下载文档原格式
第一章1、信息安全的特征：1)保密性：信息和资源的隐秘程度；要求在敏感的领域比如商业、军事等领域使用时使信息保密。
2)完整性：涉及到数据或资源的确定性；防止对数据进行不合理和无权限的修改；包括：数据完整性(信息的内容)、完整性起源(数据的来源，经常叫做验证)。
3)可用性：可用性就是使用信息和得到资源的能力；可用性是可靠性的一个重要方面。
4)不可否认性5)可控性2、信息安全的基本原则：1)最小特权原则最小特权原则是指一个对象(或实体)应该只拥有为执行其分配的任务所必要的最小特权，并绝对不超越此限。
最小特权原则是最基本的网络信息安全原则。
网络管理员在为用户分配初始权限时，通常只赋予其相应服务的最小权限—“只读”，然后再根据实际需求以及对用户的了解程度提升其权限。
因为对于大多数用户来讲，不可能需要获得系统中的所有服务，也没有必要去修改系统中的文件。
实际上，安全是靠对信息系统中主体和客体的限制来实现的，限制越严格，安全越容易保证。
然而，单纯通过限制来确保安全是没有任何意义的，在工作中不能因为最小特权原则而影响正常的网络服务。
2)纵深防御原则纵深防御是另一个重要的原则，是指不能只依靠单一的安全机制，而应该通过多种机制互相支撑以实现安全的目的。
如果系统中只存在惟一的安全机制，该机制一旦失败，系统的安全就无从谈起，也可能连“亡羊补牢”的机会也会失去。
防火墙是一种好的安全机制，可以保护内部网络免受外部的侵袭。
但是防火墙只是安全策略的一部分，不能把所有的安全仅寄托在一个防火墙身上。
因为防火墙无法防止绕过防火墙的攻击，也不能防范冒充和欺骗等攻击，更不能防范来自内部的攻击。
相反，如果除了防火墙以外还存在备份、代理、认证、入侵检测技术等多层防御措施，那么安全风险就会大大降低。
3)阻塞点原则所谓阻塞点就是设置一个窄道，目的是强迫攻击者使用这个窄道，以对其进行监视和控制。
我们所熟悉的防火墙就是阻塞点原则的典型代表。
防火墙的位置处于内部网和外部网的边界处，它监视和控制着进出网络信息系统的惟一通道，任何不良的信息都将被它过滤掉。
信息安全等级测评师考试题1、问答题AES算法采用什么结构？与DES算法结构有何区别？正确答案：AES算法采用SP网络结构，轮变换是由三个不同的可逆一致变换组成，称之为层。
不同层的选择建立在（江南博哥）宽轨迹策略的应用基础上每层都有它自己的函数。
这三层分别是线性混合层，非线性层和密钥加层。
而DES 采用的是Feistel网络结构，中间状态的部分比特不加改变简单转臵到下一轮的其他位臵。
2、问答题对分组密码的常见攻击有哪些？正确答案：唯密文攻击，已知明文攻击，选择明文攻击，选择密文攻击。
3、填空题定级指南》从（）、（）等方面提出了确定信息系统安全保护等级的要素和方法。
正确答案：业务信息安全；系统服务安全4、单选信息系统建设完成后，（）的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格方可投入使用。
A.二级以上B.三级以上C.四级以上D.五级以上正确答案：A5、多选主机安全是指对信息系统涉及到的哪方面进行主机系统安全保护。
（）A、服务器B、入侵检测C、工作站D、准入控制正确答案：A, C6、单选数字签名是指（）。
A、用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据B、用户用公钥对原始数据的哈希摘要进行加密所得的数据C、用户用自己的私钥对已加密信息进行再加密所得的数据D、用户用公钥对已加密信息进行再加密所得的数据正确答案：A7、判断题在信息安全等级保护中，第三级信息系统和第四级信息系统都具有强制性。
正确答案：对8、单选基本要求》中技术要求分为物理安全、网络安全、主机安全、应用安全、数据安全及其（）五个方面。
A、数据恢复B、系统恢复C、信息恢复D、备份恢复正确答案：D9、多选三级信息系统的测试验收包括如下（）内容。
A、应委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试报告；B、在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；C、应指定或授权专门的部门负责系统测试验收的管理，并按照管理规定的要求完成系统测试验收工作；D、应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。
