絡(luò)與信息安全考點解析：從OSI到子網(wǎng)劃分的備考指南)
1. 考點權(quán)重與命題套路為什么這章值得單獨扒一遍如果你備考過軟件設(shè)計師翻翻上午題歷年試卷就會發(fā)現(xiàn)計算機網(wǎng)絡(luò)及信息安全這個板塊極其穩(wěn)定地占據(jù)著6到8分的量級偶爾還會在案例分析題里以配置場景的方式冒個頭。很多人覺得這部分知識點零散、名詞多、記了又忘干脆臨考前突擊一下結(jié)果選擇題里丟個四五分的很常見。實際上這一章是性價比最高的部分因為它不像算法和數(shù)據(jù)結(jié)構(gòu)那樣需要大量刷題思維也不像軟件工程那樣全是文字游戲只要你把框架搭清楚再用一些對比表格輔助記憶分?jǐn)?shù)幾乎是白送的。先說清楚考試中的實際分布。上午的選擇題一共75道計算機網(wǎng)絡(luò)相關(guān)的題目通常在4到6道信息安全相關(guān)的2到3道合起來大概就是7到9分的區(qū)間。請注意下午的案例題一般不直接考網(wǎng)絡(luò)配置命令但有一年出現(xiàn)過基于網(wǎng)絡(luò)拓?fù)渑挪楣收系念}目如果對協(xié)議不熟很容易卡殼。因此我的建議是這一章你至少要保證選擇題拿滿同時順帶把網(wǎng)絡(luò)基礎(chǔ)概念弄懂防止下午題出幺蛾子。命題套路非常固定幾乎可以用老三樣來概括。第一樣是協(xié)議族和層次模型要么考OSI七層的功能分層要么考TCP/IP四層與協(xié)議對應(yīng)關(guān)系要么給你一個數(shù)據(jù)包從發(fā)送到接收的過程讓你判斷各層封裝。第二樣是IP地址與子網(wǎng)劃分計算這類題是實打?qū)嵉挠嬎泐}會的人一分鐘出答案不會的人蹲在考場里掰手指頭。第三樣是信息安全中的算法分類和數(shù)字簽名流程屬于概念辨析題把幾類算法和用途對照清楚就穩(wěn)了。理解了這套框架之后你就能針對性地去突破而不是捧著教材從頭背到尾。有一點要提醒你別被教材里那一堆英文縮寫嚇退。DHCP、ARP、ICMP這些協(xié)議只需要知道它在哪一層、干什么用、有哪些關(guān)鍵機制不需要去記報文格式?？荚嚳嫉氖侵啦皇菍崿F(xiàn)。接下來我按自己復(fù)習(xí)時整理的邏輯把這塊內(nèi)容分成四個核心模塊過一遍每部分都附上應(yīng)試角度必須掌握的要點以及我踩過的坑。2. 網(wǎng)絡(luò)分層與協(xié)議族把OSI和TCP/IP理解成快遞鏈路很多第一次備考的人被OSI七層模型弄得頭大但換個角度就容易了你把數(shù)據(jù)發(fā)送過程想象成寄快遞。應(yīng)用層是你填寫的快遞單內(nèi)容傳輸層是決定用普通快遞還是特快專遞TCP還是UDP網(wǎng)絡(luò)層是依據(jù)地址規(guī)劃路線的調(diào)度中心數(shù)據(jù)鏈路層是實際裝車配送到隔壁街區(qū)的貨車物理層則是路況和車道本身。數(shù)據(jù)從你手里發(fā)出每下一層就套一個信封到了目的地逐層拆開這就是封裝與解封裝的過程?？荚囎畛？嫉膶?yīng)關(guān)系務(wù)必記清楚。應(yīng)用層協(xié)議與端口之間的匯聚點是選擇題的高頻區(qū)HTTP對應(yīng)80HTTPS對應(yīng)443FTP控制端口21和數(shù)據(jù)端口20DNS是53DHCP用67和68SMTP發(fā)信是25POP3收信是110遠程登錄Telnet是23SSH是22。這些端口不要求你全背但至少每年有個一道題是在里面挑一個考的建議做成小卡片反復(fù)刷眼熟。TCP與UDP的區(qū)別是必考題我建議記這樣一句話TCP可靠但慢UDP快但不管丟。TCP的三次握手流程、四次揮手、全雙工通信、流量控制和擁塞控制每一個都可能成為選項。三次握手的序列號變化過程有幾年特別喜歡考你得知道SYN、SYNACK、ACK這幾個標(biāo)志的先后順序。UDP的典型應(yīng)用是視頻直播、語音通話、DNS查詢這些能承受少量丟失的場景。這個能不能容忍丟包就是判斷該類應(yīng)用該用誰的最快標(biāo)準(zhǔn)。ARP協(xié)議這個地方很多人容易混淆。ARP位于網(wǎng)絡(luò)層與數(shù)據(jù)鏈路層之間作用是把IP地址解析為MAC地址它只在同一個廣播域內(nèi)工作。如果你收到一個數(shù)據(jù)包需要發(fā)往另一個網(wǎng)段源主機會先用ARP查詢默認(rèn)網(wǎng)關(guān)的MAC地址然后將數(shù)據(jù)交給網(wǎng)關(guān)轉(zhuǎn)發(fā)。這個細(xì)節(jié)是?？嫉南葳錋RP是解析IP到MAC而DNS是解析域名到IP別把兩者混為一談。還有RARP是反向把MAC地址映射回IP地址考試出現(xiàn)的概率小但偶爾會拿來混淆視線。網(wǎng)絡(luò)層還需要分清ICMP和IGMP。ICMP是互聯(lián)網(wǎng)控制報文協(xié)議最典型的使用者是ping命令和traceroute命令ping返回的請求超時或目標(biāo)不可達就是ICMP報文的反饋。IGMP則是管理組播組成員關(guān)系的組播那個知識點隔幾年冒出來一次你只要記住組播用IGMP單播和廣播不用它就差不多了。## 3. 網(wǎng)絡(luò)分層與協(xié)議族把OSI和TCP/IP理解成快遞鏈路這一章的知識點如果死記硬背會非常折磨人。我的經(jīng)驗是把它放在一個具體的數(shù)據(jù)包旅行場景里去理解所有層次和協(xié)議立刻就有了秩序感。下面先搭框架再講應(yīng)試中最常考的細(xì)節(jié)。3.1 從數(shù)據(jù)包的一次跨網(wǎng)傳輸看懂兩臺主機的協(xié)作想象一下你用瀏覽器打開某個網(wǎng)站整個過程涉及DNS解析、TCP建連、HTTP請求發(fā)送、路由轉(zhuǎn)發(fā)、響應(yīng)回傳。數(shù)據(jù)從應(yīng)用層產(chǎn)生后每經(jīng)過一層就會加上該層的頭部信息這個過程叫封裝對端收到后從物理層往上層層剝掉頭部這叫解封裝?？荚嚭苌僦苯訂柲惴庋b順序是什么但會以當(dāng)數(shù)據(jù)到達目標(biāo)主機的網(wǎng)絡(luò)層時已經(jīng)處理完哪些層這類變體出現(xiàn)。網(wǎng)絡(luò)接口層負(fù)責(zé)在局域網(wǎng)內(nèi)傳輸幀幀里有源MAC地址和目的MAC地址。只要數(shù)據(jù)包要出本網(wǎng)段源MAC一定是發(fā)送方網(wǎng)卡目的MAC一定是下一跳設(shè)備的MAC通常是網(wǎng)關(guān)。但要記住源IP和目的IP在整個傳輸過程中基本不變而每一跳的MAC地址都在改變。這個考點一旦出成PC1發(fā)給PC2經(jīng)過一臺路由器請問哪些地址發(fā)生變化很多人就會栽在MAC地址的更新上。TCP三次握手的過程也完全可以串進這個場景里。第一次握手客戶端發(fā)送SYN報文初始序列號假設(shè)為x第二次握手服務(wù)器回復(fù)SYNACK并帶上自己的初始序列號y同時確認(rèn)x1第三次握手客戶端再發(fā)ACK確認(rèn)y1。考試喜歡把三次握手亂序排列或者在狀態(tài)名上做文章你只要記住連接建立一定要雙向確認(rèn)這一句話就足以排雷了。3.2 協(xié)議與端口的高頻清單應(yīng)用層協(xié)議與端口的對應(yīng)關(guān)系幾乎是每年必考。我不建議你對著端口表硬背你可以把它們分類成網(wǎng)頁類、文件類、郵件類、遠程管理類、基礎(chǔ)設(shè)施類這樣更容易形成網(wǎng)絡(luò)。