网络安全配置整理

第一章

1 资产的概念：

资产是组织内具备有形或无形价值的任何东西，它可以是资源，也可以是竞争优势。组织必须保护他们的资产以求生存和发展

2 威胁：威胁是指可能对资产带来危险的任何活动。因为对资产带来危险的基本活动很少改变，威胁的变化性小于漏洞。常见的威胁包括：1) 想方设法盗取、修改或破坏数据、系统或设备的人；2) 引起数据、系统或设备损坏的灾难

漏洞：漏洞是可被威胁利用的安全性上的弱点。出现漏洞的常见原因包括：1) 新开发的软件和实现的硬件时常会带来新的漏洞；2) 人在忙碌时难免犯错；3)许多组织是以被动的而非主动的方式应对网络安全问题

攻击：攻击是指故意绕过计算机安全控制的尝试。利用漏洞的新攻击不断出现，但是，当每种攻击方法公开后，防范这种攻击的对策通常也会随后公开

3 常见的攻击者：术语“攻击者”指的是那些故意绕过安全控制以获得他人计算机或网络访问权限的人。

4 电子欺骗：伪装为其他人或其他事物；中间人：在通信双方未察觉的情况下拦截其传输数据；后门：允许攻击者绕过安全措施访问系统的软件；拒绝服务：造成某个资源无法访问；重放：捕获传输数据，然后再次使用；数据包嗅探：窃听网络通信；社交工程：诱使用户违反正确地安全程序。

5 CIA三角-安全管理人员必须决定机密性（confidentiality）、完整性(Integrity)、可用性(Availability)

6 安全基线：为配置特定类型的计算机创建一套经过测试的标准。为安全电子邮件服务器、web服务器、文件服务器和台式计算机等设备测试并应用不同的基线。确保系统保持安全的配置。

安全策略：创建文档，以详细说明所有安全策略。尽可能使用技术来确保安全策略的实施

7 在Windows2000操作系统中主要提供了哪些网络身份验证方式？（A、B、C、D）

A Kerberos V5

B 公钥证书

C 安全套接字层/传输层安全性（SSL/TLS）

D 摘要和NTLM验证

E 口令认证

8．在Windows2000操作系统中主要提供了哪些安全策略来加强企业安全？（A、B、C、D、E）

A 密码策略

B 账户锁定策略

C Kerberos 策略

D 审核策略

E 用户权利

F 组织单位

第二章

9 用户账户的类型：本地账户、域账户

本地账户可以存储在除域控制器外的任何一台Windows 计算机上

域账户存储在域控制器的Active Directory中，所以在任何一台域成员计算机上都可以使用。

10 SID也就是安全标识符（Security Identifiers），SID是一个包含字符和数字的具有惟一性的字符创，它在网络中代表用户。系统使用SID来判断哪些安全主体（如用户账户和安全组）拥有对特定受保护资源的访问权限。

ACL Access Control List

本地安全组根据相同的安全性需求将用户归为一组，这提高了安全性并使管理更方便。

安全组拥有走唯一的SID，这样它就可以用指定对资源的访问权限。

11 交互式登录的过程：

（1）LSA的Winlogon组件收集用户名和密码。

（2）LSA查询SAM，以验证用户名和密码

（3）LSA根据用户账户SID和安全组SID创建一个访问令牌。

（4）访问令牌传递给后续进程，如果组策略（Group Policy）没有更改缺省值，后续进程应该是Windows Explorer。至此，用户登录完成。

12 域：所谓域就是共享相同安全账户数据库的一组计算机，管理员能够集中管理域中所有成员计算机的用户账户和安全组。

13 信任关系：一个域的安全主体可能被包括在其信任域的ACL和安全组中，这被称为信任关系。

和本地域账户类似，与用户账户和安全组在内部也用SID表示。域SID和本地SID以同样的方法构建，区别在于用户账户数据存储在Active Directory服务中而不是在SAM中。

14 TGT 票证授权（Ticket-Granting Ticket）,KDC 密钥发布中心(Key Distribution Center) ,AS 身份验证服务(Authentication) TGS 授权票证服务(Ticket-Granting Service) 15 操作系统角色：在域之间创建信任的机制完全是由操作系统来处理。当在Active Directory 中添加域时，Windows 交换密钥，以使域之间彼此信任，当把客户端计算机添加到域中时，Windows 交换密钥，以向KDC 证实客户端计算机已加入域中。

