第一章1、信息安全的定義:信息安全（InfoSec）就是保護信息及其關(guān)鍵要素，包括使用、存儲以及傳輸信息的系統(tǒng)和硬件。2、信息安全的3種特性：（1）機密性（confidentiality）：信息的機密性確保了只有那些有足夠權(quán)限并且經(jīng)證實有這個需要的人，才能夠訪問該信息。（2）完整性（integrity）：完整性即指整體性（whole）、完全性（complete）以及未受侵蝕（uncorrupted）的特性或狀態(tài)。一方面它指在信息使用、傳輸、存儲的過程中不發(fā)生篡改、丟失、錯誤；另一方面是指信息處理方法的正確性。（3）可用性（availability）：可用性也是信息的一種特性，在信息處于可用狀態(tài)時，信息及相關(guān)的信息資產(chǎn)在授權(quán)人需要的時候可以立即獲得。第二章1、信息安全計劃的實施可以通過自下而上和自上而下兩種途徑來實現(xiàn)：（如何實現(xiàn)以及其優(yōu)缺點）（1）自下而上方法：指系統(tǒng)管理員試圖從系統(tǒng)的底層來增強系統(tǒng)的安全。這種方法的主要優(yōu)勢在于它可以利用單個系統(tǒng)管理員的專業(yè)技術(shù)，這些管理員每天都在從事信息系統(tǒng)工作。系統(tǒng)和網(wǎng)絡(luò)管理員所具備的高度的專業(yè)知識能在很大程度上改善一個機構(gòu)的信息安全狀況。這些專業(yè)人員懂得并理解他們系統(tǒng)可能受到的威脅以及成功保護系統(tǒng)所必須采用的機制。遺憾的是，因為缺乏大量的關(guān)鍵信息和資源，諸如來自上層管理的調(diào)整計劃、部門間的協(xié)調(diào)和充足的資源，這種方法很少能起到真正的作用。（2）自上而下方法：高層管理者提供資源和指導(dǎo)，發(fā)布政策、措施以及處理步驟，指定項目的目標和預(yù)期效益，每個步驟都必須有專人負責(zé)。自上而下方法要取得成功，通常有強大的上層支持、堅定的擁護者、穩(wěn)定的投資、清晰的計劃和實施步驟，還有影響一個機構(gòu)理念的能力。這樣的方法需要有一個理想的領(lǐng)導(dǎo)，即一個有足夠影響力的執(zhí)行者來推動項目前進，確保管理正確，并力求使這些方法為整個機構(gòu)所接受。頗具代表性的是，首席信息安全官員或者其他高級管理者，比如信息技術(shù)副總經(jīng)理可以作為一個長遠的信息安全項目的倡導(dǎo)者。終端用戶的參與和支持也是該項工作成功的關(guān)鍵。因為自上而下工作的實施和結(jié)果直接影響著這些終端用戶，所以他們必須被包括在信息安全計劃之中。第三章1、應(yīng)急計劃（CP）的概念、內(nèi)容、主要目標：應(yīng)急計劃（CP）的概念：應(yīng)急計劃（CP）是指為處理意外事件做好準備的全部過程。應(yīng)急計劃（CP）的內(nèi)容包括：探測事件的發(fā)生、對事件做出響應(yīng)以及從事件中恢復(fù)。應(yīng)急計劃（CP）的主要目標：意外事件發(fā)生后，要在普通業(yè)務(wù)活動遭受最小損失和破壞的條件下，恢復(fù)到普通操作模式———換句話說，是確保事情回到原來的狀態(tài)。即使是在意外發(fā)生時，理想的CP應(yīng)該確保信息系統(tǒng)可以被機構(gòu)持續(xù)使用。2、應(yīng)急計劃（CP）的3部分組成機器每部分關(guān)注的重點：應(yīng)急計劃有3個基本組成部分：事故響應(yīng)計劃（IRP）災(zāi)難恢復(fù)計劃（DRP）業(yè)務(wù)連續(xù)性計劃（BCP）IRP把焦點放在對事件的及時響應(yīng)上;DRP則把焦點放在恢復(fù)主要場所（primarysite）的操作上。