大學生網路安全面試題及答案

① 關於網路安全方面的崗位面試題!哪位大大能提供答案啊

1是馮諾依曼理論的要點是：數字計算機的數制採用二進制；計算機應該按照程序順序執行。人們把馮諾依曼的這個理論稱為馮諾依曼體系結構。從ENIAC到當前最先進的計算機都採用的是馮諾依曼體系結構。所以馮諾依曼是當之無愧的數字計算機之父。
2否 沒什麼好說的給你個地址自己看http://doit.lme.net/read-htmldata-tid-155-page-e.html
3否
4是
5否設計模式是一套被反復使用、多數人知曉的、經過分類編目的、代碼設計經驗的總結。使用設計模式是為了可重用代碼、讓代碼更容易被他人理解、保證代碼可靠性。

② 網路安全試題及答案

第一章 網路安全概述
【單選題】
1.計算機網路的安全是指（ ）
A、網路中設備設置環境的安全
B、網路使用者的安全
C、網路中信息的安全
D、網路的財產安全
正確答案： C 我的答案：C
2.黑客搭線竊聽屬於（ ）風險。
A、信息存儲安全信息
B、信息傳輸安全
C、信息訪問安全
D、以上都不正確
正確答案： B 我的答案：B
3.為了保證計算機信息安全，通常使用（ ），以使計算機只允許用戶在輸入正確的保密信息時進入系統。
A、口令
B、命令
C、密碼
D、密鑰
正確答案： A 我的答案：C
4.對企業網路最大的威脅是（）。
A、黑客攻擊
B、外國政府
C、競爭對手
D、內部員工的惡意攻擊
正確答案： D 我的答案：D
5.信息不泄露給非授權的用戶、實體或過程，指的是信息（ ）特性。
A、保密性
B、完整性
C、可用性
D、可控性
正確答案： A 我的答案：A
6.信息安全就是要防止非法攻擊和病毒的傳播，保障電子信息的有效性，從具體意義上理解，需要保證以下（ ）。
Ⅰ.保密性 Ⅱ.完整性 Ⅲ.可用性 Ⅳ.可控性 Ⅴ.不可否認性
A、Ⅰ、Ⅱ和Ⅳ B
B、Ⅱ和Ⅲ C
C、Ⅱ、Ⅲ和Ⅳ D
D、都是
正確答案： D 我的答案：D
7.信息風險主要指（ ）
A、信息存儲安全
B、信息傳輸安全
C、信息訪問安全
D、以上都正確
正確答案： D 我的答案：D
8.（ ）不是信息失真的原因
A、信源提供的信息不完全、不準確
B、信息在編碼、解碼和傳遞過程中受到干擾
C、信宿（信箱）接受信息出現偏差
D、信箱在理解上的偏差
正確答案： D 我的答案：A
9.以下（ ）不是保證網路安全的要素
A、信息的保密性
B、發送信息的不可否認性
C、數據交換的完整性
D、數據存儲的唯一性
正確答案： D 我的答案：B

第二章 黑客常用系統攻擊方法1
【單選題】
1.網路攻擊的發展趨勢是（ ）
A、黑客攻擊與網路病毒日益融合
B、攻擊工具日益先進
C、病毒攻擊
D、黑客攻擊
正確答案： A 我的答案：A
2.拒絕服務攻擊（ ）
A、A.用超過被攻擊目標處理能力的海量數據包消耗可用系統、帶寬資源等方法的攻擊
B、全程是Distributed Denial Of Service
C、拒絕來自一個伺服器所發送回應請求的指令
D、入侵控制一個伺服器後遠程關機
正確答案： A 我的答案：A
3.區域網中如果某台計算機受到了ARP欺騙，那麼它發出去的數據包中，（ ）地址是錯誤的
A、源IP地址
B、目標IP地址
C、源MAC地址
D、目標MAC地址
正確答案： D 我的答案：A
4.在網路攻擊活動中，Tribal Flood Netw（TFN）是（ ）類的攻擊程序
A、拒絕服務
B、字典攻擊
C、網路監聽
D、病毒程序
正確答案： A 我的答案：A
5.HTTP默認埠號為（ ）
A、21
B、80
C、8080
D、23
正確答案： B 我的答案：B
6.DDOS攻擊破壞了（ ）
A、可用性
B、保密性
C、完整性
D、真實性
正確答案： A 我的答案：A
7.漏洞評估產品在選擇時應注意（ ）
A、是否具有針對網路、主機和資料庫漏洞的檢測功能
B、產品的掃描能力
C、產品的評估能力
D、產品的漏洞修復能力
E、以上都不正確
正確答案： E 我的答案：A

第二章 黑客常用系統攻擊方法2
【單選題】
1.關於「攻擊工具日益先進，攻擊者需要的技能日趨下降」的觀點不正確的是（ ）
A、網路受到的攻擊的可能性越來越大
B、.網路受到的攻擊的可能性將越來越小
C、網路攻擊無處不在
D、網路風險日益嚴重
正確答案： B
2.在程序編寫上防範緩沖區溢出攻擊的方法有（ ）
Ⅰ.編寫正確、安全的代碼 Ⅱ.程序指針完整性檢測
Ⅲ.數組邊界檢查 Ⅳ.使用應用程序保護軟體
A、 Ⅰ、Ⅱ和Ⅳ
B、 Ⅰ、Ⅱ和Ⅲ
C、 Ⅱ和Ⅲ
D、都是
正確答案： B
3.HTTP默認埠號為（ ）
A、21
B、80
C、8080
D、23
正確答案： B
4.信息不泄露給非授權的用戶、實體或過程，指的是信息（ ）特性。
A、保密性
B、完整性
C、可用性
D、可控性
正確答案： A
5.為了避免冒名發送數據或發送後不承認的情況出現，可以採取的辦法是（ ）
A、數字水印
B、數字簽名
C、訪問控制
D、發電子郵箱確認
正確答案： B
6.在建立網站的目錄結構時，最好的做法是( )。
A、將所有文件最好都放在根目錄下
B、目錄層次選在3到5層
C、按欄目內容建立子目錄
D、最好使用中文目錄
正確答案： C
【判斷題】
7.冒充信件回復、冒名Yahoo發信、下載電子賀卡同意書，使用的是叫做「字典攻擊」的方法
正確答案：×
8當伺服器遭受到DoS攻擊的時候，只需要重新啟動系統就可以阻止攻擊。
正確答案：×
9.一般情況下，採用Port scan可以比較快速地了解某台主機上提供了哪些網路服務。
正確答案：×
10.Dos攻擊不但能使目標主機停止服務，還能入侵系統，打開後門，得到想要的資料。
正確答案：×
11.社會工程攻擊目前不容忽視，面對社會工程攻擊，最好的方法使對員工進行全面的教育。
正確答案：√

第三章 計算機病毒1
【單選題】
1.每一種病毒體含有的特徵位元組串對被檢測的對象進行掃描，如果發現特徵位元組串，就表明發現了該特徵串所代表的病毒，這種病毒而檢測方法叫做（ ）。
A、比較法
B、特徵字的識別法
C、搜索法
D、分析法
E、掃描法
正確答案： B 我的答案：E
2.（ ）病毒式定期發作的，可以設置Flash ROM 寫狀態來避免病毒破壞ROM。
A、Melissa
B、CIH
C、I love you
D、蠕蟲
正確答案： B 我的答案：D
3.以下（ ）不是殺毒軟體
A、瑞星
B、Word
C、Norton AntiVirus
D、金山毒霸
正確答案： B 我的答案：B
4.效率最高、最保險的殺毒方式（ ）。
A、手動殺毒
B、自動殺毒
C、殺毒軟體
D、磁碟格式化
正確答案： D 我的答案：D
【多選題】
5.計算機病毒的傳播方式有（ ）。
A、通過共享資源傳播
B、通過網頁惡意腳本傳播
C、通過網路文件傳輸傳播
D、通過電子郵件傳播
正確答案： ABCD 我的答案：ABCD
6.計算機病毒按其表現性質可分為（ ）
A、良性的
B、惡性的
C、隨機的
D、定時的
正確答案： AB 我的答案：ABCD
【判斷題】
7.木馬與傳統病毒不同的是：木馬不自我復制。（ ）

