网络安全从其本质上来讲就是网络上的信息安全。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术与原理，都是网络安全所要研究的领域。
网络系统安全，系统信息安全，信息内容安全，信息传播安全。
网络安全是指网络系统的硬件、软件及其系统中的数据的安全，它体现在网络信息的存储、传输和使用过程中。主要内容：网络实体安全性，网络系统安全性。
(1) 保密性指信息不泄露给非授权的用户、实体或过程，或供非授权用户、实体或过程利用的特性。（2）
完整性指数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。（3）可用性指可被授权实体访问并按需求使用的特性，即当需要时应能存取所需的信息。网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击.（4）可控性指对信息的传播及内容具有控制能力，可以控制授权范围内的信息流向及行为方式。（5）不可抵赖性用户无法再时候否认曾经对信息进行的生成、签发、接受等行为。
信息存储安全和信息传输安全。.）Fabrication 伪造（（Interception）（2）截获为确保网络信息的传输安全，尤其需要防止以下问题：（1）
）重发（Repeat）（5））（3）篡改（Modification（4）中断（Interruption 网络实体威胁：自然因素，电磁泄漏，操作失误，机房的环境威胁：自然因素，技术原因，人为因素影响因素立法：公法，私法，网络利用的法律问题安全管
理：技术安全管理，行政安全管理，应急安全管理
主动被动攻击：被动攻击只观察和分析某一个协议数据单元而不干扰信息流，主动攻击中攻击者对某个连接通过的协议数据单元进行各种处理，拒绝服务，更改报文流，伪造连接初始化。
网络安全模型：1P2DR模型：Policy, Protection , Detection, Response.
P2DR模型在整体策略的控制下和指导下，在运用防护工具保证系统运行的同时，利用监测工具评估系统的安全状态，通过响应工具将系统调整到相对安全和风险最低的状态。P2DR采用被动主动防御结合的方式，存在一个明显的缺点
策略：是P2DR的核心，描述了网络安全管理过程中必须遵守的原则，所有的防护，检测，和响应都是依据安全策略进行实施的。策略一旦制定完毕，就应该成为整个网络安全行为的准则。
防护：采取一切手段保护计算机网络系统的五性，预先阻止产生攻击可以发生的条件。防护是网安的第一道防线，采用静态的技术和方法实现，入防火墙，操作系统身份认证，加密等，称为被动防御。分为系统安全防护，网络安全防护，信息安全防护。
检测：检测是第二道防线，是动态响应和加强防护的依据，通过检测工具检测和监控网络状态，发现新的威胁网络安全的异常行为，然后通过反馈并作出有效响应。检测和防护的区别是防护主要修补系统和网络缺陷，从而消除攻击和入侵的条件，检测是根据入侵事件的特征进行检测，相互之间有互补关系。
响应：响应是解决潜在安全问题的有效方法。响应就是在检测系统出现被攻击或攻击企图后，及时采取有效的措施，阻断可能的破坏，避免危害扩大。
PDRR模型PDRR 模型包括：检测、防护、响应、恢复。检测、防护、响应和P2DR模型相同。恢复就是指在系统被入侵之后，把系统恢复到原样或者比原来更安全的状态，对入侵所造成的的影响进行评估和系统重建，采取恰当的技术措施。
PDRR模型的目标是尽可能的增大保护时间，尽量减少检测时间和响应时间，减少系统暴露时间。
安全服务：鉴别服务，访问控制服务，数据保密性服务，抗抵赖服务
网络安全机制：网络安全机制包括：访问控制机制；加密机制；认证交换机制；数字签名机制；业务流分析机制；路由控制机制。安全管理：系统安全管理，安全服务管理，安全机制管理。
服务与机制的关系：安全服务是由安全机制实现的，一个安全服务可以由一个或几个安全机制来实现，一个安全服务可以由一个或几个安全机制来实现，同一个安全机制也可以用于不同的安全服务，他们并不一一对应.