工作方式（25页两大段，自己理解）

16 OU：OU(Organizational Unit，组织单位)是可以将用户、组、计算机和其它组织单位放入其中的AD(Active Directory，活动目录)容器，是可以指派组策略设置或委派管理权限的最小作用域或单元。ACL（Access Control List）

第三章

17 账户策略是存储在组策略对象（GPO，Global Policy Object）的一些组策略设置，这些组策略对象（GPO）能控制操作系统中用户账户的相关特性。

18 如果用户不选取真正的随机密码，就应该考虑设置12个字符为密码长度最小值。

19 有3条可执行的账户策略设置用于账户锁定：账户锁定时间、账户锁定阈值、账户锁定计数器清零时间。

20 有5个账户策略设置可以实现Kerberos会话票证：强制用户登录限制、服务票证最长寿命、用户票证续订最长寿命、计算机时钟同步的最大容差。

21 组策略：组策略是用户界面限制与管理设置的结合，它可以防止用户更改计算机配置以及使用违反组织安全策略的方式操作计算机；组策略还包含脚本和安装包。这就允许管理员在任何数量的客户机中建立、管理和部署许多不同的计算机配置，同时为不同类型的工作人员提供一致的工作环境。组策略用来对用户组和计算机的管理和安全设置进行管理；组策略也用来为一些指定的计算机配置一些特殊的需求

22 计算机和用户配置策略有三个主要部分：

（1）配置中的软件设置部分，包含主要由独立软件供应商提供的软件的软件安装设置扩展。

（2）配置中的Windows设置部分，包含应用于Windows的设置，以及启动/关机脚本（计算机配置）或者登陆/注销脚本（用户配置）。配置的Windows设置部分包含设定于安全的大部分设置。

（3）管理员可以使用.adm文件来扩展配置的管理员模块部分，该部分包括修改Internet Explorer、Windows Explorer和其他程序行为。

23 组策略应用中的隐蔽问题包括：

对组策略所做的更改，在本地起作用，但在其他站点上或其他域中不起作用；GPO的复制速度比预期慢的多；组策略仅应用了一部分，其他部分未得到应用。

24 预定义安全模板包括：

（1）默认工作站（Basicwk.inf）、服务器（Basicsv.inf）和域控制器（Basicdc.inf）模板用于已完成安装的标准计算机的安全设置。

（2）兼容工作站（Compatws.inf）模板降低了计算机的默认安全设置，以便于用户组成员可以成功地运行未经Windows 2000验证的应用程序。

（3）安全的工作站、服务器（Securews.inf）和域控制器（Securedc.inf）模板为工作站、服务器和域控制器实现了Microsoft的安全推荐。

（4）高度安全的工作站、服务器（Hisecws.inf）和域控制器（Hisecdc.inf）模板设定的安全设置，是以牺牲向下兼容性的代价保护计算机之间的网络通信。

（5）默认安全设置（Setup security.inf）模板为Windows 2000提供了默认安全设置。

（6）更新的安全默认域控制器（DC security.inf）模板为域控制器建立了更新的默认安全设置。

25 有几种方法可以在一批计算机上部署安全模块：将安全模块导入GPO、在多个域和GPO 上部署安全模块、手工导入设置、使用Secedit进行部署。

26 选择题：

下列关于Power Users的描述哪些是不正确的？（E）

A 除了Windows 2000认证的应用程序外，还可以运行一些旧版应用程序

B 安装不修改操作系统文件，并且不需要安装系统服务的应用程序

C 自定义系统资源，包括打印机、日期/时间、电源选项和其他控制面板资源

D 启动或停止默认情况下不启动的服务

E Power Users具有将自己添加到Administrators组的权限

为了加强公司安全策略，在周末你启用了密码策略，要求用户密码长度必须符合15位长，但是周一Windows 95和Windows 98用户报告说不能登录网络，可是登录Windows 2000的用户没有问题，可能是哪些原因造成的？

