复习题答案

1、什么是OSI安全体系结构？（P6）

安全攻击:任何可能会危及机构的信息安全的行为

安全机制：用来检测、防范安全攻击并从中恢复系统的机制

安全服务：一种用了增强机构的数据处理系统安全性和信息传递安全性的服务。这些服务是用来防范安全攻击的，它们利用了一种或多种安全机制来提供服务。

2、被动和主动安全威胁之间有什么不同？(p6)

被动攻击的本质是窃听或监视数据传输,被动攻击非常难以检测，因为它们根本不改变数据，因此，对付被动攻击的重点是防范而不是检测；主动攻击包含数据流的改写和错误数据流的添加

3列出并简要定义被动和主动安全攻击的分类？(p6)

被动攻击：小树内容泄漏和流量分析；主动攻击：假冒，重放，改写消息，拒绝服务

4、列出并简要定义安全服务的分类？（p9）

认证:确保通信实体就是它所声称的那个实体

访问控制：防止对资源的非授权使用

数据机密性：防止非授权数据的泄露

数据完整性：确保被认证实体发送的数据与接收到的数据完全相同

不可抵赖性：提供对被全程参与或部分参与通信实体之一拒绝的防范

5、列出并简要定义安全机制的分类？(p11-12)

加密：使用数学算法将数据转换为不可轻易理解的形式。这种转换和随后的数据恢复都依赖与算法本身以及零个或者更多的加密密钥

数字签名：为了允许数据单元接收方证明数据源和数据单元的完整性，并且防止数据伪造而追加到数据源中的数据或者是以上数据单元的密码转换访问控制

访问控制：强制执行对源的访问权限的各种机制

数据完整性：确保数据单元或者数据单元流完整性的各种机制

可信功能：相对应某个标准而言正确的功能（例如，由安全策略建立的标准）

安全标签：绑定在资源（可能是数据单元）上的记号，用来命名或者指定该资源的安全属性事件检测：与安全相关的事件的检测

安全审计跟踪：收集可能对安全审计有用的数据，它对系统记录和活动记录进行单独的检查和分析

认证交换：通过信息交换以确保一个实体身份的一种机制

流量填充：通过填充数据流空余位的方式来干扰流量分析

路由控制：支持对某些数据的特定物理安全通道的选择，并且允许路由改变，特别是当安全性受到威胁时

公证：使用可信的第三方以确保某种数据交换的属性

安全恢复：处理来自机制的请求，例如事件处理和管理功能，并且采取恢复措施。

第二章：

1、对称密码的基本因素是什么？（p23）

明文，加密算法，秘密密钥，密文，解密算法

2、加密算法使用的两个基本功能是什么？p24

替换和转换

3、两个人通过对称密码通信需要多少个密钥？p24

1个

4、分组密码和流密码的区别是什么？p33

流密码是一个比特一个比特的加密，分组密码是若干比特（定长）同时加密。比如des是64比特的明文一次性加密成密文。

密码分析方面有很多不同。比如流密码中，比特流的很多统计特性影响到算法的安全性。

密码实现方面有很多不同。比如流密码通常是在特定硬件设备上实现。分组密码既可以在硬件实现，也方便在计算机上软件实现。

5、攻击密码的两个通用方法是什么？

密钥搜索和夯举方法

6、什么是三重加密？p28

在这种方式里，使用三个不同的密钥对数据块进行三次加密，三重DES的强度大约和112-bit的密钥强度相当。三重DES有四种模型。

（a）使用三个不同密钥，顺序进行三次加密变换

（b）使用三个不同密钥，依次进行加密-解密-加密变换

（c）其中密钥K1=K3,顺序进行三次加密变换

（d）其中密钥K1=K3，依次进行加密-解密-加密变换

7、为什么3DES的中间部分是解密而不是加密？p29

3DES加密过程中的第二步使用的解密没有密码方面的意义。它的唯一好处是让3DES的使用者能够解密原来单重DES使用者加密的数据

8、链路层加密和端到端加密的区别是什么？p41

对于链路层加密，每条易受攻击的通信链路都在其两端装备加密设备。所以通信链路的所以通信都受到保护，提供了较高的安全性。

对于端到端加密，加密过程在两个端系统上实现。源主机和终端加密数据，该数据以加密过的形式，通过网络不可变更地传输到目的地终端或者主机。

9列出将密钥分发给通信双方的方法。P42

1.通过物理方法传递。2.依靠第三方通过物理方式传递给通信双方。3.一方用旧密钥加密新密钥传递给另一方。4.采用“密钥分发中心KDC”通过加密链路传递给通信双方。