安全管理：系统安全管理，安全服务管理，安全机制管理
安全系统生命周期：系统规划，系统分析，系统设计，系统实施，维护管理机房三度要求：温度湿度洁净度，电磁干扰分类：传导干扰辐射干扰，低频传导，高频辐射。
电磁干扰防护：屏蔽设备，屏蔽措施，利用噪声干扰源，进行距离防护，采用微波吸收材料。
静电防护：保证计算机设备外壳接地良好，避免使用挂毯等易产生静电的材料，家具尽可能用金属材料，维修人员应放掉静电，机房内应保持一定湿度，使用静电消除剂。
机房电源系统：电源应至少有俩路供电，应安装备用电源，关键的设备应有备用发电机组和备用电源，配备电涌保护器。数据链路层安全机制优缺点：优点无需对其如何上层进行改变就能对所有数据加密，提供链路安全。缺点只能应用在两个直接的设备上上，而数据在网上传输的重要的是端到端的安全，单独链路加密并不能保证整个路径的安全。
L2TP协议：第二层隧道协议，VPN中一种是访问集中器LAC，一种是网络服务器LNS.
L2TP特点：差错控制：UDP封装，包头进行流控制和差错检测。地址分配：基于NCP协商机制支持动态分配客户地址，可以位于企业防火墙后。身份认证：由LAC和LNS完成。安全性能：何可可以侦听兵线LAC和LNS隧道中插入伪造数据包，可用IPSec解决。
L2TP协议工作流程：隧道建立：LAC和LNS任一端发起隧道建立，包括俩轮消息交换，完成相互认证，为隧道分配隧道ID并通知对方，确定承载类型，帧封装类型，接受窗口尺寸。
回话建立：分配ID，承载类型，帧封装类型，PPP帧前转，LAC受到PPP帧，去除CRC校验字段，帧封装字段和规避字段，封装入L2TP数据。IPSec:是IETE为了在IP层提供通信安全而制定的一套协议簇，它包括安全协议部分和密钥协商部分。IPSec安全协议部分给出了封装安全载荷ESP和鉴别头AH两种通信保护机制.其中ESP为通信提供机密性和完整性保护AH机制为通信提供完整性保护，不提供数据加密服务。IPSec密钥协商部分使用IKE实现安全协议的自动安全参数协商。俩种模式传输模式，隧道模式，SA安全关联是基础，SP是结构中的重要组件，定义了….
SSL/TLS，基于TCP，处于TCP上，FTP下，是分层协议，第一层为可靠传输层协议如TCP，第二层是记录层协议，第三层是应用数据协议，警示协议，密码规范变更协议，握手协议，记录协议负责数据传输，记录头和数据构成SSL记录。握手协议负责在建立安全连接之前在SSL/TLS客户代理和服务器之间鉴别双方身份，协商加密算法和密钥参数，流程为建立安全能力，服务器鉴别和密钥交换，客户端鉴别和密钥交换，完成握手协议。
电子邮件安全协议：PGP，端到端安全邮件标准，包含4个密码单元：对称加密算法，非对称加密算法，单向散列算法，随机数产生器。SET协议，不是支付系统，而是一个安全协议和格式规范的集合，SET主要特征：信息机密性，数据完整性，不可抵赖性。流程：客户商家银行注册申请证书，客商银身份认证，交易请求，交易认证，支付发货.
对物理媒介传输的每一个直接进行加密，解密在收到是处理优点无PPP,PPTP,L2TP数据链路层安全协议：
需对上层进行改变就能对所有数据加密，提供链路安全，缺点只能应用在两个直连设备上，不能保证整个路径安全。
网络层安全协议：IPSec，为主机和主机间的数据通信增加安全性，优点在网络层提供安全服务具有透明性，密钥协商开销小，能无缝的对传输层协议提供安全保障，缺点很难解决数据的不可抵赖之类的问题。
传输层安全协议：SSL/TLS,为进程之间的数据通信增加安全属性，优点不需要强制为每个应用做安全方面的改进，能为不同的通信应用配置配置不同的安全策略和密钥
应用层安全协议：S/MIME,PGP,PEM,SET,Kerb,SHTTP,SSH 根据某个具体的应用程序的要求，进行安全加密，优点，以用户为背景，更容易访问用户凭据，对对用户数据有完整访问权，简化了某些特殊服务的工作，缺点在于，针对每个应用需要单独设计安全机制.