A 密码位数过长，不能超过7位

B 密码位数过长，不能超过14位

C 需要重新安装DNS

D 密码策略尚没有复制到该分支结构

第四章

27 Windows 2000可以对下列资源类型应用权限：

1）NTFS文件系统卷中的文件和文件夹

2）共享文件夹和打印机

3）注册表项

4）Active Directory目录服务对象

随机访问控制列表（DACL，Discretionary Access Control List）通常也称为ACL

访问控制项（ACE，Access Control Entry）

系统访问控制列表（SACL，System Access Control List）

28 NTFS (New Technology File System)，是WindowsNT 操作环境和Windows NT 高级服务器网络操作系统环境的文件系统。

29 空ACL

如果ACL是空的，则所有用户都无权访问该文件。拥有所有权的账户总是有更改权限的能力，因此不管权限如何，都可以向ACL添加ACE。

不存在的ACL

如果ACL不存在（这与ACL不同），则所有用户对该文件都拥有完全访问权。

30 要解决这个问题，可以用Cacls命令行工具来授予或删除特定ACE，而不是影响或替换其他ACE项。使用此工具可以修复包含数据的卷中的权限问题。应该在服务器上按季度审核权限，以确保没有意外地授予某些用户太多的访问权。然后可以使用Cacls命令检查不合适的权限并进行替换。

管理NTFS文件系统权限的通用指导方针：P90

31 组策略的局限性：使用组策略配置Internet Explorer 安全性，请记住大部分设置只是限制用户界面，它们并未真正禁用某类功能。如果用户利用其他界面或下载可以修改Internet Explore 设置的程序、脚本或注册表文件，他们就可以覆盖组策略的设置。黑客们在Internet 上出卖这类脚本的事情很常见。

32 管理员可以访问大多数注册表项，但无法看到也无法修改注册表中存储安全帐户管理器（SAM,Security Accounts Manager）安全数据库的部分。绝大多数用户都适用于这样的设置。

第五章

33 访问控制是授权用户或组访问网络对象的过程。

身份验证是验证某事或某人身份的过程。

授权是确定经身份验证的用户或进程是否有权访问资源，并指定用户对资源享有何种访问级别的过程。

34 访问控制条件：

1）允许已授权的用户访问他们请求的资源

2）阻止未经授权的用户访问资源

35 最小特权原则是指，为方便用户工作，应该为用户分配所必需的权限级别——但是不要超过这个级别。通过拒绝与完成工作无关的访问类型，攻击者就不能使用额外的特权绕开网络安全措施

36 控制资源访问的两种方式：

1）基于密码的访问控制

2）基于用户的访问控制

37 Windows使用两种主要的身份验证协议：NT LAN Manager（HTLM）和Kerberos。Windows 2000和Windows XP Professional支持下述三种咨询-响应身份验证方法：LAN Manager （LM）、NTLM v1、NTLM v2.

38 访问控制模型：

自由访问控制（DAC, Discretionary Access Control）

基于角色的访问控制（RBAC，Role-based Internet Explore）

强制访问控制（MAC，Mandatory Internet Explore）

39 Windows身份验证方式

1）自动的身份验证

单点登录（SSO，Single Sign On）系统，例如Kerberos，自动执行身份验证过程，但并不是完全不需要登录到所访问的每台服务器。

2）质询——响应身份验证

40 保护账户安全（MBSA，Microsoft Baseline Security Analyzer）含义:Microsoft 基准安全分析器 (MBSA) 可以检查操作系统和 SQL Server 更新,MBSA 还可以扫描计算机上的不安全配置。

第六章

41 密钥加密：也成为对称密钥加密，这种加密使用同一种密钥加密和解密数据。

42密钥加密算法存在的问题：尽管可以将加密后的原文发送给任何人而不用担心被揭解密，但是却不能将密钥发送给需要解密的人，因为如果在传输时密钥被拦截，就可以被用来解密原文。由于无法将密钥传送给远方的接收人，所以纯粹的密钥系统不适合在Internet 这样的公共载体上传送信息。

43 数字签名是通过加密身份信息进行身份验证的一种方法，任何人都可以解密此信息以便进行验证，但是只有信息的原作者能加密该信息。

44 数字签名的工作原理：在公钥加密密码系统中，加密密钥是公钥，解密密钥是私钥。

而在数字签名系统中，加密密钥是私钥，解密密钥是公钥。

45 证书是一种数据结构，可以包含无数个公钥、私钥、密钥和数字签名。证书主要用于执行受信的第三方身份验证。

46 如果整个企业普遍使用证书，且发行证书的CA都有相同的根CA，那么所有这些CA和基于证书的服务就称为公钥基础结构（PKI，Public Key Infrastructure）。

47 强力攻击的威胁：强力攻击（或称分解攻击）中，黑客会使用所有可能的值，尝试确定签署文件所使用的私钥，直到与数字签名匹配为止。

48 证书吊销列表（CRL, Certificate Revocation List）：CA发布一个不再有效的证书的列表。这个列表称为“证书吊销列表”