10、会话密钥和主密钥的区别是什么？p42,p312

主密钥（Master key）是被客户机和服务器用于产生会话密钥的一个密钥。这个主密钥被用于产生客户端读密钥，客户端写密钥，服务器读密钥，服务器写密钥。主密钥能够被作为一个简单密钥块输出

会话密钥是指：当两个端系统希望通信，他们建立一条逻辑连接。在逻辑连接持续过程中，所以用户数据都使用一个一次性的会话密钥加密。在会话和连接结束时，会话密钥被销毁。

11、什么是密钥分发中心？p43

密钥分发中心判断那些系统允许相互通信。当两个系统被允许建立连接时，密钥分发中心就为这条连接提供一个一次会话密钥。

第三章：

1、列举消息认证的三种方法p48

单向散列函数，消息认证码MAC，利用常规加密的消息认证

2、什么是MAC.p49

一种认证技术利用私钥产出一小块数据，并将其附到消息上。这种技术称为消息验证码。

3.简述图3.2所示的三种方案：p50

A.使用传统加密

B．使用公钥加密

C．使用秘密值：是一种使用了散列函数但是没有使用加密的消息认证技术。这一技术假设通信双方(例如A和B)共享秘密值SAB。当A要给B传送消息时，A计算秘密值与消息串接后的散列函数：MDM=H（SAB||M）1.然后发送[M||MDM]给B。由于B拥有SAB，他能重新计算H（SAB||M），验证MDM。因为秘密值本身并不发送，所以攻击者不可能修改所截获的消息。只要不泄露秘密值，攻击者就不可能生成伪消息。

4、对于消息认证，散列函数必须具有什么性质才可以用 p51

1. H可使用于任意长度的数据块

2. H能生成固定长度的输出

3. 对于任意长度的x，计算H（x）相对容易，并且可以用软/硬件方式实现

4.对于任意给定值h,找到满足H(x)=h的x在计算机上不可行。

5.对于任意给定的数据块x,找到满足H（y）=H(x)，的y=!x在计算机上是不可行的。

6.找到满足H（x）=H(y)的任意一对（x,y）在计算机上是不可行的。

5、对于散列函数的内容，压缩函数是什么p56

压缩函数也具有散列函数的特征，具有抗碰撞能力的压缩函数可以被用来设计成消息认证方法。Whirlpool算法就是将AES 分组加密方法使用于压缩函数。

6、公钥加密系统的基本组成元素是什么？p59

明文：它是可读的消息或数据，用作算法的输入

加密算法：加密算法对明文进行各种形式的变换

公钥和私钥：它们是被选择的一对密钥，如果一个密钥用于加密，则另一个密钥就用于解密。加密算法所执行的具体变换取决于输入端提供的公钥或密钥。

密文：它是输出的混乱的消息，取决于明文和密钥。对于给定的消息，两个不同的密钥将产生两个不同的密文。

解密算法：改算法接收密文和匹配的密钥，生成原始的明文。

7、列举并简要说明公钥加密系统的三种应用p60

加密/解密：发送者用接受者的公钥加密消息

数字签名：发送者用自己的私钥“签名”消息。把加密算法作用于消息或者消息函数的一小块数据，这样就完成了对消息的签名。

密钥交换：双方联合操作来交换会话密钥。这可以使用几种不同的方法，且需要用到单方或者双方的私钥。

8、私钥和密钥之间有什么区别p60

传统加密算法中使用的密钥被特别地称为密钥，用于公钥加密的两个密钥被称为公钥和私钥。私钥总是保密的，但仍然被称作私钥而不是密钥，这是为了避免与传统加密混淆。

9、什么是数字签名p67

A想给B发送消息，b收到密文时，她能够用a的公钥进行解密，从而证明这条消息确实是A加密的，因为没有其他人拥有A的私钥，所以其任何人都不能创建由A的公钥能够解密的密文。因此，整个加密的消息就成为一个数字签名。

