信息安全技术VPN技术综合学习的复习模板计划练习题与标准答案doc.docx

信息安全技术VPN技术综合学习的复习模板计划练习题与标准答案doc.docx

《信息安全技术VPN技术综合学习的复习模板计划练习题与标准答案doc.docx》由会员分享，可在线阅读，更多相关《信息安全技术VPN技术综合学习的复习模板计划练习题与标准答案doc.docx（19页珍藏版）》请在冰豆网上搜索。

信息安全技术VPN技术综合学习的复习模板计划练习题与标准答案doc

VPN技术

一、选择题

1.通常所说的移动VPN是指（A）。

A.AccessVPN

B.IntranetVPN

C.ExtranetVPN

D.以上皆不是

2.属于第二层的VPN隧道协议有（B）。

A.IPSecB.PPTPC.GRED.以上皆不是

3.GRE协议的乘客协议是（D）。

4.VPN的加密手段为（C）。

A.具有加密功能的防火墙

B.具有加密功能的路由器

C.VPN内的各台主机对各自的信息进行相应的加密

D.单独的加密设备

6.将公司与外部供应商、客户及其他利益相关群体相连接的是（

B）。

A.内联网VPN

7.PPTP、L2TP和

A.第一层隧道

L2F

B.外联网VPN

隧道协议属于（

B.第二层隧道

C.远程接入

B）协议。

C.第三层隧道

VPN

D.无线VPN

D.第四层隧道

8．不属于隧道协议的是（C）。

A.PPTP

B.L2TP

C.TCP/IP

D.IPSec

不属于

VPN

的核心技术是（

C）。

A.隧道技术

B.身份认证

C.日志记录

D.访问控制

10．目前，VPN使用了（A）技术保证了通信的安全性。

隧道协议、身份认证和数据加密

身份认证、数据加密

隧道协议、身份认证

隧道协议、数据加密

（A）通过一个拥有与专用网络相同策略的共享基础设施，提供对企业内部网或外部网的远程访问。

A.

AccessVPN

B.

IntranetVPN

C.

ExtranetVPN

D.InternetVPN

13．L2TP隧道在两端的

VPN服务器之间采用（

A）来验证对方的身份。

A.

口令握手协议

CHAP

B.

SSL

C.

Kerberos

D.

