阅读下列说明，回答问题1至问题4，将解答填入答题纸的对应栏内。<br />【说明】 <..

免费智能真题库 > 历年试卷 > 网络规划设计师 > 2016年下半年网络规划设计师下午试卷案例

第3题

知识点： Java 访问控制流量检测网络安全消息销售管理异常中间件

阅读下列说明，回答问题1至问题4，将解答填入答题纸的对应栏内。
【说明】
图3-1是某互联网服务企业网络拓扑，该企业主要对外提供网站消息发布、在线销售管理服务，Web网站和在线销售管理服务系统采用JavaEE开发，中间件使用Weblogic，采用访问控制、NAT地址转换、异常流量检测、非法访问阻断等网络安全措施。

问题：3.1 根据网络安全防范需求，需在不同位置部署不同的安全设备，进行不同的安全防范，为上图中的安全设备选择相应的网络安全设备。
在安全设备1处部署(1)；
在安全设备2处部署(2)；
在安全设备3处部署(3)。
(1)～(3)备选答案：
A．防火墙 B．入侵检测系统(IDS) C．入侵防御系统(IPS)

问题：3.2 在网络中需要加入如下安全防范措施：
A．访问控制
B．NAT
C．上网行为审计
D．包检测分析
E．数据库审计
F．DDoS攻击检测和阻止
G．服务器负载均衡
H．异常流量阻断
I．漏洞扫描
J．Web应用防护
其中，在防火墙上可部署的防范措施有(4)；
在IDS上可部署的防范措施有(5)；
在IPS上可部署的防范措施有(6)。

问题：3.3 结合上述拓扑，请简要说明入侵防御系统(IPS)的不足和缺点。

问题：3.4 该企业网络管理员收到某知名漏洞平台转发在线销售管理服务系统的漏洞报告，报告内容包括：
1．利用Java反序列化漏洞，可以上传jsp文件到服务器。
2．可以获取到数据库链接信息。
3．可以链接数据库，查看系统表和用户表，获取到系统管理员登录帐号和密码信息，其中登录密码为明文存储。
4．使用系统管理员帐号登录销售管理服务系统后，可以操作系统的所有功能模块。
针对上述存在的多处安全漏洞，提出相应的改进措施。


知识点讲解
· Java · 访问控制 · 流量检测 · 网络安全 · 消息 · 销售管理 · 异常 · 中间件

Java

Java语言起源于Oak语言，Oak语言被设计成能运行在设备的嵌入式芯片上。

Java编译成伪代码，这需要一个虚拟机来对其进行解释，Java的虚拟机在几乎每一种平台上都可以运行。这实质上使得开发是与机器独立无关的，并且提供了通用的可移植性。

Java把类的概念和接口的概念区分开来，并试图通过只允许接口的多继承来克服多继承的危险。

Java的异常处理机制与C++的try/throw/catch相类似，但更加严密。在Java中，通过声明轻型线程来处理并发性，这些线程通过副作用和同步协议进行通信。

Java Beans是组件，即类及其所需资源的集合，它们主要被设计用来提供定制的GUI小配件。

Java中关于面向对象概念的术语有对象、类、方法、实例变量、消息、子类和继承。

访问控制

网络设备的访问可以分为带外（out-of-band）访问和带内（in-band）访问。带外（out-of-band）访问不依赖其他网络，而带内（in-band）访问则要求提供网络支持。网络设备的访问方法主要有控制端口（Console Port）、辅助端口（AUX Port）、VTY、HTTP、TFTP、SNMP。Console、AUX和VTY称为line。每种访问方法都有不同的特征。Console Port属于默认设置访问，要求物理上访问网络设备。AUX Port提供带外访问，可通过终端服务器或调制解调器Modem连接到网络设备，管理员可远程访问。VTY提供终端模式通过网络访问网络设备，通常协议是Telnet或SSH2。VTY的数量一般设置为5个，编号是从0到4。网络设备也支持使用HTTP协议进行Web访问。网络设备使用TFTP（Trivial File Transfer Protocol）上传配置文件。SNMP提供读或读写访问几乎所有的网络设备。

CON端口访问

为了进一步严格控制CON端口的访问，限制特定的主机才能访问路由器，可做如下配置，其指定X.Y.Z.1可以访问路由器：

VTY访问控制

为保护VTY的访问安全，网络设备配置可以指定固定的IP地址才能访问，并且增加时间约束。例如，X.Y.Z.12、X.Y.Z.5可以通过VTY访问路由器，则可以配置如下：

