有对应的私钥才能解密。
**使用私钥：**服务器使用私钥解密”premaster secret”。
生成共享密钥：客户端和服务器均使用 client random，server random 和 premaster secret，并通过相同的算法生成相同的共享密钥 KEY。
**客户端就绪：**客户端发送经过共享密钥 KEY加密过的”finished”信号。
**服务器就绪：**服务器发送经过共享密钥 KEY加密过的”finished”信号。
**达成安全通信：**握手完成，双方使用对称加密进行安全通信。

10.4.2.SSL记录协议

SSL记录协议。为SSL连接提供了两种服务
- 机密性：**握手协议？？？？**为SSL有效载荷的常规密码定义共享秘密密钥。
- 消息完整性：握手协议为生成MAC定义共享秘密密钥。
记录协议发出传输请求消息，把数据分段成可以操作的数据块，还可以选择压缩数据，加入MAC信息，加密，加入文件头，在TCP段中传输结果单元。接收到的数据需要解密、身份验证、解压、重组，然后才能交付.

10.4.3.SSL应用实例-HTTPS

HTTPS（**全称：Hypertext Transfer Protocol over Secure Socket Layer，**超文本传输安全协议），是HTTP的安全版。
HTTPS的安全基础是SSL，通过结合HTTP和SSL来实现Web浏览器和Web服务器之间的安全通信。
HTTPS已经融合在当今的Web浏览器中，只要Web服务器支持HTTPS，就可以使用。
HTTPS现在已广泛用于Intenet上的安全B/S应用，例如网上交易等
HTTPS的规范文档可参阅RFC 2818（HTTPS Over TLS）

10.4.3.1.HTTPS通信过程（单向鉴别）

（图会画，会描述全过程）

1、客户端向服务器发起连接请求

2、服务器生成公私钥对，通过可信机构对公钥等信息进行数字签名，形成服务器证书

3、服务器发送证书响应请求

4、客户端验证服务器证书，生成数据加密密钥，并采用服务器证书中的公钥对数据加密密钥进行保护

5、客户端向服务器发送加密后的数据加密密钥

6、服务器用私钥解密出数据加密密钥，并用该密钥加密要传输的静荷数据

7、客户端用数据加密密钥解密服务器传来的数据。

10.4.4.SSL安全性

（会考一个判断题，“在有限范围内，不涉及国家重要基础设施的时候可以使用SSL，但是不能用于政府、国防、军事中，因为技术限制，进口我国的ssl底层的RSA的安全性不够高，且不符合《商用密码管理条例》”）

SSL标准协议存在着以下不容忽视的缺点

不符合《商用密码管理条例》中对商用密码产品不得使用国外密码算法的规定。
系统安全性还不够强。SSL协议的数据安全性其实就是建立在RSA等算法的安全性上，因此从本质上来讲，攻破RSA等算法就等同于攻破此协议。由于美国政府的出口限制，使得进入我国的实现了SSL的产品（Web浏览器和服务器）均只能提供512比特RSA公钥、40比特对称密钥的加密。显然，攻破此协议并不太难

本博客配置了CDN

【SCU期末】网络空间安全技术期末整理

CH1-网络空间安全概述

1.1.信息安全的基本目标

1.2.什么是信息安全

1.3.网络安全的基本定义+组成

1.3.1.网络安全的四个要素（网络空间的组成）

1.3.1.1国家网络安全的四个要素

1.3.1.2.网络空间的组成

1.3.2.==网络空间的一般性定义==

1.4.网络空间安全的四层次模型

CH2-网络空间安全风险及风险管理

2.1.什么是网络空间安全风险管理（定义）

2.2.风险评估工具

2.3.网络空间安全风险术语

2.3.1.资产

2.3.2.威胁

2.3.3.脆弱性（漏洞-vulnerability）

2.3.4.控制措施

2.3.5.==风险==

2.3.6.残余风险

2.4.常用的四类风险处置方法

2.5.风险分析

2.6.国产化替代

CH3-信息与网络空间安全保障

3.1.信息系统安全保障

3.2.安全模型的概念

3.2.1.什么是网络空间安全模型

3.2.2.为什么需要安全模型

3.3.PDR演变

3.3.1.PDR

3.3.2.PDRR

3.3.3.分布式动态主动模型PPDR

3.4.IATF-深度防御保障模型

3.5.何谓“深度防御”

3.6.IATF的三要素

3.7.IATF的安全需求划分

3.8.DDOS事件处理

3.9.常见应急事件

CH4-网络空间安全技术体系与技术

4.1.信息系统安全体系框架

4.2.网络空间安全体系框架

4.3.数据完整性机制

4.4.数字签名机制

4.5.公钥加密模型

4.6.消息鉴别码

CH5-鉴别机制与技术

5.1.对身份鉴别系统的要求

5.2.实现身份鉴别的途径

5.3.==基于质询－应答的身份鉴别技术==

CH6-访问控制机制与技术

6.1.访问控制的概念和目标

6.2.访问控制模型的分类

6.2.1.自主访问控制-Discretionary Access Control , DAC

6.2.2.==强制访问控制-Mandatory Access Control，MAC==

6.3.常见的强制访问控制模型

6.3.1.==Bell－LaPadula(BLP)模型==

6.3.2.基于角色的访问控制-RBAC

CH7-防火墙技术及其发展

7.1.防火墙的基本概念

7.2.防火墙的检测与过滤技术

7.3.包过滤防火墙

7.4.应用代理防火墙

7.5.状态监测防火墙

7.6.完全内容检测防火墙

7.7.地址转换-NAT

7.8.地址/端口映射-MAP

7.9.IP与MAC（用户）绑定

7.10.防火墙的工作接入方式

关于被屏蔽子网-DMZ区

7.11.衡量防火墙性能的五大指标

7.12.防火墙的功能

7.13.注意

CH8-入侵检测

8.1.什么是入侵

8.2.入侵检测模型

8.3.异常检测

8.4.特征检测

8.5.IDS的两个指标

CH9-其他网络安全技术及设备

安全隔离与信息交换系统（网闸）