簡介《信息安全概論》課程復(fù)習(xí)與自測資料面向高校信息安全、網(wǎng)絡(luò)工程等相關(guān)專業(yè)學(xué)生及備考人員圍繞課程核心概念和常見題型組織內(nèi)容可用于期末復(fù)習(xí)、課堂練習(xí)與考前查漏補(bǔ)缺。壓縮包內(nèi)為 1 個 docx 文檔約 21KB體積輕便便于查閱、打印和二次整理。文檔以多套試卷為例覆蓋密碼學(xué)基本目標(biāo)、PKI 體系組成、訪問控制模型、防火墻原理、Kerberos 認(rèn)證、TCSEC 安全等級、網(wǎng)絡(luò)攻擊流程、SSL 協(xié)議、RBAC、數(shù)字水印和計算機(jī)取證等知識點(diǎn)題型以單項選擇和填空為主并隨題附有參考答案便于對照訂正與記憶關(guān)鍵術(shù)語適合考前集中刷題和知識點(diǎn)串聯(lián)。已有 1013 人學(xué)習(xí)讀者可借助題目快速定位薄弱環(huán)節(jié)理解信息安全體系結(jié)構(gòu)與關(guān)鍵協(xié)議機(jī)制也可將其作為復(fù)習(xí)提綱和自測清單使用。1. 信息安全概論到底在講什么一套家用安防引出的知識地圖裝過家用安防的人都有體會門鎖只管一扇門窗戶、門禁卡、攝像頭、物業(yè)巡邏、事后調(diào)監(jiān)控缺一樣心里都不踏實。信息安全概論講的正是這套家宅安防的全景圖——它不盯著某一項技術(shù)而是把密碼學(xué)、身份認(rèn)證、訪問控制、邊界防護(hù)、攻擊流程與事后取證這些零件擺到一張圖上說清各自守哪一段、彼此怎么接。搞懂這張圖的好處很實在以后再聽到 PKI、Kerberos、RBAC 這些縮寫你能立刻判斷它掛在哪個位置、解決的是保密驗身份還是管權(quán)限里的哪一類問題而不是把它們當(dāng)成一串互不相干的詞硬背下來。2. 為什么先擺模型再談產(chǎn)品PDR、IATF 與安全體系結(jié)構(gòu)學(xué)信息安全最容易走的一條彎路是一頭扎進(jìn)工具清單裝個防火墻、買個殺毒、配個堡壘機(jī)覺得疊得夠多就安全了?？涩F(xiàn)實里疊了一堆設(shè)備卻說不清我到底在防誰、防到什么程度、出了事怎么發(fā)現(xiàn)的團(tuán)隊并不少見。模型存在的意義就是先把安全這件事拆成可討論的骨架再讓技術(shù)往里填。2.1 PDR 模型安全是保護(hù)—檢測—響應(yīng)的循環(huán)不是一張采購清單PDR 三個字母分別對應(yīng)保護(hù)Protection、檢測Detection、響應(yīng)Response。保護(hù)是讓壞事盡量別發(fā)生檢測是壞事發(fā)生時能第一時間知道響應(yīng)是知道之后能控制住局面、恢復(fù)業(yè)務(wù)。三者串成一個循環(huán)缺一環(huán)都會出現(xiàn)典型的翻車場景只有保護(hù)沒有檢測等于門鎖被撬了也沒人知道只有檢測沒有響應(yīng)攝像頭拍下了全過程但沒人來處理只有響應(yīng)沒有保護(hù)事后救火再快也架不住天天起火。拿家用安防對照就很清楚門鎖和防盜窗是保護(hù)攝像頭和門磁是檢測報警后趕回家或聯(lián)系物業(yè)是響應(yīng)。三者不是替代關(guān)系而是接力關(guān)系。PDR 和訪問控制最容易被人放在一起比。訪問控制關(guān)心的是某個主體能不能對某個客體做某個操作它盯的是一條條具體的授權(quán)規(guī)則PDR 則把整個安全對象當(dāng)成一個整體來看待——不是糾結(jié)某條規(guī)則寫沒寫對而是問這套系統(tǒng)整體的防護(hù)、發(fā)現(xiàn)和恢復(fù)能力夠不夠。換句話說訪問控制是門禁名單PDR 是整棟樓的安防評估。前者解決這扇門誰能進(jìn)后者解決這棟樓經(jīng)不經(jīng)得起出事。