信息安全等级测评师（初级）培训考试内容重点1、三级基本要求里每个大项包含2、信息安全等级保护基础部分考的概率高尤其是那几个几号令（填空题），如147号令具体内容3、P1 整体性针对性时效性统一规范科学管理4、P3 基本原则5、P2信息安全等级保护基本含义6、P5工作责任（各部门的职责）7、P6建设整改测评备案监督检查自主定级自主保护8、P7 三级以上系统需要提交哪些材料9、P8 等级测评基本概念 3级至少每年测评一次四级每半年测评一次…………10、P10 原则：全面性，系统性先进性适用性11、17859 22239 22240 的全称12、3级基本要求要求能背下来然后对比2级13、P21 身份认证的三类14、P22口令复杂度概念15、P25 访问控制策略的划分16、P28 典型产品17、P31 包过防火墙和状态检测防火墙的区别18、P32 VPN 选择题大题对称非对称隧道技术19、审计概念P3920、P51数据备份的三种方式21、IDS IPS22、P52不同级别的备份，、二、三、四级要做到什么样的备份23、P55 WEB攻击（怎样防止SQL注入，防止XSS）24、哪些路由协议是支持加密的25、内部路由协议外部路由协议的有哪些26、P70 边界完整性检查（从管理和技术角度来分析）27、入侵防范28、P87 了解各个服务29、P74 访问控制列表的基本命令30、P76 ARP 地址欺骗31、P76 show crypto isakmp policy 的意思31、P83问答题：终端登陆的命令检测方法描述32、P80 IOS的基本命令 enable secret 与enable password AAA认证33、私有地址范围掩码计算（必考）34、P82 service password encryption 的意义35、P81 简答 vty 0 436、P80 用户认证登陆失败鉴别 IP地址范围ACL37、P89 VPN的基本配置38、P90 拨号的访问数量39、P91 show logging logging XXXXXX 表示有日志服务器40、P94 双因子认证41、P96 备份和恢复42、Ipx 防火墙命令自己要去看看43、防火墙设备要检查哪些内容44、主机系统部分没有侧重点都要看考试内容很细45、P164 密码复杂性要求哪种操作系统的支持加密 P16546、P173 审核策略中成功失败的钩叉要重点记忆47、P175 本地半年异地一年48、P176 剩余信息保护49、P177 最小安装原则哪些服务不需要安装的50、P180 备份恢复(必考)51、P182 命令必考52、P184 deny =3 是什么意思53、P186 1 2 4 必需要会算权限54、P190 查看服务进程的命令 ROOT身份登陆的命令55、在等级保护中telnet 是不能开启的可以使用SSH 加密方式。
1、CC如何描述安全功能和安全保障？答：这一部分为用户和开发者提供了一系列安全功能组件，作为表述评估对象功能要求的标准方法，在保护轮廓和安全目标中使用功能组件进行描述。
安全保障这一部分为开发者提供了一系列的安全保证组件，作为表述描述对象保证要求的标准方法，同时还提出了七个评估保证级别。
2、访问控制表和访问能力表有何区别？答：访问控制表是基于访问控制矩阵中列的自主访问控制，它在一个客体上附加一个主体明晰表，来表示各个主体对这个客体的访问权限。
而访问控制表是基于行的自主访问控制。
访问能力表不能实现完备的自主访问控制，而访问控制表是可以实现的。
3、PGP的密钥如何管理？答：1）私有密钥的保存（1）用户选择一个口令短语用于加密私钥。
（2）当系统用RSA生成一个新的公钥/私钥对时，要求用户输入口令，使用SHA-1对该口令生成一个160位的散列码，然后销毁口令。
（3）系统用散列码中，128位作为密码用CAST-128加密私钥，然后销毁这个散列码，并将加密后的私钥存储到私钥环中。
（4）当用户要访问私钥环中的私钥时，必须提供口令。
PGP将取出加密后的私钥，生成散列码，解密私钥。
2）公钥密钥管理（1）直接获取公钥，如通过软盘拷贝。
（2）通过电话验证公钥的合法性。
（3）从双方都信任的第三方获取公钥。
（4）从一个信任的CA中心得到公钥。
5、简述什么是数字签名。
答：数字签名就是通过一个单向函数对要传送的报文进行处理得到的用以认证报文来源并核实报文是否发生变化的一个字母数字串，该字母数字串被成为该消息的消息鉴别码或消息摘要，这就是通过单向哈希函数实现的数字签名；在公钥体制签名的时候用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据，然后信息接收者使用信息发送者的公钥对附在原始信息后的数字签名进行解密后获得哈希摘要，并通过与用自己收到的原始数据产生的哈希摘要对照，便可确信原始信息是否被篡改，这样就保证了数据传输的不可否认性。
