簡介《信息安全概論》課程復(fù)習(xí)與自測資料面向高校信息安全、網(wǎng)絡(luò)工程等相關(guān)專業(yè)學(xué)生及備考人員圍繞課程核心概念和常見題型組織內(nèi)容可用于期末復(fù)習(xí)、課堂練習(xí)與考前查漏補(bǔ)缺。壓縮包內(nèi)為 1 個(gè) docx 文檔約 21KB體積輕便便于查閱、打印和二次整理。文檔以多套試卷為例覆蓋密碼學(xué)基本目標(biāo)、PKI 體系組成、訪問控制模型、防火墻原理、Kerberos 認(rèn)證、TCSEC 安全等級(jí)、網(wǎng)絡(luò)攻擊流程、SSL 協(xié)議、RBAC、數(shù)字水印和計(jì)算機(jī)取證等知識(shí)點(diǎn)題型以單項(xiàng)選擇和填空為主并隨題附有參考答案便于對照訂正與記憶關(guān)鍵術(shù)語適合考前集中刷題和知識(shí)點(diǎn)串聯(lián)。已有 1013 人學(xué)習(xí)讀者可借助題目快速定位薄弱環(huán)節(jié)理解信息安全體系結(jié)構(gòu)與關(guān)鍵協(xié)議機(jī)制也可將其作為復(fù)習(xí)提綱和自測清單使用。1. 信息安全概論到底在講什么一套家用安防引出的知識(shí)地圖裝過家用安防的人都有體會(huì)門鎖只管一扇門窗戶、門禁卡、攝像頭、物業(yè)巡邏、事后調(diào)監(jiān)控缺一樣心里都不踏實(shí)。信息安全概論講的正是這套家宅安防的全景圖——它不盯著某一項(xiàng)技術(shù)而是把密碼學(xué)、身份認(rèn)證、訪問控制、邊界防護(hù)、攻擊流程與事后取證這些零件擺到一張圖上說清各自守哪一段、彼此怎么接。搞懂這張圖的好處很實(shí)在以后再聽到 PKI、Kerberos、RBAC 這些縮寫你能立刻判斷它掛在哪個(gè)位置、解決的是保密驗(yàn)身份還是管權(quán)限里的哪一類問題而不是把它們當(dāng)成一串互不相干的詞硬背下來。2. 為什么先擺模型再談產(chǎn)品PDR、IATF 與安全體系結(jié)構(gòu)學(xué)信息安全最容易走的一條彎路是一頭扎進(jìn)工具清單裝個(gè)防火墻、買個(gè)殺毒、配個(gè)堡壘機(jī)覺得疊得夠多就安全了?？涩F(xiàn)實(shí)里疊了一堆設(shè)備卻說不清我到底在防誰、防到什么程度、出了事怎么發(fā)現(xiàn)的團(tuán)隊(duì)并不少見。模型存在的意義就是先把安全這件事拆成可討論的骨架再讓技術(shù)往里填。2.1 PDR 模型安全是保護(hù)—檢測—響應(yīng)的循環(huán)不是一張采購清單PDR 三個(gè)字母分別對應(yīng)保護(hù)Protection、檢測Detection、響應(yīng)Response。保護(hù)是讓壞事盡量別發(fā)生檢測是壞事發(fā)生時(shí)能第一時(shí)間知道響應(yīng)是知道之后能控制住局面、恢復(fù)業(yè)務(wù)。三者串成一個(gè)循環(huán)缺一環(huán)都會(huì)出現(xiàn)典型的翻車場景只有保護(hù)沒有檢測等于門鎖被撬了也沒人知道只有檢測沒有響應(yīng)攝像頭拍下了全過程但沒人來處理只有響應(yīng)沒有保護(hù)事后救火再快也架不住天天起火。拿家用安防對照就很清楚門鎖和防盜窗是保護(hù)攝像頭和門磁是檢測報(bào)警后趕回家或聯(lián)系物業(yè)是響應(yīng)。三者不是替代關(guān)系而是接力關(guān)系。PDR 和訪問控制最容易被人放在一起比。訪問控制關(guān)心的是某個(gè)主體能不能對某個(gè)客體做某個(gè)操作它盯的是一條條具體的授權(quán)規(guī)則PDR 則把整個(gè)安全對象當(dāng)成一個(gè)整體來看待——不是糾結(jié)某條規(guī)則寫沒寫對而是問這套系統(tǒng)整體的防護(hù)、發(fā)現(xiàn)和恢復(fù)能力夠不夠。換句話說訪問控制是門禁名單PDR 是整棟樓的安防評(píng)估。前者解決這扇門誰能進(jìn)后者解決這棟樓經(jīng)不經(jīng)得起出事。提示判斷一道題在問 PDR 還是訪問控制看它強(qiáng)調(diào)的是整體安全能力還是某條具體授權(quán)這兩個(gè)方向幾乎不會(huì)同時(shí)出現(xiàn)在一個(gè)選項(xiàng)里。