使用Internet信息服务（IIS, Internet Information Services）：发布文本文件。

49 证书可以为下列情况提供安全解决方案：

安全电子邮件、软件代码签名、安全Web通信、智能卡登录、IPSec客户端身份验证、加密文件系统（EFS, Encrypting File System）

缩写：邮件扩充协议（Secure Multipurpose Internet Mail Extension,S/MIME）

安全套接层（SSL，Secure Sockets Layer)

传输层安全（TLS,Transport Layer Security）

50 Windows 2000支持两类CA:独立CA（Standalone CA）、企业CA（Enterprise CA）。

缩写：加密服务提供程序（CSP,Cryptographic Service Providers）

51 企业CA保存在Active Directory的CA对象中。

52 加密服务提供程序（CSP）是执行身份验证、编码和加密服务的代码，基于Windows的应用程序会访问这些服务。CSP负责创建密钥、销毁密钥，以及使用密钥执行多种加密操作。

53 吊销证书的原因：未指定、密钥泄露、CA泄露、附属关系改变、被取代、停止操作、证书保留

54 选择题

企业业务急剧扩张，因此为销售部门购进一批笔记本电脑，这些电脑都奉送智能卡和智能卡接口设备。希望销售部门实现通过智能卡进行域验证，但是在申请证书页面没有查询到智能卡证书，请确定可能是由以下哪种原因造成的。（B）

A 这是企业CA

B 这是独立CA

C 用户权限不够

D CA有效期限已过

第七章

55 密钥：是用来改变加密结果的。不知道密钥，解密数据就会困难很多。采用密钥算法的好处是，多个用户可以使用相同的算法加密或解密不同的数据源。即使知道了算法和一个密钥，仍无法解密那些使用相同算法，但用不同密钥加密的数据。采用密钥算法，就可以使用公开算法，而不会影响数据的安全。

大部分商业算法都是公开的，政府情报机构有时候会使用保密算法。

57 选择一个密钥，并使用指定算法和该密钥加密选择的词

58 加密法的一般用途：现代加密法可以提供保密性、数据完整性、身份验证、不可抵赖性并能防止重放攻击——所有这一切都有助于加强数据安全性。

59 评估加密强度的考虑因素：

没有绝对安全的加密算法。只要知道算法并有足够的时间，攻击者就能重建大部分加密数据。强算法基于可靠的数学方法，其创建加密数据的模式不可预见，并且有一个足够长的密钥，所以强算法可以组织大部分攻击。

如果使用了强算法，攻破加密的唯方法就是获取密钥。攻击者要获取密钥，可能会通过窃取、诱使某人泄露密钥或尝试各种可能的密钥组合。最后使用的方法一般称为强力攻击。增加迷药的长度会使攻击者使用强力攻击花费的时间呈指数级增长。

60 对称加密原理：

对称加密是使用相同的密钥加、解密消息的加密办法。如果有人要加、解密数据，他必须将密钥保密。如果要在各方之间传输数据，各方必须同意使用共享密钥，并找到安全交换密钥的方法。

加密数据的安全依赖于密钥的保密性。如果有人知道了密钥，使用这个密钥，他或她就能解密所有使用该密钥加密的数据。

61 散列函数是一种加密类型，它选取任意长度的数据进行加密，随后生成一个固定长度的数据串，叫做散列。散列有时也称为摘要。

散列函数是单向函数，就是说，不能有散列数据重建原始数据。因为这一特性，散列不能用来确保保密性。不过，可以通过在两个不同时间创建散列并比较结果来确定数据是否被改变。

62 常见的散列算法：

Internet请求注释RFC，Requests for Comments。MD4 Message Digest4

63 公钥加密的原理

（1)所有人都可以使用公钥加密数据，公钥对公众是公开的。

(2）使用私钥的人生成密钥对。

（3）可以使用生成密钥的程序创建密钥对。

（4）强力攻击是根据公钥推断私钥的唯一已知方式。

64 RSA来源：根据该算法的发明者（Ron Rivest、Adi Shamir和Leinard Adleman）的名字而命名，它是使用公钥加密数据的事实标准，RSA的专利保护已经过期，所以现在可免费使用RSA算法。

65 公钥加密的优缺点：

优点：提供一种无需交换密钥的安全通信方式；公钥加密既可以验证个人身份也可以验证数据的完整性。

缺点：它很慢。

66 选择题

常见的加密算法中，除了图中所示的两种以外，还有哪一种？（图中为SHA、3DES）（A）

A AES

B SSL

C EAP

D WEP

从图中可以看到用户EFS证书的Thumbprint信息，如果使用efsinfo命令，需加上哪一命令参数才能查看到对应的文件加密？(B)

