免费智能真题库 > 历年试卷 > 网络工程师 > 2020年下半年 网络工程师 下午试卷 案例
  第2题      
  知识点：   入侵检测系统   网络管理   RAID   Web应用防火墙   磁盘   磁盘阵列   防火墙   垃圾邮件   入侵检测   业务系统

 
小王为某单位网络中心网络管理员，该网络中心部署有业务系统、网站对外提供信息服务，业务数据通过SAN存储网络，集中存储在磁盘阵列上，使用RAID实现数据冗余；部署邮件系统供内部人员使用，并配备有防火墙、入侵检测系统、Web应用防火墙、上网行为管理系统，反垃圾邮件系统等安全防护系统，防范来自内外部网络的非法访问和攻击。
 
问题：2.1   (4分)
网络管理员在处理终端A和B无法打开网页的故障时，在终端A上ping 127.0.0.1不通，故障可能是（1）原因造成；在终端B上能登录互联网即时聊天软件，但无法打开网页，故障可能是（2）原因造成。
(1)~ (2)备选答案:
A. 链路故障
B. DNS配置错误
C. TCP/IP协议故障
D. IP配置错误
 
问题：2.2   (8分) 年初，网络管理员监测到部分境外组织借新冠疫情对我国信息系统频繁发起攻击，其中，图2-1访问日志所示为(3)攻击，图2-2访问日志所示为(4)攻击。


网络管理员发现邮件系统收到大量不明用户发送的邮件，标题含“武汉旅行信息收集”、“新型冠状病毒肺炎的预防和治疗”等和疫情相关字样，邮件中均包含相同字样的excel文件，经检测分析，这些邮件均来自某境外组织，exel文件中均含有宏，并诱导用户执行宏，下载和执行木马后门程序，这些驻留程序再收集重要目标信息，进一步扩展渗透，获取敏感信息，并利用感染电脑攻击防疫相关的信息系统，上述所示的攻击手段为(5)攻击，应该采取(6) 等措施进行防范。

(3) ~ (5)备选答案:
A.跨站脚本
B.SQL注入
C.宏病毒
D.APT
E. DDos
F. CC
G.蠕虫病毒
H. 一句话木马
 
问题：2.3   (5分) 存储区域网络(Storage Area Network, 简称SAN)可分为(7)、(8)两种，从部署成本和传输效率两个方面比较这两种SAN，比较结果为(9)。
 
问题：2.4   (3分) 请简述RAID2.0技术的优势(至少列出2点优势)。
 
 
 

   知识点讲解    
   · 入侵检测系统    · 网络管理    · RAID    · Web应用防火墙    · 磁盘    · 磁盘阵列    · 防火墙    · 垃圾邮件    · 入侵检测    · 业务系统
 
       入侵检测系统
        入侵检测系统（Intrusion Detection System, IDS）可以弥补防火墙的不足，为网络安全提供实时的入侵检测及采取相应的防护手段，如记录证据、跟踪入侵、恢复或断开网络连接等。
        1）基本概念
        入侵行为主要是指对系统资源的非授权使用，可以造成系统数据的丢失和破坏、系统拒绝服务等危害。对于入侵检测而言的网络攻击可以分为以下4类。
        （1）检查单IP包（包括TCP、UDP）首部即可发觉的攻击，如winnuke、ping of death、land.c、部分OS detection、source routing等。
        （2）检查单IP包，并同时要检查数据段信息才能发觉的攻击，如利用CGI漏洞、缓存溢出攻击等。
        （3）通过检测发生频率才能发觉的攻击，如端口扫描、SYN Flood、smurf攻击等。
        （4）利用分片进行的攻击，如teadrop、nestea、jolt等。
        进行入侵检测的软件与硬件的组合就是入侵检测系统。入侵检测系统的原理模型如下图所示。入侵检测通过对计算机网络或计算机系统中的若干关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。
        