提示判斷一道題在問 PDR 還是訪問控制看它強(qiáng)調(diào)的是整體安全能力還是某條具體授權(quán)這兩個方向幾乎不會同時出現(xiàn)在一個選項里。2.2 IATF 的三要素人、技術(shù)、操作為什么主機(jī)不在其中IATF 把信息保障的核心要素歸納為三個人、技術(shù)、操作。很多人第一次看到這個劃分會愣一下——主機(jī)呢網(wǎng)絡(luò)呢數(shù)據(jù)呢它們難道不重要重要但它們是被保護(hù)的對象不是保障行為的要素。這個區(qū)別很像醫(yī)院做手術(shù)主刀醫(yī)生是人器械和技術(shù)是手段手術(shù)流程規(guī)范是操作而病人是這套體系要服務(wù)的對象不會被列進(jìn)手術(shù)三要素里。主機(jī)、網(wǎng)絡(luò)、數(shù)據(jù)處在對象的位置人、技術(shù)、操作處在能力的位置。一道選擇題問不屬于三要素的是答案落在主機(jī)上考的就是這個位置感。理解這一點(diǎn)的現(xiàn)實價值在于很多安全事件復(fù)盤到最后問題既不出在技術(shù)上也不出在設(shè)備上而是出在操作流程沒人遵守、或者人根本沒意識到風(fēng)險。三要素的說法提醒你只補(bǔ)技術(shù)那一塊另外兩塊空著整體水位照樣上不去。2.3 OSI 安全體系結(jié)構(gòu)安全攻擊、安全機(jī)制、安全服務(wù)是一條因果鏈OSI 安全體系結(jié)構(gòu)主要包含三塊安全攻擊、安全機(jī)制、安全服務(wù)。三個詞聽上去都挺抽象用一條因果鏈來串就順了。先有攻擊——有人會偷、會騙、會冒充、會截取這是問題的源頭。為了對付攻擊才有機(jī)制——加密、認(rèn)證、訪問控制、審計、流量填充等等這些是手段。機(jī)制用起來以后對外表現(xiàn)出來的是服務(wù)——比如這段通信別人看不懂這個身份可以確認(rèn)不是冒充的這條記錄事后改不了這些是可以寫進(jìn)承諾里的東西。打個比方小偷的撬鎖、尾隨、翻窗是攻擊你裝的防盜門、監(jiān)控、門禁是機(jī)制而你能對家人說的咱家門窗被撬會響、有人進(jìn)過能查錄像是服務(wù)。攻擊是威脅面機(jī)制是對策庫服務(wù)是最終交付給使用者的保障。三者層層對應(yīng)缺了任何一層討論都會懸空只談攻擊不談機(jī)制那是嚇自己只談機(jī)制不談服務(wù)那是列設(shè)備清單。2.4 密碼體制五元組一個定義把加密這件事說完密碼體制可以用一個五元組來定義明文空間、密文空間、密鑰空間、加密算法、解密算法。這五個詞看著像背書其實每一個都對應(yīng)一個很實際的問題。明文空間回答允許出現(xiàn)哪些原始信息比如只允許 26 個小寫字母還是允許任意字節(jié)。密文空間回答加密之后長什么樣、有多長。密鑰空間回答一共有多少把可能的鑰匙這個數(shù)字直接決定暴力破解的難度——26 種可能的密鑰和 2 的 128 次方種可能的密鑰完全不是一個量級。加密算法和解密算法則是一對互逆的變換規(guī)則。下面這段代碼用最樸素的位移替換把五元組逐個對應(yīng)到具體實現(xiàn)上# 用 26 個字母的位移替換把密碼體制五元組具象化 LOWER abcdefghijklmnopqrstuvwxyz PLAINTEXT_SPACE LOWER # 明文空間允許出現(xiàn)的明文字符集合 CIPHERTEXT_SPACE LOWER # 密文空間加密后仍落在同一字符集 KEY_SPACE range(26) # 密鑰空間位移量 0~25共 26 種 def encrypt(plain: str, key: int) - str: # 加密算法明文 密鑰 - 密文 return .join(LOWER[(LOWER.index(ch) key) % 26] for ch in plain) def decrypt(cipher: str, key: int) - str: # 解密算法密文 同一密鑰 - 明文與 encrypt 互為逆運(yùn)算 return .join(LOWER[(LOWER.index(ch) - key) % 26] for ch in cipher) c encrypt(security, 3) print(c, decrypt(c, 3)) # 輸出vhfxulwb security這段代碼值得看的不是它多安全——它一點(diǎn)也不安全密鑰空間只有 26挨個試一遍幾毫秒就完了——而是它能讓你看清五元組各自在哪一行。