一．信息安全测评服务介绍1.中国信息安全测评中心：1）履行国家信息安全漏洞分析和风险评估职能2）对信息产品、系统和工程进行评估3）对信息安全服务，人员的资质进行审核2.CISP以信息安全保障（IA）作为主线二．信息安全测评认证体系介绍1．由信息安全问题所引起的国家面临的主要威胁：1）信息霸权的威胁2）经济安全3）舆论安全4）社会稳定2．我国测评认证中心的建设过程：1）1998.10 国家质量技术监督局成立“中国国家信息安全测评认证中心”，1999.2 该中心挂牌运行2）2001.5 中编办“中国信息安全产品测评认证中心”（中编办【2001】51号）CNITSEC 3）2007 改名“中国信息安全测评中心”3．认证要点（1）一个目标：TOE评估的正确性和一致性（2）两种方法：“质量过程核查”，“评估活动评价”（3）三个阶段：准备，评估，认证（4）四类活动4．行业许可证制度1）信息安全产品：公安部3所检测，公安部11局颁发2）防病毒产品：指定单位（天津市公安局）3）商用密码产品：国密办颁发5.商业性测评：制定化，控制，量化6.认证业务的范围：服务商，专业人员，产品，系统三．信息安全测评认标准1.测评标准发展1）美国TCSEC（桔皮书）：美国国防部1985年提出，军用机密性，D最小保护C1自主安全保护C2访问控制保护B1安全标签保护B2结构化保护B3安全域保护A1验证设计保护2）欧共体ITSEC：将安全性分为功能和保证；提出TOE；提出“安全目标”ST；E1-63)加拿大CTCPEC：功能性要求分为机密性，完整性，可用性，可控性4）美国联邦FC：引入了保护轮廓PP；每个轮廓包括功能，保障和评测需求5）通用评估准则CC：1996年V1.0；1998年V2.0；1999年为ISO15408（GB/T18336）；思想框架来源于FC和ITSEC；EAL1-72. CC的评估保证级EALEAL1功能测试；EAL2结构测试；EAL3系统地测试和检查；EAL4系统地设计、测试和复查；EAL5半形式化设计和测试（无隐蔽通道）；EAL6半形式化验证的设计和测试；EAL7形式化验证的设计和测试3. CC的结构：1）简介和一般介绍，以及保护轮廓规范和安全目标规范2）第二部分：安全功能需求3）第三部分：安全保障需求4. CC的范围不包括：1）行政性管理安全措施的评估准则；2）物理安全方面（诸如电磁辐射控制）的评估准则；3）密码算法固有质量评价准则包括：信息系统产品和技术5. 保护轮廓PP（甲方）没有详细的设计方案，安全目标ST（乙方）方案6. APE类：保护轮廓的评估准则；ASE类：安全目标的评估准则7. CC的结构：类，子类，组件8. 其他重要标准1）ITIL：IT服务框架2）Gobit：ISACA协会IT内控审计、IT治理框架四．我国标准1. 我国：国家GB/T; 行业：GA,GJB; 地方：DB/T; 企业：Q2. 标准化：最佳秩序，对实际的或潜在的问题制定共同的和重复使用的规则的活动。
网络信息安全等级测评师考试一、判断题（10×1=10分）1、动态路由是网络管理员手工配置的路由信息，也可由路器自动地建立并且能够根据实际情况的变化适时地进行调整。
（×）2、星型网络拓扑结构中，对中心设备的性能要求比较高。
（√）3、访问控制就是防止未授权用户访问系统资源。
（√）4、考虑到经济成本，在机房安装过录像监控之后，可不再布置报警系统。
（×）5、审计日志的主要功能是可以对安全事件进行追踪和发现入侵行为降低安全事件的发生。
（√）6、在三级信息系统中，每个系统默认账户和口令原则上都是要进行修改的（√）7、剩余信息保护是三级系统比二级系统新增内容。
（√）8、权限如果分配不合理，有可能会造成安全事件无从查找。
（√）9、三级信息系统中，为了数据的完整性，我们可以采用CRC的校验码措施（×）10、在进行信息安全测试中，我们一般不需要自己动手进行测试。
（√）二、单项选择题（15×2.5=30分）1、测评单位开展工作的政策依据是（ C ）A.公通字[2004] 66号B.公信安[2008] 736C.公信安[2010] 303号 D发改高技[2008]20712、当信息系统受到，破坏后我们首先要确定是否侵害客体。
( B )A.公民、法人其他组织的合法权益B.国家安全C.社会秩序、公共利益3、cisco的配置通过什么协议备份( A )A.ftpB.tftpC.telnetD.ssh4、哪项不是开展主机工具测试所必须了解的信息( D )A.操作系统B.应用C.ipD.物理位置5、三级系统主机安全的访问控制有（ B ）个检查项。
A、6B、7C、8D、96、某公司现有260台计算机，把子网掩码设计成多少最合适（ A ）A.255.255.254.0B.255.255.168.0C. 255.255.0.0D.255.255.255.07、数据传输过程中不被篡改和修改的特性，是属性。
