身份认证：用户向系统出示自己身份证明的过程。

消息认证技术

消息认证是指通过对消息或消息相关信息进行加密或签名变换进行的认证，目的是为防止传输和存储的消息被有意或无意地篡改，包括消息内容认证(即消息完整性认证)、消息的源和宿认证(即身份认证)及消息的序号和操作时间认证等。

信息抵赖：数字签名。信息窃取：加密技术。信息篡改：完整性技术。信息冒充：认证技术。

3DES k1加密k2解密k3加密。

古典加密密码，密钥，算法都是公开的。

现代加密密钥保密，算法和公钥可以公开。

安全功能和安全保障

安全功能和安全保障是操作系统安全涉及到的两个重要因素。安全功能主要说明操作系统所实现的安全策略和安全机制符合评价准则中哪一级的功能要求，而安全保障则是通过一定的方法保证操作系统所提供的安全功能确实达到了确定的功能要求。

主体与客体

主体是一个主动的实体，包括用户、用户组、进程等。系统中最基本的主体是用户，包括一般用户和系统管理员、系统安全员等特殊用户。每个进入系统的用户必须是惟一标识的，并经过鉴别确定为真实的。

客体是一个被动的实体。在操作系统中，客体可以是按照一定格式存储在一定记录介质上的数据信息，通常以文件系统格式存储数据，也可以是操作系统中的进程。

安全策略和安全模型

安全策略是指有关管理、保护和发布敏感信息的法律、规定和实施细则。安全模型则是对安全策略所表达的安全需求的简单、抽象和无歧义的描述，它为安全策略及其实现机制的关联提供了一种框架。

安全内核

安全内核是指系统中与安全性实现有关的部分，包括引用验证机制、访问控制机制、授权机制和授权管理机制等部分。

安全内核的设计和实现应当符合完整性、隔离性、可验证性3条基本原则。完整性原则要求主体引用客体时必须通过安全内核，即所有信息的访问都必须经过安全内核。隔离性原则要求安全内核具有防篡改的能力，即可以保护自己，防止偶然破坏。可验证性原则是通过如下一些设计要素实现的：利用最新的软件工程技术，包括结构设计、模块化、信息隐藏、分层、抽象说明以及合适的高级语言。内核接口简单化。内核小型化。代码检查。安全测试。形式化数学描述与验证。

操作系统安全防护方法包括硬件安全机制、标识与鉴别、存取控制、最小特权管理、可信通路、安全审计（启用审计系统会变慢）等。

审计日志是存放审计结果的二进制码结构文件。

WindowsXP操作系统提供了一组可配置的安全性服务：安全登录，自主访问控制，安全审计，内存保护。

域模型是Windows网络系统的核心。在域中，维护域的安全和安全账号管理数据库的服务器称为主域控制器，而其他存有域的安全数据和用户账号信息的服务器称为备份域控制器。DC是域控制器，密钥是KDC。Windows的DC就是KDC。

定位标识SID（安全ID）安全标识符 (sid) 是标识用户或者组的数值。对于每个访问控制项 (acehttps://www.baidu.com/s?wd=ace&tn=44039180_cpr&fenlei=mv6quAkxTZn0IZRqIHckPjm4nH00T1YzP1bLP1nsnWwbPj6dmy7W0ZwV5Hcvrjm3rH6sPfKWUMw85HfYnjn4nH6sgvPsT6K1TL0qnfK1TL0z5HD0IgF_5y9YIZ0lQzqlpA-bmyt8mh7GuZR8mvqVQL7dugPYpyq8Q1RsPHcvnjfY)，都存在一个用于标识其访问被允许、拒绝或者审核的用户或组的 sidhttps://www.baidu.com/s?wd=sid&tn=44039180_cpr&fenlei=mv6quAkxTZn0IZRqIHckPjm4nH00T1YzP1bLP1nsnWwbPj6dmy7W0ZwV5Hcvrjm3rH6sPfKWUMw85HfYnjn4nH6sgvPsT6K1TL0qnfK1TL0z5HD0IgF_5y9YIZ0lQzqlpA-bmyt8mh7GuZR8mvqVQL7dugPYpyq8Q1RsPHcvnjfY。 安全描述符：所有者SID、组SID、自主访问控制列表DACL、系统访问控制列表SACL