LOWER同時充當(dāng)明文空間和密文空間range(26)是密鑰空間兩個函數(shù)分別是加密算法和解密算法。想提升強(qiáng)度動的就是密鑰空間從 26 擴(kuò)到 2 的 128 次方窮舉就從眨眼之間變成宇宙壽命。現(xiàn)代密碼算法的設(shè)計重心很大程度上就是在擴(kuò)大密鑰空間的同時讓加密解密仍然足夠快。注意密鑰空間的大小只是強(qiáng)度的一個維度算法本身有沒有結(jié)構(gòu)缺陷同樣致命。位移替換即使把密鑰擴(kuò)到很大只要頻率分析一上就原形畢露。3. 密碼學(xué)與認(rèn)證從共享密鑰到 PKI、Kerberos 的角色分工密碼學(xué)常被誤解成一整套加密方法其實它內(nèi)部是按任務(wù)分崗的有人負(fù)責(zé)把內(nèi)容藏起來有人負(fù)責(zé)讓內(nèi)容改不了有人負(fù)責(zé)證明你是你。分不清崗位就會出現(xiàn)用散列函數(shù)加密文件用簽名算法做密鑰交換這類看上去專業(yè)、實則跑不通的做法。3.1 對稱密碼的兩條路線流密碼與分組密碼對稱密碼的特點(diǎn)是加密和解密用同一把鑰匙。它下面分兩大類流密碼和分組密碼。流密碼按位或按字節(jié)逐個處理像水龍頭一樣源源不斷地產(chǎn)出密鑰流與明文逐位混合。它的優(yōu)點(diǎn)是延遲低、不需要等攢夠一整塊適合實時性要求高的場景。分組密碼則把明文切成固定長度的塊一塊一塊地加密比如經(jīng)典的 DES 就是分組密碼塊長 64 位。它的優(yōu)點(diǎn)是結(jié)構(gòu)規(guī)整、便于標(biāo)準(zhǔn)化實現(xiàn)缺點(diǎn)是需要處理最后一塊不夠長怎么辦的填充問題以及塊與塊之間要不要做鏈接的問題。用物流打個比方流密碼像傳送帶上逐個打包來一個包一個分組密碼像集裝裝箱攢夠一箱封一箱。兩種方式?jīng)]有絕對優(yōu)劣看貨物形態(tài)和時效要求。分組密碼還有一個繞不開的坑如果每個塊都用同一把鑰匙獨(dú)立加密相同的明文塊會產(chǎn)生相同的密文塊模式就暴露了。所以實際使用時要配合鏈接模式讓前一塊的結(jié)果參與后一塊的運(yùn)算把塊與塊互相獨(dú)立這個漏洞補(bǔ)上。3.2 公鑰密碼與 RSA加密用公鑰簽名用私鑰公鑰密碼體制里每人有一對鑰匙公鑰可以隨便發(fā)私鑰只有自己知道。這里最常見的一道選擇題是用于加密的密鑰是哪一把——答案是公鑰。別人要給你發(fā)密信用你的公鑰鎖上只有你的私鑰能打開。這個方向感特別重要因為它在簽名場景下正好反過來。簽名是我證明這話是我說的得用只有我有的東西——私鑰驗證是大家確認(rèn)這話確實是你說的用的是公開的東西——公鑰。一個口訣加密用對方的公鑰簽名用自己的私鑰。搞反了不是不安全是根本跑不通。RSA 是公鑰體系的代表算法它的安全基礎(chǔ)建立在一個假設(shè)上大數(shù)不可能被有效地分解質(zhì)因數(shù)。兩個大素數(shù)相乘得到一個大數(shù)很容易反過來從這個大數(shù)里把兩個素數(shù)拆出來極難。公鑰和私鑰就是從這對素數(shù)推出來的公開的那個大數(shù)不泄底私鑰就安全。這也意味著 RSA 的密鑰長度必須跟著計算能力一起漲——?dú)v史上前人踩過的坑基本都是密鑰太短被硬算出來的。