2.2 IATF 的三要素人、技術(shù)、操作為什么主機(jī)不在其中IATF 把信息保障的核心要素歸納為三個(gè)人、技術(shù)、操作。很多人第一次看到這個(gè)劃分會(huì)愣一下——主機(jī)呢網(wǎng)絡(luò)呢?cái)?shù)據(jù)呢它們難道不重要重要但它們是被保護(hù)的對象不是保障行為的要素。這個(gè)區(qū)別很像醫(yī)院做手術(shù)主刀醫(yī)生是人器械和技術(shù)是手段手術(shù)流程規(guī)范是操作而病人是這套體系要服務(wù)的對象不會(huì)被列進(jìn)手術(shù)三要素里。主機(jī)、網(wǎng)絡(luò)、數(shù)據(jù)處在對象的位置人、技術(shù)、操作處在能力的位置。一道選擇題問不屬于三要素的是答案落在主機(jī)上考的就是這個(gè)位置感。理解這一點(diǎn)的現(xiàn)實(shí)價(jià)值在于很多安全事件復(fù)盤到最后問題既不出在技術(shù)上也不出在設(shè)備上而是出在操作流程沒人遵守、或者人根本沒意識(shí)到風(fēng)險(xiǎn)。三要素的說法提醒你只補(bǔ)技術(shù)那一塊另外兩塊空著整體水位照樣上不去。2.3 OSI 安全體系結(jié)構(gòu)安全攻擊、安全機(jī)制、安全服務(wù)是一條因果鏈OSI 安全體系結(jié)構(gòu)主要包含三塊安全攻擊、安全機(jī)制、安全服務(wù)。三個(gè)詞聽上去都挺抽象用一條因果鏈來串就順了。先有攻擊——有人會(huì)偷、會(huì)騙、會(huì)冒充、會(huì)截取這是問題的源頭。為了對付攻擊才有機(jī)制——加密、認(rèn)證、訪問控制、審計(jì)、流量填充等等這些是手段。機(jī)制用起來以后對外表現(xiàn)出來的是服務(wù)——比如這段通信別人看不懂這個(gè)身份可以確認(rèn)不是冒充的這條記錄事后改不了這些是可以寫進(jìn)承諾里的東西。打個(gè)比方小偷的撬鎖、尾隨、翻窗是攻擊你裝的防盜門、監(jiān)控、門禁是機(jī)制而你能對家人說的咱家門窗被撬會(huì)響、有人進(jìn)過能查錄像是服務(wù)。攻擊是威脅面機(jī)制是對策庫服務(wù)是最終交付給使用者的保障。三者層層對應(yīng)缺了任何一層討論都會(huì)懸空只談攻擊不談機(jī)制那是嚇自己只談機(jī)制不談服務(wù)那是列設(shè)備清單。2.4 密碼體制五元組一個(gè)定義把加密這件事說完密碼體制可以用一個(gè)五元組來定義明文空間、密文空間、密鑰空間、加密算法、解密算法。這五個(gè)詞看著像背書其實(shí)每一個(gè)都對應(yīng)一個(gè)很實(shí)際的問題。明文空間回答允許出現(xiàn)哪些原始信息比如只允許 26 個(gè)小寫字母還是允許任意字節(jié)。密文空間回答加密之后長什么樣、有多長。密鑰空間回答一共有多少把可能的鑰匙這個(gè)數(shù)字直接決定暴力破解的難度——26 種可能的密鑰和 2 的 128 次方種可能的密鑰完全不是一個(gè)量級(jí)。加密算法和解密算法則是一對互逆的變換規(guī)則。下面這段代碼用最樸素的位移替換把五元組逐個(gè)對應(yīng)到具體實(shí)現(xiàn)上# 用 26 個(gè)字母的位移替換把密碼體制五元組具象化 LOWER abcdefghijklmnopqrstuvwxyz PLAINTEXT_SPACE LOWER # 明文空間允許出現(xiàn)的明文字符集合 CIPHERTEXT_SPACE LOWER # 密文空間加密后仍落在同一字符集 KEY_SPACE range(26) # 密鑰空間位移量 0~25共 26 種 def encrypt(plain: str, key: int) - str: # 加密算法明文 密鑰 - 密文 return .join(LOWER[(LOWER.index(ch) key) % 26] for ch in plain) def decrypt(cipher: str, key: int) - str: # 解密算法密文 同一密鑰 - 明文與 encrypt 互為逆運(yùn)算 return .join(LOWER[(LOWER.index(ch) - key) % 26] for ch in cipher) c encrypt(security, 3) print(c, decrypt(c, 3)) # 輸出vhfxulwb security這段代碼值得看的不是它多安全——它一點(diǎn)也不安全密鑰空間只有 26挨個(gè)試一遍幾毫秒就完了——而是它能讓你看清五元組各自在哪一行。