類別協(xié)議默認(rèn)端口特征一句話網(wǎng)頁訪問HTTP / HTTPS80 / 443HTTPS多了加密和證書校驗文件傳輸FTP控制21數(shù)據(jù)20明文傳輸需要登錄認(rèn)證郵件發(fā)送SMTP25只負(fù)責(zé)發(fā)信不負(fù)責(zé)收郵件接收POP3 / IMAP110 / 143POP3偏向下載后離線讀遠程管理Telnet / SSH23 / 22Telnet明文SSH加密域名解析DNS53將域名轉(zhuǎn)成IP也支持反向查詢動態(tài)地址分配DHCP67/68客戶端用68服務(wù)端用67無盤啟動等TFTP69基于UDP簡單文件傳輸有個小提醒DHCP的67、68端口這兩年是高頻考點而且命題常常換個角度——問你DHCP客戶端發(fā)送請求時使用的源端口是哪個。答案是68。同理FTP的數(shù)據(jù)端口20與主動模式被動模式的差異不一定會考但端口對應(yīng)關(guān)系你得記。DNS還有一個極易踩的坑它不只做域名轉(zhuǎn)IP郵件服務(wù)器的MX記錄、負(fù)載均衡的SRV記錄也在DNS體系內(nèi)?？荚?yán)锶绻霈F(xiàn)根據(jù)域名查詢郵件服務(wù)器地址你要能反應(yīng)出這是在用DNS的MX記錄而不是直接發(fā)一封郵件。3.3 TCP與UDP判斷的兩條鐵律看到一個應(yīng)用怎么判斷它該用TCP還是UDP大多數(shù)人卡在HTTP不是基于TCP嗎但視頻為什么用UDP其實判斷標(biāo)準(zhǔn)就兩條第一數(shù)據(jù)是否要求完整無損第二能否容忍延遲和丟包。需要的是正確性優(yōu)先比如網(wǎng)頁內(nèi)容、文件下載、郵件、數(shù)據(jù)庫同步統(tǒng)統(tǒng)TCP需要的是實時性優(yōu)先比如直播推流、語音通話、在線游戲的狀態(tài)同步、DNS快速查詢用了UDP?？荚囘€有一個經(jīng)典陷阱DNS使用UDP但DNS區(qū)域傳送即主DNS服務(wù)器向備用DNS服務(wù)器同步整個區(qū)域數(shù)據(jù)用的卻是TCP。原因是區(qū)域傳送的數(shù)據(jù)量大需要可靠傳輸。這種特殊場景下?lián)Q協(xié)議的細(xì)節(jié)就是命題組最愛設(shè)的坑你必須單獨記住。三次握手的異常情況也值得看一眼。比如客戶端連續(xù)發(fā)送SYN但從未收到SYNACK可能是服務(wù)器監(jiān)聽隊列滿了也可能是防火墻攔截。但在上午選擇題里一般不會讓你做這么深入的排查更多是考SYN泛洪攻擊利用了TCP三次握手的哪個弱點答案指向服務(wù)器等待第三次ACK時半連接隊列被占滿。這個點放在后面的安全章節(jié)我會再展開。4. IP地址與子網(wǎng)劃分計算題拿分的關(guān)鍵公式如果說協(xié)議是背一背就能拿分那IP地址計算就是需要動筆的題。放心它沒有你想象得那么難考試中出現(xiàn)的無非是以下幾類判斷IP地址的類別、計算網(wǎng)絡(luò)地址/廣播地址、計算可用主機數(shù)、判斷兩個IP是否在同一網(wǎng)段以及CIDR表示法的互相轉(zhuǎn)換。每類都有明確的步驟和公式只要訓(xùn)練幾道題就能熟練。4.1 IPv4地址分類與特殊地址IPv4地址是32位二進制每8位一組轉(zhuǎn)為十進制。A類地址第一字節(jié)范圍1到126默認(rèn)掩碼/8用于超大規(guī)模網(wǎng)絡(luò)B類128到191掩碼/16C類192到223掩碼/24D類224到239用于組播E類240到255保留研究。這個分類判斷雖然簡單但我建議你不要只背范圍而要明白它與默認(rèn)掩碼的關(guān)系A(chǔ)類前8位是網(wǎng)絡(luò)位B類前16位是網(wǎng)絡(luò)位C類前24位是網(wǎng)絡(luò)位。特殊地址里考試概率最大的是這三類第一地址127.0.0.1代表本機環(huán)回地址第二169.254.x.x是Windows主機無法從DHCP獲取地址時的自動專用地址看到它說明DHCP可能出了問題第三私有地址段——10.0.0.0/8、172.16.0.0/12、192.168.0.0/16這些地址只能在內(nèi)網(wǎng)使用不能直接上公網(wǎng)。如果題目給了一個私有IP讓你判斷能否作為公網(wǎng)路由源地址答案自然是否定的。4.2 子網(wǎng)劃分計算的標(biāo)準(zhǔn)動作子網(wǎng)劃分的本質(zhì)就是從主機位里借出若干位作為子網(wǎng)號?？荚嚦＝o一個標(biāo)準(zhǔn)地址和一個子網(wǎng)掩碼讓你求某個地址所屬的網(wǎng)絡(luò)地址、廣播地址和可用地址范圍。我的做法分三步第一步把子網(wǎng)掩碼寫成二進制找出從第幾位開始是主機位第二步把IP地址與掩碼做按位與得到網(wǎng)絡(luò)地址第三步把主機位全部置1得到廣播地址第四步網(wǎng)絡(luò)地址加1是第一個可用地址廣播地址減1是最后一個可用地址。舉個例子IP地址192.168.10.130子網(wǎng)掩碼255.255.255.192。掩碼的最后一個字節(jié)192對應(yīng)二進制11000000說明最后8位里前兩位是子網(wǎng)位后6位是主機位。IP地址的最后一個字節(jié)130對應(yīng)10000010與11000000做按位與得到10000000即128。所以網(wǎng)絡(luò)地址是192.168.10.128廣播地址把后6位置1得10111111即191可用范圍是129到190中間一共有62個可用主機數(shù)。這個計算熟練之后20秒就能出答案。子網(wǎng)掩碼還有一個快速換算技巧/26等價于255.255.255.192/27等價于255.255.255.224/28等價于255.255.255.240。你不需要每次都去轉(zhuǎn)換二進制直接記住幾個常用CIDR對應(yīng)的掩碼和主機數(shù)即可。但記住每個子網(wǎng)可用的主機數(shù)是2^n - 2其中n是主機位位數(shù)減去的是網(wǎng)絡(luò)地址和廣播地址。4.3 子網(wǎng)聚合與劃分方向問題有時候題目會反著考給你幾個子網(wǎng)讓你求路由聚合后的地址。聚合的規(guī)則是取多個子網(wǎng)共同的最長相同前綴。比如192.168.1.0/24和192.168.2.0/24聚合時前24位中有23位相同從第24位開始不同所以聚合后的前綴是/23網(wǎng)絡(luò)地址是192.168.0.0。要注意聚合前子網(wǎng)得是連續(xù)的且大小一致否則不能用簡單的相同前綴法。另一個常見坑是可變長子網(wǎng)掩碼。比如給你一個172.16.0.0/16讓你先劃分出容納4000臺主機的子網(wǎng)再從剩余空間劃分子網(wǎng)給300臺主機使用。這種題的關(guān)鍵是永遠從最大的子網(wǎng)開始劃分保證剩余空間完整。4000臺主機需要2^124096但12位主機位只能有4094個可用剛好滿足4000所以掩碼是/20余下從172.16.16.0/20繼續(xù)往下切。這種由大到小的次序感是VLSM計算的核心思路。IPv6雖然考得少但也需要了解基本形態(tài)128位地址冒號十六進制表示每16位一組共8組連續(xù)零可以使用::壓縮一次。IPv6沒有廣播地址取而代之的是任播和組播。考試最多出一道IPv6地址長度是幾位的送分題別在細(xì)節(jié)上花費太多時間。5. 