使用防火墙实现安全的访问控制
实验名称
使用防火墙实现安全的访问控制
实验目的
利用防火墙的安全策略实现严格的访问控制
背景描述
某企业网络的出口使用了一台防火墙作为接入Internet的设备，现在需要使用防火墙的安全策略实现严格的访问控制，以允许必要的流量通过防火墙，并且阻止到Internet的未授权的访问。
企业内部网络使用的地址段为100.1.1.0/24。公司经理的主机IP地址为100.1.1.100/24，设计部的主机IP地址为100.1.1.101/24~100.1.1.103/24，其它员工使用100.1.1.2/24~100.1.1.99/24范围内的地址。并且公司在公网上有一台IP地址为200.1.1.1的外部FTP服务器。
现在需要在防火墙上进行访问控制，使经理的主机可以访问Internet中的Web服务器和公司的外部FTP服务器，并能够使用邮件客服端（SMTP/pop3）收发邮件：设计部的主机可以访问Internet中的Web服务器和公司的外部FTP服务器；其它员工的主机只能访问公司的外部FTP服务器。如下图所示为本实验的网络拓扑结构图
经理100.1.1.100/24
设计部
100.1.1.101/24
~ 100.1.1.103/24
其他员工
100.1.1.2/24
~ 100.1.1.99/24
实验设备
防火墙连接到Internet的链路，这里我们用到信息楼网络段192.168.203.0/24的网络段，其网关为192.168.203.254，这样我们也可以通过此链路上网。
锐捷wall 60 防火墙1 台
PC机2 到3台，2台时要更改一下ip就可以了。
FTP服务器，可以直接找Internet网上的一台，也可自己配置一台ftp服务器模拟Internet上的ftp服务器。
预备知识
网络基础知识
防火墙工作原理：包过滤，另外防火墙一般是串联在网络中，这和IDS（入侵检测）不一样，入侵检测是串联在网络中。
实验原理
实现访问控制是防火墙的基本功能，防火墙的安全策略（包过滤规则）可以根据数据包的原IP地址、目的IP地址、服务端口等对通过防火墙的报文进行过滤。
实验步骤
验证测试
加了规则后，对于规则中允许的服务可以访问，对于规则中不允许的服务不可以访问。
问题及其解决方案
1、通过默认的管理主机IP登入防火墙，并重新设置管理主机后，再次登入防火
墙时不能登了。
解决方案：重新设置后如果设置lan口为登陆口，那么管理主机要接入到lan 口，同时注意管理主机的ip地址要设置正确，注意设置是否允许管理主机ping lan接口或允许管理主机的流量的包过滤规则。如果没有这些规则那么要加上去。如果实在登不进去可以重启防火墙，具体的办法是用console线登入防火墙重新启动就可以恢复配置，也可以看说明书清除配置。
2、加了规则后为什么还是不起作用，如下图所示，从2后的规则对100.1.1.0 /24
段的网络不起效
原理：因为防火墙是采用包过滤机制，规则的顺序很重要，序号越靠前的规则越先匹配，如果某条规则匹配上了，防火墙就不会再对后面的规则进行匹配了。所以上图中除了第一条规则对100.1.1.0 的网络段起作用，后面的全不起作用。因为对从100。1.1.0来的数据包都可以匹配上第一条规则。
解决方案：把后面的规则放到第一条规则上面。
Fortigate防火墙安全配置规范
1.概述 1.1. 目的 本规范明确了Fortigate防火墙安全配置方面的基本要求。为了提高Fortigate防火墙的安全性而提出的。 1.2. 范围 本标准适用于 XXXX使用的Fortigate 60防火墙的整体安全配置，针对不同型号详细的配置操作可以和产品用户手册中的相关内容相对应。
2.设备基本设置 2.1. 配置设备名称 制定一个全网统一的名称规范，以便管理。 2.2. 配置设备时钟 建议采用NTP server同步全网设备时钟。如果没有时钟服务器，则手工设置，注意做HA的两台设备的时钟要一致。 2.3. 设置Admin口令 缺省情况下，admin的口令为空，需要设置一个口令。密码长度不少于8个字符，且密码复杂。 2.4. 设置LCD口令 从设备前面板的LCD可以设置各接口IP地址、设备模式等。需要设置口令，只允许管理员修改。密码长度不少于8个字符，且密码复杂。 2.5. 用户管理 用户管理部分实现的是对使用防火墙某些功能的需认证用户（如需用户认证激活的防火墙策略、IPSEC扩展认证等）的管理，注意和防火墙管理员用于区分。用户可以直接在fortigate上添加，或者使用RADIUS、LDAP服务器上的用户数据库实现用户身份认证。 单个用户需要归并为用户组，防火墙策略、IPSEC扩展认证都是和用户组关联的。 2.6. 设备管理权限设置 为每个设备接口设置访问权限，如下表所示：
接口名称允许的访问方式 Port1 Ping/HTTPS/SSH Port2 Ping/HTTPS/SSH Port3 Ping/HTTPS/SSH Port4 HA心跳线，不提供管理方式 Port5 （保留） Port6 （保留） 且只允许内网的可信主机管理Fortinet设备。 2.7. 管理会话超时 管理会话空闲超时不要太长，缺省5分钟是合适的。 2.8. SNMP设置 设置SNMP Community值和TrapHost的IP。监控接口状态及接口流量、监控CPU/Memory等系统资源使用情况。 2.9. 系统日志设置 系统日志是了解设备运行情况、网络流量的最原始的数据，系统日志功能是设备有效管理维护的基础。在启用日志功能前首先要做日志配置，包括日志保存的位 置（fortigate内存、syslog服务器等）、需要激活日志功能的安全模块等。如下图 所示：
