软考在线  |  计算机技术与软件专业技术资格(水平)考试   |   [请选择科目]
[ 成为 VIP会员 ]        登录  |  注册      我的  购物车
 
科目切换  联系我们 
    
  |   [请选择科目]

VIP:有效提升20分!  真题  历年真题 (可免费开通)/  百科全书/ 机考模拟平台/  最难真题榜/  自测/  攻打黄金十二宫/  真题检索/  真题下载/  真题词库
知识   必会知识榜/  最难知识榜/  知识点查询/      文档   学习计划/  精华笔记/  试题文档     纸质图书   《百科全书》HOT!!/         /        首页/  2025年上半年专区/  手机版/ 
免费智能真题库 > 历年试卷 > 信息安全工程师 > 2021年下半年 信息安全工程师 上午试卷 综合知识
  第42题      
  知识点:   蜜罐主机技术   IP地址   入侵检测   入侵检测技术   主动防御技术
  关键词:   IP地址   蜜罐   入侵检测   协议   主动防御        章/节:   网络攻击陷阱技术与应用       

 
蜜罐技术是一种基于信息欺骗的主动防御技术,是入侵检测技术的一个重要发展方向。密罐为了实现一台计算机绑定多个IP地址,可以使用()协议来实现。
 
 
  A.  ICMP
 
  B.  DHCP
 
  C.  DNS
 
  D.  ARP
 
 
 确定 并 查看答案解析     知识点讲解  我要标记      有奖找茬      上一题        下一题 
 

 
  第64题    2023年下半年  
   0%
网络蜜罐技术是一种主动防御技术,是入侵检测技术的一个重要发展方向,以下有关蜜罐说法不正确的是()。
  第13题    2018年上半年  
   60%
网络安全技术可以分为主动防御技术和被动防御技术两大类,以下属于主动防技术的是( )。
  第9题    2016年下半年  
   48%
以下行为中,不属于威胁计算机网络安全的因素是(9)。
   知识点讲解    
   · 蜜罐主机技术    · IP地址    · 入侵检测    · 入侵检测技术    · 主动防御技术
 
       蜜罐主机技术
        蜜罐主机技术包括空系统、镜像系统、虚拟系统等。
        .空系统。空系统是标准的机器,上面运行着真实完整的操作系统及应用程序。在空系统中可以找到真实系统中存在的各种漏洞,与真实系统没有实质区别,没有刻意地模拟某种环境或者故意地使系统不安全。任何欺骗系统做得再逼真,也绝不可能与原系统完全一样,利用空系统做蜜罐是一种简单的选择。
        .镜像系统。攻击者要攻击的往往是那些对外提供服务的主机,当攻击者被诱导到空系统或模拟系统的时候,会很快发现这些系统并不是他们期望攻击的目标。因此,更有效的做法是,建立一些提供敌手感兴趣的服务的服务器镜像系统,这些系统上安装的操作系统、应用软件以及具体的配置与真实的服务器基本一致。镜像系统对攻击者有较强的欺骗性,并且,通过分析攻击者对镜像系统所采用的攻击方法,有利于我们加强真实系统的安全。
        .虚拟系统。虚拟系统是指在一台真实的物理机上运行一些仿真软件,通过仿真软件对计算机硬件进行模拟,使得在仿真平台上可以运行多个不同的操作系统,这样一台真实的机器就变成了多台主机(称为虚拟机)。通常将在真实的机器上安装的操作系统称为宿主操作系统,将在仿真平台上安装的操作系统称为客户操作系统,仿真软件在宿主操作系统上安装。VMware是典型的仿真软件,它在宿主操作系统和客户操作系统之间建立了一个虚拟的硬件仿真平台,客户操作系统可以基于相同的硬件平台模拟多台虚拟主机。另外,在因特网上,还有一个专用的虚拟蜜罐系统构建软件Honeyd,它可以用来虚拟构造出多种主机,并且在虚拟主机上,还可以配置运行不同的服务和操作系统,模拟多种系统脆弱性。Honeyd的应用环境如下图所示。
        