10、什么是公钥证书p67

公钥证书由公钥加上所有者的用户ID以及可信的第三方签名的整个数据块组成。通常，第三方就是用户团体所信任的认证中心（CA）,如政府机构或金融机构。用户可通过安全渠道把他或她的公钥提交给这个CA，获取证书。然后用户就可以发布这个证书。任何需要该用户公钥的人都可以获取这个证书，并且通过所附的可信签名验证其有效性。

11、公钥加密如何用来分发密钥

1准备消息

2利用一次性传统会话密钥，使用传统加密方法加密消息

3利用对方的公钥，使用公钥加密的方法加密会话密钥

4把加密的会话密钥附在消息上，并且把它发送给对方

第四章：

1、设计KERBEROS是为了解决什么问题？p78

假设在一个开放的分布式环境中，工作站的用户希望访问分布在网络各处的服务器的服务。我们希望服务器能够将访问权限限制在授权用户范围内，并且能够认证服务请求。

2、在网络或互联网上，与用户认证有关的三个威胁是什么？p67

1）、一个用户可能进入一个特定的工作站，并冒充使用那个工作站的其他用户

2）、一个用户可能改变一个工作站的网络地址，使得从此工作站发出的请求好像是从被伪装的工作站发出的

3）、一个用户可能窃听信息交换，并使用重放攻击来获取连接服务器，或者是破坏正常操作。

3、列出在分布式环境下进行安全用户认证的三种方式p79

一，依靠每个用户工作站来确认用户或用户组，并依靠每个服务器通过给予每个用户身份的方法来强制实施安全方案

二，要求服务器对用户系统进行认证，在用户身份方面信任用户系统

三，需要用户对每个调用的服务证明自己的身份，也需要服务器向用户证明他们的身份

4、对Kerberos提出的四点要求是什么？p79

安全，可靠，透明，可伸缩

5、一个提供全套kerberos服务的环境由那些实体组成？p86

一台Kerberos服务器，若干客户端和若干应用服务器

6、在kerberos环境下，域指什么？p86

一个提供全套服务的kerberos环境被称为kerberos域

7.kerberos版本4和版本5的主要区别由那些？p88

版本5要解决版本4在两方面的局限：环境方面的不足和技术山的缺陷。

环境不足：

1.加密系统依赖性：版本4需要使用DES。在版本5中，可以使用任何类型的加密技术。加密密钥被标记上类型和长度，这就允许可以在不同的算法中使用相同的密钥，也允许在一个的算法中具有不同的规定。

2.互联网协议依赖性：版本4需要使用互联网协议（IP）地址。其他类型的地址（比如ISO网络地址）不受支持。版本5的网络地址被标记上类型和长度，使得任何类型的网络地址都可以使用。

3.消息字节排序：在版本4中，消息的发送者采用一种字节选择的字节排序，并对消息进行标注，以表明最低地址中的最低有效字节或最低地址中的最高有效字节。在版本5中，所有的消息结构都使用抽象语法表示法和基本编码规则，这两个标注提供了清晰的字节排序。

4.票据有效期：版本4中的有效期值由一个8比特的值来编码，并以5分钟为一个基本单位。在版本5中，票据有明确的开始时间和结束时间，这使得票据可以有任意的有效期。

5.认证转发：版本4不允许将发放给一个客户端的证书转发给其他主机，并由其他客户端使用。版本5提供了这种功能。

6.域间认证：在版本4中，N个域中的互操作需要N2阶的Kerberos-Kerberos关系。版本5支持一种需要较少关系的方法。

技术缺陷：

1.双重加密：二次加密是不需要的，这造成了计算上的浪费。

2.PCBC加密：这种模式被证明易受包含交换密码块的攻击方法攻击。版本5提供了明确的完整机制，这样就可以使用标准的CBC模式来加密。在进行BCB加密之前，将把一个校验和或散列码附加在消息中。