        入侵检测系统的原理模型
        2）任务
        入侵检测系统执行的主要任务包括监视、分析用户及系统活动；审计系统构造的弱点；识别、反映已知进攻的活动模式，向相关人士报警；统计分析异常行为模式；评估重要系统和数据文件的完整性；审计、跟踪管理操作系统，识别用户违反安全策略的行为。
        3）步骤
        入侵检测一般分为3个步骤，依次为信息收集、数据分析、响应（被动响应和主动响应）。
        信息收集的内容包括系统、网络、数据及用户活动的状态和行为。入侵检测利用的信息一般来自系统日志、目录以及文件中的异常改变、程序执行中的异常行为及物理形式的入侵信息4个方面。
        数据分析是入侵检测的核心。它首先构建分析器，把收集到的信息经过预处理，建立一个行为分析引擎或模型，然后向模型中植入时间数据，在知识库中保存植入数据的模型。数据分析一般通过模式匹配、统计分析和完整性分析3种手段进行。
        入侵检测系统在发现入侵后会及时做出响应，包括切断网络连接、记录事件和报警等。响应一般分为主动响应（阻止攻击或影响进而改变攻击的进程）和被动响应（报告和记录所检测出的问题）两种类型。
        4）入侵检测系统技术
        可以采用概率统计方法、专家系统、神经网络、模式匹配、行为分析等来实现入侵检测系统的检测机制，以分析事件的审计记录，识别特定的模式，生成检测报告和最终的分析结果。
        发现入侵检测一般采用如下两项技术。
        （1）异常发现技术。异常发现技术假定所有入侵行为都是与正常行为不同的。它的原理是，假设可以建立系统正常行为的轨迹，所有与正常轨迹不同的系统状态则视为可疑企图。异常阈值与特征的选择是其成败的关键。其局限在于：并非所有的入侵都表现为异常，而且系统的轨迹难以计算和更新。
        （2）模式发现技术。模式发现技术是假定所有入侵行为和手段（及其变种）都能够表达为一种模式或特征，所有已知的入侵方法都可以用匹配的方法发现。模式发现技术的关键是如何表达入侵的模式，以正确区分真正的入侵与正常行为。模式发现的优点是误报少；局限是只能发现已知的攻击，对未知的攻击无能为力。
        5）入侵检测系统的分类
        通常，入侵检测系统按其输入数据的来源分为以下3类。
        （1）基于主机的入侵检测系统。其输入数据来源于系统的审计日志，一般只能检测该主机上发生的入侵。
        （2）基于网络的入侵检测系统。其输入数据来源于网络的信息流，能够检测该网段上发生的网络入侵。
        （3）分布式入侵检测系统。能够同时分析来自主机系统审计日志和网络数据流的入侵检测系统，系统由多个部件组成，采用分布式结构。
        另外，入侵检测系统还有其他一些分类方法。如根据布控物理位置可分为基于网络边界（防火墙、路由器）的监控系统、基于网络的流量监控系统以及基于主机的审计追踪监控系统；根据建模方法可分为基于异常检测的系统、基于行为检测的系统和基于分布式免疫的系统；根据时间分析可分为实时入侵检测系统和离线入侵检测系统。
        6）入侵检测的方法
        入侵检测的方法主要有以下几种。
        （1）静态配置方法。静态配置方法通过检查系统的当前配置，诸如系统文件的内容或者系统表，来检查系统是否已经或者可能会遭到破坏。静态是指检查系统的静态特征（系统配置信息），而不是系统中的活动。所以，采用静态配置分析方法需要尽可能了解系统的缺陷，否则入侵者只需要简单地利用那些系统中未知的安全缺陷就可以避开检测系统。