        Honeyd虚拟系统示意图
 
       IP地址
        Internet地址是按名字来描述的,这种地址表示方式易于理解和记忆。实际上,Internet中的主机地址是用IP地址来唯一标识的。这是因为Internet中所使用的网络协议是TCP/IP协议,故每个主机必须用IP地址来标识。
        每个IP地址都由4个小于256的数字组成,数字之间用“.”分开。Internet的IP地址共有32位,4个字节。它表示时有两种格式:二进制格式和十进制格式。二进制格式是计算机所认识的格式,十进制格式是由二进制格式“翻译”过去的,主要是为了便于使用和掌握。例如,十进制IP地址129.102.4.11的表示方法与二进制的表示方法10000001011001100000010000001011相同,显然表示成带点的十进制格式则方便得多。
        域名和IP地址是一一对应的,域名易于记忆,便于使用,因此得到比较普遍的使用。当用户和Internet上的某台计算机交换信息时,只需要使用域名,网络则会自动地将其转换成IP地址,找到该台计算机。
        Internet中的地址可分为5类:A类、B类、C类、D类和E类。各类的地址分配方案如下图所示。在IP地址中,全0代表的是网络,全1代表的是广播。
        
        各类地址分配方案
        A类网络地址占有1个字节(8位),定义最高位为0来标识此类地址,余下7位为真正的网络地址,支持1~126个网络。后面的3个字节(24位)为主机地址,共提供224-2个端点的寻址。A类网络地址第一个字节的十进制值为000~127。
        B类网络地址占有2个字节,使用最高两位为10来标识此类地址,其余14位为真正的网络地址,主机地址占后面的2个字节(16位),所以B类全部的地址有(214-2)×(216-2)=16 382×65 534个。B类网络地址第一个字节的十进制值为128~191。
        C类网络地址占有3个字节,它是最通用的Internet地址。使用最高三位为110来标识此类地址,其余21位为真正的网络地址,因此C类地址支持221-2个网络。主机地址占最后1个字节,每个网络可多达28-2个主机。C类网络地址第一个字节的十进制值为192~223。
        D类地址是相当新的。它的识别头是1110,用于组播,例如用于路由器修改。D类网络地址第一个字节的十进制值为224~239。
        E类地址为实验保留,其识别头是1111。E类网络地址第一个字节的十进制值为240~255。
        网络软件和路由器使用子网掩码(Subnet Mask)来识别报文是仅存放在网络内部还是被路由转发到其他地方。在一个字段内,1的出现表明一个字段包含所有或部分网络地址,0表明主机地址位置。例如,最常用的C类地址使用前三个8位来识别网络,最后一个8位识别主机。因此,子网掩码是255.255.255.0。
        子网地址掩码是相对特别的IP地址而言的,如果脱离了IP地址就毫无意义。它的出现一般是跟着一个特定的IP地址,用来为计算这个IP地址中的网络号部分和主机号部分提供依据。换句话说,就是在写一个IP地址后,再指明哪些是网络号部分,哪些是主机号部分。子网掩码的格式与IP地址相同,所有对应网络号的部分用1填上,所有对应主机号的部分用0填上。
        A类、B类、C类IP地址类默认的子网掩码如下表所示。
        
        带点十进制符号表示的默认子网掩码
        如果需要将网络进行子网划分,此时子网掩码可能不同于以上默认的子网掩码。例如,138.96.58.0是一个8位子网化的B类网络ID。基于B类的主机ID的8位被用来表示子网化的网络,对于网络138.96.39.0,其子网掩码应为255.255.255.0。
        例如,一个B类地址172.16.3.4,为了直观地告诉大家前16位是网络号,后16位是主机号,就可以附上子网掩码255.255.0.0(11111111111111110000000000000000)。
        假定某单位申请的B类地址为179.143.XXX.XXX。如果希望把它划分为14(至少占二进制的4位)个虚拟的网络,则需要占4位主机位,子网使用掩码为255.255.240.0~255.255.255.0来建立子网。每个LAN可有212-2个主机,且各子网可具有相同的主机地址。
        假设一个组织有几个相对大的子网,每个子网包括了25台左右的计算机;而又有一些相对较小的子网,每个子网大概只有几台计算机。这种情况下,可以将一个C类地址分成6个子网(每个子网可以包含30台计算机),这样解决了很大的问题。但是出现了一个新的情况,那就是大的子网基本上完全利用了IP地址范围,但是小的子网却造成了许多IP地址的浪费。为了解决这个新的难题,避免任何的IP浪费,就出现了允许应用不同大小的子网掩码来对IP地址空间进行子网划分的解决方案。这种新的方案就叫作可变长子网掩码(VLSM)。
        VLSM用一个十分直观的方法来表示,那就是在IP地址后面加上“/网络号及子网络号编址位数”。例如,193.168.125.0/27就表示前27位表示网络号。
        例如,给定135.41.0.0/16的基于类的网络ID,所需的配置是为将来使用保留一半的地址,其余的生成15个子网,达到2000台主机。
        由于要为将来使用保留一半的地址,完成了135.41.0.0的基于类的网络ID的1-位子网化,生成两个子网135.41.0.0/17和135.41.128.0/17,子网135.41.128.0/17被选作为将来使用所保留的地址部分;135.41.0.0/17被继续生成子网。
        为达到划分2000台主机的15个子网的要求,需要将135.41.128.0/17的子网化的网络ID的4-位子网化。这就产生了16个子网(135.41.128.0/21,135.41.136.0/21,…,135.41.240.0/21,135.41.248.0/21),允许每个子网有2046台主机。最初的15个子网化的网络ID(135.41.128.0/21~135.41.240.0/21)被选定为网络ID,从而实现了要求。
        现在的IP协议的版本号为4,所以也称之为IPv4,为了方便网络管理员阅读和理解,使用了4个十进制数中间加小数点“.”来表示。但随着因特网的膨胀,IPv4不论从地址空间上,还是协议的可用性上都无法满足因特网的新要求。因此出现了一个新的IP协议IPv6,它使用了8个十六进制数中间加小数点“.”来表示。IPv6将原来的32位地址扩展成为128位地址,彻底解决了地址缺乏的问题。
 
