第1章信息安全概述
信息安全技术使用教程第二版课后习题
信息安全技术使用教程（第版）课后习题第一章（信息安全概述）习题一、1、填空题（1）信息安全是指秘密信息在产生、传输、使用、和存储的过程中不被泄露或破坏（2）信息安全的4个方面是;保密性、完整性、可用性、和不可否认性。
（3）信息安全主要包括系统安全和数据安全俩个方面。
（4）一个完整的信息安全技术体系结构由物理安全技术、基础安全技术、系统安全技术、网络完全技术及应用安全技术组成。
（5）一个常见的网络安全模型是PDRR模型。
（6）木桶原则是指对信息均衡、全面的进行保护。
木桶的最大容积取决于最短的一块木板。
2、思考与解答题：（1）简述信息安全技术面临的威胁。
（2）简述PDRR网络安全模型的工作过程。
第二章（物理安全技术）习题二1、填空题（1）物理安全又称为实体安全、是保护计算机设备、设施（网络及通信线路）免遭地震、火灾、水灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。
（2）物理安全包括环境安全、设备安全电源系统安全和通信线路安全、（3）计算机的电子元器件、芯片都密封在机箱中，有的芯片工作时表面温非常高，一般电子元器件的工作温度在0---45摄氏度。
（4）在放置计算机的房间内，湿度最好保持在40%--60% 之间，湿度过高或过低对计算机的可靠性与安全性都有影响。
2、思考与解答：（1）为计算机系统提供合适的安全环境的目的是什么。
（2）简述计算机机房的外部环境要求、内部环境要求。
第三章（基础安全技术）习题三、1、填空题（1）一般来说，信息安全主要包括系统安全和数据安全俩个方面。
（2）面膜技术是保障信息安全的核心技术、它以很小的代价，对信息提供一种强有力的安全保护。
（3）加密使用某种方法将文字转换成不能直接阅读的形式的过程。
（4）加密一般分为3类，是对称加密、非对称加密和单向散列函数。
（5）从密码学的发展历程来看，共经历了古典密码、对称密钥密码和公开密钥密码。
（6）对称加密算法又称为传统密码算法或单密钥算法，它采用了对称密码编码技术，其特点是文件加密和加密使用相同的密钥。
第1章 信息安全概述
（2）要建立完善的安全管理体制和制度，要 有与系统相配套的有效的和健全的管理制度，起到 对管理人员和操作人员的鼓励和监督的作用。 如制定人员管理制度，加强人员审查；组织管 理上，免单独作业，操作与设计分离等。这些强 制执行的制度和法规限制了作案的可能性。
（3）管理要标准化、规范化、科学化。例如 对数据文件和系统软件等系统资源的保存要按保密 程度、重要性文件复制3～5份的备份，并分散存放， 分派不同的保管人员管理；系统重地要做到防火、 防窃；要特别严格控制各网络用户的操作活动；对 不同的用户、终端分级授权，禁止无关人员接触使 用终端设备。要制定预防措施和恢复补救办法，杜 绝人为差错和外来干扰。要保证运行过程有章可循， 按章办事。
（4）如何在实时（例如网络客户与网络服务 器间的数据流）和存储转发应用（例如电子邮件） 情况下保护通信秘密。
（5）如何确保信息在发送和接收间避免干扰。
（6）如何保护秘密文件，使得只有授权的用 户可以访问。
1.5 网络安全措施
过去人们往往把网络安全、信息安全局限于通 信保密，局限于对信息加密功能的要求，实际上， 网络信息安全牵涉到方方面面的问题，是一个复杂 的系统工程。一个完整的网络信息安全体系至少应 包括三类措施： 一是社会的法律政策、安全的规章制度以及安 全教育等外部软环境。在该方面政府有关部门、企 业的主要领导应当扮演重要的角色。
1.2 信息安全的目标
信息安全目标有机密性、完整性及可用性三方
面。
如果把信息系统比拟成一个保险柜，系统的内 容则如同放在保险柜中的物品，除了有钥匙或号码 的特定人士外，外人根本无法得知保险柜中内容为 何，这就是机密性； 保险柜内保存的物品因保险柜的坚固而可保持 完整，不致遭人破坏，这就是完整性； 一旦取得该物品因其完整未被破坏而可利用它， 这就是可用性。
第1章 信息安全概述
信息安全的基本属性 （续）
机密性（Confidentiality）
