第四章：信息系统安全基础

知识点1、计算机设备安全

【考法分析】

本知识点主要是对计算机设备安全的考查。

【要点分析】

1．一般认为，计算机安全的定义，要包括计算机试题及其信息的完整性，机密性，抗否认性，可用性，可审计性，可靠性等几个关键因数；

机密性：保证信息部被非授权访问；

完整性：维护信息和试题的人为或非人为的非授权篡改；

抗否认性：指保障用户无法再时候否认曾经对信息进行的生成，签发，接受等行为；

可用性：授权用户根据需要可以随时访问所需信息；

可审计性：保证计算机信息系统所处理的信息的完整性，准确性和可靠性，防止有意或无意地出现错误，乃至防止和发现计算机犯罪案件，除了采用其他安全措施之外，利用对计算机信息系统的审计的方法。利用审计跟踪的工具，可以记录用户的活动；审计跟踪可以监控和扑捉各种安全事件；审计跟踪的另一个主要功能是保存，维护和管理审计日志。

可靠性：指计算机在规定的条件下和给定的时间内完成预定功能的概率；所谓“失效率”是指计算机在某一瞬间失效元件数与元件总数的比率。

影响计算机可靠性的因数有内因和外因两个方面：

内因：机器本身的因数

外因：指环境条件对系统可靠性，稳定性和维护水平的影响

一般认为，在系统的可靠性工程中，元器件是基础，设计是关键，环境是保证。除了保证系统的正常工作条件及正确使用和维护外，还要采取容错技术和故障诊断技术。

容错技术：指用增加冗余资源的方法来掩盖故障造成的影响；故障诊断技术：通过检测和排除系统元器件或线路故障。

2．由于计算机系统本身的脆弱性以及硬件和软件的开放性，加之缺乏完善的安全措施，容易给犯罪分子以可乘之机。

3．计算机系统安全涉及到许多学科，因此它是一个综合性很强的问题。要想解决和计算机系统的安全，就必须首先从计算机的系统结构和基础出发，从计算机硬件环境出发，找到一条合理地解决问题的道路。

4．计算机系统安全是指：为了保证计算机信息系统安全可靠运行，确保计算机信息系统在对信息进行采集，处理，传输，存储过程中，不致收到人为（包括未授权使用计算机资源的人）或自然因数的危害，而使信息丢失，泄露或破坏，对计算机设备，设施（包括机房建筑，供电，空调等），环境人员等采取适当的安全措施。

5．对系统安全的研究大致可以分为基础理论研究，应用技术研究，安全管理研究等。基础理论研究：包括密码研究，安全理论研究；密码理论的研究重点是算法；安全理论的研究重点是单机环境，网络环境下信息防护的基本理论；应用技术研究包括安全实现技术，安全平台技术研究；安全技术的研究重点实在单机或网络环境下信息防护的应用技术；平台安全是指保障承载信息产生，存储，传输和处理的平台的安全和可控；安全管理研究包括安全标准，安全策略，安全测评等。