正確答案：√ 我的答案：√
8.在OUTLOOKEXPRESS 中僅預覽郵件的內容而不打開郵件的附件不會中毒的。（ ）
正確答案：× 我的答案：×
9.文本文件不會感染宏病毒。（ ）
正確答案：× 我的答案：√
10.按照計算機病毒的傳播媒介來分類，可分為單機病毒和網路病毒。（ ）
正確答案：√ 我的答案：√
11.世界上第一個攻擊硬體的病毒是CIH.( )
正確答案：√ 我的答案：√

第三章 計算機病毒2
【單選題】
1.計算機病毒的特徵（ ）。
A、隱蔽性
B、潛伏性、傳染性
C、破壞性
D、可觸發性
E、以上都正確
正確答案： E 我的答案：E
2.每一種病毒體含有的特徵位元組串對被檢測的對象進行掃描，如果發現特徵位元組串，就表明發現了該特徵串所代表的病毒，這種病毒而檢測方法叫做（ ）。
A、比較法
B、特徵字的識別法
C、搜索法
D、分析法
E、掃描法
正確答案： B 我的答案：B
3.下列敘述中正確的是（ ）。
A、計算機病毒只感染可執行文件
B、計算機病毒只感染文本文件
C、計算機病毒只能通過軟體復制的方式進行傳播
D、計算機病毒可以通過讀寫磁碟或網路等方式進行傳播
正確答案： D 我的答案：D
4.計算機病毒的破壞方式包括（ ）。
A、刪除修改文件類
B、搶占系統資源類
C、非法訪問系統進程類
D、破壞操作系統類
正確答案： ABCD 我的答案：ABCD
【判斷題】
5.只是從被感染磁碟上復制文件到硬碟上並不運行其中的可執行文件不會是系統感染病毒。（ ）
正確答案：× 我的答案：×
6.將文件的屬性設為只讀不可以保護其不被病毒感染.( )
正確答案：× 我的答案：×
7.重新格式化硬碟可以清楚所有病毒。（ ）
正確答案：× 我的答案：√
8. GIF和JPG格式的文件不會感染病毒。（ ）
正確答案：× 我的答案：×
9.蠕蟲病毒是指一個程序（或一組程序），會自我復制、傳播到其他計算機系統中去（ ）。
正確答案：√ 我的答案：√

第四章 數據加密技術1
【單選題】
1.可以認為數據的加密和解密是對數據進行的某種交換,加密和解密的過程都是在( )的控制下進行的
A、名文
B、密文
C、信息
D、密鑰
正確答案： D 我的答案：D
2.為了避免冒名發送數據或發送後不承認的情況出現，可以採取的辦法是（ ）
A、數字水印
B、數字簽名
C、訪問控制
D、發電子郵箱確認
正確答案： B 我的答案：B
3.以下關於加密說法正確的是（ ）
A、加密包括對稱加密和非對稱加密兩種
B、信息隱蔽式加密的一種方法
C、如果沒有信息加密的密鑰，只要知道加密程序的細節就可以對信息進行解密
D、密鑰的位數越多，信息的安全性越高
正確答案： D 我的答案：A
4.（ ）是網路通信中標志通信各方身份信息的一系列數據，提供一種在INTERNER上驗證身份的方式。
A、數字認證
B、數字證書
C、電子認證
D、電子證書
正確答案： B 我的答案：B
5.數字證書採用公鑰體制時，每個用戶設定一把公鑰，由本人公開，用其進行（ ）
A、加密和驗證簽名
B、解密和簽名
C、加密
D、解密
正確答案： A 我的答案：A

第四章 數據加密技術2
【單選題】
1.在公開密鑰體制中，加密密鑰即（ ）
A、解密密鑰
B、私密密鑰
C、公開密鑰
D、私有密鑰
正確答案： C 我的答案：C
2.Set協議又稱為（ ）
A、安全套協議層協議
B、安全電子交易協議
C、信息傳輸安全協議
D、網上購物協議
正確答案： B 我的答案：B
3.數字簽名為保證其不可更改性，雙方約定使用（ ）
A、Hash演算法
B、RSA演算法
C、CAP演算法
D、ACR演算法
正確答案： B 我的答案：A
4.安全套接層協議時（ ）。
A、SET
B、S-HTTP
C、HTTP
D、SSL
正確答案： D 我的答案：D

第五章 防火牆技術1
【單選題】
1.為確保企業管理區域網的信息安全，防止來自Internet的黑客入侵，採用（ ）可以實現一定的防範作用。
A、網路管理軟體
B、郵件列表
C、防火牆
D、防病毒軟體
正確答案： C
2.防火牆採用的最簡單的技術是（ ）。
A、安裝保護卡
B、隔離
C、包過濾
D、設置進入密碼
正確答案： C
3.下列關於防火牆的說法正確的是（ ）。
A、防火牆的安全性能是根據系統安全的要求而設置的
B、防火牆的安全性能是一致的，一般沒有級別之分
C、防火牆不能把內部網路隔離為可信任網路
D、一個防火牆只能用來對兩個網路之間的互相訪問實行強制性管理的安全系統
正確答案： A
4.（ ）不是防火牆的功能。
A、過濾進出網路的數據包
B、保護存儲數據安全
C、封堵某些禁止的訪問行為
D、記錄通過防火牆的信息內容和活動
正確答案： B
5.（ ）不是專門的防火牆產品。
A、ISA server 2004
B、Cisco router
C、Topsec 網路衛士
D、check point防火牆
正確答案： B
6.有一個主機專門被用做內部網路和外部網路的分界線。該主機里插有兩塊網卡，分別連接到兩個網路。防火牆裡面的系統可以與這台主機進行通信，防火牆外面的系統（Internet上的系統）也可以與這台主機進行通信，但防火牆兩邊的系統之間不能直接進行通信，這是（ ）的防火牆。
A、屏蔽主機式體系結構
B、篩選路由式體系結構
C、雙網主機式體系結構
D、屏蔽子網式體系結構
正確答案： A
7.對新建的應用連接，狀態檢測檢查預先設置的安全規則，允許符合規則的連接通過，並在內存中記錄下該連接的相關信息，生成狀態表。對該連接的後續數據包，只要符合狀態表，就可以通過。這種防火牆技術稱為（ ）。
A、包過濾技術
B、狀態檢測技術
C、代理服務技術
D、以上都不正確
正確答案： B
8.防火牆的作用包括（ ）。（多選題）
A、提高計算機系統總體的安全性
B、提高網路速度
C、控制對網點系統的訪問
D、數據加密
正確答案： AC