如果主要場所的操作不能被迅速恢復(fù)，例如，當損失非常嚴重的時候，或者會在長時間內(nèi)影響機構(gòu)的正常活動的時候，BCP就會和DRP同時出現(xiàn)，使業(yè)務(wù)能夠在一個可供選擇的位置上繼續(xù)下去，直到機構(gòu)可以重新使用其主要場所或者選擇一個新的主要場所。3、連續(xù)性策略的有3種獨立的選擇和3個共享使用的應(yīng)急選擇：通常有3種獨立的選擇：熱站點（hotsite）：是一個配置完全的計算機設(shè)施，包括所有的服務(wù)、通信連接和物理環(huán)境的操作。它備份計算機資源、外設(shè)、電話系統(tǒng)、應(yīng)用程序和工作站。本質(zhì)上來說，這些備份的設(shè)施僅僅需要最新的數(shù)據(jù)備份和負責(zé)的人手。一個熱站點應(yīng)該能在幾分鐘內(nèi)就充分發(fā)揮作用。它的缺點是需要對所有熱站點的系統(tǒng)和設(shè)備以及物理與信息安全提供維護。這是可用選擇中最昂貴的。溫站點（warmsite）：提供許多與熱站點相同的服務(wù)和選擇，但是既不包括典型的軟件應(yīng)用程序也不包括（這些軟件的）安裝和配置，通常它包括的是服務(wù)器。溫站點具有許多熱站點的優(yōu)點，但又具有較低的成本。缺點在于需要幾個小時或是幾天來使一個溫站點充分發(fā)揮作用。冷站點（coldsite）：一個冷站點僅僅提供了初步的服務(wù)和設(shè)施，不提供計算機硬件和外設(shè)。所有的通信服務(wù)必須在站點開始工作后才安裝。一個冷站點裝有標準供熱系統(tǒng)、空調(diào)和電子服務(wù)的空房間。其他的任何選擇都會增加成本。雖然存在這些缺點，但一個冷站點也會比什么都沒有要好。它的最主要優(yōu)點在于成本。這種方法最有用的特點在于，當受到大范圍的災(zāi)難攻擊時，它能減少對合適樓層空間的爭用。還有3個共享使用的應(yīng)急選擇：時間分享（timeshare）：時間分享的作用就像前面描述的3個站點之一，但它是與一個商業(yè)伙伴或姐妹機構(gòu)聯(lián)合租用。它為機構(gòu)能提供一個災(zāi)難恢復(fù)/業(yè)務(wù)連續(xù)性選擇，同時又可以減少總成本。它主要的缺點在于兩個以上的分時參與方可能會同時需要使用設(shè)施。服務(wù)署（servicebureau）：是一個提供收費服務(wù)的機構(gòu)。在災(zāi)難恢復(fù)/應(yīng)急計劃中，這種服務(wù)指的是在災(zāi)難發(fā)生時提供物理設(shè)施。這些機構(gòu)也經(jīng)常提供付費的離線數(shù)據(jù)保存?；ブ鷧f(xié)議：互助協(xié)議是兩個機構(gòu)間的合約，同意在災(zāi)難中援助對方。這些機構(gòu)同意提供必要的設(shè)置、資源和服務(wù)，直到接受方能從災(zāi)難中恢復(fù)過來。第四章1、雙機熱備份（容錯）的概念、描述雙機熱備份的兩個工作模式、雙機工作示意圖：雙機熱備份的概念：所謂雙機熱備份就是一臺主機為工作機〔primaryServer〕,另一臺主機為備份機〔StandbyServer〕,在系統(tǒng)正常情況下，工作機對信息系統(tǒng)提供支持，備份機監(jiān)視工作機運行情況〔工作機同時監(jiān)視備份機是否正常，有時備份機因某種原因出現(xiàn)異常，工作機可盡早通知系統(tǒng)管理工作人員解決，確保下一次切換的可靠性〕。當工作機出現(xiàn)異常，不能支持信息系統(tǒng)運營時，備份機主動接管〔TakeOver〕工作機的工作，繼續(xù)支持信息的運營，從而保證信息系統(tǒng)能夠不間斷地運行〔Non-Stop〕。當工作機經(jīng)過維修恢復(fù)正常后，系統(tǒng)管理人員通過管理命令或經(jīng)由以人工或自動的方式將備份機的工作切換回工作機，而原來的工作機就成了備份機。

