1.安全管理基礎概念

1.標識組織的所有信息資產

2.分析安全風險

3.定義安全的重要性,隨時有警覺的心

4.對安全管理有實施的計劃2.安全所要具備的要素

1、CIA

C機密性避免資產被未經過授權的人存取包括授權的和非授權的

A可用性及時而穩定的獲取資源

I完整性避免未經授權的人做修改和經授權的人做未經允許的修改

3.IT安全需要

1.功能面(防火墻的功能就是過濾)

2.確保功能可以達到(通過Logfile也確定是否正確)

3.首先定義安全策略()4.安全考量

1.技術面

2.組織架構

3.公司文化

4.管理

5.業務運營

6.風險5.安全政策成功因素

1.最重要的是高層主管支持

2.與工作相融合不能有沖突的部分

3.思考以下部分(業務流程、技術流程呢個、管理流程)

4.具體的實現(隱私權()、身份管理(對主管進行調查確信可信任)、應用程序、基礎架構、管理)6.安全問題解決思考

1.不同的需求都考慮在范圍內

2.ERP->VPN->CRM(客戶關系管理)->ERP

3.必須要求一致性7.實施安全政策

1.軟硬件配置標準(例如防毒、防火墻)

2.變更(例如文件的銷毀,用戶的注冊等等)

3.基線(最小的安全等級和一致性、例如windows2003必須打哪些補丁)

以上三個都有強制性

4.可有可無的標準(TCSEC和ITSEC規劃等等他們的差別是TCSEC主要是系統、ITSEC加入網絡)

8.如何做好安全管理

1.定義角色和責任

1.一起定義角色和責任(最高層主管、信息安全專家、owners(擁有者)、管理員、用戶)

2.雇傭人員事要注意(驗證員工的工作履歷、驗證員工學歷、簽署合約、對高層進行背景調查)

3.離職慎重處理(有兩種情況第一個是自愿離職可以給一定緩沖時間、第二個是公司開除不要留任何緩沖時間)

4.工作方面的事項(重要的工作項目要分工(避免私下串通)、定期工作輪換(舞弊的安全問題)、強制性休假)

5.確保公司一定程度的安全(內部和外部的審計、高層做不定期的抽查以及安全措施和改進的地方、滲透測試、安全意識宣傳(讓公司了解安全重要)、技能培訓、更深入的培訓(讓他們知道什么是密碼學))

2.分級制度

1.重要性(標識重要資產、等級高的進行保護、增加企業的優勢、保護法律訴訟文件、根據等級來進行優先恢復減小公司損失)

2.方向(公務類別、競爭對手有關的類別、公司財務有關的類別)

3.誰來實施分級(擁有者來進行分級:足夠的知識、要了解法律要求、講求一直性、分級標準定義、加密和解密還有過期性(銷毀程序等))

4.注意事項(貼上警告標簽、定期嚴查重要的資料例如備份、資料刪除的時候要注意是否被徹底刪除干凈、遵循適當的刪除策略)

3.風險管理和分析

1.風險管理目的(找出威脅來源,讓風險做到可以接受的)

2.風險如何形成(威脅和弱點共同存在)例如公司沒有安裝防火墻就屬于公司的弱點,網絡上的黑客就是對公司的威脅,如果黑客利用公司的弱點進行攻擊成功,那么就有一個風險

3.風險分析重要性(在企業內部標識風險,及時做好防御措施、考慮法律法規)

4.新的威脅的產生(新的技術、文化的改變、新產品的出現)

5.成功關鍵要素(1.高層主管的支持、2.成立風險評估小組、3.尋找人員加入小組)

6.公司現有狀況可以做到的程度

7.風險分析類型(定量(數字化)、定性(情景以高中低來進行劃分))CISSP復習筆記-第2章信息安全治理與風險管理2.1安全基本原則2.1.1可用性（availability）確保授權的用戶能夠對數據和資源進行及時的和可靠的訪問措施：回滾、故障切換配置反面：破壞（destruction）2.1.2完整性（integrity）保證信息和系統的準確性和可靠性，并禁止對數據的非授權更改措施：配置管理（系統完整性）、變更控制（進程完整性）、訪問控制（物理的和技術的）反面：篡改（alteration）2.1.3機密性（confidentiality）確保在數據處理的每一個交叉點上都實施了必要級別的安全保護并阻止未經授權的信息披露措施：訪問控制（物理的和技術的）反面：披露（disclosure）肩窺（shouldersurfing），社會工程（socialengineering）2.2安全定義脆弱性（vulnerability）：缺少安全措施或采用的安全措施有缺陷威脅（threat）：利用脆弱性帶來的潛在危險風險（risk）：威脅主體利用脆弱性的可能性以及相應的業務影響暴露（exposure）：造成損失的實例控制（control）或對策（countermeasure）：消除或降低潛在的風險2.3控制類型按類型分：管理控制（軟控制）、技術控制（邏輯控制）、物理控制按功能分威懾性（deterent）：威懾潛在攻擊者預防性（preventive）：避免意外事件的發生糾正性（corrective）：意外事件發生后修補組件或系統，例如計算機映像恢復性（recovery）：使環境恢復到正常的操作狀態，例如數據備份檢測性（detective）：幫助識別以外活動和潛在入侵者補償性（compensating）：提供可替代的控制方法

2.4安全框架2.4.1ISO/IEC27000系列組織安全規劃的必要組成部分英國標準7799（BritishStandard7799，BS7799）信息安全管理體系（InformationSecurityManagementSystem，ISMS）ISO/IEC27000：世界上從全盤考慮的安全控制管理的最佳行業實踐戴明環：計劃-執行-檢查-處理，Plan-Do-Check-Action，PDCA2.4.2企業架構框架匯總安全規劃中所列出的要求，并將之集成到公司現有業務結構中2.Zachman框架JohnZachman開發，用于定義和理解商業環境二維模型橫向為5W1H：什么（數據）、如何（功能）、哪里（網絡）、誰（人）、何時（時間）、為何（動機）縱向為不同的視角：計劃人員、所有者、設計人員、建設人員、實施人員、工作人員3.開放群組架構框架（TheOpenGroupArchitectureFramework，TOGAF）開放群組（OpenGroup）開發，用于定義和理解商業環境業務架構、數據架構、應用程序架構、技術架構4.面向軍事的架構框架美國國防部架構框架（DepartmentofDefenseArchitectureFramework，DoDAF）英國國防部架構框架（BritishMinistryofDefenseArchitectureFramework，MoDAF）5.企業安全架構舍伍德的商業應用安全架構（SherwoodAppliedBusinessSecurityArchitecture，SABSA）：風險驅動的企業安全架構，將安全映射到商業計劃，與Zachman框架相似滿足服務水平協議（ServiceLevelAgreement，SLA）2.4.3安全控制開發關注要落實到位的控制目標，以達成安全規劃和企業架構所列出的目標信息及相關技術的控制目標（ControlObjectivesforInformationandrelatedTechnology，CobiT）：一組控制目標集，用來作為IT治理的框架，由ISACA和ITGI開發，分成4個領域計劃和組織（planandorganize）獲得與實現（acquireandimplement）交付與支持（deliverandsupport）監控與評價（monitor）SP800-53：由NIST開發的用于保障美國聯邦系統安全的控制集2.4.4COSO框架發起組織委員會（CommitteeOfSponsoringOrganizations）1985年開發，用來處理財務欺詐活動并匯報，應對薩班斯-奧克斯利法案（Sarbanes-OxleyAct，SOX）2.4.5流程管理開發安全控制是工具，流程是如何使用這些工具信息技術基礎設施庫（InformationTechnologyInfrastructureLibrary，ITIL）：IT服務管理的最佳實踐的事實標準六西格瑪：摩托羅拉開發，目標是在生產過程中識別和消除缺陷能力成熟度模型集成（CapabilityMaturityModelIntegration）2.7風險評估和分析2.7.6定量（Quantitative）分析自動風險分析：減少風險分析任務的手動難度，進行快速計算單一損失期望（SingleLossExpectany，SLE）暴露因子（ExposureFactor，EF）資產價值×EF=SLE年發生比率（AnnualizedRateofOccurrence）年度損失期望（AnnualLossExpectancy）SLE×ARO=ALE因為數據本身多少會有一些主觀性，因此無法做到完全客觀不確定性：對估計缺乏信心的程度2.7.7定性（Qualitative）分析Delphi技術：匿名投票定性和定量的目標都是評估公司面臨的實際風險并給出威脅的嚴重程度等級（severitylevel）