信息的机密性是指确保只有那些被授予特定权限的 人才能够访问到信息。信息的机密性依据信息被允 许访问对象的多少而不同，所有人员都可以访问的 信息为公开信息，需要限制访问的信息为敏感信息 或秘密信息，根据信息的重要程度和保密要求将信 息分为不同密级。例如，军队内部文件一般分为秘 密、机密和绝密3个等级，已授权用户根据所授予 的操作权限可以对保密信息进行操作。有的用户只 可以读取信息；有的用户既可以进行读操作又可以 进行写操作。信息的机密性主要通过加密技术来保 证。
1.1.1
信息安全的定义 （续）
国际标准化组织（ISO）定义的信息安全是“在 技术上和管理上为数据处理系统建立的安全保护， 保护计算机硬件、软件和数据不因偶然和恶意的 原因而遭到破坏、更改和泄露”。 欧盟将信息安全定义为：“在既定的密级条件下， 网络与信息系统抵御意外事件或恶意行为的能力。 这些事件和行为将危机所存储或传输的数据以及 经由这些网络和系统所提供的服务的可用性、真 实性、完整性和机密性。”
1.1.2
信息安全的基本属 性（续）
完整性（Integrity）
信息的完整性是指要保证信息和处理方法的 正确性和完整性。信息完整性一方面是指在 使用、传输、存储信息的过程中不发生篡改 信息、丢失信息、错误信息等现象；另一方 面是指信息处理的方法的正确性，执行不正 当的操作，有可能造成重要文件的丢失，甚 至整个系统的瘫痪。信息的完整性主要通过 报文摘要技术和加密技术来保证。
1.1.1
信息安全的定义 （续）
总之，信息安全是一个动态变化的概念，随 着信息技术的发展而赋予其新的内涵。一般 来说，信息安全是以保护信息财产、防止偶 然的或未授权者对信息的恶意泄露、修改和 破坏为目的，通过各种计算机、网络和密码 等技术，保证在各种系统和网络中存储、传 输和交换的信息的保密性、完整性、可用性、 不可否认性和可控性。
信息安全基础知识培训教材
信息安全基础知识培训教材第一章：信息安全概述1.1 信息安全的定义及重要性1.1.1 信息安全的定义1.1.2 信息安全的重要性1.2 信息安全的威胁1.2.1 黑客攻击1.2.2 病毒和恶意软件1.2.3 社交工程1.2.4 数据泄露和盗窃1.3 信息安全法律法规1.3.1 国家相关法律法规1.3.2 个人隐私保护相关法规第二章：密码学基础2.1 密码学概述2.1.1 密码学的定义2.1.2 密码学的分类2.2 对称加密算法2.2.1 DES算法2.2.2 AES算法2.2.3 RC4算法2.3 非对称加密算法2.3.1 RSA算法2.3.2 ECC算法2.4 密钥交换算法2.4.1 DH算法2.4.2 ECDH算法第三章：网络安全基础3.1 网络安全概述3.1.1 网络安全的定义3.1.2 网络安全的威胁类型3.2 防火墙3.2.1 防火墙的作用3.2.2 防火墙的工作原理3.2.3 常见的防火墙类型3.3 入侵检测与防御3.3.1 入侵检测系统（IDS） 3.3.2 入侵防御系统（IPS）3.4 VPN技术3.4.1 VPN的定义及作用3.4.2 VPN的工作原理3.4.3 常用的VPN协议第四章：用户安全教育4.1 用户安全意识培养4.1.1 用户安全意识的重要性 4.1.2 用户安全教育的方法4.2 密码设置与管理4.2.1 强密码的要求4.2.2 密码管理的注意事项4.3 社交工程防范4.3.1 社交工程的手段4.3.2 防范社交工程攻击的方法第五章：应急预案和恢复5.1 信息安全事件的分类5.1.1 安全事件的定义5.1.2 常见的安全事件类型5.2 信息安全事件处理流程5.2.1 安全事件的报告与识别5.2.2 安全事件的分析与定级5.2.3 安全事件的处置与恢复5.3 应急预案和演练5.3.1 应急预案的编制5.3.2 应急演练的重要性5.3.3 应急演练的步骤结语通过本教材的学习，您将掌握信息安全的基础知识，了解信息安全的重要性，掌握密码学的基本原理，了解网络安全的防护措施，学会用户安全教育的方法，以及掌握信息安全事件的处理流程和应急预案的编制。
信息安全与网络防护
03 将任意长度的数据映射为固定长度输出的算法
虚拟专用网络（VPN）
远程访问 通过公共网络实现远程办公 加密传输保障数据安全
数据隧道 建立加密通道传输数据 绕过不安全网络
通信加密 保护通信内容的隐私性 防止信息泄露
身份验证 验证用户身份合法性 授权合法用户访问
