A3-3.5.1
信息安全基本概念。
精编讲义 v1#
信息安全五大基本属性（CIA 三要素及扩充）
必记机密性（保密性）
- 英文标识
- Confidentiality
- 定义内涵与要求
- 确保信息不暴露给未经授权的实体、实体人或进程（防止信息泄露）
- 破坏防范案例
- 通过数据加密防止网络嗅探窃听
完整性
- 英文标识
- Integrity
- 定义内涵与要求
- 确保信息在存储或传输过程中不被未授权篡改、伪造、删除（保持真实完整）
- 破坏防范案例
- 利用 MD5/SHA 哈希校验码与消息认证码防篡改
可用性
- 英文标识
- Availability
- 定义内涵与要求
- 确保获得授权的实体在需要时能够及时、正常访问到信息和系统服务
- 破坏防范案例
- 防范 DDoS 拒绝服务攻击导致服务器瘫痪
真实性 / 身份认证
- 英文标识
- Authenticity
- 定义内涵与要求
- 确保通信各方身份真实合法，非冒充伪造
- 破坏防范案例
- 数字证书、多因素认证（MFA）
不可抵赖性（防否认）
- 英文标识
- Non-repudiation
- 定义内涵与要求
- 行为人发起信息交互后无法否认其曾经发送或签署过的行为
- 破坏防范案例
- 基于非对称私钥的数字签名技术
| 安全属性 | 英文标识 | 定义内涵与要求 | 破坏防范案例 |
|---|---|---|---|
| 机密性（保密性） | Confidentiality | 确保信息不暴露给未经授权的实体、实体人或进程（防止信息泄露） | 通过数据加密防止网络嗅探窃听 |
| 完整性 | Integrity | 确保信息在存储或传输过程中不被未授权篡改、伪造、删除（保持真实完整） | 利用 MD5/SHA 哈希校验码与消息认证码防篡改 |
| 可用性 | Availability | 确保获得授权的实体在需要时能够及时、正常访问到信息和系统服务 | 防范 DDoS 拒绝服务攻击导致服务器瘫痪 |
| 真实性 / 身份认证 | Authenticity | 确保通信各方身份真实合法，非冒充伪造 | 数字证书、多因素认证（MFA） |
| 不可抵赖性（防否认） | Non-repudiation | 行为人发起信息交互后无法否认其曾经发送或签署过的行为 | 基于非对称私钥的数字签名技术 |
CIA 三要素
必记复习提示
现代信息安全的经典基石为 CIA 三要素：机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）
随堂自测（3 题 · 共 144 道关联题）展开作答
综合6 分自测不计入学习进度
身份鉴别常用的方法有哪些？
判断1 分自测不计入学习进度
CRT 显示器在工作时产生的辐射会对人体有不良的影响，但不影响信息安全。
单选2 分自测不计入学习进度
在计算机的使用过程中，经常需要对数据进行备份，这里所说的“数据备份”中的数据包括____。
A3-3.5.2
信息安全规范。
精编讲义 v1#
我国网络安全等级保护制度（等保 2.0 五级划分）
必记| 保护等级 | 定级对象与影响范围 | 监管要求与典型系统 |
|---|---|---|
| 第一级（自主保护级） | 受到破坏后，对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益 | 一般小型私有内部办公系统 |
| 第二级（指导保护级） | 受到破坏后，对社会秩序和公共利益造成轻度损害，但不损害国家安全 | 地市级一般企事业单位门户网 |
| 第三级（监督保护级） | 受到破坏后，对社会秩序和公共利益造成严重损害，或对国家安全造成损害 | 地级市以上重要政务、地市级社保、三甲医院 HIS、高校核心教务系统（常规大考重点） |