等保测评考试题库及答案一、单选题（每题2分，共10题）1. 等保测评中，对于信息系统的保护级别，以下哪个选项是正确的？A. 一级保护B. 二级保护C. 三级保护D. 四级保护答案：C2. 信息系统安全保护等级分为几个级别？A. 二个B. 三个C. 四个D. 五个答案：D3. 以下哪项不是等保测评的内容？A. 物理安全B. 网络安全C. 信息安全D. 个人隐私答案：D4. 等保测评的周期通常为多久？A. 每半年一次B. 每年一次C. 每两年一次D. 每三年一次答案：B5. 等保测评中，对于信息系统的访问控制，以下哪项是必须实施的？A. 用户身份验证B. 系统权限分配C. 访问记录审计D. 以上都是答案：D二、多选题（每题3分，共5题）1. 等保测评中，以下哪些属于物理安全的要求？A. 机房环境控制B. 电源和空调系统C. 硬件设备防盗D. 人员出入管理答案：A、B、C、D2. 网络安全测评中，以下哪些属于安全通信网络的要求？A. 网络隔离B. 网络监控C. 网络入侵防范D. 网络流量控制答案：A、B、C、D3. 信息安全测评中，以下哪些属于数据安全及备份的要求？A. 数据加密B. 数据备份C. 数据完整性校验D. 数据恢复答案：A、B、C、D4. 等保测评中，以下哪些属于安全管理制度的要求？A. 安全策略B. 安全组织C. 安全培训D. 安全审计答案：A、B、C、D5. 等保测评中，以下哪些属于安全运维的要求？A. 系统维护B. 漏洞管理C. 应急响应D. 安全事件处理答案：A、B、C、D三、判断题（每题1分，共5题）1. 等保测评只针对政府机关的信息系统。
（错误）2. 等保测评的结果可以作为信息系统安全等级的依据。
（正确）3. 等保测评不需要定期进行。
（错误）4. 等保测评只关注信息系统的技术安全，不涉及管理安全。
（错误）5. 等保测评的结果对外保密，不对外公布。
（错误）四、简答题（每题5分，共2题）1. 简述等保测评的目的是什么？答案：等保测评的目的是为了确保信息系统的安全，通过系统化的安全评估，发现并修复潜在的安全漏洞，提升信息系统的整体安全防护能力，保障信息资产的安全。
第一章网络安全测评网络全局1.1结构安全（G3）A应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；B应保证网络各个部分的带宽满足业务高峰期需要；C应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；D应绘制与当前运行情况相符的网络拓扑结构图；E应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；F应避免将重要网络部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；G应按照对业务服务的重要次序来制定带宽分配优先级别，保证在网络发生拥堵时优先保护重要主机。
1.2边界完整性检查（S3）A应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；B应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。
1.3入侵防范（G3）A应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；B当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间、在发生严重入侵事件时应提供报警。
1.4恶意代码防范（G3）A应在网络边界处对恶意代码进行检测和消除。
B应维护恶意代码库的升级和检测系统的更新。
1.5访问控制（G3）（路由器、交换机、防火墙、入侵检测/防御系统）A应在网络边界处部署访问控制设备，启用访问控制功能；B应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；C应对进出口网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；D应在会话处于非活跃一定时间或会话结束后终止网络连接；E应限制网络最大流量数及网络连接数；F重要网段应采取技术手段防止地址欺骗；G应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；H应限制具有拨号访问权限的用户数量。
信息安全等级测评师（三）1、单选根据《广东省计算机信息系统安全保护条例》，计算机信息系统的运营、使用单位接到13、公安机关要求整改的通知后拒不按要求整改的，由公安机关处以（）。
A．罚款500（江南博哥）0元B．拘留15日C．警告D．停机整顿正确答案：D2、问答题PGP的密钥如何管理？正确答案：1）私有密钥的保存（1）用户选择一个口令短语用于加密私钥。
（2）当系统用RSA生成一个新的公钥/私钥对时，要求用户输入口令，使用SHA-1对该口令生成一个160位的散列码，然后销毁口令。
（3）系统用散列码中，128位作为密码用CAST-128加密私钥，然后销毁这个散列码，并将加密后的私钥存储到私钥环中。