网络安全技术概 述
网络安全技术是保护网络资源、网络系统和网 络通信安全的技术手段，包括网络数据加密、 访问控制、安全认证、防火墙、入侵检测等技 术。网络安全技术的发展对保障网络信息系统 的正常运行和用户数据的安全具有重要意义。
安全意识培训的内容
密码安全 定期更换密码 避免使用简单密码
网络安全 防火墙设置 安全连接VPN
社交工程防范 警惕陌生链接 保护个人信息
信息保护 加密重要数据 定期备份文件
网络安全
网络安全是保护计算机网络不被未经授权的访 问或攻击所侵害的过程。通过使用防火墙、加 密技术和访问控制等措施，可以提高网络安全 性，保护计算机数据不被窃取或破坏。
●06
第6章 信息安全管理体系
信息安全管理标准
ISO 27001 国际标准化组织制定的 信息安全管理标准
NIST Cybersecurity Framework
美国国家标准与技术研 究院的网络安全框架
安全政策与流程
制定信息安全管理政策，建立信息安全管理流 程，确保信息系统安全管理工作有章可循。这 些政策和流程是组织保护重要信息资产的基础， 对于减少潜在的安全风险至关重要。
加强身份验证
使用多因素身份验证提 高安全性
备份重要数据
定期备份数据以应对数 据丢失
安全事件应急响应
隔离感染点 立即隔离受感染的设备，阻止 攻击蔓延
1、信息安全概述
1.2.1信息安全体系结构
安全服务
ISO7498-2确定了五大类安全服务
鉴别： 可以鉴别参与通信的对等实体和数据源。
访问控制： 能够防止未经授权而利用通过OSI可访问的资源。 数据保密性： 防止数据未经授权而泄露。
数据完整性： 用于对付主动威胁。
不可否认： 包括带数据源证明的不可否认和带递交证明的不可否认。
第1章 信息安全概述
第2节 信息安全体系
1.2.3信息安全体系结构
信息安全性的度量标准 信息技术安全性评估通用准则，通常简称为通用准则(CC)，是评估信 息技术产品和系统安全特性的基础准则。通用准则内容分为3部分： “简介和一般模型”； “安全功能要求”； “安全保证要求”。 国际测评认证体系的发展 1995年，CC项目组成立了代国际互认工作组。同年10月，美国的 NSA和NIST、加拿大的CSE和英国的CESG签署了该协定。1998年5月 德国的GISA、法国的SCSSI也签署了此协定。 1999年10月澳大利亚和新西兰的DSD也加入了CC互认协定。证书 发放机构还限于政府机构。 2000年，荷兰、西班牙、意大利、挪威、芬兰、瑞典和希腊等国也 加入了该互认协定，日本、韩国、以色列等国也正在积极准备加入此协 定。目前的证书发放机构已不再限于政府机构，非政府的认证机构也可 以加入此协定，但必须有政府机构的参与或授权。 第1章 信息安全概述 第2节 信息安全体系
90年代
数字签名法 数据加密标准 电子商务协议 IPSec协议 TLS协议 CC for ITSEC 计算机病毒 黑客攻击技术
21世纪
非数学的密码 理论与技术
安全体系结构 信息对抗
ARPANET BLP模型
TCSEC "蠕虫事件“ Y2k问题
信息安全期末复习题及相关解析
第一章信息安全概述1，信息安全信息安全是指防止信息资源被故意的或偶然的非授权泄露、更改和破坏，或者信息被非法系统辨认、控制和否认。
即确保信息发完整性、秘密性、可用性和不可否认性。
信息安全就是指实体安全、运行安全、数据安全和管理安全四个方面。
2.信息系统安全四个层面：设备安全、设备稳定性、可靠性、可用性数据安全、防止数据免受未授权的泄露去、纂改和毁坏内容安全、信息内容符合法律、政治、道德等层面的要求行为安全、行为的秘密性、行为的完整性和行为的可控性3.信息安全主要目标，相互关系①机密性：通常通过访问控制阻止非授权用户获得机密信息，通过加密变换阻止非授权用户获知信息内容。
②完整性：一般通过访问控制来阻止纂改行为，同时通过消息摘要算法来检验信息是否被纂改。
③抗否认性：一般通过数字签名来提供抗否认服务。
④可用性：可用性是信息资源服务功能和性能可靠性的度量。