3.3 散列函數(shù)與數(shù)字簽名為什么不可驗證是個錯誤說法散列函數(shù)做的事很單純把任意長度的輸入壓縮、轉(zhuǎn)換成一段定長的輸出這段輸出叫散列值。輸入哪怕只改一個字符輸出也會面目全非這叫雪崩效應(yīng)而且這個過程是單向的從散列值幾乎不可能倒推出原文。import hashlib data bthe same input always gives the same digest digest hashlib.sha256(data).hexdigest() print(len(digest)) # 恒為 64與輸入長度無關(guān) print(hashlib.sha256(data).hexdigest() digest) # True同輸入必得同輸出 print(hashlib.sha256(bthe same input always gives the same digesT).hexdigest()[:8], digest[:8]) # 前 8 位已經(jīng)完全不同sha256這個參數(shù)決定了輸出長度為 256 位轉(zhuǎn)成十六進(jìn)制就是 64 個字符。第三行演示的是雪崩效應(yīng)只把最后一個字母改了大寫前 8 位就天差地別。散列值常被當(dāng)成指紋用文件校驗、口令存儲、數(shù)字簽名里的摘要計算底層都是它。數(shù)字簽名的做法是先對內(nèi)容算散列再用私鑰對這個散列值做運(yùn)算。驗證方拿到內(nèi)容和簽名后用公鑰解出散列值自己再算一遍內(nèi)容的散列兩個一比對就知道內(nèi)容有沒有被改、簽名是不是本人出的。數(shù)字簽名的特性可以歸成四條簽名可信且不可偽造簽名不可復(fù)制、不可改變簽名不可抵賴簽名可以被驗證。第四條尤其容易被忽略——有些選擇題會寫簽名是不可驗證的這就是典型的錯誤選項。簽名的全部意義就在于能被驗如果驗不了它和一段亂碼沒有區(qū)別。3.4 四種認(rèn)證方式共享密鑰、口令、公鑰、零知識認(rèn)證要回答的問題是你怎么證明你是你。常見路子有四條各有各的信任基礎(chǔ)。共享密鑰認(rèn)證的前提是雙方共同擁有一個秘密這個秘密不為外人所知認(rèn)證時以它作為密鑰借助計算機(jī)的算力完成驗證。它的信任基礎(chǔ)是這個秘密只有我們倆知道?？诹钫J(rèn)證的信任基礎(chǔ)是只有我知道這串字符實現(xiàn)最簡單但一旦泄露就徹底失守而且容易被撞庫。公鑰認(rèn)證的信任基礎(chǔ)是只有我持有這把私鑰驗證方用公鑰就能確認(rèn)不需要私鑰離開持有者。零知識認(rèn)證則更巧妙證明者在不泄露秘密本身的前提下讓驗證方相信自己確實知道這個秘密。方式信任基礎(chǔ)典型弱點(diǎn)共享密鑰認(rèn)證雙方共有一個不外泄的秘密秘密分發(fā)和保管成本高口令認(rèn)證只有本人知道這串字符弱口令、撞庫、明文傳輸公鑰認(rèn)證只有本人持有私鑰私鑰保管與證書鏈信任零知識認(rèn)證不泄露秘密也能證明知道它協(xié)議設(shè)計與實現(xiàn)復(fù)雜度高四條路不是替代關(guān)系實際系統(tǒng)往往疊著用先用公鑰體系建立通道再在通道里走口令關(guān)鍵操作再加一道動態(tài)口令。3.5 PKI 的零件清單CA、RA、證書庫、作廢系統(tǒng)PKI 的全稱是公鑰基礎(chǔ)設(shè)施它解決的是公鑰密碼里最尷尬的一環(huán)我怎么確定這把公鑰真的是你的而不是別人偽造的答案是引入一個大家都信的第三方給公鑰蓋章。PKI 的體系結(jié)構(gòu)包括數(shù)字證書庫、認(rèn)證機(jī)構(gòu)、密鑰備份及恢復(fù)系統(tǒng)、應(yīng)用接口和證書作廢系統(tǒng)。