访问令牌：是一个包含进程或线程安全标识的数据结构：安全ID(SID)、用户所属组的列表以及启用和禁用的特权列表。

UNIX/Linux安全机制：标识、鉴别、存取控制、审计、密码、网络安全性、网络监控与入侵检测、备份/恢复。

UNIX/Linux安全措施：1、启动和登录安全性设置（BIOS安全设置、系统默认账号的删除和禁用、用户口令的设置及口令文件的保护、禁止Ctrl+Alt+Delete重启系统、限制使用su命令、删除登录信息、登录终端的设置、避免显示系统和版本信息。）

网络访问安全性设置（关闭、停止或限制不必要的网络服务；防止攻击和欺骗设置（防止ping，防止ip欺骗，防止Dos攻击，防止基于堆栈的缓冲区溢出攻击）；常用手工入侵检测方法和命令；）

备份常用类型：实时备份、整体备份、增量备份

数据库安全威胁的分类：非授权的信息泄露、非授权的数据修改、拒绝服务。

数据库安全需求：防止非法数据访问，防止推导，保证数据库的完整性，保证数据的操作完整性，数据的语义完整性，审计和日志，标识和认证，机密数据管理，多级保护，限界

数据库安全机制：1、用户标识与鉴别（用户标识是指用户向系统出示自己的身份证明，鉴别指系统检查验证用户的身份证明）2、访问控制（访问控制的目的是明确用户对数据库只能进行经过授权的有关操作）3、数据库加密4、数据库审计（是指监视和记录用户对数据库所施加的各种操作的机制）5、备份和恢复（它对系统的安全性与可靠性骑着重要的作用，也对系统的运行效率有着重大影响。数据库备份 @冷备份 @热备份 @逻辑备份。数据库恢复 @基于备份的恢复 @基于运行时日志的恢复 @基于镜像数据库的恢复）6、推理控制和隐私保护

攻击数据库密码攻击，溢出攻击，SQL注入攻击

Web服务器安全保护措施：完整性、机密性、认证、授权、责任、可用性、审计、不可抵赖性。

Web站点的安全策略:认证、访问控制和隐私策略。

Web应用面临的主要威胁

1、对用户的攻击：这种攻击只针对Web系统中的用户而不是系统本身。但如果被攻击的用户是某一系统的管理员用户，则对系统也会造成损害。2、对系统的攻击：直接的SQL命令；直接的操作系统命令；路径暴露漏洞3、参数操纵：cookies操纵；HTTP头部操纵；HTML表单域操纵。

FTP系统的安全策略：使用密文传输用户名和口令；文件安全；认证；访问控制；日志审计。

DNS的安全性问题（1）DNS设计缺陷问题（①单点故障。 ②无认证机制。③超高速缓存中毒。④访问量和维护量巨大以及远距离集中式数据库。）（2）DNS服务器的安全隐患(①网络拓扑结构不合理。②软件配置不当以及没有及时更新升级。）

DNS系统的安全策略：分解压力与威胁法、保障服务器硬件的安全 、合理配置DNS软件、访问控制、利用DNS安全扩展机制。

DNS攻击方法：缓存中毒，拒绝服务攻击，域名劫持

IP欺骗的防范：（1）抛弃基于地址的信任策略。（2）进行包过滤。（3）使用加密方法。（4）使用随机的初始序列号。

所谓欺骗，就是攻击者通过伪造一些容易引起的错觉的信息来诱导受骗者作出错误的、与安全有关的决策。

DNS安全威胁：（1）DNS存在简单的远程缓冲区溢出攻击。（2）DNS存在拒绝服务攻击。（3）设置不当的DNS会泄露过多的网络拓扑结构。（4）利用被控制的DNS服务器入侵整个网络，破坏整个网络的安全。（5）利用被控制的DNS服务器绕过防火墙等其他安全设备的控制。

DNS欺骗的防范：（1）直接使用IP地址访问重要的服务，可以避开DNS对域名的解析过程，因此也就避开了DNS欺骗攻击。但最根本的解决办法还是加密所有对外的数据流，服务器应使用SSH等具有加密功能的协议，一般用户则可使用PGP类软件加密所有发送到网络上的数据。（2）如果遇到DNS欺骗，先断开本地连接，然后再启动本地连接，这样就可以清除DNS缓存。（3）用转化得到的IP地址或域名再次作反向转换验证。

