信息安全管理员专业知识

《信息安全管理员专业知识》由会员分享，可在线阅读，更多相关《信息安全管理员专业知识（131页珍藏版）》请在金锄头文库上搜索。

1、信息安全管理员-专业知识专业知识 ? ? 计算机网络基础计算机网络基础计算机网络基础计算机网络基础 ? 信息安全基础 ? 操作系统安全技术 ? 防火墙技术防火墙技术 ? 病毒防范技术 ? 恶意代码防范技术 ? 网络安全产品集成技术 计算机网络概述 ? 计算机网络的定义: ?利用通信介质将分布在各地的独立的计算机系统连接起来，依 靠通信协议进行数据传输，以实现资源共享，并提供各种应用 服务的信息系统。 ? 计算机网络功能 ?信息传递、资源共享、系统可靠性、分布式处理 计算机网络拓扑结构? 计算机网络拓扑结构 ?星型（10BASE-T）、总线型(10BASE2) 、环型(FDDI) 、 网状 ?

2、计算机网络的组成 ?逻辑上分为资源子网和通信子网 ?软件组成：操作系统、通信协议、应用程序等 ?网络构件：服务器、工作站、网络互联设备、传输介质 ? 传输介质 ? 同轴电缆10BASE-2,10BASE-5（50、75）、 双绞线10BASE-T（百兆、千兆）、光纤10BASE- F（千兆） ? 网络互联设备? 网络互联设备 ? 集线器（HUB）/转发器（repeater):在物理层互 联 ? 网桥（bridge）：数据链路层互联 ? 路由器（router）：网络层互联 ? 桥路器（brouter）：网桥和路由器的混合物 ? 网关（gateway）：在网络层以上互联 OSI模型和TCP/IP模

3、型 ?OSI-RM 开放 系统互连参考 模型 ?对等层?对等层 ?服务 ?协议 ?语法 ?语义 ?时序 OSI模型和TCP/IP模型 TCP/IP模型：传输控制协议/网际协议 注意：比特物理层数据帧数据链路层 数据包网络层数据段?传输层 ? 各层基本功能： ? 物理层：无序的比特传输 ? 数据链路层：封装成帧、差错控制、流量控制 ? 网络层：路由数据包 传输层屏蔽网络细节提供端到端的通信服? 传输层：屏蔽网络细节，提供端到端的通信服 务 OSI模型和TCP/IP模型 局域网与数据链路层 ?计算机网络概述 ?按照网络覆盖范围划分：LAN、MAN、WAN、 Internet ?LANIEEE802

4、委员会 （例如：IEEE802.11b） ?LAN与数据链路层 ?数据链路层：LLC子层和MAC子层 ?LLC子层：逻辑链路控制子层MAC子层：介质访问控制 子层 ?MAC地址：48比特：设备厂商代码+设备编号 ?该层网络设备网桥、交换机 ?交换机根据MAC地址转发数据 ?交换机的数据转发方式 网桥、交换机根据MAC地址转发数据 ? 在转发过程中，当收到目的MAC地址为：FF-FF-FF- FF-FF-FF（广播MAC地址）的数据帧时，网桥、交换 机会立刻将其从源端口除外的所有端口发送出去不 能隔离广播域。 ? 广播域广播风暴，信息安全问题 隔离广播域（虚拟局域网）技术? 隔离广播域VLAN（

5、虚拟局域网）技术 ? VLAN 1. VLAN功能:隔离广播域 一个VLAN就是一个广播域 相同VLAN主机可以相互通信 不同VLAN主机在数据链路层不能相互通信不同VLAN主机在数据链路层不能相互通信 2. VLAN的划分: 按照端口来划分(最简单,最常用) 按照主机MAC地址来划分 别的划分方法:上层协议,子网等 ? 按照端口来划分: ? 按照主机MAC地址来划分 ? 两种划分方法比较: ?按照端口来划分:比较直接,比较简单,易于实现; 但主机移动后,需要重新划分,对终端灵活性支持 不够 ? 按照主机MAC地址划分:VLAN的划分与主机? 按照主机MAC地址划分:VLAN的划分与主机 MA