認(rèn)證機(jī)構(gòu)CA是發(fā)證和簽章的權(quán)威注冊機(jī)構(gòu)RA負(fù)責(zé)受理申請、核驗身份把合格的申請轉(zhuǎn)給 CA證書庫負(fù)責(zé)存儲和分發(fā)已經(jīng)簽發(fā)的證書證書作廢系統(tǒng)負(fù)責(zé)在私鑰泄露、身份變更等情況下讓證書提前失效密鑰備份及恢復(fù)系統(tǒng)則應(yīng)對私鑰丟了怎么辦這個現(xiàn)實問題。這里有兩個高頻混淆點(diǎn)。第一SSL 不屬于 PKI 的組成部分——SSL 是使用證書的一個協(xié)議是 PKI 的下游消費(fèi)者不是 PKI 的零件。第二PKI 的管理對象是證書、密鑰和證書撤消狀態(tài)不包括用戶的 ID 和口令I(lǐng)D 和口令屬于身份管理范疇。把下游消費(fèi)者當(dāng)零件、把隔壁模塊當(dāng)自家資產(chǎn)是初學(xué)者最常犯的兩類錯誤。3.6 Kerberos為什么必須先拿票再看門Kerberos 是一個對稱密鑰加密系統(tǒng)它使用集中式的專鑰密碼功能系統(tǒng)核心是 KDC密鑰分發(fā)中心。它要解決的問題是在一個內(nèi)部網(wǎng)絡(luò)里幾十上百個服務(wù)如果每兩個服務(wù)之間都單獨(dú)協(xié)商一把鑰匙鑰匙數(shù)量會爆炸管理成本無法承受。集中式發(fā)鑰匙是更現(xiàn)實的方案。Kerberos 的流程分兩段第一段先向認(rèn)證服務(wù)器證明身份、拿到一張通行證第二段在真正訪問應(yīng)用服務(wù)器之前必須向票據(jù)授予服務(wù)器TGS請求針對該應(yīng)用服務(wù)器的票據(jù)。這個兩段式設(shè)計的好處是通行證在有效期內(nèi)可以反復(fù)用不必每次訪問都重新輸密碼而每張服務(wù)票據(jù)只對特定服務(wù)有效權(quán)限被切得很細(xì)。用現(xiàn)實場景類比先在前臺核驗身份、領(lǐng)一張訪客卡通行證進(jìn)某個具體樓層時還要拿訪客卡去換該樓層的臨時門禁服務(wù)票據(jù)。前臺不管你進(jìn)哪層樓層門禁不認(rèn)你的身份證只認(rèn)臨時門禁職責(zé)分得清清楚楚。注意Kerberos 的前提是各方時鐘大致同步時間偏差過大時票據(jù)會被判定失效這是排障時很容易忽略的一條。4. 訪問控制與邊界防護(hù)誰可以做什么門到底設(shè)在哪密碼學(xué)解決內(nèi)容藏得住認(rèn)證解決你是你接下來必須解決你能干什么。這一步?jīng)]做好前面兩關(guān)做得再漂亮也沒用——身份是真的、通道是加密的結(jié)果一個普通賬號能刪整個庫等于門鎖很結(jié)實但鑰匙隨便發(fā)。4.1 DAC、MAC、RBAC三種經(jīng)典模型各自把決定權(quán)交給誰傳統(tǒng)訪問控制有三種經(jīng)典模型自主訪問控制DAC、強(qiáng)制訪問控制MAC、基于角色的訪問控制RBAC。三者的區(qū)別在于誰來決定權(quán)限。DAC 把決定權(quán)交給資源的擁有者——我建的文件我說了算給誰看。靈活但風(fēng)險也來自靈活擁有者可能隨手就授出去了權(quán)限會像水一樣往外滲。MAC 把決定權(quán)交給系統(tǒng)統(tǒng)一制定的安全標(biāo)簽主體有密級、客體也有密級能不能訪問由規(guī)則強(qiáng)制判定個人無權(quán)更改。它嚴(yán)格代價是管理成本高、靈活性差。RBAC 則把決定權(quán)交給角色這個中間層——不直接給人授權(quán)而是先給角色授權(quán)再把人放進(jìn)角色里。RBAC 的價值在組織規(guī)模變大時特別明顯。一個公司新來十個客服如果按人授權(quán)得改十次如果按角色授權(quán)只需把這十個人加進(jìn)客服角色。人員流動、崗位調(diào)整改的都是角色成員關(guān)系權(quán)限規(guī)則本身不用動。