4.安全威胁1）中断、窃听、纂改、伪造、病毒、木马等2）被动攻击①获取消息的内容；②进行业务流分析主动攻击①假冒②重放③消息的纂改④业务拒绝3）安全业务保密业务、认证业务、完整性业务、不可否认业务、访问控制5.信息安全研究基础理论研究、密码研究，密码应用研究应用技术研究、安全实现研究，安全平台技术研究安全管理研究、安全标准、安全策略、安全测评等6.信息安全模型PD2R保护（Protect）采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和不可否认性。
检测（Detect）利用高级术提供的工具检查系统存在的可能提供黑客攻击、白领犯罪、病毒泛滥脆弱性。
反应（React）对危及安全的事件、行为、过程及时作出响应处理，杜绝危害的进一步蔓延扩大，力求系统尚能提供正常服务。
恢复（Restore）一旦系统遭到破坏，尽快恢复系统功能，尽早提供正常的服务。
第二章密码学基础第一节密码学概述保密学：密码学+密码分析学（唯密文攻击、已知明文攻击、选择明文攻击、选择密文攻击）加密（Encryption）：对明文进行编码生成密文的过程，加密的规则称为加密算法。
信息安全概论信息安全简介
目录
Contents Page
1. 信息安全地发展历史 2. 信息安全地概念与目地 3. 安全威胁与技术防护知识体系 4. 信息安全中地非技术因素
第一章 信息安全
简介
本章主要内容
回顾信息安全地发展历程; 介绍信息安全地基本概念; 说明信息安全是什么,所关注地问题以及面临地挑战是什么。
第一章
信息安全
简介
1.3.3 数据地安全威胁 数据是网络信息系统地核心。计算机系统及其网
络如果离开了数据, 就像失去了灵魂地躯壳, 是没有价 值地。
无论是上面提到地敌手对计算机系统地攻击还是 对网络系统地攻击, 其目地无非是针对上面承载地信 息而来地。
这些攻击对数据而言, 实际上有三个目地: 截获秘 密数据, 伪造数据或在上述攻击不能奏效地情况下, 破 坏数据地可用性。
第一章 信息安全
简介
1. 信息安全地发展历史
1.
通信保密科学地诞生
文献记载地最早有实用价值地通信保密技术是大 约公元前1世纪古罗马帝国时期地Caesar密码。
1568年L . B a t t i s t a 发 明 了 多 表代 替 密码 , 并在美国 南北战争期间由联军使用,Vigenere密码与Beaufort密 码就是多表代替密码地典型例子。
安全目地通常被描述为"允许谁用何种方式使用 系统中地哪种资源""不允许谁用何种方式使用系统中 地哪种资源"或事务实现中"各参与者地行为规则是什 么"等。
第一章
信息安全
简介
安全目地可以分成数据安全,事务安全,系统安全（包括网络 系统与计算机系统安全）三类。数据安全主要涉及数据地机密性 与完整性;事务安全主要涉及身份识别,抗抵赖等多方计算安全;系 统安全主要涉及身份识别,访问控制及可用性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
according to the system design whenever users request them .
1.4 信息安全的研究内容
信息安全的研究范 围非常广泛，其领 域划分成三个层次
信息安全基础理论研究 信息安全应用技术研究
信息安全管理研究
信息安全基础研究
密码理论
sent by an authorized entity.
Nonrepudiation
prevents either sender or receiver from denying
a transmitted message.
Availability
Service可用性服务
a system is available if it provides services
信息安全的目标是指保障信息系统在遭受攻
击的情况下信息的某些安全性质不变。
Security Attacks安全攻击
Passive
Attacks（被动攻击）
release of message contents ：消息内容的泄露
traffic analysis ：流量分析
Active
Attacks （主动攻击）
Security Services 安全服务(1)
Authentication
认证
The assurance that the communicating entity is
the one that it claims to be.