第五章 防火牆技術2
【單選題】
1.防火牆技術可以分為（ ）等三大類。
A、包過濾、入侵檢測和數據加密
B、包過濾、入侵檢測和應用代理
C、包過濾、應用代理和入侵檢測
D、包過濾、狀態檢測和應用代理
正確答案： D
2.防火牆系統通常由（ ）組成。
A、殺病毒卡和殺毒軟體
B、代理伺服器和入侵檢測系統
C、過濾路由器和入侵檢測系統
D、過濾路由器和代理伺服器
正確答案： D
3.防火牆防止不希望的、未經授權的通信進出被保護的內部網路，是一種（ ）網路安全措施。
A、被動的
B、主動的
C、能夠防止內部犯罪的
D、能夠解決所有問題的
正確答案： A
4.防火牆是建立在內外網路邊界上的一類安全保護機制，其安全架構基於（ ）。
A、流量控制技術
B、加密技術
C、信息流填充技術
D、訪問控制技術
正確答案： D
5.一般作為代理伺服器的堡壘主機上裝有（ ）。
A、一塊網卡且有一個IP地址
B、兩個網卡且有兩個不同的IP地址
C、兩個網卡且有相同的IP地址
D、多個網卡且動態獲得IP地址
正確答案： A
6.代理伺服器上運行的是（ ）
A、代理伺服器軟體
B、網路操作系統
C、資料庫管理系統
D、應用軟體
正確答案： A
7.在ISO OSI/RM中隊網路安全服務所屬的協議層次進行分析，要求每個協議層都能提供網路安全服務。其中，用戶身份認證在（ ）進行。
A、網路層
B、會話層
C、物理層
D、應用層
正確答案： D
8.在ISO OSI/RM中隊網路安全服務所屬的協議層次進行分析，要求每個協議層都能提供網路安全服務。其中，IP過濾型防火牆在（ ）通過控制網路邊界的信息流動來強化內部網路的安全性。
A、網路層
B、會話層
C、物理層
D、應用層
正確答案： A

第六章 Windows Server的安全1
【單選題】
1.WindowServer2003系統的安全日誌通過（ ）設置。
A、事件查看器
B、伺服器管理器
C、本地安全策略
D、網路適配器
正確答案： C
2. 用戶匿名登錄主機時，用戶名為（ ）。
A、guest
B、OK
C、Admin
D、Anonymous
正確答案： D
3.為了保證計算機信息安全，通常使用（ ），以使計算機只允許用戶在輸入正確的保密信息時進入系統。
A、口令
B、命令
C、密碼
D、密鑰
正確答案： C
【多選題】
4.（ ）是Windows Server2003伺服器系統自帶的遠程管理系統。（多選題）

A、Telnet services
B、Terminalservices
C、PC anywhere
D、IPC
正確答案： ABD
5.1、 Windows Server2003伺服器採取的安全措施包括（ ）。（多選題）
A、使用NTFS格式的磁碟分區
B、及時對操作系統使用補丁程序堵塞安全漏洞
C、實行強有力的安全管理策略
D、藉助防火牆對伺服器提供保護
E、關閉不需要的伺服器組件
正確答案： ABCDE
第六章 Windows Server的安全2
【單選題】
1.（ ）不是Windows 的共享訪問許可權。
A、只讀
B、完全控制
C、更改
D、讀取及執行
正確答案： D
2.WindowsServer2003的注冊表根鍵（ ）是確定不同文件後綴的文件類型。
A、HKEY_CLASSES_ROOT
B、HKEY_USER
C、HKEY_LOCAL_MACHINE
D、HKEY_SYSTEM
正確答案： A
3.為了保證Windows Server2003伺服器不被攻擊者非法啟動，管理員應該採取（ ）措施.
A、備份注冊表
B、利用SYSKEY
C、使用加密設備
D、審計注冊表的用戶許可權
正確答案： B
【多選題】
4.（ ）可以啟動Windows Server2003的注冊編輯器。（多選題）
A、REGERDIT.EXE
B、DFVIEW.EXE
C、FDISK.EXE
D、REGISTRY.EXE
E、REGEDT32.EXE
正確答案： AE
5.有些病毒為了在計算機啟動的時候自動載入，可以更改注冊表，（）鍵值更改注冊表自帶載入項。（多選題）
A、HKLM\software\microsoft\windows\currentversion\run
B、HKLM\software\microsoft\windows\currentversion\runonce
C、HKLM\software\microsoft\windows\currentversion\runservices
D、HKLM\software\microsoft\windows\currentversion\runservicesonce
正確答案： ABCD
6.在保證密碼安全中，應該採取的正確措施有（ ）。（多選題）
A、不用生日密碼
B、不使用少於5位數的密碼
C、不用純數字
D、將密碼設的很復雜並在20位以上
正確答案： ABC

③ 計算機網路安全試題

幾級的？
1.ABC
2.A
3. 蠕蟲寄居於文件。。。。天！勉強選B
4.AB
5.AB
6.BC A或D(D好像不是「針對windows」的防範，而是通法)
7.AD（打開密碼的password 支持功能 ？？翻譯下，打開密碼的口令支持功能，什麼意思）
8.BC

④ 計算機網路安全技術試題求答案~~急！~

首先肯定要具備網路方面的基礎知識，如乙太網，OSI模型等，其次是協議知識，這是最重要的。只有對協議的結構有了熟悉之後，才能看懂數據包的協議解碼，從而才能做出相應的分析。
你可以下載科來網路分析系統，一邊使用工具一邊學習這樣進步會很快，同時對學習協議及故障分析都非常有好處。

⑤ 計算機網路專業面試

1、2003個有幾個版本，每個版本最新系統補丁包是什麼啊？
2、 DNS的實現方法？
3、 WEB伺服器的負載均衡？
4、 請問目前市面上常用幾種網路操作系統的優缺點？
5、 請問你用過那些伺服器？請講述raid0、1、5的特點和優點？
6、 請列出下列協議的段口號：HTTP,HTTPS,DNS,FTP,TELNET,PPTP,SMTP，POP3？
7、 請問區域網內想要通過UNC路徑或者NETBIOS名稱訪問對方計算機，需要在對方計算機上開放什麼協議或者埠？
8、 OSI七層模型？TCP/IP模型？
9、 能否將WIN2000P升級成WIN2000S？
10、 怎樣保證1個文檔的安全性？
11、 說說你知道的防火牆及其應用？
12、 WINDOWS域的具體實現方式？客戶機要加入到域該如何操作？
13、 請問你對AD熟悉嗎？怎樣組織AD資源？
14、 請簡述操作主機（FSMO）的作用？
15、 請問PKI是什麼啊？在WIN下怎樣實現PKI？請簡述證書申請的一個過程？
16、 請問你用過那些遠程式控制制軟體啊？
17、 怎樣實現WINDOWS 群集？
18、 你知道哪幾種郵件系統？請簡述安裝EXCHANG 2003的詳細步驟？
19、 請問ISA 有幾大功能？請簡述用ISA發布網站的過程？
20、 請問怎樣才能讓SQL伺服器更安全？
21、 請問在生產環境中你應該如何規劃SQL資料庫文件存放？
22、 當一台DC發生宕機，你應該如何處理？
23、 請問你如何把你的WINDOWS伺服器做得更安全？
24、 如何備份和還原SQL 資料庫？
25、 如何備份和還原EXCHANG資料庫？
26、 你用過那些殺毒軟體（網路版和單機版）？
27、 如果有一個小型企業網路需要你去規劃，請講述你的規劃 思路？
28、 你知道那些入侵檢測系統？你能獨立部署的有那些？
29、 請問如何加強WEB伺服器的安全？
30、 當有一台電腦出現故障，請問你怎樣解決這個問題？
31、 你做過系統補丁升級嗎？內網如果有一百台機器的話你怎樣做系統補丁升級？
32、 網頁出現亂嗎是什麼原因？
33、 Exchang2003安裝成功默認能用foxmail收發郵件嗎？如果能，為什麼？如果不能，請說明原因？
34、 請問怎樣才能統一更改整個公司的郵件地址（exchange環境）？
35、 請問你在生產環境中如何規劃EXCHANGE伺服器資料庫的存放？
36、 請你寫出10條以上保證你企業網路安全的措施。
37、 一台WINDOWS XP的客戶機，登陸域的時需要十分鍾，請問是什麼原因？怎麼解決阿？
38、 當用戶反映去訪問一台文件伺服器非常慢，請問是什麼原因？如何解決？
39、 當用戶反映上網速度非常慢，請問什麼原因？如何解決？
本文出自 51CTO.COM技術博客