6、C地址有关,与主机位置无关,主机可以在局 域网内较为灵活移动;但划分方法比较复杂,且需 要VMPS服务器支持. 四、网络层与路由 ? 网络层功能与主要协议 功能:路由数据包 主要协议: ?IP:网际协议 ?ARP（地址解析协议）IP地址 MAC地址?ARP： （地址解析协议）IP地址-MAC地址 ?RARP: （反向地址解析协议）MAC地址-IP地址 ?ICMP:网间控制报文协议 ? 差错报文: ? 询问报文: ?IP寻址 1. IP地址组成: 32比特二进制数,点分十进制 IP地址分为网络号和主机号两部分 IPV4中定义了5类IP地址:A类,B类,C类,D类，E类 四:网络层与路由 ? A类

7、IP ? 可以用于分配的A类IP地址范围： ? 网络号：1126 ? 主机号：1224-2（主机号全0为网络号，全1 为广播地址）为广播地址） ? B类 ? 可以用于分配的B类IP地址范围： ? 网络号：128.0191.255 ? 主机号：1216-2（主机号全0为网络号，全1为广播地址） ? C类 ? 可以用于分配的C类IP地址范围： ? 网络号：192.0.0223.255.255 ? 主机号：128-2（主机号全0为网络号，全1为广播地址） ? D类 ? 组播地址 ? E类：保留地址 地址范围：240.0.0.0255.255.255.254 ?子网掩码:由32位二进制比特组成 子网掩

8、码中1对应IP地址的网络号 子网掩码中0对应IP地址的主机号 IPv4规定了A类、B类、C类的标准子网掩码： A类：255.0.0.0类 B类：255.255.0.0 C类：255.255.255.0 3. 特殊IP地址 （1）私有地址ping 10.206.46.1 -t ? RFC 1918中定义了在企业网络内部使用的专用（私有） 地址空间，如下： ? A类：10.0.0.0-10.255.255.255【10.0.0.0/8】 ? B类：172.16.0.0-172.31.255.255 【172.16.0.0/12】 ? C类：192.168.0.0-192.168.255.255 【

9、192.168.0.0/16】 ? 私有地址可以自己组网时用，但不能在Internet网上用， Internet网没有这些地址的路由，有这些地址的计算机要上 网必须转换成为合法的IP地址,也称为公网地址。 ? （2）回送IP地址 ? 127.x.x.x：用于网络软件测试以及本地机进程间 通信，叫做回送地址（loopback address）。无 论什么程序，一旦使用回送地址发送数据，协议软 件立即返回之，不进行任何网络传输。含网络号 127的分组不能出现在任何网络上127的分组不能出现在任何网络上。 ? Ping 127.0.0.1,如果反馈信息失败,说明IP协议栈有错,必 须重装TCP/IP

10、协议。如果成功,ping 本机IP,如果反馈信 息失败,说明你的网卡不能和IP协议栈进行通信。 ? 如果网卡没接网线，用本机的一些服务如Sql Server、 IIS等就可以用127.0.0.1这个地址。 ? （3）广播地址 ? 主机号全为“1”的网络地址用于广播之用。所 谓广播，指同时向同一子网所有主机发送报文。 ? （4）网络地址 ? 主机号全为“0”的IP被解释成“本”网络的地? 主机号全为0”的IP被解释成本网络的地 址。 ? （5） 全零网络 ? 0.0.0.0,只能用作源IP地址，一般这发生在当 设备启动时但又不知道自己的IP地址情况下的 默认地址。 4. VLSM(可变长子网掩码

11、 ) 把一个标准网络分成几个小型网络 工信部通信行业职业技能鉴定网络通信安全管理员 5. CIDR(无类别域间路由) 将多个网络合并为一个超网 合并条件: ? 待汇总地址的网络号拥有相同的高位。 ? 待汇总的网络地址数目必须是2n。否则， 可能会导致路由黑洞。 ? “202.100.73.18/22 ”202.100.73.18/22 ”含义含义含义含义。 ? 由于网络地址可变，故“/22”表示该IP地址的 网络地址有22位，故子网掩码为 11111111 11111111 11111100 00000000 255. 255. 252. 0255. 255. 252. 0 网络地址为：202