       入侵检测
        入侵检测是用于检测任何损害或企图损害系统的机密性、完整性或可用性的行为的一种网络安全技术。它通过监视受保护系统的状态和活动,采用异常检测或误用检测的方式,发现非授权的或恶意的系统及网络行为,为防范入侵行为提供有效的手段。
        入侵检测系统要解决的最基本的两个问题是:如何充分并可靠地提取描述行为特征的数据,以及如何根据特征数据,高效并准确地判断行为的性质。由系统的构成来说,通常包括数据源(原始数据)、分析引擎(通过异常检测或误用检测进行分析)、响应(对分析结果采用必要和适当的措施)3个模块。
               入侵检测技术
               入侵检测系统所采用的技术可分为特征检测与异常检测两种:
               (1)特征检测。特征检测也称为误用检测,假设入侵者活动可以用一种模式来表示,系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来,但对新的入侵方法无能为力。其难点在于如何设计模式,使之既能够表达“入侵”现象又不会将正常的活动包含进来。
               (2)异常检测。假设入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”,将当前主体的活动状况与“活动简档”相比较,当违反其统计规律时,认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法,从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。
               常用检测方法
               入侵检测系统常用的检测方法有特征检测、统计检测与专家系统。
               (1)特征检测。对已知的攻击或入侵的方式作出确定性的描述,形成相应的事件模式。当被审计的事件与已知的入侵事件模式相匹配时,即报警。原理上与专家系统相仿。其检测方法上与计算机病毒的检测方式类似。目前基于对包特征描述的模式匹配应用较为广泛。该方法预报检测的准确率较高,但对于无经验知识的入侵与攻击行为无能为力。
               (2)统计检测。统计模型常用异常检测,在统计模型中常用的测量参数包括:审计事件的数量、间隔时间、资源消耗情况等。常用的入侵检测5种统计模型为:
               .操作模型。假设异常可通过测量结果与一些固定指标相比较得到,固定指标可以根据经验值或一段时间内的统计平均得到,举例来说,在短时间内的多次失败的登录很有可能是口令尝试攻击。
               .方差。计算参数的方差,设定其置信区间,当测量值超过置信区间的范围时表明有可能是异常。
               .多元模型。操作模型的扩展,通过同时分析多个参数实现检测。
               .马尔柯夫过程模型。将每种类型的事件定义为系统状态,用状态转移矩阵来表示状态的变化,当一个事件发生时,或状态矩阵该转移的概率较小则可能是异常事件。
               .时间序列分析。将事件计数时间序列分析。将事件计数与资源耗用根据时间排成序列,如果一个新事件在该时间发生的概率较低,则该事件可能是入侵。
               统计方法的最大优点是它可以“学习”用户的使用习惯,从而具有较高检出率与可用性。但是它的“学习”能力也给入侵者以机会通过逐步“训练”使入侵事件符合正常操作的统计规律,从而绕过入侵检测系统。
               (3)专家系统。用专家系统对入侵进行检测,经常是针对有特征入侵行为。所谓的规则,即是知识,不同的系统与设置具有不同的规则,且规则之间往往无通用性。专家系统的建立依赖于知识库的完备性,知识库的完备性又取决于审计记录的完备性与实时性。入侵的特征抽取与表达,是入侵检测专家系统的关键。运用专家系统防范有特征入侵行为的有效性完全取决于专家系统知识库的完备性。
               性能
               仅仅能够检测到各种攻击是不够的,入侵检测系统还必须能够承受高速网络和高性能网络节点所产生的事件流的压力。有两种途径可以用来实时分析庞大的信息量,分别是分割事件流和使用外围网络传感器。
               (1)分割事件流。可以使用一个分割器将事件流切分为更小的可以进行管理的事件流,从而入侵检测传感器就可以对它们进行实时分析。
               (2)使用外围网络传感器。在网络外围并靠近系统必须保护的主机附近使用多个传感器。
 