LOWER同時(shí)充當(dāng)明文空間和密文空間range(26)是密鑰空間兩個(gè)函數(shù)分別是加密算法和解密算法。想提升強(qiáng)度動(dòng)的就是密鑰空間從 26 擴(kuò)到 2 的 128 次方窮舉就從眨眼之間變成宇宙壽命。現(xiàn)代密碼算法的設(shè)計(jì)重心很大程度上就是在擴(kuò)大密鑰空間的同時(shí)讓加密解密仍然足夠快。注意密鑰空間的大小只是強(qiáng)度的一個(gè)維度算法本身有沒有結(jié)構(gòu)缺陷同樣致命。位移替換即使把密鑰擴(kuò)到很大只要頻率分析一上就原形畢露。3. 密碼學(xué)與認(rèn)證從共享密鑰到 PKI、Kerberos 的角色分工密碼學(xué)常被誤解成一整套加密方法其實(shí)它內(nèi)部是按任務(wù)分崗的有人負(fù)責(zé)把內(nèi)容藏起來有人負(fù)責(zé)讓內(nèi)容改不了有人負(fù)責(zé)證明你是你。分不清崗位就會(huì)出現(xiàn)用散列函數(shù)加密文件用簽名算法做密鑰交換這類看上去專業(yè)、實(shí)則跑不通的做法。3.1 對稱密碼的兩條路線流密碼與分組密碼對稱密碼的特點(diǎn)是加密和解密用同一把鑰匙。它下面分兩大類流密碼和分組密碼。流密碼按位或按字節(jié)逐個(gè)處理像水龍頭一樣源源不斷地產(chǎn)出密鑰流與明文逐位混合。它的優(yōu)點(diǎn)是延遲低、不需要等攢夠一整塊適合實(shí)時(shí)性要求高的場景。分組密碼則把明文切成固定長度的塊一塊一塊地加密比如經(jīng)典的 DES 就是分組密碼塊長 64 位。它的優(yōu)點(diǎn)是結(jié)構(gòu)規(guī)整、便于標(biāo)準(zhǔn)化實(shí)現(xiàn)缺點(diǎn)是需要處理最后一塊不夠長怎么辦的填充問題以及塊與塊之間要不要做鏈接的問題。用物流打個(gè)比方流密碼像傳送帶上逐個(gè)打包來一個(gè)包一個(gè)分組密碼像集裝裝箱攢夠一箱封一箱。兩種方式?jīng)]有絕對優(yōu)劣看貨物形態(tài)和時(shí)效要求。分組密碼還有一個(gè)繞不開的坑如果每個(gè)塊都用同一把鑰匙獨(dú)立加密相同的明文塊會(huì)產(chǎn)生相同的密文塊模式就暴露了。所以實(shí)際使用時(shí)要配合鏈接模式讓前一塊的結(jié)果參與后一塊的運(yùn)算把塊與塊互相獨(dú)立這個(gè)漏洞補(bǔ)上。3.2 公鑰密碼與 RSA加密用公鑰簽名用私鑰公鑰密碼體制里每人有一對鑰匙公鑰可以隨便發(fā)私鑰只有自己知道。這里最常見的一道選擇題是用于加密的密鑰是哪一把——答案是公鑰。別人要給你發(fā)密信用你的公鑰鎖上只有你的私鑰能打開。這個(gè)方向感特別重要因?yàn)樗诤灻麍鼍跋抡梅催^來。簽名是我證明這話是我說的得用只有我有的東西——私鑰驗(yàn)證是大家確認(rèn)這話確實(shí)是你說的用的是公開的東西——公鑰。一個(gè)口訣加密用對方的公鑰簽名用自己的私鑰。搞反了不是不安全是根本跑不通。RSA 是公鑰體系的代表算法它的安全基礎(chǔ)建立在一個(gè)假設(shè)上大數(shù)不可能被有效地分解質(zhì)因數(shù)。兩個(gè)大素?cái)?shù)相乘得到一個(gè)大數(shù)很容易反過來從這個(gè)大數(shù)里把兩個(gè)素?cái)?shù)拆出來極難。公鑰和私鑰就是從這對素?cái)?shù)推出來的公開的那個(gè)大數(shù)不泄底私鑰就安全。這也意味著 RSA 的密鑰長度必須跟著計(jì)算能力一起漲——?dú)v史上前人踩過的坑基本都是密鑰太短被硬算出來的。3.3 散列函數(shù)與數(shù)字簽名為什么不可驗(yàn)證是個(gè)錯(cuò)誤說法散列函數(shù)做的事很單純把任意長度的輸入壓縮、轉(zhuǎn)換成一段定長的輸出這段輸出叫散列值。