对称非对称密码体制：密码体制分为对称密码体制和非对称密码体制。对称密码体制要求加解密双方拥有相同的密钥；而非对称密码体制是加密解密双方拥有不同的密钥。对称密码体制基于共享秘密；非对称密码体制基于个人秘密。在对称密码体制中，符号被重新排序或替换；在非对称密码体制中处理的对象是数字，即加解密过程就是把数学函数应用于数字以创建另外一些数字的过程。在现实应用中，往往采用混合密码系统。混合密码体系既解决了对称密码中需要安全分发通信密钥的问题，也解决了非对称密码中运算速度慢的问题。
10DES 的加密过程：对称算法，分组加密：分组密码对n比特的明文分组进行操作，产生一个n比特的密文分组。分组加密器本质上就是一个巨大的替换器。64位明文变换到64位密文，密钥64位，实际可用密钥长度为56位(附加8 位奇偶校验位)。工作原理：使用Feistel 密码结构，交替使用替代和置换进行加密。
DES的两个主要弱点：<1>密钥容量：56位不太可能提供足够的安全性
替代函数(也称S盒)：可能隐含有陷井（Hidden trapdoors）<2>DES的半公开性：S盒的设计原理至今未公布
11 RSA算法：RSA的安全性基于大整数的因数分解的困难性;
首先随机选择两个大素数p和q，计算n = pq;
然后随机选择加密密钥e，满足e与(p-1)(q-1)互素。用扩展的Euclid算法计算解密密钥d，使得ed ? 1 mod
(p-1)(q-1)
公开密钥：e和n;秘密密钥：d和n;RSA算法用于数据加密：加密：C = M e mod n解密：M = C d mod n
RSA算法用于数字签名：签名：S = M d mod n验证签名：M = S e mod n答：在RSA中，加密过程为：密文C=m exp （e）mod n，其中n是公开的。
当用户选择1作为公钥e时，密文C=m mod n，攻击者会很容易算出明文m。
当用户选择2作为公钥e时，无法满足gcd(e，φ（n）)=1，所以不满足作为公钥的要求
数字签名：数字签名(Digital Signature)：指发送者产生别人无法伪造的数字串，证明其信息真实性，数字签名技术是实现电子交易安全的核心技术之一。数字签名能够实现电子文档的辨认和验证。
数字签名是传统文件手写签名的模拟，能够实现用户对电子形式存放消息的认证。
数字签名解决的问题：防抵赖：发送者事后不承认发送报文并签名；防假冒：攻击者冒充发送者向收方发送文件；防篡改：收方对收到的文件进行篡改；防伪造：收方伪造对报文的签名。数字签名对安全、防伪的要求比加密更高。
消息认证：对消息或相关信息进行加密，或签名变换进行的认证，防止信息被篡改。
：消息认证不要求第三方验证由制定用户生成的认证标签的有效性，而数字签名数字签名和消息认证不同系统要求第三方可以校验其他用户生成签名的有效性，因此数字签名为消息认证提供了一种解决方案，而消息认证不一定构成数字签名机制。SQL注入：相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。
根据相关技术原理，SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致；后者主要是由于程序员对输入未进行细致地过滤，从而执行了非法的数据查询。基于此，SQL注入的产生原因通常表现在以下几方面：①不当的类型处理；②不安全的数据库配置；③不合理的查询集处理；④不当的错误处理；⑤转义字符处理不合适；⑥多个提交处理不当。
Rootkit是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，
比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。Rootkit通过加载特殊的驱动，修改系统内核，进而达到隐藏信息的目的。功能：隐藏文件隐藏进程隐藏连接隐藏模块嗅探工具密码记录日志擦除内核后门