       入侵检测技术
        入侵检测技术是指对计算机网络资源的恶意使用行为(包括系统外部的入侵和内部用户的非授权行为)进行识别和相应处理。为了保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术,是一种用户检测计算机网络中违反安全策略行为的技术。许多政府机构及大型公司(如花旗集团等)都采用了入侵检测方法。入侵检测方法也能够检测到其他情况,如是否遵守安全规程等。人们经常忽略安全机制(加利福尼亚一架大型航空公司每月发生2万~4万次违规事件),但系统能够检测到这些违规行为,及时改正违规行为。
        从检测方法上,可将检测系统分为基于行为和基于知识两种;从检测系统所分析的原始数据上,可分为来自系统日志和网络数据包两种,前者一般以系统日志、应用程序日志等作为数据源,用以监测系统上正在运行的进程是否合法,后者直接从网络中采集原始数据包,其网络引擎放置在需要保护的网段内,不占用网络资源,对所有本网段内的数据包进行信息收集并判断。通常采用的入侵检测手段如下。
        (1)监视、分析用户及系统活动。
        (2)系统构造和弱点的审计。
        (3)识别反映已知进攻的活动模式并向相关人士报警。
        (4)异常行为模式的统计分析。
        (5)评估重要系统和数据文件的完整性。
        (6)操作系统的审计跟踪管理,并识别用户违反安全策略的行为。
 
       主动防御技术
        主动防御技术是指以“程序行为自主分析判定法”为理论基础,其关键是从反病毒领域普遍遵循的计算机病毒的定义出发,采用动态仿真技术,依据专家分析程序行为、判定程序性质的逻辑,模拟专家判定病毒的机理,实现对新病毒提前防御。
        主动防御是一种阻止恶意程序执行的技术。它比较好的弥补了传统杀毒软件采用“特征码查杀”和“监控”相对滞后的技术弱点,可以在病毒发作时进行主动而有效的全面防范,从技术层面上有效应对未知病毒的肆虐。
        主动防御技术并不是一项全新的技术,从某种程度上说,其集成了启发式扫描技术和行为监控及行为阻断等技术。
   题号导航      2021年下半年 信息安全工程师 上午试卷 综合知识   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
5 /
6 /
7 /
8 /
9 /
10 /
11 /
12 /
13 /
14 /
15 /
 
16 /
17 /
18 /
19 /
20 /
21 /
22 /
23 /
24 /
25 /
26 /
27 /
28 /
29 /
30 /
 
31 /
32 /
33 /
34 /
35 /
36 /
37 /
38 /
39 /
40 /
41 /
42 /
43 /
44 /
45 /
 
46 /
47 /
48 /
49 /
50 /
51 /
52 /
53 /
54 /
55 /
56 /
57 /
58 /
59 /
60 /
 
61 /
62 /
63 /
64 /
65 /
66 /
67 /
68 /
69 /
70 /
71 /
72 /
73 /
74 /
75 /
 
第42题    在手机中做本题
    在线人数   共计 15640人 在线 
    569777753@..     songweizlj..     sanmaosun@..     chenxiaohw..     yourname@y..     zxf8107100..
    shenhao000..     68056011@q..     khala-cjt@..     zhangheqin..     wzq2008@21..     able401@16..
    chaochao_4..     erlong722@..     yaohaibo03..     chj868_szb..     zhouyanhui..     luoxiaoyan..
    hw891123@1..     liuguo1970..     631357578@..     475640102@..     wlg300@yah..     ping63739@..
    448244204@..     wu_di999@s..     juhong.sun..     gxnnwy@163..     kittykishi..     zhoushuoya..
    sdjese@163..     xuxiaomeix..     css8000@16..     yalixiaowe..     lixiaoxiah..     xueerni@16..
    bdf.4321@1..     mayue_1206..     511022786@..     wuzhonggxy..     veryshan@s..     xingwenqia..

本网站所有产品设计(包括造型,颜色,图案,观感,文字,产品,内容),功能及其展示形式,均已受版权或产权保护。
任何公司及个人不得以任何方式复制部分或全部,违者将依法追究责任,特此声明。
本站部分内容来自互联网或由会员上传,版权归原作者所有。如有问题,请及时联系我们。



京B2-20210865 | 京ICP备2020040059号-5 |京公网安备 11010502032051号 | 营业执照 | Copyright ©2000-2025 All Rights Reserved 软考在线版权所有