12、.100.72.0 202. 100. （01001001）18 0100100072 ? 将“202.117.240.0/20”划分成16个子网， 每个子网的子网掩码为多少，网络地址为多少？ X.X.1111 0000.X （24=16，再借4位），变成 X.X.1111 1111.X。故掩码为： 255.255.255.0 网络地址为：202.117.240.0网络地址为：202.117.240.0 202.117.241.0 （240+1） （240+n） 202.117.255.0 （240+15） ? 计算机网络基础 ? ? 信息安全基础信息安全基础信息安全基础信息安全基础 ? 操作

13、系统安全技术 ? 防火墙技术防火墙技术 ? 病毒防范技术 ? 恶意代码防范技术 ? 网络安全产品集成技术 ? 信息安全 ? 指信息网络的硬件、软件及其系统中的数据受 到保护，不受偶然的或者恶意的原因而遭到破 坏、更改、泄露，系统连续可靠正常地运行， 信息服务不中断。信息服务不中断。 ? 信息安全是一门涉及计算机科学、网络技术 、通信技术、密码技术、信息安全技术、应 用数学、数论、信息论等多种学科的综合性 学科。 ?信息信息信息安全管理信息安全管理安全管理安全管理 ? ? 信息安全管理信息安全管理是指是指通过维护信息的机密性、完通过维护信息的机密性、完 整性和可用性来管理和保护组织所有的信息资整

14、性和可用性来管理和保护组织所有的信息资 产的一项体制。包括信息安全政策、风险评估产的一项体制。包括信息安全政策、风险评估 控制目标与方针操作流程安全意识培训控制目标与方针操作流程安全意识培训、控制目标与方针、操作流程、安全意识培训、控制目标与方针、操作流程、安全意识培训 等。等。 ?建立信息安全体系的建立信息安全体系的建立信息安全体系的原则建立信息安全体系的原则原则原则 ? ? PDCAPDCA原则原则：建立计划、实施、检查、行动的工建立计划、实施、检查、行动的工 作循环，在安全管理体系中运用作循环，在安全管理体系中运用PDCAPDCA的原则。的原则。 ? ? 文件化原则文件化原则：所有计划及

15、操作过的事情都要有所有计划及操作过的事情都要有 文件记录文件的类型通常有手册规范指文件记录文件的类型通常有手册规范指文件记录。文件的类型通常有手册、规范、指文件记录。文件的类型通常有手册、规范、指 南、记录等。南、记录等。 ? ? 领导重视原则领导重视原则：领导要保障信息安全体系建设领导要保障信息安全体系建设 的人力、物力资源保障。的人力、物力资源保障。 ? ? 全员参与原则全员参与原则：组织内的所有人员都要参与安组织内的所有人员都要参与安 全管理体系。全管理体系。 信息安全的基本特征信息安全的基本特征信息安全的基本特征要求信息安全的基本特征要求要求要求 ?真实性 ?对信息的来源进行判断，能对

16、伪造来源的信息予以鉴别 ?保密性 ?保证机密信息不被窃听，或窃听者不能了解信息的真实含义。 ?完整性 ?保证数据的一致性，防止数据被非法用户篡改。 ?可用性?可用性 ?保证合法用户对信息和资源的使用不会被不正当地拒绝。 ?可控性 ?对信息的传播及内容具有控制能力。 ?不可否认性 ?建立有效的责任机制，防止用户否认其行为 ?可审查性 ?对出现的网络安全问题提供调查的依据和手段 ?信息安全的信息安全的信息安全的常见威胁信息安全的常见威胁常见威胁常见威胁 ? 非授权访问 ? 信息泄露 ? 破坏数据完整性 拒绝服务攻击? 拒绝服务攻击 ? 恶意代码 ? ?信息安全实现信息安全实现信息安全实现的信息安全实现的的主要技术措施的主要技术措施主要技术措施主要技术措施 ?物理安全技术物理安全技术：从外界环境、基础设施、运行硬件、介质 等方面为信息系统的安全运行提供基本的后台支持和保证； ?网络安全技术网络安全技术：为信息系统能够在安全的网络环境中运行 提供支持，确