专题九 网络安全（讲义）-《计算机网络基础》（河北科学技术出版社）高考备考讲练测（河北省）

专题九 网络安全（讲义） ---《计算机网络基础》专题复习讲练测 [考纲要求] 1．了解防火墙的含义； 2．掌握Windows 防火墙的使用； 3．了解硬件防火墙的功能、原理； 4．了解网络攻击的步骤； 5．了解网络漏洞的防范方法以及人员安全意识； 6. 掌握网络安全面临的各种威胁 7.掌握各种网络安全控制机制 [课时安排] 2课时 [知识梳理] 一：网络安全 1. 网络安全内容 （1）物理安全； （2）逻辑安全； （3）操作系统安全； （4）联网安全； 2. 网络安全威胁 （1）人为的无意失误 如操作员安全配置不当造成的安全漏洞、用户安全意识不强、用户口令选择不慎、用户将自己的账号随意转借给他人或与别人共享等都会对网络安全带来威胁； （2）人为的恶意攻击 ①主动攻击：它以各种方式有选择地破坏信息的有效性的完整性； ②被动攻击：在不影响网络正常工作的情况 下进行截获、窃取、破译获得重要机密信息； 二：防火墙 1.防火墙的概念及特征 防火墙是设置在被保护网络和外部网络之间的一道屏障，以防发生不可预测的、潜在的破坏性侵入。 防火墙可以是计算机硬件或软件，其特征有：（1）由内网到外网和由外网到内网的、所有的数据流动都必须通过它；（2）只有本地安全策略所定义的合法访问才被允许通过它；（3）防火墙本身无法被穿透； 2. 防火墙的分类 通常意义上的防火墙是指硬件防火墙，是通过硬件和软件的结合来达到隔离内、外网络的目的，一般小型企业和个人很难实现； 软件防火墙，是通过软件的方式来实现，但这类防火墙只能通过一定的规则设置，来达到限制一些非法用户访问内部网的目的； 3. 防火墙的功能 （1） 保护那些易受攻击的服务。过滤那些不安全的服务，降低了受到非法攻击的风险，提高企业内部网的安全。 （2） 控制对特殊站点的访问。防火墙能控制对特殊站的访问，防止不必要的访问。 （3） 对网络访问进行记录和统计。所有对Internet的访问都经过防火墙，当发生可疑操作时，防火墙能够报警并提供网络是否受到监测和攻击的详细信息。 4. 防火墙的分类 （1） 包过滤防火墙：是最简单的防火墙，通常只包括源和目标IP地址及端口的检查。一般在路由器上实现，它通过检查网络层的数据包，过滤掉用户定义的内容。 ★工作原理 通过在网络中的适当位置对数据包进行过滤，根据检查数据流中每个数据包的源地址、目标地址、通信的TCP端口和UDP链路状态等要素，依据一组预定义的规则，确定允许合乎规则的数据包通过防火墙进入到内部网络，而将不合乎规则的数据包丢弃。 （2） 应用网关防火墙：也称为代理服务器防火墙。使用一个客户程序与特定的中间节点（防火墙）连接，然后中间节点与服务器进行实际连接。 ★工作原理 应用网关运行在两个网络之间，它对于客户来说像是一台真的服务器一样，而对于外界的服务器来说，它又是一台客户机。当应用网关接收到用户的请求后，会检查用户请求的站点是否符合单位的要求，若单位允许用户访问该站点的话，应用网关会以客户机的身份，去那个站点取回所需信息再转发给客户。 (3) 状态检测防火墙：此种防火墙对应用层是透明的。它规范了网络层和传输层行为，在防火墙的核心部分建立了状态连接表，维护了连接，将收到的数据包逐个进行处理。 ★工作原理 状态检测防火墙在网关运行一个实现网络安全策略的软件引擎，称之为检测模块，检测模块在不影响网络正常工作的前提下，通过抽取相关网络数据对网络通信的各层实施监测，并将抽取的网络数据动态地保存起来，作为以后进行安全决策的参考。在用户的访问被提交到网关操作系统之前，检测模块要根据网络配置和安全规定做出接纳、拒绝、鉴定或给该通信加密等决定。一旦违反安全规定，系统会拒绝访问，进行记录并报告。 (4) 复合型防火墙：复合型防火墙集防火墙、入侵检测、安全评估、虚拟专用网4大功能模块于一体，以防火墙功能为基础平台，以其他的安全模块为多层次应用环境，构筑了一套完整的、立体的网络安全解决方案。 5.Windows防火墙 Windows防火墙就是在Windows操作系统中系统自带的软件防火墙。 （1）Windows防火墙的类型 Windows防火墙有三种网络位置配置文件，针对不同的网络环境提供不同级别的安全保护。 ①域网络防火墙配置：域网络通常被视为最可信的环境，因为它们由IT部门管理和保护。在这种环境下，防火墙规则相对宽松，允许更多的网络功能，便于企业内部协作和资源共享。 ②专用网络防火墙配置：专用网络被视为相对安全的环境，防火墙设置适中，允许一定程度的网络发现和文件共享功能，同时仍提供良好的保护。 ③公用网络防火墙配置：公用网络被视为不受信任的环境，防火墙设置最严格，禁用大多数网络发现功能，限制文件共享，提供最高级别的保护，防止来自陌生网络的潜在攻击。 三：网络攻击 1. 计算机网络面临的最大威胁--人为的恶意攻击 (1)主动攻击：它以各种方式有选择地破坏信息的有效性的完整性； (2)被动攻击：在不影响网络正常工作的情况 下进行截获、窃取、破译获得重要机密信息； 这两种攻击均可对计算机网络造成极大的危害，并导致机密数据的泄露。 2. Dos攻击 DoS攻击即拒绝服务攻击，是以消耗服务器资源、迫使服务停止响应为目标，通过伪造超过服务器处理能力的请求数据造成服务器响应阻塞，从而使正常的用户请求得不到应答，以实现其攻击的目的。 3. 黑客攻击过程的3个阶段 （1）确定目标：黑客进行攻击时，首先要确定攻击的目标。 （2）搜集与攻击目标相关的信息，并找出系统的安全漏洞：信息收集的目的是进入所要攻击的、目标网络的数据库； （3）实施攻击：黑客收集到一些“有用”信息之后，就可能会对目标系统实施攻击； 4. 攻击手段 （1）使用扫描软件；（2）利用Internet上的有关文章；（3）利用网络工具进行侦察；（4）利用一些别人使用过的、并在安全领域广为人知的技术和工具；（5）利用监听程序；（6）利用自己编写的工具； 四：网络安全机制 1. 加密机制;加密是提供信息保密的核心方法。 （1） 按密码体制不同 ①序列密码算法；②分组密码算法； （2）按密钥的类型不同 ①对称密钥算法；②非对称密钥算法； 2.访问控制机制：访问控制可以防止未经授权的用户非法使用系统资源。访问控制是通过对访问者的有关信息进行检查来限制或禁止访问者使用资源的技术，分为高层访问控制和低层访问控制。 3.数据完整性机制：数据完整性包括数据单元的完整性和数据序列的完整性两个方面。 （1）数据单元的完整性 是指组成一个单元的一段数据不被破坏和增、删篡改，通常是包包括有数字签名的文件用Hash函数产生一个标记，接收者在收到文件后也用相同的Hash函数处理一遍，判断产生的标记是否相同就可以知道数据是否完整。 （2）数据序列的完整性 是指发出的数据分割为按序列号编排的许多单元时，在接收时还能按原来的序列把数据串起来，而不要发生数据单元的丢失、重复、乱序、假冒等情况。 4. 数字签名机制：数字签名机制具有可证实性、不可否认性、不可伪造性和不可重用性。 数字签名机制主要解决以下安全问题： （1）否认---发送者不承认信息是他发送的； （2）伪造---自己伪造了要发关的信息，却声称是别人发送的； （3）冒充---冒充别人的身份在网络中传送信息； （4）篡改---接收者私自篡改信息的内容； 5. 交换鉴别机制：交换鉴别机制是通过互相交换信息的方式来确定彼此的身份。用于交换鉴别的技术有： （1）口令：由发送方给出自己的口令，以证明自己的身份，接收方则根据口令来判断对方的身份； （2）密码技术：发送方和接收方各自掌握的密钥是成对的。 （3）特征实物：如IC卡、指纹、声音频谱、虹膜生物特征等 6. 公证机制 数字证书技术就是一种公证机制。数字证书采用公钥体制，利用一对互相匹配的密钥进行加密、解密。数字证书是一个经证书授权中心数字签名的、包含公钥拥有者信息以及公钥的文件。 7.流量填充机制：流量填充机制提供针对流量分析的保护。外部攻击者有时能够根据数据交换的出现、消失、数量或频率而提取出有用信息。 [限时练习] 1.计算机网络安全的核心目标不包括（ ）​ A. 机密性 B. 完整性 C. 可用性 ​ D. 可扩展性 【答案】D 【解析】网络安全 “CIA 三元组” 是核心目标 —— 机密性（如加密传输防止窃听）、完整性（如哈希校验防止数据篡改）、可用性（如抗 DDoS 确保服务正常）。 2.某企业服务器突然收到来自全球多个 IP 的海量请求，导致服务器 CPU 占用率 100%，无法响应正常用户的访问，该攻击属于 （ ）​ A. 中间人攻击​ B. DDoS 攻击 C. SQL 注入攻击​ D. 密码暴力破解攻击 【答案】B 【解析】DDoS 攻击通过控制大量 “肉鸡”（被感染设备）向目标发送海量无效请求，耗尽服务器 CPU、带宽等资源，导致服务不可用。 3.某企业服务器因未及时安装 Windows 系统的 “永恒之蓝” 漏洞补丁，导致被蠕虫病毒感染，数据被加密。该安全威胁产生的主要原因是 （ ）​ A. 用户操作失误​ B. 