6．计算机系统外部设备在工作时能够通过地线，电源线，信号线，寄生电磁信号或谐波将游泳信息辐射的过程，叫计算机的电磁泄露。

7．计算机及其外部设备内的信息，可以通过两种途径泄露：一种是以电磁波的形式辐射，称为辐射泄露；另一种是通过各种线路和金属管道传导出去，称为传导泄露。

8．一般而言，传导泄露还伴随着辐射泄露。影响计算机电磁辐射强度的主要因素有：

① 功率和频率；

② 与辐射源的距离；

③ 屏蔽状况。

9．TEMPEST的电磁泄露是客观存在的。任何处于工作状态的电磁信息设备都存在不同程度的电磁泄露现象。TEMPEST泄露发射通过辐射和传导两种途径向外传播。

10．在实际中常用的电磁防护措施有：屏蔽，滤波，隔离，合理的接地与良好的搭接，选用低泄露设备，合理的布局和使用干扰器，传输信息加密等。

11．电磁泄露的解决方法有以下几种：

① 低辐射产品；

② 电磁干扰器；

③ 处理涉密信息的电磁屏蔽室的技术；

④ TEMPEST屏蔽室单纯使用屏蔽法，结合滤波的手段其中屏蔽室的门屏蔽性能抗老化是关键。

12．其他的防泄露技术：

① 滤波是抑制传导泄露的主要方法之一；

② 接地和搭接也是抑制传导泄露的有效方法；

③ 隔离和合理布局均为降低电磁泄露的有效手段；

④ 选用低泄露设别也是降低电磁泄露的有效手段之一；

⑤ 配置低辐射设备。

13．物理安全主要包括三个方面：① 场地安全（环境安全）；② 设备安全；（媒体安全）

14．计算机机房的安全等级分为A类，B类，C类三个基本来别：

① A级机房：对计算机机房的安全有杨哥的要求；

② C级机房：对计算机机房的安全有基本的要求。

15．同一机房也可以对不同的设备（如电源，主机）设置不同的级别；为了保证计算机中心有效地开展信息处理工作，基本工作房间和维修室，仪器室，备品室，磁介质存放室，人员工作室等房间所占面积的总和应不小于计算机机房面积的1.5倍，而且还应考虑到计算机信息系统设备的扩充。通常计算机机房的面积还应留有15%~30%的富裕空间。

16．机房的安全可以从以下几个方面来考虑：

① 供配电系统；② 防雷接地系统；③ 消防报警及自动灭火器系统功能；④ 门禁系统；⑤ 保安监控系统。

17．引起场地安全的自然原因的威胁有如下几种：

① 场地湿度对计算机设别所使用电子元器件，绝缘材料，金属构件以及记录介质等都将产生一定的影响；

② 场地湿度对计算机信息系统的影响；

③ 灰尘对计算机信息系统安全的影响；

④ 有害气体对计算机信息系统安全的影响；

⑤ 地震对计算机信息系统安全的影响。

18．引起场地安全的还有人为原因，其主要威胁有如下几种：

① 火灾；② 防水；③ 电源；④ 防物理，化学和生物灾害。

19．设备安全：包括设备的防盗和防毁，防止电磁信息泄露，防止线路截获，抗电磁干扰一级电源的保护。

20．工业电气设备产生的干扰，是计算机电磁干扰的主要来源。这种干扰源暗器干扰性质可分为：工频干扰，开关干扰，放点干扰和射频干扰。

21．计算机信息系统设备的可靠运行提供能源保障，可归纳为两个方面：对工作电源的工作连续性的保护（如使用不间断电源）和对工作电源的工作稳定的保护。

22．目前应用的UPS电源是一种比较理想的供电设备。介质安全是指介质数据和介质本身的安全。

23．计算机的可靠性工作，一般采用容错系统实现。容错主要依靠冗余设计来实现。

24．由于资源的不同，冗余技术分为硬件冗余，软件冗余，时间冗余和信息冗余。

25．容错系统工作方式分为：① 自动侦测；② 自动切换；③ 自动恢复。

26．容错是指一个系统在运行中其任何一个子系统发生故障时，系统仍然能够继续操作的能力。容错系统的实现应该遵守下列3个设计策略：① 冗余性：提供备份子系统；② 预防性；③ 恢复性。

27．具体的冗余技术可以分为如下的4种：① 硬件冗余；② 堆积冗余；③ 待命储备冗余：该系统中多个模块，其中只有一块处于工作状态；④ 混合冗余：堆积冗余和代码储备容易的结合。

28．计算机系统的硬件容错技术主要采取两个措施：一是每块模板上装有两套相同的逻辑处理部件，二是每一种模块都一式两份。

29．硬件容错具体的应用技术：

① 双CPU容错系统；② 双机热备份；③ 三机表决系统：三台主机同时运行，由表决器（Voter）根据三台机器的运行结果进行表决，有两个以上的机器运行结果相同，则认为该结果为正确。通常可靠性比双机系统要高，成本也高。④ 集群系统（Clusting）：指均衡负载的双机或多级系统。

30．软件容错本身有两层含义：一是对软件自身故障的处理；二是使用软件对系统中出现的其他故障进行处理。

31．研究表明，对于软件本身的设计故障，简单的冗余是不够的，需要辅以设计和数据表示的多样性才能达到较好的容错效果。

32．设计多样性（Design Diversity）技术的核心思想：完成某个功能有多种可能的不同方法，现将每种可能的方法都实现（每种实现称为一个变体），以尽可能保证至少有一个变体能可靠地运行。