信息安全概论 -防火墙技术 防火墙的定义 防火墙的本义原是指古代人们房屋之间修建的墙，这道墙可以防止火灾发生的时候蔓延到别的房屋。 这里所说的防火墙不是指为了防火而造的墙，而是指隔离在本地网络与外界网络之间的一道防御系统。 在互联网上，防火墙是一种非常有效的网络安全系统，通过它可以隔离风险区域（Internet或有一定风险的网络）与安全区域（局域网）的连接，同时不会妨碍安全区域对风险区域的访问。 防火墙是一种装置，它是由软件或硬件设备组合成，通常处于企业的内部网与internet之间，限制internet用户对内部网络的访问以及管理内部用户访问外界的权限。 从实现山看，防火墙实际上是一个独立的进程或一组紧密联系的进程，运行于路由器服务器上，控制经过它的网络应用服务与数据。 防火墙 防止易受攻击的服务 控制访问网点系统 集中安全性 增强保密，强化私有权 有利于对网络使用、滥用的纪录统计 防火墙的功能 根据不同的需要，防火墙的功能有比较大差异，但是一般都包含以下三种基本功能。 可以限制未授权的用户进入内部网络，过滤掉不安全的服务和非法用户 防止入侵者接近网络防御设施 限制内部用户访问特殊站点 实施防火墙的基本方针 由于防火墙假设了网络边界和服务，因此适合于相对独立的网络，例如Intranet等种类相对集中的网络。Internet上的Web网站中，超过三分之一的站点都是有某种防火墙保护的，任何关键性的服务器，都应该放在防火墙之后。 实施防火墙的基本方针 只允许访问特定的服务
只拒绝访问特定的服务 防火墙的必要性 随着世界各国信息基础设施的逐渐形成，国与国之间变得“近在咫尺”。Internet已经成为信息化社会发展的重要保证。已深入到国家的政治、军事、经济、文教等诸多领域。许多重要的政府宏观调控决策、商业经济信息、银行资金转帐、股票证券、能源资源数据、科研数据等重要信息都通过网络存贮、传输和处理。因此，难免会遭遇各种主动或被动的攻击。例如信息泄漏、信息窃取、数据篡改、数据删除和计算机病毒等。 网络安全已经成为迫在眉睫的重要问题，没有网络安全就没有社会信息化 网络有攻击就需要有防御，防火墙是很主要的网络防御手段。 防火墙特征 网络通信必须通过防火墙 合法数据可以通过防火墙 防火墙本身不受攻击的影响 使用最新安全技术 人机界面良好，易于配置管理 防火墙的局限性 没有万能的网络安全技术，防火墙也不例外。防火墙有以下三方面的局限： 防火墙不能防范网络内部的攻击。比如：防火墙无法禁止变节者或内部间谍将敏感数据拷贝到软盘上。 防火墙也不能防范那些伪装成超级用户或诈称新雇员的黑客们劝说没有防范心理的用户公开其口令，并授予其临时的网络访问权限。 防火墙不能防止传送己感染病毒的软件或文件，不能期望防火墙去对每一个文件进行扫描，查出潜在的病毒。 另外对于未知的威胁，防火墙很难防护。 防火墙体系结构 双宿主主机防火墙 被屏蔽主机防火墙 被屏蔽子网防火墙 其它形式防火墙 防火墙体系中的堡垒主机 双宿主主机防火墙 双宿主主机模型（屏蔽防火墙系统）可以构造更加安全的防火墙系统。双宿主主机有两种网络接口但是主机在两个端口之间直接转发信息的功能被关掉了。在物理结构上强行将所有去往内
网络安全之——ACL(访问控制列表) 【实验目的】 1、掌握基本ACL的原理及配置方法。 2、熟悉高级ACL的应用场合并灵活运用。 【实验环境】 H3C三层交换机1台，PC 3台，标准网线3根。 【引入案例1】 某公司建设了Intranet，划分为经理办公室、档案室、网络中心、财务部、研发部、市场部等多个部门，各部门之间通过三层交换机（或路由器）互联，并接入互联网。自从网络建成后麻烦不断，一会儿有人试图偷看档案室的文件或者登录网络中心的设备捣乱，一会儿财务部抱怨研发部的人看了不该看的数据，一会儿领导抱怨员工上班时候整天偷偷泡网，等等。有什么办法能够解决这些问题呢？ 【案例分析】 网络应用与互联网的普及在大幅提高企业的生产经营效率的同时也带来了许多负面影响，例如，数据的安全性、员工经常利用互联网做些与工作不相干的事等等。一方面，为了业务的发展，必须允许合法访问网络，另一方面，又必须确保企业数据和资源尽可能安全，控制非法访问，尽可能的降低网络所带来的负面影响，这就成了摆在网络管理员面前的一个重要课题。网络安全采用的技术很多，通过ACL（Access Control List，访问控制列表）对数据包进行过滤，实现访问控制，是实现基本网络安全的手段之一。 【基本原理】 ACL是依据数据特征实施通过或阻止决定的过程控制方法，是包过滤防火墙的一种重要实现方式。ACL是在网络设备中定义的一个列表，由一系列的匹配规则（rule）组成，这些规则包含了数据包的一些特征，比如源地址、目的地址、协议类型以及端口号等信息，并预先设定了相应的策略——允许（permint）或禁止（Deny）数据包通过。 基于ACL的包过滤防火墙通常配置在路由器的端口上，并且具有方向性。每个端口的出站方向（Outbound）和入站方向（Inbound）均可配置独立的ACL 进行包过滤。