| 第四级（强制保护级） | 受到破坏后，对社会秩序和公共利益造成特别严重损害，或对国家安全造成严重损害 | 国家电力电网调度控制系统、全国性大型国有商业银行主干交易 |
| 第五级（专控保护级） | 受到破坏后，对国家安全造成特别严重损害 | 国家级国防涉密核心网络基础设施 |
我国核心网络安全法律法规体系
重点- 《中华人民共和国网络安全法》（2017 年 6 月 1 日起施行，我国网络安全领域第一部基础性法律）
- 《中华人民共和国数据安全法》与《中华人民共和国个人信息保护法》
- 《计算机信息系统安全保护等级划分准则》（GB 17859-1999）
随堂自测（3 题 · 共 38 道关联题）展开作答
单选2 分自测不计入学习进度
下列不违反国家《计算机软件保护条例》的行为是()。
综合6 分自测不计入学习进度
什么是软件盗版？
判断1 分自测不计入学习进度
能使用盗版软件且不要花钱，就不必购买正版软件。
A3-3.5.3
常见的网络安全威胁。
精编讲义 v1#
常见主动攻击 vs 被动攻击对比
必记被动攻击（Passive Attack）
- 核心威胁行为
- 只窃听、监听、监视数据传输，不破坏和篡改数据，系统照常运行
- 典型攻击手段举例
- 网络嗅探（Sniffing，如 Wireshark 抓包）、流量模式分析
- 防御侧重
- 侧重加密预防（端到端强加密），很难直接检测发现
主动攻击（Active Attack）
- 核心威胁行为
- 故意篡改、伪造数据流，破坏系统可用性与完整性
- 典型攻击手段举例
- DDoS 拒绝服务攻击、重放攻击、IP/MAC 欺骗、中间人攻击（MITM）、SQL 注入、XSS 跨站脚本
- 防御侧重
- 侧重检测、中断阻止与灾后数据恢复
| 攻击分类 | 核心威胁行为 | 典型攻击手段举例 | 防御侧重 |
|---|---|---|---|
| 被动攻击（Passive Attack） | 只窃听、监听、监视数据传输，不破坏和篡改数据，系统照常运行 | 网络嗅探（Sniffing，如 Wireshark 抓包）、流量模式分析 | 侧重加密预防（端到端强加密），很难直接检测发现 |
| 主动攻击（Active Attack） | 故意篡改、伪造数据流，破坏系统可用性与完整性 | DDoS 拒绝服务攻击、重放攻击、IP/MAC 欺骗、中间人攻击（MITM）、SQL 注入、XSS 跨站脚本 | 侧重检测、中断阻止与灾后数据恢复 |
DDoS 分布式拒绝服务攻击
必记易错陷阱
DDoS（Distributed Denial of Service）攻击通过控制成千上万台僵尸网络“肉鸡”，向目标服务器短时间内发送海量垃圾请求，将服务器带宽或 CPU 耗尽，破坏了信息安全的“可用性”（Availability）
随堂自测（3 题 · 共 189 道关联题）展开作答
多选2 分自测不计入学习进度
计算机病毒会破坏____。
单选2 分自测不计入学习进度
以下设备中最可能成为传播计算机病毒的载体是（）。
单选2 分自测不计入学习进度
下列情况中，____一定不是因病毒感染所致。
A3-3.5.4
入侵检测、防火墙、计算机病毒。
精编讲义 v1#
防火墙（FW） vs 入侵检测系统（IDS） vs 入侵防御系统（IPS）
必记防火墙（Firewall）
- 功能角色定位
- 依据安全策略规则进行网络边界访问控制与数据包过滤
- 工作机制比喻
- 门卫保安（检查工牌放行或拦截）
- 主要部署位置
- 部署在网络出入口网络边界
入侵检测系统（IDS）
- 功能角色定位
- 旁路监听镜像流量，实时检测入侵行为并告警记录日志
- 工作机制比喻
- 监控摄像头与报警器（只监视报警，不直接阻断交通）
- 主要部署位置
- 旁路挂接在核心交换机镜像端口
入侵防御系统（IPS）
- 功能角色定位
- 串联部署在网络主干，发现恶意特征攻击时直接实时阻断丢包
- 工作机制比喻
- 防暴警察（就地制服并直接阻断入侵）
- 主要部署位置