（4）当用户要访问私钥环中的私钥时，必须提供口令。
PGP将取出加密后的私钥，生成散列码，解密私钥。
2）公钥密钥管理（1）直接获取公钥，如通过软盘拷贝。
（2）通过电话验证公钥的合法性。
（3）从双方都信任的第三方获取公钥。
（4）从一个信任的CA中心得到公钥。
3、多选信息系统定级为三级的特点是（）。
A.对国家安全造成严重损害B.对社会秩序和公共利益造成严重损害C.对公民、法人和组织的合法权益造成特别严重损害D.基本要求中增加了异地备份正确答案：B, D4、判断题地方测评机构只能上在本地开展测评，不能够去外地测评。
正确答案：错5、多选办公网络中计算机的逻辑组织形式可以有两种，工作组和域。
下列关于工作组的叙述中正确的是（）。
A.工作组中的每台计算机都在本地存储账户B.本计算机的账户可以登录到其它计算机上C.工作组中的计算机的数量最好不要超过10台D.工作组中的操作系统必须一样正确答案：A, C6、单选下列命令中错误的是（）。
A、PASS_MAX_DAYS 30 #登录密码有效期30天B、PASS_MIN_DAYS 2 #登录密码最短修改时间2天C、FALL_DELAY 10 #登录错误时等待10分钟D、FALLLOG_ENAB YES #登录错误记录到日志正确答案：C7、多选当前我国的信息安全形势为（）。
第二部分信息安全风险评估理论与方法2.1评估策略风险评估依据：（1）政策法规《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）；《国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见》（国信办[2006]5号）。
（2）国际标准BS 7799-1《信息安全管理实施细则》；BS 7799-2《信息安全管理体系规范》；ISO/IEC TR 13335《信息技术安全管理指南》；SSE-CMM《系统安全工程能力成熟模型》。
（3）国家标准GB 17589-1999《计算机信息系统安全保护等级划分准则》；GB/T 18336：1-3：2001《信息技术性评估准则》；GB/Z《信息安全风险评估指南》（征求意见稿）；GB/Z《信息安全风险管理指南》（征求意见稿）。
（4）行业通用标准CVE公共漏洞数据库；信息安全应急响应机构公布的漏洞；国家信息安全主管部门公布的漏洞。
（5）其他风险评估原则：（1）可控性原则人员可控性——所有参与信息安全评估的人员工具可控性——所使用的风险评估工具项目过程可控性——依据项目管理方法学（2）完整性原则严格按照委托单位评估要求和指定范围进行全面评估服务（3）最小影响原则力求将评估对信息系统正常运行的影响降低到最低限度（4）保密原则与评估对象签署保密协议和非侵害性协议2.2 评估实施流程1、风险评估的准备重要性：风险评估的准备是实施风险评估的前提，其准备过程是组织进行风险评估的基础，是整个风险评估过程有效性的保证。
只有有效地进行了信息安全风险评估准备，才能更好地开展信息安全风险评估。
准备活动包括：•确定风险评估的目标；•确定风险评估的范围；•组建评估管理团队和评估实施团队；•进行系统调研；•确定评估依据和方法；•获得支持。
（1）确定风险评估的目标通过分析组织必须符合的相关法律法规、组织在业务流程中对信息安全等的机密性、可用性、完整性等方面的需求，来确定风险评估的目标。
网络安全测评网络全局1.1结构安全（G3）a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；b)应保证网络各个部分的带宽满足业务高峰期需要；c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；（静态路由，动态路由）d)应绘制与当前运行情况相符的网络拓扑结构图；e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；（VLAN划分）f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；（在网络边界处部署：防火墙、网闸、或边界网络设备配置并启用acl）g)应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。
（检查防火墙是否存在策略带宽配置）注释：1）静态路由是指由网络管理员手工配置的路由信息，当网络的拓扑结构或链路的状态发生变化时，网络管理员需要手工修改路由表中相关的静态路由信息。
2）动态路由是指路由器能够自动地建立自己的路由表，并且能够根据实际情况的变化适时的进行调整。
动态路由机制的运作依赖路由的两个基本功能：对路由表的维护和路由器之间适时的路由信息交换。