雙機容錯的工作模式：雙機容錯有兩種工作模式：一種是熱守候，另一種是雙工模式。1、熱守候模式：在熱守候模式下，雙機容錯系統(tǒng)對外只有一個服務(wù)（如數(shù)據(jù)庫服務(wù)）在運行。其中一臺服務(wù)器對外服務(wù)另一臺處在守候狀態(tài)，并不啟動服務(wù)。當工作的服務(wù)器出現(xiàn)問題時，如數(shù)據(jù)庫服務(wù)器出現(xiàn)操作系統(tǒng)掛起、死機、網(wǎng)卡壞、硬盤控制器壞等等，熱守候服務(wù)器接管工作主機的任務(wù)。2、雙工模式：在雙工模式下雙機系統(tǒng)對外提供兩個服務(wù)（例如：應(yīng)用服務(wù)和數(shù)據(jù)庫服務(wù)）。兩臺服務(wù)器都安裝了應(yīng)用服務(wù)和數(shù)據(jù)庫服務(wù)軟件,數(shù)據(jù)庫的數(shù)據(jù)存在共享盤中。在正常情況下,一臺服務(wù)器只起應(yīng)用服務(wù),未起數(shù)據(jù)庫服務(wù),對客戶端的應(yīng)用請求進行處理;另一臺服務(wù)器只起數(shù)據(jù)庫服務(wù),不起應(yīng)用服務(wù),對共享盤擁有控制權(quán)并對共享盤中的數(shù)據(jù)進行存取,提供數(shù)據(jù)庫服務(wù).當其中任何一臺服務(wù)器出現(xiàn)問題，如數(shù)據(jù)庫服務(wù)器出現(xiàn)操作系統(tǒng)掛起、死機、網(wǎng)卡壞、硬盤控制器壞等等。這時，另一臺服務(wù)器將出問題的服務(wù)器上的任務(wù)接管，此時，這臺服務(wù)器同時提供應(yīng)用服務(wù)和數(shù)據(jù)庫服務(wù),客戶端就可繼續(xù)進行對服務(wù)器的業(yè)務(wù)請求，保證業(yè)務(wù)的繼續(xù)進行。在出問題的服務(wù)器恢復(fù)正常后，又可選擇適當時間切換到正常操作狀態(tài)，以保證整體性能。下圖為雙機工作示意圖：第五章1、具體的信息安全策略（簡單描述）：企業(yè)信息安全策略基于問題的安全策略基于系統(tǒng)的安全策略企業(yè)信息安全策略（EISP）——安全項目策略、總安全策略、IT安全策略、高級信息安全策略，也就是為整個機構(gòu)安全工作制定戰(zhàn)略方向、范圍和策略基調(diào)?；趩栴}的安全策略（ISSP，Issue-SpecificSecurityPolicy）提供了詳細的、目標明確的指南，以此來指導(dǎo)所有機構(gòu)成員如何使用基于技術(shù)的系統(tǒng)。一個有效的ISSP是各方（機構(gòu)和成員）之間的協(xié)議，并且顯示，為了保障技術(shù)不會以不恰當方式被使用，機構(gòu)已經(jīng)做出了極大的努力。ISSP應(yīng)該讓機構(gòu)成員認識到，策略的目標不是為機構(gòu)的信息系統(tǒng)遭受破壞后起訴有關(guān)責(zé)任人提供法律依據(jù)，而是為了就哪些技術(shù)能否應(yīng)用到系統(tǒng)中而達成共識。一旦達成了這個共識，員工就可以不用尋求領(lǐng)導(dǎo)批準，而任意使用各種類型的技術(shù)?；谙到y(tǒng)的策略（SysSPs，System-SpecificPolicy）是采用技術(shù)或管理措施來控制設(shè)備的配置，在配置和維護系統(tǒng)時起到標準和過程指導(dǎo)的作用。 例如，SysSPs可能描述了網(wǎng)絡(luò)防火墻的配置和操作規(guī)程。該文檔可能包括管理目標聲明；網(wǎng)絡(luò)工程師選擇、配置和操作防火墻的指南；訪問控制列表（為每個授權(quán)用戶定義訪問級別）。