網(wǎng)絡(luò)設(shè)備與IP配置小型局域網(wǎng)那些必考的常識5.1 集線器、交換機、路由器到底有什么本質(zhì)差異這一塊屬于你以為是常識、做選擇題卻常錯的地方。集線器工作在物理層它所有端口共享帶寬收到信號直接廣播到所有端口毫無智能可言所以現(xiàn)在基本退出了組網(wǎng)場景。交換機工作在數(shù)據(jù)鏈路層它維護MAC地址表通過MAC地址只把數(shù)據(jù)幀轉(zhuǎn)發(fā)到對應(yīng)端口。路由器工作在網(wǎng)絡(luò)層依靠IP地址做跨網(wǎng)段轉(zhuǎn)發(fā)是連接不同網(wǎng)絡(luò)的核心設(shè)備?？荚?yán)镒畛Ｒ姷拿}角度是當(dāng)PC-A和PC-B在同一個交換機上PC-C在另一個網(wǎng)段PC-A訪問PC-C時經(jīng)過哪些設(shè)備答案是一定要經(jīng)過路由器而交換機可能在同一個廣播域內(nèi)起著透明轉(zhuǎn)發(fā)的作用。還有一類題問交換機會隔離沖突域還是廣播域——交換機隔離沖突域但不隔離廣播域這也是N個考生反復(fù)踩的坑。5.2 一個命令排查兩類故障場景上午題偶爾會把Linux或Windows的ipconfig、ping、traceroute拉出來考。最常見的考點有三個第一ping 127.0.0.1檢查本機協(xié)議棧第二ping本機IP檢查網(wǎng)卡是否正常第三ping網(wǎng)關(guān)檢查局域網(wǎng)連通性。這里的邏輯是從底層到上層逐層排除考試可能故意改變順序讓你判斷錯誤的排查方法是什么。比如有一道經(jīng)典題主機能ping通自己也能ping通網(wǎng)關(guān)但ping不通遠程服務(wù)器可能原因是什么答案方向有兩種一是遠程服務(wù)器的防火墻屏蔽了ICMP請求二是本機到遠程路由途中存在訪問控制策略。注意只要網(wǎng)關(guān)能通就說明本機到路由器這一段物理鏈路和IP配置基本正常。問題在出口之后不要再懷疑自己電腦的網(wǎng)卡。另一種故障是DNS解析問題瀏覽器能通過IP地址訪問公網(wǎng)服務(wù)器但輸入域名打不開網(wǎng)頁這種十有八九是DNS配置錯誤或DNS服務(wù)不可用?？荚囈堰@一步和網(wǎng)線沒插好分開前者是應(yīng)用層的問題后者是物理層的問題考查你按層次定位故障的能力。5.3 DHCP與DNS的常見考題DHCP的工作流程常被概括為四個階段發(fā)現(xiàn)DISCOVER、提供OFFER、選擇REQUEST、確認(rèn)ACK。題目考得最多的是客戶端通過哪種報文來廣播尋找DHCP服務(wù)器答案是DISCOVER廣播包。為什么是廣播因為客戶端不知道服務(wù)器在哪必須向全網(wǎng)廣播。等到后續(xù)請求階段客戶端會再次廣播REQUEST用來告知服務(wù)器挑選結(jié)果同時通知未選中的服務(wù)器釋放地址資源。DNS在選擇題里則更傾向考記錄類型A記錄是域名到IPv4地址AAAA記錄是域名到IPv6地址MX記錄是郵件交換記錄CNAME是別名記錄NS是域名服務(wù)器記錄。考試只要給你一個場景比如需要為域名添加一個用于指定郵件服務(wù)器的記錄對應(yīng)MX記錄即可。平時自己搭過DNS的人會覺得這很簡單沒搭過的就會在A和MX之間猶豫所以建議非網(wǎng)絡(luò)方向的考生花二十分鐘用本機hosts加nslookup體驗一下主機的解析流程。6. 安全基石加密算法與數(shù)字簽名怎么選信息安全這部分上午題的分值約有2到3分內(nèi)容卻非常密集。我復(fù)習(xí)時最大的感受是它其實不是靠背算法名而是靠理清加密、簽名、摘要這三件事的語義邊界。一旦邊界清楚了無論題目怎么繞都能接住。6.1 對稱加密、非對稱加密與哈希的三類區(qū)分對稱加密的特點是加密解密用同一把密鑰優(yōu)點是快適合大量數(shù)據(jù)缺點是密鑰分發(fā)困難。常見算法有DES、3DES、AES其中AES是當(dāng)前的主流DES由于密鑰長度太短已被淘汰。非對稱加密是公鑰加密、私鑰解密或者私鑰簽名、公鑰驗簽優(yōu)點是密鑰管理相對容易缺點是慢。常見算法有RSA、ECC。哈希算法則沒有密鑰它把任意長度的輸入壓縮成固定長度的摘要不可逆用于驗證完整性。常見算法有MD5、SHA-1、SHA-256其中MD5和SHA-1已經(jīng)不再認(rèn)為是安全的。把這個梳理成表之后選擇題里以下哪個是對稱加密算法這類題基本就是白送。但出題人不會總這么善良更多時候是給一個應(yīng)用場景讓你選合適的算法。比如大量文件內(nèi)容需要加密存儲選AES因為性能高需要在不安全信道交換會話密鑰選RSA需要確認(rèn)文件是否被篡改選SHA-256。場景題比直接問算法分類更能鍛煉你的判斷力。6.2 公鑰體系與數(shù)字簽名的完整流程數(shù)字簽名解決兩個問題身份認(rèn)證與抗抵賴。簽名的動作是發(fā)送方用自己的私鑰對消息摘要進行加密驗證的動作是接收方用發(fā)送方的公鑰解密并比對消息摘要是否一致。這里特別容易混淆——很多人記成公鑰加密、私鑰解密就直接套到簽名上來結(jié)果方向全反。記住一個原則誰要證明自己誰用私鑰別人要驗證你用你的公鑰。密鑰的使用方向完全由身份認(rèn)證的需求反向推導(dǎo)出來。數(shù)字證書則是把公鑰和持有者信息綁定在一起由CA簽發(fā)的電子文件。證書內(nèi)容包括版本號、序列號、簽名算法、頒發(fā)者、有效期、公鑰信息等。考試問數(shù)字證書的主要作用時核心就是綁定公鑰與身份防止中間人篡改公鑰。如果你正在看得頭疼可以類比身份證證書就是網(wǎng)絡(luò)世界的身份證里面寫著這個公鑰屬于誰而CA就是發(fā)證機構(gòu)。6.3 談到加密必須避開的幾個概念坑第一坑是加密算法強度等于密鑰長度的絕對化。DES的56位密鑰確實弱但AES-128在可預(yù)見的未來仍算安全實際強度還取決于實現(xiàn)是否正確。選擇題只需要你進行常規(guī)判斷不要過分推演。第二坑是哈希和加密被混為一談。哈希不可逆的所以它不能用來解密只能用于完整性校驗和存比對值。比如系統(tǒng)里存儲用戶口令規(guī)范做法是加鹽后做哈希而不是直接存明文密碼也不是用對稱加密后再存——因為加密可逆數(shù)據(jù)庫泄露后密鑰若一起被竊取明文就暴露了。這個邏輯在考題中常以用戶口令安全存儲方式的形式出現(xiàn)。第三坑是數(shù)字信封的概念。數(shù)字信封是非對稱加密與對稱加密的合體發(fā)送方用對稱密鑰加密數(shù)據(jù)再用接收方的公鑰加密這個對稱密鑰然后把密文和加密后的密鑰一起發(fā)送。接收方先用私鑰解出對稱密鑰再用對稱密鑰解密數(shù)據(jù)。這樣兼顧了非對稱加密的分發(fā)安全和對稱加密的傳輸效率?？荚囈话悴灰竽惝嫵鐾暾鞒痰仨氁芸闯鏊Y(jié)合了兩類算法這一核心特征。7. 常見安全攻擊與防御策略案例題怎么答7.1 從攻擊特征識別威脅類型信息安全選擇題的另一種考法是給一個攻擊過程的描述讓你判斷它屬于哪種攻擊。這幾年最常見的有SYN Flood、DDoS、SQL注入、跨站腳本攻擊XSS、跨站請求偽造CSRF、ARP欺騙、中間人攻擊和暴力破解。每個攻擊的識別關(guān)鍵要抓住它利用了哪一層、什么漏洞。SYN Flood通過大量發(fā)送SYN但不完成三次握手消耗服務(wù)器半連接隊列資源屬于拒絕服務(wù)攻擊防御思路是啟用SYN Cookie、限制半連接數(shù)。DDoS多臺被控主機同時向目標(biāo)發(fā)送海量請求帶寬和資源耗盡防御思路是流量清洗、限速、黑洞路由。