超时限制配置如下：

HTTP访问控制

限制指定IP地址可以访问网络设备。例如，只允许X.Y.Z.15路由器，则可配置如下：

除此之外，强化HTTP认证配置信息如下：

其中，type可以设为enable、local、tacacs或aaa。

SNMP访问控制

为避免攻击者利用Read-only SNMP或Read/Write SNMP对网络设备进行危害操作，网络设备提供了SNMP访问安全控制措施，具体如下：

一是SNMP访问认证。当通过SNMP访问网络设备时，网络设备要求访问者提供社区字符串（community strings）认证，类似口令密码。如下所示，路由器设置SNMP访问社区字符串。

（1）设置只读SNMP访问模式的社区字符串。

（2）设置读／写SNMP访问模式的社区字符串。

二是限制SNMP访问的IP地址。如下所示，只有X.Y.Z.8和X.Y.Z.7的IP地址对路由器进行SNMP只读访问。

三是关闭SNMP访问。如下所示，网络设备配置no snmp-server community命令关闭SNMP访问。

设置管理专网

远程访问路由器一般是通过路由器自身提供的网络服务来实现的，例如Telnet、SNMP、Web服务或拨号服务。虽然远程访问路由器有利于网络管理，但是在远程访问的过程中，远程通信时的信息是明文，因而，攻击者能够监听到远程访问路由器的信息，如路由器的口令。为增强远程访问的安全性，应建立一个专用的网络用于管理设备，如下图所示。

建立专用的网络用于管理路由器示意图

同时，网络设备配置支持SSH访问，并且指定管理机器的IP地址才可以访问网络设备，从而降低网络设备的管理风险，具体方法如下：

（1）将管理主机和路由器之间的全部通信进行加密，使用SSH替换Telnet。

（2）在路由器设置包过滤规则，只允许管理主机远程访问路由器。例如以下路由器配置可以做到：只允许IP地址是X.Y.Z.6的主机有权访问路由器的Telnet服务。

特权分级

针对交换机、路由器潜在的操作安全风险，交换机、路由器提供权限分级机制，每种权限级别对应不同的操作能力。在Cisco网络设备中，将权限分为0～15共16个等级，0为最低等级，15为最高等级。等级越高，操作权限就越多，具体配置如下：

流量检测

利用分布式多核硬件技术，基于深度数据包检测技术（DPI）监测、分析网络流量数据，快速识别隐藏在背景流量中的攻击包，以实现精准的流量识别和清洗。恶意流量主要包括DoS/DDoS攻击、同步风暴（SYN Flood）、UDP风暴（UDP Flood）、ICMP风暴（ICMP Flood）、DNS查询请求风暴（DNS Query Flood）、HTTP Get风暴（HTTP Get Flood）、CC攻击等网络攻击流量。

网络安全

随着互联网的飞速发展，网络安全问题已经越来越受到大家广泛的关注，各种病毒花样繁多、层出不穷；系统、程序、软件的安全漏洞越来越多；黑客们通过不正当手段侵入他人电脑，非法获得信息资料，给正常使用互联网的用户带来不可估计的损失。由于目前网络经常受到人为的破坏，因此，网络必须有足够强的安全措施。

计算机网络的安全问题

计算机网络安全就其本质而言是网络上的信息安全。从广义上讲，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全的研究领域。简单来讲，网络安全包括：系统不被侵入、数据不丢失以及网络中的计算机不被病毒感染三大方面。完整的网络安全要求：

.运行系统安全

.网络上系统信息的安全

.网络上信息传播的安全

.网络上信息内容的安全

网络安全应具有保密性、完整性、可用性、可控性以及可审查性几大特征。网络的安全层次分为物理安全、控制安全、服务安全和协议安全。

物理安全

物理安全包括：自然灾害、物理损坏、设备故障、意外事故、人为的电磁泄漏、信息泄漏、干扰他人、受他人干扰、乘机而入、痕迹泄露、操作失误、意外疏漏、计算机系统机房环境的安全漏洞等。

控制安全

控制安全包括：计算机操作系统的安全控制、网络接口模块的安全控制、网络互联设备的安全控制等。

服务安全

服务安全包括：对等实体认证服务、访问控制服务、数据加密服务、数据完整性服务、数据源点认证服务、禁止否认服务等。

TCP/IP协议安全

TCP/IP协议安全主要用于解决：TCP/IP协议数据流采用明文传输、源地址欺骗（Source address spoofing）或IP欺骗（IP spoofing）、源路由选择欺骗（Source Routing spoofing）、路由信息协议攻击（RIP Attacks）、鉴别攻击（Authentication Attacks）、TCP序列号欺骗攻击（TCP SYN Flooding Attack）、易欺骗性（Ease of spoofing）等。