33．设计多样性主要有三种经典的实现：

① 恢复块（Recoery Blocks，RcB）：通过建立还原点并使用可接受测试和后向恢复实现容错；

② N版本程序设计（N2Version progaramming,NVP）:使用多个不同的软件版本利用决策机制和前向恢复实现容错；

③ N自检程序设计（N Self Checking Programming，NSCP） ：利用程序冗余在执行过程中检测自身的行为。

34．数据容错的策略就是数据备份和恢复策略，以及容灾技术，数据纠错等技术。

35．数据备份通常可以分为完全备份，增量备份，差分备份和渐进式备份

完全备份（Fullbackup）：指将系统中所有选择的数据对象进行一次全面的备份。是最基本也是最简单的备份方式；

增量备份：只对上次备份后系统中变化过的数据对象的备份；

差分备份：只对上次完全备份i来系统中所偶变化过的数据对象的备份；

渐进式备份：也称为“只有增量备份”或“连续增量备份”；它是指系统排出完全备份，数据对象只有当放生改变时才被写入到存储介质上；渐进式备份只在初始时做所有数据文件的全部备份，以后只备份新建或改动过的文件，比上述三种备份方式有更少的数据移动；减少了备份时间和所需的存储容量，减轻了网络负担；降低潜在的人为错误。

36．数据恢复：通常分为全盘恢复，数据库和邮件系统恢复，个别文件恢复和重定向恢复。

37．容灾可以分为数据容灾和因公容灾两类：

数据容灾：在异地建立一个数据容灾系统；

应用容灾：建立在数据容灾的基础之上，在移动容灾中心建立和本地应用服务系统相当的应用系统。

38．数据备份和数据容灾存在本质的区别：备份数据从逻辑上来讲施离线的，一旦灾难发生，数据备份只能保证在一定时间内将数据恢复到某个时间点上的完整正确的状态。而数据容灾的关键在于保护数据的在线状态，保证数据在发生灾难时能从容灾中心及时恢复并且无缝地想歪提供数据服务。

39．存储器的主要错误是是单个电路故障所引起的以为错或者相关多位错，而随机独立的多位错误极少。在按字节组织的内存储器中，主要错误模式为单字节错；而在位组织的内存储器中，主要错误模式为单位错。

40．半导体存储器的错误大体上分为硬错误和软错误，其中主要为软错误。硬错误所表现的现象是在某个或某些位置上，存取数据重复地出现错误，出现这种现象的原因是一个或几个存储单元出现故障。软错误主要是由a粒子引起的，引起软错误的另一原因是噪声干扰。

41．存储技术中常用的纠检错码有奇偶校验码，海明码及其改进码。

① 一维奇偶校验码是最简单的一种纠错码，它能发现所有的奇数位错，但它不能用来纠正错误。二维奇偶校验码可以纠正一位错。

② 海明码是一种能纠一维错的线性分组码。常用的能检测两位错同事能纠正一位错的纠错码有扩展海明码和最佳奇权码，它们的最小码距都为4，两者有相似之处，比如冗余度一样。

③ 利用纠错码技术，可以保证计算机存储设备数据安全。

【备知识点拨】

了解并理解相关知识点内容。

知识点2、操作系统安全

【考法分析】

本知识点主要是对操作系统安全相关内容的考查。

【要点分析】

1．操作系统实质是一个资源管理系统，管理计算机系统的各种资源，用户通过它获得对资源的访问权限。安全操作系统出了要实现普通操作系统的功能外，还要保证它所管理资源的安全性，包括保密性（Secrecy），完整性（Integrity）和可用性（Availability）。

2．安全威胁可以分为如下6类：① 不合理的授权机制；② 不恰当的代码执行；③ 不恰当的主体控制；④ 不安全的进程间通信（IPC）；⑤ 网络协议的安全漏洞；⑥ 服务的不当配置。