RBAC 核心模型包含五個基本靜態(tài)集合用戶集、角色集、特權(quán)集包括對象集和操作集、會話集。用戶是誰角色是干什么的崗位特權(quán)是能做哪些操作會話是這次登錄期間激活了哪些角色。最后這個會話集常被忽略但它很關(guān)鍵——同一個人可能同時具備多個角色登錄時可以只激活其中一部分避免權(quán)限疊加失控。還有一種常被誤認(rèn)為第四種傳統(tǒng)模型的東西PMI即權(quán)限管理基礎(chǔ)設(shè)施。它不是訪問控制模型而是負(fù)責(zé)權(quán)限的產(chǎn)生、管理、存儲、分發(fā)的一套體系。傳統(tǒng)三模型里沒有它這是很典型的一道送分題也是很典型的失分題。4.2 ABAC 的四元組把環(huán)境也算進(jìn)權(quán)限判斷基于屬性的訪問控制ABAC把權(quán)限判斷建立在屬性上核心概念用一個四元組描述主體、客體、權(quán)限、環(huán)境。主體是發(fā)起訪問的一方客體是被訪問的資源權(quán)限是允許的操作環(huán)境則是前三個之外的一切上下文——時間、地點(diǎn)、設(shè)備狀態(tài)、網(wǎng)絡(luò)區(qū)域。環(huán)境這一維是 ABAC 相對傳統(tǒng)模型最有意思的地方同一個人、同一個文件、同一個讀操作在辦公時間從公司設(shè)備訪問可以放行在凌晨三點(diǎn)從陌生設(shè)備訪問就要求二次驗證。這個能力在遠(yuǎn)程辦公、多端協(xié)同的場景里幾乎是剛需。代價是判斷邏輯變復(fù)雜了屬性從哪來、準(zhǔn)不準(zhǔn)、怎么同步每一個都是工程問題。ABAC 不是更高級所以更好而是當(dāng)你的授權(quán)規(guī)則真的依賴上下文時才值得付出這個復(fù)雜度。4.3 防火墻包過濾看網(wǎng)絡(luò)層應(yīng)用網(wǎng)關(guān)看應(yīng)用層但攔不住內(nèi)部威脅防火墻建立在一個網(wǎng)絡(luò)的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的交叉點(diǎn)上這是它最本質(zhì)的位置特征——它管的是進(jìn)出這個動作。位置決定了能力也決定了盲區(qū)。按工作層次分包過濾型防火墻是在網(wǎng)絡(luò)層對數(shù)據(jù)包進(jìn)行分析和選擇看源地址、目的地址、端口、協(xié)議這些頭部信息快但粗應(yīng)用網(wǎng)關(guān)型防火墻則在應(yīng)用層建立協(xié)議過濾和轉(zhuǎn)發(fā)功能能看懂 HTTP、FTP 這些協(xié)議的內(nèi)容細(xì)但慢。關(guān)于防火墻的功能邊界有一道很經(jīng)典的判斷題防火墻可以阻止來自內(nèi)部的威脅和攻擊——這是錯的。防火墻守的是邊界內(nèi)部兩臺機(jī)器之間的橫向流量它根本不經(jīng)手。這也解釋了為什么邊界防護(hù)做得很扎實內(nèi)網(wǎng)卻被一臺中招的機(jī)器攪得天翻地覆這類事件反復(fù)發(fā)生。邊界是必要條件不是充分條件。還有一道容易錯的HTTPS 是使用 SSL 協(xié)議來保證信息安全的。這里考的是層級關(guān)系——SSL 是一個中間層協(xié)議位于 TCP/IP 的應(yīng)用層和 TCP 層之間為 TCP 提供可靠的端到端安全服務(wù)。它不改變應(yīng)用層協(xié)議本身只是在下面墊了一層安全通道。另外一個常被忽略的細(xì)節(jié)路由器可以隔離 ARP 廣播幀交換機(jī)不行。因為廣播幀是鏈路層的概念交換機(jī)工作在鏈路層默認(rèn)就是轉(zhuǎn)發(fā)廣播路由器工作在網(wǎng)絡(luò)層天然是廣播域的邊界。4.4 網(wǎng)絡(luò)攻擊五階段與取證四階段出事之后怎么還原攻擊者在實施網(wǎng)絡(luò)攻擊時一般流程包括信息的收集、系統(tǒng)安全缺陷探測、實施攻擊、鞏固攻擊成果和痕跡清理五個階段。