计算机网络的安全威胁主要表现在：非授权访问、信息泄漏或丢失、破坏数据完整性、拒绝服务攻击、利用网络传播病毒、使用者的人为因素、硬件和网络设计的缺陷、协议和软件自身的缺陷以及网络信息的复杂性等方面。

下面介绍一些常见的信息安全技术。

数据的加密与解密

随着计算机网络不断渗透到各个领域，密码学的应用也随之扩大。数字签名、身份鉴别等都是由密码学派生出来的新技术和应用。

在计算机上实现的数据加密，其加密或解密变换是由密钥控制实现的。密钥（Keyword）是用户按照一种密码体制随机选取，它通常是一随机字符串，是控制明文和密文变换的唯一参数。

密码技术除了提供信息的加密解密外，还提供对信息来源的鉴别、保证信息的完整和不可否认等功能，而这三种功能都是通过数字签名实现。数字签名的原理是将要传送的明文通过一种函数运算（Hash）转换成报文摘要（不同的明文对应不同的报文摘要），报文摘要加密后与明文一起传送给接受方，接受方将接受的明文产生新的报文摘要与发送方的发来报文摘要解密比较，比较结果一致表示明文未被改动，如果不一致表示明文已被篡改。

数据加密技术是为提高信息系统及数据的安全性和保密性，防止秘密数据被外部破译所采用的主要技术手段之一，也是网络安全的重要技术。

根据密钥类型不同将现代密码技术分为两类：一类是对称加密（秘密钥匙加密）系统，另一类是公开密钥加密（非对称加密）系统。

对称钥匙加密系统是加密和解密均采用同一把秘密钥匙，而且通信双方都必须获得这把钥匙，并保持钥匙的秘密。它的安全性依赖于以下两个因素。第一，加密算法必须是足够强的，仅仅基于密文本身去解密信息在实践上是不可能的；第二，加密方法的安全性依赖于密钥的秘密性，而不是算法的秘密性，因此，没有必要确保算法的秘密性，而需要保证密钥的秘密性。对称加密系统的算法实现速度极快。因为算法不需要保密，所以制造商可以开发出低成本的芯片以实现数据加密。这些芯片有着广泛的应用，适合于大规模生产。对称加密系统最大的问题是密钥的分发和管理非常复杂、代价高昂。比如对于具有n个用户的网络，需要n（n-1）/2个密钥，在用户群不是很大的情况下，对称加密系统是有效的。但是对于大型网络，当用户群很大，分布很广时，密钥的分配和保存就成了大问题。对称加密算法另一个缺点是不能实现数字签名。

公开密钥加密系统采用的加密钥匙（公钥）和解密钥匙（私钥）是不同的。由于加密钥匙是公开的，密钥的分配和管理就很简单，比如对于具有n个用户的网络，仅需要2n个密钥。公开密钥加密系统还能够很容易地实现数字签名。因此，最适合于电子商务应用需要。在实际应用中，公开密钥加密系统并没有完全取代对称密钥加密系统，这是因为公开密钥加密系统是基于尖端的数学难题，计算非常复杂，它的安全性更高，但它的实现速度却远赶不上对称密钥加密系统。在实际应用中可利用二者的各自优点，采用对称加密系统加密文件，采用公开密钥加密系统加密“加密文件”的密钥（会话密钥），这就是混合加密系统，它较好地解决了运算速度问题和密钥分配管理问题。因此，公钥密码体制通常被用来加密关键性的、核心的机密数据，而对称密码体制通常被用来加密大量的数据。

防火墙技术

防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合，以防止发生不可预测的、潜在破坏性的侵入。实际上，它包含着一对矛盾（或称机制）：一方面它限制数据流通，另一方面它又允许数据流通。

作为内部网络与外部公共网络之间的第一道屏障，防火墙是最先受到人们重视的网络安全产品之一。虽然从理论上看，防火墙处于网络安全的最底层，负责网络间的安全认证与传输，但随着网络安全技术的整体发展和网络应用的不断变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成传统防火墙的过滤任务，同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。

常见的防火墙主要有数据包过滤型防火墙、应用级网关型防火墙、代理服务型防火墙、复合型防火墙等几种类型。典型的防火墙包括过滤器、链路级网关和应用级网关或代理服务器，如下图所示。