        （2）异常性检测方法。异常性检测技术是一种在不需要操作系统及其防范安全性缺陷专门知识的情况下，就可以检测入侵者的方法，同时它也是检测冒充合法用户的入侵者的有效方法。但是，在许多环境中，为用户建立正常行为模式的特征轮廓，以及确定用户活动的异常性报警的阈值都是比较困难的事，所以仅使用异常性检测技术不可能检测出所有的入侵行为。
        （3）基于行为的检测方法。通过检测用户行为中那些与已知入侵行为模式类似的行为，以及那些利用系统的缺陷或间接违背系统安全规则的行为，来判断系统中的入侵活动。
        入侵检测方法虽然能够在某些方面取得好的效果，但总体看来各有不足，因而越来越多的入侵检测系统都同时采用几种方法，以互补不足，共同完成检测任务。
        7）入侵检测系统的结构
        目前，CIDF（通用入侵检测架构组织）和IETF都试图对入侵检测系统进行标准化。CIDF阐述了一个入侵检测系统的通用模型，将入侵检测系统分为以下4个组件。
        （1）事件产生器。CIDF将入侵检测系统需要分析的数据统称为事件，它可以是网络中的数据包，也可以是从系统日志等其他途径得到的信息。事件产生器是从整个计算环境中获得事件，并向系统的其他部分提供此事件。
        （2）事件分析器。事件分析器分析得到的数据，并产生分析结果。
        （3）响应单元。响应单元则是对分析结果做出反应的功能单元，它可以做出切断连接、改变文件属性等强烈反应，也可以是简单的报警。
        （4）事件数据库。事件数据库是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。
        在这个模型中，前三者以程序的形式出现，而最后一个常是文件或数据流。入侵检测系统的几个组件常位于不同的主机上。一般会有3台机器，分别运行事件产生器、事件分析器和响应单元。
        8）入侵检测系统的标准化
        IETF的Internet草案工作组（IDWG）专门负责定义入侵检测系统组件之间，以及不同厂商的入侵检测系统之间的通信格式，目前只有相关的草案（Draft），还未形成正式的RFC文档。IDWG文档有以下4类。
        （1）入侵警报协议（IAP）。该协议是用于交换入侵警报信息、运行于TCP之上的应用层协议。
        （2）入侵检测交换协议（IDXP）。这个应用层协议是在入侵检测实体间交换数据，提供入侵检测报文交换格式（IDMEF）报文、无结构的文本和二进制数据的交换。
        （3）IDMEF。IDMEF是数据存放格式隧道（Tunnel）文件，允许块可扩展交换协议（Beep）对等体能作为一个应用层代理，用户通过防火墙得到服务。
        （4）IAP。IAP是最早设计的通信协议，它将被IDXP替换，IDXP建立在Beep基础之上，Tunnel文件配合IDXP使用。
        9）IDS与防火墙的比较
        IDS不同于防火墙的是，它是一个监听设备，没有挂接在任何链路上，无须网络流量流经它便可以工作。因此，对IDS的部署，唯一的要求是：IDS应当挂接在所有所关注流量都必须流经的链路上。在这里，"所关注流量"指的是来自高危网络区域的访问流量和需要进行统计、监视的网络报文。在如今的网络拓扑中，已经很难找到以前的Hub式的共享介质冲突域的网络，绝大部分的网络区域都已经全面升级到交换式的网络结构。因此，IDS在交换式网络中的位置一般选择在：尽可能靠近攻击源和受保护资源。这些位置通常是：服务器区域的交换机，Internet接入路由器之后的第一台交换机，重点保护网段的局域网交换机等。两者的不同点如下表所示。
        