系统存在未修复的技术漏洞​ C. 网络带宽不足​ D. 硬件设备老化 【答案】B 【解析】“永恒之蓝” 是 Windows 系统的已知漏洞，若未及时安装官方补丁修复，漏洞会被黑客或恶意软件利用（如蠕虫病毒通过漏洞传播）。 4.某企业内网因未划分 VLAN（虚拟局域网），一台电脑感染病毒后，病毒快速扩散到所有部门的设备。该威胁扩散的主要原因是 （ ）​ A. 未部署杀毒软件​ B. 网络缺乏区域隔离，病毒可自由传播​ C. 员工未定期更换密码​ D. 路由器端口配置错误 【答案】B 【解析】VLAN 的核心作用是 “网络隔离”，将内网划分为不同区域（如财务区、办公区），限制区域间数据流通；未划分 VLAN 时，病毒可通过内网任意传播。 5.某企业遵循 “最小权限原则” 配置员工账号权限，即仅为员工分配完成工作必需的最小权限，该措施属于网络安全体系中的防护类型是（ ）​ A. 物理安全​ B. 访问控制安全​ C. 数据加密安全​ D. 网络边界安全 【答案】B 【解析】访问控制是 “谁能访问什么资源” 的管控，最小权限原则是核心策略（如财务员工仅能访问财务系统，无法访问研发数据）。 6.数字签名的核心作用不包括（ ）​ A. 确保数据的完整性 B. 验证数据发送者的身份 C. 确保数据的机密性​ D. 防止发送者事后否认发送过数据 【答案】C 【解析】机密性需通过对称加密（如 AES）或非对称加密（如 RSA 加密数据）实现，数字签名不直接保障机密性。 7.下列关于对称加密算法的描述，正确的是（ ）​ A. 加密和解密使用不同的密钥，且公钥公开、私钥私密​ B. 加密和解密使用相同的密钥，运算速度快，适合大文件加密​ C. 典型算法包括 RSA、ECC，常用于数字签名和密钥交换​ D. 无需保障密钥传输安全，因为密钥可通过明文直接发送 【答案】B 【解析】对称加密核心是 “单密钥共享”—— 加密和解密用同一密钥，运算逻辑简单（如 AES 的轮次变换），速度远快于非对称加密，适合 GB 级文件、视频等大数据量加密。 8.下列关于 “完全备份” 与 “增量备份” 的对比，描述正确的是（ ）​ A. 完全备份备份数据量小，耗时短；增量备份备份数据量大，耗时长​ B. 完全备份恢复时仅需 1 份备份文件；增量备份恢复需 “完全备份 + 所有增量备份”​ C. 完全备份适合日常频繁备份；增量备份适合每周一次的全量备份​ D. 完全备份后会清除已备份标记；增量备份后保留已备份标记 【答案】B 【解析】完全备份备份所有数据，恢复时直接使用该备份；增量备份基于上次任意备份（完全 / 增量），仅备份变化数据且清除标记，恢复需按顺序叠加 “完全备份 + 每次增量备份”。 9.黑客攻击仅针对企业、政府等机构的大型服务器，普通个人用户的电脑和手机不会成为攻击目标，因此个人无需关注网络安全防护。（ ） 【答案】× 【解析】个人设备是黑客获取 “肉鸡”（用于 DDoS 攻击）、窃取个人信息（如银行卡号、聊天记录）的重要目标 。 10.网络病毒仅能感染电脑设备，智能手机、智能摄像头、智能手表等物联网设备因系统不同，不会被病毒感染。（ ） 【答案】× 【解析】物联网设备也会被病毒感染。 11.网络安全体系中的 “______” 是网络边界的核心防护设备，通过配置访问控制列表（ACL）允许或拒绝特定 IP、端口的数据包通过，例如禁止外部 IP 访问内网数据库的 3306 端口，阻挡外部直接攻击。 【答案】防火墙 【解析】防火墙是 “网络大门守卫”，部署在企业内网与互联网的边界，按预设规则过滤流量；例如配置 “允许内部 IP 访问外部 80/443 端口（网页访问），禁止外部 IP 访问内部 1433 端口（SQL Server）”，是边界防护的基础设备。 12.某病毒感染电脑后，会自动扫描局域网内其他电脑的漏洞，无需用户操作即可将自身复制到有漏洞的电脑中，该病毒属于______（填 “病毒” 或 “蠕虫”），其核心特征是 “无需宿主、独立网络传播”。 【答案】蠕虫 【解析】蠕虫与病毒的核心区别是 “独立传播”。 [内容小结] 1：本章节的内容是关于防火墙、网络安全相关的概念，这些概念比较多，在学习时可以利用思维导图进行梳理总结。 2：本章节的重点在于不同防火墙的工作原理相关内容，如包过滤防火墙、应用网关防护墙和状态检测防火墙等。 3：本节的难点在于不同防火墙应用的理解及网络安全相关知识的应用，特别Windows防火墙的相关设置。 学科网（北京）股份有限公司 学科网（北京）股份有限公司 $