輸入哪怕只改一個(gè)字符輸出也會(huì)面目全非這叫雪崩效應(yīng)而且這個(gè)過程是單向的從散列值幾乎不可能倒推出原文。import hashlib data bthe same input always gives the same digest digest hashlib.sha256(data).hexdigest() print(len(digest)) # 恒為 64與輸入長度無關(guān) print(hashlib.sha256(data).hexdigest() digest) # True同輸入必得同輸出 print(hashlib.sha256(bthe same input always gives the same digesT).hexdigest()[:8], digest[:8]) # 前 8 位已經(jīng)完全不同sha256這個(gè)參數(shù)決定了輸出長度為 256 位轉(zhuǎn)成十六進(jìn)制就是 64 個(gè)字符。第三行演示的是雪崩效應(yīng)只把最后一個(gè)字母改了大寫前 8 位就天差地別。散列值常被當(dāng)成指紋用文件校驗(yàn)、口令存儲(chǔ)、數(shù)字簽名里的摘要計(jì)算底層都是它。數(shù)字簽名的做法是先對內(nèi)容算散列再用私鑰對這個(gè)散列值做運(yùn)算。驗(yàn)證方拿到內(nèi)容和簽名后用公鑰解出散列值自己再算一遍內(nèi)容的散列兩個(gè)一比對就知道內(nèi)容有沒有被改、簽名是不是本人出的。數(shù)字簽名的特性可以歸成四條簽名可信且不可偽造簽名不可復(fù)制、不可改變簽名不可抵賴簽名可以被驗(yàn)證。第四條尤其容易被忽略——有些選擇題會(huì)寫簽名是不可驗(yàn)證的這就是典型的錯(cuò)誤選項(xiàng)。簽名的全部意義就在于能被驗(yàn)如果驗(yàn)不了它和一段亂碼沒有區(qū)別。3.4 四種認(rèn)證方式共享密鑰、口令、公鑰、零知識(shí)認(rèn)證要回答的問題是你怎么證明你是你。常見路子有四條各有各的信任基礎(chǔ)。共享密鑰認(rèn)證的前提是雙方共同擁有一個(gè)秘密這個(gè)秘密不為外人所知認(rèn)證時(shí)以它作為密鑰借助計(jì)算機(jī)的算力完成驗(yàn)證。它的信任基礎(chǔ)是這個(gè)秘密只有我們倆知道。口令認(rèn)證的信任基礎(chǔ)是只有我知道這串字符實(shí)現(xiàn)最簡單但一旦泄露就徹底失守而且容易被撞庫。公鑰認(rèn)證的信任基礎(chǔ)是只有我持有這把私鑰驗(yàn)證方用公鑰就能確認(rèn)不需要私鑰離開持有者。零知識(shí)認(rèn)證則更巧妙證明者在不泄露秘密本身的前提下讓驗(yàn)證方相信自己確實(shí)知道這個(gè)秘密。方式信任基礎(chǔ)典型弱點(diǎn)共享密鑰認(rèn)證雙方共有一個(gè)不外泄的秘密秘密分發(fā)和保管成本高口令認(rèn)證只有本人知道這串字符弱口令、撞庫、明文傳輸公鑰認(rèn)證只有本人持有私鑰私鑰保管與證書鏈信任零知識(shí)認(rèn)證不泄露秘密也能證明知道它協(xié)議設(shè)計(jì)與實(shí)現(xiàn)復(fù)雜度高四條路不是替代關(guān)系實(shí)際系統(tǒng)往往疊著用先用公鑰體系建立通道再在通道里走口令關(guān)鍵操作再加一道動(dòng)態(tài)口令。3.5 PKI 的零件清單CA、RA、證書庫、作廢系統(tǒng)PKI 的全稱是公鑰基礎(chǔ)設(shè)施它解決的是公鑰密碼里最尷尬的一環(huán)我怎么確定這把公鑰真的是你的而不是別人偽造的答案是引入一個(gè)大家都信的第三方給公鑰蓋章。PKI 的體系結(jié)構(gòu)包括數(shù)字證書庫、認(rèn)證機(jī)構(gòu)、密鑰備份及恢復(fù)系統(tǒng)、應(yīng)用接口和證書作廢系統(tǒng)。認(rèn)證機(jī)構(gòu)CA是發(fā)證和簽章的權(quán)威注冊機(jī)構(gòu)RA負(fù)責(zé)受理申請、核驗(yàn)身份把合格的申請轉(zhuǎn)給 CA證書庫負(fù)責(zé)存儲(chǔ)和分發(fā)已經(jīng)簽發(fā)的證書證書作廢系統(tǒng)負(fù)責(zé)在私鑰泄露、身份變更等情況下讓證書提前失效密鑰備份及恢復(fù)系統(tǒng)則應(yīng)對私鑰丟了怎么辦這個(gè)現(xiàn)實(shí)問題。