ToB企服应用市场:ToB评测及商务社交产业平台

标题: 哈工大信息安全概论期末复习 [打印本页]

作者: 宝塔山 时间: 2022-6-23 11:10
标题: 哈工大信息安全概论期末复习
防扒链接：

何以牵尘的博客_CSDN博客https://blog.csdn.net/m0_61753302
何以牵尘 - 博客园 (cnblogs.com)https://www.cnblogs.com/kalesky/

目录
一、前言
二、考试题型
三、信息安全考试题提纲2022
1、信息安全体系架构
2、信息安全对国家的政治、军事、经济、社会稳定的影响
3、密码体制的五要素
4、数据加密标准DES的算法结构和特点
5、公钥密码的思想（数学描述）
6、离散对数问题
7、Diffie-Hellman密钥交换协议
8、RSA公钥算法
9、散列函数的特点和作用
10、EMI、EMC、防电磁泄漏主要方法
11、windows的网络认证
12、利用公开密钥和对称密钥设计认证协议获得会话密钥
13、Kerberos工作原理
14、PKI的体系结构及工作原理
15、访问控制的概念
16、DAC、MAC、RBAC的工作原理及特点
17、传统病毒、蠕虫、木马的结构原理
18、拒绝服务攻击、缓冲区溢出、举例
19、防火墙主要技术概述
20、基于网络和基于主机的入侵检测系统的优缺点
21、IPSEC协议的体系结构
22、传输方式和隧道方式的区别
23、SSL握手协议
24、双签名技术原理
25、DRM结构原理
26、cc与bs7799的区别
27、风险评估的主要方法
28、网络安全法（非教材）
29、等级保护2.0（非教材）
30、工程伦理道德

一、前言

鉴于本届计算学部培养方案变更，信息安全概论选择在大二春季学期开课，并由往届的考试课变更为考察课，因此考试难度与学生复习策略发生了相应变更，本博主根据韩琦老师的期末复习提纲（2022）写出本篇博客进行相应内容的总结，希望对本届及下一届学子有所帮助，准备不周，如有谬误，还请指正，谢谢！

二、考试题型

单选：10分（每题2分，共5题）
填空：10分（每题2分，共5题）
简答题：30分（6题，每题5分）
计算题：15分（1题）
设计题：15分（1题）
简述题：10分（1题）
辨析题：10分（1题）

三、信息安全考试题提纲2022

1、信息安全体系架构

（1）面向目标的知识体系结构

• 机密性Confidentiality指信息在存储、传输、使用过程中，不会泄漏给非授权用户或实体 • 完整性Integrity指信息在存储、使用、传输过程中，不会被非授权用户篡改或防止授权用户对信息进行不恰当的篡改 • 可用性Availability指确保授权用户或实体对信息资源的正常使用不会被异常拒绝，允许其可靠而及时地访问信息资源

（2）面向应用的层次型技术体系架构

信息系统基本要素：人员、信息、系统

安全层次：• 三个不同部分存在五个的安全层次与之对应 • 每个层次均为其上层提供基础安全保证

安全层次：

• 物理安全指对网络及信息系统物理装备的保护。 • 运行安全指对网络及信息系统的运行过程和运行状态的保护。 • 数据安全指对数据收集、存储、检索、传输等过程提供的保护，不被非法冒充、窃取、篡改、抵赖。 • 内容安全指依据信息内涵判断是否符合特定安全策略，采取相应的安全措施。 • 管理安全指通过针对人的信息行为的规范和约束，提供对信息的机密性、完整性、可用性以及可控性的保护。

（3）面向过程的信息安全保障体系

信息安全保障是一个完整的动态过程，而保护、检测、反应和恢复可以看作信息安全保障四个子过程。

（4）OSI开放系统互连安全体系结构

安全服务（Security Service）
• 鉴别服务 确保某个实体身份的可靠性。 • 访问控制 确保只有经过授权的实体才能访问受保护的资源。 • 数据机密性 确保只有经过授权的实体才能理解受保护的信息。 • 数据完整性 防止对数据的未授权修改和破坏。 • 抗抵赖性 用于防止对数据源以及数据提交的否认。

安全机制（Security Mechanism） • 加密用于保护数据的机密性。 • 数字签名 保证数据完整性及不可否认性的一种重要手段。 • 访问控制 访问实体成功通过认证，访问控制对访问请求进行处理，查看是否具有访问所请求资源的权限，并做出相应的处理。 • 数据完整性 用于保护数据免受未经授权的修改。 • 鉴别交换 用于实现通信双方实体的身份鉴别。 • 业务流填充 针对的是对网络流量进行分析攻击。 • 路由控制 可以指定数据报文通过网络的路径。路径上的节点都是可信任的 • 公证机制 由第三方来确保数据完整性、数据源、时间及目的地的正确。

2、信息安全对国家的政治、军事、经济、社会稳定的影响

互联网安全不仅影响普通网民的信息和数据的安全性，而且严重的影响国家的健康发展。没有网络安全，就没有国家安全
（以下四个点上自己编，PPT上没具体写）
政治安全、军事安全、经济安全、社会稳定。