第六章1、人員安全及其教育、培訓(xùn)和意識提升（兩大好處、三大途徑）：信息資產(chǎn)所面臨的最大威脅來自人類自身的錯誤，教育、培訓(xùn)和意識提升有兩大好處：（1）改善員工的行為。（2）使員工對他們的工作更具責(zé)任感。教育、培訓(xùn)和意識提升有3種途徑：（1）根據(jù)需要縱向拓展知識，以設(shè)計和執(zhí)行本機構(gòu)的安全項目。（2）讓計算機用戶學(xué)習(xí)技能和知識，以便能更安全地使用IT系統(tǒng)完成自身的工作。（3）提升系統(tǒng)資源的保護意識。第七章1、風(fēng)險評估（概念、應(yīng)考慮的4因素、5步驟）：概念：風(fēng)險評估是確認安全風(fēng)險及其大小的過程，即能用適當?shù)娘L(fēng)險評估工具和方法，確定資產(chǎn)風(fēng)險等級和優(yōu)先控制順序。風(fēng)險評估應(yīng)考慮的因素：（1）信息資產(chǎn)及其價值（2）對這些資產(chǎn)的威脅及他們發(fā)生的可能性（4）脆弱性(5)已有的安全控制措施風(fēng)險評估的步驟:（1）按照組織業(yè)務(wù)運作流程進行資產(chǎn)識別，并根據(jù)估價原則對資產(chǎn)進行估價；(2)根據(jù)資產(chǎn)所處的環(huán)境進行威脅評估；(3)對應(yīng)每一威脅，對資產(chǎn)或組織存在的脆弱性進行評估；(4)對已采取的安全機制進行識別和確認；(5)建立風(fēng)險測量的方法及風(fēng)險等級評價原則，確認風(fēng)險的大小與等級。注意：資產(chǎn)、威脅與脆弱性之間不存在一一對應(yīng)關(guān)系。第八章1、入侵檢測技術(shù)的概念：入侵檢測（IntrusionDetection）技術(shù)是一種動態(tài)的網(wǎng)絡(luò)檢測技術(shù)，主要用于識別對計算機和網(wǎng)絡(luò)資源的惡意使用行為，包括來自外部用戶的入侵行為和內(nèi)部用戶的未經(jīng)授權(quán)活動。它從計算機網(wǎng)絡(luò)系統(tǒng)中的若干關(guān)鍵點收集信息，并分析這些信息，看看網(wǎng)絡(luò)中是否有違反安全策略的行為和遭到襲擊的跡象。2、基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)（是什么及其優(yōu)缺點）：基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)是網(wǎng)絡(luò)上的一個監(jiān)聽設(shè)備(或一個專用主機)，通過監(jiān)聽網(wǎng)絡(luò)上的所有報文，根據(jù)協(xié)議進行分析，并報告網(wǎng)絡(luò)中的非法使用者信息。安裝在被保護的網(wǎng)段（通常是共享網(wǎng)絡(luò)，交換環(huán)境中交換機需支持端口映射）中；分析網(wǎng)段中所有的數(shù)據(jù)包；實時檢測和響應(yīng)。網(wǎng)絡(luò)IDS優(yōu)勢（1）實時分析網(wǎng)絡(luò)數(shù)據(jù)，檢測網(wǎng)絡(luò)系統(tǒng)的非法行為；（2）網(wǎng)絡(luò)IDS系統(tǒng)單獨架設(shè)，不占用其它計算機系統(tǒng)的任何資源；（3）網(wǎng)絡(luò)IDS系統(tǒng)是一個獨立的網(wǎng)絡(luò)設(shè)備，可以做到對黑客透明，因此其本身的安全性高；（4）它既可以用于實時監(jiān)測系統(tǒng)，也是記錄審計系統(tǒng)，可以做到實時保護，事后分析取證；（5）通過與防火墻的聯(lián)動，不但可以對攻擊預(yù)警，還可以更有效地阻止非法入侵和破壞。（6）不會增加網(wǎng)絡(luò)中主機的負擔。