SQL注入攻擊者在輸入框提交惡意SQL語句使后端拼接出危險查詢防御思路是用參數(shù)化查詢和預(yù)編譯語句。XSS攻擊者把腳本注入網(wǎng)頁中其他用戶瀏覽時腳本執(zhí)行從而竊取Cookie或偽造內(nèi)容。防御思路是對輸入輸出做過濾和轉(zhuǎn)義。CSRF借助受害者的已認(rèn)證身份誘導(dǎo)瀏覽器向服務(wù)端發(fā)送偽造請求。防御思路是加CSRF Token、校驗Referer頭。ARP欺騙偽造IP與MAC的對應(yīng)關(guān)系讓數(shù)據(jù)幀被錯誤轉(zhuǎn)發(fā)到攻擊者處防御思路是配置靜態(tài)ARP表或使用端口安全。中間人攻擊攻擊者在通信雙方之間攔截或篡改數(shù)據(jù)常見于不安全的WiFi環(huán)境防御思路是使用HTTPS并驗證證書。針對每一種攻擊判斷依據(jù)是攻擊者做了什么。比如題干里出現(xiàn)不斷發(fā)送TCP連接請求但不建立連接要是你還猶豫是不是DDoS就抓錯了主特征?？荚囘x項里常把多種攻擊的細(xì)節(jié)混在一起穩(wěn)贏的做法是讀完題干先定位發(fā)生在傳輸層還是應(yīng)用層針對的是合法性還是完整性再對照上面的分類。7.2 安全防護的縱深層次答題時你經(jīng)常會被問到下面哪個措施能有效防御XX之類的問題。我的建議是不要一條條背而是建立縱深防御的層次感物理層靠門禁和硬件防篡改數(shù)據(jù)鏈路層靠端口安全和MAC綁定網(wǎng)絡(luò)層靠防火墻ACL和入侵檢測系統(tǒng)傳輸層靠TLS加密應(yīng)用層靠WAF、身份認(rèn)證、輸入校驗。哪個層次的攻擊就用哪個層次的手段跨層次的手段往往不能直接解決問題。例如SQL注入發(fā)生在應(yīng)用層防火墻ACL主要工作在網(wǎng)絡(luò)層和傳輸層若不啟用應(yīng)用層檢測策略很難攔截所以最優(yōu)解是參數(shù)化查詢。這個邏輯比記住解題答案更穩(wěn)因為出題人完全可能換一層包裝?？v深防御還有一個老生常談卻重要的原則最小權(quán)限。無論是系統(tǒng)賬號還是服務(wù)權(quán)限只用給完成任務(wù)所需的最小范圍。這個原則幾乎年年出現(xiàn)在上午題的多選或單選選項里它不只針對網(wǎng)絡(luò)還針對操作系統(tǒng)、數(shù)據(jù)庫和應(yīng)用程序。7.3 歷年案例題的最常見切入角度下午案例題如果出現(xiàn)安全方向通常會給出一個小型局域網(wǎng)拓?fù)浜鸵欢畏?wù)器配置讓考生指出存在的安全風(fēng)險并提出加固建議。常見風(fēng)險點包括使用Telnet明文遠程管理、防火墻規(guī)則過于寬松、存在默認(rèn)口令、不關(guān)閉不必要服務(wù)、缺少日志審計。作答時不需要寫特別高深的滲透思路只需要逐條對應(yīng)風(fēng)險給措施Telnet換成SSH、開啟防火墻并配置最小策略、修改默認(rèn)口令、關(guān)閉未使用端口和服務(wù)、開啟日志集中管理與定期審計。這些是拿滿分的標(biāo)準(zhǔn)答案寫的時候注意邏輯順序——先指出風(fēng)險在哪再寫具體操作最后說明作用。工程習(xí)慣越好得分越穩(wěn)。如果你連防火墻的兩種工作模式都還沒分清這里補充一句最核心的區(qū)別包過濾防火墻工作在網(wǎng)絡(luò)層速度快但不關(guān)心應(yīng)用內(nèi)容應(yīng)用層網(wǎng)關(guān)代理防火墻工作在應(yīng)用層能檢查內(nèi)容但性能開銷更大?，F(xiàn)在的下一代防火墻基本都具備雙模能力考試中如果只出現(xiàn)根據(jù)IP和端口進行過濾你優(yōu)先選包過濾。8. 備考策略與高頻丟分點復(fù)盤8.1 按優(yōu)先級排復(fù)習(xí)順序這章的復(fù)習(xí)不要從頭逐頁啃教材我的順序是先攻IP與子網(wǎng)劃分因為它確定性最強練熟就能拿分再攻分層模型和協(xié)議因為它們覆蓋題目最多然后看加密與簽名最后過一遍安全攻擊與設(shè)備配置。配置命令部分如果時間緊張可以只掌握?？嫉哪菐讞l排查命令和防火墻概念沒必要深入命令行細(xì)節(jié)。每天投入的時間建議控制在四十分鐘到一小時連續(xù)一周就能把知識點輪一遍。做過模擬題的都知道協(xié)議和端口的記憶衰減非?？熘苋惩曛芰艉苷Ｋ砸欢ㄒ鲩g隔復(fù)習(xí)。我的做法是在手機備忘錄里放一張協(xié)議端口速查表午休時掃兩遍堅持到考前一周基本就不會再混了。8.2 高頻丟分點Top 5我自己復(fù)習(xí)時通過刷錯題總結(jié)了五個容易丟分的點寫下來給你排雷TCP與UDP的應(yīng)用判斷。FTP控制連接使用哪個協(xié)議這種題不難但流媒體直播為什么用UDP而不是TCP很多人會把可靠傳輸這類優(yōu)點錯套上去。答題時先看應(yīng)用是否允許丟包。私有地址范圍記混。172.16.0.0/12的范圍是172.16.0.0到172.31.255.255常有人把它和172.16.0.0/16搞混。給定一個172.20.x.x地址它屬于私有地址可以出現(xiàn)在內(nèi)網(wǎng)環(huán)境中。網(wǎng)絡(luò)號與廣播號排序?？捎弥鳈C數(shù)是2^n - 2這個減2減的是網(wǎng)絡(luò)地址和廣播地址。老有人只減一個或者把地址段寫成從網(wǎng)絡(luò)地址本身開始這是計算題中最明顯的失分點。數(shù)字簽名方向搞反。私鑰簽名、公鑰驗簽這個方向一旦記錯后面的流程題全亂。我用口訣私簽公驗公加私解來區(qū)分加密和簽名。網(wǎng)絡(luò)安全知識里混淆加密與摘要。比如為校驗下載文件的完整性選MD5而不是選RSA這類題選錯就非?？上?。8.3 考前兩天的快速記憶法最后兩天不必再刷新題這時候最適合做歸納表。我建議你親手畫一張大表左邊是網(wǎng)絡(luò)分層中間寫每層的設(shè)備、協(xié)議、典型故障右邊寫與安全相關(guān)的攻擊類型。這張表的制作過程本身就是一次主動回憶比你反復(fù)看別人的總結(jié)要有用得多。針對端口號這類純粹的記背型內(nèi)容我還有一個取巧的經(jīng)驗把21、22、23、25、53、80、110、143、443這些數(shù)字按從邊緣服務(wù)到基礎(chǔ)設(shè)施的順序讀幾遍然后用如何給一個沒有域名的服務(wù)器配置服務(wù)這種小場景把每個端口串起來。場景記憶比孤立記憶持久考場上給你一個具體的管理動作你就能條件反射地想到對應(yīng)端口和協(xié)議。信息安全部分同理你可以在腦中模擬一條攻擊鏈攻擊者先用端口掃描發(fā)現(xiàn)開放了23端口嘗試暴力破解獲取口令然后登入服務(wù)器關(guān)閉日志并植入后門最后利用這臺機器對內(nèi)網(wǎng)進行ARP欺騙。把這個故事里每一步涉及的概念——暴力破解、Telnet明文風(fēng)險、日志審計、ARP欺騙——串一遍選擇題里碰到任何一個環(huán)節(jié)你都能快速定位這比我給你整理十遍重點都管用。這個考點本身不復(fù)雜但信息密度高。別貪多求全把高頻知識點按上面幾個模塊消化到位再配合每天十道左右的練習(xí)題保持手感考試時這8分左右完全可以直接拿下。萬一在做模擬題時發(fā)現(xiàn)自己哪個部分反復(fù)錯不要急著刷新題先回到對應(yīng)的模塊把概念和計算步驟重新寫一遍你會發(fā)現(xiàn)第二次做同樣的題速度會快很多正確率也更高。備考最忌看著都會、做題就廢所以動手算、動筆寫、口頭復(fù)述才是真正的提分動作。 軟考計算機網(wǎng)絡(luò)與信息安全考點解析：從OSI到子網(wǎng)劃分的備考指南