A /U

B /C

C /I

D /S

如果网站中配置了如图所示的SSL选项，则通常需要在防火墙上开启哪两个端口才能访问网络？

A 80/110

B 80/443

C 25/110

D 80/995

第八章

67 数字证书：数字证书（简称为证书）是一种数字文档，它通常用作身份验证，也用来保护在Internet、外部网和内部网等开放性网络中进行的信息交换。证书将公钥安全地绑定在拥有相应私钥的实体上。例如，可以将证书随经过签名的电子邮件消息一起发送。收件人使用该证书验证消息的发件人，也可以使用包含在证书中的公钥加密或解密数据

68 证书请求和接受的过程称之为注册（enrollment）

69 请求和颁发证书的过程：

（1）申请者生成一对密钥

（2）申请者向CA发送证书请求

（3）管理员审阅请求

（4）一旦批准，CA就会颁发证书

70 智能卡使用证书的方法：

智能卡是信用卡大小的没有图形化用户界面的微型计算机。智能卡为保护电子邮件消息或域登录等任务提供了防篡改和易携带的安全解决方案。

可以安全地使用智能卡存储数据，包括证书和相应私钥。智能卡和计算机软件一起生成密钥对，并提供对存储在智能卡中的密钥对和证书的访问。

71 智能卡在以下几个方面增强了安全性：交互式登录、客户端身份验证、远程登录、私钥存储。

72 认证中心（CA，Certification Authority）是安装了证书服务的计算机。

CA证书的作用：验证请求者的身份、向请求证书的用户和计算机颁发证书、管理证书吊销。

73 证书的生命周期：证书颁发之后，要经历不同的经历，并在一定的时间段内保持有效，这一段时间被称为证书生命周期。

74 吊销证书的方法：①私钥已泄露；②用户离开了组织；③CA取消了用户使用证书或私钥的权限；④证书用户的从属关系已改变；⑤CA已被攻击；⑥证书已由新的证书或私钥取代；

⑦证书已被冻结；⑧CA已停止运营；⑨AIA已泄露。

76 用户证书的自动部署：只要需要在域中使用EFS证书加密文件，系统就会申请、创建并部署这些证书。这种类型的证书不需要用户或管理员的参与。

77 智能卡：是信用卡大小的安全装置，包含微处理器和一定数量的永久内存。

78 存储公钥和私钥：

在创建智能卡的公钥/私钥对时，密钥对由卡中的微处理器生成而不是由主机生成。私钥存储在智能卡存储器中主机访问不到的安全区域，公钥存储在存储器中主机可读取的公用区域。

私钥一旦产生并存储在智能卡中，就不能删除了。主机将加密数据发送给智能卡，智能卡中微处理器使用公钥解密数据，然后将解密的数据传回给计算机。

79 选择题

通常情况下，以下哪些情况比较符合使用公用CA的条件（C）

A公司内部的证书服务器提供的安全加密等级不高

B公司需要对合作伙伴作验证

C公司提供的服务需要给大量的外部客户使用

D VeriSign提供的服务已在绝大部分客户端软件上预安装了证书

作为系统管理员，你需要为两台加入域的SQL Sever 2000和Exchange 2000 Sever安装和配置安全通讯，以下哪种情况比较合适？（D）

A申请两份服务器加密证书，为SQL Sever 2000和Exchange 2000 Sever配置SSL

B无需申请服务器加密证书，为SQL Sever 2000和Exchange 2000 Sever配置IPSec。

C无需申请服务器加密证书。SQL Sever 2000和Exchange 2000 Sever配置SSL

D为SQL Sever 申请一份服务器加密证书，为SQL Sever 2000配置SSL，为Exchange 2000 Sever配置IPSec。

第九章

80 网络设备中常见的威胁：①大多数设备的管理工具可以被整个网络访问；②设备运行的硬件和软件中可能会有程序缺陷，这些缺陷很有可能被攻击者利用；③如果攻击者能够物理访问设备的硬件，那么设可以被损坏或偷窃；④设备刚出厂时用的是默认设置，攻击者了解这些配置。

81 Tempest是瞬变电磁脉冲设计标准技术（Transient ElectroMagnetic Pulse Engineering Standard Technology）的缩写。星形拓扑易受到拒绝服务（DoS，Denial-of-Service）攻击。光纤分布数据接口（FDDI，Fiber Distributed Data Interface）