信息安全技术试题及答案 信息安全网络基础： 一、判断题 1. 信息网络的物理安全要从环境安全和设备安全两个角度来考虑。√ 4. 计算机场地在正常情况下温度保持在 18~28 摄氏度。√ 8. 接地线在穿越墙壁、楼板和地坪时应套钢管或其他非金属的保护套管，钢管应与接地线做电气连通.√ 9. 新添设备时应该先给设备或者部件做上明显标记，最好是明显的无法除去的标记 ,以防更换和方便查找赃物。√ 11. 有很高使用价值或很高机密程度的重要数据应采用加密等方法进行保护。√ 12. 纸介质资料废弃应用碎纸机粉碎或焚毁。√ 容灾与数据备份 一、判断题 2. 数据备份按数据类型划分可以分成系统数据备份和用户数据备份。√ 3. 对目前大量的数据备份来说，磁带是应用得最广的介质。√ 7. 数据越重要，容灾等级越高。√ 8. 容灾项目的实施过程是周而复始的。√ 二、单选题 1. 代表了当灾难发生后，数据的恢复程度的指标是 2. 代表了当灾难发生后，数据的恢复时间的指标是 3. 容灾的目的和实质是 A. 数据备份 B.心理安慰 C. 保持信息系统的业务持续性 D.系统的有益补充 4. 容灾项目实施过程的分析阶段，需要进行 A. 灾难分析 B. 业务环境分析 C. 当前业务状况分析 D. 以上均正确 5. 目前对于大量数据存储来说，容量大、成本低、技术成熟、广泛使用的介质是一一一。 A.磁盘 B. 磁带 c. 光盘 D. 自软盘 6. 下列叙述不属于完全备份机制特点描述的是一一一。 A. 每次备份的数据量较大 B. 每次备份所需的时间也就校长 C. 不能进行得太频繁 D. 需要存储空间小
A. 灾难预测 B.灾难演习 C. 风险分析 D.业务影响分析 8、IBM TSM Fastback 是一款什么软件（） A、防病毒产品； B、入侵防护产品； C、上网行为管理产品； D、数据存储备份产品 9、IBM TSM Fastback产品使用的什么技术（ ) A、磁盘快照； B、文件拷贝； C、ISCSI技术； D、磁盘共享 12、IBM TSM Fastback产品DR（远程容灾）功能备份的是什么（） A、应用系统； B、本地备份的数据； C、文件系统； D、数据库 三、多选题 1. 信息系统的容灾方案通常要考虑的要点有一一。 A. 灾难的类型 B. 恢复时间 C. 恢复程度 D. 实用技术 E 成本 2. 系统数据备份包括的对象有一一一。 A. 配置文件 B.日志文件 C. 用户文档 D.系统设备文件 3. 容灾等级越高，则一一一。 A. 业务恢复时间越短 C. 所需要成本越高 B. 所需人员越多 D. 保护的数据越重 要 4、数据安全备份有几种策略（） A、全备份； B、增量备份； C、差异备份； D、手工备份 5、建立Disaster Recovery（容灾系统）的前提是什么（）多选 A、自然灾害（地震、火灾，水灾...)； B、人为灾害（错误操作、黑客攻击、病毒发作...) C、技术风险（设备失效、软件错误、电力失效...） 6、IBM TSM Fastback 可以支持数据库系统包括（）多选 A、M S SQL； B、Oracle； C、DB2； D、MY SQL 7、IBM TSM Fastback 可以支持的存储介质包括（） A、磁带介质； B、磁盘介质； C、磁带库； D、磁盘柜 基础安全技术 系统安全 一、判断题 防火墙能帮助阻止计算机病毒和蠕虫进入用户的计算机，但该防火墙不能检测或清除已经感染计算机的病毒和蠕虫√ 8. 数据库管理员拥有数据库的一切权限。√ 9. 完全备份就是对全部数据库数据进行备份。√ 二、单选题 系统的用户帐号有两种基本类型，分别是全局帐号和
系统安全配置技术规范—Cisco防火墙
文档说明（一）变更信息 （二）文档审核人
目录 1适用范围 (4) 2账号管理与授权 (4) 2.1【基本】设置非特权模式密码 (4) 2.2【基本】ENABLE PASSWORD的使用 (4) 2.3【基本】设置与认证系统联动 (5) 2.4【基本】设置登录失败处理功能 (5) 2.5认证授权最小化 (6) 3日志配置要求 (7) 3.1【基本】设置日志服务器 (7) 4IP协议安全要求 (7) 4.1【基本】设置SSH方式访问系统 (7) 4.2【基本】远程访问源地址限制 (8) 4.3【基本】设置F AILOVER KEY (8) 4.4【基本】关闭不使用的SNMP服务或更正不当权限设置 (9) 4.5【基本】SNMP服务的共同体字符串设置 (9) 4.6【基本】SNMP服务的访问控制设置 (9) 4.7【基本】防火墙策略修订 (10) 4.8常见攻击防护 (10) 4.9VPN安全加固 (10) 5服务配置要求 (11) 5.1【基本】启用NTP服务 (11) 5.2禁用HTTP配置方式 (11) 5.3禁用DHCP服务 (12) 5.4启用SERVICE RESETOUTSIDE (12) 5.5启用F LOODGUARD (12) 5.6启用F RAGMENT CHAIN保护 (13) 5.7启用RPF保护 (13) 6其他配置要求 (13) 6.1【基本】系统漏洞检测 (13) 6.2【基本】设置登录超时时间 (14) 6.3【基本】检查地址转换超时时间 (14) 6.4信息内容过滤 (14)
使用防火墙实现安全的访问控制 实验名称 使用防火墙实现安全的访问控制 实验目的 利用防火墙的安全策略实现严格的访问控制 背景描述 某企业网络的出口使用了一台防火墙作为接入Internet的设备，现在需要使用防火墙的安全策略实现严格的访问控制，以允许必要的流量通过防火墙，并且阻止到Internet的未授权的访问。 企业内部网络使用的地址段为100.1.1.0/24。公司经理的主机IP地址为100.1.1.100/24，设计部的主机IP地址为100.1.1.101/24~100.1.1.103/24，其它员工使用100.1.1.2/24~100.1.1.99/24范围内的地址。并且公司在公网上有一台IP地址为200.1.1.1的外部FTP服务器。 现在需要在防火墙上进行访问控制，使经理的主机可以访问Internet中的Web服务器和公司的外部FTP服务器，并能够使用邮件客服端（SMTP/pop3）收发邮件：设计部的主机可以访问Internet中的Web服务器和公司的外部FTP服务器；其它员工的主机只能访问公司的外部FTP服务器。如下图所示为本实验的网络拓扑结构图 经理100.1.1.100/24 设计部 100.1.1.101/24 ~ 100.1.1.103/24 其他员工 100.1.1.2/24 ~ 100.1.1.99/24