一 計算機網路的定義，並談談你對網路的理解
把分布在不同地點且具有獨立功能的多個計算機，通過通信設備和線路連接起來，在功能完善的網路軟體運行下，以實現網路中資源共享為目標的系統。（理解略）
二 請描述osi七層模型，並簡要概括各層功能
OSI是Open System Interconnect的縮寫，這個模型把網路通信的工作分為7層,它們由低到高分別是物理層（Physical Layer),數據鏈路層（Data Link Layer),網路層(Network Layer),傳輸層（Transport Layer),會話層（Session Layer），表示層（Presen tation Layer)和應用層（Application Layer)。第一層到第三層屬於OSI參考模型的低三層，負責創建網路通信連接的鏈路；第四層到第七層為OSI參考模型的高四層，具體負責端到端的數據通信。每層完成一定的功能，每層都直接為其上層提供服務，並且所有層次都互相支持，而網路通信則可以自上而下（在發送端）或者自下而上（在接收端）雙向進行。當然並不是每一通信都需要經過OSI的全部七層，有的甚至只需要雙方對應的某一層即可。物理介面之間的轉接，以及中繼器與中繼器之間的連接就只需在物理層中進行即可；而路由器與路由器之間的連接則只需經過網路層以下的三層即可。總的來說，雙方的通信是在對等層次上進行的，不能在不對稱層次上進行通信。

OSI參考模型的各個層次的劃分遵循下列原則：
1、同一層中的各網路節點都有相同的層次結構，具有同樣的功能。
2、同一節點內相鄰層之間通過介面（可以是邏輯介面）進行通信。
3、七層結構中的每一層使用下一層提供的服務，並且向其上層提供服務。
4、不同節點的同等層按照協議實現對等層之間的通信。

第一層：物理層（PhysicalLayer)
規定通信設備的機械的、電氣的、功能的和過程的特性，用以建立、維護和拆除物理鏈路連接。具體地講，機械特性規定了網路連接時所需接插件的規格尺寸、引腳數量和排列情況等；電氣特性規定了在物理連接上傳輸bit流時線路上信號電平的大小、阻抗匹配、傳輸速率距離限制等；功能特性是指對各個信號先分配確切的信號含義，即定義了DTE和DCE之間各個線路的功能；規程特性定義了利用信號線進行bit流傳輸的一組操作規程，是指在物理連接的建立、維護、交換信息是，DTE和DCE雙放在各電路上的動作系列。
在這一層，數據的單位稱為比特（bit）。
屬於物理層定義的典型規范代表包括：EIA/TIA RS-232、EIA/TIA RS-449、V.35、RJ-45等。
第二層：數據鏈路層(DataLinkLayer)
在物理層提供比特流服務的基礎上，建立相鄰結點之間的數據鏈路，通過差錯控制提供數據幀（Frame）在信道上無差錯的傳輸，並進行各電路上的動作系列。
數據鏈路層在不可靠的物理介質上提供可靠的傳輸。該層的作用包括：物理地址定址、數據的成幀、流量控制、數據的檢錯、重發等。
在這一層，數據的單位稱為幀（frame）。
數據鏈路層協議的代表包括：SDLC、HDLC、PPP、STP、幀中繼等。

第三層：網路層(Network Layer)
在計算機網路中進行通信的兩個計算機之間可能會經過很多個數據鏈路，也可能還要經過很多通信子網。網路層的任務就是選擇合適的網間路由和交換結點， 確保數據及時傳送。網路層將數據鏈路層提供的幀組成數據包，包中封裝有網路層包頭，其中含有邏輯地址信息- -源站點和目的站點地址的網路地址。
如果你在談論一個IP地址，那麼你是在處理第3層的問題，這是「數據包」問題，而不是第2層的「幀」。IP是第3層問題的一部分，此外還有一些路由協議和地址解析協議（ARP）。有關路由的一切事情都在第3層處理。地址解析和路由是3層的重要目的。網路層還可以實現擁塞控制、網際互連等功能。
在這一層，數據的單位稱為數據包（packet）。
網路層協議的代表包括：IP、IPX、RIP、OSPF等。

第四層：處理信息的傳輸層
第4層的數據單元也稱作數據包（packets）。但是，當你談論TCP等具體的協議時又有特殊的叫法，TCP的數據單元稱為段（segments）而UDP協議的數據單元稱為「數據報（datagrams）」。這個層負責獲取全部信息，因此，它必須跟蹤數據單元碎片、亂序到達的數據包和其它在傳輸過程中可能發生的危險。第4層為上層提供端到端（最終用戶到最終用戶）的透明的、可靠的數據傳輸服務。所為透明的傳輸是指在通信過程中傳輸層對上層屏蔽了通信傳輸系統的具體細節。
傳輸層協議的代表包括：TCP、UDP、SPX等。

第五層：會話層(Session Layer)
這一層也可以稱為會晤層或對話層，在會話層及以上的高層次中，數據傳送的單位不再另外命名，統稱為報文。會話層不參與具體的傳輸，它提供包括訪問驗證和會話管理在內的建立和維護應用之間通信的機制。如伺服器驗證用戶登錄便是由會話層完成的。

第六層：表示層(Presentation Layer)
這一層主要解決擁護信息的語法表示問題。它將欲交換的數據從適合於某一用戶的抽象語法，轉換為適合於OSI系統內部使用的傳送語法。即提供格式化的表示和轉換數據服務。數據的壓縮和解壓縮， 加密和解密等工作都由表示層負責。
第七層：應用層(Application Layer)
應用層為操作系統或網路應用程序提供訪問網路服務的介面。
應用層協議的代表包括：Telnet、FTP、HTTP、SNMP等。

三 請描述tcp/ip模型，並簡要介紹各層功能
由於種種原因，OSI模型並沒有成為真正應用在工業技術中的網路體系結構。在網路發展的最初期，網路覆蓋的地域范圍非常有限，而且主要用途也只是為了美國國防部和軍方科研機構服務。隨著民用化發展，網路通過電話線路連接到大學等單位，進一步需要通過衛星和微波網路進行網路擴展，軍用網路中原有技術標准已經不能滿足網路日益民用化和網路互連的需求，因此設計一套以無縫方式實現各種網路之間互連的技術標准就提到議事日程上來。這一網路體系結構就是後來的TCP/IP參考模型。
TCP/IP模型共分四層，分別為應用層、傳輸層、互聯網層和主機到網路層。各層實現特定的功能，提供特定的服務和訪問介面，並具有相對的獨立性。
( 1) 主機到網路層
主機到網路層是TCP/IP模型中的第一層。它相當於OSI模型中的物理層和數據鏈路層，因為這一層的功能是將數據從主機發送到網路上。與應用郵政系統類比，主機到網路層中的比特流傳輸相當於信件的運送。
(2) 互聯網層
互聯網層是TCP/IP模型中的第二層。最初是希望當網路中部分設備不能正常運行時，網路服務不被中斷，已經建立的網路連接依然可以有效地傳輸數據；換言之，只要源主機和目標主機處於正常狀態，就要求網路可以完成傳輸任務。互聯網層正是在這些苛刻的設計目標下選擇了分組交換（Packer Switching）技術作為解決方案。
分組交換技術不僅使分組發送到任意的網路後可以獨立地漫遊到目標主機，而且可確保目標主機接收到順序被打亂的分組後，將其傳送到最高層重新排定分組順序。互聯網層定義了標準的分組格式和介面參數，只要符合這樣的標准，分組就可以在不同網路間實現漫遊。
(3) 傳輸層
傳輸層是TCP/IP模型中的第三層。其功能與OSI模型中的傳輸層相類似，TCP/IP模型中的傳輸層不僅可以提供不同服務等級、不同可靠性保證的傳輸服務，而且還可以協調發送端和接收端之間的傳輸速度差異。
(4) 應用層
應用層是TCP/IP模型中的第四層。與OSI模型不同的是，在TCP/IP模型中沒有會話層和表示層。由於在應用中發現，並不是所有的網路服務都需要會話層和表示層的功能，因此這些功能逐漸被融合到TCP/IP模型中應用層的那些特定的網路服務中。應用層是網路操作者的應用介面，正像發件人將信件放進郵筒一樣，網路操作者只需在應用程序中按下發送數據按鈕，其餘的任務都由應用層以下的層完成。