3.会话密钥：每个票据中都包括一个会话密钥，它被客户端用来加密与票据相关联的服务认证符。但是，由于同一个票据有可能被重用来获得一个特定服务器上的服务，这就存在攻击者重放先前与客户端或与服务端的会话的风险。在版本5中，客户端和服务器可以协商得到子会话密钥，子会话密钥只在那次连接中使用。客户端的新的房屋将会导致使用新的字会话密钥。

4.口令攻击：两个版本都容易受到口令攻击。版本5提供了一种叫做预认证的机制，这使得口令攻击更加困难，但它不能杜绝这种攻击。

8、X.509标准的目的是什么？

1、X.509定义了一个使用X.500目录向其用户提供认证服务的框架

2、X.509是一个重要的标准，因为、X.509中定义的证书结构和认证协议在很大环境下都会使用。

3、X.509最初发布于、1988年

4、X.509基于公钥加密体制和数字签名的使用。

9、什么叫证书链？p95-96

在多个CA认证中心之间需要相互认证各自用户时，由各个CA认证中心相互认证的证书，形成一个证书链，通信双方通过这个证书链取得相互信任。

10怎样撤销X.509证书？

每一个存放在目录中的证书撤销列表都由证书发放者签名，并且包括：发放者的名称，列表创建日期，下一个CRL计划发放日期和每一个被撤销证书的入口。当用户从消息中得到证书时，必须要确定证书是否被撤销。用户可以在每次收到证书时检查目录。为了避免由目录搜索带来的延迟，用户可以维护一个记录证书和被撤销证书列表的本地缓存。

第五章：

1、PGP提供的5种主要服务是什么？p109

数字签名（认证），消息加密（保密），压缩，电子邮件兼容性和分段

2、分离签名的用途是什么？p110

分离签名可以与其签名的消息分开存储和传送，这在许多情况下都有用。

1.用户也许会希望为所有发送和接收的消息保存分离的签名日志；

2.可以检测程序以后是否被病毒感染。

3.可用于对一个合法合同等文档进行多方签名。

3、PGP为什么在压缩前生成签名？p111

1.对未压缩的消息进行签名可以保存未压缩的消息和签名供未来验证时使用；

2.即使有人想动态地对消息重新压缩后进行验证，用PGP现有的压缩算法仍然会比较困难。

4、什么是基-64转换？p112

一组三个8比特二进制数据映射为4个ASCII码字符，同时加上CRC校验以检验传送错误。

5、电子邮件应用为什么使用基-64转换？p112

使用PGP时，要对数据进行加密。加密得到的数据可能是由任意的8比特字节流组成的。然而许多电子邮件系统仅仅允许使用由ASCII码组成的数据块。为适应这个限制，PGP提供了将8比特二进制流转换为可打印的ASCII码字符的功能。

6、PGP为什么需要分段和重组？p113

电子邮件工具通常限制消息的最大长度。未来适应这个限制，PGP自动将长消息分段，使之可以通过电子邮件发送。分段在所以其他操作（包括基-64转换）之后进行。因此，会话密钥和签名部分仅在第一个分段的开始出现。

7、PGP如何使用信任关系？p119

PGP的信任关系由“密钥合法性域”、“数字签名域”、“所有者信任域”这三个域构成。经过三步流程（写出三个流程的过程），周期性的处理公钥获得一致性。

流程：

1.当用户A向公钥环中插入一个新公钥时，PGP必须为该公钥的所有者设置一个信任标志。

2.当新公钥进入环后，必须与一个或多个签名相联系，逐个加入多个签名。

3.根据表项中签名信任域的值计算密钥合法性域。

8、RFC 822是什么？p121

RFC 822定义了一种电子邮件传输的文本消息格式，这是一种被广泛使用的基于互联网传递的文本邮件标准。包括信封和内容两部分。

信封：包含用于传递和发送的任何消息。

内容：要发给接收方的对象。

9、MIME是什么？p122

是指多用途网际邮件扩展是对RFC 822框架的扩展，用于解决关于电子邮件的SMTP，简单邮件传输或其他邮件传输协议和RFC 822存在的一些问题和局限性。

10、S/MIME是什么？p121

是基于RSA数据安全性，对互联网电子邮件格式标准MIME的安全性增强。虽然PGP和S/MIME都基于IETF标准，但S/MIME侧重于适合商业和团体使用的工业标准.