這里有兩個(gè)高頻混淆點(diǎn)。第一SSL 不屬于 PKI 的組成部分——SSL 是使用證書的一個(gè)協(xié)議是 PKI 的下游消費(fèi)者不是 PKI 的零件。第二PKI 的管理對象是證書、密鑰和證書撤消狀態(tài)不包括用戶的 ID 和口令I(lǐng)D 和口令屬于身份管理范疇。把下游消費(fèi)者當(dāng)零件、把隔壁模塊當(dāng)自家資產(chǎn)是初學(xué)者最常犯的兩類錯(cuò)誤。3.6 Kerberos為什么必須先拿票再看門Kerberos 是一個(gè)對稱密鑰加密系統(tǒng)它使用集中式的專鑰密碼功能系統(tǒng)核心是 KDC密鑰分發(fā)中心。它要解決的問題是在一個(gè)內(nèi)部網(wǎng)絡(luò)里幾十上百個(gè)服務(wù)如果每兩個(gè)服務(wù)之間都單獨(dú)協(xié)商一把鑰匙鑰匙數(shù)量會(huì)爆炸管理成本無法承受。集中式發(fā)鑰匙是更現(xiàn)實(shí)的方案。Kerberos 的流程分兩段第一段先向認(rèn)證服務(wù)器證明身份、拿到一張通行證第二段在真正訪問應(yīng)用服務(wù)器之前必須向票據(jù)授予服務(wù)器TGS請求針對該應(yīng)用服務(wù)器的票據(jù)。這個(gè)兩段式設(shè)計(jì)的好處是通行證在有效期內(nèi)可以反復(fù)用不必每次訪問都重新輸密碼而每張服務(wù)票據(jù)只對特定服務(wù)有效權(quán)限被切得很細(xì)。用現(xiàn)實(shí)場景類比先在前臺(tái)核驗(yàn)身份、領(lǐng)一張?jiān)L客卡通行證進(jìn)某個(gè)具體樓層時(shí)還要拿訪客卡去換該樓層的臨時(shí)門禁服務(wù)票據(jù)。前臺(tái)不管你進(jìn)哪層樓層門禁不認(rèn)你的身份證只認(rèn)臨時(shí)門禁職責(zé)分得清清楚楚。注意Kerberos 的前提是各方時(shí)鐘大致同步時(shí)間偏差過大時(shí)票據(jù)會(huì)被判定失效這是排障時(shí)很容易忽略的一條。4. 訪問控制與邊界防護(hù)誰可以做什么門到底設(shè)在哪密碼學(xué)解決內(nèi)容藏得住認(rèn)證解決你是你接下來必須解決你能干什么。這一步?jīng)]做好前面兩關(guān)做得再漂亮也沒用——身份是真的、通道是加密的結(jié)果一個(gè)普通賬號(hào)能刪整個(gè)庫等于門鎖很結(jié)實(shí)但鑰匙隨便發(fā)。4.1 DAC、MAC、RBAC三種經(jīng)典模型各自把決定權(quán)交給誰傳統(tǒng)訪問控制有三種經(jīng)典模型自主訪問控制DAC、強(qiáng)制訪問控制MAC、基于角色的訪問控制RBAC。三者的區(qū)別在于誰來決定權(quán)限。DAC 把決定權(quán)交給資源的擁有者——我建的文件我說了算給誰看。靈活但風(fēng)險(xiǎn)也來自靈活擁有者可能隨手就授出去了權(quán)限會(huì)像水一樣往外滲。MAC 把決定權(quán)交給系統(tǒng)統(tǒng)一制定的安全標(biāo)簽主體有密級(jí)、客體也有密級(jí)能不能訪問由規(guī)則強(qiáng)制判定個(gè)人無權(quán)更改。它嚴(yán)格代價(jià)是管理成本高、靈活性差。RBAC 則把決定權(quán)交給角色這個(gè)中間層——不直接給人授權(quán)而是先給角色授權(quán)再把人放進(jìn)角色里。RBAC 的價(jià)值在組織規(guī)模變大時(shí)特別明顯。一個(gè)公司新來十個(gè)客服如果按人授權(quán)得改十次如果按角色授權(quán)只需把這十個(gè)人加進(jìn)客服角色。人員流動(dòng)、崗位調(diào)整改的都是角色成員關(guān)系權(quán)限規(guī)則本身不用動(dòng)。RBAC 核心模型包含五個(gè)基本靜態(tài)集合用戶集、角色集、特權(quán)集包括對象集和操作集、會(huì)話集。