四 請簡要敘述交換機和集線器的區別
最簡單的區別就是HUB是廣播式的，用戶共享帶寬；交換機是互動式的，每個用戶獨享帶寬。
在當今這個全球網路化的網路時代，網路已成為人類生活的必須。作為區域網組建的重要設備：交換機和集線器，都起著區域網的數據傳送「樞紐」的作用。那麼，交換機和集線器到底有什麼區別？
所謂交換機其實是從集線器技術發展而來的。如果用最簡單的語言敘述交換機與集線器的區別，那就應該是智能與非智能的差別。集線器說白了只是連接多個計算機的 設備，它只能起到信號放大、傳輸的作用，但不能對信號中的碎片進行處理，所以在傳輸過程中非常容易出錯。而交換機則可以看作是一種智能型的集線器，它除了 包括集線器的所有特性外，還具有自動定址、交換、處理的功能。並且在傳遞過程中，只有發送源與接受源獨立工作，其間不與其它埠發生關系，從而達到防止數 據丟失和提高吞吐量的目的。
下來我將從交換機與集線器的概念，種類，特點，OSI體系結構，工作方式等基本問題上對二者的區別進行分析說明。
1.交換機和集線器的概念
1.1. 交換機 交換機的英文名稱之為「Switch」，它是集線器的升級換代產品，從外觀上來看的話，它與集線器基本上沒有多大區別，都是帶有多個埠的長方形 盒狀體。交換機是按照通信兩端傳輸信息的需要，用人工或設備自動完成的方法把要傳輸的信息送到符合要求的相應路由上的技術統稱。廣義的交換機就是一種在通 信系統中完成信息交換功能的設備。
1.2.集線器 集線器（HUB）是計算機網路中連接多個計算機或其他設備的連接設備,是對網路進行集中管理的 最小單元。英文HUB就是中心的意思,像樹的主幹一樣,它是各分支的匯集點。許多種類型的網路都依靠集線器來連接各種設備並把數據分發到各個網段。HUB 基本上是一個共享設備,其實質是一個中繼器,主要提供信號放大和中轉的功能,它把一個埠接收的全部信號向所有埠分發出去。
2.交換機和集線器的種類
交換機和集線器從不同的方面和角度有著不同的分類。
2.1.HUB集線器的種類
集線器有多種類型,各個種類具有特定的功能、提供不同等級的服務。
2.1.1.依據匯流排帶寬的不同,HUB分為10M、100M和10M/100M自適應三種；若按配置形式的不同可分為獨立型、模塊化和堆疊式三種。
2.1.2.根據埠數目的不同主要有8口、16口和24口幾種。
2.1.3.根據工作方式可分為智能型和非智能型兩種。目前所使用的HUB基本是前三種分類的組合,如我們常在廣告中看到的10M/100M自適應智能型、可堆疊式HUB等。
2.1.4.依據工作方式區分有較普遍的意義,可以進一步劃分為被動集線器、主動集線器、智能集線器和交換集線器四種。
2．2.交換機的分類
2． 2．1.按照現在復雜的網路構成方式，網路交換機被劃分為接入層交換機、匯聚層交換機和核心層交換機。其中，核心層交換機全部採用機箱式模塊化設計，目前 已經基本都設計了與之相配備的1000BASE-T模塊，核心層交換機的選購在本文中不做討論。接入層支持1000BASE-T的乙太網交換機基本上是固 定埠式交換機，以10/100Mbps埠為主，並且以固定埠或擴展槽方式提供1000BASE-T的上連埠。匯聚層1000BASE-T交換機同 時存在機箱式和固定埠式2種設計，可以提供多個1000BASE-T 埠，一般也可以提供1000BASE-X等其他形式的埠。接入層和匯聚層交換 機共同構成完整的中小型區域網解決方案。
2．2．2. 按照OSI的7層網路模型，交換機又可以分為第二層交換機、第三層交換機、第四層交換機 等等，一直到第七層交換機。基於MAC地址工作的第二層交換機最為普遍，用於網路接入層和匯聚層。基於IP地址和協議進行交換的第三層交換機普遍應用於網 絡的核心層，也少量應用於匯聚層。部分第3層交換機也同時具有第四層交換功能，可以根據數據幀的協議埠信息進行目標埠判斷。第四層以上的交換機稱之為 內容型交換機，主要用於互聯網數據中心，不在本文討論范圍之內。
2．2．3.按照交換機的可管理性，又可以分為可管理型交換機和非可管理型交換 機，它們的區別在於對SNMP、RMON等網管協議的支持。可管理型交換機便於網路監控，但成本也相對較高。大中型網路在匯聚層應該選擇可管理型交換機， 在接入層視應用需要而定，核心層交換機全部是可管理型交換機。
3.交換機和集線器的特點
3.1．Hub的特點
在星型結構中，它是連接的中間結點，它起放大信號的作用。所有設備共享Hub的帶寬，也就是說，如果hub的帶寬是10M，連結了10了設備，每個設備就是1M，Hub所有埠共享一個MAC地址。
3.2．switch 的特點
用於星型結構時，它作為中心結點起放大信號的作用，埠不共享帶寬，如果是一個10M的switch，那麼每個埠的帶寬就是10M，每個埠擁有自己的MAC地址。
交換機的主要功能包括物理編址、網路拓撲結構、錯誤校驗、幀序列以及流量控制。目前一些高檔交換機還具備了一些新的功能，如對VLAN（虛擬區域網）的支持、對鏈路匯聚的支持，甚至有的還具有路由和防火牆的功能。
交換機除了能夠連接同種類型的網路之外，還可以在不同類型的網路（如乙太網和快速乙太網）之間起到互連作用。如今許多交換機都能夠提供支持快速乙太網或FDDI等的高速連接埠，用於連接網路中的其它交換機或者為帶寬佔用量大的關鍵伺服器提供附加帶寬。
它是一個網路設備，擁有路由器的一部分功能，它可以決定接收到的數據向什麼地方發送，它的速度比路由器要快。
4.交換機和集線器的主要區別
通過從上面各方面的分析我們可以知道交換機和集線器的主要區別分為四個方面，分別是在OSI體系結構，數據傳輸方式，帶寬佔用方式和傳輸模式上。
4.1． OSI體系結構上的區別 集線器屬於OSI的第一層物理層設備，而交換機屬於OSI的第二層數據鏈路層設備。也就意味著集線器只是對數據的傳輸起到同步、 放大和整形的作用，對數據傳輸中的短幀、碎片等無法進行有效的處理，不能保證數據傳輸的完整性和正確性；而交換機不但可以對數據的傳輸做到同步、放大和整 形，而且可以過濾短幀、碎片等。
4.2．數據傳輸方式上的區別
目前，80％的區域網（LAN）是乙太網，在區域網中大量地使用了集線器（HUB）或交換機（Switch）這種連接設備。利用集線器連接的區域網叫共享式區域網，利用交換機連接的區域網叫交換式區域網。
4.2.1． 工作方式不同 我們先來談談網路中的共享和交換這兩個概念。在此，我們打個比方，同樣是10個車道的馬路，如果沒有給道路標清行車路線，那麼車輛就只能在 無序的狀態下搶道或佔道通行，容易發生交通堵塞和反向行駛的車輛對撞，使通行能力降低。為了避免上述情況的發生，就需要在道路上標清行車線，保證每一輛車 各行其道、互不幹擾。共享式網路就相當於前面所講的無序狀態，當數據和用戶數量超出一定的限量時，就會造成碰撞沖突，使網路性能衰退。而交換式網路則避免 了共享式網路的不足，交換技術的作用便是根據所傳遞信息包的目的地址，將每一信息包獨立地從埠送至目的埠,避免了與其它埠發生碰撞，提高了網路的實 際吞吐量。
共享式乙太網存在的主要問題是所有用戶共享帶寬，每個用戶的實際可用帶寬隨網路用戶數的增加而遞減。這是因為當信息繁忙時，多個用戶都 可能同進「爭用」一個信道，而一個通道在某一時刻只充許一個用戶佔用，所以大量的經常處於監測等待狀態，致使信號在傳送時產生抖動、停滯或失真，嚴重影響 了網路的性能。
交換式乙太網中，交換機供給每個用戶專用的信息通道，除非兩個源埠企圖將信息同時發往同一目的埠，否則各個源埠與各自的目的埠之間可同時進行通信而不發生沖突。
4.2.2． 工作機理不同 集線器的工作機理是廣播（broadcast），無論是從哪一個埠接收到什麼類型的信包，都以廣播的形式將信包發送給其餘的所有埠，由 連接在這些埠上的網卡（NIC）判斷處理這些信息，符合的留下處理，否則丟棄掉，這樣很容易產生廣播風暴，當網路較大時網路性能會受到很大的影響。從它 的工作狀態看，HUB的執行效率比較低（將信包發送到了所有埠），安全性差（所有的網卡都能接收到，只是非目的地網卡丟棄了信包）。而且一次只能處理一 個信包，在多個埠同時出現信包的時候就出現碰撞，信包按照串列進行處理，不適合用於較大的網路主幹中。
交換機的工作就完全不同，它通過分析 Ethernet包的包頭信息（其中包含了原MAC地址、目標MAC地址、信息長度等），取得目標MAC地址後，查找交換機中存儲的地址對照表（MAC地 址對應的埠），確認具有此MAC地址的網卡連接在哪個埠上，然後僅將信包送到對應埠，有效的有效的抑制廣播風暴的產生。
這就是Switch 同HUB最大的不同點。而Switch內部轉發信包的背板帶寬也遠大於埠帶寬，因此信包處於並行狀態，效率較高，可以滿足大型網路環境大量數據並行處理的要求。
4.3．帶寬佔用方式上的區別
集 線器不管有多少個埠，所有埠都是共享一條帶寬，在同一時刻只能有二個埠傳送數據，其他埠只能等待，同時集線器只能工作在半雙工模式下；而對於交換 機而言，每個埠都有一條獨占的帶寬，這樣在速率上對於每個埠來說有了根本的保障。當二個埠工作時並不影響其他埠的工作，同時交換機不但可以工作在 半雙工模式下而且可以工作在全雙工模式下。
4.4．傳輸模式上的區別
集線器只能採用半雙工方式進行傳輸的，因為集線器是共享傳輸介質的， 這樣在上行通道上集線器一次只能傳輸一個任務，要麼是接收數據，要麼是發送數據。而交換機則不一樣，它是採用全雙工方式來傳輸數據的，因此在同一時刻可以 同時進行數據的接收和發送，這不但令數據的傳輸速度大大加快，而且在整個系統的吞吐量方面交換機比集線器至少要快一倍以上，因為它可以接收和發送同時進 行，實際上還遠不止一倍，因為埠帶寬一般來說交換機比集線器也要寬許多倍。
舉個簡單的例子，比如說讓兩組人同時給對方互相傳輸一個文件，從一個 人傳到另一個的時間為1分鍾。如果是用集線器的話，需要的時間是4分鍾。數據先從一個人傳到對方那裡，然後對方再傳回來。接著才能是另一組做相同的工作， 這樣算下來就是4分鍾。但是用交換機的話速度就快多了，在相同情況下只需要1分鍾就足夠了。由於每個埠都是獨立的，所以這兩組人可以同時傳輸數據，再因 為交換機可以工作在全雙工下，所以每兩個人也可以同時傳輸，換句話說這4個人是在同一個時間內完成的工作。所以我們也可以把集線器和交換機的處理能力看做 串列處理與並行處理。
5.總結
綜上所述，集線器的功能只是一個多埠的轉發器，無論從哪個埠傳出來的訊號都會整形再生放大後向所有的端 口廣播出去，並且所有的埠都會擠用同一個共享信帶的帶寬，造成數據量大時所有埠的帶寬大幅減少；而交換機相當於多埠橋，它為用戶提供的是獨占的點對 點的連接，數據包只發向目的埠而不會向所有埠發送，這樣減少了信號在網路發生碰撞，而且交換機上的所有埠均有獨享的信道帶寬。
交換機是繼集線器基礎上開發的一新的網路連接設備，擁有著更好更強大的功能和優點，而且還有著很高的性價比，更適應當今網路的需求。通過以上分析，我們不難看出交換機與集線器相比的明顯優勢。我相信在不久的以後交換機將會徹底替代集線器。
本文出自 51CTO.COM技術博客