第六章：

1、举出一个应用IPSEC的例子p143

1.路由器广播；2.邻居广播；3.重定向报文；4.路由更新未被伪造。（详细写出一个即可）

2、IPSEC提供那些服务？p145

访问控制，无连接完整性，数据源认证，拒绝重返包，保密性，受限制的流量保密性

3、那些参数表示了SA，那些参数表现了一个特定SA的本质？p146

由安全参数索引、IP目的地址、安全协议标识三个参数确定一个SA；

由序列号计数器、序列号计数器溢出、反重放窗口、AH信息、ESP信息、此安全关联的周期、IPSec协议模式、最大传输单元路径等参数表示一个特定的SA。

4、传输模式与隧道模式有何区别？p148

传输模式是对IP数据包的载荷（上层协议）、IPV6的扩展部分进行保护和认证；

隧道模式是对整个内部IP包、外部IPV6的扩展部分进行认证。

5、什么是重放攻击？p149

重放攻击就是一个攻击者得到了一个经过认证的包的副本，稍后又将其传送到其希望被传送到的目的站点的攻击。重复地接收经过认证的IP包可能会以某种方式中断服务或产生一些不希望出现的结果。

6、为什么ESP包括一个填充域？p153

ESP格式要求填充长度和邻接报头域为右对齐的32比特的字，通用，密文也是32比特的整数倍，填充域用来保证这样的排列。

7、捆绑SA的基本方法是什么？p156

1传输临界：这种方法指在没有激活隧道的情况下，对一个IP包使用多个安全协议。

2隧道迭代：指通过IP隧道应用多层安全协议。

8、Oakley密钥确定协议和ISAKMP在IPSec中起到什么作用？p158

IPSec的密钥管理部分包括密钥的确定和分发。分为手动密钥管理和自动密钥管理两种类型。Oakley和ISAKMP就是IPSec的自动密钥管理协议。

Oakley密钥确定协议：Oakley是基于Diffie-Hellman算法的密钥交换协议，但它提供了额外的安全性，Oakley的通用性在于它没有规定任何特殊的格式。

ISAKMP互联网安全关联和密钥管理协议：ISAKMP为互联网密钥管理提供了一个框架，并提供了特定的协议支持，包括格式和安全属性协商。

第七章：

1.图7.1给出的三种方法各自的优点是什么?p177

采用IPSec方法的优势是在网络层上实现安全，对于终端用户和应用是透明的，用户和应用程序不必考虑安全机制；

采用SSL/TLS方式的优势是在传输层上实现安全传输，在Web服务器和Web客户端潜入该安全方法，就能够保证互联网上实现安全的访问；

而采用诸如PGP、SET等方法的优势是可以针对特定的需求和应用，定制特别的安全机制，改机制是在应用层上实现安全访问。

2、SSL由那些协议组成？（详细写出）p178图7.2

SSL记录协议，SSL握手协议，SSL密码变更规格协议，SSL报警协议

3、SSL连接和SSL会话之间的区别是什么？p178

连接是一种能够提供合适服务类型的传输。会话：SSL会话是客户与服务器之间的一种关联。

4、列出定义SSL会话状态的参数，并简要给出各参数的定义p179

会话标识符：由服务器产生的用于标识活动的或可恢复的会话状态的一个任意字节序列。

对等证书：对的的X.509v3证书。会话状态的这一元素可以为空。

压缩算法：加密前用于压缩数据的算法。

密码规格： 包括大块数据加密算法规格和用于计算MAC的散列算法规格。它还定义了一下密码属性，例如散列值长度等。

主密钥：客户端和服务器共享的48字节长的会话密钥。

可恢复性：指明能否把会话用于创建新连接的标识比特。

5、列出定义SSL会话连接的参数，并简要给出各参数的定义p179

服务器和客户端随机数：由服务器和客户端为每个连接选定的字符串。

服务器写MAC密钥：服务器发送数据时计算MAC值的密钥。

客户端写MAC密钥:客户端发送数据时用于计算MAC值的密钥。

服务器写密钥:服务器用于加密数据、客户端用于解密数据的传统加密密钥。

客户端写密钥:客户端用于加密数据、服务器用于解密数据的传统加密密钥。

初始化向量:当CBC模式中的数据块正在使用时，需要为每个密钥配置一个初始化详细（IV）。最初的IV值由SSL的握手协议初始化。之后的IV值为前一次分组密码算法的最后一个密文分组。

序列号:建立连接的各方为每条连接发送和接收的消息维护单独的序列号。当一方发送或者接收改变密码规格的消息时，相应的序列号应置零。序列号不能超过2的64次方-1.