用戶是誰角色是干什么的崗位特權(quán)是能做哪些操作會(huì)話是這次登錄期間激活了哪些角色。最后這個(gè)會(huì)話集常被忽略但它很關(guān)鍵——同一個(gè)人可能同時(shí)具備多個(gè)角色登錄時(shí)可以只激活其中一部分避免權(quán)限疊加失控。還有一種常被誤認(rèn)為第四種傳統(tǒng)模型的東西PMI即權(quán)限管理基礎(chǔ)設(shè)施。它不是訪問控制模型而是負(fù)責(zé)權(quán)限的產(chǎn)生、管理、存儲(chǔ)、分發(fā)的一套體系。傳統(tǒng)三模型里沒有它這是很典型的一道送分題也是很典型的失分題。4.2 ABAC 的四元組把環(huán)境也算進(jìn)權(quán)限判斷基于屬性的訪問控制ABAC把權(quán)限判斷建立在屬性上核心概念用一個(gè)四元組描述主體、客體、權(quán)限、環(huán)境。主體是發(fā)起訪問的一方客體是被訪問的資源權(quán)限是允許的操作環(huán)境則是前三個(gè)之外的一切上下文——時(shí)間、地點(diǎn)、設(shè)備狀態(tài)、網(wǎng)絡(luò)區(qū)域。環(huán)境這一維是 ABAC 相對傳統(tǒng)模型最有意思的地方同一個(gè)人、同一個(gè)文件、同一個(gè)讀操作在辦公時(shí)間從公司設(shè)備訪問可以放行在凌晨三點(diǎn)從陌生設(shè)備訪問就要求二次驗(yàn)證。這個(gè)能力在遠(yuǎn)程辦公、多端協(xié)同的場景里幾乎是剛需。代價(jià)是判斷邏輯變復(fù)雜了屬性從哪來、準(zhǔn)不準(zhǔn)、怎么同步每一個(gè)都是工程問題。ABAC 不是更高級(jí)所以更好而是當(dāng)你的授權(quán)規(guī)則真的依賴上下文時(shí)才值得付出這個(gè)復(fù)雜度。4.3 防火墻包過濾看網(wǎng)絡(luò)層應(yīng)用網(wǎng)關(guān)看應(yīng)用層但攔不住內(nèi)部威脅防火墻建立在一個(gè)網(wǎng)絡(luò)的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的交叉點(diǎn)上這是它最本質(zhì)的位置特征——它管的是進(jìn)出這個(gè)動(dòng)作。位置決定了能力也決定了盲區(qū)。按工作層次分包過濾型防火墻是在網(wǎng)絡(luò)層對數(shù)據(jù)包進(jìn)行分析和選擇看源地址、目的地址、端口、協(xié)議這些頭部信息快但粗應(yīng)用網(wǎng)關(guān)型防火墻則在應(yīng)用層建立協(xié)議過濾和轉(zhuǎn)發(fā)功能能看懂 HTTP、FTP 這些協(xié)議的內(nèi)容細(xì)但慢。關(guān)于防火墻的功能邊界有一道很經(jīng)典的判斷題防火墻可以阻止來自內(nèi)部的威脅和攻擊——這是錯(cuò)的。防火墻守的是邊界內(nèi)部兩臺(tái)機(jī)器之間的橫向流量它根本不經(jīng)手。這也解釋了為什么邊界防護(hù)做得很扎實(shí)內(nèi)網(wǎng)卻被一臺(tái)中招的機(jī)器攪得天翻地覆這類事件反復(fù)發(fā)生。邊界是必要條件不是充分條件。還有一道容易錯(cuò)的HTTPS 是使用 SSL 協(xié)議來保證信息安全的。這里考的是層級(jí)關(guān)系——SSL 是一個(gè)中間層協(xié)議位于 TCP/IP 的應(yīng)用層和 TCP 層之間為 TCP 提供可靠的端到端安全服務(wù)。它不改變應(yīng)用層協(xié)議本身只是在下面墊了一層安全通道。另外一個(gè)常被忽略的細(xì)節(jié)路由器可以隔離 ARP 廣播幀交換機(jī)不行。因?yàn)閺V播幀是鏈路層的概念交換機(jī)工作在鏈路層默認(rèn)就是轉(zhuǎn)發(fā)廣播路由器工作在網(wǎng)絡(luò)層天然是廣播域的邊界。4.4 網(wǎng)絡(luò)攻擊五階段與取證四階段出事之后怎么還原攻擊者在實(shí)施網(wǎng)絡(luò)攻擊時(shí)一般流程包括信息的收集、系統(tǒng)安全缺陷探測、實(shí)施攻擊、鞏固攻擊成果和痕跡清理五個(gè)階段。