计算机网络技术备考指南 | 第9章 计算机网络安全：考试重点全解析

一、本章在考试中的地位

本章是全书收尾。以近年真题常见题型为例，具体以当次考试大纲为准：单选题常考攻击类型归属、对称与非对称算法代表、防火墙类型、病毒特征；填空题常考 DES 密钥长度、RSA 原理、数字签名所用密钥、SSL 端口；简答题常考"网络安全的基本目标""防火墙的作用与局限""计算机病毒的特征与防范"；综合题可能给出场景要求配置包过滤规则或选择加密方案。概念辨析清楚，得分就很稳。

二、核心考点清单

安全概论

• 安全目标（CIA + 两性）：保密性、完整性、可用性，以及可控性、不可否认性。
• 被动攻击：截获（窃听）、流量分析——只观察不篡改，难以检测，重在预防（加密）。
• 主动攻击：中断（拒绝服务）、篡改、伪造（重放）——可检测但难完全预防，重在检测与恢复。
• 安全服务：身份认证、访问控制、数据保密、数据完整性、不可否认；对应机制有加密、数字签名、访问控制列表、认证交换、流量填充、路由控制、公证。

信息加密技术

• 对称加密：加密与解密用同一密钥。DES（64 位分组、56 位有效密钥、16 轮）、3DES（三次 DES，密钥长度提升）、AES（128 位分组，密钥 128/192/256 位）、IDEA。优点是速度快，适合大数据量；缺点是密钥分发难、n 个用户需 n(n−1)/2 个密钥。
• 非对称加密：公钥加密、私钥解密（或私钥签名、公钥验证）。RSA 基于大整数分解难题，ECC 基于椭圆曲线离散对数。优点是密钥管理方便、可支持数字签名；缺点是运算慢，常与对称加密结合使用（混合加密）。
• 数字签名：用发送方私钥对报文摘要签名，接收方用公钥验证，保证不可否认与完整性；报文鉴别码 MAC 用共享密钥，只能鉴别不能防抵赖。
• 散列函数：MD5（128 位）、SHA-1（160 位）、SHA-256，具有单向性、抗碰撞性。
• 数字证书与 PKI：由 CA 签发的证书绑定主体身份与公钥，解决公钥真实性问题；证书链逐级信任到根 CA。

Internet 中的安全协议

• IPSec：网络层安全，含 AH（认证头，保证完整性与认证）与 ESP（封装安全载荷，兼有加密）；工作模式分传输模式（保护载荷）与隧道模式（整体封装，用于 VPN）。
• SSL/TLS：介于应用层与传输层之间，提供加密、认证与完整性；HTTPS 使用 443 端口。
• 应用层安全：S/MIME 与 PGP 用于电子邮件，SET 用于信用卡支付，Kerberos 用于网络认证。

防火墙技术

• 包过滤防火墙：工作在网络层，依据源/目的 IP、端口、协议、标志位等五元组匹配 ACL，速度快、成本低、对用户透明，但无法检查应用层内容、不支持复杂状态、规则配置易出错。
• 应用级网关（代理防火墙）：工作在应用层，代理收发、可深度检查内容、隐藏内网结构，但性能开销大、需为每类应用开发代理。
• 状态检测防火墙：跟踪连接状态表，比静态包过滤更智能，是主流形式。
• 其他：电路级网关、NAT、DMZ 非军事区（放置对外服务器）、个人防火墙。
• 局限：不能防范内部攻击、绕过防火墙的拨号/无线接入、病毒与数据驱动攻击，需与其他手段配合。

病毒与恶意代码防范

• 计算机病毒特征：寄生性、传染性、潜伏性、隐蔽性、破坏性、可触发性。
• 类型：引导型、文件型、混合型、宏病毒、蠕虫（网络自我复制）、木马（远程控制、窃密）、逻辑炸弹、后门、勒索软件。
• 防范：及时打补丁、安装杀毒软件并更新病毒库、不随意打开陌生附件与链接、关闭不必要端口与服务、定期备份、最小权限运行。

非技术手段

管理与制度（安全策略、权限分级、审计与问责）、法律与法规（网络安全法、数据安全法）、安全教育与培训、物理安全（门禁、防雷、防火、介质管理）、备份与容灾（本地备份 + 异地容灾）、应急预案与演练。技术是基础，管理是关键。

三、高频简答题预测

1. 网络安全的基本目标是什么？
要点：保密性（信息不泄露给未授权者）、完整性（数据不被非法篡改）、可用性（授权用户可正常使用）、可控性（信息传播可控制）、不可否认性（行为不可抵赖）。

2. 简述对称加密与非对称加密的区别及各自优缺点。
要点：对称加密加解密同密钥，速度快、适合大数据，但密钥分发与管理困难、无法直接实现数字签名；非对称加密用公钥/私钥一对密钥，密钥管理方便、可支持签名与密钥交换，但运算慢、开销大。实际系统常采用混合加密：用非对称算法传会话密钥，用对称算法加密数据。

3. 数字签名是如何实现的？它能提供哪些安全服务？
要点：发送方先对报文计算散列值，用自己的私钥加密摘要形成签名，附在报文中；接收方用发送方公钥解密签名得到摘要，并与自行计算的摘要比对。可提供身份认证、完整性校验与不可否认性，但不提供保密性（需另行加密）。

4. 防火墙的主要类型有哪些？存在哪些局限？
要点：包过滤、应用级网关（代理）、状态检测、电路级网关等。局限：难以防范内部人员攻击、无法阻止绕过防火墙的接入、对加密流量与新型应用识别困难、不能替代防病毒与主机加固。

四、易错点提醒

1. 数字签名用私钥签、公钥验；加密用公钥加、私钥解，两组方向别写反。
2. DES 有效密钥是 56 位（64 位中含 8 位奇偶校验），常被误写为 64 位。
3. 蠕虫不需要宿主程序即可自我复制传播，木马一般不自我复制，二者都不是传统"文件型病毒"。
4. 包过滤防火墙工作在网络层，不能检查应用层内容；代理防火墙才能做内容级控制。

五、本章记忆口诀/速记表

项目	关键点
安全目标	保密、完整、可用 + 可控、不可否认
被动/主动	窃听与流量分析 / 中断、篡改、伪造
对称算法	DES(56)、3DES、AES、IDEA
非对称算法	RSA、ECC、Diffie-Hellman
签名	私钥签、公钥验
防火墙	包过滤、代理、状态检测
病毒特征	寄生、传染、潜伏、隐蔽、破坏、触发

口诀："保密完整可用，可控不可否认"；加密记"对称快、非对称巧，公钥加密私钥解；签名反过来"；病毒记"寄传潜隐破触"六字。