Access
Control访问控制
The prevention of unauthorized use of a
数据加密算法 消息认证算法 数字签名算法 密钥管理
安全理论
身份认证、授权和访问控制、安全审计和安全协议
信息安全应用研究
安全技术
防火墙技术、漏洞扫描和分析、入侵检测、防病
毒等。
平台安全
物理安全、网络安全、系统安全、数据安全、用
户安全和边界安全。
信息安全管理研究
安全策略研究
信息安全 Information Security
第1章 信息安全概述
主要内容
信息安全的概念
信息安全的发展历史 信息安全的目标 信息安全的研究内容
为什么要研究信息安全问题？
信息安全关系到：
普通民众的利益 社会经济发展 政治稳定和国家安全
1.1 信息安全的概念
信息（information）是经过加工（获取、推
从哲学的观点来看信息安全
外因
国家 安全 威胁 信息战士 情报机构 恐怖分子 共同 工业间谍 威胁 犯罪团伙 社会型黑客 娱乐型黑客 掠夺竞争优势，恐吓 施行报复，实现经济目的， 破坏制度 攫取金钱，恐吓，挑战，获取 声望 以吓人为乐，喜欢挑战 减小美国决策空间、战略优 势，制造混乱，进行目标破坏 搜集政治、军事，经济信息 破坏公共秩序，制造混乱，发 动政变
机密性
完整性
可用性
其它信息安全性质
可靠性：是指系统在规定条件下和规定时间内、完 成规定功能的概率。 不可抵赖性：也称作抗否认性，是面向通信双方 （人、实体或进程）信息真实统一的安全要求，它 包括收、发双方均不可抵赖。 可审查性：使用审计、监控、防抵赖等安全机制， 使得使用者（包括合法用户、攻击者、破坏者、抵 赖者）的行为有证可查，并能够对网络出现的安全 问题提供调查依据和手段。 可控性：是对信息及信息系统实施安全监控。管理 机构对危害国家信息的来往、使用加密手段从事非 法的通信活动等进行监视审计，对信息的传播及内 容具有控制能力。
局部 威胁
内因
人们的认识能力和实践能力的局限性
从根本上解决信息安全问题？
1.2 信息安全的发展历史
从历史中学习经验，可以使我们减少重复之前错误 的机率。 信息安全的发展史伴随着人类社会的发展史，经历 了如下几个阶段：
古典信息安全 辐射安全
计算机安全
网络安全 信息安全
包括安全风险评估、安全代价评估、安全机制的制定以及
安全措施的实施和管理等。
安全标准研究
主要内容包括安全等级划分、安全技术操作标准、安全体
系结构标准、安全产品测评标准和安全工程实施标准等。
安全测评研究
主要内容有测评模型、测评方法、测评工具、测评规程等。
masquerade：伪装，one entity pretends to be a
different entity replay：重放，截获消息，以后再重放给接收者 Modification of messages：修改消息 denial of service：拒绝服务
信息安全的目标
机密性：Confidentiality，指保证信息不被非
计算机安全
计算机产生后，人们将数据以文件的形式存
储在计算机的存储器中。 计算机本身的安全。 对信息进行定级（不保密、限制、保密、机 密和绝密），对用户进行定级。如果某个人 的许可级别高于文件的分类级别，那么这个 人就可以访问该文件。反之，则被拒绝。
网络安全
信息不仅仅存在于计算机上，还存在于网络
授权访问。 完整性：Integrity，指信息在生成、传输、存 储和使用过程中不应被第三方篡改。 可用性 ：Availability，指授权用户可以根据 需要随时访问所需信息。
信息安全性质之间的关系
信息安全的目标是致力于保障信息的这三个
特性不被破坏。构建安全系统的一个挑战就 是在这些特性中找到一个平衡点，因为它们 常常是相互矛盾的。因此，三个特征是可以 独立，也可以有重叠 。
Байду номын сангаас
resource.
Data
Confidentiality数据保密性
The protection of data from unauthorized
disclosure.
Security Services 安全服务(2)
Data
Integrity 数据完整性 不可否认性
The assurance that data received are exactly as
古典信息安全
信息是物理的。
密封的陶罐，保证信息的完整性。 加密，保证信息的机密性。 一次性便条（一次一密），无法破解的加密
技术。 古典信息安全基本上是建立在古典密码学基 础之上的。
辐射安全
在20世纪50年代，人们认识到可以通过获取
电话线上传输的电信号来获取消息。 目前，有专门的仪器可以接收显示器的电磁 辐射，来还原显示内容。 在敏感环境中使用电子设备（计算机、手机） 的电子辐射应该满足相应的标准，其目的是 减少可以被用于收集信息的电磁辐射。
传输信道上。 网络安全的解决方法显然不是某一种技术或 者某一个标准可以实现的。它需要多种安全 措施共同起作用，例如加密、安全认证、访 问控制、安全管理等等。
信息安全
优秀的物理方案保护物理财产
通信安全保护传输中的信息 辐射安全 计算安全 这些概念综合在一起就构成了信息安全。
1.3 信息安全的目标
理、分析、计算、存储等）的特定形式数据， 是物质运动规律的总和。 信息与数据的关系 信息安全是指信息网络的硬件、软件及其系 统中的数据受到保护，不受偶然的或者恶意 的原因而遭到破坏、更改、泄露，系统连续 可靠正常地运行，信息服务不中断。
信息安全涉及的知识领域
信息安全是一门涉及计算机科学、网络技术、通信 技术、密码技术、信息安全技术、应用数学、数论、 信息论等多种学科的综合性学科。