3．按照威胁的行为方式划分，通常有下面4种：① 切断；② 截取；③ 篡改；④ 伪造。

4．按照安全威胁的表现形式来分，操作系统面临的安全威胁有以下5种：① 计算机病毒；② 逻辑炸弹；③ 特洛伊木马；④ 后门；⑤ 隐蔽通道。

5．安全模型包括状态机模型，信息流模型，无干扰模型，不可推断模型，完整性模型等类型。

① 状态机模型：欧诺个状态语言将安全系统描绘成抽象的状态机，用状态变量表示系统的状态，用转换规则描述变量变化的过程。状态机模型用于描述通用操作系统的所有状态变量几乎是不可能的 ，通常只能描述安全操作系统中若干个与安全相关的主要状态变量。

② 信息流模型：用户描述系统中客体间信息传输的安全需求。信息流模型不是检查主体对客体的存取，二十试图控制从一个客体到另一个客体的信息传输过程。

③ 无干扰模型：将系统的安全需求描述成一系列主体间操作互不影响的断言

④ 不可推断模型：这个模型提出了不可推断性的概念，要求低安全级用户不能推断出高安全级用户的行为。

⑤ 完整性模型：目前公认的两个完整性模型是BIha模型和Clark-Wilson模型。

6．Biba模型通过完整级的概念，控制主体“写”访问操作的客体范围。Clark-Wilson模型针对完整性问题，对系统进行功能分割和管理。

7．BLP模型是最早的一种计算机多级安全模型，也是受到公认最著名的状态机模型。

8．操作系统的安全机制就是指在操作系统中利用某种技术，某些软件来实施一个或多个安全服务的过程。

9．身份鉴别是计算机系统正确识别用户个人身份的重要途径。

10．访问是使信息在主体和对象间流动的一种交互方式。访问控制是对信息系统资源进行保护的重要措施，适当的访问控制能够阻止未经允许的用户有意或无意地获取数据。

11．访问控制的手段包括用户识别代码，口令，登陆控制，资源授权（例如用户配置文件，资源配置文件和控制列表），授权核查，日志和审计。

12．最小特权原则应限定系统中每个主体所必需的最小特权，确保可能的事故，错误，网络部件的篡改等原因造成的损失最小。

13．最小特权原则要求每个主体在操作时应当使用尽可能少的特权。

14．可信通路（Trusted Paht，TP）也称为可信路径，是指用户能跳过应用层而直接同可信计算基之间通信的一种机制。

15．安全操作系统很重要的一点是进行分层设计，而运行域正是一种基于保护环的层次等级式结构。

16．存储器是操作系统管理的重要资源之一，也是被攻击的主要目标。存储器保护主要是指保护用户在存储器中的数据，防止存储器中的数据泄露或被篡改。

17．在操作系统中，所有的数据都是以文件形式存在的。文件保护就是防止文件被非法窃取，篡改或丢失，同时又保证合法用户能正确使用文件。

18．进行文件保护的方法主要有文件的备份，文件的恢复，文件的加密。

19．操作系统的安全审计是指对系统中有关安全的活动进行记录，检查和审核。

20．安全操作系统的设计原则：

① 最小特权；② 机制的经济性；③ 开放系统设计；④ 完整的存储控制机制；⑤ 基于“允许”的设计原则；⑥ 权限分离；⑦ 避免信息流的潜在通道；⑧ 方便使用。

21．在现有操作系统上实现安全增强是目前提高操作系统安全性普遍采用的方式，一般有三种具体方法：

① 虚拟机法。在现有操作系统与硬件之间增加一个新的分层作为安全内核，操作系统几乎不变地作为虚拟机来运行。

② 改进、增强法。在现有操作系统的基础上对其内核和应用陈旭进行面向安全策略的分析，然后加入安全机制，经改造，开发后的安全操作系统基本上保持了原来操作系统的用户接口界面。

③ 仿真法。对现有操作系统的内核进行面向安全策略的分析和修改以形成安全内核。然后在安全内核与原来操作系统用户接口界面中间再编写一层仿真程序。

22．安全操作系统的一般开发过程：

首先建立一个安全模型；然后是安全机制的设计与实现；最后是安全操作系统的可信度认证。

23．操作系统近年来受到重视的安全增强技术：

① 增强对用户身份的识别；② 增加对访问的控制；③ 审计增强；④ 安全管理增强；⑤ 多管理员增强：改进原有操作系统中管理方面的缺陷和开发自动化或半自动化的辅助管理技术或工具；⑥ 自动化辅助管理。