        IDS与防火墙功能的比较
 
       网络管理
        网络管理的重点内容是网络故障诊断、网络配置以及重配置和网络监视。
 
       RAID
        RAID技术旨在缩小日益扩大的CPU速度和磁盘存储器速度之间的差距。其策略是用多个较小的磁盘驱动器替换单一的大容量磁盘驱动器，同时合理地在多个磁盘上分布存放数据以支持同时从多个磁盘进行读写，从而改善了系统的I/O性能。小容量驱动器阵列与大容量驱动器相比，具有成本低、功耗小、性能好等优势。低代价的编码容错方案在保持阵列的速度与容量优势的同时保证了极高的可靠性，同时也较容易扩展容量。但是由于允许多个磁头同时进行操作以提高I/O数据传输速度，因此不可避免地提高了出错的概率。
        为了补偿可靠性方面的损失，RAID使用存储的校验信息（Stored Parity Information）来从错误中恢复数据。最初，Inexpensive一词主要针对当时另一种技术（Single Large Expensive Disk，SLED）而言，但随着技术的发展，SLED已经过时，RAID和non-RAID皆采用了类似的磁盘技术。因此，RAID现在代表独立磁盘冗余阵列，用Independent来强调RAID技术所带来的性能改善和更高的可靠性。
        RAID机制中共分8个级别，工业界公认的标准分别为RAID0～RAID7。RAID应用的主要技术有分块技术、交叉技术和重聚技术。
        （1）RAID0级（无冗余和无校验的数据分块）：具有最高的I/O性能和最高的磁盘空间利用率，易管理，但系统的故障率高，属于非冗余系统，主要应用于那些关注性能、容量和价格而不是可靠性的应用程序。
        （2）RAID1级（磁盘镜像阵列）：由磁盘对组成，每一个工作盘都有其对应的镜像盘，上面保存着与工作盘完全相同的数据拷贝，具有最高的安全性，但磁盘空间利用率只有50%。RAID1主要用于存放系统软件、数据及其他重要文件。它提供了数据的实时备份，一旦发生故障，所有的关键数据即刻就可使用。
        （3）RAID2级（采用纠错海明码的磁盘阵列）：采用了海明码纠错技术，用户需增加校验盘来提供单纠错和双验错功能。对数据的访问涉及阵列中的每一个盘。大量数据传输时I/O性能较高，但不利于小批量数据传输。实际应用中很少使用。
        （4）RAID3和RAID4级（采用奇偶校验码的磁盘阵列）：把奇偶校验码存放在一个独立的校验盘上，如果有一个盘失效，其上的数据可以通过对其他盘上的数据进行异或运算得到。读数据很快，但因为写入数据时要计算校验位，速度较慢。
        （5）RAID5级（无独立校验盘的奇偶校验码磁盘阵列）：与RAID4类似，但没有独立的校验盘，校验信息分布在组内所有盘上，对于大、小批量数据读写性能都很好。RAID4和RAID5使用了独立存取（Independent Access）技术，阵列中每一个磁盘都相互独立地操作，所以I/O请求可以并行处理。该技术非常适合于I/O请求率高的应用而不太适应于要求高数据传输率的应用。与其他方案类似，RAID4、RAID5也应用了数据分块技术，但块的尺寸相对大一点。
        （6）RAID6级：这是一个强化的RAID产品结构。阵列中设置一个专用校验盘，它具有独立的数据存取和控制路径，可经由独立的异步校验总线、高速缓存总线或扩展总线来完成快速存取的传输操作。值得注意的是，RAID6在校验盘上使用异步技术读写，这种异步仅限于校验盘，而阵列中的数据盘和面向主机的I/O传输仍与以前的RAID结构雷同，即采用的是同步操作技术。仅此校验异步存取，加上Cache存取传输，RAID6的性能就比RAID5要好。
        （7）RAID7级：RAID7等级是至今为止理论上性能最高的RAID模式，因为它从组建方式上就已经和以往的方式有了重大的不同。以往一个硬盘是一个组成阵列的“柱子”，而在RAID 7中，多个硬盘组成一个“柱子”，它们都有各自的通道。这样做的好处就是在读写某一区域的数据时，可以迅速定位，而不会因为以往因单个硬盘的限制同一时间只能访问该数据区的一部分，在RAID7中，以前的单个硬盘相当于分割成多个独立的硬盘，有自己的读写通道，效率也就不言自明了。然而，RAID7的设计与相应的组成规模注定了它是一揽子承包计划。
        总体上说，RAID7是一个整体的系统，有自己的操作系统，有自己的处理器，有自己的总线，而不是通过简单的插卡就可以实现的。RAID7所有的I/O传输都是异步的，因为它有自己独立的控制器和带有Cache的接口，与系统时钟并不同步。所有的读写操作都将通过一个带有中心Cache的高速系统总线进行传输，称为X-Bus。专用的校验硬盘可以用于任何通道。带有完整功能的即时操作系统内嵌于阵列控制微处理器，这是RAID7的心脏，负责各通道的通信及Cache的管理，这也是它与其他等级最大不同点之一。归纳起来，RAID7的主要特点如下。
        .连通性：可增至12个主机接口。
        .扩展性：线性容量可增至48个硬盘。
        .开放式系统：运用标准的SCSI硬盘、标准的PC总线、主板及SIMM内存，集成Cache的数据总线（就是上文提到的X-Bus），在Cache内部完成校验生成工作，多重的附加驱动可以随时热机待命，提高冗余率和灵活性。
        .易管理性：SNMP可以让管理员远程监视并实现系统控制。
        按照RAID7设计者的说法，这种阵列将比其他RAID等级提高150%～600%写入时的I/O性能，但这引起了不小的争议。
 