，注意與定性分析給出的風險評級區分開2.7.8保護機制實現防護措施前的ALE-實現防護措施后的ALE-防護措施每年的成本=防護措施對公司的價值2.7.10總風險與剩余風險威脅×脆弱性×資產價值=總風險總風險×控制間隙=剩余風險總風險-對策=剩余風險2.7.11處理風險轉移：買保險規避：終止引入風險的活動緩解：把風險降低至可接受的級別接受2.8策略、標準、基準、指南和流程策略：高級管理層（或是選定的董事會和委員會）制定的一個全面聲明，它規定安全在組織機構內所扮演的角色，分規章性策略、建議性策略、指示性策略標準：強制性的活動、動作或規則，可以為策略提供方向上的支持和實施基準：所需要的最低保護級別指南：沒有應用特定標準時向用戶、IT人員、運營人員及其他人員提供的建議性動作和操作指導流程：為達到特定目標而應當執行的詳細的、分步驟的任務2.9信息分類商業公司：機密（confidential）、隱私（private）、敏感（sensitive）、公開（public）軍事機構：絕密（topsecret）、秘密（secret）、機密（confidential）、敏感但未分類（SensitiveButUnclassified，SBU）、未分類（unclassified）

2.11安全指導委員會2.11.2數據所有者對特定信息的子集和應用負最終責任2.11.3數據看管員負責數據的保護與維護工作2.11.17人員安全職責分離：預防性管理措施崗位輪換：檢測性管理措施強制休假：檢測性管理措施CISSP復習筆記-第2章信息安全治理與風險管理2.1安全基本原則2.1.1可用性（availability）確保授權的用戶能夠對數據和資源進行及時的和可靠的訪問措施：回滾、故障切換配置反面：破壞（destruction）2.1.2完整性（integrity）保證信息和系統的準確性和可靠性，并禁止對數據的非授權更改措施：配置管理（系統完整性）、變更控制（進程完整性）、訪問控制（物理的和技術的）反面：篡改（alteration）2.1.3機密性（confidentiality）確保在數據處理的每一個交叉點上都實施了必要級別的安全保護并阻止未經授權的信息披露措施：訪問控制（物理的和技術的）反面：披露（disclosure）肩窺（shouldersurfing），社會工程（socialengineering）2.2安全定義脆弱性（vulnerability）：缺少安全措施或采用的安全措施有缺陷威脅（threat）：利用脆弱性帶來的潛在危險風險（risk）：威脅主體利用脆弱性的可能性以及相應的業務影響暴露（exposure）：造成損失的實例控制（control）或對策（countermeasure）：消除或降低潛在的風險2.3控制類型按類型分：管理控制（軟控制）、技術控制（邏輯控制）、物理控制按功能分威懾性（deterent）：威懾潛在攻擊者預防性（preventive）：避免意外事件的發生糾正性（corrective）：意外事件發生后修補組件或系統，例如計算機映像恢復性（recovery）：使環境恢復到正常的操作狀態，例如數據備份檢測性（detective）：幫助識別以外活動和潛在入侵者補償性（compensating）：提供可替代的控制方法

2.4安全框架2.4.1ISO/IEC27000系列組織安全規劃的必要組成部分英國標準7799（BritishStandard7799，BS7799）信息安全管理體系（InformationSecurityManagementSystem，ISMS）ISO/IEC27000：世界上從全盤考慮的安全控制管理的最佳行業實踐戴明環：計劃-執行-檢查-處理，Plan-Do-Check-Action，PDCA2.4.2企業架構框架匯總安全規劃中所列出的要求，并將之集成到公司現有業務結構中2.Zachman框架JohnZachman開發，用于定義和理解商業環境二維模型橫向為5W1H：什么（數據）、如何（功能）、哪里（網絡）、誰（人）、何時（時間）、為何（動機）縱向為不同的視角：計劃人員、所有者、設計人員、建設人員、實施人員、工作人員3.開放群組架構框架（TheOpenGroupArchitectureFramework，TOGAF）開放群組（OpenGroup）開發，用于定義和理解商業環境業務架構、數據架構、應用程序架構、技術架構4.面向軍事的架構框架美國國防部架構框架（DepartmentofDefenseArchitectureFramework，DoDAF）英國國防部架構框架（BritishMinistryofDefenseArchitectureFramework，MoDAF）5.企業安全架構舍伍德的商業應用安全架構（SherwoodAppliedBusinessSecurityArchitecture，SABSA）：風險驅動的企業安全架構，將安全映射到商業計劃，與Zachman框架相似滿足服務水平協議（ServiceLevelAgreement，SLA）2.4.3安全控制開發關注要落實到位的控制目標，以達成安全規劃和企業架構所列出的目標信息及相關技術的控制目標（ControlObjectivesforInformationandrelatedTechnology，CobiT）：一組控制目標集，用來作為IT治理的框架，由ISACA和ITGI開發，分成4個領域計劃和組織（planandorganize）獲得與實現（acquireandimplement）交付與支持（deliverandsupport）監控與評價（monitor）SP800-53：由NIST開發的用于保障美國聯邦系統安全的控制集2.4.4COSO框架發起組織委員會（CommitteeOfSponsoringOrganizations）1985年開發，用來處理財務欺詐活動并匯報，應對薩班斯-奧克斯利法案（Sarbanes-OxleyAct，SOX）2.4.5流程管理開發安全控制是工具，流程是如何使用這些工具信息技術基礎設施庫（InformationTechnologyInfrastructureLibrary，ITIL）：IT服務管理的最佳實踐的事實標準六西格瑪：摩托羅拉開發，目標是在生產過程中識別和消除缺陷能力成熟度模型集成（CapabilityMaturityModelIntegration）2.7風險評估和分析2.7.6定量（Quantitative）分析自動風險分析：減少風險分析任務的手動難度，進行快速計算單一損失期望（SingleLossExpectany，SLE）暴露因子（ExposureFactor，EF）資產價值×EF=SLE年發生比率（AnnualizedRateofOccurrence）年度損失期望（AnnualLossExpectancy）SLE×ARO=ALE因為數據本身多少會有一些主觀性，因此無法做到完全客觀不確定性：對估計缺乏信心的程度2.7.7定性（Qualitative）分析Delphi技術：匿名投票定性和定量的目標都是評估公司面臨的實際風險并給出威脅的嚴重程度等級（severitylevel）