数字证书

二、问答题

1.解释VPN的基本概念。

VPN是VirtualPrivateNetwork的缩写，是将物理分布在不同地点的网络通过公用骨干网，

尤其是Internet连接而成的逻辑上的虚拟子网。

Virtual是针对传统的企业“专用网络”而言的。

VPN则是利用公共网络资源和设备建

立一个逻辑上的专用通道，尽管没有自己的专用线路，但它却可以提供和专用网络同样的功

能。

Private表示VPN是被特定企业或用户私有的，公共网络上只有经过授权的用户才可以使用。

在该通道内传输的数据经过了加密和认证，保证了传输内容的完整性和机密性。

2．简述VPN使用了哪些主要技术。

1）隧道（封装）技术是目前实现不同VPN用户业务区分的基本方式。

一个VPN可抽象为

一个没有自环的连通图，每个顶点代表一个VPN端点（用户数据进入或离开VPN的设备端

口），相邻顶点之间的边表示连结这两对应端点的逻辑通道，即隧道。

隧道以叠加在IP装处理，从信源的一个

主干网娱乐城开户上的方式运行。

需安全传输的数据分组经一定的封

VPN端点进入VPN，经相关隧道穿越VPN（物理上穿越不安全的互

联网），到达信宿的另一个

VPN

端点，再经过相应解封装处理，便得到原始数据。

（不仅指

定传送的路径，在中转节点也不会解析原始数据）

2）当用户数据需要跨越多个运营商的网络时，在连接两个独立网络的节点该用户的数据分

组需要被解封装和再次封装，可能会造成数据泄露，这就需要用到加密技术和密钥管理技术。

目前主要的密钥交换和管理标准有SKIP和ISAKMP（安全联盟和密钥管理协议）。

3）对于支持远程接入或动态建立隧道的VPN，在隧道建立之前需要确认访问者身份，是否

可以建立要求的隧道，若可以，系统还需根据访问者身份实施资源访问控制。

这需要访问者与设备的身份认证技术和访问控制技术。

二、选择题

1.SSL产生会话密钥的方式是（C）。

A.从密钥管理数据库中请求获得

B.每一台客户机分配一个密钥的方式

C.随机由客户机产生并加密后通知服务器

D.由服务器产生并分配给客户机

2.（C）属于Web中使用的安全协议。

A.PEM、SSLB.S-HTTP

C.SSL、S-HTTPD.S/MIME

、S/MIME

、SSL

3.传输层保护的网络采用的主要技术是建立在（

A）基础上的（

A）。

A.可靠的传输服务，安全套接字层

SSL

协议

B.不可靠的传输服务，

S-HTTP

协议

C.可靠的传输服务，

S-HTTP

协议

D.不可靠的传输服务，安全套接字层

SSL

协议

二、问答题

9、什么是

SET

电子钱包？

SET交易发生的先决条件是，每个持卡人（客户

客户确定口令，并用这个口令对数字证书、私钥、

些与符合SET协议的软件一起组成了一个SET

）必须拥有一个惟一的电子（数字）证书，且由

信用卡号码及其他信息进行加密存储，这

电子钱包。

10、简述一个成功的

SET

交易的标准流程。

（1）客户在网上商店选中商品并决定使用电子钱包付款，商家服务器上的POS软件发报文给

客户的浏览器要求电子钱包付款。

（2）电子钱包提示客户输入口令后与商家服务器交换“握手”消息，确认客户、商家均为合法，初始化支付请求和支付响应。

（3）

客户的电子钱包形成一个包含购买订单、支付命令

（内含加密了的客户信用卡号码

）的报

文发送给商家。

（4）

商家POS软件生成授权请求报文

（内含客户的支付命令

），发给收单银行的支付网关。

（5）支付网关在确认客户信用卡没有超过透支额度的情况下，向商家发送一个授权响应报

文。

（6）商家向客户的电子钱包发送一个购买响应报文，交易结束，客户等待商家送货上防火墙技术

一、选择题

1.一般而言，Internet防火墙建立在一个网络的（C）。

A.内部子网之间传送信息的中枢

B.每个子网的内部

C.内部网络与外部网络的交叉点

D.部分内部网络与外部网络的结合处

2.

包过滤型防火墙原理上是基于（

C）进行分析的技术。

A.

物理层

B.

数据链路层

C.

网络层

D.

应用层

3.

为了降低风险，不建议使用的

Internet

服务是（D）。

A.Web服务

B.外部访问内部系统

C.

内部访问

Internet

D.FTP

服务

4.