82 ARP缓存污染：根据操作系统规定的缓存规则，计算机A动态的缓存计算机B的信息，动态缓存使攻击者有可能改写ARP缓存项或执行ARP（Address Resolution Protocol）缓存污染。

83 ping of Death攻击：攻击者发送一个超过协议规范许可的更大的ping数据吧。这个很大的ping数据包在通过路由器的时候被分段，但是当它抵达目标并被重新组装时，常常会导致系统死机。

Smurfing攻击：攻击者欺骗ICMP的ping数据包，从而造成大量的ping相应数据包被发送到目标计算机。

84 SMB签名：这是一种数字签名的方法，使用加密散列保护每一个服务器消息快（SMB,Server Message Block）数据包的完整性。SMB签名保护网络通信不受中间人攻击和TCP/IP会话劫持攻击，SMB通信是不加密的。

86 IPSec发生故障的表现有两种：①通信没有发生；②通信没有加密。

87 可以针对IPSec采用哪些身份验证方法？（ABC）

A Windows默认（Kerberos v5）

B来自CA的证书

C预共享的密钥

D基本验证

你决定在公司部署安全策略时主要使用IKE密钥，请问在Windows2000中分发IKE密钥时可以使用哪种方法？（ABC）

A Kerberos

B密钥手工键入

C使用证书

D证书映射

第十章

88 电气和电子工程师协会（IEEE，Institute of Electrical and Electronics Engineers）:电气和电子工程师协会(IEEE)是一个国际性的电子技术与信息科学工程师的协会，

点对点模式(ad hoc(特别)模式)运行速度为1Mbps:Ad Hoc结构是一种省去了无线中介设备AP而搭建起来的对等网络结构，只要安装了无线网卡，计算机彼此之间既可实现无线互联；

其原理是网络中的一台计算机主机建立点到点连接，相当于虚拟AP，而其他计算机就可以直接通过这个点对点连接进行网络互联与共享。

89 WEP具有一些安全漏洞，在构建无线网络是必须考虑：

1）强力攻击 2）未经授权的WAP部署 3）WEP密钥部署

90 使用802.1x身份验证协议就能保护网络上所有数据链路端口

91 身份验证服务（IAS，Internet Authentication Service）用来提供远程身份验证拨入用户服务（RADIUS,Remote Authentication Dial-In User Service），远程用户身份验证基于MD5（消息摘要v5，Message Digest version5）密钥加密协议或者用户和计算机证书。数据链路设备会开放用户数据报协议（UDP，User Datagram Protocol）端口来验证所有连接的客户端，但它会阻塞其他其他端口直到身份验证服务器报告客户端已通过验证。

92 802.1x连接失败的原因：

1）连通性问题 2）配置问题 3）证书问题 4）权限问题

93 现在的802.11协议中常见速率有错误的是哪个（ D ）

A、802.11b为11Mbps

B、802.11b+为22Mbps

C、802.11a为54Mbps

D、802.11g为118Mbps

第十一章

94 路由与远程访问服务（RRAS, Routing and Remote Access Service）

95 RRAS的标准身份验证方法：

1）PAP和CHAP 2)EAP 3)未经身份验证的访问

96 战争拨号机：（War Dialing）是指随机的呼叫一批号码直到有一个调制解调器应答为止。攻击者可以使用称为战争拨号机的技术查找调制解调器，并访问组织的内部网络。

97 在选择远程访问身份验证协议之前，确保理解了下列协议的安全性内涵：

1）PAP，尽管几乎所有的拨号网络服务支持密码身份验证协议（PAP Password Authentication Protocol）,但PAP把用户的机密信息作为明文传输给远程访问服务器，不提供任何防止密码测定和重放攻击的保护。

2）SPAP,Shiva密码身份验证协议（Shiva Password Authentication Protocol）为Shiva 远程访问客户端提供了支持。

3）ESP-TLS，可扩展身份验证协议传输层安全（Extensible Authentication Protocol Transport Layer Security）是最安全的远程身份验证协议。它在服务器和客户端都使用证书来提供相互身份验证、数据的完整性和数据的机密性。