6、SSL记录协议提供了那些服务p179-180

机密性和消息完整性

机密性：握手协议定义一个可以用于SSL负载的传统加密共享密钥。

完整性：握手协议还定义一个用于产生消息认证码（MAC）的共享密钥。

7、SSL记录协议执行过程中涉及到那些步骤？p180

先将数据分段成可操作的块，然后选择压缩或不压缩数据，再生成MAC，加密，添加头并将最后的结构作为一个TCP分组送出。

8、列出SET的主要参与者，并简要给出他们的定义p194-195

持卡者：在待腻子环境下，消费者与公司客户是通过互联网上的个人计算机与商家发生联系的。

商家：商家是能够售卖货物或服务给持卡者的个人或组织。

发卡机构：发卡机构是能够为持卡者提供支付卡的金融机构。

代理商：代理商是为了商家建立帐户并处理支付卡认证与支付事物的金融机构。

支付网关：是代理商或指定第三方运作的专门处理商家支付信息的功能设施

认证机构：是一个为持卡者，商家和支付网关签发X.509V3公钥证书的可信实体。

9、什么是双重签名？其目的是什么？p196

双重签名是SET协议中，保证发出的订单信息OI与相对应的致富信息是唯一对应的。

消费者使用签名：DS=E(PRc,[H(H(PI)||H(OI))]);

商家使用签名：H(PIMD||H[OI]);D(PUc,DS);

银行验证签名：H(H[PI]||OIMD);D(PUc,DS)。这样三方都可以证明该项交易的真实性。

第八章：

1、把网络管理体系结构视为一个整体的意义是什么？p205

网络管理系统将整个网络视为一个统一的体系结构，并为系统中的各个点分配地址和标签，为系统所知的每个部件和链路分配特定的属性。网络中的主动部件会定期的将其状态信息反馈给网络控制中心。

2、SNMP模型中的关键元素是什么?p205-206

管理站，管理代理，管理信息库，网络管理协议

3、什么是MIB?p206

为了管理网络中的资源，SNMP使用客体来描述每个资源。客体的本质是数据变量，它描述管理代理在某一个方面的属性。客体的集合构成了MIB,MIB的功能是作为管理站在代理上的访问点集合。

4、SNMPV1提供那些基本功能和命令？p206

GET：管理站用来检索代理上的客体值

SET：管理站用来设置代理上的客体值

Notify：代理用来想管理站通知重要事件

5、SNMP委托代理的功能是什么？p207-208

对于没有安装SNMP的设备进行网络管理，称之为“委托代理”。是采用 管理站查询——委托代理转发——代理设备应答——委托代理设陷阱告知管理站 的流程工作的。

6、简要解释SNMPV1的 共同体概念？p211

是一个SNMP代理和一组SNMP管理器之间的关系，共同体定义了认证，访问控制和委托代理特性。共同体的概念是在代理含义上定义的一个局域概念。由于共同体只有定义在代理本地才有意义，因此不同的代理可以使用相同的共同体名。

7、SNMPV1,SNMPV2和SNMPV3之间的关系是什么？p205，p209，p213

SNMPv1具备网络管理的基本功能;SNMPv2增强了v1版的功能，如可以管理分布式网络、支持用非TCP/IP协议簇的其他协议、支持本地代理协议关系等；SNMPv3则在安全性能上做了增强。