除了缓冲区溢出的安全增强，网络协议栈安全增强，系统完整性保护等近年来也有一定的研究。

【备知识点拨】

了解并理解相关知识点内容。

知识点3、数据库系统的安全

【考法分析】

本知识点主要是对数据库系统安全相关内容的考查。

【要点分析】

1．数据库安全就是保证数据库信息的保密性，完整性，一致性和可用性；一般而言，数据库安全涉及以下这些问题：

① 问题数据库的完整性；② 逻辑数据库的完整性；③ 元素安全性；④ 可审计性；⑤ 访问控制；⑥ 身份认证；⑦ 可用性；⑧ 推理控制；⑨ 多级保护；⑩ 消除隐通道。

2．数据库安全的发展可分为4个阶段：萌芽阶段，军事主导阶段，标准化阶段，多样化阶段。

3．访问控制技术提供了一种控制用户访问数据的机制。

4．安全策略表达模型一般分为两大类，即自主访问控制（DAC）和强制访问控制（MAC）。自主访问控制中，用户对信息的访问是基于用于的鉴别和访问控制规则的确定，每个用户都要给予系统中每个访问对象的访问权限。在强制访问控制中，系统给主体和客体分配了不同的安全标记，通过比较主体和客体的安全标记是否匹配，来决定是否允许访问。

5．数据中需要满足的安全策略应该满足以下一些原则：

① 最小特权原则；② 最大共享原则；③ 开放系统原则和封闭系统原则。

6．在开发系统中，存储规则规定的是哪些访问操作是不被允许的；在设计文芳控制策略时，还有一些特殊的规则约束。

7．数据库安全策略的实施：

① 子模式法：对于用户而言，他所能访问到的信息是数据库中模式的一部分，并且是模式的i中对外体现形式，而不能访问到或了解到整个模式。用户所能了解的那部分模式，称为子模式。

② SQL修改查询法：该方法的核心思想是当用户进行SQL查询时，数据库系统对用户提交的SQL查询语句自动附加上更多的安全约束限制。

③ 集合法。

④ 请求排序法。

8．数据库加密技术是一种对计算机系统外存储器中数据进行保护的有效手段。数据库加密技术还有其更为特殊的要求。

① 数据库中的数据保存的时间相对更长，因此对加密强度的要求也更高；

② 数据库中数据量很大，对加密熟读要求更高；

③ 数据库中数据通常是多用户共享的，对加密和解密的性能要求也会更高

④ 数据库中的数据规律性教强，某一个列的数据项往往取值于某一个限定范围，往往呈现一定的概率分布。引出数据库的加密技术需要消除密文之间的关联性。确保相同或雷士的明文在加密后的密文无规律性。

9．多级安全数据库是数据库在具体设计，实现方面中药的研究领域。它将数据库中的重要数据进行安全等级划分，通过融合访问控制，数据库加密等技术实施的综合保障技术来实现符合标准规范的安全数据库。

10．推理通道通常分为三大类：

① 演绎推理通道：在这类推理通道中，高级数据可以完全从低级数据中形式化的推理得出。

② 不明推理通道：在这类推理通道中，如果确定一些低级别上的推理依据公里，由低级数据就可以推理出高级数据，完成演绎推理及其证明这类推理通道相比于演绎推理通道，需要一些推理假设，因此其完备性相对较弱。

③ 概率推理通道：在这类推理通道中，由低等级数据可以降低高等级数据的不确定性。

11．数据库备份分为物理备份和逻辑备份，其中文理备份又分为：冷备份和热备份。

① 冷备份：通过定期的对系统数据库进行备份，并将备份数据存储在磁带，磁盘等介质上。在冷备份过程中，数据库必须是关闭状态。

② 热备份：热备份是指当数据库正在运行时进行的备份，又称联机备份。热备份的实现通常徐璈一个备用的数据库系统。

③ 逻辑备份：物理备份的一种补充，它使用软件技术，利用到处工具执行SQL语句方式，从数据库中读取数据，将其到处到一个数据文件中。该文件的格式一般与原数据库的文件格式不同，而是原数据库中数据内容的一个映像。因此，逻辑备份文件只能用来对数据库进行逻辑恢复，即数据导入，而不能按数据库原来的存储特征进行物理恢复。逻辑备份一般用于增量备份。