4）SecurID，SecurID是一种使用EAP的基于令牌的身份验证方法。

98 VPN的两种基本配置：1）客户端到网关 2）网关到网管

第十二章

99 保护信息的方法：1）尽量减少具有管理权限的账户 2）划分Active Directory 3）配置权限 4）保护域控制器的物理安全

100 DNS的常见威胁：1）无意的泄漏 2）未经授权的DNS修改 3）拒绝访问

101 保护DNS的方法：1）限制DNS提供的信息 2）在DNS区域的其实授权机构（SOA,Start of Authority）记录中，使用一个仅用于此用途的普通电子邮件账户，不要使用用户常用的电子邮件地址。3）防止未经授权的区域复制4）限制对DNS数据库的管理性访问5）将DNS

限制为动态更新

102 今天用户打电话过来，说网络上的计算机无法正常访问网络资源，你怀疑可能是因为计算机的TCP/IP配置不正确，是用什么命令，能够很快得到计算机的TCP/IP配置列表？

请你在计算机上操作给出具体结果考虑到黑客有可能修改了DNS缓存，你在该客户端应该执行那些命令才能重新刷新缓存？为了保障DNS服务器的记录能够进行安全更新，下列哪些区域能够支持动态更新？ IPCONFIG /ALL IPCONFIG /FLASHDNS ( A )

A、Active Directory集成的区域

B、辅助区域

C、标准反向区域

D、根区域

第十三章

103攻击类型：1）自动攻击 2）随机目标 3）特定目标

104 攻击网络的三种主要方法：1）拒绝服务攻击 2）漏洞利用攻击 3）伪装攻击

105 使用防火墙保护服务，如果提供公共服务，必须至少具有三个安全区域：1）公共Internet（不受信任的） 2）周边网络（部分信任的）3）专用网络（受信任的）

106 在给Inernet安全配置SQL Server时，应遵循以下指导方针：

1）保护数据库服务器 2）使用代理 3）使用ISA Server 4）使用SSL加密

107 即时信息服务系统通常以明文方式发送数据。

第十四章

108 对Web服务器最常见的攻击类型包括：1）使用示例硬功程序和管理脚本的攻击 2）侦查攻击3）利用默认配置漏洞 4）利用Web设计的漏洞 5）拒绝服务（Dos）攻击其包括：缓冲区溢出、SYN拥塞、死亡之Ping

109 安全外壳协议（SSH）允许用户登录到网络上的另一台计算机，在远程计算机上执行命令，以及在计算机之间移动文件。与Telnet不同，SSH提供了较强的身份验证以及未受保护的通道上的安全通信，而且在网上传输密码前会加密密码。SSH可以防止：1）IP电子欺诈 2)IP 源路由 3)DNS电子欺骗 4)拦截电子密码

110 配置SSL选项：如果已经将服务器配置为要求使用SSL，客户端就必须在统一资源定位器(URL，Unique Resource Locators)中输入“https:”而不是“http:”来访问服务器，而且每个客户段在指定的加密级别都必须支持SSL。

111 使用客户端证书对用户进行身份验证的方法：1）启用客户端证书 2）安装客户端证书 3）配置客户端证书设置

112 数据库服务器的漏洞包括：1）软件错误和缺陷 2）设计拙劣的应用程序 3）不正确的权限4）默认配置

第十五章

113 经常受攻击的端口包括

网络基本输入/输出系统（NetBios,Network Basic Input/Output system）会话端口（139）通过TCP的服务器消息块（SMB，ServerMessage Block）端口FTP（21）

FTP（21）

远程通信网络协议（Telnet,Telecommunications Network Protocol）(23)

简单邮件传输协议（SMTP Simple Mail Transfer Protocol）（25）

邮局协议3（POP3，Post Office Protocol 3）（110）

点对点隧道协议（PPTP Point-to-point Tunneling Protocol）（1723）

第2层隧道协议（L2TP Layer 2 Tunneling Protocol）（1701）

RDP（3389）

114 实现诱饵服务器的方法：

1选择服务端口作为诱饵

2在网络架构中放置诱饵服务器的位置

3诱饵入侵检测的漏洞

115 检测入侵者：

（1）配置ISA服务器将端口通信转发给诱饵

（2）配置诱饵的审核和警报

（3）管理诱饵的日志保留方式

116 安全事故的常见迹象：(1) 网络异常、(2) 系统异常、(3)事件的直接报告、(4)物理迹象、(5)商业迹象

117 后门攻击：后门程序通常在影响到计算机安装一个服务器组件，然后它可被攻击者的客户端计算机访问。通常该安装会在文件跟踪软件中留下审核踪迹。后门程序通常会修改启动文件和注册表项，以确保它们能在任何时间都保持运行，有些后门程序会在注册表中注册他们自己的动态链接库（DDL）。