，注意與定性分析給出的風險評級區分開2.7.8保護機制實現防護措施前的ALE-實現防護措施后的ALE-防護措施每年的成本=防護措施對公司的價值2.7.10總風險與剩余風險威脅×脆弱性×資產價值=總風險總風險×控制間隙=剩余風險總風險-對策=剩余風險2.7.11處理風險轉移：買保險規避：終止引入風險的活動緩解：把風險降低至可接受的級別接受2.8策略、標準、基準、指南和流程策略：高級管理層（或是選定的董事會和委員會）制定的一個全面聲明，它規定安全在組織機構內所扮演的角色，分規章性策略、建議性策略、指示性策略標準：強制性的活動、動作或規則，可以為策略提供方向上的支持和實施基準：所需要的最低保護級別指南：沒有應用特定標準時向用戶、IT人員、運營人員及其他人員提供的建議性動作和操作指導流程：為達到特定目標而應當執行的詳細的、分步驟的任務2.9信息分類商業公司：機密（confidential）、隱私（private）、敏感（sensitive）、公開（public）軍事機構：絕密（topsecret）、秘密（secret）、機密（confidential）、敏感但未分類（SensitiveButUnclassified，SBU）、未分類（unclassified）

2.11安全指導委員會2.11.2數據所有者對特定信息的子集和應用負最終責任2.11.3數據看管員負責數據的保護與維護工作2.11.17人員安全職責分離：預防性管理措施崗位輪換：檢測性管理措施強制休假：檢測性管理措施CISSP復習筆記-第3章訪問控制3.1訪問控制概述主體：用戶、程序、進程客體：計算機、數據庫、文件、目錄、窗口、打印隊列、接口、設備（一般不將程序或進程視為客體）3.3身份標識、身份驗證、授權與可問責性確保可問責性的唯一方法是主體能夠被唯一標識，并且主體的動作被記錄在案3.3.1身份標識與身份驗證三種因素可用于身份驗證某人知道的內容：密碼、PIN、認知密碼、圖形驗證碼某人所擁有的物品：鑰匙、證件、token某人的身份：基于物理特征，生物測定學（biometrics）強（雙因素）身份驗證：至少包含三種因素中的二種安全身份唯一性：每個用戶必須具有用于問責的唯一ID非描述性：任何憑證都不應當表明賬戶的目的簽發：上述元素由權威機構提供，用于證明身份一對一：驗證/認證（verification/authentication），一對多：識別（identification）身份管理（IdentityManageme，IdM）目錄基于X.500標準和某種協議，例如輕量級目錄訪問協議（LightweightDirectoryAccessProtocol，LDAP）Windows環境會登入域控制器（DomainController，DC），它的數據庫中運行一個層次化的活動目錄服務（ActiveDirectory，AD）問題：由于不是使用必要的客戶端軟件創建，因此無法管理許多遺留設備和應用程序目錄在身份管理中的角色所有資源信息、用戶屬性、授權資料、角色、潛在的訪問控制策略及其他內容都存儲在目錄中元目錄：從不同的來源收集必要信息并將它們保存在一個中央目錄內，需要定期與身份存儲庫同步虛擬目錄：與元目錄相似，可以替代元目錄，虛擬目錄中沒有數據，只是只想駐留實際數據的位置Web訪問管理（WebAccessManagement，WAM）用戶與基于Web的企業資源之間的主要網關通常WAM工具還提供單點登錄功能3.3.2密碼管理密碼同步自助式密碼重設輔助式密碼重設遺留單點登錄賬戶管理用戶指配（userprovisioning）：為響應業務過程而創建、維護、刪除存在于一個或多個系統、目錄、應用程序中的用戶對象與屬性用戶資料更新聯合身份（federatedidentity）：以在兩個或多個地點鏈接一名用戶的獨特身份為基礎，因而不需要同步或合并目錄信息，是公司和客戶能更加方便地訪問分布式資源

1.訪問控制和標記語言服務供應標記語言（ServiceProvisioningMarkupLanguage，SPML）：允許駐留在一個組織或者多個組織上的應用程序之間交換供應數據，允許用戶算理，允許位于不同平臺上的服務供應集成和互操作可拓展訪問控制標記語言（ExtensibleAccessControlMarkupLanguage，XACML）：用來向Web服務和其他企業應用程序提供的資產表述安全策略和訪問權限2.生物測定學誤拒率（FalseRejectionRate，FRR）：1類錯誤，誤報率誤受率（FalseAcceptanceRate，FAR）：2類錯誤，漏報率交叉錯誤率（CrossoverErrorRate）：FRR=FAR，也稱相等錯誤率（EqualErrorRate）指紋：曲線、分叉、微小特征手掌掃描：溝槽、脊狀突起、折縫手部外形：手掌和手指的長度、寬度、外形視網膜掃描：眼球后方視網膜上血管的圖案，類似測眼壓，用戶體驗最差虹膜掃描：圖案、分叉、顏色、環狀、光環、皺紋，光學部件必須放置于合適的位置，以保證陽光沒有照入光圈中動態簽名：簽名過程中引起的物理移動轉換成電信號動態擊鍵：輸入具體短語時產生的電信號聲紋：不同人語音模式存在的微小差別面部掃描：骨骼結構、鼻梁、眼眶、額頭、下顎形狀手形拓撲：整個手形及其彎曲部分的不同起伏形狀3.密碼限幅級別（clippinglevel）：登陸失敗次數的上限5.一次性密碼（One-TimePasswd，OTP）同步令牌：基于時間或計數器，令牌和身份驗證服務器必須共享用于加密和解密的相同安全密鑰異步令牌：基于挑戰/響應機制8.存儲卡門禁卡，磁條卡9.智能卡本身包含微處理器和集成電路接觸式：銀行卡；非接觸式：公交卡不容易被復制、篡改3.3.3授權1.訪問準則基于組、基于物理或邏輯位置、基于時間段或時間間隔、基于事務5.Kerberos一個身份驗證協議20世紀80年代中期作為MIT的“Athena”項目的一部分設計出來Windows2000及以上操作系統的默認身份驗證方法分布式環境中單點登錄的一個示例，異構網絡的一個實際標準使用對稱密碼學容易遭受密碼猜測攻擊主要組件密鑰分發中心（KeyDistributionCenter，KDC）：保存了所有用戶和服務的秘密密鑰，Kerberos環境內最重要的組件，提供身份驗證服務以及密鑰分發功能委托人（Principal）：KDC為每個委托人提供一個賬戶，并與之共享一個秘密密鑰，可以是用戶、應用程序或網絡服務票證授予服務（TicketGrantingService，TGS）：發放服務票證（ServiceTicket，ST）身份驗證服務（AuthenticationService，AS）：發放票證授予票證（TicketGrantingTicket，TGT）域（Realm）：在一個域內KDC對于所有用戶、應用程序和網絡服務來說都是可信任的身份驗證服務器身份驗證過程：參考1