⑥ 網路工程師面試問題！

IDS 和IPS
從題庫里找到的答案，加油！
IDS是英文「Intrusion Detection Systems」的縮寫，中文意思是「入侵檢測系統

IDS是英文「Intrusion Detection Systems」的縮寫，中文意思是「入侵檢測系統」。專業上講就是依照一定的安全策略，對網路、系統的運行狀況進行監視，盡可能發現各種攻擊企圖、攻擊行為或者攻擊結果，以保證網路系統資源的機密性、完整性和可用性。

我們做一個形象的比喻：假如防火牆是一幢大樓的門鎖，那麼IDS就是這幢大樓里的監視系統。一旦小偷爬窗進入大樓，或內部人員有越界行為，只有實時監視系統才能發現情況並發出警告。

不同於防火牆，IDS入侵檢測系統是一個監聽設備，沒有跨接在任何鏈路上，無須網路流量流經它便可以工作。因此，對IDS的部署，唯一的要求是：IDS應當掛接在所有所關注流量都必須流經的鏈路上。在這里，"所關注流量"指的是來自高危網路區域的訪問流量和需要進行統計、監視的網路報文。在如今的網路拓撲中，已經很難找到以前的HUB式的共享介質沖突域的網路，絕大部分的網路區域都已經全面升級到交換式的網路結構。因此，IDS在交換式網路中的位置一般選擇在：