       Web应用防火墙
        Web应用防火墙的产品特点是根据预先定义的过滤规则和安全防护规则，对所有访问Web服务器的HTTP请求和服务器响应进行HTTP协议和内容过滤，并对Web服务器和Web应用提供安全防护的网络安全产品。
 
       磁盘
        在磁表面存储器中，磁盘的存取速度最快，且具有较大的存储容量，是目前广泛使用的外存储器。磁盘存储器由盘片、驱动器、控制器和接口组成。盘片的两面用来存储信息。驱动器用于驱动磁头（读／写头）沿盘面作径向运动以寻找目标磁道位置，驱动盘片以额定速率稳定旋转，通常是5400～15000r/min（Revolution Per Minute，RPM），并且控制数据的写入和读出。控制器接收主机发来的命令，将它转换成磁盘驱动器的控制命令，并实现主机和驱动器之间数据格式的转换及数据传送，以控制驱动器的读／写操作。一个控制器可以控制一台或多台驱动器。接口是主机和磁盘存储器之间的连接逻辑。
        磁盘存储器也称为硬盘存储器。硬盘存储器具有存储容量大，使用寿命长，存取速度较快的特点。硬盘存储器的硬件包括硬盘控制器（适配器）、硬盘驱动器以及连接电缆。硬盘控制器（Hard Disk Controller，HDC）对硬盘进行管理，并在主机和硬盘之间传送数据。硬盘控制器以适配卡的形式插在主板上或直接集成在主板上，然后通过电缆与硬盘驱动器相连。硬盘驱动器（Hard Disk Drive，HDD）中有盘片、磁头、主轴电机（盘片旋转驱动机构）、磁头定位机构、读／写电路和控制逻辑等。
        为了提高单台驱动器的存储容量，在硬盘驱动器内使用了多个盘片，它们被叠装在主轴上，构成一个盘组；每个盘片的两面都可用作记录面，所以一个硬盘的存储容量又称为盘组容量。
        硬盘的接口方式可以说是硬盘另一个非常重要的技术指标，这点从SCSI硬盘和IDE硬盘的巨大差价就能体现出来，接口方式直接决定硬盘的性能。现在最常见的接口有IDE（ATA）和SCSI两种，此外还有一些移动硬盘采用了PCMCIA或USB接口。
        .IDE（Integrated Drive Electronics）：IDE接口最初由CDC、康柏和西部数据公司联合开发，由美国国家标准协会（ATA）制定标准，所以又称ATA接口。普通用户家里的硬盘几乎全是IDE接口的。IDE接口的硬盘可细分为ATA-1（IDE）、ATA-2（EIDE）、ATA-3（Fast ATA-2）、ATA-4（包括UItraATA、Ultra ATA/33、Ultra ATA/66）与Serial ATA（包括Ultra ATA/100及其他后续的接口类型）。基本IDE接口数据传输率为4.1Mb/s，传输方式有PIO和DMA两种，支持总线为ISA和EISA。后来为提高数据传输率、增加接口上能连接的设备数量、突破528MB限制及连接光驱的需要，又陆续开发了ATA-2、ATAPI和针对PCI总线的FAST-ATA、FAST-ATA2等标准，数据传输率达到了16.67MB/s。
        .小型计算机系统接口（Small Computer System Interface，SCSI）：SCSI并不是专为硬盘设计的，实际上它是一种总线型接口。由于独立于系统总线工作，所以它的最大优势在于其系统占用率极低，但由于其昂贵的价格，这种接口的硬盘大多用于服务器等高端应用场合。
 
       磁盘阵列
        廉价冗余磁盘阵列（Redundant Array of Inexpensive Disks，RAID）是由多个小容量、独立的磁盘组成的阵列，是一种高效、快速、易用的网络存储备份设备。磁盘阵列有多种部署方式，也称为RAID级别，目前主要有RAID0、RAID1、RAID3、RAID5等级别。不同的RAID级别，备份的方式不同，使用时可单独采用一种级别，也可几种级别组合使用。如RAID10就是RAID0和RAID1的组合。
 