对非军事DMZ

而言，正确的解释是（

D）。

A.DMZ是一个真正可信的网络部分

B.DMZ网络访问控制策略决定允许或禁止进入DMZ通信

C.允许外部用户访问DMZ系统上合适的服务

D.以上百家乐3项都是

5.对动态网络地址交换（NAT），不正确的说法是（B）。

A.将很多内部地址映射到单个真实地址

B.外部网络地址和内部地址一对一的映射

C.最多可有64000个同时的动态NAT连接

D.每个连接使用一个端口

以下（D）不是包过滤防火墙主要过滤的信息？

A.源IP地址

防火墙用于将

B.目的IP地址

Internet和内部网络隔离，

C.TCP源端口和目的端口

（B）。

D.时间

A.是防止Internet火灾的硬件设施

B.是网络安全和信息安全的软件和硬件设施

C.是保护线路不受破坏的软件和硬件设施

D.是起抗电磁干扰作用的硬件设施二、填空题

防火墙是位于两个网络之间，一端是内部网络，另一端是外部网络。

防火墙系统的体系结构分为双宿主机体系结构、屏蔽主机体系结构、屏蔽子网体系结构。

三、问答题

1.什么是防火墙，为什么需要有防火墙？

防火墙是一种装置，它是由软件

/硬件设备组合而成，通常处于企业的内部局域网与

Internet

之间，限制

Internet

用户对内部网络的访问以及管理内部用户访问

Internet

的权限。

换言之，

一个防火墙在一个被认为是安全和可信的内部网络和一个被认为是不那么安全和可信的外

部网络

（通常是

Internet）

之间提供一个封锁工具。

如果没有防火墙，则整个内部网络的安全性完全依赖于每个主机，因此，所有的主机都必须

达到一致的高度安全水平，这在实际操作时非常困难。

而防火墙被设计为只运行专用的访问

控制软件的设备，没有其他的服务，因此也就意味着相对少一些缺陷和安全漏洞，这就使得

安全管理变得更为方便，易于控制，也会使内部网络更加安全。

防火墙所遵循的原则是在保证网络畅通的情况下，

尽可能保证内部网络的安全。

它是一

种被动的技术，是一种静态安全部件。

2.防火墙应满足的基本条件是什么？

作为网络间实施网间访问控制的一组组件的集合，防火墙应满足的基本条件如下：

（1）内部网络和外部网络之间的所有数据流必须经过防火墙。

（2）只有符合安全策略的数据流才能通过防火墙。

（3）防火墙自身具有高可靠性，应对渗透（Penetration）免疫，即它本身是不可被侵入的。

3.列举防火墙的几个基本功能？

（1）

隔离不同的网络，

限制安全问题的扩散，

对安全集中管理，

简化了安全管理的复杂程度。

（2）

防火墙可以方便地记录网络上的各种非法活动，

监视网络的安全性，

遇到紧急情况报警。

（3）防火墙可以作为部署NAT的地点，利用NAT技术，将有限的IP地址动态或静态地与内部的IP地址对应起来，用来缓解地址空间短缺的问题或者隐藏内部网络的结构。

（4）防火墙是审计和记录Internet使用费用的一个最佳地点。

（5）防火墙也可以作为IPSec的平台。

（6）内容控制功能。

根据数据内容进行控制，比如防火墙可以从电子邮件中过滤掉垃圾邮件，

可以过滤掉内部用户访问外部服务的图片信息。

只有代理服务器和先进的过滤才能实现。

防火墙有哪些局限性？

（1）网络上有些攻击可以绕过防火墙（如拨号）。

（2）防火墙不能防范来皇冠网自内部网络的攻击。

（3）防火墙不能对被病毒感染的程序和文件的传输提供保护。

（4）防火墙不能防范全新的网络威胁。

（5）当使用端到端的加密时，防火墙的作用会受到很大的限制。

（6）防火墙对用户不完全透明，可能带来传输延迟、瓶颈以及单点失效等问题。

（7）防火墙不能防止数据驱动式攻击。

有些表面无害的数据通过电子邮件或其他方式发送到

主机上，一旦被执行就形成攻击（附件）。

包过滤防火墙的过滤原理是什么？

包过滤防火墙也称分组过滤路由器，又叫网络层防火墙，因为它是工作在网络层。

路由器便

是一个网络层防火墙，因为包过滤是路由器的固有属性。

它一般是通过检查单个包的地址、

协议、端口等信息来决定是否允许此数据包通过，有静态和动态两种过滤方式。

这种防火墙可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的

信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。

包过

滤防火墙检查每一条规则直至发现包中的信息与某规则相符。

如果没有一条规则能符合，防

火墙就会使用默认规则（丢弃该包）。

在制定数据包过滤规则时，一定要注意数据包是双向