3、密码体制的五要素

明文空间M：M是可能明文的有限集
密文空间C：C是可能密文的有限集
秘钥空间K：K是一切可能密钥构成的有限集
加密算法E：对于任一密钥，都能够有效地计算
解密算法D：对于任一密钥，都能够有效地计算

4、数据加密标准DES的算法结构和特点

DES算法：明文按64位进行分组，密钥长64位，密钥事实上是56位参与DES运算（第8、16、24、32、40、48、56、64位是校验位，使得每个密钥都有奇数个1）。分组后的明文组和56位的密钥按位替代或交换的方法形成密文组的加密方法。
DES 使用一个 56 位的密钥以及附加的 8 位奇偶校验位，产生最大 64 位的分组大小。这是一个迭代的分组密码，使用称为 Feistel 的技术，其中将加密的文本块分成两半。
使用子密钥对其中一半应用循环功能，然后将输出与另一半进行“异或”运算；接着交换这两半，这一过程会继续下去，但最后一个循环不交换。DES 使用 16 个循环，使用异或，置换，代换，移位操作四种基本运算。
算法特点：分组比较短、秘钥太短、密码生命周期短、运算速度较慢。

5、公钥密码的思想（数学描述）

公钥密码：运用单向陷门函数原理编制的加密密钥公开，解密密钥保密的密码。

加密密钥公开，解密密钥保密（把y=f(x)留给自己人，把x=f-1(y)留给攻击者）

6、离散对数问题

若a是素数p的一个原根，则相对于任意整数b(b mod p!=0),必然存在唯一的整数i（1合法IP地址的技术
VPN：通过公用网络建立一个临时的，安全的连接。

20、基于网络和基于主机的入侵检测系统的优缺点

基于主机的入侵检测系统优点：性价比高，不需要增加专门的硬件平台，当主机数量较少时性价比尤其突出；准确率高，主要监测用户在系统中的行为活动，这些行为能够准确的反映系统实时的状态，便于区分正常的行为和非法行为；对网络流量不敏感，不会因为网络流量的增加而丢掉对网络行为的监视；适合加密环境下的入侵检测。缺点：与操作系统平台相关，可移植性差；需要在每个被检测主机上安装入侵检测系统，维护比较复杂；难以检测针对网络的攻击。
基于网络的入侵检测系统优点：对用户透明，隐蔽性好，使用便捷，不容易遭受来自网络上的攻击；与被检测的系统平台无关；利用独立的计算机完成检测工作，不会给运行关键业务的主机带来负载上的增加；攻击者不易转移证据。缺点：无法检测到来自网络内部的攻击及内部合法用户的误用行为；无法分析所传输的加密数据报文；需要对所有的网络报文进行采集分析，主机的负荷比较大，且易受DoS攻击。

21、IPSEC协议的体系结构

包括两个基本协议，分别封装安全有效负荷协议（ESP）和认证头协议（AH）。这两个协议的有效工作依赖于四个要件，分别为加密算法，认证算法，解释域以及密钥管理。

22、传输方式和隧道方式的区别

在传输模式下，AH和ESP主要对上一层的协议提供保护，只对IP数据包的有效负载进行加密或认证，继续使用之前的IP头部，只对IP头部的部分域进行修改，而IPSec协议头部插入到IP头部和传输层头部之间；在隧道模式下，AH和ESP则用于封装整个IP数据报文，对整个IP数据包进行加密或认证，此时需要产生新的IP头部，IPSec头部被放置在新产生的IP头部和以前的IP数据包之间，从而组成一个新的IP头部。

23、SSL握手协议

报文格式：类型（1），长度（3），内容（>=1）
通过在客户端和服务器之间传递消息报文，完成协商谈判。
四个阶段：建立起安全能力；服务器认证与密钥交换；客户端认证与密钥交换；结束；

24、双签名技术原理

将OI与PI这两个部分的摘要绑定在一起，确保交易的有效性与安全性。同时分离OI与PI，确保商家不知道顾客的支付卡信息，银行不知道顾客的订购细节。

25、DRM结构原理

分为服务器和客户端两个部分。服务器主要功能是管理版权文件的分发与授权。客户端的主要功能是依据受版权保护文件提供的信息申请授权许可证，并依据授权许可信息解密受保护文件，提供给客户使用。

26、cc与bs7799的区别

cc是目前最全面的评价准则，充分突出了“保护轮廓”的概念，侧重点放在系统和产品的技术指标评价上。
Bs7799采用层次化形式定义了11个安全管理要素，还给出了39个主要执行目标和133个具体控制措施，明确了组织机构信息安全管理建设的内容。

27、风险评估的主要方法

基线评估
详细评估
组合评估

28、网络安全法（非教材）

2016年11月7日通过
2017年6月1日起施行

29、等级保护2.0（非教材）

2019年5月13日，网络安全等级保护制度2.0标准正式发布，同时这些标准将于12月1日正式实施，我国迈入2.0时代。

30、工程伦理道德

要有工程伦理道德。

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！

欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/)