1. 考點權(quán)重與命題套路為什么這章值得單獨扒一遍如果你備考過軟件設(shè)計師翻翻上午題歷年試卷就會發(fā)現(xiàn)計算機網(wǎng)絡(luò)及信息安全這個板塊極其穩(wěn)定地占據(jù)著6到8分的量級偶爾還會在案例分析題里以配置場景的方式冒個頭。很多人覺得這部分知識點零散、名詞多、記了又忘干脆臨考前突擊一下結(jié)果選擇題里丟個四五分的很常見。實際上這一章是性價比最高的部分因為它不像算法和數(shù)據(jù)結(jié)構(gòu)那樣需要大量刷題思維也不像軟件工程那樣全是文字游戲只要你把框架搭清楚再用一些對比表格輔助記憶分?jǐn)?shù)幾乎是白送的。先說清楚考試中的實際分布。上午的選擇題一共75道計算機網(wǎng)絡(luò)相關(guān)的題目通常在4到6道信息安全相關(guān)的2到3道合起來大概就是7到9分的區(qū)間。請注意下午的案例題一般不直接考網(wǎng)絡(luò)配置命令但有一年出現(xiàn)過基于網(wǎng)絡(luò)拓?fù)渑挪楣收系念}目如果對協(xié)議不熟很容易卡殼。因此我的建議是這一章你至少要保證選擇題拿滿同時順帶把網(wǎng)絡(luò)基礎(chǔ)概念弄懂防止下午題出幺蛾子。命題套路非常固定幾乎可以用老三樣來概括。第一樣是協(xié)議族和層次模型要么考OSI七層的功能分層要么考TCP/IP四層與協(xié)議對應(yīng)關(guān)系要么給你一個數(shù)據(jù)包從發(fā)送到接收的過程讓你判斷各層封裝。第二樣是IP地址與子網(wǎng)劃分計算這類題是實打?qū)嵉挠嬎泐}會的人一分鐘出答案不會的人蹲在考場里掰手指頭。第三樣是信息安全中的算法分類和數(shù)字簽名流程屬于概念辨析題把幾類算法和用途對照清楚就穩(wěn)了。理解了這套框架之后你就能針對性地去突破而不是捧著教材從頭背到尾。有一點要提醒你別被教材里那一堆英文縮寫嚇退。DHCP、ARP、ICMP這些協(xié)議只需要知道它在哪一層、干什么用、有哪些關(guān)鍵機制不需要去記報文格式?？荚嚳嫉氖侵啦皇菍崿F(xiàn)。接下來我按自己復(fù)習(xí)時整理的邏輯把這塊內(nèi)容分成四個核心模塊過一遍每部分都附上應(yīng)試角度必須掌握的要點以及我踩過的坑。2. 網(wǎng)絡(luò)分層與協(xié)議族把OSI和TCP/IP理解成快遞鏈路很多第一次備考的人被OSI七層模型弄得頭大但換個角度就容易了你把數(shù)據(jù)發(fā)送過程想象成寄快遞。應(yīng)用層是你填寫的快遞單內(nèi)容傳輸層是決定用普通快遞還是特快專遞TCP還是UDP網(wǎng)絡(luò)層是依據(jù)地址規(guī)劃路線的調(diào)度中心數(shù)據(jù)鏈路層是實際裝車配送到隔壁街區(qū)的貨車物理層則是路況和車道本身。數(shù)據(jù)從你手里發(fā)出每下一層就套一個信封到了目的地逐層拆開這就是封裝與解封裝的過程?？荚囎畛？嫉膶?yīng)關(guān)系務(wù)必記清楚。應(yīng)用層協(xié)議與端口之間的匯聚點是選擇題的高頻區(qū)HTTP對應(yīng)80HTTPS對應(yīng)443FTP控制端口21和數(shù)據(jù)端口20DNS是53DHCP用67和68SMTP發(fā)信是25POP3收信是110遠程登錄Telnet是23SSH是22。這些端口不要求你全背但至少每年有個一道題是在里面挑一個考的建議做成小卡片反復(fù)刷眼熟。TCP與UDP的區(qū)別是必考題我建議記這樣一句話TCP可靠但慢UDP快但不管丟。TCP的三次握手流程、四次揮手、全雙工通信、流量控制和擁塞控制每一個都可能成為選項。三次握手的序列號變化過程有幾年特別喜歡考你得知道SYN、SYNACK、ACK這幾個標(biāo)志的先后順序。UDP的典型應(yīng)用是視頻直播、語音通話、DNS查詢這些能承受少量丟失的場景。這個能不能容忍丟包就是判斷該類應(yīng)用該用誰的最快標(biāo)準(zhǔn)。ARP協(xié)議這個地方很多人容易混淆。ARP位于網(wǎng)絡(luò)層與數(shù)據(jù)鏈路層之間作用是把IP地址解析為MAC地址它只在同一個廣播域內(nèi)工作。如果你收到一個數(shù)據(jù)包需要發(fā)往另一個網(wǎng)段源主機會先用ARP查詢默認(rèn)網(wǎng)關(guān)的MAC地址然后將數(shù)據(jù)交給網(wǎng)關(guān)轉(zhuǎn)發(fā)。這個細(xì)節(jié)是?？嫉南葳錋RP是解析IP到MAC而DNS是解析域名到IP別把兩者混為一談。還有RARP是反向把MAC地址映射回IP地址考試出現(xiàn)的概率小但偶爾會拿來混淆視線。網(wǎng)絡(luò)層還需要分清ICMP和IGMP。ICMP是互聯(lián)網(wǎng)控制報文協(xié)議最典型的使用者是ping命令和traceroute命令ping返回的請求超時或目標(biāo)不可達就是ICMP報文的反饋。IGMP則是管理組播組成員關(guān)系的組播那個知識點隔幾年冒出來一次你只要記住組播用IGMP單播和廣播不用它就差不多了。## 3. 網(wǎng)絡(luò)分層與協(xié)議族把OSI和TCP/IP理解成快遞鏈路這一章的知識點如果死記硬背會非常折磨人。我的經(jīng)驗是把它放在一個具體的數(shù)據(jù)包旅行場景里去理解所有層次和協(xié)議立刻就有了秩序感。下面先搭框架再講應(yīng)試中最常考的細(xì)節(jié)。3.1 從數(shù)據(jù)包的一次跨網(wǎng)傳輸看懂兩臺主機的協(xié)作想象一下你用瀏覽器打開某個網(wǎng)站整個過程涉及DNS解析、TCP建連、HTTP請求發(fā)送、路由轉(zhuǎn)發(fā)、響應(yīng)回傳。數(shù)據(jù)從應(yīng)用層產(chǎn)生后每經(jīng)過一層就會加上該層的頭部信息這個過程叫封裝對端收到后從物理層往上層層剝掉頭部這叫解封裝?？荚嚭苌僦苯訂柲惴庋b順序是什么但會以當(dāng)數(shù)據(jù)到達目標(biāo)主機的網(wǎng)絡(luò)層時已經(jīng)處理完哪些層這類變體出現(xiàn)。網(wǎng)絡(luò)接口層負(fù)責(zé)在局域網(wǎng)內(nèi)傳輸幀幀里有源MAC地址和目的MAC地址。只要數(shù)據(jù)包要出本網(wǎng)段源MAC一定是發(fā)送方網(wǎng)卡目的MAC一定是下一跳設(shè)備的MAC通常是網(wǎng)關(guān)。但要記住源IP和目的IP在整個傳輸過程中基本不變而每一跳的MAC地址都在改變。這個考點一旦出成PC1發(fā)給PC2經(jīng)過一臺路由器請問哪些地址發(fā)生變化很多人就會栽在MAC地址的更新上。TCP三次握手的過程也完全可以串進這個場景里。第一次握手客戶端發(fā)送SYN報文初始序列號假設(shè)為x第二次握手服務(wù)器回復(fù)SYNACK并帶上自己的初始序列號y同時確認(rèn)x1第三次握手客戶端再發(fā)ACK確認(rèn)y1。考試喜歡把三次握手亂序排列或者在狀態(tài)名上做文章你只要記住連接建立一定要雙向確認(rèn)這一句話就足以排雷了。3.2 協(xié)議與端口的高頻清單應(yīng)用層協(xié)議與端口的對應(yīng)關(guān)系幾乎是每年必考。我不建議你對著端口表硬背你可以把它們分類成網(wǎng)頁類、文件類、郵件類、遠程管理類、基礎(chǔ)設(shè)施類這樣更容易形成網(wǎng)絡(luò)。