（1）盡可能靠近攻擊源

（2）盡可能靠近受保護資源

這些位置通常是：

•伺服器區域的交換機上

•Internet接入路由器之後的第一台交換機上

•重點保護網段的區域網交換機上

防火牆和IDS可以分開操作，IDS是個臨控系統，可以自行選擇合適的，或是符合需求的，比如發現規則或監控不完善，可以更改設置及規則，或是重新設置！

IPS：侵入保護（阻止）系統
【導讀】：侵入保護（阻止）系統（IPS）是新一代的侵入檢測系統（IDS），可彌補 IDS 存在於前攝及假陽性/陰性等性質方面的弱點。IPS 能夠識別事件的侵入、關聯、沖擊、方向和適當的分析，然後將合適的信息和命令傳送給防火牆、交換機和其它的網路設備以減輕該事件的風險。
侵入保護（阻止）系統（IPS）是新一代的侵入檢測系統（IDS），可彌補 IDS 存在於前攝及假陽性/陰性等性質方面的弱點。IPS 能夠識別事件的侵入、關聯、沖擊、方向和適當的分析，然後將合適的信息和命令傳送給防火牆、交換機和其它的網路設備以減輕該事件的風險。

IPS 的關鍵技術成份包括所合並的全球和本地主機訪問控制、IDS、全球和本地安全策略、風險管理軟體和支持全球訪問並用於管理 IPS 的控制台。如同 IDS 中一樣，IPS 中也需要降低假陽性或假陰性，它通常使用更為先進的侵入檢測技術，如試探式掃描、內容檢查、狀態和行為分析，同時還結合常規的侵入檢測技術如基於簽名的檢測和異常檢測。

同侵入檢測系統（IDS）一樣，IPS 系統分為基於主機和網路兩種類型。

基於主機 IPS

基於主機的 IPS 依靠在被保護的系統中所直接安裝的代理。它與操作系統內核和服務緊密地捆綁在一起，監視並截取對內核或 API 的系統調用，以便達到阻止並記錄攻擊的作用。它也可以監視數據流和特定應用的環境（如網頁伺服器的文件位置和注冊條目），以便能夠保護該應用程序使之能夠避免那些還不存在簽名的、普通的攻擊。

基於網路的 IPS

基於網路的 IPS 綜合了標准 IDS 的功能，IDS 是 IPS 與防火牆的混合體，並可被稱為嵌入式 IDS 或網關 IDS（GIDS）。基於網路的 IPS 設備只能阻止通過該設備的惡意信息流。為了提高 IPS 設備的使用效率，必須採用強迫信息流通過該設備的方式。更為具體的來說，受保護的信息流必須代表著向聯網計算機系統或從中發出的數據，且在其中：

指定的網路領域中，需要高度的安全和保護和/或

該網路領域中存在極可能發生的內部爆發

配置地址能夠有效地將網路劃分成最小的保護區域，並能夠提供最大范圍的有效覆蓋率。

IDS和IPS爭議有誤區
【導讀】：對於「IDS和IPS(IDP)誰更能滿足用戶需求」這個問題，給人一種二選一的感覺。經過了長時間的反復爭論，以及來自產品開發和市場的反饋，冷靜的業內人士和客戶已經看到這根本不是一個二選一的問題。
對於「IDS和IPS(IDP)誰更能滿足用戶需求」這個問題，給人一種二選一的感覺。經過了長時間的反復爭論，以及來自產品開發和市場的反饋，冷靜的業內人士和客戶已經看到這根本不是一個二選一的問題。

很顯然，用戶需要的不是單一的產品，也不是眾多產品的簡單堆砌。現在一個比較流行的說法就是「信息安全保障體系（系統）」，也就是用戶的安全是要靠眾多技術、產品、服務和管理等要素組合成一個完整的體系，來解決所面臨的安全威脅，以保護信息資產和正常業務。

在安全保障框架中，不同的產品、服務、措施會在不同的地方發揮作用。比如，PKI和生物鑒別機制的優勢在鑒別認證領域能夠很好地發揮作用；入侵檢測則在監測、監控和預警領域發揮優勢；防火牆和IPS能在訪問控制領域發揮長處；數據加密和內容過濾在內容安全領域獨領風騷。討論不同的安全技術領域哪個更加符合用戶的需求，其實不如探討讓各種安全技術如何有效地協同工作。

IPS真的能夠替代防火牆和IDS嗎？提供IPS(IDP)的廠商常常聲稱，其IPS能夠兼具防火牆的網關防禦能力和入侵檢測的深度檢測，企圖達到把IPS的作用上升到1+1>2的效果。但是很遺憾，實際上並不是這樣。我們必須從技術本質上尋找解決辦法。目前IPS能夠解決的主要是准確的單包檢測和高速傳輸的融合問題。

當然，檢測和訪問控制如何協同和融合，將會一直是業內研究的課題，也將會有更多更好的技術形態出現。不管叫什麼名字，適合用戶需求的就是最好的。

三個維度區分IDS與IPS
【導讀】：3年前，當入侵防禦技術（IPS）出現時，咨詢機構Gartner曾經預言，IDS（入侵檢測）即將死亡，將由IPS取代，當時曾引起媒體一片討論。2006年，咨詢機構IDC斷言，IDS與IPS是兩種不同的技術，無法互相取代。而今天，依然有很多用戶不清楚兩者之間的差別。
中國人民銀行的張漲是IDS的骨灰級用戶，對IDS玩得非常熟，但即使這樣，他也僅僅是聽說IPS而已，並沒有真正使用和見過。他的擔心是：IPS既然是網路威脅的阻斷設備，誤報、誤阻影響網路的連通性怎麼辦？北京銀行的魏武中也認為，如果在網路的入口處，串接了一串安全設備：IPS、防火牆/VPM以及殺病毒網關等，怎麼保證網路的效率？是否會因增添一種新的設備而引起新的單點故障的風險？

事實上，這些疑問一直如影隨形地伴隨著IPS的誕生和發展。以至於，在很多用戶的安全設備的采購清單中，一直在出現「IDS或IPS」的選擇，這證明用戶依然不了解這兩種技術的差別。

啟明星辰公司的產品管理中心總監萬卿認為，現在是重新審視這兩種技術的時候了。他認為，要從三個維度上認清這兩種技術的不同。

從趨勢看差別

2004年，Gartner的報告曾經預言IDS即將死亡，但無論從用戶的需求還是從廠商的產品銷售來看，IDS依然處於旺盛的需求階段，比如，國內最大的IDS生產廠商啟明星辰公司，今年上半年IDS的增長超過了50％，並且，公司最大的贏利來源依然是IDS，事實證明，IDS即將死亡的論斷是錯誤的。

萬卿認為，IDC的報告是准確的，IDS和IPS分屬兩種不同產品領域，前者是一種檢測技術，而後者是一種阻斷技術，只不過後者阻斷攻擊的依據是檢測，因此要用到很多的檢測技術，很多用戶就此搞混了。

從理論上看，IDS和IPS是分屬兩個不同的層次，這與用戶的風險防範模型有關，用戶首先要查找到風險，才能預防和阻斷風險。而IDS是查找和評估風險的設備，IPS是阻斷風險的設備。防火牆只能做網路層的風險阻斷，不能做到應用層的風險阻斷。過去，人們曾經利用防火牆與IDS聯動的方式實現應用層的風險阻斷，但由於是聯動，阻斷時間上會出現滯後，往往攻擊已經發生了才出現阻斷，這種阻斷已經失去了意義，IPS就此產生。

用一句話概括，IDS是幫助用戶自我評估、自我認知的設備，而IPS或防火牆是改善控制環境的設備。IPS注重的是入侵風險的控制，而IDS注重的是入侵風險的管理。也許有一天，通過IDS，我們能確定到底在什麼地方放IPS？到底在什麼地方放防火牆？這些設備應該配備哪些策略？並可以通過IDS檢測部署IPS/防火牆的效果如何。