信息收集是踩點(diǎn)摸清目標(biāo)有哪些資產(chǎn)、跑著什么服務(wù)缺陷探測是找縫看哪個版本有已知問題、哪個配置過于寬松實施攻擊是破門鞏固成果是扎根留后門、加賬號、埋定時任務(wù)確保下次還能進(jìn)來痕跡清理是擦腳印刪日志、改時間戳。這五步的順序本身就是防守的機(jī)會窗口越靠前攔成本越低。在信息收集階段被發(fā)現(xiàn)的攻擊往往還沒造成任何損失等到痕跡清理階段才發(fā)現(xiàn)通常意味著對方已經(jīng)在里面待了很久。取證則用一個四階段過程來描述收集、檢查、分析、報告。收集是保全現(xiàn)場把硬盤、內(nèi)存、日志、網(wǎng)絡(luò)流量原樣固定下來這一步最怕先看看再說——一開機(jī)、一登錄時間戳和臨時文件就變了檢查是在不破壞證據(jù)的前提下做篩選和提取分析是把碎片拼成時間線還原發(fā)生了什么報告是把結(jié)論落成可被第三方復(fù)核的文檔。四個階段里收集階段的規(guī)范性直接決定后面三步還有沒有意義。4.5 TCSEC 的安全等級4 個類別還是 7 個級別可信計算機(jī)評價標(biāo)準(zhǔn)TCSEC把計算機(jī)系統(tǒng)的安全劃分為若干等級。這道題在不同教材里答案會不一樣因為問的口徑不同按大類分是 4 類D、C、B、A按細(xì)分級別分是 7 級D、C1、C2、B1、B2、B3、A1。D 是最低的可評估級別C1 是自主安全保護(hù)C2 加入受控訪問保護(hù)B 類引入強(qiáng)制訪問控制并逐級加強(qiáng)A1 是最高級別、需要形式化驗證。遇到選項里同時出現(xiàn) 4、5、6、7 的時候先別急著算先確認(rèn)題目問的是類別數(shù)還是級別數(shù)。這不是文字游戲而是這門課里非常真實的一個坑。5. 最容易混淆的四組概念證書與權(quán)限、認(rèn)證與授權(quán)、加密與簽名、通道與協(xié)議考場上失分最多的地方往往不是沒背過而是背過的東西在腦子里串了門。下面四組概念每組都長得像、位置卻完全不同值得單獨(dú)拎出來對比。5.1 PKI 與 PMI一個管證書一個管權(quán)限易混點(diǎn)兩者都是基礎(chǔ)設(shè)施縮寫只差一個字母都跟誰能干什么沾邊。為什么混它們經(jīng)常在同一個系統(tǒng)里配套出現(xiàn)——先拿證書證明你是你再查權(quán)限決定你能干啥。流程連在一起容易讓人以為是一回事。怎么區(qū)分PKI 管的是身份憑證負(fù)責(zé)證書的產(chǎn)生、管理、存儲、分發(fā)和撤銷核心產(chǎn)物是數(shù)字證書。PMI 管的是授權(quán)負(fù)責(zé)權(quán)限的產(chǎn)生、管理、存儲和分發(fā)核心產(chǎn)物是屬性證書或授權(quán)憑證。一句話記PKI 回答你是誰PMI 回答你能干啥。看到證書的產(chǎn)生與撤銷想 PKI看到權(quán)限的產(chǎn)生與分發(fā)想 PMI。5.2 認(rèn)證與授權(quán)先驗身份再談能干啥易混點(diǎn)兩個詞在日常語境里經(jīng)常被混著用登錄這一個動作里其實兩件事都發(fā)生了。為什么混登錄成功的那一刻系統(tǒng)既確認(rèn)了你的身份又決定了你能看到哪些菜單兩個結(jié)果同時呈現(xiàn)用戶感知不到分界。怎么區(qū)分認(rèn)證發(fā)生在前面產(chǎn)出是這個身份可信授權(quán)發(fā)生在后面產(chǎn)出是這個身份可以做哪些操作。認(rèn)證失敗是我不知道你是誰授權(quán)失敗是我知道你是誰但你不能碰這個。排障時這條分界很好用能登錄但看不到某個功能問題在授權(quán)壓根登不進(jìn)去問題在認(rèn)證。