類別協(xié)議默認(rèn)端口特征一句話網(wǎng)頁訪問HTTP / HTTPS80 / 443HTTPS多了加密和證書校驗文件傳輸FTP控制21數(shù)據(jù)20明文傳輸需要登錄認(rèn)證郵件發(fā)送SMTP25只負(fù)責(zé)發(fā)信不負(fù)責(zé)收郵件接收POP3 / IMAP110 / 143POP3偏向下載后離線讀遠程管理Telnet / SSH23 / 22Telnet明文SSH加密域名解析DNS53將域名轉(zhuǎn)成IP也支持反向查詢動態(tài)地址分配DHCP67/68客戶端用68服務(wù)端用67無盤啟動等TFTP69基于UDP簡單文件傳輸有個小提醒DHCP的67、68端口這兩年是高頻考點而且命題常常換個角度——問你DHCP客戶端發(fā)送請求時使用的源端口是哪個。答案是68。同理FTP的數(shù)據(jù)端口20與主動模式被動模式的差異不一定會考但端口對應(yīng)關(guān)系你得記。DNS還有一個極易踩的坑它不只做域名轉(zhuǎn)IP郵件服務(wù)器的MX記錄、負(fù)載均衡的SRV記錄也在DNS體系內(nèi)?？荚?yán)锶绻霈F(xiàn)根據(jù)域名查詢郵件服務(wù)器地址你要能反應(yīng)出這是在用DNS的MX記錄而不是直接發(fā)一封郵件。3.3 TCP與UDP判斷的兩條鐵律看到一個應(yīng)用怎么判斷它該用TCP還是UDP大多數(shù)人卡在HTTP不是基于TCP嗎但視頻為什么用UDP其實判斷標(biāo)準(zhǔn)就兩條第一數(shù)據(jù)是否要求完整無損第二能否容忍延遲和丟包。需要的是正確性優(yōu)先比如網(wǎng)頁內(nèi)容、文件下載、郵件、數(shù)據(jù)庫同步統(tǒng)統(tǒng)TCP需要的是實時性優(yōu)先比如直播推流、語音通話、在線游戲的狀態(tài)同步、DNS快速查詢用了UDP?？荚囘€有一個經(jīng)典陷阱DNS使用UDP但DNS區(qū)域傳送即主DNS服務(wù)器向備用DNS服務(wù)器同步整個區(qū)域數(shù)據(jù)用的卻是TCP。原因是區(qū)域傳送的數(shù)據(jù)量大需要可靠傳輸。這種特殊場景下?lián)Q協(xié)議的細(xì)節(jié)就是命題組最愛設(shè)的坑你必須單獨記住。三次握手的異常情況也值得看一眼。比如客戶端連續(xù)發(fā)送SYN但從未收到SYNACK可能是服務(wù)器監(jiān)聽隊列滿了也可能是防火墻攔截。但在上午選擇題里一般不會讓你做這么深入的排查更多是考SYN泛洪攻擊利用了TCP三次握手的哪個弱點答案指向服務(wù)器等待第三次ACK時半連接隊列被占滿。這個點放在后面的安全章節(jié)我會再展開。4. IP地址與子網(wǎng)劃分計算題拿分的關(guān)鍵公式如果說協(xié)議是背一背就能拿分那IP地址計算就是需要動筆的題。放心它沒有你想象得那么難考試中出現(xiàn)的無非是以下幾類判斷IP地址的類別、計算網(wǎng)絡(luò)地址/廣播地址、計算可用主機數(shù)、判斷兩個IP是否在同一網(wǎng)段以及CIDR表示法的互相轉(zhuǎn)換。每類都有明確的步驟和公式只要訓(xùn)練幾道題就能熟練。4.1 IPv4地址分類與特殊地址IPv4地址是32位二進制每8位一組轉(zhuǎn)為十進制。A類地址第一字節(jié)范圍1到126默認(rèn)掩碼/8用于超大規(guī)模網(wǎng)絡(luò)B類128到191掩碼/16C類192到223掩碼/24D類224到239用于組播E類240到255保留研究。這個分類判斷雖然簡單但我建議你不要只背范圍而要明白它與默認(rèn)掩碼的關(guān)系A(chǔ)類前8位是網(wǎng)絡(luò)位B類前16位是網(wǎng)絡(luò)位C類前24位是網(wǎng)絡(luò)位。特殊地址里考試概率最大的是這三類第一地址127.0.0.1代表本機環(huán)回地址第二169.254.x.x是Windows主機無法從DHCP獲取地址時的自動專用地址看到它說明DHCP可能出了問題第三私有地址段——10.0.0.0/8、172.16.0.0/12、192.168.0.0/16這些地址只能在內(nèi)網(wǎng)使用不能直接上公網(wǎng)。如果題目給了一個私有IP讓你判斷能否作為公網(wǎng)路由源地址答案自然是否定的。4.2 子網(wǎng)劃分計算的標(biāo)準(zhǔn)動作子網(wǎng)劃分的本質(zhì)就是從主機位里借出若干位作為子網(wǎng)號?？荚嚦＝o一個標(biāo)準(zhǔn)地址和一個子網(wǎng)掩碼讓你求某個地址所屬的網(wǎng)絡(luò)地址、廣播地址和可用地址范圍。我的做法分三步第一步把子網(wǎng)掩碼寫成二進制找出從第幾位開始是主機位第二步把IP地址與掩碼做按位與得到網(wǎng)絡(luò)地址第三步把主機位全部置1得到廣播地址第四步網(wǎng)絡(luò)地址加1是第一個可用地址廣播地址減1是最后一個可用地址。舉個例子IP地址192.168.10.130子網(wǎng)掩碼255.255.255.192。掩碼的最后一個字節(jié)192對應(yīng)二進制11000000說明最后8位里前兩位是子網(wǎng)位后6位是主機位。IP地址的最后一個字節(jié)130對應(yīng)10000010與11000000做按位與得到10000000即128。所以網(wǎng)絡(luò)地址是192.168.10.128廣播地址把后6位置1得10111111即191可用范圍是129到190中間一共有62個可用主機數(shù)。這個計算熟練之后20秒就能出答案。子網(wǎng)掩碼還有一個快速換算技巧/26等價于255.255.255.192/27等價于255.255.255.224/28等價于255.255.255.240。你不需要每次都去轉(zhuǎn)換二進制直接記住幾個常用CIDR對應(yīng)的掩碼和主機數(shù)即可。但記住每個子網(wǎng)可用的主機數(shù)是2^n - 2其中n是主機位位數(shù)減去的是網(wǎng)絡(luò)地址和廣播地址。4.3 子網(wǎng)聚合與劃分方向問題有時候題目會反著考給你幾個子網(wǎng)讓你求路由聚合后的地址。聚合的規(guī)則是取多個子網(wǎng)共同的最長相同前綴。比如192.168.1.0/24和192.168.2.0/24聚合時前24位中有23位相同從第24位開始不同所以聚合后的前綴是/23網(wǎng)絡(luò)地址是192.168.0.0。要注意聚合前子網(wǎng)得是連續(xù)的且大小一致否則不能用簡單的相同前綴法。另一個常見坑是可變長子網(wǎng)掩碼。比如給你一個172.16.0.0/16讓你先劃分出容納4000臺主機的子網(wǎng)再從剩余空間劃分子網(wǎng)給300臺主機使用。這種題的關(guān)鍵是永遠從最大的子網(wǎng)開始劃分保證剩余空間完整。4000臺主機需要2^124096但12位主機位只能有4094個可用剛好滿足4000所以掩碼是/20余下從172.16.16.0/20繼續(xù)往下切。這種由大到小的次序感是VLSM計算的核心思路。IPv6雖然考得少但也需要了解基本形態(tài)128位地址冒號十六進制表示每16位一組共8組連續(xù)零可以使用::壓縮一次。IPv6沒有廣播地址取而代之的是任播和組播。考試最多出一道IPv6地址長度是幾位的送分題別在細(xì)節(jié)上花費太多時間。