6.SESAME（SecureEuropeanSystemforApplicationinaMulti-vendorEnvironment）使用對稱和非對稱密鑰目的是拓展Kerberos的功能和彌補它的缺陷3.4訪問控制模型3.4.1自主訪問控制（DiscretionaryAccessControl，DAC）資源的所有者能夠指定哪些主體能夠訪問該資源身份型最常用方法：訪問控制列表（AccessControlList，ACL）大多數操作系統基于DAC模型反面：非自主訪問控制（Non-discretionaryAccessControl，NDAC），通過中央授權來決定哪些主體可以訪問對應的客體3.4.2強制訪問控制（MandatoryAccessControl，MAC）安全標簽：也稱敏感度標簽，綁定在主體和客體上分類：遵循層次化結構，如秘密、絕密、機密等類別：與部門或項目等對應起來系統接收到一個隊客體的訪問請求時，根據你主體的安全許可、客體的分類以及操作系統的安全策略做出決策，主體安全許可必須大于等于客體的分類3.4.3角色型訪問控制（Role-BasedAccessControl，RBAC）集中管理的控制方式雇員流動性高的公司最適合使用的訪問控制系統非自主訪問控制的一種3.5訪問控制技術和方法規則型訪問控制（rule-basedaccesscontrol）：不一定是身份型的限制性用戶接口：數據庫視圖，只在鍵盤上提供某些鍵訪問控制矩陣（accesscontrolmatrix）功能表：特定主體對所有客體的訪問權限，矩陣中的行訪問控制列表：所有主體對特定客體的訪問權限，矩陣中的列3.6訪問控制管理3.6.1集中式訪問控制管理AAA：Authentication，Authorization，Audit密碼身份驗證協議（PasswordAuthenticationProtocol，PAP）挑戰握手身份驗證協議（ChallengeHandshakeAuthenticationProtocol，CHAP）可拓展身份驗證協議（ExtensibleAuthenticationProtocol，EAP）遠程身份驗證撥號用戶服務（RemoteAuthenticationDial-InUserService，RADIUS）終端訪問控制器訪問控制系統（TerminalAccessControllerAccessControlSystem，TACACS）TACACS：身份驗證和授權過程組合在一起拓展TACACS（ExtendedTACACS，XTACACS）：身份驗證、授權和審計過程分開TACACS+：采用拓展雙因素用戶身份驗證的XTACACS

Diameter：解決漫游、移動IP、PPP以太網、VoIP及傳統AAA協議無法跟上的其他技術3.9訪問控制實踐客體重用：將先前包含一個或多個客體的介質重新分配給主體，介質要先擦除、消磁發射安全：阻止入侵者通過偵聽設備從電磁波中獲取信息，例如TEMPEST技術3.10訪問控制監控3.10.1入侵檢測系統（IntrusionDetectionSystem，IDS）網絡型IDS（Network-basedIDS，NIDS）主機型IDS（Host-basedIDS，HIDS）特征型IDS：模式匹配，狀態匹配異常型IDS：統計異常型，協議異常型，流量異常型，規則型3.11對訪問控制的幾種威脅字典攻擊蠻力攻擊戰爭撥號（wardialing）：使用大量電話號碼，以試圖找到一個調制解調器來獲得未授權訪問登陸欺騙網絡釣魚網址嫁接（pharming）：實施DNS中毒（DNSpoisoning）攻擊，將受害者重定向至一個看似合法的、其實是偽造的Web站點魚叉：專門針對特定人的釣魚CISSP復習筆記-第4章安全架構和設計4.2系統架構ISO/IEC42010:2007：IEEE推薦的軟件密集型系統架構描述4.3計算機架構4.3.1中央處理單元（CentralProcessingUnit，CPU）算術邏輯單元（ArithmeticLogicUnit，ALU）控制單元通用寄存器：用于保存變量和臨時結果特殊寄存器程序計數器棧指針程序狀態字（ProgramStatusWord，PSW）：保存各種不同的條件位，其中一個條件位指出CPU應在用戶模式（問題狀態），還是在特權模式（內核模式（kernelmode）或監管模式（supervisormode））工作地址總線（addressbus）：CPU通過地址總線與RAM和其他I/O設備建立連接數據總線（databus）：讀/寫的數據被放在數據總線上4.3.2多重處理多核CPU的對稱模式和非對稱模式

4.3.3操作系統架構1.進程管理協調式多任務處理（cooperativemultitasking）：要求處理器自愿地釋放所使用的資源搶占式多任務處理（preemptivemultitasking）：操作系統能否控制進程使用某一資源的時間進程：擁有各自的存儲器空間、棧和程序計數器中斷：進程通過中斷知道何時能與CPU通信可屏蔽中斷（maskableinterrupt）：分配給不是十分重要的事件，程序可以選擇是否忽略不可屏蔽中斷（non-maskableinterrupt）：程序無法忽略2.線程管理線程：當進程有具體活動需要操作系統執行時而生成的指令集3.進程調度死鎖：兩個進程互相需要對方當前占用的資源才能完成任務4.進程活動采用以下方法可以實施進程隔離對象封裝：API共享資源的時分復用命名區分：PID虛擬地址空間映射（virtualaddressspacemapping）5.存儲器管理CPU寄存器>高速緩存器>主存儲器>（交換空間>）磁盤存儲基寄存器（baseregister）和界限寄存器（limitregister）確定進程地址空間4.3.4存儲器類型1.隨機存取存儲器（RandomAccessMemory，RAM）動態RAM（DynamicRAM，DRAM）：使用電容和晶體管，電容中的數據必須不斷進行動態刷新，位值才不會莫名其妙地消失，刷新需要時間，因此比靜態RAM慢靜態RAM（StaticRAM，SRAM）：不使用電容、只用晶體管，在RAM芯片中占更大面積，比DRAM快、比DRAM貴2.只讀存儲器（Read-OnlyMemory，ROM）可編程只讀存儲器（ProgrammableROM，PROM）：生產后仍能再修改，只能編程一次可擦可編程只讀存儲器（ErasableandProgrammableROM，EPROM）：擦除時需要取下芯片，紫外線從石英窗口射入，擦除所有數據電可擦除可編程只讀存儲器（ElectricallyErasableandProgrammableROM，EEPROM）：一次只擦除一字節數據，速度較慢4.存儲器映射絕對地址邏輯地址相對地址：已知地址的基礎上應用一個偏移值5.緩沖區溢出地址空間布局隨機化（AddressSpaceLayoutRandomization，ASLR）：最初在OpenBSD實現，Windows最早在Vista數據執行保護（DataExcecutionPrevention，DEP）：確保可執行代碼不在存有危險的內存段中發揮作用4.3.7CPU架構0環：操作系統內核1環：操作系統2環：操作系統工具，驅動3環：應用4.4操作系統架構單塊架構（monolithicarchitecture）：所有操作系統進程都在內核模式，例如MS-DOS分層架構（TechnischeHogeschoolEindhoven，THE）：所有操作系統進程還是在內核模式，但功能被分成可以互相調用的不同層微內核架構（microkernelarchitecture）：核心操作系統進程運行在內核模式，其余運行在用戶模式混合微內核（hybridmicrokernelarchitecture）：所有操作系統進程運行在內核模式，其中核心進程運行在微內核中，其余運行在客戶端/服務器模型中