实验设备 防火墙连接到Internet的链路，这里我们用到信息楼网络段192.168.203.0/24的网络段，其网关为192.168.203.254，这样我们也可以通过此链路上网。 锐捷wall 60 防火墙1 台 PC机2 到3台，2台时要更改一下ip就可以了。 FTP服务器，可以直接找Internet网上的一台，也可自己配置一台ftp服务器模拟Internet上的ftp服务器。 预备知识 网络基础知识 防火墙工作原理：包过滤，另外防火墙一般是串联在网络中，这和IDS（入侵检测）不一样，入侵检测是串联在网络中。 实验原理 实现访问控制是防火墙的基本功能，防火墙的安全策略（包过滤规则）可以根据数据包的原IP地址、目的IP地址、服务端口等对通过防火墙的报文进行过滤。 实验步骤 验证测试 加了规则后，对于规则中允许的服务可以访问，对于规则中不允许的服务不可以访问。 问题及其解决方案 1、通过默认的管理主机IP登入防火墙，并重新设置管理主机后，再次登入防火 墙时不能登了。 解决方案：重新设置后如果设置lan口为登陆口，那么管理主机要接入到lan 口，同时注意管理主机的ip地址要设置正确，注意设置是否允许管理主机ping lan接口或允许管理主机的流量的包过滤规则。如果没有这些规则那么要加上去。如果实在登不进去可以重启防火墙，具体的办法是用console线登入防火墙重新启动就可以恢复配置，也可以看说明书清除配置。 2、加了规则后为什么还是不起作用，如下图所示，从2后的规则对100.1.1.0 /24 段的网络不起效
4.访问控制列表（ACL）(1)标准 RouterA [H3C]interface e0/0 192." 168." 1.1 255." 255." 255."0 [H3C]interface e0/1 198." 1. 1."1 255." 255." 255."0 [H3C]ospf 2 [H3C-ospf2]area 0 192." 168."
1.0 0." 0. 0."255 198." 168." 1.0 0." 0. 0."255 [H3C]display ip rout [H3C] firewall enable [H3C]firewall default deny/permit（默认为permit）[H3C]acl number 2000 [H3C-acl-2000]rule permit source 192." 168." 2.0 0." 0. 0."255
[H3C]interface e1 [H3C]display acl 2000 [H3C]undo acl number 2000 RouterB [H3C]interface e0/1 192." 168." 2.1 255." 255." 255."0 [H3C]interface e0/0 198." 1. 1."2 255." 255." 255."0 [H3C]ospf 2 [H3C-ospf2]area 0 192."
168." 2.0 0." 0. 0."255 198." 168." 1.0 0." 0. 0."255 [H3C]display ip rout (2)扩展 RouterA [H3C]interface e0/0 192." 168." 1.1 255." 255." 255."0
信息安全技术教程习题及答案 第一章概述 一、判断题 1。信息网络的物理安全要从环境安全和设备安全两个角度来考虑。√ 2。计算机场地可以选择在公共区域人流量比较大的地方。× 3。计算机场地可以选择在化工厂生产车间附近.× 4。计算机场地在正常情况下温度保持在 18~28 摄氏度。√ 5. 机房供电线路和动力、照明用电可以用同一线路。× 6。只要手干净就可以直接触摸或者擦拔电路组件，不必有进一步的措施。× 7. 备用电路板或者元器件、图纸文件必须存放在防静电屏蔽袋内,使用时要远离静电敏感器件。√ 8. 屏蔽室是一个导电的金属材料制成的大型六面体，能够抑制和阻挡电磁波在空气中传播.√ 9。屏蔽室的拼接、焊接工艺对电磁防护没有影响.× 10. 由于传输的内容不同，电力线可以与网络线同槽铺设。× 11. 接地线在穿越墙壁、楼板和地坪时应套钢管或其他非金属的保护套管，钢管应与接地线做电气连通.√ 12。新添设备时应该先给设备或者部件做上明显标记，最好是明显的无法除去的标记 ,以防更换和方便查找赃物。√ 13.TEMPEST 技术，是指在设计和生产计算机设备时，就对可能产生电磁辐射的元器件、集成电路、连接线、显示器 等采取防辐射措施于从而达到减少计算机信息泄露的最终目的。√ 14. 机房内的环境对粉尘含量没有要求.× 15. 防电磁辐射的干扰技术,是指把干扰器发射出来的电磁波和计算机辐射出来的电磁波混合在一起，以掩盖原泄露信 息的内容和特征等,使窃密者即使截获这一混合信号也无法提取其中的信息。√ 16。有很高使用价值或很高机密程度的重要数据应采用加密等方法进行保护。√ 17. 纸介质资料废弃应用碎纸机粉碎或焚毁。√ 二、单选题 1. 以下不符合防静电要求的是 A。穿合适的防静电衣服和防静电鞋 B. 在机房内直接更衣梳理 C。用表面光滑平整的办公家具 D. 经常用湿拖布拖地 2。布置电子信息系统信号线缆的路由走向时,以下做法错误的是 A. 可以随意弯折 B. 转弯时,弯曲半径应大于导线直径的 10 倍 C。尽量直线、平整 D. 尽量减小由线缆自身形成的感应环路面积 3。对电磁兼容性 (Electromagnetic Compatibility，简称 EMC）标准的描述正确的是 A. 同一个国家的是恒定不变的 B. 不是强制的 C。各个国家不相同 D. 以上均错误 4。物理安全的管理应做到 A. 所有相关人员都必须进行相应的培训，明确个人工作职责 B。制定严格的值班和考勤制度，安排人员定期检查各种设备的运行情况 C。在重要场所的迸出口安装监视器，并对进出情况进行录像