       防火墙
               防火墙的基本概念
               防火墙的概念源于早期为防止火灾蔓延在房屋周围修建的矮墙。在网络安全中，防火墙是在内部网与外部网之间构筑的一道保护屏障，是执行访问控制策略的一个或一组系统。通过执行访问控制策略，提供授权通信，保护内部网不受外部非法用户的入侵，控制内部网与外部网之间数据流量。
               防火墙可以是硬件，也可以是软件，或是二者结合。防火墙系统决定了哪些内部服务可以被外界访问，外界的哪些人可以访问内部服务，哪些外部服务可以被内部人员访问等。防火墙必须只允许授权的数据通过，其本身也必须能够免于渗透，但防火墙不是对网络内的每台计算机分别进行保护，而是让所有外部对内部网计算机的信息访问都通过某个点，防火墙就是保护这个点。防火墙技术是实现网络安全的主要手段之一。目前，企业内部网络与因特网之间的有效隔离方式大都采用的是防火墙技术。
               防火墙的功能
               防火墙主要用于实现网络路由的安全性。网络路由的安全性包括两个方面：限制外部网对内部网的访问，从而保护内部网特定资源免受非法侵犯；限制内部网对外部网的访问，主要是针对一些不健康信息及敏感信息的访问。
               防火墙具有以下优点：
               （1）保护那些易受攻击的服务。防火墙能过滤那些不安全的服务（如NFS等）。只有预先被允许的服务才能通过防火墙，这样就降低了受到攻击的风险性，大大地提高了网络的安全性。
               （2）控制对特殊站点的访问。防火墙能控制对特殊站点的访问。如有些主机能被外部网络访问，而有些则要被保护起来，防止不必要的访问。通常会有这样一种情况，在内部网中只有Mail服务器、FTP服务器和WWW服务器能被外部网访问，而其他访问则被主机禁止。
               （3）集中化的安全管理。对于一个企业而言，使用防火墙比不使用防火墙可能更加经济一些。这是因为如果使用了防火墙，就可以将所有修改过的软件和附加的安全软件都放在防火墙上集中管理；而不使用防火墙，就必须将所有软件分散到各个主机上。
               （4）对网络访问进行记录和统计。如果所有对Internet的访问都经过防火墙，那么防火墙就能记录下这些访问，并能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能够报警，并提供网络是否受到监测和攻击的详细信息。
               防火墙也有一些不能实现的功能：
               （1）限制有用的网络服务。防火墙为了提高被保护网络的安全性，限制或关闭了很多有用但存在安全缺陷的网络服务。
               （2）不能防范内部网络用户的攻击。目前防火墙只提供了对外部网络用户攻击的防护，对来自内部网络用户的攻击只能依靠内部网络主机系统的安全性。
               （3）不能完全防范病毒。因为病毒的类型很多，操作系统各异，编码与压缩二进制文件的方法也各不相同，因此防火墙不能完全防止传送已感染病毒的软件或文件，不能期望防火墙对每一个文件进行扫描，查出潜在的病毒。
               防火墙的分类
               从技术角度分类，防火墙可以分为包过滤防火墙、代理服务防火墙和复合型防火墙。
                      包过滤防火墙
                      网络传输数据是以“包”为单位进行的，数据被分割成一定大小的数据包，每个数据包中都会含有一些特定的信息，如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙可通过对数据包的源地址、目的地址及端口等的检查，判断数据包是否来自可信任的安全站点。如果发现来自危险站点的数据包，防火墙将会拒绝其通过。
                      包过滤防火墙是最简单的防火墙，使用方便，实现成本低。分组过滤在网络层实现，不要求改动应用程序，也不要求用户学习任何新的东西，对用户来讲是透明的，用户基本感觉不到分组过滤器的存在。但也存在一个问题，就是过滤器不能在用户层次上进行安全过滤，即在同一台机器上，过滤器分辨不出是哪个用户的报文。
                      包过滤防火墙的工作原理如下图所示。
                      
                      包过滤防火墙
                      代理服务防火墙
                      代理服务防火墙使用一个客户程序与特定的中间节点（防火墙）连接，然后中间节点与服务器进行实际连接。代理服务防火墙使内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。
                      代理服务防火墙工作原理如下图所示。
                      
