防火墙与入侵检测
防火墙与访问控制。
防火墙可以实现内部网络信任网络与外部不可信任网络(Internet)之间或是内部网络不同区域隔离
防火墙技术与分类：包过滤、状态化防火墙、应用层网关、应用层检测DPI。
防火墙区域划分
根据网络的安全信任程度和需要保护的对象，人为划分若干安全区域，包括：
本地区域(Local):防火墙本身。
信任区域(Trust):内部安全网络，如内部文件服务器、数据库服务器。
非信任区域(Untrust）:外部网络，比如互联网。
军事缓冲区域(DMZ):内部网络和外部网络之间的网络，常放置公共服务设备，向外提供信息服务。
受信任程度：Local>Trust>DMZ>Untrust
Inbound:低安全级别 →高安全级别，比如Untrust → Trust
·Outbound：高安全级别 →低安全级别，比如DMZ→Untrust
| 安全区域 | 安全级别 | 说明 |
| Local | 100 | 设备本身，包括设备的各接口本身。 |
| Trust | 85 | 通常用于定义内网终端用户所在区域。 |
| DMZ | 50 | 通常用于定义内网服务器所在区域。 |
| Untrust | 5 | 通常用于定义Internet等不安全的网络。 |
习题：
1、防火墙的工作层次是决定防火墙效率及安全的主要因素，下面叙述中正确的是( )。
A.防火墙工作层次越低，工作效率越高，安全性越高
B.防火墙工作层次越低，工作效率越低，安全性越低
C.防火墙工作层次越高，工作效率越高，安全性越低
D.防火墙工作层次越高，工作效率越低，安全性越高
解析：D。作层次越高，工作效率越低，安全性越高。类似过安检，检查越多越费时间，但
安全性越高。
2、下列关于防火墙技术的描述中，正确的是( )。
A.防火墙不能支持网络地址转换
C.防火墙可以查杀各种病毒
B.防火墙通常部署在企业内部网络和Internet之间
D.防火墙可以过滤垃圾邮件
解析：C。火墙一般部署于网络出口，目前实际应用的防火墙支持NAT、防病毒、防垃圾邮
件等功能，但官方教材进考虑包过滤防火墙，暂不考虑应用层功能，否则BCD都对。
3、数据包通过防火墙时，不能依据( )进行过滤。
A.源和目的IP地址 B.源和目的端口 C.IP协议号 D.负载内容
解析：D。到防火墙，一般是包过滤防火墙，能基于IP头或TCP头中的字段进
行过滤，不能基于负载内容过滤。当然，现在实际项目中99%的防火墙都支持应用层包检测（即负载内容检测），这也是考试跟实践的差异。
4、通过在出口防火墙上配置( )功能，可以阻止外部未授权用户访问内部网络。
A.ACL B.SNAT C.入侵检测 D.防病毒
解析：A。 ACL对应关键字访问控制，SNAT是基于源地址的NAT,也就是常规NAT，入侵检测
不可以阻断，防病毒也不是防止未授权访问的，主要针对恶意代码应用层检测。
入侵检测
入侵检测IDS是防火墙之后的第二道安全屏障。
美国国防部提出公共入侵检测系统架构。
1.模式匹配
2.统计分析 事件分析器
3.数据完整性分析
入侵检测系统的数据源
操作系统审计记录/操作系统日志。
网络数据：核心交换机端口镜像，服务器接入交换机端口镜像。
华为交换机端口镜像配置
将交换机网口GigabitEthernet1/0/2的流量镜像到部署Snort的网口GigabitEthernet1/0/1上。
<HUAWEI> system-view //进入系统模式
[HUAWEI]observe-port 1 interface gigabitethernet1/0/1 //定义索引号为1的观察端口g1/0/1
[HUAWEI]interface gigabitethernet 1/0/2 //进入流量采集接口
[HUAWEI-GigabitEthernet0/0/1]port-mirroring to observe-port 1 inbound //将g1/0/2入方向的流量镜像到g1/0/1
入侵检测分类
按信息来源分：HIDS、NIDS、DIDS(主机/网络/分布式)。
按响应方式分：实时检测和非实时检测。
按数据分析技术和处理方式分：异常检测、误用检测和混合检测。
异常检测：建立并不断更新和维护系统正常行为的轮廓，定义报警阈值，超过阈值则报警。
能够检测从未出现的攻击，但误报率高。
误用检测：对已知的入侵行为特征进行提取，形成入侵模式库，匹配则进行报警。已知入侵检测准确率高，对于未知入侵检测准确率低，高度依赖特征库。