v1.0 可编辑可修改 安全配置作业指导书 防火墙设备 XXXX集团公司 2012年7月
前言 为规范XXXX集团公司网络设备的安全管理，建立统一的防火墙设备安全配置标准，特制定本安全配置作业指导书。 本技术基线由XXXX集团公司提出并归口 本技术基线起草单位：XXXX集团公司 本技术基线主要起草人： 本技术基线主要审核人：
目录 1.适用范围 (1) 2.规范性引用文件 (1) 3.术语和定义 (1) 4.防火墙安全配置规范 (2) 4.1.防火墙自身安全性检查 (2) 4.1.1.检查系统时间是否准确 (2) 4.1.2.检查是否存在分级用户管理 (3) 4.1.3.密码认证登录 (3) 4.1.4.登陆认证机制 (4) 4.1.5.登陆失败处理机制 (5) 4.1.6.检查是否做配置的定期备份 (6) 4.1.7.检查双防火墙冗余情况下，主备切换情况 (7) 4.1.8.防止信息在网络传输过程中被窃听 (8) 4.1.9.设备登录地址进行限制 (9) 4.1.10.SNMP访问控制 (10) 4.1.11.防火墙自带的病毒库、入侵防御库、应用识别、web过滤为模块及时升级11 4.2.防火墙业务防御检查 (12) 4.2.1.启用安全域控制功能 (12) 4.2.2.检查防火墙访问控制策略 (13) 4.2.3.防火墙访问控制粒度检查 (14) 4.2.4.检查防火墙的地址转换情况 (15) 4.3.日志与审计检查 (16) 4.3.1.设备日志的参数配置 (16) 4.3.2.防火墙流量日志检查 (17) 4.3.3.防火墙设备的审计记录 (17)
信息安全技术试题答案E 信息安全试题（1/共3） 一、单项选择题（每小题2分，共20分） 1._________________________ 信息安全的基木属性是o A.保密性 B.完整性 C.可用性、可控性、可靠性 D. A, B, C都是 2?假设使用一种加密算法，它的加密方法很简单：将每一个字母加5,即a加密成f。这种算法的密钥就是5,那么它属于 ________ o A.对称加密技术 B.分组密码技术 C.公钥加密技术 D.单向函数密码技术 3.密码学的目的是 ____ o A.研究数据加密 B.研究数据解密 C.研究数据保密 D.研究信息安全 4.A方有—?对密钥（KA公开，KA秘密），B方有-?对密钥（KB公开，KB秘密），A方向B方发送数字签名M,对信息M加密为：W = KB公开（KA秘密（M））。B方收到密文的解密方案是_______ o A. KB公开（KA秘密（M' ）） B. KA公开（KA公开（M'）） C. KA公开（KB秘密（M‘ ）） D. KB秘密（KA秘密（M'）） 5.数字签名要预先使用单向Hash函数进行处理的原因是______ o A.多一道加密工序使密文更难破译 B.提高密文的计算速度 C.缩小签名密文的长度，加快数字签名和验证签名的运算速度 D.保证密文能正确还原成明文 6.身份鉴别是安全服务小的重要一环，以下关于身份鉴别叙述不正确的是—o
A.身份鉴别是授权控制的基础 B.身份鉴别一般不用提供双向的认证 C.目前-?般采用基于对称密钥加密或公开密钥加密的方法 D.数字签名机制是实现身份鉴别的重要机制 7.防火墙用于将Internet和内部网络隔离______ 。 A.是防止Internet火灾的硬件设施 B.是网络安全和信息安全的软件和駛件设施 C.是保护线路不受破坏的软件和硬件设施 D.是起抗电磁干扰作川的硬件设施 8.PKI支持的服务不包括_____ 。 A.非对称密钥技术及证书管理 B.日录服务 C.对称密钥的产生和分发 D.访问控制服务9.设哈希函数H 128个可能的输出（即输出长度为128位）,如果II的k个随机输入屮至少有两个产生相同输岀的概率人于0. 5, 则k约等于—。 A. 2128 B. 264 C. 2 D. 2 10. Bell-LaPadula模型的出发点是维护系统的______ ,而Bibd模型与 Bell-LaPadula模型完全对立，它修正了Bell-LaPadula模型所忽略的信息的_______ 问题。它们存在共同的缺点：直接绑定主体与客体，授权工作困难。 A.保密性可用性 B.可用性保密性 C.保密性完整性 D.完整性保密性 二、填空题（每空1分，共20分） 1.ISO 7498-2确定了五大类安全服务，即鉴别、访问控制、数据保密性、数据完整性和不可否认。同吋，ISO 7498-2也确定了八类安全机制，即加密机制、数据签名机制、访问控制机制、数据完整性机制、认证交换、业务填充机制、路由控制机制和公证机制。