5. 網(wǎng)絡(luò)設(shè)備與IP配置小型局域網(wǎng)那些必考的常識5.1 集線器、交換機、路由器到底有什么本質(zhì)差異這一塊屬于你以為是常識、做選擇題卻常錯的地方。集線器工作在物理層它所有端口共享帶寬收到信號直接廣播到所有端口毫無智能可言所以現(xiàn)在基本退出了組網(wǎng)場景。交換機工作在數(shù)據(jù)鏈路層它維護MAC地址表通過MAC地址只把數(shù)據(jù)幀轉(zhuǎn)發(fā)到對應(yīng)端口。路由器工作在網(wǎng)絡(luò)層依靠IP地址做跨網(wǎng)段轉(zhuǎn)發(fā)是連接不同網(wǎng)絡(luò)的核心設(shè)備?？荚?yán)镒畛Ｒ姷拿}角度是當(dāng)PC-A和PC-B在同一個交換機上PC-C在另一個網(wǎng)段PC-A訪問PC-C時經(jīng)過哪些設(shè)備答案是一定要經(jīng)過路由器而交換機可能在同一個廣播域內(nèi)起著透明轉(zhuǎn)發(fā)的作用。還有一類題問交換機會隔離沖突域還是廣播域——交換機隔離沖突域但不隔離廣播域這也是N個考生反復(fù)踩的坑。5.2 一個命令排查兩類故障場景上午題偶爾會把Linux或Windows的ipconfig、ping、traceroute拉出來考。最常見的考點有三個第一ping 127.0.0.1檢查本機協(xié)議棧第二ping本機IP檢查網(wǎng)卡是否正常第三ping網(wǎng)關(guān)檢查局域網(wǎng)連通性。這里的邏輯是從底層到上層逐層排除考試可能故意改變順序讓你判斷錯誤的排查方法是什么。比如有一道經(jīng)典題主機能ping通自己也能ping通網(wǎng)關(guān)但ping不通遠程服務(wù)器可能原因是什么答案方向有兩種一是遠程服務(wù)器的防火墻屏蔽了ICMP請求二是本機到遠程路由途中存在訪問控制策略。注意只要網(wǎng)關(guān)能通就說明本機到路由器這一段物理鏈路和IP配置基本正常。問題在出口之后不要再懷疑自己電腦的網(wǎng)卡。另一種故障是DNS解析問題瀏覽器能通過IP地址訪問公網(wǎng)服務(wù)器但輸入域名打不開網(wǎng)頁這種十有八九是DNS配置錯誤或DNS服務(wù)不可用?？荚囈堰@一步和網(wǎng)線沒插好分開前者是應(yīng)用層的問題后者是物理層的問題考查你按層次定位故障的能力。5.3 DHCP與DNS的常見考題DHCP的工作流程常被概括為四個階段發(fā)現(xiàn)DISCOVER、提供OFFER、選擇REQUEST、確認(rèn)ACK。題目考得最多的是客戶端通過哪種報文來廣播尋找DHCP服務(wù)器答案是DISCOVER廣播包。為什么是廣播因為客戶端不知道服務(wù)器在哪必須向全網(wǎng)廣播。等到后續(xù)請求階段客戶端會再次廣播REQUEST用來告知服務(wù)器挑選結(jié)果同時通知未選中的服務(wù)器釋放地址資源。DNS在選擇題里則更傾向考記錄類型A記錄是域名到IPv4地址AAAA記錄是域名到IPv6地址MX記錄是郵件交換記錄CNAME是別名記錄NS是域名服務(wù)器記錄。考試只要給你一個場景比如需要為域名添加一個用于指定郵件服務(wù)器的記錄對應(yīng)MX記錄即可。平時自己搭過DNS的人會覺得這很簡單沒搭過的就會在A和MX之間猶豫所以建議非網(wǎng)絡(luò)方向的考生花二十分鐘用本機hosts加nslookup體驗一下主機的解析流程。6. 安全基石加密算法與數(shù)字簽名怎么選信息安全這部分上午題的分值約有2到3分內(nèi)容卻非常密集。我復(fù)習(xí)時最大的感受是它其實不是靠背算法名而是靠理清加密、簽名、摘要這三件事的語義邊界。一旦邊界清楚了無論題目怎么繞都能接住。6.1 對稱加密、非對稱加密與哈希的三類區(qū)分對稱加密的特點是加密解密用同一把密鑰優(yōu)點是快適合大量數(shù)據(jù)缺點是密鑰分發(fā)困難。常見算法有DES、3DES、AES其中AES是當(dāng)前的主流DES由于密鑰長度太短已被淘汰。非對稱加密是公鑰加密、私鑰解密或者私鑰簽名、公鑰驗簽優(yōu)點是密鑰管理相對容易缺點是慢。常見算法有RSA、ECC。哈希算法則沒有密鑰它把任意長度的輸入壓縮成固定長度的摘要不可逆用于驗證完整性。常見算法有MD5、SHA-1、SHA-256其中MD5和SHA-1已經(jīng)不再認(rèn)為是安全的。把這個梳理成表之后選擇題里以下哪個是對稱加密算法這類題基本就是白送。但出題人不會總這么善良更多時候是給一個應(yīng)用場景讓你選合適的算法。比如大量文件內(nèi)容需要加密存儲選AES因為性能高需要在不安全信道交換會話密鑰選RSA需要確認(rèn)文件是否被篡改選SHA-256。場景題比直接問算法分類更能鍛煉你的判斷力。6.2 公鑰體系與數(shù)字簽名的完整流程數(shù)字簽名解決兩個問題身份認(rèn)證與抗抵賴。簽名的動作是發(fā)送方用自己的私鑰對消息摘要進行加密驗證的動作是接收方用發(fā)送方的公鑰解密并比對消息摘要是否一致。這里特別容易混淆——很多人記成公鑰加密、私鑰解密就直接套到簽名上來結(jié)果方向全反。記住一個原則誰要證明自己誰用私鑰別人要驗證你用你的公鑰。密鑰的使用方向完全由身份認(rèn)證的需求反向推導(dǎo)出來。數(shù)字證書則是把公鑰和持有者信息綁定在一起由CA簽發(fā)的電子文件。證書內(nèi)容包括版本號、序列號、簽名算法、頒發(fā)者、有效期、公鑰信息等。考試問數(shù)字證書的主要作用時核心就是綁定公鑰與身份防止中間人篡改公鑰。如果你正在看得頭疼可以類比身份證證書就是網(wǎng)絡(luò)世界的身份證里面寫著這個公鑰屬于誰而CA就是發(fā)證機構(gòu)。6.3 談到加密必須避開的幾個概念坑第一坑是加密算法強度等于密鑰長度的絕對化。DES的56位密鑰確實弱但AES-128在可預(yù)見的未來仍算安全實際強度還取決于實現(xiàn)是否正確。選擇題只需要你進行常規(guī)判斷不要過分推演。第二坑是哈希和加密被混為一談。哈希不可逆的所以它不能用來解密只能用于完整性校驗和存比對值。比如系統(tǒng)里存儲用戶口令規(guī)范做法是加鹽后做哈希而不是直接存明文密碼也不是用對稱加密后再存——因為加密可逆數(shù)據(jù)庫泄露后密鑰若一起被竊取明文就暴露了。這個邏輯在考題中常以用戶口令安全存儲方式的形式出現(xiàn)。第三坑是數(shù)字信封的概念。數(shù)字信封是非對稱加密與對稱加密的合體發(fā)送方用對稱密鑰加密數(shù)據(jù)再用接收方的公鑰加密這個對稱密鑰然后把密文和加密后的密鑰一起發(fā)送。接收方先用私鑰解出對稱密鑰再用對稱密鑰解密數(shù)據(jù)。這樣兼顧了非對稱加密的分發(fā)安全和對稱加密的傳輸效率?？荚囈话悴灰竽惝嫵鐾暾鞒痰仨氁芸闯鏊Y(jié)合了兩類算法這一核心特征。7. 常見安全攻擊與防御策略案例題怎么答7.1 從攻擊特征識別威脅類型信息安全選擇題的另一種考法是給一個攻擊過程的描述讓你判斷它屬于哪種攻擊。這幾年最常見的有SYN Flood、DDoS、SQL注入、跨站腳本攻擊XSS、跨站請求偽造CSRF、ARP欺騙、中間人攻擊和暴力破解。每個攻擊的識別關(guān)鍵要抓住它利用了哪一層、什么漏洞。SYN Flood通過大量發(fā)送SYN但不完成三次握手消耗服務(wù)器半連接隊列資源屬于拒絕服務(wù)攻擊防御思路是啟用SYN Cookie、限制半連接數(shù)。DDoS多臺被控主機同時向目標(biāo)發(fā)送海量請求帶寬和資源耗盡防御思路是流量清洗、限速、黑洞路由。