網(wǎng)絡(luò)IDS的劣勢（1）不適合交換環(huán)境和高速環(huán)境（2）不能處理加密數(shù)據(jù)（3）資源及處理能力局限（4）系統(tǒng)相關(guān)的脆弱性3、基于主機的入侵檢測系統(tǒng)：運行于被檢測的主機之上，通過查詢、監(jiān)聽當前系統(tǒng)的各種資源的使用運行狀態(tài)，發(fā)現(xiàn)系統(tǒng)資源被非法使用和修改的事件，進行上報和處理。安裝于被保護的主機中主要分析主機內(nèi)部活動占用一定的系統(tǒng)資源主機IDS優(yōu)勢：（1）精確地判斷攻擊行為是否成功。（2）監(jiān)控主機上特定用戶活動、系統(tǒng)運行情況（3）HIDS能夠檢測到NIDS無法檢測的攻擊（4）HIDS適用加密的和交換的環(huán)境。(5)不需要額外的硬件設(shè)備。主機IDS的劣勢（1）HIDS對被保護主機的影響。（2）HIDS的安全性受到宿主操作系統(tǒng)的限制。（3）HIDS的數(shù)據(jù)源受到審計系統(tǒng)限制。（4）被木馬化的系統(tǒng)內(nèi)核能夠騙過HIDS。（5）維護/升級不方便。4、典型入侵檢測系統(tǒng)（畫圖）：天闐網(wǎng)絡(luò)入侵檢測系統(tǒng)典型部署結(jié)構(gòu)圖第九章1、防火墻的體系結(jié)構(gòu)（是什么及其具體是如何實現(xiàn)的、各個體系結(jié)構(gòu)圖的畫圖）：防火墻的體系結(jié)構(gòu)一般有以下幾種:（1）雙重宿主主機體系結(jié)構(gòu)。（2）屏蔽主機體系結(jié)構(gòu)。（3）屏蔽子網(wǎng)體系結(jié)構(gòu)。雙重宿主主機體系結(jié)構(gòu)： 雙宿主堡壘主機結(jié)構(gòu)是在堡壘主機上插入兩塊網(wǎng)卡，由堡壘主機充當內(nèi)部網(wǎng)與Internet之間的網(wǎng)關(guān)，并在其上運行應(yīng)用代理服務(wù)器軟件。這樣，所保護的內(nèi)部網(wǎng)與Internet之間不能直接建立連接，必須通過堡壘主機才能通信。外部用戶只能看到堡壘主機，看不到內(nèi)部網(wǎng)。內(nèi)部網(wǎng)的所有開放服務(wù)必須通過堡壘主機上的代理服務(wù)軟件來實施。屏蔽主機體系結(jié)構(gòu)：屏蔽主機防火墻由包過濾路由器和堡壘主機組成。通過路由器把內(nèi)外網(wǎng)隔開，堡壘主機僅與內(nèi)部網(wǎng)相連。任何來自外網(wǎng)的連接都限制在這一臺主機上。內(nèi)部向外的訪問可以通過該主機代理，也可以直接經(jīng)過過濾路由器（取決于本地網(wǎng)絡(luò)的安全政策）實現(xiàn)過程：堡壘主機位于內(nèi)部網(wǎng)絡(luò)上，而包過濾路由器則放置在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間。在路由器上設(shè)置相應(yīng)的規(guī)則，使得外部系統(tǒng)只能訪問堡壘主機。由于內(nèi)部主機與堡壘主機處于同一個網(wǎng)絡(luò)，內(nèi)部系統(tǒng)是否允許直接訪問外部網(wǎng)絡(luò)，或者是要求使用堡壘主機上的代理服務(wù)來訪問外部網(wǎng)絡(luò)完全由企業(yè)的安全策略來決定。對路由器的過濾規(guī)則進行配置，使得其只接收來自堡壘主機的內(nèi)部數(shù)據(jù)包，就可以強制內(nèi)部用戶使用代理服務(wù)，從而加強內(nèi)部用戶對外部Internet訪問的管理。屏蔽子網(wǎng)體系結(jié)構(gòu)采用了兩個包過濾路由器和一個堡壘主機：由于使用了內(nèi)、外兩個包過濾路，形成了一個子網(wǎng)態(tài)勢。子網(wǎng)在內(nèi)外網(wǎng)之間形成一個“屏蔽隔離帶”。