IDS與IPS各自的應用價值與部署目標
【導讀】：從2003年 Gartner公司副總裁Richard Stiennon發表的《入侵檢測已壽終正寢，入侵防禦將萬古長青》報告引發的安全業界震動至今，關於入侵檢測系統與入侵防禦系統之間關系的討論已經趨於平淡，2006年IDC年度安全市場報告更是明確指出入侵檢測系統和入侵防禦系統是兩個獨立的市場，給這個討論畫上了一個句號。可以說，目前無論是從業於信息安全行業的專業人士還是普通用戶，都認為入侵檢測系統和入侵防禦系統是兩類產品，並不存在入侵防禦系統要替代入侵檢測系統的可能。但由於入侵防禦產品的出現，給用戶帶來新的困惑：到底什麼情況下該選擇入侵檢測產品，什麼時候該選擇入侵防禦產品呢？筆者曾見過用戶進行產品選擇的時候在產品類型上寫著「入侵檢測系統或者入侵防禦系統」。這說明用戶還不能確定到底使用哪種產品，顯然是因為對兩類產品的區分不夠清晰所致，其實從產品價值以及應用角度來分析就可以比較清晰的區分和選擇兩類產品。
從2003年 Gartner公司副總裁Richard Stiennon發表的《入侵檢測已壽終正寢，入侵防禦將萬古長青》報告引發的安全業界震動至今，關於入侵檢測系統與入侵防禦系統之間關系的討論已經趨於平淡，2006年IDC年度安全市場報告更是明確指出入侵檢測系統和入侵防禦系統是兩個獨立的市場，給這個討論畫上了一個句號。可以說，目前無論是從業於信息安全行業的專業人士還是普通用戶，都認為入侵檢測系統和入侵防禦系統是兩類產品，並不存在入侵防禦系統要替代入侵檢測系統的可能。但由於入侵防禦產品的出現，給用戶帶來新的困惑：到底什麼情況下該選擇入侵檢測產品，什麼時候該選擇入侵防禦產品呢？筆者曾見過用戶進行產品選擇的時候在產品類型上寫著「入侵檢測系統或者入侵防禦系統」。這說明用戶還不能確定到底使用哪種產品，顯然是因為對兩類產品的區分不夠清晰所致，其實從產品價值以及應用角度來分析就可以比較清晰的區分和選擇兩類產品。

從產品價值角度講：入侵檢測系統注重的是網路安全狀況的監管。用戶進行網路安全建設之前，通常要考慮信息系統面臨哪些威脅；這些威脅的來源以及進入信息系統的途徑；信息系統對這些威脅的抵禦能力如何等方面的信息。在信息系統安全建設中以及實施後也要不斷的觀察信息系統中的安全狀況，了解網路威脅發展趨勢。只有這樣才能有的放矢的進行信息系統的安全建設，才能根據安全狀況及時調整安全策略，減少信息系統被破壞的可能。

入侵防禦系統關注的是對入侵行為的控制。當用戶明確信息系統安全建設方案和策略之後，可以在入侵防禦系統中實施邊界防護安全策略。與防火牆類產品可以實施的安全策略不同，入侵防禦系統可以實施深層防禦安全策略，即可以在應用層檢測出攻擊並予以阻斷，這是防火牆所做不到的，當然也是入侵檢測產品所做不到的。

從產品應用角度來講：為了達到可以全面檢測網路安全狀況的目的，入侵檢測系統需要部署在網路內部的中心點，需要能夠觀察到所有網路數據。如果信息系統中包含了多個邏輯隔離的子網，則需要在整個信息系統中實施分布部署，即每子網部署一個入侵檢測分析引擎，並統一進行引擎的策略管理以及事件分析，以達到掌控整個信息系統安全狀況的目的。

而為了實現對外部攻擊的防禦，入侵防禦系統需要部署在網路的邊界。這樣所有來自外部的數據必須串列通過入侵防禦系統，入侵防禦系統即可實時分析網路數據，發現攻擊行為立即予以阻斷，保證來自外部的攻擊數據不能通過網路邊界進入網路。
IDS是依照一定的安全策略，對網路、系統的運行狀況進行監視，盡可能發現各種攻擊企圖、攻擊行為或者攻擊結果，以保證網路系統資源的機密性、完整性和可用性。IPS 能夠識別事件的侵入、關聯、沖擊、方向和適當的分析，然後將合適的信息和命令傳送給防火牆、交換機和其它的網路設備以減輕該事件的風險。

⑦ 網路安全試題

1. 什麼是計算機網路？其主要功能是什麼？
計算機網路，是指將地理位置不同的具有獨立功能的多台計算機及其外部設備，通過通信線路連接起來，在網路操作系統，網路管理軟體及網路通信協議的管理和協調下，實現資源共享和信息傳遞的計算機系統。

計算機網路的功能主要表現在硬體資源共享、軟體資源共享和用戶間信息交換三個方面。 （1）硬體資源共享。可以在全網范圍內提供對處理資源、存儲資源、輸入輸出資源等昂貴設備的共享，使用戶節省投資，也便於集中管理和均衡分擔負荷。 （2）軟體資源共享。允許互聯網上的用戶遠程訪問各類大型資料庫，可以得到網路文件傳送服務、遠地進程管理服務和遠程文件訪問服務，從而避免軟體研製上的重復勞動以及數據資源的重復存貯，也便於集中管理。 （3）用戶間信息交換。計算機網路為分布在各地的用戶提供了強有力的通信手段。用戶可以通過計算機網路傳送電子郵件、發布新聞消息和進行電子商務活動。
2．簡述TCP/IP協議各層的功能。
TCP/IP協議族包含了很多功能各異的子協議。為此我們也利用上文所述的分層的方式來剖析它的結構。TCP/IP層次模型共分為四層：應用層、傳輸層、網路層、數據鏈路層。

TCP/IP網路協議
TCP/IP(Transmission Control Protocol/Internet Protocol，傳輸控制協議/網間網協議)是目前世界上應用最為廣泛的協議，它的流行與Internet的迅猛發展密切相關—TCP/IP最初是為互聯網的原型ARPANET所設計的，目的是提供一整套方便實用、能應用於多種網路上的協議，事實證明TCP/IP做到了這一點，它使網路互聯變得容易起來，並且使越來越多的網路加入其中，成為Internet的事實標准。

* 應用層—應用層是所有用戶所面向的應用程序的統稱。ICP/IP協議族在這一層面有著很多協議來支持不同的應用，許多大家所熟悉的基於Internet的應用的實現就離不開這些協議。如我們進行萬維網（WWW）訪問用到了HTTP協議、文件傳輸用FTP協議、電子郵件發送用SMTP、域名的解析用DNS協議、遠程登錄用Telnet協議等等，都是屬於TCP/IP應用層的；就用戶而言，看到的是由一個個軟體所構築的大多為圖形化的操作界面，而實際後台運行的便是上述協議。

* 傳輸層—這一層的的功能主要是提供應用程序間的通信，TCP/IP協議族在這一層的協議有TCP和UDP。

* 網路層—是TCP/IP協議族中非常關鍵的一層，主要定義了IP地址格式，從而能夠使得不同應用類型的數據在Internet上通暢地傳輸，IP協議就是一個網路層協議。

* 網路介面層—這是TCP/IP軟體的最低層，負責接收IP數據包並通過網路發送之，或者從網路上接收物理幀，抽出IP數據報，交給IP層。