1目的 Objective 规范防火墙系统的安全管理，保障公司防火墙系统的安全。 2适用范围 Scope 本规定适用于公司范围内所有防火墙系统、防火墙策略的维护与管理。 3定义 DMZ（demilitarized zone）：中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。通常,它放在外网和内网中间，是内网中不被信任的系统。在进行防火墙设置时可阻断内网对DMZ的公开访问，尤其禁止DMZ到内网的主动连接。 GRE（Generic Routing Encapsulation）：即通用路由封装协议，它提供了将一种协议的报文封装在另一种协议报文中的机制，使报文能够在异种网络中传输。 VPN（Virtual Private Networking）：即虚拟专用网，VPN是用以实现通过公用网络（Internet）上构建私人专用网络的一种技术。 4管理细则 4.1基本管理原则 1.公司IT系统不允许直接和外部网络连接（包括Internet、合资公司等等），必须经 过防火墙的限制保护。防火墙的建设、安装须遵守《防火墙建设规范》。 2.防火墙指令的配置须严格遵守附件一《防火墙指令描述格式》。 3.防火墙口令设置参照《帐号和口令标准》，并由安全控制办统一管理。 4.防火墙日志管理参照《系统日志管理规定》。 5.防火墙变更管理参照《IT生产环境变更管理流程》。 6.防火墙不允许直接通过Internet管理；内部管理IP地址只允许相关人员知晓。 7.防火墙紧急开通策略有效期为2周。如2周内没有申请防火墙策略，则将自动失效。 8.在非工作时间处理防火墙紧急申请须遵循《紧急故障处理Token卡管理规定》。 4.2防火墙系统配置细则 1.当防火墙启动VPN功能时，需使用IPSEC进行隧道加密：认证算法采用SHA-1，加密 算法采用3DES算法。
信息安全技术试题答 案D
综合习题 一、选择题 1. 计算机网络是地理上分散的多台（C）遵循约定的通信协议，通过软硬件互联的系统。 A. 计算机 B. 主从计算机 C. 自主计算机 D. 数字设备 2. 密码学的目的是（C）。 A. 研究数据加密 B. 研究数据解密 C. 研究数据保密 D. 研究信息安全 3. 假设使用一种加密算法，它的加密方法很简单：将每一个字母加5，即a加密成f。这种算法的密钥就是5，那么它属于（A）。 A. 对称加密技术 B. 分组密码技术 C. 公钥加密技术 D. 单向函数密码技术 4. 网络安全最终是一个折衷的方案，即安全强度和安全操作代价的折衷，除增加安全设施投资外，还应考虑（D）。 A. 用户的方便性 B. 管理的复杂性 C. 对现有系统的影响及对不同平台的支持 D. 上面3项都是 5．A方有一对密钥（KA公开，KA秘密），B方有一对密钥（KB公开，KB 秘密），A方向B方发送 数字签名M，对信息M加密为：M’= KB公开（KA秘密（M））。B方收到密文的解密方案是 （C）。
A. KB公开（KA秘密（M’）） B. KA公开（KA公开（M’）） C. KA公开（KB秘密（M’）） D. KB秘密（KA秘密（M’）） 6. “公开密钥密码体制”的含义是（C）。 A. 将所有密钥公开 B. 将私有密钥公开，公开密钥保密 C. 将公开密钥公开，私有密钥保密 D. 两个密钥相同 二、填空题 密码系统包括以下4个方面：明文空间、密文空间、密钥空间和密码算法。 解密算法D是加密算法E的逆运算。 常规密钥密码体制又称为对称密钥密码体制，是在公开密钥密码体制以前使用的密码体制。 如果加密密钥和解密密钥相同，这种密码体制称为对称密码体制。 DES算法密钥是 64 位，其中密钥有效位是 56 位。 RSA算法的安全是基于分解两个大素数的积的困难。 公开密钥加密算法的用途主要包括两个方面：密钥分配、数字签名。 消息认证是验证信息的完整性，即验证数据在传送和存储过程中是否被篡改、重放或延迟等。 MAC函数类似于加密，它于加密的区别是MAC函数不可逆。 10．Hash函数是可接受变长数据输入，并生成定长数据输出的函数。 三、问答题 1．简述主动攻击与被动攻击的特点，并列举主动攻击与被动攻击现象。 主动攻击是攻击者通过网络线路将虚假信息或计算机病毒传入信息系统内部，破坏信息的真实性、完整性及系统服务的可用性，即通过中断、伪造、篡改和重排信息内容造成信息破坏，使系统无法正常运行。被动攻击是攻击者非常截
防火墙安全配置规范试题 总分：100分时间：70分钟姓名：_____________ 工号：__________ 一、判断题（每题2分，共20分） 1、工程师开局需要使用推荐版本和补丁。（对） 2、防火墙Console口缺省没有密码，任何人都可以使用Console口登录设备。（错） 3、一般情况下把防火墙连接的不安全网络加入低优先级域，安全网络加入高优先级域 （对） 4、防火墙缺省包过滤默认是打开的。（错） 5、防火墙local域和其它域inbound方向可以不做安全策略控制。（错） 6、防火墙双机热备场景下，HRP心跳线可以只用一条物理链路。（错） 7、原则上SNMP需要采用安全的版本，不得采用默认的community，禁用SNMP写功能， 配置SNMP访问列表限制访问。（对） 8、防火墙可以一直开启ftp server功能。（错） 9、远程登录防火墙建议使用SSH方式。（对） 10、正确设置设备的系统时间，确保时间的正确性。（对） 二、单选题（每题3分，共36分） 1. 防火墙一般部署在内网和外网之间，为了保护内网的安全，防火墙提出了一种区别路由 器的新概念（A），用来保障网络安全。 A. 安全区域 B. 接口检测 C. 虚拟通道 D. 认证与授权 2. 防火墙默认有4 个安全区域，安全域优先级从高到低的排序是（C） A. Trust、Untrust 、DMZ、Local B. Local、DMZ 、Trust 、Untrust