信息收集是踩點(diǎn)摸清目標(biāo)有哪些資產(chǎn)、跑著什么服務(wù)缺陷探測是找縫看哪個(gè)版本有已知問題、哪個(gè)配置過于寬松實(shí)施攻擊是破門鞏固成果是扎根留后門、加賬號(hào)、埋定時(shí)任務(wù)確保下次還能進(jìn)來痕跡清理是擦腳印刪日志、改時(shí)間戳。這五步的順序本身就是防守的機(jī)會(huì)窗口越靠前攔成本越低。在信息收集階段被發(fā)現(xiàn)的攻擊往往還沒造成任何損失等到痕跡清理階段才發(fā)現(xiàn)通常意味著對方已經(jīng)在里面待了很久。取證則用一個(gè)四階段過程來描述收集、檢查、分析、報(bào)告。收集是保全現(xiàn)場把硬盤、內(nèi)存、日志、網(wǎng)絡(luò)流量原樣固定下來這一步最怕先看看再說——一開機(jī)、一登錄時(shí)間戳和臨時(shí)文件就變了檢查是在不破壞證據(jù)的前提下做篩選和提取分析是把碎片拼成時(shí)間線還原發(fā)生了什么報(bào)告是把結(jié)論落成可被第三方復(fù)核的文檔。四個(gè)階段里收集階段的規(guī)范性直接決定后面三步還有沒有意義。4.5 TCSEC 的安全等級(jí)4 個(gè)類別還是 7 個(gè)級(jí)別可信計(jì)算機(jī)評(píng)價(jià)標(biāo)準(zhǔn)TCSEC把計(jì)算機(jī)系統(tǒng)的安全劃分為若干等級(jí)。這道題在不同教材里答案會(huì)不一樣因?yàn)閱柕目趶讲煌创箢惙质?4 類D、C、B、A按細(xì)分級(jí)別分是 7 級(jí)D、C1、C2、B1、B2、B3、A1。D 是最低的可評(píng)估級(jí)別C1 是自主安全保護(hù)C2 加入受控訪問保護(hù)B 類引入強(qiáng)制訪問控制并逐級(jí)加強(qiáng)A1 是最高級(jí)別、需要形式化驗(yàn)證。遇到選項(xiàng)里同時(shí)出現(xiàn) 4、5、6、7 的時(shí)候先別急著算先確認(rèn)題目問的是類別數(shù)還是級(jí)別數(shù)。這不是文字游戲而是這門課里非常真實(shí)的一個(gè)坑。5. 最容易混淆的四組概念證書與權(quán)限、認(rèn)證與授權(quán)、加密與簽名、通道與協(xié)議考場上失分最多的地方往往不是沒背過而是背過的東西在腦子里串了門。下面四組概念每組都長得像、位置卻完全不同值得單獨(dú)拎出來對比。5.1 PKI 與 PMI一個(gè)管證書一個(gè)管權(quán)限易混點(diǎn)兩者都是基礎(chǔ)設(shè)施縮寫只差一個(gè)字母都跟誰能干什么沾邊。為什么混它們經(jīng)常在同一個(gè)系統(tǒng)里配套出現(xiàn)——先拿證書證明你是你再查權(quán)限決定你能干啥。流程連在一起容易讓人以為是一回事。怎么區(qū)分PKI 管的是身份憑證負(fù)責(zé)證書的產(chǎn)生、管理、存儲(chǔ)、分發(fā)和撤銷核心產(chǎn)物是數(shù)字證書。PMI 管的是授權(quán)負(fù)責(zé)權(quán)限的產(chǎn)生、管理、存儲(chǔ)和分發(fā)核心產(chǎn)物是屬性證書或授權(quán)憑證。一句話記PKI 回答你是誰PMI 回答你能干啥?？吹阶C書的產(chǎn)生與撤銷想 PKI看到權(quán)限的產(chǎn)生與分發(fā)想 PMI。5.2 認(rèn)證與授權(quán)先驗(yàn)身份再談能干啥易混點(diǎn)兩個(gè)詞在日常語境里經(jīng)常被混著用登錄這一個(gè)動(dòng)作里其實(shí)兩件事都發(fā)生了。為什么混登錄成功的那一刻系統(tǒng)既確認(rèn)了你的身份又決定了你能看到哪些菜單兩個(gè)結(jié)果同時(shí)呈現(xiàn)用戶感知不到分界。怎么區(qū)分認(rèn)證發(fā)生在前面產(chǎn)出是這個(gè)身份可信授權(quán)發(fā)生在后面產(chǎn)出是這個(gè)身份可以做哪些操作。認(rèn)證失敗是我不知道你是誰授權(quán)失敗是我知道你是誰但你不能碰這個(gè)。排障時(shí)這條分界很好用能登錄但看不到某個(gè)功能問題在授權(quán)壓根登不進(jìn)去問題在認(rèn)證。5.3 加密與簽名一個(gè)為保密一個(gè)為可信易混點(diǎn)都用了公鑰私鑰那一套都涉及把內(nèi)容變成看不懂的東西。