                      代理服务防火墙
                      代理服务防火墙也被称为应用网关防火墙，其核心技术就是代理服务器技术。它采用为每种所需服务在网关上安装特殊代码（代理服务）的方式来管理Internet服务。其应用原理是：当代理服务器收到客户对自己代理的某Web站点的访问请求后，就检查该请求是否符合规定；如果规则允许用户访问该站点时，代理服务器代理客户在该站点取回所需信息，再转发给客户。代理服务器在外部网络向内部网络申请服务时发挥了中间转接的作用，体现了“应用代理”的角色。
                      使用代理服务器技术，所有通信都必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的TCP连接，彻底隔断了内网与外网的直接通信，从外部网只能看到代理服务器而不能了解内部网的资源信息，如用户的真实IP地址等。代理服务器提供详细的日志和审计功能，应用层的协议会话过程必须符合代理的安全策略要求，访问业务都由“守规矩”的代理服务器代劳。因此，代理服务防火墙的安全性大大提高。
                      代理服务器基于特定的应用，因此需要对每个应用服务（如Telnet、FTP）安装相应的代理服务软件，未被服务器支持的网络服务用户不能使用，因此代理服务防火墙维护量大，使用具有一定的局限性。由于需要代理服务，造成了网络性能下降，网络访问速度变慢。此外，每类应用服务需要使用特殊的客户端软件，并进行一些相关设置，使得代理服务防火墙的透明性较差。
                      复合型防火墙
                      复合型防火墙将前两类防火墙结合起来，形成新的产品，以发挥各自优势，克服各自缺点，满足更高安全性要求。
               防火墙的安全控制模型
               防火墙通常有两种安全模型可以选择：没有被列为允许访问的服务都是被禁止的；没有被列为禁止访问的服务都是被允许的。
               为网络建立防火墙，首先需要决定防火墙采取何种安全控制模型。采取第一种安全控制模型，需要确定所有可以被提供的服务以及它们的安全特性，开放这些服务；将所有其他未被列入的服务排除在外，禁止访问。采取第二种安全控制模型，正好相反，需要确定那些被认为是不安全的服务，禁止其访问；而其他服务则被认为是安全的，允许访问。找出网络所有的漏洞，排除所有的非法服务，一般是很难的。从安全性角度考虑，第一种模型更可取一些，而从灵活性和使用方便性的角度考虑，则第二种模型更合适。
               防火墙与Web服务器的配置方式
               根据需要，防火墙与Web服务器的配置会有所不同，主要有三种：
               （1）Web服务器置于防火墙之内。这种方式Web服务器可以得到安全保护，不易被外界攻击，但Web服务器本身也不易被外界所用。
               （2）Web服务器置于防火墙之外。这种方式主要保证了内部网安全，Web服务器不受到保护。需要注意的是，有些防火墙结构不允许将Web服务器设置在防火墙之外。
               （3）Web服务器置于防火墙之上。这种方式增强了Web服务器的安全性，但是如果Web服务器出现问题，整个Web站点和内部网都会处于危险之中。
 
       垃圾邮件
        攻击者利用邮件系统制造垃圾信息，甚至通过专门的邮件炸弹（mail bomb）程序给受害用户的信箱发送垃圾信息，耗尽用户信箱的磁盘空间，使用户无法应用这个信箱。
 