- 串联在网络主链路中
| 安全设备 | 功能角色定位 | 工作机制比喻 | 主要部署位置 |
|---|---|---|---|
| 防火墙（Firewall） | 依据安全策略规则进行网络边界访问控制与数据包过滤 | 门卫保安（检查工牌放行或拦截） | 部署在网络出入口网络边界 |
| 入侵检测系统（IDS） | 旁路监听镜像流量，实时检测入侵行为并告警记录日志 | 监控摄像头与报警器（只监视报警，不直接阻断交通） | 旁路挂接在核心交换机镜像端口 |
| 入侵防御系统（IPS） | 串联部署在网络主干，发现恶意特征攻击时直接实时阻断丢包 | 防暴警察（就地制服并直接阻断入侵） | 串联在网络主链路中 |
计算机病毒（Virus）四大核心特征与分类
必记| 病毒特性 | 内涵解释 | 常见恶意软件分类辨析 |
|---|---|---|
| 传染性（最本质特征） | 通过自我复制将病毒代码附加到正常程序或文档中 | 特洛伊木马（Trojan）：不自我繁殖，伪装成正常软件诱骗运行后开后门远程控制 |
| 隐蔽性 | 寄生在正常文件中，未发作时不引起用户察觉 | 网络蠕虫（Worm）：具备独立文件实体，利用网络系统漏洞自主疯狂传播（如红色代码、震网） |
| 破坏性 | 占用系统资源、破坏引导扇区、加密勒索文件、窃取密码 | 勒索病毒（Ransomware）：利用非对称加密锁死用户关键数据库并勒索比特币 |
| 潜伏性与可触发性 | 满足特定条件（如特定日期、特定键盘操作）才激活发作 | 宏病毒：专门感染 Word/Excel 等 Office 文档中的 VBA 宏模块 |
随堂自测（3 题 · 共 10 道关联题）展开作答
填空2 分自测不计入学习进度
___________是主动保护系统免受攻击的一种网络安全技术，对系统运行状况进行监视，及时发现来自内外部的各种攻击和未经授权的访问活动。
判断1 分自测不计入学习进度
入侵检测系统是对防火墙的合理补充，帮助网络抵御网络攻击。
多选2 分自测不计入学习进度
下面（）是入侵检测系统的功能。
A3-3.5.5
加密和解密基本概念。
精编讲义 v1#
对称加密 vs 非对称加密（专转本每考必出大题）
必记| 对比项 | 对称加密（私钥密码体制） | 非对称加密（公钥密码体制） |
|---|---|---|
| 密钥使用 | 加密和解密使用同一个密钥（相同秘钥） | 加密和解密使用一对密钥：公钥（Public Key）和私钥（Private Key） |
| 密钥分发安全性 | 密钥必须通过安全信道提前共享，在不可信网络中分发极难 | 公钥可以向全世界完全公开公开广播，私钥仅由本人私自保管，无密钥分发难题 |
| 加解密速度与算力消耗 | 计算速度极快，开销极小，适合对海量大数据块加密 | 算法涉及大数因子分解，计算复杂度高、加解密速度较慢（慢百倍至千倍） |
| 典型代表算法 | DES（56位已不安全）、3DES、AES（主流高级加密标准）、RC4 | RSA（基于大素数分解）、ECC（椭圆曲线加密）、ElGamal |
| 国产国密算法对应 | SM4（商密4号，分组对称密码） | SM2（商密2号，基于椭圆曲线的非对称加密） |
混合加密体系（现代 SSL/TLS 做法）
必记易错陷阱
在实际互联网通信中，通常采用混合模式：用运算慢但安全的“非对称加密”传递协商一个临时的“对称会话密钥”；随后双方使用速度极快的“对称加密”加密实际传输的业务报文
随堂自测（3 题 · 共 168 道关联题）展开作答
填空2 分自测不计入学习进度
用某种方法把伪装消息还原成原有的内容的过程称为()。
综合6 分自测不计入学习进度
数字签名的作用是什么？
判断1 分自测不计入学习进度
非对称密码算法的解密密钥由用户秘密加以保管。 （）
A3-3.5.6
威胁防范与信息安全发展趋势。
精编讲义 v1#
现代信息安全前沿技术演进方向
