《计算机网络技术与应用》网络安全机制和防火墙（举一反三考点练）-讲义（内蒙古）

《计算机网络技术与应用》网络安全机制和防火墙-讲义 第五章 网络管理与安全 网络安全机制 √ 防火墙技术 √ 知识点一 网络安全机制 一、网络安全机制概述 定义：网络安全机制是解决和处理网络安全问题的方法，可有效应对网络安全威胁。 二、加密技术 1.概念 明文：需要保密的原始信息。 密文：明文经加密处理后的信息。 加密：将明文转换为密文的过程；解密：密文还原为明文的逆过程。 分类：通信加密（传输过程中数据加密）、文件加密（存储数据加密）。 2.通信加密的三种方式 节点加密：对相邻节点间传输的报文加密，不报头加密，便于选择路由，易被报文分析发觉。 链路加密：位于数据链路层，加密链路上传输的数据和所有报头，能抵抗线路串扰、搭线窃听威胁。 端一端加密：位于表示层，初始节点加密，中间节点密文传输，仅目的节点解密，报头为明码；可防串扰、搭线窃听等，有效监控故障和防止软件泄露，但会增加主机负担。 3.常用加密算法 对称性算法：加密和解密使用同一个密钥。 非对称性算法：加密和解密分别使用不同的密钥。 单向函数法：数据转换后难以逆向还原，在安全防护上有特殊用途。 三、安全认证技术 1.认证：证实被认证对象是否属实有效的过程，通过验证对象属性确认其真实性，认证属性包括口令、数字签名、生理特征等，常用于通信双方身份确认。 2.分类及内容 身份认证技术：证实实体身份的过程，是系统安全的重要措施；服务器和访问者需相互确认身份，网络中用户身份以数字身份表示，授权针对数字身份进行。 消息认证技术：核心是生成消息认证码（MAC），利用密钥对要认证的消息生成新数据块并加密；可保证消息保密性、完整性，验证发信人身份，实现消息不可抵赖和防伪造。 下列关于端 - 端加密的描述，正确的是（ ） A. 位于数据链路层，对数据和所有报头进行加密 B. 仅对报文加密，报头为明码，便于选择路由 C. 初始节点加密，中间节点密文传输，仅目的节点解密 D. 易被报文分析发觉，安全性较低 【答案】C 解析： A 错误：链路加密位于数据链路层且加密所有报头，并非端 - 端加密。 B 错误：节点加密仅对报文加密、报头明码，并非端 - 端加密。 C 正确：与文档中端 - 端加密的传输过程一致。 D 错误：节点加密易被报文分析发觉，端 - 端加密安全性较高。 1.（单项选择题）在通信加密方式中，能有效抵抗线路串扰和搭线窃听威胁，且对数据和所有报头进行加密的是（ ） A. 节点加密 B. 链路加密 C. 端-端加密 D. 文件加密 【答案】B 2.（填空题）在加密处理过程中，需要保密的原始信息称为______，经加密转换后的信息称为______。 【答案】明文；密文 3.（单项选择题）下列加密算法中，加密和解密使用同一个密钥的是（ ） A. 对称性算法 B. 非对称性算法 C. 单向函数法 D. 哈希算法 【答案】A 1.（单项选择题）消息认证技术中，用于保障消息完整性和不可抵赖性的核心是生成（ ） A. 明文 B. 密文 C. 消息认证码 D. 数字签名 【答案】C 2.（填空题）安全认证技术分为______和消息认证技术两类，其中前者用于证实通信实体的真实身份。 【答案】身份认证技术 3.（单项选择题）下列关于单向函数法的说法，正确的是（ ） A. 加密和解密使用同一个密钥 B. 加密和解密使用不同的密钥 C. 数据转换后可轻易逆向还原为原数据 D. 数据转换后难以逆向还原，有特殊安全用途 【答案】D 知识点二 防火墙 一、防火墙概念 防火墙是一种隔离控制技术，部署于内部网络和不安全外部网络的连接处，执行访问控制尺度。它允许被管理员 “同意” 的人和数据进入网络，阻止非法访问，保护内部网络资源不被篡改、复制或毁坏。 二、防火墙的核心作用 过滤信息保护服务：过滤不安全服务，降低内部主机被攻击的风险。 控制网络系统访问：限制外部请求仅能到达内部指定主机，保障内网安全。 集中简化安全管理：针对防火墙统一配置安全策略，无需单独配置内网每台主机。 监视网络安全状态：遭受攻击时通过邮件、短信等方式及时通知管理员。 增强网络保密性：防止包含攻击线索的信息泄露与扩散。 监控审计网络访问：记录内外网数据访问情况，提供网络使用统计信息。 强化网络安全策略：提供服务访问控制方式，落实用户访问控制规则。 三、防火墙的分类 （一）按软、硬件形式分类 软件防火墙 需安装在特定计算机和操作系统上，安装配置灵活，升级成本低，部分支持二次开发。 个人防火墙是其一种，仅能防护单机，功能单一。 