路由器之间的信息交换是基于路由协议实现的，如ospf路由协议是一种典型的链路状态路由协议，它通过路由器之间通告网络接口的状态，来建立链路状态数据库，生成最短路径树，每个ospf路由器使用这写最短路径构造路由表。
如果使用动态路由协议应配置使用路由协议认证功能，保证网络路由安全。
3）vlan是一种通过将局域网内的设备逻辑而不是物理划分成不同子网从而实现虚拟工作组的新技术。
不同vlan内的报文在传输时是相互隔离的。
如果不同vlan要进行通信，则需要通过路由器或三层交换机等三层设备实现。
思科华为4）是否存在路由协议认证：show running-config display current-configuration 查看vlan划分情况： show vlan display vlan all1.2边界完整性检查（S3）a)应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；（技术手段:网络接入控制、关闭网络未使用的端口、ip/mac地址绑定；管理措施：进入机房全程陪同、红外视频监控）b)应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。
（方法：非法外联监控功能、非法外联软件）1.3入侵防范（G3）a)应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；（入侵防范的技术：入侵检测系统IDS，包含入侵防范模块的多功能安全网关UTM）b)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。
（报警方式：短信、邮件、声光报警等）注释：1）入侵检测的分类：主动入侵检测、被动入侵检测。
主动入侵检测：在攻击的同时检测到。
它会查找已知的攻击模式或命令，并阻止这些命令的执行。
被动入侵检测：攻击之后的检测。
只有通过检查日志文件，攻击才得以根据日志信息进行复查和再现。
2）多功能安全网关的功能：防火墙、虚拟防火墙、入侵检测和防御、防病毒、防垃圾邮件、p2p流量控制、URL过滤等功能。
1.4恶意代码防范（G3）a)应在网络边界处对恶意代码进行检测和清除。
（防恶意代码产品：防病毒网关、包含防病毒模块的多功能安全网关、网络版防病毒系统等）b)应维护恶意代码库的升级和检测系统的更新。
（更新方式：自动远程更新、手动远程更新、手动本地更新等）访问控制（G3）（路由器、交换机、防火墙、入侵检测系统/防御系统）a)应在网络边界部署访问控制设备，启用访问控制功能；（访问控制设备：网闸、防火墙、路由器、三层路由交换机等）b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；（路由器通过配置合理的访问控制列表ACL）c)应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；（一般实现方式：防火墙）d)应在会话处于非活跃一定时间或会话结束后终止网络连接；（5一般在防火墙上实现）e)应限制网络最大流量数及网络连接数；（2一般在防火墙上实现）f)重要网段应采取技术手段防止地址欺骗；（3）g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；（4）h)应限制具有拨号访问权限的用户数量。
（路由或相关设备应提供限制具有拨号访问权限的用户数量的相关功能）注释：1 ) 路由器上配置合理的访问列表为数据流提供明确的允许/拒绝访问的能力，对进出网络的流量进行过滤。
流入流量过滤：用于过滤掉一些源IP不是公网IP的数据包，同时也用于限制外部对内部网络服务的访问。
流出流量过滤：用于防止由单位内部机器发出的伪造源ip的攻击数据流。
查看acl的命令：show ip access-list display acl config all2 ）限制网络的最大流量的方法：路由器、交换机可根据ip地址、端口、协议来限制应用数据流的最大流量，还可以根据ip地址来限制网络连接数，从而保证业务带宽不被占用，业务系统可以对外正常提供服务。
路由器的带宽策略一般采用分层的带宽管理机制，管理员可以通过设置细粒度的带宽策略，对数据报文做带宽限制和优先级别设定，还可以通过源地址、目的地址、用户和协议四个方面来限制带宽。
show running-config display acl config al23 ）地址欺骗可以是mac地址，也可以是ip地址。
目前发生比较多的是arp地址欺骗，arp地址欺骗是mac地址欺骗的一种。
Arp地址解析协议是一种位于TCP/IP协议栈中的低层协议，负责将某个IP地址解析成对应的MAC地址。
ARP的分类：○1截获网关数据。