為什么混數(shù)字簽名里也有一步用私鑰對摘要做運(yùn)算形態(tài)上很像加密輸出也是一串亂碼。怎么區(qū)分看目的。加密是為了讓別人看不懂所以加密用接收方的公鑰只有接收方的私鑰能解。簽名是為了讓別人信得過所以簽名用自己的私鑰任何人都能用你的公鑰去驗(yàn)。加密保證機(jī)密性簽名保證完整性和不可抵賴性。還有一個(gè)細(xì)節(jié)能幫你區(qū)分加密是可逆的簽名是不可逆的你沒法從簽名里解出原文。5.4 SSL、HTTPS 與 IPSec三個(gè)層級(jí)別互相頂替易混點(diǎn)都跟安全傳輸有關(guān)都出現(xiàn)在網(wǎng)絡(luò)協(xié)議題里。為什么混它們都能讓數(shù)據(jù)在路上不被偷看效果上高度重疊題目又愛把它們放在同一組選項(xiàng)里。怎么區(qū)分SSL 是位于應(yīng)用層和 TCP 層之間的中間層協(xié)議為 TCP 提供端到端安全服務(wù)HTTPS 就是 HTTP 跑在 SSL 之上所以HTTPS 用 SSL 保證安全這個(gè)說法是對的。IPSec 則工作在網(wǎng)絡(luò)層對 IP 數(shù)據(jù)報(bào)整體做保護(hù)其中負(fù)責(zé)加密的部分是封裝安全負(fù)載ESP負(fù)責(zé)認(rèn)證的是鑒別包頭AH。一個(gè)在傳輸層之上給應(yīng)用搭安全通道一個(gè)在網(wǎng)絡(luò)層保護(hù)整個(gè) IP 包位置不同能保護(hù)的范圍也不同。6. 什么時(shí)候翻這份資料什么時(shí)候別指望它這份《信息安全概論》試卷匯編的定位很清晰它是一套帶答案的概念覆蓋清單五個(gè)部分把密碼學(xué)、認(rèn)證體系、訪問控制、邊界防護(hù)、攻擊與取證的主要考點(diǎn)基本掃了一遍——選擇題考定義邊界填空題考精確措辭兩者配合起來正好能篩出以為自己懂了其實(shí)記岔了的地方。它的適用場景集中在需要把話說準(zhǔn)的場合場景適合程度原因期末復(fù)習(xí)、自測概念掌握度適合題目覆蓋廣答案就近可查面試前快速過一遍名詞適合定義式的題目正好對應(yīng)面試的說說什么是 XX搭建技術(shù)方案的選型依據(jù)不適合試卷不討論性能、成本和落地約束排查線上具體故障不適合只有概念判斷沒有排障路徑替代教材系統(tǒng)學(xué)習(xí)不適合題目是抽樣不成體系打個(gè)比方它像一張標(biāo)注了主要景點(diǎn)的地圖能讓你快速知道自己漏了哪片區(qū)域但地圖上沒有路況、沒有坡度、沒有修路通知。真要走完全程還得回到教材和實(shí)際系統(tǒng)里。用的時(shí)候有一點(diǎn)很關(guān)鍵別只看答案要看錯(cuò)誤選項(xiàng)錯(cuò)在哪。比如簽名是不可驗(yàn)證的這個(gè)選項(xiàng)如果你只是記住這題選 C下次換個(gè)問法數(shù)字簽名的特性不包括照樣會(huì)翻車但你如果記住簽名的全部意義就是可被驗(yàn)證這個(gè)知識(shí)點(diǎn)就長在腦子里了。還有一個(gè)特別真實(shí)的踩坑點(diǎn)這套資料內(nèi)部的口徑并不完全統(tǒng)一。TCSEC 那道題一處按類別數(shù)答 5、一處按級(jí)別數(shù)答 7看起來矛盾其實(shí)是兩套計(jì)數(shù)方式混在一份卷子里了。類似的情況在網(wǎng)絡(luò)攻擊五階段的表述上也有——有的地方寫系統(tǒng)調(diào)查有的地方寫信息的收集指的是同一個(gè)階段的兩種叫法。第一次遇到時(shí)我以為是答案印錯(cuò)了硬背了一個(gè)結(jié)果考試時(shí)遇到另一種表述直接卡住。后來才明白概念題最忌諱記死字符串得記住它在整個(gè)流程里承擔(dān)什么角色第一步永遠(yuǎn)是摸清目標(biāo)有什么叫什么都指這件事。從那以后我每次用這類試卷自測都強(qiáng)制走一遍流程先不看答案做完再把錯(cuò)題的錯(cuò)誤選項(xiàng)逐條改寫成正確表述最后合上資料用自己的話把這一章講一遍。講不順的地方就是還沒真懂的地方。希望這套方法也能幫到你讓那些看著眼熟的縮寫真正變成你腦子里的位置和邊界。本文還有配套的精品資源點(diǎn)擊獲取