访问控制

访问控制是通过某种途径显式地准许或限制访问能力及范围的一种方式。通过限制对关键资源的访问，防止非法用户的侵入或因为合法用户的不慎操作而造成的破坏，从而保证网络资源受控和合法地使用，它是针对越权使用资源的防御措施。

常见的访问控制的实现方法主要有以下四种：访问控制矩阵、访问能力表、访问控制表和授权关系表。

访问控制1、自主访问控制（DAC）是最常用的一类访问控制机构，是用来决定一个用户是否有权访问一些特定客体的一种访问约束机制。2、强制访问控制（MAC）是一种不允许主体干涉的访问控制类型。3、基于角色的访问控制（RBAC）本思想是在用户和访问权限之间引入角色的概念，将用户和角色联系起来，通过对角色的授权来控制用户对系统资源的访问。访问控制是由各个用户在部门中所担任的角色来确定的。

访问控制表ACL：可以对某一特定资源制定任意一个用户的访问权限，还可以将有相同权限的用户分组，丙授予租的访问权限。

RBAC96模型包括4个不同层次，分别为RBAC0、RBAC1、RBAC2和RBAC3。其中RBAC0是基础模型，定义了支持RBAC的最小需求，如用户、角色、权限和会话等概念。RBAC1和RBAC2在RBAC0的基础上，增加了各自独立的特点，它们被称为高级模型。在RBAC1中加入了角色继承关系，可以根据组织内部权力和责任的结构来构造角色与角色之间的层次关系；在RBAC2中加入了各种用户与角色之间、权限与角色之间以及角色与角色之间的约束关系，如角色互斥、角色最大成员数等。RBAC1和RBAC2之间不具有可比性。RBAC3为巩固模型，是对RBAC1和RBAC2的集成。它不仅包括角色的层次关系，还包括约束关系。

VPN是利用Internet等公共网络的基础设施，通过隧道技术，为用户提供一条与专用网络具有相同通信功能的安全数据通道，实现不同网络之间及用户与网络之间的相互连接。（使用IP机制仿真处一条私有的广域网）。特点：费用低，安全保障，服务质量保证，可扩充性和灵活性，可管理性。关键技术：隧道技术，加密技术，Qos技术。

防火墙是指设置在不同网络（如可信任的企业内部和不可信的公共网）或网络安全域之间的一系列部件的组合。它是网络或网络安全域之间信息的唯一出入口，能根据用户的安全策略控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。

防火墙基本特性：内部网络和外部网络之间的所有网络数据流都必须经过防火墙；只有符合安全策略的数据流才能通过防火墙；防火墙自身应具有非常强的抗攻击免疫力

防火墙的功能1）允许网络管理员定义一个中心点来防止非法用户进入内部网络。（2）可以很方便地监视网络的安全性，并报警。（3）可以作为部署网络地址变换（NAT）的地点，利用NAT技术，将有限的IP地址动态或静态地与内部的IP地址对应起来，用来缓解地址空间短缺的问题。4）审计和记录Internet使用费用。网络管理员可以在此向管理部门提供Internet连接的费用情况，查出潜在的带宽瓶颈位置，并能够依据本机构的核算模式提供部门级的计费。（5）可以连接到一个单独的网段上，从物理上和内部网段隔离，并在此部署如WWW服务器和FTP服务器等，将其作为向外部发布内部信息的地点。从技术角度来讲，就是非军事区（DMZ）。

严格与宽松两种策略严格（公->私）除了允许进的别的都不能进；宽松（私->公）除了不允许的都可以进。

防火墙技术包过滤技术（网络层）、应用网关技术（应用层）、代理服务器技术（应用层）。

防火墙的缺点（1）不能防范恶意知情者（2）不能防范不通过它的连接(3)不能防范全部威胁

物理隔离网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。物理隔离网闸从物理上隔离、阻断了具有潜在攻击可能的一切连接，使“黑客”无法入侵、无法攻击、无法破坏，实现了真正的安全。