的。

状态检测防火墙的原理是什么，相对包过滤防火墙有什么优点？

状态检测又称动态包过滤，所以状态检测防火墙又称动态防火墙，最早由CheckPoint提出。

状态检测是一种相当于4、5层的过滤技术，既提供了比包过滤防火墙更高的安全性和更灵

活的处理，也避免了应用层网关的速度降低问题。

要实现状态检测防火墙，最重要的是实现

连接的跟踪功能，并且根据需要可动态地在过滤规则中增加或更新条目。

防火墙应当包含关

于包最近已经通过它的“状态信息”，以决定是否让来自Internet的包通过或丢弃。

应用层网关的工作过程是什么？

它有什么优缺点？

主要工作在应用层，又称为应用层防火墙。

它检查进出的数据包，通过自身复制传递数据，

防止在受信主机与非受信主机间直接建立联系。

应用层网关能够理解应用层上的协议，能够

做复杂的访问控制，并做精细的注册和审核。

基本工作过程是：

当客户机需要使用服务器上的数据时，首先将数据请求发给代理服务器，代理服务器再根据这一请求向服务器索取数据，然后再由代理服务器将数据传输给客户

机。

常用的应用层网关已有相应的代理服务软件，如HTTP、SMTP、FTP、Telnet

等，但是

对于新开发的应用，尚没有相应的代理服务，它们将通过网络层防火墙和一般的代理服务。

应用层网关有较好的访问控制能力，是目前最安全的防火墙技术。

能够提供内容过滤、

用户认证、页面缓存和NAT等功能。

但实现麻烦，有的应用层网关缺乏“透明度”

。

应用层

网关每一种协议需要相应的代理软件，使用时工作量大，效率明显不如网络层防火墙。

代理服务器有什么优缺点？

代理服务技术的优点是：

隐蔽内部网络拓扑信息；网关理解应用协议，可以实施更细粒度的

访问控制；较强的数据流监控和报告功能。

（主机认证和用户认证）缺点是对每一类应用都

需要一个专门的代理，灵活性不够；每一种网络应用服务的安全问题各不相同，分析困难，因此实现困难。

速度慢。

静态包过滤和动态包过滤有什么不同？

静态包过滤在遇到利用动态端口的协议时会发生困难，如FTP，防火墙事先无法知道哪

些端口需要打开，就需要将所有可能用到的端口打开，会给安全带来不必要的隐患。

而状态检测通过检查应用程序信息（如FTP的PORT和PASV命令），来判断此端口是否

需要临时打开，而当传输结束时，端口又马上恢复为关闭状态。

安全扫描技术

一、问答题

1.简述常见的黑客攻击过程。

1目标探测和信息攫取

先确定攻击日标并收集目标系统的相关信息。

一般先大量收集网上主机的信息，然后根

据各系统的安全性强弱确定最后的目标。

1）踩点（Footprinting）

黑客必须尽可能收集目标系统安全状况的各种信息。

Whois数据库查询可以获得很多关

于目标系统的注册信息，DNS查询（用Windows/UNIX上提供的nslookup命令客户端）也可

令黑客获得关于目标系统域名、IP地址、DNS务器、邮件服务器等有用信息。

此外还可以

用traceroute工具获得一些网络拓扑和路由信息。

2）扫描（

Scanning

）

在扫描阶段，我们将使用各种工具和技巧哪些系统存活着、它们在监听哪些端口获知它们运行的是什么操作系统。

（如Ping扫射、端口扫描以及操作系统检测等）确定

（以此来判断它们在提供哪些服务），甚至更进一步地

3）查点（Enumeration）

从系统中抽取有效账号或导出资源名的过程称为查点，这些信息很可能成为目标系统的

祸根。

比如说，博彩开户一旦查点查出一个有效用户名或共享资源，攻击者猜出对应的密码

或利用与资源共享协议关联的某些脆弱点通常就只是一个时间问题了。

查点技巧差不多都是

特定于操作系统的，因此要求使用前面步骤汇集的信息。

2获得访问权（GainingAccess）

通过密码窃听、共享文件的野蛮攻击、攫取密码文件并破解或缓冲区溢出攻击等来获得

系统的访问权限。

3特权提升（EscalatingPrivilege）

在获得一般账户后，黑客经常会试图获得更高的权限，比如获得系统管理员权限。

通常

可以采用密码破解（如用L0phtcrack破解NT的SAM文件）、利用已知的漏洞或脆弱点等技

术。

4窃取（Stealing）

对敏感数据进行篡改、添加、删除及复制（如Windows系统的注册表、UNIX的rhost

文件等）。

5掩盖踪迹（CoveringTracks）

此时最重要就隐藏自己踪迹，以防被管理员发觉，比如清除日志记录、使用rootkits等

工具。

6创建后门（CreatingBookdoor）

在系统的不同部分布置陷阱和后门，以便入侵者在以后仍能从容获得特权访问。