118 病毒和蠕虫攻击（判断）：有些病毒会更改注册表项。例如：Nimda病毒会更改注册表，用来创建新的共享并删除所有共享上的安全权限。蠕虫通常会将自己复制到其他主机上，所以会引发大量的网络通信。这类通信可能流向文件共享或web访问的标准端口，于是这类通信的剧增是感染蠕虫的最明显迹象。病毒会引起奇怪的系统行为。

119 数据包嗅探攻击（理解）：数据包嗅探是一种被动攻击，因此非常难检测。有时数据包嗅探强制网络适配器工作在混合模式，以捕获所有的网络通信。这种改变有时会在系统日志文件中留下记录。在一些情况下，反嗅探软件能强制嗅探器暴露自己的行为。

120 电子欺骗、中间人和重放攻击：如果为Windows启用了IPSec，且有日志项表明密钥交换失败，则可能是发生此类攻击的信号。

121 事故响应组执行的任务：开发并演示事故响应计划、监视并响应安全事故、通告安全事故、记录安全事故、研究新的漏洞和攻击

122 下面可以说明在哪里发现持久证据

系统和账户的不规则行为和变化安全审核日志

失败的对象访问安全审核日志

不寻常的特权使用安全审核日志

拨号行为调制解调器日志

周边访问控制列表路由器和防火墙

已知攻击的特征入侵检测软件

对文件校验或数字签名的更改文件跟踪实用工具

注册表的更改注册表跟踪实用工具

第十六章

123 业务中断的常见原因包括:设备失效、人为错误、软件功能故障或损坏、攻击者活动、灾难、事故

124 在制定应对灾难的策略时，应该尝试排除每一个故障点:数据和服务、设备、设施、人员

125 风险：可能受到的损失或伤害。

风险管理：高层管理人员和网络安全设计者和设计师识别、控制、减轻和最小化风险的风险的过程。

风险识别：非正式的风险识别过程，由网络安全人员在日常工作中执行，用来尽量减少风险

126 风险，威胁和漏洞的关系

风险是一个含义很广的词语，指组织或业务可能发生的不确定事件或破坏性事件。风险与威胁和漏洞相关。

管理风险通常是由高层管理者和网络安全规划者执行的任务。大部分网络安全人员把时间花在尽量减轻威胁的影响，预防攻击，减少漏洞数量和响应安全事故上，但是，如果理解风险，威胁，漏洞的关系，就能为风险管理提供支持。另外，还需要理解网络安全人员在其日常工作中所做的工作。

第十七章

127安全策略是在保护技术和信息资产方面对雇员作出要求的正式声明。

128安全规程是应对安全事故的步骤。应对小组在事故中用安全规程来避免混淆和盲从，并确保以适当且全面的方式进行应对。

129当你遇到道德难题时：①相信你的直觉；②延迟时间；③同别人交谈。

第十八章

130可信计算机基础应该包括以下机制：①实现用户身份验证和对计算机的访问控制；②限制访问网络传输过程中的信息；③确保记录的机密性并建立审核机制；④确保数据不被破坏或窃取。

131安全基线时有关计算机配置和管理的详细描述，它在特定的计算机上实施可信赖的计算基础组件，同时还描述了为保护计算机二进行的相关配置。安全基线的基本要素有：①服

务和应用程序的设置；②操作系统组件的配置；③权限和权力指派；④管理流程。

132计算机安全退役的方法：①删除数据；②永久销毁数据。

133Microsoft提供下列类型的软件更新：①修补程序；②安全累积程序包；③Service Pack。134：RIS：PXE：预处理环境。RIS服务器存储了操作系统的安装映像。使用带有预处理环境（PXE，Pre-Execution Environment）引导ROM的网络计算机或者使用网络安装软盘，客户端可以进行连接。

135：HFNetChk：HFNetChk是可以检验网络上一台或多台计算机路径状况的命令行工具。136：为了防范最近出现的蠕虫病毒，你希望对公司所有系统进行安全扫描，你首先需要弄清楚专家建议的MBSA能够扫描哪些系统文件，请把不支持的系统从下列选项中选择出来（J）

A Windows NT 4.0

B Windows 2000

C Windows XP

D Microsoft Internet Information Service 4.0和5.0

E Microsoft Internet Explorer 5.01及更高版本

F Microsoft SQL Server 7.0

G SQL Server 2000

H Microsoft Office 2000

I Microsoft Office XP

J Windows 98