       入侵检测
        入侵检测是用于检测任何损害或企图损害系统的机密性、完整性或可用性的行为的一种网络安全技术。它通过监视受保护系统的状态和活动，采用异常检测或误用检测的方式，发现非授权的或恶意的系统及网络行为，为防范入侵行为提供有效的手段。
        入侵检测系统要解决的最基本的两个问题是：如何充分并可靠地提取描述行为特征的数据，以及如何根据特征数据，高效并准确地判断行为的性质。由系统的构成来说，通常包括数据源（原始数据）、分析引擎（通过异常检测或误用检测进行分析）、响应（对分析结果采用必要和适当的措施）3个模块。
               入侵检测技术
               入侵检测系统所采用的技术可分为特征检测与异常检测两种：
               （1）特征检测。特征检测也称为误用检测，假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式，使之既能够表达“入侵”现象又不会将正常的活动包含进来。
               （2）异常检测。假设入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。
               常用检测方法
               入侵检测系统常用的检测方法有特征检测、统计检测与专家系统。
               （1）特征检测。对已知的攻击或入侵的方式作出确定性的描述，形成相应的事件模式。当被审计的事件与已知的入侵事件模式相匹配时，即报警。原理上与专家系统相仿。其检测方法上与计算机病毒的检测方式类似。目前基于对包特征描述的模式匹配应用较为广泛。该方法预报检测的准确率较高，但对于无经验知识的入侵与攻击行为无能为力。
               （2）统计检测。统计模型常用异常检测，在统计模型中常用的测量参数包括：审计事件的数量、间隔时间、资源消耗情况等。常用的入侵检测5种统计模型为：
               .操作模型。假设异常可通过测量结果与一些固定指标相比较得到，固定指标可以根据经验值或一段时间内的统计平均得到，举例来说，在短时间内的多次失败的登录很有可能是口令尝试攻击。
               .方差。计算参数的方差，设定其置信区间，当测量值超过置信区间的范围时表明有可能是异常。
               .多元模型。操作模型的扩展，通过同时分析多个参数实现检测。
               .马尔柯夫过程模型。将每种类型的事件定义为系统状态，用状态转移矩阵来表示状态的变化，当一个事件发生时，或状态矩阵该转移的概率较小则可能是异常事件。
               .时间序列分析。将事件计数时间序列分析。将事件计数与资源耗用根据时间排成序列，如果一个新事件在该时间发生的概率较低，则该事件可能是入侵。
               统计方法的最大优点是它可以“学习”用户的使用习惯，从而具有较高检出率与可用性。但是它的“学习”能力也给入侵者以机会通过逐步“训练”使入侵事件符合正常操作的统计规律，从而绕过入侵检测系统。
               （3）专家系统。用专家系统对入侵进行检测，经常是针对有特征入侵行为。所谓的规则，即是知识，不同的系统与设置具有不同的规则，且规则之间往往无通用性。专家系统的建立依赖于知识库的完备性，知识库的完备性又取决于审计记录的完备性与实时性。入侵的特征抽取与表达，是入侵检测专家系统的关键。运用专家系统防范有特征入侵行为的有效性完全取决于专家系统知识库的完备性。
               性能
               仅仅能够检测到各种攻击是不够的，入侵检测系统还必须能够承受高速网络和高性能网络节点所产生的事件流的压力。有两种途径可以用来实时分析庞大的信息量，分别是分割事件流和使用外围网络传感器。
               （1）分割事件流。可以使用一个分割器将事件流切分为更小的可以进行管理的事件流，从而入侵检测传感器就可以对它们进行实时分析。
               （2）使用外围网络传感器。在网络外围并靠近系统必须保护的主机附近使用多个传感器。
 
       业务系统
        该重工集团有自己的管理模型。顶端按照工业4.0，集团管控，包括阿米巴经营模式；相应的流程制度，岗位职责，工作标准，成本绩效。左边是信息化管控，右边是智能化建设，下面是精益管理，底下是企业文化。这样的管理需要用信息化系统去实现。
        在这架构中，ERP系统是基础，利用CRM系统和客户对接，SRM管理供应链，MES监控生产。利用OA把所有业务打通，而后利用专业软件，实现前端的商务智能分析。
        下图的物联网设想把MES系统和机床、物流以及检测设备连起来，做成物联化，把ERP升级到CRM或者SCRM，把供应商和客户打通，形成企业的互联网。
        
        智能工厂物联网体系
        下图是整个业务系统的总体架构图。一个平台、两级部署、三层应用，包括商业分析、移动应用、企业门户和协同管理。
        
        智能工厂业务系统整体架构
        在业务系统这块，先后上线了ERP系统、PLM系统、OA系统和MES系统。上线的这些系统，虽然参与了生产、管理，打通了业务，却没有让领导层参与，反馈报告依然采用Excel、PPT。作为决策者，领导层更应该参与数据的可视化呈现过程。所以，2014年上线了帆软报表系统，提升了数据前端展示，利用某报表软件承担的BOSS系统决策，将领导层纳入管理体系。
   题号导航      2020年下半年 网络工程师 下午试卷 案例   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
 
第2题    在手机中做本题