4.5系統安全架構4.5.2安全架構要求可信計算基（TrustedComputingBase，TCB）：系統內提供某類安全并實施系統安全策略的所有硬件、軟件、固件的組合，某種意義上說內核就是TCB安全邊界（securityperimeter）：劃分可信與不可信的邊界引用監控器（referencemonitor）：抽象概念，主體對客體進行所有訪問的中介4.6安全模型4.6.2Bell-LaPadula模型多級安全策略的第一個算術模型是一種狀態機模型解決保密性問題是一個信息流模型所有MAC模型都以Bell-Lapadula模型為基礎簡單安全規則：不能向上讀（noreadup）星屬性規則：不能向下寫（nowritedown）強星屬性規則：主體要讀寫一個客體，主體的許可和客體的分類必須同等4.6.3Biba模型是一種狀態機模型解決完整性問題是一個信息流模型使用格子模型（絕密、秘密、敏感等）的完整性級別星完整性公理：不能向上寫（nowriteup）簡單完整性公理：不能向下讀（noreaddown）調用屬性：主體不能請求（調用）完整性級別更高的主體的服務，規定了一個主體在運行時與其他主體的交互方式以及如何對它們進行初始化4.6.4Clark-Wilson模型用戶：活動個體轉換過程（TransformationProcedure，TP）：可編程的抽象操作，如讀、寫、更改約束數據項（ConstrainedDataItem，CDI）：只能由TP操縱非約束數據項（UnconstrainedDataItem，UDI）：用戶可以通過簡單的讀寫操作進行操縱完整性驗證過程（IntegrityVerificationProcedure）：檢查CDI與外部現實的一致性完整性模型的目標防止未授權用戶進行更改防止授權用戶進行不正確的更改（職責分離）維護內部和外部的一致性（格式良好的事務處理）Biba模型只實現了第1個目標Clark-Wilson模型實現了3個目標，其中一致性由IVP提供4.6.7格子模型最小上界最大下界4.7運行安全模式保密協議（NondisclosureAgreement，NDA）專用安全模式（dedicatedsecuritymode）：所有用戶擁有所有信息的訪問許可和正式訪問批準系統高安全模式（systemhigh-securitymode）：所有用戶擁有所有信息的訪問許可，但只有知其所需信息的正式訪問批準分隔安全模式（compartmentedsecuritymode）：用戶只有知其所需信息的訪問許可和正式訪問批準衛士：允許在可信與不可信系統與環境之間的數據交換，從保證度低的系統接收請求，審查這個請求以確保它得到許可，然后向保證度更高的系統提交該請求4.8系統評估方法4.8.2橘皮書可信計算機系統評估準則（TrustedComputerSystemEvaluationCriteria，TCSEC）：橘皮書兩類保證：運行保證，生命周期保證D（minimalprotection）：最小保護C（discretionaryprotection）：自主保護C1（discretionarysecurityprotection）：自主安全保護C2（controlledaccessprotection）：受控訪問保護B（mandatoryprotection）：強制保護B1（labeledsecurity）：標簽安全B2（structuredprotection）：結構化保護B3（securitydomains）：安全域A（verifiedprotection）：驗證保護A1（verifieddesign）：驗證設計

4.12認證與認可認證（certification）：對安全組件及其一致性進行全面的技術評估認可（accreditation）：管理層對系統整體安全和功能的充分性的正式認定4.14一些對安全模型和架構的威脅維護陷阱（maintainancehook）：只有開發人員才知道和能夠調用的指令檢驗時間/使用時間（Time-Of-Check/Time-Of-Use，TOC/TOU）攻擊：攻擊者進入兩個進程之間進行更改，一種異步攻擊競爭條件（racecondition）：攻擊者打亂進程執行順序以控制結果CISSP復習筆記-第5章物理和環境安全5.2規劃過程5.2.2制訂物理安全計劃輕型木建筑材料防火時間30分鐘；重型木建筑材料至少4英寸厚，防火時間60分鐘自動鎖：斷電開門（fail-safe），斷電關門（fail-secure）內部分隔（internalpartition）用于在區域間建立障礙，保護敏感區域時不能只依賴這種方式水探測器安裝在架空的地板下面和吊頂上面5.4內部支持系統5.4.1電力靜態噪聲：電力線上發生的短暫干擾干擾（線路噪聲）電磁干擾（ElectromagneticInterference，EMI）：火線、中線、地線之間的不平衡以及他們產生的磁場（Common-ModeNoise，普通噪聲），閃電、電機也有電磁干擾射頻干擾（RadioFrequencyInterference，RFI）：無線電設備，熒光燈干擾導致波動，包括：電壓過高：尖峰（spike）瞬間高壓；浪涌（surge）長時間的高壓，最普通的電力供應問題電力供應停止：故障（fault）瞬間斷電；斷電（blackout）長時間斷電電壓降低：衰變（sag）持續一個周期到幾秒不等的瞬間低壓；電壓過低（brownout）電壓長時間低于正常電壓；浪涌電流，啟動負載時所需的電流初始浪涌5.4.2環境問題各組件及其對應的損壞溫度磁存儲設備：100℉計算機系統和外圍設備：175℉紙制品：350℉造成磁盤數據丟失的最小靜電電壓：1500V5.4.4火災的預防、檢測和撲滅信息處理設施內墻的防火率要求：所有墻至少抗燒1小時，存放紙質和介質的房間墻至少抗燒2小時1.火災探測類型煙霧激發探測器：光電設備，探測光線強度變化熱激發探測器固定溫度報警升溫速率報警：更敏感，但也導致更多誤報探測器應安裝在吊頂及吊頂以上和架空的地板以下2.撲滅火災表5-24種類型的火災及其撲救方法火災等級火災類型火災中的燃燒物撲滅方法A普通易燃物（Combustible）木質產品、紙、薄片制品水、泡沫B液體（Liquid）石油產品和冷卻劑氣體、CO2、泡沫、干粉C電（Electrical）電子設備和電線氣體、CO2、干粉D易燃金屬（Metal）鎂、鈉、鉀干粉表5-3各種滅火物質的滅火機制燃燒的基本要素滅火方法滅火機制可燃物泡沫去除可燃物氧氣CO2排除氧氣溫度水降低溫度化學燃燒氣體（哈龍或哈龍的替代品）破壞燃燒要素間的化學反應哈龍（Halon）替代品：FM-200、NAF-S-III、CEA-410、FE-13、煙烙盡（Inergen）、氬氣（Argon）、氮氬氣（Argonite）高壓區（plenumarea）：吊頂上方、墻洞內、架空的地板下面，應使用阻燃電纜，其材料在燃燒時不會釋放危險氣體3.噴水裝置濕管式（wetpipesystem）：也稱封閉噴頭系統（closedheadsystem），通過溫控傳感器控制噴水干管式（drypipesystem）：管中為高壓氣體，發生警報時壓力降低，止回閥（clappervalve）在水壓作用下打開，充滿水管，電路控制噴水提前作用式（preactionsystem）：與干管式類似，噴頭處的熱熔解連接頭熔化才會噴水，因成本較高僅用在數據處理環境而不是整棟建筑泛濫式（delugesystem）：噴頭總是打開5.5周邊安全5.5.3外部邊界保護機制柵欄3-4英尺高的柵欄僅能夠阻止無意的進入者6-7英尺高的柵欄被認為是不可能爬上的8英尺高且頂上有帶刺金屬的柵欄能夠阻止更高明的入侵者照明：NIST規定關鍵區域的光強不得低于將2英尺蠟燭置于8英尺高度的光強5.5.5巡邏警衛和保安最佳方法之一，但成本較高CISSP復習筆記-第6章通信與網絡安全6.2開放系統互聯（OpenSystemInterconnect，OSI）參考模型6.2.9OSI模型中的功能和協議1.應用層文件傳輸協議（FileTransferProtocol，FTP）普通文件傳輸協議（TrivialFileTransferProtocol，TFTP）簡單網絡管理協議（SimpleNetworkManagementProtocol，SNMP）簡單郵件傳輸協議（SimpleMailTransferProtocol，SMTP）Telnet超文本傳輸協議（HypertextTransferProtocol，HTTP）行式打印機后臺程序（LinePrinterDaemon，LPD）2.表示層表示層上的服務處理標準格式的轉換、數據壓縮和解壓以及數據的加密和解密，這個層上沒有協議工作，只有服務美國信息交換標準編碼（AmericanStandardCodeforInformationInterchange，ASCII）標簽圖像文件格式（TaggedImageFileFormat，TIFF）圖形交換格式（GraphicInterchangeFormat，GIF）聯合圖像專家組（JointPhotographicExpertsGroup，JPEG）拓展二進制編碼十進制交換編碼（ExtendedBinary-CodeDecimalInterchangeCode，EBCDIC）3.會話層會話層上的協議建立應用程序之間的連接，維持會話控制，并協商、建立、維持、撤銷通信通道網絡文件系統（NetworkFileSystem，NFS）NetBIOS結構化查詢語言（StructuredQueryLanguage，SQL）遠程過程調用（RemoteProcedureCall，RPC）4.傳輸層傳輸層上的協議處理端對端傳輸和數據流分解傳輸控制協議（TransmissionControlProtocol，TCP）用戶數據報協議（UserDatagramProtocol，UDP）安全套接字層（SecureSocketsLayer，SSL）傳輸層安全（TransportLayerSecurity，TLS）TLS記錄協議（TLSRecordProtocol）TLS握手協議（TLSHandshakeProtocol）序列包交換（SequencedPacketExchange，SPX）單位：segment，報文段、分片5.網絡層網絡層協議的職責包括網際互聯服務、尋址、路由Internet協議（InternetProtocol，IP）Internet控制消息協議（InternetControlMessageProtocol，ICMP）Internet組管理協議（InternetGroupManagementProtocol，IGMP）路由信息協議（RoutingInformationProtocol，RIP）開放最短路徑優先（OpenShortestPathFirst，OSPF）網際數據包交換（InternetPacketExchange，IPX）單位：datagram，數據報；或packet，包、分組6.數據鏈路層數據鏈路層上的協議將數據轉換成LAN或WAN幀進行傳輸，并且定義計算機訪問網絡的方式邏輯鏈路控制（LogicalLinkControl）：IEEE802.2，只負責控制數據流和檢查錯誤介質訪問控制（MediaAccessControl）：IEEE802.3，根據不同網絡類型把數據翻譯成不同電壓地址解析協議（AddressResolutionProtocol，ARP）逆向地址解析協議（ReverseAddressResolutionProtocol，RARP）點對點協議（Point-to-PointProtocol，PPP）串行線路Internet協議（SerialLineInternetProtocol，SLIP）以太網令牌環光纖分布式數據接口（FiberDistributedDataInterface，FDDI）異步傳輸模式（AsynchronousTransferMode，ATM）單位：frame，幀7.物理層網絡接口卡和驅動程序將位轉換為電信號，并控制數據傳輸的物理方面，包括光學、電學和機械要求EIA-422，EIA-423，RS-449，RS-48510BASE-T、10BASE2、10BASE5、100BASE-TX、100BASE-FX、100BASE-T、1000BASE-T、1000BASE-SX集成服務數字網絡（IntegratedServicesDigitalNetwork，ISDN）數字用戶線路（DigitalSubscriberLine，DSL）同步光纖網絡（SynchronousOpticalNetworking，SONET）單位：bit，位6.3TCP/IP模型6.3.1TCP