它通知网络设备一系列错误的MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在网络设备中，结果网络设备的所有数据只能发给错误的MAC地址，造成正常pc无法收到信息。
○2伪造网关。
建立假网关，让被他欺骗的pc向假网关发送数据，而不是通过正常的途径上网。
一般来说，arp欺骗攻击的后果很严重，大多数情况下会造成大面积掉线。
解决方法：○1在网络设备中把所有pc的ip-mac输入一个静态表中，这叫ip-mac绑定；○2在内网所有pc上设置网管的静态arp信息，这叫pc ip-mac绑定Show ip arp display arp4）通过配置用户、用户组，并结合访问控制规则可以实现对认证成功的用户允许访问受控资源show crypto isakmp policy；show crypto ipsec transform-set；show ip access-list。
Display ipsec 5）当恶意用户进行网络攻击时，有时会发起大量会话连接，建立会话后长时间保持状态连接，从而占用大量网络资源，最终将网络资源耗尽的情况。
因此应在会话终止或长时间无响应的情况下终止网络连接，释放被占用网络资源，保证业务可以被正常访问。
一般在防火墙上实现。
安全审计（G3）（路由器、交换机、防火墙、入侵检测系统/防御系统）a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；b)审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c)应能够根据记录数据进行分析，并生成审计报表；d)应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。
注释：查看日志记录情况： show logging display current-configuration网络设备防护（G3）（路由器、交换机、防火墙、入侵检测系统/防御系统）a)应对登录网络设备的用户进行身份鉴别；（1）b)应对网络设备的管理员登录地址进行限制；（2）c)网络设备用户的标识应唯一；d)主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；（采用方法：双因子鉴别）e)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；（使用口令的组成、长度和更改周期。
对储存在配置文件中的所有口令和类似数据进行加密，可以避免通过读取配置文件而获取明文口令）f)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接（可以利用命令配置VTY的超时，避免一个空闲的任务一直占用VTY，超时自动退出等措施；从而避免恶意攻击或远端系统的意外崩溃导致的资源独占。
）g)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；（不应当使用明文传送的telnet、http服务，而应当采用ssh、https等加密协议等方式进行交互式管理）h)应实现设备特权用户的权限分离。
（应根据实际需要为用户分配完成其任务的最小权限）注释：1 ）用户登录路由器、交换机的方式：○1利用控制台端口（console）通过串口进行本地连接登录；○2利用辅助端口（AUX）通过MODEM进行远程拨号链接登录；MODEM（调制解调器）实现数字信号和模拟信号之间的转换。
○3利用虚拟终端（VTY）通过TCP/IP网络进行远程Telnet登录等。
无论那种登录方式，都需要对用户身份进行鉴别，口令是路由器用来防止非授权访问的常用手段，是路由器本身安全的一部分。
因此需要加强对路由器口令的管理，包括口令的设置、储存，最好的口令存储方法是保存在TACACS+或RADIUS认证服务器上。
管理员应当依据需要为路由器相应的端口加上身份鉴别最基本的安全控制。
路由器、交换机的口令安全包括两类：设置登录口令和设置使能口令（特权密码）。
当为特权用户设置口令时，应当使用enable secret命令，该命令用于设定具有管理员权限的口令，enable secret命令采用的是MD5算法，这种算法比enable password加密算法强，不容易被破解。
show running-config display current-configuration2 ）为了保证网络管理员对路由器安全访问的同时，避免其他人的未授权访问，最好的方法是采用带外管理，使用专用的管理终端和通讯路径，将管理数据流和其他数据流分开，能够有效地增加安全性。
利用ip access-class限制访问VTY（虚拟终端）的IP地址范围。
同时由于VTY的数目有一定的限制，当所有的vty用完，就不能再建立远程的网络连接了，通过限制登录地址，限制能够防止DOS攻击（拒绝服务攻击）。