安装防火墙的作用在于弥补网络服务的脆弱性、控制对网络的存取、集中的安全管理、网络使用情况的记录及统计。但是它仍然有局限性，对于下列情况，它不能防范：绕过防火墙的攻击、来自内部变节者和不经心的用户带来的威胁、变节者或公司内部存在的间谍将数据复制到软盘、传送已感染病毒的软件或文件等。

在使用防火墙前，应该设计好防火墙的规则。它包括下列内容：防火墙的行为准则（拒绝没有特别允许的任何服务、允许没有特别拒绝的任何服务）、机构的安全策略、费用、系统的组件或构件。

防火墙的组成

网络安全协议

下面介绍几种常见的网络安全协议。

SSH （Secure Shell）

由芬兰的一家公司开发的。通过使用SSH，可以把所有传输的数据进行加密，抵御“中间人”攻击，而且也能够防止DNS和IP欺骗。由于传输的数据是经过压缩的，所以还可以加快传输的速度。

SSH由客户端和服务端的软件组成的。从客户端来看，SSH提供两种级别的安全验证：基于密码的安全验证和基于密匙的安全验证。

PKI （Public Key Infrastructure）

PKI体系结构采用证书管理公钥，通过第三方的可信机构CA，把用户的公钥和用户的其他标识信息（如名称、E-mail、身份证号等）捆绑在一起，在Internet网上验证用户的身份，PKI体系结构把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的机密性、完整性。一个典型、完整、有效的PKI应用系统至少应具有：公钥密码证书管理、黑名单的发布和管理、密钥的备份和恢复、自动更新密钥以及自动管理历史密钥等几部分。

（1） SET （Secure Electronic Transaction）。

SET安全电子交易协议是由美国Visa和MasterCard两大信用卡组织提出的应用于Internet上的以信用卡为基础的电子支付系统协议。它采用公钥密码体制和X.509数字证书标准，主要应用于B to C模式中保障支付信息的安全性。SET协议本身比较复杂，设计比较严格，安全性高，它能保证信息传输的机密性、真实性、完整性和不可否认性。

（2） SSL （Secure socket Layer&Security Socket Layer）。

安全套接层协议（SSL）是网景（Netscape）公司提出的基于Web应用的安全协议，包括：服务器认证、客户认证（可选）、SSL链路上的数据完整性和SSL链路上的数据保密性。对于电子商务应用来说，使用SSL可保证信息的真实性、完整性和保密性。但由于SSL不对应用层的消息进行数字签名，因此不能提供交易的不可否认性，这是SSL在电子商务中使用的最大不足。

消息

消息是对象间通信的手段、一个对象通过向另一个对象发送消息来请求其服务。一个消息通常包括接收对象名、调用的操作名和适当的参数（如有必要）。消息只告诉接收对象需要完成什么操作，并不能指示接收者怎样完成操作。消息完全由接收者解释，接收者独立决定采用什么方法来完成所需的操作。

销售管理

物联网系统具有快速的信息传递能力，及时获取销货信息，汇总传递给上一级分销商或制造商，进行补货等操作。及时准确的信息传递，有利于上游供应商合理安排生产计划或者补货计划，降低运营风险。在货物调配环节，RFID技术的支持大大提高了货物拣选、配送及分发的速度，还在此过程中实时监督货物流向，保障其准时准点到达，实现了销售环节的畅通。对零售商来说，合理的库存数量，保证了定单供货，降低脱销的可能性和库存积压的风险。将库存水平保持在最小安全库存量，释放占有的资金，有助于企业投资管理。并且，可定位之作品能够的产品，零售商可实时监控仓库库存水平，仓储货物种类等信息，一定程度上帮助销售。

异常

异常是一种形式的异常控制流，它一部分是由硬件实现的，一部分是由操作系统实现的。因为它们有一部分是由硬件实现的，所以具体细节将随系统的不同而有所不同。然而，对于每个系统而言，基本的思想都是相同的。

异常（exception）就是控制流中的突变，用来响应处理器状态中的某些变化。异常可以分为四类：中断（interrupt）、陷阱（trap）、故障（fault）和中止（abort）。下表对这些类别的属性做了小结。

异常的类别

（1）陷阱。陷阱是有意的异常，是执行一条指令的结果。就像中断处理程序一样，陷阱处理程序将控制返回到下一条指令。陷阱最重要的用途是在用户程序和内核之间提供一个像过程一样的接口，叫做系统调用。