安全级：访问控制，审计记录，操作的可靠性，个人身份标示与认证。C2UNIX/Linux 系统安全技术：
UNIX安全体系结构：（1）策略层，（2）用户层，（3）局域网层，（4）内部区分层，（5）嵌入的UNIX网管层，（6）包过滤层，（7）外部连接层。
UNIX安全机制：1标识：各种管理功能被现在在一个超级用户中，用户登录到系统中时，需输入用户名标识起身份，每个用户有自己唯一的标识号UID。2鉴别：用DES算法对登录口令进行加密，只有每次登录口令与数据库中的加密口令匹配才能合法登录。3存取控制：通过文件系统实现，通过一组存取控制规则来确定一个主体是否可以存取4审计监控系统中发生的事件，以保证安全机制正确工作并及时对系统异常报警提示。5,密码不知道密钥的用户无法解密文件6网络安全性，通过防止本机或本网被非法入侵，访问。7网络监控与入侵检测利用配备的工具和因特网下载的工具使系统具备较强的入侵检测能力。8备份/恢复
使系统在灾难发生后恢复到一个稳定状态
ARP欺骗及防范1.ARP的作用：ARP协议是一种将IP地址转换成MAC地址的协议，它靠维护保存在内存中的一张表使IP地址得以在网络上被目标机器应答
2.ARP欺骗：ARP欺骗是一种更改ARP cache的技术。利用ARP欺骗，入侵者可以达到以下目的：利用基于IP的安全性不足，冒充一个合法的IP地址来进入主机；躲过基于IP的许多程序的安全检查，如NSF、r系列命令等。
3.ARP欺骗的防范：不要把网络的安全信任关系建立在IP基础上；设置静态的MAC地址到IP地址的对应表，不要让主机刷新设定好的转换表；除非很有必要，否则停止使用ARP，将ARP作为永久条目保存在对应表中；使用ARP服务器，通过服务器查找自己的ARP转换表来响应其它机器的ARP广播，确保这台ARP服务器不被攻击；使用proxy代理IP的传输；使用硬件屏蔽主机，设置好路由；管理员定期从响应的IP包中获得一个rarp请求，检查arp响应的真实性；管理员顶起轮询，检查主机上的ARP缓存；使用防火墙连续监控网络。
IP欺骗及防范IP欺骗攻击是指利用TCP/IP本身的缺陷进行入侵，即用一个主机设备冒充另外一台主机的IP地址，与其他设备通信，从而打到某种目的的过程。防范：抛弃基于IP地址的信任策略；进行包过滤；使用加密方法；使用随即的初始序列号。
是用来决定一个用户是否有权访问一些特定客体的是最常用的一类访问控制机制，：）DAC（自主访问控制．
一种访问的约束机制。
强制访问控制（MAC）：是一种不允许主题干涉的访问控制类型。一般强制访问控制采用以下方法：过程控制；限制访问控制；系统限制。强制访问的模型：Bell-LaPadula模型；Biba模型；Lattice模型
防火墙是一种访问控制技术，在某个机构的安全网络和不安全网络之间设置障碍，阻止对信息资源的非法访问，也可以使用防火墙阻止保密信息从受保护网上被非法输出。理论上，防火墙由软件和硬件两部分组成，用来阻止所有的网络间不受欢迎的信息交换，而允许那些可接受的通信。
防火墙的特性：①内部网络和外部网络之间所有的网络数据流都必须经过防火墙②只有符合安全策略的数据流才能通过防火墙③防火墙自身应具有非常强的抗攻击免疫力防火墙的功能：①允许网络管理员定义一个中心点来防止非法用户进入内部网络②可以很方便监视网络的安全性，并报警③可以作为部署网的地址变换的地点④审计和记录Internet使用费用⑤可以连接到一个单独的网段上，从物理上和内部网段隔离，并在此部署WWW服务器和FTP服务器等，将其作为向外部发内部信息的地点。