從原理上講，可以連接多個子網(wǎng)。兩個路由器都與子網(wǎng)連接，一個位于子網(wǎng)與內(nèi)部網(wǎng)之間，一個位于子網(wǎng)與外部網(wǎng)之間；內(nèi)外路由器加應(yīng)用網(wǎng)關(guān)形成三層防護，入侵者必須通過兩個路由器才能接觸到內(nèi)部網(wǎng)，即使堡壘主機被入侵者控制，內(nèi)部網(wǎng)仍受到內(nèi)部包過濾路由器的保護。第十章1、VPN的概念： 虛擬專用網(wǎng)（VirtualPrivateNetwork，VPN）被定義為通過一個公用網(wǎng)絡(luò)（通常是因特網(wǎng)）建立一個臨時的、安全的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。2、IPSecVPN系統(tǒng)的組成： IPSecVPN的實現(xiàn)包含管理模塊、密鑰分配和生成模塊、身份認證模塊、數(shù)據(jù)加密/解密模塊、數(shù)據(jù)分組封裝/分解模塊和加密函數(shù)庫幾部分組成。3、VPN典型應(yīng)用：（VPN是怎樣使用，具體化在什么位置：在路由器后面，交換機前面）第十一章1、訪問控制技術(shù)的3種類型及其是如何實現(xiàn)的：（1）訪問矩陣：任何訪問控制策略最終均可被模型化為訪問矩陣形式，行對應(yīng)于用戶，列對應(yīng)于目標。每個矩陣元素規(guī)定了相應(yīng)的用戶對應(yīng)于相應(yīng)的目標被準予的訪問許可實施行為。在較大的系統(tǒng)中，訪問控制矩陣將變得非常巨大，而且矩陣中的許多格可能都為空，造成很大的存儲空間浪費，因此在實際應(yīng)用小，訪問控制很少利用矩陣方式實現(xiàn)。（2）訪問控制列表（ACL,AccessControlList）：訪問矩陣按列可分解為訪問控制列表。ACL以客體為索引，每個客體有一個ACL，說明每個主體可對其實施的訪問操作（對應(yīng)于訪問控制矩陣中的一列內(nèi)容）。?控制粒度比較小；?便于客體的訪問控制，不利于主體訪問權(quán)限的維護，因為若要調(diào)整一個主體的訪問權(quán)限，必須要各個ACL中去搜索。適用于被區(qū)分的用戶數(shù)比較小的情況，并且這些用戶的授權(quán)情況相對比較穩(wěn)定的情形。?基于身份的訪問控制策略和基于角色的訪問控制策略都可以用ACL來實現(xiàn)。?多數(shù)集中式操作系統(tǒng)使用ACL方法或類似方式（3）授權(quán)關(guān)系表：ACL和CL結(jié)合方式，使用關(guān)系來表示訪問矩陣每個關(guān)系表示一個主體對一個客體的訪問權(quán)限，并使用關(guān)系數(shù)據(jù)庫存放這個訪問權(quán)限這種方法對主體和客體的授權(quán)都比較方便，但實現(xiàn)開銷大基于身份的訪問控制策略和基于角色的訪問控制策略都可以用ACL來實現(xiàn)。?多數(shù)集中式操作系統(tǒng)使用ACL方法或類似方式第十二章信息加密與密碼分析DES算法:(3步驟)DES算法實現(xiàn)加密需要3個步驟。第1步：變換明文。對給定的64位的明文x，首先通過一個置換IP表來重新排列x，從而構(gòu)造出64位的x0，x0=IP(x)=L0R0，其中L0表示x0的前32位，R0表示x0的后32位。第2步：按照規(guī)則迭代。規(guī)則為： Li=Ri-1 Ri=Li⊕f(Ri-1,Ki)（i=1,2,3,…,16）經(jīng)過第1步變換已經(jīng)得到L0和R0的值，其中符號⊕表示數(shù)學(xué)運算“異或”，f表示一種置換，由S盒置換構(gòu)成，Ki是一些由密鑰編排函數(shù)產(chǎn)生的比特塊。第3步：對L16R16利用IP-1作逆置換，就得到了