5.3 加密與簽名一個為保密一個為可信易混點(diǎn)都用了公鑰私鑰那一套都涉及把內(nèi)容變成看不懂的東西。為什么混數(shù)字簽名里也有一步用私鑰對摘要做運(yùn)算形態(tài)上很像加密輸出也是一串亂碼。怎么區(qū)分看目的。加密是為了讓別人看不懂所以加密用接收方的公鑰只有接收方的私鑰能解。簽名是為了讓別人信得過所以簽名用自己的私鑰任何人都能用你的公鑰去驗。加密保證機(jī)密性簽名保證完整性和不可抵賴性。還有一個細(xì)節(jié)能幫你區(qū)分加密是可逆的簽名是不可逆的你沒法從簽名里解出原文。5.4 SSL、HTTPS 與 IPSec三個層級別互相頂替易混點(diǎn)都跟安全傳輸有關(guān)都出現(xiàn)在網(wǎng)絡(luò)協(xié)議題里。為什么混它們都能讓數(shù)據(jù)在路上不被偷看效果上高度重疊題目又愛把它們放在同一組選項里。怎么區(qū)分SSL 是位于應(yīng)用層和 TCP 層之間的中間層協(xié)議為 TCP 提供端到端安全服務(wù)HTTPS 就是 HTTP 跑在 SSL 之上所以HTTPS 用 SSL 保證安全這個說法是對的。IPSec 則工作在網(wǎng)絡(luò)層對 IP 數(shù)據(jù)報整體做保護(hù)其中負(fù)責(zé)加密的部分是封裝安全負(fù)載ESP負(fù)責(zé)認(rèn)證的是鑒別包頭AH。一個在傳輸層之上給應(yīng)用搭安全通道一個在網(wǎng)絡(luò)層保護(hù)整個 IP 包位置不同能保護(hù)的范圍也不同。6. 什么時候翻這份資料什么時候別指望它這份《信息安全概論》試卷匯編的定位很清晰它是一套帶答案的概念覆蓋清單五個部分把密碼學(xué)、認(rèn)證體系、訪問控制、邊界防護(hù)、攻擊與取證的主要考點(diǎn)基本掃了一遍——選擇題考定義邊界填空題考精確措辭兩者配合起來正好能篩出以為自己懂了其實記岔了的地方。它的適用場景集中在需要把話說準(zhǔn)的場合場景適合程度原因期末復(fù)習(xí)、自測概念掌握度適合題目覆蓋廣答案就近可查面試前快速過一遍名詞適合定義式的題目正好對應(yīng)面試的說說什么是 XX搭建技術(shù)方案的選型依據(jù)不適合試卷不討論性能、成本和落地約束排查線上具體故障不適合只有概念判斷沒有排障路徑替代教材系統(tǒng)學(xué)習(xí)不適合題目是抽樣不成體系打個比方它像一張標(biāo)注了主要景點(diǎn)的地圖能讓你快速知道自己漏了哪片區(qū)域但地圖上沒有路況、沒有坡度、沒有修路通知。真要走完全程還得回到教材和實際系統(tǒng)里。用的時候有一點(diǎn)很關(guān)鍵別只看答案要看錯誤選項錯在哪。比如簽名是不可驗證的這個選項如果你只是記住這題選 C下次換個問法數(shù)字簽名的特性不包括照樣會翻車但你如果記住簽名的全部意義就是可被驗證這個知識點(diǎn)就長在腦子里了。還有一個特別真實的踩坑點(diǎn)這套資料內(nèi)部的口徑并不完全統(tǒng)一。TCSEC 那道題一處按類別數(shù)答 5、一處按級別數(shù)答 7看起來矛盾其實是兩套計數(shù)方式混在一份卷子里了。類似的情況在網(wǎng)絡(luò)攻擊五階段的表述上也有——有的地方寫系統(tǒng)調(diào)查有的地方寫信息的收集指的是同一個階段的兩種叫法。第一次遇到時我以為是答案印錯了硬背了一個結(jié)果考試時遇到另一種表述直接卡住。后來才明白概念題最忌諱記死字符串得記住它在整個流程里承擔(dān)什么角色第一步永遠(yuǎn)是摸清目標(biāo)有什么叫什么都指這件事。從那以后我每次用這類試卷自測都強(qiáng)制走一遍流程先不看答案做完再把錯題的錯誤選項逐條改寫成正確表述最后合上資料用自己的話把這一章講一遍。講不順的地方就是還沒真懂的地方。希望這套方法也能幫到你讓那些看著眼熟的縮寫真正變成你腦子里的位置和邊界。本文還有配套的精品資源點(diǎn)擊獲取