8、USM模型用来预防什么威胁？p221

信息更改，伪装，消息流更改，信息泄漏

9、授权引擎与非授权引擎之间的区别是什么？p222

能接受包含需要应答的载荷的SNMP消息包的接受者为授权引擎；不能接受者为非授权引擎；

能发送不需要应答的载荷的SNMP消息包的发送者为授权引擎；不能发送者为非授权引擎。

10、什么是密钥本地化？p225

为用户和授权的SNMP引擎之间共享的秘密密钥。使用单个用户密钥为每个远程SNMP引擎生成唯一密钥的过程称为密钥本地化。密钥本地化技术使得主体只需要在本地维护一个认证密钥和一个加密密钥，就可以和每个远程引擎共享唯一的认证密钥和加密密钥。

11、列出并简要定义构成VACM的元素？p228（答案不确定）

主体：主体被分配给组，而访问策略根据组来指定。

安全级别：对于包含设置请求（写操作）的消息，代理请求使用认证服务。

安全模型：如果一个代理实现了多个安全模型，代理可以被配置为请求提供不同的访问级别。

客体实例：有些客体保存的消息比其他客体更加关键或敏感，因此访问策略必须根据所请求的特定客体实例来指定。

访问类型：读、写和通知是不同的管理操作，这些操作中的每一种都应用不同的访问控制策略。

第九章：

1、列出并简要定义三类入侵者？p237

假冒用户：未经授权使用计算机的个体，或潜入系统的访问控制来获取合法用户的账户。

违法用户：系统的合法用户访问未授权的数据、程序或资源，或者授权者误用其权限。

隐秘用户：通过某些方法夺取系统的管理控制权限，并使用哪个这种控制权躲避审计机制和访问控制或者取消审计集合的个体。

2、用于保护口令文件的两种通用技术是什么？p239

单向函数，和访问控制

3、入侵防御系统可以带来那三个好处?p240

1、如果足够快地检测到入侵行为，就可以在入侵者危害系统或者危机数据安全之前将其鉴别并驱逐出系统。

2有效的入侵检测系统是一种威慑力量，能够起到防护入侵者的作用。

3入侵检测可以收集入侵技术信息，这些信息可以用于增强入侵防护系统的防护能力。

4、统计异常检测和基于规则的入侵检测之间有那些区别？p243,245

统计异常检测是依据对正常/合法的行为进行检测，当检测到超出正常范围时就认为发生了入侵行为；而基于规则的检测则是对非法行为进行检测，发现非法行为即认为发生了入侵行为。

5、对于基于行为曲线的入侵检测来说，采用什么尺度是有益的？p243

可以按照“计数器”、“计量器”、“间隔计时器”、“资源使用情况”这几个尺度来衡量入侵行为。

6、基于规则的异常检测和基于规则的渗透检测检测之间有什么不同？p245

异常检测是建立一个用户过去的行为规则统计库，以这个数据库为标准，不满足该数据库的异常检测都是入侵行为。渗透检测则是建立一个入侵（即渗透）行为数据库，满足改数据库的行为都是入侵行为。

7、什么是蜜罐？p248,249

蜜罐是一个诱骗系统，用来把潜在的攻击者从重要系统中引诱开。蜜罐的设计目的如下：

1.转移攻击者对重要系统的访问

2.收集关于攻击者活动的信息

3.鼓励攻击者停留在系统中足够长时间以便管理员作出反应。

8、在UNIX口令管理的上下文中，salt指什么？p250

用一个称为“盐”的12比特随机数“salt”对DES算法进行了修改。通常，“盐”的取值与口令被分配到用户的时刻有关。被修改的DES算法的输入是一个由64比特的“0”组成的数据块。之后，算法的输出将作为下一次加密工程的输入。这个过程会一直重复25次。最终得到的64比特的输出结果将被转换为11个字符的字符序列。这个经过散列处理的口令与盐的明文副本一起被储存起来，放在相应用户ID的口令文件中。这个方法被用来对抗多种口令破译攻击方能广泛，以保证系统安全。

9、列出并简要定义四种用于防止口令猜测的技术？p253

用户教育：引导用户认识到选择难以猜测的口令的重要性，也可以提供一些具体的选择这类口令的指导原则。这种教育策略很多时候是无效的。

由计算机生成口令：首先，由随机数生成器产生一个随机字符串，然后对该字符串进行相应的变化处理生成用户口令。

后验口令检验：有系统周期性地运行它自身的口令破解程序来检查易于猜测的口令。对于易于猜测的口令，系统将通告用户并删除该口令。

先验口令检验：这种方案允许用户选择自己的口令。但是在选择之初，系统会检测口令是否是难以猜测的，如果不是，那么将拒绝该口令。

第十章：

1、在病毒运行过程中，压缩的作用是什么？p268

由于感染后的程序比感染之前的程序长，所以像签名所描述的这种病毒很容易被检测到。防止这种检测方法的手段是对可执行文件压缩，使得无论该程序是否被感染，它的长度都是相同的。