C. Local、Trust、DMZ 、Untrust D. Trust 、Local、DMZ 、Untrust 3. 针对防火墙安全功能描述错误的是（D） A. 防火墙可以划分为不同级别的安全区域，优先级从1-100 B. 一般将内网放入Trust 域，服务器放入 DMZ 域，外网属于Untrust 域 C. 要求在域间配置严格的包过滤策略 D. 防火墙默认域间缺省包过滤是permit 的 4.防火墙Console口缺省用户名和密码是（ D） A. huawei；huawei B. huawei；huawei@123 C. root；huawei D. admin；Admin@123 5.防火墙登录密码必须使用强密码，什么是强密码？（D ） A.长度大于8，同时包含数字、字母 B.包含数字，字母、特殊字符 C.包含数字，字母 D.长度大于8，同时包含数字、字母、特殊字符 6.对于防火墙域间安全策略，下面描述正确的是（） A.防火墙域间可以配置缺省包过滤，即允许所有的流量通过 B.域间inbound方向安全策略可以全部放开 C.域间outbound方向安全策略可以全部放开 D.禁止使用缺省包过滤，域间要配置严格的包过滤策略；若要使用缺省包过滤，需得 到客户书面授权。
首先为什么要研究安全? 什么是“计算机安全” ？广义地讲，安全是指防止其他人利用、借助你的计算机或外围设备，做你不希望他们做的任何事情。首要问题是：“我们力图保护的是些什么资源？”答案并不是明确的.通常，对这个问题的答案是采取必要的主机专用措施。图 5 描述了目前的网络现壮。 图5 许多人都抱怨Windows 漏洞太多，有的人甚至为这一个又一个的漏洞烦恼。为此，本文简要的向您介绍怎样才能架起网络安全防线。 禁用没用的服务 Windows 提供了许许多多的服务，其实有许多我们是根本也用不上的。或许你还不知道，有些服务正为居心叵测的人开启后门。 Win dows还有许多服务，在此不做过多地介绍。大家可以根据自己实际情况禁止某些服务。禁用不必要的服务，除了可以减少安全隐患，还可以增加Windows运行速度，何乐而不为呢？ 打补丁 Microsoft 公司时不时就会在网上免费提供一些补丁，有时间可以去打打补丁。除了可以增强兼容性外，更重要的是堵上已发现的安全漏洞。建议有能力的朋友可以根据自己的实际情况根据情况打适合自己补丁。 防火墙选择一款彻底隔离病毒的办法, 物理隔离Fortigate 能够预防十多种黑客攻击， 分布式服务拒绝攻击DDOS( Distributed Denial-Of-Service attacks ) 探SYN Attack ※ ICMP Flood ※ UDP Flood IP 碎片攻击( IP Fragmentation attacks ) ※ Ping of Death attack ※ Tear Drop attack ※ Land attack 端口扫描攻击( Port Scan Attacks )
网络安全是一个系统的概念，有效的安全策略或方案的制定，是网络信息安全的首要目标。网络安全技术主要有，认证授权、数据加密、访问控制、安全审计等。而提供安全网关服务的类型有：地址转换、包过滤、应用代理、访问控制和D oS防御。本文主要介绍地址转换和访问控制两种安全网关服务，利用cisco路由器对ISDN拨号上网做安全规则设置。试验环境是一台有fir ewall版本IOS的cisco2621路由器、一台交换机组成的局域网利用ISDN拨号上网。 一、地址转换 我们知道，Internet 技术是基于IP 协议的技术，所有的信息通信都是通过IP包来实现的，每一个设备需要进行通信都必须有一个唯一的IP 地址。因此，当一个网络需要接入Inte rnet的时候，需要在Internet 上进行通信的设备就必须有一个在全球Internet网络上唯一的地址。当一个网络需要接入Internet上使用时，网络中的每一台设备都有一个I nternet地址，这在实行各种Internet应用上当然是最理想不过的。但是，这样也导致每一个设备都暴露在网络上，任何人都可以对这些设备攻击，同时由于I nternet目前采用的IPV4协议在网络发展到现在，所剩下的可用的IP地址已经不多了，网络中的每一台设备都需要一个IP 地址，这几乎是不可能的事情。 采用端口地址转换，管理员只需要设定一个可以用作端口地址转换的公有Internet 地址，用户的访问将会映射到IP池中IP的一个端口上去，这使每个合法Internet IP可以映射六万多台内部网主机。从而隐藏内部网路地址信息，使外界无法直接访问内部网络设备。
Cisco路由器提供了几种NAT转换的功能： 1、内部地址与出口地址的一一对应 缺点：在出口地址资源稀少的情况下只能使较少主机连到internet 。 2、内部地址分享出口地址 路由器利用出口地址和端口号以及外部主机地址和端口号作为接口。其中内部地址的端口号为随机产生的大于1024的号码，而外部主机端口号为公认的标准端口号。这样可以用同一个出口地址来分配不同的端口号连接任意数量的内部主机到外网。 具体配置：由于实验用的是ISDN拨号上网，在internet上只能随机获得出口地址，所以NAT转换的地址池设置为BRI口上拨号所获得的地址。 interface FastEthernet0/0 ip address 172.16.18.200 255.255.255.0 ip nat inside the interface connected to inside world ! interface BRI0/0 ip address negotiated ip nat outside the interface connected to outside network encapsulation ppp no ip split-horizon
石河子大学信息科学与技术学院 网络工程实验报告 课题名称：配置实现访问控制列表ACL 学生姓名： 学号： 学院：信息科学与技术学院专业年级： 指导教师： 完成日期：2014年4月25日