【备知识点拨】

了解并理解相关知识点内容。

知识点4、恶意代码

【考法分析】

本知识点主要是对恶意代码相关内容的考查。

【要点分析】

1．恶意代码，指为达到恶意的目的而专门设计的程序或代码，是指一切旨在破坏计算机或者网络系统可靠性，可用性，安全性和数据完整性或者消耗系统资源的恶意程序。

恶意代码的主要的存在形态有：恶意数据文档，恶意网页，内存代码，可执行程序和动态链接库等。

2．恶意代码=广义的计算机病毒；恶意代码的一般命名格式为：<恶意代码前缀>.<恶意代码名称>.<恶意代码后缀>；恶意代码后缀的数量可以有1到多个，如果只有1个，通知是指一个恶意代码的变种特征。

3．常用恶意代码前缀解释：

① 系统病毒：前缀为：Win32，PE，Win95，W32，W95等，这些病毒是可以感染Windows操作系统的*.exe和*.dll文件。

② 网络蠕虫：前缀为Worm

③ 特洛伊木马：前缀为Trojam

④ 脚本病毒：前缀为Script

⑤ 宏病毒：前缀为Macro

⑥ 后门程序：前缀是Backdoor

⑦ 病毒种植程序病毒

⑧ 破坏程序病毒：前缀是Harm

⑨ 玩笑病毒：前缀是Joke

⑩ 捆绑机病毒：前缀是Binder

4．恶意代码命名的形式，每个组成部分介绍如下：

① 恶意代码类型（malware_type）；② 平台（platform）；③ 家族名（family_name）；④ 组名（group_name)；⑤ 感染程度（infective_length）；⑥ 变种名（variant）；⑦ 退化标识（devolution）；⑧ 修饰符（modifiers）。

5．计算机病毒的特征可以归纳为传染性，程序性，破坏性，非授权性，隐蔽性，潜伏性，可触发性和不可预见性。

6．计算机病毒的生命周期：潜伏阶段，传播阶段，出发阶段，发作阶段。

7．计算机病毒传播途径：

① 通过软盘，光盘传播；② 通过移动存储设备传播；③ 通过网络传播。

8．蠕虫最重要的两个特征：“可以从一台计算机移动到另一台计算机”，以及“可以自我复制”。

9．木马与病毒不同，它不以破坏目标计算机系统为主要目的，同时在主机间没有感染性。木马的危害早已超过病毒。

10．特洛伊木马又可以分为多种，如远程控制型木马，信息窃取木马，破坏型木马等。

11．后门：指绕过系统中常规安全控制机制而获取对特定软件或系统的访问权限的程序。一般是指攻击者在获得目标主机控制权之后为了今后能方便地进入该计算机而安装的一类软件，它不仅绕过系统已有的安全设置，而且还能挫败系统上各种增强的安全设置。

12．其他恶意代码：① DDos程序；② 僵尸程序（Bot）；③ Rootkit：最初被定义为由有用的小程序组成的工具包，可是的攻击者能够获得计算机用户“Root”的较高系统权限。Rootkit技术的关键在于“是的髠对象无法被检测”，因此Rootkit所采用的大部分技术和技巧都用于在计算机上隐藏代码和数据。④ Exploit：漏洞利用程序。针对某一特定漏洞或一组漏洞而精心编写的漏洞利用程序。目前比较常见的Exploit有：主机系统漏洞Exploit、文档类漏洞Exploit和网页挂马类Exploit等。

13．为了彻底清除恶意代码，需要按照以下步骤进行：

① 停止恶意代码的所有活动行为（包括停止进程，服务，卸载DLL等）；

② 删除恶意代码新建的所有文件备份（包括可执行文件，DLL文件，驱动程序等）；

③ 清除恶意代码写入的所有启动选项；

④ 对被计算机病毒感染的文件，还需要对被感染文件进行病毒清除等。

需要注意的是，并不是所有恶意代码对系统进行的修改都可以被恢复。

14．典型反病毒技术：

① 特征值查毒法：前提是需要从病毒体中提取病毒特征值构成病毒特征库；

② 校验和技术；

③ 启发式扫描技术：一个熟练的程序员在调试状态下只需要一看便可一目了然。启发式代码扫描技术实际上就是把这种经验和知识移植到反病毒软件中，从而有可能找到未知的病毒。