物理隔离网闸组成：外部处理单元、内部处理单元和隔离硬件

物理隔离的技术原理

网络的外部主机系统通过物理隔离网闸与网络的内部主机系统“连接”起来，物理隔离网闸将外部主机的TCP/IP协议全部剥离，将原始数据通过存储介质，以“摆渡”的方式导入到内部主机系统，实现信息的交换。

物理隔离网闸的功能：1. 阻断网络的直接物理连接;2. 阻断网络的逻辑连接;3. 数据传输机制的不可编程性;4. 安全审查;5. 原始数据无危害性;6. 管理和控制功能;7. 根据需要建立数据特征库;8. 根据需要提供定制安全策略和传输策略的功能; 9. 支持定时/实时文件交换；支持单向/双向文件交换；支持数字签名、内容过滤、病毒检查等功能;

10、邮件同步;11. 数据库同步;12. 支持多种数据库;

简述防火墙与隔离网闸在网络中起到的不同作用。

防火墙是以应用为主安全为辅，也就是说在支持尽可能多的应用的前提下，来保证使用的安全。防火墙的这一设计理念使得它可以广泛地用于尽可能多的领域，拥有更加广泛的市场。而网闸则是以安全为主，在保证安全的前提下，支持尽可能多地应用。网闸主要用于安全性要求极高的领域。物理隔离网闸和防火墙是完全不同的两个产品，防火墙是保证网络层安全的边界安全工具（如通常的非军事化区），而物理隔离网闸重点是保护内部网络的安全。因此两种产品由于定位的不同，因此不能相互取代。

入侵检测步骤信息收集、数据分析、响应。

入侵检测的目的（1）识别入侵者；（2）识别入侵行为；（3）检测和监视以实施的入侵行为；（4）为对抗入侵提供信息，阻止入侵的发生和事态的扩大

入侵检测分类按其检测的数据来源，可分为基于主机的入侵检测系统和基于网络的入侵检测系统。

入侵检测模型从策略上来讲主要分为异常检测和误用检测，从分析方法来讲，又可以分为基于统计的、神经网络和数据挖掘三类技术。我们从IDS的整体框架来对入侵检测模型进行划分，则主要是三种：通用模型、层次化模型和智能化模型。

异常检测的优缺点它的检测完整性高、能发现企图发掘和试探系统未知漏洞的行为；较少依赖于特定的操作系统；对合法的用户违反权限的行为具有很强的检测能力。如果是在用户数量多且运行状态复杂的环境中，它的误警率较高；由于系统活动的不断变化，用户要不断地在线学习（容易误警）。

入侵检测系统由事件发生器、事件分析器、响应单元和事件数据库4个部分组成。

计算机病毒特征寄生性，传染性（感染性），潜伏性，隐蔽性，破坏性，可触发性，加密性，多态性

计算机病毒的分类(1)按照计算机病毒存在的媒体进行分类：根据病毒存在的媒体，病毒可以划分为网络病毒，文件病毒，引导型病毒。(2) 按照计算机病毒传染的方法进行分类：这类病毒可分为驻留型病毒和非驻留型病毒.(3)根据病毒破坏的能力进行分类：无害型、无危险型、危险型、非常危险型（4）根据病毒特有的算法进行分类：伴随型病毒、“蠕虫”病毒、寄生型病毒、变型病毒

病毒的定义计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。

网络安全漏洞的主要表现非授权访问；泄漏或丢失信息；破环数据完整性；拒绝服务攻击；利用网络传播病毒。

端口扫描的基本原理（1）TCP connect()扫描；TCP connect()是最基本的一种扫描方式。使用系统提供的connect()系统调用，建立与目标主机端口的连接。如果端口正在监听，connect()就成功返回；否则，则说明端口不可访问。（2）TCP SYN扫描；一个SYN/ACK表明该端口正在被监听，一个RST响应表明该端口没有被监听。如果收到一个SYN/ACK，则通过立即发送一个RST来关闭连接。（3）TCP FIN扫描；其基本思想是关闭的端口将会用正确的RST来应答发送的FIN数据包;相反，打开的端口往往忽略这些请求。（4）Fragmentation扫描；Fragmentation扫描通过将TCP包头分成几段，放入不同的IP包中，使得包过滤程序难以过滤。（5）UDP recfrom()和write()扫描（6）ICMP扫描

一个安全系统的逻辑模型

P2DR模型

PDRR模型

通用入侵监测模型