同步洪流（SYNflood）：攻擊者向目標系統大量發送帶欺騙地址的SYN數據包，最終導致目標系統所有TCP連接資源耗盡，可通過SYN代理防范TCP會話劫持（TCPsessionhijacking）：攻擊者正確預測兩個系統將要使用的TCP序列號，偽裝為發送者發送數據報，欺騙接收系統，接管TCP連接6.3.2IP尋址IPv4首部協議字段ICMP：1IGMP：2TCP：6UDP：17GRE：47AH：51L2TP：115A類地址：-55，最高1位為0B類地址：-55，最高2位為10C類地址：-55，最高3位為110D類地址：-55，最高4位為1110，用于多播E類地址：-55，最高5位為11110，用于研究無類別域間路由（ClasslessInterDomainRouting，CIDR）6.3.3IPv6128位地址IPv6轉IPv：6to4；IPv4轉IPv6：Teredo集成IPSec安全協議6.3.4第2層安全標準IEEE802.1AE：MACSec安全標準，IEEE802.1AR：指定了唯一的設備標識符（DevID），把設備的管理和加密綁定到這個標識符上6.5布線6.5.2雙絞線屏蔽雙絞線（ShieldedTwistedPair，STP）非屏蔽雙絞線（UnshieldedTwistedPair，UTP）

6.5.4布線問題常用物理接口連接標準RJ-11：電話線RJ-45：網線英國海軍連接器（BayonetNeill-Concelman，BNC）：電視線串擾：一個線路上的電信號溢出到另一根線路上線纜的阻燃率非增壓線纜（nonplenumcabel）通常具有聚氯乙烯（PolyvinylChloride，PVC）套層阻燃線纜有含氟聚合物套層6.6網絡互聯基礎6.6.1網絡拓撲6.6.2介質訪問技術兩個LAN使用不同的數據鏈路層技術（如幀中繼或ATM）連接，那么它們被視為一個WAN

1.以太網4.介質共享令牌傳遞：用于令牌環、FDDI載波偵聽多路訪問（CarrierSenseMultipleAccess，CSMA）沖突檢測（CollisionDetect，CD）：CSMA/CD，發送數據前先監聽信道是否空閑，若空閑則立即發送數據；在發送數據時，邊發送邊繼續監聽；若監聽到沖突，則立即停止發送數據；等待一段隨機時間，再重新嘗試，計算隨機時間的算法為后退算法（back-offalgorithm）；用于以太網沖突避免（COllisionAvoidance，CA）：CSMA/CA，一個工作站希望在無線網絡中傳送數據，如果沒有探測到網絡中正在傳送數據，則附加等待一段時間，再隨機選擇一個時間片繼續探測，如果無線網路中仍舊沒有活動的話，就將數據發送出去；接收端的工作站如果收到發送端送出的完整的數據則回發一個ACK，如果這個ACK被發送端收到，則這個數據發送過程完成，如果發送端沒有收到ACK，則或者發送的數據沒有被完整地收到，或者ACK的發送失敗，不管是哪種現象發生，數據都在發送端等待一段時間后被重傳；用于無線網輪詢：用于大型機系統環境沖突域：競爭相同的共享通信介質的一組計算機廣播域：接收同樣廣播消息的節點的集合5.傳輸方法一對一：unicast，單播一對所有：broadcast，廣播一對多：multicast，組播，IGMP協議用于向路由器報告多播組成員關系6.6.3網絡協議和服務1.地址解析協議ARP表中毒（ARPtablepoisoning），一種偽裝（masquerading）攻擊，攻擊者修改一對通信主機的ARP緩存