硬件防火墙 普通硬件架构防火墙：基于定制硬件，采用优化裁剪的 Linux 或 UNIX 系统，稳定性较高。 芯片级防火墙（真正意义的硬件防火墙）：基于专用硬件平台，功能集成于 ASIC 芯片，处理速度快、性能强、稳定性和安全性最高，价格也最昂贵。 （二）按工作方式分类 包过滤型防火墙 工作于 OSI 网络层与传输层，基于数据包的源地址、目的地址、端口号等包头信息过滤数据。 通用型防火墙，多数防火墙具备此功能，可满足大部分安全需求。 代理服务型防火墙 又称应用网关防火墙，工作于应用层，充当内外网应用层通信代理，实现内外网隔离。 支持用户级访问控制、数据流监控记录，具备高速缓存功能，可提升访问速度；缺点是高访问量下易成网络瓶颈。 状态监测防火墙 结合包过滤与代理技术特点，通过检测模块抽取网络通信状态信息，动态制定安全决策。 安全特性最佳，支持多种协议和应用程序扩充，能防御已知和未知攻击，适用于各类网络环境；缺点是配置复杂、对系统性能要求高、价格较高。 四、防火墙的部署原则 部署在内部网络与外部 Internet 的接口处，阻挡外网入侵。 大型内网划分 VLAN 时，在各 VLAN 之间部署防火墙。 总机构与分支机构通过公网连接时，部署防火墙，有条件可结合 VPN 使用。 五、防火墙的局限性 主要防范外网攻击，对占比超 50% 的内网黑客入侵无能为力。 依赖封闭网络拓扑结构，加强安全性的同时牺牲了网络服务的灵活性与开放性。 无法防范绕过防火墙的攻击，如 SLIP 或 PPP 拨号直接接入内网的行为。 限制部分正常信息通信，可能削弱 Internet 应用功能，影响电子商务等业务开展。 六、防火墙的选购原则 自身安全性：核心在于安全操作系统和专用硬件平台，需确保防火墙主机无安全漏洞。 系统高效性：高性能是关键指标，包过滤防火墙加载上百条规则后性能下降不应超过 5%。 系统可靠性：需采用电源热备份、系统热备份等冗余设计，保障设备稳定运行。 管理方便性：支持灵活的管理途径、工具和权限设置，便于管理员调整安全策略。 配置方便性：优选支持透明通信的防火墙，安装时无需改动原有网络配置。 可扩展性和可升级性：支持增加网络接口，满足内网子网扩展需求；支持软件升级，抵御新型攻击手段。 下列关于状态监测防火墙的描述，正确的是（ ） A. 工作于 OSI 应用层，充当内外网通信代理 B. 仅基于数据包的源地址、目的地址进行过滤 C. 结合包过滤与代理技术特点，动态保存状态信息作为安全决策参考 D. 配置简单，成本低廉，在高访问量下不会成为网络瓶颈 【答案】C 【解析】 A 错误：代理服务型防火墙工作于应用层并充当通信代理，并非状态监测防火墙。 B 错误：仅基于包头信息过滤是包过滤型防火墙的特点，并非状态监测防火墙。 C 正确：与文档中状态监测防火墙的原理描述完全一致。 D 错误：状态监测防火墙配置复杂、价格高；代理服务型防火墙在高访问量下会成为瓶颈。 1.（单项选择题）防火墙按工作方式分类，工作于 OSI 网络层与传输层，基于数据包 IP、TCP/UDP 包头信息进行过滤的是（ ） A. 包过滤型防火墙 B. 代理服务型防火墙 C. 状态监测防火墙 D. 芯片级防火墙 【答案】A 2.（填空题）防火墙的核心作用之一是______，通过统一配置防火墙安全策略，无需针对内网每台主机单独设置，实现安全管理的高效化。 【答案】集中和简化安全管理 3.（单项选择题）下列关于软件防火墙的说法，错误的是（ ） A. 需安装在特定计算机和操作系统上 B. 个人防火墙属于软件防火墙，仅能防护单机 C. 安装配置灵活，升级成本低廉，部分支持二次开发 D. 安全性和性能一定不如硬件防火墙 【答案】D 1.（单项选择题）真正意义上的硬件防火墙是芯片级防火墙，其核心特点不包括（ ） A. 基于专用硬件平台，无普通操作系统 B. 功能集成于 ASIC 芯片，处理速度快、性能强 C. 配置复杂，价格低廉，适合小型企业使用 D. 稳定性和安全性是所有防火墙类型中最高的 【答案】C 2.（填空题）防火墙部署的核心位置包括：内部网络与外部 Internet 接口处、______、总机构与分支机构的公网连接点。 【答案】各 VLAN 之间 3.（单项选择题）某企业部署了防火墙后，仍遭受了黑客入侵，经排查发现攻击来自企业内部员工，这体现了防火墙的哪项局限性（ ） A. 需依赖封闭的网络拓扑结构 B. 无法防范内网攻击 C. 无法防范绕过防火墙的拨号攻击 D. 抑制正常信息通信 【答案】B 原创精品资源学科网独家享有版权，侵权必究！2 学科网（北京）股份有限公司 学科网（北京）股份有限公司 $