SQL注入攻擊者在輸入框提交惡意SQL語句使后端拼接出危險查詢防御思路是用參數(shù)化查詢和預(yù)編譯語句。XSS攻擊者把腳本注入網(wǎng)頁中其他用戶瀏覽時腳本執(zhí)行從而竊取Cookie或偽造內(nèi)容。防御思路是對輸入輸出做過濾和轉(zhuǎn)義。CSRF借助受害者的已認(rèn)證身份誘導(dǎo)瀏覽器向服務(wù)端發(fā)送偽造請求。防御思路是加CSRF Token、校驗Referer頭。ARP欺騙偽造IP與MAC的對應(yīng)關(guān)系讓數(shù)據(jù)幀被錯誤轉(zhuǎn)發(fā)到攻擊者處防御思路是配置靜態(tài)ARP表或使用端口安全。中間人攻擊攻擊者在通信雙方之間攔截或篡改數(shù)據(jù)常見于不安全的WiFi環(huán)境防御思路是使用HTTPS并驗證證書。針對每一種攻擊判斷依據(jù)是攻擊者做了什么。比如題干里出現(xiàn)不斷發(fā)送TCP連接請求但不建立連接要是你還猶豫是不是DDoS就抓錯了主特征?？荚囘x項里常把多種攻擊的細(xì)節(jié)混在一起穩(wěn)贏的做法是讀完題干先定位發(fā)生在傳輸層還是應(yīng)用層針對的是合法性還是完整性再對照上面的分類。7.2 安全防護的縱深層次答題時你經(jīng)常會被問到下面哪個措施能有效防御XX之類的問題。我的建議是不要一條條背而是建立縱深防御的層次感物理層靠門禁和硬件防篡改數(shù)據(jù)鏈路層靠端口安全和MAC綁定網(wǎng)絡(luò)層靠防火墻ACL和入侵檢測系統(tǒng)傳輸層靠TLS加密應(yīng)用層靠WAF、身份認(rèn)證、輸入校驗。哪個層次的攻擊就用哪個層次的手段跨層次的手段往往不能直接解決問題。例如SQL注入發(fā)生在應(yīng)用層防火墻ACL主要工作在網(wǎng)絡(luò)層和傳輸層若不啟用應(yīng)用層檢測策略很難攔截所以最優(yōu)解是參數(shù)化查詢。這個邏輯比記住解題答案更穩(wěn)因為出題人完全可能換一層包裝?？v深防御還有一個老生常談卻重要的原則最小權(quán)限。無論是系統(tǒng)賬號還是服務(wù)權(quán)限只用給完成任務(wù)所需的最小范圍。這個原則幾乎年年出現(xiàn)在上午題的多選或單選選項里它不只針對網(wǎng)絡(luò)還針對操作系統(tǒng)、數(shù)據(jù)庫和應(yīng)用程序。7.3 歷年案例題的最常見切入角度下午案例題如果出現(xiàn)安全方向通常會給出一個小型局域網(wǎng)拓?fù)浜鸵欢畏?wù)器配置讓考生指出存在的安全風(fēng)險并提出加固建議。常見風(fēng)險點包括使用Telnet明文遠程管理、防火墻規(guī)則過于寬松、存在默認(rèn)口令、不關(guān)閉不必要服務(wù)、缺少日志審計。作答時不需要寫特別高深的滲透思路只需要逐條對應(yīng)風(fēng)險給措施Telnet換成SSH、開啟防火墻并配置最小策略、修改默認(rèn)口令、關(guān)閉未使用端口和服務(wù)、開啟日志集中管理與定期審計。這些是拿滿分的標(biāo)準(zhǔn)答案寫的時候注意邏輯順序——先指出風(fēng)險在哪再寫具體操作最后說明作用。工程習(xí)慣越好得分越穩(wěn)。如果你連防火墻的兩種工作模式都還沒分清這里補充一句最核心的區(qū)別包過濾防火墻工作在網(wǎng)絡(luò)層速度快但不關(guān)心應(yīng)用內(nèi)容應(yīng)用層網(wǎng)關(guān)代理防火墻工作在應(yīng)用層能檢查內(nèi)容但性能開銷更大?，F(xiàn)在的下一代防火墻基本都具備雙模能力考試中如果只出現(xiàn)根據(jù)IP和端口進行過濾你優(yōu)先選包過濾。8. 備考策略與高頻丟分點復(fù)盤8.1 按優(yōu)先級排復(fù)習(xí)順序這章的復(fù)習(xí)不要從頭逐頁啃教材我的順序是先攻IP與子網(wǎng)劃分因為它確定性最強練熟就能拿分再攻分層模型和協(xié)議因為它們覆蓋題目最多然后看加密與簽名最后過一遍安全攻擊與設(shè)備配置。配置命令部分如果時間緊張可以只掌握?？嫉哪菐讞l排查命令和防火墻概念沒必要深入命令行細(xì)節(jié)。每天投入的時間建議控制在四十分鐘到一小時連續(xù)一周就能把知識點輪一遍。做過模擬題的都知道協(xié)議和端口的記憶衰減非?？熘苋惩曛芰艉苷Ｋ砸欢ㄒ鲩g隔復(fù)習(xí)。我的做法是在手機備忘錄里放一張協(xié)議端口速查表午休時掃兩遍堅持到考前一周基本就不會再混了。8.2 高頻丟分點Top 5我自己復(fù)習(xí)時通過刷錯題總結(jié)了五個容易丟分的點寫下來給你排雷TCP與UDP的應(yīng)用判斷。FTP控制連接使用哪個協(xié)議這種題不難但流媒體直播為什么用UDP而不是TCP很多人會把可靠傳輸這類優(yōu)點錯套上去。答題時先看應(yīng)用是否允許丟包。私有地址范圍記混。172.16.0.0/12的范圍是172.16.0.0到172.31.255.255常有人把它和172.16.0.0/16搞混。給定一個172.20.x.x地址它屬于私有地址可以出現(xiàn)在內(nèi)網(wǎng)環(huán)境中。網(wǎng)絡(luò)號與廣播號排序?？捎弥鳈C數(shù)是2^n - 2這個減2減的是網(wǎng)絡(luò)地址和廣播地址。老有人只減一個或者把地址段寫成從網(wǎng)絡(luò)地址本身開始這是計算題中最明顯的失分點。數(shù)字簽名方向搞反。私鑰簽名、公鑰驗簽這個方向一旦記錯后面的流程題全亂。我用口訣私簽公驗公加私解來區(qū)分加密和簽名。網(wǎng)絡(luò)安全知識里混淆加密與摘要。比如為校驗下載文件的完整性選MD5而不是選RSA這類題選錯就非?？上?。8.3 考前兩天的快速記憶法最后兩天不必再刷新題這時候最適合做歸納表。我建議你親手畫一張大表左邊是網(wǎng)絡(luò)分層中間寫每層的設(shè)備、協(xié)議、典型故障右邊寫與安全相關(guān)的攻擊類型。這張表的制作過程本身就是一次主動回憶比你反復(fù)看別人的總結(jié)要有用得多。針對端口號這類純粹的記背型內(nèi)容我還有一個取巧的經(jīng)驗把21、22、23、25、53、80、110、143、443這些數(shù)字按從邊緣服務(wù)到基礎(chǔ)設(shè)施的順序讀幾遍然后用如何給一個沒有域名的服務(wù)器配置服務(wù)這種小場景把每個端口串起來。場景記憶比孤立記憶持久考場上給你一個具體的管理動作你就能條件反射地想到對應(yīng)端口和協(xié)議。信息安全部分同理你可以在腦中模擬一條攻擊鏈攻擊者先用端口掃描發(fā)現(xiàn)開放了23端口嘗試暴力破解獲取口令然后登入服務(wù)器關(guān)閉日志并植入后門最后利用這臺機器對內(nèi)網(wǎng)進行ARP欺騙。把這個故事里每一步涉及的概念——暴力破解、Telnet明文風(fēng)險、日志審計、ARP欺騙——串一遍選擇題里碰到任何一個環(huán)節(jié)你都能快速定位這比我給你整理十遍重點都管用。這個考點本身不復(fù)雜但信息密度高。別貪多求全把高頻知識點按上面幾個模塊消化到位再配合每天十道左右的練習(xí)題保持手感考試時這8分左右完全可以直接拿下。萬一在做模擬題時發(fā)現(xiàn)自己哪個部分反復(fù)錯不要急著刷新題先回到對應(yīng)的模塊把概念和計算步驟重新寫一遍你會發(fā)現(xiàn)第二次做同樣的題速度會快很多正確率也更高。備考最忌看著都會、做題就廢所以動手算、動筆寫、口頭復(fù)述才是真正的提分動作。