2.動態主機配置協議攻擊者可以在網絡上創建未授權的DHCP服務器，并且開始響應正在尋找DHCP服務器的客戶端網絡屏蔽未進行身份驗證的DHCP客戶端的一種有效方法是在網絡交換機上使用DHCP窺探（DHCPsnooping），確保DHCP服務器只為特定MAC分配IPRARP協議：無盤工作站通過廣播自己MAC地址獲取IP3.Internet控制消息協議pingtunneltraceroute死亡之ping：如果系統無法處理超過65536字節大小的ICMP數據包，那么攻擊者通過向目標系統發送多個超大ICMP包可導致其變得不穩定，從而死機或崩潰；屬于DDoS攻擊Smurf攻擊：攻擊者發送一個帶欺騙源地址的ICMP回包請求到受害計算機網絡的廣播地址，導致所有系統用ICMP回包響應數據報來回應受害計算機，導致其死機、崩潰或者重啟；屬于DDoS攻擊Fraggle攻擊：與Smurf攻擊類似，使用UDP協議4.簡單網絡管理協議管理器：服務器部分，輪詢不同設備的代理來檢查狀態信息代理：運行在網絡設備上，要跟蹤記錄的對象名單存在于管理信息庫（ManagementInformationBase，MIB）中，包含的數據用于特定管理任務和狀態檢查陷阱操作：代理不等待輪詢而主動向管理器發送消息的唯一方式社區字符串（communityString）：管理器用來從代理請求數據的密碼分只讀和讀寫兩種級別，默認的只讀密碼為public，默認的讀寫密碼為securityv1、v2中社區字符串用明文發送v3提供加密、消息完整性、身份驗證6.6.4域名服務DNS威脅：攻擊者監聽網絡流量，一旦發現有解析A域名的請求，馬上用不正確的指定IP進行應答HOSTS文件操縱URL隱藏（URLhiding）：利用超鏈接隱藏容易被懷疑的域名域搶占（domaingrabbing）和惡意搶注（cybersquatting）6.6.5電子郵件服務SMTP：用于客戶端發送、郵件服務器之間轉發、郵箱名（如xxx@）的尋址郵局協議（PostOfficeProtocol，POP）：Internet郵件服務器協議，用戶訪問郵件服務器時會將郵件下載到本地并從郵件服務器刪除POP3：110端口互聯網郵件訪問協議（InternetMailAccessProtocol，IMAP）：允許用戶在下載郵件的同時將郵件保留在郵件服務器電子郵件偽裝：通過修改電子郵件頭部字段完成，如From、Return-Path、Reply-To6.6.6網絡地址轉換靜態映射動態映射端口映射（PortAddressTranslation，PAT）6.6.7路由協議Internet上的單獨網絡成為自治系統（AutonomousSystem，AS）內部使用公共的內部網關協議（InteriorGatewayProtocol，IGP）不同AS上的路由共享路由信息使用邊界網關協議（BorderGatewayProtocol，BGP）自治系統之間使用外部網關協議（ExteriorGatewayProtocol），已被BGP替代RIP：屬于距離向量路由協議（distance-vectorroutingprotocol），只利用兩個目的地之間的跳數，只應用于小型網絡OSPF：屬于鏈路狀態路由協議（link-stateroutingprotocol），不僅利用跳數而且利用每一跳的狀態，大型網絡中的首選路由協議其他路由協議：內部網關路由協議（InteriorGatewayRoutingProtocol，IGRP）、加強型內部網關路由協議（EnhancedInteriorGatewayRoutingProtocol，EIGRP）、虛擬路由冗余協議（VirtualRouterRedundancyProtocl，VRRP）、中間系統到中間系統（IntermediateSystemtoIntermediateSystem，IS-IS）黑洞攻擊：攻擊者偽裝成一臺路由器，向受攻擊的路由器提交路由表信息，導致受攻擊的路由器將流量導向攻擊者期望的子網或不存在的地址（黑洞）蟲洞攻擊：攻擊者在網絡中的某個位置捕獲數據報，并將其通過隧道（蟲洞）發送到另一個位置6.7網絡互聯設備6.7.1中繼器（repeater）物理層，只是中繼和放大線纜段之間的信號集線器（hub）：多端口中繼器，一個端口收到的信號會被廣播到所有端口6.7.2網橋（bridge）數據鏈路層，連接不同LAN網段的LAN設備數據幀到達網橋時，網橋判斷MAC是否在本地網段，若否則轉發到所需的另一個網段本地網橋（localbridge）：在一個局部區域（通常是一座建筑物）內連接多個LAN網段遠程網橋（remotebridge）：通過使用電信鏈路連接一個MAN上的多個LAN網段翻譯網橋（translationbridge）：連接不同類型、不同標準和協議的LAN網段轉發表：記錄每個MAC來自哪個端口透明橋接（transparentbridging）：自動記錄轉發表，遇到未知的目的MAC則向除源端口之外的所有端口發送一個查詢幀，目的主機是回復該查詢的唯一主機源路由橋接（sourceroutingbridging）：數據包包含必要的信息已告訴網橋該往哪里走采用生成樹算法（SpanningTreeAlgorithm，STA）可以為網橋增加更多的智能6.7.3路由器（router）網絡層使用ICMP發送目標地址不可達錯誤遞減TTL值查看MTU以決定是否對數據包進行分段

6.7.4交換機（switch）數據鏈路層，組合了中繼器和網橋的功能，不存在競爭和沖突第3層、第4層交換機：每個目標網絡或子網都會被分配標記，保存在每個交換機的標記信息庫（TagInformationBase），數據包到達交換機時會被分配標記，交換機之間通過標記確定路由，在到達最后一跳交換時標記被移除，這種標記使用方法稱為多協議標簽交換（MultiprotocolLabelSwitching，MPLS）VLAN：使管理員可按用戶和公司的需要而不是物理位置進行分組VLAN跳躍攻擊（VLANhoppingattacks）：攻擊者讓系統起到交換機的作用，從而訪問各種VLAN分段中的流量6.7.5網關（gateway）應用層，一個通用的術語，用于連接兩個不同環境的設備上運行的軟件6.7.6專用交換分機（PrivateBranchExchange，PBX）處理公司內部的分機號，確定是否需要轉發到市話6.7.7防火墻（firewall）1.包過濾防火墻第一代防火墻基于五元組、協議類型、進出的流量方向無狀態檢查（statelessinspection）無法檢測偽造地址2.有狀態防火墻跟蹤并記錄連接的狀態，直至連接關閉可以防范XMAS攻擊：攻擊者將TCP標志位的所有值置為1，目標系統因不知如何處理而崩潰可以防范分片攻擊攻擊者使用偽造信息造成狀態表泛濫，導致系統死機或重啟3.代理防火墻第二代防火墻在可信任網絡和不可信網絡之間，總是代表主機來源建立連接電路級代理（circuit-levelproxy）：工作在會話層，獨立于應用程序，類似于包過濾，只檢查首部數據；例如SOCKS應用級代理（application-levelproxy）：工作在應用層，為每個協議配備一個代理，理解整個數據包