④ 虚拟机技术：软件模拟法，它是一种软件分析器，用软件方法来模拟和分析程序的运行，而且程序的运行不会对系统起实际的作用

⑤ 行为监控技术：通过审查应用程序的操作来判断是否有恶意（病毒）倾向并向用户发出警告。

⑥ 主动防御技术：并不是一项全新的技术，集成了启发式扫描技术和行为监控及行为阻断等技术。

【备知识点拨】

了解并理解相关知识点内容。

知识点5、计算机取证

【考法分析】

本知识点主要是对计算机取证技术相关内容的考查。

【要点分析】

1．计算机取证是将计算机调查和分析技术应用与对潜在的，有法律效力的证据的确定与提取上。

2．计算机取证包括了对以磁介质编码信息方式存储的计算机证据的保护，确认，提取和归档。与传统证据一样，电子证据必须是可信，准备，完整，符合法律法规的，是法庭所能够接受的。同时，电子证据与传统证据不同，具有高科技性，无形性和易破坏性等特点

3．计算机取证主要是对电子证据的获取，分析，归档，保存和描述的过程；计算机取证的通常步骤包括：保护目标计算机系统，确定电子证据，收集电子证据，保全电子证据。

4．分析电子证据的信息需要很深的专业知识，应依靠专业的取证希赛网。通常取证分析工作中用到的技术包括：① 对比分析和关键字查询；② 文件特征分析技术；③ 密码破译；④ 数据恢复与残留数据分析；⑤ 磁盘备份文件，镜像文件，交换文件，临时文件分析技术；⑥ 日志记录文件分析；⑦ 相关性分析等。

【备知识点拨】

了解并理解相关知识点内容。

知识点6、嵌入式系统安全

【考法分析】

本知识点主要是对嵌入式系统安全相关内容的考查。

【要点分析】

1．广义地讲，凡是不用于通用目的的可编程计算机设备，就可以算是嵌入式计算机系统。最典型的嵌入式系统如手机，可视电话等，如传真机，打印机等；狭义上讲：嵌入式系统是指以应用为核心，以计算机技术为基础，软硬件可裁剪，适用应用系统对功能，可靠性，成本，体积和功耗严格妖气的专用计算机系统。

2．嵌入式系统具有如下特点：① 嵌入式系统具有应用针对性；② 嵌入式系统硬件一般对扩展能力要求不高；③ 嵌入式系统一般采用专门针对嵌入式应用设计的中央处理器；④ 嵌入式系统中操作系统可能有也可能没有，且嵌入式操作系统与桌面计算机操作系统有较大差别；⑤ 嵌入式系统一般有实时性要求；⑥ 嵌入式系统一般有较高的成本控制要求；⑦ 嵌入式系统软件一般有固化的要求；⑧ 嵌入式系统一般采用交叉开发的模式；⑨ 嵌入式系统在体积，功耗，可靠性，环境适应性上一般有特殊要求；⑩ 嵌入式系统技术标准化程度不高，也存在一定程度的标准化。

3．常见的嵌入式系统设备，包括智能卡，USB-key和智能手机等。

4．智能卡的用途可归为如下四点：① 身份识别；② 支付工具；③ 加密解密；④ 信息存储。

5．从本质上说，片内操作系统（COS）是智能卡芯片内的一个监控软件，它在智能卡中的概念和地位类似与DOS在个人计算机PC中的概念和地位。与DOS不一样的地方在于：COS更加注意安全；COS一般由四部分组成★：通讯管理模块和安全管理模块，应用管理模块和文件管理模块。

6．针对智能卡，有以下几种常见的攻击手段：① 物理篡改；② 时钟抖动；③ 超范围电压探测。

7．USB Key是一种USB接口的硬件设备；USB Key身份认证的特点：

① 双因子认证：每一个USB key都具有硬件PIN码保护，PIN码和硬件构成了用户使用USB Key的两个必要因数。即所谓“双因子认证”。用户只有同时取得了USB Key和用户PIN码，才可以登录系统。