必记- 零信任架构（Zero Trust）：核心原则“持续验证，永不信任（Never Trust, Always Verify）”，打破传统“内网即安全”的边界防御假设
- 安全编排自动化与响应（SOAR）与态势感知：基于大数据威胁情报对全网安全事件进行智能关联聚类与毫秒级自动联动封堵
- 量子密码与后量子密码（PQC）：基于量子不可克隆原理的量子密钥分发（QKD），防范未来量子计算机对经典 RSA 密码体制的颠覆式破解
零信任三大支柱
重点复习提示
零信任三大技术要素：基于身份的动态访问控制（IAM）、软件定义边界（SDP）、微隔离（Micro-segmentation）
随堂自测（3 题 · 共 202 道关联题）展开作答
多选2 分自测不计入学习进度
以下属于计算机病毒预防措施的是（）
多选2 分自测不计入学习进度
以下属于计算机安全防护措施的是（）
单选2 分自测不计入学习进度
保护计算机信息系统免受非授权用户访问的技术是____。 A 数字签名技术 B、加密技术 C、身份识别技术 D、访问控制技术
A3-3.5.7
应急响应处理流程。
精编讲义 v1#
网络安全应急响应 PDCERF 经典六阶段模型
必记1
- 阶段英文缩写
- P
- 阶段名称
- 准备阶段（Preparation）
- 主要应对工作与动作
- 制定应急预案体系、配备安全工具、组织实战演练与资产盘点
2
- 阶段英文缩写
- D
- 阶段名称
- 检测阶段（Detection）
- 主要应对工作与动作
- 发现安全告警、判定安全事件类型（病毒/入侵/篡改/断网）及危害波及范围
3
- 阶段英文缩写
- C
- 阶段名称
- 抑制阶段（Containment）
- 主要应对工作与动作
- 第一时间拔掉网线、隔离受害主机、关闭风险端口，阻止危害进一步向全网横向扩散
4
- 阶段英文缩写
- E
- 阶段名称
- 根除阶段（Eradication）
- 主要应对工作与动作
- 查找根本漏洞根源，清除残留木马病毒后门、修复系统漏洞、强制更换所有管理凭据
5
- 阶段英文缩写
- R
- 阶段名称
- 恢复阶段（Recovery）
- 主要应对工作与动作
- 从离线干净备份恢复业务数据，逐步恢复网络上线，开启高密监控
6
- 阶段英文缩写
- F
- 阶段名称
- 跟踪总结（Follow-up）
- 主要应对工作与动作
- 复盘事件全过程，形成事件溯源取证报告，修订完善应急预案与安全防御规则
| 阶段序号 | 阶段英文缩写 | 阶段名称 | 主要应对工作与动作 |
|---|---|---|---|
| 1 | P | 准备阶段（Preparation） | 制定应急预案体系、配备安全工具、组织实战演练与资产盘点 |
| 2 | D | 检测阶段（Detection） | 发现安全告警、判定安全事件类型（病毒/入侵/篡改/断网）及危害波及范围 |
| 3 | C | 抑制阶段（Containment） | 第一时间拔掉网线、隔离受害主机、关闭风险端口，阻止危害进一步向全网横向扩散 |
| 4 | E | 根除阶段（Eradication） | 查找根本漏洞根源，清除残留木马病毒后门、修复系统漏洞、强制更换所有管理凭据 |
| 5 | R | 恢复阶段（Recovery） | 从离线干净备份恢复业务数据，逐步恢复网络上线，开启高密监控 |
| 6 | F | 跟踪总结（Follow-up） | 复盘事件全过程，形成事件溯源取证报告，修订完善应急预案与安全防御规则 |
应急响应第一黄金法则
必记易错陷阱
当检测到服务器发生严重安全入侵或勒索病毒扩散时，现场运维人员的第一处置动作是：物理断网隔离（拔掉网线或禁用网卡），但严禁直接断电关机，以防内存中黑客作案痕迹与木马进程易失性证据丢失！
随堂自测（1 题 · 共 1 道关联题）展开作答
多选2 分自测不计入学习进度
发现感染计算机病毒后，应采取（）措施