一、实验目的 1、熟练掌握2种访问控制列表的配置实现技术，特别掌握扩展ACL的配置方法。 2、掌握使用show access-list，show access-lists和show ip interface [接口名]等命令对路由器ACL列表是否创建及其内容的各种查看和跟踪方法。 3、能按要求利用Cisco Packet Tracer V5.00 模拟配置工具绘制出本实验的 网络拓扑图，并能实现拓扑的物理连接 4、熟悉2种ACL的配置方法及基本操作步骤，掌握在存根网络中利用ACL将路由器配置为包过滤防火墙的方法 二、实验环境 PC机一台，并安装PACKET TRACER 5.0或以上版本 三、实验步骤 1、本实验的拓扑,如图所示：
2，PC0~PC2,server0,server1的IP配置： Step2:配置PC0的IP、子网掩码、默认网关、DNS 4项基本参数；(PC0: 1.1.1.100 255.255.255.0 GW: 1.1.1.3 DNS: 2.2.2.200) Step3:配置PC1的IP、子网掩码、默认网关、DNS 4项基本参数；(PC1: 1.1.1.200 255.255.255.0 GW: 1.1.1.3 DNS: 2.2.2.200) Step4:配置PC2的IP、子网掩码、默认网关、DNS 4项基本参数；(PC2: 2.2.2.100 255.255.255.0 GW: 2.2.2.1 DNS: 2.2.2.200) Step5:配置Server-PT Server0的IP、子网掩码、默认网关3项基本参数；(Server0: 2.2.2.200 255.255.255.0 GW: 2.2.2.1) Step6:配置Server-PT Server1的IP、子网掩码、默认网关3项基本参数；(Server0: 4.4.4.100 255.255.255.0 GW: 4.4.4.1)
信息安全技术试题答案C 1、通常为保证信息处理对象的认证性采用的手段是___C_______ A、信息加密和解密 B、信息隐匿 C、数字签名和身份认证技术 D、数字水印 2、关于Diffie-Hellman算法描述正确的是____B______ A、它是一个安全的接入控制协议 B、它是一个安全的密钥分配协议 C、中间人看不到任何交换的信息 D、它是由第三方来保证安全的 3、以下哪一项不在证书数据的组成中? _____D_____ A、版本信息 B、有效使用期限 C、签名算法 D、版权信息 4、关于双联签名描述正确的是____D______ A、一个用户对同一消息做两次签名 B、两个用户分别对同一消息签名 C、对两个有联系的消息分别签名 D、对两个有联系的消息同时签名 5、Kerberos中最重要的问题是它严重依赖于____C______ A、服务器 B、口令 C、时钟 D、密钥 6、网络安全的最后一道防线是____A______ A、数据加密 B、访问控制
C、接入控制 D、身份识别 7、关于加密桥技术实现的描述正确的是____A______ A、与密码设备无关，与密码算法无关 B、与密码设备有关，与密码算法无关 C、与密码设备无关，与密码算法有关 D、与密码设备有关，与密码算法有关 8、身份认证中的证书由____A______ A、政府机构发行 B、银行发行 C、企业团体或行业协会发行 D、认证授权机构发行 9、称为访问控制保护级别的是____C______ A、C1 B、B1 C、C2 D、B2 10、DES的解密和加密使用相同的算法，只是将什么的使用次序反过来? ____C______ A、密码 B、密文 C、子密钥 D、密钥 11、PKI的性能中，信息通信安全通信的关键是_____C_____ A、透明性 B、易用性 C、互操作性 D、跨平台性
网络与信息安全技术A卷 一、单项选择题（每小题2分，共20分） 1．信息安全的基本属性是＿＿＿。 A. 保密性 B.完整性 C. 可用性、可控性、可靠性 D. A，B，C都是 2．假设使用一种加密算法，它的加密方法很简单：将每一个字母加5，即a加密成f。这种算法的密钥就是5，那么它属于＿＿＿。 A. 对称加密技术 B. 分组密码技术 C. 公钥加密技术 D. 单向函数密码技术 3．密码学的目的是＿＿＿。 A. 研究数据加密 B. 研究数据解密 C. 研究数据保密 D. 研究信息安全 4．A方有一对密钥（K A公开，K A秘密），B方有一对密钥（K B公开，K B秘密），A方向B方发送数字签名M，对信息M加密为：M’= K B公开（K A秘密（M））。B 方收到密文的解密方案是＿＿＿。 A. K B公开（K A秘密（M’）） B. K A公开（K A公开（M’）） C. K A公开（K B秘密（M’）） D. K B秘密（K A秘密（M’））5．数字签名要预先使用单向Hash函数进行处理的原因是＿＿＿。 A. 多一道加密工序使密文更难破译 B. 提高密文的计算速度 C. 缩小签名密文的长度，加快数字签名和验证签名的运算速度 D. 保证密文能正确还原成明文 6．身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是＿＿。 A. 身份鉴别是授权控制的基础 B. 身份鉴别一般不用提供双向的认证 C. 目前一般采用基于对称密钥加密或公开密钥加密的方法 D. 数字签名机制是实现身份鉴别的重要机制 7．防火墙用于将Internet和内部网络隔离＿＿＿。 A. 是防止Internet火灾的硬件设施 B. 是网络安全和信息安全的软件和硬件设施 C. 是保护线路不受破坏的软件和硬件设施 D. 是起抗电磁干扰作用的硬件设施