防火墙体系结构：堡垒主机在防火墙的体系结构中起着至关重要的作用，它专门用来击退攻击行为。网络防御的第一部是寻找堡垒主机的最佳位置，堡垒主机为内网和外网的所有通信提供一个阻塞点。①双重宿主主机体系结构：它有两个网卡，并禁止路由功能，网络之间通信的唯一路径是通过应用层的代理软件。②屏蔽主机体系结构：主机屏蔽防火墙比双宿主机防火墙更安全。主机屏蔽防火墙体系结构是在防火墙的前面增加了屏蔽路由器，也就是防火墙不直接连接外网，把屏蔽路由作为保护网络的第一道防线。③屏蔽子网体系结构：屏蔽子网体系结构的最简单形式为使用两个屏蔽路由器，位于堡垒主机的两端，一端连接内网一端连接外网。④防火墙体系结构的组合形式：在构造防火墙体系时，一般很少使用单一的技术，通常是通过多种解决方案的组合。使用多个堡垒主机；合并内部路由器和外部路由器；合并堡垒主机和外部路由器；合并堡垒主机合和内部路由器；使用多个内部路由器；使用多个外部路由器；使用多个周边网络；使用双宿主主机与屏蔽子网。
防火墙技术：数据包过滤；应用网关和代理服务等。包过滤技术：是在网络层中对数据包实施有选择的通过。包过滤作为防火墙的应用有三类：一是路由设备在完成路由选择和数据转发之外，同时进行包过滤，目前最常用的方式；二是在工作站上使用软件进行包过滤，这种方式价格较贵；三是在一种屏蔽路由器的设备上启动包过滤功能。
应用网关技术：是建立在网络应用层上的协议过滤。代理服务技术：代理服务器作用在应用层，它用来提供应用层服务的控制，起到内部网络向外部网络申请服务时中间转接作用。防火墙的分类从防火墙的软硬形式分类：软件防火墙，硬件防火墙，芯片级防火墙；技术实现分类：包过滤型防火墙，启用代理型防火墙，入侵状态监测防火墙；从结构上分类：单一主机防火墙，分布式防火墙；从防火墙的应用部署分类：边界防火墙，个人防火墙，混合式防火墙。
防火墙的缺点：不能防范恶意知情者；不能防范不通过它的连接；不能防范全部威胁
物理隔离网闸:物理隔离网闸是使用带有多种控制功能的固态开关读写介质，连接两个独立主机系统的信息安全设备。由于物理隔离网闸所连接的两个独立的系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”且对固态存储介质只有读和写两个命令。
入侵行为分为外部渗透、内部渗透和不法行为三钟。
入侵检测系统执行的主要任务包括：监视、分析用户及系统活动；审计系统构造和弱点；识别、反应已知进攻的活动模式，向相关人士报警；统计分析异常行为模式；评估重要系统和数据文件的完整性；审计、跟踪管理操作系统，识别用户违法安全策略的行为。
入侵检测一般分为三个步骤：信息收集；数据分析；响应；入侵检测的目的：识别入侵者；识别入侵行为；检测和监视已实施的入侵行为；为对抗入侵提供信息。
入侵检测系统：一般由事件发生器，事件分析器，响应单元和事件数据库四个部分组成。
入侵检测系统的需求特性：实时性要求；可扩展性要求；适应性要求；安全性与可用性要求；有效性要求
入侵检测系统的分类：基于主机的入侵检测；基于网络的入侵检测（攻击辨识模式：模式、表达式或字节匹配；频率或穿越阀值；低级事件的相关性；统计学意义上的非常规现象检测）
入侵检测从策略（技术）上讲主要分为异常检测和误用检测。入侵检测模型划分主要有三种：通用模型、层次化模型和智能化模型。层次化模型比通用模型的优点：从数据源角度来讲，层次化模型针对不同数据源，采用不同的特征提取方法；用攻击特征库和安全策略库代替了活动记录；以分布式取代了单一的结构。
异常检测：也称为基于行为的检测技术，是根据用户的行为和系统资源的使用状况判断是否存在网络入侵。优点在于：检测完整性高，能发现企图发掘和试探统计未知漏洞的行为，但误警率高。
误用检测：当入侵者入侵时，即通过它的某些行为过程建立一种入侵模型，如果该行为与入侵方案的行为一致，即判定为入侵行为。优点：检测准确性高，误警率低。缺点：检测的完整性要取决于数据库的即使更新程度。．