检测技术：专家系统和模式匹配。
入侵防御系统IPS
定义：入侵防御系统是一种抢先的网络安全检测和防御系统，能检测出攻击并积极响应。
IPS不仅具有入侵检测系统检测攻击行为的能力，而且具有拦截攻击并阻断攻击的功能。
IPS不是IDS和防火墙功能的简单组合，IPS在攻击响应上采取的是主动的全面深层次的防御。
入侵防御系统IPSvs入侵检测系统IDS
部署位置不同：IPS一般串行部署，IDS一般旁路部署。
入侵响应能力不同：IPS能检测入侵，并能主动防御，IDS只能检测记录日志，发出警报。
5、在入侵检测系统中，事件分析器接收事件信息并对其进行分析，判断是否为入侵行为或异常现象，其常用的三种分析方法中不包括( )。
A.匹配模式 B.密文分析 C.数据完整性分析 D.统计分析
解析：B。三种分析方法：模式匹配、统计分析、数据完整性分析。
6、下关于入侵检测系统描述中，正确的是( )。
A.实现内外网隔离与访问控制
B.对进出网络的信息进行实时监测与比对，及时发现攻击行为
C.隐藏内部网络拓扑
D.预防、检测和消除网络病毒
解析：B。A为防火墙功能，B前部分为防火墙功能，C为NAT。
7、( )不属于入侵检测技术。
A.专家系统 B.模型检测 C.简单匹配 D.漏洞扫描
解析：异常检测和误用检测（专家系统和模式匹配）和混合检测
8、SQL注入是常见的Web攻击，以下不能够有效防御SQL注入的手段是( )。
A.对用户输入做关键字过滤 B.部署Web应用防火墙进行防护
C.部署入侵检测系统阻断攻击 D.定期扫描系统漏洞并及时修复
解析：C。IDS入侵检测系统与IPS入侵防御系统最主要的2点差异如下：
①IDS只能检测，不能阻断攻击。
②IDS一般旁路部署，IPS串行部署
计算机病毒与防护
病毒：指一段可执行的程序代码，通过对其他程序进行修改，可以感染这些程序使其含有该病毒程序的一个拷贝。
病毒四个阶段：
潜伏阶段（震网病毒）
繁殖阶段（勒索病毒）
触发阶段（震网病毒）
执行阶段
病毒命名规则
病毒名称一般格式<病毒前缀>.<病毒名>.<病毒后缀>
| 病毒类型 | 关键字 | 特征 | 代表 |
系统病毒 | 前缀为win32，win95，PE，W32，W95等 | 感染Windows系统的exe或dll文件，并通过这些文件进行传播 | CIH病毒 |
| 蠕虫病毒 | 前缀为worm | 通过网络或系统漏洞进行传播，可以向外发送带病毒右键或阻塞网络 | 冲击波（阻塞网络）、小邮差病毒（发送带毒邮件） |
| 木马病毒和黑客病毒 | 木马前缀为Trojan，黑客病毒前缀为Hack | 通过网络或漏洞进入系统并隐藏起来，木马负责入侵用户计算机，黑客通过木马进行远程控制。 | 游戏木马Trojan.Lmir.PSW60 |
| 脚本病毒 | 前缀是Script | 使用脚本语言编写，通过网页进行传播 | 欢乐时光病毒VBS.Happtime，红色代码Script.Redlof |
| 宏病毒 | 前缀是Macro | 特殊脚本病毒，感染word和excel | Macro.Word97 |
| 后门病毒 | 前缀是Backdoor | 通过网络传播，给系统开后门，给用户计算机带来安全隐患 | 入侵后添加隐藏账号 |
| 破坏性程序病毒 | 前缀为Harm | 本身具有好看的图标来诱惑用户点击，当用户点击，对计算机产生破坏 | 熊猫烧香 |
| 捆绑机病毒 | 前缀为Binder | 将特定程序捆绑下载 | 下载大礼包或某些软件捆绑病毒 |
9、杀毒软件报告发现病毒Macro.Melissa,由该病毒名称可以推断出病毒类型是( )，这类病毒主要
感染目标是( )。
A.文件型 B.引导型 C.目录型 D.宏病毒
A.exe或COM可执行文件 B. Word或excel文件 C.DLL系统文件 D.磁盘引导区
解析：D，B。
10、下面病毒中，属于蠕虫病毒的是( )。
A. Worm.Sasser B. Trojan.QQPSW C. Backdoor.IRCBot D. Macro.Melissa
解析：关键字，worm代表蠕虫。
11、震网 (Stu*net) 病毒是一种破坏工业基础设施的恶意代码，利用系统漏洞攻击工业控制系统，是一种危险性极大的( )。
A.引导区病毒 B.宏病毒 C.木马病毒 D.蠕虫病毒
解析：D。震网 (Stuxnet) ),指一种蠕虫病毒。于2010年6月首次被检测出来，是第一个专门定向攻击能源基础设施的“蠕虫”病毒，比如电站、水坝、国家电网。