用户程序经常需要向内核请求服务，例如读一个文件、创建一个新的进程、加载一个新的程序或者中止当前进程。为了允许对这些内核服务的受控的访问，处理器提供了一条特殊的syscall指令，当用户程序想要请求服务n时，可以执行这条指令。执行syscall指令会导致一个到异常处理程序的陷阱，这个处理程序对参数解码，并调用适当的内核程序。

（2）故障。故障由错误情况引起，它可能被故障处理程序修正。当一个故障发生时，处理器将控制转移给故障处理程序。如果处理程序能够修正这个错误情况，它就将控制返回到故障指令，从而重新执行它。否则，处理程序返回到内核中的abort例程，abort例程会中止引起故障的应用程序。

（3）中止。中止是不可恢复的致命错误造成的结果，典型的是一些硬件错误，例如DRAM或者SRAM位被损坏时发生的奇偶错误。中止处理程序从不将控制返回给应用程序。处理程序将控制返回给一个abort例程，该例程会中止这个应用程序。

中间件

随着计算机技术的飞速发展，各种各样的应用软件需要在各种平台之间进行移植，或者一个平台需要支持多种应用软件和管理多种应用系统，软、硬件平台和应用系统之间需要可靠和高效的数据传递或转换，使系统的协同性得以保证。这些，都需要一种构筑于软、硬件平台之上，同时对更上层的应用软件提供支持的软件系统，而中间件正是在这个环境下应运而生。

中间件的定义

由于中间件技术正处于发展过程之中，因此目前尚不能对它进行精确的定义。

普遍被接受的是IDC对中间件定义的描述：中间件是一种独立的系统软件或服务程序，分布式应用软件借助这种软件在不同的技术之间共享资源，中间件位于客户机服务器的操作系统之上，管理计算资源和网络通信。

IDC对中间件的定义表明：中间件是一类软件，而非一种软件；中间件不仅仅实现互连，还要实现应用之间的互操作；中间件是基于分布式处理的软件，最突出的特点是其网络通信功能。

人们在使用中间件时，往往是一组中间件集成在一起，构成一个平台（包括开发平台和运行平台），但在这组中间件中必须有一个通信中间件，即：中间件=平台+通信，这个定义也限定了只有用于分布式系统中才能称为中间件，同时还可以把它与支撑软件和应用软件区分开来。

中间件的主要作用是：

①缩短应用的开发周期。

②节约应用的开发成本。

③减少系统初期的建设成本。

④降低应用开发的失败率。

⑤保护已有的投资。

⑥简化应用集成。

⑦减少维护费用。

⑧提高应用的开发质量。

⑨保证技术进步的连续性。

⑩增强应用的生命力。

中间件与电子商务

中间件是电子商务应用集成的关键之一，不管电子商务应用分布在什么硬件平台上，使用了什么数据库系统，透过了什么复杂的网络，电子商务应用的互连和互操作是电子商务中间件首先要解决的问题。

在通信方面，电子商务中间件要支持各种通信协议和通信服务模式，传输各种数据内容，数据格式翻译、流量控制、数据加密、数据压缩等；电子商务中间件还要解决名字服务、安全控制、并发控制、可靠性和效率保证等；在电子商务应用开发方面，要能提供基于不同平台的丰富的开发接口，支持流行的开发工具和异构互连接口标准等；在管理方面，解决电子商务中间件本身的配置、监控、调谐，为电子商务应用的易用易管理提供保证。针对不同的Web应用环境，对电子商务中间件有各种不同的要求。对工作流应用，需要根据条件以及条件满足状态，将信息、响应状态从一个应用传递到另一个应用；对联机事务处理，需要保证分布式的数据一致性、不停机作业、大量并发的高效率；对于一个数据采集系统需要保证可靠传输等。

在这种情况下，电子商务应用应包含以下层次：

①浏览器。这是进入电子商务的通道。

②电子商务应用平台。提供电子商务不同应用类型的生成工具软件，如网上商店、网络支付、虚拟社区等。

③电子商务交换平台。对内集成企业内部的各种与电子商务相关的业务系统，对外连接商业合作伙伴，如银行、供应商、客户、配送结构，完成各种不同业务系统之间数据转换和整合。

④电子商务基础平台。用来支持大量Internet客户的并发访问，使应用开发商快速开发出灵活多变的电子商务应用，尽快把信息系统和商务活动放到Internet中。

在电子商务交换平台和电子商务基础平台中都不能没有中间件的存在。可以说，没有中间件就不能支撑今天的网络应用。

题号导航 2016年下半年网络规划设计师下午试卷案例

本试卷我的完整做题情况



	第3题在手机中做本题