2、在病毒运行过程中，加密的作用是什么？p269

为了病毒在生成副本时可以随机插入多余质量或者交换一些独立指令的顺序。一种更有效的方法是采用密码学技术。在这种技术中，通常将病毒中的某一部分称为突变引擎，该部分生成一个随机加密密钥来对对病毒中其他部分进行加密。这个密钥由病毒保存，而突变引擎本身可变。可调用被感染的程序时，病毒使用它保存的随机密钥对病毒进行解密。当病毒进行复制时，会选择不同的随机密钥。

3、描述病毒或蠕虫的生命周期中有那些典型阶段？p266

睡眠阶段：在这个阶段中，病毒不执行操作，而是等待被某些事件激活。并非所有的病毒都有这一阶段。

传播阶段：病毒将于其自身完全相同的副本植入其他程序或磁盘的某些系统区域。每个被感染的程序中都将保护病毒的一个副本，并且这些副本会自动进入传播阶段，继续向其他程序传播病毒。

触发阶段：病毒在这一阶段被激活以执行其预先设计的功能。和睡眠阶段类似，病毒进入触发阶段可以由很多系统事件引起，其中包括病毒副本复制的数量达到某个值。

执行阶段：在这个阶段，病毒将实现其预期功能。这些功能可能无害，也可能是破坏性的。

4、通常来讲，蠕虫是怎样传播的？p271

电子邮件工具：利用电子邮件，蠕虫可以将自身的副本邮寄给其他系统

远程执行能力：利用此功能，蠕虫可以在其他系统上执行自身的副本

远程登陆能力：蠕虫可以作为用户登录一个远程系统，并用命令将自身从一个系统复制到其他系统。

5什么是数字免疫系统？p275

是IBM开发的一种全面而广泛的病毒保护措施。为对由网络性能造成的威胁作出回应，IBM开发了一种数字免疫系统原型。这个系统以仿真程序为基础，并对其进行扩展，从而实现了更为通用的仿真器和病毒检测系统。这个系统的设计目标是提高快速的响应措施，使病毒一进入系统就会立即得到有效控制。当一种病毒进入某一组织的网络系统时，免疫系统会自动对其进行补货、分析、检测、屏蔽和清除操作，并能够想运行IBM反病毒软件的系统报告该病毒信息，从而使这种病毒在广泛传播之前就可以被检测出来。

6，行为阻断软件的工作机理是什么？p276

行为阻断软件与操作系统相结合，实时地监控恶意的程序行为。在检测到恶意的程序行为之后，行为阻断软件将在签字的恶意行为对实际系统实施攻击之前将其阻止。行为阻断软件所监测的行为包括以下几点：

1.试图打开、查看、删除、添加或修改文件

2.试图格式化磁盘以及其他不可恢复的磁盘操作

3.修改可执行文件红宏的逻辑机制

4.修改关键系统设置（比如启动设置）

5.电子邮件脚本或及时消息客户端脚本发送可执行内容

6.初始化网络连接

如果行为阻断软件在某个程序运行是检测到某个正在初始化的程序可能有恶意行为，它可以实时地阻止这些行为并/或终止这些恶意软件。

7，什么是DdoS?p277-278

DoS攻击指试图阻止某种服务的合法用户使用该服务。如果这种攻击是从单个主机或者网点发起的，那么它就被称为DoS攻击。DDoS攻击攻击所带来的是一种更严重的网络威胁。在DDoS攻击中，攻击者可以募集遍及整个互联网的大量主机，在同一时间或者以协同发起方式对目标站点发起攻击。

编辑整理：xcs

如有错误还望多多包涵，祝大家考试顺利

网络安全 基础应用与标准（第二版）复习题答案（完整版） - so good