② 带有安全存储空间。

③ 硬件实现加密算法。

④ 便于携带，安全可靠

⑤ 身份认证模式

8．USB Key目前来说并不是绝对安全的，实际存在两大安全漏洞：

① 交互操作存在漏洞，黑客可以远程控制；

② 无法防止数据被篡改。

解决这些漏洞的方法是通过在USB设备上增加新的硬件，革新认证策略。

9．由于USB Key具有安全可靠，便于携带，使用方便，成本低廉的优点，使用USB key存储数字证书的认证方式已经成为目前主要的认证模式。

10．智能手机的诞生，是PDA演变而来的。PDA，英文全称Personal Digital Assistant，即个人数码助理，一般是指掌上电脑。

11．智能手机的操作系统有：Windows CE，Palm OS，Pocket PC，WindowsPhone和IOS，安卓等。

Windows CE：微软开发的嵌入式操作系统；

Palm OS：Palm公司开发的32位嵌入式操作系统；

Pocket PC：在Windows CE的基础上改进的；

WindowsPhone：简称WP；

Android：是一种以Linux为基础的开放源代码操作系统。Android 分为4个层，从高层到低层分别是应用程序层，应用程序框架层，系统运行库层和Linux核心层。Android是以Linux为核心的手机操作平台；

iOS：由苹果公司开发的移动操作系统，也是闭源的操作系统，所有的开发软件必须苹果的审核才能开放使用，并且只能在苹果的硬件设备上使用。

12．智能手机安全隐患有如下的几个方面：

① 目前我国软件应用平台以谷歌的安卓为主；

② 黑客们就电商APP进行二次打包伪装知名应用混淆用户；

③ 手机病毒感染率非常严峻；

④ 短信信息常含有一些恶意软件，网站的链接，扫面二维码染毒的分先日益增多。

13．可信智能手机应该具有无线保密通信，GPS等典型的功能应用，其具体方法如下：

① 可信智能终端系统的体系结构；

② 可信智能终端的操作系统安全增强；

③ 可信智能终端的信任链结构；

④ 可信只能终端的保密通信与可信网络连接。

14．现代工业控制系统包括过程控制，数据采集系统（SCADA），分布式控制系统（DCS），程序逻辑控制（PLC）以及其他控制系统等。

15．在中国，与传统的网络语信息系统安全相比，工业控制系统信息安全保护水平明显偏低，长期以来没有得到关注，大多数的工业控制系统在开发设计时，只考虑了效率和实时等特性，并未将信息安全纳入主要考虑的指标。

16．工业控制系统面临的威胁是多样化的，一方面敌对政府，恐怖组织，商业间谍，内部不法人员，外部非法入侵者等对系统虎视眈眈；另一方面，系统复杂性，认为事故，操作系统，设备故障和自然灾害等也会对工业控制系统造成破坏。

17．电力工控系统面临的主要威胁：① 内部人为风险；② 黑客攻击；③ 病毒破坏；④ 预置陷阱；⑤ 电力工控系统采用对策：加强制度建设和人员管理；加强技术防范；加强整体防护。

18．工控系统信息安全不是一个单纯的技术问题，而是涉及到技术，管理，流程，人员意识等各方面的系统工程，徐璈组件包括控制工程师，工控设备供应商，系统集成商，信息安全希赛网等成员的工控系统信息安全队伍。

19．在监控级(如：工程师站、操作员站、历史站等)和网络层面可采取现有等级保护的相关标准和规范开展等级测评；在控制级，应加强对 Modbus、 OPC 等通信协议 的使用管理，对其用户身份进行鉴别和认证；在现场级，应实现对设备、控制元件的准入检测，加快建立工控设备的检测标准和规范；在管理上，应建立完善的工控系统安全运维方案、策略和计划，加强日常安全培训，严控处理流程，防止内部攻击，实现终端安全防护，操作使用安全，针对现阶段难议解决的技术问题应通过管理手段进行弥补，切实提高工控系统的安全防护能力。

【备知识点拨】

了解并理解相关知识点内容。

点击进入>>>希赛软考题库 信息安全工程师每日一练

想要了解更多软考考试资讯，可以关注希赛网软考频道。