7.防火墻架構雙宿（dual-homed）或多宿（multi-homed）防火墻：有多個接口，分別面向外部網絡或內部網絡；為了安全底層操作系統應當關閉包轉發和路由功能9.防火墻須知偽裝（masquerading）或欺騙（spoofing）：攻擊者修改包的首部，使其源地址為想要攻擊的那臺內部主機的源地址任何進入網絡且源地址為內部主機的數據包都應該被拒絕任何離開網絡且源地址為外部主機的數據包都應該被拒絕，這種流量一般是僵尸機被控進行DDoS攻擊的流量片段攻擊IP片段：利用IP片內的片段和重組缺陷，導致系統不穩定或死機淚滴攻擊：攻擊者創建畸形片段，一旦被重組，導致系統不穩定或死機重復片段攻擊：用來通過不重組數據包片段的防火墻，惡意片段重寫以前批準的片段，對受害者系統進行攻擊應拒絕含有源路由信息的數據包，以確保內部路由策略生效6.7.8代理服務器轉發代理：在內部網絡上控制離開網絡的流量反向代理：處理進入內部的流量，可以實現負載均衡、加密、加速、安全、緩存

6.10廣域網6.10.2專用鏈路專用鏈路（dedicatedlink）也稱為租用線路（leasedline）或點到點（point-to-point）鏈路，這是為了在兩個目標間進行WAN通信而預先建立的單條鏈路T載波：采用時分多路復用（Time-DivisionMultiplexing，TDM）T1：1.544MbpsT3：44.736MbpsE載波：與T載波類似，用于歐洲國家光載波：采用波分多路復用（Wave-DivisionMultiplexing，WDM）多路復用：在一條鏈路上傳輸多種類型的數據統計時分多路復用（StatisticalTime-DivisionMultiplexing，STDM）頻分多路復用（Frequency-DivisionMultiplexing，FDM）6.10.3WAN技術1.通道服務單元/數據服務單元（ChannelServiceUnit/DataServiceUnit）DSU將來自LAN的數字信號轉換為能在電話公司的數字線路上傳輸的信號CSU將網絡直接連接到電話公司的線路2.交換電路交換（circuitswitching）面向連接的虛擬鏈路流量按可測的、恒定的方式流動固定的延遲通常運載面向語音的數據例：ISDN和電話呼叫數據包交換（packetswitching）數據包可沿許多不同的路徑到達同一個目的地支持爆發式的數據流量可變的延遲通常運載面向數據的數據例：X.25和幀中繼3.幀中繼（framerelay）面向連接的交換技術數據終端設備（DataTerminalEquipment，DTE）：客戶自己的設備，如公司自己的網絡和幀中繼網絡之間聯通性的路由器和交換機數據電路終端設備（DataCircuit-terminatingEquipment，DCE）：電信公司的設備，在幀中繼云團中完成實際的數據交換和傳輸4.虛電路幀中繼和X.25通過虛電路轉發數據幀永久虛電路（PermanentVirtualCircuit，PVC）：像與客戶事先約定可用帶寬的專用線路那樣工作交換式虛電路（SwitchedVirtualCircuit，SVC）：需要與撥號和連接相似的步驟6.ATM面向連接的交換技術，在源和目標間建立專用鏈路一樣的虛電路信元交換技術，交換的數據為大小固定53字節的信元而非大小可變的數據包11.點對點協議多協議數據包的封裝用鏈路控制協議（LinkControlProtocol，LCP）建立、配置和維護這個連接用網絡控制協議（NetworkControlProtocol，NCP）配置網絡層協議通過PAP、CHAP、EAP向用戶提供身份驗證功能6.11遠程連接6.11.1撥號連接使用調制解調器將數字信號轉換成模擬信號，通過電話線上網56Kbps帶寬戰爭撥號（wardialing）：攻擊者向撥號工具輸入大量電話號碼，通過撥號標記出電話、傳真和調制解調器，并試圖與調制解調器建立連接6.11.2綜合業務數字網（IntegratedServicesDigitalNetwork，ISDN）使用與撥號連接相同的線路和傳輸介質，但以數字的形式工作，適用于撥號連接可用的任何場合基本速率接口（BasicRateInterface，BRI）：144Kbps帶寬，常用于住宅區2個B通道用于傳輸數據1個D通道用于呼叫建立、網絡管理、錯誤控制等主速率接口（PrimaryRateInterface，PRI）：1.544Mbps帶寬，常用于企業23個B通道1個D通道6.11.3數字用戶線路（DigitalSubscriberLine，DSL）使用現有的電話線路，但終端用護和電信公司都需要針對DSL進行升級對稱DSL（SymmetricalDSL，SDSL）：數據以相同的速率上行和下行，帶寬在192Kbps-1.1Mbps非對稱DSL（AsymmetricalDSL，ADSL）：數據下行的速度比上行的速度更快，上行帶寬在128Kbps~384Kbps之間，下行帶寬最高768Kbps6.11.5虛擬專用網（VirtualPrivateNetwork，VPN）公共網絡或其他不安全環境中的安全專用鏈接，采用加密和隧道協議點對點隧道協議（Point-to-PointTunnelingProtocol，PPTP）事實上的VPN軟件使用通用路由封裝（GenericRoutingEncapsulation，GRE）和TCP來封裝PPP數據包第二層隧道協議（Layer2TunnelingProtocol，L2TP）用各種網絡類型（IP、ATM、X.25）來傳輸PPP流量IPSecVPN工作在網絡層身份驗證首部（AuthenticationHeader，AH）：提供數據完整性、數據源驗證和免受重放攻擊的保護封裝安全有效載荷（EncapsulatingSecurityPayload，ESP）：提供保密性、數據源驗證和數據完整性Internet安全連接和密鑰管理協議（InternetSecurityAssociationandKeyManagementProtocol，ISAKMP）：提供安全連接創建和密鑰交換的框架Internet密鑰交換（InternetKeyExchange，IKE）：提供驗證的密鑰材料以和ISAKMP一起使用SSLVPN工作在傳輸層和會話層主要用于保護HTTP流量6.12無線技術6.12.1無線通信擴頻（SpreadSpectrum，SS）：以某種方式超出分配的頻率給單獨信號分配頻率跳頻擴頻（FrequencyHoppingSS，FHSS）發送方和接收方在每個通道上工作一段時間，然后轉移到另一個通道在任何時候都只是用一部分有效帶寬，提供1-2Mbps吞吐量直接序列擴頻（DirectSequenceSS，DSSS）發送端直接用具有高碼率的擴頻碼序列對信息比特流進行調制，接收端用與發送端相同的擴頻碼序列進行解調連續應用所有有效帶寬，提供11Mbps吞吐量正交頻分多路復用（OrthogonalFrequency-DivisionMultiplexing，OFDM）：不是一個擴頻技術，但用法和擴頻技術詳細，應用于寬帶數字通信類型中，如數字電視、DSL寬帶Internet訪問、音頻廣播、無線網絡、4G移動通信6.12.2WLAN組件訪問點（AccessPoint，AP）連接無線網和有線網自組網WLAN（adhocWLAN）沒有AP，無線設備通過它們的NIC彼此進行通信服務集ID（ServiceSetID，SSID）：加入特定WLAN需要配置SSIDAP通過兩種方式對無線設備進行身份驗證開放系統身份驗證（OpenSystemAuthentication，OSA）：所有傳輸以明文形式進行，一般僅通過SSID驗證共享密鑰身份驗證（SharedKeyAuthentication，SKA）：基于有線等效加密（WiredEquivalent